Silviase/jgov_v1.4_full_ann huggingface dataset:
えない。この場合は、個人情報を取得するに当たって明確に当該利用目的の公表等の措置が講じられなければならない。(Ⅲ2.参照)
健保組合等の通常の業務で想定される利用目的は別表2に例示されるものであり、健保組合等は、これらを参考として、自らの業務に照らして通常必要とされるものを特定して公表(健保組合等のホームページへの掲載等)しなければならない。(Ⅲ2.参照)
なお、別表2に掲げる利用目的の範囲について法第15条第2項に定める利用目的の変更を行う場合、変更された利用目的については、本人へ通知又は公表しなければならない。(Ⅲ2.参照)
(2)利用目的による制限の例外
健保組合等は、あらかじめ本人の同意を得ないで法第15条の規定により特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならないが(法第16条第1項)、同条第3項に掲げる場合については、本人の同意を得る必要はない。具体的な例としては以下のとおりである。
①法令に基づく場合
健康保険法第29条又は第198条に基づく立入検査等、法令に基づいて個人情報を利用する場合
根拠となる法令の規定としては、一般に刑事訴訟法第218条(令状による捜査)、地方税法第72条の63(個人の事業税に関する調査に係る質問検査権、各種税法に類似の規定あり)等が考えられる。
これらの法令は強制力を伴って回答が義務づけられるため、健保組合等は捜査等が行われた場合、回答する義務が生じる。
また、刑事訴訟法第197条第2項(捜査に必要な取調べ)等については、法の例外規定の対象であるが、当該法令において任意協力とされており、健保組合等は取調べ等が行われた場合、回答するか否かについて個別の事例ごとに判断する必要がある。この場合、本人の同意を得すに個人情報を取扱ったとしても、法第16条違反とはならないが、当該本人からの民法に基づく損害賠償請求等を求められるおそれがある。
②人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
(例)
・意識不明となった被保険者等について、家族の連絡先等に関する情報を医療機関等に提供する場合
③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
(例)
・疫学上の調査・研究のために、健康診査やガン検診等から得られた情報を個人名を伏せて研究者に提供する場合
・医療安全の向上のため、健保組合にレセプトを提出する医療機関で発生した医療事故等に関する国、地方公共団体又は第三者機関等に対し情報提供するために個人情報を取扱う場合
えない。この場合は、個人情報を取得するに当たって明確に当該利用目的の公表等の措置が講じられなければならない。(Ⅲ2.参照)
健保組合等の通常の業務で想定される利用目的は別表2に例示されるものであり、健保組合等は、これらを参考として、自らの業務に照らして通常必要とされるものを特定して公表(健保組合等のホームページへの掲載等)しなければならない。(Ⅲ2.参照)
また、別表2に掲げる利用目的の範囲については、法第15条第2項に定める利用目的の変更を行うことができると考えられる。ただし、変更された利用目的については、本人へ通知又は公表しなければならない。(Ⅲ2.参照)
(2)利用目的による制限の例外
健保組合等は、あらかじめ本人の同意を得ないで法第15条の規定により特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならないが(法第16条第1項)、同条第3項に掲げる場合については、本人の同意を得る必要はない。具体的な例としては以下のとおりである。
①法令に基づく場合
健康保険法第27条又は第198条に基づく立入検査等、法令に基づいて個人情報を利用する場合
根拠となる法令の規定としては、一般に刑事訴訟法第218条(令状による捕查)、地方税法第72条の63(個人の事業税に係る質問検査権、各種税法に類似の規定あり)等が考えられる。
これらの法令は強制力を伴って回答が義務づけられるため、健保組合等は捕査等が行われた場合、回答する義務が生じる。
また、刑事訴訟法第197条第2項(捕查に必要な取調べ)等については、法の例外規定の対象であるが、当該法令において任意協力とされており、健保組合等は取調べ等が行われた場合、回答するか否かについて個別の事例ごとに判断する必要がある。この場合、本人の同意を得すに個人情報を提供を行ったとしても、法第16条違反とはならないが、当該本人からの民法に基づく損害賠償請求等を求められるおそれがある。
②人の生命、身体又は財産の保護のために必要があることが困難であるとき
(例)
・意識不明となった被保険者等について、家族の連絡先等に関する情報を医療機関等に提供する場合
③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
(例)
・疫学上の調査・研究のために、健康診査やガン検診等から得られた情報を個人名を伏せて研究者に提供する場合
・医療安全の向上のため、健保組合にレセプトを提出する医療機関で発生した医療事故等に関する国、地方公共団体又は第三者機関等に対し情報提供するために個人情報を取扱う場合
(例)
・疫学上の調査・研究のために、健康診査やガン検診等から得られた情報を個人名を伏せて研究者に提供する場合
・医療安全の向上のため、健保組合にレセプトを提出する医療機関で発生した医療事故等に関する国、地方公共団体又は第三者機関等への情報提供のうち、氏名等の情報が特に必要な場合
④国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
(例)
·事業者が警察の任意の求めに応じて個人情報を取扱う場合
·一般統計調査や地方公共団体が行う統計調査において個人情報を取扱う場合
【法の規定により遵守すべき事項等】
·健保組合等は、個人情報を取り扱うに当たって、その利用目的をできる限り特定しなければならない。
·健保組合等は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。
·健保組合等は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない。なお、本人の同意を得るために個人情報を利用すること（同意を得るために被保険者等の連絡先を利用して電話をかける場合など）、個人情報を匿名化するために個人情報に加工を行うことは差し支えない。
·個人情報を取得する時点で、本人の同意があったにもかかわらず、その後、本人から利用目的の一部についての同意を取り消す旨の申出があった場合は、その後の個人情報の取扱いについては、本人の同意が取り消されなかった範囲に限定して取り扱う。
·健保組合等は、合併その他の事由により他の事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
·利用目的の制限の例外（法第16条第3項）に該当する場合は、本人の同意を得すに個人情報を取り扱うことができる。
（利用目的を変更する場合の取扱いについてはⅢ2、を参照）
【その他の事項】
·利用目的の制限の例外に該当する「法令に基づく場合」等であっても、利用目的以外の目的で個人情報を取り扱う場合は、当該法令等の趣旨をひまえ、その取り扱う範囲を真に必要な範囲に限定することが求められる。
·被保険者等が未成年者等の場合、法定代理人等の同意を得ることで足りるが、一定の判断能力を有する未成年者等については、法定代理人等の同意にあわせて本人の同意を得る。
2. 利用目的の通知等（法第18条）
（取得に際しての利用目的の通知等）
法第十八条 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
2 個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って
④国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
（新設）
【法の規定により遵守すべき事項等】
·健保組合等は、個人情報を取り扱うに当たって、その利用目的をできる限り特定しなければならない。
·健保組合等は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。
·健保組合等は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない。なお、本人の同意を得るために個人情報を利用すること（同意を得るために被保険者等の連絡先を利用して電話をかける場合など）、個人情報を匿名化するために個人情報に加工を行うことは差し支えない。
·個人情報を取得する時点で、本人の同意があったにもかかわらず、その後、本人から利用目的の一部についての同意を取り消す旨の申出があった場合は、その後の個人情報の取扱いについては、本人の同意が取り消されなかった範囲に限定して取り扱う。
·健保組合等は、合併その他の事由により他の事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
·利用目的の制限の例外（法第16条第3項）に該当する場合は、本人の同意を得すに個人情報を取り扱うことができる。
（利用目的を変更する場合の取扱いについてはⅢ2、を参照）
【その他の事項】
·利用目的の制限の例外に該当する「法令に基づく場合」等であっても、利用目的以外の目的で個人情報を取り扱う場合は、当該法令等の趣旨をひまえ、その取り扱う範囲を真に必要な範囲に限定することが求められる。
·被保険者等が未成年者等の場合、法定代理人等の場合、法定代理人等の同意を得ることで足りるが、一定の判断能力を有する未成年者等については、法定代理人等の同意にあわせて本人の同意を得る。
2. 利用目的の通知等（法第18条）
（取得に際しての利用目的の通知等）
法第十八条 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
2 個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って
契約書その他の書面（電磁的記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

3 個人情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。

4 前三項の規定は、次に掲げる場合については、適用しない。

一 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

二 利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合

三国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。

四 取得の状況からみて利用目的が明らかであると認められる場合

## 【法の規定により遵守すべき事項等】

・健保組合等は、個人情報を取得するに当たって、あらかじめその利用目的を公表しておくか、個人情報を取得した場合、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

・利用目的の公表方法としては、健保組合等のホームページへの掲載のほか、パンフレットの配布、事業所担当窓口や健保組合等の掲示板への掲示・備付け、公告等により、なるべく広く公表する必要がある。

・健保組合等は、健診の申込みを受け付ける際に問診票の記入を求める場合など、本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を事業所担当窓口や健保組合等の掲示板等により明示しなければならない。

・健保組合等は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。

・取得の状況からみて利用目的が明らかであると認められる場合など利用目的の通知等の例外に該当する場合は、上記内容は適用しない。（「利用目的が明らか」な場合についてはⅢ1.（1）を参照）

## 【その他の事項】

・利用目的が、本規定の例外である「取得の状況からみて利用目的が明らかであると認められる場合」に該当する場合であっても、被保険者等に利用目的をわかりやすく示す観点から、利用目的の公表に当たっては、当該利用目的についても併せて記載する。

・被保険者等の希望がある場合、詳細の説明や当該内容を記載した書面の交付を行う。

3．個人情報の適正な取得、個人データ内容の正確性の確保（法第17条、第19条）

契約書その他の書面（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られる記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

3 個人情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。

4 前三項の規定は、次に掲げる場合については、適用しない。

一 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

二 利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合

三国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。

四 取得の状況からみて利用目的が明らかであると認められる場合

## 【法の規定により遵守すべき事項等】

・健保組合等は、個人情報を取得するに当たって、あらかじめその利用目的を公表しておくか、個人情報を取得した場合、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

・利用目的の公表方法としては、健保組合等のホームページへの掲載のほか、パンフレットの配布、事業所担当窓口や健保組合等の掲示板への掲示・備付け、公告等により、なるべく広く公表する必要がある。

・健保組合等は、健診の申込みを受け付ける際に問診票の記入を求める場合など、本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を事業所担当窓口や健保組合等の掲示板等により明示しなければならない。

・健保組合等は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。

・取得の状況からみて利用目的が明らかであると認められる場合など利用目的の通知等の例外に該当する場合は、上記内容は適用しない。（「利用目的が明らか」な場合についてはⅢ1.（1）を参照）

## 【その他の事項】

・利用目的が、本規定の例外である「取得の状況からみて利用目的が明らかであると認められる場合」に該当する場合であっても、被保険者等に利用目的をわかりやすく示す観点から、利用目的の公表に当たっては、当該利用目的についても併せて記載する。

・被保険者等の希望がある場合、詳細の説明や当該内容を記載した書面の交付を行う。

3．個人情報の適正な取得、個人データ内容の正確性の確保（法第17条、第19条）
(適正な取得)
法第十七条 個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。
2 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
一 法令に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
三 公衆衛生の向上又は児童の健全な育成のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
五 当該要配慮個人情報が、本人、国の機関、地方公共団体、第七十六条第一項各号に掲げる者
その他個人情報保護委員会規則で定める者により公開されている場合
六 その他前各号に掲げる場合に準するものとして政令で定める場合
規則第六条 法第十七条第二項第五号の個人情報保護委員会規則で定める者は、次の各号のいずれかに該当する者とする。
一 外国政府、外国の政府機関、外国の地方公共団体又は国際機関
二 外国において法第七十六条第一項各号に掲げる者に相当する者
令第七条 法第十七条第二項第六号の政令で定める場合は、次に掲げる場合とする。
一 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合
二 法第二十三条第五項各号に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき。
(データ内容の正確性の確保等)
法第十九条 個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。
【法の規定により遵守すべき事項等】
·健保組合等は、偽りその他の不正の手段により個人情報を取得してはならない。
·保健指導等のために必要な過去の病歴等については、真に必要な範囲について、本人から直接取得するほか、第三者提供について本人の同意を得た者（Ⅲ5.（3）により本人の黙示の同意が得られていると考えられる者を含む）から取得することを原則とする。ただし、本人以外の家族等から取得することが保健指導等のためにやむを得ない場合はこの限りでない。
(適正な取得)
法第十七条 個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。
(新設)
(データ内容の正確性の確保)
法第十九条 個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めなければならない。
【法の規定により遵守すべき事項等】
·健保組合等は、偽りその他の不正の手段により個人情報を取得してはならない。
·保健指導等のために必要な過去の病歴等については、真に必要な範囲について、本人から直接取得するほか、第三者提供について本人の同意を得た者（Ⅲ5.（3）により本人の黙示の同意が得られていると考えられる者を含む）から取得することを原則とする。ただし、本人以外の家族等から取得することが保健指導等のためにやむを得ない場合はこの限りでない。
報が適法に取得されたことが確認できない場合は、偽りその他不正の手段により取得されたものである可能性もあることから、その取得を自貴することを含め、慎重に対応することが望ましい。4. 安全管理措置、従業者の監督及び委託先の監督(法第20条～第22条)
(安全管理措置) 法第二十条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。(従業者の監督) 法第二十一条 個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。(委託先の監督) 法第二十二条 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
(1) 健保組合等が講するべき安全管理措置等①安全管理措置 健保組合等は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のため、組織的、人的、物理的、及び技術的安全管理措置等を講じなければならない。その際、本人の個人データが漏えい、滅失又はき損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人データの取扱い状況等に起因するリスクに応じ、必要かつ適切な措置を講するものとする。なお、その際には、個人データを記録した媒体の性質に応じた安全管理措置を講する。
②従業者の監督 健保組合等は、①の安全管理措置を遵守させるよう、従業者に対し必要かつ適切な監督をしなければならない。なお、「従業者」とは、当該事業者の指揮命令を受けて業務に従事する者全てを含むものであり、また、雇用関係のある者のみならず、理事、派遣労働者等も含むものである。「健康保険組合における個人情報保護の徹底について」(平成14年12月25日保険課長通知)では、健保組合に対して、服務規程等において、健保組合の役職員について職員の守秘義務を課すことしている。
③委託者の監督 健保組合等は、個人データの取扱いの全部又は一部を委託する場合、委託先において当該個人データの安全管理措置が適切に講じられるよう、「適切な委託先の選定」「安全管理措置の遵守事項を含む委託契約の締結」「委託先における個人データ取扱状況の把握」により、委託先に関して必要かつ適切な管理、監督をしなければならない。
報が適法に取得されたことが確認できない場合は、偽りその他不正の手段により取得されたものである可能性もあることから、その取得を自貴することを含め、慎重に対応することが望ましい。4. 安全管理措置、従業者の監督及び委託先の監督(法第20条～第22条)
(安全管理措置) 法第二十条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。(従業者の監督) 法第二十一条 個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。(委託先の監督) 法第二十二条 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
(1) 健保組合等が講するべき安全管理措置①安全管理措置 健保組合等は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のため、組織的、人的、物理的、及び技術的安全管理措置等を講じなければならない。その際、本人の個人データが漏えい、滅失又はき損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人データの取扱い状況等に起因するリスクに応じ、必要かつ適切な措置を講するものとする。なお、その際には、個人データを記録した媒体の性質に応じた安全管理措置を講する。
②従業者の監督 健保組合等は、①の安全管理措置を遵守させるよう、従業者に対し必要かつ適切な監督をしなければならない。なお、「従業者」とは、当該事業者の指揮命令を受けて業務に従事する者全てを含むものであり、また、雇用関係のある者のみならず、理事、派遣労働者等も含むものである。「健康保険組合における個人情報保護の徹底について」(平成14年12月25日保険課長通知)では、健保組合に対して、服務規程等において、健保組合の役職員について職員の守秘義務を課すことしている。
(新設)
## （２）安全管理措置として考えられる事項

健保組合等は、その取り扱う個人データの重要性に鑑み、個人データの漏えい、滅失又はき損の防止その他の安全管理のため、その規模、従業者の様態等を勘案して、以下に示すような取組を参考に、必要な措置を行うものとする。

また、同一健保組合が複数の事務所（支部）を有する場合、当該事務所（支部）間の情報交換については第三者提供に該当しないが、各事務所（支部）ごとに安全管理措置を講ずるなど、個人情報の利用目的を踏まえた個人情報の安全管理を行う。

## ①個人情報保護に関する規程の整備、公表

・健保組合等は、保有個人データの開示手順を定めた規程その他個人情報保護に関する規程を整備し、苦情への対応体制も含めて、健保組合等のホームページへの掲載のほか、パンフレットの配布、事業所担当窓口や健保組合等の掲示板への掲示・備付け、公告等を行うなど、被保険者等に対して周知徹底を図る。

・また、個人データを取り扱う情報システムの安全管理措置に関する規程等についても同様に整備を行うこと。

## ②個人情報保護推進のための組織体制等の整備

・従業者の責任体制の明確化を図り、具体的な取組を進めるため、健保組合等における個人情報保護に関し十分な知識を有する者を個人データの安全管理の実施及び運用に関する責任及び権限を有する個人情報取扱責任者（例えば、役員などの組織横断的に監督することのできる者）、個人情報管理担当者又は情報システム監査責任者等として定めたり、個人情報保護の推進を図るための部署、委員会等を設置する。

・健保組合等で行っている個人データの安全管理措置について定期的に自己評価を行い、見直しや改善を行うべき事項について適切な改善を行う。

・情報システム監査責任者は、個人情報保護対策の徹底に関して監査を行い、必要に応じ、個人情報保護対策及び最新の技術動向を踏まえた情報セキュリティ対策に十分な知見を有する者による事業所内の対応の確認（外部の知見を有する者を活用し確認させることを含む。）を実施する。

## ③個人データの漏えい等の問題が発生した場合等における報告連絡体制の整備

・1）個人データの漏えい等の事故が発生した場合、又は発生の可能性が高いと判断した場合、2）個人データの取扱いに関する規程等に違反している事実が生じた場合、又は兆候が高いと判断した場合における責任者等への報告連絡体制の整備を行う。

・個人データの漏えい等の情報は、苦情等の一環として、外部から報告される場合も想定されることから、苦情への対応体制との連携も図る。（Ⅲ13．参照）

## ④雇用契約時における個人情報保護に関する規程の整備

・雇用契約や就業規則において、就業期間中はもとより離職後も含めた守秘義務を課すなど従業者の個人情報保護に関する規程を整備し、徹底を図る。

## ⑤従業者に対する教育研修の実施

・取り扱う個人データの適切な保護が確保されるよう、従業者に対する教育研修の実施等により、

## （２）安全管理措置として考えられる事項

健保組合等は、その取り扱う個人データの重要性にかんがみ、個人データの漏えい、滅失又はき損の防止その他の安全管理のため、その規模、従業者の様態等を勘案して、以下に示すような取組を参考に、必要な措置を行うものとする。

また、同一健保組合が複数の事務所（支部）を有する場合、当該事務所（支部）間の情報交換については第三者提供に該当しないが、各事務所（支部）ごとに安全管理措置を講ずるなど、個人情報の利用目的を踏まえた個人情報の安全管理を行う。

## ①個人情報保護に関する規程の整備、公表

・健保組合等は、保有個人データの開示手順を定めた規程その他個人情報保護に関する規程を整備し、苦情への対応体制も含めて、健保組合等のホームページへの掲載のほか、パンフレットの配布、事業所担当窓口や健保組合等の掲示板への掲示・備付け、公告等を行うなど、被保険者等に対して周知徹底を図る。

・また、個人データを取り扱う情報システムの安全管理措置に関する規程等についても同様に整備を行うこと。

## ②個人情報保護推進のための組織体制等の整備

・従業者の責任体制の明確化を図り、具体的な取組を進めるため、健保組合等における個人情報保護に関し十分な知識を有する者を個人データの安全管理の実施及び運用に関する責任及び権限を有する個人情報取扱責任者（例えば、役員などの組織横断的に監督することのできる者）、個人情報管理担当者又は情報システム監査責任者等として定めたり、個人情報保護の推進を図るための部署、委員会等を設置する。

・健保組合等で行っている個人データの安全管理措置について定期的に自己評価を行い、見直しや改善を行うべき事項について適切な改善を行う。

・情報システム監査責任者は、個人情報保護対策の徹底に関して監査を行い、必要に応じ、個人情報保護対策及び最新の技術動向を踏まえた情報セキュリティ対策に十分な知見を有する者による事業所内の対応の確認（外部の知見を有する者を活用し確認させることを含む。）を実施する。

## ③個人データの漏えい等の問題が発生した場合等における報告連絡体制の整備

・1）個人データの漏えい等の事故が発生した場合、又は発生の可能性が高いと判断した場合、2）個人データの取扱いに関する規程等に違反している事実が生じた場合、又は兆候が高いと判断した場合における責任者等への報告連絡体制の整備を行う。

・個人データの漏えい等の情報は、苦情等の一環として、外部から報告される場合も想定されることから、苦情への対応体制との連携も図る。（Ⅲ10．参照）

## ④雇用契約時における個人情報保護に関する規程の整備

・雇用契約や就業規則において、就業期間中はもとより離職後も含めた守秘義務を課すなど従業者の個人情報保護に関する規程を整備し、徹底を図る。

## ⑤従業者に対する教育研修の実施

・取り扱う個人データの適切な保護が確保されるよう、従業者に対する教育研修の実施等により、
個人データを実際の業務で取り扱うこととなる従業者の啓発を図り、従業者の個人情報保護意識を徹底する。

## ⑥物理的安全管理措置

・個人データの盗難・紛失等を防止するため、以下のような物理的安全管理措置を行う。

一入退館（室）管理の実施（カメラによる撮影や作業への立会い等による記録又は監視の実施）

一盗難等に対する予防対策の実施

一機器、装置等の固定など物理的な保護

一記録機能を持つ媒体の持込み・持出し禁止又は検査の実施

一記録機能を持つ媒体の接続の禁止又は制限

一離席時等におけるパソコン等のパスワードロックの実施

## ⑦技術的安全管理措置

・個人データの盗難・紛失等を防止するため、「個人情報の適切な取扱いに係る基幹システムのセキュリティ対策の強化について（再要請）」（平成27年12月18日通知）の主旨に則り、個人データを取り扱う情報システムについて以下のような技術的安全管理措置を行う。

一個人データに対するアクセス管理（IDやパスワード等による認証、各職員の業務内容に応じて業務上必要な範囲にのみアクセスできるようなシステム構成の採用等）

一個人データに対するアクセス記録の保存

一個人データに対するファイアウォールの設置

一個人データに対する暗号化・パスワードの設定

一個人データへのアクセスや操作の記録及び不正が疑われる異常な記録の存否の定期的な確認

一基幹システムに接続されたネットワークとインターネットに接続されたネットワークの物理的又は論理的分離

一ソフトウェアに関する脆弱性対策（セキュリティパッチの適用、当該情報システム固有の脆弱性の発見及びその修正等）

ーソフトウェア及びハードウェア等の必要かつ適切な時期における更新

## ⑧個人データの保存

・個人データを長期にわたって保存する場合には、保存媒体の劣化防止など個人データが消失しないよう適切に保存する。

・個人データの保存に当たっては、本人からの照会等に対応する場合など必要なときに迅速に対応できるよう、インデックスの整備など検索可能な状態で保存しておく。

## ⑨不要となった個人データの廃棄、消去

・不要となった個人データを廃棄する場合には、焼却や溶解など、個人データを復元不可能な形にして廃棄する。

• 個人データを取り扱った情報機器を廃棄する場合は、記憶装置内の個人データを復元不可能な形に消去して廃棄する。

・これらの廃棄業務を委託する場合には、個人データの取扱いについても委託契約において明確に定める。

個人データを実際の業務で取り扱うこととなる従業者の啓発を図り、従業者の個人情報保護意識を徹底する。

## ⑥物理的安全管理措置

・個人データの盗難・紛失等を防止するため、以下のような物理的安全管理措置を行う。

一入退館（室）管理の実施（カメラによる撮影や作業への立会い等による記録又は監視の実施）一盗難等に対する予防対策の実施

一機器、装置等の固定など物理的な保護

一記録機能を持つ媒体の持込み・持出し禁止又は検査の実施

一記録機能を持つ媒体の接続の禁止又は制限

一離席時等におけるパソコン等のパスワードロックの実施

## ⑦技術的安全管理措置

・個人データの盗難・紛失等を防止するため、個人データを取り扱う情報システムについて以下のような技術的安全管理措置を行う。

一個人データに対するアクセス管理（IDやパスワード等による認証、各職員の業務内容に応じて業務上必要な範囲にのみアクセスできるようなシステム構成の採用等）

一個人データに対するアクセス記録の保存

一個人データに対するファイアウォールの設置

一個人データに対する暗号化・パスワードの設定

一個人データへのアクセスや操作の記録及び不正が疑われる異常な記録の存否の定期的な確認

一基幹システムに接続されたネットワークとインターネットに接続されたネットワークの物理的又は論理的分離

一ソフトウェアに関する脆弱性対策（セキュリティパッチの適用、当該情報システム固有の脆弱性の発見及びその修正等）

ーソフトウェア及びハードウェア等の必要かつ適切な時期における更新

## ⑧個人データの保存

・個人データを長期にわたって保存する場合には、保存媒体の劣化防止など個人データが消失しないよう適切に保存する。

・個人データの保存に当たっては、本人からの照会等に対応する場合など必要なときに迅速に対応できるよう、インデックスの整備など検索可能な状態で保存しておく。

## ⑨不要となった個人データの廃棄、消去

・不要となった個人データを廃棄する場合には、焼却や溶解など、個人データを復元不可能な形にして廃棄する。

• 個人データを取り扱った情報機器を廃棄する場合は、記憶装置内の個人データを復元不可能な形に消去して廃棄する。

・これらの廃棄業務を委託する場合には、個人データの取扱いについても委託契約において明確に定める。
## （３）業務を委託する場合の取扱い

## ①委託先の監督

健保組合等は、レセプトのパンチ（入力）・点検業務、健康保険被保険者証の作成、人間ドック等の健診、保健指導等個人データの取扱いの全部又は一部を委託する場合、法第20条に基づく安全管理措置を遵守させるよう受託者に対し、必要かつ適切な監督をしなければならない。

「必要かつ適切な監督」には、委託契約において委託者である事業者が定める安全管理措置の内容を契約に盛り込み受託者の義務とするほか、業務が適切に行われていることを定期的に確認することなども含まれる。

また、業務が再委託された場合で、再委託先が不適切な取扱いを行ったことにより、問題が生じた場合は、健保組合等や再委託した事業者が責めを負うこともあり得る。

## ②業務を委託する場合の留意事項

健保組合等関係事業者は、個人データの取扱いの全部又は一部を委託する場合、以下の事項に留意すべきである。

・個人情報を適切に取り扱っている事業者を委託先（受託者）として選定すること。委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第20条で求められているものと同様であることを確認するため、委託先の体制、規程等の確認に加え、必要に応じて個人データを取り扱う場所に赴く又はこれに代わる合理的な方法による確認を行った上で、個人情報取扱責任者等が、適切に評価することが望ましい。

・契約において、委託している業務の内容、委託先事業者、個人情報の適切な取扱いに関する内容を盛り込み（委託期間中のほか、委託終了後の個人データの取扱いも含む。）、契約内容を公表すること。

・受託者が個人情報を適切に取り扱っていることを定期的に確認すること。

・受託者における個人情報の取扱いに疑義が生じた場合（被保険者等からの申出があり、確認の必要があると考えられる場合を含む。）には、受託者に対し、説明を求め、必要に応じ改善を求める等適切な措置をとること。

・なお、個人情報保護の観点から、可能な限り、個人情報をマスキングすることにより、当該個人情報を匿名化した上で、委託するよう努めること。

・また、委託するに当たっては、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないよう努めること。

## *健保組合における業者委託に関する通知

上記の留意事項のほか、業者委託に関する通知を遵守する。

・「個人情報保護の徹底について」(平成14年12月25日保発第1225003号)

・「健康保険組合における個人情報保護の徹底について」（平成14年12月25日保保発第1225001号）の「4．個人情報の処理に関する外部委託に関する措置」

## ③業務を再委託する場合の留意事項

## （３）業務を委託する場合の取扱い

## ①委託先の監督

健保組合等は、レセプトのパンチ（入力）・点検業務、健康保険被保険者証の印刷作成、人間ドック等の健診、保健指導等個人データの取扱いの全部又は一部を委託する場合、法第20条に基づく安全管理措置を遵守させるよう受託者に対し、必要かつ適切な監督をしなければならない。

「必要かつ適切な監督」には、委託契約において委託者である事業者が定める安全管理措置の内容を契約に盛り込み受託者の義務とするほか、業務が適切に行われていることを定期的に確認することなども含まれる。

また、業務が再委託された場合で、再委託先が不適切な取扱いを行ったことにより、問題が生じた場合は、健保組合等や再委託した事業者が責めを負うこともあり得る。

## ②業務を委託する場合の留意事項

健保組合等関係事業者は、個人データの取扱いの全部又は一部を委託する場合、以下の事項に留意すべきである。

・個人情報を適切に取り扱っている事業者を委託先（受託者）として選定すること。委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第20条で求められているものと同様であることを確認するため、委託先の体制、規程等の確認に加え、必要に応じて個人データを取り扱う場所に赴く又はこれに代わる合理的な方法による確認を行った上で、個人情報取扱責任者等が、適切に評価することが望ましい。

・契約において、委託している業務の内容、委託先事業者、個人情報の適切な取扱いに関する内容を盛り込み（委託期間中のほか、委託終了後の個人データの取扱いも含む。）、契約内容を公表すること。

・受託者が個人情報を適切に取り扱っていることを定期的に確認すること。

・受託者における個人情報の取扱いに疑義が生じた場合（被保険者等からの申出があり、確認の必要があると考えられる場合を含む。）には、受託者に対し、説明を求め、必要に応じ改善を求める等適切な措置をとること。

・なお、個人情報保護の観点から、可能な限り、個人情報をマスキングすることにより、当該個人情報を匿名化した上で、委託するよう努めること。

・また、委託するに当たっては、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないよう努めること。

## *健保組合における業者委託に関する通知

上記の留意事項のほか、業者委託に関する通知を遵守する。

・「個人情報保護の徹底について」(平成14年12月25日保発第1225003号)

・「健康保険組合における個人情報保護の徹底について」（平成14年12月25日保保発第1225001号）の「4．個人情報の処理に関する外部委託に関する措置」

## ③業務を再委託する場合の留意事項
健康保険組合は、個人情報に関する処理の全部又は一部を再委託する場合、以下の事項に留意すべきである。

・個人情報を含む業務を再委託すること自体は禁じられてはないが、健康保険組合との直接の契約関係を伴わない個人情報に関する処理の再委託は行わないこと。（「健康保険組合における個人情報保護の徹底について」（平成14年12月25日保発第1225001号）の「4．個人情報の処理に関する外部委託に関する措置」）

・なお、個人情報を含む業務の再委託や個人情報に関する処理の再委託をする場合には、個人情報保護の観点から、可能な限り、個人情報をマスキングすることにより、当該個人情報を匿名化した上で、委託先から再委託先へ個人情報が提供されないよう努めること。

この場合において、健保組合は第一次委託先と委託契約を締結するに当たっては、第一次委託先が、上記通知の基準に掲げる事項を遵守するよう委託契約上明記することはもちろんのこと、これに加え、当該委託契約において、再委託するに当たっては、第一次委託先は、再委託の可否及び再委託を行うに当たっての委託元への文書による事前報告又は承認を行うことや当該再委託契約上、再委託先に対して、同通知の基準に掲げる事項を遵守することを明記するよう、第一次委託契約上明記すること。

なお、第一次委託先が再委託を行おうとする場合は、健康保険組合は委託を行う場合と同様、再委託の相手方、再委託する業務内容及び再委託先の個人データの取扱方法等について、第一次委託先に事前報告又は承認手続を求める、直接又は第一次委託先を通じて定期的に監査を実施する等により、第一次委託先が再委託先に対して本条の第一次委託先の監督を適切に果たすこと、再委託先が法第20条に基づく安全管理措置を講ずることを十分に確認することが望ましい。

## （4） レセプトの紙以外の媒体による保存等又はそれらの外部委託を行う場合の取扱い

健保組合等において、レセプトの紙以外の媒体による保存又はレセプトの電算処理及びそれらの外部委託を行う場合には、健保組合等において、その運営及び委託等の取扱いについて安全性が確保されるよう規程を定め、実施するものとする。

## （５）個人情報の漏えい等の問題が発生した場合における二次被害の防止等

個人情報の漏えい等の問題が発生した場合には、二次被害の防止、類似事案の発生回避等の観点から、個人情報の保護に配慮しつつ、可能な限り事実関係を公表するとともに、所管の地方厚生局に速やかに報告する。

また、個人データの漏えい等の問題が発生した場合には、「個人データの漏えい等の事案が発生した場合等の対応について」（平成29年個人情報保護委员会告示第1号）に基づき、①事業者内部における報告及び被害の拡大防止、②事実関係の調査及び原因の究明、③影響範囲の特定、④再発防止策の検討及び実施、⑤影響を受ける可能性のある本人への連絡等、⑥事実関係及び再発防止策等の公表の必要な措置を講ずることが望ましい。また、漏えい等事案が発覚した場合には、その事実関係及び再発防止策等について、個人情報保護委员会に対し、速やかに報告するよう努めるものとする。

ただし、法第47条第1項に規定する認定個人情報保護団体の対象事業者である健保組合等は、所属の認定個人情報保護団体に速やかに報告するよう努めるものとする。

健康保険組合は、個人情報に関する処理の全部又は一部を再委託する場合、以下の事項に留意すべきである。

・個人情報を含む業務を再委託すること自体は禁じられてはないが、健康保険組合との直接の契約関係を伴わない個人情報に関する処理の再委託は行わないこと。（「健康保険組合における個人情報保護の徹底について」（平成14年12月25日保発第1225001号）の「4．個人情報の処理に関する外部委託に関する措置」）

・なお、個人情報を含む業務の再委託や個人情報に関する処理の再委託をする場合には、個人情報保護の観点から、可能な限り、個人情報をマスキングすることにより、当該個人情報を匿名化した上で、委託先から再委託先へ個人情報が提供されないよう努めること。

この場合において、健保組合は第一次委託先と委託契約を締結するに当たっては、第一次委託先が、上記通知の基準に掲げる事項を遵守するよう委託契約上明記することはもちろんのこと、これに加え、当該委託契約において、再委託するに当たっては、第一次委託先は、再委託の可否及び再委託を行うに当たっての委託元への文書による事前報告又は承認を行うことや当該再委託契約上、再委託先に対して、同通知の基準に掲げる事項を遵守することを明記するよう、第一次委託契約上明記すること。

なお、第一次委託先が再委託を行おうとする場合は、健康保険組合は委託を行う場合と同様、再委託の相手方、再委託する業務内容及び再委託先の個人データの取扱方法等について、第一次委託先に事前報告又は承認手続を求める、直接又は第一次委託先を通じて定期的に監査を実施する等により、第一次委託先が再委託先に対して本条の第一次委託先の監督を適切に果たすこと、再委託先が法第20条に基づく安全管理措置を講ずることを十分に確認することが望ましい。

## （4） レセプトの紙以外の媒体による保存等又はそれらの外部委託を行う場合の取扱い

健保組合等において、レセプトの紙以外の媒体による保存又はレセプトの電算処理及びそれらの外部委託を行う場合には、健保組合等において、その運営及び委託等の取扱いについて安全性が確保されるよう規程を定め、実施するものとする。

## （５）個人情報の漏えい等の問題が発生した場合における二次被害の防止等

個人情報の漏えい等の問題が発生した場合には、二次被害の防止、類似事案の発生回避等の観点から、個人情報の保護に配慮しつつ、可能な限り事実関係を公表するとともに、所管の地方厚生局に速やかに報告する。

(新設)
## 【法の規定により遵守すべき事項等】

・健保組合等は、その取り扱う個人データの漏えい、滅失又はき損の防止その他個人データの安全管理のために必要かつ適切な措置を講じなければならない。

・健保組合等は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

・健保組合等は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

## 【その他の事項】

・健保組合等は、安全管理措置に関する取組を一層推進するため、安全管理措置が適切であるかどうかを一定期間ごとに検証するほか、必要に応じて外部機関による検証を受けることで、改善を図ることが望ましい。

### 5. 個人データの第三者提供（法第23条）

## （第三者提供の制限）

法第二十三条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。

## 一 法令に基づく場合

二人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

2 個人情報取扱事業者は、第三者に提供される個人データ（要配慮個人情報を除く。以下この項において同じ。）について、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。

一 第三者への提供を利用目的とすること。

二 第三者に提供される個人データの項目

三 第三者への提供の方法

四 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。

## 五 本人の求めを受け付ける方法

3 個人情報取扱事業者は、前項第二号、第三号又は第五号に掲げる事項を変更する場合は、変更する内容について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知

## 【法の規定により遵守すべき事項等】

・健保組合等は、その取り扱う個人データの漏えい、滅失又はき損の防止その他個人データの安全管理のために必要かつ適切な措置を講じなければならない。

・健保組合等は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

・健保組合等は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

## 【その他の事項】

・健保組合等は、安全管理措置に関する取組を一層推進するため、安全管理措置が適切であるかどうかを一定期間ごとに検証するほか、必要に応じて外部機関による検証を受けることで、改善を図ることが望ましい。

### 5. 個人データの第三者提供（法第23条）

## （第三者提供の制限）

法第二十三条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。

一 法令に基づく場合

二人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

2 個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することしている場合であって、次に掲げる事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。

一 第三者への提供を利用目的とすること。

二 第三者に提供される個人データの項目

三 第三者への提供の手段又は方法

四 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。

3 個人情報取扱事業者は、前項第二号又は第三号に掲げる事項を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。

4 個人情報保護委員会は、第二項の規定による届出があったときは、個人情報保護委員会規則で定めるところにより、当該届出に係る事項を公表しなければならない。前項の規定による届出があったときも、同様とする。

5 次に掲げる場合において、当該個人データの提供を受ける者は、前各号の規定の適用については、第三者に該当しないものとする。

一個人情報取报事業者が利用目的の達成に必要な範囲内において個人データの取报いの全部又は一部を委託することに伴って当該個人データが提供される場合

二 合併その他の事由による事業の承継に伴って個人データが提供される場合

三 特定の者との間で共同して利用 される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

6 個人情報取扱事業者は、前項第三号に規定する利用する者の利用目的又は個人データの管理について責任を有する者の氏名若しくは名称を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

## （１）第三者提供の取扱い

健保組合等は、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならないとされており、次のような場合には、本人の同意を得る必要がある。

## (例)

## ・民間保険会社からの照会

被保険者等が民間の生命保険に加入しようとする場合、生命保険会社からその健康状態等について照会が合った場合、本人の同意を得ずに健康状態等を回答してはならない。

交通事故によって、けがの治療を受けている被保険者等に関して、損害保険会社から損害保険金の支払いの審査のために必要であるとして症状に関する照会があった場合、本人の同意を得ず傷病名等を回答してはならない。

## • 職場からの照会

職場の上司等から、社員の傷病名等に関する問合せがあった場合など、本人の同意を得ずに傷病名等を回答してはならない。

## • 学校からの照会

学校の教職員等から、児童・生徒の健康状態に関する問合せがあった場合など、本人の同意を得ずに健康状態等を回答してはならない。

## ・マーケティング等を目的とする会社等からの照会

健康食品の販売を目的とする会社から、高血圧の被保険者等の存在の有無について照会された場合など、本人の同意を得ずにその存在の有無やその氏名・住所等を回答してはならない。

## ない。

## (新設)

4 次に掲げる場合において、当該個人データの提供を受ける者は、前三項の規定の適用については、第三者に該当しないものとする。

一個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託する場合

## 二 合併その他の事由による事業の承継に伴って個人データが提供される場合

三 個人データを 特定の者との間で共同して利用 する場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

5 個人情報取扱事業者は、前項第三号に規定する利用する者の利用目的又は個人データの管理について責任を有する者の氏名若しくは名称を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

## （１）第三者提供の取扱い

健保組合等は、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならないとされており、次のような場合には、本人の同意を得る必要がある。

## (例)

## ・民間保険会社からの照会

被保険者等が民間の生命保険に加入しようとする場合、生命保険会社からその健康状態等について照会が合った場合、本人の同意を得ずに健康状態等を回答してはならない。

交通事故によって、けがの治療を受けている被保険者等に関して、損害保険会社から損害保険金の支払いの審査のために必要であるとして症状に関する照会があった場合、本人の同意を得ず傷病名等を回答してはならない。

## • 職場からの照会

職場の上司等から、社員の傷病名等に関する問い合わせがあった場合など、本人の同意を得ずに傷病名等を回答してはならない。

## • 学校からの照会

学校の教職員等から、児童・生徒の健康状態に関する問い合わせがあった場合など、本人の同意を得ずに健康状態等を回答してはならない。

## ・マーケティング等を目的とする会社等からの照会

健康食品の販売を目的とする会社から、高血圧の被保険者等の存在の有無について照会された場合など、本人の同意を得ずにその存在の有無やその氏名・住所等を回答してはならない。