Silviase/jgov_v1.4_full_ann huggingface dataset:
個人情報取扱事業者(別表第二に掲げる法人を除く)	民間部門の規律(第4章)	民間部門の規律(第4章)	民間部門の規律(第4章)
(※1)これらが行う業務のうち政令で定めるものについては、安全管理措置義務(法第66条)、従業者の義務(法第67条)及び一定の罰則(法第171条及び第175条)について、この表にかかわらず、行政機関に準じた扱いがなされる。(令第18条関係)(※2)第2節中保有個人データに関する事項の公表等(第32条)、開示、訂正等及び利用停止等(第33条～第39条)並びに匿名加工情報取扱事業者等の義務(第4章第4節)に関する規定は適用が除外される。(法第58条関係)なお、診療情報の開示に当たっては、「診療情報の提供等に関する指針」の内容にも配慮する必要がある。
Ⅳ 医療・介護関係事業者の義務等	Ⅲ 医療・介護関係事業者の義務等
1. 医療・介護関係事業者の義務等にかかる各種定義(法第16条)	(新設)
(1)個人情報データベース等(法第16条第1項)、個人情報取扱事業者(同条第2項)、個人データ(同条第3項)、保有個人データ(同条第4項)
(定義)

法第十六条 この章及び第八章において「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるもの（利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものを除く。）をいう。

一 特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの

二 前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの

令第四条 法第十六条第一項の利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものは、次の各号のいずれにも該当するものとする。

一 不特定かつ多数の者に販売することを目的として発行されたものであって、かつ、その発行が法又は法に基づく命令の規定に違反して行われたものでないこと。

二 不特定かつ多数の者により随時に購入することができ、又はできたものであること。

三 生存する個人に関する他の情報を加えることなくその本来の用途に供しているものであること。

2 法第十六条第一項第二号の政令で定めるものは、同項に規定する情報の集合物に含まれる個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成したものであって、目次、索引その他検索を容易にするためのものを有する
ものをいう。
「個人情報データベース等」とは、特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した個人情報を含む情報の集合体、又はコンピュータを用いていない場合であっても、紙面で処理した個人情報を一定の規則（例えば、五十音順、生年月日順など）に従って整理・分類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものをいう。なお、個人情報データベース等に該当しないものとしては、市販の電話帳や住宅地図などが該当するが、詳細は「通則ガイドライン」を参照されたい。
(定義)法第十六条2 この章及び第六章から第八章までにおいて「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者をいう。ただし、次に掲げる者を除く。一 国の機関二 地方公共団体三 独立行政法人等四 地方独立行政法人
「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者のうち、国の機関、地方公共団体、法第2条第9項に規定する独立行政法人等（別表第2に掲げる法人を除く。）及び法第2条第10項に規定する地方独立行政法人を除いた者をいう。 すなわち、別表第2に掲げられた国立大学法人、医療事業を行う独立行政法人等は個人情報取扱事業者に該当する（「Ⅲ 本ガイダンスの対象となる事業者の種別と法の適用関係」を参照）。 ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。
(定義) 法第十六条 3 この章において「個人データ」とは、個人情報データベース等を構成する個人情報をいう。
「個人データ」とは、「個人情報データベース等」を構成する個人情報をいう。 診療録等の診療記録や介護関係記録については、媒体の如何にかかわらず個人データに該当する。 また、検査等の目的で、患者から血液等の検体を採取した場合、それらは個人情報に該当し、利用目的の特定等（Ⅳ3．参照）、利用目的の通知等（Ⅳ5．参照）等の対象となることから、患者の同意を得ずに、特定された利用目的の達成に必要な範囲を超えて検体を取り扱ってはならない。また、これらの検査結果については、診療録等と同様に検索可能な状態として保存
されることから、個人データに該当し、第三者提供の制限（IV 9. 参照）や開示（IV 14. 参照）の対象となる。
(定義)法第十六条4 この章において「保有個人データ」とは、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの以外のものをいう。
「保有個人データ」とは、個人データのうち、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有するものをいう。ただし、その存否が明らかになることにより、公益その他の利益が害されるものは除く。
(2) 仮名加工情報取扱事業者（法第 16 条第 5 項）
(定義)法第十六条5 この章、第六章及び第七章において「仮名加工情報取扱事業者」とは、仮名加工情報を含む情報の集合物であって、特定の仮名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の仮名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第四十一条第一項において「仮名加工情報データベース等」という。）を事業の用に供している者をいう。
ただし、第二項各号に掲げる者を除く。(仮名加工情報の作成等)法第四十一条 個人情報取扱事業者は、仮名加工情報（仮名加工情報データベース等を構成するものに限る。以下この章及び第六章において同じ。）を作成するときは、他の情報と照合しない限り特定の個人を識別することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、個人情報を加工しなければならない。2～9 (略)
「仮名加工情報取扱事業者」とは、仮名加工情報データベース等を事業の用に供している者のうち、国の機関、地方公共団体、法第2条第9項に規定する独立行政法人等（別表第2に掲げる法人を除く。）及び法第2条第10項に規定する地方独立行政法人を除いた者をいう。また、法第41条第1項における「作成するとき」とは、仮名加工情報として取り扱う意図をもって個人情報を加工する場合を意味しており、事業者において、（仮名加工情報ではなく）個人情報の取扱いに関する各種義務を遵守することを想定している場合には、仮名加工情報の取扱いに係る規律は適用されない。（その代わりに、個人情報取扱事業者としての規定を遵守する必要がある。）なお、仮名加工情報を作成すること自体は、当該仮名加工情報の作成の元となった個人情報の取得時においてあらかじめ特定した利用目的に含まれていなかったとしても、目的外利用には当たらない。この場合、元となった個人情報の利用目的が、仮名加工情報の利用目的として引き継がれることとなるが、仮名加工情報の利用目的を変更した場合には、変更後の利用目的について、公表が必要になる（法第21条第3項、第41条第4項。）。
仮名加工情報取扱事業者の定義等については、仮名加工情報・匿名加工情報ガイドラインも参照のこと。
(3)匿名加工情報取扱事業者(法第16条第6項)
(定義)法第十六条6 この章、第六章及び第七章において「匿名加工情報取扱事業者」とは、匿名加工情報を含む情報の集合物であって、特定の匿名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の匿名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの(第四十三条第一項において「匿名加工情報データベース等」という。)を事業の用に供している者をいう。ただし、第二項各号に掲げる者を除く。
「匿名加工情報取扱事業者」とは、匿名加工情報データベース等を事業の用に供している者のうち、国の機関、地方公共団体、法第2条第9項に規定する独立行政法人等(別表第2に掲げる法人を除く。)及び法第2条第10項に規定する地方独立行政法人を除いた者をいう。また、法第43条第1項における「作成するとき」とは、匿名加工情報として取り扱う意図をもって個人情報を加工する場合を意味しており、事業者において、(匿名加工情報ではなく)個人情報の取扱いに関する各種義務を遵守することを想定している場合には、匿名加工情報の取扱いに係る規律は適用されない。(その代わりに、個人情報取扱事業者としての規定を遵守する必要がある。)なお、匿名加工情報を作成すること自体は、当該匿名加工情報の作成の元となった個人情報の取得時においてあらかじめ特定した利用目的に含まれて
いなかったとしても、目的外利用には当たらない。 匿名加工情報取扱事業者の定義等については、仮名加工情報・匿名加工情報ガイドラインも参照のこと。 なお、法別表第二に掲げる法人については、匿名加工情報取扱事業者等の義務に関する規定（法第4章第4節）の適用が除外され（法第58条関係）、匿名加工情報の取扱いについて独立行政法人等による取扱いとみなして公的部門における規律（法第5章第5節）が適用される（法第123条関係）。
(4) 学術研究機関等（法第16条第8項）
(定義) 法第十六条8 この章において「学術研究機関等」とは、大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者をいう。
「学術研究機関等（※1）」とは、大学その他の学術研究（※2）を目的とする機関若しくは団体又はそれらに属する者をいう。 「大学その他の学術研究を目的とする機関若しくは団体」とは、国立・私立大学、公益法人等の研究所等の学術研究を主たる目的として活動する機関や「学会」をいい、「それらに属する者」とは、国立・私立大学の教員、公益法人等の研究所の研究員、学会の会員等をいう。 なお、民間団体付属の研究機関等における研究活動についても、当該機関が学術研究を主たる目的とするものである場合には、「学術研究機関等」に該当する。 （※1）国立の大学等、法別表第2に掲げる法人のうち、学術研究機関等にも該当するものについては、原則として私立の大学、民間の学術
研究機関等と同等の規律が適用される（「Ⅲ 本ガイダンスの対象となる事業者の種別と法の適用関係」を参照）。（※2）「学術」とは、人文・社会科学及び自然科学並びにそれらの応用の研究であり、あらゆる学問分野における研究活動及びその所産としての知識・方法の体系をいい、具体的活動としての「学術研究」としては、新しい法則や原理の発見、分析や方法論の確立、新しい知識やその応用法の体系化、先端的な学問領域の開拓などをいう。
2．医療・介護関係事業者における取組	（新設）
（1）本人の同意「本人の同意」とは、本人の個人情報が、個人情報取扱事業者によって示された取扱方法で取り扱われることを承諾する旨の当該本人の意思表示をいう（当該本人であることを確認できていることが前提となる。）。また、「本人の同意を得（る）」とは、本人の承諾する旨の意思表示を当該個人情報取扱事業者が認識することをいい、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。なお、個人情報の取扱いに関して同意したことによって生ずる結果について、未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力を有していないなどの場合は、親権者や法定代理人等から同意を得る必要がある。【本人の同意を得ている事例】事例1）本人からの同意する旨の口頭による意思表示事例2）本人からの同意する旨の書面（電磁的記録を含む。）の受領事例3）本人からの同意する旨のメールの受信
事例4) 本人による同意する旨の確認欄へのチェック
事例5) 本人による同意する旨のホームページ上のボタンのクリック
事例6) 本人による同意する旨の音声入力、タッチパネルへのタッチ、
ボタンやスイッチ等による入力
法は、個人情報の目的外利用や個人データの第三者提供の場合には、原則
として本人の同意を得ることを求めている。これは、法の基本となるOECD
8原則のうち、利用制限の原則の考え方の現れであるが、医療機関等につ
いては、患者に適切な医療サービスを提供する目的のために、当該医療機関
等において、通常必要と考えられる個人情報の利用範囲を施設内への揭示
(院内揭示) により明らかにしておき、患者側から特段明確な反対・留保の
意思表示がない場合には、これらの範囲内での個人情報の利用について同意
が得られているものと考えられる。(IV9.(3)(4)参照)
また、患者・利用者が、意識不明ではないものの、本人の意思を明確に確
認できない状態の場合については、意識の回復にあわせて、速やかに本人へ
の説明を行い本人の同意を得るものとする。
なお、これらの場合において患者・利用者の理解力、判断力などに応じ
て、可能な限り患者・利用者本人に通知し、同意を得るよう努めることが重
要である。
医療・介護関係事業者が要配慮個人情報を書面又は口頭等により本人から
適正に直接取得する場合は、本人が当該情報を提供したことをもって、当該
医療・介護関係事業者が当該情報を取得することについて本人の同意があつ
たものと解される。(IV9.参照)
(2)家族等への病状説明法においては、個人データを第三者提供する場合には、あらかじめ本人の同意を得ることを原則としている。一方、病態によっては、治療等を進めるに当たり、本人だけでなく家族等の同意を得る必要がある場合もある。家族等への病状説明については、「患者（利用者）への医療（介護）の提供に必要な利用目的」（IV 3.（1）参照）と考えられるが、本人以外の者に病状説明を行う場合は、本人に対し、あらかじめ病状説明を行う家族等の対象者を確認し、同意を得ることが望ましい。この際、本人から申出がある場合には、治療の実施等に支障を生じない範囲において、現実に患者（利用者）の世話をしている親族及びこれに準ずる者を説明を行う対象に加えたり、説明を行う対象を家族の特定の人に限定するなどの取扱いとすることができる。一方、意識不明の患者の病状や重度の認知症の高齢者の状況を家族等に説明する場合は、本人の同意を得ずに第三者提供できる場合と考えられる（IV 9.（2）②参照）。この場合、医療・介護関係事業者において、本人の家族等であることを確認した上で、治療等を行うに当たり必要な範囲で、情報提供を行うとともに、本人の過去の病歴、治療歴等について情報の取得を行う。本人の意識が回復した際には、速やかに、提供及び取得した個人情報の内容とその相手について本人に説明するとともに、本人からの申出があった場合、取得した個人情報の内容の訂正等、病状の説明を行う家族等の対象者の変更等を行う。なお、患者の判断能力に疑義がある場合は、意識不明の患者と同様の対応を行うとともに、判断能力の回復にあわせて、速やかに本人への説明を行い、本人の同意を得るものとする。
3. 利用目的の特定等 (法第17条、第18条)	1. 利用目的の特定等 (法第15条、第16条)
(利用目的の特定)法第十七条 個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的 (以下「利用目的」という。) をできる限り特定しなければならない。2 個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。(利用目的による制限)法第十八条 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。2 個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。3 前二項の規定は、次に掲げる場合については、適用しない。一 法令に基づく場合二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定	(利用目的の特定)法第十五条 個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的 (以下「利用目的」という。) をできる限り特定しなければならない。2 個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。(利用目的による制限)法第十六条 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。2 個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。3 前二項の規定は、次に掲げる場合については、適用しない。一 法令に基づく場合二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定
める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。五 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下この章において「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）六 学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）
(1) 利用目的の特定及び制限医療・介護関係事業者が医療・介護サービスを希望する患者・利用者から個人情報を取得する場合、当該個人情報を患者・利用者に対する医療・介護サービスの提供、医療・介護保険事務、入退院等の病棟管理などで利用することは患者・利用者にとって明らかと考えられる。これら以外で個人情報を利用する場合は、患者・利用者にとって必ずしも明らかな利用目的とはいえない。この場合は、個人情報を取得するに当たって明確に当該利用目的の公表等の措置が講じられなければならない。(IV 5. 参照)医療・介護関係事業者の通常の業務で想定される利用目的は別表2に例示されるものであり、医療・介護関係事業者は、これらを参考として、自らの業務に照らして通常必要とされるものを特定して公表（院内揭示等）
しなければならない。(IV5.参照)	しなければならない。(Ⅲ2.参照)
また、別表2に掲げる利用目的の範囲については、法第17条第2項に定める利用目的の変更を行うことができると考えられる。ただし、変更された利用目的については、本人へ通知又は公表しなければならない。(IV5.参照)	また、別表2に掲げる利用目的の範囲については、法第15条第2項に定める利用目的の変更を行うことができると考えられる。ただし、変更された利用目的については、本人へ通知又は公表しなければならない。(Ⅲ2.参照)
(2)利用目的による制限の例外 医療・介護関係事業者は、あらかじめ本人の同意を得ないで法第17条の規定により特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならないが(法第18条第1項)、同条第3項に掲げる場合については、本人の同意を得る必要はない。具体的な例としては以下のとおりである。	(2)利用目的による制限の例外 医療・介護関係事業者は、あらかじめ本人の同意を得ないで法第15条の規定により特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならないが(法第16条第1項)、同条第3項に掲げる場合については、本人の同意を得る必要はない。具体的な例としては以下のとおりである。
①法令に基づく場合(略)	①法令に基づく場合(略)
②人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき(略)	②人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき(略)
③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき(例) ·健康増進法に基づく地域がん登録事業による国又は地方公共団体への情報提供 ·がん検診の精度管理のための地方公共団体又は地方公共団体から委託を受けた検診機関に対する精密検査結果の情報提供	③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき(例) ·健康増進法に基づく地域がん登録事業による国又は地方公共団体への情報提供 ·がん検診の精度管理のための地方公共団体又は地方公共団体から委託を受けた検診機関に対する精密検査結果の情報提供
·児童虐待事例についての関係機関との情報交換·医療安全の向上のため、院内で発生した医療事故等に関する国、地方公共団体又は第三者機関等への情報提供のうち、氏名等の情報が含まれる場合·医療機関が以前治療を行った患者の臨床症例に係る個人データを、症例研究のために他の医療機関に提供し、当該他の医療機関を受診する不特定多数の患者に対してより優れた医療サービスを提供できるようになること等により、公衆衛生の向上に特に資する場合であって、本人の転居により有効な連絡先を保有しておらず本人からの同意取得が困難であるとき·医療機関が保有する患者の臨床症例に係る個人データを、有効な治療方法や薬剤が十分にない疾病等に関する疾病メカニズムの解明を目的とした研究のために製薬企業に提供し、その結果が広く共有・活用されていくことで、医学、薬学等の発展や医療水準の向上に寄与し、公衆衛生の向上に特に資する場合であって、本人の転居により有効な連絡先を保有しておらず本人からの同意取得が困難であるとき	·児童虐待事例についての関係機関との情報交換·医療安全の向上のため、院内で発生した医療事故等に関する国、地方公共団体又は第三者機関等への情報提供のうち、氏名等の情報が含まれる場合(新設)(新設)
④国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき(略)	④国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき(略)
⑤個人情報取扱事業者が学術研究機関等である場合であって、個人情報を学術研究の用に供する目的(以下「学術研究目的」という。)で取り扱う必要があるとき(当該個人情報を取り扱う目的の一部が学術研究目的	(新設)
である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)
⑥学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）	(新設)
【法の規定により遵守すべき事項等】·医療·介護関係事業者は、個人情報を取り扱うに当たって、その利用目的をできる限り特定しなければならない。·医療·介護関係事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。·医療·介護関係事業者は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない。なお、本人の同意を得るために個人情報を利用すること（同意を得るために患者·利用者の連絡先を利用して電話をかける場合など）、個人情報を匿名加工情報及び仮名加工情報に加工することは差し支えない（ただし、法別表第二に掲げる法人については、匿名加工情報取扱事業者等の義務に関する規定（法第4章第4節）の適用が除外され（法第58条関係）、匿名加工情報の取扱いについて独立行政法人等による取扱いとみなして公的部門における規律（法第5章第5節等）が適用される（法第123条関係）。)	【法の規定により遵守すべき事項等】·医療·介護関係事業者は、個人情報を取り扱うに当たって、その利用目的をできる限り特定しなければならない。·医療·介護関係事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。·医療·介護関係事業者は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない。なお、本人の同意を得るために個人情報を利用すること（同意を得るために患者·利用者の連絡先を利用して電話をかける場合など）、個人情報を匿名化するために個人情報に加工を行うことは差し支えない。
·個人情報を取得する時点で、本人の同意があったにもかかわらず、その後、本人から利用目的の一部についての同意を取り消す旨の申出があった場合は、その後の個人情報の取扱いについては、本人の同意が取り消されなかった範囲に限定して取り扱う。·医療・介護関係事業者は、合併その他の事由により他の事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。·利用目的の制限の例外（法第18条第3項）に該当する場合は、本人の同意を得ずに個人情報を取り扱うことができる。（利用目的を変更する場合の取扱いについてはIV5.を参照）	·個人情報を取得する時点で、本人の同意があったにもかかわらず、その後、本人から利用目的の一部についての同意を取り消す旨の申出があった場合は、その後の個人情報の取扱いについては、本人の同意が取り消されなかった範囲に限定して取り扱う。·医療・介護関係事業者は、合併その他の事由により他の事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。·利用目的の制限の例外（法第16条第3項）に該当する場合は、本人の同意を得ずに個人情報を取り扱うことができる。（利用目的を変更する場合の取扱いについてはIII2.を参照）
【その他の事項】(略)	【その他の事項】(略)
4. 不適正な利用の禁止（法第19条）	(新設)
(不適正な利用の禁止)法第十九条 個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。	(新設)
医療・介護関係事業者は、違法又は不当な行為（※1）を助長し、又は誘発するおそれ（※2）がある方法により個人情報を利用してはならない。
(※1)「違法又は不当な行為」とは、法（個人情報の保護に関する法律）その他の法令に違反する行為、及び直ちに違法とはいえない
ものの、法(個人情報の保護に関する法律) その他の法令の制度趣旨又は公序良俗に反する等、社会通念上適正とは認められない行為をいう。(※2)「おそれ」の有無は、個人情報取扱事業者による個人情報の利用が、違法又は不当な行為を助長又は誘発することについて、社会通念上蓋然性が認められるか否かにより判断される。この判断に当たっては、個人情報の利用方法等の客観的な事情に加えて、個人情報の利用時点における医療・介護関係事業者の認識及び予見可能性も踏まえる必要がある。例えば、医療・介護関係事業者が第三者に個人情報を提供した場合において、当該第三者が当該個人情報を違法な行為に用いた場合であっても、当該第三者が当該個人情報の取得目的を偽っていた等、当該個人情報の提供の時点において、提供した個人情報が違法に利用されることについて、当該医療・介護関係事業者が一般的な注意力をもってしても予見できない状況であった場合には、「おそれ」は認められないと解される。
5. 利用目的の通知等(法第21条)	2. 利用目的の通知等(法第18条)
(取得に際しての利用目的の通知等)法第二十一条 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。2 個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面(電磁的記録を含む。以下	(取得に際しての利用目的の通知等)法第十八条 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。2 個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面(電磁的記録を含む。以下
この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。3 個人情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。4 前三項の規定は、次に掲げる場合については、適用しない。一 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合二 利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合三 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。四 取得の状況からみて利用目的が明らかであると認められる場合
【法の規定により遵守すべき事項等】·医療・介護関係事業者は、個人情報を取得するに当たって、あらかじめその利用目的を公表しておくか、個人情報を取得した場合、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。·利用目的の公表方法としては、院内や事業所内等に揭示するとともに、可能な場合にはホームページへの掲載等の方法により、なるべく広く公
【法の規定により遵守すべき事項等】·医療・介護関係事業者は、個人情報を取得するに当たって、あらかじめその利用目的を公表しておくか、個人情報を取得した場合、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。·利用目的の公表方法としては、院内や事業所内等に揭示するとともに、可能な場合にはホームページへの掲載等の方法により、なるべく広く公
表する必要がある。·医療·介護関係事業者は、受付で患者に保険証を提出してもらう場合や問診票の記入を求める場合など、本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を院内揭示等により明示しなければならない。ただし、救急の患者で緊急の処置が必要な場合等は、この限りでない。·医療·介護関係事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。·取得の状況からみて利用目的が明らかであると認められる場合など利用目的の通知等の例外に該当する場合は、上記内容は適用しない。（「利用目的が明らか」な場合についてはIV3.（1）を参照）	表する必要がある。·医療·介護関係事業者は、受付で患者に保険証を提出してもらう場合や問診票の記入を求める場合など、本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を院内揭示等により明示しなければならない。ただし、救急の患者で緊急の処置が必要な場合等は、この限りでない。·医療·介護関係事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。·取得の状況からみて利用目的が明らかであると認められる場合など利用目的の通知等の例外に該当する場合は、上記内容は適用しない。（「利用目的が明らか」な場合についてはIII1.（1）を参照）
【その他の事項】·利用目的が、本規定の例外である「取得の状況からみて利用目的が明らかであると認められる場合」に該当する場合であっても、患者·利用者等に利用目的をわかりやすく示す観点から、利用目的の公表に当たっては、当該利用目的についても併せて記載する。·院内や事業者内等への揭示に当たっては、受付の近くに当該内容を説明した表示を行い、初回の患者·利用者等に対しては、受付時や利用開始時において当該揭示についての注意を促す。·初診時や入院·入所時等における説明だけでは、個人情報について十分な理解ができない患者·利用者も想定されることから、患者·利用者が落ち着いた時期に改めて説明を行ったり、診療計画書、療養生活の手引き、訪問介護計画等のサービス提供に係る計画等に個人情報に関する取扱いを記載するなど、患者·利用者が個人情報の利用目的を理解できる	【その他の事項】·利用目的が、本規定の例外である「取得の状況からみて利用目的が明らかであると認められる場合」に該当する場合であっても、患者·利用者等に利用目的をわかりやすく示す観点から、利用目的の公表に当たっては、当該利用目的についても併せて記載する。·院内や事業者内等への揭示に当たっては、受付の近くに当該内容を説明した表示を行い、初回の患者·利用者等に対しては、受付時や利用開始時において当該揭示についての注意を促す。·初診時や入院·入所時等における説明だけでは、個人情報について十分な理解ができない患者·利用者も想定されることから、患者·利用者が落ち着いた時期に改めて説明を行ったり、診療計画書、療養生活の手引き、訪問介護計画等のサービス提供に係る計画等に個人情報に関する取扱いを記載するなど、患者·利用者が個人情報の利用目的を理解できる
よう配慮する。·患者·利用者等の希望がある場合、詳細の説明や当該内容を記載した書面の交付（電磁的方法による場合を含む。）を行う。	よう配慮する。·患者·利用者等の希望がある場合、詳細の説明や当該内容を記載した書面の交付を行う。
6.個人情報の適正な取得、個人データ内容の正確性の確保（法第20条、第22条）	3.個人情報の適正な取得、個人データ内容の正確性の確保（法第17条、第19条）
(適正な取得)法第二十条 個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。2 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。一 法令に基づく場合二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。五 当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。六 学術研究機関等から当該要配慮個人情報を取得する場合であって、	(適正な取得)法第十七条 個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。2 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。一 法令に基づく場合二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき三 公衆衛生の向上又は児童の健全な育成のために特に必要がある場合であって、本人の同意を得ることが困難であるとき四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。(新設)
当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）(当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。)
七 当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、第五十七条第一項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合八 その他前各号に掲げる場合に準ずるものとして政令で定める場合規則第六条 法第二十条第二項第七号の個人情報保護委員会規則で定める者は、次の各号のいずれかに該当する者とする。一 外国政府、外国の政府機関、外国の地方公共団体又は国際機関二 外国において法第十六条第八項に規定する学術研究機関等に相当する者三 外国において法第五十七条第一項各号に掲げる者に相当する者令第九条 法第二十条第二項第八号の政令で定める場合は、次に掲げる場合とする。一 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合二 法第二十七条第五項各号（法第四十一条第六項の規定により読み替えて適用する場合及び法第四十二条第二項において読み替えて準用する場合を含む。）に掲げる場合において、個人データである要配慮個人
情報の提供を受けるとき。
(データ内容の正確性の確保等)法第二十二条 個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。
【法の規定により遵守すべき事項等】·医療·介護関係事業者は、偽りその他不正の手段により個人情報を取得してはならない。·診療等のために必要な過去の受診歴等については、真に必要な範囲について、本人から直接取得するほか、第三者提供について本人の同意を得た者(IV9.(3)により本人の黙示の同意が得られていると考えられる者を含む。)から取得することを原則とする。ただし、本人以外の家族等から取得することが診療上又は適切な介護サービスの提供上やむを得ない場合はこの限りでない。·親の同意なく、十分な判断能力を有していない子どもから家族の個人情報を取得してはならない。ただし、当該子どもの診療上、家族等の個人情報の取得が必要な場合で、当該家族等から個人情報を取得することが困難な場合はこの限りでない。
【要配慮個人情報の取得時における本人の同意について】医療機関の受付等で診療を希望する患者は、傷病の回復等を目的として	【要配慮個人情報の取得時における本人の同意について】医療機関の受付等で診療を希望する患者は、傷病の回復等を目的として
いる。一方、医療機関等は、患者の傷病の回復等を目的として、より適切な医療が提供できるよう治療に取り組むとともに、その費用を公的医療保険に請求する必要が生じる。良質で適正な医療の提供を受けるためには、また公的医療保険の扶助を受けるためには、医療機関等が患者の要配慮個人情報を含めた個人情報を取得することは必要不可欠である。

このため、例えば、患者が医療機関の受付等で、問診票に患者自身の身体状況や病状などを記載し、保険証とともに受診を申し出ることは、患者自身が自己の要配慮個人情報を含めた個人情報を医療機関等に取得されることを前提としていると考えられるため、医療機関等が要配慮個人情報を書面又は口頭等により本人から適正に直接取得する場合は、患者の当該行為をもって、当該医療機関等が当該情報を取得することについて本人の同意があったものと解される。

また、医療機関等が要配慮個人情報を第三者提供の方法により取得した場合、提供元が法第20条第2項及び第27条第1項の規定に基づいて本人から必要な同意（要配慮個人情報の取得及び第三者提供に関する同意）を取得していることが前提となるため、提供を受けた当該医療機関等が、改めて本人から法第20条第2項の規定に基づく同意を得る必要はないものと解される。

なお、地域医療情報連携ネットワークにおいて、他の医療機関に対して照会を行い、当該他の医療機関が保存及び管理等を行う診療情報等を当該他の医療機関から直接取得する場合（当該他の医療機関が地域医療情報連携ネットワークの運営主体に対して診療情報等の保存及び管理等の取扱いを委託している場合において、当該地域医療情報連携ネットワークの運営主体を介して、当該他の医療機関に対して照会を行い、診療情報を取得する。

一方、医療機関等は、患者の傷病の回復等を目的として、より適切な医療が提供できるよう治療に取り組むとともに、その費用を公的医療保険に請求する必要が生じる。良質で適正な医療の提供を受けるためには、また公的医療保険の扶助を受けるためには、医療機関等が患者の要配慮個人情報を含めた個人情報を取得することは必要不可欠である。

このため、例えば、患者が医療機関の受付等で、問診票に患者自身の身体状況や病状などを記載し、保険証とともに受診を申し出ることは、患者自身が自己の要配慮個人情報を含めた個人情報を医療機関等に取得されることを前提としていると考えられるため、医療機関等が要配慮個人情報を書面又は口頭等により本人から適正に直接取得する場合は、患者の当該行為をもって、当該医療機関等が当該情報を取得することについて本人の同意があったものと解される。

また、医療機関等が要配慮個人情報を第三者提供の方法により取得した場合、提供元が法第17条第2項及び第23条第1項の規定に基づいて本人から必要な同意（要配慮個人情報の取得及び第三者提供に関する同意）を取得していることが前提となるため、提供を受けた当該医療機関等が、改めて本人から法第17条第2項の規定に基づく同意を得る必要はないものと解される。

(新設)

(新設)
る場合を含む。）については、「地域医療情報連携ネットワークにおける同意取得方法の例について」（令和2年3月31日付け厚生労働省医政局総務課事務連絡）による。
·要配慮個人情報を取得する場合には、あらかじめ本人の同意を得なければならない。ただし、法第20条第2項各号に定める場合については、本人の同意を得る必要はない。(例)·急病その他の事態が生じたときに、本人の病歴等を医師や看護師などの医療従事者が家族から聴取する場合、法第20条第2項第2号に該当する。·医療機関が、他の医療機関から、当該他の医療機関において以前治療を行った患者の臨床症例に係る個人データを症例研究のために取得し、当該医療機関を受診する不特定多数の患者に対してより優れた医療サービス提供できるようになること等により、公衆衛生の向上に特に資する場合であって、本人からの同意取得が困難であるとき、法第20条第2項第3号に該当する。·児童生徒の不登校や不良行為等について、児童相談所、学校、医療機関等の関係機関が連携して対応するために、医療機関等において、他の関係機関から当該児童生徒の保護事件に関する手続が行われた情報を取得する場合、法第20条第2項第3号に該当する。·児童虐待のおそれのある家庭情報のうち被害を被った事実に係る情報を、児童相談所、警察、学校、病院等の関係機関が、他の関係機関から取得する場合、法第20条第2項第3号に該当する。·医療機関等や介護関係事業者が警察の任意の求めに応じて要配慮個	·要配慮個人情報を取得する場合には、あらかじめ本人の同意を得なければならない。ただし、法第17条第2項各号に定める場合については、本人の同意を得る必要はない。(例)·急病その他の事態が生じたときに、本人の病歴等を医師や看護師などの医療従事者が家族から聴取する場合、法第17条第2項第2号に該当する。(新設)·児童生徒の不登校や不良行為等について、児童相談所、学校、医療機関等の関係機関が連携して対応するために、医療機関等において、他の関係機関から当該児童生徒の保護事件に関する手続が行われた情報を取得する場合、法第17条第2項第3号に該当する。·児童虐待のおそれのある家庭情報のうち被害を被った事実に係る情報を、児童相談所、警察、学校、病院等の関係機関が、他の関係機関から取得する場合、法第17条第2項第3号に該当する。·医療機関等や介護関係事業者が警察の任意の求めに応じて要配慮個
人情報に該当する個人情報を提出するために、当該個人情報を取得する場合、法第20条第2項第4号に該当する。·身体の不自由な方が医療機関等を受診し、院内において情報共有するためにカルテ等に記録した場合（目視による取得）や、身体の不自由な方の様子が店舗に設置された防犯カメラに映りこんだ場合（撮影による取得）、法第20条第2項第8号、令第9条第1項に該当する。	人情報に該当する個人情報を提出するために、当該個人情報を取得する場合、法第17条第2項第4号に該当する。·身体の不自由な方が医療機関等を受診し、院内において情報共有するためにカルテ等に記録した場合（目視による取得）や、身体の不自由な方の様子が店舗に設置された防犯カメラに映りこんだ場合（撮影による取得）、法第17条第2項第6号、令第7条第1項に該当する。
·なお、要配慮個人情報を、法第27条第5項各号に定める委託、事業承継又は共同利用により取得する場合は、あらかじめ本人の同意を得る必要はない。	·なお、要配慮個人情報を、法第23条第5項各号に定める委託、事業承継又は共同利用により取得する場合は、あらかじめ本人の同意を得る必要はない。
【法第20条第2項に違反している事例】本人の同意を得ることなく、法第20条第2項第7号及び規則第6条で定める者以外がインターネット上で公開している情報から本人の信条や犯罪歴等に関する情報を取得し、既に保有している当該本人に関する情報の一部として自己のデータベース等に登録すること。·医療・介護関係事業者は、適正な医療・介護サービスを提供するという利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めなければならない。	【法第17条第2項に違反している事例】本人の同意を得ることなく、法第17条第2項第5号及び規則第6条で定める者以外がインターネット上で公開している情報から本人の信条や犯罪歴等に関する情報を取得し、既に保有している当該本人に関する情報の一部として自己のデータベース等に登録すること。·医療・介護関係事業者は、適正な医療・介護サービスを提供するという利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めなければならない。
【その他の事項】	【その他の事項】
·第三者提供により個人情報を取得する場合には、提供元の法の遵守状況を確認するよう努めなければならない。なお、当該個人情報が適法に取得されたことが確認できない場合は、偽りその他不正の手段により取得されたものである可能性もあることから、その取得を自粛することを含め、慎重に対応することが望ましい。
·第三者提供により他の医療・介護関係事業者から個人情報を取得したとき、当該個人情報の内容に疑義が生じた場合には、記載内容の事実に関して本人又は情報の提供を行った者に確認をとる。
·医療・介護関係事業者は、個人データの内容の正確性、最新性を確保するため、IV7.（2）②に示す委員会等において、具体的なルールを策定したり、技術水準向上のための研究の開催などを行うことが望ましい。	·第三者提供により個人情報を取得する場合には、提供元の法の遵守状況を確認するともに、実際に個人情報を取得する際には、当該個人情報の取得方法等を確認するよう努めなければならない。なお、当該個人情報が適法に取得されたことが確認できない場合は、偽りその他不正の手段により取得されたものである可能性もあることから、その取得を自粛することを含め、慎重に対応することが望ましい。
·第三者提供により他の医療・介護関係事業者から個人情報を取得したとき、当該個人情報の内容に疑義が生じた場合には、記載内容の事実に関して本人又は情報の提供を行った者に確認をとる。
·医療・介護関係事業者は、個人データの内容の正確性、最新性を確保するため、Ⅲ4.（2）②に示す委員会等において、具体的なルールを策定したり、技術水準向上のための研究の開催などを行うことが望ましい。
7. 安全管理措置、従業者の監督及び委託先の監督（法第23条～第25条）	4. 安全管理措置、従業者の監督及び委託先の監督（法第20条～第22条）
(安全管理措置)
法第二十三条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
(従業者の監督)
法第二十四条 個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
(委託先の監督)	(安全管理措置)
法第二十条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
(従業者の監督)
法第二十一条 個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
(委託先の監督)
法第二十五条 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。	法第二十二条 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
(1) 医療・介護関係事業者が講ずるべき安全管理措置等①安全管理措置 医療・介護関係事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のため、組織的、人的、物理的、及び技術的安全管理措置等を講じなければならない。また、外国において個人データを取り扱う場合には、外的環境の把握を行ったうえで、これらの安全管理措置を講じなければならない。その際、本人の個人データが漏えい、滅失又は毀損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人データの取扱い状況等に起因するリスクに応じ、必要かつ適切な措置を講ずるものとする。なお、その際には、個人データを記憶した媒体の性質に応じた安全管理措置を講ずる。	(1) 医療・介護関係事業者が講ずるべき安全管理措置等①安全管理措置 医療・介護関係事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のため、組織的、人的、物理的、及び技術的安全管理措置等を講じなければならない。その際、本人の個人データが漏えい、滅失又はき損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人データの取扱い状況等に起因するリスクに応じ、必要かつ適切な措置を講ずるものとする。なお、その際には、個人データを記憶した媒体の性質に応じた安全管理措置を講ずる。
②従業者の監督 医療・介護関係事業者は、①の安全管理措置を遵守させるよう、従業者に対し必要かつ適切な監督をしなければならない。なお、「従業者」とは、医療資格者のみならず、当該事業者の指揮命令を受けて業務に従事する者全てを含むものであり、また、雇用関係のある者のみならず、理事、派遣労働者等も含むものである。 医療法第15条では、病院等の管理者は、その病院等に勤務する医師等の従業者の監督義務が課せられている。(薬局や介護関係事業者について	②従業者の監督 医療・介護関係事業者は、①の安全管理措置を遵守させるよう、従業者に対し必要かつ適切な監督をしなければならない。なお、「従業者」とは、医療資格者のみならず、当該事業者の指揮命令を受けて業務に従事する者全てを含むものであり、また、雇用関係のある者のみならず、理事、派遣労働者等も含むものである。 医療法第15条では、病院等の管理者は、その病院等に勤務する医師等の従業者の監督義務が課せられている。(薬局や介護関係事業者について
も、医薬品医療機器等法や介護保険法に基づく各種サービスに関する人員、設備及び運営に関する基準（以下「指定基準」という。）等に同様の規定あり。）	も、医薬品医療機器等法や介護保険法に基づく「指定居宅サービス等の事業の人員、設備及び運営に関する基準」、「指定介護予防サービス等の事業の人員、設備及び運営並びに指定介護予防サービス等に係る介護予防のための効果的な支援の方法に関する基準」、「指定地域密着型サービスの事業の人員、設備及び運営に関する基準」、「指定地域密着型介護予防サービスの事業の人員、設備及び運営並びに指定地域密着型介護予防サービスに係る介護予防のための効果的な支援の方法に関する基準」、「指定居宅介護支援等の事業の人員及び運営に関する基準」、「指定介護老人福祉施設の人員、設備及び運営に関する基準」、「介護老人保健施設の人員、施設及び設備並びに運営に関する基準」、「指定介護療養型医療施設の人員、設備及び運営に関する基準」及び「指定介護予防支援等の事業の人員及び運営並びに指定介護予防支援等に係る介護予防のための効果的な支援の方法に関する基準」（以下「指定基準」という。）等に同様の規定あり。）
（2）安全管理措置として考えられる事項医療・介護関係事業者は、その取り扱う個人データの重要性に鑑み、個人データの漏えい、滅失又は毀損の防止その他の安全管理のため、その規模、従業者の様態等を勘案して、以下に示すような取組を参考に、必要な措置を行うものとする。また、同一事業者が複数の施設を開設する場合、当該施設間の情報交換については第三者提供に該当しないが、各施設ごとに安全管理措置を講ずるなど、個人情報の利用目的を踏まえた個人情報の安全管理を行う。	（2）安全管理措置として考えられる事項医療・介護関係事業者は、その取り扱う個人データの重要性に鑑み、個人データの漏えい、滅失又は毀損の防止その他の安全管理のため、その規模、従業者の様態等を勘案して、以下に示すような取組を参考に、必要な措置を行うものとする。また、同一事業者が複数の施設を開設する場合、当該施設間の情報交換については第三者提供に該当しないが、各施設ごとに安全管理措置を講ずるなど、個人情報の利用目的を踏まえた個人情報の安全管理を行う。
①個人情報保護に関する規程の整備、公表（略）	①個人情報保護に関する規程の整備、公表（略）