クラウド型の電子カルテ、遠隔画像診断、外部のバックアップサービス、文書保管の外部委託——いずれも診療記録やそれに準じる情報が院外に出ていく仕組みです。これらは現在では一般的な選択肢ですが、「院外に置ける」ことと「何も考えずに置いてよい」ことは違います。
医療機関には、診療録等を一定期間保存する義務があります。その保存を電子的に行い、さらに院外で行う場合、満たすべき要件が制度として定められています。ここを整理しないまま契約すると、事故が起きたときに「保存義務を果たしていたのは誰か」が曖昧になり、医療機関側の管理不備として整理される余地が生まれます。
本記事は、医療情報を外部に保存するときに医療機関が確認すべき事項を、発注側の実務として整理したものです。制度の全体像を押さえたうえで、契約で何を担保するかまでを扱います。クラウド事業者の比較そのものは クラウド事業者の選定基準、院内のクラウド利用体制は 医療機関のクラウドセキュリティ をご覧ください。
免責：本記事は一般的な情報提供です。診療録等の保存義務および外部保存の取扱いは、医師法・医療法等の関係法令と厚生労働省の通知・ガイドライン本文が正本です。個別の適否は所管当局および顧問弁護士にご確認ください。本記事で「要一次確認」と付した事項は、必ず一次資料でご確認ください。
前提となる3つの基準
医療情報を電子的に保存する場合、厚生労働省「医療情報システムの安全管理に関するガイドライン」が求める基本は、真正性・見読性・保存性の3つです。外部保存の話に入る前に、ここを押さえておく必要があります。外部に置くかどうかにかかわらず、この3基準は満たさなければならないためです。
| 基準 | 意味 | 実務で問われること |
|---|---|---|
| 真正性 | 記録が改ざんされておらず、作成者が明確であること | 誰がいつ記録したか、修正したかが追跡できるか。確定操作と修正履歴の設計 |
| 見読性 | 必要なときに、読める形で速やかに取り出せること | システム障害時にも参照手段があるか。監査・開示請求に応じられるか |
| 保存性 | 定められた期間、復元可能な状態で保存されること | 媒体の劣化、形式の陳腐化、事業者の撤退にどう備えるか |
外部保存を検討するときに最も効くのが、保存性の観点です。院内サーバであれば、媒体の劣化とバックアップに気を配れば済みます。院外に置く場合はそこに、事業者が事業を継続するか、契約が終わったときにデータを取り戻せるかという論点が加わります。技術的な信頼性の話ではなく、事業継続と契約の話になるのが、外部保存の本質的な難しさです。
見読性についても、外部保存では別の顔が出ます。ネットワークが切れれば見られない、という状態は見読性の観点で問題になり得ます。通信障害時の参照手段——直近分のローカルキャッシュ、定期的な帳票出力、紙運用への切替手順——を、どこまで用意するかを設計に含めてください。障害時の運用は 医療機関のインシデント対応計画 と サイバー攻撃を想定したBCP で扱っています。
外部保存が認められる条件
診療録等の外部保存については、厚生労働省が通知で取扱いを示しており、内容は複数回にわたり見直されています。現在では、一定の条件のもとで電気通信回線を通じた外部保存（クラウド等）が可能とされており、多くの医療機関がこれを前提にシステムを選定しています。
医療機関が確認すべき要点は、おおむね次の4つに整理できます。
| 論点 | 確認すべきこと |
|---|---|
| 保存場所 | 保存場所が制度上許容される範囲にあるか。事業者の所在・データの所在を書面で確認する |
| 責任の所在 | 外部に保存しても、保存義務を負うのは医療機関であるという前提を理解しているか |
| 安全管理措置 | 事業者側がガイドライン（経産省・総務省）に沿った措置を講じているか |
| 契約での担保 | 上記が契約条項として書かれているか。口頭説明や提案書の記載だけになっていないか |
ここで最も重要なのは2つ目です。外部に保存しても、保存義務そのものが事業者に移転するわけではありません。 記録が失われた、取り出せない、改ざんの有無が説明できない——こうした事態が生じたとき、説明責任を負うのは医療機関です。したがって、事業者に任せきりにせず、医療機関側で保存が適切に行われていることを確認する手段を持つ必要があります。
具体的な条件・要件の詳細は、通知およびガイドライン本文が正本です。保存場所や保存方法に関する個別の可否判断は、必ず一次資料と所管当局への確認に基づいて行ってください（要一次確認）。 本記事はあくまで、契約・運用の設計にあたって何を論点とすべきかを整理するものです。
契約で担保すべき事項
外部保存の適否は、技術仕様の問題であると同時に契約の問題です。次の項目は、提案書ではなく契約書または覚書に書かれているかを確認してください。
| 区分 | 契約に書くべき内容 |
|---|---|
| データの所在 | 本番・バックアップ・ログのそれぞれについて、保存される国・地域 |
| 安全管理措置 | 準拠するガイドラインの明示と、要求ごとの実施主体を示した対応表の提出 |
| アクセス管理 | 事業者側で当院データにアクセスできる要員の範囲と、その記録 |
| 再委託 | 再委託の可否、事前承諾または事前通知、再委託先の管理責任 |
| 保存性の担保 | 保存期間、世代管理、媒体・形式の陳腐化への対応 |
| 可用性 | 障害時の復旧目標（RTO/RPO）と、通信障害時の参照手段 |
| 監査・報告 | 年次報告の義務、監査の受入条件 |
| 契約終了時 | 返還形式・範囲・期限・費用、移行協力、消去の完了時期と証明 |
| 事業者の撤退 | サービス終了時の事前告知期間と、データ移行に関する協力義務 |
最後の事業者の撤退は、外部保存に固有の論点です。院内サーバであれば、事業者が撤退しても媒体は手元にあります。外部保存では、事業者の事業継続がそのまま保存性に直結します。「サービス終了の場合は12か月前に通知し、データの移行に協力する」といった条項の有無を確認してください。
契約終了時のデータ返還も、外部保存では性質が違います。単に「データを返してもらう」だけでなく、返還されたデータが引き続き3基準を満たすかが問われます。CSVで出力されたデータに修正履歴が含まれていなければ、真正性の説明が難しくなります。返還範囲に監査ログを含めることを、契約段階で明記しておいてください。この論点は 事業者に確認すべき質問リスト と 電子カルテ更新時のセキュリティ要件 でも扱っています。
クラウド利用時に追加で見るべきこと
クラウドでの外部保存は、従来の外部保存（データセンターへの委託等）と比べて、次の点で論点が増えます。
1. データの所在が動的である
クラウドは冗長化のために複数リージョンを使う構成が一般的です。本番は国内でも、バックアップやログが別リージョンにあることは珍しくありません。本番・バックアップ・ログの3つに分けて所在を確認してください。
2. 運用者の所在という論点がある
データが国内にあっても、それを操作する権限を持つ要員が海外拠点にいれば、実質的なアクセスは越境します。24時間監視を海外で行う構成は一般的なので、誰が触れるのかを別途確認する必要があります。
3. 再委託の層が深い
契約する事業者の背後に、基盤クラウド、監視サービス、CDN、外注開発が並びます。この連鎖が見えないと、事故時に原因の所在を把握できません。詳しくは 医療機関のサプライチェーンリスク をご覧ください。
4. 認証の適用範囲を確認する必要がある
ISO/IEC 27001（ISMS）やISO/IEC 27017を保有する事業者は多いものの、認証書に記載された適用範囲に御院が使うサービスが含まれているかは別の話です。基盤クラウドの認証を自社の証明として提示する提案書も実際にあります。認証の読み方は ISMS（ISO/IEC 27001）とは、責任の切り分けは AI電子カルテのセキュリティ設計と責任共有モデル で扱っています。
バックアップと診療報酬の要件
2026年度診療報酬改定で新設された電子的診療情報連携体制整備加算の加算1では、複数方式によるバックアップ（一部はオフライン保管）が要件に含まれます。外部保存を利用している場合でも、この要件は医療機関側が満たすべきものです。
疑義解釈では、クラウドサービス内の論理的に切り離された領域へのバックアップで速やかな復旧が可能な場合も要件を満たすとされています。したがって、クラウド利用が要件充足を妨げるわけではありません。ただし、同一アカウント内の別ストレージへコピーしているだけの構成では、アカウントが侵害された場合に同時に失われます。「論理的に切り離された領域」に該当する構成になっているかを、事業者に確認してください。バックアップ設計は 医療機関のバックアップ設計｜3-2-1ルール、改定の全体像は 2026年度診療報酬改定 をご覧ください。
院内で決めておくこと
外部保存は、契約と技術だけでは完結しません。次の3つを院内で決めておく必要があります。
- 誰が保存状況を確認するか — 医療情報システム安全管理責任者の職務に含めるのが自然です。事業者からの年次報告を受け取り、内容を確認し、記録を残す役割が必要になります
- 通信障害時にどう運用するか — 外部保存は通信に依存します。オフラインでも診療を継続する手順（直近分の帳票出力、紙運用への切替、復旧後の入力手順）を定めてください
- 開示請求・監査にどう応じるか — 患者からの開示請求や、外部監査への対応で、外部保存されたデータを取り出す手順と所要日数を把握しておく必要があります
このうち2つ目は、演習しておかないと機能しません。手順書があることと、実際に動けることは別です。訓練の設計は 職員教育・訓練の設計 を参照してください。
まとめ
医療情報の外部保存について、押さえるべき点は次のとおりです。
- 外部に置くかどうかにかかわらず、真正性・見読性・保存性の3基準を満たす必要がある
- 外部保存では保存性の論点が重くなる。媒体の話ではなく、事業者の事業継続と契約の話になる
- 保存義務は事業者に移転しない。説明責任を負うのは医療機関であり、確認する手段を持つ必要がある
- 提案書ではなく契約書に書かれているかを確認する。とくに事業者撤退時の告知期間と移行協力
- 返還されたデータが引き続き3基準を満たすかを見る。監査ログを返還範囲に含める
- クラウドではデータの所在・運用者の所在・再委託の層・認証の適用範囲が追加の論点になる
- 院内では確認者・通信障害時の運用・開示請求への対応を決めておく
外部保存の可否判断そのものは制度の解釈を伴うため、一次資料と所管当局の確認が欠かせません。一方で、契約条項の設計や事業者への確認事項の整理は、事前に準備できる領域です。既存契約の棚卸や次期更改に向けた要件整理については お問い合わせ からご相談ください。
参考・出典
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
- 医療情報システムの安全管理に関するガイドライン 第6.0版（本文PDF）｜厚生労働省
- 令和8年度診療報酬改定について｜厚生労働省
- 個人情報保護委員会
- 情報処理推進機構（IPA）
※診療録等の保存義務および外部保存の取扱いは、関係法令と厚生労働省の通知・ガイドライン本文が正本です。要件は改定により変わります。個別の可否判断は必ず一次資料と所管当局の確認に基づいて行ってください。