（４）延長申出が承諾された場合の手続
延長申出を承諾し、提供申出書等に修正が必要な場合は、厚生労働省は利用者に対し、
再度、必要な書類の提出を求めることとする。
４

提供申出内容の審査の事務処理に必要なものとして提供申出書以外に提出した書類の変更

が生じた場合

５

提供申出の記載事項等に変更が生じた場合

提供申出に係る内容の審査の事務処理に必要なものとして、提供申出書以外に提出した
利用者が講じなければならない安全管理措置に係る書類に変更が生じた場合は、利用者
は直ちに変更後の安全管理措置に係る書類を厚生労働省へ提出すること。
（安全管理措置を審査基準の一部から移動し、別章としてまとめて記載）

第６
１

NDBデータ利用上の安全管理措置等
他の情報との照合禁止
提供申出者及び取扱者は、NDBデータの作成に用いられた加工の方法に関する情報を取
得し、又は連結申出として承諾されていない他の情報とNDBデータを照合してはならな
い。

①

基本的な事項

ⅰ）匿名レセプト情報等の利用場所・保管場所は国内又はオンサイトリサーチセンター

（３）物理的安全管理措置

であること。
ⅱ）匿名レセプト情報等を複写した情報システムの利用場所、保管場所及び管理方法

（３）物理的安全管理措置

は、あらかじめ申し出られた施錠可能な物理的なスペースに限定されており、原則とし
て持ち出されないこと。
またオンサイトリサーチセンターを利用する場合は、匿名レセプト情報等を格納し

２

安全管理措置

冒頭

た情報システムの利用場所、保管場所及び管理方法は、オンサイトリサーチセンター内
とし、本ガイドライン、利用規約及び運用管理規定を遵守すること。また、オンサイト
リサーチセンターから中間生成物又は最終生成物を含めたデータの持ち出しを行う場合
には、本ガイドラインに準じた匿名レセプト情報等の利用、保管、管理を行うこと。
ⅲ）匿名レセプト情報等を複写した情報システムは、インターネット等の外部ネット

（４）技術的安全管理措置

ⅱ

ワークに接続しないこと。
ⅳ）提供された匿名レセプト情報等は、あらかじめ申し出られた取扱者のみが利用する

（６）その他の安全管理措置

ⅲ

こととし、その他の者へ譲渡、貸与又は他の情報との交換等を行わないこと。
ⅴ）提供する匿名レセプト情報等については全体として個人情報に準じた取扱いを徹底

３

提供申出者及び取扱者の義務

する観点から、匿名レセプト情報等の利用、保管及び管理について、医療情報システム
の安全管理に関するガイドライン（第5.1版 令和３年１月）の「６ 医療情報システムの
基本的な安全管理」等に定められた措置に準じた措置として、以下②及び③に規定する
当該ガイドライン中に示された、情報の安全管理と同等の措置が講じられていること。
なお、提供申出者は、ここに規定されている事項以外についても上記ガイドラインの趣
旨を十分に理解した上で適切なセキュリティ対策を講ずるよう努めることが望ましい。
② 匿名レセプト情報等の利用に限らず提供申出者が一般的に具備しておくことが望ましい条件
ⅰ）個人情報保護方針の策定・公開

（１）組織的な安全管理対策、３

a）個人情報保護に関する方針を策定し、公開していること。
b）個人情報を取り扱う情報システムの安全管理に関する方針を策定していること。
c）提供される匿名レセプト情報等についても当該方針に従った対応を行うこと。
ⅱ）情報セキュリティマネジメントシステム（ISMS）の実践（必ずしもISMS適合性評

３

提供申出者及び取扱者の義務

価制度における認証の取得を求めるものではない。）
a）情報システムで扱う情報をすべてリストアップしていること。

（１）組織的な安全管理対策

b）リストアップした情報を、安全管理上の重要度に応じて分類を行い、常に最新の状

（１）組織的な安全管理対策

態を維持していること。
c）このリストは情報システムの安全管理者が必要に応じて速やかに確認できる状態で

（１）組織的な安全管理対策

管理していること。
d）リストアップした情報に対してリスク分析を実施していること。

（１）組織的な安全管理対策

e）この分析の結果得られた脅威に対して、この「（４）匿名レセプト情報等の利用場

（１）組織的な安全管理対策

所、保管場所及び管理方法」に示す対策を行っていること。
ⅲ）組織的安全管理対策（体制、運用管理規程）の実施

（１）組織的な安全管理対策

a） 情報システム運用責任者の設置及び担当者（システム管理者を含む。）の限定を行

（１）組織的な安全管理対策

うこと。ただし所属機関が小規模な場合において役割が自明の場合は、明確な規程を定
めなくとも良い。
b） 個人情報が参照可能な場所においては、来訪者の記録・識別、入退を制限する等の

（３）物理的な安全管理措置

入退管理を定めること。
c） 情報システムへのアクセス制限、記録、点検等を定めたアクセス管理規程を作成す

（４）技術的な安全管理措置

ること。
d） 個人情報の取扱いを委託する場合、委託契約において安全管理に関する条項を含め

２

安全管理措置

ること。

第３

ⅳ）人的安全対策の措置

（２）人的な安全管理対策

a）提供申出者は、個人情報の安全管理に関する施策が適切に実施されるよう措置する

（２）人的な安全管理対策

申出手続

冒頭
外部委託

とともに、その実施状況を監督するために、以下の措置をとること。
・

法令上の守秘義務のある者以外を事務職員等として採用するにあたっては、雇用契

（２）人的な安全管理対策

約時に併せて守秘・非開示契約を締結すること等により安全管理を行うこと。
・

定期的に従業者に対し個人情報の安全管理に関する教育訓練を行うこと。

（２）人的な安全管理対策

・

従業者の退職後の個人情報保護規程を定めること。

３

提供申出者及び取扱者の義務

b）提供申出者が組織の事務、運用等を外部の事業者に委託する場合には、当該事業者

２

安全管理措置

の内部における適切な個人情報保護が行われるようにするために以下の措置を行うこ

第３

申出手続

冒頭
外部委託

提供申出者及び取扱者の義務