医療・介護関係事業者における個人情報の適切な取扱いのためのガイドライン全文（厚生労働省）

■　ガイドラインの対象

(1)　病院、診療所、助産所、薬局、訪問看護ステーション等の患者に対し直接医療を提供する事業者（以下「医療機関等」という。）
(2)　介護保険施設、居宅サービス事業者及び居宅介護支援事業者（以下「介護関係事業者」という。）である。

*　法令上、「個人情報取扱事業者」としての義務等を負うのは医療・介護関係事業者のうち、識別される特定の個人の数の合計が過去６ヶ月以内のいずれの日においても5,000を超えない事業者を除くもの。

■　個人情報が研究に活用される場合の取扱い

　法第５０条第１項においては、憲法上の基本的人権である「学問の自由」の保障への配慮から、大学その他の学術研究を目的とする機関等が、学術研究の用に供する目的をその全部又は一部として個人情報を取り扱う場合については、法による義務等の規定は適用しないこととされている。

■　個人情報とは

　「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日、その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう。「個人に関する情報」は、氏名、性別、生年月日等個人を識別する情報に限られず、個人の身体、財産、職種、肩書き等の属性に関して、事実、判断、評価を表すすべての情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化されているか否かを問わない。

■　個人情報の匿名化

　当該個人情報から、当該情報に含まれる氏名、生年月日、住所の記述等、個人を識別する情報を取り除くことで、特定の個人を識別できないようにすることをいう。顔写真については、一般的には目の部分にマスキングすることで特定の個人を識別できないと考えられる。なお、必要な場合には、その人と関わりのない符号又は番号を付すこともある。
　このような処理を行っても、事業者内で医療・介護関係個人情報を利用する場合は、事業者内で得られる他の情報と照合することで特定の患者・利用者等が識別されることも考えられることから、当該情報の利用目的や利用者等を勘案した匿名化を行う必要がある。また、当該利用について本人の同意を得るなどの対応も考慮する必要がある。
　また、特定の患者・利用者の症例や事例を学会で発表したり、学会誌で報告したりする場合は、氏名等を消去することで匿名化されると考えられるが、症例や事例により十分な匿名化が困難な場合は、本人の同意を得なければならない。

■　個人情報データベース等（法第２条第２項）

　「個人情報データベース等」とは、特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した個人情報を含む情報の集合体、又はコンピュータを用いていない場合であっても、紙面で処理した個人情報を一定の規則（例えば、五十音順、生年月日順など）に従って整理・分類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態においているものをいう。
　カルテ等の診療記録や介護関係記録については、媒体の如何にかかわらず個人情報データベース等に該当する。

　医療・介護関係事業者は、受付で患者に保険証を提出してもらう場合や問診票の記入を求める場合など、本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を院内掲示等により明示しなければならない。ただし、救急の患者で緊急の処置が必要な場合等は、この限りでない。

■　 第三者提供の取扱い

　医療・介護関係事業者は、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならないとされており、次のような場合には、本人の同意を得る必要がある。
（例） 　民間保険会社からの照会 ・ 職場からの照会　・ 学校からの照会

＃　本人の同意が得られていると考えられる場合

　医療機関等については、第三者への情報の提供のうち、以下に掲げる場合については、黙示による同意が得られていると考えられる。

(1) 患者への医療の提供のために通常必要な範囲の利用目的について、院内掲示等で公表しておくことによりあらかじめ包括的な同意を得る場合　医療機関の受付等で、診療を希望する患者から個人情報を取得した場合、それらが患者自身の医療サービスの提供のために利用されることは明らかである。このため、院内掲示等により公表して、患者に提供する医療サービスに関する利用目的について患者から明示的に留保の意思表示がなければ、患者の黙示による同意があったものと考えられる。
　また、 　(ア) 患者への医療の提供のため、他の医療機関等との連携を図ること
　(イ) 患者への医療の提供のため、外部の医師等の意見・助言を求めること
　(ウ) 患者への医療の提供のため、他の医療機関等からの照会があった場合にこれに応じること
　(エ) 患者への医療の提供に際して、家族等への病状の説明を行うこと
等が利用目的として特定されている場合は、これらについても患者の同意があったものと考えられる。

(2) この場合であっても、黙示の同意があったと考えられる範囲は、患者のための医療サービスの提供に必要な利用の範囲であり、別表１の「患者への医療の提供に必要な利用目的」に示された利用目的に限られるものとする。
　なお、院内掲示等においては、
(ア) 患者は、医療機関が示す利用目的の中で同意しがたいものがある場合には、その事項について、あらかじめ本人の明確な同意を得るよう医療機関に求めることができること。
(イ) 患者が、(ア)の意思表示を行わない場合は、公表された利用目的について患者の同意が得られたものとすること。
(ウ) 同意及び留保は、その後、患者からの申出により、いつでも変更することが可能であること。
をあわせて掲示するものとする。

　※上記(1)の(ア)〜(エ)の具体例 （事例 １）他の医療機関宛に発行した紹介状等を本人が持参する場合
　医療機関等において他の医療機関等への紹介状、処方せん等を発行し、当該書面を本人が他の医療機関等に持参した場合、当該第三者提供については、本人の同意があったものと考えられ、当該書面の内容に関し、医療機関等との間での情報交換を行うことについて同意が得られたものと考えられる。
　例えば、薬局の薬剤師が、処方せんの内容に疑義が生じたため、処方せんを交付した医師に照会を行う場合がこれに該当する。

（事例 ２）他の医療機関等からの照会に回答する場合
　診療所Ａを過去に受診したことのある患者が、病院Ｂにおいて現に受診中の場合で、病院Ｂから診療所Ａに対し過去の診察結果等について照会があった場合、病院Ｂの担当医師等が受診中の患者から同意を得ていることが確認できれば、診療所Ａは自らが保有する診療情報の病院Ｂへの提供について、患者の同意が得られたものと考えられる。

（事例 ３）家族等への説明
　病態等について、本人と家族に対し同時に説明を行う場合には、明示的に本人の同意を得なくても、家族等に対する診療情報の提供について、本人の同意が得られたものと考えられる。

(3) 医療機関等が、労働安全衛生法第６６条、健康保険法第１５０条、国民健康保険法第８２条又は老人保健法第２０条により、事業者、保険者又は市町村が行う健康診断等を受託した場合、その結果である労働者等の個人データを当該事業者等に対して提供することについて、本人の同意が得られていると考えられる。

(4) 介護関係事業者については、介護保険法に基づく指定基準において、サービス担当者会議等で利用者の個人情報を用いる場合には利用者の同意を、利用者の家族の個人情報を用いる場合には家族の同意を、あらかじめ文書により得ておかなければならないとされていることを踏まえ、事業所内への掲示によるのではなく、サービス利用開始時に適切に利用者から文書により同意を得ておくことが必要である。

（４） 「第三者」に該当しない場合 (1) 他の事業者等への情報提供であるが、「第三者」に該当しない場合
　法第２３条第４項の各号に掲げる場合の当該個人データの提供を受ける者については、第三者に該当せず、本人の同意を得ずに情報の提供を行うことができる。医療・介護関係事業者における具体的事例は以下のとおりである。

・ 検査等の業務を委託する場合
・ 外部監査機関への情報提供（（財）日本医療機能評価機構が行う病院機能評価等）
・ 個人データを特定の者との間で共同して利用するとして、あらかじめ本人に通知等している場合 ※ 個人データの共同での利用における留意事項
　病院と訪問看護ステーションが共同で医療サービスを提供している場合など、あらかじめ個人データを特定の者との間で共同して利用することが予定されている場合、(ア)共同して利用される個人データの項目、(イ)共同利用者の範囲（個別列挙されているか、本人から見てその範囲が明確となるように特定されている必要がある）、(ウ)利用する者の利用目的、(エ)当該個人データの管理について責任を有する者の氏名又は名称、をあらかじめ本人に通知し、又は本人が容易に知り得る状態においておくとともに、共同して利用することを明らかにしている場合には、当該共同利用者は第三者に該当しない。
　この場合、(ア)、(イ)については変更することができず、(ウ)、(エ)については、本人が想定することが困難でない範囲内で変更することができ、変更後、本人に通知又は本人の容易に知り得る状態におかなければならない。


＃　 同一事業者内における情報提供であり、第三者に該当しない場合

　同一事業者内で情報提供する場合は、当該個人データを第三者に提供したことにはならないので、本人の同意を得ずに情報の提供を行うことができる。医療・介護関係事業者における具体的事例は以下のとおりである。

・ 病院内の他の診療科との連携など当該医療・介護関係事業者内部における情報の交換
・ 同一事業者が開設する複数の施設間における情報の交換
・ 当該事業者の職員を対象とした研修での利用（特定し、公表した利用目的との関係で、目的外利用として所要の措置を行う必要があり得る）
・ 当該事業者内で経営分析を行うための情報の交換

　このうち、医療・介護関係事業者内部の研修でカルテや介護関係記録等を利用する場合には、具体的な利用方法を含め、あらためて本人の同意を得るか、個人が特定されないよう匿名化する。

■　その他留意事項 ・ 他の事業者への情報提供に関する留意事項

　第三者提供を行う場合のほか、他の事業者への情報提供であっても、
(1)　法令に基づく場合など第三者提供の例外に該当する場合
(2)　「第三者」に該当しない場合
(3)　個人が特定されないように匿名化して情報提供する場合
などにおいては、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないようにすべきである。

（適切ではない例） 　・ 医師及び薬剤師が製薬企業のMR（医薬品情報担当者）、医薬品卸業者のMS（医薬品販売担当者）等との間で医薬品の投薬効果などについて情報交換を行う場合に、必要でない氏名等の情報を削除せずに提供すること。

【法の規定により遵守すべき事項等】 　・ 医療・介護関係事業者においては、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。なお、医療機関等については、（２）の本人の同意を得る必要がない場合に該当する場合には、本人の同意を得る必要はない。

【その他の事項】 　・ 第三者提供に該当しない情報提供が行われる場合であっても、院内や事業所内等への掲示、ホームページ等により情報提供先をできるだけ明らかにするとともに、患者等からの問い合わせがあった場合に回答できる体制を確保する。
　・ 例えば、業務委託の場合、当該医療・介護関係事業者において委託している業務の内容、委託先事業者、委託先事業者との間での個人情報の取扱いに関する取り決めの内容等について公開することが考えられる。 （レセプト作成を外注している場合などが該当するので注意）
　・ 個人情報の第三者提供について本人の同意があった場合で、その後、本人から第三者提供の範囲の一部についての同意を取り消す旨の申出があった場合は、その後の個人情報の取扱いについては、本人の同意のあった範囲に限定して取り扱うものとする。

■　 開示の原則

　医療・介護関係事業者は、本人から、当該本人が識別される保有個人データの開示を求められたときは、本人に対し、書面の交付による方法等により、遅滞なく、当該保有個人データを開示しなければならない。

表１　医療・介護関係事業者の通常の業務で想定される利用目的

（病院、診療所の場合）

別表３　医療関係資格、介護サービス従業者等に係る守秘義務等

（医療関係資格）

■