スマホに入れるべきなのは身分証だけではない、医療データ時代の「信頼の設計図」

身分証がスマホに入ると、社会の何が変わるのか

スマートフォンが身分証の代わりになると聞くと、多くの人は「カードを一枚持ち歩かなくてよくなる」と考える。けれども、本当に起きる変化は、財布の軽量化ではない。本人であることを証明する機能が、常時接続された個人端末に移ることである。

マイナンバーカードのICチップには、電子申請やログインの際に、操作している人がカードの保有者本人であることを証明する電子証明書がある。今後は、カードにある残りの機能もスマートフォンに搭載できるようになる。これは行政手続きの利便性を高めるだけでなく、医療、金融、教育、雇用など、本人確認が必要な領域の入口を一つの端末に集約する可能性を持つ。

一方、台湾では、健康保険ICカードと医師の医療専門職ICカードを組み合わせ、患者の同意のもとで、別の医療機関にある過去6か月間の重要な医療記録を取得できる仕組みが整備された。各病院の電子カルテを標準化し、ゲートウェイを経由して全国的な交換センターから検索、取得する構成である。

一見すると、一方は身分証のデジタル化、もう一方は医療情報の共有であり、別々の話に見える。しかし両者が突きつけている問いは同じだ。

「あなたが本人である」と確認できたとき、その先にある情報を、誰が、どの範囲で、どの瞬間に利用できるのか。

デジタル社会の本当の課題は、本人確認の強化ではない。本人確認の後に広がる権限を、どのように細かく制御するかである。

本人確認と情報アクセスは、同じものではない

現実のカードは、複数の役割を一枚にまとめている。身分を示し、資格を示し、場合によっては情報へのアクセスを可能にする。しかしデジタル環境では、これらを一つの「ログイン」として扱うと危険が生じる。

たとえば、病院の受付で本人確認ができたからといって、その病院が過去のすべての診療記録を見てよいとは限らない。皮膚科の医師が、数年前の精神科の記録や、別の医療機関で受けた検査結果まで自動的に閲覧できる必要はない。本人であることは、情報を見てよい理由の一部ではあっても、十分な理由ではない。

ここで区別すべきなのは、次の三つの層である。

・ 認証: 操作している人が誰かを確認すること ・ 認可: その人や機関が何をしてよいかを定めること ・ 記録: いつ、誰が、何にアクセスしたかを残すこと

スマートフォンに身分証の全機能が搭載されると、認証は大幅に便利になる。しかし便利な認証は、認可の設計が粗いままだと、巨大な合鍵にもなりうる。台湾の医療情報交換の仕組みが示す重要な点は、情報を一か所に集めることではなく、医療機関ごとの記録を保持したまま、標準化された形式と検索の仕組みで必要な情報を取り出せるようにした点にある。

これは建築に似ている。すべての書類を一つの倉庫に移す集中型の設計ではなく、各施設に保管庫を残し、中央には目録と接続口を置く。必要な人が、必要な時に、必要な書類だけを取り寄せる。データを集めることと、データを使えるようにすることは別の問題なのである。

便利さは「一つにまとめる」ことから生まれない

デジタル化では、情報を一つのアプリ、一つのID、一つのデータベースにまとめるほど便利になると思われがちだ。しかし実際には、利便性は統合の度合いではなく、適切な文脈で、必要な情報に到達できることから生まれる。

空港の保安検査を考えてみよう。係員が確認したいのは、搭乗者が予約者本人か、危険物を持っていないか、搭乗資格があるかである。係員に、その人の全履歴や私生活の記録を見せる必要はない。目的に応じて、提示する情報を限定するからこそ、検査は機能する。

医療でも同じである。救急外来では薬剤アレルギーや服薬状況が重要になる。会計では保険資格が重要になる。研究では個人を特定できない統計情報が必要になる。本人確認が一度済んだからといって、これらすべての利用目的が自動的に正当化されるわけではない。

この考え方を、目的別の最小開示と呼ぶことができる。本人の情報を「全部見せるか、まったく見せないか」という二択にせず、目的ごとに必要最小限の属性だけを提示する発想である。

たとえば、年齢制限のあるサービスを利用する際に、氏名、生年月日、住所、個人番号をすべて渡す必要はない。「基準年齢以上である」という事実だけを証明できればよい場合がある。医療機関同士の情報交換でも、「過去6か月の重要な記録を全部取得する」という仕組みをさらに進めるなら、診療科、緊急度、患者が指定した範囲などによって、アクセスを細分化できるだろう。

強いデジタル社会とは、すべての情報を見られる社会ではない。必要な情報だけを、必要な相手に、必要な時間だけ見せられる社会である。

患者の同意は、押すボタンではなく設計である

医療情報の共有では、患者の書面による同意が重要な役割を果たす。だが、同意書に署名したという事実だけで、十分な自己決定が実現するとは限らない。専門用語が並ぶ長い文書を前にして、患者が実際に理解しているとは限らないからだ。

本当に必要なのは、同意を一回限りの儀式から、可視化された継続的な操作へ変えることである。患者がスマートフォンで次のような内容を確認できる仕組みを想像してほしい。

・どの医療機関がアクセスしたか ・どの種類の情報を閲覧したか ・閲覧は診療、救急、請求など、どの目的だったか ・アクセスを許可した期間はいつまでか ・自分で許可を撤回、変更できるか

この履歴は、単なる監査記録ではない。情報を預ける人にとっての「見える化された境界線」である。アクセスする側にとっても、見られていることが明確になるため、不要な閲覧を抑制する効果がある。

ただし、すべてを患者の判断に委ねるのも現実的ではない。意識不明の患者に、毎回スマートフォンで許可を求めることはできない。そこで必要になるのが、緊急時の例外規則と、例外を使った後の説明責任である。緊急アクセスを認めるなら、誰が、何を根拠に、どの情報へアクセスしたかを必ず記録し、後から本人に通知する。信頼とは、例外をなくすことではなく、例外を追跡可能にすることである。

「持ち運べるID」から「持ち運べる権限」へ

スマートフォンに身分証の機能が入ると、IDは物理的なカードから解放される。しかし次の段階では、IDだけでなく権限そのものが持ち運ばれるようになる。

ある人が病院を受診するとき、スマートフォンは単に「私は誰か」を示すだけでなく、「この医療機関に、私の検査結果を、今回の診療目的に限って閲覧させる」という許可を伝える装置になる。学校では在籍資格、金融機関では本人確認と取引権限、行政では給付資格を、状況に応じて提示する。こうした仕組みでは、IDは固定された身分証ではなく、状況ごとに発行される限定的な通行証になる。

この変化には、三つの設計原則が必要だ。

第一に、権限を細かく分けること。本人確認、情報閲覧、情報更新、第三者への再共有を、同じ権限として扱わない。

第二に、権限に期限をつけること。一度許可したアクセスが永久に残るのではなく、診療期間や目的の終了とともに失効するようにする。

第三に、権限の行使を本人が理解できること。誰に何を許可したのかが、専門家でなくても確認できなければならない。

この三原則があれば、デジタル化は監視の強化ではなく、自己決定の精度を高める方向へ進む。逆に、認証だけを強化し、権限の範囲を曖昧にしたままでは、便利な入口から過剰な情報収集へ滑り落ちる。

Key Takeaways

・ 本人確認と情報アクセスを分けて考える。ログインできたことは、すべてのデータを閲覧できることを意味しない。

・ 目的別の最小開示を求める。サービスや医療機関に、目的達成に不要な個人情報まで渡していないか確認する。

・ アクセス履歴を確認する習慣を持つ。誰が、いつ、どの情報を見たかを確認できる仕組みは、プライバシー保護の中心になる。

・ 期限付きの同意を選ぶ。一度の同意を無期限に広げず、利用目的と期間を限定する。

・ 緊急時の例外と事後説明を確認する。例外的なアクセスを許す制度ほど、記録と通知の仕組みがあるかを見る。

これからのデジタル公共基盤に必要なもの

身分証をスマートフォンに搭載することと、医療記録を機関横断で交換することは、どちらもデータの移動を容易にする。しかし、データが動きやすくなるほど、社会が問われるのは技術の性能ではなく、境界線の性能である。

誰が本人かを確かめる技術は、すでにかなり進歩している。これから競争すべきなのは、誰が本人かを知った後に、どこまで知ってよいのかを決める技術だ。スマートフォンは、身分証の代用品になるだけではない。それは、個人が自分の情報の流通条件を設定するための、小さな権限管理室になりうる。

最終的に重要なのは、データを所有しているかどうかではない。データが自分についてのものであるなら、自分がその流れを理解し、制御し、後から検証できるかである。

未来の公共サービスを評価するとき、「手続きが速くなったか」だけを見るのは不十分だ。次に問うべきは、「必要以上の情報を渡さずに済むか」「許可を取り消せるか」「誰が見たか分かるか」である。

便利な社会とは、個人情報を差し出すことを我慢する社会ではない。自分の情報が、どの目的のために、どの範囲で、どの期間だけ使われるのかを、自分で選べる社会である。デジタル化の本当の到達点は、カードをスマートフォンに移すことではない。信頼そのものを、持ち運び可能で、限定的で、検証できる形にすることなのだ。