大阪公立大学医学部附属病院、取引業者従業員が手術室で患者X線画像をスマホ撮影

事案の概要データ

何が起きたのか

大阪公立大学医学部附属病院は2026年8月12日、手術室内で取引業者の従業員が患者のX線画像をスマートフォンで撮影していたことを公表しました。対象は13件です。

撮影が行われたのは2025年10月とされ、発覚・公表まで時間が空いています。行為者は病院の職員ではなく、取引業者の従業員でした。

手術室には、医療機器メーカーや器材の業者スタッフが立ち会うことが珍しくありません。そのため「病院の中にいる人＝病院の職員」とは限らず、委託先スタッフを含めた管理が必要になります。

委託先の“スマホ1台”が穴になる

この事案の本質は、高度な攻撃ではなく「スマートフォンを持ち込めてしまう環境」です。今やスマホは、誰もが持っている高性能なスキャナであり、通信機能付きの記録装置です。

自社の従業員には情報セキュリティ教育を行っていても、外部の委託先スタッフにまで同じルールが伝わっていない会社は多いのが実情です。委託契約書に守秘義務条項があっても、現場のスタッフがそれを知らなければ意味がありません。

中小企業でも、清掃業者・保守業者・派遣スタッフなど、外部の人が社内に入る場面は必ずあります。「どこまで入れるか」「何を持ち込めるか」を決めておくことが実務的な対策になります。

時系列で見る経過

• 2025年10月手術室内で、取引業者の従業員が患者のX線画像13件をスマートフォンで撮影
• 2026年8月事案が発覚し、病院が事実関係を調査
• 2026年8月12日病院が事案を公表。対象は13件と発表
• 公表後委託先スタッフの私物持ち込みルールと監視体制の見直しを実施

中小企業が学ぶべきポイント

1. 委託先・協力会社のスタッフにも、自社と同じ情報管理ルールを適用する。契約書だけでなく現場で伝える。
2. 機微な情報を扱う場所は「スマホ持ち込み禁止エリア」として物理的に区切る。
3. 撮影による漏えいはログに残らない。人の目による相互チェックが有効な数少ない対策。
4. 発生から発覚までの時間が長い＝検知できていない証拠。定期的な棚卸しとヒアリングを行う。

出典・参考

• 2026年8月 個人情報漏洩の事例 まとめ - セキュリティ対策Lab