Silviase/jgov_v1.4_full_ann huggingface dataset:
(4) 医療情報システムの導入及びそれに伴う情報の外部保存を行う場合の取扱い
医療機関等及び医療情報を取り扱う介護関係事業者において、医療情報システムを導入したり、診療情報の外部保存を行う場合には、「医療情報システムの安全管理に関するガイドライン」(平成17年3月31日医政発第0331009号・薬食発第0331020号・保発第0331005号)によることとし、各医療機関等において運営及び委託等の取扱いについて安全性が確保されるよう規程を定め、実施するものとする。
(5) 個人データの漏えい等の問題が発生した場合における二次被害の防止等
医療・介護関係事業者において、個人データの漏えい等の問題が発生した場合には、二次被害の防止、類似事案の発生回避等の観点から、「個人データの漏えい等の事案が発生した場合等の対応について」(平成29年個人情報保護委員会告示第1号)に基づき、①事業者内部における報告及び被害の拡大防止、②事実関係の調査及び原因の究明、③影響範囲の特定、④再発防止策の検討及び実施、⑤影響を受ける可能性のある本人への連絡等、⑥事実関係及び再発防止策等の公表の必要な措置を講すことが望ましい。
また、漏えい等事案が発見した場合には、その事実関係及び再発防止策等について、個人情報保護委員会に対し、速やかに報告するよう努めるものとする。
ただし、法第47条第1項に規定する認定個人情報保護団体の対象事業者である医療・介護関係事業者は、所属の認定個人情報保護団体に速やかに報告するよう努めるものとする。
(6) その他
受付での呼び出しや、病室における患者の名札の掲示などについては、患者の取り違え防止など業務を適切に実施する上で必要と考えられるが、医療におけるプライバシー保護の重要性に鑑み、患者の希望に応じて一定の配慮をすることが望ましい。
【法の規定により遵守すべき事項等】
·医療・介護関係事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他個人データの安全管理のために必要かつ適切な措置を講じなければならない。
·医療・介護関係事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
·医療・介護関係事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
【その他の事項】
·医療・介護関係事業者は、安全管理措置に関する取組を一層推進するため、安全管理措置が適切であるかどうかを一定期間ごとに個人情報保護対策及び最新の技術動向を踏まえた情報セキュリティ対策に十分な知見を有する者に事業者内の対応を確認させるほか、必要に応じて外部の知見を有する者による確認を受けることで、改善を図ることが望ましい。
5. 個人データの第三者提供(法第23条)
(4) 医療情報システムの導入及びそれに伴う情報の外部保存を行う場合の取扱い
医療機関等において、医療情報システムを導入したり、診療情報の外部保存を行う場合には、「医療情報システムの安全管理に関するガイドライン」(平成17年3月31日医政発第0331009号・薬食発第0331020号・保発第0331005号)によることとし、各医療機関等において運営及び委託等の取扱いについて安全性が確保されるよう規程を定め、実施するものとする。
(5) 個人情報の漏えい等の問題が発生した場合における二次被害の防止等
個人情報の漏えい等の問題が発生した場合には、二次被害の防止、類似事案の発生回避等の観点から、個人情報の保護に配慮しつつ、可能な限り事実関係を公表するとともに、都道府県の所管課等に速やかに報告する。
(6) その他
受付での呼び出しや、病室における患者の名札の掲示などについては、患者の取り違え防止など業務を適切に実施する上で必要と考えられるが、医療におけるプライバシー保護の重要性にかんがみ、患者の希望に応じて一定の配慮をすることが望ましい。
【法の規定により遵守すべき事項等】
·医療・介護関係事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他個人データの安全管理のために必要かつ適切な措置を講じなければならない。
·医療・介護関係事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
·医療・介護関係事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
【その他の事項】
·医療・介護関係事業者は、安全管理措置に関する取組を一層推進するため、安全管理措置が適切であるかどうかを一定期間ごとに個人情報保護対策及び最新の技術動向を踏まえた情報セキュリティ対策に十分な知見を有する者に事業者内の対応を確認させるほか、必要に応じて外部の知見を有する者による確認を受けることで、改善を図ることが望ましい。
5. 個人データの第三者提供(法第23条)
## （第三者提供の制限）

法第二十三条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。

一 法令に基づく場合

二人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

2 個人情報取扱事業者は、第三者に提供される個人データ（要配慮個人情報を除く。以下この項において同じ。）について、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。

一 第三者への提供を利用目的とすること。

二 第三者に提供される個人データの項目

三 第三者への提供の方法

四　本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。

五 本人の求めを受け付ける方法

3 個人情報取扱事業者は、前項第二号、第三号又は第五号に掲げる事項を変更する場合は、変更する内容について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。

4 個人情報保護委員会は、第二項の規定による届出があったときは、個人情報保護委員会規則で定めるところにより、当該届出に係る事項を公表しなければならない。前項の規定による届出があったときも、同様とする。

5 次に掲げる場合において、当該個人データの提供を受ける者は、前各号の規定の適用については、第三者に該当しないものとする。

一個人情報取报事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合

二 合併その他の事由による事業の承継に伴って個人データが提供される場合

三 特定の者との間で共同して利用 される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

6 個人情報取扱事業者は、前項第三号に規定する利用する者の利用目的又は個人データの管理に

## （第三者提供の制限）

法第二十三条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。

## 一 法令に基づく場合

二人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

2 個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することしている場合であって、次に掲げる事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。

一 第三者への提供を利用目的とすること。

二 第三者に提供される個人データの項目

三 第三者への提供の手段又は方法

四 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。

3 個人情報取扱事業者は、前項第二号又は第三号に掲げる事項を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

## （新設）

4 次に掲げる場合において、当該個人データの提供を受ける者は、前三項の規定の適用については、第三者に該当しないものとする。

一個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託する場合

二 合併その他の事由による事業の承継に伴って個人データが提供される場合

三 個人データを 特定の者との間で共同して利用 する 場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

5 個人情報取扱事業者は、前項第三号に規定する利用する者の利用目的又は個人データの管理に
ついて責任を有する者の氏名若しくは名称を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

## （１）第三者提供の取扱い

医療・介護関係事業者は、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならないとされており、次のような場合には、本人の同意を得る必要がある。

## (例)

## ・民間保険会社からの照会

患者が民間の生命保険に加入しようとする場合、生命保険会社から患者の健康状態等について照会があった場合、患者の同意を得ずに患者の現在の健康状態や既往歴等を回答してはならない。

交通事故によるけがの治療を行っている患者に関して、保険会社から損害保険金の支払いの審査のために必要であるとして症状に関する照会があった場合、患者の同意を得ずに患者の症状等を回答してはならない。

## • 職場からの照会

職場の上司等から、社員の病状に関する問合せがあったり、休職中の社員の職場復帰の見込みに関する問合せがあった場合、患者の同意を得ずに患者の病状や回復の見込み等を回答してはならない。

## • 学校からの照会

学校の教職員等から、児童・生徒の健康状態に関する問合せがあったり、休学中の児童・生徒の復学の見込みに関する問合せがあった場合、患者の同意を得ずに患者の健康状態や回復の見込み等を回答してはならない。

## ・マーケティング等を目的とする会社等からの照会

健康食品の販売を目的とする会社から、高血圧の患者の存在の有無について照会された場合や要件に該当する患者を紹介して欲しい旨の依頼があった場合、患者の同意を得すに患者の有無や該当する患者の氏名・住所等を回答してはならない。

## （２）第三者提供の例外

ただし、次に掲げる場合については、本人の同意を得る必要はない。

## ①法令に基づく場合

医療法に基づく立入検査、介護保険法に基づく不正受給者に係る市町村への通知、児童虐待の防止等に関する法律に基づく児童虐待に係る通告等、法令に基づいて個人情報を利用する場合であり、医療機関等の通常の業務で想定される主な事例は別表3のとおりである。（Ⅲ1.（2）①参照）

ついて責任を有する者の氏名若しくは名称を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

## （１）第三者提供の取扱い

医療・介護関係事業者は、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならないとされており、次のような場合には、本人の同意を得る必要がある。

## (例)

## ・民間保険会社からの照会

患者が民間の生命保険に加入しようとする場合、生命保険会社から患者の健康状態等について照会があった場合、患者の同意を得すに患者の現在の健康状態や既往歴等を回答してはならない。

交通事故によるけがの治療を行っている患者に関して、保険会社から損害保険金の支払いの審査のために必要であるとして症状に関する照会があった場合、患者の同意を得ずに患者の症状等を回答してはならない。

## • 職場からの照会

職場の上司等から、社員の病状に関する問い合わせがあったり、休職中の社員の職場復帰の見込みに関する問い合わせがあった場合、患者の同意を得すに患者の病状や回復の見込み等を回答してはならない。

## • 学校からの照会

学校の教職員等から、児童・生徒の健康状態に関する問い合わせがあったり、休学中の児童・生徒の復学の見込みに関する問い合わせがあった場合、患者の同意を得ずに患者の健康状態や回復の見込み等を回答してはならない。

## ・マーケティング等を目的とする会社等からの照会

健康食品の販売を目的とする会社から、高血圧の患者の存在の有無について照会された場合や要件に該当する患者を紹介して欲しい旨の依頼があった場合、患者の同意を得すに患者の有無や該当する患者の氏名・住所等を回答してはならない。

## （２）第三者提供の例外

ただし、次に掲げる場合については、本人の同意を得る必要はない。

## ①法令に基づく場合

医療法に基づく立入検査、介護保険法に基づく不正受給者に係る市町村への通知、児童虐待の防止等に関する法律に基づく児童虐待に係る通告等、法令に基づいて個人情報を利用する場合であり、医療機関等の通常の業務で想定される主な事例は別表3のとおりである。（Ⅲ1.（2）①参照）
用目的として院内揭示等により明示されている場合は、原則として默示による同意が得られているものと考えられる。
なお、傷病の内容によっては、患者の傷病の回復等を目的とした場合であっても、個人データを第三者提供する場合は、あらかじめ本人の明確な同意を得るよう求めがある場合も考えられ、その場合、医療機関等は、本人の意思に応じた対応を行う必要がある。
①患者への医療の提供のために通常必要な範囲の利用目的について、院内揭示等で公表しておくことによりあらかじめ 默示の同意を得る場合
医療機関の受付等で、診療を希望する患者から個人情報を取得した場合、それらが患者自身の医療サービスの提供のために利用されることは明らかである。このため、院内揭示等により公表して、患者に提供する医療サービスに関する利用目的について患者から明示的に留保の意思表示がなければ、患者の默示による同意があったものと考えられる。(Ⅲ2.参照)
また、
(P)患者への医療の提供のため、他の医療機関等との連携を図ること
(1)患者への医療の提供のため、外部の医師等の意見・助言を求めること
(9)患者への医療の提供のため、他の医療機関等からの照会があった場合にこれに応じること
(1)患者への医療の提供に際して、家族等への病状の説明を行うこと等が利用目的として特定されている場合は、これらについても患者の同意があったものと考えられる。
②この場合であっても、默示の同意があったと考えられる範囲は、患者のための医療サービスの提供に必要な利用の範囲であり、別表2の「患者への医療の提供に必要な利用目的」を参考に各医療機関等が示した利用目的に限られるものとする。
なお、院内揭示等においては、
(P)患者は、医療機関等が示す利用目的の中で同意しがたいものがある場合には、その事項について、あらかじめ本人の明確な同意を得るよう医療機関等に求めることができること。
(1)患者が、(P)の意思表示を行わない場合は、公表された利用目的について患者の同意が得られたものとすること。
(9)同意及び留保は、その後、患者からの申出により、いつでも変更することが可能であること。をあわせて揭示するものとする。
※上記①の(P)～(I)の具体例
(例)
・他の医療機関宛に発行した紹介状等を本人が持参する場合
医療機関等において他の医療機関等への紹介状、処方せん等を発行し、当該書面を本人が他の医療機関等に持参した場合、当該第三者提供については、本人の同意があったものと考えられ、当該書面の内容に関し、医療機関等との間での情報交換を行うことについて同意が得られたものと考えられる。
・他の医療機関等からの照会に回答する場合
診療所Aを過去に受診したことのある患者が、病院Bにおいて現に受診中の場合で、病院B	用目的として院内揭示等により明示されている場合は、原則として默示による同意が得られているものと考えられる。
なお、傷病の内容によっては、患者の傷病の回復等を目的とした場合であっても、個人データを第三者提供する場合は、あらかじめ本人の明確な同意を得るよう求めがある場合も考えられ、その場合、医療機関等は、本人の意思に応じた対応を行う必要がある。
①患者への医療の提供のために通常必要な範囲の利用目的について、院内揭示等で公表しておくことによりあらかじめ 包括的な同意を得る場合
医療機関の受付等で、診療を希望する患者から個人情報を取得した場合、それらが患者自身の医療サービスの提供のために利用されることは明らかである。このため、院内揭示等により公表して、患者に提供する医療サービスに関する利用目的について患者から明示的に留保の意思表示がなければ、患者の默示による同意があったものと考えられる。(Ⅲ2.参照)
また、
(P)患者への医療の提供のため、他の医療機関等との連携を図ること
(1)患者への医療の提供のため、外部の医師等の意見・助言を求めること
(9)患者への医療の提供のため、他の医療機関等からの照会があった場合にこれに応じること
(1)患者への医療の提供に際して、家族等への病状の説明を行うこと等が利用目的として特定されている場合は、これらについても患者の同意があったものと考えられる。
②この場合であっても、默示の同意があったと考えられる範囲は、患者のための医療サービスの提供に必要な利用の範囲であり、別表2の「患者への医療の提供に必要な利用目的」を参考に各医療機関等が示した利用目的に限られるものとする。
なお、院内揭示等においては、
(P)患者は、医療機関等が示す利用目的の中で同意しがたいものがある場合には、その事項について、あらかじめ本人の明確な同意を得るよう医療機関等に求めることができること。
(1)患者が、(P)の意思表示を行わない場合は、公表された利用目的について患者の同意が得られたものとすること。
(9)同意及び留保は、その後、患者からの申出により、いつでも変更することが可能であること。をあわせて揭示するものとする。
※上記①の(P)～(I)の具体例
(例)
・他の医療機関宛に発行した紹介状等を本人が持参する場合
医療機関等において他の医療機関等への紹介状、処方せん等を発行し、当該書面を本人が他の医療機関等に持参した場合、当該第三者提供については、本人の同意があったものと考えられ、当該書面の内容に関し、医療機関等との間での情報交換を行うことについて同意が得られたものと考えられる。
・他の医療機関等からの照会に回答する場合
診療所Aを過去に受診したことのある患者が、病院Bにおいて現に受診中の場合で、病院B
から診療所Aに対し過去の診察結果等について照会があった場合、病院Bの担当医師等が受診中の患者から同意を得ていることが確認できれば、診療所Aは自らが保有する診療情報の病院Bへの提供について、患者の同意が得られたものと考えられる。
•家族等への病状説明
病態等について、本人と家族等に対し同時に説明を行う場合には、明示的に本人の同意を得なくても、その本人と同時に説明を受ける家族等に対する診療情報の提供について、本人の同意が得られたものと考えられる。
同様に、児童・生徒の治療に教職員が付き添ってきた場合についても、児童・生徒本人が教職員の同席を拒まないのであれば、本人と教職員を同席させて、治療内容等について説明を行うことができると考えられる。
③医療機関等が、労働安全衛生法第66条、健康保険法第150条、国民健康保険法第82条又は高齢者の医療の確保に関する法律第20条、第24条若しくは第125条により、事業者又は保険者が行う健康診断等を受託した場合、その結果である労働者等の個人データを委託元である当該事業者又は保険者に対して提供することについて、本人の同意が得られていると考えられる。
④介護関係事業者については、介護保険法に基づく指定基準において、サービス担当者会議等で利用者の個人情報を用いる場合には利用者の同意を、利用者の家族の個人情報を用いる場合には家族の同意を、あらかじめ文書により得ておかなければならないとされていることを踏まえ、事業所内への掲示によるのではなく、サービス利用開始時に適切に利用者から文書により同意を得ておくことが必要である。
(4)「第三者」に該当しない場合
①他の事業者等への情報提供であるが、「第三者」に該当しない場合
法第23条第5項の各号に掲げる場合の当該個人データの提供を受ける者については、第三者に該当せず、本人の同意を得すに情報の提供を行うことができる。医療・介護関係事業者における具体的事例は以下のとおりである。
•検査等の業務を委託する場合
•外部監査機関への情報提供(公益財団法人)日本医療機能評価機構が行う病院機能評価等)
•個人データを特定の者との間で共同して利用するとして、あらかじめ本人に通知等している場合
※個人データの共同での利用における留意事項
病院と訪問看護ステーションが共同で医療サービスを提供している場合など、あらかじめ個人データを特定の者との間で共同して利用することが予定されている場合、(1)共同して利用される個人データの項目、(1)共同利用者の範囲(個別列挙されているか、本人から見てその範囲が明確となるように特定されている必要がある)、(1)利用する者の利用目的、(1)当該個人データの管理について責任を有する者の氏名又は名称、をあらかじめ本人に通知し、又は本人が容易に知り得る状態においておくとともに、共同して利用することを明
から診療所Aに対し過去の診察結果等について照会があった場合、病院Bの担当医師等が受診中の患者から同意を得ていることが確認できれば、診療所Aは自らが保有する診療情報の病院Bへの提供について、患者の同意が得られたものと考えられる。
•家族等への病状説明
病態等について、本人と家族等に対し同時に説明を行う場合には、明示的に本人の同意を得なくても、その本人と同時に説明を受ける家族等に対する診療情報の提供について、本人の同意が得られたものと考えられる。
同様に、児童・生徒の治療に教職員が付き添ってきた場合についても、児童・生徒本人が教職員の同席を拒まないのであれば、本人と教職員を同席させて、治療内容等について説明を行うことができると考えられる。
③医療機関等が、労働安全衛生法第66条、健康保険法第150条、国民健康保険法第82条又は高齢者の医療の確保に関する法律第20条、第24条若しくは第125条により、事業者又は保険者が行う健康診断等を受託した場合、その結果である労働者等の個人データを委託元である当該事業者又は保険者に対して提供することについて、本人の同意が得られていると考えられる。
④介護関係事業者については、介護保険法に基づく指定基準において、サービス担当者会議等で利用者の個人情報を用いる場合には利用者の同意を、利用者の家族の個人情報を用いる場合には家族の同意を、あらかじめ文書により得ておかなければならないとされていることを踏まえ、事業所内への掲示によるのではなく、サービス利用開始時に適切に利用者から文書により同意を得ておくことが必要である。
(4)「第三者」に該当しない場合
①他の事業者等への情報提供であるが、「第三者」に該当しない場合
法第23条第4項の各号に掲げる場合の当該個人データの提供を受ける者については、第三者に該当せず、本人の同意を得すに情報の提供を行うことができる。医療・介護関係事業者における具体的事例は以下のとおりである。
•検査等の業務を委託する場合
•外部監査機関への情報提供(財)日本医療機能評価機構が行う病院機能評価等)
•個人データを特定の者との間で共同して利用するとして、あらかじめ本人に通知等している場合
※個人データの共同での利用における留意事項
病院と訪問看護ステーションが共同で医療サービスを提供している場合など、あらかじめ個人データを特定の者との間で共同して利用することが予定されている場合、(1)共同して利用される個人データの項目、(1)共同利用者の範囲(個別列挙されているか、本人から見てその範囲が明確となるように特定されている必要がある)、(1)利用する者の利用目的、(1)当該個人データの管理について責任を有する者の氏名又は名称、をあらかじめ本人に通知し、又は本人が容易に知り得る状態においておくとともに、共同して利用することを明
らかにしている場合には、当該共同利用者は第三者に該当しない。
この場合、(7)、(1)については変更することができず、(9)、(1)については、本人が想定することが困難でない範囲内で変更することができ、変更する場合は、本人に通知又は本人の容易に知り得る状態におかなければならない。
②同一事業者内における情報提供であり、第三者に該当しない場合
同一事業者内で情報提供する場合は、当該個人データを第三者に提供したことにはならないので、本人の同意を得すに情報の提供を行うことができる。医療・介護関係事業者における具体的事例は以下のとおりである。
•病院内の他の診療科との連携など当該医療・介護関係事業者内部における情報の交換
•同一事業者が開設する複数の施設間における情報の交換
•当該事業者の職員を対象とした研修での利用（ただし、第三者提供に該当しない場合であっても、当該利用目的が院内掲示等により公表されていない場合には、具体的な利用方法について本人の同意を得るか（Ⅲ1.参照）、個人が特定されないよう匿名化する必要がある（Ⅱ4.参照））
•当該事業者内で経営分析を行うための情報の交換
(5)その他留意事項
•他の事業者への情報提供に関する留意事項
第三者提供を行う場合のほか、他の事業者への情報提供であっても、①法令に基づく場合など第三者提供の例外に該当する場合、②「第三者」に該当しない場合、③個人が特定されないように匿名化して情報提供する場合などにおいては、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないようにすべきである。
特に、医療事故等に関する情報提供に当たっては、患者・利用者及び家族等の意思を踏まえ、報告において氏名等が必要とされる場合を除き匿名化（Ⅱ4.参照）を行う。また、医療事故発生直後にマスコミへの公表を行う場合等については、匿名化する場合であっても本人又は家族等の同意を得るよう努めるものとする。
(適切ではない例)
•医師及び薬剤師が製薬企業のMR（医薬品情報担当者）、医薬品卸業者のMS（医薬品販売担当者）等との間で医薬品の投薬効果などについて情報交換を行う場合に、必要でない氏名等の情報を削除せずに提供すること。
【法の規定により遵守すべき事項等】
•医療・介護関係事業者においては、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。なお、(2)の本人の同意を得る必要がない場合に該当する場合には、本人の同意を得る必要はない。
•個人データの第三者提供について本人の同意があった場合で、その後、本人から第三者提供の範囲の一部についての同意を取り消す旨の申出があった場合は、その後の個人データの取扱い
らかにしている場合には、当該共同利用者は第三者に該当しない。
この場合、(7)、(1)については変更することができず、(9)、(1)については、本人が想定することが困難でない範囲内で変更することができ、変更する場合は、本人に通知又は本人の容易に知り得る状態におかなければならない。
②同一事業者内における情報提供であり、第三者に該当しない場合
同一事業者内で情報提供する場合は、当該個人データを第三者に提供したことにはならないので、本人の同意を得すに情報の提供を行うことができる。医療・介護関係事業者における具体的事例は以下のとおりである。
•病院内の他の診療科との連携など当該医療・介護関係事業者内部における情報の交換
•同一事業者が開設する複数の施設間における情報の交換
•当該事業者の職員を対象とした研修での利用（ただし、第三者提供に該当しない場合であっても、当該利用目的が院内掲示等により公表されていない場合には、具体的な利用方法について本人の同意を得るか（Ⅲ1.参照）、個人が特定されないよう匿名化する必要がある（Ⅱ2.参照））
•当該事業者内で経営分析を行うための情報の交換
(5)その他留意事項
•他の事業者への情報提供に関する留意事項
第三者提供を行う場合のほか、他の事業者への情報提供であっても、①法令に基づく場合など第三者提供の例外に該当する場合、②「第三者」に該当しない場合、③個人が特定されないように匿名化して情報提供する場合などにおいては、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないようにすべきである。
特に、医療事故等に関する情報提供に当たっては、患者・利用者及び家族等の意思を踏まえ、報告において氏名等が必要とされる場合を除き匿名化（Ⅱ4.参照）を行う。また、医療事故発生直後にマスコミへの公表を行う場合等については、匿名化する場合であっても本人又は家族等の同意を得るよう努めるものとする。
(適切ではない例)
•医師及び薬剤師が製薬企業のMR（医薬品情報担当者）、医薬品卸業者のMS（医薬品販売担当者）等との間で医薬品の投薬効果などについて情報交換を行う場合に、必要でない氏名等の情報を削除せずに提供すること。
【法の規定により遵守すべき事項等】
•医療・介護関係事業者においては、あらかじめ本人の同意を得ないで、個人データを第三者提供してはならない。なお、(2)の本人の同意を得る必要がない場合には、本人の同意を得る必要はない。
•個人データの第三者提供について本人の同意があった場合で、その後、本人から第三者提供の範囲の一部についての同意を取り消す旨の申出があった場合は、その後の個人データの取扱い
医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス 対照表

については、本人の同意のあった範囲に限定して取り扱うものとする。
【その他の事項】
•第三者提供に該当しない情報提供が行われる場合であっても、院内や事業所内等への揭示、ホームページ等により情報提供先をできるだけ明らかにするとともに、患者・利用者等からの問合せがあった場合に回答できる体制を確保する。
•例えば、業務委託の場合、当該医療・介護関係事業者において委託している業務の内容、委託先事業者、委託先事業者との間での個人情報の取扱いに関する取り決めの内容等について公開することが考えられる。
6. 外国にある第三者への提供の制限（法第24条）
詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」（平成28年個人情報保護委員会告示第7号）を参照のこと。
(外国にある第三者への提供の制限)
法第二十四条 個人情報取扱事業者は、外国（本邦の境外にある国又は地域をいう。以下同じ。）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものを除く。以下この条において同じ。）にある第三者（個人データの取扱いについてこの節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この条において同じ。）に個人データを提供する場合には、前条第一項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は、適用しない。
規則第十一条 法第二十四条の個人情報保護委員会規則で定める基準は、次の各号のいずれかに該当することとする。
一 個人情報取扱事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第四章第一節の規定の趣旨に沿った措置の実施が確保されていること。
二 個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。
【法の規定により遵守すべき事項等】
•医療・介護関係事業者が、法第24条の規定に基づき、外国にある第三者に個人データを提供する場合には、法第23条第1項各号（※）に定める場合を除き、外国にある第三者へ提供することについて本人の同意を得なければならない。
•ただし、次の①又は②のいずれかに該当する場合は、国内と同様に法第23条第1項柱書の規定に基づく本人同意による第三者提供、又は同条第5項に基づく委託、共同利用による提供が可能である。
①外国にある第三者が、日本と同等の水準にあると認められる個人情報保護制度を有している国として個人情報の保護に関する法律施行規則（平成28年個人情報保護委員会規則第3号。以下「規則」という。）で定める国にある場合

②外国にある第三者が、個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制として規則で定める基準に適合する体制を整備している場合

## （※）法第23条第1項各号

・法令に基づいて個人データを提供する場合（第1号関係）

・人（法人を含む。）の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得ることが困難である場合（第2号関係）

公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることが困難である場合（第3号関係）

・国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であって、協力する民間企業等が当該国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合（第4号関係）

• 外国にある第三者に対する個人データの提供が、法第23条に規定する方法のいずれにより行われるかによって、法第24条の適用が決まる。

（1）本人の同意に基づき提供する方法（法第23条第1項柱書）

医療・介護関係事業者において「外国にある第三者への提供を認める旨の本人の同意」が得られている場合には、外国にある第三者への提供が可能である。他方、医療・介護関係事業者において「第三者提供を認める旨の本人の同意」が得られている場合で、かつ、①又は②に該当するときは、日本国内と同等の個人情報保護レベルが担保できているため、外国にある第三者への提供が可能である。

## (2) 委託、事業承継又は共同利用に伴って提供する方法（法第23条第5項各号）

「外国にある第三者への提供を認める旨の本人の同意」が得られている場合、又は、①又は②に該当する場合は、外国にある第三者に対し、委託、事業承継、共同利用に伴って個人データを提供することができる。

## (3) 法第23条第1項各号に掲げる場合により提供する方法

法第23条第1項各号に掲げる場合で、外国にある第三者へ個人データを提供する際には、本人の同意を得る必要はない。

・上記②個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準については、規則第11条に規定されている。

・「適切かつ合理的な方法」は、個々の事例ごとに判断されるべきであるが、個人データの提供先である外国にある第三者が、我が国の個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずることを担保することができる方法である必要がある。例えば、次の事
例が該当する。

(例)

・外国にある事業者に個人データの取扱いを委託する場合

提供元及び提供先間の契約、確認書、覚書等

・契約等に法第4章第1節に関する全ての事項を規定しなければならないものではなく、実質的に適切かつ合理的な方法により、措置の実施が確保されていればよい。なお、典型的な事例として日本にある事業者が、外国にある事業者に個人データの取扱いを委託する場合を挙げ、外国にある第三者又は提供元である日本にある事業者が講ずべき措置の具体例を示すこととする。

・利用目的の特定（法第15条の趣旨に沿った措置）

（例）委託契約において、外国にある事業者による利用目的を特定する。

・利用目的による制限（法第16条の趣旨に沿った措置）

・適正な取得（法第17条第1項の趣旨に沿った措置）

（例）外国にある事業者が委託契約に基づいて適切に個人データを取得していることが自明であれば、不正の手段による取得ではない。

・取得に際しての利用目的の通知（法第18条の趣旨に沿った措置）

（例）日本にある事業者から患者に対して利用目的の通知等をする。（利用目的の範囲を別表2で示し、院内揭示等での公表で差し支えない）

・データ内容の正確性の確保等（法第19条の趣旨に沿った措置）

（例）委託契約によりデータ内容の正確性の確保等について規定するか、又は、データ内容の正確性の確保等に係る責任を個人データの提供元たる事業者が負うこととする。

・安全管理措置（法第20条の趣旨に沿った措置）

（例）委託契約により外国にある事業者が安全管理措置を講ずる旨を規定する。

・従業者の監督（法第21条の趣旨に沿った措置）

（例）委託契約により外国にある事業者の従業者の監督に係る措置を規定する。

・委託先の監督（法第22条の趣旨に沿った措置）

（例）委託契約により外国にある事業者の再委託先の監督に係る措置を規定する。

・第三者提供の制限（法第23条の趣旨に沿った措置）

（例）委託契約により外国にある事業者からの個人データの第三者提供を禁止する。

・外国にある第三者への提供の制限（法第24条の趣旨に沿った措置）

（例）委託契約により外国にある事業者からの個人データの第三者提供を禁止する。

・保有個人データに関する事項の公表等（法第27条の趣旨に沿った措置）

（例）提供する個人データが外国にある事業者にとって「保有個人データ」に該当する場合には、委託契約により、委託元が保有個人データに関する事項の公表等に係る義務を履行することについて明確にする。なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。

・開示（法第28条の趣旨に沿った措置）

（例）提供する個人データが外国にある事業者にとって「保有個人データ」に該当する場合には、委託契約により、委託元が開示に係る義務を履行することについて明確にする。な
お、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。

・訂正等（法第29条の趣旨に沿った措置）

（例）提供する個人データが外国にある事業者にとって「保有個人データ」に該当する場合には、委託契約により、委託元が訂正等に係る義務を履行することについて明確にする。なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。

・利用停止等（法第30条の趣旨に沿った措置）

（例）提供する個人データが外国にある事業者にとって「保有個人データ」に該当する場合には、委託契約により、委託元が利用停止等に係る義務を履行することについて明確にする。なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。

・理由の説明（法第31条の趣旨に沿った措置）

（例）提供する個人データが外国にある事業者にとって「保有個人データ」に該当する場合には、委託契約により、委託元が理由の説明に係る義務を履行することについて明確にする。なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。

・開示等の請求等に応じる手続（法第32条の趣旨に沿った措置）

（例）提供する個人データが外国にある事業者にとって「保有個人データ」に該当する場合には、委託契約により、委託元が開示等の請求等に応じる手続を履行することについて明確にする。なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。

・手数料（法第33条の趣旨に沿った措置）

（例）提供する個人データが外国にある事業者にとって「保有個人データ」に該当する場合には、委託契約により、委託元が手数料に係る措置を履行することについて明確にする。なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。

• 個人情報取扱事業者による苦情の処理（法第35条の趣旨に沿った措置）

（例）提供する個人データが外国にある事業者にとって「保有個人データ」に該当する場合には、委託契約により、委託元が法第35条に係る義務を履行することについて明確にする。なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。

### 7. 第三者提供に係る記録の作成等（法第25条）

## (新設)

詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」（平成28年個人情報保護委員会告示第8号）を参照のこと。

（第三者提供に係る記録の作成等）

法第二十五条 個人情報取扱事業者は、個人データを第三者（第二条第五項各号に掲げる者を除く。略）に提供したときは、個人情報保護委員会規則で定めるところにより、当該個人データを
提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。ただし、当該個人データの提供が第二十三条第一項各号又は第五項各号のいずれか（略）に該当する場合は、この限りでない。

2 個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。

## （第三者提供に係る記録の作成）

規則第十二条 法第二十五条第一項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。

2 法第二十五条第一項の記録は、個人データを第三者（略）に提供した都度、速やかに作成しなければならない。ただし、当該第三者に対し個人データを継続的に若しくは反復して提供（略）したとき、又は当該第三者に対し個人データを継続的に若しくは反復して提供することが確実であると見込まれるときの記録は、一括して作成することができる。

3 前項の規定にかかわらず、法第二十三条第一項又は法第二十四条の規定により、本人に対する物品又は役務の提供に関連して当該本人に係る個人データを第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に次条第一項各号に定める事項が記載されているときは、当該書面をもって法第二十五条第一項の当該事項に関する記録に代えることができる。

## （第三者提供に係る記録事項）

規則第十三条 法第二十五条第一項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。

一 法第二十三条第二項の規定により個人データを第三者に提供した場合 次のイから二までに掲げる事項

イ 当該個人データを提供した年月日

当該第三者の氏名又は名称その他の当該第三者を特定するに足りる事項（不特定かつ多数の者に対して提供したときは、その旨）

当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項

## 二 当該個人データの項目

二 法第二十三条第一項又は法第二十四条の規定により個人データを第三者に提供した場合次のイ及び口に掲げる事項

イ法第二十三条第一項又は法第二十四条の本人の同意を得ている旨

前号口から二までに掲げる事項

2 前項各号に定める事項のうち、既に前条に規定する方法により作成した法第25条第1項の記録（当該記録を保存している場合におけるものに限る。）に記録されている事項と内容が同一であるものについては、法第25条第1項の当該事項の記録を省略することができる。

（第三者提供に係る記録の保存期間）

規則第十四条 法第二十五条第二項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とする。

一 第十二条第三項に規定する方法により記録を作成した場合 最後に当該記録に係る個人デ
一夕の提供を行った日から起算して一年を経過する日までの間二 第十二条第二項ただし書に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を行った日から起算して三年を経過する日までの間三 前二号以外の場合 三年(1) 記録義務が適用されない場合以下の場合には記録義務が適用されない。①第三者が法第2条第5項各号に掲げる者である場合以下の1) から4) までに掲げる者との間で個人データの授受を行う場合、記録義務は適用されない。1) 国の機関(法第2条第5項第1号関係)2) 地方公共団体(法第2条第5項第2号関係)3) 独立行政法人等(独立行政法人等の保有する個人情報の保護に関する法律(平成15年法律第59号)第2条第1項に規定する独立行政法人等をいう。)(法第2条第5項第3号関係)4) 地方独立行政法人(地方独立行政法人法(平成15年法律第118号)第2条第1項に規定する地方独立行政法人をいう。)(法第2条第5項第4号関係)②法第23条第1項各号に該当する場合(Ⅲ5.(2)参照)個人データが転り流通することは想定されくいことに鑑み、記録義務は適用されない。1) 法令に基づいて個人データを提供する場合(第1号関係)(例) ·審査支払機関へのレセプトの提出2) 人(法人を含む。)の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得ることが困難である場合(第2号関係)3) 公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることが困難である場合(第3号関係)4) 国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であって、協力する民間企業等が当該国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合(第4号関係)③法第23条第5項各号に該当する場合(Ⅲ5.(4)参照)「第三者に該当しないものとする」とされていることに鑑み、記録義務は適用されない。1) 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合(法第23条第5項第1号関係)(例)
## ・検体検査業務の委託その他の業務委託

・保険事務の委託

・事業者等からの委託を受けて健康診断等を行った場合における、事業者等へのその結果の通知

・医療機関等の管理運営業務のうち、外部監査機関への情報提供

2）合併その他の事由による事業の承継に伴って個人データが提供される場合（法第23条第5項第2号関係）

3）特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき（法第23条第5項第3号関係）

## ④本人に代わって提供している場合

医療・介護関係事業者が患者・利用者本人からの委託等に基づき当該本人の個人データを第三者提供する場合は、当該個人情報取扱事業者は「本人に代わって」個人データの提供をしているものである。

したがって、この場合の第三者提供については、記録義務は適用されない。

(例)

医療機関等が患者等に提供する医療サービスのうち、

他の病院、診療所、助産所、薬局、訪問看護ステーション、介護サービス事業者等との連携

・他の医療機関等からの照会への回答

・患者の診療等に当たり、外部の医師等の意見・助言を求める場合

・審査支払機関又は保険者からの照会への回答

・医師賠償責任保険などに係る、医療に関する専門の団体、保険会社等への相談又は届出等

## ⑤本人と一体と評価できる関係にある者に提供する場合

本人の代理人又は家族等、本人と一体と評価できる関係にある者に提供する場合、本人側に対する提供とみなし、記録義務は適用されない。

(例)

## ・家族等への病状説明

## 【法の規定により遵守すべき事項等】

## （２）記録義務の適用

（１）に記載したいずれの場合にも該当しない場合で、医療・介護関係事業者が個人データを第三者に提供したときは、法令に定める記録の作成及びその記録を保存しなければならない。

①記録を作成する方法など

1）記録を作成する媒体
医療・介護関係事業者は、記録を、文書、電磁的記録又はマイクロフィルムを用いて作成しなければならない。

## 2 ）記録を作成する方法

医療・介護関係事業者は、原則として、個人データの授受の都度、速やかに記録を作成しなければならない。

## 3 ）一括して記録を作成する方法

一定の期間内に特定の事業者との間で継続的に又は反復して個人データを授受する場合は、個々の授受に係る記録を作成する代わりに、一括して記録を作成することができる。

## 4 ）契約書等の代替手段による方法

医療・介護関係事業者が、本人に対する物品又は役務の提供に係る契約を締結し、その契約の履行に伴って、契約の相手方を本人とする個人データを医療・介護関係事業者から第三者に提供する場合は、その提供の際に作成した契約書その他の書面をもって個人データの流通を追跡することが可能であるから当該契約書その他の書面をもって記録とすることができる。

## 5 ）代行により記録を作成する方法

提供者、受領者のいずれも記録の作成方法、保存期間は同一であることに鑑みて受領者は提供者の記録義務の全部又は一部を代替して行うことができる（提供者と受領者の記録事項の相違については留意する必要がある。）。なお、この場合であっても、提供者及び受領者は自己の義務が免責されるわけではないことから、実質的に自ら記録作成義務を果たしているものと同等の体制を構築しなければならない。

## ②記録事項

## 1 ）提供者の記録事項

医療・介護関係事業者が、本人の同意に基づき個人データの第三者提供を行う場合は、次の項目を記録しなければならない。

## ・本人同意を得ている旨

・第三者の氏名又は名称その他の当該第三者を特定できる事項

・個人データによって識別される本人の氏名その他の当該本人を特定できる事

## ・個人データの項目

## ③記録事項の省略

複数回にわたって同一「本人」の個人データの授受をする場合において、同一の内容である事項を重複して記録する必要はない。既に「7.（2）記録義務の適用」に規定する方法により作成した記録（現に保存している場合に限る。）に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。
## ④保存期間

医療・介護関係事業者は、作成した記録を規則で定める期間保存しなければならない。保存期間は記録の作成方法によって異なるので留意が必要である。

記録の作成方法の別	保存期間
契約書等の代替手段による方法により記録を作成した場合	最後に当該記録に係る個人データの提供を行った日から起算して1年を経過する日までの間
一括して記録を作成する方法により記録を作成した場合	最後に当該記録に係る個人データの提供を行った日から起算して3年を経過する日までの間
上記以外の場合	3年

### 8. 第三者提供を受ける際の確認等（法第26条）

詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」（平成28年個人情報保護委員会告示第8号）を参照のこと。

## （第三者提供を受ける際の確認等）

法第二十六条 個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、個人情報保護委員会規則で定めるところにより、次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供が第二十三条第一項各号又は第五項各号のいずれかに該当する場合は、この限りでない。

一 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名

## 二 当該第三者による当該個人データの取得の経緯

2 前項の第三者は、個人情報取扱事業者が同項の規定による確認を行う場合において、当該個人情報取扱事業者に対して、当該確認に係る事項を偽ってはならない。

3 個人情報取扱事業者は、第一項の規定による確認を行ったときは、個人情報保護委員会規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。

4 個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。

（第三者提供を受ける際の確認）

規則第十五条 法第二十六条第一項の規定による同項第一号に掲げる事項の確認を行う方法は、個人データを提供する第三者から申告を受ける方法その他の適切な方法とする。

2 法第二十六条第一項の規定による同項第二号に掲げる事項の確認を行う方法は、個人データを提供する第三者から当該第三者による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法とする。

3 前二項の規定にかかわらず、第三者から他の個人データの提供を受けるに際して既に前二項に規定する方法による確認（当該確認について次条に規定する方法による記録の作成及び保存をしている場合におけるものに限る。）を行っている事項の確認を行う方法は、当該事項の内容と当該提供に係る法第二十六条第一項各号に掲げる事項の内容が同一であることの確認を行う方法

## (新設)