製薬企業における個人情報の適正な取扱いのためのガイドライン

平成 17 年 1 月制定
平成 21 年 2 月 20 日改訂
平成 29 年 5 月 30 日改訂
令和 4 年 1 月 20 日改訂
令和 5 年 3 月 23 日改訂
令和 6 年 5 月 23 日改訂

日本製薬団体連合会

目 次
I.

本ガイドラインの趣旨、目的、基本的考え方 .......................................................................................... 3

１．本ガイドラインの趣旨 .............................................................................................................................. 3
２．日薬連による個人情報保護への取組み .................................................................................................. 3
３．本ガイドラインの対象とする「事業者」............................................................................................... 3
４．責任体制の明確化と相談窓口の設置等 .................................................................................................. 3
５．本ガイドラインの見直し .......................................................................................................................... 4
６．本ガイドラインの発効 .............................................................................................................................. 4
II. 用語の定義等 ................................................................................................................................................. 5
III. 製薬企業における個人情報の取扱い

１．製薬企業が取り扱うデータの個人情報該当性について ....................................................................... 5
２．製薬企業が医療機関等から取得する患者の個人データについて ....................................................... 6
３．製薬企業の個人データの第三者からの取得 .......................................................................................... 7
IV. 令和 2 年度改正に関する解説 ....................................................................................................................... 9

１．個人関連情報（法第 31 条） .................................................................................................................... 9
２．仮名加工情報（法第 41 条・法第 42 条） ............................................................................................ 11
３．個人データの漏えい等の報告（法第 26 条） ...................................................................................... 14
４．保有個人データの開示・訂正等・利用停止等（法第 33 条・法第 34 条・法第 35 条） ............... 15
５．外国にある第三者への提供（法第 28 条） .......................................................................................... 19
V. 令和 3 年度改正に関する解説 ..................................................................................................................... 21【別表 1】 日薬連における個人情報保護のための体制の概要 ................................................................... 24

2

I.

本ガイドラインの趣旨、目的、基本的考え方

１． 本ガイドラインの趣旨
本ガイドライン（「本ＧＬ」）は、「個人情報の保護に関する法律」（平成 15 年法律第 57 号、以下
「個人情報保護法」、適用条項摘示の際は単に「法」という。）に基づき、認定個人情報保護団体である
日本製薬団体連合会（「日薬連」）として、加盟団体の会員たる事業者が行う個人情報の適正な取扱いの確保に関する活動を支援するための指針として定めるものである。
なお、本ＧＬにおける法の引用等の記載は、原則として、デジタル社会の形成を図るための関係法律の整備に関する法律第 50 条関係改正後の条項に対応している。

２． 日薬連による個人情報保護への取組み
日薬連は、「医薬品工業の健全なる発達並びに国民生活の向上に寄与する」ことを目的として、医薬品製造・販売業者等を会員とする業態別団体及び地域別団体により構成される連合会である。
日薬連は、個人情報保護センター設置規則、苦情処理規則を制定する等、必要な体制を整備し、平成17 年 9 月、厚生労働大臣に対して認定個人情報保護団体としての認定申請を行い、同年 10 月 20 日付
けで認定を受けた。
それ以降、日薬連は、個人情報保護センターを設置し、対象事業者における個人情報の取扱いに関す
る苦情の処理、研修会等による個人情報の適正な取扱いの確保に寄与する情報の提供、その他個人情報の適正な取扱いの確保に関して必要な業務を行っているが、令和 6 年 4 月に個人情報保護センター設置規則を廃止したことに伴い、同センターの業務は個人情報委員会に移管された。なお、日薬連の個人情報保護に向けた体制は、【別表 1】のとおりである。

３． 本ガイドラインの適用対象とする「事業者」と適用関係
日薬連は、医薬品製造・販売業者等を会員とする業態別団体及び地域別団体により構成する連合会であり、本ＧＬが対象としている事業者の範囲は、日薬連を構成する各団体及びその会員会社とする。
各事業者においては、個人情報保護法、個人情報の保護に関する基本方針（平成 16 年 4 月 2 日閣議
決定、平成 20 年 4 月 25 日一部変更、平成 21 年 9 月 1 日一部変更、平成 28 年 2 月 19 日一部変
更、平成 28 年 10 月 28 日一部変更、平成 30 年 6 月 12 日一部変更）、個人情報保護委員会のガイド
ライン等及び本ＧＬの趣旨を踏まえ、個人情報の適正な取扱いに取り組む必要がある（個人情報保護法、
ガイドライン等については個人情報保護委員会のウェブサイト https://www.ppc.go.jp/を参照）。

４． 責任体制の明確化と相談窓口の設置等
事業者は、個人情報の適正な取扱いを推進し、漏えい等の問題に対処する体制を整備する必要がある。このため、個人情報の取扱いに関し、専門性と指導性を有し、事業者の全体を統括する組織体制・責任体制を構築し、規則の策定や安全管理措置の計画立案等を効果的に実施するものとする。
また、本人に対しては、取得時、利用開始時に個人情報の利用目的を説明するなど、必要に応じて分かりやすい説明を行うべきであるが、加えて、本人が疑問を感じた内容を問い合わせできる相談窓口等を確保することが重要である。

3

５． 本ガイドラインの見直し
個人情報の保護に関する考え方は、社会情勢や国民の意識の変化に対応して変化していくものと考えられる。本ＧＬについても、必要に応じ、検討及び見直しを行うものとする。

６． 本ガイドラインの発効
本ＧＬは、平成 17 年 4 月 1 日に発効するものとする。
本ＧＬは、平成 21 年 2 月 20 日に改訂され、同日より発効する。
本ＧＬは、平成 29 年 5 月 30 日に改訂され、同日より発効する。
本ＧＬは、令和 4 年 1 月 20 日に改訂され、同年 4 月 1 日より発効する。
本ＧＬは、令和 5 年 3 月 23 日に改訂され、同日より発効する。
本ＧＬは、令和 6 年 5 月 23 日に改訂され、同日より発効する。

4

II. 用語の定義等
本指針で用いる用語は、原則、個人情報保護委員会のガイドラインの定めによるものとする。同ガイド
ラインで定義されていない用語については、以下で定めるものを用いる。

１． 治験データ「治験データ」とは、治験実施計画書に従い実施された治験の過程で収集されたデータであって、被験者の情報を含むデータをいう。

２． 製造販売後調査等のデータ「製造販売後調査等のデータ」とは、GPSP 省令に基づいて実施される調査又は試験のうち、製造販売後臨床試験以外のデータであって、対象者の情報を含むデータをいう。

III. 製薬企業における個人情報の取扱い
１． 製薬企業の取り扱うデータの個人情報該当性について
個人情報保護法において、個人情報は、法第 2 条第 1 項の定義に基づき、①特定の個人を識別することができるもの（他の情報と容易に照合する（組み合わせる）ことによって、特定の個人を識別することができるものを含む）、②個人識別符号が含まれるもの、のいずれかに該当するものとされている。ある情報が個人情報に該当するか否かは、データに含まれる被験者と事業者との関係性によって変化するため、一律に「治験データは個人情報に該当する」とも「該当しない」ともいえるものではない。
（１）治験データ
各企業が治験で治験実施医療機関から収集した治験データが、被験者の個人情報に該当するか否かについては、対象となるデータと事業者との関係性から、個人情報取扱事業者である各社で判断することとなるが、例えば以下のような場合は個人情報に該当すると考えられる。
➢ 個人識別符号が含まれている場合➢ 被験者もしくは被験者から取得されたデータ値が特殊であり、一般に公表されている情報か
ら当該被験者が特定できる場合➢ 事業者が被験者の診療録等（治験データの原資料）をモニタリング又は監査のために直接閲覧できる状態にある場合※➢ 副作用の補償対応のため、被験者の同意の上で、氏名や住所などの情報を事業者が取得している場合※ 製薬企業は、治験実施医療機関から収集した治験データの信頼性等を確保するため、モニタリ
ング又は監査のために診療録等を直接閲覧する（ＳＤＶ）ことがある。製薬企業が、被験者識別コードで管理される治験データと、診療録等を照らし合わせる行為が、個人情報保護法における「他の情報と容易に照合することによって、特定の個人を識別することができる」（容易照合性）ことに該当するか否かについては、「実態に即し、氏名・住所などを目にすることが意図的か否かによらず照合が可能な状況にあれば容易照合性が認められる」と考えられる。
（２）製造販売後調査等のデータ製造販売後調査等のデータの個人情報該当性は、対象となるデータと事業者との関係性を踏まえて個人情報取扱事業者である各社で判断することとなる。多くの場合は、製薬企業が取得する

5

製造販売後調査等のデータは、患者の氏名がイニシャル又は医療機関側が設定する記号等になっており、通常、治験と異なりＳＤＶを実施しないため、容易照合性がなく、個人情報に該当しな
いと考えられる。しかし、例えば以下のような場合は個人情報に該当すると判断される。
➢ 個人識別符号が含まれている場合➢ 患者もしくは患者から取得されたデータ値が特殊であり、一般に公表されている情報から当該患者が特定できる場合➢ 副作用の補償対象のため、本人の同意のうえで患者の氏名や住所などの情報を事業者が取得している場合
なお、製造販売後調査等のデータは、上記のとおり取得した製薬企業においては、通常は個人情報に該当しないが、医療機関等や患者にとっては、患者の個人情報である。したがって、製造販売後調
査（再審査）の目的など薬機法の趣旨に従った用途や、説明文書（同意説明文書）を用いて取得した
場合には、説明した目的の範囲内で利用する必要がある。また、情報の管理には十分注意しなければならない。

２． 製薬企業が医療機関等から取得する患者の個人データについて
製薬企業の医薬情報担当者（ＭＲ）が医療機関等から収集する個別の患者に関する情報は、医療機関等においては患者の個人データとして管理されていることが多い。原則として、医療機関
等は、患者の同意を得ることなく第三者に患者の個人データを提供することはできない（法第 27条及び刑法第 134 条第 1 項等）。まず、医療機関等が、患者の個人データをＭＲに提供する前に、患者から個別に同意を取得することは稀と考えられる。また、医療機関等に適用される、「医療・ 介護関係事業者における個人情報の適切な取扱いのためのガイダンス」は、医療機関等から「第三者への情報の提供のうち、患者の傷病の回復等を含めた患者への医療の提供に必要であり、かつ、個人情報の利用目的として院内掲示等により明示されている場合は、原則として黙示による同意が得られているものと考えられる」と述べる。しかしながら、医療機関等からＭＲへの個別の患者に関する情報提供が、「患者の傷病の回復等を含めた患者への医療の提供に必要」であるとは必ずしも言えず、医療機関等において、製薬企業への提供が利用目的として明示されているという実態もない。したがって、こうした提供を、患者の黙示の同意があることを理由に正当化することは難しい。
このため、医療機関等の製薬企業に対する患者の個人データの開示が適法となるのは、医薬品等の適正使用に必要な範囲において個人データを開示する場合として、第三者提供規制の例外である「法令に基づく場合」に該当するときである。ＭＲの情報収集活動に対して医療機関等が情報提供を行うことの正当性の根拠は、「医薬品・医療機器等の品質、有効性及び安全性の確保等に関する法律」第 68 条の 2 の 6 第 2 項に定める、医薬品等の適正な使用のための情報収集への協力義務である。そのため、医療機関等にとっては、当該協力義務の履行に必要な範囲を超えて情報を開示することは許容されない。医療機関等においては、当該条項所定の目的ないしその他の例外事由なく、患者の個人データを当該患者の同意なく第三者に提供することで、第三者提供に関する制限に違反することになる。
製薬企業が医療機関等から取得した患者の治療に関する情報は、製薬企業においては必ずしも特定の個人を識別することができる情報に該当するとは限らない。しかし、医薬品等の適正使用の目的とは別の目的で利用するために医療機関等から患者に関する情報を取得することは、医療機関等の守秘義務違反や個人情報保護法違反を誘発する可能性のある不適切な情報収集であり、医療機関等において患者の同意を取得する等適法に患者の個人データを提供する根拠が必要となる。また、医薬品等の適正使用推進の目的のために医療機関等から取得した患者の情報を、別の目的で利用することも同様に不適切である。

6

３． 製薬企業の個人データの第三者からの取得（１）第三者からの個人データ取得根拠ごとの義務
個人データを第三者から受領する場合、当該個人データの受領について法律的な観点から一貫性のある整理をすべきである。
製薬企業の通常業務において、製薬企業が第三者から個人データを取得する場合の法的整理としては、①第三者提供（法第 27 条 1 項、2 項）、②個人データの収集を委託した第三者（委託先）からの成果物としての提出（法第 27 条 5 項 1 号）、③共同利用（法第 27 条 5 項 3 号）が考えられる。
①第三者提供の場合、個人情報取扱事業者としての責任を有する提供者から、独立した個人情報取扱事業者である製薬企業に個人データが移転する。
受領者である製薬企業は、原則として第三者による当該個人データの取得の経緯を確認・記録する義務を負い（法第 30 条）、提供元が本人から第三者提供に対する同意を取得していることや
オプトアウト手続を履行していること等を確認する。製薬企業は、第三者から個人データを受領した以降、当該個人データについて個人情報取扱事業者としての法的責任を負うこととなる。なお、記録義務にかかる記録を作成する媒体は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする、とされている（規則第 23 条 1 項）が、特段の形式を指定されているものではなく、これらの媒体に法定記録事項が網羅されていれば足りる。例えば、「個人情報の保護に関する法律についてのガイドラインに関するＱ＆Ａ」（令和 4 年 5 月 26 日更新）のＱ13-26 に拠れば、個人データをシステムで授受している場合は、そのログを以って記録とすることも認められるため、必須文書や契約書等の既存のデータの記載内容と合わせて記録として利用することを検討することも可能である。
②個人データの取得行為を委託した先から個人データを受領する場合、受領者である委託元
は、委託先からみて本人からの同意取得やオプトアウト手続を要する「第三者」に該当しない(法第 27 条 5 項)。委託元は、個人データの取得について個人情報取扱事業者としての法的責任を負い、また、委託先に対しては、監督義務(法第 25 条)を負う。具体的には、①適切な委託先を選定
し、②情報の種類や内容に応じた安全管理措置に関する項目を含む適切な内容の契約を締結し、③委託先の契約内容の実施状況を監査等により把握することが必要になる。製薬企業は、委託契約において、収集する対象となる個人データの項目を明確にし、委託先による当該個人データの独自利用・加工を原則として禁止する、漏えい等の事故時の委託元への報告など委託元が法的義務を履行するための項目を定めなければならない。また、委託先が当該個人データを保有している限り、委託元は管理監督責任(漏えい等の事故時の対応も含む)を負うことになるため、契約等により委託先の個人データの削除・廃棄を確保し、適切な時点で委託先への管理監督責任を終了させることについても留意が必要である。さらに、本人の苦情の申し立てや開示等請求権の行使の機会の確保の観点から、委託元が個人データを利用するものであることを本人の知り得る状態にし、委託先が自ら個人データを利用するものであるかのような外観を示してはならないと考えるべきである。
③共同利用の場合も上記②の委託先と同様、本人との関係において一体のものとして取り扱うことに合理性があるという理由から「第三者」に該当しない（法第 27 条 5 項）とされている。従って、共同利用を根拠として提供を受けた個人データは、共同利用者との間で、本人の予測可能性や既に提供者によって特定されている利用目的の範囲を考慮して特定した利用目的の範囲で利用しなければならない。共同利用をするに際しては、法第 27 条 5 項 3 号により通知又は公開すべきとされている事項について、共同して利用する全ての事業者が確認のうえ開示等請求権を行使された場合の連絡フローなどその内容を守るために必要な事項を定めておくことが望ましく、例
えば、データの授受のための契約・覚書や、共同利用の目的の業務提携に関する契約などに共同利用に関する条項を設けることが考えられる。

7

（２）第三者からの個人データ取得の法的性質の具体例
例えば、製薬企業が、自ら主催した疾患啓発の講演会の録画データを第三者に提供し、当該第三者は、運営する医療従事者向け情報提供ウェブサイトから講演会の録画データを配信し、実際に視聴した者の氏名及び視聴時間等を含む視聴者リスト（個人データに該当）を作成し、製薬企業に提供するケースがある。このケースでは、視聴者リストの作成と提供について、①Ａ社が製薬企業からの委託業務として行っているという整理と、②Ａ社がＡ社の独自業務として行っているという整理とが考えられる。
①の委託業務として整理する場合は、その視聴者リスト提供は、委託元たる製薬企業への成果物の提出となり、その提供について視聴者本人からの同意は不要である。製薬企業は、視聴者リストの安全管理や本人への対応に係る責任を負い、委託先であるＡ社を管理監督することになる。また、「個人情報の保護に関する法律についてのガイドラインに関するＱ＆Ａ」（令和 4 年 5月 26 日更新）のＱ7-38、7-40 に拠れば、委託先であるＡ社は視聴者リストをＡ社独自の目的に利用することはできず、例えば、Ａ社のコンテンツ企画立案のために視聴者リストを利用することはできない。製薬企業は、Ａ社が視聴者リストを保管している限り、Ａ社に対する管理監督義務を負うことになるため（法第 25 条）、Ａ社への管理監督義務を終了させるには、視聴者リストを廃棄するよう指示を出し、Ａ社はそれに従って廃棄しなければならない。
他方で、②のＡ社の業務として行っていると整理する場合は、視聴者リストの製薬企業への提供は個人データの「第三者提供」に該当し、Ａ社は製薬企業への提供について視聴者本人からの同意を取得するかオプトアウト手続を行うことが必要となる。この場合、Ａ社は、個人情報取扱事業者としての責任を果たしつつ独自の目的のために視聴者リストを保有して取り扱うことができ、それは製薬企業に提供した後も同様である。また、製薬企業は、Ａ社に対して管理監督義務（法第 25 条）を負わず、受領した以降視聴者データの個人情報取扱事業者としての責任を負う。
このように、ある個人データの取得の法的整理の検討は、事実関係、受領者と提供者の認識内容を確認したうえでの検討が必要である。検討の結果は、個人データの授受に関する契約等で書面化することなどにより、個人データの受領者と提供者との間で認識の齟齬が生じることによって個人情報保護法上の義務が履行されない状態になることを防がなければならない。

8

IV. 令和２年度改正に関する解説
１． 個人関連情報
法第 2 条第 7 項
この法律において「個人関連情報」とは、生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。
法第 31 条1 個人関連情報取扱事業者は、第三者が個人関連情報（個人関連情報データベース等を構成す
るものに限る。以下この章及び第 6 章において同じ）を個人データとして取得することが想定されるときは、第 27 条第 1 項各号に掲げる場合を除くほか、次に掲げる事項について、あ
らかじめ個人情報保護委員会規則で定めるところにより確認することをしないで、当該個人関連情報を当該第三者に提供してはならない。
(1) 当該第三者が個人関連情報取扱事業者から個人関連情報の提供を受けて本人が識別される個

人データとして取得することを認める旨の当該本人の同意が得られていること。
(2) 外国にある第三者への提供にあっては、前号の本人の同意を得ようとする場合において、個

人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報が当該本人に提供されていること。
2 第 28 条第 3 項の規定は、前項の規定により個人関連情報取扱事業者が個人関連情報を提供する場合について準用する。この場合において、同条第 3 項中「講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供し」とあるのは、「講じ」と読み替えるものとする。
3 前条第 2 項から第 4 項までの規定は、第 1 項の規定により個人関連情報取扱事業者が確認する場合について準用する。この場合において、同条第 3 項中「の提供を受けた」とあるのは、「を提供した」と読み替えるものとする。
（１）個人関連情報
個人関連情報とは、生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加
工情報のいずれにも該当しないものをいう。
「個人に関する情報」とは、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報である。「個人に関する情報」のうち、氏名、生年月日その他の記述等により特定の個人を識別することができるものは、個人情報に該当し、個人関連情報には該当しない。
個人関連情報に該当するものの事例※としては、以下のものが挙げられる。
事例１）Ｃｏｏｋｉｅ等の端末識別子を通じて収集された、ある個人のウェブサイトの閲覧履歴等の情報
事例２）個人情報に該当しないメールアドレス（1234abcd＠＊＊.com 等）及びそのメールアドレ
スに結び付いた、ある個人の年齢・性別・家族構成等の情報
事例３）ある個人の通院歴、処方歴、既往歴等の情報
事例４）ある個人の位置情報

9事例５）ある個人の興味・関心、嗜好（飲酒、喫煙等）や運動歴等を示す情報
事例６）バイオバンクから取得するある個人の医療情報※ なお、上記事例 1～6 について、「治験データの個人情報該当性について」において前述したとおり、特定の個人を識別することができる場合、又は個人識別符号が含まれる場合、には、個人情報に該当する点について留意すべきである。個人情報に該当する場合は、個人関連情報に該当しないことになる。例えば、一般的に、ある個人の位置情報それ自体のみでは個人情報に該当しないものではあるが、個人に関する位置情報が連続的に蓄積される等して特定の個人を識別することができる場合には、個人情報に該当し、個人関連情報には該当しないことになる。
（２）個人関連情報取扱事業者
個人関連情報取扱事業者とは、個人関連情報データベース等を事業の用に供している者のう
ち、国の機関、地方公共団体、独立行政法人等及び地方独立行政法人法で定める地方独立行政法
人を除いた者をいう。ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、
営利・非営利の別は問わない。
製薬企業において、コーポレートウェブサイトの運営に伴って、アクセスをしてきた者に関して、Ｃｏｏｋｉｅ等の端末識別子を通じて収集した、特定の個人を識別できないウェブサイトの閲
覧履歴等の情報を取得している場合は、当該企業は個人関連情報取扱事業者に該当する。
（３）個人関連情報取扱事業者の義務
個人関連情報取扱事業者は、提供先の第三者が個人関連情報（個人関連情報データベース等を構成するものに限る。以下同じ。）を個人データとして取得することが想定されるときは、法第27 条第 1 項各号に掲げる場合を除き、あらかじめ当該個人関連情報に係る本人の同意が得られていること等を確認しないで、当該個人関連情報を提供してはならない。
法第 31 条第 1 項は、個人関連情報取扱事業者による個人関連情報の第三者提供一般に適用されるものではなく、提供先の第三者が個人関連情報を「個人データとして取得することが想定されるとき」に適用されるものである。そのため、個人関連情報の提供を行う個人関連情報取扱事業者
は、提供先の第三者との間で、提供を行う個人関連情報の項目や、提供先の第三者における個人関連情報の取扱い等を踏まえた上で、それに基づいて法第 31 条第 1 項の適用の有無を判断する必要がある。
製薬企業が個人関連情報を第三者提供する際に法第 31 条第 1 項の適用を受ける場合は、「個人情報の保護に関する法律のガイドライン（通則編）」（「通則ガイドライン」）に記載されている本人の同意の取得方法や記録義務に関する義務事項を遵守することが必要である。
個人関連情報の提供先が外国にある第三者である場合には、法第 31 条第 1 項第 1 号に基づき本人の同意が得られていることを確認するにあたって、当該同意が得られていることに加え、当該同意を得ようとする時点において、次の①から③までの情報が当該本人に提供されていることを確認する必要がある。
① 当該外国の名称② 当該外国における個人情報の保護に関する制度に関する情報③ 当該第三者が講ずる個人情報の保護のための措置に関する情報
ただし、次の(ⅰ)又は(ⅱ)のいずれかに該当する場合には、本人同意の取得時に上記の①から③迄の情報が提供されていることを確認する必要はない。

10

(i) 当該第三者が個人の権利利益を保護するうえで我が国と同等の水準にあると認められる個人

情報保護制度を有している国にある場合(ii) 当該第三者が個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備している場合（講ずべき措置の考え方等については、「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」（「外国第三者提供ガイドラ
イン」を参照のこと）
なお、提供先が国内にあるかどうかを問わず、提供元が提供先に代わって当該本人の同意を取得することも可能である。

２． 仮名加工情報法第 41 条1 個人情報取扱事業者は、仮名加工情報（仮名加工情報データベース等を構成するものに限る。以下この章及び第 6 章において同じ。）を作成するときは、他の情報と照合しない限り特定の個人を識別することができないようにするために必要なものとして個人情報保護委員会
規則で定める基準に従い、個人情報を加工しなければならない。
2 個人情報取扱事業者は、仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工
情報に係る削除情報等（仮名加工情報の作成に用いられた個人情報から削除された記述等及び個人識別符号並びに前項の規定により行われた加工の方法に関する情報をいう。以下この条及び次条第 3 項において読み替えて準用する第 7 項において同じ。）を取得したときは、削除情報等の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、削除情報等の安全管理のための措置を講じなければならない。
3 仮名加工情報取扱事業者（個人情報取扱事業者である者に限る。以下この条において同じ。）
は、第 18 条の規定にかかわらず、法令に基づく場合を除くほか、第 17 条第 1 項の規定により特定された利用目的の達成に必要な範囲を超えて、仮名加工情報（個人情報であるものに限る。以下この条において同じ。）を取り扱ってはならない。
4 仮名加工情報についての第 21 条の規定の適用については、同条第 1 項及び第 3 項中「、本人に通知し、又は公表し」とあるのは「公表し」と、同条第 4 項第 1 号から第 3 号までの規定
中「本人に通知し、又は公表する」とあるのは「公表する」とする。
5 仮名加工情報取扱事業者は、仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞なく消去するよう努めなければならない。この場合においては、第 22 条の規定は、適用しない。
6 仮名加工情報取扱事業者は、第 27 条第 1 項及び第 2 項並びに第 28 条第 1 項の規定にかかわらず、法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはならない。この場合において、第 27 条第 5 項中「前各項」とあるのは「第 41 条第 6 項」と、同項第 3 号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第 6 項中「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と、第 29 条第 1 項ただし書中「第 27 条第 1 項各号
又は第 5 項各号のいずれか（前条第 1 項の規定による個人データの提供にあっては、第 27 条
第 1 項各号のいずれか）」とあり、及び第 30 条第 1 項ただし書中「第 27 条第 1 項各号又は第115 項各号のいずれか」とあるのは「法令に基づく場合又は第 27 条第 5 項各号のいずれか」とする。
7 仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たっては、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該仮名加工情報を他の情報と照合してはならない。
8 仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たっては、電話をかけ、郵便若し
くは民間事業者による信書の送達に関する法律（平成 14 年法律第 99 号）第 2 条第 6 項に規定する一般信書便事業者若しくは同条第 9 項に規定する特定信書便事業者による同条第 2 項に規定する信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法（電子情報処理組織を使用する方法その他の情報通信の技術を利用する方法であって個人情報保
護委員会規則で定めるものをいう。）を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用してはならない。
9 仮名加工情報、仮名加工情報である個人データ及び仮名加工情報である保有個人データについては、第 17 条第 2 項、第 26 条及び第 32 条から第 39 条までの規定は、適用しない。
法第 42 条1 仮名加工情報取扱事業者は、法令に基づく場合を除くほか、仮名加工情報（個人情報であるものを除く。次項及び第 3 項において同じ。）を第三者に提供してはならない。
2 第 27 条第 5 項及び第 6 項の規定は、仮名加工情報の提供を受ける者について準用する。この場合において、同条第 5 項中「前各項」とあるのは「第 42 条第 1 項」と、同項第 1 号中「個人情報取扱事業者」とあるのは「仮名加工情報取扱事業者」と、同項第 3 号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第 6 項中
「個人情報取扱事業者」とあるのは「仮名加工情報取扱事業者」と、「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と読み替えるものとする。
3 第 23 条から第 25 条まで、第 40 条並びに前条第 7 項及び第 8 項の規定は、仮名加工情報取扱
事業者による仮名加工情報の取扱いについて準用する。この場合において、第 23 条中「漏えい、滅失又は毀損」とあるのは「漏えい」と、前条第 7 項中「ために、」とあるのは「ために、削除情報等を取得し、又は」と読み替えるものとする。
（１）仮名加工情報
仮名加工情報とは、個人情報を法に定める所定の措置を講じて特定の個人を識別することができないように加工して得られる個人に関する情報であって、他の情報と照合しない限り特定の個人を識別することができないようにしたものをいう。
仮名加工情報は、仮名加工情報取扱事業者が仮名加工情報作成の意図を持って、法第 41 条第 1項に基づき、規則第 31 条で定める基準に従って加工される必要がある。
仮名加工情報については、利用目的の変更の制限に関する法第 17 条第 2 項の規定は適用されな
いため、変更前の利用目的と異なる新たな利用目的の変更も認められる（この場合、当該新たな利用目的の公表が別途必要となる）。ただし、仮名加工情報の利用はあくまでも事業者内に限定され、法令に基づく場合を除くほか、仮名加工情報を第三者（委託先、事業の承継先及び共同利用先を除く）に提供してはならない。

12

【製薬企業において想定される仮名加工情報の利用事例】
製薬企業で治験データを治験同意書に定める目的と異なる新たな利用目的で利用する場合、仮名加工情報を作成し利用することが想定される。この場合、「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」（「仮名加工情報・匿名加工情報ガイドライン」）を遵守し、かつ、次の全ての措置を講じる場合は、被験者識別コードを他のコードに置き換えること（いわゆる“再コード化”※）なく、治験データを仮名加工情報として製薬企業内で利用することができる。
① 仮名加工情報作成のために治験データの複製物を作成する。
② 上記の治験データの複製物に医師の氏名や、個人識別符号に該当するゲノムデータ等が含まれる場合は、仮名加工情報・匿名加工情報ガイドラインに定める加工基準に従って削除する。
③ 上記②により加工した複製物を仮名加工情報として原データである治験データが保管されている環境とは異なる環境下で分別管理する。
※ なお、治験データから仮名加工情報を作成し利用する場合、被験者識別コードを再コード化
することは必須ではないものの、被験者の個人情報保護のための安全管理措置の一環として、治験データから仮名加工情報を作成する際、再コード化することが望ましい。
（２）仮名加工情報取扱事業者「仮名加工情報取扱事業者」とは、仮名加工情報データベース等を事業の用に供している者のうち、法第 16 条第 2 項に掲げる国の機関、地方公共団体、独立行政法人等及び地方独立行政法人法で定める地方独立行政法人を除いた者をいう。
「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。
（３）仮名加工情報取扱業者等の義務①仮名加工情報の取扱いに係る義務の考え方
仮名加工情報取扱事業者において、仮名加工情報の作成の元となった個人情報や当該仮名加工
情報に係る削除情報等※を保有している等により、当該仮名加工情報が「他の情報と容易に照合することができ、それにより特定の個人を識別することができる」状態にある場合には、当該仮名加工情報は、「個人情報」（法第 2 条第 1 項）に該当する。この場合、当該仮名加工情報取扱事
業者は、個人情報である仮名加工情報の取扱いに関する義務等を遵守する必要がある。
これに対し、例えば、法第 41 条第 6 項又は第 42 条第 1 項若しくは第 2 項の規定により仮名加
工情報の提供を受けた仮名加工情報取扱事業者において、当該仮名加工情報の作成の元となった個人情報や当該仮名加工情報に係る削除情報等を保有していない等により、当該仮名加工情報が「他の情報と容易に照合することができ、それにより特定の個人を識別することができる」状態にない場合には、当該仮名加工情報は、「個人情報」（法第 2 条第 1 項）に該当しない。この場
合、当該仮名加工情報取扱事業者は、個人情報でない仮名加工情報の取扱いに関する義務等を遵守する必要がある。
※「削除情報等」とは、仮名加工情報の作成に用いられた個人情報から削除された記述等及び個
人識別符号並びに法第 41 条第 1 項により行われた加工の方法に関する情報をいう。

13

②仮名加工情報取扱業者等の義務
仮名加工情報に関する義務は、以下の区分に応じて遵守する義務等が定められている。その詳細については、仮名加工情報・匿名加工情報ガイドラインを参照する必要がある。
➢

仮名加工情報を作成する個人情報取扱事業者が遵守する義務等➢

個人情報取扱事業者である仮名加工情報取扱事業者が遵守する個人情報である仮名加工情報の取扱いに関する義務等➢

仮名加工情報取扱事業者が遵守する個人情報でない仮名加工情報の取扱いに関する義務等

３． 個人データの漏えい等の報告
法第 26 条1 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人 データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱
いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。
2 前項に規定する場合には、個人情報取扱事業者（同項ただし書の規定による通知をした者を除く。）は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
規則第 7 条
法第 26 条第 1 項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会
規則で定めるものは、次の各号のいずれかに該当するものとする。
(1)要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第 1 項において同じ。）の漏えい、滅失若しくは毀損（以下この条及び次条第 1 項において「漏えい等」という。）が発生し、又は発生したおそれがある事態(2)不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態(3)不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態(4)個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事
態（１）報告対象となる事例
個人データの漏えい等に関して個人情報保護委員会への報告の対象となる事態は、規則第 7 条に定められている。
治験データが被験者の個人データに該当する場合、これらには要配慮個人情報が通常含まれているため、これらのデータ漏えい等は被験者の要配慮個人情報が含まれる個人データの漏えい等

14

として個人情報保護委員会への報告対象事態に該当する。
この点、製薬企業が取り扱う治験データはコード化されており、当該データに含まれる情報か
らは製薬企業で被験者本人を直接識別することができないこと、また被験者識別コードリストは治験実施医療機関ごとに分散管理され、ある治験実施医療機関の被験者識別コードリストを入手しても治験データに含まれる一部の被験者しか識別できないことから、「個人の権利利益を保護するために必要な措置」が講じられているといえないかが問題となる。しかし、被験者識別コード
による管理は、規則で例示されている「高度の暗号化等の秘匿化」と比べて同等の措置とは必ずしもいえないと考えられ、コード化されていることをもって直ちに「個人の権利利益を保護するために必要な措置」が講じられているとはいえない。したがって、漏えい等した治験データそのものに別途高度の暗号化などの措置が講じられていない限り、治験データの漏えい等が発生した
場合には、報告対象事態に該当する。
（２）日薬連個人情報委員会への報告
旧法下では認定個人情報保護団体の対象事業者である個人情報取扱事業者は、漏えい等報告を
当該認定個人情報保護団体に報告するものとされていたが、改正法第 26 条第 1 項により、漏えい等報告は個人情報保護委員会に対して行うこととなる。
しかしながら、認定個人情報保護団体としての日本製薬団体連合会の対象事業者は、個人情報保護委員会への法第 26 条第 1 項の漏えい等報告を行ったときは、今後も引き続き日薬連個人情報委
員会に報告することとし、個人情報保護委員会に提出した確報の写しを速やかに提出することとする。
（３）本人への通知
個人情報取扱事業者は、報告対象事態を知ったときは、当該事態の状況に応じて速やかに、本人への通知を行わなければならない（法第 26 条第 2 項）。
治験データには、被験者本人の連絡先はもとより、製薬企業では被験者本人を直接特定し得る情報が含まれていないという特殊性がある。この特殊性から、治験データについて報告対象事態が生じた場合でも、製薬企業が被験者本人への通知を行うことは困難である。このような場合には、本人の権利利益を保護するために必要な代替措置を講ずることによる対応が認められる（法第26 条 2 項ただし書）。この点、通則ガイドライン 3-5-4-5【本人への通知が困難な場合に該当する事例】の事例 2)として例示される「問い合わせ窓口を用意してその連絡先を公表」する方法は、被験者から「自らの個人データが対象となっているか否か」を照会された場合でも、治験実施医療機関に確認しない限り製薬企業も回答できないため、採用することが難しい。このため、各治験実施医療機関に通知し、被験者への伝達を依頼するか、事案を公表する（同事例１）ことが考えられる。

４． 保有個人データの開示・訂正等・利用停止等法第 33 条1 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの電磁的記録の提供による方法その他の個人情報保護委員会規則で定める方法による開示を請求することができる。
2 個人情報取扱事業者は、前項の規定による請求を受けたときは、本人に対し、同項の規定により当該本人が請求した方法（当該方法による開示に多額の費用を要する場合その他の当該方15

法による開示が困難である場合にあっては、書面の交付による方法）により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
(1)本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合 (2)
当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合(3)他の法令に違反することとなる場合
3 個人情報取扱事業者は、第 1 項の規定による請求に係る保有個人データの全部若しくは一部について開示しない旨の決定をしたとき、当該保有個人データが存在しないとき、又は同項の規定により本人が請求した方法による開示が困難であるときは、本人に対し、遅滞なく、その旨を通知しなければならない。
4 他の法令の規定により、本人に対し第 2 項本文に規定する方法に相当する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている場合には、当該全部又は一部の保有個人データについては、第 1 項及び第 2 項の規定は、適用しない。
5 第 1 項から第 3 項までの規定は、当該本人が識別される個人データに係る第 29 条第 1 項及び第 30 条第 3 項の記録（その存否が明らかになることにより公益その他の利益が害されるもの
として政令で定めるものを除く。第 37 条第 2 項において「第三者提供記録」という。）について準用する。
法第 34 条1 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの内容が事実でないときは、当該保有個人データの内容の訂正、追加又は削除（以下この条において「訂正」という。）を請求することができる。
2 個人情報取扱事業者は、前項の規定により請求を受けた場合には、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。
3 個人情報取扱事業者は、第 1 項の規定による請求に係る保有個人データの内容の全部若しく
は一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を通知しなければならない。
法第 35 条1 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第 18 条若しくは第 19 条の規定に違反して取り扱われているとき、又は第 20 条の規定に違反して取得されたものであるときは、当該保有個人データの利用の停止又は消去（以下この条において「利用停止」という。）を請求することができる。
2 個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
3 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第 27 条第 1 項
又は第 28 条の規定に違反して第三者に提供されているときは、当該保有個人データの第三者への提供の停止を請求することができる。

16

4 個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場
合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
5 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データを当該個人情報取扱事業者が利用する必要がなくなった場合、当該本人が識別される保有個人データに係る第26 条第 1 項本文に規定する事態が生じた場合その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合には、当該保有個人データの利用停止等又は第三者への提供の停止を請求することができる。
6 個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行わなければならない。
ただし、当該保有個人データの利用停止等又は第三者への提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
7 個人情報取扱事業者は、第 1 項若しくは第 5 項の規定による請求に係る保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は第 3 項若しくは第 5 項の規定による請求に係る保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
（１）保有個人データの開示及び第三者提供の開示
個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの開示（存在しないときにはその旨を知らせることを含む。）の請求を受けたときは、本人に対し、電磁的記録の提供による方法、書面の交付による方法その他当該個人情報取扱事業者の定める方法のうち本人が請求した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である
場合にあっては、書面の交付による方法）により、遅滞なく、当該保有個人データを開示しなければならない。
開示請求の対象の治験データが当該本人を識別できる保有個人データに該当する場合、当該治験データは開示請求の対象となる。しかし、製薬企業は、治験実施医療機関から受領した治験データ
を、被験者識別コードで特定して管理している。したがって、製薬企業は、本人から開示の請求を受けた場合であっても、当該本人に対応する被験者識別コードを特定できなければ、開示すべき個
保有個人データを特定することができない。この場合、製薬企業は、以下の対応を参考にしつつ、
適切な方法を判断することとなる。
①製薬企業が治験実施医療機関に問い合わせを行い、被験者本人の被験者識別コードを確認した上で、保有個人データを開示する。
②本人（又は代理人）から治験実施医療機関に被験者識別コードを問い合わせしてもらえるように、本人（又は代理人）に対して促す。
なお、製薬企業が保有する個人データを開示できない場合は、その旨を遅滞なく本人（又は代理人）に通知しなければならない（法第 33 条第 3 項）。
開示請求の対象の治験データが当該本人を識別できる保有個人データに該当しない場合、当該治験データは開示請求の対象にはならない。この場合は、製薬企業が治験実施医療機関と協力して対応することも考えられる。
以上は、治験データが第三者に提供されている場合における、第三者提供記録についても同様である（法第 33 条第 5 項）。

17

（２）保有個人データの訂正等・利用停止等
本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの内容が事実でない
ときは、当該保有個人データの内容の訂正、追加又は削除を請求することができる（法第 34 条第 1項）
。また、本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第 18 条
若しくは第 19 条の規定に違反して取り扱われているとき、又は第 20 条の規定に違反して取得されたものであるときは、当該保有個人データの利用の停止又は消去を請求することができる（法第 35
条第 1 項）。
高い品質を求められる治験データには、誤りが含まれている可能性は低く、また、製薬企業は、治験データを薬機法や、被験者の同意に基づいて取扱っていることから、通常、法第 18 条から第20 条の規定に違反していない。したがって、治験データについて、法第 34 条及び第 35 条の措置を迫られる可能性は低い。しかしながら、万が一これらの規定に該当する場合には、訂正等や利用停止等の請求に応じなければならない。
製薬企業は、保有個人データの全部若しくは一部について、訂正等や利用停止等を行った場合、
若しくは行わない旨を決定した場合は、その旨を遅滞なく本人に通知しなければならない（法第 34
条第 3 項、第 35 条第 7 項）。
（３）外的環境の把握に関して
政令第 10 条
法第 32 条第 1 項第 4 号の政令で定めるものは、次に掲げるものとする。
(1) 法第 23 条の規定により保有個人データの安全管理のために講じた措置（本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。）(2) 当該個人情報取扱事業者が行う保有個人データの取扱いに関する苦情の申出先(3) 当該個人情報取扱事業者が認定個人情報保護団体の対象事業者である場合にあっては、当該認定個人情報保護団体の名称及び苦情の解決の申出先法第 32 条第 1 項では、一定の「保有個人データに関する事項」を本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。この対象となる事項が追加
され、法第 23 条の規定により保有個人データの安全管理のために講じた措置を本人の知りえる状態に置かなければならないこととなった。そして、通則ガイドラインでは、この措置として本人の知り得る状態に置く事項の一つとして、外的環境の把握が挙げられている。この外的環境の把握とは、個人情報取扱事業者が、外国において個人データを取り扱う場合、当該外国の個人情報の保護に関する制度等を把握した上で、個人データの安全管理のために必要かつ適切な措置を講じることを意味する。
「個人情報の保護に関する法律についてのガイドラインに関するＱ＆Ａ」（令和 3 年 9 月 10 日更新）のＱ10-22 からＱ10-25 によると、①外国にある支店、営業所又は従業者に個人データを取り扱わせる場合、②外国にある第三者に個人データの取扱いを委託等する場合や、③外国にある第三者の提供するクラウドサービスを利用し、その管理するサーバに個人データを保存する場合は、「外的環境の把握」を行わなければならない。具体的には、①，②の場合は、支店等・従業者・委託先等が所在する外国の名称と、当該外国の制度等の把握した上で講じた措置の内容を本人の知り得る状態に置く必要がある。また、③の場合は、クラウドサービス提供事業者が所在する外国の名称及び個人データが保存されるサーバが所在する外国の名称と、当該外国の制度等を把握した上で講じた措置の内容を本人の知り得る状態に置く必要がある。一方、個人データが保存されるサーバが所在する国を特定できない場合には、サーバが所在する外国の名称に代えて、（i）サーバが所在する国を特定できない旨及びその理由、及び、(ii)本人に参考となるべき情報を本人の知り得る状態に置く必要がある。この場合、本人に参考となるべき情報としては、例えば、サーバが所在する外国の候補が具体的に定まっている場合における当該候補となる外国の名称等が考えられる。

18

製薬企業が、国内で行われた治験データ等の個人データを海外に所在するＣＲＯ等に取扱を委託する場合や、海外サーバで当該治験データを保管する場合は、上記「外的環境の把握」を適切に行う必要がある。

５． 外国にある第三者への提供
法第 28 条第 2 項
個人情報取扱事業者は、前項の規定により本人の同意を得ようとする場合には、個人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。
規則第 17 条
1 法第 28 条第 2 項又は法第 31 条第 1 項第 2 号の規定により情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。
2 法第 28 条第 2 項又は法第 31 条第 1 項第 2 号の規定による情報の提供は、次に掲げる事項について行うものとする。
(1) 当該外国の名称(2) 適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報(3) 当該第三者が講ずる個人情報の保護のための措置に関する情報
3 前項の規定にかかわらず、個人情報取扱事業者は、法第 28 条第 1 項の規定により本人の同意を得ようとする時点において、前項第 1 号に定める事項が特定できない場合には、同号及び同項第 2 号に定める事項に代えて、次に掲げる事項について情報提供しなければならない。
(1) 前項第 1 号に定める事項が特定できない旨及びその理由(2) 前項第 1 号に定める事項に代わる本人に参考となるべき情報がある場合には、当該情報
4 第 2 項の規定にかかわらず、個人情報取扱事業者は、法第 28 条第 1 項の規定により本人の同意を得ようとする時点において、第 2 項第 3 号に定める事項について情報提供できない場合には、同号に定める事項に代えて、その旨及びその理由について情報提供しなければならない。
（１）提供先の第三者が所在する外国を特定できない場合に該当する事例について
外国第三者提供ガイドラインにおいて規則第 17 条第 3 項【提供先の第三者が所在する外国を特定できない場合に該当する事例】として以下の事例が記載されている。

事例 1）日本にある製薬会社が医薬品等の研究開発を行う場合において、治験責任医師等が被験者への説明及び同意取得を行う時点では、最終的にどの国の審査当局等に承認申請するかが未確定であり、当該被験者の個人データを移転する外国を特定できない場合
これに関連して、以下に、治験時において被験者に提示する同意文書の中の治験データの越境移
転にかかる文案を紹介する。

19

【治験時における越境移転に関する同意文書例】
この治験で得られたあなたのデータは、今後、治験を実施している製薬企業から医薬品の承認審査をおこなう日本及び世界各国の規制当局、提携会社、委託先、学術研究機関、学会又は研究者に移転又は提供される可能性があります。どの国の規制当局、提携会社、委託先、学術研究機関、学会又は研究者に移転又は提供されるかは、この治験で得られた結果や、今後の研究開発の結果によって変わるため、あなたへの説明及び同意取得を行う今の時点では、あなたのデータを移転する国をお伝えすることはできません。また、治験終了後時間がたってから、あなたのデータの移転・提出先が決まることもあるため、現時点で前もって同意をいただく必要があります。あなたのデータ
は日本よりも個人情報やプライバシー等に関する法律や規制が十分でない国に移転・提供される可能性もあります。ただし、あなたのデータはコード化されて取り扱われるため、規制当局を除き、これらの移転・提供先が、原則として、あなたの氏名や住所といった連絡先を知ることはありません。規制当局は治験データの信頼性確認のため、あなたの診療録や同意書を確認することがあります。

（２）治験データの米国移転について
被験者に説明及び同意取得を行う時点で個人データを提供する国を特定することができる場合、
法第 28 条第 2 項に従い、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人
情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。ここでは「被験者に説明及び同意取得を行う時点で個人データを提供する国が明確な場合」の事例として米国への治験データの移転について説明する。
被験者に説明及び同意取得を行う時点で個人データを提供する国が米国であることが明確な場
合、米国移転に関して被験者に同意文書で情報提供をするために、以下の点について説明する必要がある。
①米国における個人情報の保護に関する制度
州単位での制度についての情報提供は必ずしも求められないが、本人の予測可能性の向上に資す
る場合には、州単位の制度についても情報提供を行うことが望ましい。
②米国の個人情報の保護に関する制度に関する指標③ＯＥＣＤプライバシーガイドライン 8 原則に対応する事業者の義務又は本人の権利の不存在④その他本人の権利利益に重大な影響を及ぼす可能性のある制度の存在

20

V.

令和３年度改正に関する解説
学術研究例外法第 16 条第 8 項
この章において「学術研究機関等」とは、大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者をいう。
法第 18 条1 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
2 個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
3 前二項の規定は、次に掲げる場合については、適用しない。
(1)法令に基づく場合(2)～(4) 省略(5) 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下この章において「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場
合を除く。）。
(6) 学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
法第 20 条1 個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。
2 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
(1) 法令に基づく場合(2)～(4) 省略(5) 当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含
み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
(6) 学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含
み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。）。
(7)～(8) 省略
法第 27 条1 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
(1) 法令に基づく場合(2)～(4) 省略(5) 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）。
(6) 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の21

権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。）。
(7) 当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
法第 59 条
個人情報取扱事業者である学術研究機関等は、学術研究目的で行う個人情報の取扱いについて、この法律の規定を遵守するとともに、その適正を確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。

個人情報保護法の令和 3 年改正では、個人情報保護法の適用が一律に除外されていた学術研究について、原則として個人情報保護法が適用されると整理しつつ、学問の自由に与える影響が大きい
一部の規制（利用目的の変更の制限（法第 18 条）、要配慮個人情報の取得の制限（法第 20 条）、
個人データの第三者提供の制限（法第 27 条））については例外規定をおく旨の規制適用の精緻化がなされた。
製薬企業は、学術研究機関等と共同で学術研究を実施する場合に、これらの例外規定に該当する可能性があるため、その実施にあたっては、共同研究の相手方が学術研究機関等に該当するか、また、共同研究の内容が学術研究に該当するかを事前に検討する必要がある。
（１）学術研究機関等
学術研究機関等とは、大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者をいう。大学その他の学術研究を目的とする機関とは、国公立・私立大学、公益法人等の研究所等の学術研究を主たる目的として活動する機関や学会をいい、それらに属する者とは、国公立・私立大学の教員、公益法人等の研究所の研究員、学会の会員等をいう（これらは、あくまでも日本国内の大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者をいい、海外に所在する機関若しくは団体又はそれらに属する者は学術研究機関等から除外される）。
なお、多くの製薬企業は、自社の創薬研究のために研究部門を有しているが、当該研究部門は
上記の「学術研究を主たる目的として活動する機関」には該当しないため、基本的に製薬企業の研究部門が学術研究機関等に該当することはないものと考えられる。
（２）学術研究
学術研究とは、新しい法則や原理の発見、分析や方法論の確立、新しい知識やその応用法の体系化、先端的な学問領域の開拓などをいう。なお、学術研究は、学問分野が人文・社会科学であるか自然科学であるかを問わないし、基礎研究であるか応用研究であるかも問わない。学術研究に該当するかどうかを判断するうえでは、研究手法の内容、研究成果の公表予定の有無、態様等の要素を総合的に考慮する必要がある。
以下のとおり、製薬企業と学術研究機関等との共同研究は、一定の場合には学術研究に該当しうる。例えば、製薬企業は、学術研究機関等と共同研究を実施した後に研究成果を製品化することが想定されるが、①学術研究機関等による基礎研究→②学術研究機関等と製薬企業による共同
研究→③製薬企業による製品化という一連のプロジェクトを全体として見れば、「②学術研究機
関等と製薬企業による共同研究」の内容が学術研究に該当する限り、「一部は学術研究目的」であると解されることから、当該共同研究は学術研究として実施することが可能である。
また、製薬企業が製品の上市後に、いわゆる「育薬」の一貫として既存の薬剤を用いてその有効性・安全性を評価・検証する研究を学術研究機関等と共同して実施する場合についても、当該22

研究の内容が学術研究に該当する限り、学術研究として実施することが可能である。なお、製薬企業は、共同研究の成果を述べる論文や学会発表等を、製品の営業活動の過程で引用することがあり得るが、共同研究と、その研究成果の利用行為が区別されている限り、研究成果を営利目的で用いることが、それに先立つ共同研究の学術研究性を否定するわけではない。
この場合、製薬企業は、利用目的の変更の制限（法第 18 条第 3 項第 6 号）、要配慮個人情報の取得の制限（法第 20 条第 2 項第 6 号）、個人データの第三者提供の制限（法第 27 条第 1 項第 6号及び第 7 号）に基づき、本人から事前の同意を取得することなく、学術研究機関等との間で学術研究の対象となる個人の個人情報を授受するとともに、当該個人情報を学術研究の目的のために利用することが可能である。
＜製薬企業が学術研究機関等と共同で実施する学術研究の参考事例＞①

患者の各種試料・遺伝子発現等の情報を利用してマルチオミクス解析を行い、疾患特異性を持つ生体反応、分子、関連遺伝子を見出す。

②

診断で採取された病理組織を用い、新規の診断バイオマーカーの測定法を確立する。

③

非臨床疾患モデルで確認された生理反応カスケードについて、患者及び健康成人の試料を用いて検証する。

④

観察研究で採取した試料や画像データを用いて、疾患の病勢を反映したバイオマーカーを
確立する。

⑤

レジストリーデータを用いたデータベース研究により、希少疾患の患者数、発生頻度や地域ごとの分布を明らかにする。
以上

23

【別表 1】 日薬連における個人情報保護のための体制の概要

24

本書の内容を無断で複写・転載することを禁じます。

製薬企業における
個人情報の適正な取扱いのためのガイドライン
平成 17 年 1 月 20 日 初版発効
平成 21 年 2 月 20 日 改訂版発効
平成 29 年 5 月 30 日 改訂版発効
令和 4 年 1 月 20 日 改訂版発効
令和 5 年 3 月 23 日 改訂版発効
令和 6 年 5 月 23 日 改訂版発効

編 集

日 本 製 薬 団 体 連 合 会 個 人 情 報 委 員 会
発 行

日 本 製 薬 団 体 連 合 会〒103‐0023 東京都中央区日本橋本町 3‐7‐2 電話 （03）3527-3154