平成 29 年 7 月 24 日
医療機器製造販売業者、販売業者、修理業者
関係各位
一般社団法人 日本医療機器産業連合会
法制委員会

改正個人情報保護法の施行（5 月 30 日～）について（その１）

改正個人情報保護法が平成 29 年 5 月 30 日から施行されました。改正内容等に付きましては、個人情報保護委員会のホームページ（http://www.ppc.go.jp/personal/pr/）に情報が掲載されていますので、確認をお願いします。
別紙に医療機器の製造販売業や販売業、修理業などの業務で関連する主な事項の考え方を整理しましたので、参考にしてください。厳密には法令等にて確認をお願いします。

【参考資料等】本資料は、個人情報保護委員会のホームページに掲載されている資料（下記）を基に、関係者と相談し、現時点での検討に基づき作成しております。
掲載資料等も必要に応じて見直しがされておりますので注意が必要です。

ガイドライン：個人情報の保護に関する法律についてのガイドライン（通則編）
平成 28 年 11 月 （平成 29 年 3 月一部改正）個人情報保護委員会
ガイダンス ：医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス
平成 29 年 4 月 14 日 個人情報保護委員会 厚生労働省
Q＆A

Ⅰ ：「個人情報の保護に関する法律についてのガイドライン」及び「個人データの漏えい等の事案が発生した場合等の対応について」 に関するＱ＆Ａ
平成 29 年 2 月 16 日 個人情報保護委員会

Q&A Ⅱ ：
「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」に関する
Ｑ＆Ａ（事例集）
平成 29 年 5 月 30 日 個人情報保護委員会事務局 厚生労働省

1

医療機器の製造販売業や販売業、修理業などの業務で関連する主な事項の考え方
Ⅰ．カタログ関係
項目

考え方

医療機器のカタログへの画像等の掲載について、・個人を特定する氏名や ID を削除していますが、個人情報に該当しますか。
・また、施行前に入手した情報について、改めて、同意を取る必要があるでしょうか。

医療機関において、個人が特定できないように処理され、特定の個人を識別できない情報は、個人情報に該当しないと考えられます。
なお、氏名やＩＤを削除しても、個人が特定されるような情報が含まれる画像や症例、年齢等が含まれる場合は、要配慮個人情報に該当します
ので、これらは使わないようにする必要があります。
また、施行前に取得した個人情報であって、施行後に要配慮個人情報に該当するものでも、施行前に適法に取得された個人情報であれば、改めて同意を取る必要はありません。

機器メーカー（医療機器製造販売業者等）が展示会や製品カ 医療機関より、個人が特定できないように処理された情報として提供をタログで用いるために用いる診断画像等を医療機関から提供 受けることにより、個人情報に該当しないものとして扱うことができまを受けるためには、どのような手続きを行えばよいでしょう す。
か。

参照条文又は Q&A 等
Q&AⅠ：Ｑ１－１４
Q&AⅠ：Ｑ１－１
Q&AⅡ：総論 Ｑ２－２
Q&AⅠ：Ｑ１－２５
Q&AⅡ：総論 Ｑ２－５
Q&AⅡ：総論 Ｑ２－６
ガイダンス Ⅱ－４
Q&AⅠ：Ｑ２－１
Q&AⅠ：Ｑ２－３
Q&AⅡ：総論 Ｑ３－１
Q&AⅡ：総論 Ｑ４－１
Q&AⅡ：総論 Ｑ４－２
Q&AⅠ：Ｑ１－５６
Q&AⅡ：総論 Ｑ２－１２
ガイダンス Ⅱ－７

Ⅰ－ 1

参照法令

関連

Ｑ＆Ａ ガイダンス

Q&AⅠ：（個人情報）
Ｑ１－14 A 社が保有する個人情報を、特定の個人を識別できない統計情報として B Ａ１－14 統計情報（複数人の情報から共通要素に係る項目を抽出して同じ分類ごとに集計して社に提供した場合、B 社においては、この情報は個人情報に該当しますか。
得られる情報）は、特定の個人との対応関係が排斥されている限りにおいては、「個人に関する情報」に該当するものではないため、「個人情報」にも該当しないと考えられます。
Q&AⅠ：（個人情報）
Ｑ１－１ 「特定の個人を識別することができる」とは、どのような意味ですか。

Q&AⅡ：【総論】＜用語の定義＞
Ｑ２－２ 「個人情報」とは、具体的にどのようなものがありますか。

Ａ１－１ 「特定の個人を識別することができる」とは、社会通念上、一般人の判断力や理解力をもって、生存する具体的な人物と情報との間に同一性を認めるに至ることができることをいいます。

Ａ２－２ 医療・介護関係事業者が保有している個人情報には様々なものがありますが、具体的には、以下のようなものがあります。
・患者・利用者の情報
・医師、歯科医師、薬剤師、看護師、介護職員、事務職員等の従業者の情報
・仕入先業者等の従業者の情報など
なお、診療録や介護関係記録に患者・利用者の情報のほか、患者・利用者の家族に関する情報が記載されている場合、その家族の個人情報を保有していることになります。
＊ このうち、従業者の情報については、個人情報の保護に関する法律についてのガイドラ
イン（通則編）及び「雇用管理分野における個人情報のうち健康情報を取り扱うに当たっての留意事項について」（平成２９年５月２９日通達）を参照してください。

Q&AⅠ：（要配慮個人情報）
Ｑ１－２５ 診療又は調剤に関する情報は、全て要配慮個人情報に該当しますか。

Ａ１－25 本人に対して医師等により行われた健康診断等の結果及びその結果に基づき医師等により行われた指導又は診療若しくは調剤が行われたことは、要配慮個人情報に該当します（施行令第２条第２号及び第３号）。
具体的には、病院、診療所、その他の医療を提供する施設における診療や調剤の過程において、患者の身体の状況、病状、治療状況等について、医師、歯科医師、薬剤師、看護師その他の医療従事者が知り得た情報全てを指し、診療記録や調剤録、薬剤服用歴、お薬手帳に記載された情報等が該当します。
また、病院等を受診したという事実及び薬局等で調剤を受けたという事実も該当します。

Q&AⅡ：：【総論】＜用語の定義＞
Ｑ２－５ 平成 27 年改正の施行（平成 29 年５月 30 日）前に取得した個人情報であ Ａ２－５ 平成 27 年改正の施行前に適法に取得した個人情報が施行後に要配慮個人情報に該当したとしても、改めて取得のための本人同意を得る必要はありません。
って、施行後に要配慮個人情報に該当することとなった場合、改めて取得について本人同意を得る必要がありますか。

Ⅰ－ 2

Q&AⅡ：【総論】＜用語の定義＞
Ｑ２－６ 平成 27 年改正の施行（平成 29 年５月 30 日）前に取得した個人情報であ Ａ２－６ 個人データの第三者提供については、要配慮個人情報に係るものか否かを問わず、原則として本人の同意が必要です。
って、施行後に要配慮個人情報に該当することとなり、当該情報について、新た
なお、平成 27 年改正の施行後に要配慮個人情報に該当することとなった場合、施行後はに第三者提供をする場合には本人同意を得る必要がありますか。
オプトアウトによる第三者提供は認められません。
ガイダンス： Ⅱ－４．個人情報の匿名化
当該個人情報から、当該情報に含まれる氏名、生年月日、住所、個人識別符号等、個人を識別する情報を取り除くことで、特定の個人を識別できないようにすることをいう。顔写
真については、一般的には目の部分にマスキングすることで特定の個人を識別できないと考えられる。なお、必要な場合には、その人と関わりのない符号又は番号を付すこともある。
このような処理を行っても、事業者内で医療・介護関係個人情報を利用する場合は、事業者内で得られる他の情報や匿名化に際して付された符号又は番号と個人情報との対応表等と照合することで特定の患者・利用者等が識別されることも考えられる。法においては、「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるもの」についても個人情報に含まれるものとされており、匿名化に当たっては、当該情報の利用目的や利用者等を勘案した処理を行う必要があり、あわせて、本人の同意を得るなどの対応も考慮する必要がある。
また、特定の患者・利用者の症例や事例を学会で発表したり、学会誌で報告したりする場合等は、氏名、生年月日、住所、個人識別符号等を消去することで匿名化されると考えられるが、症例や事例により十分な匿名化が困難な場合は、本人の同意を得なければならない。
なお、このような学会での発表等のために用いられる特定の患者の症例等の匿名化は、匿名加工情報（Ⅱ５．参照）とは定義や取扱いのルールが異なるので留意が必要である。
さらに当該発表等が研究の一環として行われる場合にはⅠ９．に示す取扱いによるものとし、学会等関係団体が定める指針に従うものとする。

Q&AⅠ：（利用目的の特定）
Ｑ２－１ 個人情報取扱事業者は、個人情報の利用目的を「できる限り特定しなけれ Ａ２－１ 利用目的を「できる限り」特定するとは、個人情報取扱事業者が、個人情報をどのよばならない」とされていますが、どの程度まで特定する必要がありますか。
うな目的で利用するかについて明確な認識を持つことができ、本人にとっても、自己の個人情報がどのような事業の用に供され、どのような目的で利用されるのかが、一般的かつ合理的に想定できる程度に特定するという趣旨です。
このため、特定される利用目的は、具体的で本人にとって分かりやすいものであることが望ましく、例えば、単に「お客様のサービスの向上」等のような抽象的、一般的な内容を利用目的とすることは、できる限り具体的に特定したことにはならないと解されます。

Q&AⅠ：（利用目的の特定）
Ｑ２－３ 「利用」とは何を意味しますか。
Q&AⅡ：【総論】＜本人の同意＞
Ｑ３－１ 本人の同意を得る場合には、文書で同意を得る必要がありますか。

Ａ２－３ 特段の定義があるわけではありませんが、取得及び廃棄を除く取扱い全般を意味すると考えられます。したがって、保管しているだけでも利用に該当します。
Ａ３－１ 医療機関等については、本人の同意を得る方法について法令上の規定はありません。
このため、文書による方法のほか、口頭、電話による方法なども認められます。このため、同意を求める内容や緊急性などを勘案し、それぞれの場面に適切な方法で同意を得るべきと考えます。
介護関係事業者については、介護保険法に基づく指定基準により、サービス担当者会議等において利用者または家族の個人情報を使用する場合は、利用者及び家族から文書による同意を得ておく必要があることに留意が必要です。
（参照：ガイダンスｐ３５）

Ⅰ－ 3

Q&AⅡ：【総論】＜個人情報を研究に利用する場合の取扱い＞
Ｑ４－１ 患者・利用者の個人情報を研究に利用する場合、匿名化する場合で Ａ４－１ 大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者
が学術研究の用に供する目的で個人情報等を取り扱う場合は、個人情報保護法のあっても、本人の同意が必要ですか。
適用を受けません。
ただし、医学研究分野に関しては、「人を対象とする医学系研究に関する倫理指針」などガイダンスの別表５に掲げる３つの医学研究に関する指針が策定されており、これらの指針に該当する研究は、当該指針の内容に従う必要があります。これらの指針において、研究を実施するに当たり、原則としてインフォームド・コンセ
ント（同意）を得る必要があるとされていますが、一定の条件を付してインフォー
ムド・コンセントを必ずしも要しない場合についても規定しています。
Q&AⅡ：【総論】＜個人情報を研究に利用する場合の取扱い＞
Ｑ４－２ 個人情報保護法では、学術研究を目的とする機関やそこに属する者 Ａ４－２ 大学病院（又は大学病院の医師）（注：個人情報保護法の適用に基づきここで等が学術研究の用に供する目的で個人情報を取り扱う場合は、個人情報
は私立大学をいいます。）、その他の学術研究を目的とする機関若しくは団体又はそれらに属する者が学術研究に供する目的で個人情報等を取り扱う場合には、個取扱事業者の義務等が課せられないとされていますが、大学病院（又は人情報保護法における個人情報取扱事業者の義務等が課せられないとされていま
大学病院の医師）が取得した個人情報については、本人の同意を得ずにす。
研究に利用して良いのでしょうか。
ただし、医学研究分野に関しては、「人を対象とする医学系研究に関する倫理指針」などガイダンスの別表５に掲げる３つの医学研究に関する指針が策定されており、これらの指針に該当する研究は、当該指針の内容に従って手続きを行う必要があり、原則としてインフォームド・コンセント（同意）を得る必要があることについてはＡ４―１のとおりです。
Q&AⅠ：（本人の同意）
Ｑ１－５６ 本人に対して、一定期間内に回答がない場合には同意したものとみなす Ａ１－５６ 本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によ
旨の電子メールを送り、当該期間を経過した場合に、本人の同意を得たこととす
らなければなりません。したがって、一定期間回答がなかったことのみをもって、一律に本ることはできますか。
人の同意を得たものとすることはできません。

Q&AⅡ：【総論】＜用語の定義＞
Ｑ２－１１ 「匿名化」された情報は、個人情報に該当しますか。

Ａ２－１１ 「個人情報の匿名化」は法律上の用語ではなく、従来から医療・介護の実務においてそのような取扱いがされてきたところであり、本ガイダンスにおいては、医療・介護関係事業者の個人情報の取扱いにおける「個人情報の匿名化」の考え方について示しています。
ただし、個人情報から氏名等の特定の個人を識別することができる情報を削除したとしても、医療・介護関係事業者内で得られる他の情報と照合することにより、特定の患者・利用者等を識別することができる場合には、その情報は個人情報に該当する場合があります。このため、個人情報に該当するか否かについては、情報を保有する医療・介護関係事業者において個別の事例に応じて判断することとなりますが、判断に迷う場合には、個人情報保護法
上、同法第７６条の適用を受ける場合（大学病院等における学術研究目的での利用について
通知・公表している場合等）を除き、個人情報に該当するものとして取り扱うことが望まし
いと考えられます。

Ⅰ－ 4

Q&AⅡ：【総論】＜用語の定義＞
Ａ２－１２ 「匿名化」は、個人情報から、氏名、生年月日、住所、個人識別符号等、個人を識別することができる情報を取り除くことですが、症例や事例により、匿Ｑ２－１２ 「匿名化」された情報と「匿名加工情報」との違いは何でしょうか。
名化を行ってもなお特定の個人が識別できる場合には個人情報に該当することもあり得ます。他方、「匿名加工情報」については、個人情報を個人情報の区分に応じて定められた措置を講じて特定の個人を識別することができないように加工して得られる個人に関する情報であって、当該個人情報を復元して特定の個人を再識別することができないようにしたものであり、個人情報保護委員会規則で定める基準に従って加工する必要があります。（「個人情報の保護に関する法律についてのガイドライン（匿名加工情報編）」（平成２８年個人情報保護委員会告示第９号）参照）
ガイダンス： Ⅱ－７．本人の同意「本人の同意」とは、本人の個人情報が、個人情報取扱事業者によって示された取扱方法で取り扱われることを承諾する旨の当該本人の意思表示をいう（当該本人であることを確認できていることが前提となる。
）。
また、「本人の同意を得（る）」とは、本人の承諾する旨の意思表示を当該個人情報取扱事業者が認識することをいい、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。
なお、個人情報の取扱いに関して同意したことによって生ずる結果について、未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力を有していないなどの場合は、親権者や法定代理人等から同意を得る必要がある。
【本人の同意を得ている事例】
事例 1）本人からの同意する旨の口頭による意思表示
事例 2）本人からの同意する旨の書面（電磁的記録を含む。
）の受領事例 3）本人からの同意する旨のメールの受信事例 4）本人による同意する旨の確認欄へのチェック
事例 5）本人による同意する旨のホームページ上のボタンのクリック
事例 6）本人による同意する旨の音声入力、タッチパネルへのタッチ、ボタンやスイッチ等による入力
法は、個人情報の目的外利用や個人データの第三者提供の場合には、原則として本人の同意を得ることを求めている。これは、法の基本となるＯＥＣＤ８原則のうち、利用制限の原則の考え方の現れであるが、医療機関等については、患者に適切な医療サービスを提供する目的のために、当該医療機関等において、通常必要と考えられる個人情報の利用範囲
を施設内への掲示（院内掲示）により明らかにしておき、患者側から特段明確な反対・留保の意思表示がない場合には、これらの範囲内での個人情報の利用について同意が得られているものと考えられる。
（Ⅲ５．
（３）（４）参照）
また、患者・利用者が、意識不明ではないものの、本人の意思を明確に確認できない状態の場合については、意識の回復にあわせて、速やかに本人への説明を行い本人の同意を得るものとする。
なお、これらの場合において患者・利用者の理解力、判断力などに応じて、可能な限り患者・利用者本人に通知し、同意を得るよう努めることが重要である。
医療・介護関係事業者が要配慮個人情報を書面又は口頭等により本人から適正に直接取得する場合は、本人が当該情報を提供したことをもって、当該医療・介護関係事業者が当該情報を取得することについて本人の同意があったものと解される。
（Ⅲ３．参照）【要配慮個人情報の取得時における本人の同意について】
医療機関の受付等で診療を希望する患者は、傷病の回復等を目的としている。一方、医療機関等は、患者の傷病の回復等を目的として、より適切な医療が提供できるよう治療に取り組むとともに、その費用を公的医療保険に請求する必要が生じる。良質で適正な医療の提供を受けるためには、また公的医療保険の扶助を受けるためには、医療機関等が患者の要配慮個人情報を含めた個人情報を取得することは必要不可欠である。
このため、例えば、患者が医療機関の受付等で、問診票に患者自身の身体状況や病状などを記載し、保険証とともに受診を申し出ることは、患者自身が自己の要配慮個人情報を含めた個人情報を医療機関等に取得されることを前提としていると考えられるため、医療機関等が要配慮個人情報を書面又は口頭等により本人から適正に直接取得する場合は、患者Ⅰ－ 5

の当該行為をもって、当該医療機関等が当該情報を取得することについて本人の同意があったものと解される。
また、医療機関等が要配慮個人情報を第三者提供の方法により取得した場合、提供元が法第１７条第 2 項及び第２３条第 1 項の規定に基づいて本人から必要な同意（要配慮個人情報の取得及び第三者提供に関する同意）を取得していることが前提となるため、提供を受けた当該医療機関等が、改めて本人から法第１７条第 2 項の規定に基づく同意を得る必要はないものと解される。
・要配慮個人情報を取得する場合には、あらかじめ本人の同意を得なければならない。ただし、法第１７条第２項各号に定める場合については、本人の同意を得る必要はない。
（例）・急病その他の事態が生じたときに、本人の病歴等を医師や看護師などの医療従事者が家族から聴取する場合、法第１７条第２項第２号に該当する。
・児童生徒の不登校や不良行為等について、児童相談所、学校、医療機関等の関係機関が連携して対応するために、医療機関等において、他の関係機関から当該児童生徒の保護事件に関する手続が行われた情報を取得する場合、法第１７条第２項第３号に該当する。
・児童虐待のおそれのある家庭情報のうち被害を被った事実に係る情報を、児童相談所、警察、学校、病院等の関係機関が、他の関係機関から取得する場合、法第１７条第２項第３号に該当する。
・医療機関等や介護関係事業者が警察の任意の求めに応じて要配慮個人情報に該当する個人情報を提出するために、当該個人情報を取得する場合、法第１７条第２項第４号に該当する。
・身体の不自由な方が医療機関等を受診し、院内において情報共有するためにカルテ等に記録した場合（目視による取得）や、身体の不自由な方の様子が店舗に設置された防犯カ
メラに映りこんだ場合（撮影による取得）、法第１７条第２項第６号、令第７条第１項に該当する。
・なお、要配慮個人情報を、法第２３条第５項各号に定める委託、事業承継又は共同利用により取得する場合は、あらかじめ本人の同意を得る必要はない。

Ⅰ－ 6

Ⅱ．修理関連項目

考え方

参照条文又は Q&A 等

診療情報がハードディスク等に残っている状態での医療機器 医療機器の保守管理は、医療法上委託できるとなっていますので、扱い Q&AⅠ：Ｑ1-49
修理での持ち出しを行う場合、第三者提供には当たらないと は「委託」と整理することができます。よって、第三者提供には該当し Q&AⅠ：Ｑ４-7の認識でよいでしょうか。
ません。ただし、委託者において医療機器から可能な限り診療情報を削 ガイドライン：3-3-4
除しておく等適切に処理した上で保守管理の委託をすべきですが、診療情報が記録されている状態で医療機器の保守管理を委託する場合は、委 ガイダンス Ⅲ－４
託元者の監督下で受託者が適切に個人情報データを取り扱う必要があります。
このため、受託者も個人情報データを取り扱う適切な体制を確保しておくことが必要であることから、委託者においてはその個人データの安全管理が図られるよう受託者に対する必要かつ適切な監督を行わなければなりません。

Ⅱ－1

参照法令

関連

Ｑ＆Ａ ガイダンス

Q&AⅠ：（個人情報取扱事業者）
Ｑ１－49 委託業務として、委託元の個人情報データベース等を利用していますが、 Ａ１－49 委託元の個人情報データベース等を加工・分析等をせずにそのまま利用する場合でも、委託された業務を行うために利用するのであれば「事業の用に供している」ことにな
この場合も、個人情報取扱事業者に該当しますか。
り、委託先も個人情報取扱事業者に該当します。
Q&AⅠ：（委託先の監督）
Ｑ４－７ 「委託契約の締結」に関して、実態として安全管理措置に係る委託元と委託先の合意が担保できるものであれば、「業務委託契約書の取交し」以外の態様（例
えば、委託先から委託元への誓約書の差入れや、覚書や合意書などの取交し）も認められますか。

Ａ４－７ 委託元・委託先の双方が安全管理措置の内容について合意をすれば法的効果が発生しますので、当該措置の内容に関する委託元・委託先間の合意内容を客観的に明確化できる手段であれば、書式の類型を問いません。

Q&AⅡ＜安全管理措置、従業者の監督及び委託先の監督＞
Ｑ３－５ 現行の業者との委託契約には、個人情報の取扱いに関する項目が含 Ａ３－５ 個人情報の取扱いに関する事項を含んだ内容で改めて契約する方法もありますが、現行の契約において、「業務の適正な執行を図る」といった類の規定がまれていません。個人情報保護法の全面施行に当たり、現契約を解消しある場合には、その「適正な執行」の一環として個人情報の適切な取扱いが含まて、新しい契約を締結し直す必要がありますか。
れることを確認し、具体的な取扱い等を明確化するために確認書など補足の取り決め文書を作成するなどの方法も可能と考えられます。
なお、今後、新規に契約を締結する場合には、個人情報の取扱いについて、より具体的な取り決めが行われることが望ましいと考えます。
ガイダンス：Ⅲ－４ 安全管理措置、従業者の監督及び委託先の監督（法第２０条～第２２条）抜粋（１）医療・介護関係事業者が講ずるべき安全管理措置等（２）安全管理措置として考えられる事項（３）業務を委託する場合の取扱い①委託先の監督
医療・介護関係事業者は、検査や診療報酬又は介護報酬の請求に係る事務等個人データの取扱いの全部又は一部を委託する場合、法第２０条に基づく安全管理措置を遵守させるよ
う受託者に対し、必要かつ適切な監督をしなければならない。
「必要かつ適切な監督」には、委託契約において委託者である事業者が定める安全管理措置の内容を契約に盛り込み受託者の義務とするほか、業務が適切に行われていることを定期的に確認することなども含まれる。
また、業務が再委託された場合で、再委託先が不適切な取扱いを行ったことにより、問題が生じた場合は、医療・介護関係事業者や再委託した事業者が責めを負うこともあり得る。
②業務を委託する場合の留意事項
医療・介護関係事業者は、個人データの取扱いの全部又は一部を委託する場合、以下の事項に留意すべきである。
・個人情報を適切に取り扱っている事業者を委託先（受託者）として選定する（受託者の安全管理措置が、少なくとも法第２０条で求められるものと同等であることを確認するため、
Ⅲ４.（２）の項目が、委託する業務内容に応じて確実に実施されることについて、受託者の体制、規程等の確認に加え、必要に応じて個人データを取り扱う場所に赴き、又はこれに代わる合理的な方法により確認を行った上で、個人情報保護に関する管理者、監督者等が、適切に評価することが望ましい。
）。
・契約において、個人情報の適切な取扱いに関する内容を盛り込む（委託期間中のほか、委託終了後の個人データの取扱いも含む。
）。
・受託者が、委託を受けた業務の一部を再委託することを予定している場合は、再委託を受ける事業者の選定において個人情報を適切に取り扱っている事業者が選定されるとともに、再委託先事業者が個人情報を適切に取り扱っていることが確認できるよう契約において配慮する（再委託の可否及び医療・介護関係事業者への文書による事前報告又は承認手続を求める等の事項を定めることが望ましい。
）。
・受託者が個人情報を適切に取り扱っていることを定期的に確認する。

Ⅱ－2

・受託者が再委託を行おうとする場合は、医療・介護関係事業者は委託を行う場合と同様、再委託の相手方、再委託する業務内容及び再委託先の個人データの取扱方法等について、受託者に事前報告又は承認手続を求めること、直接又は受託者を通じて定期的に監査を実施すること等により、受託者が再委託先に対して法第２２条に基づく委託先の監督を適切に果たすこと、再委託先が法第２０条に基づく安全管理措置を講ずることを十分に確認することが望ましい。再委託先が再々委託を行う場合以降も、再委託を行う場合と同様とする。
・受託者における個人情報の取扱いに疑義が生じた場合（患者・利用者等からの申出があり、確認の必要があると考えられる場合を含む。）には、受託者に対し、説明を求め、必要に応じ改善を求める等適切な措置をとる。
＊医療機関等における業者委託に関する関連通知等
上記の留意事項のほか、委託する業務に応じ、関連する通知等を遵守する。
・「医療法の一部を改正する法律の一部の施行について」（平成５年２月１５日健政発第９８号）の「第３ 業務委託に関する事項」
・「病院、診療所等の業務委託について」（平成 5 年２月１５日指第１４号）（４）医療情報システムの導入及びそれに伴う情報の外部保存を行う場合の取扱い
医療機関等及び医療情報を取り扱う介護関係事業者において、医療情報システムを導入したり、診療情報の外部保存を行う場合には、「医療情報システムの安全管理に関するガ
イドライン」（平成１７年３月３１日医政発第０３３１００９号・薬食発第０３３１０２０号・保発第０３３１００５号）によることとし、各医療機関等において運営及び委託等の取扱いについて安全性が確保されるよう規程を定め、実施するものとする。
（５）個人データの漏えい等の問題が発生した場合における二次被害の防止等（６）その他

Ⅱ－3

Ⅲ、医療機器販売業関係
項目

考え方

参照条文又は Q&A 等

顧客情報を収集する場合の「お客様のサービスの向上」のた 個人情報を収集する場合、その利用目的を具体的に特定する必要があり、 Q&AⅠ：Ｑ２-1
単に「お客様のサービスの向上」等のような抽象的な表現ではなく、例
めとして収集することはよいでしょうか。
えば、「技術資料や製品の資料の提供に利用する」など具体的に示す必要があります。
回収（改修）等のため、製造販売業からの求めに応じ、販売業者より販売先の情報を提供する場合、購入者から情報提供に関する同意を取る必要があるでしょうか。

販売業、貸与業では、販売先の記録をとることが義務付けられておりま Q&AⅠ：Ｑ５-19
すが、製造販売業者への報告までは、法令には明記されておりません。 法第１６条
渡す情報が医療機関の名称のみの場合は、個人情報には該当しないと考えられますが、例えば、放射線部○○技師長のように、個人名等が含まれる場合は、個人情報に該当すると考えられます。このため、このような情報を収集する折に、製造販売業者へ「医療機器の情報提供等のため」連絡する旨の承諾を取っておくことが望ましいと考えます。なお、製品
不具合により重大な事故を回避する場合であって、本人の同意を得ることが困難な場合は、個人情報が含まれていても、同意を取らなくてもおこなえると考えられます。

Ⅲ－ 1

参照法令

関連

Ｑ＆Ａ ガイダンス

Q&AⅠ：（利用目的の特定）
Ｑ２－１ 個人情報取扱事業者は、個人情報の利用目的を「できる限り特定しなけれ Ａ２－１ 利用目的を「できる限り」特定するとは、個人情報取扱事業者が、個人情報をどのような目的で利用するかについて明確な認識を持つことができ、本人にとっても、自己のばならない」とされていますが、どの程度まで特定する必要がありますか。
個人情報がどのような事業の用に供され、どのような目的で利用されるのかが、一般的か
つ合理的に想定できる程度に特定するという趣旨です。
このため、特定される利用目的は、具体的で本人にとって分かりやすいものであることが望ましく、例えば、単に「お客様のサービスの向上」等のような抽象的、一般的な内容を利用目的とすることは、できる限り具体的に特定したことにはならないと解されます。
Q&AⅠ：（利用目的の特定）
Ｑ２－３ 「利用」とは何を意味しますか。

Ａ２－３ 特段の定義があるわけではありませんが、取得及び廃棄を除く取扱い全般を意味すると考えられます。したがって、保管しているだけでも利用に該当します。

Q&AⅠ：（第三者提供の制限の原則）
Ｑ５－19 過去に販売した製品に不具合が発生したため、製造会社で当該製品を回収 Ａ５－19 製品の不具合が重大な事故を引き起こす危険性がある場合で、購入者に緊急に連絡を取る必要があるが、購入者が膨大で、購入者全員から同意を得るための時間的余裕もなすることになりました。販売会社を通じて購入者情報を提供してもらい、製造会
いときは、販売会社から購入者の情報を提供することは、法第 23 条第１項第２号で規定社から購入者に連絡を取りたいのですが、購入者数が膨大なため、販売会社が購する「人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得入者全員から第三者提供についての同意を得るのは困難です。さらに、製品の不ることが困難であるとき」に該当すると考えられるため、購入者本人の同意を得る必要は具合による人命に関わる事故が発生するおそれもあるため、製品を至急回収したないと解されます。
いのですが、このような場合でも購入者全員の同意を得なければならないですか。
個情法（利用目的による制限）
第 16 条 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
２ 個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
３ 前二項の規定は、次に掲げる場合については、適用しない。
一 法令に基づく場合）

Ⅲ－ 2