➢

医療機関等によるリスクアセスメントの結果、一部のリスクを委託先事業者で負うことになることが想定される。その
際に、委託先事業者が想定していたリスクの内容とリスクアセスメントを踏まえたリスクの内容に不一致があると、リ
スク管理が不十分となり得る。そこで、医療機関等が責任分界を定めるに際しては、その前提としてそれぞれが負
うことが想定されるリスクの内容について、合意を得るための調整を行うことになる。

➢

実際には、システム関連事業者が提供する情報やサービス仕様適合開示書等の内容を踏まえて、遵守している
対策項目等の状況が医療機関等で求める内容と乖離があるかどうかを把握すること。乖離がある場合には対応
を両者で協議し、合意した上で、医療情報システム・サービスの提供を受けることが想定される。

➢

企画管理者は、このような要求仕様適合性の調整・確認に必要な情報をシステム関連事業者から収集し、必
要な調整を行った上で、責任分界に関する取決めを行うことが求められる。
２．１．５ 医療情報システム等提供事業者との取決めにおける留意点

➢

医療情報システム等提供事業者との間で取決めを行う場合、事業者が提供するシステム・サービスの内容や、そ
の契約形態などに応じて、具体的なコミュニケーションについて留意する必要がある。例えば、個々に契約内容等
の調整を行うことを想定した医療情報システム等の提供と、パブリッククラウドサービスのように約款契約による画一
的な契約内容による場合では、コミュニケーションの進め方は異なる。特に約款契約による場合には、個々の契約
内容の調整が難しいことから、医療機関等は対象事業者に対して、より丁寧にサービス内容やリスクについて、わ
かりやすい情報提供を求めること。具体的には、以下のような対応を事業者に求めることが挙げられる。


リスク判断に必要な基礎資料の提供（MDS/SDS6等の提供、主なセキュリティ事項に関するチェック結果
の提供等）



医療機関等側が説明を求めた場合の対応の表示



約款契約におけるリスクの表示（民法第 548 条の 2 関係）



医療機関等が、リスクや役割分担等を確認した上でサービス利用する旨を明示することを求め、合意するこ
と

２．２ 責任分界の決め方
２．２．１ 委託と第三者提供における責任分界
➢

医療機関等が責任分界を取り決める場面として大きく 2 つの場面が想定される。

➢

一つが医療情報システムに関連して、委託を行う場合に委託先事業者との間で取り決める責任分界である。

➢

もう一つは、医療機関等が保有する医療情報を、第三者に提供する際に、提供元の医療機関等と提供先の第
三者との間で取り決める責任分界である。
２．２．２ 委託における責任分界（複数事業者が関与する場合を含む）

➢

医療機関等の医療情報システム・サービスが一事業者のみから提供されたもので構成されている場合には、2.1
に示す内容で責任分界を決定することになる。

➢

しかし実際には、医療機関等が利用する医療情報システム・サービスは複数の事業者が提供するサービスから構
成されており、医療機関等と各事業者との関係を考慮した上で、責任分界を取り決めることになる。

➢

システム関連事業者が提供するサービスの類型により、医療機関等が直接管理する医療情報システムに関する
情報機器やソフトウェアなどの範囲が異なるため、サービス類型に応じた責任分界を取り決めること。

6

厚生労働省標準規格 「HS040「製造業者/サービス事業者による医療情報セキュリティ開示書」ガイド」参照

- 12 -