法第28条第２項に基づく情報提供を行った上で、外国にある第三者への個人データの提供を認める旨の本人の同意を得て外国にある第三者に個人データを提供した後に、当該外国における個人情報の保護に関する制度の改正があった場合、本人に対して、改正後の制度に関する情報を提供した上で、再度同意を得る必要がありますか。
施行規則第17条第２項第２号の「外国における個人情報の保護に関する制度に関する情報」は、一般的な注意力をもって「適切かつ合理的な方法」により確認したものである必要がありますが、「適切かつ合理的な方法」により確認を行った「外国における個人情報の保護に関する制度に関する情報」を提供した上で外国にある第三者への個人データの提供を認める旨の本人の同意を取得した後に、当該外国における個人情報の保護に関する制度についての変更があった場合であっても、既に取得された同意の有効性には影響を及ぼさないものと考えられます。
診療録等に記載された情報は、個人情報取扱事業者である病院が管理しているものであり、これを退職した医師に提供することは、個人データの（事業者である病院から医師個人に対する）第三者提供に該当します。したがって、医師に氏名、住所等を提供する場合には、あらかじめ患者本人の同意を得る必要があり、同意を得た範囲の患者の個人データについては、医師に提供することは可能です。
個人情報取扱事業者は、個人情報保護法第22条に基づいて、データ内容の正確性の確保に努めることが求められています。したがって、個人番号が変更されたときは本人から事業者に申告するよう周知しておくとともに、一定の期間ごとに個人番号の変更がないか確認することが考えられます。（平成29年5月更新・令和４年４月更新）
法第31条第１項は、個人関連情報の第三者提供一般に適用されるものではなく、提供先の第三者が個人関連情報を「個人データとして取得することが想定される」場合に限り適用されます。
通報に関する秘密保持や個人情報保護の徹底を図るため、行政機関向けガイドライン(外部の労働者等からの通報)では、通報対応の段階ごとに遵守すべき事項をあらかじめ取り決めて、通報又は相談への対応に関与する者に対して十分周知することとしています。 同ガイドラインは、通報への対応を行うに際して共通して遵守すべき事項のうち、特に重要なものとして、•情報を共有する範囲及び共有する情報の範囲を必要最小限に限定すること•通報者等の特定につながり得る情報(通報者等の氏名、所属等の個人情報のほか、調査が通報を端緒としたものであること、通報者等しか知り得ない情報等を含む。)については、調査等の対象となる事業者に対して開示しないこと•調査等の対象となる事業者に対し、通報対応を適切に行う上で真に必要な最小限の情報を開示する場合には、通報者等の書面、電子メール等による明示の同意を取得すること•上記の同意を取得する際には、開示する目的及び情報の範囲並びに当該情報を開示することによって生じ得る不利益について、明確に説明することなどを例示的に掲げています。このように、同ガイドラインでは、当該調査が通報を端緒としたものであること等、通報者の特定につながり得る情報については、調査等の対象となる事業者に対して開示しないことが定められており、通報等があったことを事業者に伝えることも適切ではありません。やむを得ず伝えることが必要な場合には、通報者の意向を確認するため、通報者本人の書面、電子メール等による明示の同意を取得することが必要と考えられます。
健保組合は専門業者に特定保健指導を委託するところ、健保組合が、その利用目的の達成に必要な範囲内において個人データの取扱いを専門業者に委託することに伴って当該個人データを提供する場合には、当該提供先である専門業者は「第三者」に当たらないため、健診結果の提供に当たり、本人の同意を得る必要はありません（法第 27 条第５項第１号）。
健保組合の利用目的の達成に必要な範囲内において、個人データの取扱いの全部又は一部を委託することに伴い当該個人データを提供する場合は、当該個人データを受ける者は「第三者」に該当しないため、あらかじめ、本人の同意を得ることは不要です（法第 27 条第５項第１号）。ただし、可能な限り、個人情報をマスキングするなどの対策を講じた上で、委託するよう努めることが望ましいと考えます。（委託元、委託先双方にて、安全管理措置を講じる必要はあります。）
事業者が健康保険法第 150 条第２項に基づく健保組合の求めに応じて、健診結果を提供する場合については、法第 27 条第１項第１号の「法令に基づく場合」に該当するため、本人同意は不要です。
当初の提供の際に作成した記録の枠内であれば、改めて、確認・記録義務は適用されません。なお、当初に作成した記録の範囲内にとどまらず、実質的に新規の第三者提供と同視される場合は、確認・記録義務が適用されるものと考えられます。