# 電子カルテなどからの患者データの持ち出しを防ぎ、記録する方法

厚労省のガイドライン第 7.0 版は、持ち出す情報と方法を規程で決め、媒体と院外からのネットワーク経由の両方を想定するよう求めます。見る権限と使えるサービスを仕組みで絞り、持ち出しの承認・媒体の台帳・アクセスの記録を残して見直します。

更新日: 2026-10-13

厚生労働省の「医療情報システムの安全管理に関するガイドライン」第 7.0 版は、患者データの持ち出しを一律には禁じていません。持ち出してよい情報と方法を規程で決め、手順を作って管理し、持ち出しの状況を定期的に見直すことを遵守事項(守るべき決まり)にしています。個人情報保護法の面では、個人情報保護委員会と厚生労働省の「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」があります。このガイダンスも、記録機能を持つ媒体の持ち出しの禁止や、アクセス記録の保存を安全管理の例に挙げています。ガイドラインの版と編の構成は[医療情報システムの安全管理に関するガイドラインとは](/guides/healthcare-access/what-is-medical-information-system-security-guideline)にまとめています。

## ガイドラインが「持ち出し」と呼ぶもの

持ち出しは USB メモリーやノートパソコンに限りません。企画管理編 8 章の遵守事項 ⑥ は、院外への持ち出しの手順を定めるときに、次の 3 つの形を想定するよう求めています。

- 医療情報を入れた媒体や情報機器で持ち出す形
- ネットワークを通じて院外へ送る形
- 院外から医療情報の保存場所にネットワークで入り、閲覧したり受信・取り込みをしたりする形

8.2.1 は、持ち出しの方針を、クラウドサービスを使った持ち出しや、テレワークに伴う持ち出しも想定した内容にするよう求めています。

そのため、画面からファイルを保存する操作(ダウンロード)は、3 つ目の形に当たると読めます。自宅や訪問先、私物の端末から、電子カルテやクラウド型のシステムを使う場合です。⑥ が扱うのは院外への持ち出しなので、院内の端末への保存は、それだけでは当たらないと読めます。ただ、院内の端末からも USB メモリーやメールで院外へ出せます。どの操作を持ち出しとして扱うかは、自院で使うシステムごとに決めておきます。

## 規程と手順で決めること

規程を作るのは企画管理者(安全管理の実務を担う担当者)です。企画管理編 8 章の遵守事項 ⑤ は、リスク評価(何が起きうるか、どれだけ困るかを見積もること)をもとに規程を定めるよう求めています。定めるのは、持ち出しの方針、持ち出す情報、持ち出し方法、管理方法です。持ち出した媒体や機器が盗まれたりなくなったりしたときの対応も、規程に定めます(⑦)。外部からのアクセスについて、許可する人・条件・範囲など、許可を得るための手順を定めること(⑧)も遵守事項です。8.1.1 は、規程を文書にしていない小さな医療機関でも持ち出しは起こりうるとして、リスク分析をして対策を考えておくよう書いています。

手順を作るのはシステム運用担当者(システムの日々の運用を担う担当者)です。システム運用編 7 章 ① は、規程に沿って持ち出しの手順を作って管理し、その状況を定期的に企画管理者に報告するよう求めています。企画管理編 8.2.2 は、持ち出しに使える媒体や機器を限ること、持ち出すときの手続き、持ち帰ったときの確認の手続きを挙げています。システムの保守を行う事業者には、個人情報を含むデータの持ち出しを原則として禁じます(システム運用編 7 章 ②)。やむを得ない場合は、企画管理者の承認を得て認めます。

## 仕組みで止めること

規程だけでは、手順を飛ばした持ち出しは止まりません。ガイドラインとガイダンスは、仕組みの側で取れる対策も挙げています。

見られる範囲を絞る対策は、システム運用編 14.2 にあります。情報の区分と、利用者や業務の単位ごとに利用権限を決め、付ける権限は必要最小限にするとしています。参照・更新・実行・追加のように細かく権限を分けられるシステムを選ぶと、リスクをさらに下げられるとも書いています。見る権限のない情報は、その人の操作では持ち出せません。

持ち出せる先を絞る対策は、企画管理編 8.2.3 とシステム運用編 7.1 にあります。8.2.3 が対象にするのは、持ち出しに使えるネットワークサービス(クラウドの保存サービスやファイルを送るサービスなど)です。企画管理者が承認したものに限る措置が必要だとしています。7.1 は、許可したサービス以外への接続を遮断することや、許可していないサービスの利用禁止を規則に入れることを例に挙げています。ガイダンスが挙げるのは、記録機能を持つ媒体の持ち込み・持ち出しの禁止や検査です。スマホやパソコンなど、記録機能を持つ機器の接続の制限も挙げています。

持ち出したものを読めなくする対策は、遵守事項にも入っています。システム運用編 7 章 ③ は、盗難や置き忘れに備えて、暗号化やパスワードの設定で内容を容易に読み取られないようにするよう求めています。

## 持ち出しを記録して見直す

持ち出しにかかわる記録は 3 つあります。1 つ目は、持ち出しそのものの記録です。第 7.0 版の Q&A(企画管理編の Q26)は、持ち出しを認めるときは承認・暗号化・記録を行うよう答えています。Q27 は、持ち出してよいとした判断を、その必要性、対策をしても残るリスク、承認した人、期限とあわせて記録するよう答えています。

2 つ目は、医療情報が入った USB メモリーなどの媒体と情報機器が、いまどこにあるかの台帳です。システム運用編 7 章 ⑦ は、台帳などで管理する手順と、定期的に棚卸し(何があるか一覧にすること)をする手順を作るよう求めています。台帳は媒体と機器を管理するものなので、ネットワークを通じた持ち出しは載りません。

3 つ目はシステムのアクセスの記録です。システム運用編 17 章 ① は、少なくともログイン時刻、アクセス時間、ログイン中に操作した医療情報が分かる記録を求めています。中身は[医療機関のアクセスの記録(監査ログ)は何をどこまで残す必要があるか](/guides/healthcare-access/medical-audit-log-retention)にまとめています。この項目に、ファイルの保存や印刷は入っていません。持ち出しとして扱うと決めた操作が記録に残るかを事業者に確かめておくのは、決め方の一例です。

見直しは、企画管理編 8 章 ⑩ が遵守事項にしています。8.2.6 は、持ち出しを最小限にするために定期的に状況を見直し、不自然な持ち出しがあれば理由を確かめるとしています。ガイダンスも、アクセス記録の保存と、不正が疑われる異常な記録がないかの定期的な確認を挙げています。システム運用編 17.1 は、記録を分析して緊急時に知らせる仕組みも求めています。

記録から人を特定できるのは、ID が人ごとに分かれているときです。1 つの ID を複数人で使っていると、記録から分かるのは ID の名前までです([電子カルテ・診療システムの ID を複数人で使うことの問題と現実](/guides/healthcare-access/sharing-ehr-accounts-among-staff))。

## 漏えいのおそれが出たとき

ガイダンスは、診療録に書かれた病歴を、個人情報保護法の要配慮個人情報(扱いに特に配慮が要る情報)の例に挙げています。診療の過程で医療従事者が知った情報も、同じく例に入っています。要配慮個人情報を含む個人データの[漏えい等](/guides/incidents/what-is-data-breach)が起きたときは、人数にかかわらず報告と通知が要ります。起きたおそれがある段階でも同じです。報告先は個人情報保護委員会、通知先は患者本人です(法 26 条、規則 7 条 1 号)。高度な暗号化などの措置をしたデータは除かれ、患者本人への通知が難しいときは代わりの措置をとります。ガイダンスは例として、患者の診療情報を含む個人データを記録した USB メモリーをなくした場合を挙げています。

報告する項目には、漏えい等が起きた個人データの項目と、その本人の数が含まれます(規則 8 条)。アクセスの記録が使った職員まで分かる形で残っていれば、どの職員がどの患者の情報を開いたかから、範囲を絞れます。企画管理編 8.2.5 は、漏えいしたときの初期対応を規程の中で定めておくよう求めています。例に挙げているのは、紛失が分かったときの連絡先と対応手順です。


## よくある質問

**患者データの持ち出しは禁止されていますか**

一律には禁じていません。持ち出す情報・方法・管理方法を規程で定め、手順を作って管理し、状況を定期的に見直すことが遵守事項です。保守を行う事業者の持ち出しは原則として禁止です。

**画面からのダウンロードも持ち出しですか**

企画管理編は、院外から医療情報の保存場所にネットワークで入り、閲覧・受信・取り込みをする場合も持ち出しとして想定するよう求めています。自宅や私物の端末で画面からファイルを保存する操作は、これに当たると読めます。

**持ち出しの承認は記録に残しますか**

第 7.0 版の Q&A は、持ち出しを認めるときは承認・暗号化・記録を行い、持ち出してよいとした判断を、必要性・残るリスク・承認者・期限とともに記録するよう答えています。

**患者 1 人分の漏えいでも報告が必要ですか**

病歴などの要配慮個人情報を含む個人データの漏えい等は、おそれの段階でも、人数にかかわらず個人情報保護委員会への報告と患者本人への通知が必要です。高度な暗号化などをしたものは除かれます。

**アクセスの記録だけで持ち出しが分かりますか**

ガイドラインが記録に求める項目に、ファイルの保存や印刷は入っていません。持ち出しとして扱う操作が残るかを事業者に確かめ、媒体と機器の台帳と合わせて見直します。

## 参考資料

- [厚生労働省「医療情報システムの安全管理に関するガイドライン 第 7.0 版(令和 8 年 6 月)」掲載ページ](https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html)
- [厚生労働省「医療情報システムの安全管理に関するガイドライン 第 7.0 版 企画管理編」](https://www.mhlw.go.jp/content/10808000/001716292.pdf)
- [厚生労働省「医療情報システムの安全管理に関するガイドライン 第 7.0 版 システム運用編」](https://www.mhlw.go.jp/content/10808000/001716295.pdf)
- [個人情報保護委員会・厚生労働省「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」(令和 8 年 4 月一部改正)](https://www.ppc.go.jp/files/pdf/260401_iryoukaigo_guidance.pdf)
- [厚生労働省「医療情報システムの安全管理に関するガイドライン 第 7.0 版 Q&A」(令和 8 年 9 月)](https://www.mhlw.go.jp/content/10808000/001752355.pdf)
- [個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン(通則編)」(令和 8 年 6 月一部改正)](https://www.ppc.go.jp/files/pdf/260614_guidelines01.pdf)

## Junify の場合

**人手で続けると** 職種ごとにアカウントを分け、応援や交代のたびに発行と停止を行い、誰がいつどの情報を見たかを、ガイドラインの求める期間だけ残し続けることになります。

**Junify なら** 画面からの保存を規程で禁じても、止める手段がなければ、不自然な持ち出しは後から理由を聞いて確かめることになります。ブラウザーで使う診療システムなら、Junify で保存(ダウンロード)をアカウントごとに止められます。導入時にパスワードを変えて Junify だけが持つので、スタッフは Junify を通さないと入れません。アップロードは検知して管理者に知らせ、誰が・いつ使ったかも一人ずつ残ります。

Junify は、パスワードを渡さずに社内外の担当者へ仕事を任せるためのアクセス管理サービスです。担当者はスマホで本人認証し、カードをクリックするだけで必要なアカウントにログインできます。パスワードは開示されず、誰がいつどのアカウントを使ったかは個人単位で記録されます。

- [登録不要の体験デモを見る](https://www.junify.jp/bpo/try?scenario=healthcare)
- [30 分デモを予約する](https://www.junify.jp/bpo/demo)

## 同じテーマの記事

- [予約・問診・オンライン診療などのクラウドサービスで、アカウント管理の責任はどこで分かれるか](/guides/healthcare-access/clinic-saas-responsibility-split): 基本の形は、サービス側の仕組みと安全対策は事業者、誰に ID を出していつ止めるかは医療機関です。厚労省のガイドライン第 7.0 版は、この分かれ目を事業者と文書で取り決め、開示書(MDS/SDS)で確かめるよう求めています。
- [医療機関がサイバー攻撃を受けたとき、アカウントについて最初に行うこと](/guides/healthcare-access/medical-cyber-incident-account-response): 初動は保守会社への連絡、ネットワークの遮断と攻撃者が残した裏口の無効化、記録の保全です。侵害された可能性のある機器の ID とパスワードの無効化は、ガイドラインでは復旧の際の方策です。非常時用のアカウントは正常に戻った後に使えなくします。
- [オンライン資格確認の端末で使うアカウントとパスワードの管理](/guides/healthcare-access/online-eligibility-verification-terminal): 資格確認端末には Windows のログイン、電子証明書、システムのアカウントがあり、顔認証付きカードリーダーにもアカウントがあります。システムのアカウントは職員一人ずつ作って退職時に止め、管理用の ID は持つ人と保管場所を決めます。