全日本病院協会

個人情報保護指針

２００６年５月
２０１３年５月改訂
２０１６年１月改訂
２０１７年５月改訂
２０２２年５月改訂
２０２２年１２月改訂
公益社団法人

全日本病院協会目次

Ⅰ．はじめに ･･････････････････････････････････････････････････････････････ 1
１．「全日本病院協会における個人情報保護指針」の目的等 ･･･････････････････ 1
２． 全日病の認定個人情報保護団体としての役割･･････････････････････････････ 1
３．「個人情報保護指針」の内容 ･･･････････････････････････････････････････ 1
４．「個人情報保護指針」の遵守と見直しの必要性等 ･････････････････････････ 2
５．「法」と「マイナンバー法」の関係･･･････････････････････････････････････ 2
Ⅱ．ガイダンスの趣旨、目的、基本的考え方 ･･･････････････････････････････････ 3
１．ガイダンスの趣旨･･･････････････････････････････････････････････････････ 3
２．ガイダンスの構成及び基本的考え方･･･････････････････････････････････････ 3
Ⅲ．個人情報の適正な取り扱いの確保について ･････････････････････････････････ 4
１．利用目的の特定等 ･････････････････････････････････････････････････････ 4
２．利用目的の通知等 ･････････････････････････････････････････････････････ 9
３．個人情報の適正な取得、個人データ内容の正確性の確保 ･･････････････････ 12
４．安全管理措置、従業者の監督及び委託先の監督 ･･････････････････････････ 15
５．個人データの第三者提供 ･･････････････････････････････････････････････ 22
６．保有個人データ等に関する事項の公表等 ････････････････････････････････ 44
７．本人からの請求等による保有個人データ等の開示 ･････････････････････････46
８．訂正及び利用停止 ････････････････････････････････････････････････････ 49
９．開示等の請求等に応じる手続及び手数料 ････････････････････････････････ 52
10．理由の説明、苦情対応 ････････････････････････････････････････････････ 55
Ⅳ．ガイダンスの見直し等 ･････････････････････････････････････････････････ 60
１．必要に応じた見直し ･････････････････････････････････････････････････ 60
２．ガイダンスを補完する事例集の作成・公開･････････････････････････ 60

Ⅰ．はじめに
１．「全日本病院協会における個人情報保護指針」の目的等「全日本病院協会における個人情報保護指針」（以下「個人情報保護指針」という。）は、「個人情報の保護に関する法律」（2003年5月30日法律第５７号、2021年法律第三十七号 以下「法」という）の趣旨に沿って、会員病院がその事業の遂行に際して、個人情報を取り扱う際に開示すべき利用目的、講ずべき安全管理のための措置その他の事項につき、具体的な基準を定めることにより、会員病院の個人情報の適正な取り扱いを確保することを目的とする。
全日本病院協会（以下「全日病」という。）では、法の全面施行に伴い、厚生労働省による「医療・介護関係事業者における個人情報の適切な取り扱いのためのガイドライン」を踏
まえ、2005 年 3 月に法施行に伴う医療機関における準備事項等に関する各種資料提供を、協会ホームページを通じて行った。
掲載したチェックリスト・Ｑ＆Ａ・各種サンプルおよび、
個人情報保護担当者研修会の開催等は、会員病院のみならず多方面より反響をいただき、医療機関における個人情報保護に関する取り組みに寄与したものと考えている。
2006年、認定個人情報保護団体として活動を行うにあたり、これまで提供した資料をもとに「個人情報保護指針」を制定した。
2015年9月の法改正および個人情報保護委員会と厚生労働省による「医療・介護関係事業者における個人情報の適切な取り扱いのためのガイダンス」（以下「ガイダンス」という。
2017年4月公布）に基づいて、本指針を大幅に改訂した。この度、2020年6月および2021年5月の法改正と2022年3月公布の「ガイダンス」に基づいて、本指針を改訂した。
２．全日病の認定個人情報保護団体としての役割
認定個人情報保護団体としての全日病は、法47条に規定された以下の業務遂行を目的とする。
① 業務の対象となる個人情報取扱事業者等（以下この節において「対象事業者」という。）の個人情報等の取扱いに関する第53条の規定による苦情の処理② 個人情報等の適正な取扱いの確保に寄与する事項についての対象事業者に対する情報の提供③ 前二号に掲げるもののほか、対象事業者の個人情報等の適正な取扱いの確保に関し必要な業務
具体的には、以下のごとくである。
① 患者･家族等の相談・苦情の処理
相談・苦情の受付けと当該病院に対する事情聴取、それに基づく、患者･家族等への説明、
病院に対する指導② 法令等の改正情報提供、教育研修、教材作成・出版③ 患者･家族等の苦情への対応方法の指導、改正法では、重大な漏洩発生時には、対象事業者が個人情報保護委員会に直接報告し、本人に通知する義務がある。認定個人情報保護団体として、個人情報の漏洩等の重要度・影響度の判断、対応方法等に関する相談受付･指導が必要である。
３．「個人情報保護指針」の内容「個人情報保護指針」は、「法」ならびに「ガイダンス」等の法令等に基づいて、医療機関として特に注意を要する事項等について、事例やＱ＆Ａを中心に、実務に即した形で具体的措置の内容を示した。

1

４．「個人情報保護指針」の遵守と見直しの必要性等
医療分野は、「個人情報の保護に関する基本方針」（2004年4月2日閣議決定、2008年4月
25日・2009年9月1日一部変更、2016年2月19日一部変更、2018年6月12日 一部変更、2022年4月1日一部変更。以下「基本方針」という。）及び国会における附帯決議において、個人情報の性質や利用方法等から、特に適正な取扱いの厳格な実施を確保する必要がある分野の一つであると指摘されており、各医療機関等における積極的な取組が求められている。会員病院においては、この「個人情報保護指針」の内容を遵守し、その実効性を確保するために、院内体制の整備等を行うことが求められている。
今後とも、個人情報保護の意識の高揚、個人情報の利用の多様化とこれに伴う保護の必要性、「法」等関係法令の見直し等の動向、医療機関と取り巻く社会・環境の変化等を踏まえて、会員病院における個人情報の保護が着実に図られるよう、この「個人情報保護指針」を
必要に応じて見直すものとする。
５．「法」と「マイナンバー法」の関係
行政手続における特定の個人を識別するための番号の利用等に関する法律（マイナンバー法）は、「法」の特別法として制定されたものである。
「ガイダンス」では、マイナンバー法に関して触れていないので、「個人情報保護指針」では、
マイナンバー法 第 2 条で定義された重要な用語を参考資料 1.に掲載するにとどめた。
解説は別の機会に譲る。

2

Ⅱ．ガイダンスの趣旨、目的、基本的考え方
１．

ガイダンスの趣旨「ガイダンス」は、「法」を踏まえ、「個人情報の保護に関する法律についてのガイドラ
イン（通則編）」（平成２８年個人情報保護委員会告示第６号（令和3年10月一部改正）。
以下「通則ガイドライン」という。）を基礎とし、法第６条及び第９条の規定に基づき、法の対象となる病院、診療所、薬局、介護保険法に規定する居宅サービス事業を行う者等の事
業者等が行う個人情報の適正な取扱いの確保に関する活動を支援するための具体的な留意点・事例等を示すものである。
なお、「ガイダンス」は医療・介護関係事業者における実例に照らした内容であるため、「ガイダンス」に記載のない事項及び関係条文については「通則ガイドライン」、「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」（平成２８年個人情報保護委員会告示第７号（令和3年10月一部改正））、「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」（平成２８年個人情報保護委員会告示第８号（令和3年10月一部改正））及び「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」（平成２８年個人情報保護委員会告示第９号（令和3年10月一部改正））をそれぞれ参照されたい。
２．

ガイダンスの構成及び基本的考え方

法第３条において、「個人情報が、個人の人格尊重の理念の下に慎重に取り扱われるべきものである」とされている。特に、医療・介護分野は、個人情報の性質や利用方法等から、法第６条の規定に基づく特に適正な取扱いの厳格な実施を確保する必要がある分野の一つであることから、各医療機関等における積極的な取組が求められる。
このことを踏まえ、「ガイダンス」では、法の趣旨を踏まえ医療・介護関係事業者における個人情報の適正な取扱いが確保されるよう、遵守すべき事項及び遵守することが望ましい
事項をできる限り具体的に示しており、各医療・介護関係事業者においては、法令、「基本方針」及び「ガイダンス」の趣旨を踏まえ、個人情報の適正な取扱いに取り組む必要がある。
具体的には、医療・介護関係事業者は、「ガイダンス」の【法の規定により遵守すべき事
項等】のうち、「しなければならない」等と記載された事項については、法の規定により厳格に遵守することが求められる。また、【その他の事項】については、法に基づく義務ではないが、達成できるよう努めることが求められる。

3

Ⅲ

個人情報の適正な取り扱いの確保について本章においては、「ガイダンス」に規定する事項のうち、個人情報の適正な取扱いの確保のために特に注意を要すると思われるものを取り上げて解説し、Ｑ＆Ａ形式で事例を取り入れた。Ｑ＆Ａを参考にして対応していれば、「法」及び「ガイダンス」に違反することにはならないが、ここに列挙したものが全てではない。医療機関における個人情報については、
機微な情報が多くあり、「個人情報保護指針」についても、今後、順次見直しを行う必要がある。
１．利用目的の特定等〔ガイダンス〕（１）利用目的の特定及び制限
医療・介護関係事業者が医療・介護サービスを希望する患者・利用者から個人情報を取得する場合、当該個人情報を患者・利用者に対する医療・介護サービスの提供、医療・介護保険事務、入退院等の病棟管理などで利用することは患者・利用者にとって明らかと考えられる。
これら以外で個人情報を利用する場合は、患者・利用者にとって必ずしも明らかな利用
目的とはいえない。この場合は、個人情報を取得するに当たって明確に当該利用目的の公表等の措置が講じられなければならない。
（IV5.参照）
医療・介護関係事業者の通常の業務で想定される利用目的は別表２に例示されるものであり、医療・介護関係事業者は、これらを参考として、自らの業務に照らして通常必要とされるものを特定して公表（院内掲示等）しなければならない。（IV5．参照）
また、別表２に掲げる利用目的の範囲については、法第１７条第２項に定める利用目的の変更を行うことができると考えられる。ただし、変更された利用目的については、本人へ通知又は公表しなければならない。
（IV5.参照）（２）利用目的による制限の例外
医療・介護関係事業者は、あらかじめ本人の同意を得ないで法第１７条の規定により特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならないが（法第１８条第１項）、同条第３項に掲げる場合については、本人の同意を得る必要はない。具体的な例としては以下のとおりである。
①

法令に基づく場合
医療法に基づく立入検査、介護保険法に基づく不正受給者に係る市町村への通知、児童虐待の防止等に関する法律に基づく児童虐待に係る通告等、法令に基づいて個人情報を利用する場合であり、医療・介護関係事業者の通常の業務で想定される主な事例は別
表３のとおりである。
根拠となる法令の規定としては、刑事訴訟法第１９７条第２項に基づく照会、地方税法第７２条の６３（個人の事業税に関する調査に係る質問検査権、各種税法に類似の規定あり）等がある。
警察や検察等の捜査機関の行う刑事訴訟法第１９７条第２項に基づく照会（同法第５０７条に基づく照会も同様）は、相手方に報告すべき義務を課すものと解されている
上、警察や検察等の捜査機関の行う任意捜査も、これへの協力は任意であるものの、法令上の具体的な根拠に基づいて行われるものであり、いずれも「法令に基づく場合」に該当すると解されている。

4

② 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（例）
・意識不明で身元不明の患者について、関係機関へ照会したり、家族又は関係者等からの安否確認に対して必要な情報提供を行う場合
・意識不明の患者の病状や重度の認知症の高齢者の状況を家族等に説明する場合
・大規模災害等で医療機関に非常に多数の傷病者が一時に搬送され、家族等からの問い合わせに迅速に対応するためには、本人の同意を得るための作業を行うことが著しく不合理である場合③ 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（例）・健康増進法に基づく地域がん登録事業による国又は地方公共団体への情報提供
・がん検診の精度管理のための地方公共団体又は地方公共団体から委託を受けた検診機関に対する精密検査結果の情報提供
・児童虐待事例についての関係機関との情報交換
・医療安全の向上のため、院内で発生した医療事故等に関する国、地方公共団体又は第三者機関等への情報提供のうち、氏名等の情報が含まれる場合
・医療機関が以前治療を行った患者の臨床症例に係る個人データを、症例研究のために他の医療機関に提供し、当該他の医療機関を受診する不特定多数の患者に対してより優れた医療サービスを提供できるようになること等により、公衆衛生の向上に特に資する場合であって、本人の転居により有効な連絡先を保有しておらず本人からの同意取得が困難であるとき・医療機関が保有する患者の臨床症例に係る個人データを有効な治療方法や薬剤が十分にない疾病等に関する疾病メカニズムの解明を目的とした研究のために製薬企業に提供し、その結果が広く共有・活用されていくことで、医学・薬学等の発展や医療水準の向上に寄与し、公衆衛生の向上に特に資する場合であって、本人の転居により有効な連絡先を保有しておらず本人からの同意取得が困難であるとき④ 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（例）
・統計法第２条第７項の規定に定める一般統計調査に協力する場合
・災害発生時に警察が負傷者の住所、氏名や傷の程度等を照会する場合等、公共の安全と秩序の維持の観点から照会する場合⑤個人情報取扱事業者が学術研究機関等である場合であって、個人情報を学術研究の用に供する目的（以下「学術研究目的」という。
）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）⑥学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）【法の規定により遵守すべき事項等】

5

・医療・介護関係事業者は、個人情報を取り扱うに当たって、その利用目的をできる限り
特定しなければならない。
・医療・介護関係事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。
・医療・介護関係事業者は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない。なお、本人の同意を得るた
めに個人情報を利用すること（同意を得るために患者・利用者の連絡先を利用して電話をかける場合など）、個人情報を匿名加工情報及び仮名加工情報に加工を行うことは差し支えない。
・個人情報を取得する時点で、本人の同意があったにもかかわらず、その後、本人から利用目的の一部についての同意を取り消す旨の申出があった場合は、その後の個人情報の取扱いについては、本人の同意が取り消されなかった範囲に限定して取り扱う。
・医療・介護関係事業者は、合併その他の事由により他の事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
・利用目的の制限の例外（法第１８条第３項）に該当する場合は、本人の同意を得ずに個人情報を取り扱うことができる。
（利用目的を変更する場合の取扱いについては IV5.を参照）【その他の事項】
・利用目的の制限の例外に該当する「法令に基づく場合」等であっても、利用目的以外の目的で個人情報を取り扱う場合は、当該法令等の趣旨をふまえ、その取り扱う範囲を真に必要な範囲に限定することが求められる。
・患者が未成年者等の場合、法定代理人等の同意を得ることで足りるが、一定の判断能力を有する未成年者等については、法定代理人等の同意にあわせて本人の同意を得る。
・意識不明の患者や重度の認知症の高齢者などで法定代理人がいない場合で、緊急に診療が必要な場合については、上記（２）②に該当し、当該本人の個人情報を取り扱うことができる。
〔利用目的の特定 質問と対応方法等〕
項目

質問

対応方法等

利用目的に 救急車で搬送されてきた患者につい 救急業務実施状況調は消防組織法４
よる制限の て、救急隊からの、その後の経過に ０条に基づき、消防庁長官が消防本部関する問い合わせがあった場合、回 に報告を求めているものである。「消例外
答してよいか？
防機関への情報提供については、個人情報保護法第２３条第１項第４号「地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合」に該当するため、問題ない」とする消防庁救助課長通知がある（2005 年 3 月 31 日付け 消防救第 95号）。

6利用目的に 災害発生時にマスコミや知人から負 「人の生命、身体又は財産の保護のたよる制限の 傷者の住所、氏名や傷の程度等の照 めに必要がある場合」には当てはまら会があった場合、負傷に関して回答 ないので、本人の同意無しには回答し例外ない方がよい。
して良いか。
なお、大規模災害時に、被災者情報・
負傷者情報等を家族、行政機関、地方自治体等に提供することは許される。
利用目的に 医療法第２５条による、保健所等の 医療法第２５条による、保健所等の立よる制限の 立入検査において、職員の収入や勤 入検査に回答しても、「法令に基づく務実態等を開示してもよいか。
例外場合」の例外適用となり、個人情報保護法では違法ではない。
利用目的に 弁護士会からある患者の診療経過に 弁護士会からの照会は弁護士法第２よる制限の ついて回答して欲しいという通知が ３条の２に基づく照会であり、法令に来た。今までは無条件で回答してい 基づく場合に当たり、本人の同意無く
例外
たが、それで良いか？
回答しても個人情報保護法には違反しないということになる。

利用目的に 弁護士個人からの患者に対する問合 前項に説明したように、弁護士会からよる制限の せがあった場合に回答してよいか？ の照会は弁護士法第２３条の２に基例外
づく照会であるが、弁護士個人からの照会の場合には、弁護士会から照会の手続きをしてほしいと回答する。

7

（参考：法第１７条、第１８条）（利用目的の特定）法第十七条 個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。
２ 個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。
（利用目的による制限）
法第十八条 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
２ 個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
３ 前二項の規定は、次に掲げる場合については、適用しない。
一 法令に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
五 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下この章において「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
六 学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）

8

２．利用目的の通知等〔ガイダンス〕【法の規定により遵守すべき事項等】
・医療・介護関係事業者は、個人情報を取得するに当たって、あらかじめその利用目的を公表しておくか、個人情報を取得した場合、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
・利用目的の公表方法としては、院内や事業所内等に掲示するとともに、可能な場合にはホームページへの掲載等の方法により、なるべく広く公表する必要がある。
・医療・介護関係事業者は、受付で患者に保険証を提出してもらう場合や問診票の記入を求める場合など、本人から直接書面に記載された当該本人の個人情報を取得する場合は、
あらかじめ、本人に対し、その利用目的を院内掲示等により明示しなければならない。
ただし、救急の患者で緊急の処置が必要な場合等は、この限りでない。
・医療・介護関係事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
・取得の状況からみて利用目的が明らかであると認められる場合など利用目的の通知等の例外に該当する場合は、上記内容は適用しない。
【その他の事項】
・利用目的が、本規定の例外である「取得の状況からみて利用目的が明らかであると認められる場合」に該当する場合であっても、患者・利用者等に利用目的をわかりやすく示
す観点から、利用目的の公表に当たっては、当該利用目的についても併せて記載する。
・院内や事業所内等への掲示に当たっては、受付の近くに当該内容を説明した表示を行い、初回の患者・利用者等に対しては、受付時や利用開始時において当該掲示についての注意を促す。
・初診時や入院・入所時等における説明だけでは、個人情報について十分な理解ができない患者・利用者も想定されることから、患者・利用者が落ち着いた時期に改めて説明を行ったり、診療計画書、療養生活の手引き、訪問介護計画等のサービス提供に係る計画
等に個人情報に関する取扱いを記載するなど、患者・利用者が個人情報の利用目的を理解できるよう配慮する。
・患者・利用者等の希望がある場合、詳細の説明や当該内容を記載した書面の交付を行う。

9

〔利用目的の通知 質問と対応方法等〕
項目
利用目的
の通知

質問
情報収集の目的はすべて、患者の了解を受ける必要があるか？ どの範囲であれば、掲示で黙示の同意を得たこと
になるか？

利用目的
の通知

個人情報の利用範囲に関して、患者一人一人に同意を求めなくてはならない
のか？

利用目的
の通知
利用目的
の通知

本人の同意をとっておけば長期に承諾を得ていることとなるか？
情報収集の目的に関する掲示の内容で注意すべき事項はどのようなことあるか？
研修医が、検査、処置あるいは手術を担当する場合には、その都度、患者に説明して同意を得る必要があるか？
医療職の学生実習をする場合には、患者のカルテ等をみますが、患者の同意は必要か？
実習病院であることの掲示あるいは説明書の配布でよいか？

利用目的
の通知
利用目的
の通知

10

対応方法等
想定される利用目的として、【患者への医療の提供に必要な利用目的】と、【上記以外の利用目的】が厚労省ガイ
ダンスの別表２に記載されており、それを参照のこと。
医療の提供に必要な利用目的は記載の必要は無いが、患者の予測の範囲外であることもあるので、掲示することが望ましい。これ以外の目的を明記した掲示をすることで、黙示の同意を得たことになる。
なお、【上記以外の利用目的】に関しては、患者の同意が望ましいという考え方もある。
院内掲示およびパンフレットを渡しておけばよいが、診察前に「掲示を見ていただけましたか？」「お考えが変わった場合には、遠慮なくお申し出下さい」などと意思確認することが望ましい。
本人が考え方を変えたと申告しない限
り、継続すると考えてよい。
参考資料の「利用目的の掲示例」を参考のこと。
臨床研修病院であり、研修医が診療に携わると言うことを掲示すればよい。
医療職の研修教育病院であり、実習生
が診療現場に参加することの掲示が必要。また、実習生には個人情報保護に関する誓約書をとる必要があります。

（参考：法第２１条）（取得に際しての利用目的の通知等）
法第二十一条 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
２ 個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。
３ 個人情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
４ 前三項の規定は、次に掲げる場合については、適用しない。
一 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
二 利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合
三 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
四 取得の状況からみて利用目的が明らかであると認められる場合

11

３．個人情報の適正な取得、個人データ内容の正確性の確保〔ガイダンス〕【法の規定により遵守すべき事項等】
・医療・介護関係事業者は、偽りその他の不正の手段により個人情報を取得してはならない。
・診療等のために必要な過去の受診歴等については、真に必要な範囲について、本人から直接取得するほか、第三者提供について本人の同意を得た者（Ⅲ９．（３）により本人の黙示の同意が得られていると考えられる者を含む）から取得することを原則とする。ただし、本人以外の家族等から取得することが診療上又は適切な介護サービスの提供上やむを得ない場合はこの限りでない。
・親の同意なく、十分な判断能力を有していない子どもから家族の個人情報を取得してはならない。ただし、当該子どもの診療上、家族等の個人情報の取得が必要な場合で、当該家族等から個人情報を取得することが困難な場合はこの限りではない。
【要配慮個人情報の取得時における本人の同意について】
医療機関の受付等で診療を希望する患者は、傷病の回復等を目的としている。一方、医療機関等は、患者の傷病の回復等を目的として、より適切な医療が提供できるよう治療に取り組むとともに、その費用を公的医療保険に請求する必要が生じる。良質で適正な医療の提供を受けるためには、また公的医療保険の扶助を受けるためには、医療機関等が患者の要配慮
個人情報を含めた個人情報を取得することは必要不可欠である。
このため、例えば、患者が医療機関の受付等で、問診票に患者自身の身体状況や病状などを記載し、保険証とともに受診を申し出ることは、患者自身が自己の要配慮個人情報を含めた個人情報を医療機関等に取得されることを前提としていると考えられるため、医療機関等が要配慮個人情報を書面又は口頭等により本人から適正に直接取得する場合は、患者の当該行為をもって、
当該医療機関等が当該情報を取得することについて本人の同意があったものと解される。
また、医療機関等が要配慮個人情報を第三者提供の方法により取得した場合、提供元が法第２０条第２項及び第２７条第１項の規定に基づいて本人から必要な同意（要配慮個人情報の取得及び第三者提供に関する同意）を取得していることが前提となるため、提供を受けた
当該医療機関等が、改めて本人から法第２０条第２項の規定に基づく同意を得る必要はない
ものと解される。
・要配慮個人情報を取得する場合には、あらかじめ本人の同意を得なければならない。ただし、法第２０条第２項各号に定める場合については、本人の同意を得る必要はない。
（例）・急病その他の事態が生じたときに、本人の病歴等を医師や看護師などの医療従事者が家族から聴取する場合、法第２０条第２項第２号に該当する。
・児童生徒の不登校や不良行為等について、児童相談所、学校、医療機関等の関係機関が連携して対応するために、医療機関等において、他の関係機関から当該児童生徒の保護事件に関する手続が行われた情報を取得する場合、法第２０条第２項第３号に該当する。
・児童虐待のおそれのある家庭情報のうち被害を被った事実に係る情報を、児童相談所、警察、学校、病院等の関係機関が、他の関係機関から取得する場合、法第２０条第２項第３号に該当する。
・医療機関等や介護関係事業者が警察の任意の求めに応じて要配慮個人情報に該当する個人情報を提出するために、
当該個人情報を取得する場合、法第２０条第２項第４号に該当する。
・身体の不自由な方が医療機関等を受診し、院内において情報共有するためにカルテ等に記

12

録した場合（目視による取得）や、身体の不自由な方の様子が店舗に設置された防犯カメラに映りこんだ場合（撮影による取得）、法第２０条第２項第８号、令第９条第１項に該当する。
・なお、要配慮個人情報を、法第２７条第５項各号に定める委託、事業承継又は共同利用により取得する場合は、あらかじめ本人の同意を得る必要はない。
【法第２０条第２項に違反している事例】
本人の同意を得ることなく、法第２０条第２項第７号及び規則第６条で定める者以外がイ
ンターネット上で公開している情報から本人の信条や犯罪歴等に関する情報を取得し、既に保有している当該本人に関する情報の一部として自己のデータベース等に登録すること。
・医療・介護関係事業者は、適正な医療・介護サービスを提供するという利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めなければならない。
【その他の事項】
・第三者提供により他の医療・介護関係事業者から個人情報を取得したとき、当該個人情報の内容に疑義が生じた場合には、記載内容の事実に関して本人又は情報の提供を行った者に確認をとる。
・医療・介護関係事業者は、個人データの内容の正確性、最新性を確保するため、委員会等において、具体的なルールを策定したり、技術水準向上のための研修の開催などを行うことが望ましい。

〔適正な取得、正確性の確保 質問と対応方法等〕
項目
質問
適正な取得 紹介受診の場合などに事前に他施設からのＦＡＸや電話での情報提供を受ける場合などは、特に本人の同意を受ける必要はないか？

適正な取得

正確性の
確保
正確性の
確保

対応方法等
連携施設で本院の同意を得ていると解釈できるので、改めて本人の同意を得る必要は無い。ガイドラインに「医療機関等が要配慮個人情報を第三者提供の方法により取得した場合、提供元が法第２０条第２項及び第２７条
第１項の規定に基づいて本人から必要な同意（要配慮個人情報の取得及び第三者提供に関する同意）を取得していることが前提となるため、提供を受けた当該医療機関等が、改めて本人から法第２０条第２項の規定に基づく同意を得る必要はないものと解される。」と記述されている。
不正な取得方法とはどんな場合を想 受診歴のない方の情報を業者に対価定しているのか？
を払って取得するようなことが想定される。
正確性、最新性の確保とは、常に患者 保険証の確認と同様に来院時に変更に積極的に問い合わせをしなければ がないかなどの確認を取ることが望ましい。
ならないのか？
法施行前に取得した情報についても 保有している情報については確認で
全て確認の必要があるか？
きる来院時点で、本人に正確かつ最新であるかについて確認をとることが
望ましい。

13

（参考：法第２０条、第２２条）（適正な取得）法第二十条 個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。
２ 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
一 法令に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
五 当該要配慮個人情報が、本人、国の機関、地方公共団体、第57条第１項各号に掲げる者
その他個人情報保護委員会規則で定める者により公開されている場合
六 学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う
場合に限る。）。
規則第六条 法第二十条第二項第七号の個人情報保護委員会規則で定める者は、次の各号のいずれかに該当する者とする。
一 外国政府、外国の政府機関、外国の地方公共団体又は国際機関
二 外国において法第十六条第八項に掲げる者に相当する者
三 外国において法第五十七条第一項各号に掲げる者に相当する者
令第九条 法第二十条第二項第八号の政令で定める場合は、次に掲げる場合とする。
一 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合
二 法第二十七条第五項各号に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき。
（データ内容の正確性の確保等）
法第二十二条 個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。

14

４．安全管理措置、従業者の監督及び委託先の監督〔ガイダンス〕（１）医療・介護関係事業者が講ずるべき安全管理措置等①安全管理措置医療・介護関係事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止
その他の個人データの安全管理のため、組織的、人的、物理的、及び技術的安全管理措置等を講じなければならない。その際、本人の個人データが漏えい、滅失又はき損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人データの取扱い状況等に起因するリスクに応じ、必要かつ適切な措置を講ずるものとする。なお、その際には、個人データを記録した媒体の性質に応じた安全管理措置を講ずる。
②従業者の監督
医療・介護関係事業者は、①の安全管理措置を遵守させるよう、従業者に対し必要かつ適切な監督をしなければならない。なお、「従業者」とは、医療資格者のみならず、当該事業者の指揮命令を受けて業務に従事する者すべてを含むものであり、また、
雇用関係のある者のみならず、理事、派遣労働者等も含むものである。
医療法第１５条では、病院等の管理者は、その病院等に勤務する医師等の従業者の監督義務が課せられている。（薬局や介護関係事業者についても、薬機法（医薬品医療機器等法）や介護保険法に基づく「指定居宅サービス等の事業の人員、設備及び運営に関する基準」、「指定介護予防サービス等の事業の人員、設備及び運営並びに指定
介護予防サービス等に係る介護予防のための効果的な支援の方法に関する基準」、「指定地域密着型サービスの事業の人員、設備及び運営に関する基準」、「指定地域密着型
介護予防サービスの事業の人員、設備及び運営並びに指定地域密着型介護予防サービ
スに係る介護予防のための効果的な支援の方法に関する基準」、「指定居宅介護支援等の事業の人員及び運営に関する基準」、「指定介護老人福祉施設の人員、設備及び運営に関する基準」、「介護老人保健施設の人員、施設及び設備並びに運営に関する基準」、「指定介護療養型医療施設の人員、設備及び運営に関する基準」及び「指定介護予防支援等の事業の人員及び運営並びに指定介護予防支援等に係る介護予防のための効果的な支援の方法に関する基準」（以下「指定基準」という。）等に同様の規定あり。）（２）安全管理措置として考えられる事項
医療・介護関係事業者は、その取り扱う個人データの重要性にかんがみ、個人データの漏えい、滅失またはき損の防止その他の安全管理のため、その規模、従業者の様態等を勘案して、以下に示すような取組を参考に、必要な措置を行うものとする。
また、同一事業者が複数の施設を開設する場合、当該施設間の情報交換については第三者提供に該当しないが、各施設ごとに安全管理措置を講ずるなど、個人情報の利用目的を踏まえた個人情報の安全管理を行う。
①個人情報保護に関する規程の整備、公表
・医療・介護関係事業者は、保有個人データの開示手順を定めた規程その他個人情報保護に関する規程を整備し、苦情への対応を行う体制も含めて、院内や事業所内等への掲示やホームページへの掲載を行うなど、患者・利用者等に対して周知徹底を図る。
・また、個人データを取り扱う情報システムの安全管理措置に関する規程等についても同様に整備を行う。

15

②個人情報保護推進のための組織体制等の整備
・従業者の責任体制の明確化を図り、具体的な取組を進めるため、医療における個人情報保護に関し十分な知識を有する管理者、監督者等を定めたり、個人情報保護の推進を図るための委員会等を設置する。
・医療・介護関係事業所で行っている個人データの安全管理措置について定期的に自己評価を行い、見直しや改善を行うべき事項について適切な改善を行う。
③個人データの漏えい等の問題が発生した場合等における報告連絡体制の整備
・１）個人データの漏えい等の事故が発生した場合、又は発生の可能性が高いと判断した
場合、２）個人データの取扱いに関する規程等に違反している事実が生じた場合、又は兆候が高いと判断した場合における責任者等への報告連絡体制の整備を行う。
・個人データの漏えい等の情報は、苦情等の一環として、外部から報告される場合も想定されることから、苦情への対応を行う体制との連携も図る。（Ⅲ１７．参照）④雇用契約時における個人情報保護に関する規程の整備
・雇用契約や就業規則において、就業期間中はもとより離職後も含めた守秘義務を課すな
ど従業者の個人情報保護に関する規程を整備し、徹底を図る。なお、特に、医師等の医療資格者や介護サービスの従業者については、刑法、関係資格法又は介護保険法に基づく指定基準により守秘義務規定等が設けられており（別表４）、その遵守を徹底する。
⑤従業者に対する教育研修の実施
・取り扱う個人データの適切な保護が確保されるよう、従業者に対する教育研修の実施等により、個人データを実際の業務で取り扱うこととなる従業者の啓発を図り、従業者の個人情報保護意識を徹底する。
・この際、派遣労働者についても、「派遣先が講ずべき措置に関する指針」（1999年労働省告示第138号、2020年厚生労働省告示第示346号）において、「必要に応じた教育
訓練に係る便宜を図るよう努めなければならない」とされていることを踏まえ、個人情報の取扱いに係る教育研修の実施に配慮する必要がある。
⑥物理的安全管理措置
・個人データの盗難・紛失等を防止するため、以下のような物理的安全管理措置を行う。
－入退館（室）管理の実施－盗難等に対する予防対策の実施－機器、装置等の固定など物理的な保護
・不正な操作を防ぐため、業務上の必要性に基づき、以下のように、個人データを取り扱
う端末に付与する機能を限定する。
－スマートフォン、パソコン等の記録機能を有する機器の接続の制限及び機器の更新への対応⑦技術的安全管理措置
・個人データの盗難・紛失等を防止するため、個人データを取り扱う情報システムについて以下のような技術的安全管理措置を行う。
－個人データに対するアクセス管理（ＩＤやパスワード等による認証、各職員の業務内容に応じて業務上必要な範囲にのみアクセスできるようなシステム構成の採用
等）－個人データに対するアクセス記録の保存－不正が疑われる異常な記録の存否の定期的な確認－個人データに対するファイアウォールの設置

16

－情報システムへの外部からのアクセス状況の監視及び当該監視システムの動作の
定期的な確認－ソフトウェアに関する脆弱性対策（セキュリティパッチの適用、当該情報システ
ム固有の脆弱性の発見及びその修正等）⑧個人データの保存・個人データを長期にわたって保存する場合には、保存媒体の劣化防止など個人データが消失しないよう適切に保存する。
・個人データの保存に当たっては、本人からの照会等に対応する場合など必要なときに迅速に対応できるよう、インデックスの整備など検索可能な状態で保存しておく。
⑨不要となった個人データの廃棄、消去
・不要となった個人データを廃棄する場合には、焼却や溶解など、個人データを復元不可能な形にして廃棄する。
・個人データを取り扱った情報機器を廃棄する場合は、記憶装置内の個人データを復元不可能な形に消去して廃棄する。
・これらの廃棄業務を委託する場合には、個人データの取扱いについても委託契約において明確に定める。
（３）業務を委託する場合の取扱い①委託先の監督
医療・介護関係事業者は、検査や診療報酬又は介護報酬の請求に係る事務等個人データの取扱いの全部又は一部を委託する場合、法第２３条に基づく安全管理措置を遵守させるよう受託者に対し、必要かつ適切な監督をしなければならない。
「必要かつ適切な監督」には、委託契約において委託者である事業者が定める安全管理措置の内容を契約に盛り込み受託者の義務とするほか、業務が適切に行われていることを定期的に確認することなども含まれる。
また、業務が再委託された場合で、再委託先が不適切な取扱いを行ったことにより、問題が生じた場合は、医療・介護関係事業者や再委託した事業者が責めを負うこともあり得る。
②業務を委託する場合の留意事項
医療・介護関係事業者は、個人データの取扱いの全部又は一部を委託する場合、以下の事項に留意すべきである。
・個人情報を適切に取り扱っている事業者を委託先（受託者）として選定する （受託者の安全管理措置が、少なくとも法第２３条で求められるものと同等であることを確認するため、Ⅳ７.（２）の項目が、委託する業務内容に応じて確実に実施されることについて、受託者の体制、規程等の確認に加え、必要に応じて個人データを取り扱う場所に赴き、又はこれに代わる合理的な方法により確認を行った上で、個人情報保護に関する管理者、監督者等が、適切に評価することが望ましい。）。
・契約において、個人情報の適切な取扱いに関する内容を盛り込む（委託期間中のほか、
委託終了後の個人データの取扱いも含む。）
・受託者が、委託を受けた業務の一部を再委託することを予定している場合は、再委託を受ける事業者の選定において個人情報を適切に取り扱っている事業者が選定されるとともに、再委託先事業者が個人情報を適切に取り扱っていることが確認できるよ
う契約において配慮する（再委託の可否及び医療・介護関係事業者への文書による事
前報告又は承認手続を求める等の事項を定めることが望ましい。）。
・受託者が個人情報を適切に取り扱っていることを定期的に確認する・受託者が再委託を行おうとする場合は、医療・介護関係事業者は委託を行う場合と同17

様、再委託の相手方、再委託する業務内容及び再委託先の個人データの取扱方法等について、受託者に事前報告又は承認手続を求めること、直接又は受託者を通じて定期的に監査を実施すること等により、受託者が再委託先に対して法第２５条に基づく委
託先の監督を適切に果たすこと、再委託先が法第２３条に基づく安全管理措置を講ずることを十分に確認することが望ましい。再委託先が再々委託を行う場合以降も、再委託を行う場合と同様とする。
・受託者における個人情報の取扱いに疑義が生じた場合（患者・利用者等からの申出があり、確認の必要があると考えられる場合を含む。）には、受託者に対し、説明を求
め、必要に応じ改善を求める等適切な措置をとる＊医療機関等における業者委託に関する関連通知等
上記の留意事項のほか、委託する業務に応じ、関連する通知等を遵守する。
・「医療法の一部を改正する法律の一部の施行について」（１９９３年２月１５日健政発第９８号）の「第３ 業務委託に関する事項」
・「病院、診療所等の業務委託についての」（１９９３年２月１５日指第１４号）（４）医療情報システムの導入及びそれに伴う情報の外部保存を行う場合の取扱い
医療機関等において、医療情報システムを導入したり、診療情報の外部保存を行う場
合には、「医療情報システムの安全管理に関するガイドライン 第５.２版」（2022年4月
改正）によることとし、各医療機関等において運営及び委託等の取扱いについて安全性が確保されるよう規程を定め、実施するものとする。
（５）その他
受付での呼び出しや、病室における患者の名札の掲示などについては、患者の取り違え防止など業務を適切に実施する上で必要と考えられるが、医療におけるプライバシー保護の重要性にかんがみ、患者の希望に応じて一定の配慮をすることが望ましい。
【法の規定により遵守すべき事項等】
・医療・介護関係事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他個人データの安全管理のために必要かつ適切な措置を講じなければならない。
・医療・介護関係事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
・医療・介護関係事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
【その他の事項】
・医療・介護関係事業者は、安全管理措置に関する取組を一層推進するため、安全管理措置が適切であるかどうかを一定期間ごとに個人情報保護対策及び最新の技術動向を 踏まえた
情報セキュリティ対策に十分な知見を有する者に事業者内の対応を確認させるほか、必要に応じて外部の知見を有する者による確認を受けることで、改善を図る ことが望ましい。
〔安全管理措置、従業者の監督及び委託先の監督 質問と対応方法等〕
項目
質問
館内放送に 患者や家族の呼び出しのための外来おついてよび病棟における館内放送をしてもよ
いか？

18

対応方法等
患者あるいは家族の呼び出しが、診療上必要な場合には、業務を円滑にするために、必要最低限に抑える努

館内放送に
ついて

外来での
プライバシ
ー対応

プライバシ
ーへの配慮

プライバシ
ーへの配慮
プライバシ
ーへの配慮

力をしたうえで、呼び出しをすることは可能である。この場合においても、予め、放送を希望されない場合には申し出ていただくなど、呼び出
しに関する患者の意思を確認しておくことが望ましい。
診療の時間(順番)がきて探したがいら プライバシー保護と患者取り違え
っしゃらないので、全館放送で「外来 あるいは業務の正確性とを勘案し診療でお見えの○○様、至急外科外来 て､各医療機関ごとの考えで運用をまでお越し下さい」と呼ぶケースなど、 決めることが重要である。
呼び出し方法の対応はどうしたらよいか？
外来受付にカルテ棚を設置しています 容易に外部者が入れないようにしが、棚そのものには施錠するような構 ておくことが必要。
造とはなっていない。カルテ棚がある カルテ棚自体への施錠は必須では場所は施錠できる部屋（ドアとシャッ ない。
ター）となっています（時間外など無人となる場合は施錠されている。）が、特に問題はないか？
外来診察室のプライバシー確保（診察 機微な問題に関しては、他の人に出内容が聞こえないようにする）が病院 ていただくか、別室で話す用意があの構造上難しく、改造が不可能な場合 ることを明示しておくことが必要である。
はどう対処すればよいか？
外来診療で次の患者のカルテを、診察 カルテの氏名欄等は前後の患者のを行っている机の上に並べているが、 目に触れないようにする工夫が必
そのままでよいか？
要である。
大部屋で患者の病状に関する質問をす 内容による。極めて機微な内容の場
る際、大声でなくても、同室者に聞こ 合には、別室で聞き取りを行う必要えてしまうことはあると思うが、どう がある。また、医療従事者と患者の感性の違いがあるので、患者の意向
考えたらよいか？
を聞くことも重要。

名札の掲示 病室における患者の名札の掲示は行ってはいけないのか？

名札の掲示 病室外への患者氏名掲示及びベッドネーム等の取扱いについて当院では予め入院時点で掲示することの必要性（患者取り違い防止やご自分の部屋の所在確認の目的）を説明した上で取り扱いを検討しているがそれでよいか？

19

患者の取り違え防止の観点から、業務を適切かつ安全に実施する上で必要と考えられるが、患者の要望に応じて一定の配慮をすることが望ましい。
（申し出があった場合は名札の掲載をしないという意思確認をしておくことが望ましい。）
説明あるいは掲示の中に、『名前を掲示したくない場合にはお申し出下さい。不利になることはありません』、という内容も必要。すなわち、目的の明示と異議を申し立てできることを明らかにすることが必要である。

入院患者へ 面会に来られた方に対し、入院病棟及の面会者へ び病室の案内は個人情報漏洩にあたるか。面会の照会に対する対応も予め入の対応
院手続き時に本人に確認すべきか？
入院患者へ 「住所と名字だけで、名前がわからなの面会者へ いが、入院していると聞いたのでお部屋を教えてください」といわれる場合の対応や「民生委員をしているので、入院しているか教えてほしい」といわれる場
合など、回答してもよいか？
組織対応 委員会設置は安全管理委員会や診療記録管理委員会とは別に設置すべきか？

入院しているか否かは個人情報にあたるので、答えてはいけない。
面会者が来院した場合の応対について、患者の希望を伺っておくことが望ましい。
いずれの場合にも、本人の了解が必要。
部屋の番号だけではなく、入院の事
実に関しても「お答えできません」という必要がある。
目的が異なるので別に設置することが必要。委員の重複はよい。

職員への対
応・教育
職員教育
（職員本人
の情報の扱
い）
職員教育
（情報の院
外持ち出
し）

個人別の誓約書は、従業員から一枚ず 個人毎にしておく方がよい。
つ記名・押印が必要か？
患者・家族から、礼状を書きたいので、 本人の了解がなければお知らせで△△先生の住所あるいは電話番号を教 きない。お知らせしてよいか伺ってえてほしいと言われたらどう答えたら おきます、と答えることがよい。
よいか？
医師が退院時予約や受持ち患者の一覧 資格認定あるいは継続に必要な場を電子ファイルとして保存し、勤務先 合には、退職前に申請させ、個人をが変っても持ち歩くことが多い（学会 特定できる情報を削除し、目的外使の認定医資格をとるためなどに必須で 用はしないことを指導して提供すあるので）が、これをどのように制限 る。退職後の提供は、第三者提供になる。
すればよいのか？
職員教育 勤務していた病院を退職する医師が、 病院が通知公表している利用目的
自分の担当患者の自宅に新しい勤務先 とは考えられないため、個人情報保を伝える手紙を出すのは問題ないか？ 護法に反すると考えられる。
職員教育 医師が退職する時に以前から診察して そのまま持ち出すことは、個人情報
いた患者の診療を新勤務先で引き続き 保護法に反する。病院の了解を得行いたいとして、検査データや画像デ て、患者一人一人に対し、情報提供の承諾を得た上で、「診療情報提供
ータを持っていくことは可能か？
書」としてデータを渡すことが必要である。
研修者・見 医療関係者である見学者に、電子カル 個人を特定できないようにしない
学者への対 テを見せる場合には、患者の同意が必 限り、患者の同意が必要。
要か？
応
日常業務上 血液などの検体を廃棄する際、患者名での注意事 の入ったラベルを剥がさなくてはならないか？
項

日常業務上 検査室で残血清を院内でプール血清やでの注意事 試薬を変えるときの検討に利用したり、一般検査の実習に尿沈渣を利用す
項ることは問題になるか？

20

特定の個人が同定できるラベルであれば、剥がすか、消す必要がある。
あるいは、特別な注意を払って、廃棄の最終段階まで、ラベルが他の人の目に触れないようにする必要がある。
個人を同定する氏名・ID 番号等を削除した検体は個人情報ではないので、個人情報保護法の対象にはならない。
しかし、検体の目的外利用は、その内容により問題になる可能性がある。質問の内容であれば、許容される範囲と考える。
日常業務上 回診時にメモした患者の体温も個人情での注意事 報として、開示請求や停止請求の対象になるか？
項

外部業者へ 委託派遣職員、外注職員、嘱託職員、の対応
パートタイム職員等の個人情報保護に関する教育は、どの程度必要か？
また漏洩等の責任の所在はどこになるのか？

外部業者へ 電子カルテのリモートメンテナンスはの対応
通常業務の委託よりも、より機微な情報に直接アクセスするため、特別の配慮が必要と思われるがどうか？

個人を特定できる情報はすべて個
人情報保護法の対象になる。
医療契約（医療は準委任契約と考えられている）においては、診療記録の開示対象になる可能性がある。カ
ルテに挟み込んであっても一体と見なされる可能性があるので、メモの取り扱いには注意が必要。
文書および口頭でも留意点を説明し、個人情報保護に関する誓約書を提出させることが必要である。
派遣元の会社との契約に際し、誓約書を提出させることが必要である。
また漏洩の責任については、前述の処置をし、当該医療機関の情報管理等の過誤が明らかでなければ、派遣
元または個人の責任となる。報告義
務は医療機関にある。
委託先の選定、委託契約の締結、委託先におけるデータの取扱状況の把握等、個人情報保護対策を確認
し、契約書を交わすことが必要である。電子カルテは機微な情報が含まれるので、より慎重な対応が必要である。

（参考：法第２３条～第２５条）（安全管理措置）法第二十三条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
（従業者の監督）
法第二十四条 個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
（委託先の監督）
法第二十五条 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

21

５．個人データの第三者提供〔ガイダンス〕（１）第三者提供の取扱い
医療・介護関係事業者は、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならないとされており、次のような場合には、本人の同意を得る必要がある。
（例）
・民間保険会社からの照会
患者が民間の生命保険に加入しようとする場合、生命保険会社から患者の健康状態等について照会があった場合、患者の同意を得ずに患者の現在の健康状態や既往歴等を回答してはならない。
交通事故によるけがの治療を行っている患者に関して、保険会社から損害保険金の支払いの審査のために必要であるとして症状に関する照会があった場合、患者の同意を得ずに患者の症状等を回答してはならない。
・職場からの照会
職場の上司等から、社員の病状に関する問い合わせがあったり、休職中の社員の職場復帰の見込みに関する問い合わせがあった場合、患者の同意を得ずに患者の病状や回復の見込み等を回答してはならない。
・学校からの照会
学校の教職員等から、児童・生徒の健康状態に関する問い合わせがあったり、休学中の児童・生徒の復学の見込みに関する問い合わせがあった場合、患者の同意を得ずに患者の健康状態や回復の見込み等を回答してはならない。
・マーケティング等を目的とする会社等からの照会
健康食品の販売を目的とする会社から、高血圧の患者の存在の有無について照会された場合や要件に該当する患者を紹介して欲しい旨の依頼があった場合、患者の同意を得ずに患者の有無や該当する患者の氏名・住所等を回答してはならない。
（２）第三者提供の例外
ただし、次に掲げる場合については、本人の同意を得る必要はない。
①法令に基づく場合
医療法に基づく立入検査、介護保険法に基づく不正受給者に係る市町村への通知、
児童虐待の防止等に関する法律に基づく児童虐待に係る通告等、法令に基づいて個人情報を利用する場合であり、医療機関等の通常の業務で想定される主な事例は別
表３のとおりである。
②人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（例）
・意識不明で身元不明の患者について、関係機関へ照会したり、家族又は関係者等からの安否確認に対して必要な情報提供を行う場合

22

・意識不明の患者の病状や重度の認知症の高齢者の状況を家族等に説明する場合
・大規模災害等で医療機関に非常に多数の傷病者が一時に搬送され、家族等からの問い合わせに迅速に対応するためには、本人の同意を得るための作業を行うことが著
しく不合理である場合※なお、「本人の同意を得ることが困難であるとき」には、本人に同意を求めても同意しない場合、本人に同意を求める手続を経るまでもなく本人の同意を得ることができない場合等が含まれるものである。
③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（例）・健康増進法に基づく地域がん登録事業による国又は地方公共団体への情報提供
・がん検診の精度管理のための地方公共団体又は地方公共団体から委託を受けた検診機関に対する精密検査結果の情報提供
・児童虐待事例についての関係機関との情報交換
・医療安全の向上のため、院内で発生した医療事故等に関する国、地方公共団体又は第三者機関等への情報提供のうち、氏名等の情報が含まれる場合
・感染症患者への対応に当たって、他の患者等への感染を防ぐため、家族等濃厚接触者の迅速な把握のために他の医療機関等に対して必要な個人情報を迅速に共有することが非常に重要な場合であって、本人の同意を得ることが困難であるとき・医療機関が以前治療を行った患者の臨床症例に係る個人データを、症例研究のために他の医療機関に提供し、当該他の医療機関を受診する不特定多数の患者に対してより優れた医療サービスを提供できるようになること等により、公衆衛生の向上に特に資する場合であって、本人の転居により有効な連絡先を保有しておらず本人からの同意取得が困難であるとき・医療機関が保有する患者の臨床症例に係る個人データを、有効な治療方法や薬剤が十分にない疾病等に関する疾病メカニズムの解明を目的とした研究のために製薬企業に提供し、その結果が広く共有・活用されていくことで、医学、薬学等の発展や医療水準の向上に寄与し、公衆衛生の向上に特に資することが期待される場合であって、本人の転居により有効な連絡先を保有しておらず本人からの同意取得が困難であるとき④国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（例）
・統計法第２条第７項の規定に定める一般統計調査に協力する場合
・災害発生時に警察が負傷者の住所、氏名や傷の程度等を照会する場合等、公共の安
全と秩序の維持の観点から照会する場合⑤学術研究機関等が学術研究目的で個人データを提供する場合であり、かつ、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ない場合(個人の権利利益を不当に侵害するおそれがある場合を除く。)(例)
・顔面の皮膚病に関する医学論文において、症例に言及する場合であって、写真全体にモザイク処理を施す等の対応をすることにより当該論文による研究成果の公表の目

23

的が達せられなくなるとき⑥学術研究機関等が個人データを提供する場合であり、かつ、当該学術研究機関等と共同して学術研究を行う第三者(学術研究機関等であるか否かを問わない)に当該個人デー
タを学術研究目的で提供する必要がある場合(当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利溢を不当に侵害するおそれがある場合を除く。)⑦学術研究機関等が個人データの第三者提供を受ける場合であり、かつ、当該学術研究機
関等が当該個人データを学術研究闘的で取り扱う必要がある場合(当該個人 1 データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそ:れがある場合を除く。)（３）本人の同意が得られていると考えられる場合
医療機関の受付等で診療を希望する患者は、傷病の回復等を目的としている。一方、医療機関等は、患者の傷病の回復等を目的として、より適切な医療が提供できるよう治療に取り組むとともに、必要に応じて他の医療機関と連携を図ったり、当該傷病を専門とする他の医療機関の医師等に指導、助言等を求めることも日常的に行われる。
また、その費用を公的医療保険に請求する場合等、患者の傷病の回復等そのものが目的ではないが、医療の提供には必要な利用目的として提供する場合もある。このため、第三者への情報の提供のうち、患者の傷病の回復等を含めた患者への医療の提供に必要であり、かつ、個人情報の利用目的として院内掲示等により明示されている場合は、原則として黙示による同意が得られているものと考えられる。
なお、傷病の内容によっては、患者の傷病の回復等を目的とした場合であっても、個人データを第三者提供する場合は、あらかじめ本人の明確な同意を得るよう求めがある場合も考えられ、その場合、医療機関等は、本人の意思に応じた対応を行う必要がある。
①患者への医療の提供のために通常必要な範囲の利用目的について、院内掲示等で公表しておくことによりあらかじめ包括的な同意を得る場合
医療機関の受付等で、診療を希望する患者から個人情報を取得した場合、それらが患者自身の医療サービスの提供のために利用されることは明らかである。このため、院内掲示等により公表して、患者に提供する医療サービスに関する利用目的について患者から明示的に留保の意思表示がなければ、患者の黙示による同意があったものと考えられる。
また、(ｱ)患者への医療の提供のため、他の医療機関等との連携を図ること(ｲ)患者への医療の提供のため、外部の医師等の意見・助言を求めること(ｳ)患者への医療の提供のため、他の医療機関等からの照会があった場合にこれに応じること(ｴ)患者への医療の提供に際して、家族等への病状の説明を行うこと等が利用目的として特定されている場合は、これらについても患者の同意があったものと考えられる。
②この場合であっても、黙示の同意があったと考えられる範囲は、患者のための医療サービスの提供に必要な利用の範囲であり、別表２の「患者への医療の提供に必要な利用目的」を参考に各医療機関等が示した利用目的に限られるものとする。
なお、院内掲示等においては、(ｱ)患者は、医療機関等が示す利用目的の中で同意しがたいものがある場合には、

24

その事項について、あらかじめ本人の明確な同意を得るよう医療機関等に求めることができること。
(ｲ)患者が、(ｱ)の意思表示を行わない場合は、公表された利用目的について患者の同意が得られたものとすること。
(ｳ)同意及び留保は、その後、患者からの申出により、いつでも変更することが可能であること。
をあわせて掲示するものとする。
※上記①の(ｱ)～(ｴ)の具体例（例）
・他の医療機関宛に発行した紹介状等を本人が持参する場合
医療機関等において他の医療機関等への紹介状、処方せん等を発行し、当該書面を本人が他の医療機関等に持参した場合、当該第三者提供については、本人の同意があったものと考えられ、当該書面の内容に関し、医療機関等との間での情報交換を行うことについて同意が得られたものと考えられる。
・他の医療機関等からの照会に回答する場合
診療所Ａを過去に受診したことのある患者が、病院Ｂにおいて現に受診中の場合
で、病院Ｂから診療所Ａに対し過去の診察結果等について照会があった場合、病院Ｂの担当医師等が受診中の患者から同意を得ていることが確認できれば、診療所Ａは自らが保有する診療情報の病院Ｂへの提供について、患者の同意が得られたものと考えられる。
・家族等への病状説明
病態等について、本人と家族等に対し同時に説明を行う場合には、明示的に本人の同意を得なくても、その本人と同時に説明を受ける家族等に対する診療情報の提供について、本人の同意が得られたものと考えられる。
同様に、児童・生徒の治療に教職員が付き添ってきた場合についても、児童・生徒
本人が教職員の同席を拒まないのであれば、本人と教職員を同席させて、治療内容等について説明を行うことができると考えられる。
③医療機関等が、労働安全衛生法第６６条、健康保険法第１５０条、国民健康保険法
第８２条又は高齢者の医療の確保に関する法律第２０条、第２４条若しくは第１２５条により、事業者又は保険者が行う健康診断等を受託した場合、その結果である
労働者等の個人データを委託元である当該事業者又は保険者に対して提供することについて、本人の同意が得られていると考えられる。
④介護関係事業者については、介護保険法に基づく指定基準において、サービス担当
者会議等で利用者の個人情報を用いる場合には利用者の同意を、利用者の家族の個
人情報を用いる場合には家族の同意を、あらかじめ文書により得ておかなければならないとされていることを踏まえ、事業所内への掲示によるのではなく、サービス利用開始時に適切に利用者から文書により同意を得ておくことが必要である。
（４）「第三者」に該当しない場合①他の事業者等への情報提供であるが、「第三者」に該当しない場合
法第２７条第５項の各号に掲げる場合の当該個人データの提供を受ける者については、第三者に該当せず、本人の同意を得ずに情報の提供を行うことができる。医療・介護関係事業者における具体的事例は以下のとおりである。

25

・検査等の業務を委託する場合
・外部監査機関への情報提供（（公益財団法人）日本医療機能評価機構が行う病院
機能評価等）
・個人データを特定の者との間で共同して利用するとして、あらかじめ本人に通知等している場合※個人データの共同での利用における留意事項
病院と訪問看護ステーションが共同で医療サービスを提供している場合など、
あらかじめ個人データを特定の者との間で共同して利用することが予定されている場合、(ｱ)共同して利用される個人データの項目、(ｲ)共同利用者の範囲（個別列挙されているか、本人から見てその範囲が明確となるように特定されている必要がある）、(ｳ)利用する者の利用目的、(ｴ)当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名、をあらかじめ本人に通知し、又は本人が容易に知り得る状態においておくとともに、共同して利用することを明らかにしている場合には、当該共同利用者は第三者に該当しない。
この場合、(ｱ)、(ｲ)については変更することができず、(ｳ) については「社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内で認められるが、(ｴ)については、そのような限定はない。
②同一事業者内における情報提供であり、第三者に該当しない場合
同一事業者内で情報提供する場合は、当該個人データを第三者に提供したことにはならないので、本人の同意を得ずに情報の提供を行うことができる。医療・介護関係事業者における具体的事例は以下のとおりである。
・病院内の他の診療科との連携など当該医療・介護関係事業者内部における情報の交換
・同一事業者が開設する複数の施設間における情報の交換
・当該事業者の職員を対象とした研修での利用（ただし、第三者提供に該当しない場
合であっても、当該利用目的が院内掲示等により公表されていない場合には、具体的な利用方法について本人の同意を得るか（Ⅲ１．参照、個人が特定されないよう
匿名加工情報又は仮名加工情報に加工する必要がある（Ⅱ４．参照）
・当該事業者内で経営分析を行うための情報の交換（５）その他留意事項
・他の事業者への情報提供に関する留意事項
第三者提供を行う場合のほか、他の事業者への情報提供であっても、①法令に基づく場合など第三者提供の例外に該当する場合、②「第三者」に該当しない場合、③個人が特定されないように匿名加工情報に加工して情報提供する場合などにおいては、本来必要とされる情報の範囲に限って提供すべきである。
特に、医療事故等に関する情報提供に当たっては、患者・利用者及び家族等の意思を踏まえ、報告において氏名等が必要とされる場合を除き個人を特定できないようにする。また、医療事故発生直後にマスコミへの公表を行う場合等については、本人又は家族等の同意を得なければならない。
（適切ではない例）
・医師及び薬剤師が製薬企業のMR（医薬品情報担当者）、医薬品卸業者のMS（医薬品
販売担当者）等との間で医薬品の投薬効果などについて情報交換を行う場合に、必要でない氏名等の情報を削除せずに提供すること。

26

【法の規定により遵守すべき事項等】
・医療・介護関係事業者においては、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。なお、（２）の本人の同意を得る必要がない場合に該当する場合には、本人の同意を得る必要はない。
・個人データの第三者提供について本人の同意があった場合で、その後、本人から第三者提供の範囲の一部についての同意を取り消す旨の申出があった場合は、その後の個人データの取扱いについては、本人の同意のあった範囲に限定して取り扱うものとする。
【その他の事項】
・第三者提供に該当しない情報提供が行われる場合であっても、院内や事業所内等への掲示、ホームページ等により情報提供先をできるだけ明らかにするとともに、患者・利用者等からの問い合わせがあった場合に回答できる体制を確保する。
・ 例えば、業務委託の場合、当該医療・介護関係事業者において委託している業務の内容、委託先事業者、委託先事業者との間での個人情報の取扱いに関する取り決めの内容等について公開することが考えられる。
６．外国にある第三者への提供の制限（法第２８条）
詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」（平成２８年個人情報保護委員会告示第７号）を参照のこと。
（外国にある第三者への提供の制限）
法第二十八条 個人情報取扱事業者は、外国（本邦の域外にある国又は地域をいう。以下同じ。）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものを除く。以下この条において同じ。
）にある第三者（個人データの取扱いについてこの節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この条において同じ。）に個人データを提供する場合には、
前条第一項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は、適用しない。
２ 個人情報取扱事業者は、前項の規定により本人の同意を得ようとする場合には、個人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。
３ 個人情報取扱事業者は、個人データを外国にある第三者（第一項に規定する体制を整備している者に限る。
）に提供した場合には、個人情報保護委員会規則で定めるところにより、
当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。
規則第十六条 法第二十八条第一項の個人情報保護委員会規則で定める基準は、次の各号のいずれかに該当することとする。
一 個人情報取扱事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第四章第二節の規定の趣旨に沿った措置の実施が確保されていること。
二 個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。

27

【法の規定により遵守すべき事項等】
・医療・介護関係事業者が、法第２８条の規定に基づき、外国にある第三者に個人データを提供する場合には、法第２７条第１項各号（※）に定める場合を除き、外国にある第三者へ提供することについて本人の同意を得なければならない。
・ただし、次の①又は②のいずれかに該当する場合は、国内と同様に法第２７条第１項柱書の規定に基づく本人同意による第三者提供、又は同条第５項に基づく委託、共同利用による提供が可能である。
①外国にある第三者が、日本と同等の水準にあると認められる個人情報保護制度を有している国として個人情報の保護に関する法律施行規則（平成２８年個人情報保護委員会規則第 3号。以下「規則」という。
）で定める国にある場合②外国にある第三者が、個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制として規則で定める基準に適合する体制を整備している場合（※）法第２７条第１項各号
・法令に基づいて個人データを提供する場合（第１号関係）
・人（法人を含む。
）の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得ることが困難であるとき（第２号関係）
・公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることが困難であるとき（第３号関係）・国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であって、協力する民間企業等が当該国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがあるとき（第４号関係）
・学術研究機関等が学術研究目的で個人デーダを提供する場合であり、かつ、当該個人デー
タの提供が学術研究の成粟の公表又は教授のためやむを得ない場合(個人の権利利益を不当に侵害するおそれがある場合を除く。)(第 5 号関係)
・学術研究機関等が個人データを提供する場合であり、かつ、当該学術研究機関等と共同して学術研究を行う第三三者(学術研究機関等であるか否かを間わない)に当該個人データを学術研究目的で提供する必要がある場合(当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益蒼不当に侵害するおそれがある場合を除く。)(第 6 号関係)
・学術研究機関等が個人データの第三者提供を 1 受ける場合であり、かつ、当該学術研究機
関等が当該個人データを学術研究目的で取り扱う必要がある場合(当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)(第 7 号関係)
・上記②個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準については、規則第 16 条に規定されている。
・「適切かつ舎理的な方法」は、個々の事例ごとに判断されるべきであるが、個人データの提供先である外国にある第三者が、我が国の個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずることを担保することができる方法である必要がある。（具体的事例がガイダンスに提示されているので参照されたい。
）
個人情報取扱事業者は、本人が容易かつ的確に開示等の請求等をすることができるよう、
当該保有個人データ又は当該第三者提供記録の特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。
７．第三者提供に係る記録の作成等（法第２９条）
詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」（平成２８年個人情報保護委員会告示第８号・令和 3 年 8 月一部改正）
を参照のこと。

28

（第三者提供に係る記録の作成等）
法第二十九条 個人情報取扱事業者は、個人データを第三者（第十六条第二項各号に掲げる者を除く。略）に提供したときは、個人情報保護委員会規則で定めるところにより、
当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委
員会規則で定める事項に関する記録を作成しなければならない。ただし、当該個人デー
タの提供が第二十七条第一項各号又は第五項各号のいずれか（略）に該当する場合は、
この限りでない。
2 個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会
規則で定める期間保存しなければならない。
（第三者提供に係る記録の作成）
規則第十九条 法第二十九条第一項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。
2 法第二十九条第一項の記録は、個人データを第三者（略）に提供した都度、速やかに作成しなければならない。ただし、当該第三者に対し個人データを継続的に若しくは反復して提供（略）したとき、又は当該第三者に対し個人データを継続的に若しくは反復して提供することが確実であると見込まれるときの記録は、一括して作成することができる。
3 前項の規定にかかわらず、法第二十七条第一項又は法第二十八条第一項の規定により、本人に対する物品又は役務の提供に関連して当該本人に係る個人データを第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に次条第一項各号に定める事項が記載されているときは、当該書面をもって法第二十九条第一項の当該事項に関する記録に代えることができる。
（第三者提供に係る記録事項）
規則第二十条 法第二十九条第一項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。
一 法第二十七条第二項の規定により個人データを第三者に提供した場合 次のイからニまでに掲げる事項
イ 当該個人データを提供した年月日
ロ 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人 でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管 理人。第十八条の四第一項第三号において同じ。）の氏名（不特定かつ多数の者に 対して提供したときは、その旨）[ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに 足りる事項
ニ 当該個人データの項目
二 法第二十七条第一項又は法第二十八条第一項の規定により個人データを第三者に 提供した場合 次のイ及びロに掲げる事項
イ 法第二十七条第一項又は法第二十八条第一項の本人の同意を得ている旨
ロ 前号ロからニまでに掲げる事項
２ 前項各号に定める事項のうち、既に前条に規定する方法により作成した法第二十九 条
第一項の記録（当該記録を保存している場合におけるものに限る。）に記録されてい る事
項と内容が同一であるものについては、法第二十九条第一項の当該事項の記録を 省略することができる。

29

（第三者提供に係る記録の保存期間）
規則第二十一条 法第二十九条第二項の個人情報保護委員会規則で定める期間は、次の 各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とする。
一 第十九条第三項に規定する方法により記録を作成した場合 最後に当該記録に係 る個
人データの提供を行った日から起算して一年を経過する日までの間
二 第十九条第二項ただし書に規定する方法により記録を作成した場合 最後に当該 記録に係る個人データの提供を行った日から起算して三年を経過する日までの間
三 前二号以外の場合 三年（（１）記録義務が適用されない場合
以下の場合には記録義務が適用されない。
① 第三者が法第１６条第２項各号に掲げる者である場合
以下の１）から４）までに掲げる者との間で個人データの授受を行う場合、記録義務は適用されない。
１）国の機関（法第１６条第２項第２号関係）
２）地方公共団体（法第 １６条第２項第２号関係）
３）独立行政法人等（独立行政法人等の保有する個人情報の保護に関する法律（平成１１年
法律第１０３号）第２条第 1 項 に規定する独立行政法人等をいう。）（法第１６条第２項第３号関係）
４）地方独立行政法人（地方独立行政法人法（平成１５年法律第１１８号）第 2 条第 1 項に規定する地方独立行政法人をいう。）（法第１６条第２項第４号関係）②法第 27 条第 1 項各号に該当する場合（IV9．（２）参照）
個人データが転々流通することは想定されにくいことに鑑み、記録義務は適用されない。
１）法令に基づいて個人データを提供する場合（第１号関係）（例）・審査支払機関へのレセプトの提出
２）人（法人を含む。
）の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得ることが困難である場合（第 2 号関係）
３）
公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることが困難である場合（第 3 号関係）
４）国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場
合であって、協力する民間企業等が当該国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合（第 4 号関係）
５）当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人 データの提供が学術研究の成果の公表又は教授のためやむを得ないとき （個人の権利利益を不当に侵害するおそれがある場合を除く。
）（第５号関 係）
６）当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人 データを学術研究目的で提供する必要があるとき（当該個人データを提供 する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当 に侵害するおそれがある場合を除く。）（当
該個人情報取扱事業者と当該第 三者が共同して学術研究を行う場合に限る。
（第６号関係））
７）当該第三者が学術研究機関等である場合であって、当該第三者が当該個人 データを学術研究目的で取り扱う必要があるとき（当該個人データを取り 扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当 に侵害するおそれがある場合を除く。）
（第
７号関係）

30

③法第２７条第５項各号に該当する場合（Ⅳ９．
（４）参照）「第三者に該当しないものとする」とされていることに鑑み、記録義務は適用されない。
１）
個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合（法第２７条第５項第
１号関係）
（例）
・検体検査業務の委託その他の業務委託
・保険事務の委託・事業者等からの委託を受けて健康診断等を行った場合における、事業者等へのその結果の通知・医療機関等の管理運営業務のうち、外部監査機関への情報提供
２）合併その他の事由による事業の承継に伴って個人データが提供される場合（法第２７条第５項第２号関係）
３）
特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき（法第２７条第５項第３号関係）④本人に代わって提供している場合
医療・介護関係事業者が患者・利用者本人からの委託等に基づき当該本人の個人データを第三者提供する場合は、当該個人情報取扱事業者は「本人に代わって」個人データの提供をしているものである。したがって、この場合の第三者提供については、記録義務は適用されない。
（例）
医療機関等が患者等に提供する医療サービスのうち、・他の病院、診療所、助産所、薬局、訪問看護ステーション、介護サービス事業者等との連携・他の医療機関等からの照会への回答
・患者の診療等に当たり、外部の医師等の意見・助言を求める場合
・審査支払機関又は保険者からの照会への回答
・医師賠償責任保険などに係る、医療に関する専門の団体、保険会社等への相談又は届出等⑤本人と一体と評価できる関係にある者に提供する場合
本人の代理人又は家族等、本人と一体と評価できる関係にある者に提供する場合、本人側に対する提供とみなし、記録義務は適用されない。
（例）・家族等への病状説明【法の規定により遵守すべき事項等】（２）記録義務の適用（１）に記載したいずれの場合にも該当しない場合で、医療・介護関係事業者が個人データを第三者に提供したときは、法令に定める記録の作成及びその記録を保存しなければならない。
①記録を作成する方法など
１）記録を作成する媒体
医療・介護関係事業者は、記録を、文書、電磁的記録又はマイクロフィルムを用いて作成しなければならない。

31２）記録を作成する方法
医療・介護関係事業者は、原則として、個人データの授受の都度、速やかに記録を作成しなければならない。
３）一括して記録を作成する方法
一定の期間内に特定の事業者との間で継続的に又は反復して個人データを授受する場合は、個々の授受に係る記録を作成する代わりに、一括して記録を作成することができる。
４）契約書等の代替手段による方法
医療・介護関係事業者が、本人に対する物品又は役務の提供に係る契約を締結し、その契約の履行に伴って、契約の相手方を本人とする個人データを医療・介護関係事業者から第三者に提供する場合は、その提供の際に作成した契約書その他の書面をもって個人データの流通を追跡することが可能であるから当該契約書その他の書面をもって記録とすることができる。
５）代行により記録を作成する方法
提供者、受領者のいずれも記録の作成方法、保存期間は同一であることに鑑みて受領者は提供者の記録義務の全部又は一部を代替して行うことができる（提供者と受領者の記録事項の相違については留意する必要がある。）。なお、この場合であっても、提供者及び受領者は自己の義務が免責されるわけではないことから、実質的に自ら記録作成義務を果たしているものと同等の体制を構築しなければならない。
②記録事項
１）提供者の記録事項
医療・介護関係事業者が、本人の同意に基づき個人データの第三者提供を行う場合は、次の項目を記録しなければならない。
・本人同意を得ている旨
・第三者の氏名又は名称その他の当該第三者を特定できる事項
・個人データによって識別される本人の氏名その他の当該本人を特定できる事 項
・個人データの項目③記録事項の省略
複数回にわたって同一「本人」の個人データの授受をする場合において、同一の内容である事項を重複して記録する必要はない。既に「７．
（２）記録義務の適用」に規定する方法により作成した記録（現に保存している場合に限る。
）に記録された事項と内容が同一である
ものについては、当該事項の記録を省略することができる。
④保存期間
医療・介護関係事業者は、作成した記録を規則で定める期間保存しなければならない。保
存期間は記録の作成方法によって異なるので留意が必要である。
記録の作成方法の別

保存期間

契約書等の代替手段による方法に最後に当該記録に係る個人データの提供

より記録を作成した場合を行った日から起算して１年を経過する日までの間一括して記録を作成する方法によ

最後に当該記録に係る個人データの提供

り記録を作成した場合を行った日から起算して３年を経過する
日までの間

上記以外の場合

３年

32

８．第三者提供を受ける際の確認等（法第３０条）
詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」（平成２８年個人情報保護委員会告示第８号）を参照のこと。
（第三者提供を受ける際の確認等）
法第三十条 個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、個
人情報保護委員会規則で定めるところにより、次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供が第二十七条第一項各号又は第五項各号のいずれかに該当する場合は、この限りでない。
一 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団
体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名
二 当該第三者による当該個人データの取得の経緯
2 前項の第三者は、個人情報取扱事業者が同項の規定による確認を行う場合において、当該個人情報取扱事業者に対して、当該確認に係る事項を偽ってはならない。
3 個人情報取扱事業者は、第一項の規定による確認を行ったときは、個人情報保護委員会
規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項
その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。
4 個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会
規則で定める期間保存しなければならない。
（第三者提供を受ける際の確認）
規則第二十二条 法第三十条第一項の規定による同項第一号に掲げる事項の確認を行う方
法は、個人データを提供する第三者から申告を受ける方法その他の適切な方法とする。
2 法第三十条第一項の規定による同項第二号に掲げる事項の確認を行う方法は、個人デー
タを提供する第三者から当該第三者による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法とする。
3 前二項の規定にかかわらず、第三者から他の個人データの提供を受けるに際して既に前二項に規定する方法による確認（当該確認について次条に規定する方法による記録の作成及び保存をしている場合におけるものに限る。）を行っている事項の確認を行う方法は、当該事項の内容と当該提供に係る法第三十条第一項各号に掲げる事項の内容が同一であることの確認を行う方法とする。
（第三者提供を受ける際の確認に係る記録の作成）
規則第二十三条 法第三十条第三項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。
2 法第三十条第三項の記録は、第三者から個人データの提供を受けた都度、速やかに作成しなければならない。ただし、当該第三者から継続的に若しくは反復して個人データの提供（法第二十七条第二項の規定による提供を除く。以下この条において同じ。
）を受けたとき、又は当該第三者から継続的に若しくは反復して個人データの提供を受けることが確実であると見込まれるときの記録は、一括して作成することができる。
3 前項の規定にかかわらず、本人に対する物品又は役務の提供に関連して第三者から当該本人に係る個人データの提供を受けた場合において、当該提供に関して作成された契約書
その他の書面に次条第一項各号に定める事項が記載されているときは、当該書面をもって法第三十条第三項の当該事項に関する記録に代えることができる。
（第三者提供を受ける際の記録事項）
規則第二十四条 法第三十条第三項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。
一 個人情報取扱事業者から法第二十七条第二項の規定による個人データの提供を受けた
場合 次のイからホまでに掲げる事項
イ 個人データの提供を受けた年月日
ロ 法第三十条第一項各号に掲げる事項

33

ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
ニ 当該個人データの項目
ホ 法第二十七条第四項の規定により公表されている旨
二 個人情報取扱事業者から法第二十七条第一項又は法第二十八条第一項の規定による個
人データの提供を受けた場合 次のイ及びロに掲げる事項
イ 法第二十七条第一項又は法第二十八条第一項の本人の同意を得ている旨
ロ 前号ロからニまでに掲げる事項
三 第三者（個人情報取扱事業者に該当する者を除く。）から個人データの提供を受けた場
合 第一号ロからニまでに掲げる事項
２ 前項各号に定める事項のうち、既に前条に規定する方法により作成した法第三十条第三項の記録（当該記録を保存している場合におけるものに限る。）に記録された事項と内容が同一であるものについては、法第三十条第三項の当該事項の記録を省略することができる。
（第三者提供を受ける際の記録の保存期間）
規則第二十五条 法第三十条第四項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とする。
一 第二十三条第三項に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を受けた日から起算して一年を経過する日までの間
二 第二十三条第二項ただし書に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を受けた日から起算して三年を経過する日までの間
三 前二号以外の場合 三年（１）確認・記録義務が適用されない場合
７．第三者提供に係る記録の作成等（法第２９条）の場合と同様、①第三者が法第１６条第２項各号に掲げる者である場合、②法第２７条第 1 項各号に該当する場合（Ⅳ９．（２）参照）、③法第２７条第 5 項各号に該当する場合（Ⅳ９．（４）参照）、④本人に代わって提供された個人データを受ける場合、⑤本人と一体と評価できる関係にある者に該当する場合
は、確認・記録義務は適用されない。なお、具体的事例は、１１．
（１）を参照のこと。
加えて、以下の場合においても確認・記録義務は適用されない。
⑥受領者にとって個人データに該当しない場合提供者にとって個人データに該当するが受領者にとって個人データに該当しない情報を受領した場合は、確認・記録義務は適用されない。
⑦受領者にとって個人情報に該当しない場合
次の事例のように、提供者にとって個人データに該当する場合であっても、受領者にとっては「個人情報」に該当しない（当然に個人データにも該当しない。）情報を受領した場合は、確認・記録義務は適用されない。
【受領者にとって個人情報に該当しない事例】（例）
・提供者が氏名を削除するなどして個人を特定できないようにしたデータの提供を受けた
場合・提供者で管理している ID 番号のみが付されたデータの提供を受けた場合【法の規定により遵守すべき事項等】（２）確認義務の適用
医療・介護関係事業者は第三者から個人データの提供を受ける際は、当該第三者に対して、次のとおり確認を行わなければならない。

34

①確認方法１）第三者の氏名及び住所並びに法人にあっては、その代表者の氏名
２）第三者による個人データの取得の経緯
３）法の遵守状況【その他の事項】
医療・介護関係事業者が、他の事業者から個人データの提供を受ける際には、当該事業者の法の遵守状況（例えば、利用目的、開示手続、問合せ・苦情の受付窓口の公表、オプトアウ
トによる第三者提供により個人データの提供を受ける際には当該事業者の届出事項が個人情報保護委員会により公表されている旨など）についても確認することが望ましい。
②既に確認を行った第三者に対する確認方法
複数回にわたって同一「本人」の個人データの授受をする場合において、同一の内容である事項を重複して確認する合理性はないため、既に「①確認方法」に規定する方法により確認を行い、「８．
（３）記録義務」に規定する方法により作成し、かつ、その時点において保存している記録に記録された事項と内容が同一であるものについては、当該事項の確認を省略することができる。
（３）記録義務の適用
また、医療・介護関係事業者は、第三者から個人データの提供を受けたときは法令に定める記録を作成し、かつ、その記録を保存しなければならない。
①記録を作成する方法など
１）記録を作成する媒体
医療・介護関係事業者は、記録を、文書、電磁的記録又はマイクロフィルムを用いて作成しなければならない。
２）記録を作成する方法
医療・介護関係事業者は、原則として、個人データの授受の都度、速やかに記録を作成しなければならない。
３）一括して記録を作成する方法
一定の期間内に特定の事業者との間で継続的に又は反復して個人データを授受する場合
は、個々の授受に係る記録を作成する代わりに、一括して記録を作成することができる。
４）契約書等の代替手段による方法
医療・介護関係事業者が、本人に対する物品又は役務の提供に係る契約を締結し、その契約の履行に伴って、契約の相手方を本人とする個人データを第三者から提供を受ける場合は、その提供の際に作成した契約書その他の書面をもって個人データの流通を追跡することが可能であるから当該契約書その他の書面をもって記録とすることができる。
５）代行により記録を作成する方法
提供者、受領者のいずれも記録の作成方法、保存期間は同一であることに鑑みて提供者は受領者の記録義務の全部又は一部を代替して行うことができる（提供者と受領者の記録事項の相違については留意する必要がある。）。なお、この場合であっても、提供者及び受領者は自己の義務が免責されるわけではないことから、実質的に自ら記録作成義務を果たしているものと同等の体制を構築しなければならない。
②記録事項
１）受領者の記録事項
医療・介護関係事業者が、本人の同意に基づき個人データの第三者提供を受ける場合は、次の項目を記録しなければならない。
・本人同意を得ている旨
・第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名・第三者による当該個人データの取得の経緯
・個人データによって識別される本人の氏名その他の当該本人を特定できる事項
・個人データの項目③記録事項の省略

35

複数回にわたって同一「本人」の個人データの授受をする場合において、同一の内容である事項を重複して記録する必要はない。既に「８．
（３）記録義務の適用」に規定する方法により作成した記録（現に保存している場合に限る。）に記録された事項と内容が同一である
ものについては、当該事項の記録を省略することができる。
④保存期間
医療・介護関係事業者は、作成した記録を規則で定める期間保存しなければならない。保存
期間は記録の作成方法によって異なるので留意が必要である。
記録の作成方法の別
契約書等の代替手段による方法により記録を作成した場合一括して記録を作成する方法により記録を作成した場合
上記以外の場合〔個人データの第三者提供

保存期間
最後に当該記録に係る個人データの提供を行った日から起算して１年を経過する日までの間
最後に当該記録に係る個人データの提供を行った日から起算して３年を経過する日までの間
３年

質問と対応方法等〕

項目
電話への
対応

質問
入院患者宛に外部から「・・・さんお願いします」と電話がかかってきた場合、どう対応すべきか？

電話への
対応

家族・親族からの電話での問合わせの場合、どのような確認をすれ
ばよいか？

電話への
対応

声から本人が開示を同意している
家族とわかる場合には、電話で応答してよいか？

電話への対応

電話再診（あるいは検査結果に対する問い合わせ）への対応はどうしたらよいか？

電話への対応

声から本人とわかる場合には、電話で応答してよいか？

電話への
対応

救急車で搬送されてきた患者に関する、家族と称する電話の問い合
わせに答えてよいか？
電話への 検査予約の件で、至急患者に連絡する必要がでた場合、職場に電話対応（病院から をかけてもよいか。
の連絡）

36

対応方法等
病院で入院治療を受けているというこ
とも個人情報である。入院時に、電話での取次ぎをするかしないかを確認しておく必要がある。
患者の承諾がない限り、電話での対応はしない方がよい。
患者が登録している電話番号に、折り返し電話してから話す方がよい。
声及び ID 番号、氏名、生年月日等から本人が開示を同意している家族確認できればよい。ただし、どこまで開示してよいか本人の確認が取れない状況では、機微な情報の話はしない方がよい。
患者本人であることを示す情報を確認してから、話すことが必要。
診察券番号、担当医、前回受診日等を
確認する。
同上

患者の救急医療に必要でなければ、患者の同意と、家族であるという確認が必要。
緊急事態でない限り、本人が不在の場
合には、電話番号と個人名だけを伝え、用件は伝えずに、連絡をいただきたい
旨を伝えるにとどめる方がよい。

電話への
対応（病院
からの連
絡）
家族への
対応

入院待ちの患者に、ベッドが空き、入院ができるようになったと連絡する場合、家族に話してもよいか？
患者に３親等までは答えてよいと承諾を受けています。どのような方法で確認すべきか？

家族への
対応

患者の意識がない状態の時に、親族を名乗る方から田舎から出てきたと言って、患者の状態を聞かれた場合にはどう対応すればよい
か？

家族への
対応

悪性疾患であることが判明した場
合、今までは先に家族に病状説明を行って、了解を得た上で本人に告知することが多いが、これからは本人に真実を告げて、了解を得た上でないと家族に病状説明を行えないことになると理解してよいか？
18 歳未満の患者が、家族には内緒にしてほしいという場合、家族からの問い合わせにどのように対応したらよいのか？

家族への
対応

家族への
対応

精神科の患者が、家族には内緒にしてほしいという場合、家族からの問い合わせにどのように対応したらよいのでしょうか？
院内での情 病院内の内線電話で、面識のない
報共有
職員からの検査結果の問合せに応じてよいか？

院内での情 インシデントレポート上で患者名報共有の取扱いはどのようにするのが望
ましいか？
第三者への
提供（他の
医療機関等
への提供）
第三者への
提供（警察
への提供）

電話による患者情報を他の医療機関の医師から緊急に求められたときの対応はどうすればよいか？
警察から患者に関する問い合わせを受けた場合どう対応すればよいか？

37

上記に同じ。

何親等かどうかは、戸籍以外には確認することが困難である。したがって、
承諾は、具体的な氏名等で受けることがよい。
本人の同意が取れない状況である場
合、本人との関係を確認し、必要な範囲で情報を提供することは可能。本人の意識が回復次第、誰に対してどのような情報提供を行ったかを説明する必要がある。
基本的にはその通り。
予め、本人に対して家族に話してよいか、どの家族に話してほしいかを聞いておくことが必要。

患者に判断および意思表明能力があり、患者にとって極めて不利益になることが明らかである場合を除いて、伝
えてはいけないとされている。
医師の判断によることが望ましい。
上記に同じ。

一連の院内業務であれば問題にはならない。
ただし、業務に関係がない場合には、面識の有無に関係なく提供してはならない。
収集分析が終わった事例から、氏名、ID 等を削除して、別に保管するか、廃棄するとよい。
医療機関の医師であることを確認でき、本人の同意を得ることが困難な状況でかつ緊急性があると判断できる場
合には、情報提供してよい。
令状がある場合は全面的に協力する。
令状がない場合でも、刑訴法１９７条
２項に基づいて捜査に必要な照会がされた場合には、回答すべき義務が有る

認知症状があって本人が家族への情報提供を拒んだ場合、家族より情報提供を求められた場合、どうすべきか？ 介護に支障をきたすと思うが、どのように対応すべきか？
学会・症例 院内症例検討会等での患者名の取発表などに 扱いはどのようにすればよいか？
ついて
第三者への
提供
(認知症の
方などへの
対応）

学会・症例 近隣の診療所の医師との勉強会
発表などに で、患者の写真、記録を見せてもよいか？
ついて学会・症例 学会への症例の発表等により、患発表などに 者の同意が必要になったが、患者の来院を待たなくてはならないのついてか？
学会・症例 特定の患者の症例を発表する場
発表などに 合、氏名を削除していれば仮名加工情報にしていることになります
ついて
か？

38

と考えられており、本人の同意無く、回答しても個人情報保護法第２７条第１項第１号の「法令に基づく場合」に該当する。しかし、民法により損害賠償請求される危険性は、理論上ありう
るので、本人の同意を得ないで回答する場合はある程度の危険を負担することになる。実際上、それにより裁判にまで発展する可能性はそれほど高いとは考えられないので、個々の施設において判断することが望まれる。
医師が認知症と判断し、家族への開示が必要と判断した場合には開示して問題ない。

当該患者の治療が目的であればよいが、実名で問題ない。治療を目的としない院内症例検討会等の場合には、院内症例検討会等を目的に個人情報を使用する場合があることを掲示により明示することが必要である。なお、発表に際しては個人が特定できないような配慮が必要である。個人の特定の可能性が考えられる場合には、個別に同意を取ることが望ましい。
近隣の診療所の医師への開示は第三者提供に当るので、本人の同意が必要である。
同意を得るために、個人情報を利用して電話をかけることなどは差し支えない。
氏名を削除しただけでは仮名加工情報とはならない。次の Q&A にあるように、加工基準が決められている。
仮名加工情報の第三者提供はできな
いので、学会・症例発表（外部者を含む）は個人情報（個人データ）の第三者提供に該当する。本人の同意が必要である。
一般的には、個人を特定できない形にした上で学会・症例発表などに使用をする旨の掲示を行い、個人が特定できないよう加工をすることでよいとされている。

学会・症例 仮名加工情報と匿名加工情報が分発表などに りません。
仮名加工情報とは、仮名化あるい
ついては仮名加工した個人情報ですか、
匿名加工情報とは匿名化あるいは匿名加工した個人情報ですか。

法改正に伴い、匿名加工情報に加え、仮名加工情報が定義された。匿名加工
情報と仮名加工情報には、各々加工基準が定められている。これを契機に、「匿名化」、「匿名加工」の用語は廃止された。同時に、「仮名化」、「仮名加工」の用語も使用しない方向になった。個人情報保護委員会の文書では、
いまだ「仮名化」との表現が用いられていることがあり注意が必要である。

（参考：法第２７条）（第三者提供の制限）
法第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
一 法令に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
五 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供
が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）。
六 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データ を学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部 が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある 場合を除く。）（当
該個人情報取扱事業者と当該第三者が共同して学術研究を行う場 合に限る。）。
七 当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部 が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある 場合を除く。）。
２ 個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを 第三者に提供することができる。ただし、第三者に提供される個人データが要配慮個 人情報又は第二十条第一項の規定に違反して取得されたもの若しくは他の個人情報 取扱事業者からこの項本文の規定により提供されたもの（その全部又は一部を複製 し、又は加工したものを含む。）である
場合は、この限りでない。一 第三者への提供を行う個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。以下この条、第三十条第一項第一号及び第三十二 条第一項第一号において同じ。）の氏名
二 第三者への提供を利用目的とすること。
三 第三者に提供される個人データの項目四 第三者に提供される個人データの取得の方法
五 第三者への提供の方法
六 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。

39

七 本人の求めを受け付ける方法
八 その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則で定める事項３ 個人情報取扱事業者は、前項第一号に掲げる事項に変更があったとき又は同項の規定による個人データの提供をやめたときは遅滞なく、同項第三号から第五号まで、第七号又は第八号に掲げる事項を変更しようとするときはあらかじめ、その旨について、個人情報保護委員会規則で定めるところにより、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
４ 個人情報保護委員会は、第二項の規定による届出があったときは、個人情報保護委員会規則で定めるところにより、当該届出に係る事項を公表しなければならない。前項の規定による届出があったときも、同様とする。
５ 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。 一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取 扱いの全部又は一部を委託することに伴って当該個人データが提供される場合 二 合併その他の事由による事業の承継に伴って個人データが提供される場合 三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名につい て、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。 ６ 個人情報取扱事業者は、前項第三号に規定する個人データの管理について責任を有する者の氏名、
名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったときは遅滞なく、同号に規定する利用する者の利用目的又は当該責任を有する者を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

40

（参考：法第２８条、２９条、３０条）（外国にある第三者への提供の制限）
法第二十八条 個人情報取扱事業者は、外国（本邦の域外にある国又は地域をいう。以下この条及び第三十一条第一項第二号において同じ。）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として
個人情報保護委員会規則で定めるものを除く。以下この条及び同号にお いて同じ。）にある第三者（個人データの取扱いについてこの節の規定により個人情報 取扱事業者が講ずべきこととされている措置に相当する措置（第三項において「相当 措置」という。）を継続的に講ずるために必要なものとして個人情報保護委員会規則で 定める基準に適合する体制を整備している者を除く。以下この項及び次項並びに同号 において同じ。）に個人デー
タを提供する場合には、前条第一項各号に掲げる場合を除 くほか、あらかじめ外国にある
第三者への提供を認める旨の本人の同意を得なければ ならない。この場合においては、同条の規定は、適用しない。
２ 個人情報取扱事業者は、前項の規定により本人の同意を得ようとする場合には、個人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。
３ 個人情報取扱事業者は、個人データを外国にある第三者（第一項に規定する体制を整備している者に限る。）に提供した場合には、個人情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。
規則第十六条 法第二十八条第一項の個人情報保護委員会規則で定める基準は、次の各号のいずれかに該当することとする。
一 個人情報取扱事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第四章第二節の規定の趣旨に沿った措置の実施が確保されていること。
二 個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。
（第三者提供に係る記録の作成等）
法第二十九条 個人情報取扱事業者は、個人データを第三者（第十六条第二項各号に掲げる者を除く。以下この条及び次条において同じ。）に提供したときは、個人情報保護委員会規則で定めるところにより、当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。ただし、当該個人データの提供が第二十七条第一項各号又は第五項各号のいずれか（前条の規定による個人データの提供にあっては、第二十三条第一項各号又は第五項各号のいずれか）に該当する場合は、この限りでない。
２ 個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。
（第三者提供に係る記録の作成）
規則第十九条 法第二十九条第一項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。
2 法第二十九条第一項の記録は、個人データを第三者（略）に提供した都度、速やかに作成しなければならない。ただし、当該第三者に対し個人データを継続的に若しくは反復して提供（略）したとき、又は当該第三者に対し個人データを継続的に若しくは反復して提供することが確実であると見込まれるときの記録は、一括して作成することができる。
3 前項の規定にかかわらず、法第二十七条第一項又は法第二十八条の規定により、本人に対する物品又は役務の提供に関連して当該本人に係る個人データを第三者に提供した場合

41

において、当該提供に関して作成された契約書その他の書面に次条第一項各号に定める事
項が記載されているときは、当該書面をもって法第二十九条第一項の当該事項に関する記録に代えることができる。
（第三者提供に係る記録事項）
規則第二十条 法第二十九条第一項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。
一 法第二十七条第二項の規定により個人データを第三者に提供した場合 次のイからニまでに掲げる事項
イ 当該個人データを提供した年月日
ロ 当該第三者の氏名又は名称その他の当該第三者を特定するに足りる事項（不特定かつ多数の者に対して提供したときは、その旨）
ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
ニ 当該個人データの項目
二 法第二十七条第一項又は法第二十八条の規定により個人データを第三者に提供した場
合 次のイ及びロに掲げる事項
イ 法第二十七条第一項又は法第二十八条の本人の同意を得ている旨
ロ 前号ロからニまでに掲げる事項
２ 前項各号に定める事項のうち、既に前条に規定する方法により作成した法第２５条第１項の記録（当該記録を保存している場合におけるものに限る。）に記録されている事項と内容が同一であるものについては、法第２９条第1項の当該事項の記録を省略することができる。
（第三者提供に係る記録の保存期間）
規則第二十一条 法第二十九条第二項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とする。
一 第十九条第三項に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を行った日から起算して一年を経過する日までの間
二 第十九条第二項ただし書に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を行った日から起算して三年を経過する日までの間
三 前二号以外の場合 三年（第三者提供を受ける際の確認等）
法第三十条 個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、
個人情報保護委員会規則で定めるところにより、次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供が第二十七条第一項各号又は第五項各号のいずれかに該当する場合は、この限りでない。
一 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名
二 当該第三者による当該個人データの取得の経緯
２ 前項の第三者は、個人情報取扱事業者が同項の規定による確認を行う場合において、当該個人情報取扱事業者に対して、当該確認に係る事項を偽ってはならない。
３ 個人情報取扱事業者は、第一項の規定による確認を行ったときは、個人情報保護委員会規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事
項その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。
４ 個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。

42

（第三者提供を受ける際の確認）
規則第二十二条 法第三十条第一項の規定による同項第一号に掲げる事項の確認を行う方
法は、個人データを提供する第三者から申告を受ける方法その他の適切な方法とする。
2 法第三十条第一項の規定による同項第二号に掲げる事項の確認を行う方法は、個人デー
タを提供する第三者から当該第三者による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法とする。
３ 前二項の規定にかかわらず、第三者から他の個人データの提供を受けるに際して既に前二項に規定する方法による確認（当該確認について次条に規定する方法による記録の作成及び保存をしている場合におけるものに限る。）を行っている事項の確認を行う方法は、
当該事項の内容と当該提供に係る法第三十条第一項各号に掲げる事項の内容が同一である
ことの確認を行う方法とする。
（第三者提供を受ける際の確認に係る記録の作成）
規則第二十三条 法第三十条第三項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。
2 法第三十条第三項の記録は、第三者から個人データの提供を受けた都度、速やかに作成しなければならない。ただし、当該第三者から継続的に若しくは反復して個人データの提供（法第二十七条第二項の規定による提供を除く。以下この条において同じ。）を受けたとき、又は当該第三者から継続的に若しくは反復して個人データの提供を受けることが確実であると見込まれるときの記録は、一括して作成することができる。
3 前項の規定にかかわらず、本人に対する物品又は役務の提供に関連して第三者から当該本人に係る個人データの提供を受けた場合において、当該提供に関して作成された契約書
その他の書面に次条第一項各号に定める事項が記載されているときは、当該書面をもって法第三十条第三項の当該事項に関する記録に代えることができる。
（第三者提供を受ける際の記録事項）
規則第二十四条 法第三十条第三項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。
一 個人情報取扱事業者から法第二十七条第二項の規定による個人データの提供を受けた
場合 次のイからホまでに掲げる事項
イ 個人データの提供を受けた年月日
ロ 法第三十条第一項各号に掲げる事項
ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
ニ 当該個人データの項目
ホ 法第二十七条第四項の規定により公表されている旨
二 個人情報取扱事業者から法第二十七条第一項又は法第二十八条の規定による個人デー
タの提供を受けた場合 次のイ及びロに掲げる事項
イ 法第二十七条第一項又は法第二十八条の本人の同意を得ている旨
ロ 前号ロからニまでに掲げる事項
三 略
四 第三者（個人情報取扱事業者に該当する者を除く。）から個人データの提供を受けた場
合 第一号ロからニまでに掲げる事項
２ 前項各号に定める事項のうち、既に前条に規定する方法により作成した法第三十条第三項の記録（当該記録を保存している場合におけるものに限る。）に記録された事項と内容が同一であるものについては、法第三十条第三項の当該事項の記録を省略することができる。

43

（第三者提供を受ける際の記録の保存期間）
規則第二十五条 法第三十条第四項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とする。
一 第二十三条第三項に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を受けた日から起算して一年を経過する日までの間二 第二十三条第二項
ただし書に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を受けた日から起算して三年を経過する日までの間三 前二号以外の場合 三年
６．保有個人データに関する事項の公表等〔ガイダンス〕【法の規定により遵守すべき事項等】
・医療・介護関係事業者は、保有個人データに関し、(ｱ)当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名、(ｲ)全ての保有個人デー
タの利用目的（法第２１条第４項第１号から第３号までに規定された例外の場合を除く。）、(ｳ)保有個人データの利用目的の通知、開示、訂正、利用停止等の手続の方法、及び保有個人データの利用目的の通知又は開示に係る手数料の額、(ｴ定により保有個人
データの安全管理のために講じた措置、(ｵ) )法第２３条の規苦情の申出先等について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
・（ｴ）に関し、医療・介護関係事業者は、Ⅳ７．に掲げる安全管理措置等を講じていることについて、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
・医療・介護関係事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、
上記の措置により利用目的が明らかになっている場合及び法第２１条第４項第１号から第３号までの例外に相当する場合を除き、遅滞なく通知しなければならない。
・医療・介護関係事業者は、利用目的の通知をしない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
・法施行前から保有している個人情報についても同様の取扱いを行う。
【その他の事項】
・医療・介護関係事業者は、保有個人データについて、その利用目的、開示、訂正、利用停止等の手続の方法及び利用目的の通知又は開示に係る手数料の額、苦情の申出先等について、少なくとも院内や事業所内等への掲示、さらにホームページ等によりできるだけ明らかにするとともに、患者・利用者等からの要望により書面を交付したり、
問い合わせがあった場合に具体的内容について回答できる体制を確保する。
【法別表第二に掲げる法人等に関する適用関係】
・法別表第二に掲げる法人については、
法第３２条の適用が除外され（法第５８条関係）、
個人情報の取扱いについて独立行政法人等による取扱いとみなして公的部門における規律（法第７５条）が適用される（法第１２３条関係）

44

（参考：法第３２条）（保有個人データに関する事項の公表等）
法第三十二条 個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
一 当該個人情報取扱事業者の氏名又は名称
二 全ての保有個人データの利用目的（第二十一条第四項第一号から第三号までに該当する場合を除く。）
三 次項の規定による求め又は次条第一項、項（同条第五項において準用する場合を含
む。）、第三十四条第一項若しくは第三十五条第一項、第三項若しくは第五項の規定による請求に応じる手続（第三十八条第二項の規定により手数料の額を定めたときは、その手数料の額を含む。）
四 前三号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの
２ 個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りでない。
一 前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合
二 第二十一条第四項第一号から第三号までに該当する場合
３ 個人情報取扱事業者は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
（保有個人データの適正な取扱いの確保に関し必要な事項）
令第十条 法第三十二条第一項第四号の政令で定めるものは、次に掲げるものとする。
一 法第二十三条の規定により保有個人データの安全管理のために講じた措置（本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。）
二 当該個人情報取扱事業者が行う保有個人データの取扱いに関する苦情の申出先
三 当該個人情報取扱事業者が認定個人情報保護団体の対象事業者である場合にあっ ては、当該認定個人情報保護団体の名称及び苦情の解決の申出先45

７．本人からの請求等による保有個人データの開示〔ガイダンス〕（１）開示の原則
医療・介護関係事業者は、本人から、当該本人が識別される保有個人データの開示の請求を受けたときは、本人が希望するに対し、電磁的記録の提供による方法、書面の交付による方法等により、遅滞なく、当該保有個人データを開示しなければならない。
（２）開示の例外
開示することで、法第３３条第２項（同条第５項において準用する場合を含む。）各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。具体的事例
は以下のとおりである。
（例）・患者・利用者の状況等について、家族や患者・利用者の関係者が医療・介護サービス従事者に情報提供を行っている場合に、これらの者の同意を得ずに患者・利用者自身に当該情報を提供することにより、患者・利用者と家族や患者・利用者の関係者との人間関係が悪化するなど、これらの者の利益を害するおそれがある場合
・症状や予後、治療経過等について患者に対して十分な説明をしたとしても、患者本人に重大な心理的影響を与え、その後の治療効果等に悪影響を及ぼす場合※個々の事例への適用については個別具体的に慎重に判断することが必要である。また、保有個人データである診療情報の開示に当たっては、「診療情報の提供等に関する指針」の内容にも配慮する必要がある。
【法の規定により遵守すべき事項等】
・医療・介護関係事業者は、本人から、当該本人が識別される保有個人データの開示の請求を受けたときは、本人に対し、遅滞なく、当該保有個人データを開示しなければならない。また、当該本人が識別される保有個人データが存在しないときにその旨知らせることとする。ただし、開示することにより、法第３３条第２項各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
・Ⅱ１．に記したとおり、例えば診療録の情報の中には、患者の保有個人データであって、当該診療録を作成した医師の保有個人データでもあるという二面性を持つ部分が含まれるものの、そもそも診療録全体が患者の保有個人データであることから、患者本人から開示の請求がある場合に、その二面性があることを理由に全部又は一部を開示しないことはできない。ただし、法第３３条第２項各号のいずれかに該当する場合には、法に従い、その全部又は一部を開示しないことができる。
・開示の方法は、電磁的記録の提供による方法、書面の交付による方法その他当該個人情報取扱事業者の定める方法のうち本人が請求した方法（当該方法による開示に多額の費用を要する場合その他の当該方法によることが困難な場合である場合にあっては、書面の交付による方法）による。
・医療・介護関係事業者は、請求を受けた保有個人データの全部又は一部について開示しない旨を決定したときは、本人に対し、遅滞なく、その旨を通知しなければならない。
また、本人に通知する場合には、本人に対してその理由を説明するよう努めなければならない。
・他の法令の規定により、保有個人データの開示について定めがある場合には、当該法令の規定によるものとする。

46

【その他の事項】
・法定代理人等、開示の請求を行い得る者から開示の請求があった場合、原則として患者・利用者本人に対し保有個人データの開示を行う旨の説明を行った後、法定代理人等に対して開示を行うものとする。
・医療・介護関係事業者は、保有個人データの全部又は一部について開示しない旨決定した場合、本人に対するその理由の説明に当たっては、文書により示すことを基本とする。
また、苦情への対応を行う体制についても併せて説明することが望ましい。
〔本人からの求めによる保有個人データの開示 質問と対応方法等〕
項目
情報開示

質問
診療中にカルテを見せて説明したが、検査結果のコピーが欲しいと言われた。検査結果のコピーを渡すのに、開示請求が必要か？

情報開示

開示の例外として、「患者本人に重大 その通り。通常は担当医の意見をもとな心理的影響を与え、その後の治療効 に、院内の担当委員会、部局で判断す
果等に悪影響を及ぼす場合」とあるが、 ることになる。
担当医の判断でよいのか？
上記の場合、開示請求に答えられない この場合には、理由を伝える必要はな
旨を本人に伝えなければならないが、 い。
理由を伝えることにより、開示に応じた場合と同等に心理的悪影響を及ぼしてしまうと考えられる。このような場
合ではどのように対応すべきか？
精神疾患に関しては、医師の治療上の・精神保健福祉法に基づく医療保護
影響の判断による。
入院届
・感染症の予防及び感染症の患者に対 その他の書類は開示対象になる。
する医療に関する法律に基づく申請書の控え
・年金給付にかかる現況届け
等は個人情報として開示対象となるのでしょうか？

情報開示

情報開示

47

対応方法等
現場の一連の診療過程であり、開示請
求は必要ない。
一連の診療過程ではなく、何らかのトラブルあるいはそれが予測される場合には、開示請求書類で申請していただ
くことがよい。

（参考：法第３３条）（開示）
法第三十三条 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの電磁的記録の提供による方法その他の個人情報保護委員会規則で定める方法による開示を請求することができる。
２ 個人情報取扱事業者は、前項の規定による請求を受けたときは、本人に対し、同項の規定により当該本人が請求した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
一 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
二 当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場
合三 他の法令に違反することとなる場合
３ 個人情報取扱事業者は、第一項の規定による請求に係る保有個人データの全部若しく
は一部について開示しない旨の決定をしたとき、当該保有個人データが存在しないとき、又は同項の規定により本人が請求した方法による開示が困難であるときは、本人に対し、遅滞なく、その旨を通知しなければならない。
４ 他の法令の規定により、本人に対し第二項本文に規定する方法に相当する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている場
合には、当該全部又は一部の保有個人データについては、第一項及び第二項の規定は、適用しない。
５ 第一項から第三項までの規定は、当該本人が識別される個人データに係る第二十九条第一項及び第三十条第三項の記録（その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるものを除く。第三十七条第二項において 「第三者提供記録」という。）について準用する。
（第三者提供記録から除外されるもの）
令第十一条 法第三十三条第五項の政令で定めるものは、次に掲げるものとする。
一 当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの二 当該記録の存否が明らかになることにより、違法又は不当な行為を助長し、又は 誘発するおそれがあるもの三 当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国若 しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との 交渉上不利益を被るおそれがあるもの
四 当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の 公共の安全と秩序の維持に支障が及ぶおそれがあるもの

48

８．訂正及び利用停止〔ガイダンス〕【法の規定により遵守すべき事項等】
・医療・介護関係事業者は、法第３４条第２項又は第３５条第２項、第４項、第６項の規定に基づき、本人から、保有個人データの訂正等、利用停止等、第三者への提供の停止の請求を受けた場合で、それらの請求が適正であると認められるときは、これらの措置を行わなければならない。
・ただし、利用停止等及び第三者への提供の停止については、利用停止等に多額の費用を要する場合など当該措置を行うことが困難な場合であって、本人の権利利益を保護する
ため必要なこれに代わるべき措置をとるときは、この限りでない。
・なお、以下の場合については、これらの措置を行う必要はない。
①訂正等の請求があった場合であっても、(ｱ)利用目的から見て訂正等が必要でない場
合、(ｲ)誤りである指摘が正しくない場合又は(ｳ)訂正等の対象が事実でなく評価に関する情報である場合②利用停止等、第三者への提供の停止の請求があった場合であっても、手続違反等の指摘が正しくない場合
・医療・介護関係事業者は、上記の措置を行ったとき、又は行わない旨を決定したときは、本人に対し、遅滞なく、その旨を通知しなければならない。また、本人に通知する場合には、本人に対してその理由を説明するよう努めなければならない。
【その他の事項】
・医療・介護関係事業者は、訂正等、利用停止等又は第三者への提供の停止の請求を受けた保有個人データの全部又は一部について、これらの措置を行わない旨決定した場合、本人に対するその理由の説明に当たっては、文書により示すことを基本とする。その際は、苦情への対応を行う体制についても併せて説明をすることが望ましい。
・保有個人データの訂正等にあたっては、訂正した者、内容、日時等が分かるように行われなければならない。
・保有個人データの字句などを不当に変える改ざんは、行ってはならない。
〔訂正及び利用停止 質問と対応方法等〕
項目

質問

対応方法等

訂正及び
利用停止

本人から情報利用停止の申し出があった場合、理由は必ず確認しなければならないのか？

理由、手続きが適正であるかの判断を行うために必要である。

訂正及び
利用停止

誤りの指摘内容が適正でも、医療記録の訂正に関する場合、改ざんしたということにはならないのか？

医療記録においても明らかな誤記による数値の訂正など客観的な事項はルールに則っての訂正が必要である。いず
れにしろ訂正の記録の履歴、本人への通知を文書で残し、他の法令との整合は取る必要がある。

49

（参考：法第３４条、第３５条）（訂正等）
法第三十四条 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの内容が事実でないときは、当該保有個人データの内容の訂正、追加又は削除（以下この条において「訂正等」という。）を請求することができる。
２ 個人情報取扱事業者は、前項の規定による請求を受けた場合には、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。
３ 個人情報取扱事業者は、第一項の規定による請求に係る保有個人データの内容の全部若
しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を通知しなければならない。
（利用停止等）法第三十五条本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第十八条若しくは第十九条の規定に違反して取り扱われているとき、又は第二十条の規定に違反して取得されたものであるときは、当該保有個人データの利用の停止又は消去（以下この条において「利用停止等」という。）を請求することができる。
２ 個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
３ 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第二十七条第一項又は第二十八条の規定に違反して第三者に提供されているときは、当該保有個人データの第三者への提供の停止を請求することができる。
４ 個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
５ 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データを当該個人情報取扱事業者が利用する必要がなくなった場合、当該本人が識別される保有個人デー
タに係る第二十六条第一項本文に規定する事態が生じた場合その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合には、当該保有個人データの利用停止等又は第三者への提供の停止を請求することができる。
６ 個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行わなければならない。ただし、当該保有個人データの利用停止等又は第三者への提供の停止に多額の費用を要する場合その他の利用停止等又は第三者への提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとると
きは、この限りでない。
７ 個人情報取扱事業者は、第一項若しくは第五項の規定による請求に係る保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない

50

旨の決定をしたとき、又は第三項若しくは第五項の規定による請求に係る保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

51

９．開示等の請求等に応じる手続及び手数料〔ガイダンス〕（１）開示等を行う情報の特定医療・介護関係事業者は、本人に対し、開示等の請求等に関して、その対象となる保有個人データ等を特定するに足りる事項の提示を求めることができるが、この場合には、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データ等の特定に資する情報の提供その他本人の利便を考慮した措置をとらなければならない。
また、保有個人データ等の開示等については、本人の請求等により、保有個人データ等の全体又は一部が対象となるが、当該本人の保有個人データ等が多岐にわたる、データ量が膨大であるなど、全体の開示等が困難又は非効率な場合、医療・介護関係事業者は、本人が開示等の請求等を行う情報の範囲を特定するのに参考となる情報（過去の受診の状況、病態の変化等）を提供するなど、本人の利便を考慮した支援を行うものとする。
（２）代理人による開示等の請求等
保有個人データ等の開示等については、本人のほか、①未成年者又は成年被後見人の法
定代理人、②開示等の請求等をすることにつき本人が委託した代理人により行うことができる。
【法の規定により遵守すべき事項等】
・医療・介護関係事業者は、保有個人データ等の開示等の請求等に関し、本人に過重な負担を課すものとならない範囲において、以下の事項について、その請求を受け付ける方法を定めることができる。
(ｱ)開示等の請求等の受付先(ｲ)開示等の請求等に際して提出すべき書面の様式、その他の開示等の請求等の受付
方法(ｳ)開示等の請求等をする者が本人又はその代理人であることの確認の方法(ｴ)保有個人データ等の利用目的の通知、又は保有個人データ等の開示をする際に徴収する手数料の徴収方法
・医療・介護関係事業者は、本人に対し、開示等の請求等に関して、その対象となる保有個人データ等を特定するに足りる事項の提示を求めることができるが、この場合には、本人が容易かつ的確に開示等の請求等をすることができるよう、
当該保有個人データ等の特定に資する情報の提供その他本人の利便を考慮した措置をとらなければならない。
・保有個人データ等の開示等の請求等は、本人のほか、未成年者又は成年被後見人の法定代理人、当該請求等をすることにつき本人が委任した代理人によってすることができる。
・医療・介護関係事業者は、保有個人データ等の利用目的の通知を求められたとき、又は保有個人データ等の開示を請求されたときは、当該措置の実施に関し、手数料を徴収することができ、その際には実費を勘案して合理的であると認められる範囲内において、手数料の額を定めなければならない。
【その他の事項】
・医療・介護関係事業者は、以下の点に留意しつつ、保有個人データ等の開示等の手続を定めることが望ましい。
一開示等の請求等の方法は書面によることが望ましいが、患者・利用者等の自由な請求を阻害しないため、
開示等の請求等に係る書面に理由欄を設けることなどにより開示等を請求する理由の記載を要求すること及び開示等を請求する理由を尋ねることは不適切である。
一開示等を請求する者が本人（又はその代理人）であることを確認する。

52

一開示等の請求等があった場合、主治医等の担当スタッフの意見を聴いた上で、速やかに保有個人データ等の開示等をするか否か等を決定し、これを開示の請求等を行った者に通知する。
一保有個人データ等の開示に当たり、法第２８条第２項各号に該当する可能性がある場
合には、開示の可否について検討するために設置した検討委員会等において検討した
上で、速やかに開示の可否を決定することが望ましい。
一保有個人データ等の開示を行う場合には、日常の医療・介護サービス提供への影響等も考慮し、本人に過重な負担を課すものとならない範囲で、日時、場所、方法等を指定することができる。
・代理人等、開示の請求等を行い得る者から開示の請求等があった場合、原則として患者・利用者本人に対し保有個人データ等の開示を行う旨の説明を行った後、開示の請求等を行った者に対して開示を行うものとする。
・代理人等からの請求等があった場合で、①本人による具体的意思を把握できない包括的な委任に基づく請求、②開示等の請求が行われる相当以前に行われた委任に基づく請求が行われた場合には、本人への説明に際し、開示の請求等を行った者及び開示する保有個人データ等の内容について十分説明し、本人の意思を確認するとともに代理人の請求の適正性、開示の範囲等について本人の意思を踏まえた対応を行うものとする。
〔開示等の求めに応じる手続及び手数料 質問と対応方法等〕
項目
開示の費用
徴収

質問
個人情報の開示に関して手数料が徴収できることになっていますが、「実費を勘案して合理的であると認められる」金額の具体的な範疇を教えて欲し
い。

53

対応方法等
常識的な範囲内であれば、医療機関ごとに決めることでよい。
しかし、きわめて高額にするという場
合には、開示を妨げていると判断される恐れがある。

（参考：法第３７条、第３８条）（開示等の請求等に応じる手続）
法第三十七条 個人情報取扱事業者は、第三十二条第二項の規定による求め又は第三十三条
第一項（同条第五項において準用する場合を含む。次条第一項及び第三十九条に おいて同じ。）
、第三十四条第一項若しくは第三十五条第一項若しくは第三項の規定による請求（以下この条及び第五十四条第一項において「開示等の請求等」という。）に関し、政令で定めるところにより、その求め又は請求を受け付ける方法を定めることができる。この場合において、本人は、当該方法に従って、開示等の請求等を行わなければならない。
２ 個人情報取扱事業者は、本人に対し、開示等の請求等に関し、その対象となる保有個人
データを特定するに足りる事項の提示を求めることができる。この場合において、個人情報取扱事業者は、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。
３ 開示等の請求等は、政令で定めるところにより、代理人によってすることができる。
４ 個人情報取扱事業者は、前三項の規定に基づき開示等の請求等に応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。
（手数料）
法第三十八条 個人情報取扱事業者は、第三十二条第二項の規定による利用目的の通知を求められたとき又は第三十三条第一項の規定による開示の請求を受けたときは、当該措置の実施に関し、手数料を徴収することができる。
２ 個人情報取扱事業者は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。
（開示等の請求等を受け付ける方法）
令第十二条 法第三十七条第一項の規定により個人情報取扱事業者が開示等の請求等を受け付ける方法として定めることができる事項は、次に掲げるとおりとする。
一 開示等の請求等の申出先
二 開示等の請求等に際して提出すべき書面（電磁的記録を含む。第三十三条第一項及び第三十八条第三項において同じ。）の様式その他の開示等の請求等の方式
三 開示等の請求等をする者が本人又は次条に規定する代理人であることの確認の方法
四 法第三十八条第一項の手数料の徴収方法（開示等の請求等をすることができる代理人）
令第十三条 法第三十七条第三項の規定により開示等の請求等をすることができる代理人
は、次に掲げる代理人とする。
一 未成年者又は成年被後見人の法定代理人
二 開示等の請求等をすることにつき本人が委任した代理人

54

１０．理由の説明、苦情対応〔ガイダンス〕【法の規定により遵守すべき事項等】
・医療・介護関係事業者は、本人から求められた保有個人データの利用目的の通知、又は本人から請求された開示、訂正等、利用停止等において、その措置をとらない旨又はその措置と異なる措置をとる旨本人に通知する場合は、本人に対して、その理由を説明するよう努めなければならない。
・医療・介護関係事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な対応に努めなければならない。また、医療・介護関係事業者は、苦情の適切かつ迅速な対応を行うにあたり、苦情への対応を行う窓口機能等の整備や苦情への対応の手順を定めるなど必要な体制の整備に努めなければならない。
【その他の事項】
・医療・介護関係事業者は、本人に対して理由を説明する際には、文書により示すことを基本とする。その際は、苦情への対応を行う体制についても併せて説明することが望ましい。
・医療・介護関係事業者は、患者・利用者等からの苦情対応にあたり、専用の窓口の設置や主治医等の担当スタッフ以外の職員による相談体制を確保するなど、患者・利用者等が相談を行いやすい環境の整備に努める。
・医療・介護関係事業者は、当該施設における患者・利用者等からの苦情への対応を行う体制等について院内や事業所内等への掲示やホームページへの掲載等を行うことで患者・利用者等に対して周知を図るとともに、地方公共団体、地域の医師会や国民健康保険団体連合会等が開設する医療や介護に関する相談窓口等についても患者・利用者等に対して周知することが望ましい。
〔理由の説明、苦情対応 質問と対応方法等〕
項目
苦情対応

質問
「おたくの病院職員が、喫茶店で親の個人情報を話していた、どうしてくれる」という電話がかかってきたらどう対応したらよいか？

苦情対応

病院内の各部署で、本人確認を何回もされたと怒っている患者あるいは家族がいた場合、どのように対応したらよ
いか？

苦情対応

承諾していないのに、離婚係争中の夫に病状を話したと、患者から苦情が来た場合には、どのように対応したらよ
いか？

55

対応方法等
事実確認することが必要である。
事実であれば、個人情報漏洩として対応する。
今後このようなことが起こらない方策を立てることを伝えることも必要である。
安全と個人情報保護のために確認が必要である事を説明する。
明らかに重複する確認は避ける。

病状を話してよい方、話してはいけな
い方を予め伺っておくことが望ましい。

（参考：法第３６条、第３９条～第４０条）（理由の説明）
法第三十六条 個人情報取扱事業者は、第三十二条第三項、第三十三条第三項、第三十四条第三項又は前条第七項の規定により、本人から求められ、又は請求された措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる
旨を通知する場合は、本人に対し、その理由を説明するよう努めなければならない。
（事前の請求）法第三十九条 本人は、第三十三条第一項、第三十四条第一項又は第三十五条第一項若しくは第三項の規定による請求に係る訴えを提起しようとするときは、その訴えの被告となるべき者に対し、あらかじめ、当該請求を行い、かつ、その到達した日から二週間を経過した後でなければ、その訴えを提起することができない。ただし、当該訴えの被告となるべき者がその請求を拒んだときは、この限りでない。
２ 前項の請求は、その請求が通常到達すべきであった時に、到達したものとみなす。
３ 前二項の規定は、第三十三条第一項、第三十四条第一項又は第三十五条第一項若しくは第三項の規定による請求に係る仮処分命令の申立てについて準用する。
（個人情報取扱事業者による苦情の処理）
法第四十条 個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
２ 個人情報取扱事業者は、前項の目的を達成するために必要な体制の整備に努めなければならない。

56

（参考：個人情報保護法第 41 条、第 41 条、第 43 条、第 44 条、第 44、第 44 条条）
第四章 個人情報取扱事業者の義務等
第三節 仮名加工情報取扱事業者等の義務（仮名加工情報の作成等）
第四十一条 個人情報取扱事業者は、仮名加工情報（仮名加工情報データベース等を構成するものに限る。以下この章及び第六章において同じ。）を作成するときは、他の情報と照合しない限り特定の個人を識別することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、個人情報を加工しなければならない。
２ 個人情報取扱事業者は、仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等（仮名加工情報の作成に用いられた個人情報から削除された記述等及び個人識別符号並びに前項の規定により行われた加工の方法に関する情報をいう。以下この条及び次条第三項において読み替えて準用する第七項において同じ。）を取得したときは、削除情報等の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、削除情報等の安全管理のための措置を講じなければならない。
３ 仮名加工情報取扱事業者（個人情報取扱事業者である者に限る。以下この条において同じ。）は、第十八条の規定にかかわらず、法令に基づく場合を除くほか、第十七条第一項の規定により特定された利用目的の達成に必要な範囲を超えて、仮名加工情報（個人情報であるものに限る。以下この条において同じ。）を取り扱ってはならない。
４ 仮名加工情報についての第二十一条の規定の適用については、同条第一項及び第三項
中「、本人に通知し、又は公表し」とあるのは「公表し」と、同条第四項第一号から第三号までの規定中「本人に通知し、又は公表する」とあるのは「公表する」とする。
５ 仮名加工情報取扱事業者は、仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞なく消去するよう努め
なければならない。この場合においては、第二十二条の規定は、適用しない。
６ 仮名加工情報取扱事業者は、第二十七条第一項及び第二項並びに第二十八条第一項の規定にかかわらず、法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはならない。この場合において、第二十七条第五項中「前各項」とあるのは「第四十一条第六項」と、同項第三号中「、本人に通知し、又は本人が容易に知り得る状
態に置いて」とあるのは「公表して」と、同条第六項中「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と、第二十九条第一項
ただし書中「第二十七条第一項各号又は第五項各号のいずれか（前条第一項の規定による個人データの提供にあっては、第二十七条第一項各号のいずれか）」とあり、及び第三十条第一項ただし書中「第二十七条第一項各号又は第五項各号のいずれか」とあるのは「法令に基づく場合又は第二十七条第五項各号のいずれか」とする。
７ 仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たっては、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該仮名加工情報を他の情報と照合してはならない。
８ 仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たっては、電話をかけ、郵便若しくは民間事業者による信書の送達に関する法律（平成十四年法律第九十九号）第二条第六項に規定する一般信書便事業者若しくは同条第九項に規定する特定信書便事業者による同条第二項に規定する信書便により送付し、電報を送達し、ファクシミリ装置若しく
は電磁的方法（電子情報処理組織を使用する方法その他の情報通信の技術を利用する方法
であって個人情報保護委員会規則で定めるものをいう。）を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用してはならない。
９ 仮名加工情報、仮名加工情報である個人データ及び仮名加工情報である保有個人デー
タについては、第十七条第二項、第二十六条及び第三十二条から第三十九条までの規定は、適用しない。

57

（仮名加工情報の第三者提供の制限等）
第四十二条 仮名加工情報取扱事業者は、法令に基づく場合を除くほか、仮名加工情報（個
人情報であるものを除く。次項及び第三項において同じ。）を第三者に提供してはならない。
２ 第二十七条第五項及び第六項の規定は、仮名加工情報の提供を受ける者について準用する。この場合において、同条第五項中「前各項」とあるのは「第四十二条第一項」と、同項第一号中「個人情報取扱事業者」とあるのは「仮名加工情報取扱事業者」と、同項第三号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第六項中「個人情報取扱事業者」とあるのは「仮名加工情報取扱事業者」と、「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と読み替えるものとする。
３ 第二十三条から第二十五条まで、第四十条並びに前条第七項及び第八項の規定は、仮名加工情報取扱事業者による仮名加工情報の取扱いについて準用する。この場合において、第二十三条中「漏えい、滅失又は毀損」とあるのは「漏えい」と、前条第七項中「ために、」とあるのは「ために、削除情報等を取得し、又は」と読み替えるものとする。
第四節 匿名加工情報取扱事業者等の義務（匿名加工情報の作成等）
第四十三条 個人情報取扱事業者は、匿名加工情報（匿名加工情報データベース等を構成するものに限る。以下同じ。）を作成するときは、特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、当該個人情報を加工しなければならない。
２ 個人情報取扱事業者は、匿名加工情報を作成したときは、その作成に用いた個人情報から削除した記述等及び個人識別符号並びに前項の規定により行った加工の方法に関する情報の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、これらの情報の安全管理のための措置を講じなければならない。
３ 個人情報取扱事業者は、匿名加工情報を作成したときは、個人情報保護委員会規則で定めるところにより、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない。
４ 個人情報取扱事業者は、匿名加工情報を作成して当該匿名加工情報を第三者に提供する
ときは、個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。
５ 個人情報取扱事業者は、匿名加工情報を作成して自ら当該匿名加工情報を取り扱うに当
たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、
当該匿名加工情報を他の情報と照合してはならない。
６ 個人情報取扱事業者は、匿名加工情報を作成したときは、当該匿名加工情報の安全管理のために必要かつ適切な措置、当該匿名加工情報の作成その他の取扱いに関する苦情の処
理その他の当該匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
（匿名加工情報の提供）
法第四十四条 匿名加工情報取扱事業者は、匿名加工情報（自ら個人情報を加工して作成したものを除く。以下この節において同じ。）を第三者に提供するときは、個人情報保護委
員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。
（識別行為の禁止）
第四十五条 匿名加工情報取扱事業者は、匿名加工情報を取り扱うに当たっては、当該匿名

58

加工情報の作成に用いられた個人情報に係る本人を識別するために、当該個人情報から削除された記述等若しくは個人識別符号若しくは第四十三条第一項若しくは第百十四条第一項（（同条第２項において準用する場合を含む。）の規定により行われた加工の方法に関する情報を取得し、又は当該匿名加工情報を他の情報と照合してはならない。
（安全管理措置等）
第四十六条 匿名加工情報取扱事業者は、匿名加工情報の安全管理のために必要かつ適切な措置、匿名加工情報の取扱いに関する苦情の処理その他の匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。

59

Ⅳ ガイダンスの見直し等
１．必要に応じた見直し
個人情報の保護に関する考え方は、社会情勢や国民の意識の変化に対応して変化していくものと考えられる。このため、「法」及び「ガイダンス」や「診療情報の提供等に関する指針」の運用状況等も踏まえながら、「ガイダンス」についても必要に応じ検討及び見直しを行うものとする。
２．ガイダンスを補完する事例集の作成・公開
個人情報保護委員会及び厚生労働省は、医療・介護関係事業者における個人情報の保護を推進し、医療・介護関係事業者における円滑な対応が図られるよう、「ガイダンス」
を補完する事例集を作成し、個人情報保護委員会及び厚生労働省のホームページにおいて公表する。
※「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」に関する Q＆A以上

60