簡単な回答: GDPR（一般データ保護規則）において、健康に関するデータは特別なカテゴリーに分類されます。第9条(1)は、その処理を禁止していますが、第9条(2)には、その禁止を解除する例外がリストアップされています。製品チームにとって重要なのは、次の4つです：(a)本人の明示的な同意、(h)専門家による、または秘密保持義務を負う専門家の責任の下での医療提供、(i)公衆衛生、そして**(j)第89条に基づく保護措置を講じた科学的研究です。第9条の例外は、第6条に基づく通常の法的根拠に加えて必要であり、それらに代わるものではありません。健康データを大規模に処理する場合、DPIA（第35条）およびデータ保護オフィサー**（第37条）も必要となります。
健康データとは何か
GDPR（一般データ保護規則）において、健康に関するデータとは、個人の身体的または精神的な健康に関連する個人データであり、これには医療サービスの提供が含まれ、その人の健康状態に関する情報（第4条(15)）を明らかにします。広く解釈すると、検査値、診断、投薬、予約、病気休暇の通知、そして健康状態が推測できるあらゆるデータが含まれます。
第4条(15)では、健康に関するデータとは、個人の身体的または精神的な健康に関連する個人データであり、医療サービスの提供も含まれ、その人の健康状態に関する情報が明らかになるものを定義しています。第35条の考慮事項および判例では、これを広く解釈しています。例えば、検査値、診断、処方薬、医師の診察予約、病気休暇の証明書、心臓病と組み合わされた歩数計のデータ、アカウントに関連付けられた症状の検索履歴などが該当します。健康状態が明らかになるデータは、たとえそのように収集されなかったとしても、健康データとなります。欧州司法裁判所は2022年（OT, C-184/20）に、特別なカテゴリーに属する事実が推測できるデータ自体も、特別なカテゴリーのデータであると確認しました。
重要な例外
健康製品にとって最も重要なGDPR第9条(2)の例外は、以下の通りです。明示的な同意（a）：これは、コンシューマー向けヘルスケアアプリや患者が管理する記録で使用されます。医療提供（h）：これは、専門家の秘密保持義務の下で、クリニックとそのソフトウェアサプライヤーによって使用されます。公衆衛生（i）、科学研究（j）：これらは第89条の保護措置を伴います。そして、EHDS（欧州健康データ空間）が二次利用のために依存する、実質的な公共の利益（g）です。
| 第9条(2) | 通常、誰が使用するか | 条件 |
|---|---|---|
| (a) 明示的な同意 | 消費者向け健康アプリ、ウェルネスサービス、患者が管理する記録 | 自由に提供され、具体的で、情報に基づいた、曖昧さのない、明確な肯定的な行為によるものであり、同意の撤回は同意の付与と同じくらい容易であること。サービスがそのデータを必要としない限り、サービスとバンドルされてはならない。 |
| (c) 生命の利益 | 緊急アクセス | 本人が身体的または法的に同意できない場合にのみ適用される。 |
| (h) 医療提供 | クリニック、病院、一般開業医、およびそれらのソフトウェアサプライヤー（処理者として） | EUまたは国内法、あるいは専門家との契約に基づき、診断、ケア、治療、または医療システムの管理に必要な場合。また、秘密保持義務（第9条(3)）の下にあること。 |
| (i) 公衆衛生 | 公衆衛生当局、医薬品監視 | 適切な措置を講じる法律に基づいていること。 |
| (j) 研究、統計、アーカイブ | 研究機関、登録機関、研究を可能にするプラットフォーム | 法律に基づき、比例的であり、第89条の保護措置（仮名化、最小化）を講じていること。 |
| (g) 実質的な公益 | 国の医療データインフラ | 法律に基づいていること。EHDSは二次利用のためにこれに依存している。 |
患者が管理する個人健康記録は**(a)に基づいて運用されます。本人が何を保存し、誰と共有するかを決定します。その記録に書き込むクリニックは、自身の処理については(h)に基づいて運用され、共有については患者の同意が適用されます。両方にサービスを提供するプラットフォームは、クリニックにとっては処理者**（第28条契約）であり、個人に提供するアカウントにとっては管理者となります。処理操作ごとにこれを書き留めることが、第30条で要求される記録の核心です。
効果のある同意
GDPRにおける健康データに対する明示的な同意は、目的ごとに個別の具体的な表明であり、明確な肯定的な行為によって与えられ、受領者に関する情報が提供され、日時と方法が記録され、かつ与えられたときと同様に簡単に撤回できる場合にのみ有効です。あらかじめチェックされたボックス、バンドルされた目的、そして分析への同意なしでは使用できないアプリは、すべて無効とされています。
規制当局は、健康アプリに対する同意を繰り返し無効にしてきました。その理由は、事前にチェックされたボックス、一度にすべての同意を求めること、分析への同意なしにアプリを使用できないこと、受領者を明記しない同意文、同意撤回手段がないことなどです。健康データに対する有効な明示的な同意とは、個別の具体的な表明（「Anpherosが私がアップロードした検査結果を保存することに同意します」）、目的ごとの詳細な設定（保存、特定のクリニックとの共有、匿名化された統計）、同意が得られた時期と方法の記録、そして将来の処理に対して即時に効力を持つ同意撤回スイッチが必要です。子供のデータについては、親権者の同意が必要であり、各加盟国が13歳から16歳の間で設定する年齢制限があります。
秘密保持義務、第9条(3)
GDPR第9条(3)は、医療提供の例外に関する秘密保持の条件を定めています。第9条(2)(h)に基づく健康データの処理は、EUまたは国内法に基づく専門家の秘密保持義務を負う専門家、または同等の秘密保持義務を負う他の人物によってのみ、またはその責任の下で行うことができます。
クリニックのソフトウェアサプライヤーは、契約によってこれに対応しています。処理契約は、アクセス権を持つスタッフに守秘義務を課し、アクセスは記録されます。
第9条を超えて
第9条(2)の例外は、健康データに関する唯一のGDPR義務ではありません。処理には、第6条の根拠（通常は第35条に基づくDPIA（データ保護影響評価）と第37条に基づくデータ保護責任者）、第22条に基づく自動化された決定に関する制限、EU域外への移転のための第5章のツール、72時間以内の侵害通知、および各国の健康記録法も必要となります。
- 第6条は引き続き適用されます：サービス提供のための契約（6(1)(b)）、同意（6(1)(a)）、法的義務、公務、または正当な利益。ただし、正当な利益は第9条を覆すために使用することはできません。
- 第35条 DPIAは、特別なカテゴリーのデータを大規模に処理する場合に義務付けられています。ほとんどの健康アプリおよびすべてのプラットフォームがこれに該当します。健康アプリのDPIAを参照してください。
- 第37条 DPOは、特別なカテゴリーのデータを大規模に処理することを主な活動とする場合に義務付けられています。
- 第22条は、自動化された処理のみに基づいて重大な影響を与える決定を制限します。これには、自動化されたトリアージや適格性評価が含まれます。健康データは、明示的な同意または法律に基づく法的根拠、および保護措置の下でのみ使用できます。
- 第44条以降：EU域外への移転には、適合性（認定された米国企業に対するEU-米国データプライバシーフレームワーク）、移転影響評価を伴う標準契約条項、またはその他の第5章のツールが必要です。EU域内でのホスティングは、保存されているデータに関する問題を回避します。海外のサポートスタッフは問題となります。
- 第33～34条：当局への72時間以内の違反通知、およびリスクが高い場合の本人への通知。健康データの場合、通常はリスクが高いです。
- 国内法が追加されます：医療秘密法、健康記録法、保存期間、そして国によっては健康アプリに関する特定の規則（フランスのHDSホスティング認証、ドイツのDiGAフレームワーク）があります。
EHDS の上乗せ
欧州健康データ空間規則（2025/327）は第9条を変更しません。共通フォーマットでの健康データへのアクセスおよびポータビリティ権、電子カルテシステムへの義務、そして第9条(2)(g)、(h)、(i)、(j)に依存する二次利用のための許可システム（独自の保護措置とオプトアウト付き）を追加します。EUにおけるあなたの医療データを参照してください。
Anpheros における処理
Anpherosは、本人が管理する記録のために、目的ごとの明示的な同意（第9条(2)(a)）に基づき、アプリで撤回可能な形で健康データを処理します。また、クリニックがその記録に書き込む際には、クリニック自身の第9条(2)(h)の法的根拠に基づいて処理者として対応します。クリニックによるすべてのアクセスには、範囲と期間に関する本人の承認が必要であり、本人のアクセスログに記録されます。患者同意プラットフォームおよび私の医療記録を誰が見ましたか？を参照してください。
このページは、製品およびエンジニアリングチーム向けの規制について説明しています。これは法的助言ではありません。情報源の下にリンクされているテキストが権威であり、あなたのデータ保護オフィサー、通知機関、または顧問があなたのケースを決定します。最終レビュー：2026年10月。
関連ページ
- 健康アプリのDPIA：チェックリストとテンプレート
- EUにおけるあなたの医療データ：GDPR、EHDS、およびあなたの権利
- HIPAA vs GDPR
- 健康データの匿名化
- 患者同意プラットフォーム
- 健康データ規制マップ
- 開発者向けGDPR（開発者サイト）
情報源
- GDPR 第9条、EUR-Lex
- GDPR 第4条(15)および考慮事項35、EUR-Lex
- EDPB：同意に関するガイドライン05/2020
- CJEU, C-184/20 (OT v Vyriausioji tarnybinės etikos komisija), 2022
- EDPB：COVID-19における研究目的での健康データ処理に関するガイドライン（03/2020）
- 規則（EU）2025/327（EHDS）、EUR-Lex
よくある質問
歩数計のデータは健康データですか？
単独では、通常はそうではありません。健康状態を明らかにする他のデータ（診断、リハビリテーションプログラム、心臓病など）と組み合わせられた場合、または健康状態を推測するために処理された場合は、健康に関するデータとなります。規制当局は、生データだけでなく、処理の目的と推測結果を考慮します。
健康データに対して「正当な利益」を使用できますか？
いいえ。「正当な利益」は第6条の法的根拠ですが、健康データには追加で第9条(2)の例外が必要です。これらの例外の中に「正当な利益」はありません。健康データに対する分析には、同意または匿名化が必要です。
クリニックは記録を保持するために患者の同意が必要ですか？
GDPRの下では必要ありません。クリニックは第9条(2)(h)および国内の医療法に基づいて処理を行います。同意は、データが他の目的（アプリとの共有、研究、マーケティングなど）に使用される場合、または国内法で要求される場合に重要になります。
健康データはどのくらいの期間保持できますか？
GDPRでは「必要な期間を超えない」と規定されています。国内の健康記録法では、臨床記録の具体的な保存期間（多くの場合10年から30年）が定められています。患者が管理する個人記録は、本人が希望する限り保持され、要求に応じて削除されます。
サンドボックスで無料で試す
5分で最初のFHIR呼び出し. 患者さんの同意が組み込まれたHL7 FHIR R4 APIです。サンドボックスでお試しいただき、ご自身のアプリやクリニックのシステムを接続してください。
無料・合成患者30人・カード不要
Anpherosは、患者が管理し、あらゆるクリニックと共有できる医療記録を、EUを拠点とするHL7 FHIR R4プラットフォーム上で構築しています。これらのガイドは、ご自身の健康を理解し整理するのに役立ちますが、医師の代わりになるものではありません。
Anpherosについて →