3省2ガイドラインの対象は？自社が該当するかの判定方法を解説

取引先から「3省2ガイドラインへの対応状況を教えてください」と聞かれたものの、そもそも自社が対象なのか分からない。医療情報に直接触れないサービスなので関係ないのでは、と迷っている方もいるのではないでしょうか。本記事では、3省2ガイドラインの対象となる組織の一覧、自社が該当するかを確認する3つのポイント、対象となる「医療情報」の範囲、医療機関側・事業者側それぞれの対象範囲を整理します。対象かどうかを断定するのではなく、判断するための観点と確認先を示しますので、自社の位置づけを整理する手がかりとしてご活用ください。

3省2ガイドラインの基本から知りたい方は、3省2ガイドラインとは？医療情報を扱う事業者が守るべき基準を解説をご覧ください。

1.3省2ガイドラインの対象は？医療情報を扱う組織が広く該当する

3省2ガイドラインの主な対象は、医療情報を取り扱う医療機関等と、その医療機関等に医療情報システムやサービスを提供する事業者です。病院や診療所に限らず、薬局や介護事業者、医療機関等と直接の契約がない事業者まで含まれうるため、対象となる組織は幅広いといえます。

(1)対象となる組織の一覧表

立場	具体例	主に確認するガイドライン
医療機関等	病院、一般診療所、歯科診療所、助産所、薬局、訪問看護ステーション、介護事業者、医療情報連携ネットワークの運営事業者など	厚生労働省「医療情報システムの安全管理に関するガイドライン」
医療機関等と契約してシステム・サービスを提供する事業者	電子カルテや医療情報システムの提供事業者、医療情報の外部保存サービス、システムの運用・保守を受託する事業者など	総務省・経済産業省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」
医療機関等と直接の契約はないが、必要な資源や役務を提供する事業者	医療情報システムが利用するクラウド基盤の事業者、提供事業者から業務を請け負う二次請け以降の事業者など	同上
患者等の指示に基づいて医療機関等から医療情報を受け取る事業者	患者の指示により、医療機関等から診療情報の提供を受けてサービスを提供する事業者など	同上

※実際に対象となるかどうかは、取り扱う情報や契約内容などによって異なります。2章の確認ポイントもあわせてご覧ください。

(2)立場によって見るべきガイドラインが分かれる

3省2ガイドラインは2つの文書から成り、立場によって主に確認する文書が異なります。医療機関等であれば厚生労働省のガイドライン、医療機関等に医療情報システムやサービスを提供する事業者であれば総務省・経済産業省のガイドラインが軸になります。

ただし、事業者向けのガイドラインでも、医療機関等が厚生労働省のガイドラインを守れるように対策を設計することが求められています。どちらか一方だけで完結するわけではない点は押さえておきましょう。

詳しい比較は、3省2ガイドラインの違いとは？2つのガイドラインを比較して解説をご覧ください。

2.自社は対象になる？3つの確認ポイント

自社が対象かどうかを考えるときは、「取り扱う情報」「関わる立場」「契約関係」の3つの観点から整理すると判断しやすくなります。

(1)医療情報を取り扱っているか

ガイドラインが対象とする医療情報とは、医療に関する患者の情報のうち、個人を識別できる情報を含むものです（詳しくは3章で説明します）。まずは、自社の業務やサービスがこうした情報に関わっているかを確認します。

「医療情報には直接触れていない」と感じている場合でも、次の観点で確認してみてください。

確認すること

• 自社のシステムやサービスの中で、医療情報が保存・処理・送受信されていないか
• データそのものを見なくても、システム上は医療情報にアクセスできる状態になっていないか（管理者権限を持っている、データベースに接続できるなど）
• 保守や障害対応のときに、医療情報が保存された環境や画面に触れる可能性はないか
• バックアップデータやログに、医療情報が含まれていないか

次の行動

いずれかに当てはまる場合

対象となる可能性があります。(2)に進み、自社の立場を整理してください。

いずれにも当てはまらない場合

対象外の可能性がありますが、判断の根拠を記録したうえで、取引先や契約内容とも照らし合わせて確認しておくと安心です。

判断がつかない場合

システム構成や運用手順を担当部署に確認し、必要に応じて取引先と認識をすり合わせてください。

(2)どの立場で関わっているか（医療機関／提供事業者／再委託先）

医療情報に関わっている場合は、自社がどの立場で関わっているかを整理します。

立場	確認すること	次の行動
医療機関等	自ら医療情報を作成・保存・利用しているか	厚生労働省のガイドラインを軸に確認する
提供事業者（一次請け）	医療機関等との契約に基づき、医療情報システムやサービスを提供・運用・保守しているか	総務省・経済産業省のガイドラインを軸に確認する
再委託先（二次請け以降）	医療機関等と直接の契約はないが、提供事業者を通じて必要な資源や役務を提供しているか	総務省・経済産業省のガイドラインでの位置づけを確認し、契約元の事業者に求められている対応を確認する

再委託とは、業務を受託した事業者が、その業務の一部をさらに別の事業者に委ねることです。事業者向けのガイドラインでは、医療機関等と直接の契約関係がなくても、医療情報システム等に必要な資源や役務を提供する事業者が対象に含まれています。そのため、「元請けではないから関係ない」とは言い切れません。

(3)どちらのガイドラインを確認すべきか

(1)と(2)の整理をもとに、確認すべきガイドラインを判断します。次のチェックリストを使って、自社の状況を確認してみてください。

• 医療情報を自ら作成・保存・利用している → 厚生労働省のガイドライン
• 医療機関等との契約に基づいて、医療情報システムやサービスを提供・運用・保守している → 総務省・経済産業省のガイドライン
• 医療機関等と直接の契約はないが、医療情報システム等に必要な資源や役務を提供している → 総務省・経済産業省のガイドライン
• 患者等の指示に基づいて、医療機関等から医療情報を受け取っている → 総務省・経済産業省のガイドライン
• 医療機関等にシステムを販売しているだけで、運用・管理・保守に関する契約はない → 対象外となる可能性がある（契約内容の確認が必要）

複数に当てはまる場合は、両方のガイドラインの関係部分を確認する必要があります。たとえば、医療法人のグループ内でシステムを運用している組織などは、立場が重なる場合があります。

詳しくは、3省2ガイドラインの違いとは？2つのガイドラインを比較して解説もあわせてご覧ください。

3.対象となる「医療情報」とは何を指すか

(1)医療情報に含まれる情報の範囲

厚生労働省のガイドラインでは、対象とする医療情報を「医療に関する患者情報（個人識別情報）を含む情報」としています。総務省・経済産業省のガイドラインも同様の考え方です。身近な例としては、次のような情報が挙げられます。

• 電子カルテに記録された診療内容、検査結果、画像データ
• 処方や調剤の記録
• 患者の氏名などと結びついた予約情報や受診履歴

ガイドラインが対象とする文書は、医療情報を含む文書全般とされ、法律で保存が義務づけられているかどうかは問いません。また、対象となる医療情報システムは、医療情報を保存するシステムだけでなく、医療情報を扱う情報システム全般とされています。

一方で、範囲の外とされているものもあります。

• 医療情報を含まず、患者への費用請求に関する情報しか扱わない会計・経理システムなどは、医療情報システムに含まれないとされています。
• 検査機器などの医療機器は、事業者向けのガイドラインでは原則として医療情報システム等に含まれません。ただし、医療機関等との契約があり、医療情報システム等とネットワークで接続される場合は含まれるとされています。
• 医療機関等が作成した医療情報を患者の管理に委ねた場合、患者の管理下にある情報は、厚生労働省のガイドラインの対象外とされています。

(2)個人情報保護法で定める要配慮個人情報との関係

要配慮個人情報とは、個人情報保護法で定められた、本人に対する不当な差別や偏見などの不利益が生じないよう、取り扱いに特に配慮が必要な個人情報のことです。個人情報保護委員会は、医療・介護関係事業者が扱う要配慮個人情報の例として、診療録などに記載された病歴、診療や調剤の過程で医療従事者が知り得た診療情報・調剤情報、健康診断の結果や保健指導の内容などを挙げています。病院を受診した事実や、薬局で調剤を受けた事実も該当するとされています。

このように、3省2ガイドラインが対象とする医療情報と、個人情報保護法の要配慮個人情報は、重なる場合が多くあります。ただし、2つは別の枠組みです。個人情報保護法上の義務については、ガイドラインとは別に、個人情報保護委員会の公表資料（医療・介護関係事業者向けのガイダンスなど）で確認してください。

4.医療機関側で対象になる範囲

(1)病院・診療所

病院、一般診療所、歯科診療所は、厚生労働省のガイドラインが想定する医療機関等の代表例です。電子カルテ、医事会計、検査、画像管理など、医療情報を扱う情報システム全般の導入、運用、利用、保守、廃棄に関わる人が対象とされています。

医療機関等がシステムの運用を事業者に委託する場合でも、医療機関等の責任がなくなるわけではありません。委託先と役割分担を明確にし、契約などで取り決めておくことが求められます。

(2)薬局・介護事業者などの扱い

厚生労働省のガイドラインでは、病院や診療所に加えて、助産所、薬局、訪問看護ステーション、介護事業者、医療情報連携ネットワークの運営事業者なども医療機関等として想定されています。

介護事業者については、事業者向けのガイドラインでも、医療従事者の指示に基づいて作成・記録した情報を含む医療情報を扱う介護事業者が利用するシステムは、医療情報システム等に含まれるとされています。介護事業者の場合は、どのような情報を扱っているかによって位置づけが変わりうるため、扱う情報の内容を確認したうえで判断することが大切です。判断に迷う場合は、利用しているシステムの提供事業者や、所管する自治体・関係団体の案内もあわせて確認してください。

(3)規模による違いはあるか

医療機関等の規模によって、ガイドラインが対象外になるという整理は示されていません。一方で、厚生労働省のガイドラインには、専任のシステム担当者がいない小規模な医療機関等を主に想定した「保守委託機関編」が設けられています。サーバのセキュリティアップデートを含む保守をすべて事業者に委託できている医療機関等は、概説編と保守委託機関編に対応すれば、ガイドラインを遵守しているものとみなされます。

ただし、保守を委託しているといえるのは、事業者がセキュリティアップデートの責任を負うことが、契約書や約款、SLA（サービスレベル合意書）などに記載されている場合に限られます。自院が当てはまるかどうかは、契約内容を確認し、不明な点は契約先の事業者に直接確認してください。

版や改定の内容については、3省2ガイドラインの最新版は？改定のポイントと対応すべきことを解説をご覧ください。

5.サービス提供事業者側で対象になる範囲

(1)電子カルテ・医療情報システムの提供事業者

医療機関等との契約に基づいて、電子カルテなどの医療情報システムを提供する事業者は、総務省・経済産業省のガイドラインの対象事業者の代表例です。医療機関等の外部で医療情報を保存するサービスなどの提供契約も、ここでいう「契約等」に含まれます。

注意したいのは、システムの売買契約だけで、運用・管理・保守に関する契約がない場合は「契約等」に含まれないとされている点です。システムを販売したあとに保守契約を結んでいるか、運用支援を行っているかなど、実際の契約内容によって位置づけが変わります。

(2)クラウド・SaaS事業者

SaaS（インターネット経由で利用するソフトウェアサービス）として医療情報を扱うサービスを医療機関等に提供している事業者は、医療機関等との契約に基づいてサービスを提供する事業者として対象になりえます。

また、医療機関等と直接の契約関係がなくても、医療情報システム等に必要な資源や役務を提供する事業者も対象に含まれます。たとえば、医療情報システムの提供事業者が利用しているクラウド基盤やデータセンターの事業者などが、この立場に当たる可能性があります。自社のサービスが医療機関向けのシステムに組み込まれているかどうか、取引先の事業者に確認しておくとよいでしょう。

なお、患者等から直接医療情報を受け取る事業者は、事業者向けのガイドラインの対象事業者には当たらないとされています。一方で、患者等の指示に基づいて医療機関等から医療情報を受け取る事業者は対象とされています。情報をどこから、どのような経路で受け取っているかも確認のポイントです。

(3)保守・運用を受託する事業者

医療機関等から、医療情報システムの保守や運用を受託している事業者も対象になりえます。厚生労働省のガイドラインでは、医療機関等がシステムの実装・運用を事業者に委託する場合、委託先の事業者もシステム運用編を参照して、医療機関等と協働する必要があるとされています。

保守や運用では、管理者権限でシステムに接続したり、障害対応のために医療情報を含むデータに触れたりする場面があります。普段は医療情報を見ない業務でも、作業の過程で触れる可能性があるかどうかを確認しておくことが大切です。リモート保守を行っている場合は、接続方法や認証方法も確認の対象になります。

(4)再委託先の扱い

事業者向けのガイドラインでは、一次請けの事業者だけでなく、二次請け以降の事業者も想定されています。医療情報システム等に必要な資源や役務の提供に関わるサプライチェーン（取引の連鎖）全体について、ガイドラインで示されたリスクマネジメントや要求事項に対応することが求められています。

たとえば、医療機関等から受託した事業者Aが、業務の一部を事業者Bに、事業者Bがさらに事業者Cに委ねている場合、BはAに、CはBに対して、リスクマネジメントの実施状況や要求事項への対応状況を報告することが求められます。契約元の事業者から求められた場合は、対応状況に関する資料を提供することも想定されています。

再委託先にあたるかどうか、どこまでの対応が求められるかは、契約の内容によって異なります。契約元の事業者に、求められている対応の範囲を確認してください。

6.よくある質問（FAQ）

(1)対象だった場合、いつまでに対応が必要か

対応の期限は、取引先からの要求、契約の内容、所管官庁の案内によって異なります。ガイドラインの一部の項目には、対応の時期の目安が示されているものもあるため、最新の内容を確認したうえで、取引先と対応のスケジュールをすり合わせることをおすすめします。

(2)対象外でも対応したほうがよいか

対象外と判断した場合でも、医療機関等や医療系の事業者と取引がある場合は、ガイドラインの考え方を参考に体制を整えておくと、取引先からの確認にスムーズに対応できます。将来、サービス内容の変更によって対象になる可能性もあるため、判断の根拠を記録しておくとよいでしょう。

(3)医療情報を保管しないサービスでも対象になるか

保管しているかどうかだけでは判断できません。医療情報を処理・送受信しているか、システム上アクセスできる状態にあるか、保守などで触れる可能性があるか、契約上どのような位置づけかを総合的に確認する必要があります。判断に迷う場合は、取引先と認識をすり合わせ、必要に応じて専門家に相談してください。

(4)準拠していることをどう示せばよいか

示し方は、取引先が求める形式（チェックシートへの回答、説明資料の提出、認証の取得状況の提示など）に応じて選びます。事業者向けのガイドラインでは、サービス仕様の開示書やSLAの参考例も公表されているため、開示資料を作るときの参考になります。

7.まとめ

• 3省2ガイドラインの対象は、医療情報を取り扱う医療機関等と、医療情報システムやサービスを提供する事業者です。直接の契約がない事業者や再委託先も含まれる場合があります。
• 自社が該当するかは、「医療情報を取り扱っているか」「どの立場で関わっているか」「どのような契約関係か」の3つの観点から整理しましょう。
• 対象の可能性がある場合は、3省2ガイドラインとは？医療情報を扱う事業者が守るべき基準を解説で紹介している対応の進め方（現状とのギャップの洗い出しなど）を参考に、取り組みを始めてください。