か、リスク評価を踏まえた観点からも適切に選定を行う必要がある。また、当該選定に際しては、担当者と協議し、
技術的な観点からの妥当性なども加味して、選定することが求められる。なお、事業者の選定時に認識されたリス
ク評価の内容はその後変化しうる。特にサイバーセキュリティにおいては、攻撃方法の巧妙化に伴い、適宜、リスク
対応のについて再検討を要することもある。そのため、委託先事業者のリスク評価においては、対象事業者が行う
リスクの管理体制や、リスクが選定時以降に上昇した場合の対応も想定することが望ましい。契約時の取決め内
容においてもこれに関する随時の情報提供等を含めることが重要である。
➢

企画管理者は、重要度の高い委託の場合は、経営層に丁寧に報告の上、承認を得ることが求められる。

７．５ 外部保存・外部委託の終了
➢

医療情報が機微な個人情報であるという観点ことから、外部保存を終了する場合や外部保存の委託を終了す
る場合には、医療機関等及び委託先事業者の双方で適切な配慮が求められる。

➢

外部保存の開始時に、保存の期限等の保存期間に関する条件が明確に示されている必要があり、外部保存の
終了は、この条件に基づいて適切に実行されなければならない。期限には具体的な期日が指定されている場合
もあれば、「一連の診療の終了後○○年」といった一定の条件が示されている場合も想定される。

➢

医療情報の外部保存を委託する医療機関等は、委託先事業者に保存されている医療情報を定期的に確認し、
外部保存を終了しなければならないすべき医療情報が、速やかかつ厳正に処理されているかを監査しなくてはなら
ない。また、委託先事業者も、委託元の医療機関等の求めに応じて、保存している医療情報を厳正に取り扱い、
保存の終了を適切に処理している旨を委託元の医療機関等に明確に示す必要がある。

➢

外部保存の保存期間や外部委託の終了に伴う医療情報の破棄や返却に関する規定は、外部保存を開始する
前に委託元の医療機関等と委託先事業者との間で取り交わす契約書にも明記をしておく必要がある。また、実
際の破棄や返却に備えて、事前に医療情報の破棄や返却等の手順を明確化した資料等を作成しておくべきで
あること。

➢

委託する医療機関等及び委託先事業者の双方に厳正な取扱いが求められるのは、同意された期間を超えて個
人情報を保持することが個人情報の保護上問題とになり得るためであり、十分な留意が必要である。

➢

また、患者の医療情報に関する検索サービスを実施している場合は、検索のための台帳やそれに代わるもの、及
び検索履歴等も厳正な取扱いの後に破棄されなければならない。

➢

委託元の医療機関等及び委託先事業者は、医療情報の破棄に関しては、可搬媒体で保存している場合でも
責任を持って対応する必要がある。

７．６ 患者への説明等
➢

医療機関等は、患者から医療情報を預かっているという観点から、患者に対しては適切な説明と理解を得ること
が求められる。医療情報の取扱いを医療機関等以外に委ねる場合には、この点についても患者の理解を得た上
で行うことが必要である。

➢

そこで、企画管理者は、外部保存の委託について、その安全性やリスクを含めて院内掲示等を通じて説明し、理
解を得ることが求められる。

- 30 -