情報保護管理体制

社会保険診療報酬支払基金（以下「支払基金」という。）は、約20万の保険医療機関等から提出される年間約8億件のレセプトの審査・支払を行っています。
支払基金では、公的な使命を有する組織として十分な社会的責務を果たしていくため、取り扱う情報に関して、高度な情報セキュリティ管理体制を維持していく観点から、以下により情報保護管理の徹底を図っています。

1.社会保険診療報酬支払基金情報セキュリティポリシーによる管理体制

支払基金の業務については、診療内容などの個人情報を中心とする重要情報を膨大に取り扱うものであることから、電子データ並びに電子媒体及び紙媒体に記録されたデータ、情報システム等の情報資産に係る安全対策の基本方針及び対策基準を体系的にまとめた社会保険診療報酬支払基金情報セキュリティポリシー（以下「情報セキュリティポリシー」という。）を平成16年4月に策定し、情報の保護に万全を期しています。
なお、情報セキュリティポリシーは、厚生労働省が定めた「レセプトのオンライン請求に係るセキュリティに関するガイドライン」のセキュリティ条件を確保した体制となっています。

• （1）組織体制として、本部に最高情報セキュリティ責任者を長とする情報セキュリティ委員会を設置し、本・支部に情報セキュリティ管理者、情報セキュリティ管理補助者及び情報セキュリティ管理担当者を置き、情報資産の使用と適切な管理を行うことを定めています。
• （2）情報の分類と管理として、電子媒体や紙媒体の情報を重要度、秘匿性により分類し、一定以上の重要な情報のコピー、外部への持ち出し等については、情報セキュリティ管理担当者の許可を必要とすることなど厳格な運用方法を定めています。
  また、重要情報が記録された電子媒体や紙媒体が不要となった場合は、情報セキュリティ管理担当者の許可を得て、破砕、溶解、焼却等復元できない方法により廃棄することなどを定めています。
• （3）物理的セキュリティとして、サーバなどの設置施設を外部からの侵入を防ぎ、耐震対策、防火対策を講じた構造とするとともに、施設への立入については許可制とすること、許可なく個人所有のパソコン等を事務所内に持ち込んだり、業務用パソコンを事務所外に持ち出してはならないこと、支払基金事務所内に入退所する役職員等には、職員証を着用させる等、管理の徹底について定めています。
• （4）人的セキュリティとして、情報セキュリティ管理者や役職員等関係者の役割・責務を定め、責任を明確にすること、役職員等関係者へ教育・訓練を実施し、情報セキュリティポリシーについて啓発すること、また、パスワードの管理方法などについて定めています。
• （5）技術的セキュリティとして、コンピュータ及びネットワークに対するアクセス記録の取得、アクセスの制御、情報のバックアップを行うこと、情報システムの開発などについての事故・不正行為対策のための遵守事項、コンピュータウイルス対策、外部委託に関する管理方法などを定めています。
• （6）運用として、情報セキュリティ管理者等は、情報セキュリティポリシーが遵守されているか、また、問題が発生していないかについて定期的に確認を行うこと、情報システムの監視を行うことなどを定めています。
• （7）情報システム上の障害・事故発生時等の対応として、情報セキュリティに関する事故等が発生した場合における被害拡大の防止、復旧、連絡等の措置を迅速に実施するための対応手順等を定めています。
• （8）その他、情報セキュリティポリシー実施状況の監査及び点検の結果を踏まえ、必要な措置を行うこと、役職員等関係者は、情報セキュリティに関する規定（法令、内部規定及び契約）を遵守し、適切に職務を遂行しなければならないこと及び罰則について定めています。

2.個人情報の保護に係る管理体制

• （1）支払基金の取り扱うレセプトその他の個人情報は、社会保険診療報酬支払基金情報セキュリティポリシーに基づく厳格な管理を行い、徹底した保護対策に努めています。
• （2）支払基金は、平成17年4月から全面施行された個人情報の保護に関する法律（以下「個人情報保護法」という。）に規定される個人情報取扱事業者として、同法の規定を遵守し、個人情報を取り扱っています。
• （3）支払基金で取り扱う、保険医療機関等から提出された個人情報は、次の業務を遂行するためにのみ利用します。
  • 診療報酬の審査・支払業務及びそれに付帯する業務
  • 健康保険組合による調剤報酬の審査及び支払に伴う審査に関する意見の提出等に係る事務
  • オンライン請求を代行する者の委託を受けて行う請求支援事務
  • 医療施設等設備整備費助成事業
  • 特定健康診査及び特定保健指導に係る費用の決済代行事業
  • 被扶養者情報通知経由事業
  また、法令等に基づく場合の他、事前承認なく、個人情報を第三者に開示・提供することはありません。
• （4）本人からの保有個人データの開示、訂正、利用停止等についての請求があった場合は、個人情報保護法の規定に照らし、速やかに開示等の対応を実施します。
  なお、レセプトについては、審査・支払業務終了後は保険者へ翌月10日までに送付し、また、レセプト電算処理システムの個人データについても、月次処理後3か月間でデータをすべて消去します。したがって、保有個人データに該当せず、レセプトの開示については保険者において対応することになります。

3.社会保険診療報酬支払基金法による規制

支払基金の運営は、「社会保険診療報酬支払基金法」によって規定されており、同法第20条では、審査委員、役員、幹事若しくは職員又はこれらの職にあった者は、職務上知得した秘密を故なく漏らしてはいけない旨の守秘義務が課されています。
また、社会保険診療報酬支払基金定款では、支払基金の基本的な規則を定め、同定款第17条において、役員若しくは職員又はこれらの職にあった者は、その職務に関して知り得た秘密を故なく漏らしてはいけない旨を規定しています。