薬剤師の個人情報漏えい対策｜守秘義務・報告義務・初動対応を解説

薬局では、処方せん、調剤録、薬剤服用歴、お薬手帳、レセプトコンピュータ、電子薬歴などを通じて、患者の重要な情報を日常的に扱います。

個人情報の事故というと、大規模な不正アクセスを想像するかもしれません。しかし、薬局の現場では、別の患者へ書類や薬剤と一緒に情報を渡してしまう誤交付も重要なリスクです。

個人情報保護委員会が2024年に病院・診療所・薬局へ出した注意喚起では、患者の取り違えによる処方薬、処方せん、お薬手帳等の誤交付が多数発生しているとして、本人確認や書類のセット方法、ダブルチェック、研修などの対策を示しています。

個人情報保護委員会｜病院・診療所及び薬局の皆様へ

さらに、個人情報保護委員会が2026年6月に公表した令和7年度第4四半期の処理状況でも、要配慮個人情報を含む個人データの漏えい等が多く、その大半は病院や薬局における誤交付によるものとされています。

私は調剤薬局チェーンで人事・経営企画に関わってきましたが、情報管理は個人の注意力だけで完結させるテーマではありません。本人確認、権限設定、報告経路、教育、事故後の振り返りまで組織の仕組みに落とすことが重要です。

この記事では、薬剤師が知っておきたい個人情報保護の基本と、現場で漏えい等に気づいたときの対応を、公的資料を基に整理します。

結論｜薬局の個人情報対策は誤交付を含む日常業務から考える

薬局の個人情報対策で、最初に押さえておきたいポイントは次の5つです。

1. 調剤に関する情報の多くは要配慮個人情報に該当する
2. 薬剤師には刑法第134条第1項に基づく守秘義務がある
3. 薬局では患者取り違えによる誤交付を重要なリスクとして管理する
4. 漏えい等を発見した現場薬剤師は、自己判断で抱え込まず組織の報告経路へ乗せる
5. 個人情報保護委員会への報告義務は、個人情報取扱事業者を主体として判定する

個人情報の問題を、薬剤師個人が刑事罰を受けるかどうかだけで考えるのは適切ではありません。患者の権利利益を守り、事故の被害拡大を防ぎ、同じ事故を繰り返さない仕組みを作ることが実務上の中心です。

薬剤師が扱う患者情報は何が要配慮個人情報になる？

個人情報と要配慮個人情報は分けて理解しておきましょう。

区分	薬局で扱う例	ポイント
個人情報	氏名、住所、生年月日、電話番号など	特定の個人を識別できる情報として適切な管理が必要
要配慮個人情報	病歴、病状、治療状況、調剤録、薬剤服用歴、お薬手帳に記載された調剤情報など	本人への不当な差別や不利益が生じないよう特に配慮が必要
要配慮個人情報に当たり得る事実	医療機関を受診した事実、薬局で調剤を受けた事実	処方内容だけでなく、受診・調剤の事実自体にも注意する

個人情報保護委員会は、診療や調剤の過程で薬剤師等が知り得た患者の身体状況、病状、治療状況等の情報、調剤録、薬剤服用歴、お薬手帳の情報などを要配慮個人情報として整理しています。また、薬局等で調剤を受けたという事実も該当します。

個人情報保護委員会｜診療又は調剤に関する情報は、全て要配慮個人情報に該当しますか

一方、氏名や住所だけを理由に、すべての個人情報を要配慮個人情報として一括りにするのも正確ではありません。どの情報が何に該当するのかを分けたうえで、安全管理を考えることが重要です。

薬剤師の守秘義務は薬剤師法ではなく刑法134条

薬剤師の守秘義務の根拠として重要なのが、刑法第134条第1項です。

厚生労働省と個人情報保護委員会の医療・介護関係事業者向けガイダンスでも、薬剤師の守秘義務の根拠法は刑法第134条第1項と整理されています。

同条では、薬剤師などが正当な理由なく、業務上取り扱ったことについて知り得た人の秘密を漏らした場合、6月以下の拘禁刑または10万円以下の罰金の対象となり得ます。

個人情報保護委員会｜医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス

ここで重要なのは、刑法上の守秘義務と、薬局を運営する事業者に課される個人情報保護法上の義務を分けて考えることです。

論点	主な対象	実務上の見方
刑法第134条の守秘義務	薬剤師個人	業務上知り得た人の秘密を正当な理由なく漏らさない
個人情報保護法の安全管理・漏えい等対応	個人情報取扱事業者	組織として安全管理措置、報告、本人通知等を行う
薬剤師法第25条の2	薬剤師	患者または現に看護に当たる者へ必要な薬剤情報を提供・指導する

個人情報を誤って交付したから直ちに薬剤師免許が取り消される、漏えい報告が遅れたから直ちに法人へ1億円の罰金が科される、といった単純な関係ではありません。行政上・刑事上の責任は、適用される法令と具体的な事実関係を分けて判断する必要があります。

薬局で重点的に防ぎたいのは患者取り違えによる誤交付

薬局の個人情報漏えい対策では、不正アクセスだけでなく、日常の受付・調剤・交付フローを確認することが欠かせません。

個人情報保護委員会は、薬局における誤交付防止策として、本人確認の徹底、患者ごとの書類の分離、ダブルチェック、繁忙時の体制整備、研修、ヒヤリハット事例の共有などを示しています。

本人確認は一つの方法へ固定しない

患者氏名を呼ばず、必ず受付番号だけを使えば安全という単純な問題ではありません。プライバシーへの配慮と、別人へ薬剤や書類を渡さないための本人確認を両立させる必要があります。

薬局の環境や患者の状況に応じて、本人に氏名を名乗ってもらう、フルネームを確認する、年齢など別の情報も組み合わせる、受付番号を活用するなど、複数の確認方法を設計します。

患者ごとの情報を混在させない

処方せん、薬袋、薬剤情報提供文書、お薬手帳など、患者へ渡す物が複数あるときは、別患者の書類が入り込まない運用が必要です。

• 患者ごとにトレーや区画を分ける
• 交付直前に患者と書類・薬剤の氏名を照合する
• 複数患者分を同じ作業スペースへ無秩序に置かない
• 繁忙時でも確認工程を省略しない仕組みにする
• ヒヤリハットを共有し、工程の弱点を見直す

調剤過誤やインシデントとして患者安全への対応も必要な場合は、個人情報対応だけで完結させず、医療安全の初動と並行して対応します。

薬剤師が調剤過誤・インシデントを起こしたら｜初動対応・報告・再発防止を解説

調剤室の会話・紙資料・画面表示にも注意する

患者情報を話すときは周囲に聞こえる範囲を確認する

調剤や疑義照会、服薬指導の準備では、患者情報について職員間で話す必要があります。必要な業務上の会話まで避ける必要はありません。

一方で、待合室や他の患者に聞こえる可能性がある環境で、病名、服薬内容、家族関係などを必要以上に話すことは避けるべきです。声量、場所、会話する内容を業務上必要な範囲へ絞ります。

紙資料は保管・持ち出し・廃棄まで管理する

処方せんや調剤録は、業務中だけでなく保存期間中の保管にも注意が必要です。薬剤師法では、薬局開設者に対して、当該薬局で調剤済みとなった処方せんを調剤済みとなった日から3年間、調剤録を最終記入の日から3年間保存することを求めています。

厚生労働省｜薬剤師法

保存期間が過ぎた書類を廃棄するときも、特定のシュレッダー方式だけを全国一律の法的義務と考えるのではなく、勤務先の情報管理規程に従い、第三者が内容を容易に復元・閲覧できない方法で安全に処理します。外部業者へ委託する場合は、委託先管理も必要です。

患者情報を私物端末や個人クラウドへ移さない

学習や引継ぎのためであっても、患者情報を私物スマートフォンで撮影したり、個人用クラウドへ保存したりする運用を前提にしてはいけません。

業務上情報を残す必要がある場合は、電子薬歴、在宅記録、会社管理システムなど、勤務先が正式に定めた記録手段を使用します。退職・異動時も同じ考え方です。

薬剤師の引継ぎ書テンプレート｜退職前に整理する項目と注意点を元人事部長が解説

電子薬歴・レセコンはアカウント管理まで確認する

患者情報を電子的に扱う薬局では、端末やシステムの安全管理も重要です。

厚生労働省は2026年6月に、医療情報システムの安全管理に関するガイドライン第7.0版を策定しました。改定では、パスワードの使い回し禁止やアカウントロックを追加する一方、セキュリティ強化につながらないとされる定期的なパスワード変更の要件を削除しています。

そのため、3か月ごとなど機械的な頻度で全員のパスワードを変更することを、最新ガイドライン上の共通ルールとして説明するのは適切ではありません。

また、第7.0版では医療情報システムのクライアント端末やサーバにおける二要素認証への対応を明確化しています。2027年4月1日時点で対応が困難な医療機関等については、次期システム改修での対応を許容する緩和措置も示されています。

厚生労働省｜医療情報システムの安全管理に関するガイドライン第7.0版

• 職員ごとに必要なアカウント・権限を設定する
• 退職者や使用していないアカウントを削除・無効化する
• パスワードの使い回しを避ける
• 離席時に画面ロック等を行い、第三者の閲覧を防ぐ
• 外部記憶媒体やクラウドサービスは勤務先のルールに従う
• システム更新、バックアップ、マルウェア対策を組織で管理する

薬剤師個人が自己流でセキュリティ設定を決めるのではなく、薬局・法人の情報セキュリティ管理体制に沿って運用することが基本です。

個人情報の漏えい等に気づいたときの初動5ステップ

誤交付、紛失、誤送信、不正アクセスなどに気づいたときは、現場薬剤師が一人で法的判断まで抱え込むのではなく、勤務先の報告フローへ速やかに乗せます。

ステップ	確認・対応すること
1	勤務先が定める管理薬剤師、情報管理責任者、本部等へ報告する
2	誰の、どの情報が、いつ、どこへ、どのように漏えい等した可能性があるか確認する
3	可能な範囲で回収、削除、アクセス遮断等を行い、被害拡大を防ぐ
4	個人情報保護委員会への報告・本人通知が必要な事態か組織として判定する
5	原因分析、再発防止、職員への共有・教育まで実施する

患者への連絡や説明が必要な場合も、事実関係が十分に分からないまま現場職員が独断で説明内容を決めるのではなく、組織として情報を整理し、必要な対応を進めます。

調剤過誤も同時に発生して患者の健康へ影響する可能性がある場合は、個人情報対応より先に待つという意味ではありません。患者安全の確認と情報漏えい対応を並行して進めます。

個人情報保護委員会への報告が必要になる4類型

民間の個人情報取扱事業者について、個人データの漏えい、滅失、毀損またはそのおそれがあり、次のいずれかに該当する場合は、個人情報保護委員会への報告対象となります。

1. 要配慮個人情報を含む個人データの漏えい等
2. 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等
3. 不正の目的をもって行われたおそれがある個人データの漏えい等
4. 本人の数が1,000人を超える個人データの漏えい等

薬局が保有する個人データに該当し、その中に調剤情報などの要配慮個人情報が含まれる誤交付であれば、人数が1人であっても第1類型の報告対象となり得ます。

この4類型はそれぞれ独立した要件です。1,000人を超えていないから報告不要、という判断はできません。

個人情報保護委員会｜漏えい等報告・本人への通知の義務化について

速報は速やかに、目安は発覚から3〜5日以内

報告対象事態に該当する場合、まず速報を速やかに行います。個人情報保護委員会は、速報の目安を発覚日から概ね3〜5日以内としています。

その後の確報は原則として発覚日から30日以内です。不正な目的で行われたおそれがある事態については60日以内とされています。

個人情報保護委員会｜漏えい等の対応とお役立ち資料

3〜5日という数字だけを見て、その期間まで社内報告を待ってよいと考えてはいけません。現場で発覚した時点から、まず組織内で速やかに共有し、事実確認を始めることが重要です。

報告義務の主体は個人情報取扱事業者

個人情報保護委員会への報告義務を負う主体は、漏えい等が発生し、または発生したおそれがある個人データを取り扱う個人情報取扱事業者です。

したがって、全国一律に管理薬剤師個人が報告義務者であるとは整理しません。現場薬剤師は、勤務先で定められた責任者や本部へ報告し、法人・事業者として必要な届出や本人通知が行える状態につなげます。

本人通知は報告対象事態とセットで考える

報告対象事態に該当する場合、個人情報保護法では本人への通知も必要になります。通知では、単に謝罪するだけではなく、発生した事態の内容、漏えい等した個人データの項目、原因、二次被害やそのおそれ、再発防止策など、本人が状況を理解するために必要な情報を整理します。

実際の事故対応では、個人情報保護委員会のガイドライン、勤務先の規程、事案の内容に応じて、必要に応じて顧問弁護士や情報セキュリティの専門家等とも連携して判断します。

家族への服薬情報提供は本人同意なしなら一律NGではない

家族から患者の服薬状況について問い合わせがあった場合、家族なら何でも答えてよいわけではありません。一方で、本人同意がない家族への情報提供はすべて禁止、とするのも正確ではありません。

個人情報保護委員会の医療・介護関係事業者向けFAQでは、薬剤師法第25条の2により、患者または現に看護に当たっている者へ調剤した薬剤に関する必要な情報提供を行うことが義務付けられているため、その範囲であれば、個人情報保護法上の法令に基づく場合として本人同意なしで情報提供できるとされています。

個人情報保護委員会｜薬剤師が患者の家族に情報提供を行う場合の考え方

ただし、電話をかけてきた人が本当に家族・看護者なのか、どの範囲の情報が薬剤の適正使用のために必要なのか、本人が情報提供を明確に拒否していないかなど、個別確認は必要です。

家族という関係だけで患者情報全体を開示するのではなく、本人確認、利用目的、必要な情報の範囲、法令上の根拠、勤務先の手順を確認して対応します。

再発防止は個人の注意力ではなく業務フローを直す

個人情報事故が起きた後に、担当者へ今後は気をつけるよう伝えるだけでは、再発防止として不十分です。

私は人事・組織運営を見る立場で、事故やミスを扱う際には、個人の行動だけでなく、同じ状況なら別の職員でも再発し得る工程になっていないかを確認することが重要だと考えてきました。

発生した問題	確認したい仕組み
別患者への誤交付	本人確認方法、患者ごとの分離、交付前照合、繁忙時の配置
紙資料の紛失	保管場所、持出しルール、廃棄方法、書類管理責任
画面の覗き見	端末配置、画面ロック、権限設定、離席時の運用
私物端末への保存	正式な記録手段、端末利用規程、教育、アクセス制御
不正アクセス	アカウント管理、二要素認証、更新、バックアップ、ログ確認
報告の遅れ	報告先、緊急連絡網、初動手順、責任者不在時の代替ルート

ヒヤリハットの段階で、なぜ間違えそうになったのかを共有できれば、重大な漏えい等が起きる前に工程を直せる場合があります。個人情報保護を懲罰だけのテーマにせず、業務改善と医療安全の一部として扱うことが重要です。

2026年改正個人情報保護法は成立済みだが全面施行前

2026年7月10日に個人情報保護法等の一部を改正する法律が成立し、7月17日に公布されました。

ただし、個人情報保護委員会によれば、改正法は一部を除き公布日から2年以内で政令で定める日から施行されます。2026年8月時点では、成立・公布された内容をそのまま現行実務の全面的なルールとして扱う段階ではありません。

個人情報保護委員会｜令和8年 改正個人情報保護法について

薬局の実務では、現行法、現行ガイドライン、勤務先の規程を基準に対応しながら、今後公表される政令・規則・ガイドラインも確認していく必要があります。

薬剤師向け個人情報管理チェックリスト

• 患者本人を確認する手順が決まっている
• 患者ごとの処方せん・薬袋・説明書類が混在しにくい
• 待合室へ患者情報が必要以上に聞こえないよう配慮している
• 処方せんやお薬手帳を他の患者から見える場所へ放置しない
• 患者情報を私物スマートフォンや個人クラウドへ保存しない
• 職員ごとに必要なシステム権限が設定されている
• 退職者・異動者の不要アカウントを無効化できる
• 漏えい等に気づいた場合の報告先を知っている
• 報告対象事態の4類型を責任者が判断できる体制がある
• 誤交付やヒヤリハットを業務フロー改善へつなげている

全部を現場薬剤師一人で決める必要はありません。むしろ、個人情報管理の責任者、管理薬剤師、本部、情報システム担当など、誰へ相談すれば組織として判断できるのかが明確になっていることが重要です。

まとめ｜患者情報を守るには個人と組織の両方が必要

薬局で扱う調剤情報の多くは要配慮個人情報に該当し、薬剤師には刑法第134条第1項に基づく守秘義務もあります。

ただし、個人情報保護を刑事罰への不安だけで理解すると、実務上本当に必要な対策が見えにくくなります。

薬局でまず確認したいのは、患者取り違えによる誤交付を防ぐ本人確認と業務フロー、紙・電子データの安全管理、漏えい等が発覚したときの報告経路です。

そして事故が起きた場合は、個人の不注意だけで終わらせず、同じ状況を再現しても事故が起きにくい仕組みへ変えることが重要です。

調剤過誤を伴う場合の医療安全対応は調剤過誤・インシデント対応の記事、退職・異動時の患者情報やアカウントの扱いは薬剤師の引継ぎ書の記事もあわせて確認してください。

FAQ

他の患者へ処方せんや薬剤情報を1人分だけ誤交付した場合も、個人情報保護委員会への報告が必要ですか？

誤交付した情報が薬局の保有する個人データに該当し、調剤情報などの要配慮個人情報を含む場合は、人数が1人でも報告対象となり得ます。1,000人超という基準は報告対象4類型の一つであり、要配慮個人情報を含む事態とは別の要件です。発覚したら勤務先の責任者へ速やかに報告し、組織として判定してください。

個人情報保護委員会への速報は5日以内なら待ってよいですか？

待つという意味ではありません。報告対象事態では速やかな報告が必要で、個人情報保護委員会は速報の目安を発覚から概ね3〜5日以内としています。現場で発覚した時点から、まず勤務先へ報告し、事実確認と被害拡大防止を始めます。

患者の家族から服薬状況を聞かれたら、本人同意がなければ一切答えられませんか？

一律に禁止されるわけではありません。薬剤師法第25条の2に基づき、患者または現に看護に当たっている者へ調剤した薬剤に関する必要な情報を提供する範囲では、本人同意なしで情報提供できる場合があります。ただし、相手の確認、情報提供の目的と必要範囲、本人の意思、勤務先の手順を確認して対応します。

患者名を呼ばず受付番号だけにすれば個人情報対策として十分ですか？

十分とは限りません。プライバシーへの配慮と誤交付防止の両方が必要です。氏名、年齢、受付番号などを薬局の環境に応じて組み合わせ、別人へ薬剤や書類を渡さない本人確認手順を設計します。

電子薬歴のパスワードは3か月ごとに変更する必要がありますか？

厚生労働省の医療情報システムの安全管理に関するガイドライン第7.0版では、セキュリティ強化につながらないとされる定期的なパスワード変更の要件が削除されました。使い回し禁止、アカウントロック、権限管理、二要素認証などを含め、最新ガイドラインと勤務先のセキュリティ方針に沿って対応します。

患者情報を勉強目的で自分のスマートフォンへ撮影してもよいですか？

自己判断で私物端末へ患者情報を保存する運用は避けてください。教育・症例検討など業務上必要な利用であっても、勤務先が定めた利用目的、匿名化・安全管理、正式な端末や保存方法に従います。