京都府立医科大学附属病院実習の報告書写真のSNS投稿（学生による不適切な行為・患者を直接特定できる情報は映っていないと公表）
公表日
京都府立医科大学で、学生が附属病院での実習報告書を写した写真をSNSに投稿していたことが分かった。大学は、患者を直接特定できる情報は映っていなかったとしている。
対象者は？
附属病院の実習で対象となった患者とその家族。人数は公表されていない。大学によると、写真に患者を直接特定できる情報は映っていなかった。
対象となった患者と家族には、附属病院が状況を説明し謝罪したとされる。一般の方が自分が対象かを調べる方法は、公表されていない。
何が起きたのか
京都府立医科大学は2026年8月14日、附属病院での実習について、学生が実習報告書を写した写真をSNSに投稿していたことが分かったと発表した。学生は2026年度前期の実習報告書を撮影して投稿していた。大学は、写真に患者を直接特定できる情報は映っていなかったとしている。附属病院は対象患者と家族に状況を説明し、謝罪した。
なぜ起きたのか・なぜ広がったのか
分かった経緯や原因は、公表資料から確認できない。大学はこの行為を「医療に従事する者として、極めて不適切」としている。また「個人情報漏洩」とは表現せず、「学生による不適切な行い」として発表した。
いまの状況2026-09-04 時点続報待ち
大学と附属病院は、実習情報の取り扱いルールを見直し、学生への教育を徹底するとしている。具体的な対策の内容は、まだ発表されていません。投稿されたSNSの名称、公開範囲、投稿や削除の日時、閲覧数、対象患者数もまだ発表されていません。
企業として考えたいこと
自社で、実習生・アルバイト・委託先の人が業務の記録や資料を撮影したりSNSに載せたりしないよう、決まりを分かりやすく伝えていますか。
技術的な要約
京都府立医科大学は2026年8月14日、附属病院で実施した実習について、本学学生が実習報告書を写した写真をSNSへ投稿していたことが判明したと公表した。学生は2026年度前期の実習報告書を写真に撮って投稿していた。大学によると、投稿された写真には患者を直接特定できる情報は映っていなかった。大学はこの行為を「医療に従事する者として、極めて不適切」とし、附属病院は対象患者と家族に説明して謝罪した。大学と附属病院は実習情報の取り扱いルールを見直すとしているが、具体的な対策内容や投稿の範囲などは公表されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明外部からの侵入ではなく、学生が実習報告書を写した写真をSNSへ投稿した事案。大学は「個人情報漏洩」とは表現せず「学生による不適切な行い」として公表している。判明の経緯は公表資料から確認できない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし 業務停止に関する公表はない。
- データ
- なし上限 —確定 —大学によると、投稿された写真には患者を直接特定できる情報は映っていなかった。投稿されたSNSの名称、公開範囲、投稿日時、削除日時、閲覧者数、実習報告書の具体的内容、対象患者数は公表されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
公表された事実の範囲 事実
京都府立医科大学は2026年8月14日、附属病院で実施した実習について、本学学生が実習報告書を写した写真をSNSへ投稿していたことが判明したと公表した。学生は2026年度前期の実習報告書を撮影して投稿していた。大学によると、投稿された写真には患者を直接特定できる情報は映っていなかった。大学はこの行為を「医療に従事する者として、極めて不適切」としている。附属病院は対象患者と家族に状況を説明し、謝罪した。大学と附属病院は実習情報の取り扱いルールを見直し、学生への教育を徹底するとしている。
公表されていない事項 事実
投稿されたSNSの名称、公開範囲、投稿日時、削除日時、閲覧者数、実習報告書の具体的内容、対象患者数は公表されていない。個人情報保護委員会への報告についても公表資料に記載がなく、確認できなかった。私物スマートフォンの持ち込み制限、実習資料の撮影禁止、SNS利用規程の変更など、具体的な対策内容も公表資料には示されていない。実習情報の取り扱いルールの見直しは、予定として示されている段階である。大学は今回の事案を「個人情報漏洩」とは表現せず、「学生による不適切な行い」として公表している。
事案の性格と読み取れること 解釈
本件は外部からの侵入ではなく、学生による情報の取り扱いに関わる事案として公表されていると読める。写真に患者を直接特定できる情報が映っていなかったとされる一方、実習報告書は医療現場の記録に由来するため、SNSに出た時点で組織の管理から離れる。附属病院が対象患者と家族へ説明し謝罪している点は、特定可能性の有無とは別に、患者との信頼への影響を重く受け止めた対応とも解釈できる。ただし公開範囲や閲覧状況が公表されておらず、影響の大きさは外部からは評価できない。
対応
- 封じ込め
- 附属病院は対象患者と家族に状況を説明し、謝罪した。大学と附属病院は実習情報の取り扱いルールを見直し、学生への教育を徹底するとしている。私物スマートフォンの持ち込み制限、実習資料の撮影禁止、SNS利用規程の変更など具体的な対策内容は公表資料に示されていない。
- 公表の仕方
- 2026年8月14日に「学生による不適切な行い」として公表。大学は「個人情報漏洩」とは表現していない。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 実習記録は、直接の識別情報がなくても取り扱い規則の対象にする必要がある。 | 実習で扱う資料を分類し、撮影・持ち出し・投稿を禁じる範囲を文書で明示する。学生が実習前に同意書へ署名する運用にする。 |
| 規則の周知は一度の説明だけでは定着しにくい。 | 実習開始前と学期ごとに、SNS投稿の禁止事項を扱う短い研修と理解度確認を実施し、受講記録を残す。 |
| 報告書など紙の資料は、撮影による持ち出しを技術的に防ぎにくい。 | 報告書に患者の情報を書かない書式にし、記入欄を匿名化する。保管場所と閲覧場所を限定する。 |
| 発生時に公表すべき項目を事前に決めておくと、続報の空白を減らせる。 | インシデント対応手順に、投稿先、公開範囲、投稿・削除日時、閲覧状況、対象者数の確認項目を入れ、確認後に公表する体制を整える。 |
| 投稿の早期発見と削除要請の経路が必要である。 | 学内外からの通報窓口を整備し、SNS事業者への削除申請の担当者と手順を定めておく。 |
自組織などでの確認項目
- 自組織で、実習生や委託先が扱う記録について、撮影やSNS投稿を禁じる規則は文書化されているか。
- 自組織の資料は、個人名がなくても組み合わせで個人を特定できる内容になっていないか、点検できているか。
- SNSへの不適切な投稿が見つかった場合、誰が何日以内に事実確認し、対象者へ説明するかが決まっているか。
未解明点
- 投稿されたSNSの名称、公開範囲、投稿日時、削除日時、閲覧者数は何か。
- 対象患者数と、実習報告書にどの範囲の内容が記載されていたのか。
- 判明の経緯と、個人情報保護委員会への報告の有無はどうか。
- 実習情報の取り扱いルールは、具体的にどう見直されるのか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-08-16報道本文確認済
- 2ScanNetSecurity2026-09-04報道本文確認済
- 3京都府立医科大学公式本文確認済