○国民健康保険団体連合会等における個人情報の適切な取扱いのためのガイダンス（平成 29 年４月 14 日付け個情第 541 号・保発 0414 第 10 号個人情報保護委員会事務局長・厚生労働省保険局長通知別添）新旧対照表（下線の部分は改正部分）
改正後

改正前

目次

目次

Ⅰ・Ⅱ （略）Ⅰ・Ⅱ （略）Ⅲ

Ⅲ 国保連合会等の義務等

国保連合会等の義務等
１

（略）

１ （略）
２．不適切な利用の禁止（法第１９条）

３～１５ （略）３～１５ （略）Ⅳ

２．不適正な利用の禁止（法第１９条）
（略）

Ⅳ （略）

別表１・２ （略）別表１・２ （略）Ⅰ

Ⅰ 本ガイダンスの趣旨、目的、基本的考え方

本ガイダンスの趣旨、目的、基本的考え方

１．本ガイダンスの趣旨

１．本ガイダンスの趣旨

本ガイダンスは、「個人情報の保護に関する法律」（平成１５年法律第５本ガイダンスは、「個人情報の保護に関する法律」（平成１５年法律第５７号。以下「法」という。
）及び「行政手続における特定の個人を識別する７号。以下「法」という。
）及び「行政手続における特定の個人を識別するための番号の利用等に関する法律」（平成２５年法律第２７号。以下「番号ための番号の利用等に関する法律」（平成２５年法律第２７号。以下「番号法」という。）を踏まえ、「個人情報の保護に関する法律についてのガイド法」という。）を踏まえ、「個人情報の保護に関する法律についてのガイド

ライン（通則編）」（平成２８年個人情報保護委員会告示第６号。以下「通ライン（通則編）」（平成２８年個人情報保護委員会告示第６号。
（以下「通則ガイドライン」という。
）を基礎とし、法第６条及び第９条の規定に基づ

則ガイドライン」という。
）を基礎とし、法第６条及び第９条の規定に基づき、国民健康保険団体連合会及び国民健康保険中央会（以下「国保連合会

き、国民健康保険団体連合会及び国民健康保険中央会（以下「国保連合会等」という。
）が行う個人情報の適正な取扱いの確保に関する活動を支援す等」という。
）が行う個人情報の適正な取扱いの確保に関する活動を支援するための具体的な留意点・事例等を示すものである。

るための具体的な留意点・事例等を示すものである。

（略）

（略）

２・３ （略）

２・３ （略）

４．本ガイダンスの対象となる「個人情報」の範囲

４．本ガイダンスの対象となる「個人情報」の範囲

法令上「個人情報」とは、生存する個人に関する情報であり、個人情報取法令上「個人情報」とは、生存する個人に関する情報であり、個人情報取扱事業者の義務等の対象となるのは、生存する個人に関する情報に限定され扱事業者の義務等の対象となるのは、生存する個人に関する情報に限定され

ている。

ている。

なお、当該個人が死亡した後においても、国保連合会等が当該個人の情報

なお、当該個人が死亡した後においても、国保連合会等が当該個人の情報を保存している場合には、漏えい、滅失又は毀損の防止のため、個人情報とを保存している場合には、漏えい、滅失又は毀損等の防止のため、個人情報同等の安全管理措置を講ずるものとする。

と同等の安全管理措置を講ずるものとする。

５．個人情報保護委員会の権限行使との関係

５．個人情報保護委員会の権限行使との関係

本ガイダンス中、国保連合会等が【法の規定により遵守すべき事項等】

本ガイダンス中、国保連合会等が【法の規定により遵守すべき事項等】に記載された内容のうち、国保連合会等の義務とされている内容を個人情に記載された内容のうち、国保連合会等の義務とされている内容を個人情報取扱事業者としての義務を負う国保連合会等が遵守しない場合、個人情報取扱事業者としての義務を負う国保連合会等が遵守しない場合、個人情報保護委員会は、法第１４６条から第１４８条までの規定に基づき、「報告

報保護委員会は、法第１４３条から第１４５条までの規定に基づき、「報告徴収」、「立入検査」、「指導」、「助言」、「勧告」及び「命令」を行うことが徴収」、「立入検査」、「指導」、「助言」、「勧告」及び「命令」を行うことが

ある。

ある。

また、法第１５０条第１項の規定に基づき、法第１４６条第１項の規定

また、法第１４７条第１項の規定に基づき、法第１４３条第１項の規定による権限が個人情報保護委員会から事業所管大臣に委任された場合にによる権限が個人情報保護委員会から事業所管大臣に委任された場合には、厚生労働大臣が「報告徴収」及び「立入検査」を行うことができる。

は、厚生労働大臣が「報告徴収」及び「立入検査」を行うことができる。

さらに、法第１７０条及び「個人情報の保護に関する法律施行令」（平成

さらに、法第１６５条及び「個人情報の保護に関する法律施行令」（平成１５年政令第５０７号。以下「令」という。）第４０条に基づき、法第１４１５年政令第５０７号。以下「令」という。）第３８条に基づき、法第１４６条第１項に規定する個人情報保護委員会の権限及び法第１５０条第１項

３条第１項に規定する個人情報保護委員会の権限及び法第１４７条第１項の規定により事業所管大臣に委任された権限に属する事務は、個人情報取の規定により事業所管大臣に委任された権限に属する事務は、個人情報取扱事業者が行う事業であって事業所管大臣が所管するものについての報告

扱事業者が行う事業であって事業所管大臣が所管するものについての報告

2

の徴収及び立入検査に係る権限に属する事務の全部又は一部が、他の法令の徴収及び立入検査に係る権限に属する事務の全部又は一部が、他の法令の規定により地方公共団体の長その他の執行機関が行うこととされているの規定により地方公共団体の長その他の執行機関が行うこととされているときは、当該地方公共団体の長等が法に基づく報告徴収及び立入検査を行ときは、当該地方公共団体の長等が法に基づく報告徴収及び立入検査を行うことがある。

うことがある。

６～１０ （略）６～１０ （略）Ⅱ

用語の定義

Ⅱ 用語の定義

１・２ （略）

１・２ （略）

３．要配慮個人情報（法第２条第３項）

３．要配慮個人情報（法第２条第３項）

（定義）

（定義）

法第二条

法第二条

３

３

この法律において「要配慮個人情報」とは、本人の人種、信条、社会

この法律において「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をに配慮を要するものとして政令で定める記述等が含まれる個人情報を

いう。

いう。

令第二条 法第二条第三項の政令で定める記述等は、次に掲げる事項のい令第二条 法第二条第三項の政令で定める記述等は、次に掲げる事項のいずれかを内容とする記述等（本人の病歴又は犯罪の経歴に該当するもの

ずれかを内容とする記述等（本人の病歴又は犯罪の経歴に該当するもの

を除く。
）とする。

を除く。）とする。

一

一

身体障害、知的障害、精神障害（発達障害を含む。）その他の個人情報保護委員会規則で定める心身の機能の障害があること。
二

身体障害、知的障害、精神障害（発達障害を含む。）その他の個人情報保護委員会規則で定める心身の機能の障害があること。

本人に対して医師その他医療に関連する職務に従事する者（次号に二本人に対して医師その他医療に関連する職務に従事する者（次号において「医師等」という。
）により行われた疾病の予防及び早期発見

おいて「医師等」という。）により行われた疾病の予防及び早期発見のための健康診断その他の検査（同号において「健康診断等」という。）のための健康診断その他の検査（同号において「健康診断等」という。）
3

の結果
三

の結果

健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を三

健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと。

導又は診療若しくは調剤が行われたこと。

四本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴四の提起その他の刑事事件に関する手続が行われたこと。
五

本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと。

本人を少年法（昭和２３年法律第１６８号）第三条第一項に規定す

五

本人を少年法（昭和２３年法律第１６８号）第三条第一項に規定する少年又はその疑いのある者として、調査、観護の措置、審判、保護る少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと。

処分その他の少年の保護事件に関する手続が行われたこと。

規則第五条

令第二条第一号の個人情報保護委員会規則で定める心身の規則第五条

令第二条第一号の個人情報保護委員会規則で定める心身の機能の障害は、次に掲げる障害とする。

機能の障害は、次に掲げる障害とする。

一

一

身体障害者福祉法（昭和２４年法律第２８３号）別表に掲げる身体上の障害

身体障害者福祉法（昭和２４年法律第２８３号）別表に掲げる身体

上の障害

二

知的障害者福祉法（昭和３５年法律第３７号）にいう知的障害

二知的障害者福祉法（昭和３５年法律第３７号）にいう知的障害

三

精神保健及び精神障害者福祉に関する法律（昭和２５年法律第１２三

精神保健及び精神障害者福祉に関する法律（昭和２５年法律第１２３号）にいう精神障害（発達障害者支援法（平成１６年法律第１６７３号）にいう精神障害（発達障害者支援法（平成１６年法律第１６７号）第二条第一項に規定する発達障害を含み、前号に掲げるものを除号）第二条第一項に規定する発達障害を含み、前号に掲げるものを除

く。
）

く。）

四

治療方法が確立していない疾病その他の特殊の疾病であって障害四治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生活及び社会生活を総合的に支援するための法律（平成１７

者の日常生活及び社会生活を総合的に支援するための法律（平成１７年法律第１２３号）第四条第一項の政令で定めるものによる障害の程

年法律第１２３号）第四条第一項の政令で定めるものによる障害の程度が同項の厚生労働大臣が定める程度であるもの

度が同項の厚生労働大臣が定める程度であるもの「要配慮個人情報」とは、不当な差別や偏見その他の不利益が生じない「要配慮個人情報」とは、不当な差別や偏見その他の不利益が生じない
4

ようにその取扱いに特に配慮を要するものとして法第２条第３項、令第２ようにその取扱いに特に配慮を要するものとして法第２条第３項、政令第条及び規則第５条で定める記述等が含まれる個人情報をいう。なお、国保２条及び規則第５条で定める記述等が含まれる個人情報をいう。なお、国連合会等において想定される要配慮個人情報に該当する情報とは、レセプ

保連合会等において想定される要配慮個人情報に該当する情報とは、レセト等に掲載された病歴、犯罪により害を被った事実、申請書等により確認

プト等に掲載された病歴、犯罪により害を被った事実、申請書等より確認

した障害（身体障害、知的障害、精神障害等）の事実、健康診断の結果及した障害（身体障害、知的障害、精神障害等）の事実、健康診断の結果及び健康診断後の措置（医師による改善指導又は診療、調剤）が行われた事

び健康診断後の措置（医師による改善指導又は診療、調剤）が行われた事

実等が挙げられる。

実等が挙げられる。

（略）

（略）

４～８ （略）

４～８ （略）Ⅲ

Ⅲ 国保連合会等の義務等

国保連合会等の義務等

１．利用目的の特定等（法第１７条、第１８条）

１．利用目的の特定等（法第１７条、第１８条）（利用目的の特定）（利用目的の特定）法第十七条 個人情報取扱事業者は、個人情報を取り扱うに当たっては、

法第十七条 個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなけ

その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。

ればならない。

２

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用

２

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用

目的と関連性を有すると合理的に認められる範囲を超えて行ってはな

目的と関連性を有すると合理的に認められる範囲を超えて行ってはな

らない。

らない。

（利用目的による制限）（利用目的による制限）

法第十八条 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、

法第十八条 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。

個人情報を取り扱ってはならない。

２

個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事

２
5

個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事

業者から事業を承継することに伴って個人情報を取得した場合は、あ業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用

らかじめ本人の同意を得ないで、承継前における当該個人情報の利用

目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはなら

目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはなら

ない。

ない。

３

前二項の規定は、次に掲げる場合については、適用しない。

３

前二項の規定は、次に掲げる場合については、適用しない。

一 法令（条例を含む。以下この章において同じ。）に基づく場合

一 法令に基づく場合

二二人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三

本人の同意を得ることが困難であるとき。

公衆衛生の向上又は児童の健全な育成の推進のために特に必要があ

三る場合であって、本人の同意を得ることが困難であるとき。
四

人の生命、身体又は財産の保護のために必要がある場合であって、公衆衛生の向上又は児童の健全な育成の推進のために特に必要があ

る場合であって、本人の同意を得ることが困難であるとき。

国の機関若しくは地方公共団体又はその委託を受けた者が法令の定

四国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれが本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれが

あるとき。

あるとき。

五

当該個人情報取扱事業者が学術研究機関等である場合であって、当五

当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下この章において「学術該個人情報を学術研究の用に供する目的（以下この章において「学術研究目的」という。
）で取り扱う必要があるとき（当該個人情報を取り研究目的」という。
）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

不当に侵害するおそれがある場合を除く。）。

六

学術研究機関等に個人データを提供する場合であって、当該学術研

六

学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき

究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

（１） （略）（１） （略）6

（２）利用目的による制限の例外（２）利用目的による制限の例外

国保連合会等は、あらかじめ本人の同意を得ないで法第１７条の規定に国保連合会等は、あらかじめ本人の同意を得ないで法第１７条の規定により特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱っより特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならないが（法第１８条第１項）、同条第３項に掲げる場合については、てはならないが（法第１８条第１項）、同条第３項に掲げる場合については、本人の同意を得る必要はない。具体的な例としては以下のとおりである。

本人の同意を得る必要はない。具体的な例としては以下のとおりである。

①法令（条例を含む。
）に基づく場合①法令に基づく場合

（略）

（略）

②～⑥ （略）②～⑥ （略）（略）（略）

２．不適正な利用の禁止（法第１９条）

２．不適切な利用の禁止（法第１９条）（不適正な利用の禁止）（不適正な利用の禁止）

法第十九条 個人情報取扱事業者は、違法又は不当な行為を助長し、又は法第十九条 個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。

誘発するおそれがある方法により個人情報を利用してはならない。

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

・国保連合会等は、違法又は不当な行為を助長し、又は誘発するおそれ・国保連合会等は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。

がある方法により個人情報を利用してはならない。

・「違法又は不当な行為」とは、法その他の法令に違反する行為、及び直・「違法又は不当な行為」とは、法その他の法令に違反する行為、及び直ちに違法とはいえないものの、法その他の法令の制度趣旨又は公序良ちに違法とはいえないものの、法その他の法令の制度趣旨又は公序良

俗に反する等、社会通念上適正とは認められない行為をいう。

俗に反する等、社会通念上適正とは認められない行為をいう。

・「おそれ」の有無は、個人情報取扱事業者による個人情報の利用が、違・「おそれ」の有無は、個人情報取扱事業者による個人情報の利用が、違法又は不当な行為を助長又は誘発することについて、社会通念上蓋然法又は不当な行為を助長又は誘発することについて、社会通念上蓋然性が認められるか否かにより判断される。この判断に当たっては、個性が認められるか否かにより判断される。この判断に当たっては、個

人情報の利用方法等の客観的な事情に加えて、個人情報の利用時点に人情報の利用方法等の客観的な事情に加えて、個人情報の利用時点に7

おける個人情報取扱事業者の認識及び予見可能性も踏まえる必要があおける個人情報取扱事業者の認識及び予見可能性も踏まえる必要がある。例えば、個人情報取扱事業者が第三者に個人情報を提供した場合る。例えば、個人情報取扱事業者が第三者に個人情報を提供した場合

において、当該第三者が当該個人情報を違法な行為に用いた場合であにおいて、当該第三者が当該個人情報を違法な行為に用いた場合であっても、当該第三者が当該個人情報の取得目的を偽っていた等、当該っても、当該第三者が当該個人情報の取得目的を偽っていた等、当該個人情報の提供の時点において、提供した個人情報が違法に利用され個人情報の提供の時点において、提供した個人情報が違法に利用されることについて、当該個人情報取扱事業者が一般的な注意力をもってることについて、当該個人情報取扱事業者が一般的な注意力をもってしても予見できない状況であった場合には、「おそれ」は認められない

しても予見できない状況であった場合には、「おそれ」は認められないと解される。

と解される。

（違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例）

人情報を利用している事例）

事例１）

事例１）

違法行為を営むことが疑われる事業者に対し、当該事業者の違法行為を営むことが疑われる事業者に対し、当該事業者の違法な行為を助長するおそれが想定されるにもかかわらず、個

違法な行為を助長するおそれが想定されるにも関わらず、個人

人情報を提供する場合

情報を提供する場合

事例２） 個人情報を提供した場合、提供先において法第２７条第 1 項

事例２） 個人情報を提供した場合、提供先において法第２７条第 1 項に違反する第三者提供がなされることを予見できるにもかかわに違反する第三者提供がなされることを予見できるにもかかわらず、当該提供先に対して、個人情報を提供する場合

らず、当該提供先に対して、個人情報を提供する場合

事例３）

３

（違法又は不当な行為を助長し、又は誘発するおそれがある方法により個個人情報を取得した国保連合会等が、性別、国籍等の特定の事例３）

個人情報を取得した国保連合会等が、性別、国籍等の特定の属性のみにより、正当な理由なく本人に対する違法な差別的取属性のみにより、正当な理由なく本人に対する違法な差別的取扱いを行うために、個人情報を利用する場合扱いを行うために、個人情報を利用する場合

（略）

３ （略）

４．個人情報の適正な取得、個人データ内容の正確性の確保（法第２０条、

４．個人情報の適正な取得、個人データ内容の正確性の確保（法第２０条、

第２２条）

第２２条）

8

（適正な取得）（適正な取得）法第二十条 個人情報取扱事業者は、偽りその他不正の手段により個人情法第二十条 個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。
２

報を取得してはならない。

個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人

２

個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。

の同意を得ないで、要配慮個人情報を取得してはならない。

一

法令に基づく場合

一

法令に基づく場合

二人の生命、身体又は財産の保護のために必要がある場合であって、二人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
三本人の同意を得ることが困難であるとき

公衆衛生の向上又は児童の健全な育成のために特に必要がある場合三であって、本人の同意を得ることが困難であるとき
四

公衆衛生の向上又は児童の健全な育成のために特に必要がある場合であって、本人の同意を得ることが困難であるとき国の機関若しくは地方公共団体又はその委託を受けた者が法令の定

四国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれが本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれが

あるとき。

あるとき。

五

当該個人情報取扱事業者が学術研究機関等である場合であって、当五

当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含

配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含

み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

六

学術研究機関等から当該要配慮個人情報を取得する場合であって、

六学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含

要配慮個人情報を取得する目的の一部が学術研究目的である場合を含

み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当

み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当

該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行

該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。
）。

う場合に限る。）。
9

七

当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究

七

当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究

機関等、第五十七条第一項各号に掲げる者その他個人情報保護委員会

機関等、第五十七条第一項各号に掲げる者その他個人情報保護委員会

規則で定める者により公開されている場合

規則で定める者により公開されている場合

八

その他前各号に掲げる場合に準ずるものとして政令で定める場合

八

規則第六条 法第二十条第二項第七号の個人情報保護委員会規則で定める

その他前各号に掲げる場合に準ずるものとして政令で定める場合

規則第六条 法第二十条第二項第七号の個人情報保護委員会規則で定める者は、次の各号のいずれかに該当する者とする。

者は、次の各号のいずれかに該当する者とする。

一

外国政府、外国の政府機関、外国の地方公共団体又は国際機関

一

外国政府、外国の政府機関、外国の地方公共団体又は国際機関

二外国において法第十六条第八項に規定する学術研究機関等に相当す

二

外国において法第十六条第八項に規定する学術研究機関等に相当す

る者
三

る者

外国において法第五十七条第一項各号に掲げる者に相当する者

三

令第九条 法第二十条第二項第八号の政令で定める場合は、次に掲げる場

外国において法第五十七条第一項各号に掲げる者に相当する者

令第九条 法第二十条第二項第八号の政令で定める場合は、次に掲げる場

合とする。

合とする。

一

一

本人を目視し、又は撮影することにより、その外形上明らかな要配

慮個人情報を取得する場合
二本人を目視し、又は撮影することにより、その外形上明らかな要配

慮個人情報を取得する場合

法第二十七条第五項各号（法第四十一条第六項の規定により読み替

二法第二十七条第五項各号（法第四十一条第六項の規定により読み替

えて適用する場合及び法第四十二条第二項において読み替えて準用す

えて適用する場合及び法第四十二条第二項において読み替えて準用する場合を含む。
）に掲げる場合において、個人データである要配慮個人る場合を含む。）に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき。

情報の提供を受けるとき。

（データ内容の正確性の確保等）（データ内容の正確性の確保等）

法第二十二条 個人情報取扱事業者は、利用目的の達成に必要な範囲内に

法第二十二条 個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必

おいて、個人データを正確かつ最新の内容に保つとともに、利用する必10要がなくなったときは、当該個人データを遅滞なく消去するよう努めな

要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。

ければならない。

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

・国保連合会等は、偽りその他の不正の手段により個人情報を取得してはならない。

・国保連合会等は、偽りその他の不正の手段により個人情報を取得してはならない。

・親の同意なく、十分な判断能力を有していない子どもから家族の個人情報を取得してはならない。

・親の同意なく、十分な判断能力を有していない子どもから家族の個人情報を取得してはならない。

・要配慮個人情報を取得する場合には、あらかじめ本人の同意を得なけ

・要配慮個人情報を取得する場合には、あらかじめ本人の同意を得なけ

ればならない。ただし、法第２０条第２項各号に定める場合についてればならない。ただし、法第２０条第２項各号に定める場合については、本人の同意を得る必要はない。

は、本人の同意を得る必要はない。

（例）

（例）

・国民健康保険法第８２条第２項に基づき、労働安全衛生法に基づく

・国民健康保険法第８２条第２項に基づき、労働安全衛生法に基づく健康診断等について、事業者等から被保険者に関する健康診断に関

健康診断等について、事業者等から被保険者に関する健康診断に関する情報を取得する場合、法第２０条第２項第１号に該当すると考する情報を取得する場合、法第２０条第２項第１号に該当すると考

えられる。

えられる。

（削る）

・急病その他の事態が生じたときに、本人の病歴等を国保組合に所属する医師や看護師が家族から聴取する場合、法第２０条第２項第２号に該当すると考えられる。

・事業者が警察の任意の求めに応じて要配慮個人情報に該当する個人・事業者が警察の任意の求めに応じて要配慮個人情報に該当する個人情報を提出するために、当該個人情報を取得する場合、法第２０条

情報を提出するために、当該個人情報を取得する場合、法第２０条

第２項第４号に該当する可能性があると考えられる。

第２項第４号に該当する可能性があると考えられる。

・なお、要配慮個人情報を、法第２７条第５項各号に定める委託、事・なお、要配慮個人情報を、法第２７条第５項各号に定める委託、事業承継又は共同利用により取得する場合は、あらかじめ本人の同意

業承継又は共同利用により取得する場合は、あらかじめ本人の同意

11

を得る必要はない。

を得る必要はない。

【法第２０条第２項に違反している事例】【法第２０条第２項に違反している事例】

（略）

（略）

【その他の事項】【その他の事項】（略）（略）

５．安全管理措置、従業者の監督及び委託先の監督（法第２３条～第２５条） ５．安全管理措置、従業者の監督及び委託先の監督（法第２３条～第２５条）（安全管理措置）（安全管理措置）法第二十三条 個人情報取扱事業者は、その取り扱う個人データの漏えい、法第二十三条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

切な措置を講じなければならない。

（従業者の監督）（従業者の監督）

法第二十四条 個人情報取扱事業者は、その従業者に個人データを取り扱

法第二十四条 個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

従業者に対する必要かつ適切な監督を行わなければならない。

（委託先の監督）（委託先の監督）

法第二十五条 個人情報取扱事業者は、個人データの取扱いの全部又は一

法第二十五条 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなけ図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

ればならない。

（１）国保連合会等が講ずるべき安全管理措置等（１）国保連合会等が講ずるべき安全管理措置等①安全管理措置①安全管理措置

国保連合会等は、その取り扱う個人データの漏えい、滅失又は毀損の国保連合会等は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のため、組織的、人的、物理的及び防止その他の個人データの安全管理のため、組織的、人的、物理的、及技術的安全管理措置等を講じなければならない。また、外国において個

び技術的安全管理措置等を講じなければならない。また、外国において12

人データを取り扱う場合には、外的環境の把握を行ったうえで、これら個人データを取り扱う場合には、外的環境の把握を行ったうえで、これの安全管理措置を講じなければならない。その際、本人の個人データがらの安全管理措置を講じなければならない。その際、本人の個人データ

漏えい、滅失又は毀損をした場合に本人が被る権利利益の侵害の大きさが漏えい、滅失又は毀損等をした場合に本人が被る権利利益の侵害の大を考慮し、事業の性質及び個人データの取扱い状況等に起因するリスク

きさを考慮し、事業の性質及び個人データの取扱い状況等に起因するリに応じ、必要かつ適切な措置を講ずるものとする。なお、その際には、スクに応じ、必要かつ適切な措置を講ずるものとする。なお、その際に個人データを記録した媒体の性質に応じた安全管理措置を講ずる。

は、個人データを記録した媒体の性質に応じた安全管理措置を講ずる。

国保連合会等は、行政機関等から個人情報の取扱いの委託（二以上の（新設）段階にわたる委託を含む。
）を受けた業務を行う場合には、法第２３条だ
けでなく、法第６６条第１項に基づく行政機関等と同様の安全管理措置等を講じなければならない（同条第２項第１号及び第５号）。詳細は「個人情報の保護に関する法律についてのガイドライン（行政機関等編）」（令
和４年個人情報保護委員会告示第１号）及び「個人情報の保護に関する法律についての事務対応ガイド（行政機関等向け）」を参照されたい。
②従業者の監督②従業者の監督

国保連合会等は、①の安全管理措置を遵守させるよう、従業者に対し国保連合会等は、①の安全管理措置を遵守させるよう、従業者に対し必要かつ適切な監督をしなければならない。なお、「従業者」とは、当該必要かつ適切な監督をしなければならない。なお、「従業者」とは、当該事業者の指揮命令を受けて業務に従事する者全てを含むものであり、ま事業者の指揮命令を受けて業務に従事する者全てを含むものであり、また、雇用関係のある者のみならず、理事、派遣労働者等も含むものであ

た、雇用関係のある者のみならず、理事、派遣労働者等も含むものである。

る。

「国民健康保険団体連合会における個人情報保護の徹底について」（平「国民健康保険団体連合会における個人情報保護の徹底について」（平

成１５年 3 月１４日保国発０３１４第３号）では、国保連合会等に対し成１５年 3 月１４日保国発０３１４第３号）では、国保連合会等に対して、服務規程等において、国民健康保険団体連合会の役職員について職て、服務規程等において、国民健康保険団体連合会の役職員について職員の守秘義務を課すこととしている。

員の守秘義務を課すこととしている。

国保連合会等が行政機関等から個人情報の取扱いの委託（二以上の段
13

（新設）

階にわたる委託を含む。
）を受けた業務に従事している者又は従事していた者に対して法第６７条が適用されることにより、これらの者は、当該業務に関して知り得た個人情報の内容をみだりに他人に知らせ、又は不当な目的に利用してはならない義務が課せられる。詳細は「個人情報の保護に関する法律についてのガイドライン（行政機関等編）」（令和４年
個人情報保護委員会告示第１号）及び「個人情報の保護に関する法律についての事務対応ガイド（行政機関等向け）」を参照されたい。
③委託者の監督③委託者の監督

国保連合会等は、個人データの取扱いの全部又は一部を委託する場合、国保連合会等は、個人データの取扱いの全部又は一部を委託する場合、委託先において当該個人データの安全管理措置が適切に講じられるよ

委託先において当該個人データの安全管理措置が適切に講じられるよう、「適切な委託先の選定」「安全管理措置の遵守事項を含む委託契約のう、「適切な委託先の選定」「安全管理措置の遵守事項を含む委託契約の締結」「委託先における個人データ取扱状況の把握」により、委託先に関締結」「委託先における個人データ取扱状況の把握」により、委託先に関して必要かつ適切な管理、監督をしなければならない。

して必要かつ適切な管理、監督をしなければならない。

なお、国保連合会等が行政機関等から個人情報の取扱いの委託を受け（新設）た業務を更に委託する場合には、委託先に対しては法第６６条第１項の義務が、当該委託先の当該業務に従事している者又は従事していた者に対しては法第６７条の義務が、それぞれ課される（①及び②参照）ことに留意する必要がある（法第６６条第２項第５号）。
（２）・（３） （略）（２）・（３） （略）（４）レセプトの紙以外の媒体による保存等又はそれらの外部委託を行う場（４）レセプトの紙以外の媒体による保存等又はそれらの外部委託を行う場

合の取扱い

合の取扱い

（略）

（略）

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

・国保連合会等は、その取り扱う個人データの漏えい、滅失又は毀損の14

・国保連合会等は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他個人データの安全管理のために必要かつ適切な措置を講じ防止その他個人データの安全管理のために必要かつ適切な措置を講じなければならない。

なければならない。

・国保連合会等は、その従業者に個人データを取り扱わせるに当たって・国保連合会等は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対するは、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

必要かつ適切な監督を行わなければならない。

・国保連合会等は、個人データの取扱いの全部又は一部を委託する場合

・国保連合会等は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならな委託を受けた者に対する必要かつ適切な監督を行わなければならない。

い。

・国保連合会等は、市町村等の行政機関等から個人情報の取扱いの委託（新設）（二以上の段階にわたる委託を含む。）を受けた業務を行う場合には、
法第６６条及び法第６７条の規定を順守しなければならない（（１）①～③、（３）参照）。
【その他の事項】【その他の事項】（略）（略）

６．漏えい等の報告等（法第２６条）

６．漏えい等の報告等（法第２６条）

15

（漏えい等の報告等）（漏えい等の報告等）

法第二十六条 個人情報取扱事業者は、その取り扱う個人データの漏えい、法第二十六条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところに定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者又ない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けは行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該た場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知し事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。

たときは、この限りでない。

２

前項に規定する場合には、個人情報取扱事業者（同項ただし書の規定

２

前項に規定する場合には、個人情報取扱事業者（同項ただし書の規定による通知をした者を除く。
）は、本人に対し、個人情報保護委員会規則による通知をした者を除く。）は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知しなければならない。

で定めるところにより、当該事態が生じた旨を通知しなければならない。

ただし、本人への通知が困難な場合であって、本人の権利利益を保護す

ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

るため必要なこれに代わるべき措置をとるときは、この限りでない。

規則第七条 法第二十六条第一項本文の個人の権利利益を害するおそれが規則第七条 法第二十六条第一項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号の大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。

いずれかに該当するものとする。

一

一

要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人

要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第一項において同じ。
）の漏えい、滅失若しくは毀損（以の条及び次条第一項において同じ。
）の漏えい、滅失若しくは毀損（以下この条及び次条第一項において「漏えい等」という。
）が発生し、又下この条及び次条第一項において「漏えい等」という。
）が発生し、又16

は発生したおそれがある事態
二は発生したおそれがある事態

不正に利用されることにより財産的被害が生じるおそれがある個人

二

データの漏えい等が発生し、又は発生したおそれがある事態
三

データの漏えい等が発生し、又は発生したおそれがある事態

不正の目的をもって行われたおそれがある個人データの漏えい等が三発生し、又は発生したおそれがある事態
四

不正に利用されることにより財産的被害が生じるおそれがある個人
不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態

個人データに係る本人の数が千人を超える漏えい等が発生し、又は四発生したおそれがある事態

個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態

規則第八条 個人情報取扱事業者は、法第二十六条第一項本文の規定によ

規則第八条 個人情報取扱事業者は、法第二十六条第一項本文の規定による報告をする場合には、前条各号に定める事態を知った後、速やかに、る報告をする場合には、前条各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。次条において同じ。）を報告しなければならない。

握しているものに限る。次条において同じ。）を報告しなければならない。

一

概要

一

概要

二

漏えい等が発生し、又は発生したおそれがある個人データの項目

二

漏えい等が発生し、又は発生したおそれがある個人データの項目

三

漏えい等が発生し、又は発生したおそれがある個人データに係る本三漏えい等が発生し、又は発生したおそれがある個人データに係る本

人の数

人の数

原因

四

原因

五

二次被害又はそのおそれの有無及びその内容

五

二次被害又はそのおそれの有無及びその内容

六

本人への対応の実施状況

六

本人への対応の実施状況

七

公表の実施状況

七

公表の実施状況

八

再発防止のための措置

八

再発防止のための措置

九

その他参考となる事項

九

その他参考となる事項

２

四

前項の場合において、個人情報取扱事業者は、当該事態を知った日か

２

前項の場合において、個人情報取扱事業者は、当該事態を知った日から三十日以内（当該事態が前条第三号に定めるものである場合にあってら三十日以内（当該事態が前条第三号に定めるものである場合にあっては、六十日以内）に、当該事態に関する前項各号に定める事項を報告しは、六十日以内）に、当該事態に関する前項各号に定める事項を報告し17なければならない。
３

なければならない。

法第二十六条第一項本文の規定による報告は、次の各号に掲げる場合

３

法第二十六条第一項本文の規定による報告は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める方法により行うものとする。

の区分に応じ、それぞれ当該各号に定める方法により行うものとする。

一

一

個人情報保護委員会に報告する場合

電子情報処理組織(個人情報

個人情報保護委員会に報告する場合

電子情報処理組織(個人情報保護委員会の使用に係る電子計算機と報告をする者の使用に係る電子保護委員会の使用に係る電子計算機と報告をする者の使用に係る電子計算機とを電気通信回線で接続した電子情報処理組織をいう。以下こ計算機とを電気通信回線で接続した電子情報処理組織をいう。以下この項において同じ。
）を使用する方法（電気通信回線の故障、災害そのの項において同じ。
）を使用する方法（電気通信回線の故障、災害その他の理由により電子情報処理組織を使用することが困難であると認め他の理由により電子情報処理組織を使用することが困難であると認められる場合にあっては、別記様式第一による報告書を提出する方法）

られる場合にあっては、別記様式第一による報告書を提出する方法）

二法第百五十条第一項の規定により、法第二十六条第一項の規定による権限の委任を受けた事業所管大臣に報告する場合

二

別記様式第一に

法第百四十七条第一項の規定により、法第二十六条第一項の規定による権限の委任を受けた事業所管大臣に報告する場合

別記様式第一

よる報告書を提出する方法（当該事業所管大臣が別に定める場合にあによる報告書を提出する方法（当該事業所管大臣が別に定める場合にっては、その方法）

あっては、その方法）

規則第九条 個人情報取扱事業者は、法第二十六条第一項ただし書の規定

規則第九条 個人情報取扱事業者は、法第二十六条第一項ただし書の規定による通知をする場合には、第七条各号に定める事態を知った後、速やによる通知をする場合には、第七条各号に定める事態を知った後、速やかに、前条第一項各号に定める事項を通知しなければならない。

かに、前条第一項各号に定める事項を通知しなければならない。

規則第十条 個人情報取扱事業者は、法第二十六条第二項本文の規定によ

規則第十条 個人情報取扱事業者は、法第二十六条第二項本文の規定による通知をする場合には、第七条各号に定める事態を知った後、当該事態る通知をする場合には、第七条各号に定める事態を知った後、当該事態の状況に応じて速やかに、当該本人の権利利益を保護するために必要なの状況に応じて速やかに、当該本人の権利利益を保護するために必要な範囲において、第八条第一項第一号、第二号、第四号、第五号及び第九範囲において、第八条第一項第一号、第二号、第四号、第五号及び第九号に定める事項を通知しなければならない。

号に定める事項を通知しなければならない。

（略）

（略）

【法の規定により遵守すべき事項】【法の規定により遵守すべき事項】

（略）

（略）
18

７．個人データの第三者提供（法第２７条）

７．個人データの第三者提供（法第２７条）

19

（第三者提供の制限）（第三者提供の制限）

法第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あら法第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならな

かじめ本人の同意を得ないで、個人データを第三者に提供してはならな

い。

い。

一

法令に基づく場合

一

法令に基づく場合

二人の生命、身体又は財産の保護のために必要がある場合であって、二人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三

本人の同意を得ることが困難であるとき。

公衆衛生の向上又は児童の健全な育成の推進のために特に必要があ

三る場合であって、本人の同意を得ることが困難であるとき。
四

公衆衛生の向上又は児童の健全な育成の推進のために特に必要があ

る場合であって、本人の同意を得ることが困難であるとき。

国の機関若しくは地方公共団体又はその委託を受けた者が法令の定

四国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれが本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれが

あるとき。

あるとき。

五

当該個人情報取扱事業者が学術研究機関等である場合であって、当五

当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除ないとき（個人の権利利益を不当に侵害するおそれがある場合を除

く。
）
。

く。）。

六

当該個人情報取扱事業者が学術研究機関等である場合であって、当六

当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき（当該個人デ該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人のータを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報

権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。）。

取扱事業者と当該第三者が共同して学術研究を行う場合に限る。）。

七

当該第三者が学術研究機関等である場合であって、当該第三者が当

七該個人データを学術研究目的で取り扱う必要があるとき（当該個人デ当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人デ20

２ータを取り扱う目的の一部が学術研究目的である場合を含み、個人のータを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

権利利益を不当に侵害するおそれがある場合を除く。）。

個人情報取扱事業者は、第三者に提供される個人データについて、本２

個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を

人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、個人

停止することとしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。ただし、第三者に提供される個人データが要配

提供することができる。ただし、第三者に提供される個人データが要配慮個人情報又は第二十条第一項の規定に違反して取得されたもの若しく慮個人情報又は第二十条第一項の規定に違反して取得されたもの若しく

は他の個人情報取扱事業者からこの項本文の規定により提供されたもの

は他の個人情報取扱事業者からこの項本文の規定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む。）である場合は、（その全部又は一部を複製し、又は加工したものを含む。）である場合は、

この限りでない。

この限りでない。

一

一

第三者への提供を行う個人情報取扱事業者の氏名又は名称及び住所

第三者への提供を行う個人情報取扱事業者の氏名又は名称及び住所

並びに法人にあっては、その代表者（法人でない団体で代表者又は管並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。以下この理人の定めのあるものにあっては、その代表者又は管理人。以下この条、第三十条第一項第一号及び第三十二条第一項第一号において同条、第三十条第一項第一号及び第三十二条第一項第一号において同

じ。
）の氏名

じ。）の氏名二

第三者への提供を利用目的とすること。

二

第三者への提供を利用目的とすること。

三

第三者に提供される個人データの項目

三

第三者に提供される個人データの項目

四第三者に提供される個人データの取得の方法

四

第三者に提供される個人データの取得の方法

五

第三者への提供の方法

五

第三者への提供の方法

六

本人の求めに応じて当該本人が識別される個人データの第三者への六本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。

提供を停止すること。
21

七

本人の求めを受け付ける方法

七

本人の求めを受け付ける方法

八その他個人の権利利益を保護するために必要なものとして個人情報

八その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則で定める事項
３

保護委員会規則で定める事項

個人情報取扱事業者は、前項第一号に掲げる事項に変更があったとき

３

個人情報取扱事業者は、前項第一号に掲げる事項に変更があったとき

又は同項の規定による個人データの提供をやめたときは遅滞なく、同項又は同項の規定による個人データの提供をやめたときは遅滞なく、同項第三号から第五号まで、第七号又は第八号に掲げる事項を変更しようと

第三号から第五号まで、第七号又は第八号に掲げる事項を変更しようとするときはあらかじめ、その旨について、個人情報保護委員会規則で定するときはあらかじめ、その旨について、個人情報保護委員会規則で定めるところにより、本人に通知し、又は本人が容易に知り得る状態に置めるところにより、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。

くとともに、個人情報保護委員会に届け出なければならない。

４

個人情報保護委員会は、第二項の規定による届出があったときは、個４

個人情報保護委員会は、第二項の規定による届出があったときは、個

人情報保護委員会規則で定めるところにより、当該届出に係る事項を公人情報保護委員会規則で定めるところにより、当該届出に係る事項を公表しなければならない。前項の規定による届出があったときも、同様と表しなければならない。前項の規定による届出があったときも、同様と

する。

する。

５

次に掲げる場合において、当該個人データの提供を受ける者は、前各５次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。

項の規定の適用については、第三者に該当しないものとする。

一

一

個人情報取扱事業者が利用目的の達成に必要な範囲内において個人

個人情報取扱事業者が利用目的の達成に必要な範囲内において個人
データの取扱いの全部又は一部を委託することに伴って当該個人デー

タが提供される場合

タが提供される場合

二

データの取扱いの全部又は一部を委託することに伴って当該個人デー
合併その他の事由による事業の承継に伴って個人データが提供され二る場合

合併その他の事由による事業の承継に伴って個人データが提供され三る場合特定の者との間で共同して利用される個人データが当該特定の者に三

特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人デー提供される場合であって、その旨並びに共同して利用される個人デー

タの項目、共同して利用する者の範囲、利用する者の利用目的並びにタの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住当該個人データの管理について責任を有する者の氏名又は名称及び住22

所並びに法人にあっては、その代表者の氏名について、あらかじめ、所並びに法人にあっては、その代表者の氏名について、あらかじめ、

本人に通知し、又は本人が容易に知り得る状態に置いているとき。

本人に通知し、又は本人が容易に知り得る状態に置いているとき。

６

個人情報取扱事業者は、前項第三号に規定する個人データの管理につ

６

個人情報取扱事業者は、前項第三号に規定する個人データの管理について責任を有する者の氏名、名称若しくは住所又は法人にあっては、そいて責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったときは遅滞なく、同号に規定する利用すの代表者の氏名に変更があったときは遅滞なく、同号に規定する利用する者の利用目的又は当該責任を有する者を変更しようとするときはあらる者の利用目的又は当該責任を有する者を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状

かじめ、その旨について、本人に通知し、又は本人が容易に知り得る状

態に置かなければならない。

態に置かなければならない。

規則第十一条 法第二十七条第二項又は第三項の規定による通知又は容易

規則第十一条 法第二十七条第二項又は第三項の規定による通知又は容易に知り得る状態に置く措置は、次に掲げるところにより、行うものとすに知り得る状態に置く措置は、次に掲げるところにより、行うものとす

る。

る。

一

第三者に提供される個人データによって識別される本人（次号にお一

第三者に提供される個人データによって識別される本人（次号において「本人」という。
）が当該提供の停止を求めるのに必要な期間をおいて「本人」という。
）が当該提供の停止を求めるのに必要な期間をお

くこと。

くこと。

二

本人が法第二十七条第二項各号に掲げる事項を確実に認識できる適二切かつ合理的な方法によること。
２

本人が法第二十七条第二項各号に掲げる事項を確実に認識できる適切かつ合理的な方法によること。

法第二十七条第二項又は第三項の規定による届出は、次に掲げる方法

２

法第二十七条第二項又は第三項の規定による届出は、次に掲げる方法のいずれかにより行わなければならない。

のいずれかにより行わなければならない。

一

一

電子情報処理組織（個人情報保護委員会の使用に係る電子計算機と電子情報処理組織（個人情報保護委員会の使用に係る電子計算機と届出を行う者の使用に係る電子計算機とを電気通信回線で接続した電届出を行う者の使用に係る電子計算機とを電気通信回線で接続した電子情報処理組織をいう。
）を使用する方法

子情報処理組織をいう。
）を使用する方法

二

別記様式第二（法第二十七条第三項の規定による個人データの提供

二

別記様式第二（法第二十七条第三項の規定による個人データの提供をやめた旨の届出を行う場合にあっては、別記様式三）による届出書をやめた旨の届出を行う場合にあっては、別記様式三）による届出書及び当該届出書に記載すべき事項を記録した光ディスク（これに準ず及び当該届出書に記載すべき事項を記録した光ディスク（これに準ず23

る方法により一定の事項を確実に記録しておくことができる物を含る方法により一定の事項を確実に記録しておくことができる物を含む。以下「光ディスク等」という。
）を提出する方法

む。以下「光ディスク等」という。
）を提出する方法

３

個人情報取扱事業者が、代理人によって法第二十七条第二項又は第三３

個人情報取扱事業者が、代理人によって法第二十七条第二項又は第三項の規定による届出を行う場合には、別記様式第四によるその権限を証項の規定による届出を行う場合には、別記様式第四によるその権限を証する書面（電磁的記録を含む。第十七条第一項、第十八条第二項、第三する書面（電磁的記録を含む。第十七条第一項、第十八条第二項、第三十条、第四十七条第一項、第四十八条第二項、第五十四条第二項、第六十条、第四十七条第一項、第四十八条第二項、第五十四条第二項、第六項及び第七項、第六十条並びに第六十六条第二項を除き、以下同じ。
）を項及び第七項、第六十条並びに第六十六条第二項を除き、以下同じ。
）を

個人情報保護委員会に提出しなければならない。

個人情報保護委員会に提出しなければならない。

４

法第二十七条第二項第八号の個人情報保護委員会規則で定める事項

４

法第二十七条第二項第八号の個人情報保護委員会規則で定める事項

は、次に掲げる事項とする。

は、次に掲げる事項とする。

一

第三者に提供される個人データの更新の方法

一

第三者に提供される個人データの更新の方法

二

当該届出に係る個人データの第三者への提供を開始する予定日

二

当該届出に係る個人データの第三者への提供を開始する予定日

規則第十三条 法第二十七条第四項の規定による公表は、同条第二項又は規則第十三条 法第二十七条第四項の規定による公表は、同条第二項又は第三項の規定による届出があった後、遅滞なく、インターネットの利用

第三項の規定による届出があった後、遅滞なく、インターネットの利用

その他の適切な方法により行うものとする。

その他の適切な方法により行うものとする。

規則第十四条 個人情報取扱事業者は、法第二十七条第四項の規定による

規則第十四条 個人情報取扱事業者は、法第二十七条第四項の規定による公表がされた後、速やかに、インターネットの利用その他の適切な方法公表がされた後、速やかに、インターネットの利用その他の適切な方法により、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定めにより、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項を公表するものとする。

る事項を公表するものとする。

一

一

法第二十七条第二項の規定による届出を行った場合 同項各号に掲

げる事項
二

げる事項

法第二十七条第三項の規定による変更の届出を行った場合 変更後

二の同条第二項各号に掲げる事項
三

法第二十七条第二項の規定による届出を行った場合 同項各号に掲
法第二十七条第三項の規定による変更の届出を行った場合 変更後の同条第二項各号に掲げる事項

法第二十七条第三項の規定による個人データの提供をやめた旨の届

三24

法第二十七条第三項の規定による個人データの提供をやめた旨の届

出を行った場合 その旨出を行った場合 その旨

（１）
（略）

（１）
（略）

（２）第三者提供の例外（２）第三者提供の例外

ただし、次に掲げる場合については、本人の同意を得る必要はない。

ただし、次に掲げる場合については、本人の同意を得る必要はない。

①法令（条例を含む。
）に基づく場合①法令に基づく場合

国民健康保険法第１０６条に基づく報告の徴収等、法令に基づいて個人情報を利用する場合（Ⅲ１．
（２）①参照）

国民健康保険法第１０６条に基づく報告の徴収等、法令に基づいて個人情報を利用する場合（Ⅲ１．
（２）①参照）②～⑥ （略）②～⑥ （略）⑦

第三者が学術研究機関等である場合であって、当該第三者が当該個人⑦ 第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取

データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益をり扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）

不当に侵害するおそれがある場合を除く。）

（削る）

（例）
・学術研究機関等が、健保組合等の保有する個人データを学術研究目的で取り扱う必要がある場合（３）・（４） （略）（３）・（４） （略）（５）その他留意事項（５）その他留意事項

・他の事業者への情報提供に関する留意事項

・他の事業者への情報提供に関する留意事項

第三者提供を行う場合のほか、他の事業者への情報提供であっても、第三者提供を行う場合のほか、他の事業者への情報提供であっても、①法令に基づく場合など第三者提供の例外に該当する場合、②「第三者」①法令に基づく場合など第三者提供の例外に該当する場合、②「第三者」に該当しない場合、③個人が特定されないように匿名加工情報に加工しに該当しない場合、③個人が特定されないように匿名加工情報に加工して情報提供する場合などにおいては、本来必要とされる情報の範囲に限て情報提供する場合などにおいては、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項につって提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないようにすべきである。

いてまで他の事業者に提供することがないようにすべきである。
25

また、被保険者と医師等双方の二面性を持っている個人情報を第三者

また、被保険者と他者双方の二面性を持っている個人情報を第三者提提供するに当たっては、双方の同意が必要となるが、一方の同意のみで供するに当たっては、双方の同意が必要となるが、一方の同意のみで第第三者提供する場合は、他方の個人情報に係る部分をマスキングした上三者提供する場合は、他方の個人情報に係る部分をマスキングした上でで行うこと。

行うこと。

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

（略）

（略）

【その他の事項】【その他の事項】（略）（略）

８．外国にある第三者への提供の制限（法第２８条）

８．外国にある第三者への提供の制限（法第２８条）

詳細は、別途定める「個人情報の保護に関する法律についてのガイドライ

詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」（平成２８年個人情報保護委員会告示第ン（外国にある第三者への提供編）」（平成２８年個人情報保護委員会告示第７号）を参照のこと。

７号）を参照のこと。

（参考）

（参考）

（外国にある第三者への提供の制限）（外国にある第三者への提供の制限）

法第二十八条 個人情報取扱事業者は、外国（本邦の域外にある国又は地法第二十八条 個人情報取扱事業者は、外国（本邦の域外にある国又は地域をいう。以下この条及び第三十一条第一項第二号において同じ。）（個域をいう。以下この条及び第三十一条第一項第二号において同じ。）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人の権利利益を保護する上で我が国と同等の水準にあると認められる個

人情報の保護に関する制度を有している外国として個人情報保護委員会

人情報の保護に関する制度を有している外国として個人情報保護委員会

規則で定めるものを除く。以下この条及び同号において同じ。）にある第規則で定めるものを除く。以下この条及び同号において同じ。）にある第三者（個人データの取扱いについてこの節の規定により個人情報取扱事

三者（個人データの取扱いについてこの節の規定により個人情報取扱事

業者が講ずべきこととされている措置に相当する措置（第三項において業者が講ずべきこととされている措置に相当する措置（第三項において「相当措置」という。
）を継続的に講ずるために必要なものとして個人情「相当措置」という。
）を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者を除

報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この項及び次項並びに同号において同じ。
）に個人データを提供

く。以下この項及び次項並びに同号において同じ。
）に個人データを提供
26

する場合には、前条第一項各号に掲げる場合を除くほか、あらかじめ外する場合には、前条第一項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならな国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は、適用しない。

い。この場合においては、同条の規定は、適用しない。

２

個人情報取扱事業者は、前項の規定により本人の同意を得ようとする

２

個人情報取扱事業者は、前項の規定により本人の同意を得ようとする

場合には、個人情報保護委員会規則で定めるところにより、あらかじめ、

場合には、個人情報保護委員会規則で定めるところにより、あらかじめ、

当該外国における個人情報の保護に関する制度、当該第三者が講ずる個

当該外国における個人情報の保護に関する制度、当該第三者が講ずる個

人情報の保護のための措置その他当該本人に参考となるべき情報を当該人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。

本人に提供しなければならない。

３

個人情報取扱事業者は、個人データを外国にある第三者（第一項に規３

個人情報取扱事業者は、個人データを外国にある第三者（第一項に規定する体制を整備している者に限る。
）に提供した場合には、個人情報保定する体制を整備している者に限る。）に提供した場合には、個人情報保

護委員会規則で定めるところにより、当該第三者による相当措置の継続

護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならな応じて当該必要な措置に関する情報を当該本人に提供しなければならな

い。

い。

規則第十五条 法第二十八条第一項の規定による個人情報の保護に関する規則第十五条 法第二十八条第一項の規定による個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものは、制度を有している外国として個人情報保護委員会規則で定めるものは、次の各号のいずれにも該当する外国として個人情報保護委員会が定める次の各号のいずれにも該当する外国として個人情報保護委員会が定めるものとする。

ものとする。

一一

法における個人情報取扱事業者に関する規定に相当する法令その他

法における個人情報取扱事業者に関する規定に相当する法令その他の定めがあり、その履行が当該外国内において確保されていると認めの定めがあり、その履行が当該外国内において確保されていると認めるに足りる状況にあること。

るに足りる状況にあること

二

個人情報保護委員会に相当する独立した外国執行当局が存在してお二

個人情報保護委員会に相当する独立した外国執行当局が存在しており、かつ、当該外国執行当局において必要かつ適切な監督を行うため

り、かつ、当該外国執行当局において必要かつ適切な監督を行うための体制が確保されていること。

の体制が確保されていること
27

三

我が国との間において、個人情報の適正かつ効果的な活用と個人の我が国との間において、個人情報の適正かつ効果的な活用と個人の権利利益の保護に関する相互理解に基づく連携及び協力が可能である

権利利益の保護に関する相互理解に基づく連携及び協力が可能であると認められるものであること。

と認められるものであること

四

個人情報の保護のために必要な範囲を超えて国際的な個人データの四

個人情報の保護のために必要な範囲を超えて国際的な個人データの移転を制限することなく、かつ、我が国との間において、個人情報の移転を制限することなく、かつ、我が国との間において、個人情報の保護を図りつつ、相互に円滑な個人データの移転を図ることが可能で保護を図りつつ、相互に円滑な個人データの移転を図ることが可能であると認められるものであること。

あると認められるものであること

五

２

三

前四号に定めるもののほか、当該外国を法第二十八条第一項の規定

五前四号に定めるもののほか、当該外国を法第二十八条第一項の規定による外国として定めることが、我が国における新たな産業の創出並による外国として定めることが、我が国における新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資すると認められびに活力ある経済社会及び豊かな国民生活の実現に資すると認められるものであること。

るものであること

個人情報保護委員会は、前項の規定による外国を定める場合において、

２

個人情報保護委員会は、前項の規定による外国を定める場合において、我が国における個人の権利利益を保護するために必要があると認めるときは、当該外国にある第三者への提供を認める旨の本人の同意を得るこきは、当該外国にある第三者への提供を認める旨の本人の同意を得ることなく提供できる個人データの範囲を制限することその他の必要な条件となく提供できる個人データの範囲を制限することその他の必要な条件を付することができる。

を付することができる。

３

我が国における個人の権利利益を保護するために必要があると認めると個人情報保護委員会は、第一項の規定による外国を定めた場合におい３

個人情報保護委員会は、第一項の規定による外国を定めた場合において、当該外国が第一項各号に該当していること又は当該外国について前項の規定により付された条件が満たされていることを確認するため必要項の規定により付された条件が満たされていることを確認するため必要があると認めるときは、当該外国における個人情報の保護に関する制度があると認めるときは、当該外国における個人情報の保護に関する制度又は当該条件に係る対応の状況に関し必要な調査を行うものとする。

又は当該条件に係る対応の状況に関し必要な調査を行うものとする。

４て、当該外国が第一項各号に該当していること又は当該外国について前

個人情報保護委員会は、第一項の規定による外国を定めた場合におい４

個人情報保護委員会は、第一項の規定による外国を定めた場合において、前項の調査の結果その他の状況を踏まえ、当該外国が第一項各号にて、前項の調査の結果その他の状況を踏まえ、当該外国が第一項各号に該当しなくなったと認めるとき又は当該外国について第二項の規定によ該当しなくなったと認めるとき又は当該外国について第二項の規定によ28

り付された条件が満たされなくなったと認めるときは、第一項の規定にり付された条件が満たされなくなったと認めるときは、第一項の規定による定めを取り消すものとする。

よる定めを取り消すものとする。

規則第十六条 法第二十八条第一項の個人情報保護委員会規則で定める基規則第十六条 法第二十八条第一項の個人情報保護委員会規則で定める基

準は、次の各号のいずれかに該当することとする。

準は、次の各号のいずれかに該当することとする。

一

一

個人情報取扱事業者と個人データの提供を受ける者との間で、当該個人情報取扱事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第四章第二節の規定の趣旨に沿った措置の実

合理的な方法により、法第四章第二節の規定の趣旨に沿った措置の実施が確保されていること。

施が確保されていること。

二

個人データの提供を受ける者が、個人情報の取扱いに係る国際的な二枠組みに基づく認定を受けていること。

個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。

規則第十七条 法第二十八条第二項又は法第三十一条第一項第二号の規定

規則第十七条 法第二十八条第二項又は法第三十一条第一項第二号の規定により情報を提供する方法は、電磁的記録の提供による方法、書面の交により情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。

付による方法その他の適切な方法とする。

２

法第二十八条第二項又は法第三十一条第一項第二号の規定による情報

２

法第二十八条第二項又は法第三十一条第一項第二号の規定による情報の提供は、次に掲げる事項について行うものとする。

の提供は、次に掲げる事項について行うものとする。

一

当該外国の名称

一

当該外国の名称二

適切かつ合理的な方法により得られた当該外国における個人情報の二

適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報保護に関する制度に関する情報

三

三

３

当該第三者が講ずる個人情報の保護のための措置に関する情報
前項の規定にかかわらず、個人情報取扱事業者は、法第二十八条第一３

当該第三者が講ずる個人情報の保護のための措置に関する情報
前項の規定にかかわらず、個人情報取扱事業者は、法第二十八条第一項の規定により本人の同意を得ようとする時点において、前項第一号に項の規定により本人の同意を得ようとする時点において、前項第一号に定める事項が特定できない場合には、同号及び同項第二号に定める事項

定める事項が特定できない場合には、同号及び同項第二号に定める事項に代えて、次に掲げる事項について情報提供しなければならない。

に代えて、次に掲げる事項について情報提供しなければならない。

一

一

前項第一号に定める事項が特定できない旨及びその理由
29

前項第一号に定める事項が特定できない旨及びその理由二

前項第一号に定める事項に代わる本人に参考となるべき情報がある

二場合には、当該情報
４

前項第一号に定める事項に代わる本人に参考となるべき情報がある

場合には、当該情報第二項の規定にかかわらず、個人情報取扱事業者は、法第二十八条第４第二項の規定にかかわらず、個人情報取扱事業者は、法第二十八条第一項の規定により本人の同意を得ようとする時点において、第二項第三一項の規定により本人の同意を得ようとする時点において、第二項第三号に定める事項について情報提供できない場合には、同号に定める事項

号に定める事項について情報提供できない場合には、同号に定める事項に代えて、その旨及びその理由について情報提供しなければならない。

に代えて、その旨及びその理由について情報提供しなければならない。

規則第十八条 法第二十八条第三項（法第三十一条第二項において読み替

規則第十八条 法第二十八条第三項（法第三十一条第二項において読み替

えて準用する場合を含む。
）の規定による外国にある第三者による相当措

えて準用する場合を含む。
）の規定による外国にある第三者による相当措置の継続的な実施を確保するために必要な措置は、次に掲げる措置とす

置の継続的な実施を確保するために必要な措置は、次に掲げる措置とす

る。

る。

一

当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること。

切かつ合理的な方法により、定期的に確認すること。

当該第三者による相当措置の実施に支障が生じたときは、必要かつ二

当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データ（第三十一条第二項において読み替困難となったときは、個人データ（第三十一条第二項において読み替

えて準用する場合にあっては、個人関連情報）の当該第三者への提供

えて準用する場合にあっては、個人関連情報）の当該第三者への提供を停止すること。

を停止すること。

法第二十八条第三項の規定により情報を提供する方法は、電磁的記録

２

法第二十八条第三項の規定により情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。
３

当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適二

２

一の提供による方法、書面の交付による方法その他の適切な方法とする。

個人情報取扱事業者は、法第二十八条第三項の規定による求めを受け

３

個人情報取扱事業者は、法第二十八条第三項の規定による求めを受けたときは、本人に対し、遅滞なく、次に掲げる事項について情報提供したときは、本人に対し、遅滞なく、次に掲げる事項について情報提供しなければならない。ただし、情報提供することにより当該個人情報取扱なければならない。ただし、情報提供することにより当該個人情報取扱

事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、
30

その全部又は一部を提供しないことができる。

その全部又は一部を提供しないことができる。

一

当該第三者による法第二十八条第一項に規定する体制の整備の方法

一

当該第三者による法第二十八条第一項に規定する体制の整備の方法

二

当該第三者が実施する相当措置の概要

二

当該第三者が実施する相当措置の概要

三第一項第一号の規定による確認の頻度及び方法

三第一項第一号の規定による確認の頻度及び方法

四

当該外国の名称四

当該外国の名称五

当該第三者による相当措置の実施に影響を及ぼすおそれのある当該

五

当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要

外国の制度の有無及びその概要

六

当該第三者による相当措置の実施に関する支障の有無及びその概要

六

当該第三者による相当措置の実施に関する支障の有無及びその概要

七

前号の支障に関して第一項第二号の規定により当該個人情報取扱事

七

前号の支障に関して第一項第二号の規定により当該個人情報取扱事

業者が講ずる措置の概要
４

業者が講ずる措置の概要

個人情報取扱事業者は、法第二十八条第三項の規定による求めに係る

４

個人情報取扱事業者は、法第二十八条第三項の規定による求めに係る情報の全部又は一部について提供しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

対し、遅滞なく、その旨を通知しなければならない。

５

情報の全部又は一部について提供しない旨の決定をしたときは、本人に個人情報取扱事業者は、前項の規定により、本人から求められた情報

５

個人情報取扱事業者は、前項の規定により、本人から求められた情報の全部又は一部について提供しない旨を通知する場合には、本人に対し、の全部又は一部について提供しない旨を通知する場合には、本人に対し、その理由を説明するよう努めなければならない。

その理由を説明するよう努めなければならない。

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

・国保連合会等が、法第２８条の規定に基づき、外国にある第三者に個・国保連合会等が、法第２８条の規定に基づき、外国にある第三者に個

人データを提供する場合には、法第２７条第１項各号（※）に定める人データを提供する場合には、法第２７条第１項各号（※）に定める

場合を除き、外国にある第三者へ提供することについて本人の同意を場合を除き、外国にある第三者へ提供することについて本人の同意を得なければならない。

得なければならない。

・ただし、次の①又は②のいずれかに該当する場合は、国内と同様に法・ただし、次の①又は②のいずれかに該当する場合は、国内と同様に法第２７条第１項柱書の規定に基づく本人同意による第三者提供、又は第２７条第１項柱書の規定に基づく本人同意による第三者提供、又は同条第５項に基づく委託、共同利用による提供が可能である。

同条第５項に基づく委託、共同利用による提供が可能である。
31

①外国にある第三者が、日本と同等の水準にあると認められる個人情報保護制度を有している国として規則で定める国にある場合①外国にある第三者が日本と同等の水準にあると認められる個人情報保護制度を有している国として個人情報の保護に関する法律施行規則（平成２８年個人情報保護委員会規則第３号。以下「規則」という。）
で定める国にある場合②外国にある第三者が、個人情報取扱事業者が講ずべき措置に相当する②外国にある第三者が、個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制として規則で定める基準に適措置を継続的に講ずるために必要な体制として規則で定める基準に適合する体制を整備している場合合する体制を整備している場合（※）法第２７条第１項各号（※）法第２７条第１項各号

・法令（条例を含む。
）に基づいて個人データを提供する場合（第１号関・法令に基づいて個人データを提供する場合（第１号関係）

係）
（略）

（略）

９．第三者提供に係る記録の作成等（法第２９条）

９．第三者提供に係る記録の作成等（法第２９条）

詳細は、別途定める「個人情報の保護に関する法律についてのガイドライ

詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」（平成２８年個人情報保護委員会告ン（第三者提供時の確認・記録義務編）」（平成２８年個人情報保護委員会告示第８号）を参照のこと。

示第８号）を参照のこと。

32

（第三者提供に係る記録の作成等）（第三者提供に係る記録の作成等）

法第二十九条 個人情報取扱事業者は、個人データを第三者（第十六条第法第二十九条 個人情報取扱事業者は、個人データを第三者（第十六条第二項各号に掲げる者を除く。略）に提供したときは、個人情報保護委員

二項各号に掲げる者を除く。略）に提供したときは、個人情報保護委員会規則で定めるところにより、当該個人データを提供した年月日、当該会規則で定めるところにより、当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。ただし、当該個人データの提供

関する記録を作成しなければならない。ただし、当該個人データの提供

が第二十七条第一項各号又は第五項各号のいずれか（略）に該当する場

が第二十七条第一項各号又は第五項各号のいずれか（略）に該当する場

合は、この限りでない。

合は、この限りでない。

２

個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個

２

人情報保護委員会規則で定める期間保存しなければならない。

個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個
人情報保護委員会規則で定める期間保存しなければならない。

（第三者提供に係る記録の作成）（第三者提供に係る記録の作成）

規則第十九条 法第二十九条第一項の規定による同項の記録を作成する方

規則第十九条 法第二十九条第一項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法と法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法と

する。

する。

２

法第二十九条第一項の記録は、個人データを第三者（略）に提供した

２

法第二十九条第一項の記録は、個人データを第三者（略）に提供した
都度、速やかに作成しなければならない。ただし、当該第三者に対し個人データを継続的に若しくは反復して提供（略）したとき、又は当該第人データを継続的に若しくは反復して提供（略）したとき、又は当該第三者に対し個人データを継続的に若しくは反復して提供することが確実

三者に対し個人データを継続的に若しくは反復して提供することが確実であると見込まれるときの記録は、一括して作成することができる。

であると見込まれるときの記録は、一括して作成することができる。

３

都度、速やかに作成しなければならない。ただし、当該第三者に対し個前項の規定にかかわらず、法第二十七条第一項又は法第二十八条第一３

前項の規定にかかわらず、法第二十七条第一項又は法第二十八条第一項の規定により、本人に対する物品又は役務の提供に関連して当該本人項の規定により、本人に対する物品又は役務の提供に関連して当該本人に係る個人データを第三者に提供した場合において、当該提供に関してに係る個人データを第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に次条第一項各号に定める事項が記載さ作成された契約書その他の書面に次条第一項各号に定める事項が記載さ33れているときは、当該書面をもって法第二十九条第一項の当該事項に関れているときは、当該書面をもって法第二十九条第一項の当該事項に関する記録に代えることができる。

する記録に代えることができる。

（第三者提供に係る記録事項）（第三者提供に係る記録事項）

規則第二十条 法第二十九条第一項の個人情報保護委員会規則で定める事

規則第二十条 法第二十九条第一項の個人情報保護委員会規則で定める事

項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。

事項とする。

一

一

法第二十七条第二項の規定により個人データを第三者に提供した場

法第二十七条第二項の規定により個人データを第三者に提供した場

合次のイからニまでに掲げる事項

合次のイからニまでに掲げる事項

イ

当該個人データを提供した年月日

イ

当該個人データを提供した年月日

ロ

当該第三者の氏名又は名称及び住所並びに法人にあっては、そのロ

当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあ

代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。第十八条の四第一項第三号においっては、その代表者又は管理人。第十八条の四第一項第三号において同じ。
）の氏名（不特定かつ多数の者に対して提供したときは、そて同じ。）の氏名（不特定かつ多数の者に対して提供したときは、そ

の旨）

の旨）

ハ

当該個人データによって識別される本人の氏名その他の当該本人

ハを特定するに足りる事項
ニ二を特定するに足りる事項

当該個人データの項目

ニ

法第二十七条第一項又は法第二十八条第一項の規定により個人デー

タを第三者に提供した場合
イ

二次のイ及びロに掲げる事項

２

当該個人データの項目
法第二十七条第一項又は法第二十八条第一項の規定により個人デー

タを第三者に提供した場合

法第二十七条第一項又は法第二十八条第一項の本人の同意を得て

イ

いる旨
ロ

当該個人データによって識別される本人の氏名その他の当該本人

次のイ及びロに掲げる事項

法第二十七条第一項又は法第二十八条第一項の本人の同意を得ている旨

前号ロからニまでに掲げる事項

ロ

前項各号に定める事項のうち、既に前条に規定する方法により作成し

２
34

前号ロからニまでに掲げる事項

前項各号に定める事項のうち、既に前条に規定する方法により作成した法第二十九条第一項の記録（当該記録を保存している場合におけるもた法第二十九条第一項の記録（当該記録を保存している場合におけるものに限る。
）に記録されている事項と内容が同一であるものについては、のに限る。
）に記録されている事項と内容が同一であるものについては、同項の当該事項の記録を省略することができる。

法第二十九条第一項の当該事項の記録を省略することができる。

（第三者提供に係る記録の保存期間）（第三者提供に係る記録の保存期間）

規則第二十一条

規則第二十一条

法第二十九条第二項の個人情報保護委員会規則で定め

法第二十九条第二項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号にる期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とする。

定める期間とする。

一

一第十九条第三項に規定する方法により記録を作成した場合 最後に第十九条第三項に規定する方法により記録を作成した場合 最後に

当該記録に係る個人データの提供を行った日から起算して一年を経過

当該記録に係る個人データの提供を行った日から起算して一年を経過する日までの間する日までの間

二第十九条第二項ただし書に規定する方法により記録を作成した場合

二第十九条第二項ただし書に規定する方法により記録を作成した場合

最後に当該記録に係る個人データの提供を行った日から起算して三年最後に当該記録に係る個人データの提供を行った日から起算して三年を経過する日までの間を経過する日までの間

三

前二号以外の場合 三年三（１）記録義務が適用されない場合

前二号以外の場合 三年（１）記録義務が適用されない場合

以下の場合には記録義務が適用されない。

以下の場合には記録義務が適用されない。

①第三者が法第１６条第２項各号に掲げる者である場合①第三者が法第１６条第２項各号に掲げる者である場合

以下の１）から４）までに掲げる者との間で個人データの授受を行う場合、記録義務は適用されない。

以下の１）から４）までに掲げる者との間で個人データの授受を行う場合、記録義務は適用されない。

１）国の機関（法第１６条第２項第１号関係）

１）国の機関（法第１６条第２項第１号関係）

２）地方公共団体（法第１６条第２項第２号関係）

２）地方公共団体（法第１６条第２項第２号関係）

３）独立行政法人等（独立行政法人通則法（平成１１年法律第１３）独立行政法人等（独立行政法人通則法（平成１１年法律第１０３号）第２条第１項に規定する独立行政法人及び法別表第０３号）第２条第１項に規定する独立行政法人及び法別表第35１に掲げる法人（法別表第２に掲げる法人を除く。
）をいう。）

１に掲げる法人（法別表第２に掲げる法人を除く。
）をいう。）（法第１６条第２項第３号関係）（法第１６条第２項第３号関係）

４）地方独立行政法人（地方独立行政法人法（平成１５年法律第４）地方独立行政法人（地方独立行政法人法（平成１５年法律第１１８号）第 2 条第 1 項に規定する地方独立行政法人をいい、

１１８号）第２条第１項に規定する地方独立行政法人をい同法第２１条第１号に掲げる業務を主たる目的とするもの又う。）（法第１６条第２項第４号関係）は同条第２号若しくは第３号（チに係る部分に限る。
）に掲げる業務を目的とするものを除く。）（法第１６条第２項第４号
関係）②法第２７条第１項各号に該当する場合（Ⅳ９．
（２）参照）②法第２７条第１項各号に該当する場合（Ⅳ９．
（２）参照）

個人データが転々流通することは想定されにくいことに鑑み、記録義
務は適用されない。

個人データが転々流通することは想定されにくいことに鑑み、記録義
務は適用されない。

１）法令（条例を含む。
）に基づいて個人データを提供する場合（第１）法令に基づいて個人データを提供する場合（第１号関係）

１号関係）
２）～７） （略）２）～７） （略）

③

（略）

③

（略）

④

本人に代わって提供している場合④

本人に代わって提供している場合

国保連合会等が被保険者本人からの委託等に基づき当該本人の個人デ国保連合会等が被保険者本人からの委託等に基づき当該本人の個人データを第三者提供する場合は、当該国保連合会等は「本人に代わって」

ータを第三者提供する場合は、当該個人情報取扱事業者は「本人に代わ個人データの提供をしているものである。

って」個人データの提供をしているものである。

したがって、この場合の第三者提供については、記録義務は適用されしたがって、この場合の第三者提供については、記録義務は適用され

ない。

ない。

（例）

（例）

・第三者求償事務（損保会社等へのレセプトのコピー提出）⑤

・第三者求償事務（損保会社等へのレセプトのコピー提出）

（略）

⑤
36

（略）

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

（略）

（略）

１０ （略）

１０ （略）

１１．保有個人データに関する事項の公表等（法第３２条）

１１．保有個人データに関する事項の公表等（法第３２条）（保有個人データに関する事項の公表等）（保有個人データに関する事項の公表等）

法第三十二条 個人情報取扱事業者は、保有個人データに関し、次に掲げ

法第三十二条 個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回る事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）に置かなければならない。

答する場合を含む。
）に置かなければならない。

一一

当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名

当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名

二 全ての保有個人データの利用目的（第二十一条第四項第一号から第二 全ての保有個人データの利用目的（第二十一条第四項第一号から第三号までに該当する場合を除く。
）

三号までに該当する場合を除く。）

三 次項の規定による求め又は次条第一項（同条第五項において準用す

三 次項の規定による求め又は次条第一項（同条第五項において準用する場合を含む。
）、第三十四条第一項若しくは第三十五条第一項、第三る場合を含む。）、第三十四条第一項若しくは第三十五条第一項、第三項若しくは第五項の規定による請求に応じる手続（第三十八条第二項

項若しくは第五項の規定による請求に応じる手続（第三十八条第二項の規定により手数料の額を定めたときは、その手数料の額を含む。）の規定により手数料の額を定めたときは、その手数料の額を含む。）

四 前三号に掲げるもののほか、保有個人データの適正な取扱いの確保

四 前三号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの
２

に関し必要な事項として政令で定めるもの

個人情報取扱事業者は、本人から、当該本人が識別される保有個人デ２

個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、こータの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、次の各号のいずれかに該当するれを通知しなければならない。ただし、次の各号のいずれかに該当する

場合は、この限りでない。

場合は、この限りでない。

一

一

前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合

前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合
37

二 第二十一条第四項第一号から第三号までに該当する場合
３

二 第二十一条第四項第一号から第三号までに該当する場合

個人情報取扱事業者は、前項の規定に基づき求められた保有個人デー

３

個人情報取扱事業者は、前項の規定に基づき求められた保有個人デー

タの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なタの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

く、その旨を通知しなければならない。

（保有個人データの適正な取扱いの確保に関し必要な事項）（保有個人データの適正な取扱いの確保に関し必要な事項）

令第十条 法第三十二条第一項第四号の政令で定めるものは、次に掲げる

令第十条 法第三十二条第一項第四号の政令で定めるものは、次に掲げるものとする。

ものとする。

一

一

法第二十三条の規定により保有個人データの安全管理のために講法第二十三条の規定により保有個人データの安全管理のために講じた措置（本人の知り得る状態（本人の求めに応じて遅滞なく回答す

じた措置（本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）に置くことにより当該保有個人データの安全管理にる場合を含む。）に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。
）

支障を及ぼすおそれがあるものを除く。
）

二

当該個人情報取扱事業者が行う保有個人データの取扱いに関する

二

苦情の申出先三

当該個人情報取扱事業者が行う保有個人データの取扱いに関する苦情の申出先当該個人情報取扱事業者が認定個人情報保護団体の対象事業者で三

当該個人情報取扱事業者が認定個人情報保護団体の対象事業者である場合にあっては、当該認定個人情報保護団体の名称及び苦情の解ある場合にあっては、当該認定個人情報保護団体の名称及び苦情の解

決の申出先

決の申出先

【法の規定により遵守すべき事項】【法の規定により遵守すべき事項】

・国保連合会等は、保有個人データに関し、(ｱ)当該国保連合会等の名称、・国保連合会等は、保有個人データに関し、(ｱ)当該個人情報取扱事業者

住所及び代表者の氏名、(ｲ)全ての保有個人データの利用目的（法第２の氏名又は名称並びに法人にあっては、その代表者の氏名、(ｲ)全ての１条第４項第１号から第３号までに規定された例外の場合を除く。）、保有個人データの利用目的（法第２１条第４項第１号から第３号まで(ｳ)保有個人データの利用目的の通知、開示、訂正、利用停止等の手続に規定された例外の場合を除く。）、(ｳ)保有個人 データの利用目的のの方法、及び保有個人データの利用目的の通知又は開示に係る手数料

通知、開示、訂正、利用停止等の手続の方法、及び保有個人データのの額、(ｴ)苦情の申出先等について、本人の知り得る状態（本人の求め

利用目的の通知又は開示に係る手数料の額、(ｴ)苦情の申出先等につい38

に応じて遅滞なく回答する場合を含む。
）に置かなければならない。

て、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。

・国保連合会等は、本人から、当該本人が識別される保有個人データの・国保連合会等は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、上記の措置により利用目的が明

利用目的の通知を求められたときは、上記の措置により利用目的が明らかになっている場合及び法第２１条第４項第１号から第３号までのらかになっている場合及び法第２１条第４項第１号から第３号までの例外に相当する場合を除き、遅滞なく通知しなければならない。

例外に相当する場合を除き、遅滞なく通知しなければならない。

・国保連合会等は、利用目的の通知をしない旨の決定をしたときは、本・国保連合会等は、利用目的の通知をしない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

人に対し、遅滞なく、その旨を通知しなければならない。

・法施行前から保有している個人情報についても同様の取扱いを行う。
【その他の事項】

・法施行前から保有している個人情報についても同様の取扱いを行う。
【その他の事項】（略）（略）

１２．本人からの請求による保有個人データ等の開示（法第３３条）

１２．本人からの請求による保有個人データ等の開示（法第３３条）

（開示）

（開示）

法第三十三条 本人は、個人情報取扱事業者に対し、当該本人が識別され法第三十三条 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの電磁的記録の提供による方法その他の個人情報保る保有個人データの電磁的記録の提供による方法その他の個人情報保

護委員会規則で定める方法による開示を請求することができる。

護委員会規則で定める方法による開示を請求することができる。

２

個人情報取扱事業者は、前項の規定による請求を受けたときは、本人

２

個人情報取扱事業者は、前項の規定による請求を受けたときは、本人に対し、同項の規定により当該本人が請求した方法（当該方法による開に対し、同項の規定により当該本人が請求した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難であ示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）により、遅滞なく、当該保る場合にあっては、書面の交付による方法）により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しない

次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。

ことができる。

一 本人又は第三者の生命、身体、財産その他の権利利益を害するおそ一 本人又は第三者の生命、身体、財産その他の権利利益を害するおそ39

れがある場合
二

れがある場合当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼ二

すおそれがある場合

すおそれがある場合

三 他の法令に違反することとなる場合
３

当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼ三 他の法令に違反することとなる場合

個人情報取扱事業者は、第一項の規定による請求に係る保有個人デー

３

個人情報取扱事業者は、第一項の規定による請求に係る保有個人デー

タの全部若しくは一部について開示しない旨の決定をしたとき、当該保タの全部若しくは一部について開示しない旨の決定をしたとき、当該保有個人データが存在しないとき、又は同項の規定により本人が請求した

有個人データが存在しないとき、又は同項の規定により本人が請求した方法による開示が困難であるときは、本人に対し、遅滞なく、その旨を方法による開示が困難であるときは、本人に対し、遅滞なく、その旨を通知しなければならない。

通知しなければならない。

４

他の法令の規定により、本人に対し第二項本文に規定する方法に相当

４

他の法令の規定により、本人に対し第二項本文に規定する方法に相当

する方法により当該本人が識別される保有個人データの全部又は一部する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている場合には、当該全部又は一部の保有個人デを開示することとされている場合には、当該全部又は一部の保有個人データについては、第一項及び第二項の規定は、適用しない。

ータについては、第一項及び第二項の規定は、適用しない。

５

第一項から第三項までの規定は、当該本人が識別される個人データに５第一項から第三項までの規定は、当該本人が識別される個人データに係る第二十九条第一項及び第三十条第三項の記録（その存否が明らかに係る第二十九条第一項及び第三十条第三項の記録（その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるなることにより公益その他の利益が害されるものとして政令で定めるものを除く。第三十七条第二項において「第三者提供記録」という。）にものを除く。第三十七条第二項において「第三者提供記録」という。）について準用する。

ついて準用する。

（第三者提供記録から除外されるもの）（第三者提供記録から除外されるもの）

令第十一条 法第三十三条第五項の政令で定めるものは、次に掲げるもの

令第十一条 法第三十三条第五項の政令で定めるものは、次に掲げるもの

とする。

とする。

一

一

当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの

当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの
40

二

当該記録の存否が明らかになることにより、違法又は不当な行為を二助長し、又は誘発するおそれがあるもの
三

当該記録の存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの

当該記録の存否が明らかになることにより、国の安全が害されるお三

当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他

それ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの

国若しくは国際機関との交渉上不利益を被るおそれがあるもの

四

当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は四

当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるも捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるものの（本人が請求することができる開示の方法）（本人が請求することができる開示の方法）

規則第三十条 法第三十三条第一項（同条第五項において準用する場合を

規則第三十条 法第三十三条第一項（同条第五項において準用する場合を含む。）の個人情報保護委員会規則で定める方法は、電磁的記録の提供含む。）の個人情報保護委員会規則で定める方法は、電磁的記録の提供

による方法、書面の交付による方法その他当該個人情報取扱事業者の定による方法、書面の交付による方法その他当該個人情報取扱事業者の定める方法とする。

める方法とする。

（１）・（２） （略）（１）・（２） （略）（３）レセプトや介護給付費明細書等の開示について（３）レセプトや介護給付費明細書等の開示について

法第３３条第２項により開示の対象となるのは「保有個人データ」であ

法第３３条第２項により開示の対象となるのは「保有個人データ」であるが、国保連合会等が取り扱うレセプトや介護給付費明細書等は「保有個るが、国保連合会等が取り扱うレセプトや介護給付費明細書等は「保有個人データ」に該当しない。
（Ⅱ７．参照）

人データ」に該当しない。
（Ⅱ７．参照）

したがって、レセプトや介護給付費明細書等の開示の請求を受けたときしたがって、レセプトや介護給付費明細書等の開示の請求を受けたときは、法第３３条第２項に基づき、保有個人データが存在しない旨を当該本は、法第３３条第２項に基づき、保有個人データが存在しない旨を当該本人に対して知らせることとなる。

人に対して知らせることとなる。

なお、この場合において、開示の請求を審査業務等の委託元である保険

なお、この場合において、開示の請求を審査業務等の委託元である保険者に対して行うべきことを本人に説明することが望ましい。訂正や利用停者に対して行うべきことを本人に説明することが望ましい。訂正や利用停

41

止等の請求があった場合も、同様の対応となる。

止等の請求があった場合も、同様の対応となる。

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

・国保連合会等は、本人から、当該本人が識別される保有個人データの開・国保連合会等は、本人から、当該本人が識別される保有個人データの開示の請求を受けたときは、本人に対し、遅滞なく、当該保有個人データ示の請求を受けたときは、本人に対し、遅滞なく、当該保有個人データを開示しなければならない。また、当該本人が識別される保有個人デー

を開示しなければならない。また、当該本人が識別される保有個人デー

タが存在しないときにもその旨知らせることとする。ただし、開示するタが存在しないときにもその旨知らせることとする。ただし、開示することにより、法第３３条第２項各号のいずれかに該当する場合は、そのことにより、法第３３条第２項各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。

全部又は一部を開示しないことができる。

・開示の方法は、電磁的記録の提供による方法、書面の交付による方法その他国保連合会等の定める方法による。

・開示の方法は、電磁的記録の提供による方法、書面の交付による方法その他当該個人情報取扱事業者の定める方法による。

・国保連合会等は、請求を受けた保有個人データの全部又は一部について

・国保連合会等は、請求を受けた保有個人データの全部又は一部について開示しない旨を決定したときは、本人に対し、遅滞なく、その旨を通知

開示しない旨を決定したときは、本人に対し、遅滞なく、その旨を通知しなければならない。また、本人に通知する場合には、本人に対してそしなければならない。また、本人に通知する場合には、本人に対してその理由を説明するよう努めなければならない（Ⅲ１５．参照）。

の理由を説明するよう努めなければならない（Ⅲ１５．参照）。

・他の法令の規定により、保有個人データの開示について定めがある場合には、当該法令の規定によるものとする。

・他の法令の規定により、保有個人データの開示について定めがある場合には、当該法令の規定によるものとする。

【その他の事項】【その他の事項】（略）（略）

１３ （略）

１３ （略）

１４．開示等の請求等に応じる手続及び手数料（法第３７条、第３８条）

１４．開示等の請求等に応じる手続及び手数料（法第３７条、第３８条）（開示等の請求等に応じる手続）（開示等の請求等に応じる手続）

法第三十七条 個人情報取扱事業者は、第三十二条第二項の規定による求法第三十七条 個人情報取扱事業者は、第三十二条第二項の規定による求め又は第三十三条第一項（同条第五項において準用する場合を含む。次め又は第三十三条第一項（同条第五項において準用する場合を含む。次42

条第一項及び第三十九条において同じ。）、第三十四条第一項若しくは第三十五条第一項、第三項若しくは第五項の規定による請求（以下この条

三十五条第一項、第三項若しくは第五項の規定による請求（以下この条及び第五十四条第一項において「開示等の請求等」という。）に関し、政及び第五十四条第一項において「開示等の請求等」という。）に関し、政令で定めるところにより、その求め又は請求を受け付ける方法を定める

令で定めるところにより、その求め又は請求を受け付ける方法を定めることができる。この場合において、本人は、当該方法に従って、開示等ことができる。この場合において、本人は、当該方法に従って、開示等の請求等を行わなければならない。

の請求等を行わなければならない。

２

条第一項及び第三十九条において同じ。）、第三十四条第一項若しくは第個人情報取扱事業者は、本人に対し、開示等の請求等に関し、その対

２

個人情報取扱事業者は、本人に対し、開示等の請求等に関し、その対象となる保有個人データ又は第三者提供記録を特定するに足りる事項の提示を求めることができる。この場合において、個人情報取扱事業者の提示を求めることができる。この場合において、個人情報取扱事業者

は、本人が容易かつ的確に開示等の請求等をすることができるよう、当は、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データ又は当該第三者提供記録の特定に資する情報の提供

該保有個人データ又は当該第三者提供記録の特定に資する情報の提供

その他本人の利便を考慮した適切な措置をとらなければならない。

その他本人の利便を考慮した適切な措置をとらなければならない。

３

象となる保有個人データ又は第三者提供記録を特定するに足りる事項

開示等の請求等は、政令で定めるところにより、代理人によってする

３

ことができる。

開示等の請求等は、政令で定めるところにより、代理人によってする

４

ことができる。

個人情報取扱事業者は、前三項の規定に基づき開示等の請求等に応じ４

個人情報取扱事業者は、前三項の規定に基づき開示等の請求等に応じる手続を定めるに当たっては、本人に過重な負担を課するものとならなる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。

いよう配慮しなければならない。

（手数料）

（手数料）

法第三十八条 個人情報取扱事業者は、第三十二条第二項の規定による利法第三十八条 個人情報取扱事業者は、第三十二条第二項の規定による利用目的の通知を求められたとき又は第三十三条第一項の規定による開用目的の通知を求められたとき又は第三十三条第一項の規定による開示の請求を受けたときは、当該措置の実施に関し、手数料を徴収するこ示の請求を受けたときは、当該措置の実施に関し、手数料を徴収することができる。

とができる。

２

個人情報取扱事業者は、前項の規定により手数料を徴収する場合は、

２

実費を勘案して合理的であると認められる範囲内において、その手数料

個人情報取扱事業者は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料43の額を定めなければならない。

の額を定めなければならない。

（開示等の請求等を受け付ける方法）（開示等の請求等を受け付ける方法）

令第十二条

令第十二条

法第三十七条第一項の規定により個人情報取扱事業者が開法第三十七条第一項の規定により個人情報取扱事業者が開示等の請求等を受け付ける方法として定めることができる事項は、次に示等の請求等を受け付ける方法として定めることができる事項は、次に掲げるとおりとする。

掲げるとおりとする。

一

開示等の請求等の申出先

一

開示等の請求等の申出先

二

開示等の請求等に際して提出すべき書面（電磁的記録を含む。第三二

開示等の請求等に際して提出すべき書面（電磁的記録を含む。第三十五条第一項及び第四十条第三項において同じ。）の様式その他の開十三条第一項及び第三十八条第三項において同じ。）の様式その他の示等の請求等の方式

開示等の請求等の方式

三

開示等の請求等をする者が本人又は次条に規定する代理人である

三ことの確認の方法
四

開示等の請求等をする者が本人又は次条に規定する代理人である

ことの確認の方法

法第三十八条第一項の手数料の徴収方法

四法第三十八条第一項の手数料の徴収方法（開示等の請求等をすることができる代理人）（開示等の請求等をすることができる代理人）

令第十三条

令第十三条

法第三十七条第三項の規定により開示等の請求等をするこ

法第三十七条第三項の規定により開示等の請求等をすることができる代理人は、次に掲げる代理人とする。

とができる代理人は、次に掲げる代理人とする。

一

未成年者又は成年被後見人の法定代理人

一

未成年者又は成年被後見人の法定代理人

二

開示等の請求等をすることにつき本人が委任した代理人

二

開示等の請求等をすることにつき本人が委任した代理人

（略）

（略）

１５ （略）

１５ （略）

Ⅳ

Ⅳ （略）

（略）

別表１・別表２ （略）別表１・別表２ （略）44