Silviase/jgov_v1.4_full_ann huggingface dataset:
国保組合は、あらかじめ本人の同意を得ないで法第17条の規定により特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならないが(法第18条第1項)、同条第3項に掲げる場合については、本人の同意を得る必要はない。具体的な例としては以下のとおりである。	国保組合は、あらかじめ本人の同意を得ないで法第15条の規定により特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならないが(法第16条第1項)、同条第3項に掲げる場合については、本人の同意を得る必要はない。具体的な例としては以下のとおりである。
①法令に基づく場合国民健康保険法第106条に基づく報告の徴収等、その他法令に基づいて個人情報を利用する場合根拠となる法令の規定としては、一般に刑事訴訟法第218条(令状による捜査)、地方税法第72条の63(個人の事業税に関する調査に係る質問検査権、各種税法に類似の規定あり)等が考えられる。これらの法令は強制力を伴って回答が義務づけられるため、国保組合は捜査等が行われた場合、回答する義務が生じる。また、刑事訴訟法第197条第2項(捜査に必要な取調べ)等については、法の例外規定の対象であるが、当該法令において任意協力とされており、国保組合は取調べ等が行われた場合、回答するか否かについて個別の事例ごとに判断する必要がある。この場合、本人の同意を得ずに個人情報を取扱ったとしても、法第18条違反とはならないが、当該本人からの民法に基づく損害賠償請求等を求められるおそれがある。	①法令に基づく場合国民健康保険法第106条に基づく報告の徴収等、法令に基づいて個人情報を利用する場合根拠となる法令の規定としては、一般に刑事訴訟法第218条(令状による捜査)、地方税法第72条の63(個人の事業税に関する調査に係る質問検査権、各種税法に類似の規定あり)等が考えられる。これらの法令は強制力を伴って回答が義務づけられるため、国保組合は捜査等が行われた場合、回答する義務が生じる。また、刑事訴訟法第197条第2項(捜査に必要な取調べ)等については、法の例外規定の対象であるが、当該法令において任意協力とされており、国保組合は取調べ等が行われた場合、回答するか否かについて個別の事例ごとに判断する必要がある。この場合、本人の同意を得ずに個人情報を取扱ったとしても、法第16条違反とはならないが、当該本人からの民法に基づく損害賠償請求等を求められるおそれがある。
②人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき(例)·意識不明となった被保険者について、家族の連絡先等に関する情報を医療	②人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき(例)·意識不明となった被保険者について、家族の連絡先等に関する情報を医療
機関等に提供する場合
③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき(例)·疫学上の調査・研究のために、健康診査やがん検診等から得られた情報を個人名を伏せて研究者に提供する場合·医療安全の向上のため、国保組合にレセプトを提出する医療機関で発生した医療事故等に関する国、地方公共団体又は第三者機関等に対し情報提供するために個人情報を取り扱う場合
④国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき(例)·事業者が警察の任意の求めに応じて個人情報を取り扱う場合·一般統計調査や地方公共団体が行う統計調査において個人情報を取り扱う場合
⑤当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的(以下「学術研究目的」という。)で取り扱う必要があるとき(当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)。	機関等に提供する場合
③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき(例)·疫学上の調査・研究のために、健康診査やがン検診等から得られた情報を個人名を伏せて研究者に提供する場合·医療安全の向上のため、国保組合にレセプトを提出する医療機関で発生した医療事故等に関する国、地方公共団体又は第三者機関等に対し情報提供するために個人情報を取り扱う場合
④国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき(例)·事業者が警察の任意の求めに応じて個人情報を取り扱う場合·一般統計調査や地方公共団体が行う統計調査において個人情報を取り扱う場合
(新設)
「学術研究機関等」とは、大学その他の学術研究を目的とする機関若しくは団体（大学、学会）又はそれらに属する者をいい、国保組合はこれに当たらない。⑥学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。【法の規定により遵守すべき事項等】·国保組合は、個人情報を取り扱うに当たって、その利用目的をできる限り特定しなければならない。·国保組合は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。·国保組合は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない。なお、本人の同意を得るために個人情報を利用すること（同意を得るために被保険者の連絡先を利用して電話をかける場合など）、個人情報を匿名加工情報及び仮名加工情報に加工することは差し支えない。·個人情報を取得する時点で、本人の同意があったにもかかわらず、その後、本人から利用目的の一部についての同意を取り消す旨の申出があった場合は、その後の個人情報の取扱いについては、本人の同意が取り消されなかった範囲に限定して取り扱う。·国保組合は、合併その他の事由により他の事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当	(新設)【法の規定により遵守すべき事項等】·国保組合は、個人情報を取り扱うに当たって、その利用目的をできる限り特定しなければならない。·国保組合は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。·国保組合は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない。なお、本人の同意を得るために個人情報を利用すること（同意を得るために被保険者の連絡先を利用して電話をかける場合など）、個人情報を匿名化するために個人情報に加工を行うことは差し支えない。·個人情報を取得する時点で、本人の同意があったにもかかわらず、その後、本人から利用目的の一部についての同意を取り消す旨の申出があった場合は、その後の個人情報の取扱いについては、本人の同意が取り消されなかった範囲に限定して取り扱う。·国保組合は、合併その他の事由により他の事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
該個人情報を取り扱ってはならない。·利用目的の制限の例外(法第18条第3項)に該当する場合は、本人の同意を得ずに個人情報を取り扱うことができる。(利用目的を変更する場合の取扱いについてはⅢ3.を参照)【その他の事項】·利用目的の制限の例外に該当する「法令に基づく場合」等であっても、利用目的以外の目的で個人情報を取り扱う場合は、当該法令等の趣旨をふまえ、その取り扱う範囲を真に必要な範囲に限定することが求められる。·被保険者が未成年者等の場合、法定代理人の同意を得ることで足りるが、一定の判断能力を有する未成年者等については、法定代理人等の同意にあわせて本人の同意を得る。	·利用目的の制限の例外(法第16条第3項)に該当する場合は、本人の同意を得ずに個人情報を取り扱うことができる。(利用目的を変更する場合の取扱いについてはⅢ2.を参照)【その他の事項】·利用目的の制限の例外に該当する「法令に基づく場合」等であっても、利用目的以外の目的で個人情報を取り扱う場合は、当該法令等の趣旨をふまえ、その取り扱う範囲を真に必要な範囲に限定することが求められる。·被保険者が未成年者等の場合、法定代理人の同意を得ることで足りるが、一定の判断能力を有する未成年者等については、法定代理人等の同意にあわせて本人の同意を得る。
2. 不適切な利用の禁止(法第19条)	(新設)
(不適正な利用の禁止)法第十九条 個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。【法の規定により遵守すべき事項等】·国保組合は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。·「違法又は不当な行為」とは、法その他の法令に違反する行為、及び直ちに違法とはいえないものの、法その他の法令の制度趣旨又は公序良俗に反する等、社会通念上適正とは認められない行為をいう。·「おそれ」の有無は、個人情報取扱事業者による個人情報の利用が、違法又は不当な行為を助長又は誘発することについて、社会通念上蓋然性が	(新設)
認められるか否かにより判断される。この判断に当たっては、個人情報の利用方法等の客観的な事情に加えて、個人情報の利用時点における個人情報取扱事業者の認識及び予見可能性も踏まえる必要がある。例えば、個人情報取扱事業者が第三者に個人情報を提供した場合において、当該第三者が当該個人情報を違法な行為に用いた場合であっても、当該第三者が当該個人情報の取得目的を偽っていた等、当該個人情報の提供の時点において、提供した個人情報が違法に利用されることについて、当該個人情報取扱事業者が一般的な注意力をもってしても予見できない状況であった場合には、「おそれ」は認められないと解される。

(違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例)

事例1）違法行為を営むことが疑われる事業者に対し、当該事業者の違法な行為を助長するおそれが想定されるにも関わらず、個人情報を提供する場合

事例2）個人情報を提供した場合、提供先において法第27条第1項に違反する第三者提供がなされることを予見できるにもかかわらず、当該提供先に対して、個人情報を提供する場合

事例3）個人情報を取得した国保組合が、性別、国籍等の特定の属性のみにより、正当な理由なく本人に対する違法な差別的取扱いを行うために、個人情報を利用する場合
3. 利用目的の通知等 (法第21条)	2. 利用目的の通知等 (法第18条)
(取得に際しての利用目的の通知等)法第二十一条 (略)	(取得に際しての利用目的の通知等)法第十八条 (略)
4. 個人情報の適正な取得、個人データ内容の正確性の確保 (法第20条、第22条)	3. 個人情報の適正な取得、個人データ内容の正確性の確保 (法第17条、第19条)
(適正な取得)法第二十条 (略)2 (略)一～四 (略)五 当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき (当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)。六 学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき (当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)(当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。)。七 当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、第五十七条第一項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合	(適正な取得)法第十七条 (略)2 (略)一～四 (略)(新設)(新設)五 当該要配慮個人情報が、本人、国の機関、地方公共団体、第七十六条第一項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合
八(略)
規則第六条 法第二十条第二項第七号の個人情報保護委員会規則で定める者は、次の各号のいずれかに該当する者とする。一(略)二外国において法第十六条第八項に規定する学術研究機関等に相当する者三(略)令第九条 法第二十条第二項第八号の政令で定める場合は、次に掲げる場合とする。一(略)二法第二十七条第五項各号(法第四十一条第六項の規定により読み替えて適用する場合及び法第四十二条第二項において読み替えて準用する場合を含む。)に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき。(データ内容の正確性の確保等)法第二十二条(略)【法の規定により遵守すべき事項等】·国保組合は、偽りその他の不正の手段により個人情報を取得してはならない。·保健指導等のために必要な過去の病歴等については、真に必要な範囲に	六(略)規則第六条 法第十七条第二項第五号の個人情報保護委員会規則で定める者は、次の各号のいずれかに該当する者とする。一 外国政府、外国の政府機関、外国の地方公共団体又は国際機関(新設)二(略)令第七条 法第十七条第二項第六号の政令で定める場合は、次に掲げる場合とする。一(略)二 法第二十二条第五項各号に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき。(データ内容の正確性の確保等)法第十九条(略)【法の規定により遵守すべき事項等】·国保組合は、偽りその他の不正の手段により個人情報を取得してはならない。·保健指導等のために必要な過去の病歴等については、真に必要な範囲に
ついて、本人から直接取得するほか、第三者提供について本人の同意を得た者（Ⅲ5.（3）の場合において本人の黙示の同意が得られていると考えられる者を含む。）から取得することを原則とする。ただし、本人の同意を得ず、本人以外の家族等から取得することが保健指導等のためにやむを得ない場合はこの限りでない。
·親の同意なく、十分な判断能力を有していない子どもから家族の個人情報を取得してはならない。
·要配慮個人情報を取得する場合には、あらかじめ本人の同意を得なければならない。ただし、法第20条第2項各号に定める場合については、本人の同意を得る必要はない。
(例)
·国民健康保険法第82条第2項に基づき、労働安全衛生法に基づく健康診断等について、事業者等から被保険者に関する健康診断に関する情報を取得する場合、法第20条第2項第1号に該当すると考えられる。
·急病その他の事態が生じたときに、本人の病歴等を国保組合に所属する医師や看護師が家族から聴取する場合、法第20条第2項第2号に該当すると考えられる。
·事業者が警察の任意の求めに応じて要配慮個人情報に該当する個人情報を提出するために、当該個人情報を取得する場合、法第20条第2項第4号に該当する可能性があると考えられる。
·なお、要配慮個人情報を、法第27条第5項各号に定める委託、事業承継又は共同利用により取得する場合は、あらかじめ本人の同意を得る必要はない。
ついて、本人から直接取得するほか、第三者提供について本人の同意を得た者（Ⅲ5.（3）の場合において本人の黙示の同意が得していると考えられる者を含む。）から取得することを原則とする。ただし、本人の同意を得ず、本人以外の家族等から取得することが保健指導等のためにやむを得ない場合はこの限りでない。
·親の同意なく、十分な判断能力を有していない子どもから家族の個人情報を取得してはならない。
·要配慮個人情報を取得する場合には、あらかじめ本人の同意を得なければならない。ただし、法第17条第2項各号に定める場合については、本人の同意を得る必要はない。
(例)
(新設)
·急病その他の事態が生じたときに、本人の病歴等を国保組合に所属する医師や看護師が家族から聴取する場合、法第17条第2項第2号に該当すると考えられる。
·事業者が警察の任意の求めに応じて要配慮個人情報に該当する個人情報を提出するために、当該個人情報を取得する場合、法第17条第2項第4号に該当する可能性があると考えられる。
·なお、要配慮個人情報を、法第23条第5項各号に定める委託、事業承継又は共同利用により取得する場合は、あらかじめ本人の同意を得る必要はない。
【法第20条第2項に違反している事例】本人の同意を得ることなく、法第20条第2項第7号及び規則第6条で定める者以外がインターネット上で公開している情報から本人の信条や犯罪歴等に関する情報を取得し、既に保有している当該本人に関する情報の一部として自己のデータベース等に登録すること。·国保組合は、適正な保険給付等を提供するという利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めなければならない。·国保組合は、保有する個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等は、当該個人データを遅滞なく消去するよう努めなければならない。（※）なお、法令の定め及び規程により保存期間等が定められている場合は、この限りではない。（※）「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む。【その他の事項】·第三者提供により他の国保組合から個人情報を取得したとき、当該個人	【法第17条第2項に違反している事例】本人の同意を得ることなく、法第17条第2項第5号及び規則第6条で定める者以外がインターネット上で公開している情報から本人の信条や犯罪歴等に関する情報を取得し、既に保有している当該本人に関する情報の一部として自己のデータベース等に登録すること。·国保組合は、適正な保険給付等を提供するという利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めなければならない。·国保組合は、保有する個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等は、当該個人データを遅滞なく消去するよう努めなければならない（※）。なお、法令の定め及び規程により保存期間等が定められている場合は、この限りではない。（※）「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む。【その他の事項】·第三者提供により他の国保組合から個人情報を取得したとき、当該個人
情報の内容に疑義が生じた場合には、記載内容の事実に関して本人に確認をとる。
・国保組合は、個人データの内容の正確性、最新性を確保するため、Ⅲ5.
(2)②に示す委員会等において、具体的なルールを策定したり、データ管理等の技術水準の向上のための研修の開催などを行ったりすることが望ましい。
・第三者提供(法第27条第1項各号に掲げる場合並びに個人情報の取扱いの委託、事業の承継及び共同利用に伴い、個人情報を提供する場合を除く。)により、個人情報(令第2条第2号に規定するものから取得した個人情報を除く。)を取得する場合には、提供元の法の遵守状況(例えば、オプトアウト(法第27条第2項・第3項参照)、利用目的、開示手続、問合せ・苦情の受付窓口を公表していることなど)を確認し、個人情報を適切に管理している者を提供元として選定するとともに、実際に個人情報を取得する際には、例えば、取得の経緯を示す契約書等の書面の点検又はこれに代わる合理的な方法により、当該個人情報の取得方法等を確認した上で、当該個人情報が適法に取得されたことが確認できない場合は、偽りその他不正の手段により取得されたものである可能性もあることから、その取得を自粛することを含め、慎重に対応することが望ましい。
5.安全管理措置、従業者の監督及び委託先の監督(法第23条～第25条)
(安全管理措置)
法第二十三条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
4.安全管理措置、従業者の監督及び委託先の監督(法第20条～第22条)
(安全管理措置)
法第二十条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
(従業者の監督)法第二十四条 (略)(委託先の監督)法第二十五条 (略)
(1) 国保組合が講ずるべき安全管理措置等①安全管理措置国保組合は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のため、組織的、人的、物理的、及び技術的安全管理措置等を講じなければならない。また、外国において個人データを取り扱う場合には、外的環境の把握を行ったうえで、これらの安全管理措置を講じなければならない。その際、本人の個人データが漏えい、滅失又は毀損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人データの取扱い状況等に起因するリスクに応じ、必要かつ適切な措置を講ずるものとする。なお、その際には、個人データを記録した媒体の性質に応じた安全管理措置を講ずる。②従業者の監督国保組合は、①の安全管理措置を遵守させるよう、従業者に対し必要かつ適切な監督をしなければならない。なお、「従業者」とは、当該事業者の指揮命令を受けて業務に従事する者全てを含むものであり、また、雇用関係のある者のみならず、理事、派遣労働者等も含むものである。「保険者における個人情報保護の徹底について」(平成15年3月14日保国発0314第1号)では、国保組合に対して、服務規程等において、国保組合の役職員について職員の守秘義務を課すこととしている。
(従業者の監督)法第二十一条 (略)(委託先の監督)法第二十二条 (略)
(1) 国保組合が講ずるべき安全管理措置等①安全管理措置国保組合は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のため、組織的、人的、物理的、及び技術的安全管理措置等を講じなければならない。その際、本人の個人データが漏えい、滅失又は毀損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人データの取扱い状況等に起因するリスクに応じ、必要かつ適切な措置を講ずるものとする。なお、その際には、個人データを記録した媒体の性質に応じた安全管理措置を講ずる。②従業者の監督国保組合は、①の安全管理措置を遵守させるよう、従業者に対し必要かつ適切な監督をしなければならない。なお、「従業者」とは、当該事業者の指揮命令を受けて業務に従事する者全てを含むものであり、また、雇用関係のある者のみならず、理事、派遣労働者等も含むものである。「保険者における個人情報保護の徹底について」(平成15年3月14日国民健康保険課長通知)では、国保組合に対して、服務規程等において、国保組合の役職員について職員の守秘義務を課すこととしている。
③ (略)	③ (略)
(2) 安全管理措置として考えられる事項 国保組合は、その取り扱う個人データの重要性に鑑み、個人データの漏えい、滅失又は毀損の防止その他の安全管理のため、その規模、従業者の様態等を勘案して、以下に示すような取組を参考に、必要な措置を行うものとする。 また、同一国保組合が複数の事務所(支部)を有する場合、当該事務所(支部)間の情報交換については第三者提供に該当しないが、各事務所(支部)ごとに安全管理措置を講ずるなど、個人情報の利用目的を踏まえた個人情報の安全管理を行う。	(2) 安全管理措置として考えられる事項 国保組合は、その取り扱う個人データの重要性に鑑み、個人データの漏えい、滅失又は毀損の防止その他の安全管理のため、その規模、従業者の様態等を勘案して、以下に示すような取組を参考に、必要な措置を行うものとする。 また、同一国保組合が複数の事務所(支部)を有する場合、当該事務所(支部)間の情報交換については第三者提供に該当しないが、各事務所(支部)ごとに安全管理措置を講ずるなど、個人情報の利用目的を踏まえた個人情報の安全管理を行う。
① (略)	① (略)
②個人情報保護推進のための組織体制等の整備 ·従業者の責任体制の明確化を図り、具体的な取組を進めるため、国保組合における個人情報保護に関し十分な知識を有する者を個人データの安全管理の実施及び運用に関する責任及び権限を有する個人情報取扱責任者(例えば、役員などの組織横断的に監督することのできる者)、個人情報管理担当者又は情報システム監査責任者等として定めたり、個人情報保護の推進を図るための部署、委員会等を設置する。 ·国保組合で行っている個人データの安全管理措置について定期的に自己評価を行い、見直しや改善を行うべき事項について適切な改善を行う。 ·個人情報保護対策及び最新の技術動向を踏まえた情報セキュリティ対策	②個人情報保護推進のための組織体制等の整備 ·従業者の責任体制の明確化を図り、具体的な取組を進めるため、国保組合における個人情報保護に関し十分な知識を有する者を個人データの安全管理の実施及び運用に関する責任及び権限を有する個人情報取扱責任者(例えば、役員などの組織横断的に監督することのできる者)、個人情報管理担当者又は情報システム監査責任者等として定めたり、個人情報保護の推進を図るための部署、委員会等を設置する。 ·国保組合で行っている個人データの安全管理措置について定期的に自己評価を行い、見直しや改善を行うべき事項について適切な改善を行う。 ·個人情報保護対策及び最新の技術動向を踏まえた情報セキュリティ対策
に十分な知見を有する者による事業所内の対応の確認（外部の知見を有する者を活用し確認させることを含む。）を実施する。
③個人データの漏えい等の問題が発生した場合等における報告連絡体制の整備
·1）個人データの漏えい等の事故が発生した場合、又は発生の可能性が高いと判断した場合、2）個人データの取扱いに関する規程等に違反している事実が生じた場合、又は兆候が高いと判断した場合における責任者等への報告連絡体制の整備を行う。
·個人データの漏えい等の情報は、苦情等の一環として、外部から報告される場合も想定されることから、苦情への対応体制との連携も図る。(Ⅲ15.参照)
④～⑥ (略)
⑦技術的安全管理措置
·個人データの盗難・紛失等を防止するため、「個人情報の適切な取扱いに係る基幹システムのセキュリティ対策の強化について（再要請）」(平成27年12月18日老発1218第1号・保発1218第1号)の主旨に則り、個人データを取り扱う情報システムについて以下のような技術的安全管理措置を行う。
-個人データに対するアクセス管理（ＩＤやパスワード等による認証、各職員の業務内容に応じて業務上必要な範囲にのみアクセスできるようなシステム構成の採用等）
-個人データに対するアクセス記録の保存
-個人データに対するファイアウォールの設置
に十分な知見を有する者による事業所内の対応の確認（外部の知見を有する者を活用し確認させることを含む。）を実施する。
③個人データの漏えい等の問題が発生した場合等における報告連絡体制の整備
·1）個人データの漏えい等の事故が発生した場合、又は発生の可能性が高いと判断した場合、2）個人データの取扱いに関する規程等に違反している事実が生じた場合、又は兆候が高いと判断した場合における責任者等への報告連絡体制の整備を行う。
·個人データの漏えい等の情報は、苦情等の一環として、外部から報告される場合も想定されることから、苦情への対応体制との連携も図る。(Ⅲ13.参照)
④～⑥ (略)
⑦技術的安全管理措置
·個人データの盗難・紛失等を防止するため、「個人情報の適切な取扱いに係る基幹システムのセキュリティ対策の強化について（再要請）」(平成27年12月18日通知)の主旨に則り、個人データを取り扱う情報システムについて以下のような技術的安全管理措置を行う。
-個人データに対するアクセス管理（ＩＤやパスワード等による認証、各職員の業務内容に応じて業務上必要な範囲にのみアクセスできるようなシステム構成の採用等）
-個人データに対するアクセス記録の保存
-個人データに対するファイアウォールの設置
-個人データに対する暗号化・パスワードの設定-個人データへのアクセスや操作の記録及び不正が疑われる異常な記録の存否の定期的な確認-基幹システムに接続されたネットワークとインターネットに接続されたネットワークの物理的又は論理的分離-ソフトウェアに関する脆弱性対策（セキュリティパッチの適用、当該情報システム固有の脆弱性の発見及びその修正等）-ソフトウェア及びハードウェア等の必要かつ適切な時期における更新⑧・⑨（略）
（3）業務を委託する場合の取扱い①委託先の監督国保組合は、レセプトの入力・点検業務、被保険者証の作成、人間ドック等の健診、保健指導等個人データの取扱いの全部又は一部を委託する場合、法第23条に基づく安全管理措置を遵守させるよう受託者に対し、必要かつ適切な監督をしなければならない。「必要かつ適切な監督」には、委託契約において委託者である事業者が定める安全管理措置の内容を契約に盛り込み受託者の義務とするほか、業務が適切に行われていることを定期的に確認することなども含まれる。また、業務が再委託された場合で、再委託先が不適切な取扱いを行ったことにより、問題が生じた場合は、国保組合や再委託した事業者が責任を負うこともあり得る。
②業務を委託する場合の留意事項
国保組合等関係事業者は、個人データの取扱いの全部又は一部を委託する場合、以下の事項に留意すべきである。·個人情報を適切に取り扱っている事業者を委託先（受託者）として選定すること。委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第23条で求められているものと同様であることを確認するため、委託先の体制、規程等の確認に加え、必要に応じて個人データを取り扱う場所に赴く又はこれに代わる合理的な方法による確認を行った上で、個人情報取扱責任者等が、適切に評価することが望ましい。·契約において、委託している業務の内容、委託先事業者、個人情報の適切な取扱いに関する内容を盛り込み（委託期間中のほか、委託終了後の個人データの取扱いも含む。）、契約内容を公表すること。·受託者が個人情報を適切に取り扱っていることを定期的に確認すること。·受託者における個人情報の取扱いに疑義が生じた場合（被保険者等からの申出があり、確認の必要があると考えられる場合を含む。）には、受託者に対し、説明を求め、必要に応じ改善を求める等適切な措置をとること。·(削る)·また、委託するに当たっては、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項について提供するべきであり、情報提供する上で必要とされていない事項について提供するべきであり、
てまで他の事業者に提供することがないよう努めること。	てまで他の事業者に提供することがないよう努めること。
*国保組合における業者委託に関する通知上記の留意事項のほか、業者委託に関する通知を遵守する。·「個人情報保護の徹底について」(平成14年12月25日保発1225第3号)·「保険者における個人情報保護の徹底について」(平成15年3月14日保国発0314第1号)の別添2「4.個人情報の処理に関する外部委託に関する措置」③業務を再委託する場合の留意事項国保組合は、個人情報に関する処理の全部又は一部を再委託する場合、以下の事項に留意すべきである。·個人情報を含む業務を再委託すること自体は禁じられてはいないが、国保組合との直接の契約関係を伴わない個人情報に関する処理の再委託は行わないこと。(「保険者における個人情報保護の徹底について」(平成15年3月14日保国発0314第1号)の別添2「4.個人情報の処理に関する外部委託に関する措置」·なお、個人情報を含む業務の再委託や個人情報に関する処理の再委託をする場合には、個人情報保護の観点から、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないよう努めること。	*国保組合における業者委託に関する通知上記の留意事項のほか、業者委託に関する通知を遵守する。·「個人情報保護の徹底について」(平成14年12月25日保発第1225003号)·「保険者における個人情報保護の徹底について」(平成15年3月14日保国発第0314001号)の別添2「4.個人情報の処理に関する外部委託に関する措置」③業務を再委託する場合の留意事項国保組合は、個人情報に関する処理の全部又は一部を再委託する場合、以下の事項に留意すべきである。·個人情報を含む業務を再委託すること自体は禁じられてはいないが、国保組合との直接の契約関係を伴わない個人情報に関する処理の再委託は行わないこと。(「保険者における個人情報保護の徹底について」(平成15年3月14日保国発第0314001号)の別添2「4.個人情報の処理に関する外部委託に関する措置」·なお、個人情報を含む業務の再委託や個人情報に関する処理の再委託をする場合には、個人情報保護の観点から、可能な限り、個人情報をマスキングすることにより、当該個人情報を匿名化した上で、委託先から再委託先へ個人情報が提供されないよう努めること。
この場合において、国保組合は第一次委託先と委託契約を締結するに当たっては、第一次委託先が、上記通知の基準に掲げる事項を遵守するよう委託契約上明記することはもちろんのこと、これに加え、再委託の可否及び再委託を行うに当たっての委託元への文書による事前報告又は承認を行うことや当該再委託契約上、再委託先に対して、同通知の基準に掲げる事項を遵守することを明記するよう、第一次委託契約上明記すること。
なお、第一次委託先が再委託を行おうとする場合は、国保組合は委託を行う場合と同様、再委託の相手方、再委託する業務内容及び再委託先の個人データの取扱方法等について、第一次委託先に事前報告又は承認手続を求める、直接又は第一次委託先を通じて定期的に監査を実施する等により、第一次委託先が再委託先に対して本条の第一次委託先の監督を適切に果たすこと、再委託先が法第23条に基づく安全管理措置を講ずることを十分に確認することが望ましい。
(4) レセプトの紙以外の媒体による保存等又はそれらの外部委託を行う場合の取扱い
国保組合において、レセプトの紙以外の媒体による保存又はレセプトの電算処理及びそれらの外部委託を行う場合には、国保組合において、その運営及び委託等の取扱いについて安全性が確保されるよう規程を定め、実施するものとする。
(削る)
(5) 個人情報の漏えい等の問題が発生した場合における二次被害の防止等個人情報の漏えい等の問題が発生した場合には、二次被害の防止、類似
【法の規定により遵守すべき事項等】
·国保組合は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他個人データの安全管理のために必要かつ適切な措置を講じなければならない。
·国保組合は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
· 国保組合は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。【その他の事項】(略)	· 国保組合は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。【その他の事項】(略)
6. 漏えい等の報告等 (法第26条)	(新設)
(漏えい等の報告等)法第二十六条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。2 前項に規定する場合には、個人情報取扱事業者（同項ただし書の規定による通知をした者を除く。）は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知したなればならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでな
い。

規則第七条 法第二十六条第一項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。

一 要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第一項において同じ。）の漏えい、滅失若しくは毀損（以下この条及び次条第一項において「漏えい等」という。）が発生し、又は発生したおそれがある事態

二 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態

三 不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態

四 個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態

規則第八条 個人情報取扱事業者は、法第二十六条第一項本文の規定による報告をする場合には、前条各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。次条において同じ。）を報告しなければならない。

二 概要

二 漏えい等が発生し、又は発生したおそれがある個人データの項目

三 漏えい等が発生し、又は発生したおそれがある個人データに係る本
## 人の数

## 四 原因

五 二次被害又はそのおそれの有無及びその内容

六 本人への対応の実施状況

七 公表の実施状況

八 再発防止のための措置

九 その他参考となる事項

2 前項の場合において、個人情報取扱事業者は、当該事態を知った日から三十日以内（当該事態が前条第三号に定めるものである場合にあっては、六十日以内）に、当該事態に関する前項各号に定める事項を報告しなければならない。

3 法第二十六条第一項本文の規定による報告は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める方法により行うものとする。

一個人情報保護委員会に報告する場合 電子情報処理組織 (個人情報保護委員会の使用に係る電子計算機と報告をする者の使用に係る電子計算機とを電気通信回線で接続した電子情報処理組織をいう。以下この項において同じ。）を使用する方法（電気通信回線の故障、災害その他の理由により電子情報処理組織を使用することが困難であると認められる場合にあっては、別記様式第一による報告書を提出する方法）

二 法第百四十七条第一項の規定により、法第二十六条第一項の規定による権限の委任を受けた事業所管大臣に報告する場合 別記様式第一による報告書を提出する方法（当該事業所管大臣が別に定める場合にあっては、その方法）
規則第九条 個人情報取扱事業者は、法第二十六条第一項ただし書の規定による通知をする場合には、第七条各号に定める事態を知った後、速やかに、前条第一項各号に定める事項を通知しなければならない。

規則第十条 個人情報取扱事業者は、法第二十六条第二項本文の規定による通知をする場合には、第七条各号に定める事態を知った後、当該事態の状況に応じて速やかに、当該本人の権利利益を保護するために必要な範囲において、第八条第一項第一号、第二号、第四号、第五号及び第九号に定める事項を通知しなければならない。

個人データの「漏えい」とは、個人データが外部に流出すること、「滅失」とは個人データの内容が失われること、「毀損」とは個人データの内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となることをいう。

個人データの漏えい等やそのおそれのある事案（以下「漏えい等事案」という。）が発覚した場合は、規則で定めるところにより、個人情報保護委員会への報告等を行わなければならない。

【法の規定により遵守すべき事項等】

・国保組合等において、漏えい等事案が発覚した場合には、当該事案の内容等に応じて、次の①～⑤に掲げる事項について必要な措置を講じなければならない。

① 国保組合内部における報告及び被害の拡大防止

② 事実関係の調査及び原因の究明

③ 影響範囲の特定
④ 再発防止策の検討及び実施⑤ 個人情報保護委員会への報告及び本人への通知
7. 個人データの第三者提供 (法第27条)	5. 個人データの第三者提供 (法第23条)
(第三者提供の制限)法第二十七条 (略)一～四 (略)五 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき (個人の権利利益を不当に侵害するおそれがある場合を除く。)。六 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき (当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)(当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。)。七 当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき (当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)。2 個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することしている場合であって、次に掲げる事項について、個	(第三者提供の制限)法第二十三条 (略)一～四 (略)(新設)(新設)(新設)2 個人情報取扱事業者は、第三者に提供される個人データ (要配慮個人情報を除く。以下この項において同じ。)について、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること
人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。ただし、第三者に提供される個人データが要配慮個人情報又は第二十条第一項の規定に違反して取得されたもの若しくは他の個人情報取扱事業者からこの項本文の規定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む。）である場合は、この限りでない。

二 第三者への提供を行う個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。以下この条、第三十条第一項第一号及び第三十二条第一項第一号において同じ。）の氏名

二 第三者への提供を利用目的とすること。

三 第三者に提供される個人データの項目

四 第三者に提供される個人データの取得の方法

五 第三者への提供の方法

六 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。

七 本人の求めを受け付ける方法

八 その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則で定める事項

3 個人情報取扱事業者は、前項第一号に掲げる事項に変更があったとき又は同項の規定による個人データの提供をやめたときは遅滞なく、同項
第三号から第五号まで、第七号又は第八号に掲げる事項を変更しようとするときはあらかじめ、その旨について、個人情報保護委員会規則で定めるところにより、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。4(略)5(略)一・二(略)三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。6 個人情報取扱事業者は、前項第三号に規定する個人データの管理について責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったときは遅滞なく、同号に規定する利用する者の利用目的又は当該責任を有する者を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。規則第十一条 法第二十七条第二項又は第三項の規定による通知又は容易に知り得る状態に置く措置は、次に掲げるところにより、行うものとする。二 第三者に提供される個人データによって識別される本人(次号にお定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。4(略)5(略)一・二(略)三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。6 個人情報取扱事業者は、前項第三号に規定する利用する者の利用目的又は個人データの管理について責任を有する者の氏名若しくは名称を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。(新設)