Silviase/jgov_v1.4_full_ann huggingface dataset:
目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等は、当該個人データを遅滞なく消去するよう努めなければならない（※）。なお、法令の定め及び規程により保存期間等が定められている場合は、この限りではない。

（※）「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む。

## 【その他の事項】

・第三者提供により他の国保連合会等から個人情報を取得したとき、当該個人情報の内容に疑義が生じた場合には、記載内容の事実に関して本人に確認をとる。（国保連合会等は保険者から委託を受けている業務の場合には、国保連合会等が被保険者本人に直接確認をとるのではなく、保険者が被保険者本人に確認をとるべきである。）

・国保連合会等は、個人データの内容の正確性、最新性を確保するため、Ⅲ4.（2）②に示す委員会等において、具体的なルールを策定したり、データ管理等の技術水準の向上のための研修の開催などを行うことが望ましい。

第三者提供（法第23条第1項各号に掲げる場合並びに個人情報の取扱いの委託、事業の承継及び共同利用に伴い、個人情報を提供する場合を除く。）により、個人情報（令第2条第2号に規定するものから取得した個人情報を除く。）を取得する場合には、提供元の法の遵守状況（例えば、オプトアウト（法第23条第2項・第3項参照）、利用目的、開示手続、問合せ・苦情の受付窓口を公表していることなど）を確認し、個人情報を適切に管理している者を提供元として選定するとともに、実際に個人情報を取得する際には、例えば、取得の経緯を示す契約書等の書面の点検又はこれに代わる合理的な方法により、当該個人情報の取得方法等を確認した上で、当該個人情報が適法に取得されたことが確認できない場合は、偽りその他不正の手段により取得されたものである可能性もあることから、その取得を自粛することを含め、慎重に対応することが望ましい。

## 4 ．安全管理措置、従業者の監督及び委託先の監督（法第20条～第22条）

## (安全管理措置)

法第二十条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

(従業者の監督)

法第二十一条 個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

## （委託先の監督）

法第二十二条 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

## 【その他の事項】

・第三者提供により他の国保連合会等から個人情報を取得したとき、当該個人情報の内容に疑義が生じた場合には、記載内容の事実に関して本人に確認をとる。（国保連合会等は保険者から委託を受けている業務の場合には、国保連合会等が被保険者本人に直接確認をとるのではなく、保険者が被保険者本人に確認をとるべきである。）

・国保連合会等は、個人データの内容の正確性、最新性を確保するため、Ⅲ4.（2）②に示す委員会等において、具体的なルールを策定したり、データ管理等の技術水準の向上のための研修の開催などを行うことが望ましい。

第三者提供（法第23条第1項各号に掲げる場合並びに個人情報の取扱いの委託、事業の承継及び共同利用に伴い、個人情報を提供する場合を除く。）により、個人情報（令第2条第2号に規定するものから取得した個人情報を除く。）を取得する場合には、提供元の法の遵守状況（例えば、オプトアウト（法第23条第2項・第3項参照）、利用目的、開示手続、問合せ・苦情の受付窓口を公表していることなど）を確認し、個人情報を適切に管理している者を提供元として選定するとともに、実際に個人情報を取得する際には、例えば、取得の経緯を示す契約書等の書面の点検又はこれに代わる合理的な方法により、当該個人情報の取得方法等を確認した上で、当該個人情報が適法に取得されたことが確認できない場合は、偽りその他不正の手段により取得されたものである可能性もあることから、その取得を自粛することを含め、慎重に対応することが望ましい。

## 4 ．安全管理措置、従業者の監督及び委託先の監督（法第20条～第22条）

## (安全管理措置)

法第二十条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

## (従業者の監督)

法第二十一条 個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

## （委託先の監督）

法第二十二条 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
(1) 国保連合会等が講するべき安全管理措置等
①安全管理措置
国保連合会等は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のため、組織的、人的、物理的、及び技術的安全管理措置等を講じなければならない。その際、本人の個人データが漏えい、滅失又はき損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人データの取扱い状況等に起因するリスクに応じ、必要かつ適切な措置を講するものとする。なお、その際には、個人データを記録した媒体の性質に応じた安全管理措置を講する。
②従業者の監督
国保連合会等は、①の安全管理措置を遵守させるよう、従業者に対し必要かつ適切な監督をしなければならない。なお、「従業者」とは、当該事業者の指揮命令を受けて業務に従事する者全てを含むものであり、また、雇用関係のある者のみならず、理事、派遣労働者等も含むものである。
「国民健康保険団体連合会における個人情報保護の徹底について」（平成15年3月14日国民健康保険課長通知）では、国保連合会等に対して、服務規程等において、国保連合会の役職員について職員の守秘義務を課すことしている。
③委託者の監督
国保連合会等は、個人データの取扱いの全部又は一部を委託する場合、委託先において当該個人データの安全管理措置が適切に講じられるよう、「適切な委託先の選定」「安全管理措置の遵守事項を含む委託契約の締結」「委託先における個人データ取扱状況の把握」により、委託先に関して必要かつ適切な管理、監督をしなければならない。
(2) 安全管理措置として考えられる事項
国保連合会等は、その取り扱う個人データの重要性に鑑み、個人データの漏えい、滅失又はき損の防止その他の安全管理のため、その規模、従業者の様態等を勘案して、以下に示すような取組を参考に、必要な措置を行うものとする。
また、同一国保連合会が複数の事務所等を有する場合、当該事務所等の間の情報交換については第三者提供に該当しないが、各事務所等ごとに安全管理措置を講するなど、個人情報の利用目的を踏まえた個人情報の安全管理を行う。
①個人情報保護に関する規程の整備、公表
·国保連合会等は、保有個人データの開示手順を定めた規程その他個人情報保護に関する規程を整備し、苦情への対応体制も含めて、国保連合会等のホームページへの掲載、パンフレットの配布、掲示板への掲示・備付け、公告等を行うなど、被保険者に対して周知徹底を図る。
·また、個人データを取り扱う情報システムの安全管理措置に関する規程等についても同様に整備を行うこと。
②個人情報保護推進のための組織体制等の整備
·従業者の責任体制の明確化を図り、具体的な取組を進めるため、国保連合会等における個人情報
保護に関し十分な知識を有する者を個人データの安全管理の実施及び運用に関する責任及び権限を有する個人情報取扱責任者（例えば、役員などの組織横断的に監督することのできる者）、個人情報管理担当者又は情報システム監査責任者等として定めたり、個人情報保護の推進を図るための部署、委員会等を設置する。
• 国保連合会等で行っている個人データの安全管理措置について定期的に自己評価を行い、見直しや改善を行うべき事項について適切な改善を行う。
• 個人情報保護対策及び最新の技術動向を踏まえた情報セキュリティ対策に十分な知見を有する者による事業所内の対応の確認（外部の知見を有する者を活用し確認させることを含む。）を実施する。
③個人データの漏えい等の問題が発生した場合等における報告連絡体制の整備
• 1）個人データの漏えい等の事故が発生した場合、又は発生の可能性が高いと判断した場合、2）個人データの取扱いに関する規程等に違反している事実が生じた場合、又は兆候が高いと判断した場合における責任者等への報告連絡体制の整備を行う。
• 個人データの漏えい等の情報は、苦情等の一環として、外部から報告される場合も想定されることから、苦情への対応体制との連携も図る。（Ⅲ13.参照）
④雇用契約時における個人情報保護に関する規程の整備
• 雇用契約や就業規則において、就業期間中はもとより離職後も含めた守秘義務を課すなど従業者の個人情報保護に関する規程を整備し、徹底を図る。
⑤従業者に対する教育研修の実施
• 取り扱う個人データの適切な保護が確保されるよう、従業者に対する教育研修の実施等により、個人データを実際の業務で取り扱うこととなる従業者の啓発を図り、従業者の個人情報保護意識を徹底する。
⑥物理的安全管理措置
• 個人データの盗難・紛失等を防止するため、以下のような物理的安全管理措置を行う。
一入退館（室）管理の実施（カメラによる撮影や作業への立会い等による記録又は監視の実施）一盗難等に対する予防対策の実施
一機器、装置等の固定など物理的な保護
一記録機能を持つ媒体の持込み・持出し禁止又は検査の実施
一記録機能を持つ媒体の接続の禁止又は制限
一離席時等におけるパソコン等のパスワードロックの実施
⑦技術的安全管理措置
• 個人データの盗難・紛失等を防止するため、「個人情報の適切な取扱いに係る基幹システムのセキュリティ対策の強化について（再要請）」（平成27年12月18日通知）の主旨に則り、個人データを取り扱う情報システムについて以下のような技術的安全管理措置を行う。
一個人データに対するアクセス管理（IDやパスワード等による認証、各職員の業務内容に応じて業務上必要な範囲にのみアクセスできるようなシステム構成の採用等）
保護に関し十分な知識を有する者を個人データの安全管理の実施及び運用に関する責任及び権限を有する個人情報取扱責任者（例えば、役員などの組織横断的に監督することのできる者）、個人情報管理担当者又は情報システム監査責任者等として定めたり、個人情報保護の推進を図るための部署、委員会等を設置する。
• 国保連合会等で行っている個人データの安全管理措置について定期的に自己評価を行い、見直しや改善を行うべき事項について適切な改善を行う。
• 個人情報保護対策及び最新の技術動向を踏まえた情報セキュリティ対策に十分な知見を有する者による事業所内の対応の確認（外部の知見を有する者を活用し確認させることを含む。）を実施する。
③個人データの漏えい等の問題が発生した場合等における報告連絡体制の整備
• 1）個人データの漏えい等の事故が発生した場合、又は発生の可能性が高いと判断した場合、2）個人データの取扱いに関する規程等に違反している事実が生じた場合、又は兆候が高いと判断した場合における責任者等への報告連絡体制の整備を行う。
• 個人データの漏えい等の情報は、苦情等の一環として、外部から報告される場合も想定されることから、苦情への対応体制との連携も図る。（Ⅲ10.参照）
④雇用契約時における個人情報保護に関する規程の整備
• 雇用契約や就業規則において、就業期間中はもとより離職後も含めた守秘義務を課すなど従業者の個人情報保護に関する規程を整備し、従底を図る。
⑤従業者に対する教育研修の実施
• 取り扱う個人データの適切な保護が確保されるよう、従業者に対する教育研修の実施等により、個人データを実際の業務で取り扱うこととなる従業者の啓発を図り、従業者の個人情報保護意識を徹底する。
⑥物理的安全管理措置
• 個人データの盗難・紛失等を防止するため、以下のような物理的安全管理措置を行う。
一入退館（室）管理の実施（カメラによる撮影や作業への立会い等による記録又は監視の実施）一盗難等に対する予防対策の実施
一機器、装置等の固定など物理的な保護
一記録機能を持つ媒体の持込み・持出し禁止又は検査の実施
一記録機能を持つ媒体の接続の禁止又は制限
一離席時等におけるパソコン等のパスワードロックの実施
⑦技術的安全管理措置
• 個人データの盗難・紛失等を防止するため、個人データを取り扱う情報システムについて以下のような技術的安全管理措置を行う。
一個人データに対するアクセス管理（IDやパスワード等による認証、各職員の業務内容に応じて業務上必要な範囲にのみアクセスできるようなシステム構成の採用等）
一個人データに対するアクセス記録の保存
一個人データに対するファイアウォールの設置
一個人データに対する暗号化・パスワードの設定
一個人データへのアクセスや操作の記録及び不正が疑われる異常な記録の存否の定期的な確認
-基幹システムに接続されたネットワークとインターネットに接続されたネットワークの物理的又は論理的分離
-ソフトウェアに関する脆弱性対策（セキュリティパッチの適用、当該情報システム固有の脆弱性の発見及びその修正等）
-ソフトウェア及びハードウェア等の必要かつ適切な時期における更新
⑧個人データの保存
-個人データを長期にわたって保存する場合には、保存媒体の劣化防止など個人データが消失しないよう適切に保存する。
-個人データの保存に当たっては、本人からの照会等に対応する場合など必要なときに迅速に対応できるよう、インデックスの整備など検索可能な状態で保存しておく。
⑨不要となった個人データの廃棄、消去
-不要となった個人データを廃棄する場合には、焼却や溶解など、個人データを復元不可能な形にして廃棄する。
-個人データを取り扱った情報機器を廃棄する場合は、記憶装置内の個人データを復元不可能な形に消去して廃棄する。
-これらの廃棄業務を委託する場合には、個人データの取扱いについても委託契約において明確に定める。
(3)業務を委託する場合の取扱い
①委託先の監督
国保連合会等は、保険者事務共同電算処理等（被保険者証の作成、医療費通知書の作成等）において個人データの取扱いの全部又は一部を委託する場合、法第20条に基づく安全管理措置を遵守させるよう受託者に対し、必要かつ適切な監督をしなければならない。
「必要かつ適切な監督」には、委託契約において委託者である国保連合会等が定める安全管理措置の内容を契約に盛り込み受託者の義務とするほか、業務が適切に行われていることを定期的に確認することなども含まれる。
また、業務が再委託された場合で、再委託先が不適切な取扱いを行ったことにより、問題が生じた場合は、国保連合会等や再委託した事業者が責めを負うこともあり得る。
②業務を委託する場合の留意事項
国保連合会等は、個人データの取扱いの全部又は一部を委託する場合、以下の事項に留意すべきである。
-個人情報を適切に取り扱っている事業者を委託先（受託者）として選定すること。委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第20条で求められているものと同様であることを確認するため、委託先の体制、規程等の確認に加え、必要に応じて個人データの取扱いの全部又は一部を委託する場合、以下の事項に留意すべきである。
-個人情報を適切に取り扱っている事業者を委託先（受託者）として選定すること。委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第20条で求めているものと同様であることを確認するため、委託先の体制、規程等の確認に加え、必要に応じて個人データの取扱いの全部又は一部を委託する場合、以下の事項に留意すべきである。
-個人情報を適切に取り扱っている事業者を委託先（受託者）として選定すること。委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第20条で求めているものと同様であることを確認するため、委託先の体制、規程等の確認に加え、必要に応じて個人データの取扱いの全部又は一部を委託する場合、以下の事項に留意すべきである。
-個人情報を適切に取り扱っている事業者を委託先（受託者）として選定すること。委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第20条で求めているものと同様であることを確認するため、委託先の体制、規程等の確認に加え、必要に応じて個人データの取扱いの全部又は一部を委託する場合、以下の事項に留意すべきである。
を取り扱う場所に赴く又はこれに代わる合理的な方法による確認を行った上で、個人情報取扱責任者等が、適切に評価することが望ましい。
• 契約において、委託している業務の内容、委託先事業者、個人情報の適切な取扱いに関する内容を盛り込み（委託期間中のほか、委託終了後の個人データの取扱いも含む。）、契約内容を公表すること。
• 受託者が個人情報を適切に取り扱っていることを定期的に確認すること。
• 受託者における個人情報の取扱いに疑義が生じた場合（被保険者等からの申出があり、確認の必要があると考えられる場合を含む。）には、受託者に対し、説明を求め、必要に応じ改善を求める等適切な措置をとること。
• なお、個人情報保護の観点から、可能な限り、個人情報をマスキングすることにより、当該個人情報を匿名化した上で、委託するよう努めること。
• また、委託するに当たっては、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないよう努めること。
* 国保連合会等における業者委託に関する通知
上記の留意事項のほか、業者委託に関する通知を遵守する。
• 「個人情報保護の徹底について」（平成14年12月25日保発第1225004号）
• 「国民健康保険団体連合会における個人情報保護の徹底について」（平成15年3月14日保国発第0314003号）
③業務を再委託する場合の留意事項
国保連合会等は、個人情報に関する処理の全部又は一部を再委託する場合、以下の事項に留意すべきである。
• 個人情報を含む業務を再委託すること自体は禁じられてはないが、国保連合会等との直接の契約関係を伴わない個人情報に関する処理の再委託は行わないこと。（「国民健康保険団体連合会における個人情報保護の徹底について」（平成15年3月14日保発第0314003号）
• なお、個人情報を含む業務の再委託や個人情報に関する処理の再委託をする場合には、個人情報保護の観点から、可能な限り、個人情報をマスキングすることにより、当該個人情報を匿名化した上で、委託先から再委託先へ個人情報が提供されないよう努めること。
この場合において、国保連合会等は第一次委託先と委託契約を締結するに当たっては、第一次委託先が、上記通知の基準に掲げる事項を遵守するよう委託契約上明記することはもちろんのこと、これに加え、再委託の可否及び再委託を行うに当たっての委託元への文書による事前報告又は承認を行うことや当該再委託契約上、再委託先に対して、同通知の基準に掲げる事項を遵守することを明記するよう、第一次委託契約上明記すること。
なお、第一次委託先が再委託を行うとする場合は、国保連合会等は委託を行う場合と同様、再委託の相手方、再委託する業務内容及び再委託先の個人データの取扱方法等について、第一次委託先に事前報告又は承認手続を求める、直接又は第一次委託先を通じて定期的に監査を実施する等により、第一次委託先が再委託先に対して本条の第一次委託先の監督を適切に果たすこと、再委託先が法第20条に基づく安全管理措置を講することを十分に確認することが望ましい。
を取り扱う場所に赴く又はこれに代わる合理的な方法による確認を行った上で、個人情報取扱責任者等が、適切に評価することが望ましい。
• 契約において、委託している業務の内容、委託先事業者、個人情報の適切な取扱いに関する内容を盛り込み（委託期間中のほか、委託終了後の個人データの取扱いも含む。）、契約内容を公表すること。
• 受託者が個人情報を適切に取り扱っていることを定期的に確認すること。
• 受託者における個人情報の取扱いに疑義が生じた場合（被保険者等からの申出があり、確認の必要があると考えられる場合を含む。）には、受託者に対し、説明を求め、必要に応じ改善を求める等適切な措置をとること。
• なお、個人情報保護の観点から、可能な限り、個人情報をマスキングすることにより、当該個人情報を匿名化した上で、委託するよう努めること。
* 国保連合会等における業者委託に関する通知
上記の留意事項のほか、業者委託に関する通知を遵守する。
• 「個人情報保護の徹底について」（平成14年12月25日保発第1225004号）
• 「国民健康保険団体連合会における個人情報保護の徹底について」（平成15年3月14日保国発第0314003号）
③業務を再委託する場合の留意事項
国保連合会等は、個人情報に関する処理の全部又は一部を再委託する場合、以下の事項に留意すべきである。
• 個人情報を含む業務を再委託すること自体は禁じられてはないが、国保連合会等との直接の契約関係を伴わない個人情報に関する処理の再委託は行わないこと。（「国民健康保険団体連合会における個人情報保護の徹底について」（平成15年3月14日保発第0314003号）
• なお、個人情報を含む業務の再委託や個人情報に関する処理の再委託や個人情報保護の観点から、可能な限り、個人情報をマスキングすることにより、当該個人情報を匿名化した上で、委託先から再委託先へ個人情報が提供されないよう努めること。
この場合において、国保連合会等は第一次委託先と委託契約を締結するに当たっては、第一次委託先が、上記通知の基準に掲げる事項を遵守するよう委託契約上明記することはもちろんのこと、これに加え、再委託の可否及び再委託を行うに当たっての委託元への文書による事前報告又は承認を行うことや当該再委託契約上、再委託先に対して、同通知の基準に掲げる事項を遵守することを明記するよう、第一次委託契約上明記すること。
なお、第一次委託先が再委託を行うとする場合は、国保連合会等は委託を行う場合と同様、再委託の相手方、再委託する業務内容及び再委託先の個人データの取扱方法等について、第一次委託先に事前報告又は承認手続を求める、直接又は第一次委託先を通じて定期的に監査を実施する等により、第一次委託先が再委託先に対して本条の第一次委託先の監督を適切に果たすこと、再委託先が法第20条に基づく安全管理措置を講することを十分に確認することを十分に確認することが望ましい。
(4) レセプトの紙以外の媒体による保存等又はそれらの外部委託を行う場合の取扱い
国保連合会等において、レセプトの紙以外の媒体による保存又はレセプトの電算処理及びレセプト以外の個人データベース等を含む業務の外部委託を行う場合には、国保連合会等において、その運営及び委託等の取扱いについて安全性が確保されるよう規程を定め、実施するものとする。
(5) 個人情報の漏えい等の問題が発生した場合における二次被害の防止等
個人情報の漏えい等の問題が発生した場合には、二次被害の防止、類似事案の発生回避等の観点から、個人情報の保護に配慮しつつ、可能な限り事実関係を公表するとともに、所管の地方厚生局に速やかに報告する。
また、個人データの漏えい等の問題が発生した場合には、「個人データの漏えい等の事案が発生した場合等の対応について」(平成29年個人情報保護委员会告示第1号)に基づき、①事業者内部における報告及び被害の拡大防止、②事実関係の調査及び原因の究明、③影響範囲の特定、④再発防止策の検討及び実施、⑤影響を受ける可能性のある本人への連絡等、⑥事実関係及び再発防止策等の公表の必要な措置を講することが望ましい。また、漏えい等事案が発見した場合には、その事実関係及び再発防止策等について、個人情報保護委員会に対し、速やかに報告するよう努めるものとする。
ただし、法第47条第1項に規定する認定個人情報保護団体の対象事業者である国保連合会等は、所属の認定個人情報保護団体に速やかに報告するよう努めるものとする。
【法の規定により遵守すべき事項等】
·国保連合会等は、その取り扱う個人データの漏えい、滅失又はき損の防止その他個人データの安全管理のために必要かつ適切な措置を講じなければならない。
·国保連合会等は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
·国保連合会等は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
【その他の事項】
·国保連合会等は、安全管理措置に関する取組を一層推進するため、安全管理措置が適切であるかどうかを一定期間ごとに検証するほか、必要に応じて外部機関による検証を受けることで、改善を図ることが望ましい。
5. 個人データの第三者提供(法第23条)
(第三者提供の制限)
法第二十三条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
一 法令に基づく場合
(4) レセプトの紙以外の媒体による保存等又はそれらの外部委託を行う場合の取扱い
国保連合会等において、レセプトの紙以外の媒体による保存又はレセプトの電算処理及びレセプト以外の個人データベース等を含む業務の外部委託を行う場合には、国保連合会等において、その運営及び委託等の取扱いについて安全性が確保されるよう規程を定め、実施するものとする。
(5) 個人情報の漏えい等の問題が発生した場合における二次被害の防止等
個人情報の漏えい等の問題が発生した場合には、二次被害の防止、類似事案の発生回避等の観点から、個人情報の保護に配慮しつつ、可能な限り事実関係を公表するとともに、所管の地方厚生局に速やかに報告する。
(新設)
【法の規定により遵守すべき事項等】
·国保連合会等、その取り扱う個人データの漏えい、滅失又はき損の防止その他個人データの安全管理のために必要かつ適切な措置を講じなければならない。
·国保連合会等は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
·国保連合会等は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
【その他の事項】
·国保連合会等は、安全管理措置に関する取組を一層推進するため、安全管理措置が適切であるかどうかを一定期間ごとに検証するほか、必要に応じて外部機関による検証を受けることで、改善を図ることが望ましい。
5. 個人データの第三者提供(法第23条)
(第三者提供の制限)
法第二十三条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
一 法令に基づく場合
二人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

2 個人情報取扱事業者は、第三者に提供される個人データ（要配慮個人情報を除く。以下この項において同じ。）について、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。

一 第三者への提供を利用目的とすること。

二 第三者に提供される個人データの項目

三 第三者への提供の方法

四 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。

五 本人の求めを受け付ける方法

3 個人情報取扱事業者は、前項第二号、第三号又は第五号に掲げる事項を変更する場合は、変更する内容について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。

4 個人情報保護委員会は、第二項の規定による届出があったときは、個人情報保護委員会規則で定めるところにより、当該届出に係る事項を公表しなければならない。前項の規定による届出があったときも、同様とする。

5 次に掲げる場合において、当該個人データの提供を受ける者は、前各号の規定の適用については、第三者に該当しないものとする。

一個人情報取报事業者が利用目的の達成に必要な範囲内において個人データの取报いの全部又は一部を委託することに伴って当該個人データが提供される場合

二 合併その他の事由による事業の承継に伴って個人データが提供される場合

三 特定の者との間で共同して利用 される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

6 個人情報取扱事業者は、前項第三号に規定する利用する者の利用目的又は個人データの管理について責任を有する者の氏名若しくは名称を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

## （１）第三者提供の取扱い

国保連合会等は、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。

二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

2 個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することしている場合であって、次に掲げる事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。

一 第三者への提供を利用目的とすること。

二 第三者に提供される個人データの項目

三 第三者への提供の手段又は方法

四 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。

3 個人情報取扱事業者は、前項第二号又は第三号に掲げる事項を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

（新設）

4 次に掲げる場合において、当該個人データの提供を受ける者は、前三項の規定の適用については、第三者に該当しないものとする。

一個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託する場合

二 合併その他の事由による事業の承継に伴って個人データが提供される場合

三 個人データを 特定の者との間で共同して利用 する場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

5 個人情報取扱事業者は、前項第三号に規定する利用する者の利用目的又は個人データの管理について責任を有する者の氏名若しくは名称を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

## （１）第三者提供の取扱い

国保連合会等は、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
※ 本条の「本人」、「第三者」の定義
•「本人」・・・個人データで識別される個人。
•「第三者」・・・本人及び個人情報取扱事業者以外の者をいい、自然人か法人その他の団体かを問わない。
(2) 第三者提供の例外
ただし、次に掲げる場合については、本人の同意を得る必要はない。
①法令に基づく場合
国民健康保険法第106条に基づく報告の徴収等、法令に基づいて個人情報を利用する場合(Ⅲ1.(2)①参照)
②人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
(例)
•意識不明となった急病の被保険者について、当該本人の受診状況等に関する情報を医療機関等に提供する場合
③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
(例)
•疫学上の調査・研究のために、レセプト等から得られた情報を個人名を伏せて研究者に提供する場合
④国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
(3) 本人の同意が得られていると考えられる場合
特定された利用目的の範囲内であり、個人データの第三者提供が本人にとって利益となるもの、又は個人データが提供される都度、事前に同意を求めることが本人にとって必ずしも合理的であるとは言えないものについては、国保連合会等のホームページ・掲示板等において、
(7) 被保険者は、国保連合会等が示す利用目的の中で同意しがたいものがある場合には、その事項について、あらかじめ本人の明確な同意を得るよう国保連合会等に求めることができること。
(1) 被保険者が、(7)の意思表示を行わない場合は、公表された利用目的について被保険者の同意が得られたものとすること。
(9) 同意及び留保は、その後、被保険者からの申出により、いつでも変更することが可能であること。
を掲示し、本人から特段明確な反対・留保の意思表示がない場合、本人の默示による同意が得られていると考えられる。
(4)「第三者」に該当しない場合
①他の事業者等への情報提供であるが、「第三者」に該当しない場合
法第23条第5項の各号に掲げる場合（委託・事業承継・共同利用）の当該個人データの提供を受ける者については、第三者に該当せず、本人の同意を得ずに情報の提供を行うことができる。
※個人データの共同での利用における留意事項
あらかじめ個人データを特定の者との間で共同して利用することが予定されている場合、 (7)共同して利用される個人データの項目、 (1)共同利用者の範囲（個別列挙されているか、本人から見てその範囲が明確となるように特定されている必要がある）、 (9)利用する者の利用目的、 (1)当該個人データの管理について責任を有する者の氏名又は名称、をあらかじめ本人に通知し、又は本人が容易に知り得る状態においておくとともに、共同して利用することを明らかにしている場合には、当該共同利用者は第三者に該当しない。
この場合、 (7)、 (1)については変更することができ、 (9)、 (1)については、本人が想定することが困難でない範囲内で変更することができ、変更前、本人に通知又は本人の容易に知り得る状態における状態における状況はならない。
②同一事業者内における情報提供であり、第三者に該当しない場合
同一事業者内で情報提供する場合は、当該個人データを第三者に提供したことにはならないので、本人の同意を得ずに情報の提供を行うことができる。国保連合会等における具体的事例は以下のとおりである。
·国保連合会等内の他の部署との連携など当該国保連合会等内部における情報の交換
·国保連合会等内の複数の事務所等との間における情報の交換及び事務所等間における情報の交換
·国保連合会等の職員を対象とした研修での利用（特定し、公表した利用目的との関係で、目的外利用として所要の措置を行う必要があり得る）
·国保連合会等内で事業分析を行うための情報の交換
このうち、国保連合会等内部の研修でレセプトや介護給付費明細書等を利用する場合には、具体的な利用方法を含め、あらためて本人の同意を得るか、個人が特定されないよう匿名化する。
(5)その他留意事項
·他の事業者への情報提供に関する留意事項
第三者提供を行う場合のほか、他の事業者への情報提供であっても、①法令に基づく場合など第三者提供の例外に該当する場合、②「第三者」に該当しない場合、③個人が特定されないように匿名化して情報提供する場合などにおいては、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないようにすべきである。
また、被保険者と他者双方の二面性を持っている個人情報を第三者提供するに当たっては、双方の同意が必要となるが、一方の同意のみで第三者提供する場合は、他方の個人情報に係る部分をマスキングした上で行うこと。
【法の規定により遵守すべき事項等】
• 国保連合会等においては、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。なお、国保連合会等については、(2)の本人の同意を得る必要がない場合に該当する場合には、本人の同意を得る必要はない。
• 個人データの第三者提供について本人の同意があった場合で、その後、本人から第三者提供の範囲の一部についての同意を取り消す旨の申出があった場合は、その後の個人データの取扱いについては、本人の同意のあた範囲に限定して取り扱うものとする。
【その他の事項】
• 第三者提供に該当しない情報提供が行われる場合であっても、国保連合会等のホームページへの掲載、パンフレットの配布、掲示板への掲示・備付け、公告等により情報提供先をできるだけ明らかにするとともに、被保険者からの問合せがあった場合に回答できる体制を確保する。
• 例えば、業務委託の場合、当該国保連合会等において委託している業務の内容、委託先事業者、委託先事業者について可能な範囲で公表する。
6. 外国にある第三者への提供の制限（法第24条）
詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」（平成28年個人情報保護委員会告示第7号）を参照のこと。
(参考)
(外国にある第三者への提供の制限)
法第二十四条 個人情報取扱事業者は、外国（本邦の境外にある国又は地域をいう。以下同じ。）
（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものを除く。以下この条において同じ。）にある第三者（個人データの取扱いについてこの節の規定により個人情報取扱事業者が講すべきこととされている措置に相当する措置を継続的に講するために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この条において同じ。）に個人データを提供する場合には、前条第一項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は、適用しない。
規則第十一条 法第二十四条の個人情報保護委員会規則で定める基準は、次の各号のいずれかに該当することとする。
一 個人情報取扱事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第四章第一節の規定の趣旨に沿った措置の実施が確保されていること。
二 個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。
【法の規定により遵守すべき事項等】
【法の規定により遵守すべき事項等】
• 国保連合会等においては、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。なお、国保連合会等については、(2)の本人の同意を得る必要がない場合に該当する場合には、本人の同意を得る必要はない。
• 個人データの第三者提供について本人の同意があった場合で、その後、本人から第三者提供の範囲の一部についての同意を取り消す旨の申出があった場合は、その後の個人データの取扱いについては、本人の同意のあた範囲に限定して取り扱うものとする。
【その他の事項】
• 第三者提供に該当しない情報提供が行われる場合であっても、国保連合会等のホームページへの掲載、パンフレットの配布、掲示板への掲示・備付け、公告等により情報提供先をできるだけ明らかにするとともに、被保険者からの問い合わせがあった場合に回答できる体制を確保する。
• 例えば、業務委託の場合、当該国保連合会等において委託している業務の内容、委託先事業者、委託先事業者について可能な範囲で公表する。
(新設)
・国保連合会等が、法第24条の規定に基づき、外国にある第三者に個人データを提供する場合には、法第23条第1項各号（※）に定める場合を除き、外国にある第三者へ提供することについて本人の同意を得なければならない。

・ただし、次の①又は②のいずれかに該当する場合は、国内と同様に法第23条第1項柱書に基づく本人同意による第三者提供、又は同条第5項に基づく委託、共同利用による提供が可能である。①外国にある第三者が日本と同等の水準にあると認められる個人情報保護制度を有している国として個人情報の保護に関する法律施行規則（平成28年個人情報保護委員会規則第3号。以下「規則」という。）で定める国にある場合

②外国にある第三者が、個人情報取扱事業者が講すべき措置に相当する措置を継続的に講ずるために必要な体制として規則で定める基準に適合する体制を整備している場合

## （※）法第 23 条第 1 項各号

・法令に基づいて個人データを提供する場合（第1号関係）

・人（法人を含む。）の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得ることが困難である場合（第2号関係）

公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることが困難である場合（第3号関係）

・国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であって、協力する民間企業等が当該国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合（第4号関係）

### 7. 第三者提供に係る記録の作成等（法第25条）

詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」（平成28年個人情報保護委員会告示第8号）を参照のこと。

## （第三者提供に係る記録の作成等）

法第二十五条 個人情報取扱事業者は、個人データを第三者（第二条第五項各号に掲げる者を除く。略）に提供したときは（略）記録を作成しなければならない。ただし、当該個人データの提供が第二十三条第一項各号又は第五項各号のいずれか（略）に該当する場合は、この限りでない。

2 個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。

## （第三者提供に係る記録の作成）

規則第十二条 法第二十五条第一項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。

2 法第二十五条第一項の記録は、個人データを第三者（略）に提供した都度、速やかに作成しなければならない。ただし、当該第三者に対し個人データを継続的に若しくは反復して提供（略）したとき、又は当該第三者に対し個人データを継続的に若しくは反復して提供することが確実で

## (新設)
あると見込まれるときの記録は、一括して作成することができる。

3 前項の規定にかかわらず、法第二十三条第一項又は法第二十四条の規定により、本人に対する物品又は役務の提供に関連して当該本人に係る個人データを第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に次条第一項各号に定める事項が記載されているときは、当該書面をもって法第二十五条第一項の当該事項に関する記録に代えることができる。

（第三者提供に係る記録事項）

規則第十三条 法第二十五条第一項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。

一 法第二十三条第二項の規定により個人データを第三者に提供した場合 次のイから二までに掲げる事項

イ 当該個人データを提供した年月日

当該第三者の氏名又は名称その他の当該第三者を特定するに足りる事項（不特定かつ多数の者に対して提供したときは、その旨）

ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項

二 当該個人データの項目

二 法第二十三条第一項又は法第二十四条の規定により個人データを第三者に提供した場合次のイ及び口に掲げる事項

イ 法第二十三条第一項又は法第二十四条の本人の同意を得ている旨

前号口から二までに掲げる事項

2 前項各号に定める事項のうち、既に前条に規定する方法により作成した法第25条第1項の記録（当該記録を保存している場合におけるものに限る。）に記録されている事項と内容が同一であるものについては、法第25条第1項の当該事項の記録を省略することができる。

（第三者提供に係る記録の保存期間）

規則第十四条 法第二十五条第二項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とする。

一 第十二条第三項に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を行った日から起算して一年を経過する日までの間

第二十条第二項ただし書に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を行った日から起算して三年を経過する日までの間

三 前二号以外の場合 三年

（1）記録義務が適用されない場合

以下の場合には記録義務が適用されない。

①第三者が法第2条第5項各号に掲げる者である場合

以下の1）から4）までに掲げる者との間で個人データの授受を行う場合、記録義務は適用されない。

1）国の機関（法第2条第5項第1号関係）
2）地方公共団体（法第2条第5項第2号関係）

3）独立行政法人等（独立行政法人等の保有する個人情報の保護に関する法律（平成15年法律第59号）第2条第1項に規定する独立行政法人等をいう。）（法第2条第5項第3号関係）

4）地方独立行政法人（地方独立行政法人法（平成15年法律第118号）第2条第1項に規定する地方独立行政法人をいう。）（法第2条第5項第4号関係）

②法第23条第1項各号に該当する場合（Ⅲ5.（2）参照）

個人データが転々流通することは想定されにくいことに鑑み、記録義務は適用されない。

1）法令に基づいて個人データを提供する場合（第1号関係）

2）人（法人を含む。）の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得ることが困難である場合（第2号関係）

3）公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることが困難である場合（第3号関係）

4）国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であって、協力する民間企業等が当該国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合（第4号関係）

### ③法第23条第5項各号に該当する場合（Ⅲ5.（4）参照）

「第三者に該当しないものとする」とされていることに鑑み、記録義務は適用されない。

1）個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合（法第23条第5項第1号関係）

（例）

・レセプトデータの電算処理のための入力、画像取込み処理の委託

・磁気レセプトの保管委託

・レセプトの資格リストの作成委託

・レセプトの縦覧点検リストの作成委託

・高額療養費、高額医療費対象世帯（者）リストの作成委託

・医療費通知の作成委託

・被保険者証の作成委託

・保険者事業年報の作成委託

・退職者医療受給権者リストの作成委託

・保健事業関連資料のデータ作成委託（多受診者、長期入院者、疾病別統計等）

・医療費分析資料のデータ作成委託

・支援費支給関係情報の電算処理のための入力、画像取込み処理の委託

2）合併その他の事由による事業の承継に伴って個人データが提供される場合（法第23条第5項第2号関係）

3）特定の者との間で共同して利用される個人データが当該特定の者に提供される場合で
あって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき（法第23条第5項第3号関係）

## ④本人に代わって提供している場合

国保連合会等が被保険者本人からの委託等に基づき当該本人の個人データを第三者提供する場合は、当該個人情報取扱事業者は「本人に代わって」個人データの提供をしているものである。

したがって、この場合の第三者提供については、記録義務は適用されない。

(例)

・第三者求償事務（損保会社等へのレセプトのコピー提出）

## ⑤本人と一体と評価できる関係にある者に提供する場合

本人の代理人又は家族等、本人と一体と評価できる関係にある者に提供する場合、本人側に対する提供とみなし、記録義務は適用されない。

(例)

・医療費通知を世帯ごとにまとめて行う場合において家族分の個人データを本人に WEB 上等で提供した場合

## 【法の規定により遵守すべき事項等】

## （２）記録義務の適用

（１）に記載したいずれの場合にも該当しない場合で、国保連合会等が個人データを第三者に提供したときは、法令に定める記録の作成及びその記録を保存しなければならない。

## ①記録を作成する方法など

## 1 ）記録を作成する媒体

国保連合会等は、記録を、文書、電磁的記録又はマイクロフィルムを用いて作成しなければならない。

## 2 ）記録を作成する方法

国保連合会等は、原則として、個人データの授受の都度、速やかに記録を作成しなければならない。

## 3 ）一括して記録を作成する方法

一定の期間内に特定の事業者との間で継続的に又は反復して個人データを授受する場合は、個々の授受に係る記録を作成する代わりに、一括して記録を作成することができる。

## 4 ）契約書等の代替手段による方法

国保連合会等が、本人に対する物品又は役務の提供に係る契約を締結し、その契約の履行に伴って、契約の相手方を本人とする個人データを国保連合会等から第三者に提供する場合
は、その提供の際に作成した契約書その他の書面をもって個人データの流通を追跡することが可能であるから当該契約書その他の書面をもって記録とすることができる。

## 5 ）代行により記録を作成する方法

提供者、受領者のいずれも記録の作成方法、保存期間は同一であることに鑑みて受領者は提供者の記録義務の全部又は一部を代替して行うことができる（提供者と受領者の記録事項の相違については留意する必要がある。）。なお、この場合であっても、提供者及び受領者は自己の義務が免責されるわけではないことから、実質的に自ら記録作成義務を果たしているものと同等の体制を構築しなければならない。

## ②記録事項

## 1 ）提供者の記録事項

国保連合会等が、本人の同意に基づき個人データの第三者提供を行う場合は、次の項目を記録しなければならない。

## ・本人同意を得ている旨

・第三者の氏名又は名称その他の当該第三者を特定できる事項

・個人データによって識別される本人の氏名その他の当該本人を特定できる事項

・個人データの項目

## ③記録事項の省略

複数回にわたって同一「本人」の個人データの授受をする場合において、同一の内容である事項を重複して記録する必要はない。既に「7.（2）記録義務の適用」に規定する方法により作成した記録（現に保存している場合に限る。）に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。

## ④保存期間

国保連合会等は、作成した記録を規則で定める期間保存しなければならない。保存期間は記録の作成方法によって異なるので留意が必要である。

記録の作成方法の別	保存期間
契約書等の代替手段による方法により記録を作成した場合	最後に当該記録に係る個人データの提供を行った日から起算して1年を経過する日までの間
一括して記録を作成する方法により記録を作成した場合	最後に当該記録に係る個人データの提供を行った日から起算して3年を経過する日までの間
上記以外の場合	3年

### 8. 第三者提供を受ける際の確認等（法第26条）

詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」（平成28年個人情報保護委員会告示第8号）を参照のこと。

## (新設)