健康保険組合等における個人情報の適切な取扱いのためのガイダンス

平成29年4月14日
(令和4年3月一部改正)
個人情報保護委員会
厚生労働省

pdf版はこちら (PDF : 727KB)リンク先PDFファイルを別ウィンドウで開きます

目次

Ⅰ 本ガイダンスの趣旨、目的、基本的考え方

Ⅱ 用語の定義

Ⅲ 健保組合等の義務等

Ⅳ ガイダンスの見直し等

Ⅰ 本ガイダンスの趣旨、目的、基本的考え方

  • 本ガイダンスの趣旨

    本ガイダンスは、「個人情報の保護に関する法律」(平成15年法律第57号。以下「法」という。)及び「行政手続における特定の個人を識別するための番号の利用等に関する法律」(平成25年法律第27号。以下「番号法」という。)を踏まえ、「個人情報の保護に関する法律についてのガイドライン(通則編)」(平成28年個人情報保護委員会告示第6号。以下「通則ガイドライン」という。)を基礎とし、法第6条及び第9条の規定に基づき、健康保険組合及び健康保険組合連合会(以下「健保組合等」という。)が行う個人情報の適正な取扱いの確保に関する活動を支援するための具体的な留意点・事例等を示すものである。

    なお、本ガイダンスは健保組合等における実例に照らした内容であるため、本ガイダンスに記載のない事項及び関係条文については通則ガイドライン、「個人情報の保護に関する法律についてのガイドライン(外国にある第三者への提供編)」(平成28年個人情報保護委員会告示第7号)、「個人情報の保護に関する法律についてのガイドライン(第三者提供時の確認・記録義務編)」(平成28年個人情報保護委員会告示第8号)、「個人情報の保護に関する法律についてのガイドライン(仮名加工情報・匿名加工情報編)」(平成28年個人情報保護委員会告示第9号)及び「個人情報の保護に関する法律についてのガイドライン(認定個人情報保護団体編)」(令和3年個人情報保護委員会告示第7号)をそれぞれ参照されたい。

  • 本ガイダンスの構成及び基本的考え方

    個人情報の取扱いについては、法第3条において、「個人情報は、個人の人格尊重の理念の下に慎重に取り扱われるべきものである」とされていることを踏まえ、個人情報を取り扱う全ての者は、その目的や様態を問わず、個人情報の性格と重要性を十分認識し、その適正な取扱いを図らなければならない。

    医療分野は、個人情報の性質や利用方法等から、法第6条の規定に基づく特に適正な取扱いの厳格な実施を確保する必要がある分野の一つであることから、保険診療に係る診療報酬明細書及び調剤報酬明細書(以下「レセプト」という。)等を取り扱う健保組合等においては、積極的な取組が求められる。

    このことを踏まえ、本ガイダンスでは、法の趣旨を踏まえ健保組合等における個人情報の適正な取扱いが確保されるよう、遵守すべき事項及び遵守することが望ましい事項をできる限り具体的に示しており、健保組合等においては、法令、「個人情報の保護に関する基本方針」(平成16年4月2日閣議決定。以下「基本方針」という。)及び本ガイダンスの趣旨を踏まえ、個人情報の適正な取扱いに取り組む必要がある。

    具体的には、健保組合等は、本ガイダンスの【法の規定により遵守すべき事項等】のうち、「しなければならない」等と記載された事項については、法の規定により厳格に遵守することが求められる。また、【その他の事項】の「努めなければならない」「望ましい」等と記載された事項については、法に基づく義務等ではないが、達成できるよう努めることが求められる。

  • 本ガイダンスの対象となる「健保組合等」の範囲

    本ガイダンスが対象としている事業者の範囲は、健康保険組合及び健康保険組合連合会である。

    ただし、医療保険分野における個人情報保護の精神は同一であることから、本ガイダンスの対象外となる医療保険者も本ガイダンスに十分配慮することが望ましい。

    なお、レセプトのパンチ(入力)・点検業務、健康保険被保険者証の作成、人間ドック等の健診、保健指導など、健保組合等から委託を受けた業務を遂行する事業者においては、本ガイダンスのⅢ5.に沿って適切な安全管理措置を講ずることが求められるとともに、当該委託を行う健保組合等は、業務の委託に当たり、本ガイダンスの趣旨を理解し、本ガイダンスに沿った対応を行う事業者を委託先として選定するとともに委託先事業者における個人情報の取扱いについて定期的に確認を行い、適切な運用が行われていることを確認する等の措置を講ずる必要がある。

    なお、健保組合等は、個人情報を提供してサービスを受ける被保険者等から、適切かつ円滑な保険給付及び保健事業(以下「保険給付等」という。)の実施が期待されており、その実施のために最善の努力を行う必要があることに鑑み、本ガイダンスの遵守を求めるものである。

  • 本ガイダンスの対象となる「個人情報」の範囲

    法令上「個人情報」とは、生存する個人に関する情報であり、個人情報取扱事業者の義務等の対象となるのは、生存する個人に関する情報に限定されている。

    なお、当該被保険者及び被扶養者(以下「被保険者等」という。)が死亡した後においても、健保組合等が当該被保険者等の情報を保存している場合には、漏えい、滅失又は毀損等の防止のため、個人情報と同等の安全管理措置を講ずるものとする。

  • 個人情報保護委員会の権限行使との関係等

    本ガイダンス中、健保組合等が【法の規定により遵守すべき事項等】に記載された内容のうち、健保組合等の義務とされている内容を個人情報取扱事業者としての義務を負う健保組合等が遵守しない場合、個人情報保護委員会は、法第143条から第145条までの規定に基づき、「報告徴収」、「立入検査」、「指導」、「助言」、「勧告」及び「命令」を行うことがある。

    また、法第147条第1項の規定に基づき、法第143条第1項の規定による権限が個人情報保護委員会から事業所管大臣に委任された場合には、厚生労働大臣が「報告徴収」及び「立入検査」を行うことができる。

  • 健保組合等が行う措置の透明性の確保と対外的明確化

    法第3条では、個人の人格尊重の理念の下に個人情報を慎重に扱うべきことが指摘されている。

    健保組合等は、個人情報保護に関する考え方や方針に関する宣言(いわゆる、プライバシーポリシー、プライバシーステートメント等)及び個人情報の取扱いに関する明確かつ適正な規則を策定し、それらを対外的に公表することが求められる。また、被保険者等から当該本人の個人情報がどのように取り扱われているか等について知りたいという求めがあった場合は、当該規則に基づき、迅速に情報提供を行う等必要な措置を行うものとする。

    個人情報保護に関する考え方や方針に関する宣言の内容としては、健保組合等が個人の人格尊重の理念の下に個人情報を取り扱うこと並びに、関係法令及び本ガイダンス等を遵守すること等、個人情報の取扱いに関する規則においては、個人情報に係る安全管理措置の概要、本人等からの開示等の手続、第三者提供の取扱い、苦情への対応等について具体的に定めることが考えられる。

    なお、利用目的等を広く公表することについては、以下のような趣旨があることに留意すべきである。

    • ①健保組合等で個人情報が利用される意義について被保険者等の理解を得ること。
    • ②健保組合等において、法を遵守し、個人情報保護のため積極的に取り組んでいる姿勢を対外的に明らかにすること。
  • 責任体制の明確化と被保険者等窓口の設置等

    健保組合等は、個人情報の適正な取扱いを推進し、漏えい等の問題に対処する体制を整備する必要がある。このため、個人情報の取扱いに関し、専門性と指導性を有し、事業者の全体を統括する組織体制・責任体制を構築し、規則の策定や安全管理措置の計画立案等を効果的に実施できる体制を構築するものとする。

    また、被保険者等に対しては、利用開始時に個人情報の利用目的を説明するなど、必要に応じて分かりやすい説明を行う必要があるが、加えて、被保険者等が疑問に感じた内容を、いつでも、気軽に問合せできる窓口機能等を確保することが重要である。さらに、個人情報の取扱いに関し被保険者等からの相談や苦情への対応等を行う窓口機能等を整備するとともに、その窓口がサービスの提供に関する相談機能とも有機的に連携した対応が行える体制とするなど、被保険者等の立場に立った対応を行う必要がある。

    なお、個人情報の利用目的の説明や窓口機能等の整備、開示の請求を受け付ける方法を定める場合等に当たっては、障害のある被保険者等にも配慮する必要がある。

  • 遺族への個人情報の提供の取扱い

    法は、OECD8原則の趣旨を踏まえ、生存する個人の情報を適用対象とし、個人情報の目的外利用や第三者提供に当たっては本人の同意を得ることを原則としており、死者の情報は原則として個人情報とならないことから、法及び本ガイダンスの対象とはならない。しかし、被保険者等が死亡した際に、遺族から診療報酬明細書等の個人情報について照会が行われた場合、健保組合等は、被保険者等本人の生前の意思、名誉等を十分に尊重しつつ、特段の配慮が求められる。このため、別に定める指針(「診療報酬明細書等の被保険者等への開示について」(平成17年3月31日保発第0331009号)の内容)に基づき、遺族に対して診療報酬明細書等の個人情報の提供を行うものとする。

  • 他の法令等との関係

    健保組合等は、個人情報の取扱いにあたり、法、基本方針及び本ガイダンスに示す項目のほか、個人情報保護又は守秘義務に関する他の法令等の規定を遵守しなければならない。

  • 認定個人情報保護団体における取組

    法第47条においては、個人情報取扱事業者等の個人情報等の適正な取扱いの確保を目的とする業務を行う法人等は個人情報保護委員会の認定を受けて認定個人情報保護団体となることができることとされている。認定個人情報保護団体となる関係団体は、傘下の健康保険組合を対象に、個人情報保護に係る普及・啓発を推進するほか、法の趣旨に沿った指針等を自主的なルールとして定めたり、個人情報の取扱いに関する被保険者等のための相談窓口を開設したりするなど、積極的な取組を行うことが期待されている。

    詳細については、「個人情報の保護に関する法律についてのガイドライン(認定個人情報保護団体編)」(令和3年個人情報保護委員会告示第7号)を参照されたい。

Ⅱ 用語の定義

1.個人情報(法第2条第1項)

(定義)
法第二条

この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。

  • 一 当該情報に含まれる氏名、生年月日その他の記述等(文書、図画若しくは電磁的記録(電磁的方式(電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。次項第二号において同じ。)で作られる記録をいう。以下同じ。)に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項(個人識別符号を除く。)をいう。以下同じ。)により特定の個人を識別することができるもの(他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。)
  • 二 個人識別符号が含まれるもの

「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日、その他の記述等により特定の個人を識別することができるもの(他の情報と容易に照合することができ、それにより特定の個人を識別することができるものを含む。)、又は個人識別符号が含まれるものをいう。「個人に関する情報」は、氏名、住所、性別、生年月日、顔画像等個人を識別する情報に限られず、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化等によって秘匿化されているか否かを問わない。

また、例えばレセプトには、被保険者等について客観的に検査をしたデータもあれば、それに対して医師が判断した傷病名、診療行為が記載されている。これら全体が被保険者等個人に関する情報に当たるものであるが、あわせて、当該レセプトに係る診察をした医師の側からみると、自分が判断した傷病名、診療行為を書いているものでもあるので、レセプトに氏名が明記されている場合や医療機関名から容易に特定の医師を識別できる場合については、医師個人に関する情報とも言うことができる。したがって、レセプト等に記載されている情報の中には、被保険者等と医師等双方の個人情報という二面性を持っている部分もあることに留意が必要である。

なお、死者に関する情報が、同時に、遺族等の生存する個人に関する情報でもある場合には、当該生存する個人に関する情報となる。

本ガイダンスは、健保組合等が保有する個人情報を対象とするものであり、個人情報データベース等(7.参照)に整理されていない場合でも個人情報に該当する。

健保組合等が保有する個人情報については、別表1参照。

※ 記載された氏名、生年月日、その他の記述等により特定の個人を識別することができるものは、個人情報に該当する。

2.個人識別符号(法第2条第2項)

(定義)
法第二条
  1. この法律において「個人識別符号」とは、次の各号のいずれかに該当する文字、番号、記号その他の符号のうち、政令で定めるものをいう。
    • 一 特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの
    • 二 個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ、又は個人に発行されるカードその他の書類に記載され、若しくは電磁的方式により記録された文字、番号、記号その他の符号であって、その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され、若しくは記録されることにより、特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの
令第一条

個人情報の保護に関する法律(以下「法」という。)第二条第二項の政令で定める文字、番号、記号その他の符号は、次に掲げるものとする。

  1. 一~二(略)
  2. 三 国民年金法(昭和34年法律第141号)第十四条に規定する基礎年金番号
  3. 四~五(略)
  4. 六 行政手続における特定の個人を識別するための番号の利用等に関する法律(平成25年法律第27号)第二条第五項に規定する個人番号
  5. 七 次に掲げる証明書にその発行を受ける者ごとに異なるものとなるように記載された個人情報保護委員会規則で定める文字、番号、記号その他の符号
    • イ 国民健康保険法(昭和33年法律第192号)第九条第二項の被保険者証
    • ロ 高齢者の医療の確保に関する法律(昭和57年法律第80号)第五十四条第三項の被保険者証
    • ハ 介護保険法(平成9年法律第123号)第十二条第三項の被保険者証
  6. 八 その他前各号に準ずるものとして個人情報保護委員会規則で定める文字、番号、記号その他の符号
規則第三条

令第一条第七号の個人情報保護委員会規則で定める文字、番号、記号その他の符号は、次の各号に掲げる証明書ごとに、それぞれ当該各号に定めるものとする。

  1. 一 令第一条第七号イに掲げる証明書 国民健康保険法(昭和33年法律第192号)第百十一条の二第一項に規定する保険者番号及び被保険者記号・番号
  2. 二 令第一条第七号ロに掲げる証明書 高齢者の医療の確保に関する法律(昭和57年法律第80号)第百六十一条の二第一項に規定する保険者番号及び被保険者番号
  3. 三 令第一条第七号ハに掲げる証明書 同号ハに掲げる証明書の番号及び保険者番号
規則第四条

令第一条第八号の個人情報保護委員会規則で定める文字、番号、記号その他の符号は、次に掲げるものとする。

  1. 一 健康保険法(大正11年法律第70号)第三条第十一項に規定する保険者番号及び同条第十二項に規定する被保険者等記号・番号
  2. 二~九(略)

「個人識別符号」とは、当該情報単体から特定の個人を識別できるものとして個人情報の保護に関する法律施行令(平成15年政令第507号。以下「政令」という。)に定められた文字、番号、記号その他の符号をいい、これに該当するものが含まれる情報は個人情報となる。

具体的な内容は、政令第1条及び個人情報の保護に関する法律施行規則(平成28年個人情報保護委員会規則第3号。以下「規則」という。)第2条から第4条までに定められており、健康保険法(大正11年4月22日法律第70号)に係るものについては、保険者番号及び被保険者等記号・番号が該当する。

したがって、当該保険者番号及び被保険者等記号・番号のいずれもが含まれる情報は、個人情報となる。

3.要配慮個人情報(法第2条第3項)

(定義)
法第二条
  1. この法律において「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。
令第二条

法第二条第三項の政令で定める記述等は、次に掲げる事項のいずれかを内容とする記述等(本人の病歴又は犯罪の経歴に該当するものを除く。)とする。

  1. 一 身体障害、知的障害、精神障害(発達障害を含む。)その他の個人情報保護委員会規則で定める心身の機能の障害があること。
  2. 二 本人に対して医師その他医療に関連する職務に従事する者(次号において「医師等」という。)により行われた疾病の予防及び早期発見のための健康診断その他の検査(同号において「健康診断等」という。)の結果
  3. 三 健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと。
  4. 四 本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと。
  5. 五 本人を少年法(昭和23年法律第168号)第三条第一項に規定する少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと。
規則第五条

令第二条第一号の個人情報保護委員会規則で定める心身の機能の障害は、次に掲げる障害とする。

  1. 一 身体障害者福祉法(昭和24年法律第283号)別表に掲げる身体上の障害
  2. 二 知的障害者福祉法(昭和35年法律第37号)にいう知的障害
  3. 三 精神保健及び精神障害者福祉に関する法律(昭和25年法律第123号)にいう精神障害(発達障害者支援法(平成16年法律第167号)第二条第一項に規定する発達障害を含み、前号に掲げるものを除く。)
  4. 四 治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生活及び社会生活を総合的に支援するための法律(平成17年法律第123号)第四条第一項の政令で定めるものによる障害の程度が同項の厚生労働大臣が定める程度であるもの

「要配慮個人情報」とは、不当な差別や偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして法第2条第3項、政令第2条及び規則第5条で定める記述等が含まれる個人情報をいう。なお、健保組合等において想定される要配慮個人情報に該当する情報とは、レセプト等に掲載された病歴、犯罪により害を被った事実、申請書等より確認した障害(身体障害、知的障害、精神障害等)の事実、健康診断の結果及び健康診断後の措置(医師による改善指導又は診療、調剤)が行われた事実等が挙げられる。

要配慮個人情報の取得や第三者提供には、原則として本人同意が必要である。

本人同意を得る方法として、被保険者等への保険給付等のために通常必要と考えられる個人情報の利用範囲をホームページへの掲載等により明らかにしておき、被保険者等から特段明確な反対・留保の意思表示がない場合には、これらの範囲内での個人情報の利用について同意が得られているものとする「黙示の同意」という考え方を用いることがある。(詳細はⅢ7.(3)を参照)

一方、要配慮個人情報については、法第27条第2項の規定により、一定の条件を満たすことで本人同意を得ることなく第三者提供する方法(オプトアウトによる第三者提供)は認められない。

また、要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態が生じた場合には、個人情報保護委員会に報告しなければならない(詳細はⅢ6.を参照)。

なお、健保組合等においては、第三者への提供を目的として個人情報を取得することは通常想定されない。

【要配慮個人情報のポイント】

要配慮個人情報を取得する場合、本人同意が必要である。(Ⅲ4.参照)

4.特定個人情報(番号法第2条第8項)

番号法第二条
  1. この法律において「特定個人情報」とは、個人番号(個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号であって、住民票コード以外のものを含む。第七条第一項及び第二項、第八条並びに第四十八条並びに附則第三条第一項から第三項まで及び第五項を除き、以下同じ。)をその内容に含む個人情報をいう。

「特定個人情報」とは番号法に定める個人番号をその内容に含む個人情報をいう。特定個人情報については、番号法の対象となるだけでなく、個人情報として法の対象となることに留意が必要である。

「特定個人情報」に関する具体的な取扱等については、「特定個人情報の適正な取扱いに関するガイドライン(事業者編)」(平成26年特定個人情報保護委員会告示第5号)及び「医療保険者向けデジタルPMO」サイトを参照のこと。

5.仮名加工情報(法第2条第5項)

(定義)
法第二条
  1. この法律において「仮名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報をいう。
    1. 一 第一項第一号に該当する個人情報 当該個人情報に含まれる記述等の一部を削除すること(当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。)。
    2. 二 第一項第二号に該当する個人情報 当該個人情報に含まれる個人識別符号の全部を削除すること(当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。)

「仮名加工情報」とは、個人情報に含まれる記述等の一部や、個人識別符号の全部を削除する等の措置を講じて、他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報をいう。

個人情報から仮名加工情報を作成する場合には、法第41条第1項に規定する規則で定める基準に従って加工する等一定の制限を受けることとなる。詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン(仮名加工情報・匿名加工情報編)」(平成28年個人情報保護委員会告示第9号)を参照のこと。

6.匿名加工情報(法第2条第6項)

(定義)
法第二条
  1. この法律において「匿名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。
    1. 一 第一項第一号に該当する個人情報 当該個人情報に含まれる記述等の一部を削除すること(当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。)。
    2. 二 第一項第二号に該当する個人情報 当該個人情報に含まれる個人識別符号の全部を削除すること(当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。)。

「匿名加工情報」とは、個人情報を個人情報の区分に応じて定められた措置を講じて特定の個人を識別することができないように加工して得られる個人に関する情報であって、当該個人情報を復元して特定の個人を再識別することができないようにしたものをいう。

【匿名加工情報のポイント】

個人情報から匿名加工情報を作成する場合には、法第43条第1項に規定する規則で定める基準に従って加工する等一定の制限を受けることとなる。詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン(仮名加工情報・匿名加工情報編)」(平成28年個人情報保護委員会告示第9号)を参照のこと。

匿名加工情報取扱事業者(法第16条第6項関係)

匿名加工情報取扱事業者の定義については、別途定める「個人情報の保護に関する法律についてのガイドライン(仮名加工情報・匿名加工情報編)」(平成28年個人情報保護委員会告示第9号)を参照のこと。

(参考)
(定義)
法第十六条
  1. この章、第六章及び第七章において「匿名加工情報取扱事業者」とは、匿名加工情報を含む情報の集合物であって、特定の匿名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の匿名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの(第四十三条第一項において「匿名加工情報データベース等」という。)を事業の用に供している者をいう。ただし、第二項各号に掲げる者を除く。
令第七条

法第十六条第六項の政令で定めるものは、同項に規定する情報の集合物に含まれる匿名加工情報を一定の規則に従って整理することにより特定の匿名加工情報を容易に検索することができるように体系的に構成したものであって、目次、索引その他検索を容易にするためのものを有するものをいう。

7.個人情報データベース等(法第16条第1項)、個人データ(法第16条第3項)、保有個人データ(法第16条第4項)

(定義)
法第十六条

この章及び第八章において「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるもの(利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものを除く。)をいう。

  1. 一 特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの
  2. 二 前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの
令第四条

法第十六条第一項の利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものは、次の各号のいずれにも該当するものとする。

  1. 一 不特定かつ多数の者に販売することを目的として発行されたものであって、かつ、その発行が法又は法に基づく命令の規定に違反して行われたものでないこと。
  2. 二 不特定かつ多数の者により随時に購入することができ、又はできたものであること。
  3. 三 生存する個人に関する他の情報を加えることなくその本来の用途に供しているものであること。
  1. 法第十六条第一項第二号の政令で定めるものは、同項に規定する情報の集合物に含まれる個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成したものであって、目次、索引その他検索を容易にするためのものを有するものをいう。

「個人情報データベース等」とは、特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した個人情報を含む情報の集合体、又はコンピュータを用いていない場合であっても、紙面で処理した個人情報を一定の規則(例えば、五十音順、生年月日順など)に従って整理・分類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものをいう。

(定義)
法第十六条
  1. この章において「個人データ」とは、個人情報データベース等を構成する個人情報をいう。

「個人データ」とは、「個人情報データベース等」を構成する個人情報をいう。

(定義)
法第十六条
  1. この章において「保有個人データ」とは、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの以外のものをいう。
令第五条

法第十六条第四項の政令で定めるものは、次に掲げるものとする。

  1. 一 当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの
  2. 二 当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの
  3. 三 当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの
  4. 四 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの

「保有個人データ」とは、個人データのうち、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有するものをいう。ただし、その存否が明らかになることにより、公益その他の利益が害されるものは除く。

レセプトや健診結果、保健指導記録等については、媒体の如何にかかわらず個人データベース等に該当する。

8.本人の同意

「本人の同意」とは、本人の個人情報が、個人情報取扱事業者によって示された取扱方法で取り扱われることを承諾する旨の当該本人の意思表示をいう(当該本人であることを確認できていることが前提となる。)。

また、「本人の同意を得(る)」とは、本人の承諾する旨の意思表示を当該個人情報取扱事業者が認識することをいい、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。

なお、個人情報の取扱いに関して同意したことによって生ずる結果について、未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力を有していないなどの場合は、親権者や法定代理人等から同意を得る必要がある。

【本人の同意を得ている事例】
  • 事例1)本人からの同意する旨の口頭による意思表示
  • 事例2)本人からの同意する旨の書面(電磁的記録を含む。)の受領
  • 事例3)本人からの同意する旨のメールの受信
  • 事例4)本人による同意する旨の確認欄へのチェック
  • 事例5)本人による同意する旨のホームページ上のボタンのクリック
  • 事例6)本人による同意する旨の音声入力、タッチパネルへのタッチ、ボタンやスイッチ等による入力

法は、個人情報の目的外利用や第三者提供の場合には、原則として本人の同意を得ることを求めている。これは、法の基本となるOECD8原則のうち、利用制限の原則の考え方の現れであるが、健保組合等については、被保険者等に適切な保険給付等を提供する目的のために、当該健保組合等において、通常必要と考えられる個人情報の利用範囲を健保組合等のホームページへの掲載のほか、パンフレットの配布、事業所担当窓口や健保組合等の掲示板への掲示・備付けや公告等により明らかにしておき、このうち、被保険者等の利益になるもの又は必ずしも利益になるものではないが医療費通知など事業者側(健保組合等)の負担が膨大である上必ずしも被保険者等本人にとって合理的であるとは言えないものについては、被保険者等から特段明確な反対・留保の意思表示がない場合には、これらの範囲内での個人情報の利用について同意が得られているものと考えられる。(Ⅲ7.(3)(4)参照)

なお、これらの場合において被保険者等の理解力、判断力などに応じて、可能な限り被保険者等本人に通知し、同意を得るよう努めることが重要である。

【要配慮個人情報における本人の同意について】

健保組合等が要配慮個人情報を書面又は口頭等により本人から適正に直接取得する場合は、本人が当該情報を提供したことをもって、当該個人情報取扱事業者が当該情報を取得することについて本人の同意があったものと解される。

Ⅲ 健保組合等の義務等

1.利用目的の特定等(法第17条、第18条)

(利用目的の特定)
法第十七条

個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的(以下「利用目的」という。)をできる限り特定しなければならない。

  1. 個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。
(利用目的による制限)
法第十八条

個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。

  1. 個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
  2. 前二項の規定は、次に掲げる場合については、適用しない。
    1. 一 法令に基づく場合
    2. 二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
    3. 三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
    4. 四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
    5. 五 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的(以下この章において「学術研究目的」という。)で取り扱う必要があるとき(当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)。
    6. 六 学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき(当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)。
  • 利用目的の特定及び制限

    健保組合等が保険給付等を希望する被保険者等から個人情報を取得する場合、当該個人情報を被保険者等に対する保険給付等の提供、健保組合等の保険給付等に係る事務や番号法に基づく個人番号の利用などで利用することは被保険者等にとって明らかと考えられる。

    これら以外で個人情報を利用する場合は、被保険者等にとって必ずしも明らかな利用目的とはいえない。この場合は、個人情報を取得するに当たって明確に当該利用目的の公表等の措置が講じられなければならない。(Ⅲ3.参照)

    健保組合等の通常の業務で想定される利用目的は別表2に例示されるものであり、健保組合等は、これらを参考として、自らの業務に照らして通常必要とされるものを特定して公表(健保組合等のホームページへの掲載等)しなければならない。(Ⅲ3.参照)

    なお、別表2に掲げる利用目的の範囲について法第17条第2項に定める利用目的の変更を行う場合、変更された利用目的については、本人へ通知又は公表しなければならない。(Ⅲ3.参照)

  • 利用目的による制限の例外

    健保組合等は、あらかじめ本人の同意を得ないで法第17条の規定により特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならないが(法第18条第1項)、同条第3項に掲げる場合については、本人の同意を得る必要はない。具体的な例としては以下のとおりである。

    • ①法令に基づく場合

      健康保険法第29条又は第198条に基づく立入検査等、法令に基づいて個人情報を利用する場合

      根拠となる法令の規定としては、一般に刑事訴訟法第218条(令状による捜査)、地方税法第72条の63(個人の事業税に関する調査に係る質問検査権、各種税法に類似の規定あり)等が考えられる。

      これらの法令は強制力を伴って回答が義務づけられるため、健保組合等は捜査等が行われた場合、回答する義務が生じる。

      また、刑事訴訟法第197条第2項(捜査に必要な取調べ)等については、法の例外規定の対象であるが、当該法令において任意協力とされており、健保組合等は取調べ等が行われた場合、回答するか否かについて個別の事例ごとに判断する必要がある。この場合、本人の同意を得ずに個人情報を取扱ったとしても、法第18条違反とはならないが、当該本人からの民法に基づく損害賠償請求等を求められるおそれがある。

    • ②人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
      (例)
      • 意識不明となった被保険者等について、家族の連絡先等に関する情報を医療機関等に提供する場合
    • ③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
      (例)
      • 疫学上の調査・研究のために、健康診査やがん検診等から得られた情報を個人名を伏せて研究者に提供する場合
      • 医療安全の向上のため、健康保険組合にレセプトを提出する医療機関で発生した医療事故等に関する国、地方公共団体又は第三者機関等に対し情報提供するために個人情報を取り扱う場合
    • ④国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
      (例)
      • 事業者が警察の任意の求めに応じて個人情報を取り扱う場合
      • 一般統計調査や地方公共団体が行う統計調査において個人情報を取り扱う場合
    • ⑤個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的で取り扱う必要があるとき(当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)

      「学術研究機関等」とは、大学その他の学術研究を目的とする機関若しくは団体(大学、学会等)又はそれらに属する者をいい、健保組合等はこれに当たらない。

    • ⑥学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき(当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)。
    【法の規定により遵守すべき事項等】
    • 健保組合等は、個人情報を取り扱うに当たって、その利用目的をできる限り特定しなければならない。
    • 健保組合等は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。
    • 健保組合等は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない。なお、本人の同意を得るために個人情報を利用すること(同意を得るために被保険者等の連絡先を利用して電話をかける場合など)、個人情報を匿名加工情報及び仮名加工情報に加工することは差し支えない。
    • 個人情報を取得する時点で、本人の同意があったにもかかわらず、その後、本人から利用目的の一部についての同意を取り消す旨の申出があった場合は、その後の個人情報の取扱いについては、本人の同意が取り消されなかった範囲に限定して取り扱う。
    • 健保組合等は、合併その他の事由により他の事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
    • 利用目的の制限の例外(法第18条第3項)に該当する場合は、本人の同意を得ずに個人情報を取り扱うことができる。
      (利用目的を変更する場合の取扱いについてはⅢ3.を参照)
    【その他の事項】
    • 利用目的の制限の例外に該当する「法令に基づく場合」等であっても、利用目的以外の目的で個人情報を取り扱う場合は、当該法令等の趣旨をふまえ、その取り扱う範囲を真に必要な範囲に限定することが求められる。
    • 被保険者等が未成年者等の場合、法定代理人等の同意を得ることで足りるが、一定の判断能力を有する未成年者等については、法定代理人等の同意にあわせて本人の同意を得る。

2.2.不適切な利用の禁止(法第19条)

(不適正な利用の禁止)
法第十九条

個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。

【法の規定により遵守すべき事項等】
  • 健保組合等は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。
  • 「違法又は不当な行為」とは、法その他の法令に違反する行為、及び直ちに違法とはいえないものの、法その他の法令の制度趣旨又は公序良俗に反する等、社会通念上適正とは認められない行為をいう。
  • 「おそれ」の有無は、個人情報取扱事業者による個人情報の利用が、違法又は不当な行為を助長又は誘発することについて、社会通念上蓋然性が認められるか否かにより判断される。この判断に当たっては、個人情報の利用方法等の客観的な事情に加えて、個人情報の利用時点における個人情報取扱事業者の認識及び予見可能性も踏まえる必要がある。例えば、個人情報取扱事業者が第三者に個人情報を提供した場合において、当該第三者が当該個人情報を違法な行為に用いた場合であっても、当該第三者が当該個人情報の取得目的を偽っていた等、当該個人情報の提供の時点において、提供した個人情報が違法に利用されることについて、当該個人情報取扱事業者が一般的な注意力をもってしても予見できない状況であった場合には、「おそれ」は認められないと解される。
(違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例)
  • 事例1)違法行為を営むことが疑われる事業者に対し、当該事業者の違法な行為を助長するおそれが想定されるにも関わらず、個人情報を提供する場合
  • 事例2)個人情報を提供した場合、提供先において法第27条第1項に違反する第三者提供がなされることを予見できるにもかかわらず、当該提供先に対して、個人情報を提供する場合
  • 事例3)個人情報を取得した健保組合等が、性別、国籍等の特定の属性のみにより、正当な理由なく本人に対する違法な差別的取扱いを行うために、個人情報を利用する場合

3.利用目的の通知等(法第21条)

(取得に際しての利用目的の通知等)
法第二十一条

個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

  1. 個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面(電磁的記録を含む。以下この項において同じ。)に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。
  2. 個人情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
  3. 前三項の規定は、次に掲げる場合については、適用しない。
    1. 一 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
    2. 二 利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合
    3. 三 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
    4. 四 取得の状況からみて利用目的が明らかであると認められる場合
【法の規定により遵守すべき事項等】
  • 健保組合等は、個人情報を取得するに当たって、あらかじめその利用目的を公表しておくか、個人情報を取得した場合、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
  • 利用目的の公表方法としては、健保組合等のホームページへの掲載のほか、パンフレットの配布、事業所担当窓口や健保組合等の掲示板への掲示・備付け、公告等により、なるべく広く公表する必要がある。
  • 健保組合等は、健診の申込みを受け付ける際に問診票の記入を求める場合など、本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を事業所担当窓口や健保組合等の掲示板等により明示しなければならない。
  • 健保組合等は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
  • 取得の状況からみて利用目的が明らかであると認められる場合など利用目的の通知等の例外に該当する場合は、上記内容は適用しない。(「利用目的が明らか」な場合についてはⅢ1.(1)を参照)
【その他の事項】
  • 利用目的が、本規定の例外である「取得の状況からみて利用目的が明らかであると認められる場合」に該当する場合であっても、被保険者等に利用目的をわかりやすく示す観点から、利用目的の公表に当たっては、当該利用目的についても併せて記載する。
  • 被保険者等の希望がある場合、詳細の説明や当該内容を記載した書面の交付を行う。

4.個人情報の適正な取得、個人データ内容の正確性の確保(法第20条、第22条)

(適正な取得)
法第二十条

個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。

  1. 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
    1. 一 法令に基づく場合
    2. 二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
    3. 三 公衆衛生の向上又は児童の健全な育成のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
    4. 四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
    5. 五 当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき(当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)。
    6. 六 学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき(当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当 に侵害するおそれがある場合を除く。)(当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。)。
    7. 七 当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、第五十七条第一項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合
    8. 八 その他前各号に掲げる場合に準ずるものとして政令で定める場合
規則第六条

法第二十条第二項第七号の個人情報保護委員会規則で定める者は、次の各号のいずれかに該当する者とする。

  1. 一 外国政府、外国の政府機関、外国の地方公共団体又は国際機関
  2. 二 外国において法第十六条第八項に規定する学術研究機関等に相当する者
  3. 三 外国において法第五十七条第一項各号に掲げる者に相当する者
令第九条

法第二十条第二項第八号の政令で定める場合は、次に掲げる場合とする。

  1. 一 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合
  2. 二 法第二十七条第五項各号(法第四十一条第六項の規定により読み替えて適用する場合及び法第四十二条第二項において読み替えて準用する場合を含む。)に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき。
(データ内容の正確性の確保等)
法第二十二条

個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。

【法の規定により遵守すべき事項等】
  • 健保組合等は、偽りその他の不正の手段により個人情報を取得してはならない。
  • 保健指導等のために必要な過去の病歴等については、真に必要な範囲について、本人から直接取得するほか、第三者提供について本人の同意を得た者(Ⅲ7.(3)により本人の黙示の同意が得られていると考えられる者を含む。)から取得することを原則とする。ただし、本人以外の家族等から取得することが保健指導等のためにやむを得ない場合はこの限りでない。
  • 親の同意なく、十分な判断能力を有していない子どもから家族の個人情報を取得してはならない。
  • 要配慮個人情報を取得する場合には、あらかじめ本人の同意を得なければならない。ただし、法第20条第2項各号に定める場合については、本人の同意を得る必要はない。
    (例)
    • 健康保険法第150条第2項に基づき、事業者に対して被保険者等に関する健康診断情報の提供を求め、これを取得する場合、法第20条第2項第1号に該当すると考えられる。
    • 急病その他の事態が生じたときに、本人の病歴等を健康保険組合に所属する医師や看護師が家族から聴取する場合、法第20条第2項第2号に該当すると考えられる。
    • 事業者が警察の任意の求めに応じて要配慮個人情報に該当する個人情報を提出するために、当該個人情報を取得する場合、法第20条第2項第4号に該当する可能性があると考えらえる。
  • なお、要配慮個人情報を、法第27条第5項各号に定める委託、事業承継又は共同利用により取得する場合は、あらかじめ本人の同意を得る必要はない。
    【法第20条第2項に違反している事例】

    本人の同意を得ることなく、法第20条第2項第7号及び規則第6条で定める者以外がインターネット上で公開している情報から本人の信条や犯罪歴等に関する情報を取得し、既に保有している当該本人に関する情報の一部として自己のデータベース等に登録すること。

  • 健保組合等は、適正な保険給付等を提供するという利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めなければならない。
  • 健保組合等は、保有する個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等は、当該個人データを遅滞なく消去するよう努めなければならない(※)。なお、法令の定め及び規程により保存期間等が定められている場合は、この限りではない。
    (※)「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む。
【その他の事項】
  • 第三者提供により他の健保組合等から個人情報を取得したとき、当該個人情報の内容に疑義が生じた場合には、記載内容の事実に関して本人に確認をとる。
  • 健保組合等は、個人データの内容の正確性、最新性を確保するため、Ⅲ5.(2)②に示す委員会等において、具体的なルールを策定したり、技術水準向上のための研修の開催などを行うことが望ましい。
  • 第三者提供(法第27条第1項各号に掲げる場合並びに個人情報の取扱いの委託、事業の承継及び共同利用に伴い、個人情報を提供する場合を除く。)により、個人情報(令第2条第2号に規定するものから取得した個人情報を除く。)を取得する場合には、提供元の法の遵守状況(例えば、オプトアウト(法第27条第2項・第3項参照)、利用目的、開示手続、問合せ・苦情の受付窓口を公表していることなど)を確認し、個人情報を適切に管理している者を提供元として選定するとともに、実際に個人情報を取得する際には、例えば、取得の経緯を示す契約書等の書面の点検又はこれに代わる合理的な方法により、当該個人情報の取得方法等を確認した上で、当該個人情報が適法に取得されたことが確認できない場合は、偽りその他不正の手段により取得されたものである可能性もあることから、その取得を自粛することを含め、慎重に対応することが望ましい。

5.安全管理措置、従業者の監督及び委託先の監督(法第23条~第25条)

(安全管理措置)
法第二十三条

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

(従業者の監督)
法第二十四条

個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

(委託先の監督)
法第二十五条

個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

  • 健保組合等が講ずるべき安全管理措置等
    ①安全管理措置

    健保組合等は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のため、組織的、人的、物理的、及び技術的安全管理措置等を講じなければならない。また、外国において個人データを取り扱う場合には、外的環境の把握を行ったうえで、これらの安全管理措置を講じなければならない。 その際、本人の個人データが漏えい、滅失又は毀損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人データの取扱い状況等に起因するリスクに応じ、必要かつ適切な措置を講ずるものとする。なお、その際には、個人データを記録した媒体の性質に応じた安全管理措置を講ずる。

    ②従業者の監督

    健保組合等は、①の安全管理措置を遵守させるよう、従業者に対し必要かつ適切な監督をしなければならない。なお、「従業者」とは、当該事業者の指揮命令を受けて業務に従事する者全てを含むものであり、また、雇用関係のある者のみならず、理事、派遣労働者等も含むものである。

    「健康保険組合における個人情報保護の徹底について」(平成14年12月25日保保発第1225001号)では、健康保険組合に対して、服務規程等において、健康保険組合の役職員について職員の守秘義務を課すこととしている。

    ③委託者の監督

    健保組合等は、個人データの取扱いの全部又は一部を委託する場合、委託先において当該個人データの安全管理措置が適切に講じられるよう、「適切な委託先の選定」「安全管理措置の遵守事項を含む委託契約の締結」「委託先における個人データ取扱状況の把握」により、委託先に関して必要かつ適切な管理、監督をしなければならない。

  • 安全管理措置として考えられる事項

    健保組合等は、その取り扱う個人データの重要性に鑑み、個人データの漏えい、滅失又は毀損の防止その他の安全管理のため、その規模、従業者の様態等を勘案して、以下に示すような取組を参考に、必要な措置を行うものとする。

    また、同一健康保険組合が複数の事務所(支部)を有する場合、当該事務所(支部)間の情報交換については第三者提供に該当しないが、各事務所(支部)ごとに安全管理措置を講ずるなど、個人情報の利用目的を踏まえた個人情報の安全管理を行う。

    ①個人情報保護に関する規程の整備、公表
    • 健保組合等は、保有個人データの開示手順を定めた規程その他個人情報保護に関する規程を整備し、苦情への対応体制も含めて、健保組合等のホームページへの掲載のほか、パンフレットの配布、事業所担当窓口や健保組合等の掲示板への掲示・備付け、公告等を行うなど、被保険者等に対して周知徹底を図る
    • また、個人データを取り扱う情報システムの安全管理措置に関する規程等についても同様に整備を行うこと。
    ②個人情報保護推進のための組織体制等の整備
    • 従業者の責任体制の明確化を図り、具体的な取組を進めるため、健保組合等における個人情報保護に関し十分な知識を有する者を個人データの安全管理の実施及び運用に関する責任及び権限を有する個人情報取扱責任者(例えば、役員などの組織横断的に監督することのできる者)、個人情報管理担当者又は情報システム監査責任者等として定めたり、個人情報保護の推進を図るための部署、委員会等を設置する。
    • 健保組合等で行っている個人データの安全管理措置について定期的に自己評価を行い、見直しや改善を行うべき事項について適切な改善を行う。
    • 情報システム監査責任者は、個人情報保護対策の徹底に関して監査を行い、必要に応じ、個人情報保護対策及び最新の技術動向を踏まえた情報セキュリティ対策に十分な知見を有する者による事業所内の対応の確認(外部の知見を有する者を活用し確認させることを含む。)を実施する。
    ③個人データの漏えい等の問題が発生した場合等における報告連絡体制の整備
    • 1)個人データの漏えい等の事故が発生した場合、又は発生の可能性が高いと判断した場合、2)個人データの取扱いに関する規程等に違反している事実が生じた場合、又は兆候が高いと判断した場合における責任者等への報告連絡体制の整備を行う。
    • 個人データの漏えい等の情報は、苦情等の一環として、外部から報告される場合も想定されることから、苦情への対応体制との連携も図る。(Ⅲ15.参照)
    ④雇用契約時における個人情報保護に関する規程の整備
    • 雇用契約や就業規則において、就業期間中はもとより離職後も含めた守秘義務を課すなど従業者の個人情報保護に関する規程を整備し、徹底を図る。
    ⑤従業者に対する教育研修の実施
    • 取り扱う個人データの適切な保護が確保されるよう、従業者に対する教育研修の実施等により、個人データを実際の業務で取り扱うこととなる従業者の啓発を図り、従業者の個人情報保護意識を徹底する。
    ⑥物理的安全管理措置
    • 個人データの盗難・紛失等を防止するため、以下のような物理的安全管理措置を行う。
      • -入退館(室)管理の実施(カメラによる撮影や作業への立会い等による記録又は監視の実施)
      • -盗難等に対する予防対策の実施
      • -機器、装置等の固定など物理的な保護
      • -記録機能を持つ媒体の持込み・持出し禁止又は検査の実施
      • -記録機能を持つ媒体の接続の禁止又は制限
      • -離席時等におけるパソコン等のパスワードロックの実施
    ⑦技術的安全管理措置
    • 個人データの盗難・紛失等を防止するため、「個人情報の適切な取扱いに係る基幹システムのセキュリティ対策の強化について(再要請)」(平成27年12月18日老発1218第1号・保発1218第1号) の主旨に則り、個人データを取り扱う情報システムについて以下のような技術的安全管理措置を行う。
      • -個人データに対するアクセス管理(IDやパスワード等による認証、各職員の業務内容に応じて業務上必要な範囲にのみアクセスできるようなシステム構成の採用等)
      • -個人データに対するアクセス記録の保存
      • -個人データに対するファイアウォールの設置
      • -個人データに対する暗号化・パスワードの設定
      • -個人データへのアクセスや操作の記録及び不正が疑われる異常な記録の存否の定期的な確認
      • -基幹システムに接続されたネットワークとインターネットに接続されたネットワークの物理的又は論理的分離
      • -ソフトウェアに関する脆弱性対策(セキュリティパッチの適用、当該情報システム固有の脆弱性の発見及びその修正等)
      • -ソフトウェア及びハードウェア等の必要かつ適切な時期における更新
    ⑧個人データの保存
    • 個人データを長期にわたって保存する場合には、保存媒体の劣化防止など個人データが消失しないよう適切に保存する。
    • 個人データの保存に当たっては、本人からの照会等に対応する場合など必要なときに迅速に対応できるよう、インデックスの整備など検索可能な状態で保存しておく。
    ⑨不要となった個人データの廃棄、消去
    • 不要となった個人データを廃棄する場合には、焼却や溶解など、個人データを復元不可能な形にして廃棄する。
    • 個人データを取り扱った情報機器を廃棄する場合は、記憶装置内の個人データを復元不可能な形に消去して廃棄する。
    • これらの廃棄業務を委託する場合には、個人データの取扱いについても委託契約において明確に定める。
  • 業務を委託する場合の取扱い
    ①委託先の監督

    健保組合等は、レセプトのパンチ(入力)・点検業務、健康保険被保険者証の作成、人間ドック等の健診、保健指導等個人データの取扱いの全部又は一部を委託する場合、法第23条に基づく安全管理措置を遵守させるよう受託者に対し、必要かつ適切な監督をしなければならない。

    「必要かつ適切な監督」には、委託契約において委託者である事業者が定める安全管理措置の内容を契約に盛り込み受託者の義務とするほか、業務が適切に行われていることを定期的に確認することなども含まれる。

    また、業務が再委託された場合で、再委託先が不適切な取扱いを行ったことにより、問題が生じた場合は、健保組合等や再委託した事業者が責めを負うこともあり得る。

    ②業務を委託する場合の留意事項

    健保組合等関係事業者は、個人データの取扱いの全部又は一部を委託する場合、以下の事項に留意すべきである。

    • 個人情報を適切に取り扱っている事業者を委託先(受託者)として選定すること。委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第23条で求められているものと同様であることを確認するため、委託先の体制、規程等の確認に加え、必要に応じて個人データを取り扱う場所に赴く又はこれに代わる合理的な方法による確認を行った上で、個人情報取扱責任者等が、適切に評価することが望ましい。
    • 契約において、委託している業務の内容、委託先事業者、個人情報の適切な取扱いに関する内容を盛り込み(委託期間中のほか、委託終了後の個人データの取扱いも含む。)、契約内容を公表すること。
    • 受託者が個人情報を適切に取り扱っていることを定期的に確認すること。
    • 受託者における個人情報の取扱いに疑義が生じた場合(被保険者等からの申出があり、確認の必要があると考えられる場合を含む。)には、受託者に対し、説明を求め、必要に応じ改善を求める等適切な措置をとること。
    • また、委託するに当たっては、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないよう努めること。
      *健康保険組合における業者委託に関する通知
      上記の留意事項のほか、業者委託に関する通知を遵守する。
      • 「個人情報保護の徹底について」(平成14年12月25日保発第1225003号)
      • 「健康保険組合における個人情報保護の徹底について」(平成14年12月25日保保発第1225001号)の「4.個人情報の処理に関する外部委託に関する措置」
    ③業務を再委託する場合の留意事項

    健康保険組合は、個人情報に関する処理の全部又は一部を再委託する場合、以下の事項に留意すべきである。

    • 個人情報を含む業務を再委託すること自体は禁じられてはいないが、健康保険組合との直接の契約関係を伴わない個人情報に関する処理の再委託は行わないこと。(「健康保険組合における個人情報保護の徹底について」(平成14年12月25日保保発第1225001号)の「4.個人情報の処理に関する外部委託に関する措置」)
    • なお、個人情報を含む業務の再委託や個人情報に関する処理の再委託をする場合には、個人情報保護の観点から、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないよう努めること。

    この場合において、健康保険組合は第一次委託先と委託契約を締結するに当たっては、第一次委託先が、上記通知の基準に掲げる事項を遵守するよう委託契約上明記することはもちろんのこと、これに加え、当該委託契約において、再委託するに当たっては、第一次委託先は、再委託の可否及び再委託を行うに当たっての委託元への文書による事前報告又は承認を行うことや当該再委託契約上、再委託先に対して、同通知の基準に掲げる事項を遵守することを明記するよう、第一次委託契約上明記すること。

    なお、第一次委託先が再委託を行おうとする場合は、健康保険組合は委託を行う場合と同様、再委託の相手方、再委託する業務内容及び再委託先の個人データの取扱方法等について、第一次委託先に事前報告又は承認手続を求める、直接又は第一次委託先を通じて定期的に監査を実施する等により、第一次委託先が再委託先に対して本条の第一次委託先の監督を適切に果たすこと、再委託先が法第23条に基づく安全管理措置を講ずることを十分に確認することが望ましい。

  • レセプトの紙以外の媒体による保存等又はそれらの外部委託を行う場合の取扱い

    健保組合等において、レセプトの紙以外の媒体による保存又はレセプトの電算処理及びそれらの外部委託を行う場合には、健保組合等において、その運営及び委託等の取扱いについて安全性が確保されるよう規程を定め、実施するものとする。

【法の規定により遵守すべき事項等】
  • 健保組合等は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他個人データの安全管理のために必要かつ適切な措置を講じなければならない。
  • 健保組合等は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
  • 健保組合等は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
【その他の事項】
  • 健保組合等は、安全管理措置に関する取組を一層推進するため、安全管理措置が適切であるかどうかを一定期間ごとに検証するほか、必要に応じて外部機関による検証を受けることで、改善を図ることが望ましい。

6.漏えい等の報告等(法第26条)

(漏えい等の報告等)
第二十六条
個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。
  1. 前項に規定する場合には、個人情報取扱事業者(同項ただし書の規定による通知をした者を除く。)は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない
規則第七条
 法第二十六条第一項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。
  1. 一 要配慮個人情報が含まれる個人データ(高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第一項において同じ。)の漏えい、滅失若しくは毀損(以下この条及び次条 第一項 において「漏えい等」という。)が発生し、又は発生したおそれがある事態
  2. 二 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
  3. 三 不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
  4. 四 個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態
規則第八条
 個人情報取扱事業者は、法第二十六条第一項本文の規定による報告をする場合には、前条各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項(報告をしようとする時点において把握しているものに限る。次条において同じ。)を報告しなければならない。
  1. 一 概要
  2. 二 漏えい等が発生し、又は発生したおそれがある個人データの項目
  3. 三 漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数
  4. 四 原因
  5. 五 二次被害又はそのおそれの有無及びその内容
  6. 六 本人への対応の実施状況
  7. 七 公表の実施状況
  8. 八 再発防止のための措置
  9. 九 その他参考となる事項
  1. 前項の場合において、個人情報取扱事業者は、当該事態を知った日から三十日以内(当該事態が前条第三号に定めるものである場合にあっては、六十日以内)に、当該事態に関する前項各号に定める事項を報告しなければならない。
  1. 法第二十六条第一項本文の規定による報告は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める方法により行うものとする。
  1. 一 個人情報保護委員会に報告する場合電子情報処理組織個人情報保護委員会の使用に係る電子計算機と報告をする者の使用に係る電子計算機とを電気通信回線で接続した電子情報処理組織をいう。以下この項において同じ。)を使用する方法(電気通信回線の故障、災害その他の理由により電子情報処理組織を使用することが困難であると認められる場合にあっては、別記様式第一による報告書を提出する方法)
  2. 二 法第百四十七条第一項の規定により、法第二十六条第一項の規定による権限の委任を受けた事業所管大臣に報告する場合別記様式第一による報告書を提出する方法(当該事業所管大臣が別に定める場合にあっては、その方法)
規則第九条
個人情報取扱事業者は、法第二十六条第一項ただし書の規定による通知をする場合には、第七条各号に定める事態を知った後、速やかに、前条第一項各号に定める事項を通知しなければならない。
規則第十条
個人情報取扱事業者は、法第二十六条第二項本文の規定による通知をする場合には、第七条各号に定める事態を知った後、当該事態の状況に応じて速やかに、当該本人の権利利益を保護するために必要な範囲において、第八条第一項第一号、第二号、第四号、第五号及び第九号に定める事項を通知しなければならない。

個人データの「漏えい」とは、個人データが外部に流出すること、「滅失」とは個人データの内容が失われること、「毀損」とは個人データの内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となることをいう。

個人データの漏えい等やそのおそれのある事案(以下「漏えい等事案」という。)が発覚した場合は、規則で定めるところにより、個人情報保護委員会への報告等を行わなければならない。また、健保組合等において漏えい等事案が発覚した場合は、所管の地方厚生(支)局に速やかに報告する必要がある。詳細は、別途定める通則ガイドラインを参照のこと。

【法の規定により遵守すべき事項等】
  • 健保組合等において、漏えい等事案が発覚した場合には、当該事案の内容等に応じて、次の①~⑤に掲げる事項について必要な措置を講じなければならない。
    • ①健保組合等内部における報告及び被害の拡大防止

    • ②事実関係の調査及び原因の究明

    • ③影響範囲の特定

    • ④再発防止策の検討及び実施

    • ⑤個人情報保護委員会への報告及び本人への通知

7.個人データの第三者提供(法第27条)

(第三者提供の制限)
法第二十七条
 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
  1. 一 法令に基づく場合
  2. 二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
  3. 三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
  4. 四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
  5. 五 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき(個人の権利利益を不当に侵害するおそれがある場合を除く。)。
  6. 六 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき(当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)(当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。)。
  7. 七 当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき(当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)。
  1. 個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。

    ただし、第三者に提供される個人データが要配慮個人情報又は第二十条第一項の規定に違反して取得されたもの若しくは他の個人情報取扱事業者からこの項本文の規定により提供されたもの(その全部又は一部を複製し、又は加工したものを含む。)である場合は、この限りでない。

    1. 一 第三者への提供を行う個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者(法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。以下この条、第三十条第一項第一号及び第三十二条第一項第一号において同じ。)の氏名
    2. 二 第三者への提供を利用目的とすること。
    3. 三 第三者に提供される個人データの項目
    4. 四 第三者に提供される個人データの取得の方法
    5. 五 第三者への提供の方法
    6. 六 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
    7. 七 本人の求めを受け付ける方法
    8. 八 その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則で定める事項
  2. 個人情報取扱事業者は、前項第一号に掲げる事項に変更があったとき又は同項の規定による個人データの提供をやめたときは遅滞なく、同項第三号から第五号まで、第七号又は第八号に掲げる事項を変更しようとするときは、その旨について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
  3. 個人情報保護委員会は、第二項の規定による届出があったときは、個人情報保護委員会規則で定めるところにより、当該届出に係る事項を公表しなければならない。前項の規定による届出があったときも、同様とする。
  4. 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。
    1. 一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合
    2. 二 合併その他の事由による事業の承継に伴って個人データが提供される場合
    3. 三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。
  5. 個人情報取扱事業者は、前項第三号に規定する個人データの管理について責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったときは遅滞なく、同号に規定する利用する者の利用目的又は当該責任を有する者を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
規則第十一条
法第二十七条第二項又は第三項の規定による通知又は容易に知り得る状態に置く措置は、次に掲げるところにより、行うものとする。
  1. 一 第三者に提供される個人データによって識別される本人(次号において「本人」という。)が当該提供の停止を求めるのに必要な期間をおくこと。
  2. 二 本人が法第二十七条第二項各号に掲げる事項を確実に認識できる適切かつ合理的な方法によること。
  1. 法第二十七条第二項又は第三項の規定による届出は、次に掲げる方法のいずれかにより行わなければならない。
    1. 一 電子情報処理組織(個人情報保護委員会の使用に係る電子計算機と届出を行う者の使用に係る電子計算機とを電気通信回線で接続した電子情報処理組織をいう。)を使用する方法
    2. 二 別記様式第二(法第二十七条第三項の規定による個人データの提供をやめた旨の届出を行う場合にあっては、別記様式三)による届出書及び当該届出書に記載すべき事項を記録した光ディスク(これに準ずる方法により一定の事項を確実に記録しておくことができる物を含む。以下「光ディスク等」という。)を提出する方法
  2. 個人情報取扱事業者が、代理人によって法第二十七条第二項又は第三項の規定による届出を行う場合には、別記様式第四によるその権限を証する書面(電磁的記録を含む。第十七条第一項、第十八条第二項、第三十条、第四十七条第一項、第四十八条第二項、第五十四条第二項、第六項及び第七項、第六十条並びに第六十六条第二項を除き、以下同じ。)を個人情報保護委員会に提出しなければならない。
  3. 法第二十七条第二項第八号の個人情報保護委員会規則で定める事項は、次に掲げる事項とする。
    1. 一 第三者に提供される個人データの更新の方法
    2. 二 当該届出に係る個人データの第三者への提供を開始する予定日
規則第十三条
法第二十七条第四項の規定による公表は、同条第二項又は第三項の規定による届出があった後、遅滞なく、インターネットの利用その他の適切な方法により行うものとする。
規則第十四条
個人情報取扱事業者は、法第二十七条第四項の規定による公表がされた後、速やかに、インターネットの利用その他の適切な方法により、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項を公表するものとする。
  1. 一 法第二十七条第二項の規定による届出を行った場合同項各号に掲げる事項
  2. 二 法第二十七条第三項の規定による変更の届出を行った場合変更後の同条第二項各号に掲げる事項
  3. 三 法第二十七条第三項の規定による個人データの提供をやめた旨の届出を行った場合その旨
  1. 第三者提供の取扱い

    健保組合等は、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならないとされており、次のような場合には、本人の同意を得る必要がある。

    (例)
    • 民間保険会社からの照会

      被保険者等が民間の生命保険に加入しようとする場合、生命保険会社からその健康状態等について照会が合った場合、本人の同意を得ずに健康状態等を回答してはならない。

      交通事故によって、けがの治療を受けている被保険者等に関して、損害保険会社から損害保険金の支払いの審査のために必要であるとして症状に関する照会があった場合、本人の同意を得ず傷病名等を回答してはならない。

    • 職場からの照会

      職場の上司等から、社員の傷病名等に関する問合せがあった場合など、本人の同意を得ずに傷病名等を回答してはならない。

    • 学校からの照会

      学校の教職員等から、児童・生徒の健康状態に関する問合せがあった場合など、本人の同意を得ずに健康状態等を回答してはならない。

    • マーケティング等を目的とする会社等からの照会

      健康食品の販売を目的とする会社から、高血圧の被保険者等の存在の有無について照会された場合など、本人の同意を得ずにその存在の有無やその氏名・住所等を回答してはならない。

      ※ 本条の「本人」、「第三者」の定義
      • 「本人」・・・個人データで識別される個人。
      • 「第三者」・・・本人及び個人情報取扱事業者以外の者をいい、自然人か法人その他の団体かを問わない。
  2. 第三者提供の例外

    ただし、次に掲げる場合については、本人の同意を得る必要はない。

    • ①法令に基づく場合

      健康保険法第29条又は第198条に基づく立入検査等、法令に基づいて個人情報を利用する場合(Ⅲ1.(2)①参照)

    • ②人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき  
      (例)
      • 意識不明となった被保険者等について、家族の連絡先等に関する情報を医療機関等に提供する場合

      ※なお、「本人の同意を得ることが困難であるとき」には、本人に同意を求めても同意しない場合、本人に同意を求める手続きを経るまでもなく本人の同意を得ることができない場合等が含まれるものである。

    • ③公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
      (例)
      • 疫学上の調査・研究のために、健康診査やガン検診等から得られた情報を個人名を伏せて研究者に提供する場合
      • 医療安全の向上のため、健康保険組合にレセプトを提出する医療機関で発生した医療事故等に関する国、地方公共団体又は第三者機関等への情報提供のうち、氏名等の情報が特に必要な場合
    • ④国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
    • ⑤個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき(個人の権利利益を不当に侵害するおそれがある場合を除く。)
    • ⑥個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき(当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)(当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。)
    • ⑦第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき(当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)
      (例)
      • 学術研究機関等が、健保組合等の保有する個人データを学術研究目的で取り扱う必要がある場合

  3. 本人の同意が得られていると考えられる場合

    第三者への情報の提供のうち、以下の場合は、黙示による包括的な同意が得られていると考えられる。

    • 被保険者等への保険給付等のために通常必要な範囲の利用目的のうち、下記の例のような、被保険者等にとって利益となるもの、又は医療費通知など事業者側(健保組合等)の負担が膨大である上明示的な同意を得ることが必ずしも被保険者等本人にとって合理的であるとは言えないものの利用の範囲について、ホームページへの掲載、パンフレットの配布、事業所担当窓口や健保組合等の掲示板への掲示・備付けや公告等により明らかにしておき、被保険者等から特段明確な反対・留保の意思表示がない場合

     なお、ホームページ・事業所内掲示等においては、

    • (ァ)被保険者等は、健保組合等が示す利用目的の中で同意しがたいものがある場合には、その事項について、あらかじめ本人の明確な同意を得るよう健保組合等に求めることができること。
    • (ィ)被保険者等が、(ァ)の意思表示を行わない場合は、公表された利用目的について被保険者等の同意が得られたものとすること。
    • (ゥ)同意及び留保は、その後、被保険者等からの申出により、いつでも変更することが可能であること。

    をあわせて掲示するものとする。

    ※黙示による包括的な同意でよいと考えられる例
    • 高額療養費を事業主経由で支給すること(給与口座に振り込むこと)
    • 付加給付を事業主経由で支給すること(給与口座に振り込むこと)
    • 医療費通知を世帯ごとにまとめて行うこと
  4. 「第三者」に該当しない場合
    ①他の事業者等への情報の提供であるが、「第三者」に該当しない場合
    法第27条第5項各号に掲げる場合の当該個人データの提供を受ける者については、第三者に該当せず、本人の同意を得ずに情報の提供を行うことができる。健保組合等における具体的事例は以下のとおりである。
    • レセプト点検、保健指導等の業務を委託する場合
    • 個人データを特定の者との間で共同して利用するとして、あらかじめ本人に通知等している場合
    ※個人データの共同での利用における留意事項

    健康保険組合と労働安全衛生法に規定する事業者が共同で健康診断を実施している場合又は共同で事業主健診や特定健康診査、特定保健指導等の情報を用いて保健事業を実施している場合など、あらかじめ個人データを特定の者との間で共同して利用することが予定されている場合、(ア)共同して利用される個人データの項目、(イ)共同利用者の範囲(個別列挙されているか、本人から見てその範囲が明確となるように特定されている必要がある)、(ウ)利用する者の利用目的、(エ)当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名、をあらかじめ本人に通知し、又は本人が容易に知り得る状態においておくとともに、共同して利用することを明らかにしている場合には、当該共同利用者は第三者に該当しない。

    この場合、(ア)、(イ)については変更することができず、(ウ)、(エ)については、本人が想定することが困難でない範囲内で変更することができ、変更前、本人に通知又は本人の容易に知り得る状態におかなければならない。

    なお、共同利用でない場合は、健康保険組合と労働安全衛生法に規定する事業者は、異なる主体となるため、健康保険組合が事業者に健診結果を提供するに当たっては、被保険者又は労働者の同意を要することとなる。(なお、健康保険法第150条第2項に基づき、健康保険組合が事業者に対して健診結果の提供を求め、事業者がこれに応じて健診結果を提供する場合は、被保険者又は労働者の同意は不要。(Ⅲ4.参照))

    ②同一事業者内における情報の提供であり、第三者に該当しない場合

    同一事業者内で情報の提供する場合は、当該個人データを第三者に提供したことにはならないので、本人の同意を得ずに情報の提供を行うことができる。健保組合等における具体的事例は以下のとおりである。

    • 健保組合等内の他の部署との連携など当該健保組合等内部における情報の交換
    • 複数の事務所(支部)を持つ健康保険組合の事務所(支部)間における情報の交換
    • 健康保険組合連合会内の複数の支部との間における情報の交換及び支部間における情報の交換
    • 健保組合等の職員を対象とした研修での利用(特定し、公表した利用目的との関係で、目的外利用として所要の措置を行う必要があり得る)
    • 健保組合等内で事業分析を行うための情報の交換

    このうち、健保組合等内部の研修でレセプトや健診記録等を利用する場合には、具体的な利用方法を含め、あらためて本人の同意を得るか、個人が特定されないよう匿名加工情報又は仮名加工情報に加工する。

  5. その他留意事項
    • 他の事業者への情報提供に関する留意事項

      第三者提供を行う場合のほか、他の事業者への情報提供であっても、①法令に基づく場合など第三者提供の例外に該当する場合、②「第三者」に該当しない場合、③個人が特定されないように匿名加工情報に加工して情報提供する場合などにおいては、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないようにすべきである。

      また、被保険者等と医師等双方の二面性を持っている個人情報を第三者提供するに当たっては、双方の同意が必要となるが、一方の同意のみで第三者提供する場合は、他方の個人情報に係る部分をマスキングした上で行うこと。

      【法の規定により遵守すべき事項等】
      • 健保組合等においては、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。なお、健保組合等については、(2)の本人の同意を得る必要がない場合に該当する場合には、本人の同意を得る必要はない。
      • 個人データの第三者提供について本人の同意があった場合で、その後、本人から第三者提供の範囲の一部についての同意を取り消す旨の申出があった場合は、その後の個人データの取扱いについては、本人の同意のあった範囲に限定して取り扱うものとする。
      【その他の事項】
      • 第三者提供に該当しない情報提供が行われる場合であっても、健保組合等のホームページへの掲載のほか、パンフレットの配布、事業所担当窓口や健保組合等の掲示板への掲示・備付け、公告等により情報提供先をできるだけ明らかにするとともに、被保険者等からの問合せがあった場合に回答できる体制を確保する。
      • 例えば、業務委託の場合、当該健保組合等関係事業者において委託している業務の内容、委託先事業者、委託先事業者との間での個人情報の取扱いに関する取り決め等の委託内容について公表する。

8.外国にある第三者への提供の制限(法第28条)

詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン(外国にある第三者への提供編)」(平成28年個人情報保護委員会告示第7号)を参照のこと。

(参考)
(外国にある第三者への提供の制限)
法第二十八条
個人情報取扱事業者は、外国(本邦の域外にある国又は地域をいう。以下この条及び第三十一条第一項第二号において同じ。)(個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものを除く。以下この条及び同号において同じ。)にある第三者(個人データの取扱いについてこの節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置(第三項において「相当措置」という。)を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この項及び次項並びに同号において同じ。)に個人データを提供する場合には、前条第一項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は、適用しない。
  1. 個人情報取扱事業者は、前項の規定により本人の同意を得ようとする場合には、個人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。
  2. 個人情報取扱事業者は、個人データを外国にある第三者(第一項に規定する体制を整備している者に限る。)に提供した場合には、個人情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。
規則第十五条
法第二十八条第一項の規定による個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものは、次の各号のいずれにも該当する外国として個人情報保護委員会が定めるものとする。
  1. 一 法における個人情報取扱事業者に関する規定に相当する法令その他の定めがあり、その履行が当該外国内において確保されていると認めるに足りる状況にあること
  2. 二 個人情報保護委員会に相当する独立した外国執行当局が存在しており、かつ、当該外国執行当局において必要かつ適切な監督を行うための体制が確保されていること
  3. 三 我が国との間において、個人情報の適正かつ効果的な活用と個人の権利利益の保護に関する相互理解に基づく連携及び協力が可能であると認められるものであること
  4. 四 個人情報の保護のために必要な範囲を超えて国際的な個人データの移転を制限することなく、かつ、我が国との間において、個人情報の保護を図りつつ、相互に円滑な個人データの移転を図ることが可能であると認められるものであること
  5. 五 前四号に定めるもののほか、当該外国を法第二十八条第一項の規定による外国として定めることが、我が国における新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資すると認められるものであること
  1. 個人情報保護委員会は、前項の規定による外国を定める場合において、我が国における個人の権利利益を保護するために必要があると認めるときは、当該外国にある第三者への提供を認める旨の本人の同意を得ることなく提供できる個人データの範囲を制限することその他の必要な条件を付することができる。
  2. 個人情報保護委員会は、第一項の規定による外国を定めた場合において、当該外国が第一項各号に該当していること又は当該外国について前項の規定により付された条件が満たされていることを確認するため必要があると認めるときは、当該外国における 個人情報の保護に関する制度又は当該条件に係る対応の状況に関し必要な調査を行うものとする。
  3. 個人情報保護委員会は、第一項の規定による外国を定めた場合において、前項の調査の結果その他の状況を踏まえ、当該外国が第一項各号に該当しなくなったと認めるとき又は当該外国について第二項の規定により付された条件が満たされなくなったと認めるときは、第一項の規定による定めを取り消すものとする。
規則第十六条
法第法第二十八条第一項の個人情報保護委員会規則で定める基準は、次の各号のいずれかに該当することとする。
  1. 一 個人情報取扱事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第四章第二節の規定の趣旨に沿った措置の実施が確保されていること。
  2. 二 個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。
規則第十七条
法第二十八条第二項又は法第三十一条の二第一項第二号の規定により情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。
  1. 法第二十八条第二項又は法第三十一条の二第一項第二号の規定による情報の提供は、次に掲げる事項について行うものとする。
    1. 一 当該外国の名称
    2. 二 適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報
    3. 三 当該第三者が講ずる個人情報の保護のための措置に関する情報
  2. 前項の規定にかかわらず、個人情報取扱事業者は、法第二十八条第一項の規定により本人の同意を得ようとする時点において、前項第一号に定める事項が特定できない場合には、同号及び同項第二号に定める事項に代えて、次に掲げる事項について情報提供しなければならない。
    1. 一 前項第一号に定める事項が特定できない旨及びその理由
    2. 二 前項第一号に定める事項に代わる本人に参考となるべき情報がある場合には、当該情報
  3. 第二項の規定にかかわらず、個人情報取扱事業者は、法第二十八条第一項の規定により本人の同意を得ようとする時点において、第二項第三号に定める事項について情報提供できない場合には、同号に定める事項に代えて、その旨及びその理由について情報提供しなければならない。
第十八条
法第二十八条第三項(法第三十一条の二第二項において読み替えて準用する場合を含む。)の規定による外国にある第三者による相当措置の継続的な実施を確保するために必要な措置は、次に掲げる措置とする。
  1. 一 当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること。
  2. 二 当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データ(第三十一条の二第二項において読み替えて準用する場合にあっては、個人関連情報)の当該第三者への提供を停止すること。
  1. 法第二十八条第三項の規定により情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。
  2. 個人情報取扱事業者は、法第二十八条第三項の規定による求めを受けたときは、本人に対し、遅滞なく、次に掲げる事項について情報提供しなければならない。ただし、情報提供することにより当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、その全部又は一部を提供しないことができる。
    1. 一 当該第三者による法第二十八条第一項に規定する体制の整備の方法
    2. 二 当該第三者が実施する相当措置の概要
    3. 三 第一項第一号の規定による確認の頻度及び方法
    4. 四 当該外国の名称
    5. 五 当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要
    6. 六 当該第三者による相当措置の実施に関する支障の有無及びその概要
    7. 七 前号の支障に関して第一項第二号の規定により当該個人情報取扱事業者が講ずる措置の概要
  3. 個人情報取扱事業者は、法第二十八条第三項の規定による求めに係る情報の全部又は一部について提供しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
  4. 個人情報取扱事業者は、前項の規定により、本人から求められた情報の全部又は一部について提供しない旨を通知する場合には、本人に対し、その理由を説明するよう努めなければならない。
【法の規定により遵守すべき事項等】
  • 健保組合等が、法第28条の規定に基づき、外国にある第三者に個人データを提供する場合には、法第27条第1項各号(※)に定める場合を除き、外国にある第三者へ提供することについて本人の同意を得なければならない。
  • ただし、次の①又は②のいずれかに該当する場合は、国内と同様に法第27条第1項柱書の規定に基づく本人同意による第三者提供、又は同条第5項に基づく委託、共同利用による提供が可能である。
    • ①外国にある第三者が日本と同等の水準にあると認められる個人情報保護制度を有している国として個人情報の保護に関する法律施行規則(平成28年個人情報保護委員会規則第3号。以下「規則」という。)で定める国にある場合
    • ②外国にある第三者が、個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制として規則で定める基準に適合する体制を整備している場合
      (※)法第27条第1項各号
      • 法令に基づいて個人データを提供する場合(第1号関係)
      • 人(法人を含む。)の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得ることが困難である場合(第2号関係)
      • 公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることが困難である場合(第3号関係)
      • 国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であって、協力する民間企業等が当該国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合(第4号関係)
      • 個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき(個人の権利利益を不当に侵害するおそれがある場合を除く。)(第5号関係)
      • 個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき(当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)(当 該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。)(第6号関係)
      • 第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき(当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)(第7号関係)

9.第三者提供に係る記録の作成等(法第29条)

詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン(第三者提供時の確認・記録義務編)」(平成28年個人情報保護委員会告示第8号)を参照のこと。

(第三者提供に係る記録の作成等)
法第二十九条

個人情報取扱事業者は、個人データを第三者(第十六条第二項各号に掲げる者を除く。略)に提供したときは、個人情報保護委員会規則で定めるところにより、当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。ただし、当該個人データの提供が第二十七条第一項各号又は第五項各号のいずれか(略)に該当する場合は、この限りでない。

  1. 個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。
(第三者提供に係る記録の作成)
規則第十九条

法第二十九条第一項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。

  1. 法第二十九条第一項の記録は、個人データを第三者(略)に提供した都度、速やかに作成しなければならない。ただし、当該第三者に対し個人データを継続的に若しくは反復して提供(略)したとき、又は当該第三者に対し個人データを継続的に若しくは反復して提供することが確実であると見込まれるときの記録は、一括して作成することができる。
  2. 前項の規定にかかわらず、法第二十七条第一項又は法第二十八条第一項の規定により、本人に対する物品又は役務の提供に関連して当該本人に係る個人データを第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に次条第一項各号に定める事項が記載されているときは、当該書面をもって法第二十九条第一項の当該事項に関する記録に代えることができる。
(第三者提供に係る記録事項)
規則第二十条

法第二十九条第一項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。

  1. 一 法第二十七条第二項の規定により個人データを第三者に提供した場合 次のイからニまでに掲げる事項
    • イ 当該個人データを提供した年月日
    • ロ 当該第三者の氏名又は名称 及び住所並びに法人にあっては、その代表者(法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。第二十八条 第一項第三号において同じ。)の氏名 (不特定かつ多数の者に対して提供したときは、その旨)
    • ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
    • ニ 当該個人データの項目
  2. 二 法第二十七条第一項又は法第二十八条の規定により個人データを第三者に提供した場合 次のイ及びロに掲げる事項
    • イ 法第二十七条第一項又は法第二十八条第一項の本人の同意を得ている旨
    • ロ 前号ロからニまでに掲げる事項
  1. 前項各号に定める事項のうち、既に前条に規定する方法により作成した法第二十九条第一項の記録(当該記録を保存している場合におけるものに限る。)に記録されている事項と内容が同一であるものについては、法第二十九条第一項の当該事項の記録を省略することができる。
(第三者提供に係る記録の保存期間)
規則第二十一条

法第二十九条第二項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とする。

  1. 一 第十九条第三項に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を行った日から起算して一年を経過する日までの間
  2. 二 第十九条第二項ただし書に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を行った日から起算して三年を経過する日までの間
  3. 三 前二号以外の場合 三年
  • 記録義務が適用されない場合

    以下の場合には記録義務が適用されない。

    • ①第三者が法第16条第2項各号に掲げる者である場合

      以下の1)から4)までに掲げる者との間で個人データの授受を行う場合、記録義務は適用されない。

      • 国の機関(法第16条第2項第1号関係)
      • 地方公共団体(法第16条第2項第2号関係)
      • 3)独立行政法人等(独立行政法人通則法(平成11年法律第103号)第2条第1項に規定する独立行政法人及び法別表第1に掲げる法人(法別表第2に掲げる法人を除く。)をいう。)(法第16条第2項第3号関係)
      • 地方独立行政法人(地方独立行政法人法(平成15年法律第118号)第2条第1項に規定する地方独立行政法人をいう。)(法第16条第2項第4号関係)
    • ②法第27条第1項各号に該当する場合(Ⅲ7.(2)参照)

      個人データが転々流通することは想定されにくいことに鑑み、記録義務は適用されない。

      • 法令に基づいて個人データを提供する場合(第1号関係)
        (例)
        • 番号法に定める情報連携
        • 特定健診、保健指導の実施状況管理及び国への報告
      • 人(法人を含む。)の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得ることが困難である場合(第2号関係)
      • 公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることが困難である場合(第3号関係)
      • 国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であって、協力する民間企業等が当該国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合(第4号関係)
      • 個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき(個人の権利利益を不当に侵害するおそれがある場合を除く。)(第5号関係)
      • 個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき(当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)(当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。)(第6号関係)
      • 第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき(当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)(第7号関係)
    • ③法第27条第5項各号に該当する場合(Ⅲ7.(4)参照)

      「第三者に該当しないものとする」とされていることに鑑み、記録義務は適用されない。

      • 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合(法第27条第5項第1号関係)
        (例)
        • 海外療養費に係る翻訳のための外部委託
        • 被保険者等の資格等のデータ処理の外部委託
        • 保健指導、健康相談に係る産業医への委託
        • 医療機関への健診の委託
        • 健康増進施設(保養所等)の運営の委託
        • レセプトデータの内容点検・審査の委託
        • レセプトデータの電算処理のためのパンチ入力、画像取込み処理の委託
        • 医療費分析及び医療費通知に係るデータ処理等の外部委託
      • 合併その他の事由による事業の承継に伴って個人データが提供される場合(法第27条第5項第2号関係)
      • 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき(法第27条第5項第3号関係)
      (例)
      • 健保連の高額医療給付の共同事業
      • コラボヘルスの一環である健診結果の事業主への提供
      • 健康保険組合連合会本部における医療費分析事業への参画
    • ④本人に代わって提供している場合

      健保組合等が被保険者本人からの委託等に基づき当該本人の個人データを第三者提供する場合は、当該個人情報取扱事業者は「本人に代わって」個人データの提供をしているものである。

      したがって、この場合の第三者提供については、記録義務は適用されない。

      (例)
      • 高額療養費、付加給付を事業主経由で支給する場合において明細などの個人データを事業主に提供した場合
      • 第三者求償事務において、保険会社・医療機関等への相談又は届出等
    • ⑤本人と一体と評価できる関係にある者に提供する場合

      本人の代理人又は家族等、本人と一体と評価できる関係にある者に提供する場合、本人側に対する提供とみなし、記録義務は適用されない。

      (例)
      • 医療費通知を世帯ごとにまとめて行う場合において家族分の個人データを本人にWEB上等で提供した場合
  • 【法の規定により遵守すべき事項等】
  • 記録義務の適用

    (1)に記載したいずれの場合にも該当しない場合で、健保組合等が個人データを第三者に提供したときは、法令に定める記録の作成及びその記録を保存しなければならない。

    • ①記録を作成する方法など
      • 記録を作成する媒体

        健保組合等は、記録を、文書、電磁的記録又はマイクロフィルムを用いて作成しなければならない。

      • 記録を作成する方法

        健保組合等は、原則として、個人データの授受の都度、速やかに記録を作成しなければならない。

      • 一括して記録を作成する方法

        一定の期間内に特定の事業者との間で継続的に又は反復して個人データを授受する場合は、個々の授受に係る記録を作成する代わりに、一括して記録を作成することができる。

      • 契約書等の代替手段による方法

        健保組合等が、本人に対する物品又は役務の提供に係る契約を締結し、その契約の履行に伴って、契約の相手方を本人とする個人データを健保組合等から第三者に提供する場合は、その提供の際に作成した契約書その他の書面をもって個人データの流通を追跡することが可能であるから当該契約書その他の書面をもって記録とすることができる。

      • 代行により記録を作成する方法

        提供者、受領者のいずれも記録の作成方法、保存期間は同一であることに鑑みて受領者は提供者の記録義務の全部又は一部を代替して行うことができる(提供者と受領者の記録事項の相違については留意する必要がある。)。なお、この場合であっても、提供者及び受領者は自己の義務が免責されるわけではないことから、実質的に自ら記録作成義務を果たしているものと同等の体制を構築しなければならない。

    • ②記録事項
      • 提供者の記録事項

        健保組合等が、本人の同意に基づき個人データの第三者提供を行う場合は、次の項目を記録しなければならない。

        • 本人同意を得ている旨
        • 第三者の氏名又は名称その他の当該第三者を特定できる事項
        • 個人データによって識別される本人の氏名その他の当該本人を特定できる事項
        • 個人データの項目
    • ③記録事項の省略

      複数回にわたって同一「本人」の個人データの授受をする場合において、同一の内容である事項を重複して記録する必要はない。既に「7.(2)記録義務の適用」に規定する方法により作成した記録(現に保存している場合に限る。)に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。

    • ④保存期間

      健保組合等は、作成した記録を規則で定める期間保存しなければならない。保存期間は記録の作成方法によって異なるので留意が必要である。

      記録の作成方法の別保存期間
      契約書等の代替手段による方法により記録を作成した場合 最後に当該記録に係る個人データの提供を行った日から起算して1年を経過する日までの間
      一括して記録を作成する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を行った日から起算して3年を経過する日までの間
      上記以外の場合 3年

10.第三者提供を受ける際の確認等(法第30条)

詳細は、別途定める「個人情報の保護に関する法律についてのガイドライン(第三者提供時の確認・記録義務編)」(平成28年個人情報保護委員会告示第8号)を参照のこと。

(第三者提供を受ける際の確認等)
法第三十条

個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、個人情報保護委員会規則で定めるところにより、次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供が第二十七条第一項各号又は第五項各号のいずれかに該当する場合は、この限りでない。

  1. 一 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
  2. 二 当該第三者による当該個人データの取得の経緯
  1. 前項の第三者は、個人情報取扱事業者が同項の規定による確認を行う場合において、当該個人情報取扱事業者に対して、当該確認に係る事項を偽ってはならない。
  2. 個人情報取扱事業者は、第一項の規定による確認を行ったときは、個人情報保護委員会規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。
  3. 個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。
(第三者提供を受ける際の確認)
規則第二十二条

法第三十条第一項の規定による同項第一号に掲げる事項の確認を行う方法は、個人データを提供する第三者から申告を受ける方法その他の適切な方法とする。

  1. 法第三十条第一項の規定による同項第二号に掲げる事項の確認を行う方法は、個人データを提供する第三者から当該第三者による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法とする。
  2.  (略)
(第三者提供を受ける際の確認に係る記録の作成)
規則第二十三条

法第三十条第三項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。

  1. 法第三十条第三項の記録は、第三者から個人データの提供を受けた都度、速やかに作成しなければならない。ただし、当該第三者から継続的に若しくは反復して個人データの提供(法第二十七条第二項の規定による提供を除く。以下この条において同じ。)を受けたとき、又は当該第三者から継続的に若しくは反復して個人データの提供を受けることが確実であると見込まれるときの記録は、一括して作成することができる。
  2. 前項の規定にかかわらず、本人に対する物品又は役務の提供に関連して第三者から当該本人に係る個人データの提供を受けた場合において、当該提供に関して作成された契約書その他の書面に次条第一項各号に定める事項が記載されているときは、当該書面をもって法第三十条第三項の当該事項に関する記録に代えることができる。
(第三者提供を受ける際の記録事項)
規則第二十四条

法第三十条第三項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。

  1. 一 個人情報取扱事業者から法第二十七条第二項の規定による個人データの提供を受けた場合 次のイからホまでに掲げる事項
    • イ 個人データの提供を受けた年月日
    • ロ 法第三十条第一項各号に掲げる事項
    • ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
    • ニ 当該個人データの項目
    • ホ 法第二十七条第四項の規定により公表されている旨
  2. 二 個人情報取扱事業者から法第二十七条第一項又は法第二十八条第一項の規定による個人データの提供を受けた場合 次のイ及びロに掲げる事項
    • イ 法第二十七条第一項又は法第二十八条第一項の本人の同意を得ている旨
    • ロ 前号ロからニまでに掲げる事項
  3. 三個人関連情報取扱事業者から法第三十一条第一項の規定による個人関連情報の提供を受けて個人データとして取得した場合 次のイからニまでに掲げる事項
    • イ 法第三十一条第一項第一号の本人の同意が得られている旨及び外国にある個人情報取扱事業者にあっては、同項第二号の規定による情報の提供が行われている旨
    • ロ 法第三十条第一項第一号に掲げる事項
    • ハ 第一号ハに掲げる事項
    • ニ 当該個人関連情報の項目
  4. 四 第三者(個人情報取扱事業者に該当する者を除く。)から個人データの提供を受けた場合 第一号ロからニまでに掲げる事項
  1. (略)
(第三者提供を受ける際の記録の保存期間)
規則第二十五条

法第三十条第四項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とする。

  1. 一 第二十三条第三項に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を受けた日から起算して一年を経過する日までの間
  2. 二 第二十三条第二項ただし書に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を受けた日から起算して三年を経過する日までの間
  3. 三 前二号以外の場合 三年
  • 確認・記録義務が適用されない場合

    「9.第三者提供に係る記録の作成等(法第29条)の場合と同様、①第三者が法第16条第2項各号に掲げる者である場合、②法第27条第1項各号に該当する場合(Ⅲ7.(2)参照)、③法第27条第5項各号に該当する場合(Ⅲ7.(4)参照)、④本人に代わって提供された個人データを受ける場合、⑤本人と一体と評価できる関係にある者に該当する場合は、確認・記録義務は適用されない。なお、具体的事例は、9.(1)を参照のこと。

    加えて、以下の場合においても確認・記録義務は適用されない。

    • ⑥受領者にとって個人データに該当しない場合

      提供者にとって個人データに該当するが受領者にとって個人データに該当しない情報を受領した場合は、確認・記録義務は適用されない。

    • ⑦受領者にとって個人情報に該当しない場合

      次の事例のように、提供者にとって個人データに該当する場合であっても、受領者にとっては「個人情報」に該当しない(当然に個人データにも該当しない。)情報を受領した場合は、確認・記録義務は適用されない。

      【受領者にとって個人情報に該当しない事例】
      (例)
      • 提供者が氏名を削除するなどして個人を特定できないようにしたデータの提供を受けた場合
      • 提供者で管理しているID番号のみが付されたデータの提供を受けた場合
【法の規定により遵守すべき事項等】
  • 確認義務の適用

    健保組合等は第三者から個人データの提供を受ける際は、当該第三者に対して、次のとおり確認を行わなければならない。

    • ①確認方法
      • 第三者の氏名及び住所並びに法人にあっては、その代表者の氏名
      • 第三者による個人データの取得の経緯
      • 法の遵守状況【その他の事項】

        健保組合等が、他の事業者から個人データの提供を受ける際には、当該事業者の法の遵守状況(例えば、利用目的、開示手続、問合せ・苦情の受付窓口の公表、オプトアウトによる第三者提供により個人データの提供を受ける際には当該事業者の届出事項が個人情報保護委員会により公表されている旨など)についても確認することが望ましい。

    • ②既に確認を行った第三者に対する確認方法

      複数回にわたって同一「本人」の個人データの授受をする場合において、同一の内容である事項を重複して確認する合理性はないため、既に「①確認方法」に規定する方法により確認を行い、「10.(3)記録義務の適用」に規定する方法により作成し、かつ、その時点において保存している記録に記録された事項と内容が同一であるものについては、当該事項の確認を省略することができる。

  • 記録義務の適用

    また、健保組合等は、第三者から個人データの提供を受けたときは法令に定める記録を作成し、かつ、その記録を保存しなければならない。

    • ①記録を作成する方法など
      • 記録を作成する媒体

        健保組合等は、記録を、文書、電磁的記録又はマイクロフィルムを用いて作成しなければならない。

      • 記録を作成する方法

        健保組合等は、原則として、個人データの授受の都度、速やかに記録を作成しなければならない。

      • 一括して記録を作成する方法

        一定の期間内に特定の事業者との間で継続的に又は反復して個人データを授受する場合は、個々の授受に係る記録を作成する代わりに、一括して記録を作成することができる。

      • 契約書等の代替手段による方法

        健保組合等が、本人に対する物品又は役務の提供に係る契約を締結し、その契約の履行に伴って、契約の相手方を本人とする個人データを第三者から提供を受ける場合は、その提供の際に作成した契約書その他の書面をもって個人データの流通を追跡することが可能であるから当該契約書その他の書面をもって記録とすることができる。

      • 代行により記録を作成する方法

        提供者、受領者のいずれも記録の作成方法、保存期間は同一であることに鑑みて提供者は受領者の記録義務の全部又は一部を代替して行うことができる(提供者と受領者の記録事項の相違については留意する必要がある。)。なお、この場合であっても、提供者及び受領者は自己の義務が免責されるわけではないことから、実質的に自ら記録作成義務を果たしているものと同等の体制を構築しなければならない。

    • ②記録事項
      • 受領者の記録事項

        健保組合等が、本人の同意に基づき個人データの第三者提供を受ける場合は、次の項目を記録しなければならない。

        • 本人同意を得ている旨
        • 第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
        • 第三者による当該個人データの取得の経緯
        • 個人データによって識別される本人の氏名その他の当該本人を特定できる事項
        • 個人データの項目
    • ③記録事項の省略

      複数回にわたって同一「本人」の個人データの授受をする場合において、同一の内容である事項を重複して記録する必要はない。既に「10.(3)記録義務の適用」に規定する方法により作成した記録(現に保存している場合に限る。)に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。

    • ④保存期間

      健保組合等は、作成した記録を規則で定める期間保存しなければならない。保存期間は記録の作成方法によって異なるので留意が必要である。

    記録の作成方法の別保存期間
    契約書等の代替手段による方法により記録を作成した場合 最後に当該記録に係る個人データの提供を行った日から起算して1年を経過する日までの間
    一括して記録を作成する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を行った日から起算して3年を経過する日までの間
    上記以外の場合 3年

11.保有個人データに関する事項の公表等(法第32条)

(保有個人データに関する事項の公表等)
法第三十二条

個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態(本人の求めに応じて遅滞なく回答する場合を含む。)に置かなければならない。

  1. 一 当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
  2. 二 全ての保有個人データの利用目的(第二十一条第四項第一号から第三号までに該当する場合を除く。)
  3. 三 次項の規定による求め又は次条第一項、(同条第五項において準用する場合を含む。) 、 第三十四条第一項若しくは第三十五条第一項、第三項若しくは第五項の規定による請求に応じる手続(第三十八条第二項の規定により手数料の額を定めたときは、その手数料の額を含む。)
  4. 四 前三号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの
  1. 個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りでない。
    1. 一 前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合
    2. 二 第二十一条第四項第一号から第三号までに該当する場合
  2. 個人情報取扱事業者は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
(保有個人データの適正な取扱いの確保に関し必要な事項)
令第十条

法第三十二条第一項第四号の政令で定めるものは、次に掲げるものとする。

  1. 一 法第二十三条の規定により保有個人データの安全管理のために講じた措置(本人の知り得る状態(本人の求めに応じて遅滞なく回答する場合を含む。)に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれが あるものを除く。)
  2. 二 当該個人情報取扱事業者が行う保有個人データの取扱いに関する苦情の申出先
  3. 三 当該個人情報取扱事業者が認定個人情報保護団体の対象事業者である場合にあっては、当該認定個人情報保護団体の名称及び苦情の解決の申出先
【法の規定により遵守すべき事項等】
  • 健保組合等は、保有個人データに関し、(ア)当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名、(イ)全ての保有個人データの利用目的(法第21条第4項第1号から第3号までに規定された例外の場合を除く。)、(ウ)保有個人データの利用目的の通知、開示、訂正、利用停止等の手続の方法、及び保有個人データの利用目的の通知又は開示に係る手数料の額、(エ)苦情の申出先等について、本人の知り得る状態(本人の求めに応じて遅滞なく回答する場合を含む。)に置かなければならない。 ・健保組合等は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、上記の措置により利用目的が明らかになっている場合及び法第21条第4項第1号から第3号までの例外に相当する場合を除き、遅滞なく通知しなければならない。
  • 健保組合等は、利用目的の通知をしない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
  • 法施行前から保有している個人情報についても同様の取扱いを行う。
【その他の事項】
  • 健保組合等は、保有個人データについて、その利用目的、開示、訂正、利用停止等の手続の方法及び利用目的の通知又は開示に係る手数料の額、苦情の申出先等について、少なくとも健保組合等のホームページへの掲載のほか、パンフレットの配布、事業所担当窓口や健保組合等の掲示板への掲示・備付け、公告等により情報提供先をできるだけ明らかにするとともに、被保険者等からの要望により書面を交付したり、問合せがあった場合に具体的内容について回答できる体制を確保する。

12.本人からの請求による保有個人データの開示(法第33条)

(開示)
法第三十三条

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの電磁的記録の提供による方法その他の個人情報保護委員会規則で定める方法による開示を請求することができる。

  1. 個人情報取扱事業者は、前項の規定による請求を受けたときは、本人に対し、同項の規定により当該本人が請求した方法(当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法)により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
    1. 一 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
    2. 二 当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
    3. 三 他の法令に違反することとなる場合
  2. 個人情報取扱事業者は、第一項の規定による請求に係る保有個人データの全部若しくは一部について開示しない旨の決定をしたとき、当該保有個人データが存在しないとき、又は同項の規定により本人が請求した方法による開示が困難であるときは、本人に対し、遅滞なく、その旨を通知しなければならない。
  3. 他の法令の規定により、本人に対し第二項本文に規定する方法に相当する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている場合には、当該全部又は一部の保有個人データについては、第一項及び第二項の規定は、適用しない。
  4. 第一項から第三項までの規定は、当該本人が識別される個人データに係る第二十九条第一項及び第三十条第三項の記録(その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるものを除く。第三十七条第二項において「第三者提供記録」という。)について 準用する。
(第三者提供記録から除外されるもの)
令第十一条

法第三十三条第五項の政令で定めるものは、次に掲げるものとする。

  1. 一 当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの
  2. 二 当該記録の存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの
  3. 三 当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの
  4. 四 当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの
(本人が請求することができる開示の方法)
規則第三十条

法第三十三条第一項(同条第五項において準用する場合を含む。)の個人情報保護委員会規則で定める方法は、電磁的記録の提供による方法、s書面の交付による方法その他当該個人情報取扱事業者の定める方法とする。


  • 開示の原則

    健保組合等は、本人から、当該本人が識別される保有個人データの開示の請求を受けたときは、本人に対し、当該本人が請求した方法により、遅滞なく、当該保有個人データを開示しなければならない。

  • 開示の例外

    開示することで、法第33条第2項各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。

    開示することで、法第33条第2項第1号の「本人又は第三者の権利利益を害するおそれがある」かどうかの判断は、健保組合等においては容易でないため、別に定める指針(「診療報酬明細書等の被保険者等への開示について」(平成17年3月31日保険局長通知)の内容)に基づき、開示に当たって、主治医の判断を要するものとする。

【法の規定により遵守すべき事項等】
  • 健保組合等は、本人から、当該本人が識別される保有個人データの開示の請求を受けたときは、本人に対し、遅滞なく、当該保有個人データを開示しなければならない。また、当該本人が識別される保有個人データが存在しないときにその旨知らせることとする。ただし、開示することにより、法第33条第2項各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
  • Ⅱ1.に記したとおり、例えばレセプトの情報の中には、被保険者等の保有個人データであって、当該レセプトに係る診察をした医師の保有個人データでもあるという二面性を持つ部分が含まれるものの、そもそもレセプト全体が被保険者等の保有個人データであることから、被保険者等本人から開示の請求があった場合に、その二面性があることを理由に全部又は一部を開示しないことはできない。ただし、法第33条第2項各号のいずれかに該当する場合には、法に従い、その全部又は一部を開示しないことができる。
  • 開示の方法は、電磁的記録の提供による方法、書面の交付による方法その他当該個人情報取扱事業者の定める方法による。
  • 健保組合等は、請求を受けた保有個人データの全部又は一部について開示しない旨を決定したときは、本人に対し、遅滞なく、その旨を通知しなければならない。また、本人に通知する場合には、本人に対してその理由を説明するよう努めなければならない(Ⅲ15.参照)。
  • 他の法令の規定により、保有個人データの開示について定めがある場合には、当該法令の規定によるものとする。
【その他の事項】
  • 法定代理人等、開示の請求を行い得る者から開示の請求があった場合、原則として被保険者等本人に対し保有個人データの開示を行う旨の説明を行った後、法定代理人等に対して開示を行うものとする。
  • 健保組合等は、保有個人データの全部又は一部について開示しない旨決定した場合、本人に対するその理由の説明に当たっては、文書により示すことを基本とする。また、苦情への対応体制についても併せて説明することが望ましい。

13.訂正及び利用停止(法第34条、第35条)

(訂正等)
法第三十四条

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの内容が事実でないときは、当該保有個人データの内容の訂正、追加又は削除(以下この条において「訂正等」という。)を請求することができる。

  1. 個人情報取扱事業者は、前項の規定による請求を受けた場合には、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。
  2. 個人情報取扱事業者は、第一項の規定による請求に係る保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨(訂正等を行ったときは、その内容を含む。)を通知しなければならない。
(利用停止等)
法第三十五条

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第十八条若しくは第十九条の規定に違反して取り扱われているとき、又は第二十条の規定に違反して取得されたものであるときは、当該保有個人データの利用の停止又は消去(以下この条において「利用停止等」という。)を請求することができる。

  1. 個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
  2. 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第二十七条第一項又は第二十八条の規定に違反して第三者に提供されているときは、当該保有個人データの第三者への提供の停止を請求することができる。
  3. 個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
  4. 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データを当該個人情報取扱事業者が利用する必要がなくなった場合、当該本人が識別される保有個人データに係る第二十六条第一項本文に規定する事態が生じた場合その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合には、当該保有個人データの利用停止等又は第三者への提供の停止を請求することができる。
  5. 個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行わなければならない。ただし、当該保有個人データの利用停止等又は第三者への提供の停止に多額の費用を要する場合その他の利用停止等又は第三者への提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
  6. 個人情報取扱事業者は、第一項若しくは第五項の規定による請求に係る保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は第三項若しくは第五項の規定による請求に係る保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
【法の規定により遵守すべき事項等】
  • 健保組合等は、法第34条第2項又は第35条第2項、第4項若しくは第6項の規定に基づき、本人から、保有個人データの訂正等、利用停止等、第三者への提供の停止の請求を受けた場合で、それらの請求が適正であると認められるときは、これらの措置を行わなければならない。
  • ただし、利用停止等及び第三者への提供の停止については、利用停止等に多額の費用を要する場合など当該措置を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
  • なお、以下の場合については、これらの措置を行う必要はない。
    • ①訂正等の請求があった場合であっても、(ア)利用目的から見て訂正等が必要でない場合、(イ)誤りである指摘が正しくない場合又は(ウ)訂正等の対象が事実でなく評価に関する情報である場合
    • ②利用停止等、第三者への提供の停止の請求があった場合であっても、手続違反等の指摘が正しくない場合
  • 健保組合等は、上記の措置を行ったとき、又は行わない旨を決定したときは、本人に対し、遅滞なく、その旨を通知しなければならない。また、本人に通知する場合には、本人に対してその理由を説明するよう努めなければならない(Ⅲ15.参照)。
【その他の事項】
  • 健保組合等は、訂正等、利用停止等又は第三者への提供の停止の請求を受けた保有個人データの全部又は一部について、これらの措置を行わない旨決定した場合、本人に対するその理由の説明に当たっては、文書により示すことを基本とする。その際は、苦情への対応体制についても併せて説明することが望ましい。
  • 保有個人データの訂正等にあたっては、訂正した者、内容、日時等が分かるように行われなければならない。
  • 保有個人データの字句などを不当に変える改ざんは、行ってはならない。

14.開示等の請求等に応じる手続及び手数料(法第37条、第38条)

(開示等の請求等に応じる手続)
法第三十七条

個人情報取扱事業者は、第三十二条第二項の規定による求め又は第三十三条第一項(同条第五項において準用する場合を含む。次条第一項及び第三十九条において同じ。)、第三十四条第一項若しくは第三十五条第一項、第三項若しくは第五項の規定による請求(以下この条及び第五十四条第一項において「開示等の請求等」という。)に関し、政令で定めるところにより、その求め又は請求を受け付ける方法を定めることができる。この場合において、本人は、当該方法に従って、開示等の請求等を行わなければならない。

  1. 個人情報取扱事業者は、本人に対し、開示等の請求等に関し、その対象となる保有個人データ又は第三者提供記録を特定するに足りる事項の提示を求めることができる。この場合において、個人情報取扱事業者は、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データ又は当該第三者提供記録の特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。
  2. 開示等の請求等は、政令で定めるところにより、代理人によってすることができる。
  3. 個人情報取扱事業者は、前三項の規定に基づき開示等の請求等に応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。
(手数料)
法第三十八条

個人情報取扱事業者は、第三十二条第二項の規定による利用目的の通知を求められたとき又は第三十三条第一項の規定による開示の請求を受けたときは、当該措置の実施に関し、手数料を徴収することができる。

  1. 個人情報取扱事業者は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。
(開示等の請求等を受け付ける方法)
令第十二条

法第三十七条第一項の規定により個人情報取扱事業者が開示等の請求等を受け付ける方法として定めることができる事項は、次に掲げるとおりとする。

  1. 一 開示等の請求等の申出先
  2. 二 開示等の請求等に際して提出すべき書面(電磁的記録を含む。第三十三条第一項及び第三十八条第三項において同じ。)の様式その他の開示等の請求等の方式
  3. 三 開示等の請求等をする者が本人又は次条に規定する代理人であることの確認の方法
  4. 四 法第三十八条第一項の手数料の徴収方法
(開示等の請求等をすることができる代理人)
令第十三条

法第三十七条第三項の規定により開示等の請求等をすることができる代理人は、次に掲げる代理人とする。

  1. 一 未成年者又は成年被後見人の法定代理人
  2. 二  開示等の請求等をすることにつき本人が委任した代理人
  • 開示等を行う情報の特定

    健保組合等は、本人に対し、開示等の請求等に関して、その対象となる保有個人データ又は第三者提供記録を特定するに足りる事項の提示を求めることができるが、この場合には、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データ又は第三者提供記録の特定に資する情報の提供その他本人の利便を考慮した措置をとらなければならない。

    また、保有個人データの開示等については、本人の請求等により、保有個人データの全体又は一部が対象となるが、当該本人の保有個人データが多岐にわたる、データ量が膨大であるなど、全体の開示等が困難又は非効率な場合、健保組合等は、本人が開示等の請求等を行う情報の範囲を特定するのに参考となる情報を提供するなど、本人の利便を考慮した支援を行うものとする。

  • 代理人による開示等の請求等

    保有個人データの開示等については、本人のほか、①未成年者又は成年被後見人の法定代理人、②開示等の請求等をすることにつき本人が委任した代理人により行うことができる。

【法の規定により遵守すべき事項等】
  • 健保組合等は、保有個人データの開示等の請求等に関し、本人に過重な負担を課すものとならない範囲において、以下の事項について、その請求を受け付ける方法を定めることができる。
    • (ア)開示等の請求等の受付先
    • (イ)開示等の請求等に際して提出すべき書面の様式、その他の開示等の請求等の受付方法
    • (ウ)開示等の請求等をする者が本人又はその代理人であることの確認の方法
    • (エ)保有個人データの利用目的の通知、又は保有個人データの開示をする際に徴収する手数料の徴収方法
  • 健保組合等は、本人に対し、開示等の請求等に関して、その対象となる保有個人データ又は第三者提供記録を特定するに足りる事項の提示を求めることができるが、この場合には、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データ又は第三者提供記録の特定に資する情報の提供その他本人の利便を考慮した措置をとらなければならない。
  • 保有個人データの開示等の請求等は、本人のほか、未成年者又は成年被後見人の法定代理人、当該請求等をすることにつき本人が委任した代理人によってすることができる。
  • 健保組合等は、保有個人データの利用目的の通知を求められたとき、又は保有個人データの開示を請求されたときは、当該措置の実施に関し、手数料を徴収することができ、その際には実費を勘案して合理的であると認められる範囲内において、手数料の額を定めなければならない。
【その他の事項】
  • 健保組合等は、以下の点に留意しつつ、保有個人データの開示の手続を定めることが望ましい。
    • -開示等の請求等の方法は書面によることが望ましいが、被保険者等の自由な請求等を阻害しないため、開示等を請求する理由を要求することは不適切である。
    • -開示等を請求する者が本人(又はその代理人)であることを確認する。
    • -開示等の請求等があった場合、医療機関に確認した上で、速やかに保有個人データの開示等を決定し、これを開示の請求等を行った者に通知する。
    • -保有個人データの開示に当たり、法第33条第2項各号に該当する可能性がある場合には、開示の可否について検討するために設置した検討委員会等において検討した上で、速やかに開示の可否を決定することが望ましい。
    • -保有個人データの開示を行う場合には、本人に過重な負担を課すものとならない範囲で、日時、場所、方法等を指定することができる。
  • 代理人等、開示の請求等を行い得る者から開示の請求等があった場合、原則として被保険者等に対し保有個人データの開示を行う旨の説明を行った後、開示の請求等を行った者に対して開示を行うものとする。
  • 代理人等からの請求等があった場合で、①本人による具体的意思を把握できない包括的な委任に基づく請求、②開示等の請求が行われる相当以前に行われた委任に基づく請求が行われた場合には、本人への説明に際し、開示の請求等を行った者及び開示する個人データの内容について十分説明し、本人の意思を確認するとともに代理人の請求の適正性、開示の範囲等について本人の意思を踏まえた対応を行うものとする。

15.理由の説明、事前の請求、苦情の処理(法第36条、第39条、第40条)

(理由の説明)
法第三十六条

個人情報取扱事業者は、第三十二条第三項、第三十三条第三項(同条第五項において準用する場合を含む。)、第三十四条第三項又は前条第七項の規定により、本人から求められ、又は請求された措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合には、本人に対し、その理由を説明するよう努めなければならない。

(事前の請求)
法第三十九条

本人は、第三十三条第一項、第三十四条第一項又は第三十五条第一項、第三項若しくは第五項の規定による請求に係る訴えを提起しようとするときは、その訴えの被告となるべき者に対し、あらかじめ、当該請求を行い、かつ、その到達した日から二週間を経過した後でなければ、その訴えを提起することができない。ただし、当該訴えの被告となるべき者がその請求を拒んだときは、この限りでない。

  1. 前項の請求は、その請求が通常到達すべきであった時に、到達したものとみなす。
  2. 前二項の規定は、第三十三条第一項、第三十四条第一項又は第三十五条第一項、第三項若しくは第五項の規定による請求に係る仮処分命令の申立てについて準用する。
(個人情報取扱事業者による苦情の処理)
法第四十条

個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。

  1. 個人情報取扱事業者は、前項の目的を達成するために必要な体制の整備に努めなければならない。
【法の規定により遵守すべき事項等】
  • 健保組合等は、本人から求められた保有個人データの利用目的の通知、又は本人から請求された開示、訂正等、利用停止等において、その措置をとらない旨又はその措置と異なる措置をとる旨本人に通知する場合は、本人に対して、その理由を説明するよう努めなければならない。また、苦情への対応体制についても併せて説明しなければならない。
  • 健保組合等は、個人情報の取扱いに関する苦情の適切かつ迅速な対応に努めなければならない。また、健保組合等は、苦情の適切かつ迅速な対応を行うにあたり、苦情への対応窓口の設置や苦情への対応の手順を定めるなど必要な体制の整備に努めなければならない。
【その他の事項】
  • 健保組合等は、本人に対して理由を説明する際には、文書により示すことを基本とする。その際は、苦情への対応の体制についても併せて説明することが望ましい。
  • 健保組合等は、被保険者等からの苦情への対応にあたり、専用の窓口の設置など、被保険者等が相談を行いやすい環境の整備に努める。
  • 健保組合等関係事業者は、被保険者等からの苦情への対応体制等について健保組合等のホームページへの掲載のほか、パンフレットの配布、事業所担当窓口や健保組合等の掲示板への掲示・備付け、公告等を行うことで被保険者等に対して周知することが望ましい。

Ⅳ ガイダンスの見直し等

  1. 必要に応じた見直し

    個人情報の保護に関する考え方は、社会情勢や国民の意識の変化に対応して変化していくものと考えられる。

    このため、本ガイダンスについても必要に応じ検討及び見直しを行うものとする。

  2. 本ガイダンスを補完する事例集等の作成・公開

    個人情報保護委員会及び厚生労働省は、健保組合等における個人情報の保護を推進し、健保組合等における円滑な対応が図られるよう、本ガイダンスを補完する事例集(Q&A)の作成等を行い、公表するものとする。

別表1 健保組合等が保有する個人情報の例

個人情報の種類 情報の内容
適用関連
  • 保険者番号及び被保険者等記号・番号、氏名、生年月日、性別、個人番号
  • 資格取得・喪失日、報酬・賞与実績、被扶養者有無、前年度収入額

*被扶養者の場合、上記に加え被保険者本人との生計維持関係を示す情報(続柄・同居有無等)

*任意継続被保険者の場合、上記に加え住所所在地等連絡先

保険給付関連(現物)
  • 診療報酬明細書(レセプト)記載情報

【診療年月日・日数、受診医療機関名称・所在地、傷病名、診療内容、医療費等にかかる情報】

保険給付関連(現金)
  • 療養費、移送費関連

【治療用装具内容・装着日、柔道整復師・あんま・はり・きゅう・マッサージ師等にかかる情報、移送経緯・費用、その他申請理由等】

  • 傷病手当金関連

【傷病名、労務不能期間、労務不能期間中の報酬額、年金受給額、出勤状況、医師の意見にかかる情報】

  • 出産手当金・出産育児一時金関連

【出産日、出勤状況、休業期間中の報酬額、出産への処置にかかる情報】

  • 埋葬料(費)関連

【死亡年月日、埋葬に要した費用、請求者にかかる情報】

保健事業関連
*事業内容により異なる
  • 健康診査、保健指導関連(特定健康診査・特定保健指導・事業所とのコラボヘルスを含む)

【受診年月日、健診機関名称・所在地、健診・問診結果、指導結果】

別表2 健保組合等の通常業務で想定される主な利用目的

  1. 被保険者等に対する保険給付に必要な利用目的
    〔健保組合等の内部での利用に係る事例〕
    • 被保険者資格の確認、被扶養者の認定並びに健康保険被保険者証の発行管理
    • 保険給付及び付加給付の実施
    • 番号法に定める利用事務
    〔他の事業者等への情報提供を伴う事例〕
    • 高額療養費及び一部負担金還元金等の自動払いにおける給与口座(事業主)への支払い
    • 海外療養費に係る翻訳のための外部委託
    • 第三者行為に係る損保会社等への求償
    • 健保連の高額医療給付の共同事業
    • 番号法に定める情報連携
    • 被保険者等の資格等のデータ処理の外部委託
  2. 保険料の徴収等に必要な利用目的
    〔健保組合等の内部での利用に係る事例〕
    • 標準報酬月額及び標準賞与額の把握
    • 健康保険料、介護保険料、調整保険料の徴収
  3. 保健事業に必要な利用目的
    〔健保組合等の内部での利用に係る事例〕
    • 健康の保持・増進のための健診、保健指導及び健康相談
    • 特定健診、保健指導の実施
    • 健康増進施設(保養所等)の運営
    〔他の事業者等への情報提供を伴う事例〕
    • 特定健診、保健指導の実施状況管理及び国への報告
    • 保健指導、健康相談に係る産業医への委託
    • 医療機関への健診の委託
    • 健康増進施設(保養所等)の運営の委託
    • コラボヘルスの一環である健診結果の事業主への提供
    • 被保険者等への医療費通知
  4. 診療報酬の審査・支払に必要な利用目的
    〔健保組合等の内部での利用に係る事例〕
    • 診療報酬明細書(レセプト)等の内容点検・審査
    〔審査支払機関への情報提供を伴う事例〕
    • オンライン資格確認等システムを利用したレセプト振替のための加入者情報の提供
    • オンライン資格確認等システムを利用したレセプト振替のための再審査請求に係る加入者情報の照会及び提供
    〔他の事業者等への情報提供を伴う事例〕
    • レセプトデータの内容点検・審査の委託
    • レセプトデータの電算処理のためのパンチ入力、画像取込み処理の委託
  5. 健保組合等の運営の安定化に必要な利用目的
    〔健保組合等の内部での利用に係る事例〕
    • 医療費分析・疾病分析
    〔他の事業者等への情報提供を伴う事例〕
    • 医療費分析及び医療費通知に係るデータ処理等の外部委託
    • 健康保険組合連合会本部における医療費分析事業への参画
  6. その他
    〔健保組合等の内部での利用に係る事例〕
    • 健保組合等の管理運営業務のうち、業務の維持・改善のための基礎資料
    〔他の事業者等への情報提供を伴う事例〕
    • 第三者求償事務において、保険会社・医療機関等への相談又は届出等