スペイン・マドリード共同体「デジタル健康戦略計画2026-2028」 / 欧州健康データ空間と二次利用ガバナンス 雑感

Ⅰ　欧州規制の地域実装という観点

　スペインのマドリード共同体は2026年2月、「Plan Estratégico de Salud Digital 2026-2028」（以下、PESD）を公表した〔注1〕。700万人以上の人口を抱える医療システムのデジタル変革を描くこの文書を通読して、単なる技術導入計画を超えた何かを感じた。欧州健康データ空間（Espacio Europeo de Datos de Salud、以下EEDS）〔注2〕や一般データ保護規則（GDPR）〔注3〕、EU AI法〔注4〕といった欧州の法的枠組みを、700万人規模の医療システムの実際の運用基準に落とし込もうとする制度設計の試みとして読むことができるからである。

　この計画の公表に際し、現地のガバナンス法務担当者は「データガバナンスは流行の技術的要素ではなく、信頼、公共的価値、そして研究や医療における実質的な影響を生み出すために必要な条件だ」と述べている〔注5〕。データを単に「活用すべき資源」として捉えるのでなく、権利保護と利活用の調整を担う規範的問題として設計することが、制度の持続性に直結するのである。

1　PESDの規制的文脈

　PESDが依拠する規制的枠組みは、現在EU法の最前線にある複数の法令によって構成されている。GDPRとその国内実施法LOPDGDD（Ley Orgánica 3/2018）が健康データ処理の基本的根拠を定め、2025年成立のEEDSが健康データの一次利用・二次利用の枠組みを構築し、EU AI法が医療分野のAI利用に対してリスク分類に応じた義務を課す。

　スペインは2023年にマドリード共同体が全国初の「デジタル化専管省（Consejería de Digitalización）」を設置し、その傘下に「デジタル健康総局（Dirección General de Salud Digital）」を創設した。法制度上の位置づけとして、この制度的選択は、ガバナンスの責任所在を明確化しつつEU法上の各種義務の履行体制を整備する意図と読める。

2　EEDSへの適応

　EEDSは、健康データの一次利用（患者本人による自己情報へのアクセス等）と二次利用（研究、公衆衛生、政策立案等）を区別した上で、各国・各地域に対してアクセスを承認・監督する指定機関の設置と、データの匿名化・社会的利益の確保を義務付けている。マドリード州が「戦略的資産としてのデータ」軸（Eje 3）において「データ政府管理オフィス（Oficina de Gobierno del Dato）」の設置を明示していることは、このEEDS上の制度的要件と直接対応している。

　同オフィスは、データの品質、セキュリティ、追跡可能性と倫理的利用を保証する方針を策定・監督する機関として位置づけられている。計画文書は、法務・技術・医療の専門家が協調してデータアクセスの規則を定める体制を描いており、二次利用の信頼性を担保するための制度設計として一定の合理性を認めることができる。

Ⅱ　データ基盤と新技術導入の法的含意

1　「欧州最大の健康データ湖」の問題

　PESDが「欧州最大の健康データリポジトリ」と説明するマドリードのデータ基盤は、400以上の医療アプリケーションから160億件以上のレコードを統合しているとされる。さらに700TBのゲノム情報を含む「マドリードゲノム解析センター（Centro Madrileño de Análisis Genómico, CMAG）」の整備も計画に盛り込まれている。

　ゲノムデータはGDPR上の特別カテゴリデータ（第9条）の中でも特に識別可能性と遺伝的感受性情報を含む点で、保護水準が特に高い類型に属する。二次利用の法的根拠として科学的研究の例外（第9条第2項(j)）が援用され得るが、その適用には目的の限定、データ最小化原則の遵守、適切な安全措置の確保という要件の充足が必要である。計画文書が「承認されたユースケースにおける規制されたアクセス」という表現を繰り返す背景には、この規範的要請があると解される。

2　AI法への対応設計

　テクノロジーの先端性軸（Eje 5）のAIライン（5.1）は、AI推進オフィス（Oficina de Impulso de la Inteligencia Artificial）との連携のもとで倫理的・安全・透明な使用を保証する体制を構築するとしている。

　EU AI法は、医療診断支援、患者管理、臨床意思決定支援等を高リスクAIシステムとして分類し、適合性評価、技術ドキュメントの整備、人間監視（human oversight）の確保等を義務付けている。PESDが想定する「需要予測モデル」「転写・文書化支援」「医療画像解析支援」の多くは、このカテゴリに該当し得る。計画文書が「専門家の判断を代替するのではなく補助的な道具として人工知能を位置づける」という姿勢を繰り返すのは、人間監視要件を意識した文脈であると読める。

　もっとも、計画文書の記述レベルでガバナンス要件への対応が宣言されているからといって、個々のAIシステムがAI法の実体的要件を充足していることにはならない。適合性評価の実施や透明性義務の具体的充足は、実装段階で初めて問われることになる。計画と実装の間には常にギャップが存在し得るという点は、どの国の文脈においても忘れるべきでない。

3　サイバーセキュリティ体制

　医療分野を対象とするサイバー攻撃リスクに対し、計画はNIS2指令に整合した対応体制の構築も掲げている。具体的には、「医療分野向けサイバーセキュリティ実証センター（Centro Demostrador de Ciberseguridad）」を設立し、実際の運用環境への導入前にシステムを検証する機構を整備するとされる。一次利用・二次利用のいずれにおいても、患者のプライバシー権保護の前提としてシステム全体の保護体制を確保することは、データガバナンスの基礎条件である。

Ⅲ　むすびにかえて

　PESDが描く構想は、EU規制の潮流の中で健康データをいかに統治し、AIをいかに医療に組み込むかという問いへの地域的回答の試みとして、比較法的な関心を喚起する。計画文書が一貫して「デジタル化は人間的ケアを代替するのではなく強化するものでなければならない」と繰り返す姿勢は、単なる宣言ではなく、AI法が人間監視を規範的要件として課していることとも共鳴している。

　データの二次利用がもたらす公益と個人の権利保護という調整困難な要請を法的に処理しようとするとき、規範をシステム設計の初期段階から組み込むガバナンス・バイ・デザインの発想が求められる。マドリードの取り組みが、その理念を実装レベルで実現できるかどうか、継続的な注目が必要であると筆者は考える。

（参考）

（マガジン）「AIと法-雑感」

　※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。