患者のデータをクラウドに置くとき

2026年10月12日2026年10月19日

患者のデータをクラウドに預けても、医院の側の義務は外に出ていきません。省令は、診療所の管理者そのものに措置を求めています。しかもクラウドは、どこまでを事業者が見るかがサービスの種類で変わります。この記事は、預ける前に決めておく「線」の引き方を並べます。

省令は、管理者を名指ししています

医療法施行規則第14条第2項です。義務を負うのは、病院・診療所・助産所の管理者。内容は、サイバーセキュリティの確保に必要な措置を講じること。目的も条文に書かれています。医療の提供に著しい支障を及ぼすおそれが生じないように、というのがそれです。

主語は開設者ではなく、管理者です。同項によれば、この義務は、日々診療所を管理している人の側に置かれています。同じ条の第1項も構えは同じで、病院または診療所の管理者に向けられています。院内にある医薬品、医療機器、再生医療等製品について、医薬品医療機器等法の定めに反しないよう、必要な注意を払うこと、という内容です。

もうひとつ、個人情報の保護に関する法律第25条があります。個人データの取扱いを、全部または一部人に任せたときの条文で、任せた先に対して必要かつ適切な監督を行う義務を置いています。何のためかも書かれていて、委託した個人データの安全管理が図られるように、とされています。第23条は事業者自身の安全管理措置、第24条は従業者の監督です。同法は、自分で持つ場合と、人に預ける場合の両方に、別々の条文を置いています。任せた先を確かめる役目が医院に残るという構えは、院内から出るごみにもあります。感染性廃棄物の処理業者、契約する前に医院が確かめることでは、委託しても排出した側の責任が離れないことを、環境省のマニュアルから並べています。

「責任分界」という言葉が、ガイドラインの中心にあります

医療情報システムの安全管理に関するガイドライン第7.0版企画管理編（厚生労働省）の第2章は、責任分界の決め方にあてられています。検索では古い版が上に出ることがあるので、表紙の版数を見てから読むこと。ここで扱うのは第7.0版です。

2.2.1 が挙げている場面は2つです。ひとつは委託の場面で、医療情報システムに関連して外へ頼むときの、委託先との間の分界。もうひとつは提供の場面で、医療機関等が持っている医療情報を第三者へ渡すときの、渡す側と渡される側の間の分界です。

クラウドで効いてくるのは前者です。2.2.2 には、事業者が複数いる場合の整理があります。分かれ道は2つ。医院の側が複数の事業者のサービスを自分で組み合わせる形と、1つの事業者が複数のサービスを束ねて提供する形です。自分で組み合わせる形では、事業者の数だけ調整が必要になり、サービス同士がつながる部分についても取決めが要ります。束ねてもらう形では、取りまとめ役の事業者との間で分界を決めることになります。同節は、一般的には後者でサービスを利用して責任分界を定めることが望ましい、と書いています。

SaaS か PaaS か IaaS かで、任せる範囲が変わります

2.2.2 の(2)は、サービスの類型による違いです。クラウドは、医療情報システムが使うソフトウェア・ミドルウェア・ハードウェアのうち、どの層まで借りるかで種類が分かれる、という整理になっています。SaaS なら、借りるのはアプリケーションの層。PaaS なら、その下のミドルウェアの層。IaaS なら、さらに下のサーバやネットワークといった土台の層です。

その例として、SaaS を使う場合には、アプリケーション部分の管理や責任を事業者に委ねることになるため、その部分についてのガイドラインの遵守状況を確かめるにあたって、事業者との責任分界の検討が必要になる、と書かれています。同節によれば、任せる範囲が広いサービスほど、確かめ方のほうを決めておく必要が出てきます。

そのうえで同節は、利用者側にも役割が残ることを書いています。クラウドを使う側にも、ルールを決めることや、設定をすることといった役割を果たすことが求められる、という一文です。同節によれば、預けたあとにも、医院の側で決めることと設定することが残ります。

約款で契約するサービスは、書き方が別です

2.1.5 は、取決めを行うときの留意点です。契約の形によって進め方が変わる、という話から始まります。一方は、契約の中身を個々に調整することを前提にした提供。もう一方は、パブリッククラウドのように、約款によって内容が画一的に決まっている場合です。後者では個別の調整が難しいので、医院の側から事業者へ、サービスの中身とリスクについて、より丁寧で分かりやすい説明を求めること、と書かれています。

具体的に事業者へ求める対応として、同節は4つを挙げています。

リスクを判断するための基礎資料を出してもらうこと。例として挙がっているのは、MDS／SDS と、主だったセキュリティ事項についてのチェック結果です
医院の側が説明を求めたときに、どう対応するかを表示してもらうこと
約款による契約のリスクを表示してもらうこと。括弧の中に、民法第548条の2 に関係するもの、と添えてあります
医院の側が、リスクと役割分担を確かめたうえで使う、とはっきり示すことを求め、そこで合意しておくこと

同章には、外とつながる接続点の機器についての注意も置かれています。VPN機器などをめぐって、脆弱性の管理が行き届かないまま、そこが攻撃の起点になる事案が相次いでいる、という指摘です。求められているのは2つで、脆弱性の管理などが保守契約のどこまでに入るのかをはっきりさせること。そして、確実に管理していける体制にしておくこと、とされています。

診療録を外に置くときは、別の通知があります

同編の第1章には、関係する法令と通知の一覧があります。そこには、診療録等を病院または診療所等以外の場所に外部保存する場合について、「診療録等の保存を行う場所について」という厚生労働省の通知に従うことが求められる、と書かれています。表1-2 では、この通知の概要が、外部保存を行う際の基準や、電子媒体により外部保存を行う際の留意事項等を規定するもの、と説明されています。

同じ表には、個人情報保護法、e-文書法の省令とその施行通知、電子署名法も並んでいます。同編によれば、クラウドの話はひとつの法令では終わらず、複数の法令と通知にまたがります。

預ける前に、決められること

以下は、上に引いた箇所から当社が整理した順番です。ガイドラインがこの順序を定めているわけではなく、これですべてでもありません。

いま使っているサービスが、SaaS・PaaS・IaaS のどれにあたるか
契約が、個別の契約書か、約款か
事業者が何をやり、医院が何をやるかを書いた紙があるか
事業者が複数いる場合、どこが取りまとめているか
VPN機器など、外とつながる機器の保守が、契約のどこに入っているか
診療録そのものを外に置いているか ── 置いているなら、別の通知が関わります

まとめ ── 預けられるのは作業で、義務ではありません

省令は、診療所の管理者にサイバーセキュリティの措置を求めています。個人情報保護法は、委託したあとの監督を求めています。ガイドラインは、どこまでを事業者が担うかを責任分界として取り決めることと、利用者側にもルールの策定や設定の役割が残ることを書いています。預けると減るのは手を動かす量であって、決める責任のほうは医院に残ります。契約書の前に、その線を一度紙に書いておくことになります。

参考にした情報源

デジタル庁 e-Gov法令検索医療法施行規則（昭和二十三年厚生省令第五十号） ── 第14条
厚生労働省医療情報システムの安全管理に関するガイドライン第7.0版企画管理編（PDF） ── 第1章、第2章
デジタル庁 e-Gov法令検索個人情報の保護に関する法律（平成十五年法律第五十七号） ── 第23条、第24条、第25条

この記事は、省令とガイドラインのうち、外部への委託と責任分界に関わる箇所を並べたものです。外部保存の基準は別の通知に、外国にある第三者への提供や、漏えい等の報告には個人情報保護法の別の条文に、それぞれ定めがあります。ガイドラインは改定され、条文は改正で変わります。契約を結ぶ前に、最新版の本文と、事業者、顧問の専門家にご確認ください。