「ハッキングされたことはわかった。でも、どこかに報告しないといけないのか？患者に伝えなければいけないのか？」
医療機関がサイバー攻撃の被害を受けたとき、多くの院長が直面するのがこの問いです。2022年の個人情報保護法改正により、医療機関の報告義務は大幅に強化されました。本記事では、Webサイト改ざんのケースを中心に、法的義務をわかりやすく解説します。
免責事項： 本記事は一般的な情報提供を目的としており、個別の法的アドバイスではありません。具体的な対応については弁護士または専門家にご相談ください。
2022年個人情報保護法改正の重要ポイント
2022年4月施行の改正個人情報保護法により、個人情報の漏洩等が発生した場合の個人情報保護委員会への報告と本人通知が義務化されました（第26条）。
改正前は「努力義務」だったものが、「法的義務」に格上げされています。
報告義務が生じるケース
以下の4つの類型のいずれかに該当する場合、報告義務が生じます。
類型1：要配慮個人情報の漏洩
医療情報（診療記録・病名・処方内容など）は「要配慮個人情報」に分類されます。この情報が漏洩した場合、1件でも報告義務が生じます。
類型2：財産的被害が生じるおそれがある漏洩
クレジットカード情報・銀行口座情報などが含まれる場合です。
類型3：不正の目的による漏洩
攻撃者によって意図的に情報が持ち出された場合（ハッキングによる情報窃取はほぼこれに該当）。
類型4：1,000件を超える漏洩
Webサイト改ざんは「漏洩」に該当するか
ここが多くの医療機関が迷うポイントです。
改ざんのみの場合（診療情報を扱わないWebサイト）
クリニックの「案内サイト」（診療時間・アクセス・スタッフ紹介のみ）が改ざんされた場合、サイト上に個人情報が保存されていなければ、個人情報漏洩には該当しない可能性があります。
ただし、以下の場合は注意が必要です：
- 問い合わせフォームに送信された患者の名前・電話番号・メールアドレスがサーバーに保存されている場合
- Googleアナリティクス等のログに個人識別情報が含まれている場合
- サイトと同一サーバーに電子カルテや予約システムが置かれている場合
当社（Medi Face）の2026年8月の事例
当社が受けた攻撃では、PHPバックドアによりサーバー全体が攻撃者に掌握された状態でした。医療サービス案内サイトのみの改ざんであっても、サーバー上の全ファイルへのアクセス権が攻撃者に渡ったため、「不正アクセスによる情報への接触可能性」として報告対象を慎重に検討しました。
報告が必要と判断した場合の手順
ステップ1：速報（3〜5日以内）
個人情報保護委員会に速報を提出します。この段階では全貌が判明していなくても報告が求められます。
報告先： 個人情報保護委員会 報告方法： https://www.ppc.go.jp/personalinfo/infringement/ のオンラインフォーム
報告内容（速報時点）：
- 発生した事態の概要
- 発覚した日時
- 被害件数の概算（不明の場合はその旨）
- 現在の対応状況
ステップ2：確報（30日以内）
調査が完了し次第、確報を提出します。
報告内容（確報）：
- 漏洩した個人情報の件数・種類
- 漏洩の原因
- 再発防止策
- 本人への通知状況
ステップ3：本人（患者）への通知
原則として、漏洩等が生じた可能性がある本人に通知する義務があります。
通知方法の例：
- 診察時の直接説明
- 郵送による書面通知
- クリニックのWebサイトへの掲示（本人特定が困難な場合）
通知内容：
- 発生した事態の概要
- 漏洩した可能性がある情報の種類
- 現在の対応状況
- 問い合わせ窓口
医療法上の追加義務
個人情報保護法に加え、医療機関には医療法に基づく厚生労働省・都道府県への報告義務が生じる場合があります。
特に電子カルテシステムが侵害された場合は、保健所・都道府県の医療担当部署への届け出が必要になることがあります。地域の医師会または弁護士に確認することをお勧めします。
報告を怠るとどうなるか
個人情報保護委員会への報告義務違反は、以下のペナルティの対象となります：
- 勧告・命令（報告の指示）
- 1年以下の懲役または100万円以下の罰金（命令違反の場合）
- 公表（社会的信用への影響）
医療機関にとって最も深刻なのは、患者からの信頼喪失です。積極的に情報開示した医療機関と、隠蔽しようとした医療機関では、患者の反応は大きく異なります。
「隠す」より「開示」が信頼を守る
当社が今回の攻撃情報を全面的に公開した理由の一つは、この点にあります。
攻撃を隠すことは、攻撃者に「証拠を使って脅せる」カードを与えることになります。一方、先手を打って自ら開示すれば、攻撃者の脅迫は無効化されます。
また、患者は「被害に遭ったクリニック」よりも「きちんと説明し、対応したクリニック」を信頼します。情報開示は義務であると同時に、信頼回復の戦略でもあります。
技術解析レポートの全面公開：MF-2026-0812（GitHub）
相談先まとめ
| 相談内容 | 相談先 |
|---|---|
| 個人情報漏洩の報告義務 | 個人情報保護委員会：https://www.ppc.go.jp/ |
| サイバー攻撃の技術的対応 | JPCERT/CC：https://www.jpcert.or.jp/form/ |
| 被害届・捜査協力 | 警察庁サイバー犯罪相談：#9110 |
| 法的判断・患者対応 | 弁護士（医療法専門） |
| セキュリティ対策の技術相談 | 担当ITエンジニア・ホスティング会社 |
まとめ
Webサイトの改ざんであっても、サーバー上に個人情報が存在する場合は報告義務の検討が必要です。「小さなクリニックだから大丈夫」という認識は改正法のもとでは通用しません。
被害発生時は「隠す」のではなく「速やかに報告・開示する」ことが、法的義務の履行と患者の信頼維持の両方に繋がります。
株式会社Medi Face お問い合わせ：info@medi-face.co.jp