医療業界の案件で気をつけたい規制とセキュリティのルール｜安全管理ガイドライン第7.0版と要配慮個人情報

医療の案件では、医療機関等向けの厚生労働省「医療情報システムの安全管理に関するガイドライン」（2026年6月に第7.0版）と、システムやサービスを提供する事業者向けの経済産業省・総務省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」（第2.0版）が、セキュリティのルールの土台です。厚生労働省のガイドラインは、後者を「2省ガイドライン」と呼んでいます。そのうえで、病歴などを含む情報は個人情報保護法の要配慮個人情報にあたり、取得や漏えいの扱いが重くなります。

フリーランスが現場で直接従うのは、参画先の医療機関や事業者が定めた規程と手順です。ただ、その元になっている基準を知っていると、決まりの理由が分かり、設計や運用の提案もしやすくなります。この記事では2026年10月時点の公式資料をもとに整理します。案件の種類は医療のIT案件の記事、業務知識は医療の業務知識の記事で扱います。

医療のルールは「医療機関向け・事業者向け・個人情報」の3つ

ベンダー側で働くか、医療機関側で働くかで、より直接に関わるガイドラインが変わります。ただ、両者は役割分担を前提に作られているため、どちらの立場でも両方の考え方を知っておくと役に立ちます。

厚生労働省の安全管理ガイドライン第7.0版

位置づけと対象

厚生労働省のページでは、2026年10月時点の最新版は第7.0版で、2026年6月に見直しが行われています。Q&Aは2026年9月版が公開されています。

概説編によると、このガイドラインは、医療情報システムの安全管理や、e-文書法などの法令への対応のために、技術と運用管理の両面から必要な対策を示したものです。医療機関等で医療情報システムの導入、運用、利用、保守、廃棄に関わる者すべてを対象としています。医療機関等には、病院、診療所、薬局、訪問看護ステーション、介護事業者などが含まれます。対象の医療情報システムは、医療情報を保存するシステムだけでなく、医療情報を扱う情報システム全般を想定しています。

5つの編の構成

第7.0版は、概説編、経営管理編、企画管理編、システム運用編、保守委託機関編の5編で構成されています。概説編以外は、想定する読者ごとに分けられています。システム運用編については、医療機関等が事業者に業務を委託する場合、委託先の事業者もこの編を参照して医療機関等と協働する必要があるとされています。

第7.0版の主な改定点

2026年6月29日付けの厚生労働省の通知は、主な改定点として次のものを挙げています。

• 保守委託機関編の追加：すべてのサーバのセキュリティアップデートを事業者に委託している（クラウドサービスの利用を含む）医療機関等は、保守委託機関編を守ることで、ほかの編の項目も守れているものとみなす
• 根拠となる法令にサイバーセキュリティ基本法を追加し、サプライチェーンのリスクについて追記
• 2省ガイドラインの改定を受けて、医療機関等と事業者の役割分担や、医療機関とのリスクコミュニケーションを追記
• クラウドサービスの積極的な活用を推進する旨を追記
• パスワードについて、使い回しの禁止とアカウントロックを追記し、「定期的な変更」の要件を削除
• 二要素認証について、クライアント端末とサーバで対応することを明確化。2027年4月1日時点で対応が難しい医療機関等には、次のシステム改修での対応を認める緩和措置を設定

概説編は、医療法施行規則第14条第2項が、病院・診療所・助産所の管理者にサイバーセキュリティを確保するために必要な措置を求めていることも紹介しています。

事業者との責任分界

概説編は、医療機関等が事業者を選ぶときに、提供するシステムやサービスの内容、事業者の業務内容、責任分界、役割分担を明確にして合意すること、合意した内容を契約書やSLAとして文書にすることを求めています。リスク管理の情報として、厚生労働省標準規格の「製造業者/サービス事業者による医療情報セキュリティ開示書（MDS/SDS）」ガイドのチェックリストや、2省ガイドラインの「サービス仕様適合開示書」の提供を受けることが例に挙がっています。

作業者にとっては、自分の作業がこの責任分界のどちら側の仕事かを意識しておくことが大切です。たとえばサーバの更新を誰が行う契約になっているかは、保守委託機関編の適用にも関わります。

経済産業省・総務省の事業者向けガイドライン第2.0版

総務省の報道資料によると、経済産業省と総務省は2025年3月28日に「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」の第2.0版を公表しました。2024年10月から意見募集を行い、近年のサイバー攻撃などを背景に改定されたものです。あわせて、FAQと、サービス仕様適合開示書・SLAの参考資料が公表されています。

このガイドラインは、医療情報を扱うシステムやサービスを医療機関等に提供する事業者が対象です。ベンダーやクラウドサービスの事業者で働く場合、参画先の規程やサービスの仕様は、このガイドラインへの対応を前提に作られていることが多くなります。厚生労働省のガイドラインの概説編も、医療機関等が必要に応じて事業者の2省ガイドラインの遵守状況を確かめるなど、事業者の管理を求めています。

個人情報保護法：要配慮個人情報の扱い

医療の情報の多くが要配慮個人情報にあたる

個人情報保護法第2条第3項は、本人の人種、信条、社会的身分、病歴、犯罪の経歴などを含む個人情報を「要配慮個人情報」としています。施行令第2条は、これに加えて、心身の機能の障害、医師などが行った健康診断その他の検査の結果、それに基づく指導や診療・調剤が行われたことなども含めています。電子カルテや部門システム、レセプトのデータの多くは、これにあたる情報を含みます。

取得、委託、漏えいの規律

• 取得：第20条第2項は、法令に基づく場合などの例外を除き、あらかじめ本人の同意を得ないで要配慮個人情報を取得してはならないとしています
• 委託：第25条は、個人データの取扱いを委託する場合、委託元に委託先への必要かつ適切な監督を求めています
• 漏えい等の報告：第26条と施行規則第7条により、要配慮個人情報を含む個人データの漏えい等（高度な暗号化などの措置を講じたものを除く）が発生した、または発生したおそれがあるときは、件数にかかわらず個人情報保護委員会への報告と本人への通知の対象になります。報告は、事態を知った後速やかに行い、原則として30日以内に詳細を報告します。委託を受けた事業者は、委託元に通知することで、自らの報告に代えられる場合があります

漏えいの対象が1件でも報告の対象になりうる点が、医療の案件で気をつけたいところです。作業者として気づいたときは、自分で判断せずにすぐ契約先へ報告してください。対応の流れは漏えい時の対応の記事をご覧ください。

医療・介護向けのガイダンス

個人情報保護委員会と厚生労働省は「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」を出しており、2026年4月に一部改正されています。ガイダンスは、医療事務などの業務を委託された事業者にも安全管理措置を求め、委託契約に個人情報の適切な取扱いを盛り込むこと、再委託には事前の報告や承認を求めることが望ましいとしています。また、医療情報システムを導入する場合は、厚生労働省の安全管理ガイドラインに従うこととしています。患者が亡くなった後も、保存している情報には個人情報と同等の安全管理措置を講じることとされています。

委託契約の条項の読み方は個人情報を扱う業務の記事で解説しています。

作業者として確かめておくこと

参画の前後に、次の点を契約先に確かめておくと安心です。

• 自分の作業が、医療機関側と事業者側のどちらの責任の範囲か
• 本番環境や患者の情報に触れる作業の有無と、その場所・端末の条件
• 使ってよいツール、クラウドサービス、生成AIの範囲
• テストデータの作り方と、本番データの扱いの手順
• アカウントと認証の決まり（共用アカウントの禁止、二要素認証など）
• 秘密保持と個人情報の取扱いの条項、再委託の承認の手続き
• 事故や漏えいの疑いがあったときの報告先と連絡の順番

取引先の規程に従う必要があるかどうかの考え方は取引先のセキュリティ規程の記事、秘密保持契約の確認点はNDAの記事、自宅で作業する場合の対策は自宅の情報セキュリティの記事で扱います。法令やガイドラインの解釈が必要な場面では、参画先の担当部門や専門家にご確認ください。

よくある質問

厚生労働省のガイドラインは、ベンダーで働くフリーランスにも関係しますか？

ガイドラインの対象は医療機関等ですが、医療情報システムの導入や保守に関わる者全般を対象としており、委託を受けた事業者もシステム運用編を参照して医療機関等と協働する必要があるとされています。作業者には、参画先の規程や契約の条件として求められます。どの項目が自分の作業に関わるかは、契約先にご確認ください。

厚生労働省のガイドラインと2省ガイドラインは、どちらを読めばよいですか？

医療機関側で働くなら厚生労働省のガイドライン、ベンダーやクラウド事業者側で働くなら経済産業省・総務省のガイドラインが中心になります。どちらの場合も、厚生労働省のガイドラインの概説編で全体像と用語を押さえておくと、もう一方の立場の考え方も理解しやすくなります。

患者のデータを匿名にすればテストに使ってもよいですか？

自分で判断しないでください。どの程度の加工で使えるか、そもそも本番データをテストに使ってよいかは、医療機関の規程や契約、法令の解釈によります。テストデータの作り方と使える範囲は、参画先の担当者に確かめ、必要に応じて専門家の確認を受けてください。