経済活動・社会活動で重要視されてきた「ヒト」「モノ」「カネ」に加えて「データ」が重要となり、分野や組織の壁を超えたデータの活用による「データ主導型（ドリブン）社会」の構築が今後求められる――。内閣サイバーセキュリテイセンター 副センター長の谷脇康彦氏は「データ主導型社会とサイバーセキュリティ」と題する講演でこう語り、「データ主導型社会の構築の重要性」を強調した。

　これまでの情報流通では組織ごとの縦割りの情報共有が中心で、異なる領域同士が情報を共有することはほとんどなかった。しかし、東日本大震災での経験やブロードバンド市場における環境変化が起こったことを踏まえて、「今後は組織を超えてさまざまなデータを共有する情報流通連携基盤を実現していく必要性が高まってきた」と谷脇氏は語る。

　データ主導型社会の実現に当たっては、各組織が持つデータの連係が不可欠である。そこで問題になるのが、個人情報の取り扱いだ。谷脇氏は、現在の政府での取り組みを解説し、日本のサイバーセキュリティ関連の脅威の現状やそれに対する政府の取り組みについて言及した。今後は2015年10月から通知が始まる「マイナンバー制度」や個人情報保護法の見直しなどが控えている。谷脇氏は「パーソナルデータの活用とプライバシー保護のバランスを取る必要がある。データのオープン化やサイバーセキュリティの強化を実施することで、データ主導型社会の持続可能性を生み出していくことが今後求められる」と述べ、講演を締めくくった。

市民参加型健康医療イノベーションの可能性を支える「シビックテクノロジー」

　地域の社会問題を解決するIT関連の技術群を指す「シビックテクノロジー」について講演したのは、博士（医薬学）／特定非営利活動法人ヘルスケアクラウド研究会理事の笹原英司氏だ。「市民参加型健康医療イノベーションと情報セキュリティ」という演題で「海外の医療分野のサイバーセキュリティとガバナンスの課題」「健康医療分野でのシビックテクノロジー適用とリスク管理」に関して講演した。

　笹原氏は海外の健康医療分野における情報漏えい事例を交えて、海外でのサイバーセキュリティの取り組みや課題に言及した。米国では、最先端の外部からのサイバー攻撃と、外部委託先のバックアップデータや暗号化していないPCの盗難など、情報漏えいのパターンの二極化が進んでいると説明。「今後のトレンドであるビッグデータやIoT（Internet of Things：モノのインターネット）の活用を考えると、セキュリティやガバナンスを現場の運用でカバーするという現状の体制には限界が来ている」と語った。

　笹原氏は医療分野へのシビックテクノロジーの適用事例として、行政が抱える課題の解決のためにITエンジニアの派遣や市民参加型IT利活用の支援を行う「Code for America」を紹介した。シビックテクノロジーの一例であるビッグデータやソーシャルコミュニティーを活用する際に注意すべきこととして、データベース管理者やデータサイエンティストのアカウントが狙われるというリスクを指摘した。

　シビックテクノロジーを活用する上で、谷脇氏が言及した組織を越えたデータ共有について、笹原氏も「非常に重要なことだ」と言う。現在の日本のシビックテクノロジーにおけるボトムネックとして、自治体の完全な縦割り制度を挙げ、現場ではニーズを分かっているのに動けない現状があると同氏は指摘した。「横につなげるコミュニティーデザインを行うことで、海外でも通用するソリューションが生まれることが期待される。市民を巻き込んだ形でデザインしていくべきだ」（同）

実用化進む「医療ロボット」　その法律問題を整理

　手術支援ロボット「ダヴィンチ」などの医療ロボットも注目すべきキーワードの1つだ。駒澤綜合法律事務所 所長／弁護士の高橋郁夫氏は「医療ロボットの法律問題」という演題で、医療ロボットの課題とそれに対する法律的な見解を述べ、医療ロボットがもたらす将来像について講演した。

　高橋氏は医療ロボットの課題として「医療機器の安全性／セキュリティ」を挙げた。医療ロボットの運用に当たっては、「医行為における人の命に関わる絶対にやってはいけない行為（安全性）と、リスクマネジメント（セキュリティ）の2つの観点が重要になる」と語った。一般に、医行為とは行為そのものが直接的に人体に危害を及ぼす恐れのある行為を指すが、医療機器における現在の技術が進化するに従いそうした医行為の境界線が変化する可能性を示した。

　高橋氏は、日本では医療機器の安全確保の仕組みを定めた「医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律」（医薬品医療機器等法）にのっとり、医療機器の4段階のクラスごとに安全性を確保する仕組みを構築し、各クラスで規制基準を設けて適切に運用していると現状を説明した。ちなみに手術支援ロボットは、不具合が生じた場合に人体へのリスクが比較的高いと考えられる高度管理医療機器（クラスIII）に分類される。

　今後の課題として、高橋氏は「ファームウェアの改修やシステムのアップデートなどを実施したり、対象システムの大規模化が進むことで都度承認を得る必要がある。その点が議論される可能性があるだろう」との見解を示した。また、医薬品医療機器等法で規制対象となった単体のソフトウェアが起因する人身事故が発生した場合、製造物責任法による損害賠償に対象になり得ると解説した。

白熱した質疑応答も

　講演後、登壇者と参加者との間で質疑応答が行われ、機密性の高い医療・健康情報をどう活用していくべきか、そのために必要な体制をどう構築していくべきかに関して活発な議論がなされた。

海外との比較で考える、遺伝子情報の適切な取り扱い

質問者A　ゲノム情報はかなりセンシティブな情報で、フルゲノムシーケンスを見れば個人情報を特定できてしまいます。「HIPAA（Health Insurance Portability and Accountability Act）」との兼ね合いを考えると、氏名を匿名化してもゲノム情報から個人を簡単に特定できます。一方、「どのようにゲノム情報を有効活用するか」という点も課題の1つです。ゲノム情報やライフログを共有することで、環境医学の専門家は「罹患原因の特定」「危険因子を保有しても発症しない」などの分析に用いることも可能です。これにより、疾病対策がしやすくなるという側面もあります。遺伝子情報の取り扱いや次世代研究を進める上で、どのような枠組みを構築すればいいのか。個人的な見解、または実際の取り組みなどを教えてください。

笹原氏　米国の事例を紹介します。私が学んだ米ボストン大学（Boston University）では「フラミンガムハートスタディ（Framingham Heart Study）」というコホート研究を実施・運営しています。心血管疾患に先行する因子とその自然歴を研究するため、参加者の既往歴などのデータに加えて、冷凍保存した遺伝子（血清）から遺伝子型決定データの解析研究も実施しています。この院で氏決定型データは、全てインフォームドコンセントを取ったものです。継続的にコホート研究を実施するためには、協力してくれる地域住民との間でインフォームドコンセントに関する合意形成を図り、常に地域住民に情報をフィードバックしながら地域コミュニティーを運営するというノウハウが必要です。米国の研究機関の多くがそのノウハウを既に持っています。

　日本の多くの研究者がこの研究のアウトプットを参考にするのですが、フラミンガムハートスタディ事務局が地域の自治体や地域の住民とどういった形でコラボレーションしているかという部分に関してはあまり知られていません。地域自治体や住民との連携は、大規模なコホート研究では大抵必ずやっていることです。例えば、米国立衛生研究所（National Institutes of Health： NIH）には必ず報告が入るので、それを参考にするのもよいでしょう。またNIHは大西洋を跨いだ欧米間のコホート研究も行っており、「EUデータ保護指令」の条件をクリアすることが前提になります。こうしたコミュニティーマネジメントに関するノウハウを日本のコホート研究で実践できれば、特に東北地方での東北メディカルメガバンクで期待できる結果が得られるのではないかと思います。

質問者A：　米国では、人間の個人差を生み出す一要因とされる「スニップス」（single nucleotide polymorphisms：SNPs）の研究を民間企業が主導で進めていると聞いています。例えば、米Googleが出資した企業である23andMeは、合衆国食品薬品管理局（U.S. Food and Drug Administration： FDA）の認証取得に動いています。日本の企業ではこうした認証取得の活動を全く行っていません。グローバルの観点で考えると薬を開発することで知的財産化できます。実際にマイニングして得られた情報に関して、「知的財産化されたものは誰が所有すべきか、またどう取り扱うのか」がきちんと議論できていないと認識しています。この点についてはどうお考えですか。

笹原氏　23andMe以外にも知的財産に関する展開があります。例えば、希少性疾患向けの医薬品開発におけるクラウドソーシングです。知的財産に関する権利をオープンにして、新たなイノベーションを生み出そうという発想が特に欧米諸国から出てくる可能性が高いです。逆にそれにより「さらに差をつけよう」という動きが恐らく他の国から出てくると思います。新興国にとってはとてもメリットがあります。従来の知的財産の延長のようなビジネスモデルでは絶対に成り立たなくなります。クラウドソーシングやシビックテクノロジーなど今までとは違う発想で事業化するモデルを考えないといけなません。むしろ、そうした新しい発想の方が実現する可能性が高いのではないかと私は思っています。

東氏　現在、政府はメディカルメガバンクやがん研究センターなどに取り組んでいますが、日本のコホート研究や遺伝子情報の取り扱いに関して、どういうロードマップで、どのタイミングで、どこに目標を定めるかについて具体的なイメージはあるのでしょうか。個人的な私見でもいいのでお聞かせください。

谷脇氏　現時点ではまだ十分できてはいないと思います。ただ、メディカルメガバンクを始めるときに「経済安全保障」に関する議論がされました。安全保障には2つの観点があります。1つは武力攻撃に対する国家安全保障の問題、もう1つは競争力そのもの、あるいはプライバシーをどう守るかという経済面での安全保障があります。日本の健康・医療データが海外に蓄積されることで、仮にデータを活用しようとしてもコアコンピタンスになる部分がクローズの状態となり、市場が広がっても利益が全部他国に抜かれてしまうこともあり得ます。実際に、アフリカでは種子に関するビジネスで起こっています。こうした事態をパーソナルデータ領域で起こしてはいけないでしょう。

「個人の権利」と「全体の利益」

質問者B　日本では「個人の権利」が優先され、「全体の利益」が後回しになっています。東日本大震災の被災地では最近になって、壊れた自動車を持ち主に断らなくても撤去できるようになりました。全体の利益を考えれば、最初からできて当たり前のような気がするのですが、日本だとやはり個人の権利が優先されています。過度な優先といえば個人情報も同様です。以前調べた医療のIT化状況に関する調査では、日本が20％半ば、アメリカが20％後半で北欧諸国が70～80％という高い結果となりました。なぜIT化がそれほど進んでいるのかを質問したところ、北欧では日本で現在定義されている個人情報に近い部分をオープンにしていることが医療IT化の要因になっているようです。個人情報や個人の利益を優先した結果、全体としては不利益になっている現状について、政府として「全体の利益」を優先するような考え方はあるのでしょうか。また、そういうことが少しずつ改善されている実例があれば教えてください。

谷脇氏　公共の利益と個人の利益の関係は根源的な問題だと思います。少し違う例でお話したいと思います。憲法で保証されている権利として「通信の秘密」があります。サイバー攻撃が非常に多くなってきた現在でも、インターネットサービスプロバイダー（ISP）では通信の履歴などの個人情報は捜査当局に渡さないのが原則です。しかし、これだけ被害が多い状況を考慮すると、一定の条件の下で情報をいわゆる「正当業務行為」として渡すことが公共の利益にかなうのではないかという議論があります。そして、総務省では個人情報保護ガイドラインの見直しを進めています。先ほどの自動車の撤去に関しても、同様に一部規制を緩めることで実現できたわけです。個人情報保護法の壁があって、被災地ではなかなか情報が共有されなかった事例もあります。非常事態であると位置付けて、平次とは異なる情報共有を可能にして命を助けるという検討も重要だと考えます。

　また東日本大震災では、警察と消防、行政と医療機関との情報伝達や共有も縦割り状態にあったと聞きます。現場レベルでは横の情報連係も大変重要です。ただ、政府が公共の利益を振り回すことも非常に危険なことです。立法府のチェック機能が必要だと考えます。

高橋氏　谷脇さんの話にもありましたが、政府が全体の利益を振り回す危険性は重要です。それを踏まえて、政府は基本的に個人の立場からその枠組みを構築しています。この枠組み自体は社会的な安定に寄与しているといえます。ただ、衝突する部分はあるので「このケースではこう対応すべき」という実務規範やコードを事前に設けるのがスマートな対応方法だと思います。

　安全性や安心性を事前に準備することの重要性は、なかなか社会から評価されません。準備にはコストや時間がかかることも要因の1つです。「どういうときに、どんな問題が起きるのか」を把握しているのは各業界の現場だと思います。現場レベルでの共同規制の構築が今後重要になると考えます。また、そうした現場の声を念頭において政府がサポートするという体制が理想的な姿だと思います。

---

　後編では、2015年3月7、8日に実施されたハッカソン競技の内容をお届けする。