「健康保険組合等における個人情報の適切な取扱いのためのガイドライン」を補完する事例集
平成１７年３月作成＜「用語の定義」関係＞（問００１）

健保組合の保有する個人情報には、例えばどのようなものがあるか。

（答） 「健康保険組合等における個人情報の適切な取扱いのためのガイドライン」別表１参照。
なお、健保組合が健康保険に関連する業務以外で個人情報を保有する場合であっても、個人情報に該当することに留意されたい。
（例えば、健保組合と取引がある会社の営業に係る名簿、健保組合が発行している機関誌や広報誌等の購読者の名簿、役員の履歴、保健施設の利用者名簿、医師・歯科医師・薬剤師・接骨師などの名簿など、被保険者及び被扶養者以外の個人情報であっても、個人情報に該当する。）（問００２） レセプトから個人を識別できる情報を除いたものは、個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「法」という。）の規制の対象から外れるのか。

（答） 法は「個人情報」を「生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）」と定義し、個人情報をその規制の対象としている。
このため、レセプトから個人情報を取り除き（匿名化し）、個人を識別することができないレセプトは、原則として、法の規制の対象外となる。
（法第２条第１項参照）（問００３） レセプトに記載されている情報のうち、具体的にはどの情報が個人を識別できる情報なのか。

（答） 生存する個人に関する情報であって、一般的には、「氏名」、「生年月日」、「被保険者証・被保険者手帳等の記号・番号」、「老人医療の受給者番号」、「公費負担医療の受給者番号」、「ＯＣＲ部分」等が該当する。
1

この他にも、他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものがあれば、個人情報に該当することとなるため、その判定は個別に判断することとなる。（法第 2 条第１項参照）
個別の判断に迷う時は、個人情報に該当するものとして、取り扱うことが望ましい。

（問００４）

レセプトや健診記録、保健相談記録は医師の個人情報にも該当するか。

（答） レセプトや健診記録、保健相談記録（以下「レセプト等」という。
）から、それを作成又は記録した医師個人を識別することができる場合は、当該レセプト等は、被保険者のみならず、医師の個人情報にも該当する。
例えば、レセプトに担当医の氏名が明記されている場合等については、担当医が行った評価や医療行為の内容として、担当医の個人情報に該当する。

（問００５）

死者に関する情報の取扱いを教えて欲しい。

（答） 法は、個人情報の取扱いに関連する権利利益の保護を目的とするものであるが、本人関与等により権利利益の保護を求めることができるのは生存する個人であることから、本法における「個人情報」の範囲を「生存する個人に関する情報」に限っている。
法では、死者に関する情報であっても、当該情報が遺族等の生存する個人に関する情報でもある場合（例えば、死者に関する情報である相続財産等に関する情報から、遺族（相続人）を識別することができることとなる場合。このような場合、当該情報は、死者に関する情報であると同時に、遺族に関する情報でもある。）には、生存する個人を本人とする個人情報として保護の対象となる。
なお、死者に関する情報が本法の対象外であっても、健保組合において、当該情報を保存している場合には、漏洩、滅失又は棄損等の防止のため、個人情報と同等の安全管理措置を講ずることが適当である。

（問００６） レセプトを紙で保存した場合と電子媒体で保存した場合とで、個人情報の取扱いに異なる点があるのか。

（答） 紙レセプトで保存した場合は法第２条第２項第２号の規定により、電子媒体で保存した場合には同項第１号の規定により、原則として「個人情報データベース等」に該当するため、その取扱いに差異はない。
2

（問００７） 「個人情報」、「個人情報データベース等」、「個人データ」、「保有個人データ」の違いは何か。

（答） 「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる
氏名、生年月日、その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう（法第２条第１項）。
「個人情報データベース等」とは、個人情報を含む情報の集合物であって、① 特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの、② 含まれる個人情報を一定の規則に従って整理することにより特定の個
人情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、牽引その他検索を容易にするためのものを有するものをいう（同条第２項）。なお、個人情報取扱事業者になる基準となる 5,000 件のカ
ウントは、「個人情報データベース等」に含まれる個人情報によって識別される個人の数を基準とすることに留意されたい。
「個人データ」とは、「個人情報データベース等」を構成する個人情報をいう（同条第４項）。なお、「保有個人データ」に当たらない「個人データ」は開示請求等の対象とはならないが、当該情報は 5,000 件のカウント対象となることに留意されたい。
「保有個人データ」とは、個人情報取扱事業者が開示等を行う権限を有する「個人データ」をいう。ただし、個人情報の保護に関する法律施行令（平成 15 年政令第 507 号。以下「令」という。）で、その存否が明らかになることにより公益その他の利益が害されるものとして定められたものを除外している（同条第５項、令第３条）。なお、開示請求や訂正請求の対象となるものは「保有個人データ」に限られることに留意されたい。

（問００８）

既に健保組合の被保険者ではない者の個人情報も本法の対象か。

（答）対象である。
なお、その情報についても 5,000 件へのカウントに含めることとなり、また、被保険者でない者であっても、その個人情報について、健保組合に対し開示請求をすることができるため、現時点において被保険者である者と同様の対応が必要である。
3

（問００９） 事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数が 5,000 件に満たない健保組合は、法を遵守する
必要はないのか。

（答） 被保険者等にとって、健保組合で保有する個人情報が 5,000 件未満かどうかは分からないこと等から、法の適用範囲ではないが、法に基づき策定されたガイドラ
インの遵守に努めることとされたい。

（問０１０） 「個人情報取扱事業者」となるのは、個人情報データベース等を構成する
個人情報によって識別される特定の個人の数が、5,000 件を超える場合であるが、この個人の数の数え方を教えて欲しい。

（答） 識別される人の「人数」で数えることとなる。同一人に何種類、何件の個人情報があっても１件と数える。
（例えば、同一人のレセプトが２枚ある場合には１件と数える。同一人の 10 枚のレセプトと２枚の健診結果記録がある場合には１件と数える。）
仮に５年分のレセプトを保有している場合には、５年間のレセプトの人数を数える必要がある。
また、5,000 件のカウントの対象となるのは、すべての個人情報ではなく、「個人情報データベース等」によって識別される人数なので、「電子計算機を用いて検索することができるように体系的に構成したもの」又は「一定の規則に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するもの」に限られる。（法第２条第２項、令第１条）
なお、被保険者と被扶養者の人数の合計が 5,000 人を超えた場合にのみ個人情報取扱事業者に該当するのではないことに注意が必要である。
（健保組合と取引がある会社の営業に係る名簿、健保組合が発行している機関誌や広報誌等の購読者の名簿など、被保険者及び被扶養者以外の個人データを保有している可能性がある。）（問０１１） 過去の一時期のみ 5,000 件を超える場合であっても個人情報取扱事業者に該当するのか。

（答） 過去６か月以内のいずれの日においても 5,000 件を超えない場合は個人情報取4扱事業者とならないこととされているため（令第２条）、過去６か月以内の一時期でも 5,000 件を超える場合には個人情報取扱事業者に該当することとなる。（個人データが 5,000 件を超える「一時期」が個人情報取扱事業者に該当するのではなく、
過去６か月以内に一時期でも 5,000 件を超える場合には、現時点において個人情報取扱事業者に該当するということ。）
なお、６か月以内に消去することとなるものは「保有個人データ」（法第２条第５項）には当たらないため、開示請求の対象にはならないが、「個人データ」（同条第４項）には該当するため、5,000 件のカウントには含まれる。

5

＜利用目的の特定、公表等

第１５条〜第１８条関係＞（問１０１） 利用目的の変更の際、相当の関連性を有すると合理的に認められる範囲はどのような場合か。（法第 15 条）（答） 法は、利用目的の変更が認められる範囲として、「変更前の利用目的と相当の相関性を有する合理的に認められる範囲」という基準を設けているものであるので、当初に特定された利用目的からみて想定することが一般的に困難でない程度の関連性を有する範囲という趣旨である。
「相当の関連性」を有するか否かの判断は、社会通念上に照らしても客観的にみても合理的なものである必要がある。

（問１０２） 法第 18 条では、個人情報の利用目的を公表しなければならないとされているが、利用目的を「公表」するとは具体的にはどのような措置をとればよいのか。

（答） 健康保険組合のホームページへの掲載のほか、パンフレットの配布、事業所担当
窓口等の掲示・備付けの措置等が考えられる。健康保険法施行令第３条の規定に基づき行う公告と同程度以上の措置を講じられたい。

（問１０３） 利用目的の特定、公表とは、目的をどれほど詳細に公表すれば足りるのか。
医療保険事務に関すること、といった程度でよいのか。

（答） 特定、公表は、本人がその利用目的を知ることができる機会を設け、これにより個人情報の取扱いに関する本人の不安を緩和するとともに、本人自ら個人情報を提供する際に必要な注意を払うための契機を与えて、本人の権利利益の侵害を未然に防止するためのものであるため、なるべく具体的に特定、公表すべきである。
例えば、「医療保険事務に関すること」では足りず、より詳細に、①診療報酬の審査支払を行うため、②健康保険組合の運営の安定化のために必要な医療費分析を行うため、③被保険者及び被扶養者の健康の保持・増進のために行う指導のため、などとその具体的な利用目的が分かるように特定、公表すべきである。
具体的な利用目的の主な例としては、「健康保険組合等における個人情報の適切な取扱いのためのガイドライン」別表２参照。

6

（問１０４） 健康保険組合が審査支払のためにレセプトの個人情報を利用するのは法律上当然のことであるが、これも公表しなければならないのか。

（答） 個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用目的をできる限り特定しなければならない（法第 15 条）こととされ、個人情報を取得した
場合には、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない（法第 18 条第１項）こととされている。このため、法律上利用目的が明白な場合であっても、その利用目的は公表する必要がある。

（問１０５） 特定された利用目的の範囲を超える場合には、原則としてあらかじめ本人の同意が必要であるが、緊急性を要する場合にもあらかじめ本人の同意が必要か。

（答） 利用目的の範囲を超える場合には原則としてあらかじめ本人の同意が必要であり、あらかじめ本人の同意が不要となるのは法第 16 条第３項各号に規定された場合に限られる。
単に緊急を要するのみでは、各号の規定に該当しないため、あらかじめ本人の同意は必要となる。（人の生命の保護のために必要であって、あらかじめ同意を得ることが困難である等の条件を満たす必要がある。）（問１０６） 市町村等の医療費助成があるレセプトについて、付加給付を行う健保組合が給付が重複しないように、①事業所の担当者を経由して被保険者に照会、②健保組合から医療機関へ窓口負担の有無を照会、③健保組合から市町村等に医療費助成の有無を照会、をしているが、個人情報保護法に抵触しないか。

（答） 照会の結果、個人情報を取得することとなるので、当該個人情報の利用目的を本人に通知し、又は公表しなければならないこととされている（法第 18 条）

7＜データ内容の正確性の確保第１９条関係＞（問２０１） データの正確かつ最新の内容を確保することとなっているが、具体的には
どのような措置をとればよいのか。また資格喪失者の情報についても同様か。
（法第 19 条）（答） 個人情報の中には、現実には、何が正確で最新の情報であるか容易に判断できない場合が少なくなく、健保組合の側からそれを確かめる手段や方法がなく、本人にしか分からない場合もあることから、健保組合が利用目的の達成に必要な範囲内で自ら適切と考えかつ可能な限り正確性を確保すべきである。
なお、資格喪失者においても、同様の考えに基づいた対応が必要となる。

8

＜第三者提供（問３０１）

第２３条関係＞

個人データを第三者に提供する場合の基本ルールを教えて欲しい。

（答） 法では、原則としてあらかじめ本人の同意を得るべきこととし、一定の要件の下でのみ、あらかじめ本人の同意なく個人データを第三者に提供することを認めている。（法第 23 条）（問３０２）

本人の同意を求めるケースでは、すべて書面でもらう必要があるか。

（答） 必ずしも書面によることを要しないが、紛争回避の観点から書面によることが望ましい。口頭で同意を得る場合には、同意を得た方法、日時などを記録しておくことが望ましい。
（例えば、「17 年５月５日 16:00、本人に対し電話により連絡し、同意を得る。担当○○」といった記録を残しておくなど。）（問３０３） あらかじめ本人の同意なく、個人データを第三者に提供することができる場合とは、具体的にどのような場合か。

（答）(1) 法令に基づく場合（医療機関や健保組合が審査支払機関にレセプトを送付する場合など）、(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難である場合（例えば、①意識不明となった本人について、
血液型、家族の連絡先等に関する情報を医療機関等に提供する場合や、②災害発生時に、宿泊者の安否確認のために保養所が警察・消防機関等に対して宿泊者に関する情報を提供する場合など、人の生命、身体又は財産が害されるおそれが高まっているとき）、(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（例えば、健康診査やがん検診等から得られた情報を、疫学上の調査・研究のために、健保組合が研究者に提供する場合など）、(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（例えば、税務官署の職員又は地方公共団体の税務担当職員が、適正な課税の実現の観点から、
9

個々の質問検査権等の規定によらずに任意調査（課税上必要な資料情報の収集等）を行う場合や、助成金の支給のための事実関係の調査として健保組合から個人情報を含む情報の提供を求める場合、地方厚生局が健保組合の監査を行いレセプトをチェックする場合など）等である。（法第 23 条）（問３０４） 健保組合が審査支払機関にレセプトの再審査請求をする場合も、第三者提供に当たりあらかじめ本人の同意が必要となるのか。

（答） 法第 23 条第 4 項第 1 号の「個人情報取扱事業者が利用目的の達成に必要な範囲において個人データの取扱いの全部又は一部を委託する場合」に該当し、第三者提供には当たらない。
なお、委託する場合には、委託元の個人情報取扱事業者自らが実施する場合に求められるものと同程度の措置が委託先である業者において確保されるよう、必要な事項（例えば、目的外利用禁止や第三者提供の禁止、必要なセキュリティレベルの確保、再委託を認めると適切な保護が確保できない場合の再委託の禁止等が考えられる）を契約に盛り込むとともに、それが確実に遵守されるよう、適宜、委託先を監督・指導する必要がある。

（問３０５） 大学の研究者から研究のためにレセプトの提供を求められた。レセプト情報を提供してもよいのか。

（答） 法第 23 条第 1 項第 3 号の規定の「公衆衛生の向上のために特に必要がある場合」であって「本人の同意を得ることが困難であるとき」は、本人の同意が必要がないこととされている。健康診査やがん検診等から得られた情報を、疫学上の調査・研究のために、健康保険組合が研究者に提供する場合は、多くの場合などが考えられるが、特定の個人を識別する必要がない調査・研究である場合には、匿名化して提供することが望ましい。
なお、「特に必要がある場合」を判断するのは、研究者ではなく、個人情報取扱事業者である健康保険組合である。

10

（問３０６） 被保険者が生命保険に加入する際に所定の検査が必要となるが、事前に健診を受けていれば、その検査結果を代用できることになっている場合がある。
この場合、生命保険会社から被保険者の検査結果の提供を求められた場合、検査結果を提供してよいのか。

（答）

原則として、あらかじめ本人の同意なく提供してはならない。（法第 23 条）（問３０７） 非常勤職員が組合の会議室等でレセプト点検を行う場合も第三者提供に該当するのか。

（答） 非常勤職員であっても組合の職員であり、組合の業務として点検を行うことから、第三者に当たらない。

（問３０８）

レセプトの点検業務を第三者に委託する場合にも本人の同意が必要か。

（答） 利用目的の達成に必要な範囲において個人データの取扱いを委託する場合は、第三者に該当しないため、本人の同意は必要ない。（法第 23 条第 4 項第 1 号）
なお、委託する場合には、委託元の個人情報取扱事業者自らが実施する場合に求められるものと同程度の措置が委託先である業者において確保されるよう、必要な事項（例えば、目的外利用禁止や第三者提供の禁止、必要なセキュリティレベルの確保、業務の再委託を認めると適切な保護が確保できない場合の再委託の禁止等が考えられる）を契約に盛り込むとともに、それが確実に遵守されるよう、適宜、委託先を監督・指導する必要がある。
また、委託に当たっては、個人情報を保護する観点から、可能な限り、個人情報を匿名化した上で委託することが望ましい。

（問３０９） レセプトの画像取込（スキャン）を行った上、そのデータを統計に利用するという事業を行っている会社があるが、本人の同意を得ずに当該会社に統計作成を委託してよいのか。

（答）「問３０８」同様。

11

（問３１０） 健康保険被保険者証の検認又は更新の際には、事業所に一括して送付し、事業所から各被保険者へ配布している。このようなやり方は第三者提供に当たり、本人の同意が必要となるのではないか。

（答） 健康保険証等の交付、訂正、検認又は更新は、健康保険法施行規則第 47 条から第 50 条において事業主を経由して行うこととされており、法第 23 条第 1 項第1 号の「法令に基づく場合」に該当するため、事業所に送付することについて本人の同意を得る必要はない。

（問３１１） 被保険者資格の得喪に関する書類、給付に関する申請などが事業主経由で行われることあるが、気を付けることはあるか。

（答） 法は、第三者に個人データを提供する場合には、原則としてあらかじめ本人の同意を得るべきこととしているが、法令上、提供義務が明記されている場合はあらかじめ本人の同意を得ずに第三者に提供することを認めている。
まず、被保険者資格の得喪に関する書類は、健康保険法第 48 条では、被保険者の資格の取得及び喪失等に関する事項の届出義務を事業主に課し、同法第 49 条第1 項では、被保険者の資格の取得及び喪失の確認等を行った場合の事業主への通知を保険者に課していることから、あらかじめ本人の同意を得る必要はない。
一方、給付に関する申請の場合は、健康保険法施行規則第 84 条〜第 87 条において、傷病手当金、埋葬料、出産育児一時金及び出産手当金等の給付を受けようとする者は、所定の事項を記載した申請書を保険者に提出することとした権利行使の規定であり、事業主経由を求めているものではなく、かつ、その給付も事業主を経
由せずに行われることとされているため、第三者提供の除外規定には当たらない。
このように、給付に関する申請等その提出等の根拠が法令上義務とされていない
ものは、あらかじめ本人の同意を得ることが必要であることに留意する必要がある。

（問３１２） 健保連の共同事業として、健保連から委託を受けた指導員が、健保組合のレセプトをチェックし、レセプト審査の方法を助言することがあるが、法に抵触しないのか。

（答） 本人からみれば、健保連から委託を受けた者は、健保組合と異なる第三者に該当するので、健保組合は、原則として、あらかじめ本人の同意を得る必要がある。
しかしながら、健保組合と指導員の間に法 23 条第 4 項第１号の委託関係にある
場合、又は同項第 3 号の共同利用関係にある場合には、本人の同意は不要となる。
12

なお、委託する場合には、委託元の個人情報取扱事業者自らが実施する場合に求められるものと同程度の措置が委託先である業者において確保されるよう、必要な事項（例えば、目的外利用禁止や第三者提供の禁止、必要なセキュリティレベルの確保、再委託を認めると適切な保護が確保できない場合の再委託の禁止等が考えられる）を契約に盛り込むとともに、それが確実に遵守されるよう、適宜、委託先を監督・指導する必要がある。

（問３１３） 被扶養者本人に対する健康保険被保険者証の更新の際には、被保険者本人に配付すべきか、それとも被扶養者本人に送付すべきか。

（答） 健康保険法施行規則第 50 条第 5 項及び第６項の規定により、事業主を経由して、被保険者に交付されることとされており、法第 23 条第 1 項第 1 号の「法令に基づく場合」に該当するため、被扶養者本人の同意を得ずに被保険者へ送付することが可能である。

（問３１４） 健康保険組合から被保険者に対し医薬品を配布することがあるが、医薬品のリストと送付先名簿を業者に渡し、業者から被保険者に対し郵送することは可能か。

（答） 被保険者にとって業者は第三者に該当するため、原則としてあらかじめ本人の同意が必要である。
ただし、法第 23 条第 4 項第 1 号の規定により、個人情報取扱事業者が利用目的の達成に必要な範囲において個人データの取扱いの全部又は一部を委託する場合は、第三者に該当しないため、この場合には本人の同意は必要ない。
委託元の個人情報取扱事業者自らが実施する場合に求められるものと同程度の措置が委託先である業者において確保されるよう、必要な事項（例えば、目的外利用禁止や第三者提供の禁止、必要なセキュリティレベルの確保、再委託を認めると適切な保護が確保できない場合の再委託の禁止等が考えられる）を契約に盛り込むとともに、それが確実に遵守されるよう、適宜、委託先を監督・指導する必要がある。

（問３１５） 市区町村の国民健康保険担当から、資格喪失年月日、認定日などの照会がなされた場合の対応はどうしたらよいか。

（答） 国民健康保険法（昭和 33 年法律第 192 号）第 113 条の 2 第 3 項の規定によ
13

り、市町村は、必要な資料の提供を求めることが出来るとされており、法第 23 条
第 1 項第 1 号の「法令に基づく場合」に該当するため本人の同意なく、回答に応じて差し支えない。
なお、市区町村からの電話による問い合わせに回答する場合は、その場で即答せずに相手方の所属、氏名、代表電話番号、内線電話番号等を確認した後、折り返し
電話するなどの配慮が望ましい。照会元が疑わしい場合は、電話帳で当該市町村の代表番号を調べ、総務担当者等に確認するなどの工夫を行うこと。

（問３１６） 保険医療機関や保険薬局から、受給資格の有無の照会がなされた場合の対応はどうしたらよいか。

（答）原則として、あらかじめ本人の同意が必要である。
ただし、資格喪失後の受診の疑いがある場合に医療機関から照会が行われた場合
等にあっては、健保組合の財産の保護のために必要がある場合であって、本人の同意を得ることが困難である場合に該当するため、本人の同意を得ずに回答に応じて差し支えない。（法第 23 条第１項第２号）
なお、保険医療機関等からの電話による問い合わせに回答する場合は、その場で即答せずに相手方の所属、氏名、代表電話番号、内線電話番号等を確認した後、折り返し電話するなどの配慮が望ましい。照会元が疑わしい場合は、電話帳で当該医療機関の代表番号を調べ、総務担当者等に確認するなどの工夫を行うこと。

（問３１７） 法令上質問をすることができる旨が規定されているが、回答義務がない
場合又は回答しなくても刑罰がない場合にも、法第 23 条第１項第１号の「法令に基づく場合」に該当するのか。

（答）

該当する。

（問３１８） 警察署や労働基準監督署から、資格喪失年月日、療養の給付などの照会がなされた場合の対応はどうしたらよいか。

（答） 刑事訴訟法（昭和 23 年法律第 131 号）第 197 条第 2 項の規定により、検察官、検察事務官及び司法警察職員は、犯罪があると思料するときの捜査について、
公務所又は公私の団体に照会して必要な事項の報告を求めることが出来るとされており、法第 23 条第 1 項第 1 号の「法令に基づく場合」に該当するため本人の同意
14

なく、回答に応じて差し支えない。
〔注〕警察官や労働基準監督官が司法警察職員に該当する根拠条文【刑事訴訟法第 189 条】
警察官は、それぞれ、他の法律又は国家公安委員会若しくは都
道府県公安委員会の定めるところにより、司法警察職員としての職務を行う。
【労働基準法（昭和 22 年法律第 49 号）第 102 条】
労働基準監督官は、この法律違反の罪について、刑事訴訟法に規定する司法警察職員の職務を行う。
なお、警察署等からの電話による問い合わせに回答する場合は、その場で即答せずに相手方の所属、氏名、代表電話番号、内線電話番号等を確認した後、折り返し
電話するなどの配慮が望ましい。照会元が疑わしい場合は、電話帳で当該警察署又は労働基準監督署の代表番号を調べ、総務担当者等に確認するなどの工夫を行うこと。

（問３１９） 刑事訴訟法第 197 条第２項の規定に基づき、警察から健保組合に、「貴組
合に○○という被保険者はいるか」「貴組合に加入している A 事業所の事業主は誰か」との照会があった場合、回答してよいか。

（答） 法第 23 条第 1 項第 1 号の「法令に基づく場合」に該当するため本人の同意なく、回答に応じて差し支えない。
なお、第三者提供の制限は、すべての個人情報ではなく、「個人データ（法第２条第４項参照）」に限られるので、「個人データ」でない個人情報を第三者に提供する場
合には本人の同意は不要であることに留意されたい。
（例えば、健保組合においては、
レセプトや加入者資格は、通常検索できる状態にあるため「個人データ」に当たることが多い。一方、例えば健保組合に電話がかかり、「A さんいらっしゃいますか」と聞かれた場合に、A さんが在室中か否かは個人情報ではあるが、個人データではないので、Ａさんの同意を得ずに回答して構わない。）（問３２０） 健康保険組合の保健事業として、健康保険組合の医師や保健師が被保険者の健康相談を行っているが、その内容を健保組合の事務局に報告させる場合に本人の同意は必要となるか。

（答） この場合の医師又は保健師は健康保険組合に属する職員であるため、第三者には当たらず、本人の同意は必要ない。

15

（問３２１） 受診者が被扶養者の場合に、健保組合から被保険者に対し受診内容等の照会をすることがあるが、受診者（被扶養者）に直接確認しなければならないのか。

（答） 個人情報保護法上は、個人情報の取得に関しては、本人から直接得ることを求めているものではない。このため、被扶養者の連絡先を把握していない場合など、本人から取得することが困難である場合には、被保険者に照会して差し支えない。
ただし、個人情報保護法上は求められていないが、仮に容易に本人（被扶養者）から取得できるのであれば、本人から取得することが望ましい。

（問３２２） 資格喪失後の出産育児一時金の受給要件を満たしている被保険者が、夫の加入する社会保険事務局に家族出産育児一時金を請求した場合に、社会保険事務所より電話連絡で健康保険組合に支給の有無の照会があった。どのように対応したらよいか。

（答） 照会に回答を行う際に本人の同意を得ることとした場合には適切な給付ができなくなるため、多くの場合は、法第 23 条第 1 項第 4 号「国の機関若しくは地方公共団
体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要があって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき」に該当し、本人の同意なく回答することが可能であると考えられるが、本人の同意を容易に得ることができる場合には、あらかじめ本人の同意を得た上で回答することが望ましい。

（問３２３） 労働基準監督署より労災判定に関し、文書により、その関連するレセプト
内容（医療機関名、傷病名、診療点数等、診療日数・入院日数）の照会（レセプト要求なし）があった場合、どのように対応したらよいか。
例えば、管轄の健康保険組合に対して、労働基準監督署から健康保険の被保険者の傷病名や受診医療機関名、入院期間、医療費などの照会がなされた。何らかの傷病に際し、健康保険からの保険給付がなされた後、労災であることが判明し、労働基準監督署に申請がなされた。この場合、被保険者の傷病名などは個人情報にあたり、保険者たる健康保険組合としては
労働基準監督署へ情報提供することは許されるのか。

（答）「問３２２」同様。
16

（問３２４） 市町村より、健康保険組合に対し、乳幼児医療助成（現物給付）にかかる
レセプトの内容（受診医療機関ならびに請求点数）の照会があった場合、どのように対応したらよいか。

（答）「問３２２」同様。

（問３２５） 健保組合の保健指導で得た個人情報を提供するよう健保組合の上司から指示があったが、その個人情報を提供してよいか。

（答） 個人情報保護法上は、同じ健保組合内であれば、保健師もその上司も同一の主体であり、その間の個人情報の提供には規制がないが、保健師には守秘義務が課されており、正当な理由がなく、その業務上知り得た人の秘密を漏らしてはならないこととされている。
（保健師助産師看護師法（昭和 23 年法律第 203 号）第 42 条の 2 参照）
したがって、健保組合の上司は、正当な理由なく、保健師に対して報告を強制してはならない。

（問３２６） 以下の場合について、事業者と健保組合において、健診結果について共有することができるか。
① 事業者が、労働安全衛生法（昭和 47 年法律第 57 号）に基づいて行う健診及び同法の法定項目を超える健診を実施する場合② 事業者が、労働安全衛生法（昭和 47 年法律第 57 号）に基づいて行う健診を実施し、健保組合が、同法の法定項目を超える健診を実施する場合③ 健保組合が、労働安全衛生法（昭和 47 年法律第 57 号）に基づいて行う健診及び同法の法定項目を超える健診を実施する場合④ 事業者と健保組合が共同（健保組合が費用を一部負担（共同出資）している場
合を含む。⑤において同じ。
）で、労働安全衛生法（昭和 47 年法律第 57 号）に基づいて行う健診及び同法の法定項目を超える健診を実施する場合⑤ 事業者が、労働安全衛生法（昭和 47 年法律第 57 号）に基づいて行う健診を実施し、事業者と健保組合が共同で、同法の法定項目を超える健診を実施する場
合（答）

事業者と健保組合とは異なる主体であるので、①、②、③及び⑤の前段の健診
17について、健診実施者が他に健診結果を提供する場合は、原則として、あらかじめ本人の同意が必要である。
ただし、④及び⑤の後段の健診を実施する場合や、①、②及び⑤の前段の健診であっても健診結果に基づく事後指導を両者で共同で実施する場合は、「個人データを共同で利用する旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき」は、本人の同意は不要となる。（法第 23 条第 4 項第 3号）
なお、②及び⑤の場合において、両者で健診結果を提供しあう場合について、本人の同意を要する場合においては、例えば、事業者と健保組合が連名で本人に同意を求めるなどの手続きを行っても差し支えない。

（問３２７） 母体企業の人事部から、労働者が特定の仕事に適合するか否かを判定するためなど労務管理上の理由から、人間ドックの結果やレセプトの提供を求められた。提供してもよいのか。

（答） 人間ドックの結果の提供については、「問３２６」参照されたい。
また、レセプトについては、母体企業が労務管理のために利用することを目的とすることは適当でないため、健保組合のレセプトを母体企業に提供する場合は、原則として、あらかじめ本人の同意が必要である。
さらに、レセプトが医師の個人情報に該当する場合があることにも留意する必要もある。

（問３２８） 母体企業の産業医と、保険者が使用する医師が同一の医師である場合には、どうすればよいか。

（答） 母体企業と保険者は異なる主体であるため、母体企業の情報が健保組合に提供される場合、あるいは逆に健保組合の情報が母体企業に提供される場合には、原則としてあらかじめ本人の同意が必要である。
両者が同一の者である場合にも、原則としてあらかじめ本人の同意を得ることが必要であるが、法第 23 条第 4 項第 3 号の規定による共同利用をしている場合など
は同意を得ることは不要である。

18

（問３２９） 母体企業が労働安全衛生法（昭和 47 年法律第 57 号）に基づく健診を行う際に、安全衛生法の法定項目を超える健診を実施し、健保組合が当該超過
項目の費用を負担している。検診結果は、母体企業と健保組合が共有する。
このようなケースは認められるのか。

（答）「問３２８」参照。

（問３３０） 健保組合が行う健診結果の事後指導を産業医に依頼する場合には、どのよ
うなことに気を付ける必要があるか。

（答） 産業医への事後指導の依頼は、法第 23 条第 4 項第 1 号の「個人情報取扱事業者が利用目的の達成に必要な範囲において個人データの取扱いの全部又は一部を委託する場合」に該当し、第三者提供には当たらないこととなるため、被保険者の同意は要しない。
しかしながら、委託する場合には、委託元の個人情報取扱事業者自らが実施する場合に求められるものと同程度の措置が委託先である業者において確保されるよう、必要な事項（例えば、目的外利用禁止や第三者提供の禁止、必要なセキュリティレ
ベルの確保、再委託を認めると適切な保護が確保できない場合の再委託の禁止等が考えられる）を契約に盛り込むとともに、それが確実に遵守されるよう、適宜、委託先を監督・指導する必要があることに留意が必要。

（問３３１） 被保険者からの申請書類等は、事業主を通じて健保組合に提出されるが、事業主には健康保険組合と同等の個人情報保護の取扱基準が定められていな
い。健康保険組合の職員に課されている個人情報保護遵守基準と同等の基準を徹底すべきか。

（答） 事業主（所）が個人情報取扱事業者に該当する場合には、法の諸規定が適用される。
事業主（所）が個人情報取扱事業者に該当しない場合であっても、「雇用管理に関する個人情報を取り扱う者は、第三に（＊個人情報取扱事業者に）準じて、その適正な取扱いの確保に努めること」とされているところである。（「雇用管理に関する
個人情報の適正な取扱いを確保するために事業者が講ずべき措置に関する指針」（平成 16 年 7 月 1 日厚生労働省告示第 259 号））

19

（問３３２） 本人が容易に知り得る状態ではあったが、実際は本人は知らない場合には法第 23 条第 4 項第３号の規定を満たすのか。

（答） 法は「容易に知り得る状態」に置くことを求めているため、実際に本人が知ることまでを求めているものではないが、可能な限り「容易に知り得る状態」にすることが望ましい。
なお、「容易に知り得る状態」については、「問３３８」参照。

（問３３３） 母体企業の産業医に相談業務を委託することがあるが、その結果を健保組
合に報告してもらうことに支障はあるか。また、母体企業の産業医が健保組合の顧問医になっている場合はどうか。

（答） 個人情報を取得する健保組合の側から見ればその利用目的を特定、公表すれば足りる。
一方、個人情報を提供する母体企業の側から見れば、母体企業の産業医と健保組合に使用される医師は異なる主体であるため、原則として、母体企業の産業医から個人情報を健保組合に報告する場合には、母体企業はあらかじめ本人の同意を得ることが必要となる。
しかしながら、母体企業の産業医と健保組合が個人情報保護法第 23 条第 4 項第３号の共同利用である場合には、第三者提供に当たらないので、本人の同意を得ずに、結果報告を受けても差し支えない。
母体企業の産業医が健保組合の顧問医になっている場合も同様である。

（問３３４） 事業主が実施している健康診断の結果をもとに、健保組合の保健師が受診者に対し、健康相談を行うことは可能か。また、事業主から誰に対し健康相談を行ったのか、その健康相談の内容はどのようなものかと聞かれた場合にはどうすればよいか。

（答） 事業主と健保組合とは異なる主体であるため、事業主が保有する個人情報をもとに、健保組合の保健師が健康相談を行う場合には、原則として、健保組合に個人情報を提供することについてあらかじめ本人の同意が必要である。
また、あらかじめ健保組合に個人データを提供することについて本人の同意を得た場合であっても、健保組合の保健師が、誰を対象に行い、その内容がどのようなものかを事業主に伝える場合には、改めて本人の同意が必要である。
なお、事業主と健保組合の保健師が個人情報保護法第 23 条第 4 項第 1 号の委託
20

関係にあるときは、第三者提供に当たらないので、本人の同意は不要となる。
ただし、委託する場合には、委託元の個人情報取扱事業者自らが実施する場合に求められるものと同程度の措置が委託先である業者において確保されるよう、必要な事項（例えば、目的外利用禁止や第三者提供の禁止、必要なセキュリティレベルの確保、再委託を認めると適切な保護が確保できない場合の再委託の禁止等が考えられる）を契約に盛り込むとともに、それが確実に遵守されるよう、適宜、委託先を監督・指導する必要がある。

（問３３５） 人間ドック等の受診費用を健保組合が助成し、その結果を健診業者から健保組合にも直接送付してもらっているが、事前に本人の同意をとる必要があるか。

（答） 個人情報を取得する健康保険組合の側から見ればその利用目的を公表すれば足りる。健診業者の側からみれば、健診事業者と健保組合とは異なる主体となるため、健保組合へ個人情報を提供するに当たり、原則として、あらかじめ本人の同意が必要である。
ただし、健診業者の側では、健保組合等に健診結果を提供する際は、院内掲示等
により個人情報の利用目的を明示することで黙示の同意が得られているものとされている。
（「医療・介護関係事業者における個人情報の適切な取扱いのためのガイドライン」（平成 16 年 12 月 24 日付け医政局長、医薬食品局、老健局長通知））（問３３６） 健診で結核などの感染のおそれが高い疾病患者が見つかった場合にその人が勤務を続けていたら、これまでは会社に伝えていたが、この場合にも本人の同意を得なければならないのか。

（答） 健保組合と会社とは異なる主体となるため、感染のおそれが強くない疾病である場合には、原則として、あらかじめ本人の同意が必要である。
ただし、結核のように他人に感染するおそれが高い疾病である場合には、個人情報保護法第 23 条第 1 項第 3 号の「公衆衛生の向上〜のために特に必要がある場合であって、本人の同意を得ることが困難であるとき」に該当するため、本人の同意を得ずに伝えることができる。

（問３３７） いくつかの健康保険組合が共同して、レセプトの分析を行うことを予定している。この場合に気を付けることは何か。

21

（答） 個人データを共同で利用する旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているときは、健保組合どうしはそれぞれ第三者に該当せず、その間の共同利用について本人の同意は不要である。
（法第 23 条第 4 項
第 3 号）（問３３８） 法 23 条第 4 項第 3 号では、特定の者で共同利用する場合には、利用する者の範囲、責任者等を予め、本人の知り得る状態とすれば第三者提供に当たらず、本人の同意は不要とされているが、「本人が容易に知り得る状態」とはどのような状態をいうのか。

（答） 公表が継続的に行われている状態をいい、具体的には、①ホームページ等に継続的に掲載することや、②事業所の窓口等への掲示・備付け（健保組合の事務所だ
けでなく、加入事業所にも掲示・備え付けることが望ましい）、③会社の広報誌や組合のパンフレットの継続的な配布（3 か月に一度程度以上）などが考えられる。
また、健診結果を事業主と健保組合が共同利用する場合には、健診申込書にその旨を記載しておくなどの対応が望ましい。

（問３３９） レセプトから自動車事故であることが疑われる場合であっても、健保組合
は被保険者の電話番号を把握しておらず、直接連絡を取ることが難しい。このような場合に事業所の職員に傷病原因の照会をした場合には、法に抵触しないか。

（答） 個人情報を取得する健康保険組合の側から見れば、照会することにより個人情報を取得することとなるので、その利用目的を本人に通知し、又は公表しなければならない（法第 18 条）。
一方、事業所が個人情報取扱事業者に当たる場合には、その職員にとっては健保組
合は第三者に当たるので、健保組合からの照会に回答する場合には、原則として、あらかじめ本人の同意が必要となる。

（問３４０） 第三者行為において、健保組合が損害保険会社に請求する医療費を示すた
めに、レセプトの写しを損害保険会社へ送付しているが、法に抵触しないか。

22

（答） 損害保険会社と健保組合は異なる主体であり、レセプトの写しを提供するときは、あらかじめ本人の同意を得ることが原則である。
しかし、本人の同意を得られない場合であって、健保組合の財産の保護のために必要がある場合には、個人情報保護法第 23 条第 1 項第２号の「人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき」に該当するため、本人の同意を得ずに送付することができる。

（問３４１） 現在、医療費通知は被保険者とその家族をまとめて通知しているが、法施行後もこの取扱いでよいのか。また、社内便を用いて本人に送付しているがよいか。

（答） 家族同士であっても異なる個人であることから、原則として、被保険者とその家族のそれぞれに通知することとなるが、同じ封筒であっても、それぞれ宛に密閉した葉書であれば差し支えない。
ただし、あらかじめ被保険者及び被扶養者のそれそれの同意があれば、まとめて被保険者本人に通知しても差し支えない。この同意は必ずしも明示的なものでなくてもよいが、状況に照らし本人が実質的に同意していると判断できることが必要である。
法施行後にも医療費通知を家族分をまとめて行う場合には、法施行前に、「各被保険者及び被扶養者宛に医療費通知を家族分をまとめて行うこと」、及び「仮に同意しない場合には申し出てもらう必要があること」などと通知し、黙示の同意をとることなどが考えられる。
また、医療費通知の送付方法については、社内便で送付することも一般的には許されるが、企業（事業主）と健保組合は異なる主体となるため、本人の同意がない限り、企業（事業主）が本人の情報（個人情報）を見ることができないよう、必要な措置を講じられたい。

（問３４２） 当健康保険組合では、療養給付記録欄がある紙の被保険者証を発行しているが、これは、被保険者が受診する場合は被扶養者に関する個人情報を、被扶養者が受診する場合は被保険者に関する個人情報を、それぞれ情報主体と異なる者（受診者）が第三者（医療機関）に提供する形になっているが、個人情報保護法上、問題があるのではないか。

（答） 被保険者と被扶養者は異なる主体であり、相手の情報を第三者に提供することとなるが、個人情報取扱事業者には当たらないため法律上提供するに当たってそれぞれ相手の同意を得る必要はないが、相手の情報が安易に提供されることは本人情報の保23

護の観点から望ましい状態とは言えないため、健保組合としては、個人情報保護法上の問題はないとは言え、現在は、被保険者及び被扶養者が、療養給付記録欄が削除されたそれぞれ別個の被保険者証を有することができる措置が講じられているので、被保険者証を切り替えることにより、相手の情報が安易に提供されないようにすることが望ましい。

（問３４３） 当健康保険組合では、高額療養費の支給を本人の申請に基づかず、かつ、事業主を経由して支給することとしている。これは本人の同意を得ずに、個人データを第三者である事業主に提供していることになり、あらかじめ本人の同意が必要とならないか。

（答） 本件についても、あらかじめ本人の同意を得ることが必要となるが、この同意は必ずしも明示的なものでなくてもよく、状況に照らし本人が実質的に同意していると判断できることが必要である。法施行後にも高額療養費の支給を本人の申請に基づかず、事業主を経由して行う場合には、法施行前に、「高額療養費に該当した場合には申請に基づかず支給する。支給は事業主を経由して行うこと」、及び「仮にこれに同意しない場合には申し出てもらう必要があること」などと通知し、黙示の同意をとることなどが考えられる。

（問３４４） 法施行前にあらかじめ本人の同意を得ておくべき事項にはどのようなもの
があるか。

（答）

例えば以下のものが考えられる。
【例】① 高額療養費を本人の申請に基づかずに事業主経由で支給すること② 付加給付を本人の申請に基づかずに事業主経由で行うこと。
③ 医療費通知を世帯まとめて行うこと
なお、同意は、状況に照らし本人が実質的に同意していると判断できれば、必ずしも明示的なものでなくてもよいこととされており、かつ、これらは本人の利益になるもの又は事業者側の負担が膨大である上明示的な同意を得ることが必ずしも本人にとって合理的であるとは言えないものなどであることから、黙示の同意であっても差し支えない。
この場合において、健保組合は、法施行前に被保険者及び被扶養者に対し、仮に同意しない場合には申し出ていただく必要がある旨を添えて、被保険者及び被扶養者に通知する必要がある。
なお、被保険者又は被扶養者から同意しない旨の申し出があった場合には、医療費通知を世帯まとめて送付したり、高額療養費や付加給付を申請に基づかず事業主経由
24で行うといった取扱いを行ってはならない。

（問３４５） 健保組合がレセプトを売買したり、健保組合からレセプトによる医療費分
析などを受託している業者がレセプトを売買することは問題ないか。

（答） 健保組合がレセプトを売買することについては、健保組合の公法人としての性格に鑑み、許容すべきものではなく、また、健保組合が医療費分析などを委託するに当たっては、法律上、委託した個人データの安全管理が図られるよう委託業者に対して必要かつ適切な監督を行う義務があることとされているところ、委託業者が個人デー
タを売買することは、個人データの安全管理が図られているとは言えないため、健保組合から委託業者に対して、売買について禁止するよう指導すべき義務があると解せられる。

（問３４６） レセプト等を用いて、医療費分析や保健指導等をするに当たって、医師の同意を要するか。また、それらの業務を委託する場合はどうか。

（答） レセプト等が医師の個人情報に当たる場合であっても、個人情報保護法上、利用目的を、本人に通知し、又は公表する必要はあるが、例えばレセプトを使って医療費分析を行うに当たって、本人の同意を得ることまでは求められていないため、医師の同意を要しない。
ただし、例えば保健指導の際に、通常考えにくいが、担当医の個人情報を含めて保健指導を行う場合は、担当医の個人情報の被保険者への第三者提供となるため、当該担当医の同意が必要となる。
なお、保健指導等を行うに当たっては、引き続き、被保険者へレセプトを開示することにより本人の診療上問題ないかの医師の確認を取ることを求めている平成９年
保険局長通知「診療報酬明細書等の被保険者への開示について」の趣旨を踏まえ、本人の診療情報の取扱いについて、特段の配慮を行うこと。
また、医療費分析や受診指導等を委託するに当たっては、個人情報保護法上、委託元の健保組合は、委託を受けた者において当該個人情報の安全管理が図られるよう、必要かつ適切な監督を行う義務を負うこととなるが、業務の委託のために必要な範囲
内の委託先への個人情報の提供であれば、法律上、医師の同意を要しない。
なお、この場合においても、委託元である健保組合は、レセプト等の利用目的として、例えば「医療費分析の委託」のように利用目的を特定の上、本人（被保険者（及び医師の個人情報に当たる場合は医師））に通知し、又は公表する必要がある。

25

（問３４７） 健保組合がレセプトの個人情報に係る部分をマスキングした上で、当該レセプトのデータ処理業務を海外の会社に委託することは可能か。

（答） 個人情報としてのレセプトの処理業務の委託は、個人情報保護法上、委託元の健保組合は、委託を受けた者において当該個人情報の安全管理が図られるよう、必要かつ適切な監督を行う義務を負うが、個人情報をマスキングして、特定の個人を識別できない情報とした場合は、もはや個人情報ではないため、個人情報保護法上、委託先に対して監督義務を負わないこととなる。
しかしながら、医療情報というレセプトの公益性に鑑み、たとえそれがマスキング
により個人情報に該当しなくなったとしても、社会通念上、許容できる範囲内での取扱いとなるよう、委託先に対して必要な監督を行うことが望ましい。
なお、法律上、利用目的を特定し、本人に通知又は公表する必要があるため、例えば、利用目的として、「レセプト処理業務の委託」などと特定の上、本人に通知又は公表する必要がある。
また、個人情報をマスキングしたとしても、他の情報と照合することで特定の個人を識別することができる場合は、個人情報となるため、個人情報保護法上、委託先に対して監督義務を負うこととなり、また、「健康保険組合における個人情報保護の徹底について」（平成 14 年 12 月 25 日保険課長通知）に定める遵守基準の遵守が求められることとなるため、留意が必要。

26

＜開示請求手続（問４０１）

第２５条、第２９条、第３０条関係＞開示請求の手続きはどのようなものか。

（答） 診療報酬明細書、調剤報酬明細書、施設療養費明細書など（それらの写しを含む。）の開示の求めがあった場合には、別に定める指針（「診療報酬明細書等の被保険者等への開示について」（平成 17 年 3 月 31 日厚生労働省保険局長通知）及び「健康保険組合における診療報酬明細書等の開示の取扱いについて」（平成 17 年 3 月
31 日付け厚生労働省保険局保険課長通知））に基づいた取扱いとなる。
その他の保有個人データ（適用関係情報、健康診査関係情報等）の開示について
は、開示を求める者と個人情報の対象者が同一の者であることを確認することなど、一般的な基準に従い、開示されたい。

（問４０２） 開示請求の際に、本人であることの確認はどのように確認すればよいのか。

（答） 「診療報酬明細書等の被保険者等への開示について」（平 17 年 3 月 31 日厚生労働省保険局長通知）及び「健康保険組合における診療報酬明細書等の開示の取扱いについて」（平成 17 年 3 月 31 日付け厚生労働省保険局保険課長通知）を参照されたい。

（問４０３）

開示請求の手数料はどの程度に設定すればよいか。

（答） 実費を勘案して合理的であると認められる範囲において定めることとされている（法第 30 条）。手数料が割高であるため開示請求が困難となることのないよう、実際の事務に要した費用程度の額が適当である。
なお、行政機関の保有する情報の公開に関する法律施行令（平成 1２年政令第 4１号）に規定する開示に係る手数料は、①開示請求に係る手数料として文書 1 件につき 300 円、②開示実施手数料として開示請求文書が 15 枚以上の場合Ａ４文書
１枚につき 20 円（ただし 300 円に達するまでは無料）となっているので、参考とされたい。

27

（問４０４） 情報開示手続を定めるに当たっては、請求者に「過重な負担を課するものとならないよう配慮しなければならない」こととなっているが、具体的にどのようなことか。

（答） 法の趣旨として、開示等の本人関与の仕組みが利用されやすいものとなることが重要であることから、例えば、開示等の求めを受けるに当たって、本人確認等をすることは極めて重要なことではあるものの、不必要に膨大な証明書等の提示を求めたり、煩雑な手続を設ける等、個人情報の内容、性質に応じ過剰なものにならないようすべきである。また、受付窓口を不当に制限したり、とりわけ分かりにくく不便なところに設けること等がないようにすべきである。

（問４０５） 震災等でレセプトが散乱し、検索することが困難な状態の場合は、その事情を理由に開示しなくてよいか。

（答） レセプトなど紙ベースで保有される情報は、一時的に同一利用目的に係る定型的な保有個人情報を分類・整理しないまま大量に保有する状態が想定される。これらについて、仮に個人情報保護法の開示請求があっても、開示請求に係る保有個人情報を検索することが現実的には困難な状態にある場合がある。
このように、その中から特定の保有個人情報を検索することが著しく困難な状態にある保有個人情報は、開示等の規定が適用されない（法第 2 条第 2 項第 2 号、令第1 条）。
しかしながら、これらはいずれ整理されることが予定されているものであり、整理された段階で開示等の規定が適用されることになる。
したがって、仮にこのような状態にあったときは、その理由を説明し、開示を先延
ばしすることが望ましく、いずれにしても、整理された段階で開示することとなる。

（問４０６） 「保有個人データの全部又は一部を開示しないことができる」不開示の要件として、「個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合」があるが、健保組合においてどのようなことが考えられるか。

（答） 本規定は健保組合の恣意的判断を許容する趣旨ではなく、各規定の要件の該当性は客観的に判断される必要があり、また、事務又は事業の根拠となる規定・趣旨に照らし、個人の権利利益を保護する観点からの開示の必要性等の種々の利益を衡量した上で「適正な実施」といえるものであることが求められる。
28

「支障」の程度は、名目的なものでは足りず実質的なものが要求され、「おそれ」の程度も単なる確率的な可能性ではなく、法的保護に値する蓋然性が求められる。

（問４０７） 被保険者から医師の個人情報にも該当するレセプト等の開示請求があった場合、被保険者に対する個人情報の提供に当たって、医師の同意を要するか。また、医師の個人情報には該当しない場合はどうか。

（答） ①レセプトが担当医の個人情報に該当しない場合はもとより、②レセプトが担当
医の個人情報に該当する場合についても、健保組合は、被保険者への開示義務を負うこととなるが、開示することにより、「被保険者本人又は第三者の権利利益を害するおそれがあるかどうか」の判断（法第 25 条第 1 号）は、健保組合においては容易でな
いため、別に定める指針（「診療報酬明細書等の被保険者等への開示について」（平成17 年 3 月 31 日厚生労働省保険局長通知）及び「健康保険組合における診療報酬
明細書等の開示の取扱いについて」（平 17 年 3 月 31 日付け厚生労働省保険局保険課長通知））に基づき、開示に当たって、担当医の判断が必要となる。

（問４０８） レセプトの遺族への開示については、法が施行されても取扱いは変わらないのか。

（答） 個人情報の保護に関する法律は、生存する個人に関する情報についての法律であり、死亡した者に係る個人情報に関する遺族からの開示の依頼の取扱いは、法に基づく開示請求として取り扱うのではなく、これまで同様サービスの一環として、「開示依頼」として取り扱うこととなる。
なお、具体的な取扱いについては、別に定める指針（「健康保険組合における診療報酬明細書等の開示の取扱いについて」（平成 17 年 3 月 31 日付け厚生労働省
保険局保険課長通知））に基づき、各健保組合の判断において、開示することとなる。

（問４０９） 柔道整復等療養費について、「療養費支給申請書」には、施術した柔道整復師が「負傷名」を記載し、住所、氏名、電話番号も記載されている。これも患者の個人情報でもあり、柔道整復師の個人情報ということになるのか。仮に、そうなると、患者から開示請求があった場合は、レセプト開示と同じ取扱いとなるのか。

29

（答） 氏名等が記載されており、特定の個人として識別できれば、当該柔道整復師の個人情報に該当する。
ただし、柔道整復等療養費に係る療養費支給申請書は、既に被保険者等本人に内容が明かされていることから、「被保険者本人又は第三者の権利利益を害するおそれがあるかどうか」の判断を必要としないため、レセプト開示と同じ取扱いをする必要はな
い。

（問４１０）

一般的な「療養費支給申請書」や看護、移送に関わるものも、「傷病名」、「傷病の経過」、「治療等の内容」が記載されている。これも医師の個人情報に該当し、レセプトと同様の開示扱いとなるのか。また、「傷病手当金請求書」や「出産手当金請求書」も「傷病名」、｢発病等の原因｣、「傷病の主症状経過等」や「医師または助産婦の意見」の記載があり、同様の取り扱いとなるのか。

（答） 氏名等が記載されており、特定の個人として識別できれば、当該医師の個人情報に該当する。
なお、これらの書類は、既に被保険者等本人に内容が明かされていることから、「被保険者本人又は第三者の権利利益を害するおそれがあるかどうか」の判断を必要としないため、レセプト開示と同じ取扱いをする必要はない。

30

＜苦情の処理

第３１条、第４２条関係＞（問５０１） 健康保険組合で保有する個人情報の取扱いに係る苦情処理はどこが行うのか。

（答） 法は、個人情報の取扱いをめぐる苦情については、当事者間での解決を基本としており、個人情報取扱事業者に対して、苦情の適切かつ迅速な処理とその解決のための体制の整備に努めるべきことを定めているため、先ずは健康保険組合自らが苦情処理を行うこととなる。（法第 31 条）
しかし、当事者間で問題が解決しない場合には、まず、この法に基づく「認定個人情報保護団体」の制度を利用することが考えられる。この団体は、その事業者団体等に参加している個人情報取扱事業者に関する苦情の処理や相談をしたり、個人情報取扱事業者に対する助言を行うことをその役割とする。
（法第 42 条）
さらに、意図的に不正な取扱いを止めずに社会問題となるような悪質な個人情報取扱事業者については、その事業を所管する主務大臣の苦情相談窓口等に直接苦情を申し立てることも考えられる。主務大臣には、個人情報取扱事業者にこの法に定める義
務を遵守させるよう、報告徴収、助言、勧告及び命令という形で、個人情報取扱事業者に不適切な取扱いを是正するよう働きかける権限が与えられている（法第 32 条〜
第 34 条）。なお、健康保険組合に対する監督権限は、地方厚生局に委任されていることから、行政庁に対する苦情は先ずは各地方厚生局において処理することとなる。

（問５０２） 苦情処理のための必要な体制の整備とはどんなものか（法第 31 条第 2 項）。
認定個人情報保護団体があれば、各組合ごとに苦情処理窓口を設けなくとも良いのではないか。

（答） 個人情報の取扱いをめぐって健保組合と本人との間に生じるトラブルは、基本的には私人間の問題として当事者間で扱われるべきものであり、また、その解決を図る
上でも、まずは当事者間で解決することが望ましいことから、体制の整備としては、
例えば、健保組合に苦情処理の窓口を設置し担当者を決めておくことや、苦情処理の手順を定めること、苦情処理に当たる従事者の研修を行うことなどが考えられる。
また、本人が苦情の処理に関して第三者が関与することを希望する場合の仕組みの一つとして、認定個人情報保護団体が置かれることがあるが、この場合であっても、各健保組合は、苦情処理の窓口を設けなければならない。

31

（問５０３）

認定個人情報保護団体に求められるものは何か。

（答） 認定個人情報保護団体は、個人情報取扱事業者の個人情報の適正な取扱いの確保を目的とする業務を行うものとして、主務大臣から認可を受けた法人であるが、健康保険制度においては、傘下の健保組合を対象に、個人情報保護に係る普及・啓発を推進するほか、法の趣旨に沿った指針等を自主的なルールとして定めたり、個人情報の取扱いに関する被保険者等のための相談窓口を開設するなど、積極的な取組みを行う
ことが期待されている。

32

＜主務大臣第３４条関係＞（問６０１） 主務大臣の改善中止命令に対する違反につき、罰則を課すこととなっているが、「改善中止命令」とは口頭で行う場合もあるのか。

（答） 行政手続法（平成５年法律第 88 号）では、必ずしも不利益処分は書面によることとされていないが、この命令に違反した場合は罰則が適用されるため、書面により行うことが基本である。

（問６０２） 第三者提供等、義務規定に違反しても主務大臣の「改善中止命令」がなければ罰則はないと考えて良いのか。

（答）第三者提供等、義務規定に違反した場合、主務大臣は勧告し、その後「改善中止命令」
をし、当該改善中止命令に違反すれば、罰則を受けることとなる。

（問６０３）

主務大臣への報告はどのようなことが想定されているのか。（法第 32 条）（答） 報告の対象は個人情報の取扱いに関する事項であるが、具体的には、報告徴収のきっかけとなった問題次第でその内容は異なる。例えば、必要に応じ、個人情報の取扱いの実態、その管理形態、健保組合内の責任体制、開示等の求めに応じる手続の仕組み等が求められるものと考えられる。いずれにしても、問題となっている個人情報の取扱いの改善等の検討に必要な範囲でなければならない。それ以外の事項（例えば、個人情報の取扱いと関係のない当該健保組合の経営状況等）について報告を求めることは、認められていない。
また、個人情報保護法に基づく報告義務と健康保険法等に基づく報告義務は異なるものであるため、個人情報保護法では報告を求められない事項（個人情報を含む。）
であって、健康保険法の規定に基づき報告を求めることはあり得る。
なお、本条に基づく報告徴収は、行政不服審査法（昭和 37 年法律第 160 号）第2 条第 1 項に定義する「処分」に該当するものである。

33

＜経過措置＞（問７０１）

施行日前に収集した情報を利用する場合はどのような対応が必要か。

（答） 法は、施行の日以後に行われる個人情報の取扱いについて適用されるため、原則として、施行前に行われる個人情報の取扱いについては適用されない。
ただし、この法の適用関係を明確にするために、次の経過措置が設けられている。
① 本人の同意に関する経過措置（法附則第 2 条、第 3 条）
この法において明示的に本人の同意を求めている法第 16 条第 1 項又は第 2 項（利用目的による規定）及び第 23 条第 1 項（第三者提供の制限）について、施行前にこの法において求められる本人の同意に相当する同意がなされているときは、施行後に改めて本人の同意を得る必要はない。
この場合、施行前に本人から同意を得る際に示す利用目的が、法第 15 条の趣旨に照らして「できる限り特定」される程度の具体性を有しているかが重要である。
② 通知に関する経過措置（法附則第４条、第 5 条）
この法において、一定の事項について「あらかじめ」本人に通知するか、本人に容易に知り得る状態に置くことを求めている法第 23 条第 2 項及び第 4 項第 3 号について、施行前にこの法に規定するものに相当する内容の通知が行われているときは、施行後に改めて通知を行う必要はない。
この場合、施行前に行う通知が、法第 23 条第 2 項及び第 4 項第 3 号で求めている事項について正しく行われていること等が重要である。
なお、「本人が容易に知り得る状態」に置くことについては、それ自体継続性を持った概念であるため、経過措置は置かれておらず、施行日前からそのような状態としておくことが求められている。
このほか、各条文ごとの適用についての考え方は、次のとおりである。
第 15 条（利用目的の特定）・施行後に取り扱う個人情報について適用。
・施行前から継続的に取り扱っている個人情報については、施行日以降その目的を特定する義務が生じる。
第 16 条（利用目的の制限）
・施行後に行う個人情報の取扱いについて適用。
第 17 条（適正な取得）・施行後に取得する個人情報について適用。
第 18 条（取得に際しての利用目的の通知等）
・施行後に取得する個人情報について適用。
34

・施行前に取得した個人情報については本条に基づく通知・公表の義務はないが、それが施行後も「保有個人データ」として取り扱われる場合には第 24 条に基づく公表等の義務が課される。
第 2２条（委託先の監督）・施行後に個人データの取扱いを委託する場合について適用。
第 23 条（第三者提供の制限）
・施行後に行う個人データの第三者提供について適用。
第 24 条（保有個人データに関する事項の公表等）
・施行後に取り扱う保有個人データについて適用。
・施行前に保有していても、施行後 6 月内に消去することとなる個人デー
タについては「保有個人データ」に該当せず、当該個人情報取扱事業者の氏名又は名称、利用目的等を公表する等の義務は生じない。（法第 2条第 5 号、令第 4 条参照）35

＜14 年 12 月保険課長通知解釈＞（問８０１）

レセプトの点検事務を受託した業者がさらに再委託してもよいのか。

（答） 「健康保険組合における個人情報保護の徹底について」平成 14 年 12 月 25
日付け保保発第 1225001 号厚生省保険局保険課長通知により、個人情報に関する処理を複数の業者に委託する場合には、健保組合はそれぞれ直接、委託契約を締結することとされており、直接の契約関係を伴わない個人情報に関する処理の再委託は禁止している。
したがって、個人情報に関する処理について再委託するのであれば、原則として、健保組合と再委託先との直接の契約関係が必要である。

（問８０２） 個人情報の処理に関する業務を外部委託する場合、健保組合との直接の契約関係を伴わない再委託は禁止することとされているが、次のような場合はどうか。
【例】高齢者健康相談訪問事業を外部委託する場合
健保組合は高齢者健康相談訪問事業をＡに委託する。Ａは訪問のう
ち何件かをＢ及びＣに委託する。報告書などは、Ａから健保組合に提出されてくる。

（答） 同通知は、レセプトデータ処理や各種健診記録の編集などの「個人情報に関する処理」の直接の契約関係を伴わない再委託を禁止しているものであり、単に個人情報を有する業務そのものを再委託することを禁止しているものではないため、このような場合を禁止するものではない。
ただし、これと類似のケースとして、Ａが実際に訪問を行い個人情報を含む報告書を作成し、その報告書を編集することをＢへ委託するような場合は、本通知で言うところの個人情報に関する処理の再委託に当たるため、注意されたい。

（問８０３） 個人情報に関する処理の再委託が禁止されているが、例えば医療費通知の作成やレセプトの点検の委託を受けた業者が、そのレセプトを運ぶ際に運送会社を利用することも認められないのか。

（答） 「問８０２」同様。
なお、個人情報保護の観点から、委託業者において、レセプトを運ぶ運送会社が36

当該レセプトの個人情報に触れることのないよう、当該レセプトを梱包した上で運送を委託するなどの配慮が望ましい。
また、レセプトの点検の委託を受けた業者が、法律上の個人情報取扱事業者に当たらない場合であっても、個人情報保護の観点から、運送会社に対して、必要かつ適切な監督を行うよう努めることはもちろんのこと、健保組合においても、当該業者がそのように努めるよう、必要かつ適切な監督を行うことが必要である。

（問８０４） 生活習慣病健診を医療機関に委託しているが、当該医療機関が血液検査をさらに外部に委託している。このような取扱いも禁止されるのか。

（答）「問８０２」同様。
なお、健診の委託を受けた医療機関が、法律上の個人情報取扱事業者に当たらない場合であっても、個人情報保護の観点から、血液検査の委託先に対して、必要かつ適切な監督を行うよう努めることはもちろんのこと、健保組合においても、当該委託先がそのように努めるよう、必要かつ適切な監督を行うことが必要である。

（問８０５） 外部業者に業務処理委託を行っている場合には、定期的又は随時に調査等を行うこと（遵守基準）とされているが、年何回くらい行えばよいのか。

（答） 年１回程度の調査等を行うことが望ましいが、委託する業務の内容等に応じて必要な調査等を行われたい。

（問８０６） 個人情報の処理を外部の業者に委託する場合には、理事会に諮ることとされている（遵守基準）が、理事長の専決とすることができるのか、また、契約期間の更新や委託金額の変更の場合にも理事会に諮る必要があるのか。

（答） 遵守基準においては、理事会に諮ることとされており、適正な手続きの確保の観点から、理事長の専決にすることは認められない。
ただし、契約内容の変更の伴わない単なる契約期間の更新などについては、再度理事会に諮るかどうかを規程等に明示にした上、理事長の専決にすることとしても差し支えない。

37

（問８０７）

健保組合が業務を外部委託する際の判断として、次の場合は「個人情報に関する処理」に該当するかどうか。
① システムの保守業者が個人データの入ったハードディスクをハードデ
ィスクの製造メーカーに修理を委託する場合。
② ソフトウエアの保守（ソフトのパッチやバージョンアップ等の作業）で、サーバーのデータベースに個人情報は入っているが、個人情報を見ることがない保守作業を委託する場合。

（答） 「個人情報に関する処理」に当たるかどうかについては、①のように個人情報そのものを処理することを目的としていないが、委託業務を遂行するために個人情報（データ）の加工等が行われる又はその蓋然性が高い場合は該当するが、②のように個人情報（データ）の加工等が行われることがない場合は該当しないと考えられる。
なお、この場合、故意又は過失によって個人情報（データ）の改ざんや消去等が行われることまで想定する必要はない。

38

＜そ の 他＞

（問９０１） 個人情報取扱事業者として、JIS Q 15001 をクリアする必要があるか。
また、団体が付与する認証制度を取得する必要があるか。

（答） 健保組合においては、厚生労働省が示すガイドライン（年内策定予定）に従い、それぞれ必要な措置を講ずることが必要であるが、これらの制度を利用することを妨げるものではない。
〔参考〕JISQ15001 とは･･････経済産業省が制定した「民間部門における電子計算機処理に係る個人情報保護に関するガイドライン」をベースに、あらゆる産業分野に適用する国内基準として、1993 年 3 月に制定された日本工業規格「個人情報に関するコンプライアンス･プログラムの要求事項」（JISQ 15001）。

（問９０２） 業務処理システムにアクセスした際の「ログファイル」も「個人情報」と思われるがどのように管理すればよいか。具体的な基準を示していただきたい。

（答） 情報セキュリティに関して一般的に言われているが、実際にどの程度の安全管理措置を講ずるかは、保護しようとする個人情報の内容又は性質、利用方法等に照らしてどの程度の必要があるかということとのバランスが重要である。不十分な措置しか講じないことは問題であるが、過剰な措置を講ずる必要もないものと考えられるので、具体的な保護措置については、それぞれの健保組合の業務処理に応じて適切に判断する必要がある。
なお、各健保組合ごとにこれを判断することが必ずしも容易でない場合は、認定個
人情報保護団体等が作成するガイドライン等において基準となる考え方などを定めるなどして円滑に取組が進められることが望ましい。

（問９０３） 健保組合によるレセプトの直接審査を行う場合に、気をつけることは何か。

（答） 健保組合において直接審査を行う際の個人情報の取扱いについては、「個人情報保護の徹底について」（平成 14 年 12 月 25 日付け保発第 1225003 号厚生省保険局長通知）及び「健康保険組合における個人情報保護の徹底について」（平成 14
年 12 月 25 日付け保保発第 1225001 号厚生省保険局保険課長通知）を参照され39

たい。
また、審査を業者に委託する場合には、健保組合自らが実施する場合に求められるものと同程度の措置が委託先に確保されるよう、必要な事項（例えば、目的外利用や第三者提供、必要なセキュリティレベルの確保、再委託禁止等）を契約に盛り込むとともに、それが確実に遵守されるよう、適宜、委託先を確認・指導するなどの監督を行う必要がある。
なお、委託先において漏えい等の事故が発生した場合には、本人との係争においては、健保組合が当事者になることに留意されたい。

40