GENIAC-Team-Ozaki/JaGovFaqs-22k huggingface dataset:
質問: 個人情報を加工して匿名加工情報を作成する場合についても、利用目的として特定する必要はありますか。
回答: 利用目的の特定は個人情報が対象であるため、個人情報に該当しない匿名加工情報は対象となりません。また、匿名加工情報への加工を行うこと自体を利用目的とする必要はありません。（平成 30 年７月追加）
（出典: 個人情報保護委員会）
質問: 匿名加工情報を作成するときに施行規則第 34条各号に定める基準で求められている措置を全て行う必要がありますか。
回答: 匿名加工情報を作成するためには、法第 36 条第１項に基づき、施行規則第 19 条各号で定める基準に従い加工する必要がありますが、各号に定める措置を選択的に講ずればよいものではなく、各号全ての措置を行う必要があります（ただし、該当する情報がない場合は当該措置を講じる必要はありません）。なお、プライバシー保護等の観点から追加的に措置を講じていただくことを妨げるものではありません。
（出典: 個人情報保護委員会）
質問: 提供を受けた匿名加工情報を再度加工する場合は匿名加工情報の作成に該当しますか。
回答: 匿名加工情報は個人情報を加工して作成するものであり、匿名加工情報を再加工することは新たな別の匿名加工情報の作成には当たるものではないと考えられます。
（出典: 個人情報保護委員会）
質問: 要配慮個人情報を加工して匿名加工情報を作成することはできますか。
回答: 法第２条第３項に定める要配慮個人情報を含む個人情報を加工して匿名加工情報を作成することも可能です。
（出典: 個人情報保護委員会）
質問: 施行規則第 19 条第５号において、「個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等との差異その他の当該個人情報データベース等の性質を勘案し」とありますが、ここでの「当該個人情報を含む個人情報データベース等」については、事業者が保有する個人情報データベース等全体を勘案する必要がありますか。
回答: ここでの「当該個人情報を含む個人情報データベース等」とは、当該個人情報取扱事業者が匿名加工情報を作成する際に加工対象とする個人情報データベース等を想定しています。すなわち、匿名加工情報を作成する個人情報取扱事業者が保有する加工とは無関係の個人情報を含む全ての個人情報データベース等の性質を勘案することを求めるものではありません。
（出典: 個人情報保護委員会）
質問: 個人情報である仮名加工情報を加工して、匿名加工情報を作成することはできますか。
回答: 匿名加工情報を作成するためには、匿名加工情報作成の意図を持って、法第43条第１項に基づき、施行規則第34条各号で定める基準に従って個人情報を加工する必要がありますが、これらの要件を満たす限り、個人情報である仮名加工情報を加工して匿名加工情報を作成することは可能です。（令和３年９月追加）
（出典: 個人情報保護委員会）
質問: 匿名加工情報を作成するときには、氏名と仮 ID 等の対応表を破棄しないといけませんか。
回答: 氏名と仮 ID 等の対応表は加工方法等情報に該当すると考えられます。したがって、当該対応表の破棄までは求められませんが、加工方法等情報として施行規則第 20 条各号の基準に従って安全管理措置を講ずる必要があります。また、匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、他の情報と照合してはならないとされていることから、当該目的で対応表を利用することはできませんが、匿名加工情報の安全性の検証作業などで利用することもあり得ると考えられます。
（出典: 個人情報保護委員会）
質問: 施行規則第35条に定める基準に従って安全管理措置を講ずることが求められる加工方法等情報とはどのような情報ですか。年齢のデータを10歳刻みのデータに置き換えた」という情報はこれに該当しますか。
回答: 施行規則第35条に定める基準に従って安全管理措置を講ずることが求められる加工方法等情報には、個人情報を加工する過程で削除された記述等や個人識別符号のほか、それを用いて匿名加工情報の作成に用いられた個人情報を復元することができる加工の方法に関する情報が該当しますが、「年齢のデータを10歳刻みのデータに置き換えた」というような復元につながらない情報は該当しません。（令和３年９月更新）
（出典: 個人情報保護委員会）
質問: 匿名加工情報が適切に加工されていることを伝えるために、それぞれの情報の項目をどのように加工したのかといった情報を匿名加工情報の提供先などに伝えることは可能ですか。
回答: 安全管理措置が必要となる加工方法等情報には、その情報を用いることによって元の個人情報を復元することができるものが該当します。したがって、例えば、年齢を10 歳刻みにしたことや商品名をどのカテゴリにまとめたといった情報などの情報については、元の個人情報を復元できるものではなく、提供先に伝えることも可能です。
（出典: 個人情報保護委員会）
質問: 委託契約により委託先の事業者において匿名加工情報を作成した場合、加工方法等情報を委託元と共有することはできますか。
回答: 個人情報を提供して匿名加工情報の作成を委託した場合等においては、委託元と委託先が共同して作成したものとして、加工方法等情報を共有することは可能です。ただし、加工方法等情報を取り扱う者の権限を委託元においても明確に定めるなど、委託元も含め施行規則第 20 条に従って適切な安全管理措置を講じる必要があります。
（出典: 個人情報保護委員会）
質問: 匿名加工情報の作成の委託を複数の会社から受けることは可能ですか。その場合、どのようなことに留意する必要がありますか。
回答: 複数の会社から匿名加工情報の作成の委託を受けることは可能です。ただし、委託を受けた各個人情報の取扱い及び匿名加工情報の作成については、各委託者の指示に基づきその範囲内で独立した形で行う必要があります。異なる委託者から委託された個人情報を組み合わせたり、突合したりすることはできません。（平成 30 年７月追加）
（出典: 個人情報保護委員会）
質問: 委託に伴って提供された個人データを、委託先が自社のために匿名加工情報に加工した上で利用することはできますか。
回答: 委託先は、委託（法第23条第５項第１号）に伴って委託元から提供された個人データを、委託された業務の範囲内でのみ取り扱わなければなりません。委託先が当該個人データを匿名加工情報に加工することが委託された業務の範囲内である場合には、委託先は当該加工を行うことができますが、委託された業務の範囲外で委託先が当該加工を行い、作成された匿名加工情報を自社のために用いることはできません。（令和２年９月追加）
（出典: 個人情報保護委員会）
質問: プライバシーポリシーに、取得した個人情報に含まれる個人に関する情報の項目を明示するとともに、「取得した個人情報から匿名加工情報を作成することがあります」といった趣旨の記載をして公表する場合は、当該記載をもって作成時及び第三者提供時の公表を履行したことになりますか。
回答: 匿名加工情報に含まれる個人に関する情報の項目の公表は、「作成したとき」又は「提供したとき」に行うことが求められるものであり、実際に匿名加工情報に含まれる個人に関する情報の項目が分かるようにする必要があります。したがって、事前にプライバシーポリシーに包括的な記載を掲載するだけでは当該義務を履行したものとは考えられません。
（出典: 個人情報保護委員会）
質問: 作成した匿名加工情報に購買履歴が含まれる場合、個人に関する情報の項目として、商品名まで公表する必要がありますか。
回答: 匿名加工情報に購買履歴が含まれる場合において、当該匿名加工情報の作成時の公表や第三者提供時の公表については、具体的な商品名の公表まで必要はなく、ガイドライン（匿名加工情報編）３－４、３－５にあるように、「購買履歴」等の情報の項目を公表することで足ります。
（出典: 個人情報保護委員会）
質問: 含まれる情報の項目が同じ匿名加工情報を継続的に作成する場合、その都度匿名加工情報に含まれる個人に関する情報の項目等を公表する必要がありますか。
回答: ガイドライン（匿名加工情報編）３－４にあるように、個人に関する情報の項目が同じである匿名加工情報を同じ手法により反復・継続的に作成する場合には、最初の匿名加工情報を作成して個人に関する項目を公表する際に、作成期間又は継続的な作成を予定している旨を明記するなど継続的に作成されることとなる旨を明らかにしておくことにより、包括的に公表を行うことが可能です。
（出典: 個人情報保護委員会）
質問: 匿名加工情報の作成時の公表において、当該匿名加工情報の利用目的についても公表する必要がありますか。
回答: 法第 36 条第３項においては、匿名加工情報を作成したときは、個人に関する情報の項目を公表しなければならないとされていますが、利用目的の公表は求められていません。
（出典: 個人情報保護委員会）
質問: 匿名加工情報を作成する際に元の個人情報に含まれるある項目の情報の全てを削除した場合、あるいは、その全てを置き換えた場合に、その項目について、匿名加工情報を作成したとき、あるいは、第三者に提供したときに公表する必要はありますか。
回答: 匿名加工情報を作成する際に、元の個人情報に含まれるある項目について、その情報の全てを削除あるいは置き換えた場合には、匿名加工情報の作成あるいは第三 者提供の際の公表事項として当該項目を含める必要はありません。（平成 30 年７月追加）
（出典: 個人情報保護委員会）
質問: 匿名加工情報を作成した際に公表する個人に関する情報の項目の一部を「等」として省略することはできますか。また、「個人に関する情報の項目」の分類をどの程度、細かくする必要がありますか。まとめることは可能ですか。
回答: 匿名加工情報を作成したときは、匿名加工情報に含まれる「個人に関する情報の項目」を公表する必要があります。公表される匿名加工情報に含まれる「個人に関する情報の項目」を省略することはできません。
（出典: 個人情報保護委員会）
質問: 匿名加工情報の第三者提供時の公表において、当該匿名加工情報の提供先名や利用目的についても公表する必要がありますか。
回答: 法第 36 条第４項及び第 37 条における第三者提供時の公表に関しては、提供先名及び利用目的の公表は求められていません。
（出典: 個人情報保護委員会）
質問: 法第 36 条第３項の匿名加工情報作成時の情報の項目に関する公表と同条第４項の公表を同時に行うことはできますか。
回答: 匿名加工情報の作成時の公表については、匿名加工情報を作成した後、遅滞なく行うこととされており、また第三者提供時の公表については提供に当たってあらかじめ公表することとされています。したがって、個人情報取扱事業者が、匿名加工情報を第三者に提供することを前提として当該情報を作成し直ちに第三者提供をしようとする場合には、匿名加工情報の作成時の公表と第三者提供時の公表が結果的に同時に行われる場合もあり得ると考えられます。
（出典: 個人情報保護委員会）
質問: 個人情報を提供して、匿名加工情報の作成を委託した場合、依頼する委託元事業者とこれを受けた委託先事業者にはどのような法律の規律が課せられますか。
回答: 個人情報を提供して匿名加工情報の作成を委託した場合には、匿名加工情報の作成は委託先事業者において行われることになりますが、匿名加工情報の作成は委託元事業者と委託先事業者が共同で行っているものと解されますので、法第 36 条の規定は委託元事業者と委託先事業者の双方に課せられると考えられます。ただし、匿名加工情報の作成時の公表については、施行規則第 21 条第２項により委託元事業者において行うものとされ、委託先においての公表は必要ありません。
（出典: 個人情報保護委員会）
質問: 匿名加工情報を取り扱っていたところ、偶然に当該匿名加工情報の作成の元となった個人情報の本人を識別してしまった場合にも識別行為の禁止義務に違反しますか。
回答: 法第 36 条第５項又は第 38 条に定めるように、匿名加工情報の作成の元となった個人情報の本人を識別するために他の情報と照合しているとはいえない場合は、直ちに識別行為の禁止義務に違反するものではないと考えられます。
（出典: 個人情報保護委員会）
質問: 匿名加工情報や加工に関する方法の安全性の検証のために元となる個人情報と匿名加工情報を照合させることはできますか。
回答: 匿名加工情報に関しては、法第 36 条第５項及び第 38 条において、元となった個人情報に係る本人を識別するために、当該匿名加工情報を他の情報と照合してはならないとされています。匿名加工情報や加工に関する方法の安全性の検証のために他の情報と照合する行為は「当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために・・・照合」という要件に該当するかどうかという観点から個別に判断されるべきものと考えますが、仮にこの要件に該当しない範囲において法第 36 条第６項に定める匿名加工情報の安全管理措置の一環等で適切に行われる場合があれば同項に違反しないものとなり得ると考えられます。
（出典: 個人情報保護委員会）
質問: ガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編、仮名加工情報・匿名加工情報編及び認定個人情報保護団体編）以外に、事業者等が遵守すべきガイドライン等はありますか。
回答: 従来、関係省庁が作成していたガイドラインのうち個人情報保護法に関するものは、平成27年改正の施行（平成29年５月30日）をもって、原則として個人情報保護委員会が作成したガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）に一元化されました。
（出典: 個人情報保護委員会）
質問: 令和３年改正法の全面施行（令和５年４月１日）以降、法第58条及び第125条の規定により、法第４章及び法第５章の規定の適用の特例を受ける個人情報取扱事業者等や行政機関等が遵守すべきガイドライン等はありますか。
回答: 個人情報取扱事業者又は匿名加工情報取扱事業者のうち、①法別表第２に掲げる法人、②地方独立行政法人のうち、試験研究を行うこと等を主たる目的とするもの、大学等の設置及び管理等を目的とするもの並びに病院事業の経営を目的とするものについては、法第 58 条第１項の定めにより、法第４章の規定のうち、第 32 条から第 39 条まで及び同章第４節（第 43 条から第 46 条まで）の規定の適用が無い一方で、法第 125 条第２項の定めにより、その個人情報又は匿名加工情報の取扱いについて、独立行政法人等と、地方独立行政法人による個人情報又は匿名加工情報の取扱いとそれぞれみなして、法第５章第１節（第 60 条）、第 75 条、同章第４節（第 76 条から第 108 条まで）及び第５節（第 109 条から第 123 条まで）、第124 条第２項、第 127 条並びに第６章から第８章まで（第 176 条、第 180 条及び第 181 条を除く。）の規定が適用されます。
（出典: 個人情報保護委員会）
質問: 金融分野において、個人情報保護法の体系と各業法の体系の関係はどのようなものか。
回答: 個人情報保護法の体系では、個人情報の保護に関する法律（以下「個人情報保護法」という。）、個人情報の保護に関する法律施行令（以下「個人情報保護法施行令」という。）及び個人情報の保護に関する法律施行規則（以下「個人情報保護法施行規則」という。）のほか、個人情報の保護に関する法律についてのガイドライン（通則編）（以下「通則ガイドライン」という。）を基礎（注１）として、金融分野における個人情報保護に関するガイドライン（以下「金融分野ガイドライン」という。）及び金融分野における個人情報保護に関するガイドラインの安全管理措置等についての実務指針（以下「実務指針」という。）があり、適用対象は「個人情報取扱事業者」で、主に「個人データ」の取扱いに関する規定が定められています（なお、金融分野ガイドライン及び実務指針は、各業法に基づく規定を含みます。）。
（出典: 個人情報保護委員会）
質問: 官報や民間の新聞等により公表されている情報であっても「個人情報」に当たるか。
回答: 「個人情報」とは、個人情報保護法第２条第１項において、「生存する個人に関する情報であって、
（出典: 個人情報保護委員会）
質問: それ単体では特定の個人を識別することができない情報であれば、それは「個人情報」に当たらないのか。例えば、住宅ローンの残高など、金額のみが記載され、その他氏名等が記載されていないものは「個人情報」に当たらないのか。
回答: 「個人情報」には、他の情報と容易に照合することができ、それにより特定の個人を識別することができるものが含まれます(Q2-１参照）。事業者において通常の業務における一般的な方法で、他の情報と容易に照合が可能であり、それにより特定の個人を識別することが可能であるならば、それ単体では特定の個人を識別することができないとしても、当該情報は「個人情報」に該当するものと考えられます。
（出典: 個人情報保護委員会）
質問: 「個人情報」と「個人データ」の違いは何か。
回答: 「個人情報」とは、生存する個人に関する情報であって、
（出典: 個人情報保護委員会）
質問: 「個人情報データベース等」とは何か。
回答: 「個人情報データベース等」とは、個人情報を含む情報の集合物であって、
（出典: 個人情報保護委員会）
質問: 個人情報が五十音順等に整理されておらず、コンピュータを用いたデータベースにランダムに入力されているが、サーチ機能等で容易に検索が可能な場合には、当該データベースは「個人情報データベース等」に該当するのか。
回答: 「個人情報データベース等」のうちコンピュータを用いたものとは、特定の個人情報をコンピュータを用いて検索できるように体系的に構成したものをいいます（個人情報保護法第 16 条第１項第１号、通則ガイドライン ２－４）。
（出典: 個人情報保護委員会）
質問: 法人の代表者の情報は「個人情報」に当たるか。また、法人情報のデータベースの中に法人代表者の氏名等があった場合、当該情報は「個人データ」に当たるのか。
回答: 法人の代表者の情報は、個人情報保護法第２条第１項の定義に該当するため、「個人情報」に当たります。取引先企業の担当者名といった情報も、同法第２条第１項の定義に該当するため、｢個人情報｣に当たります。

また、法人の代表者の氏名等が（単に文字列検索が可能なのではなく、個人情報としての属性に着目して）検索可能な場合には、当該データベースは「個人情報」が検索できるように体系的に構成されているといえ、｢個人情報データベース等｣に該当するものと考えられます。したがって、当該法人の代表者の氏名等は、「個人データ」に該当すると考えられます。ただし、データベース等があくまで法人情報のみの検索が可能なように構成されているもので、（法人代表者の氏名等の）個人情報の検索が可能なように体系的に構成されていない場合には、当該データベース等は「個人情報データベース等」には該当せず、そこに含まれている個人情報も「個人データ」には該当しないこととなります。
（出典: 個人情報保護委員会）
質問: 顧客から提出された書類と「個人データ」について、
回答: ① 「個人データ」とは、「個人情報データベース等を構成する個人情報」をいいます（個人情報保護法第16 条第３項）。データベース化されていない個人情報は、たとえ通常データベース管理される性質のもので、かつ、これからデータベース化される予定であったとしても、「個人データ」には当たりません。
② また、記載されている情報がデータベース化され、「個人データ」となったとしても、契約書等の書類そのものは、「個人情報データベース等を構成する」とは言えないため、「個人データ」には該当しません。
もっとも、当該契約書等が、ファイリングされるなどして、それ自体「特定の個人情報を容易に検索することができるよう体系的に構成したものであって、目次、索引、符号等により一般的に容易に検索可能な状態に置かれている」と言える場合には、当該契約書等は「個人情報データベース等を構成する」と言え、「個人データ」に該当します。
③ また、「個人情報データベース等」から紙面に出力されたものやそのコピーは、それ自体が容易に検索可能な形で体系的に整理された一部でなくとも、「個人データ」の「取扱い」の結果であり、個人情報保護法上の様々な規制がかかります。
「個人情報データベース等」から紙にメモするなどして取り出された情報についても、同様に「個人データ」に該当します。

なお、その出力されたものやそのコピーが、委託先や第三者に提供された場合は、当該委託先や第三者にとっては、（その出力されたものやコピーが容易に検索可能な形で体系的に整理されない限り）当該情報は「個人データ」には該当しないと考えられます。ただし、委託元や第三者提供元にとっては、それらを委託・提供する行為は「個人データ」の「取扱い」であり、個人情報保護法上の様々な規制がかかります。
（出典: 個人情報保護委員会）
質問: 金融分野ガイドライン第５条第１項第８号に規定する「保険業その他金融分野の事業の適切な業務運営を確保する必要性から、本人の同意に基づき業務遂行上必要な範囲で機微（センシティブ）情報を取得、利用又は第三者提供する場合」とは、具体的にどのような場合を想定しているのか。
回答: 金融分野ガイドライン第５条第１項は、機微（センシティブ）情報を「法第２条第３項に定める要配慮個人情報並びに労働組合への加盟、門地、本籍地、保健医療及び性生活（これらのうち要配慮個人情報に該当するものを除く。）に関する情報（本人、国の機関、地方公共団体、法第 76 条第１項各号若しくは施行規則第６条各号に掲げる者により公開されているもの、又は、本人を目視し、若しくは撮影することにより取得するその外形上明らかなものを除く。）」と規定し、その取得、利用又は第三者提供を原則として禁止していますが、同項各号に掲げる事項に該当する場合に限り、これらの行為を行うことができるものとしています。

金融分野ガイドライン第５条第１項第８号は、当該取得、利用又は第三者提供が、①各種法令や社会通念等に照らして「適切な業務運営」と判断されること、②「本人の同意」があること、③「業務遂行上必要な範囲」内であることを要件としています。

例えば、金融機関が保険金の支払いや借り手の与信判断をするために、被保険者や借り手の健康状態に関する情報を各種法令や社会通念等に照らし適切といえる方法で、かつ保険金の支払いや与信判断のために必要な範囲内で、被保険者や借り手から同意を得て取得することが考えられます。反対に、保険金の支払いや借り手の与信判断のために本籍地等に関する情報を取得することは、｢業務遂行上必要な範囲｣内であるとは認められないことから、原則として、取得等を行うことはできないものと考えられます。ただし、業務遂行上、本籍地の取得等の必要性が認められる場合は、例外として本籍地の取得等が認められることもあり得ます。

また、金融機関においては、機微（センシティブ）情報について、金融分野ガイドラインに加え、銀行法等の各業法の施行規則が適用されることに留意する必要があります。
（出典: 個人情報保護委員会）
質問: 金融分野ガイドライン第５条第３項に規定する「機微（センシティブ）情報を、第１ 項に掲げる場合に取得、利用又は第三者提供する場合には、（中略）個人情報の保護に関する法令等に従い適切に対応しなければならないことに留意する」とは、具体的にどのような点に留意する必要があるのか。
回答: 金融分野ガイドライン第５条第３項については、機微（センシティブ）情報を、同条第１項に掲げる場合に取得、利用又は第三者提供する場合には、個人情報の保護に関する法令等の規制が前提となることを確認的に規定しているものです。
（出典: 個人情報保護委員会）
質問: 金融分野ガイドライン第５条第４項に規定する「機微（センシティブ）情報を、第三者へ提供するに当たっては、法第 27 条第２項（オプトアウト）の規定を適用しないこととする」とは、機微（センシティブ）情報のうち要配慮個人情報を除く情報についても適用しないということか。
回答: 個人情報保護法第 27 条第２項において、個人データを構成する要配慮個人情報については、オプトアウト手続によって第三者提供することができないとされています。
（出典: 個人情報保護委員会）
質問: 安全管理措置の内容は個人情報保護法と業法のどちらでも義務化されているが、求められていることはどう違うのか。
回答: 業法の体系において、監督指針等に以下の規定が盛り込まれていることからも分かるように、基本的に個人情報保護法の体系及び業法の体系で求めている措置は同じです。ただし、措置の対象となっている情報の範囲などに若干の違いがあります。
（出典: 個人情報保護委員会）
質問: なぜ個人情報保護法に加え、各業法で個人情報の安全管理が求められているのか。
回答: 個人情報保護法の体系（個人情報保護法－通則ガイドライン及び金融分野ガイドライン－実務指針等）は、個人の権利利益を保護することを目的としているもので、銀行法などの各業法の体系（法律－施行規則－監督指針等）は、金融機関の業務の公共性等に鑑み、その業務の健全かつ適切な運営を確保するという観点から、個人顧客情報の適正な管理を求めているものです。
（出典: 個人情報保護委員会）
質問: 実務指針に基づき基本方針や取扱規程等を整備するにあたっては、いかなる事項をこれに盛り込む必要があるか。
回答: 実務指針は、個人情報取扱事業者が、安全管理に係る基本方針の整備、取扱規程等の整備、安全管理措置に係る実施体制の整備等を行うに当たり、事業者における「個人データ」の安全管理のために必要かつ適切な内容を盛り込むことを求めています。
（出典: 個人情報保護委員会）
質問: 実務指針１－２において整備することが求められている「個人データの安全管理に係る取扱規程」は、各事業者においては「細則」「マニュアル」等、名称や形式を問わないという理解でよいか。また、個々の規程の構成が実務指針と一致せずとも、当該事業者で定めるルール全体として実務指針に規定する措置に対応していれば、事業者全体の「個人データの安全管理に係る取扱規程」として問題ないか。
回答: 実務指針１－２で定める「個人データの安全管理に係る取扱規程」は、管理段階ごとに措置内容等を明確化することを求めるものであり、その名称や形式の統一を求めるものではありません。

したがって、個々の規程の構成を実務指針の記載と一致させる必要は必ずしもないほか、管理段階ごとの取扱規程を、業務単位や商品単位ごとのように、実務に即して盛り込むことも可能です。

ただし、その際には、事業者全体として、①実務指針７－１から７－６－１までに定められた事項が管理段階ごとに全て盛り込まれていること、②事業者内の部署や商品ごとに定めた規程において盛り込まない事項がある場合には合理的な理由があること、が求められます。
（出典: 個人情報保護委員会）
質問: 「個人データ」の「漏えい、滅失、毀損」とは、どのようなものを指すのか。具体的には、
回答: 「個人データ」の「漏えい」とは「個人データが外部に流出すること」、「滅失」とは「個人データの内容が失われること」、「毀損」とは「個人データの内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となること」をいいます。
（出典: 個人情報保護委員会）
質問: 個人データ等の漏えい等が発生した場合、金融機関は個人情報保護委員会又は監督当局に報告する義務を負うか。
回答: 金融機関は、個人データ等の漏えい等が発生した場合、以下のとおり、個人情報保護委員会又は監督当局に報告する義務又は努力義務を負います。
（出典: 個人情報保護委員会）
質問: 個人情報等の漏えい事案等が発生した場合において、監督当局等に報告を要する場合の報告先はどこか。
回答: 提出された報告書等については、個人情報保護委員会に共有されます。
（出典: 個人情報保護委員会）
質問: 特定個人情報の漏えい等が発生した場合、金融機関は個人情報保護委員会又は監督当局に報告する義務を負うか。
回答: 行政手続における特定の個人を識別するための番号の利用等に関する法律（以下「番号法」という。）第 29 条の４第１項に基づき、個人番号利用事務等実施者は、番号法第 29 条の４第１項及び第２項に基づく特定個人情報の漏えい等に関する報告等に関する規則第２条各号に定める事態を知ったときは、個人情報保護委員会に報告を行う必要があります（義務規定）。
（出典: 個人情報保護委員会）
質問: 個人情報等の漏えい等は、各業法上の「不祥事件」に該当するのか。
回答: 個人情報等の漏えい等が「不祥事件」に該当するか否かは、漏えい等の生じた経緯、漏えい等した情報の内容等から、各業法の規定に照らして個別に判断する必要があります。
（出典: 個人情報保護委員会）
質問: 個人データの漏えい等について、個人情報保護法第 26 条第１項の定める漏えい等報告の報告対象事態に該当するとともに、各業法の定める漏えい等報告の報告対象事態にも該当する場合には、どのように報告を行えばよいか。
回答: 双方の報告対象事態に該当する場合には、双方の法に基づく報告を行う必要があります。
（出典: 個人情報保護委員会）
質問: 本Ｑ＆Ａ付属の様式を用いて漏えい等報告を行う場合、根拠条項をどのように書けばよいか。
回答: 個人情報保護法に基づく報告の場合(q４-６（１）参照）には、個人情報保護法第 26 条第１項を根拠条文として記載することになります。

各業法に基づく報告の場合(問q４-６（２）参照）には、各業法の報告義務に関連する条文（例：銀行法施行規則第 13 条の６の５の２、金融商品取引業等に関する内閣府令第 123 条第１項第６号の２）を根拠条文として記載することになります。

金融分野ガイドライン第 11 条第２項に基づく報告の場合(q４-６（３）参照）には、金融分野ガイドライン第 11 条第２項を根拠条文として記載することとなります。

（注）　　q４-10のとおり、一つの報告書を提出することで、個人情報保護法・各業法の双方の法に基づく報告を一括して行うことも可能です。この場合、当該報告書には、双方の法令上の根拠条文を並べて記載する必要があります。
根拠条文の記載方法については、本Ｑ＆Ａ付属の（別紙様式１）の様式も参照してください。
（出典: 個人情報保護委員会）
質問: 各業法に基づく監督当局への報告について、どこまで厳密に行う必要があるのか。例えば、ＦＡＸの誤送信、郵便物等の誤送付及びメールの誤送信などによる個人データの漏えい等で、当該情報の量や性質等に鑑みて、漏えい等事案としては軽微と思われるものまで、発生段階で必ず監督当局へ報告する必要性があるのか。
回答: 個人顧客に関する個人データについては、各業法において「当該事態が生じた旨を金融庁長官等に速やかに報告することその他の適切な措置」を講じることとされており（義務規定）、金融機関は、その取り扱う個人顧客に関する個人データの漏えい等事案が発生した場合は、監督当局への報告その他の適切な措置を行う必要があります。
（出典: 個人情報保護委員会）
質問: 各業法に基づく監督当局への報告について、どのような事項を報告書に記載すれば良いのか。
回答: 法令等において特段報告の様式を定めてはおりませんが、一例として、本Ｑ＆Ａ付属の（別紙様式１）の様式を示します。（別紙様式１）と同内容の情報を全て報告しなければならないというわけではありませんが、各業法における個人顧客情報の漏えい等報告に係る規定の趣旨にのっとり、必要十分な内容を監督当局に報告する必要があります。
（出典: 個人情報保護委員会）
質問: 金融機関が本人同意を得て個人データを第三者に提供した後、提供先の第三者において当該個人データが漏えい等した場合、提供元の金融機関は漏えい等報告をする必要があるか。また、金融機関が個人データの取扱いの委託に伴って個人データを委託先に提供した後、委託先において当該個人データが漏えい等した場合、委託元の金融機関は漏えい等を報告する必要があるか。
回答: 金融機関が本人同意を得て「個人データ」を第三者に提供した後、提供先の第三者において当該「個人データ」が漏えい等したとしても、提供元の金融機関は漏えい等報告の義務を負いません。
（出典: 個人情報保護委員会）
質問: 各業法に基づく監督当局への報告について、金融分野とそれ以外の分野の事業を行っている場合において、金融分野以外の事業において取り扱う個人データ等の漏えい等が発生した場合も、各業法に基づき監督当局に報告する必要があるのか。
回答: 各業法、金融分野ガイドライン及び実務指針は、金融分野における個人情報の取扱いを対象としています。このため、金融分野以外の事業において取り扱う個人データ等の漏えい等が発生したとしても、各業法に基づき、監督当局に報告する必要はありません。
（出典: 個人情報保護委員会）
質問: 事業者に適用される各業法が金融庁と他省庁の共管となっている場合、金融分野ガイドライン第 11 条第１項後段及び同条第２項に基づき報告する場合は、所管しているいずれかの省庁に報告すれば、他の省庁への報告は必要ないのか。
回答: 各業法に基づく報告（金融分野ガイドライン第 11 条第１項後段）について、当該業法が金融庁と他省庁の共管となっている場合には、各業法で報告先として規定する監督当局及び当該他省庁の双方に対して、報告をする必要があります（q４－７参照）。
（出典: 個人情報保護委員会）
質問: 個人データ等の漏えい等が発生した場合、金融機関は本人に通知する義務を負うか。
回答: 金融機関は、個人データ等の漏えい等が発生した場合、以下のとおり、本人に通知等する義務又は努力義務を負います。
（出典: 個人情報保護委員会）
質問: 「個人データ」の漏えい等が発生した場合、事実関係及び再発防止策等について、公表すべきか。
回答: 個人情報取扱事業者は、個人データの漏えい等が発生した場合、漏えい等事案の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、事実関係及び再発防止策等について、速やかに公表することが望ましいと考えられます（通則ガイドライン 3-5-2）。
（出典: 個人情報保護委員会）
質問: 防犯カメラに映った偽造キャッシュカードの実行犯の映像を本人の同意なく他の金融機関に提供することは、個人情報保護法上問題がないか。
回答: 防犯カメラに映った映像情報も、それによって特定の個人が識別される場合は、「個人情報」に該当します（個人情報保護法第２条第１項）。
（出典: 個人情報保護委員会）
質問: ）「個人データ」に該当する顧客の取引内容を、本人の同意を得ずに、その内容を知る家族に伝えることはできるか。
回答: 個人情報取扱事業者は、一定の場合を除き、あらかじめ本人の同意を得ないで、「個人データ」を「第三者」に提供することを禁じられています（個人情報保護法第 27 条第１項）。本人の同意を得ずに、「第三者」に「個人データ」を提供した場合、「第三者」が当該「個人データ」の内容をあらかじめ知っていたか否かにかかわらず、個人情報保護法第 27 条第１項に違反することとなります。
（出典: 個人情報保護委員会）
質問: 金融分野ガイドライン第３条で、個人情報保護法第 18 条、第 27 条、第 28 条及び第31 条に定める本人の同意を得る場合には、原則として、書面によらなければならないとされているが、「紙」を用いた同意以外に、例えば、どのような形式が「書面」に該当するのか。また、電話により同意を得た事実を任意様式に記録し保存する方式でも金融分野ガイドライン上「書面」による同意を得たと解することができるか。
回答: 金融分野における個人情報取扱事業者は、個人情報保護法第 18 条、第 27 条、第 28 条及び第 31条に定める本人の同意を得る場合には、原則として、書面によることとされています（金融分野ガイドライン第３条）。
（出典: 個人情報保護委員会）
質問: 債権譲渡の実務においては、債権の譲渡人は譲受人に対し、債権者としての十分な管理回収を行わせしめ、譲渡人及び譲受人の経済的利益を保護するため、債権そのものに加えて債務者に関連する個人情報を移転することが不可欠であるが、こうした場合にも、個人情報保護法上、債務者本人から第三者に提供することについて明示的な同意を得ることが必要なのか。
回答: 債権譲渡に際しての債務者に係る「個人データ」の取扱いについては、以下のような整理が可能であると考えられます。
（出典: 個人情報保護委員会）
質問: 生活保護の適正な実施のために行う調査の一環として、社会福祉事務所員から生活保護申請者の資産や収入状況等の個人データの提供を要請された場合において、本人の同意を得ずに、当該要請に応じて個人データを提供することはできるか。
回答: 個人情報取扱事業者は、一定の場合を除き、あらかじめ本人の同意を得ないで、「個人データ」を第三者に提供することを禁じられています（個人情報保護法第 27 条）。
（出典: 個人情報保護委員会）
質問: 未払賃金立替払制度（賃金の支払の確保等に関する法律第７条）の適正な実施のために行う調査の一環として、倒産した事業主の賃金支払い能力の有無を把握するために、労働基準監督署から、倒産会社及びその代表者、個人事業主等の関係者が保有する預金口座の残高状況や賃金未払期間における保有預金口座の取引状況等の個人データの提供を要請された場合において、本人の同意を得ずに、当該要請に応じて個人データを提供することはできるか。
回答: 個人情報取扱事業者は、一定の場合を除き、あらかじめ本人の同意を得ないで、「個人データ」を第三者に提供することを禁じられています（個人情報保護法第 27 条）。
（出典: 個人情報保護委員会）
質問: 個人情報取扱事業者が、弁護士法第 23 条の２に基づいてなされる報告の請求を弁護士会から受けた場合において、本人の同意を得ずに、当該報告の請求に応じて個人データを弁護士会に提供することはできるか。
回答: 個人情報取扱事業者は、一定の場合を除き、あらかじめ本人の同意を得ないで、「個人データ」を第三者に提供することを禁じられています（個人情報保護法第 27 条）。
（出典: 個人情報保護委員会）
質問: 本人の同意に基づいて外国にある第三者に個人データを提供する場合、具体的にどのような点に留意する必要があるのか。
回答: 個人情報取扱事業者は、外国（注１）にある第三者に個人データを提供する場合、本人に以下の情報を提供した上で、本人から当該第三者への個人データの提供を認める旨の同意を得る必要があります（個人情報保護法第28条第１項及び第２項並びに個人情報保護法施行規則第17条第２項）。
（出典: 個人情報保護委員会）
質問: 外国にある第三者への個人データの提供に関する本人の同意を得ようとする時点において、個人データの提供先の第三者が所在する外国が特定できない場合、具体的にどのような点に留意する必要があるか。
回答: 個人情報取扱事業者は、外国にある第三者への個人データの提供に関する本人の同意を得ようとする時点において、個人データの提供先の第三者が所在する外国が特定できない場合、本人に以下の情報を提供した上で、本人から当該第三者への個人データの提供を認める旨の同意を得る必要があります（個人情報保護法第28条第１項及び第２項並びに個人情報保護法施行規則第17条第３項）。
（出典: 個人情報保護委員会）
質問: 外国にある第三者に個人データを提供する際、基準適合体制を整備していること根拠として当該第三者に個人データを提供する場合、具体的にどのような点に留意する必要があるのか。
回答: 金融分野における個人情報取扱事業者は、基準適合体制を整備していることを根拠として外国にある第三者に個人データを提供する場合には、当該提供の時点で、当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及び内容、当該外国の制度が存在する場合においては、当該第三者による相当措置の継続的な実施の確保の可否を、適切かつ合理的な方法により、確認する必要があります。
（出典: 個人情報保護委員会）
質問: 「医療・介護関係事業者における個人情報の適切な取扱いのためのガイドライン」と本ガイダンスの違いは何でしょうか。
回答: 「医療・介護関係事業者における個人情報の適切な取扱いのためのガイドライン」は、個人情報保護法に沿って医療介護の現場の実務に当てはめた際の詳細な留意点・事例をまとめた内容であり、その考え方をより明確とするため、ルールや規律を定めるガイドラインとは区別し、ガイダンスと整理しています。
（出典: 個人情報保護委員会）
質問: 個人情報保護法では、個人情報取扱事業者としてどのようなことに取り組むことが定められていますか。
回答: 医療・介護関係事業者における個人情報の取扱いについては、法令上大きく分けて次の取組が必要となります。
（出典: 個人情報保護委員会）
質問: 国や独立行政法人、自治体が設置する医療機関や介護施設は、このガイダンスの対象にはならないのですか。
回答: 国の行政機関については「行政機関の保有する個人情報の保護に関する法律」、国立病院機構など独立行政法人については「独立行政法人等の保有する個人情報の保護に関する法律」、県立病院や県立の特別養護老人ホームなど自治体の医療機関や介護施設については各自治体の条例がそれぞれ適用されます。
（出典: 個人情報保護委員会）
質問: 医療機関等において通常の診療だけではなく、健康相談業務も行っている場合、健康相談業務に係る記録についてもガイダンスの対象になるのでしょうか。
回答: 相談者の病歴や身体状況、病状、治療等について記録を保存しているのであれば、個人情報に該当します。よって、個人情報の取扱い、特に要配慮個人情報の取扱いについては個人情報保護法や個人情報の保護に関する法律についてのガイドライン（通則編）、ガイダンスを踏まえた取扱いが必要です。
（出典: 個人情報保護委員会）
質問: 本ガイダンスの対象となる「介護関係事業者」に含まれる事業者の範囲を教えて下さい。
回答: 本ガイダンスの対象となる「介護関係事業者」とは、介護保険制度によるサービスを提供する事業者だけでなく、高齢者福祉サービス事業を行う者は広く含まれます。具体的には、特別養護老人ホームなどの介護保険施設や、訪問介護事業所などの居宅サービス事業を行う者、居宅介護支援事業を行う者だけでなく、介護保険の指定を受けずに有料老人ホームを経営する者や、養護老人ホーム、ケアハウス等も、広く「介護関係事業者」に該当し、本ガイダンスを守っていただくことが必要です。
（出典: 個人情報保護委員会）
質問: 本ガイダンスの他に、個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編、匿名加工情報編）も定められているようですが、医療・介護関係事業者は、どちらを参照すべきなのでしょうか。
回答: 本ガイダンスの他に、個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）が定められています。本ガイダンスは、個人情報の保護に関する法律についてのガイドライン（通則編）を基礎とし、医療・介護関係事業者における実例に照らし、具体的な留意点・事例等を示したものです。医療・介護関係事業者における個人情報の適正な取扱いについては、基本的な内容は本ガイダンスをご参照いただければ足りるものと考えますが、本ガイダンスに記載のない事項については、上記の各ガイドラインをご参照いただくこととなります。
（出典: 個人情報保護委員会）
質問: 「個人情報」「個人データ」「保有個人データ」とは、どのようなものですか。
回答: 「個人情報」「個人データ」「保有個人データ」の定義についてはそれぞれ以下のとおりとなっています（参照：ガイダンスｐ６、ｐ１２、ｐ１３）。
（出典: 個人情報保護委員会）
質問: 「個人情報」とは、具体的にどのようなものがありますか。
回答: 医療・介護関係事業者が保有している個人情報には様々なものがありますが、具体的には、以下のようなものがあります。
（出典: 個人情報保護委員会）
質問: 医療・介護関係事業者が取り扱う「個人識別符号」には、具体的にどのようなものがありますか。
回答: 「個人識別符号」とは、その情報単体から特定の個人を識別することができるものとして政令で定められた文字、番号、記号その他の符号をい い、これに該当するものが含まれる情報は個人情報となります。
（出典: 個人情報保護委員会）
質問: 医療・介護関係事業者において取り扱う「要配慮個人情報」には、具体的にどのようなものがありますか。
回答: 「要配慮個人情報」とは、不当な差別や偏見その他不利益が生じないようにその取扱いに特に配慮を要するものとして法律、政令及び規則で定める記述が含まれる個人情報をいいます。要配慮個人情報の取得や第三者提供には、原則として本人の同意が必要であり、法第２３条第２項の規定による第三者提供（オプトアウトによる第三者提供）は認められておりません。
（出典: 個人情報保護委員会）
質問: 平成 27 年改正の施行（平成 29 年５月 30 日）前に取得した個人情報であって、施行後に要配慮個人情報に該当することとなった場合、改めて取得について本人同意を得る必要がありますか。
回答: 平成27 年改正の施行前に適法に取得した個人情報が施行後に要配慮個人情報に該当したとしても、改めて取得のための本人同意を得る必要はありません。
（出典: 個人情報保護委員会）
質問: 平成 27 年改正の施行（平成 29 年５月 30 日）前に取得した個人情報であって、施行後に要配慮個人情報に該当することとなり、当該情報につい て、新たに第三者提供をする場合には本人同意を得る必要がありますか。
回答: 個人データの第三者提供については、要配慮個人情報に係るものか否かを問わず、原則として本人の同意が必要です。
（出典: 個人情報保護委員会）
質問: 死亡した個人の情報については、「個人情報」に該当せず、個人情報保護法の対象にはなりませんが、どのように取り扱うべきですか。
回答: 本ガイダンスでは、患者・利用者が死亡した後においても、事業者が 当該患者・利用者の情報を保存している場合には、情報の漏えい等の防止のため、生存する個人の情報と同様の安全管理措置を講ずるよう求めています（参照：ガ イダンスｐ２）。
（出典: 個人情報保護委員会）
質問: 取り扱う個人情報の数が少ない小規模の医療・介護関係事業者は、個人情報保護法の対象外ですか。
回答: 改正前の個人情報保護法では、取り扱う個人データの数が過去６か月間に一度も 5000件を超えたことがない小規模事業者は、個人情報事業者としての義務等は課せられないこととなっていましたが、法改正に伴い、当該規定は廃止されました。したがって、取り扱う個人データの数にかかわらず、個人情報データベース等を事業の用に供する全ての個人情報取扱事業者（個人情報保護法第２条第５項に掲げるものを除く。）が、個人情報保護法の対象となります。
（出典: 個人情報保護委員会）
質問: 例えば、医療機関で保存している院内処方せんについて、インデックス等を付けずに段ボール箱に入れて保存しており、容易に検索することができない場合、個人データに該当しないと考えていいですか。
回答: 処方せんは医療法により２年間の保存義務が課せられていますが
（医療法第２１条第１項第９号、医療法施行規則第２０条第１０号）、このように医療機関において保存すべき文書については、必要な場合に利用できるよう、適切に整理しておく必要があります。このため、処方せんは容易に検索可能な形で保存しておく必要があり、そのようにした上で、「個人データ」として取り扱うことになります。
（出典: 個人情報保護委員会）
質問: 遺族への開示については「診療情報の提供等に関する指針」に従って開示を行うこととされていますが、薬局の場合も当該指針に従って、遺族へ開示すればよろしいのでしょうか。
回答: 薬局において、遺族から死亡した患者に関する診療情報の開示の請求があった場合には、病院等と同様に、「診療情報の提供等に関する指針」に従って遺族へ開示してください。
（出典: 個人情報保護委員会）
質問: 「匿名化」された情報は、個人情報に該当しますか。
回答: 「個人情報の匿名化」は法律上の用語ではなく、従来から医療・介護の実務においてそのような取扱いがされてきたところであり、本ガイダンスにおいては、医療・介護関係事業者の個人情報の取扱いにおける「個人情報の匿名化」の考え方について示しています。
（出典: 個人情報保護委員会）
質問: 「匿名化」された情報と「匿名加工情報」との違いは何でしょうか。
回答: 「匿名化」は、個人情報から、氏名、生年月日、住所、個人識別符号等、個人を識別することができる情報を取り除くことですが、症例や事例により、匿名化を行ってもなお特定の個人が識別できる場合には個人情報に該当することもあり得ます。他方、「匿名加工情報」については、個人情報を個人情報の区分に応じて定められた措置を講じて特定の個人を識別することができないように加工して得られる個人に関する情報であって、当該個人情報を復元して特定の個人を再識別することができないようにしたものであり、個人情報保護委員会規則で定める基準に従って加工する必要があります。（「個人情報の保護に関する法律についてのガイドライン（匿名加工情報編）」（平成２ ８年個人情報保護委員会告示第９号）参照）
（出典: 個人情報保護委員会）
質問: 本人の同意を得る場合には、文書で同意を得る必要がありますか。
回答: 医療機関等については、本人の同意を得る方法について法令上の規定はありません。このため、文書による方法のほか、口頭、電話による方法なども認められます。このため、同意を求める内容や緊急性などを勘案し、それぞれの場面に適切な方法で同意を得るべきと考えます。
（出典: 個人情報保護委員会）
質問: ガイダンスｐ10で、症例を学会で発表したりする場合、「症例や事例により十分な匿名化が困難な場合」には本人の同意が必要とされています が、どのような場合のことでしょうか。
回答: 症例や事例によっては、患者の数が少ない場合や顔写真を添付する場合など、氏名等を消去しても特定の個人を識別できてしまう場合もあります。このような場合、当該症例等は「個人情報」に該当しますので、学会での発表等に当たっては（第三者提供に該当しますので）本人の同意が必要となるということです。
（出典: 個人情報保護委員会）
質問: 患者・利用者の個人情報を研究に利用する場合、匿名化する場合であっても、本人の同意が必要ですか。
回答: 大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者が学術研究の用に供する目的で個人情報等を取り扱う場合は、個人情報保護法の適用を受けません。
（出典: 個人情報保護委員会）
質問: 個人情報保護法では、学術研究を目的とする機関やそこに属する者等が学術研究の用に供する目的で個人情報を取り扱う場合は、個人情報取扱事業者の義務等が課せられないとされていますが、大学病院（又は大学病院の医師）が取得した個人情報については、本人の同意を得ずに研究に利用して良いのでしょうか。
回答: 大学病院（又は大学病院の医師）（注：個人情報保護法の適用に基づきここでは私立大学をいいます。）、その他の学術研究を目的とする機関若しくは団体又はそれらに属する者が学術研究に供する目的で個人情報等を取り扱う場合には、個人情報保護法における個人情報取扱事業者の義務等が課せられないとされています。
（出典: 個人情報保護委員会）
質問: 患者の紹介元の医師から、研究のみの目的で利用するため、紹介患者の診療情報等を提供してほしいとの依頼があった場合は、どのように対応すればよいでしょうか。
回答: 患者の診療情報等は個人データに該当するため、第三者提供及び利用目的の変更に当たっては、原則として本人の同意が必要です。また、第三者提供に当たり黙示の同意が得られていると考えられるのは、本人への医療の提供のために必要な範囲に限られます（参照：ガイダンスｐ３４～３５）。したがって、大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者が学術研究の用に供する目的以外で個人情報を取り扱う場合は、原則として、本人の同意を得る必要があります。
（出典: 個人情報保護委員会）
質問: 個人情報に関する相談体制はどのようにすべきでしょうか。
回答: 個人情報保護法第３５条では、医療・介護関係事業者は個人情報の取扱いに関して患者・利用者等から苦情の申し出があった場合、適切かつ迅速な対応に努めなければならず、そのために必要な体制の整備に努めなければならないとされています。
（出典: 個人情報保護委員会）
質問: 相談体制を整備するにあたり、具体的な留意点としてはどのような点が挙げられますか。
回答: 患者・利用者等が利用しやすいように配慮することが重要です。このため、医療・介護関係事業者の規模等に応じ、
（出典: 個人情報保護委員会）
質問: 既存の医療安全に関する相談窓口が、個人情報に関する相談窓口を兼ねることは認められますか。
回答: 既存の患者相談窓口が個人情報に関する相談機能を兼ねることでも問題ありません。その場合、対応する職員には、個人情報の取扱いについても十分な知識を有することが必要です。
（出典: 個人情報保護委員会）
質問: 現在の職員体制等では、全診療時間帯で相談窓口を開設することが困難です。特定の曜日、時間帯のみ開設することで良いですか。また、独立した窓口を設置する必要がありますか。
回答: 患者・利用者等が利用しやすいという観点からは、患者・利用者等が希望する日時に相談できる体制を確保することが望ましいです。
（出典: 個人情報保護委員会）
質問: 小規模な医療・介護関係事業者でも個人情報に関する相談窓口を設置する必要がありますか。認定個人情報保護団体等が開設する相談窓口を案内することで代用できませんか。
回答: 個人情報保護法第３５条では、「個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなればならない」とされており、患者からの相談や苦情等があった場合は、まず、医療・介護関係事業者が自ら対応する必要があります。
（出典: 個人情報保護委員会）
質問: 相談窓口の業務を担当する職員への教育等はどのようにすれば良いでしょうか。
回答: 相談窓口の職員は、個人情報保護に関して十分な知識を有するとともに、相談・苦情の内容を外部の人や他の職員に漏えいしないよう、高いモラルが求められます。
（出典: 個人情報保護委員会）
質問: ガイダンスｐ３で「個人情報の利用目的の説明や窓口機能等の整備、開示の請求を受け付ける方法を定める場合等に当たっては、障害のある患者・利用者等にも配慮する必要がある。」とされていますが、どのようなことをすればよいのですか。
回答: 例えば、聴覚障害者のために手話や筆談による説明を行ったり、視覚障害者のために点字の説明書を提供することが考えられます。なお、これらの取組は、すべての医療・介護関係事業者が事前にすべて準備しなければならないものではなく、患者・利用者等からの求めに応じ、地域のボランティア等の協力を得るなどしつつ、ニーズに応じた対応を図っていくことが求められます。
（出典: 個人情報保護委員会）
質問: 医療・介護関係事業者が個人情報取扱事業者としての義務規定に違反した場合はどのような罰則があるのでしょうか。
回答: 個人情報取扱事業者が個人情報を不適切に取り扱う事例等があったときには、個人情報保護委員会は個人情報取扱事業者に対して、①個人情報の取扱いに関する報告の徴収及び立入検査（個人情報保護法第４０条第１項）、指導及び助言（同法第４１条）、②個人情報取扱事業者が一定の義務に違反した場合における、違反行為を是正するための必要な措置に係る勧告（同法第４２条第１ 項）、命令（同法第４２条第２項又は第３項）、を行う場合があります。このとき、個人情報取扱事業者が、①個人情報保護委員会の命令（同法第４２条第２項又は第３項）に違反した場合、②個人情報保護委員会からの報告徴収（同法第４ ０条第１項）に対して報告をせず、又は虚偽報告をした場合、立入検査を拒んだ場合には、個人情報取扱事業者に対して罰則が科せられることになっています（同法第８４条・第８５条）。
（出典: 個人情報保護委員会）
質問: 仮に個人データの漏えいが発生した場合、従業者も個人情報保護法に基づき罰せられるのでしょうか。
回答: 個人情報保護法では、個人情報取扱事業者に対する義務等が課せられていますので、個人データの漏えいが発生した場合には、事業者における安全管理措置や従業者への監督が義務が適切に行われていなかったのではないかということで責任を負う可能性があります。
（出典: 個人情報保護委員会）