Question: 当社では、法第32条第１項に基づき、全ての保有個人データの利用目的を本人の求めに応じて遅滞なく回答することとしています。①全ての保有個人データの利用目的について回答を求められた場合には、当該本人が識別されない保有個人データの利用目的についても回答する必要がありますか。また、その場合、本人が識別される保有個人データの利用目的とそれ以外の利用目 的とを区別して回答する必要がありますか。②同条第２項の規定に基づく利 用目的の通知の求めの場合と比べて、対象となる利用目的の範囲などに違いはありますか。

Answer: ①当該本人が識別されない保有個人データの利用目的についても回答する必要があります。この場合、本人が識別される保有個人データの利用目的とそれ以外の利用目的とを区別して回答する必要はありません。


Question: 「法第23条の規定により保有個人データの安全管理のために講じた措置」（法第32条第１項第４号・施行令第10条第１号）について、ホームページにおいては、安全管理措置の概要及び問合せ窓口を掲載し、安全管理措置の具体的な内容については、本人からの問合せに応じて遅滞なく回答する、という対応を取ることはできますか。

Answer: 個人情報取扱事業者は、「保有個人データの安全管理のために講じた措置」について、「本人の知り得る状態」に置く必要がありますが、「本人の知り得る状態」は、「本人の求めに応じて遅滞なく回答する場合」を含みます。


Question: 従業者の監督（法第24条）・委託先の監督（法第25条）についても、「法第23条の規定により保有個人データの安全管理のために講じた措置」（法第32条第１項第４号・施行令第10条第１号）として、本人の知り得る状態に置く必要がありますか。

Answer: 法第24条及び法第25条は、法第23条の安全管理措置の一環として、従業者及び委託先に対する監督義務を明記するものであり、従業者及び委託先に対する監督は、法第23条の安全管理措置の一部を成します。このため、従業者及び委託先に対する監督についても、法第23条の規定により保有個人データの安全管理のために講じた措置として、本人の知り得る状態に置く必要があります。（令和３年９月追加）


Question: 社内で取り扱う個人情報については、個人情報が検索できる状態ではありませんが、そのような状態であれば、本人からの開示の請求に応じなくてもよいですか。

Answer: 開示義務の対象は「保有個人データ」とされていますが、御指摘の場合には、特定の個人情報を検索することができない状態ですので、「個人データ」に該当しません。したがって、開示義務の対象となる「保有個人データ」にも該当しません。そのため、開示の請求に応じる法的義務は課されないと解されます。


Question: 市販の人名録を利用してダイレクトメール等を送付していた場合、人名録の利用者は、その内容の訂正、追加、削除等の権限を有していないため、保有個人データに該当しないものとして、開示等の請求を受けた場合であっても、これに応じる義務はないと考えてよいですか。

Answer: 市販の人名録を用いる場合であっても、これを営業活動等に利用している限り、このデータについては、その内容の訂正、追加、削除等の権限を有します。したがって、その他の保有個人データの要件を満たす場合には、開示等の請求に応じる義務が課され ます。


Question: 「貴社が保有する私の情報全てを開示せよ」という請求があった場合には、どのように対応したらよいですか。

Answer: 同一の情報主体についても、様々な保有個人データを保有していることが多いため、法第 32 条第２項前段により、個人情報取扱事業者は、開示を請求している本人に対して、対象となる保有個人データを特定するに足りる事項の提示を求めることができます。したがって、本人が、この求めに応じて、開示を請求する範囲を一部に特定した場合には、本人が特定した範囲で開示をすれば足ります。


Question: 保有個人データであっても、本人以外の他の個人情報（例えば、家族の氏名等）が同時に含まれているものがあります。本人からの保有個人データの開示の請求があった場合、家族の氏名等、本人以外の他の個人情報については、開示をしなくともよいですか。

Answer: 当該本人が識別される保有個人データが対象です。したがって、本人以外の他の個人情報は、開示の対象にはなりません。


Question: ユーザーから商品クレームに関する問合せ等があり、それをデータベース化しています。データベースには、ユーザーの氏名・電話番号及び対応履歴等だけでなく、会社としての所見（例えば、「悪質なクレーマーと思われる」） が記録されていることもあります。これらは全て保有個人データに該当し、開示の請求に応じなければならないですか。

Answer: いわゆる不審者、悪質なクレーマー等からの不当要求被害を防止するため、当該行為を繰り返す者を本人とする個人データを保有している場合に、当該個人データは「当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの」（施行令第４条第２号）に該当しますので、保有個人データには該当しません（ガイドライン（通則編）２－７参照）。


Question: 電磁的記録の提供による方法で保有個人データを開示する場合において、本人が指定したファイル形式や提供方法による開示が技術的に困難な場合には、どう対応すべきですか。

Answer: 個人情報取扱事業者は、本人が保有個人データの電磁的記録の提供による方法による開示を請求した場合には、当該方法による開示が困難である場合を除き、電磁的記録の提供による方法（本人が請求した方法）でこれを開示する必要があります。


Question: 雇用管理情報には、人事評価や選考に係る個々人の情報など非開示とすることが想定される情報が含まれますが、どのように対応したらよいですか。

Answer: 個人情報取扱事業者は、雇用管理情報の開示の請求に応じる手続について、あらかじめ、労働組合等と必要に応じ協議した上で、本人から開示の請求を受けた保有個人データについて、その全部又は一部を開示することによりその業務の適正な実施に著しい支障を及ぼすおそれがある場合に該当するとして非開示とすることが想定される保有個人データの開示に関する事項を定め、従業者に周知するための措置を講ずることが望ましいと考えられます。


Question: 保有個人データの開示請求を受けた場合、請求対象となるデータを検索・集約する等の一定の作業を要する場合がありますが、請求を受けてからどの程度の期間内に開示する必要がありますか。

Answer: 個人情報取扱事業者は、保有個人データの開示請求を受けたときは、「遅滞なく」これを開示する必要があります（法第33条第１項・第２項）。


Question: 顔識別機能付きカメラシステム等に顔特徴データ等を登録して保有個人データとした場合には、個人情報保護法に基づきどのように開示請求、内容の訂正、利用停止の請求等に対応する必要がありますか。

Answer: 顔識別機能付きカメラシステム等に登録された顔特徴データ等が保有個人データに該当する場合、法令に基づき開示請求等に適切に対応しなければなりません。すなわち、開示請求がなされた場合には、保有個人データの開示義務の例外事由に該当しない限り、開示請求に適切に対応しなければなりません。また、訂正等請求や利用停止等の請求が行われた際にも、法令に基づき適切に対応しなければなりません。（平成30年12月追加・令和５年５月更新）


Question: 法第31条第３項において準用される法第30条第３項の記録（個人関連情報の第三者提供に関する記録）は、法第33条第５項において準用される同条第１項に基づく第三者提供記録の開示対象となりますか。

Answer: 開示の対象となる第三者提供記録は、法第29条第１項及び法第30条第３項の記録に限られ、法第31条第３項において準用される法第30条第３項の記録（個人関連情報の第三者提供に関する記録）は第三者提供記録の開示対象となりません。（令和３年９月追加）


Question: 本人から開示請求された記録が第三者提供記録から除かれる「その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの」（法第33条第５項）に該当する場合、どのように対応すればよいですか。

Answer: 開示等の請求等をする者が本人であることの確認の方法としては、次に掲げる例が考えられます。


Question: ガイドライン（通則編）３－８－３－２において、契約書の代替手段による方法で第三者提供記録を作成した場合、「当該契約書中、記録事項となっている事項を抽出した上で、本人が求める方法により開示すれば足り、契約書そのものを開示する必要はない」とありますが、具体的にどのような方法で開示をすることが考えられますか。

Answer: 契約書の代替手段による方法で第三者提供記録を作成した場合の開示の方法としては、記録事項以外の部分をマスキングして開示する方法のほか、記録事項を抜粋して別媒体に記録して開示する方法も考えられます。（令和３年９月追加）


Question: 第三者提供記録の開示請求を受けた場合、請求対象となる記録を検索・集約する等の一定の作業を要する場合がありますが、請求を受けてからどの程度の期間内に開示する必要がありますか。

Answer: 個人情報取扱事業者は、第三者提供記録の開示請求を受けたときは、「遅滞なく」これを開示する必要があります（法第33条第５項において準用する同条第１項・第２項）。


Question: 一般的には「削除」と「消去」は同じ意味と考えられますが、保有個人データを削除すべき場合（法第34条）と消去すべき場合（法第35条）の違いは何ですか。

Answer: 法第34条は、保有個人データの内容が事実ではない場合について規定しており、他方、法第35条は、保有個人データが法第18条若しくは第19条の規定に違反して取り扱われている場合又は法第20条の規定に違反して取得されたものである場合について規定しており、その適用場面が異なります。


Question: 本人から保有個人データの評価が誤っているとして訂正等の請求があった場合には、訂正等に応じなければなりませんか。

Answer: 個人情報保護法では、「保有個人データの内容が事実でないとき」に訂正等を行う義務が生じます。そのため、訂正等の対象が事実ではなく評価に関する情報である場合には、訂正等を行う必要はありません。


Question: 会社の採用面接で不採用にした応募者から、当社に提出された履歴書の返却を求められていますが、個人情報取扱事業者として、返却に応じなければなりませんか。

Answer: 個人情報保護法では、本人からの請求による保有個人データの削除（法第 29 条）、保有個人データの利用の停止又は消去（法第 30 条）に関する規定は定められていますが、履歴書等の受け取った書類を返還する義務は規定されていません。そのため、個人情報保護法上、提出された履歴書を返却する義務はありません。


Question: 当社では、電話で資料請求をしてきたお客様にダイレクトメールを送付していますが、お客様から、ダイレクトメールの停止及び個人情報の消去を求められた場合、応じなければならないですか。

Answer: ダイレクトメールを送付することについて、利用目的として特定した上で、当該利用目的を顧客に通知又は公表する必要があります。


Question: 退職した社員から、法第35条第５項に基づき、利用する必要がなくなった場合に該当するとして保有個人データの消去を求められた場合、応じなければならないですか。

Answer: 退職した社員の個人情報についても、取得時に特定した利用目的の範囲内で利用することは可能ですが、当該利用目的が達成されたときには、利用する必要がなくなった場合に該当し、当該請求に応じる義務があると考えられます（法第35条第６項）。（令和３年９月追加）


Question: ガイドライン（通則編）３－８－５－１に「本人の権利又は正当な利益が害されるおそれがないとして利用停止等又は第三者提供の停止が認められないと考えられる事例」として記載されている「過去の信用情報に基づく融資審査により新たな融資を受けることが困難になった者が、新規の借入れを受けるため、当該信用情報を保有している個人情報取扱事業者に対して現に審査に必要な信用情報の利用停止等又は第三者提供の停止を請求する場合」について、本人が今後金融機関に一切融資を申し込むつもりがないとしている場合には、「現に審査に必要」ではないとして、利用停止等又は第三者提供の停止の請求に応じなければならないですか。

Answer: 信用情報については、将来本人から融資等の申込みがあった場合に備えて一定期間保有しておく必要があることから、本人が今後一切融資を申し込むつもりがないと述べていることをもって、「現に審査に必要」ではないといえず、利用停止等又は第三者提供の停止の請求に応じる必要はないと考えられます。（令和３年９月追加）


Question: 本人の権利又は正当な利益が害されるおそれがある場合の利用停止等について、「法令を遵守するために当該保有個人データを取り扱う事情」が正当かどうかの判断において考慮されるとのことですが、将来受ける可能性のある行政調査等も考慮されますか。

Answer: 「法令を遵守するために当該保有個人データを取り扱う事情」としては、例えば、当該保有個人データにつき法令上保管が義務付けられている場合等が考えられますが、保管が義務付けられていない保有個人データについて、将来の行政調査等のために保管することは通常考慮されないと考えられます。（令和３年９月追加）


Question: 本人からの開示等の請求等に備えて、開示等の請求等を受け付ける方法をあらかじめ定めておく必要がありますか。

Answer: 個人情報保護法上、個人情報取扱事業者は、開示等の請求に応じる義務がありますが、その手続については各事業者において定めることができます（法第37条第１項）。


Question: 開示等の請求等をする者が本人であることの確認の方法として、運転免許証の提示に加え、印鑑登録証明書の提示を求めることはできますか。

Answer: 個人情報保護法上、個人情報取扱事業者は、開示等の請求等をする者の本人確認方法も含め、本人からの開示等の請求等を受け付ける方法を定めることができるとされています（法第 32 条第１項）。


Question: 開示等の手数料はいくらにすべきですか。

Answer: 手数料の額は、実費を予測して平均的単価を算出して定めることが望ましいと考えられます。


Question: 本人から開示の請求があり、開示手数料を徴収している場合、結果として開示しなかった場合でも、徴収した手数料は返さなくてもよいですか。

Answer: 手数料を定めた法第 33 条は、現に開示を行ったか否かにより特に区別していませんので、必ずしも返還する義務は生じません。


Question: 当社では、保有個人データの開示の請求を受けた際に手数料を徴収することとしましたが、手数料により利潤を得ることはできますか。

Answer: 本人から保有個人データの開示の請求を受けた個人情報取扱事業者は、開示の実施に関し手数料を徴収することが認められています（法第 33 条第１項）。しかし、その手数料の額は、実費を勘案して合理的であると認められる範囲内で定めなければなりません（同条第２項）。（令和３年９月更新）


Question: 事前の請求の手続は、平成 27 年改正の施行（平成 29 年５月 30 日）前の開示等の求めの手続と同じ手続ということでよいですか。

Answer: 事前の請求の手続については、平成 27 年改正前の開示等の求めの手続と異なるところはありません。個人情報取扱事業者は、本人からの開示等の請求等を受け付ける方法を定めること（法第 32 条第１項）、本人に対し、開示等の請求等に関し、その対象となる保有個人データを特定するに足りる事項の提示を求めること（法第 32 条第２項）、開示の請求等を受けたときは、手数料を徴収すること（法第 33 条第１項）等ができます。


Question: 苦情の適切かつ迅速な処理を行うに当たり、具体的にはどのような体制を整備すればよいですか。

Answer: 個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理を行うために、必要な体制の整備に努めなければならないとされています（法第 35 条第２項）。例えば、苦情処理の担当者や手順を定めておくことなどが考えられます（ガイドライン（通則編）３－６参照）。


Question: 個人情報保護法に基づく開示請求、内容の訂正、利用停止の請求等への対応等に関する苦情や相談がある場合に、当該個人情報取扱事業者とともに、認定個人情報保護団体が対応することは可能ですか。

Answer: 認定個人情報保護団体は、消費者と事業者の間に立ち、対象事業者である個人情報取扱事業者の個人情報の適正な取扱いの確保を目的として、消費者からの苦情の処理や相談対応を行うこととされています。また、認定個人情報保護団体は、各業界の特性を踏まえつつ、個人情報に係る利用目的の特定、安全管理のための措置、開示等の請求等に応じる手続等に関し、個人情報保護指針を作成し、対象事業者はこれを遵守することとされています。


Question: ガイドライン（通則編）（８（別添）講ずべき安全管理措置の内容）に示されている項目を全て講じないと違法になりますか。

Answer: ガイドライン（通則編）では、講じなければならない措置及び当該措置を実践するための手法の例等を示しています。


Question: 「中小規模事業者」の定義における「従業員」にはどのような者が含まれますか。また、いつの時点の従業員の数で判断されますか。

Answer: 「中小規模事業者」の定義における「従業員」は、中小企業基本法における従業員をいい、労働基準法第 20 条の適用を受ける労働者（解雇の予告を必要とする労働者）に相当する者をいいます。ただし、同法第 21 条の規定により同法第 20 条の適用が除外されている者は除かれます。具体的には、日々雇い入れられる者、２か月以内の期間を定めて使用される者等が除かれます。


Question: 「中小規模事業者」の定義のうち、「事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数」について、例えば、市販の電話帳を保有している場合、これに氏名・電話番号等が掲載されている個人の数は含まれますか。

Answer: 市販の電話帳は、個人情報データベース等に該当しないと解されるので（法第２ 条第４項、ガイドライン（通則編）２－４）、電話帳に掲載されている個人の数は、ここでいう「特定の個人の数」に含まれません。


Question: 「中小規模事業者」の定義のうち、「事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数」について、例えば、倉庫業、データセンター等の事業において、当該情報が個人情報に該当するかどうかを認識することなく預かっている場合は、当該情報中に含まれる個人情報に係る個人の数は含まれますか。

Answer: 御指摘の情報は、当該事業者にとっては個人情報として認識されていないため、事業の用に供しているとはいえず、「事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数」には含まれないと考えられます。


Question: 「中小規模事業者」も、大企業と同等の安全管理措置を講じなくてはいけませんか。

Answer: 法第 20 条により、個人情報取扱事業者は、取り扱う個人データの安全管理のために必要かつ適切な措置を講じなければなりません。


Question: 従来、主務大臣が定めていたガイドラインに従って、適切に安全管理措置を講じているが、さらに多くのことをしなければいけないのか。

Answer: 従来、主務大臣が定めていたガイドラインに従って、適切に安全管理措置を講じている場合は、適切な措置を講じられていると考えられますが、安全管理措置を講ずるための具体的な手法については、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容とすべきものであり、それらは時代や環境によっても変化し得るものであるので、あらためてガイドライン（通則編）を参考に、現在講じている安全管理措置の内容を再点検し、必要に応じて見直すことも、有効な取組と考えられます。


Question: 標的型メール攻撃や、その他不正アクセス等による個人データの漏えい等の被害を防止するために、安全管理措置に関して、どのような点に注意すればよいですか。

Answer: ガイドライン（通則編）に記載されている技術的安全管理措置の各項目を遵守することや、それらについて従業者に対して必要な研修・注意喚起を行うことに加え、次のような措置を講ずることが考えられます。


Question: カメラを設置してカメラ画像・顔特徴データ等を取り扱う場合には、安全管理措置として特にどのような点に注意すればよいですか。

Answer: 個人情報取扱事業者は、法第23条に基づき個人データについて安全管理措置を講ずることが義務付けられています。カメラ画像・顔特徴データ等が個人データに該当する場合には、その性質（特に、顔特徴データは不変性が高く、個人の行動の追跡が可能となること等）も踏まえ、当該個人データの漏えい、滅失又は毀損の防止その他の安全管理のために必要かつ適切な措置を講じなければならず、具体的には組織的安全管理措置、人的安全管理措置、物理的安全管理措置、技術的安全管理措置、外的環境の把握として、例えば以下のような措置が考えられます。


Question: 基本方針の策定は義務ですか。またこれを公表することは義務ですか。

Answer: 基本方針の策定は、義務ではありませんが、個人データの適切な取扱いの確保について組織として取り組むために、策定することが重要です。なお、基本方針を策定した場合に、これを公表することを義務付けるものではありません。


Question: 「個人データの取扱状況を確認する手段の整備」に関して、いわゆる「個人情報取扱台帳」のようなものを作成しなければいけませんか。

Answer: この項目について、講じていただく必要があるのは、個人データの取扱状況を確認できるように手段を整備することであるため、いわゆる「個人情報取扱台帳」を作成することが義務付けられているわけではありません。


Question: 「取扱状況の把握及び安全管理措置の見直し」について、手法の例示として「監査を実施する」とありますが、実施に当たって参考となるような規格はありますか。

Answer: 例えば、「マネジメントシステム監査指針 JIS Q19011（ISO 19011）」に準拠した監査を行うことが考えられますが、これに限られるわけではありません。


Question: 「従業者の教育」について、研修の頻度はどの程度とすることが適切ですか。

Answer: 研修の頻度は、事業者の規模や取り扱う個人データの性質・量等によっても異なり得るため、それらを踏まえて適切に判断いただく必要がありますが、適切な内容の研修であれば、年１回程度でも少ないとはいえないと考えられます。


Question: 従業者との雇用契約において守秘義務を定めたり、派遣社員の派遣元との間の契約において派遣社員の守秘義務を定めることは義務付けられますか。

Answer: 人的安全管理措置として、義務付けられるわけではありません。ただし、人的安全管理措置及び従業者の監督（法第 21 条）の一環として、従業者との雇用契約において守秘義務を定める等の対応を取ることも、有効な取組と考えられます。なお、関係業法において守秘義務が定められている場合もあるため、留意が必要です。


Question: 「従業者の教育」としての研修は、全従業者を一堂に集めて講義形式で行う必要がありますか。

Answer: 個人データの安全管理に関して留意すべき事項は、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等によって異なり得ますので、研修の形式も個人情報取扱事業者ごとに異なり得るものと考えられます。全従業者を対象とした講義形式による研修も含まれ得ますが、これに限られるものではなく、部署ごとに個人データの取扱いに関する責任者からの講話形式、eラーニング形式、標的型メールを疑似体験する形での訓練形式など、様々な形式が考えられます。


Question: 「個人データを取り扱う区域の管理」に関して、個人データを取り扱う場所は、全て厳格な入退室管理を実施する必要がありますか。

Answer: 個人データを取り扱う区域の管理として、常に入退室管理の実施が求められるわけではありませんが、個人情報データベース等を取り扱うサーバやメインコンピュータ等の重要な情報システムを管理する区域（管理区域）については、入退室管理の実施、承認されていない記録媒体やカメラ等の持込の制限等が有効な取組と考えられます。


Question: 「座席配置の工夫」「のぞき込みを防止する措置」「個人データを取り扱うことのできる従業者及び本人以外が容易に個人データを閲覧等できないような措置」とは、例えばどのような措置が該当しますか。

Answer: 具体的には、以下のような措置が該当すると考えられます。


Question: 紙でしか個人情報を管理していない場合も、技術的安全管理措置を講じる必要がありますか。

Answer: ガイドライン（通則編）で定めている技術的安全管理措置は、情報システムを使用して個人データを取り扱う場合に講じなければならないものであるため、紙でのみ個人情報を管理している場合には、技術的安全管理措置を講じる必要はありません。


Question: 「アクセス制御」を講じるための手法は、ガイドライン（通則編）で示されている以外にどのようなものが考えられますか。

Answer: ガイドライン（通則編）に示した手法を具体的に記述したものも含めて、例えば、次のような手法が考えられます。


Question: 「アクセス者の識別と認証」を講じるための手法は、ガイドライン（通則編） で示されている以外にどのようなものが考えられますか。

Answer: ガイドライン（通則編）に示した手法を具体的に記述したものも含めて、例えば、次のような手法が考えられます。


Question: 「外部からの不正アクセス等の防止」を講じるための手法は、ガイドライン（通則編）で示されている以外にどのようなものが考えられますか。

Answer: ガイドライン（通則編）に示した手法を具体的に記述したものも含めて、例えば、次のような手法が考えられます。


Question: 「情報システムの使用に伴う漏えい等の防止」を講じるための手法は、ガイドライン（通則編）で示されている以外にどのようなものが考えられますか。

Answer: ガイドライン（通則編）に示した手法を具体的に記述したものも含めて、例えば、次のような手法が考えられます。


Question: 「外的環境の把握」について、「外国において個人データを取り扱う場合」とは、どのような場合ですか。

Answer: 例えば、以下に掲げるような場合は、「外国において個人データを取り扱う場合」に該当するため、個人情報取扱事業者は、当該外国の個人情報の保護に関する制度等を把握した上で、安全管理措置を講じる必要があります。


Question: 「外的環境の把握」について、外国にある支店や営業所に個人データを取り扱わせる場合には、当該外国の個人情報の保護に関する制度等を把握する必要がありますか。外国にある従業者に個人データを取り扱わせる場合はどうですか。

Answer: 個人情報取扱事業者は、外国にある支店や営業所に個人データを取り扱わせる場合、外国において個人データを取り扱うこととなるため、支店等が所在する外国の個人情報の保護に関する制度等を把握した上で、安全管理措置を講じる必要があります。


Question: 「外的環境の把握」について、外国にある第三者に個人データの取扱いを委託する場合には、当該外国の個人情報の保護に関する制度等を把握する必要がありますか。委託先が外国にある第三者に個人データの取扱いを再委託した場合はどうですか。

Answer: 個人情報取扱事業者は、外国にある支店や営業所に個人データを取り扱わせる場合、外国において個人データを取り扱うこととなるため、支店等が所在する外国の個人情報の保護に関する制度等を把握した上で、安全管理措置を講じる必要があります。


Question: 「外的環境の把握」について、外国にある第三者の提供するクラウドサービスを利用し、その管理するサーバに個人データを保存する場合、当該外国の個人情報の保護に関する制度等を把握する必要がありますか。

Answer: 外国にある第三者の提供するクラウドサービスを利用する場合において、クラウドサービス提供事業者が個人データを取り扱わないこととなっている場合には、個人データの第三者への「提供」には該当しませんが、個人情報取扱事業者は、自ら果たすべき安全管理措置の一環として、適切な安全管理措置を講じる必要があります（Ｑ７－53、Ｑ７－54、Ｑ12－３参照）。


Question: 個人情報取扱事業者等が個人情報保護法に違反した場合、どのような措置が採られるのですか。

Answer: 個人情報取扱事業者、個人関連情報取扱事業者、仮名加工情報取扱事業者又は匿名加工情報取扱事業者（以下「個人情報取扱事業者等」という。）が、個人情報保護法の義務規定に違反し、不適切な個人情報、個人関連情報、仮名加工情報又は匿名加工情報（以下本項において「個人情報等」という。）の取扱いを行っている場合には、個人情報保護委員会は、必要に応じて、当該個人情報取扱事業者等その他の関係者に対して報告徴収・立入検査を実施し（法第146条）（※）、当該個人情報取扱事業者等に対して指導・助言を行い（法第147条）、また、勧告・命令を行う（法第148条）ことができます。


Question: 外国で活動する事業者ですが、日本国内にある者に対して音楽の配信サービスを提供するために本人から個人情報を取得する場合、その個人情報の取扱いについて個人情報保護法は適用されますか。また、日本国内の別の事業者から個人情報を取得する場合はどうなりますか。

Answer: 法第171条に基づき、外国にある個人情報取扱事業者等が、日本の居住者等の日本国内にある者に対する物品やサービスの提供に関連して、日本国内にある者を本人とする個人情報、当該個人情報として取得されることとなる個人関連情報又は当該個人情報を用いて作成された仮名加工情報若しくは匿名加工情報を、外国において取り扱う場合には、個人情報保護法が適用されます。


Question: 外国で活動する事業者で、日本を含む各国にある者に対してサービスを提供しており、当該サービス提供のため各本人から個人情報を取得しています。日本国内の利用者の個人データを含む漏えい等事案が生じた場合、漏えい等事案が発覚した場合に講ずべき措置を講ずるとともに、漏えい等事案の報告及び本人への通知を行う必要がありますか。

Answer: 外国にある個人情報取扱事業者が、日本の居住者等の日本国内にある者に対する物品又はサービスの提供に関連して、日本国内にある者を本人とする個人情報を外国において取り扱う場合には、個人情報保護法の域外適用の対象となり、法第23条（安全管理措置）や法第26条（漏えい等の報告等）も適用されます（法第171条）。


Question: 外国で活動する事業者ですが、日本国内の事業者から、日本国内のユーザー向けのアプリの開発・運営のため、日本国内のユーザーを本人とする個人データの取扱いの委託を受けました。この場合、外国の事業者が委託に伴って取得した個人データの取扱いについて個人情報保護法は適用されますか。

Answer: 外国にある個人情報取扱事業者が、日本の居住者等の日本国内にある者に対する物品又はサービスの提供に関連して、日本国内にある者を本人とする個人情報を外国において取り扱う場合には、個人情報保護法の域外適用の対象となります（法第171条）。


Question: 個人情報保護法の適用除外とはどのような制度ですか。

Answer: 個人情報取扱事業者等のうち、憲法上保障された自由（表現の自由、信教の自由、政治活動の自由）に関わる以下の主体が以下の活動のために個人情報等を取り扱う場合には、その限りにおいて、個人情報取扱事業者等の義務は適用されません（法第57条第１項）。


Question: 大学等の学術研究機関等と民間企業や私立病院等が、学術研究目的の研究を共同で行う場合における個人情報の取扱いに関して留意すべき点を教えてください。

Answer: 個人データを第三者に提供する場合には、原則として、あらかじめ本人の同意を得る必要がありますが（法第27条第１項柱書）、法第16条第８項に規定する学術研究機関等が共同研究を行う第三者（学術研究機関等であるか否かを問いません。）に対して個人データを学術研究目的で提供する必要がある場合（法第27条第１項第６号）や、個人情報取扱事業者が個人データを学術研究目的で取り扱う必要がある学術研究機関等に対して提供する場合（同項第７号）は、個人の権利利益を不当に侵害するおそれがない限り、法第27条第１項柱書に規定する本人の同意を得ずに個人データを提供することができます。


Question: 委託は法第27条第１項の第三者提供に当たらないとされていますが、外国にある第三者に個人データの取扱いを委託する場合は、法第28条第１項に基づいて「外国にある第三者への個人データの提供を認める」旨の本人の同意を得る必要がありますか。

Answer: 個人情報取扱事業者が、外国にある第三者に個人データを提供する場合には、以下の①から③までのいずれかに該当する場合を除き、法第28条第１項に基づきあらかじめ「外国にある第三者への個人データの提供を認める」旨の本人の同意を得る必要があります。この点は、外国にある第三者に個人データの取扱いを委託する場合も同様です。


Question: 「我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国」はどこですか。

Answer: 様々な国において制度の見直しが行われていることもあり、また、詳細かつ多角的な調査・検討が必要であることから、今後、継続的に検討します。


Question: 外国にあるサーバに個人データを含む電子データを保存することは外国にある第三者への提供に該当しますか。

Answer: 当該サーバの運営事業者が、当該サーバに保存された個人データを取り扱わないこととなっている場合には、外国にある第三者への提供（法第 24 条）に該当しません。


Question: 外国にある事業者が運営するクラウドを利用していますが、サーバは国内にある場合、外国にある第三者への提供に該当しますか。

Answer: 当該サーバを運営する外国にある事業者が、当該サーバに保存された個人データを取り扱っている場合には、サーバが国内にある場合であっても、外国にある第三者への提供（法第28条第１項）に該当します。ただし、当該サーバを運営する外国にある事業者が、当該サーバに保存された個人データを日本国内で取り扱っており、日本国内で個人情報データベース等を事業の用に供していると認められる場合には、外国にある第三者への提供（法第28条第１項）に該当しません（ガイドライン（外国にある第三者への提供編）２－２参照）。


Question: 国内事業者が外国事業者に個人データを提供する場合、当該外国事業者が日本に出張所を有する場合、「外国にある第三者」に提供したこととなりますか。

Answer: 個人データの提供先が個人情報取扱事業者に該当する場合には、「外国にある第三者」に提供したこととはなりません。個人情報取扱事業者の該当性は、事業の実態を勘案して、日本国内で個人情報データベース等を事業の用に供していると認められるか否かを個別の事例ごとに判断することとなるため、国内に出張所を有することのみをもって当該外国事業者が個人情報取扱事業者に該当するわけではありません。


Question: 施行規則第 16 条第１号では、「個人情報取扱事業者と個人データの提供を受ける者との間」で適切かつ合理的な方法により措置の実施を確保することとされています。国内にある事業者 A が外国にある事業者との間で、A のグループ会社の個人データの取扱いに係る委託契約を締結していますが、A の子会社であり、A と同じ内規等が適用される国内にある事業者 B が、当該外国にある事業者に対して委託に伴って個人データを提供する場合、当該委託契約及び当該内規等は「適切かつ合理的な方法」に該当しますか。

Answer: 当該委託契約及び当該内規等によって、個人データの提供先である外国にある第三者が、我が国の個人情報取扱事業者の講ずべきこととされている措置に相当する措置を継続的に講ずることを実質的に担保することができる場合には、適切かつ合理的な方法に該当するものと考えられます。


Question: 提供先の外国にある第三者が施行規則第16条に定める基準に適合する体制を整備していることを根拠として個人データを提供した後、当該提供先がさらに別の「第三者」（再提供先）に個人データを提供する場合、当該提供先が施行規則第16条に定める基準に適合する体制を整備しているといえるためには、どのような措置の実施が確保される必要がありますか。当該「第三者」（再提供先）が当該提供先と同一国内にある者等の外国にある者であるときと、当該「第三者」（再提供先）が日本にある者であるときで、実施が確保されるべき措置が変わりますか。

Answer: 法第28条第１項の「外国」は、本邦の域外にある国又は地域（我が国と同等の水準にあると認められる個人情報保護制度を有している国として施行規則第15条で定める国（※）を除きます。以下本項において同じ。）を指します。


Question: 外国にある第三者に対して、提供元において氏名を削除するなどして個人を特定できないようにして当該提供先にとっては個人情報に該当しないデータの取扱いを委託し、当該提供先が個人情報に復元することがないような場合においても、法第28条第１項により、あらかじめ「外国にある第三者への個人データの提供を認める」旨の本人の同意を得る必要がありますか。

Answer: 提供先の外国にある第三者にとって個人情報に該当しないデータの取扱いを委託する場合において、委託契約において当該提供先が元となった個人情報を復元しないことが定められている等、当該提供先が元となった個人情報に係る本人を識別しないこととなっているときは、結果として、施行規則第16条で定める基準に適合する体制を整備しているものと解されます。


Question: 日本法人の外国支店と取引があり、当該外国支店に対して個人データの提供を行う予定ですが、当該外国支店に対する個人データの提供は、外国にある第三者への提供に該当しますか。

Answer: 個別の事案ごとに判断する必要がありますが、国内にある個人情報取扱事業者が、他の日本法人の外国支店に直接個人データを提供する場合には、当該外国支店への個人データの提供は、外国にある第三者への提供（法第28条第１項）に該当し得ると考えられます。（令和３年９月追加）


Question: 法第28条第２項の規定による本人への情報提供の方法として、必要な情報が掲載されたWebページのURLを本人に対して提供することは認められますか。

Answer: 個別の事案ごとに判断されますが、例えば、施行規則第17条第２項から第４項までの規定により求められる情報が掲載されたWebページが存在する場合に、当該WebページのURLを自社のホームページに掲載し、当該URLに掲載された情報を本人に閲覧させる方法も、施行規則第17条第１項における「適切な方法」に該当すると考えられます。


Question: 提供先の外国にある第三者は、A国に所在していますが、B国にサーバを設置しており、当該第三者に個人データを提供した場合には、当該サーバにおいて保存されることになります。この場合、施行規則第17条第２項第１号の「当該外国の名称」として提供すべき名称は、どちらになりますか。

Answer: 施行規則第17条第２項第１号の「当該外国の名称」における外国とは、提供先の第三者が個人データを保存するサーバが所在する外国ではなく、提供先の第三者が所在する外国をいうため、A国の名称を情報提供する必要があります。


Question: 施行規則第17条第２項第３号の「当該第三者が講ずる個人情報の保護のための措置に関する情報」を確認する方法として、どのような方法が考えられますか。

Answer: 個別の事案ごとに判断する必要がありますが、例えば、提供先の外国にある第三者に確認する方法や、提供先の外国にある第三者との間で締結している契約において、当該第三者による個人データの取扱いについて定めている場合に、当該契約を確認する方法等が考えられます。（令和３年９月追加）


Question: 法第28条第２項に基づく情報提供を行った上で、外国にある第三者への個人データの提供を認める旨の本人の同意を得て外国にある第三者に個人データを提供した後に、当該外国における個人情報の保護に関する制度の改正があった場合、本人に対して、改正後の制度に関する情報を提供した上で、再度同意を得る必要がありますか。

Answer: 施行規則第17条第２項第２号の「外国における個人情報の保護に関する制度に関する情報」は、一般的な注意力をもって「適切かつ合理的な方法」により確認したものである必要がありますが、「適切かつ合理的な方法」により確認を行った「外国における個人情報の保護に関する制度に関する情報」を提供した上で外国にある第三者への個人データの提供を認める旨の本人の同意を取得した後に、当該外国における個人情報の保護に関する制度についての変更があった場合であっても、既に取得された同意の有効性には影響を及ぼさないものと考えられます。


Question: 外国の事業者に対して個人データの取扱いを委託する予定であるものの、法第28条第1項の本人の同意を得ようとする時点において、具体的な委託先が定まっていません。この場合、施行規則第17条第３項の「前項第１号に定める事項が特定できない場合」に該当しますか。また、同条第４項の「第２項第３号に定める事項について情報提供できない場合」に該当しますか。

Answer: 法第28条第２項の趣旨は、外国にある第三者への個人データの提供がなされる場合に、当該外国における個人情報の保護に関する制度や当該第三者が講ずる個人情報の保護のための措置に関する差異に起因するリスクについて、本人の予測可能性を高める点にあります。そのため、提供先の第三者及び当該第三者が所在する外国を特定した上で、本人に対する情報提供を行うことが原則です。


Question: 提供先の外国にある第三者が施行規則第16条に定める基準に適合する体制を整備していることを根拠として個人データを提供しました。法第28条第３項に基づいて当該第三者による相当措置の実施状況等を確認する等の義務は、いつまで履行する必要がありますか。当該第三者との契約が解除された場合はどうですか。

Answer: 提供先の外国にある第三者が施行規則第16条に定める基準に適合する体制を整備していることを根拠として個人データを提供した場合、提供元の個人情報取扱事業者は、当該第三者において当該個人データの取扱いが継続する限り、法第28条第３項に基づく措置等を講ずる必要があり、かかる義務は、提供元の個人情報取扱事業者と当該第三者との間の契約等が解除された場合でも、免除されるものではありません。（令和３年９月追加）


Question: 個人情報取扱事業者が、国内にある委託先に個人データの取扱いを委託した後、委託先が外国にある再委託先に対して、当該再委託先が施行規則第16条に定める基準に適合する体制を整備していることを根拠として個人データを提供した場合、法第28条第３項の義務が課される主体は誰ですか。

Answer: 個別の事案ごとに判断されますが、委託元の個人情報取扱事業者が国内にある事業者である委託先に対して法第27条第５項第１号に基づき個人データの取扱いを委託し、当該委託先が委託に伴って取得した当該個人データを、外国にある事業者に対して再委託に伴って再提供した場合において、委託先である国内にある事業者と再委託先である外国にある事業者との間の契約等により、施行規則第16条第１号の基準を満たすための「法第４章第２節の規定の趣旨に沿った措置」の実施が確保されている場合には、法第28条第３項の義務は、委託先に課されると考えられます。


Question: 提供先の第三者が所在する外国において施行規則第18条第１項第１号の「相当措置の実施に影響を及ぼすおそれのある当該外国の制度」が存在する場合には、直ちに当該第三者による「相当措置の継続的な実施の確保が困難となったとき」（施行規則第18条第１項第２号）に該当し、当該第三者への個人データの提供を停止する必要がありますか。

Answer: 一般に、提供先の第三者が所在する外国において、「相当措置の実施に影響を及ぼすおそれのある当該外国の制度」が存在する場合においても、当該制度の存在自体により、直ちに外国にある第三者による「相当措置の継続的な実施の確保が困難となった場合」に該当するものではなく、当該第三者による個人データの取扱状況や、当該制度の運用の状況等を踏まえて、外国にある第三者による相当措置の継続的な実施の確保が困難となったか否かを個別の事案ごとに判断する必要があると考えられます。（令和３年９月追加・令和４年４月更新）


Question: 提供先の外国にある第三者が施行規則第16 条に定める基準に適合する体制を整備していることを根拠として、事前の本人の同意を得ずに当該外国にある第三者に対して個人データの提供を行った場合、提供先の外国にある第三者による相当措置の実施状況について、当該外国に所在する提供元のグループ企業が提供先の第三者を訪問することや提供先の第三者から書面の提出を受けること等により、契約等の履行状況等を確認することで足りますか。

Answer: 提供先の外国にある第三者による相当措置の実施状況については、当該外国にある第三者に提供する個人データの内容や規模に応じて、適切かつ合理的な方法により、定期的に確認する必要があります（施行規則第18 条第１項第１号）。具体的な確認の方法については、個別の事案における具体的な事情も踏まえて決定すべきものですが、当該外国に所在する提供元のグループ企業が、提供先の第三者を訪問することや提供先の第三者から書面の提出を受けること等により、契約等の履行状況等を確認した上で、提供元が、当該グループ企業から書面により相当措置の実施状況の共有を受けて確認することも、適切かつ合理的な方法に該当し得ると考えられます。（令和５年３月追加）


Question: 提供先の外国にある第三者が施行規則第 16 条に定める基準に適合する体制を整備していることを根拠として個人データを提供した後、当該外国にある第三者による相当措置の継続的な実施の確保が困難となった場合、当該外国にある第三者に対して既に提供した個人データについて、返還又は削除を求める必要がありますか。

Answer: 提供先の外国にある第三者が施行規則第 16 条に定める基準に適合する体制を整備していることを根拠に、当該提供先に対して個人データの提供を行った場合において、当該提供先による相当措置の実施に支障が生じた場合には、当該支障の解消又は改善のために「必要かつ適切な措置」を講ずることが求められます（施行規則第 18 条第１項第２号）。


Question: 法第28条第３項の規定による必要な措置に関する情報の本人への提供の方法として、必要な情報が掲載されたWeb ページのURLを本人に対して提供することは認められますか。

Answer: 個別の事案ごとに判断されますが、例えば、施行規則第18条第３項の規定により求められる情報が掲載された Web ページが存在する場合に、当該 Web ページのURLを本人に対して提供する方法も、改正後の施行規則第18 条第２項における「適切な方法」に該当すると考えられます。（令和３年９月追加）


Question: 施行規則第18条第３項各号に掲げる情報の提供を行う前提として、本人に関する情報を特定するのに手間と時間がかかりますが、この場合、同項ただし書きの「情報提供することにより当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合」に該当しますか。

Answer: 施行規則第18条第３項の「著しい支障を及ぼすおそれ」に該当する場合とは、個人情報取扱事業者の業務の実施に単なる支障ではなく、より重い支障を及ぼすおそれが存在するような例外的なときに限定され、単に開示すべき情報の量が多いという理由や、特定に手間や時間がかかるという理由のみでは、一般には、これに該当しないと考えられます。（令和３年９月追加）


Question: 市販の電話帳を取得した際にも、確認・記録義務は適用されますか。

Answer: 一般に市販の電話帳は個人情報データベース等に該当しないため、取得する際に確認・記録義務は適用されません。


Question: 外国にある第三者に個人データを提供する場合、法第 25 条に基づく記録を作成しなければなりませんか。また、この場合において、提供者は、法第 24条・施行規則第 11 条の２第１号との関係において、当該第三者からさらに別の第三者に提供する場合に記録を作成するように措置を講じなければなりませんか。

Answer: 外国にある第三者に個人データを提供する場合でも、原則として、法第 25 条に基づく記録義務は適用されます。具体的には、ガイドライン（第三者提供時の確認・記録 義務編）２－１－２の【外国にある第三者に個人データを提供する場合の記録義務の適用】のとおりです。


Question: 訴訟代理人の弁護士・裁判所に、訴訟の相手方に係る個人データを含む証拠等を提出する場合、記録をしなければなりませんか。

Answer: 訴訟追行のために、訴訟代理人の弁護士・裁判所に、訴訟の相手方に係る個人データを含む証拠等を提出する場合は、「財産の保護のために必要がある」といえ、かつ、一般的に当該相手方の同意を取得することが困難であることから、法第 23 条第１項第２ 号に該当し得るものであり、その場合には記録義務は適用されないものと考えられます。


Question: 顧客からグループ会社の紹介を求められたため、当該顧客本人の氏名・住所等の連絡先等を、当該グループ会社に提供する場合は、記録を作成しなければなりませんか。

Answer: 本人に代わって個人データを第三者提供しているため、記録義務は適用されません。なお、提供を受けた会社においても、確認・記録義務は適用されません。


Question: 取引先 A 社からの依頼に基づき、取引先 B 社の窓口担当者の氏名・連絡先等を、同窓口担当者の同意を得て、A 社に伝達する場合、記録を作成しなければなりませんか。

Answer: 本人に代わって個人データを第三者提供しているため、記録義務は適用されません。なお、提供を受けた取引先 A 社においても、確認・記録義務は適用されません。


Question: A 社が、自己の提供する役務と B 社の提供する別の役務とをセットで販売して、B 社に購入者の個人データを提供する場合、記録を作成しなければなりませんか。

Answer: 本人に代わって個人データを第三者提供しているため、記録義務は適用されません。なお、提供を受けた B 社においても、確認・記録義務は適用されません。


Question: 小売業者 A は、顧客から製品の注文を受けた場合に、当該製品のメーカーに、当該顧客の氏名・住所を伝え、当該メーカーから当該製品を当該顧客に送付しているところ、当該メーカーへの個人データの提供につき、記録を作成しなければなりませんか。（なお、小売業者 A とメーカー間には委託契約はない。また、小売業者 A と顧客との契約書には、メーカーから当該製品が直接送付される旨が規定されている。）

Answer: 本人に代わって個人データを第三者提供しているため、記録義務は適用されません。なお、提供を受けたメーカーにおいても、確認・記録義務は適用されません。


Question: 個人データの提供先の第三者を個別に明示していなければ、本人に代わって提供しているものと評価されませんか。

Answer: 提供先の事業者名を個別に明示していない場合においても、本人からの委託等 の内容、提供の客体である個人データの内容、提供するとき等の要素を総合的に考慮して、当該提供を具体的に特定できている場合には、本人に代わって提供しているものと評価  されることもあり得ます。


Question: 会社間で代表取締役の名義で締結する契約書面を事務担当者間で授受する際、代表取締役の氏名に係る個人データを第三者提供しているものとして、記録を作成しなければなりませんか。

Answer: 機関としての代表者の氏名を提供する行為は、確認・記録義務が適用される第三者提供には該当しないものと考えられます。


Question: 顧客が別の者を指定して、自己に連絡をする際は指定した者を通すようにと事業者に要請していた場合、その連絡内容に当該顧客に係る個人データが含まれていたときは、当該者に第三者提供をしたものとして、記録を作成しなければなりませんか。

Answer: 本人と一体と評価できる関係にある者に提供しているものとして、記録義務は適用されません。


Question: 後見人の他に、保佐人、補助人も、「本人と一体と評価できる関係にある者」と評価することはできますか。

Answer: 家庭裁判所から選任された保佐人、補助人の権限の範囲内で個人データの提供が行われる場合には、「本人と一体と評価できる関係にある者」に該当するものと考えられます。


Question: 従業員の口座に給与を振り込む際も、記録義務は適用されますか。

Answer: 従業員の口座に給与を振り込む場合は、提供者が、最終的に本人に提供することを意図した上で、受領者を介在して提供を行っているものであるので、記録義務は適用されないものと考えられます。


Question: 公開情報を収集してデータベース化している事業者から当該情報の提供を受ける場合は、元の情報が公開情報であることから確認・記録義務は適用されませんか。

Answer: データベースの内容が、「不特定多数の者が取得できる公開情報」である場合には、当該データベースの提供を受ける行為については、確認・記録義務は適用されません。


Question: 顧客から、当該顧客の配偶者の紹介を受ける行為について、確認・記録義務が適用されますか。

Answer: 受領者にとって個人データに該当しない個人情報を受領したものと考えられ、確認・記録義務は適用されません。


Question: 顧客から別の者を紹介してもらう場合に、１名ではなく、夫婦・家族の連絡先をまとめて紹介される場合においても、個人データに該当しないときであれば、第三者提供の確認・記録義務の対象になりませんか。

Answer: 第三者から複数の個人情報の提供を受ける場合であっても、個人データに該当しない場合には、確認・記録義務は適用されません。


Question: 電話や口頭で個人情報を聞いた場合には、確認・記録義務は適用されますか。

Answer: 個人データに該当しない個人情報を取得した場合には、確認・記録義務は適用されません。


Question: 個人データの第三者提供を受ける際に、受領者にとって「個人データ」に該当しない場合、法第 26 条に加えて、他の法第４章第１節に規定される条文も適用されませんか。

Answer: 受領者にとって個人データに該当しない場合であっても、個人情報に該当するときは、個人情報に係る規定である法第17条から第21条まで及び第40条の規定を遵守する必要があります。


Question: データベース業者と契約を締結し、ネットワークで繋がった上で、当該データベース業者のデータベースを自己の端末で参照し、そのデータベースの内容は当該データベース業者が随時更新を行う場合において、それを利用する事業者に確認・記録義務は適用されますか。

Answer: データベース業者が自己の支配下で管理しているデータベースを単に参照する場合には、確認・記録義務は適用されません。


Question: 本人以外の者（「当初の提供元」）から個人データの提供を受けた場合において、あらかじめ公表している利用目的の範囲内で、後日、当初の提供元に対して、同じ内容の個人データを提供するとき、確認・記録義務は適用されますか。

Answer: 当初の提供の際に作成した記録の枠内であれば、改めて、確認・記録義務は適用されません。なお、当初に作成した記録の範囲内にとどまらず、実質的に新規の第三者提供と同視される場合は、確認・記録義務が適用されるものと考えられます。


Question: 金融機関から債権の買取りを行うに際して、当該金融機関と守秘義務契約を締結して入札に参加する場合において、債権譲受候補者が当該金融機関から提供を受けた債務者データ（個人データ）を利用して譲渡対象債権のデューデリジェンスを行って入札価格を提示したものの、落札に至らなかったために、守秘義務契約に基づき当該データを速やかに削除する例においては、当該候補者は確認・記録義務を履行する必要がありますか。

Answer: かかる例においては、その提供の形態は実質的に委託又は事業承継に類似するものと認められ、また、提供者・受領者間において契約により提供の対象となる個人データを削除することとなっているものであり、その他確認・記録義務を課すべき特段の事情がないものといえ、当該候補者に確認・記録義務は適用されないものと考えられます。


Question: オプトアウトによる第三者提供について、確認・記録義務が適用されない場面はありますか。

Answer: ありません。


Question: 第三者から個人データの提供を受ける際は、代表取締役の氏名を確認しなければなりませんか。

Answer: 法第 26 条第１項第１号の「代表者」には、代表権を有する者の他、確認の対象となる第三者提供を業務として執行する権限を有している者も含まれます。


Question: 「取得の経緯」を対面又は電話により口頭で確認する方法は認められますか。

Answer: 口頭で申告を受ける方法も否定されませんが、法第 17 条第１項に抵触しないことが担保されるように、正確に確認し、法第 26 条第３項に基づき記録を作成しなければならない点に留意する必要があります。


Question: 取得の経緯を確認する際に、本人が署名した同意書面を確認することをもって取得の経緯を確認し、その旨を記録する場合に、同時に本人の同意が有る旨の記録として取り扱ってもよいですか。

Answer: 取得の経緯を確認・記録をする場合において、当該記録が「本人の同意を得ている旨」を含むものであるときは、施行規則第 13 条第１項第２号イの記録とすることもできます。


Question: 記録を作成するに当たって、台帳のようなものを用意する必要はありますか。

Answer: 既存の契約書などで記録事項を充たしている場合は、それらが記録として認められます。したがって、事業者は、別途、台帳のようなものを用意する必要はありませんが、保存義務を履行するために、明確にする必要があります。


Question: 個人データを提供先にデータ伝送している場合、伝送日時、伝送先などのログを記録とすることはできますか。

Answer: ログを記録とすることは認められます。


Question: 継続的に又は反復して個人データを授受することを内容とする基本契約書に加えて、当該基本契約書に付帯する資料などをあわせて、施行規則第 12 条第２項・第 16 条第２項に基づく記録とすることはできますか。

Answer: 最初に基本契約書に記録を作成し、継続的に又は反復して個人データを授受する対象期間内に、随時、提供される個人データによって識別される本人の氏名に係る記録を、別途、当該基本契約書に付帯する資料などをもって作成する方法も認められるものと考えられます。


Question: 「契約書その他書面」（施行規則第 12 条第３項・第 16 条第３項）には、原本のみならず、写しも含まれますか。

Answer: 「契約書その他書面」には、原本のみならず、写しも含まれます。


Question: 同意書をもって記録とする方法を採用する場合、代表者氏名以外については同意書により記録し、代表者氏名については有価証券報告書の記載箇所を記録として用いる又は補記する等の対応は可能ですか。

Answer: 全体として一つの記録として保存されていれば、認められるものと考えられます。


Question: 提供者にとって個人データに該当するが受領者にとって個人データでないため、提供者のみに記録義務が生じる場合においても、受領者が提供者の記録義務の全部又は一部を代行して行うことは妨げられないという理解でよいですか。

Answer: 自身は確認・記録義務を負わない受領者が、提供者の記録義務を代行することはできるものと考えられます。


Question: 代行により記録を作成する方法を採用する場合に、代行させる者（委託者）及び代行を行う者（受託者）との間では、契約書等において、代行させる旨の規定を置くことは必須ですか。

Answer: 契約書等において、代行させる旨の規定を置くことは必須ではありません。


Question: 確認・記録義務の履行のために個人データを保存する場合は、消去義務（法第 19 条）に違反しませんか。また、利用目的の特定・通知等をしなければなりませんか。

Answer: 個人情報取扱事業者は、個人データを利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければなりませんが、確認・記録義務の履行のために個人データを保存する場合は、この限りではないものと考えられます。また、利用目的の特定・通知等は不要です。


Question: 「同意の存在を明示的に又は黙示的に示す証跡等」には、①本人による同意する旨のホームページ上のボタンのクリックに係るシステムログ、②ホームページの構造上、個人情報を取得する直前に必ず本人による同意をする旨のホームページ上のボタンのクリックが必須となっていること（ボタンクリックによる同意を経なければ取得できない）は、該当しますか。

Answer: いずれも「同意の存在を明示的に又は黙示的に示す証跡等」に該当します。


Question: 対象となる複数の本人の記録を一体として作成する際に、保存期間は個々の個人ごとに計算するものですか。

Answer: 対象となる複数の本人の記録を一体として作成した場合も、保存期間は個々の個人ごとに計算することとなります。例えば、施行規則第 12 条第２項・第 16 条第２項に基づく記録を作成した場合は、個々の個人ごとに最後に当該記録に係る個人データの提供を行なった日から起算して３年を経過する日までの間が保存期間となります（施行規則第 14 条第２号・第 18 条第２号）。


Question: 複数の対象者の個人データについて、毎週、同様の提供が行われることから、一つのファイルに翌月１日に前月の分を一括して記録を作成する方法によ り記録を作成している場合において、2018 年１月に本人 X について提供が行われ 2018 年２月１日に記録がなされ、2019 年１月に本人 Y について提供 が行われ、2019 年２月１日に記録がなされた場合、X 及びY についての保存 期間はどのように考えられますか。

Answer: 「記録を作成した日」が起算点となります。よって、Ｘについての記録の部分は、2021 年２月１日まで、Ｙについての記録の部分は 2022 年２月１日までが保存期間となります。


Question: 匿名加工情報と仮名加工情報の違いは何ですか。

Answer: 匿名加工情報は、特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたもの（法第２条第６項）です。「個人情報」（法第２条第１項）に該当せず、本人の同意を得ずに第三者に提供することが可能です（匿名加工情報の取扱いに係る義務等については、ガイドライン（仮名加工情報・匿名加工情報編）３－２参照）。


Question: 個人情報である仮名加工情報と個人情報でない仮名加工情報とは何ですか。

Answer: 仮名加工情報取扱事業者が、仮名加工情報の作成の元となった個人情報や当該仮名加工情報に係る削除情報等を保有している等により、当該仮名加工情報が「他の情報と容易に照合することができ、それにより特定の個人を識別することができる」状態にある場合には、当該仮名加工情報は、「個人情報」（法第２条第１項）に該当します。


Question: 法第41条第１項・施行規則第31条に定める基準に従わずに個人情報を加工したものを仮名加工情報として取り扱うことは認められますか。

Answer: 仮名加工情報を作成するためには、法第41条第１項に基づき、施行規則第31条各号で定める基準に従い加工する必要があります。具体的には個別に判断されることとなりますが、これらの基準に従い加工が行われていない場合については、仮名加工情報に該当しないものと考えられます。


Question: 個人情報を、安全管理措置の一環等としてマスキング等によって仮名化した場合、仮名加工情報として取り扱う必要がありますか。

Answer: 仮名加工情報を作成するためには、仮名加工情報作成の意図を持って、法第41条第１項に基づき、施行規則第31条各号で定める基準に従い加工する必要があります。


Question: 安全管理措置の一環等として、元の個人情報とは別に、元の個人情報から氏名等の一部の記述等を削除した情報を作成し、引き続き個人情報として取り扱っていますが、このように仮名化された個人情報から仮名加工情報を作成するためには、どのような措置を講ずる必要がありますか。

Answer: 既に仮名化された個人情報について、施行規則第31条各号で定める基準を満たす加工がなされていない場合には、これを満たすよう更なる加工を行う必要があります（法第41条第１項）。


Question: 要配慮個人情報を含む個人情報から仮名加工情報を作成することは認められますか。

Answer: 法第２条第３項に定める要配慮個人情報を含む個人情報を加工して仮名加工情報を作成することも可能です。


Question: 氏名や住所、年齢、性別などの記述が含まれていた場合は必ず全ての記述について削除等の措置が必要になりますか。

Answer: 氏名のようにそれ単体で特定の個人を識別できるものについては措置が必要となりますが、住所、年齢、性別などのその組合せにより特定の個人を識別できるような記述については、その一部を削除等することにより特定の個人を識別できないようにすることも可能であると考えられます。


Question: 施行規則第31条第３号の「不正に利用されることにより財産的被害が生じるおそれがある記述等」とはどのようなものですか。口座番号やクレジットカード番号の下４桁は削除する必要がありますか。

Answer: 個別の事案ごとに判断されますが、口座番号それ自体やクレジットカード番号の下４桁それ自体が不正に利用されることにより直ちに財産的被害が生じるおそれがあるとはいえないと考えられますので、口座番号それ自体や、クレジットカード番号の下４桁それ自体については、施行規則第31条第３号における「不正に利用されることにより財産的被害が生じるおそれがある記述等」には該当しないと考えられます。


Question: 個人情報を加工して仮名加工情報を作成すること自体を、利用目的として特定する必要はありますか。

Answer: 仮名加工情報への加工を行うこと自体を個人情報の利用目的として特定する必要はありません。


Question: 施行規則第32条に定める基準に従って安全管理措置を講ずることが求められる削除情報等とはどのような情報ですか。

Answer: 施行規則第32条の基準に従って安全管理措置を講ずることが求められる削除情報等には、個人情報を加工する過程で削除された記述等や個人識別符号のほか、それを用いて仮名加工情報の作成に用いられた個人情報を復元することができる加工の方法に関する情報が該当し、例えば、氏名を仮IDに置き換えた場合における置き換えアルゴリズムに用いられる乱数等のパラメータや氏名と仮IDの対応表などが考えられますが、「氏名を削除した」というような復元につながらない情報は該当しません。


Question: 仮名加工情報が適切に加工されていることを伝えるために、それぞれの情報の項目をどのように加工したのかといった情報を仮名加工情報の取扱いについての委託先などに伝えることは可能ですか。

Answer: 安全管理措置が必要となる削除情報等に該当する加工の方法に関する情報とは、その情報を用いることによって元の個人情報を復元することができるものです。したがって、例えば、住所を都道府県レベルに加工したことや、年齢を10歳刻みにしたこといった情報などについては、元の個人情報を復元できるものではなく、委託先などに伝えることも可能です。


Question: 委託契約により委託先の事業者において仮名加工情報を作成した場合、削除情報等を委託元と共有することはできますか。

Answer: 個人情報を提供して仮名加工情報の作成を委託した場合においては、委託元と委託先が共同して作成したものとして、削除情報等を共有することは可能です。ただし、削除情報等を取り扱う者の権限を委託元においても明確に定めるなど、委託元も含め施行規則第32条に定める基準に従って適切な安全管理措置を講じる必要があります。


Question: 仮名加工情報の削除情報等が漏えいした場合、どのような対応が必要となりますか。

Answer: 個別の事例ごとに判断する必要がありますが、氏名と仮IDの対応表等、それを用いて元の個人情報を復元することのできる削除情報等が漏えいした場合には、削除情報等の安全管理措置を講ずる義務（法第41条第２項）や仮名加工情報である個人データの安全管理措置を講ずる義務（法第23条）の履行の観点から、原則として、当該仮名加工情報に含まれる仮IDを振り直すこと等により仮名加工情報を新たに作り直す等の措置を講じることが必要となります。


Question: 法第41条第３項において「第17条第１項の規定により特定された利用目的」とありますが、個人情報取扱事業者が個人情報を加工して仮名加工情報を作成した場合、当該仮名加工情報の利用目的はどのように特定されますか。

Answer: 仮名加工情報（個人情報であるもの。以下本項において同じ。）を作成したときは、作成の元となった個人情報に関して法第17条第１項の規定により特定された利用目的（当該個人情報について法第17条第２項に定める範囲で利用目的が変更された場合の変更後の利用目的を含む。）が、当該仮名加工情報の利用目的として引き継がれます。


Question: 個人情報を加工して仮名加工情報を作成した場合、仮名加工情報の利用目的を公表する必要がありますか。また、仮名加工情報の利用目的を変更した場合はどうですか。

Answer: 個人情報である仮名加工情報を取得した場合には、あらかじめその利用目的を公表している場合を除き、原則として、速やかにその利用目的を公表する必要があります（法第41条第４項により読み替えて適用される法第21条第１項、同条第４項）。もっとも、個人情報取扱事業者が、自らが保有する個人情報の一部を削除する等の加工を行って仮名加工情報を作成した場合は、ここでいう個人情報である仮名加工情報の「取得」に該当しないため、仮名加工情報を作成した時点で仮名加工情報の利用目的を公表する必要はありません。


Question: 仮名加工情報に含まれる情報の項目を公表する必要はありますか。

Answer: 仮名加工情報に含まれる情報の項目を公表することは求められません。


Question: 仮名加工情報を第三者に提供することはできますか。仮名加工情報を作成する前に、本人から同意を得ていた場合はどうですか。

Answer: 仮名加工情報（個人情報であるもの）、仮名加工情報である個人データ及び仮名加工情報である保有個人データについては、通常の個人情報、個人データ及び保有個人データと異なり、以下の規定が適用されないこととなります（法第41条第９項）。


Question: 仮名加工情報である個人データを共同利用により提供することは可能ですか。可能である場合、どのような手続を実施する必要がありますか。

Answer: 仮名加工情報を共同利用により第三者に提供することは可能です（法第41条第６項により読み替えて適用される法第27条第５項第３号、法第42条第２項により読み替えて準用される法第27条第５項第３号）。


Question: 法第41条第８項おける「電磁的方法」とは、どのような方法をいいますか。例えば、いわゆるSNS（ソーシャル・ネットワーキング・サービス）のメッセージ機能によりメッセージを送信する方法はこれに該当しますか。

Answer: 法第41条第８項における「電磁的方法」とは、①から③までのいずれかの方法をいいます。


Question: 仮名加工情報を用いて分析を行い、統計情報を作成した上で、当該統計情報により得られた傾向等を踏まえて、当該仮名加工情報の作成の元となった個人情報を用いて広告配信を行うことはできますか。

Answer: 可能です。ただし、広告配信を行うことが、加工前の個人情報について特定された利用目的の範囲内である必要があります。利用目的の達成に必要な範囲を超える利用は、原則として事前に本人の同意が必要となります（法第18条第１項・第３項）。


Question: 委託により仮名加工情報を取り扱っていたところ、偶然に当該仮名加工情報の作成の元となった個人情報の本人を識別してしまった場合にも識別行為の禁止義務に違反しますか。

Answer: 法第41条第７項及び法第42条第３項により準用される法第41条第７項に定めるように、仮名加工情報の作成の元となった個人情報の本人を識別するために他の情報と照合しているとはいえない場合は、直ちに識別行為の禁止義務に違反するものではないと考えられますが、再度同じような形で個人を識別することがないようにする必要があります。


Question: 個人情報から作成した統計情報についても匿名加工情報に該当しますか。

Answer: ガイドライン（匿名加工情報編）２－１にもあるように、統計情報は、複数人の 情報から共通要素に係る項目を抽出して同じ分類ごとに集計して得られるデータであり、集団の傾向又は性質などを数量的に示すのみで特定の個人との対応関係が排斥されてい  る限りにおいては、「個人に関する情報」に該当するものではないため、個人情報保護法 の対象外となります。一方、特定の個人が識別できる情報であれば、個人情報に該当する こととなりますので留意が必要です。


Question: 統計情報と匿名加工情報の違いは何ですか。

Answer: 統計情報は、複数人の情報から共通要素に係る項目を抽出して同じ分類ごとに集計等して得られる情報であり、一般に、特定の個人との対応関係が排斥されているため、「個人情報」に該当しないものです。他方、匿名加工情報は、法第 36 条第１項に基づき、施行規則第 19 条各号で定める基準に従い加工したものであり、例えば、ある一人の人物の購買履歴や移動履歴等の情報など、個人単位の「個人に関する情報」を含むものです。（平成 30 年７月追加）


Question: 匿名加工情報を作成する途中の情報など十分な加工がされていない情報はどのように取り扱えばよいですか。

Answer: 匿名加工情報を作成するために個人情報を加工する作業を行っている途上であるものは、加工が不十分である場合には、特定の個人を識別することができる、又は元の個人情報が復元できる状態にある可能性があることから、原則として個人情報として取り扱うことが適当であると考えられます。


Question: 匿名加工情報として提供を受けたものの、加工が不十分な情報であった場合にはどのように取り扱えばよいですか。

Answer: 匿名加工情報として提供を受けたものの、加工が不十分な情報であるために匿名加工情報に該当しないと判明した場合は速やかに当該情報を削除することが望ましいと考えられます。


Question: 法第 36 条第１項に定める基準に従わずに個人情報を加工したものを匿名加工情報として取り扱うことは認められますか。

Answer: 匿名加工情報を作成するためには、法第 36 条第１項に基づき、施行規則第 19 条各号で定める基準に従い加工する必要があります。具体的には個別に判断されることとなりますが、これらの基準に従い加工が行われていない場合については、匿名加工情報に該当しないものと考えられます。


Question: 個人情報を、安全管理措置の一環等のためにマスキング等によって匿名化した場合、匿名加工情報として取り扱う必要がありますか。

Answer: 匿名加工情報を作成するためには、匿名加工情報作成の意図を持って、法第43 条第１項に基づき、施行規則第 34条各号で定める基準に従い加工する必要があります。


Question: 個人情報を加工して匿名加工情報を作成する場合についても、利用目的として特定する必要はありますか。

Answer: 利用目的の特定は個人情報が対象であるため、個人情報に該当しない匿名加工情報は対象となりません。また、匿名加工情報への加工を行うこと自体を利用目的とする必要はありません。（平成 30 年７月追加）


Question: 匿名加工情報を作成するときに施行規則第 34条各号に定める基準で求められている措置を全て行う必要がありますか。

Answer: 匿名加工情報を作成するためには、法第 36 条第１項に基づき、施行規則第 19 条各号で定める基準に従い加工する必要がありますが、各号に定める措置を選択的に講ずればよいものではなく、各号全ての措置を行う必要があります（ただし、該当する情報がない場合は当該措置を講じる必要はありません）。なお、プライバシー保護等の観点から追加的に措置を講じていただくことを妨げるものではありません。


Question: 提供を受けた匿名加工情報を再度加工する場合は匿名加工情報の作成に該当しますか。

Answer: 匿名加工情報は個人情報を加工して作成するものであり、匿名加工情報を再加工することは新たな別の匿名加工情報の作成には当たるものではないと考えられます。


Question: 要配慮個人情報を加工して匿名加工情報を作成することはできますか。

Answer: 法第２条第３項に定める要配慮個人情報を含む個人情報を加工して匿名加工情報を作成することも可能です。


Question: 氏名や住所、年齢、性別などの記述が含まれていた場合は必ず全ての記述について削除等の措置が必要になりますか。

Answer: 氏名のようにそれ単体で特定の個人を識別できるものについては措置が必要となりますが、住所、年齢、性別などのその組合せにより特定の個人を識別できるような記述については、その一部を削除等することにより特定の個人を識別できないようにすることも可能であると考えられます。


Question: 施行規則第 19 条第５号において、「個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等との差異その他の当該個人情報データベース等の性質を勘案し」とありますが、ここでの「当該個人情報を含む個人情報データベース等」については、事業者が保有する個人情報データベース等全体を勘案する必要がありますか。

Answer: ここでの「当該個人情報を含む個人情報データベース等」とは、当該個人情報取扱事業者が匿名加工情報を作成する際に加工対象とする個人情報データベース等を想定しています。すなわち、匿名加工情報を作成する個人情報取扱事業者が保有する加工とは無関係の個人情報を含む全ての個人情報データベース等の性質を勘案することを求めるものではありません。


Question: 個人情報である仮名加工情報を加工して、匿名加工情報を作成することはできますか。

Answer: 匿名加工情報を作成するためには、匿名加工情報作成の意図を持って、法第43条第１項に基づき、施行規則第34条各号で定める基準に従って個人情報を加工する必要がありますが、これらの要件を満たす限り、個人情報である仮名加工情報を加工して匿名加工情報を作成することは可能です。（令和３年９月追加）


Question: 匿名加工情報を作成するときには、氏名と仮 ID 等の対応表を破棄しないといけませんか。

Answer: 氏名と仮 ID 等の対応表は加工方法等情報に該当すると考えられます。したがって、当該対応表の破棄までは求められませんが、加工方法等情報として施行規則第 20 条各号の基準に従って安全管理措置を講ずる必要があります。また、匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、他の情報と照合してはならないとされていることから、当該目的で対応表を利用することはできませんが、匿名加工情報の安全性の検証作業などで利用することもあり得ると考えられます。


Question: 施行規則第35条に定める基準に従って安全管理措置を講ずることが求められる加工方法等情報とはどのような情報ですか。年齢のデータを10歳刻みのデータに置き換えた」という情報はこれに該当しますか。

Answer: 施行規則第35条に定める基準に従って安全管理措置を講ずることが求められる加工方法等情報には、個人情報を加工する過程で削除された記述等や個人識別符号のほか、それを用いて匿名加工情報の作成に用いられた個人情報を復元することができる加工の方法に関する情報が該当しますが、「年齢のデータを10歳刻みのデータに置き換えた」というような復元につながらない情報は該当しません。（令和３年９月更新）


Question: 匿名加工情報が適切に加工されていることを伝えるために、それぞれの情報の項目をどのように加工したのかといった情報を匿名加工情報の提供先などに伝えることは可能ですか。

Answer: 安全管理措置が必要となる加工方法等情報には、その情報を用いることによって元の個人情報を復元することができるものが該当します。したがって、例えば、年齢を10 歳刻みにしたことや商品名をどのカテゴリにまとめたといった情報などの情報については、元の個人情報を復元できるものではなく、提供先に伝えることも可能です。


Question: 委託契約により委託先の事業者において匿名加工情報を作成した場合、加工方法等情報を委託元と共有することはできますか。

Answer: 個人情報を提供して匿名加工情報の作成を委託した場合等においては、委託元と委託先が共同して作成したものとして、加工方法等情報を共有することは可能です。ただし、加工方法等情報を取り扱う者の権限を委託元においても明確に定めるなど、委託元も含め施行規則第 20 条に従って適切な安全管理措置を講じる必要があります。


Question: 匿名加工情報の作成の委託を複数の会社から受けることは可能ですか。その場合、どのようなことに留意する必要がありますか。

Answer: 複数の会社から匿名加工情報の作成の委託を受けることは可能です。ただし、委託を受けた各個人情報の取扱い及び匿名加工情報の作成については、各委託者の指示に基づきその範囲内で独立した形で行う必要があります。異なる委託者から委託された個人情報を組み合わせたり、突合したりすることはできません。（平成 30 年７月追加）


Question: 委託に伴って提供された個人データを、委託先が自社のために匿名加工情報に加工した上で利用することはできますか。

Answer: 委託先は、委託（法第23条第５項第１号）に伴って委託元から提供された個人データを、委託された業務の範囲内でのみ取り扱わなければなりません。委託先が当該個人データを匿名加工情報に加工することが委託された業務の範囲内である場合には、委託先は当該加工を行うことができますが、委託された業務の範囲外で委託先が当該加工を行い、作成された匿名加工情報を自社のために用いることはできません。（令和２年９月追加）


Question: プライバシーポリシーに、取得した個人情報に含まれる個人に関する情報の項目を明示するとともに、「取得した個人情報から匿名加工情報を作成することがあります」といった趣旨の記載をして公表する場合は、当該記載をもって作成時及び第三者提供時の公表を履行したことになりますか。

Answer: 匿名加工情報に含まれる個人に関する情報の項目の公表は、「作成したとき」又は「提供したとき」に行うことが求められるものであり、実際に匿名加工情報に含まれる個人に関する情報の項目が分かるようにする必要があります。したがって、事前にプライバシーポリシーに包括的な記載を掲載するだけでは当該義務を履行したものとは考えられません。


Question: 作成した匿名加工情報に購買履歴が含まれる場合、個人に関する情報の項目として、商品名まで公表する必要がありますか。

Answer: 匿名加工情報に購買履歴が含まれる場合において、当該匿名加工情報の作成時の公表や第三者提供時の公表については、具体的な商品名の公表まで必要はなく、ガイドライン（匿名加工情報編）３－４、３－５にあるように、「購買履歴」等の情報の項目を公表することで足ります。


Question: 含まれる情報の項目が同じ匿名加工情報を継続的に作成する場合、その都度匿名加工情報に含まれる個人に関する情報の項目等を公表する必要がありますか。

Answer: ガイドライン（匿名加工情報編）３－４にあるように、個人に関する情報の項目が同じである匿名加工情報を同じ手法により反復・継続的に作成する場合には、最初の匿名加工情報を作成して個人に関する項目を公表する際に、作成期間又は継続的な作成を予定している旨を明記するなど継続的に作成されることとなる旨を明らかにしておくことにより、包括的に公表を行うことが可能です。


Question: 匿名加工情報の作成時の公表において、当該匿名加工情報の利用目的についても公表する必要がありますか。

Answer: 法第 36 条第３項においては、匿名加工情報を作成したときは、個人に関する情報の項目を公表しなければならないとされていますが、利用目的の公表は求められていません。


Question: 匿名加工情報を作成する際に元の個人情報に含まれるある項目の情報の全てを削除した場合、あるいは、その全てを置き換えた場合に、その項目について、匿名加工情報を作成したとき、あるいは、第三者に提供したときに公表する必要はありますか。

Answer: 匿名加工情報を作成する際に、元の個人情報に含まれるある項目について、その情報の全てを削除あるいは置き換えた場合には、匿名加工情報の作成あるいは第三 者提供の際の公表事項として当該項目を含める必要はありません。（平成 30 年７月追加）


Question: 匿名加工情報を作成した際に公表する個人に関する情報の項目の一部を「等」として省略することはできますか。また、「個人に関する情報の項目」の分類をどの程度、細かくする必要がありますか。まとめることは可能ですか。

Answer: 匿名加工情報を作成したときは、匿名加工情報に含まれる「個人に関する情報の項目」を公表する必要があります。公表される匿名加工情報に含まれる「個人に関する情報の項目」を省略することはできません。


Question: 匿名加工情報の第三者提供時の公表において、当該匿名加工情報の提供先名や利用目的についても公表する必要がありますか。

Answer: 法第 36 条第４項及び第 37 条における第三者提供時の公表に関しては、提供先名及び利用目的の公表は求められていません。


Question: 法第 36 条第３項の匿名加工情報作成時の情報の項目に関する公表と同条第４項の公表を同時に行うことはできますか。

Answer: 匿名加工情報の作成時の公表については、匿名加工情報を作成した後、遅滞なく行うこととされており、また第三者提供時の公表については提供に当たってあらかじめ公表することとされています。したがって、個人情報取扱事業者が、匿名加工情報を第三者に提供することを前提として当該情報を作成し直ちに第三者提供をしようとする場合には、匿名加工情報の作成時の公表と第三者提供時の公表が結果的に同時に行われる場合もあり得ると考えられます。


Question: 個人情報を提供して、匿名加工情報の作成を委託した場合、依頼する委託元事業者とこれを受けた委託先事業者にはどのような法律の規律が課せられますか。

Answer: 個人情報を提供して匿名加工情報の作成を委託した場合には、匿名加工情報の作成は委託先事業者において行われることになりますが、匿名加工情報の作成は委託元事業者と委託先事業者が共同で行っているものと解されますので、法第 36 条の規定は委託元事業者と委託先事業者の双方に課せられると考えられます。ただし、匿名加工情報の作成時の公表については、施行規則第 21 条第２項により委託元事業者において行うものとされ、委託先においての公表は必要ありません。


Question: 匿名加工情報を取り扱っていたところ、偶然に当該匿名加工情報の作成の元となった個人情報の本人を識別してしまった場合にも識別行為の禁止義務に違反しますか。

Answer: 法第 36 条第５項又は第 38 条に定めるように、匿名加工情報の作成の元となった個人情報の本人を識別するために他の情報と照合しているとはいえない場合は、直ちに識別行為の禁止義務に違反するものではないと考えられます。


Question: 匿名加工情報や加工に関する方法の安全性の検証のために元となる個人情報と匿名加工情報を照合させることはできますか。

Answer: 匿名加工情報に関しては、法第 36 条第５項及び第 38 条において、元となった個人情報に係る本人を識別するために、当該匿名加工情報を他の情報と照合してはならないとされています。匿名加工情報や加工に関する方法の安全性の検証のために他の情報と照合する行為は「当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために・・・照合」という要件に該当するかどうかという観点から個別に判断されるべきものと考えますが、仮にこの要件に該当しない範囲において法第 36 条第６項に定める匿名加工情報の安全管理措置の一環等で適切に行われる場合があれば同項に違反しないものとなり得ると考えられます。


Question: ガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編、仮名加工情報・匿名加工情報編及び認定個人情報保護団体編）以外に、事業者等が遵守すべきガイドライン等はありますか。

Answer: 従来、関係省庁が作成していたガイドラインのうち個人情報保護法に関するものは、平成27年改正の施行（平成29年５月30日）をもって、原則として個人情報保護委員会が作成したガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）に一元化されました。


Question: 令和３年改正法の全面施行（令和５年４月１日）以降、法第58条及び第125条の規定により、法第４章及び法第５章の規定の適用の特例を受ける個人情報取扱事業者等や行政機関等が遵守すべきガイドライン等はありますか。

Answer: 個人情報取扱事業者又は匿名加工情報取扱事業者のうち、①法別表第２に掲げる法人、②地方独立行政法人のうち、試験研究を行うこと等を主たる目的とするもの、大学等の設置及び管理等を目的とするもの並びに病院事業の経営を目的とするものについては、法第 58 条第１項の定めにより、法第４章の規定のうち、第 32 条から第 39 条まで及び同章第４節（第 43 条から第 46 条まで）の規定の適用が無い一方で、法第 125 条第２項の定めにより、その個人情報又は匿名加工情報の取扱いについて、独立行政法人等と、地方独立行政法人による個人情報又は匿名加工情報の取扱いとそれぞれみなして、法第５章第１節（第 60 条）、第 75 条、同章第４節（第 76 条から第 108 条まで）及び第５節（第 109 条から第 123 条まで）、第124 条第２項、第 127 条並びに第６章から第８章まで（第 176 条、第 180 条及び第 181 条を除く。）の規定が適用されます。


Question: 金融分野において、個人情報保護法の体系と各業法の体系の関係はどのようなものか。

Answer: 個人情報保護法の体系では、個人情報の保護に関する法律（以下「個人情報保護法」という。）、個人情報の保護に関する法律施行令（以下「個人情報保護法施行令」という。）及び個人情報の保護に関する法律施行規則（以下「個人情報保護法施行規則」という。）のほか、個人情報の保護に関する法律についてのガイドライン（通則編）（以下「通則ガイドライン」という。）を基礎（注１）として、金融分野における個人情報保護に関するガイドライン（以下「金融分野ガイドライン」という。）及び金融分野における個人情報保護に関するガイドラインの安全管理措置等についての実務指針（以下「実務指針」という。）があり、適用対象は「個人情報取扱事業者」で、主に「個人データ」の取扱いに関する規定が定められています（なお、金融分野ガイドライン及び実務指針は、各業法に基づく規定を含みます。）。


Question: 官報や民間の新聞等により公表されている情報であっても「個人情報」に当たるか。

Answer: 「個人情報」とは、個人情報保護法第２条第１項において、「生存する個人に関する情報であって、


Question: それ単体では特定の個人を識別することができない情報であれば、それは「個人情報」に当たらないのか。例えば、住宅ローンの残高など、金額のみが記載され、その他氏名等が記載されていないものは「個人情報」に当たらないのか。

Answer: 「個人情報」には、他の情報と容易に照合することができ、それにより特定の個人を識別することができるものが含まれます(Q2-１参照）。事業者において通常の業務における一般的な方法で、他の情報と容易に照合が可能であり、それにより特定の個人を識別することが可能であるならば、それ単体では特定の個人を識別することができないとしても、当該情報は「個人情報」に該当するものと考えられます。


Question: 「個人情報」と「個人データ」の違いは何か。

Answer: 「個人情報」とは、生存する個人に関する情報であって、


Question: 「個人情報データベース等」とは何か。

Answer: 「個人情報データベース等」とは、個人情報を含む情報の集合物であって、


Question: 個人情報が五十音順等に整理されておらず、コンピュータを用いたデータベースにランダムに入力されているが、サーチ機能等で容易に検索が可能な場合には、当該データベースは「個人情報データベース等」に該当するのか。

Answer: 「個人情報データベース等」のうちコンピュータを用いたものとは、特定の個人情報をコンピュータを用いて検索できるように体系的に構成したものをいいます（個人情報保護法第 16 条第１項第１号、通則ガイドライン ２－４）。


Question: 法人の代表者の情報は「個人情報」に当たるか。また、法人情報のデータベースの中に法人代表者の氏名等があった場合、当該情報は「個人データ」に当たるのか。

Answer:
法人の代表者の情報は、個人情報保護法第２条第１項の定義に該当するため、「個人情報」に当たります。取引先企業の担当者名といった情報も、同法第２条第１項の定義に該当するため、｢個人情報｣に当たります。

また、法人の代表者の氏名等が（単に文字列検索が可能なのではなく、個人情報としての属性に着目して）検索可能な場合には、当該データベースは「個人情報」が検索できるように体系的に構成されているといえ、｢個人情報データベース等｣に該当するものと考えられます。したがって、当該法人の代表者の氏名等は、「個人データ」に該当すると考えられます。ただし、データベース等があくまで法人情報のみの検索が可能なように構成されているもので、（法人代表者の氏名等の）個人情報の検索が可能なように体系的に構成されていない場合には、当該データベース等は「個人情報データベース等」には該当せず、そこに含まれている個人情報も「個人データ」には該当しないこととなります。


Question: 顧客から提出された書類と「個人データ」について、

Answer:
① 「個人データ」とは、「個人情報データベース等を構成する個人情報」をいいます（個人情報保護法第16 条第３項）。データベース化されていない個人情報は、たとえ通常データベース管理される性質のもので、かつ、これからデータベース化される予定であったとしても、「個人データ」には当たりません。
② また、記載されている情報がデータベース化され、「個人データ」となったとしても、契約書等の書類そのものは、「個人情報データベース等を構成する」とは言えないため、「個人データ」には該当しません。
もっとも、当該契約書等が、ファイリングされるなどして、それ自体「特定の個人情報を容易に検索することができるよう体系的に構成したものであって、目次、索引、符号等により一般的に容易に検索可能な状態に置かれている」と言える場合には、当該契約書等は「個人情報データベース等を構成する」と言え、「個人データ」に該当します。
③ また、「個人情報データベース等」から紙面に出力されたものやそのコピーは、それ自体が容易に検索可能な形で体系的に整理された一部でなくとも、「個人データ」の「取扱い」の結果であり、個人情報保護法上の様々な規制がかかります。
「個人情報データベース等」から紙にメモするなどして取り出された情報についても、同様に「個人データ」に該当します。

なお、その出力されたものやそのコピーが、委託先や第三者に提供された場合は、当該委託先や第三者にとっては、（その出力されたものやコピーが容易に検索可能な形で体系的に整理されない限り）当該情報は「個人データ」には該当しないと考えられます。ただし、委託元や第三者提供元にとっては、それらを委託・提供する行為は「個人データ」の「取扱い」であり、個人情報保護法上の様々な規制がかかります。


Question: 金融分野ガイドライン第５条第１項第８号に規定する「保険業その他金融分野の事業の適切な業務運営を確保する必要性から、本人の同意に基づき業務遂行上必要な範囲で機微（センシティブ）情報を取得、利用又は第三者提供する場合」とは、具体的にどのような場合を想定しているのか。

Answer:
金融分野ガイドライン第５条第１項は、機微（センシティブ）情報を「法第２条第３項に定める要配慮個人情報並びに労働組合への加盟、門地、本籍地、保健医療及び性生活（これらのうち要配慮個人情報に該当するものを除く。）に関する情報（本人、国の機関、地方公共団体、法第 76 条第１項各号若しくは施行規則第６条各号に掲げる者により公開されているもの、又は、本人を目視し、若しくは撮影することにより取得するその外形上明らかなものを除く。）」と規定し、その取得、利用又は第三者提供を原則として禁止していますが、同項各号に掲げる事項に該当する場合に限り、これらの行為を行うことができるものとしています。

金融分野ガイドライン第５条第１項第８号は、当該取得、利用又は第三者提供が、①各種法令や社会通念等に照らして「適切な業務運営」と判断されること、②「本人の同意」があること、③「業務遂行上必要な範囲」内であることを要件としています。

例えば、金融機関が保険金の支払いや借り手の与信判断をするために、被保険者や借り手の健康状態に関する情報を各種法令や社会通念等に照らし適切といえる方法で、かつ保険金の支払いや与信判断のために必要な範囲内で、被保険者や借り手から同意を得て取得することが考えられます。反対に、保険金の支払いや借り手の与信判断のために本籍地等に関する情報を取得することは、｢業務遂行上必要な範囲｣内であるとは認められないことから、原則として、取得等を行うことはできないものと考えられます。ただし、業務遂行上、本籍地の取得等の必要性が認められる場合は、例外として本籍地の取得等が認められることもあり得ます。

また、金融機関においては、機微（センシティブ）情報について、金融分野ガイドラインに加え、銀行法等の各業法の施行規則が適用されることに留意する必要があります。


Question: 金融分野ガイドライン第５条第３項に規定する「機微（センシティブ）情報を、第１ 項に掲げる場合に取得、利用又は第三者提供する場合には、（中略）個人情報の保護に関する法令等に従い適切に対応しなければならないことに留意する」とは、具体的にどのような点に留意する必要があるのか。

Answer: 金融分野ガイドライン第５条第３項については、機微（センシティブ）情報を、同条第１項に掲げる場合に取得、利用又は第三者提供する場合には、個人情報の保護に関する法令等の規制が前提となることを確認的に規定しているものです。


Question: 金融分野ガイドライン第５条第４項に規定する「機微（センシティブ）情報を、第三者へ提供するに当たっては、法第 27 条第２項（オプトアウト）の規定を適用しないこととする」とは、機微（センシティブ）情報のうち要配慮個人情報を除く情報についても適用しないということか。

Answer: 個人情報保護法第 27 条第２項において、個人データを構成する要配慮個人情報については、オプトアウト手続によって第三者提供することができないとされています。


Question: 安全管理措置の内容は個人情報保護法と業法のどちらでも義務化されているが、求められていることはどう違うのか。

Answer: 業法の体系において、監督指針等に以下の規定が盛り込まれていることからも分かるように、基本的に個人情報保護法の体系及び業法の体系で求めている措置は同じです。ただし、措置の対象となっている情報の範囲などに若干の違いがあります。


Question: なぜ個人情報保護法に加え、各業法で個人情報の安全管理が求められているのか。

Answer: 個人情報保護法の体系（個人情報保護法－通則ガイドライン及び金融分野ガイドライン－実務指針等）は、個人の権利利益を保護することを目的としているもので、銀行法などの各業法の体系（法律－施行規則－監督指針等）は、金融機関の業務の公共性等に鑑み、その業務の健全かつ適切な運営を確保するという観点から、個人顧客情報の適正な管理を求めているものです。


Question: 実務指針に基づき基本方針や取扱規程等を整備するにあたっては、いかなる事項をこれに盛り込む必要があるか。

Answer: 実務指針は、個人情報取扱事業者が、安全管理に係る基本方針の整備、取扱規程等の整備、安全管理措置に係る実施体制の整備等を行うに当たり、事業者における「個人データ」の安全管理のために必要かつ適切な内容を盛り込むことを求めています。


Question: 実務指針１－２において整備することが求められている「個人データの安全管理に係る取扱規程」は、各事業者においては「細則」「マニュアル」等、名称や形式を問わないという理解でよいか。また、個々の規程の構成が実務指針と一致せずとも、当該事業者で定めるルール全体として実務指針に規定する措置に対応していれば、事業者全体の「個人データの安全管理に係る取扱規程」として問題ないか。

Answer:
実務指針１－２で定める「個人データの安全管理に係る取扱規程」は、管理段階ごとに措置内容等を明確化することを求めるものであり、その名称や形式の統一を求めるものではありません。

したがって、個々の規程の構成を実務指針の記載と一致させる必要は必ずしもないほか、管理段階ごとの取扱規程を、業務単位や商品単位ごとのように、実務に即して盛り込むことも可能です。

ただし、その際には、事業者全体として、①実務指針７－１から７－６－１までに定められた事項が管理段階ごとに全て盛り込まれていること、②事業者内の部署や商品ごとに定めた規程において盛り込まない事項がある場合には合理的な理由があること、が求められます。


Question: 「個人データ」の「漏えい、滅失、毀損」とは、どのようなものを指すのか。具体的には、

Answer: 「個人データ」の「漏えい」とは「個人データが外部に流出すること」、「滅失」とは「個人データの内容が失われること」、「毀損」とは「個人データの内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となること」をいいます。


Question: 個人データ等の漏えい等が発生した場合、金融機関は個人情報保護委員会又は監督当局に報告する義務を負うか。

Answer: 金融機関は、個人データ等の漏えい等が発生した場合、以下のとおり、個人情報保護委員会又は監督当局に報告する義務又は努力義務を負います。


Question: 個人情報等の漏えい事案等が発生した場合において、監督当局等に報告を要する場合の報告先はどこか。

Answer: 提出された報告書等については、個人情報保護委員会に共有されます。


Question: 特定個人情報の漏えい等が発生した場合、金融機関は個人情報保護委員会又は監督当局に報告する義務を負うか。

Answer: 行政手続における特定の個人を識別するための番号の利用等に関する法律（以下「番号法」という。）第 29 条の４第１項に基づき、個人番号利用事務等実施者は、番号法第 29 条の４第１項及び第２項に基づく特定個人情報の漏えい等に関する報告等に関する規則第２条各号に定める事態を知ったときは、個人情報保護委員会に報告を行う必要があります（義務規定）。


Question: 個人情報等の漏えい等は、各業法上の「不祥事件」に該当するのか。

Answer: 個人情報等の漏えい等が「不祥事件」に該当するか否かは、漏えい等の生じた経緯、漏えい等した情報の内容等から、各業法の規定に照らして個別に判断する必要があります。


Question: 個人データの漏えい等について、個人情報保護法第 26 条第１項の定める漏えい等報告の報告対象事態に該当するとともに、各業法の定める漏えい等報告の報告対象事態にも該当する場合には、どのように報告を行えばよいか。

Answer: 双方の報告対象事態に該当する場合には、双方の法に基づく報告を行う必要があります。


Question: 本Ｑ＆Ａ付属の様式を用いて漏えい等報告を行う場合、根拠条項をどのように書けばよいか。

Answer:
個人情報保護法に基づく報告の場合(q４-６（１）参照）には、個人情報保護法第 26 条第１項を根拠条文として記載することになります。

各業法に基づく報告の場合(問q４-６（２）参照）には、各業法の報告義務に関連する条文（例：銀行法施行規則第 13 条の６の５の２、金融商品取引業等に関する内閣府令第 123 条第１項第６号の２）を根拠条文として記載することになります。

金融分野ガイドライン第 11 条第２項に基づく報告の場合(q４-６（３）参照）には、金融分野ガイドライン第 11 条第２項を根拠条文として記載することとなります。

（注）　　q４-10のとおり、一つの報告書を提出することで、個人情報保護法・各業法の双方の法に基づく報告を一括して行うことも可能です。この場合、当該報告書には、双方の法令上の根拠条文を並べて記載する必要があります。
根拠条文の記載方法については、本Ｑ＆Ａ付属の（別紙様式１）の様式も参照してください。


Question: 各業法に基づく監督当局への報告について、どこまで厳密に行う必要があるのか。例えば、ＦＡＸの誤送信、郵便物等の誤送付及びメールの誤送信などによる個人データの漏えい等で、当該情報の量や性質等に鑑みて、漏えい等事案としては軽微と思われるものまで、発生段階で必ず監督当局へ報告する必要性があるのか。

Answer: 個人顧客に関する個人データについては、各業法において「当該事態が生じた旨を金融庁長官等に速やかに報告することその他の適切な措置」を講じることとされており（義務規定）、金融機関は、その取り扱う個人顧客に関する個人データの漏えい等事案が発生した場合は、監督当局への報告その他の適切な措置を行う必要があります。


Question: 各業法に基づく監督当局への報告について、どのような事項を報告書に記載すれば良いのか。

Answer: 法令等において特段報告の様式を定めてはおりませんが、一例として、本Ｑ＆Ａ付属の（別紙様式１）の様式を示します。（別紙様式１）と同内容の情報を全て報告しなければならないというわけではありませんが、各業法における個人顧客情報の漏えい等報告に係る規定の趣旨にのっとり、必要十分な内容を監督当局に報告する必要があります。


Question: 金融機関が本人同意を得て個人データを第三者に提供した後、提供先の第三者において当該個人データが漏えい等した場合、提供元の金融機関は漏えい等報告をする必要があるか。また、金融機関が個人データの取扱いの委託に伴って個人データを委託先に提供した後、委託先において当該個人データが漏えい等した場合、委託元の金融機関は漏えい等を報告する必要があるか。

Answer: 金融機関が本人同意を得て「個人データ」を第三者に提供した後、提供先の第三者において当該「個人データ」が漏えい等したとしても、提供元の金融機関は漏えい等報告の義務を負いません。


Question: 各業法に基づく監督当局への報告について、金融分野とそれ以外の分野の事業を行っている場合において、金融分野以外の事業において取り扱う個人データ等の漏えい等が発生した場合も、各業法に基づき監督当局に報告する必要があるのか。

Answer: 各業法、金融分野ガイドライン及び実務指針は、金融分野における個人情報の取扱いを対象としています。このため、金融分野以外の事業において取り扱う個人データ等の漏えい等が発生したとしても、各業法に基づき、監督当局に報告する必要はありません。


Question: 事業者に適用される各業法が金融庁と他省庁の共管となっている場合、金融分野ガイドライン第 11 条第１項後段及び同条第２項に基づき報告する場合は、所管しているいずれかの省庁に報告すれば、他の省庁への報告は必要ないのか。

Answer: 各業法に基づく報告（金融分野ガイドライン第 11 条第１項後段）について、当該業法が金融庁と他省庁の共管となっている場合には、各業法で報告先として規定する監督当局及び当該他省庁の双方に対して、報告をする必要があります（q４－７参照）。


Question: 個人データ等の漏えい等が発生した場合、金融機関は本人に通知する義務を負うか。

Answer: 金融機関は、個人データ等の漏えい等が発生した場合、以下のとおり、本人に通知等する義務又は努力義務を負います。


Question: 「個人データ」の漏えい等が発生した場合、事実関係及び再発防止策等について、公表すべきか。

Answer: 個人情報取扱事業者は、個人データの漏えい等が発生した場合、漏えい等事案の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、事実関係及び再発防止策等について、速やかに公表することが望ましいと考えられます（通則ガイドライン 3-5-2）。


Question: 防犯カメラに映った偽造キャッシュカードの実行犯の映像を本人の同意なく他の金融機関に提供することは、個人情報保護法上問題がないか。

Answer: 防犯カメラに映った映像情報も、それによって特定の個人が識別される場合は、「個人情報」に該当します（個人情報保護法第２条第１項）。


Question: ）「個人データ」に該当する顧客の取引内容を、本人の同意を得ずに、その内容を知る家族に伝えることはできるか。

Answer: 個人情報取扱事業者は、一定の場合を除き、あらかじめ本人の同意を得ないで、「個人データ」を「第三者」に提供することを禁じられています（個人情報保護法第 27 条第１項）。本人の同意を得ずに、「第三者」に「個人データ」を提供した場合、「第三者」が当該「個人データ」の内容をあらかじめ知っていたか否かにかかわらず、個人情報保護法第 27 条第１項に違反することとなります。


Question: 金融分野ガイドライン第３条で、個人情報保護法第 18 条、第 27 条、第 28 条及び第31 条に定める本人の同意を得る場合には、原則として、書面によらなければならないとされているが、「紙」を用いた同意以外に、例えば、どのような形式が「書面」に該当するのか。また、電話により同意を得た事実を任意様式に記録し保存する方式でも金融分野ガイドライン上「書面」による同意を得たと解することができるか。

Answer: 金融分野における個人情報取扱事業者は、個人情報保護法第 18 条、第 27 条、第 28 条及び第 31条に定める本人の同意を得る場合には、原則として、書面によることとされています（金融分野ガイドライン第３条）。


Question: 債権譲渡の実務においては、債権の譲渡人は譲受人に対し、債権者としての十分な管理回収を行わせしめ、譲渡人及び譲受人の経済的利益を保護するため、債権そのものに加えて債務者に関連する個人情報を移転することが不可欠であるが、こうした場合にも、個人情報保護法上、債務者本人から第三者に提供することについて明示的な同意を得ることが必要なのか。

Answer: 債権譲渡に際しての債務者に係る「個人データ」の取扱いについては、以下のような整理が可能であると考えられます。


Question: 生活保護の適正な実施のために行う調査の一環として、社会福祉事務所員から生活保護申請者の資産や収入状況等の個人データの提供を要請された場合において、本人の同意を得ずに、当該要請に応じて個人データを提供することはできるか。

Answer: 個人情報取扱事業者は、一定の場合を除き、あらかじめ本人の同意を得ないで、「個人データ」を第三者に提供することを禁じられています（個人情報保護法第 27 条）。


Question: 未払賃金立替払制度（賃金の支払の確保等に関する法律第７条）の適正な実施のために行う調査の一環として、倒産した事業主の賃金支払い能力の有無を把握するために、労働基準監督署から、倒産会社及びその代表者、個人事業主等の関係者が保有する預金口座の残高状況や賃金未払期間における保有預金口座の取引状況等の個人データの提供を要請された場合において、本人の同意を得ずに、当該要請に応じて個人データを提供することはできるか。

Answer: 個人情報取扱事業者は、一定の場合を除き、あらかじめ本人の同意を得ないで、「個人データ」を第三者に提供することを禁じられています（個人情報保護法第 27 条）。


Question: 個人情報取扱事業者が、弁護士法第 23 条の２に基づいてなされる報告の請求を弁護士会から受けた場合において、本人の同意を得ずに、当該報告の請求に応じて個人データを弁護士会に提供することはできるか。

Answer: 個人情報取扱事業者は、一定の場合を除き、あらかじめ本人の同意を得ないで、「個人データ」を第三者に提供することを禁じられています（個人情報保護法第 27 条）。


Question: 本人の同意に基づいて外国にある第三者に個人データを提供する場合、具体的にどのような点に留意する必要があるのか。

Answer: 個人情報取扱事業者は、外国（注１）にある第三者に個人データを提供する場合、本人に以下の情報を提供した上で、本人から当該第三者への個人データの提供を認める旨の同意を得る必要があります（個人情報保護法第28条第１項及び第２項並びに個人情報保護法施行規則第17条第２項）。


Question: 外国にある第三者への個人データの提供に関する本人の同意を得ようとする時点において、個人データの提供先の第三者が所在する外国が特定できない場合、具体的にどのような点に留意する必要があるか。

Answer: 個人情報取扱事業者は、外国にある第三者への個人データの提供に関する本人の同意を得ようとする時点において、個人データの提供先の第三者が所在する外国が特定できない場合、本人に以下の情報を提供した上で、本人から当該第三者への個人データの提供を認める旨の同意を得る必要があります（個人情報保護法第28条第１項及び第２項並びに個人情報保護法施行規則第17条第３項）。


Question: 外国にある第三者に個人データを提供する際、基準適合体制を整備していること根拠として当該第三者に個人データを提供する場合、具体的にどのような点に留意する必要があるのか。

Answer: 金融分野における個人情報取扱事業者は、基準適合体制を整備していることを根拠として外国にある第三者に個人データを提供する場合には、当該提供の時点で、当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及び内容、当該外国の制度が存在する場合においては、当該第三者による相当措置の継続的な実施の確保の可否を、適切かつ合理的な方法により、確認する必要があります。


Question: 「医療・介護関係事業者における個人情報の適切な取扱いのためのガイドライン」と本ガイダンスの違いは何でしょうか。

Answer: 「医療・介護関係事業者における個人情報の適切な取扱いのためのガイドライン」は、個人情報保護法に沿って医療介護の現場の実務に当てはめた際の詳細な留意点・事例をまとめた内容であり、その考え方をより明確とするため、ルールや規律を定めるガイドラインとは区別し、ガイダンスと整理しています。


Question: 個人情報保護法では、個人情報取扱事業者としてどのようなことに取り組むことが定められていますか。

Answer: 医療・介護関係事業者における個人情報の取扱いについては、法令上大きく分けて次の取組が必要となります。


Question: 国や独立行政法人、自治体が設置する医療機関や介護施設は、このガイダンスの対象にはならないのですか。

Answer: 国の行政機関については「行政機関の保有する個人情報の保護に関する法律」、国立病院機構など独立行政法人については「独立行政法人等の保有する個人情報の保護に関する法律」、県立病院や県立の特別養護老人ホームなど自治体の医療機関や介護施設については各自治体の条例がそれぞれ適用されます。


Question: 医療機関等において通常の診療だけではなく、健康相談業務も行っている場合、健康相談業務に係る記録についてもガイダンスの対象になるのでしょうか。

Answer: 相談者の病歴や身体状況、病状、治療等について記録を保存しているのであれば、個人情報に該当します。よって、個人情報の取扱い、特に要配慮個人情報の取扱いについては個人情報保護法や個人情報の保護に関する法律についてのガイドライン（通則編）、ガイダンスを踏まえた取扱いが必要です。


Question: 本ガイダンスの対象となる「介護関係事業者」に含まれる事業者の範囲を教えて下さい。

Answer: 本ガイダンスの対象となる「介護関係事業者」とは、介護保険制度によるサービスを提供する事業者だけでなく、高齢者福祉サービス事業を行う者は広く含まれます。具体的には、特別養護老人ホームなどの介護保険施設や、訪問介護事業所などの居宅サービス事業を行う者、居宅介護支援事業を行う者だけでなく、介護保険の指定を受けずに有料老人ホームを経営する者や、養護老人ホーム、ケアハウス等も、広く「介護関係事業者」に該当し、本ガイダンスを守っていただくことが必要です。


Question: 本ガイダンスの他に、個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編、匿名加工情報編）も定められているようですが、医療・介護関係事業者は、どちらを参照すべきなのでしょうか。

Answer: 本ガイダンスの他に、個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）が定められています。本ガイダンスは、個人情報の保護に関する法律についてのガイドライン（通則編）を基礎とし、医療・介護関係事業者における実例に照らし、具体的な留意点・事例等を示したものです。医療・介護関係事業者における個人情報の適正な取扱いについては、基本的な内容は本ガイダンスをご参照いただければ足りるものと考えますが、本ガイダンスに記載のない事項については、上記の各ガイドラインをご参照いただくこととなります。


Question: 「個人情報」「個人データ」「保有個人データ」とは、どのようなものですか。

Answer: 「個人情報」「個人データ」「保有個人データ」の定義についてはそれぞれ以下のとおりとなっています（参照：ガイダンスｐ６、ｐ１２、ｐ１３）。


Question: 「個人情報」とは、具体的にどのようなものがありますか。

Answer: 医療・介護関係事業者が保有している個人情報には様々なものがありますが、具体的には、以下のようなものがあります。


Question: 医療・介護関係事業者が取り扱う「個人識別符号」には、具体的にどのようなものがありますか。

Answer: 「個人識別符号」とは、その情報単体から特定の個人を識別することができるものとして政令で定められた文字、番号、記号その他の符号をい い、これに該当するものが含まれる情報は個人情報となります。


Question: 医療・介護関係事業者において取り扱う「要配慮個人情報」には、具体的にどのようなものがありますか。

Answer: 「要配慮個人情報」とは、不当な差別や偏見その他不利益が生じないようにその取扱いに特に配慮を要するものとして法律、政令及び規則で定める記述が含まれる個人情報をいいます。要配慮個人情報の取得や第三者提供には、原則として本人の同意が必要であり、法第２３条第２項の規定による第三者提供（オプトアウトによる第三者提供）は認められておりません。


Question: 平成 27 年改正の施行（平成 29 年５月 30 日）前に取得した個人情報であって、施行後に要配慮個人情報に該当することとなった場合、改めて取得について本人同意を得る必要がありますか。

Answer: 平成27 年改正の施行前に適法に取得した個人情報が施行後に要配慮個人情報に該当したとしても、改めて取得のための本人同意を得る必要はありません。


Question: 平成 27 年改正の施行（平成 29 年５月 30 日）前に取得した個人情報であって、施行後に要配慮個人情報に該当することとなり、当該情報につい て、新たに第三者提供をする場合には本人同意を得る必要がありますか。

Answer: 個人データの第三者提供については、要配慮個人情報に係るものか否かを問わず、原則として本人の同意が必要です。


Question: 死亡した個人の情報については、「個人情報」に該当せず、個人情報保護法の対象にはなりませんが、どのように取り扱うべきですか。

Answer: 本ガイダンスでは、患者・利用者が死亡した後においても、事業者が 当該患者・利用者の情報を保存している場合には、情報の漏えい等の防止のため、生存する個人の情報と同様の安全管理措置を講ずるよう求めています（参照：ガ イダンスｐ２）。


Question: 取り扱う個人情報の数が少ない小規模の医療・介護関係事業者は、個人情報保護法の対象外ですか。

Answer: 改正前の個人情報保護法では、取り扱う個人データの数が過去６か月間に一度も 5000件を超えたことがない小規模事業者は、個人情報事業者としての義務等は課せられないこととなっていましたが、法改正に伴い、当該規定は廃止されました。したがって、取り扱う個人データの数にかかわらず、個人情報データベース等を事業の用に供する全ての個人情報取扱事業者（個人情報保護法第２条第５項に掲げるものを除く。）が、個人情報保護法の対象となります。


Question: 例えば、医療機関で保存している院内処方せんについて、インデックス等を付けずに段ボール箱に入れて保存しており、容易に検索することができない場合、個人データに該当しないと考えていいですか。

Answer:
処方せんは医療法により２年間の保存義務が課せられていますが
（医療法第２１条第１項第９号、医療法施行規則第２０条第１０号）、このように医療機関において保存すべき文書については、必要な場合に利用できるよう、適切に整理しておく必要があります。このため、処方せんは容易に検索可能な形で保存しておく必要があり、そのようにした上で、「個人データ」として取り扱うことになります。


Question: 遺族への開示については「診療情報の提供等に関する指針」に従って開示を行うこととされていますが、薬局の場合も当該指針に従って、遺族へ開示すればよろしいのでしょうか。

Answer: 薬局において、遺族から死亡した患者に関する診療情報の開示の請求があった場合には、病院等と同様に、「診療情報の提供等に関する指針」に従って遺族へ開示してください。


Question: 「匿名化」された情報は、個人情報に該当しますか。

Answer: 「個人情報の匿名化」は法律上の用語ではなく、従来から医療・介護の実務においてそのような取扱いがされてきたところであり、本ガイダンスにおいては、医療・介護関係事業者の個人情報の取扱いにおける「個人情報の匿名化」の考え方について示しています。


Question: 「匿名化」された情報と「匿名加工情報」との違いは何でしょうか。

Answer: 「匿名化」は、個人情報から、氏名、生年月日、住所、個人識別符号等、個人を識別することができる情報を取り除くことですが、症例や事例により、匿名化を行ってもなお特定の個人が識別できる場合には個人情報に該当することもあり得ます。他方、「匿名加工情報」については、個人情報を個人情報の区分に応じて定められた措置を講じて特定の個人を識別することができないように加工して得られる個人に関する情報であって、当該個人情報を復元して特定の個人を再識別することができないようにしたものであり、個人情報保護委員会規則で定める基準に従って加工する必要があります。（「個人情報の保護に関する法律についてのガイドライン（匿名加工情報編）」（平成２ ８年個人情報保護委員会告示第９号）参照）


Question: 本人の同意を得る場合には、文書で同意を得る必要がありますか。

Answer: 医療機関等については、本人の同意を得る方法について法令上の規定はありません。このため、文書による方法のほか、口頭、電話による方法なども認められます。このため、同意を求める内容や緊急性などを勘案し、それぞれの場面に適切な方法で同意を得るべきと考えます。


Question: ガイダンスｐ10で、症例を学会で発表したりする場合、「症例や事例により十分な匿名化が困難な場合」には本人の同意が必要とされています が、どのような場合のことでしょうか。

Answer: 症例や事例によっては、患者の数が少ない場合や顔写真を添付する場合など、氏名等を消去しても特定の個人を識別できてしまう場合もあります。このような場合、当該症例等は「個人情報」に該当しますので、学会での発表等に当たっては（第三者提供に該当しますので）本人の同意が必要となるということです。


Question: 患者・利用者の個人情報を研究に利用する場合、匿名化する場合であっても、本人の同意が必要ですか。

Answer: 大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者が学術研究の用に供する目的で個人情報等を取り扱う場合は、個人情報保護法の適用を受けません。


Question: 個人情報保護法では、学術研究を目的とする機関やそこに属する者等が学術研究の用に供する目的で個人情報を取り扱う場合は、個人情報取扱事業者の義務等が課せられないとされていますが、大学病院（又は大学病院の医師）が取得した個人情報については、本人の同意を得ずに研究に利用して良いのでしょうか。

Answer: 大学病院（又は大学病院の医師）（注：個人情報保護法の適用に基づきここでは私立大学をいいます。）、その他の学術研究を目的とする機関若しくは団体又はそれらに属する者が学術研究に供する目的で個人情報等を取り扱う場合には、個人情報保護法における個人情報取扱事業者の義務等が課せられないとされています。


Question: 患者の紹介元の医師から、研究のみの目的で利用するため、紹介患者の診療情報等を提供してほしいとの依頼があった場合は、どのように対応すればよいでしょうか。

Answer: 患者の診療情報等は個人データに該当するため、第三者提供及び利用目的の変更に当たっては、原則として本人の同意が必要です。また、第三者提供に当たり黙示の同意が得られていると考えられるのは、本人への医療の提供のために必要な範囲に限られます（参照：ガイダンスｐ３４～３５）。したがって、大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者が学術研究の用に供する目的以外で個人情報を取り扱う場合は、原則として、本人の同意を得る必要があります。


Question: 個人情報に関する相談体制はどのようにすべきでしょうか。

Answer: 個人情報保護法第３５条では、医療・介護関係事業者は個人情報の取扱いに関して患者・利用者等から苦情の申し出があった場合、適切かつ迅速な対応に努めなければならず、そのために必要な体制の整備に努めなければならないとされています。


Question: 相談体制を整備するにあたり、具体的な留意点としてはどのような点が挙げられますか。

Answer: 患者・利用者等が利用しやすいように配慮することが重要です。このため、医療・介護関係事業者の規模等に応じ、


Question: 既存の医療安全に関する相談窓口が、個人情報に関する相談窓口を兼ねることは認められますか。

Answer: 既存の患者相談窓口が個人情報に関する相談機能を兼ねることでも問題ありません。その場合、対応する職員には、個人情報の取扱いについても十分な知識を有することが必要です。


Question: 現在の職員体制等では、全診療時間帯で相談窓口を開設することが困難です。特定の曜日、時間帯のみ開設することで良いですか。また、独立した窓口を設置する必要がありますか。

Answer: 患者・利用者等が利用しやすいという観点からは、患者・利用者等が希望する日時に相談できる体制を確保することが望ましいです。


Question: 小規模な医療・介護関係事業者でも個人情報に関する相談窓口を設置する必要がありますか。認定個人情報保護団体等が開設する相談窓口を案内することで代用できませんか。

Answer: 個人情報保護法第３５条では、「個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなればならない」とされており、患者からの相談や苦情等があった場合は、まず、医療・介護関係事業者が自ら対応する必要があります。


Question: 相談窓口の業務を担当する職員への教育等はどのようにすれば良いでしょうか。

Answer: 相談窓口の職員は、個人情報保護に関して十分な知識を有するとともに、相談・苦情の内容を外部の人や他の職員に漏えいしないよう、高いモラルが求められます。


Question: ガイダンスｐ３で「個人情報の利用目的の説明や窓口機能等の整備、開示の請求を受け付ける方法を定める場合等に当たっては、障害のある患者・利用者等にも配慮する必要がある。」とされていますが、どのようなことをすればよいのですか。

Answer: 例えば、聴覚障害者のために手話や筆談による説明を行ったり、視覚障害者のために点字の説明書を提供することが考えられます。なお、これらの取組は、すべての医療・介護関係事業者が事前にすべて準備しなければならないものではなく、患者・利用者等からの求めに応じ、地域のボランティア等の協力を得るなどしつつ、ニーズに応じた対応を図っていくことが求められます。


Question: 医療・介護関係事業者が個人情報取扱事業者としての義務規定に違反した場合はどのような罰則があるのでしょうか。

Answer: 個人情報取扱事業者が個人情報を不適切に取り扱う事例等があったときには、個人情報保護委員会は個人情報取扱事業者に対して、①個人情報の取扱いに関する報告の徴収及び立入検査（個人情報保護法第４０条第１項）、指導及び助言（同法第４１条）、②個人情報取扱事業者が一定の義務に違反した場合における、違反行為を是正するための必要な措置に係る勧告（同法第４２条第１ 項）、命令（同法第４２条第２項又は第３項）、を行う場合があります。このとき、個人情報取扱事業者が、①個人情報保護委員会の命令（同法第４２条第２項又は第３項）に違反した場合、②個人情報保護委員会からの報告徴収（同法第４ ０条第１項）に対して報告をせず、又は虚偽報告をした場合、立入検査を拒んだ場合には、個人情報取扱事業者に対して罰則が科せられることになっています（同法第８４条・第８５条）。


Question: 仮に個人データの漏えいが発生した場合、従業者も個人情報保護法に基づき罰せられるのでしょうか。

Answer: 個人情報保護法では、個人情報取扱事業者に対する義務等が課せられていますので、個人データの漏えいが発生した場合には、事業者における安全管理措置や従業者への監督が義務が適切に行われていなかったのではないかということで責任を負う可能性があります。


Question: 個人情報保護法が施行されることにより、紙媒体の診療録が使用できなくなったり、診療録の記載方法が定められたり（日本語での記載が義務づけられる等）することはありますか。

Answer: 個人情報保護法の施行により、紙の診療録が使えなくなったり、診療録の記載方法が定められるものではありません。ただし、診療録など保有個人データに該当するものについては、開示の請求があった場合に原則として開示する必要がありますし、良質かつ適切な医療を提供する観点からは、他の医療従事者等にとっても読みやすい内容となるよう心がけるべきと考えます。


Question: 個人情報保護法に基づき、医療・介護関係事業者に対して指導監督等を行うのは、どこの行政機関となるのでしょうか。

Answer: 個人情報保護委員会が、個人情報保護法第４０条から第４２条の規定に基づき、個人情報取扱事業者である医療・介護関係事業者に対し「報告徴収」、「立入検査」、「指導・助言」、「勧告」及び「命令」を行うことになります。また、同法第４４条第１項の規定に基づき、同法第４０条第１項の規定による権限が個人情報保護委員会から事業所管大臣に委任された場合には、厚生労働省又は地方公共団体が報告徴収及び立入検査を行うことがあります。


Question: 実習のために看護師養成所等の学生を受け入れる場合、実習を行うに当たり、患者の同意は必要でしょうか。

Answer: 医療機関等については、実習を行うに当たり患者等の個人情報を利用する場合には、あらかじめ院内掲示等により利用目的を公表しておくか、個人情報を利用する段階で当該利用目的について患者本人から同意を得る必要があります。なお、実習を行う際には、事前に十分かつ分かり易い説明を行った上で同意を得る必要があり、その同意を患者・家族と文書で取り交わすことが望ましいと考えています。


Question: 別表２の「患者への医療の提供に必要な利用目的」や「介護サービスの利用者への介護の提供に必要な利用目的」は、個人情報保護法第１８条第４ 項第４号の「取得の状況からみて利用目的が明らかであると認められる場合」に該当すると考えられるので、このような利用目的は本人に通知又は公表しなくてもいいのではないでしょうか。

Answer: 医療・介護関係事業者においては、本ガイダンスの別表２に示すように、患者・利用者に関する情報を様々な目的で利用します。別表２に掲げる内容には、取得の状況からみて明らかな利用目的と考えられる事項もありますが、本ガイダンスでは、患者・利用者等に利用目的をわかりやすく示す観点から、このような利用目的についても院内掲示等により公表することを求めています（参照：ガイダンスｐ２１）。


Question: 利用目的の公表に当たっては、診療録、看護記録、ケアプラン等の書類の種類ごとに利用目的を特定して公表しなければならないのでしょうか。

Answer: 個人情報保護法では、医療・介護関係事業者が個人情報を取り扱うに当たっては、利用目的を特定することとされています。医療・介護関係事業者は、本ガイダンスの別表２を参考として、通常必要な利用目的を特定することとされており、書類の種類ごとに利用目的を特定するものではありません。


Question: 特定した利用目的は、院内掲示等により公表することで十分でしょうか。

Answer: 特定した利用目的を院内掲示等により公表する場合には、単に公表しておくだけではなく、患者・利用者等が十分理解できるよう受付時に注意を促したり、必要に応じて受付後に改めて説明を行ったりするほか、患者・利用者等の希望があれば詳細な説明や当該内容を記載した書面の交付を行うなど、医療・介護関係事業者において個々の患者のニーズに適切に対応していくことが求められます（参照：ガイダンスｐ２１）。


Question: 患者から、院内掲示した利用目的のうち、一部の利用目的には同意できないという申出がありました。これを理由として診療しない場合、医師法第１９条の応招義務違反となるのでしょうか。

Answer: 患者の個人情報の利用目的には、患者の診療に必要な事項や医療機関の経営改善に資する事項など様々な項目があります。このため、患者から利用目的の一部に同意しない旨の申出があった場合、医療機関はできるだけ患者の希望を尊重した対応をとることが望まれます。一方、医療機関が最善の取組を行ったとしても当該利用目的を利用しなければ、診療に支障が生じることが想定される場合には、その状況について患者に十分に説明し、患者の判断によることになります。


Question: 本人から病歴等の要配慮個人情報を聞き取る場合、別途、その取得について本人の同意をとらなければならないのでしょうか。

Answer: 要配慮個人情報を取得する時は、原則としてあらかじめ本人の同意を得る必要があります。一方で、医療機関の受付等で診療を希望する患者は、傷病の回復等を目的としており、医療機関は患者の傷病の回復等を目的としてより適切な医療が提供できるように治療に取り組むとともに、その費用を公的医療保険に請求する必要が生じます。良質で適正な医療の提供を受けるためには、また公的医療保険の扶助を受けるためには、医療機関等が患者の要配慮個人情報を含めた個人情報を取得することは不可欠です。


Question: 意識不明の患者が搬送された場合、付き添っていた家族から本人の病歴等を聞き取ることはできますか。

Answer: 要配慮個人情報を取得する場合は、原則として本人から同意を得なければなりませんが、個人情報保護法第１７条第２項各号に定める場合は、本人の同意を得る必要はありません。急病その他の事態が生じたときに、患者が意識不明であれば、本人の同意を得ることは困難な場合に該当するため、本人の病歴等を医師や看護師などの医療従事者が家族から聴取する場合は、同法第１７条第２項第２号に該当します。（参照：ガイダンスｐ２３）


Question: 患者の診療記録や調剤記録等を他の医療機関等から取得する場合、改めて本人から同意を得る必要がありますか。

Answer: 医療機関等が要配慮個人情報を第三者提供の方法により取得した場合、提供元が個人情報保護法第１７条第２項及び第２３条第１項の規定に基づいて本人から必要な同意（要配慮個人情報の取得及び第三者提供に関する同 意）を取得していることが前提となるため、提供を受けた当該医療機関等が、改めて本人から同法第１７条第２項の規定に基づく同意を得る必要はないものと解されます。（参照：ガイダンスｐ２３）


Question: 患者の診療記録等を他の医療機関等へ提供する場合、改めて本人から同意を得る必要がありますか。

Answer: 他の医療機関等への情報の提供のうち、患者の傷病の回復等を含めた患者への医療の提供に必要であり、かつ、個人情報の利用目的として院内掲示等により明示されている場合は、原則として黙示による同意が得られているものと考えられます。なお、傷病の内容によっては、患者の傷病の回復等を目的とした場合であっても、個人データを第三者提供する場合は、あらかじめ本人の明確な同意を得るよう求められる場合も考えられ、その場合、医療機関等は、本人の意思に応じた対応を行う必要があります。（参照：ガイダンスｐ３ ４）


Question: 適切な安全管理措置を行うためには、個人データに該当する文書等は鍵のかかる場所へ保管しなければならないのでしょうか。

Answer: 個人データを含む書類の管理方法は、医療・介護関係事業者の規模や従業者の数などによって様々であると考えられ、すべての医療・介護関係事業者において、鍵のかかる場所への保管が義務づけられているわけではありません。


Question: 個人情報をコンピュータに入力するに当たり、入力者の記録を保存しておく必要はあるでしょうか。

Answer: 個人情報保護法令及び本ガイダンスにおいては、個人情報の入力者を記録しておくことは求めていません。医療・介護関係事業者において、安全管理措置の一環として入力者の記録が必要と判断する場合には、当該記録を保存することも考えられます。


Question: ガイダンスｐ２９に記載されている、「医療情報システムの安全管理に関するガイドライン」に基づき安全管理措置を行う際の留意点はあるでしょうか。

Answer: 「医療情報システムの安全管理に関するガイドライン」は、本ガイダンス（医療・介護関係事業者における個人情報の適切な取扱いに関するガイダン ス）と対になるものですが、個人情報保護は決して情報システムにかかわる対策 だけで達成されるものではありません。したがって、「医療情報システムの安全 管理に関するガイドライン」を使用する場合、情報システムの担当者であっても、本ガイダンスの内容を十分理解し、情報システムにかかわらない部分でも個人 情報保護に関する対策が達成されていることを確認することが必要です。


Question: 個人データが取り扱われる業務を委託する場合、委託先の事業者名や委託先の責任者の氏名等を公表すべきですか。

Answer: 本ガイダンスでは、利用目的を院内掲示等により公表するに当たり、個人データの取扱いに係わる業務を委託している場合には、その旨を公表することを求めています（参照：ガイダンス別表２）。具体的には個別の事例に応じて対応が異なりますので、医療・介護関係事業者において検討した上で判断すべきですが、委託する業務の内容により、患者・利用者等の関心が高い分野については、委託先の事業者名をあわせて公表することも考えられます。


Question: 現行の業者との委託契約には、個人情報の取扱いに関する項目が含まれていません。個人情報保護法の全面施行に当たり、現契約を解消して、新しい契約を締結し直す必要がありますか。

Answer: 個人情報の取扱いに関する事項を含んだ内容で改めて契約する方法もありますが、現行の契約において、「業務の適正な執行を図る」といった類の規定がある場合には、その「適正な執行」の一環として個人情報の適切な取扱いが含まれることを確認し、具体的な取扱い等を明確化するために確認書など補足の取り決め文書を作成するなどの方法も可能と考えられます。


Question: 清掃業務等、個人データを直接取り扱わない業務を委託している場合は、委託契約書に個人情報の取扱いに関する事項を記載する必要はないと考えてよいですか。

Answer: 医療・介護関係事業者の施設内には様々な個人情報があります。このため、通常は個人データを直接取り扱わない業務であっても、個人情報に接する可能性に配慮する必要があると考えます。


Question: 医療・介護関係事業者において個人データが漏えいしてしまった場合の対応はどのようにすればよいでしょうか。

Answer: 医療・介護関係事業者において個人データの漏えい等の事故が発生した場合には、「個人データの漏えい等の事案が発生した場合等の対応について」（平成２９年個人情報保護委員会告示第１号）に基づき、迅速かつ適切に対応する必要があります。


Question: 委託先において個人データが漏えいしてしまった場合の対応はどのようにすればよいでしょうか。

Answer: 委託先において個人データの漏えい等の事故が発生した場合には、委託先から速やかに報告を受け、医療・介護関係事業者としても事業者内における事故発生時の対応と同様に、「個人データの漏えい等の事案が発生した場合等の対応について（平成２９年個人情報保護委員会告示第１号）に基づき、迅速かつ適切に対応することが必要です。このためには、業務を委託する際に、委託先において個人データの漏えい等の事故が発生した場合における委託先と医療・介護関係事業者との間の報告連絡体制を整備しておくことが必要です。


Question: 薬局において、処方せんの記載内容について疑義照会を行うために、処方せんを医療機関にファックスで送信しようとしたところ、誤って別の医療機関に送付してしまいましたが、どのように対処すればよろしいでしょうか。個人情報保護法が全面施行されることにより、処方せんをファックスで送信することはできなくなるのでしょうか。

Answer: 処方せんを交付した医師等に疑義照会を行うためにファクシミリで処方せんを送信することは、個人情報保護法や本ガイダンスで禁止されていません。個別の事例に応じて判断は異なりますが、誤送信が判明した場合には、まず、送信先に連絡して当該情報を廃棄してもらうなどの対応が必要と考えます。


Question: 外来患者を氏名で呼び出したり、病室における入院患者の氏名を掲示したりする場合の留意点は何ですか。ナースステーション内における入院患者の氏名の掲示についてはどうですか。

Answer: 患者の氏名は、個人を識別できる情報であり、「個人情報」に該当します。このため、患者から、他の患者に聞こえるような氏名による呼び出しをやめて欲しい旨の要望があった場合には、医療機関は、誠実に対応する必要があります。


Question: 入院患者・入所者の知り合いと名乗る人が面会に見えたときに病室を教えることは問題となりませんか。

Answer: 患者・利用者の氏名は、個人を識別できる情報であり、「個人情報」に該当します。このため、入院患者・入所者から、面会者等の外部からの問合せへの回答をやめて欲しい旨の要望があった場合には、医療・介護関係事業者は、誠実に対応する必要があります。


Question: 患者・利用者の病状等をその家族等に説明する際に留意すべきことは何ですか。

Answer: 医療機関等においては、患者への医療の提供に際して、家族等への病状の説明を行うことは、患者への医療の提供のために通常必要な範囲の利用目的と考えられ、院内掲示等で公表し、患者から明示的に留保の意思表示がなければ、患者の黙示による同意があったものと考えられます。（参照：ガイダンスｐ３４）


Question: 傷病の種類によっては、本人に病名等を告知する前に家族に相談する場合が考えられますが、どのような配慮が必要ですか。

Answer:
診療録等に記載された患者の診断結果等については、患者の個人データですので、当該情報を第三者（家族も含みます）に提供する場合、原則とし て本人の同意が必要です。ただし、人の生命等の保護のために必要がある場合で、本人の同意を得ることが困難であるときには、本人の同意を得ずに第三者提供 が可能です。このため、症状や予後、治療経過等について患者に対して十分な説 明をしたとしても、患者本人に重大な心理的影響を与え、その後の治療効果等に 悪影響を及ぼす場合等で、医師が必要と認めるときには、本人に説明する前に
  （本人の同意なく）家族へ説明することが可能です。


Question: 未成年の患者から、妊娠、薬物の乱用、自殺未遂等に関して親に秘密にしてほしい旨の依頼があった場合、医師は親に説明してはいけないのです か。逆に、親から問われた場合に、未成年の患者との信頼関係を重視して、親に情報を告げないことは可能ですか。

Answer: 患者本人が、家族等へ病状等の説明をしないよう求められた場合であっても、医師が、本人又は家族等の生命、身体又は財産の保護のために必要であると判断する場合であれば、（第三者である）家族等へ説明することは可能です（個人情報保護法第２３条第１項第２号に該当）。


Question: 弁護士会から過去に診療を行った患者に関する照会があった場合、本人の同意を得ずに回答してよいでしょうか。

Answer: 弁護士は、弁護士法第２３条の２に基づき、受任している事件に関して、所属する弁護士会を通して公務所又は公私の団体に照会して必要な事項の報告を求めることができるとされています。したがって、弁護士会への回答に当たっては、「法令に基づく場合」に相当するため、本人の同意を得ずに個人データの第三者提供を行うことができます。ただし、回答するか否かについては個別の事例ごとに判断する必要があります。


Question: 薬剤師が、調剤した薬剤に関して患者の家族に情報提供を行う場合、本人の同意を得なくても情報提供できるのでしょうか。

Answer: 薬剤師法では、患者又は現に看護に当たっている者に対して調剤した薬剤に関する情報提供を行うことが義務づけられていますので、その範囲であれば、第三者提供の例外規定のうち「法令に基づく場合」として（個人情報保護法第２３条第１項第１号）、本人の同意を得ることなく情報提供が可能です。


Question: 民間保険会社等から医療機関に対して、患者の治療結果等に関する照会があった際、民間保険会社等が患者本人から取得した「同意書」を提示した場合は、回答に当たり、本人の同意が得られていると判断して良いのでしょうか。

Answer: 個人データの第三者提供に当たっては、個人データを保有し、第三者提供を行う個人情報取扱事業者である医療機関が、本人の同意を得る必要があります。このため、民間保険会社から照会があった際に、本人の「同意書」を提出した場合であっても、医療機関は、当該同意書の内容について本人の意思を確認する必要があります。


Question: 医療機関と薬局の間で患者の薬剤服用歴などの情報交換を行う場合も、ガイダンスに記載された条件を満たせば、患者の黙示による同意が得られていると考えてよろしいのでしょうか。

Answer: 医療機関と薬局間における薬剤服用歴などの情報交換は、患者へ医療を提供する上で通常行われることと考えられます。当該事例は、本ガイダンスｐ３４の「他の医療機関等との連携を図ること」や「他の医療機関等からの照会があった場合にこれに応じること」に該当しますので、これらの利用目的を掲示して、患者から明示的に留保の意思表示がなければ、患者の黙示による同意があったものとして取り扱うことは可能です。


Question: ガイダンスｐ３６の「当該事業者の職員を対象とした研修での利用」の場合、既に利用目的として研修に使用することが院内掲示等により公表していれば、あらためて本人の同意を得る必要はないと考えて良いのでしょうか。

Answer: 医療・介護関係事業者内部の利用であり、利用目的が既に公表されていれば、あらためて本人の同意を得る必要はありません。ただし、公表された利用目的の範囲内であっても、できる限り氏名等を消去するなど、必要最小限の利用とすることが望ましいです。


Question: 医療機関の職員を対象とした症例研究会（職員の知識や技能の向上を目的とするもの）を実施する際、当該医療機関以外の施設の職員から参加希望がありました。既に、利用目的として「院内で行う症例研究会への利用」を公表していますが、この場合は、症例研究会で利用する症例の患者から第三者提供の同意を得る必要があるのでしょうか。

Answer: 医療・介護関係事業者の職員以外の者が症例研究会に参加する場合には、当該研究会で利用する患者の個人情報を「第三者提供」することになるため、あらかじめ患者本人から同意を得る必要があります。


Question: 病診連携の一環として、紹介を受けた患者の診療情報、検査結果、所見等を紹介元医療機関に対して情報提供を行っていますが、実施に当たっての留意点は何ですか。

Answer: 紹介元医療機関に対する患者への医療の提供のために必要な情報提供は、「他の医療機関等との連携を図ること」に該当し、本ガイダンス３４ページに示す院内掲示を行っている場合には、本人の黙示による同意が得られているものと考えます（当該内容の利用目的を院内掲示していない場合には本人の同意を得ることが必要です）。


Question: 医薬品の副作用発生時における行政機関への報告や、製薬企業が実施する医薬品の製造販売後調査に協力する際の製薬企業への情報提供に当たっては、患者の情報をどの程度記載できるのでしょうか。

Answer: 行政機関への副作用報告や、製薬企業が行う医薬品の適正使用のために必要な情報収集への協力については、医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律に基づく義務等となっていますので、医療機関等では、「法令に基づく場合」として、本人の同意を得ずに第三者提供を行うことが可能です。


Question: 学校医として生徒の健康診断を行った場合、診断結果を学校に提出することは第三者提供に該当するのでしょうか。

Answer: 学校医は、学校保健安全法に基づき各学校（学校教育法第１条に定める学校）に置かれ、学校の職員として健康診断を行うこととなります。このため、学校に診断結果を提出することは事業者内での利用であり、第三者提供には該当しません。


Question: がん検診の２次検診機関として患者の精密検査を行った場合、１次検診機関から、精密検査結果の提供を求められることがありますが、患者の精密検査結果を提供する場合には、患者の同意を得る必要があるのでしょうか。

Answer: がん検診については、がん検診全体の精度管理のために、１次検診機関においては、必要に応じ、精密検査の結果等を記録することとされており、２次検診機関は、１次検診機関から、患者の精密検査結果を提供するよう依頼を受けることがあります。


Question: 介護保険施設の入所者が、他の介護保険施設に移動する際に、移動先の施設の求めに応じて入所者の個人情報の提供を行う場合は、本人の同意は必要なのでしょうか。

Answer: 特別養護老人ホーム、介護老人保健施設及び介護療養型医療施設については、「指定介護老人福祉施設の人員、設備及び運営に関する基準」などそれぞれの指定基準において、「居宅介護支援事業者等に対して、入所者に関する情報を提供する際には、あらかじめ文書により入所者の同意を得ておかなければならない。」とされています。（例：指定介護老人福祉施設の人員、設備及び運営に関する基準第３０条第３項）


Question: ホームページや機関誌に、行事などにおける利用者の写真を掲載する場合、本人の同意を得る必要はありますか。また、介護保険施設内に写真を展示する場合はどうでしょうか。

Answer: 写真についても、個人を識別できるものであれば個人情報に当たります。したがって、ホームページや機関誌への掲載、施設内への展示等を通じ、当該写真を第三者の閲覧に供するに際しては、本人の同意を得る必要があります。


Question: 高齢者虐待事例の解決に当たって、担当ケアマネジャーなどの関係機関に高齢者の個人情報を提供する場合、高齢者本人の同意を得ることが難しいケースがありますが、高齢者本人の同意が得られないと情報提供はできないのでしょうか。

Answer: 高齢者虐待については、市町村、担当ケアマネジャーや介護サービス事業者が十分に連携して解決に当たることが必要です。事案によっては高齢者本人の同意を得ることが困難なケースが考えられますが、高齢者本人の生命、身体、財産の保護のために必要である場合は、個人情報保護法第２３条第１項第２号（人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき）に該当するものとして、高齢者本人の同意が得られなくても、関係機関に情報提供を行うことが可能です。


Question: 大規模災害や事故等で、意識不明で身元の確認できない多数の患者が複数の医療機関に分散して搬送されている場合に、患者の家族又は関係者と称する人から、患者が搬送されているかという電話での問合せがありまし た。相手が家族等であるか十分に確認できないのですが、患者の存否情報を回答してもよいでしょうか。

Answer: 患者が意識不明であれば、本人の同意を得ることは困難な場合に該当します。また、個人情報保護法第２３条第１項第２号の「人の生命、身体又は財産の保護のために必要がある場合」の「人」には、患者本人だけではなく、第三者である患者の家族や職場の人等も含まれます。


Question: 大規模災害や事故等で、意識不明で身元の確認できない多数の患者が複数の医療機関に分散して搬送されている場合に、患者の家族等である可能性のある電話の相手から、患者の容態等についての問合せがあれば、どの範囲まで回答すべきでしょうか。

Answer: 電話による問合せで、相手と患者との関係が十分に確認できない場合には、存否情報やけがの程度等の情報提供に限定することも考えられますし、相手が患者の特徴を具体的に説明できるなど相手が患者の家族等であると確認できる場合には、より詳細な情報提供を行うことも可能と考えます。（参照： ガイダンスｐ１４）


Question: Q4-18の方法により連絡のついた家族等から、意識不明である患者の既往歴、治療歴等を聴取することは問題ありませんか。

Answer: 治療のために必要な既往歴、治療歴等の情報を家族から取得することは、個人情報の適正な取得であり、問題ありません。この場合、本人の意識が回復した後に、家族等から取得した情報の内容とその相手について本人に説明することになります。（参照：ガイダンスｐ１４）


Question: Ｑ４－１７のような状況において、報道機関や地方公共団体等から身元不明の患者に関する問合せがあった場合、当該患者の情報を提供することはできますか。

Answer: 報道機関や地方公共団体等を経由して、身元不明の患者に関する情報が広く提供されることにより、家族等がより早く患者を探しあてることが可能になると判断できる場合には、Ａ４－１７のように「人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき」に該当するので、医療機関は、存否確認に必要な範囲で、意識不明である患者の同意を得ることなく患者の情報を提供することが可能と考えられます。具体的な対応については、個々の事例に応じて医療機関が判断する必要があります。


Question: 病院に勤務している医師が退職し診療所を開業することになり、当該医師から、開業の挨拶をしたいので自分が診察を行っている患者の氏名や住所を教えてほしいと言われました。当該医師に患者の氏名等を提供して良いでしょうか。

Answer: 診療録等に記載された情報は、個人情報取扱事業者である病院が管理しているものであり、これを退職した医師に提供することは、個人データの（事業者である病院から医師個人に対する）第三者提供に該当します。したがって、医師に氏名、住所等を提供する場合には、あらかじめ患者本人の同意を得る必要があり、同意を得た範囲の患者の個人データについては、医師に提供することは可能です。


Question: 市役所から、介護保険の手続きのため、主治医の診断書の提出を求められました。患者の同意を得ずに、診断書を提出して良いでしょうか。

Answer: 介護保険法第２７条第６項において、市町村は、要介護認定の申請書が提出されたときは、当該申請に係る被保険者の主治の医師に対し、当該被保険者の身体上又は精神上の障害の原因である疾病又は負傷の状況等につき意見を求めるものとされています。このため、個人情報保護法第２３条第１項第１号に定める第三者提供の制限の例外である「法令に基づく場合」に該当するので、本人の同意を得ずに市役所へ診断書の提出を行うことができます。


Question: 学校で怪我をした生徒に担任の教師が付き添って来ました。ガイダンス３ ２ページには、「学校からの照会には回答してはならない」とあります が、保護者の同意書等がなければ担任の教師に怪我の状態などを説明してはいけないのでしょうか。

Answer: 個人情報保護法では、「あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない」とされており、怪我の症状を担任の教師に説明することは、第三者提供に該当します。


Question: 警察や検察等捜査機関からの照会や事情聴取に関して、「第三者提供の制限の例外」に該当する場合には、どのようなものがあるでしょうか。

Answer: 警察や検察等の捜査機関の行う刑事訴訟法第１９７条第２項に基づく照会（同法第５０７条に基づく照会も同様）は、相手方に報告すべき義務を課すものと解されている上、警察や検察等の捜査機関の行う任意捜査も、これへの協力は任意であるものの、法令上の具体的な根拠に基づいて行われるものであり、いずれも第三者提供の制限の例外である個人情報保護法第２３条第１項第１号の「法令に基づく場合」に該当すると解されています。


Question: 警察や検察等捜査機関から患者の状況について照会や事情聴取があった場合、患者本人の同意を得ずに回答できるのでしょうか。個人情報保護法の施行を機に警察等からの照会等に対する取扱いを変えた方がいいですか。

Answer: 警察や検察等捜査機関からの照会や事情聴取は、個人情報保護法第２３条第１項第１号の「法令に基づく場合」に該当し、患者本人の同意を得ずに回答しても同法違反とはなりません。また、災害発生時等における照会については同法第２３条第１項第４号に該当すると考えられることから、これらに関する取扱いを変更する必要はなく、従来どおりの対応が可能と考えます。


Question: 警察等から、警察等が取り扱う死体の死因又は身元の調査等に関する法律第４条第３項の規定に基づき、死者の生前の診療情報等の提供の依頼があった場合、遺族の同意を得ずに回答できるのでしょうか。

Answer: 死者に関する情報は、個人情報保護法に規定する「個人情報」には該当しませんが、遺族等の生存する個人に関する情報でもある場合は当該生存する個人に関する情報となるため、個人情報保護法等を踏まえた取扱いが必要です。また、本ガイダンスでは、「患者・利用者が死亡した後においても、医療・介護関係事業者等が当該患者・利用者の情報を保存している場合には、漏えい、滅失又はき損等の防止のため、個人情報と同等の安全管理措置を講ずるものとする」と規定しております。


Question: 医療機関の廃止等の理由により、別の医療機関が業務を承継することになりましたが、診療録等の個人データを提供する際に、患者の同意が必要なのでしょうか。

Answer: 本件のような場合は、「合併その他の事由による事業の承継に伴って個人データが提供される場合」（個人情報保護法第２３条第５項第２号） であり、承継先の医療機関は第三者に該当しないので、患者の同意がなくても提供可能です。


Question: 医療法第６条の６第１項の規定に基づく麻酔科標榜許可に係る申請を行おうとしている医師から、過去に実施した麻酔記録や手術記録の書類の提供を求められましたが、対象となった患者の同意を得た上で提供する必要があるのでしょうか。

Answer: 麻酔科標榜許可に係る申請では、申請する医師に対して麻酔記録や手術記録の提出を求めておりますが（医療法施行規則第１条の１０第３項）、申請書の提出に当たって必要な場合には、当該医師が現に勤務し、又は過去に勤務していた医療機関に対し、これらの書類の提出を求めることができるとされており（同条第６項）、この場合、個人情報保護法第２３条第１項第１号の「法令に基づく場合」に該当しますので、患者の同意を得なくても提供可能です。


Question: 生活保護法に基づき行われる、指定医療機関による都道府県・市町村への被保護者に係る病状調査とはどのようなものですか。また、本人の同意を得なくても、回答することは可能でしょうか。

Answer: 福祉事務所が指定医療機関に対し、現に生活保護を受給している者について、その


Question: 自殺未遂者が救命救急センターに搬送された際、自殺未遂者の再度の自殺を防ぐ等のため、救命救急センターから関係機関等へ自殺未遂者の個人情報を提供して良いでしょうか。

Answer: 本人の同意があれば、関係機関等へ情報提供して差し支えありませんが、本人の同意がない場合であっても、再度自殺をする蓋然性が極めて高いなど生命の保護のために必要であって、本人の同意を得ることが困難である場合（本人に同意を求めても同意しない場合、本人に同意を求めること自体が困難な場合など）には、関係機関等へ情報提供しても差し支えありません。ただし、必要とされる情報の範囲に限って提供しなければなりません。（参照： ガイダンスｐ４３～５１）


Question: 診療情報等の個人データの保存を外国の事業者に委託することはできますか。

Answer: 診療情報の外部保存を行う場合には、「医療情報システムの安全管理に関するガイドライン」（平成１７年３月３１日医政発第０３３１００９ 号・薬食発第０３３１０２０号・保発０３３１００５号）によることとされています。


Question: 医療・介護関係事業者において、確認・記録義務が適用されないのは、どのような場合でしょうか。

Answer: 個人データの第三者提供について適正な取扱いが確保されるよ う、個人データを第三者提供する場合及び第三者から個人データを受領した場合には、一定事項を確認・記録する必要があります。


Question: 診療録には、患者について客観的な検査をしたデータもあれば、それに対して医師が行った判断や評価も書かれています。つまり、診療録は、当該診療録を作成した医師の側からみると、自分が行った判断や評価を書いているので、医師の個人情報とも言うことができるのではないですか。

Answer: 診療録等に記載されている情報の中には、患者と医師等双方の個人情報という二面性を持っている部分があります。しかし、そもそも診療録全体が患者の保有個人データであることから、患者本人から開示の請求がある場合に、その二面性があることを理由に、診療録の全部又は一部を開示しないことはできません。（参照：ガイダンスｐ５５）


Question: 患者・利用者の代理人から、患者・利用者本人の委任状を提出の上、保有個人データの開示の請求があった場合は、本人の意思が明らかであると見なしてよいでしょうか。

Answer: 個人情報保護法及び政令においては、法定代理人や本人が委任した代理人が開示等の請求をすることができるとされています。本ガイダンスでは、このような代理人による開示等の請求があった場合について、当該代理人の請求が本人の意思によるものであるか慎重に確認することを求めています。


Question: 保有個人データの開示に当たっては、どのような方法で開示すべきでしょうか。

Answer: 開示の方法は、書面の交付又は請求を行った者が同意した方法によることとされていますので、書面によるほか、開示の請求を行った方と相談した上で、開示の方法を定めることも可能です。


Question: 保有個人データの開示にあたり、費用として請求出来る妥当な金額はいくらでしょうか。

Answer: 個人情報保護法では、実費を勘案して合理的と認められる範囲内であれば手数料を徴収できることとされています。具体的な金額は、個別の事例に応じて判断が異なるものであると考えます。


Question: 健保組合等の保有する個人情報には、例えばどのようなものがありますか。

Answer:
「健康保険組合等における個人情報の適切な取扱いのためのガイダンス」
  （平成 29 年４月 14 日付個情第 538 号個人情報保護委員会事務局長・保発0414 第 18 号厚生労働省保険局長通知。以下「ガイダンス」という。）別表１参照。


Question: レセプトから特定の個人を識別できる記述等を削除した場合、レセプトに記載された情報は「個人情報」に該当しないことになりますか。

Answer: 法第２条第１項（※）が「個人情報」を定義しています。


Question: レセプトに記載された情報は、「個人情報」に該当しますか。

Answer: 法第２条第１項が「個人情報」を定義しています。


Question: レセプト等に記載された情報は、医師の個人情報にも該当しますか。

Answer: レセプト等に記載された情報について、それを作成又は記録した医師個人に関する情報であって、当該情報に含まれる記述等から当該医師を識別することができる場合には、被保険者のみならず、医師の個人情報にも該当します


Question: 死者に関する情報は、どのように取り扱う必要がありますか。

Answer: 法は、「個人情報」の範囲を「生存する個人に関する情報」に限っています。


Question: レセプト等を電子媒体で保存した場合と紙で保存した場合とで、個人情報の取扱いに異なる点があるのでしょうか。

Answer: その取扱いに差異はありません。


Question: 「個人情報」、「個人情報データベース等」、「個人データ」、「保有個人データ」の違いは何でしょうか。

Answer: 「個人情報」とは、法第２条第１項各号に定めるものをいいます（「問００２」参照）。


Question: 「個人識別符号」とはどのようなものを指しますか。

Answer: 「個人識別符号」とは、当該情報単体から特定の個人を識別することができるものとして政令に定められた文字、番号、記号その他の符号をいい、これに該当するものが含まれる情報は個人情報となります。具体的な内容は、政令第１条及び個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第３号。以下「規則」という。）第２条から第４条までに定めるとおりです。


Question: 「仮名加工情報」とはどのようなものを指しますか。

Answer: 「仮名加工情報」とは、他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であり、仮名加工情報を作成するとき（「問０１０」※参照）は、規則で定める基準に従って加工する必要があります。なお、当該基準に従い加工が行われていない場合には、仮名加工情報に該当しません。


Question: 「匿名加工情報」とはどのようなものを指しますか。

Answer: 「匿名加工情報」とは、特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものであり、匿名加工情報を作成するとき（※）は、規則で定める基準に従って加工する必要があります。なお、当該基準に従い加工が行われていない場合には、匿名加工情報に該当しません。


Question: 「要配慮個人情報」とはどのようなものを指しますか。また「要配慮個人情報」にかかる留意点は何でしょうか。

Answer: 「要配慮個人情報」とは、不当な差別や偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいいます（法第２条第３項）。なお、健保組合において取り扱うことが想定される要配慮個人情報としては、病歴を含む情報（レセプト等に記載された情報）、健康診断の結果を含む情報及び健康診断後の措置（医師等専門職による改善指導又は診療、調剤）が行われた事実を含む情報等が挙げられます。


Question: 既に健保組合の被保険者等ではない者の個人情報も法の対象ですか。

Answer: 対象です。


Question: 利用目的を変更する場合において、法第 17 条第２項に規定する「変更前の利用目的と関連性を有すると合理的に認められる範囲」について示してください。

Answer: 法第 17 条第２項に規定する「変更前の利用目的と関連性を有すると合理的に認められる範囲」とは、変更後の利用目的が変更前の利用目的からみて、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲を指します。


Question: 法第 21 条第１項では、個人情報の利用目的を通知又は公表しなければならないとされていますが、利用目的を「公表」するとは具体的にはどのような措置をとればよいのでしょうか。

Answer: 健保組合のホームページへの掲載、パンフレットの配布、事業所担当窓口等の掲示・備付けの措置等、健康保険法施行令（大正 15 年６月 30 日勅令第 243 号）第３条の規定に基づき行う公告と同程度以上の措置を講ずる必要があります。


Question: 利用目的の特定（法第 17 条第１項）、通知又は公表（法第 21条第１項）とは、目的をどれほど詳細に通知又は公表すれば足りるのでしょうか。

Answer: 個人情報取扱事業者は、利用目的を「できる限り」特定する必要があります（法第 17 条第 1 項）。「できる限り」特定するとは、個人情報取扱事業者において、個人情報をどのような目的で利用するかについて明確な認識を持つことができ、また、本人において、自らの個人情報がどのような事業の用に供され、どのような目的で利用されるのかについて一般的かつ合理的に予測・想定できる程度に、利用目的を特定することをいいます。①診療報酬の審査支払を行うため、②健保組合の運営の安定化のために必要な医療費分析を行うため、③被保険者及び被扶養者の健康の保持・増進のために行う指導のため、などとその具体的な利用目的が分かるように詳細に利用目的を特定し、これを通知又は公表する必要があり、例えば「医療保険事務に関すること」のみでは足りません。


Question: 健保組合が審査支払のためにレセプトの個人情報を利用するのは法律上当然のことですが、これも通知又は公表しなければならないのでしょうか。

Answer: 個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用目的をできる限り特定しなければならない（法第 17 条第１項）とされ、個人情報を取得した場合には、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない（法第 21 条第１項）とされています。このため、法律上利用目的が明らかな場合であっても、その利用目的を通知又は公表する必要があります。


Question: 特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱う場合には、原則としてあらかじめ本人の同意を得ることが必要ですが、緊急性を要する場合にもあらかじめ本人の同意を得ることが必要ですか。

Answer: 法第 17 条第１項により特定した利用目的の達成に必要な範囲を超えて個人情報を取り扱う場合には、原則としてあらかじめ本人の同意を得る必要がありますが、法第 18 条第３項各号に該当する場合には、本人の同意を得る必要はありません。


Question: 法第 19 条では、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならないとされていますが、どのような利用が該当しますか。

Answer: 違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用する場合としては、以下の事例が該当します。


Question: 市町村等の医療費助成があるレセプトについて、付加給付を行う健保組合では、給付が重複しないように、①事業所の担当者を経由して被保険者に照会、②健保組合から医療機関へ窓口負担の有無を照会、③健保組合から市町村等に医療費助成の有無を照会し、結果的に病歴等の要配慮情報を取得することとなりますが、法に抵触しますか。

Answer: 照会の結果、要配慮個人情報を取得することとなるので、原則として本人の同意が必要であり（法第 20 条第２項）、当該個人情報の利用目的を本人に通知し、又は公表しなければならないこととされています（法第 21 条第１項）。


Question: 健保組合は個人データの正確かつ最新の内容を確保することとなっていますが、どのような措置をとればよいのでしょうか。また資格喪失者の情報についても同様でしょうか。

Answer: 個人情報の中には、何が正確で最新の情報であるか容易に判断できないこともあり、健保組合の側からそれを確かめる手段や方法がない場合があります。本人にしか分からない場合もあることから、健保組合が利用目的の達成に必要な範囲内で自ら適切と考えかつ可能な限り正確性を確保する必要があると考えます。一方で、保存期限を経過する等、利用する必要がなくなったときは遅滞なく削除するよう努めなければなりません（法第 22 条）。


Question: 健保組合において個人データの漏えい等が発生した場合の対応はどのようにすればよいでしょうか。

Answer: 健保組合は、その取り扱う個人データの漏えい等又はそのおそれのある事案（以下「漏えい等事案」という。）が発生した場合には、漏えい等事案の内容等に応じて、以下の各事項について必要な措置を講じる必要があります（ガイダンスⅢ６．及び「個人情報の保護に関する法律についてのガイドライン（通則編）」３－５－２参照）。


Question: 委託先において個人データの漏えい等が発生した場合の対応はどのようにすればよいでしょうか。

Answer: 健保組合が個人データの取扱いを委託している場合において、委託先において個人データの漏えい等が発生した場合には、委託先から速やかに報告を受け、健保組合としても、事業者内における漏えい等事案の発生時の対応と同様に、迅速かつ適切に対応する必要があります。（「問２０２」参照）このため、個人データの取扱いを委託する際には、委託先において個人データの漏えい等が発生した場合における委託先と健保組合との間の報告連絡体制を整備しておくことが必要です。


Question: 個人データを第三者に提供する際に本人の同意をとる必要はありますか

Answer: 法第 27 条第１項では、原則としてあらかじめ本人の同意を得ることとし、一定の要件の下（「問３０３」参照）でのみ、あらかじめ本人の同意を得ないで個人データを第三者に提供することができるとしています。


Question: 本人の同意を求めるケースでは、すべて書面でもらう必要がありますか。

Answer: 必ずしも書面によることを要しませんが、紛争回避の観点から書面（電磁的記録を含む）によることが望ましいところです。口頭で同意を得る場合にも、同意を得た方法、日時などを記録しておくことが望ましいところです（例えば、「2017 年５月 30 日16:00、本人に対し電話により連絡し、同意を得る。担当○○」といった記録を残しておくなど。）。


Question: あらかじめ本人の同意を得ないで、個人データを第三者に提供することができる場合とは、具体的にどのような場合でしょうか。

Answer: 法第 27 条第１項に規定されており、具体的なものとしては以下の場合があります。


Question: 健保組合が審査支払機関にレセプトの再審査請求をする場合も、第三者提供に当たりあらかじめ本人の同意が必要となりますか。

Answer: 健保組合は審査支払機関にレセプト審査業務等を委託するところ、健保組合が、その利用目的の達成に必要な範囲内において個人データの取扱いを審査支払機関に委託することに伴って当該個人データを提供する場合には、当該提供先である審査支払機関は「第三者」に該当しないため、本人の同意を得る必要はありません（法第 27 条第５項第１号）。


Question: 大学の研究者から研究のためにレセプトの提供を求められました。レセプト情報を提供してもよいのでしょうか。

Answer: 法第 27 条第１項第７号において、「第三者が学術研究機関等である場合」であって、「当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき」（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）は本人の同意を得る必要はないこととされています。また、同項第３号において、「公衆衛生の向上のために特に必要がある場合」であって「本人の同意を得ることが困難であるとき」は、本人の同意が必要ないこととされています。


Question: 被保険者が生命保険に加入する際に所定の検査が必要となりますが、事前に健診を受けていれば、その検査結果を代用できることになっている場合があります。この場合、生命保険会社から被保険者の検査結果の提供を求められた場合、検査結果を提供してよいのでしょうか。

Answer: 原則として、あらかじめ本人の同意なく提供することはできません（法第 27 条第１項）。


Question: 非常勤職員が組合の会議室等でレセプト点検を行う場合も第三者提供に該当しますか。

Answer: 非常勤職員も当然に組合の職員であり、組合の業務として点検を行うことから、第三者に当たりません。なお、個人情報を取り扱うに当たっては、守秘義務契約や必要な研修等、常勤の職員と同様の扱いが必要となります。


Question: レセプトの点検業務を第三者に委託する場合にも本人の同意が必要ですか。

Answer: 利用目的の達成に必要な範囲内において個人データの取扱いを委託することに伴って当該個人データを提供する場合には、当該提供先は「第三者」に該当しないため、本人の同意を得る必要はありません（法第 27 条第５項第１号）。


Question: 健保組合が統計情報を作成するために、レセプトの画像取込（スキャン）を行った上、統計作成事業を請け負っている会社に委託する場合、本人の同意を得ずに当該会社に当該レセプトデータを提供してよいのでしょうか。

Answer: 「問３０８」同様。


Question: 健康保険被保険者証の検認又は更新の際には、事業所に一括して送付し、事業所から各被保険者へ配布しています。このようなやり方は第三者提供に当たり、本人の同意が必要となりますか。

Answer: 健康保険被保険者証の交付、訂正、検認又は更新は、健康保険法施行規則（大正 15 年内務省令第 36 号）第 47 条～第 50 条において事業主を経由して行うこととされており、法第 27 条第１項第１号の「法令に基づく場合」に該当するため、事業所に送付することについて本人の同意を得る必要はありません。


Question: 給付に関する申請などが事業主経由で行われることがありますが、気を付けることはありますか。

Answer: 法は、第三者に個人データを提供する場合には、原則としてあらかじめ本人の同意を得るべきこととしていますが、法令上、提供義務が明記されている場合は、あらかじめ本人の同意を得ずに第三者に提供することを認めています（法第 27 条第１項第１号）。


Question: 健保連の共同事業として、健保連から委託を受けた指導員が、健保組合のレセプトをチェックし、レセプト審査の方法を助言することがありますが、法に抵触しますか。

Answer: 健保組合は、指導員（第三者）に個人データを提供する場合には、原則として、あらかじめ本人の同意を得る必要があります。


Question: 被扶養者本人に対する健康保険被保険者証の更新の際には、被扶養者の同意を得ずに被保険者本人に交付することはできますか。

Answer: 健康保険法施行規則第 50 条第５項及び第６項の規定により、事業主を経由して、被保険者に交付しなければならないとされており、法第 27 条第１項第１号の「法令に基づく場合」に該当するため、被扶養者本人の同意を得ずに被保険者へ交付することが可能です。


Question: 健保組合から被保険者に対し医薬品を配布することがありますが、医薬品のリストと送付先名簿を業者に渡し、業者から被保険者に対し郵送することは可能でしょうか。

Answer: 健保組合は、業者（第三者）に個人データを提供する場合には、原則としてあらかじめ本人の同意を得る必要があります。


Question: 市区町村の国民健康保険担当から、資格喪失年月日、認定日などの照会がなされた場合の対応はどうしたらよいのでしょうか。

Answer: 国民健康保険法（昭和 33 年法律第 192 号）第 113 条の２第２項の規定により、市区町村は、必要な資料の提供を求めることができるとされており、法第 27 条第１項第１号の「法令に基づく場合」に該当するため、本人の同意を得ずに回答に応じて差し支えありません。


Question: 保険医療機関や保険薬局から、受給資格の有無の照会がなされた場合の対応はどうしたらよいのでしょうか。

Answer: 原則として、あらかじめ本人の同意が必要です。


Question: 法令上質問をすることができる旨が規定されていますが、回答義務がない場合又は回答しなくても刑罰がない場合にも、法第 27条第１項第１号の「法令に基づく場合」に該当するのでしょうか。

Answer: 該当します。


Question: 警察署や労働基準監督署から、資格喪失年月日、療養の給付などの照会がなされた場合の対応はどうしたらよいのでしょうか。

Answer: 刑事訴訟法（昭和 23 年法律第 131 号）第 197 条第２項の規定により、検察官、検察事務官及び司法警察職員は、犯罪があると思料するときの捜査について、公務所又は公私の団体に照会して必要な事項の報告を求めることができるとされており、法第 27条第１項第１号の「法令に基づく場合」に該当するため、本人の同意を得ずに回答に応じて差し支えありません。


Question: 刑事訴訟法第 197 条第２項の規定に基づき、警察から健保組合に、「貴組合に○○という被保険者はいるか」「貴組合に加入しているＡ 事業所の事業主は誰か」との照会があった場合、回答してよいのでしょうか。

Answer: 法第 27 条第１項第１号の「法令に基づく場合」に該当するため、本人の同意を得ずに回答に応じて差し支えありません。


Question: 健保組合の保健事業として、健保組合の医師や保健師が被保険者の健康相談を行っていますが、その内容を健保組合の事務局に報告させる場合に本人の同意は必要となりますか。

Answer: この場合の医師又は保健師は健保組合に属する職員であるため、第三者には当たらず、本人の同意は必要ありません。


Question: 受診者が被扶養者の場合に、健保組合から被保険者に対し受診内容等の照会をすることがありますが、受診者（被扶養者）に直接確認しなければならないのでしょうか。

Answer: 受診内容等については要配慮個人情報にかかわるものもあるため、受診者（被扶養者）に直接照会する必要があります。このため、受診者の連絡先を把握していない場合は、被保険者への照会等により受診者の連絡先を把握し、連絡する必要があります。


Question: 当健保組合において、資格喪失後の出産育児一時金の受給要件を満たしている被保険者が、配偶者の加入する健康保険の他の保険者に家族出産育児一時金を請求した場合に、その健康保険の他の保険者より電話連絡で当健保組合に出産育児一時金の支給の有無の照会がありました。どのように対応したらよいのでしょうか。

Answer: 出産育児一時金の支給の有無を回答する場合は、原則として、あらかじめ本人の同意が必要です。


Question: 労働基準監督署より労災判定に関し、文書により、その関連するレセプト内容（医療機関名、傷病名、診療点数等、診療日数・入院日数）の照会（レセプト要求なし）があった場合、どのように対応したらよいのでしょうか。

Answer: 照会に回答を行う際に本人の同意を得ることとした場合には適切な給付ができなくなるため、本件のような労働者災害補償保険法（昭和 22 年法律第 50 号）に定める事務を遂行する場合は「国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要があって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき」（法第 27 条第１項第４号）に該当し、本人の同意なく回答することが可能であると考えられますが、本人の同意を容易に得ることができる場合には、あらかじめ本人の同意を得た上で回答することが望ましいと考えます。


Question: 市区町村より、健保組合に対し、乳幼児医療助成（現物給付）にかかるレセプトの内容（受診医療機関ならびに請求点数）の照会があった場合、どのように対応したらよいのでしょうか。

Answer: 「問３２３」同様。


Question: 健保組合の保健指導で得た個人情報を提供するよう健保組合の上司から指示があったが、その個人情報を提供してよいのでしょうか。

Answer: 法上は、同じ健保組合内であれば、保健師もその上司も同一の主体であり、その間の個人情報の提供には規制がありませんが、健保組合の保健師には職員としても保健師としても守秘義務が課されており、正当な理由がなく、その業務上知り得た人の秘密を漏らしてはならないこととされています（健康保険法第 22 条の２及び保健師助産師看護師法（昭和 23 年法律第 203 号）第 42条の２参照）。


Question: 以下の場合について、事業者と健保組合において、健診結果について共有することができるのでしょうか。

Answer: 事業者と健保組合とは異なる主体であるので、健診実施者が他に健診結果を提供する場合は、原則として、あらかじめ本人の同意が必要です。ただし、事業者が健康保険法第 150 条第２項に基づく健保組合の求めに応じて、健診結果を提供する場合については、法第 27 条第１項第１号の「法令に基づく場合」に該当するため、本人同意は不要です。


Question: 母体事業所の健康管理部門に特定保健指導を委託する場合において、健保組合が特定健診の結果を母体事業所へ提供することについて本人同意は必要となりますか。

Answer: 健保組合は特定保健指導を母体事業所に委託するところ、その利用目的の達成に必要な範囲内において個人データの取扱いを母体事業所に委託することに伴って当該個人データを提供する場合、当該提供先である母体事業所は「第三者」に該当しないため、本人の同意を得る必要はありません（法第 27 条第５項第１号）。


Question: 事業所における健康管理事業推進に寄与する為に、健保組合が保有する健診結果とレセプトデータを突合分析した結果を、事業所の健康管理部門に提供するにあたり、本人同意は必要となりますか。

Answer: 統計データ（例えば血糖値が基準値を超える人の○％が 60 歳到達時に生活習慣病に罹患する等の情報）について、特定の個人との対応関係が排斥されている限りにおいては、個人情報に該当しないため、当該統計データを事業者に提供するに当たって、本人の同意を得る必要はありません。ただし、統計データについて、特定の個人との対応関係が排斥されていない場合には、原則として、当該統計データを事業者に提供するに当たっては、本人の同意を得る必要があります。


Question:
当健保組合では、人間ドック未受診者が法定健診も未受診とならないよう、人間ドック未受診者のリストを事業所に提供しています。
この場合、本人同意は必要となりますか。

Answer: 当該事業が健康管理事業推進を目的とした共同事業として位置づけられ、当該提供が法第 27 条第５項第３号に定める「共同利用」の要件を満たす場合、本人同意は必要ありません。ただし、トラブル回避の観点から、人間ドック未受診者に対し、健保組合から受診勧奨を実施し、その際に未受診の場合は法定健診にかかる受診勧奨が事業主から実施される旨を通知することが望ましいと考えます。


Question: 当健保組合では事業所とのコラボヘルスを推進するにあたり、互いが保有する健診結果等のデータを共有し、互いの事後指導に活用したいと考えていますが、法第 27 条第５項第３号「共同利用」に該当する場合、本人同意は要しないという理解でよいのでしょうか。

Answer: 事業者が健康保険法第 150 条第２項に基づく健保組合の求めに応じて、健診結果を提供する場合については、法第 27 条第１項第１号の「法令に基づく場合」に該当するため、本人同意は不要です。


Question: 前設問における共同利用により健診結果を事業所と共有している場合、健診結果が要治療にもかかわらず、健保組合のレセプトデータから未受診であることが分かった者について、その旨（単に受診していない旨）を事業所に情報提供し、事業所から受診勧奨することについて、本人同意は必要となるのでしょうか。

Answer: 「問３３０」同様、法第 27 条第５項第３号に定める共同利用に該当する場合、法的には本人同意を得る必要はありません。ただし、提供する情報の秘匿性に鑑み、当該受診勧奨については、まず健保組合が実施の上、なお未受診である者については事業所（医療専門職）から受診勧奨を実施する旨を伝え、本人同意を得る事が望ましいと考えます。


Question: 当健保組合の理事長は事業所の人事執行役員です。この場合、理事長が事業所の人事業務に健保組合が保有する被保険者の病歴等情報を活用することに問題はありますか。

Answer: 同一人物が複数の事業者を兼ねる場合であっても、個人情報は事業者ごとに取得されたものであり、一方の事業者の個人情報を他方の事業者内で利用することはできません。


Question: 母体企業が労働安全衛生法に基づく健診を行う際に、同法の法定項目を超える健診を実施し、健保組合が当該超過項目の費用を負担しています。健診結果は、母体企業と健保組合が共有します。このようなケースは認められるのでしょうか。

Answer: 事業者が健康保険法第 150 条第２項に基づく健保組合の求めに応じて、健診情報を提供する場合については、法第 27 条第１項第１号の「法令に基づく場合」に該当するため、母体企業から健保組合への健診結果の提供については本人の同意は不要です。


Question: 健保組合が行う特定保健指導などを産業医に依頼する場合には、どのようなことに気を付ける必要がありますか。

Answer: 健保組合は産業医に特定保健指導を委託するところ、健保組合が、その利用目的の達成に必要な範囲内において個人データの取扱いを産業医に委託することに伴って当該個人データを提供する場合には、当該提供先である産業医は「第三者」には当たらないため、本人の同意は要しません（法第 27 条第５項第１号）。


Question: 当健保組合では、特定保健指導を専門業者に委託し、業者には特定保健指導対象者の健診結果を提供しています。この場合、受診者本人の同意は必要ですか。

Answer: 健保組合は専門業者に特定保健指導を委託するところ、健保組合が、その利用目的の達成に必要な範囲内において個人データの取扱いを専門業者に委託することに伴って当該個人データを提供する場合には、当該提供先である専門業者は「第三者」に当たらないため、健診結果の提供に当たり、本人の同意を得る必要はありません（法第 27 条第５項第１号）。


Question: 母体企業の産業医に相談業務を委託することがありますが、その結果を健保組合に報告してもらうことに支障はありますか。また、母体企業の産業医が健保組合の顧問医になっている場合はどうでしょうか。

Answer: 母体企業は、相談業務の結果を健保組合に提供するに当たり原則として、本人の事前同意を得る必要があります（法第 27 条第１項）。


Question: 事業主が実施している健康診断の結果をもとに、健保組合の保健 師が受診者に対し、健康相談を行うことは可能でしょうか。また、 事業主から誰に対し健康相談を行ったのか、その健康相談の内容は どのようなものかと聞かれた場合にはどうすればよいのでしょうか。

Answer: 健康保険法第 150 条第２項及び第３項において、事業主から被保険者等に係る健康診断の結果の提供を受けることができることとされており、それをもとに健康相談を行うことが可能です。


Question: 人間ドック等の受診費用を健保組合が助成し、その結果を健診業者から健保組合にも直接送付してもらっていますが、事前に本人の同意をとる必要がありますか。

Answer: 人間ドック等の受診結果は、要配慮個人情報に該当するので、当該個人情報を取得するには、あらかじめ本人の同意が必要です。また、健診事業者と健保組合とは異なる法人であることから、提供に当たってはあらかじめ本人の同意が必要です。


Question: 当健保組合では、特定の健診機関と個別契約を締結し、人間ドック事業を実施しています。同事業内容については、組合員にも周知済みですが、契約健診機関から健診結果を受領することについて、受診者本人の同意は必要でしょうか。

Answer: 設問における健診結果の受領は健保組合と健診機関における委託契約のもとに成立するものであり、健診機関が法第 27 条第５項第１号における委託に伴って健保組合に健診結果を提供する場合においては、当該提供先である健保組合は「第三者」には当たらないため、本人同意は要しないこととなります。なお、更なる措置として、人間ドック受診にかかる申込書に、健診機関から健保組合に健診結果が提供されることについて、同意意思を表示するチェックボックス等を設けることは差し支えありません。この場合、健診結果を受領する健保組合において、改めて取得に係る本人の同意を取得する必要はありません。


Question: 健診で結核などの感染のおそれが高い疾病患者が見つかったため、事業所に該当情報を伝える必要がある場合は、本人の同意を得なければならないのでしょうか。

Answer: 健保組合と事業所とは異なる法人となるため、原則として、あらかじめ本人の同意が必要です。


Question: いくつかの健保組合が共同して、レセプトの分析を行うことを予定しています。この場合に気を付けることは何がありますか。

Answer: 法第 27 条第５項第３号に定める事項（事業内容及び個人データの項目、共同して利用する者の範囲、利用目的、データの管理について責任を有する者の氏名又は名称等）について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているときは、共同利用に該当し、当該提供先である各健保組合は「第三者」に当たらないことから本人の同意は不要です。ただし、不必要な情報はマスキングなどの加工の必要があります。


Question: 法第 27 条第５項第３号では、特定の者で共同利用する場合には、利用する者の範囲、責任者等を予め、本人の知り得る状態とすれば、当該提供先は「第三者」に当たらず、本人の同意は不要とされていますが、「本人が容易に知り得る状態」とはどのような状態をいうのでしょうか。

Answer: 本人が知ろうとすれば時間的にも、その手段においても、容易に知ることができる状態をいい、具体的には、①ホームページ等に継続的に掲載することや、②事業所の窓口等への掲示・備付け（健保組合の事務所だけでなく、加入事業所にも掲示・備え付けることが望ましい）、③会社の広報誌や組合のパンフレットの継続的な配布（３か月に一度程度以上）などが考えられます。


Question: レセプトから自動車事故等の第三者行為による負傷であることが疑われ、被保険者に対し傷病原因を照会する必要がある場合に、健保組合が当該被保険者の電話番号を把握しておらず、直接連絡を取ることが難しいことがあります。このような場合に健保組合が当該被保険者が所属する事業所の職員に当該被保険者に係る傷病原因の照会をした場合には、法に抵触しますか。

Answer: 健保組合が、レセプトに記載された被保険者の医療情報について、事業所の職員に対し照会を行う場合は、個人データの第三者提供に該当するため、原則として、本人の同意が必要となります（法第 27 条第１項）。


Question:
第三者行為において、健保組合が損害保険会社に請求する医療費を示すために、レセプトの写しを損害保険会社へ送付していますが、
法に抵触しますか。

Answer: 損害保険会社と健保組合は異なる法人であり、レセプトの写しを提供するときは、あらかじめ本人の同意を得ることが原則です。


Question: 現在、医療費通知は被保険者とその家族をまとめて通知しており、その旨をホームページ等で公表し、組合員においても周知が行き渡っている状況ですが、平成 29 年５月の改正法施行後もこの取扱いでよいのでしょうか。また社内便を用いて本人に送付しているがよいのでしょうか。

Answer: 家族同士であっても異なる個人であることから、家族分をまとめた医療費通知を被保険者本人に通知するにあたっては、家族の同意が必要となります。


Question: 当健保組合では、高額療養費及び付加給付（一部負担還元金等）の支給について、規程で定めることにより、本人の申請に基づくことなく「自動払い」により、事業主を経由し支給する（給与口座への振込み）こととしています。これは本人の同意を得ずに、個人データを第三者である事業主に提供していることになり、あらかじめ本人の同意が必要となりますか。

Answer: 本人の同意を得ることが必要となりますが、この同意は必ずしも明示的なものでなくとも差し支えありません。設問のような状況においては、「高額療養費及び付加給付を事業主を経由して給付すること」及び「仮に同意しない場合には申し出てもらう必要があること」などをあらかじめ通知等することにより明らかにすることで、黙示の同意をとることが考えられます（ガイダンスⅢ７（３）を参照）。


Question: 当健保組合では、療養給付記録欄がある紙の被保険者証を発行していますが、これは、被保険者が受診する場合は被扶養者に関する個人情報を、被扶養者が受診する場合は被保険者に関する個人情報を、それぞれ情報主体と異なる者（受診者）が第三者（医療機関）に提供する形になっていますが、法上、問題がありますか。

Answer: 被保険者と被扶養者は異なる個人であり、相手の情報を第三者に提供することとなりますが、個人情報取扱事業者には当たらないため、法上提供するに当たってそれぞれ相手の同意を得る必要はありませんが、相手の情報が安易に提供されることは本人情報の保護の観点から望ましい状態とは言えません。現在は、被保険者及び被扶養者が、療養給付記録欄が削除されたそれぞれ別個の被保険者証を有することができる措置が講じられているので、健保組合においては被保険者証を切り替えることにより、相手の情報が安易に提供されないようにすることが望ましいと考えます。


Question: 健保組合がレセプト等を売買したり、健保組合からレセプト等による医療費分析などを受託している業者がレセプト等を売買することは問題ないでしょうか。

Answer:
健保組合がレセプト等を売買することについては、健保組合の公法人としての性格に鑑み、許容すべきものではなく、また、健保組合が医療費分析などを委託するに当たっては、委託した個人データの安全管理が図られるよう委託業者に対して、必要かつ適切な監督を行う義務があることとされております（法第 25 条）。
医療情報というレセプト等の公益性を踏まえると、委託業者が個人データを売買することは適当でなく、健保組合から委託業者に対して、売買について禁止するよう指導すべき義務があると解せられます。


Question: レセプト等を用いて、医療費分析や保健指導等をするに当たって、医師の同意を要するのでしょうか。また、それらの業務を委託する場合はどうでしょうか。

Answer: レセプト等が医師の個人情報に当たる場合であっても、法第 21条第１項により、利用目的を、本人に通知し、又は公表する必要はありますが、例えばレセプトを使って医療費分析を行うに当たって、本人の同意を得ることまでは求められていないため、医師の同意を要しません。


Question: 健保組合がレセプト等の個人情報に係る部分をマスキングした上で、当該レセプト等のデータ処理業務を海外の会社に委託することは可能でしょうか。

Answer: 法第 28 条に基づき、海外の会社が同条に規定する「個人情報保護委員会規則で定める」外国にある場合又は「個人情報保護委員会規則で定める基準に適合する体制を整備している者」である場合を除いて、本人の同意が必要となります。法第 28 条の本人の同意に基づいて提供を行う場合には、法第 27 条の規定は適用されません。


Question: 個人データを第三者提供する際にその記録を作成する必要はありますか。

Answer: 法第 29 条により、第三者提供に係る記録が義務付けられており、「本人同意、第三者氏名等、本人氏名等」のデータ項目を原則３年間保存することとなります。ただし、以下の場合においては同義務を適用されないことに留意が必要です。


Question: 法第 29 条にかかる第三者提供時の記録が必要な場合の具体例は何でしょうか。

Answer: 例として、傷病手当金は一つの傷病につき最長１年６か月受けることができますが、給付を受けていた被保険者が退職し、数か月後に別の健保組合に加入した際に、新たに加入した健保組合が傷病手当金の法定期間等を適正に取り扱うため、被保険者が以前に加入していた健保組合に傷病手当金の受給期間について確認することがあります。以前加入していた健保組合は第三者にあたるため、情報提供を受ける際又は情報提供する際には記録が必要となります。


Question: 当健保組合では、効果的な保健事業展開を目的とし、レセプト等のデータの分析を専門業者に委託していますが、委託の際の留意点は何でしょうか。

Answer: 健保組合の利用目的の達成に必要な範囲内において、個人データの取扱いの全部又は一部を委託することに伴い当該個人データを提供する場合は、当該個人データを受ける者は「第三者」に該当しないため、あらかじめ、本人の同意を得ることは不要です（法第 27 条第５項第１号）。ただし、可能な限り、個人情報をマスキングするなどの対策を講じた上で、委託するよう努めることが望ましいと考えます。（委託元、委託先双方にて、安全管理措置を講じる必要はあります。）


Question: 開示請求の手続きはどのようなものでしょうか。

Answer:
診療報酬明細書、調剤報酬明細書、施設療養費明細書など（それらの写しを含む。）の開示の請求があった場合には、「診療報酬明細書等の被保険者等への開示について」（平成 17 年３月 31 日付厚生労働省保険局長通知） 及び「健康保険組合における診療報酬明細書等の開示の取扱いについて」
（平成 17 年３月 31 日付厚生労働省保険局保険課長通知）に基づいた取扱いとなります。


Question: 開示請求の際に、本人であることの確認はどのように確認すればよいのでしょうか。

Answer: 「診療報酬明細書等の被保険者等への開示について」（平成 17年３月 31 日付厚生労働省保険局長通知）及び「健康保険組合における診療報酬明細書等の開示の取扱いについて」（平成 17 年３月 31 日付厚生労働省保険局保険課長通知）を参照。


Question: 開示請求の手数料はどの程度に設定すればよいのでしょうか。

Answer: 実費を勘案して合理的であると認められる範囲において定めなければなりません（法第 38 条）。手数料が割高であるため開示請求が困難となることのないよう、実際の事務に要した費用程度の額が適当であると考えます。


Question: 情報開示手続を定めるに当たっては、請求者に「過重な負担を課するものとならないよう配慮しなければならない」こととなっているが、具体的にどのようなことでしょうか。

Answer: 本人確認等をすることは極めて重要なことではあるものの、不必要に膨大な証明書等の提示を求めたり、煩雑な手続を設ける等、個人情報の内容、性質に応じ過剰なものにならないようにする必要があります。具体的には、受付窓口を不当に制限したり、とりわけ分かりにくく不便なところに設けることがないこと等が挙げられます。


Question: 震災等でレセプトが散乱し、検索することが困難な状態の場合は、その事情を理由に開示しなくてよいのでしょうか。

Answer: 健保組合が保有するレセプトなど紙ベースで保有される情報は、個人データ（特定の個人情報を容易に検索することができるように体系的に構成したもの）と考えられます（法第 16 条第１項、第３項及び第４項）。これらの個人データについて、震災等により散乱し、一時的に分類・整理しないまま大量に保有する状態となった場合、仮に法の開示請求があっても、開示請求に係る当該個人データを検索することが現実的には困難な状態にあると考えられます。


Question: 「保有個人データの全部又は一部を開示しないことができる」不開示の要件として、「個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合」がありますが、健保組合においてどのようなことが考えられるのでしょうか。

Answer: 本規定は健保組合の恣意的判断を許容する趣旨ではなく、各規定の要件の該当性は客観的に判断される必要があり、また、事務又は事業の根拠となる規定・趣旨に照らし、個人の権利利益を保護する観点からの開示の必要性等の種々の利益を衡量した上で「適正な実施」といえるものであることが求められます。


Question: 被保険者から医師の個人情報にも該当するレセプト等の開示請求があった場合、被保険者に対する個人情報の提供に当たって、医師の同意を要するのでしょうか。また、医師の個人情報には該当しない場合はどうでしょうか。

Answer: レセプトが担当医の個人情報に該当しない場合はもとより、レセプトが担当医の個人情報に該当する場合についても、健保組合は、被保険者への開示義務を負うこととなりますが、開示することにより、被保険者本人又は第三者の権利利益を害するおそれがあるかどうかの判断（法第 33 条第２項第１号）は、健保組合においては容易でないため、「診療報酬明細書等の被保険者等への開示について」（平成 17 年３月 31 日付厚生労働省保険局長通知）及び「健康保険組合における診療報酬明細書等の開示の取扱いについて」（平成 17 年３月 31 日付厚生労働省保険局保険課長通知）に基づき、開示に当たって、担当医の判断が必要となります。


Question: レセプトの遺族への開示については、今回の法改正においても取扱いは変わらないのでしょうか。

Answer: 個人情報の保護に関する法律は、生存する個人に関する情報についての法律であり、死亡した者に係る個人情報に関する遺族からの開示の依頼の取扱いは、法に基づく開示請求として取り扱うのではなく、組合で定める要領に基づいた「開示依頼」として取り扱うこととなります。


Question: 柔道整復等療養費について、「療養費支給申請書」には、施術した柔道整復師が「負傷名」を記載し、住所、氏名、電話番号も記載されています。これも患者の個人情報でもあり、柔道整復師の個人情報ということになるのでしょうか。仮に、そうなると、患者から開示請求があった場合は、レセプト開示と同じ取扱いとなるのでしょうか。

Answer: 氏名等が記載されており、特定の個人として識別できれば、当該柔道整復師の個人情報に該当します。


Question: 一般的な「療養費支給申請書」や看護、移送に関わるものも、「傷病名」、「傷病の経過」、「治療等の内容」が記載されています。これも医師の個人情報に該当し、レセプトと同様の開示扱いとなるのでしょうか。また、「傷病手当金請求書」や「出産手当金請求書」も「傷病名」、｢発病等の原因｣、「傷病の主症状経過等」や「医師または助産師の意見」の記載があり、同様の取扱いとなるのでしょうか。

Answer: 氏名等が記載されており、特定の個人として識別できれば、当該医師の個人情報に該当します。


Question: 健保組合で保有する個人情報の取扱いに係る苦情処理はどこが行うのでしょうか。

Answer: 法は、個人情報の取扱いをめぐる苦情については、当事者間での解決を基本としており、個人情報取扱事業者に対して、苦情の適切かつ迅速な処理とその解決のための体制の整備に努めるべきことを定めているため、先ずは健保組合が苦情処理を行うこととなります（法第 40 条）。


Question: 苦情処理のための必要な体制の整備とはどのようなものでしょうか（法第 40 条第２項）。認定個人情報保護団体があれば、各健保組合に苦情処理窓口を設けなくとも良いのではないでしょうか。

Answer: 個人情報の取扱いをめぐって健保組合と本人との間に生じるトラブルは、基本的には私人間の問題として当事者間で扱われるべきものであり、また、その解決を図る上でも、まずは当事者間で解決することが望ましいことか ら、体制の整備としては、例えば、健保組合に苦情処理の窓口を設置し担 当者を決めておくことや、苦情処理の手順を定めること、苦情処理に当た る従事者の研修を行うことなどが考えられます。


Question: 認定個人情報保護団体に求められるものは何でしょうか。

Answer: 認定個人情報保護団体は、個人情報取扱事業者の個人情報の適正な取扱いの確保を目的とする業務を行うものとして、個人情報保護委員会から認定を受けた法人ですが、健康保険制度においては、傘下の健保組合を対象に、個人情報保護に係る普及・啓発を推進するほか、法の趣旨に沿った指針等を自主的なルールとして定めたり、個人情報の取扱いに関する被保険者等のための相談窓口を開設するなど、積極的な取組みを行うことが期待されています。


Question: 個人情報取扱事業者等が法に違反した場合、どのような措置が採られるのでしょうか。

Answer: 個人情報取扱事業者が個人情報を不適切に取り扱う事例等があったときには、個人情報保護委員会は個人情報取扱事業者に対して、①個人情報の取扱いに関する報告の徴収及び立入検査（法第 146 条第１項）、指導及び助言（第 147 条）、②個人情報取扱事業者が一定の義務に違反した場合における、違反行為を是正するための必要な措置に係る勧告（第 148 条第１項）、命令（第 148条第２項又は第３項）を行う場合があります。このとき、個人情報取扱事業者が、①個人情報保護委員会の命令（第 148 条第２項又は第３項）に違反した場合、②個人情報保護委員会からの報告徴収（第 146 条第１項）に対して、報告をせず又は虚偽報告をした場合、立入検査を拒んだ場合には、個人情報取扱事業者に対して、罰則が科せられることになっています（同法第 178 条・第 182条）。


Question: 個人情報保護委員会への報告はどのようなことが想定されているのでしょうか（法第 146 条）。

Answer: 法第 146 条における個人情報保護委員会への報告の対象は、個人情報の取扱いに関する事項ですが、具体的には、報告徴収のきっかけとなった問題次第でその内容は異なります。例えば、必要に応じ、個人情報の取扱いの実態、その管理形態、健保組合内の責任体制、開示等の請求等に応じる手続の仕組み等が求められるものと考えられます。いずれにしても、問題となっている個人情報の取扱いの改善等の検討に必要な範囲でなければなりません。それ以外の事項（例えば、個人情報の取扱いと関係のない当該健保組合の経営状況等）について報告を求めることは、認められていません。


Question: レセプトの点検事務を受託した業者が更に再委託してもよいのでしょうか。

Answer: 「健康保険組合における個人情報保護の徹底について」により、個人情報に関する処理を複数の業者に委託する場合には、健保組合はそれぞれ直接、委託契約を締結することとされており、直接の契約関係を伴わない個人情報に関する処理の再委託は禁止しています。


Question: 個人情報の処理に関する業務を外部委託する場合、健保組合との 直接の契約関係を伴わない再委託は禁止することとされていますが、次のような場合はどうでしょうか。

Answer: 「問７０１」同様。


Question: 個人情報に関する処理の再委託が禁止されていますが、例えば医療費通知の作成やレセプトの点検の委託を受けた業者が、そのレセプトを運ぶ際に運送会社を利用することも認められないのでしょうか。

Answer: 「問７０１」同様


Question: 生活習慣病健診を医療機関に委託しているが、当該医療機関が血液検査を更に外部に委託しています。このような取扱いも禁止されるのでしょうか。

Answer: 「問７０１」同様


Question: 外部業者に業務処理委託を行っている場合には、定期的又は随時に調査等を行うこと（遵守基準）とされていますが、年何回くらい行えばよいのでしょうか。

Answer: 年１回程度の調査等を行うことが望ましいですが、委託する業務の内容等に応じて調査等をする必要があると考えます。


Question: 個人情報の処理を外部の業者に委託する場合には、理事会に諮ることとされています（遵守基準）が、理事長の承認とすることができるのでしょうか。また、契約期間の更新や委託金額の変更の場合にも理事会に諮る必要があるのでしょうか。

Answer: 遵守基準においては、理事会に諮ることとされていますが、緊急やむを得ない場合等にあたっては、理事長の承認にすることが認められます。


Question: 健保組合が業務を外部委託する際の判断として、次の場合は「個人情報に関する処理」に該当するのでしょうか。

Answer: ①において、システムの保守業者がサービス内容の全部又は一部としてハードディスク内の個人データを取り扱うこととなっている場合には、個人データを提供したこととなります。一方、②において単純なソフトウェア保守サービスのみを行う場合で、契約条項によって当該保守業者が個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等には、個人データの提供には該当しません。


Question: 個人情報取扱事業者として、団体が付与する認証制度を取得する必要があるのでしょうか。

Answer: 健保組合においては、「個人情報の保護に関する.法律についてのガイドライン（通則編）」（平成 28 年個人情報保護委員会告示第６号）、「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」（平成 28 年個人情報保護委員会告示第７号）、「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」（平成 28 年個人情報保護委員会告示第８号）、「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」（平成 28 年個人情報保護委員会告示第９号）、「個人情報の保護に関する法律についてのガイドライン（認定個人情報保護団体編）」（令和３年個人情報保護委員会告示第７号）及びガイダンスに従い、それぞれ必要な措置を講ずることが必要ですが、団体の認証制度を利用することを妨げるものではありません。


Question: 業務処理システムにアクセスした際の「ログファイル」も「個人情報」と思われますがどのように管理すればよいのでしょうか。具体的な基準を示してください。

Answer: 情報セキュリティに関して、実際にどの程度の安全管理措置を講ずるかは、保護しようとする個人情報の内容又は性質、利用方法等に照らしてどの程度の必要があるかということとのバランスが重要です。不十分な措置しか講じないことは問題ですが、過剰な措置を講ずる必要もないものと考えられるので、具体的な保護措置については、それぞれの健保組合の業務処理に応じて適切に判断する必要があります。


Question: 健保組合によるレセプトの直接審査を行う場合に、気をつけることは何でしょうか。

Answer: 健保組合において直接審査を行う際の個人情報の取扱いについては、「個人情報保護の徹底について」（平成 14 年 12 月 25 日付保発第 1225003 号厚生労働省保険局長通知）及び「健康保険組合における個人情報保護の徹底について」を参照してください。


Question: 病院事業を行う地方独立行政法人が、介護事業やリハビリ事業を行っている場合、これらの事業に係る個人情報の取扱いには、民間規律と公的規律のいずれが適用されるのか。

Answer: 病院事業を行う地方独立行政法人は、その全体が個人情報取扱事業者に該当することから（法第2条第11項第4号及び第16条第2項第4号）、当該地方独立行政法人が病院事業に附帯して介護事業やリハビリ事業を行っている場合についても、これらの事業を含む全ての業務について民間規律（開示請求等に関する規律を除く（法第 58条第1項第2号）。）が適用されることとなります。


Question: Ａ市の保健福祉部において病院事業を行っているが、病院の運営業務における個人情報の取扱いには、民間規律と公的規律のいずれが適用されるのか。同部局で介護事業を行っている場合はどうか。

Answer: 地方公共団体の機関が行う医療法上の病院の運営業務における個人情報の取扱いについては民間規律（開示請求等に関する規律を除く。以下この項目において同じ。）が適用される（法第58条第2 項第1号）ことから、保健福祉部において行っている病院の運営業務における個人情報の取扱いには、民間規律が適用されることとなります。同部局で行う介護事業については、医療法上の病院の運営業務に当たらない限りにおいて、公的規律が適用されることとなります。（令和4年4月追加）


Question: Ａ市では、公営企業の病院を設置しているが、当該病院の運営業務に係る個人情報の取扱いには、民間規律と公的規律のいずれが適用されるのか。地方公営企業法上の管理者の有無により、違いが生じるか。

Answer: 地方公共団体の機関が行う医療法上の病院の運営業務における個人情報の取扱いについては民間規律（開示請求等に関する規律を除く。以下この項目において同じ。）が適用される（法第58条第2 項第1号）ことから、病院事業が公営企業の形態で行われる場合にも、地方公営企業法（昭和27年法律第292号）上の管理者（同法第7条）の有無に関わらず、民間規律が適用されることとなります。（令和4年4月追加）


Question: Ａ市では、病院事業を行う公営企業と、ガス事業を行う公営企業について、１人の管理者を設置している。この場合、民間規律と公的規律のいずれが適用されるのか。

Answer: 地方公共団体の機関が行う医療法上の病院の運営業務における個人情報の取扱いについては民間規律（開示請求等に関する規律を除く（法第58条第2項第1号 ）。以下この項目において同じ。）が適用されることから、1人の管理者が複数の公営企業の管理者となる場合にも、民間規律が適用されるのは病院事業に係る部分のみであり、その他の事業には公的規律が適用されることとなります。（令和4年4月追加）


Question: 地方公共団体の機関の同一の部署において大学の運営に関する業務とそれ以外の業務を行っている場合、個人情報の取扱いは民間規律と公的規律のいずれが適用されるのか。

Answer: 地方公共団体の機関において、大学の運営その他の法第58条第2項第1号に該当する業務と、それ以外の業務の両方を行っている場合には、法第58条第2項第1号に該当する業務における個人情報の取扱いについては民間規律（開示請求等に関する規律を除く。）が適用され、その他の業務における個人情報の取扱いについては公的規律が適用されることとなります。これは同一の部署において両業務を行っている場合においても同様です。（令和4年4月追加）


Question: 地方公共団体又は地方独立行政法人が運営する高等専門学校は、民間規律と公的規律のいずれが適用されるのか。

Answer: 地方公共団体が運営する高等専門学校は、国立の高等専門学校と同様、個人情報取扱事業者に該当することとはされておらず、公的規律が適用されることとなります。


Question: 博物館を運営する地方独立行政法人（地方独立行政法人法第21条第6号、地方独立行政法人法施行令（平成15年政令第486号）第6条第3号）が、その業務の一環として試験研究を行う場合、民間規律と公的規律のいずれが適用されるのか。

Answer: 地方独立行政法人のうち個人情報取扱事業者に該当するものは、試験研究（地方独立行政法人法第 21 条第１号）を主たる目的とするもの、大学等の設置・管理等（同第 2 号）を目的とするもの、病院事業の経営（同第3号チ）を目的とするものに限定されており、博物館（同第6号、地方独立行政法人法施行令第6条第3号）を運営する地方独立行政法人には公的規律が適用されることとなります。


Question: 病院事業の経営の業務を目的とする地方独立行政法人が、取得する個人情報に関して当該法人を所管する地方公共団体の機関が作成・管理する「個人情報取扱事務登録簿」に利用目的を記載し、これを当該地方公共団体の機関が管理するホームページにおいて公開している場合、法第21条第1項の「あらかじめその利用目的を公表している場合」に当たるか。

Answer: 法第21条第1項の「公表」とは、個人情報を取り扱う主体が、広く一般に個人情報の利用目的に関する自己の意思を知らせること（不特定多数の人々が知ることができるように発表すること）をいい、公表に当たっては、事業の性質及び個人情報の取扱状況に応じ、合理的かつ適切な方法による必要があります。


Question: 地方公共団体又は地方独立行政法人が設置する病院、診療所、大学、試験研究機関（以下、「病院等」という。）が保有する個人情報に係る開示等請求の申請先はどこになるのか。また、審査請求の申請先はどこになるのか。

Answer: 病院等が保有する個人情報に係る開示等請求は、当該病院等を運営する地方公共団体の機関（法第2条第11項第2号）又は地方独立行政法人に対して行うこととなります。


Question: 公有地の拡大の推進に関する法律（昭和47年法律第66号）第10条の規定に基づき設立された「土地開発公社」は、法第2条第11項第2号の「地方公共団体の機関」に含まれるか。

Answer: 「土地開発公社」は、法第2条第11項第2号の「地方公共団体の機関」に含まれません。なお、土地開発公社が個人情報データベース等を事業の用に供している場合には、個人情報取扱事業者に当たり（法第16条第2項）、個人情報の取扱いについて法第4章の規定を遵守する必要があります。（令和4年4月追加）


Question: 教育委員会が所管する公立学校については、各学校が法第2条第11項第2号の「地方公共団体の機関」に当たるのか。

Answer: 教育委員会が所管する公立学校については、個々の学校自体が法第2条第11項第2号の「地方公共団体の機関」に該当するものではなく、当該学校を所管する教育委員会が、法第2条第11項第2号の「地方公共団体の機関」に該当します。（令和4年4月追加）


Question: 死者に関する情報のうち生存する遺族の個人情報に該当する情報について、法施行条例で特定の情報がこれに該当する旨を定めることはできるか。

Answer: 死者に関する情報のうち、生存する特定の個人に関する情報であって、当該生存する特定の個人を識別することができる情報は、当該生存する特定の個人を本人とする「個人情報」（法第2条第1 項）に当たります。死者に関する情報が生存する特定の個人を本人とする「個人情報」に該当するか否かは、法の規定に基づき判断する必要があるため、法施行条例にそうした規定を設けることは認められません。一方で、死者に関する情報の取扱いについて、個人情報保護制度とは別の制度として、条例で定めることは妨げられません。（令和4年4月追加）


Question: 行政機関等が運営する病院（法第58条に掲げる者及び業務に当たる場合に限る。）は、法第16条第8項の「学術研究機関等」に該当するのか。

Answer: 病院・診療所等の患者に対し直接医療を提供する事業者は法第16条第8項の「学術研究機関等」に該当しませんが、例えば、大学附属病院のように患者に対して直接医療を提供する機関であっても学術研究機関等である大学法人の一部門である場合には、当該大学法人全体として「学術研究」を主たる目的とする機関として、「学術研究機関等」に該当します。


Question: 指定管理者が行う公立病院の運営の業務について、法第66条第2項第2号の適用があるか。

Answer: 地方公共団体の機関が行う病院の運営の業務については、原則として法第66条第1項の適用はないため、安全管理措置について公的規律の適用があるものではありません（法第125条第1項）。このことは、地方公共団体の機関が病院の運営の業務を指定管理者に行わせる場合においても同様となります。よって、指定管理者が行う病院の運営の業務については、原則として法第66条第2項第2号の適用はありません。なお、この場合であっても、指定管理者は、個人情報取扱事業者に当たる場合には、法第23条に規定する安全管理措置を講じる必要があります。


Question: 要配慮個人情報の取得制限を法施行条例で規定することは可能か。

Answer: 要配慮個人情報の取得を制限することは、行政機関等において要配慮個人情報の取扱いについて特別の制限を設けていない法の規律に抵触する規律を定めるものであり、個人情報保護やデータ流通について直接影響をあたえる事項に当たります。一方で、法はこのような規律を定めることについて委任規定を置いていません。よって、要配慮個人情報の取得制限を法施行条例で規定することは認められません。