PHRサービス⾃⼰チェックリスト
点検⽇︓2023年3⽉3⽇

点検者︓

エムジーファクトリー株式会社
チェック【⼀般的事項】
１．取り扱いの情報
1-1.

個⼈の⽣活に紐付く医療・介護・健康等情報（ライフログを含む）を取り扱っていますか

1-2.

以下の情報を取扱っていますか（扱っている項⽬にチェックをお願いします。複数選択可）

はい

いいえ

わからない

（対応済）

（対応未）

（不明）

該当しない

✓

a. 個⼈情報保護法で定義される個⼈情報✓

b. 個⼈情報保護法で定義される要配慮個⼈情報✓

c. 個⼈情報保護法で定義される匿名加⼯情報✓

d. 個⼈情報保護法で定義される仮名加⼯情報✓e. 「⺠間 PHR 事業者による健診等情報の取扱いに関する基本的指針」で定義される健診等情報✓

f. 「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」で定義される医療情報✓２．説明と同意
2-1.

個⼈の福祉・健康を主⽬的とすることを明⽰していますか✓

2-2.

契約の⽬的、PHRサービスの⽬的・使⽤⽤途等について正しく理解できるような⽅法で情報提供した上で、同意を取得していますか

✓

2-3.

個⼈情報の利⽤⽬的をできる限り特定していますか✓

2-4.

要配慮個⼈情報を取得する場合や、データ連携等により個⼈情報を第三者に提供する場合に同意を取得していますか✓

３．解約に関する権利
3-1.

解約の権利を設ける場合にはその旨を明⽰していますか
該当する場合、解約後のデータの処理について明⽰していますか✓✓

４．ユーザビリティ/アクセシビリティ（利⽤し易さ・便利さについて）
4-1.

PHRサービスの内容に応じたユーザビリティやアクセシビリティの確保について検討していますか（参照︓JIS X 8341-3:2016*）✓

５．本⼈確認5-1.

本⼈確認を実施していますか

5-2.

実施している場合、どの⽅法を⽤いていますか（扱っている⽅法にチェックをお願いします。複数選択可）✓a. オンラインでの本⼈確認（eKYC︓electronic KYC（Know Your Customer）の略で、KYCをオンライン上で実現するための仕組みを指す）
b. 対⾯または郵送による本⼈確認（KYC︓Know Your Customerの略で、本⼈確認を⾏う⼿続きを指す）
c. ⽒名、住所、⽣年⽉⽇、メールアドレス等の情報⼊⼒✓d. その他【有効性に関する事項】
6．リコメンドサービス
6-1.

はいいいえ

わからない

（対応済）

（対応未）

（不明）

6-1-1.
6-1-2.

リコメンドサービスが医⾏為に該当しないか、医師法17条に抵触していないかを少なくとも社内で確認していますか✓

リコメンドサービスに使⽤するアプリケーションが医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律（薬機法）上のプログラム医療機器に該当するかを少なくとも✓社内で確認していますか
リコメンドサービスに使⽤するアプリケーションがプログラム医療機器に該当する場合、医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律（薬機 法）に基づく✓承認等を得ていますか
6-1-3.

疾病の診断・治療に関わるPHRサービスを提供していますか

6-1-4.

同サービスに対するリスクアセスメントの⽅法を開⽰していますか✓

該当する場合、医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律（薬機法）の規定を遵守していますか
6-2.

該当しない

法令順守、リコメンドサービスに対するリスクアセスメントの実施及び開⽰✓✓

リコメンドサービスに対するリスクマネジメントシステムの確⽴
6-2-1.

リコメンドサービスに対するリスクマネジメントシステム（PDCAサイクルの設定や体制）を確⽴していますか✓

6-2-2.

リコメンドサービスのための組織体制や責任等に⾔及した情報を開⽰していますか✓

6-2-3.

リコメンドサービスのプロセスやリソース、指導内容の根拠を提⽰できていますか✓

6-2-4.

リコメンドサービスに対する定期的レビューをしていますか✓

7．管理・閲覧サービス
7-1.

管理・閲覧サービスに対するリスクアセスメントの実施及び開⽰
7-1-1.

7-2.

7-3.

管理・閲覧サービスに対するリスクアセスメントの⽅法を開⽰していますか✓

管理・閲覧サービスに対するリスクマネジメントシステムの確⽴
7-2-1.

管理・閲覧サービスに対するリスクマネジメントシステム（PDCAサイクルの設定や体制）を確⽴していますか✓

7-2-2.

管理・閲覧サービスのための組織体制や責任等に⾔及した情報を開⽰していますか✓

7-2-3.

管理・閲覧サービスに対する定期的レビューをしていますか✓

管理・閲覧サービスに対する利⽤者側の利便性
7-3-1.

利⽤者が⾃⾝のPHRデータを⾃由に閲覧できるようになっていますか✓

7-3-2.

利⽤者の求めに応じてPHRデータを削除できるようになっていますか✓

7-3-3.

健診等情報を取り扱う場合は、その情報をエクスポートできるようになっていますか✓

7-3-4.

PHRデータ標準交換規格を取り扱っていますか︖✓該当する場合は、その情報を標準交換規格でエクスポートできるようになっていますか。

✓【安全性（機密性）に関する事項】
8．第三者機関による監査
8-1.

8-1-1.
8-1-2.
8-2.

はいいいえ

わからない

（対応済）

（対応未）

（不明）該当しない

情報セキュリティ対策
情報セキュリティに係る第三者認証（プライバシーマーク認証、ISMS認証、セキュリティ管理に係る内部統制保証報告書等）を取得していますか
取り扱う情報の要求レベルに応じて、「⺠間PHR事業者による健診等情報の取扱いに関する基本的指針」の「２．情報セキュリティ対策＞２.１.安全管理措置＞（２）本指針に基づく遵守すべき事項」に定義される各項⽬について対応していますか✓✓

脆弱性診断等システムにおける安全性
8-2-1.

バリデーションプロセス（顧客、監査など）の経験がありますか✓

9．運⽤体制や責任者
9-1.

情報管理責任者とカスタマーサポート
9-1-1.

PHRサービスについての⽂書化された取扱説明書、取扱い⼿順、またはそれに類するものはありますかある場合、その⽂書をサービス利⽤者に開⽰していますか

9-2.

9-3.

✓✓

運⽤体制
9-2-1.

適切に開発、管理及びサポートを実施する専⾨分野に対する経験及び資格または能⼒がある⼗分なスタッフを明⽰していますか

9-2-2.

アクシデントが発⽣した際のユーザーへの報告⽅法が明確になっていますか✓✓

クラウド事業者の選定
9-3-1.

取り扱う情報の要求レベルに応じて、⼗分な情報セキュリティ対策を⾏っているクラウド事業者やサービスを選定していますか✓【信頼性に関する事項】
10．サービスにおける信頼性

はいいいえ

わからない

（対応済）

（対応未）

（不明）

10-1. 当該PHRサービスの運⽤やカスタマーサポートの体制を開⽰していますか✓

10-2. 当該PHRサービスの健康情報管理における実績を何らかの形で開⽰していますか✓

10-3. 運⽤ポリシーを公開していますか✓

10-4. 当該PHRサービスは、第三者へのデータ提供を⾏っていますか
10-5. 当該PHRサービスは、利⽤者によるデータポータビリティを確保していますか✓✓

11．運⽤や体制の開⽰
11-1. 医師法、薬機法を含む各種法令、ガイドライン、通達等の遵守及び開⽰
11-1-1.

当該事業者のPHRサービスに関わる個⼈情報保護法、医師法、薬機法を含む各種法令、これらの法令等に関するガイドライン、通達等の内容を理解し、遵守していますか✓

11-2. 不具合発⽣時の体制及び対応⽅法の開⽰
11-2-1.

当該PHRサービスの不具合発⽣時の体制及び対応⽅法を提⽰していますか*JIS X 8341-3:2016 達成基準 早⾒表（レベルA & AA）https://waic.jp/files/cheatsheet/waic_jis-x-8341-3_cheatsheet_201812.pdf✓

該当しない