医療機関における改正個人情報保護法の実務対応～医療ビッグデータ法（次世代医療基盤法）を踏まえて～

講師略歴
弁護士

水町雅子（みずまちまさこ）
http://www.miyauchi-law.com



東京大学教養学部相関社会科学卒業



現、みずほ情報総研入社

メール→osg@miyauchi-law.com

ITシステム設計・開発・運用、事業企画等業務に従事

東京大学大学院法学政治学研究科法曹養成専攻（法科大学院）修了



司法試験合格、法曹資格取得、第二東京弁護士会に弁護士登録

内閣官房社会保障改革担当室参事官補佐
マイナンバー制度立案（特にマイナンバー法立法作業、情報保護評価立案）に従事



現、個人情報保護委員会上席政策調査員
マイナンバー制度における個人情報保護業務（特にガイドライン、特定情報保護評価）に従事



首相官邸IT総合戦略本部「パーソナルデータに関する検討会」参考人
個人情報保護改正検討

宮内・水町IT法律事務所（旧、五番町法律事務所）共同設立、現在にいたる

その他、地方公共団体の情報公開・個人情報保護審査会委員（東京都港区、東京都杉並区、茨木県つくば市）等を務める。
マイナンバー・個人情報に関する著書・論文・講演・TV出演・新聞取材等多数。
金融法務事情Ｎｏ.２０４６「改正個人情報保護法と金融機関の実務対応」、労政時報３９１５号「実務に役立つ法律講座（２３）個人情報」
ＮＢＬＮｏ.９４７「ライフログにおける法的問題」等多数
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

2

AGENDA
 改正個人情報保護法・医療ビッグデータ法


改正の背景

 改正個人情報保護法の概要


改正箇所、改正ポイント

 個人情報とは何か

個人情報の定義の再確認、改正事項の把握、個人情報／個人データ／保有個人データ

 要配慮個人情報とは何か 提供規制

提供できる場合、記録・確認義務の詳細を確認、外国提供規制を確認

 利用目的による規制


利用目的とは何かの再確認、改正事項の把握

 安全管理措置 医療ビッグデータ法（次世代医療基盤法）
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

3

改正個人情報保護法と医療ビッグデータ法
背景

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

4

改正の背景には、生活上、個人情報の提供を免れられない時代が もはや書面で個人情報を提供するだけではない PC、スマホ、カード、ゲーム機などを利用すると、その履歴が残るとともに、通信
ネットライフ ネット検索 ネット閲覧 ネットショッピング

 SNSへのログイン（頻度・時間帯）
 SNS内での行動
 アプリインストール・アプリ起動

リアルライフ PASMO,SUICAでの移動・ショッピング
 コンビニ等でのＰＯＳデータ
 GPS
 ポイントカード
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）など様々
5

改正の背景には、生活上、個人情報の提供を免れられない時代がCOPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

6個人情報保護法の改正
 旧個人情報保護法は、直接的には住民基本台帳ネットワークシステムの導入に伴う住民基本台帳法改正を受けて、平成15年5月に公布、平成17年4月に全面施行された。

 その後、情報通信技術の発展や事業活動のグローバル化等の急速な環境変化により、個人情報保護法が制定された当初は想定されなかったようなパーソナルデータの利活用が可能となった。

 ビッグデータによる産業振興とともに、個人の権利利益の一層の保護を図るため、平成27年9月に改正個人情報保護法が公布された。全面施行は平成29年5月30日。

ビッグデータ時代の到来

企業の委縮
COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

名簿屋

経済活性化

国民の不安
7

医療ビッグデータ法（次世代医療基盤法）の制定
改正個人情報保護法下の「要配慮個人情報」による規制強化

医療分野の研究開発等に困難を生じるのでは

医療分野の研究開発力強化・医療分野のIT化促進の必要性
？

医療ビッグデータ法（次世代医療基盤法）の制定

改正個人情報保護法により、医療情報の多くが「要配慮個人情報」となり、規制が強化


医療分野の研究開発等に困難を生じるという危惧

もっとも、改正個人情報保護法による変化は、オプトアウトの禁止のみ。学術研究の適用除外もある。



一方で、医療分野の研究開発力強化、医療分野のIT化促進の必要性

そこで、改正個人情報保護法の匿名加工情報とは異なる規律として、医療ビッグデータ法（次世代医療基盤法）により、匿名加工医療情報をより容易に取得できるように改正。


もっとも、個人の不安払しょくのため、大臣認定制度を設け、認定事業者については規制の大幅強化し、かつ個人がこれに参加
しないことを選択できる仕組み（オプトアウト）を設けた

COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

8

改正個人情報保護法の概要
改正ポイントCOPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

9改正概要（１）

個人情報の定義の明確化
POINT「何が個人情報なのか」という個人情報の定義が明確化。
誰の情報かわかるものは、氏名などが記載されていなくても個人情報に該当することが明確に。

CHECK

自社で考えていた個人情報の範囲に漏れがないか※実質的改正箇所は下線部参照

改正前

改正後

「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう（旧２条１項）「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。（２条１項・２項）

解説

追って詳細を解説キーワード「容易照合性」「個人識別符号」



首相官邸パーソナルデータに関する検討会（第３回）にて筆者
指摘

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）①当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。）で作られる記録をいう。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）②個人識別符号が含まれるもの※個人識別符号とは、指紋、掌紋、パスポート番号、健康保険証番号等
10

改正概要（2）

新ガイドラインの公表
POINT

個人情報保護法に関しては、各主務大臣（経済産業大臣、厚生労働大臣等）がガイドラインをそれぞれ策定し、３８本のガイドラインが公表されていた。今般、個人情報保護委員会が原則としてこれらのガイドラインを統一。

CHECK

自社の個人情報対応が新ガイドラインに合致するかどうか

改正前分野
医療（一般）
医療（研究）
金融
信用
電気通信（電気通信）
電気通信（放送）
電気通信（郵便）電気通信（信書便）
経済産業
雇用管理（一般）
雇用管理（船員）
警察
法務
外務
財務
文部科学
福祉
職業紹介等（一般）
職業紹介等（船員）
労働者派遣（一般）
労働者派遣（船員）
労働組合
企業年金
農林水産
国土交通
環境
防衛

本数
５本
３本
２本
１本
１本
１本
１本
１本
３本
２本
１本
１本
２本
１本
１本
１本
１本
１本
１本
１本
１本
１本
１本
１本
１本
１本
１本

所管府省
厚生労働省
厚生労働省、文部科学省、経済産業省
金融庁
経済産業省
総務省
総務省
総務省
総務省
経済産業省
厚生労働省
国土交通省
国家公安委員会
法務省
外務省
財務省
文部科学省
厚生労働省
厚生労働省
国土交通省
厚生労働省
国土交通省
厚生労働省
厚生労働省
農林水産省
国土交通省
環境省
防衛省

改正後

ガイドラインがようやく統一化！

分野

集約！

所管府省

全分野共通
特別分野

個人情報保護委員会
金融・電気通信・医療

解説
ガイドラインの種類が分かれすぎており、企業にとってはどのガイド
ラインに準拠すればよいのかや、それぞれのガイドラインの差異などがわかりづらい状況にあった。



首相官邸パーソナルデータに関する検討会（第３回）にて筆者指摘
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）11見るべきガイドライン
１

医療・介護関係事業者のためのガイドライン
https://www.ppc.go.jp/files/pdf/iryoukaigo_guidance.pdf
医療・介護関係事業者のためのガイドラインに関するQ&A
https://www.ppc.go.jp/files/pdf/iryoukaigo_guidance_
QA.pdf
個人情報保護法全般に関するガイドライン
https://www.ppc.go.jp/files/pdf/guidelines01.pdf
個人データの第三者提供を受ける/行う際の確認・記録義務に関するガイドライン（法25・26条関係）
https://www.ppc.go.jp/files/pdf/guidelines03.pdf

３「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」
に関するＱ＆Ａ（事例集）
ガイドライン通則編

４

ガイドライン確認・記録編

５

ガイドライン外国提供編

外国にある第三者に個人データを提供することに関するガイドライン（法24条関係）
https://www.ppc.go.jp/files/pdf/guidelines02.pdf

６

Ｑ＆Ａ

参考

ガイドライン匿名加工情報編

ガイドラインに関するＱ＆Ａ
https://www.ppc.go.jp/files/pdf/kojouhouQA.pdf
匿名加工情報に関するガイドライン（法第4章第2節関係）https://www.ppc.go.jp/files/pdf/guidelines04.pdf

２

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

12

改正概要（3）

個人情報保護委員会による監督（命令等）
POINT

個人情報保護法の施行に関し、内閣府の外局である個人情報保護委員会が、報告徴収、立入検査、助言、指導、勧告、命令を行う。個人情報保護委員会は、公正取引委員会並の組織。

CHECK

対・個人情報保護委員会を意識

改正前

改正後

※実質的改正箇所は下線部参照

主務大臣（内閣総理大臣、経済産業大臣等）が個人情報保護について監督

公正取引委員会並の独立性等を備えた、個人情報保護委員会が個人情報保護について監督

報告徴収、助言、勧告、命令

報告徴収、立入検査、助言、指導、勧告、命令解説

漏えい時等は、個人情報保護委員会に届け出るよう努める（認定個人情報保護団体にも届け出るよう努める）


特定非営利活動法人医療ネットワーク支援センターなど。 https://www.ppc.go.jp/personal/nintei/list/

これまでは、法解釈権限庁と法執行権限庁が異なっていた。前者は消費者庁、後者は金融庁・経済産業省等。



改正に伴い、法解釈権限庁と法執行権限庁を一元化し、プライバシー・コミッショナーたる個人情報保護委員会にて、統一的・迅速に個人情報保護法制を取り仕切ることに。
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

13

改正概要（4）

要配慮個人情報
POINT

差別や偏見の恐れのある個人情報について、「要配慮個人情報」（法2条3項）という類型が新設され、要配慮個人情報は原則として本人の同意を得て取得することが必要に。

CHECK

自社で要配慮個人情報を取得する場合があるか

改正前

改正後

一部の条例やガイドラインで要配慮個人情報に相当する類型が設けられていたのみ

この法律において「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。

※アイヌである、がんに罹患している、窃盗の前科がある、強盗被害にあった等

解説

改正前は、「センシティブデータ」「機微情報」等とも呼ばれていたが、一部の条例やガイドラインによって、その範囲がバラバラだった。



これに対し、ＥＵでは法令で一定の個人情報（人種、政治的信条、信教等）について取扱いが原則禁止とされている。
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

14

改正概要（5）

第三者提供時の記録
POINT

個人データを第三者提供した際は、原則としてその記録を作成・保存しなければならない（25条1項・2項）。

CHECK

個人データを第三者提供しているか確認し、対応

改正前

改正後

記録の作成・保存義務はない① 個人情報取扱事業者は、個人データを第三者（第2条第5項各号に掲げる者を除く。）に提供したときは、（略）当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない（法25条1項）。
② 個人情報取扱事業者は、（略）記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない（法25条2項）。

解説

※ 国、地方公共団体、委託先への提供、法令に基づく提供等の場合は、不要。

個人情報保護法の改正が検討されている最中、大手企業から大量の個人情報が流出する事件が発生したこと等もあり、改正個人情報保護法では、いわゆる名簿屋問題対策として、個人情報の流通経路を辿ることができるようなトレーサビリティの確保のための改正がなされた。
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

15

改正概要（６）

第三者提供を受けた時の確認と記録
POINT

第三者から個人データの提供を受けた際は、原則として取得の経緯などを確認し、その記録を作成・保存しなければならない（26条1項・3項・4項）。

CHECK

個人データについて第三者提供を受けているか確認し、対応

改正前記録の作成・保存義務はない

改正後① 個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、（略）次に掲げる事項の確認を行わなければならない（26条1項）。（略）一 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（略）の氏名

解説

二 当該第三者による当該個人データの取得の経緯

第三者提供時の記録と同様に、個人情報の流通経路を辿ることができるようなトレーサビ
リティの確保のための改正に基づくもの。

② 個人情報取扱事業者は、（略）確認を行ったときは、（略）当該個人データの提供を受けた年月日、
当該確認に係る事項その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない（26条3項）。
③ 個人情報取扱事業者は、（略）記録を、当該記録を作成した日から個人情報保護委員会規則で定める
期間保存しなければならない（26条4項）。
※ 国、地方公共団体、委託先への提供、法令に基づく提供等の場合は、不要。

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

16改正概要（７）

外国への第三者提供時の同意取得
POINT

外国へ個人データを第三者提供する場合は、原則本人の同意を得なければならない（24条）。

CHECK

外国へ第三者提供しているか、どの国かを確認し、対応

改正前

改正後

第三者提供に関する規制に関し、国内提供と国外提供の差はない

以下の場合を除き、個人情報取扱事業者は、外国（略）にある第三者に個人データを提供する場合には、（略）あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。

① 個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定める国への提供

解説※ 平成28年末時点で①に該当する国はなし

企業活動のグローバル化に伴い、外国への個人データの移転について新たに規制がされた。

②

また、EU相当の個人情報保護にかかる規律を整備するための改正でもある。

個人データの取扱いについて個人情報保護法第４条第１節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者への提供③

個人情報保護法２３条１項各号に掲げる場合

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

17

改正概要（８）オプトアウトによる第三者提供に伴う届出義務
POINT

個人データをオプトアウト（*）により第三者提供している場合は、個人情報保護委員会に届出する必要がある（23条2項～4項）。

CHECK

オプトアウトによる第三者提供を行っているか確認し、対応
改正後

改正前
オプトアウトにかかる届出義務はない*



以下を個人情報保護委員会に届け出なければならない（23
条2項）

解説

①

第三者への提供を利用目的とすること。

オプトアウトとは、一定事項を本人が知り得る状
態に置くことによって、本人の同意なく個人データを第三者に提供し、本人の求めがあれば第三者への提供を停止するという仕組みをいう（改正法・現行法23条2項）。

②

第三者に提供される個人データの項目③

第三者への提供の方法④

本人の求めに応じて当該本人が識別される個人デー
タの第三者への提供を停止すること。

⑤

本人の求めを受け付ける方法

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）



変更時も届出（23条３項）
18

改正概要（９）消去の努力義務POINT

不要な個人データの消去に努める義務が新設された（19条）。

CHECK

消去ルールの再検討
改正後

改正前



マイナンバーについては、必要のないマイナンバーの廃棄がガイドライン上求められている

マイナンバー以外の個人データについては、消去・廃棄について特段の求めはなかった。

マイナンバーについては、引き続き、必要のないマイナンバーの廃棄がガイドライン上求められている

マイナンバー以外の個人データについても、必要がなくなった
時は遅滞なく消去するよう努めなければならない（19条）



利用目的に応じ保存期間を定め消去する（金融庁ガイドライン
Ｐ5・7条）

解説
安価で大量の情報を保管し続けられる時代において、不要な個人データが大量かつ半永久的に保管される危険性を踏まえた改正。

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

19

改正概要（１０）

個人情報データベース等の不正提供・盗用罪
POINT

新たな罰則規定が設けられた（83条）。個人情報取扱事業者やその従業者等が、業務に関して取り扱った個人情報データベース等を不正な利益を図る目的で提供又は盗用した場合に、1年以下の懲役又は50万円以下の罰金。
一般的な業務を行っている限り、罰則を適用される場合はほぼ考えにくいが、これまで以上に、従業者教育・監督等を行う必要がある。

CHECK

従業者教育・監督・点検方法等を見直す。
改正後

改正前


違法行為に対して個人情報保護法では直接の罰則はなし（認定個
人情報保護団体を除く）。



違法行為は主務大臣の命令が発出。その命令に違反した場合に個
人情報保護法で罰則。



例えば、違法な第三者提供をした場合しても、個人情報保護法では直接の罰則はなし。違法な第三者提供を中止等するよう、主務大臣（経済産業大臣等）の命令が発出された後、命令に違反した
場合に初めて個人情報保護法の罰則が科される。

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

個人情報データベース等の不正提供・盗用については、個人情報保護委員会の命令を経ずに、すぐに個人情報保護法で罰則に科される（83条）。



それ以外の違法行為については、個人情報保護委員会の命令が発出され、その命令に違反した場合に個人情報保護法で罰則。

20

改正概要（１１）

個人情報保護法に従わなければならない対象者が大幅に拡大
POINT

改正前は5,000人以下の個人情報を取り扱う者は、個人情報保護法義務の対象外だった。
改正法下では、このような例外はなく、5,000人以下の個人情報を取り扱う者も、個人情報保護法が求めるさまざまな義務を果たさなければならない。

CHECK

自社が個人情報保護法の対象かどうか

改正前

改正後

事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数の合計が過去6月以内のいずれの日においても5,000を超えない者は、「個人情報取扱事業者」には該当せず（旧法2条3項5号、旧施行令2条）、個人情報保護法が求める義務に服することはなかった。

上記のような例外は撤廃された。

解説
改正前と同様、個人情報データベース等を事業の用に供している者が「個人情報取扱事業者」であるため、散在する個人情報を保有している場合等
は、改正法下でも依然として、個人情報保護法の義務に服することはない。ただ、改正前と同様、「事業の用」とは営利に限らないため、町内会、同窓会等も、「個人情報取扱事業者」に該当しうる。
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

21

改正概要（１２）

法の目的の明確化
POINT

個人情報保護法は個人の権利利益を保護するための法律だが、保護絶対主義ではなく、「個人情報の活用や有用性を配慮したうえでの保護」を目的とすることを明確化

改正前

改正後

この法律は、高度情報通信社会の進展に伴い個人情報の利用が著しく拡大していることにかんがみ、個人情報の適正な取扱いに関し（中略）個人情報を取り扱う事業者の遵守すべき義務等を定めることにより、個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする。（旧１条）※実質的改正箇所は下線部参照

この法律は、高度情報通信社会の進展に伴い個人情報の利用が著しく拡大していることに鑑み、個人情報の適正な取扱いに関し（中略）個
人情報を取り扱う事業者の遵守すべき義務等を定めることにより、個
人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであることその他の個
人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする。（１条）

解説
改正前より、個人情報保護法は、個人情報の有用性に配慮しつつ保護を目的としていたため、改正により、目的が変化・転換するものではない。
但し、ビッグデータやIoT時代を受けて、さまざまな個人情報の活用によるプラスの側面を、「個人情報の有用性」の例として挙げ、個人情報保護法
が保護絶対主義ではないことを明確化した。
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

22

改正概要（１３）規制緩和

利用目的の変更基準の緩和
POINT

改正前は極めて厳格であった個人情報の利用目的の変更基準が緩和。
改正前は変更前後の利用目的に「相当の関連性」が必要だったが、改正後は、単純な「関連性」が必要に。
改正前は変更できなかった利用目的でも、改正法下では変更できる場合も。

CHECK

利用目的の変更ルールを見直すことも考えられる。

改正前

改正後

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲
を超えて行ってはならない（15条2項）。

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲
を超えて行ってはならない（15条2項）。

解説
個人情報というと、「本人同意」のイメージが強いが、それよりも個人情報保護法では、個人情報の「利用目的」を規律の要としている。
この「利用目的」をあらかじめ特定した後は、実務上、その変更が困難であり、個人情報について必要な利活用ができないという課題も指摘されていた。
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

23

改正概要（１４）規制緩和

匿名加工情報POINT「匿名加工情報」（2条9項）という類型が新たに設けられた。特定の個人を識別することができる記述や個人識別符号等を削除するなどして、誰に関する情報であるかをわからなく加工した情報をいい、利用目的の特定や本人の同意なく自由に利活用することができる。
匿名加工情報を利活用する義務があるわけではなく、利活用できるという一種の規制緩和である。

CHECK

匿名加工情報を利活用するかどうかを検討してもよい。

改正前

改正後

匿名加工等について特に規制なし。

この法律において「匿名加工情報」とは、（略）特定の個人を識別することができないように個
人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう（2条9項）。
①

解説
ビッグデータの活用に対する法基準を明確化し、ビッグデータの活用に対する事業者の躊躇を緩和するための改正。

COPYRIGHT Ⓒ

通常の個人情報は、記述等の一部を削除したり、規則性を有しない方法により他の記述
等に置き換えたりして、匿名加工できる② 個人識別符号を含む個人情報は、個人識別符号全部を削除したり、規則性を有しない方法により個人識別符号を他の記述等に置き換えたりして、匿名加工できる

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）24個人情報とは何か

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

25

個人情報の定義
定義「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう（２条１項・２項） 。
① 当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他
人の知覚によっては認識することができない方式をいう。）で作られる記録をいう。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）②

個人識別符号が含まれるもの※個人識別符号とは、指紋、掌紋、パスポート番号、健康保険証番号等、特定の個人を識別することができるもの

生きている人の情報

誰の情報かわかるもの

POINT


個人情報保護法の細かい論点に入り込むと、本質が見えにくくなる傾向も。



定義について細かい点を抑えるのは後回しにして、まずは①生きている人の情報、②誰の情報かわかるものという２つの要件を満たせば個人情報であると理解しよう。

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）26

個人情報の定義：生存者
個人情報であるためには、生存者の情報であることが必要

民間企業等の法人の情報は、個人情報に当たらない
「株式会社はろうの平成２８年売上高は、〇円」

個人情報に該当しない∵生きている人の情報ではない「株式会社はろうの代表取締役社長は、情報太郎である」

個人情報に該当する∵生きている人の情報である

もっとも、法人の役員や従業者の情報は、生存している者の情報であり、個人情報に当たる。

Cf. プライバシー情報と個人情報は異なる。重要情報・秘密情報でなくても、個人情報に該当する。

死者の情報は、原則として個人情報に当たらない


COPYRIGHT Ⓒ

もっとも、それが生存者の情報にも該当するような情報、例えば「故情報太郎氏の財産は100億円であり、相続人である情報
27
花子氏が単独で相続する」ことは、個人情報に該当する。
弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）個人情報の定義：特定の個人を識別できる
 誰の情報かわからなければ個人情報には該当しない。
したがって、「東京都民の平均年収は〇百万円である」といった情報は、個人情報に該当しない。

 一方で、誰の情報かわかれば個人情報に該当するため、「氏名が記載されていなければ個人情報に当たらない」という理解は、誤りである。
「うちの会社の社長は四国出身だ」「今の東の横綱は…」「今の阪神の監督は…」「昭和最後の内閣総理大臣は…」



氏名が含まれていなくても、顔写真や指紋があれば、一般に誰の情報かがわかるといえ、個人情報に該当する。



また、ユーザIDとだけ結びついている購買履歴であったり、特定のブラウザ情報とだけ結びついているWeb閲覧履歴であったり、匿名のブログに記載された内容であっても、ものによっては、誰の情報かがわかる場合があるので、その場合は個人情報に該当する。いわゆる「特定」。



氏名が記載されていなくても、誰の情報かわかる場合は意外と多い。

症例検討等のために患者情報を氏名を削除したとしても、個人情報に当たり得る。

誰のことかわかった
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）28

個人情報の定義：特定の個人を識別できる
 さらに、誰の情報かは、その情報単体でわからなくてもよい。


例えば、表1には仮名とだけ結びついているデータがあり、表2には仮名と実名の結びつきのデータがあったとして、表1と表2を困難なく組み合わせることができれば（→容易照合性）、個人情報に該当する。
仮名
A1

B2

COPYRIGHT Ⓒ

乗降履歴
2016年6月20日7時32分 千葉駅
2016年6月20日8時38分 市ケ谷駅
2016年6月20日19時55分 市ケ谷駅
2016年6月20日21時3分 千葉駅
2016年6月20日8時35分 新宿御苑前駅
2016年6月20日8時58分 四ツ谷駅
2016年6月20日18時3分 四ツ谷駅
2016年6月20日18時25分 銀座駅
2016年6月20日23時35分 銀座駅
2016年6月20日23時53分 新宿御苑前駅

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

仮名
A1

実名
情報太郎

キーワード
B2

難波舞

容易照合性

29

個人情報の定義の改正
改正後

改正前

※実質的改正箇所は下線部参照「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当す「個人情報」とは、生存する個人に関する情報でるものをいう。（２条１項・２項）
あって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することがで①当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記
きるもの（他の情報と容易に照合することができ、録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することがそれにより特定の個人を識別することができるこ
できない方式をいう。）で作られる記録をいう。）に記載され、若しくは記録され、ととなるものを含む。）をいう（旧２条１項）
又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）
をいう。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）②個人識別符号が含まれるもの

POINT


最初の（）の追加については、記述等は、文書だけに限定されず、幅広い一切の事項をいうという改正で、これまでの明確化



２条１項２号の「個人識別符号」は、次のスライドにて詳解

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）30

個人識別符号
個人識別符号
身体特徴系符号（法２条２項１号符号）

番号系符号（法２条２項２号符号）イ）ゲノムデータ
ロ）容貌
ハ）虹彩
ニ）声
ホ）歩行の態様ヘ）静脈ト）指紋又は掌紋イ）パスポート番号等ロ）基礎年金番号ハ）免許証番号二）住民票コードホ）個人番号（マイナンバー）へ）保険証等の記号、番号及び保険者番号等ト）雇用保険証番号※これらの組み合わせも含む※ガイドライン通則編９~１１ページ
本人を認証することができるようにしたもの※旧法でも個人情報として扱ってきたもの
実務上も、「容易照合性」等その他から、個人情報として取り扱ってきたものと思われる
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

31

個人識別符号（条文）
個人識別符号
この法律において「個人識別符号」とは、次の各号のいずれかに該当する文字、番号、記号その他の符号のうち、政令で定めるものをいう（法２条２項）※規則２条も参照
一

特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの（以下、政令１条１号）
一

次に掲げる身体の特徴のいずれかを電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、特定の個人を識別するに足りるものとして個人情報保護委員会規則で定める基準に適合するもの
イ

細胞から採取されたデオキシリボ核酸（別名ＤＮＡ）を構成する塩基の配列

ロ

顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状によって定まる容貌

ハ

虹彩の表面の起伏により形成される線状の模様

ニ

発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化

ホ

歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様

ヘ

手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状

ト

指紋又は掌紋※ガイドライン通則編９~１１ページ
本人を認証することができるようにしたもの
COPYRIGHT Ⓒ※旧法でも個人情報として扱ってきたもの
実務上も、「容易照合性」等その他から、個人情報として取り扱ってきたものと思われる

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

32

個人識別符号（条文）
個人識別符号
この法律において「個人識別符号」とは、次の各号のいずれかに該当する文字、番号、記号その他の符号のうち、政令で定めるものをいう（法２条２項）※規則３・４条も参照
二

個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ、又は個人に発行されるカードその他の書類に記載され、若しくは電磁的方式により記録された文字、番号、記号その他の符号であって、その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され、若しくは記録されることにより、特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの（以下、政令１条２号）
二旅券法（昭和二十六年法律第二百六十七号）第六条第一項第一号の旅券の番号

三

国民年金法（昭和三十四年法律第百四十一号）第十四条に規定する基礎年金番号

四 道路交通法（昭和三十五年法律第百五号）第九十三条第一項第一号の免許証の番号
五

住民基本台帳法（昭和四十二年法律第八十一号）第七条第十三号に規定する住民票コード六

行政手続における特定の個人を識別するための番号の利用等に関する法律（平成二十五年法律第二十七号）第二条第五項に規定する個人
番号七

次に掲げる証明書にその発行を受ける者ごとに異なるものとなるように記載された個人情報保護委員会規則で定める文字、番号、記号その他の符号

イ 国民健康保険法（昭和三十三年法律第百九十二号）第九条第二項の被保険者証
ロ 高齢者の医療の確保に関する法律（昭和五十七年法律第八十号）第五十四条第三項の被保険者証
ハ 介護保険法（平成九年法律第百二十三号）第十二条第三項の被保険者証
八

その他前各号に準ずるものとして個人情報保護委員会規則で定める文字、番号、記号その他の符号※健康保険証、雇用保険被保険者証、特別永住者証明書

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）33

個人情報の定義が広いからこそ、規制対象が異なる
 「個人情報の範囲があまりに広すぎるのでは…」という不安→個人情報保護法遵守が大変であるとの心配

この問題に対応するため、個人情報保護法では、「個人情報」のほかに、「個人データ」「保有個人データ」「個人情報データ
ベース等」「要配慮個人情報」という定義を設けている。



個人情報保護法が求める規制について、その対象をすべて「個人情報」という広い範囲にするのではなく、一部の規制についてのみ対象を「個人情報」とし、多くの規制については対象を、「個人情報」よりも狭い概念である「個人データ」に。

また、個人情報保護法というと、企業は、すべて本人の同意を取って行動しなければならないという誤解もあるが、実際は異なる。個
人情報保護法は、対象の範囲を広く取りつつも、比較的緩やかな行為規制を設けるという法律です。過度に不安に思うことなく、個人情報保護法を正しく理解する。

COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

34

個人情報の定義が広いからこそ、規制対象が異なる


個人データ




この法律において「個人データ」とは、個人情報データベース等を構成する個人情報をいう。

個人情報データベース等


この法律において「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるもの（利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものを除く。）をいう。
一

特定の個人情報を電子計算機を用いて検索することができる
ように体系的に構成したもの

二

前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定め
るもの

POINT

⇒

検索性

COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

体系的構成

35

個人情報の定義が広いからこそ、規制対象が異なる


保有個人データ

この法律において「保有個人データ」とは、個人情報取扱事業者
が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの又は一年以内の政令で定める期間（六月）以内に消去することとなるもの以外のものをい
う。

POINT

⇒

個人情報

開示等の権限

＞

個人データ

６月超え

＞

保有個人データ
36

COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）具体例で考える個人情報／個人データ／保有個人データ
例

個人情報か

個人データか

保有個人データか

病室に掲示された入院患者氏名

〇

×

×

→個人情報ではあるが個人データではない。
→法律上は病室の外にも掲示可（第三者提供制限は「個人データ」が対象）。もっともプライバシーに配慮要。

保険証の情報〇△△→単体では個人データではない。保管状況によって、検索性・体系的構成があれば、個人データ

カルテ情報、看護日報

〇

〇

〇

→散在している情報は個人データではないが、通常は紙カルテ・紙看護日報であっても、患者氏名順に並んでいたりす
るので、個人データ→散在させておけばいいというものではなく、医療機関において保存すべき文書については、必要な場合に利用できる
よう、適切に整理しておく必要があり、基本的に個人データになる（事例Q2-9）
〇

検査結果

〇

〇

→医療機関において保存すべき文書については、必要な場合に利用できるよう、適切に整理しておく必要があり、基本37
的に個人データになる（事例Q2-9、医療GL１３ページ）
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

要配慮個人情報とは何か

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）38個人情報の保護の観点
 情報は、その内容や性質によって、一概に悪い、良いと決められるものではない
•

内容

•
•

•

文脈

検索性
COPYRIGHT Ⓒ

どういう内容かに着目する。例えば、名刺１枚とカルテ情報が同様の取扱いでよいのか。
要配慮個人情報、センシティブ情報、機微情報の議論につながる。
しかし、病歴（要配慮個人情報）であっても、医療に必要であれば私たちは開示するし、医療従事者の間の共有や、医学研究者による活用も許容。ブログやＳＮＳなどで病状を公開する人も。

•

どういう文脈で個人情報が取り扱われるかに着目する。例えば、治療なのか、興味本位なのか。
利用目的の議論につながる。
名刺情報であっても、挨拶なのか、必要な情報の送付のためなのか、不要な勧誘電話のためなのか。
江沢民事件

•
•

利活用の程度、被害のおそれの程度に着目する。
個人データ、個人情報データベース等、マイナンバーの議論につながる。

••

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）39

要配慮個人情報
要配慮個人情報人種

本人の人種（法2条3項）

例）アイヌ

信条

信条（法2条3項）

例）政治的思想

社会的身分

社会的身分（法2条3項）

障害・健康等障害（法2条3項、政令2条1号）

例）療育手帳を交付され所
身体障害、知的障害、精神障害（発達障害を含む。）その他の規則で定める心身の機能の障害* 持しているがあること例）ガンにり患
病歴（法2条3項）

診療等（法2条3項、政令2条3号）
健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと

例）インフルエンザのため、2月11日にA病院内科を受診した

健康診断等の結果（法2条3項、政令2条2号）

例）健康診断の結果、ストレ本人に対して医師その他医療に関連する職務に従事する者（「医師等」）により行われた スチェックの結果、特定健康診査の結果疾病の予防及び早期発見のための健康診断その他の検査（「健康診断等」）の結果

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）40

要配慮個人情報
要配慮個人情報
犯罪等

犯罪の経歴（法2条3項）

例）強盗の前科２犯刑事事件（法2条3項、政令2条4号）

例）窃盗を被疑事実として逮捕された

本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと

少年事件（法2条3項、政令2条5号）
本人を少年法3条1項に規定する少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと

犯罪被害

犯罪により害を被った事実（法2条3項）

例）少年時代に傷害で審判を受けた例）空き巣に入られた

法律による規制•

原則として本人の同意を得て取得・提供•

実務的には、オプトアウトによる第三者提供・取得の禁止 （２３条２項・１７条２項）

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

41

要配慮個人情報を取得・提供できる場合
類型
法２３条１項類型

非第三者（法２３条５項類型）

法１７条２項類型

COPYRIGHT Ⓒ

場合

取得

提供

同意

〇（法１７条２項柱書）〇（法２３条１項柱書）

法令に基づく場合〇（法１７条２項１号）〇（法２３条１項１号）

人の生命・身体・財産の保護のために必要で、同意を得ることが困難〇（法１７条２項２号）〇（法２３条１項２号）

公衆衛生の向上・児童の健全な育成推進のために特に必要で、同意を得ることが困難〇（法１７条２項３号）〇（法２３条１項３号）

国・自治体・受託者に協力する必要があり、同意を得ると支障のおそれ〇（法１７条２項４号）〇（法２３条１項４号）

オプトアウト×（法１７条２項になし）

×（法２３条２項）

委託〇（法１７条２項６号・政令７条２号）〇（法２３条５項１号）

事業承継〇（法１７条２項６号・政令７条２号）〇（法２３条５項２号）

共同利用〇（法１７条２項６号・政令７条２号）〇（法２３条５項３号）

公開（by本人・国・自治体・規則）〇（法１７条２項５号）―

本人を目視又は撮影して、外形上明らかな要配慮個人情報を取得する場合（政令７条１号）〇（法１７条２項６号・政令７条１号）―

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

42

要配慮個人情報（条文）
この法律において「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等（次に掲げる事項のいずれかを内容とする記述等（本人の病歴又は犯罪の経歴に該当するものを除く。） ）が含まれる個人情報をいう（法２条３項・政令２条・規則５条）。
一

身体障害、知的障害、精神障害（発達障害を含む。）その他の個人情報保護委員会規則で定める心身の機能の障害があること。
一

身体障害者福祉法（昭和二十四年法律第二百八十三号）別表に掲げる身体上の障害

二知的障害者福祉法（昭和三十五年法律第三十七号）にいう知的障害

三

精神保健及び精神障害者福祉に関する法律（昭和二十五年法律第百二十三号）にいう精神障害（発達障害者支援法（平成十六年
法律第百六十七号）第二条第二項に規定する発達障害を含み、前号に掲げるものを除く。）

四

治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生活及び社会生活を総合的に支援するための法律（平成十七年法律第百二十三号）第四条第一項の政令で定めるものによる障害の程度が同項の厚生労働大臣が定める程度であるもの

二本人に対して医師その他医療に関連する職務に従事する者（次号において「医師等」という。）により行われた疾病の予防及び早期発見のための健康診断その他の検査（同号において「健康診断等」という。）の結果

三

健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと。

四本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと。

五

本人を少年法（昭和二十三年法律第百六十八号）第三条第一項に規定する少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと。

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

43具体例で考える要配慮個人情報
例

病室に掲示された入院患者氏名

個人情報か

〇

個人識別符号か

要配慮個人情報か

×

×

〇

△

→法律上は要配慮個人情報ではないが、プライバシーに配慮要。
保険証の情報〇→法律上は要配慮個人情報ではないが、マル障受給者証などは要配慮個人情報。
ガン治療中の情報

〇

×

〇

〇

×

〇

→要配慮個人情報
風邪やものもらいで受診した→特に知られたくない傷病名でなくとも、要配慮個人情報

44

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）具体例で考える要配慮個人情報例

健康診断を受けた

個人情報か

個人識別符号か

要配慮個人情報か

〇

×

×

〇

×

〇

〇

×

△

→受けた事実だけでは、要配慮個人情報ではない
健康診断の結果→健康診断の結果になると、要配慮個人情報
身長、体重、体温データ→健康診断、 診療等の事業及びそれに関する業務とは関係ない方法により知り得た場合は、要配慮個人
情報ではない• 要配慮個人情報に該当したとしても、オプトアウトしていなければ、改正法による影響は受けない。
• 本人から問診票や口頭で聞き取った場合、同意があると考えられる。
緊急時に親族から病歴を聞き取ることも可（法１７条２項１号）
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

45

提供規制

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

46

個人データを提供できる場合
ルール

第三者に個人データを提供できる場合は、法律上限定されている（23条）。

ポイント①

対象は「個人情報」ではなく「個人データ」

ポイント②

本人同意を得なくても、提供できることが法律上認められている提供できる場合①

本人の同意がある場合（法23条1項柱書）••②

法令に基づく場合（法23条1項1号）

例）後ろのページ参照③

人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（法23条1項2号）

例）災害時、意識不明時、重度の認知症の高齢者の状況を家族等に説明する等

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

書面でなくてもよい
患者の傷病の回復等を含めた患者への医療の提供に必要であり、かつ、個人情報の利用目的として院内掲示等により明示されて、明確な反対がない場合は、 原則として黙示による同意があると認められる（医療ガイドライン１４・３４頁）↑他の医療機関との連携、専門とする他の医療機関の医師等に指導・助言等を求める、公的医療保険に費用を請求する場
合等47

個人データを提供できる場合提供できる場合④

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、 本人の同意を得ることが困難であるとき（法23条1項3号）

例）健康増進法に基づく地域がん登録事業による国又は地方公共団体への情報提供 、がん検診の精度管理のための地方公共団体又は地方公共団体から委託を受けた検診機関に対する精密
検査結果の情報提供 、医療安全の向上のため、院内で発生した医療事故等に関する国、地方公共団体又は第三者機関等への情報提供⑤

国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行 することに対して協力する必要がある場合であって、本人の同意を得ることにより 当該事務の遂行に支障を及ぼす
おそれがあるとき（法23条1項4号）

例）統計法に定める一般統計調査に協力する⑥

オプトアウト（法23条2項）

例）一定事項を通知等要。本人に求められれば提供を止める⑦

委託（法23条5項1号）

例）データ入力業者への委託、検査業務の委託⑧

事業の承継（法23条5項2号）

例）合併先の病院⑨

共同利用（法23条5項3号）

例）一定事項を通知等必要。病院と訪問看護ステーション

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

48

個人データを法令に基づき第三者提供できる場合○法令上、医療機関等（医療従事者を含む）が行うべき義務として明記されているもの
・医師が感染症の患者等を診断した場合における都道府県知事等への届出（感染症の予防及び感染症の患者に対する医療に関する法
律第１２条）
・特定生物由来製品の製造販売承認取得者等からの要請に基づき病院等の管理者が行う、当該製品を使用する患者の記録の提供（医薬品医療機器等法第６８条の２２第４項）
・医師、薬剤師等の医薬関係者による、医薬品製造販売業者等が行う医薬品等の適正使用のために必要な情報収集への協力（医薬品
医療機器等法第６８条の２第２項）
・医師、薬剤師等の医薬関係者が行う厚生労働大臣への医薬品等の副作用・感染症等報告（医薬品医療機器等法第６８条の１０第２項）
・医師等による特定医療機器の製造販売承認取得者等への当該特定医療機器利用者に関わる情報の提供（医薬品医療機器等法第６８条の５第２項）・自ら治験を行う者が行う厚生労働大臣への治験対象薬物の副作用・感染症報告（医薬品医療機器等法第８０条の２第６項）

・処方せん中に疑わしい点があった場合における、薬剤師による医師等への疑義照会（薬剤師法第２４条）
・調剤時における、患者又は現に看護に当たっている者に対する薬剤師による情報提供（薬剤師法第２５条の２）・医師が麻薬中毒者と診断した場合における都道府県知事への届出（麻薬及び向精神薬取締法第５８条の２）
・保険医療機関及び保険薬局が療養の給付等に関して費用を請求しようとする場合における審査支払機関への診療報酬請求書・明細書等の提出等（健康保険法第７６条等）
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

49

個人データを法令に基づき第三者提供できる場合○法令上、医療機関等（医療従事者を含む）が行うべき義務として明記されているもの
・家庭事情等のため退院が困難であると認められる場合等患者が一定の要件に該当する場合における、保険医療機関による健康保険組合等への通知（保険医療機関及び保険医療養担 当規則第１０条等）
・診療した患者の疾病等に関して他の医療機関等から保険医に照会があった場合における対応（保険医療機関及び保険医療養担当
規則第１６条の２等）

・施設入所者の診療に関して、保険医と介護老人保健施設の医師との間の情報提供（老人保健法の規定による医療並びに入院時食事療養費及び特定療養費に係る療養の取扱い及び 担当に関する基準第１９条の４）・患者から訪問看護指示書の交付を求められた場合における、当該患者の選定する訪問看護ステーションへの交付及び訪問看護ス
テーション等からの相談に応じた指導等（保険医療 機関及び保険医療養担当規則第１９条の４等）
・患者が不正行為により療養の給付を受けた場合等における、保険薬局が行う健康保険組合等への通知（保険薬局及び保険薬剤師
療養担当規則第７条）
・医師等による都道府県知事への不妊手術又は人工妊娠中絶の手術結果に係る届出（母体保護法第２５条）
・児童虐待を受けたと思われる児童を発見した者による児童相談所等への通告（児童虐待の防止等に関する法律第６条）
・要保護児童を発見した者による児童相談所等への通告（児童福祉法第２５条）
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

50

個人データを法令に基づき第三者提供できる場合○法令上、医療機関等（医療従事者を含む）が行うべき義務として明記されているもの

・指定入院医療機関の管理者が申立てを行った際の裁判所への資料提供等（心身喪失等の状態で重大な他害行為を行った者の医療及び観察等に関する法律（医療観察法第２５条）
・裁判所より鑑定を命じられた精神保健判定医等による鑑定結果等の情報提供（医療観察法第３７条等）
・指定入院医療機関の管理者による無断退去者に関する情報の警察署長への提供（医療観察法第９９条）

・指定通院医療機関の管理者による保護観察所の長に対する通知等（医療観察法第１１０条・第１１１条）
・精神病院の管理者による都道府県知事等への措置入院等に係る定期的病状報告（精神保健福祉法第３８条の２）
・指定医療機関による都道府県・市町村への被保護者に係る病状報告（生活保護法第５０条、指定医療機関医療担当規程第７条、第１０条）
・病院等の管理者による、原発性のがんについて、当該病院等における初回の診断が行われた場合における、都道府県知事への届出（がん登録等の推進に関する法律第６条）
・専門的ながん医療の提供を行う病院その他の地域におけるがん医療の確保について重要な役割を担う病院の開設者及び管理者による、院内がん登録事業における国への情報提供等 （がん登録等の推進に関する法律第４４条等）
https://www.ppc.go.jp/files/pdf/iryoukaigo_guidance.pdf 68ページ～

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

51

個人データを法令に基づき第三者提供できる場合○法令上、医療機関等（医療従事者を含む）が任意に行うことができる事項として明記されているもの
・配偶者からの暴力により負傷又は疾病した者を発見した者による配偶者暴力相談支援セン ター又は警察への通報（配偶者からの暴力の防止及び被害者の保護に関する法律第６条）○行政機関等の報告徴収・立入検査等に応じることが間接的に義務づけられているもの
・医療監視員、薬事監視員、都道府県職員等による立入検査等への対応（医療法第２５条及 び第６３条、医薬品医療機器等法第６９条、臨床検査技師等に関する法律第２０条の５等）
・厚生労働大臣、都道府県知事等が行う報告命令等への対応（医療法第２５条及び第６３条、 医薬品医療機器等法第６９条、健康保険法第６０条、第７８条及び第９４条等）
・指定医療機関の管理者からの情報提供要求への対応（医療観察法第９０条）
・保護観察所の長からの協力要請への対応（医療観察法第１０１条）

・保護観察所の長との情報交換等による関係機関相互間の連携（医療観察法第１０８条）
・基幹統計調査の報告（統計法第１３条）
・社会保険診療報酬支払基金の審査委員会が行う報告徴収への対応（社会保険診療報酬支払 基金法第１８条）
・モニター、監査担当者及び治験審査委員会等が行う原医療記録の閲覧への協力（医薬品の 臨床試験の実施の基準に関する省令第３７条）
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

52具体例で考える個人データの提供
例

個別に同意取得する必要性

患者の傷病を専門とする他の医療機関の医師に指導・助言等を求める

黙示の同意が認められる←患者の傷病の回復等を含めた患者への医療の提供に必要であり、かつ、個人情報の利用目的として院内掲示等により明示されている場合

他の病院から患者の過去の検査データを取得する

同意が認められる←患者が紹介状等を持ってきた場合、患者が検査データを持参した場
合等

家族や付き添いの教職員に病状を説明する

同意が認められる
←患者と同席で説明する場合等

事業者や保険者から健康診断を受託した場合に、その事業者又は保険者に対して健康診断結果を提供する

同意が認められる

病院内の医師・看護師で情報共有する

患者の同意不要←病院内なので「提供」に当たらない。但し、利用目的の特定要（治療、情報共有、研修など）

研究機関に提供する

患者の同意不要←医療ビッグデータ法（次世代医療基盤法）の規制に従う
医療ガイドライン３５ページ https://www. ppc.go.jp/files/pdf/iryoukaigo_guidance.pdf

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

53

第三者提供を受けた/行った時の確認と記録
取得時

第三者から個人データの提供を受けた際は、原則として取得の経緯などを確認し、その記録を作成・保存しなければならない（26条1項・3項・4項）。

①

個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、（略）次に掲げる事項の確認を行わなければならない（26条1項）。（略）②

個人情報取扱事業者は、（略）確認を行ったときは、（略）当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない（26条3項）。

③

個人情報取扱事業者は、（略）記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない（26条4項）。

提供時

個人データを第三者提供した際は、原則としてその記録を作成・保存しなければならない（25条1項・2項）。

① 個人情報取扱事業者は、個人データを第三者（第2条第5項各号に掲げる者を除く。）に提供したときは、（略）当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない（法25条1項）。

② 個人情報取扱事業者は、（略）記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない（法25条2項）。
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

54

第三者提供を受けた/行った時の記録事項
第三者提供を受けた時（規則17条1項）
相手方の氏名・住所など

第三者提供を行った時（規則13条1項）
相手方の氏名など

当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名

当該第三者の氏名又は名称その他の当該第三者を特定するに足りる事項（不特定かつ多数の者に対して提供したときは、その旨）

取得経緯
当該第三者による当該個人データの取得の経緯

本人の氏名など
当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項

内容

当該個人データの項目

本人の同意を得ている旨

本人の同意を得ている旨※同意の場合（法23条1項/24条）※非個人情報取扱事業者からの取得を除く（規則17条1項3号）

年月日※同意の場合（法23条1項/24条）

年月日

個人データの提供を受けた年月日※オプトアウトの時のみ

当該個人データを提供した年月日※オプトアウトの時のみ

オプトアウトの届出が委員会に公表されている旨※オプトアウトの時のみ
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）55

第三者提供を受けた/行った時の確認と記録
確認方法①

氏名等の確認方法
②③例）口頭/書面で申告を受ける、登記/ＨＰを確認、法人番号から名称・住所を確認、信用ＤＢ、有報等を確認（記録ＧＬＰ12）

取得の経緯：取得先の別（顧客としての本人、従業員としての本人、他の個人情報取扱事業者、家族・友人等の私
人、公開情報等）、取得行為の態様（本人から直接取得、有償取得、公開情報、紹介、私人として取得）
例）契約書を確認、本人の同意を得ていることを誓約する書面の取得、ＨＰ、同意書面を確認



適法に入手されたものではないと疑われるのに提供を受けた場合、法17条1項違反のおそれあくまで提供者の取得経緯を確認すれば足り、それより前に取得した者の取得経緯を確認する必要はない

提供者が法を遵守していることについても確認することが望ましい オプトアウトの場合は、オプトアウト届出が公表されていることを確認し記録しなければならない※

COPYRIGHT Ⓒ

すでに確認・記録した事項と同一の場合は省略可

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

56

第三者提供を受けた/行った時の記録作成方法
授受前に記録作成（３年保存）

提供ＧＬＰ16、規則14・18条

授受の都度、速やかに記録作成（原則）（３年保存）規則12条2項本文、16条2項本文、規則14・18条

一括記録（３年保存）規則12条2項但書、16条2項但書、規則14・18条






継続的にか反復するか、それが確実であると見込まれる時に可データ群を構成する本人が変動するときも可
例外なので、対象期間、対象範囲等を明確にした方がよい
オプトアウト不可

契約書等（１年保存）規則12条3項、16条3項、規則14・18条

 本人に対する物品又は役務の提供に関連して本人の個人データを第三者に提供する場合に、提供に関して作成された契約書その他の書面に次の事項が記録されているとき
イ 同意を得ている旨
ロ 氏名又は名称その他の当該第三者を特定するに足りる事項（不特定かつ多数の者に提供したときはその旨）
ハ 氏名その他の本人を特定するに足りる事項
ニ 当該個人データの項目
 複数の書面を合わせて一つの記録としても可、オプトアウト不可

代行

提供ＧＬＰ19、規則14・18条
 提供者又は受領者どちらかに代行してもらう 委託 など

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

57

確認・記録義務が適用されない場合
提供・受領時とも
類型
法２３条１項
類型

非第三者
（法２３条
５項類型）
法２条５項
類型

場合
法令に基づく場合

類型

場合

「提供者」
解釈類型

本人による提供者 例）本人がＳＮＳで入力

公衆衛生の向上・児童の健全な育成推進のために特に必要で、同意を得ることが困難

「受領者」
解釈類型

本人と一体と評価 例）家族、代理人、振込

国・自治体・受託者に協力する必要があり、同意を得ると支障のおそれ

「提供」
解釈類型

不特定多数の者が取得できる公開情報 例）報道人（法人含む。）の生命・身体・財産の保護のために必要で、同意を得ることが困難

委託

本人に代わって提供 例）振込、修理等の仲介、ＩＤ連携、担当者名の連絡

受領時

事業承継
共同利用

類型

場合

国の機関

「個人データ」
非該当類型

受領者にとって「個人データ」でない※受領時点で判断。後に個人データ化しても義務は及ばない「個人情報」
非該当類型

受領者にとって「個人情報」でない例）氏名削除データ

地方公共団体独立行政法人等
地方独立行政法人

COPYRIGHT Ⓒ※解釈類型についてオプトアウトは不可
提供・受領時とも

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）58

外国への第三者提供
POINT

外国へ個人データを第三者提供する場合は、原則本人の同意を得なければならない（24条）。

個人情報取扱事業者が外国（略）にある第三者に個人データを提供できる場合①

あらかじめ外国にある第三者への提供を認める旨の本人の同意を得た場合②

個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として
個人情報保護委員会規則で定める国への提供※ 平成28年末時点で①に該当する国はなし③

個人データの取扱いについて個人情報保護法第４条第１節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者への提供④

個人情報保護法２３条１項各号に掲げる場合

 法23条1項各号以外の場合は、①同意を得るか、③体制整備が必要に 法23条5項（委託・事業承継・共同利用）でも同様に、①同意を得るか、③体制整備が必要に

COPYRIGHT Ⓒ



外国政府なども法24条の「第三者」に当たる



提供元と提供先の法人格が同一の場合は第三者ではない



外国法人でも、日本国内で個人情報データベース等を事業の用に供していて個人情報取扱事業者に該当すれば、法24条上は第三者ではない（外国ＧＬＰ5）

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）例）同一法人格の海外支社

59

外国への第三者提供
①

本人の同意


④

外国にある第三者への提供を認める旨の同意である必要

単なる法23条1項柱書同意とは異なり、外国にある第三者に個人データを提供することを明確にしなければならない



改正法の施行日前になされた同意も可（改正附則3条）



未成年者、成年被後見人、被保佐人、被補助人などは代理人から同意を取得

法23条1項各号


法令に基づく場合


外国の法令は含まれない

人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。



公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。



国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）60

外国への第三者提供③

規則で定める基準に適合する体制を整備している者への提供


一 個人情報取扱事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、
適切かつ合理的な方法により、法第四章第一節の規定の趣旨に沿った措置の実施が確保されていること。


契約書、内規、プライバシーポリシー等



ＡＰＥＣの越境プライバシールール（ＣＢＰＲ）システムの認証を取得している事業者が提供元で、提供先が当該事業者に代わって個人情報を取り扱う者である場合もこれを満たす（外国ＧＬＰ7）

提供を行ったデータについてこれを満たしていればよく、そのほかの個人情報に対してまで及ぶものではない（外国ＧＬＰ7）

契約書等に法15から35条すべてに相当する内容が規定されている必要はない（外国ＧＬＰ7）



又は



二

個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。



ＡＰＥＣの越境プライバシールール（ＣＢＰＲ）システムの認証を取得している事業者が提供先の場合。

実務対応としては、


ＣＢＰＲ認証取得者かどうかの確認

契約書の精査※これまでの取扱いを違法とするＧＬではないが、個人情報保護に対する国民意識なども踏まえて慎重に対応
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

61

利用目的による規制
利用目的とは何か、利用目的による規制とはどのようなものがあるのか

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

62

利用目的の考え方
 個人情報保護法というと、本人同意を取得しなければならない規制との誤解もあるが、個人情報保護法の規律の要は「利用目的」
 情報は、その内容や性質によって、一概に悪い、良いと決められるものではない

内容

文脈

検索性
COPYRIGHT Ⓒ•••

どういう内容かに着目する。例えば、名刺１枚とカルテ情報が同様の取扱いでよいのか。
要配慮個人情報、センシティブ情報、機微情報の議論につながる。
しかし、病歴（要配慮個人情報）であっても、医療に必要であれば私たちは開示するし、
医療従事者の間の共有や、医学研究者による活用も許容。ブログやＳＮＳなどで病状を公開する人も。

••

どういう文脈で個人情報が取り扱われるかに着目する。例えば、治療なのか、興味本位なのか。
利用目的の議論につながる。
名刺情報であっても、挨拶なのか、必要な情報の送付のためなのか、不要な勧誘電話のた
めなのか。
江沢民事件

•
•

利活用の程度、被害のおそれの程度に着目する。
個人データ、個人情報データベース等、マイナンバーの議論につながる。

••

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

63

利用目的の意義
個人情報を何のために聞かれているのか
何に使われるのかわからない
怖いかも・・・

個人情報を
このために使いますよ「私の個人情報を何に使うのだろうか」「こんなつもりで使われるとは思わなかった」

「こんなつもりで提供したわけではなかった」

といった、誤解をなくす。本人がわかるようにする。
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

64

利用目的に基づく規律
利用目的を
特定する

利用目的を
通知等する

やるべきこと• 本人が自分の個人情報を何に使われるかわかるようにする• 何のために使うのか、本人がわかるレベルで特定する

１５条１項

•

やるべきこと• 本人が自分の個人情報を何に使われるかわかるようにする• 院内掲示、Ｗｅｂ公表、ポスター掲示、本人に書面交付等

１５条
１・２項
やるべきこと利用目的の範囲内で取り扱う

COPYRIGHT Ⓒ

１６条•

個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（「利用目的」）をできる限り特定しなければならない。

個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない（抄）。

• あらかじめ決めた利用目的の範囲内で取り扱う
例外）同意、法令、生命・身体・財産の保護、公衆衛生の向上又は児童の健全な育成の推進、国・自治体・受託者への協力の必要例外）第三者提供規制は、利用目的の範囲内か問わない•

個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

65

利用目的の例
病院等における利用目的の例は、医療ガイドライン６６ページ参照【患者への医療の提供に必要な利用目的】〔医療機関等の内部での利用に係る事例〕
・当該医療機関等が患者等に提供する医療サービス
・医療保険事務・患者に係る医療機関等の管理運営業務のうち、－入退院等の病棟管理－会計・経理－医療事故等の報告－当該患者の医療サービスの向上〔他の事業者等への情報提供を伴う事例〕
・当該医療機関等が患者等に提供する医療サービスのうち、－他の病院、診療所、助産所、薬局、訪問看護ステーション、介護サービス事業者等と の連携－他の医療機関等からの照会への回答－患者の診療等に当たり、外部の医師等の意見・助言を求める場合－検体検査業務の委託その他の業務委託－家族等への病状説明
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

66

利用目的の例
病院等における利用目的の例は、医療ガイドライン６６ページ参照【患者への医療の提供に必要な利用目的】
・医療保険事務のうち、－保険事務の委託－審査支払機関へのレセプトの提出－審査支払機関又は保険者からの照会への回答
・事業者等からの委託を受けて健康診断等を行った場合における、事業者等へのその結果 の通知
・医師賠償責任保険などに係る、医療に関する専門の団体、保険会社等への相談又は届出 等【上記以外の利用目的】〔医療機関等の内部での利用に係る事例〕
・医療機関等の管理運営業務のうち、－医療・介護サービスや業務の維持・改善のための基礎資料－医療機関等の内部において行われる学生の実習への協力－医療機関等の内部において行われる症例研究〔他の事業者等への情報提供を伴う事例〕
・医療機関等の管理運営業務のうち、－外部監査機関への情報提供
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

67

利用目的の変更


一度利用目的を特定しても、その後、別の目的のために利用する必要性が生じる場合も

再度利用目的を特定しなおして、個人情報を取得しなおすのは、事業者にとっても本人にとっても負担になる場合も

 そこで個人情報保護法では利用目的の変更を認めている もっとも無制約に変更できてしまっては、利用目的の意味がなくなる

COPYRIGHT Ⓒ

改正前

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲
を超えて行ってはならない（15条2項）。

改正後

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲
を超えて行ってはならない（15条2項）。

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

68

利用目的の変更例
 電力会社が、顧客に省エネを促す目的で、家庭内の機器ごとの電気使用状況を収集して、その使用量等を分析して顧客に提示をしていた場合、あるいは、同じ情報を用いて家電制御技術の研究開発とか、その顧客の安否確認のサービスを行うということができる


山口国務大臣発言 第189回国会 内閣委員会 第4号（平成27年5月8日（金曜日））

電気使用状況を見える化

省エネを促す目的

家電制御技術の研究開発

顧客の安否確認サービス

 「商品案内等を郵送」→「商品案内等をメール送付」


金融庁ガイドラインＰ3

 前のスライド掲載の利用目的の範囲については、変更可。ただし、変更された利用目的については、 69

本人へ通知又は公表しなければならない
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

安全管理措置COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

70

安全管理措置 現ガイドラインから実質的な変更なし。
 以下のすべてを行わなければならないわけではなく、参考として必要な措置を講じる（医療GL２６ページ）

１）規程の整備・公表

プライバシー・ポリシー等

２）組織体制等の整備

管理者、委員会、PDCA等

３）漏えい等の問題発生時等の報告連絡体制の整備

報告ルートの決定等
個人情報保護委員会（認定個人情報保護団体にも）届け出るよう努める（本スライド１３ページ）

４）雇用契約時における規定の整備

守秘義務

５）従業者への教育研修
６）物理的安全管理措置

入退室管理、盗難防止、固定、機器制限、機器更新
等７）技術的安全管理措置

アクセス管理、記録、確認、FW、監視等

８）個人データの保存

消失しないように

９）不要データの廃棄、消去

復元不可能に廃棄等
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止） 71

医療ビッグデータ法（次世代医療基盤法）
匿名加工医療情報

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）72

匿名加工医療情報の全体イメージ
患者
匿名加工医療情報
提供の停止を求められる

受診等（オプトアウト）

医療
情報

匿名加工

法１８Ⅰ

情報

法３０

他の認定匿名加工
医療情報作成事業者（収集・加工者）法２５Ⅰ

認定医療情報等取扱受託事業者（受託者）

第三者（法令に基づくか、
緊急時、事業承継のみ）

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

情報を利活用する者（認定なし）（匿名加工医療情報取扱事業者）
例）製薬会社

•

治療の効果や効率性の研究
患者の状態に応じたより適切な医療の提案
医薬品等の副作用の早期発
見、安全性の比較などが容易に
糖尿病と歯周病のように異なる医療機関や診療領域の情報を統合した治療成績の評価
医師の診断から治療までを包括的に支援する最先端の診療支援ソフトの開発などが可能になる

法２６

生データ（医療情報）を扱う
COPYRIGHT Ⓒ••

認定匿名加工医療情報作成事業者（収集・加工者） 医療

病院等（医療情報取扱事業者）

情報を利活用する者（認定なし）（匿名加工医療情報取扱事業者）
例）研究所••

匿名データ（匿名加工医療情報）を扱う
73

現状の課題と新法のポイント
現状の課題 現在、全国規模で利活用が可能な標準化されたデジタルデータはレセプトデータが基本。診療行為の実
施結果（アウトカム＝検査結果、服薬情報等）に関する標準化されたデジタルデータの利活用は、世界的にも重要な課題
 医療サービス提供者や保険者等（一次ホルダー）に関しては、レセプトや特定健診等のデータを収集する仕組みが整備されつつあるが、個別目的に基づいてシステムが構築され情報が分散。そのため、人の一生涯を通じた統合的な健康管理や、地域差や医療保険制度の違いを踏まえた医療費等の分析が困難
 研究機関や民間事業者等（二次ホルダー）を含めると、実際の情報流通経路は複雑・多岐。個人は、どこでどのように情報が扱われるのか不安が払拭できず、サービス提供者・事業者（一次・二次ホルダー）は、同意取得や匿名化を含めたデータ処理やシステム構築・運用のコストが負担

新法の背景

 改正個人情報保護法により、ビッグデータ利活用のための「匿名加工情報」という規律が新設
 しかし医療情報は通常のデータとは異なる配慮が必要（個益・公益のための研究等の必要性、データの機微性）

新法の
ポイント

 医療ビッグデータ法（次世代医療基盤法）により「匿名加工医療情報」を新設
 研究等に必要なデータをより容易に統合的に取得できるように
 一方で、データの機微性等から、厳しい規律に（大臣認定制度、認定事業者への規制の大幅強化、個人がこの制度に参加しないことを選択できる仕組み（オプトアウト）の導入）

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）74

匿名加工医療情報作成事業者の認定条件
 申請者が、医療分野の研究開発に資するよう、医療情報を取得・整理・加工して、匿名加工医
療情報を適確に作成・提供するに足りる能力を有するものとして主務省令で定める基準に適合していること（８条３項２号）
 医療情報等及び匿名加工医療情報の漏えい、滅失又は毀損の防止その他の当該医療情報等及び匿名加工医療情報の安全管理のために必要かつ適切なものとして主務省令で定める措置が講じられていること（８条３項３号）
認定条件

COPYRIGHT Ⓒ

 申請者が、医療情報等及び匿名加工医療情報の安全管理のための措置を適確に実施するに足りる能力を有すること（８条３項４号）


医療ビッグデータ法その他個人情報の適正な取扱いに関する法律で政令で定めるもの又はこれらの法律に基づく命令の規定に違反し、罰金の刑に処せられ、その執行を終わり、又は執行を受けることがなくなった日から二年を経過しない者は不可（８条３項１号イ）



認定を取り消され、その取消しの日から二年を経過しない者は不可（８条３項１号ロ）



匿名加工医療情報作成事業を行う役員又は主務省令で定める使用人に、成年被後見人若しくは被保佐人又は外国の法令上これらに相当する者、
破産手続開始の決定を受けて復権を得ない者又は外国の法令上これに相当する者、この法律その他個人情報の適正な取扱いに関する法律で政令で定めるもの又はこれらの法律に基づく命令の規定に違反し、罰金以上の刑に処せられ、その執行を終わり、又は執行を受けることがなくなった日から二年を経過しない者、認定を取り消された場合において、その処分のあった日前三十日以内に当該認定に係る事業を行う役員又は主務省令で定める使用人であった者で、その処分のあった日から二年を経過しないものがいる場合は不可（８条３項１号ハ）

法人に限る（８条１項）

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）75

医療情報等取扱受託事業者の認定条件
認定要 大臣認定を取得した受託者以外には、委託不可（２３条１項）
 再委託以降も、大臣認定を取得した受託者以外不可、かつ委託者の許諾要（２３条２項）
 医療情報等及び匿名加工医療情報の漏えい、滅失又は毀損の防止その他の当該医療情報等及び匿名加工医療情報の安全管理のために必要かつ適切なものとして主務省令で定める措置が講じられていること（２９条、８条３項３号）
 申請者が、医療情報等及び匿名加工医療情報の安全管理のための措置を適確に実施するに足りる能力を有すること（２９条、８条３項４号）

認定条件

COPYRIGHT Ⓒ



医療ビッグデータ法その他個人情報の適正な取扱いに関する法律で政令で定めるもの又はこれらの法律に基づく命令の規定に違反し、罰金の刑に処せられ、その執行を終わり、又は執行を受けることがなくなった日から二年を経過しない者は不可（２９条、８条３項１号イ）



認定を取り消され、その取消しの日から二年を経過しない者は不可（２９条、８条３項１号ロ）



その事業を行う役員又は主務省令で定める使用人に、成年被後見人若しくは被保佐人又は外国の法令上これらに相当する者、破産手続開始の決定を受けて復権を得ない者又は外国の法令上これに相当する者、この法律その他個人情報の適正な取扱いに関する法律で政令で定めるもの
又はこれらの法律に基づく命令の規定に違反し、罰金以上の刑に処せられ、その執行を終わり、又は執行を受けることがなくなった日から二年を経過しない者、認定を取り消された場合において、その処分のあった日前三十日以内に当該認定に係る事業を行う役員又は主務省令で定める使用人であった者で、その処分のあった日から二年を経過しないものがいる場合は不可（２９条、８条３項１号ハ）

法人に限る（２９条、８条１項）

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）76

病院等（医療情報取扱事業者）のやるべきこと
提供義務

医療情報を提供する義務はない、また自ら匿名加工して個情法に従った外部提供も可能
提供するなら以下の義務がある

提供時の
義務

監督

①

オプトアウト準備（３０条１項）
 本人に通知（提供すること、提供データの項目、提供方法、提供を停止する旨、提供停止の求めの受付
方法）
 主務大臣への届出
 初回のみではなく、一定事項に変更があれば、本人に通知＆主務大臣に届け出る（３０条２項）
 主務大臣は届け出られた内容を公表する（３０条３項）②

オプトアウトへの対応（３１条）
 求めがあれば、遅滞なく書面を交付（３１条１項）
 公布した書面の写しを保存（３１条３項）
 あらかじめ承諾があれば、書面ではなくデータでも可（３１条２項・３項）
 提供を停止する（もっとも、既に提供した情報の削除は法的には義務ではない）③

記録（３２条） 認定匿名医療情報作成事業者へ提供したときは、年月日等を記録し保存主務大臣による報告徴収・立入検査の可能性（３５条１項）
主務大臣による命令の可能性（３７条５項）※内閣総理大臣、文部科学大臣、厚生労働大臣及び経済産業大臣（３９）77認定事業者等の義務の比較※利活用者は、個情法の義務に注意※８条３項２号「提供能力」で利活用者との契約基準等をチェックされる可能性も認定匿名加工医療情報作成事業者（収集・加工者）

認定医療情報等取扱
受託事業者（受託者）

匿名加工医療情報取扱事業者（利活用者)※

大臣認定

〇（８条）

〇（２９条、８条）

×

帳簿〇（１３条）〇（２９条、１３条）

×

目的外利用の厳格化〇（１７条）〇（２９条、１７条）

×

主務省令基準に従った医療情報の加工〇（１８条１項）〇（２９条、１８条１項）

×

識別禁止

〇（１８条２項・３項）〇（２９条、１８条２項）〇（１８条３項）

消去義務（努力義務ではない）〇（１９条）〇（２９条、１９条）

×

安全管理措置〇（２０条）〇（２９条、２０条）

×

従業者の監督〇（２１条）〇（２９条、２１条）

×

従業者等の秘密保持義務〇（２２条）〇（２９条、２２条）

×

委託先の監督〇（２４条）〇（２９条、２４条）

×

第三者提供制限の厳格化〇（２６条）〇（２９条、２６条）

×〇（２９条）
苦情処理（努力義務ではない）
COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）〇（２９条、２７条）

×78

実務対応・社内規程等重要となる実務対応、必要となる社内規程の整備は何か

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）79

必要となる社内規程の整備
項目

内容

基本方針の見直し

基本方針について改正法を踏まえて見直す★★★

取扱規程の見直し

取扱規程について改正法を踏まえて見直す★★

就業規則の見直し
匿名加工情報委託契約書の見直し

念のため改正法対応が必要かを確認する★

取得/提供記録の様式

第三者提供を受けた/行った際の記録様式を検討★★★

取得時の確認チェックリスト

第三者提供を受けた際の確認チェックリストの作成を検討★★

従業者教育・監督の見直し

従業員教育・監督について改正法を踏まえて見直す

COPYRIGHT Ⓒ

委託契約書ひな形について改正法を踏まえて見直す
特にＣＢＰＲ未取得の外国

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

必要度

★★★
★★★★★

★★★★

80

改正ポイントと実務対応
改正ポイント

実務対応

個人情報の定義の明確化

各種規程・マニュアル・契約・実務対応について改正法を踏まえて見直す★★★

新ガイドラインの公表

各種規程・マニュアル・契約・実務対応について改正法を踏まえて見直す★

個人情報保護委員会による監督（命令等）

対個人情報保護委員会を意識★

要配慮個人情報

各種規程・マニュアル・契約・実務対応について改正法を踏まえて見直す★★

第三者提供時の記録

第三者提供を行った際の記録対応を行い、従業者教育す
る

★★★★★

第三者提供を受けた時の確認と記録

第三者提供を受けた際の確認・記録対応を行い、従業者
教育する

★★★★★

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

想定負荷

81

改正ポイントと実務対応
改正ポイント

実務対応

想定負荷

外国への第三者提供時の同意取得

外国への第三者提供対応として、ＣＢＰＲ確認、契約書
精査、同意取得等の対応を行う★★★★★

オプトアウトによる第三者提供に伴う届出義務
匿名加工情報消去の努力義務

オプトアウトによる第三者提供を行っているか確認し、個人情報保護委員会に届け出る★★★

消去について検討する★★

個人情報データベース等の不正提供・盗用罪

従業者教育・監督を見直すか検討する★

個人情報保護法に従わなければな
らない対象者が大幅に拡大

取引先等への影響を踏まえる★

法の目的の明確化

特に影響なし―利用目的の変更基準の緩和

活用するか検討する―

匿名加工医療情報

活用するか検討する―

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）82

参考 個人情報「１冊でわかる！改正早わかりシリーズ

個人情報保護法」(労務行政、２０１７年）

 マイナンバー入門「Q&A番号法」（有斐閣、２０１４年）

要点



簡単

「マイナンバーから病歴・犯罪歴がわかってしまうの？」「国が情報を一元管理していいの？」という疑問から、番号法の解釈要点まで、番号制度のポイントを１問１答形式で解説。上中級者向けにも。

「担当者の不安解消! マイナンバーの実務入門」（労務行政、２０１６年）
非法律家の実務担当者向けにかなり平易にマイナンバーを解説。

詳し目「やさしいマイナンバー法入門」（商事法務、２０１４年初版、２０１６年改訂版）


制度・法律を網羅的に解説。入門書として最も詳し目。

83

参考 ＩＴをめぐる法律問題について考えるブログ

http://d.hatena.ne.jp/cyberlawissues/

個人情報、マイナンバーその他参考情報を掲載中



医療ビッグデータ法規制のまとめ → http://d.hatena.ne.jp/cyberlawissues/20170816/1502870156



医療ビッグデータ法国会審議（衆議院）のまとめ →http://d.hatena.ne.jp/cyberlawissues/20170817/1502957254

84

医療ビッグデータ法（次世代医療基盤法）のご相談、大臣認定申請支援、規程策定、個人情報、マイナンバー、IT/ICT、国との交渉、企業法務全般、条例策定支援その他に関するお問い合わせ、ご相談がありましたら、お気軽にどうぞhttp://www.miyauchi-law.com

宮内・水町IT法律事務所
弁護士 水町 雅子
電話 → 03-5761-4600
メール→ osg@miyauchi-law.com

85