医療審査機関Pマーク「MEDIS」はセンシティブであるという認識を持つべき

塚本です。

今回は、『病院』『クリニック（診療所）』、または『電子カルテ等の医療情報を扱うIT企業』の方には特に重要な情報の提供です。

特に人間ドック、健康診断を実施しているクリニックの方は実質的には義務化されているのでまだPマークを取っていない診療所様は早めの取得をお勧めします。

さて、個人情報保護において、人も企業も守秘の意識が高まっている現代において、保険医療の分野においても病歴などのセンシティブな個人情報「MEDIS」という専門のPマークが存在するのはご存知でしょうか？

MEDIS－WEBサイト

保険医療の分野でのPマークの重要性とは

Pマークは、個人情報保護を担う業者が、個人情報の保護を安全に運営を行っていますという証です。

保険医療分野においてセンシティブな個人情報を取り扱うにあたり、患者や利用者その家族の信頼性を得るため、専門のPマーク「MEDIS」の取得は不可欠と言っても過言でないでしょう。

因みに現在はコチラの事業所がMEDIS申請にてPマークを取得しております。

保険医療分野とは、大手病院や開業医、薬局、介護施設、サービス、医療システムなど該当します。
しかし、その規模は中小様々であり、Pマークの「MEDIS」を取得するにあたり、自社が取得する必要性があるか否か疑問に思われるかもしれません。

その目安としては、「自己の団体、企業として取り扱っている個人情報の内訳がセンシティブとされる病歴などを取り扱っている個人情報が50％以上」が目安となっています。

通常のPマークの取得だけで済むケースもありますし、MEDIS-DCの審査を通さなくては患者や利用者信用を得られないケースもあるでしょう。

自分の機関がPマーク取得及びMEDIS-DCの審査まで通す必要があるのか否かにお悩みであれば、ぜひ専門のPマークのコンサルティングに相談される事をおすすめします。

病歴のある個人についての個人情報の保護

我が国は、超高齢化社会が進み、ガンが２人のうち１人と言われています。
高齢者の個人情報もガンをはじめとする重症な病歴は極めてセンシティブであり、個人情報の中でも特に守秘義務の重要性度が高いです。

ガン患者が病院を利用する、高齢者が介護施設を利用するにあたり、きちんと個人情報を守ってくれる機関ですと、患者も利用者も家族も安心して通院、利用することができます。

その目安として、Pマークの取得している、MEDIS-DCの審査を通過している病院、介護施設を選択することは、利用する本人、家族にとっても大きな信頼と安心の証となります。

病院側、法人側についての個人情報の保護

病院側、介護施設など保険医療取り扱う機関は、Pマークの「MEDIS」を取得しています、病院や施設の窓口に小さな看板を置く、ウェブページのトップページに掲げておくなどちょっとしたアピールをしておくだけでも信用性が高まります。

ガン患者の増加、高齢者の増加と病院、介護施設の利用のニーズは高まっていますが、それだけに競争も激化しているのが現状です。

そうした競争を勝ち抜くためにも、まずはPマークの取得、保険医療関係であるのなら、MEDIS-DCの審査を通過しておくと、世間はもとより利用者からの信頼を得て、利用者の増加につなげることの手助けとなります。

まとめ

個人情報の中でもとりわけセンシティブな保険医療分野を取り扱う機関は、個人情報の取り扱いにはより慎重になる姿勢が求められます。
Pマークの取得、MEDIS-DCの審査を検討されるであれば、専門のコンサルティング会社を通して、相談される事をおすすめします。

しかし、このMEDISに対応できるPマーク取得支援会社は本当にごく少数しかいません。
具体的にいえば、MEDISへの申請を多数経験しているコンサルタントは日本に数人しかいないといっても過言ではないのです。

はい。笑
なにか営業じみた文章で締めくくるようで恐縮ですが、
当社UPFでは、病院・クリニックや医療情報を扱うIT企業へのMEDIS申請実績が豊富にあり、また対応できるコンサルタントが多数おります。

東京、名古屋、大阪、福岡にもそれぞれ在籍しておりますので、
どうぞお気軽にご相談頂けますと幸いです。

※ 本記事は2018年9月時点の情報をもとに、株式会社UPFが監修・執筆しています。Pマーク・ISMSに関する最新情報は無料相談でご確認ください。

MEDIS-DC審査に向けた準備のポイント

MEDIS-DCの審査は、通常のプライバシーマーク審査と同様に、個人情報保護マネジメントシステム（PMS）の構築・運用状況が確認されますが、医療情報という特にセンシティブな情報を扱う分野であることから、安全管理措置についてより厳格な運用が求められる傾向があります。

具体的には、電子カルテや診療録など医療情報へのアクセス権限の管理、記録媒体の持ち出しルール、外部委託先（システム開発会社やクラウドサービス事業者など）との契約内容の確認、従業者に対する教育の実施記録などが、審査の際に重点的に確認される項目として挙げられます。

また、医療機関特有の事情として、患者本人からの開示請求や訂正請求への対応体制、院内の複数部門にまたがる個人情報の取扱いルールの統一なども、事前に整理しておくとスムーズな審査につながります。日頃からPMSの運用記録を蓄積しておくことが、審査対応の負担を軽減する近道です。

個人情報保護マネジメントシステム（PMS）運用の基本

プライバシーマークの認定基準であるJIS Q 15001は、個人情報の取得・利用・保管・提供・廃棄までの一連のライフサイクルに対して、組織的・人的・物理的・技術的な安全管理措置を講じることを求めています。医療情報を扱う事業者の場合、これらの措置に加えて、要配慮個人情報（病歴等）の取得に関する本人同意の取得方法や、第三者提供の制限についてもより慎重な運用が必要です。

PMSを継続的に機能させるためには、年に一度の内部監査やマネジメントレビューを通じて、運用状況を振り返り、改善点を次年度の計画に反映させるサイクルを回すことが基本となります。特に医療・介護分野では、従業者の入れ替わりが比較的多い傾向があるため、教育・研修の実施記録を継続的に蓄積し、新任者への周知を徹底する体制づくりが重要です。

特に人間ドックや健診センターのように、多数の受診者の医療情報を集約的に扱う施設では、情報の集約度が高い分、漏洩時の影響も大きくなります。そのため、MEDIS-DCの取得を検討する際は、通常のPマーク取得よりも早い段階から準備に着手することが望ましいとされています。

よくある質問（FAQ）