Pulse医療・金融・士業での利用
3省2ガイドラインやFISC、士業の守秘義務との関係と、現時点で対応できる範囲です。
医療機関、金融機関、法律事務所・税理士事務所、官公庁からは、業種固有の規制やガイドラインとの関係についてお問い合わせをいただきます。この記事では、4つの分野ごとに、Pulseをどのような範囲で使えるのか、導入の検討にあたって何を確認していただく必要があるのかを整理します。
Pulseが記録するのは、デスクトップアプリ（macOS / Windows）を入れたパソコンで参加するオンライン会議です。診察室や相談室での対面のやり取り、電話での通話は対象になりません。院内会議やカンファレンスのように、パソコンから参加するオンライン会議を前提にお読みください。
この記事はUNCHAIN株式会社が一般的な情報としてまとめたものであり、法律上の助言ではありません。貴組織での利用の可否は、所管の規程、業界のガイドライン、監督官庁の指針に照らして、貴組織の責任者の判断でご確認ください。
共通の前提: UNCHAIN株式会社は委託を受ける立場です
4分野に共通する出発点として、UNCHAIN株式会社と貴組織の関係を整理しておきます。
利用目的の達成に必要な範囲内で個人データの取扱いを委託することに伴う提供は、「第三者提供」に該当しません。一方、委託元には、委託先に対する必要かつ適切な監督を行う義務があります。法人向けプランにおいて、貴組織が委託元、UNCHAIN株式会社が委託先という関係になります。
したがって、Pulseの導入は、貴組織にとって外部委託先の選定と管理の問題として整理できます。UNCHAIN株式会社は、委託された業務の範囲を超えて個人データを取り扱いません。貴組織による委託先の選定・審査に必要な情報は、営業窓口またはtharada@the-unchain.com宛のご依頼に応じて資料の形でご提供しています。
医療機関でのご利用
Pulseは、医療機関の院内会議、カンファレンス、各種委員会などの議事録作成にご利用いただけます。一方で、カルテ情報をはじめとする診療情報を取り扱う場合には、追加で検討すべき点があります。
診療情報は要配慮個人情報にあたります
人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実のほか、政令で定める記述等（障害、健康診断等の結果、医師等による指導・診療・調剤、刑事事件手続、少年保護事件手続）を含む個人情報が要配慮個人情報です。その取得には、法定の例外にあたる場合を除き、あらかじめ本人の同意が必要です。
患者さんの病歴や診療情報がこれに該当します。同意を求める相手は患者さんご本人であり、会議の主催者や管理者が代わりに同意することはできません。
あわせて、漏えい時の報告の基準にも影響します。要配慮個人情報を含む個人データについては、漏えい等が1件でも個人情報保護委員会への報告対象になります（個人情報保護法施行規則第7条第1号）。診療情報を扱う会議を記録するかどうかは、この報告基準を前提に判断してください。
3省2ガイドラインとの関係
医療機関が外部の情報処理サービスを利用する場合、次の2つのガイドラインに沿った対応が求められます。両者をあわせて「3省2ガイドライン」と呼ばれています。
| 対象 | 名称 | 所管 |
|---|---|---|
| 医療機関等が守る事項 | 医療情報システムの安全管理に関するガイドライン 第6.0版 | 厚生労働省 |
| サービス提供事業者が守る事項 | 医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン 第2.0版（令和7年3月改定） | 経済産業省・総務省 |
UNCHAIN株式会社は、事業者側の要求事項への対応状況をまとめた資料を、医療機関のご担当者さま向けに個別にご提供しています。導入のご検討にあたっては営業窓口までお問い合わせください。
3省2ガイドラインには、第三者が適合性を認証する制度はありません。「3省2ガイドライン認証を取得しています」という記載は事実に反するため使用しないでください。記事に書けるのは「事業者側の要求事項に沿った管理策を実装しています」「対応状況を記載した資料をご提供します」といった、検証可能で限定的な表現に限られます。UNCHAIN株式会社の実際の対応範囲に合わせて記載してください。
具体的な診療情報をPulseで取り扱う場合は、貴院の医療情報システム安全管理責任者にご確認のうえ、リスクアセスメントを実施いただくことをおすすめします。
次世代医療基盤法の枠組みについて
次世代医療基盤法（正式名称「医療分野の研究開発に資するための匿名加工医療情報及び仮名加工医療情報に関する法律」、平成29年法律第28号）は、医療情報を研究開発に二次利用するための枠組みを定めた法律です。国の認定を受けた事業者に医療情報を提供し、匿名加工または仮名加工した情報として利活用する仕組みになっています。
Pulseは、この認定を受けた事業者ではなく、同法の枠組みに基づく医療情報の収集・加工を行うサービスでもありません。Pulseが担うのは、医療機関の業務の一環として作成される議事録の作成支援です。研究目的での医療情報の二次利用をご検討の場合は、同法の枠組みに沿った別の手続をご確認ください。
米国のHIPAAへの準拠状況をお尋ねいただくことがありますが、同法は米国の法律であって日本国内の医療機関に直接適用されるものではなく、日本での規律は上記の個人情報保護法と3省2ガイドラインの組み合わせによります。米国内の医療機関のお客様でBAA（Business Associate Agreement）の締結をご検討の場合は、営業窓口へ個別にご相談ください。
金融機関でのご利用
金融機関のお客様にもPulseをご利用いただいています。ご検討にあたっては、次の3点をご確認ください。
FISC安全対策基準
公益財団法人 金融情報システムセンター（FISC）の「金融機関等コンピュータシステムの安全対策基準・解説書」（最新は第14版）は、法令ではなく業界の自主基準ですが、金融機関のシステム調達において事実上の標準として参照されています。UNCHAIN株式会社は、FISC安全対策基準の該当項目に対する対応状況をまとめた資料を、金融機関のお客様にご提供しています。
FISC安全対策基準にも第三者認証の制度はありません。「FISC準拠」「FISC基準認証取得」といった記載は避け、「該当項目への対応状況をまとめた資料をご提供します」という書き方にとどめてください。提供できる資料の範囲と版数は、UNCHAIN株式会社の実際の作成状況に合わせて記載してください。
外部委託先の管理態勢
金融機関が外部にシステムを委託する場合、業態ごとの監督指針（「主要行等向けの総合的な監督指針」等）に定める外部委託先の管理態勢に関する規定に沿った対応が必要になります。あわせて、個人情報保護委員会・金融庁「金融分野における個人情報保護に関するガイドライン」は、一般法より加重された安全管理措置と委託先管理を求めています。貴社のリスク評価および委託先審査に必要な情報は、UNCHAIN株式会社からご提供します。
個人情報保護法上の位置づけ
前述のとおり、UNCHAIN株式会社は貴社から個人データの取扱いの委託を受ける立場にあり、この関係は第三者提供にはあたりません。委託先としてのUNCHAIN株式会社の安全管理措置の内容はセキュリティ体制に記載しています。
弁護士事務所・税理士事務所でのご利用
士業の先生方の場合、外部サービスの利用が守秘義務に反しないかが検討の中心になります。
守秘義務の条文
弁護士または弁護士であった者は、その職務上知り得た秘密を保持する権利を有し、義務を負うと定めています。
医師、薬剤師、医薬品販売業者、助産師、弁護士、弁護人、公証人またはこれらの職にあった者が、正当な理由がないのに、その業務上取り扱ったことについて知り得た人の秘密を漏らしたときの罰則（6月以下の拘禁刑または10万円以下の罰金）を定めています。主体が限定された身分犯であり、SaaS事業者やその従業員はこの条文の主体になりません。一方、Pulseをお使いになる弁護士・医師ご自身には適用されるため、士業・医療機関でのご利用にあたっては注意が必要です。
税理士本人について第38条が、その使用人その他の従業者について第54条が、正当な理由なく業務上知り得た秘密を他に漏らし、または窃用してはならない旨を定めています。
外部委託は「漏示」にあたるか
これらの規定が禁じているのは、秘密を「漏らす」ことです。業務遂行に必要な範囲で、守秘義務を課した外部事業者に処理を委託することは、一般に「漏示」にはあたらないと解されています。事務所が事務員、翻訳会社、クラウドストレージ事業者を利用するのと同じ整理です。
ただしこれは、委託先で秘密が適切に保護されていることが前提になります。UNCHAIN株式会社は利用規約および個別の秘密保持契約により守秘義務を負い、お客様のデータをお客様への役務提供以外の目的で利用しません。
実務上おすすめする運用
- 依頼者との委任契約等において、外部クラウドサービスを利用することをあらかじめ説明し、了解を得ておく
- 法人プラン（チームプラン・Enterpriseプラン）を選ぶ。これらのプランではモデル学習への利用を行いません。無料プラン・個人プランをお使いの場合は、利用者本人が設定でオフにする
- 所属する弁護士会・税理士会の情報管理に関する会規・指針に従う
- 依頼者との打合せそのものの記録には使わず、事務所内の会議や研修の記録から導入する
なお、UNCHAIN株式会社は法律事務を取り扱う事業者ではなく、Pulseは法律上の助言を提供するものではありません。
官公庁・地方公共団体でのご利用
政府機関等がクラウドサービスを調達する際は、原則としてISMAP（政府情報システムのためのセキュリティ評価制度）のクラウドサービスリストに登録されたサービスから調達することとされています。ISMAPは、デジタル庁・総務省・経済産業省・内閣サイバーセキュリティセンター（NISC）が所管する制度です。
Pulseは、現時点でISMAPのクラウドサービスリストには登録されていません。政府機関等でのご利用をご検討の場合は、まず調達要件をご確認ください。ISMAP登録が必須とされていない調達では、UNCHAIN株式会社のセキュリティ管理策に関する資料をご提供のうえ、貴組織の基準に照らしてご評価いただいています。
ISMAPは登録の有無をISMAPポータル（ismap.go.jp）の公開リストで誰でも確認できます。未登録のサービスについて「ISMAP準拠」「ISMAP相当」「ISMAPの基準を満たしています」と書くことは、優良誤認表示にあたるおそれがあり、調達手続でも重大な問題になります。Pulseの登録状況が変わった場合は、この節を実態に合わせて書き換えてください。登録済みであれば登録の範囲と有効期限を、申請中であれば「登録が完了するまではISMAPリスト登録サービスではない」旨を明記してください。
4分野に共通する推奨設定
いずれの分野でも、導入時に次の設定を確認しておくと、記録が想定外の範囲に広がることを防げます。
| 設定 | 推奨する状態 | 参照 |
|---|---|---|
| 記録の開始 | 予定を開いたままにせず、会議ごとに開始の操作を行う。開始前の予定を開いておくと、開始時刻に文字起こしが始まります | 文字起こしの仕組み |
| モデル学習への利用 | 法人プラン（チームプラン・Enterpriseプラン）では学習に利用しません。無料プラン・個人プランでご利用の場合は、利用者本人が設定でオフにしてください | AIモデルと学習データ |
| 既定の共有範囲 | 「非公開」または「ワークスペース内」。組織外への公開リンクは使わない | 共有の制御 |
| 文字起こしの保存期間 | 既定はオフ（自動削除しない）です。業務上必要な期間に限定して自動削除を設定してください | 文字起こしの自動削除 |
| 外部サービス連携 | 業務で使うものだけを許可し、他は無効にする | 連携の概要 |
会議の途中で機微な話題に移ったときは、文字起こしを一時停止してください。すでに記録された部分は、文字起こしパネルからブロック単位で削除できます。
- 要配慮個人情報が話題になる会議を、利用しない会議として文書で定めた
- 文字起こしの保存期間を設定した（既定はオフのため、設定しないと残り続けます）
- 既定の共有範囲を確認し、組織外への公開リンクを使わない運用にした
- 委託先審査に必要な資料の提供をUNCHAIN株式会社に依頼した
認証・第三者評価の取得状況
各分野のご担当者から「どのような認証を取得していますか」というご質問をいただきます。ヘルプセンターでは、制度ごとの性質とUNCHAIN株式会社の状況をセキュリティ体制の「認証と第三者評価の取得状況」の表に集約しています。この記事では、その表を参照してご判断ください。
なお、ここまでに挙げた3省2ガイドライン、FISC安全対策基準、次世代医療基盤法には、いずれも第三者が適合性を認証する制度がありません。これらについて「認証取得」「準拠」と説明することはできないため、UNCHAIN株式会社からは該当項目への対応状況をまとめた資料の形でご提供しています。
うまくいかないときは
- 貴組織の情報システム部門からセキュリティチェックシートへの回答を求められた場合: tharada@the-unchain.com宛に、様式と回答期限を添えてご連絡ください。回答の可否と提供できる資料の範囲をご案内します。
- 監督官庁への説明資料が必要な場合: 委託先としてのUNCHAIN株式会社の安全管理措置、データの保管場所、再委託の状況について、書面でご提供できる範囲があります。営業窓口にご相談ください。
- 要配慮個人情報が記録に混入してしまった場合: 該当する文字起こしのブロック、またはノート全体を削除してください。削除の操作はノートの削除をご覧ください。