医事業務・レセプト業務を委託するときのアカウント

医事業務やレセプト業務を委託するとき、委託先の要員は、医療機関が人的管理を行う対象です。厚生労働省の「医療情報システムの安全管理に関するガイドライン」第 7.0 版では、システムの上の「外部の利用者」にも当たります。契約には守秘・非開示を含め、ID は要員ごとにアクセス権限とアクセス状況を管理できる形で用意します。個人情報保護法 25 条の委託先の監督は委託先の監督とはにまとめており、ここではガイドラインの側だけを扱います。

委託先の要員はガイドラインで誰に当たるか

まず、人材派遣と業務の委託では、当てはまる節が違います。企画管理編 7.1 が挙げるのは、医療機関等の職員として人的管理の対象になる人です。医師や看護師のように法令上の守秘義務がある人と、「医事課職員等、業務に携わることで医療情報を取扱い、守秘義務を負う者」がここに入ります。直接雇用の職員だけでなく、派遣で働く人も対象です。人材派遣を受ける形なら、この職員管理の側の話です。

医事業務そのものを会社に委託する形は、契約の側で受けます。7 章の遵守事項(守るべき決まり)は、事務や運用を外部の事業者に委託する場合、委託契約の契約書に守秘・非開示に関する内容を含めるよう求めています(③)。その契約の際に、委託先の就業規則等にも雇用中・退職後の守秘条項と、採用時・定期の教育を含めるよう求めます(④)。なお 7.2 は、医療情報システム等を委託する場合の考え方の節です。委託先の法人だけでなく、実際にその業務にあたる者にも職員と同様の責任や守秘義務を課す必要がある、と書いています。

システムの利用者としては、13 章の遵守事項が「医療機関等の外部の利用者」のアクセス権限とアクセス状況を管理するよう求めています(⑤)。委託先の医事担当者は、この外部の利用者に当たります。

総務省・経済産業省の事業者向けガイドライン(第 2.0 版)は、対象とする事業者を 2.1 で定めています。医療情報システム等の運用・管理・保守などの契約等に基づいて、それを提供する事業者です。売買契約だけで運用・管理・保守の契約がない場合は「契約等」に含まれない、とも書いています。医事業務だけを受託する会社は、この定義に当てはまらないと読めます。2 本の関係は3 省 2 ガイドラインとはに書いたとおりで、医療機関が管理する対象として扱うことになります。

契約と手順で決めること

医事業務の委託に関わる遵守事項を並べます。中心は企画管理編 7 章で、記録の扱いはシステム運用編 17.1 です。

委託先が医療情報を自社の拠点に持ち出して扱う形なら、外部保存の遵守事項も加わると読めます。この場合、事業者向けガイドラインの遵守を契約で定め、定期的に報告を受けることが求められます。保守に必要な情報以外を閲覧させないこと、保存場所が国内法の及ぶ範囲にあることも同じ遵守事項です(7 章)。院内の端末だけで作業する委託なら、外部保存には当たりません。契約条項の文例は委託契約に入れるアカウント条項(貸与・共有禁止・記録・返却)の要点にあります。

ID をどう用意するか

企画管理編 13 章の遵守事項は、外部の利用者について、利用用途とアクセス範囲、アクセス権限をリスク評価に基づいて整理するよう求めています。その内容に応じて ID やアクセス権限を付与し、管理者権限は最小限の対象者にだけ付与します(⑤)。同じ遵守事項は、外部の利用者のアクセス状況を管理することも求めています。誰がどこまで使ったかを ID の単位で追えることが前提なので、ID を要員ごとに用意すれば、この単位が人と一致します。7 章の遵守事項(③④)が求める守秘義務も、要員ごとに確かめられます。

1 つの ID を委託先に渡す形では、要員が交代してもシステムの記録は変わりません。システム運用編 17 章は、ログイン時刻、アクセス時間、操作した医療情報が特定できる記録を残し、定期的に確認することを求めています。誰が操作したかは、委託先の勤務表や業務日誌と突き合わせなければ分からず、その突き合わせができるかは委託先の記録の残し方に左右されます。委託先が既に共有 ID で作業している場合の確かめ方は委託先が「共有 ID で作業しています」と答えたときの確認事項にあります。

要員の交代に合わせた削除は、システム運用編 14 章の ID の台帳と棚卸し(何があるか一覧にすること)の遵守事項で受けます。委託先からの定期報告の項目に要員の交代を入れ、報告のたびに台帳と照合すれば、交代後も残った ID が見つかります。契約終了時に回収するものの一覧は委託終了・担当交代時のアクセス回収チェックリストにあります。

レセプトのオンライン請求システムの利用者 ID

社会保険診療報酬支払基金のオンライン請求システムには、支払基金から届く「ユーザ設定情報」の ID とパスワードでログインします。「オンライン請求ユーザ ID」と「オンライン請求パスワード」という名前です(操作手順書「セットアップにあたって」令和 8 年 3 月版)。初回ログイン時にパスワードを変更し、パスワードは英字と数字が混在する 6 文字以上 16 文字以下、変更期限は 6 か月です。支払基金の Q&A は、ID とパスワードを記載した資料を「届出のあった保険医療機関等のシステム利用者あて」に送るとしています。設定を代行する業者あてには送れません。電子証明書は端末 1 台につき 1 枚です。

1 つの医療機関に複数のユーザ ID を発行できるか、委託先の要員ごとに ID を分けられるかは、取得した手順書と Q&A には書かれていません。委託先にオンライン請求を任せる場合、医療機関に届いた ID を委託先が使う形になり、誰がいつ使ったかは医療機関側で残す必要があります。パスワードは 6 か月ごとに変わるので、委託先の誰がその時点のパスワードを知っているかを、変更のたびに把握しておくことになります。