医療・ヘルスケア系アプリのデータ所在要件 | hanamii ドキュメント

医療機関側: 厚生労働省「医療情報システムの安全管理に関するガイドライン第6.0版」（令和5年5月公表。出典: mhlw.go.jp）
システム・サービス提供事業者側: 経済産業省・総務省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」（令和5年7月改定）

医療機関は前者を、システムを提供する事業者は後者を参照する役割分担になっており、医療情報を扱うシステムでは、データの保存場所・管理体制・委託先の統制について、通常の Web システムより一段重い説明責任が双方に発生します。海外リージョンのクラウド利用が導入審査で問題になるケースは実際にあり、ホスティングの所在が案件の成否に直結する領域です。

「医療情報を扱うシステム」と「扱わないシステム」の境界はどこですか？

要件の重さを分けるのは、患者の医療情報（診療情報・検査結果など）を保存・処理するかどうかです。医療機関向けの Web アプリでも、医療情報を扱わないものは多くあります。

種類	例	要件の重さ
医療情報を扱わない	病院・クリニックの紹介サイト、採用サイト、学会・研究室の広報、健診の一般案内	通常の Web サイトと同等（個人情報を扱う場合は外的環境の把握に留意）
医療情報に近いが本番データなし	院内業務ツールの試作、ダミーデータでの PoC・デモ、研究用プロトタイプ	通常の Web アプリと同等。ただし本番データを入れる前に要件の再確認が必須
医療情報を扱う	電子カルテ、予約・問診で診療情報を保存するシステム、PHR	3省2ガイドライン対応が必要。専門の事業者・要件定義で進める領域

hanamii はどこまで使えますか？

**hanamii は 3省2ガイドラインへの準拠を表明するものではなく、医療情報を扱う本番システムのホスティングは推奨しません。**その前提で、次の範囲では有効です。

医療機関の紹介・広報・採用サイトなど、医療情報を扱わない Web サイト・アプリ
ダミーデータで動く院内業務ツールの試作・PoC（本番化の際は要件を再確認）
医療系スタートアップ・研究プロジェクトのデモ・プロトタイプ公開

これらの用途でも、国内データセンターでの稼働（国内データ所在が要件のとき参照）、IP 制限・Basic 認証による閲覧制限、日本語サポートといった特性は、医療機関側の確認プロセスで説明しやすい材料になります。院内の情報システム担当・委託元からセキュリティチェックを受ける場合はセキュリティチェックシートに回答するときも参照してください。

PoC から本番に進むときの注意

試作段階で医療情報を扱わない構成だったアプリが、本番化で診療情報を保存するようになると、その時点で 3省2ガイドラインの世界に入ります。境界をまたぐ前に、(1) 扱うデータの種類の棚卸し、(2) 3省2ガイドライン該当性の判断、(3) 該当する場合の対応事業者・構成の再設計、の順で確認してください。「試作のまま本番データが入ってしまった」が、この領域で最も避けるべき事故です。

※本ガイドは一般的な情報提供であり、3省2ガイドラインへの適合判断を代替するものではありません。医療情報を扱うシステムの構築時は、各ガイドライン原文の確認と専門家への相談を必ず行ってください。

出典（2026年9月時点）

厚生労働省「医療情報システムの安全管理に関するガイドライン第6.0版」: mhlw.go.jp
経済産業省・総務省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」