○健康保険組合等における個人情報の適切な取扱いのためのガイダンス（平成 29 年４月 14 日付け個情第 538 号・保発 0414 第 18 号個人情報保護委員会事務局長・厚生労働省保険局長通知別添）新旧対照表（下線の部分は改正部分）
改正後

改正前

目次

目次

Ⅰ

Ⅰ 本ガイダンスの趣旨、目的、基本的考え方

本ガイダンスの趣旨、目的、基本的考え方

（略）

（略）

Ⅱ

Ⅱ 用語の定義

用語の定義

（略）

（略）

Ⅲ

Ⅲ 健保組合等の義務等

健保組合等の義務等

１．
（略）

２．不適正な利用の禁止（法第１９条）

２．不適切な利用の禁止（法第１９条）

３～１５．
（略）

３～１５．（略）

Ⅳ

１．
（略）

ガイダンスの見直し等

Ⅳ ガイダンスの見直し等

（略）

（略）

Ⅰ

Ⅰ 本ガイダンスの趣旨、目的、基本的考え方

本ガイダンスの趣旨、目的、基本的考え方

１．本ガイダンスの趣旨

１．本ガイダンスの趣旨

本ガイダンスは、「個人情報の保護に関する法律」（平成１５年法律第５本ガイダンスは、「個人情報の保護に関する法律」（平成１５年法律第５７号。以下「法」という。
）及び「行政手続における特定の個人を識別する７号。以下「法」という。
）及び「行政手続における特定の個人を識別するための番号の利用等に関する法律」（平成２５年法律第２７号。以下「番号ための番号の利用等に関する法律」（平成２５年法律第２７号。以下「番号法」という。）を踏まえ、「個人情報の保護に関する法律についてのガイド法」という。）を踏まえ、「個人情報の保護に関する法律についてのガイド

ライン（通則編）」（平成２８年個人情報保護委員会告示第６号。以下「通ライン（通則編）」（平成２８年個人情報保護委員会告示第６号。以下「通則ガイドライン」という。
）を基礎とし、法第６条及び第９条の規定に基づ

則ガイドライン」という。
）を基礎とし、法第６条及び第９条の規定に基づ

き、健康保険組合及び健康保険組合連合会が行う個人情報の適正な取扱い

き、健康保険組合及び健康保険組合連合会（以下「健保組合等」という。
）の確保に関する活動を支援するための具体的な留意点・事例等を示すもの

が行う個人情報の適正な取扱いの確保に関する活動を支援するための具体である。

的な留意点・事例等を示すものである。

なお、本ガイダンスは健康保険組合及び健康保険組合連合会における実なお、本ガイダンスは健保組合等における実例に照らした内容であるた

例に照らした内容であるため、本ガイダンスに記載のない事項及び関係条

め、本ガイダンスに記載のない事項及び関係条文については通則ガイドラ

文については通則ガイドライン、「個人情報の保護に関する法律についてのイン、「個人情報の保護に関する法律についてのガイドライン（外国にあるガイドライン（外国にある第三者への提供編）」（平成２８年個人情報保護

第三者への提供編）」（平成２８年個人情報保護委員会告示第７号）、「個人委員会告示第７号）、「個人情報の保護に関する法律についてのガイドライ

情報の保護に関する法律についてのガイドライン（第三者提供時の確認・ン（第三者提供時の確認・記録義務編）」（平成２８年個人情報保護委員会

記録義務編）」（平成２８年個人情報保護委員会告示第８号）、「個人情報の告示第８号）、「個人情報の保護に関する法律についてのガイドライン（仮保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報

名加工情報・匿名加工情報編）」（平成２８年個人情報保護委員会告示第９編）」（平成２８年個人情報保護委員会告示第９号）及び「個人情報の保護号）及び「個人情報の保護に関する法律についてのガイドライン（認定個に関する法律についてのガイドライン（認定個人情報保護団体編）」（令和

人情報保護団体編）」（令和３年個人情報保護委員会告示第７号）をそれぞ

３年個人情報保護委員会告示第７号）をそれぞれ参照されたい。

れ参照されたい。
２．本ガイダンスの構成及び基本的考え方

２．本ガイダンスの構成及び基本的考え方
個人情報の取扱いについては、法第３条において、「個人情報は、個人の個人情報の取扱いについては、法第３条において、「個人情報は、個人の人格尊重の理念の下に慎重に取り扱われるべきものである」とされている

人格尊重の理念の下に慎重に取り扱われるべきものである」とされていることを踏まえ、個人情報を取り扱う全ての者は、その目的や様態を問わず、ことを踏まえ、個人情報を取り扱う全ての者は、その目的や様態を問わず、個人情報の性格と重要性を十分認識し、その適正な取扱いを図らなければ

個人情報の性格と重要性を十分認識し、その適正な取扱いを図らなければ

ならない。

ならない。

医療分野は、個人情報の性質や利用方法等から、法第６条の規定に基づ

医療分野は、個人情報の性質や利用方法等から、法第６条の規定に基づ

く特に適正な取扱いの厳格な実施を確保する必要がある分野の一つである

く特に適正な取扱いの厳格な実施を確保する必要がある分野の一つである

ことから、保険診療に係る診療報酬明細書及び調剤報酬明細書（以下「レことから、保険診療に係る診療報酬明細書及び調剤報酬明細書（以下「レセプト」という。
）等を取り扱う健康保険組合及び健康保険組合連合会におセプト」という。）等を取り扱う健保組合等においては、積極的な取組が求2

いては、積極的な取組が求められる。

められる。

このことを踏まえ、本ガイダンスでは、法の趣旨を踏まえ健康保険組合

このことを踏まえ、本ガイダンスでは、法の趣旨を踏まえ健保組合等に及び健康保険組合連合会における個人情報の適正な取扱いが確保されるよ

おける個人情報の適正な取扱いが確保されるよう、遵守すべき事項及び遵う、遵守すべき事項及び遵守することが望ましい事項をできる限り具体的守することが望ましい事項をできる限り具体的に示しており、健保組合等に示しており、健康保険組合及び健康保険組合連合会においては、法令、においては、法令、「個人情報の保護に関する基本方針」（平成１６年４月「個人情報の保護に関する基本方針」（平成１６年４月２日閣議決定。以下

２日閣議決定。以下「基本方針」という。
）及び本ガイダンスの趣旨を踏ま「基本方針」という。
）及び本ガイダンスの趣旨を踏まえ、個人情報の適正

え、個人情報の適正な取扱いに取り組む必要がある。

な取扱いに取り組む必要がある。
具体的には、健康保険組合及び健康保険組合連合会は、本ガイダンスの具体的には、健保組合等は、本ガイダンスの【法の規定により遵守すべ【法の規定により遵守すべき事項等】のうち、「しなければならない」等とき事項等】のうち、「しなければならない」等と記載された事項については、記載された事項については、法の規定により厳格に遵守することが求めら法の規定により厳格に遵守することが求められる。また、【その他の事項】れる。また、【その他の事項】の「努めなければならない」「望ましい」等の「努めなければならない」「望ましい」等と記載された事項については、と記載された事項については、法に基づく義務等ではないが、達成できる法に基づく義務等ではないが、達成できるよう努めることが求められる。

よう努めることが求められる。
３．本ガイダンスの対象となる「健保組合等」の範囲

３．本ガイダンスの対象となる「健保組合等」の範囲

本ガイダンスが対象としている事業者の範囲は、健康保険組合及び健康本ガイダンスが対象としている事業者の範囲は、健康保険組合及び健康保険組合連合会（以下「健保組合等」という。）である。

保険組合連合会である。

ただし、医療保険分野における個人情報保護の精神は同一であることか

ただし、医療保険分野における個人情報保護の精神は同一であることから、本ガイダンスの対象外となる医療保険者も本ガイダンスに十分配慮すら、本ガイダンスの対象外となる医療保険者も本ガイダンスに十分配慮することが望ましい。

ることが望ましい。

（略）

（略）

４．本ガイダンスの対象となる「個人情報」の範囲

４．本ガイダンスの対象となる「個人情報」の範囲

法令上「個人情報」とは、生存する個人に関する情報であり、個人情報

法令上「個人情報」とは、生存する個人に関する情報であり、個人情報取扱事業者の義務等の対象となるのは、生存する個人に関する情報に限定

取扱事業者の義務等の対象となるのは、生存する個人に関する情報に限定

3

されている。

されている。

なお、当該被保険者及び被扶養者（以下「被保険者等」という。）が死亡

なお、当該被保険者及び被扶養者（以下「被保険者等」という。）が死亡した後においても、健保組合等が当該被保険者等の情報を保存している場

した後においても、健保組合等が当該被保険者等の情報を保存している場

合には、漏えい、滅失又は毀損の防止のため、個人情報と同等の安全管理

合には、漏えい、滅失又は毀損等の防止のため、個人情報と同等の安全管措置を講ずるものとする。

理措置を講ずるものとする。

５．個人情報保護委員会の権限行使との関係等

５．個人情報保護委員会の権限行使との関係等

本ガイダンス中、健保組合等が【法の規定により遵守すべき事項等】に

本ガイダンス中、健保組合等が【法の規定により遵守すべき事項等】に記載された内容のうち、健保組合等の義務とされている内容を個人情報取記載された内容のうち、健保組合等の義務とされている内容を個人情報取扱事業者としての義務を負う健保組合等が遵守しない場合、個人情報保護

扱事業者としての義務を負う健保組合等が遵守しない場合、個人情報保護委員会は、法第１４６条から第１４８条までの規定に基づき、「報告徴収」、

委員会は、法第１４３条から第１４５条までの規定に基づき、「報告徴収」、「立入検査」
、
「指導」
、
「助言」
、
「勧告」及び「命令」を行うことがある。

「立入検査」、「指導」、「助言」、「勧告」及び「命令」を行うことがある。

また、法第１５０条第１項の規定に基づき、法第１４６条第１項の規定

また、法第１４７条第１項の規定に基づき、法第１４３条第１項の規定による権限が個人情報保護委員会から事業所管大臣に委任された場合にによる権限が個人情報保護委員会から事業所管大臣に委任された場合には、厚生労働大臣が「報告徴収」及び「立入検査」を行うことができる。

は、厚生労働大臣が「報告徴収」及び「立入検査」を行うことができる。

６～８（略）

６～８（略）

９．他の法令等との関係

９．他の法令等との関係

健保組合等は、個人情報の取扱いに当たり、法、基本方針及び本ガイダ

健保組合等は、個人情報の取扱いにあたり、法、基本方針及び本ガイダンスに示す項目のほか、個人情報保護又は守秘義務に関する他の法令等のンスに示す項目のほか、個人情報保護又は守秘義務に関する他の法令等の規定を遵守しなければならない。

規定を遵守しなければならない。

１０（略）

１０（略）

Ⅱ

Ⅱ 用語の定義

用語の定義

１（略）

１（略）

２．個人識別符号（法第２条第２項）

２．個人識別符号（法第２条第２項）

（定義）

（定義）
4

法第二条

法第二条

２

２

この法律において「個人識別符号」とは、次の各号のいずれかに該当

この法律において「個人識別符号」とは、次の各号のいずれかに該当する文字、番号、記号その他の符号のうち、政令で定めるものをいう。

する文字、番号、記号その他の符号のうち、政令で定めるものをいう。

一

一

特定の個人の身体の一部の特徴を電子計算機の用に供するために特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの

識別することができるもの

二

個人に提供される役務の利用若しくは個人に販売される商品の購

二個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ、又は個人に発行されるカードその他の書類に入に関し割り当てられ、又は個人に発行されるカードその他の書類に記載され、若しくは電磁的方式により記録された文字、番号、記号そ記載され、若しくは電磁的方式により記録された文字、番号、記号その他の符号であって、その利用者若しくは購入者又は発行を受ける者の他の符号であって、その利用者若しくは購入者又は発行を受ける者

ごとに異なるものとなるように割り当てられ、又は記載され、若しくごとに異なるものとなるように割り当てられ、又は記載され、若しくは記録されることにより、特定の利用者若しくは購入者又は発行を受は記録されることにより、特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの

ける者を識別することができるもの

令第一条 個人情報の保護に関する法律（以下「法」という。
）第二条第二

令第一条 個人情報の保護に関する法律（以下「法」という。
）第二条第二項の政令で定める文字、番号、記号その他の符号は、次に掲げるものと項の政令で定める文字、番号、記号その他の符号は、次に掲げるものと

する。

する。

一・二（略）

一～二（略）

三三

国民年金法（昭和３４年法律第１４１号）第十四条に規定する基礎国民年金法（昭和３４年法律第１４１号）第十四条に規定する基礎

年金番号

年金番号

四・五（略）

四～五（略）

六六

行政手続における特定の個人を識別するための番号の利用等に関

行政手続における特定の個人を識別するための番号の利用等に関する法律（平成２５年法律第２７号）第二条第五項に規定する個人番する法律（平成２５年法律第２７号）第二条第五項に規定する個人番

号

号
5

七

次に掲げる証明書にその発行を受ける者ごとに異なるものとなる

七

次に掲げる証明書にその発行を受ける者ごとに異なるものとなるように記載された個人情報保護委員会規則で定める文字、番号、記号ように記載された個人情報保護委員会規則で定める文字、番号、記号

その他の符号

その他の符号

イ 国民健康保険法（昭和３３年法律第１９２号）第九条第二項の被イ 国民健康保険法（昭和３３年法律第１９２号）第九条第二項の被

保険者証

保険者証

ロ 高齢者の医療の確保に関する法律（昭和５７年法律第８０号）第ロ 高齢者の医療の確保に関する法律（昭和５７年法律第８０号）第五十四条第三項の被保険者証

五十四条第三項の被保険者証

ハ 介護保険法（平成９年法律第１２３号）第十二条第三項の被保険

ハ 介護保険法（平成９年法律第１２３号）第十二条第三項の被保険

者証
八

者証

その他前各号に準ずるものとして個人情報保護委員会規則で定め

八る文字、番号、記号その他の符号

その他前各号に準ずるものとして個人情報保護委員会規則で定める文字、番号、記号その他の符号規則第三条 令第一条第七号の個人情報保護委員会規則で定める文字、番

規則第三条 令第一条第七号の個人情報保護委員会規則で定める文字、番号、記号その他の符号は、次の各号に掲げる証明書ごとに、それぞれ当号、記号その他の符号は、次の各号に掲げる証明書ごとに、それぞれ当該各号に定めるものとする。

該各号に定めるものとする。

一一

令第一条第七号イに掲げる証明書 国民健康保険法（昭和３３年法令第一条第七号イに掲げる証明書 国民健康保険法（昭和３３年法

律第１９２号）第百十一条の二第一項に規定する保険者番号及び被保律第１９２号）第百十一条の二第一項に規定する保険者番号及び被保険者記号・番号

険者記号・番号

二

令第一条第七号ロに掲げる証明書

高齢者の医療の確保に関する二

令第一条第七号ロに掲げる証明書

高齢者の医療の確保に関する法律（昭和５７年法律第８０号）第百六十一条の二第一項に規定する法律（昭和５７年法律第８０号）第百六十一条の二第一項に規定する保険者番号及び被保険者番号

保険者番号及び被保険者番号

三

令第一条第七号ハに掲げる証明書

同号ハに掲げる証明書の番号

三及び保険者番号

令第一条第七号ハに掲げる証明書

及び保険者番号

6

同号ハに掲げる証明書の番号

規則第四条 令第一条第八号の個人情報保護委員会規則で定める文字、番

規則第四条 令第一条第八号の個人情報保護委員会規則で定める文字、番号、記号その他の符号は、次に掲げるものとする。

号、記号その他の符号は、次に掲げるものとする。

一

一

健康保険法（大正１１年法律第７０号）第三条第十一項に規定する保険者番号及び同条第十二項に規定する被保険者等記号・番号

健康保険法（大正１１年法律第７０号）第三条第十一項に規定する保険者番号及び同条第十二項に規定する被保険者等記号・番号

二～九（略）

二～九（略）「個人識別符号」とは、当該情報単体から特定の個人を識別できるもの「個人識別符号」とは、当該情報単体から特定の個人を識別できるもの

として個人情報の保護に関する法律施行令（平成１５年政令第５０７号。

として個人情報の保護に関する法律施行令（平成１５年政令第５０７号。

以下「政令」という。
）に定められた文字、番号、記号その他の符号をいい、

以下「政令」という。
）に定められた文字、番号、記号その他の符号をいい、これに該当するものが含まれる情報は個人情報となる。

これに該当するものが含まれる情報は個人情報となる。

具体的な内容は、政令第１条及び個人情報の保護に関する法律施行規則

具体的な内容は、政令第１条及び個人情報の保護に関する法律施行規則（平成２８年個人情報保護委員会規則第３号。以下「規則」という。）第２（平成２８年個人情報保護委員会規則第３号。以下「規則」という。）第２条から第４条までに定められており、健康保険法（大正１１年法律第７０条から第４条までに定められており、健康保険法（大正１１年４月２２日号）に係るものについては、保険者番号及び被保険者等記号・番号が該当

法律第７０号）に係るものについては、保険者番号及び被保険者等記号・する。

番号が該当する。

したがって、当該保険者番号及び被保険者等記号・番号のいずれもが含したがって、当該保険者番号及び被保険者等記号・番号のいずれもが含まれる情報は、個人情報となる。

まれる情報は、個人情報となる。

３～７（略）

３～７（略）

８．本人の同意

８．本人の同意（略）（略）【要配慮個人情報における本人の同意について】【要配慮個人情報における本人の同意について】

健保組合等が要配慮個人情報を書面又は口頭等により本人から適正に直健保組合等が要配慮個人情報を書面又は口頭等により本人から適正に直接取得する場合は、本人が当該情報を提供したことをもって、当該健保組接取得する場合は、本人が当該情報を提供したことをもって、当該個人合等が当該情報を取得することについて本人の同意があったものと解され情報取扱事業者が当該情報を取得することについて本人の同意があったる。

ものと解される。
7

Ⅲ

健保組合等の義務等

Ⅲ 健保組合等の義務等

１．利用目的の特定等（法第１７条、第１８条）

１．利用目的の特定等（法第１７条、第１８条）（利用目的の特定）（利用目的の特定）法第十七条 個人情報取扱事業者は、個人情報を取り扱うに当たっては、

法第十七条 個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなけれその利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。

ばならない。

２

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用

２

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用

目的と関連性を有すると合理的に認められる範囲を超えて行ってはな

目的と関連性を有すると合理的に認められる範囲を超えて行ってはな

らない。

らない。

（利用目的による制限）（利用目的による制限）

法第十八条 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、

法第十八条 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。

人情報を取り扱ってはならない。

２

個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事

２

個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事
業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的

かじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。

の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。

３

業者から事業を承継することに伴って個人情報を取得した場合は、あら前二項の規定は、次に掲げる場合については、適用しない。

３

前二項の規定は、次に掲げる場合については、適用しない。

一 法令（条例を含む。以下この章において同じ。）に基づく場合

一 法令に基づく場合

二 人の生命、身体又は財産の保護のために必要がある場合であって、二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三

本人の同意を得ることが困難であるとき。

公衆衛生の向上又は児童の健全な育成の推進のために特に必要が三ある場合であって、本人の同意を得ることが困難であるとき。
四

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

国の機関若しくは地方公共団体又はその委託を受けた者が法令の四8

国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であっ定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそて、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

れがあるとき。

五

当該個人情報取扱事業者が学術研究機関等である場合であって、当五

当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下この章において「学術該個人情報を学術研究の用に供する目的（以下この章において「学術研究目的」という。
）で取り扱う必要があるとき（当該個人情報を取研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

を不当に侵害するおそれがある場合を除く。）。

六

学術研究機関等に個人データを提供する場合であって、当該学術研

六

学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があると究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合

き（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除を含み、個人の権利利益を不当に侵害するおそれがある場合を除

く。
）
。

く。）。

（１）
（略）

（１）
（略）

（２）利用目的による制限の例外（２）利用目的による制限の例外

健保組合等は、あらかじめ本人の同意を得ないで法第１７条の規定によ健保組合等は、あらかじめ本人の同意を得ないで法第１７条の規定により特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってり特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならないが（法第１８条第１項）、同条第３項に掲げる場合については、はならないが（法第１８条第１項）、同条第３項に掲げる場合については、本人の同意を得る必要はない。具体的な例としては以下のとおりである。

本人の同意を得る必要はない。具体的な例としては以下のとおりである。

①法令（条例を含む。
）に基づく場合①法令に基づく場合

健康保険法第２９条又は第１９８条に基づく立入検査等、法令に基づい健康保険法第２９条又は第１９８条に基づく立入検査等、法令に基づいて個人情報を利用する場合て個人情報を利用する場合根拠となる法令の規定としては、一般に刑事訴訟法第２１８条（令状に根拠となる法令の規定としては、一般に刑事訴訟法第２１８条（令状に9よる捜査）、地方税法第７２条の６３（個人の事業税に関する調査に係る質よる捜査）、地方税法第７２条の６３（個人の事業税に関する調査に係る質問検査権、各種税法に類似の規定あり）等が考えられる。

問検査権、各種税法に類似の規定あり）等が考えられる。

これらの法令は強制力を伴って回答が義務づけられるため、健保組合等
は捜査等が行われた場合、回答する義務が生じる。

これらの法令は強制力を伴って回答が義務づけられるため、健保組合等
は捜査等が行われた場合、回答する義務が生じる。

また、刑事訴訟法第１９７条第２項（捜査に必要な取調べ）等について

また、刑事訴訟法第１９７条第２項（捜査に必要な取調べ）等について

は、法の例外規定の対象であるが、当該法令において任意協力とされておは、法の例外規定の対象であるが、当該法令において任意協力とされており、健保組合等は取調べ等が行われた場合、回答するか否かについて個別

り、健保組合等は取調べ等が行われた場合、回答するか否かについて個別の事例ごとに判断する必要がある。この場合、本人の同意を得ずに個人情の事例ごとに判断する必要がある。この場合、本人の同意を得ずに個人情報を取扱ったとしても、法第１８条違反とはならないが、当該本人からの報を取扱ったとしても、法第１８条違反とはならないが、当該本人からの民法に基づく損害賠償請求等を求められるおそれがある。

民法に基づく損害賠償請求等を求められるおそれがある。

②～⑥（略）②～⑥（略）【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

（略）

（略）

【その他の事項】【その他の事項】（略）（略）

２．不適正な利用の禁止（法第１９条）

２．不適切な利用の禁止（法第１９条）（不適正な利用の禁止）（不適正な利用の禁止）

法第十九条 個人情報取扱事業者は、違法又は不当な行為を助長し、又は法第十九条 個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。

誘発するおそれがある方法により個人情報を利用してはならない。

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

・健保組合等は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。

・健保組合等は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。

・「違法又は不当な行為」とは、法その他の法令に違反する行為、及び直ち・「違法又は不当な行為」とは、法その他の法令に違反する行為、及び直ちに違法とはいえないものの、法その他の法令の制度趣旨又は公序良俗にに違法とはいえないものの、法その他の法令の制度趣旨又は公序良俗に10

反する等、社会通念上適正とは認められない行為をいう。

反する等、社会通念上適正とは認められない行為をいう。

・「おそれ」の有無は、個人情報取扱事業者による個人情報の利用が、違法・「おそれ」の有無は、個人情報取扱事業者による個人情報の利用が、違法又は不当な行為を助長又は誘発することについて、社会通念上蓋然性が又は不当な行為を助長又は誘発することについて、社会通念上蓋然性が認められるか否かにより判断される。この判断に当たっては、個人情報認められるか否かにより判断される。この判断に当たっては、個人情報の利用方法等の客観的な事情に加えて、個人情報の利用時点における個の利用方法等の客観的な事情に加えて、個人情報の利用時点における個人情報取扱事業者の認識及び予見可能性も踏まえる必要がある。例えば、

人情報取扱事業者の認識及び予見可能性も踏まえる必要がある。例えば、

個人情報取扱事業者が第三者に個人情報を提供した場合において、当該個人情報取扱事業者が第三者に個人情報を提供した場合において、当該第三者が当該個人情報を違法な行為に用いた場合であっても、当該第三第三者が当該個人情報を違法な行為に用いた場合であっても、当該第三者が当該個人情報の取得目的を偽っていた等、当該個人情報の提供の時者が当該個人情報の取得目的を偽っていた等、当該個人情報の提供の時点において、提供した個人情報が違法に利用されることについて、当該点において、提供した個人情報が違法に利用されることについて、当該個人情報取扱事業者が一般的な注意力をもってしても予見できない状況

個人情報取扱事業者が一般的な注意力をもってしても予見できない状況であった場合には、「おそれ」は認められないと解される。

であった場合には、「おそれ」は認められないと解される。

（違法又は不当な行為を助長し、又は誘発するおそれがある方法により個（違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例）

人情報を利用している事例）

事例１）

事例１）

違法行為を営むことが疑われる事業者に対し、当該事業者の違法行為を営むことが疑われる事業者に対し、当該事業者の違法な行為を助長するおそれが想定されるにもかかわらず、個

違法な行為を助長するおそれが想定されるにも関わらず、個人

人情報を提供する場合

情報を提供する場合

事例２） 個人情報を提供した場合、提供先において法第２７条第 1 項

事例２） 個人情報を提供した場合、提供先において法第２７条第 1 項に違反する第三者提供がなされることを予見できるにもかかわに違反する第三者提供がなされることを予見できるにもかかわらず、当該提供先に対して、個人情報を提供する場合

らず、当該提供先に対して、個人情報を提供する場合

事例３）

個人情報を取得した健保組合等が、性別、国籍等の特定の属

事例３）

個人情報を取得した健保組合等が、性別、国籍等の特定の属性のみにより、正当な理由なく本人に対する違法な差別的取扱性のみにより、正当な理由なく本人に対する違法な差別的取扱いを行うために、個人情報を利用する場合

いを行うために、個人情報を利用する場合
11

３（略）

３（略）

４．個人情報の適正な取得、個人データ内容の正確性の確保（法第２０条、

４．個人情報の適正な取得、個人データ内容の正確性の確保（法第２０条、

第２２条）

第２２条）

（適正な取得）（適正な取得）法第二十条 個人情報取扱事業者は、偽りその他不正の手段により個人情法第二十条 個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。

報を取得してはならない。
２

２

個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人

個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。

の同意を得ないで、要配慮個人情報を取得してはならない。

一

法令に基づく場合

一

法令に基づく場合

二人の生命、身体又は財産の保護のために必要がある場合であって、二人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

本人の同意を得ることが困難であるとき。
三三

公衆衛生の向上又は児童の健全な育成のために特に必要がある場

合であって、本人の同意を得ることが困難であるとき。

合であって、本人の同意を得ることが困難であるとき。
四

公衆衛生の向上又は児童の健全な育成のために特に必要がある場

四国の機関若しくは地方公共団体又はその委託を受けた者が法令の国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であっ定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそて、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

れがあるとき。

五五

当該個人情報取扱事業者が学術研究機関等である場合であって、当当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含

配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含

み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

六

六

学術研究機関等から当該要配慮個人情報を取得する場合であって、学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を要配慮個人情報を取得する目的の一部が学術研究目的である場合を12

含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）

含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。
）。

究を行う場合に限る。）。

七

当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究

七

当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究

機関等、第五十七条第一項各号に掲げる者その他個人情報保護委員会

機関等、第五十七条第一項各号に掲げる者その他個人情報保護委員会

規則で定める者により公開されている場合

規則で定める者により公開されている場合

八

その他前各号に掲げる場合に準ずるものとして政令で定める場合

規則第六条

八

法第二十条第二項第七号の個人情報保護委員会規則で定め

その他前各号に掲げる場合に準ずるものとして政令で定める場合

規則第六条

法第二十条第二項第七号の個人情報保護委員会規則で定める者は、次の各号のいずれかに該当する者とする。

る者は、次の各号のいずれかに該当する者とする。

一

外国政府、外国の政府機関、外国の地方公共団体又は国際機関

一

外国政府、外国の政府機関、外国の地方公共団体又は国際機関

二外国において法第十六条第八項に規定する学術研究機関等に相当

二外国において法第十六条第八項に規定する学術研究機関等に相当

する者
三

する者

外国において法第五十七条第一項各号に掲げる者に相当する者

三

令第九条 法第二十条第二項第八号の政令で定める場合は、次に掲げる場

外国において法第五十七条第一項各号に掲げる者に相当する者

令第九条 法第二十条第二項第八号の政令で定める場合は、次に掲げる場

合とする。

合とする。

一

一

本人を目視し、又は撮影することにより、その外形上明らかな要配

慮個人情報を取得する場合
二本人を目視し、又は撮影することにより、その外形上明らかな要配

慮個人情報を取得する場合

法第二十七条第五項各号（法第四十一条第六項の規定により読み替

二法第二十七条第五項各号（法第四十一条第六項の規定により読み替

えて適用する場合及び法第四十二条第二項において読み替えて準用えて適用する場合及び法第四十二条第二項において読み替えて準用する場合を含む。
）に掲げる場合において、個人データである要配慮する場合を含む。）に掲げる場合において、個人データである要配慮

個人情報の提供を受けるとき。

個人情報の提供を受けるとき。

13

（データ内容の正確性の確保等）（データ内容の正確性の確保等）

法第二十二条 個人情報取扱事業者は、利用目的の達成に必要な範囲内に

法第二十二条 個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必

おいて、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めな

要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。

ければならない。

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

（略）

（略）

【法第２０条第 2 項に違反している事例】【法第２０条第 2 項に違反している事例】

（略）

（略）

【その他の事項】【その他の事項】

・第三者提供により他の健保組合等から個人情報を取得したとき、当該個・第三者提供により他の健保組合等から個人情報を取得したとき、当該個人情報の内容に疑義が生じた場合には、記載内容の事実に関して本人に人情報の内容に疑義が生じた場合には、記載内容の事実に関して本人に確認をとる。

確認をとる。

・健保組合等は、個人データの内容の正確性、最新性を確保するため、Ⅲ・健保組合等は、個人データの内容の正確性、最新性を確保するため、Ⅲ

５．
（２）②に示す委員会等において、具体的なルールを策定したり、技

５．
（２）②に示す委員会等において、具体的なルールを策定したり、技術水準向上のための研修の開催などを行うことが望ましい。

術水準向上のための研修の開催などを行うことが望ましい。

・第三者提供（法第２７条第１項各号に掲げる場合並びに個人情報の取扱・第三者提供（法第２７条第１項各号に掲げる場合並びに個人情報の取扱

いの委託、事業の承継及び共同利用に伴い、個人情報を提供する場合をいの委託、事業の承継及び共同利用に伴い、個人情報を提供する場合を除く。
）により、個人情報（政令第２条第２号に規定するものから取得し除く。
）により、個人情報（令第２条第２号に規定するものから取得した

た個人情報を除く。
）を取得する場合には、提供元の法の遵守状況（例え個人情報を除く。）を取得する場合には、提供元の法の遵守状況（例えば、ば、オプトアウト（法第２７条第２項・第３項参照）、利用目的、開示手

オプトアウト（法第２７条第２項・第３項参照）、利用目的、開示手続、

続、問合せ・苦情の受付窓口を公表していることなど）を確認し、個人

問合せ・苦情の受付窓口を公表していることなど）を確認し、個人情報情報を適切に管理している者を提供元として選定するとともに、実際にを適切に管理している者を提供元として選定するとともに、実際に個人

14

個人情報を取得する際には、例えば、取得の経緯を示す契約書等の書面情報を取得する際には、例えば、取得の経緯を示す契約書等の書面の点の点検又はこれに代わる合理的な方法により、当該個人情報の取得方法

検又はこれに代わる合理的な方法により、当該個人情報の取得方法等を等を確認した上で、当該個人情報が適法に取得されたことが確認できな

確認した上で、当該個人情報が適法に取得されたことが確認できない場

い場合は、偽りその他不正の手段により取得されたものである可能性も合は、偽りその他不正の手段により取得されたものである可能性もあるあることから、その取得を自粛することを含め、慎重に対応することがことから、その取得を自粛することを含め、慎重に対応することが望ま

望ましい。

しい。

５．安全管理措置、従業者の監督及び委託先の監督（法第２３条～第２５条） ５．安全管理措置、従業者の監督及び委託先の監督（法第２３条～第２５条）（安全管理措置）（安全管理措置）法第二十三条

法第二十三条

個人情報取扱事業者は、その取り扱う個人データの漏え

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要か

い、滅失又は毀損の防止その他の個人データの安全管理のために必要か

つ適切な措置を講じなければならない。

つ適切な措置を講じなければならない。

（従業者の監督）（従業者の監督）

法第二十四条 個人情報取扱事業者は、その従業者に個人データを取り扱

法第二十四条 個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

従業者に対する必要かつ適切な監督を行わなければならない。

（委託先の監督）（委託先の監督）

法第二十五条 個人情報取扱事業者は、個人データの取扱いの全部又は一

法第二十五条 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなけ図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

ればならない。

（１）健保組合等が講ずるべき安全管理措置等（１）保組合等が講ずるべき安全管理措置等①安全管理措置①安全管理措置健保組合等は、その取り扱う個人データの漏えい、滅失又は毀損の防
15

健保組合等は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のため、組織的、人的、物理的及び技

止その他の個人データの安全管理のため、組織的、人的、物理的、及び術的安全管理措置等を講じなければならない。また、外国において個人

技術的安全管理措置等を講じなければならない。また、外国において個データを取り扱う場合には、外的環境の把握を行ったうえで、これらの人データを取り扱う場合には、外的環境の把握を行ったうえで、これら安全管理措置を講じなければならない。その際、本人の個人データが漏の安全管理措置を講じなければならない。その際、本人の個人データがえい、滅失又は毀損をした場合に本人が被る権利利益の侵害の大きさを漏えい、滅失又は毀損等をした場合に本人が被る権利利益の侵害の大き考慮し、事業の性質及び個人データの取扱い状況等に起因するリスクにさを考慮し、事業の性質及び個人データの取扱い状況等に起因するリス

応じ、必要かつ適切な措置を講ずるものとする。なお、その際には、個クに応じ、必要かつ適切な措置を講ずるものとする。なお、その際には、人データを記録した媒体の性質に応じた安全管理措置を講ずる。

個人データを記録した媒体の性質に応じた安全管理措置を講ずる。

②・③（略）②・③（略）

（２）
（略）

（２）
（略）

（３）業務を委託する場合の取扱い（３）業務を委託する場合の取扱い

①（略）

①（略）

②業務を委託する場合の留意事項②業務を委託する場合の留意事項

健保組合等は、個人データの取扱いの全部又は一部を委託する場合、健保組合等関係事業者は、個人データの取扱いの全部又は一部を委託

以下の事項に留意すべきである。

する場合、以下の事項に留意すべきである。

・個人情報を適切に取り扱っている事業者を委託先（受託者）として選・個人情報を適切に取り扱っている事業者を委託先（受託者）として選定すること。委託先の選定に当たっては、委託先の安全管理措置が、定すること。委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第２３条で求められているものと同様であることを確認

少なくとも法第２３条で求められているものと同様であることを確認するため、委託先の体制、規程等の確認に加え、必要に応じて個人デするため、委託先の体制、規程等の確認に加え、必要に応じて個人データを取り扱う場所に赴く又はこれに代わる合理的な方法による確認

ータを取り扱う場所に赴く又はこれに代わる合理的な方法による確認を行った上で、個人情報取扱責任者等が、適切に評価することが望まを行った上で、個人情報取扱責任者等が、適切に評価することが望ま

しい。

しい。

・契約において、委託している業務の内容、委託先事業者、個人情報の・契約において、委託している業務の内容、委託先事業者、個人情報の適切な取扱いに関する内容を盛り込み（委託期間中のほか、委託終了

適切な取扱いに関する内容を盛り込み（委託期間中のほか、委託終了

16

後の個人データの取扱いも含む。
）、契約内容を公表すること。

後の個人データの取扱いも含む。）、契約内容を公表すること。

・受託者が個人情報を適切に取り扱っていることを定期的に確認すること。

・受託者が個人情報を適切に取り扱っていることを定期的に確認すること。

・受託者における個人情報の取扱いに疑義が生じた場合（被保険者等か・受託者における個人情報の取扱いに疑義が生じた場合（被保険者等からの申出があり、確認の必要があると考えられる場合を含む。）には、らの申出があり、確認の必要があると考えられる場合を含む。）には、受託者に対し、説明を求め、必要に応じ改善を求める等適切な措置を受託者に対し、説明を求め、必要に応じ改善を求める等適切な措置を

とること。

とること。

・また、委託するに当たっては、本来必要とされる情報の範囲に限って・また、委託するに当たっては、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項につい提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないよう努めること。

てまで他の事業者に提供することがないよう努めること。

＊健康保険組合における業者委託に関する通知＊健康保険組合における業者委託に関する通知

上記の留意事項のほか、業者委託に関する通知を遵守する。

上記の留意事項のほか、業者委託に関する通知を遵守する。

・「個人情報保護の徹底について」（平成１４年１２月２５日保発第１２
２５００３号）

・「個人情報保護の徹底について」（平成１４年１２月２５日保発第１２
２５００３号）

・「健康保険組合における個人情報保護の徹底について」（平成１４年１

・「健康保険組合における個人情報保護の徹底について」（平成１４年１

２月２５日保保発第１２２５００１号）の「４．個人情報の処理に関

２月２５日保保発第１２２５００１号）の「４．個人情報の処理に関する外部委託に関する措置」

する外部委託に関する措置」③業務を再委託する場合の留意事項③業務を再委託する場合の留意事項

健保組合等は、個人情報に関する処理の全部又は一部を再委託する場

健康保険組合は、個人情報に関する処理の全部又は一部を再委託する

合、以下の事項に留意すべきである。

場合、以下の事項に留意すべきである。

・個人情報を含む業務を再委託すること自体は禁じられてはいないが、・個人情報を含む業務を再委託すること自体は禁じられてはいないが、健保組合等との直接の契約関係を伴わない個人情報に関する処理の再

健康保険組合との直接の契約関係を伴わない個人情報に関する処理の17

委託は行わないこと。（「健康保険組合における個人情報保護の徹底に

再委託は行わないこと。（「健康保険組合における個人情報保護の徹底

ついて」（平成１４年１２月２５日保保発第１２２５００１号）の「４．

について」（平成１４年１２月２５日保保発第１２２５００１号）の個人情報の処理に関する外部委託に関する措置」）「４．個人情報の処理に関する外部委託に関する措置」）

・なお、個人情報を含む業務の再委託や個人情報に関する処理の再委託

・なお、個人情報を含む業務の再委託や個人情報に関する処理の再委託をする場合には、個人情報保護の観点から、本来必要とされる情報のをする場合には、個人情報保護の観点から、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていな範囲に限って提供すべきであり、情報提供する上で必要とされていな

い事項についてまで他の事業者に提供することがないよう努めるこ

い事項についてまで他の事業者に提供することがないよう努めること。

と。

この場合において、健保組合等は第一次委託先と委託契約を締結する

この場合において、健康保険組合は第一次委託先と委託契約を締結すに当たっては、第一次委託先が、上記通知の基準に掲げる事項を遵守す

るに当たっては、第一次委託先が、上記通知の基準に掲げる事項を遵守るよう委託契約上明記することはもちろんのこと、これに加え、当該委

するよう委託契約上明記することはもちろんのこと、これに加え、当該託契約において、再委託するに当たっては、第一次委託先は、再委託の委託契約において、再委託するに当たっては、第一次委託先は、再委託可否及び再委託を行うに当たっての委託元への文書による事前報告又はの可否及び再委託を行うに当たっての委託元への文書による事前報告又承認を行うことや当該再委託契約上、再委託先に対して、同通知の基準

は承認を行うことや当該再委託契約上、再委託先に対して、同通知の基に掲げる事項を遵守することを明記するよう、第一次委託契約上明記す準に掲げる事項を遵守することを明記するよう、第一次委託契約上明記

ること。

すること。

なお、第一次委託先が再委託を行おうとする場合は、健保組合等は委

なお、第一次委託先が再委託を行おうとする場合は、健康保険組合は託を行う場合と同様、再委託の相手方、再委託する業務内容及び再委託

委託を行う場合と同様、再委託の相手方、再委託する業務内容及び再委

先の個人データの取扱方法等について、第一次委託先に事前報告又は承託先の個人データの取扱方法等について、第一次委託先に事前報告又は認手続を求める、直接又は第一次委託先を通じて定期的に監査を実施す

承認手続を求める、直接又は第一次委託先を通じて定期的に監査を実施

る等により、第一次委託先が再委託先に対して本条の第一次委託先の監する等により、第一次委託先が再委託先に対して本条の第一次委託先の督を適切に果たすこと、再委託先が法第２３条に基づく安全管理措置を

監督を適切に果たすこと、再委託先が法第２３条に基づく安全管理措置

講ずることを十分に確認することが望ましい。

を講ずることを十分に確認することが望ましい。
18

（４）
（略）

（４）
（略）

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

（略）

（略）

【その他の事項】【その他の事項】（略）（略）

６．漏えい等の報告等（法第２６条）

６．漏えい等の報告等（法第２６条）（漏えい等の報告等）（漏えい等の報告等）

第二十六条 個人情報取扱事業者は、その取り扱う個人データの漏えい、第二十六条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則

権利利益を害するおそれが大きいものとして個人情報保護委員会規則

で定めるものが生じたときは、個人情報保護委員会規則で定めるところ

で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければな

により、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者らない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者

又は行政機関等から当該個人データの取扱いの全部又は一部の委託を又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。

通知したときは、この限りでない。

２

前項に規定する場合には、個人情報取扱事業者（同項ただし書の規定

２

前項に規定する場合には、個人情報取扱事業者（同項ただし書の規定による通知をした者を除く。
）は、本人に対し、個人情報保護委員会規による通知をした者を除く。）は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知しなければならな則で定めるところにより、当該事態が生じた旨を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保い。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでな護するため必要なこれに代わるべき措置をとるときは、この限りでな

い。

い。

19

規則第七条

法第二十六条第一項本文の個人の権利利益を害するおそれ

規則第七条

法第二十六条第一項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号が大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。

のいずれかに該当するものとする。

一

一

要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人

要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を 保護するために必要な措置を講じたものを除く。以下の権利利益を 保護するために必要な措置を講じたものを除く。以下

この条及び次条第一項において同じ。）の漏えい、滅失若しくは毀損

この条及び次条第一項において同じ。）の漏えい、滅失若しくは毀損（以下この条及び次条第一項において「漏えい等」という。）が発生（以下この条及び次条第一項において「漏えい等」という。）が発生し、又は発生したおそれがある事態し、又は発生したおそれがある事態

二

不正に利用されることにより財産的被害が生じるおそれがある個

二

人データの漏えい等が発生し、又は発生したおそれがある事態
三

不正に利用されることにより財産的被害が生じるおそれがある個

人データの漏えい等が発生し、又は発生したおそれがある事態

不正の目的をもって行われたおそれがある個人データの漏えい等三が発生し、又は発生したおそれがある事態

不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態

四 個人データに係る本人の数が千人を超える漏えい等が発生し、又は四 個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態発生したおそれがある事態

規則第八条 個人情報取扱事業者は、法第二十六条第一項本文の規定によ

規則第八条 個人情報取扱事業者は、法第二十六条第一項本文の規定による報告をする場合には、前条各号に定める事態を知った後、速やかに、る報告をする場合には、前条各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。次条において同じ。）を報告しなければならな握しているものに限る。次条において同じ。）を報告しなければならな

い。

い。

一 概要

一 概要

二 漏えい等が発生し、又は発生したおそれがある個人データの項目

二 漏えい等が発生し、又は発生したおそれがある個人データの項目

三 漏えい等が発生し、又は発生したおそれがある個人データに係る本三 漏えい等が発生し、又は発生したおそれがある個人データに係る本

人の数

人の数

四 原因

四 原因
20

五 二次被害又はそのおそれの有無及びその内容

五 二次被害又はそのおそれの有無及びその内容

六 本人への対応の実施状況

六 本人への対応の実施状況

七 公表の実施状況

七 公表の実施状況

八 再発防止のための措置

八 再発防止のための措置

九 その他参考となる事項

九 その他参考となる事項

２

前項の場合において、個人情報取扱事業者は、当該事態を知った日か

２

前項の場合において、個人情報取扱事業者は、当該事態を知った日から三十日以内（当該事態が前条第三号に定めるものである場合にあってら三十日以内（当該事態が前条第三号に定めるものである場合にあっては、六十日以内）に、当該事態に関する前項各号に定める事項を報告しは、六十日以内）に、当該事態に関する前項各号に定める事項を報告しなければならない。

なければならない。

３

法第二十六条第一項本文の規定による報告は、次の各号に掲げる場合

３

法第二十六条第一項本文の規定による報告は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める方法により行うものとする。

の区分に応じ、それぞれ当該各号に定める方法により行うものとする。

一

一

個人情報保護委員会に報告する場合

電子情報処理組織(個人情報

個人情報保護委員会に報告する場合

電子情報処理組織(個人情報保護委員会の使用に係る電子計算機と報告をする者の使用に係る電保護委員会の使用に係る電子計算機と報告をする者の使用に係る電子計算機とを電気通信回線で接続した電子情報処理組織をいう。以下

子計算機とを電気通信回線で接続した電子情報処理組織をいう。以下

この項において同じ。
）を使用する方法（電気通信回線の故障、災害

この項において同じ。）を使用する方法（電気通信回線の故障、災害

その他の理由により電子情報処理組織を使用することが困難である

その他の理由により電子情報処理組織を使用することが困難であると認められる場合にあっては、別記様式第一による報告書を提出すると認められる場合にあっては、別記様式第一による報告書を提出する

方法）

方法）

二 法第百五十条第一項の規定により、法第二十六条第一項の規定による権限の委任を受けた事業所管大臣に報告する場合

二 法第百四十七条第一項の規定により、法第二十六条第一項の規定に別記様式第一

よる権限の委任を受けた事業所管大臣に報告する場合

別記様式第による報告書を提出する方法（当該事業所管大臣が別に定める場合に一による報告書を提出する方法（当該事業所管大臣が別に定める場合

あっては、その方法）にあっては、その方法）

規則第九条 個人情報取扱事業者は、法第二十六条第一項ただし書の規定

規則第九条 個人情報取扱事業者は、法第二十六条第一項ただし書の規定による通知をする場合には、第七条各号に定める事態を知った後、速やによる通知をする場合には、第七条各号に定める事態を知った後、速や21

かに、前条第一項各号に定める事項を通知しなければならない。

かに、前条第一項各号に定める事項を通知しなければならない。

規則第十条 個人情報取扱事業者は、法第二十六条第二項本文の規定によ

規則第十条 個人情報取扱事業者は、法第二十六条第二項本文の規定による通知をする場合には、第七条各号に定める事態を知った後、当該事態る通知をする場合には、第七条各号に定める事態を知った後、当該事態の状況に応じて速やかに、当該本人の権利利益を保護するために必要なの状況に応じて速やかに、当該本人の権利利益を保護するために必要な範囲において、第八条第一項第一号、第二号、第四号、第五号及び第九範囲において、第八条第一項第一号、第二号、第四号、第五号及び第九号に定める事項を通知しなければならない。

号に定める事項を通知しなければならない。

個人データの「漏えい」とは、個人データが外部に流出すること、「滅失」

個人データの「漏えい」とは、個人データが外部に流出すること、「滅失」とは個人データの内容が失われること、「毀損」とは個人データの内容が意図とは個人データの内容が失われること、「毀損」とは個人データの内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となることしない形で変更されることや、内容を保ちつつも利用不能な状態となること

をいう。

をいう。

個人データの漏えい等やそのおそれのある事案（以下「漏えい等事案」と個人データの漏えい等やそのおそれのある事案（以下「漏えい等事案」という。
）が発覚した場合は、規則で定めるところにより、個人情報保護委員会

いう。
）が発覚した場合は、規則で定めるところにより、個人情報保護委員会への報告等を行わなければならない。また、二次被害の防止、類似案件の発への報告等を行わなければならない。また、健保組合等において漏えい等事

生防止等の観点から、個人情報の保護に配慮しつつ、可能な限り事実関係及案が発覚した場合は、所管の地方厚生（支）局に速やかに報告する必要があび再発防止策について速やかに公表することが望ましい。詳細は、別途定める。詳細は、別途定める通則ガイドラインを参照のこと。

る通則ガイドラインを参照のこと。なお、これらの内容については、所管の地方厚生（支）局に速やかに報告する必要がある。
【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

（略）

（略）

７．個人データの第三者提供（法第２７条）

７．個人データの第三者提供（法第２７条）（第三者提供の制限）（第三者提供の制限）

法第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あら法第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならな

かじめ本人の同意を得ないで、個人データを第三者に提供してはならな
22

い。

い。

一 法令に基づく場合

一 法令に基づく場合

二 人の生命、身体又は財産の保護のために必要がある場合であって、二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三

本人の同意を得ることが困難であるとき。

公衆衛生の向上又は児童の健全な育成の推進のために特に必要が三ある場合であって、本人の同意を得ることが困難であるとき。
四ある場合であって、本人の同意を得ることが困難であるとき。

国の機関若しくは地方公共団体又はその委託を受けた者が法令の四国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であっ定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそて、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

れがあるとき。

五

当該個人情報取扱事業者が学術研究機関等である場合であって、当五

当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを

該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除

く。
）
。

く。
）
。

六

当該個人情報取扱事業者が学術研究機関等である場合であって、当六

当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき（当該個人デ該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人のータを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報

権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。）。

取扱事業者と当該第三者が共同して学術研究を行う場合に限る。）。

七２

公衆衛生の向上又は児童の健全な育成の推進のために特に必要が当該第三者が学術研究機関等である場合であって、当該第三者が当七

当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人デ該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人のータを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

権利利益を不当に侵害するおそれがある場合を除く。）。

個人情報取扱事業者は、第三者に提供される個人データについて、本２
23

個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供

人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、個を停止することとしている場合であって、次に掲げる事項について、個

人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知

人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員

し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。ただし、第三者に提供される個人データが者に提供することができる。ただし、第三者に提供される個人データが要配慮個人情報又は第二十条第一項の規定に違反して取得されたもの

要配慮個人情報又は第二十条第一項の規定に違反して取得されたもの

若しくは他の個人情報取扱事業者からこの項本文の規定により提供さ若しくは他の個人情報取扱事業者からこの項本文の規定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む。）でれたもの（その全部又は一部を複製し、又は加工したものを含む。）である場合は、この限りでない。

ある場合は、この限りでない。

一

一

第三者への提供を行う個人情報取扱事業者の氏名又は名称及び住第三者への提供を行う個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。以下こ管理人の定めのあるものにあっては、その代表者又は管理人。以下この条、第三十条第一項第一号及び第三十二条第一項第一号において同の条、第三十条第一項第一号及び第三十二条第一項第一号において同

じ。
）の氏名

じ。）の氏名二 第三者への提供を利用目的とすること。

二 第三者への提供を利用目的とすること。

三 第三者に提供される個人データの項目

三 第三者に提供される個人データの項目

四四第三者に提供される個人データの取得の方法

第三者に提供される個人データの取得の方法

五 第三者への提供の方法

五 第三者への提供の方法

六

六

本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。

本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。

七 本人の求めを受け付ける方法

七 本人の求めを受け付ける方法

八八

その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則で定める事項

その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則で定める事項
24

３

個人情報取扱事業者は、前項第一号に掲げる事項に変更があったとき

３

個人情報取扱事業者は、前項第一号に掲げる事項に変更があったとき

又は同項の規定による個人データの提供をやめたときは遅滞なく、同項又は同項の規定による個人データの提供をやめたときは遅滞なく、同項第三号から第五号まで、第七号又は第八号に掲げる事項を変更しようと

第三号から第五号まで、第七号又は第八号に掲げる事項を変更しようとするときはあらかじめ、その旨について、個人情報保護委員会規則で定するときはあらかじめ、その旨について、個人情報保護委員会規則で定めるところにより、本人に通知し、又は本人が容易に知り得る状態に置めるところにより、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。

くとともに、個人情報保護委員会に届け出なければならない。

４

個人情報保護委員会は、第二項の規定による届出があったときは、個４

個人情報保護委員会は、第二項の規定による届出があったときは、個

人情報保護委員会規則で定めるところにより、当該届出に係る事項を公人情報保護委員会規則で定めるところにより、当該届出に係る事項を公表しなければならない。前項の規定による届出があったときも、同様と表しなければならない。前項の規定による届出があったときも、同様と

する。

する。

５

次に掲げる場合において、当該個人データの提供を受ける者は、前各５次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。

項の規定の適用については、第三者に該当しないものとする。

一

一

個人情報取扱事業者が利用目的の達成に必要な範囲内において個

人データの取扱いの全部又は一部を委託することに伴って当該個人人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合データが提供される場合

二

合併その他の事由による事業の承継に伴って個人データが提供さ

二

れる場合
三

６

個人情報取扱事業者が利用目的の達成に必要な範囲内において個

合併その他の事由による事業の承継に伴って個人データが提供される場合

特定の者との間で共同して利用される個人データが当該特定の者

三特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人デに提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びータの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及に当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじび住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

め、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

個人情報取扱事業者は、前項第三号に規定する個人データの管理につ

６25

個人情報取扱事業者は、前項第三号に規定する個人データの管理について責任を有する者の氏名、名称若しくは住所又は法人にあっては、そいて責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったときは遅滞なく、同号に規定する利用すの代表者の氏名に変更があったときは遅滞なく、同号に規定する利用する者の利用目的又は当該責任を有する者を変更しようとするときはある者の利用目的又は当該責任を有する者を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得るらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

状態に置かなければならない。

規則第十一条

法第二十七条第二項又は第三項の規定による通知又は容規則第十一条

法第二十七条第二項又は第三項の規定による通知又は容易に知り得る状態に置く措置は、次に掲げるところにより、行うものと易に知り得る状態に置く措置は、次に掲げるところにより、行うものと

する。

する。

一 第三者に提供される個人データによって識別される本人（次号にお一 第三者に提供される個人データによって識別される本人（次号において「本人」という。）が当該提供の停止を求めるのに必要な期間をいて「本人」という。）が当該提供の停止を求めるのに必要な期間を

おくこと。

おくこと。

二

本人が法第二十七条第二項各号に掲げる事項を確実に認識できる

二

適切かつ合理的な方法によること。
２

本人が法第二十七条第二項各号に掲げる事項を確実に認識できる
適切かつ合理的な方法によること。

法第二十七条第二項又は第三項の規定による届出は、次に掲げる方法

２

法第二十七条第二項又は第三項の規定による届出は、次に掲げる方法のいずれかにより行わなければならない。

のいずれかにより行わなければならない。

一 電子情報処理組織（個人情報保護委員会の使用に係る電子計算機と一 電子情報処理組織（個人情報保護委員会の使用に係る電子計算機と届出を行う者の使用に係る電子計算機とを電気通信回線で接続した届出を行う者の使用に係る電子計算機とを電気通信回線で接続した

電子情報処理組織をいう。
）を使用する方法

電子情報処理組織をいう。
）を使用する方法

二 別記様式第二（法第二十七条第三項の規定による個人データの提供

二 別記様式第二（法第二十七条第三項の規定による個人データの提供をやめた旨の届出を行う場合にあっては、別記様式三）による届出書をやめた旨の届出を行う場合にあっては、別記様式三）による届出書及び当該届出書に記載すべき事項を記録した光ディスク（これに準ず及び当該届出書に記載すべき事項を記録した光ディスク（これに準ずる方法により一定の事項を確実に記録しておくことができる物を含る方法により一定の事項を確実に記録しておくことができる物を含む。以下「光ディスク等」という。
）を提出する方法

む。以下「光ディスク等」という。
）を提出する方法
26

３

個人情報取扱事業者が、代理人によって法第二十七条第二項又は第三３

個人情報取扱事業者が、代理人によって法第二十七条第二項又は第三項の規定による届出を行う場合には、別記様式第四によるその権限を証項の規定による届出を行う場合には、別記様式第四によるその権限を証する書面（電磁的記録を含む。第十七条第一項、第十八条第二項、第三する書面（電磁的記録を含む。第十七条第一項、第十八条第二項、第三十条、第四十七条第一項、第四十八条第二項、第五十四条第二項、第六十条、第四十七条第一項、第四十八条第二項、第五十四条第二項、第六項及び第七項、第六十条並びに第六十六条第二項を除き、以下同じ。）

項及び第七項、第六十条並びに第六十六条第二項を除き、以下同じ。）

を個人情報保護委員会に提出しなければならない。

を個人情報保護委員会に提出しなければならない。

４

法第二十七条第二項第八号の個人情報保護委員会規則で定める事項

４

法第二十七条第二項第八号の個人情報保護委員会規則で定める事項

は、次に掲げる事項とする。

は、次に掲げる事項とする。

一

一

第三者に提供される個人データの更新の方法

第三者に提供される個人データの更新の方法

二 当該届出に係る個人データの第三者への提供を開始する予定日

二 当該届出に係る個人データの第三者への提供を開始する予定日

規則第十三条 法第二十七条第四項の規定による公表は、同条第二項又は規則第十三条 法第二十七条第四項の規定による公表は、同条第二項又は第三項の規定による届出があった後、遅滞なく、インターネットの利用

第三項の規定による届出があった後、遅滞なく、インターネットの利用

その他の適切な方法により行うものとする。

その他の適切な方法により行うものとする。

規則第十四条 個人情報取扱事業者は、法第二十七条第四項の規定による

規則第十四条 個人情報取扱事業者は、法第二十七条第四項の規定による公表がされた後、速やかに、インターネットの利用その他の適切な方法公表がされた後、速やかに、インターネットの利用その他の適切な方法により、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定めにより、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項を公表するものとする。

る事項を公表するものとする。

一

法第二十七条第二項の規定による届出を行った場合

同項各号に

一

掲げる事項
二

法第二十七条第三項の規定による変更の届出を行った場合

同項各号に

掲げる事項
変更

二

後の同条第二項各号に掲げる事項
三

法第二十七条第二項の規定による届出を行った場合

法第二十七条第三項の規定による変更の届出を行った場合

変更後の同条第二項各号に掲げる事項

法第二十七条第三項の規定による個人データの提供をやめた旨の

三

届出を行った場合 その旨

法第二十七条第三項の規定による個人データの提供をやめた旨の届出を行った場合 その旨

27

（１）第三者提供の取扱い（１）第三者提供の取扱い

健保組合等は、あらかじめ本人の同意を得ないで、個人データを第三健保組合等は、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならないとされており、次のような場合には、本人の同者に提供してはならないとされており、次のような場合には、本人の同意を得る必要がある。

意を得る必要がある。

（例）

（例）

・民間保険会社からの照会

・民間保険会社からの照会

被保険者等が民間の生命保険に加入しようとする場合、生命保険被保険者等が民間の生命保険に加入しようとする場合、生命保険会社からその健康状態等について照会があった場合、本人の同意を会社からその健康状態等について照会が合った場合、本人の同意を得ずに健康状態等を回答してはならない。

得ずに健康状態等を回答してはならない。

交通事故によって、けがの治療を受けている被保険者等に関し交通事故によって、けがの治療を受けている被保険者等に関して、損害保険会社から損害保険金の支払の審査のために必要であるて、損害保険会社から損害保険金の支払いの審査のために必要であとして症状に関する照会があった場合、本人の同意を得ず傷病名等るとして症状に関する照会があった場合、本人の同意を得ず傷病名を回答してはならない。

等を回答してはならない。

・職場からの照会・職場からの照会

職場の上司等から、社員の傷病名等に関する問合せがあった場合など、本人の同意を得ずに傷病名等を回答してはならない。

職場の上司等から、社員の傷病名等に関する問合せがあった場合など、本人の同意を得ずに傷病名等を回答してはならない。

・学校からの照会・学校からの照会

学校の教職員等から、児童・生徒の健康状態に関する問合せがあ

学校の教職員等から、児童・生徒の健康状態に関する問合せがあった場合など、本人の同意を得ずに健康状態等を回答してはならな

った場合など、本人の同意を得ずに健康状態等を回答してはならな

い。

い。

・マーケティング等を目的とする会社等からの照会

・マーケティング等を目的とする会社等からの照会
28※

健康食品の販売を目的とする会社から、高血圧の被保険者等の存

健康食品の販売を目的とする会社から、高血圧の被保険者等の存在の有無について照会された場合など、本人の同意を得ずにその存在の有無について照会された場合など、本人の同意を得ずにその存在の有無やその氏名・住所等を回答してはならない。

在の有無やその氏名・住所等を回答してはならない。

本条の「本人」、「第三者」の定義※

本条の「本人」、「第三者」の定義

・「本人」
・・・個人データで識別される個人。

・「本人」
・・・個人データで識別される個人。

・「第三者」
・・・本人及び個人情報取扱事業者以外の者をいい、自・「第三者」
・・・本人及び個人情報取扱事業者以外の者をいい、自然人か法人その他の団体かを問わない。

然人か法人その他の団体かを問わない。

（２）第三者提供の例外（２）第三者提供の例外

ただし、次に掲げる場合については、本人の同意を得る必要はない。

ただし、次に掲げる場合については、本人の同意を得る必要はない。

①法令（条例を含む。
）に基づく場合①法令に基づく場合

健康保険法第２９条又は第１９８条に基づく立入検査等、法令に基づいて個人情報を利用する場合（Ⅲ１．
（２）①参照）

健康保険法第２９条又は第１９８条に基づく立入検査等、法令に基づいて個人情報を利用する場合（Ⅲ１．
（２）①参照）②人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき②人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき

（例）

（例）

・意識不明となった被保険者等について、家族の連絡先等に関する情報

・意識不明となった被保険者等について、家族の連絡先等に関する情報

を医療機関等に提供する場合

を医療機関等に提供する場合※なお、「本人の同意を得ることが困難であるとき」には、本人に同意を※なお、「本人の同意を得ることが困難であるとき」には、本人に同意を求めても同意しない場合、本人に同意を求める手続を経るまでもなく求めても同意しない場合、本人に同意を求める手続きを経るまでもな

本人の同意を得ることができない場合等が含まれるものである。

く本人の同意を得ることができない場合等が含まれるものである。
29

③～⑦（略）③～⑦（略）（３）～（５）（略）（３）～（５）（略）【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

（略）

（略）

【その他の事項】【その他の事項】

・第三者提供に該当しない情報提供が行われる場合であっても、健保組合

・第三者提供に該当しない情報提供が行われる場合であっても、健保組合等のホームページへの掲載のほか、パンフレットの配布、事業所担当窓等のホームページへの掲載のほか、パンフレットの配布、事業所担当窓口や健保組合等の掲示板への掲示・備付け、公告等により情報提供先を口や健保組合等の掲示板への掲示・備付け、公告等により情報提供先をできるだけ明らかにするとともに、被保険者等からの問合せがあった場

できるだけ明らかにするとともに、被保険者等からの問合せがあった場合に回答できる体制を確保する。

合に回答できる体制を確保する。

・例えば、業務委託の場合、当該健保組合等において委託している業務の・例えば、業務委託の場合、当該健保組合等関係事業者において委託して内容、委託先事業者、委託先事業者との間での個人情報の取扱いに関すいる業務の内容、委託先事業者、委託先事業者との間での個人情報の取る取り決め等の委託内容について公表する。

扱いに関する取り決め等の委託内容について公表する。

８．外国にある第三者への提供の制限（法第２８条）

８．外国にある第三者への提供の制限（法第２８条）

詳細は、別途定める「個人情報の保護に関する法律についてのガイドラ

詳細は、別途定める「個人情報の保護に関する法律についてのガイドラ

イン（外国にある第三者への提供編）」（平成２８年個人情報保護委員会告イン（外国にある第三者への提供編）」（平成２８年個人情報保護委員会告示第７号）を参照のこと。

示第７号）を参照のこと。

（参考）

（参考）

（外国にある第三者への提供の制限）（外国にある第三者への提供の制限）

法第二十八条 個人情報取扱事業者は、外国（本邦の域外にある国又は地法第二十八条 個人情報取扱事業者は、外国（本邦の域外にある国又は地域をいう。以下この条及び第三十一条第一項第二号において同じ。）（個域をいう。以下この条及び第三十一条第一項第二号において同じ。）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる人の権利利益を保護する上で我が国と同等の水準にあると認められる

個人情報の保護に関する制度を有している外国として個人情報保護委

個人情報の保護に関する制度を有している外国として個人情報保護委
30

員会規則で定めるものを除く。以下この条及び同号において同じ。）にある第三者（個人データの取扱いについてこの節の規定により個人情報ある第三者（個人データの取扱いについてこの節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置（第三項に取扱事業者が講ずべきこととされている措置に相当する措置（第三項において「相当措置」という。
）を継続的に講ずるために必要なものとしおいて「相当措置」という。）を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備していて個人情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この項及び次項並びに同号において同じ。）に個人デる者を除く。以下この項及び次項並びに同号において同じ。）に個人データを提供する場合には、前条第一項各号に掲げる場合を除くほか、あータを提供する場合には、前条第一項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なけ

らかじめ外国にある第三者への提供を認める旨の本人の同意を得なけ

ればならない。この場合においては、同条の規定は、適用しない。

ればならない。この場合においては、同条の規定は、適用しない。

２

員会規則で定めるものを除く。以下この条及び同号において同じ。）に

個人情報取扱事業者は、前項の規定により本人の同意を得ようとする

２

個人情報取扱事業者は、前項の規定により本人の同意を得ようとする
場合には、個人情報保護委員会規則で定めるところにより、あらかじめ、

当該外国における個人情報の保護に関する制度、当該第三者が講ずる個

当該外国における個人情報の保護に関する制度、当該第三者が講ずる個

人情報の保護のための措置その他当該本人に参考となるべき情報を当

人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。

該本人に提供しなければならない。

３場合には、個人情報保護委員会規則で定めるところにより、あらかじめ、

個人情報取扱事業者は、個人データを外国にある第三者（第一項に規３

個人情報取扱事業者は、個人データを外国にある第三者（第一項に規定する体制を整備している者に限る。
）に提供した場合には、個人情報定する体制を整備している者に限る。）に提供した場合には、個人情報保護委員会規則で定めるところにより、当該第三者による相当措置の継保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求め続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければなに応じて当該必要な措置に関する情報を当該本人に提供しなければな

らない。

らない。

規則第十五条

法第二十八条第一項の規定による個人情報の保護に関す

規則第十五条

法第二十八条第一項の規定による個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるもの

る制度を有している外国として個人情報保護委員会規則で定めるもの

は、次の各号のいずれにも該当する外国として個人情報保護委員会が定は、次の各号のいずれにも該当する外国として個人情報保護委員会が定31

めるものとする。

めるものとする。

一

一二

法における個人情報取扱事業者に関する規定に相当する法令その法における個人情報取扱事業者に関する規定に相当する法令その他の定めがあり、その履行が当該外国内において確保されていると認

他の定めがあり、その履行が当該外国内において確保されていると認めるに足りる状況にあること。

めるに足りる状況にあること

個人情報保護委員会に相当する独立した外国執行当局が存在して

二

個人情報保護委員会に相当する独立した外国執行当局が存在しており、かつ、当該外国執行当局において必要かつ適切な監督を行うた

おり、かつ、当該外国執行当局において必要かつ適切な監督を行うための体制が確保されていること。

めの体制が確保されていること

三 我が国との間において、個人情報の適正かつ効果的な活用と個人の三 我が国との間において、個人情報の適正かつ効果的な活用と個人の権利利益の保護に関する相互理解に基づく連携及び協力が可能であ

権利利益の保護に関する相互理解に基づく連携及び協力が可能であると認められるものであること。

ると認められるものであること

四

個人情報の保護のために必要な範囲を超えて国際的な個人データ

四

個人情報の保護のために必要な範囲を超えて国際的な個人データの移転を制限することなく、かつ、我が国との間において、個人情報の移転を制限することなく、かつ、我が国との間において、個人情報の保護を図りつつ、相互に円滑な個人データの移転を図ることが可能の保護を図りつつ、相互に円滑な個人データの移転を図ることが可能であると認められるものであること。

であると認められるものであること
五 前四号に定めるもののほか、当該外国を法第二十八条第一項の規定による外国として定めることが、我が国における新たな産業の創出並による外国として定めることが、我が国における新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資すると認めらびに活力ある経済社会及び豊かな国民生活の実現に資すると認められるものであること。

れるものであること

２

五 前四号に定めるもののほか、当該外国を法第二十八条第一項の規定

個人情報保護委員会は、前項の規定による外国を定める場合におい２

個人情報保護委員会は、前項の規定による外国を定める場合において、我が国における個人の権利利益を保護するために必要があると認めるときは、当該外国にある第三者への提供を認める旨の本人の同意を得るときは、当該外国にある第三者への提供を認める旨の本人の同意を得ることなく提供できる個人データの範囲を制限することその他の必要ることなく提供できる個人データの範囲を制限することその他の必要な条件を付することができる。

な条件を付することができる。

３て、我が国における個人の権利利益を保護するために必要があると認め個人情報保護委員会は、第一項の規定による外国を定めた場合におい３
32

個人情報保護委員会は、第一項の規定による外国を定めた場合において、当該外国が第一項各号に該当していること又は当該外国について前て、当該外国が第一項各号に該当していること又は当該外国について前項の規定により付された条件が満たされていることを確認するため必項の規定により付された条件が満たされていることを確認するため必要があると認めるときは、当該外国における個人情報の保護に関する制要があると認めるときは、当該外国における個人情報の保護に関する制度又は当該条件に係る対応の状況に関し必要な調査を行うものとする。

度又は当該条件に係る対応の状況に関し必要な調査を行うものとする。

４

個人情報保護委員会は、第一項の規定による外国を定めた場合におい４

個人情報保護委員会は、第一項の規定による外国を定めた場合において、前項の調査の結果その他の状況を踏まえ、当該外国が第一項各号にて、前項の調査の結果その他の状況を踏まえ、当該外国が第一項各号に該当しなくなったと認めるとき又は当該外国について第二項の規定に該当しなくなったと認めるとき又は当該外国について第二項の規定により付された条件が満たされなくなったと認めるときは、第一項の規定より付された条件が満たされなくなったと認めるときは、第一項の規定による定めを取り消すものとする。

による定めを取り消すものとする。

規則第十六条

法第二十八条第一項の個人情報保護委員会規則で定める

規則第十六条

法第二十八条第一項の個人情報保護委員会規則で定める基準は、次の各号のいずれかに該当することとする。

基準は、次の各号のいずれかに該当することとする。

一

一

個人情報取扱事業者と個人データの提供を受ける者との間で、当該個人情報取扱事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第四章第二節の規定の趣旨に沿った措置の実

合理的な方法により、法第四章第二節の規定の趣旨に沿った措置の実施が確保されていること。

施が確保されていること。

二

個人データの提供を受ける者が、個人情報の取扱いに係る国際的な二枠組みに基づく認定を受けていること。
規則第十七条

個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。

法第二十八条第二項又は法第三十一条の二第一項第二号

規則第十七条

法第二十八条第二項又は法第三十一条の二第一項第二号の規定により情報を提供する方法は、電磁的記録の提供による方法、書の規定により情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。

面の交付による方法その他の適切な方法とする。

２

法第二十八条第二項又は法第三十一条の二第一項第二号の規定によ

２

法第二十八条第二項又は法第三十一条の二第一項第二号の規定による情報の提供は、次に掲げる事項について行うものとする。

る情報の提供は、次に掲げる事項について行うものとする。

一

当該外国の名称

一 当該外国の名称

二

適切かつ合理的な方法により得られた当該外国における個人情報

二33

適切かつ合理的な方法により得られた当該外国における個人情報

の保護に関する制度に関する情報
三の保護に関する制度に関する情報

当該第三者が講ずる個人情報の保護のための措置に関する情報

３

三 当該第三者が講ずる個人情報の保護のための措置に関する情報

前項の規定にかかわらず、個人情報取扱事業者は、法第二十八条第一３

前項の規定にかかわらず、個人情報取扱事業者は、法第二十八条第一項の規定により本人の同意を得ようとする時点において、前項第一号に項の規定により本人の同意を得ようとする時点において、前項第一号に定める事項が特定できない場合には、同号及び同項第二号に定める事項

定める事項が特定できない場合には、同号及び同項第二号に定める事項に代えて、次に掲げる事項について情報提供しなければならない。

に代えて、次に掲げる事項について情報提供しなければならない。

一

前項第一号に定める事項が特定できない旨及びその理由一

前項第一号に定める事項が特定できない旨及びその理由二

前項第一号に定める事項に代わる本人に参考となるべき情報があ二

前項第一号に定める事項に代わる本人に参考となるべき情報がある場合には、当該情報
４

る場合には、当該情報第二項の規定にかかわらず、個人情報取扱事業者は、法第二十八条第４第二項の規定にかかわらず、個人情報取扱事業者は、法第二十八条第一項の規定により本人の同意を得ようとする時点において、第二項第三一項の規定により本人の同意を得ようとする時点において、第二項第三号に定める事項について情報提供できない場合には、同号に定める事項

号に定める事項について情報提供できない場合には、同号に定める事項に代えて、その旨及びその理由について情報提供しなければならない。

に代えて、その旨及びその理由について情報提供しなければならない。

第十八条 法第二十八条第三項（法第三十一条の二第二項において読み替

第十八条 法第二十八条第三項（法第三十一条の二第二項において読み替

えて準用する場合を含む。）の規定による外国にある第三者による相当

えて準用する場合を含む。）の規定による外国にある第三者による相当措置の継続的な実施を確保するために必要な措置は、次に掲げる措置と措置の継続的な実施を確保するために必要な措置は、次に掲げる措置と

する。

する。

一

一

当該第三者による相当措置の実施状況並びに当該相当措置の実施

当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、

適切かつ合理的な方法により、定期的に確認すること。

適切かつ合理的な方法により、定期的に確認すること。

二

当該第三者による相当措置の実施に支障が生じたときは、必要かつ二

当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データ（第三十一条の二第二項において読困難となったときは、個人データ（第三十一条の二第二項において読み替えて準用する場合にあっては、個人関連情報）の当該第三者へのみ替えて準用する場合にあっては、個人関連情報）の当該第三者への34

提供を停止すること。
２

提供を停止すること。

法第二十八条第三項の規定により情報を提供する方法は、電磁的記録

２の提供による方法、書面の交付による方法その他の適切な方法とする。
３

法第二十八条第三項の規定により情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。

個人情報取扱事業者は、法第二十八条第三項の規定による求めを受け

３

個人情報取扱事業者は、法第二十八条第三項の規定による求めを受けたときは、本人に対し、遅滞なく、次に掲げる事項について情報提供したときは、本人に対し、遅滞なく、次に掲げる事項について情報提供しなければならない。ただし、情報提供することにより当該個人情報取扱なければならない。ただし、情報提供することにより当該個人情報取扱

事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、その全部又は一部を提供しないことができる。

その全部又は一部を提供しないことができる。

一

一

当該第三者による法第二十八条第一項に規定する体制の整備の方

法当該第三者による法第二十八条第一項に規定する体制の整備の方

法二

当該第三者が実施する相当措置の概要

二

当該第三者が実施する相当措置の概要

三第一項第一号の規定による確認の頻度及び方法

三第一項第一号の規定による確認の頻度及び方法

四

当該外国の名称四

当該外国の名称五

当該第三者による相当措置の実施に影響を及ぼすおそれのある当五

当該第三者による相当措置の実施に影響を及ぼすおそれのある当

該外国の制度の有無及びその概要
六

該外国の制度の有無及びその概要

当該第三者による相当措置の実施に関する支障の有無及びその概

六

要
七

要
前号の支障に関して第一項第二号の規定により当該個人情報取扱

七

事業者が講ずる措置の概要
４

当該第三者による相当措置の実施に関する支障の有無及びその概
前号の支障に関して第一項第二号の規定により当該個人情報取扱事業者が講ずる措置の概要

個人情報取扱事業者は、法第二十八条第三項の規定による求めに係る

４

個人情報取扱事業者は、法第二十八条第三項の規定による求めに係る情報の全部又は一部について提供しない旨の決定をしたときは、本人に情報の全部又は一部について提供しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

対し、遅滞なく、その旨を通知しなければならない。

５

個人情報取扱事業者は、前項の規定により、本人から求められた情報

５の全部又は一部について提供しない旨を通知する場合には、本人に対個人情報取扱事業者は、前項の規定により、本人から求められた情報の全部又は一部について提供しない旨を通知する場合には、本人に対35し、その理由を説明するよう努めなければならない。

し、その理由を説明するよう努めなければならない。

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

・健保組合等が、法第２８条の規定に基づき、外国にある第三者に個人デ・健保組合等が、法第２８条の規定に基づき、外国にある第三者に個人データを提供する場合には、法第２７条第１項各号（※）に定める場合をータを提供する場合には、法第２７条第１項各号（※）に定める場合を除き、外国にある第三者へ提供することについて本人の同意を得なけれ除き、外国にある第三者へ提供することについて本人の同意を得なければならない。

ばならない。

・ただし、次の①又は②のいずれかに該当する場合は、国内と同様に法第・ただし、次の①又は②のいずれかに該当する場合は、国内と同様に法第２７条第１項柱書の規定に基づく本人同意による第三者提供、又は同条

２７条第１項柱書の規定に基づく本人同意による第三者提供、又は同条第５項に基づく委託、共同利用による提供が可能である。

第５項に基づく委託、共同利用による提供が可能である。

①外国にある第三者が日本と同等の水準にあると認められる個人情報保護制度を有している国として規則で定める国にある場合①外国にある第三者が日本と同等の水準にあると認められる個人情報保護制度を有している国として個人情報の保護に関する法律施行規則（平成２８年個人情報保護委員会規則第３号。以下「規則」という。）で定める国にある場合②外国にある第三者が、個人情報取扱事業者が講ずべき措置に相当す②外国にある第三者が、個人情報取扱事業者が講ずべき措置に相当す

る措置を継続的に講ずるために必要な体制として規則で定める基準る措置を継続的に講ずるために必要な体制として規則で定める基準に適合する体制を整備している場合に適合する体制を整備している場合（※）法第２７条第 1 項各号（※）法第２７条第 1 項各号

・法令（条例を含む。
）に基づいて個人データを提供する場合（第・法令に基づいて個人データを提供する場合（第 1 号関係）

1 号関係）
・人（法人を含む。
）の生命、身体又は財産といった具体的な権利・人（法人を含む。
）の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個人デ利益が侵害されるおそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得ることが困難

ータの提供が必要であり、かつ、本人の同意を得ることが困難

36

である場合（第 2 号関係）である場合（第 2 号関係）

・公衆衛生の向上又は心身の発展途上にある児童の健全な育成の・公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることがために特に必要な場合であり、かつ、本人の同意を得ることが困難である場合（第 3 号関係）困難である場合（第 3 号関係）

・国の機関等が法令の定める事務を実施する上で、民間企業等の・国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であって、協力する民間企業等が当協力を得る必要がある場合であって、協力する民間企業等が当該国の機関等に個人データを提供することについて、本人の同該国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場

意を得ることが当該事務の遂行に支障を及ぼすおそれがある場

合（第 4 号関係）

合（第 4 号関係）

・個人情報取扱事業者が学術研究機関等である場合であって、当・個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためや該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがあむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。
）（第５号関係）る場合を除く。）（第５号関係）・個人情報取扱事業者が学術研究機関等である場合であって、当・個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき（当該該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除

含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）（当該個人情報取扱事業者と当該第三者が共同して学術研く。）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。
）（第６号関係）

究を行う場合に限る。）（第６号関係）・第三者が学術研究機関等である場合であって、当該第三者が当・第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除

含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）（第 7 号関係）

く。）（第 7 号関係）
37

９．第三者提供に係る記録の作成等（法第２９条）

９．第三者提供に係る記録の作成等（法第２９条）

詳細は、別途定める「個人情報の保護に関する法律についてのガイドライ

詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」（平成２８年個人情報保護委員会告ン（第三者提供時の確認・記録義務編）」（平成２８年個人情報保護委員会告示第８号）を参照のこと。

示第８号）を参照のこと。

（第三者提供に係る記録の作成等）（第三者提供に係る記録の作成等）

法第二十九条 個人情報取扱事業者は、個人データを第三者（第十六条第法第二十九条 個人情報取扱事業者は、個人データを第三者（第十六条第二項各号に掲げる者を除く。略）に提供したときは、個人情報保護委員

二項各号に掲げる者を除く。略）に提供したときは、個人情報保護委員会規則で定めるところにより、当該個人データを提供した年月日、当該会規則で定めるところにより、当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項

第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。ただし、当該個人データの提に関する記録を作成しなければならない。ただし、当該個人データの提供が第二十七条第一項各号又は第五項各号のいずれか（略）に該当する供が第二十七条第一項各号又は第五項各号のいずれか（略）に該当する

場合は、この限りでない。

場合は、この限りでない。

2

個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個

2

人情報保護委員会規則で定める期間保存しなければならない。

個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個
人情報保護委員会規則で定める期間保存しなければならない。

（第三者提供に係る記録の作成）（第三者提供に係る記録の作成）

規則第十九条

規則第十九条

2

法第二十九条第一項の規定による同項の記録を作成する

法第二十九条第一項の規定による同項の記録を作成する

方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法

方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法

とする。

とする。

法第二十九条第一項の記録は、個人データを第三者（略）に提供した

2

法第二十九条第一項の記録は、個人データを第三者（略）に提供した

都度、速やかに作成しなければならない。ただし、当該第三者に対し個都度、速やかに作成しなければならない。ただし、当該第三者に対し個人データを継続的に若しくは反復して提供（略）したとき、又は当該第人データを継続的に若しくは反復して提供（略）したとき、又は当該第三者に対し個人データを継続的に若しくは反復して提供することが確三者に対し個人データを継続的に若しくは反復して提供することが確実であると見込まれるときの記録は、一括して作成することができる。

実であると見込まれるときの記録は、一括して作成することができる。
38

3

前項の規定にかかわらず、法第二十七条第一項又は法第二十八条第一3

前項の規定にかかわらず、法第二十七条第一項又は法第二十八条第一項の規定により、本人に対する物品又は役務の提供に関連して当該本人項の規定により、本人に対する物品又は役務の提供に関連して当該本人に係る個人データを第三者に提供した場合において、当該提供に関してに係る個人データを第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に次条第一項各号に定める事項が記載作成された契約書その他の書面に次条第一項各号に定める事項が記載されているときは、当該書面をもって法第二十九条第一項の当該事項にされているときは、当該書面をもって法第二十九条第一項の当該事項に関する記録に代えることができる。

関する記録に代えることができる。

（第三者提供に係る記録事項）（第三者提供に係る記録事項）

規則第二十条

規則第二十条

法第二十九条第一項の個人情報保護委員会規則で定める

法第二十九条第一項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定め事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。

る事項とする。

一一

法第二十七条第二項の規定により個人データを第三者に提供した

法第二十七条第二項の規定により個人データを第三者に提供した

場合 次のイからニまでに掲げる事項

場合 次のイからニまでに掲げる事項

イ

当該個人データを提供した年月日

イ

当該個人データを提供した年月日

ロ

当該第三者の氏名又は名称及び住所並びに法人にあっては、そのロ

当該第三者の氏名又は名称及び住所並びに法人にあっては、そのハ代表者（法人でない団体で代表者又は管理人の定めのあるものにあ

代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。第二十八条第一項第三号においてっては、その代表者又は管理人。第二十八条第一項第三号において同じ。
）の氏名（不特定かつ多数の者に対して提供したときは、そ同じ。）の氏名（不特定かつ多数の者に対して提供したときは、そ

の旨）

の旨）

当該個人データによって識別される本人の氏名その他の当該本

ハ人を特定するに足りる事項
ニ二

当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項

当該個人データの項目

ニ

法第二十七条第一項又は法第二十八条第一項の規定により個人デ

二

当該個人データの項目
法第二十七条第一項又は法第二十八条第一項の規定により個人データを第三者に提供した場合 次のイ及びロに掲げる事項

ータを第三者に提供した場合 次のイ及びロに掲げる事項

イ

イ

法第二十七条第一項又は法第二十八条第一項の本人の同意を得
39

法第二十七条第一項又は法第二十八条第一項の本人の同意を得

ている旨

ている旨

ロ

ロ

２

前号ロからニまでに掲げる事項

前項各号に定める事項のうち、既に前条に規定する方法により作成し２

前号ロからニまでに掲げる事項

前項各号に定める事項のうち、既に前条に規定する方法により作成した法第二十九条第一項の記録（当該記録を保存している場合におけるもた法第二十九条第一項の記録（当該記録を保存している場合におけるものに限る。
）に記録されている事項と内容が同一であるものについては、のに限る。
）に記録されている事項と内容が同一であるものについては、同項の当該事項の記録を省略することができる。

法第二十九条第一項の当該事項の記録を省略することができる。

（第三者提供に係る記録の保存期間）（第三者提供に係る記録の保存期間）

規則第二十一条

規則第二十一条

法第二十九条第二項の個人情報保護委員会規則で定め

法第二十九条第二項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号にる期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とする。

定める期間とする。

一

第十九条第三項に規定する方法により記録を作成した場合

最後

一第十九条第三項に規定する方法により記録を作成した場合最後に当該記録に係る個人データの提供を行った日から起算して一年をに当該記録に係る個人データの提供を行った日から起算して一年を経過する日までの間経過する日までの間

二第十九条第二項ただし書に規定する方法により記録を作成した場

合二

最後に当該記録に係る個人データの提供を行った日から起算し合て三年を経過する日までの間
三第十九条第二項ただし書に規定する方法により記録を作成した場
最後に当該記録に係る個人データの提供を行った日から起算して三年を経過する日までの間

前二号以外の場合 三年三（１）記録義務が適用されない場合

前二号以外の場合 三年（１）記録義務が適用されない場合

以下の場合には記録義務が適用されない。

以下の場合には記録義務が適用されない。

①第三者が法第１６条第２項各号に掲げる者である場合①第三者が法第１６条第２項各号に掲げる者である場合

以下の１）から４）までに掲げる者との間で個人データの授受を行う場合、記録義務は適用されない。

以下の１）から４）までに掲げる者との間で個人データの授受を行う場合、記録義務は適用されない。

40

１）国の機関（法第１６条第２項第 1 号関係）

１）国の機関（法第１６条第２項第 1 号関係）

２）地方公共団体（法第１６条第２項第 2 号関係）

２）地方公共団体（法第１６条第２項第 2 号関係）

３）独立行政法人等（独立行政法人通則法（平成１１年法律第１３）独立行政法人等（独立行政法人通則法（平成１１年法律第１０３号）第２条第１項に規定する独立行政法人及び法別表第０３号）第２条第１項に規定する独立行政法人及び法別表第１に掲げる法人（法別表第２に掲げる法人を除く。
）をいう。）

１に掲げる法人（法別表第２に掲げる法人を除く。
）をいう。）（法第１６条第２項第３号関係）（法第１６条第２項第３号関係）

４）地方独立行政法人（地方独立行政法人法（平成１５年法律第４）地方独立行政法人（地方独立行政法人法（平成１５年法律第１１８号）第２条第 1 項に規定する地方独立行政法人をいい、

１１８号）第２条第 1 項に規定する地方独立行政法人をい同法第２１条第１号に掲げる業務を主たる目的とするもの又う。）（法第１６条第２項第４号関係）は同条第２号若しくは第３号（チに係る部分に限る。
）に掲げる業務を目的とするものを除く。）（法第１６条第２項第４号
関係）②法第２７条第 1 項各号に該当する場合（Ⅲ７．
（２）参照）②法第２７条第 1 項各号に該当する場合（Ⅲ７．
（２）参照）

個人データが転々流通することは想定されにくいことに鑑み、記録

個人データが転々流通することは想定されにくいことに鑑み、記録義務は適用されない。

義務は適用されない。

１）法令（条例を含む。
）に基づいて個人データを提供する場合（第１）法令に基づいて個人データを提供する場合（第 1 号関係）

1 号関係）（例）（例）

・番号法に定める情報連携・番号法に定める情報連携・特定健診、保健指導の実施状況管理及び国への報告

・特定健診、保健指導の実施状況管理及び国への報告

２）～７）
（略）

２）～７）
（略）

③（略）

③（略）

④本人に代わって提供している場合④本人に代わって提供している場合
41

健保組合等が被保険者本人からの委託等に基づき当該本人の個人デ健保組合等が被保険者本人からの委託等に基づき当該本人の個人データを第三者提供する場合は、当該健保組合等は「本人に代わって」

ータを第三者提供する場合は、当該個人情報取扱事業者は「本人に代個人データの提供をしているものである。

わって」個人データの提供をしているものである。

したがって、この場合の第三者提供については、記録義務は適用さしたがって、この場合の第三者提供については、記録義務は適用さ

れない。

れない。

（例）

（例）

・高額療養費、付加給付を事業主経由で支給する場合において明・高額療養費、付加給付を事業主経由で支給する場合において明細などの個人データを事業主に提供した場合

細などの個人データを事業主に提供した場合

・第三者求償事務において、保険会社・医療機関等への相談又は・第三者求償事務において、保険会社・医療機関等への相談又は

届出等

届出等

⑤（略）

⑤（略）

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】（２） （略）（２） （略）

１０（略）

１０（略）

１１．保有個人データに関する事項の公表等（法第３２条）

１１．保有個人データに関する事項の公表等（法第３２条）（保有個人データに関する事項の公表等）（保有個人データに関する事項の公表等）

法第三十二条 個人情報取扱事業者は、保有個人データに関し、次に掲げ

法第三十二条 個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回る事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）に置かなければならない。

答する場合を含む。
）に置かなければならない。

一一

当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名

当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名

二 全ての保有個人データの利用目的（第二十一条第四項第一号から第二 全ての保有個人データの利用目的（第二十一条第四項第一号から第三号までに該当する場合を除く。
）

三号までに該当する場合を除く。）
42

三 次項の規定による求め又は次条第一項（同条第五項において準用す

三 次項の規定による求め又は次条第一項（同条第五項において準用する場合を含む。
）、第三十四条第一項若しくは第三十五条第一項、第三る場合を含む。）、第三十四条第一項若しくは第三十五条第一項、第三項若しくは第五項の規定による請求に応じる手続（第三十八条第二項

項若しくは第五項の規定による請求に応じる手続（第三十八条第二項の規定により手数料の額を定めたときは、その手数料の額を含む。）の規定により手数料の額を定めたときは、その手数料の額を含む。）

四 前三号に掲げるもののほか、保有個人データの適正な取扱いの確保

四 前三号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの
２

に関し必要な事項として政令で定めるもの

個人情報取扱事業者は、本人から、当該本人が識別される保有個人デ２

個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、こータの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、次の各号のいずれかに該当するれを通知しなければならない。ただし、次の各号のいずれかに該当する

場合は、この限りでない。

場合は、この限りでない。

一

一

前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合的が明らかな場合

二 第二十一条第四項第一号から第三号までに該当する場合
３

前項の規定により当該本人が識別される保有個人データの利用目

二 第二十一条第四項第一号から第三号までに該当する場合

個人情報取扱事業者は、前項の規定に基づき求められた保有個人デー

３

個人情報取扱事業者は、前項の規定に基づき求められた保有個人デー

タの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なタの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

く、その旨を通知しなければならない。

（保有個人データの適正な取扱いの確保に関し必要な事項）（保有個人データの適正な取扱いの確保に関し必要な事項）

令第十条 法第三十二条第一項第四号の政令で定めるものは、次に掲げる

令第十条 法第三十二条第一項第四号の政令で定めるものは、次に掲げるものとする。

ものとする。

一

一

法第二十三条の規定により保有個人データの安全管理のために講法第二十三条の規定により保有個人データの安全管理のために講じた措置（本人の知り得る状態（本人の求めに応じて遅滞なく回答す

じた措置（本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置くことにより当該保有個人データの安全管理にる場合を含む。）に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。
）

支障を及ぼすおそれがあるものを除く。
）
43

二

当該個人情報取扱事業者が行う保有個人データの取扱いに関する

二

苦情の申出先三

当該個人情報取扱事業者が行う保有個人データの取扱いに関する苦情の申出先当該個人情報取扱事業者が認定個人情報保護団体の対象事業者で三

当該個人情報取扱事業者が認定個人情報保護団体の対象事業者である場合にあっては、当該認定個人情報保護団体の名称及び苦情の解ある場合にあっては、当該認定個人情報保護団体の名称及び苦情の解

決の申出先

決の申出先

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

・健保組合等は、保有個人データに関し、(ｱ)当該健保組合等の名称、住所・健保組合等は、保有個人データに関し、(ｱ)当該個人情報取扱事業者の氏及び代表者の氏名、(ｲ)全ての保有個人データの利用目的（法第２１条第名又は名称及び住所並びに法人にあっては、その代表者の氏名、(ｲ)全て４項第１号から第３号までに規定された例外の場合を除く。）、(ｳ)保有個の保有個人データの利用目的（法第２１条第４項第１号から第３号まで

人データの利用目的の通知、開示、訂正、利用停止等の手続の方法、及に規定された例外の場合を除く。）、(ｳ)保有個人データの利用目的の通び保有個人データの利用目的の通知又は開示に係る手数料の額、(ｴ)苦情

知、開示、訂正、利用停止等の手続の方法、及び保有個人データの利用の申出先等について、本人の知り得る状態（本人の求めに応じて遅滞な目的の通知又は開示に係る手数料の額、(ｴ)苦情の申出先等について、本く回答する場合を含む。
）に置かなければならない。

人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。

・健保組合等は、本人から、当該本人が識別される保有個人データの利用・健保組合等は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、上記の措置により利用目的が明らかに目的の通知を求められたときは、上記の措置により利用目的が明らかになっている場合及び法第２１条第４項第１号から第３号までの例外に相なっている場合及び法第２１条第４項第１号から第３号までの例外に相当する場合を除き、遅滞なく通知しなければならない。

当する場合を除き、遅滞なく通知しなければならない。

・健保組合等は、利用目的の通知をしない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

・健保組合等は、利用目的の通知をしない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

・法施行前から保有している個人情報についても同様の取扱いを行う。

・法施行前から保有している個人情報についても同様の取扱いを行う。

【その他の事項】【その他の事項】

（略）

（略）
44

１２．本人からの請求による保有個人データの開示（法第３３条）

１２．本人からの請求による保有個人データの開示（法第３３条）

（開示）

（開示）

法第三十三条 本人は、個人情報取扱事業者に対し、当該本人が識別され法第三十三条 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの電磁的記録の提供による方法その他の個人情報保る保有個人データの電磁的記録の提供による方法その他の個人情報保

護委員会規則で定める方法による開示を請求することができる。

護委員会規則で定める方法による開示を請求することができる。

２

個人情報取扱事業者は、前項の規定による請求を受けたときは、本人

２

個人情報取扱事業者は、前項の規定による請求を受けたときは、本人に対し、同項の規定により当該本人が請求した方法（当該方法による開に対し、同項の規定により当該本人が請求した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難であ示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）により、遅滞なく、当該保る場合にあっては、書面の交付による方法）により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しない

次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。

ことができる。

一 本人又は第三者の生命、身体、財産その他の権利利益を害するおそ一 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合二れがある場合当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼ二

すおそれがある場合

すおそれがある場合

三 他の法令に違反することとなる場合
３

当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼ三 他の法令に違反することとなる場合

個人情報取扱事業者は、第一項の規定による請求に係る保有個人デー

３

個人情報取扱事業者は、第一項の規定による請求に係る保有個人デー
タの全部若しくは一部について開示しない旨の決定をしたとき、当該保有個人データが存在しないとき、又は同項の規定により本人が請求した

有個人データが存在しないとき、又は同項の規定により本人が請求した方法による開示が困難であるときは、本人に対し、遅滞なく、その旨を方法による開示が困難であるときは、本人に対し、遅滞なく、その旨を通知しなければならない。

通知しなければならない。

４

タの全部若しくは一部について開示しない旨の決定をしたとき、当該保他の法令の規定により、本人に対し第二項本文に規定する方法に相当４する方法により当該本人が識別される保有個人データの全部又は一部

他の法令の規定により、本人に対し第二項本文に規定する方法に相当
する方法により当該本人が識別される保有個人データの全部又は一部

45

を開示することとされている場合には、当該全部又は一部の保有個人データについては、第一項及び第二項の規定は、適用しない。

ータについては、第一項及び第二項の規定は、適用しない。

５を開示することとされている場合には、当該全部又は一部の保有個人デ第一項から第三項までの規定は、当該本人が識別される個人データに５第一項から第三項までの規定は、当該本人が識別される個人データに係る第二十九条第一項及び第三十条第三項の記録（その存否が明らかに係る第二十九条第一項及び第三十条第三項の記録（その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるなることにより公益その他の利益が害されるものとして政令で定めるものを除く。第三十七条第二項において「第三者提供記録」という。
）にものを除く。第三十七条第二項において「第三者提供記録」という。
）について準用する。

ついて準用する。

（第三者提供記録から除外されるもの）（第三者提供記録から除外されるもの）

令第十一条 法第三十三条第五項の政令で定めるものは、次に掲げるもの

令第十一条 法第三十三条第五項の政令で定めるものは、次に掲げるもの

とする。

とする。

一

一

当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの

当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの

二 当該記録の存否が明らかになることにより、違法又は不当な行為を

二 当該記録の存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの

助長し、又は誘発するおそれがあるもの

三 当該記録の存否が明らかになることにより、国の安全が害されるお三 当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他

それ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの

国若しくは国際機関との交渉上不利益を被るおそれがあるもの

四 当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は四 当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるも捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるものの（本人が請求することができる開示の方法）（本人が請求することができる開示の方法）

規則第三十条 法第三十三条第一項 （同条第五項において準用する場合

規則第三十条 法第三十三条第一項 （同条第五項において準用する場合を含む。
）の個人情報保護委員会規則で定める方法は、電磁的記録の提を含む。）の個人情報保護委員会規則で定める方法は、電磁的記録の提46

供による方法、書面の交付による方法その他当該個人情報取扱事業者の供による方法、書面の交付による方法その他当該個人情報取扱事業者の定める方法とする。

定める方法とする。

（１）
・
（２）
（略）

（１）
・（２）（略）【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

・健保組合等は、本人から、当該本人が識別される保有個人データの開示

・健保組合等は、本人から、当該本人が識別される保有個人データの開示の請求を受けたときは、本人に対し、遅滞なく、当該保有個人データをの請求を受けたときは、本人に対し、遅滞なく、当該保有個人データを開示しなければならない。また、当該本人が識別される保有個人データ

開示しなければならない。また、当該本人が識別される保有個人データが存在しないときにその旨知らせることとする。ただし、開示することが存在しないときにその旨知らせることとする。ただし、開示すること

により、法第３３条第２項各号のいずれかに該当する場合は、その全部により、法第３３条第２項各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。

又は一部を開示しないことができる。

・Ⅱ１．に記したとおり、例えばレセプトの情報の中には、被保険者等の・Ⅱ１．に記したとおり、例えばレセプトの情報の中には、被保険者等の保有個人データであって、当該レセプトに係る診察をした医師の保有個

保有個人データであって、当該レセプトに係る診察をした医師の保有個人データでもあるという二面性を持つ部分が含まれるものの、そもそも人データでもあるという二面性を持つ部分が含まれるものの、そもそもレセプト全体が被保険者等の保有個人データであることから、被保険者

レセプト全体が被保険者等の保有個人データであることから、被保険者等本人から開示の請求があった場合に、その二面性があることを理由に等本人から開示の請求があった場合に、その二面性があることを理由に全部又は一部を開示しないことはできない。ただし、法第３３条第２項

全部又は一部を開示しないことはできない。ただし、法第３３条第２項

各号のいずれかに該当する場合には、法に従い、その全部又は一部を開

各号のいずれかに該当する場合には、法に従い、その全部又は一部を開示しないことができる。

示しないことができる。

・開示の方法は、電磁的記録の提供による方法、書面の交付による方法その他健保組合等の定める方法による。

・開示の方法は、電磁的記録の提供による方法、書面の交付による方法その他当該個人情報取扱事業者の定める方法による。

・健保組合等は、請求を受けた保有個人データの全部又は一部について開・健保組合等は、請求を受けた保有個人データの全部又は一部について開示しない旨を決定したときは、本人に対し、遅滞なく、その旨を通知し示しない旨を決定したときは、本人に対し、遅滞なく、その旨を通知し47

なければならない。また、本人に通知する場合には、本人に対してそのなければならない。また、本人に通知する場合には、本人に対してその理由を説明するよう努めなければならない（Ⅲ１５．参照）。

理由を説明するよう努めなければならない（Ⅲ１５．参照）。

・他の法令の規定により、保有個人データの開示について定めがある場合

・他の法令の規定により、保有個人データの開示について定めがある場合には、当該法令の規定によるものとする。

には、当該法令の規定によるものとする。

【その他の事項】【その他の事項】

（略）

（略）

１３（略）

１３（略）

１４．開示等の請求等に応じる手続及び手数料（法第３７条、第３８条）

１４．開示等の請求等に応じる手続及び手数料（法第３７条、第３８条）（開示等の請求等に応じる手続）（開示等の請求等に応じる手続）

法第三十七条 個人情報取扱事業者は、第三十二条第二項の規定による求法第三十七条 個人情報取扱事業者は、第三十二条第二項の規定による求め又は第三十三条第一項（同条第五項において準用する場合を含む。次め又は第三十三条第一項（同条第五項において準用する場合を含む。次条第一項及び第三十九条において同じ。）、第三十四条第一項若しくは第条第一項及び第三十九条において同じ。）、第三十四条第一項若しくは第三十五条第一項、第三項若しくは第五項の規定による請求（以下この条

三十五条第一項、第三項若しくは第五項の規定による請求（以下この条及び第五十四条第一項において「開示等の請求等」という。）に関し、政及び第五十四条第一項において「開示等の請求等」という。）に関し、政令で定めるところにより、その求め又は請求を受け付ける方法を定める

令で定めるところにより、その求め又は請求を受け付ける方法を定めることができる。この場合において、本人は、当該方法に従って、開示等ことができる。この場合において、本人は、当該方法に従って、開示等の請求等を行わなければならない。

の請求等を行わなければならない。

２

個人情報取扱事業者は、本人に対し、開示等の請求等に関し、その対

２

個人情報取扱事業者は、本人に対し、開示等の請求等に関し、その対象となる保有個人データ又は第三者提供記録を特定するに足りる事項

象となる保有個人データ又は第三者提供記録を特定するに足りる事項の提示を求めることができる。この場合において、個人情報取扱事業者の提示を求めることができる。この場合において、個人情報取扱事業者

は、本人が容易かつ的確に開示等の請求等をすることができるよう、当は、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データ又は当該第三者提供記録の特定に資する情報の提供

該保有個人データ又は当該第三者提供記録の特定に資する情報の提供

その他本人の利便を考慮した適切な措置をとらなければならない。

その他本人の利便を考慮した適切な措置をとらなければならない。
48

３

開示等の請求等は、政令で定めるところにより、代理人によってする

３

ことができる。

開示等の請求等は、政令で定めるところにより、代理人によってする

４

ことができる。

個人情報取扱事業者は、前三項の規定に基づき開示等の請求等に応じ４

個人情報取扱事業者は、前三項の規定に基づき開示等の請求等に応じる手続を定めるに当たっては、本人に過重な負担を課するものとならなる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。

いよう配慮しなければならない。

（手数料）

（手数料）

法第三十八条 個人情報取扱事業者は、第三十二条第二項の規定による利法第三十八条 個人情報取扱事業者は、第三十二条第二項の規定による利用目的の通知を求められたとき又は第三十三条第一項の規定による開用目的の通知を求められたとき又は第三十三条第一項の規定による開示の請求を受けたときは、当該措置の実施に関し、手数料を徴収するこ示の請求を受けたときは、当該措置の実施に関し、手数料を徴収することができる。

とができる。

２

個人情報取扱事業者は、前項の規定により手数料を徴収する場合は、

２

個人情報取扱事業者は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。

の額を定めなければならない。

（開示等の請求等を受け付ける方法）（開示等の請求等を受け付ける方法）

令第十二条

令第十二条

法第三十七条第一項の規定により個人情報取扱事業者が開法第三十七条第一項の規定により個人情報取扱事業者が開示等の請求等を受け付ける方法として定めることができる事項は、次に示等の請求等を受け付ける方法として定めることができる事項は、次に掲げるとおりとする。

掲げるとおりとする。

一

開示等の請求等の申出先

一

開示等の請求等の申出先

二

開示等の請求等に際して提出すべき書面（電磁的記録を含む。第三二

開示等の請求等に際して提出すべき書面（電磁的記録を含む。第三十五条第一項及び第四十条第三項において同じ。）の様式その他の開十三条第一項及び第三十八条第三項において同じ。）の様式その他の示等の請求等の方式

開示等の請求等の方式

三

開示等の請求等をする者が本人又は次条に規定する代理人である

三ことの確認の方法

開示等の請求等をする者が本人又は次条に規定する代理人である

ことの確認の方法
49

四

法第三十八条第一項の手数料の徴収方法

四法第三十八条第一項の手数料の徴収方法（開示等の請求等をすることができる代理人）（開示等の請求等をすることができる代理人）

令第十三条

令第十三条

法第三十七条第三項の規定により開示等の請求等をするこ

法第三十七条第三項の規定により開示等の請求等をすることができる代理人は、次に掲げる代理人とする。

とができる代理人は、次に掲げる代理人とする。

一

未成年者又は成年被後見人の法定代理人

一

未成年者又は成年被後見人の法定代理人

二

開示等の請求等をすることにつき本人が委任した代理人

二

開示等の請求等をすることにつき本人が委任した代理人

（略）

（略）

１５．理由の説明、事前の請求、苦情の処理（法第３６条、第３９条、第４１５．理由の説明、事前の請求、苦情の処理（法第３６条、第３９条、第４

０条）

０条）

（理由の説明）（理由の説明）

法第三十六条 個人情報取扱事業者は、第三十二条第三項、第三十三条第

法第三十六条 個人情報取扱事業者は、第三十二条第三項、第三十三条第三項（同条第五項において準用する場合を含む。）、第三十四条第三項又三項（同条第五項において準用する場合を含む。）、第三十四条第三項又は前条第七項の規定により、本人から求められ、又は請求された措置のは前条第七項の規定により、本人から求められ、又は請求された措置の全部又は一部について、その措置をとらない旨を通知する場合又はその全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合には、本人に対し、その理由

措置と異なる措置をとる旨を通知する場合には、本人に対し、その理由を説明するよう努めなければならない。

を説明するよう努めなければならない。

（事前の請求）（事前の請求）法第三十九条 本人は、第三十三条第一項、第三十四条第一項又は第三十法第三十九条 本人は、第三十三条第一項、第三十四条第一項又は第三十五条条第一項、第三項若しくは第五項の規定による請求に係る訴えを提五条条第一項、第三項若しくは第五項の規定による請求に係る訴えを提起しようとするときは、その訴えの被告となるべき者に対し、あらかじ

起しようとするときは、その訴えの被告となるべき者に対し、あらかじめ、当該請求を行い、かつ、その到達した日から二週間を経過した後でめ、当該請求を行い、かつ、その到達した日から二週間を経過した後でなければ、その訴えを提起することができない。ただし、当該訴えの被なければ、その訴えを提起することができない。ただし、当該訴えの被告となるべき者がその請求を拒んだときは、この限りでない。

告となるべき者がその請求を拒んだときは、この限りでない。

２

前項の請求は、その請求が通常到達すべきであった時に、到達したも

２50

前項の請求は、その請求が通常到達すべきであった時に、到達したものとみなす。
３のとみなす。

前二項の規定は、第三十三条第一項、第三十四条第一項又は第三十五

３

前二項の規定は、第三十三条第一項、第三十四条第一項又は第三十五条第一項、第三項若しくは第五項の規定による請求に係る仮処分命令の条第一項、第三項若しくは第五項の規定による請求に係る仮処分命令の申立てについて準用する。

申立てについて準用する。

（個人情報取扱事業者による苦情の処理）（個人情報取扱事業者による苦情の処理）

法第四十条 個人情報取扱事業者は、個人情報の取扱いに関する苦情の適法第四十条 個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
２

切かつ迅速な処理に努めなければならない。

個人情報取扱事業者は、前項の目的を達成するために必要な体制の整

２

個人情報取扱事業者は、前項の目的を達成するために必要な体制の整備に努めなければならない。

備に努めなければならない。

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

・健保組合等は、本人から求められた保有個人データの利用目的の通知、・健保組合等は、本人から求められた保有個人データの利用目的の通知、又は本人から請求された開示、訂正等、利用停止等において、その措置

又は本人から請求された開示、訂正等、利用停止等において、その措置をとらない旨又はその措置と異なる措置をとる旨本人に通知する場合をとらない旨又はその措置と異なる措置をとる旨本人に通知する場合

は、本人に対して、その理由を説明するよう努めなければならない。まは、本人に対して、その理由を説明するよう努めなければならない。また、苦情への対応体制についても併せて説明しなければならない。

た、苦情への対応体制についても併せて説明しなければならない。

・健保組合等は、個人情報の取扱いに関する苦情の適切かつ迅速な対応に・健保組合等は、個人情報の取扱いに関する苦情の適切かつ迅速な対応に努めなければならない。また、健保組合等は、苦情の適切かつ迅速な対努めなければならない。また、健保組合等は、苦情の適切かつ迅速な対応を行うに当たり、苦情への対応窓口の設置や苦情への対応の手順を定応を行うにあたり、苦情への対応窓口の設置や苦情への対応の手順を定めるなど必要な体制の整備に努めなければならない。

めるなど必要な体制の整備に努めなければならない。

【その他の事項】【その他の事項】

・健保組合等は、本人に対して理由を説明する際には、文書により示すこ・健保組合等は、本人に対して理由を説明する際には、文書により示すことを基本とする。その際は、苦情への対応の体制についても併せて説明とを基本とする。その際は、苦情への対応の体制についても併せて説明することが望ましい。

することが望ましい。
51

・健保組合等は、被保険者等からの苦情への対応に当たり、専用の窓口の設置など、被保険者等が相談を行いやすい環境の整備に努める。

・健保組合等は、被保険者等からの苦情への対応にあたり、専用の窓口の設置など、被保険者等が相談を行いやすい環境の整備に努める。
・健保組合等関係事業者は、被保険者等からの苦情への対応体制等につい等のホームページへの掲載のほか、パンフレットの配布、事業所担当窓て健保組合等のホームページへの掲載のほか、パンフレットの配布、事口や健保組合等の掲示板への掲示・備付け、公告等を行うことで被保険業所担当窓口や健保組合等の掲示板への掲示・備付け、公告等を行うこ者等に対して周知することが望ましい。

とで被保険者等に対して周知することが望ましい。

Ⅳ・健保組合等は、被保険者等からの苦情への対応体制等について健保組合

ガイダンスの見直し等（略）Ⅳ ガイダンスの見直し等（略）別表１ 健保組合等が保有する個人情報の例（略）別表１ 健保組合等が保有する個人情報の例（略）別表２ 健保組合等の通常業務で想定される主な利用目的

別表２ 健保組合等の通常業務で想定される主な利用目的

1.被保険者等に対する保険給付に必要な利用目的

1.被保険者等に対する保険給付に必要な利用目的〔健保組合等の内部での利用に係る事例〕〔健保組合等の内部での利用に係る事例〕

（略）

（略）

〔他の事業者等への情報提供を伴う事例〕〔他の事業者等への情報提供を伴う事例〕

・高額療養費及び一部負担金還元金等の自動払いにおける給与口座

・高額療養費及び一部負担金還元金等の自動払いにおける給与口座（事業主）への支払（事業主）への支払い

（略）

（略）

２～６．
（略）

２～６．（略）52