遺伝子検査と個人情報保護

もっともな心配だね。遺伝情報は「変えられない個人情報」だから、特に慎重な扱いが求められるんだ。

パスワードが漏れたら変更できるけど、遺伝子は一生変わらない。だから一度漏れたら取り返しがつかないんだ。それだけに、法律やガイドラインでしっかり守られているよ。

ここは正確に押さえておきたいところでね。個人情報保護委員会のガイドラインでは、全ゲノムシークエンスや、互いに独立した40か所以上のSNPから構成される遺伝型情報などを用いて、本人を認証することができるようにしたものが「個人識別符号」に該当するとされている。この「本人を認証することができるようにしたもの」という限定が大事でね、独立した40か所以上のSNPを含むデータがすべて機械的に該当する、という書き方ではないんだ。だから該当するかどうかは、データの内容と利用のされ方まで含めて確認する必要がある。一方で「遺伝情報だから自動的に要配慮個人情報」というわけでもなく、消費者向け遺伝子検査の結果については、個人情報保護委員会が条件を示しているよ。

あるんだよ。健康保険組合等については、個人情報保護委員会と厚生労働省による専用のガイダンスが出ている。改正もされているから、導入を検討するときは必ず最新版を確認してほしい。そのうえで検査会社側の管理を見ると、信頼できるサービスでは、氏名などの識別情報とゲノムデータを分離して管理している。ゲノムデータにはIDだけを紐づけて、名前や住所は別に管理するんだ。

ただし、ここは慎重に言葉を選びたい。氏名をIDに置き換えただけでは、一般にはそれで個人情報でなくなるわけではないんだ。対応表があれば再び結びつけられるし、ゲノムデータそのものが個人識別符号に該当し得る。だから「匿名化しているから安全」ではなく、何を分離しているのか、対応表は誰が持つのか、どの権限で再照合できるのかまで説明できるかを見てほしい。加えて、通信の暗号化、アクセス権限の管理、定期的な監査も確認しよう。

大事なのは3つ。「データの利用目的が明確か」「研究等への利用がある場合、その中身が区別して書かれているか」「検査後にデータの削除を求められるか、その範囲と条件が書かれているか」。2つめは少し補足がいるね。研究利用といっても、個人が特定できない統計情報として使う場合と、個人が識別される形で使う場合では意味がまったく違うんだ。前者はサービス提供の前提として必須になっていることもあるし、法令上は同意が必要とされない場合もある。それでも「統計情報として研究に使います」と明示して同意を取っている事業者は、法的な要求を超えて透明性を確保していることになる。逆に、個人が識別される形での利用は、本体の同意と切り分けて選べるようになっているかを見てほしい。