【業界別】医療・介護・ヘルスケア事業者のPマーク取得・更新｜要配慮個人情報を扱う現場で整えておきたいことと、支援会社の見直し方

介護・福祉の事業所、健診機関や検査センター、調剤薬局、そして医療やヘルスケアに関わるシステム・サービスの会社。
こうした事業者が日々扱っているのは、病歴や心身の状況、健診の結果といった、個人情報のなかでも特に慎重な取り扱いが求められる情報です。

個人情報保護法では、病歴や健康診断の結果などは「要配慮個人情報」とされ、取得する際には原則として本人の同意が必要です。
個人情報保護委員会と厚生労働省は、医療・介護の現場向けに「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」も示しています。

本記事では、医療・介護・ヘルスケアの業態ごとにPマーク（プライバシーマーク）の論点を整理したうえで、すでにPマークを取得している事業者が、運用や支援会社を見直すときのポイントをまとめます。

「人の体と暮らし」に関わる情報を預かる責任

医療・介護・ヘルスケアの情報は、漏えいしたときに本人が受ける影響が大きく、取り返しがつきにくいという特徴があります。
そのため、利用者やその家族はもちろん、健診や検査を委託する企業・医療機関も、事業者の管理体制を厳しく見ています。

サイバー攻撃のリスクも高まっています。
国内でも、医療機関がランサムウェアの被害を受け、診療を長期間制限せざるをえなくなった事例が起きました。
2023年4月には医療法施行規則が改正され、病院や診療所などの管理者に、サイバーセキュリティを確保するための措置が求められるようになっています。

Pマークは、こうした情報を扱う事業者が、個人情報を守る仕組みを作り、毎年回し、2年ごとに第三者の審査を受けていることを示すものです。
利用者や家族、委託元への説明の場面で、分かりやすい安心材料になります。

業態ごとに、つまずきやすいポイントは違います

介護・福祉事業所では、訪問先に書類やタブレットなどの端末を持ち出す場面が多く、紛失や置き忘れのリスクがあります。
また、ケアマネジャーや医療機関、ほかの事業所と利用者の情報を共有する機会も多くあります。
介護保険の運営基準でも、サービス担当者会議などで利用者や家族の個人情報を用いる場合には、あらかじめ文書で同意を得ておくことが求められています。
持ち出しと共有のルールを、現場の動きに合わせて決めておくことが大切です。

健診・検査・調剤では、健診結果や検査データ、処方内容を大量に扱います。
最も注意したいのは、結果の誤送付や取り違えです。
個人情報保護委員会も、要配慮個人情報を含む個人データの漏えい等の大半は、病院や薬局における誤交付によるものだと公表しています。
企業や医療機関から委託を受けて健診や検査を行う場合は、委託元とのデータの受け渡しの方法と記録、委託契約の内容も問われます。

ヘルスケアIT・関連サービスでは、診療や健康に関するデータをクラウド上で扱うケースが多くあります。
アクセス権とログの管理に加えて、アプリなどで利用者から直接情報を取得する場合は、利用目的の通知と同意をどう設計するかがポイントになります。
医療機関向けのシステムやサービスを提供する場合は、総務省・経済産業省の「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」への対応や、医療機関が準拠する厚生労働省の「医療情報システムの安全管理に関するガイドライン」を踏まえた説明を求められることもあります。

他社支援・自社運用のまま、こんな状態になっていませんか

Pマークの有効期間は2年で、更新の申請は有効期間満了の8ヶ月前から4ヶ月前までに行います。
支援会社を切り替えても、取得をやり直す必要はありません。
次の更新に向けた準備期間は、現場に合ったルールに整え直す良い機会です。

UPFのPマーク取得・更新支援について

株式会社UPFは、2008年8月から認証取得支援を本格的に始め、累計5,735社（うちPマーク4,271社）の企業を支援してきました（2026年11月1日現在）。

• 審査の視点を踏まえた支援：プライバシーマーク審査機関（JIPDEC）の現役審査員が在籍し、年間2,000件を超える審査関連の情報が社内に集まります（審査員は、自らがコンサルティングを担当する企業の審査は行いません）。
• 現場の動きに合わせたルール：訪問、送迎、夜勤、健診の当日運営など、現場の実際の流れに合わせて、必要な部分は手厚く、不要なものは薄く、守り続けられるルールに整えます。
• 担当者が替わっても止まらない運用：運用状況を把握したうえで伴走するため、担当者の交代時も、後任の方へしっかり引き継ぎを完了させていただきます。
• 取得できなかった場合は全額返金：新規取得でお客様のご都合による中止を除き、費用を全額返金します。

初めてUPFをご利用いただいたお客様が次回の更新もUPFにご依頼くださる割合（継続率）は95%（2020〜2026年平均）です。

よくある質問

Q. 介護事業所でも、Pマークは取得できますか？

取得できます。
Pマークは業種を問わず、個人情報を扱う事業者が対象です。
訪問や送迎など、介護の現場ならではの動きに合わせたルールを作り、運用していることが前提になります。

Q. 利用者の情報を、ほかの事業所や医療機関と共有してもよいですか？

本人の同意を得ているかどうかが基本になります。
介護保険の運営基準でも、サービス担当者会議などで利用者や家族の個人情報を用いる場合は、あらかじめ文書で同意を得ておくことが求められています。
共有の場面と同意の取り方を、ルールとして決めておくことが大切です。

Q. 他社のコンサル会社で取得したPマークの更新を、UPFに切り替えられますか？

はい、切り替えていただけます。
取得をやり直す必要はなく、現在の規程・様式・記録を確認したうえで、次回の更新審査に向けて支援します。

Q. 複数の事業所がある場合も、まとめて取得できますか？

Pマークは法人単位での取得となるため、同じ法人の事業所はまとめて対象になります。
事業所ごとに業務の流れが異なる場合も、共通のルールと事業所ごとの手順を組み合わせて整えます。

まとめ：大切な情報を、現場で守り続けられる仕組みに

医療・介護・ヘルスケアの現場は、忙しく、人の入れ替わりも少なくありません。
だからこそ、規程を作るだけでなく、現場の誰もが無理なく守り続けられる仕組みにすることが、利用者や家族、委託元からの信頼につながります。

今の運用が現場に合っていないと感じているなら、次の更新は見直しのよい機会です。
現場の状況を伺うところから、お気軽にご相談ください。

関連記事：

• 「間違えて渡さない」——件数で最多の漏えい、誤送付・誤交付を「注意」ではなく「仕組み」で減らす
• 個人情報の漏えいに気づいたら、最初に何をするか——初動対応の流れと、平時に整えておきたい備え
• Pマークは自社で取れる？内製と支援会社への依頼の違い
• Pマーク取得費用の総額はいくら？【2026年10月改定後】

参考・確認元（いずれも2026年11月確認）：
個人情報保護委員会・厚生労働省「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」
厚生労働省「医療情報システムの安全管理に関するガイドライン」
総務省・経済産業省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」
個人情報保護委員会「令和7年度第1四半期における漏えい等報告の処理状況」
JIPDEC「プライバシーマーク付与に関する規約（JIP-PMK500 版2.3）」