国民健康保険団体連合会等における個人情報の適切な取扱のためのガイドライン 新旧対照表
改Ⅰ

定 案

本ガイドラインの趣旨、目的、基本的考え方

現Ⅰ

用語の定義

１～９ （略）Ⅱ

用語の定義

１～４ （略）Ⅲ

国保連合会等の義務等

行

本ガイドラインの趣旨、目的、基本的考え方

１～９ （略）Ⅱ

１～４ （略）Ⅲ

国保連合会等の義務等

１、２ （略）

１、２ （略）３ 個人情報の適正な取得、個人データ内容の正確性の確保

３ 個人情報の適正な取得、個人データ内容の正確性の確保（法第１７条、第１９条）

別添（法第１７条、第１９条）（適正な取得）（適正な取得）法第十七条 個人情報取扱事業者は、偽りその他不正により個人情報を取得し法第十七条 個人情報取扱事業者は、偽りその他不正により個人情報を取得してはならない。てはならない。

（データ内容の正確性の確保）（データ内容の正確性の確保）

法第十九条 個人情報取扱事業者は、利用目的の達成に必要な範囲内におい

法第十九条 個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データ正確かつ最新の内容に保つよう努めなければならない。て、個人データ正確かつ最新の内容に保つよう努めなければならない。

【法の規定により遵守すべき事項等】
・国保連合会等は、偽りその他の不正の手段により個人情報を取得してはならない。
・親の同意なく、十分な判断能力を有していない子どもから家族の個人情報を取得してはならない。
・国保連合会等は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めなければならない。

【法の規定により遵守すべき事項等】
・国保連合会等は、偽りその他の不正の手段により個人情報を取得してはならない。
・親の同意なく、十分な判断能力を有していない子どもから家族の個人情報を取得してはならない。
・国保連合会等は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めなければならない。

【その他の事項】【その他の事項】

・第三者提供により他の国保連合会等から個人情報を取得したとき、当該個人・第三者提供により他の国保連合会等から個人情報を取得したとき、当該個人情報の内容に疑義が生じた場合には、記載内容の事実に関して本人に確認を

情報の内容に疑義が生じた場合には、記載内容の事実に関して本人に確認をとる。
（国保連合会等は保険者から委託を受けている業務の場合には、国保連とる。
（国保連合会等は保険者から委託を受けている業務の場合には、国保連合会等が被保険者本人に直接確認をとるのではなく、保険者が被保険者本人合会等が被保険者本人に直接確認をとるのではなく、保険者が被保険者本人に確認をとるべきである。
）に確認をとるべきである。
）

・国保連合会等は、個人データの内容の正確性、最新性を確保するため、Ⅲ４．

・国保連合会等は、個人データの内容の正確性、最新性を確保するため、Ⅲ４．

（２）②に示す委員会等において、具体的なルールを策定したり、データ管（２）②に示す委員会等において、具体的なルールを策定したり、データ管理等の技術水準の向上のための研修の開催などを行うことが望ましい。

理等の技術水準の向上のための研修の開催などを行うことが望ましい。

・第三者提供（法第２３条第１項各号に掲げる場合並びに個人情報の取扱いの委託、事業の承継及び共同利用に伴い、個人情報（令第２条第２号に規定するものから取得した個人情報を除く。）を提供する場合を除く。）により、個人情報を取得する場合には、提供元の法の遵守状況（例えば、オプトアウト（法第２３条第２項・第３項参照）、利用目的、開示手続、問合せ・苦情の受付窓口を公表していることなど）を確認し、個人情報を適切に管理している者を提供元として選定するとともに、実際に個人情報を取得する際には、例
えば、取得の経緯を示す契約書等の書面の点検又はこれに代わる合理的な方法により、当該個人情報の取得方法等を確認した上で、当該個人情報が適法に取得されたことが確認できない場合は、偽りその他不正の手段により取得されたものである可能性もあることから、その取得を自粛することを含め、慎重に対応することが望ましい。
４ 安全管理措置、従業者の監督及び委託先の監督（法第２０条～第２２条）

４ 安全管理措置、従業者の監督及び委託先の監督（法第２０条～第２２条）（１） （略）（１） （略）（２）安全管理措置として考えられる事項（２）安全管理措置として考えられる事項

① （略）

① （略）

② 個人情報保護推進のための組織体制等の整備② 個人情報保護推進のための組織体制等の整備

・従業者の責任体制の明確化を図り、具体的な取組を進めるため、国保・従業者の責任体制の明確化を図り、具体的な取組を進めるため、国保連合会等における個人情報保護に関し十分な知識を有する者を個人連合会等における個人情報保護に関し十分な知識を有する管理者、監データの安全管理の実施及び運用に関する責任及び権限を有する個

督者等を定めたり、個人情報保護の推進を図るための委員会等を設置

人情報保護管理者（例えば、役員などの組織横断的に監督することのする。

できる者）に定めたり、個人情報保護の推進を図るための部署、委員会等を設置する。
・国保連合会等で行っている個人データの安全管理措置について定期的

・国保連合会等で行っている個人データの安全管理措置について定期的に自己評価を行い、見直しや改善を行うべき事項について適切な改善に自己評価を行い、見直しや改善を行うべき事項について適切な改善を行う。

を行う。

・個人情報保護対策及び最新の技術動向を踏まえた情報セキュリティ対策に十分な知見を有する者による国保連合会等内の対応の確認を行う。
（必要に応じ、外部の知見を有する者を活用し確認させることを含む。
）③～⑤ （略）③～⑤ （略）⑥ 物理的安全管理措置⑥

・個人データの盗難・紛失等を防止するため、以下のような物理的安全

物理的安全管理措置

・個人データの盗難・紛失等を防止するため、以下のような物理的安全管理措置を行う。

管理措置を行う。

――

入退館（室）管理の実施

入退館（室）管理の実施（カメラによる撮影や作業への立会い等による記録又は監視の実施）⑦―

盗難等に対する予防対策の実施―

盗難等に対する予防対策の実施―

機器、装置等の固定など物理的な保護―

機器、装置等の固定など物理的な保護―

記録機能を持つ媒体の持込み・持出し禁止又は検査の実施―

記録機能を持つ媒体の接続の禁止又は制限―

離席時におけるパソコン等のパスワードロックの実施

技術的安全管理措置
・個人データの盗難・紛失等を防止するため、個人データを取り扱う情⑦

技術的安全管理措置
・個人データの盗難・紛失等を防止するため、個人データを取り扱う情報システムについて以下のような技術的安全管理措置を行う。

報システムについて以下のような技術的安全管理措置を行う。

― 個人データに対するアクセス管理（ＩＤやパスワード等による認― 個人データに対するアクセス管理（ＩＤやパスワード等による認証、各職員の業務内容に応じて業務上必要な範囲にのみアクセスで証、各職員の業務内容に応じて業務上必要な範囲にのみアクセスできるようなシステム構成の採用等）きるようなシステム構成の採用等）

― 個人データに対するアクセス記録の保存― 個人データに対するアクセス記録の保存― 個人データに対するファイアーウォールの設置― 個人データに対するファイアーウォールの設置― 個人データに対する暗号化・パスワードの設定― 個人データへのアクセスや操作の記録及び不正が疑われる異常な記録の存否の定期的な確認― 基幹システムに接続されたネットワークとインターネットに接続されたネットワークの物理的又は論理的分離― ソフトウェアに関する脆弱性対策（セキュリティパッチの適用、当該情報システム固有の脆弱性の発見及びその修正等）― ソフトウェア及びハードウェア等の適切な時期における更新⑧、⑨ （略）（３）業務を委託する場合の取扱い⑧、⑨ （略）（３）業務を委託する場合の取扱い

① （略）

① （略）

② 業務を委託する場合の留意事項②

国保連合会等は、個人データの取扱いの全部又は一部を委託する場

業務を委託する場合の留意事項
国保連合会等は、個人データの取扱いの全部又は一部を委託する場

合、以下の事項に留意すべきである。

合、以下の事項に留意すべきである。

・個人情報を適切に取り扱っている事業者を委託先（受託者）として・個人情報を適切に取り扱っている事業者を委託先（受託者）として選定すること。委託先の選定に当たっては、委託先の安全管理措置選定する。

が、少なくとも法第２０条で求められるものと同等であることを確認するため、委託先の体制、規程等の確認に加え、必要に応じて個人データを取り扱う場所に赴く又はこれに代わる合理的な方法による確認を行った上で、個人情報保護管理者等が、適切に評価することが望ましいこと。
・受託者が個人情報を適切に取り扱っていることを定期的に確認する・受託者が個人情報を適切に取り扱っていることを定期的に確認すること。
・受託者における個人情報の取扱いに疑義が生じた場合（被保険者か・受託者における個人情報の取扱いに疑義が生じた場合（被保険者からの申出があり、確認の必要があると考えられる場合を含む。
）には、らの申出があり、確認の必要があると考えられる場合を含む。
）には、受託者に対し、説明を求め、必要に応じ改善を求める等適切な措置

受託者に対し、説明を求め、必要に応じ改善を求める等適切な措置

をとること。

をとる

・なお、個人情報保護の観点から、可能な限り、個人情報をマスキン

・なお、個人情報保護の観点から、可能な限り、個人情報をマスキン

グすることにより、当該個人情報を匿名化した上で、委託するようグすることにより、当該個人情報を匿名化した上で、委託するよう努めること。

努めること。

・また、委託するに当たっては、本来必要とされる情報の範囲に限っ

・また、委託するに当たっては、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項にて提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないよう努めること。

ついてまで他の事業者に提供することがないよう努めること。

＊国保連合会等における業者委託に関する通知＊国保連合会等における業者委託に関する通知

上記の留意事項のほか、業者委託に関する通知を遵守する。

上記の留意事項のほか、業者委託に関する通知を遵守する。

・「個人情報保護の徹底について」（平成１４年１２月２５日保発第・「個人情報保護の徹底について」（平成１４年１２月２５日保発第１２２５００４号）

１２２５００４号）

・「国民健康保険団体連合会における個人情報保護の徹底について」

・「国民健康保険団体連合会における個人情報保護の徹底について」（平成１５年３月１４日保国発第０３１４００３号）③ 業務を再委託する場合の留意事項（平成１５年３月１４日保国発第０３１４００３号）③

業務を再委託する場合の留意事項

国保連合会等は、個人データの取扱いの全部又は一部を再委託する

国保連合会等は、個人データの取扱いの全部又は一部を再委託する

場合、以下の事項に留意すべきである。

場合、以下の事項に留意すべきである。

・個人データの取扱いを再委託すること自体は禁じられていないが、・個人データの取扱いを再委託すること自体は禁じられていないが、国保連合会等との直接の契約関係を伴わない個人情報に関する処理

国保連合会等との直接の契約関係を伴わない個人情報に関する処理の再委託は行わないこと。
（「国民健康保険団体連合会における個人の再委託は行わないこと。
（「国民健康保険団体連合会における個人情報保護の徹底について」（平成１５年３月１４日保国発第０３１４

情報保護の徹底について」（平成１５年３月１４日保国発第０３１４００３号）

００３号）

・なお、個人データの取扱いの再委託や個人情報に関する処理の再委

・なお、個人データの取扱いの再委託や個人情報に関する処理の再委託をする場合には、個人情報保護の観点から、可能な限り、個人情託をする場合には、個人情報保護の観点から、可能な限り、個人情報をマスキングすることにより、当該個人情報を匿名化した上で、報をマスキングすることにより、当該個人情報を匿名化した上で、委託先から再委託先へ個人情報が提供されないよう努めること。

委託先から再委託先へ個人情報が提供されないよう努めること。

この場合において、国保連合会等は第一次委託先と委託契約を締結

この場合において、国保連合会等は第一次委託先と委託契約を締結

するに当たっては、第一次委託先が、上記通知の基準に掲げる事項をするに当たっては、第一次委託先が、上記通知の基準に掲げる事項を遵守するよう委託契約上明記することはもちろんのこと、これに加え、遵守するよう委託契約上明記することはもちろんのこと、これに加え、再委託の可否及び再委託を行うに当たっての委託元への文書による事

当該委託契約において、再委託するに当たっては、第一次委託先は、前報告又は承認を行うことや､当該委託契約において、再委託するに当当該再委託契約上、再委託先に対して、同通知の基準に掲げる事項をたっては、第一次委託先は、当該再委託契約上、再委託先に対して、遵守することを明記するよう、第一次委託契約上明記すること。

同通知の基準に掲げる事項を遵守することを明記するよう、第一次委託契約上明記すること。
なお、第一次委託先が再委託を行おうとする場合は、国保連合会等
は委託を行う場合と同様、再委託の相手方、再委託する業務内容及び再委託先の個人データの取扱方法等について、第一次委託先に事前報告又は承認手続を求める、直接又は第一次委託先を通じて定期的に監査を実施する等により、第一次委託先が再委託先に対して本条の第一次委託先の監督を適切に果たすこと、再委託先が法第２０条に基づく安全管理措置を講ずることを十分に確認することが望ましい。
（４）、（５） （略）

５～１０ （略）５～１０ （略）Ⅳ（４）、（５） （略）ガイドラインの見直し等

Ⅳガイドラインの見直し等

１ （略）

１ （略）

別表１ （略）

別表１ （略）

別表２ （略）

別表２ （略）