別記５

意見募集の結果及び意見に対する考え方

「民間PHR事業者による健診等情報の取扱いに関する基本的指針」（案） 意見募集の結果（概要） 意見募集期間：令和３年２月１９日（金）～令和３年３月１２日（金） 意見の件数：２１件※意見の件数は、意見提出者数。２１者（うち 団体：１２者 個人：９者）。
【意見提出者】
受付（提出順、敬称略）
意見提出者

１

個人01

２

個人02

３

個人03

４

個人04

５

個人05

６

個人06

７

メディカル・データ・ビジョン株式会社

８

株式会社医針盤

９

アルケア株式会社医工学研究所

10

株式会社JMDC

11

健康長寿産業連合会

12

一般社団法人PHR協会

13

有限会社ネクストワンサーバ

14

匿名希望（団体01）

15

一般社団法人PHR普及推進協議会

受付

意見提出者

16

一般社団法人日本経済団体連合会
イノベーション委員会 ヘルステック戦略検討会

17

オムロンヘルスケア株式会社

18

一般社団法人日本医療情報学会

19

個人07

20

個人08

21

個人09

No.

氏名・名称

属性

ページ

パート

意見

考え方

修正内容
原案

1

一般社団法人日本経済団体連合会 イノベー
団体
ション委員会 ヘルス
テック戦略検討会-

全般

サービスの利活用の促進に向けて、情報の取扱いに関する本指針に加え、PHRの利活用を促進するような制度
設計や環境整備の検討も行うことを期待する。
PHR事業者は「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」を遵守する必要はないのでしょうか。「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイ
ドライン」の２．１．では、「患者等の指示に基づいて医療機関等から医療情報を受領する事業者」は、対象事業者と規定されている。少なくとも、同ガイドラインの対象となる可能性があることについて言及する必要があるのではないか。

2

一般社団法人日本医
療情報学会

団体

-

個人01

個人

2

1.1

4

個人05

個人

2

1.1

メディカル・データ・ビ
ジョン株式会社

団体

2

取り扱われる情報やその取り扱われ方、事業者の種類等によっては、「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」の対象となる場合がありますので、本指針に記載いたします。また、当該ガ
イドラインと本指針の関係については、「民間PHR事業者による健診等情報の取扱いに関する基本的指針に関するQ&A」のQ1-14を御確認ください。

全般

3

5

修正後

参考意見として承りました。

1.1（「医療情報を取り扱う情報システム・サービスの提供
事業者における安全管理ガイドライン」について記
載）
また、患者等の指示に基づいて医療機関等から医療情報を受領する事業者は、「医療情報を取り扱う情報
システム・サービスの提供事業者における安全管理
ガイドライン」（令和２年８月総務省、経済産業省）の遵守が求められる。

本指針の対象とする情報の定義として「医療機関等から個人に提供され、個人が自ら入力する情報」という文章 「民間PHR事業者による健診等情報の取扱いに関する基本的指針に関するは分かり難いです。健診等情報利活用ワーキンググループ 民間利活用作業班（第６回）の資料5-2では「医療機 Q&A」のQ1-4を御確認ください。
関で測定された検査値又は調剤記録等の医療機関等から個人に提供される情報」という定義でした。この内容が「医療機関等から個人に提供され、個人が自ら入力する情報」の前半の「医療機関等から個人に提供され」に該当するとすれば、後半の「個人が自ら入力する情報」は、具体的にどのような情報が想定され、追加されたものでしょうか。
2点目に掲げられる「医療機関等から個人に提供され、個人が自ら入力する情報」について、以下の２点を明確に 「民間PHR事業者による健診等情報の取扱いに関する基本的指針に関するされたい。
Q&A」のQ1-4を御確認ください。
・個人が自ら入力することができないEMR、EHRは対象外か。（これらは、医療機関より個人向けにデータ出力するなど、個人が情報入手することが技術的に可能である。）
・たとえば電子カルテ？PHR間のように、自動的にシステム間で連携される情報は該当するか。
当社のPHRサービス「カルテコ」は、検査結果や処置・処方などの診療情報を扱っていますが、指針案では、主本指針の対象とする情報は本指針1.1.のとおりで、対象事業者は本指針1.2.のとに、健康診断結果や薬剤情報を対象としているように思われます。
おりです。
本指針の対象として、検査結果や処置・処方などの診療情報が含まれるか否か明確にすべきと考えます。
当社のPHRサービス「カルテコ」は、医療機関の情報システムと連携し、ユーザーの診療情報を取得・格納しています。健診システムや処方システムの発展・普及に伴い、PHRサービスとこれらのシステムとのデータ連携は促進されますので、本指針の対象にも明記すべきと考えます。
[意見]
本指針の対象とする情報は本指針1.1.のとおりです。あわせて「民間PHR事業者
民間PHR事業者が取り扱う情報は健診等情報だけではないと思われますが、本ガイドラインに書かれている健診 による健診等情報の取扱いに関する基本的指針に関するQ&A」のQ1-2、1-3、
等情報は、以下の３項目に限定されています。
1-4、1-5、1-6、1-14を御確認ください。
(ア)個人がマイナポータル API 等を活用して入手可能な健康診断等の情報(イ)医療機関等から個人に提供され、個人が自ら入力する情報(ウ)個人が自ら測定又は記録を行うものであって、医療機関等に提供する情報

6

一般社団法人PHR協会 団体

2

1.1

これらの他に、本ガイドラインに書かれていない情報として、例えば、
1)医療機関から提供を受ける医療情報、
2)健診機関から提供を受ける健診情報、
3) その他、産業保健における両立支援・健診事後措置等で取り扱われる情報などもあります。
1) については、「医療情報を取扱う情報システム・サービスの提供事業者における安全管理ガイドライン」に従うのでしょうか。2),3)については、どのガイドラインに従うのでしょうか。
本ガイドラインは、PHR事業者がとりあつかう情報のうち、健診等情報だけに関するガイドラインになっていると思われます。PHR事業者としては、本ガイドラインでは、対応が難しいのではないでしょうか。
これらの点につきまして、できるだけ明確に記載していただきたいと考えます。

7

8

団体01

オムロンヘルスケア株
式会社

団体

団体

2

2

1.1

1.1

左記の情報を取り扱っているというだけでなく、前提としていわゆる典型的なPHRサービス（PHRの経年での管理・ 本指針の対象とする情報は本指針1.1.のとおりで、対象事業者は本指針1.2.のと閲覧や第三者提供の管理ができる機能を持つ等）を提供している事業者が本指針の対象であるということを、明 おりです。また、PHRサービスの定義については用語集に記載いたしました。
確化していただきたい。

問題点：「民間PHR事業者による健診等情報の取扱いに関する基本的指針に関する
1.1においては、「医療機関等に提供する情報」と、目的に基づいて記載されているが、1.2では、「自ら日々計測す Q&A」のQ1-5を御確認ください。
る・・・・情報等」と行為の主体者に基づいて記載されている。
このため具体的な項目や対象該当性の判断を行うことが出来ない。
1.1を「医療機関等に開示（提示する）可能性のある情報」としてしまうと、対象となる情報が広範になりすぎるという問題が生じる。
1.2に着目すると、健診機関等からの情報を取り扱わなければ対象外の事業者と読むことも可能であるが、自ら日々計測する情報の中には、体温や血圧等、診療時に参考となる情報も含まれているのが現状である。
解決案と理由：
1.2「のみを取り扱う事業者」の部分について取扱内容の具体的なイメージがわくように事例や補足解説を追加するべきである。特に、医療機関に提示する可能性のある情報が含まれる場合は該当とするのか、提示することを禁じる場合は該当しないのかは、企業の企画サイドから見て重要な事項となる。
そもそも医療機関に対する情報の提示は、利用者本人の意向によることが大きく、事業者が提示を想定していなくても、実際に提示が行われることがありうることについて、なんらかの補足説明を加えるべきである。

（基本的指針の用語集にPHRサービスを記載）
PHRサービス：利用者が予防又は健康づくり等に活用すること並びに医療及び介護現場で役立てること等を目的として、PHRを保存及び管理並びにリコメンド等を行うサービス。

No.

氏名・名称

属性

ページ

パート

意見

考え方

1.1

個人が入力したデータだけが対象となっているが医療機関や他健康サービスから連携されただけの情報も対象にするべきではないでしょうか。 例として薬局から連携される調剤情報や電子処方箋システムや電子お薬手帳から連携される情報も追加した方がよいと思われます。

医療機関等から医療情報を受領するPHR事業者は、総務省及び経済産業省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理
ガイドライン」の対象となります。詳しくは「民間PHR事業者による健診等情報の取扱いに関する基本的指針に関するQ&A」のQ1-14を御確認ください。

[意見]「民間PHR事業者」と認定する上でのミニマム要件（本ガイドラインの適用範囲）が不明確です。
例１：時系列に整理されたお薬手帳(紙・デジタル)等はPHRに含まれるか？
例２：「PHRの利用目的」の定義の事例がない。何に使うPHRかを記述するべきである。
PHRの利用目的例；１．健康づくり、２．一般及び在宅診療、３．救急（海外含む）４．産業保健現場（現状は企業管理）、５．疾病管理 等

本指針の対象とする情報は本指針1.1.のとおりで、対象事業者は本指針1.2.のとおりです。また、PHRサービスの定義については用語集に記載いたしました。

修正内容
原案

9

10

個人07

個人

一般社団法人PHR協会 団体

2

2

1.2

11

健康長寿連合会

団体

2

1.2

12

団体01

団体

2

1.2

13

オムロンヘルスケア株
式会社

団体

2

1.2

オムロンヘルスケア株
式会社

団体

2

1.2

（基本的指針の用語集にPHRサービスを記載）
PHRサービス：利用者が予防又は健康づくり等に活用すること並びに医療及び介護現場で役立てること等を目的として、PHRを保存及び管理並びにリコメンド等を行うサービス。

【再掲】左記の情報を取り扱っているというだけでなく、前提としていわゆる典型的なPHRサービス（PHRの経年で 本指針の対象とする情報は本指針1.1.のとおりで、対象事業者は本指針1.2.のとの管理・閲覧や第三者提供の管理ができる機能を持つ等）を提供している事業者が本指針の対象であるというこ おりです。また、PHRサービスの定義については用語集に記載いたしました。
とを、明確化していただきたい。

（基本的指針の用語集にPHRサービスを記載）
PHRサービス：利用者が予防又は健康づくり等に活用すること並びに医療及び介護現場で役立てること等を目的として、PHRを保存及び管理並びにリコメンド等を行うサービス。

問題点：
PHRサービスの定義については用語集に記載いたしました。
「PHRサービス」とは何かについての記載が無く、1.1、1.2において単語が出現しても具体的なイメージを持つことが出来ない。
その一方で、P16 4.2.(1)①において、エクスポート機能、インポート機能の実装が必須との記載があるものの、閲覧についての記載が無いなど偏りが生じている。

（基本的指針の用語集にPHRサービスを記載）
PHRサービス：利用者が予防又は健康づくり等に活用すること並びに医療及び介護現場で役立てること等を目的として、PHRを保存及び管理並びにリコメンド等を行うサービス。

【再掲】問題点：「民間PHR事業者による健診等情報の取扱いに関する基本的指針に関する
1.1においては、「医療機関等に提供する情報」と、目的に基づいて記載されているが、1.2では、「自ら日々計測す Q&A」のQ1-5を御確認ください。
る・・・・情報等」と行為の主体者に基づいて記載されている。
このため具体的な項目や対象該当性の判断を行うことが出来ない。
1.1を「医療機関等に開示（提示する）可能性のある情報」としてしまうと、対象となる情報が広範になりすぎるという問題が生じる。
1.2に着目すると、健診機関等からの情報を取り扱わなければ対象外の事業者と読むことも可能であるが、自ら日々計測する情報の中には、体温や血圧等、診療時に参考となる情報も含まれているのが現状である。
解決案と理由：
1.2「のみを取り扱う事業者」の部分について取扱内容の具体的なイメージがわくように事例や補足解説を追加するべきである。特に、医療機関に提示する可能性のある情報が含まれる場合は該当とするのか、提示することを禁じる場合は該当しないのかは、企業の企画サイドから見て重要な事項となる。
そもそも医療機関に対する情報の提示は、利用者本人の意向によることが大きく、事業者が提示を想定していなくても、実際に提示が行われることがありうることについて、なんらかの補足説明を加えるべきである。
問題点：
本指針の対象とする情報は本指針1.1.のとおりで、対象事業者は本指針1.2.のと「PHR サービスを提供する民間事業者」左記の「提供する」の部分において、最終利用者からサービスの見え方に おりです。また、「民間PHR事業者による健診等情報の取扱いに関する基本的ついて疑義が存在する。
指針に関するQ&A」のQ1-8を御確認ください。
次のような4形態が考えられるが、非PHR事業者が保険者等と契約し、その事業者のサービスとしてPHR機能を提供する場合の契約形態や同意取得のありかたについて実情を踏まえた記載が存在しない。
① 最終利用者→ PHR事業者② 最終利用者 →保険者等 →→ PHR事業者③ 最終利用者 →非PHR事業者 →PHR事業者④ 最終利用者 →保険者等 →非PHR事業者 → PHR事業者

15

オムロンヘルスケア株
式会社

団体

2

1.2

（基本的指針の用語集にPHRサービスを記載）
PHRサービス：利用者が予防又は健康づくり等に活用すること並びに医療及び介護現場で役立てること等を目的として、PHRを保存及び管理並びにリコメンド等を行うサービス。

原案では、本指針の対象事業者について「健診等情報を取り扱うPHRサービスを提供する民間事業者（以下PHRサービスの定義については用語集に記載いたしました。
「PHR事業者」という。）」と定義されていますが、どのような役務提供がPHRサービスなのか(例：健診等情報を保管・管理するだけのサービスも該当するのか等)、原案では判断がつかないため、明確化していただきたいと考えます。

解決案と理由：
過去の作業班会議において示された、「保管・管理・閲覧」「レコメン」「第三者提供」等を例示し、具体的なイメージを持てるようにするべきである。

14

修正後

①②の場合は、本基本指針に準じて対応可能と思われるが、③④の場合は、最終利用者から見てPHRサービスを提供するのは非PHR事業者となり、利用契約や同意取得は非PHR事業者が行うこととなる。
この場合において非PHR事業者（例えば保健指導介入の専業事業者等）は利用者等との契約の観点からPHR事業者と見なされ、本指針を遵守する必要が生じるのか。
さらに、同意取得はPHR機能を提供するPHR事業者が最終利用者から直接行う必要があるのか？
または、非PHR事業者がPHR機能以外のサービスを提供する為に同意取得を行った場合、そこからの委託先として最終利用者からの個別同意取得は不要となるのか？
解決案と理由：
最終利用者や保険者が非PHR事業者と契約し、PHR機能を外部委託等において提供する場合の契約の考え方や同意取得のルールについて指針内に記載するか、Q&A等で説明を行うべきである。
実際には、非PHR事業者にPHR事業者並みの管理体制を求める事には限界があるため、非PHR事業者が個別同意を取得している場合は、PHR事業者はその同意取得をもって個別同意取得済みと見なし、別途の同意取得を不要とすることが望ましい。
但し、非PHR事業者、PHR事業者間の契約で、データの二次利用や消去等について、本誌心より踏み込んだ契約
テンプレート等を示す必要があると思われる。

No.

氏名・名称

属性

ページ

パート

意見

考え方

修正内容
原案

16

オムロンヘルスケア株
式会社

団体

2

1.2

修正後

問題点：
「民間PHR事業者による健診等情報の取扱いに関する基本的指針に関する
本事項は学術研究機関を想定した文言と思われるが、民間企業においても自らの製品評価や技術開発を目的に Q&A」のQ1-7を御確認ください。
健診等情報や匿名加工情報を取り扱う部門が存在している。
同一企業内において、このような研究開発部門と、通常のHPRサービス等を行う事業部門の両者が存在している
場合、研究開発部門も本指針の対象となるのか？研究開発部門は対象外となるのか？
また、「専ら研究開発の推進等を目的として利用される健診等情報又は匿名加工情報のみを取り扱う事業者」から、データ収集の委託等を受けた事業者は、本指針の対象となるのか、それとも、委託元に準じて本指針対象外となるのか？
解決案と理由：
当該事業者の定義において、学術研究機関と民間企業の研究開発部門を分けて記載する。
その上で、民間企業の研究開発部門が除外できる場合の条件について記載するべきである。
研究開発段階において検証用に用いるシステムと実際のサービス提供に用いるシステムはシステム構成や運用が異なる場合も多い。同一の基準で対応を求めることには限界があると考えられる。

17

個人07

個人

2

1.2

18

個人07

個人

2

1.2

19

20

21

22

個人08

個人08

個人02

個人04

個人

個人

個人

個人

2

2

2

2

1.2

1.2

1.3

1.3

「PHRサービスを提供する事業者」について、PHRサービスを提供する事業者から委託を受けて実際にサービスを 安全管理措置には、技術的安全管理措置だけでなく、規律に従った運用の遵守
運営する事業者も対象にするべき（P5では安全管管理措置の確保しか言及していない）ではないでしょうか。
といった組織的安全管理措置のほか、人的安全管理措置、物理的安全管理措置が含まれます。本指針のおおよそすべてについて、委託元は委託先等を適切に管理・監督する必要があります。
PHRサービスを提供する事業者の中にも多数部署があるので遵守するべき対象はPHRデータを取り扱う部署と限 「民間PHR事業者による健診等情報の取扱いに関する基本的指針に関する定をした方がよいと思われます
Q&A」のQ1-7を御確認ください。
<該当箇所>段落の最後に3つ目の注釈を追加
取り扱われる情報やその取り扱われ方、事業者の種類等によっては、「医療情<意見内容>
報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライ
以下を追加する。「患者等の指示に基づいて医療機関等から医療情報を受領する事業者は対象事業者として含 ン」の対象となる場合がありますので、本指針に記載いたします。また、当該ガ
めず、経済産業省及び総務省発行の「医療情報を取り扱う情報システム・サービスの提供事業者における安全管 イドラインと本指針の関係については、「民間PHR事業者による健診等情報の取理ガイドライン」の対象とする。
扱いに関する基本的指針に関するQ&A」のQ1-14を御確認ください。
<理由>、経済産業省及び総務省発行のガイドラインので
2.1. 本ガイドラインが対象とする医療情報と事業者で、「患者等の指示に基づいて医療機関等から医療情報を受領する事業者は本ガイドラインにおける対象事業者となる。
患者等から直接医療情報を受領する事業者は、本ガイドラインにおける対象事業者にはあたらない。」と明示されている。

（「医療情報を取り扱う情報システム・サービスの提供
事業者における安全管理ガイドライン」について記
載）
また、患者等の指示に基づいて医療機関等から医療情報を受領する事業者は、「医療情報を取り扱う情報
システム・サービスの提供事業者における安全管理
ガイドライン」（令和２年８月総務省、経済産業省）の遵守が求められる。

<該当箇所>健診等情報を取り扱うPHRサービスを提供する民間事業者（以下「PHR事業者」という。）の次に挿入 本指針の対象とする情報は本指針1.1.のとおりで、対象事業者は本指針1.2.のと<意見内容>以下を挿入する。「PHR事業者を「健康管理サービス提供者主体管理型PHR事業者」と「個人主体管 おりです。また、PHRサービスの定義については用語集に記載いたしました。
理型PHR事業者」に分類する。
「健康管理サービス提供者主体型ＰＨＲとは健診等情報を個人から取得し、その情報をもとに健康管理サービスを行うシステムで健診等情報の管理主体はサービス提供者である。
個人主体管理型PHRとは健康手帳、お薬手帳のように個人が主体となり健康等情報を保管、閲覧し、必要に応じて健康サービス提供者に提供することを目的とするシステムで健診等情報の管理主体は個人である。これに該当する事業者に対しては本ガイドラインの内、ＰＨＲ事業者が管理主体となって行う健診等情報利用に関する項目は対象外とする。
注）あるいは適用範囲を原案の事業者に限ることを明確に記述する方法もあると思います。
<理由>原案では健康管理サービス主体者が健診等情報を個人から取得し、情報処理を行い、個人の情報を評価する等によりサービスを行う事業者を対象としている。
これは、両省ガイドライン「クラウドサービス事業者が医療情報を取り扱う際の安全管理に関するガイドライン第1
版平成30年７月」で用語説明のある「ＰＨＲサービス事業者」とは定義が異なるので明確に区別してそれぞれに該当するガイドライン項目を適用すべきである。

（基本的指針の用語集にPHRサービスを記載）
PHRサービス：利用者が予防又は健康づくり等に活用すること並びに医療及び介護現場で役立てること等を目的として、PHRを保存及び管理並びにリコメンド等を行うサービス。

PHR事業者は、「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」を遵 取り扱われる情報やその取り扱われ方、事業者の種類等によっては、「医療情守する必要はないのでしょうか？
報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライ
同ガイドライン2.1.において、「患者等の指示に基づいて医療機関等から医療情報を受領する事業者」は対象事業 ン」の対象となる場合がありますので、当該ガイドラインを、必要に応じて、参照者と規定されています。少なくとも、同ガイドラインの対象となる可能性があることについて言及する必要があるの するように基本的指針に記載いたします。また、当該ガイドラインと基本的指針
ではないでしょうか?
の関係については「民間PHR事業者による健診等情報の取扱いに関する基本的指針に関するQ&A」のQ1-14を御確認ください。

（「医療情報を取り扱う情報システム・サービスの提供
事業者における安全管理ガイドライン」について記
載）
また、患者等の指示に基づいて医療機関等から医療情報を受領する事業者は、「医療情報を取り扱う情報
システム・サービスの提供事業者における安全管理
ガイドライン」（令和２年８月総務省、経済産業省）の遵守が求められる。

本指針と、いわゆる3省2ガイドライン（厚生労働省「医療情報システムの安全管理に関するガイドライン」，経済産業省・総務省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」）の関係が記載されていないようです。本指針で扱う情報は、3省2ガイドラインも考慮する必要があるのかないのか明記して頂けるとありがたいです。

（「医療情報を取り扱う情報システム・サービスの提供
事業者における安全管理ガイドライン」について記
載）
また、患者等の指示に基づいて医療機関等から医療情報を受領する事業者は、「医療情報を取り扱う情報
システム・サービスの提供事業者における安全管理
ガイドライン」（令和２年８月総務省、経済産業省）の遵守が求められる。

取り扱われる情報やその取り扱われ方、事業者の種類等によっては、「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」の対象となる場合がありますので、当該ガイドラインを、必要に応じて、参照するように基本的指針に記載いたします。また、当該ガイドラインと基本的指針の関係については「民間PHR事業者による健診等情報の取扱いに関する基本的指針に関するQ&A」のQ1-14を御確認ください。

No.

氏名・名称

属性

ページ

パート

意見

考え方

また、本指針の基礎となるガイドライン等は、なぜ1.3節に記載のものが選定されたのか、理由を記載して頂けると、本指針を理解するための助けになると考えます。

個人情報が取り扱われる際には、個人情報保護法やそのガイドライン、マイナ
ポータルを経由して健診等情報が取り扱われる際には、マイナポータルに関連したガイドラインが適用される可能性があり、これらガイドラインを記載しており
ます。

修正内容
原案

23

24

個人04

メディカル・データ・ビ
ジョン株式会社

個人

団体

2

2

1.3

1.3

25

アルケア株式会社医工
団体
学研究所

2

1.3

26

個人06

4

2

27

メディカル・データ・ビ
ジョン株式会社

個人

団体

4

2

28

株式会社JMDC

団体

4

2.1(1)

29

一般社団法人日本医
療情報学会

団体

4

2.1(1)

30

個人05

個人

4

2.1(2)①31

一般社団法人日本医
療情報学会

団体

4

32

個人03

個人

5

修正後

当社のPHRサービス「カルテコ」では、検査結果や処置・処方などの診療情報を扱っていることから、医療情報シス 取り扱われる情報やその取り扱われ方、事業者の種類等によっては、「医療情テムの安全管理に関する、いわゆる、厚生労働省、総務省、経済産業省の3省2ガイドライン（※）に沿った安全管 報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライ
理措置を実施しています。
ン」の対象となる場合がありますので、当該ガイドラインを、必要に応じて、参照
本指針が診療情報を対象としている場合は言うまでもなく、診療情報を対象としていない場合であっても、要配慮 するように基本的指針に記載いたします。また、当該ガイドラインと基本的指針
個人情報を扱うシステムであることから3省2ガイドラインに準じた安全管理措置が必要と考えます。
の関係については「民間PHR事業者による健診等情報の取扱いに関する基本※医療情報システムの安全管理に関するガイドライン 第5.1版（厚生労働省 令和3年1月）
的指針に関するQ&A」のQ1-14を御確認ください。
医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン（総務省・経済産業省
令和2年8月）
本指針案と「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」では対象 取り扱われる情報やその取り扱われ方、事業者の種類等によっては、「医療情となる情報および事業者が異なりますが、「PHR（Personal Health Record）サービスの利活用に向けた国の検討 報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライ
経緯について」（別紙3）に将来的課題として示されている保健医療の発展のためには、ヘルスケア情報と医療情 ン」の対象となる場合がありますので、当該ガイドラインを、必要に応じて、参照
報の統合管理が必要になると考えております。
するように基本的指針に記載いたします。また、当該ガイドラインと基本的指針
そのシステム開発を想定すると、本指針案と「医療情報を取り扱う情報システム・サービスの提供事業者における の関係については「民間PHR事業者による健診等情報の取扱いに関する基本
安全管理ガイドライン」の関係性を明示して頂きたいです。具体的には、求められる対策という観点で「医療情報を 的指針に関するQ&A」のQ1-14を御確認ください。
取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」が本指針案を包含している形になることが望ましいです。

セキュリティの確保だけはしっかり担保してください。

（「医療情報を取り扱う情報システム・サービスの提供
事業者における安全管理ガイドライン」について記
載）
また、患者等の指示に基づいて医療機関等から医療情報を受領する事業者は、「医療情報を取り扱う情報
システム・サービスの提供事業者における安全管理
ガイドライン」（令和２年８月総務省、経済産業省）の遵守が求められる。

参考意見として承りました。

当社のPHRサービス「カルテコ」では、Webサイトはインターフェース機能に限定し、診療データは、物理的・システ 本指針に書かれている対策は、PHR事業者として特に遵守すべき具体的な対
ム的にアクセス制限されたデータセンター内のサーバーに格納しています。さらに、Webサイトとデータセンター内 策例を記述しているものであって、記述されている対策さえ行っていれば十分とのサーバーとの間の通信をAPIで制御することにより、Webサイトを踏み台とした診療データへの不正アクセスを防 言うわけではなく、これ以外の代替的対策や追加的対策の実施を妨げるもので止しています。
はありません。また、PHR事業者は本指針2.1.(1)にあるように、リスクに応じて必PHRサービスはクラウド環境で提供されることが想定されますので、アクセスビリティーの向上と健診等情報の安 要かつ適切な対策を講じなければなりません。本指針は、オンプレミスの利用だ
全管理を踏まえた指針が必要と考えます。
けを想定しておらず、クラウドサービスの利用においても、本指針と照らして、対策を講じる必要があります。
本指針案「２．１．安全管理措置」については、情報処理技術の発展や脅威の変化に伴って不断の更新が必要で 本指針に書かれている対策は、PHR事業者として特に遵守すべき具体的な対あり、引き続き、本指針の適時の改正や、より具体的な安全管理措置のプラクティスについての検討を続けられた 策例を記述しているものであって、記述されている対策さえ行っていれば十分とい。
言うわけではなく、これ以外の代替的対策や追加的対策の実施を妨げるものでまた、ＰＨＲ事業者がテレワークの推進やクラウド基盤の活用を進めるにあたり、本指針の定める物理的セキュリ はありません。また、PHR事業者は本指針2.1.(1)にあるように、リスクに応じて必
ティ等の実施例の記載がその妨げとならないよう、ＰＨＲ事業者のみならず、ＰＨＲサービスの想定利用者に対し 要かつ適切な対策を講じなければなりません。なお、本指針は必要に応じて検て、ＰＨＲサービスに対するリスクベースでのセキュリティ評価が可能となるようなガイドライン等を示されることを 討及び見直しを行う予定です。
希望する。
本ガイドラインが中心的に参照している個人情報保護法では、安全管理措置の要否に「事業規模」を考慮しておら 本規定は、「個人情報の保護に関する法律についてのガイドライン（通則編）」のず、事業規模が小さい場合に安全管理が疎かでよいとは社会通念上考えられないことから、「事業規模」の文言 8（別添）講ずべき安全管理措置の内容として示されているものです。
は削除するのが適切ではないか。
・病院個別でPHRを提供している場合、本項で言う「経営者」は病院経営者、PHRサービスを提供している事業の経営者いずれを指すか。明確にされたい。

「病院個別でPHRを提供」の意味や形態で異なります。例えば、病院がPHRシス
テムを開発して患者に提供している場合には、本項の経営者は病院経営者が該当します。

「経営者が」とあるが、企業規模によっては権限委譲されている場合がある。経営者に限定する必要はないのでは 経営者が情報セキュリティポリシーの策定に関与し、実現に対して責任を持つこないか。
とのみならず、責任者として情報セキュリティ及び経営を理解する立場の人を任命し、当該責任者は、各セキュリティ対策について（社内外を含め）、責任者及び担当者それぞれの役割を具体化し、役割を徹底することも併せて示しており、
2.1(2)①
トップマネジメントの関与を求めています。

・情報漏洩リスク低減のため委託回数の制限を設けてはどうか。

委託、再委託、再々委託といった委託の回数に限らず、委託元は委託先等を適切に管理・監督する必要があります。

・秘密保持等に関する違反を速やかに発見できるよう報告窓口の設置義務を設けてはどうか。

秘密保持等に関する違反を含め、情報セキュリティに関連する事件又は事故等については本指針2.1(2)⑥の「情報セキュリティに関連する事件又は事故等（ウイルス感染、情報漏えい等）の緊急時の対応手順を整理する」の項目で対応手
順を整理するように求めています。

2.1(2)①

33

個人03

個人

5

2.1(2)①

34

個人05

個人

5

2.1(2)①35

一般社団法人日本経済団体連合会 イノベー
団体
ション委員会 ヘルス
テック戦略検討会

5

2.1(2)①

・「個人情報データベース等の種類、名称及び個人データの項目」を把握可能とすると、それらに関する文書が開 御提示の記述は、「個人情報の保護に関する法律についてのガイドライン（通則
示対象となり得る。技術的な内容は別の文書として適切に管理することでよい旨を明示すべきではないか。
編）」の組織的安全管理措置として、講じなければならない措置の一つの手法として例示されているものです。
廃棄に統一いたしました。
味の差異がないのならば統一が望ましい。

■健診等情報については、入手、作成、利用、保管、 ■健診等情報については、入手、作成、利用、保管、交換、提供、消去及び破棄における取扱手順を定め 交換、提供、消去及び廃棄における取扱手順を定め
る
る

No.

氏名・名称

属性

ページ

パート

意見

考え方

修正内容
原案

36

37

一般社団法人日本医
療情報学会

個人07

団体

個人

6

6

「重要なコンピュータ及び配線は・・設置する」の設置場所（建物）自体の安全性（耐震、耐火等）についての記載の 本指針に書かれている対策は、PHR事業者として特に遵守すべき具体的な対追加が必要と考える。
策例を記述しているものであって、記述されている対策さえ行っていれば十分と言うわけではなく、これ以外の代替的対策や追加的対策の実施を妨げるもので
2.1(2)②はありません。また、PHR事業者は本指針2.1.(1)にあるように、リスクに応じて必要かつ適切な対策を講じなければなりません。

個人09

個人

6

2.1(2)②39

一般社団法人日本経済団体連合会 イノベー
団体
ション委員会 ヘルス
テック戦略検討会

7

2.1(2)③

個人07

個人

本指針に書かれている対策は、PHR事業者として特に遵守すべき具体的な対策例を記述しているものであって、記述されている対策さえ行っていれば十分と言うわけではなく、これ以外の代替的対策や追加的対策の実施を妨げるものではありません。また、PHR事業者は本指針2.1.(1)にあるように、リスクに応じて必要かつ適切な対策を講じなければなりません。本指針は、オンプレミスの利用だけを想定しておらず、クラウドサービスの利用においても、本指針と照らして、対策を講じる必要があります。

重要区域出入口についての防犯カメラでの入退室等監視について、追記していただきたい。

本指針に書かれている対策は、PHR事業者として特に遵守すべき具体的な対策例を記述しているものであって、記述されている対策さえ行っていれば十分と言うわけではなく、これ以外の代替的対策や追加的対策の実施を妨げるものではありません。また、PHR事業者は本指針2.1.(1)にあるように、リスクに応じて必要かつ適切な対策を講じなければなりません。

2.1(2)②38

40

物理的セキュリティの部分 第三者提供のクラウドサービスの利用時の方針も記載した方が良いのではないでしょうか。

定義を明確にするとともに具体例を記載すべきである。

7

パターンファイルの更新について、定期的というと1年毎の更新でも定期的となるので、目安となる期間を定義した 本指針に書かれている対策は、PHR事業者として特に遵守すべき具体的な対ほうがいいのではないでしょうか。
策例を記述しているものであって、記述されている対策さえ行っていれば十分と言うわけではなく、これ以外の代替的対策や追加的対策の実施を妨げるもので
2.1(2)③はありません。また、PHR事業者は本指針2.1.(1)にあるように、リスクに応じて必要かつ適切な対策を講じなければなりません。
脆弱性情報及び脅威に関する情報の入手方法を確認し、定期的に収集することとありますが、情報収集後の対応についても記載したほうがいいのではないでしょうか。

41

個人07

個人

7

42

有限会社ネクストワン
サーバ

団体

8

43

有限会社ネクストワン
サーバ

団体

8

44

一般社団法人日本経済団体連合会 イノベー
団体
ション委員会 ヘルス
テック戦略検討会

設備とは、健診等情報の取扱い関する設備を指します。例えば、情報処理端末
や情報処理端末室があげられます。「設備（具体例）」の具体例の意味は、情報システム（全体）に対する使用状況ではなく、個別具体的な設備の使用状況の記録を残しておくことを意味します。

2.1(2)③

本指針に書かれている対策は、PHR事業者として特に遵守すべき具体的な対策例を記述しているものであって、記述されている対策さえ行っていれば十分と言うわけではなく、これ以外の代替的対策や追加的対策の実施を妨げるものではありません。また、PHR事業者は本指針2.1.(1)にあるように、リスクに応じて必要かつ適切な対策を講じなければなりません。なお、2.1.(2)③において、脆弱性の解消を行っていることを求めており、脆弱性情報及び脅威に関する情報の収集とともに、当該脆弱性の解消を行うことが必要となります。

（１）インターネットを利用して外部から内部のネットワークにアクセスする場合は、健診情報等のデータのやりとり 本項目は、厚生労働省「医療情報システムの安全管理に関するガイドライン」のをする場合は、原則的に、厚生労働省安全ガイドライン5.1版6.11の該当事項に準ずるという理解で良いでしょう
直接的な適用を求めるものではありません。PHR事業者は本指針2.1.(2)にあるか？
ように、具体的な対策を講じる上では、対策のポイントの部分を参照し、当該部
2.1(2)③
分に規定される内容又はそれと同等程度以上の対策を講じる必要があります。
なお、本指針は、厚生労働省「医療情報システムの安全管理に関するガイドライン」の参照や利用を否定するものではありません。

2.1(2)③（２）健診等情報を加工して、個人が特定されない匿名加工情報やあるいは個人が特定されない健診等の解析
本指針は健診等情報を対象情報としています。匿名加工情報については、本指データを外部ネットワークから送受信する場合には、データの暗号化等の一般的なデータ通信の安全管理措置で 針の3.4.2.(1)及び個人情報保護法等に従って、合理的かつ適切な措置を講じる十分でしょうか？
必要があります。
本指針においても、2要素認証を採用している場合等は定期的な見直しは不要
的な見直しを求めること。」と記載されているが、一般的にはパスワードを定期的に変更する必要はなく、流出時に としております。今後の検討の参考意見として承りました。
速やかに変更する方向に進んでおり(※1)、総務省のセキュリティ対策ガイドラインにもその旨が記載されている(※2)。したがって、定期的な変更を求めない方針に統一すべきである。

82.1(2)④(※1) 米国立標準技術研究所（NIST）の認証に関するガイドライン「Electronic Authentication Guideline（電子的認証に関するガイドライン）」第３版（NIST SP 800-63-3）(※2) 総務省 国民のための情報セキュリティサイト
https://www.soumu.go.jp/main_sosiki/joho_tsusin/security/business/staff/01.html

修正後

No.

氏名・名称

属性

ページ

パート

意見

考え方

修正内容
原案

（外部から内部への不正アクセス対策）
健診等情報を外部からアクセスできないようにする手段の一つとして物理的に保護すべき健診等情報のデータベースは、サービス利用者が利用する機能（閲覧等）及び保守点検時のリモート 遮断する方法も記載しております。また、外部から内部へのアクセスの一つとし管理機能を除き、外部接続しているネットワークから物理的に遮断する又はセグメント分割することによりアクセス てサービス利用者が利用する機能（閲覧等）が想定しうるため、これを記載してできないようにすること。
いるものです。

45

一般社団法人PHR普及
団体
推進協議会

(1) 利用者がデータを扱うことが前提のはずのPHRサービスにおいて「健診等情報のデータベース」を「物理的に遮断」するケースは考えられないかと思いますので、「物理的に遮断」という記載は削除すべきではないでしょうか。（サーバ経由でのアクセスすらできなくなるため） 中小GLで想定されている個人情報を社内で管理する際には「物理的に遮断」したサーバに保存することもあるかと思われますが、PHRサービスにおいては考えられないため。
92.1(2)④(2) 「サービス利用者が利用する機能（閲覧等）及び」の記載も不要ではないでしょうか。 データベースサーバに、
インターネット等の外部ネットワークから直接接続されることのないように求める意図と思います。それであれば利
用者の閲覧等においても、データベースに直接接続することは通常考えられません（サーバ経由でのアクセスとなるはず）ので、この記載があることによって、本来の意図が伝わりにくくなります。
以上を踏まえて、以下の文言を提案します。
・保護すべき健診等情報のデータベースは、保守点検時のリモート管理機能を除き、外部接続しているネットワー
クから直接アクセスできないようにし（セグメント分割等）、適切なセキュリティ対策のもとでアクセスするようにすること。
外部から内部への不正アクセス対策として、保護すべき健診等情報のデータベースを外部ネットワークから物理的に遮断することが例としてあげられているが、PHRが外部ネットワークを通じて健康情報等を受け入れ、かつ、
2.1(2)④ 利用者に提示するものであることを考えると、現実的には不可能な要求であると思われる。したがって、「物理的に遮断する」という文言は削除するのが適切であると考えられる。

健診等情報を外部からアクセスできないようにする手段の一つとして物理的に遮断する方法も記載しております。

（内部から外部への不正アクセス対策）不用意な外部サイトへのアクセス等を防ぐシステム管理者等に対する運用規定が必要と考えられる。

本指針に書かれている対策は、PHR事業者として特に遵守すべき具体的な対策例を記述しているものであって、記述されている対策さえ行っていれば十分と言うわけではなく、これ以外の代替的対策や追加的対策の実施を妨げるものではありません。また、PHR事業者は本指針2.1.(1)にあるように、リスクに応じて必要かつ適切な対策を講じなければなりません。

46

一般社団法人日本医
療情報学会

47

一般社団法人日本医
療情報学会

団体

9

2.1(2)④

48

個人07

個人

9

2.1(2)④49

一般社団法人日本経済団体連合会 イノベー
団体
ション委員会 ヘルス
テック戦略検討会

9

2.1(2)⑤50

一般社団法人日本医
療情報学会

団体

9

障害発生時に明確にしておくべきことに「最低限運用に必要な時間」と記載されているが、意味が明確でない。一 「最低限運用に必要な時間帯」というのは、情報システムに障害が発生した場合にPHRサービスを維持するために最低限稼働させておくべき時間帯という趣旨
2.1(2)⑤ 般的に「許容停止時間」だけで十分と考えられることから、当該文言を削除するのが適切であると考えられる。
です。

51

一般社団法人日本医
療情報学会

団体

9

52

一般社団法人日本医
療情報学会

団体

9

2.1(2)⑤

53

個人07

個人

9

2.1(2)⑤

団体

個人

9

不正アクセスはリアルタイムに最低限監視すべき事項と、定期的なレビューで確認する事項を分けるのはいかが 本指針に書かれている対策は、PHR事業者として特に遵守すべき具体的な対でしょうか。
策例を記述しているものであって、記述されている対策さえ行っていれば十分と言うわけではなく、これ以外の代替的対策や追加的対策の実施を妨げるものではありません。また、PHR事業者は本指針2.1.(1)にあるように、リスクに応じて必要かつ適切な対策を講じなければなりません。
維持を指針に含めるなど、検討の水準を具体的に示すことが望ましい。

10

本規定は、「中小企業における組織的な情報セキュリティ対策ガイドライン」を基礎に作成しているものです。

「障害対策の仕組みが・・・よく検討していること」の「よく」は曖昧な程度表現であり、不適切と考えられる。同じ程
2.1(2)⑤ 度表現であれば「最大限に」検討していることなどに変更すべきと考える。

本規定は、「中小企業における組織的な情報セキュリティ対策ガイドライン」を基礎に作成しているものです。

「障害発生時に必要な対応として」の中に、他のベンダーが開発したアプリケーションを用いている場合、必要に応じて障害時の連携対応作業等の手順等の記載が必要と考える。

本指針に書かれている対策は、PHR事業者として特に遵守すべき具体的な対策例を記述しているものであって、記述されている対策さえ行っていれば十分と言うわけではなく、これ以外の代替的対策や追加的対策の実施を妨げるものではありません。また、PHR事業者は本指針2.1.(1)にあるように、リスクに応じて必要かつ適切な対策を講じなければなりません。

54

個人08

2.1(2)

55

メディカル・データ・ビ
ジョン株式会社

団体

10

2.2(1)

56

一般社団法人PHR協会 団体

10

2.2(1)

情報セキュリティ上の事故対応の部分 サービスの継続性を確保するための、サービスの冗長化等についても必 本指針に書かれている対策は、PHR事業者として特に遵守すべき具体的な対要ではないでしょうか。
策例を記述しているものであって、記述されている対策さえ行っていれば十分と言うわけではなく、これ以外の代替的対策や追加的対策の実施を妨げるものではありません。また、PHR事業者は本指針2.1.(1)にあるように、リスクに応じて必要かつ適切な対策を講じなければなりません。
<該当箇所>最後に追加<意見内容>以下を追加する。
「ＰＨＲ事業者がクラウドをIaaSやSaaS等の形態で利用する場合は責任分界点を明確にして各レイアでのセキュリ
ティ担保に漏れがないことを確認すること。
<理由>
本指針は中小企業が主にオンプレミスでサービスを実施することを想定しているので、クラウド利用に関する注意書きが必要である。

本指針に書かれている対策は、PHR事業者として特に遵守すべき具体的な対策例を記述しているものであって、記述されている対策さえ行っていれば十分と言うわけではなく、これ以外の代替的対策や追加的対策の実施を妨げるものではありません。また、PHR事業者は本指針2.1.(1)にあるように、リスクに応じて必要かつ適切な対策を講じなければなりません。本指針は、オンプレミスの利用だけを想定しておらず、クラウドサービスの利用においても、本指針と照らして、対策を講じる必要があります。

当社では、ISO/IEC 27001の認証を取得して、関係部署にISMSを定着させた上で、PHRサービス「カルテコ」を民間利活用作業班における議論の結果として、第三者認証の取得は努力義務
2015年6月にリリースしました。
とし、マイナポータルAPI経由で健診等情報を入手する場合においては同認証
本指針にも組織的・人的な安全管理措置が規定されていますが、これらを適切に実施するには、第三者による評 の取得を義務付けることとしたものです。
価が不可欠です。
本指針では、第三者認証は努力義務となっていますが、必須事項とすべきと考えます。
[意見]・クラウドサーバ／クラウドネットワーク については国際的な基準を優先すべきですが、「医療情報を取扱う情報システム・サービスの提供事業者における安全管理ガイドライン」及びISO/IEC27017（クラウドISMS）に従うのでしょうか？

ネットワークの形態にかかわらず、本指針の遵守を求めるものです。

修正後

No.

氏名・名称

属性

ページ

パート

意見

考え方

修正内容
原案

57

58

59

60

61

一般社団法人日本医
療情報学会

個人08

個人08

オムロンヘルスケア株
式会社

オムロンヘルスケア株
式会社

団体

個人

個人

団体

団体

10

10

11

11

11

62

個人08

個人

12

63

一般社団法人日本経済団体連合会 イノベー
団体
ション委員会 ヘルス
テック戦略検討会

12

64

個人03

12

65

66

メディカル・データ・ビ
ジョン株式会社

団体01

個人

団体

団体

12

12

2.2(1)

2.2(1)

2.2

3.1.1(1)①「ただし、マイナポータルAPI経由で健診等情報を入手するPHR事業者においては、第三者認証を取得しなければ マイナポータルAPI経由での健診等情報の入手を外部企業に委託する場合でならない。」は、PHR事業者がマイナポータルAPI経由での情報取集を行うことを外部企業に委託する場合、委託 あっても、PHR事業者は第三者認証の取得が義務付けられます。
先企業が第三者認証を保有していれば、そのPHR事業者の第三者認証は努力義務となるという理解でよいか。
委託のケースを考慮すべきである。
<該当箇所>上から3行目
本規定は、第三者認証の取得を通じて、リスクマネジメントシステムの構築と、<意見内容>
客観的な安全管理措置の担保を求めるものです。また、第三者認証の取得だ「客観的に安全管理措置を担保するよう努めなければならない。」を以下に修正する。
けでなく、本指針の対策例に加えて、標準規格等に準拠した対策の追加も必要「リスクマネージメントに対する最低限の適格性を有していることをサービス利用者等へ示すよう努めなければな としており、チェックシートの対外的公表（本指針5.1.(1)①参照）も含め、適切ならない。
安全管理措置の担保を求めています。
また、情報システム等の安全管理に係る評価に関しては対象事業者内部の独立した監査部門や第三者機関が評価を行った評価結果をサービス利用者へ情報提供することが望ましい。」<理由>
ＩＳＭＳやＰマーク取得は必ずしも「安全管理措置を担保」を直接担保するものではない。
経済産業省及び総務省発行の「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイ
ドライン」では、４．３および４．４として分けて記述されている。
<該当箇所>新しく２．３項を加える。
マイナポータルAPI経由で健診等情報を入手する際には、その都度、本人の確<意見内容>
認が必要という仕様になっています。
「２．３ マイナポータルから健診等情報の取得
マイナポータルAPI経由で健診等情報を情報システムへ転送する都度、利用者の確認をとる仕組みとしなくてはならない。
また、転送できる情報は利用者が指定した健診等情報以外が転送されないことをたんぽすること。
<理由>
マイナポータルを経由して利用者の意図しない情報が入手されない仕組みが必要である。
問題点：
本指針の対象となる情報は健診等情報です。匿名加工情報については、本指個人情報保護法は匿名加工された情報については基本的に対象外としている。しかし、利用者本人は個人情報 針の3.4.2.(1)及び個人情報保護法等に従って、合理的かつ適切な措置を講じる
保護法に明るいわけでも無く、自ら預けた情報が匿名化して使用される可能性について十分理解しているとは言 必要があります。
いがたい。この点について利用者が正しく理解できるよう、同意取得文面において記載を充実させる必要がある。
解決策と理由：
利用目的の中に「匿名加工しての外部提供」という項目について明記を行う。
これにより、利用者本人が匿名加工して自らの情報が利用されることについて明確な意思表示が可能となる。

問題点：
本規定は、個人情報保護法第15条第２項の遵守を求めるものです。その基準に「「変更前の利用目的と関連性を有すると合理的に認められる範囲」に関しては、変更後の利用目的が変更前の ついては個人情報保護法と同一です。
利用目的からみて、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲となることが必要であり、それを超える範囲で変更する場合は、後述するとおり、改めての本人の同意取得が必要」との記載があるが、「本人が通常予期し得る限度と客観的に認められる範囲」についての説明が無く、客観性を評価するための指標
3.1.1(1) が存在しない。
②
解決策と理由：
変更前の目的と変更後の目的を対比した、具体的な事例を記載する。
対象となるデータ範囲の追加やサービス分野の変更等、事業の発展性を考える企業としては、記載する目的を絞り込むことにおいても一定の限界が生じるので、そのあたりについても留意した事例を示すことが望ましい。
<該当箇所>最後に追加<意見内容>以下を追加する。
「サービス利用者が管理主体となる個人主体管理型PHR事業者はサービス利用者が許可するデータおよび閲覧者以外は閲覧または情報処理を行ってはならない。」
3.1.2.(1)<理由>
管理主体はＰＨＲ事業者にないので健診等情報やその処理結果へのアクセス権はＰＨＲ事業者にはないことを明確にする為。
3.1.2(2) か不明瞭であり、事業者による判断が困難である。サービス利用規約の概要版の作成が必要となる場合の具体①
事例や判断基準を明示すべきである。
3.2

3.2

3.2

・提供した情報をPHR事業者により利用されない権利を尊重するため、同意の範囲は個人が選択できるよう規制すべきではないか。

PHR事業者は、利用目的の達成に必要な範囲を超えて、健診等情報を取り扱ってはならず、情報セキュリティポリシーの策定、当該ポリシー及び関連規程を従業員に理解させること、違反した従業員に対する懲戒手続きの整備、健診等情報に対するアクセス権限の設定等を求めており、これらにより、不要な閲覧または情報処理を行わないように求めています。

「民間PHR事業者による健診等情報の取扱いに関する基本的指針に関するQ&A」のQ3-1を御確認ください。
本指針では、利用目的や第三者提供等を含め、法令を遵守した適切な同意を取得するように求めています。

当社のPHRサービス「カルテコ」では、医療機関から利用者の診療情報を取得することから、医療機関から当社へ 本指針で取り扱う健診等情報は要配慮個人情報であり、原則として明示的な同の診療情報の第三者提供および、当社が診療情報を取得し「カルテコ」上でのサービス提供に利用する旨を、利 意が必要です。
用規約に規定するとともに、利用申し込み時にも明示した上で同意の意思表示をしていただいています。また、他のサービスの利用に付随した包括的な（黙示的な）同意取得はしていません。
本指針は、PHRサービスを対象としているのですから、明示的な同意取得を原則として、推奨される、あるいは、実施すべきではない具体事例を記載すべきと考えます。
第三者提供について、あらかじめ提供先を特定した上で同意を得ることを必須とすると、その後新たに提供先の 「民間PHR事業者による健診等情報の取扱いに関する基本的指針に関する追加がある場合に、改めて同意を得なければ新たな提供先には提供できないこととなる。このような場合、提供先 Q&A」のQ3-3を御確認ください。
が増える度に同意の確認を求められることを本人が負担に感じ、放置することも多くなると考えられ、サービス拡張/向上の余地が狭められる結果になることも考えられる。
そこで、例えば個別の提供先毎に第三者提供に関する同意の撤回や拒否の意思を示すことが出来るような機能を提供し、それをあらかじめ本人に通知しておくなどにより、本人の不利益が生じないように配慮している場合、必ずしも提供先が追加される度に改めて同意を得てから提供することまでは求めなくとも良いのではないかと考え
る。

修正後

No.

氏名・名称

属性

ページ

パート

意見

考え方

修正内容
原案

67

オムロンヘルスケア株
式会社

団体

12

修正後

問題点：
個人情報保護法第23条第５項第１号により、委託は第三者提供に該当しませ
PHR事業者が業務の一部を外部委託する場合、委託先に一時的に個人情報を貸し出し、処理終了後に返却・消 ん。
去が行われる場合も第三者提供と見なすのか？保険者だけとは限らない。
上記の場合において、匿名化された情報が委託先に残すことを契約等で禁止しても第三者提供と見なすのか？
同様に、利用者のバイタル情報を機器メーカ等が提供するシステムを通じて収集する場合、当該メーカのシステ
ムに情報の複製が残されない場合においても、当該メーカは第三者提供先と也、PHR事業者としての制約を受け
3.2(1)② るのか？
解決案と理由いずれ場合においても、PHR事業者の委託先、連携先において、当該健診等情報の複製が顕名、匿名を問わず残されない場合は、第三者提供と見なさない旨記載すべきである。

68

一般社団法人日本医
療情報学会

団体

13

69

個人02

個人

13

「外国における第三者への提供」のみが謳われているが、そもそもサービス事業者が利用するプラットフォームを 本指針の1.3.に記載の通り、個人情報保護法上の主な要求事項を記載している提供するIaaS事業者が海外にある場合など、利用者に示し同意を取ることなどが必要になると考えられるが、これ ものであり、本指針に記載のない事項については、個人情報保護法及び関連ガ
3.2(1)③ に関する記載が見当たらない。「第三者提供」を示す本稿と対比するように別途記載を追加して、委託（利用）とイドライン等の最新版を御参照ください。
「提供」の違いを明示して、それぞれに必要な事項を記載することが適切ではないかと考える。

3.2(2)②

指針３．２（２）②及び４．１（１）②において、PHR事業者から他の個人情報取扱事業者への第三者提供が規定されています。同指針を遵守することで、PHR事業者は健診等情報を第三者に提供可能になると理解してよろしいのでしょうか?

本指針は、対象情報を第三者提供する際に最低限遵守すべき点を記述しています。本指針のみならず、関連する法令やガイドラインも参照し、それらを遵守の上、第三者提供する必要があります。

情報の定義はあるのですが、「PHRサービス」の定義や範囲について（PHRの経年での管理・閲覧や第三者提供 本指針の用語集に記載させていただきました。
の管理ができる機能を持つ等）、もう少し詳しく記載していただくことはできないでしょうか。現在の記載だと、健診等情報を元にして、保健指導（リコメンド）のみを行う事業者もその対象になるように思われます。
70

一般社団法人PHR普及
団体
推進協議会

13

3.2(2)② ※ご参考までに、弊社団でまとめた提言では、下記のように定義しています。
『保健医療情報を国民・患者の病気の予防・健康づくり等に活用する、国民・患者が自ら利用するICTを活用したサービスで、リコメンド機能、管理・閲覧機能、第三者提供機能のいずれかを含むもの。管理・閲覧機能には、ウェ
アラブル端末等を通じて日常的に記録される情報（ライフログ）等の健康に関連する情報の収集を含む』
当社のPHRサービス「カルテコ」では、利用者向けのコールセンターを設置しており、業務時間中であれば、本人 本指針の3.3.(2)①及び②の内容に従い、適切な対応を求めております。
確認の上、電話およびメールで随時、同意取り消しやデータ削除の申し出に対応しています。
また、サービス利用中のデータ削除は、サービス提供に支障を来たすため対応できませんが、それ以外の理由で削除要求を断ることはありません。
本指針は、PHRサービスを対象としているのですから、利用者が容易に同意取り消しやデータ削除を申し出ることができ、かつ、速やかに対応することを原則として推奨される、あるいは、実施すべきではない具体事例を記載すべきと考えます。

71

メディカル・データ・ビ
ジョン株式会社

団体

14

3.3

72

団体01

団体

14

3.3

73

一般社団法人日本経済団体連合会 イノベー
団体
ション委員会 ヘルス
テック戦略検討会

74

一般社団法人日本経済団体連合会 イノベー
団体
ション委員会 ヘルス
テック戦略検討会

14

3.3(1)②75

一般社団法人日本経済団体連合会 イノベー
団体
ション委員会 ヘルス
テック戦略検討会

14

所について、具体的にどのような場合、措置を指し示すのか不明瞭であり、事業者による判断が困難である。健3.3(2)② 診等情報の消去が必要となる場合や、完全消去ではなくマスキング処理で個人情報を見えなくする方法も代替措置と認められるのかなど、認められる代替措置の具体事例と判断基準を明示すべきである。

76

一般社団法人日本経済団体連合会 イノベー
団体
ション委員会 ヘルス
テック戦略検討会

14

利用者に「通知・公表」することを求めるものと理解する。その趣旨を明確にするために、「利用者によるアクセス
3.3(2)② がなく、長期間利用されない健診等情報を削除する場合には、本人が認知しないままに、当該情報が削除されることは望ましくないため（以下略）」とすべきである。

77

個人07

個人

14

過去の同意状況を利用者が確認できるとあるが、同意内容についても確認できる状態にしておくことが望ましいの 「民間PHR事業者による健診等情報の取扱いに関する基本的指針に関する
3.3(2)② ではないでしょうか。
Q&A」のQ3-7を御確認ください。

78

個人05

個人

15

（1）「個人情報に基づき適切に取り扱わなければならない」とは、PHRサービス導入時に、医師又は薬剤師等に氏 個人情報保護法に基づき、医師等の個人情報として適切に取り扱うように求め
名等の情報を提供することについて、同意取得が必須であることを意味するか。同意取得要否の要件も含め、明 ております。
3.4.1(1) 確にされたい。

「消去」の定義を個人情報保護法とあわせる形で明確にしていただきたい。
「民間PHR事業者による健診等情報の取扱いに関する基本的指針に関する（通則編3-3-1 データ内容の正確性の確保等（法第19条関係）：「個人データの消去」とは、当該個人データを個人 Q&A」のQ3-9を御確認ください。
データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できな
いようにすること等を含む。）
ない場合の具体事例と判断基準を明示すべきである。

14

3.3(1)②

情報等の結果の修正は、対応の例外とすることが望ましい。

本指針の1.3.に記載の通り、個人情報保護法上の主な要求事項を記載しているものであり、本指針に記載のない事項については、個人情報保護法及び関連ガ
イドライン等の最新版を御参照ください。

本指針の1.3.に記載の通り、個人情報保護法上の主な要求事項を記載しているものであり、本指針に記載のない事項については、個人情報保護法及び関連ガ
イドライン等の最新版を御参照ください。なお、個人情報の保護に関する法律についてのガイドライン（通則編）3-3-1において、「消去」とは、「保有個人データを
保有個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようすにすること等を含む」とされています。
個人情報保護法に定められる事項と同様です。

今後の検討の参考意見として承りました。

（基本的指針の用語集にPHRサービスを記載）
PHRサービス：利用者が予防又は健康づくり等に活用すること並びに医療及び介護現場で役立てること等を目的として、PHRを保存及び管理並びにリコメンド等を行うサービス。

No.

氏名・名称

属性

ページ

パート

意見

考え方

修正内容
原案

「医師や薬剤師等の同意を得る必要がある」とされているが、実際にPHRへデータを格納する際に同意するのは、 個人情報保護法に基づき、医師等の個人情報として適切に取り扱うように求め
健診受診者であり、医師や薬剤師ではないことから、個人情報の登録の可否に関する同意を得るのは登録者の ております。
責務と考えられる。一方、データ登録者が医師又は薬剤師等の名前を自らの利用のために記録することについて
は、医師又は薬剤師が健診者に対して情報を明らかにした時点で同意が与えられていると考えることが適当で、
3.4.1(1)
PHR事業者がその登録の際に登録者に「同意の有無」を確認する事項ではないと考えられる。したがって、「利用者本人が利用者本人の情報管理のために用いる以外の目的で、医師又は薬剤師等の氏名を利用する場合には、データ登録者に同意の有無を確認するなどして扱わなければならない」とするのが適切ではないか。

79

一般社団法人日本医
療情報学会

団体

15

80

一般社団法人PHR協会 団体

15

3.4.2

81

一般社団法人PHR協会 団体

15

3.4.2

82

一般社団法人PHR協会 団体

15

3.4.2

83

個人08

個人

15

3.4.2

84

一般社団法人日本医
療情報学会

団体

15

3.4.2(1)85

一般社団法人PHR協会 団体

16

4

86

個人02

個人

16

4.1(1)②

87

個人07

個人

16

4.1(1)②

88

個人03

個人

16

4.2(1)

89

株式会社ＪＭＤＣ

団体

16

4.2(1)

90

91

92

株式会社医針盤

株式会社医針盤

団体

団体

一般社団法人PHR普及
団体
推進協議会

16

16

[意見]
ご理解の通り、個人情報保護法について記載しています。
・PHRは新しい事業であり、次世代医療基盤法に含まれるかどうかが不明のため、ガイドラインでは、一般的な個
人情報保護法上の「匿名加工情報」を適用するものと解していると思われるが、正しいでしょうか？
・PHRサービス事業者は匿名加工医療情報を利活用することは不可ですか？

可能です。

・PHRで改正個人情報保護法（令和2年6月制定）に規定した、仮名加工情報を利活用することは不可ですか？

本指針では仮名加工情報について定めている事項はありません。

<該当箇所>最後に追加<意見内容>新しく３．４．３を追加する。
3.4.3 行動ターゲティング広告および健診等情報処理による広告
サービス利用者の健診等情報や閲覧履歴から情報処理して広告を表示することは利用者への同意を必要とし、不同意の場合はその機能を遮断できなくてはならない。
<理由>
利用者が望まない方向でＰＨＲ事業者が意図的情報提供を行う可能性をコントロール可能とする為。

今後の検討の参考意見として承りました。

匿名加工について記載されているが、そもそも匿名加工の上の第三者提供を想定して情報を集めるのであれば、 今後の検討の参考意見として承りました。
事前に利用者から同意を取ることが必要であると考えられる。予め同意を取っておくべきことについて、同項で改めて追記して強調すべきであると考える。
[意見]
本指針の1.3.に記載の通り、個人情報保護法上の主な要求事項を記載している・一つのPHRサービスから、他のPHRサービスに異動する際には、前PＨＲサービスから開示（令和2年6月の改正 ものであり、本指針に記載のない事項については、個人情報保護法及び関連ガ
個人情報保護法のデジタル開示）の手順の公表に関する記述がありません。
イドライン等の最新版を御参照ください。
【再掲】指針３．２（２）２及び４．１（１）２において、PHR事業者から他の個人情報取扱事業者への第三者提供が規 本指針は、対象情報を第三者提供する際に最低限遵守すべき点を記述してい
定されています。同指針を遵守することで、PHR事業者は健診等情報を第三者に提供可能になると理解してよろ ます。本指針のみならず、関連する法令やガイドラインも参照し、それらを遵守しいのでしょうか?
の上、第三者提供する必要があります。
第三者提供の記録について、原則として、提供した年月日及び提供先等に関する記録を作成し、一定期間保存と 本規定は、個人情報保護法第25条第１項・第２項及び第26条第３項・第４項のあるが、同意した情報をもとに適宜PHR間で自動連携しているようなケースも今後想定される。そのケースに合わ 遵守を求めるものです。
せた記載もあった方が良いのではないでしょうか。
・連結したデータの解析結果などがもたらす公益性を考えた場合、PHR事業者間で異なるデータベースを保有して 本指針は、民間PHR事業者による健診等情報の取扱いに関する基本的指針でいることは望ましくないことから、個々のPHR事業者間でのデータ連携について規定するよりも同一のデータベー あり、公益性を含めたデータベースの在り方に関するご意見は今後の検討の参ス上に情報が保存される仕組みとする（PHR事業者は保有するデータ量ではなく、あくまでもその提供する考とさせていただきます。
サービスの質によってのみ競争が生じる）ことが重要ではないか。
本指針案「４．２．相互運用性の確保」については、相互運用性を確保するための健診等情報のフォーマットの選 参考意見として承りました。
定に関して、各事業者が個別に選定することは困難であることから、ＰＨＲ事業者として最低限備えるべきデータ・
スキーマを示すことや、ＰＨＲ事業者間で互換性の高い汎用的なデータファイル・フォーマットの策定を行うことを推進する取組みを支援されることを期待する。

「利用者からのインポート機能を具備しなければならない」とある点について、マイナポータルAPIを活用して入手 利用者が自らアプリ等に入力した健康診断等のデータは、マイナポータルAPIをした利用者自身の健診等情報を利用者からそのままインポートする機能に留まらず、利用者が自ら作成したデー 活用して入手した健康診断等のデータと同様にインポート機能の具備が求めらタのアップロードも許可する機能の具備が求められるのかご教示いただきたい。
れます。一方、利用者が自ら作成した独自のファイル等のアップロードを許可す
4.2.(1)① PHR内の健診等情報の正確性を保つことはサービス全体の信頼性の維持・向上に不可欠であるため、利用者が る機能の具備は求めてはおりません。
自ら作成したデータをアップロードすることができるような機能の具備は避けるべきと考える。当該機能を具備する必要がない旨明記することをご検討いただきたい。
「互換性の高い汎用的なデータファイル（例えば、HL7CDA等）」について、「MEDIS標準マスター」及び「HL7 FHIR」 「MEDIS標準マスター」及び「HL7 FHIR」は含まれます。HL7CDAの他に互換性が含まれるという理解でよいか確認させていただきたい。また、HL7CDAの他に互換性の高い汎用的なデータファ の高い汎用的なデータファイルとして具体的な指定はございません。
イルとして具体的な指定がないか確認させていただきたい。
現在、臨床検査情報のやり取りにおいて、国内では「MEDIS標準マスター」が普及しており、国際的には「HL7
FHIR」が普及している。特に「HL7 FHIR」については、今後、マイナポータルAPIなどのWEB技術を通じ官民による情報の相互運用を可能とすべく国内でも普及することが予想されるため、「HL7 CDA」に加えて、「HL7 FHIR」も対象になるかを確認させていただきたい。また、「HL7」という例示に関しても、現在、国内において汎用的に使用さ4.2.(1)① れる臨床検査項目のコードはJLAC10だが、HL7との互換性については具体的な進め方の結論が見出されていな
い。また、HL7は国内でほぼ使われていないLOINCコードとの互換を主柱としており、LOINCとJLAC10との互換性、そのうえでのHL7との互換性の担保が必要と考えられる。そうした中で、HL7を例示するのみの「互換性の高い汎用的なデータファイル（例えば、HL7CDA等）」という記載は、結局データファイルに関する裁量が事業者に一任されることになり、その結果、この指針が企図しているであろうフォーマットの標準化およびデータの標準化とは逆の答えを導きかねないのではと懸念する。
HL7 FHIRでのデータ流通規格の策定が進んでいる中で、「HL7 CDA」と限定することには疑問を感じます。例示す 参考意見として承りました。
るのであれば、「HL7FHIR」にするのが望ましいと考えますが、現在の特定健診の規格が「HL7CDA」なので、「HL7
等の国際規格等」とするのはいかがでしょうか。

16

4.2(1)①※ご参考までに、弊社団でまとめた提言では以下としました。
○データ交換規格 HL7 FHIR

修正後

No.

氏名・名称

属性

ページ

パート

意見

考え方

修正内容
原案

修正後

参考意見として承りました。

93

一般社団法人日本経済団体連合会 イノベー
団体
ション委員会 ヘルス
テック戦略検討会

16

診等情報のフォーマットや互換性の高い汎用的なデータファイルの幅広い相互運用性を確保することが望まし
4.2(1)① い。

94

一般社団法人PHR普及
団体
推進協議会

16

4.2(1)②95

一般社団法人日本経済団体連合会 イノベー
団体
ション委員会 ヘルス
テック戦略検討会

16

4.2(1)②96

一般社団法人日本医
療情報学会

団体

16

4.2(1)②97

一般社団法人日本経済団体連合会 イノベー
団体
ション委員会 ヘルス
テック戦略検討会

17

5

98

一般社団法人日本経済団体連合会 イノベー
団体
ション委員会 ヘルス
テック戦略検討会

17

5

99

健康長寿連合会

団体

17

5.1

「他の PHR事業者への当該健診等情報のデータ移行」という記載をすべきではないでしょうか。通常「エクスポー 「他のPHR事業者への」エクスポートと明記しているので、誤解を与えることはな
ト」という用語は、本人がデータをダウンロードすることを指し、他の事業者へのデータ移行を「エクスポート」と呼ぶ いと考えます。
ことは少ないので誤解を招く可能性があるかと思われます。
め、具定例や判断基準を明示することが求められる。

「サービス終了する場合の利用者への健診等情報のエクスポート・・実施可能な期間を十分に確保しなければな 本指針の4.2.(1)①に記載の通り、互換性の高い汎用的なデータファイルとするこらない」との記載は期間のみでなく、利用者に対する容易な健診等データのエクスポート方法を提供することの記 とで、利用者が取り扱うことができるように求めております。
載も必要と考える。
更が生じた際、届け出ているPHR事業者に通知することが必要である。

100

団体01

団体

17

5.1

101

団体01

団体

17

5.1

102

一般社団法人PHR普及
団体
推進協議会

17

5.1

103

一般社団法人PHR普及
団体
推進協議会

17

5.1

104

個人07

個人

17

5.1

105

一般社団法人PHR協会 団体

-

該当なし

106

一般社団法人PHR協会 団体

-

該当なし

「民間PHR事業者による健診等情報の取扱いに関する基本的指針に関するQ&A」のQ4-2を御確認ください。

チェックシートについては、自社のホームページ等での公表を求めており、届出は求めておりません。

ISMSやプライバシーマーク等を取得していても、本指針の4.2.（相互運用性の確られる水準と同等であることから、第三者認証の取得およびその公開によってチェックシートの結果公表に代替す 保）等の項目は担保されないため、チェックシートの公表は必要と考えます。
ることを検討すべきではないか。
原案の「本指針に係るチェックシート」については、事業者によって解釈の余地が大きく、確認結果の適切性が担保できないおそれがあるため、チェック項目をより具体化する等、評価基準を明確化していただきたいと考えます。

チェックシートは、PHR事業者による自己点検を求めるものであり、PHR事業者の判断で、記載されている項目の対策又は同等程度以上の対策を講じているか確認いただくものです。

「利用規約やプライバシーポリシーと同じページ」とあるが、「同じページ」の意味するところが不明瞭に思われるた 御意見を踏まえ、本指針を修正しました。また、「民間PHR事業者による健診等
め、プライバシーポリシーなどと同様「HPのアクセスしやすい場所に掲載するなど分かりやすく公表すること」で要 情報の取扱いに関する基本的指針に関するQ&A」のQ5-2を御確認ください。
件を満たすこととしていただきたい。もしくは「利用規約やプライバシーポリシー（※1）と同じページに、その結果（※2）を掲示するとともに（略）。（※1※2 その内容が示された画面に1回程度の操作でページ遷移するよう設定したリンクやボタンを含む。）」といった記載としていただきたい。

ホームページに掲載する際は、本指針３．１．２．（２） ホームページに掲載する際は、本指針３．１．２．（２）①の「サービス利用規約及びプライバシーポリシー等 ①の「サービス利用規約及びプライバシーポリシー等の公表」における公表と同じページに、その結果を掲 の公表」における公表と同じページ等に、その結果を示するとともに、当該結果の概要を理解しやすいよう 掲示するとともに、当該結果の概要を理解しやすいよに分かりやすい表現にて記載するよう努めなければ うに分かりやすい表現にて記載するよう努めなけれならない。
ばならない。

また、チェックシート内の「要求を満たさない項目について」の内容を公表することにより、セキュリティの弱点が浮 チェックシート内における「要求を満たさない項目について」は、「対応が不要な
き彫りになってしまう等の懸念がある場合は、チェックシートについて概要版のみの掲載等を認めていただきた
合理的な理由」の記述を求めるものです。具体的なセキュリティ対策を記述する
い。
必要はありません。
「利用規約やプライバシーポリシーと同じページ」とあるが、「同じページ」の意味するところが不明瞭に思われるた 御意見を踏まえ、本指針を修正しました。また、「民間PHR事業者による健診等
め、プライバシーポリシーなどと同様「HPのアクセスしやすい場所に掲載するなど分かりやすく公表すること」で要 情報の取扱いに関する基本的指針に関するQ&A」のQ5-2を御確認ください。
件を満たすこととしていただきたい。もしくは「利用規約やプライバシーポリシー（※1）と同じページに、その結果（※2）を掲示するとともに(略)。（※1※2 その内容が示された画面に1回程度の操作でページ遷移するよう設定したリンクやボタンを含む。）」といった記載としていただきたい。

また、チェックシート内の「要求を満たさない項目について」の内容を公表することにより、セキュリティの弱点が浮 チェックシート内における「要求を満たさない項目について」は、「対応が不要な
き彫りになってしまう等の懸念がある場合は、チェックシートについて概要版のみの掲載等を認めていただきた
合理的な理由」の記述を求めるものです。具体的なセキュリティ対策を記述する
い。
必要はありません。
定期的にという表現については極論ですが10年ごとでも良いことになるので、それぞれ適切な期間を明記した方が良いのではないでしょうか。

特別に期間を定めるものではありません。別紙チェックシートには前回の点検日を記載することになっており、あまりに長期間点検がない場合、利用者等が把握できるようになっています。

[意見]
PHR事業者において、適切な説明資料となるよう運用すべきと考えます。
PHRデータの活用による健康管理手法等の顧客（PHR本人）への効能・副作用・相互作用等の説明資料に関する基準・要件が示されていません。（個人による、単一PHR、複数PHRの利活用の場合 等）[意見]
PHR事業者間でのデータ連携のための通信規格及び交換形式に係る標準化は
PHR事業者間の連携の促進のために、民間PHRが他のPHRとの連携の情報/交換の際の基準が示されることが 今後の検討課題としております。
必要と考えます。

ホームページに掲載する際は、本指針３．１．２．（２） ホームページに掲載する際は、本指針３．１．２．（２）①の「サービス利用規約及びプライバシーポリシー等 ①の「サービス利用規約及びプライバシーポリシー等の公表」における公表と同じページに、その結果を掲 の公表」における公表と同じページ等に、その結果を示するとともに、当該結果の概要を理解しやすいよう 掲示するとともに、当該結果の概要を理解しやすいよに分かりやすい表現にて記載するよう努めなければ うに分かりやすい表現にて記載するよう努めなけれならない。
ばならない。

No.

氏名・名称

属性

ページ

パート

意見

考え方

修正内容
原案

【追記】：ワーキンググループ構成員についてのコメント（1, 2, 3, 4, 6）参考意見として承りました。様々な立場の方からの意見を伺うた
め、今般のパブリックコメントを実施しました。
１.ワーキンググループの目的が、「健診等情報利活用」にも関わらず、その中心となるべき、産業保健を支える健 （5）生活習慣病改善等に向けたPHRサービスを提供する場合の医療従事者等
診機関経営者・保険者・産業医等の立場の委員が存在しない状態です。
と連携したサービスの提供については、今後の検討課題としております。
２.グループメンバーを拡大し、アンケートだけでなく、直接、関係者の意見を聴く必要があると思われます。
３.例えば、産業医は、健康データを判断し、組織内データ及び、大規模なビッグデータを活用して「健康・医療」の付加価値を高める判断が期待されます。
107

一般社団法人PHR協会 団体-

４.民間利活用作業班には、主役であるべき「PHRサービス産業」の経営者の立場の委員か少ないか、または、い該当なし ないように思われます。
５.本ガイドライン（案）には、医療職委員からの、医療に関連する意見が、極めて少なく、パブリックコメント中に不足しているように思われます。例えば、マイナポータルに掲載が予定される、母子手帳や特定健診・特定保健指導
情報の「医学的な見地からの活用の取り扱い」、健康管理の他に、疾病管理や治療に活用する上での留意事項
等の議論は極めて重要で、委員会でなされたと思われますが、パブリックコメントには記載がありませんでした。
６.今後、PHR事業の核となる、民間PHRサービス業者及び、インターナショナルに活躍すべき、若手の技術者、受益者となる国民（PHRの本人）も、委員として委員会に参加させ、我が国のPHRが国際的に認知されるよう、努力を期待いたします。

修正後