健康情報は要配慮個人情報｜取得・第三者提供のルールと実務対応

結論から言うと、病歴や健康診断の結果などの健康情報は、個人情報保護法上の「要配慮個人情報」にあたります。取得するときも第三者に提供するときも、原則としてあらかじめ本人の同意が必要です。また、通常の個人データでは認められるオプトアウトによる第三者提供は、要配慮個人情報には使えません。

法務情報サイトBUSINESS LAWYERSが、令和8年の個人情報保護法改正について、ヘルスケア業界への影響と実務上のポイントを解説する記事を公開しました。ヘルスケア分野で扱う健康情報には、通常の個人情報より厳しいルールが課されています。そこで、改正の議論を理解する前提として、現行法の基本ルールを関連条文から調べました。本記事では、要配慮個人情報に含まれる健康情報の範囲を整理します。そのうえで、取得と第三者提供の原則と例外、外国への提供や記録義務、実務上の留意点を確認します。なお、改正内容そのものの解説は本記事の対象外です。

要配慮個人情報とは何か：健康情報はどこまで含まれるか

「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪被害に関する情報などを指します。不当な差別や偏見、その他の不利益が生じるおそれがある情報です。そのため、個人の権利利益を保護する観点から、特に厳格な取扱いが求められています。個人情報保護委員会のガイドライン（通則編）やQ&Aでも、その定義と留意点が解説されています。

政令・規則で具体化されている健康関連の情報

「病歴」は法律上の定義に直接含まれています。これに加えて、個人情報の保護に関する法律施行令第2条が、要配慮個人情報となる記述等を定めています。健康情報に関係するのは主に次の3つです。

• 身体障害、知的障害、精神障害（発達障害を含む）その他の心身の機能の障害があること（施行令第2条第1号）
• 医師その他医療に関連する職務に従事する者（医師等）が本人に行った健康診断その他の検査の結果（同条第2号）
• 健康診断等の結果に基づいて、または疾病、負傷その他の心身の変化を理由として、医師等が本人に心身の状態改善のための指導、診療、調剤を行ったこと（同条第3号）

第1号の「心身の機能の障害」の範囲は、個人情報の保護に関する法律施行規則第5条が定めています。具体的には、身体障害者福祉法の別表に掲げる身体上の障害、知的障害者福祉法にいう知的障害、精神保健及び精神障害者福祉に関する法律にいう精神障害（発達障害を含む）などです。

取得のルール：原則は「あらかじめ本人の同意」

個人情報の保護に関する法律第20条は、取得について2つのルールを定めています。

• 第1項：個人情報取扱事業者は、偽りその他不正の手段で個人情報を取得してはならない。
• 第2項：一定の場合を除き、あらかじめ本人の同意を得ないで要配慮個人情報を取得してはならない。

本人の同意なく取得できる例外

同法第20条第2項の各号が定める例外は、次のとおりです。

1. 法令に基づく場合（第1号）
2. 人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（第2号）
3. 公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（第3号）
4. 国の機関、地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに協力する必要がある場合であって、本人の同意を得るとその事務の遂行に支障を及ぼすおそれがあるとき（第4号）
5. 事業者が学術研究機関等であり、その要配慮個人情報を学術研究目的で取り扱う必要があるとき（第5号）
6. 学術研究機関等から、学術研究目的で取得する必要があるとき（共同研究の場合に限る）（第6号）
7. 本人、国の機関、地方公共団体、学術研究機関等、その他個人情報保護委員会規則で定める者によって公開されている場合（第7号）

検索結果では、このほかにも本人の同意が不要な場合として次の2つが整理されています。

• 本人を目視または撮影することで、外形上明らかな要配慮個人情報を取得する場合
• 委託、事業承継、共同利用に伴って、個人データである要配慮個人情報の提供を受ける場合

利用目的の通知・公表

個人情報を取得した場合は、利用目的を本人に知らせる必要があります。

• あらかじめ利用目的を公表しているときを除き、取得後は速やかに利用目的を本人に通知するか、公表しなければなりません。
• 本人から直接書面で取得する場合は、あらかじめ利用目的を明示する必要があります。

要配慮個人情報も、このルールの対象です。

第三者提供のルール：同意原則とオプトアウト不可

個人情報の保護に関する法律第27条第1項は、一定の場合を除き、あらかじめ本人の同意を得ないで個人データを第三者に提供してはならないと定めています。要配慮個人情報にも、この原則が適用されます。

本人の同意なく提供できる例外

同法第27条第1項の各号が定める例外は、次のとおりです。第1号から第4号は取得時の例外と共通しますが、学術研究に関する号は内容が異なります。

1. 法令に基づく場合（第1号）
2. 人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（第2号）
3. 公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（第3号）
4. 国の機関、地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに協力する必要がある場合であって、本人の同意を得るとその事務の遂行に支障を及ぼすおそれがあるとき（第4号）
5. 事業者が学術研究機関等であり、提供が学術研究の成果の公表または教授のためやむを得ないとき（第5号）
6. 事業者が学術研究機関等であり、学術研究目的で提供する必要があるとき（共同研究の場合に限る）（第6号）
7. 提供先の第三者が学術研究機関等であり、その第三者が学術研究目的で取り扱う必要があるとき（第7号）

要配慮個人情報はオプトアウトで提供できない

通常の個人データは、一定の要件を満たして個人情報保護委員会に届け出れば、本人の同意なく第三者に提供できます。これが、いわゆるオプトアウトです。しかし、同法第27条第2項のただし書きにより、要配慮個人情報はオプトアウトによる提供が認められていません。この点は、個人情報保護委員会のガイドライン（通則編）やQ&Aでも示されています。実務上、特に注意すべきポイントの一つといえます。

外国にある第三者への提供

要配慮個人情報を含む個人データを外国にある第三者に提供する場合は、原則として次の2つが必要です。

• あらかじめ「外国にある第三者への提供を認める」旨の本人の同意を得ること
• 同意を得る前に、本人の参考となる情報を本人に提供すること（その外国の個人情報保護制度、提供先が講じる個人情報保護の措置など）

ただし、日本と同等の水準にあると認められる国にある第三者や、相当措置を講じている者は除かれます。

提供・受領時の確認・記録義務

• 提供を受ける側：第三者から個人データの提供を受ける際は、提供元の氏名・名称や取得の経緯などを確認し、記録を作成・保存する義務があります。
• 提供する側：個人データを第三者に提供した際は、提供した年月日や提供先の氏名・名称などを記録し、保存する義務があります。

実務上の留意点

同意の取り方と利用目的の示し方

要配慮個人情報は、取得も提供も原則として本人の同意が前提です。検索結果では、次の点が示されています。

• 同意取得のプロセスを明確にし、本人が内容を理解したうえで任意に同意できるよう努めること
• 同意は、書面や電磁的記録など後から確認できる形で取得することが望ましいこと
• 利用目的は具体的に特定し、本人に分かりやすく明示することが重要であること（漠然とした利用目的では適切な同意を得たとは言えないとされています）

委託・共同利用・事業承継

同法第27条第5項により、次のケースで提供を受ける者は「第三者」に該当しないとされています。

• 個人データの取扱いを外部に委託する場合
• 特定の者と共同利用する場合
• 合併等による事業承継の場合

これらのケースでは、原則として本人の同意は不要です。ただし、委託先の監督や、共同利用に関する通知・公表など、それぞれ所定の要件を満たす必要があります。

従業員の健康情報（雇用管理分野）

事業者が従業員の健康情報を扱う場面もあります。厚生労働省の通知（平成29年5月29日基発第529003号・個情第749号）は、次の点を明記しています。

• 健康情報は要配慮個人情報に該当すること
• 取得や第三者提供には、原則として本人の同意が必要であること
• オプトアウトによる提供は認められないこと

個人情報保護委員会も「雇用管理分野における個人情報のうち健康情報を取り扱うに当たっての留意事項」を公表しています。

分野別ガイドラインの参照

条文だけでは判断しにくい点もあります。具体的な解釈や実務上の留意点は、次の資料が参考になります。

• ガイドライン（通則編）
• 健康保険組合等を対象としたガイダンス

このほか、社内規程の整備、従業員教育、同意取得プロセスの明確化と記録化も、ルールを守るうえで重要な取り組みとして挙げられています。

よくある質問

健康診断の結果は要配慮個人情報にあたりますか？

はい。医師その他医療に関連する職務に従事する者が本人に行った健康診断その他の検査の結果は、要配慮個人情報となる記述等に含まれます。個人情報の保護に関する法律施行令第2条第2号に規定があります。健康診断等の結果に基づいて指導や診療、調剤が行われたことも、同条第3号で対象とされています。

要配慮個人情報を、オプトアウトの届出によって第三者に提供できますか？

できません。個人情報の保護に関する法律第27条第2項のただし書きにより、要配慮個人情報はオプトアウトによる提供の対象から外されています。第三者提供には、原則としてあらかじめ本人の同意が必要です。例外は、法令に基づく場合など同条第1項各号に該当する場合に限られます。

健康情報の処理を外部業者に委託する場合も、本人の同意が必要ですか？

委託に伴って個人データを提供する場合、委託先は「第三者」に該当しないとされています（個人情報の保護に関する法律第27条第5項）。そのため、原則として本人の同意は不要です。ただし、委託先の監督など所定の要件を満たす必要があります。具体的な取扱いは、ガイドラインや専門家に確認されることをおすすめします。

※本記事はAIによる調査支援を活用して作成した参考情報です。制度の詳細や最新の取扱いは、必ず一次情報および専門家にご確認ください。