健保組合において個人データの漏えい等が発生した場合の対応はどのようにすればよいでしょうか。
健保組合は、その取り扱う個人データの漏えい等又はそのおそれのある事案（以下「漏えい等事案」という。）が発生した場合には、漏えい等事案の内容等に応じて、以下の各事項について必要な措置を講じる必要があります（ガイダンスⅢ６．及び「個人情報の保護に関する法律についてのガイドライン（通則編）」３－５－２参照）。
個別の事案ごとに判断することとなりますが、例えば、契約に基づき個人関連情報を継続的に提供している場合において、提供先の第三者が契約の定めに反して個人関連情報を個人データとして利用したことが明らかになった場合、提供先の第三者は引き続き個人関連情報を個人データとして利用することが窺われるため、その後の個人関連情報の提供については、提供先の第三者における個人関連情報の取扱いを確認した上で、「個人データとして取得する」ことが想定されるかどうかを判断する必要があります。
認定個人情報保護団体は、個人情報取扱事業者の個人情報の適正な取扱いの確保を目的とする業務を行うものとして、個人情報保護委員会から認定を受けた法人ですが、健康保険制度においては、傘下の健保組合を対象に、個人情報保護に係る普及・啓発を推進するほか、法の趣旨に沿った指針等を自主的なルールとして定めたり、個人情報の取扱いに関する被保険者等のための相談窓口を開設するなど、積極的な取組みを行うことが期待されています。
個人データの取扱いの委託に当たり、委託先の監督の一環として、委託先の従業員等から守秘義務等に係る誓約書を取得したり、委託先の従業員等の個人情報の提出を求めたりすることも、その手法の一つと考えられますが、これが義務付けられるわけではありません。なお、委託元は、委託先からその従業員等の個人情報又は個人データの提供を受ける場合には、これに伴い必要となる個人情報保護法上の義務（利用目的の通知又は公表等）を果たす必要があります。
個人情報を保護するため，システムにはユーザ認証機能，アクセス制御機能，証跡管理機能，システム監視機能等を持たせるとともに，情報を送受信する場合はＳＳＬ等を用いて情報を暗号化します。また，不正プログラム対策，外部からの攻撃への対策も併せて講じています。
委託先が取り扱う個人データの漏えい等が生じていないことから、委託先は報告義務を負わないと考えられます。
健康保険の適用事業所が健康保険組合に加入することになり、年金事務所へCD（DVD）による届出に併せて健康保険組合及び厚生年金基金へのCD（DVD）による届出を希望する場合には、新たな健康保険組合の情報を「健康保険組合情報登録」で行ったうえで、「事業所情報登録」で「組合あり」をチェックし、先に登録した健康保険組合を登録し、保存してください。　上記により、従前で作成した登録被保険者情報をそのまま利用することが可能となります。（届書データについては利用できません。）
警察や検察等捜査機関からの照会や事情聴取は、個人情報保護法第２３条第１項第１号の「法令に基づく場合」に該当し、患者本人の同意を得ずに回答しても同法違反とはなりません。また、災害発生時等における照会については同法第２３条第１項第４号に該当すると考えられることから、これらに関する取扱いを変更する必要はなく、従来どおりの対応が可能と考えます。
事業者と健保組合とは異なる主体であるので、健診実施者が他に健診結果を提供する場合は、原則として、あらかじめ本人の同意が必要です。ただし、事業者が健康保険法第 150 条第２項に基づく健保組合の求めに応じて、健診結果を提供する場合については、法第 27 条第１項第１号の「法令に基づく場合」に該当するため、本人同意は不要です。