資料２－４

別添○国民健康保険組合における個人情報の適切な取扱いのためのガイダンス（平成 29 年４月 14 日付け個情第 540 号・保発 0414 第 16 号個人情報保護委員会
事務局長・厚生労働省保険局長通知別添）新旧対照表（下線の部分は改正部分）
改正後

改正前

目次

目次

Ⅰ

Ⅰ

本ガイダンスの趣旨、目的、基本的考え方

本ガイダンスの趣旨、目的、基本的考え方

（略）

（略）

Ⅱ

Ⅱ

用語の定義

用語の定義

１．個人情報（法第２条第１項）

１．個人情報（法第２条第１項）

２．個人識別符号（法第２条第２項）

２．個人識別符号（法第２条第２項）

３．要配慮個人情報（法第２条第３項）

３．要配慮個人情報（法第２条第３項）

４．特定個人情報（番号法第２条第８項）

４．特定個人情報（番号法第２条第８項）

５．仮名加工情報（法第２条第５項）

（新設）

（削る）

５．個人情報の匿名化

６．匿名加工情報（法第２条第６項）

６．匿名加工情報（法第２条第９項）

７．個人情報データベース等（法第１６条第１項）、個人データ（法第１７．個人情報データベース等（法第２条第４項）、個人データ（法第２条

６条第３項）、保有個人データ（法第１６条第４項）

第６項）、保有個人データ（法第２条第７項）

８．本人の同意Ⅲ

８．本人の同意

国保組合の義務等

Ⅲ

国保組合の義務等

１．利用目的の特定等（法第１７条、第１８条）

１．利用目的の特定等（法第１５条、第１６条）

２．不適切な利用の禁止（法第１９条）（新設）

３．利用目的の通知等（法第２１条）

２．利用目的の通知等（法第１８条）

４．個人情報の適正な取得、個人データ内容の正確性の確保（法第２０条、

３．個人情報の適正な取得、個人データ内容の正確性の確保（法第１７条、

1第２２条）第１９条）

５．安全管理措置、従業者の監督及び委託先の監督（法第２３条～第２５４．安全管理措置、従業者の監督及び委託先の監督（法第２０条～第２２条）

条）

６．漏えい等の報告等（法第２６条）（新設）

７．個人データの第三者提供（法第２７条）

５．個人データの第三者提供（法第２３条）

８．外国にある第三者への提供の制限（法第２８条）

６．外国にある第三者への提供の制限（法第２４条）

９．第三者提供に係る記録の作成等（法第２９条）

７．第三者提供に係る記録の作成等（法第２５条）

１０．第三者提供を受ける際の確認等（法第３０条）

８．第三者提供を受ける際の確認等（法第２６条）

１１．保有個人データに関する事項の公表等（法第３２条）

９．保有個人データに関する事項の公表等（法第２７条）

１２．本人からの請求による保有個人データの開示（法第３３条）

１０．本人からの請求による保有個人データの開示（法第２８条）

１３．訂正及び利用停止（法第３４条、第３５条）

１１．訂正及び利用停止（法第２９条、第３０条）

１４．開示等の請求等に応じる手続及び手数料（法第３７条、第３１２．開示等の請求等に応じる手続及び手数料（法第３２条、第３３条）

８条）
１５．理由の説明、事前の請求、苦情の処理（法第３６条、第３９

１３．理由の説明、事前の請求、苦情の処理（法第３１条、第３４条～第条、第４０条）Ⅳ３５条）

ガイダンスの見直し等

Ⅳ

ガイダンスの見直し等

（略）

（略）

Ⅰ

Ⅰ

本ガイダンスの趣旨、目的、基本的考え方

１．本ガイダンスの趣旨

本ガイダンスの趣旨、目的、基本的考え方

１．本ガイダンスの趣旨

本ガイダンスは、「個人情報の保護に関する法律」（平成１５年法律第５本ガイダンスは、「個人情報の保護に関する法律」（平成１５年法律第５７号。以下「法」という。
）及び「行政手続における特定の個人を識別する７号。以下「法」という。
）及び「行政手続における特定の個人を識別するための番号の利用等に関する法律」（平成２５年法律第二十七号。以下「番ための番号の利用等に関する法律」（平成２５年法律第二十七号。以下「番号法」という。）を踏まえ、「個人情報の保護に関する法律についてのガイ

号法」という。）を踏まえ、「個人情報の保護に関する法律についてのガイドライン（通則編）」（平成２８年個人情報保護委員会告示第６号。
（以下「通ドライン（通則編）」（平成２８年個人情報保護委員会告示第６号。
（以下「通

2

則ガイドライン」という。
）を基礎とし、法第６条及び第９条の規定に基づ

則ガイドライン」という。
）を基礎とし、法第６条及び第８条の規定に基づき、国民健康保険組合（以下「国保組合」という。
）が行う個人情報の適正き、国民健康保険組合（以下「国保組合」という。
）が行う個人情報の適正な取扱いの確保に関する活動を支援するための具体的な留意点・事例等をな取扱いの確保に関する活動を支援するための具体的な留意点・事例等を示すものである。

示すものである。

なお、本ガイダンスは国保組合における実例に照らした内容であるため、

なお、本ガイダンスは国保組合における実例に照らした内容であるため、

本ガイダンスに記載のない事項及び関係条文については通則ガイドライ

本ガイダンスに記載のない事項及び関係条文については通則ガイドライン、「個人情報の保護に関する法律についてのガイドライン（外国にある第ン、「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」（平成２８年個人情報保護委員会告示第７号）、「個人情三者への提供編）」（平成２８年個人情報保護委員会告示第７号）、「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記報の保護に関する法律についてのガイドライン（第三者提供時の確認・記

録義務編）」（平成２８年個人情報保護委員会告示第８号）、「個人情報の保録義務編）」（平成２８年個人情報保護委員会告示第８号）及び「個人情報護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」の保護に関する法律についてのガイドライン（匿名加工情報編）」（平成２（平成２８年個人情報保護委員会告示第９号）及び「個人情報の保護に関８年個人情報保護委員会告示第９号）をそれぞれ参照されたい。

する法律についてのガイドライン（認定個人情報保護団体編）」（令和３年
個人情報保護委員会告示第７号）をそれぞれ参照されたい。
２．本ガイダンスの構成及び基本的考え方

２．本ガイダンスの構成及び基本的考え方

個人情報の取扱いについては、法第３条において、「個人情報は、個人の個人情報の取扱いについては、法第３条において、「個人情報が、個人の人格尊重の理念の下に慎重に取り扱われるべきものである」とされている

人格尊重の理念の下に慎重に取り扱われるべきものである」とされていることを踏まえ、個人情報を取り扱う全ての者は、その目的や様態を問わず、ことを踏まえ、個人情報を取り扱う全ての者は、その目的や様態を問わず、個人情報の性格と重要性を十分認識し、その適正な取扱いを図らなければ

個人情報の性格と重要性を十分認識し、その適正な取扱いを図らなければ

ならない。

ならない。

医療分野は、個人情報の性質や利用方法等から、法第６条の規定に基づ

医療分野は、個人情報の性質や利用方法等から、法第６条の規定に基づ

く特に適正な取扱いの厳格な実施を確保する必要がある分野の一つである

く特に適正な取扱いの厳格な実施を確保する必要がある分野の一つである

ことから、保険診療に係る診療報酬明細書及び調剤報酬明細書（以下「レことから、保険診療に係る診療報酬明細書及び調剤報酬明細書（以下「レセプト」という。
）等を取り扱う国保組合においては、積極的な取組が求めセプト」という。）等を取り扱う国保組合においては、積極的な取組が求め

3

られる。

られる。

このことを踏まえ、本ガイダンスでは、法の趣旨を踏まえ国保組合におこのことを踏まえ、本ガイダンスでは、法の趣旨を踏まえ国保組合における個人情報の適正な取扱いが確保されるよう、遵守すべき事項及び遵守

ける個人情報の適正な取扱いが確保されるよう、遵守すべき事項及び遵守することが望ましい事項をできる限り具体的に示しており、国保組合におすることが望ましい事項をできる限り具体的に示しており、国保組合においては、法令、「個人情報の保護に関する基本方針」（平成１６年４月２日

いては、法令、「個人情報の保護に関する基本方針」（平成１６年４月２日

閣議決定。以下「基本方針」という。
）及び本ガイダンスの趣旨を踏まえ、閣議決定。以下「基本方針」という。）及び本ガイダンスの趣旨を踏まえ、個人情報の適正な取扱いに取り組む必要がある。

個人情報の適正な取扱いに取り組む必要がある。

具体的には、国保組合は、本ガイダンスの【法の規定により遵守すべき事項

具体的には、国保組合は、本ガイダンスの【法の規定により遵守すべき事項

等】のうち、「しなければならない」等と記載された事項については、法の等】のうち、「しなければならない」等と記載された事項については、法の規定により厳格に遵守することが求められる。また、【その他の事項】の「努規定により厳格に遵守することが求められる。また、【その他の事項】の「努めなければならない」「望ましい」等と記載した事項については、法に基づめなければならない」「望ましい」等と記載した事項については、法に基づく義務等ではないが、達成できるよう努めることが求められる。

く義務等ではないが、達成できるよう努めることが求められる。

３．本ガイダンスの対象となる事業者

３．本ガイダンスの対象となる事業者

本ガイダンスが対象としている事業者は、国民健康保険組合である。

本ガイダンスが対象としている事業者は、国民健康保険組合である。

なお、レセプトの入力・点検業務、被保険者証の作成、人間ドック等の

なお、レセプトの入力・点検業務、被保険者証の作成、人間ドック等の健診、保健指導など、国保組合から委託を受けた業務を遂行する事業者に健診、保健指導など、国保組合から委託を受けた業務を遂行する事業者においては、本ガイダンスのⅢ５．に沿って適切な安全管理措置を講ずるこ

おいては、本ガイダンスのⅢ４．に沿って適切な安全管理措置を講ずることが求められるとともに、当該委託を行う国保組合は、業務の委託に当たとが求められるとともに、当該委託を行う国保組合は、業務の委託に当た

り、本ガイダンスの趣旨を理解し、本ガイダンスに沿った対応を行う事業

り、本ガイダンスの趣旨を理解し、本ガイダンスに沿った対応を行う事業

者を委託先として選定し、委託契約の中で、個人情報の流出防止をはじめ者を委託先として選定し、委託契約の中で、個人情報の流出防止をはじめとする保護のための措置が委託先において確保されるよう、委託元と委託とする保護のための措置が委託先において確保されるよう、委託元と委託先のそれぞれの責任等を明確に定めることにより、再委託される場合も含

先のそれぞれの責任等を明確に定めることにより、再委託される場合も含めて実効的な監督体制を確保することが重要である。併せて委託先事業者

めて実効的な監督体制を確保することが重要である。併せて委託先事業者

における個人情報の取扱いについて定期的に確認を行い、適切な運用が行における個人情報の取扱いについて定期的に確認を行い、適切な運用が行

4われていることを確認する等の措置を講ずる必要がある。

われていることを確認する等の措置を講ずる必要がある。

なお、国保組合は、個人情報を提供してサービスを受ける被保険者等か

なお、国保組合は、個人情報を提供してサービスを受ける被保険者等から、適切かつ円滑な保険給付及び保健事業（以下「保険給付等」という。
）

ら、適切かつ円滑な保険給付及び保健事業（以下「保険給付等」という。
）の実施が期待されており、その実施のために最善の努力を行う必要があるの実施が期待されており、その実施のために最善の努力を行う必要があることに鑑み、本ガイダンスの遵守を求めるものである。

ことに鑑み、本ガイダンスの遵守を求めるものである。

４．本ガイダンスの対象となる「個人情報」の範囲

４．本ガイダンスの対象となる「個人情報」の範囲

法令上「個人情報」とは、生存する個人に関する情報であり、個人情報

法令上「個人情報」とは、生存する個人に関する情報であり、個人情報取扱事業者の義務等の対象となるのは、生存する個人に関する情報に限定

取扱事業者の義務等の対象となるのは、生存する個人に関する情報に限定されている。

されている。

なお、当該被保険者が死亡した後においても、国保組合が当該被保険者

なお、当該被保険者が死亡した後においても、国保組合が当該被保険者等の情報を保存している場合には、漏えい、滅失又は毀損等の防止のため、等の情報を保存している場合には、漏えい、滅失又はき損等の防止のため、

個人情報と同等の安全管理措置を講ずるものとする。

個人情報と同等の安全管理措置を講ずるものとする。

５．個人情報保護委員会の権限行使との関係等

５．個人情報保護委員会の権限行使との関係等

本ガイダンス中、国保組合が【法の規定により遵守すべき事項等】に記

本ガイダンス中、国保組合が【法の規定により遵守すべき事項等】に記載された内容のうち、国保組合の義務とされている内容を個人情報取扱事載された内容のうち、国保組合の義務とされている内容を個人情報取扱事業者としての義務を負う国保組合が遵守しない場合、個人情報保護委員会

業者としての義務を負う国保組合が遵守しない場合、個人情報保護委員会「報告徴収」、「立入は、法第１４３条から第１４５条までの規定に基づき、「報告徴収」、「立入検査」、
は、法第４０条から第４２条までの規定に基づき、

検査」
、
「指導」
、
「助言」
、
「勧告」及び「命令」を行うことがある。

「指導」、「助言」、「勧告」及び「命令」を行うことがある。

また、法第１４７条第１項の規定に基づき、法第１４３条第１項の規定

また、法第４４条第１項の規定に基づき、法第４０条第１項の規定によによる権限が個人情報保護委員会から事業所管大臣に委任された場合にる権限が個人情報保護委員会から事業所管大臣に委任された場合には、厚は、厚生労働大臣が「報告徴収」及び「立入検査」を行うことができる。

生労働大臣が「報告徴収」及び「立入検査」を行うことができる。

さらに、法第１６５条及び「個人情報の保護に関する法律施行令」（平成

さらに、法第７７条及び「個人情報の保護に関する法律施行令」（平成１１５年１２月１０日政令第５０７号。以下「令」という。
）第３８条に基づ５年１２月１０日政令第５０７号。以下「令」という。
）第２１条において、

き、法第１４３第１項に規定する個人情報保護委員会の権限及び法第１４

法第４０条第１項に規定する個人情報保護委員会の権限及び法第４４条第5７条第１項の規定により事業所管大臣に委任された権限に属する事務は、

１項の規定により事業所管大臣に委任された権限に属する事務は、個人情

個人情報取扱事業者が行う事業であって事業所管大臣が所管するものにつ

報取扱事業者が行う事業であって事業所管大臣が所管するものについてのいての報告の徴収及び立入検査に係る権限に属する事務の全部又は一部報告の徴収及び立入検査に係る権限に属する事務の全部又は一部が、他のが、他の法令の規定により地方公共団体の長その他の執行機関が行うこと

法令の規定により地方公共団体の長その他の執行機関が行うこととされてとされているときは、当該地方公共団体の長等が法に基づく報告徴収及びいるときは、当該地方公共団体の長等が法に基づく報告徴収及び立入検査

立入検査を行うことがあるを行うことがある。

６．国保組合等が行う措置の透明性の確保と対外的明確化

６．国保組合等が行う措置の透明性の確保と対外的明確化

（略）

（略）

７．責任体制の明確化と被保険者等窓口の設置等

７．責任体制の明確化と被保険者等窓口の設置等

（略）

（略）

８．遺族への個人情報の提供の取扱い

８．遺族への個人情報の提供の取扱い

（略）

（略）

９．他の法令等との関係

９．他の法令等との関係

（略）

（略）

１０．認定個人情報保護団体における取組

１０．認定個人情報保護団体における取組

法第４７条においては、個人情報取扱事業者等の個人情報等の適正な取法第４７条においては、個人情報取扱事業者等の個人情報等の適正な取扱いの確保を目的とする業務を行う法人等は個人情報保護委員会の認定を扱いの確保を目的とする業務を行う法人等は個人情報保護委員会の認定を受けて認定個人情報保護団体となることができることとされている。認定

受けて認定個人情報保護団体となることができることとされている。認定

個人情報保護団体となる関係団体は、傘下の国保組合を対象に、個人情報

個人情報保護団体となる関係団体は、傘下の国保組合を対象に、個人情報保護に係る普及・啓発を推進するほか、法の趣旨に沿った指針等を自主的保護に係る普及・啓発を推進するほか、法の趣旨に沿った指針等を自主的なルールとして定めたり、個人情報の取扱いに関する被保険者等のためのなルールとして定めたり、個人情報の取扱いに関する被保険者等のための相談窓口を開設したりするなど、積極的な取組を行うことが期待されてい相談窓口を開設するなど、積極的な取組を行うことが期待されている。

る。
詳細については、「個人情報の保護に関する法律についてのガイドライン
6（認定個人情報保護団体編）」（令和３年個人情報保護委員会告示第７号）
を参照されたい。
Ⅱ

用語の定義等Ⅱ

用語の定義等

１．個人情報（法第２条第１項）

１．個人情報（法第２条第１項）

（定義）

（定義）

法第二条 （略）法第二条 （略）一一

当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若

当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、電磁的方式その他人のしくは電磁的記録（電磁的方式（電子的方式、電磁的方式その他人の知覚によっては認識することができない方式をいう。次項第二号にお知覚によっては認識することができない方式をいう。次項第二号において同じ。
）で作られる記録をいう。以下同じ。）に記載され、若しくいて同じ。
）で作られる記録をいう。第十八条第二項において同じ。）

は記録され、又は音声、動作その他の方法を用いて表された一切の事に記載され、若しくは記録され、又は音声、動作その他の方法を用い

項（個人識別符号を除く。
）をいう。以下同じ。
）により特定の個人をて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）

識別することができるもの（他の情報と容易に照合することができ、により特定の個人を識別することができるもの（他の情報と容易に照

それにより特定の個人を識別することができることとなるものを含合することができ、それにより特定の個人を識別することができるこむ。
）ととなるものを含む。）

二 （略）

二

「個人情報」とは、生存する個人に関する情報であって、当該情報に含「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日、その他の記述等により特定の個人を識別することまれる氏名、生年月日、その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定のができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができるものを含む。）、又は個人識別符号が含まれる

個人を識別することができるものを含む。）、又は個人識別符号が含まれるものをいう。
「個人に関する情報」は、氏名、住所、性別、生年月日、顔画ものをいう。
「個人に関する情報」は、氏名、性別、生年月日、顔画像等個像等個人を識別する情報に限られず、ある個人の身体、財産、職種、肩書

人を識別する情報に限られず、個人の身体、財産、職種、肩書等の属性に

等の属性に関して、事実、判断、評価を表す全ての情報であり、評価情報、

関して、事実、判断、評価を表す全ての情報であり、評価情報、公刊物等

公刊物等によって公にされている情報や、映像、音声による情報も含まれ、によって公にされている情報や、映像、音声による情報も含まれ、暗号化

7（略）

暗号化等によって秘匿化されているか否かを問わない。

等によって秘匿化されているか否かを問わない。

また、例えばレセプトには、被保険者について客観的に検査をしたデー

また、例えばレセプトには、被保険者について客観的に検査をしたデー

タもあれば、それに対して医師が判断した傷病名、診療行為が記載されてタもあれば、それに対して医師が判断した傷病名、診療行為が記載されている。これら全体が被保険者個人に関する情報に当たるものであるが、そいる。これら全体が被保険者個人に関する情報に当たるものであるが、それと同時に、当該レセプトに係る診察をした医師の側からみると、自分がれと同時に、当該レセプトに係る診察をした医師の側からみると、自分が判断した傷病名、診療行為を書いているものでもあるので、レセプトに氏判断した傷病名、診療行為を書いているものでもあるので、レセプトに氏名が明記されている場合や医療機関名から容易に特定の医師を識別できる名が明記されている場合や医療機関名から容易に特定の医師を識別できる

場合については、医師個人に関する情報とも言うことができる。したがっ場合については、医師個人に関する情報とも言うことができる。したがって、レセプト等に記載されている情報の中には、被保険者と医師等双方のて、レセプト等に記載されている情報の中には、被保険者と医師等双方の個人情報という二面性を持っている部分もあることに留意が必要である。

個人情報という二面性を持っている部分もあることに留意が必要である。

なお、死者に関する情報が、同時に、遺族等の生存する個人に関する情報

なお、死者に関する情報が、同時に、遺族等の生存する個人に関する情報でもある場合には、当該生存する個人に関する情報となる。

でもある場合には、当該生存する個人に関する情報となる。

本ガイダンスは、国保組合が保有する個人情報を対象とするものであり、

本ガイダンスは、国保組合が保有する個人情報を対象とするものであり、

個人情報データベース等（７．参照）に整理されていない場合でも個人情

個人情報データベース等（７．参照）に整理されていない場合でも個人情報に該当する。

報に該当する。

国保組合が保有する個人情報については、別表１参照。

国保組合が保有する個人情報については、別表１参照。

※ 記載された氏名、生年月日、その他の記述等により特定の個人を識別※記載された氏名、生年月日、その他の記述等により特定の個人を識別することができるものは、個人情報に該当する。

することができるものは、個人情報に該当する。

２．個人識別符号（法第２条第２項）

２．個人識別符号（法第２条第２項）

（略）

（略）

３．要配慮個人情報（法第２条第３項）

３．要配慮個人情報（法第２条第３項）

（定義）

（定義）

法第二条

法第二条

３

３

この法律において「要配慮個人情報」とは、本人の人種、信条、社
8

この法律において「要配慮個人情報」とは、本人の人種、信条、社

会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人

いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。

情報をいう。

令第二条 法第二条第三項の政令で定める記述等は、次に掲げる事項の令第二条 法第二条第三項の政令で定める記述等は、次に掲げる事項のいずれかを内容とする記述等（本人の病歴又は犯罪の経歴に該当するいずれかを内容とする記述等（本人の病歴又は犯罪の経歴に該当するものを除く。
）とする。

ものを除く。
）とする。

一

一

身体障害、知的障害、精神障害（発達障害を含む。
）その他の個人

情報保護委員会規則で定める心身の機能の障害があること。
二

身体障害、知的障害、精神障害（発達障害を含む。
）その他の個人

情報保護委員会規則で定める心身の機能の障害があること。

本人に対して医師その他医療に関連する職務に従事する者（次号二本人に対して医師その他医療に関連する職務に従事する者（次号において「医師等」という。
）により行われた疾病の予防及び早期発において「医師等」という。
）により行われた疾病の予防及び早期発見のための健康診断その他の検査（同号において「健康診断等」と見のための健康診断その他の検査（同号において「健康診断等」と

いう。
）の結果

いう。
）の結果

三

健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化

三

健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のためを理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと。

の指導又は診療若しくは調剤が行われたこと。

四本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公四訴の提起その他の刑事事件に関する手続が行われたこと。
五

本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと。

本人を少年法（昭和２３年法律第１６８号）第三条第一項に規定

五

本人を少年法（昭和２３年法律第１６８号）第三条第一項に規定する少年又はその疑いのある者として、調査、観護の措置、審判、する少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと。

保護処分その他の少年の保護事件に関する手続が行われたこと。

規則第五条 令第二条第一号の個人情報保護委員会規則で定める心身の規則第五条 令第二条第一号の個人情報保護委員会規則で定める心身の9

機能の障害は、次に掲げる障害とする。

機能の障害は、次に掲げる障害とする。

一

一

身体障害者福祉法（昭和２４年法律第２８３号）別表に掲げる身体上の障害

身体障害者福祉法（昭和２４年法律第２８３号）別表に掲げる身

体上の障害

二

知的障害者福祉法（昭和３５年法律第３７号）にいう知的障害

二知的障害者福祉法（昭和３５年法律第３７号）にいう知的障害

三

精神保健及び精神障害者福祉に関する法律（昭和２５年法律第１三

精神保健及び精神障害者福祉に関する法律（昭和２５年法律第１２３号）にいう精神障害（発達障害者支援法（平成１６年法律第１２３号）にいう精神障害（発達障害者支援法（平成１６年法律第１６７号）第二条第一項に規定する発達障害を含み、前号に掲げるも

６７号）第二条第一項に規定する発達障害を含み、前号に掲げるも

のを除く。
）

のを除く。
）

四

治療方法が確立していない疾病その他の特殊の疾病であって障害四治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生活及び社会生活を総合的に支援するための法律（平成１者の日常生活及び社会生活を総合的に支援するための法律（平成１７年法律第１２３号）第四条第一項の政令で定めるものによる障害７年法律第１２３号）第四条第一項の政令で定めるものによる障害の程度が同項の厚生労働大臣が定める程度であるものの程度が同項の厚生労働大臣が定める程度であるもの「要配慮個人情報」とは、不当な差別や偏見その他の不利益が生じないよ「要配慮個人情報」とは、不当な差別や偏見その他の不利益が生じない

うにその取扱いに特に配慮を要するものとして法第２条第３項、政令第２ようにその取扱いに特に配慮を要するものとして法第２条第３項、政令第条及び規則第５条で定める記述等が含まれる個人情報をいう。なお、国保２条及び規則第５条で定める記述等が含まれる個人情報をいう。なお、国組合において想定される要配慮個人情報に該当する情報とは、レセプト等

保組合において想定される要配慮個人情報に該当する情報とは、レセプトに掲載された病歴、犯罪により害を被った事実、申請書等より確認した障等に掲載された病歴、犯罪により害を被った事実、申請書等より確認した害（身体障害、知的障害、精神障害等）の事実、健康診断の結果及び健康

障害（身体障害、知的障害、精神障害等）の事実、健康診断の結果及び健診断後の措置（医師による改善指導又は診療、調剤）が行われた事実等が康診断後の措置（医師による改善指導又は診療、調剤）が行われた事実等挙げられる。

が挙げられる。

要配慮個人情報の取得や第三者提供には、原則として本人同意が必要である。

要配慮個人情報の取得や第三者提供には、原則として本人同意が必要である。

本人同意を得る方法として、被保険者への保険給付等のために通常必要
10

本人同意を得る方法として、被保険者への保険給付等のために通常必要と考えられる個人情報の利用範囲をホームページへの掲載等により明らかと考えられる個人情報の利用範囲をホームページへの掲載等により明らかにしておき、被保険者から特段明確な反対・留保の意思表示がない場合ににしておき、被保険者から特段明確な反対・留保の意思表示がない場合には、これらの範囲内での個人情報の利用について同意が得られているもの

は、これらの範囲内での個人情報の利用について同意が得られているもの（３）とする「黙示の同意」という考え方を用いることがある。
（詳細はⅢ７．

（３）とする「黙示の同意」という考え方を用いることがある。
（詳細はⅢ５．

を参照）

を参照）

一方、要配慮個人情報については、法第２７条第２項の規定により、一

一方、要配慮個人情報については、法第２３条第２項の規定により、一定の条件を満たすことで本人同意を得ることなく第三者提供する方法（オ定の条件を満たすことで本人同意を得ることなく第三者提供する方法（オプトアウトによる第三者提供）は認められない。また、要配慮個人情報がプトアウトによる第三者提供）は認められない。

含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態が生じた場合には、個人情報保護委員会に報告しなければならない（詳細はⅢ６．を参照）。
なお、国保組合においては、第三者への提供を目的として個人情報を取

なお、国保組合においては、第三者への提供を目的として個人情報を取得することは通常想定されない。

得することは通常想定されない。

【要配慮個人情報のポイント】【要配慮個人情報のポイント】

要配慮個人情報を取得する場合、本人同意が必要である。
（Ⅲ．４参照）

要配慮個人情報を取得する場合、本人同意が必要である。（Ⅲ．３参照）

４．特定個人情報（番号法第２条第８項）

４．特定個人情報（番号法第２条第８項）

（略）

（略）

（削る）

５．個人情報の匿名化（削る）

当該個人情報から、当該情報に含まれる氏名、生年月日、住所、個人識
別符号等、個人を識別する情報を取り除くことで、特定の個人を識別できないようにすることをいう。顔写真については、一般的には目の部分にマスキングすることで特定の個人を識別できないと考えられる。なお、必要11

な場合には、その人と関わりのない符号又は番号を付すこともある。
このような処理を行っても、国保組合内で個人情報を利用する場合は、国保組合内で得られる他の情報や匿名化に際して付された符号又は番号と個人情報との対応表等と照合することで特定の被保険者が識別されることも考えられる。法においては、「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるもの」についても
個人情報に含まれるものとされており、匿名化に当たっては、当該情報の利用目的や利用者等を勘案した処理を行う必要があり、あわせて、本人の同意を得るなどの対応も考慮する必要がある。
また、特定の被保険者の健診の結果や保健指導の事例を集団で行う保健指導で紹介したり、国保組合の機関誌に掲載したりする場合等は、氏名、生年月日、住所、個人識別符号等を消去することで匿名化されると考えられるが、健診の結果や保健指導の事例により十分な匿名化が困難な場合は、本人の同意を得なければならない。
なお、このような集団で行う保健指導での紹介等のために用いられる特定の被保険者の健診結果等の匿名化は、匿名加工情報（Ⅱ６．参照）とは定義や取扱いのルールが異なるので留意が必要である。
５．仮名加工情報（法第２条第５項）

（新設）

（定義）

（新設）

法第二条
５

この法律において「仮名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて他の情報と照合しない限
り特定の個人を識別することができないように個人情報を加工して得ら
12

れる個人に関する情報をいう。
一第一項第一号に該当する個人情報 当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
二

第一項第二号に該当する個人情報 当該個人情報に含まれる個人識

別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）「仮名加工情報」とは、個人情報に含まれる記述等の一部や、個人識別符号の全部を削除する等の措置を講じて、他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報をいう。
個人情報から仮名加工情報を作成する場合には、法第４１条第１項に規定する規則で定める基準に従って加工する等一定の制限を受けることとなる。詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」（平成２８年個人情報保護委員会告示第９号）を参照のこと。
６．匿名加工情報（法第２条第６項）

６．匿名加工情報（法第２条第９項）

（定義）

（定義）

法第二条

法第二条

６

９

（略）

【匿名加工情報のポイント】（略）【匿名加工情報のポイント】

個人情報から匿名加工情報を作成する場合には、法第４３条第１項に規13

個人情報から匿名加工情報を作成する場合には、規則で定める基準に従定する規則で定める基準に従って加工する等一定の制限を受けることとなって加工する等一定の制限を受けることとなる。詳細は、別途定める「個る。詳細は、別途定める「個人情報の保護に関する法律についてのガイド

人情報の保護に関する法律についてのガイドライン（匿名加工情報編）」（平

ライン（仮名加工情報・匿名加工情報編）」（平成２８年個人情報保護委員

成２８年個人情報保護委員会告示第９号）を参照のこと。

会告示第９号）を参照のこと。
匿名加工情報取扱事業者（法第１６条第６項関係）

匿名加工情報取扱事業者（法第２条第１０項関係）

匿名加工情報取扱事業者の定義については、別途定める「個人情報の保匿名加工情報取扱事業者の定義については、別途定める「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」

護に関する法律についてのガイドライン（匿名加工情報編）」（平成２８年（平成２８年個人情報保護委員会告示第９号）を参照のこと。

個人情報保護委員会告示第９号）を参照のこと。

（参考）

（参考）

（定義）

（定義）

法第十六条

法第二条

６

１０

この章、第六章及び第七章において「匿名加工情報取扱事業者」とは、この法律において「匿名加工情報取扱事業者」とは、匿名加工情報

匿名加工情報を含む情報の集合物であって、特定の匿名加工情報を電子を含む情報の集合物であって、特定の匿名加工情報を電子計算機を用

計算機を用いて検索することができるように体系的に構成したものそのいて検索することができるように体系的に構成したものその他特定の他特定の匿名加工情報を容易に検索することができるように体系的に構

匿名加工情報を容易に検索することができるように体系的に構成した成したものとして政令で定めるもの（第四十三条第一項において「匿名ものとして政令で定めるもの（第三十六条第一項において「匿名加工

加工情報データベース等」という。
）を事業の用に供している者をいう。

情報データベース等」という。
）を事業の用に供している者をいう。たただし、第二項各号に掲げる者を除く。

だし、第五項各号に掲げる者を除く。

令第七条 法第十六条第六項の政令で定めるものは、同項に規定する情報令第六条 法第二条第十項の政令で定めるものは、これに含まれる匿名加の集合物に含まれる匿名加工情報を一定の規則に従って整理することに工情報を一定の規則に従って整理することにより特定の匿名加工情報をより特定の匿名加工情報を容易に検索することができるように体系的に容易に検索することができるように体系的に構成した情報の集合物であ構成したものであって、目次、索引その他検索を容易にするためのものって、目次、索引その他検索を容易にするためのものを有するものをい14

を有するものをいう。

う。

７．個人情報データベース等（法第１６条第１項）、個人データ（法第１６７．個人情報データベース等（法第２条第４項）、個人データ（法第２条第条第３項）、保有個人データ（法第１６条第４項）

６項）、保有個人データ（法第２条第７項）

（定義）

（定義）

法第十六条

法第二条

４

４

この章及び第八章において「個人情報データベース等」とは、個人情

この法律において「個人情報データベース等」とは、個人情報を含む

報を含む情報の集合物であって、次に掲げるもの（利用方法からみて個情報の集合物であって、次に掲げるもの（利用方法からみて個人の権利

人の権利利益を害するおそれが少ないものとして政令で定めるものを利益を害するおそれが少ないものとして政令で定めるものを除く。）を

除く。
）をいう。

いう。

一・二 （略）

一・二 （略）令第四条

法第十六条第一項の利用方法からみて個人の権利利益を害す

令第三条

法第二条第四項の利用方法からみて個人の権利利益を害する

おそれが少ないものとして政令で定めるものは、次の各号のいずれにもも該当するものとする。

該当するものとする。

一～三 （略）

一～三 （略）２

るおそれが少ないものとして政令で定めるものは、次の各号のいずれに

法第十六条第一項第二号の政令で定めるものは、同項に規定する情報

２

法第二条第四項第二号の政令で定めるものは、これに含まれる個人情の集合物に含まれる個人情報を一定の規則に従って整理することによ報を一定の規則に従って整理することにより特定の個人情報を容易にり特定の個人情報を容易に検索することができるように体系的に構成検索することができるように体系的に構成した情報の集合物であって、したものであって、目次、索引その他検索を容易にするためのものを有目次、索引その他検索を容易にするためのものを有するものをいう。

するものをいう。
「個人情報データベース等」とは、特定の個人情報をコンピュータを用い「個人情報データベース等」とは、特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した個人情報を含む情報の集合て検索することができるように体系的に構成した個人情報を含む情報の集合

体、又はコンピュータを用いていない場合であっても、紙面で処理した個人

体、又はコンピュータを用いていない場合であっても、紙面で処理した個人情報を一定の規則（例えば、五十音順、生年月日順など）に従って整理・分情報を一定の規則（例えば、五十音順、生年月日順など）に従って整理・分15

類し、特定の個人情報を容易に検索することができるよう、目次、索引、符類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものをい

号等を付し、他人によっても容易に検索可能な状態に置いているものをい

う。

う。

（定義）

（定義）

法第十六条

法第二条

３

６

この章において「個人データ」とは、個人情報データベース等をこの法律において「個人データ」とは、個人情報データベース等を構成する個人情報をいう。

構成する個人情報をいう。

「個人データ」とは、「個人情報データベース等」を構成する個人情報を「個人データ」とは、「個人情報データベース等」を構成する個人情報を

いう。

いう。

（定義）

（定義）

法第十六条

法第二条

４

７

この法律において「保有個人データ」とは、個人情報取扱事業者が、この法律において「保有個人データ」とは、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの以外のものをいう。

政令で定めるもの又は一年以内の政令で定める期間以内に消去することとなるもの以外のものをいう。

令第五条 法第十六条第四項の政令で定めるものは、次に掲げるものとす

令第四条

法第二条第七項の政令で定めるものは、次に掲げるものとする。

る。

一～四 （略）

一～四 （略）（削る）

令第五条 法第二条第七項の政令で定める期間は、六月とする。
16

「保有個人データ」とは、個人データのうち、個人情報取扱事業者が、「保有個人データ」とは、個人データのうち、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供

開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有するものをいう。ただし、その存否がの停止を行うことのできる権限を有するものをいう。ただし、①その存否明らかになることにより、公益その他の利益が害されるものは除く。

が明らかになることにより、公益その他の利益が害されるもの、②６ヶ月以内に消去する（更新することは除く。
）こととなるものは除く。

レセプトや健診結果、保健指導記録等については、媒体の如何にかかわレセプトや健診結果、保健指導記録等については、媒体の如何にかかわらず個人データベース等に該当する。

らず個人データベース等に該当する。
８．本人の同意

８．本人の同意「本人の同意」とは、本人の個人情報が、個人情報取扱事業者によって「本人の同意」とは、本人の個人情報が、個人情報取扱事業者によって示された取扱方法で取り扱われることを承諾する旨の当該本人の意思表示示された取扱方法で取り扱われることを承諾する旨の当該本人の意思表示をいう（当該本人であることを確認できていることが前提となる。）。

をいう（当該本人であることを確認できていることが前提となる。）。

また、「本人の同意を得（る）」とは、本人の承諾する旨の意思表示を当

また、「本人の同意を得（る）」とは、本人の承諾する旨の意思表示を当

該個人情報取扱事業者が認識することをいい、事業の性質及び個人情報の該個人情報取扱事業者が認識することをいい、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。

理的かつ適切な方法によらなければならない。

なお、個人情報の取扱いに関して同意したことによって生ずる結果につなお、個人情報の取扱いに関して同意したことによって生ずる結果について、未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力

いて、未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力を有していないなどの場合は、親権者や法定代理人等から同意を得る必要を有していないなどの場合は、親権者や法定代理人等から同意を得る必要

がある。

がある。

【本人の同意を得ている事例】【本人の同意を得ている事例】

事例 1）本人からの同意する旨の口頭による意思表示

事例 1）本人からの同意する旨の口頭による意思表示

事例 2）本人からの同意する旨の書面（電磁的記録を含む。
）の受領事例 2）本人からの同意する旨の書面（電磁的記録を含む。
）の受領17

事例 3）本人からの同意する旨のメールの受信事例 3）本人からの同意する旨のメールの受信事例 4）本人による同意する旨の確認欄へのチェック

事例 4）本人による同意する旨の確認欄へのチェック

事例 5）本人による同意する旨のホームページ上のボタンのクリック

事例 5）本人による同意する旨のホームページ上のボタンのクリック

事例 6）本人による同意する旨の音声入力、タッチパネルへのタッチ、ボ事例 6）本人による同意する旨の音声入力、タッチパネルへのタッチ、ボタンやスイッチ等による入力

タンやスイッチ等による入力

法は、個人情報の目的外利用や第三者提供の場合には、原則として本人

法は、個人情報の目的外利用や第三者提供の場合には、原則として本人の同意を得ることを求めている。これは、法の基本となるＯＥＣＤ８原則の同意を得ることを求めている。これは、法の基本となるＯＥＣＤ８原則のうち、利用制限の原則の考え方の現れであるが、国保組合については、のうち、利用制限の原則の考え方の現れであるが、国保組合については、被保険者等に適切な保険給付等を提供する目的のために、当該国保組合に被保険者等に適切な保険給付等を提供する目的のために、当該国保組合において、通常必要と考えられる個人情報の利用範囲を国保組合のホームペ

おいて、通常必要と考えられる個人情報の利用範囲を国保組合のホームページへの掲載のほか、パンフレットの配布、掲示板への掲示・備付けや公ージへの掲載のほか、パンフレットの配布、掲示板への掲示・備付けや公告等により明らかにしておき、このうち、被保険者の利益になるもの又は告等により明らかにしておき、このうち、被保険者の利益になるもの又は必ずしも利益になるものではないが医療費通知など国保組合の負担が膨大

必ずしも利益になるものではないが医療費通知など国保組合の負担が膨大である上必ずしも被保険者本人にとって合理的であるとは言えないものにである上必ずしも被保険者本人にとって合理的であるとは言えないものについては、被保険者から特段明確な反対・留保の意思表示がない場合には、

ついては、被保険者から特段明確な反対・留保の意思表示がない場合には、これらの範囲内での個人情報の利用について同意が得られているものと考これらの範囲内での個人情報の利用について同意が得られているものと考

えられる。
（Ⅲ７．
（３）
（４）参照）

えられる。
（Ⅲ５．（３）（４）参照）

なお、これらの場合において被保険者の理解力、判断力などに応じて、

なお、これらの場合において被保険者の理解力、判断力などに応じて、可能な限り被保険者等本人に通知し、同意を得るよう努めることが重要で可能な限り被保険者等本人に通知し、同意を得るよう努めることが重要で

ある。

ある。

【要配慮個人情報における本人の同意について】【要配慮個人情報における本人の同意について】

（略）

（略）
18

Ⅲ

国保組合の義務等

Ⅲ

国保組合の義務等

１．利用目的の特定等（法第１７条、第１８条）

１．利用目的の特定等（法第１５条、第１６条）（利用目的の特定）（利用目的の特定）法第十七条 （略）法第十五条 （略）

２

２

（略）

（略）

（利用目的による制限）（利用目的による制限）

法第十八条 （略）法第十六条 （略）

２

（略）

２

（略）

３

（略）

３

（略）

一～四 （略）

一～四 （略）五（新設）

当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下この章において「学術研究目的」という。
）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
六

学術研究機関等に個人データを提供する場合であって、当該学術研（新設）究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）。
（１）利用目的の特定及び制限（１）利用目的の特定及び制限

国保組合が保険給付等を希望する被保険者から個人情報を取得する場
19

国保組合が保険給付等を希望する被保険者から個人情報を取得する場

合、当該個人情報を被保険者に対する保険給付等の提供、国保組合の保険合、当該個人情報を被保険者に対する保険給付等の提供、国保組合の保険給付等に係る事務や番号法に基づく個人番号の利用などで利用することは給付等に係る事務や番号法に基づく個人番号の利用などで利用することは被保険者にとって明らかと考えられる。

被保険者にとって明らかと考えられる。

これら以外で個人情報を利用する場合は、被保険者にとって必ずしも明これら以外で個人情報を利用する場合は、被保険者にとって必ずしも明らかな利用目的とはいえない。この場合は、個人情報を取得するに当たっ

らかな利用目的とはいえない。この場合は、個人情報を取得するに当たって明確に当該利用目的の公表等の措置が講じられなければならない。（Ⅲて明確に当該利用目的の公表等の措置が講じられなければならない。（Ⅲ

３．参照）

２．参照）

国保組合の通常の業務で想定される利用目的は別表２に例示されるもの

国保組合の通常の業務で想定される利用目的は別表２に例示されるものであり、国保組合は、これらを参考として、自らの業務に照らして通常必であり、国保組合は、これらを参考として、自らの業務に照らして通常必要とされるものを特定して公表しなければならない。（Ⅲ３．参照）

要とされるものを特定して公表しなければならない。（Ⅲ２．参照）

なお、別表２に掲げる利用目的の範囲について法第１５条第２項に定めなお、別表２に掲げる利用目的の範囲について法第１５条第２項に定める利用目的の変更を行う場合、変更された利用目的については、本人へ通る利用目的の変更を行う場合、変更された利用目的については、本人へ通知又は公表しなければならない。
（Ⅲ３．参照）

知又は公表しなければならない。（Ⅲ２．参照）（２）利用目的による制限の例外（２）利用目的による制限の例外

国保組合は、あらかじめ本人の同意を得ないで法第１７条の規定により国保組合は、あらかじめ本人の同意を得ないで法第１５条の規定により特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱っては特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならないが（法第１８条第１項）、同条第３項に掲げる場合については、本ならないが（法第１６条第１項）、同条第３項に掲げる場合については、本人の同意を得る必要はない。具体的な例としては以下のとおりである。

人の同意を得る必要はない。具体的な例としては以下のとおりである。

①法令に基づく場合①法令に基づく場合

国民健康保険法第１０６条に基づく報告の徴収等、その他法令に基づいて個人情報を利用する場合

国民健康保険法第１０６条に基づく報告の徴収等、法令に基づいて個人情報を利用する場合

20

根拠となる法令の規定としては、一般に刑事訴訟法第２１８条（令状に根拠となる法令の規定としては、一般に刑事訴訟法第２１８条（令状による捜査）、地方税法第７２条の６３（個人の事業税に関する調査に係る質よる捜査）、地方税法第７２条の６３（個人の事業税に関する調査に係る質問検査権、各種税法に類似の規定あり）等が考えられる。

問検査権、各種税法に類似の規定あり）等が考えられる。

これらの法令は強制力を伴って回答が義務づけられるため、国保組合は捜査等が行われた場合、回答する義務が生じる。

これらの法令は強制力を伴って回答が義務づけられるため、国保組合は捜査等が行われた場合、回答する義務が生じる。

また、刑事訴訟法第１９７条第２項（捜査に必要な取調べ）等について

また、刑事訴訟法第１９７条第２項（捜査に必要な取調べ）等について

は、法の例外規定の対象であるが、当該法令において任意協力とされておは、法の例外規定の対象であるが、当該法令において任意協力とされており、国保組合は取調べ等が行われた場合、回答するか否かについて個別のり、国保組合は取調べ等が行われた場合、回答するか否かについて個別の事例ごとに判断する必要がある。この場合、本人の同意を得ずに個人情報

事例ごとに判断する必要がある。この場合、本人の同意を得ずに個人情報を取扱ったとしても、法第１８条違反とはならないが、当該本人からの民を取扱ったとしても、法第１６条違反とはならないが、当該本人からの民法に基づく損害賠償請求等を求められるおそれがある。

法に基づく損害賠償請求等を求められるおそれがある。

②人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき②人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき

（例）

（例）

・意識不明となった被保険者について、家族の連絡先等に関する情報を医療

・意識不明となった被保険者について、家族の連絡先等に関する情報を医療機関等に提供する場合

機関等に提供する場合③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるときであって、本人の同意を得ることが困難であるとき

（例）

（例）

・疫学上の調査・研究のために、健康診査やがん検診等から得られた情報を・疫学上の調査・研究のために、健康診査やガン検診等から得られた情報を

個人名を伏せて研究者に提供する場合

個人名を伏せて研究者に提供する場合

・医療安全の向上のため、国保組合にレセプトを提出する医療機関で発生し21

・医療安全の向上のため、国保組合にレセプトを提出する医療機関で発生した医療事故等に関する国、地方公共団体又は第三者機関等に対し情報提供 た医療事故等に関する国、地方公共団体又は第三者機関等に対し情報提供すするために個人情報を取り扱う場合

るために個人情報を取り扱う場合④国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事④国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるときを得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき

（例）

（例）

・事業者が警察の任意の求めに応じて個人情報を取り扱う場合・事業者が警察の任意の求めに応じて個人情報を取り扱う場合

・一般統計調査や地方公共団体が行う統計調査において個人情報を取り扱う

・一般統計調査や地方公共団体が行う統計調査において個人情報を取り扱う

場合

場合⑤当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人（新設）

情報を学術研究の用に供する目的で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
「学術研究機関等」とは、大学その他の学術研究を目的とする機関若しく
は団体（大学、学会）又はそれらに属する者をいい、国保組合はこれに当たらない。
⑥学術研究機関等に個人データを提供する場合であって、当該学術研究機関（新設）

等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権
利利益を不当に侵害するおそれがある場合を除く。
）。
【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

・国保組合は、個人情報を取り扱うに当たって、その利用目的をできる限り・国保組合は、個人情報を取り扱うに当たって、その利用目的をできる限り

22

特定しなければならない。

特定しなければならない。

・国保組合は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。

・国保組合は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。

・国保組合は、あらかじめ本人の同意を得ないで、特定された利用目的の達・国保組合は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない。なお、本人の成に必要な範囲を超えて個人情報を取り扱ってはならない。なお、本人の同意を得るために個人情報を利用すること（同意を得るために被保険者の同意を得るために個人情報を利用すること（同意を得るために被保険者の連絡先を利用して電話をかける場合など）、個人情報を匿名加工情報及び仮連絡先を利用して電話をかける場合など）、個人情報を匿名化するために個

名加工情報に加工することは差し支えない。

人情報に加工を行うことは差し支えない。

・個人情報を取得する時点で、本人の同意があったにもかかわらず、その後、 ・個人情報を取得する時点で、本人の同意があったにもかかわらず、その後、本人から利用目的の一部についての同意を取り消す旨の申出があった場合本人から利用目的の一部についての同意を取り消す旨の申出があった場合は、その後の個人情報の取扱いについては、本人の同意が取り消されなかは、その後の個人情報の取扱いについては、本人の同意が取り消されなかった範囲に限定して取り扱う。

った範囲に限定して取り扱う。

・国保組合は、合併その他の事由により他の事業者から事業を承継すること

・国保組合は、合併その他の事由により他の事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、に伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。

該個人情報を取り扱ってはならない。

・利用目的の制限の例外（法第１８条第３項）に該当する場合は、本人の同意を得ずに個人情報を取り扱うことができる。

・利用目的の制限の例外（法第１６条第３項）に該当する場合は、本人の同意を得ずに個人情報を取り扱うことができる。

（利用目的を変更する場合の取扱いについてはⅢ３．を参照）（利用目的を変更する場合の取扱いについてはⅢ２．を参照）【その他の事項】【その他の事項】

・利用目的の制限の例外に該当する「法令に基づく場合」等であっても、利・利用目的の制限の例外に該当する「法令に基づく場合」等であっても、利用目的以外の目的で個人情報を取り扱う場合は、当該法令等の趣旨をふま用目的以外の目的で個人情報を取り扱う場合は、当該法令等の趣旨をふまえ、その取り扱う範囲を真に必要な範囲に限定することが求められる。

え、その取り扱う範囲を真に必要な範囲に限定することが求められる。
23

・被保険者が未成年者等の場合、法定代理人の同意を得ることで足りるが、・被保険者が未成年者等の場合、法定代理人の同意を得ることで足りるが、一定の判断能力を有する未成年者等については、法定代理人等の同意にあ一定の判断能力を有する未成年者等については、法定代理人等の同意にあわせて本人の同意を得る。

わせて本人の同意を得る。

２．不適切な利用の禁止（法第１９条）（新設）（不適正な利用の禁止）（新設）

法第十九条 個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。
【法の規定により遵守すべき事項等】
・国保組合は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。
・「違法又は不当な行為」とは、法その他の法令に違反する行為、及び直ちに違法とはいえないものの、法その他の法令の制度趣旨又は公序良俗に反する等、社会通念上適正とは認められない行為をいう。
・「おそれ」の有無は、個人情報取扱事業者による個人情報の利用が、違法又は不当な行為を助長又は誘発することについて、社会通念上蓋然性が認められるか否かにより判断される。この判断に当たっては、個人情報の利用方法等の客観的な事情に加えて、個人情報の利用時点における個人情報取扱事業者の認識及び予見可能性も踏まえる必要がある。例えば、
個人情報取扱事業者が第三者に個人情報を提供した場合において、当該第三者が当該個人情報を違法な行為に用いた場合であっても、当該第三者が当該個人情報の取得目的を偽っていた等、当該個人情報の提供の時点において、提供した個人情報が違法に利用されることについて、当該個人情報取扱事業者が一般的な注意力をもってしても予見できない状況であった場合には、「おそれ」は認められないと解される。
24

（違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例）
事例１）

違法行為を営むことが疑われる事業者に対し、当該事業者の違法な行為を助長するおそれが想定されるにも関わらず、個人情報を提供する場合
事例２）

個人情報を提供した場合、提供先において法第２７条第１項に違反する第三者提供がなされることを予見できるにもかかわらず、当該提供先に対して、個人情報を提供する場合
事例３）

個人情報を取得した国保組合が、性別、国籍等の特定の属性のみにより、正当な理由なく本人に対する違法な差別的取扱いを行うために、個人情報を利用する場合
３．利用目的の通知等（法第２１条）

２．利用目的の通知等（法第１８条）（取得に際しての利用目的の通知等）（取得に際しての利用目的の通知等）

法第二十一条 （略）法第十八条 （略）４．個人情報の適正な取得、個人データ内容の正確性の確保（法第２０条、

３．個人情報の適正な取得、個人データ内容の正確性の確保（法第１７条、

第２２条）

第１９条）

（適正な取得）（適正な取得）法第二十条 （略）法第十七条 （略）

２

２

（略）

（略）

一～四 （略）

一～四 （略）五（新設）

当該個人情報取扱事業者が学術研究機関等である場合であって、当25該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含
み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
六

学術研究機関等から当該要配慮個人情報を取得する場合であって、（新設）

当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。
）。
七

当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究

五

当該要配慮個人情報が、本人、国の機関、地方公共団体、第七十六機関等、第五十七条第一項各号に掲げる者その他個人情報保護委員会

条第一項各号に掲げる者その他個人情報保護委員会規則で定める者

規則で定める者により公開されている場合

により公開されている場合

八

（略）

規則第六条

六
法第二十条第二項第七号の個人情報保護委員会規則で定め

（略）

規則第六条

法第二十条第二項第七号の個人情報保護委員会規則で定める者は、次の各号のいずれかに該当する者とする。

る者は、次の各号のいずれかに該当する者とする。

一

（略）

一

二

外国において法第十六条第八項に規定する学術研究機関等に相当（新設）

外国政府、外国の政府機関、外国の地方公共団体又は国際機関

する者
三

（略）

二

令第九条 法第二十条第二項第八号の政令で定める場合は、次に掲げる場（略）

令第七条 法第十七条第二項第六号の政令で定める場合は、次に掲げる場

合とする。

合とする。

一 （略）

一
26

（略）

二

法第二十七条第五項各号（法第四十一条第六項の規定により読み替二

えて適用する場合及び法第四十二条第二項において読み替えて準用

法第二十二条第五項各号に掲げる場合において、個人データである

要配慮個人情報の提供を受けるとき。

する場合を含む。）に掲げる場合において、個人データである要配慮
個人情報の提供を受けるとき。
（データ内容の正確性の確保等）（データ内容の正確性の確保等）

法第二十二条 （略）法第十九条 （略）【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

・国保組合は、偽りその他の不正の手段により個人情報を取得してはならない。

・国保組合は、偽りその他の不正の手段により個人情報を取得してはならない。

・保健指導等のために必要な過去の病歴等については、真に必要な範囲に・保健指導等のために必要な過去の病歴等については、真に必要な範囲について、本人から直接取得するほか、第三者提供について本人の同意をついて、本人から直接取得するほか、第三者提供について本人の同意を得た者（Ⅲ５．
（３）の場合において本人の黙示の同意が得られていると得た者（Ⅲ５．
（３）の場合において本人の黙示の同意が得られていると考えられる者を含む。
）から取得することを原則とする。ただし、本人の考えられる者を含む。）から取得することを原則とする。ただし、本人の同意を得ず、本人以外の家族等から取得することが保健指導等のために同意を得ず、本人以外の家族等から取得することが保健指導等のためにやむを得ない場合はこの限りでない。

やむを得ない場合はこの限りでない。

・親の同意なく、十分な判断能力を有していない子どもから家族の個人情報を取得してはならない。

・親の同意なく、十分な判断能力を有していない子どもから家族の個人情報を取得してはならない。

・要配慮個人情報を取得する場合には、あらかじめ本人の同意を得なけれ・要配慮個人情報を取得する場合には、あらかじめ本人の同意を得なければならない。ただし、法第２０条第２項各号に定める場合については、ばならない。ただし、法第１７条第２項各号に定める場合については、本人の同意を得る必要はない。

本人の同意を得る必要はない。

（例）

（例）

・国民健康保険法第８２条第２項に基づき、労働安全衛生法に基づく健
27

（新設）

康診断等について、事業者等から被保険者に関する健康診断に関する情報を取得する場合、法第２０条第２項第１号に該当すると考えられる。
・急病その他の事態が生じたときに、本人の病歴等を国保組合に所属す

・急病その他の事態が生じたときに、本人の病歴等を国保組合に所属する医師や看護師が家族から聴取する場合、法第２０条第２項第２号にる医師や看護師が家族から聴取する場合、法第１７条第２項第２号に該当すると考えられる。

該当すると考えられる。

・事業者が警察の任意の求めに応じて要配慮個人情報に該当する個人情・事業者が警察の任意の求めに応じて要配慮個人情報に該当する個人情報を提出するために、当該個人情報を取得する場合、法第２０条第２

報を提出するために、当該個人情報を取得する場合、法第１７条第２項第４号に該当する可能性があると考えらえる。

項第４号に該当する可能性があると考えらえる。

・なお、要配慮個人情報を、法第２７条第５項各号に定める委託、事業

・なお、要配慮個人情報を、法第２３条第５項各号に定める委託、事業承継又は共同利用により取得する場合は、あらかじめ本人の同意を得

承継又は共同利用により取得する場合は、あらかじめ本人の同意を得る必要はない。

る必要はない。

【法第２０条第２項に違反している事例】【法第１７条第２項に違反している事例】

本人の同意を得ることなく、法第２０条第２項第７号及び規則第６条

本人の同意を得ることなく、法第１７条第２項第５号及び規則第６条

で定める者以外がインターネット上で公開している情報から本人の信条で定める者以外がインターネット上で公開している情報から本人の信条や犯罪歴等に関する情報を取得し、既に保有している当該本人に関するや犯罪歴等に関する情報を取得し、既に保有している当該本人に関する情報の一部として自己のデータベース等に登録すること。

情報の一部として自己のデータベース等に登録すること。

・国保組合は、適正な保険給付等を提供するという利用目的の達成に必要

・国保組合は、適正な保険給付等を提供するという利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めなな範囲内において、個人データを正確かつ最新の内容に保つよう努めなければならない。

ければならない。

・国保組合は、保有する個人データについて利用する必要がなくなったと
28

・国保組合は、保有する個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該個人デーき、すなわち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成

タを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合されなかったものの当該目的の前提となる事業自体が中止となった場合

等は、当該個人データを遅滞なく消去するよう努めなければならない。

等は、当該個人データを遅滞なく消去するよう努めなければならない（※）なお、法令の定め及び規程により保存期間等が定められている場（※）。なお、法令の定め及び規程により保存期間等が定められている場

合は、この限りではない。

合は、この限りではない。

（※）
「個人データの消去」とは、当該個人データを個人データとして使（※）
「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該データを削除することのほか、当該デえなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む。

ータから特定の個人を識別できないようにすること等を含む。

【その他の事項】【その他の事項】

・第三者提供により他の国保組合から個人情報を取得したとき、当該個人・第三者提供により他の国保組合から個人情報を取得したとき、当該個人情報の内容に疑義が生じた場合には、記載内容の事実に関して本人に確情報の内容に疑義が生じた場合には、記載内容の事実に関して本人に確

認をとる。

認をとる。

・国保組合は、個人データの内容の正確性、最新性を確保するため、Ⅲ５．

・国保組合は、個人データの内容の正確性、最新性を確保するため、Ⅲ４．

（２）②に示す委員会等において、具体的なルールを策定したり、デー（２）②に示す委員会等において、具体的なルールを策定したり、デー

タ管理等の技術水準の向上のための研修の開催などを行ったりすること

タ管理等の技術水準の向上のための研修の開催などを行うことが望ましが望ましい。

い。

・第三者提供（法第２７条第１項各号に掲げる場合並びに個人情報の取扱・第三者提供（法第２３条第１項各号に掲げる場合並びに個人情報の取扱

いの委託、事業の承継及び共同利用に伴い、個人情報を提供する場合をいの委託、事業の承継及び共同利用に伴い、個人情報を提供する場合を除く。
）により、個人情報（令第２条第２号に規定するものから取得した除く。
）により、個人情報（令第２条第２号に規定するものから取得した個人情報を除く。
）を取得する場合には、提供元の法の遵守状況（例えば、個人情報を除く。）を取得する場合には、提供元の法の遵守状況（例えば、

オプトアウト（法第２７条第２項・第３項参照）、利用目的、開示手続、

オプトアウト（法第２３条第２項・第３項参照）、利用目的、開示手続、

問合せ・苦情の受付窓口を公表していることなど）を確認し、個人情報

問合せ・苦情の受付窓口を公表していることなど）を確認し、個人情報

29

を適切に管理している者を提供元として選定するとともに、実際に個人を適切に管理している者を提供元として選定するとともに、実際に個人情報を取得する際には、例えば、取得の経緯を示す契約書等の書面の点情報を取得する際には、例えば、取得の経緯を示す契約書等の書面の点

検又はこれに代わる合理的な方法により、当該個人情報の取得方法等を検又はこれに代わる合理的な方法により、当該個人情報の取得方法等を確認した上で、当該個人情報が適法に取得されたことが確認できない場

確認した上で、当該個人情報が適法に取得されたことが確認できない場

合は、偽りその他不正の手段により取得されたものである可能性もある

合は、偽りその他不正の手段により取得されたものである可能性もある

ことから、その取得を自粛することを含め、慎重に対応することが望まことから、その取得を自粛することを含め、慎重に対応することが望ま

しい。

しい。

５．安全管理措置、従業者の監督及び委託先の監督（法第２３条～第２５条） ４．安全管理措置、従業者の監督及び委託先の監督（法第２０条～第２２条）（安全管理措置）（安全管理措置）法第二十三条

個人情報取扱事業者は、その取り扱う個人データの漏え

法第二十条 個人情報取扱事業者は、その取り扱う個人データの漏えい、い、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

適切な措置を講じなければならない。

（従業者の監督）（従業者の監督）

法第二十四条 （略）法第二十一条 （略）（委託先の監督）（委託先の監督）

法第二十五条 （略）法第二十二条 （略）（１）国保組合が講ずるべき安全管理措置等（１）国保組合が講ずるべき安全管理措置等①安全管理措置①安全管理措置国保組合は、その取り扱う個人データの漏えい、滅失又は毀損の防止

国保組合は、その取り扱う個人データの漏えい、滅失又はき損の防止

その他の個人データの安全管理のため、組織的、人的、物理的、及び技その他の個人データの安全管理のため、組織的、人的、物理的、及び技

術的安全管理措置等を講じなければならない。また、外国において個人

術的安全管理措置等を講じなければならない。その際、本人の個人デー

データを取り扱う場合には、外的環境の把握を行ったうえで、これらのタが漏えい、滅失又はき損等をした場合に本人が被る権利利益の侵害の安全管理措置を講じなければならない。その際、本人の個人データが漏大きさを考慮し、事業の性質及び個人データの取扱い状況等に起因する

30

えい、滅失又は毀損等をした場合に本人が被る権利利益の侵害の大きさ

リスクに応じ、必要かつ適切な措置を講ずるものとする。なお、その際を考慮し、事業の性質及び個人データの取扱い状況等に起因するリスクには、個人データを記録した媒体の性質に応じた安全管理措置を講ずる。

に応じ、必要かつ適切な措置を講ずるものとする。なお、その際には、個人データを記録した媒体の性質に応じた安全管理措置を講ずる。
① ・③ （略）② ・③ （略）（２）安全管理措置として考えられる事項（２）安全管理措置として考えられる事項

国保組合は、その取り扱う個人データの重要性に鑑み、個人データの漏国保組合は、その取り扱う個人データの重要性に鑑み、個人データの漏

えい、滅失又は毀損の防止その他の安全管理のため、その規模、従業者のえい、滅失又はき損の防止その他の安全管理のため、その規模、従業者の様態等を勘案して、以下に示すような取組を参考に、必要な措置を行うも様態等を勘案して、以下に示すような取組を参考に、必要な措置を行うも

のとする。

のとする。

また、同一国保組合が複数の事務所（支部）を有する場合、当該事務所

また、同一国保組合が複数の事務所（支部）を有する場合、当該事務所（支部）間の情報交換については第三者提供に該当しないが、各事務所（支（支部）間の情報交換については第三者提供に該当しないが、各事務所（支部）ごとに安全管理措置を講ずるなど、個人情報の利用目的を踏まえた個部）ごとに安全管理措置を講ずるなど、個人情報の利用目的を踏まえた個

人情報の安全管理を行う。

人情報の安全管理を行う。

①

①

（略）

（略）

②個人情報保護推進のための組織体制等の整備②個人情報保護推進のための組織体制等の整備

・従業者の責任体制の明確化を図り、具体的な取組を進めるため、国保組・従業者の責任体制の明確化を図り、具体的な取組を進めるため、国保組

合における個人情報保護に関し十分な知識を有する者を個人データの安合における個人情報保護に関し十分な知識を有する者を個人データの安全管理の実施及び運用に関する責任及び権限を有する個人情報取扱責任

全管理の実施及び運用に関する責任及び権限を有する個人情報取扱責任者（例えば、役員などの組織横断的に監督することのできる者）
、個人情

、個人情
者（例えば、役員などの組織横断的に監督することのできる者）

31

報管理担当者又は情報システム監査責任者等として定めたり、個人情報報管理担当者又は情報システム監査責任者等として定めたり、個人情報保護の推進を図るための部署、委員会等を設置したりする。

保護の推進を図るための部署、委員会等を設置する。

・国保組合で行っている個人データの安全管理措置について定期的に自己・国保組合で行っている個人データの安全管理措置について定期的に自己評価を行い、見直しや改善を行うべき事項について適切な改善を行う。

評価を行い、見直しや改善を行うべき事項について適切な改善を行う。

・個人情報保護対策及び最新の技術動向を踏まえた情報セキュリティ対策

・個人情報保護対策及び最新の技術動向を踏まえた情報セキュリティ対策に十分な知見を有する者による事業所内の対応の確認（外部の知見を有に十分な知見を有する者による事業所内の対応の確認（外部の知見を有する者を活用し確認させることを含む。
）を実施する。

する者を活用し確認させることを含む。
）を実施する。

③個人データの漏えい等の問題が発生した場合等における報告連絡体制の整備③個人データの漏えい等の問題が発生した場合等における報告連絡体制の整備

・１）個人データの漏えい等の事故が発生した場合、又は発生の可能性が・１）個人データの漏えい等の事故が発生した場合、又は発生の可能性が高いと判断した場合、２）個人データの取扱いに関する規程等に違反し高いと判断した場合、２）個人データの取扱いに関する規程等に違反している事実が生じた場合、又は兆候が高いと判断した場合における責任ている事実が生じた場合、又は兆候が高いと判断した場合における責任者等への報告連絡体制の整備を行う。

者等への報告連絡体制の整備を行う。

・個人データの漏えい等の情報は、苦情等の一環として、外部から報告さ・個人データの漏えい等の情報は、苦情等の一環として、外部から報告される場合も想定されることから、苦情への対応体制との連携も図る。
（Ⅲれる場合も想定されることから、苦情への対応体制との連携も図る。
（Ⅲ

１５．参照）

１３．参照）④～⑨ （略）④～⑨ （略）（３）業務を委託する場合の取扱い（３）業務を委託する場合の取扱い①委託先の監督①委託先の監督

国保組合は、レセプトの入力・点検業務、被保険者証の作成、人間ド

国保組合は、レセプトの入力・点検業務、被保険者証の作成、人間ドック等の健診、保健指導等個人データの取扱いの全部又は一部を委託す

ック等の健診、保健指導等個人データの取扱いの全部又は一部を委託す32

る場合、法第２３条に基づく安全管理措置を遵守させるよう受託者に対る場合、法第２０条に基づく安全管理措置を遵守させるよう受託者に対し、必要かつ適切な監督をしなければならない。

し、必要かつ適切な監督をしなければならない。

「必要かつ適切な監督」には、委託契約において委託者である事業者「必要かつ適切な監督」には、委託契約において委託者である事業者が定める安全管理措置の内容を契約に盛り込み受託者の義務とするほが定める安全管理措置の内容を契約に盛り込み受託者の義務とするほか、業務が適切に行われていることを定期的に確認することなども含ま

か、業務が適切に行われていることを定期的に確認することなども含ま

れる。

れる。

また、業務が再委託された場合で、再委託先が不適切な取扱いを行っ

また、業務が再委託された場合で、再委託先が不適切な取扱いを行ったことにより、問題が生じた場合は、国保組合や再委託した事業者が責たことにより、問題が生じた場合は、国保組合や再委託した事業者が責めを負うこともあり得る。

めを負うこともあり得る。

②業務を委託する場合の留意事項②業務を委託する場合の留意事項

国保組合等関係事業者は、個人データの取扱いの全部又は一部を委託

国保組合等関係事業者は、個人データの取扱いの全部又は一部を委託する場合、以下の事項に留意すべきである。

する場合、以下の事項に留意すべきである。

・個人情報を適切に取り扱っている事業者を委託先（受託者）として選・個人情報を適切に取り扱っている事業者を委託先（受託者）として選定すること。委託先の選定に当たっては、委託先の安全管理措置が、定すること。委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第２３条で求められているものと同様であることを確認

少なくとも法第２０条で求められているものと同様であることを確認するため、委託先の体制、規程等の確認に加え、必要に応じて個人デするため、委託先の体制、規程等の確認に加え、必要に応じて個人データを取り扱う場所に赴く又はこれに代わる合理的な方法による確認

ータを取り扱う場所に赴く又はこれに代わる合理的な方法による確認を行った上で、個人情報取扱責任者等が、適切に評価することが望まを行った上で、個人情報取扱責任者等が、適切に評価することが望ま

しい。

しい。

・契約において、委託している業務の内容、委託先事業者、個人情報の・契約において、委託している業務の内容、委託先事業者、個人情報の適切な取扱いに関する内容を盛り込み（委託期間中のほか、委託終了

適切な取扱いに関する内容を盛り込み（委託期間中のほか、委託終了

後の個人データの取扱いも含む。
）、契約内容を公表すること。

後の個人データの取扱いも含む。）、契約内容を公表すること。

・受託者が個人情報を適切に取り扱っていることを定期的に確認するこ
33

・受託者が個人情報を適切に取り扱っていることを定期的に確認するこ

と。

と。

・受託者における個人情報の取扱いに疑義が生じた場合（被保険者等か・受託者における個人情報の取扱いに疑義が生じた場合（被保険者等からの申出があり、確認の必要があると考えられる場合を含む。）には、らの申出があり、確認の必要があると考えられる場合を含む。）には、受託者に対し、説明を求め、必要に応じ改善を求める等適切な措置を受託者に対し、説明を求め、必要に応じ改善を求める等適切な措置を

とること。

とること。
・なお、個人情報保護の観点から、可能な限り、個人情報をマスキング・（削る）することにより、当該個人情報を匿名化した上で、委託するよう努めること。
・また、委託するに当たっては、本来必要とされる情報の範囲に限って・また、委託するに当たっては、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項につい提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないよう努めること。

てまで他の事業者に提供することがないよう努めること。
＊国保組合における業者委託に関する通知＊国保組合における業者委託に関する通知

上記の留意事項のほか、業者委託に関する通知を遵守する。

上記の留意事項のほか、業者委託に関する通知を遵守する。
・「個人情報保護の徹底について」（平成１４年１２月２５日保発第１２
２５００３号）

・「個人情報保護の徹底について」（平成１４年１２月２５日保発第１２
２５００３号）

・「保険者における個人情報保護の徹底について」（平成１５年３月１４

・「保険者における個人情報保護の徹底について」（平成１５年３月１４日保国発第０３１４００１号）の別添２「４．個人情報の処理に関す

日保国発第０３１４００１号）の別添２「４．個人情報の処理に関す

る外部委託に関する措置」

る外部委託に関する措置」③業務を再委託する場合の留意事項③業務を再委託する場合の留意事項

国保組合は、個人情報に関する処理の全部又は一部を再委託する場合、国保組合は、個人情報に関する処理の全部又は一部を再委託する場合、以下の事項に留意すべきである。

以下の事項に留意すべきである。

・個人情報を含む業務を再委託すること自体は禁じられてはいないが、・個人情報を含む業務を再委託すること自体は禁じられてはいないが、

34

国保組合との直接の契約関係を伴わない個人情報に関する処理の再委

国保組合との直接の契約関係を伴わない個人情報に関する処理の再委

託は行わないこと。（「保険者における個人情報保護の徹底について」託は行わないこと。（「保険者における個人情報保護の徹底について」（平成１５年３月１４日保国発第０３１４００１号）の別添２「４．

（平成１５年３月１４日保国発第０３１４００１号）の別添２「４．

個人情報の処理に関する外部委託に関する措置」）

個人情報の処理に関する外部委託に関する措置」）

・なお、個人情報を含む業務の再委託や個人情報に関する処理の再委託

・なお、個人情報を含む業務の再委託や個人情報に関する処理の再委託をする場合には、個人情報保護の観点から、本来必要とされる情報のをする場合には、個人情報保護の観点から、可能な限り、個人情報を範囲に限って提供すべきであり、情報提供する上で必要とされていな

マスキングすることにより、当該個人情報を匿名化した上で、委託先

い事項についてまで他の事業者に提供することがないよう努めるこから再委託先へ個人情報が提供されないよう努めること。

と。
この場合において、国保組合は第一次委託先と委託契約を締結するに

この場合において、国保組合は第一次委託先と委託契約を締結するに当たっては、第一次委託先が、上記通知の基準に掲げる事項を遵守する

当たっては、第一次委託先が、上記通知の基準に掲げる事項を遵守するよう委託契約上明記することはもちろんのこと、これに加え、再委託のよう委託契約上明記することはもちろんのこと、これに加え、再委託の可否及び再委託を行うに当たっての委託元への文書による事前報告又は可否及び再委託を行うに当たっての委託元への文書による事前報告又は承認を行うことや当該再委託契約上、再委託先に対して、同通知の基準

承認を行うことや当該再委託契約上、再委託先に対して、同通知の基準に掲げる事項を遵守することを明記するよう、第一次委託契約上明記すに掲げる事項を遵守することを明記するよう、第一次委託契約上明記す

ること。

ること。

なお、第一次委託先が再委託を行おうとする場合は、国保組合は委託

なお、第一次委託先が再委託を行おうとする場合は、国保組合は委託を行う場合と同様、再委託の相手方、再委託する業務内容及び再委託先を行う場合と同様、再委託の相手方、再委託する業務内容及び再委託先の個人データの取扱方法等について、第一次委託先に事前報告又は承認の個人データの取扱方法等について、第一次委託先に事前報告又は承認手続を求める、直接又は第一次委託先を通じて定期的に監査を実施する手続を求める、直接又は第一次委託先を通じて定期的に監査を実施する

等により、第一次委託先が再委託先に対して本条の第一次委託先の監督等により、第一次委託先が再委託先に対して本条の第一次委託先の監督を適切に果たすこと、再委託先が法第２３条に基づく安全管理措置を講を適切に果たすこと、再委託先が法第２０条に基づく安全管理措置を講ずることを十分に確認することが望ましい。

ずることを十分に確認することが望ましい。
35

（４）レセプトの紙以外の媒体による保存等又はそれらの外部委託を行う場（４）レセプトの紙以外の媒体による保存等又はそれらの外部委託を行う場

合の取扱い

合の取扱い

国保組合において、レセプトの紙以外の媒体による保存又はレセプトの国保組合において、レセプトの紙以外の媒体による保存又はレセプトの電算処理及びそれらの外部委託を行う場合には、国保組合において、その電算処理及びそれらの外部委託を行う場合には、国保組合において、その運営及び委託等の取扱いについて安全性が確保されるよう規程を定め、実運営及び委託等の取扱いについて安全性が確保されるよう規程を定め、実施するものとする。

施するものとする。

（削る）（５）個人情報の漏えい等の問題が発生した場合における二次被害の防止等
個人情報の漏えい等の問題が発生した場合には、二次被害の防止、類似事案の発生回避等の観点から、個人情報の保護に配慮しつつ、可能な限り事実関係を公表するとともに、所管の地方厚生局に速やかに報告する。
また、個人データの漏えい等の問題が発生した場合には、「個人データの漏えい等の事案が発生した場合等の対応について」（平成２９年個人情報保護委員会告示第１号）に基づき、①事業者内部における報告及び被害の拡大防止、②事実関係の調査及び原因の究明、③影響範囲の特定、④再発防止策の検討及び実施、⑤影響を受ける可能性のある本人への連絡等、⑥事
実関係及び再発防止策等の公表の必要な措置を講ずることが望ましい。また、漏えい等事案が発覚した場合には、その事実関係及び再発防止策等について、個人情報保護委員会に対し、速やかに報告するよう努めるものとする。
ただし、法第４７条第１項に規定する認定個人情報保護団体の対象事業者である国保組合は、所属の認定個人情報保護団体に速やかに報告するよう努めるものとする。
36

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

・国保組合は、その取り扱う個人データの漏えい、滅失又は毀損の防止そ・国保組合は、その取り扱う個人データの漏えい、滅失又はき損の防止その他個人データの安全管理のために必要かつ適切な措置を講じなければの他個人データの安全管理のために必要かつ適切な措置を講じなければ

ならない。

ならない。

・国保組合は、その従業者に個人データを取り扱わせるに当たっては、当・国保組合は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

適切な監督を行わなければならない。

・国保組合は、個人データの取扱いの全部又は一部を委託する場合は、そ・国保組合は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受の取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

けた者に対する必要かつ適切な監督を行わなければならない。

【その他の事項】【その他の事項】（略）（略）

６．漏えい等の報告等（法第２６条）（新設）（漏えい等の報告等）（新設）

法第二十六条

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会
規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなけれ37

ばならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。
２

前項に規定する場合には、個人情報取扱事業者（同項ただし書の規定による通知をした者を除く。）は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでな
い。

規則第七条

法第二十六条第一項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。
一

要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第一項において同じ。
）の漏えい、滅失若しくは毀損（以下この条及び次条において「漏えい等」という。）が発生し、又は発生したおそれがある事態
二

不正に利用されることにより財産的被害が生じるおそれがある個

人データの漏えい等が発生し、又は発生したおそれがある事態
三

不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
38

四

個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態
規則第八条 個人情報取扱事業者は、法第二十六条第一項本文の規定による報告をする場合には、前条各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。次条において同じ。）を報告しなければならな
い。
一

概要

二

漏えい等が発生し、又は発生したおそれがある個人データの項目

三

漏えい等が発生し、又は発生したおそれがある個人データに係る本

人の数
四

原因

五

二次被害又はそのおそれの有無及びその内容

六

本人への対応の実施状況

七

公表の実施状況

八

再発防止のための措置

九

その他参考となる事項

２

前項の場合において、個人情報取扱事業者は、当該事態を知った日から三十日以内（当該事態が前条第三号に定めるものである場合にあっては、六十日以内）に、当該事態に関する前項各号に定める事項を報告しなければならない。

３

法第二十六条第一項本文の規定による報告は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める方法により行うものとする。
一

個人情報保護委員会に報告する場合 電子情報処理組織（個人情報39

保護委員会の使用に係る電子計算機と報告をする者の使用に係る電子計算機とを電気通信回線で接続した電子情報処理組織をいう。以下
この項において同じ。
）を使用する方法（電気通信回線の故障、災害
その他の理由により電子情報処理組織を使用することが困難であると認められる場合にあっては、別記様式第一による報告書を提出する
方法）
二

法第百四十七条第一項の規定により、法第二十六条第一項の規定による権限の委任を受けた事業所管大臣に報告する場合

別記様式第一による報告書を提出する方法（当該事業所管大臣が別に定める場合にあっては、その方法）
規則第九条 個人情報取扱事業者は、法第二十六条第一項ただし書の規定による通知をする場合には、第七条各号に定める事態を知った後、速やかに、前条第一項各号に定める事項を通知しなければならない。
規則第十条 個人情報取扱事業者は、法第二十六条第二項本文の規定による通知をする場合には、第七条各号に定める事態を知った後、当該事態の状況に応じて速やかに、当該本人の権利利益を保護するために必要な範囲において、第八条第一項第一号、第二号、第四号、第五号及び第九号に定める事項を通知しなければならない。
個人データの「漏えい」とは、個人データが外部に流出すること、「滅失」とは個人データの内容が失われること、「毀損」とは個人データの内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となることをいう。
個人データの漏えい等やそのおそれのある事案（以下「漏えい等事案」と40

いう。
）が発覚した場合は、規則で定めるところにより、個人情報保護委員会への報告等を行わなければならない。
【法の規定により遵守すべき事項等】
・国保組合等において、漏えい等事案が発覚した場合には、当該事案の内容等に応じて、次の①～⑤に掲げる事項について必要な措置を講じなければならない。
① 国保組合内部における報告及び被害の拡大防止② 事実関係の調査及び原因の究明③ 影響範囲の特定④ 再発防止策の検討及び実施⑤ 個人情報保護委員会への報告及び本人への通知
７．個人データの第三者提供（法第２７条）

５．個人データの第三者提供（法第２３条）（第三者提供の制限）（第三者提供の制限）

法第二十七条 （略）法第二十三条 （略）一～四 （略）

一～四 （略）五（新設）

当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除
く。
）
。
六

当該個人情報取扱事業者が学術研究機関等である場合であって、当（新設）

該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報41

取扱事業者と当該第三者が共同して学術研究を行う場合に限る。）。
七

当該第三者が学術研究機関等である場合であって、当該第三者が当（新設）

該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
２

個人情報取扱事業者は、第三者に提供される個人データについて、本２

個人情報取扱事業者は、第三者に提供される個人データ（要配慮個人

人の求めに応じて当該本人が識別される個人データの第三者への提供

情報を除く。以下この項において同じ。）について、本人の求めに応じを停止することとしている場合であって、次に掲げる事項について、個て当該本人が識別される個人データの第三者への提供を停止すること

人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知としている場合であって、次に掲げる事項について、個人情報保護委員

し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が会に届け出たときは、前項の規定にかかわらず、当該個人データを第三容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たと者に提供することができる。ただし、第三者に提供される個人データがきは、前項の規定にかかわらず、当該個人データを第三者に提供するこ

要配慮個人情報又は第二十条第一項の規定に違反して取得されたものとができる。

若しくは他の個人情報取扱事業者からこの項本文の規定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む。）である場合は、この限りでない。
一

第三者への提供を行う個人情報取扱事業者の氏名又は名称及び住（新設）所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。以下この条、第三十条第一項第一号及び第三十二条第一項第一号において同じ。
）の氏名
二 第三者への提供を利用目的とすること。

一

三 第三者に提供される個人データの項目

二 第三者に提供される個人データの項目

四 第三者に提供される個人データの取得の方法

（新設）
42

第三者への提供を利用目的とすること。

五 第三者への提供の方法

三

第三者への提供の方法

六

四

本人の求めに応じて当該本人が識別される個人データの第三者へ本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。

の提供を停止すること。

七 本人の求めを受け付ける方法

五

八

（新設）

その他個人の権利利益を保護するために必要なものとして個人情

本人の求めを受け付ける方法

報保護委員会規則で定める事項
３

個人情報取扱事業者は、前項第一号に掲げる事項に変更があったとき

３

個人情報取扱事業者は、前項第二号、第三号又は第五号に掲げる事項

又は同項の規定による個人データの提供をやめたときは遅滞なく、同項を変更する場合は、変更する内容について、個人情報保護委員会規則で第三号から第五号まで、第七号又は第八号に掲げる事項を変更しようと定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知するときはあらかじめ、その旨について、個人情報保護委員会規則で定り得る状態に置くとともに、個人情報保護委員会に届け出なければならめるところにより、本人に通知し、又は本人が容易に知り得る状態に置ない。

くとともに、個人情報保護委員会に届け出なければならない。
４

（略）

４ （略）

５

（略）

５ （略）

６

一・二（略）

一・二 （略）三三

特定の者との間で共同して利用される個人データが当該特定の者

特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人デに提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びータの項目、共同して利用する者の範囲、利用する者の利用目的及びに当該個人データの管理について責任を有する者の氏名又は名称及当該個人データの管理について責任を有する者の氏名又は名称につび住所並びに法人にあっては、その代表者の氏名について、あらかじ

いて、あらかじめ、本人に通知し、又は本人が容易に知り得る状態にめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

置いているとき。

個人情報取扱事業者は、前項第三号に規定する個人データの管理につ

６

個人情報取扱事業者は、前項第三号に規定する利用する者の利用目的

いて責任を有する者の氏名、名称若しくは住所又は法人にあっては、そ又は個人データの管理について責任を有する者の氏名若しくは名称をの代表者の氏名に変更があったときは遅滞なく、同号に規定する利用す変更する場合は、変更する内容について、あらかじめ、本人に通知し、43

る者の利用目的又は当該責任を有する者を変更しようとするときはあ又は本人が容易に知り得る状態に置かなければならない。

らかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
規則第十一条

法第二十七条第二項又は第三項の規定による通知又は容（新設）

易に知り得る状態に置く措置は、次に掲げるところにより、行うものとする。
一

第三者に提供される個人データによって識別される本人（次号において「本人」という。
）が当該提供の停止を求めるのに必要な期間をおくこと。
二

本人が法第二十七条第二項各号に掲げる事項を確実に認識できる

適切かつ合理的な方法によること。
２

法第二十七条第二項又は第三項の規定による届出は、次に掲げる方法のいずれかにより行わなければならない。
一

電子情報処理組織（個人情報保護委員会の使用に係る電子計算機と届出を行う者の使用に係る電子計算機とを電気通信回線で接続した
電子情報処理組織をいう。
）を使用する方法
二

別記様式第二（法第二十七条第三項の規定による個人データの提供をやめた旨の届出を行う場合にあっては、別記様式三）による届出書及び当該届出書に記載すべき事項を記録した光ディスク（これに準ずる方法により一定の事項を確実に記録しておくことができる物を含む。以下この条において「光ディスク等」という。
）を提出する方法
３

個人情報取扱事業者が、代理人によって法第二十七条第二項又は第三項の規定による届出を行う場合には、別記様式第四によるその権限を証44

する書面（電磁的記録を含む。第十七条第一項、第十八条第二項、第三十条、第四十七条第一項、第四十八条第二項、第五十四条第二項、第六項及び第七項、第六十条並びに第六十六条第二項を除き、以下同じ。）
を個人情報保護委員会に提出しなければならない。
４

法第二十七条第二項第八号の個人情報保護委員会規則で定める事項
は、次に掲げる事項とする。
一

第三者に提供される個人データの更新の方法

二

当該届出に係る個人データの第三者への提供を開始する予定日

規則第十三条 法第二十七条第四項の規定による公表は、同条第二項又は（新設）

第三項の規定による届出があった後、遅滞なく、インターネットの利用
その他の適切な方法により行うものとする。
規則第十四条 個人情報取扱事業者は、法第二十七条第四項の規定による（新設）公表がされた後、速やかに、インターネットの利用その他の適切な方法により、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項を公表するものとする。
一

法第二十七条第二項の規定による届出を行った場合

同項各号に

掲げる事項
二

法第二十七条第三項の規定による変更の届出を行った場合

変更後の同条第二項各号に掲げる事項
三

法第二十七条第三項の規定による個人データの提供をやめた旨の届出を行った場合 その旨
（１）
（略）

（１）
（略）

45

（２）第三者提供の例外（２）第三者提供の例外

ただし、次に掲げる場合については、本人の同意を得る必要はない。

ただし、次に掲げる場合については、本人の同意を得る必要はない。

①法令に基づく場合①法令に基づく場合

国民健康保険法第１０６条に基づく報告の徴収等、その他法令に基国民健康保険法第１０６条に基づく報告の徴収等、法令に基づいてづいて個人情報を利用する場合（Ⅲ１．
（２）①参照）

個人情報を利用する場合（Ⅲ１．（２）①参照）

② （略）

②

③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（略）
場合であって、本人の同意を得ることが困難であるとき

（例）

（例）

・疫学上の調査・研究のために、健康診査やがん検診等から得られた情・疫学上の調査・研究のために、健康診査やガン検診等から得られた情報を個人名を伏せて研究者に提供する場合

報を個人名を伏せて研究者に提供する場合

・医療安全の向上のため、国保組合にレセプトを提出する医療機関で発・医療安全の向上のため、国保組合にレセプトを提出する医療機関で発生した医療事故等に関する国、地方公共団体又は第三者機関等への情生した医療事故等に関する国、地方公共団体又は第三者機関等への情報提供のうち、氏名等の情報が特に必要な場合

報提供のうち、氏名等の情報が特に必要な場合

④

（略）

④

⑤個人情報取扱事業者が学術研究機関等である場合であって、当該個人

（略）

（新設）

データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。
）⑥個人情報取扱事業者が学術研究機関等である場合であって、当該個人（新設）

データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。
⑦第三者が学術研究機関等である場合であって、当該第三者が当該個人
46

（新設）

データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（例）
・学術研究機関等が、国保組合等の保有する個人データを学術研究目的で取り扱う必要がある場合（３） 本人の同意が得られていると考えられる場合（３） 本人の同意が得られていると考えられる場合

（略）

（略）

（４）
「第三者」に該当しない場合（４）「第三者」に該当しない場合①他の事業者等への情報提供であるが、「第三者」に該当しない場合①他の事業者等への情報提供であるが、「第三者」に該当しない場合

法第２７条第５項各号に掲げる場合（委託・事業承継・共同利用）の法第２３条第５項各号に掲げる場合（委託・事業承継・共同利用）の

当該個人データの提供を受ける者については、第三者に該当せず、本人

当該個人データの提供を受ける者については、第三者に該当せず、本人の同意を得ずに情報の提供を行うことができる。

の同意を得ずに情報の提供を行うことができる。

※個人データの共同での利用における留意事項※個人データの共同での利用における留意事項

あらかじめ個人データを特定の者との間で共同して利用することが予

あらかじめ個人データを特定の者との間で共同して利用することが予（イ）
定されている場合、 （ア）共同して利用される個人データの項目、（イ）
定されている場合、 （ア）共同して利用される個人データの項目、

共同利用者の範囲（個別列挙されているか、本人から見てその範囲が明共同利用者の範囲（個別列挙されているか、本人から見てその範囲が明確となるように特定されている必要がある）、（ウ）利用する者の利用目確となるように特定されている必要がある）、（ウ）利用する者の利用目的、（エ）当該個人データの管理について責任を有する者の氏名又は名称

的、（エ）当該個人データの管理について責任を有する者の氏名又は名称、及び住所並びに法人にあっては、その代表者の氏名をあらかじめ本人にをあらかじめ本人に通知し、又は本人が容易に知り得る状態においてお通知し、又は本人が容易に知り得る状態においておくとともに、共同しくとともに、共同して利用することを明らかにしている場合には、当該て利用することを明らかにしている場合には、当該共同利用者は第三者

共同利用者は第三者に該当しない。

に該当しない。
47

この場合、（ア）、（イ）については変更することができず、
（ウ）、
（エ）

この場合、
（ア）、
（イ）については変更することができず、
（ウ）、
（エ）

については、本人が想定することが困難でない範囲内で変更することがについては、本人が想定することが困難でない範囲内で変更することができ、変更前、本人に通知又は本人の容易に知り得る状態におかなけれでき、変更前、本人に通知又は本人の容易に知り得る状態におかなければならない。

ばならない。
なお、共同利用でない場合は、国保組合と労働安全衛生法に規定する（削る）

事業者は、異なる主体となるため、それらが健診結果を共有するに当たっては、被保険者の同意を要することとなる。
②同一事業者内における情報提供であり、第三者に該当しない場合②同一事業者内における情報提供であり、第三者に該当しない場合
同一事業者内で情報提供する場合は、当該個人データを第三者に提供し同一事業者内で情報提供する場合は、当該個人データを第三者に提供したことにはならないので、本人の同意を得ずに情報の提供を行うことがでたことにはならないので、本人の同意を得ずに情報の提供を行うことができる。国保組合における具体的事例は以下のとおりである。

きる。国保組合における具体的事例は以下のとおりである。

・国保組合内の他の部署との連携など当該国保組合内部における情報の交・国保組合内の他の部署との連携など当該国保組合内部における情報の交

換

換

・国保組合内の複数の事務所（支部）との間における情報の交換及び事務所（支部）間における情報の交換

・国保組合内の複数の事務所（支部）との間における情報の交換及び事務所（支部）間における情報の交換

・国保組合の職員を対象とした研修での利用（特定し、公表した利用目的

・国保組合の職員を対象とした研修での利用（特定し、公表した利用目的との関係で、目的外利用として所要の措置を行う必要があり得る）との関係で、目的外利用として所要の措置を行う必要があり得る）

・国保組合内で事業分析を行うための情報の交換

・国保組合内で事業分析を行うための情報の交換

このうち、国保組合内部の研修でレセプトや健診記録等を利用する場合

このうち、国保組合内部の研修でレセプトや健診記録等を利用する場合には、具体的な利用方法を含め、あらためて本人の同意を得るか、個人がには、具体的な利用方法を含め、あらためて本人の同意を得るか、個人が特定されないよう匿名加工情報又は仮名加工情報に加工する。

特定されないよう匿名化する。
48

（５）その他留意事項（５）その他留意事項

・他の事業者への情報提供に関する留意事項

・他の事業者への情報提供に関する留意事項

第三者提供を行う場合のほか、他の事業者への情報提供であっても、第三者提供を行う場合のほか、他の事業者への情報提供であっても、①法令に基づく場合など第三者提供の例外に該当する場合、②「第三者」①法令に基づく場合など第三者提供の例外に該当する場合、②「第三者」に該当しない場合、③個人が特定されないように匿名加工情報に加工しに該当しない場合、③個人が特定されないように匿名化して情報提供すて情報提供する場合などにおいては、本来必要とされる情報の範囲に限る場合などにおいては、本来必要とされる情報の範囲に限って提供すべって提供すべきであり、情報提供する上で必要とされていない事項につきであり、情報提供する上で必要とされていない事項についてまで他のいてまで他の事業者に提供することがないようにすべきである。

事業者に提供することがないようにすべきである。

また、被保険者と医師等双方の二面性を持っている個人情報を第三者

また、被保険者と医師等双方の二面性を持っている個人情報を第三者提供するに当たっては、双方の同意が必要となるが、一方の同意のみで提供するに当たっては、双方の同意が必要となるが、一方の同意のみで第三者提供する場合は、他方の個人情報に係る部分をマスキングした上第三者提供する場合は、他方の個人情報に係る部分をマスキングした上で行うこと。

で行うこと。

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

（略）

（略）

【その他の事項】【その他の事項】

（略）

（略）

49

８．外国にある第三者への提供の制限（法第２８条）

６．外国にある第三者への提供の制限（法第２４条）

詳細は、別途定める「個人情報の保護に関する法律についてのガイドラ

詳細は、別途定める「個人情報の保護に関する法律についてのガイドラ

イン（外国にある第三者への提供編）」（平成２８年個人情報保護委員会告イン（外国にある第三者への提供編）」（平成２８年個人情報保護委員会告示第７号）を参照のこと。

示第７号）を参照のこと。

（参考）

（参考）

（外国にある第三者への提供の制限）（外国にある第三者への提供の制限）

法第二十八条 個人情報取扱事業者は、外国（本邦の域外にある国又は地

法第二十四条 個人情報取扱事業者は、外国（本邦の域外にある国又は地域をいう。以下この条及び第三十一条第一項第二号において同じ。
）（個域をいう。以下同じ。
）（個人の権利利益を保護する上で我が国と同等の人の権利利益を保護する上で我が国と同等の水準にあると認められる水準にあると認められる個人情報の保護に関する制度を有している外個人情報の保護に関する制度を有している外国として個人情報保護委

国として個人情報保護委員会規則で定めるものを除く。以下この条にお員会規則で定めるものを除く。以下この条及び同号において同じ。
）に

いて同じ。
）にある第三者（個人データの取扱いについてこの節の規定ある第三者（個人データの取扱いについてこの節の規定により個人情報

により個人情報取扱事業者が講ずべきこととされている措置に相当す

取扱事業者が講ずべきこととされている措置に相当する措置（第三項にる措置を継続的に講ずるために必要なものとして個人情報保護委員会

おいて「相当措置」という。）を継続的に講ずるために必要なものとし規則で定める基準に適合する体制を整備している者を除く。以下この条て個人情報保護委員会規則で定める基準に適合する体制を整備していにおいて同じ。）に個人データを提供する場合には、前条第一項各号にる者を除く。以下この項及び次項並びに同号において同じ。）に個人デ掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める

ータを提供する場合には、前条第一項各号に掲げる場合を除くほか、あ旨の本人の同意を得なければならない。この場合においては、同条の規

らかじめ外国にある第三者への提供を認める旨の本人の同意を得なけ

定は、適用しない。

ればならない。この場合においては、同条の規定は、適用しない。
２

個人情報取扱事業者は、前項の規定により本人の同意を得ようとする（新設）

場合には、個人情報保護委員会規則で定めるところにより、あらかじめ、
当該外国における個人情報の保護に関する制度、当該第三者が講ずる個
人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。
50

３

個人情報取扱事業者は、個人データを外国にある第三者（第一項に規（新設）定する体制を整備している者に限る。
）に提供した場合には、個人情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。
規則第十五条

法第二十八条第一項の規定による個人情報の保護に関す（新設）

る制度を有している外国として個人情報保護委員会規則で定めるもの
は、次の各号のいずれにも該当する外国として個人情報保護委員会が定めるものとする。
一法における個人情報取扱事業者に関する規定に相当する法令その他の定めがあり、その履行が当該外国内において確保されていると認めるに足りる状況にあること
二

個人情報保護委員会に相当する独立した外国執行当局が存在しており、かつ、当該外国執行当局において必要かつ適切な監督を行うための体制が確保されていること
三

我が国との間において、個人情報の適正かつ効果的な活用と個人の権利利益の保護に関する相互理解に基づく連携及び協力が可能であると認められるものであること
四

個人情報の保護のために必要な範囲を超えて国際的な個人データの移転を制限することなく、かつ、我が国との間において、個人情報の保護を図りつつ、相互に円滑な個人データの移転を図ることが可能であると認められるものであること
51

五

前四号に定めるもののほか、当該外国を法第二十八条第一項の規定による外国として定めることが、我が国における新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資すると認められるものであること
２

個人情報保護委員会は、前項の規定による外国を定める場合において、我が国における個人の権利利益を保護するために必要があると認めるときは、当該外国にある第三者への提供を認める旨の本人の同意を得ることなく提供できる個人データの範囲を制限することその他の必要な条件を付することができる。

３

個人情報保護委員会は、第一項の規定による外国を定めた場合において、当該外国が第一項各号に該当していること又は当該外国について前項の規定により付された条件が満たされていることを確認するため必要があると認めるときは、当該外国における個人情報の保護に関する制度又は当該条件に係る対応の状況に関し必要な調査を行うものとする。

４

個人情報保護委員会は、第一項の規定による外国を定めた場合において、前項の調査の結果その他の状況を踏まえ、当該外国が第一項各号に該当しなくなったと認めるとき又は当該外国について第二項の規定により付された条件が満たされなくなったと認めるときは、第一項の規定による定めを取り消すものとする。

規則第十六条

法第二十八条第一項の個人情報保護委員会規則で定める

規則第十一条 法第二十四条の個人情報保護委員会規則で定める基準は、

基準は、次の各号のいずれかに該当することとする。

次の各号のいずれかに該当することとする。

一

一

個人情報取扱事業者と個人データの提供を受ける者との間で、当該個人情報取扱事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第四章第二節の規定の趣旨に沿った措置の実

合理的な方法により、法第四章第一節の規定の趣旨に沿った措置の実
52

施が確保されていること。
二施が確保されていること。

個人データの提供を受ける者が、個人情報の取扱いに係る国際的な二枠組みに基づく認定を受けていること。
規則第十七条

個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。

法第二十八条第二項又は法第三十一条第一項第二号の規（新設）定により情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。
２

法第二十八条第二項又は法第三十一条第一項第二号の規定による情報の提供は、次に掲げる事項について行うものとする。
一

当該外国の名称二

適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報
三３

当該第三者が講ずる個人情報の保護のための措置に関する情報
前項の規定にかかわらず、個人情報取扱事業者は、法第二十八条第一項の規定により本人の同意を得ようとする時点において、前項第一号に定める事項が特定できない場合には、同号及び同項第二号に定める事項に代えて、次に掲げる事項について情報提供しなければならない。
一

前項第一号に定める事項が特定できない旨及びその理由二

前項第一号に定める事項に代わる本人に参考となるべき情報がある場合には、当該情報
４第二項の規定にかかわらず、個人情報取扱事業者は、法第二十八条第一項の規定により本人の同意を得ようとする時点において、第二項第三号に定める事項について情報提供できない場合には、同号に定める事項に代えて、その旨及びその理由について情報提供しなければならない。

規則第十八条 法第二十八条第三項（法第三十一条第二項において読み替

（新設）
53

えて準用する場合を含む。
）の規定による外国にある第三者による相当措置の継続的な実施を確保するために必要な措置は、次に掲げる措置とする。
一

当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、
適切かつ合理的な方法により、定期的に確認すること。
二

当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データ（第三十一条第二項において読み替
えて準用する場合にあっては、個人関連情報）の当該第三者への提供を停止すること。
２

法第二十八条第三項の規定により情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。

３

個人情報取扱事業者は、法第二十八条第三項の規定による求めを受けたときは、本人に対し、遅滞なく、次に掲げる事項について情報提供しなければならない。ただし、情報提供することにより当該個人情報取扱
事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、その全部又は一部を提供しないことができる。
一

当該第三者による法第二十八条第一項に規定する体制の整備の方

法二

当該第三者が実施する相当措置の概要

三第一項第一号の規定による確認の頻度及び方法

四

当該外国の名称五

当該第三者による相当措置の実施に影響を及ぼすおそれのある当54

該外国の制度の有無及びその概要
六

当該第三者による相当措置の実施に関する支障の有無及びその概

要
七

前号の支障に関して第一項第二号の規定により当該個人情報取扱事業者が講ずる措置の概要
４

個人情報取扱事業者は、法第二十八条第三項の規定による求めに係る情報の全部又は一部について提供しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

５

個人情報取扱事業者は、前項の規定により、本人から求められた情報の全部又は一部について提供しない旨を通知する場合には、本人に対し、その理由を説明するよう努めなければならない。

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

・国保組合が、法第２８条の規定に基づき、外国にある第三者に個人デー

・国保組合が、法第２４条の規定に基づき、外国にある第三者に個人デー

タを提供する場合には、法第２７条第１項各号（※）に定める場合を除タを提供する場合には、法第２３条第１項各号（※）に定める場合を除き、外国にある第三者へ提供することについて本人の同意を得なければき、外国にある第三者へ提供することについて本人の同意を得なければ

ならない。

ならない。

・ただし、次の①又は②のいずれかに該当する場合は、国内と同様に法第・ただし、次の①又は②のいずれかに該当する場合は、国内と同様に法第２７条第１項柱書の規定に基づく本人同意による第三者提供、又は同条

２３条第１項柱書の規定に基づく本人同意による第三者提供、又は同条第５項に基づく委託、共同利用による提供が可能である。

第５項に基づく委託、共同利用による提供が可能である。

①外国にある第三者が日本と同等の水準にあると認められる個人情報①外国にある第三者が日本と同等の水準にあると認められる個人情報保護制度を有している国として個人情報の保護に関する法律施行規保護制度を有している国として個人情報の保護に関する法律施行規則（平成２８年個人情報保護委員会規則第３号。以下「規則」とい則（平成２８年個人情報保護委員会規則第３号。以下「規則」という。
）で定める国にある場合う。）で定める国にある場合
55

②外国にある第三者が、個人情報取扱事業者が講ずべき措置に相当す②外国にある第三者が、個人情報取扱事業者が講ずべき措置に相当す

る措置を継続的に講ずるために必要な体制として規則で定める基準る措置を継続的に講ずるために必要な体制として規則で定める基準に適合する体制を整備している場合に適合する体制を整備している場合（※）法第２７条第１項各号（※）法第２３条第１項各号

・法令に基づいて個人データを提供する場合（第１号関係）・法令に基づいて個人データを提供する場合（第１号関係）

・人（法人を含む。
）の生命、身体又は財産といった具体的な権利・人（法人を含む。）の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個人デ利益が侵害されるおそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得ることが困難

ータの提供が必要であり、かつ、本人の同意を得ることが困難である場合（第２号関係）である場合（第２号関係）

・公衆衛生の向上又は心身の発展途上にある児童の健全な育成の・公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることがために特に必要な場合であり、かつ、本人の同意を得ることが困難である場合（第３号関係）困難である場合（第３号関係）・国の機関等が法令の定める事務を実施する上で、民間企業等の・国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であって、協力する民間企業等が当協力を得る必要がある場合であって、協力する民間企業等が当該国の機関等に個人データを提供することについて、本人の同該国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場

意を得ることが当該事務の遂行に支障を及ぼすおそれがある場

合（第４号関係）

合（第４号関係）

・個人情報取扱事業者が学術研究機関等である場合であって、当（新設）

該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。
）（第５号関係）・個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき（当該
56

（新設）

個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。
）（第６号関係）・第三者が学術研究機関等である場合であって、当該第三者が当（新設）

該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）（第７号関係）
９．第三者提供に係る記録の作成等（法第２９条）

７．第三者提供に係る記録の作成等（法第２９条）

詳細は、別途定める「個人情報の保護に関する法律についてのガイドライ

詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」（平成２８年個人情報保護委員会告ン（第三者提供時の確認・記録義務編）」（平成２８年個人情報保護委員会告示第８号）を参照のこと。

示第８号）を参照のこと。

（第三者提供に係る記録の作成等）（第三者提供に係る記録の作成等）

法第二十九条 個人情報取扱事業者は、個人データを第三者（第十六条第法第二十五条 個人情報取扱事業者は、個人データを第三者（第二条第五二項各号に掲げる者を除く。（略）に提供したときは個人情報保護委員項各号に掲げる者を除く。略）に提供したときは（略）記録を作成しな

会規則で定めるところにより、当該個人データを提供した年月日、当該ければならない。ただし、当該個人データの提供が第二十三条第一項各第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項

号又は第五項各号のいずれか（略）に該当する場合は、この限りでない。

に関する記録を作成しなければならない。ただし、当該個人データの提供が第二十七条第一項各号又は第五項各号のいずれか（略）に該当する
場合は、この限りでない。
２

個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個

２

人情報保護委員会規則で定める期間保存しなければならない。

個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個
人情報保護委員会規則で定める期間保存しなければならない。

57

（第三者提供に係る記録の作成）（第三者提供に係る記録の作成）

規則第十九条

規則第十二条

法第二十九条第一項の規定による同項の記録を作成する

法第二十五条第一項の規定による同項の記録を作成する

方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法

方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法

とする。

とする。

２

法第二十九条第一項の記録は、個人データを第三者（略）に提供した

２

法第二十五条第一項の記録は、個人データを第三者（略）に提供した

都度、速やかに作成しなければならない。ただし、当該第三者に対し個都度、速やかに作成しなければならない。ただし、当該第三者に対し個人データを継続的に若しくは反復して提供（略）したとき、又は当該第人データを継続的に若しくは反復して提供（略）したとき、又は当該第三者に対し個人データを継続的に若しくは反復して提供することが確三者に対し個人データを継続的に若しくは反復して提供することが確実であると見込まれるときの記録は、一括して作成することができる。

実であると見込まれるときの記録は、一括して作成することができる。

３

前項の規定にかかわらず、法第二十七条第一項又は法第二十八条第一３

前項の規定にかかわらず、法第二十三条第一項又は法第二十四条の規項の規定により、本人に対する物品又は役務の提供に関連して当該本人定により、本人に対する物品又は役務の提供に関連して当該本人に係るに係る個人データを第三者に提供した場合において、当該提供に関して

個人データを第三者に提供した場合において、当該提供に関して作成さ作成された契約書その他の書面に次条第一項各号に定める事項が記載れた契約書その他の書面に次条第一項各号に定める事項が記載されてされているときは、当該書面をもって法第二十九条第一項の当該事項にいるときは、当該書面をもって法第二十五条第一項の当該事項に関する関する記録に代えることができる。

記録に代えることができる。

（第三者提供に係る記録事項）（第三者提供に係る記録事項）

規則第二十条

規則第十三条

法第二十九条第一項の個人情報保護委員会規則で定める

法第二十五条第一項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定め事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。

る事項とする。

一一

法第二十七条第二項の規定により個人データを第三者に提供した法第二十三条第二項の規定により個人データを第三者に提供した

場合 次のイからニまでに掲げる事項

場合 次のイからニまでに掲げる事項

イ

（略）

イ

（略）

ロ

当該第三者の氏名又は名称及び住所並びに法人にあっては、そのロ

当該第三者の氏名又は名称その他の当該第三者を特定するに足58

代表者（法人でない団体で代表者又は管理人の定めのあるものにありる事項（不特定かつ多数の者に対して提供したときは、その旨）っては、その代表者又は管理人。第二十八条第一項第三号において同じ。
）の氏名（不特定かつ多数の者に対して提供したときは、その旨）
ハ・ニ （略）二ハ・ニ （略）法第二十七条第一項又は法第二十八条の規定により個人データを二

法第二十三条第一項又は法第二十四条の規定により個人データを第三者に提供した場合 次のイ及びロに掲げる事項

第三者に提供した場合 次のイ及びロに掲げる事項

イ

イ

法第二十七条第一項又は法第二十八条の本人の同意を得ている
旨法第二十三条第一項又は法第二十四条の本人の同意を得ている

ロ
２

旨
（略）

ロ

前項各号に定める事項のうち、既に前条に規定する方法により作成し２（略）

前項各号に定める事項のうち、既に前条に規定する方法により作成した法第二十九条第一項の記録（当該記録を保存している場合におけるもた法第２５条第１項の記録（当該記録を保存している場合におけるもののに限る。
）に記録されている事項と内容が同一であるものについては、に限る。）に記録されている事項と内容が同一であるものについては、

法第二十九条第一項の当該事項の記録を省略することができる。

法第２５条第１項の当該事項の記録を省略することができる。

（第三者提供に係る記録の保存期間）（第三者提供に係る記録の保存期間）

規則第二十一条

規則第十四条

法第二十九条第二項の個人情報保護委員会規則で定め

法第二十五条第二項の個人情報保護委員会規則で定めるる期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定定める期間とする。

める期間とする。

一

第十九条第三項に規定する方法により記録を作成した場合

最後

一第十二条第三項に規定する方法により記録を作成した場合最後に当該記録に係る個人データの提供を行った日から起算して一年をに当該記録に係る個人データの提供を行った日から起算して一年を経過する日までの間経過する日までの間

二合第十九条第二項ただし書に規定する方法により記録を作成した場

二

最後に当該記録に係る個人データの提供を行った日から起算し合て三年を経過する日までの間

第十二条第二項ただし書に規定する方法により記録を作成した場
最後に当該記録に係る個人データの提供を行った日から起算して三年を経過する日までの間
59

三

（略）

三

（略）

詳細は、別途定める「個人情報の保護に関する法律についてのガイドライ

詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」（平成２８年個人情報保護委員会告ン（第三者提供時の確認・記録義務編）」（平成２８年個人情報保護委員会告示第８号）を参照のこと。

示第８号）を参照のこと。

（第三者提供に係る記録の作成等）（第三者提供に係る記録の作成等）

法第二十九条 個人情報取扱事業者は、個人データを第三者（第十六条第法第二十五条 個人情報取扱事業者は、個人データを第三者（第二条第五二項各号に掲げる者を除く。（略）に提供したときは個人情報保護委員項各号に掲げる者を除く。略）に提供したときは（略）記録を作成しな

会規則で定めるところにより、当該個人データを提供した年月日、当該ければならない。ただし、当該個人データの提供が第二十三条第一項各第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項

号又は第五項各号のいずれか（略）に該当する場合は、この限りでない。

に関する記録を作成しなければならない。ただし、当該個人データの提供が第二十七条第一項各号又は第五項各号のいずれか（略）に該当する
場合は、この限りでない。
２

２ （略）

個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個
人情報保護委員会規則で定める期間保存しなければならない。

（第三者提供に係る記録の作成）（第三者提供に係る記録の作成）

規則第十九条

規則第十二条

法第二十九条第一項の規定による同項の記録を作成する

法第二十五条第一項の規定による同項の記録を作成する

方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法

とする。

とする。

２

方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法
法第二十九条第一項の記録は、個人データを第三者（略）に提供した

２

法第二十五条第一項の記録は、個人データを第三者（略）に提供した

都度、速やかに作成しなければならない。ただし、当該第三者に対し個都度、速やかに作成しなければならない。ただし、当該第三者に対し個人データを継続的に若しくは反復して提供（略）したとき、又は当該第人データを継続的に若しくは反復して提供（略）したとき、又は当該第三者に対し個人データを継続的に若しくは反復して提供することが確三者に対し個人データを継続的に若しくは反復して提供することが確実であると見込まれるときの記録は、一括して作成することができる。

実であると見込まれるときの記録は、一括して作成することができる。
60

３

前項の規定にかかわらず、法第二十七条第一項又は法第二十八条第一３

前項の規定にかかわらず、法第二十三条第一項又は法第二十四条の規項の規定により、本人に対する物品又は役務の提供に関連して当該本人定により、本人に対する物品又は役務の提供に関連して当該本人に係るに係る個人データを第三者に提供した場合において、当該提供に関して

個人データを第三者に提供した場合において、当該提供に関して作成さ作成された契約書その他の書面に次条第一項各号に定める事項が記載れた契約書その他の書面に次条第一項各号に定める事項が記載されてされているときは、当該書面をもって法第二十九条第一項の当該事項にいるときは、当該書面をもって法第二十五条第一項の当該事項に関する関する記録に代えることができる。

記録に代えることができる。

（第三者提供に係る記録事項）（第三者提供に係る記録事項）

規則第二十条

規則第十三条

法第二十九条第一項の個人情報保護委員会規則で定める

法第二十五条第一項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定め事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。

る事項とする。

一一

法第二十七条第二項の規定により個人データを第三者に提供した法第二十三条第二項の規定により個人データを第三者に提供した

場合 次のイからニまでに掲げる事項

場合 次のイからニまでに掲げる事項

イ

（略）

イ

（略）

ロ

当該第三者の氏名又は名称及び住所並びに法人にあっては、そのロ

当該第三者の氏名又は名称その他の当該第三者を特定するに足代表者（法人でない団体で代表者又は管理人の定めのあるものにありる事項（不特定かつ多数の者に対して提供したときは、その旨）っては、その代表者又は管理人。第二十八条第一項第三号において同じ。
）の氏名（不特定かつ多数の者に対して提供したときは、その旨）
ハ・ニ （略）二ハ・ニ （略）法第二十七条第一項又は法第二十八条の規定により個人データを二

法第二十三条第一項又は法第二十四条の規定により個人データを第三者に提供した場合 次のイ及びロに掲げる事項

第三者に提供した場合 次のイ及びロに掲げる事項

イ

イ

法第二十七条第一項又は法第二十八条の本人の同意を得ている
旨法第二十三条第一項又は法第二十四条の本人の同意を得ている

ロ

旨
（略）

ロ
61

（略）

２

前項各号に定める事項のうち、既に前条に規定する方法により作成し

２

前項各号に定める事項のうち、既に前条に規定する方法により作成した法第二十九条第一項の記録（当該記録を保存している場合におけるもた法第２５条第１項の記録（当該記録を保存している場合におけるもののに限る。
）に記録されている事項と内容が同一であるものについては、に限る。）に記録されている事項と内容が同一であるものについては、

法第二十九条第一項の当該事項の記録を省略することができる。

法第２５条第１項の当該事項の記録を省略することができる。

（第三者提供に係る記録の保存期間）（第三者提供に係る記録の保存期間）

規則第二十一条

規則第十四条

法第二十九条第二項の個人情報保護委員会規則で定め

法第二十五条第二項の個人情報保護委員会規則で定めるる期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定定める期間とする。

める期間とする。

一

第十九条第三項に規定する方法により記録を作成した場合

最後

一第十二条第三項に規定する方法により記録を作成した場合最後に当該記録に係る個人データの提供を行った日から起算して一年をに当該記録に係る個人データの提供を行った日から起算して一年を経過する日までの間経過する日までの間

二第十九条第二項ただし書に規定する方法により記録を作成した場

合二

最後に当該記録に係る個人データの提供を行った日から起算し合て三年を経過する日までの間
三第十二条第二項ただし書に規定する方法により記録を作成した場
最後に当該記録に係る個人データの提供を行った日から起算して三年を経過する日までの間（略）

三（１）記録義務が適用されない場合（略）（１）記録義務が適用されない場合

以下の場合には記録義務が適用されない。

以下の場合には記録義務が適用されない。

①第三者が法第１６条第２項各号に掲げる者である場合①第三者が法第２条第５項各号に掲げる者である場合

以下の１）から４）までに掲げる者との間で個人データの授受を行う場合、記録義務は適用されない。

以下の１）から４）までに掲げる者との間で個人データの授受を行う場合、記録義務は適用されない。

１）国の機関（法第１６条第２項第１号関係）

１）国の機関（法第２条第５項第１号関係）

２）地方公共団体（法第１６条第２項第２号関係）

２）地方公共団体（法第２条第５項第２号関係）
62３）独立行政法人等（独立行政法人等の保有する個人情報の保護

３）独立行政法人等（独立行政法人等の保有する個人情報の保護に関する法律 （平成１５年法律第５９号）第２条第１項 にに関する法律 （平成１５年法律第５９号）第２条第１項 に規定する独立行政法人等をいう。）（法第１６条第２項第３号

規定する独立行政法人等をいう。）（法第２条第５項第３号関

関係）

係）

４）地方独立行政法人（地方独立行政法人法（平成１５年法律第４）地方独立行政法人（地方独立行政法人法（平成１５年法律第１１８号）第２条第１項に規定する地方独立行政法人をい１１８号）第２条第１項に規定する地方独立行政法人をいう。
）（法第１６条第２項第４号関係）

う。）（法第２条第５項第４号関係）②法第２７条第１項各号に該当する場合（Ⅲ７．
（２）参照）②法第２３条第１項各号に該当する場合（Ⅲ５．
（２）参照）

個人データが転々流通することは想定されにくいことに鑑み、記録

個人データが転々流通することは想定されにくいことに鑑み、記録義務は適用されない。

義務は適用されない。

１）法令に基づいて個人データを提供する場合（第１号関係）

１）法令に基づいて個人データを提供する場合（第１号関係）

２）人（法人を含む。
）の生命、身体又は財産といった具体的な権

２）人（法人を含む。
）の生命、身体又は財産といった具体的な権

利利益が侵害されるおそれがあり、これを保護するために個利利益が侵害されるおそれがあり、これを保護するために個

人データの提供が必要であり、かつ、本人の同意を得ること

人データの提供が必要であり、かつ、本人の同意を得ることが困難である場合（第２号関係）が困難である場合（第２号関係）

３）公衆衛生の向上又は心身の発展途上にある児童の健全な育成

３）公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得るこのために特に必要な場合であり、かつ、本人の同意を得ることが困難である場合（第３号関係）とが困難である場合（第３号関係）

４）国の機関等が法令の定める事務を実施する上で、民間企業等

４）国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であって、協力する民間企業等の協力を得る必要がある場合であって、協力する民間企業等が当該国の機関等に個人データを提供することについて、本が当該国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれ

人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合（第４号関係）がある場合（第４号関係）
63５）個人情報取扱事業者が学術研究機関等である場合であって、（新設）

当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。
）（第５号関係）
６）個人情報取扱事業者が学術研究機関等である場合であって、（新設）

当該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。）（第６号関係）
７）第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（新設）（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）（第７号関係）③法第２７条第５項各号に該当する場合（Ⅲ７．
（４）参照）③法第２３条第５項各号に該当する場合（Ⅲ５．
（４）参照）「第三者に該当しないものとする」とされていることに鑑み、記録「第三者に該当しないものとする」とされていることに鑑み、記録義務は適用されない。

義務は適用されない。

１）個人情報取扱事業者が利用目的の達成に必要な範囲内におい

１）個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合（法第２７条第５項第１て当該個人データが提供される場合（法第２３条第５項第１

号関係）

号関係）

（例）

（例）
64

（略）

（略）

２）合併その他の事由による事業の承継に伴って個人データが提２）合併その他の事由による事業の承継に伴って個人データが提供される場合（法第２７条第５項第２号関係）供される場合（法第２３条第５項第２号関係）

３）特定の者との間で共同して利用される個人データが当該特定

３）特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用さの者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する

れる個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有者の利用目的及び当該個人データの管理について責任を有すする者の氏名又は名称及び住所並びに法人にあっては、その代る者の氏名又は名称について、あらかじめ、本人に通知し、又表者の氏名について、あらかじめ、本人に通知し、又は本人がは本人が容易に知り得る状態に置いているとき（法第２３条第容易に知り得る状態に置いているとき（法第２７条第５項第３５項第３号関係）

号関係）④・⑤ （略）④・⑤ （略）【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

（略）

（略）

65

１０．第三者提供を受ける際の確認等（法第３０条）

８．第三者提供を受ける際の確認等（法第２６条）

詳細は、別途定める「個人情報の保護に関する法律についてのガイドライ

詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」（平成２８年個人情報保護委員会告ン（第三者提供時の確認・記録義務編）」（平成２８年個人情報保護委員会告示第８号）を参照のこと。

示第８号）を参照のこと。

（第三者提供を受ける際の確認等）（第三者提供を受ける際の確認等）

法第三十条 個人情報取扱事業者は、第三者から個人データの提供を受け

法第二十六条 個人情報取扱事業者は、第三者から個人データの提供を受るに際しては、個人情報保護委員会規則で定めるところにより、次に掲

けるに際しては、（略）次に掲げる事項の確認を行わなければならない。

げる事項の確認を行わなければならない。ただし、当該個人データの提ただし、当該個人データの提供が第二十三条第一項各号又は第五項各号

供が第二十七条第一項各号又は第五項各号のいずれかに該当する場合のいずれかに該当する場合は、この限りでない。

は、この限りでない。
一

当該第三者の氏名又は名称及び住所並びに法人にあっては、その代

一

表者の氏名

当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名

二

二

（略）

（略）

２～４ （略）

２～４ （略）（第三者提供を受ける際の確認）（第三者提供を受ける際の確認）

規則第二十二条

規則第十五条

法第三十条第一項の規定による同項第一号に掲げる事

法第二十六条第一項の規定による同項第一号に掲げる事項の確認を行う方法は、個人データを提供する第三者から申告を受ける方法その他の適切な方法とする。

方法その他の適切な方法とする。

２

項の確認を行う方法は、個人データを提供する第三者から申告を受ける
法第三十条第一項の規定による同項第二号に掲げる事項の確認を行

２

法第二十六条第一項の規定による同項第二号に掲げる事項の確認をう方法は、個人データを提供する第三者から当該第三者による当該個人行う方法は、個人データを提供する第三者から当該第三者による当該個

データの取得の経緯を示す契約書その他の書面の提示を受ける方法そ

人データの取得の経緯を示す契約書その他の書面の提示を受ける方法の他の適切な方法とする。

その他の適切な方法とする。
66

３

（略）

３

（略）

（第三者提供を受ける際の確認に係る記録の作成）（第三者提供を受ける際の確認に係る記録の作成）

規則第二十三条

規則第十六条

法第三十条第三項の規定による同項の記録を作成する

法第二十六条第三項の規定による同項の記録を作成する

方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法

方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法

とする。

とする。

２

法第三十条第三項の記録は、第三者から個人データの提供を受けた都

２

法第二十六条第三項の記録は、第三者から個人データの提供を受けた

度、速やかに作成しなければならない。ただし、当該第三者から継続的

都度、速やかに作成しなければならない。ただし、当該第三者から継続に若しくは反復して個人データの提供（法第二十七条第二項の規定によ的に若しくは反復して個人データの提供（法第二十三条第二項の規定にる提供を除く。以下この条において同じ。）を受けたとき、又は当該第よる提供を除く。以下この条において同じ。）を受けたとき、又は当該三者から継続的に若しくは反復して個人データの提供を受けることが第三者から継続的に若しくは反復して個人データの提供を受けること確実であると見込まれるときの記録は、一括して作成することができが確実であると見込まれるときの記録は、一括して作成することができ

る。

る。

３

前項の規定にかかわらず、本人に対する物品又は役務の提供に関連し３

前項の規定にかかわらず、本人に対する物品又は役務の提供に関連して第三者から当該本人に係る個人データの提供を受けた場合において、て第三者から当該本人に係る個人データの提供を受けた場合において、当該提供に関して作成された契約書その他の書面に次条第一項各号に当該提供に関して作成された契約書その他の書面に次条第一項各号に定める事項が記載されているときは、当該書面をもって法第三十条第三定める事項が記載されているときは、当該書面をもって法第二十六条第項の当該事項に関する記録に代えることができる。

三項の当該事項に関する記録に代えることができる。

（第三者提供を受ける際の記録事項）（第三者提供を受ける際の記録事項）

規則第二十四条規則第十七条

法第三十条第三項の個人情報保護委員会規則で定める

法第二十六条第三項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定め事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。

る事項とする。

一

一

個人情報取扱事業者から法第二十七条第二項の規定による個人デ個人情報取扱事業者から法第二十三条第二項の規定による個人データの提供を受けた場合 次のイからホまでに掲げる事項

ータの提供を受けた場合 次のイからホまでに掲げる事項

イ

イ

（略）
67

（略）

ロ

法第三十条第一項各号に掲げる事項

ロ

法第二十六条第一項各号に掲げる事項

ハ・ニ （略）ハ・ニ （略）ホ

ホ

二法第二十七条第四項の規定により公表されている旨
個人情報取扱事業者から法第二十七条第一項又は法第二十八条第一項の規定による個人データの提供を受けた場合

二

法第二十三条第四項の規定により公表されている旨

次のイ及びロに

個人情報取扱事業者から法第二十三条第一項又は法第二十四条の規定による個人データの提供を受けた場合

掲げる事項

事項

イ

イ

法第二十七条第一項又は法第二十八条第一項の本人の同意を得

法第二十三条第一項又は法第二十四条の本人の同意を得ている

ている旨

旨

ロ （略）
三

次のイ及びロに掲げる

ロ

個人関連情報取扱事業者から法第三十一条第一項の規定による個人関連情報の提供を受けて個人データとして取得した場合

（略）

（新設）

次のイ

からニまでに掲げる事項
イ

法第三十一条第一項第一号の本人の同意が得られている旨及び外国にある個人情報取扱事業者にあっては、同項第二号の規定による情報の提供が行われている旨

ロ

法第三十条第一項第一号に掲げる事項

ハ第一号ハに掲げる事項

ニ当該個人関連情報の項目

四
２

（略）

三

（略）

２

（略）
（略）

（第三者提供を受ける際の記録の保存期間）（第三者提供を受ける際の記録の保存期間）

規則第二十五条

規則第十八条

法第三十条第四項の個人情報保護委員会規則で定める

法第二十六条第四項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とする。

める期間とする。
68

一

第二十三条第三項に規定する方法により記録を作成した場合

最一第十六条第三項に規定する方法により記録を作成した場合

最後

後に当該記録に係る個人データの提供を受けた日から起算して一年に当該記録に係る個人データの提供を受けた日から起算して一年をを経過する日までの間経過する日までの間

二第二十三条第二項ただし書に規定する方法により記録を作成した

場合

二最後に当該記録に係る個人データの提供を受けた日から起算

合して三年を経過する日までの間
三第十六条第二項ただし書に規定する方法により記録を作成した場
最後に当該記録に係る個人データの提供を受けた日から起算して三年を経過する日までの間（略）

三（１）確認・記録義務が適用されない場合（略）（１）確認・記録義務が適用されない場合

８．第三者提供に係る記録の作成等（法第２９条）の場合と同様、①第７．第三者提供に係る記録の作成等（法第２５条）の場合と同様、①第三者が法第１６条第２項各号に掲げる者である場合、②法第２７条第１項

三者が法第２条第５項各号に掲げる者である場合、②法第２３条第１項各各号に該当する場合（Ⅲ７．（２）参照）、③法第２７条第５項各号に該当号に該当する場合（Ⅲ５．（２）参照）、③法第２３条第５項各号に該当すする場合（Ⅲ７．（４）参照）、④本人に代わって提供された個人データをる場合（Ⅲ５．（４）参照）、④本人に代わって提供された個人データを受受ける場合、⑤本人と一体と評価できる関係にある者に該当する場合は、ける場合、⑤本人と一体と評価できる関係にある者に該当する場合は、確確認・記録義務は適用されない。なお、具体的事例は、９．
（１）を参照の認・記録義務は適用されない。なお、具体的事例は、７．
（１）を参照のここと。

と。

加えて、以下の場合においても確認・記録義務は適用されない。

加えて、以下の場合においても確認・記録義務は適用されない。

⑥・⑦ （略）⑥・⑦ （略）【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】（２）確認義務の適用（２）確認義務の適用

国保組合は第三者から個人データの提供を受ける際は、当該第三者に対して、次のとおり確認を行わなければならない。

国保組合は第三者から個人データの提供を受ける際は、当該第三者に対して、次のとおり確認を行わなければならない。

69

①確認方法①確認方法

１）第三者の氏名及び住所並びに法人にあっては、その代表者の氏名

１）第三者の氏名及び住所並びに法人にあっては、その代表者の氏名

２）第三者による個人データの取得の経緯

２）第三者による個人データの取得の経緯

３）法の遵守状況【その他の事項】

３）法の遵守状況【その他の事項】

国保組合が、他の事業者から個人データの提供を受ける際には、当国保組合が、他の事業者から個人データの提供を受ける際には、当該事業者の法の遵守状況（例えば、利用目的、開示手続、問合せ・苦該事業者の法の遵守状況（例えば、利用目的、開示手続、問合せ・苦情の受付窓口の公表、オプトアウトによる第三者提供により個人デー

情の受付窓口の公表、オプトアウトによる第三者提供により個人デー

タの提供を受ける際には当該事業者の届出事項が個人情報保護委員会

タの提供を受ける際には当該事業者の届出事項が個人情報保護委員会

により公表されている旨など）についても確認することが望ましい。

により公表されている旨など）についても確認することが望ましい。

②既に確認を行った第三者に対する確認方法②既に確認を行った第三者に対する確認方法

複数回にわたって同一「本人」の個人データの授受をする場合におい複数回にわたって同一「本人」の個人データの授受をする場合において、同一の内容である事項を重複して確認する合理性はないため、既にて、同一の内容である事項を重複して確認する合理性はないため、既に「①確認方法」に規定する方法により確認を行い、「１０．（３）記録義「①確認方法」に規定する方法により確認を行い、「８．
（３）記録義務」

務の適用」に規定する方法により作成し、かつ、その時点において保存に規定する方法により作成し、かつ、その時点において保存している記

している記録に記録された事項と内容が同一であるものについては、当録に記録された事項と内容が同一であるものについては、当該事項の確

該事項の確認を省略することができる。

認を省略することができる。

（３） （略）（３） （略）①・② （略）①・② （略）③記録事項の省略③記録事項の省略

複数回にわたって同一「本人」の個人データの授受をする場合にお複数回にわたって同一「本人」の個人データの授受をする場合において、同一の内容である事項を重複して記録する必要はない。既に「１いて、同一の内容である事項を重複して記録する必要はない。既に「８．

０．
（３）記録義務の適用」に規定する方法により作成した記録（現に（３）記録義務の適用」に規定する方法により作成した記録（現に保70④保存している場合に限る。
）に記録された事項と内容が同一であるもの存している場合に限る。
）に記録された事項と内容が同一であるものにについては、当該事項の記録を省略することができる。

ついては、当該事項の記録を省略することができる。

（略）

④

（略）

１１．保有個人データに関する事項の公表等（法第３２条）

９．保有個人データに関する事項の公表等（法第２７条）（保有個人データに関する事項の公表等）（保有個人データに関する事項の公表等）

法第三十二条 個人情報取扱事業者は、保有個人データに関し、次に掲げ

法第二十七条 個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回る事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）に置かなければならない。

答する場合を含む。
）に置かなければならない。

一一 当該個人情報取扱事業者の氏名又は名称

当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名

二 全ての保有個人データの利用目的（第二十一条第四項第一号から第二三号までに該当する場合を除く。
）

全ての保有個人データの利用目的（第十八条第四項第一号から第三号までに該当する場合を除く。
）

三 次項の規定による求め又は次条第一項（同条第五項において準用す

三 次項の規定による求め又は次条第一項、第二十九条第一項若しくはる場合を含む。
）、第三十四条第一項若しくは第三十五条第一項、第三第三十条第一項若しくは第三項の規定による請求に応じる手続（第三項若しくは第五項の規定による請求に応じる手続（第三十八条第二項

十三条第二項の規定により手数料の額を定めたときは、その手数料のの規定により手数料の額を定めたときは、その手数料の額を含む。）

額を含む。
）

四 （略）
２

四

（略）

２

（略）
（略）

一 （略）

一 （略）

二

二 第十八条第四項第一号から第三号までに該当する場合

３

第二十一条第四項第一号から第三号までに該当する場合
（略）

３

71

（略）

（保有個人データの適正な取扱いの確保に関し必要な事項）（保有個人データの適正な取扱いの確保に関し必要な事項）

令第十条 法第三十二条第一項第四号の政令で定めるものは、次に掲げる

令第八条 法第二十七条第一項第四号の政令で定めるものは、次に掲げるものとする。

ものとする。

一（新設）

法第二十三条の規定により保有個人データの安全管理のために講じた措置（本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。
）
二・三 （略）

一・二 （略）【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

・国保組合は、保有個人データに関し、（ア）当該個人情報取扱事業者の氏・国保組合は、保有個人データに関し、（ア）当該個人情報取扱事業者の氏名又は名称並びに法人にあっては、その代表者の氏名、（イ）全ての保有

名又は名称、（イ）全ての保有個人データの利用目的（法第１８条第４項

個人データの利用目的（法第２１条第４項第１号から第３号までに規定第１号から第３号までに規定された例外の場合を除く。）、（ウ）保有個人

された例外の場合を除く。
）、（ウ）保有個人データの利用目的の通知、開データの利用目的の通知、開示、訂正、利用停止等の手続の方法、及び示、訂正、利用停止等の手続の方法、及び保有個人データの利用目的の保有個人データの利用目的の通知又は開示に係る手数料の額、（エ）苦情

通知又は開示に係る手数料の額、（エ）苦情の申出先等について、本人のの申出先等について、本人の知り得る状態（本人の求めに応じて遅滞な知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置く回答する場合を含む。
）に置かなければならない。

かなければならない。
・国保組合は、本人から、当該本人が識別される保有個人データの利用目

・国保組合は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、上記の措置により利用目的が明らかにな的の通知を求められたときは、上記の措置により利用目的が明らかになっている場合及び法第２１条第４項第１号から第３号までの例外に相当っている場合及び法第１８条第４項第１号から第３号までの例外に相当する場合を除き、遅滞なく通知しなければならない。

する場合を除き、遅滞なく通知しなければならない。

・国保組合は、利用目的の通知をしない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

・国保組合は、利用目的の通知をしない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

72

・法施行前から保有している個人情報についても同様の取扱いを行う。

・法施行前から保有している個人情報についても同様の取扱いを行う。

【その他の事項】【その他の事項】

・国保組合は、保有個人データについて、その利用目的、開示、訂正、利・国保組合は、保有個人データについて、その利用目的、開示、訂正、利用停止等の手続の方法及び利用目的の通知又は開示に係る手数料の額、用停止等の手続の方法及び利用目的の通知又は開示に係る手数料の額、苦情の申出先等について、少なくとも国保組合のホームページへの掲載

苦情の申出先等について、少なくとも国保組合のホームページへの掲載のほか、パンフレットの配布、掲示板への掲示・備付け、公告等によりのほか、パンフレットの配布、掲示板への掲示・備付け、公告等により情報提供先をできるだけ明らかにするとともに、被保険者からの要望に情報提供先をできるだけ明らかにするとともに、被保険者からの要望により書面を交付したり、問合せがあったりした場合に具体的内容についより書面を交付したり、問合せがあった場合に具体的内容について回答て回答できる体制を確保する。

できる体制を確保する。

１２．本人からの請求による保有個人データの開示（法第３３条）

１０．本人からの請求による保有個人データの開示（法第２８条）

（開示）

（開示）

法第三十三条 本人は、個人情報取扱事業者に対し、当該本人が識別され法第二十八条 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの電磁的記録の提供による方法その他の個人情報保る保有個人データの開示を請求することができる。

護委員会規則で定める方法による開示を請求することができる。
２

個人情報取扱事業者は、前項の規定による請求を受けたときは、本人

２

個人情報取扱事業者は、前項の規定による請求を受けたときは、本人に対し、同項の規定により当該本人が請求した方法（当該方法による開に対し、政令で定める方法により、遅滞なく、当該保有個人データを開示に多額の費用を要する場合その他の当該方法による開示が困難であ示しなければならない。ただし、開示することにより次の各号のいずれる場合にあっては、書面の交付による方法）により、遅滞なく、当該保かに該当する場合は、その全部又は一部を開示しないことができる。

有個人データを開示しなければならない。ただし、開示することにより
73

次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
一～三 （略）３

一～三 （略）

個人情報取扱事業者は、第一項の規定による請求に係る保有個人デー

３

個人情報取扱事業者は、第一項の規定による請求に係る保有個人デー

タの全部若しくは一部について開示しない旨の決定をしたとき、当該保タの全部又は一部について開示しない旨の決定をしたとき又は当該保有個人データが存在しないとき、又は同項の規定により本人が請求した

有個人データが存在しないときは、本人に対し、遅滞なく、その旨を通方法による開示が困難であるときは、本人に対し、遅滞なく、その旨を知しなければならない。

通知しなければならない。
４ （略）

４

５

（新設）

第一項から第三項までの規定は、当該本人が識別される個人データに（略）

係る第二十九条第一項及び第三十条第三項の記録（その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるものとして政令で定めるものを除く。第三十七条第二項において「第三者提供記録」という。
）について準用する。
（第三者提供記録から除外されるもの）（新設）

令第十一条 法第三十三条第五項の政令で定めるものは、次に掲げるものとする。
一

当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの
二

当該記録の存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの
三

当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他74

国若しくは国際機関との交渉上不利益を被るおそれがあるもの
四

当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの（本人が請求することができる開示の方法）（個人情報取扱事業者が保有個人データを開示する方法）

規則第三十条 法第三十三条第一項（同条第五項において準用する場合を

令第九条 法第二十八条第二項の政令で定める方法は、書面の交付による含む。
）の個人情報保護委員会規則で定める方法は、電磁的記録の提供

方法（開示の請求を行った者が同意した方法があるときは、当該方法）

による方法、書面の交付による方法その他当該個人情報取扱事業者の定とする。

める方法とする。
（１）開示の原則（１）開示の原則

国保組合は、本人から、当該本人が識別される保有個人データの開示の国保組合は、本人から、当該本人が識別される保有個人データの開示の請求を受けたときは、本人に対し、当該本人が請求した方法等により、遅請求を受けたときは、本人に対し、書面の交付による方法等により、遅滞滞なく、当該保有個人データを開示しなければならない。

なく、当該保有個人データを開示しなければならない。

（２）開示の例外（２）開示の例外

開示することで、法第３３条第２項各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。

開示することで、法第２８条第２項各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。

なお、レセプト情報については、開示することで、法第３３条第２項第なお、レセプト情報については、開示することで、法第２８条第２項第１号の「本人又は第三者の権利利益を害するおそれがある」かどうかの判１号の「本人又は第三者の権利利益を害するおそれがある」かどうかの判

断は、国保組合においては容易でないため、別に定める指針（「診療報酬明断は、国保組合においては容易でないため、別に定める指針（「診療報酬明細書等の被保険者等への開示について」（平成１７年３月３１日保発第０３細書等の被保険者等への開示について」（平成１７年３月３１日保発第０３

３１００９号保険局長通知）の内容の通知）に基づき、開示に当たって、

３１００９号保険局長通知）の内容の通知）に基づき、開示に当たって、75主治医の判断を要するものとする。

主治医の判断を要するものとする。

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

・国保組合は、本人から、当該本人が識別される保有個人データの開示の・国保組合は、本人から、当該本人が識別される保有個人データの開示の請求を受けたときは、本人に対し、遅滞なく、当該保有個人データを開請求を受けたときは、本人に対し、遅滞なく、当該保有個人データを開示しなければならない。また、当該本人が識別される保有個人データが示しなければならない。また、当該本人が識別される保有個人データが存在しないときにその旨知らせることとする。ただし、開示することに存在しないときにその旨知らせることとする。ただし、開示することにより、法第３３条第２項各号のいずれかに該当する場合は、その全部又より、法第２８条第２項各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。

は一部を開示しないことができる。

・Ⅱ１．に記したとおり、例えばレセプトの情報の中には、被保険者の保・Ⅱ１．に記したとおり、例えばレセプトの情報の中には、被保険者の保有個人データであって、当該レセプトに係る診察をした医師の保有個人

有個人データであって、当該レセプトに係る診察をした医師の保有個人データでもあるという二面性を持つ部分が含まれるものの、そもそもレデータでもあるという二面性を持つ部分が含まれるものの、そもそもレ

セプト全体が被保険者等の保有個人データであることから、被保険者本

セプト全体が被保険者等の保有個人データであることから、被保険者本人から開示の請求があった場合に、その二面性があることを理由に全部人から開示の請求があった場合に、その二面性があることを理由に全部又は一部を開示しないことはできない。ただし、法第３３条第２項各号又は一部を開示しないことはできない。ただし、法第２８条第２項各号のいずれかに該当する場合には、法に従い、その全部又は一部を開示しのいずれかに該当する場合には、法に従い、その全部又は一部を開示しないことができる。

ないことができる。

・開示の方法は、電磁的記録の提供による方法、書面の交付による方法そ・開示の方法は、書面の交付又は請求を行った者が同意した方法による。

の他当該個人情報取扱事業者の定める方法による。
・国保組合は、請求を受けた保有個人データの全部又は一部について開示

・国保組合は、請求を受けた保有個人データの全部又は一部について開示しない旨を決定したときは、本人に対し、遅滞なく、その旨を通知しなしない旨を決定したときは、本人に対し、遅滞なく、その旨を通知しなければならない。また、本人に通知する場合には、本人に対してその理ければならない。また、本人に通知する場合には、本人に対してその理由を説明するよう努めなければならない（Ⅲ１５．参照）。

由を説明するよう努めなければならない（Ⅲ１３．参照）。

・他の法令の規定により、保有個人データの開示について定めがある場合
76

・他の法令の規定により、保有個人データの開示について定めがある場合

には、当該法令の規定によるものとする。

には、当該法令の規定によるものとする。

【その他の事項】【その他の事項】（略）（略）

１３．訂正及び利用停止（法第３４条、第３５条）

１１．訂正及び利用停止（法第２９条、第３０条）

（訂正等）

（訂正等）

法第三十四条 本人は、個人情報取扱事業者に対し、当該本人が識別され法第二十九条 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの内容が事実でないときは、当該保有個人データの内

る保有個人データの内容が事実でないときは、当該保有個人データの内容の訂正、追加又は削除（以下この条において「訂正等」という。）を請

容の訂正、追加又は削除（以下この条において「訂正等」という。）を請求することができる。

求することができる。

２・３ （略）

２・３ （略）（利用停止等）（利用停止等）法第三十五条 本人は、個人情報取扱事業者に対し、当該本人が識別され法第三十条 本人は、個人情報取扱事業者に対し、当該本人が識別される

る保有個人データが第十八条若しくは第十九条の規定に違反して取り保有個人データが第十六条の規定に違反して取り扱われているとき又扱われているとき又は第二十条の規定に違反して取得されたものであは第十七条の規定に違反して取得されたものであるときは、当該保有個るときは、当該保有個人データの利用の停止又は消去（以下この条にお人データの利用の停止又は消去（以下この条において「利用停止等」といて「利用停止等」という。
）を請求することができる。

いう。
）を請求することができる。

２

（略）

２

（略）

３

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人

３

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人

データが第二十七条第一項又は第二十八条の規定に違反して第三者にデータが第二十三条第一項又は第二十四条の規定に違反して第三者に提供されているときは、当該保有個人データの第三者への提供の停止を提供されているときは、当該保有個人データの第三者への提供の停止を請求することができる。

請求することができる。

４

（略）

４

５

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人

（新設）
77

（略）

データを当該個人情報取扱事業者が利用する必要がなくなった場合、当該本人が識別される保有個人データに係る第二十六条第一項本文に規定する事態が生じた場合その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合には、当該保有個人データの利用停止等又は第三者への提供の停止を請求することができる。
６

個人情報取扱事業者は、前項の規定による請求を受けた場合であっ（新設）て、その請求に理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行わなければならない。ただし、当該保有個人データの利用停止等又は第三者への提供の停止に多額の費用を要する場合その他の利用停止等又は第三者への提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
７

個人情報取扱事業者は、第一項若しくは第五項の規定による請求に係

５

個人情報取扱事業者は、第一項の規定による請求に係る保有個人デー

る保有個人データの全部若しくは一部について利用停止等を行ったと

タの全部若しくは一部について利用停止等を行ったとき若しくは利用

き若しくは利用停止等を行わない旨の決定をしたとき、又は第三項若し停止等を行わない旨の決定をしたとき、又は第三項の規定による請求にくは第五項の規定による請求に係る保有個人データの全部若しくは一係る保有個人データの全部若しくは一部について第三者への提供を停部について第三者への提供を停止したとき若しくは第三者への提供を止したとき若しくは第三者への提供を停止しない旨の決定をしたとき停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通は、本人に対し、遅滞なく、その旨を通知しなければならない。

知しなければならない。
【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

・国保組合は、法第３４条第２項又は第３５条第２項、第４項若しくは第78・国保組合は、法第２９条第２項又は第３０条第２項若しくは第４項の規

６項の規定に基づき、本人から、保有個人データの訂正等、利用停止等、定に基づき、本人から、保有個人データの訂正等、利用停止等、第三者

第三者への提供の停止の請求を受けた場合で、それらの請求が適正であへの提供の停止の請求を受けた場合で、それらの請求が適正であると認ると認められるときは、これらの措置を行わなければならない。

められるときは、これらの措置を行わなければならない。

・ただし、利用停止等及び第三者への提供の停止については、利用停止等

・ただし、利用停止等及び第三者への提供の停止については、利用停止等に多額の費用を要する場合など当該措置を行うことが困難な場合であっに多額の費用を要する場合など当該措置を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるて、本人の権利利益を保護するため必要なこれに代わるべき措置をとる

ときは、この限りでない。

ときは、この限りでない。

・なお、以下の場合については、これらの措置を行う必要はない。

・なお、以下の場合については、これらの措置を行う必要はない。

①訂正等の請求があった場合であっても、（ア）利用目的から見て訂正等①訂正等の請求があった場合であっても、（ア）利用目的から見て訂正等が必要でない場合、（イ）誤りである指摘が正しくない場合又は（ウ）が必要でない場合、（イ）誤りである指摘が正しくない場合又は（ウ）訂正等の対象が事実でなく評価に関する情報である場合

訂正等の対象が事実でなく評価に関する情報である場合②利用停止等、第三者への提供の停止の請求があった場合であっても、手続違反等の指摘が正しくない場合②利用停止等、第三者への提供の停止の請求があった場合であっても、手続違反等の指摘が正しくない場合

・国保組合は、上記の措置を行ったとき、又は行わない旨を決定したとき・国保組合は、上記の措置を行ったとき、又は行わない旨を決定したときは、本人に対し、遅滞なく、その旨（訂正の内容を含む。）を通知しなけ

は、本人に対し、遅滞なく、その旨（訂正の内容を含む。）を通知しなけ

ればならない。また、本人に通知する場合には、本人に対してその理由ればならない。また、本人に通知する場合には、本人に対してその理由を説明するよう努めなければならない（Ⅲ１５．参照）。

を説明するよう努めなければならない（Ⅲ１３．参照）。

【その他の事項】【その他の事項】

（略）

（略）

79

１４．開示等の請求等に応じる手続及び手数料（法第３７条、第３８条）

１２．開示等の請求等に応じる手続及び手数料（法第３２条、第３３条）（開示等の請求等に応じる手続）（開示等の請求等に応じる手続）

法第三十七条 個人情報取扱事業者は、第三十二条第二項の規定による求法第三十二条 個人情報取扱事業者は、第二十七条第二項の規定による求め又は第三十三条第一項（同条第五項において準用する場合を含む。次

め又は第二十八条第一項、第二十九条第一項若しくは第三十条第一項若条第一項及び第三十九条において同じ。）、第三十四条第一項若しくは第しくは第三項の規定による請求（以下この条及び第五十三条第一項にお三十五条第一項、第三項若しくは第五項の規定による請求（以下この条

いて「開示等の請求等」という。）に関し、政令で定めるところにより、及び第五十四条第一項において「開示等の請求等」という。）に関し、政その求め又は請求を受け付ける方法を定めることができる。この場合に令で定めるところにより、その求め又は請求を受け付ける方法を定める

おいて、本人は、当該方法に従って、開示等の請求等を行わなければなことができる。この場合において、本人は、当該方法に従って、開示等らない。

の請求等を行わなければならない。
２

個人情報取扱事業者は、本人に対し、開示等の請求等に関し、その対

２

個人情報取扱事業者は、本人に対し、開示等の請求等に関し、その対象となる保有個人データ又は第三者提供記録を特定するに足りる事項

象となる保有個人データを特定するに足りる事項の提示を求めることの提示を求めることができる。この場合において、個人情報取扱事業者ができる。この場合において、個人情報取扱事業者は、本人が容易かつは、本人が容易かつ的確に開示等の請求等をすることができるよう、当的確に開示等の請求等をすることができるよう、当該保有個人データの該保有個人データ又は当該第三者提供記録の特定に資する情報の提供

特定に資する情報の提供その他本人の利便を考慮した適切な措置をと

その他本人の利便を考慮した適切な措置をとらなければならない。

らなければならない。

３・４ （略）

３・４ （略）

（手数料）

（手数料）

法第三十八条 個人情報取扱事業者は、第三十二条第二項の規定による利法第三十三条 個人情報取扱事業者は、第二十七条第二項の規定による利用目的の通知を求められたとき又は第三十三条第一項の規定による開用目的の通知を求められたとき又は第二十八条第一項の規定による開示の請求を受けたときは、当該措置の実施に関し、手数料を徴収するこ示の請求を受けたときは、当該措置の実施に関し、手数料を徴収することができる。

とができる。

２

（略）

２
80

（略）

（開示等の請求等を受け付ける方法）（開示等の請求等を受け付ける方法）

令第十二条

令第十条

法第三十七条第一項の規定により個人情報取扱事業者が開法第三十二条第一項の規定により個人情報取扱事業者が開示示等の請求等を受け付ける方法として定めることができる事項は、次に等の請求等を受け付ける方法として定めることができる事項は、次に掲掲げるとおりとする。

げるとおりとする。

一

（略）

一 （略）

二

開示等の請求等に際して提出すべき書面（電磁的記録を含む。第三二

開示等の請求等に際して提出すべき書面（電磁的記録を含む。第十十三条第一項及び第三十八条第三項において同じ。）の様式その他の四条第一項及び第二十一条第三項において同じ。）の様式その他の開開示等の請求等の方式

示等の請求等の方式

三

（略）

三

（略）

四

法第三十八条第一項の手数料の徴収方法

四

法第三十三条第一項の手数料の徴収方法（開示等の請求等をすることができる代理人）（開示等の請求等をすることができる代理人）

令第十三条

令第十一条

法第三十七条第三項の規定により開示等の請求等をするこ

法第三十二条第三項の規定により開示等の請求等をすることができる代理人は、次に掲げる代理人とする。

とができる代理人は、次に掲げる代理人とする。

一・二 （略）

一・二 （略）（１）開示等を行う情報の特定（１）開示等を行う情報の特定国保組合は、本人に対し、開示等の請求等に関して、その対象となる保国保組合は、本人に対し、開示等の請求等に関して、その対象となる保有個人データ又は第三者提供記録を特定するに足りる事項の提示を求める

有個人データを特定するに足りる事項の提示を求めることができるが、こことができるが、この場合には、本人が容易かつ的確に開示等の請求等をの場合には、本人が容易かつ的確に開示等の請求等をすることができるよ

することができるよう、当該保有個人データ又は当該第三者提供記録の特う、当該保有個人データの特定に資する情報の提供その他本人の利便を考定に資する情報の提供その他本人の利便を考慮した措置をとらなければな

慮した措置をとらなければならない。

らない。

また、保有個人データの開示等については、本人の請求等により、保有

また、保有個人データの開示等については、本人の請求等により、保有81

個人データの全体又は一部が対象となるが、当該本人の保有個人データが個人データの全体又は一部が対象となるが、当該本人の保有個人データが多岐にわたる、データ量が膨大であるなど、全体の開示等が困難又は非効

多岐にわたる、データ量が膨大であるなど、全体の開示等が困難又は非効率な場合、国保組合は、本人が開示等の請求等を行う情報の範囲を特定す率な場合、国保組合は、本人が開示等の請求等を行う情報の範囲を特定するのに参考となる情報を提供するなど、本人の利便を考慮した支援を行う

るのに参考となる情報を提供するなど、本人の利便を考慮した支援を行う

ものとする。

ものとする。
（２）代理人による開示等の請求等（２）代理人による開示等の請求等

保有個人データの開示等については、本人のほか、①未成年者又は成年保有個人データの開示等については、本人のほか、①未成年者又は成年被後見人の法定代理人、②開示等の請求等をすることにつき本人が委任し被後見人の法定代理人、②開示等の請求等をすることにつき本人が委任した代理人により行うことができる。

た代理人により行うことができる。

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

・国保組合は、保有個人データの開示等の請求等に関し、本人に過重な負・国保組合は、保有個人データの開示等の請求等に関し、本人に過重な負担を課すものとならない範囲において、以下の事項について、その請求担を課すものとならない範囲において、以下の事項について、その請求を受け付ける方法を定めることができる。

を受け付ける方法を定めることができる。

（ア）開示等の請求等の受付先（ア）開示等の請求等の受付先（イ）開示等の請求等に際して提出すべき書面の様式、その他の開示等（イ）開示等の請求等に際して提出すべき書面の様式、その他の開示等の請求等の受付方法の請求等の受付方法（ウ）開示等の請求等をする者が本人又はその代理人であることの確認の方法（ウ）開示等の請求等をする者が本人又はその代理人であることの確認の方法（エ）保有個人データの利用目的の通知、又は保有個人データの開示をする際に徴収する手数料の徴収方法（エ）保有個人データの利用目的の通知、又は保有個人データの開示をする際に徴収する手数料の徴収方法

・国保組合は、本人に対し、開示等の請求等に関して、その対象となる保・国保組合は、本人に対し、開示等の請求等に関して、その対象となる保有個人データ又は第三者提供記録を特定するに足りる事項の提示を求め

有個人データを特定するに足りる事項の提示を求めることができるが、82ることができるが、この場合には、本人が容易かつ的確に開示等の請求

この場合には、本人が容易かつ的確に開示等の請求等をすることができ等をすることができるよう、当該保有個人データ又は当該第三者提供記

るよう、当該保有個人データの特定に資する情報の提供その他本人の利録の特定に資する情報の提供その他本人の利便を考慮した措置をとらな

便を考慮した措置をとらなければならない。

ければならない。
・保有個人データの開示等の請求等は、本人のほか、未成年者又は成年被・保有個人データの開示等の請求等は、本人のほか、未成年者又は成年被後見人の法定代理人、当該請求等をすることにつき本人が委任した代理

後見人の法定代理人、当該請求等をすることにつき本人が委任した代理人によってすることができる。

人によってすることができる。

・国保組合等は、保有個人データの利用目的の通知を求められたとき、又・国保組合等は、保有個人データの利用目的の通知を求められたとき、又は保有個人データの開示を請求されたときは、当該措置の実施に関し、は保有個人データの開示を請求されたときは、当該措置の実施に関し、手数料を徴収することができ、その際には実費を勘案して合理的である

手数料を徴収することができ、その際には実費を勘案して合理的であると認められる範囲内において、手数料の額を定めなければならない。

と認められる範囲内において、手数料の額を定めなければならない。

【その他の事項】【その他の事項】

・国保組合は、以下の点に留意しつつ、保有個人データの開示の手続を定・国保組合は、以下の点に留意しつつ、保有個人データの開示の手続を定めることが望ましい。

めることが望ましい。

－開示等の請求等の方法は書面によることが望ましいが、被保険者の自－開示等の請求等の方法は書面によることが望ましいが、被保険者の自由な請求等を阻害しないため、開示等を請求する理由を要求すること

由な請求等を阻害しないため、開示等を請求する理由を要求することは不適切である。

は不適切である。

－開示等を請求する者が本人（又はその代理人）であることを確認する。

－開示等を請求する者が本人（又はその代理人）であることを確認する。

－レセプト情報について開示等の請求等があった場合、医療機関に確認－レセプト情報について開示等の請求等があった場合、医療機関に確認した上で、速やかに保有個人データの開示等を決定し、これを開示のした上で、速やかに保有個人データの開示等を決定し、これを開示の請求等を行った者に通知する。

請求等を行った者に通知する。

－保有個人データの開示に当たり、法第３３条第２項各号に該当する可－保有個人データの開示に当たり、法第２８条第２項各号に該当する可能性がある場合には、開示の可否について検討するために設置した検能性がある場合には、開示の可否について検討するために設置した検83

討委員会等において検討した上で、速やかに開示の可否を決定するこ

討委員会等において検討した上で、速やかに開示の可否を決定することが望ましい。

とが望ましい。

－保有個人データの開示を行う場合には、本人に過重な負担を課すもの－保有個人データの開示を行う場合には、本人に過重な負担を課すものとならない範囲で、日時、場所、方法等を指定することができる。

とならない範囲で、日時、場所、方法等を指定することができる。

・代理人等、開示の請求等を行い得る者から開示の請求等があった場合、・代理人等、開示の請求等を行い得る者から開示の請求等があった場合、原則として被保険者に対し保有個人データの開示を行う旨の説明を行っ原則として被保険者に対し保有個人データの開示を行う旨の説明を行った後、開示の請求等を行った者に対して開示を行うものとする。

た後、開示の請求等を行った者に対して開示を行うものとする。

・代理人等からの請求等があった場合で、①本人による具体的意思を把握

・代理人等からの請求等があった場合で、①本人による具体的意思を把握できない包括的な委任に基づく請求、②開示等の請求が行われる相当以できない包括的な委任に基づく請求、②開示等の請求が行われる相当以前に行われた委任に基づく請求が行われた場合には、本人への説明に際前に行われた委任に基づく請求が行われた場合には、本人への説明に際し、開示の請求等を行った者及び開示する個人データの内容について十し、開示の請求等を行った者及び開示する個人データの内容について十分説明し、本人の意思を確認するとともに代理人の求めの適正性、開示

分説明し、本人の意思を確認するとともに代理人の求めの適正性、開示の範囲等について本人の意思を踏まえた対応を行うものとする。

の範囲等について本人の意思を踏まえた対応を行うものとする。

１５．理由の説明、事前の請求、苦情の処理（法第３６条、第３９条、第４１３．理由の説明、事前の請求、苦情の処理（法第３１条、第３４条～第３

０条）

５条）

（理由の説明）（理由の説明）

法第三十六条 個人情報取扱事業者は、第三十二条第三項、第三十三条第法第三十一条 個人情報取扱事業者は、第二十七条第三項、第二十八条第三項（同条第五項において準用する場合を含む。）、第三十四条第三項又三項、第二十九条第三項又は前条第五項の規定により、本人から求めらは前条第七項の規定により、本人から求められ、又は請求された措置のれ、又は請求された措置の全部又は一部について、その措置をとらない

全部又は一部について、その措置をとらない旨を通知する場合又はその旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合

措置と異なる措置をとる旨を通知する場合には、本人に対し、その理由は、本人に対し、その理由を説明するよう努めなければならない。

を説明するよう努めなければならない。
（事前の請求）（事前の請求）84

法第三十九条 本人は、第三十三条第一項、第三十四条第一項又は第三十法第三十四条 本人は、第二十八条第一項、第二十九条第一項又は第三十五条第一項、第三項若しくは第五項の規定による請求に係る訴えを提起

条第一項若しくは第三項の規定による請求に係る訴えを提起しようとしようとするときは、その訴えの被告となるべき者に対し、あらかじめ、するときは、その訴えの被告となるべき者に対し、あらかじめ、当該請当該請求を行い、かつ、その到達した日から二週間を経過した後でなけ求を行い、かつ、その到達した日から二週間を経過した後でなければ、れば、その訴えを提起することができない。ただし、当該訴えの被告とその訴えを提起することができない。ただし、当該訴えの被告となるべなるべき者がその請求を拒んだときは、この限りでない。

き者がその請求を拒んだときは、この限りでない。

２

（略）

２

（略）

３

前二項の規定は、第三十三条第一項、第三十四条第一項又は第三十五

３

前二項の規定は、第二十八条第一項、第二十九条第一項又は第三十条条第一項、第三項若しくは第五項の規定による請求に係る仮処分命令の第一項若しくは第三項の規定による請求に係る仮処分命令の申立てに申立てについて準用する。

ついて準用する。

（個人情報取扱事業者による苦情の処理）（個人情報取扱事業者による苦情の処理）

法第四十条 （略）法第三十五条 （略）【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

（略）

（略）

【その他の事項】【その他の事項】

（略）
Ⅳ

（略）

ガイダンスの見直し等

Ⅳ

１．必要に応じた見直し

ガイダンスの見直し等

１．必要に応じた見直し

（略）

（略）

別表１ （略）

別表１ （略）別表２ 国保組合の通常の業務で想定される主な利用目的

別表２ 国保組合の通常の業務で想定される主な利用目的

85

１．～３．
（略）

１．～３．
（略）

４．診療報酬の審査・支払に必要な利用目的

４．診療報酬の審査・支払に必要な利用目的〔国保組合の内部での利用に係る事例〕〔国保組合の内部での利用に係る事例〕

・診療報酬明細書（レセプト）等の内容点検・審査・診療報酬明細書（レセプト）等の内容点検・審査〔審査支払機関への情報提供を伴う事例〕（新設）

・オンライン資格確認等システムを利用したレセプト振替のための加入者情報の提供
・オンライン資格確認等システムを利用したレセプト振替のための再審査請求に係る加入者情報の照会及び提供〔他の事業者等への情報提供を伴う事例〕〔他の事業者等への情報提供を伴う事例〕

・レセプトデータの内容点検・審査の委託

・レセプトデータの内容点検・審査の委託

・レセプトデータの電算処理のための入力、画像取込み処理の委・レセプトデータの電算処理のための入力、画像取込み処理の委託託５．・６．（略）

５．
・６．
（略）

86