令和8年 個人情報保護法 改正デスクR8 PIPL WATCH

民間の解説サイトです。個人情報保護委員会などの国の機関の公式の窓口ではなく、届出や相談の受付はしていません。運営者情報

業種別ナビゲーション ／ 更新 2026-11-06

医療・福祉・介護の19業種

業種別の入口から分けた、19業種の節です。業種ごとに、令和8年改正のうちまず見る3テーマを挙げています。

クリニック・電子カルテ・介護・障害福祉・調剤薬局・訪問看護・治験・老人ホームなどの19業種について、先に確認する3テーマを整理します。ほかの業種は業種別の入口にあります。該当するかどうかは個別に判断が必要で、このページは判定しません。

2. クリニック等の医療提供機関

病歴・健康情報など要配慮個人情報を扱い、研究機関との連携もありうる業種です。まず見ておくとよいのは次の3テーマです。

  1. 生命等の保護・公衆衛生向上での同意取得困難性要件の緩和／学術研究機関等への医療提供機関の明示: 医療の提供を目的とする機関・団体が学術研究例外の対象に含まれることが明示される、医療提供機関に直接関係するテーマです。
  2. こどもの個人情報（16歳未満）: 小児科等、16歳未満の患者の個人情報を取り扱う場合に関係します。
  3. 漏えい等報告・本人通知義務の緩和: 健康情報を含むデータの漏えい等が起きた場合の報告・通知の扱いを確認しておく意味があります。

個人情報保護法とは別に、医療情報の加工・提供を定める医療情報法も改正されます。認定事業者との間で医療情報をやり取りする場合は、医療情報法の令和8年改正（16歳未満・命令・罰則）もあわせて確認してください。

24. 電子カルテ・医療情報システムベンダー

複数の医療機関からカルテ・医療情報システムの運用を受託する業種です。2番のクリニック等の医療提供機関（医療を自ら提供する事業者）とは異なり、システムを提供・運用受託する事業者という読者の違いがあります。まず見ておくとよいのは次の3テーマです。

  1. 委託先における個人データ等の適正な取扱い: 複数の医療機関からカルテ・医療情報システムの運用を受託する立場として、委託先としての新しい義務・免除規定に直接関係する、この業種の中心テーマです。
  2. 漏えい等報告・本人通知義務の緩和: 患者の病歴等を含むデータの漏えい等が起きた場合の報告・通知の扱いに関係します。
  3. 課徴金制度: 対象行為に係る本人の数について1,000人を基準とする大規模事案への限定があります。保有する患者データの総数だけで対象になるわけではなく、対象行為・主観的要素・権利利益の侵害等の要件も確認する必要があります。

医療情報を加工して認定事業者へ提供する流れに関わる場合は、医療情報法の令和8年改正の内容も確認してください。

27. 介護事業者（訪問介護・通所介護等）

利用者の病歴等の要配慮個人情報を業務上日常的に取得し、家族への緊急連絡や他の事業者との連携も多い業種です。まず見ておくとよいのは次の3テーマです。

  1. 漏えい等報告・本人通知義務の緩和: 病歴等の要配慮個人情報を含むデータの漏えい等が起きた際の報告・本人通知の負担に関係する、この業種に直接関係するテーマです。
  2. 委託先における個人データ等の適正な取扱い: 個人データ等の処理を他の事業者へ委託する場合は委託元、他の事業者から受託する場合は委託先です。新しい義務・免除規定は、データの取扱いを受託する立場との関係で確認します。
  3. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 家族・緊急連絡先の情報でも、個人情報に当たらない連絡可能な個人関連情報等を扱う場合に確認するテーマです。氏名等と容易に照合できる電話番号は個人情報として扱う点を区別します。

43. 障害福祉サービス・放課後等デイサービス・児童養護施設・児童館

この節で想定する場面は、通所・入所・利用の記録、支援計画、保護者の連絡先など、子どもの個人情報を扱う場合です。

放課後等デイサービスなどの障害福祉サービスに加え、児童養護施設や児童館を、このページでは「子どもの支援や居場所に関わる事業・施設」として同じ入口にまとめます。法令上の業種区分が同じという意味ではありません。3番の学習塾・保育と同じく、16歳未満の子どもと保護者の情報を扱う場面がある一方、支援記録など取扱いの場面は施設ごとに異なります。まず見ておくとよいのは次の3テーマです。

  1. こどもの個人情報（16歳未満）: 利用する子どもが16歳未満の場合の、通知・同意取得への法定代理人の関与と、利用停止等請求の要件緩和に関係します。「本人」が「法定代理人」に読み替わる条文は16歳未満の読替表で確認できます。福祉分野の個別のガイドライン等との関係は、このサイトでは未確定として扱います。
  2. 漏えい等報告・本人通知義務の緩和: 通所・入所・利用の記録や支援記録を含むデータの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
  3. 委託先における個人データ等の適正な取扱い: 記録や請求のシステム、送迎の運用などを外部に任せている場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。

心身の状況に関する記録が特別な扱いを要する情報に当たるか、福祉分野の個別の指針がどう適用されるかは、取得する項目と事業・施設の内容によります。このサイトでは判断できないため、顧問弁護士または個人情報保護委員会にご確認ください。

45. 調剤薬局・歯科医院

この節で想定する場面は、調剤録・診療録、要配慮個人情報、予約・レセプト業務の委託を扱う場合です。

調剤録・診療録のように病歴などの要配慮個人情報を含む記録を扱い、予約システムやレセプト（診療報酬の請求）に関わる業務を外部に任せている場合がある業種です。歯科医院では小児の患者も来院します。まず見ておくとよいのは次の3テーマです。

  1. 委託先における個人データ等の適正な取扱い: 予約システムやレセプト関連の業務を外部に任せ、患者の個人データを預けている場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  2. 漏えい等報告・本人通知義務の緩和: 調剤録・診療録など健康情報を含むデータの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
  3. こどもの個人情報（16歳未満）: 小児の患者の記録や保護者の連絡先を扱う場合に、法定代理人の関与が関係します。「本人」が「法定代理人」に読み替わる条文は16歳未満の読替表で確認できます。

医療情報の加工・提供を定める医療情報法も改正されます。認定事業者との間で医療情報をやり取りする場合は、医療情報法の令和8年改正（16歳未満・命令・罰則）もあわせて確認してください。医療提供機関への学術研究例外の扱いは、2番のクリニック等の医療提供機関も参照してください。

55. 訪問看護ステーション

この節で想定する場面は、利用者宅での記録、タブレット・スマホでの持ち出し、家族への情報提供、記録システムの委託を扱う場合です。

利用者の自宅を訪問して看護を行い、看護記録をタブレットやスマートフォンで入力し、家族へ状況を伝え、記録システムの運用を外部に任せている場合がある事業者です。病歴は、法第2条第3項が要配慮個人情報の例として挙げています（e-Gov法令検索で確認）。ガイドライン（通則編3-5-3）は、要配慮個人情報が含まれる個人データの漏えい等を委員会への報告の対象としています。介護分野の一般的な整理は27番の介護事業者にもあります。まず見ておくとよいのは次の3テーマです。

  1. 漏えい等報告・本人通知義務の緩和: 記録を入れた端末の紛失や盗難、訪問先での誤送信などで、病歴を含む個人データの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
  2. 委託先における個人データ等の適正な取扱い: 看護記録のシステムの運用や保守を外部の事業者に任せている場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  3. 生命等の保護・学術研究例外: 急変時などに家族や他の医療機関へ利用者の情報を伝える場面で、第三者提供の同意が関係します。改正は、同意を得ることが困難であるときに限らず、同意を得ないことに相当の理由があるときも例外とする内容です。どの場面が当たるかは個別の事情によります。

家族に情報を伝えてよいか、利用者本人の同意がどこまで必要かは、このサイトでは個別の場面の判断はできません。顧問弁護士または個人情報保護委員会にご確認ください。

61. 整骨院・接骨院・鍼灸院・整体院

この節で想定する場面は、施術録、予約・問診票、保険請求の委託、施術部位の写真を扱う場合です。

来院者の問診票や施術録に、症状・けがの状況・通院の経過を書き、予約システムや保険請求の事務を外部に任せ、施術部位の写真を撮ることがある施術所です。身体の状況や診療・施術の経過に関する記録は、要配慮個人情報（法第2条第3項）に当たる記述を含み得ます。政令（施行令第2条）は、医師等により行われた健康診断等の結果や、心身の状況を理由に医師等により指導・診療・調剤が行われたことなどを要配慮個人情報の記述として定めています（e-Gov法令検索で確認）。施術録の内容がこれに当たるかは記録の中身によるため、このサイトでは判断できません。まず見ておくとよいのは次の3テーマです。

  1. 委託先における個人データ等の適正な取扱い: 予約システムや保険請求の事務、施術録の保管システムを外部の会社に任せ、来院者の氏名・連絡先や施術の記録を渡している場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  2. 漏えい等報告・本人通知義務の緩和: 施術録や問診票を入れた端末の紛失、予約システムへの不正アクセス、メールの誤送信などで個人データの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
  3. こどもの個人情報（16歳未満）: 小児の来院者の問診票や、保護者の連絡先を扱う場合に、法定代理人の関与が関係します。「本人」が「法定代理人」に読み替わる条文は16歳未満の読替表で確認できます。

施術部位の写真を症例紹介や広告に使えるか、保険請求のために提供できる範囲は、同意の取り方や契約によって変わるため、このサイトでは判断できません。顧問弁護士、所管の保健所または個人情報保護委員会にご確認ください。

63. 健康診断機関・産業医サービス・ストレスチェック代行事業者

この節で想定する場面は、受診者の健診結果、企業への結果提供、検査機関への委託を扱う場合です。

受診者の健康診断の結果を受け取って管理し、受診を手配した企業へ結果を知らせ、検体の検査を外部の検査機関に任せている場合がある事業者です。健康診断の結果は、政令（施行令第2条第2号）が要配慮個人情報の記述として定める「疾病の予防及び早期発見のための健康診断その他の検査の結果」に当たり得ます（e-Gov法令検索で確認）。ストレスチェックの結果や産業医の面談記録が当たるかは内容によるため、このサイトでは判断できません。まず見ておくとよいのは次の3テーマです。

  1. 委託先における個人データ等の適正な取扱い: 検体の検査、結果通知システムの運用、受診予約の受付などを外部の会社に任せ、受診者の氏名・生年月日や健診結果を渡している場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  2. 漏えい等報告・本人通知義務の緩和: 健診結果の入った端末や書類の紛失、結果通知システムへの不正アクセス、企業あて・本人あての誤送付などで個人データの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
  3. 目的外利用等の緩和: 受診を手配した企業と結んだ契約に基づいて結果を企業へ提供する場面など、契約の履行に伴う第三者提供の整理に関係し得ます。どの範囲まで同意なしに提供できるかは契約や取得時の説明によって変わるため、このサイトでは判断できません。

企業へ結果を提供してよい範囲や、本人の同意の取り方は、契約や提供する情報の中身によって変わります。他の法令に基づく取扱いもあるため、顧問弁護士または個人情報保護委員会にご確認ください。

77. 社会福祉協議会・社会福祉法人

この節で想定する場面は、ボランティアの登録、生活福祉資金などの相談記録、福祉サービス利用者の記録、市町村から委託を受けた相談・支援の事業です。

社会福祉協議会（社協）や社会福祉法人など、ボランティアや会員の登録情報を持ち、生活上の困りごとの相談を受けて記録し、市町村から相談や支援の事業を受託する組織です。相談の記録には、病歴、障害の内容、生活保護の受給、経済状況といった、取扱いに配慮が必要な情報が含まれることがあります。介護事業そのものは介護事業者の節に、障害福祉サービスは障害福祉サービス事業者の節に、保育や習い事は学習塾・保育の節に、公共施設の指定管理は指定管理者の節にあり、この節はそれらと重ならない部分、つまり相談記録と、市町村から受託した事業での情報の扱いに絞っています。法律上の秘密保持の定めは個人情報保護法とは別にあります。社会福祉法の第106条の4第6項は、市町村から重層的支援体制整備事業の委託を受けた者の役員・職員などに、正当な理由なく事業に関して知り得た秘密を漏らすことを禁じ、同法の第106条の6第6項は、支援会議の事務に従事する者について同じ趣旨を定めています。違反には1年以下の拘禁刑または100万円以下の罰金があります（同法の第159条。e-Govの条文で2026-10-13に確認）。個人情報保護法上の義務と、この秘密保持の義務は別々に確認します。

  1. 委託先における個人データ等の適正な取扱い: 市町村から相談や支援の事業を受託している場合は、受託した側として、委託された業務に必要な範囲を超えて取り扱ってはならないという義務が明文化されます（法第30条の3）。委託元の市町村の条例や契約の特記事項と、自組織が負う民間事業者としての義務を分けて確認します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  2. 漏えい等報告・本人通知義務の緩和: 相談記録の誤送付、ボランティア登録名簿の紛失、利用者情報を入れたパソコンへの不正アクセスなどで漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
  3. 目的外利用等の規律緩和: 相談の過程で、病歴や障害などの要配慮個人情報を取得したり、関係機関に共有したりする場面で、本人の同意が必要かどうかに関係します。契約の履行に伴うなど、取得の状況から本人の意思に反しないことが明らかな場合に同意が不要になる新しい例外が設けられました。どの場面が当たるかは、ガイドライン等でまだ示されていません。

相談記録を関係機関とどこまで共有してよいか、ボランティアの登録情報の保存期間、市町村からの照会への回答など、個別の場面の判断はこのサイトではできません。顧問弁護士または個人情報保護委員会にご確認ください。

82. 治験依頼者・CRO・SMO・臨床研究の実施機関

この節で想定する場面は、被験者情報、医療機関からの提供、委託先への提供、仮名化データを扱う場合です。

治験や臨床研究で被験者の病歴や検査結果を受け取り、実施する医療機関から情報の提供を受け、CRO（開発業務受託機関）やSMO（治験施設支援機関）などの委託先に渡し、氏名等を置き換えたデータを扱う場合がある事業者・機関です。被験者の病歴などは要配慮個人情報に当たり得ます（法第2条第3項）。要配慮個人情報の取得は原則として本人の同意が必要で（法第20条第2項）、個人データの第三者提供も原則として同意が必要です（法第27条第1項）。ただし、学術研究機関等が学術研究目的で取り扱う場合などの例外が、取得（法第20条第2項第5号から第7号まで）と第三者提供（法第27条第1項第5号から第7号まで）に置かれています（e-Gov法令検索で確認）。大学病院などが学術研究機関等に当たるか、製薬会社や委託先の会社が当たるか、その例外のどれに当たるかは、事業者の性質と取扱いの目的によって変わるため、このサイトでは判断できません。まず見ておくとよいのは次の3テーマです。

  1. 学術研究・公衆衛生に関する規律: 同意を得ることが困難な場合の要件緩和と、病院等を学術研究機関等に明示的に含める改正に関係します。ガイドラインで示される細目はまだ確定していません。
  2. 委託先における個人データ等の適正な取扱い: データの管理、症例報告書の作成、被験者対応などをCROやSMOに任せている場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  3. 漏えい等報告・本人通知義務の緩和: 被験者の情報を入れた端末の紛失、委託先への誤送信、データ管理システムへの不正アクセスなどで漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。

氏名等を置き換えたデータは、法の仮名加工情報（法第41条）に当たるものとして作る場合、第三者に提供できないなどの定めがあります（同条第6項）。個人情報として扱う場合との切り分けは仮名加工情報の改正のページを見てください。治験や臨床研究には、個人情報保護法のほかに、医薬品や医療機器に関する法令や、研究についての国の指針など別の定めがあります。この節は個人情報保護法の条文だけを扱い、それらの定めは説明の対象外です。同意の取り方、提供の可否、仮名加工情報に当たるかは、このサイトでは判断できません。顧問弁護士、実施機関の倫理審査の窓口または個人情報保護委員会にご確認ください。

107. ヘルスケアアプリ・オンライン診療サービス・ウェアラブル機器の事業者

この節で想定する場面は、健康データ、診療予約、医療機関との連携、顔や生体データの取得を扱うアプリやサービスを提供する場面です。

歩数・心拍・睡眠・体重を記録するアプリ、オンライン診療の予約や問診を受け付けるサービス、身につけて使う計測機器の事業者には、利用者の健康に関する記録、問診票の内容、診療予約の日時と医療機関名、機器が取得した計測値や顔・指紋などの生体データが集まります。個人情報保護法は、本人の病歴などを含む個人情報を要配慮個人情報と定め（法第2条第3項）、偽りその他不正の手段による取得を禁じ（法第20条第1項）、要配慮個人情報は法令に基づく場合などを除き、あらかじめ本人の同意を得ずに取得してはならないとしています（同条第2項）。歩数や心拍の記録そのものが要配慮個人情報に当たるかは、記録の内容と取扱いによって変わるため、このサイトでは判断しません。医療機関との連携がある場合は、医療分野の法令との関係を医療分野の法令の整理で確認してください。先に見ておくとよいのは次の3テーマです。

  1. 漏えい等報告・本人通知義務の緩和: 健康記録や問診内容の流出、アプリの設定不備による他の利用者への表示、計測機器と連携するクラウドからの流出などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  2. 委託先における個人データ等の適正な取扱い: アプリの開発・保守、クラウドの運用、ビデオ通話の基盤、問診データの保管を外部に任せている場合の監督（法第25条）と、任される側の義務（法第30条の3）が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  3. 顔特徴データ等: 顔認証でのログインや本人確認、指紋・声紋などの生体データの取得を行う場合に関係します。対象となるデータの範囲と必要な手続は政令の決定待ちの部分があり、決まっていない事項は確定として書けません。

どの情報が要配慮個人情報に当たるか、事業者がどの法令の適用を受けるか、医療機関との間で誰が個人データを取り扱う立場になるかは、サービスの内容と契約の実態によって変わるため、このサイトでは判断できません。顧問弁護士、所管の行政庁、個人情報保護委員会にご確認ください。

114. 美容医療・不妊治療・自由診療クリニック

この節で想定する場面は、自由診療の施術前後の写真、オンライン予約・問診、口コミへの対応を扱う場合です。

美容外科・美容皮膚科・不妊治療・その他の自由診療を行うクリニックでは、病歴・治療歴にあたる情報に加えて、施術前後の写真、オンライン予約や事前問診の回答、口コミサイトに投稿された感想への返信の場面で患者の情報に触れる点が特徴です。一般の医療提供機関の整理はクリニック等の医療提供機関、サロンの施術カルテは美容室・エステ・脱毛サロンの節で扱っているため、ここでは重ねず、自由診療で目立つ場面に絞ります。個人情報保護法は、病歴などを含む個人情報を要配慮個人情報とし（法第2条第3項）、あらかじめ本人の同意を得ないで取得することを、法令に基づく場合などを除いて禁じています（法第20条第2項）。個人データの取扱いを委託するときは、委託を受けた者への必要かつ適切な監督が求められます（法第25条）。先に見ておくとよいのは次の3テーマです。

  1. 漏えい等報告・本人通知義務の緩和: 施術前後の写真、問診の回答、治療歴を載せたシステムへの不正アクセスや、患者あての連絡の誤送付などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  2. 委託先における個人データ等の適正な取扱い: オンライン予約、事前問診、写真の保管、カウンセリング予約の受付を外部のサービスに任せている場合、任せる側の監督（法第25条）と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  3. 罰則（2027年1月17日施行）: 業務で取り扱った個人情報データベース等を不正な利益を図る目的で提供または盗用する行為は、不正提供等罪の対象です。患者の名簿や症例写真の持ち出しは、従業者による持ち出しの典型として想定される場面に関係します。

口コミへの返信で、患者本人であることや治療の内容に触れてよいか、症例写真を広告やウェブサイトに載せるときの同意の取り方と範囲、施術前後の写真が顔の特徴を変換したデータ（顔特徴データ）に当たるか、予約システムの提供事業者が委託を受けた立場かは、事業の内容と実際の運用によって変わるため、このサイトでは判断できません。医療法・医療広告に関する定めなど個人情報保護法以外の法律の関わりも同じです。顧問弁護士、所管の行政庁、個人情報保護委員会にご確認ください。

119. 福祉用具貸与・販売事業者

この節で想定する場面は、利用者の心身の状況を聞き取って用具を選び、担当のケアマネジャーと情報を共有し、納品や点検の訪問で写真を残す場面です。

福祉用具貸与・販売事業者には、利用者と家族の氏名・住所・連絡先、心身の状況や病歴にかかわる聞き取りの内容、ケアマネジャーとやり取りする書類、納品や点検のときに撮った室内や用具の写真が残ります。病歴は、個人情報保護法で要配慮個人情報の例に挙げられています（法第2条第3項）。訪問介護や通所介護の事業者は27番の介護事業者の節で扱っているため、ここでは重ねず、用具の選定と納品に絞ります。個人情報を取得したときは、あらかじめ利用目的を公表している場合を除き、速やかに利用目的を本人に通知または公表することが求められます（法第21条第1項）。個人データを第三者に提供するときは、法令に基づく場合などを除き、あらかじめ本人の同意を得ることが必要です（法第27条第1項）。先に見ておくとよいのは次の3テーマです。

  1. 漏えい等報告・本人通知義務の緩和: 利用者の心身の状況を書いた書類の誤送付、貸与台帳を載せたシステムへの不正アクセス、訪問時の写真を保存した端末の紛失などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  2. 委託先における個人データ等の適正な取扱い: 用具の消毒・保管・配送、貸与台帳の管理システムを外部に任せている場合、任せる側の監督（法第25条）と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  3. 罰則（2027年1月17日施行）: 業務で取り扱った個人情報データベース等を不正な利益を図る目的で提供または盗用する行為は、不正提供等罪の対象です。利用者の名簿や貸与台帳の持ち出しは、従業者による持ち出しの典型として想定される場面に関係します。

ケアマネジャーや他の事業者との情報共有が第三者提供に当たるか、同意をどの場面でどう得るか、訪問時に撮った写真をいつまで保存してよいかは、契約と運用の実態によって変わるため、このサイトでは判断できません。介護保険法や運営基準など個人情報保護法以外の法律の関わりも同じです。顧問弁護士、所管の行政庁、個人情報保護委員会にご確認ください。

127. 眼鏡店・コンタクトレンズ販売店・補聴器販売店

この節で想定する場面は、視力や聴力などの検査記録の保管、会員情報の管理、医療機関との連携を扱う場面です。

眼鏡店・コンタクトレンズ販売店・補聴器販売店には、顧客の氏名・生年月日・連絡先、視力や聴力などの測定や検査の記録、購入履歴と調整の履歴、会員カードの情報、医療機関で受けた検査の結果や処方の内容、店内の防犯カメラの映像が残ります。調剤薬局・歯科医院は45番の節、店舗の防犯カメラの一般的な論点は9番の小売店舗・商業施設運営者にあり、ここでは医療機関ではない小売の店が検査に近い記録を扱う場面に絞ります。要配慮個人情報は、本人の人種、信条、社会的身分、病歴、犯罪の経歴などのうち、不当な差別や偏見が生じないよう取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報です（法第2条第3項）。視力や聴力の検査記録、医療機関から受け取った情報が要配慮個人情報に当たるかは、記録された内容によって変わるため、このサイトでは判断できません。要配慮個人情報を取得するときは、例外を除き、あらかじめ本人の同意を得ることが必要です（法第20条第2項）。個人データを第三者に提供するときも、例外を除き、あらかじめ本人の同意が必要です（法第27条第1項）。先に見ておくとよいのは次の3テーマです。

  1. 漏えい等報告・本人通知義務の緩和: 検査記録を載せた顧客カードの紛失、会員への案内メールの誤送信、顧客管理システムへの不正アクセスなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  2. 委託先における個人データ等の適正な取扱い: 顧客管理や予約のシステムの事業者、検査機器のデータ保管サービス、配送や修理を担う事業者に個人データを渡している場合に関係します。任せる側の監督の義務と、委託を受けた側の新しい規定が、委託先の取扱いに関する改正の論点です。規則で定める内容は未確定です。
  3. 目的外利用等の規律緩和: 医療機関と検査の結果や処方の内容をやり取りする場面など、要配慮個人情報の取得や第三者提供に本人の同意を求める規律に関係します。この同意の例外について、改正法で新しい例外が設けられますが、対象となる範囲は規則待ちで未確定です。

検査記録が要配慮個人情報に当たるか、医療機関から情報を受け取るときの本人の同意の取り方、メーカーや修理先への情報の提供が委託か第三者提供か、家族が代わりに来店したときに記録を伝えてよい範囲、記録の保管期間は、店舗の運用の実態によって変わるため、このサイトでは判断できません。医療機器に関する法令など個人情報保護法以外の定めの関わりも同じです。顧問弁護士、個人情報保護委員会にご確認ください。

129. 健康保険組合・共済組合・企業年金基金（加入者・被扶養者の情報を扱う場合）

この節で想定する場面は、加入者と被扶養者の情報を事業主から受け取り、給付の事務や保健事業を行い、事務の一部を委託先の事務センターなどに任せている場面です。

健康保険組合・共済組合・企業年金基金には、加入者・被扶養者の氏名・生年月日・住所・続柄、資格の取得や喪失の記録、医療費の請求（レセプト）や健康診断の結果、保健指導の記録、年金の給付に関する情報が残ります。事業主が従業員の健康情報を扱う場面は従業員・応募者・退職者の個人情報、医療機関の側はクリニック等の医療提供機関にあります。ここでは、加入者・被扶養者の情報を預かる組合や基金の側に絞ります。まず見ておくとよいのは次の3テーマです。

  1. 委託先における個人データ等の適正な取扱い: 給付の事務や保健事業を事務センターや健診・保健指導の事業者に任せ、加入者の情報を渡している場合に関係します。委託に伴う提供は、法第27条第5項第1号により提供を受ける者が第三者に当たらないとされる場合があり、任せる側の監督（法第25条）と、任される側に新設される規定の両方が論点になります。規則で定める内容は未確定です。
  2. 漏えい等報告・本人通知義務の緩和: 加入者への通知書類の誤送付、給付の連絡の宛先の誤り、事務センターの端末の紛失、システムへの不正アクセスなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  3. 目的外利用等の規律緩和: 病歴や健康診断の結果のような要配慮個人情報を取得するときは、法第20条第2項で原則として本人の同意が必要で、法令に基づく場合などの例外が列挙されています。改正法で新しい例外が設けられますが、対象となる範囲は規則待ちで未確定です。

組合や基金の取扱いが法のどの類型の規律に当たるか、事業主から受け取る情報と組合が自ら取得する情報の区別、保健事業の委託が委託に当たるのか共同利用や第三者提供に当たるのか、医療費の通知や健診結果の本人以外への案内の範囲は、組織の根拠法や運用によって変わるため、このサイトでは判断できません。健康保険法など個人情報保護法以外の定めの関係も判断しません。顧問弁護士、個人情報保護委員会にご確認ください。

135. 医薬品・医療機器メーカー・医薬品卸・MR活動

この節で想定する場面は、医療従事者の氏名・勤務先・連絡先を名簿にして情報提供の活動に使い、副作用などの情報を医療機関から受け取り、患者向けの支援プログラムで患者の登録を受け付け、販売や情報提供の一部を外部の事業者に任せている場面です。

治験を扱う82番の治験依頼者・CRO・SMO、調剤や歯科医療を行う45番の調剤薬局・歯科医院、24番の電子カルテ・医療情報システムベンダーとは、業態も情報の入り方も違います。ここでは販売された後の医薬品・医療機器について、医療現場と接点を持つ事業者に絞ります。MR（医薬情報担当者）の活動では、医療従事者の氏名・所属・診療科・連絡先、面談や情報提供の記録、講演会や説明会の参加者の名簿が残ります。副作用などの情報の収集では、報告する医療従事者の情報に加えて、患者の年齢・性別・病歴・服用の状況が入ることがあります。製造販売業者は副作用などによるものと疑われる疾病・障害・死亡の発生などを知ったときに厚生労働大臣へ報告する定めがあり（医薬品医療機器等法第68条の10第1項）、この報告は個人情報保護法の「法令に基づく場合」（法第18条第3項第1号、第27条第1項第1号）に関わります。どの情報がどこまで報告に含まれるかは、このサイトでは判断しません。まず見ておくとよいのは次の3テーマです。

  1. 委託先における個人データ等の適正な取扱い: 医療従事者への情報提供の一部、患者支援プログラムの運営、問い合わせ窓口、物流や在庫管理などを外部の事業者に任せ、医療従事者や患者の情報を渡している場合に関係します。任せる側の監督（法第25条）と、任される側に新設される義務（法第30条の3）の両方が論点になります。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  2. 漏えい等報告・本人通知義務の緩和: 医療従事者の名簿や面談記録を入れた端末の紛失、患者支援プログラムの登録情報の誤送信、副作用情報の管理システムへの不正アクセスなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  3. オプトアウト制度の強化: 医療従事者の名簿を、外部の名簿事業者や医療従事者向け会員サイトの運営者から受け取って活動に使う場合に関係します。オプトアウトで個人データを提供する側に、提供先の身元と利用目的を確認する義務が新設されます（法第27条第7項）。確認の方法は委員会規則で定めるとされ、未確定です。

患者の病歴は要配慮個人情報に当たり得て（法第2条第3項）、取得には原則として本人の同意が要りますが、法令に基づく場合などは例外です（法第20条第2項）。患者支援プログラムで集める情報の利用目的の通知や明示（法第21条）、登録した情報を別の販促に使うことが利用目的の範囲内か（法第18条）も論点です。医療従事者向けの情報提供の方法、広告の規制、副作用報告の実務、業界の自主基準は、このサイトでは判断しません。個人情報保護法のほかに医薬品医療機器等法などの法令が関係するため、顧問弁護士または個人情報保護委員会にご確認ください。

137. 遺伝子検査・ゲノム解析・バイオバンク

対象: 遺伝子検査サービス・ゲノム解析事業者・バイオバンク・検体を扱う研究機関

この節で想定する場面は、利用者が唾液や血液などの検体を送って体質や病気のかかりやすさの検査結果を受け取り、検体の解析を外部の検査ラボに任せ、集めた検体と結果を研究や新しい検査の開発にも使いたい場面です。検体を保管するバイオバンクや、検体を扱う大学・研究機関も含みます。

治験を扱う82番の治験依頼者・CRO・SMO、診療や調剤を行う45番の調剤薬局・歯科医院、24番の電子カルテ・医療情報システムベンダーとは、情報の入り方が違います。ここでは利用者や提供者から検体を預かり、DNAの情報を結果として返したり研究に使ったりする事業者に絞ります。細胞から採取されたDNAを構成する塩基の配列を、電子計算機の用に供するために変換した符号は、特定の個人を識別するに足りるものとして個人情報保護委員会規則で定める基準に適合する場合に、個人識別符号に当たります（施行令第1条第1号イ）。個人識別符号が含まれる情報は個人情報です（法第2条第1項第2号）。どの検査のデータが規則の基準に適合するかは、このサイトでは判断しません。

  1. 委託先における個人データ等の適正な取扱い: 検体の解析を外部の検査ラボに任せる、結果の通知や会員サイトの運用を外部の事業者に任せるなど、検査結果や検体に付けた番号と利用者の情報を渡している場合に関係します。任せる側の監督（法第25条）と、任される側に新設される義務（法第30条の3）の両方が論点になります。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
  2. 漏えい等報告・本人通知義務の緩和: 検査結果のファイルの誤送信、会員サイトへの不正アクセス、検体の取り違えや紛失などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  3. 学術研究・公衆衛生に関する規律の見直し: 集めた検体と結果を研究に使う場合に関係します。学術研究機関等が学術研究目的で要配慮個人情報を取り扱う必要があるときなどは、取得の同意の例外が置かれています（法第20条第2項第5号・第6号）。事業者が学術研究機関等に当たるか、研究の目的の一部にとどまる場合をどう扱うかは、リンク先の改正の内容と、ガイドラインで明確化が想定される部分を確認してください。

検査結果が病歴や、医師等が行った健康診断等の結果に当たる場合は、要配慮個人情報に当たり得ます（法第2条第3項、施行令第2条第2号・第3号）。要配慮個人情報の取得には、法令に基づく場合などを除き、原則として本人の同意が要ります（法第20条第2項）。消費者向けの検査の結果が要配慮個人情報に当たるか、検体そのものが個人情報に当たるか、研究に使う同意の取り方、血縁者の情報の扱いは、検査の内容と事案ごとに異なるため、このサイトでは判断しません。遺伝情報の取扱いには個人情報保護法以外の指針や法令も関係しうるため、顧問弁護士または個人情報保護委員会にご確認ください。

138. 子ども食堂・フードバンク・生活困窮者支援

対象: 子ども食堂・フードバンク・生活困窮者支援団体・地域の見守り活動

この節で想定する場面は、利用する世帯の氏名・人数・連絡先を記録し、ひとり親であることや生活の事情を聞き取り、ボランティアの名簿を作り、活動の写真を会報やSNSに載せ、行政や社会福祉協議会と利用者の情報をやりとりする場面です。ボランティアが中心の小さな団体や、任意団体も含みます。

法人格のあるNPOはNPO・非営利団体の記事、社会福祉協議会は社会福祉協議会の節、住民組織は48番のマンション管理組合・自治会・町内会で扱います。ここでは支援を受ける世帯の事情を聞き取って記録する、小規模な支援団体に絞ります。個人情報取扱事業者は、個人情報データベース等を事業の用に供している者で、国の機関などを除きます（法第16条第2項）。営利かどうか、法人かどうか、人数や件数の下限は、この定義の条文にはありません。利用世帯の名簿やボランティアの名簿を、検索できるように整理していれば、個人情報データベース等に当たり得ます（法第16条第1項）。

  1. 漏えい等報告・本人通知義務の緩和: 利用世帯やボランティアの名簿を入れた私物の端末の紛失、一斉メールの宛先の誤り、共有のクラウドの公開範囲の設定ミスなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  2. こどもの個人情報の保護: 利用する子どもの氏名・学年・アレルギーの情報や、活動の写真を扱う場合に関係します。16歳未満の子どもについて同意や通知の相手を法定代理人とする改正が入ります。対象となる年齢や例外は、政令待ちの部分を含めてリンク先で確認できます。
  3. 目的外利用等の規律緩和: 食事の案内のために集めた連絡先を、寄付の呼びかけや別の事業の案内に使う場合の、利用目的の範囲（法第18条）に関係します。同意を要しない例外が広がる改正の内容と、規則で定める範囲が未確定の部分は、リンク先で確認できます。

利用世帯の事情の記録に、障害があること、病歴、社会的身分に当たり得る記述が入ると、要配慮個人情報に当たり得ます（法第2条第3項、施行令第2条第1号）。取得には、法令に基づく場合などを除き、原則として本人の同意が要ります（法第20条第2項）。行政や社会福祉協議会に利用者の情報を渡す場合は、原則として本人の同意が要り、例外の各号（法第27条第1項）に当たるかは事案ごとに異なります。利用目的の通知や公表（法第21条）を、聞き取りの場や掲示でどう行うか、写真の掲載に当たって何をどこまで伝えるか、困窮の事情が要配慮個人情報に当たるかは、このサイトでは判断しません。顧問弁護士、地域の支援組織、または個人情報保護委員会にご確認ください。

141. 有料老人ホーム・サ高住・グループホーム

対象: 有料老人ホーム・サービス付き高齢者向け住宅・グループホーム等の入居系高齢者施設（入居者と身元引受人・家族の情報、介護記録、居室や共用部のカメラ、入居紹介事業者への共有）

この節で想定する場面は、高齢者が暮らす住まいとして運営する施設が、入居者の情報に加えて、身元引受人や家族の連絡先、日々の介護記録、居室や廊下・玄関のカメラの映像を扱い、入居の紹介を受ける事業者などともやり取りする場面です。

27番の介護事業者は訪問介護・通所介護などのサービスを届ける側、119番の福祉用具貸与・販売事業者は用具を届ける側、67番の見守りカメラのメーカー・販売事業者は機器を作って売る側です。ここでは、入居者が暮らす場所を運営する側が、入居者本人・身元引受人・家族・紹介事業者の情報をどう扱うかに絞ります。

個人情報保護委員会の「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」のQ&Aは、対象となる「介護関係事業者」には、介護保険制度によるサービスを提供する事業者だけでなく、介護保険の指定を受けずに有料老人ホームを経営する者や、養護老人ホーム、ケアハウス等も広く含まれると説明しています（Q1-5）。サービス付き高齢者向け住宅など、ほかの形態の施設がどの範囲に入るかは運営の中身で変わるため、このサイトでは判断しません（確認日 2026-10-14）。

入居者の暮らしの場面ごとの確認の観点（該当性の判定ではありません）
場面確認すること資料で確かめられること
身元引受人・家族の連絡先、介護記録に書かれる家族の情報入居時の書類や記録に、入居者本人以外のだれの情報が入っているか。何の目的で使うかガイダンスQ&A（Q2-2）は、診療録や介護関係記録に患者・利用者の家族に関する情報が記載されている場合、その家族の個人情報を保有していることになると説明する
介護記録・ケアプラン・事故の記録どこに保管し、だれが見られるか。外部の事業者や記録システムに預ける場面があるかガイダンス本文は、ケアプラン、介護サービス提供にかかる計画、提供したサービス内容等の記録、事故の状況等の記録を、介護関係事業者における個人情報の例に挙げる
行事の写真・広報誌・ホームページ入居者が写る写真を載せる前に、本人の同意をどう取るかガイダンスQ&A（A4-15）は、個人を識別できる写真は個人情報に当たり、ホームページや機関誌への掲載、施設内への展示等で第三者の閲覧に供するときは、原則として本人の同意を得る必要があると説明する
入居紹介事業者・ほかの施設・病院への情報提供渡す情報の範囲、本人の同意、渡し先が委託先に当たるか法第27条第1項は、例外を除き、あらかじめ本人の同意を得ないで個人データを第三者に提供してはならないと定める（e-Govで確認）。ガイダンスQ&A（A4-14）は、特別養護老人ホーム・介護老人保健施設・介護医療院は、指定基準で、居宅介護支援事業者等へ入所者の情報を提供する際にあらかじめ文書による同意を得るとされていると説明する。有料老人ホーム等に同じ定めがあるかは、このサイトでは判断しない
居室・廊下・玄関のカメラ録画だけか、顔の特徴で人を識別する機能があるか。映像を見る人、保存期間、入居者・家族への説明録画だけの通常の防犯カメラは9番、顔識別機能付きは顔特徴データ等のページで扱う。居室内で見守る可否や方法は、施設と入居者・家族の取り決めやほかの法令にも関わるため、このサイトでは判断しない

令和8年改正で確認するテーマは次のとおりです。決まっていないことは、まだ決まっていないものとして書いています。

  1. 漏えい等報告・本人通知義務の緩和: 介護記録、入居者の病歴等を含む情報、身元引受人・家族の連絡先を含むデータが漏えい等した場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
  2. 委託先における個人データ等の適正な取扱い: 給食・清掃・夜間の見守り・記録システム・入居相談の窓口などを外部に任せ、個人データの取扱いを伴う場合に関係します。任せる側の監督（法第25条）と、任される側に新設される義務（法第30条の3）が論点です。ある取引が委託に当たるかは契約の中身で変わり、規則で定める内容は未確定です。
  3. 顔特徴データ等: 共用部や玄関のカメラで、顔の特徴を使って入居者や来訪者を識別できるようにしている場合に関係します。周知・オプトアウト提供の禁止・利用停止等請求の3つの規律が新設される改正で、政令で定める事項は未確定です。

入居紹介事業者との契約が委託か第三者提供か、身元引受人にどこまで情報を伝えてよいか、居室内のカメラの設置の可否は、施設の実態や契約の内容によって変わるため、このサイトでは判断できません。個人情報保護法以外の法令も関係するため、顧問弁護士、個人情報保護委員会にご確認ください。

出典