○国民健康保険組合における個人情報の適切な取扱いのためのガイダンス（平成 29 年４月 14 日付け個情第 540 号・保発 0414 第 16 号個人情報保護委員会
事務局長・厚生労働省保険局長通知別添）新旧対照表（下線の部分は改正部分）
改正後

改正前

目次

目次

（略）

（略）

ⅠⅠ

本ガイダンスの趣旨、目的、基本的考え方

本ガイダンスの趣旨、目的、基本的考え方

１～４（略）

１～４（略）

５．個人情報保護委員会の権限行使との関係等

５．個人情報保護委員会の権限行使との関係等

（略）

（略）

また、法第１５０条第１項の規定に基づき、法第１４６条第１項の規定

また、法第１５０条第１項の規定に基づき、法第１４６条第１項の規定による権限が個人情報保護委員会から事業所管大臣である厚生労働大臣にによる権限が個人情報保護委員会から事業所管大臣に委任された場合に委任された場合には、厚生労働大臣が「報告徴収」及び「立入検査」を行は、厚生労働大臣が「報告徴収」及び「立入検査」を行うことができる。

うことができる。
（略）（略）

６～１０（略）

６～１０（略）

ⅡⅡ

用語の定義

用語の定義

１・２（略）

１・２（略）

３．要配慮個人情報（法第２条第３項）

３．要配慮個人情報（法第２条第３項）

（略）

（略）

規則第五条

令第二条第一号の個人情報保護委員会規則で定める心身の規則第五条

令第二条第一号の個人情報保護委員会規則で定める心身の機能の障害は、次に掲げる障害とする。

機能の障害は、次に掲げる障害とする。

一一

身体障害者福祉法（昭和２４年法律第２８３号）別表に掲げる身体身体障害者福祉法（昭和２４年法律第２８３号）別表に掲げる身体上の障害上の障害

二知的障害者福祉法（昭和３５年法律第３７号）にいう知的障害

二知的障害者福祉法（昭和３５年法律第３７号）にいう知的障害

三

精神保健及び精神障害者福祉に関する法律（昭和２５年法律第１２三

精神保健及び精神障害者福祉に関する法律（昭和２５年法律第１２３号）にいう精神障害（発達障害者支援法（平成１６年法律第１６７３号）にいう精神障害（発達障害者支援法（平成１６年法律第１６７号）第二条第一項に規定する発達障害を含み、前号に掲げるものを除号）第二条第一項に規定する発達障害を含み、前号に掲げるものを除く。
）

く。
）

四

治療方法が確立していない疾病その他の特殊の疾病であって障害四治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生活及び社会生活を総合的に支援するための法律（平成１７

者の日常生活及び社会生活を総合的に支援するための法律（平成１年法律第１２３号）第四条第一項の政令で定めるものによる障害の程

７年法律第１２３号）第四条第一項の政令で定めるものによる障害度が同項の主務大臣が定める程度であるものの程度が同項の厚生労働大臣が定める程度であるもの「要配慮個人情報」とは、不当な差別や偏見その他の不利益が生じない「要配慮個人情報」とは、不当な差別や偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして法第２条第３項、令第２ようにその取扱いに特に配慮を要するものとして法第２条第３項、令第２条及び規則第５条で定める記述等が含まれる個人情報をいう。なお、国保条及び規則第５条で定める記述等が含まれる個人情報をいう。なお、国保組合において想定される要配慮個人情報に該当する情報とは、レセプト等組合において想定される要配慮個人情報に該当する情報とは、レセプト等に掲載された病歴、犯罪により害を被った事実、申請書等より確認した障に掲載された病歴、犯罪により害を被った事実、申請書等より確認した障害（身体障害、知的障害、精神障害等）の事実、健康診断の結果及び健康害（身体障害、知的障害、精神障害等）の事実、健康診断の結果及び健康診断後の措置（医師による改善指導又は診療、調剤）が行われた事実等が診断後の措置（医師による改善指導又は診療、調剤）が行われた事実等が挙げられる。

挙げられる。

要配慮個人情報の取得や個人データの第三者提供には、原則として本人要配慮個人情報の取得や第三者提供には、原則として本人同意が必要で同意が必要である。

ある。

本人同意を得る方法として、被保険者等への保険給付等のために通常必本人同意を得る方法として、被保険者等への保険給付等のために通常必要と考えられる個人情報の利用範囲をホームページへの掲載等により明ら要と考えられる個人情報の利用範囲をホームページへの掲載等により明らかにしておき、被保険者等から特段明確な反対・留保の意思表示がない場

かにしておき、被保険者等から特段明確な反対・留保の意思表示がない場

合には、これらの範囲内での個人情報の利用について同意が得られている

合には、これらの範囲内での個人情報の利用について同意が得られている

2

ものとする「黙示の同意」という考え方を用いることがある。
（詳細はⅢ７．

ものとする「黙示の同意」という考え方を用いることがある。
（詳細はⅢ７．

（３）を参照）（３）を参照）

一方、要配慮個人情報が含まれる個人データについては、法第２７条第一方、要配慮個人情報については、法第２７条第２項の規定により、一２項の規定により、一定の条件を満たすことで本人同意を得ることなく第定の条件を満たすことで本人同意を得ることなく第三者提供する方法（オ三者提供する方法（オプトアウトによる第三者提供）は認められない。まプトアウトによる第三者提供）は認められない。また、要配慮個人情報がた、要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態したおそれがある事態が生じた場合には、個人情報保護委員会に報告しなが生じた場合には、個人情報保護委員会に報告しなければならない（詳細ければならない（詳細はⅢ６．を参照）。

はⅢ６．を参照）。

なお、国保組合においては、第三者への提供を目的として個人情報を取なお、国保組合においては、第三者への提供を目的として個人情報を取得することは通常想定されない。

得することは通常想定されない。

（略）

（略）

４～６（略）

４～６（略）

７．個人情報データベース等（法第１６条第１項）、個人データ（法第１６条

７．個人情報データベース等（法第１６条第１項）、個人データ（法第１６条第３項）、保有個人データ（法第１６条第４項）

第３項）、保有個人データ（法第１６条第４項）

（略）

（略）

レセプトや健診結果、保健指導記録等については、媒体の如何にかかわレセプトや健診結果、保健指導記録等については、媒体の如何にかかわらず個人データに該当する。

らず個人データベース等に該当する。

８．
（略）

８．
（略）

ⅢⅢ

国保組合の義務等

１～４（略）

国保組合の義務等

１～４（略）

５．安全管理措置、従業者の監督及び委託先の監督（法第２３条～第２５条） ５．安全管理措置、従業者の監督及び委託先の監督（法第２３条～第２５条）
（略）

（略）

（１）国保組合が講ずるべき安全管理措置等（１）国保組合が講ずるべき安全管理措置等
3

①安全管理措置①安全管理措置国保組合は、その取り扱う個人データの漏えい、滅失又は毀損の防止

国保組合は、その取り扱う個人データの漏えい、滅失又は毀損の防止

その他の個人データの安全管理のため、組織的、人的、物理的及び技術その他の個人データの安全管理のため、組織的、人的、物理的及び技術的安全管理措置等を講じなければならない。また、外国において個人デ的安全管理措置等を講じなければならない。また、外国において個人データを取り扱う場合には、外的環境の把握を行ったうえで、これらの安ータを取り扱う場合には、外的環境の把握を行ったうえで、これらの安全管理措置を講じなければならない。その際、本人の個人データが漏え全管理措置を講じなければならない。その際、本人の個人データが漏えい、滅失又は毀損をした場合に本人が被る権利利益の侵害の大きさを考い、滅失又は毀損をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人データの取扱い状況等に起因するリスクに応慮し、事業の性質及び個人データの取扱い状況等に起因するリスクに応じ、必要かつ適切な措置を講ずるものとする。なお、その際には、個人じ、必要かつ適切な措置を講ずるものとする。なお、その際には、個人データを記録した媒体の性質に応じた安全管理措置を講ずる。

データを記録した媒体の性質に応じた安全管理措置を講ずる。

（※）
「その他の個人データの安全管理のために必要かつ適切な措置」に（新設）

は、個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取り扱うことを予定しているものの漏えい等を防止するために必要かつ適切な措置も含まれる。そのため、当該個人データとなる前の個人情報（個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取り扱うことを予定しているもの）についても、上記の安全管理措置等を講じる必要がある。
（略）

（略）

６．漏えい等の報告等（法第２６条）

６．漏えい等の報告等（法第２６条）

（略）

（略）

規則第七条 法第二十六条第一項本文の個人の権利利益を害するおそれが規則第七条 法第二十六条第一項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。のいずれかに該当するものとする。
4

一

要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人

一要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第一項において同じ。
）の漏えい、滅失若しくは毀損

この条及び次条第一項において同じ。）の漏えい、滅失若しくは毀損（以下この条及び次条第一項において「漏えい等」という。
）が発生（以下この条及び次条第一項において「漏えい等」という。
）が発生し、又は発生したおそれがある事態し、又は発生したおそれがある事態

二

不正に利用されることにより財産的被害が生じるおそれがある個人

二

データの漏えい等が発生し、又は発生したおそれがある事態
三

不正に利用されることにより財産的被害が生じるおそれがある個人
データの漏えい等が発生し、又は発生したおそれがある事態

不正の目的をもって行われたおそれがある当該個人情報取扱事業者

三に対する行為による個人データ（当該個人情報取扱事業者が取得し、不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態

又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、又は発生したおそれがある事態
四

個人データに係る本人の数が千人を超える漏えい等が発生し、又は四発生したおそれがある事態

個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態

（略）

（略）

個人データ（※）の「漏えい」とは、個人データが外部に流出すること、個人データの「漏えい」とは、個人データが外部に流出すること、「滅失」「滅失」とは個人データの内容が失われること、「毀損」とは個人データのとは個人データの内容が失われること、「毀損」とは個人データの内容が意内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状図しない形で変更されることや、内容を保ちつつも利用不能な状態となる態となることをいう。

ことをいう。

個人データの漏えい等やそのおそれのある事案（以下「漏えい等事案」

個人データの漏えい等やそのおそれのある事案（以下「漏えい等事案」という。
）が発覚した場合は、規則で定めるところにより、個人情報保護委という。
）が発覚した場合は、規則で定めるところにより、個人情報保護委員会への報告等を行わなければならない。

員会への報告等を行わなければならない。

（※）規則第７条は、法第２６条第１項に基づく漏えい等の報告の対象と（新設）なる事態について定めているところ、規則第７条に規定する「個人データ」
5

とは、個人情報取扱事業者が取り扱う個人データをいう。ただし、同条第３号に規定する「個人データ」には、「当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているもの」が含まれる。そのため、同号に定める事態との関係では、本６．における「個人データ」は、個人情報取扱事業者が取り扱う個人データに加え、「当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているもの」を含む。
（略）

（略）

７～１５（略）

７～１５（略）Ⅳ～別表２（略）Ⅳ～別表２（略）6