本プライバシー通知は、人工知能（AI）技術を含む研究開発（R&D）活動に関連して、Siemens Healthineers が個人データをどのように取り扱うかを説明するものです。本プライバシー通知は、AIを活用した技術、医療機器および関連するヘルスケアソリューションの開発、検証、改善およびサポートに関連する目的で、病院、クリニック、医療従事者、研究機関、大学その他の協力パートナー（第三者）から提供・移転される個人データに適用されます。
本プライバシー通知では、当社グループが取り扱う個人データの種類、取扱いの目的、当該データの開示を受ける可能性のある受領者、および当社グループによる個人データの処理に関連してデータ主体である本人に生じ得るリスクを説明します。また、個人データを保護するための措置および当社グループのプライバシー実務に関する問い合わせ方法についても説明します。また、個人情報保護のために当社グループが講じている措置および当社グループの個人情報保護の運用についてお問い合わせいただく方法についても説明します。
プロジェクトごとの情報に別段の定めがない限り、本プライバシー通知に記載される個人データの処理に関するデータ管理者（Controller）は、当該個人データの取扱いの目的および手段を決定する Siemens Healthineers の法人です。多くの場合、これはドイツ連邦共和国にある本社Siemens Healthineers AG、または当該取扱いに責任を有する関連会社のいずれかです（以下「Siemens Healthineers」といいます）。日本に所在するSiemens Healthineersの各法人は、シーメンスヘルスケア株式会社、シーメンスヘルスケア・ダイアグノスティクス株式会社、株式会社バリアンメディカルシステムズ、株式会社アクロラド（以下総称して「日本法人」といいます）です。
多くの場合、個人データを受領する Siemens Healthineers の法人と当該データを提供する第三者とは、それぞれの個人データの取扱活動おいて、独立したデータ管理者として個人データを処理します。Siemens Healthineers と当該第三者が協働して個人データの取扱いの目的および手段を決定する場合は、両当事者は適用されるデータ保護法上の共同管理者（joint controllers）として行動します。この場合の共同管理者とは、必ずしも日本の個人情報保護法が定める共同利用とは同義ではありません。共同利用の場合、別途共同利用される個人データの項目、共同利用者の範囲、利用目的並びに共同利用管理者の詳細について通知または公表します。役割分担に関する詳細情報は、個別の情報または関連するデータ保護に関する通知で提供される場合があります。
Siemens Healthineers では、どのような個人データを処理していますか？
Siemens Healthineers は、データ主体である本人から直接個人データを収集することはありません。当社グループは、患者ケア、研究、臨床活動、医療機器の利用その他これらに関連する医療活動に関連して、第三者から個人データを受領します。当社グループは、以下の個人データを処理する場合があります。
- ヘルスデータ（医用画像、健康記録、検査結果等）、生体試料（血液または組織試料等）およびヒト生体試料の分析から得られるデータ
- 人口統計情報（年齢、性別、その他関連する臨床上の詳細情報等）
- 技術的メタデータ（データファイルの作成、保存または処理方法に関する情報等）
Siemens Healthineersは、個人を識別することを可能にする情報、例えば氏名や連絡先といった情報は受領しません。このような情報は、提供元である第三者のもとに保持され、Siemens Healthineers が実施するデータ処理において必要ありません。提供される個人データは通常、共有前に仮名化（または必要に応じて匿名化）されており、Siemens Healthineers はデータ主体を再識別するために必要な情報にアクセスできません。この場合、仮名化、匿名化いずれの場合であっても、日本の個人情報保護法等の適用法令に従って要件を満たす加工を行います。
Siemens Healthineers はどのような目的で個人データを利用しますか？
Siemens Healthineers は、研究開発目的、ならびに AI 技術、ソフトウェア、アルゴリズムおよび医療機器の設計、開発、トレーニング、テスト、検証、改善および微調整のために個人データを取り扱います。これには、安全性、性能、正確性、サイバーセキュリティおよび方法論を評価するための取扱い、品質管理および規制遵守に必要な文書・証拠の作成および維持、市販後監視、ビジランス、製品モニタリング、エラー分析、是正措置または予防措置の支援が含まれる場合があります。また、第三者との協業(コラボレーション)、ならびに必要に応じて法的請求権の主張、行使または防御のために個人データが取り扱われる場合があります。Siemens Healthineers は、どのような法的根拠に基づいて個人データを処理していますか？
Siemens Healthineers は、上記に定めた個人データの利用目的のため、EU一般データ保護規則（GDPR）および必要に応じて補完的なEU法または加盟国法に基づく適用可能な法的根拠により個人データを処理します。取扱活動およびデータのカテゴリーに応じて、以下のGDPRにおける法的根拠が適用される場合があります。また日本においては、個人情報保護法その他関連する適用法令に従い、要配慮個人情報を含む個人情報を、本人の事前同意を取得する等の必要な手段に基づき取り扱います。
- 同意（GDPR 第6条第1項(a)・第9条第2項(a)）：特別カテゴリーの個人データを含む個人データの取扱いについて、明示的な同意がある場合
- 公衆衛生分野における公共の利益（GDPR 第6条第1項(c)・第9条第2項(i)）：法的義務の遵守または公衆衛生分野における公共の利益のために必要であり、適用されるEU法または加盟国法に根拠がある場合。特に、医療機器規則および体外診断用医療機器規則に基づく市販後監視・ビジランス義務の遵守を含みます。
- 科学研究（GDPR 第6条第1項(f)・第9条第2項(j)）：科学研究目的または Siemens Healthineers の研究開発活動のために必要であり、GDPR 第89条第1項および該当する補完的なEU法または加盟国法により認められる場合
- 正当な利益／法的請求（GDPR 第6条第1項(f)・第9条第2項(f)）：Siemens Healthineers または第三者が追求する正当な利益のために必要であり、データ主体の利益または基本的権利・自由優先しない場合。特に、法的請求の確立、行使または防御のために必要な場合
Siemens Healthineers は、個人データを保護し、高い水準のセキュリティ、機密性および完全性を確保するために、技術的および組織的措置を実施しています。これらには、仮名化、評価結果の集計、アクセス制御、その他再識別リスクを低減するための保護措置が含まれる場合があります。Siemens Healthineersの日本法人における安全管理措置の詳細については、各日本法人のウェブサイトに掲載している個人情報保護方針をご確認ください。
上記の利用目的のため、Siemens Healthineers は、必要な場合かつ必要な範囲に限り、個人データを内部受領者および外部受領者に開示する場合があります。開示・移転の類型は、日本の個人情報保護法が定める委託、共同利用、第三者提供のいずれに該当するかは個別のケースに異なるため、ケースごとに確認を行い、要件を満たすべく対応します。当社グループ内の個人データの開示・移転については、個人情報保護法第28条に定める相当措置が継続的に講ずるために必要な体制を整備しています。
内部受領者：内部業務の遂行または Siemens Healthineers の契約上・法的義務の遵守のために当該データを必要とする Siemens Healthineers および Siemens Healthineers グループ会社の従業員が含まれます。
外部受領者： 取扱いの内容に応じて、処理者、独立した管理者、または法的義務に基づく受領者として行動する外部受領者が含まれます。具体例として、
- AI 研究開発活動を支援する医療提供者および委託サービス提供者
- コンソーシアムパートナーおよび研究機関、通知機関（Notified Bodies）
- 監督当局、執行当局、裁判所、倫理委員会
- ホスティング、IT 保守、サポートサービス等に関連して Siemens Healthineers に代わって個人データを処理するビジネスパートナーまたは IT サービス提供者が含まれます。
法的義務の履行、企業取引、または権利および請求の確立、行使もしくは防御に関与する第三者にも、個人データが開示される場合があります。これには、裁判所、仲裁機関、法執行機関、監督当局、弁護士およびアドバイザーが含まれます。
Siemens Healthineers は、個人データの処理に関する利用目的を達成するために必要な期間に限り、個人データを保存します。具体的な保存期間は、特にデータの種類、関連する研究、開発、品質または規制上の目的、適用される法定保存義務および文書化義務によって異なります。個人データを利用する必要がなくなった場合、法的義務または継続保存に関する正当な必要性が存在しない限り、当該データは削除または匿名化されます。
Siemens Healthineers はグローバルに事業を展開しています。本プライバシー通知に記載された利用目的のため、個人データは、Siemens Healthineers グループ内および欧州連合（EU）・欧州経済領域（EEA）外の第三国に所在する外部受領者に移転される場合があります。移転先には、特に米国、英国、スイス、中華人民共和国およびインドが含まれます。関連する第三国の完全かつ最新の一覧は、 dataprivacy.func@siemens-healthineers.com への請求により入手可能です。
EUからのデータ移転の場合、GDPR上の十分性認定が存在する第三国への移転は、GDPR 第45条に基づく当該認定に基づきます。十分性認定が存在しない第三国、特に中華人民共和国およびインドへの移転については、Siemens Healthineers は GDPR 第46条に基づく適切な保護措置、すなわち EU 標準契約条項（SCC）および補完的なグループ内データ移転契約に基づいて移転を行います。移転前には移転影響評価を実施し、必要に応じて仮名化、暗号化およびアクセス制限等の追加的な技術的・組織的措置により SCC を補完します。
日本の個人情報保護法が適用される日本国外への移転については、同法28条に従います。
英国のデータ保護法が適用される移転については、EU 標準契約条項を英国情報コミッショナー事務局が発行した International Data Transfer Addendum（UK Addendum）で補完します。スイスのデータ保護法が適用される移転については、EU 標準契約条項が、スイス連邦データ保護・情報コミッショナー（FDPIC）が認める修正（Swiss Addendum）とともに適用されます。
可能な場合、Siemens Healthineers は匿名化または仮名化されたデータを移転します。標準契約条項ならびに UK Addendum および Swiss Addendum を含む、使用される適切な保護措置の写しは、Siemens Healthineers Data Privacy Organization dataprivacy.func@siemens-healthineers.com にに請求することができます。
日本の個人情報保護法が適用される場合には、同法に定める匿名加工情報および仮名加工情報に関する規定に従います。
お客様は、データ主体である本人として、日本の個人情報保護法が定めるSiemens Healthineersが保有する個人データの開示、訂正、利用停止等の権利を有します。詳しくは、日本法人の各ウェブサイトで公表している個人情報保護方針をご確認ください。
次に定めるデータ主体の権利は、GDPRが適用される場合に関するものです。日本のお客様は、上記のとおり原則日本の個人情報保護法に基づく対応を行います。
GDPRが適用される場合には、データ主体は自己の個人データに関して一定の権利を有します。適用される法的要件に従い、お客様は以下の権利を有します。
- Siemens Healthineers が個人データを取り扱っているかどうかの確認、アクセス• 不正確な個人データの訂正
- 削除
- 取扱いの制限
- 提供した個人データの写しの取得または他の受領者への移転
- 取扱いが正当な利益に基づく場合の異議申立て
GDPRが適用される場合には、同意に基づく取扱いについて、将来に向けていつでも同意を撤回することができます。同意の撤回は、撤回前に行われた取扱いの適法性に影響を及ぼしません。
Siemens Healthineers がGDPRに規定される正当な利益を法的根拠とする場合、その利益はデータ主体の権利および自由と比較衡量されています。この利益衡量に関する詳細情報は、Siemens Healthineers Data Privacy Organization に請求することができます。
Siemens Healthineers は、受領した仮名化データのデータ主体を通常識別できないため、個別の事案において、データ主体を識別できない範囲で一定の権利行使が制限される場合があります。これは GDPR 第11条の条件に従います。データ主体が識別を可能にする追加情報を提供した場合、Siemens Healthineers は適用されるデータ保護要件に従って当該請求を評価します。必要に応じて、データ主体をデータ提供元の管理者に案内する場合もあります。ただし、この説明はGDPRが適用される場合に関するものであり、日本の個人情報保護法が適用される場合には、仮名加工情報の規定に従います。
個人データがGDPRの定める科学研究目的で取り扱われる場合、GDPR 第89条第1項および適用されるEU法または加盟国法によって認められる範囲において、一定の権利が制限される場合があります。特に、それらの権利の行使により研究目的の達成が不可能となる、または著しく妨げられる場合であって、その制限が当該目的のために必要である場合が該当します。
当社グループ全体における個人情報の取扱いについては、Siemens Healthineers のデータ保護責任者および Siemens Healthineers Data Privacy Organization は、データプライバシーに関する質問、意見、懸念、苦情、またはデータプライバシーに関連する権利行使を希望する場合にサポートを提供します。連絡先は dataprivacy.func@siemens-healthineers.com です。
Siemens Healthineers のデータ保護責任者および Siemens Healthineers Data Privacy Organization は、寄せられた問い合わせまたは苦情に対応し、解決するため最大限努力します。加えて、データ主体は、常居所、勤務地、または侵害があったとされる場所の加盟国における管轄監督当局に苦情を申し立てる権利を有します。Siemens Healthineers の管轄主任監督当局は、Bavarian Data Protection Authority（BayLDA）、Promenade 18, 91522 Ansbach, Germany です。EU各国の監督当局の一覧および連絡先は、EDPB のウェブサイトで確認できます。
日本法人における個人情報の取扱いについては、各法人のウェブサイトに掲載している個人情報保護方針に連絡先等を記載しておりますので、ご確認ください。
当社グループは、本プライバシー通知が正確かつ最新の内容であることを確保するため、定期的に見直しを行います。本プライバシー通知は随時更新される場合があります。重要な変更（ただし、日本の個人情報保護法が定める変更前の利用目的と関連性を有すると合理的に認められる範囲を超えない変更）については、当該変更が効力を生じる前に、適切な方法（本人への通知または公表）によりお知らせします。最終改訂日は本プライバシー通知の冒頭に記載されています。本プライバシー通知に変更がないか、定期的にご確認いただくことをお勧めします。