Silviase/jgov_v1.4_full_ann huggingface dataset:
②個人情報保護推進のための組織体制等の整備(略)	②個人情報保護推進のための組織体制等の整備(略)
③個人データの漏えい等の問題が発生した場合等における報告連絡体制の整備·1)個人データの漏えい等の事故が発生した場合、又は発生の可能性が高いと判断した場合、2)個人データの取扱いに関する規程等に違反している事実が生じた場合、又は兆候が高いと判断した場合における責任者等への報告連絡体制の整備を行う。·個人データの漏えい等の情報は、苦情等の一環として、外部から報告される場合も想定されることから、苦情への対応を行う体制との連携も図る。(IV 17.参照)	③個人データの漏えい等の問題が発生した場合等における報告連絡体制の整備·1)個人データの漏えい等の事故が発生した場合、又は発生の可能性が高いと判断した場合、2)個人データの取扱いに関する規程等に違反している事実が生じた場合、又は兆候が高いと判断した場合における責任者等への報告連絡体制の整備を行う。·個人データの漏えい等の情報は、苦情等の一環として、外部から報告される場合も想定されることから、苦情への対応を行う体制との連携も図る。(III 13.参照)
④雇用契約時における個人情報保護に関する規程の整備(略)	④雇用契約時における個人情報保護に関する規程の整備(略)
⑤従業者に対する教育研修の実施(略)⑥物理的安全管理措置(略)	⑤従業者に対する教育研修の実施(略)⑥物理的安全管理措置(略)
⑦技術的安全管理措置·個人データの盗難·紛失等を防止するため、個人データを取り扱う情報システムについて以下のような技術的安全管理措置を行う。·一個人データに対するアクセス管理(IDやパスワード等による認証(※)、各職員の業務内容に応じて業務上必要な範囲にのみアクセスできるようなシステム構成の採用等)	⑦技術的安全管理措置·個人データの盗難·紛失等を防止するため、個人データを取り扱う情報システムについて以下のような技術的安全管理措置を行う。·一個人データに対するアクセス管理(IDやパスワード等による認証、各職員の業務内容に応じて業務上必要な範囲にのみアクセスできるようなシステム構成の採用等)
※認証については、認証の3要素である「記憶」、「生体情報」、「物理媒体」のうち、2つの独立した要素を組み合わせて認証を行う方式(二要素認証)を採用することが望ましい。-個人データに対するアクセス記録の保存-不正が疑われる異常な記録の存否の定期的な確認-個人データに対するファイアウォールの設置-情報システムへの外部からのアクセス状況の監視及び当該監視システムの動作の定期的な確認-ソフトウェアに関する脆弱性対策(セキュリティパッチの適用、当該情報システム固有の脆弱性の発見及びその修正等)	-個人データに対するアクセス記録の保存-不正が疑われる異常な記録の存否の定期的な確認-個人データに対するファイアウォールの設置-情報システムへの外部からのアクセス状況の監視及び当該監視システムの動作の定期的な確認-ソフトウェアに関する脆弱性対策(セキュリティパッチの適用、当該情報システム固有の脆弱性の発見及びその修正等)
⑧個人データの保存·個人データを長期にわたって保存する場合には、保存媒体の劣化防止など個人データが消失しないよう適切に保存する。·個人データの保存に当たっては、本人からの照会等に対応する場合など必要なときに迅速に対応できるよう、インデックスの整備など検索可能な状態で保存しておく。	⑧個人データの保存·個人データを長期にわたって保存する場合には、保存媒体の劣化防止など個人データが消失しないよう適切に保存する。·個人データの保存に当たっては、本人からの照会等に対応する場合など必要なときに迅速に対応できるよう、インデックスの整備など検索可能な状態で保存しておく。
⑨不要となった個人データの廃棄、消去(略)	⑨不要となった個人データの廃棄、消去(略)
(3)業務を委託する場合の取扱い①委託先の監督医療・介護関係事業者は、検査や診療報酬又は介護報酬の請求に係る事務等個人データの取扱いの全部又は一部を委託する場合、法第23条	(3)業務を委託する場合の取扱い①委託先の監督医療・介護関係事業者は、検査や診療報酬又は介護報酬の請求に係る事務等個人データの取扱いの全部又は一部を委託する場合、法第20条
に基づく安全管理措置を遵守させるよう受託者に対し、必要かつ適切な監督をしなければならない。 「必要かつ適切な監督」には、委託契約において委託者である事業者が定める安全管理措置の内容を契約に盛り込み受託者の義務とするほか、業務が適切に行われていることを定期的に確認することなども含まれる。 また、業務が再委託された場合で、再委託先が不適切な取扱いを行ったことにより、問題が生じた場合は、医療・介護関係事業者や再委託した事業者が責めを負うこともあり得る。	に基づく安全管理措置を遵守させるよう受託者に対し、必要かつ適切な監督をしなければならない。 「必要かつ適切な監督」には、委託契約において委託者である事業者が定める安全管理措置の内容を契約に盛り込み受託者の義務とするほか、業務が適切に行われていることを定期的に確認することなども含まれる。 また、業務が再委託された場合で、再委託先が不適切な取扱いを行ったことにより、問題が生じた場合は、医療・介護関係事業者や再委託した事業者が責めを負うこともあり得る。
②業務を委託する場合の留意事項 医療・介護関係事業者は、個人データの取扱いの全部又は一部を委託する場合、以下の事項に留意すべきである。 ·個人情報を適切に取り扱っている事業者を委託先（受託者）として選定する（受託者の安全管理措置が、少なくとも法第23条で求められるものと同等であることを確認するため、IV7.（2）の項目が、委託する業務内容に応じて確実に実施されることについて、受託者の体制、規程等の確認に加え、必要に応じて個人データを取り扱う場所に赴き、又はこれに代わる合理的な方法により確認を行った上で、個人情報保護に関する管理者、監督者等が、適切に評価することが望ましい。 ·契約において、個人情報の適切な取扱いに関する内容を盛り込む（委託期間中のほか、委託終了後の個人データの取扱いも含む。）。 ·受託者が、委託を受けた業務の一部を再委託することを予定している	②業務を委託する場合の留意事項 医療・介護関係事業者は、個人データの取扱いの全部又は一部を委託する場合、以下の事項に留意すべきである。 ·個人情報を適切に取り扱っている事業者を委託先（受託者）として選定する（受託者の安全管理措置が、少なくとも法第20条で求められるものと同等であることを確認するため、Ⅲ4.（2）の項目が、委託する業務内容に応じて確実に実施されることについて、受託者の体制、規程等の確認に加え、必要に応じて個人データを取り扱う場所に赴き、又はこれに代わる合理的な方法により確認を行った上で、個人情報保護に関する管理者、監督者等が、適切に評価することが望ましい。 ·契約において、個人情報の適切な取扱いに関する内容を盛り込む（委託期間中のほか、委託終了後の個人データの取扱いも含む。）。 ·受託者が、委託を受けた業務の一部を再委託することを予定している
場合は、再委託を受ける事業者の選定において個人情報を適切に取り扱っている事業者が選定されるとともに、再委託先事業者が個人情報を適切に取り扱っていることが確認できるよう契約において配慮する（再委託の可否及び医療・介護関係事業者への文書による事前報告又は承認手続を求める等の事項を定めることが望ましい。）。·受託者が個人情報を適切に取り扱っていることを定期的に確認する。·受託者が再委託を行おうとする場合は、医療・介護関係事業者は委託を行う場合と同様、再委託の相手方、再委託する業務内容及び再委託先の個人データの取扱方法等について、受託者に事前報告又は承認手続を求めること、直接又は受託者を通じて定期的に監査を実施すること等により、受託者が再委託先に対して法第25条に基づく委託先の監督を適切に果たすこと、再委託先が法第23条に基づく安全管理措置を講ずることを十分に確認することが望ましい。再委託先が再委託を行う場合以降も、再委託を行う場合と同様とする。·受託者における個人情報の取扱いに疑義が生じた場合（患者・利用者等からの申出があり、確認の必要があると考えられる場合を含む。）には、受託者に対し、説明を求め、必要に応じ改善を求める等適切な措置をとる。
*医療機関等における業者委託に関する関連通知等上記の留意事項のほか、委託する業務に応じ、関連する通知等を遵守する。·「医療法の一部を改正する法律の一部の施行について」（平成5年2月15日健政発第98号）の「第3業務委託に関する事項」場合は、再委託を受ける事業者の選定において個人情報を適切に取り扱っている事業者が選定されるとともに、再委託先事業者が個人情報を適切に取り扱っていることが確認できるよう契約において配慮する（再委託の可否及び医療・介護関係事業者への文書による事前報告又は承認手続を求める等の事項を定めることが望ましい。）。·受託者が個人情報を適切に取り扱っていることを定期的に確認する。·受託者が再委託を行おうとする場合は、医療・介護関係事業者は委託を行う場合と同様、再委託の相手方、再委託する業務内容及び再委託先の個人データの取扱方法等について、受託者に事前報告又は承認手続を求めること、直接又は受託者を通じて定期的に監査を実施すること等により、受託者が再委託先に対して法第22条に基づく委託先の監督を適切に果たすこと、再委託先が法第20条に基づく安全管理措置を講ずることを十分に確認することが望ましい。再委託先が再委託を行う場合以降も、再委託を行う場合と同様とする。·受託者における個人情報の取扱いに疑義が生じた場合（患者・利用者等からの申出があり、確認の必要があると考えられる場合を含む。）には、受託者に対し、説明を求め、必要に応じ改善を求める等適切な措置をとる。
*医療機関等における業者委託に関する関連通知等上記の留意事項のほか、委託する業務に応じ、関連する通知等を遵守する。·「医療法の一部を改正する法律の一部の施行について」（平成5年2月15日健政発第98号）の「第3業務委託に関する事項」
·「病院、診療所等の業務委託について」(平成5年2月15日指第14号)	·「病院、診療所等の業務委託について」(平成5年2月15日指第14号)
(4)医療情報システムの導入及びそれに伴う情報の外部保存を行う場合の取扱い 医療機関等及び医療情報を取り扱う介護関係事業者において、医療情報システムを導入したり、診療情報の外部保存を行う場合には、「医療情報システムの安全管理に関するガイドライン 第5.1版」(令和3年1月29日医政発第0129第1号)によることとし、各医療機関等において運営及び委託等の取扱いについて安全性が確保されるよう規程を定め、実施するものとする。	(4)医療情報システムの導入及びそれに伴う情報の外部保存を行う場合の取扱い 医療機関等及び医療情報を取り扱う介護関係事業者において、医療情報システムを導入したり、診療情報の外部保存を行う場合には、「医療情報システムの安全管理に関するガイドライン」(平成17年3月31日医政発第0331009号·薬食発第0331020号·保発第0331005号)によることとし、各医療機関等において運営及び委託等の取扱いについて安全性が確保されるよう規程を定め、実施するものとする。
(削除)	(5)個人データの漏えい等の問題が発生した場合における二次被害の防止等 医療・介護関係事業者において、個人データの漏えい等の問題が発生した場合には、二次被害の防止、類似事案の発生回避等の観点から、「個人データの漏えい等の事案が発生した場合等の対応について」(平成29年個人情報保護委員会告示第1号)に基づき、①事業者内部における報告及び被害の拡大防止、②事実関係の調査及び原因の究明、③影響範囲の特定、④再発防止策の検討及び実施、⑤影響を受ける可能性のある本人への連絡等、⑥事実関係及び再発防止策等の公表の必要な措置を講ずることが望ましい。 また、漏えい等事案が発見した場合には、その事実関係及び再発防止策等について、個人情報保護委員会に対し、速やかに報告するよう努めるも
のとする。ただし、法第47条第1項に規定する認定個人情報保護団体の対象事業者である医療・介護関係事業者は、所属の認定個人情報保護団体に速やかに報告するよう努めるものとする。
(5) その他(略)	(6) その他(略)
【法の規定により遵守すべき事項等】·医療·介護関係事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他個人データの安全管理のために必要かつ適切な措置を講じなければならない。·医療·介護関係事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。·医療·介護関係事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。	【法の規定により遵守すべき事項等】·医療·介護関係事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他個人データの安全管理のために必要かつ適切な措置を講じなければならない。·医療·介護関係事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。·医療·介護関係事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
【その他の事項】(略)	【その他の事項】(略)
8. 漏えい等の報告等(法第26条)	(新設)
詳細は、別途定める通則ガイドラインを参照のこと。
(漏えい等の報告等)
法第二十六条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。
2 前項に規定する場合には、個人情報取扱事業者（同項ただし書の規定による通知をした者を除く。）は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知したければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
(個人の権利利益を害するおそれが大きいもの)
規則第七条 法第二十六条第一項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。
一 要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第一項において同じ。）の漏えい、滅失若しくは毀損（以
下この条及び次条第一項において「漏えい等」という。）が発生し、又は発生したおそれがある事態二不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態三不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態四個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態【法の規定により遵守すべき事項】·医療·介護関係事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいもの（要配慮個人情報が含まれる個人データの漏えい等）が生じたときは、当該事態が生じた旨を個人情報保護委員会に報告するとともに、本人への通知を行わなければならない。具体的な例としては以下のとおりである。(例)·病院における患者の診療情報や調剤情報を含む個人データを記録したUSBメモリーを紛失した場合·従業員の健康診断等の結果を含む個人データが漏えいした場合·報告及び通知の対象となる事態、報告及び通知の方法等については、通則ガイドラインも参照のこと。·個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人データを取り扱っていることになるため、報告対象事態に該当する。
る場合には、原則として委託元と委託先の双方が報告する義務を負う。 この場合、委託元及び委託先の連名で報告することができる。なお、委託先が、報告義務を負っている委託元に当該事態が発生したことを通知したときは、委託先は報告義務を免除される。
【その他の事項】 ・要配慮個人情報が含まれる個人データの漏えい等に限らず、医療機関等においてコンピュータウイルスの感染などによるサイバー攻撃を受けた疑いがある場合にあっては、「医療機関等におけるサイバーセキュリティ対策の強化について」(平成30年10月29日医政総発1029第1号・医政地発1029第3号・医政研発1029第1号)により、直ちに医療情報システムの保守会社等に連絡の上、当該サイバー攻撃により医療情報システムに障害が発生し、個人情報の漏洩や医療提供体制に支障が生じる又はそのおそれがある事案であると判断された場合には、速やかに当該医療機関等から厚生労働省医政局研究開発振興課医療技術情報推進室に連絡すること。
9.個人データの第三者提供(法第27条)
(第三者提供の制限) 法第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。 一 法令に基づく場合 二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
5.個人データの第三者提供(法第23条)
(第三者提供の制限) 法第二十三条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。 一 法令に基づく場合 二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。五 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）。六 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。）。七 当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。八 個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。(新設)(新設)(新設)2 個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に
届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。ただし、第三者に提供される個人データが要配慮個人情報又は第二十条第一項の規定に違反して取得されたもの若しくは他の個人情報取扱事業者からこの項本文の規定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む。）である場合は、この限りでない。

第三者への提供を行う個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。以下この条、第三十条第一項第一号及び第三十二条第一項第一号において同じ。）の氏名

二 第三者への提供を利用目的とすること。

三 第三者に提供される個人データの項目

四 第三者に提供される個人データの取得の方法

五 第三者への提供の方法

六 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。

七 本人の求めを受け付ける方法

八 その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則で定める事項

3 個人情報取扱事業者は、前項第一号に掲げる事項に変更があったとき又は同項の規定による個人データの提供をやめたときは遅滞なく、同項第三号から第五号まで、第七号又は第八号に掲げる事項を変更しようとするときはあらかじめ、その旨について、個人情報保護委員会規則で定めに知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。

## (新設)

二 第三者への提供を利用目的とすること。

## 二 第三者に提供される個人データの項目

(新設)

三 第三者への提供の方法

四 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。

## 五 本人の求めを受け付ける方法

(新設)

3 個人情報取扱事業者は、前項第二号、第三号又は第五号に掲げる事項を変更する場合は、変更する内容について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
るところにより、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。

4 個人情報保護委員会は、第二項の規定による届出があったときは、個人情報保護委員会規則で定めるところにより、当該届出に係る事項を公表しなければならない。前項の規定による届出があったときも、同様とする。

5 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。

一個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合

二 合併その他の事由による事業の承継に伴って個人データが提供される場合

三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

6 個人情報取扱事業者は、前項第三号に規定する個人データの管理について責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったときは遅滞なく、同号に規定する利用する者の利用目的又は当該責任を有する者を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状ない。

4 個人情報保護委員会は、第二項の規定による届出があったときは、個人情報保護委員会規則で定めるところにより、当該届出に係る事項を公表しなければならない。前項の規定による届出があったときも、同様とする。

5 次に掲げる場合において、当該個人データの提供を受ける者は、前各号の規定の適用については、第三者に該当しないものとする。

一個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合

二 合併その他の事由による事業の承継に伴って個人データが提供される場合

三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

6 個人情報取扱事業者は、前項第三号に規定する利用する者の利用目的又は個人データの管理について責任を有する者の氏名若しくは名称を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
態に置かなければならない。
(1)第三者提供の取扱い(略)	(1)第三者提供の取扱い(略)
(2)第三者提供の例外ただし、次に掲げる場合については、本人の同意を得る必要はない。	(2)第三者提供の例外ただし、次に掲げる場合については、本人の同意を得る必要はない。
①法令に基づく場合 医療法に基づく立入検査、介護保険法に基づく不正受給者に係る市町村への通知、児童虐待の防止等に関する法律に基づく児童虐待に係る通告等、法令に基づいて個人情報を利用する場合であり、医療機関等の通常の業務で想定される主な事例は別表3のとおりである。(IV3.(2)①参照)	①法令に基づく場合 医療法に基づく立入検査、介護保険法に基づく不正受給者に係る市町村への通知、児童虐待の防止等に関する法律に基づく児童虐待に係る通告等、法令に基づいて個人情報を利用する場合であり、医療機関等の通常の業務で想定される主な事例は別表3のとおりである。(III1.(2)①参照)
②人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき(例) ·意識不明で身元不明の患者について、関係機関へ照会したり、家族又は関係者等からの安否確認に対して必要な情報提供を行う場合 ·意識不明の患者の病状や重度の認知症の高齢者の状況を家族等に説明する場合 ·大規模災害、感染症等で医療機関に非常に多数の傷病者が一時に搬送され、家族等からの問合せに迅速に対応するためには、本人の同意を	②人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき(例) ·意識不明で身元不明の患者について、関係機関へ照会したり、家族又は関係者等からの安否確認に対して必要な情報提供を行う場合 ·意識不明の患者の病状や重度の認知症の高齢者の状況を家族等に説明する場合 ·大規模災害等で医療機関に非常に多数の傷病者が一時に搬送され、家族等からの問合せに迅速に対応するためには、本人の同意を得るため
得るための作業を行うことが著しく不合理である場合	の作業を行うことが著しく不合理である場合
※なお、「本人の同意を得ることが困難であるとき」には、本人同意を求めても同意しない場合、本人に同意を求める手続を経るまでもなく本人の同意を得ることができない場合等が含まれるものである。	※なお、「本人の同意を得ることが困難であるとき」には、本人同意を求めても同意しない場合、本人に同意を求める手続を経るまでもなく本人の同意を得ることができない場合等が含まれるものである。
③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき(例)·健康増進法に基づく地域がん登録事業による国又は地方公共団体への情報提供·がん検診の精度管理のための地方公共団体又は地方公共団体から委託を受けた検診機関に対する精密検査結果の情報提供·児童虐待事例についての関係機関との情報交換·医療安全の向上のため、院内で発生した医療事故等に関する国、地方公共団体又は第三者機関等への情報提供のうち、氏名等の情報が含まれる場合·感染症患者への対応に当たって、他の患者等への感染を防ぐため、家族等濃厚接触者の迅速な把握のために他の医療機関等に対して必要な個人情報を迅速に共有することが非常に重要な場合であって、本人の同意を得ることが困難であるとき·医療機関が以前治療を行った患者の臨床症例に係る個人データを、症例研究のために他の医療機関に提供し、当該他の医療機関を受診する	③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき(例)·健康増進法に基づく地域がん登録事業による国又は地方公共団体への情報提供·がん検診の精度管理のための地方公共団体又は地方公共団体から委託を受けた検診機関に対する精密検査結果の情報提供·児童虐待事例についての関係機関との情報交換·医療安全の向上のため、院内で発生した医療事故等に関する国、地方公共団体又は第三者機関等への情報提供のうち、氏名等の情報が含まれる場合(新設)(新設)
不特定多数の患者に対してより優れた医療サービスを提供できるようになること等により、公衆衛生の向上に特に資する場合であって、本人の転居により有効な連絡先を保有しておらず本人からの同意取得が困難であるとき·医療機関が保有する患者の臨床症例に係る個人データを、有効な治療方法や薬剤が十分にない疾病等に関する疾病メカニズムの解明を目的とした研究のために製薬企業に提供し、その結果が広く共有・活用されていくことで、医学、薬学等の発展や医療水準の向上に寄与し、公衆衛生の向上に特に資することが期待される場合であって、本人の転居により有効な連絡先を保有しておらず本人からの同意取得が困難であるとき	(新設)
④国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき(略)	④国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき(略)
⑤学術研究機関等が学術研究目的で個人データを提供する場合であり、かつ、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ない場合（個人の権利利益を不当に侵害するおそれがある場合を除く。）(例)·顔面の皮膚病に関する医学論文において、症例に言及する場合であって、写真全体にモザイク処理を施す等の対応をすることにより当該論文による研究成果の公表の目的が達せられなくなるとき	(新設)
⑥学術研究機関等が個人データを提供する場合であり、かつ、当該学術研	(新設)
究機関等と共同して学術研究を行う第三者（学術研究機関等であるか否かを問わない）に当該個人データを学術研究目的で提供する必要がある場合（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）
⑦学術研究機関等が個人データの第三者提供を受ける場合であり、かつ、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要がある場合（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）	(新設)
(3)本人の同意が得られていると考えられる場合(略)	(3)本人の同意が得られていると考えられる場合(略)
①患者への医療の提供のために通常必要な範囲の利用目的について、院内掲示等で公表しておくことによりあらかじめ黙示の同意を得る場合医療機関の受付等で、診療を希望する患者から個人情報を取得した場合、それらが患者自身の医療サービスの提供のために利用されることは明らかである。このため、院内掲示等により公表して、患者に提供する医療サービスに関する利用目的について患者から明示的に留保の意思表示がなければ、患者の黙示による同意があったものと考えられる。(Ⅳ5.参照)また、(7)患者への医療の提供のため、他の医療機関等との連携を図ること(1)患者への医療の提供のため、外部の医師等の意見・助言を求めること	①患者への医療の提供のために通常必要な範囲の利用目的について、院内掲示等で公表しておくことによりあらかじめ黙示の同意を得る場合医療機関の受付等で、診療を希望する患者から個人情報を取得した場合、それらが患者自身の医療サービスの提供のために利用されることは明らかである。このため、院内掲示等により公表して、患者に提供する医療サービスに関する利用目的について患者から明示的に留保の意思表示がなければ、患者の黙示による同意があったものと考えられる。(Ⅲ2.参照)また、(7)患者への医療の提供のため、他の医療機関等との連携を図ること(1)患者への医療の提供のため、外部の医師等の意見・助言を求めること
(り) 患者への医療の提供のため、他の医療機関等からの照会があった場合にこれに応じること(エ) 患者への医療の提供に際して、家族等への病状の説明を行うこと等が利用目的として特定されている場合は、これらについても患者の同意があったものと考えられる。	(り) 患者への医療の提供のため、他の医療機関等からの照会があった場合にこれに応じること(エ) 患者への医療の提供に際して、家族等への病状の説明を行うこと等が利用目的として特定されている場合は、これらについても患者の同意があったものと考えられる。
②(略)	②(略)
※上記①の(り)～(エ)の具体例(例)·他の医療機関宛に発行した紹介状等を本人が持参する場合 医療機関等において他の医療機関等への紹介状、処方せん等を発行し、当該書面を本人が他の医療機関等に持参した場合、当該第三者提供については、本人の同意があったものと考えられ、当該書面の内容に関し、医療機関等との間での情報交換を行うことについて同意が得られたものと考えられる。·他の医療機関等からの照会に回答する場合 診療所Aを過去に受診したことのある患者が、病院Bにおいて現に受診中の場合で、病院Bから診療所Aに対し過去の診療結果等について照会があった場合、病院Bの担当医師等が受診中の患者から同意を得ていることが確認できれば、診療所Aは自らが保有する診療情報の病院Bへの提供について、患者の同意が得られたものと考えられる。 なお、地域医療情報連携ネットワークにおいて、医療機関が保存及び管理等を行う診療情報等を、他の医療機関からの照会を受けて、直接第	※上記①の(り)～(エ)の具体例(例)·他の医療機関宛に発行した紹介状等を本人が持参する場合 医療機関等において他の医療機関等への紹介状、処方せん等を発行し、当該書面を本人が他の医療機関等に持参した場合、当該第三者提供については、本人の同意があったものと考えられ、当該書面の内容に関し、医療機関等との間での情報交換を行うことについて同意が得られたものと考えられる。·他の医療機関等からの照会に回答する場合 診療所Aを過去に受診したことのある患者が、病院Bにおいて現に受診中の場合で、病院Bから診療所Aに対し過去の診療結果等について照会があった場合、病院Bの担当医師等が受診中の患者から同意を得ていることが確認できれば、診療所Aは自らが保有する診療情報の病院Bへの提供について、患者の同意が得られたものと考えられる。(新設)
三者提供する場合(医療機関から地域医療情報連携ネットワークの運営主体に対して診療情報等の保存及び管理等の取扱いを委託している場合において、当該地域医療情報連携ネットワークの運営主体を介して、他の医療機関からの照会を受けて、診療情報等を第三者提供する場合を含む。)については、「地域医療情報連携ネットワークにおける同意取得方法の例について」(令和2年3月31日付け厚生労働省医政局総務課事務連絡)による。·家族等への病状説明病態等について、本人と家族等に対し同時に説明を行う場合には、明示的に本人の同意を得なくても、その本人と同時に説明を受ける家族等に対する診療情報の提供について、本人の同意が得られたものと考えられる。同様に、児童・生徒の治療に教職員が付き添ってきた場合についても、児童・生徒本人が教職員の同席を拒まないのであれば、本人と教職員を同席させて、治療内容等について説明を行うことができると考えられる。	·家族等への病状説明病態等について、本人と家族等に対し同時に説明を行う場合には、明示的に本人の同意を得なくても、その本人と同時に説明を受ける家族等に対する診療情報の提供について、本人の同意が得られたものと考えられる。同様に、児童・生徒の治療に教職員が付き添ってきた場合についても、児童・生徒本人が教職員の同席を拒まないのであれば、本人と教職員を同席させて、治療内容等について説明を行うことができると考えられる。
③(略)	③(略)
④(略)	④(略)
(4)「第三者」に該当しない場合①他の事業者等への情報提供であるが、「第三者」に該当しない場合法第27条第5項各号に掲げる場合の当該個人データの提供を受ける者については、第三者に該当せず、本人の同意を得ずに情報の提供を行	(4)「第三者」に該当しない場合①他の事業者等への情報提供であるが、「第三者」に該当しない場合法第23条第5項各号に掲げる場合の当該個人データの提供を受ける者については、第三者に該当せず、本人の同意を得ずに情報の提供を行
うことができる。医療・介護関係事業者における具体的事例は以下のとおりである。
・検査等の業務を委託する場合
・外部監査機関への情報提供（(公益財団法人) 日本医療機能評価機構が行う病院機能評価等）
・個人データを特定の者との間で共同して利用するとして、あらかじめ本人に通知等している場合
※個人データの共同での利用における留意事項
病院と訪問看護ステーションが共同で医療サービスを提供している場合など、あらかじめ個人データを特定の者との間で共同して利用することが予定されている場合、(ア) 共同して利用される個人データの項目、(イ) 共同利用者の範囲（個別列挙されているか、本人から見てその範囲が明確となるように特定されている必要がある）、(ウ) 利用する者の利用目的、(エ) 当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名をあらかじめ本人に通知し、又は本人が容易に知り得る状態においておくとともに、共同して利用することを明らかにしている場合には、当該共同利用者は第三者に該当しない。
この場合、(ア)、(イ) については変更することができず、(ウ)、(エ) については、本人が想定することが困難でない範囲内で変更することができ、変更する場合は、本人に通知又は本人の容易に知り得る状態におかなければならない。	うことができる。医療・介護関係事業者における具体的事例は以下のとおりである。
・検査等の業務を委託する場合
・外部監査機関への情報提供（(公益財団法人) 日本医療機能評価機構が行う病院機能評価等）
・個人データを特定の者との間で共同して利用するとして、あらかじめ本人に通知等している場合
※個人データの共同での利用における留意事項
病院と訪問看護ステーションが共同で医療サービスを提供している場合など、あらかじめ個人データを特定の者との間で共同して利用することが予定されている場合、(ア) 共同して利用される個人データの項目、(イ) 共同利用者の範囲（個別列挙されているか、本人から見てその範囲が明確となるように特定されている必要がある）、(ウ) 利用する者の利用目的、(エ) 当該個人データの管理について責任を有する者の氏名又は名称、をあらかじめ本人に通知し、又は本人が容易に知り得る状態においておくとともに、共同して利用することを明らかにしている場合には、当該共同利用者は第三者に該当しない。
この場合、(ア)、(イ) については変更することができず、(ウ)、(エ) については、本人が想定することが困難でない範囲内で変更することができ、変更する場合は、本人に通知又は本人の容易に知り得る状態におかなければならない。
②同一事業者内における情報提供であり、第三者に該当しない場合 同一事業者内で情報提供する場合は、当該個人データを第三者に提供したことにはならないので、本人の同意を得ずに情報の提供を行うことができる。医療・介護関係事業者における具体的事例は以下のとおりである。·病院内の他の診療科との連携など当該医療・介護関係事業者内部における情報の交換·同一事業者が開設する複数の施設間における情報の交換·当該事業者の職員を対象とした研修での利用（ただし、第三者提供に該当しない場合であっても、当該利用目的が院内揭示等により公表されていない場合には、具体的な利用方法について本人の同意を得るか（Ⅳ3.参照）、個人が特定されないよう、匿名加工情報又は仮名加工情報に加工する必要がある（Ⅱ4.及びⅡ5.参照）。なお、法別表第二に掲げる法人については、匿名加工情報取扱事業者等の義務に関する規定（法第4章第4節）の適用が除外され（法第58条関係）、匿名加工情報の取扱いについて独立行政法人等による取扱いとみなして公的部門における規律（法第5章第5節）が適用される（法第123条関係）。）·当該事業者内で経営分析を行うための情報の交換	②同一事業者内における情報提供であり、第三者に該当しない場合 同一事業者内で情報提供する場合は、当該個人データを第三者に提供したことにはならないので、本人の同意を得ずに情報の提供を行うことができる。医療・介護関係事業者における具体的事例は以下のとおりである。·病院内の他の診療科との連携など当該医療・介護関係事業者内部における情報の交換·同一事業者が開設する複数の施設間における情報の交換·当該事業者の職員を対象とした研修での利用（ただし、第三者提供に該当しない場合であっても、当該利用目的が院内揭示等により公表されていない場合には、具体的な利用方法について本人の同意を得るか（Ⅲ1.参照）、個人が特定されないよう匿名化する必要がある（Ⅱ4.参照）·当該事業者内で経営分析を行うための情報の交換
(5)その他留意事項·他の事業者への情報提供に関する留意事項第三者提供を行う場合のほか、他の事業者への情報提供であっても、	(5)その他留意事項·他の事業者への情報提供に関する留意事項第三者提供を行う場合のほか、他の事業者への情報提供であっても、
①法令に基づく場合など第三者提供の例外に該当する場合、②「第三者」に該当しない場合、③個人が特定されないよう、匿名加工情報に加工して情報提供する場合などにおいては、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないようにすべきである。特に、医療事故発生直後にマスコミへの公表を行う場合等については、本人の同意を得る必要がある。(適切ではない例)·医師及び薬剤師が製薬企業のMR(医薬品情報担当者)、医薬品卸業者のMS(医薬品販売担当者)等との間で医薬品の投薬効果などについて情報交換を行う場合に、必要でない氏名等の情報を削除せずに提供すること。	①法令に基づく場合など第三者提供の例外に該当する場合、②「第三者」に該当しない場合、③個人が特定されないように匿名化して情報提供する場合などにおいては、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないようにすべきである。特に、医療事故等に関する情報提供に当たっては、患者・利用者及び家族等の意思を踏まえ、報告において氏名等が必要とされる場合を除き匿名化(Ⅱ4.参照)を行う。また、医療事故発生直後にマスコミへの公表を行う場合等については、匿名化する場合であっても本人又は家族等の同意を得るよう努めるものとする。(適切ではない例)·医師及び薬剤師が製薬企業のMR(医薬品情報担当者)、医薬品卸業者のMS(医薬品販売担当者)等との間で医薬品の投薬効果などについて情報交換を行う場合に、必要でない氏名等の情報を削除せずに提供すること。
【法の規定により遵守すべき事項等】(略)	【法の規定により遵守すべき事項等】(略)
【その他の事項】(略)	【その他の事項】(略)
10.外国にある第三者への提供の制限(法第28条)	6.外国にある第三者への提供の制限(法第24条)
(略)	詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン(外国にある第三者への提供編)」(平成28年個人情報保護委員会告示第
(外国にある第三者への提供の制限)
法第二十八条 個人情報取扱事業者は、外国(本邦の域外にある国又は地域をいう。以下この条及び第三十一条第一項第二号において同じ。)(個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものを除く。以下この条及び同号において同じ。)にある第三者(個人データの取扱いについてこの節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置(第三項において「相当措置」という。)を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この項及び次項並びに同号において同じ。)に個人データを提供する場合には、前条第一項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は、適用しない。
2 個人情報取扱事業者は、前項の規定により本人の同意を得なければならない。
3 個人情報取扱事業者は、個人データを外国にある第三者(第一項に規定する体制を整備している者に限る。)に提供した場合には、個人情報保護委員会規則で定めるところにより、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。
7号)を参照のこと。
(外国にある第三者への提供の制限)
法第二十四条 個人情報取扱事業者は、外国(本邦の域外にある国又は地域をいう。以下同じ。)(個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものを除く。以下この条において同じ。)にある第三者(個人データの取扱いについてこの節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この条において同じ。)に個人データを提供する場合には、前条第一項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は、適用しない。
(新設)
(新設)
応じて当該必要な措置に関する情報を当該本人に提供しなければならない。規則第十六条 法第二十八条第一項の個人情報保護委員会規則で定める基準は、次の各号のいずれかに該当することとする。一 個人情報取扱事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第四章第二節の規定の趣旨に沿った措置の実施が確保されていること。二 個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。
【法の規定により遵守すべき事項等】·医療·介護関係事業者が、法第28条の規定に基づき、外国にある第三者に個人データを提供する場合には、法第27条第1項各号（※）に定める場合を除き、外国にある第三者へ提供することについて本人の同意を得なければならない。·ただし、次の①又は②のいずれかに該当する場合は、国内と同様に法第27条第1項柱書の規定に基づく本人同意による第三者提供、又は同条第5項に基づく委託、共同利用による提供が可能である。①外国にある第三者が、日本と同等の水準にあると認められる個人情報保護制度を有している国として規則で定める国にある場合
【法の規定により遵守すべき事項等】·医療·介護関係事業者が、法第24条の規定に基づき、外国にある第三者に個人データを提供する場合には、法第23条第1項各号（※）に定める場合を除き、外国にある第三者へ提供することについて本人の同意を得なければならない。·ただし、次の①又は②のいずれかに該当する場合は、国内と同様に法第23条第1項柱書の規定に基づく本人同意による第三者提供、又は同条第5項に基づく委託、共同利用による提供が可能である。①外国にある第三者が、日本と同等の水準にあると認められる個人情報保護制度を有している国として個人情報の保護に関する法律施行規則（平成28年個人情報保護委員会規則第3号。以下「規則」という。）で定める国にある場合
②外国にある第三者が、個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制として規則で定める基準に適合する体制を整備している場合	②外国にある第三者が、個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制として規則で定める基準に適合する体制を整備している場合
(※) 法第27条第1項各号·法令に基づいて個人データを提供する場合(第1号関係)·人(法人を含む。)の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得ることが困難である場合(第2号関係)·公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることが困難である場合(第3号関係)·国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であって、協力する民間企業等が当該国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合(第4号関係)·学術研究機関等が学術研究目的で個人データを提供する場合であり、かつ、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ない場合(個人の権利利益を不当に侵害するおそれがある場合を除く。)(第5号関係)·学術研究機関等が個人データを提供する場合であり、かつ、当該学術研究機関等と共同して学術研究を行う第三者(学術研究機関等であるか否かを問わない)に当該個人データを学術研究目的で提供する必要	(※) 法第23条第1項各号·法令に基づいて個人データを提供する場合(第1号関係)·人(法人を含む。)の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得ることが困難である場合(第2号関係)·公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることが困難である場合(第3号関係)·国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であって、協力する民間企業等が当該国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合(第4号関係)(新設)(新設)
がある場合(当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)(第6号関係)·学術研究機関等が個人データの第三者提供を受ける場合であり、かつ、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要がある場合(当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)(第7号関係)	(新設)
(削る)	·外国にある第三者に対する個人データの提供が、法第23条に規定する方法のいずれにより行われるかによって、法第24条の適用が決まる。(1) 本人の同意に基づき提供する方法(法第23条第1項柱書)医療・介護関係事業者において「外国にある第三者への提供を認める旨の本人の同意」が得られている場合には、外国にある第三者への提供が可能である。他方、医療・介護関係事業者において「第三者提供を認める旨の本人の同意」が得られている場合で、かつ、①又は②に該当するときは、日本国内と同等の個人情報保護レベルが担保できているため、外国にある第三者への提供が可能である。(2) 委託、事業承継又は共同利用に伴って提供する方法(法第23条第5項各号)「外国にある第三者への提供を認める旨の本人の同意」が得られている場合、又は、①又は②に該当する場合は、外国にある第三者に対し、委託、事業承継、共同利用に伴って個人データを提供することができ
る。 (3) 法第23条第1項各号に掲げる場合により提供する方法 法第23条第1項各号に掲げる場合で、外国にある第三者へ個人データを提供する際には、本人の同意を得る必要はない。
·上記②個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準については、規則第16条に規定されている。	·上記②個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準については、規則第11条に規定されている。
(略)	·「適切かつ合理的な方法」は、個々の事例ごとに判断されるべきであるが、個人データの提供先である外国にある第三者が、我が国の個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずることを担保することができる方法である必要がある。例えば、次の事例が該当する。(例) ·外国にある事業者に個人データの取扱いを委託する場合 提供元及び提供先間の契約、確認書、覚書等
·契約等に法第4章第1節に関する全ての事項を規定しなければならないものではなく、実質的に適切かつ合理的な方法により、措置の実施が確保されていればよい。なお、典型的な事例として日本にある事業者が、外国にある事業者に個人データの取扱いを委託する場合を挙げ、外国にある第三者又は提供元である日本にある事業者が講ずべき措置の具体例を示すこととする。 ·利用目的の特定(法第17条の趣旨に沿った措置)	·契約等に法第4章第1節に関する全ての事項を規定しなければならないものではなく、実質的に適切かつ合理的な方法により、措置の実施が確保されていればよい。なお、典型的な事例として日本にある事業者が、外国にある事業者に個人データの取扱いを委託する場合を挙げ、外国にある第三者又は提供元である日本にある事業者が講ずべき措置の具体例を示すこととする。 ·利用目的の特定(法第15条の趣旨に沿った措置)
(例) 委託契約において、外国にある事業者による利用目的を特定する。
·利用目的による制限(法第18条の趣旨に沿った措置)
(例) 委託契約において、委託の内容として、外国にある事業者による利用目的の範囲内での事務処理を規定する。
·不適正な利用の禁止(法第19条の趣旨に沿った措置)
(例) 委託契約により外国にある事業者による違法又は不当な行為を助長し、又は誘発するおそれがある方法による利用を禁止する。
·適正な取得(法第20条第1項の趣旨に沿った措置)
(例) 外国にある事業者が委託契約に基づいて適切に個人データを取得していることが自明であれば、不正の手段による取得ではない。
·取得に際しての利用目的の通知(法第21条の趣旨に沿った措置)
(例) 日本にある事業者から患者に対して利用目的の通知等をする。
(利用目的の範囲を別表2で示し、院内揭示等での公表で差し支えない)
·データ内容の正確性の確保等(法第22条の趣旨に沿った措置)
(例) 委託契約によりデータ内容の正確性の確保等について規定するか、又は、データ内容の正確性の確保等に係る責任を個人データの提供元たる事業者が負うこととする。
·安全管理措置(法第23条の趣旨に沿った措置)
(例) 委託契約により外国にある事業者が安全管理措置を講ずる旨を規定する。
·従業者の監督(法第24条の趣旨に沿った措置)
(例) 委託契約により外国にある事業者の従業者の監督に係る措置を