Silviase/jgov_v1.4_full_ann huggingface dataset:
### 6. 匿名加工情報（法第2条第6項）

## (定義)

## 法第二条

6 この法律において「匿名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。

一 第一項第一号に該当する個人情報 当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

二 第一項第二号に該当する個人情報 当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

「匿名加工情報」とは、個人情報を個人情報の区分に応じて定められた措置を講じて特定の個人を識別することができないように加工して得られる個人に関する情報であって、当該個人情報を復元して特定の個人を再識別することができないようにしたものをいう。

## 【匿名加工情報のポイント】

個人情報から匿名加工情報を作成する場合には、法第43条第1項に規定する規則で定める基準に従って加工する等一定の制限を受けることとなる。詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」（平成28年個人情報保護委員会告示第9号）を参照のこと。

## 匿名加工情報取扱事業者（法第16条第6項関係）

匿名加工情報取扱事業者の定義については、別途定める「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」（平成28年個人情報保護委員会告示第9号）を参照のこと。

## (参考)

## (定義)

## 法第十六条

6 この章、第六章及び第七章において「匿名加工情報取扱事業者」とは、匿名加工情報を含む情報の集合物であって、特定の匿名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の匿名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第四十三条第一項において「匿名加工情報データベース等」という。）を事業の用に供している者をいう。ただし、第二項各号に掲げる者を除く。
令第七条 法第十六条第六項の政令で定めるものは、同項に規定する情報の集合物に含まれる匿名加工情報を一定の規則に従って整理することにより特定の匿名加工情報を容易に検索することができるように体系的に構成したものであって、目次、索引その他検索を容易にするためのものを有するものをいう。

7．個人情報データベース等（法第16条第1項）、個人データ（法第16条第3項）、保有個人データ（法第16条第4項）

## (定義)

法第十六条 この章及び第八章において「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるもの（利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものを除く。）をいう。

一 特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの

二 前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの

令第四条 法第十六条第一項の利用方法からみて個人の権利利益を害するおそれが少

ないものとして政令で定めるものは、次の各号のいずれにも該当するものとする。

一 不特定かつ多数の者に販売することを目的として発行されたものであって、かつ、

その発行が法又は法に基づく命令の規定に違反して行われたものでないこと。

ニーン不特定かつ多数の者により随時に購入することができ、又はできたものであること。

三 生存する個人に関する他の情報を加えることなくその本来の用途に供しているものであること。

2 法第十六条第一項第二号の政令で定めるものは、同項に規定する情報の集合物に含まれる個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成したものであって、目次、索引その他検索を容易にするためのものを有するものをいう。

「個人情報データベース等」とは、特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した個人情報を含む情報の集合体、又はコンピュータを用いていない場合であっても、紙面で処理した個人情報を一定の規則（例えば、五十音順、生年月日順など）に従って整理・分類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものをいう。
ない。

なお、個人情報の取扱いに関して同意したことによって生ずる結果について、未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力を有していないなどの場合は、親権者や法定代理人等から同意を得る必要がある。

【本人の同意を得ている事例】

事例 1）本人からの同意する旨の口頭による意思表示

事例2）本人からの同意する旨の書面（電磁的記録を含む。）の受領

事例 3）本人からの同意する旨のメールの受信

事例 4）本人による同意する旨の確認欄へのチェック

事例 5）本人による同意する旨のホームページ上のボタンのクリック

事例 6）本人による同意する旨の音声入力、タッチパネルへのタッチ、ボタンやスイッチ等による入力

法は、個人情報の目的外利用や第三者提供の場合には、原則として本人の同意を得ることを求めている。これは、法の基本となるOECD8原則のうち、利用制限の原則の考え方の現れであるが、国保組合については、被保険者等に適切な保険給付等を提供する目的のために、当該国保組合において、通常必要と考えられる個人情報の利用範囲を国保組合のホームページへの掲載のほか、パンフレットの配布、掲示板への掲示・備付けや公告等により明らかにしておき、このうち、被保険者の利益になるもの又は必ずしも利益になるものではないが医療費通知など国保組合の負担が膨大である上必ずしも被保険者本人にとって合理的であるとは言えないものについては、被保険者から特段明確な反対・留保の意思表示がない場合には、これらの範囲内での個人情報の利用について同意が得られているものと考えられる。（Ⅲ7.（3）（4）参照）

なお、これらの場合において被保険者の理解力、判断力などに応じて、可能な限り被保険者等本人に通知し、同意を得るよう努めることが重要である。

【要配慮個人情報における本人の同意について】

国保組合が要配慮個人情報を書面又は口頭等により本人から適正に直接取得する場合は、本人が当該情報を提供したことをもって、当該国保組合が当該情報を取得することについて本人の同意があったものと解される。
## Ⅲ 国保組合の義務等

1．利用目的の特定等（法第17条、第18条）

1. 利用目的の特定等（法第17条、第18条）
（利用目的の特定）
法第十七条 個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。
2. 個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。
（利用目的による制限）
法第十八条 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
2. 個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
3. 前二項の規定は、次に掲げる場合については、適用しない。
一 法令（条例を含む。以下この章において同じ。）に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
五 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下この章において「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
六 学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

## （１）利用目的の特定及び制限

国保組合が保険給付等を希望する被保険者から個人情報を取得する場合、当該個人情報を被保険者に対する保険給付等の提供、国保組合の保険給付等に係る事務や番号法に基づく個人番号の利用などで利用することは被保険者にとって明らかと考えられる。

これら以外で個人情報を利用する場合は、被保険者にとって必ずしも明らかな利用目的とはいえない。この場合は、個人情報を取得するに当たって明確に当該利用目的の公表等の措置が講じられなければならない。（Ⅲ3．参照）

国保組合の通常の業務で想定される利用目的は別表2に例示されるものであり、国保
組合は、これらを参考として、自らの業務に照らして通常必要とされるものを特定して公表しなければならない。(Ⅲ3．参照)

なお、別表2に掲げる利用目的の範囲について法第17条第2項に定める利用目的の変更を行う場合、変更された利用目的については、本人へ通知又は公表しなければならない。(Ⅲ3．参照)

## （２）利用目的による制限の例外

国保組合は、あらかじめ本人の同意を得ないで法第17条の規定により特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならないが（法第18条第1項）、同条第3項に掲げる場合については、本人の同意を得る必要はない。具体的な例としては以下のとおりである。

## ①法令（条例を含む。）に基づく場合

国民健康保険法第106条に基づく報告の徴収等、その他法令に基づいて個人情報を利用する場合

根拠となる法令の規定としては、一般に刑事訴訟法第218条（令状による捜査）、地方税法第72条の63（個人の事業税に関する調査に係る質問検査権、各種税法に類似の規定あり）等が考えられる。

これらの法令は強制力を伴って回答が義務づけられるため、国保組合は捜査等が行われた場合、回答する義務が生じる。

また、刑事訴訟法第197条第2項（捜査に必要な取調べ）等については、法の例外規定の対象であるが、当該法令において任意協力とされており、国保組合は取調べ等が行われた場合、回答するか否かについて個別の事例ごとに判断する必要がある。この場合、本人の同意を得ずに個人情報を取扱ったとしても、法第18条違反とはならないが、当該本人からの民法に基づく損害賠償請求等を求められるおそれがある。

②人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき

(例)

・意識不明となった被保険者について、家族の連絡先等に関する情報を医療機関等に提供する場合

③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき

(例)

• 疫学上の調査・研究のために、健康診査やがん検診等から得られた情報を個人名を伏せて研究者に提供する場合

・医療安全の向上のため、国保組合にレセプトを提出する医療機関で発生した医療事故等に関する国、地方公共団体又は第三者機関等に対し情報提供するために個人情
④国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき

## (例)

・事業者が警察の任意の求めに応じて個人情報を取り扱う場合

・一般統計調査や地方公共団体が行う統計調査において個人情報を取り扱う場合

⑤当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

「学術研究機関等」とは、大学その他の学術研究を目的とする機関若しくは団体（大学、学会）又はそれらに属する者をいい、国保組合はこれに当たらない。

## 【法の規定により遵守すべき事項等】

・国保組合は、個人情報を取り扱うに当たって、その利用目的をできる限り特定しなければならない。

・国保組合は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。

・国保組合は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない。なお、本人の同意を得るために個人情報を利用すること（同意を得るために被保険者の連絡先を利用して電話をかける場合など）、個人情報を匿名加工情報及び仮名加工情報に加工することは差し支えない。

・個人情報を取得する時点で、本人の同意があったにもかかわらず、その後、本人から利用目的の一部についての同意を取り消す旨の申出があった場合は、その後の個人情報の取扱いについては、本人の同意が取り消されなかった範囲に限定して取り扱う。

・国保組合は、合併その他の事由により他の事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。

・利用目的の制限の例外（法第18条第3項）に該当する場合は、本人の同意を得ずに個人情報を取り扱うことができる。

(利用目的を変更する場合の取扱いについてはⅢ3．を参照)

## 【その他の事項】

・利用目的の制限の例外に該当する「法令に基づく場合」等であっても、利用目的以外の目的で個人情報を取り扱う場合は、当該法令等の趣旨をふまえ、その取り扱う範囲を真に必要な範囲に限定することが求められる。

・被保険者が未成年者等の場合、法定代理人の同意を得ることで足りるが、一定の判断
## 2 ．不適正な利用の禁止（法第19条）

(不適正な利用の禁止)

法第十九条 個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。

## 【法の規定により遵守すべき事項等】

・国保組合は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。

「違法又は不当な行為」とは、法その他の法令に違反する行為、及び直ちに違法とはいえないものの、法その他の法令の制度趣旨又は公序良俗に反する等、社会通念上適正とは認められない行為をいう。

「おそれ」の有無は、個人情報取扱事業者による個人情報の利用が、違法又は不当な行為を助長又は誘発することについて、社会通念上蓋然性が認められるか否かにより判断される。この判断に当たっては、個人情報の利用方法等の客観的な事情に加えて、個人情報の利用時点における個人情報取扱事業者の認識及び予見可能性も踏まえる必要がある。例えば、個人情報取扱事業者が第三者に個人情報を提供した場合において、当該第三者が当該個人情報を違法な行為に用いた場合であっても、当該第三者が当該個人情報の取得目的を偽っていた等、当該個人情報の提供の時点において、提供した個人情報が違法に利用されることについて、当該個人情報取扱事業者が一般的な注意力をもってしても予見できない状況であった場合には、「おそれ」は認められないと解される。

（違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例）

事例1）違法行為を営むことが疑われる事業者に対し、当該事業者の違法な行為を助長するおそれが想定されるにもかかわらず、個人情報を提供する場合

事例2）個人情報を提供した場合、提供先において法第27条第1項に違反する第三者提供がなされることを予見できるにもかかわらず、当該提供先に対して、個人情報を提供する場合

事例3）個人情報を取得した国保組合が、性別、国籍等の特定の属性のみにより、正当な理由なく本人に対する違法な差別的取扱いを行うために、個人情報を利用する場合
### 3. 利用目的の通知等（法第21条）

（取得に際しての利用目的の通知等）

法第二十一条 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

2 個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

3 個人情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。

4 前三項の規定は、次に掲げる場合については、適用しない。

一 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

二 利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合

三国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。

四 取得の状況からみて利用目的が明らかであると認められる場合

## 【法の規定により遵守すべき事項等】

・国保組合は、個人情報を取得するに当たって、あらかじめその利用目的を公表しておくか、個人情報を取得した場合、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

・利用目的の公表方法としては、国保組合のホームページへの掲載、パンフレットの配布、掲示板への掲示・備付け、公告等により、なるべく広く公表する必要がある。

・国保組合は、健診の申込みを受け付ける際に問診票の記入を求める場合など、本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を掲示板等により明示しなければならない。

・国保組合は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。

・取得の状況からみて利用目的が明らかであると認められる場合など利用目的の通知等の例外に該当する場合は、上記内容は適用しない。（「利用目的が明らか」な場合についてはⅢ1.（1）を参照）

## 【その他の事項】

・利用目的が、本規定の例外である「取得の状況からみて利用目的が明らかであると認
められる場合」に該当する場合であっても、被保険者に利用目的をわかりやすく示す観点から、利用目的の公表に当たっては、当該利用目的についても併せて記載する。

・被保険者の希望がある場合、詳細の説明や当該内容を記載した書面の交付を行う。
4. 個人情報の適正な取得、個人データ内容の正確性の確保（法第20条、第22条）（適正な取得）
法第二十条 個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。
2 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
一 法令に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
三 公衆衛生の向上又は児童の健全な育成のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
五 当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）
六 学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。）
七 当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、第五十七条第一項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合
八 その他前各号に掲げる場合に準ずるものとして政令で定める場合
規則第六条 法第二十条第二項第七号の個人情報保護委員会規則で定める者は、次の各号のいずれかに該当する者とする。
一 外国政府、外国の政府機関、外国の地方公共団体又は国際機関
二 外国において法第十六条第八項に規定する学術研究機関等に相当する者
三 外国において法第五十七条第一項各号に掲げる者に相当する者
令第九条 法第二十条第二項第八号の政令で定める場合は、次に掲げる場合とする。
一 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合
二 法第二十七条第五項各号（法第四十一条第六項の規定により読み替えて適用する場合及び法第四十二条第二項において読み替えて準用する場合を含む。）に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき。
## （データ内容の正確性の確保等）

法第二十二条 個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。

## 【法の規定により遵守すべき事項等】

・国保組合は、偽りその他の不正の手段により個人情報を取得してはならない。

・保健指導等のために必要な過去の病歴等については、真に必要な範囲について、本人から直接取得するほか、第三者提供について本人の同意を得た者（Ⅲ5.（3）の場合において本人の默示の同意が得られていると考えられる者を含む。）から取得することを原則とする。ただし、本人の同意を得ず、本人以外の家族等から取得することが保健指導等のためにやむを得ない場合はこの限りでない。

・親の同意なく、十分な判断能力を有していない子どもから家族の個人情報を取得してはならない。

・要配慮個人情報を取得する場合には、あらかじめ本人の同意を得なければならない。ただし、法第20条第2項各号に定める場合については、本人の同意を得る必要はない。

## (例)

・国民健康保険法第82条第2項に基づき、労働安全衛生法に基づく健康診断等について、事業者等から被保険者に関する健康診断に関する情報を取得する場合、法第20条第2項第1号に該当すると考えられる。

・急病その他の事態が生じたときに、本人の病歴等を国保組合に所属する医師や看護師が家族から聴取する場合、法第20条第2項第2号に該当すると考えられる。

・事業者が警察の任意の求めに応じて要配慮個人情報に該当する個人情報を提出するために、当該個人情報を取得する場合、法第20条第2項第4号に該当する可能性があると考えられる。

• なお、要配慮個人情報を、法第27条第5項各号に定める委託、事業承継又は共同利用により取得する場合は、あらかじめ本人の同意を得る必要はない。

## 【法第20条第2項に違反している事例】

本人の同意を得ることなく、法第20条第2項第7号及び規則第6条で定める者以外がインターネット上で公開している情報から本人の信条や犯罪歴等に関する情報を取得し、既に保有している当該本人に関する情報の一部として自己のデータベース等に登録すること。

・国保組合は、適正な保険給付等を提供するという利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めなければならない。

・国保組合は、保有する個人データについて利用する必要がなくなったとき、すなわち、
利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等は、当該個人データを遅滞なく消去するよう努めなければならない（※）。なお、法令の定め及び規程により保存期間等が定められている場合は、この限りではない。

（※）「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む。

## 【その他の事項】

・第三者提供により他の国保組合から個人情報を取得したとき、当該個人情報の内容に疑義が生じた場合には、記載内容の事実に関して本人に確認をとる。

・国保組合は、個人データの内容の正確性、最新性を確保するため、Ⅲ5.（2）②に示す委員会等において、具体的なルールを策定したり、データ管理等の技術水準の向上のための研修の開催などを行ったりすることが望ましい。

・第三者提供（法第27条第1項各号に掲げる場合並びに個人情報の取扱いの委託、事業の承継及び共同利用に伴い、個人情報を提供する場合を除く。）により、個人情報（令第2条第2号に規定するものから取得した個人情報を除く。）を取得する場合には、提供元の法の遵守状況（例えば、オプトアウト（法第27条第2項・第3項参照）、利用目的、開示手続、問合せ・苦情の受付窓口を公表していることなど）を確認し、個人情報を適切に管理している者を提供元として選定するとともに、実際に個人情報を取得する際には、例えば、取得の経緯を示す契約書等の書面の点検又はこれに代わる合理的な方法により、当該個人情報の取得方法等を確認した上で、当該個人情報が適法に取得されたことが確認できない場合は、偽りその他不正の手段により取得されたものである可能性もあることから、その取得を自粛することを含め、慎重に対応することが望ましい。
## 5 ．安全管理措置、従業者の監督及び委託先の監督（法第23条～第25条）

## (安全管理措置)

法第二十三条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

(従業者の監督)

法第二十四条 個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

（委託先の監督）

法第二十五条 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

## （１）国保組合が講ずるべき安全管理措置等

## ①安全管理措置

国保組合は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のため、組織的、人的、物理的及び技術的安全管理措置等を講じなければならない。また、外国において個人データを取り扱う場合には、外的環境の把握を行ったうえで、これらの安全管理措置を講じなければならない。その際、本人の個人データが漏えい、滅失又は毀損をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人データの取扱い状況等に起因するリスクに応じ、必要かつ適切な措置を講ずるものとする。なお、その際には、個人データを記録した媒体の性質に応じた安全管理措置を講ずる。

（※）「その他の個人データの安全管理のために必要かつ適切な措置」には、個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取り扱うことを予定しているものの漏えい等を防止するために必要かつ適切な措置も含まれる。そのため、当該個人データとなる前の個人情報（個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取り扱うことを予定しているもの）についても、上記の安全管理措置等を講じる必要がある。

## ②従業者の監督

国保組合は、①の安全管理措置を遵守させるよう、従業者に対し必要かつ適切な監督をしなければならない。なお、「従業者」とは、当該事業者の指揮命令を受けて業務に従事する者全てを含むものであり、また、雇用関係のある者のみならず、理事、派遣労働者等も含むものである。

「保険者における個人情報保護の徹底について」（平成15年3月14日保国発0314第1号）では、国保組合に対して、服務規程等において、国保組合の役職員に
ついて職員の守秘義務を課すこととしている。

## ③委託者の監督

国保組合は、個人データの取扱いの全部又は一部を委託する場合、委託先において当該個人データの安全管理措置が適切に講じられるよう、「適切な委託先の選定」「安全管理措置の遵守事項を含む委託契約の締結」「委託先における個人データ取扱状況の把握」により、委託先に関して必要かつ適切な管理、監督をしなければならない。

## （２）安全管理措置として考えられる事項

国保組合は、その取り扱う個人データの重要性に鑑み、個人データの漏えい、滅失又は毀損の防止その他の安全管理のため、その規模、従業者の様態等を勘案して、以下に示すような取組を参考に、必要な措置を行うものとする。

また、同一国保組合が複数の事務所（支部）を有する場合、当該事務所（支部）間の情報交換については第三者提供に該当しないが、各事務所（支部）ごとに安全管理措置を講するなど、個人情報の利用目的を踏まえた個人情報の安全管理を行う。

## ①個人情報保護に関する規程の整備、公表

・国保組合は、保有個人データの開示手順を定めた規程その他個人情報保護に関する規程を整備し、苦情への対応体制も含めて、国保組合のホームページへの掲載、パンフレットの配布、掲示板への掲示・備付け、公告等を行うなど、被保険者に対して周知徹底を図る。

・また、個人データを取り扱う情報システムの安全管理措置に関する規程等についても同様に整備を行うこと。

## ②個人情報保護推進のための組織体制等の整備

・従業者の責任体制の明確化を図り、具体的な取組を進めるため、国保組合における個人情報保護に関し十分な知識を有する者を個人データの安全管理の実施及び運用に関する責任及び権限を有する個人情報取扱責任者（例えば、役員などの組織横断的に監督することのできる者）、個人情報管理担当者又は情報システム監査責任者等として定めたり、個人情報保護の推進を図るための部署、委員会等を設置する。

・国保組合で行っている個人データの安全管理措置について定期的に自己評価を行い、見直しや改善を行うべき事項について適切な改善を行う。

・個人情報保護対策及び最新の技術動向を踏まえた情報セキュリティ対策に十分な知見を有する者による事業所内の対応の確認（外部の知見を有する者を活用し確認させることを含む。）を実施する。

## ③個人データの漏えい等の問題が発生した場合等における報告連絡体制の整備

・1）個人データの漏えい等の事故が発生した場合、又は発生の可能性が高いと判断した場合、2）個人データの取扱いに関する規程等に違反している事実が生じた場合、又は兆候が高いと判断した場合における責任者等への報告連絡体制の整備を行う。
・個人データの漏えい等の情報は、苦情等の一環として、外部から報告される場合も想定されることから、苦情への対応体制との連携も図る。（Ⅲ15．参照）

④雇用契約時における個人情報保護に関する規程の整備

・雇用契約や就業規則において、就業期間中はもとより離職後も含めた守秘義務を課すなど従業者の個人情報保護に関する規程を整備し、徹底を図る。

## ⑤従業者に対する教育研修の実施

・取り扱う個人データの適切な保護が確保されるよう、従業者に対する教育研修の実施等により、個人データを実際の業務で取り扱うこととなる従業者の啓発を図り、従業者の個人情報保護意識を徹底する。

## ⑥物理的安全管理措置

・個人データの盗難・紛失等を防止するため、以下のような物理的安全管理措置を行う。

一入退館（室）管理の実施（カメラによる撮影や作業への立会い等による記録又は監視の実施）

一盗難等に対する予防対策の実施

一機器、装置等の固定など物理的な保護

一記録機能を持つ媒体の持込み・持出し禁止又は検査の実施

一記録機能を持つ媒体の接続の禁止又は制限

一離席時等におけるパソコン等のパスワードロックの実施

## ⑦技術的安全管理措置

・個人データの盗難・紛失等を防止するため、「個人情報の適切な取扱いに係る基幹システムのセキュリティ対策の強化について（再要請）」（平成27年12月18日老発1218第1号・保発1218第1号）の主旨に則り、個人データを取り扱う情報システムについて以下のような技術的安全管理措置を行う。

一個人データに対するアクセス管理（IDやパスワード等による認証、各職員の業務内容に応じて業務上必要な範囲にのみアクセスできるようなシステム構成の採用等）

一個人データに対するアクセス記録の保存

一個人データに対するファイアウォールの設置

一個人データに対する暗号化・パスワードの設定

一個人データへのアクセスや操作の記録及び不正が疑われる異常な記録の存否の定期的な確認

一基幹システムに接続されたネットワークとインターネットに接続されたネットワークの物理的又は論理的分離

ーソフトウェアに関する脆弱性対策（セキュリティパッチの適用、当該情報システム固有の脆弱性の発見及びその修正等）

ーソフトウェア及びハードウェア等の必要かつ適切な時期における更新
## ⑧個人データの保存

• 個人データを長期にわたって保存する場合には、保存媒体の劣化防止など個人データが消失しないよう適切に保存する。

• 個人データの保存に当たっては、本人からの照会等に対応する場合など必要なときに迅速に対応できるよう、インデックスの整備など検索可能な状態で保存しておく。

## ⑨不要となった個人データの廃棄、消去

・不要となった個人データを廃棄する場合には、焼却や溶解など、個人データを復元不可能な形にして廃棄する。

・個人データを取り扱った情報機器を廃棄する場合は、記憶装置内の個人データを復元不可能な形に消去して廃棄する。

・これらの廃棄業務を委託する場合には、個人データの取扱いについても委託契約において明確に定める。

## （３）業務を委託する場合の取扱い

## ①委託先の監督

国保組合は、レセプトの入力・点検業務、資格確認書の作成、人間ドック等の健診、保健指導等個人データの取扱いの全部又は一部を委託する場合、法第23条に基づく安全管理措置を遵守させるよう受託者に対し、必要かつ適切な監督をしなければならない。

「必要かつ適切な監督」には、委託契約において委託者である事業者が定める安全管理措置の内容を契約に盛り込み受託者の義務とするほか、業務が適切に行われていることを定期的に確認することなども含まれる。

また、業務が再委託された場合で、再委託先が不適切な取扱いを行ったことにより、問題が生じた場合は、国保組合や再委託した事業者が責めを負うこともあり得る。

## ②業務を委託する場合の留意事項

国保組合等は、個人データの取扱いの全部又は一部を委託する場合、以下の事項に留意すべきである。

• 個人情報を適切に取り扱っている事業者を委託先（受託者）として選定すること。委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第23条で求められているものと同様であることを確認するため、委託先の体制、規程等の確認に加え、必要に応じて個人データを取り扱う場所に赴く又はこれに代わる合理的な方法による確認を行った上で、個人情報取扱責任者等が、適切に評価することが望ましい。

・契約において、委託している業務の内容、委託先事業者、個人情報の適切な取扱いに関する内容を盛り込み（委託期間中のほか、委託終了後の個人データの取扱いも含む。）、契約内容を公表すること。

・受託者が個人情報を適切に取り扱っていることを定期的に確認すること。

・受託者における個人情報の取扱いに疑義が生じた場合（被保険者等からの申出があ
り、確認の必要があると考えられる場合を含む。）には、受託者に対し、説明を求め、必要に応じ改善を求める等適切な措置をとること。

・また、委託するに当たっては、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないよう努めること。

## *国保組合における業者委託に関する通知

上記の留意事項のほか、業者委託に関する通知を遵守する。

・「個人情報保護の徹底について」(平成14年12月25日保発1225第3号)

・「保険者における個人情報保護の徹底について」（平成15年3月14日保国発0314第1号）の別添2「4．個人情報の処理に関する外部委託に関する措置」

## ③業務を再委託する場合の留意事項

国保組合は、個人情報に関する処理の全部又は一部を再委託する場合、以下の事項に留意すべきである。

• 個人情報を含む業務を再委託すること自体は禁じられてはいないが、国保組合との直接の契約関係を伴わない個人情報に関する処理の再委託は行わないこと。（「保険者における個人情報保護の徹底について」(平成15年3月14日保国発0314第1号）の別添2「4．個人情報の処理に関する外部委託に関する措置）

なお、個人情報を含む業務の再委託や個人情報に関する処理の再委託をする場合には、個人情報保護の観点から、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないよう努めること。

この場合において、国保組合は第一次委託先と委託契約を締結するに当たっては、第一次委託先が、上記通知の基準に掲げる事項を遵守するよう委託契約上明記することはもちろんのこと、これに加え、再委託の可否及び再委託を行うに当たっての委託元への文書による事前報告又は承認を行うことや当該再委託契約上、再委託先に対して、同通知の基準に掲げる事項を遵守することを明記するよう、第一次委託契約上明記すること。

なお、第一次委託先が再委託を行おうとする場合は、国保組合は委託を行う場合と同様、再委託の相手方、再委託する業務内容及び再委託先の個人データの取扱方法等について、第一次委託先に事前報告又は承認手続を求める、直接又は第一次委託先を通じて定期的に監査を実施する等により、第一次委託先が再委託先に対して本条の第一次委託先の監督を適切に果たすこと、再委託先が法第23条に基づく安全管理措置を講することを十分に確認することが望ましい。

（4）レセプトの紙以外の媒体による保存等又はそれらの外部委託を行う場合の取扱い

国保組合において、レセプトの紙以外の媒体による保存又はレセプトの電算処理及び

それらの外部委託を行う場合には、国保組合において、その運営及び委託等の取扱いに
ついて安全性が確保されるよう規程を定め、実施するものとする。

## 【法の規定により遵守すべき事項等】

・国保組合は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他個人データの安全管理のために必要かつ適切な措置を講じなければならない。

・国保組合は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

・国保組合は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

## 【その他の事項】

・国保組合は、安全管理措置に関する取組を一層推進するため、安全管理措置が適切であるかどうかを一定期間ごとに検証するほか、必要に応じて外部機関による検証を受けることで、改善を図ることが望ましい。
五 二次被害又はそのおそれの有無及びその内容

六 本人への対応の実施状況

七 公表の実施状況

八 再発防止のための措置

九 その他参考となる事項

2 前項の場合において、個人情報取扱事業者は、当該事態を知った日から三十日以内（当該事態が前条第三号に定めるものである場合にあっては、六十日以内）に、当該事態に関する前項各号に定める事項を報告しなければならない。

3 法第二十六条第一項本文の規定による報告は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める方法により行うものとする。

一個人情報保護委員会に報告する場合　電子情報処理組織(個人情報保護委員会の使用に係る電子計算機と報告をする者の使用に係る電子計算機とを電気通信回線で接続した電子情報処理組織をいう。以下この項において同じ。)を使用する方法（電気通信回線の故障、災害その他の理由により電子情報処理組織を使用することが困難であると認められる場合にあっては、別記様式第一による報告書を提出する方法）

二 法第百五十条第一項の規定により、法第二十六条第一項の規定による権限の委任を受けた事業所管大臣に報告する場合　別記様式第一による報告書を提出する方法（当該事業所管大臣が別に定める場合にあっては、その方法）

規則第九条 個人情報取扱事業者は、法第二十六条第一項ただし書の規定による通知をする場合には、第七条各号に定める事態を知った後、速やかに、前条第一項各号に定める事項を通知しなければならない。

規則第十条 個人情報取扱事業者は、法第二十六条第二項本文の規定による通知をする場合には、第七条各号に定める事態を知った後、当該事態の状況に応じて速やかに、

当該本人の権利利益を保護するために必要な範囲において、第八条第一項第一号、第二号、第四号、第五号及び第九号に定める事項を通知しなければならない。

個人データ（※）の「漏えい」とは、個人データが外部に流出すること、「滅失」とは個人データの内容が失われること、「毀損」とは個人データの内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となることをいう。

個人データの漏えい等やそのおそれのある事案（以下「漏えい等事案」という。）が発覚した場合は、規則で定めるところにより、個人情報保護委員会への報告等を行わなければならない。

（※）規則第7条は、法第26条第1項に基づく漏えい等の報告の対象となる事態について定めているところ、規則第7条に規定する「個人データ」とは、個人情報取扱事業者が取り扱う個人データをいう。ただし、同条第3号に規定する「個人データ」には、「当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているもの」が含まれる。そのため、同号に定める事態との関係では、本6.における「個人データ」は、個人情報取扱事業者が取り扱う個人データに加え、「当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているもの」を含む。
【法の規定により遵守すべき事項等】

・国保組合等において、漏えい等事案が発覚した場合には、当該事案の内容等に応じて、次の①～⑤に掲げる事項について必要な措置を講じなければならない。

①国保組合内部における報告及び被害の拡大防止

②事実関係の調査及び原因の究明

③影響範囲の特定

④再発防止策の検討及び実施

⑤個人情報保護委員会への報告及び本人への通知
の使用に係る電子計算機とを電気通信回線で接続した電子情報処理組織をいう。)を使用する方法

二 別記様式第二（法第二十七条第三項の規定による個人データの提供をやめた旨の届出を行う場合にあっては、別記様式三）による届出書及び当該届出書に記載すべき事項を記録した光ディスク（これに準ずる方法により一定の事項を確実に記録しておくことができる物を含む。以下「光ディスク等」という。）を提出する方法

3 個人情報取扱事業者が、代理人によって法第二十七条第二項又は第三項の規定による届出を行う場合には、別記様式第四によるその権限を証する書面（電磁的記録を含む。第十七条第一項、第十八条第二項、第三十条、第四十七条第一項、第四十八条第二項、第五十四条第二項、第六項及び第七項、第六十条並びに第六十六条第二項を除き、以下同じ。）を個人情報保護委員会に提出しなければならない。

4 法第二十七条第二項第八号の個人情報保護委員会規則で定める事項は、次に掲げる事項とする。

一 第三者に提供される個人データの更新の方法

二 当該届出に係る個人データの第三者への提供を開始する予定日

規則第十三条 法第二十七条第四項の規定による公表は、同条第二項又は第三項の規定による届出があった後、遅滞なく、インターネットの利用その他の適切な方法により行うものとする。

規則第十四条 個人情報取扱事業者は、法第二十七条第四項の規定による公表がされた後、速やかに、インターネットの利用その他の適切な方法により、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項を公表するものとする。

一 法第二十七条第二項の規定による届出を行った場合 同項各号に掲げる事項

二 法第二十七条第三項の規定による変更の届出を行った場合 変更後の同条第二項各号に掲げる事項

三 法第二十七条第三項の規定による個人データの提供をやめた旨の届出を行った場合 その旨

## （１）第三者提供の取扱い

国保組合は、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならないとされており、次のような場合には、本人の同意を得る必要がある。

## (例)

## ・民間保険会社からの照会

被保険者が民間の生命保険に加入しようとする場合、生命保険会社からその健康状態等について照会があった場合、本人の同意を得ずに健康状態等を回答してはならない。

交通事故によって、けがの治療を受けている被保険者等に関して、損害保険会社から損害保険金の支払いの審査のために必要であるとして症状に関する照会があった場合、本人の同意を得ず傷病名等を回答してはならない。

## ・事業所からの照会
事業主等から、組合員の傷病名等に関する問合せがあった場合など、本人の同意を得ずに傷病名等を回答してはならない。

## • 学校からの照会

学校の教職員等から、児童・生徒の健康状態に関する問合せがあった場合など、本人の同意を得ずに健康状態等を回答してはならない。

・マーケティング等を目的とする会社等からの照会

健康食品の販売を目的とする会社から、高血圧の被保険者等の存在の有無について照会された場合など、本人の同意を得ずにその存在の有無やその氏名・住所等を回答してはならない。

## ※ 本条の「本人」、「第三者」の定義

・「本人」・・・個人データで識別される個人。

・「第三者」・・・本人及び個人情報取扱事業者以外の者をいい、自然人か法人その他の団体かを問わない。

## （２）第三者提供の例外

ただし、次に掲げる場合については、本人の同意を得る必要はない。

①法令（条例を含む。）に基づく場合

国民健康保険法第106条に基づく報告の徴収等、その他法令に基づいて個人情報を利用する場合（Ⅲ1.（2）①参照）

②人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき

(例)

・意識不明となった被保険者等について、家族の連絡先等に関する情報を医療機関等に提供する場合

※なお、「本人の同意を得ることが困難であるとき」には、本人に同意を求めても同意しない場合、本人に同意を求める手続きを経るまでもなく本人の同意を得ることができない場合等が含まれるものである。

③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき

(例)

・疫学上の調査・研究のために、健康診査やがん検診等から得られた情報を個人名を伏せて研究者に提供する場合

・医療安全の向上のため、国保組合にレセプトを提出する医療機関で発生した医療事故等に関する国、地方公共団体又は第三者機関等への情報提供のうち、氏名等の情
## 報が特に必要な場合

④国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき

⑤個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）

⑥個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）(当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。)

⑦第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）

・学術研究機関等が、国保組合等の保有する個人データを学術研究目的で取り扱う必要がある場合

（３）本人の同意が得られていると考えられる場合

第三者への情報の提供のうち、以下の場合は、黙示による包括的な同意が得られていると考えられる。

・被保険者への保険給付等のために通常必要な範囲の利用目的のうち、被保険者等にとって利益となるもの、又は医療費通知など国保組合の負担が膨大である上明示的な同意を毎回得ることが必ずしも被保険者本人にとって合理的であるとは言えないものの利用の範囲について、ホームページへの掲載、パンフレットの配布、掲示板への掲示・備付けや公告等により明らかにしておき、被保険者から特段明確な反対・留保の意思表示がない場合

なお、ホームページ・掲示板等においては、

(⑦) 被保険者は、国保組合が示す利用目的の中で同意しがたいものがある場合には、その事項について、あらかじめ本人の明確な同意を得るよう国保組合に求めることができること。

(イ) 被保険者が、(ヨ) の意思表示を行わない場合は、公表された利用目的について被保険者の同意が得られたものとすること。

(ゥ)同意及び留保は、その後、被保険者からの申出により、いつでも変更することが
可能であること。

をあわせて掲示するものとする。

※黙示による包括的な同意でよいと考えられる例

・医療費通知を世帯ごとにまとめて行うこと

## （４）「第三者」に該当しない場合

①他の事業者等への情報提供であるが、「第三者」に該当しない場合

法第27条第5項各号に掲げる場合の当該個人データの提供を受ける者については、第三者に該当せず、本人の同意を得すに情報の提供を行うことができる。国保組合における具体的事例は以下のとおりである。

・レセプト点検、保健指導等の業務を委託する場合

・個人データを特定の者との間で共同して利用するとして、あらかじめ本人に通知等している場合

## ※個人データの共同での利用における留意事項

国保組合と労働安全衛生法に規定する事業者が共同で健康診断を実施している場合又は共同で健診結果を用いて事後指導を実施している場合など、あらかじめ個人データを特定の者との間で共同して利用することが予定されている場合、(Ⅴ)共同して利用される個人データの項目、(Ⅵ)共同利用者の範囲（個別列挙されているか、本人から見てその範囲が明確となるように特定されている必要がある）、(Ⅶ)利用する者の利用目的、(Ⅸ)当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名、をあらかじめ本人に通知し、又は本人が容易に知り得る状態においておくとともに、共同して利用することを明らかにしている場合には、当該共同利用者は第三者に該当しない。

この場合、(ア)、(イ)については変更することができず、(ゆ)、(Ⅰ)については、本人が想定することが困難でない範囲内で変更することができ、変更前、本人に通知又は本人の容易に知り得る状態におかなければならない。

## ②同一事業者内における情報提供であり、第三者に該当しない場合

同一事業者内で情報提供する場合は、当該個人データを第三者に提供したことにはならないので、本人の同意を得ずに情報の提供を行うことができる。国保組合における具体的事例は以下のとおりである。

・国保組合内の他の部署との連携など当該国保組合内部における情報の交換

・国保組合内の複数の事務所（支部）との間における情報の交換及び事務所（支部）間における情報の交換

・国保組合の職員を対象とした研修での利用（特定し、公表した利用目的との関係で、
目的外利用として所要の措置を行う必要があり得る）

・国保組合内で事業分析を行うための情報の交換

このうち、国保組合内部の研修でレセプトや健診記録等を利用する場合には、具体的な利用方法を含め、あらためて本人の同意を得るか、個人が特定されないよう匿名加工情報又は仮名加工情報に加工する。

## （５）その他留意事項

## ・他の事業者への情報提供に関する留意事項

第三者提供を行う場合のほか、他の事業者への情報提供であっても、①法令に基づく場合など第三者提供の例外に該当する場合、②「第三者」に該当しない場合、③個人が特定されないように匿名加工情報に加工して情報提供する場合などにおいては、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないようにすべきである。

また、被保険者と医師等双方の二面性を持っている個人情報を第三者提供するに当たっては、双方の同意が必要となるが、一方の同意のみで第三者提供する場合は、他方の個人情報に係る部分をマスキングした上で行うこと。

## 【法の規定により遵守すべき事項等】

・国保組合においては、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。なお、国保組合については、（2）の本人の同意を得る必要がない場合に該当する場合には、本人の同意を得る必要はない。

• 個人データの第三者提供について本人の同意があった場合で、その後、本人から第三者提供の範囲の一部についての同意を取り消す旨の申出があった場合は、その後の個人データの取扱いについては、本人の同意のあった範囲に限定して取り扱うものとする。

## 【その他の事項】

・第三者提供に該当しない情報提供が行われる場合であっても、国保組合のホームページへの掲載、パンフレットの配布、掲示板への掲示・備付け、公告等により情報提供先をできるだけ明らかにするとともに、このことについて被保険者からの問合せがあった場合に回答できる体制を確保する。

・例えば、業務委託の場合、当該国保組合において委託している業務の内容、委託先事業者、委託先事業者との間での個人情報の取扱いに関する取り決め等の委託内容について公表する。