介護・福祉サービスの個人情報と同意書

介護・福祉サービスの事業所が扱う情報は、氏名や住所にとどまりません。心身の状態、病歴、障害の内容、要介護の区分、服薬、家族の構成、住まいの様子、緊急時の連絡先、ときには写真や映像まで含まれます。これらを使うたびに本人の同意が要るわけではありませんが、指定を受けた事業所には、個人情報保護法に加えて、運営基準が「あらかじめ文書により同意を得ておくこと」を求める場面があります。どの情報を、どの目的で、誰に、どの方法で使うのかを、契約書と同意書の双方で一致させておくことが、書類づくりの中心です。

このページでは、(1) 同意が必要な場面と、利用目的の明示だけで足りる場面の区別、(2) 運営基準が求める文書による同意、(3) 要配慮個人情報、(4) 第三者提供・委託・共同利用、(5) 家族の情報、(6) 開示・訂正・利用停止の請求、(7) 写真・映像・見守り機器と保存・廃棄を、順に整理します。外国にある第三者への提供については、条文の位置づけを短く触れるにとどめます。医療や介護の専門的な判断（記録に何を書くべきか、共有すべき情報の範囲が適切か）には立ち入りません。

「同意が要る場面」と「目的の明示で足りる場面」を分ける

個人情報保護法は、個人情報の取扱いについて、本人の同意を一律に求めているわけではありません。同意が必要になるのは、法律が特に定めた場面です。逆に、同意がなくても適法に使える場面が多くあり、その分、利用目的を特定して本人に示すことが、他の何よりも重要になります。

つまり、日常のサービス提供のために必要な範囲の利用（請求、記録、連絡、緊急時の対応など）は、利用目的を特定して契約書や同意書で明示しておけば足りる場合が多く、改めて「同意」の署名を求める必要はありません。一方、利用目的の範囲を超えるとき、要配慮個人情報を取得するとき、第三者に提供するときは、同意が必要になります。同意書の署名欄にあらゆる利用を詰め込むのではなく、「明示すれば足りるもの」と「同意が必要なもの」を分けて書くと、同意の意味が利用者や家族にも伝わりやすくなります。

運営基準が求める「文書による同意」：担当者会議と他の事業者への情報提供

指定を受けた事業所には、個人情報保護法とは別に、運営基準の側で、文書による同意が求められています。訪問介護の例では、居宅基準33条3項が、サービス担当者会議等において、利用者の個人情報を用いる場合は利用者の同意を、利用者の家族の個人情報を用いる場合は当該家族の同意を、あらかじめ文書により得ておかなければならないと定めています。サービス担当者会議とは、ケアプランの作成や見直しのために、利用者や家族、居宅介護支援事業者、各サービスの事業者などが集まって情報を共有し、意見を出し合う会議です。

障害福祉サービスの基準では、少し違う形で書かれています。障害基準36条3項は、他の指定事業者等に対して、利用者またはその家族に関する情報を提供する際は、あらかじめ文書により当該利用者または家族の同意を得ておかなければならないとしています。つまり、会議の場面に限らず、他の事業者への情報提供という行為が基準の対象です。

ここで押さえておきたいのは、運営基準の「文書による同意」は、個人情報保護法の同意とは別の義務だということです。個人情報保護法の上では、法令に基づく場合や、生命・身体の保護のために必要で同意を得ることが困難な場合などに同意なしで提供できる例外があっても、運営基準が求める文書による同意の取得は、事業所として別に必要です。契約書の個人情報条項や、プライバシーポリシーだけで運営基準の同意をまかなったつもりでいると、基準の求める「あらかじめ」「文書により」「家族の情報は家族の同意」という三つの要素のどこかが欠けやすくなります。

要配慮個人情報は、取得の段階で同意を取る

介護・福祉サービスの事業所が扱う情報の多くは、「要配慮個人情報」を含みます。個人情報保護法2条3項は、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報を、要配慮個人情報としています。政令（個人情報の保護に関する法律施行令2条）は、身体障害、知的障害、精神障害（発達障害を含む）などの心身の機能の障害があること、医師等が行った健康診断その他の検査の結果、健康診断等の結果に基づく指導や診療・調剤が行われたことなどを挙げています。

要介護認定の区分や、日常生活の状況の記録そのものが、すべて要配慮個人情報に当たると言い切ることはできません。ただ、病歴や、障害の内容、診療の事実が書かれている書類（主治医の意見書、診療情報、サービス提供記録の一部など）を事業所が取得するときには、要配慮個人情報に当たることが多くなります。そのため、取得の段階で、あらかじめ本人の同意を得る必要があります（個人情報保護法20条2項）。ただし、法令に基づく場合や、人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難なときなどは、同意なしの取得が認められます。

実務上の問題は、情報を誰から取得するかです。介護・福祉の現場では、利用者本人からだけでなく、家族、居宅介護支援事業者、医療機関、市町村などから情報が入ってきます。要配慮個人情報を本人以外から取得する場合も、原則として本人の同意が必要です。利用者が意思を示しにくい場合は、同意の取り方が問題になりますが、これは代理や後見の問題と重なるため、契約者は誰か（本人・家族・代理人・成年後見人）のページを参照してください。

第三者提供・委託・共同利用を、書面の上で区別する

個人データを外部に出す場面は、(1) 本人の同意を得て第三者に提供する、(2) 利用目的の達成に必要な範囲で委託する、(3) 特定の者との間で共同して利用する、の三つに整理できます。個人情報保護法27条5項は、委託（1号）、事業の承継（2号）、共同利用（3号）の場合を、第三者に当たらないものとしています。事業所の書類では、この区別が曖昧なまま「第三者に提供することがある」「業務委託先に提供することがある」が並んでしまうことがあります。

どの場面に当たるかは、情報を受け取る側が自分の判断で情報を使うのか、事業所の指示の範囲で処理するだけなのか、といった実態によって決まります。契約書に「業務委託先」と書いても、受け手が自社の目的で情報を使うのであれば、委託とは評価されません。委託先を使う場合は、安全管理措置（23条）、従業者の監督（24条）に加えて、委託先の監督（25条）が必要になるため、委託契約で、秘密保持、目的外利用の禁止、再委託の制限、事故時の報告、終了時の返却・消去などを定めておく書き方が一般的です。

また、個人データの漏えいなどで個人の権利利益を害するおそれが大きい事態が生じたときは、個人情報保護委員会への報告と本人への通知が必要になります（26条）。事故が起きたときの運営基準上の連絡義務との関係は、事故対応と損害賠償条項のページで扱っています。

家族の情報は、家族の同意が別に要る

介護・福祉サービスの契約書や記録には、利用者本人の情報だけでなく、家族の情報が入ります。緊急連絡先、同居の有無、家族構成、家族の勤務先や健康状態に関する記述、キーパーソンとして位置づけられた家族の氏名などです。これらは、家族自身にとっての個人情報であり、利用者の個人情報とは別に保護されます。居宅基準33条3項が、家族の個人情報を用いる場合は当該家族の同意を文書で得ると定めているのは、この区別のためです。

利用契約の書類では、次のような場面で、家族の同意が抜け落ちやすくなります。

特に、家族から利用者の情報の開示を求められたとき、「家族だから」という理由だけで本人の情報を伝えると、本人に対する守秘義務（居宅基準33条1項、障害基準36条1項）や、個人情報保護法の第三者提供の制限に抵触するおそれがあります。契約書や同意書に、情報を共有してよい家族の範囲と、その範囲の変更の方法を書いておくと、現場の判断が揃います。

開示・訂正・利用停止の請求と、家族・代理人からの請求

個人情報保護法は、本人に、自分の保有個人データについて、開示（33条）、訂正・追加・削除（34条）、利用停止・消去・第三者への提供の停止（35条）を請求する権利を認めています。保有個人データとは、事業者が開示や訂正などを行う権限を有する個人データです（16条4項）。介護・福祉サービスの提供記録、ケアの計画、利用者の申込書などは、通常これに当たります。

開示を請求されたとき、事業者は、本人が請求した方法（電磁的記録の提供を含む）により遅滞なく開示しなければなりません（33条2項）。ただし、本人または第三者の生命、身体、財産その他の権利利益を害するおそれがある場合、業務の適正な実施に著しい支障を及ぼすおそれがある場合、他の法令に違反することとなる場合は、全部または一部を開示しないことができます。開示しない決定をしたときは、本人にその旨を遅滞なく通知します（同条3項）。

請求の受付方法は、事業者が政令に従って定めることができます（37条1項）。同時に、請求は代理人によってもすることができ（同条3項）、手続を定めるときは本人に過重な負担を課さないよう配慮しなければなりません（同条4項）。利用者が自分で請求できない状況（認知症、障害、入院など）では、家族や後見人などが代理人として請求することになりますが、「家族だから当然に請求できる」わけではありません。契約書やプライバシーポリシーに、請求の方法（窓口、書面の様式、本人確認の方法）と、代理人が請求するときの確認書類を示しておく書き方が、実務では整います。

写真・映像・見守り機器と、保存・廃棄

介護・福祉の現場では、利用者の顔写真、行事の写真、居室や訪問先の様子の撮影、見守りカメラやセンサーの映像・位置情報など、文字以外の情報も多く記録されます。顔が識別できる写真や映像は、個人情報に当たります（個人情報保護法2条1項は、特定の個人を識別できる情報を個人情報としています）。これらを何に使うのかによって、必要な手続が変わります。

見守り機器の映像や位置情報は、利用者の行動を継続して記録するため、取得に際して、利用者本人の意思を確かめる手続が重要です。本人が意思を示しにくい場合は、家族の同意をもって足りるのかが問題になりますが、これは、機器の設置が本人の生活の自由や尊厳を制限する程度に左右されます。身体の動きを制限する性質をもつ措置との関係は身体拘束等の禁止と契約書・同意書のページで整理しています。

保存と廃棄については、運営基準が記録の保存期間を定めています。訪問介護の例では、居宅基準39条2項が、訪問介護計画、提供した具体的なサービスの内容等の記録、身体的拘束等の記録、苦情の内容等の記録、事故の状況等の記録などを、その完結の日から二年間保存すると定めています（なお、保存期間の起算点や年数は、サービスの種類や自治体の条例によって異なることがあります）。有料老人ホームについては、老人福祉法29条6項と同法施行規則20条の6が、帳簿の作成を求め、その保存期間を作成の日から二年間としています。個人情報保護法の上では、利用する必要がなくなった保有個人データについて、利用者が利用停止・消去を請求できる場合があります（35条5項）。

つまり、契約が終わっても、運営基準上の保存義務がある記録は、一定の期間は消去できません。他方で、保存期間が過ぎた記録や、基準上の保存義務のない写真・映像などは、利用目的を達成したら消去する、という運用を、プライバシーポリシーや重要事項説明書に書いておくことが望まれます。契約終了時の情報の取扱いは、契約解除・利用停止・提供拒否のページでも触れています。

起きがちなこと

個人情報の取扱いは、日常の業務に溶け込んでいるため、書面と実態のずれに気づきにくい分野です。契約書、同意書、プライバシーポリシー、重要事項説明書の四つで、同じ利用目的と同じ窓口が示されているかを、年に一度でも見直しておくと、ずれを小さくできます。

よくあるご質問

あわせて読みたいページ

本ページは一般的な情報提供です。個別の契約への当てはめは、サービスの種類、契約書の文言、利用者の状況によって異なることがあります。書き方の例として紹介している内容は、一般に見られる書き方を整理した例で、特定の事業者や案件を示すものではありません。医療や介護の専門的な判断（身体拘束の要否、ケアの内容の適否など）には立ち入りません。条文は e-Gov 法令検索（法令API）で確認した現行のものに基づき、まだ施行されていない改正は現行の内容として扱っていません。参考: e-Gov法令検索 / 厚生労働省 / 消費者庁 / 個人情報保護委員会