Silviase/jgov_v1.4_full_ann huggingface dataset:
## Ⅰ 本ガイダンスの趣旨、目的、基本的考え方

### 1. 本ガイダンスの趣旨

本ガイダンスは、「個人情報の保護に関する法律」(平成15年法律第57号。以下「法」という。)及び「行政手続における特定の個人を識別するための番号の利用等に関する法律」(平成25年法律第27号。以下「番号法」という。)を踏まえ、「個人情報の保護に関する法律についてのガイドライン（通則編）」(平成28年個人情報保護委員会告示第6号。以下「通則ガイドライン」という。)を基礎とし、法第6条及び第9条の規定に基づき、健康保険組合及び健康保険組合連合会が行う個人情報の適正な取扱いの確保に関する活動を支援するための具体的な留意点・事例等を示すものである。

なお、本ガイダンスは健康保険組合及び健康保険組合連合会における実例に照らした内容であるため、本ガイダンスに記載のない事項及び関係条文については通則ガイドライン、「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」（平成28年個人情報保護委員会告示第7号）、「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」（平成28年個人情報保護委員会告示第8号）、「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」（平成28年個人情報保護委員会告示第9号）及び「個人情報の保護に関する法律についてのガイドライン（認定個人情報保護団体編）」（令和3年個人情報保護委員会告示第7号）をそれぞれ参照されたい。

## 2 ．本ガイダンスの構成及び基本的考え方

個人情報の取扱いについては、法第3条において、「個人情報は、個人の人格尊重の理念の下に慎重に取り扱われるべきものである」とされていることを踏まえ、個人情報を取り扱う全ての者は、その目的や様態を問わず、個人情報の性格と重要性を十分認識し、その適正な取扱いを図らなければならない。

医療分野は、個人情報の性質や利用方法等から、法第6条の規定に基づく特に適正な取扱いの厳格な実施を確保する必要がある分野の一つであることから、保険診療に係る診療報酬明細書及び調剤報酬明細書（以下「レセプト」という。）等を取り扱う健康保険組合及び健康保険組合連合会においては、積極的な取組が求められる。

このことを踏まえ、本ガイダンスでは、法の趣旨を踏まえ健康保険組合及び健康保険組合連合会における個人情報の適正な取扱いが確保されるよう、遵守すべき事項及び遵守することが望ましい事項をできる限り具体的に示しており、健康保険組合及び健康保険組合連合会においては、法令、「個人情報の保護に関する基本方針」（平成16年4月2日閣議決定。以下「基本方針」という。）及び本ガイダンスの趣旨を踏まえ、個人情報の適正な取扱いに取り組む必要がある。

具体的には、健康保険組合及び健康保険組合連合会は、本ガイダンスの【法の規定により遵守すべき事項等】のうち、「しなければならない」等と記載された事項については、法の規定により厳格に遵守することが求められる。また、【その他の事項】の「努めなければならない」「望ましい」等と記載された事項については、法に基づく義務等ではないが、達成できるよう努めることが求められる。
### 3. 本ガイダンスの対象となる「健保組合等」の範囲

本ガイダンスが対象としている事業者の範囲は、健康保険組合及び健康保険組合連合会（以下「健保組合等」という。）である。

ただし、医療保険分野における個人情報保護の精神は同一であることから、本ガイダンスの対象外となる医療保険者も本ガイダンスに十分配慮することが望ましい。

なお、レセプトのパンチ（入力）・点検業務、資格確認書の作成、人間ドック等の健診、保健指導など、健保組合等から委託を受けた業務を遂行する事業者においては、本ガイダンスのⅢ5．に沿って適切な安全管理措置を講ずることが求められるとともに、当該委託を行う健保組合等は、業務の委託に当たり、本ガイダンスの趣旨を理解し、本ガイダンスに沿った対応を行う事業者を委託先として選定するとともに委託先事業者における個人情報の取扱いについて定期的に確認を行い、適切な運用が行われていることを確認する等の措置を講ずる必要がある。

なお、健保組合等は、個人情報を提供してサービスを受ける被保険者等から、適切かつ円滑な保険給付及び保健事業（以下「保険給付等」という。）の実施が期待されており、その実施のために最善の努力を行う必要があることに鑑み、本ガイダンスの遵守を求めるものである。

### 4. 本ガイダンスの対象となる「個人情報」の範囲

法令上「個人情報」とは、生存する個人に関する情報であり、個人情報取扱事業者の義務等の対象となるのは、生存する個人に関する情報に限定されている。

なお、当該被保険者及び被扶養者（以下「被保険者等」という。）が死亡した後においても、健保組合等が当該被保険者等の情報を保存している場合には、漏えい、滅失又は毀損の防止のため、個人情報と同等の安全管理措置を講ずるものとする。

### 5. 個人情報保護委員会の権限行使との関係等

本ガイダンス中、健保組合等が【法の規定により遵守すべき事項等】に記載された内容のうち、健保組合等の義務とされている内容を個人情報取扱事業者としての義務を負う健保組合等が遵守しない場合、個人情報保護委員会は、法第146条から第148条までの規定に基づき、「報告徴収」、「立入検査」、「指導」、「助言」、「勧告」及び「命令」を行うことがある。

また、法第150条第1項の規定に基づき、法第146条第1項の規定による権限が個人情報保護委員会から事業所管大臣である厚生労働大臣に委任された場合には、厚生労働大臣が「報告徴収」及び「立入検査」を行うことができる。

### 6. 健保組合等が行う措置の透明性の確保と対外的明確化

法第3条では、個人の人格尊重の理念の下に個人情報を慎重に扱うべきことが指摘されている。

健保組合等は、個人情報保護に関する考え方や方針に関する宣言（いわゆる、プライバシーポリシー、プライバシーステートメント等）及び個人情報の取扱いに関する明確かつ適正な規則を策定し、それらを対外的に公表することが求められる。また、被保険
者等から当該本人の個人情報がどのように取り扱われているか等について知りたいという求めがあった場合は、当該規則に基づき、迅速に情報提供を行う等必要な措置を行うものとする。

個人情報保護に関する考え方や方針に関する宣言の内容としては、健保組合等が個人の人格尊重の理念の下に個人情報を取り扱うこと並びに、関係法令及び本ガイダンス等を遵守すること等、個人情報の取扱いに関する規則においては、個人情報に係る安全管理措置の概要、本人等からの開示等の手続、第三者提供の取扱い、苦情への対応等について具体的に定めることが考えられる。

なお、利用目的等を広く公表することについては、以下のような趣旨があることに留意すべきである。

①健保組合等で個人情報が利用される意義について被保険者等の理解を得ること。

②健保組合等において、法を遵守し、個人情報保護のため積極的に取り組んでいる姿勢を対外的に明らかにすること。

### 7. 責任体制の明確化と被保険者等窓口の設置等

健保組合等は、個人情報の適正な取扱いを推進し、漏えい等の問題に対処する体制を整備する必要がある。このため、個人情報の取扱いに関し、専門性と指導性を有し、事業者の全体を統括する組織体制・責任体制を構築し、規則の策定や安全管理措置の計画立案等を効果的に実施できる体制を構築するものとする。

また、被保険者等に対しては、利用開始時に個人情報の利用目的を説明するなど、必要に応じて分かりやすい説明を行う必要があるが、加えて、被保険者等が疑問に感じた内容を、いつでも、気軽に問合せできる窓口機能等を確保することが重要である。さらに、個人情報の取扱いに関し被保険者等からの相談や苦情への対応等を行う窓口機能等を整備するとともに、その窓口がサービスの提供に関する相談機能とも有機的に連携した対応が行える体制とするなど、被保険者等の立場に立った対応を行う必要がある。

なお、個人情報の利用目的の説明や窓口機能等の整備、開示の請求を受け付ける方法を定める場合等に当たっては、障害のある被保険者等にも配慮する必要がある。

### 8. 遺族への個人情報の提供の取扱い

法は、OECD8原則の趣旨を踏まえ、生存する個人の情報を適用対象とし、個人情報の目的外利用や第三者提供に当たっては本人の同意を得ることを原則としており、死者の情報は原則として個人情報とならないことから、法及び本ガイダンスの対象とはならない。しかし、被保険者等が死亡した際に、遺族から診療報酬明細書等の個人情報について照会が行われた場合、健保組合等は、被保険者等本人の生前の意思、名誉等を十分に尊重しつつ、特段の配慮が求められる。このため、別に定める指針（「診療報酬明細書等の被保険者等への開示について」（平成17年3月31日保発第0331009号）の内容）に基づき、遺族に対して診療報酬明細書等の個人情報の提供を行うものとする。
### 9. 他の法令等との関係

健保組合等は、個人情報の取扱いに当たり、法、基本方針及び本ガイダンスに示す項目のほか、個人情報保護又は守秘義務に関する他の法令等の規定を遵守しなければならない。

### 10. 認定個人情報保護団体における取組

法第47条においては、個人情報取扱事業者等の個人情報等の適正な取扱いの確保を目的とする業務を行う法人等は個人情報保護委員会の認定を受けて認定個人情報保護団体となることができることとされている。認定個人情報保護団体となる関係団体は、傘下の健康保険組合を対象に、個人情報保護に係る普及・啓発を推進するほか、法の趣旨に沿った指針等を自主的なルールとして定めたり、個人情報の取扱いに関する被保険者等のための相談窓口を開設したりするなど、積極的な取組を行うことが期待されている。

詳細については、「個人情報の保護に関する法律についてのガイドライン（認定個人情報保護団体編）」（令和3年個人情報保護委員会告示第7号）を参照されたい。
## Ⅱ 用語の定義

1. 個人情報（法第2条第1項）

## (定義)

法第二条 この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいすれかに該当するものをいう。

一 当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。次項第二号において同じ。）で作られる記録をいう。以下同じ。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）

二 個人識別符号が含まれるもの

「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日、その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができるものを含む。）、又は個人識別符号が含まれるものをいう。「個人に関する情報」は、氏名、住所、性別、生年月日、顔画像等個人を識別する情報に限られず、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化等によって秘匿化されているか否かを問わない。

また、例えばレセプトには、被保険者等について客観的に検査をしたデータもあれば、それに対して医師が判断した傷病名、診療行為が記載されている。これら全体が被保険者等個人に関する情報に当たるものであるが、あわせて、当該レセプトに係る診察をした医師の側からみると、自分が判断した傷病名、診療行為を書いているものでもあるので、レセプトに氏名が明記されている場合や医療機関名から容易に特定の医師を識別できる場合については、医師個人に関する情報とも言うことができる。したがって、レセプト等に記載されている情報の中には、被保険者等と医師等双方の個人情報という二面性を持っている部分もあることに留意が必要である。

なお、死者に関する情報が、同時に、遺族等の生存する個人に関する情報でもある場合には、当該生存する個人に関する情報となる。

本ガイダンスは、健保組合等が保有する個人情報を対象とするものであり、個人情報データベース等（7．参照）に整理されていない場合でも個人情報に該当する。

健保組合等が保有する個人情報については、別表1参照。

※ 記載された氏名、生年月日、その他の記述等により特定の個人を識別することができるものは、個人情報に該当する。
### 2. 個人識別符号（法第2条第2項）

## (定義)

## 法第二条

2 この法律において「個人識別符号」とは、次の各号のいずれかに該当する文字、番号、記号その他の符号のうち、政令で定めるものをいう。

一 特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの

二 個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ、又は個人に発行されるカードその他の書類に記載され、若しくは電磁的方式により記録された文字、番号、記号その他の符号であって、その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され、若しくは記録されることにより、特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの

令第一条 個人情報の保護に関する法律（以下「法」という。）第二条第二項の政令で定める文字、番号、記号その他の符号は、次に掲げるものとする。

## 一 ·二（略）

三 国民健康保険法（昭和33年法律第192号）第百十一条の二第一項に規定する被保険者記号・番号等

四 国民年金法（昭和34年法律第141号）第十四条に規定する基礎年金番号五・六（略）

七 高齢者の医療の確保に関する法律（昭和57年法律第80号）第百六十一条の二第一項に規定する被保険者番号等

八介護保険法（平成9年法律第123号）第十二条第三項の被保険者証にその発行を受ける者ごとに異なるものとなるように記載された個人情報保護委員会規則で定める文字、番号、記号その他の符号

九 行政手続における特定の個人を識別するための番号の利用等に関する法律（平成25年法律第27号）第二条第五項に規定する個人番号

十 その他前各号に準ずるものとして個人情報保護委員会規則で定める文字、番号、記号その他の符号

規則第三条　令第一条第八号の個人情報保護委員会規則で定める文字、番号、記号その他の符号は、同号に規定する被保険者証の番号及び保険者番号とする。

規則第四条　令第一条第十号の個人情報保護委員会規則で定める文字、番号、記号その他の符号は、次に掲げるものとする。

一 健康保険法（大正11年法律第70号）第三条第十一項に規定する保険者番号及び同条第十二項に規定する被保険者等記号・番号

## 二 ～九（略）
「個人識別符号」とは、当該情報単体から特定の個人を識別できるものとして個人情報の保護に関する法律施行令（平成15年政令第507号。以下「政令」という。）に定められた文字、番号、記号その他の符号をいい、これに該当するものが含まれる情報は個人情報となる。

具体的な内容は、政令第1条及び個人情報の保護に関する法律施行規則（平成28年個人情報保護委員会規則第3号。以下「規則」という。）第2条から第4条までに定められており、健康保険法（大正11年法律第70号）に係るものについては、保険者番号及び被保険者等記号・番号が該当する。

したがって、当該保険者番号及び被保険者等記号・番号のいずれもが含まれる情報は、個人情報となる。

### 3. 要配虑個人情報（法第2条第3項）

(定義)

法第二条

3 この法律において「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。

令第二条 法第二条第三項の政令で定める記述等は、次に掲げる事項のいずれかを内容とする記述等（本人の病歴又は犯罪の経歴に該当するものを除く。）とする。

一 身体障害、知的障害、精神障害（発達障害を含む。）その他の個人情報保護委員会規則で定める心身の機能の障害があること。

日本人に対して医師その他医療に関連する職務に従事する者（次号において「医師等」という。）により行われた疾病の予防及び早期発見のための健康診断その他の検査（同号において「健康診断等」という。）の結果

三 健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと。

四 本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと。

五 本人を少年法（昭和23年法律第168号）第三条第一項に規定する少年又はそ

の疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと。

規則第五条　令第二条第一号の個人情報保護委員会規則で定める心身の機能の障害は、次に掲げる障害とする。

一 身体障害者福祉法（昭和24年法律第283号）別表に掲げる身体上の障害
二 知的障害者福祉法（昭和35年法律第37号）にいう知的障害

三 精神保健及び精神障害者福祉に関する法律（昭和25年法律第123号）にいう精神障害（発達障害者支援法（平成16年法律第167号）第二条第一項に規定する発達障害を含み、前号に掲げるものを除く。）

四 治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生活及び社会生活を総合的に支援するための法律（平成17年法律第123号）第四条第一項の政令で定めるものによる障害の程度が同項の主務大臣が定める程度であるもの

「要配慮個人情報」とは、不当な差別や偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして法第2条第3項、政令第2条及び規則第5条で定める記述等が含まれる個人情報をいう。なお、健保組合等において想定される要配慮個人情報に該当する情報とは、レセプト等に掲載された病歴、犯罪により害を被った事実、申請書等より確認した障害（身体障害、知的障害、精神障害等）の事実、健康診断の結果及び健康診断後の措置（医師による改善指導又は診療、調剤）が行われた事実等が挙げられる。

要配慮個人情報の取得や個人データの第三者提供には、原則として本人同意が必要である。

本人同意を得る方法として、被保険者等への保険給付等のために通常必要と考えられる個人情報の利用範囲をホームページへの掲載等により明らかにしておき、被保険者等から特段明確な反対・留保の意思表示がない場合には、これらの範囲内での個人情報の利用について同意が得られているものとする「默示の同意」という考え方を用いることがある。（詳細はⅢ7.（3）を参照）

一方、要配慮個人情報が含まれる個人データについては、法第27条第2項の規定により、一定の条件を満たすことで本人同意を得ることなく第三者提供する方法（オプトアウトによる第三者提供）は認められない。また、要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態が生じた場合には、個人情報保護委員会に報告しなければならない（詳細はⅢ6．を参照）。

なお、健保組合等においては、第三者への提供を目的として個人情報を取得することは通常想定されない。

【要配慮個人情報のポイント】

要配慮個人情報を取得する場合、本人同意が必要である。（Ⅲ4．参照）

## 4 ．特定個人情報（番号法第2条第8項）

番号法第二条

8 この法律において「特定個人情報」とは、個人番号（個人番号に対応し、当該個人
番号に代わって用いられる番号、記号その他の符号であって、住民票コード以外のものを含む。第七条第一項及び第二項、第八条並びに第四十八条並びに附則第三条第一項から第三項まで及び第五項を除き、以下同じ。）をその内容に含む個人情報をいう。

「特定個人情報」とは番号法に定める個人番号をその内容に含む個人情報をいう。特定個人情報については、番号法の対象となるだけでなく、個人情報として法の対象となることに留意が必要である。

「特定個人情報」に関する具体的な取扱等については、「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」（平成26年特定個人情報保護委員会告示第5号）及び「医療保険者向けデジタル PMO」サイトを参照のこと。

### 5. 仮名加工情報（法第2条第5項）

## (定義)

## 法第二条

5 この法律において「仮名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報をいう。

第一項第一号に該当する個人情報 当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

二 第一項第二号に該当する個人情報 当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）

「仮名加工情報」とは、個人情報に含まれる記述等の一部や、個人識別符号の全部を削除する等の措置を講じて、他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報をいう。

個人情報から仮名加工情報を作成する場合には、法第41条第1項に規定する規則で定める基準に従って加工する等一定の制限を受けることとなる。詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」（平成28年個人情報保護委員会告示第9号）を参照のこと。
令第七条 法第十六条第六項の政令で定めるものは、同項に規定する情報の集合物に含まれる匿名加工情報を一定の規則に従って整理することにより特定の匿名加工情報を容易に検索することができるように体系的に構成したものであって、目次、索引その他検索を容易にするためのものを有するものをいう。

7．個人情報データベース等（法第16条第1項）、個人データ（法第16条第3項）、保有個人データ（法第16条第4項）

## (定義)

法第十六条 この章及び第八章において「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるもの（利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものを除く。）をいう。

一 特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの

二 前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの

令第四条 法第十六条第一項の利用方法からみて個人の権利利益を害するおそれが少

ないものとして政令で定めるものは、次の各号のいずれにも該当するものとする。

一 不特定かつ多数の者に販売することを目的として発行されたものであって、かつ、

その発行が法又は法に基づく命令の規定に違反して行われたものでないこと。

二 不特定かつ多数の者により随時に購入することができ、又はできたものであること。

三 生存する個人に関する他の情報を加えることなくその本来の用途に供しているものであること。

2 法第十六条第一項第二号の政令で定めるものは、同項に規定する情報の集合物に含まれる個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成したものであって、目次、索引その他検索を容易にするためのものを有するものをいう。

「個人情報データベース等」とは、特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した個人情報を含む情報の集合体、又はコンピュータを用いていない場合であっても、紙面で処理した個人情報を一定の規則（例えば、五十音順、生年月日順など）に従って整理・分類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものをいう。
## (定義)

法第十六条

3 この章において「個人データ」とは、個人情報データベース等を構成する個人情報をいう。

「個人データ」とは「個人情報データベース等」を構成する個人情報をいう。

## (定義)

## 法第十六条

4 この章において「保有個人データ」とは、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの以外のものをいう。

令第五条 法第十六条第四項の政令で定めるものは、次に掲げるものとする。

一 当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの

二 当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの

三 当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの

四 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの

「保有個人データ」とは、個人データのうち、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有するものをいう。ただし、その存否が明らかになることにより、公益その他の利益が害されるものは除く。

レセプトや健診結果、保健指導記録等については、媒体の如何にかかわらず個人データに該当する。

### 8. 本人の同意

「本人の同意」とは、本人の個人情報が、個人情報取扱事業者によって示された取扱方法で取り扱われることを承諾する旨の当該本人の意思表示をいう（当該本人であることを確認できていることが前提となる。）。

また、「本人の同意を得（る）」とは、本人の承諾する旨の意思表示を当該個人情報取扱事業者が認識することをいい、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければなら
ない。

なお、個人情報の取扱いに関して同意したことによって生ずる結果について、未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力を有していないなどの場合は、親権者や法定代理人等から同意を得る必要がある。

【本人の同意を得ている事例】

事例 1）本人からの同意する旨の口頭による意思表示

事例2）本人からの同意する旨の書面（電磁的記録を含む。）の受領

事例 3）本人からの同意する旨のメールの受信

事例 4）本人による同意する旨の確認欄へのチェック

事例 5）本人による同意する旨のホームページ上のボタンのクリック

事例 6）本人による同意する旨の音声入力、タッチパネルへのタッチ、ボタンやスイッチ等による入力

法は、個人情報の目的外利用や第三者提供の場合には、原則として本人の同意を得ることを求めている。これは、法の基本となるOECD8原則のうち、利用制限の原則の考え方の現れであるが、健保組合等については、被保険者等に適切な保険給付等を提供する目的のために、当該健保組合等において、通常必要と考えられる個人情報の利用範囲を健保組合等のホームページへの掲載のほか、パンフレットの配布、事業所担当窓口や健保組合等の掲示板への掲示・備付けや公告等により明らかにしておき、このうち、被保険者等の利益になるもの又は必ずしも利益になるものではないが医療費通知など事業者側（健保組合等）の負担が膨大である上必ずしも被保険者等本人にとって合理的であるとは言えないものについては、被保険者等から特段明確な反対・留保の意思表示がない場合には、これらの範囲内での個人情報の利用について同意が得られているものと考えられる。（Ⅲ7.（3）（4）参照）

なお、これらの場合において被保険者等の理解力、判断力などに応じて、可能な限り被保険者等本人に通知し、同意を得るよう努めることが重要である。

【要配慮個人情報における本人の同意について】

健保組合等が要配慮個人情報を書面又は口頭等により本人から適正に直接取得する場合は、本人が当該情報を提供したことをもって、当該健保組合等が当該情報を取得することについて本人の同意があったものと解される。
## Ⅲ 健保組合等の義務等

1．利用目的の特定等（法第17条、第18条）

(利用目的の特定)
法第十七条 個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。
2 個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。
(利用目的による制限)
法第十八条 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
2 個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
3 前二項の規定は、次に掲げる場合については、適用しない。
一 法令（条例を含む。以下この章において同じ。）に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
五 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下この章において「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
六 学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

## （１）利用目的の特定及び制限

健保組合等が保険給付等を希望する被保険者等から個人情報を取得する場合、当該個人情報を被保険者等に対する保険給付等の提供、健保組合等の保険給付等に係る事務や番号法に基づく個人番号の利用などで利用することは被保険者等にとって明らかと考えられる。

これら以外で個人情報を利用する場合は、被保険者等にとって必ずしも明らかな利用目的とはいえない。この場合は、個人情報を取得するに当たって明確に当該利用目的の
公表等の措置が講じられなければならない。(Ⅲ3．参照)

健保組合等の通常の業務で想定される利用目的は別表2に例示されるものであり、健保組合等は、これらを参考として、自らの業務に照らして通常必要とされるものを特定して公表（健保組合等のホームページへの掲載等）しなければならない。（Ⅲ3．参照）

なお、別表2に掲げる利用目的の範囲について法第17条第2項に定める利用目的の変更を行う場合、変更された利用目的については、本人へ通知又は公表しなければならない。(Ⅲ3．参照)

## （２）利用目的による制限の例外

健保組合等は、あらかじめ本人の同意を得ないで法第17条の規定により特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならないが（法第18条第1項）、同条第3項に掲げる場合については、本人の同意を得る必要はない。具体的な例としては以下のとおりである。

## ①法令（条例を含む。）に基づく場合

健康保険法第29条又は第198条に基づく立入検査等、法令に基づいて個人情報を利用する場合

根拠となる法令の規定としては、一般に刑事訴訟法第218条（令状による捜査）、地方税法第72条の63（個人の事業税に関する調査に係る質問検査権、各種税法に類似の規定あり）等が考えられる。

これらの法令は強制力を伴って回答が義務づけられるため、健保組合等は捜査等が行われた場合、回答する義務が生じる。

また、刑事訴訟法第197条第2項（捜査に必要な取調べ）等については、法の例外規定の対象であるが、当該法令において任意協力とされており、健保組合等は取調べ等が行われた場合、回答するか否かについて個別の事例ごとに判断する必要がある。この場合、本人の同意を得すに個人情報を取扱ったとしても、法第18条違反とはならないが、当該本人からの民法に基づく損害賠償請求等を求められるおそれがある。

②人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき

(例)

・意識不明となった被保険者等について、家族の連絡先等に関する情報を医療機関等に提供する場合

③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき

(例)

• 疫学上の調査・研究のために、健康診査やがん検診等から得られた情報を個人名を伏せて研究者に提供する場合

・医療安全の向上のため、健康保険組合にレセプトを提出する医療機関で発生した医
療事故等に関する国、地方公共団体又は第三者機関等に対し情報提供するために個人情報を取り扱う場合

④国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき

(例)

・事業者が警察の任意の求めに応じて個人情報を取り扱う場合

・一般統計調査や地方公共団体が行う統計調査において個人情報を取り扱う場合

⑤個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）

「学術研究機関等」とは、大学その他の学術研究を目的とする機関若しくは団体（大学、学会等）又はそれらに属する者をいい、健保組合等はこれに当たらない。

⑥学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

## 【法の規定により遵守すべき事項等】

・健保組合等は、個人情報を取り扱うに当たって、その利用目的をできる限り特定しなければならない。

・健保組合等は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。

・健保組合等は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない。なお、本人の同意を得るために個人情報を利用すること（同意を得るために被保険者等の連絡先を利用して電話をかける場合など）、個人情報を匿名加工情報及び仮名加工情報に加工することは差し支えない。

・個人情報を取得する時点で、本人の同意があったにもかかわらず、その後、本人から利用目的の一部についての同意を取り消す旨の申出があった場合は、その後の個人情報の取扱いについては、本人の同意が取り消されなかった範囲に限定して取り扱う。

・健保組合等は、合併その他の事由により他の事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。

・利用目的の制限の例外（法第18条第3項）に該当する場合は、本人の同意を得ずに
個人情報を取り扱うことができる。

(利用目的を変更する場合の取扱いについてはⅢ3．を参照)

## 【その他の事項】

・利用目的の制限の例外に該当する「法令に基づく場合」等であっても、利用目的以外の目的で個人情報を取り扱う場合は、当該法令等の趣旨をふまえ、その取り扱う範囲を真に必要な範囲に限定することが求められる。

・被保険者等が未成年者等の場合、法定代理人等の同意を得ることで足りるが、一定の判断能力を有する未成年者等については、法定代理人等の同意にあわせて本人の同意を得る。
## 2 ．不適正な利用の禁止（法第19条）

(不適正な利用の禁止)
法第十九条 個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。

## 【法の規定により遵守すべき事項等】

・健保組合等は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。

「違法又は不当な行為」とは、法その他の法令に違反する行為、及び直ちに違法とはいえないものの、法その他の法令の制度趣旨又は公序良俗に反する等、社会通念上適正とは認められない行為をいう。

「おそれ」の有無は、個人情報取扱事業者による個人情報の利用が、違法又は不当な行為を助長又は誘発することについて、社会通念上蓋然性が認められるか否かにより判断される。この判断に当たっては、個人情報の利用方法等の客観的な事情に加えて、個人情報の利用時点における個人情報取扱事業者の認識及び予見可能性も踏まえる必要がある。例えば、個人情報取扱事業者が第三者に個人情報を提供した場合において、当該第三者が当該個人情報を違法な行為に用いた場合であっても、当該第三者が当該個人情報の取得目的を偽っていた等、当該個人情報の提供の時点において、提供した個人情報が違法に利用されることについて、当該個人情報取扱事業者が一般的な注意力をもってしても予見できない状況であった場合には、「おそれ」は認められないと解される。

（違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例）

事例1）違法行為を営むことが疑われる事業者に対し、当該事業者の違法な行為を助長するおそれが想定されるにもかかわらず、個人情報を提供する場合

事例2）個人情報を提供した場合、提供先において法第27条第1項に違反する第三者提供がなされることを予見できるにもかかわらず、当該提供先に対して、個人情報を提供する場合

事例3）個人情報を取得した健保組合等が、性別、国籍等の特定の属性のみにより、正当な理由なく本人に対する違法な差別的取扱いを行うために、個人情報を利用する場合
### 3. 利用目的の通知等（法第21条）

（取得に際しての利用目的の通知等）

法第二十一条 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

2 個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

3 個人情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。

4 前三項の規定は、次に掲げる場合については、適用しない。

一 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

二 利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合

三国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。

四 取得の状況からみて利用目的が明らかであると認められる場合

## 【法の規定により遵守すべき事項等】

・健保組合等は、個人情報を取得するに当たって、あらかじめその利用目的を公表しておくか、個人情報を取得した場合、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

・利用目的の公表方法としては、健保組合等のホームページへの掲載のほか、パンフレットの配布、事業所担当窓口や健保組合等の掲示板への掲示・備付け、公告等により、なるべく広く公表する必要がある。

・健保組合等は、健診の申込みを受け付ける際に問診票の記入を求める場合など、本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を事業所担当窓口や健保組合等の掲示板等により明示しなければならない。

・健保組合等は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。

・取得の状況からみて利用目的が明らかであると認められる場合など利用目的の通知等の例外に該当する場合は、上記内容は適用しない。（「利用目的が明らか」な場合についてはⅢ1.（1）を参照）
## 【その他の事項】

・利用目的が、本規定の例外である「取得の状況からみて利用目的が明らかであると認められる場合」に該当する場合であっても、被保険者等に利用目的をわかりやすく示す観点から、利用目的の公表に当たっては、当該利用目的についても併せて記載する。

・被保険者等の希望がある場合、詳細の説明や当該内容を記載した書面の交付を行う。
4．個人情報の適正な取得、個人データ内容の正確性の確保（法第20条、第22条）

(適正な取得)
法第二十条 個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。
2 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
一 法令に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三 公衆衛生の向上又は児童の健全な育成のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
五 当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）
六 学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。）
七 当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、第五十七条第一項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合
八 その他前各号に掲げる場合に準するものとして政令で定める場合
規則第六条 法第二十条第二項第七号の個人情報保護委員会規則で定める者は、次の各号のいずれかに該当する者とする。
一 外国政府、外国の政府機関、外国の地方公共団体又は国際機関
二 外国において法第十六条第八項に規定する学術研究機関等に相当する者
三 外国において法第五十七条第一項各号に掲げる者に相当する者
令第九条 法第二十条第二項第八号の政令で定める場合は、次に掲げる場合とする。
一 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合
二 法第二十七条第五項各号（法第四十一条第六項の規定により読み替えて適用する場合及び法第四十二条第二項において読み替えて準用する場合を含む。）に掲げる場
合において、個人データである要配慮個人情報の提供を受けるとき。

## （データ内容の正確性の確保等）

法第二十二条 個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。

## 【法の規定により遵守すべき事項等】

・健保組合等は、偽りその他の不正の手段により個人情報を取得してはならない。

・保健指導等のために必要な過去の病歴等については、真に必要な範囲について、本人から直接取得するほか、第三者提供について本人の同意を得た者（Ⅲ７．（３）により本人の黙示の同意が得られていると考えられる者を含む。）から取得することを原則とする。ただし、本人以外の家族等から取得することが保健指導等のためにやむを得ない場合はこの限りでない。

・親の同意なく、十分な判断能力を有していない子どもから家族の個人情報を取得してはならない。

・要配慮個人情報を取得する場合には、あらかじめ本人の同意を得なければならない。ただし、法第20条第2項各号に定める場合については、本人の同意を得る必要はない。

## (例)

・健康保険法第150条第2項に基づき、事業者に対して被保険者等に関する健康診断情報の提供を求め、これを取得する場合、法第20条第2項第1号に該当すると考えられる。

・急病その他の事態が生じたときに、本人の病歴等を健康保険組合に所属する医師や看護師が家族から聴取する場合、法第20条第2項第2号に該当すると考えられる。

・事業者が警察の任意の求めに応じて要配慮個人情報に該当する個人情報を提出するために、当該個人情報を取得する場合、法第20条第2項第4号に該当する可能性があると考えられる。

• なお、要配慮個人情報を、法第27条第5項各号に定める委託、事業承継又は共同利用により取得する場合は、あらかじめ本人の同意を得る必要はない。

## 【法第20条第2項に違反している事例】

本人の同意を得ることなく、法第20条第2項第7号及び規則第6条で定める者以外がインターネット上で公開している情報から本人の信条や犯罪歴等に関する情報を取得し、既に保有している当該本人に関する情報の一部として自己のデータベース等に登録すること。

・健保組合等は、適正な保険給付等を提供するという利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めなければならない。
・健保組合等は、保有する個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等は、当該個人データを遅滞なく消去するよう努めなければならない（※）。なお、法令の定め及び規程により保存期間等が定められている場合は、この限りではない。

（※）「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む。

## 【その他の事項】

・第三者提供により他の健保組合等から個人情報を取得したとき、当該個人情報の内容に疑義が生じた場合には、記載内容の事実に関して本人に確認をとる。

・健保組合等は、個人データの内容の正確性、最新性を確保するため、Ⅲ5.（2）②に示す委員会等において、具体的なルールを策定したり、技術水準向上のための研修の開催などを行うことが望ましい。

・第三者提供（法第27条第1項各号に掲げる場合並びに個人情報の取扱いの委託、事業の承継及び共同利用に伴い、個人情報を提供する場合を除く。）により、個人情報（政令第2条第2号に規定するものから取得した個人情報を除く。）を取得する場合には、提供元の法の遵守状況（例えば、オプトアウト（法第27条第2項・第3項参照）、利用目的、開示手続、問合せ・苦情の受付窓口を公表していることなど）を確認し、個人情報を適切に管理している者を提供元として選定するとともに、実際に個人情報を取得する際には、例えば、取得の経緯を示す契約書等の書面の点検又はこれに代わる合理的な方法により、当該個人情報の取得方法等を確認した上で、当該個人情報が適法に取得されたことが確認できない場合は、偽りその他不正の手段により取得されたものである可能性もあることから、その取得を自粛することを含め、慎重に対応することが望ましい。
## 5 ．安全管理措置、従業者の監督及び委託先の監督（法第23条～第25条）

## (安全管理措置)

法第二十三条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

(従業者の監督)

法第二十四条 個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

（委託先の監督）

法第二十五条 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

## （１）健保組合等が講ずるべき安全管理措置等

## ①安全管理措置

健保組合等は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のため、組織的、人的、物理的及び技術的安全管理措置等を講じなければならない。また、外国において個人データを取り扱う場合には、外的環境の把握を行ったうえで、これらの安全管理措置を講じなければならない。その際、本人の個人データが漏えい、滅失又は毀損をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人データの取扱い状況等に起因するリスクに応じ、必要かつ適切な措置を講ずるものとする。なお、その際には、個人データを記録した媒体の性質に応じた安全管理措置を講ずる。

（※）「その他の個人データの安全管理のために必要かつ適切な措置」には、個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取り扱うことを予定しているものの漏えい等を防止するために必要かつ適切な措置も含まれる。そのため、当該個人データとなる前の個人情報（個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取り扱うことを予定しているもの）についても、上記の安全管理措置等を講じる必要がある。

## ②従業者の監督

健保組合等は、①の安全管理措置を遵守させるよう、従業者に対し必要かつ適切な監督をしなければならない。なお、「従業者」とは、当該事業者の指揮命令を受けて業務に従事する者全てを含むものであり、また、雇用関係のある者のみならず、理事、派遣労働者等も含むものである。

「健康保険組合における個人情報保護の徹底について」(平成14年12月25日保発第1225001号)では、健康保険組合に対して、服務規程等において、健康
保険組合の役職員について職員の守秘義務を課すこととしている。

## ③委託者の監督

健保組合等は、個人データの取扱いの全部又は一部を委託する場合、委託先において当該個人データの安全管理措置が適切に講じられるよう、「適切な委託先の選定」「安全管理措置の遵守事項を含む委託契約の締結」「委託先における個人データ取扱状況の把握」により、委託先に関して必要かつ適切な管理、監督をしなければならない。

## （２）安全管理措置として考えられる事項

健保組合等は、その取り扱う個人データの重要性に鑑み、個人データの漏えい、滅失又は毀損の防止その他の安全管理のため、その規模、従業者の様態等を勘案して、以下に示すような取組を参考に、必要な措置を行うものとする。

また、同一健康保険組合が複数の事務所（支部）を有する場合、当該事務所（支部）間の情報交換については第三者提供に該当しないが、各事務所（支部）ごとに安全管理措置を講ずるなど、個人情報の利用目的を踏まえた個人情報の安全管理を行う。

## ①個人情報保護に関する規程の整備、公表

・健保組合等は、保有個人データの開示手順を定めた規程その他個人情報保護に関する規程を整備し、苦情への対応体制も含めて、健保組合等のホームページへの掲載のほか、パンフレットの配布、事業所担当窓口や健保組合等の掲示板への掲示・備付け、公告等を行うなど、被保険者等に対して周知徹底を図る。

・また、個人データを取り扱う情報システムの安全管理措置に関する規程等についても同様に整備を行うこと。

## ②個人情報保護推進のための組織体制等の整備

・従業者の責任体制の明確化を図り、具体的な取組を進めるため、健保組合等における個人情報保護に関し十分な知識を有する者を個人データの安全管理の実施及び運用に関する責任及び権限を有する個人情報取扱責任者（例えば、役員などの組織横断的に監督することのできる者）、個人情報管理担当者又は情報システム監査責任者等として定めたり、個人情報保護の推進を図るための部署、委員会等を設置する。

・健保組合等で行っている個人データの安全管理措置について定期的に自己評価を行い、見直しや改善を行うべき事項について適切な改善を行う。

・情報システム監査責任者は、個人情報保護対策の徹底に関して監査を行い、必要に応じ、個人情報保護対策及び最新の技術動向を踏まえた情報セキュリティ対策に十分な知見を有する者による事業所内の対応の確認（外部の知見を有する者を活用し確認させることを含む。）を実施する。

## ③個人データの漏えい等の問題が発生した場合等における報告連絡体制の整備

・1）個人データの漏えい等の事故が発生した場合、又は発生の可能性が高いと判断し