FAQ索引

FAQをキーワード検索する

「個人情報の保護に関する法律についてのガイドライン」及び 「個人データの漏えい等の事案が発生した場合等の対応について」に関するＱ＆Ａ　目次

１ ガイドライン（通則編）

• 1-1　定義

• Ｑ1-1
  「特定の個人を識別することができる」とは、どのような意味ですか。
• Ｑ1-2
  ガイドライン（通則編）では、氏名のみでも個人情報に該当するとされていますが、同姓同名の人もあり、他の情報がなく氏名だけのデータでも個人情報といえますか。
• Ｑ1-3
  住所や電話番号だけで個人情報に該当しますか。
• Ｑ1-４
  メールアドレスだけでも個人情報に該当しますか。
• Ｑ1-５
  新聞やインターネットなどで既に公表されている個人情報は、個人情報保護法で保護されるのですか。
• Ｑ1-６
  外国に居住する外国人の個人情報についても、個人情報保護法による保護の対象になりますか。
• Ｑ1-７
  個人情報に該当しない事例としては、どのようなものがありますか。
• Ｑ1-８
  オンラインゲームで「ニックネーム」及び「ID」を公開していますが、個人情報に該当しますか。
• Ｑ1-９
  顧客との電話の通話内容は個人情報に該当しますか。また、通話内容を録音している場合、録音している旨を相手方に伝えなければなりませんか。
• Ｑ1-10
  顧客との電話の通話内容を録音していますが、通話内容から特定の個人を識別することはできません。この場合の録音記録は、個人情報に該当しますか。
• Ｑ1-11
  店舗に防犯カメラを設置し、撮影した顔画像やそこから得られた顔認証デ ータを防犯目的で利用することを考えています。個人情報保護法との関係で、どのような措置を講ずる必要がありますか。
• Ｑ1-12
  店舗にカメラを設置し、撮影した顔画像やそこから得られた顔認証データをマーケティング等の商業目的に利用することを考えています。個人情報保護法との関係で、どのような措置を講ずる必要がありますか。
• Ｑ1-13
  カメラ画像から抽出した性別や年齢といった属性情報や、人物を全身のシルエット画像に置き換えて作成した移動軌跡データ（人流データ）は、個人情報に該当しますか。
• Ｑ1-13-2
  防犯目的のために、万引き・窃盗等の犯罪行為や迷惑行為に対象を限定した上で、顔認証システムを導入しようとする場合にどのような注意が必要とされますか。
• Ｑ1-13-3
  電光掲示板等に内蔵したカメラで撮影した本人の顔画像から、性別や年齢といった属性情報を抽出し、当該本人向けにカスタマイズした広告を電光掲示板等に表示しています。属性情報を抽出した後、顔画像は即座に削除しています。個人情報保護法上、どのような措置を講ずる必要がありますか。
• Ｑ1-14
  A 社が保有する個人情報を、特定の個人を識別できない統計情報として B 社に提供した場合、B 社においては、この情報は個人情報に該当しますか。
• Ｑ1-15
  事業者の各取扱部門が独自に取得した個人情報を取扱部門ごとに設置されているデータベースにそれぞれ別々に保管している場合において、ある取扱部門のデータベースと他の取扱部門のデータベースの双方を取り扱うことができないときには、「容易に照合することができ」（法第2条第1項）ないといえますか。
• Ｑ1-16
  「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなる」（法第2条第1項）に該当する事例としては、どのようなものがありますか。
• Ｑ1-17
  顧客情報のみでなく、従業員に関する情報も個人情報保護法の規律に従って取り扱う必要がありますか。
• Ｑ1-18
  死者の情報は、個人情報保護法の保護の対象になりますか。
• Ｑ1-19
  施行令第1条第1号に規定された個人識別符号に関するガイドライン（通則編）の記載において、「本人を認証することができるようにしたもの」とありますが、これは具体的にどのようなことを想定しているのですか。
• Ｑ1-20
  施行令第1条第1号に規定された個人識別符号に関するガイドライン（通則編）の記載において、「本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの」とありますが、これは、事業者が認証を目的としてある符号を取り扱っている場合にのみ、当該符号が個人識別符号に該当するという趣旨ですか。
• Ｑ1-21
  今回、ゲノムデータが個人識別符号に位置付けられましたが、学術研究機関が学術研究目的でゲノムデータを取り扱う場合にも個人情報保護法は適用されますか。
• Ｑ1-22
  携帯電話番号やクレジットカード番号は個人識別符号に該当しますか。
• Ｑ1-23
  各種被保険者証の記号・番号・保険者番号は、それぞれが個人識別符号なのですか、それとも３つ揃うことで個人識別符号なのですか。
• Ｑ1-24
  「○△教に関する本を購入した」という購買履歴の情報や、特定の政党が発行する新聞や機関誌等を購読しているという情報は、要配慮個人情報に該当しますか。
• Ｑ1-25
  診療又は調剤に関する情報は、全て要配慮個人情報に該当しますか。
• Ｑ1-26
  消費者直販型遺伝子検査の結果（いわゆる DTC 遺伝子検査の結果）は、要配慮個人情報に該当しますか。
• Ｑ1-27
  受刑の経歴は、要配慮個人情報に該当しますか。
• Ｑ1-28
  ある人の犯罪行為を撮影した防犯カメラ映像は、要配慮個人情報に該当しますか。
• Ｑ1-29
  外国政府により刑事事件に関する手続を受けた事実は、要配慮個人情報に該当しますか。
• Ｑ1-30
  無罪判決を受けた事実は、要配慮個人情報に該当しますか。
• Ｑ1-31
  不起訴処分となった場合は、「刑事事件に関する手続」として要配慮個人情報に該当しますか。
• Ｑ1-32
  障害福祉サービス事業者等において個人情報を取り扱う際に、留意すべきことはありますか。
• Ｑ1-33
  要配慮個人情報を取得する際に、その本人が、同意したことによって生ずる結果について十分な判断能力を有しない障害者であるような場合には、どのように対応すればよいですか。
• Ｑ1-34
  メールソフトのアドレス帳や一定の規則で整理された名刺について、従業者本人しか使用できない状態であれば、企業の個人情報データベース等には該当しないと考えてよいですか。
• Ｑ1-35
  従業者が業務上使用している携帯電話等の電話帳に氏名と電話番号のデータが登録されている場合、個人情報データベース等に該当しますか。
• Ｑ1-36
  ガイドライン（通則編）２-４の個人情報データベース等に該当する事例1 に、「電子メールソフトに保管されているメールアドレス帳」とありますが、他人には容易に検索できない独自の分類方法によりメールアドレスを分類した状態である場合は、個人情報データベース等に該当しないと考えてよいですか。
• Ｑ1-37
  文書作成ソフトで議事録を作成しました。議事録には会議出席者の氏名が 記録されており、文書作成ソフトの検索機能を用いれば、特定の個人を検索 することが可能です。この議事録は個人情報データベース等に該当しますか。
• Ｑ1-38
  防犯カメラやビデオカメラなどで記録された映像情報は、本人が判別できる映像であれば、個人情報データベース等に該当しますか。
• Ｑ1-39
  録音した会話の内容に個人の氏名が含まれていますが、この場合、個人情報データベース等に該当しますか。
• Ｑ1-40
  宅配便の送り状を受けた日付順に並べてファイリングしていますが、この場合、個人情報データベース等に該当しますか。
• Ｑ1-41
  市販の電話帳等を無償で譲り受けた場合は個人情報データベース等から除外されますか。
• Ｑ1-42
  市販の職員録をインターネット上からデータをダウンロードして購入した場合であっても、個人情報データベース等から除外されますか。
• Ｑ1-43
  カーナビゲーションシステムを購入したユーザーにおいて、ルート設定や過去の訪問歴等を記録した場合は、当該ユーザーにとって当該カーナビゲーションシステムは個人情報データベース等から除外されますか。
• Ｑ1-44
  ハローページは無償で頒布されていますが、個人情報データベース等から除外されないのですか。
• Ｑ1-45
  個人情報データベース等に入力する前の帳票類であれば、個人情報データベース等に該当しませんか。
• Ｑ1-45-2
  インターネット上等において不特定多数の者が取得できる公開情報（一般人・民間企業が公表している情報だけでなく、官報等公的機関が公表している情報を含む）を取得し、新たに特定の個人情報を検索することができるように構成したデータベースを作成した上で、不特定多数の者が閲覧できるようにすることはできますか。
• Ｑ1-46
  個人情報を取り扱う件数が少ない事業者も個人情報取扱事業者に該当しますか。
• Ｑ1-47
  個人情報を「事業の用に供している」とは、どのような意味ですか。加工、分析などをせず、データベースとして利用しているのみであれば、該当しませんか。
• Ｑ1-48
  従業者に関する個人情報データベース等しか保有していない場合であっても、個人情報取扱事業者に該当しますか。
• Ｑ1-49
  委託業務として、委託元の個人情報データベース等を利用していますが、この場合も、個人情報取扱事業者に該当しますか。
• Ｑ1-50
  NPO 法人や自治会・町内会、同窓会、PTA のような非営利の活動を行っている団体も、個人情報取扱事業者として、個人情報保護法の規制を受けるのですか。
• Ｑ1-50-2
  民生委員・児童委員が個人情報を取り扱う場合、個人情報取扱事業者として個人情報保護法の規制を受けるのですか。
• Ｑ1-51
  ６か月以内に消去することとなるものは保有個人データに該当しないとされていますが、その起算点はいつですか。
• Ｑ1-52
  個人データの取扱いが委託される場合、当該個人データは委託元と委託先のどちらの保有個人データとなりますか。
• Ｑ1-53
  ガイドライン（通則編）２-７の「（４）当該個人データの存否が明らかに なることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維 持に支障が及ぶおそれがあるもの」の事例1について、「警察から捜査関係 事項照会等がなされることにより初めて取得した個人データ」とありますが、これは具体的にはどのような意味ですか。
• Ｑ1-54
  ガイドライン（通則編）２-７の「（４）当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの」の事例４について、「振り込め詐欺に利用された口座に関する情報に含まれる個人データ」とありますが、振り込め詐欺に利用された口座に関する全ての情報が「保有個人データ」に当たらないということですか。
• Ｑ1-55
  店頭販売が中心の事業者が「公表」を行う場合、店頭ではなくホームページで公表することは可能ですか。
• Ｑ1-56
  本人に対して、一定期間内に回答がない場合には同意したものとみなす旨の電子メールを送り、当該期間を経過した場合に、本人の同意を得たこととすることはできますか。
• Ｑ1-57
  同意は、本人の明示的な意思表示を受ける方法によらなければなりませんか。
• Ｑ1-58
  何歳以下の子どもについて、同意をしたことによって生ずる結果を判断できる能力を有していないものとして、法定代理人等から同意を得る必要がありますか。
• Ｑ1-59
  個人情報保護法におけるいくつかの義務の例外規定として「法令に基づく場合」というものがありますが、ガイドラン（通則編）に記載されたもの （刑事訴訟法第 197 条第２項に基づく警察の捜査関係事項照会への対応等） の他にどのようなものがありますか。また、「法令」とは、法律以外も含まれるのですか。

• 1-2 　個人情報の利用目的（法第15条～第16条、第18条第3項関係）

• Ｑ2-1
  個人情報取扱事業者は、個人情報の利用目的を「できる限り特定しなければならない」とされていますが、どの程度まで特定する必要がありますか。
• Ｑ2-2
  顧客の個人情報だけでなく、従業員を雇用するに当たり取り扱う当該従業員の個人情報についても、利用目的を特定する必要がありますか。
• Ｑ2-3
  「利用」とは何を意味しますか。
• Ｑ2-4
  登記簿等を閲覧して個人情報を取得する場合も利用目的の特定が必要ですか。
• Ｑ2-5
  個人情報を統計処理して特定の個人を識別することができない態様で利用する場合についても、利用目的として特定する必要がありますか。
• Ｑ2-6
  当初の利用目的が変更となったためその旨を通知する際、利用目的の範囲に含まれない商品告知等もあわせて同封することは問題はないのですか。
• Ｑ2-7
  利用目的の変更通知は、「××から◯◯に変わった」というように変更前の利用目的との対比によって示す必要がありますか。
• Ｑ2-8
  法第 15 条第２項において、利用目的の変更が認められると考えられる事例を教えてください。
• Ｑ2-9
  法第 15 条第２項において、利用目的の変更が認められないと考えられる事例を教えてください。
• Ｑ2-10
  このたび他社の事業を承継することとなり、これに伴って当該他社が保有していた個人情報も譲り受けることになりました。当社は、当該他社が保有していた個人情報を自社サービスに利用することができますか。
• Ｑ2-10-2
  不動産の売買が行われる際に、不動産所有者が売買契約締結前の交渉段階で、当該不動産の購入希望者から当該不動産に関する調査を受け、当該不動産の賃借人に係る個人データを提供する場合は、あらかじめ本人の同意を得る必要がありますか。
• Ｑ2-10-3
  ガイドライン（通則編）３-４-３（２）の「事業承継の交渉が不調となった場合の措置等」とは、具体的にどのような内容が考えられますか。
• Ｑ2-11
  法第 16 条第３項第２号及び第３号に「本人の同意を得ることが困難であるとき」とありますが、例えばどのような場合がこれに該当しますか。

• 1-３　個人情報の取得（法第17条・第18条関係）

• Ｑ3-1
  サービスを利用した本人から友人を紹介してもらい、当該本人を介して、その友人の個人情報を取得する、「友人紹介キャンペーン」による取得は個人情報の取得の手段として適正ですか。
• Ｑ3-2
  名簿業者から個人の名簿を購入することは禁止されていますか。また、不正取得された名簿をそれと知らずに購入した場合は、どうですか。
• Ｑ3-3
  ガイドライン（通則編）３-２-1の「個人情報取扱事業者が不正の手段により個人情報を取得している事例」事例５の「法第 23 条第1項に規定する第三者提供制限違反がされようとしていること」を容易に知ることができる場合とは、具体的にどのような場合が考えられますか。
• Ｑ3-4
  個人情報を含む情報がインターネット等により公にされている場合、①当該情報を単に画面上で閲覧する場合、②当該情報を転記の上、検索可能な状態にしている場合、③当該情報が含まれるファイルをダウンロードしてデータベース化する場合は、それぞれ「個人情報を取得」していると解されますか。
• Ｑ3-5
  平成 27 年改正の施行（平成 29 年５月 30 日）前に取得した個人情報であって、施行後に要配慮個人情報に該当することとなった場合、改めて取得について本人同意を得る必要がありますか。
• Ｑ3-6
  平成 27 年改正の施行（平成 29 年５月 30 日）前に取得した個人情報であって、施行後に要配慮個人情報に該当することとなり、当該情報について、新たに第三者提供をする場合には本人同意を得る必要がありますか。
• Ｑ3-7
  ①郵便物の誤配など、事業者が求めていない要配慮個人情報が送られてきたことにより要配慮個人情報を手にすることとなった場合や、②要配慮個人情報を含む情報がインターネット等により公にされている場合であって単にこれを閲覧した場合であっても、事業者は要配慮個人情報の取得について本人の同意を得る必要がありますか。
• Ｑ3-8
  本人の話し方や振る舞いから要配慮個人情報を取得した場合も、外形上明らかな要配慮個人情報を取得する場合に該当しますか。
• Ｑ3-9
  取引の過程で、相手方企業の代表者等に前科があることが判明した場合、当該代表者等の同意を得る必要がありますか。
• Ｑ3-10
  住民基本台帳を閲覧して取得した個人情報を使ってダイレクトメールを送ることができますか。
• Ｑ3-10-2
  飲食店を営んでいます。顧客から予約を受けるときに取得した個人情報を取り扱う際に、どんなことに注意すればよいですか。
• Ｑ3-10-3
  PTA が学校から生徒等に関する個人情報を取得する場合、どういった点に注意すればよいですか。
• Ｑ3-11
  市販の人名録を使ってダイレクトメールを送付したいのですが、その人名録の利用目的を当該ダイレクトメールに記載して送付したいと考えています。人名録を買ってどれくらいの期日までにダイレクトメールを送付すれば、法第 18 条第1項にいう「速やかに」に該当しますか。
• Ｑ3-12
  グループ企業全体の採用の応募受付をホームページで行っています。応募者には個人情報をグループ企業間において共同利用する旨をこのホームページに掲載していますが、利用目的については採用活動のためであることが明らかなため、特に明示しなくてもよいですか。
• Ｑ3-12-2
  名刺交換により取得した連絡先に対して、自社の広告宣伝のための冊子や電子メールを送ることはできますか。
• Ｑ3-13
  申込書やホームページ上のユーザー入力画面で連絡先を記入させる場合、当該連絡先の利用目的を明示する必要がありますか。また、具体的にどのような場合に取得の状況からみて利用目的が明らかで利用目的の明示が不要となりますか。
• Ｑ3-14
  私立学校、自治会・町内会、同窓会、PTA 等が本人から書面で提出を受けた個人情報を利用して名簿を作成し、配布する場合はどのようにすればよいですか。

• 1-4　個人データの管理（法第19条～第22条関係）

• Ｑ4-1
  A 事業のために個人データを取得した後、B 事業のために取得した個人データの内容から住所変更があった事実が判明した場合、A 事業についても住所変更を反映させることが可能ですか。
• Ｑ4-2
  取得した個人情報は、いつ廃棄しなければなりませんか。
• Ｑ4-3
  「遅滞なく消去する」とは、具体的にどのような期間で消去することを求めていますか。
• Ｑ4-3-2
  防犯カメラにおける顔画像や顔認証データなどの個人データの保有期間についてはどのように考えれば良いですか。
• Ｑ4-4
  法第 21 条で定められている「従業者の監督」の「従業者」には、派遣社員も含まれますか。
• Ｑ4-5
  町内会やマンション管理組合等において、監督が必要となる「従業者」には、どのような者が該当しますか。
• Ｑ4-6
  従業者に対する監督の一環として、個人データを取り扱う従業者を対象とするビデオやオンライン等による監視（モニタリング）を実施する際の留意点について教えてください。
• Ｑ4-7
  「委託契約の締結」に関して、実態として安全管理措置に係る委託元と委託先の合意が担保できるものであれば、「業務委託契約書の取交し」以外の態様（例えば、委託先から委託元への誓約書の差入れや、覚書や合意書などの取交し）も認められますか。
• Ｑ4-8
  「委託先における個人データ取扱状況の把握」に関して、委託元が委託先に立入検査等を行うことは義務ですか。
• Ｑ4-9
  委託元が、法第 20 条が求める水準を超える高い水準の安全管理措置を講じている場合、委託先は、これと同等の水準の措置を講じる必要がありますか。
• Ｑ4-10
  外部事業者に定型的業務を委託する場合、必ず、当該外部事業者が用意している約款等に加えて、自己の社内内規を遵守するよう求める覚書を追加的に締結する等の対応が必要となりますか。
• Ｑ4-11
  個人データの取扱いを委託する場合、委託元は委託先に対して、当該委託業務に従事する委託先の従業員から守秘義務等に係る誓約書を取得することが義務付けられていますか。また、委託先の従業員等の個人情報の提出を求めることはできますか。

• 1-5　個人データの第三者への提供（法第23条～第26条関係）

• Ｑ5-1
  「第三者」とはどのような者をいうのですか。
• Ｑ5-2
  会社の他の部署へ個人データを提供する場合、あらかじめ本人の同意を得る必要はありますか。
• Ｑ5-3
  当社の提携会社や協力会社から、当社の従業者にお中元を贈りたいとの理由で、当該従業者の連絡先を教えてほしいと言われた場合に、提携会社や協力会社に当該従業者の連絡先を提供してもよいですか。
• Ｑ5-4
  ある大学から当社に対して、当社に勤務する当該大学の卒業生の名簿（氏名・卒業年度・所属部署）の提出を求められました。これは第三者提供に該当しますか。従業者数が多いので同意の取りようがないのですが、具体的に何をすればよいですか。
• Ｑ5-5
  デパートの中で、迷子になった幼少児の名前をアナウンスしても問題はありませんか。
• Ｑ5-6
  「あらかじめ」とは、具体的にはいつまでに同意を得る必要がありますか。
• Ｑ5-7
  本人から個人情報を取得する際に、同時に第三者提供についての同意を得ることはできるのですか。
• Ｑ5-8
  本人の同意は、個人データの第三者提供に当たってその都度得る必要があるのですか。
• Ｑ5-9
  第三者提供の同意を得るに当たり、提供先の氏名又は名称を本人に明示する必要はありますか。
• Ｑ5-10
  介護施設の入居者の家族から、当該入居者に関する情報の提供の依頼があった場合、提供してもよいですか。
• Ｑ5-11
  会社の行事で撮影された写真などを、当社内で展示する場合、写真に写っている本人からあらかじめ同意を得る必要がありますか。
• Ｑ5-12
  第三者から、当社を退職した従業者に関する在籍確認や勤務状況等について問合せを受けていますが、当該問合せに答えることはできますか。
• Ｑ5-13
  企業の代表者情報等の公開情報を第三者提供する際に、本人の同意が必要ですか。
• Ｑ5-14
  第三者提供の例外規定のひとつである「法令に基づく場合」であれば、必ず個人データを提供しなければなりませんか。
• Ｑ5-15
  株主より株主名簿の閲覧を求められた場合、株主名簿を開示することは第三者提供に該当するため、全株主の同意がない限り、当該閲覧請求を拒否できますか。
• Ｑ5-16
  弁護士法第 23 条の２に基づき、当社の従業者の情報について弁護士会から照会があった場合、当該従業者の同意を得ずに弁護士会に当該従業者情報を提供してもよいですか。
• Ｑ5-17
  刑事訴訟法第 197 条第２項に基づき、警察から顧客に関する情報について照会があった場合、顧客本人の同意を得ずに回答してもよいですか。同法第507 条に基づき、検察官から裁判の執行に関する照会があった場合はどうで すか。
• Ｑ5-18
  株主総会開催の際、管轄の警察署に会場の警備を依頼しています。それに伴い、要注意株主のリスト（氏名、住所、持株数等）の提出を警察署から求められた場合、個人情報保護法との関係では、本人の同意なく提供することができますか。
• Ｑ5-19
  過去に販売した製品に不具合が発生したため、製造会社で当該製品を回収することになりました。販売会社を通じて購入者情報を提供してもらい、製造会社から購入者に連絡を取りたいのですが、購入者数が膨大なため、販売会社が購入者全員から第三者提供についての同意を得るのは困難です。さらに、製品の不具合による人命に関わる事故が発生するおそれもあるため、製品を至急回収したいのですが、このような場合でも購入者全員の同意を得なければならないですか。
• Ｑ5-20
  民生委員・児童委員をしていますが、市町村や民間の事業者から、活動に必要な個人情報の提供を受けられず苦慮しています。提供を受けることは可能ですか。
• Ｑ5-20-2
  大規模災害等の緊急時に、被災者情報・負傷者情報等の個人情報を関係者で共有する場合、本人の同意なく共有することができますか。
• Ｑ5-20-3
  地震等の災害時に支援が必要な高齢者、障害者等のリストを災害時に備えて関係者間で共有することは可能ですか。
• Ｑ5-20-4
  自社の従業者が指定感染症に罹患したため、当該従業者が感染可能期間中に訪問した取引先が適切な対応策を取ることができるよう、情報提供することを考えています。当該従業者は現在入院しており、取引先への第三者提供に係る同意を取得することが困難ですが、同意を取得せずに情報提供することはできますか。
• Ｑ5-21
  ホームページに継続的に掲載すれば、法第 23 条第２項の「本人が容易に知り得る状態」に該当しますか。
• Ｑ5-22
  サービスの提供の申込の際に、申込者から申込書・約款等で包括的に同意を得ながらも、事後的に当該同意の撤回を申し出ることができるようにしています。この場合、法第 23 条第２項・第３項に規定する手続に則る必要があ りますか。
• Ｑ5-23
  「本人・・・が当該提供の停止を求めるのに必要な期間をおくこと」（施行規則第７条第1項第1号）の「必要な期間」とは、いつから起算しますか。また、満了点はいつですか。
• Ｑ5-24
  法第 23 条第２項各号に係る事項をインターネットで「本人が容易に知り得る状態」に置いている場合、個人情報保護委員会への届出をした後、改めて、施行規則第 10 条に基づき、公表しなければなりませんか。
• Ｑ5-25
  ダイレクトメールの発送業務を業者に委託する場合、ダイレクトメールの発送業務の委託に伴い、ダイレクトメールの送付先である顧客の氏名や住所等を本人の同意なくこの業者に伝えることはできますか。
• Ｑ5-26
  配送事業者、通信事業者等の外部事業者を利用して、個人データを含むものを送る場合は、当該外部事業者に対して当該個人データの取扱いを委託（法第 23 条第５項第1号）しているものと考えられますか。
• Ｑ5-26-2
  ガイドライン（通則編）３-４-３の「（1）委託（法第 23 条第５項第1号関係）」に、個人情報保護法上委託に該当しない場合として記載されている「委託された業務以外に当該個人データを取扱う」事例としては、どのようなものがありますか。
• Ｑ5-27
  当社の事業の一部を他社に承継する場合において、利用目的の一部が当社に残るときは、当社に個人データを残して利用することはできますか。
• Ｑ5-28
  「共同して利用する者の範囲」として、「必ずしも事業者の名称等を個別に全て列挙する必要はないが、本人がどの事業者まで利用されるか判断できるようにしなければならない」とのことですが、具体的にはどのような方法が考えられますか。
• Ｑ5-29
  共同利用する際に「あらかじめ」本人への通知又は本人が知り得る状態に置く必要がありますが、「あらかじめ」とはいつまでですか。
• Ｑ5-30
  複数の企業でセミナーを共催して、申込受付やアンケートを共同で実施する場合等、個人情報を数社が共同で取得する際には、どのようにすればよいですか。
• Ｑ5-31
  共同して利用している個人データの内容（本人の住所等)の一部について、共同利用者が各自で更新することはできますか。
• Ｑ5-32
  各共同利用者を「責任を有する者」とし、それぞれが開示等の請求等や苦情を受け付けることとすることはできますか。
• Ｑ5-32-2
  防犯目的のために取得したカメラ画像・顔認証データ等について、防犯目的の達成に照らして真に必要な範囲内で共同利用をすることは可能ですか。その場合には、どのような点に注意する必要がありますか。
• Ｑ5-32-3
  過去に取得した個人データを特定の事業者との間で共同利用することは可能ですか。
• Ｑ5-32-4
  既に特定の事業者が取得している個人データを他の事業者と共同して利用する場合について、「社会通念上、共同して利用する者の範囲や利用目的等が当該個人データの本人が通常予期しうると客観的に認められる範囲内」に含まれる場合とは、どのような場合ですか。
• Ｑ5-33
  個人情報取扱事業者が、個人データを含む電子データを取り扱う情報システムに関して、クラウドサービス契約のように外部の事業者を活用している場合、個人データを第三者に提供したものとして、「本人の同意」（法第 23 条第1項柱書）を得る必要がありますか。または、「個人データの取扱いの全部又は一部を委託」（法第 23 条第５項第1号）しているものとして、法第 22条に基づきクラウドサービス事業者を監督する必要がありますか。
• Ｑ5-34
  クラウドサービスの利用が、法第 23 条の「提供」に該当しない場合、クラウドサービスを利用する事業者は、クラウドサービスを提供する事業者に対して監督を行う義務は課されないと考えてよいですか。
• Ｑ5-35
  個人データを含む電子データを取り扱う情報システム（機器を含む。）の保守の全部又は一部に外部の事業者を活用している場合、個人データを第三者に提供したものとして、「本人の同意」（法第 23 条第1項柱書）を得る必要がありますか。または、「個人データの取扱いの全部又は一部を委託することに伴って・・・提供」（法第 23 条第５項第1号）しているものとして、法 第 22 条に基づき当該事業者を監督する必要がありますか。
• Ｑ5-36
  マンション管理組合でマンションの修繕を予定しており、工事会社に居住者の個人情報を提供する必要がありますが、あらかじめ本人の同意を得なければいけませんか。
• Ｑ5-37
  マンション管理組合とマンション管理会社の間で居住者の氏名等の情報を共有することは可能ですか。
• Ｑ5-38
  マンション管理組合がマンション管理会社に管理業務を委託している場合に、管理組合が保有する組合員名簿を管理会社が提供してもらうよう求めることは可能ですか。

• 1-6　保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止等（法第27条～第34条関係）、個人情報の取扱いに関する苦情処理（法第35条関係）

• Ｑ6-1
  法第 27 条第1項第３号は、開示等の請求等に応じる手続を本人の知り得る状態に置かなければならないと定めていますが、必ずホームページに掲載しなければいけませんか。
• Ｑ6-2
  当社では、法第 27 条第1項に基づき、全ての保有個人データの利用目的を本人の求めに応じて遅滞なく回答することとしています。①全ての保有個人 データの利用目的について回答を求められた場合には、当該本人が識別され ない保有個人データの利用目的についても回答する必要がありますか。また、その場合、本人が識別される保有個人データの利用目的とそれ以外の利用目 的とを区別して回答する必要がありますか。②同条第２項の規定に基づく利 用目的の通知の求めの場合と比べて、対象となる利用目的の範囲などに違い はありますか。
• Ｑ6-3
  社内で取り扱う個人情報については、個人情報が検索できる状態ではありませんが、そのような状態であれば、本人からの開示の請求に応じなくてもよいですか。
• Ｑ6-4
  市販の人名録を利用してダイレクトメール等を送付していた場合、人名録の利用者は、その内容の訂正、追加、削除等の権限を有していないため、保有個人データに該当しないものとして、開示等の請求を受けた場合であっても、これに応じる義務はないと考えてよいですか。
• Ｑ6-5
  「貴社が保有する私の情報全てを開示せよ」という請求があった場合には、どのように対応したらよいですか。
• Ｑ6-6
  保有個人データであっても、本人以外の他の個人情報（例えば、家族の氏名等）が同時に含まれているものがあります。本人からの保有個人データの開示の請求があった場合、家族の氏名等、本人以外の他の個人情報については、開示をしなくともよいですか。
• Ｑ6-7
  ユーザーから商品クレームに関する問合せ等があり、それをデータベース化しています。データベースには、ユーザーの氏名・電話番号及び対応履歴等だけでなく、会社としての所見（例えば、「悪質なクレーマーと思われる」） が記録されていることもあります。これらは全て保有個人データに該当し、開示の請求に応じなければならないですか。
• Ｑ6-8
  本人から自分の個人情報の取得元の開示を請求された場合には、どのように対応すればよいですか。
• Ｑ6-9
  雇用管理情報には、人事評価や選考に係る個々人の情報など非開示とすることが想定される情報が含まれますが、どのように対応したらよいですか。
• Ｑ6-9-2
  防犯目的のために、万引き・窃盗等の犯罪行為や迷惑行為に対象を限定した上で、顔認証データを登録して保有個人データとした場合には、個人情報保護法に基づきどのように開示請求、内容の訂正、利用停止の請求等に対応する必要がありますか。
• Ｑ6-10
  一般的には「削除」と「消去」は同じ意味と考えられますが、保有個人データを削除すべき場合（法第 29 条）と消去すべき場合（法第 30 条）の違いは 何ですか。
• Ｑ6-11
  本人から保有個人データの評価が誤っているとして訂正等の請求があった場合には、訂正等に応じなければなりませんか。
• Ｑ6-12
  会社の採用面接で不採用にした応募者から、当社に提出された履歴書の返却を求められていますが、個人情報取扱事業者として、返却に応じなければなりませんか。
• Ｑ6-13
  当社では、電話で資料請求をしてきたお客様にダイレクトメールを送付していますが、お客様から、ダイレクトメールの停止及び個人情報の消去を求められた場合、応じなければならないですか。
• Ｑ6-14
  本人からの開示等の請求等に備えて、開示等の請求等を受け付ける方法をあらかじめ定めておく必要がありますか。
• Ｑ6-15
  開示等の請求等をする者が本人であることの確認の方法としては、どのようなものがありますか。
• Ｑ6-16
  開示等の請求等をする者が本人であることの確認の方法として、運転免許証の提示に加え、印鑑登録証明書の提示を求めることはできますか。
• Ｑ6-17
  開示等の手数料はいくらにすべきですか。
• Ｑ6-18
  本人から開示の請求があり、開示手数料を徴収している場合、結果として開示しなかった場合でも、徴収した手数料は返さなくてもよいですか。
• Ｑ6-19
  当社では、保有個人データの開示の請求を受けた際に手数料を徴収することとしましたが、手数料により利潤を得ることはできますか。また、開示の方法を閲覧のみにすることは、個人情報保護法上問題がありますか。
• Ｑ6-20
  事前の請求の手続は、平成 27 年改正の施行（平成 29 年５月 30 日）前の開示等の求めの手続と同じ手続ということでよいですか。
• Ｑ6-21
  苦情の適切かつ迅速な処理を行うに当たり、具体的にはどのような体制を整備すればよいですか。
• Ｑ6-22
  個人情報保護法に基づく開示請求、内容の訂正、利用停止の請求等への対応等に関する苦情や相談がある場合に、当該個人情報取扱事業者とともに、認定個人情報保護団体が対応することは可能ですか。

• 1-7　講ずべき安全管理措置の内容

• Ｑ7-1
  ガイドライン（通則編）（８（別添）講ずべき安全管理措置の内容）に示されている項目を全て講じないと違法になりますか。
• Ｑ7-2
  「中小規模事業者」の定義における「従業員」にはどのような者が含まれますか。また、いつの時点の従業員の数で判断されますか。
• Ｑ7-3
  「中小規模事業者」の定義のうち、「事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数」について、例えば、市販の電話帳を保有している場合、これに氏名・電話番号等が掲載されている個人の数は含まれますか。
• Ｑ7-4
  「中小規模事業者」の定義のうち、「事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数」について、例えば、倉庫業、データセンター等の事業において、当該情報が個人情報に該当するかどうかを認識することなく預かっている場合は、当該情報中に含まれる個人情報に係る個人の数は含まれますか。
• Ｑ7-5
  「中小規模事業者」も、大企業と同等の安全管理措置を講じなくてはいけませんか。
• Ｑ7-6
  従来、主務大臣が定めていたガイドラインに従って、適切に安全管理措置を講じているが、さらに多くのことをしなければいけないのか。
• Ｑ7-7
  標的型メール攻撃や、その他不正アクセス等による個人データの漏えい等の被害を防止するために、安全管理措置に関して、どのような点に注意すればよいですか。
• Ｑ7-7-2
  防犯カメラを設置して個人データを取り扱う場合には、安全管理措置として特にどのような点に注意すれば良いですか。
• Ｑ7-8
  基本方針の策定は義務ですか。またこれを公表することは義務ですか。
• Ｑ7-9
  「個人データの取扱状況を確認する手段の整備」に関して、いわゆる「個人情報取扱台帳」のようなものを作成しなければいけませんか。
• Ｑ7-10
  「取扱状況の把握及び安全管理措置の見直し」について、手法の例示として「監査を実施する」とありますが、実施に当たって参考となるような規格はありますか。
• Ｑ7-11
  「従業者の教育」について、研修の頻度はどの程度とすることが適切ですか。
• Ｑ7-12
  従業者との雇用契約において守秘義務を定めたり、派遣社員の派遣元との間の契約において派遣社員の守秘義務を定めることは義務付けられますか。
• Ｑ7-13
  「従業者の教育」としての研修は、全従業者を一堂に集めて講義形式で行う必要がありますか。
• Ｑ7-14
  「個人データを取り扱う区域の管理」に関して、個人データを取り扱う場所は、全て厳格な入退室管理を実施する必要がありますか。
• Ｑ7-15
  「座席配置の工夫」「のぞき込みを防止する措置」「個人データを取り扱うことのできる従業者及び本人以外が容易に個人データを閲覧等できないような措置」とは、例えばどのような措置が該当しますか。
• Ｑ7-16
  紙でしか個人情報を管理していない場合も、技術的安全管理措置を講じる必要がありますか。
• Ｑ7-17
  「アクセス制御」を講じるための手法は、ガイドライン（通則編）で示されている以外にどのようなものが考えられますか。
• Ｑ7-18
  「アクセス者の識別と認証」を講じるための手法は、ガイドライン（通則編） で示されている以外にどのようなものが考えられますか。
• Ｑ7-19
  「外部からの不正アクセス等の防止」を講じるための手法は、ガイドライン（通則編）で示されている以外にどのようなものが考えられますか。
• Ｑ7-20
  「情報システムの使用に伴う漏えい等の防止」を講じるための手法は、ガイドライン（通則編）で示されている以外にどのようなものが考えられますか。

• 1-8　その他

• Ｑ8-1
  個人情報取扱事業者等が個人情報保護法に違反した場合、どのような措置が採られるのですか。
• Ｑ8-2
  外国で活動する事業者ですが、日本にいる者に対して音楽の配信サービスを提供するために本人から個人情報を取得する場合、その個人情報の取扱いについて個人情報保護法は適用されますか。また、日本の別の事業者から個人情報を取得する場合はどうなりますか。
• Ｑ8-2-2
  外国で活動する事業者で、日本を含む各国にいる者に対してサービスを提供しており、当該サービス提供のため各本人から個人情報を取得しています。日本の利用者の個人データを含む漏えい等事案が生じた場合、漏えい等事案が発覚した場合に講ずべき措置をとるとともに、個人情報保護委員会等へ報告する必要がありますか。
• Ｑ8-3
  個人情報保護法の適用除外とはどのような制度ですか。
• Ｑ8-4
  大学等の学術研究機関と民間企業や私立病院等が、学術研究目的の研究を共同で行う場合における個人情報の取扱いに関して留意すべき点を教えてください。

２　ガイドライン（外国にある第三者への提供編）

• Ｑ9-1
  委託は法第 23 条の第三者提供に当たらないとされていますが、外国にある第三者に個人データの取扱いを委託する場合も、法第 24 条は適用されない のですか。
• Ｑ9-2
  本人の同意を取得する際には、外国にある第三者への提供であることを明確にしなければならないとされていますが、常に提供先の国名を個別に示す必要はありますか。
• Ｑ9-3
  法第 24 条の同意を本人から取得する方法のうち、実質的に本人からみて提供先の国名等を特定できる方法とはどういう例がありますか。
• Ｑ9-4
  「我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国」はどこですか。
• Ｑ9-5
  外国にあるサーバに個人データを含む電子データを保存することは外国にある第三者への提供に該当しますか。
• Ｑ9-6
  外国の事業者が運営するクラウドを利用していますが、サーバは国内にある場合、外国にある第三者への提供に該当しますか。
• Ｑ9-7
  国内事業者が外国事業者に個人データを提供する場合、当該外国事業者が日本に出張所を有する場合、「外国にある第三者」に提供したこととなりますか。
• Ｑ9-8
  外国で事業をしている外国事業者から個人データに相当するデータの提供を受けて当該個人データの編集・加工業務を受託している場合において、その委託の成果物を当該外国事業者に納品するときは、法第 24 条は適用されることとなりますか。
• Ｑ9-9
  施行規則第 11 条の２第1号では、「個人情報取扱事業者と個人データの提供を受ける者との間」で適切かつ合理的な方法により措置の実施を確保することとされていますが、個人情報取扱事業者と同じ内規等が適用される別会社と、個人データの提供を受ける者との間で締結された委託契約は適切かつ合理的な方法に該当しますか。
• Ｑ9-10
  個人データを「外国にある第三者」（提供先）に提供した後、当該「外国にある第三者」がさらに別の「第三者」（再提供先）に個人データを提供する場合、当該「第三者」（再提供先）が「外国にある第三者」（提供先）と同一国内にある者のときは、どのような措置を講じる必要がありますか。また、当該「第三者」（再提供先）が日本にある者のときは、どのような措置を講じる必要がありますか。
• Ｑ9-11
  外国にある第三者に対して、氏名を削除するなどして個人を特定できないようにして当該者にとっては個人情報に該当しないデータの取扱いを委託し、当該者が個人情報に復元することがないような場合においても、法第 24条は適用されますか。

３　ガイドライン（第三者提供時の確認・記録義務編）

• 3-1　確認・記録義務の適用対象

• Ｑ10-1
  市販の電話帳を取得した際にも、確認・記録義務は適用されますか。
• Ｑ10-2
  外国にある第三者に個人データを提供する場合、法第 25 条に基づく記録を作成しなければなりませんか。また、この場合において、提供者は、法第 24条・施行規則第 11 条の２第1号との関係において、当該第三者からさらに別の第三者に提供する場合に記録を作成するように措置を講じなければなりませんか。
• Ｑ10-3
  訴訟代理人の弁護士・裁判所に、訴訟の相手方に係る個人データを含む証拠等を提出する場合、記録をしなければなりませんか。
• Ｑ10-4
  顧客からグループ会社の紹介を求められたため、当該顧客本人の氏名・住所等の連絡先等を、当該グループ会社に提供する場合は、記録を作成しなければなりませんか。
• Ｑ10-5
  取引先 A 社からの依頼に基づき、取引先 B 社の窓口担当者の氏名・連絡先等を、同窓口担当者の同意を得て、A 社に伝達する場合、記録を作成しなければなりませんか。
• Ｑ10-6
  A 社が、自己の提供する役務と B 社の提供する別の役務とをセットで販売して、B 社に購入者の個人データを提供する場合、記録を作成しなければなりませんか。
• Ｑ10-7
  小売業者 A は、顧客から製品の注文を受けた場合に、当該製品のメーカーに、当該顧客の氏名・住所を伝え、当該メーカーから当該製品を当該顧客に送付しているところ、当該メーカーへの個人データの提供につき、記録を作成しなければなりませんか。（なお、小売業者 A とメーカー間には委託契約はない。また、小売業者 A と顧客との契約書には、メーカーから当該製品が直接送付される旨が規定されている。）
• Ｑ10-8
  個人データの提供先の第三者を個別に明示していなければ、本人に代わって提供しているものと評価されませんか。
• Ｑ10-9
  会社間で代表取締役の名義で締結する契約書面を事務担当者間で授受する際、代表取締役の氏名に係る個人データを第三者提供しているものとして、記録を作成しなければなりませんか。
• Ｑ10-10
  顧客が別の者を指定して、自己に連絡をする際は指定した者を通すようにと事業者に要請していた場合、その連絡内容に当該顧客に係る個人データが含まれていたときは、当該者に第三者提供をしたものとして、記録を作成しなければなりませんか。
• Ｑ10-11
  後見人の他に、保佐人、補助人も、「本人と一体と評価できる関係にある者」と評価することはできますか。
• Ｑ10-12
  従業員の口座に給与を振り込む際も、記録義務は適用されますか。
• Ｑ10-13
  公開情報を収集してデータベース化している事業者から当該情報の提供を受ける場合は、元の情報が公開情報であることから確認・記録義務は適用されませんか。
• Ｑ10-14
  顧客から、当該顧客の配偶者の紹介を受ける行為について、確認・記録義務が適用されますか。
• Ｑ10-15
  顧客から別の者を紹介してもらう場合に、1名ではなく、夫婦・家族の連絡先をまとめて紹介される場合においても、個人データに該当しないときであれば、第三者提供の確認・記録義務の対象になりませんか。
• Ｑ10-16
  電話や口頭で個人情報を聞いた場合には、確認・記録義務は適用されますか。
• Ｑ10-17
  個人データの第三者提供を受ける際に、受領者にとって「個人データ」に該当しない場合、法第 26 条に加えて、他の法第４章第1節に規定される条文も適用されませんか。
• Ｑ10-18
  データベース業者と契約を締結し、ネットワークで繋がった上で、当該データベース業者のデータベースを自己の端末で参照し、そのデータベースの内容は当該データベース事業者が随時更新を行う場合において、それを利用する事業者に確認・記録義務は適用されますか。
• Ｑ10-19
  本人以外の者（「当初の提供元」）から個人データの提供を受けた場合において、あらかじめ公表している利用目的の範囲内で、後日、当初の提供元に対して、同じ内容の個人データを提供するとき、確認・記録義務は適用されますか。
• Ｑ10-20
  金融機関から債権の買取りを行うに際して、当該金融機関と守秘義務契約を締結して入札に参加する場合において、債権譲受候補者が当該金融機関から提供を受けた債務者データ（個人データ）を利用して譲渡対象債権のデューデリジェンスを行って入札価格を提示したものの、落札に至らなかったために、守秘義務契約に基づき当該データを速やかに削除する例においては、当該候補者は確認・記録義務を履行する必要がありますか。
• Ｑ10-21
  オプトアウトによる第三者提供について、確認・記録義務が適用されない場面はありますか。

• 3-2　確認義務、記録義務

• Ｑ10-22
  第三者から個人データの提供を受ける際は、代表取締役の氏名を確認しなければなりませんか。
• Ｑ10-23
  「取得の経緯」を対面又は電話により口頭で確認する方法は認められますか。
• Ｑ10-24
  取得の経緯を確認する際に、本人が署名した同意書面を確認することをもって取得の経緯を確認し、その旨を記録する場合に、同時に本人の同意が有る旨の記録として取り扱ってもよいですか。
• Ｑ10-25
  記録を作成するに当たって、台帳のようなものを用意する必要はありますか。
• Ｑ10-26
  個人データを提供先にデータ伝送している場合、伝送日時、伝送先などのログを記録とすることはできますか。
• Ｑ10-27
  継続的に又は反復して個人データを授受することを内容とする基本契約書に加えて、当該基本契約書に付帯する資料などをあわせて、施行規則第 12 条第２項・第 16 条第２項に基づく記録とすることはできますか。
• Ｑ10-28
  「契約書その他書面」（施行規則第 12 条第３項・第 16 条第３項）には、原本のみならず、写しも含まれますか。
• Ｑ10-29
  同意書をもって記録とする方法を採用する場合、代表者氏名以外については同意書により記録し、代表者氏名については有価証券報告書の記載箇所を記録として用いる又は補記する等の対応は可能ですか。
• Ｑ10-30
  提供者にとって個人データに該当するが受領者にとって個人データでないため、提供者のみに記録義務が生じる場合においても、受領者が提供者の記録義務の全部又は一部を代行して行うことは妨げられないという理解でよいですか。
• Ｑ10-31
  代行により記録を作成する方法を採用する場合に、代行させる者（委託者）及び代行を行う者（受託者）との間では、契約書等において、代行させる旨の規定を置くことは必須ですか。
• Ｑ10-32
  確認・記録義務の履行のために個人データを保存する場合は、消去義務（法第 19 条）に違反しませんか。また、利用目的の特定・通知等をしなければなりませんか。
• Ｑ10-33
  「同意の存在を明示的に又は黙示的に示す証跡等」には、①本人による同意する旨のホームページ上のボタンのクリックに係るシステムログ、②ホームページの構造上、個人情報を取得する直前に必ず本人による同意をする旨のホームページ上のボタンのクリックが必須となっていること（ボタンクリックによる同意を経なければ取得できない）は、該当しますか。
• Ｑ10-34
  対象となる複数の本人の記録を一体として作成する際に、保存期間は個々の個人ごとに計算するものですか。
• Ｑ10-35
  複数の対象者の個人データについて、毎週、同様の提供が行われることから、一つのファイルに翌月1日に前月の分を一括して記録を作成する方法によ り記録を作成している場合において、2018 年1月に本人 X について提供が行われ 2018 年２月1日に記録がなされ、2019 年1月に本人 Y について提供 が行われ、2019 年２月1日に記録がなされた場合、X 及びY についての保存 期間はどのように考えられますか。

４　ガイドライン（匿名加工情報編）

• 4-1　定義

• Ｑ11-1
  個人情報から作成した統計情報についても匿名加工情報に該当しますか。
• Ｑ11-1-2
  統計情報と匿名加工情報の違いは何ですか。
• Ｑ11-2
  匿名加工情報を作成する途中の情報など十分な加工がされていない情報はどのように取り扱えばよいですか。
• Ｑ11-3
  匿名加工情報として提供を受けたものの、加工が不十分な情報であった場合にはどのように取り扱えばよいですか。

• 4-2　匿名加工情報の適正な加工

• Ｑ11-4
  法第 36 条第1項に定める基準に従わずに個人情報を加工したものを匿名加工情報として取り扱うことは認められますか。
• Ｑ11-4-2
  個人情報を、安全管理措置の一環等のためにマスキング等によって匿名化した場合、匿名加工情報に相当するのですか。
• Ｑ11-4-3
  個人情報を加工して匿名加工情報を作成する場合についても、利用目的として特定する必要はありますか。
• Ｑ11-5
  匿名加工情報を作成するときに施行規則第 19 条各号に定める基準で求められている措置を全て行う必要がありますか。
• Ｑ11-6
  提供を受けた匿名加工情報を再度加工する場合は匿名加工情報の作成に該当しますか。
• Ｑ11-7
  要配慮個人情報を加工して匿名加工情報を作成することはできますか。
• Ｑ11-8
  氏名や住所、年齢、性別などの記述が含まれていた場合は必ず全ての記述について削除等の措置が必要になりますか。
• Ｑ11-9
  施行規則第 19 条第５号において、「個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等との差異その他の当該個人情報データベース等の性質を勘案し」とありますが、ここでの「当該個人情報を含む個人情報データベース等」については、事業者が保有する個人情報データベース等全体を勘案する必要がありますか。
• Ｑ11-10
  匿名加工情報を作成するときには、氏名と仮 ID 等の対応表を破棄しないといけませんか。

• 4-3　匿名加工情報等の安全管理措置等

• Ｑ11-11
  加工方法等情報にはどのような情報が含まれますか。
• Ｑ11-12
  匿名加工情報が適切に加工されていることを伝えるために、それぞれの情報の項目をどのように加工したのかといった情報を匿名加工情報の提供先などに伝えることは可能ですか。
• Ｑ11-13
  委託契約により委託先の事業者において匿名加工情報を作成した場合、加工方法等情報を委託元と共有することはできますか。
• Ｑ11-13-2
  匿名加工情報の作成の委託を複数の会社から受けることは可能ですか。その場合、どのようなことに留意する必要がありますか。
• Ｑ11-13-3
  委託に伴って提供された個人データを、委託先が自社のために匿名加工情報に加工した上で利用することはできますか。

• 4-4　匿名加工情報の作成時の公表、匿名加工情報の第三者提供

• Ｑ11-14
  プライバシーポリシーに、取得した個人情報に含まれる個人に関する情報の項目を明示するとともに、「取得した個人情報から匿名加工情報を作成することがあります」といった趣旨の記載をして公表する場合は、当該記載をもって作成時及び第三者提供時の公表を履行したことになりますか。
• Ｑ11-15
  作成した匿名加工情報に購買履歴が含まれる場合、個人に関する情報の項目として、商品名まで公表する必要がありますか。
• Ｑ11-16
  含まれる情報の項目が同じ匿名加工情報を継続的に作成する場合、その都度匿名加工情報に含まれる個人に関する情報の項目等を公表する必要がありますか。
• Ｑ11-17
  匿名加工情報の作成時の公表において、当該匿名加工情報の利用目的についても公表する必要がありますか。
• Ｑ11-17-2
  匿名加工情報を作成する際に元の個人情報に含まれるある項目の情報の全てを削除した場合、あるいは、その全てを置き換えた場合に、その項目について、匿名加工情報を作成したとき、あるいは、第三者に提供したときに公表する必要はありますか。
• Ｑ11-17-3
  匿名加工情報を作成した際に公表する個人に関する情報の項目の一部を「等」として省略することはできますか。また、「個人に関する情報の項目」の分類をどの程度、細かくする必要がありますか。まとめることは可能ですか。
• Ｑ11-18
  匿名加工情報の第三者提供時の公表において、当該匿名加工情報の提供先名や利用目的についても公表する必要がありますか。
• Ｑ11-19
  法第 36 条第３項の匿名加工情報作成時の情報の項目に関する公表と同条第４項の公表を同時に行うことはできますか。
• Ｑ11-20
  個人情報を提供して、匿名加工情報の作成を委託した場合、依頼する委託元事業者とこれを受けた委託先事業者にはどのような法律の規律が課せられますか。

• 4-5　識別行為の禁止

• Ｑ11-21
  匿名加工情報を取り扱っていたところ、偶然に当該匿名加工情報の作成の元となった個人情報の本人を識別してしまった場合にも識別行為の禁止義務に違反しますか。
• Ｑ11-22
  匿名加工情報や加工に関する方法の安全性の検証のために元となる個人情報と匿名加工情報を照合させることはできますか。

５　個人データの漏えい等事案対応告示

• Ｑ12-1
  漏えい等事案が発覚した場合に講ずべき措置の「（1）事業者内部における報告及び被害の拡大防止」にある「責任ある立場の者」とは、どういう役職を想定していますか。
• Ｑ12-2
  漏えい等事案が発覚した場合に講ずべき措置の「（1）事業者内部における報告及び被害の拡大防止」にある「漏えい等事案による被害が発覚時よりも拡大しないよう必要な措置を講ずる」とは、具体的には、どのような対応をとることが考えられますか。
• Ｑ12-3
  漏えい等事案が発覚した場合に講ずべき措置の「（３）影響範囲の特定」にある「把握した事実関係による影響の範囲を特定する」とは、どういうことですか。
• Ｑ12-4
  漏えい等事案が発覚した場合に講ずべき措置の「（５）影響を受ける可能性のある本人への連絡等」にある「本人が容易に知り得る状態に置く」とは、どういうことですか。
• Ｑ12-5
  漏えい等事案が発覚した場合に講ずべき措置の「（５）影響を受ける可能性のある本人への連絡等」及び「（６）事実関係及び再発防止策等の公表」について、「漏えい等事案の内容等に応じて」とされていますが、どのような場合に本人への連絡等や公表をしなくてもよいのですか。
• Ｑ12-6
  漏えい等事案が発生した場合、個人情報保護委員会には、どのような方法で報告すればよいですか。
• Ｑ12-7
  「法第 44 条第1項に基づき法第 40 条第1項に規定する個人情報保護委員会の権限（報告徴収及び立入検査）が事業所管大臣に委任されている分野」とは、どの分野ですか。また、報告先はどこになりますか。
• Ｑ12-8
  個人情報保護委員会等への報告を要しないと規定されている場合であっても、個人情報保護委員会等への報告を行うことは可能ですか。
• Ｑ12-9
  委託先において漏えい等事案が生じた場合、委託先が個人情報保護委員会等への報告を行うことになりますか。
• Ｑ12-10
  実質的に個人データ又は加工方法等が外部に漏えいしていないと判断される場合に該当する「漏えい等事案に係る個人データ又は加工方法等情報について高度な暗号化等の秘匿化がされている場合」とは、どのような場合が該当しますか。
• Ｑ12-11
  テンプレート保護技術（暗号化等の技術的措置を講じた生体情報を復号することなく本人認証に用いる技術）を施した個人識別符号が漏えいした場合も、個人情報保護委員会等への報告、本人への連絡等並びに事実関係及び再発防止策等の公表を行う必要がありますか。
• Ｑ12-12
  取引先に荷物を送付するに当たり、誤って宛名票を二重に貼付してしまい、本来の送付先とは無関係の第三者の宛名情報が漏えいした場合も、「FAX 若しくはメールの誤送信、又は荷物の誤配等のうち軽微なものの場合」に該当し得ますか。

６　その他

• Ｑ13-1
  ガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）以外に、事業者が遵守すべきガイドライン等はありますか。

金融機関における個人情報保護に関するＱ＆Ａ目次

1　総論

• Ｑ1-1
  個人情報保護法の体系と各業法の体系の関係はどのようなものか。
• Ｑ2-1
  官報や民間の新聞等により公表されている情報であっても「個人情報」に当たるか。
• Ｑ2-2
  第三者からみて特定の個人を識別することができない情報であれば、それは「個人情報」に当たらないのか。例えば、住宅ローンの残高など、金額のみが記載され、その他氏名等が記載されていないものは「個人情報」に当たらないのか。
• Ｑ2-3
  「個人情報」と「個人データ」の違いは何か。
• Ｑ2-4
  「個人情報データベース等」とは何か。
• Ｑ2-5
  個人情報が五十音順等に整理されておらず、コンピュータを用いたデータベースに ランダムに入力されているが、サーチ機能等で容易に検索が可能な場合には、当該データベースは「個人情報データベース等」に該当するのか。
• Ｑ2-6
  法人の代表者の情報は「個人情報」に当たるか。また、法人情報のデータベースの中に法人代表者の氏名等があった場合、当該情報は「個人データ」に当たるのか。
• Ｑ2-7
  顧客から提出された書類と「個人データ」について、 ① 契約書等の書類の形で本人から提出され、これからデータベースに登録しようとしてい る情報は「個人データ」に該当するか。 ② データベースに登録した後の契約書等は「個人データ」に該当するか。 ③ その後データベースから例えば紙にメモするなどして取り出された情報は、「個人データ」に該当するのか。それとも当該メモ自体が容易に検索可能な形で整理されていないのであれば、「個人データ」ではない「個人情報」として扱われるのか。 ④ 紙のメモではなく口頭で第三者に伝えた場合はどうか。
• Ｑ3-1
  金融分野ガイドライン第５条第１項第７号に規定する「保険業その他金融分野の事業の適切な業務運営を確保する必要性から、本人の同意に基づき業務遂行上必要な範囲で機微（センシティブ）情報を取得、利用又は第三者提供する場合」とは、具体的にどのような場合を想定しているのか。
• Ｑ3-2
  金融分野ガイドライン第５条第３項に規定する「機微（センシティブ）情報を、第１ 項に掲げる場合に取得、利用又は第三者提供する場合には、（中略）個人情報の保護に関する法令等に従い適切に対応しなければならないことに留意する」とは、具体的にどのような点に留意する必要があるのか。
• Ｑ3-3
  金融分野ガイドライン第５条第４項に規定する「機微（センシティブ）情報を、第三者へ提供するに当たっては、法第 23 条第２項（オプトアウト）の規定を適用しないこととする」とは、機微（センシティブ）情報のうち要配慮個人情報を除く情報についても適用しないということか
• Ｑ4-1
  安全管理措置の内容は個人情報保護法と業法のどちらでも義務化されているが、求められていることはどう違うのか。
• Ｑ4-2
  なぜ個人情報保護法に加え、各業法で個人情報の安全管理が求められているのか。
• Ｑ4-3
  実務指針の遵守に当たっては、具体的な水準は事業者の判断に委ねられているという理解でよいか。
• Ｑ4-4
  実務指針１－２において整備することが求められている「個人データの安全管理に係る取扱規程」は、各事業者においては「細則」「マニュアル」等、名称や形式を問わないという理解でよいか。 また、個々の規程の構成が実務指針と一致せずとも、当該事業者で定めるルール全体として実務指針に規定する措置に対応していれば、事業者全体の「個人データの安全管理に係る取扱規程」として問題ないか。
• Ｑ4-5
  「個人データ」の「漏えい、滅失、毀損」とは、どのようなものを指すのか。具体的には、

  • ① 「個人データ」を記録している電磁的記録媒体を破損したが、その内容と同じデータが他 に保管されている場合は、「個人データ」の「滅失」に当たるか。
  • ② 社内において、権限のない者が「個人データ」にアクセスした場合、どの時点から「個人デ ータ」の「漏えい」となるのか。当該無権限者がアクセスした時点で「漏えい」となるのか、無権限者が外部の者にデータの内容を伝えたときにはじめて「漏えい」となるのか。
  • ③ 保有しているはずの「個人データ」を紛失し、存在を確認できない場合、「個人データ」の「漏えい、滅失、毀損」に当たるのか。
  • ④ 「個人データ」について暗号化処理された電磁的記録媒体を漏えいした場合も、「個人データ」の「漏えい」に当たるのか。
  • ⑤ 「個人データ」について暗号化処理された電磁的記録媒体の復元キーを失念して、復元不能となった場合、「個人データ」の「毀損」に当たるのか。
• Ｑ4-6
  個人情報等の漏えい事案等が発生した場合、金融機関は監督当局等に報告する義務があるのか。
• Ｑ4-7
  個人情報等の漏えい事案等が発生した場合において、監督当局等に報告を要する場合の報告先はどこか。
• Ｑ4-8
  個人情報等の漏えい事案等は、業法上の「不祥事件」に該当するのか。
• Ｑ4-9
  個人情報保護法に基づく報告と業法に基づく報告という同じ内容の報告を重複して提出する必要はあるのか。
• Ｑ4-10
  監督当局等への報告（個人情報保護法第 40 条に基づく報告を除く。) に当たって、提出文書には、根拠条項をどのように書けばよいか。
• Ｑ4-11
  個人情報等の漏えい事案等が発生した場合の監督当局等への報告は、どこまで厳密に行う必要があるのか。
  例えば、ＦＡＸの誤送信、郵便物等の誤送付及びメールの誤送信などによる個人情報等の漏えい等で、当該情報の量や性質等に鑑みて、漏えい事案等としては軽微と思われるものまで、発生段階で必ず監督当局等へ報告する必要性があるのか。
• Ｑ4-12
  監督当局等への報告に当たって、どのような事項を記載すれば良いのか。
• Ｑ4-13
  顧客の同意をとって第三者に提供した「個人データ」を、提供を受けた先が漏えいし た場合、報告する必要があるか。
• Ｑ4-14
  金融分野とそれ以外の分野の事業を行っている場合において、金融分野以外の事業に関する個人情報等の漏えい事案等が発生した場合も、監督当局等に報告する必要があるのか。
• Ｑ4-15
  金融分野に関する規制法が、金融庁と他省庁との共管になっている場合において、個人情報等の漏えい事案等が発生した場合は、所管しているいずれかの省庁に報告すれば、 他の省庁への報告は必要ないのか。
• Ｑ4-16
  「個人データ」の漏えい事案等が発生した場合の公表は、どこまで厳密に行う必要があるのか。 例えば、インターネット上でファイル交換を行うソフトウェアの使用により、「個人情報」 が流出した場合にも、必ず公表をしなくてはいけないのか。
• Ｑ4-17
  個人情報等の漏えい事案等が発生した場合は、金融機関は本人に通知する必要があるのか。
• Ｑ4-18
  個人情報を記載した手形、小切手の紛失事案の公表を検討する際に、手形、小切手は 転々流通するものであることから、記載された情報は公知のものであり、二次被害防止の必要性は無いものとして公表しなくても良いか。

5 第三者提供等

• Ｑ5-1
  防犯カメラに映った偽造キャッシュカードの実行犯の映像を本人の同意なく他の金融機関に提供することは、個人情報保護法上問題がないか。
• Ｑ5-2
  「個人データ」に該当する顧客の取引内容を、本人の同意を得ずに、その内容を知る家族に伝えた場合、「個人データ」の漏えいとなるか。
• Ｑ5-3
  金融分野ガイドライン第３条で、個人情報保護法第 16 条、第 23 条及び第 24 条に定める本人の同意を得る場合には、原則として、書面によらなければならないとされているが、「紙」を用いた同意以外に、例えば、どのような形式が「書面」に該当するのか。また、電話により同意を得た事実を任意様式に記録し保存する方式でも金融分野ガイドライン上「書面」による同意を得たと解することができるか。
• Ｑ5-4
  債権譲渡の実務においては、債権の譲渡人は譲受人に対し、債権者としての十分な管理回収を行わせしめ、譲渡人及び譲受人の経済的利益を保護するため、債権そのものに加えて債務者に関連する個人情報を移転することが不可欠であるが、こうした場合にも、個人情報保護法上、債務者本人から第三者に提供することについて明示的な同意を得るこ とが必要なのか。
• Ｑ5-5
  生活保護の適正な実施のために行う調査の一環として、社会福祉事務所員から生活 保護申請者の資産や収入状況等の個人情報の提供を要請された場合、当該要請に応じることは、個人情報保護法上問題がないか。
• Ｑ5-6
  未払賃金立替払制度（賃金の支払の確保等に関する法律第７条）の適正な実施のために行う調査の一環として、倒産した事業主の賃金支払い能力の有無を把握するために、労働基準監督署から、倒産会社及びその代表者、個人事業主等の関係者が保有する預金口座の残高状況や賃金未払期間における保有預金口座の取引状況等の個人情報の提供を要請 された場合、当該要請に応じることは、個人情報保護法上問題がないか。
• Ｑ5-7
  個人情報取扱事業者が、弁護士法第 23 条の２に基づいてなされる報告の請求を弁護士会から受けた場合、その保有する「個人データ」を弁護士会に対し提供することは、個人 情報保護法上問題はないか。

「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」に関するＱ＆Ａ（事例集
平成29年5月作成（令和２年１０月一部改正）

【総論】

• Ｑ1-1
  Ｑ１－１ 「医療・介護関係事業者における個人情報の適切な取扱いのためのガイドライン」と本ガイダンスの違いは何でしょうか。
• Ｑ1-2
  個人情報保護法では、個人情報取扱事業者としてどのようなことに取り組むことが定められていますか。
• Ｑ1-3
  国や独立行政法人、自治体が設置する医療機関や介護施設は、このガイダンスの対象にはならないのですか。
• Ｑ1-４
  医療機関等において通常の診療だけではなく、健康相談業務も行っている場合、健康相談業務に係る記録についてもガイダンスの対象になるのでしょうか。
• Ｑ1-５
  本ガイダンスの対象となる「介護関係事業者」に含まれる事業者の範囲を教えて下さい。
• Ｑ1-６
  本ガイダンスの他に、個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編、匿名加工情報編）も定められているようですが、医療・介護関係事業者は、どちらを参照すべきなのでしょうか。
• Ｑ2-1
  「個人情報」「個人データ」「保有個人データ」とは、どのようなものですか。
• Ｑ2-2
  「個人情報」とは、具体的にどのようなものがありますか。
• Ｑ2-3
  医療・介護関係事業者が取り扱う「個人識別符号」には、具体的にどのようなものがありますか。
• Ｑ2-4
  医療・介護関係事業者において取り扱う「要配慮個人情報」には、具体的にどのようなものがありますか。
• Ｑ2-5
  平成 27 年改正の施行（平成 29 年５月 30 日）前に取得した個人情報であって、施行後に要配慮個人情報に該当することとなった場合、改めて取得について本人同意を得る必要がありますか。
• Ｑ2-6
  平成 27 年改正の施行（平成 29 年５月 30 日）前に取得した個人情報であって、施行後に要配慮個人情報に該当することとなり、当該情報につい て、新たに第三者提供をする場合には本人同意を得る必要がありますか。
• Ｑ2-7
  死亡した個人の情報については、「個人情報」に該当せず、個人情報保護 法の対象にはなりませんが、どのように取り扱うべきですか。
• Ｑ2-8
  取り扱う個人情報の数が少ない小規模の医療・介護関係事業者は、個人情報保護法の対象外ですか。
• Ｑ2-9
  例えば、医療機関で保存している院内処方せんについて、インデックス等を付けずに段ボール箱に入れて保存しており、容易に検索することができない場合、個人データに該当しないと考えていいですか。
• Ｑ2-10
  遺族への開示については「診療情報の提供等に関する指針」に従って開示を行うこととされていますが、薬局の場合も当該指針に従って、遺族へ開示すればよろしいのでしょうか。
• Ｑ2-11
  「匿名化」された情報は、個人情報に該当しますか。
• Ｑ2-12
  「匿名化」された情報と「匿名加工情報」との違いは何でしょうか。
• Ｑ3-1
  本人の同意を得る場合には、文書で同意を得る必要がありますか。
• Ｑ3-2
  ガイダンスｐ10で、症例を学会で発表したりする場合、「症例や事例により十分な匿名化が困難な場合」には本人の同意が必要とされています が、どのような場合のことでしょうか。
• Ｑ4-1
  患者・利用者の個人情報を研究に利用する場合、匿名化する場合であっても、本人の同意が必要ですか。
• Ｑ4-2
  個人情報保護法では、学術研究を目的とする機関やそこに属する者等が学術研究の用に供する目的で個人情報を取り扱う場合は、個人情報取扱事業者の義務等が課せられないとされていますが、大学病院（又は大学病院の医師）が取得した個人情報については、本人の同意を得ずに研究に利用して良いのでしょうか。
• Ｑ4-3
  患者の紹介元の医師から、研究のみの目的で利用するため、紹介患者の診療情報等を提供してほしいとの依頼があった場合は、どのように対応すればよいでしょうか。
• Ｑ5-1
  個人情報に関する相談体制はどのようにすべきでしょうか。
• Ｑ5-2
  相談体制を整備するにあたり、具体的な留意点としてはどのような点が挙げられますか。
• Ｑ5-3
  既存の医療安全に関する相談窓口が、個人情報に関する相談窓口を兼ねることは認められますか。
• Ｑ5-4
  現在の職員体制等では、全診療時間帯で相談窓口を開設することが困難です。特定の曜日、時間帯のみ開設することで良いですか。また、独立した窓口を設置する必要がありますか。
• Ｑ5-5
  小規模な医療・介護関係事業者でも個人情報に関する相談窓口を設置する必要がありますか。認定個人情報保護団体等が開設する相談窓口を案内することで代用できませんか。
• Ｑ5-6
  相談窓口の業務を担当する職員への教育等はどのようにすれば良いでしょうか。
• Ｑ5-7
  ガイダンスｐ３で「個人情報の利用目的の説明や窓口機能等の整備、開示の請求を受け付ける方法を定める場合等に当たっては、障害のある患者・利用者等にも配慮する必要がある。」とされていますが、どのようなこと をすればよいのですか。
• Ｑ6-1
  医療・介護関係事業者が個人情報取扱事業者としての義務規定に違反した場合はどのような罰則があるのでしょうか。
• Ｑ6-2
  仮に個人データの漏えいが発生した場合、従業者も個人情報保護法に基づき罰せられるのでしょうか。
• Ｑ6-3
  個人情報保護法が施行されることにより、紙媒体の診療録が使用できなくなったり、診療録の記載方法が定められたり（日本語での記載が義務づけ られる等）することはありますか。
• Ｑ6-4
  個人情報保護法に基づき、医療・介護関係事業者に対して指導監督等を行うのは、どこの行政機関となるのでしょうか。

【各論】

• Ｑ1-1
  Ｑ１－１ 実習のために看護師養成所等の学生を受け入れる場合、実習を行うに当たり、患者の同意は必要でしょうか。
• Ｑ2-1
  別表２の「患者への医療の提供に必要な利用目的」や「介護サービスの利用者への介護の提供に必要な利用目的」は、個人情報保護法第１８条第４ 項第４号の「取得の状況からみて利用目的が明らかであると認められる場合」に該当すると考えられるので、このような利用目的は本人に通知又は公表しなくてもいいのではないでしょうか。
• Ｑ2-2
  利用目的の公表に当たっては、診療録、看護記録、ケアプラン等の書類の種類ごとに利用目的を特定して公表しなければならないのでしょうか。
• Ｑ2-3
  特定した利用目的は、院内掲示等により公表することで十分でしょうか。
• Ｑ2-4
  患者から、院内掲示した利用目的のうち、一部の利用目的には同意できないという申出がありました。これを理由として診療しない場合、医師法第１９条の応招義務違反となるのでしょうか。
• Ｑ2-5
  本人から病歴等の要配慮個人情報を聞き取る場合、別途、その取得について本人の同意をとらなければならないのでしょうか。
• Ｑ2-6
  意識不明の患者が搬送された場合、付き添っていた家族から本人の病歴等を聞き取ることはできますか。
• Ｑ2-7
  患者の診療記録や調剤記録等を他の医療機関等から取得する場合、改めて本人から同意を得る必要がありますか。
• Ｑ2-8
  患者の診療記録等を他の医療機関等へ提供する場合、改めて本人から同意を得る必要がありますか。
• Ｑ3-1
  適切な安全管理措置を行うためには、個人データに該当する文書等は鍵のかかる場所へ保管しなければならないのでしょうか。
• Ｑ3-2
  個人情報をコンピュータに入力するに当たり、入力者の記録を保存しておく必要はあるでしょうか。
• Ｑ3-3
  ガイダンスｐ２９に記載されている、「医療情報システムの安全管理に関するガイドライン」に基づき安全管理措置を行う際の留意点はあるでしょうか。
• Ｑ3-4
  個人データが取り扱われる業務を委託する場合、委託先の事業者名や委託先の責任者の氏名等を公表すべきですか。
• Ｑ3-5
  現行の業者との委託契約には、個人情報の取扱いに関する項目が含まれていません。個人情報保護法の全面施行に当たり、現契約を解消して、新しい契約を締結し直す必要がありますか。
• Ｑ3-6
  清掃業務等、個人データを直接取り扱わない業務を委託している場合は、委託契約書に個人情報の取扱いに関する事項を記載する必要はないと考えてよいですか。
• Ｑ3-7
  医療・介護関係事業者において個人データが漏えいしてしまった場合の対応はどのようにすればよいでしょうか。
• Ｑ3-8
  委託先において個人データが漏えいしてしまった場合の対応はどのようにすればよいでしょうか。
• Ｑ3-9
  薬局において、処方せんの記載内容について疑義照会を行うために、処方せんを医療機関にファックスで送信しようとしたところ、誤って別の医療機関に送付してしまいましたが、どのように対処すればよろしいでしょうか。個人情報保護法が全面施行されることにより、処方せんをファックスで送信することはできなくなるのでしょうか。
• Ｑ3-10
  外来患者を氏名で呼び出したり、病室における入院患者の氏名を掲示したりする場合の留意点は何ですか。ナースステーション内における入院患者の氏名の掲示についてはどうですか。
• Ｑ3-11
  入院患者・入所者の知り合いと名乗る人が面会に見えたときに病室を教えることは問題となりませんか。
• Ｑ4-1
  患者・利用者の病状等をその家族等に説明する際に留意すべきことは何ですか。
• Ｑ4-2
  傷病の種類によっては、本人に病名等を告知する前に家族に相談する場合が考えられますが、どのような配慮が必要ですか。
• Ｑ4-3
  未成年の患者から、妊娠、薬物の乱用、自殺未遂等に関して親に秘密にしてほしい旨の依頼があった場合、医師は親に説明してはいけないのです か。逆に、親から問われた場合に、未成年の患者との信頼関係を重視して、親に情報を告げないことは可能ですか。
• Ｑ4-4
  弁護士会から過去に診療を行った患者に関する照会があった場合、本人の同意を得ずに回答してよいでしょうか。
• Ｑ4-5
  薬剤師が、調剤した薬剤に関して患者の家族に情報提供を行う場合、本人の同意を得なくても情報提供できるのでしょうか。
• Ｑ4-6
  民間保険会社等から医療機関に対して、患者の治療結果等に関する照会があった際、民間保険会社等が患者本人から取得した「同意書」を提示した場合は、回答に当たり、本人の同意が得られていると判断して良いのでしょうか。
• Ｑ4-7
  医療機関と薬局の間で患者の薬剤服用歴などの情報交換を行う場合も、ガイダンスに記載された条件を満たせば、患者の黙示による同意が得られていると考えてよろしいのでしょうか。
• Ｑ4-8
  ガイダンスｐ３６の「当該事業者の職員を対象とした研修での利用」の場合、既に利用目的として研修に使用することが院内掲示等により公表していれば、あらためて本人の同意を得る必要はないと考えて良いのでしょう か。
• Ｑ4-9
  医療機関の職員を対象とした症例研究会（職員の知識や技能の向上を目的とするもの）を実施する際、当該医療機関以外の施設の職員から参加希望がありました。既に、利用目的として「院内で行う症例研究会への利用」を公表していますが、この場合は、症例研究会で利用する症例の患者から第三者提供の同意を得る必要があるのでしょうか。
• Ｑ4-10
  病診連携の一環として、紹介を受けた患者の診療情報、検査結果、所見等を紹介元医療機関に対して情報提供を行っていますが、実施に当たっての留意点は何ですか。
• Ｑ4-11
  医薬品の副作用発生時における行政機関への報告や、製薬企業が実施する医薬品の製造販売後調査に協力する際の製薬企業への情報提供に当たっては、患者の情報をどの程度記載できるのでしょうか。
• Ｑ4-12
  学校医として生徒の健康診断を行った場合、診断結果を学校に提出することは第三者提供に該当するのでしょうか。
• Ｑ4-13
  がん検診の２次検診機関として患者の精密検査を行った場合、１次検診機関から、精密検査結果の提供を求められることがありますが、患者の精密検査結果を提供する場合には、患者の同意を得る必要があるのでしょうか。
• Ｑ4-14
  介護保険施設の入所者が、他の介護保険施設に移動する際に、移動先の施設の求めに応じて入所者の個人情報の提供を行う場合は、本人の同意は必要なのでしょうか。
• Ｑ4-15
  ホームページや機関誌に、行事などにおける利用者の写真を掲載する場合、本人の同意を得る必要はありますか。また、介護保険施設内に写真を展示する場合はどうでしょうか。
• Ｑ4-16
  高齢者虐待事例の解決に当たって、担当ケアマネジャーなどの関係機関に高齢者の個人情報を提供する場合、高齢者本人の同意を得ることが難しいケースがありますが、高齢者本人の同意が得られないと情報提供はできないのでしょうか。
• Ｑ4-17
  大規模災害や事故等で、意識不明で身元の確認できない多数の患者が複数の医療機関に分散して搬送されている場合に、患者の家族又は関係者と称する人から、患者が搬送されているかという電話での問合せがありまし た。相手が家族等であるか十分に確認できないのですが、患者の存否情報を回答してもよいでしょうか。
• Ｑ4-18
  上記の状況で、患者の家族等である可能性のある電話の相手から、患者の容態等についての問合せがあれば、どの範囲まで回答すべきでしょうか。
• Ｑ4-19
  上記の方法により連絡のついた家族等から、意識不明である患者の既往歴、治療歴等を聴取することは問題ありませんか。
• Ｑ4-20
  Ｑ４－１７のような状況において、報道機関や地方公共団体等から身元不明の患者に関する問合せがあった場合、当該患者の情報を提供することはできますか。
• Ｑ4-21
  病院に勤務している医師が退職し診療所を開業することになり、当該医師から、開業の挨拶をしたいので自分が診察を行っている患者の氏名や住所を教えてほしいと言われました。当該医師に患者の氏名等を提供して良いでしょうか。
• Ｑ4-22
  市役所から、介護保険の手続きのため、主治医の診断書の提出を求められました。患者の同意を得ずに、診断書を提出して良いでしょうか。
• Ｑ4-23
  学校で怪我をした生徒に担任の教師が付き添って来ました。ガイダンス３ ２ページには、「学校からの照会には回答してはならない」とあります が、保護者の同意書等がなければ担任の教師に怪我の状態などを説明してはいけないのでしょうか。
• Ｑ4-24
  警察や検察等捜査機関からの照会や事情聴取に関して、「第三者提供の制限の例外」に該当する場合には、どのようなものがあるでしょうか。
• Ｑ4-25
  警察や検察等捜査機関から患者の状況について照会や事情聴取があった場合、患者本人の同意を得ずに回答できるのでしょうか。個人情報保護法の施行を機に警察等からの照会等に対する取扱いを変えた方がいいですか。
• Ｑ4-26
  警察等から、警察等が取り扱う死体の死因又は身元の調査等に関する法律第４条第３項の規定に基づき、死者の生前の診療情報等の提供の依頼があった場合、遺族の同意を得ずに回答できるのでしょうか。
• Ｑ4-27
  医療機関の廃止等の理由により、別の医療機関が業務を承継することになりましたが、診療録等の個人データを提供する際に、患者の同意が必要なのでしょうか。
• Ｑ4-28
  医療法第６条の６第１項の規定に基づく麻酔科標榜許可に係る申請を行おうとしている医師から、過去に実施した麻酔記録や手術記録の書類の提供を求められましたが、対象となった患者の同意を得た上で提供する必要があるのでしょうか。
• Ｑ4-29
  生活保護法に基づき行われる、指定医療機関による都道府県・市町村への 被保護者に係る病状調査とはどのようなものですか。また、本人の同意を得なくても、回答することは可能でしょうか。
• Ｑ4-30
  自殺未遂者が救命救急センターに搬送された際、自殺未遂者の再度の自殺を防ぐ等のため、救命救急センターから関係機関等へ自殺未遂者の個人情報を提供して良いでしょうか。
• Ｑ4-31
  診療情報等の個人データの保存を外国の事業者に委託することはできますか。
• Ｑ4-32
  医療・介護関係事業者において、確認・記録義務が適用されないのは、どのような場合でしょうか。
• Ｑ5-1
  診療録には、患者について客観的な検査をしたデータもあれば、それに対して医師が行った判断や評価も書かれています。つまり、診療録は、当該診療録を作成した医師の側からみると、自分が行った判断や評価を書いているので、医師の個人情報とも言うことができるのではないですか。
• Ｑ5-2
  患者・利用者の代理人から、患者・利用者本人の委任状を提出の上、保有個人データの開示の請求があった場合は、本人の意思が明らかであると見なしてよいでしょうか。
• Ｑ5-3
  保有個人データの開示に当たっては、どのような方法で開示すべきでしょうか。
• Ｑ6-1
  保有個人データの開示にあたり、費用として請求出来る妥当な金額はいくらでしょうか。

「健康保険組合等における個人情報の適切 な取扱いのためのガイダンス」 を補完する事例集（Ｑ＆Ａ）

【総論（「用語の定義」等関係）】

• 問001
  健保組合等の保有する個人情報には、例えばどのようなものがありますか。
• 問002
  レセプトから個人を識別できる情報を除いたものは、法の規制の対象から外れるのでしょうか。
• 問003
  レセプトに記載されている情報のうち、具体的にはどの情報が個人を識別できる情報なのでしょうか。
• 問004
  レセプト等は医師の個人情報にも該当しますか。
• 問005
  死者に関する情報は、どのように取り扱う必要がありますか。
• 問006
  レセプトを電子媒体で保存した場合と紙で保存した場合とで、個人情報の取扱いに異なる点があるのでしょうか。
• 問007
  「個人情報」、「個人情報データベース等」、「個人データ」、「保有個人データ」の違いは何でしょうか。
• 問008
  「匿名化」された情報は、個人情報に該当しますか。
• 問009
  「個人識別符号」とはどのようなものを指しますか。
• 問010
  「匿名加工情報」とはどのようなものを指しますか。
• 問011
  「要配慮個人情報」とはどのようなものを指しますか。また「要配慮個人情報」にかかる留意点は何でしょうか。
• 問012
  既に健保組合の被保険者等ではない者の個人情報も法の対象ですか。

• 【利用目的の特定、公表等 第１５条～第１８条関係】

• 問101
  利用目的を変更する場合において、法第 15 条第２項に規定する「変更前の利用目的と関連性を有すると合理的に認められる範囲」について示してください。
• 問102
  法第 18 条第１項では、個人情報の利用目的を公表しなければならないとされていますが、利用目的を「公表」するとは具体的にはどのような措置をとればよいのでしょうか。
• 問103
  利用目的の特定、公表とは、目的をどれほど詳細に公表すれば足りるのでしょうか。
• 問104
  健保組合が審査支払のためにレセプトの個人情報を利用するのは法律上当然のことですが、これも公表しなければならないのでしょうか。
• 問105
  特定された利用目的の範囲を超える場合には、原則としてあらかじめ本人の同意が必要ですが、緊急性を要する場合にもあらかじめ本人の同意が必要ですか。
• 問106
  市町村等の医療費助成があるレセプトについて、付加給付を行う健保組合では、給付が重複しないように、①事業所の担当者を経由して被保険者に照会、②健保組合から医療機関へ窓口負担の有無を照会、③健保組合から市町村等に医療費助成の有無を照会し、結果的に病歴等の要配慮情報を取得することとなりますが、法に抵触しますか。

• 【データ内容の正確性の確保 第１９条関係】

• 問２０１
  健保組合は個人データの正確かつ最新の内容を確保することとなっていますが、どのような措置をとればよいのでしょうか。また資格喪失者の情報についても同様でしょうか。

• 【第三者提供 第２３、第２５、２６条関係】

• 問３０１
  個人データを第三者に提供する際に本人の同意をとる必要はありますか。
• 問３０２
  本人の同意を求めるケースでは、すべて書面でもらう必要がありますか。
• 問３０３
  あらかじめ本人の同意を得ないで、個人データを第三者に提供することができる場合とは、具体的にどのような場合でしょうか。
• 問３０４
  健保組合が審査支払機関にレセプトの再審査請求をする場合も、第三者提供に当たりあらかじめ本人の同意が必要となりますか。
• 問３０５
  大学の研究者から研究のためにレセプトの提供を求められました。レセプト情報を提供してもよいのでしょうか。
• 問３０６
  被保険者が生命保険に加入する際に所定の検査が必要となりますが、事前に健診を受けていれば、その検査結果を代用できることになっている場合があります。この場合、生命保険会社から被保険者の検査結果の提供を求められた場合、検査結果を提供してよいのでしょうか。
• 問３０７
  非常勤職員が組合の会議室等でレセプト点検を行う場合も第三者提供に該当しますか。
• 問３０８
  レセプトの点検業務を第三者に委託する場合にも本人の同意が必要ですか。
• 問３０９
  健保組合が統計情報を作成するために、レセプトの画像取込（スキャン）を行った上、統計作成事業を請け負っている会社に委託する場合、本人の同意を得ずに当該会社に当該レセプトデータを提供してよいのでしょうか。
• 問３１０
  健康保険被保険者証の検認又は更新の際には、事業所に一括して送付し、事業所から各被保険者へ配布しています。このようなやり方は第三者提供に当たり、本人の同意が必要となりますか。
• 問３１１
  給付に関する申請などが事業主経由で行われることありますが、気を付けることはありますか。
• 問３１２
  健保連の共同事業として、健保連から委託を受けた指導員が、健保組合のレセプトをチェックし、レセプト審査の方法を助言することがありますが、法に抵触しますか。
• 問３１３
  被扶養者本人に対する健康保険被保険者証の更新の際には、被扶養者の同意を得ずに被保険者本人に交付することはできますか。
• 問３１４
  健保組合から被保険者に対し医薬品を配布することがありますが、医薬品のリストと送付先名簿を業者に渡し、業者から被保険者に対し郵送することは可能でしょうか。
• 問３１５
  市区町村の国民健康保険担当から、資格喪失年月日、認定日などの照会がなされた場合の対応はどうしたらよいのでしょうか。
• 問３１６
  保険医療機関や保険薬局から、受給資格の有無の照会がなされた場合の対応はどうしたらよいのでしょうか。
• 問３１７
  法令上質問をすることができる旨が規定されていますが、回答義務がない場合又は回答しなくても刑罰がない場合にも、法第 23 条第１項第１号の「法令に基づく場合」に該当するのでしょうか。
• 問３１８
  警察署や労働基準監督署から、資格喪失年月日、療養の給付などの照会がなされた場合の対応はどうしたらよいのでしょうか。
• 問３１９
  刑事訴訟法第 197 条第２項の規定に基づき、警察から健保組合に、「貴組合に○○という被保険者はいるか」「貴組合に加入しているＡ事業所の事業主は誰か」との照会があった場合、回答してよいのでしょうか。
• 問３２０
  健保組合の保健事業として、健保組合の医師や保健師が被保険者の健康相談を行っていますが、その内容を健保組合の事務局に報告させる場合に本人の同意は必要となりますか。
• 問３２１
  受診者が被扶養者の場合に、健保組合から被保険者に対し受診内容等の照会をすることがありますが、受診者（被扶養者）に直接確認しなければならないのでしょうか。
• 問３２２
  当健保組合において、資格喪失後の出産育児一時金の受給要件を満たしている被保険者が、配偶者の加入する健康保険の他の保険者に家族出産育児一時金を請求した場合に、その健康保険の他の保険者より電話連絡で当健保組合に出産育児一時金の支給の有無の照会がありました。どのように対応したらよいのでしょうか。
• 問３２３
  労働基準監督署より労災判定に関し、文書により、その関連するレセプト内容（医療機関名、傷病名、診療点数等、診療日数・入院日数）の照会（レセプト要求なし）があった場合、どのように対応したらよいのでしょうか。 例えば、管轄の健保組合に対して、労働基準監督署から健康保険の被保険者の傷病名や受診医療機関名、入院期間、医療費などの照会がなされました。何らかの傷病に際し、健康保険からの保険給付がなされた後、労災であることが判明し、労働基準監督署に申請がなされました。この場合、被保険者の傷病名などは個人情報にあたり、保険者たる健保組合としては労働基準監督署へ情報 提供することは許されるのでしょうか。
• 問３２４
  市町村より、健保組合に対し、乳幼児医療助成（現物給付）にかかるレセプトの内容（受診医療機関ならびに請求点数）の照会があった場合、どのように対応したらよいのでしょうか。
• 問３２５
  健保組合の保健指導で得た個人情報を提供するよう健保組合の上司から指示があったが、その個人情報を提供してよいのでしょうか。
• 問３２６
  以下の場合について、事業者と健保組合において、健診結果について共有することができるのでしょうか。 ① 事業者が、労働安全衛生法（昭和 47 年法律第 57 号）に基づいて行う健診及び同法の法定項目を超える健診を実施する場合 ② 事業者が、労働安全衛生法に基づいて行う健診を実施し、健保組合が、同法の法定項目を超える健診を実施する場合 ③ 健保組合が、労働安全衛生法に基づいて行う健診及び同法の法定項目を超える健診を実施する場合 ④ 事業者と健保組合が共同（健保組合が費用を一部負担（共同出資）している場合を含む。⑤において同じ。）で、労働安全衛生法に基づいて行う健診及び同法の法定項目を超える健診を実施する場合 ⑤ 事業者が、労働安全衛生法に基づいて行う健診を実施し、事業者と健保組合が共同で、同法の法定項目を超える健診を実施す る場合
• 問３２７
  母体事業所の健康管理部門に特定保健指導を委託する場合において、健保組合が特定健診の結果を母体事業所へ提供することについて本人同意は必要となりますか。
• 問３２８
  事業所における健康管理事業推進に寄与する為に、健保組合が保有する健診結果とレセプトデータを突合分析した結果を、事業所の健康管理部門に提供するにあたり、本人同意は必要となりますか。
• 問３２９
  当健保組合では、人間ドック未受診者が法定健診も未受診とならないよう、人間ドック未受診者のリストを事業所に提供しています。この場合、本人同意は必要となりますか。
• 問３３０
  当健保組合では事業所とのコラボヘルスを推進するにあたり、互いが保有する健診結果等のデータを共有し、互いの事後指導に活用したいと考えていますが、法第 23 条第５項第３号「共同利用」に該当する場合、本人同意は要しないという理解でよいのでしょうか。
• 問３３１
  前設問における共同利用により健診結果を事業所と共有している場合、健診結果が要治療にもかかわらず、健保組合のレセプトデータから未受診であることが分かった者について、その旨（単に受診していない旨）を事業所に情報提供し、事業所から受診勧奨することについて、本人同意は必要となるのでしょうか。
• 問３３２
  当健保組合の理事長は事業所の人事執行役員です。この場合、理事長が事業所の人事業務に健保組合が保有する被保険者の病歴等情報を活用することに問題はありますか。
• 問３３３
  母体企業が労働安全衛生法に基づく健診を行う際に、安全衛生法の法定項目を超える健診を実施し、健保組合が当該超過項目の費用を負担しています。検診結果は、母体企業と健保組合が共有する。このようなケースは認められるのでしょうか。
• 問３３４
  健保組合が行う特定保健指導などを産業医に依頼する場合には、どのようなことに気を付ける必要がありますか。
• 問３３５
  当健保組合では、専門業者に委託のうえ、特定保健指導の実施をしています。業者には特定健診によりリスク保有者を抽出し、該当者の健診結果データを提供しています。この場合、受診者本人の同意は必要ですか。
• 問３３６
  母体企業の産業医に相談業務を委託することがありますが、その結果を健保組合に報告してもらうことに支障はありますか。また、母体企業の産業医が健保組合の顧問医になっている場合はどうでしょうか。
• 問３３７
  事業主が実施している健康診断の結果をもとに、健保組合の保健師が受診者に対し、健康相談を行うことは可能でしょうか。また、事業主から誰に対し健康相談を行ったのか、その健康相談の内容はどのようなものかと聞かれた場合にはどうすればよいのでしょうか。
• 問３３８
  人間ドック等の受診費用を健保組合が助成し、その結果を健診業者から健保組合にも直接送付してもらっていますが、事前に本人の同意をとる必要がありますか。
• 問３３９
  当健保組合では、特定の健診機関と個別契約を締結し、人間ドック事業を実施しています。同事業内容については、組合員にも周知済みですが、契約健診機関から健診結果を受領することについて、受診者本人の同意は必要でしょうか。
• 問３４０
  健診で結核などの感染のおそれが高い疾病患者が見つかったため、事業所に該当情報を伝える必要がある場合は、本人の同意を得なければならないのでしょうか。
• 問３４１
  いくつかの健保組合が共同して、レセプトの分析を行うことを予定しています。この場合に気を付けることは何がありますか。
• 問３４２
  法 23 条第５項第３号では、特定の者で共同利用する場合には、利用する者の範囲、責任者等を予め、本人の知り得る状態とすれば第三者提供に当たらず、本人の同意は不要とされていますが、「本人が容易に知り得る状態」とはどのような状態をいうのでしょうか。
• 問３４３
  レセプトから自動車事故であることが疑われる場合であっても、健保組合は被保険者の電話番号を把握しておらず、直接連絡を取ることが難しいことがあります。このような場合に事業所の職員に傷病原因の照会をした場合には、法に抵触しますか。
• 問３４４
  第三者行為において、健保組合が損害保険会社に請求する医療費を示すために、レセプトの写しを損害保険会社へ送付していますが、法に抵触しますか。
• 問３４５
  現在、医療費通知は被保険者とその家族をまとめて通知しており、その旨をホームページ等で公表し、組合員においても周知が行き渡っている状況ですが、平成 29 年５月の改正法施行後もこの取扱いでよいのでしょうか。また社内便を用いて本人に送付しているがよいのでしょうか。
• 問３４６
  当健保組合では、高額療養費及び付加給付（一部負担還元金等） の支給について、規程で定めることにより、本人の申請に基づくことなく「自動払い」により、事業主を経由し支給する（給与口座への振込み）こととしています。これは本人の同意を得ずに、個人データを第三者である事業主に提供していることになり、あらかじめ本人の同意が必要となりますか。
• 問３４７
  当健保組合では、療養給付記録欄がある紙の被保険者証を発行していますが、これは、被保険者が受診する場合は被扶養者に関する個人情報を、被扶養者が受診する場合は被保険者に関する個人情報を、それぞれ情報主体と異なる者（受診者）が第三者（医療機関）に提供する形になっていますが、法上、問題がありますか。
• 問３４８
  健保組合がレセプトを売買したり、健保組合からレセプトによる医療費分析などを受託している業者がレセプトを売買することは問題ないでしょうか。
• 問３４９
  レセプト等を用いて、医療費分析や保健指導等をするに当たって、医師の同意を要するのでしょうか。また、それらの業務を委託する場合はどうでしょうか。
• 問３５０
  健保組合がレセプトの個人情報に係る部分をマスキングした上で、当該レセプトのデータ処理業務を海外の会社に委託することは可能でしょうか。
• 問３５１
  個人情報を第三者提供する際にその記録を作成する必要はありますか。
• 問３５２
  法第 25 条にかかる第三者提供時の記録が必要な場合の具体例は何でしょうか。
• 問３５３
  当健保組合では、効果的な保健事業展開を目的とし、レセプトデータ及び特定健診・保健指導の実施データの分析を専門業者に委託していますが、委託の際の留意点は何でしょうか。

• 【開示請求手続 第２８条、第３２条、第３３条関係】

• 問４０１
  開示請求の手続きはどのようなものでしょうか。
• 問４０２
  開示請求の際に、本人であることの確認はどのように確認すればよいのでしょうか。
• 問４０３
  開示請求の手数料はどの程度に設定すればよいのでしょうか。
• 問４０４
  情報開示手続を定めるに当たっては、請求者に「過重な負担を課するものとならないよう配慮しなければならない」こととなっているが、具体的にどのようなことでしょうか。
• 問４０５
  震災等でレセプトが散乱し、検索することが困難な状態の場合は、その事情を理由に開示しなくてよいのでしょうか。
• 問４０６
  「保有個人データの全部又は一部を開示しないことができる」不開示の要件として、「個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合」がありますが、健保組合においてどのようなことが考えられるのでしょうか。
• 問４０７
  被保険者から医師の個人情報にも該当するレセプト等の開示請求があった場合、被保険者に対する個人情報の提供に当たって、医師の同意を要するのでしょうか。また、医師の個人情報には該当しない場合はどうでしょうか。
• 問４０８
  レセプトの遺族への開示については、今回の法改正においても取扱いは変わらないのでしょうか。
• 問４０９
  柔道整復等療養費について、「療養費支給申請書」には、施術した柔道整復師が「負傷名」を記載し、住所、氏名、電話番号も記載されています。これも患者の個人情報でもあり、柔道整復師の個人情報ということになるのでしょうか。仮に、そうなると、患者から開示請求があった場合は、レセプト開示と同じ取扱いとなるのでしょうか。
• 問４１０
  一般的な「療養費支給申請書」や看護、移送に関わるものも、「傷病名」、「傷病の経過」、「治療等の内容」が記載されています。これも医師の個人情報に該当し、レセプトと同様の開示扱いとなるのでしょうか。また、「傷病手当金請求書」や「出産手当金請求書」も「傷病名」、｢発病等の原因｣、「傷病の主症状経過等」や「医師または助産婦の意見」の記載があり、同様の取扱いとなるのでしょうか。

• 【苦情の処理 第３５条、第５２条関係】

• 問５０１
  健保組合で保有する個人情報の取扱いに係る苦情処理はどこが行うのでしょうか。
• 問５０２
  苦情処理のための必要な体制の整備とはどのようなものでしょうか（法第 35 条第２項）。認定個人情報保護団体があれば、各健保組合に苦情処理窓口を設けなくとも良いのではないでしょうか。
• 問５０３
  認定個人情報保護団体に求められるものは何でしょうか。

• 【個人情報保護委員会 第４２条関係】

• 問６０１
  個人情報取扱事業者等が法に違反した場合、どのような措置が採られるのでしょうか。
• 問６０２
  個人情報保護委員会への報告はどのようなことが想定されているのでしょうか。（法第 40 条）

• 【１４年１２月保険課長通知解釈】

• 問７０１
  レセプトの点検事務を受託した業者がさらに再委託してもよいのでしょうか。
• 問７０２
  個人情報の処理に関する業務を外部委託する場合、健保組合との直接の契約関係を伴わない再委託は禁止することとされていますが、次のような場合はどうでしょうか。 高齢者健康相談訪問事業を外部委託する場合健保組合は高齢者健康相談訪問事業をＡに委託する。Ａは訪問のうち何件かをＢ及びＣに委託する。報告書などは、Ａから健保組合に提出されてくる。
• 問７０３
  個人情報に関する処理の再委託が禁止されていますが、例えば医療費通知の作成やレセプトの点検の委託を受けた業者が、そのレセプトを運ぶ際に運送会社を利用することも認められないのでしょうか。
• 問７０４
  生活習慣病健診を医療機関に委託しているが、当該医療機関が血液検査をさらに外部に委託しています。このような取扱いも禁止されるのでしょうか。時に調査等を行うこと（遵守基準）とされていますが、年何回くらい行えばよいのでしょうか。
• 問７０５
  外部業者に業務処理委託を行っている場合には、定期的又は随時に調査等を行うこと（遵守基準）とされていますが、年何回くらい行えばよいのでしょうか。
• 問７０６
  個人情報の処理を外部の業者に委託する場合には、理事会に諮ることとされています（遵守基準）が、理事長の専決とすることができるのでしょうか、また、契約期間の更新や委託金額の変更の場合にも理事会に諮る必要があるのでしょうか。
• 問７０７
  健保組合が業務を外部委託する際の判断として、次の場合は「個人情報に関する処理」に該当するのでしょうか。

  • ① システムの保守業者が個人データの入ったハードディスクをハードディスクの製造メーカーに修理を委託する場合。
  • ② ソフトウエアの保守（ソフトのパッチやバージョンアップ等の作業）で、サーバーのデータベースに個人情報は入っているが、個人情報を見ることがない保守作業を委託する場合。

• 【その他】

• 問８０１
  個人情報取扱事業者として、団体が付与する認証制度を取得する必要があるのでしょうか。
• 問８０２
  業務処理システムにアクセスした際の「ログファイル」も「個人情報」と思われますがどのように管理すればよいのでしょうか。具体的な基準を示してください。
• 問８０３
  健保組合によるレセプトの直接審査を行う場合に、気をつけることは何でしょうか。
• 問８０４
  健保組合において個人データが漏えいしてしまった場合の対応はどのようにすればよいでしょうか。
• 問８０５
  委託先において個人データが漏えいしてしまった場合の対応はどのようにすればよいでしょうか。