事務連絡
令和５年６月２日

各

都 道 府 県
保健所設置市
特 別区

衛生主管部（局）

御中

厚生労働省新型コロナウイルス感染症対策本部

新型コロナウイルス感染症の HER-SYS 等における個人情報の取扱の徹底について（注意喚起及び確認）

平素より、新型コロナウイルス感染症対策に御尽力、御協力を賜り、誠にありがとうございます。
新型コロナウイルス感染症の患者等について、感染症の予防及び感染症の患者に対する医療に関する法律（平成 10 年法律第 114 号）第 12 条（医師の届出）及び第 15 条（感染症の発生の状況及び動向の把握）等の規定により収集した感染症に関する情報については、個人情報の保護に留意しなければならないこととされているところです。
今般、自治体の新型コロナウイルス感染症に係る先事業に従事する者が、HERSYS を用いて収集した当該感染症に関する情報のうち個人情報について、同法で予定されている業務以外の目的で閲覧・取得し、外部に漏えいさせた事例が確認されました。このような事例が確認されたことは極めて遺憾であり、改めて、これまでに収集した感染症に関する情報も含めて、下記のとおり確認の徹底をお願いします。
本内容について御了知の上、業務委託先等も含めて、関係各所へ周知の程、お願い申し上げます。

1記
１．感染症に関する情報管理の徹底について感染症に関する情報の取扱いに当たっては、従事する職員、委託先等に対して、改めて、下記事項を徹底すること。
・ 新型コロナウイルス感染症の患者等について、感染症の予防及び感染症の患者に対する医療に関する法律第 12 条（医師の届出）及び第 15 条（感染症の発生の状況及び動向の把握）等の規定により収集した感染症に関する情報の公表等に当たっては、個人情報の保護に留意しなければならないこと。
・ 業務以外の目的で、HER-SYS 等を用いて収集した当該感染症に関する情報のうち個人情報の閲覧を行うことはあってはならず、業務目的で当該個人情報の閲覧・使用する場合にあってもその範囲については必要最小限とすること。
・

公務員又は公務員であった者が同法に基づき実施する事務に関して知り得た人の秘密を正当な理由がなく漏らしたとき、また、公務員でない者についても感染症の患者であるとの人の秘密を業務上知り得た者が、正当な理由がなくその秘密を漏らしたときは、同法第 73 条第２項又は第 74 条第１項の規定による罰則の対象となること。

・

個人情報の保護に関する法律（平成 15 年法律第 57 号）の規定に基づく行政機関等における個人情報の取扱いを遵守すること。具体的には、地方公共団体は、同法第 12 条に基づき、保有する個人情報の適正な取扱いが確保されるよう必要な措置を講ずる責務を有しており、①同法第 66 条（安全管理措置）に基づき、行政機関の長等が保有個人情報の安全管理のための必要かつ適切な措置を講ずること（行政機関等から個人情報の取扱いの委託を受けた者等に対しても当該委託を受けた業務等について準用されること）、②同法第 67 条（従事者の義務）に基づき、個人情報の取扱いに従事する行政機関等の職員若しくは職員であった者、行政機関等から個人情報の取扱いの委託を受けた業務に従事している者若しくは従事していた者等がその業務に関して知り得た個人情報の内容をみだりに他人に知らせ、又は不当な目的に使用してはならないこととされていること、③同法第 69 条（利用及び提供の制限）に基づき行政機関の長等が利用目的以外の目的のために保有個人情報を自ら利用し、又は提供する場合には、本人の同意があるとき又は本人に提供するときや、行政機関等が法令の定める所掌事務又は業務の遂行に必要な限度で保有個人情報を内部で利用する場合であって、当該保有個人情報を利用することについて相当の2

理由があるとき等とされていること、④このほか、同法第５章（行政機関等の義務等）に基づき、業務を実施する必要があること。
・ 感染症に関する情報を扱う業務を外部に委託する場合には、委託契約において個人情報の管理に関する具体的な事項が定められていること。
・ 外部委託先（再委託先を含む）において個人情報が適切に取り扱われているか、抜き打ち検査を行うこと。
２．同様事案の確認について管内における新型コロナウイルス感染症に係る業務について、下記事項を確認すること。
・ 所管する当該個人情報を扱う業務において、業務以外の目的で当該個人情報を不適切に閲覧又は使用していた事例がないか、確認すること。
・ あらかじめ設定している当該個人情報を扱う業務の閲覧・使用に当たっての権限及びその付与の範囲が適切か、確認すること。
・ 当該個人情報をみだりに外部に持ち出すこと（メール・SNS 等による第三者への送信等を含む。以下同じ。）が可能となっていないか、確認すること。
・ 当該個人情報を扱う業務の委託先（再委託先がなされている場合は当該再委託先も含む。以下同じ。）においても、上記３点について不適切な事例がないか、確認すること。
３．２において不適切な事案が確認された場合の対応について２の確認の結果、不適切な事案が確認された場合には、以下の対応を実施すること。
・ 改めて、当該個人情報の閲覧・使用を行う職員等の範囲及びその権限は最小限とすることを徹底すること。
・ 今後、当該個人情報の不適切な閲覧・使用を防止し、確認する体制を構築し、その運用を徹底すること。
・ 今後、当該個人情報をみだりに外部に持ち出すことができない体制を構築し、その運用を徹底すること。
・

当該個人情報を扱う業務の委託先において、上記事項を徹底するとともに、当該個人情報の管理体制を再点検すること。

3

４．確認結果の厚生労働省への報告及び通報窓口の設置について
上記２及び３の確認結果（それぞれどのような方法で確認したかを含む。）については、令和５年６月３０日までに厚生労働省新型コロナウイルス感染症対策本部戦略班（variants@mhlw.go.jp）まで報告すること。
ただし、２において不適切な事案が確認された場合には、上記期限にかかわらず、まずは速やかに上記アドレスまで一報されたい。
また、当本部において、新型コロナウイルス感染症の HER-SYS 等における個人情報の不適切な取扱が疑われる事案が確認された場合の通報窓口を下記のとおり設置いたしました。つきましては、関係者への周知方お願いいたします。
＜通報窓口メールアドレス＞
covid19-tsuhou@mhlw.go.jp
５．HER-SYS のログイン ID の適正管理と停止について
令和５年３月 10 日事務連絡等において従前よりお示ししているとおり、不要になった HER-SYS ログイン ID については速やかに削除するようお願いいたします。
具体的には、新型コロナウイルスの類型見直し以降の体制縮小等に伴い不要となった都道府県職員（代行編集権限あり：SG 権限）の ID については、厚生労働省にて ID を削除する必要があるところ、当本部から HER-SYS 担当者への５月１１日連絡にあるとおり、５月 31 日までに報告を済ます必要があります。もし当該報告が済んでない場合には、速やかに報告頂くよう改めて周知いたします。
また、都道府県にて業務委託業者等に対して ID 発行が可能な調整本部等権限（G 権限）、保健所職員権限（H 権限）、宿泊療養施設権限（W 権限）及び健康フォローアップ機関権限（C 権限）については、これまで通り適正な管理が求められるところ、不要となった場合には、各発行主体において速やかに IDを削除頂くようお願いします。
なお、従前よりお伝えしているとおり、HER-SYS のユーザーアカウントの使いまわし等は厳につつしむとともに、パスワード変更等の措置によって適切に ID 管理を行って頂くようお願いします。

4

参照条文
○感染症の予防及び感染症の患者に対する医療に関する法律（平成十年法律第百十四号）（情報の公表等）
第十六条

厚生労働大臣及び都道府県知事は、第十二条から前条までの規定により収集した感染症に関する情報について分析を行い、感染症の発生の状況、動向及び原因に関する情報並びに当該感染症の予防及び治療に必要な情報を新聞、放送、インターネットその他適切な方法により積極的に公表しなければならない。
２・３
４

（略）

第一項の規定による情報の公表又は前項の規定による情報の提供を行うに当たっては、個人情報の保護に留意しなければならない。

第七十三条
２

（略）

第十二条から第十四条までの規定（これらの規定が第四十四条の九第一項の規定に基づく政令によって準用される場合（同条第二項の政令により、同条第一項の政令の期間が延長される場合を含む。以下同じ。）及び第五十三条第一項の規定に基づく政令によって適用される場合（同条第二項の政令により、同条第一項の政令の期間が延長される場合を含む。以下同じ。）を含む。）による届出の受理、第十四条の二第二項（第四十四条の九第一項の規定に基づく政令によって準用される場合及び第五十三条第一項の規定に基づく政令によって適用される場合を含む。）の規定による検体若しくは感染症の病原体の受理、第十四条の二第三項（第四十四条の九第一項の規定に基づく政令によって準用される場合及び第五十三条第一項の規定に基づく政令によって適用される場合を含む。）若しくは第二十六条の三第五項（第四十四条の九第一項の規定に基づく政令によって準用される場合、第五十条第二項において準用される場合及び第五十三条第一項の規定に基づく政令によって適用される場合を含む。）の規定による検体若しくは感染症の病原体の検査、第十五条（第四十四条の九第一項の規定に基づく政令によって準用される場合及び第五十三条第一項の規定に基づく政令によって適用される場合を含む。）、第十五条の二第一項若しくは第十五条の三第二項（同条第七項の規定により読み替えて適用される場合を含む。）の規定による質問若しくは調査、同条第一項の規定による報告若しくは質問、第十六条の三第一項若しくは第二項（これらの規定が第四十四条の九第一項の規定に基づく政令によって準用される場合及び第五十5三条第一項の規定に基づく政令によって適用される場合を含む。）若しくは第四十四条の十一第一項若しくは第二項の規定による検体の受理若しくは採取、第十六条の三第三項若しくは第四項（これらの規定が第四十四条の九第一項の規定に基づく政令によって準用される場合及び第五十三条第一項の規定に基づく政令によって適用される場合を含む。）若しくは第四十四条の十一第三項若しくは第四項の規定による検体の採取、第十六条の三第七項（第四十四条の九第一項の規定に基づく政令によって準用される場合及び第五十三条第一項の規定に基づく政令によって適用される場合を含む。）、第二十六条の四第五項（第四十四条の九第一項の規定に基づく政令によって準用される場合、第五十条第三項において準用される場合及び第五十三条第一項の規定に基づく政令によって適用される場合を含む。）若しくは第四十四条の十一第五項の規定による検体の検査、第十七条（第四十四条の九第一項の規定に基づく政令によって準用される場合及び第五十三条第一項の規定に基づく政令によって適用される場合を含む。）、第四十五条若しくは第五十三条の二の規定による健康診断、第十九条、第二十条若しくは第二十六条において準用する第十九条若
しくは第二十条の規定（これらの規定が第四十四条の九第一項の規定に基づく政令によって準用される場合及び第五十三条第一項の規定に基づく政令によって適用される場合を含む。）若しくは第四十六条の規定による入院、第二十六条の三第一項（第四十四条の三の二第六項及び第五十条の三第六項において準用する場合を含む。）若しくは第二項（これらの規定が第四十四条の九第一項の規定に基づく政令によって準用される場合及び第五十三条第一項の規定に基づく政令によって適用される場合を含む。）の規定による検体若しくは感染症の病原体の受理（第五十条第一項又は第七項の規定により実施される場合を含む。）、第二十六条の三第三項（第四十四条の三の二第六項及び第五十条の三第六項において準用する場合を含む。）若しくは第四項（これらの規定が第四十四条の九第一項の規定に基づく政令によって準用される場合及び第五十三条第一項の規定に基づく政令によって適用される場合を含む。）の規定による検体若しくは感染症の病原体の収去（第五十条第一項又は第七項の規定により実施される場合を含む。）、第二十六条の四第一項若しくは第二項（これらの規定が第四十四条の九第一項の規定に基づく政令によって準用される場合及び第五十三条第一項の規定に基づく政令によって適用される場合を含む。）の規定による検体の受理若しくは採取（これらが第五十条第一項又は第七項の規定により実施される場合を含む。）、第二十六条の四第三項若しくは第四項（これらの規定が第四十四条の九第一項の規定に基づく政令によって準用される場合及び第五十三条第一項の規定に基づく政令によって適用される場合を含む。）の規定による検体の採取（第五十条第一項又は第七項の6規定により実施される場合を含む。）、第二十七条（第四十四条の九第一項の規定に基づく政令によって準用される場合及び第五十三条第一項の規定に基づく政令によって適用される場合を含む。）、第二十八条（第四十四条の四第一項の規定に基づく政令によって適用される場合（同条第二項の政令により、同条第一項の政令の期間が延長される場合を含む。以下この項及び第七十七条において同じ。）、第四十四条の九第一項の規定に基づく政令によって準用される場合及び第五十三条第一項の規定に基づく政令によって適用される場合を含む。）、第二十九条若しくは第三十条の規定（これらの規定が第四十四条の九第一項の規定に基づく政令によって準用される場合及び第五十三条第一項の規定に基づく政令によって適用される場合を含む。）若しくは第三十一条から第三十三条まで若しくは第三十五条の規定（これらの規定が第四十四条の四第一項の規定に基づく政令によって適用される場合、第四十四条の九第一項の規定に基づく政令によって準用される場合及び第五十三条第一項の規定に基づく政令によって適用される場合を含む。）による措置（第五十条第一項、第七項又は第十項の規定により実施される場合を含む。）、第四十四条の三第一項若しくは第二項（これらの規定が第四十四条の九第一項の規定に基づく政令によって準用される場合を含む。）若しくは第五十条の二第一項若しくは第二項の規定による報告若しくは協力の求め、第四十四条の三第四項若しくは第五項（これらの規定が第四十四条の九第一項の規定に基づく政令によって準用される場合及び第五十条の二第四項において準用される場合を含む。）の規定による食事の提供等、第四十四条の三第六項（第四十四条の九第一項の規定に基づく政令によって準用される場合及び第五十条の二第四項において準用される場合を含む。）の規定による市町村長の協力、第四十四条の三の二第三項若しくは第五項（これらの規定が第四十四条の九第一項の規定に基づく政令によって準用される場合を含む。）若しくは第五十条の三第三項若しくは第五項の規定による検体若しくは病原体の受理、第四十四条の三の二第四項（第四十四条の九第一項の規定に基づく政令によって準用される場合を含む。）若しくは第五十条の三第四項に規定する検査の実施、第四十四条の三の三（第四十四条の九第一項の規定に基づく政令によって準用される場合を含む。）若しくは第五十条の四の規定による届出の受理又は第五十三条の十三の規定による精密検査に関する事務に従事した公務員又は公務員であった者が、その職務の執行に関して知り得た人の秘密を正当な理由がなく漏らしたときも、前項と同様とする。
３

職務上前項の秘密を知り得た他の公務員又は公務員であった者が、正当な理由がなくその秘密を漏らしたときも、第一項と同様とする。

7

第七十四条

感染症の患者であるとの人の秘密を業務上知り得た者が、正当な理由がなくその秘密を漏らしたときは、六月以下の懲役又は五十万円以下の罰金に処する。
２（略）○個人情報の保護に関する法律（平成 15 年法律第 57 号）
第五章

行政機関等の義務等

第一節

総則（安全管理措置）第六十六条

行政機関の長等は、保有個人情報の漏えい、滅失又は毀損の防止その他の保有個人情報の安全管理のために必要かつ適切な措置を講じなければならない。
２

前項の規定は、次の各号に掲げる者が当該各号に定める業務を行う場合における個人情報の取扱いについて準用する。

一

行政機関等から個人情報の取扱いの委託を受けた者

当該委託を受けた業

務
二

指定管理者（地方自治法（昭和二十二年法律第六十七号）第二百四十四条の二第三項に規定する指定管理者をいう。） 公の施設（同法第二百四十四条第一項に規定する公の施設をいう。）の管理の業務

三第五十八条第一項各号に掲げる者

法令に基づき行う業務であって政令で定めるもの
四第五十八条第二項各号に掲げる者

同項各号に定める業務のうち法令に基づき行う業務であって政令で定めるもの
五前各号に掲げる者から当該各号に定める業務の委託（二以上の段階にわたる委託を含む。）を受けた者

当該委託を受けた業務（従事者の義務）第六十七条

個人情報の取扱いに従事する行政機関等の職員若しくは職員であった者、前条第二項各号に定める業務に従事している者若しくは従事していた者又は行政機関等において個人情報の取扱いに従事している派遣労働者（労働者派遣事業の適正な運営の確保及び派遣労働者の保護等に関する法律（昭和六十年法律第八十八号）第二条第二号に規定する派遣労働者をいう。以下この章及び第百七十六条において同じ。）若しくは従事していた派遣労働者
は、その業務に関して知り得た個人情報の内容をみだりに他人に知らせ、又は不当な目的に利用してはならない。

8

（利用及び提供の制限）
第六十九条

行政機関の長等は、法令に基づく場合を除き、利用目的以外の目的のために保有個人情報を自ら利用し、又は提供してはならない。
２

前項の規定にかかわらず、行政機関の長等は、次の各号のいずれかに該当すると認めるときは、利用目的以外の目的のために保有個人情報を自ら利用し、又は提供することができる。ただし、保有個人情報を利用目的以外の目的のために自ら利用し、又は提供することによって、本人又は第三者の権利利益を不当に侵害するおそれがあると認められるときは、この限りでない。

一

本人の同意があるとき、又は本人に提供するとき。

二

行政機関等が法令の定める所掌事務又は業務の遂行に必要な限度で保有個人情報を内部で利用する場合であって、当該保有個人情報を利用することについて相当の理由があるとき。

三

他の行政機関、独立行政法人等、地方公共団体の機関又は地方独立行政法人に保有個人情報を提供する場合において、保有個人情報の提供を受ける者が、法令の定める事務又は業務の遂行に必要な限度で提供に係る個人情報を利用し、かつ、当該個人情報を利用することについて相当の理由があるとき。

四前三号に掲げる場合のほか、専ら統計の作成又は学術研究の目的のために保有個人情報を提供するとき、本人以外の者に提供することが明らかに本人の利益になるとき、その他保有個人情報を提供することについて特別の理由があるとき。

３

前項の規定は、保有個人情報の利用又は提供を制限する他の法令の規定の適用を妨げるものではない。

４

行政機関の長等は、個人の権利利益を保護するため特に必要があると認めるときは、保有個人情報の利用目的以外の目的のための行政機関等の内部における利用を特定の部局若しくは機関又は職員に限るものとする。

9