2017年の個人情報保護法改正によって、要配慮個人情報に指定された健康医療情報のデータ駆動型利用は、第三者の商用目的の開発や薬事承認申請などでのデータ利用では、従来の匿名化では個別同意が必要となり、ビッグデータを用いたAI等のプログラムの商品化などに困難が生じた。なお研究目的であれば「人を対象とする生命科学・医学系研究に関する倫理指針」を遵守することでオプトアウトにより第三者にデータを渡すことが可能である。そこで2018年に次世代医療基盤法が実施され、2021年8月までに2つの認定匿名加工医療情報作成事業者（以下、認定機関）が承認された。同法では、医療機関は患者に「通知によるオプトアウト（通知を個別に渡すこと）」を行えば、顕名データで認定機関に渡すことができ、他データ源のデータとの名寄せによりビッグデータ化した上で、匿名加工化（理論上個人には紐づけられない匿名化手法）を行うことによって、商用利用を含めた第三者利用が可能となった。しかしながら、通知をした症例のデータに限ること、オプトアウトを保証することが必要である。一方で、個人情報保護法上でも一定の事業者が基準を満たし義務を果たせば同意なしに匿名加工データを商用目的などの企業に渡すことが可能であるが、他のデータベースとの名寄せは不可である。 これらより、今後のデータ駆動型研究事業では、出口戦略で研究成果を商用利用することを含めて、データ収集開始時点から同意取得などの準備をしておくべきである。 日本医療情報学会では、2020年度にAMED・日本病理学会事業の分担研究として「健康医療情報の商用利用も含めた2次利用のための同意取得の方法の法制度・倫理課題抽出、およびワークフロー整備に関する研究」を受託し、成果報告とともに「個人健康医療情報の2次利用の手引き」等を作成した。 本報告では、匿名加工化手法、次世代医療基盤法への医療機関全体での対応法などを含めて概説する。