「クラウド型の問診システムを検討しているが、3省2ガイドラインとの兼ね合いをどう説明すればいいのか」——電子カルテやAI関連のサービスを検討している医療機関の情報システム担当者や事務長から、しばしば投げかけられる相談です。ガイドライン本文は数百ページに及び、通読して要点を抽出するだけでも半日仕事になります。
本記事では、3省2ガイドラインの構成と実務上の勘所を、医療機関の情報担当・事務長・院長向けに整理します。委託先管理とクラウド利用時の責任分界という、監査で重点的に確認されやすい2つの論点を中心に扱います。
3省2ガイドラインという呼び名の中身
「3省2ガイドライン」は、以下の2つのガイドラインをまとめた呼称です。所管する省庁が3つで、ガイドラインが2つあるため、この名前が業界の中で定着しました。
| ガイドライン名 | 所管省庁 | 主な対象 |
|---|---|---|
| 医療情報システムの安全管理に関するガイドライン | 厚生労働省 | 医療機関 |
| 医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン | 経済産業省・総務省 | システム・サービス事業者 |
厚労省版は現在第6.0版が公表されており、AI活用・クラウドサービス利用・サイバー攻撃対策など、近年の環境変化に合わせて数年ごとに改定されてきました。経産省・総務省版も、かつては2省それぞれで別のガイドラインが運用されていましたが、2020年に統合され、以降は共同で更新されています。
法的な位置づけ
3省2ガイドラインは、法律そのものではなく指針という位置づけです。ただし、医療法・個人情報保護法・医療情報の第三者提供に関する各種通知と連動しており、監査や事故対応の場面では事実上の準拠義務として扱われるのが実務上の共通認識です。準拠しない状態で情報漏えい等の事故が発生すると、行政指導・診療報酬の返還・民事賠償の各局面で不利に働きます。
なぜ改定が頻繁なのか
医療情報を扱う環境は、この5年で大きく変わりました。オンプレミス中心だった電子カルテがクラウド型に置き換わり、AIによる読影・要約が診療に組み込まれ、外部との情報連携も電子カルテ情報共有サービスや自治体プロジェクトを通じて日常化しています。ガイドラインはこうした構造変化に追従することが求められ、結果として改定サイクルが短くなっています。
関連記事：電子カルテ情報共有サービスとは？
厚労省ガイドラインが医療機関に求める4領域
厚労省ガイドラインは、医療機関の内部体制と運用に対して要件を示しています。細目は多岐にわたりますが、実務担当者が押さえるべき柱は次の4つに集約できます。
| 領域 | 求められる対応の代表例 |
|---|---|
| 医療情報システムの安全管理 | アクセス制御、ID/パスワード管理、ログの改ざん防止、バックアップ、災害対策 |
| 個人情報の取り扱い | 患者情報へのアクセス権限管理、利用目的の明確化、同意取得プロセスの文書化 |
| 委託先の監督 | 委託先選定基準、契約書での責任分界、定期的な監査報告の受領、再委託先の把握 |
| インシデント対応 | 発生時の報告体制、原因調査と再発防止、被害者対応と関係機関への通知 |
このうち、実地の監査でとりわけ重く確認されるのが委託先の監督です。院内の技術対策は院長・事務長の目が届きやすい一方、外部ベンダーの運用実態は書面と定期報告からしか読み取れず、監督の書類がそのまま監査で問われるためです。
同意取得プロセスの位置づけ
同意取得については、書面の存否だけでなく、患者に対して利用目的が具体的に説明されているかまで見られます。特に、二次利用や外部連携を想定する場合、包括同意ではなく個別同意に近い設計が求められる場面が増えています。この論点は同意管理の技術と直接つながるため、下記の別記事も参照してください。
経産省・総務省ガイドラインが事業者に求めるもの
事業者側のガイドラインは、医療機関に対してサービスを提供する側——SaaSベンダー、クラウド事業者、システム開発会社などが対象です。医療機関にとっては、契約前の選定基準として利用する文書と位置づけると理解しやすくなります。
| 領域 | 求められる対応の代表例 |
|---|---|
| 提供サービスの透明性 | サービス仕様・機能の明示、データ所在地（国内/海外）の開示、バックアップ方針の説明 |
| セキュリティ対策 | ISMS（ISO/IEC 27001）等の第三者認証、脆弱性管理、侵入検知と対応 |
| データ取扱いの明確化 | データの暗号化、アクセス制御、保存期間と削除方針の明示 |
| インシデント対応 | 24時間の受付体制、医療機関への迅速な報告、損害賠償責任の契約明記 |
医療機関の選定担当者は、これらの要件を「事業者に確認する質問リスト」に転換すると実務が回りやすくなります。たとえばデータ所在地の項目は「サーバは国内ですか」ではなく「一次データ・バックアップ・ログの各所在地を明示してください」まで踏み込むと、後から想定外の海外リージョン利用が発覚するリスクを下げられます。
クラウド利用時の責任分界をどう書き分けるか
クラウドサービスをそのまま医療情報に使うこと自体は、ガイドラインで禁止されていません。むしろ、条件を満たせば積極的に活用してよいという整理です。要件は責任分界の明確化——医療機関側とクラウド事業者側で、どの領域まで誰が責任を持つかを、契約書とSLAに書き分けておくことです。
一般的な責任分界の書き方の例を示します。個別のサービスによって微妙に変わりますが、監査時に見せられる粒度としてはこの程度が下限となります。
| 領域 | 医療機関の責任 | クラウド事業者の責任 |
|---|---|---|
| 患者データの入力・管理 | 主 | 補（機能提供） |
| サーバ・ネットワーク等インフラ | — | 主 |
| データの暗号化 | 補（鍵管理の運用） | 主（実装提供） |
| アクセス権限の設定 | 主（運用） | 補（機能提供） |
| バックアップの実行 | — | 主 |
| インシデントの一次対応 | 主 | 補（詳細調査） |
責任分界表は「作って終わり」ではありません。年次で見直すこと、契約更新時に事業者側の仕様変更を反映すること、監査時に最新版を提示できる状態にしておくことまで含めて運用と考えたほうが、実態と乖離しにくくなります。
委託先管理で見落とされやすい実務
委託先管理は、ガイドラインの中で最も文字数を割かれている領域の一つです。実地の現場で漏れが発生しやすいポイントを、6項目に整理して示します。
- 委託先選定基準の文書化——ISMS取得状況・医療領域での実績・情報漏えい事故歴などを、選定基準として明文化しておく
- 契約書の整備——責任分界、損害賠償、秘密保持、監査受入義務を明記する。既存契約が旧テンプレートのままなら見直したい
- 定期的な監査報告の受領——年1回以上の頻度で、事業者から実運用のログ・アクセス統計・インシデント履歴を受け取る
- 再委託先の把握と承諾——サーバ、監視、開発、CS対応など、実務が下請けに再委託されているケースは多い。都度の承諾プロセスを設ける
- 事故時対応の訓練——机上訓練でよいので、事故発生から報告完了までの時間を計測しておく
- 契約終了時のデータ取扱い——返却なのか削除なのか、証跡はどう残すか。ここが曖昧だと乗り換え時に紛争化する
このうち、内部監査で特に指摘されやすいのが再委託先の把握です。契約書には「再委託時は事前承諾を得る」と書かれているのに、実際には包括承諾で運用されていて、下請け構造の全容を医療機関側が把握できていない、というパターンが典型的です。
準拠状況の棚卸しに使うチェック項目
自院での準拠状況を確認する際は、下記4カテゴリーで簡易セルフチェックを回すのが実務的です。監査本番の前に穴を洗い出す用途で活用できます。
管理体制
- 医療情報システム安全管理者を任命し、内部規程に明記しているか
- 内部規程・マニュアルが最新版の運用と整合しているか（改定履歴があるか）
- スタッフ教育を年1回以上実施し、参加記録を保管しているか
技術的対策
- アクセスIDとパスワードのライフサイクル（発行・変更・失効）が管理されているか
- ログ監視の体制があり、不審アクセスの検知手順が定まっているか
- バックアップと災害復旧計画が文書化され、復旧時間目標（RTO）が現実的か
委託先管理
- 委託先の選定基準が文書化され、選定時に評価記録を残しているか
- 契約書に責任分界とSLAが明記され、最新版が管理されているか
- 定期監査レポートを受領し、内容を確認・記録しているか
インシデント対応
- 事故発生時の連絡フローが明文化され、関係者に共有されているか
- 訓練を年1回以上実施し、想定シナリオを更新しているか
- 再発防止策を文書化し、対策の実施状況を追跡しているか
違反時に発生しうるリスク
準拠を怠ったまま情報漏えいや不適切なアクセスが発生した場合、複数の局面で影響が積み上がります。金額のインパクトが目立ちますが、実務的には診療報酬とレピュテーションの影響のほうが長期的に効いてきます。
| リスク | 発生しうる影響 |
|---|---|
| 個人情報保護法違反 | 命令違反等の場合、法人に対して最大1億円の罰金 |
| 医療法違反 | 行政処分、業務改善命令、開設許可への影響 |
| 診療報酬の減額 | 医療DX関連加算の算定不可、返還命令 |
| 民事賠償 | 患者からの損害賠償請求、集団訴訟化のリスク |
| レピュテーション被害 | 地域内での評判低下、集患・スタッフ採用への影響 |
医療DX関連の加算は、電子カルテ整備や情報連携との組み合わせで算定要件が組まれています。ガイドライン違反によって加算が算定不可となった場合、月次の減収額は無視できない規模になります。
ヘルスインタビューでの準拠方針
ヘルスインタビューは、3省2ガイドラインの各要件に準拠する形で設計・運用されている問診プラットフォームです。以下は、選定時に医療機関から確認されることの多い項目について、対応の要旨を示したものです。
技術面
| 要件 | ヘルスインタビュー側の対応 |
|---|---|
| データ暗号化 | 特許取得済みのブロックチェーン基盤で、改ざん検知が可能な形で保全 |
| アクセス制御 | ダイナミックコンセントの仕組みで、患者ごとの個別同意を管理 |
| ログ管理 | 全アクセス・利用履歴をブロックチェーン上に保全し、監査時に提示可能 |
| 脆弱性管理 | 定期的なセキュリティ監査とアップデートを実施 |
| データ所在地 | 国内のデータセンターで運用 |
運用面
| 要件 | ヘルスインタビュー側の対応 |
|---|---|
| 委託先管理 | 委託先・再委託先の一覧を医療機関に開示 |
| 契約書整備 | 責任分界・SLA・秘密保持を契約書と付属文書に明記 |
| 監査対応 | 年次監査レポートを提供、追加調査の依頼にも個別対応 |
| インシデント対応 | 24時間の受付体制、報告のリードタイムを契約で明示 |
準拠証明書やISMS認証書は、貴院の内部監査や取引先向けの説明資料としてもご利用いただけます。詳細はヘルスインタビューのサービスページをご参照ください。
現場で聞かれることの多い質問
Q. 小規模クリニックでもガイドラインに準拠する必要がありますか？
はい。医療機関の規模を問わず準拠が求められます。ただし、必要な対策のレベルは規模に応じて柔軟に運用されます。
Q. クラウドサービス利用自体が問題になることはありますか？
いいえ。クラウド利用はガイドラインで許容されています。責任分界の明確化・委託先管理を適切に行えば問題ありません。
Q. ヘルスインタビューはガイドライン準拠を証明できますか？
はい、ISMS認証・監査レポート・準拠証明書を提供可能です。貴院の監査対応にもご活用いただけます。
Q. 準拠対応にはどのくらい期間がかかりますか？
既存体制の整備状況により異なりますが、3〜6ヶ月が目安です。ヘルスインタビューの導入で技術要件の多くは即時クリアできます。
Q. ガイドラインは今後更新されますか？
はい、定期的に更新されています。最新版は厚労省・経産省・総務省の各ウェブサイトで公表されます。ヘルスインタビューは最新版への対応を継続的にアップデートしています。
まとめ
3省2ガイドラインは、医療情報を扱う体制の下限を示す文書として、医療機関と事業者の双方に共通の言語を提供しています。実務の要点は、委託先の監督と、クラウド利用時の責任分界の書き分けの2点に集約されます。
自院での準拠状況を棚卸しした結果、外部ベンダーの選定・契約見直しに踏み込む段階になったら、医療機関向けのお問い合わせから個別にご相談ください。監査対応・契約書ドラフト・技術面の準拠状況について、個別の状況に合わせてご案内します。