1社のソフトで1500万人——フランスの医師向けソフトCegedim Santé（MLM）の患者データ流出と、診察室の「自由記述欄」の重さ

Cegedimによれば、影響を受けた医師には1月初めに連絡し、希望する医師には、GDPR上のデータ管理者としてCNILへの通知と患者への通知を行うための支援をしました。つまり、患者への正式な通知はあなたの医師（診療所）から届く形です。CNILは、流出ファイルに自分のデータがあるかをCNILは確認できないとし、確認できると称する第三者のサイトの利用も勧めていません。気になる場合は、いつもの連絡先で自分の医師に直接尋ねてください。

流出したとされる氏名、生年月日、電話番号、住所、メールアドレスがあれば、「○○先生の診療所です」「保険の払い戻しがあります」という本物らしい連絡を作れます。CNILの助言は、添付ファイルを開かない、返信しない、リンクをクリックしない、公式サイトのアドレスを自分で入力することです。見分け方は フィッシングとは で扱っています。

自由記述欄のメモが含まれた患者がごく一部いるとされているため、あなたの病状や私生活を知っていることを示して、支払いや行動を迫る連絡が来る可能性はゼロではありません。そうした連絡には返信も支払いもせず、画面の保存やメールを証拠として残し、CNILが案内するとおり警察または憲兵隊に被害届（plainte）を出してください。本人が悪いわけではありません。

CNILは、なりすまし（usurpation d'identité）が疑われるときは、cybermalveillance.gouv.frで助言を確認し、警察または憲兵隊にできるだけ早く被害届を出す、取引銀行に知らせる、自分の名義で知らない口座が開かれていないかをFICOBA（impots.gouv.fr で照会）などで確認することを勧めています。

GDPRの閲覧請求（droit d'accès）で、診療所があなたについてどんな情報を持っているかを尋ねることができます。CNILによれば、請求を受けた組織は遅くとも1か月以内に回答しなければなりません（複雑な場合などは延長あり）。自由記述欄にどんな内容が書かれているかを知ることは、その後に来る連絡の真偽を見分ける助けにもなります。

Cegedimは、影響を受けた医師をGDPR上のデータ管理者として、CNILへの通知と患者への通知を支援したと説明しています。CNILによれば、データ管理者は漏えいを知ってから72時間以内にCNILへ通知し、リスクが高い場合は本人にも知らせる必要があります。処理を委託された側（ソフト会社）は、漏えいに気づいたら管理者にただちに知らせる義務があります。契約書で、ソフト会社から何時間以内に、どの窓口に連絡が来るかを確認しておいてください。

患者の病状や私生活に関わる内容は、事務的なコメント欄ではなく、診療記録の該当する項目に書く。院内で「コメント欄に書いてよいもの・書かないもの」を1枚にまとめ、受付や代診の医師とも共有します。既存のコメント欄に機微な内容が入っていないか、まず自分の患者の上位数十件を読み返すところから始められます。

今回の事案で原因がどう特定されたかは公表されていませんが、影響は医師のアカウント単位で起きています。受付と医師で1つのログインを使い回さない、ソフトに多要素認証があれば全員に有効にする、退職者のアカウントはその日に止める。選び方は 多要素認証の選び方 を参照してください。

Cegedimが検知したのは、医師のアカウントでの通常と異なるリクエストの動きでした。診療所の規模では自前で監視するのは難しいので、ソフト会社に3つ尋ねます。(1) 1つのアカウントが開く患者ファイルの数が普段より大きく増えたとき、警報が出るか。(2) その警報を診療所にも知らせるか。(3) 自分のアカウントの閲覧履歴を診療所側で見られるか。たとえば1日に数十人を診る医師のアカウントが、数千人分の患者情報を読み出していれば、それは明らかに異常です。人間の診療では出ない量を基準にするのが、最初の1本として現実的です。

CNILへの通知に加えて、医療分野のサイバー事案は、保健分野のセキュリティ対応窓口CERT Santéにも相談できます（報告ポータル signalement.social-sante.gouv.fr）。どこに、誰が、何時間以内に連絡するかを、院内で1枚にしておくと、ソフト会社から連絡が来たときに迷いません。