医療ネットワーク支援センター

個人情報保護指針(令和4年3月一部改正)

認定個人情報保護団体
医療ネットワーク支援センター
令和4年7月14日

はじめに
本指針は、個人情報保護法の趣旨である“保護と利活用”を踏まえ、個人情報の適正な取扱によって、医療・介護従事者と患者・利用者とのより良い信頼関係をつくるため、対象事業者の事業所における現場の業務等に即し、守秘義務をもつ有資格者やその他の専門職も含め全員が遵守することを目的として、事業所内のルール策定に資する具体的な基準を、市民の意見を聴いて分かりやすく定めたものです。また、震災による被災者支援等において要配慮個人情報を取扱う相談事業等を行う民間団体も対象としています。
本指針に記載のない事項については、個人情報保護委員会が策定している「個人情報の保護に関する法律についてのガイドライン（通則編）」や「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」等をご参照ください。

1

医療ネットワーク支援センター 個人情報保護指針
指針の目的「医療ネットワーク支援センター 個人情報保護指針」（以下「個人情報保護指針」という）は、 「個人情報の保護に関する法律」（2003年5月30日法律第５７号 以下「法」という）の規定の趣旨に沿って、対象事業者の個人情報等の適正な取扱いの確保のために、個人情報に係る利用目的の特定、講ずべき個人情報の安全管理措置、その他の事項につき、守秘義務をもつ有資格者やその他の専門職も含め全員が遵守できるよう、事業所内のルール策定に資する具体的な基準を定めるものである。

対象とする事業者
医療ネットワーク支援センターが対象とする事業者は、「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」が対象としている医療機関等 （*１）、介護関係事業者（*2）であって、法第16条第2項に規定する個人情報取扱事業者としての規律の全部又は一部の適用を受ける者（*3）である。また、震災による被災者支援等において要配慮個人情報を取扱う相談事業等を行う民間団体（*4）も対象とする。
（*1）病院、診療所、助産所、薬局、訪問看護ステーション （*2）介護保険法に規定する居宅サービス事業、介護予防サービス業、地域密着型サービス事業、地域密着型介護予防サービス事業、居宅介護支援事業、介護予防支援事業、及び介護保険施設を経営する事業、老人福祉法に規定する老人居宅生活支援事業及び老人福祉施設を経営する事業その他高齢者福祉サービス事業を行う者 （*3）法別表第二に掲げる法人及び独立行政法人労働者健康安全機構（病院の運営の業務に限る。）を含む。 （*4）NPO法人、一般社団法人、社会福祉協議会、等

指針の構成
本指針は、各事業所の従業者が個人情報の適正な取扱いの確保のために策定するルールを理解しやすいよう、事業所の現場における個人情報の流れを「同意・取得・管理・提供・開示」に立て分け、各場面に沿って策定している。
本指針は法および「医療・介護関係事業者における個人情報の適切な取り扱いのためのガイダンス」
を踏まえて、対象事業者の現場の業務に照らした内容である。指針に記載のない事項及び関係条文については、以下の各ガイダンス、ガイドラインをそれぞれ参照されたい。
・「医療・介護関係事業者における個人情報の適切な取り扱いのためのガイダンス」
・「個人情報の保護に関する法律についてのガイドライン （通則編）」
・「個人情報の保護に関する法律についてのガイドライン （外国にある第三者への提供編）」
・「個人情報の保護に関する法律についてのガイドラ イン （第三者提供時の確認・記録義務編）」

・「個人情報の保護に関する法律についてのガイドライン （仮名加工情報・匿名加工情報編）」
・「個人情報の保護に関する法律についてのガイドライン （認定個人情報保護団体編）」
2

個人情報の流れと取扱いについて
同意
ｐ4~

患者・利用者の個人情報を取得する際、同意を得るためのポイント
患者・利用者の理解力・判断力などに応じて、可能な限り患者・利用者本人に通知
し、同意を得るよう口頭等でわかりやすい説明することが望まれます。
(本人の同意)患者・利用者から個人情報を取得するためのポイント

取
得
p7~

個人情報を取得・利用するとき、利用目的を特定し、本人に通知又は公表する必要があります。
また、要配慮個人情報を取得する際は原則本人の同意を得る必要があります。
■医療・介護関係事業者の義務
１. 利用目的の特定等（法第17条、第18条）
２．利用目的の通知等（法第21条）
３．個人情報の適正な取得、個人データ内容の正確性の確保（法第20条、第22条）

取得した情報を施設内で管理するためのポイント

管
理
ｐ15~

患者・利用者の個人情報を安全に管理するための措置として組織的、物理的、
技術的、人的安全管理措置があげられます。また、外国で個人データを取り扱う場合、外的環境の把握を行い、これらの安全管理措置を講じなければならなりません。また、個人情報の取扱いを委託する場合、および契約を締結する等、委託先に適切な管理をしているのか否か、委託先の監督が必要です。
■医療・介護関係事業者の義務
４．安全管理措置、従業者の監督・委託先の監督（法第23条～第25条）
５. 漏えい等の報告等（法第26条）

患者・利用者の個人情報を連携している機関との情報共有や提供するためのポイント

提供ｐ21~

医療または介護サービスの提供のため、他の病院・施設と連携を図ることを院内掲示等により患者・利用者に明示することが望まれます。
■医療・介護関係事業者の義務
６．個人データの第三者提供（法第27条）
７．外国にある第三者への提供の制限（法第28条）
８．第三者提供に係る記録の作成等（法第29条）
９．第三者提供を受ける際の確認等（法第30条）

患者・利用者からの開示請求等の対応ポイント

開
示
ｐ36~

保有する個人情報について、本人から開示や訂正等の請求や、問合せ等があった
場合は、適切かつ迅速に応じなければなりません。また漏洩等の発生時は、個人
報保護委員会に報告するとともに、本人へ通知する必要があります。
■医療・介護関係事業者の義務
10．保有個人データに関する事項の公表等（法第32条）
11．本人からの請求による保有個人データの開示（法第33条）
12．訂正及び利用停止（法第34条、第35条）
13．開示等の請求等に応じる手続及び手数料（法第37条、第38条）
14．理由の説明、事前の請求、苦情の対応（法第36条、第39条～第40条）
3

取
得

同意

個人情報の取得の際、原則、本人の同意が必要です。
また、患者・利用者の理解力、判断力などに応じて、可能な限り患者・利用者本人に通知し、同意を得るよう
口頭等でわかりやすい説明を心がけましょう。
それが患者・利用者とのより良い信頼関係構築のための一歩となります。

■本人の同意「本人の同意」とは、本人の個人情報が、個人情報取扱事業者によって示された取扱方法で取り扱われることを承諾する旨の当該本人の意思表示をいう。 （当該本人であることを確認できていることが前提となる）
また、「本人の同意を得（る）」とは、本人の承諾する旨の意思表示を当該個人情報取扱事業者が認識することをいい、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。
なお、個人情報の取扱いに関して同意したことによって生ずる結果について、未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力を有していないなどの場合は、親権者や法定代理人等から同意を得る必要がある。
【本人の同意を得ている事例】
事例 1）本人からの同意する旨の口頭による意思表示
事例 2）本人からの同意する旨の書面（電磁的記録を含む。）の受領
事例 3）本人からの同意する旨のメールの受信事例 4）本人による同意する旨の確認欄へのチェック
事例 5）本人による同意する旨のホームページ上のボタンのクリック
事例 6）本人による同意する旨の音声入力、タッチパネルへのタッチ、ボタンやスイッチ等による入力

法は、個人情報の目的外利用や個人データの第三者提供の場合には、原則として本人の同意を得ることを求めている。これは、法の基本となるＯＥＣＤ８原則のうち、利用制限の原則の考え方の現れであるが、医療機関等については、患者に適切な医療サービスを提供する目的のために、当該医療機関等において、通常必要と考えられる個人情報の利用範囲を施設内への掲示（院内掲示）により明らかにしておき、患者側から特段明確な反対・留保の意思表示がない場
合には、これらの範囲内での個人情報の利用について同意が得られているものと考えられる。
(以上は、医療機関等が対象であり、介護関係事業者は書面による契約書が必要。その他、民間団体等においては、口頭での説明や書面等による本人同意が必要となる。)
また、患者・利用者が、意識不明ではないものの、本人の意思を明確に確認できない状態の場合については、意識の回復にあわせて、速やかに本人への説明を行い本人の同意を得るものとする。
なお、これらの場合において患者・利用者の理解力、判断力などに応じて、可能な限り患者・利用者本人に通知し、同意を得るよう努めることが重要である。
4

■要配慮個人情報とは不当な差別や偏見、その他の不利益が生じないようにその取り扱いに特に配慮を要するもの
として法第2条第3項、令第2条及び規則第5条で定める記述等が含まれる個人情報をさす。
（例）
診療録等の診療記録や介護関係記録に記載された病歴、診療や調剤の過程で、患者の身体状況、病状、治療等について、医療従事者が知り得た診療情報や調剤情報、健康診断の結果
及び保健指導の内容、障害（身体障害、知的障害、精神障害等）の事実、犯罪により害を被った
事実等■要配慮個人情報の取得時における本人の同意について
医 療 機 関 の受 付 等で診 療を希 望 する患 者は、傷病の回復等を目的と し てい る。一方、医療機関等は 、患者の傷病の回復等を 目的と し て 、より 適切な 医療が提供できるよう 治
療に取り組むとと もに 、その費用を公的医療保険に請求する必要が生じ る。良質で適正な 医療の 提供を 受け る ため には 、 ま た 公 的医療 保険 の扶 助を 受け る ために は 、医 療機
関等が患者の要配慮個人情報を含めた個人情報を取得することは必要不可欠で ある。
このため、例えば、患者が医療機関の受付等で、問診票に患者自身の身体状況や病状などを記載し、保険証とともに受診を申し出ることは、患者自身が自己の要配慮
個人情報を含めた個人情報を 医療機関等に取得されることを 前提と し てい ると 考えられるため、医療機関等が要配慮個人情報を書面又は口頭等により本人から適正に直接取得する場合は、患者の当該行為をもって、当該医療機関等が当該情報を取得する
ことについて本人の同意があったものと解され る。
ま た 、 医 療 機 関 等 が 要 配 慮 個 人 情 報を 第 三 者 提 供 の 方 法 によ り 取 得 し た 場 合 、 提 供
元が法 第 20 条第 2項 及び第 27条 第 １項 の 規定に基 づ い て本 人 から必 要 な同 意( 要配 慮
個人情報の 取得及び 第三者提供に関 する 同意 )を 取得し てい る こ と が前 提と なる た め 、
提 供 を 受 け た 当 該 医 療 機 関 等 が 、 改 め て 本 人 か ら 法 第 20 条 第 ２ 項 の 規 定 に 基 づ く
同意を得る必要はないものと解され る。
なお、地域医療情報連携ネットワークにおいて、他の医療機関に対して照会を行い 、当該他 の医 療機 関が 保存及 び管 理等を 行 う 診療 情報 等を 当該 他の医 療機 関か ら直 接取得 す る場 合 （ 当 該 他の 医療 機関 が 地域 医療 情報 連携 ネ ット ワーク の運 営 主体に 対して診療情報等の保存及び管理等の取扱いを委託している場合において 、当該地域医療情報連携ネット ワークの運営主体を 介し て 、当該他の医療機関に対し て照会を行い 、診療情報を取得する場合を含む 。）については、「地域医療情報連携ネットワークにおけ る 同 意 取 得 方 法 の 例 に つ い て 」 （ 令 和 2 年 3 月 31 日 付 け 厚 生 労 働 省 医 政 局 総 務 課 事務連絡）による。

5◆要配慮個人情報の取得時に本人同意を必要としない事例• 急病その他の事態が生じたときに、本人の病歴等を医師や看護師などの医療従事者が家族から聴取する場合• 医療機関が、他の医療機関から、当該他の医療機関において以前治療を行った患者の臨床症例に係る個人データを症例研究のために取得し、当該医療機関を受診する不特定多数の患者に対してより優れた医療サービス提供できるようになること等により、公衆衛生の向上に特に資する場合であって、本人からの同意取得が困難である場合• 児童生徒の不登校や不良行為等について、児童相談所、学校、医療機関等の関係機関が連携して対応するために、医療機関等において、他の関係機関から当該児童生徒の保護事件に関する手続が行われた情報を取得する場合• 児童虐待のおそれのある家庭情報のうち被害を被った事実に係る情報を、児童相談所、警察、学校、病院等の関係機関が、他の関係機関から取得する場合• 医療機関等や介護関係事業者が警察の任意の求めに応じて要配慮個人情報に該当する個
人情報を提出するために、当該個人情報を取得する場合• 身体の不自由な方が医療機関等を受診し、院内において情報共有するためにカルテ等に記録した場合(目視による取得)や、身体の不自由な方の様子が店舗に設置された防犯カメラに映りこんだ場合(撮影による取得)
なお、要配慮個人情報を、法第27条第5項各号に定める委託、事業承継又は共同利用により取得する場合は、あらかじめ本人の同意を得る必要はない。

6

取
得

１．利用目的の特定等（法第１7条、第１8条）

患者・利用者の個人情報は、事前に利用の目的、範囲などを特定し、本人から同意を得ることが重要です。ただし学術研究機関等が学術研究目的で取り扱う場合で、個人の権利利益を不当に侵害するおそれがない場合、本人の同意が不要です。
■利用目的の特定及び制限
医療・介護関係事業者が医療・介護サービスを希望する患者・利用者から個人情報を取得する場合、当該個人情報を患者・利用者に対する医療・介護サービスの提供、医療・介護保険
事務、入退院等の病棟管理などで利用することは患者・利用者にとって明らかと考えられる。
これら以外で個人情報を利用する場合は、患者・利用者にとって必ずしも明らかな利用目的とはいえない。この場合は、個人情報を取得するに当たって明確に当該利用目的の公表等の措置が講じられなければならない。
医療・介護関係事業者の通常の業務で想定される利用目的はガイダンス別表２に例示されるものであり、医療・介護関係事業者は、これらを参考として、自らの業務に照らして通常必要とされるものを特定して公表（院内掲示等）しなければならない。
※p47「参考１」、 p48「参考２」は医療・介護関係事業所で利用目的の公表における掲示等の参考例であり、ガイダンス別表2をもとにしている。

◆利用目的による制限の例外(1) 法令に基づく場合。
(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
（5）個人情報取扱事業者が学術研究機関(※1)等である場合であって、個人情報を学術研究の用に供する目的（以下「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（6）学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）
7

■(※1)学術研究機関「学術研究機関等」とは、大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者をいう。
「大学その他の学術研究を目的とする機関若しくは団体」とは、国立・私立大学、公益法人等の研究所等の学術研究を主たる目的として活動する機関や「学会」をいい、「それらに属する者」とは、国立・私立大学の教員、公益法人等の研究所の研究員、学会の会員等をいう。
また、「学術」とは、人文・社会科学及び自然科学並びにそれらの応用の研究であり、あらゆる学問分野における研究活動及びその所産としての知識・方法の体系をいい、具体的活動としての「学術研究」としては、新しい法則や原理の発見、分析や方法論の確立、新しい知識やその応用法の体系化、先端的な学問領域の開拓などをいう。
なお、民間団体付属の研究機関等における研究活動についても、当該機関が学術研究を主たる目的とするものである場合には、「学術研究機関等」に該当する。

国立の大学等、法別表第二に掲げる法人のうち、学術研究機関等にも該当するものについて
は、原則として私立の大学、民間の学術研究機関等と同等の規律が適用される。

8

１．利用目的の特定等
下記事項は事業者の義務を記載しております。
【法の規定により遵守すべき事項等】「しなければならない」等と記載された事項については、
法の規定により厳格に遵守することが求められます。
【その他の事項】
法に基づく義務等ではないが、達成できるよう努めることが求められます。

【法の規定により遵守すべき事項等】
 医療・介護関係事業者は、個人情報を取り扱うに当たって、その利用目的をできる限り特定しなければならない。
 医療・介護関係事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。
 医療・介護関係事業者は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない。なお、本人の同意を得るために個人情報を利用すること、(同意を得るために患者・利用者の連絡先を利用して電話をかける場合
等) 個人情報を匿名加工情報(※2)及び仮名加工情報(※3)に加工することは差し支えない（ただし、法別表第二に掲げる法人については、匿名加工情報取扱事業者等の義務に関する規定（法第4章第4節）の適用が除外され（法第58条関係）、匿名加工情報の取扱いについて独立行政法人等による取扱いとみなして公的部門における規律（法第５章第５節等）が適用される（法第123条関係）。）。
 個人情報を取得する時点で、本人の同意があったにもかかわらず、その後、本人から利用目
的の一部についての同意を取り消す旨の申出があった場合は、その後の個人情報の取扱いについては、本人の同意が取り消されなかった範囲に限定して取り扱う。
 医療・介護関係事業者は、合併その他の事由により他の事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
 利用目的の制限の例外(法第18条第3項)に該当する場合は、本人の同意を得ずに個人情報を取り扱うことができる。((利用目的を変更する場合の取扱いについてはガイダンスp29参照)【その他の事項】
 利用目的の制限の例外に該当する「法令に基づく場合」等であっても、利用目的以外の目的
で個人情報を取り扱う場合は、当該法令等の趣旨をふまえ、その取り扱う範囲を真に必要な範囲に限定することが求められる。
 患者が未成年者等の場合、法定代理人等の同意を得ることで足りるが、一定の判断能力を有する未成年者等については、法定代理人等の同意にあわせて本人の同意を得る。
 意識不明の患者や重度の認知症の高齢者などで法定代理人がいない場合で、緊急に診療が必要な場合については、当該本人の個人情報を取り扱うことができる。
9

匿名加工情報は当該個人情報の復元・
個人の再識別ができないもの、仮名加工
情報は他の情報と照合しない限り個人の識別ができないものを指します。
■(※2) 匿名加工情報「匿名加工情報」とは、個人情報を個人情報の区分に応じて定められた措置を講じて特定の個人を識別することができないように加工して得られる個人に関する情報であって、当該個人情報を復元して特定の個人を再識別することができないようにしたものをいう。
匿名加工情報を作成するため、個人情報から、当該情報に含まれる氏名、生年月日、住所等の、特定の個人を識別する情報を取り除く場合や、顔写真 について、一定のマスキングを行って特定の個人を識別できないよう加工する場合でも、当該個人情報を規則で定める基準に従って加工しておらず、当該個人情報を復元することができる場合には、匿名加工情報に該当しない
ため、注意が必要である。
なお、匿名加工情報を作成すること自体は、当該匿名加工情報の作成の元となった個人情報の取得時においてあらかじめ特定した利用目的に含まれていなかったとしても、目的外利用には当たらない。

■(※3) 仮名加工情報「仮名加工情報」とは、個人情報を個人情報の区分に応じて定められた措置を講じて他の情報と照合しない限り特定の個人を識別することができないように加工して得られる個人に関する情報をいう。

仮名加工情報(個人情報であるもの)仮名加工情報である個人データ及び仮名加工情報である
保有個人データの取扱いについては、次の（1）から（3）までの規定が適用されない。
（1）利用目的の変更（2）漏えい等の報告等（3）本人からの開示等の請求等
なお、仮名加工情報を作成すること自体は、当該仮名加工情報の作成の元となった個人情報の取得時においてあらかじめ特定した利用目的に含まれていなかったとしても、目的外利用には当たらない。この場合、元となった個人情報の利用目的が、仮名加工情報の利用目的として引き継がれることとなるが、仮名加工情報の利用目的を変更した場合には、変更後の利用目的について、公表が必要になる。
匿名加工情報・仮名加工情報については、「個人情報の保護に関する法律についてのガイドラ
イン （仮名加工情報・匿名加工情報編）」も参照のこと。
10

取
得

２．不適正な利用の禁止（法第19条）

個人情報の利用にあたっては、違法又は不当な行為を助長・誘発することのないよ
う、適切な方法をとることが重要です。

医療・介護関係事業者は、違法又は不当な行為（※1）を助長し、又は誘発するおそれ（※2）がある方法により個人情報を利用してはならない。
（※1）「違法又は不当な行為」とは、法（個人情報の保護に関する法律）その他の法令に違反する行為、及び直ちに違法とはいえないものの、法（個人情報の保護に関する法律）その他の法令の制度趣旨又は公序良俗に反する等、社会通念上適正とは認められない行為をいう。
（※2）「おそれ」の有無は、個人情報取扱事業者による個人情報の利用が、違法又は不当な行為を助長又は誘発することについて、社会通念上蓋然性が認められるか否かにより判断される。
この判断に当たっては、個人情報の利用方法等の客観的な事情に加えて、個人情報の利用時点における医療・介護関係事業者の認識及び予見可能性も踏まえる必要がある。例えば、
医療・介護関係事業者が第三者に個人情報を提供した場合において、当該第三者が当該個人情報を違法な行為に用いた場合であっても、当該第三者が当該個人情報の取得目的を偽っていた等、当該個人情報の提供の時点において、提供した個人情報が違法に利用されることについて、当該医療・介護関係事業者が一般的な注意力をもってしても予見できない状況であった場合には、「おそれ」は認められないと解される。

11

取
得

3．利用目的の通知等（法第21条）３．利用目的の通知等
下記事項は事業者の義務を記載しております。
【法の規定により遵守すべき事項等】「しなければならない」等と記載された事項については、
法の規定により厳格に遵守することが求められます。
【その他の事項】
法に基づく義務等ではないが、達成できるよう努めることが求められます。

【法の規定により遵守すべき事項等】
 医療・介護関係事業者は、個人情報を取得するに当たって、あらかじめその利用目的を公表しておくか、個人情報を取得した場合、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
 利用目的の公表方法としては、院内や事業所内等に掲示するとともに、可能な場合にはホームページへの掲載等の方法により、なるべく広く公表する必要がある。
 医療・介護関係事業者は、 受付で患者に保険証を提出してもらう場合や問診票の記入を求める場合など、本人から直接書面に記載された当該本人の個人情報を取得する場合は、
あらかじめ、本人に対し、その利用目的を院内掲示等により明示しなければならない。ただし、救急の患者で緊急の処置が必要な場合等は、この限りでない。
 医療・介護関係事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
 取得の状況からみて利用目的が明らかであると認められる場合など利用目的の通知等の例外に該当する場合は、上記内容は適用しない。
(「利用目的が明らか」な場合についてはガイダンスp24を参照)

12

【その他の事項】
 利用目的が、本規定の例外である「取得の状況からみて利用目的が明らかであると認められる場合」に該当する場合であっても、患者・利用者等に利用目的をわかりやすく示す観点から、利用目的の公表に当たっては、当該利用目的についても併せて記載する。
 院内や事業者内等への掲示に当たっては、受付の近くに当該内容を説明した表示を行い、初回の患者・利用者等に対しては、受付時や利用開始時において当該掲示についての注意を促す。
 初診時や入院・入所時等における説明だけでは、個人情報について十分な理解ができない
患者・利用者も想定されることから、患者・利用者が落ち着いた時期に改めて説明を行ったり、診療計画書、療養生活の手引き、訪問介護計画等のサービス提供に係る計画等に個人情報に関する取扱いを記載するなど、患者・利用者が個人情報の利用目的を理解できるよう配慮する。

 患者・利用者等の希望がある場合、詳細の説明や当該内容を記載した書面の交付（電磁的方法による場合を含む。）を行う。

13

取
得

４．個人情報の適正な取得、個人データ内容の正確性の確保（法第20条、第22条）

４．個人情報の適切な取得、
個人データ内容の正確性の確保
下記事項は事業者の義務を記載しております。
【法の規定により遵守すべき事項等】「しなければならない」等と記載された事項については、
法の規定により厳格に遵守することが求められます。
【その他の事項】
法に基づく義務等ではないが、達成できるよう努めることが求められます。

【法の規定により遵守すべき事項等】
 医療・介護関係事業者は、偽りその他不正の手段により個人情報を取得してはならない。
 診療等のために必要な過去の受診歴等については、真に必要な範囲について、本人から直接取得するほか、第三者提供について本人の同意を得た者及び本人の黙示の同意が得られていると考えられる者(ガイダンスp47参照)から取得することを原則とする。ただし、本人以外の家族等から取得することが診療上又は適切な介護サービスの提供上やむを得ない場合
はこの限りでない。
 親の同意なく、十分な判断能力を有していない子どもから家族の個人情報を取得してはならない。ただし、当該子どもの診療上、家族等の個人情報の取得が必要な場合で、当該家族等
から個人情報を取得することが困難な場合はこの限りでない。

【その他の事項】
 第三者提供により個人情報を取得する場合には、提供元の法の遵守状況を確認するとともに、実際に個人情報を取得する際には、当該個人情報の取得方法等を確認するよう努めなければならない。なお、当該個人情報が適法に取得されたことが確認できない場合は、偽りその他、
不正の手段により取得されたものである可能性もあることから、その取得を自粛することを含め、慎重に対応することが望ましい。
 第三者提供により他の医療・介護関係事業者から個人情報を取得したとき、当該個人情報の内容に疑義が生じた場合には、記載内容の事実に関して本人又は情報の提供を行った者に確認をとる。
 医療・介護関係事業者は、個人データの内容の正確性、最新性を確保するため、委員会等(ガイダンスp36参照)において、具体的なルールを策定したり、技術水準向上のための研究の開催などを行うことが望ましい。

14

管
理

5．安全管理措置、従業者の監督・委託先の監督（法第23条～第25条）

患者・利用者の個人データを安全に管理するための措置として、組織的、物理的、
技術的、そして、それらを従業者が理解するための人的安全管理措置等、下記の項目が挙げられます。
■安全管理措置医療・介護関係事業者は、その取扱う個人データの漏えい、滅失又は毀損の防止その他の
個人情報の安全管理のため、組織的、物理的、技術的及び人的安全管理措置等を講じなければならない。また、外国において個人データを取り扱う場合には、外的環境の把握を行ったうえで、これらの安全管理措置を講じなければならない。
その際、本人の個人データが漏えい、滅失又は毀損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人データの取扱い状況等に起因するリスクに応じ、必要かつ適切な措置を講ずるものとする。
なお、その際には、個人データを記憶した媒体の性質に応じた安全管理措置を講ずる。

◆従業者の監督
医療・介護関係事業者は、安全管理措置を遵守させるよう、従業者に対し必要かつ適切な監督をしなければならない。
なお、「従業者」とは、医療資格者のみならず、 事業者の指揮命令を受けて業務に従事する者
全てを含むものであり、また、雇用関係のある者のみならず、理事、派遣労働者等も含むものである。
(例)
事業所内の清掃、物品販売、派遣社員等◆委託先の監督
医療・介護関係事業者は、検査や診療報酬又は介護報酬の請求に係る事務等、個人データの取り扱いの全部又は一部を委託する場合、法第23条に基づく安全管理措置を遵守させるよう受託者に対し、必要かつ適切な監督をしなければならない。
「必要かつ適切な監督」には、委託契約において委託者である事業者が定める安全管理措置の内容を契約に盛り込み受託者の義務とするほか、業務が適切に行われていることを定期的に確認することなども含まれる。
また、業務が再委託された場合で、再委託先が不適切な取扱いを行ったことにより問題が生じた場合は、医療・介護関係事業者や再委託した事業者が責めを負うこともあり得る。
15

義務として組織全体（全員）で安全管理を
各事業所の規模・環境等に応じて、遵守可能なルール作りが重要です。

◆安全管理措置を講じる際には医療・介護関係事業者はその規模、環境を踏まえ現実的に実施可能な、安全管理措置を行うことが重要である。
また、同一事業者が複数の施設を開設する場合、当該施設間の情報交換については第三者提供に該当しないが、各施設ごとに安全管理措置を講ずるなど、個人情報の利用目的を踏まえた個人情報の安全管理を行うことが重要である。

◆組織的管理措置
1：個人情報保護に関する規程の整備、公表
保有個人データ(※1)の開示手順を定めた規程その他個人情報保護に関する規程を整備し、苦情への対応を行う体制も含めて、院内や事業所内等への掲示やホームページへの掲載を行う等、患者・利用者等に対して周知徹底を図る。
(※1) 「保有個人データ」とは、個人データのうち、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有するものをいう。ただし、その存否が明らかになることにより、公益その他の利益が害されるものは除く。
2：個人情報保護推進のための組織体制等の整備
リスク分散の観点からも具体的な取組を進めるため、個人情報保護に関し十分な知識を有する管理者、監督者等を決めておく。
3：個人データの漏えい等の問題が発生した場合等における報告連絡体制の整備
1）個人データの漏えい等の事故が発生した場合、又は発生の可能性が高いと判断した場合、
2）個人データの取扱いに関する規程等に違反している事実が生じた場合、又は兆候が高いと判断した場合における責任者等への報告連絡体制の整備を行う。
個人データの漏えい等の情報は、苦情等の一環として、外部から報告される場合も想定されることから、苦情への対応を行う体制との連携も図る。
4：雇用契約時における個人情報保護に関する規程の整備
雇用契約や就業規則において、就業期間中はもとより離職後も含めた守秘義務を課すなど従業者の個人情報保護に関する規程を整備し、徹底を図る。
特に、医師等の医療資格者や介護サービスの従事者については守秘義務規定等が設けられており、その遵守を徹底する。
16

◆物理的管理措置
1：入退館(室)管理の実施
個人情報取り扱い区域を管理する。
2：盗難等に対する予防対策の実施
個人データが記載されている電子媒体や書類は施錠可能な書庫、キャビネットに保管する。
3：機器、装置等の固定など物理的な保護
機器及び電子媒体等の盗難防止措置をとる。
4：不正な操作の防止
個人データを取り扱う端末に付与する機能を限定する。 スマートフォン、パソコン等の記録機能を有する機器の接続の制限及び機器の更新への対応をとる。

◆技術的管理措置
1：個人データに対するアクセス管理(ＩＤやパスワード等による認証（※）、各職員の業務内容に応じて業務上必要な範囲にのみアクセスできるようなシステム構成の採用等。
※認証については、認証の３要素である「記憶」、「生体情報」、「物理媒体」のうち、２つの独立した要素を組み合わせて認証を行う方式（二要素認証）を採用することが望ましい。
2：個人データに対するアクセス記録の保存
3：不正が疑われる異常な記録の存否の定期的な確認
4：個人データに対するファイアウォールの設置
5：情報システムへの外部からのアクセス状況の監視及び当該監視システムの動作の定期的な確認
6：ソフトウェアに関する脆弱性対策(セキュリティパッチの適用、当該情報システム固有の脆弱性の発見及びその修正等)
7：個人データの保存
8：不要となった個人データの廃棄、消去◆人的安全管理措置
1：取り扱う個人データの適切な保護が確保されるよう、従業者に対する教育研修の実施等により、個人データを実際の業務で取り扱うこととなる従業者の啓発を図って、従業者の個人情報保護意識を徹底する。
2：この際、派遣労働者についても、「派遣先が講ずべき措置に関する指針」（平成11年労働省
告示第138号）において、「必要に応じた教育訓練に係る便宜を図るよう努めなければならない」とされていることを踏まえ、個人情報の取扱いに係る教育研修の実施に配慮する必要がある。
17

５．安全管理措置、従業者の監督・委託先の監督
下記事項は事業者の義務を記載しております。
【法の規定により遵守すべき事項等】「しなければならない」等と記載された事項については、
法の規定により厳格に遵守することが求められます。
【その他の事項】
法に基づく義務等ではないが、達成できるよう努めることが求められます。

【法の規定により遵守すべき事項等】■医療・介護関係事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他個
人データの安全管理のために必要かつ適切な措置を講じなければならない。
■医療・介護関係事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人
データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
■医療・介護関係事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

【その他の事項】■医療・介護関係事業者は、安全管理措置に関する取組を一層推進するため、安全管理措置が適切であるかどうかを一定期間ごとに個人情報保護対策及び最新の技術動向を踏まえた
情報セキュリティ対策に十分な知見を有する者に事業者内の対応を確認させるほか、必要に応じて外部の知見を有する者による確認を受けることで、改善を図ることが望ましい。

18

管
理

6．漏えい等の報告等（法第26条）

個人データの漏えい、滅失、毀損等が生じたときに、個人情報保護委員会への報告と本人への通知を行う必要があります。

６．漏えい等の報告等
下記事項は事業者の義務を記載しております。
【法の規定により遵守すべき事項等】「しなければならない」等と記載された事項については、
法の規定により厳格に遵守することが求められます。
【その他の事項】
法に基づく義務等ではないが、達成できるよう努めることが求められます。

【法の規定により遵守すべき事項等】
 医療・介護関係事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人デー
タの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいもの（要配慮個
人情報が含まれる個人データの漏えい等）が生じたときは、当該事態が生じた旨を個人情報保護委員会に報告するとともに、本人への通知を行わなければならない。具体的な例としては以下のとおりである。
（例）
・病院における患者の診療情報や調剤情報を含む個人データを記録したUSBメモリーを紛失した場合
・従業員の健康診断等の結果を含む個人データが漏えいした場合■報告及び通知の対象となる事態、報告及び通知の方法等については、通則ガイドラインも参照のこと。
■個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人データを取り扱っていることになるため、報告対象事態に該当する場合には、原則として委託元と委託先の双方が報告する義務を負う。
この場合、委託元及び委託先の連名で報告することができる。なお、委託先が、報告義務を負っている委託元に当該事態が発生したことを通知したときは、委託先は報告義務を免除される。
19

【その他の事項】
 要配慮個人情報が含まれる個人データの漏えい等に限らず、医療機関等においてコンピュー
タウイルスの感染などによるサイバー攻撃を受けた疑いがある場合にあっては、「医療機関等におけるサイバーセキュリティ対策の強化について」（平成30年10月29日医政総発1029第 1号・医政地発1029第3号・医政研発1029第1号）により、直ちに医療情報システムの保守会社等に連絡の上、当該サイバー攻撃により医療情報システムに障害が発生し、個人情報の漏
洩や医療提供体制に支障が生じる又はそのおそれがある事案であると判断された場合には 、速やかに当該医療機関等から厚生労働省医政局研究開発振興課医療技術情報推進室に連絡すること。

20

提供

7．個人データの第三者提供（法第27条）

第三者に個人情報を提供する場合には本人の同意を得ることが重要です。ただし、学術研究機関等が学術研究目的で取り扱う場合で、個人の権利利益を不当に侵害するおそれがない場合は本人の同意が不要です。

■第三者提供の取扱い
医療・介護関係事業者は、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならないとされており、次のような場合には、本人の同意を得る必要がある。
下記のような照会に関しては、本人の同意を得ずに回答してはいけない。
（例）① 民間保険会社からの照会② 職場からの照会③ 学校からの照会④ マーケティング等を目的とする会社等からの照会◆第三者提供の例外
次に掲げる場合については、本人の同意を得る必要はない。
① 法令に基づく場合。
② 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
③ 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
④ 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
⑤学術研究機関等が学術研究目的で個人データを提供する場合であり、かつ、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ない場合（個人の権利利益を不当に侵害するおそれがある場合を除く。）⑥学術研究機関等が個人データを提供する場合であり、かつ、当該学術研究機関等と共同して学術研究を行う第三者（学術研究機関等であるか否かを問わない）に当該個人データを学術研究目的で提供する必要がある場合（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）⑦学術研究機関等が個人データの第三者提供を受ける場合であり、かつ、当該学術研究機関
等が当該個人データを学術研究目的で取り扱う必要がある場合（当該個人データを取り扱う
目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）
21

◆本人の同意が得られていると考えられる場合
医療機関の受付等で診療を希望する患者は、傷病の回復等を目的としている。
一方、医療機関等は、患者の傷病の回復等を目的として、より適切な医療が提供できるよう治療に取り組むとともに、必要に応じて他の医療機関と連携を図ったり、当該傷病を専門とする他の医療機関の医師等に指導、助言等を求めることも日常的に行われる。
また、その費用を公的医療保険に請求する場合等、患者の傷病の回復等そのものが目的ではないが、医療の提供には必要な利用目的として提供する場合もある。このため、第三者への情報の提供のうち、患者の傷病の回復等を含めた患者への医療の提供に必要であり、かつ、個人情報の利用目的として
院内掲示等により明示されている場合は、原則として黙示による同意が得られているものと考えられる。
また、傷病の内容によっては、患者の傷病の回復等を目的とした場合であっても、個人データを第三者提供する際は、あらかじめ本人の明確な同意を得なければならない場合もある。その場合医療機関等は、本人の意思に応じた対応を行う必要がある。

(1) 患者への医療の提供のために通常必要な範囲の利用目的について、院内掲示等で公表しておくことによりあらかじめ黙示の同意を得る場合
医療機関の受付などで、診療を希望する患者から個人情報を取得した場合、それらが患者自身の医療サービスの提供のために利用されることは明らかである。このため、院内掲示等により公表して、患者に提供する医療サービスに関する利用目的について患者から明示的に留保の意思表示がなければ、 患者の黙示による同意があったものと考えられる。（ガイダンスp29～30参照）
また、(ア)患者への医療の提供のため、他の医療機関等との連携を図ること。
(イ)患者への医療の提供のため、外部の医師等の意見・助言を求めること。
(ウ)患者への医療の提供のため、他の医療機関等からの照会があった場合にこれに応じること。
(エ)患者への医療の提供に際して、家族等への病状の説明を行うこと。
等が利用目的として特定されている場合は、これらについても患者の同意があったものと考えられる。
(以上は、医療機関等が対象であり、介護関係事業者は書面による契約書が必要。その他、民間団体
等においては、口頭での説明や書面等による本人同意が必要となる。)(2) この場合であっても、黙示の同意があったと考えられる範囲は、患者のための医療サービスの提供に必要な利用の範囲であり、p47「参考1」の「患者への医療の提供に必要な利用目的」を参考に各医療等が示した利用目的に限られるものとする。なお、院内掲示等においては、(ア)患者は、医療機関等が示す利用目的の中で同意しがたいものがある場合には、その事項について、
あらかじめ本人の明確な同意を得るよう医療機関等に求めることができること。
(イ)患者が、(ア)の意思表示を行わない場合は、公表された利用目的について患者の同意が得られたものとすること。
(ウ)同意及び留保は、その後、患者からの申出により、いつでも変更することが可能であること。

をあわせて掲示するものとする。
(3) 医療機関等が、労働安全衛生法第66条、健康保険法第150条、国民健康保険法第82条又は高齢者の医療の確保に関する法律第20条、第24条若しくは第125条により、事業者又は保険者が行う
健康診断等を受託した場合、その結果である労働者等の個人データを委託元である当該事業者又は保険者に対して提供することについて、本人の同意が得られていると考えられる。
(4) 介護関係事業者については、介護保険法に基づく指定基準において、サービス担当者会議等で利用者の個人情報を用いる場合には利用者の同意を、利用者の家族の個人情報を用いる場合には家族の同意を、あらかじめ文書により得ておかなければならないとされていることを踏まえ、事業所内への掲示によるのではなく、サービス利用開始時に適切に利用者から文書により同意を得ておくことが必要である。
22

通常の業務の中で共同利用する場合等、第三者提供には該当しない事があるので必ず確認しましょう。

◆｢第三者｣に該当しない場合
以下(1)～(2)では、第三者に該当せず、本人の同意を得ずに情報の提供を行うことができる。
(1)他の事業者等への情報提供であるが、「第三者」に該当しない場合
・検査等の業務を委託する場合
・外部監査機関への情報提供(公益財団法人日本医療機能評価機構が行う病院機能評価等)
・個人データを特定の者との間で共同して利用するとして、あらかじめ本人に通知等している
場合※個人データの共同での利用における留意事項
病院と訪問看護ステーションが共同で医療サービスを提供している場合など、あらかじめ個人
データを特定の者との間で共同して利用することが予定されている場合、(ア)共同して利用される個人データの項目、(イ)共同利用者の範囲（個別列挙されているか、本人から見てその範囲が明確となるように特定されている必要がある）、(ウ)利用する者の利用目的、(エ)当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名をあらかじめ本人に通知し、又は本人が容易に知り得る状態においておくとともに、共同して利用することを明らかにしている場合には、当該共同利用者は第三者に該当しない。
この場合、(ア)、(イ) については変更することができず、(ウ)、(エ)については、本人が想定することが困難でない範囲内で変更することができ、変更する場合は、本人に通知又は本人の容易に知り得る状態におかなければならない。
(2)同一事業者内における情報提供であり、第三者に該当しない場合
同一事業者内で情報提供する場合は、当該個人データを第三者に提供したことにはならない
ので、本人の同意を得ずに情報の提供を行うことができる。
医療・介護関係事業者における具体的事例は以下のとおりである。
（例）
・病院内の他の診療科との連携など当該医療・介護関係事業者内部における情報の交換
・同一事業者が開設する複数の施設間における情報の交換
・当該事業者の職員を対象とした研修での利用(ただし、第三者提供に該当しない場合であっても、当該利用目的が院内掲示等により公表されていない場合には、 具体的な利用方法について本人の同意を得るか(ガイダンスp22参照) 、個人が特定されないようされないよう、
匿名加工情報又は仮名加工情報に加工する必要がある（ガイダンスp11～12参照)
・当該事業者内で経営分析を行うための情報の交換
23

７．個人データの第三者提供
下記事項は事業者の義務を記載しております。
【法の規定により遵守すべき事項等】「しなければならない」等と記載された事項については、
法の規定により厳格に遵守することが求められます。
【その他の事項】
法に基づく義務等ではないが、達成できるよう努めることが求められます。

【法の規定により遵守すべき事項等】
 医療・介護関係事業者においては、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。なお、上記の第三者提供の例外に該当する場合には、本人の同意を得る必要はない。
 個人データの第三者提供について本人の同意があった場合で、その後、本人から第三者提供の範囲の一部についての同意を取り消す旨の申出があった場合は、その後の個人データの取扱いについては、本人の同意のあった範囲に限定して取り扱うものとする。

【その他の事項】
 第三者提供に該当しない情報提供が行われる場合であっても、院内や事業所内等への掲示、
ホームページ等により情報提供先をできるだけ明らかにするとともに、患者・利用者等からの問合せがあった場合に回答できる体制を確保する。
 例えば、業務委託の場合、当該医療・介護関係事業者において委託している業務の内容、委託先事業者、委託先事業者との間での個人情報の取扱いに関する取り決めの内容等について公開することが考えられる。

24

提
供

8．外国にある第三者への提供の制限（法第28条）８．外国にある第三者への提供の制限
下記事項は事業者の義務を記載しております。
【法の規定により遵守すべき事項等】「しなければならない」等と記載された事項については、
法の規定により厳格に遵守することが求められます。
【その他の事項】
法に基づく義務等ではないが、達成できるよう努めることが求められます。

■外国にある第三者への提供の制限
下記のいずれかを満たす必要がある。
1：外国にある第三者に提供することについて本人の同意を得る。
2：外国にある第三者が適切な整備をしている。
3：外国にある第三者が個人情報保護委員会が認めた国に所在している。
※詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン(外国にある第三者への提供編)」(平成28年個人情報保護委員会告示第7号)を参照のこと。

25

【法の規定により遵守すべき事項等】
 医療・介護関係事業者が、法第28条の規定に基づき、外国にある第三者に個人データを提供する場合には、法第27条第1項各号(ガイダンスp43参照)に定める場合を除き、外国にある第三者へ提供することについて本人の同意を得なければならない。
 ただし、次の(ア)又は(イ)のいずれかに該当する場合は、国内と同様に法第27条第1項柱書の規定に基づく本人同意による第三者提供、又は同条第5項に基づく委託、共同利用による提供が可能である。
(ア) 外国にある第三者が、日本と同等の水準にあると認められる個人情報保護制度を有している国として個人情報の保護に関する法律施行規則(平成28年個人情報保護委員会
規則第3号。以下「規則」という)で定める国にある場合(イ) 外国にある第三者が、個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制として規則で定める基準に適合する体制を整備している場合
 上記の(イ)個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準については、規則第16条に規定されている。
 「適切かつ合理的な方法」は、個々の事例ごとに判断されるべきであるが、個人データの提供先である外国にある第三者が、我が国の個人情報取扱事業者が講ずべきこととされている措
置に相当する措置を継続的に講ずることを担保することができる方法である必要がある。
（例）• 外国にある事業者に個人データの取扱いを委託する場合提供元及び提供先間の契約、確認書、覚書等
 契約等に法第4章第1節に関する全ての事項を規定しなければならないものではなく、実質的に適切かつ合理的な方法により、措置の実施が確保されていればよい。

なお、典型的な事例として日本にある事業者が、外国にある事業者に個人データの取扱いを委託する場合を挙げ、外国にある第三者又は提供元である日本にある事業者が講ずべき措置の具体例を示すこととする。
◇利用目的の特定(法第17条の趣旨に沿った措置)(例)委託契約において、外国にある事業者による利用目的を特定する。
◇利用目的による制限(法第18条の趣旨に沿った措置)(例)委託契約において、委託の内容として、外国にある事業者による利用目的の範囲内での事務処理を規定する。
◇不適正な利用の禁止（法第１９条の趣旨に沿った措置）（例）委託契約により外国にある事業者による違法又は不当な行為を助長し、又は誘発するおそれがある方法による利用を禁止する。

◇適正な取得(法第20条第1項の趣旨に沿った措置)(例)外国にある事業者が委託契約に基づいて適切に個人データを取得していることが自明であれば、不正の手段による取得ではない。
◇取得に際しての利用目的の通知(法第21条の趣旨に沿った措置)(例)日本にある事業者から患者に対して利用目的の通知等をする。(利用目的の範囲を別表2で示し、院内掲示等での公表で差し支えない)◇データ内容の正確性の確保等(法第22条の趣旨に沿った措置)(例)委託契約によりデータ内容の正確性の確保等について規定するか、又は、データ内容の正確性の確保等に係る責任を個人データの提供元たる事業者が負うこととする。
26

◇安全管理措置(法第23条の趣旨に沿った措置)(例)委託契約により外国にある事業者が安全管理措置を講ずる旨を規定する。
◇従業者の監督(法第24条の趣旨に沿った措置)(例)委託契約により外国にある事業者の従業者の監督に係る措置を規定する。
◇委託先の監督(法第25条の趣旨に沿った措置)(例)委託契約により外国にある事業者の再委託先の監督に係る措置を規定する。
◇漏えい等の報告等（法第２６条の趣旨に沿った措置）（例）委託契約により、外国にある事業者において法第２６条第1項に定める報告対象事態が発生した場合に、日本にある個人情 報取扱事業者が個人情報保護委員会への報告及び本人通知に係る措置を講ずることについて明確にする。
◇第三者提供の制限(法第27条の趣旨に沿った措置)(例)委託契約により外国にある事業者からの個人データの第三者提供を禁止する。
◇外国にある第三者への提供の制限(法第28条の趣旨に沿った措置)(例)委託契約により外国にある事業者からの個人データの第三者提供を禁止する。

◇保有個人データに関する事項の公表等(法第32条の趣旨に沿った措置)(例)提供する個人データが外国にある事業者にとって「保有個人データ」に該当する場合には、委託契約により、日本にある個人情報取扱事業者が保有個人データに関する事項の公表等に係る義務を履行することについて明確にする。なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。
◇開示(法第33条の趣旨に沿った措置)(例)提供する個人データが外国にある事業者にとって「保有個人データ」に該当する場合には、委託契約により、日本にある個人情報取扱事業者が開示に係る義務を履行することについて明確にする。なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。
◇訂正等(法第34条の趣旨に沿った措置)(例)提供する個人データが外国にある事業者にとって「保有個人データ」に該当する場合には、委託契約により、日本にある個人情報取扱事業者が訂正等に係る義務を履行することについて明確にする。なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。
◇利用停止等(法第35条の趣旨に沿った措置)(例)提供する個人データが外国にある事業者にとって「保有個人データ」に該当する場合には、委託契約により、日本にある個人情報取扱事業者が利用停止等に係る義務を履行することについて明確にする。なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。
◇理由の説明(法第36条の趣旨に沿った措置)(例)提供する個人データが外国にある事業者にとって「保有個人データ」に該当する場合には、委託契約により、日本にある個人情報取扱事業者が理由の説明に係る義務を履行することについて明確にする。なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。
◇開示等の請求等に応じる手続(法第37条の趣旨に沿った措置)(例)提供する個人データが外国にある事業者にとって「保有個人データ」に該当する場合には、委託契約により、日本にある個人情報取扱事業者が開示等の請求等に応じる手続を履行することについて明確にする。なお、提供する個人データ
が外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。
◇手数料(法第38条の趣旨に沿った措置)(例)提供する個人データが外国にある事業者にとって「保有個人データ」に該当する場合には、委託契約により、日本にある個人情報取扱事業者が手数料に係る措置を履行すること について明確にする。なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」としての対応 は不要である。
◇個人情報取扱事業者による苦情の処理(法第40条の趣旨に沿った措置)(例)提供する個人データが外国にある事業者にとって「保有個人データ」に該当する場合には、委託契約により、日本にある個人情報取扱事業者が法第35条に係る義務を履行することについて明確にする。なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。
27

提
供

9．第三者提供に係る記録の作成等（法第29条）

個人データを第三者に提供したときは、記録の作成・保存を行うことが重要です。
ただし、学術研究機関等が学術研究目的で取り扱う場合で、個人の権利利益を不当に侵害するおそれがない場合は、記録が不要です。
1 記録義務が適用されない場合(1) 第三者が法第16条第2項各号に掲げる者
以下の(ア)から(エ)までに掲げる者との間で個人データの授受を行う場合、記録義務は適用されない。
(ア) 国の機関(法第16条第2項第1号関係)(イ) 地方公共団体(法第16条第2項第2号関係)(ウ) 独立行政法人等（独立行政法人通則法（平成11年法律第103号）第2条第1項に規定する独立行政法人及び法別表第一に掲げる法人（法別表第二に掲げる法人を除く。）をいう。）（法第16条第2項第3号関係）(エ) 地方独立行政法人(地方独立行政法人法(平成15年法律第118号)第2条第1項に規定する
地方独立行政法人をいう。)(法第16条第2項第4号関係)(2) 法第27条第1項各号に該当する場合
個人データが転々流通することは想定されにくいことに鑑み、記録義務は適用されない。
(ガイダンスp45参照)(ア) 法令に基づいて個人データを提供する場合(第1号関係)（例）・審査支払機関へのレセプトの提出(イ) 人(法人を含む。)の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得ることが困難である場合(第2号関係)(ウ) 公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合
であり、かつ、本人の同意を得ることが困難である場合(第3号関係)(エ) 国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であって、協力する民間企業等が当該国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合(第4号関係)（オ）当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供
が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）（第5号関係）
28

（カ）当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に 限る。）（第6号関係）（キ）当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（第7号関係）(3) 法第27条第5項各号に該当する場合「第三者に該当しないものとする」とされていることに鑑み、記録義務は適用されない。
（ガイダンスp49参照）(ア) 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合(法第27条第5項第1号関係)(例)
・検体検査業務の委託その他の業務委託
・保険事務の委託・事業者等からの委託を受けて健康診断等を行った場合における、事業者等へのその結果の通知
・医療機関等の管理運営業務のうち、外部監査機関への情報提供(イ) 合併その他の事由による事業の承継に伴って個人データが提供される場合(法第27条第5項第2号関係)(ウ) 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理についての管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が、あらかじめ本人に通知し、又は本人が容易に知り得る状態に置いているとき(法第27条第5項第3号関係)(4) 本人に代わって提供している場合
医療・介護関係事業者が、患者・利用者本人からの委託等に基づき当該本人の個人データを第三者提供する場合は、当該個人情報取扱事業者は「本人に代わって」提供をしているものである。したがってこの場合の第三者提供については、記録義務は適用されない。
(例)
医療機関等が患者等に提供する医療サービスのうち、・他の病院、診療所、助産所、薬局、訪問看護ステーション、介護サービス事業者等との連携
・他の医療機関等からの照会への回答
・患者の診療等に当たり、外部の医師等の意見・助言を求める場合
・審査支払機関又は保険者からの照会への回答
・医師賠償責任保険などに係る、医療に関する専門の団体、保険会社等への相談又は届出等(5) 本人と一体と評価できる関係にある者に提供する場合
本人の代理人又は家族等、本人と一体と評価できる関係にある者に提供する場合、本人側に対する提供とみなし、記録義務は適用されない。
(例)・家族等への病状説明
29

９．第三者提供に係る記録の作成等
下記事項は事業者の義務を記載しております。
【法の規定により遵守すべき事項等】「しなければならない」等と記載された事項については、
法の規定により厳格に遵守することが求められます。
【その他の事項】
法に基づく義務等ではないが、達成できるよう努めることが求められます。

【法の規定により遵守すべき事項等】
2 記録義務の適用
1に記載したいずれの場合にも該当しない場合で、医療・介護関係事業者が個人データを第三者に提供したときは、法令に定める記録の作成及びその記録を保存しなければならない。

(1) 記録を作成する方法など(ア) 記録を作成する媒体
医療・介護関係事業者は、記録を、文書、電磁的記録又はマイクロフィルムを用いて作成しなければならない。

(イ) 記録を作成する方法
医療・介護関係事業者は、原則として、個人データの授受の都度、速やかに記録を作成しなければならない。
(ウ) 一括して記録を作成する方法
一定の期間内に特定の事業者との間で継続的に又は反復して個人データを授受する場合は、個々の授受に係る記録を作成する代わりに、一括して記録を作成することができる。
(エ) 契約書等の代替手段による方法
医療・介護関係事業者が、本人に対する物品又は役務の提供に係る契約を締結し、その契約の履行に伴って、契約の相手方を本人とする個人データを医療・介護関係事業者から第三者に提供する場合は、その提供の際に作成した契約書その他の書面をもって個人データの流通を追跡することが可能であるから当該契約書その他の書面をもって記録とすることができる。
(オ) 代行により記録を作成する方法
提供者、受領者のいずれも記録の作成方法、保存期間は同一であることに鑑みて受領者は提供者の記録義務の全部又は一部を代替して行うことができる(提供者と受領者の記録事項の相違については留意する必要がある。)。なお、この場合であっても、提供者及び受領者は自己の義務が免責されるわけではないことから、実質的に自ら記録作成義務を果たしているものと同等の体制を構築しなければならない。

30

(2) 記録事項
提供者の記録事項
医療・介護関係事業者が、本人の同意に基づき個人データの第三者提供を行う場合は次の項目を記録しなければならない。
・本人同意を得ている旨
・第三者の氏名又は名称その他の当該第三者を特定できる事項
・個人データによって識別される本人の氏名その他の当該本人を特定できる事項
・個人データの項目(3) 記録事項の省略
複数回にわたって同一「本人」の個人データの授受をする場合において、同一の内容である事項を重複して記録する必要はない。既に「9．2記録義務の適用」に規定する方法により作成した記録(現に保存している場合に限る。)に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。

(4) 保存期間
医療・介護関係事業者は、作成した記録を規則で定める期間保存しなければならない。
保存期間は記録の作成方法によって異なるので留意が必要である。
記録の作成方法別

保存期間

契約書等の代替手段による方法により記録を作成した場合

最後に当該記録に係る個人データの提供を行った日から起算して1年を経過する日までの間一括して記録を作成する方法により記録を作成した場合最後に当該記録に係る個人データの提供を行った日から起算して3年を経過する日までの間

上記以外の場合

3年

31

提
供

10．第三者提供を受ける際の確認等（法第30条）第三者から個人データの提供を受けるときは、第三者による法の遵守状況や、個人データの取得経緯を確認し、提供に係る記録の作成・保存を行うことが重要です。
ただし省略できる場合もあります。
1 確認・記録義務が適用されない場合
第三者提供に係る記録の作成等(法第29条)の場合と同様、(1)第三者が法第16条第2項各号に掲げる者である場合、(2)法第27条第1項各号に該当する場合、(3)法第27条第5項各号に該当する場合、(4)本人に代わって提供された個人データを受ける場合、(5)本人と一体と評価できる関係にある者に該当する場合は、確認・記録義務は適用されない。
なお、具体的事例は、ガイダンスp58～60を参照のこと。
加えて、以下の場合においても確認・記録義務は適用されない。
(ア) 受領者にとって個人データに該当しない場合提供者にとって個人データに該当するが受領者にとって個人データに該当しない情報を受領した場合は、確認・記録義務は適用されない。
(イ) 受領者にとって個人情報に該当しない場合
次の事例のように、提供者にとって個人データに該当する場合であっても、受領者にとっては「個人情報」に該当しない(当然に個人データにも該当しない。)情報を受領した場合は、確認・記録義務は適用されない。

【受領者にとって個人情報に該当しない事例】（例）
・提供者が氏名を削除するなどして個人を特定できないようにしたデータの提供を受けた場合・提供者で管理しているID番号のみが付されたデータの提供を受けた場合

32

10．第三者提供を受ける際の確認等
下記事項は事業者の義務を記載しております。
【法の規定により遵守すべき事項等】「しなければならない」等と記載された事項については、
法の規定により厳格に遵守することが求められます。
【その他の事項】
法に基づく義務等ではないが、達成できるよう努めることが求められます。

【法の規定により遵守すべき事項等】
2 確認義務の適用
医療・介護関係事業者は第三者から個人データの提供を受ける際は、当該第三者に対して、次のとおり確認を行わなければならない。

(1) 確認方法(ア) 第三者の氏名及び住所並びに法人にあっては、その代表者の氏名(イ) 第三者による個人データの取得の経緯(ウ) 法の遵守状況【その他の事項】
医療・介護関係事業者が、他の事業者から個人データの提供を受ける際には、当該事業者の法の遵守状況(例えば、利用目的、開示手続、問合せ・苦情の受付窓口の公表、オプト
アウトによる第三者提供により個人データの提供を受ける際には当該事業者の届出事項が個人情報保護委員会により公表されている旨など)についても確認することが望ましい。

(2) 既に確認を行った第三者に対する確認方法
複数回にわたって同一「本人」の個人データの授受をする場合において、同一の内容である事項を重複して確認する合理性はないため、既に「(1)確認方法」に規定する方法により確認を行い、ガイダンスp66の「(3)記録義務」に規定する方法により作成し、かつ、その時点において保存している記録に記録された事項と内容が同一であるものについては、当該事項の確認を省略することができる。

33

3 記録義務の適用
また、医療・介護関係事業者は、第三者から個人データの提供を受けたときは法令に定める記録を作成し、かつ、その記録を保存しなければならない。

(1) 記録を作成する方法など(ア) 記録を作成する媒体
医療・介護関係事業者は、記録を、文書、電磁的記録又はマイクロフィルムを用いて作成しなければならない。
(イ) 記録を作成する方法
医療・介護関係事業者は、原則として、個人データの授受の都度、速やかに記録を作成しなければならない。
(ウ) 一括して記録を作成する方法
一定の期間内に特定の事業者との間で継続的に又は反復して個人データを授受する場合は、個々の授受に係る記録を作成する代わりに、一括して記録を作成することができる。
(エ) 契約書等の代替手段による方法
医療・介護関係事業者が、本人に対する物品又は役務の提供に係る契約を締結し、その契約の履行に伴って、契約の相手方を本人とする個人データを第三者から提供を受ける場合
は、その提供の際に作成した契約書その他の書面をもって個人データの流通を追跡することが可能であるから当該契約書その他の書面をもって記録とすることができる。

(オ) 代行により記録を作成する方法
提供者、受領者のいずれも記録の作成方法、保存期間は同一であることに鑑みて提供者は受領者の記録義務の全部又は一部を代替して行うことができる（提供者と受領者の記録事項の相違については留意する必要がある。）。なお、この場合であっても、提供者及び受領者は自己の義務が免責されるわけではないことから、実質的に自ら記録作成義務を果たしているものと同等の体制を構築しなければならない。

(2) 記録事項(ア) 受領者の記録事項
医療・介護関係事業者が、本人の同意に基づき個人データの第三者提供を受ける場合は、次の項目を記録しなければならない。

・本人同意を得ている旨
・第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名・第三者による当該個人データの取得の経緯
・個人データによって識別される本人の氏名その他の当該本人を特定できる事項
・個人データの項目

34

(3) 記録事項の省略
複数回にわたって同一「本人」の個人データの授受をする場合において、同一の内容である事項を重複して記録する必要はない。既に「10．3記録義務の適用」に規定する方法により作成した記録(現に保存している場合に限る。)に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。

(4) 保存期間
医療・介護関係事業者は、作成した記録を規則で定める期間保存しなければならない。
保存期間は記録の作成方法によって異なるので留意が必要である。

記録の作成方法別

保存期間

契約書等の代替手段による方法により記録を作成した場合

最後に当該記録に係る個人データの提供を行った日から起算して1年を経過する日までの間一括して記録を作成する方法により記録を作成した場合最後に当該記録に係る個人データの提供を行った日から起算して3年を経過する日までの間

上記以外の場合

3年

35

開
示

11 ．保有個人データに関する事項の公表等（法第32条）

保有する個人データに関し、公表する事項が法で定まっています。例えば、安全
管理措置、個人情報取扱事業者の住所並びに法人の場合は代表者氏名を公表する必要があります。

１1．保有個人データに関する事項の公表等
下記事項は事業者の義務を記載しております。
【法の規定により遵守すべき事項等】「しなければならない」等と記載された事項については、
法の規定により厳格に遵守することが求められます。
【その他の事項】
法に基づく義務等ではないが、達成できるよう努めることが求められます。

【法の規定により遵守すべき事項】
 医療・介護関係事業者は、保有個人データに関し、(ア)当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名、(イ)全ての保有個人データの利用目的(法第21条第4項第1号から第3号までに規定された例外の場合を除く。)、(ウ)保有個人
データの利用目的の通知、開示、訂正、利用停止等の手続の方法、及び保有個人データの利用目的の通知又は開示に係る手数料の額、及び保有個人データの利用目的の通知又は開示に係る手数料の額、(エ)法第23条の規定により保有個人データの安全管理のために講じた措置、 (オ)苦情の申出先等について、本人の知り得る状態(本人の求めに応じて遅滞なく回答する場合を含む。)に置かなければならない。
 （エ）に関し、医療・介護関係事業者は、5．に掲げる安全管理措置等を講じていることについて、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
 医療・介護関係事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、上記の措置により利用目的が明らかになっている場合及び法第21条第4項第1号から第3号までの例外に相当する場合を除き、遅滞なく通知しなければならない。
 医療・介護関係事業者は、利用目的の通知をしない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
 法施行前から保有している個人情報についても同様の取り扱いを行う。
36

【その他の事項】
 医療・介護関係事業者は、保有個人データについて、その利用目的、開示、訂正、利用停止等の手続の方法及び利用目的の通知又は開示に係る手数料の額、苦情の申出先等について、少なくとも院内や事業者内等への掲示、さらにホームページ等によりできるだけ明らかにすると共に、患者・利用者等からの要望により書面を交付したり、問合せがあった場合に具体的内容について回答できる体制を確保する。

【法別表第二に掲げる法人等に関する適用関係】
 法別表第二に掲げる法人については、法第32条の適用が除外され（法第58条関係）、個人情報の取扱いについて独立行政法人等による取扱いとみなして公的部門における規律（法第75条）が適用される（法第123条関係）。

37

開
示

12 ．本人からの請求による保有個人
データ等の開示（法第33条）保有個人データや第三者提供記録の開示の請求を当該本人から受けたときは、
電磁的記録または書面で開示を行う必要があります。

◆開示の原則医療・介護関係事業者は、本人から、当該本人が識別される保有個人データ及び第三者提供記録（以下「保有個人データ等」という。）の開示の請求を受けたときは、本人に対し、電磁的記録の提供による方法、書面の交付による方法等書面の交付による方法等により、遅滞なく、
当該保有個人データ等を開示しなければならない。

◆開示の例外開示することで、法第33条第2項（同条第5項において準用する場合を含む。）各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。具体的事例は以下のとおり。
(例)• 患者・利用者の状況等について、家族や患者・利用者の関係者が医療・介護サービス従事者に情報提供を行っている場合に、これらの者の同意を得ずに患者・利用者自身に当該情報を提供することにより、患者・利用者と家族や患者・利用者の関係者との人間関係が悪化するな
ど、これらの者の利益を害するおそれがある場合• 症状や予後、治療経過等について患者に対して十分な説明をしたとしても、患者本人に重大な心理的影響を与え、その後の治療効果等に悪影響を及ぼす場合※ 個々の事例への適用については個別具体的に慎重に判断することが必要である。
また、保有個人データである診療情報の開示に当たっては、「診療情報の提供等に関する指針」の内容にも配慮する必要がある。

38

遵守義務と努力義務
12．本人からの請求による保有個人データの開示
下記事項は事業者の義務を記載しております。
【法の規定により遵守すべき事項等】「しなければならない」等と記載された事項については、
法の規定により厳格に遵守することが求められます。
【その他の事項】
法に基づく義務等ではないが、達成できるよう努めることが求められます。

【法の規定により遵守すべき事項等】
 医療・介護関係事業者は、本人から、当該本人が識別される保有個人データ等の開示の請求を受けたときは、本人に対し、遅滞なく、当該保有個人データ等を開示しなければならない。
また、当該本人が識別される保有個人データ等が存在しないときにその旨知らせることとする。
ただし、開示することにより、法第33条第2項各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
 ガイダンスp7にあるとおり、例えば診療録の情報の中には、患者の保有個人データであって、当該診療録を作成した医師の保有個人データでもあるという二面性を持つ部分が含まれるものの、そもそも診療録全体が患者の保有個人データであることから、患者本人から開示の請求がある場合に、その二面性があることを理由に全部又は一部を開示しないことはできない。
ただし、法第33条第2項各号のいずれかに該当する場合には、法に従い、その全部又は一部を開示しないことができる。
 開示の方法は、電磁的記録の提供による方法、書面の交付による方法その他当該個人情報取扱事業者の定める方法のうち本人が請求した方法（当該方法による開示に多額の費用を要する場合その他の当該方法によることが困難な場合である場合にあっては、書面の交付による方法）による。
 医療・介護関係事業者は、請求を受けた保有個人データ等の全部又は一部について開示しない旨を決定したときは、本人に対し、遅滞なく、その旨を通知しなければならない。 また本人に通知する場合には、本人に対してその理由を説明するよう努めなければならない。 (ガイダンスp79参照)
 他の法令の規定により、保有個人データ等の開示について定めがある場合には、当該法令の規定によるものとする。

【その他の事項】
 法定代理人等、開示の請求を行い得る者から開示の請求があった場合、原則として患者・利用者本人に対し保有個人データ等の開示を行う旨の説明を行った後、法定代理人等に対して開示を行うものとする。
 医療・介護関係事業者は、保有個人データ等の全部又は一部について開示しない旨決定した場合、本人に対するその理由の説明に当たっては、文書により示すことを基本とする。
また、苦情への対応を行う体制についても併せて説明することが望ましい。
39

【法別表第二に掲げる法人に関する適用関係】
 法別表第二に掲げる法人については、法第33条の適用が除外され（法第58条関係）、個人情報の取扱いについて独立行政法人等による取扱いとみなして公的部門における規律（法第5章第4節第1款）が適用される（法第123条関係）。

40

開
示

13 ．訂正及び利用停止（法第34条、第35条）

13．訂正及び利用停止
下記事項は事業者の義務を記載しております。
【法の規定により遵守すべき事項等】「しなければならない」等と記載された事項については、
法の規定により厳格に遵守することが求められます。
【その他の事項】
法に基づく義務等ではないが、達成できるよう努めることが求められます。

【法の規定により遵守すべき事項等】
 医療・介護関係事業者は、法第34条第2項又は第35条第2項、第4項若しくは第6項の規定に基づき、本人から保有個人データの訂正等、利用停止等、第三者への提供の停止の請求を受けた場合で、それらの請求が適正であると認められるとき、これらの措置を行わなければならない。
 ただし、利用停止等及び第三者への提供の停止については、利用停止等に多額の費用を要する場合など当該措置を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
 なお、以下の場合については、これらの措置を行う必要はない。
(1)訂正等の請求があった場合であっても、(ア)利用目的から見て訂正等が必要でない場合、(イ)誤りである指摘が正しくない場合又は(ウ)訂正等の対象が事実でなく評価に関する情報である場合(2)利用停止等、第三者への提供の停止の請求があっても、手続違反等の指摘が正しくない場合
 医療・介護関係事業者は、上記の措置を行ったとき、又は行わない旨を決定したときは、本人に対し、遅滞なく、その旨を通知しなければならない。また、本人に通知する場合には、本人に対してその理由を説明するよう努めなければならない。(ガイダンスp79参照)【その他の事項】
 医療・介護関係事業者は、訂正等、利用停止等又は第三者への提供の停止の請求を受けた保有個人データの全部又は一部について、これらの措置を行わない旨決定した場合、本人に対するその理由の説明に当たっては、文書により示すことを基本とする。その際は、苦情への対応を行う体制についても併せて説明をすることが望ましい。
 保有個人データの訂正等にあたっては、訂正した者、内容、日時等が分かるように行われなけ
ればならない。
 保有個人データの字句などを不当に変える改ざんは、行ってはならない。

【法別表第二に掲げる法人に関する適用関係】
 法別表第二に掲げる法人については、法第34条及び第35条の適用が除外され（法第58条関係）、個人情報の取扱いについて独立行政法人等による取扱いとみなして公的部門における規律（法第5章第4節第2款及び第3款）が適用される（法第123条関係）。
41

開
示

開
示

11 ．本人からの請求による保有個人データの開示
14 ．開示等の請求等に応じる手続き
及び手数料（法第28条）（法第37条、第38条）

患者・利用者本人が容易に開示等の請求ができるよう、本人の利便を考慮した措置が必要です。

◆開示等を行う情報の特定医療・介護関係事業者は、本人に対し、開示等の請求等に関して、その対象となる保有個人データ等を特定するに足りる事項の提示を求めることができるが、この場合には、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データ等の特定に資する情報の提供その他本人の利便を考慮した措置をとらなければならない。
また、保有個人データ等の開示等については、本人の請求等により、保有個人データ等の全体又は一部が対象となるが、当該本人の保有個人データ等が多岐にわたる、データ量が膨大であるなど、全体の開示等が困難又は非効率な場合、医療・介護関係事業者は、本人が開示等の請求等を行う情報の範囲を特定するのに参考となる情報（過去の受診の状況、病態の変化等）を提供するなど、本人の利便を考慮した支援を行う。

◆代理人による開示等の請求等
保有個人データ等の開示等については、本人のほか、(ア)未成年者又は成年被後見人の法定代理人、(イ)開示等の請求等をすることにつき本人が委託した代理人により行うことができる。

42

遵守義務と努力義務
14．開示等の請求等に応じる手続き及び手数料
下記事項は事業者の義務を記載しております。
【法の規定により遵守すべき事項等】「しなければならない」等と記載された事項については、
法の規定により厳格に遵守することが求められます。
【その他の事項】
法に基づく義務等ではないが、達成できるよう努めることが求められます。

【法の規定により遵守すべき事項等】
 医療・介護関係事業者は、保有個人データ等の開示等の請求等に関し、本人に過重な負担を 課すものとならない範囲において、以下の事項について、その請求を受け付ける方法を定めることができる。
(ア) 開示等の請求等の受付先(イ) 開示等の請求等に際して提出すべき書面の様式、その他の開示等の請求等の受付方法(ウ) 開示等の請求等をする者が本人又はその代理人であることの確認の方法(エ) 保有個人データ等の利用目的の通知、又は保有個人データ等の開示をする際に徴収する手数料の徴収方法
 医療・介護関係事業者は、本人に対し、開示等の請求等に関して、その対象となる保有個人
データ等を特定するに足りる事項の提示を求めることができるが、この場合には、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データ等の特定に資する情報の提供その他本人の利便を考慮した措置をとらなければならない。
 保有個人データ等の開示等の請求等は、本人のほか、未成年者又は成年被後見人の法定代理人、当該請求等をすることにつき本人が委任した代理人によってすることができる。
 医療・介護関係事業者は、保有個人データ等の利用目的の通知を求められたとき、又は保有
個人データ等の開示を請求されたときは、当該措置の実施に関し、手数料を徴収することができ、その際には実費を勘案して合理的であると認められる範囲内において、手数料の額を定めなければならない。

43

遵守義務と努力義務【その他の事項】
 医療・介護関係事業者は、以下の点に留意しつつ、保有個人データ等の開示等の手続を定めることが望ましい。
• 開示等の請求等の方法は書面によることが望ましいが、 患者・利用者等の自由な請求を阻害しないため、開示等の請求等に係る書面に理由欄を設けることなどにより開示等を請求する理由の記載を要求すること及び開示等を請求する理由を尋ねることは不適切である。
• 開示等を請求する者が本人(又はその代理人)であることを確認する。
• 開示等の請求等があった場合、主治医等の担当スタッフの意見を聴いた上で速やかに保有
個人データ等の開示等をするか否か等を決定し、これを開示の請求等を行った者に通知する。
• 保有個人データ等の開示に当たり、法第33条第2項各号に該当する可能性がある場合には、開示の可否について検討するために設置した検討委員会等において検討した上で、速やかに開示の可否を決定することが望ましい。
• 保有個人データ等の開示を行う場合には、日常の医療・介護サービス提供への影響等も考慮し、本人に過重な負担を課すものとならない範囲で、日時、場所、方法等を指定することができる。
 代理人等、開示の請求等を行い得る者から開示の請求等があった場合、原則として患者・利用者本人に対し保有個人データ等の開示を行う旨の説明を行った後、開示の請求等を行った者に対して開示を行うものとする。
 代理人等からの請求等があった場合で、(ア)本人による具体的意思を把握できない包括的な委任に基づく請求、(イ)開示等の請求が行われる相当以前に行われた委任に基づく請求が行われた場合には、本人への説明に際し、開示の請求等を行った者及び開示する保有個人
データ等の内容について十分説明し、本人の意思を確認するとともに代理人の請求の適正性、開示の範囲等について本人の意思を踏まえた対応を行うものとする。

【法別表第二に掲げる法人に関する適用関係】■法別表第二に掲げる法人については、法第37条及び第38条の適用が除外され（法第58条
関係）、個人情報の取扱いについて独立行政法人等による取扱いとみなして公的部門における規律（法第5章第4節）が適用される（法第123条関係）。

44

開
示

15 ．理由の説明・事前の請求・苦情の対応（法第36条、第39条～第40条）

15．理由の説明・事前の請求・苦情の対応
下記事項は事業者の義務を記載しております。
【法の規定により遵守すべき事項等】「しなければならない」等と記載された事項については、
法の規定により厳格に遵守することが求められます。
【その他の事項】
法に基づく義務等ではないが、達成できるよう努めることが求められます。

【法の規定により遵守すべき事項等】
 医療・介護関係事業者は、本人から求められた保有個人データ等の利用目的の通知、又は本人から請求された開示、訂正等、利用停止等において、その措置をとらない旨又はその措置と異なる措置をとる旨本人に通知する場合は、本人に対して、その理由を説明するよう努めなければならない。
 医療・介護関係事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な対応に努めなければならない。また、医療・介護関係事業者は、苦情の適切かつ迅速な対応を行うにあたり、苦情への対応を行う窓口機能等の整備や苦情への対応の手順を定めるなど必要な体制の整備に努めなければならない。

【その他の事項】
 医療・介護関係事業者は、本人に対して理由を説明する際には、文書により示すことを基本とする。その際は、苦情への対応を行う体制についても併せて説明することが望ましい。
 医療・介護関係事業者は、患者・利用者等からの苦情対応にあたり、専用の窓口の設置や主治医等の担当スタッフ以外の職員による相談体制を確保するなど、患者・利用者等が相談を行いやすい環境の整備に努める。
 医療・介護関係事業者は、当該施設における患者・利用者等からの苦情への対応を行う体制等について院内や事業所内等への掲示やホームページへの掲載等を行うことで患者・利用者等に対して周知を図るとともに、地方公共団体、地域の医師会や国民健康保険団体連合会等が開設する医療や介護に関する相談窓口等についても患者・利用者等に対して周知することが望ましい。

【法別表第二に掲げる法人に関する適用関係】■法別表第二に掲げる法人については、法第36条及び第39条の適用が除外され（法第58条
関係）、個人情報の取扱いについて独立行政法人等による取扱いとみなして公的部門における規律（法第5章第4節）が適用される（法第123条関係）。

45

そ
の
他

法別表第一・法別表第ニ（１）法別表第一
名称

根拠法

沖縄科学技術大学院大学学園

沖縄科学技術大学院大学学園法（平成二十一年法
律第七十六号）

沖縄振興開発金融公庫

沖縄振興開発金融公庫法（昭和四十七年法律第三十一号）

外国人技能実習機構

外国人の技能実習の適正な実施及び技能実習生の保護に関する法律（平成二十八年法律第八十九号）

株式会社国際協力銀行

株式会社国際協力銀行法（平成二十三年法律第三十九号）

株式会社日本政策金融公庫

株式会社日本政策金融公庫法（平成十九年法律第五十七号）

株式会社日本貿易保険

貿易保険法（昭和二十五年法律第六十七号）

原子力損害賠償・廃炉等支援機構

原子力損害賠償・廃炉等支援機構法（平成二十三年
法律第九十四号）

国立大学法人

国立大学法人法（平成十五年法律第百十二号）

大学共同利用機関法人

国立大学法人法

日本銀行

日本銀行法（平成九年法律第八十九号）

日本司法支援センター

総合法律支援法（平成十六年法律第七十四号）

日本私立学校振興・共済事業団

日本私立学校振興・共済事業団法（平成九年法律第四十八号）

日本中央競馬会

日本中央競馬会法（昭和二十九年法律第二百五号）

日本年金機構日本年金機構法（平成十九年法律第百九号）

農水産業協同組合貯金保険機構

農水産業協同組合貯金保険法（昭和四十八年法律第五十三号）

放送大学学園放送大学学園法（平成十四年法律第百五十六号）

預金保険機構預金保険法（昭和四十六年法律第三十四号）（2）法別表第ニ
名称根拠法

沖縄科学技術大学院大学学園

沖縄科学技術大学院大学学園法

国立研究開発法人

独立行政法人通則法

国立大学法人

国立大学法人法

大学共同利用機関法人

国立大学法人法

独立行政法人国立病院機構

独立行政法人国立病院機構法（平成十四年法律第百九十一号）

独立行政法人地域医療機能推進機構

推進機構法（平成十七年法律第七十一号）

独立行政法人地域医療機能放送大学学園

放送大学学園法46

参考1〔医療関係事業者向け〕

皆様からご提供いただいた個人情報は
下記の目的で利用いたします
ご提供いただいた皆様の個人情報は、当院にて適切に管理し、医療サービスの提供、診療請求のための事務手続き等、下記の目的に利用させていただきます。
なお、個人情報の取り扱いについてご不明なことがございましたら、下記窓口へお申し出ください。
○○〇〇法人 〇〇〇〇病院

１．院内での利用
・当院が患者等に提供する医療サービス

左記以外の院内での利用[当院内での利用に係る事例]

・医療保険事務・医療機関等の管理運営業務のうち、・患者に係る医療機関等の管理運営業務のうち、－医療・介護サービスや業務の維持・改善のた－入退院等の病棟管理－会計・経理－医療事故等の報告－当該患者の医療サービスの向上

２．第三者への情報提供としての利用
・当院が患者等に提供する医療サービスのうち、めの基礎資料－医療機関等の内部において行われる学生の実習への協力－医療機関等の内部において行われる症例研究[他の事業者等への情報提供を伴う事例]
・医療機関等の管理運営業務のうち、－外部監査機関への情報提供－他の病院、診療所、助産所、薬局、訪問看護ス
テーション、介護サービス事業者等との連携－他の医療機関等からの照会への回答－患者の診療等に当たり、外部の医師等の意見・助言を求める場合－検体検査業務の委託、その他の業務委託－家族等への病状説明
・ 医療保険事務のうち、－保険事務の委託－審査支払機関へのレセプトの提出(適切な保険者への請求を含む。)
ー審査日払い機関又は保険者への照会－審査支払機関又は保険者からの照会への回答

・事業者等からの委託を受けて健康診断等を行った場合における、事業者等へのその結果の通知
・医師賠償責任保険などに係る、医療に関する専門の団体、保険会社等への相談又は届出等
・第三者機関への質向上・安全保護・医療事故等
若しくは未然防止等の分析・報告※上記のうち、他の医療・介護関係機関等への情報提供について同意しがたい事項がある場合には、その旨をお申し出ください。
※お申し出の後に撤回、変更することは、いつでも可能です。

©医療ネットワーク支援センター＜問い合わせ窓口＞
当院の個人情報保護方針や個人情報の取り扱いに関するお問い合わせは窓口でお受けいたします。〇〇〇〇〇

47

20〇〇年〇〇月〇〇日

参考2〔介護関係事業者向け〕

皆様からご提供いただいた個人情報は
下記の目的で利用いたします
ご提供いただいた皆様の個人情報は、当施設にて適切に管理し、介護サービスの提供、お問い
合わせへの回答等、下記の目的に利用させていただきます。
なお、個人情報の取り扱いについてご不明なことがございましたら、下記窓口へお申し出ください。
〇〇〇〇法人 〇〇○○園

１．当施設内での利用
・当施設が介護サービスの利用者等に提供する

介護サービス・介護保険事務・介護サービスの利用者に係る事業所等の管理運営業務のうち、－入退所等の管理

左記以外の施設内での利用[当施設内での利用に係る例]
・介護関係事業者の管理運営業務のうち、－介護サービスや業務の維持・改善のための基礎資料－介護保険施設等において行われる学生の実習への協力－会計・経理－事故等の報告－利用者の介護サービスの向上

２．第三者への情報提供としての利用
・当施設が利用者等に提供する介護サービスのうち、－利用者に居宅サービスを提供する他の居宅サービス事業者や居宅介護支援事業所等の連携（サービス担当者会議等）、照会への回答－その他の業務委託－家族等への心身の状況説明
・介護保険事務のうち、－保険事務の委託－審査支払機関へのレセプトの提出－審査支払機関又は保険者からの照会への回答
・損害賠償保険などに係る保険会社等への相談
又は届出等©医療ネットワーク支援センター※上記のうち、他の介護・福祉機関等への情報提供について同意しがたい事項がある場合には、その旨をお申し出ください。
※お申し出の後に撤回、変更することは、いつでも可能です。

＜問い合わせ窓口＞
当施設の個人情報保護方針や個人情報の取り扱いに関するお問い合わせは窓口でお受けいたします。〇〇〇〇

48

20〇〇年〇〇月〇〇日

認定個人情報保護団体 医療ネットワーク支援センター
http://www.medical-bank.org
E-mail contact@medical-bank.org