1
2
3
4
5
6
7
8
9

⺠間事業者／⾃治体の PHR サービスに関わる

10

ガイドライン（第 3 版）

11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27

⼀般社団法⼈ PHR 普及推進協議会

PHR サービス事業協会

28
29
30

（2024 年 6 ⽉）

31

⽬次

32
33

I.

⺠間 PHR サービスガイドラインの背景と⽬的

34（１）PHR を取り巻く背景

35（２）⺠間 PHR サービスガイドラインの⽬的

36（３）PHR サービスとは

37

II.

PHR に関する国の取り組みと⺠間 PHR サービスガイドラインの関連法令等

38（１）国の取り組み

39（２）国の⺠間 PHR 事業者による健診等情報の取扱いに関する基本的指針と⺠間 PHR
サービスガイドラインの位置づけ・対象

40（３）⺠間 PHR サービスガイドライン策定にあたり参照した法律及びガイドライン等

41
42

III.

⺠間 PHR サービスガイドラインに⽤いられる⽤語の定義

43

IV.

PHR サービスの提供に当たっての基本理念

44（１）PHR と Person-Generated Data（PGD）の考え⽅

45（２）⽇常的な健康データを活⽤したセルフケアによる健康増進、病気の予防

46（３）周辺データを活⽤した健康増進、医療の質向上

47（４）PHR サービス利⽤者の健康、安全、権利の確保

48（５）利⽤者への説明と同意に基づくサービス提供

49（６）PHR サービスの質の担保と向上

50（７）PHR サービス事業者間での連携

51（８）市場の拡⼤による受益者増、社会全体の健康増進、⽣産性向上

52（９）継続的な改訂が可能な体制の構築

53（１０）国際的な動向を踏まえた PHR サービス提供に係るルールの整備

54
55

V.

⺠間 PHR サービスガイドラインの具体的適⽤
１．PHR サービス提供に関する事項

56（１）事業者―利⽤者の関係/合意（説明と同意）

57（２）本⼈確認58（３）PHR の管理・閲覧

59（４）PHR サービスにおける個⼈情報の保護・情報セキュリティ

60（５）リコメンドの⽅法（有効性・安全性の確保）

61（６）他の事業者・第三者へのデータ提供

62

２．PHR サービス間のデータ連携に関する考え⽅

63

３．その他 PHR サービスの普及、質の向上に関連する事項

64（１）PHR 利活⽤へのリテラシーの向上

65（２）PHR サービス事業者への教育

66（３）PHR サービスと体制の質評価／フィードバック／認証

67（４）エビデンスの蓄積

68

VI.

広告その他の表⽰

69

１．広告その他の表⽰上の考え⽅

70（１）問題となりえる法規制71（２）PHR サービスに関する表⽰

72（３）法令上問題となるおそれのある広告その他の表⽰の要素

73

２．景品表⽰法における表⽰の科学的根拠に関する事項

74（１）景品表⽰法 7 条 2 項及び 8 条 3 項の適⽤についての考え⽅

75（２）合理的な根拠の判断基準

76（３）科学的根拠として明らかに適切ではないと考えられない具体例

77
78
79

別添資料

80

＜別添 1＞︓PHR サービスの安全管理のためのリスクマネジメントプロセス

81＜別添 2＞︓PHR サービス⾃⼰チェックリスト

82

83

I.

⺠間 PHR サービスガイドラインの背景と⽬的

8485（１）PHR を取り巻く背景

86
87

超⾼齢社会における認知症予防、社会構造の変化に伴うメンタルヘルス対策の重要性など、従来の88

⽣活習慣病の枠を超えて、⽣活習慣の改善による健康増進、疾病予防の重要性が⾼まっている。国89

⺠の健康増進の推進に関する基本的な⽅向や⽬標に関する事項等を定めた「健康⽇本 21」では、90「休養・こころの健康」の基本⽅針の⼀つとして「⽇常⽣活や習慣の重視（全⼈的なアプローチ）」を掲91げており、⾝体的・精神的・社会的視点を含めた⽇常⽣活改善のための取り組みが求められている。こ92の課題の解決の⽅策の⼀つとして、個⼈の健康診断結果や服薬歴、⽇々の健康データを電⼦記録とし93て本⼈や家族が正確に把握し、活⽤するための仕組みである『Personal Health Record（PHR）』

94

に対する期待が世界的に⾼まっている。

95

Information and Communication Technology（ICT）の急速な発展と普及に伴い、これま

96

で測定が難しかった⽇常的な健康データの測定・記録が可能となり、健康診断結果やお薬⼿帳等のデ97

ータの電⼦化も進んでいる。マイナポータル経由で「予防接種歴」「乳幼児健診の結果」「薬剤情報」

98「特定健診情報」「後期⾼齢者健診情報」といった情報が本⼈に提供され始め、今後は他の法定健診99にも拡⼤する。PHR サービスの発展により、⺟⼦保健、学校健診、特定健診等の「健康診断」、体重、100

⾎圧等の⽣活習慣病に関わるデータや⾷事・運動・睡眠に関わる「⽇々の記録」、「服薬記録」等を⽣101

涯にわたって活⽤することが可能となり、⼈々の健康増進、病気の早期発⾒や重症化予防、ADL（⽇102

常⽣活動作）・QOL（⽣活の質）の向上等の幅広い健康課題解決への貢献が期待できる。PHR の103

利活⽤が進めば、多くの⼈々の PHR が集積された健康ビッグデータを構築でき、データに基づく健康増

104

進や QOL の向上に繋がるとともに、医学の発展や新産業の創⽣にも寄与し得る。

105

国によるマイナポータルを⽤いた取り組み等の開始に伴い、PHR サービスへの注⽬はかつてないほどに

106

⾼まっている。しかしながら、健康情報の活⽤に当たっては医学的な妥当性、特別な秘匿性などが求め107られるためにその他の情報と画⼀的に扱うことに問題があり、個⼈情報を伴う健康情報を適切に利活⽤108する仕組みは確⽴していない。また「PHR」という⾔葉の定義も統⼀されておらず、話者によって、「仕組109み全体」「IT システム」「サービス」「データそのもの」と指し⽰す範囲が異なり、混乱を招いている現状があ

110

る。

111
112
113

このような背景より、⺠間 PHR サービスの多様化や国際的な動向を踏まえ、PHR サービスの適切な利活⽤に関する事業者のためのルール整備が求められている。

114（２）⺠間 PHR サービスガイドラインの⽬的

115
116

PHR の利活⽤促進による健康増進や QOL の向上、医学の発展や新産業の創⽣が期待されている

117

が、PHR サービス事業者が踏まえるべきモラルやルール（PHR サービスとしての質・安全性の担保、デー

118

タの互換性、データの質の担保、本⼈認証の⽅法、説明と同意⽅法等）を整理することが重要である。

119

PHR サービスを社会に根付かせるためには、サービスを利⽤する個⼈・家族にとっての有効性・安全性を120確保すると同時に、PHR サービス普及の妨げとなるような過度の規制とならないよう、バランスの取れた社

121

会的合意に基づいたルールの整備が重要である。PHR サービス事業者が準拠すべきルールが整理され

122

れば、PHR サービスの質の向上、PHR の適切な取扱いを促すことが可能となり、PHR 業界の活性化、

123

ひいては、⼈々及び社会の健康増進・病気の予防への寄与が期待できる。

124

本ガイドラインの⽬的は、国の⽰す指針を基本に、PHR サービス事業者が踏まえるべきルールや規範125を整理して提⽰することで、更なる PHR サービスの質、有効性と安全性の向上を図り、健康情報を活⽤126した個⼈と社会の健康増進に寄与するとともに、国⺠の健康寿命の延伸や豊かで幸福な⽣活（Well-127

being）に貢献することである。

128
129
130

（３）PHR サービスとは

131
132

「⺠間 PHR 事業者による健診等情報の取扱いに関する基本的指針」において、PHR サービスとは133「利⽤者が、予防⼜は健康づくり等に活⽤すること並びに医療及び介護現場で役⽴てること等を⽬的と134

して、PHR を保存及び管理並びにリコメンド等を⾏うサービス」として定義されている。

135

例として下記⽬的での使⽤が考えられる︓

136

・個⼈が健康増進等の⽬的で利⽤する場合

137

・保険者、⾃治体、企業が保健指導や健康経営等の⼀環として住⺠や従業員等に利⽤を促す場合

138

・医療機関（医療・介護に関連する機関等）が健康管理⽬的で患者に利⽤を促す場合

139

140
141

II. PHR に関する国の取り組みと⺠間 PHR サービスガイドラインの関連法
令等

142
143

（１）国の取り組み

144
145『経済財政運営と改⾰の基本⽅針 2018〜少⼦⾼齢化の克服による持続的な成⻑経路の実現〜

146（平成 30 年 6 ⽉ 15 ⽇閣議決定）』において、個⼈の健診・診療・投薬情報が医療機関等の間で147共有できる全国的な保健医療情報ネットワークについて 2020 年度からの本格稼働を⽬指す旨と、

148

PHR について 2020 年度よりマイナポータルを通じて本⼈等へのデータの本格的な提供を⽬指す⽅策が149掲げられた。その後、毎年の経済財政運営と改⾰の基本⽅針において、PHR の拡充を図る⽅針が継続

150

的に記載されている。令和 3 年 6 ⽉にはデータヘルス改⾰に関する⼯程表が策定され、PHR の拡充が151推進されてきた。令和 4 年 10 ⽉には内閣総理⼤⾂を本部⻑とする医療 DX 推進本部が設置され、152

令和 5 年 6 ⽉ 2 ⽇に「医療 DX の推進に関する⼯程表」が本部決定された。同⼯程表では国⺠の更153

なる健康増進のため、誕⽣から現在までの⽣涯に渡る保健・医療・介護の情報を PHR として⾃分⾃⾝

154

で⼀元的に把握可能となり、個⼈の健康増進に寄与することや、ライフログデータの標準化等の環境整

155

備が進むことでのライフログデータ等の活⽤による疾病予防などが期待されている。具体的な施策として、

156

検査結果等について PHR として本⼈がマイナポータルを通じ情報を確認できる仕組みを整備するととも

157に、ライフログデータの標準化や流通基盤の構築等を通じたユースケースの創出⽀援も⾏っていく⽅針が158

⽰されている。今後「Society5.0」の実現に向けて、健康分野における ICT 活⽤が進み、⺠間企業に159

おける健康ビッグデータを活⽤したサービス提供やイノベーションが加速すると思われる。

160

医療情報システムの安全管理に関しては、「3 省 2 ガイドライン1」が策定されている中で、PHR に関して

161

も、⽬的や⽅向性を明確にした上で、⾃⾝の健康に関する情報について電⼦データ等の形での円滑な162提供や適切な管理、効果的な利活⽤が可能となる環境を整備していくために、関係省庁の連携の下、163

年度に「国⺠の健康づくりに向けた PHR の推進に関する検討会」が⽴ち上げられ、⺠間 PHR サービス

164の適切かつ効果的な利活⽤に向けて、『国⺠の健康づくりに向けた PHR の推進に関する検討会 ⺠間165

利活⽤作業班』の中で検討が進められた。（令和 1 年度にはそれぞれ「健康・医療・介護情報利活⽤

166

検討会」及び「健診等情報利活⽤ワーキンググループ ⺠間利活⽤作業班」として再組成）

167

⺠間利活⽤作業班の成果物は「⺠間 PHR 事業者による健診等情報の取扱いに関する基本的指168

針」として取りまとめられた。本指針は令和 3 年 4 ⽉ 23 ⽇公表の後、個⼈情報保護法改正を受けて169

適宜改正され、総務省・厚⽣労働省・経済産業省の 3 省から公表されている。特にマイナポータル API

170

等を活⽤して⼊⼿可能な⾃⾝の健康診断等の個⼈情報保護法上の要配慮個⼈情報となる保健医
1

電⼦化された医療情報を取り扱う医療情報システムに関連する厚⽣労働省・経済産業省・総務省の 3 省による以下に⽰す 2 つのガイド

ラインを指す。
・厚⽣労働省「医療情報システムの安全管理に関するガイドライン 」
・経済産業省・総務省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」
なお「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」（総務省・経済産業省）では「患者等の指⽰に基づいて医療機関等から医療情報を受領する事業者」も対象事業者とされている。

171

療情報や予防接種歴（以下「健診等情報」)を取り扱う PHR 事業者には本指針の遵守が求められる172ものとなっており、実際にマイナポータル API に接続する事業者には本指針の遵守状況をチェックシートに173て確認されるものとなっている。

174
175
176

（２）国の⺠間 PHR 事業者による健診等情報の取扱いに関する基本的指針と⺠間PHR サービスガイドラインの位置づけ・対象

177
178

＜⺠間 PHR サービスガイドラインの位置づけ＞本ガイドラインは、国が定める「⺠間 PHR 事業者によ179る健診等情報の取扱いに関する基本的指針」（以後、指針）を補完するものとして、より⾼い⽔準の180

PHR サービスの提供を実現するためのものである。国レベルでは、健診等情報のマイナポータルを経由し181

た提供において⺠間 PHR 事業者が遵守すべき事項、特に PHR 利活⽤に係る「情報セキュリティ対策」

182「個⼈情報の適切な取扱い」「健診等情報の保存・管理、相互運⽤性の確保」「その他（要件遵守の183

担保⽅法）」について検討が進んでいる。国が定める個⼈が⾃らの健康管理に利⽤可能な健診等情184

報には、マイナポータル API 等を活⽤して⼊⼿可能な⾃⾝の健康診断等の個⼈情報保護法上の要配185

慮個⼈情報となる保健医療情報、乳幼児健診、特定健診、各種健診、レセプト記載の薬剤情報等

186

及び予防接種歴が含まれる。⼀⽅で、⽇常的に記録されるいわゆるライフログは現時点では検討の対187象となっていない。また、個⼈の健康管理ではなく、専ら研究開発の推進等を⽬的として利⽤される健188

診等情報⼜は匿名加⼯情報若しくは仮名加⼯情報のみを取り扱う事業者は対象となっていない。

189

本ガイドラインは、国が定める指針に加えて、PHR サービスを提供する⺠間事業者が踏まえるべきルー

190

ルや規範を提⽰することで、更なる PHR サービスの質、有効性と安全性の向上を図ることを⽬的に、主191に下記 3 点を中⼼に必要と考えられる事項を検討し、提⽰するものである。
①

192

PHR サービス提供に当たっての具体的な運⽤（有効性や安全性に配慮したリコメンド機能の運
⽤等）

193
②

194

ライフログ等（本⼈が⽇々計測するバイタル・健康情報等）の健診等情報以外の情報に関す
る取扱い

195
③

196

国の検討対象となっていない範囲のサービスのあり⽅

197
198

＜⺠間 PHR サービスガイドラインの対象＞

199

本ガイドラインの対象は、全ての PHR サービス（医療情報システム2 として提供されるものを除く）を200

提供する事業者を想定しており、ライフログのみを取り扱う PHR サービス等、国の検討対象外のサービス

201も含む。「健診等情報」を取り扱う PHR 事業者は、国の PHR 指針の参照が求められるが、本ガイドライ

202

ンを遵守することで更なる PHR サービスの質向上が望まれる。本ガイドライン策定の⽬的は、PHR サービ

203

スの有効性と安全性の向上を図り、個⼈と社会の健康増進に寄与するとともに PHR 業界の発展に繋2

医療に関する患者情報（個⼈識別情報）を含む情報を扱うシステムを指す。

204

げることであり、ここに記載された内容をクリアすることにとどまらず、提供する PHR サービスの質向上に繋205げていただくことを期待するものである。

206

なお、「医療情報システムとの直接連携」を⾏う場合は、その要件や安全管理に関しては 3 省 2 ガイ

207

ドラインに準拠する必要があり、遺伝情報の取扱いについては経済産業省「経済産業分野のうち個⼈

208

遺伝情報を⽤いた事業分野における個⼈情報保護ガイドライン」等の遺伝情報に係る各種ガイドライン

209に準拠する必要がある。

210以上を踏まえて、本ガイドラインの対象とする情報と対象者を下記に⽰す。

211
212



対象情報︓ PGD（Person Generated Data︓詳細は後述）の考え⽅に基づき、国の PHR

213

指針が対象とする「健診等情報3」に加え、⽇常的に記録される情報（ライフログ）を含む個⼈が214活⽤し得る健康に関連する情報215



対象者︓ ⽇本在住の個⼈に対し、個⼈が活⽤し得る健康に関連する情報を取扱い、PHR サー

216

ビス（保健医療情報を国⺠・患者の病気の予防・健康づくり等に活⽤するサービス）を提供する

217

⺠間事業者

218
219
220

221
222

【図１︓Person Generated Data の考え⽅を基本とした⺠間 PHR サービスガイドラインの対象】

223
224
225

（３）⺠間 PHR サービスガイドラインの策定にあたり参照した法律及びガイドライン等

3

マイナポータル API 等を活⽤して⼊⼿可能な⾃⾝の健康診断等の個⼈情報保護法上の要配慮個⼈情報となる保健医療情報（具体例：乳幼児健診、特定健診、各種健診、レセプト記載の薬剤情報等）

226
227

本ガイドラインの策定にあたり参照した法律及びガイドライン等は以下の通りである。なお、PHR サービ

228

スに係る法令等は多岐にわたるものであり、本ガイドラインはその全てを網羅するものではないことにあらか

229

じめご留意いただきたい。

230
231

＜関連法規＞

232

医師法（昭和 23 年 7 ⽉ 30 ⽇. 最終改正令和 3 年 5 ⽉ 28 ⽇）

233

医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律（昭和 35 年 8 ⽉ 10
⽇. 最終改正令和 5 年 12 ⽉ 13 ⽇）

234
235



1 ⽉ 26 ⽇. 最終改正令和 4 年 5 ⽉ 20 ⽇）

236
237

医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律施⾏令（昭和 36 年



医療分野の研究開発に資するための匿名加⼯医療情報に関する法律（平成 29 年 5 ⽉ 12 ⽇.
最終改正令和 5 年 5 ⽉ 26 ⽇）

238
239



医療法（昭和 23 年 7 ⽉ 30 ⽇. 最終改正令和 5 年 6 ⽉ 7 ⽇）

240



健康増進法（平成 14 年 8 ⽉ 2 ⽇. 最終改正令和 4 年 6 ⽉ 22 ⽇）

241

個⼈情報の保護に関する法律（平成 15 年 5 ⽉ 30 ⽇. 最終改正令和 5 年 11 ⽉ 29 ⽇）

242

個⼈情報の保護に関する法律施⾏令（平成 15 年 12 ⽉ 10 ⽇. 最終改正令和 6 年 1 ⽉ 31
⽇）

243
244



不当景品類及び不当表⽰防⽌法（昭和 37 年 5 ⽉ 15 ⽇. 最終改正令和 5 年 5 ⽉ 17 ⽇）

245



保健師助産師看護師法（昭和 23 年 7 ⽉ 30 ⽇. 最終改正令和 5 年 6 ⽉ 16 ⽇）

246
247
248

＜公的指針・ガイドライン等＞


護委員会、厚⽣労働省）（平成 29 年 4 ⽉ 14 ⽇. 令和 5 年 3 ⽉最終改正）

249
250







261

クラウドサービス提供における情報セキュリティ対策ガイドライン（第 3 版）（総務省）（令和 3 年 9 ⽉）

259
260

オンライン診療の適切な実施に関する指針（厚⽣労働省）（平成 30 年 3 ⽉. 令和 5 年
3 ⽉⼀部改訂）

257
258

医療情報システムの安全管理に関するガイドライン 第 6.0 版（厚⽣労働省）（令和 5 年
5 ⽉）

255
256

医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン第1.1 版（総務省・経済産業省）（令和 4 年 8 ⽉. 令和 5 年 7 ⽉改定）

253
254

医療機器プログラムの取扱いについて（厚⽣労働省）（平成 26 年 11 ⽉ 21 ⽇. 平成
30 年 12 ⽉ 28 ⽇⼀部改正）

251
252

医療・介護関係事業者における個⼈情報の適切な取扱いのためのガイダンス（個⼈情報保

経済産業分野のうち個⼈遺伝情報を⽤いた事業分野における個⼈情報保護ガイドライン（経済産業省）（令和 3 年 3 ⽉ 23 ⽇）



262

健康寿命延伸産業分野における新事業活動のガイドライン（厚⽣労働省、経済産業省）（平成 26 年 3 ⽉ 31 ⽇）

263


264

個⼈情報の保護に関する法律についてのガイドライン（通則編）（個⼈情報保護委員会）（平成 28 年 11 ⽉. 令和 5 年 12 ⽉⼀部改正）

265


266

個⼈情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）（個⼈情報保護委員会）（平成 28 年 11 ⽉. 令和 4 年 9 ⽉⼀部改正）

267


268

個⼈情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）（個⼈情報保護委員会）（平成 28 年 11 ⽉. 令和 5 年 12 ⽉⼀部改正）

269


270

個⼈情報の保護に関する法律についてのガイドライン（仮名加⼯情報・匿名加⼯情報編）（個⼈情報保護委員会）（平成 28 年 11 ⽉. 令和 5 年 12 ⽉⼀部改正）

271


272

「個⼈情報の保護に関する法律についてのガイドライン」に関するＱ＆Ａ（個⼈情報保護委
員会）（平成 29 年 2 ⽉ 16 ⽇. 令和 6 年 3 ⽉ 1 ⽇更新）

273


274

個⼈データの漏えい等の事案が発⽣した場合等の対応について（平成 29 年個⼈情報保護委員会告⽰第 1 号）

275


276

雇⽤管理に関する個⼈情報のうち健康情報を取り扱うに当たっての留意事項（厚⽣労働省）（平成 29 年 8 ⽉ 24 ⽇）

277


278

中⼩企業における組織的な情報セキュリティ対策ガイドライン（独⽴⾏政法⼈情報処理推
進機構）

279


280

認知症の⼈の⽇常⽣活・社会⽣活における意思決定⽀援ガイドライン（厚⽣労働省）（平成 30 年 6 ⽉）

281


282

プログラムの医療機器該当性に関するガイドライン（厚⽣労働省)（令和 3 年 3 ⽉ 31 ⽇、
令和 5 年 3 ⽉ 31 ⽇⼀部改正)

283


284

労働者の⼼⾝の状態に関する情報の適正な取扱いのために事業者が講ずべき措置に関する指針（厚⽣労働省）（令和 4 年 3 ⽉ 31 ⽇）

285


286

⺠間 PHR 事業者による健診等情報の取扱いに関する基本的指針（総務省、厚⽣労働省、経済産業省））（令和 3 年 4 ⽉. 令和 5 年 4 ⽉最終改正）

287


288

JIS X8341 シリーズ「⾼齢者・障害者等配慮設計指針―情報通信における機器，ソフトウ
ェア及びサービス（第 1 部〜第 7 部）」

289
290
291

＜その他＞

292



年 6 ⽉）

293
294



297
298

ヘルスケアサービスガイドライン等のあり⽅（経済産業省 商務・サービスグループ ヘルスケア産業課）（平成 31 年 4 ⽉ 12 ⽇. 令和 3 年 6 ⽉ 9 ⽇改訂）

295
296

情報システムに係る相互運⽤性フレームワーク（経済産業省、情報処理推進機構）（平成 19

マイナポータルＡＰＩ利⽤規約 1.4 版（デジタル庁）（令和 5 年 1 ⽉ 26 ⽇）

299

III.

⺠間 PHR サービスガイドラインに⽤いられる⽤語の定義
⽤語

定義

PHR

Personal Health Record の略語。⼀般的には、⽣涯にわたる個⼈の保健医療情報（健診（検診）情報、予防接種歴、薬剤情報、検査結果等診療関連情報及び個⼈が⾃ら⽇々測定するバイタル等）である。電⼦記録として本⼈等が正確に把握し、⾃⾝の健康増進等に活⽤することが期待される。
（国の PHR 指針より抜粋）

PHR サービス

利⽤者が、予防⼜は健康づくり等に活⽤すること並びに医療及
び介護現場で役⽴てること等を⽬的として、PHR を保存及び管理並びにリコメンド等を⾏うサービス。
（国の PHR 指針より抜粋）

PHR サービス事業者

⽇本国内において、PHR サービスを提供、⼜は製造（OEM 含む。）している、法⼈（営利を⽬的としないものを含む。）、個⼈事業者、団体、地⽅公共団体。

医療・介護関係事業者「医療・介護関係事業者における個⼈情報の適切な取扱いのためのガイダンス*」で定義される医療・介護関係事業者を意味する。
*当ガイダンスが対象とする事業者の範囲は、下記の通りである①病院、診療所、助産所、薬局、訪問看護ステーション等の患者に対し直接医療を提供する事業者②介護保険法に規定する居宅サービス事業、介護予防サービス事業、地域密着型サービス事業、地域密着型介護予防サービス事業、居宅介護⽀援事業、介護予防⽀援事業、及び介護保険施設を経営する事業、⽼⼈福祉法に規定する⽼⼈居宅⽣活⽀援事業及び⽼⼈福祉施設を経営する事業その他⾼齢者福祉サービス事業を⾏う者

医療情報システム

医療に関する患者情報（個⼈識別情報）を含む情報を扱うシ
ステム

PHR システムElectronic

PHR サービスを提供するために構築された情報システム
HealthRecord①コンピュータで処理可能な形式で保存・管理された診療対象

（EHR）

者の健康状態に関する情報のリポジトリ（保管場所）②地域の病院や診療所などをネットワークでつないで患者情報等を共有活⽤する基盤（地域医療連携ネットワーク）

ヘルスケアサービス

健康の保持及び増進、介護予防を通じた 健康寿命の延伸に資する商品の⽣産若しくは販売⼜は役務をいう。（ただし、個別法による許認可等が必要な商品や役務等を除く。）

医⾏為

医療及び保健指導に属する⾏為のうち、医師が⾏うのでなければ保健衛⽣上危害を⽣ずるおそれのある⾏為

リコメンドサービス（機能）スマートフォン等のアプリケーションを介して、記録管理された個⼈の保健医療情報に基づいて、⽣活習慣改善等に向けた推奨を⾏う機能

記録管理・閲覧サービス（機能）個⼈の保健医療情報を記録管理・閲覧する機能。記録管理・閲覧機能には、ウェアラブル端末等を通じた健康情報収集を含
む。

相互運⽤性

情報の視点から⾒て、異なった⽬的で作られたアプリケーション間
で情報の伝達⼜は共有がなされることを意味する。特に本ガイド
ラインでは、異なる PHR サービス間で、PHR の伝達⼜は共有が可能であると担保されている状態を意味する。

薬機法

医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律

個⼈情報保護法

個⼈情報の保護に関する法律

通則 GL

個⼈情報の保護に関する法律についてのガイドライン（通則編）

要配慮個⼈情報

不当な差別、偏⾒その他の不利益が⽣じないように取扱いに配慮を要する情報として、個⼈情報保護法に定められた情報である。要配慮個⼈情報には、（1）⼈種、（2）信条、（3）社会的⾝分、（4）病歴、（5）犯罪の経歴、（6）犯罪により害を被った事実等のほか、（7）⾝体障害、知的障害、精神障

害等の障害があること、（8）健康診断その他の検査の結果、（9）保健指導、診療・調剤情報、（10）本⼈を被疑者⼜は被告⼈として、逮捕、捜索等の刑事事件の⼿続が⾏われたこと、（11）本⼈を⾮⾏少年⼜はその疑いがある者として、保護処分等の少年の保護事件に関する⼿続が⾏われたこと、が該当
する。
景品表⽰法

不当景品類及び不当表⽰防⽌法

不実証広告ガイドライン

不当景品類及び不当表⽰防⽌法第７条第２項の運⽤指針―不実証広告規制に関する指針―（公正取引委員会）（平成 15 年 10 ⽉ 28 ⽇）

特定商取引法300
301

特定商取引に関する法律

302

IV.

PHR サービスの提供に当たっての基本理念

303
304

（１）PHR と PGD（Person-Generated Data）の考え⽅

305

Person-Generated Data（PGD）とは、個⼈の⽣活に紐付く医療・介護・健康等を含む全ての306

情報を意味する。PGD には、病気になってから記録される「医療機関等で患者より⽣み出された情報」

307

だけでなく、病気の有無にかかわらず⽇常的に記録される健康関連データや産業保健・介護等に関連す

308

る情報のほか、旅⾏履歴、⾏動履歴、購買履歴等の情報（ライフログ）も含まれる。PHR サービスの309

提供に当たっては、PHR として個⼈の意思で管理・利活⽤する健康に関わる可能性のある情報の⼤部

310

分は、PGD であることを前提とすべきである。

311
312
313

（２）⽇常的な健康データを活⽤したセルフケアによる健康増進、病気の予防

314

ICT の発展と普及により、⽇常的な健康データの測定・記録が容易となり、⽇々の体重・⾎圧等の⽣315

活習慣病に関わるデータや⾷事・運動・睡眠に関わる記録、服薬記録等の健康データを⽣涯にわたって

316

PHR として利活⽤することが可能となった。今後、⼈々の健康増進、疾病の早期発⾒や重症化予防、

317

ADL・QOL の向上にむけたセルフケアに、PHR を活⽤することが求められる。

318
319
320

（３）周辺データを活⽤した健康増進、医療の質向上

321

PHR サービスが取り扱うデータには、現時点で医療や健康に関連すると考えられるデータだけではなく、

322

購買履歴や⾏動履歴などの医療・健康以外の個⼈に紐付いたデータや環境等のあらゆるデータが含ま323れる可能性がある。また将来的にまだ⾒ぬ新しいデータが活⽤されるかもしれない。健康・医療に関連す

324

る情報とあわせて、環境等の周辺情報も積極的に利⽤し、健康増進、医療の質向上に繋がるサービス

325に発展することが望ましい。

326
327
328

（４）PHR サービス利⽤者の健康、安全、権利の確保

329

PHR サービスの主な⽬的は利⽤者の健康増進であり、PHR を蓄積・可視化することや、それらをもと330に実施されるリコメンドが利⽤者の⼼⾝の健康増進に役⽴つという「有効性」と、危害を及ぼさないという

331「安全性」の確保がその機能や⽤途に応じて求められる。PHR を参照して医療が提供される場合もある

332

ため、蓄積される PHR や提供される PHR サービスの⽬的に応じて、蓄積されるデータやリコメンドの信頼333性が担保されるような仕組みがあることが望ましい。また、PHR には、個⼈情報、要配慮個⼈情報、個334

⼈関連情報として個⼈情報保護法が適⽤される情報も含まれることから、PHR サービス事業者や PHR

335

を扱う者はそのことを⼗分に認識し、利⽤者⾃⾝が⾃⾝のデータをコントロールできる仕組みを構築する

336

ことが求められるとともに、データの漏洩・改ざん・紛失等の危険への⼗分な対策が必要となる。さらに、

337

PHR サービスは、⾼齢者や障害のある⼈を含め多種多様な背景を持つ⼈が利⽤可能なものであること

338が求められるため、あらゆる⼈が適切に利⽤できるようユーザビリティ及びアクセシビリティの確保に配慮した

339

サービス設計とするよう努めなければならない。具体的には、JIS X8341 シリーズ「⾼齢者・障害者等配340

慮設計指針―情報通信における機器，ソフトウェア及びサービス（第 1 部〜第 7 部）」が参考となる。

341
342
343

（５）利⽤者への説明と同意に基づくサービス提供

344

PHR サービス提供の際は、サービスの内容等について、利⽤者に対して、同意に係る判断に必要と考345えられる合理的かつ適切な⽅法を⽤いて明確に説明した上で、明⽰的な同意を取得することが求められ346

る。PHR サービス事業者は、PHR サービス利⽤者に対して、PHR サービスの⽬的・使⽤⽤途等につい

347て、⽂書によって情報を理解することについて特別な配慮が必要な⽅（例えばこども、⾼齢者、外国⼈、

348

障害のある⼈等）も正しく理解できるような⽅法で情報提供するよう努めるべきである。また、同意取得349においては、利⽤者の同意の範囲を明らかにし、適切な PHR サービスを選択・利⽤できるように努めなけ

350

ればならない。認知症や⼩児・乳幼児等の⼗分な⾃⼰判断能⼒や責任能⼒を持たない利⽤者の351

PHR を管理・活⽤できるようなサービスを提供する際には、その親権者やその他の代理⼈等への適切な352

説明を⾏った上で同意を取得することが求められる。さらに、こどもの成⼈後など責任能⼒が認められた

353

後には、PHR の管理権限を本⼈に移譲することに関しても明確に説明した上で、明⽰的な同意を取得

354

しておくことが望ましい。

355
356
357

（６）PHR サービスの質の担保と向上

358

PHR サービスは利⽤者の健康や⽣活に直結するものである。よって PHR サービス事業者は利⽤者の359

健康と福祉の増進を第⼀の関⼼事とし、利⽤者の最善の利益のためにサービスの質の担保と向上に努

360

めなければならない。PHR サービス事業者は、良⼼と最善の知識をもってこの責務を達成すべきであり、361

間違っても利⽤者の健康や福祉を阻害するものであってはならない。

362

サービスの質は、利⽤者の⼿間やコストとトレードオフとなる場合があるため、PHR サービス事業者は、

363

提供するサービスごとにその⽬的に合致した最適な質のレベルを設定し、利⽤者に不要な負担を掛けて364はならない。また、PHR サービスは利⽤者の⽣涯に渡り⻑期的に利⽤されるものであることから、PHR サ

365

ービス事業者は、⾃社の事業が継続できなくなった場合でも、類似の他社サービスに情報を引き継ぐ⼿366

段を提供するなど、利⽤者の健康や福祉の低下につながらないように努めるべきである。

367

PHR サービスは未だ発展途上であり、今後多くの技術⾰新が⾒込まれる。PHR サービス事業者は常368に最新の技術に注意を払い、情報セキュリティ、相互運⽤性を含むサービスの向上に努めなければならな369い。特に新しい技術を適⽤する場合、例えばプログラム医療機器や特定保健⽤⾷品では承認等の取370得のためにエビデンス取得が必要となるところ、PHR サービスにおいても、特に新技術を適⽤する場合な

371

ど、PHR サービスの内容に即した適切な健康上のエビデンスの有無に注意を払うべきである。さらに、

372

様々な IoT 機器やモバイルデバイスとの連携を⾏う場合には、デバイスメーカーごとに規格や仕様が異な

373るケースも多く、不具合の発⽣も考えられるため、PHR サービス事業者はサービスの⽬的に合致した最適

374

なデバイスを提供あるいは利⽤者が選択できるようにし、デバイスの差異や不具合、並びにデバイスの⾮375

互換性により利⽤者が不利益を被らないように努めなくてはならない。デバイスメーカーや業界団体等と376

協議を⾏い、不具合の解消や新しい仕様を策定しなければならないケースもあるが、その場合も常に利

377

⽤者の最善の利益を追求すべきである。

378
379
380

（７）PHR サービス事業者間での連携

381

⼈⽣ 100 年時代と⾔われる今⽇、PHR サービス利⽤者はライフステージや趣向に応じて複数の PHR

382

サービスを同時⼜は乗り換えて利⽤していくことが考えられる。また、PHR サービスが取り扱うデータの種別

383

は、健診等情報からライフログまで多岐にわたるため、⼀事業者があらゆる利⽤者に対応した PHR サー

384

ビスを提供することは現実的ではない。加えて、PHR サービスの終了や PHR サービス事業者の統廃合も385

⽣じることが考えられる。そのような状況下において、PHR サービス利⽤者の権利を保護し、PHR 業界の386

健全な発展を促すためには、PHR サービス事業者間での相互運⽤性を向上させる連携（必要最低限

387のデータの引き継ぎを可能とする、共通項⽬やデータ流通形式の標準化など）が⽋かせない。

388
389
390

（８）市場の拡⼤による受益者増、社会全体の健康増進、⽣産性向上

391

PHR サービス事業者並びに社会に対して、PHR サービスの適切な利活⽤に向けた教育・啓発が⾏わ

392

れるべきである。本ガイドラインが広く利⽤されることで、PHR 業界の健全な育成及び活性化が図れると

393

ともに、適切な PHR サービス市場の拡⼤により受益者が増え、社会全体の健康増進・⽣産性向上に繋394

がることが期待できる。

395
396
397

（９）継続的な改訂が可能な体制の構築

398

PHR サービス関連事業の継続的な発展のためには、PHR サービス業界の社会的信頼の確保が不可

399

⽋である。そのためには、国の PHR 指針のみならず、⺠間事業者が⾃ら定める PHR サービスに関連す400るルール・規範を遵守し、PHR サービスの質が維持・向上されることが重要となる。ICT の技術⾰新は著401

しく、今後、未知の PHR サービスが創出されることも予想され、PHR に関連する技術やサービスの発展402に沿って、PHR サービスに係るルールの改訂やあり⽅の継続的な検討が必要である。そのためには、PHR403に関係する者（産官学⺠）の間の連携を強化し、継続的な検討ができる体制が構築されるべきである。

404
405
406

（10）国際的な動向を踏まえた PHR サービス提供に係るルールの整備

407

国際的にも PHR サービスを活⽤した健康増進・事業化に期待が⾼まっており、それぞれの地域の特408

性を⽣かした取り組みが進められている。医療従事者・患者双⽅からの医療情報へのアクセスを可能と409

する公的な EHR プラットフォームの構築が進んでいる国では、そこを起点とした多種多様な PHR サービ

410

スが展開されている。欧州では、国際標準規格の採⽤や欧州内での相互運⽤性の確保のためのネット

411

ワークやルール整備等の、官⺠⼀体となったフレームワーク構築が進んでいる国もある。このような国際的

412

な PHR サービスの動向に追⾛し、⽇本における PHR サービス事業を発展させるために、⽇本の個⼈情413

報保護法にも対応した上で、国際的な標準化、相互運⽤性の確保及びデータの保管場所（国内414外）、データ連携を実現するための標準化を意識した PHR サービス提供に係るルールの整備が強く求め

415

られる。

416

417

V.

⺠間 PHR サービスガイドラインの具体的適⽤

418
419

本章においては、PHR サービス提供における「最低限遵守する事項」及び「推奨される事項」を、その420考え⽅とともに⽰す。また、本ガイドラインの理解を容易にするため、必要に応じて、PHR サービスとして421「望ましい例」及び「不適切な例」を付記する。「最低限遵守すべき事項」として掲げる事項は、PHR サー

422

ビスの安全性・有効性を担保し、PHR サービス事業者の事業が適切に⾏われるために必要なものである。

423
424

１．PHR サービス提供に関する事項

425（１）事業者―利⽤者の関係/合意（説明と同意）

426

考え⽅

427

PHR サービスに係る契約を締結する際には、明確な説明及び明⽰的な合意形成が求められる。また、

428

PHR の⼀部は個⼈情報（個⼈情報保護法 2 条 1 項）、要配慮個⼈情報（同 3 項）、個⼈デー

429

タ（同法 16 条 3 項）や個⼈関連情報（同法 2 条 7 項）に該当し得るものであり、PHR を含む個430

⼈情報データベース4等を事業の⽤に供している PHR サービス事業者は、個⼈情報保護法で定義され431

る個⼈情報取扱事業者に該当する（同 2 項）。PHR サービス事業者は個⼈情報保護法及び各種

432

ガイドライン並びに個⼈情報保護⼜は守秘義務に関する他の法令等を遵守する必要がある。特に、医433

療・介護関係事業者は「医療・介護関係事業者における個⼈情報の適切な取扱いのためのガイダンス」

434

を遵守する必要があるため、別途ご参照いただきたい。

435

事業者―利⽤者の関係/合意（説明と同意）については、契約締結時と契約期間中に分けて検436討するのが有益である。契約締結時においては、①明確な説明及び明⽰的な合意形成及び②利⽤⽬

437

的の通知について留意する必要がある。次に、契約締結時及び契約期間中においては、①個⼈情報に438

係る同意の適切な取得、②個⼈情報の適切な取得及び③⼀定事項の公表等について留意する必要439がある。最後に、契約期間中においては、①契約期間中の同意の確認、②利⽤⽬的の遵守及び③利

440

⽤⽬的の適切な変更等について留意するとともに、契約内容を遵守する必要がある。

441
442
443

4

個⼈情報を含む情報の集合物であって、次に掲げるもの（利⽤⽅法からみて個⼈の権利利益を害するおそれが少ないものとして政令で定めるものを除く。）をいう（個⼈情報保護法 16 条 1 項）。
⼀ 特定の個⼈情報を電⼦計算機を⽤いて検索することができるように体系的に構成したもの
⼆ 前号に掲げるもののほか、特定の個⼈情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの

444

最低限遵守する事項

445【契約締結時】

446① 明確な説明及び明⽰的な合意形成

447

PHR サービス事業者は、PHR サービスの内容や契約の⽬的等について利⽤者に対し明確に説明し448

た上で、明⽰的な合意を形成する必要がある。この際には、本⼈、PHR サービス事業者、医療機関等、

449

利⽤対象者ごとに説明の⽅法を検討する。特に、本⼈については、病気の予防・健康づくり、PHR サー

450

ビス等に関し、⼗分な知⾒を有していない場合も想定されることから、本⼈に対する説明が分かりやすい

451

ものとなるよう、特に配慮が必要である。

452
453

② 利⽤⽬的の通知等

454

個⼈情報取扱事業者に該当する PHR サービス事業者は、個⼈情報を取り扱うに当たっては、その利455

⽤⽬的をできる限り特定しなければならない（個⼈情報保護法 17 条 1 項）。特に、第三者提供を456

予定しているときは、その旨が明確に分かるよう特定する必要がある（通則 GL3-1-1、3-6-1）。

457

このような個⼈情報の利⽤⽬的は、あらかじめ公表するか、⼜は個⼈情報の取得後に速やかに利⽤

458

⽬的を本⼈に通知し、⼜は公表する必要がある（個⼈情報保護法 21 条 1 項）。ただし、本⼈との間459で契約を締結することに伴って電磁的記録を含む契約書その他の書⾯に記載された当該本⼈の個⼈

460

情報を取得する場合その他本⼈から直接当該書⾯に記載された当該本⼈の個⼈情報を取得する場

461

合は、原則として、あらかじめ、本⼈に対し、その利⽤⽬的を明⽰しなければならない(個⼈情報保護法462

21 条 2 項)。利⽤⽬的の明⽰には、ネットワーク上において、利⽤⽬的を、本⼈がアクセスした⾃社のホ463

ームページ上に明⽰し、⼜は本⼈の端末装置上に表⽰する場合が含まれる（通則 GL3-3-4）。

464
465
466

【契約締結時及び契約期間中】

467① 個⼈情報に係る同意の適切な取得

468

個⼈情報取扱事業者が要配慮個⼈情報の取得や個⼈データの第三者提供等を⾏うためには、原則469

として、事前に本⼈の同意を取得する必要がある（個⼈情報保護法 20 条 2 項、27 条）5。特に、要470

配慮個⼈情報については、基本的にオプトアウト6による第三者提供は認められていないことや、外国に471ある第三者への提供については原則として⼀定の情報を提供した上で同意を取得する必要があることに472

留意する必要がある（個⼈情報保護法 27 条 2 項、28 条）。そのため、個⼈情報取扱事業者に該
5

なお、第三者提供について、同意が不要な場合が同法 27 条 1 項各号に列挙されており、また第三者提供に該当しない場合が同 5 項各号に列挙されている。詳細は下記(6) 他の事業者・第三者へのデータ提供を参照。法律上有効な同意として認められる程度の明確性があった場合でも、本⼈の正しい理解が得られないことでレピュテーションリスクを抱えることがあることに留意すること。不安な場合
は、第三者等にレビューを受けることが望ましい。
6「オプトアウト」⽅式とは、個⼈情報を第三者提供するに当たって、その個⼈情報を持つ本⼈が反対をしない限り、個⼈情報の第三者提供に同意したものとみなし、第三者提供を認めること。

473

当する PHR サービス事業者は、原則として、契約締結時等、当該⾏為を⾏う前に本⼈の同意を取得474する必要がある。

475

また、個⼈関連情報取扱事業者は、第三者が個⼈関連情報（個⼈関連情報データベース等を構476

成するものに限る。）を個⼈データとして取得することが想定されるときは、原則として、当該第三者が個

477

⼈関連情報取扱事業者から個⼈関連情報の提供を受けて本⼈が識別される個⼈データとして取得す

478

ることを認める旨の当該本⼈の同意が得られていることを確認せずに、当該個⼈関連情報を当該第三479者に提供してはならない（個⼈情報保護法 31 条 1 項）。

480

個⼈情報に係る同意の取得の際には、事業の性質及び個⼈情報の取扱状況に応じ、本⼈が同意481に係る判断を⾏うために必要と考えられる合理的かつ適切な⽅法を⽤いる必要がある（通則 GL2-48216）。この際には、電磁的⽅法を⽤いて同意を取得することも可能である。同意の取得⽅法の具体例

483

として、以下が挙げられる（通則 GL2-16）。

484
485

例①︓本⼈からの同意する旨の書⾯（電磁的記録を含む。）の受領

486

例②︓本⼈からの同意する旨のメールの受信487

例③︓本⼈による同意する旨の確認欄へのチェック

488

例④︓本⼈による同意する旨のホームページ上のボタンのクリック

489
490

例⑤︓本⼈による同意する旨の⾳声⼊⼒、タッチパネルへのタッチ、ボタンやスイッチ等による⼊⼒

491
492

なお、個⼈情報の取扱いに関して同意したことによって⽣ずる結果について、未成年者、成年被後⾒

493

⼈、被保佐⼈及び被補助⼈が判断できる能⼒を有していないなどの場合は、親権者や法定代理⼈等

494から同意を得る必要がある（通則 GL2-16）。このうち、未成年者については、法定代理⼈等から同495

意を得る必要がある具体的な年齢は、対象となる個⼈情報の項⽬や事業の性質等によって、個別具

496

体的に判断されるべきだが、⼀般的には 12 歳から 15 歳までの年齢以下のこどもについて、法定代理⼈

497

等から同意を得る必要があると考えられている（「個⼈情報の保護に関する法律についてのガイドライン」

498

に関するＱ＆Ａ 1-62）。

499

加えて、第三者提供に当たっての同意の取得の際には、事業の規模及び性質、個⼈データの取扱状

500

況（取り扱う個⼈データの性質及び量を含む。）等に応じ、本⼈が同意に係る判断を⾏うために必要と501考えられる合理的かつ適切な範囲の内容を明確に⽰さなければならないとされている（通則 GL3-6-5021）。認知症の⽅を含む⾼齢者においても、医療介護などの⽣活を⽀えるために有⽤なデータの利⽤が503

阻害されてしまわないよう、医療や介護といった領域で既に⾏われている同意取得・意思決定⽀援⽅法504を参考に、本⼈の意向等を踏まえつつ、データ活⽤を進めるべきである。

505

また、PHR を含む個⼈関連情報データベース等を事業の⽤に供している PHR サービス事業者は、個⼈

506

情報保護法で定義される個⼈関連情報取扱事業者に該当するところ（個⼈情報保護法 16 条 7507項）、個⼈関連情報取扱事業者は、第三者が⼀定の個⼈関連情報を個⼈データとして取得すること508が想定されるときは、原則として、⼀定の事項を確認することをしないで、当該個⼈関連情報を当該第509

三者に提供してはならない（個⼈情報保護法 31 条）。

510
511

② 個⼈情報の適切な取得

512

PHR サービス事業者は、偽りその他不正の⼿段により個⼈情報を取得してはならない（個⼈情報保513

護法 20 条 1 項）。例えば、以下が不正の⼿段により個⼈情報を取得している事例として挙げられる

514（通則 GL3-3-1）。

515

例①︓個⼈情報を取得する主体や利⽤⽬的等について、意図的に虚偽の情報を⽰して、本⼈から個

516
517
518
519
520
521
522

⼈情報を取得する場合
例②︓他の事業者に指⽰して不正の⼿段で個⼈情報を取得させ、当該他の事業者から個⼈情報を取得する場合例③︓個⼈情報保護法第 27 条 1 項に規定する第三者提供制限違反がされようとしていることを知り、⼜は容易に知ることができるにもかかわらず、個⼈情報を取得する場合
例④︓不正の⼿段で個⼈情報が取得されたことを知り、⼜は容易に知ることができるにもかかわらず、当該個⼈情報を取得する場合

523
524

③ ⼀定事項の公表等

525

個⼈情報取扱事業者に該当する PHR サービス事業者は、原則として、以下の事項について（例え526

ばホームページに掲載するなどの⽅法で）PHR サービス利⽤者の知り得る状態に置かなければならない

527（個⼈情報保護法 32 条 1 項、個⼈情報の保護に関する法律施⾏令第 10 条、通則 GL3-8-1）。

528①個⼈情報取扱事業者の⽒名⼜は名称及び住所並びに法⼈にあっては、その代表者の⽒名

529②全ての保有個⼈データの利⽤⽬的

530③保有個⼈データの利⽤⽬的の通知の求め⼜は開⽰等の請求に応じる⼿続及び保有個⼈データ

531の利⽤⽬的の通知の求め⼜は開⽰の請求に係る⼿数料の額（定めた場合に限る。）

532④保有個⼈データの安全管理のために講じた措置

533⑤保有個⼈データの取扱いに関する苦情の申出先534⑥認定個⼈情報保護団体の対象事業者である場合には、当該認定個⼈情報保護団体の名称及535

び苦情の解決の申出先

536
537

※匿名加⼯情報を第三者提供する場合の推奨については、V.1.（４）PHR サービスにおける個⼈情報の保護・情報538

セキュリティ【匿名加⼯情報等の作成及び利⽤】を参照のこと

539
540

【契約期間中】541① 契約期間中の同意の確認542

上記の通り、個⼈情報取扱事業者が要配慮個⼈情報の取得や個⼈データの第三者提供等を⾏う

543

ためには、原則として、事前に本⼈の同意を取得する必要があるところ、当該同意の確認については、国544の PHR 指針と同様の内容による個⼈情報に係る同意の確認を⾏う。

545
546

② 利⽤⽬的の遵守・不適正な利⽤の禁⽌547

個⼈情報取扱事業者に該当する PHR サービス事業者は、個⼈情報保護法の例外に当たる場合を548

除き、あらかじめ本⼈の同意なくして、利⽤⽬的の達成に必要な範囲を超えて、個⼈情報を取り扱って549はならない（個⼈情報保護法 18 条 1 項）。
また、個⼈情報取扱事業者に該当する PHR サービス事業者は、違法⼜は不当な⾏為を助⻑し、⼜

550
551

は誘発するおそれがある⽅法により個⼈情報を利⽤してはならない（個⼈情報保護法 19 条）。

552
553

③ 利⽤⽬的の適切な変更等

554

個⼈情報取扱事業者に該当する PHR サービス事業者は、利⽤⽬的を変更する場合には、変更前

555の利⽤⽬的と関連性を有すると合理的に認められる範囲を超えて⾏ってはならない（個⼈情報保護法556

17 条 2 項）7。「変更前の利⽤⽬的と関連性を有すると合理的に認められる範囲」とは、変更後の利557

⽤⽬的が変更前の利⽤⽬的からみて、社会通念上、本⼈が通常予期し得る限度と客観的に認められ558

る範囲内をいい、「本⼈が通常予期し得る限度と客観的に認められる範囲内」とは、本⼈の主観や事

559

業者の恣意的な判断によるものではなく、⼀般⼈の判断において、当初の利⽤⽬的と変更後の利⽤⽬

560

的を⽐較して予期できる範囲をいい、当初特定した利⽤⽬的とどの程度の関連性を有するかを総合的561に勘案して判断される（通則 GL3-1-2）。
個⼈情報保護法 17 条 2 項に基づき利⽤⽬的を変更した場合には、変更された利⽤⽬的について

562
563

本⼈に通知し、⼜は公表しなければならない（個⼈情報保護法 21 条 3 項）。

564

個⼈情報取扱事業者に該当する PHR サービス事業者は、変更前の利⽤⽬的と関連性を有すると合565

理的に認められる範囲を超えて利⽤⽬的を変更する場合、PHR サービス利⽤者から利⽤⽬的の変更

566

について本⼈の同意を取得する必要がある。

567
568

【契約終了時】

569① サービス終了時の情報の破棄・本⼈への PHR の返却等

570

PHR サービス事業者がサービスを終了する場合、利⽤者への PHR のエクスポート及び他の PHR サー

571

ビス事業者への当該 PHR のインポートが実施可能な期間を⼗分に確保すべきである。また PHR サービ

572

ス事業者は、管理する PHR が利⽤者の重要な資産であることに留意し、利⽤者が PHR を引き続き利573

⽤可能なように最⼤限努めるべきである（データベースのダンプファイルの提供や、他の PHR サービス事

574

業者へのデータ引き継ぎ等。データをエクスポートする際のデータ交換規格については、PHR サービス間の575

データ連携に関する考え⽅の項を参照）。その上で、サービス終了後は、契約内容に従って情報の破棄

576

等を確実に⾏う。⼿順に則って情報の返却・移管・破棄を適切に実施したことの証跡を取得しておくこと
7「個⼈情報取扱事業者が、開⽰、内容の訂正、追加⼜は削除、利⽤の停⽌、消去及び第三者への提供の停⽌を⾏うことのできる権限を有する個⼈データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの以外のもの」を意味する（個⼈情報保護法 16 条 4 項）。

577も必要である。

578
579

最低限遵守する事項

580

PHR サービス事業者は、解約の権利を設ける場合にはその旨及び解約後のデータ処理について明⽰すること。

581
582
583

推奨される事項584

PHR サービス利活⽤の対象となる利⽤者は、疾患を抱えている⽅からそうでない⽅、こどもから⾼齢585者、⽇本⼈から外国⼈、障害のある⼈まで幅広いため、PHR サービスの内容や利⽤者に応じて説586

明をすることが望ましい。特に、PHR サービスを利⽤することによって、健康に悪影響を及ぼす可能587

性について考慮し、契約締結時の説明において、サービスを活⽤する前にかかりつけ医等の医療者588に相談することが望ましい旨を伝えるよう留意する。

589



契約締結時の説明の際には電磁的⼿段を⽤いることが考えられるが、電磁的⼿段を⽤いて説明

590

を⾏う場合には、⼀般に個々⼈の理解度等に応じて柔軟に説明を変えることが難しい点や、問い591

合わせ先の掲載等の⼿段により意図的に質問の機会を作り出さなければ、PHR サービス利⽤者が592

当該説明に関して質問をすることが難しい点に留意する。

593



契約締結時に個⼈情報を取得する可能性があることに鑑み、個⼈情報取扱事業者に該当する

594

PHR サービス事業者は、個⼈情報の利⽤⽬的をあらかじめ公表し、⼜は契約締結時に通知する

595

ことが望ましい。

596



要配慮個⼈情報に該当する PHR を取得する場合には、個⼈情報保護法 20 条 2 項各号の例

597

外に該当することが⾒込まれる場合であっても、個⼈情報保護法 20 条 2 項各号の例外に該当598

することが明確な場合を除き、事前に利⽤者から同意を取得することが望ましい。

599

個⼈データに該当する PHR を第三者に提供する場合には、個⼈情報保護法上の例外に当たる600ことが⾒込まれる場合であっても、個⼈情報保護法上の例外に当たることが明確な場合を除き、事601

前に利⽤者から同意を取得することが望ましい。

602



救急・災害時の治療や⽀援に有⽤な個⼈データに該当する PHR を取り扱う PHR サービス事業

603

者は、救急・災害時に本⼈に適切な治療や⽀援を⾏えるよう、PHR サービス開始時に、「救急・災604

害時に、迅速に有効な診断・治療を⾏う⽬的で本⼈の PHR を利⽤し、⼜は医療機関等の第三605

者に提供すること」について、あらかじめ利⽤者の意思を確認する機会を提供することが望ましい。

606



個⼈情報取扱事業者に該当する PHR サービス事業者は、個⼈情報の取扱いに関する苦情の適607

切かつ迅速な処理に努め、この⽬的を達成するために必要な体制の整備に努めなければならない

608（個⼈情報保護法 40 条 2 項）。

609

610

（２）本⼈確認

611

考え⽅

612

特に要配慮個⼈情報を取り扱う PHR サービスにおいては、サービスの継続的な利⽤において利⽤者

613

本⼈の同意が重要である。また、PHR サービス事業者は、PHR サービス利⽤者が利⽤するサービスにつ614

いて、PHR を本⼈あるいは代理⼈等の同意なく第三者に閲覧されることがないようにする「機密性」を守615る必要がある。更に PHR を本⼈以外の医療者や事業者が利⽤することを想定している PHR サービスに

616

おいては、当該 PHR が確かに PHR サービス利⽤者本⼈のデータであることを保証する観点に留意し運617

⽤を⾏う必要がある。以上から、特に個⼈情報取扱事業者に該当する PHR サービス事業者にとっては、

618

確実な本⼈確認の実施は PHR サービスの運⽤において極めて重要である。PHR サービス利⽤時の本619

⼈確認は、オンラインでの本⼈確認（eKYC︓electronic KYC（Know Your Customer）の略で、

620

KYC をオンライン上で実現するための仕組みを指す）だけではなく対⾯や郵送による本⼈確認621（KYC︓Know Your Customer の略で、本⼈確認を⾏う⼿続を指す）、⽒名、住所、⽣年⽉⽇、

622

メールアドレス等の情報⼊⼒など運⽤⾯で実施する⽅法もある。なお、本⼈確認の際には、個⼈情報保623

護法や医療保険各法等の法令を遵守することも必要である。⼀⽅で、PHR サービスは⽇常的な利⽤が624想定されることから、不必要に煩雑な本⼈確認を⾏うことは避けるべきである。

625

ネットワークを利⽤するサービスで通信している相⼿が本⼈かどうかを確認する「認証」の⽅法について

626

は、技術の発展によりデファクトスタンダードが変わり得るため、その時々の最善のスタンダードを採⽤するこ627とが望ましい。現状では、Fast IDentity Online（FIDO8）、マイナンバーカードを⽤いた公的個⼈認628

証サービス（JPKI9）などの技術が精度の⾼い認証の⽅法として期待されている。PHR サービスは、スマ

629

ートフォンやタブレット等のモバイル端末上に実装され、モバイル端末⾃体に機密性を確保する認証の仕630

組みが組み込まれている場合もあるため、その利⽤も検討する。

631
632

最低限遵守する事項

633①

開⽰等の請求の際の本⼈確認

634

個⼈情報保護法に基づく当該本⼈が識別される保有個⼈データの開⽰等の⼿続における本⼈確認635については、個⼈情報保護法 37 条 2 項及び通則 GL3-8-7 に留意する必要がある。個⼈情報取扱636

事業者に該当する PHR サービス事業者は、円滑に開⽰等の⼿続が⾏えるよう、本⼈に対し、開⽰等の637

請求等の対象となる当該本⼈が識別される保有個⼈データの特定に必要な事項（住所、ID、パスワ

638

ード、会員番号等）の提⽰を求めることができる。なお、その際には、本⼈が容易かつ的確に開⽰等の639

請求等をすることができるよう、当該保有個⼈データの特定に資する情報を提供するなど、本⼈の利便
8

FIDO Alliance が定めた新しい認証⽅式。スマートフォン等のローカル環境での本⼈認証と、公開鍵認証⽅式のオンライン認証を並⾏して⾏う⽅法。
9
公的個⼈認証サービス（Japanese Public Key Infrastructure）の略。マイナンバーカードの IC チップに記録された「署名⽤電⼦証明書」や「利⽤者証明⽤電⼦証明書」を利⽤した本⼈認証⼿段。

640

性を考慮しなければならない。その確認の⽅法は、事業の性質、保有個⼈データの取扱状況、開⽰等641の請求等の受付⽅法等に応じて、適切なものでなければならず、本⼈確認のために事業者が保有して642いる個⼈データに⽐して必要以上に多くの情報を求めないようにするなど、本⼈に過重な負担を課するも643のとならないよう配慮しなくてはならない（個⼈情報保護法 37 条 2 項、通則 GL3-8-7）。

644
645

②

その他

646

モバイル端末あるいは PHR アプリの機能で本⼈確認・認証を⾏える仕組みを設ける。

647

推奨される事項648

PHR を本⼈以外の医療者や事業者が利⽤することを想定している PHR サービスにおいては、当649

該 PHR が確かに PHR サービス利⽤者本⼈の PHR であることを保証するための仕組みを設けるこ650とが望ましい。

651



本⼈確認の実施⽅法は、取り扱う PHR のリスクに応じた⽅法（eKYC（electronic Know

652

Your Customer）の利⽤、対⾯⼜は郵送、⽒名、住所、⽣年⽉⽇、メールアドレス等の情報⼊653

⼒等）を採⽤することが望ましい。

654
655
656

（３）PHR の管理・閲覧

657

考え⽅

658

PHR は基本的に利⽤者⾃⾝に由来する PGD であり、権利は利⽤者⾃⾝に帰属する。また、個⼈659

情報として個⼈情報保護法が適⽤され、あるいは利⽤者のプライバシー権の対象となり得る。そのため、

660

PHR サービス事業者はできる限り利⽤者が⾃⾝の PHR を⾃由に取り扱える状態を保証することが望ま661

しい。また、保護者による⼩児・乳幼児の PHR 管理に代表されるように、⼗分な責任能⼒を持たない利662

⽤者の PHR を代理の者が管理・活⽤できる仕組みや、責任能⼒が認められた後の管理権限の移譲に663

ついても対応できていることが望ましい。

664

PHR は、様々なデバイス・測定者・環境によって測定され、蓄積されていくため、その質は⽟⽯混交と665なる。また、個⼈的な健康管理としての利⽤から医療における利⽤まで幅広い⽤途で⽤いられ、その利666

⽤⽬的によって求められるデータの質が異なる。そのため、PHR サービス事業者は、測定機器、測定⽇

667

時、測定環境など、PHR の発⽣源や取得⽅法、PHR の移動・参照の変遷などをメタ情報（データその668

ものに付帯する情報のこと）として記録し利⽤者が参照できるようにする。また、異なる事業者間でデー

669

タが連携されることも想定し、データ連携の際にはメタ情報も含んで連携できるようにすることが望ましい。

670

これらを通じてデータ及びサービスの質を可視化することが望ましい。

671

PHR サービスは、⾎圧計や活動量計など様々なデータを計測する機器と連携して使⽤されると考えら672れる。計測機器の活⽤に当たっては、⽬的に合った精度の機器を選定すべきである。医療や健康診断、

673

治験を含む臨床研究においては、⼀般に⾼い精度を求めているが、⽇常の健康管理で使うようなケース

674

で同レベルの精度の機器を求めることは利⽤者の負担の増⼤や結果としての測定機会の減少に繋がる

675

可能性もあり、リスクベースアプローチの観点からも避けるべきである。

676

なお、本⼈は、個⼈情報取扱事業者に対し、当該本⼈が識別される保有個⼈データの開⽰を請求677することができ、この場合個⼈情報取扱事業者は、原則として、遅滞なく本⼈が請求した⽅法（電磁的678

記録の提供による⽅法、書⾯の交付による⽅法その他当該個⼈情報取扱事業者の定める⽅法）によ679

り当該保有個⼈データを開⽰しなければならないとされている（個⼈情報保護法 33 条、個⼈情報保680

護法施⾏規則 30 条）。

681

また、本⼈は、⼀定の場合に、個⼈情報取扱事業者に対し、当該本⼈が識別される保有個⼈デー

682

タの訂正、追加、削除、利⽤停⽌⼜は消去を請求でき、⼀定の場合には、個⼈情報取扱事業者は訂683

正等を⾏わなければならない（個⼈情報保護法 34 条、35 条）。

684
685

最低限遵守する事項

686



利⽤者が⾃⾝の PHR を⾃由に閲覧できること。

687



利⽤者の求めに応じて PHR を削除できること。

688



健診等情報を取り扱う場合は、そのエクスポートができること。

689
690

推奨される事項

691



しい。

692
693

PHR の追加・削除・修正・他サービスへの移動を利⽤者⾃⾝が管理できる機能を有することが望ま

PHR の管理に当たっては、データの利活⽤時の判断を容易にするため、データの⼊⼒者、データの694

測定者、データを測定したデバイス、データを測定した環境、外部から取得した場合はデータの由来

695（マイナポータル等）、同意取得の範囲、データの削除や修正が⾏われたことが分かる情報（デー696

タベース上でフラグを⽴てる等を含む）などをメタ情報として記録することが望ましい。

697

健診等情報以外の情報についても、本⼈の求めに応じてデータをエクスポートできることが望ましい。

698



代理⼈等が PHR の管理・活⽤を⾏える機能及び、利⽤者本⼈へ管理機能を移譲する機能を有することが望ましい。

699
700



ことが望ましい。

701
702

管理・閲覧サービスに対するリスクアセスメントを実施し、求めに応じ開⽰できる体制を確保しておく

管理・閲覧サービスに対するリスクマネジメントシステム（PDCA サイクルの設定や体制）を確⽴す

703

ることが望ましい。さらに、管理・閲覧サービスのための組織体制や責任等に⾔及した情報を開⽰す

704

るとともに、そのサービスに対する定期的レビューを⾏うことが望ましい。

705



定期的なレビューの期間は、第 3 者認証を取得しその基準に従うことが望ましい。

706



管理・閲覧サービスに対する利⽤者側の利便性についても配慮することが望ましい。

707（４）PHR サービスにおける個⼈情報の保護・情報セキュリティ

708

考え⽅

709

PHR サービス事業者が個⼈情報取扱事業者に該当する場合10は、その取り扱う PHR の漏えい11、

710

滅失12⼜は毀損13（以下「漏えい等」という。）の防⽌その他の PHR の安全管理のために必要かつ適711

切な措置を講じなければならない（個⼈情報保護法 23 条）。当該措置は、PHR が漏えい等をした

712

場合に本⼈が被る権利利益の侵害の⼤きさを考慮し、事業の規模及び性質、PHR の取扱状況（取713

り扱う PHR の性質及び量を含む。）、PHR を記録した媒体の性質等に起因するリスクに応じて、必要714

かつ適切な内容としなければならない（通則 GL3-4-2）。なお法第 23 条に定める安全管理措置とし715て、個⼈情報取扱事業者が具体的に講じなければならない措置や当該措置を実践するための⼿法の716

例等は、通則 GL10 に記載されている。

717

また、個⼈情報取扱事業者に該当する PHR サービス事業者は、以下の個⼈データの漏洩等の事態

718

が⽣じた場合には、原則として、当該事態が⽣じた旨を個⼈情報保護委員会に報告し、かつ本⼈に通719

知しなければならない（個⼈情報保護法 26 条、個⼈情報の保護に関する法律施⾏規則 7 条）。

720
⼀ 要配慮個⼈情報が含まれる個⼈データ（⾼度な暗号化その他の個⼈の権利利益を保護するために必要な措置を講じたものを除く。以下同じ。）の漏えい等が発⽣し、⼜は発⽣したおそれがある
事態
⼆ 不正に利⽤されることにより財産的被害が⽣じるおそれがある個⼈データの漏えい等が発⽣し、⼜は発⽣したおそれがある事態
三 不正の⽬的をもって⾏われたおそれがある個⼈データの漏えい等が発⽣し、⼜は発⽣したおそれがある事態
四 個⼈データに係る本⼈の数が千⼈を超える漏えい等が発⽣し、⼜は発⽣したおそれがある事態
721
722

情報セキュリティ対策としては、取り扱う情報の要求レベルに応じて、国が定める関連ガイドラインや既723存の法令・ガイドライン（「中⼩企業における組織的な情報セキュリティ対策ガイドライン」を含む。）との724

整合性の確保に留意しながら、⼀定の安全管理⽔準が確保されるようにする必要がある。病歴や健康725

診断結果に加え、ライフログや環境・⽣活情報においても、特に思想や信仰などの利⽤者の信条に関わ726

る情報が含まれていればそれも要配慮個⼈情報となる可能性があり、その収集や利活⽤、情報流通等

727において注意を要する。
なお、PHR サービス事業者が個⼈情報を取り扱うか否かにかかわらず、PHR は本⼈の健康に関する

728

10

PHR サービス事業者が個⼈情報取扱事業者に該当しない場合としては、PHR サービス事業者が個⼈を識別できる情報を取得せずに、利⽤者の端末から送信される利⽤者 ID 等に紐づく形での PHR の管理等のみを⾏う場合などが考えられる。
11
個⼈データが外部に流出することをいう（通則 GL3-5-1-1）。
12個⼈データの内容が失われることをいい、その内容と同じデータが他に保管されている場合や、個⼈情報取扱事業者が合理的な理由により個⼈データを削除する場合は、滅失に該当しない。（通則 GL3-5-1-2）。
13
個⼈データの内容が意図しない形で変更されることや、内容を保ちつつも利⽤不能な状態となることをいう（通則 GL3-5-1-3）。

729

情報であるため、その情報の種別や利⽤⽤途を鑑みて、改ざんにより健康被害が⽣じる懸念が⾼い場

730

合には、改ざん防⽌対策を適切に実施する必要がある。

731

幅広い PHR サービスの特性に応じた必要⼗分な対策を設計するために、⼀律に要求事項を定めること

732

はせず、リスクベースアプローチに基づいた対応を推奨する。⾼リスクな情報を扱う場合や、取り扱う情報

733

量や利⽤者数が多いなど社会的な影響が⼤きい場合には、別添２を参考にリスクマネジメントを実施す

734ることを推奨する。

735
736

総務省「情報銀⾏における健康・医療分野の要配慮個⼈情報の取扱いに係わる⽅針（2023年7737⽉）」26⾴及び情報信託機能の認定スキームの在り⽅に関する検討会「資料18－2 情報信託機能738の認定スキームの在り⽅に関する検討会 とりまとめ（案）」3⾴を参考とした情報の分類の⼀例を以下739に⽰す。なお、本ガイドラインにて追加した部分は太字下線表記とした。定義は⽤語集を参照されたい。

740
741
742

※ここに記載した具体例、求められるセキュリティ⽔準は⼀つの例であり、具体的なサービス提供時には、その内容と想定されるリスクに応じた対応が求められる。

743
744
745

利便性とセキュリティはトレードオフの関係となることも多いため、他項で記載の通りサービスの運⽤に際746

して利⽤者への明⽰的な説明と同意を得ることが重要である。セキュリティ対策の妥当性と限界について、747

利⽤者が正しい理解と明⽰的な合意のもと PHR サービスを選択・利⽤できるよう、PHR サービス事業者

748

からのリスクの明確な提⽰が重要である。特に健診等情報を取り扱う PHR においては、国の提⽰する

749

PHR 指針におけるチェックリストを参照することが求められる。健診等情報を取り扱わない PHR サービス

750

事業者においても、国の PHR 指針を参照の上で、対応可能な点については対応することが望ましい。

751

PHR サービスの利⽤に当たっては、パソコン・スマートフォンなどの広く普及した端末での利⽤が想定さ752れる。これらの端末に備わっているセキュリティを⽤いることができる場合には、PHR サービス側でさらに本

753

⼈認証などを付加することは利便性を損なうことにもなり得るため、端末の標準的なセキュリティを⽤いる

754

ことは合理的である。

755

PHR サービスの普及・発展においては利便性が極めて重要であることから、過度なセキュリティ対策に

756

よって、そのコストが PHR サービス利⽤者に転嫁されたり、PHR サービス利⽤者の利便性が損なわれたり757することがないように留意すべきである。

758
759

【情報セキュリティ事故等発⽣時における義務と責任】

760

1. 危機対応義務

761「個⼈データの漏えい等の事案が発⽣した場合等の対応について(平成 29 年個⼈情報保護委員

762

会告⽰第 1 号)」を参考に、必要な対策を講ずることが望まれる。

763

2. ⺠事責任764

情報漏洩等のセキュリティ事故が発⽣し、PHR サービス利⽤者等に被害が⽣じると、PHR サービス765

利⽤者等は PHR サービス事業者に対し、契約責任⼜は不法⾏為責任に基づき損害賠償を請求

766

することがある。契約責任の場合、PHR サービス事業者がいかなる債務を負っていたのかという、委767

託契約(サービス提供契約等)の解釈問題となる。また、不法⾏為責任の場合、PHR サービス事768

業者の過失の存否等が問題になる。

769

3. 情報の提供

770

PHR サービス事業者は何らかの情報セキュリティ事故が発⽣した場合、個⼈情報保護法に従って771

個⼈情報保護委員会に報告し、かつ本⼈に通知する必要がある場合があり、それ以外の場合で772も、発⽣した情報セキュリティ事故に関する情報と PHR サービス利⽤者に対する影響を速やかに

773

PHR サービス利⽤者へ提供すべきである。

774

4. 善後策・再発防⽌策

775

事業者は、発⽣した情報セキュリティ事故について、速やかに善後策を講じなければならない。さらに、776発⽣した情報セキュリティ事故⾃体に対応するための施策を講ずるに留まらず、同様の情報セキュリ

777

ティ事故が以降発⽣しないように再発防⽌策を検討することが求められる。

778
779

【第三者認証等の取得】

780

PHR サービス利⽤者等が適切な PHR サービスを選択するに当たっては、第三者認証の取得も有効781である。情報セキュリティに係る公的な第三者認証として、プライバシーマーク認定⼜は ISMS 認証、セキ

782

ュリティ管理に係る内部統制保証報告書などがある。特にマイナポータルに接続する事業者や要配慮個

783

⼈情報を取り扱う PHR サービス事業者などは、情報セキュリティに係る第三者認証の取得が求められる。

784
785
786

【リスクアセスメントにおける留意事項】
リスクアセスメントにおいては、取扱い情報の種別（健診等情報、その他の要配慮個⼈情報、個⼈

787

情報、ライフログ、環境情報等）、取り扱う情報量・利⽤者数、マイナポータル API との接続の有無、他

788のシステムとの直接のデータ連携の有無、PHR サービス利⽤者からの⼊⼒の有無などを総合的に判断し、

789

過度なリスク対応のために過剰なコストが PHR サービス利⽤者に転嫁されることのないように留意すべき790である。なお、健診等情報を取り扱う PHR サービス事業者については、国の PHR 指針を参照することと

791

する。

792
793

【従業者の監督】

794

PHR サービス事業者が個⼈情報取扱事業者に該当する場合は、その従業者に個⼈データを取り扱

795

わせるに当たっては、当該個⼈データの安全管理が図られるよう、当該従業者に対する必要かつ適切な796

監督を⾏わなければならない（個⼈情報保護法 24 条、通則 GL3-4-3）。

797
798

【個⼈情報管理への委託】

799

PHR サービス事業者が個⼈情報取扱事業者に該当する場合は、個⼈データの取扱いの全部⼜は

800

⼀部を委託する場合は、その取扱いを委託された個⼈データの安全管理が図られるよう、委託を受けた

801者に対する必要かつ適切な監督を⾏わなければならない（個⼈情報保護法 25 条）。PHR サービス802

事業者は、適切な委託先の選定を⾏うとともに、監督義務を果たすため、上記の委託先と適切な内容

803の委託契約を締結する（通則 GL3-4-4）。

804
805

【クラウドサービスの利⽤】

806

PHR サービス事業者は、PHR サービスを提供するに当たって、別の事業者が提供する IaaS、PaaS、

807

BaaS 等のクラウドサービスを利⽤することが考えられる。適切なクラウドサービスを利⽤することにより、情808

報セキュリティの向上とコスト削減が実現される。クラウドサービス利⽤時の責任分担については、責任共809

有モデル14（共同責任モデル）が⼀般に採⽤されている。なお⼤まかなデータ所在地（分散管理をして810いる場合にはそのそれぞれについて）や準拠法及び管轄裁判所を利⽤者に⽰すことが望ましい15。

811
812

【匿名加⼯情報等の作成及び利⽤】

813

PHR サービス事業者が個⼈情報取扱事業者に該当する場合は、個⼈データの第三者提供に当たっ814ては、利⽤者に対して、同意に係る判断に必要と考えられる合理的かつ適切な範囲の内容を明確に説815

明した上で、明⽰的な同意を取得することが原則である（通則 GL3-6-1）。ただし、PHR サービス事
14

クラウドサービス事業者がクラウドサービスのセキュリティに対する責任を負い、PHR サービス事業者はクラウドサービス内におけるセキュリティに対する責任を負う、といったクラウドサービスのセキュリティにおける基本的な考え⽅。
15
個⼈情報保護法及び総務省・経済産業省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン
第 1.1 版」等、関連する法令・ガイドライン等を参照の上で適法に対応すること。

816

業者が匿名加⼯情報を作成し、かつ、あらかじめ第三者に提供される匿名加⼯情報に含まれる個⼈に817

関する情報の項⽬及びその提供の⽅法について公表し、本⼈の同意を得ることなくこれらの情報を第三818

者に提供することも考え得る16。また、PHR サービス事業者が匿名加⼯情報や仮名加⼯情報を作成し819た上で利⽤する場合も考えられる。この際には、個⼈情報保護法及び同法に関する規制や「個⼈情報820の保護に関する法律についてのガイドライン（仮名加⼯情報・匿名加⼯情報編）」等のガイドラインを821

遵守する必要がある。仮名加⼯情報取扱事業者や匿名加⼯情報取扱事業者に該当する PHR サー

822

ビス事業者についても、これらを遵守する必要がある。

823
824
825

推奨される事項826① 個⼈情報の正確性の担保等

827

PHR サービス事業者が個⼈情報取扱事業者に該当する場合は、利⽤⽬的の達成に必要な範囲内

828において、個⼈データに該当する PHR を正確かつ最新の内容に保つとともに、利⽤する必要がなくなった

829

ときは、当該 PHR を遅滞なく消去するよう努めるものとする（個⼈情報保護法 22 条）。その際には、830

データを単に削除するだけでは第三者へ漏洩し悪⽤される可能性があることから、復元不可能な⼿段で831削除することが望ましい。復元不可能な削除⽅式については、総務省「地⽅公共団体における情報セ832

キュリティポリシーに関するガイドライン」等を参照いただきたい。
なお、消去とは当該データを個⼈データとして使えなくすることであり、当該データを削除することのほか、

833
834

当該データから特定の個⼈を識別できないようにすること等が含まれる（通則 GL3-4-1）。

835
836

② 個⼈情報に係る規定の整備
PHR サービス事業者は、PHR の安全管理に係る基本⽅針として、以下の事項を運⽤管理規程に

837
838

含めることが望ましい。

839

本ガイドライン、提供事業者指針及び医療情報安全管理指針の遵守840



個⼈情報保護法やその他最新の関連法令等の遵守841



個⼈情報に関して他の情報と区別した適切な管理842



情報セキュリティに関する基本⽅針等の情報セキュリティポリシーの策定と公開

843



情報セキュリティポリシーの遵守を担保する組織体制の構築

844
845

③ 委託契約の締結

846

委託契約には、当該個⼈データの取扱いに関する、必要かつ適切な安全管理措置として、委託元、

847

委託先双⽅が同意した内容とともに、委託先における委託された個⼈データの取扱状況を委託元が合848

理的に把握することを盛り込むことが望ましい（通則 GL3-4-4）。また、PHR サービス事業者と委託先

16

なお、仮名加⼯情報（個⼈情報保護法 2 条 5 項）については、第三者提供が基本的に禁⽌されている（個⼈情報保護法 41 条 6 項、42 条 1 項）

849

は、障害が⽣じた場合等の責任分担について、契約で規定することが望ましい。

850
851

④ 定期的な情報セキュリティ対策の⾒直し

852

PHR サービス事業者は、情報保護に関する技術が⽇々進歩していることを踏まえ、定期的に情報セ853

キュリティ対策を⾒直して改善することが望ましい。なお適切なクラウドサービスを利⽤することで、クラウド

854

サービス側にて最新の情報セキュリティ対策を実施するなど、⾒直しのコストが低減することも期待される。

855

856

（５）リコメンドの⽅法（有効性・安全性の確保）

857

考え⽅

858
859

PHR サービスにおけるリコメンドとは、スマートフォン等のアプリケーションを介して、記録管理された個⼈の保健医療情報に基づいて、⽣活習慣改善等に向けた推奨を⾏うことである。

860

医⾏為が誤って提供されると、有効でないばかりか、健康を害する危険もある。医師法 17 条は、「医861

師でなければ、医業をなしてはならない」と定めている。「医業」とは、医⾏為を、反復継続する意思をもっ862て⾏うことであると解されており、医師でない PHR サービス事業者が医業をなした場合には違法となる。ま

863

た、保健師助産師看護師法に基づき、看護師でない者は傷病者若しくはじよく婦に対する療養上の世

864

話⼜は診療の補助を⾏うことを業としてはならないとされている（保健師助産師看護師法 31 条、5865条）。そのため、PHR サービスを提供する際には、それが医⾏為や診療の補助に該当しないよう注意す

866

る必要がある。

867

医⾏為や診療の補助の具体例としては、「利⽤者の⾝体機能やバイタルデータ等に基づき、個別の868

疾病であるとの診断を⾏うことや治療法の決定等を⾏うこと」や「傷病や障害を有する者に対し、傷病の869

治療のような医学的判断及び技術を伴う運動／栄養指導サービスを⾏うこと」が挙げられる（厚⽣労870

働省、経済産業省「健康寿命延伸産業分野における新事業活動のガイドライン」2 ⾴）。

871

医師以外の者は、診断を⾏うことはできないため、検査（測定）後のサービス提供については、検査

872（測定）結果の事実や検査（測定）項⽬の⼀般的な基準値を通知することに留めなければならない。

873

また、検査（測定）項⽬が基準値内にあることをもって、利⽤者が健康な状態であることを断定すること

874

は⾏ってはならない（厚⽣労働省、経済産業省「健康寿命延伸産業分野における新事業活動のガイ

875

ドライン」、5 ⾴）。

876

PHR サービス事業者は、医師が⺠間事業者による運動や栄養指導サービスの提供を受けても問題ない

877と判断した者に対し、⾃ら診断等の医学的判断を⾏わず、医師が利⽤者の⾝体機能やバイタルデータ878等に基づき診断し、発出した運動や栄養に関する指導・助⾔に従い、医学的判断及び技術が伴わない

879

範囲内で運動や栄養指導に関するサービスを提供できる（厚⽣労働省、経済産業省「健康寿命延伸

880

産業分野における新事業活動のガイドライン」、2 ⾴。）。なお、PHR サービスは、運動や栄養指導に関881

するものに限定されない。また、①遠隔医療のうち、医師⼜は医師以外の者－相談者間において、情882

報通信機器を活⽤して得られた情報のやりとりを⾏うが、⼀般的な医学的な情報の提供や、⼀般的な883

受診勧奨に留まり、相談者の個別的な状態を踏まえた疾患のり患可能性の提⽰・診断等の医学的判

884

断を伴わない⾏為、②社会通念上明らかに医療機関を受診するほどではない症状の者に対する経過885

観察や⾮受診の指⽰、及び③患者の個別的な状態に応じた医学的な判断を伴わない⼀般的な受診

886

勧奨については、遠隔健康医療相談として医師以外の者が⾏うことができると解されている（厚⽣労働887

省「オンライン診療の適切な実施に関する指針」、5-6 ⾴）。この点、遠隔健康医療相談の該当性につ888

いて、厚⽣労働省の「『オンライン診療の適切な実施に関する指針』に関するＱ＆Ａ」の QA19 では、①889

及び②の点について、「あらかじめ医師の監修の下で策定されたマニュアル等に従い、年齢、性別、⾝⻑・890

体重（BMI）といった相談者の属性や症状（発症時期、痛みの程度等）を踏まえ、⼀般的に可能891

性があると考えられる疾病についての情報提供や、採⾎や⾎圧等の検査（測定）項⽬に係る⼀般的892な基準値についての情報を提供することが可能です。また、医学的判断を要さずに社会通念上明らかに

893

医療機関を受診するほどではないと認められる症状の者に対して経過観察や⾮受診の指⽰を⾏うこと、

894

患者の個別的な状態に応じた医学的な判断を伴わない⼀般的な受診勧奨を⾏うことが可能です。」と895説明されている。加えて、当該 QA19 は、遠隔健康医療相談として医師以外も可能な⾏為の具体例

896について、以下のとおり説明している。

897
【具体例】
（１）腰痛の相談に対し、①

あらかじめ医師の監修の下で策定されたマニュアル等に従い、重篤な疾病を疑うべき患者の属性（⾼齢者等。以下同じ。）や症状等（発熱、脱⼒等。以下同じ。）がないかを確認し、発熱と両⾜に⼒が⼊らないと説明する患者に対して、「⼀般に、腰痛の場合、原因が明らかではない
腰痛も多いのですが、発熱と両⾜の脱⼒といった神経症状を伴うような腰痛の場合には、感染を伴った腰痛である可能性もあります。」と伝える⾏為 → 遠隔健康医療相談（医師以外も可能）②

あらかじめ医師の監修の下で策定されたマニュアル等に従い、重篤な疾病を疑うべき患者の属性や症状等がないかを確認し、発熱と両⾜に⼒が⼊らないと説明する患者に対して、①を伝えた
上で、「⼀般に、こういった感染を伴った腰痛である可能性がある場合は、早期に医療機関に受診することをおすすめします。」と伝える⾏為 → 遠隔健康医療相談（医師以外も可能）③

あらかじめ医師の監修の下で策定されたマニュアル等に従い、重篤な疾病を疑うべき患者の属性や症状等がないかを確認し、そのような症状等はなく、もともと腰痛持ちであり、歩⾏は可能であると説明する患者に対して、「かかりつけの整形外科にかかることをおすすめしますが、受診までに湿布や解熱鎮痛剤を使⽤して様⼦をみることも考えられます。なお、湿布や解熱鎮痛剤の使⽤に際しては薬剤師・登録販売者の指⽰や注意事項等をよく聞いて使⽤してください。」と伝える
⾏為 → 遠隔健康医療相談（医師以外も可能）④

数⽇前に軽い作業後に腰痛があったが、既に痛みが収まって数⽇経ち、重篤な疾病を疑うべき
属性や症状等がなく、既往歴やその他の異常がない患者に対して、経過観察の指⽰をすること→ 遠隔健康医療相談（医師以外も可能）⑤「あなたは⾻折です。」や「あなたは椎間板ヘルニアの可能性があります。」と判断して伝える⾏為→ 診断（遠隔健康医療相談では実施できない）（２）⾼⾎圧の相談に対し、①①「⽇本⾼⾎圧学会の診断基準では収縮期⾎圧が 140mmHg 以上、または拡張期⾎圧が90mmHg 以上の場合を⾼⾎圧としています。」と伝える⾏為 → 遠隔健康医療相談（医師以外も可能）②①を伝えた上で、「⾼⾎圧が気になる場合には、まずは循環器内科等の内科を受診してください。」と伝える⾏為 → 遠隔健康医療相談（医師以外も可能）③

⽇本⾼⾎圧学会の診断基準に照らし⾼⾎圧に該当せず、その他の異常がない患者に対して、経過観察の指⽰をすること → 遠隔健康医療相談（医師以外も可能）④「あなたは⾼⾎圧症です。」と判断して伝える⾏為 → 診断（遠隔健康医療相談では実施でき
ない）

898
899

PHR サービスの第⼀義的な⽬的は利⽤者の健康増進であり、PHR を蓄積・可視化することや、それ900らをもとに実施されるリコメンドが、「利⽤者の⼼⾝の健康を改善するものであること」「安全なものであるこ

901と」が求められる。PHR サービスの適切な普及推進において、「PHR サービスの拡⼤」とリコメンド機能の902

安全性・有効性確認のための「医療との連携」の両⽴が⼤切となる。そのためには、「安全性を確保でき903る仕組み」や「医療者との連携が必要な範囲」を提⽰することが重要である。

904

PHR サービスにおけるリコメンド機能の提供に当たっては、医療機器はもとより、⾮医療機器である場

905

合においても、リコメンド機能の裏付けとなった科学的なエビデンスの提⽰や、医学的な監修の取得など

906

により、有効性・安全性の確保に努めるべきである。

907

サービス提供時点で⼗分なエビデンスを認めないものは、エビデンスが⼗分でない等の表⽰や他の根拠908表現をし、データを蓄積し、有効性、安全性の検証に努めることが望ましい。なお、プログラム医療機器は、

909

承認取得にエビデンスが必須である。加えて、事業者が⾃⼰の供給する役務の取引について、その品質、910

規格その他の内容について、⼀般消費者に対し、実際のものよりも著しく優良であると⽰す表⽰⼜は事911

実に相違して当該事業者と同種若しくは類似の役務を供給している他の事業者に係るものよりも著しく

912

優良であると⽰す表⽰は、「不当表⽰」に該当するものとして禁⽌されていることに留意する必要がある

913（不当景品類及び不当表⽰防⽌法 5 条）。これ以外にも、不正競争防⽌法の誤認惹起⾏為（不914

正競争防⽌法 2 条 1 項 20 号）、薬機法上の虚偽誇⼤広告の禁⽌（薬機法 66 条 1 項）や承915

認前の医療機器の広告の禁⽌（薬機法 68 条）等の表⽰に関する規制が PHR サービスについての916

表⽰に関係し得る。

917

PHR を⽤いて国⺠・社会の適切な健康増進を促すためには、リコメンド機能利⽤時においても、必要に918応じて医療が活⽤されることも⼤切である。利⽤者がすでに医療機関を受診している場合は、医療者

919（かかりつけ医等）に相談の上での利⽤を推奨すべきである。多種多様な PHR サービスが創出される

920

中で、PHR に関する情報が過多となり、適切な PHR サービスの選択の妨げになる場合が想定される。そ921のため、個⼈にとって望ましいリコメンド機能の選択に際して、必要に応じて医療者（かかりつけ医・⻭科

922

医・コメディカル等）のアドバイスを受けながら選択することを促すことも触れておくとよい。また、リコメンド機

923

能利⽤時に有害事象が起こるリスクを考慮して、必要に応じて受診を促すことが望ましい。医療者側が924

個々の PHR サービスに対する理解を深めるために、PHR サービス事業者は、医療者に情報共有をする

925

ことも検討すべきである。

926

なお、リコメンド機能の⽬的が、疾病の診断・治療・予防に使⽤されること、⼜は⼈の⾝体の構造や機927

能に影響を及ぼすことである場合は、PHR を扱うプログラムが薬機法上の医療機器（⼀部の疾病診断

928

⽤プログラム、⼀部の疾病治療⽤プログラム及び⼀部の疾病予防⽤プログラム）に該当する可能性があ929

る（薬機法 2 条 4 項、同法施⾏令 1 条、別表第 1、厚⽣労働省「プログラムの医療機器該当性に930

関するガイドライン」）。PHR を扱うプログラムが医療機器に該当する場合には、薬機法の規定を遵守す

931

る必要がある。例えば、プログラム医療機器の製造販売については厚⽣労働省による製造販売承認⼜

932

は第三者機関による製造販売認証を得なければならない。具体的なプログラムの医療機器の該当性や

933

プログラムの医療機器の取扱いについては、厚⽣労働省「プログラムの医療機器該当性に関するガイドラ

934

イン」及び薬⾷機参発 1121 第 33 号、薬⾷安発 1121 第 1 号、薬⾷監⿇発 1121 第 29 号「医935

療機器プログラムの取扱いについて」をご参照いただきたい。

936
937

最低限遵守する事項

938

PHR サービスを提供する際には、それが医⾏為や診療の補助に該当しないよう注意する必要があ939

る（医⾏為や診療の補助の具体例は、V.1.（５）リコメンドの⽅法（有効性・安全性の確保）

940

を参照のこと）。

941



⽌及び薬機法 68 条の広告規制等、各種の法令を順守する必要がある。

942
943

PHR サービスに関する表⽰については、不当景品類及び不当表⽰防⽌法 5 条の不当表⽰の禁PHR サービスを提供するに当たって、PHR を扱うプログラムを開発・利⽤する際には、場合によって944

は当該プログラムが医療機器に該当し得ること、⼀部の医療機器については製造業の登録や製造945

販売業に許可が必要となることから（薬機法 23 条の 2 第 1 項、23 条の 2 第 3 項）、当該プ

946

ログラムの開発前に当該プログラムが医療機器に該当するか否か検討する必要がある。そして、当947

該プログラムが医療機器に該当する場合には、薬機法上の規定を順守する必要がある。

948
949

推奨される事項

950



リコメンド機能の提供に際しては、関連学会等によるエビデンスがあるものを提供する。最低限の基951

準がある項⽬については、リコメンド機能の質の担保のためにも、その基準を満たしたリコメンドを提952供することが望ましい（例︓特定保健⽤⾷品等）。

953



リコメンド機能の提供に当たっては、医療者等の監修を受けるなどして、有効性・安全性の確保に954努める。有効性、安全性のエビデンスが⼗分でない場合には、データを蓄積し、有効性、安全性の955検証に努めることが望ましい。

956



リコメンドサービスに対するリスクマネジメントシステム（PDCA サイクルの設定や体制）を確⽴することが望ましい。

957
958



リコメンドサービスのための組織体制や責任等に⾔及した情報を開⽰することが望ましい。

959



リコメンドサービスのプロセスやリソース、指導内容の根拠を提⽰すること、及び、リコメンドサービスに960

対する定期的レビューを⾏うことが望ましい。

961
962

＜望ましい例＞

963

・糖尿病など基礎疾患を有するものに対し、運動や栄養の指導に関するリコメンドを提供する場合は、事前にかかりつけ医等に相談することを利⽤規約に明記しておくこと。

964
965
966

＜不適切な例＞

967

・ることなくサービスを提供すること。

968
969

・

病気や障害のある⼈に対して、医師以外が、医学的判断及び技術を伴う内容についてリコメンドサ
ービスを提供すること。

970
971

病気や障害のある⼈に対して、診断等の医学的判断を⾏うアプリを開発し、医療機器認定を受け

・

科学的なエビデンスや医学的な監修が⼗分でないまま、画⼀的に激しい運動についてリコメンドを提供すること。

972
973

・

974

【PHR を活⽤したサービスの具体的な事例】
事例 1 個⼈が健康増進に向けて活⽤するケース
スマートフォンアプリやウェアラブル端末等から⾃動的に記録される歩数や活動量等の情報から、健康増進に向けたリコメンドサービス（運動、⾷事、睡眠等）を提供する。
【解説】昨今、ICT の普及に伴い、歩数、体重などに加え、⾎圧や睡眠等、健康に関わる様々な情報が⾃宅等において測定可能となり、ライフログに基づいた運動や⾷事、睡眠等の⽣活習慣改善に繋がるリ
コメンド機能の普及が期待される。⼀⽅で、こうしたデータに基づくリコメンドの有効性が⼗分に証明されていないものや、データの精度が明らかでないものも多い。リコメンド機能の提供に当たっては、医療機器はもとより、⾮医療機器である場合においても、リコメンド機能の裏付けとなった科学的なエビデンスの提⽰や、「医療者等の監修を受ける」「根拠のある⽂献を参照にする」など有効性・安全性の確保に努めるべきである。
サービス提供時点で⼗分なエビデンスを認めないものは、エビデンスが⼗分でない等の表現や他の根拠表
現をし、データを蓄積し、有効性・安全性の検証に努めることが望ましい。なお、プログラム医療機器は、製造販売承認取得にエビデンスが必須である。
＜リコメンドに対する医師への相談を促す際の表⽰例＞


本サービスからのアドバイスについて、体調で気になることがありましたら、医療機関の受診や定期的な精密検査の受診をしてください。

＜⼀般的な通知機能の例＞


本サービスからのアドバイスは、〇〇のデータ及び△△の基準に基づくものです。今後の研究によりアドバイスが修正されることがありますので、あらかじめご了承ください。

975

事例 2 ⽣活習慣病患者の⽣活習慣改善を⽀援するケース
⽇々の歩数をはじめとした運動、⾷事などの⽣活習慣と体重、⾎圧、⾎糖などを⾃⾝で記録し、そのデータを元にした運動や⾷事内容のリコメンドを⾏う。
【解説】昨今、歩数・体重などに加え、⾎圧や⾎糖値等の⽣活習慣病の指標も⾃宅等において、⾃⾝で測定可能な環境が整ってきた。⽣活習慣病患者に対し、⽇々の歩数・体重・⾷事、⾎圧・⾎糖等のデータに基づいた運動や⾷事等についてのリコメンドは⽣活習慣改善に繋がる PHR サービスとして期待される。糖尿病などの⽣活習慣病を有する場合は、安全性・有効性の観点からかかりつけ医等に相談しながらサービスを利⽤することが望ましい。ただし、PHR サービスが医⾏為や診療の補助に該当する場合は、医療として医師が⾏い、⼜は医師の指導の下で⾏う必要がある。
＜リコメンドに対する医師への相談を促す際の表⽰例＞


あなたが医療機関を受診している場合は、アプリからのアドバイスについて主治医に⼀度、相談してみましょう。



あなたが医療機関を受診していない場合でも、アプリからのアドバイスについては、⼀度医師（かかりつけ医等）にその内容を確認してもらうため、受診することをお勧めします。
⽬的や利⽤者の状態に合わせた（パーソナライズした）リコメンドを提供できるサービスの創出も求められている。疾患の有無を含めて PHR サービス利⽤者は多様な背景を持つことを考慮し、例えば、画⼀的に激しい運動が推奨されることにより、結果として病気の悪化や怪我のリスクを⾼めてしまう
等、個⼈の健康が損なわれることがないよう留意すべきである。
糖尿病の管理等の治療を⽬的として、公的な医療保険を適応してリコメンドサービスを提供する場
合には、薬事承認を取得し医療機器認定されているアプリを使⽤する必要がある。医師が医療機器認定を受けたアプリを⽤いて⾏う場合を除き、リコメンドサービスが医⾏為に該当しないよう留意する。
976
977
事例 3 禁煙指導に活⽤するケース
禁煙外来に通院しながら、保険適⽤となった禁煙治療⽤アプリを使⽤できるようになった。また、⼀般的な禁煙サポートアプリを個⼈として使⽤することも可能である。
【解説】禁煙外来の指導は医⾏為であり、医師によって⾏われる。当該指導を公的な医療保険を適⽤して提供する場合には、薬事承認を取得し医療機器認定されているアプリを使⽤する必要がある。それ以外の禁煙にむけた⼯夫やモチベーション向上に関することについては、医療機器認定されていないアプリによるライフログを活⽤した PHR サービスを使⽤することが可能である。
978

979
事例 4 災害時における治療内容の確認や治療継続の⽀援に活⽤するケース
災害時に内服薬がなくなってしまった場合、PHR を参照することで、救護所やかかりつけでない医療機
関でも迅速かつ正確に処⽅を確認し、治療の継続が可能となる。
【解説】災害時の治療内容の確認と継続⽀援は PHR のメリットの⼀つである。緊急時に最低限の本
⼈確認が実施される条件で事前の説明と同意があれば、必要な保健医療情報（アレルギー、内服薬、既往歴等）を確認することができ、本⼈の利益につながる医療を提供することができる。
なお、⼈の⽣命、⾝体の保護のために必要がある場合であって、本⼈の同意を得ることが困難である
ときには、本⼈の同意がなくとも個⼈データの第三者提供は認められる（個⼈情報保護法 27 条 1
項 2 号）。しかし、このような個⼈情報保護法上の例外に該当するか判断に迷う状況も想定されることから、あらかじめ、災害時の情報提供先（救急隊員、医療機関、DMAT 隊員等）や提供する情報の内容等について検討し、具体的に「説明と同意」を得ておくことが望ましい。
980
981
事例 5 救急時における治療内容の確認や医療者への情報提供に活⽤するケース
救急搬送時や救急医療機関へ受診した際、救急隊員や搬送を受け⼊れた医療者が PHR を確認し、普段のバイタルサイン（⾎中酸素飽和度、⼼拍数、⾎圧、体温など）、既往歴、内服薬、⾎糖値などを把握することができれば、救急医療の質の向上に繋がり、患者へのメリットとなる。在宅⽤の医療機器等を普段から使⽤している場合、その設定も医療者が確認することができる可能性がある。
【解説】救急時は意識がない状態で搬送されることもあるなど本⼈との意思疎通が難しい場合も多く、また個⼈情報保護法上の例外に該当するか判断に迷う状況も想定されるため、閲覧権限等は事前に「説明と同意」を得ておくことが望ましい。参照可能なデータの範囲を事前に本⼈が指定できるよ
うにしておくことも必要である。
982
983
事例 6 職場（産業保健領域）で活⽤するケース
従業員の健康診断結果やメンタルヘルス情報（ストレスチェック等）を本⼈の同意の下で PHR として活⽤することで、本⼈の健康増進、⽣活習慣病の改善に繋がるほか、産業医が復職判定や就業措置を⾏う際等にも活⽤することができる。
【解説】職場での健康情報も PHR として活⽤が可能である。ただし、PHR としての活⽤は本⼈の意思のもとで本⼈の健康増進や職場の環境改善のために⾏われることが前提であり、その情報の扱いは慎重に⾏う必要がある。

原則として、職場における健康情報の保存責任者は事業者（契約関係のある事業主及び健診実施機関等）であり、産業医や産業保健師が責任を持って管理をしなければならず、健診結果等が直接の上司などの第三者に閲覧可能な状態で渡されるようなことがあってはならない。状況に応じて衛⽣管理者をはじめとする他の産業保健スタッフが健康情報を取扱う場合があるが、この場合、関係する全ての⼈々に守秘義務があることを認識させるべきである。このことは事業者の責務である。また、
当該事業者は、その事業場における⼼⾝の状態の情報の適正な取扱いのための規程を策定する必要がある（平成 30 年 9 ⽉ 7 ⽇労働者の⼼⾝の状態に関する情報の適正な取扱い指針公⽰第1 号）。事業場に送られてくる全ての従業員の健康管理情報は、産業医がいる事業場においてはま
ず産業医に届くようにすべきであり、本⼈の上司や⼈事・労務担当者が直接受け取るシステムになっている場合は、これを抜本的に改善しなければならない。
984
985


事例 7 睡眠改善に活⽤するケース
睡眠に関するデータはアンケートなどの個⼈記録によるものや、ウェアラブルセンサー等によるライフログとして記録されるものがある。それらのデータを基にした PHR サービス事業者からのリコメンドによって⾃ら
睡眠習慣の改善を試みたり、産業医と勤務時間や就業形態などの相談を⾏なったりできるようにしてもよい。また、睡眠時無呼吸症候群などが疑われるデータの場合、医師による診断や早期治療に繋げるために、医⾏為に該当しない範囲で受診を勧めてもよい。
【解説】ライフログデータを活⽤した PHR サービスによって改善が期待されるものの⼀つに睡眠がある。睡眠パターンなどの記録から、⼊眠時刻、起床時刻に加えて、⼊眠前の⾷事・アルコール摂取や運動等の⽣活習慣についてのリコメンドがあってもよい。ただし、睡眠障害に対する内服治療が求められる場合や、睡眠時無呼吸症候群の診断が求められる場合は受診を促すにとどめ、診断を含む医⾏為を⾏ってはならない。
＜リコメンドに対する医師への相談を促す際の表⽰例＞


あなたが医療機関を受診している場合は、アプリからのアドバイスについて主治医に⼀度、相談してみましょう。あなたが医療機関を受診していない場合でも、アプリからのアドバイスについては、⼀度医師（かかりつけ医等）にその内容を確認してもらうため、受診することをお勧めします。



本サービスからのアドバイスについて、体調で気になることがありましたら、医療機関の受診や定期的な精密検査の受診をしてください。

＜⼀般的な通知機能の例＞


本サービスからのアドバイスは、〇〇のデータ及び△△の基準に基づくものです。今後の研究によりアドバイスが修正されることがありますので、あらかじめご了承ください。

986
987
事例 8 内服薬の管理や服薬⽀援に活⽤するケース
PHR に本⼈の薬剤情報（処⽅薬、アレルギー歴など）を記録することで、内服薬の重複や併⽤禁忌がないかをチェックし、フィードバックすることができる。また、内服記録を⾏うことで、⼿持ちの内服薬の残量も把握でき、服薬⽀援や処⽅薬の調整を⾏いやすくなる。
【解説】PHR に本⼈の薬剤情報が記録されることで、医師、薬剤師、看護師が本⼈に合わせた処⽅や服薬指導ができるようになる。他の医療機関に受診・⼊院する際も、処⽅内容が把握しやすい
ため、医療の継続性が担保されるほか、無駄な処⽅を減らすことができる。そのためには、参照する薬剤データや参照⽅法は標準化されている必要がある。
988
989
事例 9 地域包括ケアで活⽤するケース
PHR によって本⼈の⽇々の状態（体重、⾷事、排便、体温、⾎圧等）を記録し、本⼈・家族が承認した範囲でかかりつけ医、訪問看護ステーション、介護施設の担当者等が参照することができるよ
うにすることで、多職種で共有が必要な情報を⾒逃さないようなサービスが提供されてもよい。
【解説】ライフログや PHR は本⼈あるいは法定代理⼈等の同意のもと、関係者間で閲覧されてもよい。ただし、原則として、個⼈データを第三者に提供してはならないため、あらかじめ書⾯で「閲覧する対象者及び内容」について具体的に説明し、同意を得ておく必要がある。
990
991
事例 10 ⺟⼦保健で活⽤するケース
産後のサポートを⾏うアプリ等を活⽤し、産後うつなどの症状が⾒られた場合に、医⾏為に該当しない範囲で地域のサポートを得るようにリコメンドを⾏っても良い。また、本⼈（未成年者、成年被後⾒⼈、被保佐⼈及び被補助⼈が判断できる能⼒を有していないなどの場合は、親権者等）の同意が得られていれば、⾏政と連携して、早期の⽀援に繋げてもよいだろう。
【解説】出産前の妊婦検診の結果、出産後の新⽣児／乳児の発達や⺟の状態（⾝体的、精神的な指標）を医療機関や⾏政（⺟⼦保健部⾨）と共有し、必要な⽀援が提供されるような取り組
みである。乳幼児健診の結果が PHR に反映されるとともに、養育者によってこどもの⾝体発育や運動発達、精神発達などの指標を記録していくことで、適切な⽀援（養育サポートや⼦育て⽀援、事故予防）を受けられるようにリコメンドをしてもよい。
992

993
事例 11 ワクチン接種において活⽤するケース
かかりつけ医等が提供するワクチンスケジューラーで予約をすると、「問診も PHR 上の過去の記録から転載された上で予約され、ワクチンが予約状況に従って納⼊される」、「接種当⽇は、接種記録がPHR に反映されるとともに、定期接種のワクチンであれば実施記録が⾏政へも報告される」といったサービスも有⽤と思われる。
【解説】ワクチン接種は、個⼈のライフステージに合わせて管理されるべきものであり、かつ、接種履歴や副反応の管理など正確な接種情報を⾏政や医療機関等と共有することが求められるため、PHR サービスの活⽤が期待される分野の⼀つである。医療と物流、⾏政が連動するようなシステムが構築されてもよい。ワクチンスケジューラーのように予定をリコメンドする機能とともに、PHR として接種記録（Lot 番号を含む。）が保存されてもよい。新型コロナウイルス感染症対策として、今後期待されるワクチン接種の普及に当たっても活⽤が期待される。⼩児期・学童期のワクチン接種歴を⼤学⼊学時や成⼈後に確認するに当たっても PHR サービスの活⽤が有効である。
994
995
事例 12 PHR サービスの利活⽤を⽀援するケース
PHR サービス事業者が利⽤者に対してマイナポータルからデータを⼊⼿して⽇々の健康増進に役⽴てることを促したり、健康情報を収集・活⽤することを助⾔したりするサービスを提供する。
【解説】PHR サービスとして活⽤できるデータが数多く存在し、今後も増加すると思われるが、⼗分に活⽤しきれていないのが現状である。利⽤者が活⽤できるデータの存在を提⽰し、その活⽤のためのデータ出⼒の仕⽅を助⾔する等のサービスが提供されてもよい。同時に、そのデータを活⽤することによって得られる利⽤者のメリットや活⽤時の留意点を提⽰することも望ましい。
996
997


事例 13 ⽇常の環境・⽣活に関係する情報を健康増進に活⽤するケース
⾏動歴・購買歴・その他の情報（環境、気温、天気等）を含めた⽇常の⽣活情報を、PHR として個⼈の健康管理・増進に活⽤するサービスを提供する。
【解説】スマートフォンやウェアラブル端末の普及により、⽇常の⽣活情報（⾏動履歴・旅⾏歴・購買情報等）や気温・天気を含む環境情報等を⽤いて、個⼈の健康管理・増進に向けたリコメンドを
⾏うサービスの提供が想定される。⽇常の⽣活情報を活⽤することで、より個々に最適化されたリコメンドが提供できる可能性があり、さらに新たな医学的エビデンスの創出が期待される。⼀⽅で、⽣活や環境に関する情報には、思想や信仰などの利⽤者の信条に関わる要配慮個⼈情報が含まれる可能性があるため、「個⼈情報」と「プライバシー」の保護に⼗分に留意したサービスとされるべきである。

＜リコメンドに対する医師への相談を促す際の表⽰例＞


本サービスからのアドバイスについて、体調で気になることがありましたら、医療機関の受診や定期的な精密検査の受診をしてください。

＜⼀般的な通知機能の例＞


本サービスからのアドバイスは、〇〇のデータ及び△△の基準に基づくものです。今後の研究によりアドバイスが修正されることがありますので、あらかじめご了承ください。

998
999
事例 14 COVID19 等の新興感染症対策としての健康観察での活⽤ケース
COVID-19 等の新興感染症対策として、⾃宅で熱や呼吸器症状・倦怠感等の健康状況を記録し、保護者や保健所職員その他の健康管理者と情報共有するサービスを提供する。
【解説】COVID-19 のクラスター対策においては、⾃宅やホテル等の病院外での健康観察の効率的な仕組みの構築が喫緊の課題である。感染症対策での観察項⽬は⽇常の健康観察の延⻑線上にある。PHR に COVID-19 特有の観察項⽬を収集できるように拡張することで、効率的に COVID19 に関する病院外での健康観察を実施できる。保健所が実施する積極的疫学調査への協⼒のみ
ならず、感染症の早期発⾒や⾃発的な⾃宅隔離により、感染蔓延防⽌に寄与することが可能となる。データの第三者提供を伴う場合は、同意取得と個⼈情報保護に⼗分に留意したサービスとする必要がある。
1000
1001
1002

（６）他の事業者・第三者へのデータ提供

1003

考え⽅

1004

１（１）で論じたように、個⼈データの第三者提供を⾏うためには、原則として、事前に本⼈の同意を1005取得する必要がある（個⼈情報保護法 27 条）。しかしながら、以下の場合には、例外的に本⼈の同1006

意のない個⼈データの第三者提供が認められる（個⼈情報保護法 27 条 1 項）。

1007
1008
⼀ 法令に基づく場合
⼆ ⼈の⽣命、⾝体⼜は財産の保護のために必要がある場合であって、本⼈の同意を得ることが困難であるとき。
三 公衆衛⽣の向上⼜は児童の健全な育成の推進のために特に必要がある場合であって、本⼈の同意を得ることが困難であるとき。
四 国の機関若しくは地⽅公共団体⼜はその委託を受けた者が法令の定める事務を遂⾏することに対して協⼒する必要がある場合であって、本⼈の同意を得ることにより当該事務の遂⾏に⽀障を及ぼすおそれがあるとき。
五 当該個⼈情報取扱事業者が学術研究機関等である場合であって、当該個⼈データの提供
が学術研究の成果の公表⼜は教授のためやむを得ないとき（個⼈の権利利益を不当に侵害するおそれがある場合を除く。）。
六 当該個⼈情報取扱事業者が学術研究機関等である場合であって、当該個⼈データを学術研究⽬的で提供する必要があるとき（当該個⼈データを提供する⽬的の⼀部が学術研究⽬的である場合を含み、個⼈の権利利益を不当に侵害するおそれがある場合を除く。）（当該個⼈情報取扱事業者と当該第三者が共同して学術研究を⾏う場合に限る。）。
七 当該第三者が学術研究機関等である場合であって、当該第三者が当該個⼈データを学術研究⽬的で取り扱う必要があるとき（当該個⼈データを取り扱う⽬的の⼀部が学術研究⽬的である場合を含み、個⼈の権利利益を不当に侵害するおそれがある場合を除く。）。
1009
1010
1011

また、以下の場合には、そもそも「第三者」への個⼈データの提供に該当しない（個⼈情報保護法
27 条 5 項）。

1012
1013
⼀ 個⼈情報取扱事業者が利⽤⽬的の達成に必要な範囲内において個⼈データの取扱いの全
部⼜は⼀部を委託することに伴って当該個⼈データが提供される場合
⼆ 合併その他の事由による事業の承継に伴って個⼈データが提供される場合
三 特定の者との間で共同して利⽤される個⼈データが当該特定の者に提供される場合であって、その旨並びに共同して利⽤される個⼈データの項⽬、共同して利⽤する者の範囲、利⽤する者の利⽤⽬的及び当該個⼈データの管理について責任を有する者の⽒名⼜は名称について、あらかじめ、本⼈に通知し、⼜は本⼈が容易に知り得る状態に置いているとき
1014
1015
1016

それ以外にも、個⼈データの第三者提供については、①確認・記録義務が存在すること及び②第三者提供停⽌の請求の制度があることに留意する必要がある。

1017

⾃らデータは収集せずに、既に収集されたデータの提供（データ複製の発⽣を認める。）や預託（デ1018

ータ複製の発⽣を認めない。）を受けて、そのデータに付加価値をつけて利⽤者に提供する PHR サービ

1019

スも考えられる。その際、PHR サービス利⽤者がより⾃⾝のデータを活⽤しやすくなるよう、データ流通につ1020

いてオープンプラットフォーム化されることが望ましい。データの授受にあたり⼀定の対価が発⽣することも考1021

えられるが、PGD の考え⽅に則り、⾼額な対価によって個⼈の意思によるデータの流通が阻害されること

1022のないように留意する必要がある。なお、外国にある第三者に個⼈データを提供する場合の記録義務等

1023の適⽤については取扱いが細かく分かれており、外国にある第三者に個⼈データを提供する場合には、

1024

個⼈情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）を参照すること。

1025

1026

最低限遵守する事項

1027【個⼈情報の第三者提供】

1028

①

同意の取得

1029

1（１）で述べたように、個⼈情報取扱事業者に該当する PHR サービス事業者は、原則として、個1030

⼈情報の第三者提供を⾏う前に本⼈の同意を取得する必要がある。なお、同意の取得⽅法等、具1031

体的な内容については 1（１）を参照されたい。

1032
1033

②

確認・記録義務1034

PHR サービス事業者が個⼈情報取扱事業者に該当する場合は、個⼈情報の第三者提供に当たっ

1035て、個⼈情報保護法及び個⼈情報の保護に関する法律についてのガイドライン（第三者提供時の確1036

認・記録義務編）を遵守する必要がある。

1037

例えば、個⼈データの提供者は、提供年⽉⽇・受領者の⽒名等を記録し、それを⼀定期間保存する

1038

義務を有する（個⼈情報保護法 29 条）。また、受領者は、原則として、提供者の⽒名、取得経緯

1039等を確認し、提供を受けた年⽉⽇・確認に係る事項等を記録し、⼀定期間保存する必要がある（個1040

⼈情報保護法 30 条）。

1041

なお、国の機関等と個⼈データの授受を⾏う場合には確認、記録義務は課されないことに留意する必

1042

要がある（個⼈情報保護法 29 条 1 項、16 条 2 項各号）。上記の通り、個⼈情報取扱事業者が、1043

個⼈データを第三者に提供したときは、基本的に記録を作成しなければならないが、個⼈情報取扱事

1044

業者が本⼈からの委託等に基づき当該本⼈の個⼈データを第三者提供する場合は、当該個⼈情報

1045

取扱事業者は「本⼈に代わって」個⼈データの提供をしているものであって、この場合の第三者提供につ1046

いては、提供者・受領者のいずれに対しても確認・記録義務は適⽤されない（個⼈情報の保護に関す

1047

る法律についてのガイドライン（第三者提供時の確認・記録義務編）2-2-1-1）。

1048
1049

③

第三者提供停⽌の請求

1050

PHR サービス事業者が個⼈情報取扱事業者に該当する場合は、個⼈情報保護法 35 条 3 項に基1051

づき第三者提供停⽌の請求を受け、その請求に理由があることが判明したときは、原則として、遅滞なく、

1052

当該第三者提供を停⽌しなければならない（個⼈情報保護法 35 条 4 項）。

1053
1054

④

医療機関に該当する PHR サービス事業者による PHR の提供

1055

医療機関に該当する PHR サービス事業者が、第三者提供を含めた個⼈情報の取扱いをする際には、

1056

個⼈情報保護法及び各種ガイドラインに加え、医療・介護関係事業者における個⼈情報の適切な取1057扱いのためのガイダンスを参照する必要がある。

1058※情報銀⾏の指針については、情報信託機能の認定に係る指針 Ver3.0 を参照のこと

1059

1060

推奨される事項1061

・

事業者の Web サイトやパンフレット等で公開すること

1062
1063
1064
1065

匿名加⼯情報を第三者提供する場合、提供内容を説明しておくこと、提供先など取扱いを適宜、・改正次世代医療基盤法（医療分野の研究開発に資するための匿名加⼯医療情報及び仮名
加⼯医療情報に関する法律）等の、法令によって定められた⽅法に従って第三者提供を⾏うこと

1066

２．PHR サービス間のデータ連携に関する考え⽅

1067
本⼈が⽣涯にわたり、⾃⾝の意思で⾃⾝の健康・医療情報を活⽤して健康増進を実現するため

1068
1069

PHR を継続して利活⽤することが期待されている。

1070
1071

多様な PHR サービスの全てを単⼀の PHR サービス事業者が提供し得るとは考えにくく、利⽤者は1072

様々な PHR サービス事業者が提供するサービスの中から最適なものを組み合わせて使⽤することが想定1073される。また⼀⽅で、PHR サービス事業者がサービス内容の変更やサービスを終了する可能性もある。こ1074

うした可能性を考慮すると、サービス利⽤者は、PHR を⾃らの意思で、事業者に捕らわれる事無く保管

1075可能となることが求められる。

1076
1077

しかし現時点では、PHR サービス事業者ごとに個別に作成し運⽤されているサービスそのものを、組織

1078

やビジネスプロセスの壁を越えて連携させることは容易ではない。また PHR サービスによって取り扱うデータ

1079

は多岐にわたり得るため、すべてのデータについて PHR サービス間の連携を強要することはサービス事業

1080

者に過度な負担を強いることになり、現実的ではない。

1081
1082

これらの背景より、利⽤者が PHR を有効かつ継続的に活⽤するために、特に価値が⾼いと考えられる

1083

項⽬について、共通性が担保されたデータフォーマットで他のサービスへ移動・活⽤できる「データポータビリ

1084

ティ」を確保することが望ましい。

1085

具体的には利⽤者が複数 PHR サービスを同時に利⽤したり、サービス終了時に他事業者にて PHR

1086

を継続利⽤したりできるよう、利⽤者が使⽤中の PHR サービスから、ある程度の共通性が担保されたデ1087

ータフォーマットで本⼈が必要な時に⾃⾝の PHR を出⼒可能とすること等（具体的な項⽬や交換規格）1088が考えられる。

1089

また、PHR サービスによっては、データの変更・追加・削除が可能なサービスも存在するため、データの1090

由来や真正性が確認できる情報や同意取得の範囲に関わる情報をメタデータとして保持すること、エクス

1091

ポート時にメタデータと合わせて出⼒することが望ましい。
その際、事業者や関連団体との間でのコンセンサスを得ることで、実効性を持つと考えられる。

1092
1093
1094

PHR サービス事業者は、利⽤者からの信頼を得るためにも、⼀定の社会的合意に基づきサービス利1095

⽤者の不利益が利益を上回ることのないよう、安全性を担保する必要がある。また、サービスの安全性に

1096

ついて利⽤者が理解しやすいように情報提供または開⽰することが望ましい。

1097

観点としては、個⼈情報保護法のもと個⼈情報やプライバシーといった個⼈の権利を侵害しないことや、

1098

情報が漏洩、悪⽤されることを抑⽌する情報セキュリティがある。1717

安全性担保に関しては V.1.（４） PHR サービスにおける個⼈情報の保護・情報セキュリティも参照されたい。

1099

PHR サービス事業者間で連携する場合、サービス連携する PHR の範囲・状況、データ提供先、利⽤

1100

⽬的、PHR サービス事業者の管理・相談体制等などについて、利⽤者が理解しやすいように情報提供

1101

または開⽰することが望ましい。

1102
1103

また PHR サービス事業者が⾃らのサービス連携先を決める際には、少なくとも、連携先サービス事業

1104

者のセキュリティレベルを把握していることが必要である。サービス連携を⾏う事業者間で取り決められたセ

1105

キュリティレベルは、利⽤者に適切に公開されることや利⽤者が適切な PHR サービスを選択できるよう、サ

1106

ービス連携の担保の度合いについて公表したり、第三者による評価が⾏われたりすることで利⽤者の信1107

頼を⾼める等の努⼒が期待される。

1108
1109

３．その他 PHR サービスの普及、質の向上に関連する事項

1110
1111

（１）PHR 利活⽤へのリテラシーの向上

1112

PHR サービス事業者による安全かつ有効な PHR サービスを⽀援するために、PHR 関連団体、関連

1113

医学系学会や医師会等が、患者の個⼈情報の取扱いを担う医療機関や医療者及び PHR サービス事

1114

業者の育成に積極的に関わることが望ましい。具体的には、PHR サービス事業者は、医療者や関連す1115

る団体・学会等に対して、PHR に関する国内外の動向や利活⽤事例、最新の知⾒を提供する等、

1116

PHR 利活⽤の理解を⾼めるような取り組みを⾏うことを⼼がけるべきである。そのために、PHR や健康に

1117

対するリテラシーの向上に向けて、学校での健康教育や社会啓発を充実させることが求められる。さらに、

1118

PHR サービス事業者は、利⽤者に対しても、PHR サービスの使い⽅やセキュリティにおけるリスクを適切に1119

説明する努⼒をすることが求められる。さらに、各社・団体の Web サイトにおける広告掲⽰など PHR に1120

関する広報強化についても検討されるべきである。

1121
1122
1123

（２）PHR サービス事業者への教育

1124

PHR サービスは、利⽤者の健康状態や医療における意思決定に影響を及ぼす可能性を持つこと、利1125

⽤者⾃⾝の情報を預かり本⼈の了承のもとで活⽤するサービスであること、利⽤者の要配慮個⼈情報

1126

を電⼦的に管理すること等から、その適切な運営のためには医療、倫理、法律、情報セキュリティに関す

1127

る知識と理解が必要とされる。PHR サ－ビス全体の⽔準を⾼く保つためには継続的な学びと教育の機

1128

会が必要であり、PHR サービス事業者による業界団体等によって定期的な勉強会や意⾒交換をする場

1129

や、相談窓⼝等が設けられることが望ましい。

1130

1131
1132

（３）PHR サービスの運⽤体制の構築と質評価／フィードバック／認証1133【PHR サービスの運⽤体制の構築】

1134

PHR サービス事業者は、提供される PHR サービスの質を担保するために、安全性・有効性・信頼1135

性を踏まえた PHR サービスの運⽤体制を構築するべきである。また、利⽤者向けのサポートサービスの1136

体制についても構築されることが望ましい。

1137
1138

推奨される事項1139

・ 脆弱性診断等システムにおける安全性の確保（バリデーションプロセス︓顧客、監査など）に努め
ること。

1140
1141

・ 情報管理責任者とカスタマーサポート体制を確⽴すること。
例えば、下記のような内容が想定される。

1142

ü

1143

PHR サービスについての⽂書化された取扱説明書、取扱い⼿順、⼜はそれに類するものを提供する。

1144
ü

1145

適切に開発、管理及びサポートを実施する専⾨分野に対する経験及び資格⼜は能⼒がある⼗分なスタッフの⽤意の有無を明⽰する。

1146
1147

ü

インシデントが発⽣した際のユーザーへの報告⽅法を明確にする。

1148

ü

PSIRT18体制を構築する。

1149

ü

アプリケーションプライバシーポリシーを明⽰する。

1150

ü

特商法対応（提供者の明⽰）を⾏う。

1151

ü

PHR サービスの運⽤やカスタマーサポートの体制を開⽰する。

1152

ü

PHR サービスの健康情報管理における実績を何らかの形で開⽰する。（例︓国内外の学会論⽂・第三者機関が認定する実績データ）

1153
ü

1154

PHR サービス停⽌時の事前告知、サービス終了時の告知⽅法を明⽰し、かつ他社サービスへの引継ぎ⽅法などを開⽰する。

1155
1156
1157

【PHR サービスの質評価】

1158

PHR サービスの質を評価する⽅法として、国の PHR 指針のチェックシート19に加え、PHR サービス事

1159

業者が⾃社の PHR サービスについて⾃⼰チェックを⾏うために作成された「PHR サービス⾃⼰チェックリス

1160

ト」を⽤いて、各 PHR サービス事業者が安全性・有効性・信頼性を含む PHR サービス提供状況に沿っ1161て記載し、PHR サービスの質確保に努めることが望ましい。また、PHR サービス事業者や⾃治体が、チェ
18

Product Security Incident Response Team の略。⾃社で開発・提供した IoT 機器/サービスのセキュリティ対策を担い、社内外の関係者との連携、脆弱性関連情報の収集、インシデント発⽣時の対応などを⾏う。
19
国の PHR 指針に合わせて改定・更新されている。 https://www.mhlw.go.jp/stf/newpage_18176.html

1162

ック状況を踏まえて各々の現状を可視化するよう、記⼊済の PHR サービス⾃⼰チェックリストを各社ホー1163

ムページで公開することが望ましい。また、PHR サービス提供におけるバリデーションプロセス、責任者やカ

1164

スタマーサポートの設置等の運⽤体制の構築や、サービス提供中に、問題や懸念があれば医療専⾨職

1165が⽀援する等の信頼性を確保する体制を整えることも検討されるべきである。

1166※別添の PHR サービス⾃⼰チェックリスト参照

1167
1168

推奨される事項1169

・ 質評価のために国の PHR 指針のチェックシートを活⽤すること

1170

・ 質評価のために PHR サービス⾃⼰チェックリストを活⽤すること

1171
1172

【認証・モニタリング制度】

1173

本ガイドラインに沿った PHR サービスが提供されているかどうかの確認のためには、医師会をはじめとす

1174

る医療者やアカデミア、及び PHR サービス事業者を含む専⾨委員会における検証・評価を⾏う体制を1175

構築されることが望ましい。具体的には、PHR サービスの質の維持・向上を⽬的とした PHR サービス事

1176

業者の認証制度の構築や、サービス内容の確認とフィードバック等を⾏うモニタリング制度の確⽴等である。

1177

さらに、PHR サービスに関する問い合わせ窓⼝を設け、利⽤者からの PHR サービスに係る苦情の際の調1178

査や、事業者からの質問に対応する仕組みを構築し、定期的にガイドラインのレビューを実施することも1179

検討されるべきである。

1180
1181

最低限遵守する事項

1182

マイナポータルに接続し、健診等情報を⼊⼿する PHR サービス事業者は、最低限の情報セキュリティ

1183の適格性を利⽤者等へ⽰すため、プライバシーマーク認定⼜は ISMS 認証などの情報セキュリティに係る1184

公的な第三者認証を取得すること。

1185
1186
1187
1188

推奨される事項
健診等情報を取り扱う PHR サービス事業者は、プライバシーマーク認定⼜は ISMS 認証などの情報
セキュリティに係る公的な第三者認証を取得すること。

1189
1190
1191
1192

（４）エビデンスの蓄積
PHR サービスは⼈々の健康を⽀える重要な基盤になることが期待されているが、そのためには PHR サ

1193

ービス利⽤の効果を証明するエビデンスの蓄積が必要である。PHR サービス事業者が⼤学や研究者等

1194と幅広く連携し、真に⼈々の健康増進に資する PHR サービスを確⽴していくことが期待される。

1195

広告その他の表⽰20

1196

VI.

1197

１．広告その他の表⽰上の考え⽅

1198（１）問題となりえる法規制

1199

PHR サービスの広告その他の表⽰に関する法規制は多岐にわたるが、代表的なものとしては、景品表

1200

⽰法、不正競争防⽌法、薬機法、特定商取引法、消費者契約法などが挙げられる。以下では、各法1201

令の概略を⽰すこととする。

1202
1203

① 景品表⽰法・ 優良誤認表⽰

1204
1205

商品⼜は役務の品質、規格その他の内容について、⼀般消費者に対し、実際のものよりも著

1206

しく優良であると⽰し、⼜は事実に相違して当該事業者と同種若しくは類似の商品若しくは役務1207を供給している他の事業者に係るものよりも著しく優良であると⽰す表⽰であって、不当に顧客を1208

誘引し、⼀般消費者による⾃主的かつ合理的な選択を阻害するおそれがあると認められるもの

1209(優良誤認表⽰)は禁⽌されている（景品表⽰法 5 条 1 号）。

1210
・ 有利誤認表⽰

1211
1212

商品⼜は役務の価格その他の取引条件について、実際のもの⼜は当該事業者と同種若しく

1213

は類似の商品若しくは役務を供給している他の事業者に係るものよりも取引の相⼿⽅に著しく1214

有利であると⼀般消費者に誤認される表⽰であって、不当に顧客を誘引し、⼀般消費者による1215

⾃主的かつ合理的な選択を阻害するおそれがあると認められるもの(有利誤認表⽰)を禁⽌され1216ている（景品表⽰法 5 条 2 号）。

1217
・ 事業者が講ずべき表⽰の管理上の措置

1218
1219

商品⼜は役務の取引について、表⽰により不当に顧客を誘引し、⼀般消費者による⾃主的

1220

かつ合理的な選択を阻害することのないよう、商品⼜は役務の品質、規格その他の内容に係る

1221

表⽰に関する事項を適正に管理するために必要な体制の整備その他の必要な措置を講じること1222が求められている（景品表⽰法 26 条）。
例えば、商品⼜は役務の表⽰が、優良誤認表⽰⼜は有利誤認表⽰に当たらないかどうか確

1223

認することのほか、確認した事項を適正に管理するための措置を講じることが求められる。

1224

20

「VI. 広告その他の表⽰」の内容は、 ヘルスケア IoT コンソーシアム （現 ヘルスケア AIoT コンソーシアム）にて、令和 3 年 12 ⽉に公表された「ヘルスケアアプリケーションの表⽰に関するガイドライン」の内容を基に作成されたものです。同ガイドラインの詳細については、以下のウェブサイトをご覧ください。
https://healthcareiotcons.com/news022/

1225

・ 措置命令と課徴⾦1226

優良誤認表⽰⼜は有利誤認表⽰を⾏った場合には、措置命令⼜は課徴⾦納付命令を課1227され得る（景品表⽰法 7 条 1 項、8 条 1 項）。なお、令和 5 年景品表⽰法改正により、優1228

良誤認表⽰⼜は有利誤認表⽰を⾏った場合は、百万円以下の罰⾦が科され得ることとなった

1229（本ガイドライン制定時点で未施⾏）。

1230
1231

② 不正競争防⽌法

1232

不正競争防⽌法上、商品若しくは役務⼜はその広告若しくは取引に⽤いる書類若しくは通信にそ1233の商品の原産地、品質、内容、製造⽅法、⽤途若しくはその役務の質、内容、⽤途若しくは数量に1234ついて誤認させるような表⽰等（誤認惹起⾏為）を不正競争（同法 2 条 1 項 20 号）として禁1235

⽌されている。

1236「誤認させるような表⽰」に該当するかどうかは、個別・具体の事案に応じて、当該表⽰の内容や取1237

引界の実情等、諸般の事情が考慮された上で、取引者・需要者に誤認を⽣じさせるおそれがあるかど

1238

うかという観点から判断される。

1239
1240

不正の⽬的をもって誤認惹起⾏為を⾏った場合は、罰則が科され得る（不正競争防⽌法 21 条
3 項 1 号）。

1241
1242

③ 薬機法

1243

薬機法上、医療機器等の名称、製造⽅法、効能、効果⼜は性能に関して、明⽰的であると暗⽰

1244

的であるとを問わず、虚偽⼜は誇⼤広告は禁⽌されている（薬機法 66 条１項）。また、医療機器

1245

等の効能、効果⼜は性能について、医師その他の者がこれを保証したものと誤解されるおそれがある

1246

記事を広告し、記述し、⼜は流布することも禁⽌されている（同条２項）。

1247

また、承認前の医療機器等の広告は禁⽌されている（薬機法 68 条）。

1248

これらに違反した場合は、措置命令等が課され得るほか（薬機法 72 条の 5 第 1 項）、虚偽⼜

1249

は誇⼤広告を⾏った場合は課徴⾦納付命令が課され得る（同法 75 条の 5 の 2 第 1 項）。また、

1250

罰則の対象にもなり得る（同法 85 条 4 号、5 号）

1251
1252
1253
1254

④ 特定商取引法
特定商取引法は、消費者被害が⽣じやすい取引類型を定めた上で、当該取引類型に該当する
場合には⼀定の規制を課すものである。

1255

例えば、通信機器⼜は情報処理の⽤に供する機器を利⽤する⽅法により売買契約⼜は役務を1256

有償で提供する契約(以下「役務提供契約」という。)の申込みを受けて⾏う商品の販売⼜は役務の1257

提供は、原則として「通信販売」に該当する(特定商取引法 2 条 1 項 1 号、2 項、同法施⾏規則1258

2 条 2 号)。

1259

「通信販売」に該当する場合、広告や申込みの最終確認画⾯において、⼀定の内容の表⽰が義1260

務付けられるほか（特定商取引法 11 条、12 条の 6）、誇⼤広告が禁⽌される（同法 12 条）。

1261

これらに違反した場合、⾏政処分(指⽰、業務停⽌命令等)の対象となるほか(特定商取引法 141262条、15 条、15 条の 2)、誇⼤広告等規制や⾏政処分の違反については、罰則の対象となる(特定1263

商取引法 70 条 2 号、71 条 2 号、72 条 1 項 1 号)。

1264
1265

⑤ 消費者契約法1266

事業者が消費者契約(有償・無償を問わない。)の締結について勧誘をするに際し、重要事項につ1267

いて事実と異なることを告げること(不実告知。消費者契約法 4 条 1 項 1 号)、⼜は重要事項等に1268

ついて消費者の利益となる旨を告げ、かつ、不利益となる事実を故意⼜は重過失によって告げなかっ

1269

たこと(不利益事実の不告知。同条 2 項)等があった場合には、消費者はこれにより締結された消費1270

者契約を取り消すことができる。

1271
1272

（２）PHR サービスに関する表⽰1273

PHR サービスには多様なサービスの形態が考えられるところであるが、特に、利⽤者の健康づくり等のリ1274

コメンドをするサービスに関し、当該サービスを利⽤することにより⼀定の健康増進効果が認められる旨の1275

広告をする場合においては、健康増進効果を過度に表⽰することがないよう留意すべきであり、表⽰を1276

⾏うに⾜る合理的な根拠を有しているかを意識しながら表⽰内容を決定することが重要である。

1277

なお、PHR サービスに係るプログラム医療機器その他の医療機器（薬機法上の承認⼜は認証を必1278

要とするもの）について、当該承認等を受けていないものについては、その名称、製造⽅法、効能、効果

1279

⼜は性能に関する広告をしてはならない（薬機法６８条）。また、医療機器の広告には、医薬品等

1280

適正広告基準（薬⽣発 0929 第４号平成２９年９⽉２９⽇）が適⽤されるため、同基準を踏ま1281

えた上で広告を⾏う必要がある。例えば、①効能効果、性能及び安全性関係の表現等の制限、②医1282

療⽤医療機器の広告の制限、③他社の製品の誹謗広告の制限、④医薬関係者等の推せんの制限、

1283⑤不快、迷惑、不安⼜は恐怖を与えるおそれのある広告の制限、⑥テレビ、ラジオの提供番組等におけ1284

る広告の取扱い等について規定されている。加えて、医療機器の広告の観点からは、⽇本医療機器産1285

業連合会が医療機器のプロモーションを⾏う際に遵守すべき⾏動基準として定めた「医療機器業プロモ

1286

ーションコード」等にも留意が必要である。

1287

以下では、医療機器以外の広告や表⽰について説明する。

1288
1289

（３）法令上問題となるおそれのある広告その他の表⽰の要素1290① 解消に⾄らない⾝体に係る問題事項等の例⽰

1291

PHR サービスを利⽤することでは解消に⾄らない健康上の問題に係る不安や悩み等の問題事例を1292

例⽰する表⽰や、PHR サービスの利⽤だけではおよそ得られない⾝体の変化をイラストや写真を⽤い1293

るなどにより表⽰することは、⼀般消費者が、表⽰全体から受ける印象によって当該アプリを使⽤する

1294だけで当該⾝体に係る問題が解消されるものと誤認する蓋然性があり、そのような表⽰は、著しく事実

1295に相違する表⽰⼜は実際のものより著しく優良であると⼈を誤認させるような表⽰に当たるものとして、

1296

景品表⽰法等上問題となるおそれがある。

1297
1298

② ⼈の疾病の診断、治療若しくは予防に使⽤されることが⽬的である旨等の表⽰

1299

PHR サービスが⼈の特定の疾患の診断、治療、⼜は予防に使⽤されることが⽬的である旨を表⽰1300することや、特定の疾病名を⽰すことにより、当該疾病の予防・治療効果が得られるかのように表⽰す

1301

ることは、当該 PHR サービスが医療機器ではない場合にあっては、承認前の医療機器に該当すると1302判断される可能性があり、薬機法等上問題が⽣じるおそれがある。

1303
1304

③ 実験結果及びグラフ

1305

広告その他の表⽰において試験結果やグラフを使⽤する場合、試験条件が視認性をもって明瞭に1306

表⽰されていないことや試験結果を⽰すグラフを極端にトリミングやスケール調整等をすることにより、⼀1307

般消費者が過⼤な効果が得られると誤認する蓋然性があるときは、景品表⽰法等上問題となるおそ

1308

れがある。
また、⼀般的な学術情報や統計資料等を引⽤して表⽰する場合には、当該資料等の内容が訴1309

求する効能効果の範囲を逸脱したものであるときは、景品表⽰法等上問題となるおそれがある。

1310
1311

なお、表⽰の根拠として⽤いた論⽂の試験結果やグラフを表⽰する場合にあっては、引⽤するグラフ

1312が最終製品を⽤いた試験のデータであると誤認されないよう、当該グラフの選択理由及び最終製品を1313

⽤いた試験結果ではないことなどを、視認性をもって明瞭に表⽰するよう留意する必要がある。

1314
1315

④ 医師や専⾨家等の推奨、⾏政機関等の認証等

1316

医師や専⾨家、⾏政機関、研究機関などの認証や推奨等を表⽰することが直ちに景品表⽰法等1317

上問題となるものではないが、虚偽の認証、推奨等や、当該推奨等の不適切な引⽤等をする場合

1318

は、景品表⽰法等上問題となるおそれがある21。

1319
1320

⑤ 利⽤者によるレビュー・体験談等の表⽰

1321

PHR サービスの利⽤者によるレビューや体験談について、事業者が、作為的に選び出したもののみ1322を掲載する場合や、事業者が⼀般の利⽤者を騙って架空のレビューを⾏う場合、都合のよい部分の1323

みを抽出した場合などは、景品表⽰法等上問題となるおそれがある。

1324

また、対価を⽀払って利⽤者に対して肯定的なレビューをするよう依頼した場合など、利⽤者の⾃1325

主的な意思による表⽰と認められない表⽰については、事業者が⾏う表⽰であると評価される可能性

1326があり、この場合には、⼀般消費者が事業者の表⽰であることを判別することができるようにする必要

1327

があることに留意が必要である。

1328

なお、医療機器等の効能、効果⼜は性能について、医師その他の者がこれを保証したものと誤解されるおそれがある記事を広告し、記述し、⼜は流布することは禁⽌されている（薬機法 66 条 2 項）。

21

1329

⑥ 打消し表⽰1330

事業者が、商品・役務について、断定的表現や⽬⽴つ表現等を使って、品質等の内容や価格等

1331の取引条件を強調した表⽰（いわゆる強調表⽰）をする場合において、当該強調表⽰の適⽤に例

1332

外等があるときは、強調表⽰からは⼀般消費者が通常は予期できない事項であって、⼀般消費者が1333

商品・役務を選択するに当たって重要な考慮要素となるものに関する表⽰(いわゆる打消し表⽰)を

1334

分かりやすく適切に⾏わなければ、その強調表⽰は、景品表⽰法等上問題となるおそれがある。

1335
1336

⑦ No.1 表⽰
商品・役務についての「No.1」、「第 1 位」、「トップ」などの表⽰（No.1 表⽰）が、合理的な根拠

1337に基づかず、事実と異なる場合には、景品表⽰法上問題となる。

1338

No.1 表⽰が不当表⽰とならないためには、①No.1 表⽰の内容が客観的な調査に基づいているこ

1339と、及び、②調査結果を正確かつ適正に引⽤していることの両⽅を満たす必要がある22。

1340
1341
1342
1343
1344

なお、医療機器の品質、効能効果、安全性その他について、他社の製品を誹謗するような広告を⾏ってはならないものとされている（医薬品等適正広告基準（薬⽣発 0929 第 4 号平成 29 年 9 ⽉ 29 ⽇）第 4、9）。

22

1345

２．景品表⽰法における表⽰の科学的根拠に関する事項

1346（１）景品表⽰法 7 条 2 項及び 8 条 3 項の適⽤について

1347

消費者庁⻑官は、事業者が⾏った表⽰が優良誤認表⽰に該当するか否かを判断するため必要があ1348

ると認めるときは、当該表⽰をした事業者に対し、期間を定めて、当該表⽰の裏付けとなる合理的な根1349

拠を⽰す資料の提出を求めることができる。当該事業者が当該資料を提出しないときは、消費者庁が1350

当該表⽰について実際のものとは異なるものであること等の具体的な⽴証を⾏うまでもなく、措置命令⼜1351

は課徴⾦納付命令との関係では、当該表⽰は優良誤認表⽰に該当する表⽰であるとみなされ、⼜は1352推定されることとなる(不実証広告規制。景品表⽰法 7 条 2 項、8 条 3 項、33 条 1 項)。

1353
1354

（２）合理的な根拠の判断基準

1355

① 総論

1356

表⽰の裏付けとなる資料が「合理的な根拠」と認められるためには、(i)提出資料が客観的に実証1357された内容のものであること、(ii)表⽰された効果、性能と提出された資料によって実証された内容が1358

適切に対応していること、の 2 つの要件を満たす必要があると解されている(不実証広告ガイドライン 51359⾴)。当該(i)(ii)の具体的内容について、以下に概要を⽰すが、詳細については不実証広告ガイドラ

1360

インを参照されたい。

1361
1362
1363

② 提出資料が客観的に実証された内容のものであること
・総論

1364

提出資料は、表⽰された具体的な効果、性能が事実であることを説明できるものでなければなら1365ず、そのためには、客観的に実証された内容のものである必要がある。客観的に実証された内容の1366

ものとは、①試験・調査によって得られた結果、②専⾨家、専⾨家団体若しくは専⾨機関の⾒解

1367

⼜は学術⽂献、のいずれかに該当するものである(不実証広告ガイドライン 5 ⾴)。

1368
1369

・試験・調査によって得られた結果（不実証広告ガイドライン 6 ⾴）

1370

試験・調査によって得られた結果を表⽰の裏付けとなる根拠として提出する場合、当該試験・調1371

査の⽅法は、表⽰された商品・役務の効果、性能に関連する学術界⼜は産業界において⼀般的1372に認められた⽅法⼜は関連分野の専⾨家多数が認める⽅法によって実施する必要がある。

1373
1374

・専⾨家、専⾨家団体若しくは専⾨機関の⾒解⼜は学術⽂献（不実証広告ガイドライン 7 ⾴）

1375

専⾨家等の⾒解⼜は学術⽂献を表⽰の裏付けとなる根拠として提出する場合、次のいずれか

1376を満たす必要があるものと考えられる。

1377(i）専⾨家等が、専⾨的知⾒に基づいて当該商品・役務の表⽰された効果、性能について客観

1378

的に評価した⾒解⼜は学術⽂献であって、当該専⾨分野において⼀般的に認められているも

1379

の

1380

(ii）専⾨家等が、当該商品・役務とは関わりなく、表⽰された効果、性能について客観的に評価

1381

した⾒解⼜は学術⽂献であって、当該専⾨分野において⼀般的に認められているもの

1382
1383

③ 表⽰された効果、性能と提出資料によって実証された内容が適切に対応していること

1384

提出資料が表⽰の裏付けとなる合理的な根拠を⽰すものであると認められるためには、前記のよ

1385

うに、提出資料が、それ⾃体として客観的に実証された内容のものであることに加え、表⽰された効1386

果、性能が提出資料によって実証された内容と適切に対応していなければならない(不実証広告ガ1387

イドライン 7 ⾴)。

1388
1389

（３）科学的根拠として明らかに適切ではないと考えられる具体例

1390

① 総論

1391

科学的根拠として明らかに適切とは考えられない例としては、以下が考えられる。具体的なケースは

1392②乃⾄④が考えられるが、これらはあくまで⼀例であり、不適切な例を限定する趣旨ではないことに留1393

意する必要がある。

1394
1395

・ 表⽰の内容が、科学的根拠の内容に⽐べて過⼤である、⼜は当該根拠との関係性が認めら
れないもの

1396

・ 限定的な条件下での結果であり、条件を限定しない場合には表⽰で訴求する効能効果が期

1397

待し難いと考えられる結果であるにもかかわらず、表⽰の内容では当該条件に何ら⾔及してい

1398

ないもの

1399

・ 根拠となる⽂献が撤回され、表⽰の科学的根拠となる⽂献が存在しなくなったもの

1400
1401

② 最終製品を⽤いた臨床試験 (ヒトを対象にした試験)

1402

・試験の実施計画⼜は実施⽅法に不備がある場合

1403

対象群と⽐較した効能効果を表⽰したい場合、介⼊群に評価指標が⾼値⼜は低値の者が恣

1404

意的に割り振られているなど、介⼊群と対照群で適切な参加者の割り付けが⾏われていない場合

1405
1406
1407
1408

・試験結果の評価に不備がある場合
対象群と⽐較した効能効果を表⽰したい場合、主要な評価項⽬における介⼊群と対照群の群間⽐較で統計的な有意差が認められていない場合

1409
1410
1411
1412

③ 最終製品に関する研究レビュー
・ 研究レビュー結果の客観性・透明性を担保するために必要な資料について客観性・透明性が担保されない場合

1413
1414

・ 研究レビューで採⽤した論⽂(臨床試験(ヒト試験)の内容(試験デザイン、試験⽅法、対象者、結果の評価等))について不備がある場合

1415

・ 研究レビューにおける対象の機能と PHR サービス上の機能との同等性が担保されない場合

1416

・ 採⽤論⽂数、最終的に肯定的と判断できる要素等を総合的に判断し適切に評価がなされて1417

いるとはいえない場合

1418
1419

④ 不適切な表⽰及び科学的根拠の例

1420

表⽰例︓このアプリに従って、1 ⽇数分の運動をするだけで、1 週間で 1 キロ減量できます。

1421

不適切な科学的根拠の例︓ 継続的な運動が減量に⼀定程度寄与することは⾃明であり、このこと

1422

⾃体には厳密な科学的根拠が求められるものではないものと考えられる。しかし、実際に減量できるかど

1423

うかは、⾷⽣活等も関係するところ、1 ⽇数分という極めて短い運動のみをもって減量することができると1424

断⾔できるかどうかは⾃明であるとはいえないことから、最終製品を⽤いた臨床試験や最終製品に関する

1425

研究レビューが存在しない場合は、⼗分な科学的根拠があるとはいえない。

1426
1427

1428

別添１︓PHRサービスの安全管理のためのリスクマネジメントプロセス

1429
1430

リスクマネジメントプロセスにおいては、「医療情報を取り扱う情報システム・サービスの提供事業者にお1431

ける安全管理ガイドライン」に整理がされている。当該ガイドラインは、保健医療情報システムにおけるリス

1432

クマネジメントプロセスを中⼼に記載しているため、本別添でPHRサービスにおけるリスクマネジメントについ1433ての観点を追記として記載する。

1434
1435

【継続的なリスクマネジメントの実施】

1436

PHRサービスにおいては、取扱い情報やシステムの構成、利⽤者規模などが随時変化し得ることから、

1437

継続的なリスクマネジメントが求められる。特に⼤規模な変更があった際などにはリスクアセスメントを再度1438

⾏うことが望ましい。

1439
1440

【PHRサービスにおける個⼈情報】

1441

PHRサービスにおいては、データ項⽬としては要配慮個⼈情報にあたる情報であっても特定の個⼈を

1442

容易に識別しえない情報として保管する場合があることをリスクマネジメントの際には考慮する（例︓

1443

PHRサービス利⽤者が⼊⼒した病歴や健康診断結果の検査値を保管して可視化するが、個⼈を特定

1444

できる情報を保管しないPHRサービス等）。

1445
1446

【要配慮個⼈情報を取り扱う事業者のリスクマネジメント】

1447

特に要配慮個⼈情報を取り扱うPHRサービス事業者においては、システム等の全体構成図を作成の

1448

上で情報流を特定し、リスクアセスメントとリスク対応を実施すべきである。要配慮個⼈情報を取り扱わな

1449

い場合でも、取り扱う情報量や利⽤者数が多いなど社会的な影響が⼤きい場合には、リスクアセスメント

1450の上でリスク対応を⾏うことが求められる。

1451
1452

【リスク特定】1453

リスク特定のプロセスにおいて、PHRサービスでは以下のような構成要素が考えられるので参考にされたい。

1454

・ PHRサービス利⽤端末（スマートフォン等）

1455

・ PHRシステム

1456

・ PHRシステムを運⽤するサーバー

1457

・ PHRサービス利⽤端末とPHRシステムを運⽤するサーバーとの通信経路

1458

・ 他のシステムと直接のデータ連携を⾏う場合のAPI、通信経路

1459
1460

なお、医療情報システムと直接の接続を⾏う際には、その接続インタフェース部分については、医療情報システムと同等の安全管理を⾏うこと。

1461

別添２︓PHR サービス⾃⼰チェックリスト

1462
1463
1464
1465
1466

※PHR サービス⾃⼰チェックリスト（案）を参照のこと。