個人情報保護：想像以上に広範なその領域

マイク・シアッチョ著

国や州の政府は、データ主体の同意なしに個人識別情報（PII）が使用されることを防ぐための法律を制定しています。さらに、保護対象保健情報（PHI）を保護するための連邦規制も施行されています。現在施行されている法律の例として、欧州連合の一般データ保護規則（GDPR）、2018年カリフォルニア州消費者プライバシー法（CCPA）、マサチューセッツ州データ保護法などが挙げられます。

これらの規制は、以下を含むデータプライバシーの権利を人々に与え、保護するものです。

• 収集される情報の種類と情報源を知る権利。
• データ収集の理由およびデータの使用目的の説明を求める権利。
• 自身の個人データにアクセスし、そのコピーを請求する権利。
• 誤ったデータが保持されている場合に、その訂正を求める権利。
• 個人情報の削除を要求し、忘れられる権利。
• 機微な個人情報の販売を拒否（オプトアウト）する権利。
• 第三者への不正なデータ漏洩に対し、救済措置を講じる権利。

バイオ医薬品企業にとっての重要性

あらゆる規模のバイオ医薬品企業が、顧客、ベンダー、患者、そして現職、元職、および採用候補者の従業員からPIIおよびPHIを収集しています。ビジネスの観点から見ると、これらの義務は消費者データ管理に関連する方針や手順を導入するためのガイドラインとなります。また、データ保護の継続的なコンプライアンスとガバナンスを確保するためのメカニズムを概説し、データの収集、保存、管理、および第三者との共有方法に関する指針を示しています。

データプライバシー規制を遵守しない場合、罰金や制裁金、さらには訴訟といった法的措置を招く可能性があります。こうした結果は、患者や業界関係者の間での企業のブランドや評判に悪影響を及ぼします。さらに、患者データの不正な開示は、以下のような事態を招く恐れもあります。

• 規制当局による追加調査が命じられた場合、臨床試験や規制当局 の承認が遅延する。
• 企業に対する訴訟により、研究開発活動が中断または停滞する。
• 企業と患者、医師、ビジネスパートナー（製薬会社と臨床研究受託機関など）との間の信頼関係が損なわれる。

逆に、PIIやPHIを特定・保護するための安全対策を講じることは、規制遵守以上のメリットをもたらします。ビジネスプロセスやデータ管理の実践を改善するきっかけとなり、組織内のデータフローを効率化し、透明性を高めることができます。その結果、経営層への報告が容易になり、迅速な意思決定をサポートします。さらに、セキュリティ上の脆弱性に対する意識が高まることで、必要に応じて適切なリスク軽減戦略を策定できるようになります。

推奨される対応策

バイオ医薬品企業にとってPIIおよびPHIデータの重要性を鑑みると、データを適切に取り扱い、保護することが極めて重要です。留意すべき点は以下の通りです。

プライバシーに関する方針と手順を策定し、公開する

IT部門、法務部門、コンプライアンス部門の連携を促進し、事業を展開する各地域の現行規制にポリシーを適合させてください。経営陣は、ギャップを解消するための是正措置を講じる必要があります。ポリシーは明確かつ直感的に理解できる内容とし、データ主体の権利を明記してください。規制の進化に合わせて常に最新の状態を保てるよう、手順を定期的に見直し、改訂してください。

システムおよびデータインベントリの作成

これらのポリシーを指針としてデータインベントリを実施し、現在のデジタルエコシステムにおいてPII（個人識別情報）およびPHI（保護されるべき健康情報）がどこで収集されているかを特定します。その後、 データ保護のためのセーフガードを開発・実装し、 不正アクセスからデータを保護します。

従業員教育への投資

データプラットフォームにアクセス権を持つ従業員は、PIIおよびPHIを保護する責任を理解しておく必要があります。ポリシー違反の結果を認識させることで、データを扱う従業員がルールから逸脱する可能性を低減できます。新たなセキュリティリスクや特定された脆弱性に関する情報を、定期的に従業員へアップデートしてください。

管理レビューの構築

セキュリティ慣行のコンプライアンスを長期的に維持するため、内部レビューシステムを確立してください。また、定期的な監査をスケジュールし、社内のIT統制やデータアクセス制限をテストするとともに、データ侵害の有無を確認してください。

これらの推奨事項を総合することで、経営陣はデータプライバシーを重視する企業文化を醸成できます。これらは透明性と説明責任を高め、データ保護戦略の実行を確実なものにします。さらに、サプライチェーンエコシステム全体において、パートナーとの適切な情報共有を促進します。

さらに、バイオ医薬品企業は、PHIを規定する医療保険の相互運用性と責任に関する法律（HIPAA）についても認識しておく必要があります。前述の法律とは異なり、HIPAAは製薬業界に直接適用されるものではありません。しかし、医療提供者、保険者、患者など、HIPAA遵守義務を負う関係者とのやり取りにおいて、製薬企業も間接的な影響を受けます。そのため、HIPAAの対象となるパートナーがデータ義務を確実に果たせるよう、データプライバシー保護を導入することはビジネス上の合理的な判断です。また、組織内でのPHIの適切な利用を保証し、患者のプライバシーを保護するためにも不可欠です。

重要なポイント

• 今後も新たなデータプライバシー規制が制定され、既存の法律も進化し続けます。すべての企業には、常に最新の情報を把握し、法令を遵守する責任があります。
• 規模の大小を問わず、すべてのバイオ医薬品企業は、包括的なデータプライバシー管理を計画・実装し、それを統制するためのメカニズムを確立しなければなりません。
• 業界における他の重要なコンプライアンス要件と同様に、バイオ医薬品企業は適切なポリシーと手順を確立・維持し、保有するPII/PHIデータを特定し、従業員教育に投資し、個人情報の保護を促進・支援する企業文化を構築する必要があります。

データの適切な取り扱いや保護に関するサポートが必要な場合は、当社のチームまでお問い合わせください。 info@convergeconsulting.com までご連絡ください。