２．責任分界
企２章第①条
企Ｑ－５ 委託したクラウド型の電子カルテサービス業者から自院の患者に関するデー
タが漏えいした場合、自院にはどのような責任が問われるのか。
Ａ

本ガイドラインの「２．２．２ 委託における責任分界（複数事業者が関与する場合
を含む）
」の記述が適用されます。
管理責任は委託を行った医療機関等の責任者にあり、万一事故が起きた際には、受託
する医療情報システム・サービス事業者と連携しながら本ガイドライン「経営管理編 １．
２．２ 非常時における責任」項の「説明責任」と「善後策を講ずる責任」を果たす必要
があります。

企２章第⑥条
企Ｑ－６ 第三者提供における責任分界をどのように考えればよいか。
Ａ

第三者提供とは、第三者が何らかの目的で医療情報を利用するために行われるもので、
医療機関等の管理者にとっては、原則として、提供先との責任分界に基づく範囲で責任
を有しています。適切な第三者提供がなされる限り、提供された後の情報保護責任は、
提供した医療機関等の管理者ではなく、提供を受けた第三者が負うことになります。
ただし、例外的に、提供先で適切に扱われないことを知りながら情報提供をしたよう
な場合は、提供元の医療機関等の責任が追及される可能性があります。
一方、電子化された情報の特性に着目すると、医療情報が第三者提供されても、医療機
関等の側で当該情報を削除しない限り、当該医療情報を引き続き保存し続けることにな
ります。したがって、その情報について情報保護責任がなお残ることはいうまでもあり
ません。
医療情報が電子化され、ネットワーク等を通じて情報が提供される場合、第三者提供
の際にも、医療機関等から提供を受ける第三者に直接情報が提供されるのではなく、医
療情報システム・サービス事業者が介在することがあります。この場合、いつの時点で、
第三者提供が成立するのか、すなわち医療情報システム・サービス事業者との責任分界
というべき概念が発生します。
一旦、適切・適法に提供された医療情報については、提供元の医療機関等に送付先での
情報保護責任がないことは先に述べたとおりですが、第三者提供の主体は提供元の医療
機関等であることから、患者等に対する関係では、少なくとも情報が提供先の第三者に
到達するまで、原則として、提供元の医療機関等に責任があると考えることができます。
その上で、医療機関等と医療情報システム・サービス事業者との間の内部的な意味での
「善後策を講ずる責任」をいかに分担するかは、医療情報システム・サービス事業者と医
療機関等の間で、あらかじめ協議して明確にしておくことが望まれます。医療情報シス
テム・サービス事業者の選任・監督義務を果たしており、特に責任が明記されていない場
合に、医療情報システム・サービス事業者の過失で何らかの不都合な事態が生じた場合
は、医療情報システム・サービス事業者が全ての責任を負うのが原則です。
27