整骨院M&Aの患者情報・カルテ承継ガイド｜個人情報を安全に引き継ぐ実務

2026年8月22日

整骨院M&Aの患者情報の承継は、カルテのファイルを一度コピーすれば終わる作業ではありません。紙の施術録、受領委任に関する記録、患者マスター、保険情報、予約、問診、画像、回数券残、問い合わせ履歴、院内メモ、バックアップには、目的、保存根拠、管理者、閲覧者、形式、更新時点がそれぞれあります。どこに何があり、誰が実際に操作でき、取引後に何を残し何を消すかを一件ずつ設計します。

この記事は、特定のレセコン製品の操作方法や患者への告知文案を扱いません。初期検討で集計値だけを示す段階、秘密保持と必要性を確認して限定サンプルを閲覧する段階、最終契約後に移行準備をする段階、クロージングで正式データを渡す段階に分けます。そのうえで、アクセス制御、暗号化、件数照合、内容サンプル、旧環境の凍結、バックアップ、削除証明までを受入基準へ落とします。

個人情報保護法には事業承継に伴う提供に関する規定がありますが、取引名だけで無制限な開示や目的外利用が認められるわけではありません。取引手法、譲渡企業・買い手の立場、承継対象、従前の利用目的、要配慮個人情報、委託先、国外取扱い、漏えい等の有無により確認事項が変わります。本稿は一般情報であり、案件の事実を弁護士、個人情報保護委員会の公表資料、所管行政、情報セキュリティ専門家へ示して判断してください。

システム契約や製品切替の一般論はレセコン・予約システム・LINE移管、患者への説明時期は患者さまへの告知タイミング、返戻と入金管理はレセプト返戻・患者照会・入金サイトをご参照ください。本稿はそれらと重ねず、データの所在表、段階開示、移行受入れ、保存・消去の証跡に集中します。

整骨院M&Aの患者情報で先に固定する8原則

患者数ではなく、データ資産ごとの目的・所在・管理者・保存・移行可否を数えます。
初期DDへ実名カルテを一括投入せず、判断に必要な最小範囲を段階的に開示します。
共有IDを廃止し、閲覧者・操作・日時を追える個人アカウントへ切り替えます。
移行元と移行先の件数一致だけでなく、内容、添付、検索、権限、復元を検収します。
移行コピー、旧サーバー、端末、紙、バックアップを一つの保存・消去表で管理します。
障害時に旧環境へ戻せる条件と判断者を、移行を始める前に決めます。
漏えい等が疑われたら証拠を消さず、封じ込め、影響評価、法定対応の要否確認へ進みます。
法令・公的指針・契約・院内ルールのどれを根拠にしたかを受入記録へ残します。

1．整骨院M&Aの患者情報をデータマップにする

最初に製品名ではなく、業務と情報の流れを描きます。受付で取得した情報が施術録、予約、請求、会計、メッセージ配信へどう複製されるかを線で結ぶと、院長が知らない表計算、端末内ファイル、紙控え、ベンダーバックアップが見つかります。

一つの台帳に九つの列を持つ

データ資産名、含まれる項目、利用目的、本人との接点、保管場所、管理主体、閲覧者、保存・消去条件、移行方法を一行にまとめます。『カルテ一式』と括らず、施術録本文、添付写真、保険情報、請求データ、院内メモのように権限や保存が異なる単位へ分けます。

原本・正本・派生コピーを識別する

同じ患者名が複数システムにあっても、どれを最新の正本として更新しているかは別問題です。入力元、同期方向、更新時刻、上書き規則、手修正の可否を記載し、移行後に古い予約名簿が正本を上書きする事故を防ぎます。

データ量を件数と容量の両方で測る

患者数だけでは、画像やPDF添付、音声、長文メモ、監査ログの負荷が分かりません。患者レコード数、施術明細数、添付数、総容量、最大ファイル、文字コード、最古・最新日を取得し、移行時間と検収サンプルを見積もります。

不明欄を空白のまま承認しない

保存年限や委託先が分からない項目は『該当なし』ではなく『未確認』と表示します。確認責任者、照会先、期限、暫定安全策を付け、クロージング条件または移行対象外の判断へつなげます。

2．取引手法と個人情報の役割を整理する

株式譲渡では運営法人が同じでも、買い手グループ、アドバイザー、金融機関、クラウド運用者など新たな閲覧者が加わります。事業譲渡では、譲渡企業様から買い手へ何を承継するかを選ぶため、取引構造と情報フローを別紙で一致させます。

事業承継規定を包括同意と解釈しない

個人情報保護法上の事業承継に関する取扱いを検討するときも、承継前の利用目的、提供時期、対象データ、DD中の閲覧者、成立しなかった場合の返却・消去を確認します。条文への該当性は取引実態を弁護士へ示して判断し、名称だけで結論を出しません。

譲渡企業・買い手・委託先の役割表を作る

誰が利用目的を決め、誰が指示を受けて処理し、誰が再委託し、誰が本人対応と事故対応を担うかを場面別に記載します。DD、移行リハーサル、クロージング、移行後保守では役割が変わり得るため、一枚の固定図で済ませません。

患者情報以外を同時に混ぜない

患者ファイルには従業員が患者として受診した記録、交通事故の相手方、保険担当者、紹介元、未成年者の保護者など別の本人情報が含まれることがあります。データ主体と利用目的を分け、承継対象外の情報を巻き込まない方法を検討します。

利用目的の表現と実際の処理を照合する

ウェブ、問診票、院内掲示、プライバシーポリシー、同意画面、契約書に示した目的と、分析、広告配信、グループ共有、AI利用等の実態を比較します。売却後に用途を広げたい場合は、M&A承継と別の論点として専門家へ確認します。

3．DDの段階開示で患者個票を守る

買い手が事業性や請求品質を判断することと、初期段階から患者氏名・住所・詳細な傷病情報を見ることは同義ではありません。質問ごとに必要な粒度を決め、集計、識別子置換、限定閲覧、正式移行へ段階を上げます。

第一段階は集計と運用説明から始める

患者構成、来院頻度、保険・自費の比率、返戻、未収、データ量は、目的に応じて集計値や範囲で説明できる場合があります。少人数区分や希少事例から本人が推測されないかを確認し、表の切り口も必要最小限にします。

第二段階は置換IDと限定サンプルを使う

個票検証が必要なら、案件用IDへ置き換え、氏名、住所、電話、生年月日、勤務先等を質問目的に応じて伏せます。単なる黒塗りで本文やファイル名、画像、メタデータ、変更履歴に識別情報が残らないか、開示前に別担当が確認します。

第三段階は閲覧室と操作制限を設ける

詳細確認では、ダウンロード禁止、印刷禁止、期限付きアカウント、透かし、二要素認証、アクセスログ、閲覧者承認、質問窓口を組み合わせます。スクリーンショット等を技術だけで完全防止できると過信せず、契約、教育、監督も用います。

不成立時の消去を先に試験する

秘密保持契約に返却・消去を書くだけでなく、買い手端末、アドバイザー、バックアップ、メール添付、質問表の引用へコピーが残らないかを想定します。開示前に保管先を限定し、案件終了時の消去確認書と例外保存の根拠を決めます。

4．紙と電子の施術録を同じ統制下へ置く

電子データの移行に注目すると、紙カルテ、手書き問診、同意書、返戻付箋、収納箱が管理外になります。紙と電子を別々に数えたうえで、同じ患者に関する記録の対応関係と重複を確認します。

公的保存要件の適用範囲を限定して確認する

厚生労働省の受領委任に関する取扱規程には、対象となる施術録の記載・整備と保存に関する定めがあります。五年という期間を院内の全情報へ機械的に当てはめず、対象、起算、地域・契約上の追加条件、ほかの法的義務を所管と専門家へ確認します。

紙箱を棚番号と患者範囲で棚卸しする

保管箱ごとに年度、患者ID範囲、記録種類、冊数、欠番、保管場所、鍵、持出履歴を付けます。箱を開けず『過年度カルテ』とだけ記載すると、移行対象、保存期限、紛争対応、廃棄判断を後から再現できません。

電子化済みでも原紙の扱いを決める

スキャン画像が検索可能か、全頁か、裏面や付箋を含むか、原紙と同じ内容かを標本確認します。電子化したという理由だけで原紙を直ちに処分せず、保存根拠、画質、完全性、改変防止、承認手続を確認します。

閉院後の照会窓口と閲覧権を残す

譲渡企業が旧記録を保管し、買い手が施術を継続する場合、本人からの照会、返戻、監査、紛争に誰が回答するかを定めます。必要な記録だけを安全に照会できる手順を置き、旧院長の恒久的な自由閲覧を前提にしません。

5．クラウド・委託先・再委託を契約台帳へ載せる

レセコンだけでなく、予約、メッセージ、決済、バックアップ、保守、複合機、廃棄、コールセンター等が患者情報へ触れることがあります。請求書一覧からベンダーを探し、管理画面に表示されない再委託・保存地域も確認します。

契約名義と実利用者を一致させる

院長個人名義、旧法人名義、フランチャイズ本部名義の契約が混在すると、買い手が継続利用できない可能性があります。名義変更、承諾、新規契約、データ出力、終了支援、費用、期限をサービスごとに整理します。

委託先の安全管理を質問票だけで終えない

契約、サービス仕様、第三者認証、障害履歴、バックアップ、アクセス管理、サポート経路、再委託先管理を重要性に応じて確認します。認証の有無だけで安全を保証せず、院側の設定責任とベンダー側の責任境界を読みます。

解約後のデータ返却・消去を確認する

エクスポート形式、添付取得、暗号化、提供期限、追加費用、アカウント停止後の保持、バックアップ消去、証明書発行を契約前に確認します。『退会すると削除』という画面表示だけで具体的な残存範囲を推測しません。

国外での取扱い可能性を事実から調べる

会社所在地だけでなく、データセンター、サポート担当、再委託、遠隔保守、バックアップがどこで行われるかを確認します。国外取扱いに該当するか、必要な本人対応や情報提供が何かは最新資料と契約事実を専門家へ示します。

6．患者データへのアクセスを最小化し記録する

共有パスワードや退職者アカウントが残る環境では、誰が何を見たかを説明できません。DDの閲覧者、移行作業者、買収後の施術者、受付、請求担当、ベンダーを役割ごとに分けます。

個人IDと最小権限を出発点にする

施術録編集、保険情報閲覧、予約変更、データ出力、ユーザー作成、ログ削除を同じ権限にまとめません。役割別テンプレートを作り、例外権限には申請者、承認者、理由、開始・終了日時を付けます。

強い認証と端末条件を組み合わせる

管理者や遠隔アクセスには多要素認証を検討し、院内端末、管理端末、私物端末、委託先端末を区別します。認証を強くしても、画面放置、ブラウザ保存、付箋パスワード、共有メールが残れば統制は弱いため現場確認を行います。

ログが記録される操作と保存期間を知る

ログインだけでなく、閲覧、検索、出力、変更、削除、権限付与、失敗、管理者操作が残るかを確認します。ログ自体を一般利用者が変更できないこと、時刻同期、保存容量、監視担当、異常判定を受入項目に含めます。

緊急権限は常用アカウントにしない

障害や緊急施術で通常権限を超える必要がある場合、封印した緊急ID、利用理由、時間制限、事後レビューを設計します。利便性を理由に全員を管理者へせず、停止時の紙運用や復旧連絡も準備します。

7．移行範囲・形式・変換規則を設計書へ固定する

『全件移行』という一文では、添付、削除済みフラグ、履歴、監査ログ、コード表、旧患者番号が含まれるか分かりません。対象期間とデータ要素を、移行する、参照専用で残す、法的確認後に消去する、対象外にする、の四区分へ分けます。

項目マッピングに意味と変換理由を書く

旧項目名、新項目名、型、桁、必須、コード、初期値、変換式、欠損時処理、承認者を一覧にします。名称が似ていても、自費区分と保険区分、来院日と施術日、登録日と更新日を誤って結ばないよう業務担当がレビューします。

文字・日付・コードの境界値を試す

異体字、外字、長音、旧字体、全半角、改行、絵文字、和暦、うるう日、未来予約、ゼロ埋めID、先頭ゼロの保険情報をテストします。表示できても検索や帳票出力で欠落する場合があるため、画面だけで合格にしません。

暗号化と鍵の受渡しを別経路にする

移行ファイルを暗号化し、鍵を同じメールへ添付しない手順を設けます。作業端末、保管先、転送方法、一時ファイル、鍵保有者、失効、削除を記録し、USBや個人クラウドへの迂回を禁止します。

変換前後のハッシュと件数を保存する

可能な形式ではファイルのハッシュ値、容量、作成日時を取り、コピー途中の破損や取り違えを検知します。テーブル別件数、期間別件数、合計金額等の統制値も使い、ハッシュ一致だけで業務上正しい変換とみなしません。

8．本番前リハーサルで時間と失敗点を測る

匿名化・限定した検証データまたは適切に管理したサンプルを使い、抽出から暗号化、転送、取込、検収、削除まで通します。作業時間、停止時間、手作業、エラー件数を実測し、本番日の予定へ反映します。

リハーサル環境にも本番同等の統制を置く

テストだからと個人情報を開発者の私物端末へ置かず、利用目的、閲覧者、期間、ログ、消去を決めます。実データが不要なテストは合成データで行い、実データが必要な検証は範囲と安全策を承認します。

エラーを件数ではなく原因群へ分ける

必須欠損、コード不一致、文字超過、重複ID、添付破損、日付不正、権限不足、通信中断を分類します。各原因について修正ルール、責任者、再試験範囲を決め、手作業の黙示修正を残しません。

停止時間中の施術記録方法を決める

本番切替中も来院や電話がある可能性を考え、紙の仮記録、連番、保管、後入力、二重登録防止を定めます。停止開始・終了を院内で共有し、誰が新システム利用開始を宣言するかを決めます。

ロールバック条件を数値化する

重大項目の欠落、添付破損率、検索不能、請求影響、復旧見込等について中止基準を置きます。締切が近いという理由で基準を無視しないよう、決定者、連絡網、旧環境再開手順、次回日程を事前承認します。

9．件数・内容・権限・復元を移行検収する

移行業者の『完了しました』は技術作業の終了であり、買い手の受入れとは限りません。院の業務担当、請求担当、情報管理担当が別の観点で検査し、未解決事項を例外一覧へ残します。

全件統制値と層化サンプルを併用する

患者総数、施術録数、添付数、期間別件数等は全件比較し、内容は年度、保険・自費、添付有無、長期休眠、特殊文字等で層を作って標本確認します。無作為だけでは少数の高リスク記録が漏れるため、リスク標本も加えます。

業務シナリオで検索と更新を試す

氏名、旧患者番号、電話末尾、施術日から検索し、過去施術、添付、同意、残回数へ正しく到達できるかを確認します。閲覧だけでなく、新規施術を追記し、帳票を出し、誤入力を訂正した履歴まで試します。

権限の否定テストを必ず行う

受付が詳細メモを見られない、一般施術者が全件出力できない、退職者がログインできないなど、禁止される操作を試します。許可操作の成功だけでは最小権限を証明できないため、役割ごとに否定テスト結果を残します。

バックアップからの復元を実演する

バックアップが存在する表示だけでなく、隔離環境へ復元し、所要時間、復元時点、暗号鍵、アプリ依存、内容一致を確認します。復元試験が本番データを上書きしないよう環境と権限を分けます。

10．保存・返却・消去を媒体別に完了させる

移行後は同じ患者情報が新環境、旧サーバー、移行用ファイル、作業端末、USB、メール、紙、クラウドバックアップに残り得ます。法令・請求・紛争等による保存と、不要コピーの削除を同じ表で管理します。

保存スケジュールに起算点と停止条件を持たせる

単に『五年』と書かず、どの記録を、いつから、どの根拠で、誰が保存し、訴訟・監査等の保全指示がある場合に消去を止めるかを記載します。異なる根拠が競合するときは専門家へ判断を求めます。

消去方法を媒体と脅威に合わせる

データベース論理削除、ファイル消去、暗号鍵破棄、端末初期化、媒体破砕、紙溶解等から適切な方法を選びます。『ごみ箱を空にした』だけで復元可能性を判断せず、ベンダー仕様と社内基準を確認します。

バックアップの期限満了まで残存を追う

バックアップから個別削除できない場合、利用停止、アクセス制限、循環上書き日、復元時の再削除手順を記録します。即時消去できない事実を隠さず、契約とリスク評価に基づく代替統制を置きます。

証明書を実作業の証拠と突合する

消去証明には対象、媒体識別子、方法、実施日時、担当、確認者、例外を記載します。定型の一枚だけで終えず、資産台帳、作業ログ、配送・破砕記録、アカウント停止を照合して完了します。

11．漏えい等の疑いを検知したときの初動を決める

紛失、誤送信、不正アクセス、マルウェア、権限誤設定、内部持出し、紙置忘れ等が発生したら、事実確認前に『影響なし』と発表せず、証拠を保全しながら被害拡大を止めます。

検知・封じ込め・評価を並行管理する

該当アカウント停止、共有リンク無効化、端末隔離等を行いつつ、発生・発見時刻、データ種類、人数、取得可能性、第三者閲覧、暗号化、二次被害を調べます。ログを削除したり感染端末を安易に初期化したりせず、専門家の指示を得ます。

報告・本人通知の要否と期限を個別判断する

個人情報保護委員会は、一定の漏えい等について報告と本人通知に関する情報を公表しています。すべての事象を同じ扱いにせず、法定要件、速報・確報、本人への代替措置等を最新資料と事実で専門家へ確認します。

M&A当事者間の連絡を法定対応と分ける

譲渡企業・買い手・委託先への契約連絡、価格・補償の議論と、本人保護・行政対応を別トラックで進めます。責任論を先に争って封じ込めが遅れないよう、緊急連絡者と情報共有範囲を契約に置きます。

原因是正と再発検証まで閉じない

パスワード変更だけで終えず、なぜ権限が広かったか、なぜ検知が遅れたか、同じ設定が他サービスにないかを調べます。是正後に再テストし、教育、監視、契約、移行計画の更新証拠を残します。

12．データ条件を最終契約と100日計画へ書く

データ課題をDD報告書に置くだけでは実行されません。何をクロージング前に直し、何を代金・補償へ反映し、何を買収後に完了するかを、責任者、期限、証拠とともに契約・移行計画へ移します。

表明保証は事実を特定できる粒度にする

適用法令遵守という抽象文だけでなく、データ資産一覧、重大事故、本人対応、委託先、アクセス権、保存、開示資料の正確性等から案件上重要な事実を専門家と選びます。例外開示を確認し、譲渡企業が保証不能な事項を形式だけで断定させません。

前提条件と引渡物を受入基準へ結ぶ

データ抽出、管理者権限、ベンダー同意、暗号鍵、紙台帳、移行リハーサル、重大エラー解消等を、完了証拠と受領者まで記載します。『合理的努力』と『完了必須』を区別し、不合格時の延期・代替を決めます。

補償と漏えい対応協力を別々に置く

過去原因の事故が実行後に判明する場合に、調査、ログ、本人・行政対応、費用、広報、保険、第三者請求へ誰が協力するかを定めます。金銭補償の上限・期間等は、緊急対応を遅らせない連絡義務と分けて設計します。

100日計画は権限・旧環境・例外を追う

初日には不要ID停止と緊急連絡、30日までに例外権限・移行不具合・委託契約、60日までに旧媒体とバックアップ、100日までに復元試験と消去証明等をレビューします。日数は案件に合わせ、未完了を自動的に完了扱いしません。

13．八つの高リスク資産をデータ台帳で深掘りする

整骨院M&Aの患者情報を「カルテ一式」と数えると、利用目的、正本、権限、保存、移行方法の違いが見えません。次表は高リスクになりやすい八群を、DDで最初に見る集計、個票を開く条件、移行受入れ、旧環境処理へ分けたものです。実際の院ではデータフローを歩き、該当しない群と追加群も記録します。

資産群	所在・正本を確かめる証拠	段階開示の考え方	移行・保存の受入基準
施術録・問診・同意	電子施術録、紙カルテ、問診フォーム、スキャン、同意版、訂正履歴を患者番号と年度で対応させます。紙箱は箱番号、年度、患者範囲、欠番、鍵、院外保管を棚卸しします。	初期は患者数、記録期間、紙・電子比率、未完了件数を集計します。記載品質の個票確認が必要なら案件ID化し、自由記述・添付・ファイル名に識別情報が残らないか二重確認します。	患者総数だけでなく施術録件数、最古・最新日、訂正、検索、追記、紙との対応を検収します。受領委任取扱規程に関する施術録の保存と他記録の根拠・起算を分け、所管・専門家へ確認します。
患部写真・測定画像	施術システム、測定機器、院内共有、私物端末、写真クラウド、SDカードを調べ、撮影日時、患者紐付け、同意、メタデータ、ビューア依存を確認します。	画像自体が本人を識別し得ることや健康情報を含むことを前提に、DDへ原画像が本当に必要かを判断します。統計説明で足りる段階では容量・形式・件数だけを示します。	添付数、容量、ハッシュ、開封、患者リンク、撮影日、検索、画質を標本確認します。必要画像を正規保管へ移した後、私物端末・同期先・一時出力の残存を承認済み方法で処理します。
受領委任請求・返戻	施術日、請求月、保険者、返戻、再提出、入金、患者負担を請求システム・元帳・口座で照合し、基準日前後の担当を分けます。	買い手の収益・事務量判断には月別集計や理由区分で足りる場合があります。個別照会が必要なら氏名等を伏せた案件IDとし、質問範囲を返戻原因へ限定します。	未解決返戻、再請求、誤入金、患者照会の一覧を担当・期限付きで引き継ぎます。譲渡企業が過去分を回収する場合、買い手の患者記録閲覧・事務協力を無期限の自由アクセスにしません。
回数券・自費・予約	券・アプリ・会計・予約・紙台帳から販売、利用、残回数、期限、返金、未来予約を患者別に照合し、どのシステムが正本か決めます。	初期DDは残高総額、期限帯、利用率、未来予約件数を集計し、少人数区分から本人が推測されないよう粒度を調整します。個票は義務承継と運営準備に必要な段階で限定します。	残回数、停止フラグ、配信停止、未来予約、変更履歴を全件統制値と標本で確認します。販売分析用の過去履歴と、患者への施術・返金に必要な記録を区別して保存します。
LINE・メール・電話	公式アカウント、共有メール、個人メール、電話録音、留守電、端末キャッシュ、自動転送、外部連携を追い、未対応問い合わせと履歴の正本を特定します。	買い手候補へ会話履歴を一括開示せず、チャネル別件数、未対応数、運用・権限を説明します。具体的相談を確認する場合も、目的に不要な健康・家族・連絡情報を除きます。	未対応案件、配信停止、連絡希望、管理者、二要素認証、履歴必要性を検収します。院長個人アカウントからの分離と旧端末のログアウト・同期解除を証拠で完了します。
端末・複合機・紙	PC、タブレット、スマートフォン、USB、複合機、NAS、紙保管庫へ資産番号を付け、利用者、暗号化、ローカル保存、修理・リース・廃棄を確認します。	DD資料の作成経路にも患者情報が複製されます。作業端末と出力先を限定し、メール添付、個人クラウド、無登録USB、印刷放置を防ぐ操作手順を先に定めます。	再利用、返却、廃棄ごとに初期化・媒体消去・破砕・溶解等を選びます。複合機の内蔵記憶やアドレス帳、紙箱の封印番号まで資産台帳と証明書を突合します。
監査ログ・権限	利用者、所属、役割、特権、最終利用、認証、閲覧・出力・変更・削除ログ、時刻同期、保持期間を確認します。共有IDと退職者を抽出します。	VDRと本番システムの閲覧者を別管理し、案件段階に応じて期限・ダウンロード・印刷・透かしを設定します。アドバイザーへの再共有も契約とログで追います。	許可操作の成功だけでなく、受付が詳細記録を見られない、退職者が入れない、一般施術者が全件出力できない否定テストを役割別に行います。緊急IDは時間限定で事後レビューします。
バックアップ・委託先	レセコン、予約、決済、保守、バックアップ、廃棄等の契約、再委託、保存地域、責任分界、障害・終了支援をサービス台帳へ載せます。	ベンダー資料は契約上の秘密や患者情報を含むため、候補者へ必要条項と要約を示し、詳細契約は閲覧者を限定します。認証マークだけで安全性を結論づけません。	抽出形式、添付、暗号鍵、復元時間、解約後保持、バックアップ循環、消去証明を確認します。隔離環境への復元で内容を検査し、表示上の「成功」だけで合格にしません。

台帳には「移行する」「旧環境を読取専用で保存する」「法的確認後に消去する」「対象外」の四区分を設けます。すべてを移せば安全という考えでは、不要な過去コピーとアクセス範囲が増えます。一方、古いから削除という考えでは、施術継続、本人対応、請求・監査、紛争に必要な証拠を失います。

厚生労働省の「医療情報システムの安全管理に関するガイドライン第7.0版」は、安全管理を検討する際の重要な参照資料として読みます。ただし、整骨院への個別の法的適用範囲を本稿で一律に断定しません。施設・システム・取扱情報に応じた適用関係を所管・弁護士・情報セキュリティ専門家へ確認し、参考にした管理策と採否理由を残します。

14．段階開示表と権限マトリクスを一つにする

「NDAを締結したから全件を見せる」「買い手社員だから全員閲覧できる」という二択を避けます。質問の目的、判断に必要な粒度、取引確度、閲覧者の職務、技術的安全策、不成立時消去を一行で承認します。法的根拠・本人対応の要否は取引構造と具体的利用目的を専門家へ示します。

段階	許容を検討する情報	閲覧者・場所	次段階へ進む条件
候補探索	院数、患者数帯、保険・自費比率、システム種別、総容量等の非識別的な概要を用います。	案件担当と承認済み候補者に限定し、患者個票を案件紹介資料へ入れません。	秘密保持、買収目的、候補者適格性、質問事項が確認され、より細かな情報が必要な理由を記録します。
初期DD	月別・年代別等の集計、返戻理由区分、回数券期限帯、データ資産台帳、事故件数を示します。	VDRの個人ID、二要素認証、期限、ダウンロード制御を使い、アクセスログを案件管理者が確認します。	集計で答えられない重要な仮説が残り、限定個票の項目・件数・マスキングを譲渡企業が承認します。
限定サンプル	案件IDへ置換した施術録・請求等の標本から、質問に不要な氏名、連絡、勤務先、画像等を除きます。	買い手の専門担当と必要な外部専門家だけが管理された閲覧室で確認し、再配布を禁止します。	最終契約交渉に必要な発見事項を集計化し、個票引用を避けた報告へ変換します。
署名後準備	データ辞書、マッピング、合成テスト、ベンダー契約、匿名化した移行標本を優先します。	移行チームへ作業単位の権限を付け、本番患者情報の利用は必要な試験だけを別承認します。	移行設計、委託契約、暗号化、作業端末、受入基準、ロールバック、不成立・延期時処理が承認されます。
クロージング	最終差分を含む正式対象データと紙記録を、契約で定めた主体へ安全に引き渡します。	送信者、受領者、鍵保有者、業務受入者を分け、経路・時刻・ハッシュ・箱番号を記録します。	件数、内容、権限、検索、添付、復元の受入検査が終わり、重大不具合が停止基準を下回ります。
移行後	新環境の正本、必要な旧参照、法的保存、例外対応だけを残し、一時コピーを消去します。	施術、受付、請求、管理、ベンダーの職務別権限とし、譲渡企業協力者は質問ごとの期限付き閲覧にします。	旧環境、端末、VDR、バックアップ、紙、移行媒体の保存・消去台帳が証拠付きで閉じられます。

買収後の役割別アクセス例
操作	受付	施術者	請求担当	情報管理者	保守事業者
未来予約・連絡	担当院の必要範囲	担当患者の確認	原則不要	障害時のみ承認	内容を見ない保守を優先
施術録本文	職務上必要な限定表示	担当・継続施術に必要な範囲	請求根拠の必要部分	権限管理・事故調査時	個票閲覧は個別承認・記録
保険・請求	受付確認の範囲	施術入力に必要な項目	担当院の請求・返戻	設定・監査	障害解析用の最小データ
全件出力	拒否	原則拒否	承認された請求用途	二人承認・理由・期限	契約作業に必要な場合だけ
権限作成・ログ削除	拒否	拒否	拒否	職務分離して限定	院の承認なしに不可

表は製品機能に合わせて調整します。機能上細かく分けられない場合、端末・ネットワーク・業務手順・二人承認等の代替統制を検討し、残余リスクを記録します。「システム仕様だから全員管理者」を受け入れる前に、権限分離可能な構成や製品変更の優先度を評価します。

否定テストは本番前後に行います。受付IDで詳細メモ、全件CSV、他院患者、権限画面へ到達できないこと、退職者・期限切れVDR IDが拒否されることを試します。失敗時は閲覧を止め、ログから既存アクセスを確認し、漏えい等の可能性評価へ進みます。

15．カットオーバーを抽出・受入・保存消去まで通す

移行本番日は、コピー開始から新システム稼働までではなく、旧環境の凍結、停止中の施術記録、差分取込、受入検査、ロールバック判断、旧コピーの保存・消去までを一つの手順にします。担当、予定時刻、実績、証拠、判断者を記録し、ベンダーの「完了」だけで業務受入れを宣言しません。

工程	作業内容	統制値・証拠	中止・再作業の判断
1．対象凍結	移行対象表、データ辞書、期間、添付、削除フラグ、ログ、紙箱、対象外を最終承認します。	版番号、承認者、最古・最新日、テーブル件数、ファイル数、容量、箱番号を基準値として保存します。	正本や対象範囲が不明、ベンダー承諾・抽出権限が未了なら本番を開始しません。
2．旧環境書込み停止	停止時刻を院内共有し、紙の仮記録・連番・保管・後入力・二重登録防止を開始します。	最後の更新時刻、ログイン中利用者、受付簿、施術・会計の仮記録番号を記録します。	書込みが継続し差分を特定できない場合、抽出をやり直すか切替を延期します。
3．抽出	承認済みアカウントと作業端末でデータ・添付を出力し、暗号化前の一時保存を限定します。	ファイル名、容量、ハッシュ、作成時刻、件数、エラーログ、作業者を移行台帳へ載せます。	添付領域や履歴が出力されない、件数が基準と合わない場合は原因を解消して再抽出します。
4．暗号化・転送	暗号化ファイルを承認済み経路で送り、鍵を別経路で必要な受領者だけへ渡します。	送信・受領時刻、経路、鍵保有者、ハッシュ、媒体封印、受領確認を記録します。	通常メール添付、無登録USB、誤宛先、公開リンクが発覚したら転送を止め、影響評価を行います。
5．変換・取込	項目型、コード、文字、日付、患者番号、添付リンク、履歴を承認マッピングで変換します。	変換件数、除外、警告、必須欠損、重複候補、文字超過、手修正を原因別に出力します。	黙示の初期値や自動統合で意味が変わる場合、業務担当の承認なしに取込を続けません。
6．全件統制値	患者、施術録、請求、予約、回数券、添付、ログ等を期間・種類別に新旧比較します。	件数だけでなく金額合計、最古・最新日、NULL、添付容量、ハッシュ等を利用可能な範囲で使います。	差異が設計上の除外で説明できない、重要テーブルが欠ける場合は受入れを保留します。
7．内容標本	年度、保険・自費、添付、特殊文字、長期休眠、未解決返戻等で層を作り、画面・帳票・再出力を確認します。	選定根拠、患者案件ID、期待結果、実結果、不具合、修正、再試験を受入票へ残します。	自由記述切れ、誤患者結合、添付破損等の重大欠陥は、件数が少なくてもロールバック候補です。
8．業務・権限試験	検索、追記、訂正、予約、請求、帳票、配信停止、役割別の許可・拒否操作を実ユーザーで試します。	受付・施術・請求・管理・保守のテスト記録と、監査ログに正しい操作者・時刻が残ることを確認します。	権限外閲覧、全件出力、停止フラグ消失があれば稼働を止め設定と既存アクセスを調べます。
9．差分・仮記録取込	停止中の紙記録と最終差分を連番で入力し、受付、会計、施術者署名と突合します。	欠番一覧、入力者・確認者、旧記録との重複、完了時刻、紙原票の保存場所を記載します。	一枚でも所在不明なら原因を追い、推測の患者へ入力しません。必要なら旧環境へ戻します。
10．復元・ロールバック	新バックアップを隔離復元し、旧環境再開手順、判断期限、データ再同期を確認します。	復元点、所要時間、暗号鍵、件数、検索、責任者、旧環境の読取・書込条件を保存します。	重大欠陥が中止基準を超え、期限内修復できなければ、承認者が旧運用へ戻す決定をします。
11．正式稼働	業務責任者が受入例外と代替策を確認し、利用開始を全スタッフへ宣言します。	未解決一覧、影響、回避策、責任者、期限、次回レビューを経営・現場で共有します。	技術担当だけの完了宣言や、重大例外を「後で直す」としたまま開始しません。
12．保存・消去	旧サーバー、一時ファイル、端末、媒体、VDR、紙、バックアップを根拠別に保存・返却・消去します。	資産番号、方法、日時、実施者、確認者、証明、バックアップ最終残存日、例外を台帳化します。	新環境受入前の旧消去、法的保存の誤廃棄、消去不能バックアップの放置を避けます。

受入サンプルは無作為だけにしません。外字、長文、複数添付、同姓同名、回数券、未成年、返戻、事故、配信停止等のリスク標本を加えます。サンプル合格率だけで全件品質を保証せず、全件統制値とエラー母集団の分析を併用します。

ロールバックは「バックアップがある」ことではありません。誰が何時までに戻すと判断し、停止中の新規記録をどう旧環境へ反映し、患者対応をどう継続するかが必要です。旧環境を先に初期化したり、契約解約でアクセス不能にしたりしないよう、消去・解約条件を受入れへ連動させます。

16．十の事故・移行不具合を固有手順で解く

演習1：初期DDへ全患者CSVを通常メールで送る直前

買い手は来院頻度と返戻率を検証したいだけなのに、譲渡企業担当が氏名、住所、電話、傷病記載を含む全件CSVを作成しています。まだ送信前で、ファイルは担当PCのダウンロードとメール下書きにあります。まず送信を止め、ファイルを隔離し、共有・同期・バックアップの有無を確認します。

質問を「月別患者数」「来院回数帯」「返戻理由区分」へ分解し、集計で答えられない仮説だけを特定します。限定サンプルが必要なら案件ID、項目削減、少人数区分、閲覧者、期限を承認します。CSVを表計算で加工すると履歴・自動保存へ複製されるため、加工環境も管理します。

この段階では外部提供が起きていない可能性がありますが、事実を調べず「事故なし」と断定しません。メール自動送信、共有リンク、クラウド同期のログを確認し、実際に第三者へ到達していれば漏えい等対応の要否を専門家と評価します。

演習2：黒塗りPDFのファイル名とプロパティに氏名が残る

画面上の氏名・住所を矩形で覆ったため匿名化できたと思っていましたが、検索すると文字を選択でき、ファイル名と作成者コメントにも患者名が残ります。開示済みVDRの閲覧を一時停止し、対象ファイル、閲覧者、ダウンロード、アクセス時刻を保全します。

元文書を直接上書きせず、適切な墨消し・再生成方法で本文、注釈、レイヤー、OCR、プロパティ、ファイル名、添付を検査します。画像や自由記述から本人が推測される可能性も質問目的に照らして削減します。別担当が開示前チェックを行い、加工者だけの目視で完了にしません。

既に取得されたコピーには、差替え通知だけでなく返却・消去と例外保存の確認を求めます。閲覧事実と情報範囲を基に、本人・委員会等への対応が必要かを最新資料と専門家助言で判断します。

演習3：同姓同名患者を移行ツールが自動統合する

氏名と生年月日が同じ二人を重複と判定し、施術履歴と保険情報が一つに結合されました。件数だけ見ると旧環境より一件少ないため軽微に見えますが、誤った患者の記録閲覧・請求・施術につながる重大な内容不良です。

患者番号、住所、連絡、施術日、保険情報等を用いて重複候補を抽出し、自動統合ではなく業務担当の二人承認へ切り替えます。統合済みレコードの履歴を保全し、どの項目がどちらから来たかを復元します。推測で分離せず旧正本と照合します。

受入基準へ患者数差だけでなく重複候補、旧新ID一対多・多対一、同姓同名標本を加えます。誤結合が本番利用された場合はアクセス・印刷・請求を調べ、影響範囲と本人保護を優先します。

演習4：停止中の紙仮記録が一枚だけ未入力

カットオーバー三時間の来院を連番紙へ記録しましたが、受付簿は十二件、新システムの当日追加入力は十一件です。紙束にも一番号の欠番があります。件数差を「キャンセル」と推測せず、会計、予約、施術者、領収、監視可能な業務記録から所在を確認します。

紙仮記録は作成時に番号、患者ID、作成者、保管箱を付け、入力者と確認者を分けるべきでした。見つかった原票は内容を新環境へ入力し、入力日時と移行由来を履歴へ残します。原票を廃棄せず、適用される保存方針に従って管理します。

所在不明のまま患者へ施術した可能性があるなら、継続施術・請求・安全への影響を判断し、必要な本人対応を専門家と検討します。次回切替では受付時と施術完了時の二つの統制値を使い、欠番を正式稼働前に解消します。

演習5：受付ロールから詳細メモと全件出力が見える

買い手標準テンプレートを適用したところ、受付担当が予約・会計だけでなく詳細な施術メモを検索でき、CSV全件出力も可能でした。設定者は業務開始を優先し、翌月に権限を狭める予定です。権限外閲覧ができる状態を残さず、不要機能を直ちに停止します。

受付が職務上必要とする情報を、来院確認、連絡、会計等の操作単位で定義します。詳細メモのプレビュー、検索候補、帳票、通知、APIなど画面外の経路も試します。役割テンプレートだけでなく実ユーザーと実院範囲で許可・拒否テストを行います。

設定期間中のアクセスログを確認し、誰がどの患者を閲覧・出力したか、業務上の理由があるかを評価します。不正利用と即断しない一方、実際の閲覧があれば影響評価を省略しません。修正後も30日監視を行い例外権限を再棚卸しします。

演習6：私物スマートフォンの患部写真が個人クラウドへ同期

院長は説明用に写真を撮り、後で施術録へ転送していました。端末は私物で、写真アプリが家族共有クラウドへ自動同期されています。施術録に入った画像だけを移行しても、端末・クラウド・メッセージ送信の複製が残ります。

撮影目的、同意、対象患者、期間、同期先、共有者、削除、バックアップを必要な範囲で調べます。元証拠を消す前にログや設定を保全し、影響を評価します。必要画像は承認済み正本へ紐付け、個人端末からの直接撮影を止め、院管理端末と転送手順へ改めます。

削除は端末表示だけで終えず、最近削除、クラウド、共有アルバム、バックアップ、送信先を確認します。実際の第三者閲覧や要配慮個人情報の範囲等に応じ、個人情報保護委員会への報告・本人通知を含む対応の要否を弁護士等へ相談します。

演習7：新環境のバックアップは成功表示だが復元できない

管理画面には毎日成功と表示されるものの、復元に必要な暗号鍵を旧ベンダー担当だけが保有し、契約終了後の連絡先もありません。アプリの特定版が必要なことも移行後に判明しました。バックアップの存在と、業務時間内に使える復元能力は別です。

契約、鍵保管、ソフトウェア版、依存サービス、保存地域、世代、復元点を確認し、隔離環境へ実際に復元します。患者数、添付、検索、権限を標本確認し、所要時間を事業継続計画と比較します。試験が本番を上書きしない環境分離も必要です。

鍵を買い手管理へ移し、複数の承認者と緊急取出しを設計します。旧ベンダーへの依存を解消できない場合、代替バックアップまたは契約延長を前提条件にします。復元試験日と次回期限を100日計画へ登録します。

演習8：旧環境を受入完了前にリース返却する

新システムの患者件数は一致しましたが、添付画像の一部と過去ログが未検収です。旧サーバーと複合機は翌日にリース返却されるため、保守業者が初期化を予定しています。返却を遅らせる費用を避けて消去すると、欠落復旧と事故調査の手段を失います。

受入れ未了項目、ロールバック期間、法的保存、返却契約を整理し、必要ならリース会社と期限変更・データ保全を協議します。旧環境は読取専用、ネットワーク隔離、最小権限とし、院長や業者が自由閲覧できる状態では残しません。

複合機の内蔵記憶、アドレス帳、送信履歴も機種仕様で確認し、資産番号ごとに消去証明を得ます。新環境合格、必要データ保全、責任者承認を返却条件に結び、総務の機器日程と移行受入れを別管理にしません。

演習9：VDRの期限なし共有リンクが案件終了後も開く

候補者との交渉は不成立になりましたが、ブラウザのブックマークから資料へアクセスでき、外部アドバイザーの個人IDも有効です。管理者はフォルダを非表示にしただけで、トークン・ダウンロード・バックアップを確認していません。

共有リンク無効化、全利用者停止、セッション失効を行い、アクセス・ダウンロード・印刷の履歴を保全します。候補者とアドバイザーへ契約に基づく返却・消去確認を求め、法的保存が必要な例外は対象、理由、権限、期限を限定します。

既にアクセスがあったことはDD目的内か、終了後か、再共有かで評価が異なります。事実に応じて漏えい等の該当性を専門家と判断します。次回は有効期限、個人認証、透かし、終了チェックを開示前の必須条件にします。

演習10：移行後にマルウェア感染と不正出力の疑いが出る

受付端末が異常通信を示し、深夜に大量検索・出力ログがあります。まず端末を適切に隔離し、該当アカウント・共有リンクを止め、ログ・メモリ・通信等の証拠を専門家指示で保全します。安易な初期化は原因と影響範囲を消す可能性があります。

対象システム、患者情報の種類・人数、出力成功、暗号化、外部送信、認証情報、侵入時刻、他端末への展開を調査します。業務停止中の紙運用と復旧優先を決め、譲渡企業・買い手・ベンダー・保険・法務の緊急連絡を契約責任論より先に動かします。

個人情報保護委員会は一定の漏えい等について報告・本人通知の情報を公表しています。速報・確報、本人通知・代替措置を含む具体的対応は最新制度と事実で判断します。復旧後は侵入経路、権限、検知、教育、バックアップを是正し、再試験で閉じます。

17．患者データ条件を最終契約・移行仕様へ割り当てる

DD報告書に「情報管理を改善する」と書くだけでは、誰がいつ何を渡し、どの欠陥なら実行を止め、過去事故に誰が対応するか決まりません。法律上の責任を契約だけで本人へ対抗できると考えず、本人・行政への適切な対応と、譲渡企業・買い手間の経済負担を分けて設計します。

契約・仕様の欄	定義する事実・義務	整骨院の記載例	不十分な書き方
譲渡対象データ	データ資産名、期間、テーブル・添付、紙箱、正本、対象外、患者番号対応、基準日時点を別紙で特定します。	電子施術録、受領委任請求、未来予約、回数券残、未解決返戻、同意、画像を識別番号で列挙します。	「患者データ一式」のみでは、ログ・添付・バックアップ・紙・削除フラグの範囲を判断できません。
利用目的・役割	DD、移行、クロージング後運営で、譲渡企業、買い手、アドバイザー、移行会社、クラウドが担う役割と利用範囲を示します。	買い手候補は集計閲覧、移行会社は承認マッピングの処理、買い手運営法人は承継後施術・請求という場面別整理です。	「関係者は必要な範囲で利用できる」という抽象文だけでは、閲覧者や終了時消去を制御できません。
表明保証・開示	データ資産一覧、重大事故、本人請求、委託先、アクセス権、保存、提供資料の重要な正確性を案件に応じて確認します。	把握済み誤送信、未完了の訂正請求、共有ID、私物写真等は例外開示へ事実と対応状況を記載します。	単なる「法令を完全遵守」のみでは、既知の例外や譲渡企業が把握できない将来事象との境界が曖昧です。
クロージング前提条件	ベンダー同意、管理者権限、抽出、暗号化、リハーサル、重大エラー解消、必要な本人・行政対応等の完了証拠を定めます。	添付を含む試験移行合格、買い手管理者ID発行、旧院長個人アカウントからの分離を条件化できます。	「移行準備が概ね完了」のような評価者・基準のない表現では、不合格時の延期判断ができません。
移行受入基準	全件統制値、層化サンプル、検索、追記、帳票、権限否定、ログ、復元、停止基準、再試験を仕様書へ置きます。	患者数、施術録数、添付容量、未来予約、配信停止、回数券、返戻について期待値と許容差を定めます。	業者の作業完了メールやファイル受領だけを、買い手の業務・法務受入れとみなしません。
事故・緊急協力	検知時の連絡、証拠保全、封じ込め、調査、本人・行政対応、ベンダー協力、費用、広報、保険を定めます。	実行前原因の不正出力が実行後に判明した場合、旧ログ、担当者、委託先へアクセスできる協力義務を置きます。	金銭補償の協議が終わるまで封じ込め・本人保護を待つ条件は、初動を遅らせるため避けます。
移行支援	譲渡企業・旧ベンダーの質問対応、過去返戻、本人照会、旧記録取出し、権限、時間、費用、終了日を限定します。	案件IDによる質問を一本化し、譲渡企業協力者へ対象記録だけ期限付き閲覧を付与する方法が考えられます。	旧院長に全患者の管理者権限を無期限で残す設計は、引継ぎの便宜を超えたアクセスになります。
返却・保存・消去	VDR、端末、移行ファイル、媒体、紙、旧クラウド、バックアップを対象に、根拠、方法、期限、証明、例外を記載します。	バックアップで即時個別削除できない場合、利用停止、アクセス制限、循環上書き日、復元時再削除を管理します。	「案件終了時に全て削除」という実現不能な断定や、何を削除したか分からない定型証明だけに依存しません。
価格・補償	是正投資、移行追加費、既知事故等の経済負担を、本人・行政への責任と区別して当事者間で配分します。	旧端末調査、追加抽出、事故対応、ベンダー延長等の費用を対象・上限・手続付きで扱います。	価格を下げたから漏えい等対応やデータ欠落が解決したという説明はしません。
100日ガバナンス	初日権限、30日委託先、60日旧媒体、100日復元・消去、残余例外の責任者と証拠を定めます。	共有ID、退職者、配信停止、VDR、旧院長端末、バックアップを期限別に再監査します。	「PMIで対応」とだけ書いて過去事故・実行必須条件を先送りしません。

条項と移行仕様は同じ識別番号で結びます。「DATA-07 添付画像」のように、DD質問、例外開示、マッピング、受入テスト、保存消去を追跡すれば、契約担当の合意が技術作業へ反映されます。法務用名称とベンダー用テーブル名が違う場合は対応表を置きます。

不合格時の選択肢も署名前に決めます。重大な誤患者結合なら延期またはロールバック、軽微な帳票表示なら回避策と期限付き受入れなど、患者安全、権利、請求、業務影響で層別します。件数が少ないことだけを軽微判断の根拠にしません。

譲渡企業が旧資料を保存する必要がある場合、買い手へ渡したから自由に廃棄できるとも、契約責任が残るから全件自由閲覧できるとも考えません。保存根拠、権限、照会手順、終了条件を専門家と決め、譲渡企業・譲受企業双方の台帳へ同じ例外番号を記載します。

18．媒体別の保存・消去台帳を記入する

保存期間表と消去証明は、移行後にまとめて作るとコピーを見失います。DD資料を作った時点から、どの媒体に、誰が、何の目的で、いつまで保管するかを記録します。法令、請求・監査、本人対応、紛争、契約上の必要性が競合する場合は、情報の種類と起算点を専門家へ示して判断します。

媒体・保管先	台帳へ記載する識別	保存中の統制	終了時の確認
新本番システム	サービス、契約者、管理者、データ群、稼働日、バックアップ、正本範囲、法的・業務上の保存根拠を記載します。	個人ID、最小権限、多要素認証、ログ、権限棚卸し、障害監視、本人請求窓口を運用します。	記録種類ごとの期限レビュー、法的保全、削除承認、バックアップ反映を確認し、論理削除だけで完了としません。
旧本番システム	旧契約、対象期間、読取専用開始、参照目的、閲覧者、終了予定、ベンダー解約・消去条件を明記します。	ネットワーク・権限を限定し、旧院長・退職者・旧保守のアクセスを止め、参照の都度ログをレビューします。	新環境受入、照会・請求、法的保存、ロールバックが完了した承認後に解約・消去し、証明を取得します。
移行用ファイル	ファイル番号、内容、期間、容量、ハッシュ、作成者、暗号化、送信先、鍵保有者、受入番号を記載します。	専用作業領域、期限付き権限、コピー禁止、ログ、暗号鍵分離を使い、メール・個人クラウドへ置きません。	受入・再試験後に元・複製・解凍・一時・鍵を対象別に消去し、作業ログと証明を突合します。
VDR・案件共有	案件、候補者、利用者、資料版、リンク、権限、ダウンロード、終了日、不成立時処理を候補者別に管理します。	個人認証、二要素認証、期限、透かし、ダウンロード制御、アクセス監視、外部アドバイザー管理を行います。	取引成立・不成立に応じ利用者とトークンを失効し、ダウンロードコピーの返却・消去と例外保存を確認します。
作業端末・院内PC	資産番号、所有、利用者、保存ファイル、同期、暗号化、ブラウザ、修理・返却、最終ログインを記録します。	ローカル保存を限定し、自動同期、共有ダウンロード、外部媒体、画面放置、管理者権限を監視します。	再利用、売却、リース返却、廃棄に応じた消去・初期化を実施し、資産台帳と現物番号を二人で照合します。
スマートフォン・タブレット	院管理・私物、電話番号、アカウント、写真、メッセージ、クラウド同期、MDM、紛失対応を区分します。	業務用プロファイル、画面ロック、遠隔消去、アプリ制限、退職時停止を用い、患者写真を個人領域へ置きません。	アカウント解除、端末・クラウド・最近削除・バックアップ、SIM・貸与物返却を確認します。
USB・外部媒体	媒体番号、暗号化、内容、作成・貸出、封印、配送、受領、返却、保管庫を一件ごとに記録します。	承認媒体だけを使い、鍵別送、配送追跡、持出し期限、接続ログを管理します。一般USBの便宜利用を禁止します。	暗号消去、上書き、物理破壊等の適切な方法を選び、媒体番号と破壊・返却証明を照合します。
紙カルテ・問診	棚・箱番号、年度、患者範囲、記録種類、冊数、欠番、鍵、院外倉庫、持出しを記載します。	入退室、持出し、返却、災害対策、封印を行い、院長宅や車内等の非正規保管を棚卸しします。	根拠と起算を確認して期限レビューし、溶解・裁断等の委託契約、運搬、箱数、証明を突合します。
複合機・スキャナ	機種、資産番号、内蔵記憶、アドレス帳、送信履歴、保守、リース、返却日、消去機能を確認します。	スキャン宛先を承認共有へ限定し、個人メールや公開フォルダを登録しません。保守遠隔アクセスも管理します。	保守事業者と記憶・設定を消去し、返却・引取証明へ機器番号と作業内容を記載します。
バックアップ	方式、頻度、世代、媒体、暗号鍵、保存地域、運用者、復元試験、循環上書き、個別削除可否を記載します。	本番と異なる権限・場所で保護し、成功監視、鍵管理、定期復元、ランサムウェア等に備えた分離を検討します。	即時個別削除できない場合のアクセス停止、利用禁止、最終残存日、復元時再削除を追い、日付到来後に再確認します。

「施術完結日から五年」という公的規程上の取扱いを検討する際も、対象となる受領委任の施術録と、予約、問い合わせ、ログ、移行ファイル等を同じ期間へ機械的にそろえません。対象、起算、地域・契約、ほかの義務を最新の公的資料と所管回答で確認します。

法的保全が発令された場合、通常の消去を止める対象を過不足なく特定します。「全患者データを無期限保存」と広げず、争点、本人、期間、記録群を弁護士と限定し、閲覧権と終了レビューを置きます。保全解除後は元の保存スケジュールへ戻します。

消去証明には「データ一式を削除」だけでなく、資産・ファイル・箱の識別、方法、実施日時、担当、確認、例外、バックアップ残存を記載します。証明書の対象数を台帳と照合し、業者の定型文と実作業が一致しなければ追加確認します。

本人から開示・訂正・利用停止等の請求が移行期間に入った場合、譲渡企業・買い手の窓口が互いに押し付けないよう、受付日、正本所在、回答担当、期限、移行反映を管理します。旧環境だけ訂正して新環境へ誤情報を移すこと、履歴を消して訂正根拠を失うことを避けます。

19．経営判断メモで「開示する・移す・残す・止める」を選ぶ

データDDの結論は、セキュリティ点数一つでは表せません。患者の継続施術、法的根拠、請求・照会、本人の権利、移行可能性、事故、契約費用が異なるためです。経営会議では各論点を次の決定へ割り当て、未確認を「問題なし」へ読み替えません。

判断	必要な根拠	条件付きで進める方法	停止・延期を検討する兆候
DDで個票を開示する	集計で答えられない具体的質問、対象項目・件数、法的根拠、閲覧者、安全策、不成立時消去を確認します。	案件ID、項目削減、限定閲覧室、ダウンロード禁止、透かし、期限、ログを質問の重要性に合わせます。	買い手が目的を説明せず全件実名を要求する、閲覧者・再共有・終了処理を管理できない場合です。
データ群を正式移行する	従前の利用目的、取引構造、施術・請求・本人対応への必要性、品質、マッピング、保存根拠を確認します。	品質に軽微な例外があれば回避策・期限付き受入れ、重要記録は再抽出・再試験を条件にします。	正本不明、誤患者結合、重要添付欠落、事業承継に関する法的整理未了の状態です。
旧環境を参照保存する	新環境で再現できない記録、請求・照会、法的保存、ロールバックの必要性と終了時期を示します。	読取専用、ネットワーク隔離、期限付き個人ID、質問承認、ログ監視を置きます。	旧院長・退職者・ベンダーの共有管理者しかアクセスできず、監査も終了日もない場合です。
不要コピーを消去する	受入完了、法的・契約上の保存不要、保全指示なし、対象媒体とバックアップ残存を確認します。	即時個別削除できないバックアップは利用停止、暗号化、循環上書き日、復元時再削除を追跡します。	新環境の内容検収前、係争・本人請求中、対象を特定できないまま旧媒体を初期化する計画です。
クロージングを実行する	ベンダー同意、管理者、リハーサル、重大エラー、暗号化、受入・ロールバック、初日権限が整っています。	軽微例外だけを責任者・期限・回避策付きで受け、旧環境を安全に残して再試験します。	患者安全・請求・権利へ重大な欠陥があり、期限内修正も旧運用復帰もできない場合です。
事故対応を法定評価へ上げる	情報種類・人数、取得可能性、第三者閲覧、暗号化、二次被害、発生・発見時刻を証拠から確認します。	封じ込めと調査を進めながら、個人情報保護委員会への速報・確報、本人通知等を専門家と期限管理します。	証拠削除、端末初期化、契約責任の争いで被害拡大防止が遅れる、判断者不在の状態です。
買収後の新用途を開始する	従前の利用目的、本人への公表・同意等、データ最小化、委託・第三者提供、安全管理を確認します。	M&A承継と別プロジェクトにし、法務・プライバシー審査、本人対応、権限、停止手段を設けます。	承継したから広告・グループ分析・AI学習へ無制限利用できるという前提です。

各判断には「事実」「法的・専門評価」「採用案」「却下案」「残余リスク」「責任者」「期限」「証拠」を記載します。技術担当は移行可能性、院の業務担当は継続施術、法務・個人情報担当は利用根拠と本人保護を確認し、一部署の合格だけで総合承認にしません。

費用比較でも、安い移行案が安全とは限りません。添付・ログ・バックアップを除外した価格、旧環境を無期限契約する費用、再入力による誤り、事故時復旧を含めます。逆に全過去データを高額で移す案も、必要性のない情報を増やすなら見直します。

投資委員会へは患者名や詳細傷病を提示せず、データ群、件数、影響、改善費、停止条件で説明します。個票が判断に不可欠な例外では、別の限定会議と記録を設け、会議資料の配布・保存・消去を管理します。

最終承認者は、重大障害時に延期を選べる必要があります。成約日を守ることだけを成果にすると、受入基準を下げて旧環境を先に消す誘因が生まれます。延期費用、患者影響、代替運用を比較し、停止基準に達したときは事前合意どおり判断します。

患者情報の論点は、買い手のIT部門だけへ委ねません。受付は未来予約・連絡、施術者は記録の意味、請求担当は返戻・入金、法務は利用根拠、情報管理は権限・復旧を確認します。部門ごとの合格を一枚の受入票へ統合し、専門外の担当が他部門の確認を代行した形にしません。

譲渡企業に残る義務も明確にします。過去施術への照会、係争、返戻、本人請求で旧資料が必要な場合、買い手が正本を持つことと譲渡企業が必要範囲へ安全に到達することを両立させます。問い合わせのたびに全件CSVを渡すのではなく、案件IDと承認窓口を使い、閲覧終了をログへ残します。

100日後のレビューでは、移行不具合件数だけでなく、権限例外、旧媒体残存、バックアップ復元、本人請求、ベンダー連絡、事故訓練を確認します。未完了があれば次の経営管理周期へ正式移管し、「M&Aプロジェクト終了」を理由に担当と証拠を失わないようにします。

20．整骨院M&Aの患者情報・カルテ承継FAQ

Q1．株式譲渡なら患者データの確認は不要ですか

不要ではありません。運営法人が同じでも、新たな株主、グループ管理、委託先、管理者権限、利用目的、事故履歴、保存・消去の課題を確認します。契約名義と実際の閲覧者が変わるサービスもあります。

Q2．事業譲渡なら患者の個別同意が必ず必要ですか

一律には答えられません。個人情報保護法上の事業承継に関する規定、取引実態、承継対象、利用目的、開示時期等を確認します。案件資料を弁護士へ示し、患者への説明や同意等の必要性を個別判断してください。

Q3．DD開始時に実名カルテを見せてもよいですか

必要性と法的根拠を検討せず一括開示しません。まず集計、次に識別子置換や限定サンプル、必要な場合の管理された閲覧へ進みます。閲覧者、目的、期限、ログ、不成立時消去を先に決めます。

Q4．氏名を消せば匿名データになりますか

氏名だけでは、住所、電話、生年月日、希少な症例、自由記述、画像、ファイル名、他データとの照合で本人が分かる場合があります。法令上の匿名加工情報等に当たるかを自己判断せず専門家へ確認します。

Q5．施術録はすべて五年間保存すれば十分ですか

一律に十分とは限りません。厚生労働省の受領委任取扱規程で対象となる施術録の定めと、ほかの法令・請求・契約・紛争上の必要性を分けます。記録種類、対象、起算点、保存停止条件を専門家と確認してください。

Q6．紙カルテをスキャンすれば原紙を捨てられますか

直ちに捨てられるとは限りません。適用される保存義務、画像の完全性・可読性、裏面や付箋、改変防止、院内承認を確認します。処分する場合も箱・媒体・方法・実施者の証拠を残します。

Q7．移行件数が一致すれば検収は完了ですか

完了ではありません。内容の途中切れ、添付、文字化け、患者紐付け、検索、追記、帳票、権限、ログ、バックアップ復元を確認します。全件統制値と層化サンプルを併用します。

Q8．旧システムはいつ消去しますか

新環境の受入れ、業務開始、必要な請求・照会、ロールバック期間、法的保存を確認してからです。旧環境を無期限に自由閲覧できる状態にもせず、読取専用、権限、期限、消去承認を定めます。

Q9．バックアップから個別削除できない場合はどうしますか

残存を隠さず、アクセス停止、循環上書き日、利用禁止、復元時の再削除、暗号化等の代替統制を検討します。具体的対応は契約、法令、技術仕様を専門家へ示して決めます。

Q10．共有IDでも院内だけなら問題ありませんか

院内限定でも、誰が閲覧・出力・変更したかを追えず、退職時停止も困難です。個人ID、最小権限、強い認証、ログ、定期棚卸しへ移し、緊急権限は時間限定にします。

Q11．漏えいの疑いがあれば必ず個人情報保護委員会へ報告しますか

一定の漏えい等について報告・本人通知が必要となる制度がありますが、具体的な該当性は事象により異なります。証拠を保全し、被害拡大を止め、最新の公表資料と専門家助言で期限を含め判断します。

Q12．ベンダーのセキュリティ認証があれば院の確認は不要ですか

不要にはなりません。認証範囲、院側設定、アカウント、再委託、障害連絡、バックアップ、終了時消去を確認します。責任分界と実際の運用が契約・仕様と一致するかを見ます。

Q13．患者への告知はいつ行いますか

本稿の中心であるデータ移行検収とは別に、取引手法、守秘、営業継続、契約、患者対応を踏まえて決めます。既存の告知タイミング記事を参照し、案件の法的助言と運用計画に従ってください。

Q14．この記事の手順だけで個人情報保護法対応は完了しますか

完了しません。本稿は一般情報です。最新法令、個人情報保護委員会・厚生労働省の指針、患者情報の実態、取引構造、委託契約を弁護士や情報セキュリティ専門家等へ提示してください。

21．整骨院M&Aの患者情報の参考一次資料

次の公的資料を2026年8月22日に確認しました。医療情報システムの安全管理に関するガイドラインは2026年6月公表の第7.0版を参照しています。実行時には改正、正誤、所管別取扱いを再確認してください。

免責：本稿は一般的な情報提供であり、法的助言、行政手続、セキュリティ保証ではありません。整骨院M&Aの患者情報、要配慮個人情報、第三者提供・事業承継、保存期間、漏えい等報告、システム安全管理は、取引時点の法令と具体的データフローを弁護士、所管機関、情報セキュリティ専門家等へ示して確認してください。