○健康保険組合等における個人情報の適切な取扱いのためのガイダンス（平成 29 年４月 14 日付け個情第 538 号・保発 0414 第 18 号個人情報保護委員会事
務局長・厚生労働省保険局長通知別添）新旧対照表（下線の部分は改正部分）
改正後

改正前

目次

目次

Ⅰ

Ⅰ

本ガイダンスの趣旨、目的、基本的考え方

本ガイダンスの趣旨、目的、基本的考え方

（略）

（略）

Ⅱ

Ⅱ

用語の定義

用語の定義

１．個人情報（法第２条第１項）

１．個人情報（法第２条第１項）

２．個人識別符号（法第２条第２項）

２．個人識別符号（法第２条第２項）

３．要配慮個人情報（法第２条第３項）

３．要配慮個人情報（法第２条第３項）

４．特定個人情報（番号法第２条第８項）

４．特定個人情報（番号法第２条第８項）

５．仮名加工情報（法第２条第５項）

（新設）

（削る）

５．個人情報の匿名化

６．匿名加工情報（法第２条第６項）

６．匿名加工情報（法第２条第９項）

７．個人情報データベース等（法第１６条第１項）、個人データ（法第１７．個人情報データベース等（法第２条第４項）、個人データ（法第２条

６条第３項）、保有個人データ（法第１６条第４項）

第６項）、保有個人データ（法第２条第７項）

８．本人の同意Ⅲ

８．本人の同意

健保組合等の義務等

Ⅲ

健保組合等の義務等

１．利用目的の特定等（法第１７条、第１８条）

１．利用目的の特定等（法第１５条、第１６条）

２．不適切な利用の禁止（法第１９条）（新設）

３．利用目的の通知等（法第２１条）

２．利用目的の通知等（法第１８条）

４．個人情報の適正な取得、個人データ内容の正確性の確保（法第２０３．個人情報の適正な取得、個人データ内容の正確性の確保（法第１７1

条、第２２条）

条、第１９条）５．安全管理措置、従業者の監督及び委託先の監督（法第２３条～第２４．安全管理措置、従業者の監督及び委託先の監督（法第２０条～第２

５条）

２条）

６．漏えい等の報告等（法第２６条）（新設）

７．個人データの第三者提供（法第２７条）

５．個人データの第三者提供（法第２３条）

８．外国にある第三者への提供の制限（法第２８条）

６．外国にある第三者への提供の制限（法第２４条）

９．第三者提供に係る記録の作成等（法第２９条）

７．第三者提供に係る記録の作成等（法第２５条）

１０．第三者提供を受ける際の確認等（法第３０条）

８．第三者提供を受ける際の確認等（法第２６条）

１１．保有個人データに関する事項の公表等（法第３２条）

９．保有個人データに関する事項の公表等（法第２７条）

１２．本人からの請求による保有個人データの開示（法第３３条）

１０．本人からの請求による保有個人データの開示（法第２８条）

１３．訂正及び利用停止（法第３４条、第３５条）

１１．訂正及び利用停止（法第２９条、第３０条）

１４．開示等の請求等に応じる手続及び手数料（法第３７条、第３８１２．開示等の請求等に応じる手続及び手数料（法第３２条、第３３条）

条）

１５．理由の説明、事前の請求、苦情の処理（法第３６条、第３９条、

１３．理由の説明、事前の請求、苦情の処理（法第３１条、第３４条～

第４０条）
Ⅳ

第３５条）

ガイダンスの見直し等

Ⅳ

ガイダンスの見直し等

（略）

（略）

Ⅰ

Ⅰ

本ガイダンスの趣旨、目的、基本的考え方

１．本ガイダンスの趣旨

本ガイダンスの趣旨、目的、基本的考え方

１．本ガイダンスの趣旨

本ガイダンスは、「個人情報の保護に関する法律」（平成１５年法律第５本ガイダンスは、「個人情報の保護に関する法律」（平成１５年法律第５７号。以下「法」という。
）及び「行政手続における特定の個人を識別する７号。以下「法」という。
）及び「行政手続における特定の個人を識別するための番号の利用等に関する法律」（平成２５年法律第２７号。以下「番号ための番号の利用等に関する法律」（平成２５年法律第２７号。以下「番号法」という。
）を踏まえ、「個人情報の保護に関する法律についてのガイド法」という。）を踏まえ、「個人情報の保護に関する法律についてのガイド

ライン（通則編）」（平成２８年個人情報保護委員会告示第６号。以下「通ライン（通則編）」（平成２８年個人情報保護委員会告示第６号。以下「通2則ガイドライン」という。
）を基礎とし、法第６条及び第９条の規定に基づ

則ガイドライン」という。
）を基礎とし、法第６条及び第８条の規定に基づき、健康保険組合及び健康保険組合連合会（以下「健保組合等」という。
）

き、健康保険組合及び健康保険組合連合会（以下「健保組合等」という。
）

が行う個人情報の適正な取扱いの確保に関する活動を支援するための具体が行う個人情報の適正な取扱いの確保に関する活動を支援するための具体的な留意点・事例等を示すものである。

的な留意点・事例等を示すものである。

なお、本ガイダンスは健保組合等における実例に照らした内容であるた

なお、本ガイダンスは健保組合等における実例に照らした内容であるため、本ガイダンスに記載のない事項及び関係条文については通則ガイドラ

め、本ガイダンスに記載のない事項及び関係条文については通則ガイドラ

イン、「個人情報の保護に関する法律についてのガイドライン（外国にある

イン、「個人情報の保護に関する法律についてのガイドライン（外国にある

第三者への提供編）」（平成２８年個人情報保護委員会告示第７号）、「個人

第三者への提供編）」（平成２８年個人情報保護委員会告示第７号）、「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」（平成２８年個人情報保護委員会告示第８号）、「個人情報の記録義務編）」（平成２８年個人情報保護委員会告示第８号）及び「個人情保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報

報の保護に関する法律についてのガイドライン（匿名加工情報編）」（平成編）」（平成２８年個人情報保護委員会告示第９号）及び「個人情報の保護

２８年個人情報保護委員会告示第９号）をそれぞれ参照されたい。

に関する法律についてのガイドライン（認定個人情報保護団体編）」（令和３年個人情報保護委員会告示第７号）をそれぞれ参照されたい。
２．本ガイダンスの構成及び基本的考え方

２．本ガイダンスの構成及び基本的考え方

個人情報の取扱いについては、法第３条において、「個人情報は、個人の個人情報の取扱いについては、法第３条において、「個人情報が、個人の人格尊重の理念の下に慎重に取り扱われるべきものである」とされている

人格尊重の理念の下に慎重に取り扱われるべきものである」とされていることを踏まえ、個人情報を取り扱う全ての者は、その目的や様態を問わことを踏まえ、個人情報を取り扱う全ての者は、その目的や様態を問わず、個人情報の性格と重要性を十分認識し、その適正な取扱いを図らなけず、個人情報の性格と重要性を十分認識し、その適正な取扱いを図らなければならない。

ればならない。

医療分野は、個人情報の性質や利用方法等から、法第６条の規定に基づ

医療分野は、個人情報の性質や利用方法等から、法第６条の規定に基づ

く特に適正な取扱いの厳格な実施を確保する必要がある分野の一つである

く特に適正な取扱いの厳格な実施を確保する必要がある分野の一つである

ことから、保険診療に係る診療報酬明細書及び調剤報酬明細書（以下「レことから、保険診療に係る診療報酬明細書及び調剤報酬明細書（以下「レセプト」という。
）等を取り扱う健保組合等においては、積極的な取組が求セプト」という。）等を取り扱う健保組合等においては、積極的な取組が求3

められる。

められる。

このことを踏まえ、本ガイダンスでは、法の趣旨を踏まえ健保組合等にこのことを踏まえ、本ガイダンスでは、法の趣旨を踏まえ健保組合等における個人情報の適正な取扱いが確保されるよう、遵守すべき事項及び遵おける個人情報の適正な取扱いが確保されるよう、遵守すべき事項及び遵守することが望ましい事項をできる限り具体的に示しており、健保組合等守することが望ましい事項をできる限り具体的に示しており、健保組合等においては、法令、「個人情報の保護に関する基本方針」（平成１６年４月

においては、法令、「個人情報の保護に関する基本方針」（平成１６年４月

２日閣議決定。以下「基本方針」という。
）及び本ガイダンスの趣旨を踏ま

２日閣議決定。以下「基本方針」という。）及び本ガイダンスの趣旨を踏まえ、個人情報の適正な取扱いに取り組む必要がある。

え、個人情報の適正な取扱いに取り組む必要がある。

具体的には、健保組合等は、本ガイダンスの【法の規定により遵守すべ

具体的には、健保組合等は、本ガイダンスの【法の規定により遵守すべ

き事項等】のうち、「しなければならない」等と記載された事項について

き事項等】のうち、「しなければならない」等と記載された事項について

は、法の規定により厳格に遵守することが求められる。また、【その他の事

は、法の規定により厳格に遵守することが求められる。また、【その他の事

項】の「努めなければならない」「望ましい」等と記載された事項について項】の「努めなければならない」「望ましい」等と記載された事項について

は、法に基づく義務等ではないが、達成できるよう努めることが求められは、法に基づく義務等ではないが、達成できるよう努めることが求められる。

る。

３．本ガイダンスの対象となる「健保組合等」の範囲

３．本ガイダンスの対象となる「健保組合等」の範囲

本ガイダンスが対象としている事業者の範囲は、健康保険組合及び健康本ガイダンスが対象としている事業者の範囲は、健康保険組合及び健康保険組合連合会である。

保険組合連合会である。

ただし、医療保険分野における個人情報保護の精神は同一であることか

医療保険保険者のうち、個人情報の保護に関する法律（平成１５年法律ら、本ガイダンスの対象外となる医療保険者も本ガイダンスに十分配慮す第５７号）が適用されず、個人情報保護に関する他の法律や条例が適用さることが望ましい。

れる、市町村国民健康保険を運営する市町村等については、本ガイダンスの対象外となる。ただし、医療保険分野における個人情報保護の精神は同一であることから、これらの医療保険保険者も本ガイダンスに十分配慮することが望ましい。

なお、レセプトのパンチ（入力）・点検業務、健康保険被保険者証の作

なお、レセプトのパンチ（入力）・点検業務、健康保険被保険者証の作

成、人間ドック等の健診、保健指導など、健保組合等から委託を受けた業成、人間ドック等の健診、保健指導など、健保組合等から委託を受けた業
4

務を遂行する事業者においては、本ガイダンスのⅢ５．に沿って適切な安務を遂行する事業者においては、本ガイダンスのⅢ４．に沿って適切な安全管理措置を講ずることが求められるとともに、当該委託を行う健保組合

全管理措置を講ずることが求められるとともに、当該委託を行う健保組合

等は、業務の委託に当たり、本ガイダンスの趣旨を理解し、本ガイダンス

等は、業務の委託に当たり、本ガイダンスの趣旨を理解し、本ガイダンスに沿った対応を行う事業者を委託先として選定するとともに委託先事業者に沿った対応を行う事業者を委託先として選定するとともに委託先事業者

における個人情報の取扱いについて定期的に確認を行い、適切な運用が行における個人情報の取扱いについて定期的に確認を行い、適切な運用が行われていることを確認する等の措置を講ずる必要がある。

われていることを確認する等の措置を講ずる必要がある。

なお、健保組合等は、個人情報を提供してサービスを受ける被保険者等

なお、健保組合等は、個人情報を提供してサービスを受ける被保険者等から、適切かつ円滑な保険給付及び保健事業（以下「保険給付等」といから、適切かつ円滑な保険給付及び保健事業（以下「保険給付等」という。
）の実施が期待されており、その実施のために最善の努力を行う必要がう。）の実施が期待されており、その実施のために最善の努力を行う必要があることに鑑み、本ガイダンスの遵守を求めるものである。

あることに鑑み、本ガイダンスの遵守を求めるものである。

４．本ガイダンスの対象となる「個人情報」の範囲

４．本ガイダンスの対象となる「個人情報」の範囲

法令上「個人情報」とは、生存する個人に関する情報であり、個人情報

法令上「個人情報」とは、生存する個人に関する情報であり、個人情報取扱事業者の義務等の対象となるのは、生存する個人に関する情報に限定

取扱事業者の義務等の対象となるのは、生存する個人に関する情報に限定されている。

されている。

なお、当該被保険者及び被扶養者（以下「被保険者等」という。
）が死亡

なお、当該被保険者及び被扶養者（以下「被保険者等」という。
）が死亡した後においても、健保組合等が当該被保険者等の情報を保存している場

した後においても、健保組合等が当該被保険者等の情報を保存している場

合には、漏えい、滅失又は毀損等の防止のため、個人情報と同等の安全管

合には、漏えい、滅失又はき損等の防止のため、個人情報と同等の安全管理措置を講ずるものとする。

理措置を講ずるものとする。

５．個人情報保護委員会の権限行使との関係等

５．個人情報保護委員会の権限行使との関係等

本ガイダンス中、健保組合等が【法の規定により遵守すべき事項等】に

本ガイダンス中、健保組合等が【法の規定により遵守すべき事項等】に記載された内容のうち、健保組合等の義務とされている内容を個人情報取記載された内容のうち、健保組合等の義務とされている内容を個人情報取扱事業者としての義務を負う健保組合等が遵守しない場合、個人情報保護

扱事業者としての義務を負う健保組合等が遵守しない場合、個人情報保護委員会は、法第１４３条から第１４５条までの規定に基づき、「報告徴委員会は、法第４０条から第４２条までの規定に基づき、「報告徴収」
、「立
5

収」
、
「立入検査」
、
「指導」
、
「助言」
、
「勧告」及び「命令」を行うことがあ入検査」、「指導」、「助言」、「勧告」及び「命令」を行うことがある。

る。
また、法第１４７条第１項の規定に基づき、法第１４３条第１項の規定

また、法第４４条第１項の規定に基づき、法第４０条第１項の規定によによる権限が個人情報保護委員会から事業所管大臣に委任された場合にる権限が個人情報保護委員会から事業所管大臣に委任された場合には、厚は、厚生労働大臣が「報告徴収」及び「立入検査」を行うことができる。

生労働大臣が「報告徴収」及び「立入検査」を行うことができる。

６．健保組合等が行う措置の透明性の確保と対外的明確化

６．健保組合等が行う措置の透明性の確保と対外的明確化

（略）

（略）

７．責任体制の明確化と被保険者等窓口の設置等

７．責任体制の明確化と被保険者等窓口の設置等

（略）

（略）

８．遺族への個人情報の提供の取扱い

８．遺族への個人情報の提供の取扱い

（略）

（略）

９．他の法令等との関係

９．他の法令等との関係

（略）

（略）

1０．認定個人情報保護団体における取組

1０．認定個人情報保護団体における取組

法第４７条においては、個人情報取扱事業者等の個人情報等の適正な取法第４７条においては、個人情報取扱事業者等の個人情報等の適正な取扱いの確保を目的とする業務を行う法人等は個人情報保護委員会の認定を扱いの確保を目的とする業務を行う法人等は個人情報保護委員会の認定を受けて認定個人情報保護団体となることができることとされている。認定

受けて認定個人情報保護団体となることができることとされている。認定

個人情報保護団体となる関係団体は、傘下の健康保険組合を対象に、個人

個人情報保護団体となる関係団体は、傘下の健保組合を対象に、個人情報情報保護に係る普及・啓発を推進するほか、法の趣旨に沿った指針等を自保護に係る普及・啓発を推進するほか、法の趣旨に沿った指針等を自主的主的なルールとして定めたり、個人情報の取扱いに関する被保険者等のたなルールとして定めたり、個人情報の取扱いに関する被保険者等のためのめの相談窓口を開設したりするなど、積極的な取組を行うことが期待され相談窓口を開設するなど、積極的な取組を行うことが期待されている。

ている。
詳細については、「個人情報の保護に関する法律についてのガイドライン
6（認定個人情報保護団体編）」（令和３年個人情報保護委員会告示第７号）を参照されたい。
Ⅱ

用語の定義

Ⅱ

用語の定義

１．個人情報（法第２条第１項）

１．個人情報（法第２条第１項）

（定義）

（定義）

法第二条 この法律において「個人情報」とは、生存する個人に関する法第二条 この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。

情報であって、次の各号のいずれかに該当するものをいう。

一

当該情報に含まれる氏名、生年月日その他の記述等（文書、図画

一 当該情報に含まれる氏名、生年月日その他の記述等（文書、図画

若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他

若しくは電磁的記録（電磁的方式（電子的方式、電磁的方式その他

人の知覚によっては認識することができない方式をいう。次項第二人の知覚によっては認識することができない方式をいう。次項第二号において同じ。
）で作られる記録をいう。以下同じ。）に記載さ号において同じ。）で作られる記録をいう。第十八条第二項においてれ、若しくは記録され、又は音声、動作その他の方法を用いて表さ同じ。
）に記載され、若しくは記録され、又は音声、動作その他の方れた一切の事項（個人識別符号を除く。
）をいう。以下同じ。
）によ法を用いて表された一切の事項（個人識別符号を除く。
）をいう。以り特定の個人を識別することができるもの（他の情報と容易に照合

下同じ。）により特定の個人を識別することができるもの（他の情報することができ、それにより特定の個人を識別することができること容易に照合することができ、それにより特定の個人を識別することとなるものを含む。
）とができることとなるものを含む。
）

二

個人識別符号が含まれるもの

二 個人識別符号が含まれるもの「個人情報」とは、生存する個人に関する情報であって、当該情報に含「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日、その他の記述等により特定の個人を識別することまれる氏名、生年月日、その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定のができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができるものを含む。
）、又は個人識別符号が含まれる

個人を識別することができるものを含む。）、又は個人識別符号が含まれるものをいう。
「個人に関する情報」は、氏名、住所、性別、生年月日、顔画ものをいう。「個人に関する情報」は、氏名、性別、生年月日、顔画像等個像等個人を識別する情報に限られず、ある個人の身体、財産、職種、肩書

人を識別する情報に限られず、個人の身体、財産、職種、肩書等の属性に

等の属性に関して、事実、判断、評価を表す全ての情報であり、評価情

関して、事実、判断、評価を表す全ての情報であり、評価情報、公刊物等
7

報、公刊物等によって公にされている情報や、映像、音声による情報も含によって公にされている情報や、映像、音声による情報も含まれ、暗号化

まれ、暗号化等によって秘匿化されているか否かを問わない。

等によって秘匿化されているか否かを問わない。

また、例えばレセプトには、被保険者等について客観的に検査をしたデ

また、例えばレセプトには、被保険者等について客観的に検査をしたデータもあれば、それに対して医師が判断した傷病名、診療行為が記載されータもあれば、それに対して医師が判断した傷病名、診療行為が記載されている。これら全体が被保険者等個人に関する情報に当たるものであるている。これら全体が被保険者等個人に関する情報に当たるものであるが、あわせて、当該レセプトに係る診察をした医師の側からみると、自分が、あわせて、当該レセプトに係る診察をした医師の側からみると、自分が判断した傷病名、診療行為を書いているものでもあるので、レセプトにが判断した傷病名、診療行為を書いているものでもあるので、レセプトに氏名が明記されている場合や医療機関名から容易に特定の医師を識別でき

氏名が明記されている場合や医療機関名から容易に特定の医師を識別できる場合については、医師個人に関する情報とも言うことができる。したがる場合については、医師個人に関する情報とも言うことができる。したがって、レセプト等に記載されている情報の中には、被保険者等と医師等双って、レセプト等に記載されている情報の中には、被保険者等と医師等双方の個人情報という二面性を持っている部分もあることに留意が必要であ方の個人情報という二面性を持っている部分もあることに留意が必要である。

る。

なお、死者に関する情報が、同時に、遺族等の生存する個人に関する情

なお、死者に関する情報が、同時に、遺族等の生存する個人に関する情報でもある場合には、当該生存する個人に関する情報となる。

報でもある場合には、当該生存する個人に関する情報となる。

本ガイダンスは、健保組合等が保有する個人情報を対象とするものであ本ガイダンスは、健保組合等が保有する個人情報を対象とするものであり、個人情報データベース等（７．参照）に整理されていない場合でも個り、個人情報データベース等（７．参照）に整理されていない場合でも個人情報に該当する。

人情報に該当する。

健保組合等が保有する個人情報については、別表１参照。
※

健保組合等が保有する個人情報については、別表１参照。

記載された氏名、生年月日、その他の記述等により特定の個人を識別※することができるものは、個人情報に該当する。

記載された氏名、生年月日、その他の記述等により特定の個人を識別することができるものは、個人情報に該当する。

２．個人識別符号（法第２条第２項）

２．個人識別符号（法第２条第２項）

（略）

（略）

３．要配慮個人情報（法第２条第３項）

３．要配慮個人情報（法第２条第３項）

（定義）

（定義）
8

法第二条

法第二条

３

３

この法律において「要配慮個人情報」とは、本人の人種、信条、社

この法律において「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人

いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。

情報をいう。

令第二条 法第二条第三項の政令で定める記述等は、次に掲げる事項の令第二条 法第二条第三項の政令で定める記述等は、次に掲げる事項のいずれかを内容とする記述等（本人の病歴又は犯罪の経歴に該当するいずれかを内容とする記述等（本人の病歴又は犯罪の経歴に該当するものを除く。
）とする。

ものを除く。）とする。

一

一 身体障害、知的障害、精神障害（発達障害を含む。
）その他の個人

身体障害、知的障害、精神障害（発達障害を含む。
）その他の個人

情報保護委員会規則で定める心身の機能の障害があること。
二

情報保護委員会規則で定める心身の機能の障害があること。

本人に対して医師その他医療に関連する職務に従事する者（次号

二 本人に対して医師その他医療に関連する職務に従事する者（次号において「医師等」という。
）により行われた疾病の予防及び早期発において「医師等」という。）により行われた疾病の予防及び早期発見のための健康診断その他の検査（同号において「健康診断等」と見のための健康診断その他の検査（同号において「健康診断等」と

いう。
）の結果

いう。
）の結果

三

健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化

三 健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のためを理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと。

の指導又は診療若しくは調剤が行われたこと。

四本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公四 本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと。
五訴の提起その他の刑事事件に関する手続が行われたこと。

本人を少年法（昭和２３年法律第１６８号）第三条第一項に規定

五 本人を少年法（昭和２３年法律第１６８号）第三条第一項に規定する少年又はその疑いのある者として、調査、観護の措置、審判、する少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと。

保護処分その他の少年の保護事件に関する手続が行われたこと。
9

規則第五条 令第二条第一号の個人情報保護委員会規則で定める心身の規則第五条 令第二条第一号の個人情報保護委員会規則で定める心身の機能の障害は、次に掲げる障害とする。

機能の障害は、次に掲げる障害とする。

一一 身体障害者福祉法（昭和２４年法律第２８３号）別表に掲げる身身体障害者福祉法（昭和２４年法律第２８３号）別表に掲げる身

体上の障害

体上の障害

二

知的障害者福祉法（昭和３５年法律第３７号）にいう知的障害

二 知的障害者福祉法（昭和３５年法律第３７号）にいう知的障害

三

精神保健及び精神障害者福祉に関する法律（昭和２５年法律第１

三 精神保健及び精神障害者福祉に関する法律（昭和２５年法律第１２３号）にいう精神障害（発達障害者支援法（平成１６年法律第１２３号）にいう精神障害（発達障害者支援法（平成１６年法律第１６７号）第二条第一項に規定する発達障害を含み、前号に掲げるも

６７号）第二条第一項に規定する発達障害を含み、前号に掲げるも

のを除く。
）

のを除く。
）

四

治療方法が確立していない疾病その他の特殊の疾病であって障害

四 治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生活及び社会生活を総合的に支援するための法律（平成１者の日常生活及び社会生活を総合的に支援するための法律（平成１７年法律第１２３号）第四条第一項の政令で定めるものによる障害７年法律第１２３号）第四条第一項の政令で定めるものによる障害の程度が同項の厚生労働大臣が定める程度であるものの程度が同項の厚生労働大臣が定める程度であるもの「要配慮個人情報」とは、不当な差別や偏見その他の不利益が生じない「要配慮個人情報」とは、不当な差別や偏見その他の不利益が生じない

ようにその取扱いに特に配慮を要するものとして法第２条第３項、政令第 2ようにその取扱いに特に配慮を要するものとして法第２条第３項、政令第 2条及び規則第５条で定める記述等が含まれる個人情報をいう。なお、健保条及び規則第５条で定める記述等が含まれる個人情報をいう。なお、健保組合等において想定される要配慮個人情報に該当する情報とは、レセプト

組合等において想定される要配慮個人情報に該当する情報とは、レセプト

等に掲載された病歴、犯罪により害を被った事実、申請書等より確認した等に掲載された病歴、犯罪により害を被った事実、申請書等より確認した障害（身体障害、知的障害、精神障害等）の事実、健康診断の結果及び健障害（身体障害、知的障害、精神障害等）の事実、健康診断の結果及び健康診断後の措置（医師による改善指導又は診療、調剤）が行われた事実等

康診断後の措置（医師による改善指導又は診療、調剤）が行われた事実等が挙げられる。

が挙げられる。

要配慮個人情報の取得や第三者提供には、原則として本人同意が必要である。

要配慮個人情報の取得や第三者提供には、原則として本人同意が必要である。
10

本人同意を得る方法として、被保険者等への保険給付等のために通常必

本人同意を得る方法として、被保険者等への保険給付等のために通常必要と考えられる個人情報の利用範囲をホームページへの掲載等により明ら要と考えられる個人情報の利用範囲をホームページへの掲載等により明らかにしておき、被保険者等から特段明確な反対・留保の意思表示がない場

かにしておき、被保険者等から特段明確な反対・留保の意思表示がない場

合には、これらの範囲内での個人情報の利用について同意が得られている

合には、これらの範囲内での個人情報の利用について同意が得られているものとする「黙示の同意」という考え方を用いることがある。（詳細はⅢものとする「黙示の同意」という考え方を用いることがある。（詳細はⅢ７．
（３）を参照）

５．（３）を参照）

一方、要配慮個人情報については、法第２７条第２項の規定により、一

一方、要配慮個人情報については、法第２３条第２項の規定により、一定の条件を満たすことで本人同意を得ることなく第三者提供する方法（オ定の条件を満たすことで本人同意を得ることなく第三者提供する方法（オプトアウトによる第三者提供）は認められない。また、要配慮個人情報がプトアウトによる第三者提供）は認められない。

含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態が生じた場合には、個人情報保護委員会に報告しなければならない（詳細はⅢ６．を参照）。
なお、健保組合等においては、第三者への提供を目的として個人情報をなお、健保組合等においては、第三者への提供を目的として個人情報を取得することは通常想定されない。

取得することは通常想定されない。

【要配慮個人情報のポイント】【要配慮個人情報のポイント】

要配慮個人情報を取得する場合、本人同意が必要である。（Ⅲ４．参

要配慮個人情報を取得する場合、本人同意が必要である。（Ⅲ３．参照）照）
４．特定個人情報（番号法第２条第８項）

４．特定個人情報（番号法第２条第８項）

（略）

（略）

「特定個人情報」とは番号法に定める個人番号をその内容に含む個人情「特定個人情報」とは番号法に定める個人番号をその内容に含む個人情報をいう。特定個人情報については、番号法の対象となるだけでなく、個報をいう。特定個人情報については、番号法の対象となるだけでなく、個11

人情報として法の対象となることに留意が必要である。

人情報として法の対象となることに留意が必要である。

「特定個人情報」に関する具体的な取扱等については、「特定個人情報の「特定個人情報」に関する具体的な取扱等については、「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」（平成２６年特定個人情

適正な取扱いに関するガイドライン（事業者編）平成２６年１２月１１日

報保護委員会告示第５号）及び「医療保険者向けデジタル PMO」サイトを参

個人情報保護委員会」及び「医療保険者向けデジタルPMO」サイトを参照の

照のこと。

こと。

５．仮名加工情報（法第２条第５項）

（新設）

（定義）

（新設）

法第二条
５

この法律において「仮名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報をいう。
一第一項第一号に該当する個人情報 当該個人情報に含まれる記述

等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含
む。
）
。
二

第一項第二号に該当する個人情報 当該個人情報に含まれる個人

識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）「仮名加工情報」とは、個人情報に含まれる記述等の一部や、個人識別（新設）

符号の全部を削除する等の措置を講じて、他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報をいう。
12

個人情報から仮名加工情報を作成する場合には、法第 41 条第１項に規定する規則で定める基準に従って加工する等一定の制限を受けることとなる。詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」（平成２８年個人情報保護委員会告示第９号）を参照のこと。
（削る）

５．個人情報の匿名化（削る）

当該個人情報から、当該情報に含まれる氏名、生年月日、住所、個人識
別符号等、個人を識別する情報を取り除くことで、特定の個人を識別できないようにすることをいう。顔写真については、一般的には目の部分にマスキングすることで特定の個人を識別できないと考えられる。なお、必要な場合には、その人と関わりのない符号又は番号を付すこともある。
このような処理を行っても、健保組合等内で個人情報を利用する場合
は、健保組合等内で得られる他の情報や匿名化に際して付された符号又は番号と個人情報との対応表等と照合することで特定の被保険者等が識別されることも考えられる。法においては、「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるもの」についても個人情報に含まれるものとされており、匿名化に当たっては、当該情報の利用目的や利用者等を勘案した処理を行う必要があり、あわせて、本人の同意を得るなどの対応も考慮する必要がある。
また、特定の被保険者等の健診の結果や保健指導の事例を集団で行う保健指導で紹介したり、健保組合等の機関誌に掲載したりする場合等は、氏名、生年月日、住所、個人識別符号等を消去することで匿名化されると考えられるが、健診の結果や保健指導の事例により十分な匿名化が困難な場
13

合は、本人の同意を得なければならない。
なお、このような集団で行う保健指導での紹介等のために用いられる特定の被保険者等の健診結果等の匿名化は、匿名加工情報（Ⅱ６．参照）とは定義や取扱いのルールが異なるので留意が必要である。
６．匿名加工情報（法第２条第６項）

６．匿名加工情報（法第２条第９項）

（定義）

（定義）

法第二条

法第二条

６

９

この法律において「匿名加工情報」とは、次の各号に掲げる個人情

この法律において「匿名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別す

報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情ることができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたもの

報であって、当該個人情報を復元することができないようにしたもの

をいう。

をいう。

一

第一項第一号に該当する個人情報 当該個人情報に含まれる記述

一 第一項第一号に該当する個人情報 当該個人情報に含まれる記述

等の一部を削除すること（当該一部の記述等を復元することのでき等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含る規則性を有しない方法により他の記述等に置き換えることを含

む。
）
。

む。）。

第一項第二号に該当する個人情報 当該個人情報に含まれる個人

二 第一項第二号に該当する個人情報 当該個人情報に含まれる個人

識別符号の全部を削除すること（当該個人識別符号を復元すること

識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることのできる規則性を有しない方法により他の記述等に置き換えること

を含む。
）
。

を含む。）。

二「匿名加工情報」とは、個人情報を個人情報の区分に応じて定められた「匿名加工情報」とは、個人情報を個人情報の区分に応じて定められた措置を講じて特定の個人を識別することができないように加工して得られ措置を講じて特定の個人を識別することができないように加工して得られる個人に関する情報であって、当該個人情報を復元して特定の個人を再識る個人に関する情報であって、当該個人情報を復元して特定の個人を再識別することができないようにしたものをいう。

別することができないようにしたものをいう。
14

【匿名加工情報のポイント】【匿名加工情報のポイント】

個人情報から匿名加工情報を作成する場合には、法第４３条第１項に規個人情報から匿名加工情報を作成する場合には、規則で定める基準に従定する規則で定める基準に従って加工する等一定の制限を受けることとなって加工する等一定の制限を受けることとなる。詳細は、別途定める「個る。詳細は、別途定める「個人情報の保護に関する法律についてのガイド

人情報の保護に関する法律についてのガイドライン（匿名加工情報編）」

ライン（仮名加工情報・匿名加工情報編）」（平成２８年個人情報保護委員（平成２８年個人情報保護委員会告示第９号）を参照のこと。

会告示第９号）を参照のこと。
匿名加工情報取扱事業者（法第１６条第６項関係）

匿名加工情報取扱事業者（法第２条第１０項関係）

匿名加工情報取扱事業者の定義については、別途定める「個人情報の保匿名加工情報取扱事業者の定義については、別途定める「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報

護に関する法律についてのガイドライン（匿名加工情報編）」（平成２８年編）」（平成２８年個人情報保護委員会告示第９号）を参照のこと。

個人情報保護委員会告示第９号）を参照のこと。

（参考）

（参考）

（定義）

（定義）

法第十六条

法第二条

６

この章、第六章及び第七章において「匿名加工情報取扱事業者」と

１０ この法律において「匿名加工情報取扱事業者」とは、匿名加工情は、匿名加工情報を含む情報の集合物であって、特定の匿名加工情報

報を含む情報の集合物であって、特定の匿名加工情報を電子計算機をを電子計算機を用いて検索することができるように体系的に構成した用いて検索することができるように体系的に構成したものその他特定ものその他特定の匿名加工情報を容易に検索することができるようにの匿名加工情報を容易に検索することができるように体系的に構成し体系的に構成したものとして政令で定めるもの（第四十三条第一項にたものとして政令で定めるもの（第三十六条第一項において「匿名加おいて「匿名加工情報データベース等」という。
）を事業の用に供して工情報データベース等」という。）を事業の用に供している者をいう。

いる者をいう。ただし、第二項各号に掲げる者を除く。

ただし、第五項各号に掲げる者を除く。

令第七条 法第十六条第六項の政令で定めるものは、同項に規定する情令第六条 法第二条第十項の政令で定めるものは、これに含まれる匿名15

報の集合物に含まれる匿名加工情報を一定の規則に従って整理するこ

加工情報を一定の規則に従って整理することにより特定の匿名加工情とにより特定の匿名加工情報を容易に検索することができるように体報を容易に検索することができるように体系的に構成した情報の集合

系的に構成したものであって、目次、索引その他検索を容易にするた物であって、目次、索引その他検索を容易にするためのものを有するめのものを有するものをいう。

ものをいう。

７．個人情報データベース等（法第１６条第１項）、個人データ（法第１６７．個人情報データベース等（法第２条第４項）、個人データ（法第２条第条第３項）、保有個人データ（法第１６条第４項）

６項）、保有個人データ（法第２条第７項）

（定義）

（定義）

法第十六条 この章及び第八章において「個人情報データベース等」と

法第二条

は、個人情報を含む情報の集合物であって、次に掲げるもの（利用方４

この法律において「個人情報データベース等」とは、個人情報を含法からみて個人の権利利益を害するおそれが少ないものとして政令でむ情報の集合物であって、次に掲げるもの（利用方法からみて個人の定めるものを除く。
）をいう。

権利利益を害するおそれが少ないものとして政令で定めるものを除く。）をいう。

一

特定の個人情報を電子計算機を用いて検索することができるよう

一 特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの
二に体系的に構成したもの

前号に掲げるもののほか、特定の個人情報を容易に検索すること

二 前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるものができるように体系的に構成したものとして政令で定めるもの

令第四条 法第十六条第一項の利用方法からみて個人の権利利益を害す

令第三条 法第二条第四項の利用方法からみて個人の権利利益を害する

るおそれが少ないものとして政令で定めるものは、次の各号のいずれ

おそれが少ないものとして政令で定めるものは、次の各号のいずれににも該当するものとする。

も該当するものとする。

一

不特定かつ多数の者に販売することを目的として発行されたもの

一 不特定かつ多数の者に販売することを目的として発行されたものであって、かつ、その発行が法又は法に基づく命令の規定に違反しであって、かつ、その発行が法又は法に基づく命令の規定に違反して行われたものでないこと。

て行われたものでないこと。

二

不特定かつ多数の者により随時に購入することができ、又はでき

二 不特定かつ多数の者により随時に購入することができ、又はでき16たものであること。
三たものであること。

生存する個人に関する他の情報を加えることなくその本来の用途

三 生存する個人に関する他の情報を加えることなくその本来の用途に供しているものであること。
２に供しているものであること。

法第十六条第一項第二号の政令で定めるものは、同項に規定する情２

法第二条第四項第二号の政令で定めるものは、これに含まれる個人報の集合物に含まれる個人情報を一定の規則に従って整理することに情報を一定の規則に従って整理することにより特定の個人情報を容易

より特定の個人情報を容易に検索することができるように体系的に構に検索することができるように体系的に構成した情報の集合物であっ成したものであって、目次、索引その他検索を容易にするためのものて、目次、索引その他検索を容易にするためのものを有するものをいを有するものをいう。

う。

「個人情報データベース等」とは、特定の個人情報をコンピュータを用「個人情報データベース等」とは、特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した個人情報を含む情報のいて検索することができるように体系的に構成した個人情報を含む情報の集合体、又はコンピュータを用いていない場合であっても、紙面で処理し集合体、又はコンピュータを用いていない場合であっても、紙面で処理した個人情報を一定の規則（例えば、五十音順、生年月日順など）に従ってた個人情報を一定の規則（例えば、五十音順、生年月日順など）に従って

整理・分類し、特定の個人情報を容易に検索することができるよう、目

整理・分類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いて次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものをいう。

いるものをいう。

（定義）

（定義）

法第十六条

法第二条

３

６

この章において「個人データ」とは、個人情報データベース等を構

この法律において「個人データ」とは、個人情報データベース等を成する個人情報をいう。

構成する個人情報をいう。

「個人データ」とは、「個人情報データベース等」を構成する個人情報を「個人データ」とは、「個人情報データベース等」を構成する個人情報を

いう。

いう。

（定義）

（定義）
17

法第十六条

法第二条

４

７

この章において「保有個人データ」とは、個人情報取扱事業者が、この法律において「保有個人データ」とは、個人情報取扱事業者

開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者へのが、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者提供の停止を行うことのできる権限を有する個人データであって、そへの提供の停止を行うことのできる権限を有する個人データであっの存否が明らかになることにより公益その他の利益が害されるものとて、その存否が明らかになることにより公益その他の利益が害される

して政令で定めるもの以外のものをいう。

ものとして政令で定めるもの又は一年以内の政令で定める期間以内に消去することとなるもの以外のものをいう。

令第五条 法第十六条第四項の政令で定めるものは、次に掲げるものと

令第四条 法第二条第七項の政令で定めるものは、次に掲げるものとす

する。

る。

一

一 当該個人データの存否が明らかになることにより、本人又は第三

当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの
二者の生命、身体又は財産に危害が及ぶおそれがあるもの

当該個人データの存否が明らかになることにより、違法又は不当二 当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの
三

な行為を助長し、又は誘発するおそれがあるもの

当該個人データの存否が明らかになることにより、国の安全が害

三 当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおされるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあ

それ又は他国若しくは国際機関との交渉上不利益を被るおそれがあ

るもの

るもの

四

当該個人データの存否が明らかになることにより、犯罪の予防、

四 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれ

鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれ

があるもの

があるもの

（削る）

令第五条 法第二条第七項の政令で定める期間は、六月とする。

「保有個人データ」とは、個人データのうち、個人情報取扱事業者が、「保有個人データ」とは、個人データのうち、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供

開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供
18

の停止を行うことのできる権限を有するものをいう。ただし、その存否がの停止を行うことのできる権限を有するものをいう。ただし、①その存否明らかになることにより、公益その他の利益が害されるものは除く。

が明らかになることにより、公益その他の利益が害されるもの、②６ヶ月以内に消去する（更新することは除く。
）こととなるものは除く。

レセプトや健診結果、保健指導記録等については、媒体の如何にかかわレセプトや健診結果、保健指導記録等については、媒体の如何にかかわらず個人データベース等に該当する。

らず個人データベース等に該当する。

８．本人の同意

８．本人の同意「本人の同意」とは、本人の個人情報が、個人情報取扱事業者によって「本人の同意」とは、本人の個人情報が、個人情報取扱事業者によって示された取扱方法で取り扱われることを承諾する旨の当該本人の意思表示示された取扱方法で取り扱われることを承諾する旨の当該本人の意思表示をいう（当該本人であることを確認できていることが前提となる。）。

をいう（当該本人であることを確認できていることが前提となる。）。

また、「本人の同意を得（る）」とは、本人の承諾する旨の意思表示を当

また、「本人の同意を得（る）」とは、本人の承諾する旨の意思表示を当

該個人情報取扱事業者が認識することをいい、事業の性質及び個人情報の該個人情報取扱事業者が認識することをいい、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。

理的かつ適切な方法によらなければならない。

なお、個人情報の取扱いに関して同意したことによって生ずる結果につなお、個人情報の取扱いに関して同意したことによって生ずる結果について、未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力

いて、未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力を有していないなどの場合は、親権者や法定代理人等から同意を得る必要を有していないなどの場合は、親権者や法定代理人等から同意を得る必要

がある。

がある。

【本人の同意を得ている事例】【本人の同意を得ている事例】

事例１）本人からの同意する旨の口頭による意思表示

事例１）本人からの同意する旨の口頭による意思表示

事例２）本人からの同意する旨の書面（電磁的記録を含む。
）の受領

事例２）本人からの同意する旨の書面（電磁的記録を含む。
）の受領

事例３）本人からの同意する旨のメールの受信

事例３）本人からの同意する旨のメールの受信

事例４）本人による同意する旨の確認欄へのチェック

事例４）本人による同意する旨の確認欄へのチェック

事例５）本人による同意する旨のホームページ上のボタンのクリック

事例５）本人による同意する旨のホームページ上のボタンのクリック
19事例６）本人による同意する旨の音声入力、タッチパネルへのタッ

事例６）本人による同意する旨の音声入力、タッチパネルへのタッ

チ、ボタンやスイッチ等による入力

チ、ボタンやスイッチ等による入力

法は、個人情報の目的外利用や第三者提供の場合には、原則として本人

法は、個人情報の目的外利用や第三者提供の場合には、原則として本人の同意を得ることを求めている。これは、法の基本となるＯＥＣＤ８原則の同意を得ることを求めている。これは、法の基本となるＯＥＣＤ８原則のうち、利用制限の原則の考え方の現れであるが、健保組合等についてのうち、利用制限の原則の考え方の現れであるが、健保組合等については、被保険者等に適切な保険給付等を提供する目的のために、当該健保組は、被保険者等に適切な保険給付等を提供する目的のために、当該健保組合等において、通常必要と考えられる個人情報の利用範囲を健保組合等の合等において、通常必要と考えられる個人情報の利用範囲を健保組合等のホームページへの掲載のほか、パンフレットの配布、事業所担当窓口や健ホームページへの掲載のほか、パンフレットの配布、事業所担当窓口や健保組合等の掲示板への掲示・備付けや公告等により明らかにしておき、こ保組合等の掲示板への掲示・備付けや公告等により明らかにしておき、このうち、被保険者等の利益になるもの又は必ずしも利益になるものではなのうち、被保険者等の利益になるもの又は必ずしも利益になるものではな

いが医療費通知など事業者側（健保組合等）の負担が膨大である上必ずしいが医療費通知など事業者側（健保組合等）の負担が膨大である上必ずしも被保険者等本人にとって合理的であるとは言えないものについては、被も被保険者等本人にとって合理的であるとは言えないものについては、被保険者等から特段明確な反対・留保の意思表示がない場合には、これらの保険者等から特段明確な反対・留保の意思表示がない場合には、これらの範囲内での個人情報の利用について同意が得られているものと考えられ範囲内での個人情報の利用について同意が得られているものと考えられ

る。
（Ⅲ７．
（３）
（４）参照）る。（Ⅲ５．
（３）（４）参照）

なお、これらの場合において被保険者等の理解力、判断力などに応じ

なお、これらの場合において被保険者等の理解力、判断力などに応じて、可能な限り被保険者等本人に通知し、同意を得るよう努めることが重て、可能な限り被保険者等本人に通知し、同意を得るよう努めることが重

要である。

要である。

【要配慮個人情報における本人の同意について】【要配慮個人情報における本人の同意について】

健保組合等が要配慮個人情報を書面又は口頭等により本人から適正に直健保組合等が要配慮個人情報を書面又は口頭等により本人から適正に直接取得する場合は、本人が当該情報を提供したことをもって、当該個人情接取得する場合は、本人が当該情報を提供したことをもって、当該個人情報取扱事業者が当該情報を取得することについて本人の同意があったもの

報取扱事業者が当該情報を取得することについて本人の同意があったもの20

と解される。

と解される。

Ⅲ

Ⅲ

健保組合等の義務等

健保組合等の義務等

１．利用目的の特定等（法第１７条、第１８条）

１．利用目的の特定等（法第１５条、第１６条）（利用目的の特定）（利用目的の特定）法第十七条 個人情報取扱事業者は、個人情報を取り扱うに当たって法第十五条 個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。
）をできる限り特定しなければならない。

なければならない。

２は、その利用の目的（以下「利用目的」という。
）をできる限り特定し個人情報取扱事業者は、利用目的を変更する場合には、変更前の利２

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行っては用目的と関連性を有すると合理的に認められる範囲を超えて行っては

ならない。

ならない。

（利用目的による制限）（利用目的による制限）

法第十八条 個人情報取扱事業者は、あらかじめ本人の同意を得ない

法第十六条 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。

て、個人情報を取り扱ってはならない。

２

で、前条の規定により特定された利用目的の達成に必要な範囲を超え
個人情報取扱事業者は、合併その他の事由により他の個人情報取扱

２

個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、

あらかじめ本人の同意を得ないで、承継前における当該個人情報の利あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはな

用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはな

らない。

らない。

３

事業者から事業を承継することに伴って個人情報を取得した場合は、前二項の規定は、次に掲げる場合については、適用しない。

３

前二項の規定は、次に掲げる場合については、適用しない。

一 法令に基づく場合

一 法令に基づく場合

二 人の生命、身体又は財産の保護のために必要がある場合であっ二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

て、本人の同意を得ることが困難であるとき。
21

三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要が三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

ある場合であって、本人の同意を得ることが困難であるとき。

四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であっ定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおて、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

それがあるとき。

五

当該個人情報取扱事業者が学術研究機関等である場合であって、（新設）

当該個人情報を学術研究の用に供する目的（以下この章において「学術研究目的」という。
）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
六

学術研究機関等に個人データを提供する場合であって、当該学術（新設）研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）。
（１）利用目的の特定及び制限（１）利用目的の特定及び制限

健保組合等が保険給付等を希望する被保険者等から個人情報を取得す健保組合等が保険給付等を希望する被保険者等から個人情報を取得する場合、当該個人情報を被保険者等に対する保険給付等の提供、健保組る場合、当該個人情報を被保険者等に対する保険給付等の提供、健保組合等の保険給付等に係る事務や番号法に基づく個人番号の利用などで利合等の保険給付等に係る事務や番号法に基づく個人番号の利用などで利用することは被保険者等にとって明らかと考えられる。

用することは被保険者等にとって明らかと考えられる。

これら以外で個人情報を利用する場合は、被保険者等にとって必ずし

これら以外で個人情報を利用する場合は、被保険者等にとって必ずしも明らかな利用目的とはいえない。この場合は、個人情報を取得するにも明らかな利用目的とはいえない。この場合は、個人情報を取得するに当たって明確に当該利用目的の公表等の措置が講じられなければならな

当たって明確に当該利用目的の公表等の措置が講じられなければならな
22

い。
（Ⅲ３．参照）

い。（Ⅲ２．参照）

健保組合等の通常の業務で想定される利用目的は別表２に例示される健保組合等の通常の業務で想定される利用目的は別表２に例示されるものであり、健保組合等は、これらを参考として、自らの業務に照らしものであり、健保組合等は、これらを参考として、自らの業務に照らして通常必要とされるものを特定して公表（健保組合等のホームページへて通常必要とされるものを特定して公表（健保組合等のホームページへの掲載等）しなければならない。
（Ⅲ３．参照）の掲載等）しなければならない。（Ⅲ２．参照）

なお、別表２に掲げる利用目的の範囲について法第１７条第２項に定

なお、別表２に掲げる利用目的の範囲について法第１５条第２項に定める利用目的の変更を行う場合、変更された利用目的については、本人

める利用目的の変更を行う場合、変更された利用目的については、本人へ通知又は公表しなければならない。
（Ⅲ３．参照）

へ通知又は公表しなければならない。（Ⅲ２．参照）（２）利用目的による制限の例外（２）利用目的による制限の例外

健保組合等は、あらかじめ本人の同意を得ないで法第１７条の規定に健保組合等は、あらかじめ本人の同意を得ないで法第１５条の規定により特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱より特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならないが（法第１８条第１項）、同条第３項に掲げる場合についってはならないが（法第１６条第１項）、同条第３項に掲げる場合については、本人の同意を得る必要はない。具体的な例としては以下のとおりては、本人の同意を得る必要はない。具体的な例としては以下のとおり

である。

である。

①法令に基づく場合①法令に基づく場合

健康保険法第２９条又は第１９８条に基づく立入検査等、法令に基づ

健康保険法第２９条又は第１９８条に基づく立入検査等、法令に基づいて個人情報を利用する場合

いて個人情報を利用する場合根拠となる法令の規定としては、一般に刑事訴訟法第２１８条（令状根拠となる法令の規定としては、一般に刑事訴訟法第２１８条（令状による捜査）、地方税法第７２条の６３（個人の事業税に関する調査に係による捜査）、地方税法第７２条の６３（個人の事業税に関する調査に係

る 質問検査権、各種税法に類似の規定あり）等が考えられる。

る質問検査権、各種税法に類似の規定あり）等が考えられる。

これらの法令は強制力を伴って回答が義務づけられるため、健保組合

これらの法令は強制力を伴って回答が義務づけられるため、健保組合

等は捜査等が行われた場合、回答する義務が生じる。

等は捜査等が行われた場合、回答する義務が生じる。
23

また、刑事訴訟法第１９７条第２項（捜査に必要な取調べ）等についまた、刑事訴訟法第１９７条第２項（捜査に必要な取調べ）等については、法の例外規定の対象であるが、当該法令において任意協力とされては、法の例外規定の対象であるが、当該法令において任意協力とされており、健保組合等は取調べ等が行われた場合、回答するか否かについており、健保組合等は取調べ等が行われた場合、回答するか否かについて個別の事例ごとに判断する必要がある。この場合、本人の同意を得ずて個別の事例ごとに判断する必要がある。この場合、本人の同意を得ずに個人情報を取扱ったとしても、法第１８条違反とはならないが、当該に個人情報を取扱ったとしても、法第１６条違反とはならないが、当該本人からの民法に基づく損害賠償請求等を求められるおそれがある。

本人からの民法に基づく損害賠償請求等を求められるおそれがある。

②人の生命、身体又は財産の保護のために必要がある場合であって、本②人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき人の同意を得ることが困難であるとき

（例）

（例）

・意識不明となった被保険者等について、家族の連絡先等に関する情・意識不明となった被保険者等について、家族の連絡先等に関する情報を医療機関等に提供する場合

報を医療機関等に提供する場合③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき

場合であって、本人の同意を得ることが困難であるとき

（例）

（例）

・疫学上の調査・研究のために、健康診査やがん検診等から得られた・疫学上の調査・研究のために、健康診査やガン検診等から得られた情報を個人名を伏せて研究者に提供する場合

情報を個人名を伏せて研究者に提供する場合

・医療安全の向上のため、健康保険組合にレセプトを提出する医療機・医療安全の向上のため、健保組合にレセプトを提出する医療機関で関で発生した医療事故等に関する国、地方公共団体又は第三者機関

発生した医療事故等に関する国、地方公共団体又は第三者機関等に等に対し情報提供するために個人情報を取り扱う場合

対し情報提供するために個人情報を取り扱う場合④国の機関若しくは地方公共団体又はその委託を受けた者が法令の定め④国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本る事務を遂行することに対して協力する必要がある場合であって、本24

人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあ

人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあ

るとき

るとき

（例）

（例）

・事業者が警察の任意の求めに応じて個人情報を取り扱う場合・事業者が警察の任意の求めに応じて個人情報を取り扱う場合

・一般統計調査や地方公共団体が行う統計調査において個人情報を取・一般統計調査や地方公共団体が行う統計調査において個人情報を取り扱う場合⑤個人情報取扱事業者が学術研究機関等である場合であって、当該個人

り扱う場合
（新設）

情報を学術研究の用に供する目的で取り扱う必要があるとき（当該個
人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）「学術研究機関等」とは、大学その他の学術研究を目的とする機関
若しくは団体（大学、学会等）又はそれらに属する者をいい、健保組
合等はこれに当たらない。
⑥学術研究機関等に個人データを提供する場合であって、当該学術研究（新設）機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

・健保組合等は、個人情報を取り扱うに当たって、その利用目的をでき・健保組合等は、個人情報を取り扱うに当たって、その利用目的をできる限り特定しなければならない。

る限り特定しなければならない。

・健保組合等は、利用目的を変更する場合には、変更前の利用目的と関・健保組合等は、利用目的を変更する場合には、変更前の利用目的と関
25

連性を有すると合理的に認められる範囲を超えて行ってはならない。

連性を有すると合理的に認められる範囲を超えて行ってはならない。

・健保組合等は、あらかじめ本人の同意を得ないで、特定された利用目・健保組合等は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない。な的の達成に必要な範囲を超えて個人情報を取り扱ってはならない。な

お、本人の同意を得るために個人情報を利用すること（同意を得るた

お、本人の同意を得るために個人情報を利用すること（同意を得るた

めに被保険者等の連絡先を利用して電話をかける場合など）、個人情報めに被保険者等の連絡先を利用して電話をかける場合など）、個人情報を匿名加工情報及び仮名加工情報に加工することは差し支えない。

を匿名化するために個人情報に加工を行うことは差し支えない。

・個人情報を取得する時点で、本人の同意があったにもかかわらず、そ・個人情報を取得する時点で、本人の同意があったにもかかわらず、その後、本人から利用目的の一部についての同意を取り消す旨の申出がの後、本人から利用目的の一部についての同意を取り消す旨の申出があった場合は、その後の個人情報の取扱いについては、本人の同意があった場合は、その後の個人情報の取扱いについては、本人の同意が取り消されなかった範囲に限定して取り扱う。

取り消されなかった範囲に限定して取り扱う。

・健保組合等は、合併その他の事由により他の事業者から事業を承継す

・健保組合等は、合併その他の事由により他の事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意をることに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。

囲を超えて、当該個人情報を取り扱ってはならない。

・利用目的の制限の例外（法第１８条第３項）に該当する場合は、本人・利用目的の制限の例外（法第１６条第３項）に該当する場合は、本人の同意を得ずに個人情報を取り扱うことができる。

の同意を得ずに個人情報を取り扱うことができる。

（利用目的を変更する場合の取扱いについてはⅢ３．を参照）（利用目的を変更する場合の取扱いについてはⅢ２．を参照）【その他の事項】【その他の事項】（略）（略）

２．不適切な利用の禁止（法第１９条）（新設）（不適正な利用の禁止）（新設）

法第十九条 個人情報取扱事業者は、違法又は不当な行為を助長し、又26

は誘発するおそれがある方法により個人情報を利用してはならない。
【法の規定により遵守すべき事項等】（新設）

・健保組合等は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。
・「違法又は不当な行為」とは、法その他の法令に違反する行為、及び直ちに違法とはいえないものの、法その他の法令の制度趣旨又は公序良
俗に反する等、社会通念上適正とは認められない行為をいう。
・「おそれ」の有無は、個人情報取扱事業者による個人情報の利用が、違法又は不当な行為を助長又は誘発することについて、社会通念上蓋然性が認められるか否かにより判断される。この判断に当たっては、個
人情報の利用方法等の客観的な事情に加えて、個人情報の利用時点における個人情報取扱事業者の認識及び予見可能性も踏まえる必要がある。例えば、個人情報取扱事業者が第三者に個人情報を提供した場合
において、当該第三者が当該個人情報を違法な行為に用いた場合であっても、当該第三者が当該個人情報の取得目的を偽っていた等、当該個人情報の提供の時点において、提供した個人情報が違法に利用されることについて、当該個人情報取扱事業者が一般的な注意力をもってしても予見できない状況であった場合には、「おそれ」は認められないと解される。
（違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例）
事例１） 違法行為を営むことが疑われる事業者に対し、当該事業者の違法な行為を助長するおそれが想定されるにも関わらず、27個人情報を提供する場合
事例２） 個人情報を提供した場合、提供先において法第２７条第 1項に違反する第三者提供がなされることを予見できるにもかかわらず、当該提供先に対して、個人情報を提供する場合
事例３） 個人情報を取得した健保組合等が、性別、国籍等の特定の属性のみにより、正当な理由なく本人に対する違法な差別的取扱いを行うために、個人情報を利用する場合
３．利用目的の通知等（法第２１条）

２．利用目的の通知等（法第１８条）（取得に際しての利用目的の通知等）（取得に際しての利用目的の通知等）

法第二十一条 個人情報取扱事業者は、個人情報を取得した場合は、あらか

法第十八条 個人情報取扱事業者は、個人情報を取得した場合は、あらか

じめその利用目的を公表している場合を除き、速やかに、その利用目的

じめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

を、本人に通知し、又は公表しなければならない。

２

個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約

２

個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下を締結することに伴って契約書その他の書面（電磁的記録を含む。以下

この項において同じ。
）に記載された当該本人の個人情報を取得する場合

この項において同じ。）に記載された当該本人の個人情報を取得する場合

その他本人から直接書面に記載された当該本人の個人情報を取得する場

その他本人から直接書面に記載された当該本人の個人情報を取得する場

合は、あらかじめ、本人に対し、その利用目的を明示しなければならな

合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある

い。ただし、人の生命、身体又は財産の保護のために緊急に必要がある

場合は、この限りでない。

場合は、この限りでない。

３

個人情報取扱事業者は、利用目的を変更した場合は、変更された利用

３

目的について、本人に通知し、又は公表しなければならない。

個人情報取扱事業者は、利用目的を変更した場合は、変更された利用

４
一目的について、本人に通知し、又は公表しなければならない。

前三項の規定は、次に掲げる場合については、適用しない。

４

利用目的を本人に通知し、又は公表することにより本人又は第三者

一28

前三項の規定は、次に掲げる場合については、適用しない。
利用目的を本人に通知し、又は公表することにより本人又は第三者

の生命、身体、財産その他の権利利益を害するおそれがある場合
二の生命、身体、財産その他の権利利益を害するおそれがある場合

利用目的を本人に通知し、又は公表することにより当該個人情報取二

扱事業者の権利又は正当な利益を害するおそれがある場合

利用目的を本人に通知し、又は公表することにより当該個人情報取三

扱事業者の権利又は正当な利益を害するおそれがある場合

国の機関又は地方公共団体が法令の定める事務を遂行することに対三国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとは公表することにより当該事務の遂行に支障を及ぼすおそれがあると

き。

き。

四

取得の状況からみて利用目的が明らかであると認められる場合【法の規定により遵守すべき事項等】

四 取得の状況からみて利用目的が明らかであると認められる場合【法の規定により遵守すべき事項等】（略）【その他の事項】（略）【その他の事項】（略）
４．個人情報の適正な取得、個人データ内容の正確性の確保（法第２０（略）
３．個人情報の適正な取得、個人データ内容の正確性の確保（法第１７条、第２２条）条、第１９条）（適正な取得）（適正な取得）法第二十条 個人情報取扱事業者は、偽りその他不正の手段により個人情法第十七条 個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。
２

報を取得してはならない。

個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人

２

個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。

の同意を得ないで、要配慮個人情報を取得してはならない。

一

法令に基づく場合

一 法令に基づく場合

二人の生命、身体又は財産の保護のために必要がある場合であって、二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

本人の同意を得ることが困難であるとき
29

三

公衆衛生の向上又は児童の健全な育成のために特に必要がある場合

三 公衆衛生の向上又は児童の健全な育成のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四であって、本人の同意を得ることが困難であるとき国の機関若しくは地方公共団体又はその委託を受けた者が法令の定

四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれが本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれが

あるとき。

あるとき。

五

当該個人情報取扱事業者が学術研究機関等である場合であって、当（新設）

該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含
み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
六

学術研究機関等から当該要配慮個人情報を取得する場合であって、（新設）

当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含
み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当
該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。
）。
七

当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究

五 当該要配慮個人情報が、本人、国の機関、地方公共団体、第七十六機関等、第五十七条第一項各号に掲げる者その他個人情報保護委員会

条第一項各号に掲げる者その他個人情報保護委員会規則で定める者に規則で定める者により公開されている場合より公開されている場合

八

その他前各号に掲げる場合に準ずるものとして政令で定める場合

六 その他前各号に掲げる場合に準ずるものとして政令で定める場合

規則第六条 法第二十条第二項第七号の個人情報保護委員会規則で定める

規則第六条 法第十七条第二項第五号の個人情報保護委員会規則で定める者は、次の各号のいずれかに該当する者とする。

者は、次の各号のいずれかに該当する者とする。

一

一 外国政府、外国の政府機関、外国の地方公共団体又は国際機関

外国政府、外国の政府機関、外国の地方公共団体又は国際機関
30

二

外国において法第十六条第八項に規定する学術研究機関等に相当す

（新設）

る者
三

外国において法第五十七条第一項各号に掲げる者に相当する者

二 外国において法第七十六条第一項各号に掲げる者に相当する者

令第九条 法第二十条第二項第八号の政令で定める場合は、次に掲げる場

令第七条 法第十七条第二項第六号の政令で定める場合は、次に掲げる場

合とする。

合とする。

一

一 本人を目視し、又は撮影することにより、その外形上明らかな要配

本人を目視し、又は撮影することにより、その外形上明らかな要配

慮個人情報を取得する場合
二

慮個人情報を取得する場合

法第二十七条第五項各号（法第四十一条第六項の規定により読み替

二 法第二十三条第五項各号に掲げる場合において、個人データである

えて適用する場合及び法第四十二条第二項において読み替えて適用す

要配慮個人情報の提供を受けるとき。

る場合を含む。
）に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき。
（データ内容の正確性の確保等）（データ内容の正確性の確保等）

法第二十二条 個人情報取扱事業者は、利用目的の達成に必要な範囲内に

法第十九条 個人情報取扱事業者は、利用目的の達成に必要な範囲内におおいて、個人データを正確かつ最新の内容に保つとともに、利用する必

いて、個人データを正確かつ最新の内容に保つとともに、利用する必要

要がなくなったときは、当該個人データを遅滞なく消去するよう努めながなくなったときは、当該個人データを遅滞なく消去するよう努めなけ

ければならない。

ればならない。

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

・健保組合等は、偽りその他の不正の手段により個人情報を取得しては・健保組合等は、偽りその他の不正の手段により個人情報を取得しては

ならない。

ならない。

・保健指導等のために必要な過去の病歴等については、真に必要な範囲

・保健指導等のために必要な過去の病歴等については、真に必要な範囲について、本人から直接取得するほか、第三者提供について本人の同について、本人から直接取得するほか、第三者提供について本人の同意を得た者（Ⅲ７．
（３）により本人の黙示の同意が得られていると考意を得た者（Ⅲ５．
（３）により本人の黙示の同意が得られていると考31

えられる者を含む。
）から取得することを原則とする。ただし、本人以えられる者を含む。
）から取得することを原則とする。ただし、本人以外の家族等から取得することが保健指導等のためにやむを得ない場合

外の家族等から取得することが保健指導等のためにやむを得ない場合

はこの限りでない。

はこの限りでない。

・親の同意なく、十分な判断能力を有していない子どもから家族の個人

・親の同意なく、十分な判断能力を有していない子どもから家族の個人情報を取得してはならない。

情報を取得してはならない。

・要配慮個人情報を取得する場合には、あらかじめ本人の同意を得なけ

・要配慮個人情報を取得する場合には、あらかじめ本人の同意を得なけ

ればならない。ただし、法第２０条第２項各号に定める場合についてればならない。ただし、法第１７条第２項各号に定める場合については、本人の同意を得る必要はない。

は、本人の同意を得る必要はない。

（例）

（例）

・健康保険法第１５０条第２項に基づき、事業者に対して被保険者等（新設）に関する健康診断情報の提供を求め、これを取得する場合、法第２０条第２項第１号に該当すると考えられる。
・急病その他の事態が生じたときに、本人の病歴等を健康保険組合に・急病その他の事態が生じたときに、本人の病歴等を健保組合に所属所属する医師や看護師が家族から聴取する場合、法第２０条第２項

する医師や看護師が家族から聴取する場合、法第１７条第２項第２第２号に該当すると考えられる。

号に該当すると考えられる。

・事業者が警察の任意の求めに応じて要配慮個人情報に該当する個人・事業者が警察の任意の求めに応じて要配慮個人情報に該当する個人情報を提出するために、当該個人情報を取得する場合、法第２０条

情報を提出するために、当該個人情報を取得する場合、法第１７条

第２項第４号に該当する可能性があると考えられる。

第２項第４号に該当する可能性があると考えらえる。

・なお、要配慮個人情報を、法第２７条第５項各号に定める委託、事業

・なお、要配慮個人情報を、法第２３条第５項各号に定める委託、事業承継又は共同利用により取得する場合は、あらかじめ本人の同意を得

承継又は共同利用により取得する場合は、あらかじめ本人の同意を得る必要はない。

る必要はない。

【法第２０条第２項に違反している事例】【法第１７条第２項に違反している事例】

本人の同意を得ることなく、法第２０条第２項第７号及び規則第６条で本人の同意を得ることなく、法第１７条第２項第５号及び規則第６条で32

定める者以外がインターネット上で公開している情報から本人の信条や犯定める者以外がインターネット上で公開している情報から本人の信条や犯罪歴等に関する情報を取得し、既に保有している当該本人に関する情報の罪歴等に関する情報を取得し、既に保有している当該本人に関する情報の一部として自己のデータベース等に登録すること。

一部として自己のデータベース等に登録すること。

・健保組合等は、適正な保険給付等を提供するという利用目的の達成に必・健保組合等は、適正な保険給付等を提供するという利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努め

要な範囲内において、個人データを正確かつ最新の内容に保つよう努め

なければならない。

なければならない。

・健保組合等は、保有する個人データについて利用する必要がなくなった・健保組合等は、保有する個人データについて利用する必要がなくなった

とき、すなわち、利用目的が達成され当該目的との関係では当該個人デとき、すなわち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達ータを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場

成されなかったものの当該目的の前提となる事業自体が中止となった場

合等は、当該個人データを遅滞なく消去するよう努めなければならない

合等は、当該個人データを遅滞なく消去するよう努めなければならない（※）
。なお、法令の定め及び規程により保存期間等が定められている場（※）
。なお、法令の定め及び規程により保存期間等が定められている場

合は、この限りではない。

合は、この限りではない。

（※）
「個人データの消去」とは、当該個人データを個人データとして使（※）
「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該データを削除することのほか、当該データえなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む。

から特定の個人を識別できないようにすること等を含む。

【その他の事項】【その他の事項】

・第三者提供により他の健保組合等から個人情報を取得したとき、当該・第三者提供により他の健保組合等から個人情報を取得したとき、当該個人情報の内容に疑義が生じた場合には、記載内容の事実に関して本

個人情報の内容に疑義が生じた場合には、記載内容の事実に関して本人に確認をとる。

人に確認をとる。

・健保組合等は、個人データの内容の正確性、最新性を確保するため、・健保組合等は、個人データの内容の正確性、最新性を確保するため、
33

Ⅲ５．
（２）②に示す委員会等において、具体的なルールを策定した

Ⅲ４．
（２）②に示す委員会等において、具体的なルールを策定した

り、技術水準向上のための研修の開催などを行うことが望ましい。

り、技術水準向上のための研修の開催などを行うことが望ましい。

・第三者提供（法第２７条第１項各号に掲げる場合並びに個人情報の取・第三者提供（法第２３条第１項各号に掲げる場合並びに個人情報の取扱いの委託、事業の承継及び共同利用に伴い、個人情報を提供する場

扱いの委託、事業の承継及び共同利用に伴い、個人情報を提供する場

合を除く。
）により、個人情報（令第２条第２号に規定するものから取合を除く。
）により、個人情報（令第２条第２号に規定するものから取得した個人情報を除く。
）を取得する場合には、提供元の法の遵守状況

得した個人情報を除く。
）を取得する場合には、提供元の法の遵守状況（例えば、オプトアウト（法第２７条第２項・第３項参照）、利用目（例えば、オプトアウト（法第２３条第２項・第３項参照）、利用目

的、開示手続、問合せ・苦情の受付窓口を公表していることなど）を的、開示手続、問合せ・苦情の受付窓口を公表していることなど）を確認し、個人情報を適切に管理している者を提供元として選定すると確認し、個人情報を適切に管理している者を提供元として選定するとともに、実際に個人情報を取得する際には、例えば、取得の経緯を示ともに、実際に個人情報を取得する際には、例えば、取得の経緯を示す契約書等の書面の点検又はこれに代わる合理的な方法により、当該す契約書等の書面の点検又はこれに代わる合理的な方法により、当該個人情報の取得方法等を確認した上で、当該個人情報が適法に取得さ個人情報の取得方法等を確認した上で、当該個人情報が適法に取得されたことが確認できない場合は、偽りその他不正の手段により取得されたことが確認できない場合は、偽りその他不正の手段により取得されたものである可能性もあることから、その取得を自粛することを含れたものである可能性もあることから、その取得を自粛することを含

め、慎重に対応することが望ましい。

め、慎重に対応することが望ましい。

５．安全管理措置、従業者の監督及び委託先の監督（法第２３条～第２５条） ４．安全管理措置、従業者の監督及び委託先の監督（法第２０条～第２２条）（安全管理措置）（安全管理措置）法第二十三条 個人情報取扱事業者は、その取り扱う個人データの漏えい、法第二十条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

切な措置を講じなければならない。

（従業者の監督）（従業者の監督）

法第二十四条 個人情報取扱事業者は、その従業者に個人データを取り扱

法第二十一条 個人情報取扱事業者は、その従業者に個人データを取り扱
34

わせるに当たっては、当該個人データの安全管理が図られるよう、当該わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

従業者に対する必要かつ適切な監督を行わなければならない。

（委託先の監督）（委託先の監督）

法第二十五条 個人情報取扱事業者は、個人データの取扱いの全部又は一

法第二十二条 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなけ図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

ればならない。

（１）健保組合等が講ずるべき安全管理措置等（１）健保組合等が講ずるべき安全管理措置等①安全管理措置①安全管理措置健保組合等は、その取り扱う個人データの漏えい、滅失又は毀損の健保組合等は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のため、組織的、人的、物理的、防止その他の個人データの安全管理のため、組織的、人的、物理的、及び技術的安全管理措置等を講じなければならない。また、外国にお及び技術的安全管理措置等を講じなければならない。その際、本人のいて個人データを取り扱う場合には、外的環境の把握を行ったうえ

個人データが漏えい、滅失又はき損等をした場合に本人が被る権利利で、これらの安全管理措置を講じなければならない。その際、本人の益の侵害の大きさを考慮し、事業の性質及び個人データの取扱い状況

個人データが漏えい、滅失又は毀損等をした場合に本人が被る権利利等に起因するリスクに応じ、必要かつ適切な措置を講ずるものとす

益の侵害の大きさを考慮し、事業の性質及び個人データの取扱い状況る。なお、その際には、個人データを記録した媒体の性質に応じた安等に起因するリスクに応じ、必要かつ適切な措置を講ずるものとす

全管理措置を講ずる。

る。なお、その際には、個人データを記録した媒体の性質に応じた安全管理措置を講ずる。
②従業者の監督②従業者の監督

健保組合等は、①の安全管理措置を遵守させるよう、従業者に対し健保組合等は、①の安全管理措置を遵守させるよう、従業者に対し必要かつ適切な監督をしなければならない。なお、「従業者」とは、当必要かつ適切な監督をしなければならない。なお、「従業者」とは、当該事業者の指揮命令を受けて業務に従事する者全てを含むものであ

該事業者の指揮命令を受けて業務に従事する者全てを含むものであ
35

り、また、雇用関係のある者のみならず、理事、派遣労働者等も含む

り、また、雇用関係のある者のみならず、理事、派遣労働者等も含むものである。

ものである。

「健康保険組合における個人情報保護の徹底について」（平成１４年「健康保険組合における個人情報保護の徹底について」（平成１４年

１２月２５日保保発第１２２５００１号）では、健康保険組合に対し

１２月２５日保険課長通知）では、健保組合に対して、服務規程等にて、服務規程等において、健康保険組合の役職員について職員の守秘おいて、健保組合の役職員について職員の守秘義務を課すこととして義務を課すこととしている。

いる。

③委託者の監督③委託者の監督

健保組合等は、個人データの取扱いの全部又は一部を委託する場

健保組合等は、個人データの取扱いの全部又は一部を委託する場

合、委託先において当該個人データの安全管理措置が適切に講じられ合、委託先において当該個人データの安全管理措置が適切に講じられるよう、「適切な委託先の選定」「安全管理措置の遵守事項を含む委託るよう、「適切な委託先の選定」「安全管理措置の遵守事項を含む委託契約の締結」「委託先における個人データ取扱状況の把握」により、委契約の締結」「委託先における個人データ取扱状況の把握」により、委託先に関して必要かつ適切な管理、監督をしなければならない。

託先に関して必要かつ適切な管理、監督をしなければならない。

（２）安全管理措置として考えられる事項（２）安全管理措置として考えられる事項

健保組合等は、その取り扱う個人データの重要性に鑑み、個人デー

健保組合等は、その取り扱う個人データの重要性に鑑み、個人データタの漏えい、滅失又は毀損の防止その他の安全管理のため、その規の漏えい、滅失又はき損の防止その他の安全管理のため、その規模、従模、従業者の様態等を勘案して、以下に示すような取組を参考に、必業者の様態等を勘案して、以下に示すような取組を参考に、必要な措置

要な措置を行うものとする。

を行うものとする。

また、同一健康保険組合が複数の事務所（支部）を有する場合、当また、同一健保組合が複数の事務所（支部）を有する場合、当該事務該事務所（支部）間の情報交換については第三者提供に該当しない

所（支部）間の情報交換については第三者提供に該当しないが、各事務

が、各事務所（支部）ごとに安全管理措置を講ずるなど、個人情報の所（支部）ごとに安全管理措置を講ずるなど、個人情報の利用目的を踏利用目的を踏まえた個人情報の安全管理を行う。

まえた個人情報の安全管理を行う。

36

①個人情報保護に関する規程の整備、公表①個人情報保護に関する規程の整備、公表

・健保組合等は、保有個人データの開示手順を定めた規程その他個人情・健保組合等は、保有個人データの開示手順を定めた規程その他個人情報保護に関する規程を整備し、苦情への対応体制も含めて、健保組合

報保護に関する規程を整備し、苦情への対応体制も含めて、健保組合等のホームページへの掲載のほか、パンフレットの配布、事業所担当

等のホームページへの掲載のほか、パンフレットの配布、事業所担当

窓口や健保組合等の掲示板への掲示・備付け、公告等を行うなど、被窓口や健保組合等の掲示板への掲示・備付け、公告等を行うなど、被保険者等に対して周知徹底を図る。

保険者等に対して周知徹底を図る。

・また、個人データを取り扱う情報システムの安全管理措置に関する規・また、個人データを取り扱う情報システムの安全管理措置に関する規程等についても同様に整備を行うこと。

程等についても同様に整備を行うこと。

②個人情報保護推進のための組織体制等の整備②個人情報保護推進のための組織体制等の整備

・従業者の責任体制の明確化を図り、具体的な取組を進めるため、健保・従業者の責任体制の明確化を図り、具体的な取組を進めるため、健保組合等における個人情報保護に関し十分な知識を有する者を個人デー

組合等における個人情報保護に関し十分な知識を有する者を個人デー

タの安全管理の実施及び運用に関する責任及び権限を有する個人情報

タの安全管理の実施及び運用に関する責任及び権限を有する個人情報取扱責任者（例えば、役員などの組織横断的に監督することのできる取扱責任者（例えば、役員などの組織横断的に監督することのできる者）、個人情報管理担当者又は情報システム監査責任者等として定めた者）、個人情報管理担当者又は情報システム監査責任者等として定めた

り、個人情報保護の推進を図るための部署、委員会等を設置する。

り、個人情報保護の推進を図るための部署、委員会等を設置する。

・健保組合等で行っている個人データの安全管理措置について定期的に自己評価を行い、見直しや改善を行うべき事項について適切な改善を・健保組合等で行っている個人データの安全管理措置について定期的に行う。

自己評価を行い、見直しや改善を行うべき事項について適切な改善を・情報システム監査責任者は、個人情報保護対策の徹底に関して監査を行う。

行い、必要に応じ、個人情報保護対策及び最新の技術動向を踏まえた

・情報システム監査責任者は、個人情報保護対策の徹底に関して監査を

情報セキュリティ対策に十分な知見を有する者による事業所内の対応行い、必要に応じ、個人情報保護対策及び最新の技術動向を踏まえたの確認（外部の知見を有する者を活用し確認させることを含む。
）を実情報セキュリティ対策に十分な知見を有する者による事業所内の対応施する。

の確認（外部の知見を有する者を活用し確認させることを含む。
）を実
37

施する。
③個人データの漏えい等の問題が発生した場合等における報告連絡体制の整備③個人データの漏えい等の問題が発生した場合等における報告連絡体制

・１）個人データの漏えい等の事故が発生した場合、又は発生の可能性の整備が高いと判断した場合、２）個人データの取扱いに関する規程等に違反

・１）個人データの漏えい等の事故が発生した場合、又は発生の可能性

している事実が生じた場合、又は兆候が高いと判断した場合における責が高いと判断した場合、２）個人データの取扱いに関する規程等に違任者等への報告連絡体制の整備を行う。

反している事実が生じた場合、又は兆候が高いと判断した場合におけ・個人データの漏えい等の情報は、苦情等の一環として、外部から報告

る責任者等への報告連絡体制の整備を行う。

される場合も想定されることから、苦情への対応体制との連携も図る。

・個人データの漏えい等の情報は、苦情等の一環として、外部から報告（Ⅲ１５．参照）される場合も想定されることから、苦情への対応体制との連携も図る。（Ⅲ１３．参照）④雇用契約時における個人情報保護に関する規程の整備
・雇用契約や就業規則において、就業期間中はもとより離職後も含めた④雇用契約時における個人情報保護に関する規程の整備

守秘義務を課すなど従業者の個人情報保護に関する規程を整備し、徹・雇用契約や就業規則において、就業期間中はもとより離職後も含めた底を図る。

守秘義務を課すなど従業者の個人情報保護に関する規程を整備し、徹底を図る。

⑤従業者に対する教育研修の実施
・取り扱う個人データの適切な保護が確保されるよう、従業者に対する⑤従業者に対する教育研修の実施

教育研修の実施等により、個人データを実際の業務で取り扱うことと・取り扱う個人データの適切な保護が確保されるよう、従業者に対するなる従業者の啓発を図り、従業者の個人情報保護意識を徹底する。

教育研修の実施等により、個人データを実際の業務で取り扱うこととなる従業者の啓発を図り、従業者の個人情報保護意識を徹底する。

⑥物理的安全管理措置
・個人データの盗難・紛失等を防止するため、以下のような物理的安全⑥物理的安全管理措置

管理措置を行う。

・個人データの盗難・紛失等を防止するため、以下のような物理的安全
38

－入退館（室）管理の実施（カメラによる撮影や作業への立会い等に管理措置を行う。

よる記録又は監視の実施）－入退館（室）管理の実施（カメラによる撮影や作業への立会い等に－盗難等に対する予防対策の実施

よる記録又は監視の実施）－機器、装置等の固定など物理的な保護－盗難等に対する予防対策の実施－記録機能を持つ媒体の持込み・持出し禁止又は検査の実施－機器、装置等の固定など物理的な保護－記録機能を持つ媒体の接続の禁止又は制限－記録機能を持つ媒体の持込み・持出し禁止又は検査の実施－離席時等におけるパソコン等のパスワードロックの実施－記録機能を持つ媒体の接続の禁止又は制限－離席時等におけるパソコン等のパスワードロックの実施⑦技術的安全管理措置
・個人データの盗難・紛失等を防止するため、「個人情報の適切な取扱い⑦技術的安全管理措置に係る基幹システムのセキュリティ対策の強化について（再要請）」

・個人データの盗難・紛失等を防止するため、「個人情報の適切な取扱い（平成２７年１２月１８日老発１２１８第１号・保発１２１８第１に係る基幹システムのセキュリティ対策の強化について（再要請）」号）の主旨に則り、個人データを取り扱う情報システムについて以下（平成２７年１２月１８日通知）の主旨に則り、個人データを取り扱のような技術的安全管理措置を行う。

う情報システムについて以下のような技術的安全管理措置を行う。

－個人データに対するアクセス管理（ＩＤやパスワード等による認証、各職員の業務内容に応じて業務上必要な範囲にのみアクセスで－個人データに対するアクセス管理（ＩＤやパスワード等による認きるようなシステム構成の採用等）

証、各職員の業務内容に応じて業務上必要な範囲にのみアクセスで－個人データに対するアクセス記録の保存

きるようなシステム構成の採用等）－個人データに対するファイアウォールの設置－個人データに対するアクセス記録の保存－個人データに対する暗号化・パスワードの設定－個人データに対するファイアウォールの設置－個人データへのアクセスや操作の記録及び不正が疑われる異常な記－個人データに対する暗号化・パスワードの設定

録の存否の定期的な確認－個人データへのアクセスや操作の記録及び不正が疑われる異常な記－基幹システムに接続されたネットワークとインターネットに接続さ録の存否の定期的な確認れたネットワークの物理的又は論理的分離－基幹システムに接続されたネットワークとインターネットに接続さ39

－ソフトウェアに関する脆弱性対策（セキュリティパッチの適用、当れたネットワークの物理的又は論理的分離

該情報システム固有の脆弱性の発見及びその修正等）－ソフトウェアに関する脆弱性対策（セキュリティパッチの適用、当－ソフトウェア及びハードウェア等の必要かつ適切な時期における更該情報システム固有の脆弱性の発見及びその修正等）

新－ソフトウェア及びハードウェア等の必要かつ適切な時期における更新⑧個人データの保存・個人データを長期にわたって保存する場合には、保存媒体の劣化防止⑧個人データの保存など個人データが消失しないよう適切に保存する。

・個人データを長期にわたって保存する場合には、保存媒体の劣化防止

・個人データの保存に当たっては、本人からの照会等に対応する場合ななど個人データが消失しないよう適切に保存する。

ど必要なときに迅速に対応できるよう、インデックスの整備など検索・個人データの保存に当たっては、本人からの照会等に対応する場合な可能な状態で保存しておく。

ど必要なときに迅速に対応できるよう、インデックスの整備など検索可能な状態で保存しておく。

⑨不要となった個人データの廃棄、消去
・不要となった個人データを廃棄する場合には、焼却や溶解など、個人⑨不要となった個人データの廃棄、消去

データを復元不可能な形にして廃棄する。

・不要となった個人データを廃棄する場合には、焼却や溶解など、個人・個人データを取り扱った情報機器を廃棄する場合は、記憶装置内の個データを復元不可能な形にして廃棄する。

人データを復元不可能な形に消去して廃棄する。

・個人データを取り扱った情報機器を廃棄する場合は、記憶装置内の個・これらの廃棄業務を委託する場合には、個人データの取扱いについて

人データを復元不可能な形に消去して廃棄する。

も委託契約において明確に定める。

・これらの廃棄業務を委託する場合には、個人データの取扱いについても委託契約において明確に定める。

（３）業務を委託する場合の取扱い（３）業務を委託する場合の取扱い①委託先の監督①委託先の監督

健保組合等は、レセプトのパンチ（入力）・点検業務、健康保険被保健保組合等は、レセプトのパンチ（入力）・点検業務、健康保険被保40険者証の作成、人間ドック等の健診、保健指導等個人データの取扱い

険者証の作成、人間ドック等の健診、保健指導等個人データの取扱いの全部又は一部を委託する場合、法第２３条に基づく安全管理措置をの全部又は一部を委託する場合、法第２０条に基づく安全管理措置を遵守させるよう受託者に対し、必要かつ適切な監督をしなければなら遵守させるよう受託者に対し、必要かつ適切な監督をしなければなら

ない。

ない。

「必要かつ適切な監督」には、委託契約において委託者である事業「必要かつ適切な監督」には、委託契約において委託者である事業者が定める安全管理措置の内容を契約に盛り込み受託者の義務とする者が定める安全管理措置の内容を契約に盛り込み受託者の義務とする

ほか、業務が適切に行われていることを定期的に確認することなども

ほか、業務が適切に行われていることを定期的に確認することなども

含まれる。

含まれる。

また、業務が再委託された場合で、再委託先が不適切な取扱いを行

また、業務が再委託された場合で、再委託先が不適切な取扱いを行ったことにより、問題が生じた場合は、健保組合等や再委託した事業ったことにより、問題が生じた場合は、健保組合等や再委託した事業者が責めを負うこともあり得る。

者が責めを負うこともあり得る。

②業務を委託する場合の留意事項②業務を委託する場合の留意事項

健保組合等関係事業者は、個人データの取扱いの全部又は一部を委

健保組合等関係事業者は、個人データの取扱いの全部又は一部を委託する場合、以下の事項に留意すべきである。

託する場合、以下の事項に留意すべきである。

・個人情報を適切に取り扱っている事業者を委託先（受託者）とし・個人情報を適切に取り扱っている事業者を委託先（受託者）としてて選定すること。委託先の選定に当たっては、委託先の安全管理措

選定すること。委託先の選定に当たっては、委託先の安全管理措置

置が、少なくとも法第２３条で求められているものと同様であるこが、少なくとも法第２０条で求められているものと同様であることとを確認するため、委託先の体制、規程等の確認に加え、必要に応を確認するため、委託先の体制、規程等の確認に加え、必要に応じじて個人データを取り扱う場所に赴く又はこれに代わる合理的な方て個人データを取り扱う場所に赴く又はこれに代わる合理的な方法

法による確認を行った上で、個人情報取扱責任者等が、適切に評価による確認を行った上で、個人情報取扱責任者等が、適切に評価すすることが望ましい。

ることが望ましい。

・契約において、委託している業務の内容、委託先事業者、個人情報

・契約において、委託している業務の内容、委託先事業者、個人情報
41

の適切な取扱いに関する内容を盛り込み（委託期間中のほか、委託の適切な取扱いに関する内容を盛り込み（委託期間中のほか、委託終了後の個人データの取扱いも含む。）、契約内容を公表すること。

終了後の個人データの取扱いも含む。）、契約内容を公表すること。

・受託者が個人情報を適切に取り扱っていることを定期的に確認する・受託者が個人情報を適切に取り扱っていることを定期的に確認する

こと。

こと。

・受託者における個人情報の取扱いに疑義が生じた場合（被保険者等・受託者における個人情報の取扱いに疑義が生じた場合（被保険者等からの申出があり、確認の必要があると考えられる場合を含む。
）にからの申出があり、確認の必要があると考えられる場合を含む。
）には、受託者に対し、説明を求め、必要に応じ改善を求める等適切なは、受託者に対し、説明を求め、必要に応じ改善を求める等適切な措置をとること。

措置をとること。

（削る）

・なお、個人情報保護の観点から、可能な限り、個人情報をマスキン
グすることにより、当該個人情報を匿名化した上で、委託するよう努めること。

・また、委託するに当たっては、本来必要とされる情報の範囲に限っ

・また、委託するに当たっては、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項にて提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないよう努めること。

ついてまで他の事業者に提供することがないよう努めること。

＊健康保険組合における業者委託に関する通知＊健保組合における業者委託に関する通知

上記の留意事項のほか、業者委託に関する通知を遵守する。

上記の留意事項のほか、業者委託に関する通知を遵守する。

・「個人情報保護の徹底について」（平成１４年１２月２５日保発第１・「個人情報保護の徹底について」（平成１４年１２月２５日保発第１２２５００３号）

２２５００３号）

・「健康保険組合における個人情報保護の徹底について」（平成１４年

・「健康保険組合における個人情報保護の徹底について」（平成１４年

１２月２５日保保発第１２２５００１号）の「４．個人情報の処理

１２月２５日保保発第１２２５００１号）の「４．個人情報の処理に関する外部委託に関する措置」

に関する外部委託に関する措置」③業務を再委託する場合の留意事項③業務を再委託する場合の留意事項
42

健康保険組合は、個人情報に関する処理の全部又は一部を再委託す

健康保険組合は、個人情報に関する処理の全部又は一部を再委託する場合、以下の事項に留意すべきである。

る場合、以下の事項に留意すべきである。

・個人情報を含む業務を再委託すること自体は禁じられてはいない

・個人情報を含む業務を再委託すること自体は禁じられてはいない

が、健康保険組合との直接の契約関係を伴わない個人情報に関するが、健康保険組合との直接の契約関係を伴わない個人情報に関する処理の再委託は行わないこと。
（「健康保険組合における個人情報保処理の再委託は行わないこと。
（「健康保険組合における個人情報保護の徹底について」（平成１４年１２月２５日保保発第１２２５００

護の徹底について」（平成１４年１２月２５日保保発第１２２５００

１号）の「４．個人情報の処理に関する外部委託に関する措置」）

１号）の「４．個人情報の処理に関する外部委託に関する措置」）

・なお、個人情報を含む業務の再委託や個人情報に関する処理の再委

・なお、個人情報を含む業務の再委託や個人情報に関する処理の再委託をする場合には、個人情報保護の観点から、本来必要とされる情託をする場合には、個人情報保護の観点から、可能な限り、個人情報の範囲に限って提供すべきであり、情報提供する上で必要とされ報をマスキングすることにより、当該個人情報を匿名化した上で、ていない事項についてまで他の事業者に提供することがないよう努

委託先から再委託先へ個人情報が提供されないよう努めること。

めること。
この場合において、健康保険組合は第一次委託先と委託契約を締結

この場合において、健保組合は第一次委託先と委託契約を締結するするに当たっては、第一次委託先が、上記通知の基準に掲げる事項をに当たっては、第一次委託先が、上記通知の基準に掲げる事項を遵守

遵守するよう委託契約上明記することはもちろんのこと、これに加するよう委託契約上明記することはもちろんのこと、これに加え、当え、当該委託契約において、再委託するに当たっては、第一次委託先

該委託契約において、再委託するに当たっては、第一次委託先は、再は、再委託の可否及び再委託を行うに当たっての委託元への文書によ委託の可否及び再委託を行うに当たっての委託元への文書による事前る事前報告又は承認を行うことや当該再委託契約上、再委託先に対し報告又は承認を行うことや当該再委託契約上、再委託先に対して、同て、同通知の基準に掲げる事項を遵守することを明記するよう、第一通知の基準に掲げる事項を遵守することを明記するよう、第一次委託

次委託契約上明記すること。

契約上明記すること。

なお、第一次委託先が再委託を行おうとする場合は、健康保険組合

なお、第一次委託先が再委託を行おうとする場合は、健康保険組合

は委託を行う場合と同様、再委託の相手方、再委託する業務内容及びは委託を行う場合と同様、再委託の相手方、再委託する業務内容及び再委託先の個人データの取扱方法等について、第一次委託先に事前報

再委託先の個人データの取扱方法等について、第一次委託先に事前報
43

告又は承認手続を求める、直接又は第一次委託先を通じて定期的に監告又は承認手続を求める、直接又は第一次委託先を通じて定期的に監査を実施する等により、第一次委託先が再委託先に対して本条の第一査を実施する等により、第一次委託先が再委託先に対して本条の第一次委託先の監督を適切に果たすこと、再委託先が法第２３条に基づく

次委託先の監督を適切に果たすこと、再委託先が法第２０条に基づく

安全管理措置を講ずることを十分に確認することが望ましい。

安全管理措置を講ずることを十分に確認することが望ましい。

（４）レセプトの紙以外の媒体による保存等又はそれらの外部委託を行う場（４）レセプトの紙以外の媒体による保存等又はそれらの外部委託を行う場

合の取扱い

合の取扱い

（略）
（削る）

（略）
（５）個人情報の漏えい等の問題が発生した場合における二次被害の防止等
個人情報の漏えい等の問題が発生した場合には、二次被害の防止、類似事案の発生回避等の観点から、個人情報の保護に配慮しつつ、可能な限り事実関係を公表するとともに、所管の地方厚生局に速やかに報告する。
また、個人データの漏えい等の問題が発生した場合には、「個人データの漏えい等の事案が発生した場合等の対応について」（平成２９年個人情報保護委員会告示第１号）に基づき、①事業者内部における報告及び被害の拡大防止、②事実関係の調査及び原因の究明、③影響範囲の特定、④再発防止策の検討及び実施、⑤影響を受ける可能性のある本人への連絡等、⑥事実関係及び再発防止策等の公表の必要な措置を講ずることが望ましい。また、漏えい等事案が発覚した場合には、その事実関係及び再発防止策等について、個人情報保護委員会に対し、速やかに報告するよう努めるものとする。
44

ただし、法第４７条第１項に規定する認定個人情報保護団体の対象事業者である健保組合等は、所属の認定個人情報保護団体に速やかに報告するよう努めるものとする。
【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

・健保組合等は、その取り扱う個人データの漏えい、滅失又は毀損の防・健保組合等は、その取り扱う個人データの漏えい、滅失又はき損の防止その他個人データの安全管理のために必要かつ適切な措置を講じな

止その他個人データの安全管理のために必要かつ適切な措置を講じなければならない。

ければならない。

・健保組合等は、その従業者に個人データを取り扱わせるに当たって・健保組合等は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対するは、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

必要かつ適切な監督を行わなければならない。

・健保組合等は、個人データの取扱いの全部又は一部を委託する場合

・健保組合等は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならな委託を受けた者に対する必要かつ適切な監督を行わなければならな

い。

い。

【その他の事項】【その他の事項】（略）（略）

６．漏えい等の報告等（法第２６条）（新設）（漏えい等の報告等）（新設）

法第二十六条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員
45

会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。
２

前項に規定する場合には、個人情報取扱事業者（同項ただし書の規定による通知をした者を除く。
）は、本人に対し、個人情報保護委員会
規則で定めるところにより、当該事態が生じた旨を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

規則第七条 法第二十六条第一項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。
一

要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第一項において同じ。
）の漏えい、滅失若しくは毀損（以下この条及び次条第一項において「漏えい等」という。）が発生し、又は発生したおそれがある事態
二

不正に利用されることにより財産的被害が生じるおそれがある個

人データの漏えい等が発生し、又は発生したおそれがある事態
46

三

不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
四

個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態
規則第八条 個人情報取扱事業者は、法第二十六条第一項本文の規定による報告をする場合には、前条各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。次条において同じ。
）を報告しなければ
ならない。
一

概要

二

漏えい等が発生し、又は発生したおそれがある個人データの項目

三

漏えい等が発生し、又は発生したおそれがある個人データに係る

本人の数
原因

五

二次被害又はそのおそれの有無及びその内容

六

本人への対応の実施状況

七

公表の実施状況

八

再発防止のための措置

九

その他参考となる事項

２

四

前項の場合において、個人情報取扱事業者は、当該事態を知った日
から三十日以内（当該事態が前条第三号に定めるものである場合にあっては、六十日以内）に、当該事態に関する前項各号に定める事項を報告しなければならない。

３

法第二十六条第一項本文の規定による報告は、次の各号に掲げる場
47

合の区分に応じ、それぞれ当該各号に定める方法により行うものとする。
一

個人情報保護委員会に報告する場合 電子情報処理組織(個人情報保護委員会の使用に係る電子計算機と報告をする者の使用に係る電子計算機とを電気通信回線で接続した電子情報処理組織をいう。以下この項において同じ。
）を使用する方法（電気通信回線の故障、災害その他の理由により電子情報処理組織を使用することが困難であると認められる場合にあっては、別記様式第一による報告書を提出する方法）
二

法第百四十七条第一項の規定により、法第二十六条第一項の規定による権限の委任を受けた事業所管大臣に報告する場合 別記様式
第一による報告書を提出する方法（当該事業所管大臣が別に定める
場合にあっては、その方法）
規則第九条 個人情報取扱事業者は、法第二十六条第一項ただし書の規定による通知をする場合には、第七条各号に定める事態を知った後、速やかに、前条第一項各号に定める事項を通知しなければならない。
規則第十条 個人情報取扱事業者は、法第二十六条第二項本文の規定による通知をする場合には、第七条各号に定める事態を知った後、当該事態の状況に応じて速やかに、当該本人の権利利益を保護するために必要な範囲において、第八条第一項第一号、第二号、第四号、第五号
及び第九号に定める事項を通知しなければならない。
個人データの「漏えい」とは、個人データが外部に流出すること、「滅失」とは個人データの内容が失われること、「毀損」とは個人データの内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となること
48

（新設）

をいう。
個人データの漏えい等やそのおそれのある事案（以下「漏えい等事案」という。
）が発覚した場合は、規則で定めるところにより、個人情報保護委員会への報告等を行わなければならない。また、健保組合等において漏えい等事案が発覚した場合は、所管の地方厚生（支）局に速やかに報告する必要がある。詳細は、別途定める通則ガイドラインを参照のこと。
【法の規定により遵守すべき事項等】
・健保組合等において、漏えい等事案が発覚した場合には、当該事案の内容等に応じて、次の①～⑤に掲げる事項について必要な措置を講じなければならない。
①健保組合等内部における報告及び被害の拡大防止②事実関係の調査及び原因の究明③影響範囲の特定④再発防止策の検討及び実施⑤個人情報保護委員会への報告及び本人への通知
７．個人データの第三者提供（法第２７条）

５．個人データの第三者提供（法第２３条）（第三者提供の制限）（第三者提供の制限）

法第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あら法第二十三条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならな

かじめ本人の同意を得ないで、個人データを第三者に提供してはならな

い。

い。

一

法令に基づく場合

一 法令に基づく場合

二人の生命、身体又は財産の保護のために必要がある場合であって、二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

本人の同意を得ることが困難であるとき。
49

三

公衆衛生の向上又は児童の健全な育成の推進のために特に必要があ

三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要があ

る場合であって、本人の同意を得ることが困難であるとき。
四る場合であって、本人の同意を得ることが困難であるとき。

国の機関若しくは地方公共団体又はその委託を受けた者が法令の定

四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれが本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれが

あるとき。

あるとき。

五

当該個人情報取扱事業者が学術研究機関等である場合であって、当（新設）

該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除
く。
）
。
六

当該個人情報取扱事業者が学術研究機関等である場合であって、当（新設）

該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。）。
七

当該第三者が学術研究機関等である場合であって、当該第三者が当（新設）

該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
２

個人情報取扱事業者は、第三者に提供される個人データについて、本２

個人情報取扱事業者は、第三者に提供される個人データ（要配慮個人

人の求めに応じて当該本人が識別される個人データの第三者への提供を

情報を除く。以下この項において同じ。
）について、本人の求めに応じて停止することとしている場合であって、次に掲げる事項について、個人

当該本人が識別される個人データの第三者への提供を停止することとし

情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、ている場合であって、次に掲げる事項について、個人情報保護委員会規又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易
50届け出たときは、前項の規定にかかわらず、当該個人データを第三者にに知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、提供することができる。ただし、第三者に提供される個人データが要配

前項の規定にかかわらず、当該個人データを第三者に提供することがで慮個人情報又は第二十条第一項の規定に違反して取得されたもの若しく

きる。

は他の個人情報取扱事業者からこの項本文の規定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む。）である場合は、
この限りでない。
一

第三者への提供を行う個人情報取扱事業者の氏名又は名称及び住所（新設）並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。以下この条、第三十条第一項第一号及び第三十二条第一項第一号において同
じ。
）の氏名
二

第三者への提供を利用目的とすること。

一 第三者への提供を利用目的とすること。

三

第三者に提供される個人データの項目

二 第三者に提供される個人データの項目

四第三者に提供される個人データの取得の方法

（新設）

五

第三者への提供の方法

三 第三者への提供の方法

六

本人の求めに応じて当該本人が識別される個人データの第三者への

四 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。

提供を停止すること。

七

本人の求めを受け付ける方法

五 本人の求めを受け付ける方法

八その他個人の権利利益を保護するために必要なものとして個人情報（新設）保護委員会規則で定める事項
３ 個人情報取扱事業者は、前項第一号に掲げる事項に変更があったとき又３

個人情報取扱事業者は、前項第二号、第三号又は第五号に掲げる事項

は同項の規定による個人データの提供をやめたときは遅滞なく、同項第を変更する場合は、変更する内容について、個人情報保護委員会規則で三号から第五号まで、第七号又は第八号に掲げる事項を変更しようとす定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知るときはあらかじめ、その旨について、個人情報保護委員会規則で定めり得る状態に置くとともに、個人情報保護委員会に届け出なければなら51

るところにより、本人に通知し、又は本人が容易に知り得る状態に置くない。

とともに、個人情報保護委員会に届け出なければならない。
４

個人情報保護委員会は、第二項の規定による届出があったときは、個４

個人情報保護委員会は、第二項の規定による届出があったときは、個

人情報保護委員会規則で定めるところにより、当該届出に係る事項を公人情報保護委員会規則で定めるところにより、当該届出に係る事項を公表しなければならない。前項の規定による届出があったときも、同様と表しなければならない。前項の規定による届出があったときも、同様と

する。

する。

５

次に掲げる場合において、当該個人データの提供を受ける者は、前各５次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。

号の規定の適用については、第三者に該当しないものとする。

一

個人情報取扱事業者が利用目的の達成に必要な範囲内において個人

一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人

データの取扱いの全部又は一部を委託することに伴って当該個人デー

データの取扱いの全部又は一部を委託することに伴って当該個人デー

タが提供される場合

タが提供される場合

二

合併その他の事由による事業の承継に伴って個人データが提供され二 合併その他の事由による事業の承継に伴って個人データが提供され

る場合
三

６

る場合

特定の者との間で共同して利用される個人データが当該特定の者に三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人デー提供される場合であって、その旨並びに共同して利用される個人デー

タの項目、共同して利用する者の範囲、利用する者の利用目的並びにタの項目、共同して利用する者の範囲、利用する者の利用目的及び当

当該個人データの管理について責任を有する者の氏名又は名称及び住該個人データの管理について責任を有する者の氏名又は名称につい所並びに法人にあっては、その代表者の氏名について、あらかじめ、て、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置

本人に通知し、又は本人が容易に知り得る状態に置いているとき。

いているとき。

個人情報取扱事業者は、前項第三号に規定する個人データの管理につ

６

個人情報取扱事業者は、前項第三号に規定する利用する者の利用目的

いて責任を有する者の氏名、名称若しくは住所又は法人にあっては、そ又は個人データの管理について責任を有する者の氏名若しくは名称を変の代表者の氏名に変更があったときは遅滞なく、同号に規定する利用す更する場合は、変更する内容について、あらかじめ、本人に通知し、又る者の利用目的又は当該責任を有する者を変更しようとするときはあらは本人が容易に知り得る状態に置かなければならない。

かじめ、その旨について、本人に通知し、又は本人が容易に知り得る状52

態に置かなければならない。
規則第十一条 法第二十七条第二項又は第三項の規定による通知又は容易（新設）に知り得る状態に置く措置は、次に掲げるところにより、行うものとする。
一

第三者に提供される個人データによって識別される本人（次号において「本人」という。
）が当該提供の停止を求めるのに必要な期間をおくこと。
二

本人が法第二十七条第二項各号に掲げる事項を確実に認識できる適切かつ合理的な方法によること。
２

法第二十七条第二項又は第三項の規定による届出は、次に掲げる方法のいずれかにより行わなければならない。
一

電子情報処理組織（個人情報保護委員会の使用に係る電子計算機と届出を行う者の使用に係る電子計算機とを電気通信回線で接続した電子情報処理組織をいう。
）を使用する方法
二

別記様式第二（法第二十七条第三項の規定による個人データの提供をやめた旨の届出を行う場合にあっては、別記様式三）による届出書及び当該届出書に記載すべき事項を記録した光ディスク（これに準ずる方法により一定の事項を確実に記録しておくことができる物を含む。以下「光ディスク等」という。
）を提出する方法
３

個人情報取扱事業者が、代理人によって法第二十七条第二項又は第三項の規定による届出を行う場合には、別記様式第四によるその権限を証する書面（電磁的記録を含む。第十七条第一項、第十八条第二項、第三十条、第四十七条第一項、第四十八条第二項、第五十四条第二項、第六53項及び第七項、第六十条並びに第六十六条第二項を除き、以下同じ。
）を
個人情報保護委員会に提出しなければならない。
４

法第二十七条第二項第八号の個人情報保護委員会規則で定める事項
は、次に掲げる事項とする。
一

第三者に提供される個人データの更新の方法

二

当該届出に係る個人データの第三者への提供を開始する予定日

規則第十三条 法第二十七条第四項の規定による公表は、同条第二項又は（新設）

第三項の規定による届出があった後、遅滞なく、インターネットの利用
その他の適切な方法により行うものとする。
規則第十四条 個人情報取扱事業者は、法第二十七条第四項の規定による（新設）公表がされた後、速やかに、インターネットの利用その他の適切な方法により、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項を公表するものとする。
一

法第二十七条第二項の規定による届出を行った場合 同項各号に掲げる事項
二法第二十七条第三項の規定による変更の届出を行った場合 変更後の同条第二項各号に掲げる事項
三

法第二十七条第三項の規定による個人データの提供をやめた旨の届出を行った場合 その旨（１）第三者提供の取扱い（１）第三者提供の取扱い（略）（２）第三者提供の例外（略）（２）第三者提供の例外

ただし、次に掲げる場合については、本人の同意を得る必要はない。

ただし、次に掲げる場合については、本人の同意を得る必要はない。
54

①法令に基づく場合①法令に基づく場合

健康保険法第２９条又は第１９８条に基づく立入検査等、法令に健康保険法第２９条又は第１９８条に基づく立入検査等、法令に基づいて個人情報を利用する場合（Ⅲ１．（２）①参照）

基づいて個人情報を利用する場合（Ⅲ１．（２）①参照）②人の生命、身体又は財産の保護のために必要がある場合であって、②人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき本人の同意を得ることが困難であるとき

（例）

（例）

・意識不明となった被保険者等について、家族の連絡先等に関する情・意識不明となった被保険者等について、家族の連絡先等に関する情報を医療機関等に提供する場合

報を医療機関等に提供する場合※なお、「本人の同意を得ることが困難であるとき」には、本人に同意※なお、「本人の同意を得ることが困難であるとき」には、本人に同意を求めても同意しない場合、本人に同意を求める手続きを経るまでを求めても同意しない場合、本人に同意を求める手続きを経るまでもなく本人の同意を得ることができない場合等が含まれるものであもなく本人の同意を得ることができない場合等が含まれるものである。

る。

③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある③公衆衛生の向上又は児童の健全な育成の推進のために特に必要があ場合であって、本人の同意を得ることが困難であるときる場合であって、本人の同意を得ることが困難であるとき

（例）

（例）

・疫学上の調査・研究のために、健康診査やがん検診等から得られた情・疫学上の調査・研究のために、健康診査やガン検診等から得られた報を個人名を伏せて研究者に提供する場合

情報を個人名を伏せて研究者に提供する場合

・医療安全の向上のため、健康保険組合にレセプトを提出する医療機関

・医療安全の向上のため、健保組合にレセプトを提出する医療機関でで発生した医療事故等に関する国、地方公共団体又は第三者機関等へ発生した医療事故等に関する国、地方公共団体又は第三者機関等への情報提供のうち、氏名等の情報が特に必要な場合の情報提供のうち、氏名等の情報が特に必要な場合

55

④国の機関若しくは地方公共団体又はその委託を受けた者が法令の定め④国の機関若しくは地方公共団体又はその委託を受けた者が法令の定る事務を遂行することに対して協力する必要がある場合であって、本める事務を遂行することに対して協力する必要がある場合であっ人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあて、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおるときそれがあるとき

⑤個人情報取扱事業者が学術研究機関等である場合であって、当該個人（新設）

データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。
）⑥個人情報取扱事業者が学術研究機関等である場合であって、当該個人（新設）

データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。）⑦第三者が学術研究機関等である場合であって、当該第三者が当該個人（新設）

データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（例）
・学術研究機関等が、健保組合等の保有する個人データを学術研究目的で取り扱う必要がある場合（３）本人の同意が得られていると考えられる場合（３）本人の同意が得られていると考えられる場合
56

（略）
（４）
「第三者」に該当しない場合（略）（４）「第三者」に該当しない場合①他の事業者等への情報の提供であるが、「第三者」に該当しない場合①他の事業者等への情報の提供であるが、「第三者」に該当しない場合

法第２７条第５項各号に掲げる場合の当該個人データの提供を受け法第２３条第５項各号に掲げる場合の当該個人データの提供を受ける者については、第三者に該当せず、本人の同意を得ずに情報の提供

る者については、第三者に該当せず、本人の同意を得ずに情報の提供を行うことができる。健保組合等における具体的事例は以下のとおりを行うことができる。健保組合等における具体的事例は以下のとおり

である。

である。

・レセプト点検、保健指導等の業務を委託する場合

・レセプト点検、保健指導等の業務を委託する場合

・個人データを特定の者との間で共同して利用するとして、あらかじ・個人データを特定の者との間で共同して利用するとして、あらかじめ本人に通知等している場合

め本人に通知等している場合※個人データの共同での利用における留意事項※個人データの共同での利用における留意事項

健康保険組合と労働安全衛生法に規定する事業者が共同で健康診断を健保組合と労働安全衛生法に規定する事業者が共同で健康診断を実施

実施している場合又は共同で事業主健診や特定健康診査、特定保健指導

している場合又は共同で健診結果を用いて事後指導を実施している場合等の情報を用いて保健事業を実施している場合など、あらかじめ個人デなど、あらかじめ個人データを特定の者との間で共同して利用することータを特定の者との間で共同して利用することが予定されている場合、が予定されている場合、(ｱ)共同して利用される個人データの項目、(ｲ)(ｱ)共同して利用される個人データの項目、(ｲ)共同利用者の範囲（個別

共同利用者の範囲（個別列挙されているか、本人から見てその範囲が明列挙されているか、本人から見てその範囲が明確となるように特定され確となるように特定されている必要がある）、(ｳ)利用する者の利用目ている必要がある）、(ｳ)利用する者の利用目的、(ｴ)当該個人データの管的、(ｴ)当該個人データの管理について責任を有する者の氏名又は名称、理について責任を有する者の氏名又は名称及び住所並びに法人にあってをあらかじめ本人に通知し、又は本人が容易に知り得る状態においておは、その代表者の氏名、をあらかじめ本人に通知し、又は本人が容易にくとともに、共同して利用することを明らかにしている場合には、当該知り得る状態においておくとともに、共同して利用することを明らかに

共同利用者は第三者に該当しない。
57

している場合には、当該共同利用者は第三者に該当しない。
この場合、(ｱ)、(ｲ)については変更することができず、(ｳ)、(ｴ)につ

この場合、(ｱ)、(ｲ)については変更することができず、(ｳ)、(ｴ)については、本人が想定することが困難でない範囲内で変更することがでいては、本人が想定することが困難でない範囲内で変更することができ、変更前、本人に通知又は本人の容易に知り得る状態におかなければ

き、変更前、本人に通知又は本人の容易に知り得る状態におかなければ

ならない。

ならない。

なお、共同利用でない場合は、健康保険組合と労働安全衛生法に規定

なお、共同利用でない場合は、健康保険組合と労働安全衛生法に規定する事業者は、異なる主体となるため、健康保険組合が事業者に健診結する事業者は、異なる主体となるため、それらが健診結果を共有するに果を提供するに当たっては、被保険者又は労働者の同意を要することと当たっては、被保険者又は労働者の同意を要することとなる。

なる。
（なお、健康保険法第１５０条第２項に基づき、健康保険組合が事業者に対して健診結果の提供を求め、事業者がこれに応じて健診結果を提供した場合は、被保険者又は労働者の同意は不要。（Ⅲ４．参照））②同一事業者内における情報の提供であり、第三者に該当しない場合②同一事業者内における情報の提供であり、第三者に該当しない場合

同一事業者内で情報の提供する場合は、当該個人データを第三者に同一事業者内で情報の提供する場合は、当該個人データを第三者に提供したことにはならないので、本人の同意を得ずに情報の提供を行提供したことにはならないので、本人の同意を得ずに情報の提供を行うことができる。健保組合等における具体的事例は以下のとおりであうことができる。健保組合等における具体的事例は以下のとおりである。

る。

・健保組合等内の他の部署との連携など当該健保組合等内部における・健保組合等内の他の部署との連携など当該健保組合等内部における

情報の交換

情報の交換

・複数の事務所（支部）を持つ健康保険組合の事務所（支部）間にお・複数の事務所（支部）を持つ健保組合の事務所（支部）間におけるける情報の交換

情報の交換

・健康保険組合連合会内の複数の支部との間における情報の交換及び・健康保険組合連合会内の複数の支部との間における情報の交換及び支部間における情報の交換

支部間における情報の交換
58

・健保組合等の職員を対象とした研修での利用（特定し、公表した利・健保組合等の職員を対象とした研修での利用（特定し、公表した利用目的との関係で、目的外利用として所要の措置を行う必要があり用目的との関係で、目的外利用として所要の措置を行う必要があり

得る）

得る）

・健保組合等内で事業分析を行うための情報の交換

・健保組合等内で事業分析を行うための情報の交換

このうち、健保組合等内部の研修でレセプトや健診記録等を利用す

このうち、健保組合等内部の研修でレセプトや健診記録等を利用する場合には、具体的な利用方法を含め、あらためて本人の同意を得る

る場合には、具体的な利用方法を含め、あらためて本人の同意を得る

か、個人が特定されないよう匿名加工情報又は仮名加工情報に加工すか、個人が特定されないよう匿名化する。

る。
（５）その他留意事項（５）その他留意事項

・他の事業者への情報提供に関する留意事項

・他の事業者への情報提供に関する留意事項

第三者提供を行う場合のほか、他の事業者への情報提供であって第三者提供を行う場合のほか、他の事業者への情報提供であっても、①法令に基づく場合など第三者提供の例外に該当する場合、②も、①法令に基づく場合など第三者提供の例外に該当する場合、②「第三者」に該当しない場合、③個人が特定されないように匿名加工「第三者」に該当しない場合、③個人が特定されないように匿名化し情報に加工して情報提供する場合などにおいては、本来必要とされるて情報提供する場合などにおいては、本来必要とされる情報の範囲に

情報の範囲に限って提供すべきであり、情報提供する上で必要とされ限って提供すべきであり、情報提供する上で必要とされていない事項ていない事項についてまで他の事業者に提供することがないようにすについてまで他の事業者に提供することがないようにすべきである。

べきである。
また、被保険者等と医師等双方の二面性を持っている個人情報を第

また、被保険者等と医師等双方の二面性を持っている個人情報を第三者提供するに当たっては、双方の同意が必要となるが、一方の同意三者提供するに当たっては、双方の同意が必要となるが、一方の同意のみで第三者提供する場合は、他方の個人情報に係る部分をマスキン

のみで第三者提供する場合は、他方の個人情報に係る部分をマスキングした上で行うこと。

グした上で行うこと。

59

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】（略）【その他の事項】（略）【その他の事項】（略）（略）

８．外国にある第三者への提供の制限（法第２８条）

６．外国にある第三者への提供の制限（法第２４条）

詳細は、別途定める「個人情報の保護に関する法律についてのガイド

詳細は、別途定める「個人情報の保護に関する法律についてのガイド

ライン（外国にある第三者への提供編）」（平成２８年個人情報保護委員

ライン（外国にある第三者への提供編）」（平成２８年個人情報保護委員会告示第７号）を参照のこと。

会告示第７号）を参照のこと。

（参考）

（参考）

（外国にある第三者への提供の制限）（外国にある第三者への提供の制限）

法第二十八条 個人情報取扱事業者は、外国（本邦の域外にある国又は地

法第二十四条 個人情報取扱事業者は、外国（本邦の域外にある国又は地域をいう。以下この条及び第三十一条第一項第二号において同じ。）（個域をいう。以下同じ。）（個人の権利利益を保護する上で我が国と同等の人の権利利益を保護する上で我が国と同等の水準にあると認められる個水準にあると認められる個人情報の保護に関する制度を有している外国人情報の保護に関する制度を有している外国として個人情報保護委員会

として個人情報保護委員会規則で定めるものを除く。以下この条におい規則で定めるものを除く。以下この条及び同号において同じ。）にある第て同じ。）にある第三者（個人データの取扱いについてこの節の規定によ三者（個人データの取扱いについてこの節の規定により個人情報取扱事

り個人情報取扱事業者が講ずべきこととされている措置に相当する措置業者が講ずべきこととされている措置に相当する措置（第三項においてを継続的に講ずるために必要なものとして個人情報保護委員会規則で定「相当措置」という。
）を継続的に講ずるために必要なものとして個人情める基準に適合する体制を整備している者を除く。以下この条において

報保護委員会規則で定める基準に適合する体制を整備している者を除同じ。
）に個人データを提供する場合には、前条第一項各号に掲げる場合く。以下この項及び次項並びに同号において同じ。
）に個人データを提供

を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人のする場合には、前条第一項各号に掲げる場合を除くほか、あらかじめ外

同意を得なければならない。この場合においては、同条の規定は、適用国にある第三者への提供を認める旨の本人の同意を得なければならな

しない。
60

い。この場合においては、同条の規定は、適用しない。
２

個人情報取扱事業者は、前項の規定により本人の同意を得ようとする（新設）

場合には、個人情報保護委員会規則で定めるところにより、あらかじめ、
当該外国における個人情報の保護に関する制度、当該第三者が講ずる個
人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。
３

個人情報取扱事業者は、個人データを外国にある第三者（第一項に規（新設）定する体制を整備している者に限る。
）に提供した場合には、個人情報保
護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。
規則第十五条 法第二十八条第一項の規定による個人情報の保護に関する（新設）制度を有している外国として個人情報保護委員会規則で定めるものは、次の各号のいずれにも該当する外国として個人情報保護委員会が定めるものとする。
一法における個人情報取扱事業者に関する規定に相当する法令その他の定めがあり、その履行が当該外国内において確保されていると認めるに足りる状況にあること
二

個人情報保護委員会に相当する独立した外国執行当局が存在しており、かつ、当該外国執行当局において必要かつ適切な監督を行うための体制が確保されていること
三

我が国との間において、個人情報の適正かつ効果的な活用と個人の61

権利利益の保護に関する相互理解に基づく連携及び協力が可能であると認められるものであること
四

個人情報の保護のために必要な範囲を超えて国際的な個人データの移転を制限することなく、かつ、我が国との間において、個人情報の保護を図りつつ、相互に円滑な個人データの移転を図ることが可能であると認められるものであること
五

前四号に定めるもののほか、当該外国を法第二十八条第一項の規定による外国として定めることが、我が国における新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資すると認められるものであること
２

個人情報保護委員会は、前項の規定による外国を定める場合において、我が国における個人の権利利益を保護するために必要があると認めるときは、当該外国にある第三者への提供を認める旨の本人の同意を得ることなく提供できる個人データの範囲を制限することその他の必要な条件を付することができる。

３

個人情報保護委員会は、第一項の規定による外国を定めた場合において、当該外国が第一項各号に該当していること又は当該外国について前項の規定により付された条件が満たされていることを確認するため必要があると認めるときは、当該外国における個人情報の保護に関する制度又は当該条件に係る対応の状況に関し必要な調査を行うものとする。

４

個人情報保護委員会は、第一項の規定による外国を定めた場合において、前項の調査の結果その他の状況を踏まえ、当該外国が第一項各号に該当しなくなったと認めるとき又は当該外国について第二項の規定により付された条件が満たされなくなったと認めるときは、第一項の規定に62

よる定めを取り消すものとする。
規則第十六条 法第二十八条第一項の個人情報保護委員会規則で定める基規則第十一条 法第二十四条の個人情報保護委員会規則で定める基準は、

準は、次の各号のいずれかに該当することとする。

次の各号のいずれかに該当することとする。

一

個人情報取扱事業者と個人データの提供を受ける者との間で、当該

一 個人情報取扱事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第四章第二節の規定の趣旨に沿った措置の実

合理的な方法により、法第四章第一節の規定の趣旨に沿った措置の実施が確保されていること。

施が確保されていること。

二

個人データの提供を受ける者が、個人情報の取扱いに係る国際的な二 個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。

枠組みに基づく認定を受けていること。

規則第十七条 法第二十八条第二項又は法第三十一条の二第一項第二号の（新設）規定により情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。
２

法第二十八条第二項又は法第三十一条の二第一項第二号の規定による情報の提供は、次に掲げる事項について行うものとする。
一

当該外国の名称二

適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報
三３

当該第三者が講ずる個人情報の保護のための措置に関する情報
前項の規定にかかわらず、個人情報取扱事業者は、法第二十八条第一項の規定により本人の同意を得ようとする時点において、前項第一号に定める事項が特定できない場合には、同号及び同項第二号に定める事項に代えて、次に掲げる事項について情報提供しなければならない。
一

前項第一号に定める事項が特定できない旨及びその理由二

前項第一号に定める事項に代わる本人に参考となるべき情報がある
63場合には、当該情報
４第二項の規定にかかわらず、個人情報取扱事業者は、法第二十八条第一項の規定により本人の同意を得ようとする時点において、第二項第三号に定める事項について情報提供できない場合には、同号に定める事項に代えて、その旨及びその理由について情報提供しなければならない。

規則第十八条 法第二十八条第三項（法第三十一条の二第二項において読（新設）

み替えて準用する場合を含む。
）の規定による外国にある第三者による相当措置の継続的な実施を確保するために必要な措置は、次に掲げる措置とする。
一

当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること。
二

当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データ（第三十一条の二第二項において読み替えて準用する場合にあっては、個人関連情報）の当該第三者への提供を停止すること。
２

法第二十八条第三項の規定により情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。

３

個人情報取扱事業者は、法第二十八条第三項の規定による求めを受けたときは、本人に対し、遅滞なく、次に掲げる事項について情報提供しなければならない。ただし、情報提供することにより当該個人情報取扱
事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、その全部又は一部を提供しないことができる。
64

一

当該第三者による法第二十八条第一項に規定する体制の整備の方法

二

当該第三者が実施する相当措置の概要

三第一項第一号の規定による確認の頻度及び方法

四

当該外国の名称五

当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要
六

当該第三者による相当措置の実施に関する支障の有無及びその概要

七

前号の支障に関して第一項第二号の規定により当該個人情報取扱事

業者が講ずる措置の概要
４

個人情報取扱事業者は、法第二十八条第三項の規定による求めに係る情報の全部又は一部について提供しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

５

個人情報取扱事業者は、前項の規定により、本人から求められた情報の全部又は一部について提供しない旨を通知する場合には、本人に対し、その理由を説明するよう努めなければならない。

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

・健保組合等が、法第２８条の規定に基づき、外国にある第三者に個人

・健保組合等が、法第２４条の規定に基づき、外国にある第三者に個人データを提供する場合には、法第２７条第１項各号（※）に定める場

データを提供する場合には、法第２３条第１項各号（※）に定める場

合を除き、外国にある第三者へ提供することについて本人の同意を得合を除き、外国にある第三者へ提供することについて本人の同意を得なければならない。

なければならない。

・ただし、次の①又は②のいずれかに該当する場合は、国内と同様に法・ただし、次の①又は②のいずれかに該当する場合は、国内と同様に法第２７条第１項柱書の規定に基づく本人同意による第三者提供、又は第２３条第１項柱書の規定に基づく本人同意による第三者提供、又は同条第５項に基づく委託、共同利用による提供が可能である。

同条第５項に基づく委託、共同利用による提供が可能である。

①外国にある第三者が日本と同等の水準にあると認められる個人情報①外国にある第三者が日本と同等の水準にあると認められる個人情報65

保護制度を有している国として個人情報の保護に関する法律施行規保護制度を有している国として個人情報の保護に関する法律施行規則（平成２８年個人情報保護委員会規則第３号。以下「規則」とい則（平成２８年個人情報保護委員会規則第３号。以下「規則」という。
）で定める国にある場合う。）で定める国にある場合②外国にある第三者が、個人情報取扱事業者が講ずべき措置に相当す②外国にある第三者が、個人情報取扱事業者が講ずべき措置に相当す

る措置を継続的に講ずるために必要な体制として規則で定める基準る措置を継続的に講ずるために必要な体制として規則で定める基準に適合する体制を整備している場合に適合する体制を整備している場合（※）法第２７条第 1 項各号（※）法第２３条第 1 項各号

・法令に基づいて個人データを提供する場合（第１号関係）・法令に基づいて個人データを提供する場合（第１号関係）

・人（法人を含む。
）の生命、身体又は財産といった具体的な権利・人（法人を含む。
）の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個人デ利益が侵害されるおそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得ることが困難

ータの提供が必要であり、かつ、本人の同意を得ることが困難である場合（第２号関係）である場合（第２号関係）

・公衆衛生の向上又は心身の発展途上にある児童の健全な育成の・公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることがために特に必要な場合であり、かつ、本人の同意を得ることが困難である場合（第３号関係）困難である場合（第３号関係）・国の機関等が法令の定める事務を実施する上で、民間企業等の・国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であって、協力する民間企業等が当協力を得る必要がある場合であって、協力する民間企業等が当該国の機関等に個人データを提供することについて、本人の同該国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場

意を得ることが当該事務の遂行に支障を及ぼすおそれがある場

合（第４号関係）

合（第４号関係）

・個人情報取扱事業者が学術研究機関等である場合であって、当（新設）

該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがあ66

る場合を除く。
）（第５号関係）・個人情報取扱事業者が学術研究機関等である場合であって、当（新設）

該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。
）（第６号関係）・第三者が学術研究機関等である場合であって、当該第三者が当（新設）

該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）（第７号関係）
９．第三者提供に係る記録の作成等（法第２９条）

７．第三者提供に係る記録の作成等（法第２５条）

詳細は、別途定める「個人情報の保護に関する法律についてのガイドラ

詳細は、別途定める「個人情報の保護に関する法律についてのガイドラ

イン（第三者提供時の確認・記録義務編）」（平成２８年個人情報保護委員

イン（第三者提供時の確認・記録義務編）」（平成２８年個人情報保護委員会告示第８号）を参照のこと。

会告示第８号）を参照のこと。

（第三者提供に係る記録の作成等）（第三者提供に係る記録の作成等）

法第二十九条 個人情報取扱事業者は、個人データを第三者（第十六条第法第二十五条 個人情報取扱事業者は、個人データを第三者（第二条第五二項各号に掲げる者を除く。略）に提供したときは、個人情報保護委員項各号に掲げる者を除く。略）に提供したときは、個人情報保護委員会

会規則で定めるところにより、当該個人データを提供した年月日、当該規則で定めるところにより、当該個人データを提供した年月日、当該第第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関関する記録を作成しなければならない。ただし、当該個人データの提供する記録を作成しなければならない。ただし、当該個人データの提供が67

第二十三条第一項各号又は第五項各号のいずれか（略）に該当する場合

合は、この限りでない。

は、この限りでない。

２が第二十七条第一項各号又は第五項各号のいずれか（略）に該当する場
個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個

２

人情報保護委員会規則で定める期間保存しなければならない。

個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個
人情報保護委員会規則で定める期間保存しなければならない。

（第三者提供に係る記録の作成）（第三者提供に係る記録の作成）

規則第十九条 法第二十九条第一項の規定による同項の記録を作成する方

規則第十二条 法第二十五条第一項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法と法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法と

する。

する。

２

法第二十九条第一項の記録は、個人データを第三者（略）に提供した

２

法第二十五条第一項の記録は、個人データを第三者（略）に提供した
都度、速やかに作成しなければならない。ただし、当該第三者に対し個人データを継続的に若しくは反復して提供（略）したとき、又は当該第人データを継続的に若しくは反復して提供（略）したとき、又は当該第三者に対し個人データを継続的に若しくは反復して提供することが確実

三者に対し個人データを継続的に若しくは反復して提供することが確実であると見込まれるときの記録は、一括して作成することができる。

であると見込まれるときの記録は、一括して作成することができる。

３

都度、速やかに作成しなければならない。ただし、当該第三者に対し個前項の規定にかかわらず、法第二十七条第一項又は法第二十八条第一３

前項の規定にかかわらず、法第二十三条第一項又は法第二十四条の規項の規定により、本人に対する物品又は役務の提供に関連して当該本人定により、本人に対する物品又は役務の提供に関連して当該本人に係るに係る個人データを第三者に提供した場合において、当該提供に関して

個人データを第三者に提供した場合において、当該提供に関して作成さ作成された契約書その他の書面に次条第一項各号に定める事項が記載された契約書その他の書面に次条第一項各号に定める事項が記載されていれているときは、当該書面をもって法第二十九条第一項の当該事項に関るときは、当該書面をもって法第二十五条第一項の当該事項に関する記する記録に代えることができる。

録に代えることができる。

（第三者提供に係る記録事項）（第三者提供に係る記録事項）

規則第二十条 法第二十九条第一項の個人情報保護委員会規則で定める事

規則第十三条 法第二十五条第一項の個人情報保護委員会規則で定める事

項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。

事項とする。
68

一

法第二十七条第二項の規定により個人データを第三者に提供した場

一 法第二十三条第二項の規定により個人データを第三者に提供した場

合次のイからニまでに掲げる事項

合次のイからニまでに掲げる事項

イ

当該個人データを提供した年月日

イ

当該個人データを提供した年月日

ロ

当該第三者の氏名又は名称及び住所並びに法人にあっては、そのロ

当該第三者の氏名又は名称その他の当該第三者を特定するに足り代表者（法人でない団体で代表者又は管理人の定めのあるものにある事項（不特定かつ多数の者に対して提供したときは、その旨）っては、その代表者又は管理人。第二十八条第一項第三号において同じ。
）の氏名（不特定かつ多数の者に対して提供したときは、その旨）
ハ

当該個人データによって識別される本人の氏名その他の当該本人

ハを特定するに足りる事項

当該個人データによって識別される本人の氏名その他の当該本人

ニ二を特定するに足りる事項

当該個人データの項目

ニ

法第二十七条第一項又は法第二十八条第一項の規定により個人デー

タを第三者に提供した場合
イ

当該個人データの項目

二 法第二十三条第一項又は法第二十四条の規定により個人データを第次のイ及びロに掲げる事項

三者に提供した場合 次のイ及びロに掲げる事項

法第二十七条第一項又は法第二十八条第一項の本人の同意を得て

イ

法第二十三条第一項又は法第二十四条の本人の同意を得ている旨

ロ

前号ロからニまでに掲げる事項

いる旨
ロ
２

前号ロからニまでに掲げる事項

前項各号に定める事項のうち、既に前条に規定する方法により作成し

２

前項各号に定める事項のうち、既に前条に規定する方法により作成した法第二十九条第一項の記録（当該記録を保存している場合におけるもた法第２５条第１項の記録（当該記録を保存している場合におけるもののに限る。
）に記録されている事項と内容が同一であるものについては、に限る。）に記録されている事項と内容が同一であるものについては、法法第二十九条第一項の当該事項の記録を省略することができる。

第２５条第１項の当該事項の記録を省略することができる。

（第三者提供に係る記録の保存期間）（第三者提供に係る記録の保存期間）

規則第二十一条

法第二十九条第二項の個人情報保護委員会規則で定め

規則第十四条 法第二十五条第二項の個人情報保護委員会規則で定める期る期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定め定める期間とする。

る期間とする。
69

一

第十九条第三項に規定する方法により記録を作成した場合 最後に一 第十二条第三項に規定する方法により記録を作成した場合 最後に

当該記録に係る個人データの提供を行った日から起算して一年を経過

当該記録に係る個人データの提供を行った日から起算して一年を経過する日までの間する日までの間

二第十九条第二項ただし書に規定する方法により記録を作成した場合

二 第十二条第二項ただし書に規定する方法により記録を作成した場合

最後に当該記録に係る個人データの提供を行った日から起算して三年最後に当該記録に係る個人データの提供を行った日から起算して三年を経過する日までの間を経過する日までの間

三

前二号以外の場合 三年（１）記録義務が適用されない場合

三 前二号以外の場合 三年（１）記録義務が適用されない場合

以下の場合には記録義務が適用されない。

以下の場合には記録義務が適用されない。

①第三者が法第１６条第２項各号に掲げる者である場合①第三者が法第２条第５項各号に掲げる者である場合

以下の１）から４）までに掲げる者との間で個人データの授受を

以下の１）から４）までに掲げる者との間で個人データの授受を行う場合、記録義務は適用されない。

行う場合、記録義務は適用されない。

１）国の機関（法第１６条第２項第１号関係）

１）国の機関（法第２条第５項第１号関係）

２）地方公共団体（法第１６条第２項第２号関係）

２）地方公共団体（法第２条第５項第２号関係）

３）独立行政法人等（独立行政法人通則法（平成１１年法律第３）独立行政法人等（独立行政法人等の保有する個人情報の保１０３号）第２条第１項に規定する独立行政法人及び法別

護に関する法律 （平成１５年法律第５９号）第２条第 1 項

表第１に掲げる法人（法別表第２に掲げる法人を除く。
）をに規定する独立行政法人等をいう。）（法第２条第５項第３いう。
）（法第１６条第２項第３号関係）

号関係）

４）地方独立行政法人（地方独立行政法人法（平成１５年法律４）地方独立行政法人（地方独立行政法人法（平成１５年法律第１１８号）第２条第１項に規定する地方独立行政法人を第１１８号）第２条第１項に規定する地方独立行政法人をいう。
）（法第１６条第２項第４号関係）いう。）（法第２条第５項第４号関係）②法第２７条第１項各号に該当する場合（Ⅲ７．
（２）参照）②法第２３条第１項各号に該当する場合（Ⅲ５．
（２）参照）
70

個人データが転々流通することは想定されにくいことに鑑み、記個人データが転々流通することは想定されにくいことに鑑み、記録義務は適用されない。

録義務は適用されない。

１）法令に基づいて個人データを提供する場合（第１号関係）

１）法令に基づいて個人データを提供する場合（第１号関係）

（例）

（例）
・第三者行為に係る損保会社等への求償・番号法に定める情報連携・番号法に定める情報連携・特定健診、保健指導の実施状況管理及び国への報告

・特定健診、保健指導の実施状況管理及び国への報告

２）人（法人を含む。
）の生命、身体又は財産といった具体的な２）人（法人を含む。）の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するため権利利益が侵害されるおそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得に個人データの提供が必要であり、かつ、本人の同意を得ることが困難である場合（第２号関係）ることが困難である場合（第２号関係）

３）公衆衛生の向上又は心身の発展途上にある児童の健全な育

３）公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得成のために特に必要な場合であり、かつ、本人の同意を得ることが困難である場合（第３号関係）ることが困難である場合（第３号関係）

４）国の機関等が法令の定める事務を実施する上で、民間企業

４）国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であって、協力する民間企等の協力を得る必要がある場合であって、協力する民間企業等が当該国の機関等に個人データを提供することについ業等が当該国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合（第４号関係）

すおそれがある場合（第４号関係）

５）個人情報取扱事業者が学術研究機関等である場合であっ（新設）て、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）（第５号関係）
６）個人情報取扱事業者が学術研究機関等である場合であっ

（新設）
71

て、当該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。）（第６号関係）
７）第三者が学術研究機関等である場合であって、当該第三者（新設）が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）（第７号関係）③法第２７条第５項各号に該当する場合（Ⅲ７．
（４）参照）③法第２３条第５項各号に該当する場合（Ⅲ５．
（４）参照）「第三者に該当しないものとする」とされていることに鑑み、記「第三者に該当しないものとする」とされていることに鑑み、記録義務は適用されない。

録義務は適用されない。

１）個人情報取扱事業者が利用目的の達成に必要な範囲内にお１）個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することにいて個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合（法第２７条第５

伴って当該個人データが提供される場合（法第２３条第５項第１号関係）項第１号関係）（例）（例）

・海外療養費に係る翻訳のための外部委託

・海外療養費に係る翻訳のための外部委託・被保険者等の資格等のデータ処理の外部委託・被保険者等の資格等のデータ処理の外部委託

・保健指導、健康相談に係る産業医への委託

・保健指導、健康相談に係る産業医への委託

・医療機関への健診の委託・医療機関への健診の委託
72

・健康増進施設（保養所等）の運営の委託

・健康増進施設（保養所等）の運営の委託

・レセプトデータの内容点検・審査の委託

・レセプトデータの内容点検・審査の委託

・レセプトデータの電算処理のためのパンチ入力、画像取・レセプトデータの電算処理のためのパンチ入力、画像取込み処理の委託込み処理の委託・医療費分析及び医療費通知に係るデータ処理等の外部委

・医療費分析及び医療費通知に係るデータ処理等の外部委

託託２）合併その他の事由による事業の承継に伴って個人データが

２）合併その他の事由による事業の承継に伴って個人データが提供される場合（法第２７条第５項第２号関係）提供される場合（法第２３条第５項第２号関係）

３）特定の者との間で共同して利用される個人データが当該特

３）特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範利用される個人データの項目、共同して利用する者の範

囲、利用する者の利用目的並びに当該個人データの管理に囲、利用する者の利用目的及び当該個人データの管理につついて責任を有する者の氏名又は名称及び住所並びに法人

いて責任を有する者の氏名又は名称について、あらかじにあっては、その代表者の氏名について、あらかじめ、本め、本人に通知し、又は本人が容易に知り得る状態に置い人に通知し、又は本人が容易に知り得る状態に置いているているとき（法第２３条第５項第３号関係）とき（法第２７条第５項第３号関係）
（例）

（例）

・健保連の高額医療給付の共同事業

・健保連の高額医療給付の共同事業

・コラボヘルスの一環である健診結果の事業主への提供

・コラボヘルスの一環である健診結果の事業主への提供

・健康保険組合連合会本部における医療費分析事業への参・健康保険組合連合会本部における医療費分析事業への画

参画④本人に代わって提供している場合④本人に代わって提供している場合

健保組合等が被保険者本人からの委託等に基づき当該本人の個健保組合等が被保険者本人からの委託等に基づき当該本人の個73

人データを第三者提供する場合は、当該個人情報取扱事業者は人データを第三者提供する場合は、当該個人情報取扱事業者は「本人に代わって」個人データの提供をしているものである。

「本人に代わって」個人データの提供をしているものである。

したがって、この場合の第三者提供については、記録義務は適したがって、この場合の第三者提供については、記録義務は適用されない。

用されない。

（例）（例）

・高額療養費、付加給付を事業主経由で支給する場合にお・高額療養費、付加給付を事業主経由で支給する場合において明細などの個人データを事業主に提供した場合

いて明細などの個人データを事業主に提供した場合

・第三者求償事務において、保険会社・医療機関等への相・第三者求償事務において、保険会社・医療機関等への相談又は届出等談又は届出等⑤本人と一体と評価できる関係にある者に提供する場合⑤本人と一体と評価できる関係にある者に提供する場合

本人の代理人又は家族等、本人と一体と評価できる関係にある本人の代理人又は家族等、本人と一体と評価できる関係にある者に提供する場合、本人側に対する提供とみなし、記録義務は適者に提供する場合、本人側に対する提供とみなし、記録義務は適用されない。

用されない。

（例）（例）

・医療費通知を世帯ごとにまとめて行う場合において家族・医療費通知を世帯ごとにまとめて行う場合において家族

分の個人データを本人に WEB 上等で提供した場合

分の個人データを本人に WEB 上等で提供した場合【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

（略）

（略）

１０．第三者提供を受ける際の確認等（法第３０条）

８．第三者提供を受ける際の確認等（法第２６条）

詳細は、別途定める「個人情報の保護に関する法律についてのガイドライ

詳細は、別途定める「個人情報の保護に関する法律についてのガイドラン（第三者提供時の確認・記録義務編）」（平成２８年個人情報保護委員会告イン（第三者提供時の確認・記録義務編）」（平成２８年個人情報保護委員

74

示第８号）を参照のこと。

会告示第８号）を参照のこと。

（第三者提供を受ける際の確認等）（第三者提供を受ける際の確認等）

法第三十条 個人情報取扱事業者は、第三者から個人データの提供を受け

法第二十六条 個人情報取扱事業者は、第三者から個人データの提供を受るに際しては、個人情報保護委員会規則で定めるところにより、次に掲

けるに際しては、（略）次に掲げる事項の確認を行わなければならない。

げる事項の確認を行わなければならない。ただし、当該個人データの提ただし、当該個人データの提供が第二十三条第一項各号又は第五項各号

供が第二十七条第一項各号又は第五項各号のいずれかに該当する場合のいずれかに該当する場合は、この限りでない。

は、この限りでない。
一

当該第三者の氏名又は名称及び住所並びに法人にあっては、その代一 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名

二２

当該第三者による当該個人データの取得の経緯

二 当該第三者による当該個人データの取得の経緯

前項の第三者は、個人情報取扱事業者が同項の規定による確認を行う

２

前項の第三者は、個人情報取扱事業者が同項の規定による確認を行う
場合において、当該個人情報取扱事業者に対して、当該確認に係る事項を偽ってはならない。

を偽ってはならない。

３

場合において、当該個人情報取扱事業者に対して、当該確認に係る事項
個人情報取扱事業者は、第一項の規定による確認を行ったときは、個３

個人情報取扱事業者は、第一項の規定による確認を行ったときは、個
人情報保護委員会規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委員会規則で受けた年月日、当該確認に係る事項その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。

定める事項に関する記録を作成しなければならない。

４

人情報保護委員会規則で定めるところにより、当該個人データの提供を

個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個

４

個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個

人情報保護委員会規則で定める期間保存しなければならない。

人情報保護委員会規則で定める期間保存しなければならない。

（第三者提供を受ける際の確認）（第三者提供を受ける際の確認）

規則第二十二条

法第三十条第一項の規定による同項第一号に掲げる事項

規則第十五条 法第二十六条第一項の規定による同項第一号に掲げる事項の確認を行う方法は、個人データを提供する第三者から申告を受ける方の確認を行う方法は、個人データを提供する第三者から申告を受ける方
75

法その他の適切な方法とする。
２

法その他の適切な方法とする。

法第三十条第一項の規定による同項第二号に掲げる事項の確認を行う

２

法第二十六条第一項の規定による同項第二号に掲げる事項の確認を行う方法は、個人データを提供する第三者から当該第三者による当該個人ータの取得の経緯を示す契約書その他の書面の提示を受ける方法その他

データの取得の経緯を示す契約書その他の書面の提示を受ける方法そのの適切な方法とする。

他の適切な方法とする。

３

方法は、個人データを提供する第三者から当該第三者による当該個人デ（略）

３（第三者提供を受ける際の確認に係る記録の作成）（略）

規則第二十三条（第三者提供を受ける際の確認に係る記録の作成）
規則第十六条 法第二十六条第三項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法と法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法と

する。

する。

２

法第三十条第三項の規定による同項の記録を作成する方法第三十条第三項の記録は、第三者から個人データの提供を受けた都

２

法第二十六条第三項の記録は、第三者から個人データの提供を受けた
都度、速やかに作成しなければならない。ただし、当該第三者から継続に若しくは反復して個人データの提供（法第二十七条第二項の規定によ的に若しくは反復して個人データの提供（法第二十三条第二項の規定にる提供を除く。以下この条において同じ。）を受けたとき、又は当該第三よる提供を除く。以下この条において同じ。
）を受けたとき、又は当該第者から継続的に若しくは反復して個人データの提供を受けることが確実

三者から継続的に若しくは反復して個人データの提供を受けることが確であると見込まれるときの記録は、一括して作成することができる。

実であると見込まれるときの記録は、一括して作成することができる。

３

度、速やかに作成しなければならない。ただし、当該第三者から継続的

前項の規定にかかわらず、本人に対する物品又は役務の提供に関連し3

前項の規定にかかわらず、本人に対する物品又は役務の提供に関連してて第三者から当該本人に係る個人データの提供を受けた場合において、第三者から当該本人に係る個人データの提供を受けた場合において、当当該提供に関して作成された契約書その他の書面に次条第一項各号に定該提供に関して作成された契約書その他の書面に次条第一項各号に定めめる事項が記載されているときは、当該書面をもって法第三十条第三項

る事項が記載されているときは、当該書面をもって法第二十六条第三項の当該事項に関する記録に代えることができる。

の当該事項に関する記録に代えることができる。

（第三者提供を受ける際の記録事項）（第三者提供を受ける際の記録事項）

規則第二十四条

法第三十条第三項の個人情報保護委員会規則で定める事

規則第十七条 法第二十六条第三項の個人情報保護委員会規則で定める事

項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める76

事項とする。

事項とする。

一一 個人情報取扱事業者から法第二十三条第二項の規定による個人デー

個人情報取扱事業者から法第二十七条第二項の規定による個人デー
タの提供を受けた場合 次のイからホまでに掲げる事項

タの提供を受けた場合 次のイからホまでに掲げる事項

イ

個人データの提供を受けた年月日

イ

個人データの提供を受けた年月日

ロ

法第三十条第一項各号に掲げる事項

ロ

法第二十六条第一項各号に掲げる事項

ハ

当該個人データによって識別される本人の氏名その他の当該本人

ハ

当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項を特定するに足りる事項

ニ

当該個人データの項目

ニ

当該個人データの項目

ホ

法第二十七条第四項の規定により公表されている旨

ホ

法第二十三条第四項の規定により公表されている旨

二

個人情報取扱事業者から法第二十七条第一項又は法第二十八条第一二 個人情報取扱事業者から法第二十三条第一項又は法第二十四条の規項の規定による個人データの提供を受けた場合 次のイ及びロに掲げ定による個人データの提供を受けた場合 次のイ及びロに掲げる事項

る事項
イ

法第二十七条第一項又は法第二十八条第一項の本人の同意を得て

イ

法第二十三条第一項又は法第二十四条の本人の同意を得ている旨

ロ

前号ロからニまでに掲げる事項

いる旨
ロ
三

前号ロからニまでに掲げる事項

個人関連情報取扱事業者から法第三十一条第一項の規定による個人
関連情報の提供を受けて個人データとして取得した場合

（新設）

次のイから

ニまでに掲げる事項
イ

法第三十一条第一項第一号の本人の同意が得られている旨及び外国にある個人情報取扱事業者にあっては、同項第二号の規定による情報の提供が行われている旨
ロ

法第三十条第一項第一号に掲げる事項

ハ第一号ハに掲げる事項

ニ当該個人関連情報の項目
77

四

第三者（個人情報取扱事業者に該当する者を除く。
）から個人データ

三 第三者（個人情報取扱事業者に該当する者を除く。
）から個人データの提供を受けた場合 第一号ロからニまでに掲げる事項
２の提供を受けた場合 第一号ロからニまでに掲げる事項（略）

２（第三者提供を受ける際の記録の保存期間）（略）

規則第二十五条（第三者提供を受ける際の記録の保存期間）

法第三十条第四項の個人情報保護委員会規則で定める期

規則第十八条 法第二十六条第四項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定め間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とする。

る期間とする。

一第二十三条第三項に規定する方法により記録を作成した場合

最後

一

第十六条第三項に規定する方法により記録を作成した場合 最後に当に当該記録に係る個人データの提供を受けた日から起算して一年を経該記録に係る個人データの提供を受けた日から起算して一年を経過する

過する日までの間

日までの間

二
合

第二十三条第二項ただし書に規定する方法により記録を作成した場

二

最後に当該記録に係る個人データの提供を受けた日から起算して第十六条第二項ただし書に規定する方法により記録を作成した場合
最後に当該記録に係る個人データの提供を受けた日から起算して三年を三年を経過する日までの間
三経過する日までの間

前二号以外の場合 三年（１）確認・記録義務が適用されない場合

三

前二号以外の場合 三年（１）確認・記録義務が適用されない場合「９．第三者提供に係る記録の作成等（法第２９条）」の場合と同様、

７．第三者提供に係る記録の作成等（法第２５条）の場合と同様、①①第三者が法第１６条第２項各号に掲げる者である場合、②法第２７条

第三者が法第２条第５項各号に掲げる者である場合、②法第２３条第 1第１項各号に該当する場合（Ⅲ７．
（２）参照）、③法第２７条第５項各項各号に該当する場合（Ⅲ５．
（２）参照）、③法第２３条第５項各号に号に該当する場合（Ⅲ７．
（４）参照）、④本人に代わって提供された個該当する場合（Ⅲ５．（４）参照）、④本人に代わって提供された個人デ人データを受ける場合、⑤本人と一体と評価できる関係にある者に該当ータを受ける場合、⑤本人と一体と評価できる関係にある者に該当する

する場合は、確認・記録義務は適用されない。なお、具体的事例は、Ⅲ

場合は、確認・記録義務は適用されない。なお、具体的事例は、７．

９．
（１）を参照のこと。

（１）を参照のこと。

加えて、以下の場合においても確認・記録義務は適用されない。

加えて、以下の場合においても確認・記録義務は適用されない。

78

⑥受領者にとって個人データに該当しない場合⑥受領者にとって個人データに該当しない場合提供者にとって個人データに該当するが受領者にとって個人デー

提供者にとって個人データに該当するが受領者にとって個人デー

タに該当しない情報を受領した場合は、確認・記録義務は適用されタに該当しない情報を受領した場合は、確認・記録義務は適用され

ない。

ない。

⑦受領者にとって個人情報に該当しない場合⑦受領者にとって個人情報に該当しない場合

次の事例のように、提供者にとって個人データに該当する場合で次の事例のように、提供者にとって個人データに該当する場合であっても、受領者にとっては「個人情報」に該当しない（当然に個あっても、受領者にとっては「個人情報」に該当しない（当然に個

人データにも該当しない。
）情報を受領した場合は、確認・記録義務

人データにも該当しない。
）情報を受領した場合は、確認・記録義務は適用されない。

は適用されない。

【受領者にとって個人情報に該当しない事例】【受領者にとって個人情報に該当しない事例】

（例）

（例）

・提供者が氏名を削除するなどして個人を特定できないように・提供者が氏名を削除するなどして個人を特定できないようにしたデータの提供を受けた場合したデータの提供を受けた場合・提供者で管理している ID 番号のみが付されたデータの提供を・提供者で管理している ID 番号のみが付されたデータの提供を

受けた場合

受けた場合

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】（２）確認義務の適用（２）確認義務の適用

健保組合等は第三者から個人データの提供を受ける際は、当該第三健保組合等は第三者から個人データの提供を受ける際は、当該第三者に対して、次のとおり確認を行わなければならない。

者に対して、次のとおり確認を行わなければならない。

①確認方法

①確認方法
79

１）第三者の氏名及び住所並びに法人にあっては、その代表者の氏

１）第三者の氏名及び住所並びに法人にあっては、その代表者の氏名名２）第三者による個人データの取得の経緯

２）第三者による個人データの取得の経緯

３）法の遵守状況【その他の事項】

３）法の遵守状況【その他の事項】

健保組合等が、他の事業者から個人データの提供を受ける際に健保組合等が、他の事業者から個人データの提供を受ける際には、当該事業者の法の遵守状況（例えば、利用目的、開示手続、は、当該事業者の法の遵守状況（例えば、利用目的、開示手続、

問合せ・苦情の受付窓口の公表、オプトアウトによる第三者提供

問合せ・苦情の受付窓口の公表、オプトアウトによる第三者提供

により個人データの提供を受ける際には当該事業者の届出事項がにより個人データの提供を受ける際には当該事業者の届出事項が個人情報保護委員会により公表されている旨など）についても確

個人情報保護委員会により公表されている旨など）についても確認することが望ましい。

認することが望ましい。

②既に確認を行った第三者に対する確認方法②既に確認を行った第三者に対する確認方法

複数回にわたって同一「本人」の個人データの授受をする場合にお複数回にわたって同一「本人」の個人データの授受をする場合において、同一の内容である事項を重複して確認する合理性はないため、

いて、同一の内容である事項を重複して確認する合理性はないため、

既に「①確認方法」に規定する方法により確認を行い、「１０．（３）

既に「①確認方法」に規定する方法により確認を行い、
「８．
（３）記

記録義務の適用」に規定する方法により作成し、かつ、その時点にお録義務」に規定する方法により作成し、かつ、その時点において保存

いて保存している記録に記録された事項と内容が同一であるものにつしている記録に記録された事項と内容が同一であるものについては、

いては、当該事項の確認を省略することができる。

当該事項の確認を省略することができる。

（３）記録義務の適用（３）記録義務の適用

また、健保組合等は、第三者から個人データの提供を受けたときはまた、健保組合等は、第三者から個人データの提供を受けたときは法令に定める記録を作成し、かつ、その記録を保存しなければならな法令に定める記録を作成し、かつ、その記録を保存しなければならな

い。

い。

80

①記録を作成する方法など①記録を作成する方法など

１）記録を作成する媒体

１）記録を作成する媒体

健保組合等は、記録を、文書、電磁的記録又はマイクロフィルム

健保組合等は、記録を、文書、電磁的記録又はマイクロフィルム

を用いて作成しなければならない。

を用いて作成しなければならない。

２）記録を作成する方法

２）記録を作成する方法

健保組合等は、原則として、個人データの授受の都度、速やかに健保組合等は、原則として、個人データの授受の都度、速やかに記録を作成しなければならない。

記録を作成しなければならない。

３）一括して記録を作成する方法

３）一括して記録を作成する方法

一定の期間内に特定の事業者との間で継続的に又は反復して個人

一定の期間内に特定の事業者との間で継続的に又は反復して個人データを授受する場合は、個々の授受に係る記録を作成する代わりデータを授受する場合は、個々の授受に係る記録を作成する代わりに、一括して記録を作成することができる。

に、一括して記録を作成することができる。

４）契約書等の代替手段による方法

４）契約書等の代替手段による方法

健保組合等が、本人に対する物品又は役務の提供に係る契約を締

健保組合等が、本人に対する物品又は役務の提供に係る契約を締結し、その契約の履行に伴って、契約の相手方を本人とする個人デ結し、その契約の履行に伴って、契約の相手方を本人とする個人データを第三者から提供を受ける場合は、その提供の際に作成した契ータを第三者から提供を受ける場合は、その提供の際に作成した契約書その他の書面をもって個人データの流通を追跡することが可能

約書その他の書面をもって個人データの流通を追跡することが可能であるから当該契約書その他の書面をもって記録とすることができであるから当該契約書その他の書面をもって記録とすることができる。

る。

５）代行により記録を作成する方法

５）代行により記録を作成する方法

提供者、受領者のいずれも記録の作成方法、保存期間は同一であ

提供者、受領者のいずれも記録の作成方法、保存期間は同一であ81

ることに鑑みて提供者は受領者の記録義務の全部又は一部を代替しることに鑑みて提供者は受領者の記録義務の全部又は一部を代替して行うことができる（提供者と受領者の記録事項の相違についてはて行うことができる（提供者と受領者の記録事項の相違については留意する必要がある。
）。なお、この場合であっても、提供者及び受留意する必要がある。）。なお、この場合であっても、提供者及び受領者は自己の義務が免責されるわけではないことから、実質的に自領者は自己の義務が免責されるわけではないことから、実質的に自ら記録作成義務を果たしているものと同等の体制を構築しなければ

ら記録作成義務を果たしているものと同等の体制を構築しなければ

ならない。

ならない。

②記録事項

②記録事項

１）受領者の記録事項

１）受領者の記録事項

健保組合等が、本人の同意に基づき個人データの第三者提供を受健保組合等が、本人の同意に基づき個人データの第三者提供を受ける場合は、次の項目を記録しなければならない。

ける場合は、次の項目を記録しなければならない。

・本人同意を得ている旨

・本人同意を得ている旨

・第三者の氏名又は名称及び住所並びに法人にあっては、その代・第三者の氏名又は名称及び住所並びに法人にあっては、その代

表者の氏名

表者の氏名

・第三者による当該個人データの取得の経緯

・第三者による当該個人データの取得の経緯

・個人データによって識別される本人の氏名その他の当該本人を・個人データによって識別される本人の氏名その他の当該本人を特定できる事項

特定できる事項

・個人データの項目

・個人データの項目③記録事項の省略③記録事項の省略

複数回にわたって同一「本人」の個人データの授受をする場合にお複数回にわたって同一「本人」の個人データの授受をする場合において、同一の内容である事項を重複して記録する必要はない。既にいて、同一の内容である事項を重複して記録する必要はない。既に「１０．
（３）記録義務の適用」に規定する方法により作成した記録「８．
（３）記録義務の適用」に規定する方法により作成した記録（現（現に保存している場合に限る。
）に記録された事項と内容が同一であに保存している場合に限る。）に記録された事項と内容が同一であるも82

るものについては、当該事項の記録を省略することができる。

のについては、当該事項の記録を省略することができる。

④保存期間

④保存期間

健保組合等は、作成した記録を規則で定める期間保存しなければな

健保組合等は、作成した記録を規則で定める期間保存しなければならない。保存期間は記録の作成方法によって異なるので留意が必要でらない。保存期間は記録の作成方法によって異なるので留意が必要で

ある。

ある。

記録の作成方法の別

保存期間記録の作成方法の別

保存期間

契約書等の代替手段による方法

最後に当該記録に係る個人デー

契約書等の代替手段による方法

最後に当該記録に係る個人デー

により記録を作成した場合

タの提供を行った日から起算しにより記録を作成した場合

タの提供を行った日から起算して１年を経過する日までの間て１年を経過する日までの間一括して記録を作成する方法に最後に当該記録に係る個人デー

一括して記録を作成する方法に最後に当該記録に係る個人デー

より記録を作成した場合

タの提供を行った日から起算しより記録を作成した場合

タの提供を行った日から起算して３年を経過する日までの間
上記以外の場合て３年を経過する日までの間

３年

１１．保有個人データに関する事項の公表等（法第３２条）

上記以外の場合３年

９．保有個人データに関する事項の公表等（法第２７条）（保有個人データに関する事項の公表等）（保有個人データに関する事項の公表等）
法第三十二条 個人情報取扱事業者は、保有個人データに関し、次に掲

法第二十七条 個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なげる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）に置かなければならない。

く回答する場合を含む。
）に置かなければならない。

一 当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあ一 当該個人情報取扱事業者の氏名又は名称
83

っては、その代表者の氏名
二 全ての保有個人データの利用目的（第二十一条第四項第一号から

二 全ての保有個人データの利用目的（第十八条第四項第一号から第第三号までに該当する場合を除く。
）

三号までに該当する場合を除く。）

三 次項の規定による求め又は次条第一項（同条第五項において準用

三 次項の規定による求め又は次条第一項、第二十九条第一項若しくする場合を含む。
）、第三十四条第一項若しくは第三十五条第一項、は第三十条第一項若しくは第三項の規定による請求に応じる手続第三項若しくは第五項の規定による請求に応じる手続（第三十八条（第三十三条第二項の規定により手数料の額を定めたときは、その第二項の規定により手数料の額を定めたときは、その手数料の額を手数料の額を含む。
）

含む。
）
四 前三号に掲げるもののほか、保有個人データの適正な取扱いの確

四 前三号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの
２

保に関し必要な事項として政令で定めるもの

個人情報取扱事業者は、本人から、当該本人が識別される保有個人

２

個人情報取扱事業者は、本人から、当該本人が識別される保有個人

データの利用目的の通知を求められたときは、本人に対し、遅滞なデータの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、次の各号のいずれかにく、これを通知しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りでない。

該当する場合は、この限りでない。

一 前項の規定により当該本人が識別される保有個人データの利用目

一 前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合的が明らかな場合

二 第二十一条第四項第一号から第三号までに該当する場合
３

二 第十八条第四項第一号から第三号までに該当する場合

個人情報取扱事業者は、前項の規定に基づき求められた保有個人デ３

個人情報取扱事業者は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅ータの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

滞なく、その旨を通知しなければならない。

（保有個人データの適正な取扱いの確保に関し必要な事項）（保有個人データの適正な取扱いの確保に関し必要な事項）

令第十条 法第三十二条第一項第四号の政令で定めるものは、次に掲げ

令第八条 法第二十七条第一項第四号の政令で定めるものは、次に掲げるものとする。

るものとする。
84

一

法第二十三条の規定により保有個人データの安全管理のために講（新設）じた措置（本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。）
二

当該個人情報取扱事業者が行う保有個人データの取扱いに関する

一 当該個人情報取扱事業者が行う保有個人データの取扱いに関する苦情の申出先三

苦情の申出先当該個人情報取扱事業者が認定個人情報保護団体の対象事業者で二 当該個人情報取扱事業者が認定個人情報保護団体の対象事業者である場合にあっては、当該認定個人情報保護団体の名称及び苦情のある場合にあっては、当該認定個人情報保護団体の名称及び苦情の解決の申出先解決の申出先【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

・健保組合等は、保有個人データに関し、(ｱ)当該個人情報取扱事業者の・健保組合等は、保有個人データに関し、(ｱ)当該個人情報取扱事業者の氏名又は名称並びに法人にあっては、その代表者の氏名、(ｲ)全ての保氏名又は名称、(ｲ)全ての保有個人データの利用目的（法第１８条第４有個人データの利用目的（法第２１条第４項第１号から第３号までに項第１号から第３号までに規定された例外の場合を除く。）、(ｳ)保有個規定された例外の場合を除く。
）、(ｳ)保有個人データの利用目的の通人データの利用目的の通知、開示、訂正、利用停止等の手続の方法、知、開示、訂正、利用停止等の手続の方法、及び保有個人データの利及び保有個人データの利用目的の通知又は開示に係る手数料の額、(ｴ)

用目的の通知又は開示に係る手数料の額、(ｴ)苦情の申出先等につい苦情の申出先等について、本人の知り得る状態（本人の求めに応じてて、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合

遅滞なく回答する場合を含む。
）に置かなければならない。

を含む。
）に置かなければならない。
・健保組合等は、本人から、当該本人が識別される保有個人データの利・健保組合等は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、上記の措置により利用目的が明ら用目的の通知を求められたときは、上記の措置により利用目的が明らかになっている場合及び法第２１条第４項第１号から第３号までの例

かになっている場合及び法第１８条第４項第１号から第３号までの例

外に相当する場合を除き、遅滞なく通知しなければならない。

外に相当する場合を除き、遅滞なく通知しなければならない。

・健保組合等は、利用目的の通知をしない旨の決定をしたときは、本人・健保組合等は、利用目的の通知をしない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

に対し、遅滞なく、その旨を通知しなければならない。
85

・法施行前から保有している個人情報についても同様の取扱いを行う。

・法施行前から保有している個人情報についても同様の取扱いを行う。

【その他の事項】【その他の事項】（略）（略）

１２．本人からの請求による保有個人データの開示（法第３３条）

１０．本人からの請求による保有個人データの開示（法第２８条）
（開示）

（開示）

法第二十八条 本人は、個人情報取扱事業者に対し、当該本人が識別さ法第三十三条 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの開示を請求することができる。

れる保有個人データの電磁的記録の提供による方法その他の個人情報保護委員会規則で定める方法による開示を請求することができる。
２

２

個人情報取扱事業者は、前項の規定による請求を受けたときは、本

個人情報取扱事業者は、前項の規定による請求を受けたときは、本人に対し、同項の規定により当該本人が請求した方法（当該方法によ人に対し、政令で定める方法により、遅滞なく、当該保有個人データ

る開示に多額の費用を要する場合その他の当該方法による開示が困難

を開示しなければならない。ただし、開示することにより次の各号のである場合にあっては、書面の交付による方法）により、遅滞なく、いずれかに該当する場合は、その全部又は一部を開示しないことがで当該保有個人データを開示しなければならない。ただし、開示するこきる。

とにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
一 本人又は第三者の生命、身体、財産その他の権利利益を害するお一 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合それがある場合

二 当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼ

二 当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合

すおそれがある場合

三 他の法令に違反することとなる場合

三 他の法令に違反することとなる場合
３

３

個人情報取扱事業者は、第一項の規定による請求に係る保有個人デ個人情報取扱事業者は、第一項の規定による請求に係る保有個人データの全部又は一部について開示しない旨の決定をしたとき又は当該ータの全部若しくは一部について開示しない旨の決定をしたとき、当86

該保有個人データが存在しないとき、又は同項の規定により本人が請

保有個人データが存在しないときは、本人に対し、遅滞なく、その旨求した方法による開示が困難であるときは、本人に対し、遅滞なく、を通知しなければならない。

その旨を通知しなければならない。
４

他の法令の規定により、本人に対し第二項本文に規定する方法に相４

他の法令の規定により、本人に対し第二項本文に規定する方法に相当する方法により当該本人が識別される保有個人データの全部又は一当する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている場合には、当該全部又は一部の保有個部を開示することとされている場合には、当該全部又は一部の保有個人データについては、第一項及び第二項の規定は、適用しない。

人データについては、第一項及び第二項の規定は、適用しない。

５

第一項から第三項までの規定は、当該本人が識別される個人データ（新設）に係る第二十九条第一項及び第三十条第三項の記録（その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるものを除く。第三十七条第二項において「第三者提供記録」という。
）について準用する。
（削る）（個人情報取扱事業者が保有個人データを開示する方法）
令第九条 法第二十八条第二項の政令で定める方法は、書面の交付による方法（開示の請求を行った者が同意した方法があるときは、当該方法）とする。

（第三者提供記録から除外されるもの）（新設）

令第十一条 法第三十三条第五項の政令で定めるものは、次に掲げるものとする。
一

当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの
二

当該記録の存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの
87

三

当該記録の存否が明らかになることにより、国の安全が害される

おそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの
四

当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの（本人が請求することができる開示の方法）（新設）

規則第三十条 法第三十三条第一項（同条第五項において準用する場合を含む。
）の個人情報保護委員会規則で定める方法は、電磁的記録の提供による方法、書面の交付による方法その他当該個人情報取扱事業者の定める方法とする。
（１）開示の原則（１）開示の原則

健保組合等は、本人から、当該本人が識別される保有個人データの開示

健保組合等は、本人から、当該本人が識別される保有個人データの開示の請求を受けたときは、本人に対し、当該本人が請求した方法により、遅の請求を受けたときは、本人に対し、書面の交付による方法等により、遅滞なく、当該保有個人データを開示しなければならない。

滞なく、当該保有個人データを開示しなければならない。

（２）開示の例外（２）開示の例外

開示することで、法第３３条第２項各号のいずれかに該当する場合開示することで、法第２８条第２項各号のいずれかに該当する場合

は、その全部又は一部を開示しないことができる。

は、その全部又は一部を開示しないことができる。

開示することで、法第３３条第２項第１号の「本人又は第三者の権利開示することで、法第２８条第２項第１号の「本人又は第三者の権利利益を害するおそれがある」かどうかの判断は、健保組合等においては利益を害するおそれがある」かどうかの判断は、健保組合等においては容易でないため、別に定める指針（「診療報酬明細書等の被保険者等への容易でないため、別に定める指針（「診療報酬明細書等の被保険者等への開示について」（平成１７年３月３１日保険局長通知）の内容）に基づ

開示について」（平成１７年３月３１日保険局長通知）の内容）に基づ
88き、開示に当たって、主治医の判断を要するものとする。
【法の規定により遵守すべき事項等】

き、開示に当たって、主治医の判断を要するものとする。
【法の規定により遵守すべき事項等】

・健保組合等は、本人から、当該本人が識別される保有個人データの開・健保組合等は、本人から、当該本人が識別される保有個人データの開示の請求を受けたときは、本人に対し、遅滞なく、当該保有個人デー示の請求を受けたときは、本人に対し、遅滞なく、当該保有個人デー

タを開示しなければならない。また、当該本人が識別される保有個人

タを開示しなければならない。また、当該本人が識別される保有個人

データが存在しないときにその旨知らせることとする。ただし、開示

データが存在しないときにその旨知らせることとする。ただし、開示することにより、法第３３条第２項各号のいずれかに該当する場合することにより、法第２８条第２項各号のいずれかに該当する場合

は、その全部又は一部を開示しないことができる。

は、その全部又は一部を開示しないことができる。

・Ⅱ１．に記したとおり、例えばレセプトの情報の中には、被保険者等

・Ⅱ１．に記したとおり、例えばレセプトの情報の中には、被保険者等の保有個人データであって、当該レセプトに係る診察をした医師の保の保有個人データであって、当該レセプトに係る診察をした医師の保有個人データでもあるという二面性を持つ部分が含まれるものの、そ有個人データでもあるという二面性を持つ部分が含まれるものの、そもそもレセプト全体が被保険者等の保有個人データであることから、もそもレセプト全体が被保険者等の保有個人データであることから、被保険者等本人から開示の請求があった場合に、その二面性があるこ

被保険者等本人から開示の請求があった場合に、その二面性があることを理由に全部又は一部を開示しないことはできない。ただし、法第とを理由に全部又は一部を開示しないことはできない。ただし、法第３３条第２項各号のいずれかに該当する場合には、法に従い、その全

２８条第２項各号のいずれかに該当する場合には、法に従い、その全部又は一部を開示しないことができる。

部又は一部を開示しないことができる。

・開示の方法は、電磁的記録の提供による方法、書面の交付による方法

・開示の方法は、書面の交付又は請求を行った者が同意した方法によ

その他当該個人情報取扱事業者の定める方法による。

る。

・健保組合等は、請求を受けた保有個人データの全部又は一部について

・健保組合等は、請求を受けた保有個人データの全部又は一部について開示しない旨を決定したときは、本人に対し、遅滞なく、その旨を通開示しない旨を決定したときは、本人に対し、遅滞なく、その旨を通知しなければならない。また、本人に通知する場合には、本人に対し知しなければならない。また、本人に通知する場合には、本人に対してその理由を説明するよう努めなければならない（Ⅲ１５．参照）。

てその理由を説明するよう努めなければならない（Ⅲ１３．参照）。

・他の法令の規定により、保有個人データの開示について定めがある場

・他の法令の規定により、保有個人データの開示について定めがある場
89

合には、当該法令の規定によるものとする。
【その他の事項】

合には、当該法令の規定によるものとする。
【その他の事項】（略）
１３．訂正及び利用停止（法第３４条、第３５条）（略）
１１．訂正及び利用停止（法第２９条、第３０条）
（訂正等）

（訂正等）
法第三十四条 本人は、個人情報取扱事業者に対し、当該本人が識別さ法第二十九条 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの内容が事実でないときは、当該保有個人データれる保有個人データの内容が事実でないときは、当該保有個人データの内容の訂正、追加又は削除（以下この条において「訂正等」といの内容の訂正、追加又は削除（以下この条において「訂正等」という。
）を請求することができる。

う。）を請求することができる。

２

２

個人情報取扱事業者は、前項の規定による請求を受けた場合には、

個人情報取扱事業者は、前項の規定による請求を受けた場合には、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞れている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。

容の訂正等を行わなければならない。

３

その内容の訂正等に関して他の法令の規定により特別の手続が定めら３

個人情報取扱事業者は、第一項の規定による請求に係る保有個人デ個人情報取扱事業者は、第一項の規定による請求に係る保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂ータの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を通知しなければなら旨（訂正等を行ったときは、その内容を含む。）を通知しなければなら

ない。

ない

（利用停止等）（利用停止等）法第三十五条 本人は、個人情報取扱事業者に対し、当該本人が識別さ

法第三十条 本人は、個人情報取扱事業者に対し、当該本人が識別されれる保有個人データが第十八条若しくは第十九条の規定に違反して取る保有個人データが第十六条の規定に違反して取り扱われているとき
90

又は第十七条の規定に違反して取得されたものであるときは、当該保であるときは、当該保有個人データの利用の停止又は消去（以下この有個人データの利用の停止又は消去（以下この条において「利用停止条において「利用停止等」という。
）を請求することができる。

等」という。）を請求することができる。

２

り扱われているとき、又は第二十条の規定に違反して取得されたもの

個人情報取扱事業者は、前項の規定による請求を受けた場合であっ２

個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行めに必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合で額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置あって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

をとるときは、この限りでない。

３て、その請求に理由があることが判明したときは、違反を是正するた

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個

３

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第二十三条第一項又は第二十四条の規定に違反して第三者に提供されているときは、当該保有個人データの第三者への提供の停に提供されているときは、当該保有個人データの第三者への提供の停止を請求することができる。

止を請求することができる。

４

人データが第二十七条第一項又は第二十八条の規定に違反して第三者

個人情報取扱事業者は、前項の規定による請求を受けた場合であっ４

個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場

当該保有個人データの第三者への提供の停止に多額の費用を要する場

合その他の第三者への提供を停止することが困難な場合であって、本合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるとき人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

は、この限りでない。

５て、その請求に理由があることが判明したときは、遅滞なく、当該保本人は、個人情報取扱事業者に対し、当該本人が識別される保有個（新設）

人データを当該個人情報取扱事業者が利用する必要がなくなった場
合、当該本人が識別される保有個人データに係る第二十六条第一項本91

文に規定する事態が生じた場合その他当該本人が識別される保有個人
データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合には、当該保有個人データの利用停止等又は第三者への提供の停止を請求することができる。
６

個人情報取扱事業者は、前項の規定による請求を受けた場合であっ（新設）て、その請求に理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行わなければならない。ただし、当該保有個人データの利用停止等又は第三者への提供の停止に
多額の費用を要する場合その他の利用停止等又は第三者への提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
７

個人情報取扱事業者は、第一項若しくは第五項の規定による請求に

５

個人情報取扱事業者は、第一項の規定による請求に係る保有個人デ係る保有個人データの全部若しくは一部について利用停止等を行った

ータの全部若しくは一部について利用停止等を行ったとき若しくは利とき若しくは利用停止等を行わない旨の決定をしたとき、又は第三項

用停止等を行わない旨の決定をしたとき、又は第三項の規定による請若しくは第五項の規定による請求に係る保有個人データの全部若しく求に係る保有個人データの全部若しくは一部について第三者への提供は一部について第三者への提供を停止したとき若しくは第三者への提を停止したとき若しくは第三者への提供を停止しない旨の決定をした

供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、そのときは、本人に対し、遅滞なく、その旨を通知しなければならない。

旨を通知しなければならない。
【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

・健保組合等は、法第３４条第２項又は第３５条第２項、第４項若しくは・健保組合等は、法第２９条第２項又は第３０条第２項若しくは第４項

第６項の規定に基づき、本人から、保有個人データの訂正等、利用停止の規定に基づき、本人から、保有個人データの訂正等、利用停止等、等、第三者への提供の停止の請求を受けた場合で、それらの請求が適正

第三者への提供の停止の請求を受けた場合で、それらの請求が適正でであると認められるときは、これらの措置を行わなければならない。

あると認められるときは、これらの措置を行わなければならない。
92

・ただし、利用停止等及び第三者への提供の停止については、利用停止等

・ただし、利用停止等及び第三者への提供の停止については、利用停止に多額の費用を要する場合など当該措置を行うことが困難な場合であ等に多額の費用を要する場合など当該措置を行うことが困難な場合でって、本人の権利利益を保護するため必要なこれに代わるべき措置をとあって、本人の権利利益を保護するため必要なこれに代わるべき措置

るときは、この限りでない。

をとるときは、この限りでない。

・なお、以下の場合については、これらの措置を行う必要はない。

・なお、以下の場合については、これらの措置を行う必要はない。

①訂正等の請求があった場合であっても、(ｱ)利用目的から見て訂正等①訂正等の請求があった場合であっても、(ｱ)利用目的から見て訂正等が必要でない場合、(ｲ)誤りである指摘が正しくない場合又は(ｳ)訂正が必要でない場合、(ｲ)誤りである指摘が正しくない場合又は(ｳ)訂等の対象が事実でなく評価に関する情報である場合

正等の対象が事実でなく評価に関する情報である場合②利用停止等、第三者への提供の停止の請求があった場合であっても、②利用停止等、第三者への提供の停止の請求があった場合であって手続違反等の指摘が正しくない場合

も、手続違反等の指摘が正しくない場合

・健保組合等は、上記の措置を行ったとき、又は行わない旨を決定したと・健保組合等は、上記の措置を行ったとき、又は行わない旨を決定した

きは、本人に対し、遅滞なく、その旨を通知しなければならない。また、ときは、本人に対し、遅滞なく、その旨を通知しなければならない。

本人に通知する場合には、本人に対してその理由を説明するよう努めな

また、本人に通知する場合には、本人に対してその理由を説明するよ

ければならない（Ⅲ１５．参照）。

う努めなければならない（Ⅲ１３．参照）。

【その他の事項】【その他の事項】（略）
１４．開示等の請求等に応じる手続及び手数料（法第３７条、第３８条）（略）
１２．開示等の請求等に応じる手続及び手数料（法第３２条、第３３条）（開示等の請求等に応じる手続）（開示等の請求等に応じる手続）
法第三十七条 個人情報取扱事業者は、第三十二条第二項の規定による

法第三十二条 個人情報取扱事業者は、第二十七条第二項の規定による求め又は第三十三条第一項（同条第五項において準用する場合を含求め又は第二十八条第一項、第二十九条第一項若しくは第三十条第一む。次条第一項及び第三十九条において同じ。）、第三十四条第一項若項若しくは第三項の規定による請求（以下この条及び第五十三条第一

しくは第三十五条第一項、第三項若しくは第五項の規定による請求項において「開示等の請求等」という。
）に関し、政令で定めるところ93

（以下この条及び第五十四条第一項において「開示等の請求等」といにより、その求め又は請求を受け付ける方法を定めることができる。

う。
）に関し、政令で定めるところにより、その求め又は請求を受け付

この場合において、本人は、当該方法に従って、開示等の請求等を行ける方法を定めることができる。この場合において、本人は、当該方わなければならない。

法に従って、開示等の請求等を行わなければならない。
２

個人情報取扱事業者は、本人に対し、開示等の請求等に関し、その２

個人情報取扱事業者は、本人に対し、開示等の請求等に関し、その対象となる保有個人データ又は第三者提供記録を特定するに足りる事対象となる保有個人データを特定するに足りる事項の提示を求めるこ

項の提示を求めることができる。この場合において、個人情報取扱事とができる。この場合において、個人情報取扱事業者は、本人が容易

業者は、本人が容易かつ的確に開示等の請求等をすることができるよ

かつ的確に開示等の請求等をすることができるよう、当該保有個人デう、当該保有個人データ又は当該第三者提供記録の特定に資する情報

ータの特定に資する情報の提供その他本人の利便を考慮した適切な措の提供その他本人の利便を考慮した適切な措置をとらなければならな

置をとらなければならない。

い。
３

開示等の請求等は、政令で定めるところにより、代理人によってす３

ることができる。

開示等の請求等は、政令で定めるところにより、代理人によってす４

ることができる。

個人情報取扱事業者は、前三項の規定に基づき開示等の請求等に応

４

個人情報取扱事業者は、前三項の規定に基づき開示等の請求等に応じる手続を定めるに当たっては、本人に過重な負担を課するものとなじる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。

らないよう配慮しなければならない。

（手数料）

（手数料）

法第三十八条 個人情報取扱事業者は、第三十二条第二項の規定による

法第三十三条 個人情報取扱事業者は、第二十七条第二項の規定による

利用目的の通知を求められたとき又は第三十三条第一項の規定による

利用目的の通知を求められたとき又は第二十八条第一項の規定による開示の請求を受けたときは、当該措置の実施に関し、手数料を徴収す

開示の請求を受けたときは、当該措置の実施に関し、手数料を徴収することができる。

ることができる。

２

個人情報取扱事業者は、前項の規定により手数料を徴収する場合

２

個人情報取扱事業者は、前項の規定により手数料を徴収する場合

は、実費を勘案して合理的であると認められる範囲内において、そのは、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。

手数料の額を定めなければならない。
94

（開示等の請求等を受け付ける方法）（開示等の請求等を受け付ける方法）

令第十二条 法第三十七条第一項の規定により個人情報取扱事業者が開令第十条 法第三十二条第一項の規定により個人情報取扱事業者が開示示等の請求等を受け付ける方法として定めることができる事項は、次等の請求等を受け付ける方法として定めることができる事項は、次にに掲げるとおりとする。

掲げるとおりとする。

一

開示等の請求等の申出先一 開示等の請求等の申出先

二

開示等の請求等に際して提出すべき書面（電磁的記録を含む。第二 開示等の請求等に際して提出すべき書面（電磁的記録を含む。第三十三条第一項及び第三十八条第三項において同じ。）の様式その他

十四条第一項及び第二十一条第三項において同じ。
）の様式その他のの開示等の請求等の方式

開示等の請求等の方式

三

開示等の請求等をする者が本人又は次条に規定する代理人である

三 開示等の請求等をする者が本人又は次条に規定する代理人である

ことの確認の方法
四ことの確認の方法

法第三十八条第一項の手数料の徴収方法

四 法第三十三条第一項の手数料の徴収方（開示等の請求等をすることができる代理人）（開示等の請求等をすることができる代理人）

令第十三条 法第三十七条第三項の規定により開示等の請求等をするこ

令第十一条 法第三十二条第三項の規定により開示等の請求等をすることができる代理人は、次に掲げる代理人とする。

とができる代理人は、次に掲げる代理人とする。

一

未成年者又は成年被後見人の法定代理人

一 未成年者又は成年被後見人の法定代理人

二

開示等の請求等をすることにつき本人が委任した代理人

二 開示等の請求等をすることにつき本人が委任した代理人（１）開示等を行う情報の特定（１）開示等を行う情報の特定健保組合等は、本人に対し、開示等の請求等に関して、その対象とな

健保組合等は、本人に対し、開示等の請求等に関して、その対象となる保有個人データ又は第三者提供記録を特定するに足りる事項の提示をる保有個人データを特定するに足りる事項の提示を求めることができる

求めることができるが、この場合には、本人が容易かつ的確に開示等のが、この場合には、本人が容易かつ的確に開示等の請求等をすることが請求等をすることができるよう、当該保有個人データ又は第三者提供記できるよう、当該保有個人データの特定に資する情報の提供その他本人録の特定に資する情報の提供その他本人の利便を考慮した措置をとらなの利便を考慮した措置をとらなければならない。

ければならない。
95

また、保有個人データの開示等については、本人の請求等により、保また、保有個人データの開示等については、本人の請求等により、保有個有個人データの全体又は一部が対象となるが、当該本人の保有個人デー

人データの全体又は一部が対象となるが、当該本人の保有個人データが多タが多岐にわたる、データ量が膨大であるなど、全体の開示等が困難又岐にわたる、データ量が膨大であるなど、全体の開示等が困難又は非効率は非効率な場合、健保組合等は、本人が開示等の請求等を行う情報の範な場合、健保組合等は、本人が開示等の請求等を行う情報の範囲を特定す

囲を特定するのに参考となる情報を提供するなど、本人の利便を考慮しるのに参考となる情報を提供するなど、本人の利便を考慮した支援を行う

た支援を行うものとする。

ものとする。

（２）代理人による開示等の請求等（２）代理人による開示等の請求等（略）【法の規定により遵守すべき事項等】（略）【法の規定により遵守すべき事項等】

・健保組合等は、保有個人データの開示等の請求等に関し、本人に過重・健保組合等は、保有個人データの開示等の請求等に関し、本人に過重な負担を課すものとならない範囲において、以下の事項について、そな負担を課すものとならない範囲において、以下の事項について、その請求を受け付ける方法を定めることができる。

の請求を受け付ける方法を定めることができる。

(ｱ)開示等の請求等の受付先(ｱ)開示等の請求等の受付先(ｲ)開示等の請求等に際して提出すべき書面の様式、その他の開示等の(ｲ)開示等の請求等に際して提出すべき書面の様式、その他の開示等の請求等の受付方法

請求等の受付方法(ｳ)開示等の請求等をする者が本人又はその代理人であることの確認の(ｳ)開示等の請求等をする者が本人又はその代理人であることの確認の方法

方法(ｴ)保有個人データの利用目的の通知、又は保有個人データの開示をす(ｴ)保有個人データの利用目的の通知、又は保有個人データの開示をする際に徴収する手数料の徴収方法

る際に徴収する手数料の徴収方法

・健保組合等は、本人に対し、開示等の請求等に関して、その対象とな・健保組合等は、本人に対し、開示等の請求等に関して、その対象となる保有個人データ又は第三者提供記録を特定するに足りる事項の提示

る保有個人データを特定するに足りる事項の提示を求めることができを求めることができるが、この場合には、本人が容易かつ的確に開示るが、この場合には、本人が容易かつ的確に開示等の請求等をするこ
96

等の請求等をすることができるよう、当該保有個人データ又は第三者とができるよう、当該保有個人データの特定に資する情報の提供その提供記録の特定に資する情報の提供その他本人の利便を考慮した措置

他本人の利便を考慮した措置をとらなければならない。

をとらなければならない。
・保有個人データの開示等の請求等は、本人のほか、未成年者又は成年・保有個人データの開示等の請求等は、本人のほか、未成年者又は成年被後見人の法定代理人、当該請求等をすることにつき本人が委任した被後見人の法定代理人、当該請求等をすることにつき本人が委任した代理人によってすることができる。

代理人によってすることができる。

・健保組合等は、保有個人データの利用目的の通知を求められたとき、・健保組合等は、保有個人データの利用目的の通知を求められたとき、又は保有個人データの開示を請求されたときは、当該措置の実施に関又は保有個人データの開示を請求されたときは、当該措置の実施に関し、手数料を徴収することができ、その際には実費を勘案して合理的し、手数料を徴収することができ、その際には実費を勘案して合理的であると認められる範囲内において、手数料の額を定めなければならであると認められる範囲内において、手数料の額を定めなければなら

ない。

ない。

【その他の事項】【その他の事項】

・健保組合等は、以下の点に留意しつつ、保有個人データの開示の手続

・健保組合等は、以下の点に留意しつつ、保有個人データの開示の手続を定めることが望ましい。

を定めることが望ましい。

－開示等の請求等の方法は書面によることが望ましいが、被保険者等－開示等の請求等の方法は書面によることが望ましいが、被保険者等の自由な請求等を阻害しないため、開示等を請求する理由を要求すの自由な請求等を阻害しないため、開示等を請求する理由を要求す

ることは不適切である。

ることは不適切である。

－開示等を請求する者が本人（又はその代理人）であることを確認す－開示等を請求する者が本人（又はその代理人）であることを確認する。

る。

－開示等の請求等があった場合、医療機関に確認した上で、速やかに－開示等の請求等があった場合、医療機関に確認した上で、速やかに保有個人データの開示等を決定し、これを開示の請求等を行った者

保有個人データの開示等を決定し、これを開示の請求等を行った者に通知する。

に通知する。

－保有個人データの開示に当たり、法第３３条第２項各号に該当する－保有個人データの開示に当たり、法第２８条第２項各号に該当する
97

可能性がある場合には、開示の可否について検討するために設置し可能性がある場合には、開示の可否について検討するために設置した検討委員会等において検討した上で、速やかに開示の可否を決定た検討委員会等において検討した上で、速やかに開示の可否を決定することが望ましい。

することが望ましい。

－保有個人データの開示を行う場合には、本人に過重な負担を課すも－保有個人データの開示を行う場合には、本人に過重な負担を課すものとならない範囲で、日時、場所、方法等を指定することができのとならない範囲で、日時、場所、方法等を指定することができる。

る。

・代理人等、開示の請求等を行い得る者から開示の請求等があった場

・代理人等、開示の請求等を行い得る者から開示の請求等があった場

合、原則として被保険者等に対し保有個人データの開示を行う旨の説

合、原則として被保険者等に対し保有個人データの開示を行う旨の説明を行った後、開示の請求等を行った者に対して開示を行うものとす明を行った後、開示の請求等を行った者に対して開示を行うものとする。

る。

・代理人等からの請求等があった場合で、①本人による具体的意思を把・代理人等からの請求等があった場合で、①本人による具体的意思を把握できない包括的な委任に基づく請求、②開示等の請求が行われる相握できない包括的な委任に基づく請求、②開示等の請求が行われる相

当以前に行われた委任に基づく請求が行われた場合には、本人への説

当以前に行われた委任に基づく請求が行われた場合には、本人への説明に際し、開示の請求等を行った者及び開示する個人データの内容に明に際し、開示の請求等を行った者及び開示する個人データの内容について十分説明し、本人の意思を確認するとともに代理人の請求の適ついて十分説明し、本人の意思を確認するとともに代理人の請求の適正性、開示の範囲等について本人の意思を踏まえた対応を行うものと正性、開示の範囲等について本人の意思を踏まえた対応を行うものと

する。

する。

１５．理由の説明、事前の請求、苦情の処理（法第３６条、第３９条、第１３．理由の説明、事前の請求、苦情の対応（法第３１条、第３４条～第

４０条）

３５条）
（理由の説明）（理由の説明）

法第三十一条 個人情報取扱事業者は、第二十七条第三項、第二十八条

法第三十六条 個人情報取扱事業者は、第三十二条第三項、第三十三条

第三項、第二十九条第三項又は前条第五項の規定により、本人から求第三項（同条第五項において準用する場合を含む。
）、第三十四条第三められ、又は請求された措置の全部又は一部について、その措置をと項又は前条第七項の規定により、本人から求められ、又は請求された98

措置の全部又は一部について、その措置をとらない旨を通知する場合らない旨を通知する場合又はその措置と異なる措置をとる旨を通知す

又はその措置と異なる措置をとる旨を通知する場合には、本人に対る場合は、本人に対し、その理由を説明するよう努めなければならな

し、その理由を説明するよう努めなければならない。

い（事前の請求）（事前の請求）法第三十九条 本人は、第三十三条第一項、第三十四条第一項又は第三法第三十四条 本人は、第二十八条第一項、第二十九条第一項又は第三十五条第一項、第三項若しくは第五項の規定による請求に係る訴えを十条第一項若しくは第三項の規定による請求に係る訴えを提起しよう

提起しようとするときは、その訴えの被告となるべき者に対し、あらとするときは、その訴えの被告となるべき者に対し、あらかじめ、当

かじめ、当該請求を行い、かつ、その到達した日から二週間を経過し該請求を行い、かつ、その到達した日から二週間を経過した後でなけ

た後でなければ、その訴えを提起することができない。ただし、当該れば、その訴えを提起することができない。ただし、当該訴えの被告

訴えの被告となるべき者がその請求を拒んだときは、この限りでなとなるべき者がその請求を拒んだときは、この限りでない。

い。
２

前項の請求は、その請求が通常到達すべきであった時に、到達した

２

ものとみなす。

前項の請求は、その請求が通常到達すべきであった時に、到達した

３

ものとみなす。

前二項の規定は、第三十三条第一項、第三十四条第一項又は第三十３

前二項の規定は、第二十八条第一項、第二十九条第一項又は第三十五条第一項、第三項若しくは第五項の規定による請求に係る仮処分命

条第一項若しくは第三項の規定による請求に係る仮処分命令の申立て

令の申立てについて準用する。

について準用する。

（個人情報取扱事業者による苦情の処理）（個人情報取扱事業者による苦情の処理）

法第四十条 個人情報取扱事業者は、個人情報の取扱いに関する苦情の法第三十五条 個人情報取扱事業者は、個人情報の取扱いに関する苦情

適切かつ迅速な処理に努めなければならない。
２の適切かつ迅速な処理に努めなければならない。

個人情報取扱事業者は、前項の目的を達成するために必要な体制の２

個人情報取扱事業者は、前項の目的を達成するために必要な体制の整備に努めなければならない。

整備に努めなければならない。

【法の規定により遵守すべき事項等】【法の規定により遵守すべき事項等】

（略）

（略）

99

【その他の事項】【その他の事項】

（略）

（略）

Ⅳ

Ⅳ

ガイダンスの見直し等

ガイダンスの見直し等

１．必要に応じた見直し

１．必要に応じた見直し

（略）

（略）

２．本ガイダンスを補完する事例集の作成・公開

２．本ガイダンスを補完する事例集の作成・公開

（略）

（略）

別表１ 健保組合等が保有する個人情報の例

別表１ 健保組合等が保有する個人情報の例

（略）

（略）

別表２ 健保組合等の通常業務で想定される主な利用目的

別表２ 健保組合等の通常業務で想定される主な利用目的

１.被保険者等に対する保険給付に必要な利用目的

１.被保険者等に対する保険給付に必要な利用目的〔健保組合等の内部での利用に係る事例〕〔健保組合等の内部での利用に係る事例〕

・被保険者資格の確認、被扶養者の認定並びに健康保険被保険者証

・被保険者資格の確認、被扶養者の認定並びに健康保険被保険者証

の発行管理

の発行管理

・保険給付及び付加給付の実施

・保険給付及び付加給付の実施・番号法に定める利用事務・番号法に定める利用事務〔他の事業者等への情報提供を伴う事例〕〔他の事業者等への情報提供を伴う事例〕

・高額療養費及び一部負担金還元金等の自動払いにおける給与口座

・高額療養費及び一部負担金還元金等の自動払いにおける給与口座（事業主）への支払い（事業主）への支払い

・海外療養費に係る翻訳のための外部委託

・海外療養費に係る翻訳のための外部委託

・第三者行為に係る損保会社等への求償・第三者行為に係る損保会社等への求償・健保連の高額医療給付の共同事業

・健保連の高額医療給付の共同事業・番号法に定める情報連携・番号法に定める情報連携
100

・被保険者等の資格等のデータ処理の外部委託・被保険者等の資格等のデータ処理の外部委託

２.保険料の徴収等に必要な利用目的

２.保険料の徴収等に必要な利用目的〔健保組合等の内部での利用に係る事例〕〔健保組合等の内部での利用に係る事例〕

・標準報酬月額及び標準賞与額の把握

・標準報酬月額及び標準賞与額の把握

・健康保険料、介護保険料、調整保険料の徴収

・健康保険料、介護保険料、調整保険料の徴収

３.保健事業に必要な利用目的

３.保健事業に必要な利用目的〔健保組合等の内部での利用に係る事例〕〔健保組合等の内部での利用に係る事例〕

・健康の保持・増進のための健診、保健指導及び健康相談

・健康の保持・増進のための健診、保健指導及び健康相談

・特定健診、保健指導の実施

・特定健診、保健指導の実施

・健康増進施設（保養所等）の運営

・健康増進施設（保養所等）の運営〔他の事業者等への情報提供を伴う事例〕〔他の事業者等への情報提供を伴う事例〕

・特定健診、保健指導の実施状況管理及び国への報告

・特定健診、保健指導の実施状況管理及び国への報告

・保健指導、健康相談に係る産業医への委託

・保健指導、健康相談に係る産業医への委託

・医療機関への健診の委託・医療機関への健診の委託

・健康増進施設(保養所等)の運営の委託

・健康増進施設(保養所等)の運営の委託

・コラボヘルスの一環である健診結果の事業主への提供

・コラボヘルスの一環である健診結果の事業主への提供

・被保険者等への医療費通知・被保険者等への医療費通知

４.診療報酬の審査・支払に必要な利用目的

４.診療報酬の審査・支払に必要な利用目的〔健保組合等の内部での利用に係る事例〕〔健保組合等の内部での利用に係る事例〕

・診療報酬明細書(レセプト)等の内容点検・審査・診療報酬明細書(レセプト)等の内容点検・審査〔審査支払機関への情報提供を伴う事例〕（新設）

・オンライン資格確認等システムを利用したレセプト振替のための加入者情報の提供
・オンライン資格確認等システムを利用したレセプト振替のための101

再審査請求に係る加入者情報の照会及び提供〔他の事業者等への情報提供を伴う事例〕〔他の事業者等への情報提供を伴う事例〕

・レセプトデータの内容点検・審査の委託

・レセプトデータの内容点検・審査の委託

・レセプトデータの電算処理のためのパンチ入力、画像取込み処理

・レセプトデータの電算処理のためのパンチ入力、画像取込み処理

の委託

の委託

５.健保組合等の運営の安定化に必要な利用目的

５.健保組合の運営の安定化に必要な利用目的〔健保組合等の内部での利用に係る事例〕〔健保組合等の内部での利用に係る事例〕

・医療費分析・疾病分析

・医療費分析・疾病分析〔他の事業者等への情報提供を伴う事例〕〔他の事業者等への情報提供を伴う事例〕

・医療費分析及び医療費通知に係るデータ処理等の外部委託

・医療費分析及び医療費通知に係るデータ処理等の外部委託

・健康保険組合連合会本部における医療費分析事業への参画

・健康保険組合連合会本部における医療費分析事業への参画

６.その他

６.その他

〔健保組合等の内部での利用に係る事例〕〔健保組合等の内部での利用に係る事例〕

・健保組合等の管理運営業務のうち、業務の維持・改善のための基・健保組合の管理運営業務のうち、業務の維持・改善のための基礎

礎資料

資料

〔他の事業者等への情報提供を伴う事例〕〔他の事業者等への情報提供を伴う事例〕

・第三者求償事務において、保険会社・医療機関等への相談又は届・第三者求償事務において、保険会社・医療機関等への相談又は届

出等

出等

102