友だち追加で、後日の疑問もLINEで個別相談
認定医療情報等取扱受託事業者の認定申請に関するご相談を承ります。必要な準備と手続きの進め方を整理し、ご希望の業務範囲に応じて支援します。
図表の使い方：図表右上の「目次」をクリック（スマートフォンではタップ）し、読みたい項目をお選びください。続きがある場合は「次へ」でご覧いただけます。詳しい説明は本文にも掲載しています。
許認可・届出の準備や依頼範囲の疑問は、LINEで緒方法務事務所へ個別にご相談いただけます。友だち追加後、トーク画面からご質問ください。 LINEで質問・相談
認定医療情報等取扱受託事業者とは、認定匿名加工医療情報作成事業者または認定仮名加工医療情報作成事業者から委託を受け、医療情報等を取り扱う法人について、次世代医療基盤法に基づき国が認定する制度です。
医療分野では、診療情報、検査情報、健康診断情報その他の医療情報を研究開発や新薬・医療機器の開発、医療技術の向上等に活用するため、大量の医療データを安全かつ適正に取り扱うための法的枠組みが設けられています。
その中心となる法律が、「医療分野の研究開発に資するための匿名加工医療情報及び仮名加工医療情報に関する法律」、いわゆる次世代医療基盤法です。
認定作成事業者が管理する医療情報等の取扱いを外部の事業者へ委託する場合、一定の重要な情報については、原則として認定医療情報等取扱受託事業者への委託という法的枠組みが採用されます。
そのため、医療データの保管、システム運用、データ処理、クラウド・データセンター業務その他の業務を認定作成事業者から受託する事業者にとって、認定医療情報等取扱受託事業者の認定は、医療情報ビジネスへ参入するための重要な制度となります。
緒方法務事務所では、認定の必要性に関する法令調査から、委託スキームの整理、安全管理体制の構築、内部規程・申請書類の作成、主務府省との事前相談、申請、補正対応、認定後の変更手続まで一貫して支援します。
ご希望に応じて、助言・特定書類の作成など必要な範囲を承ります。報酬と適用条件は、下記の「ご依頼範囲別の報酬」をご確認ください。
認定の対象となるのは、認定匿名加工医療情報作成事業者または認定仮名加工医療情報作成事業者から、医療情報等の取扱いの全部または一部について委託を受ける法人です。
対象には、直接の委託だけでなく、二以上の段階にわたる委託、すなわち一定の再委託も含まれます。
ここでいう「医療情報等」は、単なる匿名化済みデータだけを意味するものではありません。
患者等に関する医療情報そのもののほか、匿名加工医療情報または仮名加工医療情報を作成する際に削除した記述や個人識別符号、加工方法に関する情報、匿名加工医療情報、仮名加工医療情報など、極めて機密性の高い情報が制度上の対象となります。
したがって、一般的な個人情報の取扱い以上に厳格な情報セキュリティ、組織管理、アクセス管理、物理的安全管理その他の安全管理措置が要求されます。
認定医療情報等取扱受託事業者の認定は、医療情報を独自に収集し、自由に利用するためのライセンスではありません。
受託事業者は、認定作成事業者等から委託された業務の範囲において、認定事業管理情報等を取り扱う立場にあります。
したがって、事業スキームを検討するときには、単に「認定を取る」ことだけではなく、誰が認定作成事業者となるのか、どの業務を受託するのか、どの情報を取り扱うのか、どの設備で処理するのか、誰がアクセスするのか、再委託を行うのかという点まで具体的に整理する必要があります。
認定申請は、この実際の業務スキームと整合していなければなりません。
認定医療情報等取扱受託事業者だけが、委託元との関係を切り離して単独で認定申請を進める制度ではない点に注意が必要です。
現行の次世代医療基盤法ガイドラインでは、医療情報等取扱受託事業者の新規認定について、認定作成事業者の新規認定または既存の認定作成事業者の変更認定との間で、医療情報等の取扱いの委託関係が整合するよう、一体的に申請する必要があるとされています。
したがって、受託事業者側だけで申請書類を作成すれば足りるものではありません。
委託元となる作成事業者の認定内容、事業実施体制、情報処理フロー、委託業務の範囲、安全管理体制、監督方法、契約内容などを相互に整合させながら申請設計を行う必要があります。
この点は、一般的な許認可申請とは大きく異なる認定医療情報等取扱受託事業者制度の重要な特徴です。
医療データ基盤の構築・運営に関与するIT事業者、データセンター事業者、クラウド関連事業者、システム運用事業者、データ処理事業者などが認定対象となることがあります。
もっとも、事業者の業種だけで認定の要否が決まるわけではありません。
重要なのは、認定作成事業者からどのような委託を受け、どの情報にアクセスし、どのような処理を行うかです。
単なるシステム開発会社であっても、本番環境で医療情報等を取り扱う場合と、医療情報等に一切アクセスせずシステム開発だけを行う場合とでは、法的評価が異なる可能性があります。
そのため、認定申請に着手する前に、まず事業スキームと情報フローを整理し、認定対象となる業務を確定させることが重要です。
申請法人、その特定役員、特定使用人その他制度上確認が必要となる者について、法令上の欠格事由に該当しないことが必要です。
申請に際しては、欠格事由等に該当しない旨を確認する誓約書や、役員・使用人に関する資料等を整備します。
経営陣や業務責任者の変更が認定後の変更認定または届出の対象となる場合もあるため、申請時だけでなく認定後の組織変更管理も重要となります。
認定審査の中心となるのが、医療情報等の漏えい、滅失、毀損その他の事故を防止するための安全管理措置です。
単に情報セキュリティポリシーを作成すれば足りるものではありません。
組織として誰が責任を負うのか、誰がデータを取り扱えるのか、アクセス権限をどのように付与・変更・削除するのか、操作をどのように記録するのか、事故をどのように検知するのか、漏えい等が発生した場合にどのように対応するのかまで具体的に制度設計する必要があります。
安全管理に関する基本方針を定め、安全管理責任者を配置し、取扱者の権限・責務及び業務範囲を明確にする必要があります。
漏えい等の事故が発生した場合の報告・対応体制、安全管理措置に関する規程の策定、実施状況の評価、改善の仕組みなども審査対象となります。
形式上規程が存在するだけではなく、実際の組織・業務フローと一致していることが重要です。
医療情報等を取り扱う者について、適切な選任、権限管理、教育及び訓練を実施する体制が必要です。
取扱者の範囲を必要最小限に限定し、それぞれの権限と責任を明確化するとともに、認定事業管理情報等の適切な取扱いを継続的に確保する必要があります。
情報セキュリティ教育についても、一度実施すれば足りるものではなく、継続的な教育・訓練体制として説明できる状態が求められます。
医療情報等を取り扱う施設・設備について、一般の業務区域と明確に区分し、立入りや機器の持込み・持出しを適切に管理する必要があります。
管理区域・取扱区域の設定、入退室管理、監視、端末装置の管理、記録媒体の利用制限、データの消去・廃棄など、実際の施設及びシステム構成に即した対策が必要となります。
オフィス、データセンター、クラウド環境など、実際に利用する設備ごとに安全管理構造を整理することが重要です。
不正アクセスの防止、アクセスログ・操作ログの取得、異常操作の検知・制御、通信経路の保護、サーバ及び端末装置の管理など、高度な技術的安全管理が必要となります。
認定申請では、抽象的な「セキュリティ対策を実施しています」という説明では足りません。
認証方式、権限管理、ネットワーク構成、端末制御、ログ管理、通信・移送方法、障害対策などを、実際のシステム構成と一致する形で文書化する必要があります。
漏えい等の情報セキュリティ事故だけでなく、システム障害その他の事態についても、発生防止、検知、対応及び復旧の体制を整備する必要があります。
医療情報等という極めて重要な情報を取り扱うため、通常のITサービス以上に、障害発生時の責任分担、報告経路、復旧手順等を明確にしておく必要があります。
認定医療情報等取扱受託事業者について、認定匿名加工医療情報作成事業者や認定仮名加工医療情報作成事業者のすべての認定要件がそのまま適用されるわけではありません。
受託事業者については、作成事業者に要求される統括管理責任者、医療情報加工責任者、研究開発推進責任者及び医療情報取得・整理責任者を配置することは求められていません。
また、受託事業者の新規認定では、作成事業者に要求される「経理的基礎に関する書類」や「医療情報の規模及び内容に関する書類」も認定基準適合資料として要求されていません。
一方で、安全管理責任者の配置をはじめとする高度な安全管理体制は必要です。
したがって、作成事業者向けの認定申請書類をそのまま転用するのではなく、受託事業者に適用される認定基準を正確に切り分けて申請書類を設計することが重要です。
新規認定申請では、認定申請書だけでなく、安全管理体制の実態を説明する多数の資料を作成する必要があります。
認定申請書は所定の様式により作成し、法人の名称及び住所、医療情報等の管理方法、特定役員・特定使用人の氏名などを記載します。
これに加えて、安全管理に係る基本方針、安全管理責任者の配置、取扱者の権限・責務・業務、漏えい等発生時の事務処理体制、安全管理規程の策定・実施・評価・改善、教育・訓練、不適切な取扱いの防止、施設設備の区分、入退室・機器持込み管理、端末機能の制限、消去・廃棄、不正アクセス防止、ログ管理、通信・移送、サーバ接続、被害補償、障害対策などについて説明する資料を整備します。
さらに、定款及び登記事項証明書、特定役員・特定使用人に関する資料、申請年度及び翌年度の事業計画書及び収支予算書なども必要となります。
認定医療情報等取扱受託事業者の申請では、委託元との契約関係そのものが認定審査と密接に関係します。
新規認定申請では、認定事業管理情報等の取扱いの全部または一部の委託・再委託に関する契約について、認定取得を停止条件とする内容の契約書を申請資料として整備することが予定されています。
また、認定作成事業者の事業運営の中で受託事業者がどのように位置付けられているのか、委託元が受託事業者をどのように監督するのかについても説明する必要があります。
したがって、委託契約書は一般的なシステム業務委託契約の延長で作成するのではなく、次世代医療基盤法及び認定制度との整合性を確認しながら設計する必要があります。
認定医療情報等取扱受託事業者が、委託された認定事業管理情報等の取扱いをさらに再委託する場合には、自由に再委託できるわけではありません。
委託元となる認定作成事業者の許諾を得たうえで、認定医療情報等取扱受託事業者に対して行う場合に限って再委託することができます。
したがって、クラウド事業者、データセンター事業者、システム運用会社その他の外部事業者を利用する場合には、その事業者が単なるインフラ提供者なのか、制度上の「医療情報等の取扱い」を受託する者に該当するのかを事前に検討する必要があります。
多段階の委託スキームでは、契約関係と実際のデータフローを一致させることが特に重要です。
最初に、認定作成事業者、受託事業者、再委託先その他の関係者を整理し、各社が実施する業務と取り扱う情報を明確にします。
契約関係だけでなく、実際のデータフロー、サーバ、クラウド環境、管理区域、アクセス権限まで確認します。
受託事業者の新規認定は、委託元となる作成事業者の認定または変更認定との整合性が必要です。
どの認定・変更手続と同時に進めるのかを確定し、双方の申請書、組織体制図、業務フロー、契約書及び安全管理資料が矛盾しないよう設計します。
現在の情報セキュリティ体制と次世代医療基盤法上の要求事項との差異を確認します。
既存の情報セキュリティ規程、ISMS関連資料、アクセス管理規程、インシデント対応規程等を確認し、認定申請に不足する制度・運用・証跡を特定します。
安全管理基本方針、安全管理責任者、取扱者管理、事故対応、施設管理、アクセス制御、ログ管理、通信、データ消去その他の認定資料を作成します。
単に行政提出用の書類を作るのではなく、実際に社内で運用できる内容として整備することが重要です。
認定申請書類を提出する前に、事業スキーム、委託関係、安全管理体制等について主務府省との事前相談を進めます。
特に新規スキームやクラウド利用、多段階委託、複雑なシステム構成がある場合には、正式申請前に論点を整理しておくことが重要です。
正式申請後は、主務府省による申請書類の確認及び審査が行われます。
追加説明、資料提出、申請書類の修正その他の対応が必要となることがあるため、審査中も行政とのやり取りに継続して対応します。
認定取得は手続の終了ではなく、継続的な法令遵守の開始です。
医療情報等の管理方法や重要な組織体制等を変更する場合には、内容に応じて変更認定または変更届出が必要となります。
情報セキュリティ体制、委託関係、役員・使用人、システム構成等を変更するときは、変更前に認定・届出の要否を確認することが重要です。
認定医療情報等取扱受託事業者の新規認定には、原則として1件につき15万円の登録免許税が課されます。
所定の方法で事前に納付し、その領収証書を認定申請書類とともに提出します。
なお、法律上非課税となる法人については、登録免許税が不要となる場合があります。
認定後も、認定事業管理情報等について継続して安全管理措置を講じる必要があります。
取扱者の監督、アクセス管理、教育、ログ管理、事故対応、安全管理措置の評価及び改善などを継続的に実施しなければなりません。
漏えい等の事態が発生した場合には、法令に基づく報告等が必要となる場合があります。
また、再委託やシステム変更、組織変更等についても、認定内容との整合性を継続して管理する必要があります。
当事務所では、単なる申請書の作成ではなく、認定取得を前提とした事業スキーム・内部管理体制・申請書類の一体設計を重視しています。
認定医療情報等取扱受託事業者の申請では、法令の理解だけでなく、委託契約、組織体制、情報セキュリティ、システム構成、内部統制を相互に整合させる必要があります。
特に、認定作成事業者との一体申請をどのように構築するか、安全管理措置をどのように文書化するか、実際のシステム構成を行政提出資料へどのように落とし込むかが重要となります。
当事務所では、事業内容とデータフローを確認したうえで、認定要否の法令調査、行政との事前相談、委託スキームの整理、安全管理体制の構築、規程・マニュアル作成、認定申請書及び添付書類の作成、委託契約との整合性確認、正式申請、追加資料・補正対応まで一貫して支援します。
医療データビジネスは、次世代医療基盤法だけを確認すれば完結するとは限りません。
事業内容によっては、個人情報保護法、情報セキュリティに関する各種ガイドライン、医療・ヘルスケア分野の規制、クラウド利用に関する規制、契約上のデータガバナンスその他の論点が関係します。
また、医療データをFinTech、InsurTech、ヘルスケアサービス、AI、研究開発その他の事業へ活用する場合には、事業全体の法的スキームを確認する必要があります。
緒方法務事務所では、金融・データ・テクノロジー分野の行政規制を横断的に検討し、単一の申請手続だけではなく、事業化を前提とした行政法務を支援します。
当事務所代表は特定行政書士です。
認定申請の代理・申請書類作成に加えて、行政書士法その他の関係法令上認められる範囲において、当事務所が関与した許認可等に関する不利益処分について、行政不服申立てまで一貫した対応を検討することができます。
難易度の高い行政認定だからこそ、申請段階から処分後までを見据えた法的整理を行います。
助言のみ、特定書類の作成のみ、調査・確認・補正などの部分支援にも対応します。ご希望の業務範囲を確認し、正式なご依頼前に報酬をご案内します。
1時間110,000円（税込）・完全予約制です。具体的な法令判断や資料確認を伴う専門相談について、相談事項と資料確認の範囲を事前にご案内します。初回メールによる対応可否・進め方のご案内は無料です。
書類1通55,000円（税込）から。10頁以内の書類についての最低報酬の目安です。分量、専門性、調査・確認の範囲、関連書類との整合性確認、修正対応の範囲などにより個別にお見積りします。個別メニューに別途料金を掲載している場合は、その金額・条件を適用します。
内容・範囲に応じた個別見積りです。対象資料、確認事項、成果物、行政庁への対応や修正の範囲を事前に定めます。予備調査等の個別メニューに料金を掲載している場合は、その金額・条件を適用します。
以下は、記載した申請・届出等の支援範囲に応じた報酬です。部分的なご依頼は、手続全体の支援報酬とは別にお見積りします。
認定医療情報等取扱受託事業者認定申請サポート報酬は、1,650,000円（税込）からとなります。
実際の報酬額は、委託スキーム、システム構成、既存規程の整備状況、作成する規程・マニュアルの量、行政との事前相談の状況、委託元となる認定作成事業者との調整範囲等によって異なります。
登録免許税その他の実費は別途必要となります。
認定医療情報等取扱受託事業者の認定申請は、全国の事業者からご相談いただけます。
東京都、神奈川県、埼玉県、千葉県をはじめ、全国のIT企業、医療情報関連企業、データプラットフォーム事業者、クラウド・システム事業者等に対応します。
オンラインでの打合せにも対応しているため、所在地にかかわらず申請支援が可能です。
委託元との関係を切り離した単独申請を前提とする制度ではありません。
新規認定については、認定作成事業者の新規認定または変更認定との間で、委託関係を予定した整合的な内容となるよう一体的に申請する必要があります。
したがって、まず委託元となる認定作成事業者と申請スキームを整理する必要があります。
いいえ。
認定医療情報等取扱受託事業者は、認定作成事業者等からの委託に基づいて医療情報等を取り扱う事業者です。
認定そのものが、医療情報を独自の目的で自由に収集・利用できる権限を与えるものではありません。
ISMS等の情報セキュリティ認証を取得していることだけで、次世代医療基盤法上の認定要件を満たすとは限りません。
認定制度では、組織的、人的、物理的、技術的な安全管理措置について、次世代医療基盤法及びガイドラインに沿った具体的な体制が審査されます。
既存のISMS関連規程を活用できる場合でも、認定制度固有の要求事項とのギャップ分析が必要です。
クラウドを利用していることだけを理由として認定が否定されるものではありません。
ただし、クラウドを含めた実際の情報システム構成、データ保存場所、アクセス権限、通信経路、ログ管理、委託・再委託関係等を整理し、必要な安全管理措置を満たしていることを説明する必要があります。
可能ですが、変更内容によっては事前の変更認定または変更後の届出が必要となります。
医療情報等の管理方法、重要な役員・使用人、施設・設備、委託関係等を変更するときは、変更手続の要否を事前に確認することを推奨します。
一定の条件のもとで可能です。
認定作成事業者から委託を受けた認定医療情報等取扱受託事業者が再委託する場合には、委託元である認定作成事業者の許諾を受け、かつ、原則として認定医療情報等取扱受託事業者へ再委託する必要があります。
認定医療情報等取扱受託事業者の申請では、「申請書を作る前」の制度設計が認定取得の成否を大きく左右します。
委託元となる認定作成事業者との関係、受託業務の範囲、医療情報等のデータフロー、システム構成、安全管理体制、委託契約及び申請書類を一体として設計する必要があります。
特に、新規認定の場合には、委託元となる作成事業者の新規認定または変更認定との一体申請が必要となるため、早い段階から申請全体の工程を設計することが重要です。
医療情報等の受託事業への参入、既存の認定作成事業者からの業務受託、新たなクラウド・データ処理スキームの構築、再委託スキーム等を検討されている事業者の方は、緒方法務事務所までご相談ください。
専門相談・面談は完全予約制・有料です。
初回メール相談は無料です。対応可否と今後の進め方をご案内します。具体的な法令判断・資料確認を伴う専門相談・面談は完全予約制・有料で、範囲と料金を事前にご案内します。相談の範囲・料金を確認して問い合わせる
対象となる制度は事業内容によって異なります。検討中の業務に当てはまる項目をご覧ください。
匿名加工医療情報を作成する側の認定を検討する場合は、認定匿名加工医療情報作成事業者の認定申請｜次世代医療基盤法をご覧ください。
医療分野の研究開発に資するための匿名加工医療情報及び仮名加工医療情報に関する法律（e-Gov法令検索）
編集・発信：行政書士 緒方法務事務所
運営責任者：特定行政書士 緒方 隆朗（資格・経歴・事務所概要）
ページ更新日：2026年10月16日