カウンセリングの電子カルテの選び方｜クラウドと個人情報の確認点

カウンセリングの記録を電子化するときは、機能や価格を見る前に、「個人情報保護法の安全管理措置を自分が果たせる形か」「暗号化・アクセス権・バックアップ・保存先・解約時のデータの扱いが説明できるか」の2点を確かめるのが先です。カウンセリング用の電子カルテという決まった種類があるわけではなく、医療機関向けのシステムから汎用のクラウドサービスまで幅があります。どれを選んでも、記録を守る責任は使う側に残ります。

記録の書き方そのものは別の記事で扱っているため、この記事では「入れ物」の選び方と、関係する法令・ガイドラインの読み方に絞ります。

この記事でわかること

カウンセリングで電子カルテを使うかどうかの判断の軸（紙との比較）
クラウド型を使うときに個人情報保護法で押さえる点
暗号化・アクセス権・バックアップ・保存先・解約時のデータの確認点
医療情報システムの安全管理に関するガイドラインが医療機関向けである点と、参考にできる範囲
開業カウンセラーの記録の保存と電子化のときの考え方

カウンセリングで電子カルテは必要か

電子カルテは必須ではありません。紙でも電子でも守るべきことは同じで、違うのは事故の起き方と管理の手間です。

電子カルテとは何か、カウンセリングで何が変わるのか

医療機関でいう電子カルテは、診療録を電子的に作成・保存・管理するシステムで、診療報酬の請求や予約、会計と一体になった製品も多くあります。一方、心理職に必要なのは多くの場合「面接ごとの記録を安全に保管し、必要なときに探せる」ことで、汎用のクラウドサービスで運用する場合もあります。この記事では、広い意味で「カウンセリングの記録を電子的に管理する仕組み」を電子カルテとして扱います。

所属先がある場合は、決まった記録の仕組みを規程に沿って使い、疑問は担当者や上司に確認します。自分で選ぶ立場になるのは、主に開業や小規模な相談室の場合です。

医療機関の電子カルテに心理職が記録する場合

病院や診療所で働く心理職は、医療機関の電子カルテに面接や心理検査の記録を書くことがあります。医師法第24条が保存を定めているのは医師の診療録で、心理職の記載をどう位置づけ、どこまで書くかは、医療機関ごとの記載基準や運用で決まっていることが多いです。診療報酬の算定に関わる支援では、告示や通知で記載が求められる事項もあり、改定で変わることがあります。最新の告示・通知と所属先の基準を確認し、迷うときは指示を出す医師や診療情報の管理部門に相談します。

医療機関の電子カルテは多職種が閲覧するため、何をどこまで書くかは所属先の記載基準に沿って決めます。医療機関での個人情報の扱いは、個人情報保護委員会と厚生労働省の「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」も参照されます。

紙と電子の比較

どちらが優れているかではなく、どちらの危険を自分が管理しやすいかで比べます。

紙の特徴は次のとおりです。

通信経由の情報流出や不正アクセスのおそれがない
紛失、盗難、水濡れ、火災、持ち出し中の置き忘れが主な危険になる
鍵のかかる保管庫と、保管場所の物理的な管理が必要になる
検索や複製、複数拠点での共有に手間がかかる
廃棄は裁断でできる

電子の特徴は次のとおりです。

検索しやすく、保管場所をとらない
端末の紛失、不正アクセス、設定の誤り、サービス側の障害が主な危険になる
アクセス権や操作履歴を残せる製品もある
バックアップを取れば災害に強くなるが、バックアップ自体も守る必要がある
廃棄は、バックアップや複製も含めて消し切れているかの確認が要る

電子化を考える場面

電子化を考える場面は次のとおりです。

相談者が増えて、紙の保管場所と検索に手間がかかってきた
オンラインでの面接が中心で、記録も画面の近くで残したい
複数の心理職で記録を共有する必要がある
オンライン面接のツール選びと合わせて、予約や決済、案内の連絡と記録をつなげたい

逆に、相談者が少なく、保管庫と鍵の管理が確実なら、無理に電子化しなくても問題はありません。

カウンセリング記録の管理を電子化するときの基本方針

電子化するときに先に決めるのは、製品ではなく「方針」です。方針があれば、製品を比べるときの物差しになります。

何を記録として残し、どこに置くかを決める

最初に、扱う情報を洗い出します。面接記録のほか、氏名や連絡先、同意書、予約の履歴、決済の情報、メールのやり取りも個人情報にあたります。一つのシステムにまとめるのか、分けるのかを決めます。

分けるほうが、ひとつの事故の影響は小さくなります。連絡先と面接記録を別の場所に置き、IDで結びつける方法もありますが、対応表の保管にも同じ注意が必要です。

保存期間と廃棄の方針を決める

開業など医療機関以外の場合、心理職の面接記録の保存期間を直接定めた法律は、確認できた範囲では見当たりません。日本臨床心理士会の倫理綱領は面接記録を原則として最終日から5年間保存するとし、日本公認心理師協会のガイダンスも支援終了後5年間の保管を目安として示しています。詳しい根拠と医療機関での扱いは、記録の書き方の記事で整理しています。

電子化で加わるのは、「期間が過ぎたら消せる仕組みか」という論点です。個人情報保護法第22条は、利用する必要がなくなった個人データを遅滞なく消去する努力義務を定めています。削除してもバックアップに残る期間があるサービスもあるため、削除の仕様を事前に確認しておきます。

所属先がある人は所属先の規程が優先です。開業の場合は、目安を参考に自分で決めて文書にします。

クラウド型の電子カルテを使うときの考え方

クラウド型は、自分の端末ではなく事業者のサーバーにデータを置く方式です。手軽な反面、データが自分の手元になくなるので、法律上の整理が必要になります。

クラウド型と端末保存型（オンプレミス型）の違い

電子カルテの置き方は、大きく分けて、事業者のサーバーに置くクラウド型と、自分のパソコンや院内のサーバーに置く端末保存型（オンプレミス型）があります。端末保存型は、通信が止まっても使える反面、機器の故障や盗難、更新作業、バックアップを自分で引き受けます。クラウド型は、そうした管理の一部を事業者に任せられる代わりに、通信環境と事業者の運用に左右されます。

どちらでも、端末の画面ロックや暗号化など、手元の端末の管理は自分の仕事です。

クラウドの利点と、手元にない危険

クラウド型は、自分でサーバーを管理しなくてよく、端末が壊れてもデータが残りやすいのが利点です。一方で、手元にない危険もあります。

事業者側の障害や、サービス終了、方針変更の影響を受ける
事業者側のアカウント管理や設定の誤りが、そのまま流出につながる
保存先のサーバーが国外にある場合がある
解約したときにデータをどう受け取れるか、事業者側でいつ消えるかが製品によって違う

個人情報保護法ではクラウドの利用をどう整理するか

個人情報保護委員会のQ&A（Q7-53）は、クラウドの利用が第三者提供や委託にあたるかは、データに個人データが含まれるかではなく、クラウド事業者が個人データを取り扱うこととなっているかで判断するとしています。取り扱わないこととなっている場合の例として、契約条項で取り扱わない旨が定められ、適切にアクセス制御が行われている場合などを挙げています。

この場合、本人の同意は不要で、委託先の監督義務（法第25条）も課されません。ただし同Q&A（Q7-54）は、自ら果たすべき安全管理措置の一環として、適切な安全管理措置を講じる必要があるとしています。また、漏えい等が起きたときの報告は、利用する側の事業者が負います（Q6-22）。クラウドに預けても、責任がなくなるわけではありません。

事業者が保存データを扱う契約の場合は、委託として監督が必要になることがあります。契約の読み方に迷うときは、個人情報保護委員会の相談窓口や弁護士などの専門家に相談してください。

外国の事業者のクラウドやサーバーが国外にある場合

外国の事業者が提供するクラウドを使う場合は、安全管理措置のうち、外国の個人情報の保護に関する制度などを把握する「外的環境の把握」が関わります。個人情報保護委員会のQ&A（Q10-25）は、この場合、サーバーが日本国内にあっても同様に、その外国の制度などを把握したうえで安全管理措置を講じる必要があるとしています。そのうえで、事業者が所在する国やサーバーが所在する国の名称、講じた措置の内容を、本人が知りうる状態に置く必要があるとも説明しています。

同Q&A（Q12-4）は、外国の事業者がサーバーに保存された個人データを取り扱っている場合は、サーバーが国内にあっても「外国にある第三者への提供」にあたるとしています。ただし、その事業者が保存された個人データを日本国内で取り扱い、日本国内で個人情報データベース等を事業の用に供していると認められる場合は、あたらないとも示しています。事業者の所在地とサーバーの所在地、国内での取扱いの有無を、サービスの説明や規約で導入前に確認しておきます。

電子カルテを選ぶときの確認点

製品名や価格より先に、次の5点を確認します。説明が不十分なら事業者に質問し、回答を記録に残します。

暗号化されているか

確認したいのは、通信の暗号化と、保存データの暗号化の両方です。端末に保存する形式の場合は、端末自体の暗号化と画面ロックも条件になります。方式の詳細より、「どこが、どのように暗号化されるか」を事業者が説明できるかを見ます。

アクセス権と本人確認

記録を見られる人を、必要な人だけにできるかを確認します。

利用者ごとにアカウントを分けられるか（共有アカウントにしなくてよいか）
閲覧、編集、削除の権限を分けられるか
二段階認証などの本人確認の仕組みがあるか
誰がいつ見たか、変更したかの履歴が残るか
退職や契約終了の際に、アカウントを速やかに止められるか

バックアップと復旧

データが壊れたときに戻せるかを確認します。

事業者側が自動でバックアップを取っているか、その頻度と保持期間はどうか
自分でも書き出して保存できるか
バックアップを自分で取る場合、その保管場所の安全は誰が守るか
障害時にどのくらい止まりうるか、止まった間の面接記録をどう残すか

保存先

保存先がどこにあるか（国内か国外か）、提供する事業者がどの国の事業者か、どの事業者のサーバーを使うのか、さらにその事業者が別の事業者に委託していないかを確認します。外国の事業者やサーバーが関わるときは、先に述べた外的環境の把握の観点が必要です。

解約したときのデータの扱い

見落とされやすいのが出口です。

解約後にデータを書き出せるか、どの形式か
書き出しの期限があるか
解約後に事業者側のデータがいつ消えるか、削除の証明を求められるか
事業者が倒産・サービス終了したときの扱いはどうか

記録を移せない仕組みは避けたほうが安全です。

記録の型（テンプレート）と入力のしやすさ

5点を満たしたうえで、毎日の使い勝手も比べます。入力に手間がかかる仕組みは、記録が後回しになる原因になります。

初回、継続、終結時など場面ごとの型（テンプレート）や、SOAP など自分の記録の形式に合わせた項目を作れるか
事実と見立てを分けて書ける欄を設けられるか
心理検査の結果や同意書の画像など、文章以外の資料をどう添付し、どこに保存するか
パソコンとスマートフォンなど、使う端末で表示や操作が変わらないか

記録の型の作り方は記録の書き方の記事で整理しています。試用期間に、相談者の情報を含まないテスト用の文面で、その型を画面上で再現できるか確かめます。

費用と契約の形

費用は、月額か年額か、利用者数やデータ容量で変わるか、予約や決済などが追加料金かを確認します。保存期間のあいだ使い続ける前提で、数年分の合計で比べます。料金や規約が変わったときの通知の方法も見ておきます。

無料サービスや汎用のサービスを使う場合

無料のサービスやスマートフォンのメモ・記録アプリ、記録用に作られていない汎用のクラウドサービスを使う場合は、利用規約で事業者がデータを分析や改善に使うと定めていないか、先の5点が確認できるか、を特に注意して見ます。確認できない点が多いなら、記録の保管には使わない判断もあります。

個人情報保護法と要配慮個人情報

心理職の記録は、個人情報保護法の中でもとくに慎重な扱いが求められる内容を含みます。

小規模な開業でも対象になるか

個人情報保護法第16条第2項は、個人情報取扱事業者を、個人情報データベース等を事業の用に供している者と定めています（国の機関、地方公共団体などは除く）。扱う件数で除外する定めはないため、相談者の記録を検索できる形でまとめているなら、ひとりで開業している場合でも対象になりえます。国や自治体などの公的機関に所属する場合は別の規定が適用されるため、所属先に確認してください。

カウンセリング記録と要配慮個人情報

個人情報保護法第2条第3項は、要配慮個人情報として、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実などを挙げ、残りを政令に委ねています。同法の施行令第2条は、身体障害・知的障害・精神障害（発達障害を含む）などの心身の機能の障害があること、医師その他医療に関連する職務に従事する者による健康診断等の結果や、心身の状態の改善のための指導・診療・調剤が行われたことなどを挙げています。

面接記録には、病歴や障害、通院や服薬の事実が書かれることが少なくありません。こうした記述があれば要配慮個人情報にあたる可能性が高くなります。面接の内容そのもののどこまでが該当するかは記述ごとの判断になるため、記録全体を慎重な扱いが必要なものとして管理するのが安全です。

第20条第2項は、法令に基づく場合などを除いて、あらかじめ本人の同意を得ないで要配慮個人情報を取得してはならないと定めています。実務では、同意書や契約書の中で、どのような情報を何のために記録し、どう保管するかを説明し、同意を得ておくことになります。

安全管理措置と漏えい時の対応

個人情報取扱事業者は、取り扱う個人データの安全管理のために必要かつ適切な措置を講じなければなりません（第23条）。従業者に取り扱わせる場合は監督が必要で（第24条）、委託する場合は委託先の監督が必要です（第25条）。

個人データの漏えいなどが起き、個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定める場合は、同委員会への報告が必要です（第26条第1項）。あわせて、本人への通知も必要です（同条第2項。通知が困難な場合は、代わりの措置をとるときに限り例外があります）。電子化すると、一度の事故で漏れる件数が増えるおそれがあります。事故の際に誰に連絡し、何を確認するかを、先に決めておきます。

令和8年に「個人情報の保護に関する法律等の一部を改正する法律」（令和8年法律第56号）が成立し、7月17日に公布されました。施行は、公布から2年を超えない範囲で政令で定める日です。個人情報保護委員会は、委託先における個人データの取扱いや、漏えい等の報告・本人通知の範囲を、政令・規則で整える方針を示しています。施行後は、この記事で挙げた条文番号や義務の中身が変わりうるため、実際に運用するときは個人情報保護委員会の最新の情報を確認してください。

相談者から開示を求められたとき

本人は、保有個人データの開示を請求できます（第33条）。電子で保管していれば記録を出しやすい反面、どの範囲を出すかの判断が要ります。開示への備えは記録の書き方の記事で整理しています。迷うときは、弁護士などの専門家に相談してください。

医療情報システムの安全管理に関するガイドラインはどこまで参考になるか

電子カルテの話では、厚生労働省の「医療情報システムの安全管理に関するガイドライン」が必ず出てきます。ただし、これは誰にでも適用されるものではありません。

対象は医療機関等である

厚生労働省の公式ページは、医療機関等に対して、医療情報システムの取り扱いでこのガイドラインを遵守するよう呼びかけています。2026年11月1日時点では第7.0版（令和8年6月に見直し）の概説編、経営管理編、企画管理編、システム運用編、保守委託機関編と、Q&A、サイバーセキュリティ対策チェックリストなどが掲載されています。

第7.0版の概説編は、対象とする医療機関等として、病院、一般診療所、歯科診療所、助産所、薬局、訪問看護ステーション、介護事業者、医療情報連携ネットワーク運営事業者等を想定するとしています。つまり、病院や診療所などの医療機関が主な対象で、医療機関以外のカウンセリングルームに直接適用されるとは限りません。

開業カウンセラーが参考にするなら

医療機関ではない相談室が、このガイドラインにどこまで従うべきかは、断定できません。法令上の義務かどうかは別にして、考え方として参考にする方法はあります。

経営管理編の考え方に倣い、記録の安全管理の責任者（自分自身であっても）を決める
企画管理編・システム運用編に倣い、利用する機器やサービス、アクセスの管理、バックアップ、障害時の手順を文書にしておく
事業者に任せる部分と、自分で行う部分の役割分担を、契約などで明確にしておく

第7.0版の概説編は、電子保存できる文書の情報を電子媒体に保存するときは「真正性・見読性・保存性が確保されている必要がある」としています。システム運用編は真正性を、正当な権限で作成された記録の虚偽入力・書換え・消去・取り違えが防がれ、作成の責任の所在が明確であることと説明しています。見読性は必要なときに読めること、保存性は保存期間のあいだ失われないことと理解しておくと、医療機関でなくても電子化で何を守るかの物差しになります。

電子化するときに決めておくことの例

導入前に、次の項目を文書にまとめておくと、事故のときにも説明のときにも役立ちます。

記録として残す情報の種類と、保管場所
保存期間と、廃棄の方法（バックアップを含む）
使ってよい端末、持ち出しのルール
障害や漏えいが起きたときの連絡先と手順
相談者への説明（同意書や契約書に、記録の取り扱いを書く）

年に1回など日を決めて見直します。ひとりで運用していると判断を確かめる機会が少ないため、スーパービジョンの受け方と探し方や仲間との勉強会で運用を相談するのもひとつの方法です。

よくある質問

Q. カウンセリングの記録は電子カルテでないといけませんか？

いいえ。紙でも電子でも構いません。どちらでも、個人情報保護法の安全管理措置や、所属先の規程、職能団体の倫理綱領に沿って、安全に保管することが求められます。自分が管理しやすい形を選びます。

Q. クラウド型の電子カルテは安全ですか？

製品によります。クラウドかどうかより、暗号化、アクセス権、バックアップ、保存先、解約時のデータの扱いが確認できるかが大切です。また、クラウドに預けても、安全管理措置と漏えい時の報告の責任は、利用する側に残ります。

Q. 医療情報システムの安全管理に関するガイドラインは、開業カウンセラーも守る必要がありますか？

このガイドラインは、医療機関等を対象に示されています。医療機関以外の相談室に直接適用されるとは断定できません。考え方を参考にすることはできます。判断に迷うときは、専門家や所属先に確認してください。

Q. カウンセリング記録の保存期間はどのくらいですか？

医療機関以外では、心理職の記録の保存期間を定めた法律は、確認した範囲では見当たりません。日本臨床心理士会の倫理綱領や日本公認心理師協会のガイダンスは、5年間を目安としています。所属先がある場合は、その規程に従います。

Q. 無料のアプリやクラウドサービスで記録を管理してもいいですか？

法律上すぐに禁止されるわけではありませんが、利用規約でのデータの扱いや、サービス終了の可能性、確認できる安全対策が限られる点に注意が必要です。確認できない点が多い場合は、記録の保管には使わないという判断もあります。

Q. 相談者から、記録を電子で保存してよいかと聞かれたらどう答えますか？

どのような情報を何のために記録し、どこに保管し、いつまで保存して、どう廃棄するかを、同意書や契約書に書いて説明します。「安全です」と言い切らず、講じている対策を具体的に伝えるほうが誠実です。

まとめ

カウンセリングの電子カルテは必須ではなく、紙と電子のどちらも、自分が管理しやすい形で安全に保管することが目的です
選ぶときは、暗号化、アクセス権、バックアップ、保存先、解約時のデータの扱いを確認し、クラウドでも安全管理措置と報告の責任は利用する側に残ります
医療情報システムの安全管理に関するガイドラインは医療機関等向けで、開業カウンセラーには考え方の参考にとどめ、判断に迷う法令の問題は専門家に相談してください

カウンセリングの電子カルテは、機能の多さではなく、記録を守る責任を自分が果たせる形かどうかで選ぶと、あとから困りにくくなります。