や、CSIRT（Computer Security Incident Response Team）の構築が有効とされており、企画管理者
はこれらの整備の要否や、必要な場合にはその構成や非常時の対応内容などについて検討し、経営層の承認を
得ること。
➢

また、医療情報の漏えいが生じた場合も、法令上必要な対応（個人情報保護法に基づく漏えい等の報告など）
や説明責任の実施等の必要な措置を講じる必要があるため、体制や手順等を整備して、経営層の承認を得る
こと。
３．１．３ 医療機関等の内部における職員等に対する教育・訓練等の体制

➢

医療情報システムの安全管理においては、医療機関等において医療情報システムに関与する全ての者において
当該安全管理に対する知識と意識付けが求められる。そのため、企画管理者は、職員に対して安全管理に関す
る教育・訓練等を行うとともに、必要な体制を整備することが求められる。
３．１．４ 委託等における安全管理の体制

➢

医療情報システムの安全管理においては、何らかの形でシステム関連事業者が関与する場合が多く、運用等を
システム関連事業者へ委託することも多い。

➢

個人情報保護法第 25 条において委託先の監督義務が示されているとおり、医療機関等においては委託先事
業者の安全管理の体制も含めて把握することが必要となる。

➢

企画管理者は、委託等における安全管理を行うため、委託先事業者については、委託先事業者の運用等の体
制や連絡体制を明確にするほか、運用状況を定期的に把握するために必要な体制を整備すること。
３．１．５ 監査体制の整備と監査責任者の設置

➢

医療情報システムの安全管理が適切に行われていることを担保するためには、担当者による自己点検だけではな
く、客観的な監査によることが重要である。監査は、担当者や企画管理者以外の医療機関等内の第三者による
方法や、外部の第三者による方法などが挙げられる。

➢

企画管理者は、安全管理が適切に行われていることを確認するために監査等の必要な体制を整備すること。
３．１．６ 患者等からの苦情・質問の受付体制

➢

「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」では、医療機関等が患者などに
対して説明責任を果たすためには、個人情報の取扱いに関し患者等からの問い合わせや苦情への対応等を行う
窓口機能等を整備することが必要とされている。

➢

企画管理者は、患者等からの相談や苦情への対応を行うための受付体制の整備を行うこと。
３．１．７ 体制整備の可視化

➢

医療情報システムの安全管理の体制を明確にすることは、医療機関等内において医療情報を取り扱う者が滞り
なく安全管理に関する対応を行うために必要であり、また非常時において迅速かつ適切な対応をとる上でも重要
である。

➢

企画管理者は、医療情報システムの安全管理に関して整備した体制に関する内容を文書化等によって可視化
し、関係者に共有できるようにする必要がある。

- 17 -