７．４ 委託先事業者選定
適切な委託先事業者の選定は、個人情報保護法における委託先の監督（第 25 条）の一環として必要
であるほか、医療情報を医療機関の外部に保存する場合に、「外部保存通知」（第２

1（2））にあると

おり安全が確保された場所に保存する観点からも必要である。
医療機関等が外部のシステム関連事業者との契約に基づいて、当該事業者に委託し安全を確保した
場所に医療情報を外部保存する場合には、データセンター等の情報処理の委託先事業者が総務省・経
済産業省の定めた「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイ
ドライン」の要求事項を満たしていることを確認し、契約等においてもそれらを遵守することを明確
に定めなくてはならない。
企画管理者は、このような観点から、委託先事業者の選定を法令等の要求に基づいて適切に行う必
要があるほか、リスク評価を踏まえた観点からも適切に選定を行う必要がある。また、当該選定に際
しては、担当者と協議し、技術的な観点からの妥当性なども加味して、選定することが求められる。
また、企画管理者は、重要度の高い委託の場合は、経営層に丁寧に報告の上、承認を得ることが求
められる。
７．５ 外部保存・外部委託の終了
医療情報が機微な個人情報であるという観点から、外部保存を終了する場合や外部保存の委託を終
了する場合には、医療機関等及び委託先事業者の双方で適切な配慮が求められる。
外部保存の開始時に、保存の期限等の保存期間に関する条件が明確に示されている必要があり、外
部保存の終了は、この条件に基づいて適切に実行されなければならない。期限には具体的な期日が指
定されている場合もあれば、「一連の診療の終了後○○年」といった一定の条件が示されている場合も
想定される。
医療情報の外部保存を委託する医療機関等は、委託先事業者に保存されている医療情報を定期的に
確認し、外部保存を終了しなければならない医療情報が、速やかかつ厳正に処理されているかを監査
しなくてはならない。また、委託先事業者も、委託元の医療機関等の求めに応じて、保存している医
療情報を厳正に取り扱い、保存の終了を適切に処理している旨を委託元の医療機関等に明確に示す必
要がある。
外部保存の保存期間や外部委託の終了に伴う医療情報の破棄や返却に関する規定は、外部保存を開
始する前に委託元の医療機関等と委託先事業者との間で取り交わす契約書にも明記をしておく必要が
ある。また、実際の破棄や返却に備えて、事前に医療情報の破棄や返却等の手順を明確化した資料等
を作成しておくべきである。
委託する医療機関等及び委託先事業者の双方に厳正な取扱いが求められるのは、同意された期間を
超えて個人情報を保持することが個人情報の保護上問題になり得るためであり、十分な留意が必要で
ある。
また、患者の医療情報に関する検索サービスを実施している場合は、検索のための台帳やそれに代
わるもの、及び検索履歴等も厳正な取扱いの後に破棄されなければならない。
委託元の医療機関等及び委託先事業者は、医療情報の破棄に関しては、可搬媒体で保存している場
合でも責任を持って対応する必要がある。

- 30 -