国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表※国民健康保険組合における個人情報の適切な取扱いのためのガイダンスは、改正個人情報保護法等の施行の日（平成 29 年５月 30 日）から適用することとし、国民健康保険組合における個人情報の適切な取扱いのためのガイドラインは平成 29 年５月 29 日をもって廃止します。

国民健康保険組合における個人情報の適切な取扱いのための ガイダンス

国民健康保険組合における個人情報の適切な取扱いのための ガイドライン

Ⅰ 本ガイダンス の趣旨、目的、基本的考え方
Ⅰ 本ガイドライン の趣旨、目的、基本的考え方
１．本ガイダンス の趣旨
１．本ガイドライン の趣旨
本ガイダンス は、「個人情報の保護に関する法律」（平成１５年法律第５７号。以下「法」とい本ガイドライン は、「個人情報の保護に関する法律」（平成１５年法律第５７号。以下「法」という。）及び「行政手続における特定の個人を識別するための番号の利用等に関する法律」（平成２５う。）第６条及び第８条の規定に基づき、国民健康保険組合（以下「国保組合」という。
）が行う個
年法第二十七号。以下「番号法」という。）を踏まえ、「個人情報の保護に関する法律についてのガ
人情報の適正な取扱いの確保に関する活動を支援するための ガイドラインとして定めるものであイドライン（通則編）」（平成２８年個人情報保護委員会告示第６号。
（以下「通則ガイドライン」とり、厚生労働大臣が法を執行する際の基準となる ものである。
いう。
）を基礎とし、法 第６条及び第８条の規定に基づき、国民健康保険組合（以下「国保組合」という。
）が行う個人情報の適正な取扱いの確保に関する活動を支援するための 具体的な留意点・事例等を示す ものである。
（新設）
なお、本ガイダンスは国保組合における実例に照らした内容であるため、本ガイダンスに記載のない事項及び関係条文については「通則ガイドライン」、「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」（平成２８年個人情報保護委員会告示第７号）、「同
ガイドライン（第三者提供時の確認・記録義務編）」（平成２８年個人情報保護委員会告示第８号）
及び「同ガイドライン（匿名加工情報編）」（平成２８年個人情報保護委員会告示第９号）をそれぞれ参照されたい。
２．本ガイドライン の構成及び基本的考え方
２．本ガイダンス の構成及び基本的考え方
個人情報の取扱いについては、法第３条において、「個人情報が、個人の人格尊重の理念の下に個人情報の取扱いについては、法第３条において、「個人情報が、個人の人格尊重の理念の下に慎重に取り扱われるべきものである」とされていることを踏まえ、個人情報を取り扱う 全て の者
慎重に取り扱われるべきものである」とされていることを踏まえ、個人情報を取り扱う すべて のは、その目的や様態を問わず、個人情報の性格と重要性を十分認識し、その適正な取扱いを図らな者は、その目的や様態を問わず、個人情報の性格と重要性を十分認識し、その適正な取扱いを図らければならない。
なければならない。
医療分野は、個人情報の性質や利用方法等から、法第６条に基づく 特に適正な取扱いの厳格な実
特に、医療分野は、「個人情報の保護に関する基本方針」（平成１６年４月２日閣議決定。以下施を確保する必要がある分野の一つである ことから 、保険診療に係る診療報酬明細書及び調剤報「基本方針」という。）及び国会における附帯決議において、個人情報の性質や利用方法等から、特酬明細書（以下「レセプト」という。）等を取り扱う国保組合においては、積極的な取組が 求めらに適正な取扱いの厳格な実施を確保する必要がある分野の一つであると 指摘されており、保険診
れる。
療に係る診療報酬明細書及び調剤報酬明細書（以下「レセプト」という。）等を取り扱う国保組合にこのことを踏まえ、本ガイダンス では、法の趣旨を踏まえ国保組合における個人情報の適正な取おいては、積極的な取組が 求められている 。
扱いが確保されるよう、遵守すべき事項及び遵守することが望ましい事項をできる限り具体的に示このことを踏まえ、本ガイドライン では、法の趣旨を踏まえ国保組合における個人情報の適正なしており、国保組合においては、法令、「個人情報の保護に関する基本方針」（平成１６年４月２日
取扱いが確保されるよう、遵守すべき事項及び遵守することが望ましい事項をできる限り具体的に示しており、国保組合においては、法令、基本方針 及び 本ガイドライン の趣旨を踏まえ、個人情
閣議決定。以下「基本方針」という。）及び 本ガイダンス の趣旨を踏まえ、個人情報の適正な取扱
いに取り組む必要がある。
報の適正な取扱いに取り組む必要がある。
具体的には、国保組合は、本ガイダンス の【法の規定により遵守すべき事項等】のうち、具体的には、国保組合は、本ガイドライン の【法の規定により遵守すべき事項等】のうち、「し「しなければならない」等と記載された事項については、法の規定により厳格に遵守することが求められなければならない」等と記載された事項については、法の規定により厳格に遵守することが求めらる。また、【その他の事項】の「努めなければならない」
れる。また、【その他の事項】については、法に基づく義務等ではないが、達成できるよう努める「望ましい」等と記載した事項については、法に基づく義務等ではないが、達成できるよう努めることが求められる。
ことが求められる。
３．本ガイダンス の対象となる事業者
３．本ガイドライン の対象となる事業者
本ガイダンス が対象としている事業者は、国民健康保険組合である。
本ガイドライン が対象としている事業者は、国民健康保険組合である。
なお、レセプトの入力・点検業務、被保険者証の 作成 、人間ドック等の健診、保健指導など、国
なお、レセプトの入力・点検業務、被保険者証の 印刷作成 、人間ドック等の健診、保健指導な1国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

保組合から委託を受けた業務を遂行する事業者においては、本ガイダンス のⅢ４．に沿って適切な安全管理措置を講ずることが求められるとともに、当該委託を行う国保組合は、業務の委託に当た
り、本ガイダンス の趣旨を理解し、本ガイダンス に沿った対応を行う事業者を委託先として選定
し、委託契約の中で、個人情報の流出防止をはじめとする保護のための措置が委託先において確保されるよう、委託元と委託先のそれぞれの責任等を明確に定めることにより、再委託される場合も含めて実効的な監督体制を確保することが重要である。併せて委託先事業者における個人情報の取扱いについて定期的に確認を行い、適切な運用が行われていることを確認する等の措置を講ずる必
要がある。
（削除）

ど、国保組合から委託を受けた業務を遂行する事業者においては、本ガイドライン のⅢ４．に沿って適切な安全管理措置を講ずることが求められるとともに、当該委託を行う国保組合は、業務の委託に当たり、本ガイドライン の趣旨を理解し、本ガイドライン に沿った対応を行う事業者を委託先として選定し、委託契約の中で、個人情報の流出防止をはじめとする保護のための措置が委託先において確保されるよう、委託元と委託先のそれぞれの責任等を明確に定めることにより、再委託される場合も含めて実効的な監督体制を確保することが重要である。併せて委託先事業者における個人情報の取扱いについて定期的に確認を行い、適切な運用が行われていることを確認する等の措置を講ずる必要がある。
また、法令上、「個人情報取扱事業者」としての義務等を負うのは国保組合のうち、識別される特定の個人の数の合計が過去６ヶ月以内のいずれの日においても 5,000 を超えない事業者を除くものとされている。
しかし、国保組合は、個人情報を提供してサービスを受ける被保険者等から、そ の規模等によらず 適切かつ円滑な保険給付及び保健事業（以下「保険給付等」という。
）の実施が 期待されていること、そのため、適切かつ円滑な保険給付等の実施の ために最善の努力を行う必要があること、また、被保険者の立場からは、どの国保組合が法令上の義務を負う個人情報取扱事業者に該当するかが分かりにくいこと等から、本ガイドラインにおいては個人情報取扱事業者としての法令上の義務を負う国保組合に限らず、全ての国保組合を対象として、本ガイドライン の遵守を求めるものである。

なお、国保組合は、個人情報を提供してサービスを受ける被保険者等から、適切かつ円滑な保険給付及び保健事業（以下「保険給付等」という。
）の実施が 期待されており、その実施の ために最善の努力を行う必要があることに鑑み、本ガイダンス の遵守を求めるものである。

４．本ガイダンス の対象となる「個人情報」の範囲
４．本ガイドラインの対象となる「個人情報」の範囲
法令上「個人情報」とは、生存する個人に関する情報であり、個人情報取扱事業者の義務等の対
法令上「個人情報」とは、生存する個人に関する情報であり、個人情報取扱事業者の義務等の対象となるのは、生存する個人に関する情報に限定されている。
象となるのは、生存する個人に関する情報に限定されている。
なお、当該被保険者が死亡した後においても、国保組合が当該被保険者の情報を保存している場
なお、当該被保険者が死亡した後においても、国保組合が当該被保険者等の情報を保存している
合には、漏えい、滅失又はき損等の防止のため、個人情報と同等の安全管理措置を講ずるものとす
場合には、漏えい、滅失又はき損等の防止のため、個人情報と同等の安全管理措置を講ずるものとる。
する。
５．都道府県知事 の権限行使との関係等
５．個人情報保護委員会 の権限行使との関係等
本ガイダンス 中、国保組合が【法の規定により遵守すべき事項等】に記載された内容のうち、国本ガイドライン 中、国保組合が【法の規定により遵守すべき事項等】に記載された内容のうち、
保組合の義務とされている内容を個人情報取扱事業者としての義務を負う国保組合が遵守しない
国保組合の義務とされている内容を個人情報取扱事業者としての義務を負う国保組合が遵守しな
場合、個人情報保護委員会 は、法第４０条から第４２条 の規定に基づき、「報告徴収」
い場合、都道府県知事 は、法第３４条及び第５１条 の規定に基づき、、「立入検「勧告」及び「命令」を行う
査」、「指導」、「助言」、「勧告」及び「命令」を行うことがある。
ことがある。
（新設）
また、法第４４条第１項の規定に基づき、法第４０条第１項の規定による権限が個人情報保護委
員会から事業所管大臣に委任された場合には、厚生労働大臣が「報告徴収」及び「立入検査」を行うことができる。
さらに、法第７７条及び「個人情報の保護に関する法律施行令」（平成１５年１２月１０日政令
第５０７号。以下「令」という。）第２１条において、法第４０条第１項に規定する個人情報保護委
員会の権限及び法第４４条第１項の規定により事業所管大臣に委任された権限に属する事務は、個人情報取扱事業者が行う事業であって事業所管大臣が所管するものについての報告の徴収及び立入検査に係る権限に属する事務の全部又は一部が、他の法令の規定により地方公共団体の長その他の執行機関が行うこととされているときは、当該地方公共団体の長等が法に基づく報告徴収及び立入検査を行うことがある。
2

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

６．国保組合が行う措置の透明性の確保と対外的明確化
６．国保組合が行う措置の透明性の確保と対外的明確化
法第３条では、個人の人格尊重の理念の下に個人情報を慎重に扱うべきことが指摘されている。
法第３条では、個人の人格尊重の理念の下に個人情報を慎重に扱うべきことが指摘されている。
国保組合は、個人情報保護に関する考え方や方針に関する宣言（いわゆる、プライバシーポリシ
国保組合は、個人情報保護に関する考え方や方針に関する宣言（いわゆる、プライバシーポリシ
ー、プライバシーステートメント等）及び個人情報の取扱いに関する明確かつ適正な規則を策定し、 ー、プライバシーステートメント等）及び個人情報の取扱いに関する明確かつ適正な規則を策定し、それらを対外的に公表することが求められる。また、被保険者から当該本人の個人情報がどのよう
それらを対外的に公表することが求められる。また、被保険者から当該本人の個人情報がどのように取り扱われているか等について知りたいという求めがあった場合は、当該規則に基づき、迅速にに取り扱われているか等について知りたいという求めがあった場合は、当該規則に基づき、迅速に情報提供を行う等必要な措置を行うものとする。
情報提供を行う等必要な措置を行うものとする。
個人情報保護に関する考え方や方針に関する宣言の内容としては、国保組合が個人の人格尊重の
個人情報保護に関する考え方や方針に関する宣言の内容としては、国保組合が個人の人格尊重の理念の下に個人情報を取り扱うこと並びに、関係法令及び 本ガイダンス 等を遵守すること等、個理念の下に個人情報を取り扱うこと並びに、関係法令及び 本ガイドライン 等を遵守すること等、
人情報の取扱いに関する規則においては、個人情報に係る安全管理措置の概要、本人等からの開示
個人情報の取扱いに関する規則においては、個人情報に係る安全管理措置の概要、本人等からの開等の手続、第三者提供の取扱い、苦情への対応等について具体的に定めることが考えられる。
示等の手続、第三者提供の取扱い、苦情への対応等について具体的に定めることが考えられる。
なお、利用目的等を広く公表することについては、以下のような趣旨があることに留意すべきでなお、利用目的等を広く公表することについては、以下のような趣旨があることに留意すべきである。
ある。
①国保組合で個人情報が利用される意義について被保険者の理解を得ること。
①国保組合で個人情報が利用される意義について被保険者の理解を得ること。
②国保組合において、法を遵守し、個人情報保護のため積極的に取り組んでいる姿勢を対外的に②国保組合において、法を遵守し、個人情報保護のため積極的に取り組んでいる姿勢を対外的に明らかにすること。
明らかにすること。
７．責任体制の明確化と被保険者等窓口の設置等
７．責任体制の明確化と被保険者等窓口の設置等
国保組合は、個人情報の適正な取扱いを推進し、漏えい等の問題に対処する体制を整備する必要
国保組合は、個人情報の適正な取扱いを推進し、漏えい等の問題に対処する体制を整備する必要がある。このため、個人情報の取扱いに関し、専門性と指導性を有し、事業者の全体を統括する組がある。このため、個人情報の取扱いに関し、専門性と指導性を有し、事業者の全体を統括する組
織体制・責任体制を構築し、規則の策定や安全管理措置の計画立案等を効果的に実施できる体制を織体制・責任体制を構築し、規則の策定や安全管理措置の計画立案等を効果的に実施できる体制を構築するものとする。
構築するものとする。
また、被保険者に対しては、利用開始時に個人情報の利用目的を説明するなど、必要に応じて分また、被保険者に対しては、利用開始時に個人情報の利用目的を説明するなど、必要に応じて分かりやすい説明を行う必要があるが、加えて、被保険者等が疑問に感じた内容を、いつでも、気軽かりやすい説明を行う必要があるが、加えて、被保険者等が疑問に感じた内容を、いつでも、気軽に 問合せ できる窓口機能等を確保することが重要である。さらに、個人情報の取扱いに関し被保に 問い合わせ できる窓口機能等を確保することが重要である。さらに、個人情報の取扱いに関し険者からの相談や苦情への対応等を行う窓口機能等を整備するとともに、その窓口がサービスの提被保険者からの相談や苦情への対応等を行う窓口機能等を整備するとともに、その窓口がサービス供に関する相談機能とも有機的に連携した対応が行える体制とするなど、被保険者の立場に立ったの提供に関する相談機能とも有機的に連携した対応が行える体制とするなど、被保険者の立場に立対応を行う必要がある。
った対応を行う必要がある。
なお、個人情報の利用目的の説明や窓口機能等の整備、開示の 請求 を受け付ける方法を定める
なお、個人情報の利用目的の説明や窓口機能等の整備、開示の 求め を受け付ける方法を定める
場合等に当たっては、障害のある被保険者にも配慮する必要がある。
場合等に当たっては、障害のある被保険者にも配慮する必要がある。
８．遺族への個人情報の提供の取扱い
８．遺族への個人情報の提供の取扱い
法は、ＯＥＣＤ８原則の趣旨を踏まえ、生存する個人の情報を適用対象とし、個人情報の目的外
法は、ＯＥＣＤ８原則の趣旨を踏まえ、生存する個人の情報を適用対象とし、個人情報の目的外
利用や第三者提供に当たっては本人の同意を得ることを原則としており、死者の情報は原則として利用や第三者提供に当たっては本人の同意を得ることを原則としており、死者の情報は原則として個人情報とならないことから、法及び 本ガイドライン の対象とはならない。しかし、被保険者が個人情報とならないことから、法及び 本ガイダンス の対象とはならない。しかし、被保険者が死亡した際に、遺族から診療報酬明細書等の個人情報について照会が行われた場合、国保組合は、被死亡した際に、遺族から診療報酬明細書等の個人情報について照会が行われた場合、国保組合は、保険者本人の生前の意思、名誉等を十分に尊重しつつ、特段の配慮が求められる。このため、別に被保険者本人の生前の意思、名誉等を十分に尊重しつつ、特段の配慮が求められる。このため、別定める指針（に定める指針（「診療報酬明細書等の被保険者への開示について」（平成１７年３月３１日保険局「診療報酬明細書等の被保険者等への開示について」（平成１７年３月３１日保発第０３３１００９号）の内容）に基づき、遺族に対して診療報酬明細書等の個人情報の提供を行うもの
長通知）に基づき、遺族に対して診療報酬明細書等の個人情報の提供を行うものとする。
とする。
3

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

９．他の法令等との関係
９．他の法令等との関係
国保組合は、個人情報の取扱いにあたり、法、基本方針及び 本ガイドライン に示す項目のほか、国保組合は、個人情報の取扱いにあたり、法、基本方針及び 本ガイダンス に示す項目のほか、個人情報保護又は守秘義務に関する他の法令等の規定を遵守しなければならない。
個人情報保護又は守秘義務に関する他の法令等の規定を遵守しなければならない。
1０．認定個人情報保護団体における取組
法第４７条 においては、個人情報取扱事業者等の個人情報等の適正な取扱いの確保を目的とする業務を行う法人等は 個人情報保護委員会 の認定を受けて認定個人情報保護団体となることができることとされている。認定個人情報保護団体となる関係団体は、傘下の国保組合を対象に、個人情報保護に係る普及・啓発を推進するほか、法の趣旨に沿った指針等を自主的なルールとして定めたり、個人情報の取扱いに関する被保険者等のための相談窓口を開設するなど、積極的な取組を行うことが期待されている。

（新設）

Ⅱ 用語の定義
１．個人情報（法第２条第１項）

Ⅱ 用語の定義
１．個人情報（法第２条第１項）（定義）
法第二条 この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
一 当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、電磁的方式その他人の知覚によっては認識することができない方式をいう。次項第二号において同じ。
）で作られる記録をいう。第十八条第二項において同じ。
）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人
識別符号を除く。
）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。
）
二 個人識別符号が含まれるもの（新設）「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日、その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することが できるもの を含む。）、又は 個人識別符号が含まれるもの をいう。
「個人に関する情報」は、氏名、性別、生年月日 、顔画像 等個人を識別する情報に限られず、個人の身体、財産、職種、肩書等 の属性に関して、事実、判断、評価を表す 全て の情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化 等によって秘匿化 されているか否かを問わない。
また、例えばレセプトには、被保険者について客観的に検査をしたデータもあれば、それに対して医師が判断した傷病名、診療行為が記載されている。これら全体が被保険者個人に関する情報に当たるものであるが、それと同時に、当該レセプトに係る診察をした医師の側からみると、自分が判断した傷病名、診療行為を書いているものでもあるので、レセプトに氏名が明記されている場合
や医療機関名から容易に特定の医師を識別できる場合については、医師個人に関する情報とも言う「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日、その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することが できることとなるもの を含む。）をいう。「個人に関する情報」は、氏名、性別、生年月日等個人を識別する情報に限られず、個人の身体、財産、職種、肩書き等 の属性に関して、事実、判断、評価を表す すべて の情報であり、評価情報、公刊物
等によって公にされている情報や、映像、音声による情報も含まれ、暗号化されているか否かを問わない。
また、例えばレセプトには、被保険者について客観的に検査をしたデータもあれば、それに対して医師が判断した傷病名、診療行為が記載されている。これら全体が被保険者個人に関する情報に当たるものであるが、それと同時に、当該レセプトに係る診察をした医師の側からみると、自分が判断した傷病名、診療行為を書いているものでもあるので、レセプトに氏名が明記されている場合
や医療機関名から容易に特定の医師を識別できる場合については、医師個人に関する情報とも言う

4

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表ことができる。したがって、レセプト等に記載されている情報の中には、被保険者と医師等双方のことができる。したがって、レセプト等に記載されている情報の中には、被保険者と医師等双方の個人情報という二面性を持っている部分もあることに留意が必要である。
個人情報という二面性を持っている部分もあることに留意が必要である。
なお、死者に関する情報が、同時に、遺族等の生存する個人に関する情報でもある場合には、当
なお、死者に関する情報が、同時に、遺族等の生存する個人に関する情報でもある場合には、当該生存する個人に関する情報となる。
該生存する個人に関する情報となる。
本ガイダンス は、国保組合が保有する個人情報を対象とするものであり、個人情報データベース
本ガイドライン は、国保組合が保有する個人情報を対象とするものであり、個人情報データベー等（７．参照）に整理されていない場合でも個人情報に該当する。
ス等（３．参照）に整理されていない場合でも個人情報に該当する。
国保組合が保有する個人情報については、別表１参照。
国保組合が保有する個人情報については、別表１参照。
※ 記載された氏名、生年月日、その他の記述等により特定の個人を識別することができるものは、 ※ 記載された氏名、生年月日、その他の記述等により特定の個人を識別することができるものは、
個人情報に該当する。
匿名化されたものを除き、個人情報に該当する。
２．個人識別符号（法第２条第２項）

（新設）

（定義）
法第二条
２ この法律において「個人識別符号」とは、次の各号のいずれかに該当する文字、番号、記号その他の符号のうち、政令で定めるものをいう。
一 特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号
その他の符号であって、当該特定の個人を識別することができるもの
二 個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ、又は個人に発行されるカードその他の書類に記載され、若しくは電磁的方式により記録された文
字、番号、記号その他の符号であって、その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され、若しくは記録されることにより、特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの
令第一条 個人情報の保護に関する法律（以下「法」という。）第二条第二項の政令で定める文字、
番号、記号その他の符号は、次に掲げるものとする。
一～二（略）
三 国民年金法（昭和３４年法律第１４１号）第十四条に規定する基礎年金番号四～五（略）
六 行政手続における特定の個人を識別するための番号の利用等に関する法律（平成２５年法律第２７号）第二条第五項に規定する個人番号
七 次に掲げる証明書にその発行を受ける者ごとに異なるものとなるように記載された個人情報保護委員会規則で定める文字、番号、記号その他の符号
イ 国民健康保険法（昭和３３年法律第１９２号）第九条第二項の被保険者証
ロ 高齢者の医療の確保に関する法律（昭和５７年法律第８０号）第五十四条第三項の被保険者証
ハ 介護保険法（平成 9 年法律第１２３号）第十二条第三項の被保険者証
八 その他前各号に準ずるものとして個人情報保護委員会規則で定める文字、番号、記号その他の符号5国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

規則第三条 令第一条第七号の個人情報保護委員会規則で定める文字、番号、記号その他の符号は、次の各号に掲げる証明書ごとに、それぞれ当該各号に定めるものとする。
一 令第一条第七号イに掲げる証明書 同号イに掲げる証明書の記号、番号及び保険者番号
二 令第一条第七号ロ及びハに掲げる証明書 同号ロ及びハに掲げる証明書の番号及び保険者
番号規則第四条 令第一条第八号の個人情報保護委員会規則で定める文字、番号、記号その他の符号は、次に掲げるものとする。
一 健康保険法施行規則（大正１５年内務省令第３６号）第四十七条第一項及び第二項の被保険者証の記号、番号及び保険者番号
二 健康保険法施行規則第五十二条第一項の高齢受給者証の記号、番号及び保険者番号
三～九（略）
十 国民健康保険法施行規則（昭和３３年厚生省令第５３号）第七条の四第一項に規定する高齢受給者証の記号、番号及び保険者番号十一～二十（略）「個人識別符号」とは、当該情報単体から特定の個人を識別できるものとして個人情報の保護に関する法律施行令（平成１５年政令第５０７号。以下「政令」という。
）に定められた文字、番号、記号その他の符号をいい、これに該当するものが含まれる情報は個人情報となる。
具体的な内容は、政令第１条及び個人情報の保護に関する法律施行規則（平成２８年個人情報保
護委員会規則第３号。以下「規則」という。
）第２条から第４条までに定められており、国民健康保険法（昭和３３年法律第１９２号）に係るものについては、被保険者証及び高齢受給者証の記号、番号及び保険者番号が該当する。
したがって、当該記号、番号及び保険者番号のいずれもが含まれる情報は、個人情報となる。
（新設）

３．要配慮個人情報（法第２条第３項）
（定義）
法第二条
３ この法律において「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じない
ようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。
令第二条 法第二条第三項の政令で定める記述等は、次に掲げる事項のいずれかを内容とする記述等（本人の病歴又は犯罪の経歴に該当するものを除く。）とする。
一 身体障害、知的障害、精神障害（発達障害を含む。）その他の個人情報保護委員会規則で定める心身の機能の障害があること。
二 本人に対して医師その他医療に関連する職務に従事する者（次号において「医師等」という。
）により行われた疾病の予防及び早期発見のための健康診断その他の検査（同号において
6

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表「健康診断等」という。
）の結果
三 健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと。
四 本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと。
五 本人を少年法（昭和２３年法律第１６８号）第三条第一項に規定する少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと。
規則第五条 令第二条第一号の個人情報保護委員会規則で定める心身の機能の障害は、次に掲げる障害とする。
一 身体障害者福祉法（昭和２４年法律第２８３号）別表に掲げる身体上の障害
二 知的障害者福祉法（昭和３５年法律第３７号）にいう知的障害
三 精神保健及び精神障害者福祉に関する法律（昭和２５年法律第１２３号）にいう精神障害（発達障害者支援法（平成１６年法律第１６７号）第二条第一項に規定する発達障害を含み、前号に掲げるものを除く。
）
四 治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生活及び社会生
活を総合的に支援するための法律（平成１７年法律第１２３号）第四条第一項の政令で定めるものによる障害の程度が同項の厚生労働大臣が定める程度であるもの「要配慮個人情報」とは、不当な差別や偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして法第２条第３項、政令第 2 条及び規則第５条で定める記述等が含まれる
個人情報をいう。なお、国保組合において想定される要配慮個人情報に該当する情報とは、レセプ
ト等に掲載された病歴、犯罪により害を被った事実、申請書等より確認した障害（身体障害、知的障害、精神障害等）の事実、健康診断の結果及び健康診断後の措置（医師による改善指導又は診療、調剤）が行われた事実等が挙げられる。
要配慮個人情報の取得や第三者提供には、原則として本人同意が必要である。
本人同意を得る方法として、被保険者への保険給付等のために通常必要と考えられる個人情報の利用範囲をホームページへの掲載等により明らかにしておき、被保険者から特段明確な反対・留保の意思表示がない場合には、これらの範囲内での個人情報の利用について同意が得られているものとする「黙示の同意」という考え方を用いることがある。（詳細はⅢ５．
（３）を参照）
一方、要配慮個人情報については、法第２３条第２項の規定により、一定の条件を満たすことで本人同意を得ることなく第三者提供する方法（オプトアウトによる第三者提供）は認められない。
なお、国保組合においては、第三者への提供を目的として個人情報を取得することは通常想定されない。
【要配慮個人情報のポイント】
要配慮個人情報を取得する場合、本人同意が必要である。（Ⅲ．３参照）（新設）

４．特定個人情報（番号法第 2 条第８項）
7

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

番号法第二条８ この法律において「特定個人情報」とは、個人番号（個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号であって、住民票コード以外のものを含む。第七条第一項及び第二項、第八条並びに第四十八条並びに附則第三条第一項から第三項まで及び第五項を除き、以下同じ。
）をその内容に含む個人情報をいう。
「特定個人情報」とは番号法に定める個人番号をその内容に含む個人情報をいう。特定個人情報については、番号法の対象となるだけでなく、個人情報として法の対象となることに留意が必要である。
「特定個人情報」に関する具体的な取扱等については、「特定個人情報の適正な取扱いに関するガイドライン（事業者編）平成２６年１２月１１日 個人情報保護委員会」及び「医療保険者向け
デジタル PMO」サイトを参照のこと。
２．個人情報の匿名化
５．個人情報の匿名化
当該個人情報から、当該情報に含まれる氏名、生年月日、住所等 、個人を識別する情報を取り除
当該個人情報から、当該情報に含まれる氏名、生年月日、住所、個人識別符号等 、個人を識別すくことで、特定の個人を識別できないようにすることをいう。顔写真については、一般的には目のる情報を取り除くことで、特定の個人を識別できないようにすることをいう。顔写真については、部分にマスキングすることで特定の個人を識別できないと考えられる。なお、必要な場合には、そ
一般的には目の部分にマスキングすることで特定の個人を識別できないと考えられる。なお、必要の人と関わりのない符号又は番号を付すこともある。
な場合には、その人と関わりのない符号又は番号を付すこともある。
このような処理を行っても、国保組合内で個人情報を利用する場合は、国保組合内で得られる他
このような処理を行っても、国保組合内で個人情報を利用する場合は、国保組合内で得られる他の情報や匿名化に際して付された符号又は番号と個人情報との対応表等と照合することで特定のの情報や匿名化に際して付された符号又は番号と個人情報との対応表等と照合することで特定の「他の情報と容易に照合することができ、被保険者が識別されることも考えられる。法においては、「他の情報と容易に照合することができ、 被保険者が識別されることも考えられる。法においては、
それにより特定の個人を識別することができることとなるもの」についても個人情報に含まれるもそれにより特定の個人を識別することができることとなるもの」についても個人情報に含まれるものとされており、匿名化に当たっては、当該情報の利用目的や利用者等を勘案した処理を行う必要のとされており、匿名化に当たっては、当該情報の利用目的や利用者等を勘案した処理を行う必要があり、あわせて、本人の同意を得るなどの対応も考慮する必要がある。
があり、あわせて、本人の同意を得るなどの対応も考慮する必要がある。
また、特定の被保険者の健診の結果や保健指導の事例を集団で行う保健指導で紹介したり、国保
また、特定の被保険者の健診の結果や保健指導の事例を集団で行う保健指導で紹介したり、国保組合の機関誌に掲載したりする場合等は、氏名、生年月日、住所等 を消去することで匿名化される組合の機関誌に掲載したりする場合等は、氏名、生年月日、住所、個人識別符号等 を消去することと考えられるが、健診の結果や保健指導の事例により十分な匿名化が困難な場合は、本人の同意をで匿名化されると考えられるが、健診の結果や保健指導の事例により十分な匿名化が困難な場合
得なければならない。
は、本人の同意を得なければならない。
（新設）
なお、このような集団で行う保健指導での紹介等のために用いられる特定の被保険者の健診結果等の匿名化は、匿名加工情報（Ⅱ６．参照）とは定義や取扱いのルールが異なるので留意が必要で
ある。
（新設）

６．匿名加工情報（法第２条第９項）
（定義）
法第二条
9 この法律において「匿名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。
8

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

一 第一項第一号に該当する個人情報 当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）。
二 第一項第二号に該当する個人情報 当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）。
「匿名加工情報」とは、個人情報を個人情報の区分に応じて定められた措置を講じて特定の個人を識別することができないように加工して得られる個人に関する情報であって、当該個人情報を復元して特定の個人を再識別することができないようにしたものをいう。
【匿名加工情報のポイント】
個人情報から匿名加工情報を作成する場合には、規則で定める基準に従って加工する等一定の制限を受けることとなる。詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン（匿名加工情報編）」（平成２８年個人情報保護委員会告示第９号）を参照のこと。
匿名加工情報取扱事業者（法第 2 条第 10 項関係）
匿名加工情報取扱事業者の定義については、別途定める「個人情報の保護に関する法律についてのガイドライン（匿名加工情報編）」（平成２８年個人情報保護委員会告示第９号）を参照のこと。
（参考）
（定義）
法第二条
１０ この法律において「匿名加工情報取扱事業者」とは、匿名加工情報を含む情報の集合物であって、特定の匿名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の匿名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第三十六条第一項において「匿名加工情報データベース等」という。）
を事業の用に供している者をいう。ただし、第五項各号に掲げる者を除く。
令第六条 法第二条第十項の政令で定めるものは、これに含まれる匿名加工情報を一定の規則に従って整理することにより特定の匿名加工情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するものをいう。
、個人データ（法第２条第４項）、保有個人データ（法７．個人情報データベース等（法第２条 第４項 ）、個人データ（法第２条 第６項 ）、保有個人データ ３．個人情報データベース等（法第２条第２項）
第２条第５項）（法第２条 第７項 ）
（新設）

（定義）
法第二条
４ この法律において「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるもの（利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定9

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

めるものを除く。
）をいう。
一 特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの
二 前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの
令第三条 法第二条第四項の利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものは、次の各号のいずれにも該当するものとする。
一 不特定かつ多数の者に販売することを目的として発行されたものであって、かつ、その発行が法又は法に基づく命令の規定に違反して行われたものでないこと。
二 不特定かつ多数の者により随時に購入することができ、又はできたものであること。
三 生存する個人に関する他の情報を加えることなくその本来の用途に供しているものであること。
2 法第二条第四項第二号の政令で定めるものは、これに含まれる個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するものをいう。
「個人情報データベース等」とは、特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した個人情報を含む情報の集合体、又はコンピュータを用いていない場合であっても、紙面で処理した個人情報を一定の規則（例えば、五十音順、生年月日順など）に従って
整理・分類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に 置いている ものをいう。

「個人情報データベース等」とは、特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した個人情報を含む情報の集合体、又はコンピュータを用いていない場合であっても、紙面で処理した個人情報を一定の規則（例えば、五十音順、生年月日順など）に従って
整理・分類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に おいている ものをいう。

（定義）
法第二条
6 この法律において「個人データ」とは、個人情報データベース等を構成する個人情報をいう。

（新設）「個人データ」とは「個人情報データベース等」を構成する個人情報をいう。

「個人データ」とは「個人情報データベース等」を構成する個人情報をいう。

（定義）
法第二条
7 この法律において「保有個人データ」とは、個人情報取扱事業者が、開示、内容の訂正、追加
又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの又は一年以内の政令で定める期間以内に消去することとなるもの以外のものをい
う。

（新設）

令第四条 法第二条第七項の政令で定めるものは、次に掲げるものとする。
一 当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの
二 当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発
10

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

するおそれがあるもの
三 当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しく
は国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの
四 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの
令第五条 法第二条第七項の政令で定める期間は、六月とする。
「保有個人データ」とは、個人データのうち、個人情報取扱事業者が、開示、内容の訂正、追加
又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有するものをいう。ただし、①その存否が明らかになることにより、公益その他の利益が害されるもの、②６ヶ月以内に消去する（更新することは除く。）こととなるものは除く。
レセプトや健診結果、保健指導記録等については、媒体の如何にかかわらず個人データベース等に該当する。

「保有個人データ」とは、個人データのうち、個人情報取扱事業者が、開示、内容の訂正、追加
又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有するものをいう。ただし、①その存否が明らかになることにより、公益その他の利益が害されるもの、②６ヶ月以内に消去する（更新することは除く。）こととなるものは除く。
レセプトや健診結果、保健指導記録等については、媒体の如何にかかわらず個人データベース等に該当する。

４．本人の同意

８．本人の同意「本人の同意」とは、本人の個人情報が、個人情報取扱事業者によって示された取扱方法で取り扱われることを承諾する旨の当該本人の意思表示をいう（当該本人であることを確認できていることが前提となる。
）。
また、「本人の同意を得（る）」とは、本人の承諾する旨の意思表示を当該個人情報取扱事業者が認識することをいい、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。
なお、個人情報の取扱いに関して同意したことによって生ずる結果について、未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力を有していないなどの場合は、親権者や法定代理人等から同意を得る必要がある。
【本人の同意を得ている事例】
事例 1）本人からの同意する旨の口頭による意思表示
事例 2）本人からの同意する旨の書面（電磁的記録を含む。
）の受領事例 3）本人からの同意する旨のメールの受信事例 4）本人による同意する旨の確認欄へのチェック
事例 5）本人による同意する旨のホームページ上のボタンのクリック
事例 6）本人による同意する旨の音声入力、タッチパネルへのタッチ、ボタンやスイッチ等に
よる入力

（新設）

法は、個人情報の目的外利用や第三者提供の場合には、原則として本人の同意を得ることを求めている。これは、法の基本となるＯＥＣＤ８原則のうち、利用制限の原則の考え方の現れであるが、国保組合については、被保険者等に適切な保険給付等を提供する目的のために、当該国保組合において、通常必要と考えられる個人情報の利用範囲を国保組合のホームページへの掲載のほか、パン法は、個人情報の目的外利用や第三者提供の場合には、原則として本人の同意を得ることを求めている。これは、法の基本となるＯＥＣＤ８原則のうち、利用制限の原則の考え方の現れであるが、国保組合については、被保険者等に適切な保険給付等を提供する目的のために、当該国保組合において、通常必要と考えられる個人情報の利用範囲を国保組合のホームページへの掲載のほか、パンフレットの配布、掲示板への掲示・備付けや公告等により明らかにしておき、このうち、被保険者

11

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

フレットの配布、掲示板への掲示・備付けや公告等により明らかにしておき、このうち、被保険者の利益になるもの又は必ずしも利益になるものではないが医療費通知など国保組合の負担が膨大である上必ずしも被保険者本人にとって合理的であるとは言えないものについては、被保険者から特段明確な反対・留保の意思表示がない場合には、これらの範囲内での個人情報の利用について同意が得られているものと考えられる。（Ⅲ５．（３）（４）参照）
なお、これらの場合において被保険者の理解力、判断力などに応じて、可能な限り被保険者等本人に通知し、同意を得るよう努めることが重要である。

の利益になるもの又は必ずしも利益になるものではないが医療費通知など国保組合の負担が膨大である上必ずしも被保険者本人にとって合理的であるとは言えないものについては、被保険者から特段明確な反対・留保の意思表示がない場合には、これらの範囲内での個人情報の利用について同意が得られているものと考えられる。（Ⅲ５．（３）（４）参照）
なお、これらの場合において被保険者の理解力、判断力などに応じて、可能な限り被保険者等本人に通知し、同意を得るよう努めることが重要である。

【要配慮個人情報における本人の同意について】国保組合が要配慮個人情報を書面又は口頭等により本人から適正に直接取得する場合は、本人が当該情報を提供したことをもって、当該個人情報取扱事業者が当該情報を取得することについて本人の同意があったものと解される。

（新設）

Ⅲ 国保組合の義務等
１．利用目的の特定等（法第１５条、第１６条）

Ⅲ 国保組合の義務等
１．利用目的の特定等（法第１５条、第１６条）（利用目的の特定）法第十五条 個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。
）をできる限り特定しなければならない。
２ 個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。
（利用目的による制限）
法第十六条 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
２ 個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
３ 前二項の規定は、次に掲げる場合については、適用しない。
一 法令に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

（利用目的の特定）法第十五条 個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。
）をできる限り特定しなければならない。
２ 個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と 相当の 関連性を有すると合理的に認められる範囲を超えて行ってはならない。
（利用目的による制限）
法第十六条 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
２ 個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
３ 前二項の規定は、次に掲げる場合については、適用しない。
一 法令に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

（１）利用目的の特定及び制限（１）利用目的の特定及び制限
国保組合が保険給付等を希望する被保険者から個人情報を取得する場合、当該個人情報を被保険国保組合が保険給付等を希望する被保険者から個人情報を取得する場合、当該個人情報を被保険者に対する保険給付等の提供、国保組合の保険給付等に係る事務 や番号法に基づく個人番号の利者に対する保険給付等の提供、国保組合の保険給付等に係る事務などで利用することは被保険者に12

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

用 などで利用することは被保険者にとって明らかと考えられる。
これら以外で個人情報を利用する場合は、被保険者にとって必ずしも明らかな利用目的とはいえない。この場合は、個人情報を取得するに当たって明確に当該利用目的の公表等の措置が講じられなければならない。
（Ⅲ２．参照）
国保組合の通常の業務で想定される利用目的は別表２に例示されるものであり、国保組合は、これらを参考として、自らの業務に照らして通常必要とされるものを特定して公表しなければならない。（Ⅲ２．参照）

とって明らかと考えられる。
これら以外で個人情報を利用する場合は、被保険者にとって必ずしも明らかな利用目的とはいえない。この場合は、個人情報を取得するに当たって明確に当該利用目的の公表等の措置が講じられなければならない。（Ⅲ２．参照）
国保組合の通常の業務で想定される利用目的は別表２に例示されるものであり、国保組合は、これらを参考として、自らの業務に照らして通常必要とされるものを特定して公表しなければならない。（Ⅲ２．参照）

なお、別表２に掲げる利用目的の範囲について法第１５条第２項に定める利用目的の変更を行う
場合、変更された利用目的については、本人へ通知又は公表しなければならない。（Ⅲ２．参照）

また、別表２に掲げる利用目的の範囲について は、法第１５条第２項に定める利用目的の変更を行う ことができると考えられる。ただし、変更された利用目的については、本人へ通知又は公表しなければならない。（Ⅲ２．参照）（２）利用目的による制限の例外（２）利用目的による制限の例外
国保組合は、あらかじめ本人の同意を得ないで法第１５条の規定により特定された利用目的の達国保組合は、あらかじめ本人の同意を得ないで法第１５条の規定により特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならないが（法第１６条第１項）、同条第３項に成に必要な範囲を超えて個人情報を取り扱ってはならないが（法第１６条第１項）、同条第３項に掲げる場合については、本人の同意を得る必要はない。具体的な例としては以下のとおりである。
掲げる場合については、本人の同意を得る必要はない。具体的な例としては以下のとおりである。
①法令に基づく場合①法令に基づく場合
国民健康保険法第１０６条に基づく報告の徴収等、法令に基づいて個人情報を利用する場合
国民健康保険法第１０６条に基づく報告の徴収等、法令に基づいて個人情報を利用する場合根拠となる法令の規定としては、一般に刑事訴訟法第２１８条（令状による捜査）、地方税法第根拠となる法令の規定としては、一般に刑事訴訟法第２１８条（令状による捜査）、地方税法第７２条の６３（個人の事業税に関する調査に係る質問検査権 、各種税法に類似の規定あり）等が考
７２条の６３（個人の事業税に係る質問検査権 、各種税法に類似の規定あり）等が考えられる。
えられる。
これらの法令は強制力を伴って回答が義務づけられるため、国保組合は捜査等が行われた場合、これらの法令は強制力を伴って回答が義務づけられるため、国保組合は捜査等が行われた場合、回答する義務が生じる。
回答する義務が生じる。
また、刑事訴訟法第１９７条第２項（捜査に必要な取調べ）等については、法の例外規定の対象
また、刑事訴訟法第１９７条第２項（捜査に必要な取調べ）等については、法の例外規定の対象であるが、当該法令において任意協力とされており、国保組合は取調べ等が行われた場合、回答すであるが、当該法令において任意協力とされており、国保組合は取調べ等が行われた場合、回答するか否かについて個別の事例ごとに判断する必要がある。この場合、本人の同意を得ずに個人情報るか否かについて個別の事例ごとに判断する必要がある。この場合、本人の同意を得ずに個人情報の提供を行った としても、法第１６条違反とはならないが、当該本人からの民法に基づく損害賠償を取扱った としても、法第１６条違反とはならないが、当該本人からの民法に基づく損害賠償請求請求等を求められるおそれがある。
等を求められるおそれがある。
②人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難で ②人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難で
あるとき
あるとき
（例）
（例）
・意識不明となった被保険者について、家族の連絡先等に関する情報を医療機関等に提供する場合
・意識不明となった被保険者について、家族の連絡先等に関する情報を医療機関等に提供する場合③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を ③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき得ることが困難であるとき（例）（例）
・疫学上の調査・研究のために、健康診査やガン検診等から得られた情報を個人名を伏せて研究者・疫学上の調査・研究のために、健康診査やガン検診等から得られた情報を個人名を伏せて研究者に提供する場合に提供する場合
・医療安全の向上のため、国保組合にレセプトを提出する医療機関で発生した医療事故等に関する・医療安全の向上のため、国保組合にレセプトを提出する医療機関で発生した医療事故等に関する13

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

国、地方公共団体又は第三者機関等 に対し 情報提供 するために個人情報を取扱う場合

国、地方公共団体又は第三者機関等 への 情報提供 のうち、氏名等の情報が特に必要な場合④国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対 ④国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼして協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
すおそれがあるとき（例）
・事業者が警察の任意の求めに応じて個人情報を取扱う場合
・一般統計調査や地方公共団体が行う統計調査において個人情報を取扱う場合【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】
・国保組合は、個人情報を取り扱うに当たって、その利用目的をできる限り特定しなければならな・国保組合は、個人情報を取り扱うに当たって、その利用目的をできる限り特定しなければならない。
い。
・国保組合は、利用目的を変更する場合には、変更前の利用目的と 相当の 関連性を有すると合理・国保組合は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。
的に認められる範囲を超えて行ってはならない。
・国保組合は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超え・国保組合は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない。なお、本人の同意を得るために個人情報を利用すること（同て個人情報を取り扱ってはならない。なお、本人の同意を得るために個人情報を利用すること（同意を得るために被保険者の連絡先を利用して電話をかける場合など）、個人情報を匿名化するた意を得るために被保険者の連絡先を利用して電話をかける場合など）、個人情報を匿名化するために個人情報に加工を行うことは差し支えない。
めに個人情報に加工を行うことは差し支えない。
・個人情報を取得する時点で、本人の同意があったにもかかわらず、その後、本人から利用目的の・個人情報を取得する時点で、本人の同意があったにもかかわらず、その後、本人から利用目的の一部についての同意を取り消す旨の申出があった場合は、その後の個人情報の取扱いについて
一部についての同意を取り消す旨の申出があった場合は、その後の個人情報の取扱いについては、本人の同意が取り消されなかった範囲に限定して取り扱う。
は、本人の同意が取り消されなかった範囲に限定して取り扱う。
・国保組合は、合併その他の事由により他の事業者から事業を承継することに伴って個人 情報を・国保組合は、合併その他の事由により他の事業者から事業を承継することに伴って個人情報を取取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
・利用目的の制限の例外（法第１６条第３項）に該当する場合は、本人の同意を得ずに個人情報を・利用目的の制限の例外（法第１６条第３項）に該当する場合は、本人の同意を得ずに個人情報を取り扱うことができる。
取り扱うことができる。
（利用目的を変更する場合の取扱いについてはⅢ２．を参照）（利用目的を変更する場合の取扱いについてはⅢ２．を参照）【その他の事項】【その他の事項】
・利用目的の制限の例外に該当する「法令に基づく場合」等であっても、利用目的以外の目的で個・利用目的の制限の例外に該当する「法令に基づく場合」等であっても、利用目的以外の目的で個
人情報を取り扱う場合は、当該法令等の趣旨をふまえ、その取り扱う範囲を真に必要な範囲に限
人情報を取り扱う場合は、当該法令等の趣旨をふまえ、その取り扱う範囲を真に必要な範囲に限定することが求められる。
定することが求められる。
・被保険者が未成年者等の場合、法定代理人の同意を得ることで足りるが、一定の判断能力を有す・被保険者が未成年者等の場合、法定代理人の同意を得ることで足りるが、一定の判断能力を有する未成年者等については、法定代理人等の同意にあわせて本人の同意を得る。
る未成年者等については、法定代理人等の同意にあわせて本人の同意を得る。
２．利用目的の通知等（法第１８条）

２．利用目的の通知等（法第１８条）（取得に際しての利用目的の通知等）
法第十八条 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

（取得に際しての利用目的の通知等）
法第十八条 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
14

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

２

個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録 を含む。以下この項において同じ。
）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する
場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

２

個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られる記録 を含む。以下この項において同じ。
）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。
３ 個人情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
４ 前三項の規定は、次に掲げる場合については、適用しない。
一 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
二 利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合
三 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要があ
る場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
四 取得の状況からみて利用目的が明らかであると認められる場合

３

個人情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
４ 前三項の規定は、次に掲げる場合については、適用しない。
一 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
二 利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合
三 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要があ
る場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
四 取得の状況からみて利用目的が明らかであると認められる場合【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】
・国保組合は、個人情報を取得するに当たって、あらかじめその利用目的を公表しておくか、個人・国保組合は、個人情報を取得するに当たって、あらかじめその利用目的を公表しておくか、個人情報を取得した場合、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
情報を取得した場合、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
・利用目的の公表方法としては、国保組合のホームページへの掲載、パンフレットの配布、掲示板
・利用目的の公表方法としては、国保組合のホームページへの掲載、パンフレットの配布、掲示板への掲示・備付け、公告等により、なるべく広く公表する必要がある。
への掲示・備付け、公告等により、なるべく広く公表する必要がある。
・国保組合は、健診の申込みを受け付ける際に問診票の記入を求める場合など、本人から直接書面
・国保組合は、健診の申込みを受け付ける際に問診票の記入を求める場合など、本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的をに記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を掲示板等により明示しなければならない。
掲示板等により明示しなければならない。
・国保組合は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公・国保組合は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
表しなければならない。
・取得の状況からみて利用目的が明らかであると認められる場合など利用目的の通知等の例外に該・取得の状況からみて利用目的が明らかであると認められる場合など利用目的の通知等の例外に該当する場合は、上記内容は適用しない。
（「利用目的が明らか」な場合についてはⅢ１．
（１）を参当する場合は、上記内容は適用しない。
（「利用目的が明らか」な場合についてはⅢ１．
（１）を参
照）
照）
【その他の事項】【その他の事項】
・利用目的が、本規定の例外である「取得の状況からみて利用目的が明らかであると認められる場
・利用目的が、本規定の例外である「取得の状況からみて利用目的が明らかであると認められる場合」に該当する場合であっても、被保険者に利用目的をわかりやすく示す観点から、利用目的の合」に該当する場合であっても、被保険者に利用目的をわかりやすく示す観点から、利用目的の公表に当たっては、当該利用目的についても併せて記載する。
公表に当たっては、当該利用目的についても併せて記載する。
・被保険者の希望がある場合、詳細の説明や当該内容を記載した書面の交付を行う。
・被保険者の希望がある場合、詳細の説明や当該内容を記載した書面の交付を行う。
３．個人情報の適正な取得、個人データ内容の正確性の確保（法第１７条、第１９条）

３．個人情報の適正な取得、個人データ内容の正確性の確保（法第１７条、第１９条）

15

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表（適正な取得）法第十七条 個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。
２ 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
一 法令に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
三 公衆衛生の向上又は児童の健全な育成のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
五 当該要配慮個人情報が、本人、国の機関、地方公共団体、第七十六条第一項各号に掲げる者
その他個人情報保護委員会規則で定める者により公開されている場合
六 その他前各号に掲げる場合に準ずるものとして政令で定める場合（適正な取得）法第十七条 個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。
（新設）

規則第六条 法第十七条第二項第五号の個人情報保護委員会規則で定める者は、次の各号のいずれかに該当する者とする。
一 外国政府、外国の政府機関、外国の地方公共団体又は国際機関
二 外国において法第七十六条第一項各号に掲げる者に相当する者
令第七条 法第十七条第二項第六号の政令で定める場合は、次に掲げる場合とする。
一 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場
合二 法第二十三条第五項各号に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき。
（データ内容の正確性の確保）
法第十九条 個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めなければならない。

（データ内容の正確性の確保等）
法第十九条 個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つ とともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去する よう努めなければならない。

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】
・国保組合は、偽りその他の不正の手段により個人情報を取得してはならない。
・国保組合は、偽りその他の不正の手段により個人情報を取得してはならない。
・保健指導等のために必要な過去の病歴等については、真に必要な範囲について、本人から直接取・保健指導等のために必要な過去の病歴等については、真に必要な範囲について、本人から直接取得するほか、第三者提供について本人の同意を得た者（Ⅲ５．
（３）の場合において本人の黙示の得するほか、第三者提供について本人の同意を得た者（Ⅲ５．
（３）の場合において本人の黙示の同意が得られていると考えられる者を含む）から取得することを原則とする。ただし、本人の同同意が得られていると考えられる者を含む）から取得することを原則とする。ただし、本人の同意を得ず、本人以外の家族等から取得することが保健指導等のためにやむを得ない場合はこの限意を得ず、本人以外の家族等から取得することが保健指導等のためにやむを得ない場合はこの限
りでない。
りでない。
16

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

・親の同意なく、十分な判断能力を有していない子どもから家族の個人情報を取得してはならない。
・要配慮個人情報を取得する場合には、あらかじめ本人の同意を得なければならない。ただし、法第１７条第２項各号に定める場合については、本人の同意を得る必要はない。
（例）・急病その他の事態が生じたときに、本人の病歴等を国保組合に所属する医師や看護師が家族から聴取する場合、法第１７条第２項第２号に該当すると考えられる。
・事業者が警察の任意の求めに応じて要配慮個人情報に該当する個人情報を提出するために、当該個人情報を取得する場合、法第１７条第２項第４号に該当する可能性があると考えらえる。
・なお、要配慮個人情報を、法第２３条第５項各号に定める委託、事業承継又は共同利用により取得する場合は、あらかじめ本人の同意を得る必要はない。

・親の同意なく、十分な判断能力を有していない子どもから家族の個人情報を取得してはならない。
（新設）【法第１７条第 2 項に違反している事例】
本人の同意を得ることなく、法第１７条第２項第５号及び規則第６条で定める者以外がインターネット上で公開している情報から本人の信条や犯罪歴等に関する情報を取得し、既に保有している当該本人に関する情報の一部として自己のデータベース等に登録すること。
・国保組合は、適正な保険給付等を提供するという利用目的の達成に必要な範囲内において、個人
データを正確かつ最新の内容に保つよう努めなければならない。

・国保組合は、適正な保険給付等を提供するという利用目的の達成に必要な範囲内において、個人
データを正確かつ最新の内容に保つよう努めなければならない。

・国保組合は、保有する個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった
場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合
等は、当該個人データを遅滞なく消去するよう努めなければならない（※）。なお、法令の定め及び規程により保存期間等が定められている場合は、この限りではない。
（※）
「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等
を含む。

（新設）

【その他の事項】【その他の事項】
・第三者提供により他の国保組合から個人情報を取得したとき、当該個人情報の内容に疑義が生じ・第三者提供により他の国保組合から個人情報を取得したとき、当該個人情報の内容に疑義が生じた場合には、記載内容の事実に関して本人に確認をとる。
た場合には、記載内容の事実に関して本人に確認をとる。
・国保組合は、個人データの内容の正確性、最新性を確保するため、Ⅲ４．
（２）②に示す委員会等
・国保組合は、個人データの内容の正確性、最新性を確保するため、Ⅲ４．
（２）②に示す委員会等
において、具体的なルールを策定したり、データ管理等の技術水準の向上のための研修の開催なにおいて、具体的なルールを策定したり、データ管理等の技術水準の向上のための研修の開催などを行うことが望ましい。
どを行うことが望ましい。
・第三者提供（法第２３条第１項各号に掲げる場合並びに個人情報の取扱いの委託、事業の承継及・第三者提供（法第２３条第１項各号に掲げる場合並びに個人情報の取扱いの委託、事業の承継及び共同利用に伴い、個人情報を提供する場合を除く。）により、個人情報（令第２条第２号に規定
び共同利用に伴い、個人情報を提供する場合を除く。）により、個人情報（令第２条第２号に規定するものから取得した個人情報を除く。
）を取得する場合には、提供元の法の遵守状況（例えば、するものから取得した個人情報を除く。
）を取得する場合には、提供元の法の遵守状況（例えば、
オプトアウト（法第２３条第２項・第３項参照）、利用目的、開示手続、問合せ・苦情の受付窓口
オプトアウト（法第２３条第２項・第３項参照）、利用目的、開示手続、問合せ・苦情の受付窓口を公表していることなど）を確認し、個人情報を適切に管理している者を提供元として選定するを公表していることなど）を確認し、個人情報を適切に管理している者を提供元として選定するとともに、実際に個人情報を取得する際には、例えば、取得の経緯を示す契約書等の書面の点検とともに、実際に個人情報を取得する際には、例えば、取得の経緯を示す契約書等の書面の点検
又はこれに代わる合理的な方法により、当該個人情報の取得方法等を確認した上で、当該個人情又はこれに代わる合理的な方法により、当該個人情報の取得方法等を確認した上で、当該個人情
17

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

報が適法に取得されたことが確認できない場合は、偽りその他不正の手段により取得されたものである可能性もあることから、その取得を自粛することを含め、慎重に対応することが望ましい。

報が適法に取得されたことが確認できない場合は、偽りその他不正の手段により取得されたものである可能性もあることから、その取得を自粛することを含め、慎重に対応することが望ましい。

４．安全管理措置、従業者の監督及び委託先の監督（法第２０条～第２２条）

４．安全管理措置、従業者の監督及び委託先の監督（法第２０条～第２２条）（安全管理措置）法第二十条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その
他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
（従業者の監督）法第二十一条 個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
（委託先の監督）
法第二十二条 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

（安全管理措置）法第二十条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その
他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
（従業者の監督）法第二十一条 個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
（委託先の監督）
法第二十二条 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

（１）国保組合が講ずるべき安全管理措置等（１）国保組合が講ずるべき安全管理措置①安全管理措置①安全管理措置国保組合は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安国保組合は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のため、組織的、人的、物理的、及び技術的安全管理措置を講じなければならない。その全管理のため、組織的、人的、物理的、及び技術的安全管理措置等を講じなければならない。そ際、本人の個人データが漏えい、滅失又はき損等をした場合に本人が被る権利利益の侵害の大きの際、本人の個人データが漏えい、滅失又はき損等をした場合に本人が被る権利利益の侵害の大さを考慮し、事業の性質及び個人データの取扱い状況等に起因するリスクに応じ、必要かつ適切きさを考慮し、事業の性質及び個人データの取扱い状況等に起因するリスクに応じ、必要かつ適な措置を講ずるものとする。なお、その際には、個人データを記録した媒体の性質に応じた安全切な措置を講ずるものとする。なお、その際には、個人データを記録した媒体の性質に応じた安管理措置を講ずる。
全管理措置を講ずる。
②従業者の監督
国保組合は、①の安全管理措置を遵守させるよう、従業者に対し必要かつ適切な監督をしなけ
ればならない。なお、「従業者」とは、当該事業者の指揮命令を受けて業務に従事する者 全て を含むものであり、また、雇用関係のある者のみならず、理事、派遣労働者等も含むものである。
「保険者における個人情報保護の徹底について」（平成 15 年 3 月 14 日国民健康保険課長通知）では、国保組合に対して、服務規程等において、国保組合の役職員について職員の守秘義務を課すこととしている。

②従業者の監督
国保組合は、①の安全管理措置を遵守させるよう、従業者に対し必要かつ適切な監督をしなけ
ればならない。なお、「従業者」とは、当該事業者の指揮命令を受けて業務に従事する者 すべてを含むものであり、また、雇用関係のある者のみならず、理事、派遣労働者等も含むものである。
「保険者における個人情報保護の徹底について」（平成 15 年 3 月 14 日国民健康保険課長通知）では、国保組合に対して、服務規程等において、国保組合の役職員について職員の守秘義務を課すこととしている。

③委託者の監督
国保組合は、個人データの取扱いの全部又は一部を委託する場合、委託先において当該個人データの安全管理措置が適切に講じられるよう、「適切な委託先の選定」「安全管理措置の遵守事項
を含む委託契約の締結」「委託先における個人データ取扱状況の把握」により、委託先に関して必要かつ適切な管理、監督をしなければならない。

（新設）

18

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表（２）安全管理措置として考えられる事項（２）安全管理措置として考えられる事項
国保組合は、その取り扱う個人データの重要性にかんがみ、個人データの漏えい、滅失又はき損
国保組合は、その取り扱う個人データの重要性に 鑑み 、個人データの漏えい、滅失又はき損のの防止その他の安全管理のため、その規模、従業者の様態等を勘案して、以下に示すような取組を防止その他の安全管理のため、その規模、従業者の様態等を勘案して、以下に示すような取組を参
参考に、必要な措置を行うものとする。
考に、必要な措置を行うものとする。
また、同一国保組合が複数の事務所（支部）を有する場合、当該事務所（支部）間の情報交換に
また、同一国保組合が複数の事務所（支部）を有する場合、当該事務所（支部）間の情報交換については第三者提供に該当しないが、各事務所（支部）ごとに安全管理措置を講ずるなど、個人情
ついては第三者提供に該当しないが、各事務所（支部）ごとに安全管理措置を講ずるなど、個人情報の利用目的を踏まえた個人情報の安全管理を行う。
報の利用目的を踏まえた個人情報の安全管理を行う。
①個人情報保護に関する規程の整備、公表
・国保組合は、保有個人データの開示手順を定めた規程その他個人情報保護に関する規程を整備し、苦情への対応体制も含めて、国保組合のホームページへの掲載、パンフレットの配布、掲示板への掲示・備付け、公告等を行うなど、被保険者に対して周知徹底を図る。
・また、個人データを取り扱う情報システムの安全管理措置に関する規程等についても同様に整備を行うこと。

①個人情報保護に関する規程の整備、公表
・国保組合は、保有個人データの開示手順を定めた規程その他個人情報保護に関する規程を整備し、苦情への対応体制も含めて、国保組合のホームページへの掲載、パンフレットの配布、掲示板への掲示・備付け、公告等を行うなど、被保険者に対して周知徹底を図る。
・また、個人データを取り扱う情報システムの安全管理措置に関する規程等についても同様に整備を行うこと。

②個人情報保護推進のための組織体制等の整備
・従業者の責任体制の明確化を図り、具体的な取組を進めるため、国保組合における個人情報保護に関し十分な知識を有する者を個人データの安全管理の実施及び運用に関する責任及び権限を有する個人情報取扱責任者（例えば、役員などの組織横断的に監督することのできる者）、個人情報管理担当者又は情報システム監査責任者等として定めたり、個人情報保護の推進を図るための部署、委員会等を設置する。
・国保組合で行っている個人データの安全管理措置について定期的に自己評価を行い、見直しや改善を行うべき事項について適切な改善を行う。
・個人情報保護対策及び最新の技術動向を踏まえた情報セキュリティ対策に十分な知見を有する者による事業所内の対応の確認（外部の知見を有する者を活用し確認させることを含む。）を実施する。

②個人情報保護推進のための組織体制等の整備
・従業者の責任体制の明確化を図り、具体的な取組を進めるため、国保組合における個人情報保護に関し十分な知識を有する者を個人データの安全管理の実施及び運用に関する責任及び権限を有する個人情報取扱責任者（例えば、役員などの組織横断的に監督することのできる者）、個人情報管理担当者又は情報システム監査責任者等として定めたり、個人情報保護の推進を図るための部署、委員会等を設置する。
・国保組合で行っている個人データの安全管理措置について定期的に自己評価を行い、見直しや改善を行うべき事項について適切な改善を行う。
・個人情報保護対策及び最新の技術動向を踏まえた情報セキュリティ対策に十分な知見を有する者による事業所内の対応の確認（外部の知見を有する者を活用し確認させることを含む。）を実施する。

③個人データの漏えい等の問題が発生した場合等における報告連絡体制の整備
・１）個人データの漏えい等の事故が発生した場合、又は発生の可能性が高いと判断した場合、２）
個人データの取扱いに関する規程等に違反している事実が生じた場合、又は兆候が高いと判断した場合における責任者等への報告連絡体制の整備を行う。
・個人データの漏えい等の情報は、苦情等の一環として、外部から報告される場合も想定されることから、苦情への対応体制との連携も図る。（Ⅲ１３．参照）③個人データの漏えい等の問題が発生した場合等における報告連絡体制の整備
・１）個人データの漏えい等の事故が発生した場合、又は発生の可能性が高いと判断した場合、２）
個人データの取扱いに関する規程等に違反している事実が生じた場合、又は兆候が高いと判断した場合における責任者等への報告連絡体制の整備を行う。
・個人データの漏えい等の情報は、苦情等の一環として、外部から報告される場合も想定されることから、苦情への対応体制との連携も図る。（Ⅲ１０．参照）④雇用契約時における個人情報保護に関する規程の整備
・雇用契約や就業規則において、就業期間中はもとより離職後も含めた守秘義務を課すなど従業者の個人情報保護に関する規程を整備し、徹底を図る。

④雇用契約時における個人情報保護に関する規程の整備
・雇用契約や就業規則において、就業期間中はもとより離職後も含めた守秘義務を課すなど従業者の個人情報保護に関する規程を整備し、徹底を図る。

⑤従業者に対する教育研修の実施
・取り扱う個人データの適切な保護が確保されるよう、従業者に対する教育研修の実施等により、個人データを実際の業務で取り扱うこととなる従業者の啓発を図り、従業者の個人情報保護意識⑤従業者に対する教育研修の実施
・取り扱う個人データの適切な保護が確保されるよう、従業者に対する教育研修の実施等により、個人データを実際の業務で取り扱うこととなる従業者の啓発を図り、従業者の個人情報保護意識

19

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表を徹底する。

を徹底する。
⑥物理的安全管理措置
・個人データの盗難・紛失等を防止するため、以下のような物理的安全管理措置を行う。
－入退館（室）管理の実施（カメラによる撮影や作業への立会い等による記録又は監視の実施）－盗難等に対する予防対策の実施－機器、装置等の固定など物理的な保護－記録機能を持つ媒体の持込み・持出し禁止又は検査の実施－記録機能を持つ媒体の接続の禁止又は制限－離席時等におけるパソコン等のパスワードロックの実施⑥物理的安全管理措置
・個人データの盗難・紛失等を防止するため、以下のような物理的安全管理措置を行う。
－入退館（室）管理の実施（カメラによる撮影や作業への立会い等による記録又は監視の実施）－盗難等に対する予防対策の実施－機器、装置等の固定など物理的な保護－記録機能を持つ媒体の持込み・持出し禁止又は検査の実施－記録機能を持つ媒体の接続の禁止又は制限－離席時等におけるパソコン等のパスワードロックの実施⑦技術的安全管理措置
・個人データの盗難・紛失等を防止するため、「個人情報の適切な取扱いに係る基幹システムのセ
キュリティ対策の強化について（再要請）」（平成２７年１２月１８日通知）の主旨に則り、個人データを取り扱う情報システムについて以下のような技術的安全管理措置を行う。
－個人データに対するアクセス管理（ＩＤやパスワード等による認証、各職員の業務内容に応じて業務上必要な範囲にのみアクセスできるようなシステム構成の採用等）－個人データに対するアクセス記録の保存－個人データに対するファイアウォールの設置－個人データに対する暗号化・パスワードの設定－個人データへのアクセスや操作の記録及び不正が疑われる異常な記録の存否の定期的な確認－基幹システムに接続されたネットワークとインターネットに接続されたネットワークの物理的又は論理的分離－ソフトウェアに関する脆弱性対策（セキュリティパッチの適用、当該情報システム固有の脆弱性の発見及びその修正等）－ソフトウェア及びハードウェア等の必要かつ適切な時期における更新⑦技術的安全管理措置
・個人データの盗難・紛失等を防止するため、個人データを取り扱う情報システムについて以下のような技術的安全管理措置を行う。

⑧個人データの保存・個人データを長期にわたって保存する場合には、保存媒体の劣化防止など個人データが消失しないよう適切に保存する。
・個人データの保存に当たっては、本人からの照会等に対応する場合など必要なときに迅速に対応できるよう、インデックスの整備など検索可能な状態で保存しておく。

⑧個人データの保存・個人データを長期にわたって保存する場合には、保存媒体の劣化防止など個人データが消失しないよう適切に保存する。
・個人データの保存に当たっては、本人からの照会等に対応する場合など必要なときに迅速に対応できるよう、インデックスの整備など検索可能な状態で保存しておく。

⑨不要となった個人データの廃棄、消去
・不要となった個人データを廃棄する場合には、焼却や溶解など、個人データを復元不可能な形にして廃棄する。
・個人データを取り扱った情報機器を廃棄する場合は、記憶装置内の個人データを復元不可能な形に消去して廃棄する。
・これらの廃棄業務を委託する場合には、個人データの取扱いについても委託契約において明確に定める。

⑨不要となった個人データの廃棄、消去
・不要となった個人データを廃棄する場合には、焼却や溶解など、個人データを復元不可能な形にして廃棄する。
・個人データを取り扱った情報機器を廃棄する場合は、記憶装置内の個人データを復元不可能な形に消去して廃棄する。
・これらの廃棄業務を委託する場合には、個人データの取扱いについても委託契約において明確に
定める。

20

－個人データに対するアクセス管理（ＩＤやパスワード等による認証、各職員の業務内容に応じて業務上必要な範囲にのみアクセスできるようなシステム構成の採用等）－個人データに対するアクセス記録の保存－個人データに対するファイアウォールの設置－個人データに対する暗号化・パスワードの設定－個人データへのアクセスや操作の記録及び不正が疑われる異常な記録の存否の定期的な確認－基幹システムに接続されたネットワークとインターネットに接続されたネットワークの物理的又は論理的分離－ソフトウェアに関する脆弱性対策（セキュリティパッチの適用、当該情報システム固有の脆弱性の発見及びその修正等）－ソフトウェア及びハードウェア等の必要かつ適切な時期における更新

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表（３）業務を委託する場合の取扱い（３）業務を委託する場合の取扱い①委託先の監督①委託先の監督
国保組合は、レセプトの入力・点検業務、被保険者証 の印刷作成 、人間ドック等の健診、保国保組合は、レセプトの入力・点検業務、被保険者証 の作成 、人間ドック等の健診、保健指導等個人データの取扱いの全部又は一部を委託する場合、法第２０条に基づく安全管理措置を遵健指導等個人データの取扱いの全部又は一部を委託する場合、法第２０条に基づく安全管理措置
守させるよう受託者に対し、必要かつ適切な監督をしなければならない。
を遵守させるよう受託者に対し、必要かつ適切な監督をしなければならない。
「必要かつ適切な監督」には、委託契約において委託者である事業者が定める安全管理措置の「必要かつ適切な監督」には、委託契約において委託者である事業者が定める安全管理措置の内容を契約に盛り込み受託者の義務とするほか、業務が適切に行われていることを定期的に確認内容を契約に盛り込み受託者の義務とするほか、業務が適切に行われていることを定期的に確認することなども含まれる。
することなども含まれる。
また、業務が再委託された場合で、再委託先が不適切な取扱いを行ったことにより、問題が生
また、業務が再委託された場合で、再委託先が不適切な取扱いを行ったことにより、問題が生じた場合は、国保組合や再委託した事業者が責めを負うこともあり得る。
じた場合は、国保組合や再委託した事業者が責めを負うこともあり得る。
②業務を委託する場合の留意事項
国保組合等関係事業者は、個人データの取扱いの全部又は一部を委託する場合、以下の事項に留意すべきである。
・個人情報を適切に取り扱っている事業者を委託先（受託者）として選定すること。委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第２０条で求められているものと同様であることを確認するため、委託先の体制、規程等の確認に加え、必要に応じて個人データを取り扱う場所に赴く又はこれに代わる合理的な方法による確認を行った上で、個人情報取扱責任者等が、適切に評価することが望ましい。
・契約において、委託している業務の内容、委託先事業者、個人情報の適切な取扱いに関する内容を盛り込み（委託期間中のほか、委託終了後の個人データの取扱いも含む。）、契約内容を公表すること。
・受託者が個人情報を適切に取り扱っていることを定期的に確認すること。
・受託者における個人情報の取扱いに疑義が生じた場合（被保険者等からの申出があり、確認の必要があると考えられる場合を含む。）には、受託者に対し、説明を求め、必要に応じ改善を求める等適切な措置をとること。
・なお、個人情報保護の観点から、可能な限り、個人情報をマスキングすることにより、当該個人情報を匿名化した上で、委託するよう努めること。
・また、委託するに当たっては、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないよう努めること。

②業務を委託する場合の留意事項
国保組合等関係事業者は、個人データの取扱いの全部又は一部を委託する場合、以下の事項に留意すべきである。
・個人情報を適切に取り扱っている事業者を委託先（受託者）として選定すること。委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第２０条で求められているものと同様であることを確認するため、委託先の体制、規程等の確認に加え、必要に応じて個人データを取り扱う場所に赴く又はこれに代わる合理的な方法による確認を行った上で、個人情報取扱責任者等が、適切に評価することが望ましい。
・契約において、委託している業務の内容、委託先事業者、個人情報の適切な取扱いに関する内容を盛り込み（委託期間中のほか、委託終了後の個人データの取扱いも含む。）、契約内容を公表すること。
・受託者が個人情報を適切に取り扱っていることを定期的に確認すること。
・受託者における個人情報の取扱いに疑義が生じた場合（被保険者等からの申出があり、確認の必要があると考えられる場合を含む。）には、受託者に対し、説明を求め、必要に応じ改善を求める等適切な措置をとること。
・なお、個人情報保護の観点から、可能な限り、個人情報をマスキングすることにより、当該個人情報を匿名化した上で、委託するよう努めること。
・また、委託するに当たっては、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないよう努めること。

＊国保組合における業者委託に関する通知
上記の留意事項のほか、業者委託に関する通知を遵守する。
・「個人情報保護の徹底について」（平成１４年１２月２５日保発第１２２５００３号）
・「保険者における個人情報保護の徹底について」（平成１５年３月１４日保国発第０３１４００１号）の別添２「４．個人情報の処理に関する外部委託に関する措置」＊国保組合における業者委託に関する通知
上記の留意事項のほか、業者委託に関する通知を遵守する。
・「個人情報保護の徹底について」（平成１４年１２月２５日保発第１２２５００３号）
・「保険者における個人情報保護の徹底について」（平成１５年３月１４日保国発第０３１４００１号）の別添２「４．個人情報の処理に関する外部委託に関する措置」③業務を再委託する場合の留意事項
国保組合は、個人情報に関する処理の全部又は一部を再委託する場合、以下の事項に留意すべきである。

③業務を再委託する場合の留意事項
国保組合は、個人情報に関する処理の全部又は一部を再委託する場合、以下の事項に留意すべ
きである。

21

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

・個人情報を含む業務を再委託すること自体は禁じられてはないが、国保組合との直接の契約関係を伴わない個人情報に関する処理の再委託は行わないこと。
（「保険者における個人情報保護の徹底について」（平成１５年３月１４日保国発第０３１４００１号）の別添２「４．個人情報の処理に関する外部委託に関する措置」）
・なお、個人情報を含む業務の再委託や個人情報に関する処理の再委託をする場合には、個人情報保護の観点から、可能な限り、個人情報をマスキングすることにより、当該個人情報を匿名化した上で、委託先から再委託先へ個人情報が提供されないよう努めること。

・個人情報を含む業務を再委託すること自体は禁じられてはないが、国保組合との直接の契約関係を伴わない個人情報に関する処理の再委託は行わないこと。
（「保険者における個人情報保護の徹底について」（平成１５年３月１４日保国発第０３１４００１号）の別添２「４．個人情報の処理に関する外部委託に関する措置」）
・なお、個人情報を含む業務の再委託や個人情報に関する処理の再委託をする場合には、個人情報保護の観点から、可能な限り、個人情報をマスキングすることにより、当該個人情報を匿名化した上で、委託先から再委託先へ個人情報が提供されないよう努めること。

この場合において、国保組合は第一次委託先と委託契約を締結するに当たっては、第一次委託先が、上記通知の基準に掲げる事項を遵守するよう委託契約上明記することはもちろんのこと、
これに加え、再委託の可否及び再委託を行うに当たっての委託元への文書による事前報告又は承認を行うことや当該再委託契約上、再委託先に対して、同通知の基準に掲げる事項を遵守することを明記するよう、第一次委託契約上明記すること。
なお、第一次委託先が再委託を行おうとする場合は、国保組合は委託を行う場合と同様、再委託の相手方、再委託する業務内容及び再委託先の個人データの取扱方法等について、第一次委託
先に事前報告又は承認手続を求める、直接又は第一次委託先を通じて定期的に監査を実施する等により、第一次委託先が再委託先に対して本条の第一次委託先の監督を適切に果たすこと、再委託先が法第２０条に基づく安全管理措置を講ずることを十分に確認することが望ましい。

この場合において、国保組合は第一次委託先と委託契約を締結するに当たっては、第一次委託先が、上記通知の基準に掲げる事項を遵守するよう委託契約上明記することはもちろんのこと、
これに加え、再委託の可否及び再委託を行うに当たっての委託元への文書による事前報告又は承認を行うことや当該再委託契約上、再委託先に対して、同通知の基準に掲げる事項を遵守することを明記するよう、第一次委託契約上明記すること。
なお、第一次委託先が再委託を行おうとする場合は、国保組合は委託を行う場合と同様、再委託の相手方、再委託する業務内容及び再委託先の個人データの取扱方法等について、第一次委託
先に事前報告又は承認手続を求める、直接又は第一次委託先を通じて定期的に監査を実施する等により、第一次委託先が再委託先に対して本条の第一次委託先の監督を適切に果たすこと、再委託先が法第２０条に基づく安全管理措置を講ずることを十分に確認することが望ましい。

（４）レセプトの紙以外の媒体による保存等又はそれらの外部委託を行う場合の取扱い（４）レセプトの紙以外の媒体による保存等又はそれらの外部委託を行う場合の取扱い
国保組合において、レセプトの紙以外の媒体による保存又はレセプトの電算処理及びそれらの外国保組合において、レセプトの紙以外の媒体による保存又はレセプトの電算処理及びそれらの外部委託を行う場合には、国保組合において、その運営及び委託等の取扱いについて安全性が確保さ
部委託を行う場合には、国保組合において、その運営及び委託等の取扱いについて安全性が確保されるよう規程を定め、実施するものとする。
れるよう規程を定め、実施するものとする。
（５）個人情報の漏えい等の問題が発生した場合における二次被害の防止等（５）個人情報の漏えい等の問題が発生した場合における二次被害の防止等
個人情報の漏えい等の問題が発生した場合には、二次被害の防止、類似事案の発生回避等の観点
個人情報の漏えい等の問題が発生した場合には、二次被害の防止、類似事案の発生回避等の観点から、個人情報の保護に配慮しつつ、可能な限り事実関係を公表するとともに、所管の地方厚生局
から、個人情報の保護に配慮しつつ、可能な限り事実関係を公表するとともに、所管の地方厚生局に速やかに報告する。
に速やかに報告する。
（新設）
また、個人データの漏えい等の問題が発生した場合には、「個人データの漏えい等の事案が発生した場合等の対応について」（平成２９年個人情報保護委員会告示第１号）に基づき、①事業者内部における報告及び被害の拡大防止、②事実関係の調査及び原因の究明、③影響範囲の特定、④再発防止策の検討及び実施、⑤影響を受ける可能性のある本人への連絡等、⑥事実関係及び再発防止策等の公表の必要な措置を講ずることが望ましい。また、漏えい等事案が発覚した場合には、その事実関係及び再発防止策等について、個人情報保護委員会に対し、速やかに報告するよう努めるものとする。
ただし、法第４７条第１項に規定する認定個人情報保護団体の対象事業者である国保組合は、所属の認定個人情報保護団体に速やかに報告するよう努めるものとする。
【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】
・国保組合等、その取り扱う個人データの漏えい、滅失又はき損の防止その他個人データの安全管・国保組合は、その取り扱う個人データの漏えい、滅失又はき損の防止その他個人データの安全管理のために必要かつ適切な措置を講じなければならない。
理のために必要かつ適切な措置を講じなければならない。
22

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

・国保組合は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
・国保組合は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個
人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

・国保組合は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
・国保組合は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個
人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

【その他の事項】【その他の事項】
・国保組合は、安全管理措置に関する取組を一層推進するため、安全管理措置が適切であるかどう・国保組合は、安全管理措置に関する取組を一層推進するため、安全管理措置が適切であるかどうかを一定期間ごとに検証するほか、必要に応じて外部機関による検証を受けることで、改善を図
かを一定期間ごとに検証するほか、必要に応じて外部機関による検証を受けることで、改善を図ることが望ましい。
ることが望ましい。
５．個人データの第三者提供（法第２３条）

５．個人データの第三者提供（法第２３条）（第三者提供の制限）
法第二十三条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得な
いで、個人データを第三者に提供してはならない。
一 法令に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
２ 個人情報取扱事業者は、第三者に提供される個人データ （要配慮個人情報を除く。以下この項において同じ。
）について、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、個人情報保護委員会
規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に 置
くとともに、個人情報保護委員会に届け出た ときは、前項の規定にかかわらず、当該個人デー
タを第三者に提供することができる。
一 第三者への提供を利用目的とすること。
二 第三者に提供される個人データの項目
三 第三者への提供の方法
四 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
五 本人の求めを受け付ける方法
３ 個人情報取扱事業者は、前項第二号 、第三号又は第五号 に掲げる事項を変更する場合は、変更する内容について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に 置くとともに、個人情報保護委員会に届け出なければならない 。
４ 個人情報保護委員会は、第二項の規定による届出があったときは、個人情報保護委員会規則で（第三者提供の制限）
法第二十三条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得な
いで、個人データを第三者に提供してはならない。
一 法令に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
２ 個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に 置いている ときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。
一 第三者への提供を利用目的とすること。
二 第三者に提供される個人データの項目
三 第三者への提供の 手段又は 方法
四 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。

３

個人情報取扱事業者は、前項第二号 又は第三号 に掲げる事項を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に 置かなければなら
ない 。
（新設）

23

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

定めるところにより、当該届出に係る事項を公表しなければならない。前項の規定による届出があったときも、同様とする。
５ 次に掲げる場合において、当該個人データの提供を受ける者は、前各号 の規定の適用については、第三者に該当しないものとする。
一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託する ことに伴って当該個人データが提供される 場合
二 合併その他の事由による事業の承継に伴って個人データが提供される場合
三 特定の者との間で共同して利用 される個人データが当該特定の者に提供される 場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、
あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。
６ 個人情報取扱事業者は、前項第三号に規定する利用する者の利用目的又は個人データの管理について責任を有する者の氏名若しくは名称を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

４

次に掲げる場合において、当該個人データの提供を受ける者は、前三項 の規定の適用については、第三者に該当しないものとする。
一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託する場合
二 合併その他の事由による事業の承継に伴って個人データが提供される場合
三 個人データを 特定の者との間で共同して利用 する 場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。
５ 個人情報取扱事業者は、前項第三号に規定する利用する者の利用目的又は個人データの管理について責任を有する者の氏名若しくは名称を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

（１）第三者提供の取扱い（１）第三者提供の取扱い
国保組合は、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならないとさ国保組合は、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならないとされており、次のような場合には、本人の同意を得る必要がある。
れており、次のような場合には、本人の同意を得る必要がある。
（例）（例）
・民間保険会社からの照会
・民間保険会社からの照会
被保険者が民間の生命保険に加入しようとする場合、生命保険会社からその健康状態等につ被保険者が民間の生命保険に加入しようとする場合、生命保険会社からその健康状態等について照会が合った場合、本人の同意を得ずに健康状態等を回答してはならない。
いて照会が合った場合、本人の同意を得ずに健康状態等を回答してはならない。
交通事故によって、けがの治療を受けている被保険者等に関して、損害保険会社から損害保
交通事故によって、けがの治療を受けている被保険者等に関して、損害保険会社から損害保険金の支払いの審査のために必要であるとして症状に関する照会があった場合、本人の同意を険金の支払いの審査のために必要であるとして症状に関する照会があった場合、本人の同意を得ず傷病名等を回答してはならない。
得ず傷病名等を回答してはならない。
・事業所からの照会
事業主等から、組合員の傷病名等に関する 問合せ があった場合など、本人の同意を得ずに傷病名等を回答してはならない。

・事業所からの照会
事業主等から、組合員の傷病名等に関する 問い合わせ があった場合など、本人の同意を得ずに傷病名等を回答してはならない。

・学校からの照会
学校の教職員等から、児童・生徒の健康状態に関する 問合せ があった場合など、本人の同意を得ずに健康状態等を回答してはならない。

・学校からの照会
学校の教職員等から、児童・生徒の健康状態に関する 問い合わせ があった場合など、本人の同意を得ずに健康状態等を回答してはならない。

・マーケティング等を目的とする会社等からの照会
健康食品の販売を目的とする会社から、高血圧の被保険者等の存在の有無について照会された場合など、本人の同意を得ずにその存在の有無やその氏名・住所等を回答してはならない。

・マーケティング等を目的とする会社等からの照会
健康食品の販売を目的とする会社から、高血圧の被保険者等の存在の有無について照会された場合など、本人の同意を得ずにその存在の有無やその氏名・住所等を回答してはならない。

※※

本条の「本人」、「第三者」の定義
・「本人」
・・・個人データで識別される個人。

本条の「本人」、「第三者」の定義
・「本人」
・・・個人データで識別される個人。

24

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

・「第三者」
・・・本人及び個人情報取扱事業者以外の者をいい、自然人か法人その他の団体かを問わない。

・「第三者」
・・・本人及び個人情報取扱事業者以外の者をいい、自然人か法人その他の団体かを問わない。

（２）第三者提供の例外（２）第三者提供の例外
ただし、次に掲げる場合については、本人の同意を得る必要はない。
ただし、次に掲げる場合については、本人の同意を得る必要はない。
①法令に基づく場合①法令に基づく場合
国民健康保険法第１０６条に基づく報告の徴収等、法令に基づいて個人情報を利用する場合
国民健康保険法第１０６条に基づく報告の徴収等、法令に基づいて個人情報を利用する場合（Ⅲ１．
（２）①参照）（Ⅲ１．（２）①参照）②人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（例）・意識不明となった被保険者等について、家族の連絡先等に関する情報を医療機関等に提供する
場合②人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（例）・意識不明となった被保険者等について、家族の連絡先等に関する情報を医療機関等に提供する
場合※なお、「本人の同意を得ることが困難であるとき」には、本人に同意を求めても同意しない場
合、本人に同意を求める手続きを経るまでもなく本人の同意を得ることができない場合等が含まれるものである。

※なお、「本人の同意を得ることが困難であるとき」には、本人に同意を求めても同意しない場
合、本人に同意を求める手続きを経るまでもなく本人の同意を得ることができない場合等が含まれるものである。

③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（例）
・疫学上の調査・研究のために、健康診査やガン検診等から得られた情報を個人名を伏せて研究者に提供する場合
・医療安全の向上のため、国保組合にレセプトを提出する医療機関で発生した医療事故等に関する国、地方公共団体又は第三者機関等への情報提供のうち、氏名等の情報が特に必要な場合③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（例）
・疫学上の調査・研究のために、健康診査やガン検診等から得られた情報を個人名を伏せて研究者に提供する場合
・医療安全の向上のため、国保組合にレセプトを提出する医療機関で発生した医療事故等に関する国、地方公共団体又は第三者機関等への情報提供のうち、氏名等の情報が特に必要な場合④国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき④国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（３）本人の同意が得られていると考えられる場合（３）本人の同意が得られていると考えられる場合
第三者への情報の提供のうち、以下の場合は、黙示による包括的な同意が得られていると考え第三者への情報の提供のうち、以下の場合は、黙示による包括的な同意が得られていると考え
られる。
られる。
・被保険者への保険給付等のために通常必要な範囲の利用目的のうち、被保険者等にとって利益と・被保険者への保険給付等のために通常必要な範囲の利用目的のうち、被保険者等にとって利益となるもの、又は医療費通知など国保組合の負担が膨大である上明示的な同意を毎回得ることが必なるもの、又は医療費通知など国保組合の負担が膨大である上明示的な同意を毎回得ることが必ずしも被保険者本人にとって合理的であるとは言えないものの利用の範囲について、ホームペー
ずしも被保険者本人にとって合理的であるとは言えないものの利用の範囲について、ホームペー
ジへの掲載、パンフレットの配布、掲示板への掲示・備付けや公告等により明らかにしておき、ジへの掲載、パンフレットの配布、掲示板への掲示・備付けや公告等により明らかにしておき、被保険者から特段明確な反対・留保の意思表示がない場合
被保険者から特段明確な反対・留保の意思表示がない場合
なお、ホームページ・掲示板等においては、
なお、ホームページ・掲示板等においては、(ｧ)被保険者は、国保組合が示す利用目的の中で同意しがたいものがある場合には、(ｧ)被保険者は、国保組合が示す利用目的の中で同意しがたいものがある場合には、
25

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

その事項について、あらかじめ本人の明確な同意を得るよう国保組合に求めることができること。
(ｨ)被保険者が、(ｧ)の意思表示を行わない場合は、公表された利用目的について被保険者の同意が得られたものとすること。
(ｩ)同意及び留保は、その後、被保険者からの申出により、いつでも変更することが可能であること。
をあわせて掲示するものとする。

その事項について、あらかじめ本人の明確な同意を得るよう国保組合に求めることができること。
(ｨ)被保険者が、(ｧ)の意思表示を行わない場合は、公表された利用目的について被保険者の同意が得られたものとすること。
(ｩ)同意及び留保は、その後、被保険者からの申出により、いつでも変更することが可能であること。
をあわせて掲示するものとする。

※黙示による包括的な同意でよいと考えられる例※黙示による包括的な同意でよいと考えられる例
・高額療養費を本人の申請に基づかずに事業主経由で支給すること・付加給付を本人の申請に基づかずに事業主経由で行うこと
・医療費通知を世帯ごとにまとめて行うこと（削除）
・医療費通知を世帯ごとにまとめて行うこと（４）「第三者」に該当しない場合（４）「第三者」に該当しない場合①他の事業者等への情報提供であるが、「第三者」に該当しない場合①他の事業者等への情報提供であるが、「第三者」に該当しない場合
法第２３条第５項の各号に掲げる場合の当該個人データの提供を受ける者については、第三者法第２３条第４項の各号に掲げる場合の当該個人データの提供を受ける者については、第三者に該当せず、本人の同意を得ずに情報の提供を行うことができる。国保組合における具体的事例に該当せず、本人の同意を得ずに情報の提供を行うことができる。国保組合における具体的事例
は以下のとおりである。
は以下のとおりである。
・レセプト点検、保健指導等の業務を委託する場合
・個人データを特定の者との間で共同して利用するとして、あらかじめ本人に通知等している場
合・レセプト点検、医療費分析、保健指導等の業務を委託する場合
・個人データを特定の者との間で共同して利用するとして、あらかじめ本人に通知等している場
合※個人データの共同での利用における留意事項※個人データの共同での利用における留意事項
国保組合と労働安全衛生法に規定する事業者が共同で健康診断を実施している場合又は共同で国保組合と労働安全衛生法に規定する事業者が共同で健康診断を実施している場合又は共同で健診結果を用いて事後指導を実施している場合など、あらかじめ個人データを特定の者との間で共健診結果を用いて事後指導を実施している場合など、あらかじめ個人データを特定の者との間で共同して利用することが予定されている場合、(ｱ)共同して利用される個人データの項目、(ｲ)共同利
同して利用することが予定されている場合、(ｱ)共同して利用される個人データの項目、(ｲ)共同利
用者の範囲（個別列挙されているか、本人から見てその範囲が明確となるように特定されている必用者の範囲（個別列挙されているか、本人から見てその範囲が明確となるように特定されている必要がある）、(ｳ)利用する者の利用目的、(ｴ)当該個人データの管理について責任を有する者の氏名又要がある）、(ｳ)利用する者の利用目的、(ｴ)当該個人データの管理について責任を有する者の氏名又は名称、をあらかじめ本人に通知し、又は本人が容易に知り得る状態においておくとともに、共同は名称、をあらかじめ本人に通知し、又は本人が容易に知り得る状態においておくとともに、共同して利用することを明らかにしている場合には、当該共同利用者は第三者に該当しない。
して利用することを明らかにしている場合には、当該共同利用者は第三者に該当しない。
この場合、(ｱ)、(ｲ)については変更することができず、(ｳ)、(ｴ)については、本人が想定すること
この場合、(ｱ)、(ｲ)については変更することができず、(ｳ)、(ｴ)については、本人が想定することが困難でない範囲内で変更することができ、変更前、本人に通知又は本人の容易に知り得る状態にが困難でない範囲内で変更することができ、変更前、本人に通知又は本人の容易に知り得る状態におかなければならない。
おかなければならない。
なお、共同利用 でない場合は、国保組合と労働安全衛生法に規定する事業者は、異なる主体とな
なお、共同実施 でない場合は、国保組合と労働安全衛生法に規定する事業者は、異なる主体とな
るため、それらが健診結果を共有するに当たっては、被保険者の同意を要することとなる。
るため、それらが健診結果を共有するに当たっては、被保険者の同意を要することとなる。
②同一事業者内における情報提供であり、第三者に該当しない場合②同一事業者内における情報提供であり、第三者に該当しない場合
同一事業者内で情報提供する場合は、当該個人データを第三者に提供したことにはならないの同一事業者内で情報提供する場合は、当該個人データを第三者に提供したことにはならないので、本人の同意を得ずに情報の提供を行うことができる。国保組合における具体的事例は以下のとで、本人の同意を得ずに情報の提供を行うことができる。国保組合における具体的事例は以下のと
26

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

おりである。

おりである。

・国保組合内の他の部署との連携など当該国保組合内部における情報の交換
・国保組合内の複数の事務所（支部）との間における情報の交換及び事務所（支部）間における情報の交換
・国保組合の職員を対象とした研修での利用（特定し、公表した利用目的との関係で、目的外利用として所要の措置を行う必要があり得る）
・国保組合内で事業分析を行うための情報の交換

・国保組合内の他の部署との連携など当該国保組合内部における情報の交換
・国保組合内の複数の事務所（支部）との間における情報の交換及び事務所（支部）間における情報の交換
・国保組合の職員を対象とした研修での利用（特定し、公表した利用目的との関係で、目的外利用として所要の措置を行う必要があり得る）
・国保組合内で事業分析を行うための情報の交換

このうち、国保組合内部の研修でレセプトや健診記録等を利用する場合には、具体的な利用方法
を含め、あらためて本人の同意を得るか、個人が特定されないよう匿名化する。

このうち、国保組合内部の研修でレセプトや健診記録等を利用する場合には、具体的な利用方法
を含め、あらためて本人の同意を得るか、個人が特定されないよう匿名化する。

（５）その他留意事項（５）その他留意事項
・他の事業者への情報提供に関する留意事項
・他の事業者への情報提供に関する留意事項
第三者提供を行う場合のほか、他の事業者への情報提供であっても、①法令に基づく場合など
第三者提供を行う場合のほか、他の事業者への情報提供であっても、①法令に基づく場合など
第三者提供の例外に該当する場合、②「第三者」に該当しない場合、③個人が特定されないよう第三者提供の例外に該当する場合、②「第三者」に該当しない場合、③個人が特定されないように匿名化して情報提供する場合などにおいては、本来必要とされる情報の範囲に限って提供すべに匿名化して情報提供する場合などにおいては、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないようにすべきである。
ないようにすべきである。
また、被保険者と医師等双方の二面性を持っている個人情報を第三者提供するに当たっては、
また、被保険者と医師等双方の二面性を持っている個人情報を第三者提供するに当たっては、双方の同意が必要となるが、一方の同意のみで第三者提供する場合は、他方の個人情報に係る部双方の同意が必要となるが、一方の同意のみで第三者提供する場合は、他方の個人情報に係る部分をマスキングした上で行うこと。
分をマスキングした上で行うこと。
【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】
・国保組合においては、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはなら
・国保組合においては、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。なお、国保組合については、（２）の本人の同意を得る必要がない場合に該当する場合にない。なお、国保組合については、（２）の本人の同意を得る必要がない場合に該当する場合には、本人の同意を得る必要はない。
は、本人の同意を得る必要はない。
・個人データの第三者提供について本人の同意があった場合で、その後、本人から第三者提供の範・個人データの第三者提供について本人の同意があった場合で、その後、本人から第三者提供の範囲の一部についての同意を取り消す旨の申出があった場合は、その後の個人データの取扱いにつ
囲の一部についての同意を取り消す旨の申出があった場合は、その後の個人データの取扱いについては、本人の同意のあった範囲に限定して取り扱うものとする。
いては、本人の同意のあった範囲に限定して取り扱うものとする。
【その他の事項】【その他の事項】
・第三者提供に該当しない情報提供が行われる場合であっても、国保組合のホームページへの掲載、 ・第三者提供に該当しない情報提供が行われる場合であっても、国保組合のホームページへの掲載、パンフレットの配布、掲示板への掲示・備付け、公告等により情報提供先をできるだけ明らかに
パンフレットの配布、掲示板への掲示・備付け、公告等により情報提供先をできるだけ明らかにするとともに、このことについて被保険者からの 問合せ があった場合に回答できる体制を確保するとともに、このことについて被保険者からの 問い合わせ があった場合に回答できる体制を
する。
確保する。
・例えば、業務委託の場合、当該国保組合において委託している業務の内容、委託先事業者、委託・例えば、業務委託の場合、当該国保組合において委託している業務の内容、委託先事業者、委託先事業者との間での個人情報の取扱いに関する取り決め等の委託内容について公表する。
先事業者との間での個人情報の取扱いに関する取り決め等の委託内容について公表する。
６．外国にある第三者への提供の制限（法第２４条）
詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン（外国にある第三者
27

（新設）

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

への提供編）」（平成２８年個人情報保護委員会告示第７号）を参照のこと。
（参考）（外国にある第三者への提供の制限）
法第二十四条 個人情報取扱事業者は、外国（本邦の域外にある国又は地域をいう。以下同じ。
）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものを除く。以下この条において同じ。
）にある第三者（個人データの取扱いについてこの節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この条において同じ。
）に個人データを提供する場合には、前条第一項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は、適用しない。
規則第十一条 法第二十四条の個人情報保護委員会規則で定める基準は、次の各号のいずれかに該当することとする。
一 個人情報取扱事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第四章第一節の規定の趣旨に沿った措置の実施が確保されていること。
二 個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。
【法の規定により遵守すべき事項等】
・国保組合が、法第２４条の規定に基づき、外国にある第三者に個人データを提供する場合には、
法第２３条第１項各号（※）に定める場合を除き、外国にある第三者へ提供することについて本人の同意を得なければならない。
・ただし、次の①又は②のいずれかに該当する場合は、国内と同様に法第２３条第１項柱書に基づく本人同意による第三者提供、又は同条第５項に基づく委託、共同利用による提供が可能である。
①外国にある第三者が日本と同等の水準にあると認められる個人情報保護制度を有している国として個人情報の保護に関する法律施行規則（平成２８年個人情報保護委員会規則第 3号。以下「規則」という。）で定める国にある場合②外国にある第三者が、個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制として規則で定める基準に適合する体制を整備している場合（※）法第 23 条第 1 項各号
・法令に基づいて個人データを提供する場合（第 1 号関係）
・人（法人を含む。
）の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得ることが困難である場合（第 2 号関係）
・公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることが困難である場合（第 3 号関係）
28

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

・国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場
合であって、協力する民間企業等が当該国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合（第 4 号
関係）
７．第三者提供に係る記録の作成等（法第２５条）
詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」（平成２８年個人情報保護委員会告示第８号）を参照のこと。
（第三者提供に係る記録の作成等）
法第二十五条 個人情報取扱事業者は、個人データを第三者（第二条第五項各号に掲げる者を除く。略）に提供したときは（略）記録を作成しなければならない。ただし、当該個人データの提供が第二十三条第一項各号又は第五項各号のいずれか（略）に該当する場合は、この限りでない。
2 個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。
（第三者提供に係る記録の作成）
規則第十二条 法第二十五条第一項の規定による同項の記録を作成する方法は、文書、電磁的記録
又はマイクロフィルムを用いて作成する方法とする。
2 法第二十五条第一項の記録は、個人データを第三者（略）に提供した都度、速やかに作成しなければならない。ただし、当該第三者に対し個人データを継続的に若しくは反復して提供（略）したとき、又は当該第三者に対し個人データを継続的に若しくは反復して提供することが確実であると見込まれるときの記録は、一括して作成することができる。
3 前項の規定にかかわらず、法第二十三条第一項又は法第二十四条の規定により、本人に対する物品又は役務の提供に関連して当該本人に係る個人データを第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に次条第一項各号に定める事項が記載されているときは、当該書面をもって法第二十五条第一項の当該事項に関する記録に代えることができる。
（第三者提供に係る記録事項）
規則第十三条 法第二十五条第一項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。
一 法第二十三条第二項の規定により個人データを第三者に提供した場合 次のイからニまでに掲げる事項イ 当該個人データを提供した年月日
ロ 当該第三者の氏名又は名称その他の当該第三者を特定するに足りる事項（不特定かつ多数の者に対して提供したときは、その旨）
ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事
項ニ 当該個人データの項目
二 法第二十三条第一項又は法第二十四条の規定により個人データを第三者に提供した場合
29

（新設）

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

次のイ及びロに掲げる事項
イ 法第二十三条第一項又は法第二十四条の本人の同意を得ている旨
ロ 前号ロからニまでに掲げる事項
２ 前項各号に定める事項のうち、既に前条に規定する方法により作成した法第２５条第１項の記
録（当該記録を保存している場合におけるものに限る。）に記録されている事項と内容が同一であるものについては、法第２５条第 1 項の当該事項の記録を省略することができる。
（第三者提供に係る記録の保存期間）
規則第十四条 法第二十五条第二項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とする。
一 第十二条第三項に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を行った日から起算して一年を経過する日までの間
二 第十二条第二項ただし書に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を行った日から起算して三年を経過する日までの間
三 前二号以外の場合 三年（１）記録義務が適用されない場合
以下の場合には記録義務が適用されない。
①第三者が法第２条第５項各号に掲げる者である場合
以下の１）から４）までに掲げる者との間で個人データの授受を行う場合、記録義務は適用されない。
１）国の機関（法第 2 条第 5 項第 1 号関係）
２）地方公共団体（法第 2 条第 5 項第 2 号関係）
３）独立行政法人等（独立行政法人等の保有する個人情報の保護に関する法律 （平成１５年法律第５９号）第 2 条第 1 項 に規定する独立行政法人等をいう。）（法第 2 条第 5
項第 3 号関係）
４）地方独立行政法人（地方独立行政法人法（平成１５年法律第１１８号）第 2 条第 1 項に規定する地方独立行政法人をいう。）（法第 2 条第 5 項第 4 号関係）
②法第２３条第 1 項各号に該当する場合（Ⅲ５．（２）参照）
個人データが転々流通することは想定されにくいことに鑑み、記録義務は適用されない。
１）法令に基づいて個人データを提供する場合（第 1 号関係）（例）・第三者行為に係る損保会社等への求償２）人（法人を含む。
）の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得ることが困難である場合（第 2 号関係）
３）公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合
であり、かつ、本人の同意を得ることが困難である場合（第 3 号関係）
４）国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある
30

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

場合であって、協力する民間企業等が当該国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合（第 4 号関係）③法第２３条第 5 項各号に該当する場合（Ⅲ５．（４）参照）「第三者に該当しないものとする」とされていることに鑑み、記録義務は適用されない。
１）個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合（法第２３条
第 5 項第 1 号関係）
（例）・海外療養費に係る翻訳のための外部委託・被保険者等の資格等のデータ処理の外部委託
・保健指導、健康相談に係る産業医への委託
・医療機関への健診の委託
・健康増進施設（保養所等）の運営の委託
・健診結果の事業者への提供
・レセプトデータの内容点検・審査の委託
・レセプトデータの電算処理のためのパンチ入力、画像取込み処理の委託・医療費分析及び医療費通知に係るデータ処理等の外部委託
２）合併その他の事由による事業の承継に伴って個人データが提供される場合（法第２３条第 5 項第 2 号関係）
３）特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき（法第２３条第 5 項第 3 号関係）
④本人に代わって提供している場合
国保組合が被保険者本人からの委託等に基づき当該本人の個人データを第三者提供する場
合は、当該個人情報取扱事業者は「本人に代わって」個人データの提供をしているものである。
したがって、この場合の第三者提供については、記録義務は適用されない。
（例）・第三者求償事務において、保険会社・医療機関等への相談又は届出等⑤本人と一体と評価できる関係にある者に提供する場合
本人の代理人又は家族等、本人と一体と評価できる関係にある者に提供する場合、本人側に対する提供とみなし、記録義務は適用されない。
（例）・医療費通知を世帯ごとにまとめて行う場合において家族分の個人データを本人に WEB
上等で提供した場合

31

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表【法の規定により遵守すべき事項等】（２）記録義務の適用（１）に記載したいずれの場合にも該当しない場合で、国保組合が個人データを第三者に提供したときは、法令に定める記録の作成及びその記録を保存しなければならない。
①記録を作成する方法など
１）記録を作成する媒体
国保組合は、記録を、文書、電磁的記録又はマイクロフィルムを用いて作成しなければならない。
２）記録を作成する方法
国保組合は、原則として、個人データの授受の都度、速やかに記録を作成しなければならない。
３）一括して記録を作成する方法
一定の期間内に特定の事業者との間で継続的に又は反復して個人データを授受する場合
は、個々の授受に係る記録を作成する代わりに、一括して記録を作成することができる。
４）契約書等の代替手段による方法
国保組合が、本人に対する物品又は役務の提供に係る契約を締結し、その契約の履行に伴って、契約の相手方を本人とする個人データを国保組合から第三者に提供する場合は、その提供の際に作成した契約書その他の書面をもって個人データの流通を追跡することが可能であるから当該契約書その他の書面をもって記録とすることができる。
５）代行により記録を作成する方法
提供者、受領者のいずれも記録の作成方法、保存期間は同一であることに鑑みて受領者は提供者の記録義務の全部又は一部を代替して行うことができる（提供者と受領者の記録事項の相違については留意する必要がある。）。なお、この場合であっても、提供者及び受領者は自己の義務が免責されるわけではないことから、実質的に自ら記録作成義務を果たしているものと同等の体制を構築しなければならない。
②記録事項
１）提供者の記録事項
国保組合が、本人の同意に基づき個人データの第三者提供を行う場合は、次の項目を記録しなければならない。
・本人同意を得ている旨
・第三者の氏名又は名称その他の当該第三者を特定できる事項
・個人データによって識別される本人の氏名その他の当該本人を特定できる事項
・個人データの項目③記録事項の省略
32

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

複数回にわたって同一「本人」の個人データの授受をする場合において、同一の内容である事項を重複して記録する必要はない。既に「７．
（２）記録義務の適用」に規定する方法により作成した記録（現に保存している場合に限る。）に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。
④保存期間
国保組合は、作成した記録を規則で定める期間保存しなければならない。保存期間は記録の作成方法によって異なるので留意が必要である。
記録の作成方法の別

保存期間

契約書等の代替手段による方法に 最後に当該記録に係る個人データの提供を行ったより記録を作成した場合
日から起算して１年を経過する日までの間一括して記録を作成する方法によ 最後に当該記録に係る個人データの提供を行った
り記録を作成した場合
日から起算して３年を経過する日までの間
上記以外の場合３年

８．第三者提供を受ける際の確認等（法第２６条）
詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」（平成２８年個人情報保護委員会告示第８号）を参照のこと。
（第三者提供を受ける際の確認等）
法第二十六条 個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、（略）次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供が第二十三条第一項各号又は第五項各号のいずれかに該当する場合は、この限りでない。
一 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名
二 当該第三者による当該個人データの取得の経緯
２ 前項の第三者は、個人情報取扱事業者が同項の規定による確認を行う場合において、当該個人情報取扱事業者に対して、当該確認に係る事項を偽ってはならない。
3
個人情報取扱事業者は、第一項の規定による確認を行ったときは、個人情報保護委員会規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個
人情報保護委員会規則で定める事項に関する記録を作成しなければならない。
4 個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。
（第三者提供を受ける際の確認）
規則第十五条 法第二十六条第一項の規定による同項第一号に掲げる事項の確認を行う方法は、
個人データを提供する第三者から申告を受ける方法その他の適切な方法とする。
2 法第二十六条第一項の規定による同項第二号に掲げる事項の確認を行う方法は、個人データを提供する第三者から当該第三者による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法とする。
33

（新設）

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

３ （略）（第三者提供を受ける際の確認に係る記録の作成）
規則第十六条 法第二十六条第三項の規定による同項の記録を作成する方法は、文書、電磁的記録
又はマイクロフィルムを用いて作成する方法とする。
2 法第二十六条第三項の記録は、第三者から個人データの提供を受けた都度、速やかに作成しなければならない。ただし、当該第三者から継続的に若しくは反復して個人データの提供（法第二十三条第二項の規定による提供を除く。以下この条において同じ。）を受けたとき、又は当該第三者から継続的に若しくは反復して個人データの提供を受けることが確実であると見込まれる
ときの記録は、一括して作成することができる。
3 前項の規定にかかわらず、本人に対する物品又は役務の提供に関連して第三者から当該本人に係る個人データの提供を受けた場合において、当該提供に関して作成された契約書その他の書面に次条第一項各号に定める事項が記載されているときは、当該書面をもって法第二十六条第三項の当該事項に関する記録に代えることができる。
（第三者提供を受ける際の記録事項）
規則第十七条 法第二十六条第三項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。
一 個人情報取扱事業者から法第二十三条第二項の規定による個人データの提供を受けた場合
次のイからホまでに掲げる事項
イ 個人データの提供を受けた年月日
ロ 法第二十六条第一項各号に掲げる事項
ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事
項ニ 当該個人データの項目
ホ 法第二十三条第四項の規定により公表されている旨
二 個人情報取扱事業者から法第二十三条第一項又は法第二十四条の規定による個人データの提供を受けた場合 次のイ及びロに掲げる事項
イ 法第二十三条第一項又は法第二十四条の本人の同意を得ている旨
ロ 前号ロからニまでに掲げる事項
三 第三者（個人情報取扱事業者に該当する者を除く。）から個人データの提供を受けた場合 第一号ロからニまでに掲げる事項
２ （略）（第三者提供を受ける際の記録の保存期間）
規則第十八条 法第二十六条第四項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とする。
一 第十六条第三項に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を受けた日から起算して一年を経過する日までの間
二 第十六条第二項ただし書に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を受けた日から起算して三年を経過する日までの間
三 前二号以外の場合 三年34国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表（１）確認・記録義務が適用されない場合
７．第三者提供に係る記録の作成等（法第２５条）の場合と同様、①第三者が法第２条第５項各号に掲げる者である場合、②法第２３条第 1 項各号に該当する場合（Ⅲ５．
（２）参照）、③法第２
３条第 5 項各号に該当する場合（Ⅲ５．
（４）参照）、④本人に代わって提供された個人データを受ける場合、⑤本人と一体と評価できる関係にある者に該当する場合は、確認・記録義務は適用されない。なお、具体的事例は、７．（１）を参照のこと。
加えて、以下の場合においても確認・記録義務は適用されない。
⑥受領者にとって個人データに該当しない場合提供者にとって個人データに該当するが受領者にとって個人データに該当しない情報を受領した場合は、確認・記録義務は適用されない。
⑦受領者にとって個人情報に該当しない場合
次の事例のように、提供者にとって個人データに該当する場合であっても、受領者にとっては「個人情報」に該当しない（当然に個人データにも該当しない。
）情報を受領した場合は、確認・記録義務は適用されない。
【受領者にとって個人情報に該当しない事例】（例）
・提供者が氏名を削除するなどして個人を特定できないようにしたデータの提供を受けた
場合・提供者で管理している ID 番号のみが付されたデータの提供を受けた場合【法の規定により遵守すべき事項等】（２）確認義務の適用
国保組合は第三者から個人データの提供を受ける際は、当該第三者に対して、次のとおり確認を行わなければならない。
①確認方法
１）第三者の氏名及び住所並びに法人にあっては、その代表者の氏名
２）第三者による個人データの取得の経緯
３）法の遵守状況【その他の事項】
国保組合が、他の事業者から個人データの提供を受ける際には、当該事業者の法の遵守状況（例えば、利用目的、開示手続、問合せ・苦情の受付窓口の公表、オプトアウトによる第三者提供により個人データの提供を受ける際には当該事業者の届出事項が個人情報保護委員会により公表されている旨など）についても確認することが望ましい。
②既に確認を行った第三者に対する確認方法
複数回にわたって同一「本人」の個人データの授受をする場合において、同一の内容である事項を重複して確認する合理性はないため、既に「①確認方法」に規定する方法により確認を行い、「８．
（３）記録義務」に規定する方法により作成し、かつ、その時点において保存している記録に記録された事項と内容が同一であるものについては、当該事項の確認を省略することができ35

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表る。
（３）記録義務の適用
また、国保組合は、第三者から個人データの提供を受けたときは法令に定める記録を作成し、かつ、その記録を保存しなければならない。
①記録を作成する方法など
１）記録を作成する媒体
国保組合は、記録を、文書、電磁的記録又はマイクロフィルムを用いて作成しなければならない。
２）記録を作成する方法
国保組合は、原則として、個人データの授受の都度、速やかに記録を作成しなければならない。
３）一括して記録を作成する方法
一定の期間内に特定の事業者との間で継続的に又は反復して個人データを授受する場合
は、個々の授受に係る記録を作成する代わりに、一括して記録を作成することができる。
４）契約書等の代替手段による方法
国保組合が、本人に対する物品又は役務の提供に係る契約を締結し、その契約の履行に伴って、契約の相手方を本人とする個人データを第三者から提供を受ける場合は、その提供の際に作成した契約書その他の書面をもって個人データの流通を追跡することが可能であるから当該契約書その他の書面をもって記録とすることができる。
５）代行により記録を作成する方法
提供者、受領者のいずれも記録の作成方法、保存期間は同一であることに鑑みて提供者は受領者の記録義務の全部又は一部を代替して行うことができる（提供者と受領者の記録事項の相違については留意する必要がある。）。なお、この場合であっても、提供者及び受領者は自己の義務が免責されるわけではないことから、実質的に自ら記録作成義務を果たしているものと同等の体制を構築しなければならない。
②記録事項
１）受領者の記録事項
国保組合が、本人の同意に基づき個人データの第三者提供を受ける場合は、次の項目を記録しなければならない。
・本人同意を得ている旨
・第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名・第三者による当該個人データの取得の経緯
・個人データによって識別される本人の氏名その他の当該本人を特定できる事項
・個人データの項目
36

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表③記録事項の省略
複数回にわたって同一「本人」の個人データの授受をする場合において、同一の内容である事項を重複して記録する必要はない。既に「８．
（３）記録義務の適用」に規定する方法により作成した記録（現に保存している場合に限る。）に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。
④保存期間
国保組合は、作成した記録を規則で定める期間保存しなければならない。保存期間は記録の作成方法によって異なるので留意が必要である。
記録の作成方法の別

保存期間

契約書等の代替手段による方法に 最後に当該記録に係る個人データの提供を行ったより記録を作成した場合
日から起算して１年を経過する日までの間一括して記録を作成する方法によ 最後に当該記録に係る個人データの提供を行った
り記録を作成した場合
日から起算して３年を経過する日までの間
上記以外の場合３年

９．保有個人データに関する事項の公表等（法第 ２７条）

６．保有個人データに関する事項の公表等（法第 ２４条）

（保有個人データに関する事項の公表等）
法第 二十七 条 個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
一 当該個人情報取扱事業者の氏名又は名称
二 全て の保有個人データの利用目的（第十八条第四項第一号から第三号までに該当する場合を除く。
）
三 次項 の規定による求め又は次条第一項、第二十九条第一項若しくは第三十条第一項若しくは第三項の規定による請求 に応じる手続（第三十三条第二項 の規定により手数料の額を定めたときは、その手数料の額を含む。
）
四 前三号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの
２ 個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りでない。
一 前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合
二 第十八条第四項第一号から第三号までに該当する場合
３ 個人情報取扱事業者は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

（保有個人データに関する事項の公表等）
法第 二十四 条 個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
一 当該個人情報取扱事業者の氏名又は名称
二 すべて の保有個人データの利用目的（第十八条第四項第一号から第三号までに該当する場合を除く。
）
三 次項 、次条第一項、第二十六条第一項又は第二十七条第一項若しくは第二項の規定による求め に応じる手続（第三十条第二項 の規定により手数料の額を定めたときは、その手数料の額を含む。
）
四 前三号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの
２ 個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りでない。
一 前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合
二 第十八条第四項第一号から第三号までに該当する場合
３ 個人情報取扱事業者は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

（保有個人データの適正な取扱いの確保に関し必要な事項）（保有個人データの適正な取扱いの確保に関し必要な事項）
37

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

令第八条 法 第二十七条 第一項第四号の政令で定めるものは、次に掲げるものとする。
一 当該個人情報取扱事業者が行う保有個人データの取扱いに関する苦情の申出先
二 当該個人情報取扱事業者が認定個人情報保護団体の対象事業者である場合にあっては、当該認定個人情報保護団体の名称及び苦情の解決の申出先令第五条 法 第二十四条 第一項第四号の政令で定めるものは、次に掲げるものとする。
一 当該個人情報取扱事業者が行う保有個人データの取扱いに関する苦情の申出先
二 当該個人情報取扱事業者が認定個人情報保護団体の対象事業者である場合にあっては、当該認定個人情報保護団体の名称及び苦情の解決の申出先【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】
・国保組合は、保有個人データに関し、(ｱ)当該個人情報取扱事業者の氏名又は名称、(ｲ)全て の保・国保組合は、保有個人データに関し、(ｱ)当該個人情報取扱事業者の氏名又は名称、(ｲ)すべて の有個人データの利用目的（法第１８条第４項第１号から第３号までに規定された例外の場合を除
保有個人データの利用目的（法第１８条第４項第１号から第３号までに規定された例外の場合をく）、(ｳ)保有個人データの利用目的の通知、開示、訂正、利用停止等の手続の方法、及び保有個除く）、(ｳ)保有個人データの利用目的の通知、開示、訂正、利用停止等の手続の方法、及び保有人データの利用目的の通知又は開示に係る手数料の額、(ｴ)苦情の申出先等について、本人の知り個人データの利用目的の通知又は開示に係る手数料の額、(ｴ)苦情の申出先等について、本人の知得る状態（本人の求めに応じて遅滞なく回答する場合を含む）に置かなければならない。
り得る状態（本人の求めに応じて遅滞なく回答する場合を含む）に置かなければならない。
・国保組合は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたと・国保組合は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、上記の措置により利用目的が明らかになっている場合及び法第１８条第４項第１号から第きは、上記の措置により利用目的が明らかになっている場合及び法第１８条第４項第１号から第３号までの例外に相当する場合を除き、遅滞なく通知しなければならない。
３号までの例外に相当する場合を除き、遅滞なく通知しなければならない。
・国保組合は、利用目的の通知をしない旨の決定をしたときは、本人に対し、遅滞なく、その旨を・国保組合は、利用目的の通知をしない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
通知しなければならない。
・法施行前から保有している個人情報についても同様の取扱いを行う。
・法施行前から保有している個人情報についても同様の取扱いを行う。
【その他の事項】【その他の事項】
・国保組合は、保有個人データについて、その利用目的、開示、訂正、利用停止等の手続の方法及・国保組合は、保有個人データについて、その利用目的、開示、訂正、利用停止等の手続の方法及び利用目的の通知又は開示に係る手数料の額、苦情の申出先等について、少なくとも国保組合のび利用目的の通知又は開示に係る手数料の額、苦情の申出先等について、少なくとも国保組合のホームページへの掲載のほか、パンフレットの配布、掲示板への掲示・備付け、公告等により情ホームページへの掲載のほか、パンフレットの配布、掲示板への掲示・備付け、公告等により情報提供先をできるだけ明らかにするとともに、被保険者からの要望により書面を交付したり、問報提供先をできるだけ明らかにするとともに、被保険者からの要望により書面を交付したり、問合せ があった場合に具体的内容について回答できる体制を確保する。
い合わせ があった場合に具体的内容について回答できる体制を確保する。
１０．本人からの 請求 による保有個人データの開示（法 第２８条 ）７．本人からの 求め による保有個人データの開示（法 第２５条 ）（開示）
法 第二十八条 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの開示を請求することができる。
２ 個人情報取扱事業者は、前項の規定による請求を受けた ときは、本人に対し、政令で定める方法により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示すること
により次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
一 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
二 当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
三 他の法令に違反することとなる場合

（開示）
（新設）

３

法 第二十五条 個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの開示（当該本人が識別される保有個人データが存在しないときにその旨を知らせることを含む。以下同じ。）を求められた ときは、本人に対し、政令で定める方法により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する
場合は、その全部又は一部を開示しないことができる。
一 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
二 当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
三 他の法令に違反することとなる場合
２ 個人情報取扱事業者は、前項の規定に基づき求められた 保有個人データの全部又は一部について開示しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならな

個人情報取扱事業者は、第一項の規定による請求に係る 保有個人データの全部又は一部について開示しない旨の決定をしたとき 又は当該保有個人データが存在しないとき は、本人に対し、38

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

遅滞なく、その旨を通知しなければならない。
４ 他の法令の規定により、本人に対し 第二項本文 に規定する方法に相当する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている場合には、当該全部又は一部の保有個人データについては、第一項及び第二項 の規定は、適用しない。

い。
３ 他の法令の規定により、本人に対し 第一項本文 に規定する方法に相当する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている場合には、当該全部又は一部の保有個人データについては、同項の 規定は、適用しない。

（個人情報取扱事業者が保有個人データを開示する方法）
令 第九条 法 第二十八条第二項 の政令で定める方法は、書面の交付による方法（開示の 請求 を行った者が同意した方法があるときは、当該方法）とする。

（個人情報取扱事業者が保有個人データを開示する方法）
令 第六条 法 第二十五条第一項 の政令で定める方法は、書面の交付による方法（開示の 求め を行った者が同意した方法があるときは、当該方法）とする。

（１）開示の原則（１）開示の原則
国保組合は、本人から、当該本人が識別される保有個人データの 開示の請求を受けた ときは、
国保組合は、本人から、当該本人が識別される保有個人データの 開示を求められた ときは、本本人に対し、書面の交付による方法等により、遅滞なく、当該保有個人データを開示しなければな
人に対し、書面の交付による方法等により、遅滞なく、当該保有個人データを開示しなければなららない。
ない。
（２）開示の例外（２）開示の例外
開示することで、法 第２８条第２項 の各号のいずれかに該当する場合は、その全部又は一部を開示することで、法 第２５条第１項 の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
開示しないことができる。
なお、レセプト情報については、開示することで、法 第２８条第２項 第１号の「本人又は第三なお、レセプト情報については、開示することで、法 第２５条第１項 第１号の「本人又は第三者の権利利益を害するおそれがある」かどうかの判断は、国保組合においては容易でないため、別者の権利利益を害するおそれがある」かどうかの判断は、国保組合においては容易でないため、別に定める指針（「診療報酬明細書等の 被保険者等 への開示について」（平成１７年３月３１日保発に定める指針（「診療報酬明細書等の 被保険者 への開示について」（平成１７年３月３１日保険局
第０３３１００９号保険局長通知 ）の内容の通知）に基づき、開示に当たって、主治医 の判断を
長通知 ）の内容の通知）に基づき、開示に当たって、担当医 の判断を要するものとする。
要するものとする。
【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】
・国保組合は、本人から、当該本人が識別される保有個人データの 開示の請求を受けた ときは、・国保組合は、本人から、当該本人が識別される保有個人データの 開示を求められた ときは、本本人に対し、遅滞なく、当該保有個人データを開示しなければならない。また、当該本人が識別人に対し、遅滞なく、当該保有個人データを開示しなければならない。また、当該本人が識別さされる保有個人データが存在しないときにその旨知らせることとする。ただし、開示することにれる保有個人データが存在しないときにその旨知らせることとする。ただし、開示することによより、法 第２８条第２項 の各号のいずれかに該当する場合は、その全部又は一部を開示しないり、法 第２５条第１項 の各号のいずれかに該当する場合は、その全部又は一部を開示しないこ
ことができる。
とができる。
・Ⅱ１．に記したとおり、例えばレセプトの情報の中には、被保険者の保有個人データであって、・Ⅱ１．に記したとおり、例えばレセプトの情報の中には、被保険者の保有個人データであって、当該レセプトに係る診察をした医師の保有個人データでもあるという二面性を持つ部分が含ま
当該レセプトに係る診察をした医師の保有個人データでもあるという二面性を持つ部分が含まれるものの、そもそもレセプト全体が被保険者等の保有個人データであることから、被保険者本れるものの、そもそもレセプト全体が被保険者等の保有個人データであることから、被保険者本人から 開示の請求 があった場合に、その二面性があることを理由に全部又は一部を開示しない
人から 開示の求め があった場合に、その二面性があることを理由に全部又は一部を開示しないことはできない。ただし、法 第２８条第２項 の各号のいずれかに該当する場合には、法に従い、ことはできない。ただし、法 第２５条第１項 の各号のいずれかに該当する場合には、法に従い、その全部又は一部を開示しないことができる。
その全部又は一部を開示しないことができる。
・開示の方法は、書面の交付又は 請求 を行った者が同意した方法による。
・開示の方法は、書面の交付又は 求め を行った者が同意した方法による。
・国保組合は、請求を受けた 保有個人データの全部又は一部について開示しない旨を決定したと・国保組合は、求められた 保有個人データの全部又は一部について開示しない旨を決定したとき
きは、本人に対し、遅滞なく、その旨を通知しなければならない。また、本人に通知する場合には、本人に対し、遅滞なく、その旨を通知しなければならない。また、本人に通知する場合には、は、本人に対してその理由を説明するよう努めなければならない（Ⅲ１３．参照）。
本人に対してその理由を説明するよう努めなければならない（Ⅲ１０．参照）。
・他の法令の規定により、保有個人データの開示について定めがある場合には、当該法令の規定に・他の法令の規定により、保有個人データの開示について定めがある場合には、当該法令の規定に39

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表よるものとする。

よるものとする。

【その他の事項】【その他の事項】
・法定代理人等、開示の請求 を行い得る者から 開示の請求 があった場合、原則として被保険者本・法定代理人等、開示の求め を行い得る者から 開示の求め があった場合、原則として被保険者本人に対し保有個人データの開示を行う旨の説明を行った後、法定代理人等に対して開示を行うも人に対し保有個人データの開示を行う旨の説明を行った後、法定代理人等に対して開示を行うも
のとする。
のとする。
・国保組合は、保有個人データの全部又は一部について開示しない旨決定した場合、本人に対する・国保組合は、保有個人データの全部又は一部について開示しない旨決定した場合、本人に対するその理由の説明に当たっては、文書により示すことを基本とする。また、苦情への対応体制につその理由の説明に当たっては、文書により示すことを基本とする。また、苦情への対応体制についても併せて説明することが望ましい。
いても併せて説明することが望ましい。
１１．訂正及び利用停止（法 第２９条、第３０条 ）８．訂正及び利用停止（法 第２６条、第２７条 ）（訂正等）
法 第二十九条 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの内容が事実でないときは、当該保有個人データの内容の訂正、追加又は削除（以下この条において「訂正等」という。
）を請求することができる。
２ 個人情報取扱事業者は、前項の規定による請求を受けた 場合には、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。

（訂正等）
（新設）

法 第二十六条 個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの内容が事実でないという理由によって当該保有個人データの内容の訂正、追加又は削除（以下この条において「訂正等」という。）を求められた 場合には、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。
２ 個人情報取扱事業者は、前項の規定に基づき求められた 保有個人データの内容の全部若しく
は一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。
）を通知しなければならない。
（利用停止等）（新設）

３

個人情報取扱事業者は、第一項の規定による請求に係る 保有個人データの内容の全部若しく
は一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を通知しなければならない。
（利用停止等）法 第三十条 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第十六条の規定に違反して取り扱われているとき又は第十七条の規定に違反して取得されたものであるときは、当該保有個人データの利用の停止又は消去（以下この条において「利用停止等」という。
）を請求することができる。
２ 個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求 に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護する
ため必要なこれに代わるべき措置をとるときは、この限りでない。

法 第二十七条 個人情報取扱事業者は、本人から、当該本人が識別される保有個人データが第十六条の規定に違反して取り扱われているという理由又は第十七条の規定に違反して取得されたものであるという理由によって、当該保有個人データの利用の停止又は消去（以下この条において「利用停止等」という。）を求められた場合であって、その求め に理由があることが判明した
ときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
（新設）

３

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第二十三条第一
項又は第二十四条の規定に違反して第三者に提供されているときは、当該保有個人データの第三40

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

者への提供の停止を請求することができる。
４ 個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求 に理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

２

個人情報取扱事業者は、本人から、当該本人が識別される保有個人データが第二十三条第一項の規定に違反して第三者に提供されているという理由によって、当該保有個人データの第三者への提供の停止を求められた場合であって、その求め に理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止する
ことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとる
ときは、この限りでない。
３ 個人情報取扱事業者は、第一項の規定に基づき求められた 保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は前項の規定に基づき求められた 保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

５ 個人情報取扱事業者は、第一項の規定による請求に係る 保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は 第三項の規定による請求に係る 保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】
・国保組合は、法 第２９条第２項、第３０条第２項又は第４項 の規定に基づき、本人から、保有・国保組合は、法 第２６条、第２７条第１項又は第２項 の規定に基づき、本人から、保有個人デ個人データの訂正等、利用停止等、第三者への提供の停止 の請求を受けた 場合で、それらの 請ータの訂正等、利用停止等、第三者への提供の停止 を求められた 場合で、それらの 求め が適正
求 が適正であると認められるときは、これらの措置を行わなければならない。
であると認められるときは、これらの措置を行わなければならない。
・ただし、利用停止等及び第三者への提供の停止については、利用停止等に多額の費用を要する場
・ただし、利用停止等及び第三者への提供の停止については、利用停止等に多額の費用を要する場
合など当該措置を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに合など当該措置を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
代わるべき措置をとるときは、この限りでない。
・なお、以下の場合については、これらの措置を行う必要はない。
・なお、以下の場合については、これらの措置を行う必要はない。
①訂正等の 求め があった場合であっても、(ｱ)利用目的から見て訂正等が必要でない場合、(ｲ)誤①訂正等の 請求 があった場合であっても、(ｱ)利用目的から見て訂正等が必要でない場合、(ｲ)誤りである指摘が正しくない場合又は(ｳ)訂正等の対象が事実でなく評価に関する情報である場りである指摘が正しくない場合又は(ｳ)訂正等の対象が事実でなく評価に関する情報である場
合合②利用停止等、第三者への提供の停止の 請求 があった場合であっても、手続違反等の指摘が正②利用停止等、第三者への提供の停止の 求め があった場合であっても、手続違反等の指摘が正しくない場合しくない場合・国保組合は、上記の措置を行ったとき、又は行わない旨を決定したときは、本人に対し、遅滞な・国保組合は、上記の措置を行ったとき、又は行わない旨を決定したときは、本人に対し、遅滞なく、その旨（訂正の内容を含む）を通知しなければならない。また、本人に通知する場合には、く、その旨（訂正の内容を含む）を通知しなければならない。また、本人に通知する場合には、本人に対してその理由を説明するよう努めなければならない（Ⅲ１３．参照）。
本人に対してその理由を説明するよう努めなければならない（Ⅲ１０．参照）。
【その他の事項】【その他の事項】
・国保組合は、訂正等、利用停止等又は第三者への提供の停止 の請求を受けた 保有個人データの・国保組合は、訂正等、利用停止等又は第三者への提供の停止 が求められた 保有個人データの全
全部又は一部について、これらの措置を行わない旨決定した場合、本人に対するその理由の説明
部又は一部について、これらの措置を行わない旨決定した場合、本人に対するその理由の説明にに当たっては、文書により示すことを基本とする。その際は、苦情への対応体制についても併せ当たっては、文書により示すことを基本とする。その際は、苦情への対応体制についても併せてて説明することが望ましい。
説明することが望ましい。
・保有個人データの訂正等にあたっては、訂正した者、内容、日時等が分かるように行われなけれ・保有個人データの訂正等にあたっては、訂正した者、内容、日時等が分かるように行われなければならない。
ばならない。
・保有個人データの字句などを不当に変える改ざんは、行ってはならない。
・保有個人データの字句などを不当に変える改ざんは、行ってはならない。

41

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

１２．開示等の 請求等 に応じる手続及び手数料（法 第３２条、第３３条 ）９．開示等の 求め に応じる手続及び手数料（法 第２９条、第３０条 ）（開示等の 請求等 に応じる手続）
法 第三十二条 個人情報取扱事業者は、第二十七条第二項の規定による求め又は第二十八条第一項、第二十九条第一項若しくは第三十条第一項若しくは第三項の規定による請求 （以下この条及び第五十三条第一項 において「開示等の請求等 」という。）に関し、政令で定めるところにより、その求め 又は請求 を受け付ける方法を定めることができる。この場合において、本人は、当該方法に従って、開示等の請求等 を行わなければならない。

（開示等の 求め に応じる手続）
法 第二十九条 個人情報取扱事業者は、第二十四条第二項、第二十五条第一項、第二十六条第一
項又は第二十七条第一項若しくは第二項の規定による求め （以下この条において「開示等の求め 」という。）に関し、政令で定めるところにより、その求めを受け付ける方法を定めることができる。この場合において、本人は、当該方法に従って、開示等の求め を行わなければならな
い。

２

個人情報取扱事業者は、本人に対し、開示等の請求等 に関し、その対象となる保有個人デー
タを特定するに足りる事項の提示を求めることができる。この場合において、個人情報取扱事業者は、本人が容易かつ的確に 開示等の請求等 をすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。
３ 開示等の請求等 は、政令で定めるところにより、代理人によってすることができる。
４ 個人情報取扱事業者は、前三項の規定に基づき 開示等の請求等 に応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。
（手数料）
法 第三十三条 個人情報取扱事業者は、第二十七条第二項 の規定による利用目的の通知 を求められたとき 又は 第二十八条第一項 の規定による開示 の請求を受けた ときは、当該措置の実施に関し、手数料を徴収することができる。
２ 個人情報取扱事業者は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。

２ 個人情報取扱事業者は、本人に対し、開示等の求め に関し、その対象となる保有個人データを特定するに足りる事項の提示を求めることができる。この場合において、個人情報取扱事業者
は、本人が容易かつ的確に 開示等の求め をすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。
３ 開示等の求め は、政令で定めるところにより、代理人によってすることができる。
４ 個人情報取扱事業者は、前三項の規定に基づき 開示等の求め に応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。
（手数料）
法 第三十条 個人情報取扱事業者は、第二十四条第二項 の規定による利用目的の通知又は 第二十五条第一項 の規定による開示 を求められた ときは、当該措置の実施に関し、手数料を徴収することができる。
２ 個人情報取扱事業者は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。

（開示等の請求等 を受け付ける方法）
令 第十条 法 第三十二条第一項 の規定により個人情報取扱事業者が 開示等の請求等 を受け付ける方法として定めることができる事項は、次に掲げるとおりとする。
一 開示等の請求等の 申出先
二 開示等の請求等 に際して提出すべき書面（電磁的記録 を含む。第十四条第一項及び第二十一条第三項において同じ。）の様式その他の 開示等の請求等 の方式（開示等の求め を受け付ける方法）
令 第七条 法 第二十九条第一項 の規定により個人情報取扱事業者が 開示等の求め を受け付ける方法として定めることができる事項は、次に掲げるとおりとする。
一 開示等の求めの 申出先
二 開示等の求め に際して提出すべき書面（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られる記録 を含む。）の様式その他の 開示等の求め の方式
三 開示等の求め をする者が本人又は次条に規定する代理人であることの確認の方法
四 法 第三十条第一項 の手数料の徴収方法（開示等の求め をすることができる代理人）
令 第八条 法 第二十九条第三項 の規定により 開示等の求め をすることができる代理人は、次に掲げる代理人とする。
一 未成年者又は成年被後見人の法定代理人
二 開示等の求め をすることにつき本人が委任した代理人

三 開示等の請求等 をする者が本人又は次条に規定する代理人であることの確認の方法
四 法 第三十三条第一項 の手数料の徴収方法（開示等の請求等 をすることができる代理人）
令 第十一条 法 第三十二条第三項 の規定により 開示等の請求等 をすることができる代理人は、次に掲げる代理人とする。
一 未成年者又は成年被後見人の法定代理人
二 開示等の請求等 をすることにつき本人が委任した代理人（１）開示等を行う情報の特定（１）開示等を行う情報の特定国保組合は、本人に対し、開示等の請求等 に関して、その対象となる保有個人データを特定する国保組合は、本人に対し、開示等の求め に関して、その対象となる保有個人データを特定するに
42

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表に足りる事項の提示を求めることができるが、この場合には、本人が容易かつ的確に 開示等の請求
等 をすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した措置をとらなければならない。
また、保有個人データの開示等については、本人の請求等 により、保有個人データの全体又は一部が対象となるが、当該本人の保有個人データが多岐にわたる、データ量が膨大であるなど、全体の開示等が困難又は非効率な場合、国保組合は、本人が 開示等の請求等 を行う情報の範囲を特定するのに参考となる情報を提供するなど、本人の利便を考慮した支援を行うものとする。

足りる事項の提示を求めることができるが、この場合には、本人が容易かつ的確に 開示等の求めをすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した措置をとらなければならない。
また、保有個人データの開示等については、本人の求め により、保有個人データの全体又は一部が対象となるが、当該本人の保有個人データが多岐にわたる、データ量が膨大であるなど、全体の開示等が困難又は非効率な場合、国保組合は、本人が 開示等の求め を行う情報の範囲を特定するのに参考となる情報を提供するなど、本人の利便を考慮した支援を行うものとする。

（２）代理人による 開示等の請求等（２）代理人による 開示等の求め
保有個人データの開示等については、本人のほか、①未成年者又は成年被後見人の法定代理人、保有個人データの開示等については、本人のほか、①未成年者又は成年被後見人の法定代理人、②開示等の請求等 をすることにつき本人が委任した代理人により行うことができる。
②開示等の求め をすることにつき本人が委任した代理人により行うことができる。
【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】
・国保組合は、保有個人データの 開示等の請求等 に関し、本人に過重な負担を課すものとならな・国保組合は、保有個人データの 開示等の求め に関し、本人に過重な負担を課すものとならない
い範囲において、以下の事項について、その請求 を受け付ける方法を定めることができる。
範囲において、以下の事項について、その求め を受け付ける方法を定めることができる。
(ｱ)開示等の請求等 の受付先(ｱ)開示等の求め の受付先(ｲ)開示等の請求等 に際して提出すべき書面の様式、その他の 開示等の請求等 の受付方法(ｲ)開示等の求め に際して提出すべき書面の様式、その他の 開示等の求め の受付方法(ｳ)開示等の請求等 をする者が本人又はその代理人であることの確認の方法(ｳ)開示等の求め をする者が本人又はその代理人であることの確認の方法(ｴ)保有個人データの利用目的の通知、又は保有個人データの開示をする際に徴収する手数料の(ｴ)保有個人データの利用目的の通知、又は保有個人データの開示をする際に徴収する手数料の
徴収方法
徴収方法
・国保組合は、本人に対し、開示等の請求等 に関して、その対象となる保有個人データを特定する・国保組合は、本人に対し、開示等の求め に関して、その対象となる保有個人データを特定するにに足りる事項の提示を求めることができるが、この場合には、本人が容易かつ的確に 開示等の請足りる事項の提示を求めることができるが、この場合には、本人が容易かつ的確に 開示等の求め
求等 をすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利をすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した措置をとらなければならない。
便を考慮した措置をとらなければならない。
・保有個人データの 開示等の求め は、本人のほか、未成年者又は成年被後見人の法定代理人、当・保有個人データの 開示等の請求等 は、本人のほか、未成年者又は成年被後見人の法定代理人、当該請求等 をすることにつき本人が委任した代理人によってすることができる。
該求め をすることにつき本人が委任した代理人によってすることができる。
・国保組合等は、保有個人データの利用目的の通知 を求められたとき 、又は保有個人データの開・国保組合等は、保有個人データの利用目的の通知、又は保有個人データの開示を 求められたとき示を 請求されたとき は、当該措置の実施に関し、手数料を徴収することができ、その際には実は、当該措置の実施に関し、手数料を徴収することができ、その際には実費を勘案して合理的であると認められる範囲内において、手数料の額を定めなければならない。
費を勘案して合理的であると認められる範囲内において、手数料の額を定めなければならない。
【その他の事項】【その他の事項】
・国保組合は、以下の点に留意しつつ、保有個人データの開示の手続を定めることが望ましい。
・国保組合は、以下の点に留意しつつ、保有個人データの開示の手続を定めることが望ましい。
－開示等の求め の方法は書面によることが望ましいが、被保険者の 自由な求め を阻害しないた－開示等の請求等 の方法は書面によることが望ましいが、被保険者の 自由な請求等 を阻害しな
いため、開示等を 請求する 理由を要求することは不適切である。
め、開示等を 求める 理由を要求することは不適切である。
－開示等を 請求する 者が本人（又はその代理人）であることを確認する。
－開示等を 求める 者が本人（又はその代理人）であることを確認する。
－レセプト情報について 開示等の請求等 があった場合、医療機関に確認した上で、速やかに保－レセプト情報について 開示等の求め があった場合、医療機関に確認した上で、速やかに保有
有個人データの開示等を決定し、これを 開示の請求等 を行った者に通知する。
個人データの開示等を決定し、これを 開示の求め を行った者に通知する。
－保有個人データの開示に当たり、法第２８条第２項 各号に該当する可能性がある場合には、開－保有個人データの開示に当たり、法第２５条第１項 各号に該当する可能性がある場合には、開示の可否について検討するために設置した検討委員会等において検討した上で、速やかに開示示の可否について検討するために設置した検討委員会等において検討した上で、速やかに開示の可否を決定することが望ましい。
の可否を決定することが望ましい。
－保有個人データの開示を行う場合には、本人に過重な負担を課すものとならない範囲で、日時、－保有個人データの開示を行う場合には、本人に過重な負担を課すものとならない範囲で、日時、43

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

場所、方法等を指定することができる。
・代理人等、開示の求め を行い得る者から 開示の求め があった場合、原則として被保険者に対し保有個人データの開示を行う旨の説明を行った後、開示の求め を行った者に対して開示を行う
ものとする。
・代理人等からの 求め があった場合で、①本人による具体的意思を把握できない包括的な委任に基づく請求、②開示等の請求が行われる相当以前に行われた委任に基づく請求が行われた場合には、本人への説明に際し、開示の求め を行った者及び開示する個人データの内容について十分説
明し、本人の意思を確認するとともに代理人の求めの適正性、開示の範囲等について本人の意思を踏まえた対応を行うものとする。

場所、方法等を指定することができる。
・代理人等、開示の請求等 を行い得る者から 開示の請求等 があった場合、原則として被保険者に対し保有個人データの開示を行う旨の説明を行った後、開示の請求等 を行った者に対して開示を行うものとする。
・代理人等からの 請求等 があった場合で、①本人による具体的意思を把握できない包括的な委任に基づく請求、②開示等の請求が行われる相当以前に行われた委任に基づく請求が行われた場合には、本人への説明に際し、開示の請求等 を行った者及び開示する個人データの内容について十分説明し、本人の意思を確認するとともに代理人の求めの適正性、開示の範囲等について本人の意思を踏まえた対応を行うものとする。
１３．理由の説明、事前の請求、苦情の処理（法第３１条、第３４条～第３５条）

１０．理由の説明、苦情処理（法第２８条、第３１条）（理由の説明）
法 第三十一条 個人情報取扱事業者は、第二十七条第三項、第二十八条第三項、第二十九条第三項又は前条第五項 の規定により、本人から 求められ、又は請求され た措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合
は、本人に対し、その理由を説明するよう努めなければならない。
（事前の請求）法第三十四条 本人は、第二十八条第一項、第二十九条第一項又は第三十条第一項若しくは第三項の規定による請求に係る訴えを提起しようとするときは、その訴えの被告となるべき者に対し、あらかじめ、当該請求を行い、かつ、その到達した日から二週間を経過した後でなければ、その訴えを提起することができない。ただし、当該訴えの被告となるべき者がその請求を拒んだときは、この限りでない。
２ 前項の請求は、その請求が通常到達すべきであった時に、到達したものとみなす。
３ 前二項の規定は、第二十八条第一項、第二十九条第一項又は第三十条第一項若しくは第三項の規定による請求に係る仮処分命令の申立てについて準用する。
（個人情報取扱事業者による苦情の処理）法 第三十五条 個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
２ 個人情報取扱事業者は、前項の目的を達成するために必要な体制の整備に努めなければならない。

（理由の説明）
法 第二十八条 個人情報取扱事業者は、第二十四条第三項、第二十五条第二項、第二十六条第二項又は前条第三項 の規定により、本人から 求められた 措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、その理由を説明するよう努めなければならない。
（新設）（個人情報取扱事業者による苦情の処理）法 第三十一条 個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
２ 個人情報取扱事業者は、前項の目的を達成するために必要な体制の整備に努めなければならない。

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】
・国保組合は、本人から求められた保有個人データの利用目的の 通知、又は本人から請求された開・国保組合は、本人から求められた保有個人データの利用目的の 通知、開示、訂正等、利用停止等
示、訂正等、利用停止等において、その措置をとらない旨又はその措置と異なる措置をとる旨本において、その措置をとらない旨又はその措置と異なる措置をとる旨本人に通知する場合は、本人に対して、その理由を説明するよう努めなければならない。また、苦情への対応体制について人に通知する場合は、本人に対して、その理由を説明するよう努めなければならない。また、苦も併せて説明しなければならない。
情への対応体制についても併せて説明しなければならない。
・国保組合は、個人情報の取扱いに関する苦情の適切かつ迅速な対応に努めなければならない。ま・国保組合は、個人情報の取扱いに関する苦情の適切かつ迅速な対応に努めなければならない。また、国保組合は、苦情の適切かつ迅速な対応を行うにあたり、苦情への対応窓口の設置や苦情へた、国保組合は、苦情の適切かつ迅速な対応を行うにあたり、苦情への対応窓口の設置や苦情への対応の手順を定めるなど必要な体制の整備に努めなければならない。
の対応の手順を定めるなど必要な体制の整備に努めなければならない。
44

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表【その他の事項】【その他の事項】
・国保組合は、本人に対して理由を説明する際には、文書により示すことを基本とする。その際は、 ・国保組合は、本人に対して理由を説明する際には、文書により示すことを基本とする。その際は、苦情への対応の体制についても併せて説明することが望ましい。
苦情への対応の体制についても併せて説明することが望ましい。
・国保組合は、被保険者からの苦情への対応にあたり、専用の窓口の設置など、被保険者が相談を・国保組合は、被保険者からの苦情への対応にあたり、専用の窓口の設置など、被保険者が相談を行いやすい環境の整備に努める。
行いやすい環境の整備に努める。
・国保組合は、被保険者からの苦情への対応体制等について国保組合のホームページへの掲載、パ・国保組合は、被保険者からの苦情への対応体制等について国保組合のホームページへの掲載、パンフレットの配布、掲示板への掲示・備付け、公告等を行うことで被保険者に対して周知するこンフレットの配布、掲示板への掲示・備付け、公告等を行うことで被保険者に対して周知することが望ましい。
とが望ましい。
Ⅳ ガイダンス の見直し等
Ⅳ ガイドライン の見直し等
１．必要に応じた見直し
１．必要に応じた見直し
個人情報の保護に関する考え方は、社会情勢や国民の意識の変化に対応して変化していくものと個人情報の保護に関する考え方は、社会情勢や国民の意識の変化に対応して変化していくものと考えられる。
考えられる。
このため、本ガイダンス についても必要に応じ検討及び見直しを行うものとする。
このため、本ガイドライン についても必要に応じ検討及び見直しを行うものとする。

45

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

別表１ 国保組合が保有する個人情報の例

別表１ 国保組合が保有する個人情報の例

個人情報の種類

個人情報の内容

個人情報の種類

個人情報の内容

被保険者適用情報

記号・番号、氏名、生年月日、性別、住所、電話番号、職種、被保険者の員番、被保険者の整理番号、資格区分、資格取得日、資格取得事由、資格喪失日、資格喪失事由、資格変更事由、取得前・喪失後保険者名、取得前・喪失後保険者保険者記号番号、組合員の世帯に属する者（家族）の続柄、マル学(学校名・卒業予定日)・マル遠(事由・住所)に係る情報、家族の職業、家族の使用される事業所名、家族の医療保険適用状況、所属団体に係る情報、支部及び班情報、外国人の在留資格・在留期間、労働保険の適用情報、雇用形態(事業主・従業員数)、従業員(雇用労働者・専従者・家族従業員)、一人親方(手間受け・外注扱い)、事業所の状況(事業所の形態＝株式会社・有限会社・合資会社・合名会社・個人事業所・一人親方)、事業所番号、事業所の名称・所在地・電話番号、事業主の氏名、事業所関係異動日情報、事業所関係異動事由情報、健康保険適用除外承認日、厚生年金保険資格取得日、厚生年金保険資格喪失日、組合特定被保険者該当日、組合特定被保険者解除日、組合特定被保険者異動事
由、保険料減免措置、保険料減免理由、特定疾病療養(認定疾病名・認定
医療機関名称・認定医師名)、標準負担額減額認定、長期入院該当日、限度額適用認定(一定以上所得者を特定)、低所得区分(非課税世帯のⅠ又はⅡ区分)、前期高齢者該当、老人保健該当、寝たきり老人該当、福祉医療の適用(乳児・障害・母子・戦傷病者等)情報、介護第２号適用除外 、個人番号、被保険者枝番

被保険者適用情報

記号・番号、氏名、生年月日、性別、住所、電話番号、職種、被保険者の員番、被保険者の整理番号、資格区分、資格取得日、資格取得事由、資格喪失日、資格喪失事由、資格変更事由、取得前・喪失後保険者名、取得前・喪失後保険者保険者記号番号、組合員の世帯に属する者（家族）の続柄、マル学(学校名・卒業予定日)・マル遠(事由・住所)に係る情報、家族の職業、家族の使用される事業所名、家族の医療保険適用状況、所属団体に係る情報、支部及び班情報、外国人の在留資格・在留期間、労働保険の適用情報、雇用形態(事業主・従業員数)、従業員(雇用労働者・専従者・家族従業員)、一人親方(手間受け・外注扱い)、事業所の状況(事業所の形態＝株式会社・有限会社・合資会社・合名会社・個人事業所・一人親方)、事業所番号、事業所の名称・所在地・電話番号、事業主の氏名、事業所関係異動日情報、事業所関係異動事由情報、健康保険適用除外承認日、厚生年金保険資格取得日、厚生年金保険資格喪失日、組合特定被保険者該当日、組合特定被保険者解除日、組合特定被保険者異動事
由、保険料減免措置、保険料減免理由、特定疾病療養(認定疾病名・認定
医療機関名称・認定医師名)、標準負担額減額認定、長期入院該当日、限度額適用認定(一定以上所得者を特定)、低所得区分(非課税世帯のⅠ又はⅡ区分)、前期高齢者該当、老人保健該当、寝たきり老人該当、福祉医療の適用(乳児・障害・母子・戦傷病者等)情報、介護第２号適用除外

被 保 険 者 レ セ プ ト 診療区分、保険者番号、記号・番号、給付割合、診療年月、府県コード、
情報
医療機関コード、氏名、性別、生年月日、特記事項、職務上の事由、医療 機関の所在地及び名称、診療科、傷病名、診療開始日、転帰、診療実日数、決定点数、公費点数、一部負担金額、患者負担金額、外来負担金額、入院負担金額、マルコ金額、処方薬剤薬局名、処方月日、数量、調剤料、調剤報酬、調剤点数、調剤請求点数、薬剤負担金額、薬剤負担金
額公費分、食事療養日数、食事療養日数公費分、食事療養決定額、食事療養決定額公費分、食事療養標準負担額、食事療養標準負担額公費分、診療内容、画像（レセプト画像）、福祉医療(乳児・障害・母子・戦傷病者等)、公費番号、市町村番号被 保 険 者 レ セ プ ト 診療区分、保険者番号、記号・番号、給付割合、診療年月、府県コード、
情報
医療機関コード、氏名、性別、生年月日、特記事項、職務上の事由、医療 機関の所在地及び名称、診療科、傷病名、診療開始日、転帰、診療実日数、決定点数、公費点数、一部負担金額、患者負担金額、外来負担金額、入院負担金額、マルコ金額、処方薬剤薬局名、処方月日、数量、調剤料、調剤報酬、調剤点数、調剤請求点数、薬剤負担金額、薬剤負担金
額公費分、食事療養日数、食事療養日数公費分、食事療養決定額、食事療養決定額公費分、食事療養標準負担額、食事療養標準負担額公費分、診療内容、画像（レセプト画像）、福祉医療(乳児・障害・母子・戦傷病者等)、公費番号、市町村番号

給付調整事務情報

給付調整事務情報

記号・番号 、被保険者氏名、性別、住所、生年月日、電話番号、職業、組合員との続柄、勤務先名称・所在地・電話番号、労働保険適用情報、加害者又は損害賠償義務を負う者の氏名、性別、住所、生年月日、電話番号、職業、勤務先名称・所在地・電話番号、事故発生日時、事故発生
場所、事故発生理由、事故発生当事の状況、被害の程度、示談成立の有
無、示談成立日、示談金受領日、受領金額、示談不成立理由、診療を受けた医療機関、医師氏名、診療（見込）期間、過失割合、症状固定日、46

被保険者証記号・番号 、被保険者氏名、性別、住所、生年月日、電話番
号、職業、組合員との続柄、勤務先名称・所在地・電話番号、労働保険
適用情報、加害者又は損害賠償義務を負う者の氏名、性別、住所、生年月日、電話番号、職業、勤務先名称・所在地・電話番号、事故発生日時、事故発生場所、事故発生理由、事故発生当事の状況、被害の程度、示談成立の有無、示談成立日、示談金受領日、受領金額、示談不成立理由、診療を受けた医療機関、医師氏名、診療（見込）期間、過失割合、症状

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

自賠責保険（共済）及び任意保険（共済）の加入有無、保険会社名・所
在地・電話番号、担当者氏名、証書番号、契約者氏名、契約者住所、契約者電話番号、契約期間、車種、自動車登録番号、車台番号、目撃者の住所・氏名・電話番号、人身事故証明書入手不能理由、分割納付の理由、分割納付期間、分割納付回数

固定日、自賠責保険（共済）及び任意保険（共済）の加入有無、保険会
社名・所在地・電話番号、担当者氏名、証書番号、契約者氏名、契約者
住所、契約者電話番号、契約期間、車種、自動車登録番号、車台番号、
目撃者の住所・氏名・電話番号、人身事故証明書入手不能理由、分割納付の理由、分割納付期間、分割納付回数

被 保 険 者 健 康 診 断 記号・番号、被保険者（組合員及びその家族）氏名および住所、生年月
情報
日、電話番号、受診費用、健診別給種コード,健診未実施項目、健診種目
名、健診受診日、健診機関名、健診機関所在地、画像（レントゲン写真）、
相談・指導内容、所見、保健師・看護師名、緊急薬・常備薬購入記録、疾病既往歴、家族既往歴、心電図、眼底写真、嗜好(たばこ・酒)被 保 険 者 健 康 診 断 記号・番号、被保険者（組合員及びその家族）氏名および住所、生年月
情報
日、電話番号、受診費用、健診別給種コード,健診未実施項目、健診種目
名、健診受診日、健診機関名、健診機関所在地、画像（レントゲン写真）、
相談・指導内容、所見、保健師・看護師名、緊急薬・常備薬購入記録、疾病既往歴、家族既往歴、心電図、眼底写真、嗜好(たばこ・酒)被 保 険 者 現 金 給 付 記号・番号、氏名、生年月日、住所、電話番号、振込口座、受診医療機
情報
関名、受診年月、傷病名、医療費、装具装着日、装具購入費用、前年度所得（非課税者のみ）、移送費用、移送先、移送方法、証明先医療機関名、労務不能期間、労務不能期間に受けた給与、労務不能期間の出勤状況、
出産（予定）日、分娩の種類、出生児数、出生児名、続柄、死亡年月日、死亡原因（病名）、除籍謄本記載内容、埋葬に要した費用、葬祭執行日、請求者氏名・住所・電話番号・振込口座

被 保 険 者 現 金 給 付 記号・番号、氏名、生年月日、住所、電話番号、振込口座、受診医療機
情報
関名、受診年月、傷病名、医療費、装具装着日、装具購入費用、前年度所得（非課税者のみ）、移送費用、移送先、移送方法、証明先医療機関名、労務不能期間、労務不能期間に受けた給与、労務不能期間の出勤状況、
出産（予定）日、分娩の種類、出生児数、出生児名、続柄、死亡年月日、死亡原因（病名）、除籍謄本記載内容、埋葬に要した費用、葬祭執行日、請求者氏名・住所・電話番号・振込口座被保険者柔道整復、 記号・番号、氏名、住所、生年月日、施術者名、施術年月、施術金額、
はり・きゅう、マッ 傷病名、部位、施術者の所属団体の名称・所在地・電話番号・団体代表者、振込先口座
サージ施術情報

被保険者柔道整復、 記号・番号、氏名、住所、生年月日、施術者名、施術年月、施術金額、
はり・きゅう、マッ 傷病名、部位、施術者の所属団体の名称・所在地・電話番号・団体代表者、振込先口座
サージ施術情報47

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表

別表２ 国保組合の通常の業務で想定される主な利用目的

別表２ 国保組合の通常の業務で想定される主な利用目的

１．被保険者に対する保険給付に必要な利用目的〔国保組合の内部での利用に係る事例〕
・保険給付及び付加給付の実施〔他の事業者等への情報提供を伴う事例〕
・高額療養費及び一部負担金還元金等の自動払い
・海外療養費に係る翻訳のための外部委託
・第三者行為に係る損保会社等への求償
２．保険料の徴収等に必要な利用目的〔国保組合の内部での利用に係る事例〕
・被保険者資格の確認 ・保険料の徴収
・組合員の世帯に属する者（家族）の認定
・被保険者証の発行〔他の事業者等への情報提供を伴う事例〕
・被保険者の資格等のデータ処理の外部委託
３．保健事業に必要な利用目的〔国保組合の内部での利用に係る事例〕
・健康の保持・増進のための健診、保健指導及び健康相談
・健康増進施設（保養所等）の運営〔他の事業者等への情報提供を伴う事例〕
・保健指導、健康相談に係る産業医への委託
・医療機関への健診の委託
・健康増進施設(保養所等)の運営の委託
・健診結果の事業者への提供
・被保険者への医療費通知
４．診療報酬の審査・支払に必要な利用目的〔国保組合の内部での利用に係る事例〕
・診療報酬明細書(レセプト)等の内容点検・審査〔他の事業者等への情報提供を伴う事例〕
・レセプトデータの内容点検・審査の委託
・レセプトデータの電算処理のための入力、画像取込み処理の委託
５．国保組合の運営の安定化に必要な利用目的〔国保組合の内部での利用に係る事例〕
・医療費分析・疾病分析〔他の事業者等への情報提供を伴う事例〕
・医療費分析及び医療費通知に係るデータ処理等の外部委託
６．その他〔国保組合の内部での利用に係る事例〕
・国保組合の管理運営業務のうち、業務の維持・改善のための基礎資料

１．被保険者に対する保険給付に必要な利用目的〔国保組合の内部での利用に係る事例〕
・保険給付及び付加給付の実施〔他の事業者等への情報提供を伴う事例〕
・高額療養費及び一部負担金還元金等の自動払い
・海外療養費に係る翻訳のための外部委託
・第三者行為に係る損保会社等への求償
２．保険料の徴収等に必要な利用目的〔国保組合の内部での利用に係る事例〕
・被保険者資格の確認 ・保険料の徴収
・組合員の世帯に属する者（家族）の認定
・被保険者証の発行〔他の事業者等への情報提供を伴う事例〕
・被保険者の資格等のデータ処理の外部委託
３．保健事業に必要な利用目的〔国保組合の内部での利用に係る事例〕
・健康の保持・増進のための健診、保健指導及び健康相談
・健康増進施設（保養所等）の運営〔他の事業者等への情報提供を伴う事例〕
・保健指導、健康相談に係る産業医への委託
・医療機関への健診の委託
・健康増進施設(保養所等)の運営の委託
・健診結果の事業者への提供
・被保険者への医療費通知
４．診療報酬の審査・支払に必要な利用目的〔国保組合の内部での利用に係る事例〕
・診療報酬明細書(レセプト)等の内容点検・審査〔他の事業者等への情報提供を伴う事例〕
・レセプトデータの内容点検・審査の委託
・レセプトデータの電算処理のための入力、画像取込み処理の委託
５．国保組合の運営の安定化に必要な利用目的〔国保組合の内部での利用に係る事例〕
・医療費分析・疾病分析〔他の事業者等への情報提供を伴う事例〕
・医療費分析及び医療費通知に係るデータ処理等の外部委託
６．その他〔国保組合の内部での利用に係る事例〕
・国保組合の管理運営業務のうち、業務の維持・改善のための基礎資料
48

国民健康保険組合における個人情報の適切な取扱いのためのガイダンス 対照表〔他の事業者等への情報提供を伴う事例〕
・第三者求償事務において、保険会社・医療機関等への相談又は届出等〔他の事業者等への情報提供を伴う事例〕
・第三者求償事務において、保険会社・医療機関等への相談又は届出等

49