このページの要点
- 要配慮個人情報かどうかは事業者の種類でなく情報の内容で決まる。病歴などを取得するなら、原則としてあらかじめ本人の同意が必要（20条2項）。
- 同意は取得の場面で、何の情報をなぜ取るのかを示して確認する。「利用したら同意したものとみなす」では足りない。
- 症状・音声・顔や体の一部の写真・履歴は、項目ごとに目的と保管・消去の考え方を書く。
- 提携先への共有は委託・提供・共同利用のどれかを確かめ、外国のAI・クラウドに送るなら外国への提供の説明（28条）と、「保存しない」の正確な範囲を書く。
結論：医療機関でなくても、要配慮個人情報は取得の同意が必要になり得ます
体調や心身の悩みを聞き取る相談サービス、食事や運動の助言を行うサービス、リラクゼーションや体質改善をうたうサービスは、医療機関ではない事業者が運営している場合が少なくありません。「医療機関ではないから、医療情報の厳しい規律は関係ない」と考えて、一般的なひな形をそのまま使うと、実態と法律の要請がずれます。
個人情報保護法には、「要配慮個人情報」という類型があります（2条3項）。本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実などで、不当な差別や偏見が生じないよう特に配慮が必要なものです。事業者が医療機関かどうかは、この類型への該当を分けません。相談の中で、持病や通院の経過、服薬の状況が語られ、記録に残るなら、事業者は要配慮個人情報を取得することになり、原則として、あらかじめ本人の同意が必要です（20条2項）。
このページが扱うのは、病院や診療所のポリシー（患者情報の管理）ではなく、医療機関ではない事業者が、相談サービスの中で健康に関わる情報を取るときの書き方です。要点は四つです。(1)どの情報が要配慮個人情報になり得るかを見分ける、(2)取得の同意を、取得の場面で取る、(3)症状・相談内容・音声・写真といった項目ごとに、目的と保管を書く、(4)外部の事業者や外国のサービスに情報が渡る場合は、その流れを説明する。全体の地図で整理した段階（個人情報、個人データ、保有個人データ）の考え方を前提にします。
要配慮個人情報の範囲：持病や通院の話が出ると、取得の同意が問題になります
要配慮個人情報は、法律に列挙された事項と、政令で定める記述等が含まれる個人情報です。政令（個人情報の保護に関する法律施行令2条）は、次のものを挙げています。いずれも、本人の病歴や犯罪の経歴に該当するものは法律本体に挙げられているため、それらを除いた範囲です。
- 身体障害、知的障害、精神障害（発達障害を含む）その他の個人情報保護委員会規則で定める心身の機能の障害があること
- 医師その他医療に関連する職務に従事する者により行われた、疾病の予防と早期発見のための健康診断その他の検査の結果
- 健康診断等の結果に基づき、または疾病、負傷その他の心身の変化を理由として、医師等により、心身の状態の改善のための指導または診療もしくは調剤が行われたこと
- 本人を被疑者または被告人とする刑事事件に関する手続が行われたこと、および少年の保護事件に関する手続が行われたこと（健康に関わる相談の場面とは関係が薄いため、このページでは扱いません）
相談サービスで実際に問題になるのは、主に最初の三つです。相談者が自分から「持病がある」「通院している」「薬を飲んでいる」と話し、事業者がそれを記録に残すと、病歴や、医師等による指導・診療・調剤に関する情報を取得したことになります。一方で、「肩がこる」「眠りが浅い」といった日常的な体調の記述が、すべて要配慮個人情報に当たるわけではありません。線引きは、個人情報保護委員会のガイドライン（通則編）の説明を原文で確認する必要がありますが、実務では、判断に迷う項目は要配慮個人情報として扱う前提で、同意の取得と管理を組み立てておくのが安全側です。
相談で出てくる情報と、要配慮個人情報への該当
| 聞き取る内容 | 要配慮個人情報に当たる可能性 | 扱いの方針 |
|---|---|---|
| 持病・既往歴・通院歴 | 当たる（病歴） | 取得の同意を得る。記録する範囲を絞る |
| 健康診断の結果、医師から受けた指導・服薬の内容 | 当たる（施行令2条2号・3号） | 取得の同意を得る。提出を求めるなら、目的を明示する |
| 障害や発達に関する事項 | 当たる（施行令2条1号） | 取得の同意を得る。必要でなければ尋ねない |
| 肩こり・疲れ・睡眠の状況などの日常的な体調 | 個別の判断。病歴に近い記述になる場合は注意 | 迷う項目は要配慮個人情報に準じて管理する |
| 食事・運動・体重の記録 | 直ちには当たらないが、他の情報と合わさると健康状態が分かる | 項目ごとに目的を特定し、不要な項目は取らない |
| 心の悩みの相談内容 | 診断や治療に関する記述が含まれれば当たる | 記録の範囲を限り、内容によっては同意を得る |
この表の最後の列が示すとおり、まず「取らない」選択肢があります。サービスの提供に必要がない項目を尋ねない、尋ねる場合も記入を任意にする、備考欄に自由記入させない、といった設計で、要配慮個人情報の取得そのものを減らせます。サービスの質との兼ね合いで、どうしても取る必要があるなら、次の章で述べる同意の取得に進みます。
取得の同意：取得の場面で、何について同意するのかを示す
20条2項は、次の場合を除いて、あらかじめ本人の同意を得ないで要配慮個人情報を取得してはならない、としています。例外には、法令に基づく場合、人の生命・身体・財産の保護に必要で本人の同意を得ることが困難なとき、公衆衛生の向上等のために特に必要で同意を得ることが困難なとき、国の機関等の事務への協力、学術研究に関する場合、本人や一定の機関が公開している場合などがあります（20条2項各号）。相談サービスの日常の運用では、これらの例外に頼るのでなく、本人の同意を取る前提で設計します。
同意の取り方を、場面で分けて整理します。本人が自分の意思で、持病や服薬の状況を相談の中で話した場合、その提供をもって取得への同意があったものと解される場面があることを、ガイドライン（通則編）は説明しています（原文で確認が必要です）。しかし、事業者が申込みフォームや問診票で健康状態を尋ねる設計にしている場合は、何を、何のために取るのかを示したうえで、同意の意思を確認できる欄を設けておくほうが、後で同意の有無を説明しやすくなります。
申込みフォーム・問診票に載せる同意の確認欄
体調やお悩みに関する内容（持病、通院、服薬の状況を含みます）は、ご相談への対応と、次回以降のご案内の内容を決めるために使います。
これらは配慮を要する個人情報に当たる場合があるため、取得についてご同意をお願いしています。ご記入は任意で、記入いただかない場合も、ご相談は受け付けます。
□ 上記の取得と利用目的について同意します
記入が任意であること、記入しなくても相談を受けられることを示すと、同意の自由度が分かります。同意欄は、フォームの送信ボタンの前に置きます。
同意の取り方で、避けたい書き方が二つあります。一つは、ポリシーの中に「サービスを利用することにより、要配慮個人情報の取得に同意したものとみなします」と書く方法です。取得の場面で、何の情報について同意するのかが本人に見えない点で、同意の取り方として弱くなります。もう一つは、サービス全体の利用規約への同意と、要配慮個人情報の取得への同意とを、一つのチェック欄にまとめる方法です。どの情報の取得に同意したのかが分からなくなるため、取得に関する同意は、別の欄に分けるのが望ましい形です。
本人以外から聞く場合と、同意を断られたとき
20条2項の同意は、本人の同意です。家族や付き添いの方が、相談者本人の病状や通院の経過を話し、事業者がそれを記録に残すと、本人以外から要配慮個人情報を取得することになります。本人の同意が得られないまま記録に残すことは避け、本人の同意を得られる場面か、記録を残さずに聞くにとどめるかを、場面ごとに決めておきます。申込みを家族が代行する運用では、代行する人が本人の健康情報まで記入する欄を設けるかが、設計上の分かれ目になります。
同意を断られた場合の扱いも、あらかじめ決めておきます。同意が得られなければ、その項目を取らずにサービスを提供できるのか、サービスの提供自体が難しくなるのかを、ポリシーと申込みの場面で、誠実に示します。「同意しなければ一切サービスを提供しません」と書くかどうかは、その項目が本当にサービスに不可欠かどうかによります。不可欠でない項目を理由に、サービス全体の提供を断る書き方は、同意の自由度を損ないます。
同意後の取りやめにも備えます。本人が取得への同意を取りやめたい、記録を消したい、と求めたときの窓口と対応の流れを決めておきます。要配慮個人情報が、20条の規定に違反して取得されたものであるときは、本人は保有個人データの利用停止または消去を請求できます（35条1項）。請求に応じる手続は開示請求・窓口のページで扱います。
項目ごとに、目的と保管を書く：症状・相談内容・音声・写真
健康に関わる相談サービスでは、取得する情報が、症状の聞き取りだけにとどまりません。相談の様子を録音する、顔や体の一部の写真を撮る、施術やアドバイスの履歴を残す、といった情報が加わります。これらを「健康状態に関する情報」と一括りにして、利用目的も保管も一つにまとめると、項目ごとの違いが説明できません。次の表は、項目ごとに目的と保管の書き方を整理したものです。
項目ごとの目的と保管の考え方
| 項目 | 利用目的の書き方 | 保管と消去の考え方 | 注意 |
|---|---|---|---|
| 症状・相談内容 | 相談への対応、助言の内容を決めるため | 相談が終了した後の保管期間を決める。不要になったら消去 | 要配慮個人情報を含むため、同意を取得の場面で得る |
| 音声（録音） | 相談内容の記録、助言の内容の確認のため | 文字に起こした後に録音を消去するか、保管期間を決める | 録音すること自体を事前に知らせる。外部の文字起こしサービスに送る場合は流れを説明する |
| 顔・体の一部の写真 | 状態の経過の確認、助言の内容を決めるため | 保存先と期間、見られる人の範囲を決める | 広告や事例紹介への使用は、別の同意を取る |
| 施術・助言の履歴 | 次回以降の対応の内容を決めるため | 継続して利用する間は保管し、終了後の期間を決める | 履歴の保管期間は、固定の年数に頼らず、目的と運用に合わせる |
| アンケート・満足度の回答 | サービスの内容の改善のため | 集計後に個票を消去するか、期間を決める | 氏名と紐づけて保管するか否かを決める |
この整理で、とりわけ重要なのは、録音と写真です。録音や写真は、情報量が多く、本人が思っていた以上の内容が記録に残りやすいためです。録音を行う場合は、行うこと自体を事前に告げ、録音の目的（議事の記録、助言の確認など）、保管の方法、消去の時期を、ポリシーと申込みの場面の両方で示します。写真についても、撮影の目的、保存先、他の人に見られる範囲、広告への使用の有無を、撮影の前に説明します。広告や事例紹介への使用を考えている場合は、利用目的のページで整理した二段構え（利用目的に書き、取得の場面で別に同意を取る）が、そのまま当てはまります。
書き方の例（一般的な例） 健康に関わる情報の書き方
取得する情報
理由一括りでは、何を取るのかが分からず、要配慮個人情報を取得する旨の同意も取れないため
同意の書き方
理由取得の場面で同意を確認する形にそろえるため（20条2項）
保管の書き方
理由保管期間は目的と運用に合わせて特定し、不要になった情報は遅滞なく消去するよう努めるため（22条）
他の事業者への情報共有：委託・提供・共同利用のどれにあたるか
健康に関わる相談では、提携する医療機関や他の専門家に情報を引き継ぐ、複数の担当者で情報を共有する、といった場面が生じます。このとき、情報が他の事業者に渡る関係が、(1)委託、(2)第三者提供、(3)共同利用、のどれにあたるかで、必要な手続が変わります。
情報共有が生じやすい場面
提携先へ紹介する
起きがちなこと相談者の了承を得ないまま、状態の概要を提携先に伝える
整え方提供先、提供する項目、目的を示し、同意を得てから渡す（27条1項）
担当者間の共有
起きがちなこと同じ事業者の中で情報を見る人が、必要以上に広い
整え方見られる範囲を担当者に限る。別の事業者が加わるなら、委託・共同利用などの区分を確かめる
家族への連絡
起きがちなこと相談者の家族に相談内容を伝えてしまう
整え方本人の同意なく、家族を含む第三者に伝えない。緊急時の連絡先は別に定める
事例の発表・研究
起きがちなこと個人が特定されない形のつもりで、事例を講座や発信で用いる
整え方個人が特定されないか、本人の同意があるかを確かめる。目的に書く
要配慮個人情報である個人データは、本人の求めに応じて提供を停止することを前提に、同意なく第三者に提供する方式（27条2項）を使えません。提供には、原則として本人の同意が必要です。
共同利用（27条5項3号）の形で情報を共有する場合は、あらかじめ、共同して利用する旨、共同して利用する個人データの項目、共同して利用する者の範囲、利用する者の利用目的、個人データの管理について責任を有する者の氏名または名称および住所（法人にあっては代表者の氏名）を、本人に通知するか、本人が容易に知り得る状態に置く必要があります。共同利用の仕組みを使う場合は、これらの事項をポリシーに載せるのが基本です。
外国のAIやクラウドに送る場合：説明する範囲と「保存しない」の正確な意味
相談の内容を文字起こしする、助言の案を作る、といった目的で、外国の事業者が提供するクラウドやAIのサービスを使う事業が増えています。外国にある第三者に個人データを提供する場合は、原則として、あらかじめ外国にある第三者への提供を認める旨の本人の同意が必要です（28条1項）。この同意を得ようとする場合は、あらかじめ、その外国における個人情報の保護に関する制度、その第三者が講ずる個人情報の保護のための措置、その他本人に参考となるべき情報を提供しなければなりません（28条2項）。例外として、個人情報の保護の水準が日本と同等と認められる外国として個人情報保護委員会規則で定められた国や、相当措置を継続的に講ずる体制を整備している第三者は、28条1項の対象から除かれます。委託の形であっても、相手が外国にある事業者の場合は、28条の対象になり得ます。実際にどのサービスがどの区分に入るかは、条文と個人情報保護委員会の資料で確認が必要です。区分の早見表は外部サービスのページにまとめます。
また、ポリシーに「サービス事業者側ではデータを保存しません」と書く場合は、その範囲を正確に把握する必要があります。「送信される」「一時的に処理される」「保存される」「学習に利用される」は、別の事実だからです。外部サービスの規約や設定を確かめ、「音声は文字起こしのために外部サービスに送信されるが、文字起こしの完了後、サービス提供者側では保存されない設定にしている」のように、確かめた範囲を具体的に書きます。確認できないことを、断定的に書くのは避けます。
「医療機関ではない」旨の表示と、個人情報の扱い
サービスのページに「当サービスは医療機関ではありません」と表示している事業は多くあります。この表示は、サービスの内容の説明です。表示があるからといって、要配慮個人情報の取扱いの要請（取得の同意、安全管理、第三者提供の制限）が緩むことはありません。表示の中身そのものが他の法律に照らして適切かは、このガイドの範囲外ですが、プライバシーポリシーの側では、「医療機関ではない」ことと、「健康に関わる情報を取得する」ことを、両方、事実どおりに並べて書きます。
起きがちなこと：健康に関わる情報の記載と実態のずれ
起きがちなこと
- 医療機関ではないことを理由に、要配慮個人情報の取得の同意が必要ないと考え、一般的なひな形のまま運用している。
- 「健康状態に関する情報」と一括りにして、症状・音声・写真の項目ごとの目的と保管が説明されていない。
- 「利用した時点で要配慮個人情報の取得に同意したものとみなす」と書き、取得の場面での同意の確認を省いている。
- 提携先や他の専門家へ情報を渡す場面で、委託・提供・共同利用の区別がなく、同意の取得も書かれていない。
- 外国のAIやクラウドに音声・相談内容を送っているのに、外国への提供の説明がない。または「保存しない」と書き、その範囲が確かめられていない。
- 備考欄の自由記入を許し、持病や服薬の記載が想定外に集まっているのに、取得の同意や管理の備えがない。
来店型の事業で問診票を使う場合の共通の整理は店舗・教室型のページにあります。通販の形で健康関連の商品を販売する場合の情報の流れは通販・会員のページで整理しています。
よくあるご質問
医療機関ではないのに、要配慮個人情報の同意が必要になるのですか。
要配慮個人情報かどうかは、事業者が医療機関かではなく、取得する情報の内容で決まります（2条3項）。持病や通院の状況、医師の指導や服薬の内容といった病歴などの情報を、記録に残す形で取得するなら、事業者は医療機関でなくても、原則としてあらかじめ本人の同意が必要です（20条2項）。まず、サービスの提供に必要ない項目を尋ねない設計にし、取る必要がある場合に同意の確認欄を設けます。
相談の中でお客様が自分から持病を話してくれた場合も、同意が必要ですか。
本人が自らの意思で提供した場合に、取得への同意があったものと解される場面があることを、個人情報保護委員会のガイドライン（通則編）は説明しています。細かな範囲は原文で確認が必要です。ただし、申込みフォームや問診票で健康状態を尋ねる設計にしている場合は、何を、何のために取るかを示して、同意の確認欄を設けておくほうが、後から同意の有無を説明しやすくなります。
相談の様子を録音するときは、何を説明すればよいですか。
録音すること自体、録音の目的（記録、助言の内容の確認など）、保管の方法と期間、消去の時期、外部の文字起こしサービスなどに送る場合はその流れを、相談を始める前に示します。録音は情報量が多く、要配慮個人情報を含み得るため、プライバシーポリシーに書くだけでなく、申込みや相談の場面でも示すことが大切です。録音を事前に告げないまま、取得の事実を後から知らせる形は避けます。
提携先の医療機関にお客様を紹介するときに、情報を伝えてよいですか。
個人データを第三者に提供するには、原則として本人の同意が必要です（27条1項）。提供先、提供する項目、目的を示して、同意を得てから渡します。要配慮個人情報である個人データは、本人の求めに応じて提供を停止することを前提に同意なく提供する方式（27条2項）を使えません。紹介を前提とするサービスなら、申込みの段階で、提携先への提供について同意を確認する欄を設けておくのが実務的です。
外国のAIサービスに相談内容を送る場合、ポリシーにはどこまで書けばよいですか。
個人データを外国にある第三者に提供する場合は、あらかじめ外国にある第三者への提供を認める旨の本人の同意が必要で（28条1項）、同意を得る際には、その外国の個人情報の保護に関する制度、第三者が講ずる保護措置などの情報を提供しなければなりません（28条2項）。ただし、同等の水準の外国と規則で定められた国や、相当措置を継続的に講ずる体制を整備している第三者は対象から除かれます。どの場合に当たるかは、条文と個人情報保護委員会の資料で確認が必要です。ポリシーには、送信する情報、送信先の国や事業者の区分、送信の目的を、確かめた範囲で書きます。
あわせて読みたいページ
本ページは一般的な情報提供です。個別の事業への当てはめは、取り扱う情報の種類やサービスの仕組みによって異なることがあります。条文は e-Gov 法令検索（法令API）で確認した現行のものに基づき、まだ施行されていない改正は現行の内容として扱っていません。参考: e-Gov法令検索 / 個人情報保護委員会 / 総務省
