ケアマネジャーや他の事業所、医療機関、ご家族と利用者さんの情報をやり取りする場面は、介護・障がい福祉の現場では毎日のように起きます。そのたびに「これは本人の同意が要るのか」「掲示してあるから大丈夫なのか」と迷う、という声をよく伺います。
インターネットで調べると、「個人情報の第三者提供は、利用目的を掲示しておけば黙示の同意があったものと考えられる」という説明がたくさん出てきます。ところが、この整理は医療機関についての記述です。介護関係事業者については、同じガイダンスの中に、掲示によるのではなく、サービス利用開始時に文書で同意を得ておくことを求める別の記述があります。
この記事では、個人情報保護法の条文と、「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」の原文をたどりながら、第三者提供と同意の整理を行います。
先に結論
- 個人データを第三者に提供するときは、原則としてあらかじめ本人の同意が必要です。例外は、法令に基づく場合など、条文に列挙されています（第27条第1項）。
- 医療機関には、利用目的を院内掲示などで明示していれば黙示の同意が得られていると考えられるという整理があります。
- 介護関係事業者については、ガイダンスが、事業所内への掲示によるのではなく、サービス利用開始時に利用者から文書で同意を得ておくことが必要と書いています。家族の個人情報を使う場合は、家族の同意も対象です。
- 委託・事業の承継・共同利用は、「同意が要らない例外」ではなく、提供を受ける者がそもそも第三者に該当しないという作りです（第27条第5項）。
- 同意に基づく提供でも、第三者提供の記録の作成（第29条）と、提供を受ける側の確認と記録（第30条）が問題になります。
- 障がい福祉サービスの事業所について、今回確認した範囲のガイダンスの記述は「介護関係事業者」についてのものです。そのまま当てはまるかどうかは、条文とガイダンスからは決まりません。
1. 誰が、何についての義務を負うのか
第三者提供の規制を受けるのは「個人情報取扱事業者」で、「個人データ」を第三者に提供する場合が対象です。条文の定義を確認します。
「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者をいう。
（個人情報保護法第16条第2項）
条文は、続けて例外として国の機関、地方公共団体、独立行政法人等、地方独立行政法人の4つを挙げています。この列挙に社会福祉法人は出てきません。
この章において「個人データ」とは、個人情報データベース等を構成する個人情報をいう。
（個人情報保護法第16条第3項）
つまり、利用者さんの情報が台帳やシステムなどで検索できる形にまとまっていれば、その一人ひとりの情報は個人データとして扱われます。紙のファイルでも、特定の個人の情報を容易に検索できるように体系的に構成されていれば、個人情報データベース等の対象になりえます（同条第1項第2号は政令で定めるものとしており、政令の中身は本記事では扱いません）。
2. 第27条第1項：原則は同意、例外は条文に列挙されている
第三者提供の制限の本体は、第27条第1項です。
個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
（個人情報保護法第27条第1項）
ポイントは「あらかじめ」と「本人の同意」の2つです。提供した後で同意をもらう形は、条文の文言とは合いません。例外として列挙されているのは次の7つです。
| 号 | 条文の要旨 | 備考 |
|---|---|---|
| 第1号 | 法令に基づく場合 | 同意は不要 |
| 第2号 | 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき | 「必要がある」と「同意を得ることが困難」の両方が条文の要件 |
| 第3号 | 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき | 同上 |
| 第4号 | 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき | 「支障を及ぼすおそれ」が要件 |
| 第5号〜第7号 | 学術研究機関等が関わる場合の規定 | 通常の事業所の情報連携とは別の場面 |
第2号の例を見ると、同意が「面倒だから」「忙しいから」という理由では、この例外の文言には当てはまりません。「本人の同意を得ることが困難であるとき」が要件に入っているためです。個別の場面がこの要件に当たるかどうかは、条文だけでは決まらず、具体的な事情で判断することになります。
なお、同じ条の第2項には、本人の求めに応じて提供を停止することにして、事項を本人に通知するか容易に知り得る状態に置き、個人情報保護委員会に届け出た場合の仕組みが定められています。ただし、提供される個人データが要配慮個人情報である場合は、この仕組みは使えないと書かれています（ただし書）。福祉の記録に要配慮個人情報が含まれる場面では、この仕組みを前提にしないほうが安全です。
3. 医療機関の「黙示の同意」は何を言っているのか
「黙示の同意」という言葉は、ガイダンスのⅣ９．（３）に出てきます。まず、医療機関についての記述です。
第三者への情報の提供のうち、患者の傷病の回復等を含めた患者への医療の提供に必要であり、かつ、個人情報の利用目的として院内掲示等により明示されている場合は、原則として黙示の同意が得られているものと考えられる。
（医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス Ⅳ９．（３））
この文には条件が2つあります。
- 患者さんへの医療の提供に必要であること
- 個人情報の利用目的として、院内掲示などで明示されていること
ガイダンスは、あわせて掲示すべき内容として、同意しがたい事項があれば明確な同意を求められること、意思表示がなければ公表された利用目的に同意が得られたものとすること、同意と留保はいつでも変更できることの3点を挙げています。医療機関の受付で診療を希望する患者さんから情報を取得する場面を前提に、「診療のために使うことは明らか」という発想で整理されています。
4. 介護関係事業者は別の記述がある
同じ（３）の中に、介護関係事業者についての項目が置かれています。
介護関係事業者については、介護保険法に基づく指定基準において、サービス担当者会議等で利用者の個人情報を用いる場合には利用者の同意を、利用者の家族の個人情報を用いる場合には家族の同意を、あらかじめ文書により得ておかなければならないとされていることを踏まえ、事業所内への掲示によるのではなく、サービス利用開始時に適切に利用者から文書により同意を得ておくことが必要である。
（医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス Ⅳ９．（３））
この1文から読み取れることを整理します。
| 項目 | 医療機関の整理 | 介護関係事業者の整理 |
|---|---|---|
| 同意の得方 | 院内掲示等で利用目的を明示し、留保の意思表示がなければ黙示の同意 | 事業所内への掲示によるのではなく、文書により同意を得る |
| 時期 | 掲示している間 | サービス利用開始時 |
| 対象 | 患者本人 | 利用者本人。家族の個人情報を用いる場合は家族 |
| 場面の例 | 他の医療機関との連携、外部の医師の意見聴取など | サービス担当者会議等で個人情報を用いる場合 |
| 根拠 | 医療の提供に必要な範囲という考え方 | ガイダンスの記載によれば、介護保険法に基づく指定基準 |
注意したいのは次の3点です。
① 「掲示しているから大丈夫」は介護では前提にできません。 医療機関向けの黙示の同意の説明を、そのまま介護の事業所に当てはめると、必要な文書の同意を取り損ねるおそれがあります。
② 家族の同意は別に考える必要があります。 条文にあるのは「利用者の同意」と「家族の同意」の両方です。サービス担当者会議で家族の情報を使う場面があるなら、利用者さんの署名だけで足りるとは読めません。同意書の様式に、利用者さんの欄と、家族の欄をそれぞれ置けているかが確認ポイントになります。
③ 指定基準の条番号は、このガイダンスの引用箇所には書かれていません。 本記事も、具体的な省令名や条番号は書きません。実際の文書の様式を整えるときは、指定基準の原文を確認してください。
なお、利用目的の特定（第17条）や、利用目的の範囲を超えて個人情報を扱う場合の同意（第18条第1項）、取得に際しての利用目的の通知又は公表（第21条）は、別の条文で定められた別の義務です。
個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
（個人情報保護法第18条第1項）
利用目的を公表していることと、第三者提供について同意を得ていることは、条文の上では別の話です。介護関係事業者については、後者について、ガイダンスが文書での同意を求めています。
障がい福祉の事業所の場合
ガイダンスの引用箇所が書いているのは「介護関係事業者」です。障がい福祉サービスの事業所について、同じ内容が当てはまるかどうかは、今回確認した条文とガイダンスの抜粋からは決まりません。事業所を運営する法人は、ガイダンスの対象範囲と、障がい福祉サービスの指定基準の定めを、それぞれの原文で確認してください。
法律そのものの第27条は、介護でも障がい福祉でも変わりません。原則は「あらかじめ本人の同意」で、例外は条文に列挙された場合です。
5. 委託・共同利用は「同意が要らない例外」ではない
第27条第5項は、第1項の例外とは別の構造をしています。
次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。
（個人情報保護法第27条第5項）
文言は「同意を得なくてよい」ではなく、提供を受ける者は「第三者に該当しない」です。第三者でないので、第27条の第三者提供の規制の対象外になります。ガイダンスも、この点を次のように書いています。
法第２７条第５項各号に掲げる場合の当該個人データの提供を受ける者については、第三者に該当せず、本人の同意を得ずに情報の提供を行うことができる。
（医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス Ⅳ９．（４））
ただし、この構造は誰にでも自動的に当てはまるわけではありません。各号の要件を満たした場合に限られます。
| 号 | 場合 | 条文上の要件のポイント | ガイダンスの具体例 |
|---|---|---|---|
| 第1号（委託） | 個人情報取扱事業者が個人データの取扱いの全部又は一部を委託することに伴って提供される場合 | 「利用目的の達成に必要な範囲内において」委託すること | 検査等の業務を委託する場合 |
| 第2号（事業の承継） | 合併その他の事由による事業の承継に伴って提供される場合 | 事業の承継に伴うこと | 本記事では具体例を扱わない |
| 第3号（共同利用） | 特定の者との間で共同して利用される個人データが、その特定の者に提供される場合 | 下記の事項をあらかじめ本人に通知するか、本人が容易に知り得る状態に置いていること | 個人データを特定の者との間で共同して利用するとして、あらかじめ本人に通知等している場合 |
第1号の委託について、条文は次のように書いています。
個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合
（個人情報保護法第27条第5項第1号）
「利用目的の達成に必要な範囲内」という限定が付いています。サービス事業者どうしが連携して支援を行う場面が、この「委託」に当たるのかどうかは、条文とガイダンスの抜粋からは決まりません。名前が「委託契約」になっていれば自動的に第三者に当たらない、という読み方は、条文の文言からは出てきません。
第3号の共同利用の要件は、条文では次のとおりです。
特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。
（個人情報保護法第27条第5項第3号）
ガイダンスは、とくに共同利用者の範囲について、次のように求めています。
個別列挙されているか、本人から見てその範囲が明確となるように特定されている必要がある
（医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス Ⅳ９．（４））
また、ガイダンスは、共同して利用される個人データの項目と共同利用者の範囲は変更することができず、利用目的と管理責任者については、本人が想定することが困難でない範囲内で変更でき、変更する場合は本人に通知するか容易に知り得る状態に置く必要がある、と整理しています。
同じ事業者の中なら第三者ではない
ガイダンスは、第27条第5項とは別に、同一事業者内の情報提供も整理しています。
同一事業者内で情報提供する場合は、当該個人データを第三者に提供したことにはならないので、本人の同意を得ずに情報の提供を行うことができる。
（医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス Ⅳ９．（４））
具体例として、次の記述があります。
同一事業者が開設する複数の施設間における情報の交換
（医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス Ⅳ９．（４））
法人本部と、その法人が運営する複数の事業所の間での情報の共有を考えるうえでは、この整理が出発点になります。ただし、別の法人の事業所との間は「同一事業者」の話ではありません。その場合に、上の第27条第1項の同意を取るのか、第5項の委託や共同利用に当たるのかを、場面ごとに確認する必要があります。
6. 第29条・第30条：同意を取っても「記録」の話は残る
第三者に個人データを提供した側には、記録を作る義務があります。
個人情報保護委員会規則で定めるところにより、当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。
（個人情報保護法第29条第1項）
同条第2項は、その記録を一定の期間、保存しなければならないとしています。期間と記録事項は個人情報保護委員会規則に委ねられていて、今回の抜粋には含まれていません。本記事では具体的な期間と記録事項は書きません。
ただし書もあります。第27条第1項各号又は第5項各号のいずれかに該当する場合は、記録の作成義務は課されません。逆に言えば、条文の文言上、第27条第1項本文に基づいて本人の同意を得て提供する場合は、各号のどれにも当たらないので、記録の対象になるように読めます。ただし、規則に定められた例外の有無までは本記事の抜粋では確認していないため、実際の運用は個人情報保護委員会規則の原文で確認してください。
提供を受ける側にも、義務があります。
ただし、当該個人データの提供が第二十七条第一項各号又は第五項各号のいずれかに該当する場合は、この限りでない。
（個人情報保護法第30条第1項ただし書）
第30条は、第三者から個人データの提供を受けるときに、提供元の氏名又は名称及び住所、代表者の氏名、そして取得の経緯を確認すること、確認した年月日などの記録を作って保存することを定めています。他の事業所から利用者さんの情報を受け取る側の事業所も、この条文の確認の対象になりえます。
なお、サービス提供記録そのものの保存期間は、第29条の記録とは別の話です。そちらは サービス提供記録の保存期間を整理した記事 で扱っています。
7. 要配慮個人情報は、取得の段階でも同意が要る
福祉の記録には、一般的な個人情報より慎重な扱いが求められる情報が含まれることがあります。取得の段階について、第20条第2項は次のように定めています。
個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
（個人情報保護法第20条第2項）
例外は、法令に基づく場合、人の生命・身体又は財産の保護のために必要がある場合であって本人の同意を得ることが困難であるとき、などです（第1号から第8号）。
何が要配慮個人情報に当たるかの定義は、今回の抜粋には含まれていません。福祉の記録のどの項目が該当するかは、記録の中身ごとに確認が必要です。
また、本人の同意を得た提供であっても、外国にある第三者への提供には、第27条とは別に第28条が定められています。
あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。
（個人情報保護法第28条第1項）
外国にある第三者への提供には、この条文の同意の取り方に加えて、第2項で本人に提供すべき情報も定められています。情報連携の仕組みに海外の事業者のサービスが関わる場合は、この条文も確認の対象になります。
8. 現場の場面別に、どこから確認するか
ここまでの整理を、場面別の「確認の入口」にまとめます。右の列は、条文とガイダンスの抜粋から決まるかどうかです。
| 場面 | 確認の入口 | 抜粋から決まるか |
|---|---|---|
| サービス担当者会議等で利用者の個人情報を用いる | ガイダンスⅣ９．（３）介護関係事業者の項目（利用開始時の文書での同意） | 決まる（介護関係事業者の場合） |
| 同じ会議で家族の個人情報を用いる | 同上（家族の同意を文書で） | 決まる（介護関係事業者の場合） |
| 法人内の別の事業所と情報を共有する | ガイダンスⅣ９．（４）同一事業者内の整理 | 同一事業者の範囲であれば決まる |
| 検査などの業務を外部に委託する | 第27条第5項第1号（委託） | 要件は決まる。個別の契約が当てはまるかは別 |
| 複数の事業所で継続的に同じ情報を共有する | 第27条第5項第3号（共同利用）か、第1項本文の同意 | 要件は決まる。どちらを選ぶかは決まらない |
| 緊急で本人の同意が取れない | 第27条第1項第2号 | 要件は決まる。個別の場面が当たるかは決まらない |
| 障がい福祉サービスの事業所の情報連携 | 法の第27条と、障がい福祉の指定基準の原文 | ガイダンスの抜粋だけでは決まらない |
| 同意書の様式、記録の期間・事項 | 指定基準、個人情報保護委員会規則 | 決まらない（抜粋に含まれない） |
整理の順番としては、次の流れが分かりやすいと思います。
- その提供は、同一事業者の中の話か
- 別の事業者への提供なら、第27条第5項（委託・承継・共同利用）の要件を満たすか
- 満たさないなら、第27条第1項の例外に当たるか、当たらなければあらかじめ本人の同意を得る
- 介護関係事業者なら、同意は利用開始時に文書で、家族の情報を使うなら家族の分も
- 提供した側は記録、受けた側は確認と記録
開示請求との関係
開示や第三者への提供の停止を行う権限を持つ個人データは、「保有個人データ」として定義されています。本人の請求権そのものは今回の抜粋に含まれませんが、定義の文言は次のとおりです。
個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データ
（個人情報保護法第16条第4項）
利用者さんやご家族から記録の開示を求められたときの整理は、介護記録の開示請求を整理した記事 にまとめています。第三者提供の同意の整理と合わせて、同意書や開示請求への窓口を同じ時期に見直しておくと、現場の運用がぶれにくくなります。
まとめ
- 個人データの第三者提供は、原則としてあらかじめ本人の同意が必要です。例外は第27条第1項の各号に列挙されています。
- 医療機関には「利用目的を院内掲示等で明示していれば黙示の同意」という整理がありますが、介護関係事業者については、ガイダンスが掲示によるのではなく、サービス利用開始時に文書で同意を得ておくことを求めています。家族の個人情報を用いるなら、家族の同意も対象です。
- 委託・事業の承継・共同利用は、同意が要らない例外ではなく、提供を受ける者が第三者に当たらない場合です。ただし、各号の要件を満たす必要があります。
- 同意に基づく提供でも、記録（第29条）と、受ける側の確認と記録（第30条）が関わります。
- 障がい福祉サービスの事業所への適用、同意書の様式、記録の期間と事項などは、今回の条文とガイダンスの抜粋からは決まりません。指定基準や個人情報保護委員会規則の原文で確認してください。
参考にした一次情報
- 個人情報の保護に関する法律｜e-Gov法令検索：第十六条、第十七条、第十八条、第二十条、第二十一条、第二十七条、第二十八条、第二十九条、第三十条
- 医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス（令和8年4月一部改正）｜個人情報保護委員会・厚生労働省：Ⅳ９．（３）（４）
いずれも条文とガイダンスの原文によります。本記事はその構造を整理したもので、個別の事業所への適用や、行政の運用を示すものではありません。
同意書も、記録も、情報連携のルールも、法人としてそろえたい
パレットテクノロジーズは、社会福祉法人様のデジタル化を「現地現物」で伴走支援しています。利用者さんの情報を誰と、どの範囲で、どの記録で共有しているかを、法人として説明できる状態にするところからご一緒します。ITに詳しい職員がいらっしゃらなくても大丈夫です。
