経１．３章
経Ｑ－６

委託している事業者において、情報漏えい等の情報セキュリティイ
ンシデントが発生した場合、事業者に対応をさせればよいのか。

Ａ

情報漏えい等の情報セキュリティインシデントに際しては、当該情報を一
次管理している医療機関等側に、説明責任、及び善後策を講ずる責任が発生し
ます。もちろん情報セキュリティインシデントを起こした事業者側も責任を
免れるものではなく、両者が協力して説明及び善後策を講じる必要がありま
す。

経１．２．１章
経Ｑ－7 委託先の事業者の対応にあたり、
「個人情報保護の責任者」を選定す
る要件や考慮すべきこと（「個人情報の保護について一定の知識」など）
はあるか。
Ａ

具体的な要件が定められているものではありませんが、医療に関わる全て
の行為は、医療法等で医療機関等の管理者の責任で行うことが求められてい
ます。そのため、結果的には、個々の医療機関等の管理者が、権限を一部委譲
するに適当と考える者を「個人情報保護の責任者」として選任することになる
と考えられます。
電子化された「個人情報の保護についての一定の知識」についても、具体的
な条件は示されていませんが、電子化された情報は、紙媒体の情報に比べ容易
に大量の情報が漏洩する可能性がある特徴を持つことから、それらの特徴と扱
い方について理解していることが重要です。

経１．３．２章、１．４章
経Ｑ－8 委託と第三者提供の情報管理責任上の違いは何か。

Ａ 委託とは、契約書等に基づき、業務の一部（例えば臨床検査）を外部に託す
ものであり、その情報の管理責任は一義的には委託元にあります。したがって、
委託元は委託先の情報管理を監督しなければなりません。

13