Silviase/jgov_v1.4_full_ann huggingface dataset:
法第二条
6 (略)	法第二条
9 (略)
【匿名加工情報のポイント】
個人情報から匿名加工情報を作成する場合には、法第43条第1項に規定する規則で定める基準に従って加工する等一定の制限を受けることとなる。詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」（平成28年個人情報保護委員会告示第9号）を参照のこと。
匿名加工情報取扱事業者（法第16条第6項関係）
匿名加工情報取扱事業者の定義については、別途定める「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」（平成28年個人情報保護委員会告示第9号）を参照のこと。
(参考)
(定義)
法第十六条
6 この章、第六章及び第七章において「匿名加工情報取扱事業者」とは、匿名加工情報を含む情報の集合物であって、特定の匿名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の匿名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第四十三条第一項において「匿名加工情報データベース等」という。）を事業の用に供している者をいう。ただし、第二項各号に掲げる者を除く。	【匿名加工情報のポイント】
個人情報から匿名加工情報を作成する場合には、規則で定める基準に従って加工する等一定の制限を受けることとなる。詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン（匿名加工情報編）」（平成28年個人情報保護委員会告示第9号）を参照のこと。
匿名加工情報取扱事業者（法第2条第10項関係）
匿名加工情報取扱事業者の定義については、別途定める「個人情報の保護に関する法律についてのガイドライン（匿名加工情報編）」（平成28年個人情報保護委員会告示第9号）を参照のこと。
(参考)
(定義)
法第二条
10 この法律において「匿名加工情報取扱事業者」とは、匿名加工情報を含む情報の集合物であって、特定の匿名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の匿名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第三十六条第一項において「匿名加工情報データベース等」という。）を事業の用に供している者をいう。ただし、第五項各号に掲げる者を除く。
令第七条 法第十六条第六項の政令で定めるものは、同項に規定する情報の集合物に含まれる匿名加工情報を一定の規則に従って整理することにより特定の匿名加工情報を容易に検索することができるように体系的に構成したものであって、目次、索引その他検索を容易にするためのものを有するものをいう。	令第六条 法第二条第十項の政令で定めるものは、これに含まれる匿名加工情報を一定の規則に従って整理することにより特定の匿名加工情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するものをいう。
7. 個人情報データベース等 (法第16条第1項)、個人データ (法第16条第3項)、保有個人データ (法第16条第4項)	7. 個人情報データベース等 (法第2条第4項)、個人データ (法第2条第6項)、保有個人データ (法第2条第7項)
(定義) 法第十六条 この章及び第八章において「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるもの (利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものを除く。) をいう。一・二 (略) 令第四条 法第十六条第一項の利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものは、次の各号のいずれにも該当するものとする。一～三 (略) 2 法第十六条第一項第二号の政令で定めるものは、同項に規定する情報の集合物に含まれる個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成したものであって、目次、索引その他検索を容易にするためのものを有	(定義) 法第二条 4 この法律において「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるもの (利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものを除く。) をいう。一・二 (略) 令第三条 法第二条第四項の利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものは、次の各号のいずれにも該当するものとする。一～三 (略) 2 法第二条第四項第二号の政令で定めるものは、これに含まれる個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するものをいう。
するものをいう。
「個人情報データベース等」とは、特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した個人情報を含む情報の集合体、又はコンピュータを用いていない場合であっても、紙面で処理した個人情報を一定の規則（例えば、五十音順、生年月日順など）に従って整理・分類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものをいう。
(定義)
法第十六条
3 この章において「個人データ」とは、個人情報データベース等を構成する個人情報をいう。
「個人データ」とは、「個人情報データベース等」を構成する個人情報をいう。
(定義)
法第十六条
4 この章において「保有個人データ」とは、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの以外のものをいう。	「個人情報データベース等」とは、特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した個人情報を含む情報の集合体、又はコンピュータを用いていない場合であっても、紙面で処理した個人情報を一定の規則（例えば、五十音順、生年月日順など）に従って整理・分類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものをいう。
(定義)
法第二条
6 この法律において「個人データ」とは、個人情報データベース等を構成する個人情報をいう。
「個人データ」とは、「個人情報データベース等」を構成する個人情報をいう。
(定義)
法第二条
7 この法律において「保有個人データ」とは、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの以外のものをいう。
令第五条 法第十六条第四項の政令で定めるものは、次に掲げるものとする。一～四 (略)(削る)	令第四条 法第二条第七項の政令で定めるものは、次に掲げるものとする。一～四 (略)令第五条 法第二条第七項の政令で定める期間は、六月とする。
「保有個人データ」とは、個人データのうち、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有するものをいう。ただし、その存否が明らかになることにより、公益その他の利益が害されるものは除く。レセプト、介護給付費明細書等、委託を受けて処理している個人データについて、国保連合会等は開示、訂正、利用停止等を行う権限を有していないため、国保連合会等が取り扱っているレセプトや介護給付費明細書等は、「保有個人データ」に該当しない。	「保有個人データ」とは、個人データのうち、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有するものをいう。ただし、①その存否が明らかになることにより、公益その他の利益が害されるもの、②6ヶ月以内に消去する(更新することは除く。)こととなるものは除く。レセプト、介護給付費明細書等、委託を受けて処理している個人データについて、国保連合会等は開示、訂正、利用停止等を行う権限を有していないため、国保連合会等が取り扱っているレセプトや介護給付費明細書等は、「保有個人データ」に該当しない。
8. 本人の同意(略)	8. 本人の同意(略)
Ⅲ 国保連合会等の義務等	Ⅲ 国保連合会等の義務等
1. 利用目的の特定等(法第17条、第18条)	1. 利用目的の特定等(法第15条、第16条)
(利用目的の特定)法第十七条 (略)2 (略)(利用目的による制限)法第十八条 (略)	(利用目的の特定)法第十五条 (略)2 (略)(利用目的による制限)法第十六条 (略)
2 (略)
3 (略)
一～四 (略)
五 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的 (以下この章において「学術研究目的」という。) で取り扱う必要があるとき (当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)。
六 学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき (当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)。
(1) 利用目的の特定及び制限
国保連合会等の通常の業務で想定される主な利用目的は別表1に例示されるものであり、国保連合会等は、これらを参考として、自らの業務に照らして通常必要とされるものを特定して公表しなければならない。
また、別表2に掲げる利用目的の範囲については、法第17条第2項に定める利用目的の変更を行うことができると考えられる。ただし、保険者から委託を受けた業務以外で、変更された利用目的については、本人へ通知又は公表しなければならない。(Ⅲ3.参照)
(2) 利用目的による制限の例外
2 (略)
3 (略)
一～四 (略)
(新設)
(新設)
(1) 利用目的の特定及び制限
国保連合会等の通常の業務で想定される主な利用目的は別表1に例示されるものであり、国保連合会等は、これらを参考として、自らの業務に照らして通常必要とされるものを特定して公表しなければならない。
また、別表2に掲げる利用目的の範囲については、法第15条第2項に定める利用目的の変更を行うことができると考えられる。ただし、保険者から委託を受けた業務以外で、変更された利用目的については、本人へ通知又は公表しなければならない。(Ⅲ2.参照)
(2) 利用目的による制限の例外
国保連合会等は、あらかじめ本人の同意を得ないで法第17条の規定により特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならないが(法第18条第1項)、同条第3項に掲げる場合については、本人の同意を得る必要はない。具体的な例としては以下のとおりである。①法令に基づく場合国民健康保険法第106条に基づく報告の徴収等、法令に基づいて個人情報を利用する場合根拠となる法令の規定としては、一般に刑事訴訟法第218条（令状による捜査）等が考えられる。これらの法令は強制力を伴って回答が義務づけられるため、国保連合会等は捜査等が行われた場合、回答する義務が生じる。また、刑事訴訟法第197条第2項（捜査に必要な取調べ）等については、法の例外規定の対象であるが、当該法令において任意協力とされており、国保連合会等は取調べ等が行われた場合、回答するか否かについて個別の事例ごとに判断する必要がある。この場合、本人の同意を得ずに個人情報を取扱ったとしても、法第18条違反とはならないが、当該本人からの民法に基づく損害賠償請求等を求められるおそれがある。②～④(略)⑤当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。「学術研究機関等」とは、大学その他の学術研究を目的とする機関若し国保連合会等は、あらかじめ本人の同意を得ないで法第15条の規定により特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならないが(法第16条第1項)、同条第3項に掲げる場合については、本人の同意を得る必要はない。具体的な例としては以下のとおりである。①法令に基づく場合国民健康保険法第106条に基づく報告の徴収等、法令に基づいて個人情報を利用する場合根拠となる法令の規定としては、一般に刑事訴訟法第218条（令状による捜査）等が考えられる。これらの法令は強制力を伴って回答が義務づけられるため、国保連合会等は捜査等が行われた場合、回答する義務が生じる。また、刑事訴訟法第197条第2項（捜査に必要な取調べ）等については、法の例外規定の対象であるが、当該法令において任意協力とされており、国保連合会等は取調べ等が行われた場合、回答するか否かについて個別の事例ごとに判断する必要がある。この場合、本人の同意を得ずに個人情報を取扱ったとしても、法第16条違反とはならないが、当該本人からの民法に基づく損害賠償請求等を求められるおそれがある。②～④(略)⑤(新設)
くは団体（大学、学会等）又はそれらに属する者をいい、国保連合会等はこれに当たらない。⑥学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。なお、これらの場合においても、可能な限り個人情報を匿名加工情報及び仮名加工情報に加工することが望ましい。【法の規定により遵守すべき事項等】·国保連合会等は、個人情報を取り扱うに当たって、その利用目的をできる限り特定しなければならない。·国保連合会等は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。·国保連合会等は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない。なお、本人の同意を得るために個人情報を利用すること（同意を得るために被保険者の連絡先を利用して電話をかける場合など）、個人情報を匿名加工情報及び仮名加工情報に加工することは差し支えない。·個人情報を取得する時点で、本人の同意があったにもかかわらず、その後、本人から利用目的の一部についての同意を取り消す旨の申出があった場合は、その後の個人情報の取扱いについては、本人の同意が取り消されなかった範囲に限定して取り扱う。	⑥(新設)なお、これらの場合においても、可能な限り個人情報の匿名化を行うことが望ましい。【法の規定により遵守すべき事項等】·国保連合会等は、個人情報を取り扱うに当たって、その利用目的をできる限り特定しなければならない。·国保連合会等は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。·国保連合会等は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない。なお、本人の同意を得るために個人情報を利用すること（同意を得るために被保険者の連絡先を利用して電話をかける場合など）、個人情報を匿名加工情報及び仮名加工情報に加工することは差し支えない。·個人情報を取得する時点で、本人の同意があったにもかかわらず、その後、本人から利用目的の一部についての同意を取り消す旨の申出があった場合は、その後の個人情報の取扱いについては、本人の同意が取り消されなかった範囲に限定して取り扱う。
· 国保連合会等は、他の事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。· 利用目的の制限の例外（法第18条第3項）に該当する場合は、本人の同意を得ずに個人情報を取り扱うことができる。（利用目的を変更する場合の取扱いについてはⅢ3.を参照）【その他の事項】（略）2. 不適切な利用の禁止（法第19条）	· 国保連合会等は、他の事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。· 利用目的の制限の例外（法第16条第3項）に該当する場合は、本人の同意を得ずに個人情報を取り扱うことができる。（利用目的を変更する場合の取扱いについてはⅢ2.を参照）【その他の事項】（略）（新設）
(不適正な利用の禁止)法第十九条 個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。【法の規定により遵守すべき事項等】· 国保連合会等は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。· 「違法又は不当な行為」とは、法その他の法令に違反する行為、及び直ちに違法とはいえないものの、法その他の法令の制度趣旨又は公序良俗に反する等、社会通念上適正とは認められない行為をいう。· 「おそれ」の有無は、個人情報取扱事業者による個人情報の利用が、違法又は不当な行為を助長又は誘発することについて、社会通念上蓋然性が	(新設)
認められるか否かにより判断される。この判断に当たっては、個人情報の利用方法等の客観的な事情に加えて、個人情報の利用時点における個人情報取扱事業者の認識及び予見可能性も踏まえる必要がある。例えば、個人情報取扱事業者が第三者に個人情報を提供した場合において、当該第三者が当該個人情報を違法な行為に用いた場合であっても、当該第三者が当該個人情報の取得目的を偽っていた等、当該個人情報の提供の時点において、提供した個人情報が違法に利用されることについて、当該個人情報取扱事業者が一般的な注意力をもってしても予見できない状況であった場合には、「おそれ」は認められないと解される。
(違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例)事例1) 違法行為を営むことが疑われる事業者に対し、当該事業者の違法な行為を助長するおそれが想定されるにも関わらず、個人情報を提供する場合事例2) 個人情報を提供した場合、提供先において法第27条第1項に違反する第三者提供がなされることを予見できるにもかかわらず、当該提供先に対して、個人情報を提供する場合事例3) 個人情報を取得した国保連合会等が、性別、国籍等の特定の属性のみにより、正当な理由なく本人に対する違法な差別的取扱いを行うために、個人情報を利用する場合
3. 利用目的の通知等 (法第21条)	2. 利用目的の通知等 (法第18条)
(取得に際しての利用目的の通知等)	(取得に際しての利用目的の通知等)
法第二十一条 (略)	法第十八条 (略)
4. 個人情報の適正な取得、個人データ内容の正確性の確保 (法第20条、第22条)	3. 個人情報の適正な取得、個人データ内容の正確性の確保 (法第17条、第19条)
(適正な取得)法第二十条 (略)2 (略)一～四 (略)五 当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき(当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)。六 学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき(当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)(当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。)。七 当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、第五十七条第一項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合八 (略)規則第六条 法第二十条第二項第七号の個人情報保護委員会規則で定める
る者は、次の各号のいずれかに該当する者とする。一(略)二外国において法第十六条第八項に規定する学術研究機関等に相当する者三(略)令第九条 法第二十条第二項第八号の政令で定める場合は、次に掲げる場合とする。一(略)二法第二十七条第五項各号(法第四十一条第六項の規定により読み替えて適用する場合及び法第四十二条第二項において読み替えて準用する場合を含む。)に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき。(データ内容の正確性の確保等)法第二十二条(略)【法の規定により遵守すべき事項等】·国保連合会等は、偽りその他の不正の手段により個人情報を取得してはならない。·親の同意なく、十分な判断能力を有していない子どもから家族の個人情報を取得してはならない。·要配慮個人情報を取得する場合には、あらかじめ本人の同意を得なければならない。ただし、法第20条第2項各号に定める場合については、	る者は、次の各号のいずれかに該当する者とする。一外国政府、外国の政府機関、外国の地方公共団体又は国際機関(新設)二(略)令第七条 法第十七条第二項第六号の政令で定める場合は、次に掲げる場合とする。一(略)二法第二十二条第五項各号に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき。(データ内容の正確性の確保等)法第十九条(略)【法の規定により遵守すべき事項等】·国保連合会等は、偽りその他の不正の手段により個人情報を取得してはならない。·親の同意なく、十分な判断能力を有していない子どもから家族の個人情報を取得してはならない。·要配慮個人情報を取得する場合には、あらかじめ本人の同意を得なければならない。ただし、法第17条第2項各号に定める場合については、
本人の同意を得る必要はない。
(例)
·国民健康保険法第82条第2項に基づき、労働安全衛生法に基づく健康診断等について、事業者等から被保険者に関する健康診断に関する情報を取得する場合、法第20条第2項第1号に該当すると考えられる。
·急病その他の事態が生じたときに、本人の病歴等を国保組合に所属する医師や看護師が家族から聴取する場合、法第20条第2項第2号に該当すると考えられる。
·事業者が警察の任意の求めに応じて要配慮個人情報に該当する個人情報を提出するために、当該個人情報を取得する場合、法第20条第2項第4号に該当する可能性があると考えられる。
·なお、要配慮個人情報を、法第27条第5項各号に定める委託、事業承継又は共同利用により取得する場合は、あらかじめ本人の同意を得る必要はない。
【法第20条第2項に違反している事例】
本人の同意を得ることなく、法第20条第2項第7号及び規則第6条で定める者以外がインターネット上で公開している情報から本人の信条や犯罪歴等に関する情報を取得し、既に保有している当該本人に関する情報の一部として自己のデータベース等に登録すること。
·国保連合会等は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めなければならない。	本人の同意を得る必要はない。
(例)
(新設)
·急病その他の事態が生じたときに、本人の病歴等を国保組合に所属する医師や看護師が家族から聴取する場合、法第17条第2項第2号に該当すると考えられる。
·事業者が警察の任意の求めに応じて要配慮個人情報に該当する個人情報を提出するために、当該個人情報を取得する場合、法第17条第2項第4号に該当する可能性があると考えられる。
·なお、要配慮個人情報を、法第23条第5項各号に定める委託、事業承継又は共同利用により取得する場合は、あらかじめ本人の同意を得る必要はない。
【法第17条第2項に違反している事例】
本人の同意を得ることなく、法第17条第2項第5号及び規則第6条で定める者以外がインターネット上で公開している情報から本人の信条や犯罪歴等に関する情報を取得し、既に保有している当該本人に関する情報の一部として自己のデータベース等に登録すること。
·国保連合会等は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めなければならない。
· 国保連合会等は、保有する個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等は、当該個人データを遅滞なく消去するよう努めなければならない(※)。なお、法令の定め及び規程により保存期間等が定められている場合は、この限りではない。
(※)「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む。
【その他の事項】
· 第三者提供により他の国保連合会等から個人情報を取得したとき、当該個人情報の内容に疑義が生じた場合には、記載内容の事実に関して本人に確認をとる。(国保連合会等は保険者から委託を受けている業務の場合には、国保連合会等が被保険者本人に直接確認をとるのではなく、保険者が被保険者本人に確認をとるべきである。)
· 国保連合会等は、個人データの内容の正確性、最新性を確保するため、Ⅲ5.(2)②に示す委員会等において、具体的なルールを策定したり、データ管理等の技術水準の向上のための研修の開催などを行ったりすることが望ましい。
· 第三者提供(法第27条第1項各号に掲げる場合並びに個人情報の取扱いの委託、事業の承継及び共同利用に伴い、個人情報を提供する場合を
· 国保連合会等は、保有する個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等は、当該個人データを遅滞なく消去するよう努めなければならない(※)。なお、法令の定め及び規程により保存期間等が定められている場合は、この限りではない。
(※)「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む。
【その他の事項】
· 第三者提供により他の国保連合会等から個人情報を取得したとき、当該個人情報の内容に疑義が生じた場合には、記載内容の事実に関して本人に確認をとる。(国保連合会等は保険者から委託を受けている業務の場合には、国保連合会等が被保険者本人に直接確認をとるのではなく、保険者が被保険者本人に確認をとるべきである。)
· 国保連合会等は、個人データの内容の正確性、最新性を確保するため、Ⅲ4.(2)②に示す委員会等において、具体的なルールを策定したり、データ管理等の技術水準の向上のための研修の開催などを行うことが望ましい。
· 第三者提供(法第23条第1項各号に掲げる場合並びに個人情報の取扱いの委託、事業の承継及び共同利用に伴い、個人情報を提供する場合を
除く。）により、個人情報（令第2条第2号に規定するものから取得した個人情報を除く。）を取得する場合には、提供元の法の遵守状況（例えば、オプトアウト（法第27条第2項・第3項参照）、利用目的、開示手続、問合せ・苦情の受付窓口を公表していることなど）を確認し、個人情報を適切に管理している者を提供元として選定するとともに、実際に個人情報を取得する際には、例えば、取得の経緯を示す契約書等の書面の点検又はこれに代わる合理的な方法により、当該個人情報の取得方法等を確認した上で、当該個人情報が適法に取得されたことが確認できない場合は、偽りその他不正の手段により取得されたものである可能性もあることから、その取得を自貢することを含め、慎重に対応することが望ましい。
5. 安全管理措置、従業者の監督及び委託先の監督（法第23条～第25条）
(安全管理措置) 法第二十三条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毁損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。（従業者の監督） 法第二十四条 （略） (委託先の監督） 法第二十五条 （略）
(1) 国保連合会等が講ずるべき安全管理措置等 ①安全管理措置
の漏えい、滅失又は毀損の防止その他の安全管理のため、その規模、従業者の様態等を勘案して、以下に示すような取組を参考に、必要な措置を行うものとする。
また、同一国民健康保険団体連合会が複数の事務所等を有する場合、当該事務所等の間の情報交換については第三者提供に該当しないが、各事務所等ごとに安全管理措置を講ずるなど、個人情報の利用目的を踏まえた個人情報の安全管理を行う。
① (略)
②個人情報保護推進のための組織体制等の整備
・従業者の責任体制の明確化を図り、具体的な取組を進めるため、国保連合会等における個人情報保護に関し十分な知識を有する者を個人データの安全管理の実施及び運用に関する責任及び権限を有する個人情報取扱責任者（例えば、役員などの組織横断的に監督することのできる者）、個人情報管理担当者又は情報システム監査責任者等として定めたり、個人情報保護の推進を図るための部署、委員会等を設置する。
・国保連合会等で行っている個人データの安全管理措置について定期的に自己評価を行い、見直しや改善を行うべき事項について適切な改善を行う。
・個人情報保護対策及び最新の技術動向を踏まえた情報セキュリティ対策に十分な知見を有する者による事業所内の対応の確認（外部の知見を有する者を活用し確認させることを含む。）を実施する。
③個人データの漏えい等の問題が発生した場合等における報告連絡体制の整備
の漏えい、滅失又はき損の防止その他の安全管理のため、その規模、従業者の様態等を勘案して、以下に示すような取組を参考に、必要な措置を行うものとする。
また、同一国保連合会が複数の事務所等を有する場合、当該事務所等の間の情報交換については第三者提供に該当しないが、各事務所等ごとに安全管理措置を講ずるなど、個人情報の利用目的を踏まえた個人情報の安全管理を行う。
① (略)
②個人情報保護推進のための組織体制等の整備
・従業者の責任体制の明確化を図り、具体的な取組を進めるため、国保連合会等における個人情報保護に関し十分な知識を有する者を個人データの安全管理の実施及び運用に関する責任及び権限を有する個人情報取扱責任者（例えば、役員などの組織横断的に監督することのできる者）、個人情報管理担当者又は情報システム監査責任者等として定めたり、個人情報保護の推進を図るための部署、委員会等を設置する。
・国保連合会等で行っている個人データの安全管理措置について定期的に自己評価を行い、見直しや改善を行うべき事項について適切な改善を行う。
・個人情報保護対策及び最新の技術動向を踏まえた情報セキュリティ対策に十分な知見を有する者による事業所内の対応の確認（外部の知見を有する者を活用し確認させることを含む。）を実施する。
③個人データの漏えい等の問題が発生した場合等における報告連絡体制の整備
·1）個人データの漏えい等の事故が発生した場合、又は発生の可能性が高いと判断した場合、2）個人データの取扱いに関する規程等に違反している事実が生じた場合、又は兆候が高いと判断した場合における責任者等への報告連絡体制の整備を行う。
·個人データの漏えい等の情報は、苦情等の一環として、外部から報告される場合も想定されることから、苦情への対応体制との連携も図る。(Ⅲ15.参照)
④～⑥ (略)
⑦技術的安全管理措置
·個人データの盗難・紛失等を防止するため、「個人情報の適切な取扱いに係る基幹システムのセキュリティ対策の強化について（再要請）」（平成27年12月18日老発1218第1号・保発1218第1号）の主旨に則り、個人データを取り扱う情報システムについて以下のような技術的安全管理措置を行う。
-個人データに対するアクセス管理（ＩＤやパスワード等による認証、各職員の業務内容に応じて業務上必要な範囲にのみアクセスできるようなシステム構成の採用等）
-個人データに対するアクセス記録の保存
-個人データに対するファイアウォールの設置
-個人データに対する暗号化・パスワードの設定
-個人データへのアクセスや操作の記録及び不正が疑われる異常な記録の存否の定期的な確認
-基幹システムに接続されたネットワークとインターネットに接続されたネットワークの物理的又は論理的分離
·1）個人データの漏えい等の事故が発生した場合、又は発生の可能性が高いと判断した場合、2）個人データの取扱いに関する規程等に違反している事実が生じた場合、又は兆候が高いと判断した場合における責任者等への報告連絡体制の整備を行う。
·個人データの漏えい等の情報は、苦情等の一環として、外部から報告される場合も想定されることから、苦情への対応体制との連携も図る。(Ⅲ13.参照)
④～⑥ (略)
⑦技術的安全管理措置
·個人データの盗難・紛失等を防止するため、「個人情報の適切な取扱いに係る基幹システムのセキュリティ対策の強化について（再要請）」（平成27年12月18日通知）の主旨に則り、個人データを取り扱う情報システムについて以下のような技術的安全管理措置を行う。
-個人データに対するアクセス管理（ＩＤやパスワード等による認証、各職員の業務内容に応じて業務上必要な範囲にのみアクセスできるようなシステム構成の採用等）
-個人データに対するファイアウォールの設置
-個人データに対する暗号化・パスワードの設定
-個人データへのアクセスや操作の記録及び不正が疑われる異常な記録の存否の定期的な確認
-基幹システムに接続されたネットワークとインターネットに接続されたネットワークの物理的又は論理的分離
-ソフトウェアに関する脆弱性対策(セキュリティパッチの適用、当該情報システム固有の脆弱性の発見及びその修正等)
-ソフトウェア及びハードウェア等の必要かつ適切な時期における更新
⑧・⑨ (略)
(3) 業務を委託する場合の取扱い
①委託先の監督
国保連合会等は、保険者事務共同電算処理等(被保険者証の作成、医療費通知書の作成等)において個人データの取扱いの全部又は一部を委託する場合、法第23条に基づく安全管理措置を遵守させるよう受託者に対し、必要かつ適切な監督をしなければならない。
「必要かつ適切な監督」には、委託契約において委託者である国保連合会等が定める安全管理措置の内容を契約に盛り込み受託者の義務とするほか、業務が適切に行われていることを定期的に確認することなども含まれる。
また、業務が再委託された場合で、再委託先が不適切な取扱いを行ったことにより、問題が生じた場合は、国保連合会等や再委託した事業者が責任を負うこともあり得る。
②業務を委託する場合の留意事項
国保連合会等は、個人データの取扱いの全部又は一部を委託する場合、以下の事項に留意すべきである。
•個人情報を適切に取り扱っている事業者を委託先(受託者)として選定すること。委託先の選定に当たっては、委託先の安全管理措置が、
少なくとも法第23条で求められているものと同様であることを確認するため、委託先の体制、規程等の確認に加え、必要に応じて個人データを取り扱う場所に赴く又はこれに代わる合理的な方法による確認を行った上で、個人情報取扱責任者等が、適切に評価することが望ましい。·契約において、委託している業務の内容、委託先事業者、個人情報の適切な取扱いに関する内容を盛り込み（委託期間中のほか、委託終了後の個人データの取扱いも含む。）、契約内容を公表すること。·受託者が個人情報を適切に取り扱っていることを定期的に確認すること。·受託者における個人情報の取扱いに疑義が生じた場合（被保険者等からの申出があり、確認の必要があると考えられる場合を含む。）には、受託者に対し、説明を求め、必要に応じ改善を求める等適切な措置をとること。（削る）·また、委託するに当たっては、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないよう努めること。*国保連合会等における業者委託に関する通知上記の留意事項のほか、業者委託に関する通知を遵守する。·「個人情報保護の徹底について」（平成14年12月25日保発122	少なくとも法第20条で求められているものと同様であることを確認するため、委託先の体制、規程等の確認に加え、必要に応じて個人データを取り扱う場所に赴く又はこれに代わる合理的な方法による確認を行った上で、個人情報取扱責任者等が、適切に評価することが望ましい。·契約において、委託している業務の内容、委託先事業者、個人情報の適切な取扱いに関する内容を盛り込み（委託期間中のほか、委託終了後の個人データの取扱いも含む。）、契約内容を公表すること。·受託者が個人情報を適切に取り扱っていることを定期的に確認すること。·受託者における個人情報の取扱いに疑義が生じた場合（被保険者等からの申出があり、確認の必要があると考えられる場合を含む。）には、受託者に対し、説明を求め、必要に応じ改善を求める等適切な措置をとること。·なお、個人情報保護の観点から、可能な限り、個人情報をマスキングすることにより、当該個人情報を匿名化した上で、委託するよう努めること。·また、委託するに当たっては、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないよう努めること。*国保連合会等における業者委託に関する通知上記の留意事項のほか、業者委託に関する通知を遵守する。·「個人情報保護の徹底について」（平成14年12月25日保発第122
5第4号)·「国民健康保険団体連合会における個人情報保護の徹底について」(平成15年3月14日保国発0314第3号)③業務を再委託する場合の留意事項 国保連合会等は、個人情報に関する処理の全部又は一部を再委託する場合、以下の事項に留意すべきである。·個人情報を含む業務を再委託すること自体は禁じられてはいないが、国保連合会等との直接の契約関係を伴わない個人情報に関する処理の再委託は行わないこと。(「国民健康保険団体連合会における個人情報保護の徹底について」(平成15年3月14日保国発0314第3号)·なお、個人情報を含む業務の再委託や個人情報に関する処理の再委託をする場合には、個人情報保護の観点から、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないよう努めること。この場合において、国保連合会等は第一次委託先と委託契約を締結するに当たっては、第一次委託先が、上記通知の基準に掲げる事項を遵守するよう委託契約上明記することはもちろんのこと、これに加え、再委託の可否及び再委託を行うに当たっての委託元への文書による事前報告又は承認を行うことや当該再委託契約上、再委託先に対して、同通知の基準に掲げる事項を遵守することを明記するよう、第一次委託契約上明記すること。	25004号)·「国民健康保険団体連合会における個人情報保護の徹底について」(平成15年3月14日保国発第0314003号)③業務を再委託する場合の留意事項 国保連合会等は、個人情報に関する処理の全部又は一部を再委託する場合、以下の事項に留意すべきである。·個人情報を含む業務を再委託すること自体は禁じられてはいないが、国保連合会等との直接の契約関係を伴わない個人情報に関する処理の再委託は行わないこと。(「国民健康保険団体連合会における個人情報保護の徹底について」(平成15年3月14日保国発第0314003号)·なお、個人情報を含む業務の再委託や個人情報に関する処理の再委託をする場合には、個人情報保護の観点から、可能な限り、個人情報をマスキングすることにより、当該個人情報を匿名化した上で、委託先から再委託先へ個人情報が提供されないよう努めること。この場合において、国保連合会等は第一次委託先と委託契約を締結するに当たっては、第一次委託先が、上記通知の基準に掲げる事項を遵守するよう委託契約上明記することはもちろんのこと、これに加え、再委託の可否及び再委託を行うに当たっての委託元への文書による事前報告又は承認を行うことや当該再委託契約上、再委託先に対して、同通知の基準に掲げる事項を遵守することを明記するよう、第一次委託契約上明
なお、第一次委託先が再委託を行おうとする場合は、国保連合会等は委託を行う場合と同様、再委託の相手方、再委託する業務内容及び再委託先の個人データの取扱方法等について、第一次委託先に事前報告又は承認手続を求める、直接又は第一次委託先を通じて定期的に監査を実施する等により、第一次委託先が再委託先に対して本条の第一次委託先の監督を適切に果たすこと、再委託先が法第23条に基づく安全管理措置を講ずることを十分に確認することが望ましい。

(4) (略)

(削る)

記すること。

なお、第一次委託先が再委託を行おうとする場合は、国保連合会等は委託を行う場合と同様、再委託の相手方、再委託する業務内容及び再委託先の個人データの取扱方法等について、第一次委託先に事前報告又は承認手続を求める、直接又は第一次委託先を通じて定期的に監査を実施する等により、第一次委託先が再委託先に対して本条の第一次委託先の監督を適切に果たすこと、再委託先が法第20条に基づく安全管理措置を講ずることを十分に確認することが望ましい。

## (4) (略)

## (5) 個人情報の漏えい等の問題が発生した場合における二次被害の防止等

個人情報の漏えい等の問題が発生した場合には、二次被害の防止、類似事案の発生回避等の観点から、個人情報の保護に配慮しつつ、可能な限り事実関係を公表するとともに、所管の地方厚生局に速やかに報告する。

また、個人データの漏えい等の問題が発生した場合には、「個人データの漏えい等の事案が発生した場合等の対応について」（平成29年個人情報保護委員会告示第1号）に基づき、①事業者内部における報告及び被害の拡大防止、②事実関係の調査及び原因の究明、③影響範囲の特定、④再発防止策の検討及び実施、⑤影響を受ける可能性のある本人への連絡等、⑥事実関係及び再発防止策等の公表の必要な措置を講ずることが望ましい。また、漏えい等事案が発覚した場合には、その事実関係及び再発防止策等について、個人情報保護委員会に対し、速やかに報告するよう努めるものと
【法の規定により遵守すべき事項等】·国保連合会等は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他個人データの安全管理のために必要かつ適切な措置を講じなければならない。·国保連合会等は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。·国保連合会等は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。【その他の事項】(略)	する。ただし、法第47条第1項に規定する認定個人情報保護団体の対象事業者である国保連合会等は、所属の認定個人情報保護団体に速やかに報告するよう努めるものとする。【法の規定により遵守すべき事項等】·国保連合会等は、その取り扱う個人データの漏えい、滅失又はき損の防止その他個人データの安全管理のために必要かつ適切な措置を講じなければならない。·国保連合会等は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。·国保連合会等は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。【その他の事項】(略)
6. 漏えい等の報告等(法第26条)	(新設)
(漏えい等の報告等)法第二十六条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会	(新設)
規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。2 前項に規定する場合には、個人情報取扱事業者（同項ただし書の規定による通知をした者を除く。）は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知したければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。規則第七条 法第二十六条第一項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。二 要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第一項において同じ。）の漏えい、滅失若しくは毀損（以下この条及び次条第一項において「漏えい等」という。）が発生し、又は発生したおそれがある事態二 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
三 不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態

四 個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態

規則第八条 個人情報取扱事業者は、法第二十六条第一項本文の規定による報告をする場合には、前条各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。次条において同じ。）を報告しなければならない。

## 二 概要

二 漏えい等が発生し、又は発生したおそれがある個人データの項目

三 漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数

## 四 原因

五 二次被害又はそのおそれの有無及びその内容

六 本人への対応の実施状況

七 公表の実施状況

八 再発防止のための措置

九 その他参考となる事項

2 前項の場合において、個人情報取扱事業者は、当該事態を知った日から三十日以内（当該事態が前条第三号に定めるものである場合にあっては、六十日以内）に、当該事態に関する前項各号に定める事項を報告しなければならない。

3 法第二十六条第一項本文の規定による報告は、次の各号に掲げる場合
の区分に応じ、それぞれ当該各号に定める方法により行うものとする。

一個人情報保護委員会に報告する場合 電子情報処理組織（個人情報保護委員会の使用に係る電子計算機と報告をする者の使用に係る電子計算機とを電気通信回線で接続した電子情報処理組織をいう。以下この項において同じ。）を使用する方法（電気通信回線の故障、災害その他の理由により電子情報処理組織を使用することが困難であると認められる場合にあっては、別記様式第一による報告書を提出する方法）

二 法第百四十七条第一項の規定により、法第二十六条第一項の規定による権限の委任を受けた事業所管大臣に報告する場合 別記様式第一による報告書を提出する方法（当該事業所管大臣が別に定める場合にあっては、その方法）

規則第九条 個人情報取扱事業者は、法第二十六条第一項ただし書の規定による通知をする場合には、第七条各号に定める事態を知った後、速やかに、前条第一項各号に定める事項を通知しなければならない。

規則第十条 個人情報取扱事業者は、法第二十六条第二項本文の規定による通知をする場合には、第七条各号に定める事態を知った後、当該事態の状況に応じて速やかに、当該本人の権利利益を保護するために必要な範囲において、第八条第一項第一号、第二号、第四号、第五号及び第九号に定める事項を通知しなければならない。

個人データの「漏えい」とは、個人データが外部に流出すること、「滅失」とは個人データの内容が失われること、「毀損」とは個人データの内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となること
をいう。個人データの漏えい等やそのおそれのある事案(以下「漏えい等事案」という。)が発覚した場合は、規則で定めるところにより、個人情報保護委員会への報告等を行わなければならない。【法の規定により遵守すべき事項等】・国保連合会等において、漏えい等事案が発覚した場合には、当該事案の内容等に応じて、次の①～⑤に掲げる事項について必要な措置を講じなければならない。①国保連合会等内部における報告及び被害の拡大防止②事実関係の調査及び原因の究明③影響範囲の特定④再発防止策の検討及び実施⑤個人情報保護委員会への報告及び本人への通知
7.個人データの第三者提供(法第27条)	5.個人データの第三者提供(法第23条)
(第三者提供の制限)法第二十七条(略)一～四(略)五 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき(個人の権利利益を不当に侵害するおそれがある場合を除く。)。六 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき(当該個人デ	(第三者提供の制限)法第二十三条(略)一～四(略)(新設)(新設)
一夕を提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)(当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。)七 当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき(当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)2 個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。ただし、第三者に提供される個人データが要配慮個人情報又は第二十条第一項の規定に違反して取得されたもの若しくは他の個人情報取扱事業者からこの項本文の規定により提供されたもの(その全部又は一部を複製し、又は加工したものを含む。)である場合は、この限りでない。二 第三者への提供を行う個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者(法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。以下この条、第三十条第一項第一号及び第三十二条第一項第一号において同じ。)の氏名二 第三者への提供を利用目的とすること。
(新設)2 個人情報取扱事業者は、第三者に提供される個人データ(要配慮個人情報を除く。以下この項において同じ。)について、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。(新設)二 第三者への提供を利用目的とすること。
三 第三者に提供される個人データの項目

四 第三者に提供される個人データの取得の方法

五 第三者への提供の方法

六 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。

七 本人の求めを受け付ける方法

八 その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則で定める事項

3 個人情報取扱事業者は、前項第一号に掲げる事項に変更があったとき又は同項の規定による個人データの提供をやめたときは遅滞なく、同項第三号から第五号まで、第七号又は第八号に掲げる事項を変更しようとするときはあらかじめ、その旨について、個人情報保護委員会規則で定めるところにより、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。

4 (略)

5 (略)

一·二 (略)

三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

6 個人情報取扱事業者は、前項第三号に規定する個人データの管理につ

## 二 第三者に提供される個人データの項目

(新設)

三 第三者への提供の方法

四 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。

## 五 本人の求めを受け付ける方法

(新設)

3 個人情報取扱事業者は、前項第二号、第三号又は第五号に掲げる事項を変更する場合は、変更する内容について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。

4 (略)

5 (略)

一·二 (略)

三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

6 個人情報取扱事業者は、前項第三号に規定する利用する者の利用目的
いて責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったときは遅滞なく、同号に規定する利用する者の利用目的又は当該責任を有する者を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
規則第十一条 法第二十七条第二項又は第三項の規定による通知又は容易に知り得る状態に置く措置は、次に掲げるところにより、行うものとする。
一 第三者に提供される個人データによって識別される本人(次号において「本人」という。)が当該提供の停止を求めるのに必要な期間をおくこと。
二 本人が法第二十七条第二項各号に掲げる事項を確実に認識できる適切かつ合理的な方法によること。
2 法第二十七条第二項又は第三項の規定による届出は、次に掲げる方法のいずれかにより行わなければならない。
二 電子情報処理組織(個人情報保護委員会の使用に係る電子計算機と届出を行う者の使用に係る電子計算機とを電気通信回線で接続した電子情報処理組織をいう。)を使用する方法
二 別記様式第二(法第二十七条第三項の規定による個人データの提供をやめた旨の届出を行う場合にあっては、別記様式三)による届出書及び当該届出書に記載すべき事項を記録した光ディスク(これに準ずる方法により一定の事項を確実に記録しておくことができる物を含む。以下「光ディスク等」という。)を提出する方法
又は個人データの管理について責任を有する者の氏名若しくは名称を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
(新設)