Silviase/jgov_v1.4_full_ann huggingface dataset:
たものであること。三 生存する個人に関する他の情報を加えることなくその本来の用途に供しているものであること。2 法第十六条第一項第二号の政令で定めるものは、同項に規定する情報の集合物に含まれる個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成したものであって、目次、索引その他検索を容易にするためのものを有するものをいう。	たものであること。三 生存する個人に関する他の情報を加えることなくその本来の用途に供しているものであること。2 法第二条第四項第二号の政令で定めるものは、これに含まれる個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するものをいう。
「個人情報データベース等」とは、特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した個人情報を含む情報の集合体、又はコンピュータを用いていない場合であっても、紙面で処理した個人情報を一定の規則（例えば、五十音順、生年月日順など）に従って整理・分類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものをいう。	「個人情報データベース等」とは、特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した個人情報を含む情報の集合体、又はコンピュータを用いていない場合であっても、紙面で処理した個人情報を一定の規則（例えば、五十音順、生年月日順など）に従って整理・分類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものをいう。
(定義)法第十六条3 この章において「個人データ」とは、個人情報データベース等を構成する個人情報をいう。	(定義)法第二条6 この法律において「個人データ」とは、個人情報データベース等を構成する個人情報をいう。
「個人データ」とは、「個人情報データベース等」を構成する個人情報をいう。	「個人データ」とは、「個人情報データベース等」を構成する個人情報をいう。
(定義)	(定義)
法第十六条4 この章において「保有個人データ」とは、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの以外のものをいう。令第五条 法第十六条第四項の政令で定めるものは、次に掲げるものとする。一 当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶれがあるもの二 当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの三 当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの四 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶれがあるもの(削る)	法第二条7 この法律において「保有個人データ」とは、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの又は一年以内の政令で定める期間以内に消去することとなるもの以外のものをいう。令第四条 法第二条第七項の政令で定めるものは、次に掲げるものとする。一 当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶれがあるもの二 当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの三 当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの四 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶれがあるもの令第五条 法第二条第七項の政令で定める期間は、六月とする。
の停止を行うことのできる権限を有するものをいう。ただし、その存否が明らかになることにより、公益その他の利益が害されるものは除く。
レセプトや健診結果、保健指導記録等については、媒体の如何にかかわらず個人データベース等に該当する。	の停止を行うことのできる権限を有するものをいう。ただし、①その存否が明らかになることにより、公益その他の利益が害されるもの、②6ヶ月以内に消去する（更新することは除く。）こととなるものは除く。
レセプトや健診結果、保健指導記録等については、媒体の如何にかかわらず個人データベース等に該当する。
8.本人の同意	8.本人の同意
「本人の同意」とは、本人の個人情報が、個人情報取扱事業者によって示された取扱方法で取り扱われることを承諾する旨の当該本人の意思表示をいう（当該本人であることを確認できていることが前提となる。）。
また、「本人の同意を得（る）」とは、本人の承諾する旨の意思表示を当該個人情報取扱事業者が認識することをいい、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。
なお、個人情報の取扱いに関して同意したことによって生ずる結果について、未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力を有していないなどの場合は、親権者や法定代理人等から同意を得る必要がある。
【本人の同意を得ている事例】
事例1）本人からの同意する旨の口頭による意思表示
事例2）本人からの同意する旨の書面（電磁的記録を含む。）の受領事例3）本人からの同意する旨のメールの受信
事例4）本人による同意する旨の確認欄へのチェック
事例5）本人による同意する旨のホームページ上のボタンのクリック	「本人の同意」とは、本人の個人情報が、個人情報取扱事業者によって示された取扱方法で取り扱われることを承諾する旨の当該本人の意思表示をいう（当該本人であることを確認できていることが前提となる。）。
また、「本人の同意を得（る）」とは、本人の承諾する旨の意思表示を当該個人情報取扱事業者が認識することをいい、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。
なお、個人情報の取扱いに関して同意したことによって生ずる結果について、未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力を有していないなどの場合は、親権者や法定代理人等から同意を得る必要がある。
【本人の同意を得ている事例】
事例1）本人からの同意する旨の口頭による意思表示
事例2）本人からの同意する旨の書面（電磁的記録を含む。）の受領事例3）本人からの同意する旨のメールの受信
事例4）本人による同意する旨の確認欄へのチェック
事例5）本人による同意する旨のホームページ上のボタンのクリック
事例6）本人による同意する旨の音声入力、タッチパネルへのタッチ、ボタンやスイッチ等による入力	事例6）本人による同意する旨の音声入力、タッチパネルへのタッチ、ボタンやスイッチ等による入力
法は、個人情報の目的外利用や第三者提供の場合には、原則として本人の同意を得ることを求めている。これは、法の基本となるOECD8原則のうち、利用制限の原則の考え方の現れであるが、健保組合等については、被保険者等に適切な保険給付等を提供する目的のために、当該健保組合等において、通常必要と考えられる個人情報の利用範囲を健保組合等のホームページへの掲載のほか、パンフレットの配布、事業所担当窓口や健保組合等の掲示板への掲示・備付けや公告等により明らかにしておき、このうち、被保険者等の利益になるもの又は必ずしも利益になるものではないが医療費通知など事業者側（健保組合等）の負担が膨大である上必ずしも被保険者等本人にとって合理的であるとは言えないものについては、被保険者等から特段明確な反対・留保の意思表示がない場合には、これらの範囲内での個人情報の利用について同意が得られているものと考えられる。（Ⅲ7.（3）（4）参照）	法は、個人情報の目的外利用や第三者提供の場合には、原則として本人の同意を得ることを求めている。これは、法の基本となるOECD8原則のうち、利用制限の原則の考え方の現れであるが、健保組合等については、被保険者等に適切な保険給付等を提供する目的のために、当該健保組合等において、通常必要と考えられる個人情報の利用範囲を健保組合等のホームページへの掲載のほか、パンフレットの配布、事業所担当窓口や健保組合等の掲示板への掲示・備付けや公告等により明らかにしておき、このうち、被保険者等の利益になるもの又は必ずしも利益になるものではないが医療費通知など事業者側（健保組合等）の負担が膨大である上必ずしも被保険者等本人にとって合理的であるとは言えないものについては、被保険者等から特段明確な反対・留保の意思表示がない場合には、これらの範囲内での個人情報の利用について同意が得られているものと考えられる。（Ⅲ5.（3）（4）参照）
なお、これらの場合において被保険者等の理解力、判断力などに応じて、可能な限り被保険者等本人に通知し、同意を得るよう努めることが重要である。	なお、これらの場合において被保険者等の理解力、判断力などに応じて、可能な限り被保険者等本人に通知し、同意を得るよう努めることが重要である。
【要配慮個人情報における本人の同意について】健保組合等が要配慮個人情報を書面又は口頭等により本人から適正に直接取得する場合は、本人が当該情報を提供したことをもって、当該個人情報取扱事業者が当該情報を取得することについて本人の同意があったもの	【要配慮個人情報における本人の同意について】健保組合等が要配慮個人情報を書面又は口頭等により本人から適正に直接取得する場合は、本人が当該情報を提供したことをもって、当該個人情報取扱事業者が当該情報を取得することについて本人の同意があったもの
と解される。	と解される。
Ⅲ 健保組合等の義務等	Ⅲ 健保組合等の義務等
1. 利用目的の特定等 (法第17条、第18条)	1. 利用目的の特定等 (法第15条、第16条)
(利用目的の特定) 法第十七条 個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的 (以下「利用目的」という。) をできる限り特定しなければならない。2 個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。(利用目的による制限) 法第十八条 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。2 個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。3 前二項の規定は、次に掲げる場合については、適用しない。一 法令に基づく場合二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。	(利用目的の特定) 法第十五条 個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的 (以下「利用目的」という。) をできる限り特定しなければならない。2 個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。(利用目的による制限) 法第十六条 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。2 個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。3 前二項の規定は、次に掲げる場合については、適用しない。一 法令に基づく場合二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。五 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下この章において「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。六 学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
(1) 利用目的の特定及び制限健保組合等が保険給付等を希望する被保険者等から個人情報を取得する場合、当該個人情報を被保険者等に対する保険給付等の提供、健保組合等の保険給付等に係る事務や番号法に基づく個人番号の利用などで利用することは被保険者等にとって明らかと考えられる。これら以外で個人情報を利用する場合は、被保険者等にとって必ずしも明らかな利用目的とはいえない。この場合は、個人情報を取得するに当たって明確に当該利用目的の公表等の措置が講じられなければならない。
(1) 利用目的の特定及び制限健保組合等が保険給付等を希望する被保険者等から個人情報を取得する場合、当該個人情報を被保険者等に対する保険給付等の提供、健保組合等の保険給付等に係る事務や番号法に基づく個人番号の利用などで利用することは被保険者等にとって明らかと考えられる。これら以外で個人情報を利用する場合は、被保険者等にとって必ずしも明らかな利用目的とはいえない。この場合は、個人情報を取得するに当たって明確に当該利用目的の公表等の措置が講じられなければならない。
い。(Ⅲ3.参照)健保組合等の通常の業務で想定される利用目的は別表2に例示されるものであり、健保組合等は、これらを参考として、自らの業務に照らして通常必要とされるものを特定して公表（健保組合等のホームページへの掲載等）しなければならない。(Ⅲ3.参照)なお、別表2に掲げる利用目的の範囲について法第17条第2項に定める利用目的の変更を行う場合、変更された利用目的については、本人へ通知又は公表しなければならない。(Ⅲ3.参照)	い。(Ⅲ2.参照)健保組合等の通常の業務で想定される利用目的は別表2に例示されるものであり、健保組合等は、これらを参考として、自らの業務に照らして通常必要とされるものを特定して公表（健保組合等のホームページへの掲載等）しなければならない。(Ⅲ2.参照)なお、別表2に掲げる利用目的の範囲について法第15条第2項に定める利用目的の変更を行う場合、変更された利用目的については、本人へ通知又は公表しなければならない。(Ⅲ2.参照)
(2)利用目的による制限の例外健保組合等は、あらかじめ本人の同意を得ないで法第17条の規定により特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならないが（法第18条第1項）、同条第3項に掲げる場合については、本人の同意を得る必要はない。具体的な例としては以下のとおりである。①法令に基づく場合健康保険法第29条又は第198条に基づく立入検査等、法令に基づいて個人情報を利用する場合根拠となる法令の規定としては、一般に刑事訴訟法第218条（令状による捜査）、地方税法第72条の63（個人の事業税に関する調査に係る質問検査権、各種税法に類似の規定あり）等が考えられる。これらの法令は強制力を伴って回答が義務づけられるため、健保組合等は捜査等が行われた場合、回答する義務が生じる。	(2)利用目的による制限の例外健保組合等は、あらかじめ本人の同意を得ないで法第15条の規定により特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならないが（法第16条第1項）、同条第3項に掲げる場合については、本人の同意を得る必要はない。具体的な例としては以下のとおりである。①法令に基づく場合健康保険法第29条又は第198条に基づく立入検査等、法令に基づいて個人情報を利用する場合根拠となる法令の規定としては、一般に刑事訴訟法第218条（令状による捜査）、地方税法第72条の63（個人の事業税に関する調査に係る質問検査権、各種税法に類似の規定あり）等が考えられる。これらの法令は強制力を伴って回答が義務づけられるため、健保組合等は捜査等が行われた場合、回答する義務が生じる。
また、刑事訴訟法第197条第2項（捜査に必要な取調べ）等については、法の例外規定の対象であるが、当該法令において任意協力とされており、健保組合等は取調べ等が行われた場合、回答するか否かについて個別の事例ごとに判断する必要がある。この場合、本人の同意を得ずに個人情報を取扱ったとしても、法第18条違反とはならないが、当該本人からの民法に基づく損害賠償請求等を求められるおそれがある。
②人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
(例)
·意識不明となった被保険者等について、家族の連絡先等に関する情報を医療機関等に提供する場合
③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
(例)
·疫学上の調査・研究のために、健康診査やがん検診等から得られた情報を個人名を伏せて研究者に提供する場合
·医療安全の向上のため、健康保険組合にレセプトを提出する医療機関で発生した医療事故等に関する国、地方公共団体又は第三者機関等に対し情報提供するために個人情報を取り扱う場合
④国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本	また、刑事訴訟法第197条第2項（捜査に必要な取調べ）等については、法の例外規定の対象であるが、当該法令において任意協力とされており、健保組合等は取調べ等が行われた場合、回答するか否かについて個別の事例ごとに判断する必要がある。この場合、本人の同意を得ずに個人情報を取扱ったとしても、法第16条違反とはならないが、当該本人からの民法に基づく損害賠償請求等を求められるおそれがある。
②人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
(例)
·意識不明となった被保険者等について、家族の連絡先等に関する情報を医療機関等に提供する場合
③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
(例)
·疫学上の調査・研究のために、健康診査やがン検診等から得られた情報を個人名を伏せて研究者に提供する場合
·医療安全の向上のため、健保組合にレセプトを提出する医療機関で発生した医療事故等に関する国、地方公共団体又は第三者機関等に対し情報提供するために個人情報を取り扱う場合
④国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本
人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき(例)·事業者が警察の任意の求めに応じて個人情報を取り扱う場合·一般統計調査や地方公共団体が行う統計調査において個人情報を取り扱う場合⑤個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的で取り扱う必要があるとき(当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)「学術研究機関等」とは、大学その他の学術研究を目的とする機関若しくは団体(大学、学会等)又はそれらに属する者をいい、健保組合等はこれに当たらない。⑥学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき(当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)【法の規定により遵守すべき事項等】·健保組合等は、個人情報を取り扱うに当たって、その利用目的をできる限り特定しなければならない。·健保組合等は、利用目的を変更する場合には、変更前の利用目的と関【法の規定により遵守すべき事項等】·健保組合等は、個人情報を取り扱うに当たって、その利用目的をできる限り特定しなければならない。·健保組合等は、利用目的を変更する場合には、変更前の利用目的と関
連性を有すると合理的に認められる範囲を超えて行ってはならない。·健保組合等は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない。なお、本人の同意を得るために個人情報を利用すること（同意を得るために被保険者等の連絡先を利用して電話をかける場合など）、個人情報を匿名加工情報及び仮名加工情報に加工することは差し支えない。·個人情報を取得する時点で、本人の同意があったにもかかわらず、その後、本人から利用目的の一部についての同意を取り消す旨の申出があった場合は、その後の個人情報の取扱いについては、本人の同意が取り消されなかった範囲に限定して取り扱う。·健保組合等は、合併その他の事由により他の事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。·利用目的の制限の例外（法第18条第3項）に該当する場合は、本人の同意を得ずに個人情報を取り扱うことができる。（利用目的を変更する場合の取扱いについてはⅢ3.を参照）【その他の事項】(略)	連性を有すると合理的に認められる範囲を超えて行ってはならない。·健保組合等は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない。なお、本人の同意を得るために個人情報を利用すること（同意を得るために被保険者等の連絡先を利用して電話をかける場合など）、個人情報を匿名化するために個人情報に加工を行うことは差し支えない。·個人情報を取得する時点で、本人の同意があったにもかかわらず、その後、本人から利用目的の一部についての同意を取り消す旨の申出があった場合は、その後の個人情報の取扱いについては、本人の同意が取り消されなかった範囲に限定して取り扱う。·健保組合等は、合併その他の事由により他の事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。·利用目的の制限の例外（法第16条第3項）に該当する場合は、本人の同意を得ずに個人情報を取り扱うことができる。（利用目的を変更する場合の取扱いについてはⅢ2.を参照）【その他の事項】(略)
2. 不適切な利用の禁止（法第19条）	(新設)
(不適正な利用の禁止)	(新設)
法第十九条 個人情報取扱事業者は、違法又は不当な行為を助長し、又
は誘発するおそれがある方法により個人情報を利用してはならない。
【法の規定により遵守すべき事項等】·健保組合等は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。·「違法又は不当な行為」とは、法その他の法令に違反する行為、及び直ちに違法とはいえないものの、法その他の法令の制度趣旨又は公序良俗に反する等、社会通念上適正とは認められない行為をいう。·「おそれ」の有無は、個人情報取扱事業者による個人情報の利用が、違法又は不当な行為を助長又は誘発することについて、社会通念上蓋然性が認められるか否かにより判断される。この判断に当たっては、個人情報の利用方法等の客観的な事情に加えて、個人情報の利用時点における個人情報取扱事業者の認識及び予見可能性も踏まえる必要がある。例えば、個人情報取扱事業者が第三者に個人情報を提供した場合において、当該第三者が当該個人情報を違法な行為に用いた場合であっても、当該第三者が当該個人情報の取得目的を偽っていた等、当該個人情報の提供の時点において、提供した個人情報が違法に利用されることについて、当該個人情報取扱事業者が一般的な注意力をもってしても予見できない状況であった場合には、「おそれ」は認められないと解される。 (違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例) 事例1) 違法行為を営むことが疑われる事業者に対し、当該事業者の違法な行為を助長するおそれが想定されるにも関わらず、
個人情報を提供する場合事例2）個人情報を提供した場合、提供先において法第27条第1項に違反する第三者提供がなされることを予見できるにもかかわらず、当該提供先に対して、個人情報を提供する場合事例3）個人情報を取得した健保組合等が、性別、国籍等の特定の属性のみにより、正当な理由なく本人に対する違法な差別的取扱いを行うために、個人情報を利用する場合
3. 利用目的の通知等（法第21条）	2. 利用目的の通知等（法第18条）
(取得に際しての利用目的の通知等)法第二十一条 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。2 個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。3 個人情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。4 前三項の規定は、次に掲げる場合については、適用しない。一 利用目的を本人に通知し、又は公表することにより本人又は第三者	(取得に際しての利用目的の通知等)法第十八条 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。2 個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。3 個人情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。4 前三項の規定は、次に掲げる場合については、適用しない。一 利用目的を本人に通知し、又は公表することにより本人又は第三者
の生命、身体、財産その他の権利利益を害するおそれがある場合二 利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合三 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。四 取得の状況からみて利用目的が明らかであると認められる場合	の生命、身体、財産その他の権利利益を害するおそれがある場合二 利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合三 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。四 取得の状況からみて利用目的が明らかであると認められる場合
【法の規定により遵守すべき事項等】(略)【その他の事項】(略)	【法の規定により遵守すべき事項等】(略)【その他の事項】(略)
4. 個人情報の適正な取得、個人データ内容の正確性の確保(法第20条、第22条)	3. 個人情報の適正な取得、個人データ内容の正確性の確保(法第17条、第19条)
(適正な取得)法第二十条 個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。2 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。一 法令に基づく場合二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。	(適正な取得)法第十七条 個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。2 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。一 法令に基づく場合二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
三 公衆衛生の向上又は児童の健全な育成のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。五 当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。六 学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。）。七 当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、第五十七条第一項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合八 その他前各号に掲げる場合に準ずるものとして政令で定める場合規則第六条 法第二十条第二項第七号の個人情報保護委員会規則で定める者は、次の各号のいずれかに該当する者とする。一 外国政府、外国の政府機関、外国の地方公共団体又は国際機関	三 公衆衛生の向上又は児童の健全な育成のために特に必要がある場合であって、本人の同意を得ることが困難であるとき四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。(新設)(新設)五 当該要配慮個人情報が、本人、国の機関、地方公共団体、第七十六条第一項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合六 その他前各号に掲げる場合に準ずるものとして政令で定める場合規則第六条 法第十七条第二項第五号の個人情報保護委員会規則で定める者は、次の各号のいずれかに該当する者とする。一 外国政府、外国の政府機関、外国の地方公共団体又は国際機関
二 外国において法第十六条第八項に規定する学術研究機関等に相当する者三 外国において法第五十七条第一項各号に掲げる者に相当する者令第九条 法第二十条第二項第八号の政令で定める場合は、次に掲げる場合とする。一 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合二 法第二十七条第五項各号(法第四十一条第六項の規定により読み替えて適用する場合及び法第四十二条第二項において読み替えて適用する場合を含む。)に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき。(データ内容の正確性の確保等)法第二十二条 個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。
【法の規定により遵守すべき事項等】·健保組合等は、偽りその他の不正の手段により個人情報を取得してはならない。·保健指導等のために必要な過去の病歴等については、真に必要な範囲について、本人から直接取得するほか、第三者提供について本人の同意を得た者(Ⅲ7.(3)により本人の黙示の同意が得られていると考
【法の規定により遵守すべき事項等】·健保組合等は、偽りその他の不正の手段により個人情報を取得してはならない。·保健指導等のために必要な過去の病歴等については、真に必要な範囲について、本人から直接取得するほか、第三者提供について本人の同意を得た者(Ⅲ5.(3)により本人の黙示の同意が得ていると考
えられる者を含む。）から取得することを原則とする。ただし、本人以外の家族等から取得することが保健指導等のためにやむを得ない場合はこの限りでない。·親の同意なく、十分な判断能力を有していない子どもから家族の個人情報を取得してはならない。·要配慮個人情報を取得する場合には、あらかじめ本人の同意を得なければならない。ただし、法第20条第2項各号に定める場合については、本人の同意を得る必要はない。(例)·健康保険法第150条第2項に基づき、事業者に対して被保険者等に関する健康診断情報の提供を求め、これを取得する場合、法第20条第2項第1号に該当すると考えられる。·急病その他の事態が生じたときに、本人の病歴等を健康保険組合に所属する医師や看護師が家族から聴取する場合、法第20条第2項第2号に該当すると考えられる。·事業者が警察の任意の求めに応じて要配慮個人情報に該当する個人情報を提出するために、当該個人情報を取得する場合、法第20条第2項第4号に該当する可能性があると考えられる。·なお、要配慮個人情報を、法第27条第5項各号に定める委託、事業承継又は共同利用により取得する場合は、あらかじめ本人の同意を得る必要はない。
【法第20条第2項に違反している事例】本人の同意を得ることなく、法第20条第2項第7号及び規則第6条で
定める者以外がインターネット上で公開している情報から本人の信条や犯罪歴等に関する情報を取得し、既に保有している当該本人に関する情報の一部として自己のデータベース等に登録すること。
·健保組合等は、適正な保険給付等を提供するという利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めなければならない。
·健保組合等は、保有する個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等は、当該個人データを遅滞なく消去するよう努めなければならない(※)。なお、法令の定め及び規程により保存期間等が定められている場合は、この限りではない。
(※)「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む。
【その他の事項】
·第三者提供により他の健保組合等から個人情報を取得したとき、当該個人情報の内容に疑義が生じた場合には、記載内容の事実に関して本人に確認をとる。
·健保組合等は、個人データの内容の正確性、最新性を確保するため、	定める者以外がインターネット上で公開している情報から本人の信条や犯罪歴等に関する情報を取得し、既に保有している当該本人に関する情報の一部として自己のデータベース等に登録すること。
·健保組合等は、適正な保険給付等を提供するという利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めなければならない。
·健保組合等は、保有する個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等は、当該個人データを遅滞なく消去するよう努めなければならない(※)。なお、法令の定め及び規程により保存期間等が定められている場合は、この限りではない。
(※)「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む。
【その他の事項】
·第三者提供により他の健保組合等から個人情報を取得したとき、当該個人情報の内容に疑義が生じた場合には、記載内容の事実に関して本人に確認をとる。
·健保組合等は、個人データの内容の正確性、最新性を確保するため、
Ⅲ5.(2)②に示す委員会等において、具体的なルールを策定したり、技術水準向上のための研修の開催などを行うことが望ましい。·第三者提供(法第27条第1項各号に掲げる場合並びに個人情報の取扱いの委託、事業の承継及び共同利用に伴い、個人情報を提供する場合を除く。)により、個人情報(令第2条第2号に規定するものから取得した個人情報を除く。)を取得する場合には、提供元の法の遵守状況(例えば、オプトアウト(法第27条第2項·第3項参照)、利用目的、開示手続、問合せ·苦情の受付窓口を公表していることなど)を確認し、個人情報を適切に管理している者を提供元として選定するとともに、実際に個人情報を取得する際には、例えば、取得の経緯を示す契約書等の書面の点検又はこれに代わる合理的な方法により、当該個人情報の取得方法等を確認した上で、当該個人情報が適法に取得されたことが確認できない場合は、偽りその他不正の手段により取得されたものである可能性もあることから、その取得を自粛することを含め、慎重に対応することが望ましい。	Ⅲ4.(2)②に示す委員会等において、具体的なルールを策定したり、技術水準向上のための研修の開催などを行うことが望ましい。·第三者提供(法第23条第1項各号に掲げる場合並びに個人情報の取扱いの委託、事業の承継及び共同利用に伴い、個人情報を提供する場合を除く。)により、個人情報(令第2条第2号に規定するものから取得した個人情報を除く。)を取得する場合には、提供元の法の遵守状況(例えば、オプトアウト(法第23条第2項·第3項参照)、利用目的、開示手続、問合せ·苦情の受付窓口を公表していることなど)を確認し、個人情報を適切に管理している者を提供元として選定するとともに、実際に個人情報を取得する際には、例えば、取得の経緯を示す契約書等の書面の点検又はこれに代わる合理的な方法により、当該個人情報の取得方法等を確認した上で、当該個人情報が適法に取得されたことが確認できない場合は、偽りその他不正の手段により取得されたものである可能性もあることから、その取得を自粛することを含め、慎重に対応することが望ましい。
5.安全管理措置、従業者の監督及び委託先の監督(法第23条～第25条)	4.安全管理措置、従業者の監督及び委託先の監督(法第20条～第22条)
(安全管理措置)法第二十三条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。(従業者の監督)法第二十四条 個人情報取扱事業者は、その従業者に個人データを取り扱	(安全管理措置)法第二十条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。(従業者の監督)法第二十一条 個人情報取扱事業者は、その従業者に個人データを取り扱
わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。(委託先の監督)法第二十五条 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。	わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。(委託先の監督)法第二十二条 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
(1)健保組合等が講ずるべき安全管理措置等①安全管理措置健保組合等は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のため、組織的、人的、物理的、及び技術的安全管理措置等を講じなければならない。また、外国において個人データを取り扱う場合には、外的環境の把握を行ったうえで、これらの安全管理措置を講じなければならない。その際、本人の個人データが漏えい、滅失又は毀損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人データの取扱い状況等に起因するリスクに応じ、必要かつ適切な措置を講ずるものとする。なお、その際には、個人データを記録した媒体の性質に応じた安全管理措置を講ずる。	(1)健保組合等が講ずるべき安全管理措置等①安全管理措置健保組合等は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のため、組織的、人的、物理的、及び技術的安全管理措置等を講じなければならない。その際、本人の個人データが漏えい、滅失又はき損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人データの取扱い状況等に起因するリスクに応じ、必要かつ適切な措置を講ずるものとする。なお、その際には、個人データを記録した媒体の性質に応じた安全管理措置を講ずる。
②従業者の監督健保組合等は、①の安全管理措置を遵守させるよう、従業者に対し必要かつ適切な監督をしなければならない。なお、「従業者」とは、当該事業者の指揮命令を受けて業務に従事する者全てを含むものであ	②従業者の監督健保組合等は、①の安全管理措置を遵守させるよう、従業者に対し必要かつ適切な監督をしなければならない。なお、「従業者」とは、当該事業者の指揮命令を受けて業務に従事する者全てを含むものであ
り、また、雇用関係のある者のみならず、理事、派遣労働者等も含むものである。「健康保険組合における個人情報保護の徹底について」(平成14年12月25日保保発第1225001号)では、健康保険組合に対して、服務規程等において、健康保険組合の役職員について職員の守秘義務を課すこととしている。③委託者の監督健保組合等は、個人データの取扱いの全部又は一部を委託する場合、委託先において当該個人データの安全管理措置が適切に講じられるよう、「適切な委託先の選定」「安全管理措置の遵守事項を含む委託契約の締結」「委託先における個人データ取扱状況の把握」により、委託先に関して必要かつ適切な管理、監督をしなければならない。	り、また、雇用関係のある者のみならず、理事、派遣労働者等も含むものである。「健康保険組合における個人情報保護の徹底について」(平成14年12月25日保険課長通知)では、健保組合に対して、服務規程等において、健保組合の役職員について職員の守秘義務を課すこととしている。③委託者の監督健保組合等は、個人データの取扱いの全部又は一部を委託する場合、委託先において当該個人データの安全管理措置が適切に講じられるよう、「適切な委託先の選定」「安全管理措置の遵守事項を含む委託契約の締結」「委託先における個人データ取扱状況の把握」により、委託先に関して必要かつ適切な管理、監督をしなければならない。
(2)安全管理措置として考えられる事項健保組合等は、その取り扱う個人データの重要性に鑑み、個人データの漏えい、滅失又は毀損の防止その他の安全管理のため、その規模、従業者の様態等を勘案して、以下に示すような取組を参考に、必要な措置を行うものとする。また、同一健康保険組合が複数の事務所(支部)を有する場合、当該事務所(支部)間の情報交換については第三者提供に該当しないが、各事務所(支部)ごとに安全管理措置を講ずるなど、個人情報の利用目的を踏まえた個人情報の安全管理を行う。	(2)安全管理措置として考えられる事項健保組合等は、その取り扱う個人データの重要性に鑑み、個人データの漏えい、滅失又はき損の防止その他の安全管理のため、その規模、従業者の様態等を勘案して、以下に示すような取組を参考に、必要な措置を行うものとする。また、同一健保組合が複数の事務所(支部)を有する場合、当該事務所(支部)間の情報交換については第三者提供に該当しないが、各事務所(支部)ごとに安全管理措置を講ずるなど、個人情報の利用目的を踏まえた個人情報の安全管理を行う。
①個人情報保護に関する規程の整備、公表
·健保組合等は、保有個人データの開示手順を定めた規程その他個人情報保護に関する規程を整備し、苦情への対応体制も含めて、健保組合等のホームページへの掲載のほか、パンフレットの配布、事業所担当窓口や健保組合等の掲示板への掲示・備付け、公告等を行うなど、被保険者等に対して周知徹底を図る。
·また、個人データを取り扱う情報システムの安全管理措置に関する規程等についても同様に整備を行うこと。
②個人情報保護推進のための組織体制等の整備
·従業者の責任体制の明確化を図り、具体的な取組を進めるため、健保組合等における個人情報保護に関する十分な知識を有する者を個人データの安全管理の実施及び運用に関する責任及び権限を有する個人情報取扱責任者（例えば、役員などの組織横断的に監督することのできる者）、個人情報管理担当者又は情報システム監査責任者等として定めたり、個人情報保護の推進を図るための部署、委員会等を設置する。
·健保組合等で行っている個人データの安全管理措置について定期的に自己評価を行い、見直しや改善を行うべき事項について適切な改善を行う。
·情報システム監査責任者は、個人情報保護対策の徹底に関する監査を行い、必要に応じ、個人情報保護対策及び最新の技術動向を踏まえた情報セキュリティ対策に十分な知見を有する者による事業所内の対応の確認（外部の知見を有する者を活用し確認させることを含む。）を実施する。
①個人情報保護に関する規程の整備、公表
·健保組合等は、保有個人データの開示手順を定めた規程その他個人情報保護に関する規程を整備し、苦情への対応体制も含めて、健保組合等のホームページへの掲載のほか、パンフレットの配布、事業所担当窓口や健保組合等の掲示板への掲示・備付け、公告等を行うなど、被保険者等に対して周知徹底を図る。
·また、個人データを取り扱う情報システムの安全管理措置に関する規程等についても同様に整備を行うこと。
②個人情報保護推進のための組織体制等の整備
·従業者の責任体制の明確化を図り、具体的な取組を進めるため、健保組合等における個人情報保護に関する十分な知識を有する者を個人データの安全管理の実施及び運用に関する責任及び権限を有する個人情報取扱責任者（例えば、役員などの組織横断的に監督することのできる者）、個人情報管理担当者又は情報システム監査責任者等として定めたり、個人情報保護の推進を図るための部署、委員会等を設置する。
·健保組合等で行っている個人データの安全管理措置について定期的に自己評価を行い、見直しや改善を行うべき事項について適切な改善を行う。
·情報システム監査責任者は、個人情報保護対策の徹底に関する監査を行い、必要に応じ、個人情報保護対策及び最新の技術動向を踏まえた情報セキュリティ対策に十分な知見を有する者による事業所内の対応の確認（外部の知見を有する者を活用し確認させることを含む。）を実施する。
③個人データの漏えい等の問題が発生した場合等における報告連絡体制の整備·1）個人データの漏えい等の事故が発生した場合、又は発生の可能性が高いと判断した場合、2）個人データの取扱いに関する規程等に違反している事実が生じた場合、又は兆候が高いと判断した場合における責任者等への報告連絡体制の整備を行う。·個人データの漏えい等の情報は、苦情等の一環として、外部から報告される場合も想定されることから、苦情への対応体制との連携も図る。(Ⅲ15.参照)④雇用契約時における個人情報保護に関する規程の整備·雇用契約や就業規則において、就業期間中はもとより離職後も含めた守秘義務を課すなど従業者の個人情報保護に関する規程を整備し、徹底を図る。⑤従業者に対する教育研修の実施·取り扱う個人データの適切な保護が確保されるよう、従業者に対する教育研修の実施等により、個人データを実際の業務で取り扱うこととなる従業者の啓発を図り、従業者の個人情報保護意識を徹底する。⑥物理的安全管理措置·個人データの盗難・紛失等を防止するため、以下のような物理的安全管理措置を行う。
一入退館（室）管理の実施（カメラによる撮影や作業への立会い等による記録又は監視の実施）

一盜難等に対する予防対策の実施

一機器、装置等の固定など物理的な保護

一記録機能を持つ媒体の持込み・持出し禁止又は検査の実施

一記録機能を持つ媒体の接続の禁止又は制限

一離席時等におけるパソコン等のパスワードロックの実施

## ⑦技術的安全管理措置

・個人データの盗難・紛失等を防止するため、「個人情報の適切な取扱いに係る基幹システムのセキュリティ対策の強化について（再要請）」（平成27年12月18日老発1218第1号・保発1218第1

号）の主旨に則り、個人データを取り扱う情報システムについて以下のような技術的安全管理措置を行う。

一個人データに対するアクセス管理（ＩＤやパスワード等による認証、各職員の業務内容に応じて業務上必要な範囲にのみアクセスできるようなシステム構成の採用等）

一個人データに対するアクセス記録の保存

一個人データに対するファイアウォールの設置

一個人データに対する暗号化・パスワードの設定

一個人データへのアクセスや操作の記録及び不正が疑われる異常な記録の存否の定期的な確認

一基幹システムに接続されたネットワークとインターネットに接続されたネットワークの物理的又は論理的分離

管理措置を行う。

一入退館（室）管理の実施（カメラによる撮影や作業への立会い等による記録又は監視の実施）

一盜難等に対する予防対策の実施

一機器、装置等の固定など物理的な保護

一記録機能を持つ媒体の持込み・持出し禁止又は検査の実施

一記録機能を持つ媒体の接続の禁止又は制限

一離席時等におけるパソコン等のパスワードロックの実施

## ⑦技術的安全管理措置

・個人データの盗難・紛失等を防止するため、「個人情報の適切な取扱いに係る基幹システムのセキュリティ対策の強化について（再要請）」（平成27年12月18日通知）の主旨に則り、個人データを取り扱う情報システムについて以下のような技術的安全管理措置を行う。

一個人データに対するアクセス管理（ＩＤやパスワード等による認証、各職員の業務内容に応じて業務上必要な範囲にのみアクセスできるようなシステム構成の採用等）

一個人データに対するアクセス記録の保存

一個人データに対するファイアウォールの設置

一個人データに対する暗号化・パスワードの設定

一個人データへのアクセスや操作の記録及び不正が疑われる異常な記録の存否の定期的な確認

一基幹システムに接続されたネットワークとインターネットに接続さ
-ソフトウェアに関する脆弱性対策(セキュリティパッチの適用、当該情報システム固有の脆弱性の発見及びその修正等)-ソフトウェア及びハードウェア等の必要かつ適切な時期における更新	-ソフトウェアに関する脆弱性対策(セキュリティパッチの適用、当該情報システム固有の脆弱性の発見及びその修正等)-ソフトウェア及びハードウェア等の必要かつ適切な時期における更新
⑧個人データの保存·個人データを長期にわたって保存する場合には、保存媒体の劣化防止など個人データが消失しないよう適切に保存する。·個人データの保存に当たっては、本人からの照会等に対応する場合など必要なときに迅速に対応できるよう、インデックスの整備など検索可能な状態で保存しておく。	⑧個人データの保存·個人データを長期にわたって保存する場合には、保存媒体の劣化防止など個人データが消失しないよう適切に保存する。·個人データの保存に当たっては、本人からの照会等に対応する場合など必要なときに迅速に対応できるよう、インデックスの整備など検索可能な状態で保存しておく。
⑨不要となった個人データの廃棄、消去·不要となった個人データを廃棄する場合には、焼却や溶解など、個人データを復元不可能な形にして廃棄する。·個人データを取り扱った情報機器を廃棄する場合は、記憶装置内の個人データを復元不可能な形に消去して廃棄する。·これらの廃棄業務を委託する場合には、個人データの取扱いについても委託契約において明確に定める。	⑨不要となった個人データの廃棄、消去·不要となった個人データを廃棄する場合には、焼却や溶解など、個人データを復元不可能な形にして廃棄する。·個人データを取り扱った情報機器を廃棄する場合は、記憶装置内の個人データを復元不可能な形に消去して廃棄する。·これらの廃棄業務を委託する場合には、個人データの取扱いについても委託契約において明確に定める。
(3)業務を委託する場合の取扱い①委託先の監督·健保組合等は、レセプトのパンチ(入力)·点検業務、健康保険被保	(3)業務を委託する場合の取扱い①委託先の監督·健保組合等は、レセプトのパンチ(入力)·点検業務、健康保険被保