健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表※健康保険組合等における個人情報の適切な取扱いのためのガイダンスは、改正個人情報保護法等の施行の日（平成 29 年５月 30 日）から適用することとし、健康保険組合等における個人情報の適切な取扱いのためのガイドラインは平成 29 年５月 29 日をもって廃止します。

健康保険組合等における個人情報の適切な取扱いのための ガイダンス

健康保険組合等における個人情報の適切な取扱いのための ガイドライン

Ⅰ 本ガイダンス の趣旨、目的、基本的考え方
Ⅰ 本ガイドライン の趣旨、目的、基本的考え方
１．本ガイダンス の趣旨
１．本ガイドライン の趣旨
本ガイダンス は、「個人情報の保護に関する法律」（平成１５年法律第５７号。以下「法」とい本ガイドライン は、「個人情報の保護に関する法律」（平成１５年法律第５７号。以下「法」という。）及び「行政手続における特定の個人を識別するための番号の利用等に関する法律」（平成２５う。）第６条第３項 及び第８条の規定に基づき、健康保険組合及び健康保険組合連合会（以下「健年法第２７号。以下「番号法」という。）を踏まえ、「個人情報の保護に関する法律についてのガイ
保組合等」という。）が行う個人情報の適正な取扱いの確保に関する活動を支援するための ガイド
ドライン（通則編）」（平成２８年個人情報保護委員会告示第６号。以下「通則ガイドライン」といラインとして定めるものであり、厚生労働大臣が法を執行する際の基準となる ものである。
う。）を基礎とし、法第６条 及び第８条の規定に基づき、健康保険組合及び健康保険組合連合会（以下「健保組合等」という。
）が行う個人情報の適正な取扱いの確保に関する活動を支援するための具体的な留意点・事例等を示す ものである。
（新設）
なお、本ガイダンスは健保組合等における実例に照らした内容であるため、本ガイダンスに記載のない事項及び関係条文については「通則ガイドライン」、「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」（平成２８年個人情報保護委員会告示第７号）、「同ガイドライン（第三者提供時の確認・記録義務編）」（平成２８年個人情報保護委員会告示第８号）及び「同ガイドライン（匿名加工情報編）」（平成２８年個人情報保護委員会告示第９号）をそれぞれ参照されたい。
２．本ガイドライン の構成及び基本的考え方
個人情報の取扱いについては、法第３条において、「個人情報が、個人の人格尊重の理念の下に慎重に
個人情報の取扱いについては、法第３条において、「個人情報が、個人の人格尊重の理念の下に取り扱われるべきものである」とされていることを踏まえ、個人情報を取り扱う 全て の者は、その目慎重に取り扱われるべきものである」とされていることを踏まえ、個人情報を取り扱う すべて の的や様態を問わず、個人情報の性格と重要性を十分認識し、その適正な取扱いを図らなければならない。 者は、その目的や様態を問わず、個人情報の性格と重要性を十分認識し、その適正な取扱いを図らなければならない。
医療分野は、個人情報の性質や利用方法等から、法第６条に基づく 特に適正な取扱いの厳格な実施を
特に、医療分野は、「個人情報の保護に関する基本方針」（平成１６年４月２日閣議決定。以下確保する必要がある分野の一つである ことから 、保険診療に係る診療報酬明細書及び調剤報酬明細書「基本方針」という。）及び国会における附帯決議において、個人情報の性質や利用方法等から、特（以下「レセプト」という。
）等を取り扱う健保組合等においては、積極的な取組が 求められる 。
に適正な取扱いの厳格な実施を確保する必要がある分野の一つである と指摘されており、保険診
療に係る診療報酬明細書及び調剤報酬明細書（以下「レセプト」という。）等を取り扱う健保組合等においては、積極的な取組が 求められている 。
このことを踏まえ、本ガイダンス では、法の趣旨を踏まえ健保組合等における個人情報の適正な取扱
このことを踏まえ、本ガイドライン では、法の趣旨を踏まえ健保組合等における個人情報の適正いが確保されるよう、遵守すべき事項及び遵守することが望ましい事項をできる限り具体的に示しておな取扱いが確保されるよう、遵守すべき事項及び遵守することが望ましい事項をできる限り具体的に示しており、健保組合等においては、法令、基本方針 及び 本ガイドライン の趣旨を踏まえ、個（平成１６年４月２日閣議
り、健保組合等においては、法令、「個人情報の保護に関する基本方針」
決定。以下「基本方針」という。）及び 本ガイダンス の趣旨を踏まえ、個人情報の適正な取扱いに取人情報の適正な取扱いに取り組む必要がある。
り組む必要がある。
具体的には、健保組合等は、本ガイダンス の【法の規定により遵守すべき事項等】のうち、「しなけ
具体的には、健保組合等は、本ガイドライン の【法の規定により遵守すべき事項等】のうち、「しればならない」等と記載された事項については、法の規定により厳格に遵守することが求められる。まなければならない」等と記載された事項については、法の規定により厳格に遵守することが求めらた、【その他の事項】の「努めなければならない」「望ましい」等と記載された事項については、法に基れる。また、【その他の事項】については、法に基づく義務等ではないが、達成できるよう努める
づく義務等ではないが、達成できるよう努めることが求められる。
ことが求められる。

２．本ガイダンス の構成及び基本的考え方

３．本ガイドライン の対象となる「健保組合等」の範囲
本ガイダンス が対象としている事業者の範囲は、健康保険組合及び健康保険組合連合会である。
本ガイドライン が対象としている事業者の範囲は、健康保険組合及び健康保険組合連合会であ３．本ガイダンス の対象となる「健保組合等」の範囲

1

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

医療保険保険者のうち、個人情報の保護に関する法律（平成１５年法律第５７号）が適用されず、個人情報保護に関する他の法律や条例が適用される、市町村国民健康保険を運営する市町村等については、本ガイダンス の対象外となる。ただし、医療保険分野における個人情報保護の精神は同一であることから、これらの医療保険保険者も 本ガイダンス に十分配慮することが望ましい。
なお、レセプトのパンチ（入力）・点検業務、健康保険被保険者証の 作成 、人間ドック等の健診、保健指導など、健保組合等から委託を受けた業務を遂行する事業者においては、本ガイダンス のⅢ
４．に沿って適切な安全管理措置を講ずることが求められるとともに、当該委託を行う健保組合等
は、業務の委託に当たり、本ガイダンス の趣旨を理解し、本ガイダンス に沿った対応を行う事業
者を委託先として選定するとともに委託先事業者における個人情報の取扱いについて定期的に確認を行い、適切な運用が行われていることを確認する等の措置を講ずる必要がある。
（削除）

なお、健保組合等は、個人情報を提供してサービスを受ける被保険者等から、適切かつ円滑な保険給付及び保健事業（以下「保険給付等」という。）の実施が 期待されており、その実施の ために
最善の努力を行う必要があることに鑑み、本 ガイダンス の遵守を求めるものである。

る。
医療保険保険者のうち、個人情報の保護に関する法律（平成１５年法律第５７号）が適用されず、個人情報保護に関する他の法律や条例が適用される、政府管掌健康保険を管掌する国（社会保険庁）
や 市町村国民健康保険を運営する市町村等については、本ガイドライン の対象外となる。ただし、医療保険分野における個人情報保護の精神は同一であることから、これらの医療保険保険者も 本
ガイドライン に十分配慮することが望ましい。
なお、レセプトのパンチ（入力）・点検業務、健康保険被保険者証の 印刷作成 、人間ドック等の健診、保健指導など、健保組合等から委託を受けた業務を遂行する事業者においては、本ガイドラ
イン のⅢ４．に沿って適切な安全管理措置を講ずることが求められるとともに、当該委託を行う健保組合等は、業務の委託に当たり、本ガイドライン の趣旨を理解し、本ガイドライン に沿った対応を行う事業者を委託先として選定するとともに委託先事業者における個人情報の取扱いについて定期的に確認を行い、適切な運用が行われていることを確認する等の措置を講ずる必要がある。
また、法令上、「個人情報取扱事業者」としての義務等を負うのは健保組合等のうち、識別される
特定の個人の数の合計が過去６ヶ月以内のいずれの日においても 5,000 を超えない事業者を除くものとされている。
しかし、健保組合等は、個人情報を提供してサービスを受ける被保険者等から、そ の規模等によらず 適切かつ円滑な保険給付及び保健事業（以下「保険給付等」という。）の実施が 期待されていること、そのため、適切かつ円滑な保険給付等の実施の ために最善の努力を行う必要があること、また、被保険者及び被扶養者（以下「被保険者等」という。）の立場からは、どの健保組合が法令上の義務を負う個人情報取扱事業者に該当するかが分かりにくいこと等から、本ガイドラインにおいては個人情報取扱事業者としての法令上の義務を負う健保組合等に限らず、その規模等にかかわらず健保組合等を対象として、本ガイドライン の遵守を求めるものである。

４．本ガイダンス の対象となる「個人情報」の範囲
４．本ガイドラインの対象となる「個人情報」の範囲
法令上「個人情報」とは、生存する個人に関する情報であり、個人情報取扱事業者の義務等の対
法令上「個人情報」とは、生存する個人に関する情報であり、個人情報取扱事業者の義務等の対象となるのは、生存する個人に関する情報に限定されている。
象となるのは、生存する個人に関する情報に限定されている。
なお、当該 被保険者等 が死亡した後においても、健保組合等が当該被保険者等の情報を保存しなお、当該 被保険者及び被扶養者（以下「被保険者等」という。
）が死亡した後においても、健保組合等が当該被保険者等の情報を保存している場合には、漏えい、滅失又はき損等の防止のため、 ている場合には、漏えい、滅失又はき損等の防止のため、個人情報と同等の安全管理措置を講ずるものとする。
個人情報と同等の安全管理措置を講ずるものとする。
５．大臣 の権限行使との関係等
５．個人情報保護委員会 の権限行使との関係等
本ガイダンス 中、健保組合等が【法の規定により遵守すべき事項等】に記載された内容のうち、本ガイドライン 中、健保組合等が【法の規定により遵守すべき事項等】に記載された内容のう健保組合等の義務とされている内容を個人情報取扱事業者としての義務を負う健保組合等が遵守
ち、健保組合等の義務とされている内容を個人情報取扱事業者としての義務を負う健保組合等が遵しない場合、個人情報保護委員会 は、法第４０条から第４２条 の規定に基づき、「報告徴収」、
守しない場合、厚生労働大臣 は、法第３４条 の規定に基づき、「勧告」及び「命令」を行うこと
「立
入検査」
、
「指導」
、
「助言」
、
「勧告」及び「命令」を行うことがある。
がある。
（新設）
また、法第４４条第１項の規定に基づき、法第４０条第１項の規定による権限が個人情報保護委
員会から事業所管大臣に委任された場合には、厚生労働大臣が「報告徴収」及び「立入検査」を行うことができる。
６．健保組合等が行う措置の透明性の確保と対外的明確化
６．健保組合等が行う措置の透明性の確保と対外的明確化
法第３条では、個人の人格尊重の理念の下に個人情報を慎重に扱うべきことが指摘されている。
法第３条では、個人の人格尊重の理念の下に個人情報を慎重に扱うべきことが指摘されている。
2

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

健保組合等は、個人情報保護に関する考え方や方針に関する宣言（いわゆる、プライバシーポリ
シー、プライバシーステートメント等）及び個人情報の取扱いに関する明確かつ適正な規則を策定し、それらを対外的に公表することが求められる。また、被保険者等から当該本人の個人情報がどのように取り扱われているか等について知りたいという求めがあった場合は、当該規則に基づき、迅速に情報提供を行う等必要な措置を行うものとする。
個人情報保護に関する考え方や方針に関する宣言の内容としては、健保組合等が個人の人格尊重の理念の下に個人情報を取り扱うこと並びに、関係法令及び 本ガイダンス 等を遵守すること等、
個人情報の取扱いに関する規則においては、個人情報に係る安全管理措置の概要、本人等からの開示等の手続、第三者提供の取扱い、苦情への対応等について具体的に定めることが考えられる。
なお、利用目的等を広く公表することについては、以下のような趣旨があることに留意すべきである。
①健保組合等で個人情報が利用される意義について被保険者等の理解を得ること。
②健保組合等において、法を遵守し、個人情報保護のため積極的に取り組んでいる姿勢を対外的に明らかにすること。

健保組合等は、個人情報保護に関する考え方や方針に関する宣言（いわゆる、プライバシーポリ
シー、プライバシーステートメント等）及び個人情報の取扱いに関する明確かつ適正な規則を策定し、それらを対外的に公表することが求められる。また、被保険者等から当該本人の個人情報がどのように取り扱われているか等について知りたいという求めがあった場合は、当該規則に基づき、迅速に情報提供を行う等必要な措置を行うものとする。
個人情報保護に関する考え方や方針に関する宣言の内容としては、健保組合等が個人の人格尊重の理念の下に個人情報を取り扱うこと並びに、関係法令及び 本ガイドライン 等を遵守すること等、
個人情報の取扱いに関する規則においては、個人情報に係る安全管理措置の概要、本人等からの開示等の手続、第三者提供の取扱い、苦情への対応等について具体的に定めることが考えられる。
なお、利用目的等を広く公表することについては、以下のような趣旨があることに留意すべきである。
①健保組合等で個人情報が利用される意義について被保険者等の理解を得ること。
②健保組合等において、法を遵守し、個人情報保護のため積極的に取り組んでいる姿勢を対外的に明らかにすること。

７．責任体制の明確化と被保険者等窓口の設置等
７．責任体制の明確化と被保険者等窓口の設置等
健保組合等は、個人情報の適正な取扱いを推進し、漏えい等の問題に対処する体制を整備する必健保組合等は、個人情報の適正な取扱いを推進し、漏えい等の問題に対処する体制を整備する必要がある。このため、個人情報の取扱いに関し、専門性と指導性を有し、事業者の全体を統括する
要がある。このため、個人情報の取扱いに関し、専門性と指導性を有し、事業者の全体を統括する
組織体制・責任体制を構築し、規則の策定や安全管理措置の計画立案等を効果的に実施できる体制
組織体制・責任体制を構築し、規則の策定や安全管理措置の計画立案等を効果的に実施できる体制を構築するものとする。
を構築するものとする。
また、被保険者等に対しては、利用開始時に個人情報の利用目的を説明するなど、必要に応じてまた、被保険者等に対しては、利用開始時に個人情報の利用目的を説明するなど、必要に応じて分かりやすい説明を行う必要があるが、加えて、被保険者等が疑問に感じた内容を、いつでも、気分かりやすい説明を行う必要があるが、加えて、被保険者等が疑問に感じた内容を、いつでも、気軽に 問合せ できる窓口機能等を確保することが重要である。さらに、個人情報の取扱いに関し被軽に 問い合わせ できる窓口機能等を確保することが重要である。さらに、個人情報の取扱いに関保険者等からの相談や苦情への対応等を行う窓口機能等を整備するとともに、その窓口がサービスし被保険者等からの相談や苦情への対応等を行う窓口機能等を整備するとともに、その窓口がサーの提供に関する相談機能とも有機的に連携した対応が行える体制とするなど、被保険者等の立場にビスの提供に関する相談機能とも有機的に連携した対応が行える体制とするなど、被保険者等の立立った対応を行う必要がある。
場に立った対応を行う必要がある。
なお、個人情報の利用目的の説明や窓口機能等の整備、開示の 請求 を受け付ける方法を定める
なお、個人情報の利用目的の説明や窓口機能等の整備、開示の 求め を受け付ける方法を定める
場合等に当たっては、障害のある被保険者等にも配慮する必要がある。
場合等に当たっては、障害のある被保険者等にも配慮する必要がある。
８．遺族への個人情報の提供の取扱い
８．遺族への個人情報の提供の取扱い
法は、ＯＥＣＤ８原則の趣旨を踏まえ、生存する個人の情報を適用対象とし、個人情報の目的外
法は、ＯＥＣＤ８原則の趣旨を踏まえ、生存する個人の情報を適用対象とし、個人情報の目的外
利用や第三者提供に当たっては本人の同意を得ることを原則としており、死者の情報は原則として利用や第三者提供に当たっては本人の同意を得ることを原則としており、死者の情報は原則として個人情報とならないことから、法及び 本ガイドライン の対象とはならない。しかし、被保険者等
個人情報とならないことから、法及び 本ガイダンス の対象とはならない。しかし、被保険者等が死亡した際に、遺族から診療報酬明細書等の個人情報について照会が行われた場合、健保組合等は、 が死亡した際に、遺族から診療報酬明細書等の個人情報について照会が行われた場合、健保組合等
は、被保険者等本人の生前の意思、名誉等を十分に尊重しつつ、特段の配慮が求められる。このた被保険者等本人の生前の意思、名誉等を十分に尊重しつつ、特段の配慮が求められる。このため、め、別に定める指針 （現行の「診療報酬明細書等の被保険者への開示について」（平成９年６月２
別に定める指針（「診療報酬明細書等の被保険者等への開示について」（平成１７年３月３１日保発
第０３３１００９号）の内容）に基づき、遺族に対して診療報酬明細書等の個人情報の提供を行う
５日保険局長他連名通知）の内容の通知）に基づき、遺族に対して診療報酬明細書等の個人情報のものとする。
提供を行うものとする。
９．他の法令等との関係
９．他の法令等との関係
健保組合等は、個人情報の取扱いにあたり、法、基本方針及び 本ガイドライン に示す項目のほ健保組合等は、個人情報の取扱いにあたり、法、基本方針及び 本ガイダンス に示す項目のほか、
3

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

か、個人情報保護又は守秘義務に関する他の法令等の規定を遵守しなければならない。

個人情報保護又は守秘義務に関する他の法令等の規定を遵守しなければならない。

1０．認定個人情報保護団体における取組
1０．認定個人情報保護団体における取組
法第３７条 においては、個人情報取扱事業者の個人情報 の適正な取扱いの確保を目的とする業
法第４７条 においては、個人情報取扱事業者等の個人情報等 の適正な取扱いの確保を目的とする業務を行う法人等は 個人情報保護委員会 の認定を受けて認定個人情報保護団体となることがで務を行う法人等は 主務大臣 の認定を受けて認定個人情報保護団体となることができることとされきることとされている。認定個人情報保護団体となる関係団体は、傘下の健保組合を対象に、個人ている。認定個人情報保護団体となる関係団体は、傘下の健保組合を対象に、個人情報保護に係る情報保護に係る普及・啓発を推進するほか、法の趣旨に沿った指針等を自主的なルールとして定め
普及・啓発を推進するほか、法の趣旨に沿った指針等を自主的なルールとして定めたり、個人情報たり、個人情報の取扱いに関する被保険者等のための相談窓口を開設するなど、積極的な取組を行の取扱いに関する被保険者等のための相談窓口を開設するなど、積極的な取組を行うことが期待さうことが期待されている。
れている。
Ⅱ 用語の定義
１．個人情報（法第２条第１項）

Ⅱ 用語の定義
１．個人情報（法第２条第１項）（定義）
法第二条 この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
一 当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、電磁的方式その他人の知覚によっては認識することができない方式をいう。次項第二号において同じ。
）で作られる記録をいう。第十八条第二項において同じ。
）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人
識別符号を除く。
）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。
）
二 個人識別符号が含まれるもの（新設）「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日、その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することが できるものを含む。）、又は個人識別符号が含まれる
もの をいう。
「個人に関する情報」は、氏名、性別、生年月日 、顔画像 等個人を識別する情報に限られず、個人の身体、財産、職種、肩書等 の属性に関して、事実、判断、評価を表す 全て の情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化 等によって秘匿化 されているか否かを問わない。
また、例えばレセプトには、被保険者等について客観的に検査をしたデータもあれば、それに対して医師が判断した傷病名、診療行為が記載されている。これら全体が被保険者等個人に関する情報に当たるものであるが、あわせて、当該レセプトに係る診察をした医師の側からみると、自分が判断した傷病名、診療行為を書いているものでもあるので、レセプトに氏名が明記されている場合
や医療機関名から容易に特定の医師を識別できる場合については、医師個人に関する情報とも言うことができる。したがって、レセプト等に記載されている情報の中には、被保険者等と医師等双方の個人情報という二面性を持っている部分もあることに留意が必要である。
なお、死者に関する情報が、同時に、遺族等の生存する個人に関する情報でもある場合には、当「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日、その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することが できることとなるものを含む。）をいう。
「個人に関する情報」は、氏名、性別、生年月日等個人を識別する情報に限られず、個人の身体、財産、職種、肩書き等 の属性に関して、事実、判断、評価を表す すべて の情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化されているか否かを問わない。
また、例えばレセプトには、被保険者等について客観的に検査をしたデータもあれば、それに対して医師が判断した傷病名、診療行為が記載されている。これら全体が被保険者等個人に関する情報に当たるものであるが、あわせて、当該レセプトに係る診察をした医師の側からみると、自分が判断した傷病名、診療行為を書いているものでもあるので、レセプトに氏名が明記されている場合
や医療機関名から容易に特定の医師を識別できる場合については、医師個人に関する情報とも言うことができる。したがって、レセプト等に記載されている情報の中には、被保険者等と医師等双方の個人情報という二面性を持っている部分もあることに留意が必要である。
なお、死者に関する情報が、同時に、遺族等の生存する個人に関する情報でもある場合には、当該生存する個人に関する情報となる。
4

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

該生存する個人に関する情報となる。
本ガイダンス は、健保組合等が保有する個人情報を対象とするものであり、個人情報データベー
本ガイドライン は、健保組合等が保有する個人情報を対象とするものであり、個人情報データベ
ス等（７．参照）に整理されていない場合でも個人情報に該当する。
ース等（３．参照）に整理されていない場合でも個人情報に該当する。
健保組合等が保有する個人情報については、別表１参照。
健保組合等が保有する個人情報については、別表１参照。
※ 記載された氏名、生年月日、その他の記述等により特定の個人を識別することができるものは、 ※ 記載された氏名、生年月日、その他の記述等により特定の個人を識別することができるものは、
個人情報に該当する。
匿名化されたものを除き、個人情報に該当する。
２．個人識別符号（法第２条第２項）

（新設）

（定義）
法第二条
２ この法律において「個人識別符号」とは、次の各号のいずれかに該当する文字、番号、記号その他の符号のうち、政令で定めるものをいう。
一 特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号
その他の符号であって、当該特定の個人を識別することができるもの
二 個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ、又は個人に発行されるカードその他の書類に記載され、若しくは電磁的方式により記録された文
字、番号、記号その他の符号であって、その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され、若しくは記録されることにより、特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの
令第一条 個人情報の保護に関する法律（以下「法」という。）第二条第二項の政令で定める文字、
番号、記号その他の符号は、次に掲げるものとする。
一～二（略）
三 国民年金法（昭和３４年法律第１４１号）第十四条に規定する基礎年金番号四～五（略）
六 行政手続における特定の個人を識別するための番号の利用等に関する法律（平成２５年法律第２７号）第二条第五項に規定する個人番号
七 次に掲げる証明書にその発行を受ける者ごとに異なるものとなるように記載された個人情報保護委員会規則で定める文字、番号、記号その他の符号
イ 国民健康保険法（昭和３３年法律第１９２号）第九条第二項の被保険者証
ロ 高齢者の医療の確保に関する法律（昭和５７年法律第８０号）第五十四条第三項の被保険者証
ハ 介護保険法（平成 9 年法律第１２３号）第十二条第三項の被保険者証
八 その他前各号に準ずるものとして個人情報保護委員会規則で定める文字、番号、記号その他の符号規則第三条 令第一条第七号の個人情報保護委員会規則で定める文字、番号、記号その他の符号は、次の各号に掲げる証明書ごとに、それぞれ当該各号に定めるものとする。
一 令第一条第七号イに掲げる証明書 同号イに掲げる証明書の記号、番号及び保険者番号5

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

二 令第一条第七号ロ及びハに掲げる証明書
番号

同号ロ及びハに掲げる証明書の番号及び保険者

規則第四条 令第一条第八号の個人情報保護委員会規則で定める文字、番号、記号その他の符号は、次に掲げるものとする。
一 健康保険法施行規則（大正１５年内務省令第３６号）第四十七条第一項及び第二項の被保険者証の記号、番号及び保険者番号
二 健康保険法施行規則第五十二条第一項の高齢受給者証の記号、番号及び保険者番号
三～九（略）
十 国民健康保険法施行規則（昭和３３年厚生省令第５３号）第七条の四第一項に規定する高齢受給者証の記号、番号及び保険者番号十一～二十（略）「個人識別符号」とは、当該情報単体から特定の個人を識別できるものとして個人情報の保護に関する法律施行令（平成１５年政令第５０７号。以下「政令」という。
）に定められた文字、番号、記号その他の符号をいい、これに該当するものが含まれる情報は個人情報となる。
具体的な内容は、政令第１条及び個人情報の保護に関する法律施行規則（平成２８年個人情報保
護委員会規則第３号。以下「規則」という。
）第２条から第４条までに定められており、健康保険法（大正１１年４月２２日法律第７０号）に係るものについては、被保険者証及び高齢受給者証の記号、番号及び保険者番号が該当する。
したがって、当該記号、番号及び保険者番号のいずれもが含まれる情報は、個人情報となる。
（新設）

３．要配慮個人情報（法第２条第３項）
（定義）
法第二条
３ この法律において「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じない
ようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。
令第二条 法第二条第三項の政令で定める記述等は、次に掲げる事項のいずれかを内容とする記述等（本人の病歴又は犯罪の経歴に該当するものを除く。）とする。
一 身体障害、知的障害、精神障害（発達障害を含む。）その他の個人情報保護委員会規則で定める心身の機能の障害があること。
二 本人に対して医師その他医療に関連する職務に従事する者（次号において「医師等」という。
）により行われた疾病の予防及び早期発見のための健康診断その他の検査（同号において「健康診断等」という。
）の結果
三 健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと。
6

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

四 本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと。
五 本人を少年法（昭和２３年法律第１６８号）第三条第一項に規定する少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと。
規則第五条 令第二条第一号の個人情報保護委員会規則で定める心身の機能の障害は、次に掲げる障害とする。
一 身体障害者福祉法（昭和２４年法律第２８３号）別表に掲げる身体上の障害
二 知的障害者福祉法（昭和３５年法律第３７号）にいう知的障害
三 精神保健及び精神障害者福祉に関する法律（昭和２５年法律第１２３号）にいう精神障害（発達障害者支援法（平成１６年法律第１６７号）第二条第一項に規定する発達障害を含み、前号に掲げるものを除く。
）
四 治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生活及び社会生
活を総合的に支援するための法律（平成１７年法律第１２３号）第四条第一項の政令で定めるものによる障害の程度が同項の厚生労働大臣が定める程度であるもの「要配慮個人情報」とは、不当な差別や偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして法第２条第３項、政令第 2 条及び規則第５条で定める記述等が含まれる
個人情報をいう。なお、健保組合等において想定される要配慮個人情報に該当する情報とは、レセプト等に掲載された病歴、犯罪により害を被った事実、申請書等より確認した障害（身体障害、知的障害、精神障害等）の事実、健康診断の結果及び健康診断後の措置（医師による改善指導又は診療、調剤）が行われた事実等が挙げられる。
要配慮個人情報の取得や第三者提供には、原則として本人同意が必要である。
本人同意を得る方法として、被保険者等への保険給付等のために通常必要と考えられる個人情報の利用範囲をホームページへの掲載等により明らかにしておき、被保険者等から特段明確な反対・留保の意思表示がない場合には、これらの範囲内での個人情報の利用について同意が得られているものとする「黙示の同意」という考え方を用いることがある。（詳細はⅢ５．（３）を参照）
一方、要配慮個人情報については、法第２３条第２項の規定により、一定の条件を満たすことで本人同意を得ることなく第三者提供する方法（オプトアウトによる第三者提供）は認められない。
なお、健保組合等においては、第三者への提供を目的として個人情報を取得することは通常想定されない。
【要配慮個人情報のポイント】
要配慮個人情報を取得する場合、本人同意が必要である。（Ⅲ３．参照）（新設）

４．特定個人情報（番号法第 2 条第８項）
番号法第二条８ この法律において「特定個人情報」とは、個人番号（個人番号に対応し、当該個人番号に7

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

代わって用いられる番号、記号その他の符号であって、住民票コード以外のものを含む。第七条第一項及び第二項、第八条並びに第四十八条並びに附則第三条第一項から第三項まで及び第五項を除き、以下同じ。
）をその内容に含む個人情報をいう。
「特定個人情報」とは番号法に定める個人番号をその内容に含む個人情報をいう。特定個人情報については、番号法の対象となるだけでなく、個人情報として法の対象となることに留意が必要である。
「特定個人情報」に関する具体的な取扱等については、「特定個人情報の適正な取扱いに関するガイドライン（事業者編）平成２６年１２月１１日 個人情報保護委員会」及び「医療保険者向け
デジタル PMO」サイトを参照のこと。
２．個人情報の匿名化
５．個人情報の匿名化
当該個人情報から、当該情報に含まれる氏名、生年月日、住所等 、個人を識別する情報を取り除
当該個人情報から、当該情報に含まれる氏名、生年月日、住所、個人識別符号等 、個人を識別すくことで、特定の個人を識別できないようにすることをいう。顔写真については、一般的には目のる情報を取り除くことで、特定の個人を識別できないようにすることをいう。顔写真については、部分にマスキングすることで特定の個人を識別できないと考えられる。なお、必要な場合には、そ
一般的には目の部分にマスキングすることで特定の個人を識別できないと考えられる。なお、必要の人と関わりのない符号又は番号を付すこともある。
な場合には、その人と関わりのない符号又は番号を付すこともある。
このような処理を行っても、健保組合等内で個人情報を利用する場合は、健保組合等内で得られこのような処理を行っても、健保組合等内で個人情報を利用する場合は、健保組合等内で得られる他の情報や匿名化に際して付された符号又は番号と個人情報との対応表等と照合することで特る他の情報や匿名化に際して付された符号又は番号と個人情報との対応表等と照合することで特定の被保険者等が識別されることも考えられる。法においては、「他の情報と容易に照合すること
定の被保険者等が識別されることも考えられる。法においては、「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるもの」についても個人情報に含ができ、それにより特定の個人を識別することができることとなるもの」についても個人情報に含まれるものとされており、匿名化に当たっては、当該情報の利用目的や利用者等を勘案した処理をまれるものとされており、匿名化に当たっては、当該情報の利用目的や利用者等を勘案した処理を行う必要があり、あわせて、本人の同意を得るなどの対応も考慮する必要がある。
行う必要があり、あわせて、本人の同意を得るなどの対応も考慮する必要がある。
また、特定の被保険者等の健診の結果や保健指導の事例を集団で行う保健指導で紹介したり、健また、特定の被保険者等の健診の結果や保健指導の事例を集団で行う保健指導で紹介したり、健保組合等の機関誌に掲載したりする場合等は、氏名、生年月日、住所等 を消去することで匿名化さ保組合等の機関誌に掲載したりする場合等は、氏名、生年月日、住所、個人識別符号等 を消去するれると考えられるが、健診の結果や保健指導の事例により十分な匿名化が困難な場合は、本人の同ことで匿名化されると考えられるが、健診の結果や保健指導の事例により十分な匿名化が困難な場
意を得なければならない。
合は、本人の同意を得なければならない。
（新設）
なお、このような集団で行う保健指導での紹介等のために用いられる特定の被保険者等の健診結果等の匿名化は、匿名加工情報（Ⅱ６．参照）とは定義や取扱いのルールが異なるので留意が必要
である。
（新設）

６．匿名加工情報（法第２条第９項）
（定義）
法第二条
9 この法律において「匿名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。
一 第一項第一号に該当する個人情報 当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）。
8

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

二 第一項第二号に該当する個人情報 当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）。
「匿名加工情報」とは、個人情報を個人情報の区分に応じて定められた措置を講じて特定の個人を識別することができないように加工して得られる個人に関する情報であって、当該個人情報を復元して特定の個人を再識別することができないようにしたものをいう。
【匿名加工情報のポイント】
個人情報から匿名加工情報を作成する場合には、規則で定める基準に従って加工する等一定の制限を受けることとなる。詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン（匿名加工情報編）」（平成２８年個人情報保護委員会告示第９号）を参照のこと。
匿名加工情報取扱事業者（法第 2 条第 10 項関係）
匿名加工情報取扱事業者の定義については、別途定める「個人情報の保護に関する法律についてのガイドライン（匿名加工情報編）」（平成２８年個人情報保護委員会告示第９号）を参照のこと。
（参考）
（定義）
法第二条
１０ この法律において「匿名加工情報取扱事業者」とは、匿名加工情報を含む情報の集合物であって、特定の匿名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の匿名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第三十六条第一項において「匿名加工情報データベース等」という。）
を事業の用に供している者をいう。ただし、第五項各号に掲げる者を除く。
令第六条 法第二条第十項の政令で定めるものは、これに含まれる匿名加工情報を一定の規則に従って整理することにより特定の匿名加工情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するものをいう。
７．個人情報データベース等（法第２条 第４項 ）、個人データ（法第２条 第６項 ）、保有個人データ ３．個人情報データベース等（法第２条 第２項 ）、個人データ（法第２条 第４項 ）、保有個人データ（法第２条 第５項 ）（法第２条 第７項 ）
（新設）

（定義）
法第二条
４ この法律において「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるもの（利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものを除く。
）をいう。
一 特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの
二 前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構9健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

成したものとして政令で定めるもの
令第三条 法第二条第四項の利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものは、次の各号のいずれにも該当するものとする。
一 不特定かつ多数の者に販売することを目的として発行されたものであって、かつ、その発行が法又は法に基づく命令の規定に違反して行われたものでないこと。
二 不特定かつ多数の者により随時に購入することができ、又はできたものであること。
三 生存する個人に関する他の情報を加えることなくその本来の用途に供しているものであること。
2 法第二条第四項第二号の政令で定めるものは、これに含まれる個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するものをいう。
「個人情報データベース等」とは、特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した個人情報を含む情報の集合体、又はコンピュータを用いていない場合であっても、紙面で処理した個人情報を一定の規則（例えば、五十音順、生年月日順など）に従って
整理・分類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に 置いている ものをいう。

「個人情報データベース等」とは、特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した個人情報を含む情報の集合体、又はコンピュータを用いていない場合であっても、紙面で処理した個人情報を一定の規則（例えば、五十音順、生年月日順など）に従って
整理・分類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に おいている ものをいう。

（定義）
法第二条
6 この法律において「個人データ」とは、個人情報データベース等を構成する個人情報をいう。

（新設）「個人データ」とは「個人情報データベース等」を構成する個人情報をいう。

「個人データ」とは「個人情報データベース等」を構成する個人情報をいう。

（定義）
法第二条
7 この法律において「保有個人データ」とは、個人情報取扱事業者が、開示、内容の訂正、追加
又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの又は一年以内の政令で定める期間以内に消去することとなるもの以外のものをい
う。

（新設）

令第四条 法第二条第七項の政令で定めるものは、次に掲げるものとする。
一 当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの
二 当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの
三 当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しく
は国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を10

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

被るおそれがあるもの
四 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの
令第五条 法第二条第七項の政令で定める期間は、六月とする。
「保有個人データ」とは、個人データのうち、個人情報取扱事業者が、開示、内容の訂正、追加
又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有するものをいう。ただし、①その存否が明らかになることにより、公益その他の利益が害されるもの、②６ヶ月以内に消去する（更新することは除く。）こととなるものは除く。
レセプトや健診結果、保健指導記録等については、媒体の如何にかかわらず個人データベース等に該当する。

「保有個人データ」とは、個人データのうち、個人情報取扱事業者が、開示、内容の訂正、追加
又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有するものをいう。ただし、①その存否が明らかになることにより、公益その他の利益が害されるもの、②６ヶ月以内に消去する（更新することは除く。）こととなるものは除く。
レセプトや健診結果、保健指導記録等については、媒体の如何にかかわらず個人データベース等に該当する。

４．本人の同意

８．本人の同意「本人の同意」とは、本人の個人情報が、個人情報取扱事業者によって示された取扱方法で取り扱われることを承諾する旨の当該本人の意思表示をいう（当該本人であることを確認できていることが前提となる。
）。
また、「本人の同意を得（る）」とは、本人の承諾する旨の意思表示を当該個人情報取扱事業者が認識することをいい、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。
なお、個人情報の取扱いに関して同意したことによって生ずる結果について、未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力を有していないなどの場合は、親権者や法定代理人等から同意を得る必要がある。
【本人の同意を得ている事例】
事例 1）本人からの同意する旨の口頭による意思表示
事例 2）本人からの同意する旨の書面（電磁的記録を含む。
）の受領事例 3）本人からの同意する旨のメールの受信事例 4）本人による同意する旨の確認欄へのチェック
事例 5）本人による同意する旨のホームページ上のボタンのクリック
事例 6）本人による同意する旨の音声入力、タッチパネルへのタッチ、ボタンやスイッチ等に
よる入力

（新設）

法は、個人情報の目的外利用や第三者提供の場合には、原則として本人の同意を得ることを求めている。これは、法の基本となるＯＥＣＤ８原則のうち、利用制限の原則の考え方の現れであるが、健保組合等については、被保険者等に適切な保険給付等を提供する目的のために、当該健保組合等において、通常必要と考えられる個人情報の利用範囲を健保組合等のホームページへの掲載のほか、パンフレットの配布、事業所担当窓口や健保組合等の掲示板への掲示・備付けや公告等により明らかにしておき、このうち、被保険者等の利益になるもの又は必ずしも利益になるものではない
が医療費通知など事業者側（健保組合等）の負担が膨大である上必ずしも被保険者等本人にとって法は、個人情報の目的外利用や第三者提供の場合には、原則として本人の同意を得ることを求めている。これは、法の基本となるＯＥＣＤ８原則のうち、利用制限の原則の考え方の現れであるが、健保組合等については、被保険者等に適切な保険給付等を提供する目的のために、当該健保組合等において、通常必要と考えられる個人情報の利用範囲を健保組合等のホームページへの掲載のほか、パンフレットの配布、事業所担当窓口や健保組合等の掲示板への掲示・備付けや公告等により明らかにしておき、このうち、被保険者等の利益になるもの又は必ずしも利益になるものではない
が医療費通知など事業者側（健保組合等）の負担が膨大である上必ずしも被保険者等本人にとって合理的であるとは言えないものについては、被保険者等から特段明確な反対・留保の意思表示がな

11

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

い場合には、これらの範囲内での個人情報の利用について同意が得られているものと考えられる。

合理的であるとは言えないものについては、被保険者等から特段明確な反対・留保の意思表示がない場合には、これらの範囲内での個人情報の利用について同意が得られているものと考えられる。
（Ⅲ５．
（３）（４）参照）
なお、これらの場合において被保険者等の理解力、判断力などに応じて、可能な限り被保険者等
本人に通知し、同意を得るよう努めることが重要である。

（Ⅲ５．（３）（４）参照）
なお、これらの場合において被保険者等の理解力、判断力などに応じて、可能な限り被保険者等
本人に通知し、同意を得るよう努めることが重要である。
（新設）【要配慮個人情報における本人の同意について】
健保組合等が要配慮個人情報を書面又は口頭等により本人から適正に直接取得する場合は、本人が当該情報を提供したことをもって、当該個人情報取扱事業者が当該情報を取得することについて本人の同意があったものと解される。
Ⅲ 健保組合等の義務等
１．利用目的の特定等（法第１５条、第１６条）

Ⅲ 健保組合等の義務等
１．利用目的の特定等（法第１５条、第１６条）（利用目的の特定）法第十五条 個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。
）をできる限り特定しなければならない。
２ 個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。
（利用目的による制限）
法第十六条 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
２ 個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
３ 前二項の規定は、次に掲げる場合については、適用しない。
一 法令に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

（利用目的の特定）法第十五条 個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。
）をできる限り特定しなければならない。
２ 個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と 相当の 関連性を有すると合理的に認められる範囲を超えて行ってはならない。
（利用目的による制限）
法第十六条 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
２ 個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
３ 前二項の規定は、次に掲げる場合については、適用しない。
一 法令に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

（１）利用目的の特定及び制限（１）利用目的の特定及び制限
健保組合等が保険給付等を希望する被保険者等から個人情報を取得する場合、当該個人情報を被健保組合等が保険給付等を希望する被保険者等から個人情報を取得する場合、当該個人情報を被保険者等に対する保険給付等の提供、健保組合等の保険給付等に係る事務 や番号法に基づく個人
保険者等に対する保険給付等の提供、健保組合等の保険給付等に係る事務などで利用することは被保険者等にとって明らかと考えられる。
番号の利用 などで利用することは被保険者等にとって明らかと考えられる。
これら以外で個人情報を利用する場合は、被保険者等にとって必ずしも明らかな利用目的とはい
これら以外で個人情報を利用する場合は、被保険者等にとって必ずしも明らかな利用目的とはい
12

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

えない。この場合は、個人情報を取得するに当たって明確に当該利用目的の公表等の措置が講じられなければならない。
（Ⅲ２．参照）
健保組合等の通常の業務で想定される利用目的は別表２に例示されるものであり、健保組合等
は、これらを参考として、自らの業務に照らして通常必要とされるものを特定して公表（健保組合等のホームページへの掲載等）しなければならない。（Ⅲ２．参照）
なお、別表２に掲げる利用目的の範囲について法第１５条第２項に定める利用目的の変更を行う
場合、変更された利用目的については、本人へ通知又は公表しなければならない。（Ⅲ２．参照）

えない。この場合は、個人情報を取得するに当たって明確に当該利用目的の公表等の措置が講じられなければならない。（Ⅲ２．参照）
健保組合等の通常の業務で想定される利用目的は別表２に例示されるものであり、健保組合等
は、これらを参考として、自らの業務に照らして通常必要とされるものを特定して公表（健保組合等のホームページへの掲載等）しなければならない。（Ⅲ２．参照）
また、別表２に掲げる利用目的の範囲について は、法第１５条第２項に定める利用目的の変更を行う ことができると考えられる。ただし、変更された利用目的については、本人へ通知又は公表しなければならない。（Ⅲ２．参照）（２）利用目的による制限の例外（２）利用目的による制限の例外
健保組合等は、あらかじめ本人の同意を得ないで法第１５条の規定により特定された利用目的の健保組合等は、あらかじめ本人の同意を得ないで法第１５条の規定により特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならないが（法第１６条第１項）、同条第３項
達成に必要な範囲を超えて個人情報を取り扱ってはならないが（法第１６条第１項）、同条第３項に掲げる場合については、本人の同意を得る必要はない。具体的な例としては以下のとおりである。 に掲げる場合については、本人の同意を得る必要はない。具体的な例としては以下のとおりである。
①法令に基づく場合①法令に基づく場合
健康保険法 第２９条 又は第１９８条に基づく立入検査等、法令に基づいて個人情報を利用する
健康保険法 第２７条 又は第１９８条に基づく立入検査等、法令に基づいて個人情報を利用する
場合
場合根拠となる法令の規定としては、一般に刑事訴訟法第２１８条（令状による捜査）、地方税法第根拠となる法令の規定としては、一般に刑事訴訟法第２１８条（令状による捜査）、地方税法第７２条の６３（個人の事業税に関する調査に係る質問検査権 、各種税法に類似の規定あり）等が考
７２条の６３（個人の事業税に係る質問検査権 、各種税法に類似の規定あり）等が考えられる。
えられる。
これらの法令は強制力を伴って回答が義務づけられるため、健保組合等は捜査等が行われた場
これらの法令は強制力を伴って回答が義務づけられるため、健保組合等は捜査等が行われた場
合、回答する義務が生じる。
合、回答する義務が生じる。
また、刑事訴訟法第１９７条第２項（捜査に必要な取調べ）等については、法の例外規定の対象
また、刑事訴訟法第１９７条第２項（捜査に必要な取調べ）等については、法の例外規定の対象であるが、当該法令において任意協力とされており、健保組合等は取調べ等が行われた場合、回答であるが、当該法令において任意協力とされており、健保組合等は取調べ等が行われた場合、回答するか否かについて個別の事例ごとに判断する必要がある。この場合、本人の同意を得ずに個人情するか否かについて個別の事例ごとに判断する必要がある。この場合、本人の同意を得ずに個人情
報 の提供を行った としても、法第１６条違反とはならないが、当該本人からの民法に基づく損害報 を取扱った としても、法第１６条違反とはならないが、当該本人からの民法に基づく損害賠償賠償請求等を求められるおそれがある。
請求等を求められるおそれがある。
②人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難で ②人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難で
あるとき
あるとき
（例）
（例）
・意識不明となった被保険者等について、家族の連絡先等に関する情報を医療機関等に提供する場
・意識不明となった被保険者等について、家族の連絡先等に関する情報を医療機関等に提供する場
合合③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を ③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき得ることが困難であるとき（例）（例）
・疫学上の調査・研究のために、健康診査やガン検診等から得られた情報を個人名を伏せて研究者・疫学上の調査・研究のために、健康診査やガン検診等から得られた情報を個人名を伏せて研究者に提供する場合に提供する場合
・医療安全の向上のため、健保組合にレセプトを提出する医療機関で発生した医療事故等に関する・医療安全の向上のため、健保組合にレセプトを提出する医療機関で発生した医療事故等に関する
国、地方公共団体又は第三者機関等 への 情報提供 のうち、氏名等の情報が特に必要な場合
国、地方公共団体又は第三者機関等 に対し 情報提供 するために個人情報を取扱う場合
13

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表④国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対 ④国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼして協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
すおそれがあるとき（例）（新設）・事業者が警察の任意の求めに応じて個人情報を取扱う場合
・一般統計調査や地方公共団体が行う統計調査において個人情報を取扱う場合【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】
・健保組合等は、個人情報を取り扱うに当たって、その利用目的をできる限り特定しなければなら・健保組合等は、個人情報を取り扱うに当たって、その利用目的をできる限り特定しなければならない。
ない。
・健保組合等は、利用目的を変更する場合には、変更前の利用目的と 相当の 関連性を有すると合・健保組合等は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。
理的に認められる範囲を超えて行ってはならない。
・健保組合等は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超・健保組合等は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超
えて個人情報を取り扱ってはならない。なお、本人の同意を得るために個人情報を利用すること
えて個人情報を取り扱ってはならない。なお、本人の同意を得るために個人情報を利用すること（同意を得るために被保険者等の連絡先を利用して電話をかける場合など）、個人情報を匿名化（同意を得るために被保険者等の連絡先を利用して電話をかける場合など）、個人情報を匿名化するために個人情報に加工を行うことは差し支えない。
するために個人情報に加工を行うことは差し支えない。
・個人情報を取得する時点で、本人の同意があったにもかかわらず、その後、本人から利用目的の・個人情報を取得する時点で、本人の同意があったにもかかわらず、その後、本人から利用目的の一部についての同意を取り消す旨の申出があった場合は、その後の個人情報の取扱いについて
一部についての同意を取り消す旨の申出があった場合は、その後の個人情報の取扱いについては、本人の同意が取り消されなかった範囲に限定して取り扱う。
は、本人の同意が取り消されなかった範囲に限定して取り扱う。
・健保組合等は、合併その他の事由により他の事業者から事業を承継することに伴って個人 情報
・健保組合等は、合併その他の事由により他の事業者から事業を承継することに伴って個人情報をを取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的
取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的のの達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
・利用目的の制限の例外（法第１６条第３項）に該当する場合は、本人の同意を得ずに個人情報を・利用目的の制限の例外（法第１６条第３項）に該当する場合は、本人の同意を得ずに個人情報を取り扱うことができる。
取り扱うことができる。
（利用目的を変更する場合の取扱いについてはⅢ２．を参照）（利用目的を変更する場合の取扱いについてはⅢ２．を参照）【その他の事項】【その他の事項】
・利用目的の制限の例外に該当する「法令に基づく場合」等であっても、利用目的以外の目的で個・利用目的の制限の例外に該当する「法令に基づく場合」等であっても、利用目的以外の目的で個
人情報を取り扱う場合は、当該法令等の趣旨をふまえ、その取り扱う範囲を真に必要な範囲に限
人情報を取り扱う場合は、当該法令等の趣旨をふまえ、その取り扱う範囲を真に必要な範囲に限定することが求められる。
定することが求められる。
・被保険者等が未成年者等の場合、法定代理人等の同意を得ることで足りるが、一定の判断能力を・被保険者等が未成年者等の場合、法定代理人等の同意を得ることで足りるが、一定の判断能力を有する未成年者等については、法定代理人等の同意にあわせて本人の同意を得る。
有する未成年者等については、法定代理人等の同意にあわせて本人の同意を得る。
２．利用目的の通知等（法第１８条）

２．利用目的の通知等（法第１８条）（取得に際しての利用目的の通知等）
法第十八条 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
２ 個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って（取得に際しての利用目的の通知等）
法第十八条 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
２ 個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って
14

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

契約書その他の書面（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られる記録 を含む。以下この項において同じ。
）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。
３ 個人情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
４ 前三項の規定は、次に掲げる場合については、適用しない。
一 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
二 利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合
三 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要があ
る場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
四 取得の状況からみて利用目的が明らかであると認められる場合

契約書その他の書面（電磁的記録 を含む。以下この項において同じ。
）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する
場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。
３

個人情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
４ 前三項の規定は、次に掲げる場合については、適用しない。
一 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
二 利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合
三 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要があ
る場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
四 取得の状況からみて利用目的が明らかであると認められる場合【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】
・健保組合等は、個人情報を取得するに当たって、あらかじめその利用目的を公表しておくか、個・健保組合等は、個人情報を取得するに当たって、あらかじめその利用目的を公表しておくか、個人情報を取得した場合、速やかに、その利用目的を、本人に通知し、又は公表しなければならな
人情報を取得した場合、速やかに、その利用目的を、本人に通知し、又は公表しなければならな
い。
い。
・利用目的の公表方法としては、健保組合等のホームページへの掲載のほか、パンフレットの配布、 ・利用目的の公表方法としては、健保組合等のホームページへの掲載のほか、パンフレットの配布、事業所担当窓口や健保組合等の掲示板への掲示・備付け、公告等により、なるべく広く公表する
事業所担当窓口や健保組合等の掲示板への掲示・備付け、公告等により、なるべく広く公表する必要がある。
必要がある。
・健保組合等は、健診の申込みを受け付ける際に問診票の記入を求める場合など、本人から直接書・健保組合等は、健診の申込みを受け付ける際に問診票の記入を求める場合など、本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を事業所担当窓口や健保組合等の掲示板等により明示しなければならない。
を事業所担当窓口や健保組合等の掲示板等により明示しなければならない。
・健保組合等は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は・健保組合等は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
公表しなければならない。
・取得の状況からみて利用目的が明らかであると認められる場合など利用目的の通知等の例外に該・取得の状況からみて利用目的が明らかであると認められる場合など利用目的の通知等の例外に該当する場合は、上記内容は適用しない。
（「利用目的が明らか」な場合についてはⅢ１．
（１）を参当する場合は、上記内容は適用しない。
（「利用目的が明らか」な場合についてはⅢ１．
（１）を参
照）
照）
【その他の事項】【その他の事項】
・利用目的が、本規定の例外である「取得の状況からみて利用目的が明らかであると認められる場
・利用目的が、本規定の例外である「取得の状況からみて利用目的が明らかであると認められる場合」に該当する場合であっても、被保険者等に利用目的をわかりやすく示す観点から、利用目的合」に該当する場合であっても、被保険者等に利用目的をわかりやすく示す観点から、利用目的の公表に当たっては、当該利用目的についても併せて記載する。
の公表に当たっては、当該利用目的についても併せて記載する。
・被保険者等の希望がある場合、詳細の説明や当該内容を記載した書面の交付を行う。
・被保険者等の希望がある場合、詳細の説明や当該内容を記載した書面の交付を行う。
３．個人情報の適正な取得、個人データ内容の正確性の確保（法第１７条、第１９条）

３．個人情報の適正な取得、個人データ内容の正確性の確保（法第１７条、第１９条）
15

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表（適正な取得）法第十七条 個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。
（新設）（適正な取得）法第十七条 個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。
２ 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
一 法令に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
三 公衆衛生の向上又は児童の健全な育成のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
五 当該要配慮個人情報が、本人、国の機関、地方公共団体、第七十六条第一項各号に掲げる者
その他個人情報保護委員会規則で定める者により公開されている場合
六 その他前各号に掲げる場合に準ずるものとして政令で定める場合
規則第六条 法第十七条第二項第五号の個人情報保護委員会規則で定める者は、次の各号のいずれかに該当する者とする。
一 外国政府、外国の政府機関、外国の地方公共団体又は国際機関
二 外国において法第七十六条第一項各号に掲げる者に相当する者
令第七条 法第十七条第二項第六号の政令で定める場合は、次に掲げる場合とする。
一 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場
合二 法第二十三条第五項各号に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき。

（データ内容の正確性の確保）
法第十九条 個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めなければならない。

（データ内容の正確性の確保等）
法第十九条 個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つ とともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去する よう努めなければならない。

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】
・健保組合等は、偽りその他の不正の手段により個人情報を取得してはならない。
・健保組合等は、偽りその他の不正の手段により個人情報を取得してはならない。
・保健指導等のために必要な過去の病歴等については、真に必要な範囲について、本人から直接取・保健指導等のために必要な過去の病歴等については、真に必要な範囲について、本人から直接取得するほか、第三者提供について本人の同意を得た者（Ⅲ５．
（３）により本人の黙示の同意が得得するほか、第三者提供について本人の同意を得た者（Ⅲ５．
（３）により本人の黙示の同意が得られていると考えられる者を含む）から取得することを原則とする。ただし、本人以外の家族等られていると考えられる者を含む）から取得することを原則とする。ただし、本人以外の家族等から取得することが保健指導等のためにやむを得ない場合はこの限りでない。
から取得することが保健指導等のためにやむを得ない場合はこの限りでない。
16

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

・親の同意なく、十分な判断能力を有していない子どもから家族の個人情報を取得してはならない。
・要配慮個人情報を取得する場合には、あらかじめ本人の同意を得なければならない。ただし、法第１７条第２項各号に定める場合については、本人の同意を得る必要はない。
（例）・急病その他の事態が生じたときに、本人の病歴等を健保組合に所属する医師や看護師が家族から聴取する場合、法第１７条第２項第２号に該当すると考えられる。
・事業者が警察の任意の求めに応じて要配慮個人情報に該当する個人情報を提出するために、当該個人情報を取得する場合、法第１７条第２項第４号に該当する可能性があると考えらえる。
・なお、要配慮個人情報を、法第２３条第５項各号に定める委託、事業承継又は共同利用により取得する場合は、あらかじめ本人の同意を得る必要はない。

・親の同意なく、十分な判断能力を有していない子どもから家族の個人情報を取得してはならない。
（新設）【法第１７条第 2 項に違反している事例】
本人の同意を得ることなく、法第１７条第２項第５号及び規則第６条で定める者以外がインターネット上で公開している情報から本人の信条や犯罪歴等に関する情報を取得し、既に保有している当該本人に関する情報の一部として自己のデータベース等に登録すること。
・健保組合等は、適正な保険給付等を提供するという利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めなければならない。

・健保組合等は、適正な保険給付等を提供するという利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めなければならない。

・健保組合等は、保有する個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場
合等は、当該個人データを遅滞なく消去するよう努めなければならない（※）。なお、法令の定め及び規程により保存期間等が定められている場合は、この限りではない。
（※）
「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等
を含む。

（新設）

【その他の事項】【その他の事項】
・第三者提供により他の健保組合等から個人情報を取得したとき、当該個人情報の内容に疑義が生・第三者提供により他の健保組合等から個人情報を取得したとき、当該個人情報の内容に疑義が生じた場合には、記載内容の事実に関して本人に確認をとる。
じた場合には、記載内容の事実に関して本人に確認をとる。
・健保組合等は、個人データの内容の正確性、最新性を確保するため、Ⅲ４．
（２）②に示す委員会
・健保組合等は、個人データの内容の正確性、最新性を確保するため、Ⅲ４．
（２）②に示す委員会
等において、具体的なルールを策定したり、技術水準向上のための研修の開催などを行うことが等において、具体的なルールを策定したり、技術水準向上のための研修の開催などを行うことが
望ましい。
望ましい。
・第三者提供（法第２３条第１項各号に掲げる場合並びに個人情報の取扱いの委託、事業の承継及・第三者提供（法第２３条第１項各号に掲げる場合並びに個人情報の取扱いの委託、事業の承継及び共同利用に伴い、個人情報を提供する場合を除く。）により、個人情報（令第２条第２号に規定
び共同利用に伴い、個人情報を提供する場合を除く。）により、個人情報（令第２条第２号に規定するものから取得した個人情報を除く。
）を取得する場合には、提供元の法の遵守状況（例えば、するものから取得した個人情報を除く。
）を取得する場合には、提供元の法の遵守状況（例えば、
オプトアウト（法第２３条第２項・第３項参照）、利用目的、開示手続、問合せ・苦情の受付窓口
オプトアウト（法第２３条第２項・第３項参照）、利用目的、開示手続、問合せ・苦情の受付窓口を公表していることなど）を確認し、個人情報を適切に管理している者を提供元として選定するを公表していることなど）を確認し、個人情報を適切に管理している者を提供元として選定するとともに、実際に個人情報を取得する際には、例えば、取得の経緯を示す契約書等の書面の点検とともに、実際に個人情報を取得する際には、例えば、取得の経緯を示す契約書等の書面の点検
又はこれに代わる合理的な方法により、当該個人情報の取得方法等を確認した上で、当該個人情又はこれに代わる合理的な方法により、当該個人情報の取得方法等を確認した上で、当該個人情
17

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

報が適法に取得されたことが確認できない場合は、偽りその他不正の手段により取得されたものである可能性もあることから、その取得を自粛することを含め、慎重に対応することが望ましい。

報が適法に取得されたことが確認できない場合は、偽りその他不正の手段により取得されたものである可能性もあることから、その取得を自粛することを含め、慎重に対応することが望ましい。

４．安全管理措置、従業者の監督及び委託先の監督（法第２０条～第２２条）

４．安全管理措置、従業者の監督及び委託先の監督（法第２０条～第２２条）（安全管理措置）法第二十条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その
他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
（従業者の監督）法第二十一条 個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
（委託先の監督）
法第二十二条 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

（安全管理措置）法第二十条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その
他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
（従業者の監督）法第二十一条 個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
（委託先の監督）
法第二十二条 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

（１）健保組合等が講ずるべき 安全管理措置等（１）健保組合等が講ずるべき 安全管理措置①安全管理措置①安全管理措置健保組合等は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの健保組合等は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のため、組織的、人的、物理的、及び 技術的安全管理措置等 を講じなければならない。
安全管理のため、組織的、人的、物理的、及び 技術的安全管理措置 を講じなければならない。
その際、本人の個人データが漏えい、滅失又はき損等をした場合に本人が被る権利利益の侵害のその際、本人の個人データが漏えい、滅失又はき損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人データの取扱い状況等に起因するリスクに応じ、必要かつ大きさを考慮し、事業の性質及び個人データの取扱い状況等に起因するリスクに応じ、必要かつ適切な措置を講ずるものとする。なお、その際には、個人データを記録した媒体の性質に応じた
適切な措置を講ずるものとする。なお、その際には、個人データを記録した媒体の性質に応じた安全管理措置を講ずる。
安全管理措置を講ずる。
②従業者の監督
健保組合等は、①の安全管理措置を遵守させるよう、従業者に対し必要かつ適切な監督をしなければならない。なお、「従業者」とは、当該事業者の指揮命令を受けて業務に従事する者 全てを含むものであり、また、雇用関係のある者のみならず、理事、派遣労働者等も含むものである。
「健康保険組合における個人情報保護の徹底について」（平成 14 年 12 月 25 日保険課長通知）では、健保組合に対して、服務規程等において、健保組合の役職員について職員の守秘義務を課すこととしている。
③委託者の監督
健保組合等は、個人データの取扱いの全部又は一部を委託する場合、委託先において当該個人
データの安全管理措置が適切に講じられるよう、「適切な委託先の選定」「安全管理措置の遵守事
項を含む委託契約の締結」「委託先における個人データ取扱状況の把握」により、委託先に関して必要かつ適切な管理、監督をしなければならない。

18②従業者の監督
健保組合等は、①の安全管理措置を遵守させるよう、従業者に対し必要かつ適切な監督をしなければならない。なお、「従業者」とは、当該事業者の指揮命令を受けて業務に従事する者 すべて を含むものであり、また、雇用関係のある者のみならず、理事、派遣労働者等も含むものである。
「健康保険組合における個人情報保護の徹底について」（平成 14 年 12 月 25 日保険課長通知）では、健保組合に対して、服務規程等において、健保組合の役職員について職員の守秘義務を課すこととしている。
（新設）

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表（２）安全管理措置として考えられる事項（２）安全管理措置として考えられる事項
健保組合等は、その取り扱う個人データの重要性にかんがみ、個人データの漏えい、滅失又はき健保組合等は、その取り扱う個人データの重要性に 鑑み 、個人データの漏えい、滅失又はき損損の防止その他の安全管理のため、その規模、従業者の様態等を勘案して、以下に示すような取組の防止その他の安全管理のため、その規模、従業者の様態等を勘案して、以下に示すような取組をを参考に、必要な措置を行うものとする。
参考に、必要な措置を行うものとする。
また、同一健保組合が複数の事務所（支部）を有する場合、当該事務所（支部）間の情報交換に
また、同一健保組合が複数の事務所（支部）を有する場合、当該事務所（支部）間の情報交換については第三者提供に該当しないが、各事務所（支部）ごとに安全管理措置を講ずるなど、個人情
ついては第三者提供に該当しないが、各事務所（支部）ごとに安全管理措置を講ずるなど、個人情報の利用目的を踏まえた個人情報の安全管理を行う。
報の利用目的を踏まえた個人情報の安全管理を行う。
①個人情報保護に関する規程の整備、公表
・健保組合等は、保有個人データの開示手順を定めた規程その他個人情報保護に関する規程を整備
し、苦情への対応体制も含めて、健保組合等のホームページへの掲載のほか、パンフレットの配布、事業所担当窓口や健保組合等の掲示板への掲示・備付け、公告等を行うなど、被保険者等に対して周知徹底を図る。
・また、個人データを取り扱う情報システムの安全管理措置に関する規程等についても同様に整備を行うこと。

①個人情報保護に関する規程の整備、公表
・健保組合等は、保有個人データの開示手順を定めた規程その他個人情報保護に関する規程を整備
し、苦情への対応体制も含めて、健保組合等のホームページへの掲載のほか、パンフレットの配布、事業所担当窓口や健保組合等の掲示板への掲示・備付け、公告等を行うなど、被保険者等に対して周知徹底を図る。
・また、個人データを取り扱う情報システムの安全管理措置に関する規程等についても同様に整備を行うこと。

②個人情報保護推進のための組織体制等の整備
・従業者の責任体制の明確化を図り、具体的な取組を進めるため、健保組合等における個人情報保護に関し十分な知識を有する者を個人データの安全管理の実施及び運用に関する責任及び権限を有する個人情報取扱責任者（例えば、役員などの組織横断的に監督することのできる者）、個
人情報管理担当者又は情報システム監査責任者等として定めたり、個人情報保護の推進を図るための部署、委員会等を設置する。
・健保組合等で行っている個人データの安全管理措置について定期的に自己評価を行い、見直しや改善を行うべき事項について適切な改善を行う。
・情報システム監査責任者は、個人情報保護対策の徹底に関して監査を行い、必要に応じ、個人情報保護対策及び最新の技術動向を踏まえた情報セキュリティ対策に十分な知見を有する者による事業所内の対応の確認（外部の知見を有する者を活用し確認させることを含む。
）を実施する。

②個人情報保護推進のための組織体制等の整備
・従業者の責任体制の明確化を図り、具体的な取組を進めるため、健保組合等における個人情報保護に関し十分な知識を有する者を個人データの安全管理の実施及び運用に関する責任及び権限を有する個人情報取扱責任者（例えば、役員などの組織横断的に監督することのできる者）、個
人情報管理担当者又は情報システム監査責任者等として定めたり、個人情報保護の推進を図るための部署、委員会等を設置する。
・健保組合等で行っている個人データの安全管理措置について定期的に自己評価を行い、見直しや改善を行うべき事項について適切な改善を行う。
・情報システム監査責任者は、個人情報保護対策の徹底に関して監査を行い、必要に応じ、個人情報保護対策及び最新の技術動向を踏まえた情報セキュリティ対策に十分な知見を有する者による事業所内の対応の確認（外部の知見を有する者を活用し確認させることを含む。
）を実施する。

③個人データの漏えい等の問題が発生した場合等における報告連絡体制の整備
・１）個人データの漏えい等の事故が発生した場合、又は発生の可能性が高いと判断した場合、２）
個人データの取扱いに関する規程等に違反している事実が生じた場合、又は兆候が高いと判断した場合における責任者等への報告連絡体制の整備を行う。
・個人データの漏えい等の情報は、苦情等の一環として、外部から報告される場合も想定されることから、苦情への対応体制との連携も図る。（Ⅲ１３．参照）③個人データの漏えい等の問題が発生した場合等における報告連絡体制の整備
・１）個人データの漏えい等の事故が発生した場合、又は発生の可能性が高いと判断した場合、２）
個人データの取扱いに関する規程等に違反している事実が生じた場合、又は兆候が高いと判断した場合における責任者等への報告連絡体制の整備を行う。
・個人データの漏えい等の情報は、苦情等の一環として、外部から報告される場合も想定されることから、苦情への対応体制との連携も図る。（Ⅲ１０．参照）④雇用契約時における個人情報保護に関する規程の整備
・雇用契約や就業規則において、就業期間中はもとより離職後も含めた守秘義務を課すなど従業者の個人情報保護に関する規程を整備し、徹底を図る。

④雇用契約時における個人情報保護に関する規程の整備
・雇用契約や就業規則において、就業期間中はもとより離職後も含めた守秘義務を課すなど従業者の個人情報保護に関する規程を整備し、徹底を図る。

⑤従業者に対する教育研修の実施
・取り扱う個人データの適切な保護が確保されるよう、従業者に対する教育研修の実施等により、⑤従業者に対する教育研修の実施
・取り扱う個人データの適切な保護が確保されるよう、従業者に対する教育研修の実施等により、

19

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

個人データを実際の業務で取り扱うこととなる従業者の啓発を図り、従業者の個人情報保護意識を徹底する。

個人データを実際の業務で取り扱うこととなる従業者の啓発を図り、従業者の個人情報保護意識を徹底する。

⑥物理的安全管理措置
・個人データの盗難・紛失等を防止するため、以下のような物理的安全管理措置を行う。
－入退館（室）管理の実施（カメラによる撮影や作業への立会い等による記録又は監視の実施）－盗難等に対する予防対策の実施－機器、装置等の固定など物理的な保護－記録機能を持つ媒体の持込み・持出し禁止又は検査の実施－記録機能を持つ媒体の接続の禁止又は制限－離席時等におけるパソコン等のパスワードロックの実施⑥物理的安全管理措置
・個人データの盗難・紛失等を防止するため、以下のような物理的安全管理措置を行う。
－入退館（室）管理の実施（カメラによる撮影や作業への立会い等による記録又は監視の実施）－盗難等に対する予防対策の実施－機器、装置等の固定など物理的な保護－記録機能を持つ媒体の持込み・持出し禁止又は検査の実施－記録機能を持つ媒体の接続の禁止又は制限－離席時等におけるパソコン等のパスワードロックの実施⑦技術的安全管理措置
・個人データの盗難・紛失等を防止するため、「個人情報の適切な取扱いに係る基幹システムのセ
キュリティ対策の強化について（再要請）」（平成２７年１２月１８日通知）の主旨に則り、個人データを取り扱う情報システムについて以下のような技術的安全管理措置を行う。
－個人データに対するアクセス管理（ＩＤやパスワード等による認証、各職員の業務内容に応じて業務上必要な範囲にのみアクセスできるようなシステム構成の採用等）－個人データに対するアクセス記録の保存－個人データに対するファイアウォールの設置－個人データに対する暗号化・パスワードの設定－個人データへのアクセスや操作の記録及び不正が疑われる異常な記録の存否の定期的な確認－基幹システムに接続されたネットワークとインターネットに接続されたネットワークの物理的又は論理的分離－ソフトウェアに関する脆弱性対策（セキュリティパッチの適用、当該情報システム固有の脆弱性の発見及びその修正等）－ソフトウェア及びハードウェア等の必要かつ適切な時期における更新⑦技術的安全管理措置
・個人データの盗難・紛失等を防止するため、個人データを取り扱う情報システムについて以下のような技術的安全管理措置を行う。

⑧個人データの保存・個人データを長期にわたって保存する場合には、保存媒体の劣化防止など個人データが消失しないよう適切に保存する。
・個人データの保存に当たっては、本人からの照会等に対応する場合など必要なときに迅速に対応できるよう、インデックスの整備など検索可能な状態で保存しておく。

⑧個人データの保存・個人データを長期にわたって保存する場合には、保存媒体の劣化防止など個人データが消失しないよう適切に保存する。
・個人データの保存に当たっては、本人からの照会等に対応する場合など必要なときに迅速に対応できるよう、インデックスの整備など検索可能な状態で保存しておく。

⑨不要となった個人データの廃棄、消去
・不要となった個人データを廃棄する場合には、焼却や溶解など、個人データを復元不可能な形にして廃棄する。
・個人データを取り扱った情報機器を廃棄する場合は、記憶装置内の個人データを復元不可能な形に消去して廃棄する。
・これらの廃棄業務を委託する場合には、個人データの取扱いについても委託契約において明確に定める。

⑨不要となった個人データの廃棄、消去
・不要となった個人データを廃棄する場合には、焼却や溶解など、個人データを復元不可能な形にして廃棄する。
・個人データを取り扱った情報機器を廃棄する場合は、記憶装置内の個人データを復元不可能な形に消去して廃棄する。
・これらの廃棄業務を委託する場合には、個人データの取扱いについても委託契約において明確に
定める。

20

－個人データに対するアクセス管理（ＩＤやパスワード等による認証、各職員の業務内容に応じて業務上必要な範囲にのみアクセスできるようなシステム構成の採用等）－個人データに対するアクセス記録の保存－個人データに対するファイアウォールの設置－個人データに対する暗号化・パスワードの設定－個人データへのアクセスや操作の記録及び不正が疑われる異常な記録の存否の定期的な確認－基幹システムに接続されたネットワークとインターネットに接続されたネットワークの物理的又は論理的分離－ソフトウェアに関する脆弱性対策（セキュリティパッチの適用、当該情報システム固有の脆弱性の発見及びその修正等）－ソフトウェア及びハードウェア等の必要かつ適切な時期における更新

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表（３）業務を委託する場合の取扱い（３）業務を委託する場合の取扱い①委託先の監督①委託先の監督
健保組合等は、レセプトのパンチ（入力）・点検業務、健康保険被保険者証 の印刷作成 、健保組合等は、レセプトのパンチ（入力）・点検業務、健康保険被保険者証 の作成 、人間ドッ
ク等の健診、保健指導等個人データの取扱いの全部又は一部を委託する場合、法第２０条に基づ
人間ドック等の健診、保健指導等個人データの取扱いの全部又は一部を委託する場合、法第２０
く安全管理措置を遵守させるよう受託者に対し、必要かつ適切な監督をしなければならない。
条に基づく安全管理措置を遵守させるよう受託者に対し、必要かつ適切な監督をしなければならない。
「必要かつ適切な監督」には、委託契約において委託者である事業者が定める安全管理措置の「必要かつ適切な監督」には、委託契約において委託者である事業者が定める安全管理措置の内容を契約に盛り込み受託者の義務とするほか、業務が適切に行われていることを定期的に確認内容を契約に盛り込み受託者の義務とするほか、業務が適切に行われていることを定期的に確認することなども含まれる。
することなども含まれる。
また、業務が再委託された場合で、再委託先が不適切な取扱いを行ったことにより、問題が生
また、業務が再委託された場合で、再委託先が不適切な取扱いを行ったことにより、問題が生じた場合は、健保組合等や再委託した事業者が責めを負うこともあり得る。
じた場合は、健保組合等や再委託した事業者が責めを負うこともあり得る。
②業務を委託する場合の留意事項
健保組合等関係事業者は、個人データの取扱いの全部又は一部を委託する場合、以下の事項に留意すべきである。
・個人情報を適切に取り扱っている事業者を委託先（受託者）として選定すること。委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第２０条で求められているものと同様であることを確認するため、委託先の体制、規程等の確認に加え、必要に応じて個人データを取り扱う場所に赴く又はこれに代わる合理的な方法による確認を行った上で、個人情報取扱責任者等が、適切に評価することが望ましい。
・契約において、委託している業務の内容、委託先事業者、個人情報の適切な取扱いに関する内容を盛り込み（委託期間中のほか、委託終了後の個人データの取扱いも含む。）、契約内容を公表すること。
・受託者が個人情報を適切に取り扱っていることを定期的に確認すること。
・受託者における個人情報の取扱いに疑義が生じた場合（被保険者等からの申出があり、確認の必要があると考えられる場合を含む。）には、受託者に対し、説明を求め、必要に応じ改善を求める等適切な措置をとること。
・なお、個人情報保護の観点から、可能な限り、個人情報をマスキングすることにより、当該個人情報を匿名化した上で、委託するよう努めること。
・また、委託するに当たっては、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないよう努めること。

②業務を委託する場合の留意事項
健保組合等関係事業者は、個人データの取扱いの全部又は一部を委託する場合、以下の事項に留意すべきである。
・個人情報を適切に取り扱っている事業者を委託先（受託者）として選定すること。委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第２０条で求められているものと同様であることを確認するため、委託先の体制、規程等の確認に加え、必要に応じて個人データを取り扱う場所に赴く又はこれに代わる合理的な方法による確認を行った上で、個人情報取扱責任者等が、適切に評価することが望ましい。
・契約において、委託している業務の内容、委託先事業者、個人情報の適切な取扱いに関する内容を盛り込み（委託期間中のほか、委託終了後の個人データの取扱いも含む。）、契約内容を公表すること。
・受託者が個人情報を適切に取り扱っていることを定期的に確認すること。
・受託者における個人情報の取扱いに疑義が生じた場合（被保険者等からの申出があり、確認の必要があると考えられる場合を含む。）には、受託者に対し、説明を求め、必要に応じ改善を求める等適切な措置をとること。
・なお、個人情報保護の観点から、可能な限り、個人情報をマスキングすることにより、当該個人情報を匿名化した上で、委託するよう努めること。
・また、委託するに当たっては、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないよう努めること。

＊健保組合における業者委託に関する通知
上記の留意事項のほか、業者委託に関する通知を遵守する。
・「個人情報保護の徹底について」（平成１４年１２月２５日保発第１２２５００３号）
・「健康保険組合における個人情報保護の徹底について」（平成１４年１２月２５日保保発第１２
２５００１号）の「４．個人情報の処理に関する外部委託に関する措置」＊健保組合における業者委託に関する通知
上記の留意事項のほか、業者委託に関する通知を遵守する。
・「個人情報保護の徹底について」（平成１４年１２月２５日保発第１２２５００３号）
・「健康保険組合における個人情報保護の徹底について」（平成１４年１２月２５日保保発第１２
２５００１号）の「４．個人情報の処理に関する外部委託に関する措置」③業務を再委託する場合の留意事項③業務を再委託する場合の留意事項
21

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

健康保険組合は、個人情報に関する処理の全部又は一部を再委託する場合、以下の事項に留意すべきである。
・個人情報を含む業務を再委託すること自体は禁じられてはないが、健康保険組合との直接の契約関係を伴わない個人情報に関する処理の再委託は行わないこと。
（「健康保険組合における個
人情報保護の徹底について」（平成１４年１２月２５日保保発第１２２５００１号）の「４．個
人情報の処理に関する外部委託に関する措置」）
・なお、個人情報を含む業務の再委託や個人情報に関する処理の再委託をする場合には、個人情報保護の観点から、可能な限り、個人情報をマスキングすることにより、当該個人情報を匿名化した上で、委託先から再委託先へ個人情報が提供されないよう努めること。

健康保険組合は、個人情報に関する処理の全部又は一部を再委託する場合、以下の事項に留意すべきである。
・個人情報を含む業務を再委託すること自体は禁じられてはないが、健康保険組合との直接の契約関係を伴わない個人情報に関する処理の再委託は行わないこと。
（「健康保険組合における個
人情報保護の徹底について」（平成１４年１２月２５日保保発第１２２５００１号）の「４．個
人情報の処理に関する外部委託に関する措置」）
・なお、個人情報を含む業務の再委託や個人情報に関する処理の再委託をする場合には、個人情報保護の観点から、可能な限り、個人情報をマスキングすることにより、当該個人情報を匿名化した上で、委託先から再委託先へ個人情報が提供されないよう努めること。

この場合において、健保組合は第一次委託先と委託契約を締結するに当たっては、第一次委託先が、上記通知の基準に掲げる事項を遵守するよう委託契約上明記することはもちろんのこと、
これに加え、当該委託契約において、再委託するに当たっては、第一次委託先は、再委託の可否及び再委託を行うに当たっての委託元への文書による事前報告又は承認を行うことや当該再委
託契約上、再委託先に対して、同通知の基準に掲げる事項を遵守することを明記するよう、第一次委託契約上明記すること。
なお、第一次委託先が再委託を行おうとする場合は、健康保険組合は委託を行う場合と同様、再委託の相手方、再委託する業務内容及び再委託先の個人データの取扱方法等について、第一次委託先に事前報告又は承認手続を求める、直接又は第一次委託先を通じて定期的に監査を実施する等により、第一次委託先が再委託先に対して本条の第一次委託先の監督を適切に果たすこと、
再委託先が法第２０条に基づく安全管理措置を講ずることを十分に確認することが望ましい。

この場合において、健保組合は第一次委託先と委託契約を締結するに当たっては、第一次委託先が、上記通知の基準に掲げる事項を遵守するよう委託契約上明記することはもちろんのこと、
これに加え、当該委託契約において、再委託するに当たっては、第一次委託先は、再委託の可否及び再委託を行うに当たっての委託元への文書による事前報告又は承認を行うことや当該再委
託契約上、再委託先に対して、同通知の基準に掲げる事項を遵守することを明記するよう、第一次委託契約上明記すること。
なお、第一次委託先が再委託を行おうとする場合は、健康保険組合は委託を行う場合と同様、再委託の相手方、再委託する業務内容及び再委託先の個人データの取扱方法等について、第一次委託先に事前報告又は承認手続を求める、直接又は第一次委託先を通じて定期的に監査を実施する等により、第一次委託先が再委託先に対して本条の第一次委託先の監督を適切に果たすこと、
再委託先が法第２０条に基づく安全管理措置を講ずることを十分に確認することが望ましい。

（４）レセプトの紙以外の媒体による保存等又はそれらの外部委託を行う場合の取扱い（４）レセプトの紙以外の媒体による保存等又はそれらの外部委託を行う場合の取扱い
健保組合等において、レセプトの紙以外の媒体による保存又はレセプトの電算処理及びそれらの健保組合等において、レセプトの紙以外の媒体による保存又はレセプトの電算処理及びそれらの
外部委託を行う場合には、健保組合等において、その運営及び委託等の取扱いについて安全性が確
外部委託を行う場合には、健保組合等において、その運営及び委託等の取扱いについて安全性が確保されるよう規程を定め、実施するものとする。
保されるよう規程を定め、実施するものとする。
（５）個人情報の漏えい等の問題が発生した場合における二次被害の防止等（５）個人情報の漏えい等の問題が発生した場合における二次被害の防止等
個人情報の漏えい等の問題が発生した場合には、二次被害の防止、類似事案の発生回避等の観点
個人情報の漏えい等の問題が発生した場合には、二次被害の防止、類似事案の発生回避等の観点から、個人情報の保護に配慮しつつ、可能な限り事実関係を公表するとともに、所管の地方厚生局
から、個人情報の保護に配慮しつつ、可能な限り事実関係を公表するとともに、所管の地方厚生局に速やかに報告する。
に速やかに報告する。
（新設）
また、個人データの漏えい等の問題が発生した場合には、「個人データの漏えい等の事案が発生した場合等の対応について」（平成２９年個人情報保護委員会告示第１号）に基づき、①事業者内部における報告及び被害の拡大防止、②事実関係の調査及び原因の究明、③影響範囲の特定、④再発防止策の検討及び実施、⑤影響を受ける可能性のある本人への連絡等、⑥事実関係及び再発防止策等の公表の必要な措置を講ずることが望ましい。また、漏えい等事案が発覚した場合には、その事実関係及び再発防止策等について、個人情報保護委員会に対し、速やかに報告するよう努めるものとする。
ただし、法第４７条第１項に規定する認定個人情報保護団体の対象事業者である健保組合等は、所属の認定個人情報保護団体に速やかに報告するよう努めるものとする。

22

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】
・健保組合等は、その取り扱う個人データの漏えい、滅失又はき損の防止その他個人データの安全・健保組合等は、その取り扱う個人データの漏えい、滅失又はき損の防止その他個人データの安全管理のために必要かつ適切な措置を講じなければならない。
管理のために必要かつ適切な措置を講じなければならない。
・健保組合等は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管
・健保組合等は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
・健保組合等は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された・健保組合等は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなけ
個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
ればならない。
【その他の事項】【その他の事項】
・健保組合等は、安全管理措置に関する取組を一層推進するため、安全管理措置が適切であるかど・健保組合等は、安全管理措置に関する取組を一層推進するため、安全管理措置が適切であるかどうかを一定期間ごとに検証するほか、必要に応じて外部機関による検証を受けることで、改善をうかを一定期間ごとに検証するほか、必要に応じて外部機関による検証を受けることで、改善を図ることが望ましい。
図ることが望ましい。
５．個人データの第三者提供（法第２３条）

５．個人データの第三者提供（法第２３条）（第三者提供の制限）
法第二十三条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得な
いで、個人データを第三者に提供してはならない。
一 法令に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
２ 個人情報取扱事業者は、第三者に提供される個人データ （要配慮個人情報を除く。以下この項において同じ。
）について、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、個人情報保護委員会
規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に 置
くとともに、個人情報保護委員会に届け出た ときは、前項の規定にかかわらず、当該個人デー
タを第三者に提供することができる。
一 第三者への提供を利用目的とすること。
二 第三者に提供される個人データの項目
三 第三者への提供の方法
四 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
五 本人の求めを受け付ける方法
３ 個人情報取扱事業者は、前項第二号 、第三号又は第五号 に掲げる事項を変更する場合は、変更する内容について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知（第三者提供の制限）
法第二十三条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得な
いで、個人データを第三者に提供してはならない。
一 法令に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
２ 個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に 置いている ときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。
一 第三者への提供を利用目的とすること。
二 第三者に提供される個人データの項目
三 第三者への提供の 手段又は 方法
四 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。

３

個人情報取扱事業者は、前項第二号 又は第三号 に掲げる事項を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に 置かなければなら23

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表ない 。

し、又は本人が容易に知り得る状態に 置くとともに、個人情報保護委員会に届け出なければならない 。
４ 個人情報保護委員会は、第二項の規定による届出があったときは、個人情報保護委員会規則で定めるところにより、当該届出に係る事項を公表しなければならない。前項の規定による届出があったときも、同様とする。
５ 次に掲げる場合において、当該個人データの提供を受ける者は、前各号 の規定の適用については、第三者に該当しないものとする。
一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託する ことに伴って当該個人データが提供される 場合
二 合併その他の事由による事業の承継に伴って個人データが提供される場合
三 特定の者との間で共同して利用 される個人データが当該特定の者に提供される 場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、
あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。
６ 個人情報取扱事業者は、前項第三号に規定する利用する者の利用目的又は個人データの管理について責任を有する者の氏名若しくは名称を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

（新設）

４

次に掲げる場合において、当該個人データの提供を受ける者は、前三項 の規定の適用については、第三者に該当しないものとする。
一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託する場合
二 合併その他の事由による事業の承継に伴って個人データが提供される場合
三 個人データを 特定の者との間で共同して利用 する 場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。
５ 個人情報取扱事業者は、前項第三号に規定する利用する者の利用目的又は個人データの管理について責任を有する者の氏名若しくは名称を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

（１）第三者提供の取扱い（１）第三者提供の取扱い
健保組合等は、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならないと健保組合等は、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならないとされており、次のような場合には、本人の同意を得る必要がある。
されており、次のような場合には、本人の同意を得る必要がある。
（例）（例）
・民間保険会社からの照会
・民間保険会社からの照会
被保険者等が民間の生命保険に加入しようとする場合、生命保険会社からその健康状態等に被保険者等が民間の生命保険に加入しようとする場合、生命保険会社からその健康状態等について照会が合った場合、本人の同意を得ずに健康状態等を回答してはならない。
ついて照会が合った場合、本人の同意を得ずに健康状態等を回答してはならない。
交通事故によって、けがの治療を受けている被保険者等に関して、損害保険会社から損害保
交通事故によって、けがの治療を受けている被保険者等に関して、損害保険会社から損害保険金の支払いの審査のために必要であるとして症状に関する照会があった場合、本人の同意を険金の支払いの審査のために必要であるとして症状に関する照会があった場合、本人の同意を得ず傷病名等を回答してはならない。
得ず傷病名等を回答してはならない。
・職場からの照会
職場の上司等から、社員の傷病名等に関する 問合せ があった場合など、本人の同意を得ずに傷病名等を回答してはならない。

・職場からの照会
職場の上司等から、社員の傷病名等に関する 問い合わせ があった場合など、本人の同意を得ずに傷病名等を回答してはならない。

・学校からの照会
学校の教職員等から、児童・生徒の健康状態に関する 問合せ があった場合など、本人の同意を得ずに健康状態等を回答してはならない。

・学校からの照会
学校の教職員等から、児童・生徒の健康状態に関する 問い合わせ があった場合など、本人の同意を得ずに健康状態等を回答してはならない。

・マーケティング等を目的とする会社等からの照会
健康食品の販売を目的とする会社から、高血圧の被保険者等の存在の有無について照会された場合など、本人の同意を得ずにその存在の有無やその氏名・住所等を回答してはならない。

・マーケティング等を目的とする会社等からの照会
健康食品の販売を目的とする会社から、高血圧の被保険者等の存在の有無について照会された場合など、本人の同意を得ずにその存在の有無やその氏名・住所等を回答してはならない。

24

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表※ 本条の「本人」、「第三者」の定義
・「本人」
・・・個人データで識別される個人。
・「第三者」
・・・本人及び個人情報取扱事業者以外の者をいい、自然人か法人その他の団体かを問わない。

※

本条の「本人」、「第三者」の定義
・「本人」
・・・個人データで識別される個人。
・「第三者」
・・・本人及び個人情報取扱事業者以外の者をいい、自然人か法人その他の団体かを問わない。

（２）第三者提供の例外（２）第三者提供の例外
ただし、次に掲げる場合については、本人の同意を得る必要はない。
ただし、次に掲げる場合については、本人の同意を得る必要はない。
①法令に基づく場合①法令に基づく場合
健康保険法 第２９条 又は第１９８条に基づく立入検査等、法令に基づいて個人情報を利用
健康保険法 第２７条 又は第１９８条に基づく立入検査等、法令に基づいて個人情報を利用する場合（Ⅲ１．
（２）①参照）
する場合（Ⅲ１．
（２）①参照）②人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（例）・意識不明となった被保険者等について、家族の連絡先等に関する情報を医療機関等に提供する
場合②人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（例）・意識不明となった被保険者等について、家族の連絡先等に関する情報を医療機関等に提供する
場合※なお、「本人の同意を得ることが困難であるとき」には、本人に同意を求めても同意しない場
合、本人に同意を求める手続きを経るまでもなく本人の同意を得ることができない場合等が含まれるものである。

※なお、「本人の同意を得ることが困難であるとき」には、本人に同意を求めても同意しない場
合、本人に同意を求める手続きを経るまでもなく本人の同意を得ることができない場合等が含まれるものである。

③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（例）
・疫学上の調査・研究のために、健康診査やガン検診等から得られた情報を個人名を伏せて研究者に提供する場合
・医療安全の向上のため、健保組合にレセプトを提出する医療機関で発生した医療事故等に関する国、地方公共団体又は第三者機関等への情報提供のうち、氏名等の情報が特に必要な場合③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（例）
・疫学上の調査・研究のために、健康診査やガン検診等から得られた情報を個人名を伏せて研究者に提供する場合
・医療安全の向上のため、健保組合にレセプトを提出する医療機関で発生した医療事故等に関する国、地方公共団体又は第三者機関等への情報提供のうち、氏名等の情報が特に必要な場合④国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき④国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（３）本人の同意が得られていると考えられる場合（３）本人の同意が得られていると考えられる場合
第三者への情報の提供のうち、以下の場合は、黙示による包括的な同意が得られていると考え第三者への情報の提供のうち、以下の場合は、黙示による包括的な同意が得られていると考え
られる。
られる。
・被保険者等への保険給付等のために通常必要な範囲の利用目的のうち、下記の例のような、被保・被保険者等への保険給付等のために通常必要な範囲の利用目的のうち、下記の例のような、被保険者等にとって利益となるもの、又は医療費通知など事業者側（健保組合等）の負担が膨大であ険者等にとって利益となるもの、又は医療費通知など事業者側（健保組合等）の負担が膨大である上明示的な同意を得ることが必ずしも被保険者等本人にとって合理的であるとは言えないもる上明示的な同意を得ることが必ずしも被保険者等本人にとって合理的であるとは言えないものの利用の範囲について、ホームページへの掲載、パンフレットの配布、事業所担当窓口や健保のの利用の範囲について、ホームページへの掲載、パンフレットの配布、事業所担当窓口や健保
25

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

組合等の掲示板への掲示・備付けや公告等により明らかにしておき、被保険者等から特段明確な反対・留保の意思表示がない場合
なお、ホームページ・事業所内掲示等においては、(ｧ)被保険者等は、健保組合等が示す利用目的の中で同意しがたいものがある場合には、その事項について、あらかじめ本人の明確な同意を得るよう健保組合等に求めることができること。
(ｨ)被保険者等が、(ｧ)の意思表示を行わない場合は、公表された利用目的について被保険者等の同意が得られたものとすること。
(ｩ)同意及び留保は、その後、被保険者等からの申出により、いつでも変更することが可能であること。
をあわせて掲示するものとする。

組合等の掲示板への掲示・備付けや公告等により明らかにしておき、被保険者等から特段明確な反対・留保の意思表示がない場合
なお、ホームページ・事業所内掲示等においては、(ｧ)被保険者等は、健保組合等が示す利用目的の中で同意しがたいものがある場合には、その事項について、あらかじめ本人の明確な同意を得るよう健保組合等に求めることができること。
(ｨ)被保険者等が、(ｧ)の意思表示を行わない場合は、公表された利用目的について被保険者等の同意が得られたものとすること。
(ｩ)同意及び留保は、その後、被保険者等からの申出により、いつでも変更することが可能であること。
をあわせて掲示するものとする。

※黙示による包括的な同意でよいと考えられる例※黙示による包括的な同意でよいと考えられる例

・高額療養費を事業主経由で支給すること （給与口座に振り込むこと）
・付加給付を事業主経由で 支給すること（給与口座に振り込むこと）
・医療費通知を世帯ごとにまとめて行うこと・高額療養費を 本人の申請に基づかずに 事業主経由で支給すること・付加給付を 本人の申請に基づかずに 事業主経由で 行うこと
・医療費通知を世帯ごとにまとめて行うこと（４）「第三者」に該当しない場合（４）「第三者」に該当しない場合①他の事業者等への情報の提供であるが、「第三者」に該当しない場合①他の事業者等への情報提供であるが、「第三者」に該当しない場合
法第２３条第５項の各号に掲げる場合の当該個人データの提供を受ける者については、第三者法第２３条第４項の各号に掲げる場合の当該個人データの提供を受ける者については、第三者に該当せず、本人の同意を得ずに情報の提供を行うことができる。健保組合等における具体的事に該当せず、本人の同意を得ずに情報の提供を行うことができる。健保組合等における具体的事
例は以下のとおりである。
例は以下のとおりである。
・レセプト点検、保健指導等の業務を委託する場合
・個人データを特定の者との間で共同して利用するとして、あらかじめ本人に通知等している場
合・レセプト点検、医療費分析、保健指導等の業務を委託する場合
・個人データを特定の者との間で共同して利用するとして、あらかじめ本人に通知等している場
合※個人データの共同での利用における留意事項
健保組合と労働安全衛生法に規定する事業者が共同で健康診断を実施している場合又は共同で健診結果を用いて事後指導を実施している場合など、あらかじめ個人データを特定の者との間で共同して利用することが予定されている場合、(ｱ)共同して利用される個人データの項目、(ｲ)共同利
用者の範囲（個別列挙されているか、本人から見てその範囲が明確となるように特定されている必要がある）、(ｳ)利用する者の利用目的、(ｴ)当該個人データの管理について責任を有する者の氏名又は名称、をあらかじめ本人に通知し、又は本人が容易に知り得る状態においておくとともに、共同して利用することを明らかにしている場合には、当該共同利用者は第三者に該当しない。
この場合、(ｱ)、(ｲ)については変更することができず、(ｳ)、(ｴ)については、本人が想定することが困難でない範囲内で変更することができ、変更前、本人に通知又は本人の容易に知り得る状態におかなければならない。
なお、共同利用 でない場合は、健康保険組合と労働安全衛生法に規定する事業者は、異なる主体となるため、それらが健診結果を共有するに当たっては、被保険者又は労働者の同意を要すること※個人データの共同での利用における留意事項
健保組合と労働安全衛生法に規定する事業者が共同で健康診断を実施している場合又は共同で健診結果を用いて事後指導を実施している場合など、あらかじめ個人データを特定の者との間で共同して利用することが予定されている場合、(ｱ)共同して利用される個人データの項目、(ｲ)共同利
用者の範囲（個別列挙されているか、本人から見てその範囲が明確となるように特定されている必要がある）、(ｳ)利用する者の利用目的、(ｴ)当該個人データの管理について責任を有する者の氏名又は名称、をあらかじめ本人に通知し、又は本人が容易に知り得る状態においておくとともに、共同して利用することを明らかにしている場合には、当該共同利用者は第三者に該当しない。
この場合、(ｱ)、(ｲ)については変更することができず、(ｳ)、(ｴ)については、本人が想定することが困難でない範囲内で変更することができ、変更前、本人に通知又は本人の容易に知り得る状態におかなければならない。
なお、共同実施 でない場合は、健康保険組合と労働安全衛生法に規定する事業者は、異なる主体となるため、それらが健診結果を共有するに当たっては、被保険者又は労働者の同意を要すること

26

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

となる。

となる。

②同一事業者内における情報の提供であり、第三者に該当しない場合②同一事業者内における情報提供であり、第三者に該当しない場合
同一事業者内で情報の提供する場合は、当該個人データを第三者に提供したことにはならないの同一事業者内で情報提供する場合は、当該個人データを第三者に提供したことにはならないので、本人の同意を得ずに情報の提供を行うことができる。健保組合等における具体的事例は以下ので、本人の同意を得ずに情報の提供を行うことができる。健保組合等における具体的事例は以下のとおりである。
とおりである。
・健保組合等内の他の部署との連携など当該健保組合等内部における情報の交換
・複数の事務所（支部）を持つ健保組合の事務所（支部）間における情報の交換
・健康保険組合連合会内の複数の支部との間における情報の交換及び支部間における情報の交換・健保組合等の職員を対象とした研修での利用（特定し、公表した利用目的との関係で、目的外利用として所要の措置を行う必要があり得る）
・健保組合等内で事業分析を行うための情報の交換

・健保組合等内の他の部署との連携など当該健保組合等内部における情報の交換
・複数の事務所（支部）を持つ健保組合の事務所（支部）間における情報の交換
・健康保険組合連合会内の複数の支部との間における情報の交換及び支部間における情報の交換・健保組合等の職員を対象とした研修での利用（特定し、公表した利用目的との関係で、目的外利用として所要の措置を行う必要があり得る）
・健保組合等内で事業分析を行うための情報の交換

このうち、健保組合等内部の研修でレセプトや健診記録等を利用する場合には、具体的な利用方
法を含め、あらためて本人の同意を得るか、個人が特定されないよう匿名化する。

このうち、健保組合等内部の研修でレセプトや健診記録等を利用する場合には、具体的な利用方
法を含め、あらためて本人の同意を得るか、個人が特定されないよう匿名化する。

（５）その他留意事項（５）その他留意事項
・他の事業者への情報提供に関する留意事項
・他の事業者への情報提供に関する留意事項
第三者提供を行う場合のほか、他の事業者への情報提供であっても、①法令に基づく場合など
第三者提供を行う場合のほか、他の事業者への情報提供であっても、①法令に基づく場合など
第三者提供の例外に該当する場合、②「第三者」に該当しない場合、③個人が特定されないよう第三者提供の例外に該当する場合、②「第三者」に該当しない場合、③個人が特定されないように匿名化して情報提供する場合などにおいては、本来必要とされる情報の範囲に限って提供すべに匿名化して情報提供する場合などにおいては、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないようにすべきである。
ないようにすべきである。
また、被保険者等と医師等双方の二面性を持っている個人情報を第三者提供するに当たってまた、被保険者等と医師等双方の二面性を持っている個人情報を第三者提供するに当たっては、双方の同意が必要となるが、一方の同意のみで第三者提供する場合は、他方の個人情報に係は、双方の同意が必要となるが、一方の同意のみで第三者提供する場合は、他方の個人情報に係る部分をマスキングした上で行うこと。
る部分をマスキングした上で行うこと。
【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】
・健保組合等においては、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはな
・健保組合等においては、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。なお、健保組合等については、（２）の本人の同意を得る必要がない場合に該当する場合らない。なお、健保組合等については、（２）の本人の同意を得る必要がない場合に該当する場合には、本人の同意を得る必要はない。
には、本人の同意を得る必要はない。
・個人データの第三者提供について本人の同意があった場合で、その後、本人から第三者提供の範・個人データの第三者提供について本人の同意があった場合で、その後、本人から第三者提供の範囲の一部についての同意を取り消す旨の申出があった場合は、その後の個人データの取扱いにつ
囲の一部についての同意を取り消す旨の申出があった場合は、その後の個人データの取扱いについては、本人の同意のあった範囲に限定して取り扱うものとする。
いては、本人の同意のあった範囲に限定して取り扱うものとする。
【その他の事項】【その他の事項】
・第三者提供に該当しない情報提供が行われる場合であっても、健保組合等のホームページへの掲
・第三者提供に該当しない情報提供が行われる場合であっても、健保組合等のホームページへの掲載のほか、パンフレットの配布、事業所担当窓口や健保組合等の掲示板への掲示・備付け、公告載のほか、パンフレットの配布、事業所担当窓口や健保組合等の掲示板への掲示・備付け、公告等により情報提供先をできるだけ明らかにするとともに、被保険者等からの 問合せ があった場
等により情報提供先をできるだけ明らかにするとともに、被保険者等からの 問い合わせ があっ27

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

合に回答できる体制を確保する。
・例えば、業務委託の場合、当該健保組合等関係事業者において委託している業務の内容、委託先
事業者、委託先事業者との間での個人情報の取扱いに関する取り決め等の委託内容について公表する。
６．外国にある第三者への提供の制限（法第２４条）
詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」（平成２８年個人情報保護委員会告示第７号）を参照のこと。
（参考）（外国にある第三者への提供の制限）
法第二十四条 個人情報取扱事業者は、外国（本邦の域外にある国又は地域をいう。以下同じ。
）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものを除く。以下この条において同じ。
）にある第三者（個人データの取扱いについてこの節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この条において同じ。
）に個人データを提供する場合には、前条第一項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は、適用しない。
規則第十一条 法第二十四条の個人情報保護委員会規則で定める基準は、次の各号のいずれかに該当することとする。
一 個人情報取扱事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第四章第一節の規定の趣旨に沿った措置の実施が確保されていること。
二 個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。
【法の規定により遵守すべき事項等】
・健保組合等が、法第２４条の規定に基づき、外国にある第三者に個人データを提供する場合には、
法第２３条第１項各号（※）に定める場合を除き、外国にある第三者へ提供することについて本人の同意を得なければならない。
・ただし、次の①又は②のいずれかに該当する場合は、国内と同様に法第２３条第１項柱書に基づく本人同意による第三者提供、又は同条第５項に基づく委託、共同利用による提供が可能である。
①外国にある第三者が日本と同等の水準にあると認められる個人情報保護制度を有している国として個人情報の保護に関する法律施行規則（平成２８年個人情報保護委員会規則第 3号。以下「規則」という。）で定める国にある場合②外国にある第三者が、個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制として規則で定める基準に適合する体制を整備している場合

28

た場合に回答できる体制を確保する。
・例えば、業務委託の場合、当該健保組合等関係事業者において委託している業務の内容、委託先
事業者、委託先事業者との間での個人情報の取扱いに関する取り決め等の委託内容について公表
する。
（新設）

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表（※）法第２３条第 1 項各号
・法令に基づいて個人データを提供する場合（第 1 号関係）
・人（法人を含む。
）の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得ることが困難である場合（第 2 号関係）
・公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることが困難である場合（第 3 号関係）
・国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場
合であって、協力する民間企業等が当該国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合（第 4 号
関係）
７．第三者提供に係る記録の作成等（法第２５条）
詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」（平成２８年個人情報保護委員会告示第８号）を参照のこと。
（第三者提供に係る記録の作成等）
法第二十五条 個人情報取扱事業者は、個人データを第三者（第二条第五項各号に掲げる者を除く。略）に提供したときは、個人情報保護委員会規則で定めるところにより、当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。ただし、当該個人データの提供が第二十三条第一項各号又は第五項各号のいずれか（略）に該当する場合は、この限りでない。
2 個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。
（第三者提供に係る記録の作成）
規則第十二条 法第二十五条第一項の規定による同項の記録を作成する方法は、文書、電磁的記録
又はマイクロフィルムを用いて作成する方法とする。
2 法第二十五条第一項の記録は、個人データを第三者（略）に提供した都度、速やかに作成しなければならない。ただし、当該第三者に対し個人データを継続的に若しくは反復して提供（略）したとき、又は当該第三者に対し個人データを継続的に若しくは反復して提供することが確実であると見込まれるときの記録は、一括して作成することができる。
3 前項の規定にかかわらず、法第二十三条第一項又は法第二十四条の規定により、本人に対する物品又は役務の提供に関連して当該本人に係る個人データを第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に次条第一項各号に定める事項が記載されているときは、当該書面をもって法第二十五条第一項の当該事項に関する記録に代えることができる。
（第三者提供に係る記録事項）
規則第十三条 法第二十五条第一項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。
29

（新設）

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

一 法第二十三条第二項の規定により個人データを第三者に提供した場合 次のイからニまでに掲げる事項イ 当該個人データを提供した年月日
ロ 当該第三者の氏名又は名称その他の当該第三者を特定するに足りる事項（不特定かつ多数の者に対して提供したときは、その旨）
ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事
項ニ 当該個人データの項目
二 法第二十三条第一項又は法第二十四条の規定により個人データを第三者に提供した場合
次のイ及びロに掲げる事項
イ 法第二十三条第一項又は法第二十四条の本人の同意を得ている旨
ロ 前号ロからニまでに掲げる事項
２ 前項各号に定める事項のうち、既に前条に規定する方法により作成した法第２５条第１項の記
録（当該記録を保存している場合におけるものに限る。）に記録されている事項と内容が同一であるものについては、法第２５条第 1 項の当該事項の記録を省略することができる。
（第三者提供に係る記録の保存期間）
規則第十四条 法第二十五条第二項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とする。
一 第十二条第三項に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を行った日から起算して一年を経過する日までの間
二 第十二条第二項ただし書に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を行った日から起算して三年を経過する日までの間
三 前二号以外の場合 三年（１）記録義務が適用されない場合
以下の場合には記録義務が適用されない。
①第三者が法第２条第５項各号に掲げる者である場合
以下の１）から４）までに掲げる者との間で個人データの授受を行う場合、記録義務は適用されない。
１）国の機関（法第 2 条第 5 項第 1 号関係）
２）地方公共団体（法第 2 条第 5 項第 2 号関係）
３）独立行政法人等（独立行政法人等の保有する個人情報の保護に関する法律 （平成１５年
法律第５９号）第 2 条第 1 項 に規定する独立行政法人等をいう。）（法第 2 条第 5 項第3 号関係）
４）地方独立行政法人（地方独立行政法人法（平成１５年法律第１１８号）第 2 条第 1 項に規定する地方独立行政法人をいう。）（法第 2 条第 5 項第 4 号関係）
②法第２３条第 1 項各号に該当する場合（Ⅲ５．
（２）参照）
個人データが転々流通することは想定されにくいことに鑑み、記録義務は適用されない。

30

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

１）法令に基づいて個人データを提供する場合（第 1 号関係）（例）・第三者行為に係る損保会社等への求償・番号法に定める情報連携・特定健診、保健指導の実施状況管理及び国への報告
２）人（法人を含む。
）の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得ることが困難である場合（第 2 号関係）
３）公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることが困難である場合（第 3 号関係）
４）国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であって、協力する民間企業等が当該国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合（第 4 号関係）
③法第 23 条第 5 項各号に該当する場合（Ⅲ５．
（４）参照）「第三者に該当しないものとする」とされていることに鑑み、記録義務は適用されない。
１）個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合（法第 23 条第 5 項第1 号関係）（例）・海外療養費に係る翻訳のための外部委託・被保険者等の資格等のデータ処理の外部委託
・保健指導、健康相談に係る産業医への委託
・医療機関への健診の委託
・健康増進施設（保養所等）の運営の委託
・レセプトデータの内容点検・審査の委託
・レセプトデータの電算処理のためのパンチ入力、画像取込み処理の委託・医療費分析及び医療費通知に係るデータ処理等の外部委託
２）合併その他の事由による事業の承継に伴って個人データが提供される場合（法第 23 条第5 項第 2 号関係）
３）特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき（法第２３条第５項第 3 号関係）
（例）
・健保連の高額医療給付の共同事業
・コラボヘルスの一環である健診結果の事業主への提供
・健康保険組合連合会本部における医療費分析事業への参画④本人に代わって提供している場合
31健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

健保組合等が被保険者本人からの委託等に基づき当該本人の個人データを第三者提供する場合
は、当該個人情報取扱事業者は「本人に代わって」個人データの提供をしているものである。
したがって、この場合の第三者提供については、記録義務は適用されない。
（例）
・高額療養費、付加給付を事業主経由で支給する場合において明細などの個人データを事業主に提供した場合
・第三者求償事務において、保険会社・医療機関等への相談又は届出等⑤本人と一体と評価できる関係にある者に提供する場合
本人の代理人又は家族等、本人と一体と評価できる関係にある者に提供する場合、本人側に対する提供とみなし、記録義務は適用されない。
（例）・医療費通知を世帯ごとにまとめて行う場合において家族分の個人データを本人に WEB

上等で提供した場合【法の規定により遵守すべき事項等】（２）記録義務の適用（１）に記載したいずれの場合にも該当しない場合で、健保組合等が個人データを第三者に提供したときは、法令に定める記録の作成及びその記録を保存しなければならない。
①記録を作成する方法など
１）記録を作成する媒体
健保組合等は、記録を、文書、電磁的記録又はマイクロフィルムを用いて作成しなければならない。
２）記録を作成する方法
健保組合等は、原則として、個人データの授受の都度、速やかに記録を作成しなければならない。
３）一括して記録を作成する方法
一定の期間内に特定の事業者との間で継続的に又は反復して個人データを授受する場合は、個々の授受に係る記録を作成する代わりに、一括して記録を作成することができる。
４）契約書等の代替手段による方法
健保組合等が、本人に対する物品又は役務の提供に係る契約を締結し、その契約の履行に伴って、契約の相手方を本人とする個人データを健保組合等から第三者に提供する場合は、その提供の際に作成した契約書その他の書面をもって個人データの流通を追跡することが可能であるから当該契約書その他の書面をもって記録とすることができる。
５）代行により記録を作成する方法
提供者、受領者のいずれも記録の作成方法、保存期間は同一であることに鑑みて受領者は提供
32

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表者の記録義務の全部又は一部を代替して行うことができる（提供者と受領者の記録事項の相違については留意する必要がある。）。なお、この場合であっても、提供者及び受領者は自己の義務が免責されるわけではないことから、実質的に自ら記録作成義務を果たしているものと同等の体制を構築しなければならない。
②記録事項
１）提供者の記録事項
健保組合等が、本人の同意に基づき個人データの第三者提供を行う場合は、次の項目を記録しなければならない。
・本人同意を得ている旨
・第三者の氏名又は名称その他の当該第三者を特定できる事項
・個人データによって識別される本人の氏名その他の当該本人を特定できる事項
・個人データの項目③記録事項の省略
複数回にわたって同一「本人」の個人データの授受をする場合において、同一の内容である事項
を重複して記録する必要はない。既に「７．
（２）記録義務の適用」に規定する方法により作成した記録（現に保存している場合に限る。）に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。
④保存期間
健保組合等は、作成した記録を規則で定める期間保存しなければならない。保存期間は記録の作成方法によって異なるので留意が必要である。
記録の作成方法の別

保存期間

契約書等の代替手段による方法に最後に当該記録に係る個人データの提供を行っより記録を作成した場合た日から起算して１年を経過する日までの間一括して記録を作成する方法によ

最後に当該記録に係る個人データの提供を行っり記録を作成した場合た日から起算して３年を経過する日までの間

上記以外の場合３年

８．第三者提供を受ける際の確認等（法第２６条）
詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」（平成２８年個人情報保護委員会告示第８号）を参照のこと。
（第三者提供を受ける際の確認等）
法第二十六条 個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、（略）次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供が第二十三条第一項各号又は第五項各号のいずれかに該当する場合は、この限りでない。
一 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で
33

（新設）

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名
二 当該第三者による当該個人データの取得の経緯
２ 前項の第三者は、個人情報取扱事業者が同項の規定による確認を行う場合において、当該個人情報取扱事業者に対して、当該確認に係る事項を偽ってはならない。
3
個人情報取扱事業者は、第一項の規定による確認を行ったときは、個人情報保護委員会規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個
人情報保護委員会規則で定める事項に関する記録を作成しなければならない。
4 個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。
（第三者提供を受ける際の確認）
規則第十五条 法第二十六条第一項の規定による同項第一号に掲げる事項の確認を行う方法は、
個人データを提供する第三者から申告を受ける方法その他の適切な方法とする。
2 法第二十六条第一項の規定による同項第二号に掲げる事項の確認を行う方法は、個人データを提供する第三者から当該第三者による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法とする。
３ （略）（第三者提供を受ける際の確認に係る記録の作成）
規則第十六条 法第二十六条第三項の規定による同項の記録を作成する方法は、文書、電磁的記録
又はマイクロフィルムを用いて作成する方法とする。
2 法第二十六条第三項の記録は、第三者から個人データの提供を受けた都度、速やかに作成しなければならない。ただし、当該第三者から継続的に若しくは反復して個人データの提供（法第二十三条第二項の規定による提供を除く。以下この条において同じ。）を受けたとき、又は当該第三者から継続的に若しくは反復して個人データの提供を受けることが確実であると見込まれる
ときの記録は、一括して作成することができる。
3 前項の規定にかかわらず、本人に対する物品又は役務の提供に関連して第三者から当該本人に係る個人データの提供を受けた場合において、当該提供に関して作成された契約書その他の書面に次条第一項各号に定める事項が記載されているときは、当該書面をもって法第二十六条第三項の当該事項に関する記録に代えることができる。
（第三者提供を受ける際の記録事項）
規則第十七条 法第二十六条第三項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。
一 個人情報取扱事業者から法第二十三条第二項の規定による個人データの提供を受けた場合
次のイからホまでに掲げる事項
イ 個人データの提供を受けた年月日
ロ 法第二十六条第一項各号に掲げる事項
ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事
項ニ 当該個人データの項目
ホ 法第二十三条第四項の規定により公表されている旨
二 個人情報取扱事業者から法第二十三条第一項又は法第二十四条の規定による個人データの34

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

提供を受けた場合 次のイ及びロに掲げる事項
イ 法第二十三条第一項又は法第二十四条の本人の同意を得ている旨
ロ 前号ロからニまでに掲げる事項
三 第三者（個人情報取扱事業者に該当する者を除く。）から個人データの提供を受けた場合 第一号ロからニまでに掲げる事項
２ （略）（第三者提供を受ける際の記録の保存期間）
規則第十八条 法第二十六条第四項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とする。
一 第十六条第三項に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を受けた日から起算して一年を経過する日までの間
二 第十六条第二項ただし書に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を受けた日から起算して三年を経過する日までの間
三 前二号以外の場合 三年（１）確認・記録義務が適用されない場合

７．第三者提供に係る記録の作成等（法第２５条）の場合と同様、①第三者が法第２条第５項各号に掲げる者である場合、②法第２３条第 1 項各号に該当する場合（Ⅲ５．
（２）参照）、③法第２３条第 5 項各号に該当する場合（Ⅲ５．
（４）参照）、④本人に代わって提供された個人データを受ける
場合、⑤本人と一体と評価できる関係にある者に該当する場合は、確認・記録義務は適用されない。なお、具体的事例は、７．
（１）を参照のこと。
加えて、以下の場合においても確認・記録義務は適用されない。
⑥受領者にとって個人データに該当しない場合提供者にとって個人データに該当するが受領者にとって個人データに該当しない情報を受領した場合は、確認・記録義務は適用されない。
⑦受領者にとって個人情報に該当しない場合
次の事例のように、提供者にとって個人データに該当する場合であっても、受領者にとっては「個人情報」に該当しない（当然に個人データにも該当しない。）情報を受領した場合は、確認・記録義
務は適用されない。
【受領者にとって個人情報に該当しない事例】（例）
・提供者が氏名を削除するなどして個人を特定できないようにしたデータの提供を受けた場合・提供者で管理している ID 番号のみが付されたデータの提供を受けた場合【法の規定により遵守すべき事項等】（２）確認義務の適用
健保組合等は第三者から個人データの提供を受ける際は、当該第三者に対して、次のとおり確認を行わなければならない。
35

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表①確認方法
１）第三者の氏名及び住所並びに法人にあっては、その代表者の氏名
２）第三者による個人データの取得の経緯
３）法の遵守状況【その他の事項】
健保組合等が、他の事業者から個人データの提供を受ける際には、当該事業者の法の遵守状況（例えば、利用目的、開示手続、問合せ・苦情の受付窓口の公表、オプトアウトによる第三者提供により個人データの提供を受ける際には当該事業者の届出事項が個人情報保護委員会により公表されている旨など）についても確認することが望ましい。
②既に確認を行った第三者に対する確認方法
複数回にわたって同一「本人」の個人データの授受をする場合において、同一の内容である事項を重複して確認する合理性はないため、既に「①確認方法」に規定する方法により確認を行い、「８．
（３）記録義務」に規定する方法により作成し、かつ、その時点において保存している記録に記録された事項と内容が同一であるものについては、当該事項の確認を省略することができる。
（３）記録義務の適用
また、健保組合等は、第三者から個人データの提供を受けたときは法令に定める記録を作成し、かつ、その記録を保存しなければならない。
①記録を作成する方法など
１）記録を作成する媒体

健保組合等は、記録を、文書、電磁的記録又はマイクロフィルムを用いて作成しなければならない。
２）記録を作成する方法

健保組合等は、原則として、個人データの授受の都度、速やかに記録を作成しなければならない。
３）一括して記録を作成する方法
一定の期間内に特定の事業者との間で継続的に又は反復して個人データを授受する場合は、個々の授受に係る記録を作成する代わりに、一括して記録を作成することができる。
４）契約書等の代替手段による方法

健保組合等が、本人に対する物品又は役務の提供に係る契約を締結し、その契約の履行に伴って、契約の相手方を本人とする個人データを第三者から提供を受ける場合は、その提供の際に作成した契約書その他の書面をもって個人データの流通を追跡することが可能であるから当該契約書その他の書面をもって記録とすることができる。
５）代行により記録を作成する方法
36

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

提供者、受領者のいずれも記録の作成方法、保存期間は同一であることに鑑みて提供者は受領者の記録義務の全部又は一部を代替して行うことができる（提供者と受領者の記録事項の相違については留意する必要がある。）。なお、この場合であっても、提供者及び受領者は自己の義務が免責されるわけではないことから、実質的に自ら記録作成義務を果たしているものと同等の体制を構築しなければならない。
②記録事項
１）受領者の記録事項

健保組合等が、本人の同意に基づき個人データの第三者提供を受ける場合は、次の項目を記録しなければならない。
・本人同意を得ている旨
・第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名・第三者による当該個人データの取得の経緯
・個人データによって識別される本人の氏名その他の当該本人を特定できる事項
・個人データの項目③記録事項の省略
複数回にわたって同一「本人」の個人データの授受をする場合において、同一の内容である事項
を重複して記録する必要はない。既に「８．
（３）記録義務の適用」に規定する方法により作成した記録（現に保存している場合に限る。）に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。
④保存期間

健保組合等は、作成した記録を規則で定める期間保存しなければならない。保存期間は記録の作成方法によって異なるので留意が必要である。
記録の作成方法の別

保存期間

契約書等の代替手段による方法に最後に当該記録に係る個人データの提供を行っより記録を作成した場合た日から起算して１年を経過する日までの間一括して記録を作成する方法によ

最後に当該記録に係る個人データの提供を行っり記録を作成した場合た日から起算して３年を経過する日までの間

上記以外の場合３年

９．保有個人データに関する事項の公表等（法第 ２７条）

６．保有個人データに関する事項の公表等（法第 ２４条）

（保有個人データに関する事項の公表等）
法第 二十七 条 個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
一 当該個人情報取扱事業者の氏名又は名称
二 全て の保有個人データの利用目的（第十八条第四項第一号から第三号までに該当する場合（保有個人データに関する事項の公表等）
法第 二十四 条 個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
一 当該個人情報取扱事業者の氏名又は名称
二 すべて の保有個人データの利用目的（第十八条第四項第一号から第三号までに該当する場
37

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表を除く。
）
三 次項 の規定による求め又は次条第一項、第二十九条第一項若しくは第三十条第一項若しくは第三項の規定による請求 に応じる手続（第三十三条第二項 の規定により手数料の額を定めたときは、その手数料の額を含む。
）
四 前三号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの
２ 個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りでない。
一 前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合
二 第十八条第四項第一号から第三号までに該当する場合
３ 個人情報取扱事業者は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

合を除く。
）
三 次項 、次条第一項、第二十六条第一項又は第二十七条第一項若しくは第二項の規定による求め に応じる手続（第三十条第二項 の規定により手数料の額を定めたときは、その手数料の額を含む。
）
四 前三号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの
２ 個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りでない。
一 前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合
二 第十八条第四項第一号から第三号までに該当する場合
３ 個人情報取扱事業者は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

（保有個人データの適正な取扱いの確保に関し必要な事項）
令第八条 法 第二十七条 第一項第四号の政令で定めるものは、次に掲げるものとする。
一 当該個人情報取扱事業者が行う保有個人データの取扱いに関する苦情の申出先
二 当該個人情報取扱事業者が認定個人情報保護団体の対象事業者である場合にあっては、当該認定個人情報保護団体の名称及び苦情の解決の申出先（保有個人データの適正な取扱いの確保に関し必要な事項）
令第五条 法 第二十四条 第一項第四号の政令で定めるものは、次に掲げるものとする。
一 当該個人情報取扱事業者が行う保有個人データの取扱いに関する苦情の申出先
二 当該個人情報取扱事業者が認定個人情報保護団体の対象事業者である場合にあっては、当該認定個人情報保護団体の名称及び苦情の解決の申出先【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】
・健保組合等は、保有個人データに関し、(ｱ)当該個人情報取扱事業者の氏名又は名称、(ｲ)全て の・健保組合等は、保有個人データに関し、(ｱ)当該個人情報取扱事業者の氏名又は名称、(ｲ)すべて
保有個人データの利用目的（法第１８条第４項第１号から第３号までに規定された例外の場合をの保有個人データの利用目的（法第１８条第４項第１号から第３号までに規定された例外の場合除く）、(ｳ)保有個人データの利用目的の通知、開示、訂正、利用停止等の手続の方法、及び保有を除く）、(ｳ)保有個人データの利用目的の通知、開示、訂正、利用停止等の手続の方法、及び保有個人データの利用目的の通知又は開示に係る手数料の額、(ｴ)苦情の申出先等について、本人の個人データの利用目的の通知又は開示に係る手数料の額、(ｴ)苦情の申出先等について、本人の知知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む）に置かなければならない。
り得る状態（本人の求めに応じて遅滞なく回答する場合を含む）に置かなければならない。
・健保組合等は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められた・健保組合等は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、上記の措置により利用目的が明らかになっている場合及び法第１８条第４項第１号からときは、上記の措置により利用目的が明らかになっている場合及び法第１８条第４項第１号から第３号までの例外に相当する場合を除き、遅滞なく通知しなければならない。
第３号までの例外に相当する場合を除き、遅滞なく通知しなければならない。
・健保組合等は、利用目的の通知をしない旨の決定をしたときは、本人に対し、遅滞なく、その旨・健保組合等は、利用目的の通知をしない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
を通知しなければならない。
・法施行前から保有している個人情報についても同様の取扱いを行う。
・法施行前から保有している個人情報についても同様の取扱いを行う。
【その他の事項】【その他の事項】
・健保組合等は、保有個人データについて、その利用目的、開示、訂正、利用停止等の手続の方法
・健保組合等は、保有個人データについて、その利用目的、開示、訂正、利用停止等の手続の方法及び利用目的の通知又は開示に係る手数料の額、苦情の申出先等について、少なくとも健保組合
及び利用目的の通知又は開示に係る手数料の額、苦情の申出先等について、少なくとも健保組合等のホームページへの掲載のほか、パンフレットの配布、事業所担当窓口や健保組合等の掲示板
等のホームページへの掲載のほか、パンフレットの配布、事業所担当窓口や健保組合等の掲示板への掲示・備付け、公告等により情報提供先をできるだけ明らかにするとともに、被保険者等かへの掲示・備付け、公告等により情報提供先をできるだけ明らかにするとともに、被保険者等からの要望により書面を交付したり、問い合わせ があった場合に具体的内容について回答できるらの要望により書面を交付したり、問合せ があった場合に具体的内容について回答できる体制を確保する。
体制を確保する。
38

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

１０．本人からの 請求 による保有個人データの開示（法 第２８条 ）７．本人からの 求め による保有個人データの開示（法 第２５条 ）（開示）
法 第二十八条 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの開示を請求することができる。
２ 個人情報取扱事業者は、前項の規定による請求を受けた ときは、本人に対し、政令で定める方法により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示すること
により次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
一 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
二 当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
三 他の法令に違反することとなる場合

（開示）
（新設）

個人情報取扱事業者は、第一項の規定による請求に係る 保有個人データの全部又は一部について開示しない旨の決定をしたとき 又は当該保有個人データが存在しないとき は、本人に対し、
遅滞なく、その旨を通知しなければならない。
４ 他の法令の規定により、本人に対し 第二項本文 に規定する方法に相当する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている場合には、当該全部又は一部の保有個人データについては、第一項及び第二項 の規定は、適用しない。

法 第二十五条 個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの開示（当該本人が識別される保有個人データが存在しないときにその旨を知らせることを含む。以下同じ。）を求められた ときは、本人に対し、政令で定める方法により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する
場合は、その全部又は一部を開示しないことができる。
一 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
二 当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
三 他の法令に違反することとなる場合
２ 個人情報取扱事業者は、前項の規定に基づき求められた 保有個人データの全部又は一部について開示しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
３ 他の法令の規定により、本人に対し 第一項本文 に規定する方法に相当する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている場合には、当該全部又は一部の保有個人データについては、同項の 規定は、適用しない。

（個人情報取扱事業者が保有個人データを開示する方法）
令 第九条 法 第二十八条第二項 の政令で定める方法は、書面の交付による方法（開示の 請求 を行った者が同意した方法があるときは、当該方法）とする。

（個人情報取扱事業者が保有個人データを開示する方法）
令 第六条 法 第二十五条第一項 の政令で定める方法は、書面の交付による方法（開示の 求め を行った者が同意した方法があるときは、当該方法）とする。

３（１）開示の原則（１）開示の原則
健保組合等は、本人から、当該本人が識別される保有個人データの 開示の請求を受けた ときは、健保組合等は、本人から、当該本人が識別される保有個人データの 開示を求められた ときは、本人に対し、書面の交付による方法等により、遅滞なく、当該保有個人データを開示しなければな
本人に対し、書面の交付による方法等により、遅滞なく、当該保有個人データを開示しなければな
らない。
らない。
（２）開示の例外（２）開示の例外
開示することで、法 第２８条第２項 の各号のいずれかに該当する場合は、その全部又は一部を開示することで、法 第２５条第１項 の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
開示しないことができる。
開示することで、法 第２８条第２項 第１号の「本人又は第三者の権利利益を害するおそれがあ開示することで、法 第２５条第１項 第１号の「本人又は第三者の権利利益を害するおそれがある」かどうかの判断は、健保組合等においては容易でないため、別に定める指針 （「診療報酬明細る」かどうかの判断は、健保組合等においては容易でないため、別に定める指針 （現行の「診療報書等の被保険者等への開示について」（平成１７年３月３１日保険局長通知）の内容）に基づき、開酬明細書等の被保険者への開示について」（平成９年６月２５日保険局長他連名通知）の内容の通示に当たって、主治医 の判断を要するものとする。
知）に基づき、開示に当たって、担当医 の判断を要するものとする。
【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】
・健保組合等は、本人から、当該本人が識別される保有個人データの 開示の請求を受けた ときは、 ・健保組合等は、本人から、当該本人が識別される保有個人データの 開示を求められた ときは、
39

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

本人に対し、遅滞なく、当該保有個人データを開示しなければならない。また、当該本人が識別される保有個人データが存在しないときにその旨知らせることとする。ただし、開示することにより、法 第２８条第２項 の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
・Ⅱ１．に記したとおり、例えばレセプトの情報の中には、被保険者等の保有個人データであって、当該レセプトに係る診察をした医師の保有個人データでもあるという二面性を持つ部分が含まれるものの、そもそもレセプト全体が被保険者等の保有個人データであることから、被保険者等本人から 開示の請求 があった場合に、その二面性があることを理由に全部又は一部を開示しないことはできない。ただし、法 第２８条第２項 の各号のいずれかに該当する場合には、法に従い、その全部又は一部を開示しないことができる。
・開示の方法は、書面の交付又は 請求 を行った者が同意した方法による。
・健保組合等は、請求を受けた 保有個人データの全部又は一部について開示しない旨を決定した
ときは、本人に対し、遅滞なく、その旨を通知しなければならない。また、本人に通知する場合には、本人に対してその理由を説明するよう努めなければならない（Ⅲ１３．参照）。
・他の法令の規定により、保有個人データの開示について定めがある場合には、当該法令の規定によるものとする。

本人に対し、遅滞なく、当該保有個人データを開示しなければならない。また、当該本人が識別される保有個人データが存在しないときにその旨知らせることとする。ただし、開示することにより、法 第２５条第１項 の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
・Ⅱ１．に記したとおり、例えばレセプトの情報の中には、被保険者等の保有個人データであって、当該レセプトに係る診察をした医師の保有個人データでもあるという二面性を持つ部分が含まれるものの、そもそもレセプト全体が被保険者等の保有個人データであることから、被保険者等本人から 開示の求め があった場合に、その二面性があることを理由に全部又は一部を開示しないことはできない。ただし、法 第２５条第１項 の各号のいずれかに該当する場合には、法に従い、その全部又は一部を開示しないことができる。
・開示の方法は、書面の交付又は 求め を行った者が同意した方法による。
・健保組合等は、求められた 保有個人データの全部又は一部について開示しない旨を決定したときは、本人に対し、遅滞なく、その旨を通知しなければならない。また、本人に通知する場合には、本人に対してその理由を説明するよう努めなければならない（Ⅲ１０．参照）。
・他の法令の規定により、保有個人データの開示について定めがある場合には、当該法令の規定によるものとする。

【その他の事項】【その他の事項】
・法定代理人等、開示の請求 を行い得る者から 開示の請求 があった場合、原則として被保険者等
・法定代理人等、開示の求め を行い得る者から 開示の求め があった場合、原則として被保険者等本人に対し保有個人データの開示を行う旨の説明を行った後、法定代理人等に対して開示を行う
本人に対し保有個人データの開示を行う旨の説明を行った後、法定代理人等に対して開示を行う
ものとする。
ものとする。
・健保組合等は、保有個人データの全部又は一部について開示しない旨決定した場合、本人に対す・健保組合等は、保有個人データの全部又は一部について開示しない旨決定した場合、本人に対するその理由の説明に当たっては、文書により示すことを基本とする。また、苦情への対応体制にるその理由の説明に当たっては、文書により示すことを基本とする。また、苦情への対応体制についても併せて説明することが望ましい。
ついても併せて説明することが望ましい。
１１．訂正及び利用停止（法 第２９条、第３０条 ）８．訂正及び利用停止（法 第２６条、第２７条 ）（訂正等）
法 第二十九条 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの内容が事実でないときは、当該保有個人データの内容の訂正、追加又は削除（以下この条において「訂正等」という。
）を請求することができる。
２ 個人情報取扱事業者は、前項の規定による請求を受けた 場合には、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。

（訂正等）
（新設）

３

法 第二十六条 個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの内容が事実でないという理由によって当該保有個人データの内容の訂正、追加又は削除（以下この条において「訂正等」という。）を求められた 場合には、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。
２ 個人情報取扱事業者は、前項の規定に基づき求められた 保有個人データの内容の全部若しく
は一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。
）を通知しなければならない。

個人情報取扱事業者は、第一項の規定による請求に係る 保有個人データの内容の全部若しく
は一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を通知しなければならない。
40

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表（利用停止等）法 第三十条 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第十六条の規定に違反して取り扱われているとき又は第十七条の規定に違反して取得されたものであるときは、当該保有個人データの利用の停止又は消去（以下この条において「利用停止等」という。
）を請求することができる。
２ 個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求 に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護する
ため必要なこれに代わるべき措置をとるときは、この限りでない。

（利用停止等）（新設）

法 第二十七条 個人情報取扱事業者は、本人から、当該本人が識別される保有個人データが第十六条の規定に違反して取り扱われているという理由又は第十七条の規定に違反して取得されたものであるという理由によって、当該保有個人データの利用の停止又は消去（以下この条において「利用停止等」という。）を求められた場合であって、その求め に理由があることが判明した
ときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
（新設）

３

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第二十三条第一
項又は第二十四条の規定に違反して第三者に提供されているときは、当該保有個人データの第三者への提供の停止を請求することができる。
４ 個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求 に理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

２

個人情報取扱事業者は、本人から、当該本人が識別される保有個人データが第二十三条第一項の規定に違反して第三者に提供されているという理由によって、当該保有個人データの第三者への提供の停止を求められた場合であって、その求め に理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止する
ことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとる
ときは、この限りでない。
３ 個人情報取扱事業者は、第一項の規定に基づき求められた 保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は前項の規定に基づき求められた 保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

５ 個人情報取扱事業者は、第一項の規定による請求に係る 保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は 第三項の規定による請求に係る 保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】
・健保組合等は、法 第２９条第２項、第３０条第２項又は第４項 の規定に基づき、本人から、保・健保組合等は、法 第２６条、第２７条第１項又は第２項 の規定に基づき、本人から、保有個人
有個人データの訂正等、利用停止等、第三者への提供の停止 の請求を受けた 場合で、それらのデータの訂正等、利用停止等、第三者への提供の停止 を求められた 場合で、それらの 求め が適
請求 が適正であると認められるときは、これらの措置を行わなければならない。
正であると認められるときは、これらの措置を行わなければならない。
・ただし、利用停止等及び第三者への提供の停止については、利用停止等に多額の費用を要する場
・ただし、利用停止等及び第三者への提供の停止については、利用停止等に多額の費用を要する場
合など当該措置を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに合など当該措置を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
代わるべき措置をとるときは、この限りでない。
・なお、以下の場合については、これらの措置を行う必要はない。
・なお、以下の場合については、これらの措置を行う必要はない。
①訂正等の 求め があった場合であっても、(ｱ)利用目的から見て訂正等が必要でない場合、(ｲ)誤①訂正等の 請求 があった場合であっても、(ｱ)利用目的から見て訂正等が必要でない場合、(ｲ)誤りである指摘が正しくない場合又は(ｳ)訂正等の対象が事実でなく評価に関する情報である場りである指摘が正しくない場合又は(ｳ)訂正等の対象が事実でなく評価に関する情報である場
合合41

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表②利用停止等、第三者への提供の停止の 請求 があった場合であっても、手続違反等の指摘が正しくない場合・健保組合等は、上記の措置を行ったとき、又は行わない旨を決定したときは、本人に対し、遅滞なく、その旨を通知しなければならない。また、本人に通知する場合には、本人に対してその理由を説明するよう努めなければならない（Ⅲ１３．参照）。

②利用停止等、第三者への提供の停止の 求め があった場合であっても、手続違反等の指摘が正しくない場合・健保組合等は、上記の措置を行ったとき、又は行わない旨を決定したときは、本人に対し、遅滞なく、その旨を通知しなければならない。また、本人に通知する場合には、本人に対してその理由を説明するよう努めなければならない（Ⅲ１０．参照）。

【その他の事項】【その他の事項】
・健保組合等は、訂正等、利用停止等又は第三者への提供の停止 の請求を受けた 保有個人データ
・健保組合等は、訂正等、利用停止等又は第三者への提供の停止 が求められた 保有個人データのの全部又は一部について、これらの措置を行わない旨決定した場合、本人に対するその理由の説
全部又は一部について、これらの措置を行わない旨決定した場合、本人に対するその理由の説明
明に当たっては、文書により示すことを基本とする。その際は、苦情への対応体制についても併に当たっては、文書により示すことを基本とする。その際は、苦情への対応体制についても併せせて説明することが望ましい。
て説明することが望ましい。
・保有個人データの訂正等にあたっては、訂正した者、内容、日時等が分かるように行われなけれ・保有個人データの訂正等にあたっては、訂正した者、内容、日時等が分かるように行われなければならない。
ばならない。
・保有個人データの字句などを不当に変える改ざんは、行ってはならない。
・保有個人データの字句などを不当に変える改ざんは、行ってはならない。
１２．開示等の 請求等 に応じる手続及び手数料（法 第３２条、第３３条 ）９．開示等の 求め に応じる手続及び手数料（法 第２９条、第３０条 ）（開示等の 請求等 に応じる手続）
法 第三十二条 個人情報取扱事業者は、第二十七条第二項の規定による求め又は第二十八条第一項、第二十九条第一項若しくは第三十条第一項若しくは第三項の規定による請求 （以下この条及び第五十三条第一項 において「開示等の請求等 」という。）に関し、政令で定めるところにより、その求め 又は請求 を受け付ける方法を定めることができる。この場合において、本人は、当該方法に従って、開示等の請求等 を行わなければならない。
２ 個人情報取扱事業者は、本人に対し、開示等の請求等 に関し、その対象となる保有個人デー
タを特定するに足りる事項の提示を求めることができる。この場合において、個人情報取扱事業者は、本人が容易かつ的確に 開示等の請求等 をすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。
３ 開示等の請求等 は、政令で定めるところにより、代理人によってすることができる。
４ 個人情報取扱事業者は、前三項の規定に基づき 開示等の請求等 に応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。
（手数料）
法 第三十三条 個人情報取扱事業者は、第二十七条第二項 の規定による利用目的の通知 を求められたとき 又は 第二十八条第一項 の規定による開示 の請求を受けた ときは、当該措置の実施に関し、手数料を徴収することができる。
２ 個人情報取扱事業者は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。

（開示等の 求め に応じる手続）
法 第二十九条 個人情報取扱事業者は、第二十四条第二項、第二十五条第一項、第二十六条第一
項又は第二十七条第一項若しくは第二項の規定による求め （以下この条において「開示等の求め 」という。）に関し、政令で定めるところにより、その求めを受け付ける方法を定めることができる。この場合において、本人は、当該方法に従って、開示等の求め を行わなければならない。
２ 個人情報取扱事業者は、本人に対し、開示等の求め に関し、その対象となる保有個人データを特定するに足りる事項の提示を求めることができる。この場合において、個人情報取扱事業者
は、本人が容易かつ的確に 開示等の求め をすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。
３ 開示等の求め は、政令で定めるところにより、代理人によってすることができる。
４ 個人情報取扱事業者は、前三項の規定に基づき 開示等の求め に応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。
（手数料）
法 第三十条 個人情報取扱事業者は、第二十四条第二項 の規定による利用目的の通知又は 第二十五条第一項 の規定による開示 を求められた ときは、当該措置の実施に関し、手数料を徴収することができる。
２ 個人情報取扱事業者は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。

（開示等の請求等 を受け付ける方法）
令 第十条 法 第三十二条第一項 の規定により個人情報取扱事業者が 開示等の請求等 を受け付ける方法として定めることができる事項は、次に掲げるとおりとする。

（開示等の求め を受け付ける方法）
令 第七条 法 第二十九条第一項 の規定により個人情報取扱事業者が 開示等の求め を受け付ける方法として定めることができる事項は、次に掲げるとおりとする。
42

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

一 開示等の請求等の 申出先
二 開示等の請求等 に際して提出すべき書面（電磁的記録 を含む。第十四条第一項及び第二十一条第三項において同じ。）の様式その他の 開示等の請求等 の方式

一 開示等の求めの 申出先
二 開示等の求め に際して提出すべき書面（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られる記録 を含む。）の様式その他の 開示等の求め の方式
三 開示等の求め をする者が本人又は次条に規定する代理人であることの確認の方法
四 法 第三十条第一項 の手数料の徴収方法（開示等の求め をすることができる代理人）
令 第八条 法 第二十九条第三項 の規定により 開示等の求め をすることができる代理人は、次に掲げる代理人とする。
一 未成年者又は成年被後見人の法定代理人
二 開示等の求め をすることにつき本人が委任した代理人

三 開示等の請求等 をする者が本人又は次条に規定する代理人であることの確認の方法
四 法 第三十三条第一項 の手数料の徴収方法（開示等の請求等 をすることができる代理人）
令 第十一条 法 第三十二条第三項 の規定により 開示等の請求等 をすることができる代理人は、次に掲げる代理人とする。
一 未成年者又は成年被後見人の法定代理人
二 開示等の請求等 をすることにつき本人が委任した代理人（１）開示等を行う情報の特定（１）開示等を行う情報の特定健保組合等は、本人に対し、開示等の請求等 に関して、その対象となる保有個人データを特定す健保組合等は、本人に対し、開示等の求め に関して、その対象となる保有個人データを特定する
るに足りる事項の提示を求めることができるが、この場合には、本人が容易かつ的確に 開示等の請に足りる事項の提示を求めることができるが、この場合には、本人が容易かつ的確に 開示等の求め
求等 をすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便をすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した措置をとらなければならない。
を考慮した措置をとらなければならない。
また、保有個人データの開示等については、本人の求め により、保有個人データの全体又は一部
また、保有個人データの開示等については、本人の請求等 により、保有個人データの全体又は一部が対象となるが、当該本人の保有個人データが多岐にわたる、データ量が膨大であるなど、全体が対象となるが、当該本人の保有個人データが多岐にわたる、データ量が膨大であるなど、全体のの開示等が困難又は非効率な場合、健保組合等は、本人が 開示等の請求等 を行う情報の範囲を特開示等が困難又は非効率な場合、健保組合等は、本人が 開示等の求め を行う情報の範囲を特定す定するのに参考となる情報を提供するなど、本人の利便を考慮した支援を行うものとする。
るのに参考となる情報を提供するなど、本人の利便を考慮した支援を行うものとする。
（２）代理人による 開示等の請求等（２）代理人による 開示等の求め
保有個人データの開示等については、本人のほか、①未成年者又は成年被後見人の法定代理人、保有個人データの開示等については、本人のほか、①未成年者又は成年被後見人の法定代理人、②開示等の請求等 をすることにつき本人が委任した代理人により行うことができる。
②開示等の求め をすることにつき本人が委任した代理人により行うことができる。
【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】
・健保組合等は、保有個人データの 開示等の請求等 に関し、本人に過重な負担を課すものとなら・健保組合等は、保有個人データの 開示等の求め に関し、本人に過重な負担を課すものとならなない範囲において、以下の事項について、その請求 を受け付ける方法を定めることができる。
い範囲において、以下の事項について、その求め を受け付ける方法を定めることができる。
(ｱ)開示等の請求等 の受付先(ｱ)開示等の求め の受付先(ｲ)開示等の請求等 に際して提出すべき書面の様式、その他の 開示等の請求等 の受付方法(ｲ)開示等の求め に際して提出すべき書面の様式、その他の 開示等の求め の受付方法(ｳ)開示等の請求等 をする者が本人又はその代理人であることの確認の方法(ｳ)開示等の求め をする者が本人又はその代理人であることの確認の方法(ｴ)保有個人データの利用目的の通知、又は保有個人データの開示をする際に徴収する手数料の(ｴ)保有個人データの利用目的の通知、又は保有個人データの開示をする際に徴収する手数料の
徴収方法
徴収方法
・健保組合等は、本人に対し、開示等の請求等 に関して、その対象となる保有個人データを特定す・健保組合等は、本人に対し、開示等の求め に関して、その対象となる保有個人データを特定する
るに足りる事項の提示を求めることができるが、この場合には、本人が容易かつ的確に 開示等のに足りる事項の提示を求めることができるが、この場合には、本人が容易かつ的確に 開示等の求請求等 をすることができるよう、当該保有個人データの特定に資する情報の提供その他本人のめ をすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便利便を考慮した措置をとらなければならない。
を考慮した措置をとらなければならない。
・保有個人データの 開示等の請求等 は、本人のほか、未成年者又は成年被後見人の法定代理人、・保有個人データの 開示等の求め は、本人のほか、未成年者又は成年被後見人の法定代理人、当当該請求等 をすることにつき本人が委任した代理人によってすることができる。
該求め をすることにつき本人が委任した代理人によってすることができる。
43

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

・健保組合等は、保有個人データの利用目的の通知 を求められたとき 、又は保有個人データの開示を 請求されたとき は、当該措置の実施に関し、手数料を徴収することができ、その際には実費を勘案して合理的であると認められる範囲内において、手数料の額を定めなければならない。

・健保組合等は、保有個人データの利用目的の通知、又は保有個人データの開示を 求められたときは、当該措置の実施に関し、手数料を徴収することができ、その際には実費を勘案して合理的であると認められる範囲内において、手数料の額を定めなければならない。

【その他の事項】【その他の事項】
・健保組合等は、以下の点に留意しつつ、保有個人データの開示の手続を定めることが望ましい。
・健保組合等は、以下の点に留意しつつ、保有個人データの開示の手続を定めることが望ましい。
－開示等の求め の方法は書面によることが望ましいが、被保険者等の 自由な求め を阻害しない－開示等の請求等 の方法は書面によることが望ましいが、被保険者等の 自由な請求等 を阻害しないため、開示等 を請求する 理由を要求することは不適切である。
ため、開示等 を求める 理由を要求することは不適切である。
－開示等を 請求する 者が本人（又はその代理人）であることを確認する。
－開示等を 求める 者が本人（又はその代理人）であることを確認する。
－開示等の請求等 があった場合、医療機関に確認した上で、速やかに保有個人データの開示等を－開示等の求め があった場合、医療機関に確認した上で、速やかに保有個人データの開示等を決決定し、これを 開示の請求等 を行った者に通知する。
定し、これを 開示の求め を行った者に通知する。
－保有個人データの開示に当たり、法第２８条第２項 各号に該当する可能性がある場合には、開－保有個人データの開示に当たり、法第２５条第１項 各号に該当する可能性がある場合には、開示の可否について検討するために設置した検討委員会等において検討した上で、速やかに開示示の可否について検討するために設置した検討委員会等において検討した上で、速やかに開示の可否を決定することが望ましい。
の可否を決定することが望ましい。
－保有個人データの開示を行う場合には、本人に過重な負担を課すものとならない範囲で、日時、－保有個人データの開示を行う場合には、本人に過重な負担を課すものとならない範囲で、日時、場所、方法等を指定することができる。
場所、方法等を指定することができる。
・代理人等、開示の請求等 を行い得る者から 開示の請求等 があった場合、原則として被保険者等・代理人等、開示の求め を行い得る者から 開示の求め があった場合、原則として被保険者等に対に対し保有個人データの開示を行う旨の説明を行った後、開示の請求等 を行った者に対して開し保有個人データの開示を行う旨の説明を行った後、開示の求め を行った者に対して開示を行示を行うものとする。
うものとする。
・代理人等からの 請求等 があった場合で、①本人による具体的意思を把握できない包括的な委任・代理人等からの 求め があった場合で、①本人による具体的意思を把握できない包括的な委任にに基づく請求、②開示等の請求が行われる相当以前に行われた委任に基づく請求が行われた場合
基づく請求、②開示等の請求が行われる相当以前に行われた委任に基づく請求が行われた場合にには、本人への説明に際し、開示の請求等 を行った者及び開示する個人データの内容について十は、本人への説明に際し、開示の求め を行った者及び開示する個人データの内容について十分説分説明し、本人の意思を確認するとともに代理人の 請求 の適正性、開示の範囲等について本人
明し、本人の意思を確認するとともに代理人の 求め の適正性、開示の範囲等について本人の意の意思を踏まえた対応を行うものとする。
思を踏まえた対応を行うものとする。
１３．理由の説明、事前の請求、苦情の処理（法第３１条、第３４条～第３５条）

１０．理由の説明、苦情処理（法第２８条、第３１条）（理由の説明）
法 第三十一条 個人情報取扱事業者は、第二十七条第三項、第二十八条第三項、第二十九条第三項又は前条第五項 の規定により、本人から 求められ、又は請求され た措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合
は、本人に対し、その理由を説明するよう努めなければならない。
（事前の請求）法第三十四条 本人は、第二十八条第一項、第二十九条第一項又は第三十条第一項若しくは第三項の規定による請求に係る訴えを提起しようとするときは、その訴えの被告となるべき者に対し、あらかじめ、当該請求を行い、かつ、その到達した日から二週間を経過した後でなければ、その訴えを提起することができない。ただし、当該訴えの被告となるべき者がその請求を拒んだときは、この限りでない。
２ 前項の請求は、その請求が通常到達すべきであった時に、到達したものとみなす。
３ 前二項の規定は、第二十八条第一項、第二十九条第一項又は第三十条第一項若しくは第三項の（理由の説明）
法 第二十八条 個人情報取扱事業者は、第二十四条第三項、第二十五条第二項、第二十六条第二項又は前条第三項 の規定により、本人から 求められた 措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、その理由を説明するよう努めなければならない。
（新設）

44

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

規定による請求に係る仮処分命令の申立てについて準用する。
（個人情報取扱事業者による苦情の処理）法 第三十五条 個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
２ 個人情報取扱事業者は、前項の目的を達成するために必要な体制の整備に努めなければならな
い。

（個人情報取扱事業者による苦情の処理）法 第三十一条 個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
２ 個人情報取扱事業者は、前項の目的を達成するために必要な体制の整備に努めなければならない。

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】
・健保組合等は、本人から求められた保有個人データの利用目的の 通知、又は本人から請求された・健保組合等は、本人から求められた保有個人データの利用目的の 通知、開示、訂正等、利用停止
開示、訂正等、利用停止等において、その措置をとらない旨又はその措置と異なる措置をとる旨
等において、その措置をとらない旨又はその措置と異なる措置をとる旨本人に通知する場合は、本人に対して、その理由を説明するよう努めなければならない。また、苦情への対応体制につい本人に通知する場合は、本人に対して、その理由を説明するよう努めなければならない。また、ても併せて説明しなければならない。
苦情への対応体制についても併せて説明しなければならない。
・健保組合等は、個人情報の取扱いに関する苦情の適切かつ迅速な対応に努めなければならない。
・健保組合等は、個人情報の取扱いに関する苦情の適切かつ迅速な対応に努めなければならない。
また、健保組合等は、苦情の適切かつ迅速な対応を行うにあたり、苦情への対応窓口の設置や苦また、健保組合等は、苦情の適切かつ迅速な対応を行うにあたり、苦情への対応窓口の設置や苦情への対応の手順を定めるなど必要な体制の整備に努めなければならない。
情への対応の手順を定めるなど必要な体制の整備に努めなければならない。
【その他の事項】【その他の事項】
・健保組合等は、本人に対して理由を説明する際には、文書により示すことを基本とする。その際・健保組合等は、本人に対して理由を説明する際には、文書により示すことを基本とする。その際は、苦情への対応の体制についても併せて説明することが望ましい。
は、苦情への対応の体制についても併せて説明することが望ましい。
・健保組合等は、被保険者等からの苦情への対応にあたり、専用の窓口の設置など、被保険者等が・健保組合等は、被保険者等からの苦情への対応にあたり、専用の窓口の設置など、被保険者等が相談を行いやすい環境の整備に努める。
相談を行いやすい環境の整備に努める。
・健保組合等関係事業者は、被保険者等からの苦情への対応体制等について健保組合等のホームペ・健保組合等関係事業者は、被保険者等からの苦情への対応体制等について健保組合等のホームページへの掲載のほか、パンフレットの配布、事業所担当窓口や健保組合等の掲示板への掲示・備ージへの掲載のほか、パンフレットの配布、事業所担当窓口や健保組合等の掲示板への掲示・備付け、公告等を行うことで被保険者等に対して周知することが望ましい。
付け、公告等を行うことで被保険者等に対して周知することが望ましい。
Ⅳ ガイダンス の見直し等
Ⅳ ガイドライン の見直し等
１．必要に応じた見直し
１．必要に応じた見直し
個人情報の保護に関する考え方は、社会情勢や国民の意識の変化に対応して変化していくものと個人情報の保護に関する考え方は、社会情勢や国民の意識の変化に対応して変化していくものと考えられる。
考えられる。
このため、本ガイダンス についても必要に応じ検討及び見直しを行うものとする。
このため、本ガイドライン についても必要に応じ検討及び見直しを行うものとする。
２．本ガイダンス を補完する事例集等の作成・公開
２．本ガイドライン を補完する事例集等の作成・公開
個人情報保護委員会及び 厚生労働省は、健保組合等における個人情報の保護を推進し、健保組合
厚生労働省は、健保組合等における個人情報の保護を推進し、健保組合等における円滑な対応が図られるよう、本ガイドライン を補完する事例集（Ｑ＆Ａ）の作成等を行い、公表するものとす
等における円滑な対応が図られるよう、本ガイダンス を補完する事例集（Ｑ＆Ａ）の作成等を行
い、公表するものとする。
る。

45

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

別表１ 健保組合等が保有する個人情報の例

別表１ 健保組合等が保有する個人情報の例

個人情報の種類

情報の内容

個人情報の種類

個人情報の内容

適用関連

・記号・番号、氏名、生年月日、性別、個人番号、被保険者枝番

被保険者

記号・番号、氏名、生年月日、性別、資格取得日、当初取得
日、資格喪失日、標準報酬月額、報酬実績、被扶養者の有無

被保険者適用情報・資格取得・喪失日、報酬・賞与実績、被扶養者有無、前年度収入額＊被扶養者の場合、上記に加え被保険者本人との生計維持関係を示す情報

任意継続被保険者 記号・番号、氏名、生年月日、性別、資格取得日、資格喪失
適用情報日、資格喪失時の標準報酬月額、被扶養者の有無（続柄・同居有無等）＊任意継続被保険者の場合、上記に加え住所所在地等連絡先

被保険者レセプト 本家区分、診療区分、保険者番号、記号・番号、給付割合、
情報
診療年月、府県コード、医療機関コード、氏名、性別、生年月日、特記事項、職務上の事由、医療機関の所在地及び名称、診療科、傷病名、診療開始日、転帰、診療実日数、決定点数、
公費点数、一部負担金額、患者負担金額、外来負担金額、入院負担金額、マルコ金額、薬剤負担金額、薬剤負担金額公費分、食事療養日数、食事療養日数公費分、食事療養標準負担
額公費分、診療内容、画像（レセプト画像）

保険給付関連（現物） ・診療報酬明細書（レセプト）記載情報【診療年月日・日数、受診医療機関名称・所在地、傷病名、診療内容、医療費等にかかる情報】
保険給付関連（現金） ・療養費、移送費関連【治療用装具内容・装着日、柔道整復師・あんま・はり・きゅう・マッサージ師等にかかる情報、移送経緯・費用、その他申請理由等】

被保険者健康診断 記号・番号、被保険者・被扶養者・事業所担当者氏名および情報
住所、生年月日、電話番号、事業所名、事業所社員コード、受診費用、健診別給種コード、健診未実施項目、健診種目名、健診受診日、健診機関名、健診機関所在地、画像（レントゲン写真）、相談・指導内容、所見、保健師・看護師名、緊急薬・常備薬購入記録、疾病既往歴、家族既往歴・傷病手当金関連【傷病名、労務不能期間、労務不能期間中の報酬額、年金受給額、出勤状
況、医師の意見にかかる情報】
・出産手当金・出産育児一時金関連【出産日、出勤状況、休業期間中の報酬額、出産への処置にかかる情報】

被保険者現金給付 記号・番号、氏名、生年月日、住所、電話番号、振込口座、情報
受診医療機関名、受診年月、傷病名、給与所得、基礎年金番号、年金額、医療費、装具装着日、装具購入費用、前年度所
得（非課税者のみ）、移送費用、照明先医療機関名、労務不能
期間、労務不能期間に受けた給与、労務不能期間の出勤状況、
出産（予定）日、出生児数、出生児名、続柄、死亡年月日、死亡原因（病名）、除籍謄本記載内容、埋葬に要した費用（埋葬料のみ）、請求者住所・電話番号・振込口座

・埋葬料（費）関連【死亡年月日、埋葬に要した費用、請求者にかかる情報】
保健事業関連・健康診査、保健指導関連(特定健康診査・特定保健指導・事業所とのコラ＊事業内容により異ボヘルスを含む）

なる【受診年月日、健診機関名称・所在地、健診・問診結果、指導結果】

被保険者柔道整復 記号・番号、氏名、生年月日、施術柔道整復師名、施術年月、情報
施術金額、傷病名、柔道整復師の振込先口座
被扶養者

被扶養者適用情報

使命、生年月日、性別、被保険者との続柄、職業（学校名）、
月平均収入額、同居別居の別被扶養者レセプト 被保険者レセプト情報と同じ
情報
被扶養者健康診断 被保険者健康診断情報と同じ
情報

46

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

別表２ 健保組合等の 通常業務 で想定される主な利用目的

別表２ 健保組合等の通常の業務で想定される主な利用目的

1.被保険者等に対する保険給付に必要な利用目的

1.被保険者等に対する保険給付に必要な利用目的〔健保組合等の内部での利用に係る事例〕〔健保組合等の内部での利用に係る事例〕
・被保険者資格の確認、被扶養者の認定並びに健康保険被保険者証の発行管理

・保険給付及び付加給付の実施

・保険給付及び付加給付の実施・番号法に定める利用事務〔他の事業者等への情報提供を伴う事例〕
・高額療養費及び一部負担金還元金等の自動払い
・海外療養費に係る翻訳のための外部委託
・第三者行為に係る損保会社等への求償・健保連の高額医療給付の共同事業〔他の事業者等への情報提供を伴う事例〕
・高額療養費及び一部負担金還元金等の自動払い における給与口座（事業主）への支払い
・海外療養費に係る翻訳のための外部委託
・第三者行為に係る損保会社等への求償・健保連の高額医療給付の共同事業・番号法に定める情報連携
・被保険者等の資格等のデータ処理の外部委託

2.保険料の徴収等に必要な利用目的〔健保組合等の内部での利用に係る事例〕
・被保険者資格の確認並びに 標準報酬月額及び標準賞与額の把握
・健康保険料の徴収・被扶養者の認定
・健康保険被保険者証の発行〔他の事業者等への情報提供を伴う事例〕
・被保険者等の資格等のデータ処理の外部委託
3.保健事業に必要な利用目的〔健保組合等の内部での利用に係る事例〕
・健康の保持・増進のための健診、保健指導及び健康相談

2.保険料の徴収等に必要な利用目的〔健保組合等の内部での利用に係る事例〕
・標準報酬月額及び標準賞与額の把握
・健康保険料、介護保険料、調整保険料の徴収

3.保健事業に必要な利用目的〔健保組合等の内部での利用に係る事例〕
・健康の保持・増進のための健診、保健指導及び健康相談
・特定健診、保健指導の実施

・健康増進施設（保養所等）の運営〔他の事業者等への情報提供を伴う事例〕

・健康増進施設（保養所等）の運営〔他の事業者等への情報提供を伴う事例〕
・特定健診、保健指導の実施状況管理及び国への報告

・保健指導、健康相談に係る産業医への委託
・医療機関への健診の委託
・健康増進施設(保養所等)の運営の委託
・健診結果の 事業者 への提供
・被保険者等への医療費通知
4.診療報酬の審査・支払に必要な利用目的〔健保組合等の内部での利用に係る事例〕
・診療報酬明細書(レセプト)等の内容点検・審査〔他の事業者等への情報提供を伴う事例〕
・レセプトデータの内容点検・審査の委託
・レセプトデータの電算処理のためのパンチ入力、画像取込み処理の委託

・保健指導、健康相談に係る産業医への委託
・医療機関への健診の委託
・健康増進施設(保養所等)の運営の委託
・コラボヘルスの一環である 健診結果の 事業主 への提供
・被保険者等への医療費通知
4.診療報酬の審査・支払に必要な利用目的〔健保組合等の内部での利用に係る事例〕
・診療報酬明細書(レセプト)等の内容点検・審査〔他の事業者等への情報提供を伴う事例〕
・レセプトデータの内容点検・審査の委託
・レセプトデータの電算処理のためのパンチ入力、画像取込み処理の委託

47

健康保険組合等における個人情報の適切な取扱いのためのガイダンス 対照表

5.健保組合の運営の安定化に必要な利用目的〔健保組合等の内部での利用に係る事例〕
・医療費分析・疾病分析〔他の事業者等への情報提供を伴う事例〕
・医療費分析及び医療費通知に係るデータ処理等の外部委託

5.健保組合の運営の安定化に必要な利用目的〔健保組合等の内部での利用に係る事例〕
・医療費分析・疾病分析〔他の事業者等への情報提供を伴う事例〕
・医療費分析及び医療費通知に係るデータ処理等の外部委託
・健康保険組合連合会本部における医療費分析事業への参画

6.その他〔健保組合等の内部での利用に係る事例〕
・健保組合の管理運営業務のうち、業務の維持・改善のための基礎資料〔他の事業者等への情報提供を伴う事例〕
・第三者求償事務において、保険会社・医療機関等への相談又は届出等

6.その他〔健保組合等の内部での利用に係る事例〕
・健保組合の管理運営業務のうち、業務の維持・改善のための基礎資料〔他の事業者等への情報提供を伴う事例〕
・第三者求償事務において、保険会社・医療機関等への相談又は届出等

48