健康保険法 第150条の5（安全管理措置）

レセプトや特定健診等のデータを、特定の個人を識別できないよう加工したうえで、研究や事業のために提供される情報です。健康保険法 150 条の 2 以下が提供と利用の枠組みを定めています。

利用申出を経て匿名診療等関連情報の提供を受けた者、つまり大学等の研究者、製薬企業、ヘルステック事業者、自治体などです。データを受け取った時点で本条の名宛人になります。

健康保険法 150 条の 5 は「厚生労働省令で定める措置」と規定し、内容を省令に委任しています。実務ではこれに提供元の利用条件やガイドラインが上乗せされます。

利用終了後の取扱いは 150 条の 4 関係の規定と提供元との利用契約が定めるため、漫然と保管を続けるのは危険です。消去・返却の期限と方法を承認時点で確認してください。

省令が求める人的安全管理措置を「講じた」と示す証拠は記録です。実施日、対象者、内容を残していない組織は、検査時に口頭運用だったと評価されるおそれがあります。

委託自体が一律に禁じられるわけではありませんが、委託先の選定と監督も本条の射程です。再委託の可否、保管場所、閲覧権限は利用申出の記載範囲内に収める必要があります。

実務上はアクセス権限台帳、端末一覧、入退室記録、アクセスログ、従事者教育の記録、委託契約書などです。日常的に記録していなければ、直前に作れるものはありません。

本条の名宛人は利用者本人であり、情報システム部門に丸投げできません。異動時の権限削除や退職者からの端末回収など、人の管理は現場責任者の担当領域です。

匿名化は再識別不可能を保証するものではなく、他の情報と突き合わせれば個人にたどり着く余地が残る。だからこそ 150 条の 3 が照合等を禁止し、本条が入れ物側の管理を義務付けるという二段構えになっている。業界裏話ヒント：審査で落ちる申出の多くは研究計画の質ではなく、この管理体制の記載が薄いことが原因。査読より先に読まれるのは体制欄である

厚生労働省令が定める措置が基準となり、実務では組織的・人的・物理的・技術的の四分類で体制を組む。責任者の設置、従事者教育、入退室管理、アクセス制御とログ保存が典型例である。業界裏話ヒント：省令より提供元との利用契約や提供ガイドラインの方が細かく厳しいことが多い。監査で見られるのは契約書の条件であり、法令の最低ラインではない

本条違反が直ちに刑罰に直結する構造ではなく、まずは報告徴収や立入検査、そして是正命令という行政的な段階を踏むのが通常である。ただし秘密保持義務違反など別条の罰則に該当する行為は別枠で処理される（罰則の条番号と法定刑は最新の改正状況をご確認ください）。業界裏話ヒント：実務で最も痛いのは罰則ではなく、利用の停止と以後の申出が通らなくなること。研究者にとっては事実上の退場処分に近い

クラウド利用そのものが禁止されているわけではなく、委託先の選定と監督、保管場所やアクセス経路の技術的制御が適切かどうかで判断される。150 条の 2 に基づく利用申出の記載範囲を超えた運用は、法令以前に契約違反になりやすい。業界裏話ヒント：無料枠や個人アカウントでの一時保管が、事故報告書に最も多く登場する。監査で問われるのは本番環境ではなく、検証用の環境である