医療DXの案件情報を見つけて、技術力なら通用しそうだと感じても、情報の扱い方だけがどうにも読めずに足が止まることがあります。個人情報保護法の知識はひととおり押さえてきたつもりでも、医療という領域にはどこか特別な線が引かれているように感じられるためです。その線がどこにあり、誰が引いているのかを、順番に確認していきます。

1. 「機微」は感覚ではなく、法律上の区分になっています

医療DXの案件は、システムの要件そのものは他分野の案件と大きく変わらないのに、扱う情報の重さだけが体感で測れないという声をよく聞きます。個人情報を丁寧に扱っているつもりでも、医療の情報には何か特別な線があるように感じられるためです。

その感覚には、実は法律の側に理由があります。平成27年度の改正個人情報保護法が平成29年5月に施行され、通常の個人情報よりも取扱いに配慮が求められる「要配慮個人情報」という区分と、「匿名加工情報」という区分が新たに設けられました¹。「機微」という言葉は感覚で決まるものではなく、法律が線を引いた結果として存在しているということです。

平成29年の法改正で生まれた「要配慮個人情報」という区分

要配慮個人情報という区分ができたこと自体は、法律上の事実として押さえておきたいところです。目の前の情報がこの区分に当てはまるかどうかは案件ごとの個別判断になるため、この記事では区分が存在するという事実だけを扱います。当てはめの判断はクライアントや専門家に確認する前提で進めます。

案件に入る前に確認するべきは、情報の中身を自分で分類することよりも、区分そのものが存在すると知ったうえで確認を怠らない姿勢のほうです。感覚だけで「たぶん大丈夫」と判断してしまう場面を減らすことが、最初の一歩になります。

確認するタイミングも重要です。契約が始まってから聞くよりも、参画前の面談や契約書を確認する段階で「この案件で扱う情報の区分をどう確認しているか」を尋ねておくほうが、後から慌てて聞き直す手間を減らせます。

区分があるとして、医療の分野には固有の決まりがあるのでしょうか。次の章で確認します。

2. 医療・介護分野には、専用のガイダンスがあります

個人情報保護法の一般的な知識だけで医療の案件に臨もうとすると、途中でその知識だけでは進めない場面に当たることがあります。医療という領域には、法律の外側にもう一段、具体的な取り決めが用意されているためです。

個人情報保護委員会と厚生労働省は、平成29年4月14日に「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」を定めています²。一般の個人情報保護の知識だけでは対応しきれない場面があるからこそ、分野専用の手引きが別に用意されているということです。

一般知識より、分野専用のガイダンスの存在を先に知っておく

一般の個人情報保護の知識よりも、医療・介護分野には専用のガイダンスがあるという事実を先に知っておくほうが、案件に入ってからの戸惑いは小さくなります。ガイダンスの具体的な中身は案件によって参照する箇所が異なるため、この記事では存在の紹介にとどめ、詳細はクライアントや専門家に確認する形にします。

専用のガイダンスがあると分かれば、案件の初期に「この案件はどのガイダンスを前提にしているか」を確認する、という具体的な行動につながります。知らないまま進めるより、確認する項目が一つ増えるだけで、後の負担は大きく変わります。

他分野から医療DXの案件に移る場合は特に、これまでの現場で通用していた個人情報の扱い方を、そのまま持ち込まないほうが安全です。分野が変われば前提になる手引きも変わる、という順番で考えると、確認漏れが減ります。

どのガイダンスを前提にしているかは、案件の説明資料に明記されているとは限りません。書かれていない場合は、参画前の面談で確認する項目の一つに加えておくと、案件の途中で前提が食い違うことを防げます。

専用の決まりがあるなら、まず情報を分けて捉えるところから始められます。

3. 情報は、動かせる度合いで層に分けて考えます

医療DXの案件で最初に迷うのは、目の前の情報をどこまで自由に扱ってよいのか、感覚で決めてしまいそうになる瞬間です。区分の存在は分かっても、案件の中でどう向き合えばよいのかは、また別の問題として残ります。

個別の情報がどの区分に当てはまるかの判断はクライアントや専門家に委ねるとして、考え方の整理として「動かせる度合い」で情報を層に分けてみると、案件で確認すべき順番が見えてきます。診療の内容に直接紐づく情報ほど動かしにくく、統計的に加工されて個人が特定できなくなった情報や、すでに公開されている情報ほど扱いやすくなる、という向きです。

4つの層に分けて、確認する優先順位をつくる

下の表は、医療DXの案件で扱う情報を「動かせる度合い」という観点だけで4つの層に整理したものです。厚生労働省のガイドラインやQ&Aが情報をこの表のとおりに分類しているわけではなく、案件に入る前に確認する順番をつくるための考え方の整理として使います。実際の情報がどの層に当たるかは、案件ごとにクライアントや専門家に確認します。

層	動かせる度合い	確認の視点
診療情報に直接紐づく情報	もっとも動かしにくい	単独での複製・持ち出し・二次利用の可否を最初に確認する
個人が特定できる情報	動かしにくい	氏名や識別子を含む範囲を切り分けて扱えるか確認する
匿名加工された情報	動かしやすい	加工の方法と復元可能性を確認する
公開されている情報	もっとも動かしやすい	公開範囲と利用条件を確認する

層に分けて考える一番の利点は、案件のどの工程で誰に何を確認すればよいかが、最初から順番として見えることです。工程が進んでから「この情報は動かしてよかったのか」と迷う場面を、着手前の確認に前倒しできます。

設計の段階でこの層を意識しておくと、権限やアクセス範囲を分ける設計そのものが素直になります。層をまたいで情報を動かす処理があるなら、そこが確認の優先度が高い箇所だと、早い段階で見当がつくためです。

図の作成：Remogu編集部。案件で確認する順番の考え方を整理したもので、統計データではありません

層が見えると、次に効いてくるのは契約の形です。

4. 委託と第三者提供では、責任の扱いが違います

情報の層が見えてきても、次に気になるのは「自分がどちらの立場でその情報に触れているか」という点です。同じ情報を扱っていても、契約の形によって前提が変わってくるためです。

ガイドラインのQ&Aには「委託と第三者提供の情報管理責任上の違いは何か」という項目があり、第三者提供における責任分界の考え方や、第三者提供が成立する時点についても、それぞれ別の項目で扱われています⁴。同じ情報を同じように扱っていても、契約が委託なのか第三者提供なのかによって、情報管理の責任の所在という前提そのものが変わるということです。

案件を打診された段階では、業務内容の説明が先に来て、契約の形についての説明が後回しになることがあります。技術的な要件を聞くのと同じ順番で、情報管理の責任がどちらに置かれる契約なのかも確認しておきたいところです。

契約の形によって、情報管理の責任の所在が変わる

下の表は、Q&Aが委託と第三者提供という2つの契約の形を区別して扱っていることを整理したものです。目の前の契約がどちらに当たるかという個別の判断はこの記事では行わず、契約書の文言や業務の実態をもとにクライアントや専門家に確認する前提で進めます。

契約の形	Q&Aでの扱い	確認する相手
委託	情報管理責任上の違いを項目として扱う	クライアント
第三者提供	責任分界の考え方と成立時点を別項目で扱う	クライアントまたは専門家

契約書の名称よりも、実態に近い区分を確認する

契約書に書かれた名称よりも、Q&Aが示す項目のどちらに業務の実態が近いかを確認するほうが、案件に入ってから慌てずに済みます。目の前の契約がどちらに当たるかを自分だけで判断せず、クライアントや専門家に確認する一手間が、結果として一番の近道になります。

確認した内容とその結果は、口頭だけで終わらせずに残しておくと安心です。誰に何を確認し、どう回答を受けたかという記録は、後から同じ疑問が出たときに立ち返る場所になります。

出典：「医療情報システムの安全管理に関するガイドライン 第6.0版」に関するＱ＆Ａ（厚生労働省、2025年5月）をもとに作成

責任の分かれ方が分かると、慎重さの理由も腑に落ちます。

5. 過失でも問題になり得るという前提で動きます

情報管理の責任が契約によって変わると分かると、今度は「うっかりミスでもどこまで問題になるのか」が気になってきます。悪意がなければ大丈夫だろう、という感覚をそのまま持ち込んでよいのかという疑問です。

ガイドラインのQ&Aでは、故意に医療情報を漏えいさせた場合は刑法（明治40年法律第45号）上の秘密漏示罪に問われることがあり、医療情報については過失による漏えいや目的外利用であっても、故意の場合と同様に大きな問題となり得ると整理されています³。この記述は医療機関等の管理者に求められる注意義務を前提にしたものですが、情報を扱う案件全体に共通する姿勢として受け止めておく価値があります。

「故意ではないから大丈夫」とは考えない

故意かどうかよりも、結果として情報がどう扱われたかのほうが問われる場面がある、という前提で臨むほうが、案件の初期に確認すべきことを見落としにくくなります。個別の行為が問題に当たるかどうかの判断はこの記事では行わず、迷った時点でクライアントや専門家に確認する動き方を勧めます。

確認を後回しにしないことは、特別に難しい対応ではありません。むしろ、判断に迷った時点で立ち止まり、クライアントに一言確認するという、ごく単純な習慣の積み重ねです。

作業の記録を普段から整えておくことも、この習慣の一部です。いつ・どのクライアントとの合意にもとづいて・どの範囲の情報を扱ったかが後から追える状態にしておけば、過失による目的外利用を未然に防ぐ助けになります。

出典：「医療情報システムの安全管理に関するガイドライン 第6.0版」に関するＱ＆Ａ（厚生労働省、2025年5月）をもとに作成

慎重に進めるなら、受け入れ側の体制も先に確かめておきます。

6. 受け入れ側の体制で、前提が変わります

同じ医療DXの案件でも、参画してみると求められる確認の重さが現場によって違うと感じることがあります。組織の規模が大きいほど確認が厳しくなる、という単純な話ではないためです。

医療情報システムの安全管理に関するガイドライン第6.0版は、医療機関等の規模の大小ではなく、体制や医療情報システムの構成に着目しています。専任のシステム運用担当者がいない場合や、利用する医療情報システムがクラウドサービスだけの場合には、ガイドラインの一部について参照を簡略化できるともしています⁵。規模が小さい現場だから確認が軽くなるとは限らず、体制とシステム構成のほうが前提を決めるということです。

参画前に確認する項目を、体制を軸に整理する

下の表は、受け入れ側の体制によって案件に入る前に確認しておきたい項目を整理したものです。体制やシステム構成は案件ごとに異なるため、実際にどこまで確認が必要かはクライアントに確認しながら進めます。

確認する項目	確認する狙い	確認する相手
専任のシステム運用担当者の有無	参照する範囲の簡略化の余地を把握する	クライアント
利用する医療情報システムの構成	クラウドサービスのみかどうかを把握する	クライアント
契約が委託か第三者提供か	情報管理責任の所在を把握する	クライアントまたは専門家
リモートで扱える情報の範囲	稼働場所による制約の有無を把握する	クライアント

体制の確認は、リモート参画の前提を整えることでもある

Remoguで扱う案件も、案件の90%以上がフルリモート可能です⁶。医療DXの領域であっても、体制の確認を先に済ませておくことで、リモートでの参画を組み立てやすくなります。

案件を選ぶときは、扱う技術よりも先に、受け入れ側がどんな体制で情報を管理しているかを確認しておくほうが、後になって慌てずに済みます。体制の確認は、参画を遠ざける手続きではなく、リモートで安心して稼働するための準備そのものです。

体制を先に確認しておく姿勢は、クライアントから見た信頼にもつながります。稼働場所を問わず、情報の扱い方を自分から確認できる関係者だと分かれば、次の案件でも同じ体制の話を最初から共有しやすくなります。

出典：「医療情報システムの安全管理に関するガイドライン 第6.0版」に関するＱ＆Ａ（厚生労働省、2025年5月）およびRemoguサイト公開情報をもとに作成

7. まとめ

• 「機微」は感覚ではなく、平成29年の法改正で生まれた法律上の区分です
• 医療・介護分野には、個人情報保護法とは別に専用のガイダンスがあります
• 情報は動かせる度合いで層に分けて捉えると、確認の優先順位が見えてきます
• 委託と第三者提供では、情報管理の責任の所在という前提が変わります
• 故意でなくても大きな問題になり得るという前提で、迷ったらクライアントや専門家に確認します

医療DXの案件は、技術力だけでなく、情報の重さを正しく見積もる力も問われる領域です。区分を自分で決めようとするより、確認する相手と確認する項目を先に押さえておくほうが、案件を長く続けるための近道になります。ここで整理した層・契約の形・体制という3つの視点は、案件が変わっても繰り返し使える確認の型として持ち運べます。まずは目の前の案件が、どんな体制で情報を管理しているのかを確認するところから始めてみませんか。

8. よくある質問

医療分野の知識や資格は必要ですか

資格の有無を示す統計は、この記事の出典の範囲には含まれていません。求められるのは資格そのものよりも、情報の区分や責任の所在を確認しながら進める姿勢です。案件ごとに必要な知識は異なるため、募集内容やクライアントとの面談で確認します。

医療分野の実務経験がなくても参画できますか

経験の有無だけで判断されるのではなく、情報の扱い方を確認しながら進められるかどうかが重視される領域です。他分野での経験があっても、医療特有の区分や責任の所在は、案件に入る段階で確認しておく必要があります。積み上げてきた経験を医療DXの案件に活かす場合も、この確認を省略しない姿勢が土台になります。

情報の扱いに迷ったときはどうすればよいですか

自己判断で進めず、クライアントや専門家に確認することが基本です。要配慮個人情報に当たるかどうか、委託と第三者提供のどちらに当たるかといった判断は、この記事の範囲を超える個別の判断になります。確認した内容は口頭で終わらせず、記録として残しておくと、後から同じ疑問が生じたときの手がかりになります。

リモートでどこまで対応できますか

リモートで対応できる範囲は、受け入れ側の体制やシステム構成によって案件ごとに異なります。Remoguで扱う案件も、案件の90%以上がフルリモート可能です⁶が、情報の扱いに関わる部分は稼働場所の条件を含めて事前に確認します。

※公開中の案件数は時期によって変わります。記事中の案件の傾向は執筆時点のものです。

出典・参考情報

＊1 厚生労働省「「医療情報システムの安全管理に関するガイドライン 第6.0版」に関するＱ＆Ａ」（2025年5月）
＊2 厚生労働省「「医療情報システムの安全管理に関するガイドライン 第6.0版」に関するＱ＆Ａ」（2025年5月）
＊3 厚生労働省「「医療情報システムの安全管理に関するガイドライン 第6.0版」に関するＱ＆Ａ」（2025年5月）
＊4 厚生労働省「「医療情報システムの安全管理に関するガイドライン 第6.0版」に関するＱ＆Ａ」（2025年5月）
＊5 厚生労働省「「医療情報システムの安全管理に関するガイドライン 第6.0版」に関するＱ＆Ａ」（2025年5月）
＊6 Remoguサイト公開情報（案件の90%以上がフルリモート可能）