クリニックのプライバシーポリシー：要配慮個人情報を中心に

結論：フォームを置くクリニックでは、プライバシーポリシーは実質的に欠かせない

健診・一般外来のクリニックの依頼は、「アンケートフォームなどで訪問者の情報を受け取るので、プライバシーポリシーの掲載が必須だと考えている」という前提から始まりました。事務所の報告書は、個人情報を取得したときの利用目的の通知・公表（個人情報保護法21条1項）と、保有個人データに関する事項の公表（同法32条1項）をまとめて果たすための実務文書として、この認識は正しいと回答しています。

報告書では、さらに次のように分けて説明しています。「プライバシーポリシー」という名前の文書を置くこと自体は全てのサイトに一律に課された義務ではありません。しかし、フォームのように本人から直接書面（電磁的記録を含む）で個人情報を取得する場合は、あらかじめ本人に利用目的を明示しなければならず（同法21条2項）、32条1項の事項も本人の知り得る状態に置く必要があります。フォームを備えるサイトでは、ポリシーの掲載と、フォームの送信前の表示を組み合わせるのが適切、という結論です。

要配慮個人情報の取得：受診による「黙示の同意」の範囲

病歴や、医師などが行った健康診断その他の検査の結果、医師などから指導・診療・調剤を受けた事実は、要配慮個人情報（不当な差別や偏見が生じないよう取扱いに特に配慮を要する情報）に当たります（個人情報保護法2条3項、施行令2条2号・3号）。要配慮個人情報は、法令に基づく場合などの例外を除き、あらかじめ本人の同意を得ないで取得してはなりません（同法20条2項）。

原案は「診療の目的以外には使いません」と書くだけで、取得の根拠が示されていませんでした。修正版では、個人情報保護委員会と厚生労働省の医療・介護関係事業者向けのガイダンスの考え方にそって、患者が受診を申し込み、診療に通常必要な範囲で情報を取得・利用することについては黙示の同意があるものとして扱う旨を第3条に書きました。事務所のレビューでは、その範囲の限界も指摘しています。通常の診療に伴う取得と、診療と関係のないサイトのアンケートで病歴を集める場合とでは同意の考え方が別であること、体温・体重・主観的な体調のような情報がすべて要配慮個人情報に当たるとは限らないこと、の二点です。サイトのフォームで症状や既往歴を書いてもらう設計にするなら、フォームの側で明示的に同意を取ります。

あわせて注意したいのが、第三者提供の場面です。本人の求めに応じて提供を停止する仕組みを公表・届出すれば同意なく提供できる、いわゆるオプトアウトの方法（同法27条2項）は、要配慮個人情報には使えません（同項ただし書）。事務所のレビューでは、医療の現場での黙示の同意の運用と、この「拒否がなければ提供してよい」という仕組みを混同しないよう注意を促しています。

第三者提供・委託・外国にある第三者

同意なく第三者に提供できるのは、法令に基づく場合、人の生命・身体・財産の保護のために必要で本人の同意を得ることが困難なとき、公衆衛生の向上のために特に必要で同意を得ることが困難なときなど、27条1項各号の場合に限られます。たとえば同項4号は、国の機関や地方公共団体などが法令の定める事務を遂行することに対して協力する必要があり、かつ、本人の同意を得ることで事務の遂行に支障を及ぼすおそれがあるときに限っています。ポリシーに例外を書くときは、こうした要件まで省かずに書きます。なお、本人の同意を得て提供するのは第三者提供の原則の道筋で、同意なしに提供できる例外とは別のものです。

利用目的の達成に必要な範囲で個人データの取扱いを委託する場合、委託先は第三者に当たりません（27条5項1号）。その代わり、委託元は委託先を必要かつ適切に監督しなければなりません（25条）。修正版では、委託の例として、システムの保守、予約システム、医療事務の一部の代行を挙げました。その後、依頼者から「健康診断の検査項目の一部を外部の医療機関に委託している」との連絡があり、修正版２で委託先の一覧に「健康診断における一部の検査項目の実施（委託先：外部の医療機関）」を追記しています。患者から見えにくい外部への委託は、ポリシーに具体的に書いておくと問合せにも答えやすくなります。

予約システムや保守、解析ツールの提供元が外国の事業者である場合は、外国にある第三者への提供の規律（28条）を確認します。28条は、我が国と同等の水準にある制度を持つ国として個人情報保護委員会規則で定める国にある者や、相当措置を継続的に講ずるための基準に適合する体制を整備している者を除き、外国にある第三者に提供するには、あらかじめその旨の本人の同意が必要とし（1項）、同意を得ようとするときは、その国の制度や提供先が講ずる措置などの情報を提供しなければならないと定めています（2項）。事務所のレビューでは、「海外のサーバーだから必ず同意が要る」「国内のサーバーだから国外への提供ではない」という二つの言い方はどちらも正確でなく、同等水準国かどうか、体制を整備した提供先かどうか、同意を取るのか、という経路を区別して書くよう求めています。

Cookie・解析ツール・個人関連情報

原案は、アクセス解析について「個人を特定する情報は含みません」と言い切っていました。個人情報は、他の情報と容易に照合して特定の個人を識別できるものを含みます（2条1項1号）。予約フォームの送信記録と照合できる状態なら、Cookieの識別子やIPアドレスも個人情報になり得るため、言い切りは避けます。

修正版では、送信される情報（Cookieの識別子、IPアドレス、閲覧履歴）、送信先（解析ツールの提供者）、利用目的を表示し、ブラウザの設定で送信を止められることを案内しました。電気通信事業法27条の12の外部送信の規律（いわゆるCookie規制）の対象となる事業者かどうかにかかわらず、患者の目線ではこの三点が分かる表示が望ましいと考えたためです。また、解析ツールの提供先で個人データとして取得されることが想定される情報を提供する場合は、個人関連情報の第三者提供の規律（31条）により、提供先が本人の同意を得ていることの確認が必要になる場合があります。報告書では、解析ツールでのIPアドレスの扱いについて、受信の時点で使うことと、記録・保存することを分けて確認するよう求めています。

開示等の請求と、事業者の表示

本人は、自分が識別される保有個人データの開示を請求でき（33条1項）、事業者は、本人の生命・身体・財産などを害するおそれがある場合などを除き、本人が請求した方法で遅滞なく開示しなければなりません（同条2項）。開示しない決定をしたときは、その旨を通知します（同条3項）。手数料を取れるのは、利用目的の通知と開示の場合で、実費を勘案して合理的な範囲の額を定める必要があります（38条）。修正版では手数料を無料とし、苦情も同じ窓口で受け付ける形にしました。

請求の受付方法も、ポリシーで決めておく事項です。来院して本人確認書類を示す方法だけにすると、体調などで来院できない人には負担が重くなります。郵送や電磁的方法での受付、代理人による請求の場合の確認方法も用意しておくと、請求に応じやすくなります。

事業者の表示では、施設名だけでは、誰が個人情報取扱事業者（開設者・運営法人）なのかが分からないことがあります。法人なら代表者の氏名も公表事項で（32条1項1号）、クリニックの管理者である医師と開設法人の代表者が同じ人とは限りません。所属する団体が認定個人情報保護団体である場合は、その名称と苦情の解決の申出先も載せます（施行令10条3号）。

未成年・漏えい・アンケートの利用目的

未成年の個人情報について、報告書では、未成年者全員について一律に保護者の同意が必要になるわけではないこと、個人情報保護委員会のQ&Aが示す「12歳から15歳まで」という年齢は目安であること、保護者に自動的に全ての情報を開示することとは区別すること、を説明しました。

漏えい等の報告では、要配慮個人情報を含む個人データの漏えい等が発生し、又は発生したおそれがある事態は、件数にかかわらず個人情報保護委員会への報告の対象になり得ます（26条1項、施行規則7条1号）。フォームの改ざんのように不正の目的で行われたおそれのある行為による漏えい等は、まだ取得していない、取得しようとしている情報も対象に含まれます（施行規則7条3号）。

アンケートの利用目的について原案は「医療事務・業務管理・施設運営の改善」とだけ書いていました。これでは、集計して改善に使うのか、個別に返信するのか、統計として公表するのか、宣伝に使うのかが分かりません。報告書では、場面ごとに目的と取得する項目を対応させる表を提案しています。

判例の面では、氏名・学籍番号・住所・電話番号のような基本的な情報でも、本人が望まない相手に無断で開示すればプライバシーの侵害として不法行為になり得るとした早稲田大学名簿事件（最高裁平成15年9月12日判決）と、漏えいによる精神的損害の有無を具体的に検討せずに請求を退けることはできないとしたベネッセ事件（最高裁平成29年10月23日判決）を報告書で紹介しました。後者は賠償額を確定した判決ではありませんが、漏えいの際の対応の重さを示すものです。

医療機関でない事業者・アプリのプライバシーポリシー

医療機関でない健康サービスやアプリも、扱う情報は医療機関に近くなります。事務所が作成した書類から、いくつかの設計を紹介します。

• 服薬支援のシステムでは、要配慮個人情報と顔認証に使う情報について「明示的な書面による同意」とし、撤回も書面によるとしました。顔認証の情報は本人確認の目的に限り、目的を達したら削除するか復元できない形に加工します。法人が利用する場合、外国への移転についての同意は、その法人が利用者本人から取ると定めています。
• 気分や思考の記録を扱うメンタルセルフケアのアプリでは、心理状態などを「要配慮個人情報に該当し得る情報」と位置づけ、明示的な同意に基づいて扱う形にしました。
• 子どもの発達支援の伴走サービスでは、診断の有無にかかわらず発達の状況・特性に関する情報を要配慮個人情報と同等の水準で扱い、同意は無料相談の申込みの時点から効力を持つ設計にしました。家族の病歴は提供しないよう求め、提供されても記録に残しません。
• 服薬支援のシステムでは、ベンダー自身の精度の向上（AIの学習）に使えるのは、特定の個人を識別できず通常の方法で復元できない状態に加工した情報に限り、顔認証の情報は個人を識別できない形式に変換して生体情報そのものを保持・再利用しないこととし、ポリシーに再識別を試みないことも書きました。
• 店舗型の健康サービスがECプラットフォームに出店した版では、プラットフォームの運営会社・決済代行・配送業者への提供と、プラットフォーム側のCookieの扱いを追記しました。

ポリシーを後から変えるときの考え方も、医療・ヘルスケアの分野では重要です。利用目的を変更できるのは、変更前の利用目的と関連性を有すると合理的に認められる範囲に限られ（個人情報保護法17条2項）、変更した利用目的は本人に通知し又は公表しなければなりません（21条3項）。その範囲を超えて扱うには、あらかじめ本人の同意が必要です（18条1項）。歯科の受診支援アプリのレビューでは、利用目的の追加、第三者提供の範囲の拡大、外国への送信の新規追加といった変更は、通知だけでは足りず再同意が必要になる場合があると指摘しました。

歯科の受診を支援するアプリのプライバシーポリシーのレビューでは、診察の録音を米国の生成AIの事業者に送る設計を取り上げました。これは外国にある第三者への提供（28条）に当たり、提供先が基準に適合する体制を整備していない限り、その国の制度や提供先の措置などの情報を提供したうえで本人の同意を得る必要があります（歯科の契約書で詳しく紹介しています）。患者の情報をクリニックや提携先に渡すための個別の同意書の作り方は患者情報の提供同意書にまとめています。

起きがちなこと

よくあるご質問

あわせて読みたいページ

本ページは一般的な情報提供です。医療機関の開設・介護保険の指定などの許認可の手続、診療報酬の請求、労務の手続は扱っていません。事務所の改訂例・ご相談の事例として紹介している内容は、アトラス行政書士法人が作成・レビューしてきたクリニックのウェブサイトの利用規約・プライバシーポリシー、訪問看護・自費リハビリ・生活支援の利用契約書、医療機関との業務提携契約書、介護事業の譲渡契約書、歯科医院の契約書などを、個別の事業者が特定できない形に整理したものです。条文は e-Gov法令検索で、医療広告の記述は厚生労働省の医療広告等ガイドライン（令和8年3月30日最終改正）で確認しています（最終確認日：2026年10月16日）。参考: e-Gov法令検索 / 医療法における病院等の広告規制について（厚生労働省） / 個人情報保護委員会