○国民健康保険組合における個人情報の適切な取扱いのためのガイダンス（平成 29 年４月 14 日付け個情第 540 号・保発 0414 第 16 号個人情報保護委員会事
務局長・厚生労働省保険局長通知別添）新旧対照表（下線の部分は改正部分）
改正後

改正前

目次

目次

Ⅰ・Ⅱ （略）Ⅰ・Ⅱ （略）Ⅲ

Ⅲ 国保組合の義務等

国保組合の義務等
１

（略）

１ （略）
２．不適切な利用の禁止（法第１９条）

３～１５ （略）３～１５ （略）Ⅳ

２．不適正な利用の禁止（法第１９条）
（略）

Ⅳ （略）

別表１・２ （略）別表１・２ （略）Ⅰ

Ⅰ 本ガイダンスの趣旨、目的、基本的考え方

本ガイダンスの趣旨、目的、基本的考え方

１．本ガイダンスの趣旨

１．本ガイダンスの趣旨

本ガイダンスは、「個人情報の保護に関する法律」（平成１５年法律第５本ガイダンスは、「個人情報の保護に関する法律」（平成１５年法律第５７号。以下「法」という。
）及び「行政手続における特定の個人を識別する７号。以下「法」という。
）及び「行政手続における特定の個人を識別するための番号の利用等に関する法律」（平成２５年法律第２７号。以下「番号ための番号の利用等に関する法律」（平成２５年法律第２７号。以下「番号法」という。）を踏まえ、「個人情報の保護に関する法律についてのガイド法」という。）を踏まえ、「個人情報の保護に関する法律についてのガイド

ライン（通則編）」（平成２８年個人情報保護委員会告示第６号。以下「通ライン（通則編）」（平成２８年個人情報保護委員会告示第６号。
（以下「通則ガイドライン」という。
）を基礎とし、法第６条及び第９条の規定に基づ

則ガイドライン」という。
）を基礎とし、法第６条及び第９条の規定に基づき、国民健康保険組合（以下「国保組合」という。
）が行う個人情報の適正き、国民健康保険組合（以下「国保組合」という。
）が行う個人情報の適正な取扱いの確保に関する活動を支援するための具体的な留意点・事例等をな取扱いの確保に関する活動を支援するための具体的な留意点・事例等を示すものである。

示すものである。

（略）

（略）

２・３ （略）

２・３ （略）

４．本ガイダンスの対象となる「個人情報」の範囲

４．本ガイダンスの対象となる「個人情報」の範囲

法令上「個人情報」とは、生存する個人に関する情報であり、個人情報取法令上「個人情報」とは、生存する個人に関する情報であり、個人情報取扱事業者の義務等の対象となるのは、生存する個人に関する情報に限定され扱事業者の義務等の対象となるのは、生存する個人に関する情報に限定され

ている。

ている。

なお、当該被保険者が死亡した後においても、国保組合が当該被保険者等

なお、当該被保険者が死亡した後においても、国保組合が当該被保険者等の情報を保存している場合には、漏えい、滅失又は毀損の防止のため、個人の情報を保存している場合には、漏えい、滅失又は毀損等の防止のため、個情報と同等の安全管理措置を講ずるものとする。

人情報と同等の安全管理措置を講ずるものとする。

５．個人情報保護委員会の権限行使との関係

５．個人情報保護委員会の権限行使との関係

本ガイダンス中、国保組合が【法の規定により遵守すべき事項等】に記

本ガイダンス中、国保組合が【法の規定により遵守すべき事項等】に記載された内容のうち、国保組合の義務とされている内容を個人情報取扱事載された内容のうち、国保組合の義務とされている内容を個人情報取扱事業者としての義務を負う国保組合が遵守しない場合、個人情報保護委員会

業者としての義務を負う国保組合が遵守しない場合、個人情報保護委員会

は、法第１４６条から第１４８条までの規定に基づき、「報告徴収」、「立入は、法第１４３条から第１４５条までの規定に基づき、「報告徴収」、
「立入

検査」
、
「指導」
、
「助言」
、
「勧告」及び「命令」を行うことがある。

検査」、
「指導」、
「助言」、
「勧告」及び「命令」を行うことがある。

また、法第１５０条第１項の規定に基づき、法第１４６条第１項の規定

また、法第１４７条第１項の規定に基づき、法第１４３条第１項の規定による権限が個人情報保護委員会から事業所管大臣に委任された場合にによる権限が個人情報保護委員会から事業所管大臣に委任された場合には、厚生労働大臣が「報告徴収」及び「立入検査」を行うことができる。

は、厚生労働大臣が「報告徴収」及び「立入検査」を行うことができる。

さらに、法第１７０条及び「個人情報の保護に関する法律施行令」（平成

さらに、法第１６５条及び「個人情報の保護に関する法律施行令」（平成１５年政令第５０７号。以下「令」という。）第４０条に基づき、法第１４１５年政令第５０７号。以下「令」という。）第３８条に基づき、法第１４６条第１項に規定する個人情報保護委員会の権限及び法第１５０条第１項

３条第１項に規定する個人情報保護委員会の権限及び法第１４７条第１項の規定により事業所管大臣に委任された権限に属する事務は、個人情報取の規定により事業所管大臣に委任された権限に属する事務は、個人情報取扱事業者が行う事業であって事業所管大臣が所管するものについての報告

扱事業者が行う事業であって事業所管大臣が所管するものについての報告の徴収及び立入検査に係る権限に属する事務の全部又は一部が、他の法令の徴収及び立入検査に係る権限に属する事務の全部又は一部が、他の法令

2

の規定により地方公共団体の長その他の執行機関が行うこととされているの規定により地方公共団体の長その他の執行機関が行うこととされているときは、当該地方公共団体の長等が法に基づく報告徴収及び立入検査を行ときは、当該地方公共団体の長等が法に基づく報告徴収及び立入検査を行うことがある。

うことがある。

６～１０ （略）６～１０ （略）Ⅱ

用語の定義

Ⅱ 用語の定義

１・２ （略）

１・２ （略）

３．要配慮個人情報（法第２条第３項）

３．要配慮個人情報（法第２条第３項）

（定義）

（定義）

法第二条

法第二条

３

３

この法律において「要配慮個人情報」とは、本人の人種、信条、社会

この法律において「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をに配慮を要するものとして政令で定める記述等が含まれる個人情報を

いう。

いう。

令第二条 法第二条第三項の政令で定める記述等は、次に掲げる事項のい令第二条 法第二条第三項の政令で定める記述等は、次に掲げる事項のいずれかを内容とする記述等（本人の病歴又は犯罪の経歴に該当するもの

ずれかを内容とする記述等（本人の病歴又は犯罪の経歴に該当するもの

を除く。
）とする。

を除く。）とする。

一

一

身体障害、知的障害、精神障害（発達障害を含む。）その他の個人情報保護委員会規則で定める心身の機能の障害があること。
二

身体障害、知的障害、精神障害（発達障害を含む。）その他の個人情報保護委員会規則で定める心身の機能の障害があること。

本人に対して医師その他医療に関連する職務に従事する者（次号に二本人に対して医師その他医療に関連する職務に従事する者（次号において「医師等」という。
）により行われた疾病の予防及び早期発見

おいて「医師等」という。）により行われた疾病の予防及び早期発見のための健康診断その他の検査（同号において「健康診断等」という。）のための健康診断その他の検査（同号において「健康診断等」という。）

の結果

の結果
3

三

健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を三

健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと。

導又は診療若しくは調剤が行われたこと。

四本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴四の提起その他の刑事事件に関する手続が行われたこと。
五

本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと。

本人を少年法（昭和２３年法律第１６８号）第三条第一項に規定す

五

本人を少年法（昭和２３年法律第１６８号）第三条第一項に規定する少年又はその疑いのある者として、調査、観護の措置、審判、保護る少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと。

処分その他の少年の保護事件に関する手続が行われたこと。

規則第五条

令第二条第一号の個人情報保護委員会規則で定める心身の規則第五条

令第二条第一号の個人情報保護委員会規則で定める心身の機能の障害は、次に掲げる障害とする。

機能の障害は、次に掲げる障害とする。

一

一

身体障害者福祉法（昭和２４年法律第２８３号）別表に掲げる身体上の障害

身体障害者福祉法（昭和２４年法律第２８３号）別表に掲げる身体

上の障害

二

知的障害者福祉法（昭和３５年法律第３７号）にいう知的障害

二知的障害者福祉法（昭和３５年法律第３７号）にいう知的障害

三

精神保健及び精神障害者福祉に関する法律（昭和２５年法律第１２三

精神保健及び精神障害者福祉に関する法律（昭和２５年法律第１２３号）にいう精神障害（発達障害者支援法（平成１６年法律第１６７３号）にいう精神障害（発達障害者支援法（平成１６年法律第１６７号）第二条第一項に規定する発達障害を含み、前号に掲げるものを除号）第二条第一項に規定する発達障害を含み、前号に掲げるものを除

く。
）

く。）

四

治療方法が確立していない疾病その他の特殊の疾病であって障害四治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生活及び社会生活を総合的に支援するための法律（平成１７

者の日常生活及び社会生活を総合的に支援するための法律（平成１７年法律第１２３号）第四条第一項の政令で定めるものによる障害の程

年法律第１２３号）第四条第一項の政令で定めるものによる障害の程度が同項の厚生労働大臣が定める程度であるもの

度が同項の厚生労働大臣が定める程度であるもの「要配慮個人情報」とは、不当な差別や偏見その他の不利益が生じない「要配慮個人情報」とは、不当な差別や偏見その他の不利益が生じない

ようにその取扱いに特に配慮を要するものとして法第２条第３項、令第２ようにその取扱いに特に配慮を要するものとして法第２条第３項、政令第4条及び規則第５条で定める記述等が含まれる個人情報をいう。なお、国保２条及び規則第５条で定める記述等が含まれる個人情報をいう。なお、国組合において想定される要配慮個人情報に該当する情報とは、レセプト等

保組合において想定される要配慮個人情報に該当する情報とは、レセプトに掲載された病歴、犯罪により害を被った事実、申請書等により確認した等に掲載された病歴、犯罪により害を被った事実、申請書等により確認し障害（身体障害、知的障害、精神障害等）の事実、健康診断の結果及び健た障害（身体障害、知的障害、精神障害等）の事実、健康診断の結果及び康診断後の措置（医師による改善指導又は診療、調剤）が行われた事実等

健康診断後の措置（医師による改善指導又は診療、調剤）が行われた事実が挙げられる。

等が挙げられる。

（略）（略）

４～７ （略）

４～７ （略）

８．本人の同意

８．本人の同意（略）（略）【本人の同意を得ている事例】【本人の同意を得ている事例】

（略）

（略）

【要配慮個人情報における本人の同意について】【要配慮個人情報における本人の同意について】国保組合が要配慮個人情報を書面又は口頭等により本人から適正に直接国保組合が要配慮個人情報を書面又は口頭等により本人から適正に直接取得する場合は、本人が当該情報を提供したことをもって、当該国保組合取得する場合は、本人が当該情報を提供したことをもって、当該個人情報が当該情報を取得することについて本人の同意があったものと解される。

取扱事業者が当該情報を取得することについて本人の同意があったものと
解される。

Ⅲ

国保組合の義務等

Ⅲ 国保組合の義務等

１．利用目的の特定等（法第１７条、第１８条）

１．利用目的の特定等（法第１７条、第１８条）（利用目的の特定）（利用目的の特定）法第十七条 個人情報取扱事業者は、個人情報を取り扱うに当たっては、

法第十七条 個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなけ

その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。

ればならない。
5

２

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用

２

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用

目的と関連性を有すると合理的に認められる範囲を超えて行ってはな

目的と関連性を有すると合理的に認められる範囲を超えて行ってはな

らない。

らない。

（利用目的による制限）（利用目的による制限）

法第十八条 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、

法第十八条 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。

個人情報を取り扱ってはならない。

２

個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事

２

個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事

業者から事業を承継することに伴って個人情報を取得した場合は、あ業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用

らかじめ本人の同意を得ないで、承継前における当該個人情報の利用

目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはなら

目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはなら

ない。

ない。

３

前二項の規定は、次に掲げる場合については、適用しない。

３

前二項の規定は、次に掲げる場合については、適用しない。

一 法令（条例を含む。以下この章において同じ。）に基づく場合

一 法令に基づく場合

二二人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三

本人の同意を得ることが困難であるとき。

公衆衛生の向上又は児童の健全な育成の推進のために特に必要があ

三る場合であって、本人の同意を得ることが困難であるとき。
四

人の生命、身体又は財産の保護のために必要がある場合であって、公衆衛生の向上又は児童の健全な育成の推進のために特に必要があ

る場合であって、本人の同意を得ることが困難であるとき。

国の機関若しくは地方公共団体又はその委託を受けた者が法令の定

四国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれが本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれが

あるとき。

あるとき。

五

当該個人情報取扱事業者が学術研究機関等である場合であって、当五該個人情報を学術研究の用に供する目的（以下この章において「学術当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下この章において「学術6研究目的」という。
）で取り扱う必要があるとき（当該個人情報を取り研究目的」という。
）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

不当に侵害するおそれがある場合を除く。）。

六

学術研究機関等に個人データを提供する場合であって、当該学術研

六

学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき

究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

（１） 利用目的の特定及び制限（１） 利用目的の特定及び制限

国保組合が保険給付等を希望する被保険者から個人情報を取得する場

国保組合が保険給付等を希望する被保険者から個人情報を取得する場

合、当該個人情報を被保険者に対する保険給付等の提供、国保組合の保険合、当該個人情報を被保険者に対する保険給付等の提供、国保組合の保険給付等に係る事務や番号法に基づく個人番号の利用などで利用することは給付等に係る事務や番号法に基づく個人番号の利用などで利用することは被保険者にとって明らかと考えられる。

被保険者にとって明らかと考えられる。

これら以外で個人情報を利用する場合は、被保険者にとって必ずしも明これら以外で個人情報を利用する場合は、被保険者にとって必ずしも明らかな利用目的とはいえない。この場合は、個人情報を取得するに当たっ

らかな利用目的とはいえない。この場合は、個人情報を取得するに当たって明確に当該利用目的の公表等の措置が講じられなければならない。（Ⅲて明確に当該利用目的の公表等の措置が講じられなければならない。（Ⅲ

３．参照）

３．参照）

国保組合の通常の業務で想定される利用目的は別表２に例示されるもの

国保組合の通常の業務で想定される利用目的は別表２に例示されるものであり、国保組合は、これらを参考として、自らの業務に照らして通常必であり、国保組合は、これらを参考として、自らの業務に照らして通常必要とされるものを特定して公表しなければならない。（Ⅲ３．参照）

要とされるものを特定して公表しなければならない。（Ⅲ３．参照）

なお、別表２に掲げる利用目的の範囲について法第１７条第２項に定めなお、別表２に掲げる利用目的の範囲について法第１５条第２項に定める利用目的の変更を行う場合、変更された利用目的については、本人へ通る利用目的の変更を行う場合、変更された利用目的については、本人へ通知又は公表しなければならない。
（Ⅲ３．参照）

知又は公表しなければならない。（Ⅲ３．参照）

7

（２）利用目的による制限の例外（２）利用目的による制限の例外

国保組合は、あらかじめ本人の同意を得ないで法第１７条の規定により国保組合は、あらかじめ本人の同意を得ないで法第１７条の規定により特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱っては特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならないが（法第１８条第１項）、同条第３項に掲げる場合については、本ならないが（法第１８条第１項）、同条第３項に掲げる場合については、本人の同意を得る必要はない。具体的な例としては以下のとおりである。

人の同意を得る必要はない。具体的な例としては以下のとおりである。

①法令（条例を含む。
）に基づく場合①法令に基づく場合

（略）

（略）

②～⑤ （略）②～⑤ （略）（略）（略）

２．不適正な利用の禁止（法第１９条）

２．不適切な利用の禁止（法第１９条）（不適正な利用の禁止）（不適正な利用の禁止）

法第十九条 個人情報取扱事業者は、違法又は不当な行為を助長し、又は法第十九条 個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。

誘発するおそれがある方法により個人情報を利用してはならない。

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

・国保組合は、違法又は不当な行為を助長し、又は誘発するおそれがあ・国保組合は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。

る方法により個人情報を利用してはならない。

・「違法又は不当な行為」とは、法その他の法令に違反する行為、及び直・「違法又は不当な行為」とは、法その他の法令に違反する行為、及び直ちに違法とはいえないものの、法その他の法令の制度趣旨又は公序良ちに違法とはいえないものの、法その他の法令の制度趣旨又は公序良

俗に反する等、社会通念上適正とは認められない行為をいう。

俗に反する等、社会通念上適正とは認められない行為をいう。

・「おそれ」の有無は、個人情報取扱事業者による個人情報の利用が、違・「おそれ」の有無は、個人情報取扱事業者による個人情報の利用が、違法又は不当な行為を助長又は誘発することについて、社会通念上蓋然法又は不当な行為を助長又は誘発することについて、社会通念上蓋然性が認められるか否かにより判断される。この判断に当たっては、個性が認められるか否かにより判断される。この判断に当たっては、個

人情報の利用方法等の客観的な事情に加えて、個人情報の利用時点に人情報の利用方法等の客観的な事情に加えて、個人情報の利用時点に8

おける個人情報取扱事業者の認識及び予見可能性も踏まえる必要があおける個人情報取扱事業者の認識及び予見可能性も踏まえる必要がある。例えば、個人情報取扱事業者が第三者に個人情報を提供した場合る。例えば、個人情報取扱事業者が第三者に個人情報を提供した場合

において、当該第三者が当該個人情報を違法な行為に用いた場合であにおいて、当該第三者が当該個人情報を違法な行為に用いた場合であっても、当該第三者が当該個人情報の取得目的を偽っていた等、当該っても、当該第三者が当該個人情報の取得目的を偽っていた等、当該個人情報の提供の時点において、提供した個人情報が違法に利用され個人情報の提供の時点において、提供した個人情報が違法に利用されることについて、当該個人情報取扱事業者が一般的な注意力をもってることについて、当該個人情報取扱事業者が一般的な注意力をもってしても予見できない状況であった場合には、「おそれ」は認められない

しても予見できない状況であった場合には、「おそれ」は認められないと解される。

と解される。

（違法又は不当な行為を助長し、又は誘発するおそれがある方法により個（違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例）

人情報を利用している事例）

事例１）

事例１）

違法行為を営むことが疑われる事業者に対し、当該事業者の違法行為を営むことが疑われる事業者に対し、当該事業者の違法な行為を助長するおそれが想定されるにもかかわらず、個

違法な行為を助長するおそれが想定されるにも関わらず、個人

人情報を提供する場合

情報を提供する場合

事例２） 個人情報を提供した場合、提供先において法第２７条第 1 項

事例２） 個人情報を提供した場合、提供先において法第２７条第 1 項に違反する第三者提供がなされることを予見できるにもかかわに違反する第三者提供がなされることを予見できるにかかわららず、当該提供先に対して、個人情報を提供する場合

ず、当該提供先に対して、個人情報を提供する場合

事例３）

個人情報を取得した国保組合が、性別、国籍等の特定の属性

事例３）

個人情報を取得した国保組合が、性別、国籍等の特定の属性のみにより、正当な理由なく本人に対する違法な差別的取扱いのみにより、正当な理由なく本人に対する違法な差別的取扱いを行うために、個人情報を利用する場合を行うために、個人情報を利用する場合

３・４ （略）

３・４ （略）

５．安全管理措置、従業者の監督及び委託先の監督（法第２３条～第２５条） ５．安全管理措置、従業者の監督及び委託先の監督（法第２３条～第２５条）

9

（安全管理措置）（安全管理措置）法第二十三条 個人情報取扱事業者は、その取り扱う個人データの漏えい、法第二十三条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

切な措置を講じなければならない。

（従業者の監督）（従業者の監督）

法第二十四条 個人情報取扱事業者は、その従業者に個人データを取り扱

法第二十四条 個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

従業者に対する必要かつ適切な監督を行わなければならない。

（委託先の監督）（委託先の監督）

法第二十五条 個人情報取扱事業者は、個人データの取扱いの全部又は一

法第二十五条 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなけ図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

ればならない。

（１）国保組合が講ずるべき安全管理措置等（１）国保組合が講ずるべき安全管理措置等①安全管理措置①安全管理措置国保組合は、その取り扱う個人データの漏えい、滅失又は毀損の防止

国保組合は、その取り扱う個人データの漏えい、滅失又は毀損の防止

その他の個人データの安全管理のため、組織的、人的、物理的及び技術

その他の個人データの安全管理のため、組織的、人的、物理的、及び技的安全管理措置等を講じなければならない。また、外国において個人デ術的安全管理措置等を講じなければならない。また、外国において個人

ータを取り扱う場合には、外的環境の把握を行ったうえで、これらの安データを取り扱う場合には、外的環境の把握を行ったうえで、これらの全管理措置を講じなければならない。その際、本人の個人データが漏え

安全管理措置を講じなければならない。その際、本人の個人データが漏い、滅失又は毀損をした場合に本人が被る権利利益の侵害の大きさを考えい、滅失又は毀損等をした場合に本人が被る権利利益の侵害の大きさ

慮し、事業の性質及び個人データの取扱い状況等に起因するリスクに応を考慮し、事業の性質及び個人データの取扱い状況等に起因するリスク

じ、必要かつ適切な措置を講ずるものとする。なお、その際には、個人に応じ、必要かつ適切な措置を講ずるものとする。なお、その際には、データを記録した媒体の性質に応じた安全管理措置を講ずる。

個人データを記録した媒体の性質に応じた安全管理措置を講ずる。
10

②・③ （略）②・③ （略）（２） （略）（２） （略）（３） 業務を委託する場合の取扱い（３） 業務を委託する場合の取扱い

① （略）

① （略）

②業務を委託する場合の留意事項②業務を委託する場合の留意事項

国保組合等は、個人データの取扱いの全部又は一部を委託する場合、国保組合等関係事業者は、個人データの取扱いの全部又は一部を委託

以下の事項に留意すべきである。

する場合、以下の事項に留意すべきである。

・個人情報を適切に取り扱っている事業者を委託先（受託者）として選・個人情報を適切に取り扱っている事業者を委託先（受託者）として選定すること。委託先の選定に当たっては、委託先の安全管理措置が、定すること。委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第２３条で求められているものと同様であることを確認

少なくとも法第２３条で求められているものと同様であることを確認するため、委託先の体制、規程等の確認に加え、必要に応じて個人デするため、委託先の体制、規程等の確認に加え、必要に応じて個人データを取り扱う場所に赴く又はこれに代わる合理的な方法による確認

ータを取り扱う場所に赴く又はこれに代わる合理的な方法による確認を行った上で、個人情報取扱責任者等が、適切に評価することが望まを行った上で、個人情報取扱責任者等が、適切に評価することが望ま

しい。

しい。

・契約において、委託している業務の内容、委託先事業者、個人情報の・契約において、委託している業務の内容、委託先事業者、個人情報の適切な取扱いに関する内容を盛り込み（委託期間中のほか、委託終了

適切な取扱いに関する内容を盛り込み（委託期間中のほか、委託終了

後の個人データの取扱いも含む。
）、契約内容を公表すること。

後の個人データの取扱いも含む。）、契約内容を公表すること。

・受託者が個人情報を適切に取り扱っていることを定期的に確認すること。

・受託者が個人情報を適切に取り扱っていることを定期的に確認すること。

・受託者における個人情報の取扱いに疑義が生じた場合（被保険者等か・受託者における個人情報の取扱いに疑義が生じた場合（被保険者等からの申出があり、確認の必要があると考えられる場合を含む。）には、らの申出があり、確認の必要があると考えられる場合を含む。）には、受託者に対し、説明を求め、必要に応じ改善を求める等適切な措置を受託者に対し、説明を求め、必要に応じ改善を求める等適切な措置を

とること。

とること。

・また、委託するに当たっては、本来必要とされる情報の範囲に限って
11

・また、委託するに当たっては、本来必要とされる情報の範囲に限って

提供すべきであり、情報提供する上で必要とされていない事項につい提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないよう努めること。

てまで他の事業者に提供することがないよう努めること。

＊国保組合における業者委託に関する通知＊国保組合における業者委託に関する通知

（略）

（略）

③ （略）

③ （略）

（４） （略）（４） （略）

６．漏えい等の報告等（法第２６条）

６．漏えい等の報告等（法第２６条）

12

（漏えい等の報告等）（漏えい等の報告等）

法第二十六条 個人情報取扱事業者は、その取り扱う個人データの漏えい、法第二十六条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところに定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者又ない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けは行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該た場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知し事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。

たときは、この限りでない。

２

前項に規定する場合には、個人情報取扱事業者（同項ただし書の規定

２

前項に規定する場合には、個人情報取扱事業者（同項ただし書の規定による通知をした者を除く。
）は、本人に対し、個人情報保護委員会規則による通知をした者を除く。）は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知しなければならない。

で定めるところにより、当該事態が生じた旨を通知しなければならない。

ただし、本人への通知が困難な場合であって、本人の権利利益を保護す

ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

るため必要なこれに代わるべき措置をとるときは、この限りでない。

規則第七条 法第二十六条第一項本文の個人の権利利益を害するおそれが規則第七条 法第二十六条第一項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号の大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。

いずれかに該当するものとする。

一

一

要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人

要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第一項において同じ。
）の漏えい、滅失若しくは毀損（以の条及び次条第一項において同じ。
）の漏えい、滅失若しくは毀損（以下この条及び次条第一項において「漏えい等」という。
）が発生し、又下この条及び次条第一項において「漏えい等」という。
）が発生し、又13

は発生したおそれがある事態
二は発生したおそれがある事態

不正に利用されることにより財産的被害が生じるおそれがある個人

二

データの漏えい等が発生し、又は発生したおそれがある事態
三

データの漏えい等が発生し、又は発生したおそれがある事態

不正の目的をもって行われたおそれがある個人データの漏えい等が三発生し、又は発生したおそれがある事態
四

不正に利用されることにより財産的被害が生じるおそれがある個人
不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態

個人データに係る本人の数が千人を超える漏えい等が発生し、又は四発生したおそれがある事態

個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態

規則第八条 個人情報取扱事業者は、法第二十六条第一項本文の規定によ

規則第八条 個人情報取扱事業者は、法第二十六条第一項本文の規定による報告をする場合には、前条各号に定める事態を知った後、速やかに、る報告をする場合には、前条各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。次条において同じ。）を報告しなければならない。

握しているものに限る。次条において同じ。）を報告しなければならない。

一

概要

一

概要

二

漏えい等が発生し、又は発生したおそれがある個人データの項目

二

漏えい等が発生し、又は発生したおそれがある個人データの項目

三

漏えい等が発生し、又は発生したおそれがある個人データに係る本三漏えい等が発生し、又は発生したおそれがある個人データに係る本

人の数

人の数

原因

四

原因

五

二次被害又はそのおそれの有無及びその内容

五

二次被害又はそのおそれの有無及びその内容

六

本人への対応の実施状況

六

本人への対応の実施状況

七

公表の実施状況

七

公表の実施状況

八

再発防止のための措置

八

再発防止のための措置

九

その他参考となる事項

九

その他参考となる事項

２

四

前項の場合において、個人情報取扱事業者は、当該事態を知った日か

２

前項の場合において、個人情報取扱事業者は、当該事態を知った日から三十日以内（当該事態が前条第三号に定めるものである場合にあってら三十日以内（当該事態が前条第三号に定めるものである場合にあっては、六十日以内）に、当該事態に関する前項各号に定める事項を報告しは、六十日以内）に、当該事態に関する前項各号に定める事項を報告し14なければならない。
３

なければならない。

法第二十六条第一項本文の規定による報告は、次の各号に掲げる場合

３

法第二十六条第一項本文の規定による報告は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める方法により行うものとする。

の区分に応じ、それぞれ当該各号に定める方法により行うものとする。

一

一

個人情報保護委員会に報告する場合

電子情報処理組織(個人情報

個人情報保護委員会に報告する場合

電子情報処理組織(個人情報保護委員会の使用に係る電子計算機と報告をする者の使用に係る電子保護委員会の使用に係る電子計算機と報告をする者の使用に係る電子計算機とを電気通信回線で接続した電子情報処理組織をいう。以下こ計算機とを電気通信回線で接続した電子情報処理組織をいう。以下この項において同じ。
）を使用する方法（電気通信回線の故障、災害そのの項において同じ。
）を使用する方法（電気通信回線の故障、災害その他の理由により電子情報処理組織を使用することが困難であると認め他の理由により電子情報処理組織を使用することが困難であると認められる場合にあっては、別記様式第一による報告書を提出する方法）

られる場合にあっては、別記様式第一による報告書を提出する方法）

二法第百五十条第一項の規定により、法第二十六条第一項の規定による権限の委任を受けた事業所管大臣に報告する場合

二

別記様式第一に

法第百四十七条第一項の規定により、法第二十六条第一項の規定による権限の委任を受けた事業所管大臣に報告する場合

別記様式第一

よる報告書を提出する方法（当該事業所管大臣が別に定める場合にあによる報告書を提出する方法（当該事業所管大臣が別に定める場合にっては、その方法）

あっては、その方法）

規則第九条 個人情報取扱事業者は、法第二十六条第一項ただし書の規定

規則第九条 個人情報取扱事業者は、法第二十六条第一項ただし書の規定による通知をする場合には、第七条各号に定める事態を知った後、速やによる通知をする場合には、第七条各号に定める事態を知った後、速やかに、前条第一項各号に定める事項を通知しなければならない。

かに、前条第一項各号に定める事項を通知しなければならない。

規則第十条 個人情報取扱事業者は、法第二十六条第二項本文の規定によ

規則第十条 個人情報取扱事業者は、法第二十六条第二項本文の規定による通知をする場合には、第七条各号に定める事態を知った後、当該事態る通知をする場合には、第七条各号に定める事態を知った後、当該事態の状況に応じて速やかに、当該本人の権利利益を保護するために必要なの状況に応じて速やかに、当該本人の権利利益を保護するために必要な範囲において、第八条第一項第一号、第二号、第四号、第五号及び第九範囲において、第八条第一項第一号、第二号、第四号、第五号及び第九号に定める事項を通知しなければならない。

号に定める事項を通知しなければならない。

（略）

（略）

【法の規定により遵守すべき事項】【法の規定により遵守すべき事項】

（略）

（略）
15

７．個人データの第三者提供（法第２７条）

７．個人データの第三者提供（法第２７条）

16

（第三者提供の制限）（第三者提供の制限）

法第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あら法第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならな

かじめ本人の同意を得ないで、個人データを第三者に提供してはならな

い。

い。

一

法令に基づく場合

一

法令に基づく場合

二人の生命、身体又は財産の保護のために必要がある場合であって、二人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三

本人の同意を得ることが困難であるとき。

公衆衛生の向上又は児童の健全な育成の推進のために特に必要があ

三る場合であって、本人の同意を得ることが困難であるとき。
四

公衆衛生の向上又は児童の健全な育成の推進のために特に必要があ

る場合であって、本人の同意を得ることが困難であるとき。

国の機関若しくは地方公共団体又はその委託を受けた者が法令の定

四国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれが本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれが

あるとき。

あるとき。

五

当該個人情報取扱事業者が学術研究機関等である場合であって、当五

当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除ないとき（個人の権利利益を不当に侵害するおそれがある場合を除

く。
）
。

く。）。

六

当該個人情報取扱事業者が学術研究機関等である場合であって、当六

当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき（当該個人デ該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人のータを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報

権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。）。

取扱事業者と当該第三者が共同して学術研究を行う場合に限る。）。

七

当該第三者が学術研究機関等である場合であって、当該第三者が当

七該個人データを学術研究目的で取り扱う必要があるとき（当該個人デ当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人デ17

２ータを取り扱う目的の一部が学術研究目的である場合を含み、個人のータを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

権利利益を不当に侵害するおそれがある場合を除く。）。

個人情報取扱事業者は、第三者に提供される個人データについて、本２

個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を

人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、個人

停止することとしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。ただし、第三者に提供される個人データが要配

提供することができる。ただし、第三者に提供される個人データが要配慮個人情報又は第二十条第一項の規定に違反して取得されたもの若しく慮個人情報又は第二十条第一項の規定に違反して取得されたもの若しく

は他の個人情報取扱事業者からこの項本文の規定により提供されたもの

は他の個人情報取扱事業者からこの項本文の規定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む。）である場合は、（その全部又は一部を複製し、又は加工したものを含む。）である場合は、

この限りでない。

この限りでない。

一

一

第三者への提供を行う個人情報取扱事業者の氏名又は名称及び住所

第三者への提供を行う個人情報取扱事業者の氏名又は名称及び住所

並びに法人にあっては、その代表者（法人でない団体で代表者又は管並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。以下この理人の定めのあるものにあっては、その代表者又は管理人。以下この条、第三十条第一項第一号及び第三十二条第一項第一号において同条、第三十条第一項第一号及び第三十二条第一項第一号において同

じ。
）の氏名

じ。）の氏名二

第三者への提供を利用目的とすること。

二

第三者への提供を利用目的とすること。

三

第三者に提供される個人データの項目

三

第三者に提供される個人データの項目

四第三者に提供される個人データの取得の方法

四

第三者に提供される個人データの取得の方法

五

第三者への提供の方法

五

第三者への提供の方法

六

本人の求めに応じて当該本人が識別される個人データの第三者への六本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。

提供を停止すること。
18

七

本人の求めを受け付ける方法

七

本人の求めを受け付ける方法

八その他個人の権利利益を保護するために必要なものとして個人情報

八その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則で定める事項
３

保護委員会規則で定める事項

個人情報取扱事業者は、前項第一号に掲げる事項に変更があったとき

３

個人情報取扱事業者は、前項第一号に掲げる事項に変更があったとき

又は同項の規定による個人データの提供をやめたときは遅滞なく、同項又は同項の規定による個人データの提供をやめたときは遅滞なく、同項第三号から第五号まで、第七号又は第八号に掲げる事項を変更しようと

第三号から第五号まで、第七号又は第八号に掲げる事項を変更しようとするときはあらかじめ、その旨について、個人情報保護委員会規則で定するときはあらかじめ、その旨について、個人情報保護委員会規則で定めるところにより、本人に通知し、又は本人が容易に知り得る状態に置めるところにより、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。

くとともに、個人情報保護委員会に届け出なければならない。

４

個人情報保護委員会は、第二項の規定による届出があったときは、個４

個人情報保護委員会は、第二項の規定による届出があったときは、個

人情報保護委員会規則で定めるところにより、当該届出に係る事項を公人情報保護委員会規則で定めるところにより、当該届出に係る事項を公表しなければならない。前項の規定による届出があったときも、同様と表しなければならない。前項の規定による届出があったときも、同様と

する。

する。

５

次に掲げる場合において、当該個人データの提供を受ける者は、前各５次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。

項の規定の適用については、第三者に該当しないものとする。

一

一

個人情報取扱事業者が利用目的の達成に必要な範囲内において個人

個人情報取扱事業者が利用目的の達成に必要な範囲内において個人
データの取扱いの全部又は一部を委託することに伴って当該個人デー

タが提供される場合

タが提供される場合

二

データの取扱いの全部又は一部を委託することに伴って当該個人デー
合併その他の事由による事業の承継に伴って個人データが提供され二る場合

合併その他の事由による事業の承継に伴って個人データが提供され三る場合特定の者との間で共同して利用される個人データが当該特定の者に三

特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人デー提供される場合であって、その旨並びに共同して利用される個人デー

タの項目、共同して利用する者の範囲、利用する者の利用目的並びにタの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住当該個人データの管理について責任を有する者の氏名又は名称及び住19

所並びに法人にあっては、その代表者の氏名について、あらかじめ、所並びに法人にあっては、その代表者の氏名について、あらかじめ、

本人に通知し、又は本人が容易に知り得る状態に置いているとき。

本人に通知し、又は本人が容易に知り得る状態に置いているとき。

６

個人情報取扱事業者は、前項第三号に規定する個人データの管理につ

６

個人情報取扱事業者は、前項第三号に規定する個人データの管理について責任を有する者の氏名、名称若しくは住所又は法人にあっては、そいて責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったときは遅滞なく、同号に規定する利用すの代表者の氏名に変更があったときは遅滞なく、同号に規定する利用する者の利用目的又は当該責任を有する者を変更しようとするときはあらる者の利用目的又は当該責任を有する者を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状

かじめ、その旨について、本人に通知し、又は本人が容易に知り得る状

態に置かなければならない。

態に置かなければならない。

規則第十一条 法第二十七条第二項又は第三項の規定による通知又は容易

規則第十一条 法第二十七条第二項又は第三項の規定による通知又は容易に知り得る状態に置く措置は、次に掲げるところにより、行うものとすに知り得る状態に置く措置は、次に掲げるところにより、行うものとす

る。

る。

一

第三者に提供される個人データによって識別される本人（次号にお一

第三者に提供される個人データによって識別される本人（次号において「本人」という。
）が当該提供の停止を求めるのに必要な期間をおいて「本人」という。
）が当該提供の停止を求めるのに必要な期間をお

くこと。

くこと。

二

本人が法第二十七条第二項各号に掲げる事項を確実に認識できる適二切かつ合理的な方法によること。
２

本人が法第二十七条第二項各号に掲げる事項を確実に認識できる適切かつ合理的な方法によること。

法第二十七条第二項又は第三項の規定による届出は、次に掲げる方法

２

法第二十七条第二項又は第三項の規定による届出は、次に掲げる方法のいずれかにより行わなければならない。

のいずれかにより行わなければならない。

一

一

電子情報処理組織（個人情報保護委員会の使用に係る電子計算機と電子情報処理組織（個人情報保護委員会の使用に係る電子計算機と届出を行う者の使用に係る電子計算機とを電気通信回線で接続した電届出を行う者の使用に係る電子計算機とを電気通信回線で接続した電子情報処理組織をいう。
）を使用する方法

子情報処理組織をいう。
）を使用する方法

二

別記様式第二（法第二十七条第三項の規定による個人データの提供

二

別記様式第二（法第二十七条第三項の規定による個人データの提供をやめた旨の届出を行う場合にあっては、別記様式三）による届出書をやめた旨の届出を行う場合にあっては、別記様式三）による届出書及び当該届出書に記載すべき事項を記録した光ディスク（これに準ず及び当該届出書に記載すべき事項を記録した光ディスク（これに準ず20る方法により一定の事項を確実に記録しておくことができる物を含る方法により一定の事項を確実に記録しておくことができる物を含む。以下「光ディスク等」という。
）を提出する方法

む。以下「光ディスク等」という。
）を提出する方法

３

個人情報取扱事業者が、代理人によって法第二十七条第二項又は第三３

個人情報取扱事業者が、代理人によって法第二十七条第二項又は第三項の規定による届出を行う場合には、別記様式第四によるその権限を証項の規定による届出を行う場合には、別記様式第四によるその権限を証する書面（電磁的記録を含む。第十七条第一項、第十八条第二項、第三する書面（電磁的記録を含む。第十七条第一項、第十八条第二項、第三十条、第四十七条第一項、第四十八条第二項、第五十四条第二項、第六十条、第四十七条第一項、第四十八条第二項、第五十四条第二項、第六項及び第七項、第六十条並びに第六十六条第二項を除き、以下同じ。
）を項及び第七項、第六十条並びに第六十六条第二項を除き、以下同じ。
）を

個人情報保護委員会に提出しなければならない。

個人情報保護委員会に提出しなければならない。

４

法第二十七条第二項第八号の個人情報保護委員会規則で定める事項

４

法第二十七条第二項第八号の個人情報保護委員会規則で定める事項

は、次に掲げる事項とする。

は、次に掲げる事項とする。

一

第三者に提供される個人データの更新の方法

一

第三者に提供される個人データの更新の方法

二

当該届出に係る個人データの第三者への提供を開始する予定日

二

当該届出に係る個人データの第三者への提供を開始する予定日

規則第十三条 法第二十七条第四項の規定による公表は、同条第二項又は規則第十三条 法第二十七条第四項の規定による公表は、同条第二項又は第三項の規定による届出があった後、遅滞なく、インターネットの利用

第三項の規定による届出があった後、遅滞なく、インターネットの利用

その他の適切な方法により行うものとする。

その他の適切な方法により行うものとする。

規則第十四条 個人情報取扱事業者は、法第二十七条第四項の規定による

規則第十四条 個人情報取扱事業者は、法第二十七条第四項の規定による公表がされた後、速やかに、インターネットの利用その他の適切な方法公表がされた後、速やかに、インターネットの利用その他の適切な方法により、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定めにより、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項を公表するものとする。

る事項を公表するものとする。

一

一

法第二十七条第二項の規定による届出を行った場合 同項各号に掲

げる事項
二

げる事項

法第二十七条第三項の規定による変更の届出を行った場合 変更後

二の同条第二項各号に掲げる事項
三

法第二十七条第二項の規定による届出を行った場合 同項各号に掲
法第二十七条第三項の規定による変更の届出を行った場合 変更後の同条第二項各号に掲げる事項

法第二十七条第三項の規定による個人データの提供をやめた旨の届

三21

法第二十七条第三項の規定による個人データの提供をやめた旨の届

出を行った場合 その旨出を行った場合 その旨（１）第三者提供の取扱い（１）第三者提供の取扱い

国保組合は、あらかじめ本人の同意を得ないで、個人データを第三者に国保組合は、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならないとされており、次のような場合には、本人の同意を得提供してはならないとされており、次のような場合には、本人の同意を得る必要がある。

る必要がある。

（例）（例）

・民間保険会社からの照会

・民間保険会社からの照会

被保険者が民間の生命保険に加入しようとする場合、生命保険会社

被保険者が民間の生命保険に加入しようとする場合、生命保険会社からその健康状態等について照会があった場合、本人の同意を得ずにからその健康状態等について照会が合った場合、本人の同意を得ずに

健康状態等を回答してはならない。

健康状態等を回答してはならない。

交通事故によって、けがの治療を受けている被保険者等に関して、交通事故によって、けがの治療を受けている被保険者等に関して、損害保険会社から損害保険金の支払いの審査のために必要であるとし損害保険会社から損害保険金の支払いの審査のために必要であるとして症状に関する照会があった場合、本人の同意を得ず傷病名等を回答て症状に関する照会があった場合、本人の同意を得ず傷病名等を回答してはならない。

してはならない。

・事業所からの照会

・事業所からの照会

事業主等から、組合員の傷病名等に関する問合せがあった場合など、本人の同意を得ずに傷病名等を回答してはならない。

事業主等から、組合員の傷病名等に関する問合せがあった場合など、本人の同意を得ずに傷病名等を回答してはならない。

・学校からの照会・学校からの照会

学校の教職員等から、児童・生徒の健康状態に関する問合せがあっ学校の教職員等から、児童・生徒の健康状態に関する問合せがあった場合など、本人の同意を得ずに健康状態等を回答してはならない。

た場合など、本人の同意を得ずに健康状態等を回答してはならない。

・マーケティング等を目的とする会社等からの照会

・マーケティング等を目的とする会社等からの照会
22健康食品の販売を目的とする会社から、高血圧の被保険者等の存在

健康食品の販売を目的とする会社から、高血圧の被保険者等の存在の有無について照会された場合など、本人の同意を得ずにその存在のの有無について照会された場合など、本人の同意を得ずにその存在の有無やその氏名・住所等を回答してはならない。

有無やその氏名・住所等を回答してはならない。

※

本条の「本人」、「第三者」の定義※

本条の「本人」、「第三者」の定義

・「本人」
・・・個人データで識別される個人。

・「本人」・・・個人データで識別される個人。

・「第三者」
・・・本人及び個人情報取扱事業者以外の者をいい、自然・「第三者」・・・本人及び個人情報取扱事業者以外の者をいい、自然

人か法人その他の団体かを問わない。

人か法人その他の団体かを問わない。

（２）第三者提供の例外（２）第三者提供の例外

ただし、次に掲げる場合については、本人の同意を得る必要はない。

ただし、次に掲げる場合については、本人の同意を得る必要はない。

①法令（条例を含む。
）に基づく場合①法令に基づく場合

国民健康保険法第１０６条に基づく報告の徴収等、法令に基づいて個人情報を利用する場合（Ⅲ１．
（２）①参照）

国民健康保険法第１０６条に基づく報告の徴収等、法令に基づいて個人情報を利用する場合（Ⅲ１．
（２）①参照）②～⑦ （略）②～⑦ （略）（３）～（５） （略）（３）～（５） （略）８．外国にある第三者への提供の制限（法第２８条）

８．外国にある第三者への提供の制限（法第２８条）

詳細は、別途定める「個人情報の保護に関する法律についてのガイドライ

詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」（平成２８年個人情報保護委員会告示第ン（外国にある第三者への提供編）」（平成２８年個人情報保護委員会告示第７号）を参照のこと。

７号）を参照のこと。

（参考）

（参考）

（外国にある第三者への提供の制限）（外国にある第三者への提供の制限）

法第二十八条 個人情報取扱事業者は、外国（本邦の域外にある国又は地法第二十八条 個人情報取扱事業者は、外国（本邦の域外にある国又は地域をいう。以下この条及び第三十一条第一項第二号において同じ。）（個域をいう。以下この条及び第三十一条第一項第二号において同じ。）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人の権利利益を保護する上で我が国と同等の水準にあると認められる個23

人情報の保護に関する制度を有している外国として個人情報保護委員会

規則で定めるものを除く。以下この条及び同号において同じ。）にある第規則で定めるものを除く。以下この条及び同号において同じ。）にある第三者（個人データの取扱いについてこの節の規定により個人情報取扱事

三者（個人データの取扱いについてこの節の規定により個人情報取扱事

業者が講ずべきこととされている措置に相当する措置（第三項において業者が講ずべきこととされている措置に相当する措置（第三項において「相当措置」という。
）を継続的に講ずるために必要なものとして個人情「相当措置」という。
）を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者を除

報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この項及び次項並びに同号において同じ。
）に個人データを提供

く。以下この項及び次項並びに同号において同じ。
）に個人データを提供する場合には、前条第一項各号に掲げる場合を除くほか、あらかじめ外する場合には、前条第一項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならな国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は、適用しない。

い。この場合においては、同条の規定は、適用しない。

２

人情報の保護に関する制度を有している外国として個人情報保護委員会

個人情報取扱事業者は、前項の規定により本人の同意を得ようとする

２

個人情報取扱事業者は、前項の規定により本人の同意を得ようとする
場合には、個人情報保護委員会規則で定めるところにより、あらかじめ、

当該外国における個人情報の保護に関する制度、当該第三者が講ずる個

当該外国における個人情報の保護に関する制度、当該第三者が講ずる個

人情報の保護のための措置その他当該本人に参考となるべき情報を当該人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。

本人に提供しなければならない。

３場合には、個人情報保護委員会規則で定めるところにより、あらかじめ、

個人情報取扱事業者は、個人データを外国にある第三者（第一項に規３

個人情報取扱事業者は、個人データを外国にある第三者（第一項に規定する体制を整備している者に限る。
）に提供した場合には、個人情報保定する体制を整備している者に限る。）に提供した場合には、個人情報保

護委員会規則で定めるところにより、当該第三者による相当措置の継続

護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならな応じて当該必要な措置に関する情報を当該本人に提供しなければならな

い。

い。

規則第十五条 法第二十八条第一項の規定による個人情報の保護に関する規則第十五条 法第二十八条第一項の規定による個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものは、制度を有している外国として個人情報保護委員会規則で定めるものは、次の各号のいずれにも該当する外国として個人情報保護委員会が定める次の各号のいずれにも該当する外国として個人情報保護委員会が定める24

ものとする。

ものとする。

一一

法における個人情報取扱事業者に関する規定に相当する法令その他の定めがあり、その履行が当該外国内において確保されていると認めの定めがあり、その履行が当該外国内において確保されていると認めるに足りる状況にあること。

るに足りる状況にあること

二

個人情報保護委員会に相当する独立した外国執行当局が存在してお二

個人情報保護委員会に相当する独立した外国執行当局が存在しており、かつ、当該外国執行当局において必要かつ適切な監督を行うため

り、かつ、当該外国執行当局において必要かつ適切な監督を行うための体制が確保されていること。

の体制が確保されていること

三

我が国との間において、個人情報の適正かつ効果的な活用と個人の三

我が国との間において、個人情報の適正かつ効果的な活用と個人の権利利益の保護に関する相互理解に基づく連携及び協力が可能である

権利利益の保護に関する相互理解に基づく連携及び協力が可能であると認められるものであること。

と認められるものであること

四

個人情報の保護のために必要な範囲を超えて国際的な個人データの四

個人情報の保護のために必要な範囲を超えて国際的な個人データの移転を制限することなく、かつ、我が国との間において、個人情報の移転を制限することなく、かつ、我が国との間において、個人情報の保護を図りつつ、相互に円滑な個人データの移転を図ることが可能で保護を図りつつ、相互に円滑な個人データの移転を図ることが可能であると認められるものであること。

あると認められるものであること

五２

法における個人情報取扱事業者に関する規定に相当する法令その他

前四号に定めるもののほか、当該外国を法第二十八条第一項の規定

五前四号に定めるもののほか、当該外国を法第二十八条第一項の規定による外国として定めることが、我が国における新たな産業の創出並による外国として定めることが、我が国における新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資すると認められびに活力ある経済社会及び豊かな国民生活の実現に資すると認められるものであること。

るものであること

個人情報保護委員会は、前項の規定による外国を定める場合において、

２

個人情報保護委員会は、前項の規定による外国を定める場合において、我が国における個人の権利利益を保護するために必要があると認めるときは、当該外国にある第三者への提供を認める旨の本人の同意を得るこきは、当該外国にある第三者への提供を認める旨の本人の同意を得ることなく提供できる個人データの範囲を制限することその他の必要な条件となく提供できる個人データの範囲を制限することその他の必要な条件を付することができる。

を付することができる。

３

我が国における個人の権利利益を保護するために必要があると認めると個人情報保護委員会は、第一項の規定による外国を定めた場合におい３
25

個人情報保護委員会は、第一項の規定による外国を定めた場合において、当該外国が第一項各号に該当していること又は当該外国について前て、当該外国が第一項各号に該当していること又は当該外国について前項の規定により付された条件が満たされていることを確認するため必要項の規定により付された条件が満たされていることを確認するため必要があると認めるときは、当該外国における個人情報の保護に関する制度があると認めるときは、当該外国における個人情報の保護に関する制度又は当該条件に係る対応の状況に関し必要な調査を行うものとする。

又は当該条件に係る対応の状況に関し必要な調査を行うものとする。

４

個人情報保護委員会は、第一項の規定による外国を定めた場合におい４

個人情報保護委員会は、第一項の規定による外国を定めた場合において、前項の調査の結果その他の状況を踏まえ、当該外国が第一項各号にて、前項の調査の結果その他の状況を踏まえ、当該外国が第一項各号に該当しなくなったと認めるとき又は当該外国について第二項の規定によ該当しなくなったと認めるとき又は当該外国について第二項の規定により付された条件が満たされなくなったと認めるときは、第一項の規定にり付された条件が満たされなくなったと認めるときは、第一項の規定による定めを取り消すものとする。

よる定めを取り消すものとする。

規則第十六条 法第二十八条第一項の個人情報保護委員会規則で定める基規則第十六条 法第二十八条第一項の個人情報保護委員会規則で定める基

準は、次の各号のいずれかに該当することとする。

準は、次の各号のいずれかに該当することとする。

一

一

個人情報取扱事業者と個人データの提供を受ける者との間で、当該個人情報取扱事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第四章第二節の規定の趣旨に沿った措置の実

合理的な方法により、法第四章第二節の規定の趣旨に沿った措置の実施が確保されていること。

施が確保されていること。

二

個人データの提供を受ける者が、個人情報の取扱いに係る国際的な二枠組みに基づく認定を受けていること。

個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。

規則第十七条 法第二十八条第二項又は法第三十一条第一項第二号の規定

規則第十七条 法第二十八条第二項又は法第三十一条第一項第二号の規定により情報を提供する方法は、電磁的記録の提供による方法、書面の交により情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。

付による方法その他の適切な方法とする。

２

法第二十八条第二項又は法第三十一条第一項第二号の規定による情報

２

法第二十八条第二項又は法第三十一条第一項第二号の規定による情報の提供は、次に掲げる事項について行うものとする。

の提供は、次に掲げる事項について行うものとする。

一

当該外国の名称

一

当該外国の名称二

適切かつ合理的な方法により得られた当該外国における個人情報の二

適切かつ合理的な方法により得られた当該外国における個人情報の26

保護に関する制度に関する情報保護に関する制度に関する情報

三

三

３

当該第三者が講ずる個人情報の保護のための措置に関する情報
前項の規定にかかわらず、個人情報取扱事業者は、法第二十八条第一３

当該第三者が講ずる個人情報の保護のための措置に関する情報
前項の規定にかかわらず、個人情報取扱事業者は、法第二十八条第一項の規定により本人の同意を得ようとする時点において、前項第一号に項の規定により本人の同意を得ようとする時点において、前項第一号に定める事項が特定できない場合には、同号及び同項第二号に定める事項

定める事項が特定できない場合には、同号及び同項第二号に定める事項に代えて、次に掲げる事項について情報提供しなければならない。

に代えて、次に掲げる事項について情報提供しなければならない。

一

前項第一号に定める事項が特定できない旨及びその理由一

前項第一号に定める事項が特定できない旨及びその理由二

前項第一号に定める事項に代わる本人に参考となるべき情報がある

二

前項第一号に定める事項に代わる本人に参考となるべき情報がある

場合には、当該情報
４

場合には、当該情報第二項の規定にかかわらず、個人情報取扱事業者は、法第二十八条第４第二項の規定にかかわらず、個人情報取扱事業者は、法第二十八条第一項の規定により本人の同意を得ようとする時点において、第二項第三一項の規定により本人の同意を得ようとする時点において、第二項第三号に定める事項について情報提供できない場合には、同号に定める事項

号に定める事項について情報提供できない場合には、同号に定める事項に代えて、その旨及びその理由について情報提供しなければならない。

に代えて、その旨及びその理由について情報提供しなければならない。

規則第十八条 法第二十八条第三項（法第三十一条第二項において読み替

規則第十八条 法第二十八条第三項（法第三十一条第二項において読み替

えて準用する場合を含む。
）の規定による外国にある第三者による相当措

えて準用する場合を含む。
）の規定による外国にある第三者による相当措置の継続的な実施を確保するために必要な措置は、次に掲げる措置とす

置の継続的な実施を確保するために必要な措置は、次に掲げる措置とす

る。

る。

一

当該第三者による相当措置の実施状況並びに当該相当措置の実施に一

当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること。

切かつ合理的な方法により、定期的に確認すること。

二

当該第三者による相当措置の実施に支障が生じたときは、必要かつ二

当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データ（第三十一条第二項において読み替困難となったときは、個人データ（第三十一条第二項において読み替

えて準用する場合にあっては、個人関連情報）の当該第三者への提供

えて準用する場合にあっては、個人関連情報）の当該第三者への提供
27

を停止すること。
２を停止すること。

法第二十八条第三項の規定により情報を提供する方法は、電磁的記録

２の提供による方法、書面の交付による方法その他の適切な方法とする。

法第二十八条第三項の規定により情報を提供する方法は、電磁的記録

３の提供による方法、書面の交付による方法その他の適切な方法とする。

個人情報取扱事業者は、法第二十八条第三項の規定による求めを受け

３

個人情報取扱事業者は、法第二十八条第三項の規定による求めを受けたときは、本人に対し、遅滞なく、次に掲げる事項について情報提供したときは、本人に対し、遅滞なく、次に掲げる事項について情報提供しなければならない。ただし、情報提供することにより当該個人情報取扱なければならない。ただし、情報提供することにより当該個人情報取扱

事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、その全部又は一部を提供しないことができる。

その全部又は一部を提供しないことができる。

一

当該第三者による法第二十八条第一項に規定する体制の整備の方法

一

当該第三者による法第二十八条第一項に規定する体制の整備の方法

二

当該第三者が実施する相当措置の概要

二

当該第三者が実施する相当措置の概要

三第一項第一号の規定による確認の頻度及び方法

三第一項第一号の規定による確認の頻度及び方法

四

当該外国の名称四

当該外国の名称五

当該第三者による相当措置の実施に影響を及ぼすおそれのある当該

五

当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要

外国の制度の有無及びその概要

六

当該第三者による相当措置の実施に関する支障の有無及びその概要

六

当該第三者による相当措置の実施に関する支障の有無及びその概要

七

前号の支障に関して第一項第二号の規定により当該個人情報取扱事

七

前号の支障に関して第一項第二号の規定により当該個人情報取扱事

業者が講ずる措置の概要
４

業者が講ずる措置の概要

個人情報取扱事業者は、法第二十八条第三項の規定による求めに係る

４

個人情報取扱事業者は、法第二十八条第三項の規定による求めに係る情報の全部又は一部について提供しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

対し、遅滞なく、その旨を通知しなければならない。

５

情報の全部又は一部について提供しない旨の決定をしたときは、本人に個人情報取扱事業者は、前項の規定により、本人から求められた情報

５

個人情報取扱事業者は、前項の規定により、本人から求められた情報の全部又は一部について提供しない旨を通知する場合には、本人に対し、の全部又は一部について提供しない旨を通知する場合には、本人に対し、その理由を説明するよう努めなければならない。

その理由を説明するよう努めなければならない。

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】
28

・国保組合が、法第２８条の規定に基づき、外国にある第三者に個人デ・国保組合が、法第２８条の規定に基づき、外国にある第三者に個人データを提供する場合には、法第２７条第１項各号（※）に定める場合ータを提供する場合には、法第２７条第１項各号（※）に定める場合

を除き、外国にある第三者へ提供することについて本人の同意を得なを除き、外国にある第三者へ提供することについて本人の同意を得なければならない。

ければならない。

・ただし、次の①又は②のいずれかに該当する場合は、国内と同様に法・ただし、次の①又は②のいずれかに該当する場合は、国内と同様に法第２７条第１項柱書の規定に基づく本人同意による第三者提供、又は第２７条第１項柱書の規定に基づく本人同意による第三者提供、又は同条第５項に基づく委託、共同利用による提供が可能である。

同条第５項に基づく委託、共同利用による提供が可能である。

①外国にある第三者が日本と同等の水準にあると認められる個人情①外国にある第三者が日本と同等の水準にあると認められる個人情報保護制度を有している国として規則で定める国にある場合

報保護制度を有している国として個人情報の保護に関する法律施行規則（平成２８年個人情報保護委員会規則第３号。以下「規則」という。）で定める国にある場合②外国にある第三者が、個人情報取扱事業者が講ずべき措置に相当②外国にある第三者が、個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制として規則で定めるする措置を継続的に講ずるために必要な体制として規則で定める基準に適合する体制を整備している場合

基準に適合する体制を整備している場合（※）法第２７条第 1 項各号（※）法第２７条第 1 項各号

・法令（条例を含む。
）に基づいて個人データを提供する場合（第・法令に基づいて個人データを提供する場合（第 1 号関係）

1 号関係）
・人（法人を含む。
）の生命、身体又は財産といった具体的な権利・人（法人を含む。
）の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個人デ利益が侵害されるおそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得ることが困難

ータの提供が必要であり、かつ、本人の同意を得ることが困難である場合（第 2 号関係）である場合（第 2 号関係）

・公衆衛生の向上又は心身の発展途上にある児童の健全な育成の・公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることがために特に必要な場合であり、かつ、本人の同意を得ることが29

困難である場合（第 3 号関係）困難である場合（第 3 号関係）

・国の機関等が法令の定める事務を実施する上で、民間企業等の・国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であって、協力する民間企業等が当協力を得る必要がある場合であって、協力する民間企業等が当該国の機関等に個人データを提供することについて、本人の同該国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場

意を得ることが当該事務の遂行に支障を及ぼすおそれがある場

合（第 4 号関係）

合（第 4 号関係）

・個人情報取扱事業者が学術研究機関等である場合であって、当・個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためや該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがあむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。
）（第５号関係）る場合を除く。）（第５号関係）・個人情報取扱事業者が学術研究機関等である場合であって、当・個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき（当該該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除

含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）（当該個人情報取扱事業者と当該第三者が共同して学術研く。）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。
）（第６号関係）

究を行う場合に限る。）（第６号関係）・第三者が学術研究機関等である場合であって、当該第三者が当・第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除

含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）（第７号関係）く。）（第７号関係）

９．第三者提供に係る記録の作成等（法第２９条）

９．第三者提供に係る記録の作成等（法第２９条）

詳細は、別途定める「個人情報の保護に関する法律についてのガイドライ

詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」（平成２８年個人情報保護委員会告ン（第三者提供時の確認・記録義務編）」（平成２８年個人情報保護委員会告30

示第８号）を参照のこと。

示第８号）を参照のこと。

31

（第三者提供に係る記録の作成等）（第三者提供に係る記録の作成等）

法第二十九条 個人情報取扱事業者は、個人データを第三者（第十六条第法第二十九条 個人情報取扱事業者は、個人データを第三者（第十六条第二項各号に掲げる者を除く。略）に提供したときは、個人情報保護委員

二項各号に掲げる者を除く。略）に提供したときは、個人情報保護委員会規則で定めるところにより、当該個人データを提供した年月日、当該会規則で定めるところにより、当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。ただし、当該個人データの提供

関する記録を作成しなければならない。ただし、当該個人データの提供

が第二十七条第一項各号又は第五項各号のいずれか（略）に該当する場

が第二十七条第一項各号又は第五項各号のいずれか（略）に該当する場

合は、この限りでない。

合は、この限りでない。

２

個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個

２

人情報保護委員会規則で定める期間保存しなければならない。

個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個
人情報保護委員会規則で定める期間保存しなければならない。

（第三者提供に係る記録の作成）（第三者提供に係る記録の作成）

規則第十九条 法第二十九条第一項の規定による同項の記録を作成する方

規則第十九条 法第二十九条第一項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法と法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法と

する。

する。

２

法第二十九条第一項の記録は、個人データを第三者（略）に提供した

２

法第二十九条第一項の記録は、個人データを第三者（略）に提供した
都度、速やかに作成しなければならない。ただし、当該第三者に対し個人データを継続的に若しくは反復して提供（略）したとき、又は当該第人データを継続的に若しくは反復して提供（略）したとき、又は当該第三者に対し個人データを継続的に若しくは反復して提供することが確実

三者に対し個人データを継続的に若しくは反復して提供することが確実であると見込まれるときの記録は、一括して作成することができる。

であると見込まれるときの記録は、一括して作成することができる。

３

都度、速やかに作成しなければならない。ただし、当該第三者に対し個前項の規定にかかわらず、法第二十七条第一項又は法第二十八条第一３

前項の規定にかかわらず、法第二十七条第一項又は法第二十八条第一項の規定により、本人に対する物品又は役務の提供に関連して当該本人項の規定により、本人に対する物品又は役務の提供に関連して当該本人に係る個人データを第三者に提供した場合において、当該提供に関してに係る個人データを第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に次条第一項各号に定める事項が記載さ作成された契約書その他の書面に次条第一項各号に定める事項が記載さ32れているときは、当該書面をもって法第二十九条第一項の当該事項に関れているときは、当該書面をもって法第二十九条第一項の当該事項に関する記録に代えることができる。

する記録に代えることができる。

（第三者提供に係る記録事項）（第三者提供に係る記録事項）

規則第二十条 法第二十九条第一項の個人情報保護委員会規則で定める事

規則第二十条 法第二十九条第一項の個人情報保護委員会規則で定める事

項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。

事項とする。

一

一

法第二十七条第二項の規定により個人データを第三者に提供した場

法第二十七条第二項の規定により個人データを第三者に提供した場

合次のイからニまでに掲げる事項

合次のイからニまでに掲げる事項

イ

当該個人データを提供した年月日

イ

当該個人データを提供した年月日

ロ

当該第三者の氏名又は名称及び住所並びに法人にあっては、そのロ

当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあ

代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。第十八条の四第一項第三号においっては、その代表者又は管理人。第十八条の四第一項第三号において同じ。
）の氏名（不特定かつ多数の者に対して提供したときは、そて同じ。）の氏名（不特定かつ多数の者に対して提供したときは、そ

の旨）

の旨）

ハ

当該個人データによって識別される本人の氏名その他の当該本人

ハを特定するに足りる事項
ニ二を特定するに足りる事項

当該個人データの項目

ニ

法第二十七条第一項又は法第二十八条第一項の規定により個人デー

タを第三者に提供した場合
イ

二次のイ及びロに掲げる事項

２

当該個人データの項目
法第二十七条第一項又は法第二十八条第一項の規定により個人デー

タを第三者に提供した場合

法第二十七条第一項又は法第二十八条第一項の本人の同意を得て

イ

いる旨
ロ

当該個人データによって識別される本人の氏名その他の当該本人

次のイ及びロに掲げる事項

法第二十七条第一項又は法第二十八条第一項の本人の同意を得ている旨

前号ロからニまでに掲げる事項

ロ

前項各号に定める事項のうち、既に前条に規定する方法により作成し

２
33

前号ロからニまでに掲げる事項

前項各号に定める事項のうち、既に前条に規定する方法により作成した法第二十九条第一項の記録（当該記録を保存している場合におけるもた法第二十九条第一項の記録（当該記録を保存している場合におけるものに限る。
）に記録されている事項と内容が同一であるものについては、のに限る。
）に記録されている事項と内容が同一であるものについては、同項の当該事項の記録を省略することができる。

法第二十九条第一項の当該事項の記録を省略することができる。

（第三者提供に係る記録の保存期間）（第三者提供に係る記録の保存期間）

規則第二十一条

規則第二十一条

法第二十九条第二項の個人情報保護委員会規則で定め

法第二十九条第二項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号にる期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とする。

定める期間とする。

一

一第十九条第三項に規定する方法により記録を作成した場合 最後に第十九条第三項に規定する方法により記録を作成した場合 最後に

当該記録に係る個人データの提供を行った日から起算して一年を経過

当該記録に係る個人データの提供を行った日から起算して一年を経過する日までの間する日までの間

二第十九条第二項ただし書に規定する方法により記録を作成した場合

二第十九条第二項ただし書に規定する方法により記録を作成した場合

最後に当該記録に係る個人データの提供を行った日から起算して三年最後に当該記録に係る個人データの提供を行った日から起算して三年を経過する日までの間を経過する日までの間

三

前二号以外の場合 三年三（１）記録義務が適用されない場合

前二号以外の場合 三年（１）記録義務が適用されない場合

以下の場合には記録義務が適用されない。

以下の場合には記録義務が適用されない。

①第三者が法第１６条第２項各号に掲げる者である場合①第三者が法第１６条第２項各号に掲げる者である場合

以下の１）から４）までに掲げる者との間で個人データの授受を行う場合、記録義務は適用されない。

以下の１）から４）までに掲げる者との間で個人データの授受を行う場合、記録義務は適用されない。

１）国の機関（法第１６条第２項第１号関係）

１）国の機関（法第１６条第２項第１号関係）

２）地方公共団体（法第１６条第２項第２号関係）

２）地方公共団体（法第１６条第２項第２号関係）

３）独立行政法人等（独立行政法人通則法（平成１１年法律第１３）独立行政法人等（独立行政法人通則法（平成１１年法律第１０３号）第２条第１項に規定する独立行政法人及び法別表第０３号）第２条第１項に規定する独立行政法人及び法別表第34１に掲げる法人（法別表第２に掲げる法人を除く。
）をいう。）

１に掲げる法人（法別表第２に掲げる法人を除く。
）をいう。）（法第１６条第２項第３号関係）（法第１６条第２項第３号関係）

４）地方独立行政法人（地方独立行政法人法（平成１５年法律第４）地方独立行政法人（地方独立行政法人法（平成１５年法律第１１８号）第 2 条第 1 項に規定する地方独立行政法人をいい、

１１８号）第２条第１項に規定する地方独立行政法人をい同法第２１条第１号に掲げる業務を主たる目的とするもの又う。）（法第１６条第２項第４号関係）は同条第２号若しくは第３号（チに係る部分に限る。
）に掲げる業務を目的とするものを除く。）（法第１６条第２項第４号
関係）②法第２７条第１項各号に該当する場合（Ⅳ９．
（２）参照）②法第２７条第１項各号に該当する場合（Ⅳ９．
（２）参照）

個人データが転々流通することは想定されにくいことに鑑み、記録義
務は適用されない。

個人データが転々流通することは想定されにくいことに鑑み、記録義
務は適用されない。

１）法令（条例を含む。
）に基づいて個人データを提供する場合（第１）法令に基づいて個人データを提供する場合（第１号関係）

１号関係）
２）～７） （略）２）～７） （略）

③

（略）

③

（略）

④

本人に代わって提供している場合④

本人に代わって提供している場合

国保組合が被保険者本人からの委託等に基づき当該本人の個人データ

国保組合が被保険者本人からの委託等に基づき当該本人の個人データを第三者提供する場合は、当該国保組合は「本人に代わって」個人デーを第三者提供する場合は、当該個人情報取扱事業者は「本人に代わって」

タの提供をしているものである。

個人データの提供をしているものである。

したがって、この場合の第三者提供については、記録義務は適用されしたがって、この場合の第三者提供については、記録義務は適用され

ない。

ない。

（例）

（例）

・第三者求償事務において、保険会社・医療機関等への相談又は届出等

・第三者求償事務において、保険会社・医療機関等への相談又は届出
等

35

⑤

（略）

⑤

【法の規定により遵守すべき事項等】（略）【法の規定により遵守すべき事項等】

（略）

（略）

１０ （略）

１０ （略）

１１．保有個人データに関する事項の公表等（法第３２条）

１１．保有個人データに関する事項の公表等（法第３２条）（保有個人データに関する事項の公表等）（保有個人データに関する事項の公表等）

法第三十二条 個人情報取扱事業者は、保有個人データに関し、次に掲げ

法第三十二条 個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回る事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）に置かなければならない。

答する場合を含む。
）に置かなければならない。

一一

当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名

当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名

二 全ての保有個人データの利用目的（第二十一条第四項第一号から第二 全ての保有個人データの利用目的（第二十一条第四項第一号から第三号までに該当する場合を除く。
）

三号までに該当する場合を除く。）

三 次項の規定による求め又は次条第一項（同条第五項において準用す

三 次項の規定による求め又は次条第一項（同条第五項において準用する場合を含む。
）、第三十四条第一項若しくは第三十五条第一項、第三る場合を含む。）、第三十四条第一項若しくは第三十五条第一項、第三項若しくは第五項の規定による請求に応じる手続（第三十八条第二項

項若しくは第五項の規定による請求に応じる手続（第三十八条第二項の規定により手数料の額を定めたときは、その手数料の額を含む。）の規定により手数料の額を定めたときは、その手数料の額を含む。）

四 前三号に掲げるもののほか、保有個人データの適正な取扱いの確保

四 前三号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの
２

に関し必要な事項として政令で定めるもの

個人情報取扱事業者は、本人から、当該本人が識別される保有個人デ２

個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、こータの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、次の各号のいずれかに該当するれを通知しなければならない。ただし、次の各号のいずれかに該当する

場合は、この限りでない。

場合は、この限りでない。

一

一

前項の規定により当該本人が識別される保有個人データの利用目
36

前項の規定により当該本人が識別される保有個人データの利用目

的が明らかな場合的が明らかな場合

二 第二十一条第四項第一号から第三号までに該当する場合
３

二 第二十一条第四項第一号から第三号までに該当する場合

個人情報取扱事業者は、前項の規定に基づき求められた保有個人デー

３

個人情報取扱事業者は、前項の規定に基づき求められた保有個人デー

タの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なタの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

く、その旨を通知しなければならない。

（保有個人データの適正な取扱いの確保に関し必要な事項）（保有個人データの適正な取扱いの確保に関し必要な事項）

令第十条 法第三十二条第一項第四号の政令で定めるものは、次に掲げる

令第十条 法第三十二条第一項第四号の政令で定めるものは、次に掲げるものとする。

ものとする。

一

一

法第二十三条の規定により保有個人データの安全管理のために講法第二十三条の規定により保有個人データの安全管理のために講じた措置（本人の知り得る状態（本人の求めに応じて遅滞なく回答す

じた措置（本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）に置くことにより当該保有個人データの安全管理にる場合を含む。）に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。
）

支障を及ぼすおそれがあるものを除く。
）

二

当該個人情報取扱事業者が行う保有個人データの取扱いに関する

二

苦情の申出先三

当該個人情報取扱事業者が行う保有個人データの取扱いに関する苦情の申出先当該個人情報取扱事業者が認定個人情報保護団体の対象事業者で三

当該個人情報取扱事業者が認定個人情報保護団体の対象事業者である場合にあっては、当該認定個人情報保護団体の名称及び苦情の解ある場合にあっては、当該認定個人情報保護団体の名称及び苦情の解

決の申出先

決の申出先

【法の規定により遵守すべき事項】【法の規定により遵守すべき事項】

・国保組合は、保有個人データに関し、(ｱ)当該国保組合の名称、住所及・国保組合は、保有個人データに関し、(ｱ)当該個人情報取扱事業者の氏び代表者の氏名、(ｲ)全ての保有個人データの利用目的（法第２１条第名又は名称並びに法人にあっては、その代表者の氏名、(ｲ)全ての保有４項第１号から第３号までに規定された例外の場合を除く。）、(ｳ)保有個人データの利用目的（法第２１条第４項第１号から第３号までに規個人データの利用目的の通知、開示、訂正、利用停止等の手続の方法、定された例外の場合を除く。）、(ｳ)保有個人 データの利用目的の通知、及び保有個人データの利用目的の通知又は開示に係る手数料の額、(ｴ)

開示、訂正、利用停止等の手続の方法、及び保有個人データの利用目

37

苦情の申出先等について、本人の知り得る状態（本人の求めに応じて的の通知又は開示に係る手数料の額、(ｴ)苦情の申出先等について、本

遅滞なく回答する場合を含む。
）に置かなければならない。

人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。

・国保組合は、本人から、当該本人が識別される保有個人データの利用

・国保組合は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、上記の措置により利用目的が明らか目的の通知を求められたときは、上記の措置により利用目的が明らかになっている場合及び法第２１条第４項第１号から第３号までの例外になっている場合及び法第２１条第４項第１号から第３号までの例外に相当する場合を除き、遅滞なく通知しなければならない。

に相当する場合を除き、遅滞なく通知しなければならない。

・国保組合は、利用目的の通知をしない旨の決定をしたときは、本人に・国保組合は、利用目的の通知をしない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

対し、遅滞なく、その旨を通知しなければならない。

・法施行前から保有している個人情報についても同様の取扱いを行う。
【その他の事項】

・法施行前から保有している個人情報についても同様の取扱いを行う。
【その他の事項】（略）（略）

１２．本人からの請求による保有個人データ等の開示（法第３３条）

１２．本人からの請求による保有個人データ等の開示（法第３３条）

（開示）

（開示）

法第三十三条 本人は、個人情報取扱事業者に対し、当該本人が識別され法第三十三条 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの電磁的記録の提供による方法その他の個人情報保る保有個人データの電磁的記録の提供による方法その他の個人情報保

護委員会規則で定める方法による開示を請求することができる。

護委員会規則で定める方法による開示を請求することができる。

２

個人情報取扱事業者は、前項の規定による請求を受けたときは、本人

２

個人情報取扱事業者は、前項の規定による請求を受けたときは、本人に対し、同項の規定により当該本人が請求した方法（当該方法による開に対し、同項の規定により当該本人が請求した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難であ示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）により、遅滞なく、当該保る場合にあっては、書面の交付による方法）により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しない

次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。

ことができる。
38

一 本人又は第三者の生命、身体、財産その他の権利利益を害するおそ一 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合二れがある場合当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼ二

すおそれがある場合

すおそれがある場合

三 他の法令に違反することとなる場合
３

当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼ三 他の法令に違反することとなる場合

個人情報取扱事業者は、第一項の規定による請求に係る保有個人デー

３

個人情報取扱事業者は、第一項の規定による請求に係る保有個人デー

タの全部若しくは一部について開示しない旨の決定をしたとき、当該保タの全部若しくは一部について開示しない旨の決定をしたとき、当該保有個人データが存在しないとき、又は同項の規定により本人が請求した

有個人データが存在しないとき、又は同項の規定により本人が請求した方法による開示が困難であるときは、本人に対し、遅滞なく、その旨を方法による開示が困難であるときは、本人に対し、遅滞なく、その旨を通知しなければならない。

通知しなければならない。

４

他の法令の規定により、本人に対し第二項本文に規定する方法に相当

４

他の法令の規定により、本人に対し第二項本文に規定する方法に相当

する方法により当該本人が識別される保有個人データの全部又は一部する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている場合には、当該全部又は一部の保有個人デを開示することとされている場合には、当該全部又は一部の保有個人データについては、第一項及び第二項の規定は、適用しない。

ータについては、第一項及び第二項の規定は、適用しない。

５

第一項から第三項までの規定は、当該本人が識別される個人データに５第一項から第三項までの規定は、当該本人が識別される個人データに係る第二十九条第一項及び第三十条第三項の記録（その存否が明らかに係る第二十九条第一項及び第三十条第三項の記録（その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるなることにより公益その他の利益が害されるものとして政令で定めるものを除く。第三十七条第二項において「第三者提供記録」という。）にものを除く。第三十七条第二項において「第三者提供記録」という。）について準用する。

ついて準用する。

（第三者提供記録から除外されるもの）（第三者提供記録から除外されるもの）

令第十一条 法第三十三条第五項の政令で定めるものは、次に掲げるもの

令第十一条 法第三十三条第五項の政令で定めるものは、次に掲げるもの

とする。

とする。

一

一

当該記録の存否が明らかになることにより、本人又は第三者の生39

当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの
二命、身体又は財産に危害が及ぶおそれがあるもの

当該記録の存否が明らかになることにより、違法又は不当な行為を二助長し、又は誘発するおそれがあるもの
三

当該記録の存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの

当該記録の存否が明らかになることにより、国の安全が害されるお三

当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他

それ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの

国若しくは国際機関との交渉上不利益を被るおそれがあるもの

四

当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は四

当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるも捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるものの（本人が請求することができる開示の方法）（本人が請求することができる開示の方法）

規則第三十条 法第三十三条第一項（同条第五項において準用する場合を

規則第三十条 法第三十三条第一項（同条第五項において準用する場合を含む。）の個人情報保護委員会規則で定める方法は、電磁的記録の提供含む。）の個人情報保護委員会規則で定める方法は、電磁的記録の提供

による方法、書面の交付による方法その他当該個人情報取扱事業者の定による方法、書面の交付による方法その他当該個人情報取扱事業者の定める方法とする。

める方法とする。

（１） （略）（１） （略）（２）開示の例外（２）開示の例外

開示することで、法第３３条第２項各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。

開示することで、法第３３条第２項各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。

なお、レセプト情報については、開示することで、法第３３条第２項第なお、レセプト情報については、開示することで、法第３３条第２項第１号の「本人又は第三者の権利利益を害するおそれがある」かどうかの判１号の「本人又は第三者の権利利益を害するおそれがある」かどうかの判

断は、国保組合においては容易でないため、別に定める指針（「診療報酬明断は、国保組合においては容易でないため、別に定める指針（「診療報酬明細書等の被保険者等への開示について」（平成１７年３月３１日保発第０３細書等の被保険者等への開示について」（平成１７年３月３１日保発第０３

３１００９号保険局長通知）の内容の通知）に基づき、開示に当たって、

３１００９号保険局長通知）の内容の通知）に基づき、開示に当たって、40

主治医の判断を要するものとする。

主治医の判断を要するものとする。

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

・国保組合は、本人から、当該本人が識別される保有個人データの開示

・国保組合は、本人から、当該本人が識別される保有個人データの開示の請求を受けたときは、本人に対し、遅滞なく、当該保有個人データの請求を受けたときは、本人に対し、遅滞なく、当該保有個人データを開示しなければならない。また、当該本人が識別される保有個人デを開示しなければならない。また、当該本人が識別される保有個人データが存在しないときにその旨知らせることとする。ただし、開示すータが存在しないときにその旨知らせることとする。ただし、開示することにより、法第３３条第２項各号のいずれかに該当する場合は、ることにより、法第３３条第２項各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。

その全部又は一部を開示しないことができる。

・Ⅱ１．に記したとおり、例えばレセプトの情報の中には、被保険者の・Ⅱ１．に記したとおり、例えばレセプトの情報の中には、被保険者の保有個人データであって、当該レセプトに係る診察をした医師の保有

保有個人データであって、当該レセプトに係る診察をした医師の保有個人データでもあるという二面性を持つ部分が含まれるものの、そも

個人データでもあるという二面性を持つ部分が含まれるものの、そも

そもレセプト全体が被保険者等の保有個人データであることから、被そもレセプト全体が被保険者等の保有個人データであることから、被保険者本人から開示の請求があった場合に、その二面性があることを保険者本人から開示の請求があった場合に、その二面性があることを理由に全部又は一部を開示しないことはできない。ただし、法第３３

理由に全部又は一部を開示しないことはできない。ただし、法第３３条第２項各号のいずれかに該当する場合には、法に従い、その全部又条第２項各号のいずれかに該当する場合には、法に従い、その全部又は一部を開示しないことができる。

は一部を開示しないことができる。

・開示の方法は、電磁的記録の提供による方法、書面の交付による方法
その他当該国保組合の定める方法による。

・開示の方法は、電磁的記録の提供による方法、書面の交付による方法
その他当該個人情報取扱事業者の定める方法による。

・国保組合は、請求を受けた保有個人データの全部又は一部について開・国保組合は、請求を受けた保有個人データの全部又は一部について開示しない旨を決定したときは、本人に対し、遅滞なく、その旨を通知

示しない旨を決定したときは、本人に対し、遅滞なく、その旨を通知しなければならない。また、本人に通知する場合には、本人に対してしなければならない。また、本人に通知する場合には、本人に対してその理由を説明するよう努めなければならない（Ⅲ１５．参照）。

その理由を説明するよう努めなければならない（Ⅲ１５．参照）。

・他の法令の規定により、保有個人データの開示について定めがある場

・他の法令の規定により、保有個人データの開示について定めがある場

41

合には、当該法令の規定によるものとする。

合には、当該法令の規定によるものとする。

【その他の事項】【その他の事項】（略）（略）

１３ （略）

１３ （略）

１４．開示等の請求等に応じる手続及び手数料（法第３７条、第３８条）

１４．開示等の請求等に応じる手続及び手数料（法第３７条、第３８条）（開示等の請求等に応じる手続）（開示等の請求等に応じる手続）

法第三十七条 個人情報取扱事業者は、第三十二条第二項の規定による求法第三十七条 個人情報取扱事業者は、第三十二条第二項の規定による求め又は第三十三条第一項（同条第五項において準用する場合を含む。次め又は第三十三条第一項（同条第五項において準用する場合を含む。次条第一項及び第三十九条において同じ。）、第三十四条第一項若しくは第条第一項及び第三十九条において同じ。）、第三十四条第一項若しくは第三十五条第一項、第三項若しくは第五項の規定による請求（以下この条

三十五条第一項、第三項若しくは第五項の規定による請求（以下この条及び第五十四条第一項において「開示等の請求等」という。）に関し、政及び第五十四条第一項において「開示等の請求等」という。）に関し、政令で定めるところにより、その求め又は請求を受け付ける方法を定める

令で定めるところにより、その求め又は請求を受け付ける方法を定めることができる。この場合において、本人は、当該方法に従って、開示等ことができる。この場合において、本人は、当該方法に従って、開示等の請求等を行わなければならない。

の請求等を行わなければならない。

２

個人情報取扱事業者は、本人に対し、開示等の請求等に関し、その対

２

個人情報取扱事業者は、本人に対し、開示等の請求等に関し、その対象となる保有個人データ又は第三者提供記録を特定するに足りる事項の提示を求めることができる。この場合において、個人情報取扱事業者の提示を求めることができる。この場合において、個人情報取扱事業者

は、本人が容易かつ的確に開示等の請求等をすることができるよう、当は、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データ又は当該第三者提供記録の特定に資する情報の提供

該保有個人データ又は当該第三者提供記録の特定に資する情報の提供

その他本人の利便を考慮した適切な措置をとらなければならない。

その他本人の利便を考慮した適切な措置をとらなければならない。

３

象となる保有個人データ又は第三者提供記録を特定するに足りる事項

開示等の請求等は、政令で定めるところにより、代理人によってする

３

ことができる。

開示等の請求等は、政令で定めるところにより、代理人によってする

４

ことができる。

個人情報取扱事業者は、前三項の規定に基づき開示等の請求等に応じ４る手続を定めるに当たっては、本人に過重な負担を課するものとならな

個人情報取扱事業者は、前三項の規定に基づき開示等の請求等に応じる手続を定めるに当たっては、本人に過重な負担を課するものとならな

42

いよう配慮しなければならない。

いよう配慮しなければならない。

（手数料）

（手数料）

法第三十八条 個人情報取扱事業者は、第三十二条第二項の規定による利法第三十八条 個人情報取扱事業者は、第三十二条第二項の規定による利用目的の通知を求められたとき又は第三十三条第一項の規定による開用目的の通知を求められたとき又は第三十三条第一項の規定による開示の請求を受けたときは、当該措置の実施に関し、手数料を徴収するこ示の請求を受けたときは、当該措置の実施に関し、手数料を徴収することができる。

とができる。

２

個人情報取扱事業者は、前項の規定により手数料を徴収する場合は、

２

個人情報取扱事業者は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。

の額を定めなければならない。

（開示等の請求等を受け付ける方法）（開示等の請求等を受け付ける方法）

令第十二条

令第十二条

法第三十七条第一項の規定により個人情報取扱事業者が開法第三十七条第一項の規定により個人情報取扱事業者が開示等の請求等を受け付ける方法として定めることができる事項は、次に示等の請求等を受け付ける方法として定めることができる事項は、次に掲げるとおりとする。

掲げるとおりとする。

一

開示等の請求等の申出先

一

開示等の請求等の申出先

二

開示等の請求等に際して提出すべき書面（電磁的記録を含む。第三二

開示等の請求等に際して提出すべき書面（電磁的記録を含む。第三十五条第一項及び第四十条第三項において同じ。）の様式その他の開十三条第一項及び第三十八条第三項において同じ。）の様式その他の示等の請求等の方式

開示等の請求等の方式

三

開示等の請求等をする者が本人又は次条に規定する代理人である

三ことの確認の方法
四

開示等の請求等をする者が本人又は次条に規定する代理人である

ことの確認の方法

法第三十八条第一項の手数料の徴収方法

四法第三十八条第一項の手数料の徴収方法（開示等の請求等をすることができる代理人）（開示等の請求等をすることができる代理人）

令第十三条

令第十三条

法第三十七条第三項の規定により開示等の請求等をすることができる代理人は、次に掲げる代理人とする。

法第三十七条第三項の規定により開示等の請求等をすることができる代理人は、次に掲げる代理人とする。
43

一

未成年者又は成年被後見人の法定代理人

一

未成年者又は成年被後見人の法定代理人

二

開示等の請求等をすることにつき本人が委任した代理人

二

開示等の請求等をすることにつき本人が委任した代理人

（略）

（略）

１５ （略）

１５ （略）

Ⅳ

Ⅳ （略）

（略）

別表１ 国保組合が保有する個人情報の例

別表１ 国保組合が保有する個人情報の例

（略）

（略）

（略）

（略）

給付調整事務情報

保険者番号及び被保険者記号・番号、給付調整事務情報

保険者番号及び被保険者記号・番号、被保険者氏名、性別、住所、生年月日、被保険者氏名、性別、住所、生年月日、電話番号、職業、組合員との続柄、勤務

電話番号、職業、組合員との続柄、勤務

先名称・所在地・電話番号、労働保険適先名称・所在地・電話番号、労働保険適用情報、加害者又は損害賠償義務を負用情報、加害者又は損害賠償義務を負う者の氏名、性別、住所、生年月日、電う者の氏名、性別、住所、生年月日、電話番号、職業、勤務先名称・所在地・電話番号、職業、勤務先名称・所在地・電

話番号、事故発生日時、事故発生場所、

話番号、事故発生日時、事故発生場所、

事故発生理由、事故発生当時の状況、

事故発生理由、事故発生当事の状況、被害の程度、示談成立の有無、示談成

被害の程度、示談成立の有無、示談成

立日、示談金受領日、受領金額、示談不立日、示談金受領日、受領金額、示談不成立理由、診療を受けた医療機関、医成立理由、診療を受けた医療機関、医師氏名、診療（見込）期間、過失割合、師氏名、診療（見込）期間、過失割合、症状固定日、自賠責保険（共済）及び任症状固定日、自賠責保険（共済）及び任意保険（共済）の加入有無、保険会社

意保険（共済）の加入有無、保険会社

名・所在地・電話番号、担当者氏名、証名・所在地・電話番号、担当者氏名、証書番号、契約者氏名、契約者住所、契約

書番号、契約者氏名、契約者住所、契約
44

（略）

者電話番号、契約期間、車種、自動車登者電話番号、契約期間、車種、自動車登録番号、車台番号、目撃者の住所・氏

録番号、車台番号、目撃者の住所・氏名・電話番号、人身事故証明書入手不名・電話番号、人身事故証明書入手不能理由、分割納付の理由、分割納付期

能理由、分割納付の理由、分割納付期

間、分割納付回数

間、分割納付回数（略）（略）

別表２ （略）

別表２ （略）

45（略）