HealthLegal
記事一覧お問い合わせ

入口ガイド ｜ 規制の全体像

医療・健康領域で新規事業を始める前に知るべき規制の全体像— 医療法・薬機法（SaMD）・個人情報保護法・3省2ガイドライン・広告規制の5本柱を1枚に

公開: 2026年10月 ｜ 執筆: HealthLegal ｜ 一次資料（厚生労働省 医療情報システムの安全管理に関するガイドライン第7.0版、総務省・経済産業省 医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン第2.0版、プログラムの医療機器該当性に関するガイドライン、医療広告等ガイドライン、オンライン診療の適切な実施に関する指針、個人情報保護委員会ガイドライン、内閣府・消費者庁の公表資料）を確認のうえ作成

3行まとめ

  • 1.医療・健康領域の新規事業に関係しうる規制は、医療法／薬機法（医療機器該当性＝SaMD）／個人情報保護法と次世代医療基盤法／3省2ガイドライン／広告・表示規制の5本柱に整理できます。どれが関係するかは「誰に・何を・どのデータで提供するか」で決まり、サービスの機能そのものより使用目的と表示で判断される柱が多いのが特徴です。
  • 2.規制は「あとから対応する」より「対応しない設計を先に決める」ほうが安く済みます。医療情報を保持しない、医療機関に接続しない、診断に相当する出力をしない、といった設計選択は、それぞれ特定の柱の適用範囲を狭めます。ただし表示や説明資料が設計と食い違うと、その効果は失われます。
  • 3.本記事で自社に関係する柱の当たりをつけたら、3省2ガイドライン対応セルフチェック 全27問で現状を棚卸しし、医療機関に提供する予定があれば3省2ガイドライン対応アセットを確認してください。構想段階の論点整理は30分の無料相談で承っています。

1. 「あとから規制に気づく」典型パターン

医療・健康領域の新規事業で規制の存在にあとから気づくケースには、よくある型が3つあります。

パターン1: 医療機関との初回商談で止まる。 医療機関から「セキュリティチェックシートに回答してください」「SDSはありますか」と求められ、何を聞かれているのか分からないまま商談が止まります。医療機関側には事業者選定時に確認すべき事項を定めたガイドラインがあり、その要求が調達要件として事業者側に降りてきます。

パターン2: リリース直前にLPの表現を差し替える。 「◯◯を検知」「改善率◯%」といった訴求を用意したあとで、その表現がプログラムの医療機器該当性や広告規制に触れる可能性に気づきます。該当性は機能ではなく使用目的と表示で判断されるため、開発が終わっていても作り直しが起こります。

パターン3: 同意画面を作ったあとでデータの扱いが決まる。 病歴や検査結果は要配慮個人情報にあたり、取得には原則として本人の同意が必要です。何を取得し、保持し、誰に渡すかが決まる前に画面を作ると、同意文言とデータの流れが食い違います。

いずれも、着手前に「どの柱が自社に関係するか」を把握していれば防げます。

2. 5本柱の全体像

事業者の視点では、医療・健康領域の規制は次の5本柱に整理できます。すべてが同時に関係することは少なく、「誰に・何を・どのデータで提供するか」で関係する柱が決まります。

柱 何を規制するか あなたのサービスに関係するか判定の目安 主な一次資料
医療法医療機関の開設・運営、オンライン診療の位置づけ、医療機関の広告医療機関と連携する、オンライン診療の場を提供する、医療機関の集患に関わるオンライン診療の適切な実施に関する指針、医療広告等ガイドライン
薬機法（医療機器該当性＝SaMD）疾病の診断・治療・予防を目的とするプログラムの承認・認証等入力や計測値から疾病の候補やリスクを表示する、治療方針の提示や支援を行うプログラムの医療機器該当性に関するガイドライン
個人情報保護法＋次世代医療基盤法病歴・検査結果など要配慮個人情報の取得・利用・提供。医療情報の研究開発向け二次利用病歴・検査結果・診療内容を取得または保持する。医療情報を研究開発目的で二次利用したい個人情報保護委員会 通則編ガイドライン、次世代医療基盤法
3省2ガイドライン医療情報を扱うシステム・サービスの安全管理（医療機関側と事業者側の双方）医療機関に情報システム・SaaSを提供する。医療機関が作成した医療情報を患者の指示で受け取る厚労省ガイドライン第7.0版、総務省・経産省ガイドライン第2.0版
広告・表示医療機関の広告、医薬品・医療機器等の広告、一般消費者向け表示効果・効能に関わる訴求をする、医療機関の広告を媒介する、体験談やインフルエンサー投稿を使う医療広告等ガイドライン、医薬品医療機器等法第66条・第68条、景品表示法

以下、柱ごとに整理します。本記事は特定のサービスの該当・非該当を評価するものではなく、各ガイドラインに掲載された一般的な考え方のみを示します。

3. 医療法

関係する典型ケース

医療法は病院・診療所の開設や運営を定める法律で、事業者が直接の名宛人になる場面は限られます。しかし医療機関側がこの法律と関連指針に拘束されている以上、連携するサービスもその枠内で設計する必要があります。

厚生労働省の「オンライン診療の適切な実施に関する指針」（平成30年3月策定、令和8年4月改訂）は、医師と患者の間で情報通信機器を通じて行う行為を「オンライン診療」「オンライン受診勧奨」「遠隔健康医療相談」に分け、適用範囲を定めています。診断や処方をリアルタイムで行うオンライン診療には指針が全面適用され、個別の状態に応じた医学的判断を伴わない一般的な情報提供にとどまる遠隔健康医療相談は対象外です。令和8年4月施行の医療法改正でオンライン診療に関する規定が新設され、「オンライン診療受診施設」という施設類型も定義されました。

同指針は「オンライン診療システム事業者が行うべき対策」も明記しており、医療機関へのセキュリティリスクと責任分界点の説明、脆弱性などのリスク発生時の速やかな情報提供、運用保守に関わる者のアクセス権限の管理などが挙げられています。

最初にやること

自社のサービスが提供するやりとりが、指針の3分類のどこに位置づくかを言葉にすることです。「診断や処方に至るか」「個別の状態に応じた医学的判断を伴うか」で分類が変わり、関係する義務の範囲も変わります。

一次資料

4. 薬機法（医療機器該当性＝SaMD）

関係する典型ケース

プログラムは、疾病の診断・治療・予防に寄与するなど医療機器としての目的性を持ち、意図どおりに機能しない場合に生命や健康に影響を与えるおそれがあるとき、医薬品医療機器等法の医療機器プログラム（いわゆるSaMD）として規制され、承認・認証や製造販売業の許可など一式の手続が必要になります。

判断の公式な物差しは、厚生労働省の「プログラムの医療機器該当性に関するガイドライン」（令和3年3月31日、令和5年3月31日一部改正）です。同ガイドラインは医療機器に該当しない典型的な事例として、患者説明用、院内業務支援・メンテナンス用、使用者が自らの医療・健康情報を閲覧等するもの、生命や健康に影響を与えるリスクが低いものの4類型を示しています。一方で、入力情報をもとに疾病の候補や罹患リスクを表示する、推奨される治療方法を提示するといった処理は、使用目的を明確にして判断すべき要素です。

リスクの程度を判断しにくい場合の考慮要素は、得られた結果が疾病の治療や診断等にどの程度寄与するのか、機能の障害等が生じた場合に生命や健康に影響を与えるおそれを含めた総合的なリスクの蓋然性がどの程度あるか、の2点です。複数の機能を持つプログラムは機能ごとに確認します。「医療機器ではない」と表示すること自体に該当性を否定する効力はありません。

最初にやること

想定する使用者（医療関係者か、その管理下にない一般の利用者か）、使用目的、入力と出力、アルゴリズムが公知の情報に基づくか独自か、を整理した1枚を作ることです。これは同ガイドラインが「判断のために明確にすべき項目」として例示している内容で、相談の基礎資料にもなります。該当性の相談は厚生労働省監視指導・麻薬対策課が一元的に受け付けており、PMDAの「SaMD一元的相談窓口」から該当性・薬事開発・医療保険の相談をまとめて申し込めます。相談は無料です。

一次資料

5. 個人情報保護法と次世代医療基盤法

関係する典型ケース

この領域で個人情報保護法の中心論点になるのは「要配慮個人情報」の扱いです。個人情報保護委員会のガイドライン（通則編、令和8年6月一部改正）は、病歴、健康診断等の検査結果、検査結果等に基づく指導・診療・調剤、障害があることなどを要配慮個人情報として挙げています。取得や第三者提供には原則として本人の同意が必要で、オプトアウトによる第三者提供は認められません。

健康アプリやPHR、医療機関から診療情報を受け取るサービス、問診や検査結果をAIで処理するサービスは、いずれもこの柱が関係します。医療機関からの業務委託として扱う場合は、委託元の医療機関が「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」（令和8年4月一部改正）に基づいて委託先を監督する立場にあり、事業者はそれに応える安全管理措置を求められます。

次世代医療基盤法（医療分野の研究開発に資するための匿名加工医療情報及び仮名加工医療情報に関する法律）は、医療情報を研究開発目的で二次利用するための別枠の仕組みです。国の認定を受けた認定作成事業者が、協力する医療機関等から本人への通知に基づいて医療情報の提供を受け、匿名加工または仮名加工したうえで研究機関や製薬企業などに提供します。令和5年の改正で仮名加工医療情報の仕組みと利用事業者の認定制度が設けられました。医療機関のデータを研究開発に使う構想がある場合、個人情報保護法上の同意取得と認定事業者経由の利用のどちらの経路を取るかが設計の分岐になります。

最初にやること

取得するデータの一覧を作り、要配慮個人情報にあたる項目に印をつけることです。そのうえで保持・破棄・提供先を書き出し、同意画面やプライバシーポリシーの文言をその流れに合わせます。

一次資料

6. 3省2ガイドライン

関係する典型ケース

「3省2ガイドライン」は、医療情報の安全管理に関する2つのガイドラインの総称です。ひとつは厚生労働省の「医療情報システムの安全管理に関するガイドライン 第7.0版」（2026年6月）で、医療機関等の側の遵守事項を定めます。もうひとつは総務省・経済産業省の「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン 第2.0版」（令和2年8月策定、令和7年3月改定）で、事業者側の遵守事項を定めます。

典型ケースは、医療機関に情報システム・SaaS・AIサービスを提供する場合です。第7.0版の概説編は、医療機関等が安全管理の水準を満たした事業者を選定し、契約等で責任分界を明確にし、必要に応じて事業者の2省ガイドライン遵守状況を確認することを求めています。また、医療機関等が作成した医療情報を患者の指示で事業者に直接提供した場合、その情報は2省ガイドラインの対象になると明記されており、医療機関と直接契約しないPHR型のサービスでも無関係ではありません。

具体的に医療機関から求められるのが、SDS（サービス仕様適合開示書）とMDS（製造業者/サービス事業者による医療情報セキュリティ開示書）です。第7.0版で新設された保守委託機関編は、医療情報システムの導入時に事業者へMDS/SDSの提出を求め、別紙の確認事項がすべて「はい」または「対象外」となっている事業者を選定することとしています。冒頭のパターン1はこの仕組みを知らないために起きます。

最初にやること

医療機関に提供する予定があるなら、SDS・MDSの各項目に「はい」と答えられるかを開発前に一度確認することです。答えに詰まる項目が、設計で先に決めるべき事項です。3省2ガイドライン対応セルフチェック 全27問はこの確認を約8分で行うためのもので、3省2ガイドライン対応アセットにはSDSや対応状況表のひな型を用意しています。

一次資料

7. 広告・表示

関係する典型ケース

医療機関の広告には、医療法に基づく「医療広告等ガイドライン」（令和8年3月30日最終改正）が適用されます。誘引性と特定性の2要件を満たすものが広告とされ、虚偽広告、比較優良広告、誇大広告、治療の内容や効果に関する患者の体験談、誤認のおそれがあるビフォーアフター写真等が禁止されています。広告できる事項も限定されています。

医薬品・医療機器等の広告には、医薬品医療機器等法第66条（虚偽・誇大広告の禁止）と第68条（承認前の医薬品・医療機器等の広告の禁止）、および医薬品等適正広告基準が適用されます。該当性の判断が確定する前に効果を訴求することの問題は、第68条から生じます。

一般消費者向けの表示には景品表示法が適用されます。優良誤認表示と有利誤認表示が禁止され、消費者庁は効果・性能に関する表示の裏付け資料の提出を求めることができます（不実証広告規制）。令和5年10月1日からは、広告であることを隠した表示（ステルスマーケティング）も規制対象です。「◯%改善」といった訴求や、インフルエンサーへの投稿依頼はこの柱に関係します。

最初にやること

LP・アプリストアの説明文・プレスリリース・営業資料に書く予定の訴求を1枚に並べ、「医療機関の広告か」「医薬品・医療機器の広告にあたるか」「効果・性能の裏付けがあるか」の観点で確認することです。表示は医療機器該当性の判断材料でもあるため、訴求の設計と該当性の整理は同時に行います。

一次資料

8. どの順番で手を付けるか

0→1の段階で5本柱すべてに同時に対応するのは現実的ではありません。先に決めるべきなのは「どの柱の適用範囲に入らない設計にするか」です。設計が固まったあとに対応を追加するより、設計時に適用範囲を狭めるほうが費用も工期も小さくなります。

適用範囲を狭める設計選択には、たとえば次のようなものがあります。いずれも一般論で、個別のサービスで成立するかは使用目的と表示を含めた確認が必要です。

  • 医療情報を保持しない。 病歴や検査結果に相当するデータをサーバーに残さない設計は、個人情報保護法上の安全管理の範囲と、3省2ガイドラインで問われる保存・バックアップ・ログの範囲を狭めます。
  • 医療機関に接続しない。 医療機関の情報システムと接続せず、医療機関が作成した情報を受け取らない設計は、3省2ガイドラインの事業者側の義務とSDS・MDSの要求を当面の範囲から外します。将来の医療機関向け展開を予定しているなら、後から接続するときの設計変更の費用は見込んでおきます。
  • 診断に相当する出力をしない。 個人を特定した疾病の候補やリスクを表示せず、記録・閲覧・転送や公知の情報の提供にとどめる設計は、該当性判断で「該当しない典型事例」に近づきます。LPや営業資料の訴求が設計と一致していてはじめて意味を持ちます。
  • 医療機関の広告に関与しない。 集患や広告の媒介を機能に含めなければ、医療広告等ガイドラインの柱は当面関係しません。

最初に決めるのは「誰に・何を・どのデータで提供するか」の1枚であり、そこから関係する柱と除外できる柱が決まります。費用と工期の目安は費用感ロードマップで整理しています。

9. 次の一歩

自社に関係する柱の当たりがついたら、次の順で進めてください。

  1. セルフチェック（約8分・無料）。 3省2ガイドライン対応セルフチェック 全27問で、体制・アクセス制御・データ保護・ログ・AI・薬事・契約の7カテゴリの現状を棚卸しします。回答を診断フォームに入力すると判定と解説を自動返信でお送りします。
  2. 対応アセットの確認。 医療機関への提供を予定している場合は、3省2ガイドライン対応アセットでSDS・対応状況表のひな型を確認してください。
  3. 30分無料相談。 「どの柱が関係するか判断がつかない」「適用範囲を狭める設計が成立するか確かめたい」という段階のご相談は、お問い合わせフォームから受け付けています。

10. 参考一次資料

出典（一次資料）

本記事は一般的な情報提供であり、法的助言ではありません。特定の企業・サービスの規制該当性を評価するものではなく、個別の判断は原文・所管官庁・専門家にご確認ください。

関連記事（シリーズ: 規制の一次情報を読む）

自社に関係する柱を、30分で整理しませんか

HealthLegalは、医療・健康領域で新規事業を立ち上げる事業者の規制対応を、実際にAWS上で医療情報システムを設計・運用してきた実務者が支援します。「どの規制が関係するのか」「適用範囲を狭める設計は可能か」「医療機関から求められるSDS・MDSにどう答えるか」など、構想段階の論点整理から対応します。初回30分のご相談は無料です。

お問い合わせフォームを開く

無料セルフチェック

3省2ガイドライン セルフチェック（27問・約8分）

到達率と重点項目を自動判定し、全27問のワンポイント解説つきPDF（A4・12ページ）を診断結果メールでお送りします。

セルフチェックを始める

事業化を進める人材をお探しの方へ

Healthcare Startup Board（医療・ヘルスケア領域特化の募集掲載）

薬事・開発・事業開発など、事業化を担うプロ人材の募集を掲載できます。掲載は無料で、成約しても仲介手数料はいただきません（当面）。法人化前の大学発シーズからご相談いただけます。掲載いただいた募集には、HealthLegal が医療情報ガイドライン（3省2ガイドライン）や薬事の論点整理のご相談に乗ります。

募集掲載の詳細を見る

3省2ガイドライン対応を体系的に進めたい方は 3省2ガイドライン対応パッケージ もご覧ください。