通所介護（デイサービス）の個人情報保護研修、利用者情報の管理と漏えい時の対応を整理する。

通所介護（デイサービス）は、利用者の氏名・住所・介護保険情報・病状・家族構成など、日常業務の中で多量の個人情報を取り扱います。根拠は2つあり、指定居宅サービス等の事業の人員、設備及び運営に関する基準（以下「指定基準」）の秘密保持規定と、個人情報の保護に関する法律（平成15年法律第57号。以下「個人情報保護法」）です。どちらも従業者への定期的な研修の実施を求めています。

この記事では、通所介護の個人情報保護研修で扱うべき内容・安全管理措置の具体例・漏えいが起きた場合の対応手順を整理します。

個人情報保護研修の義務根拠は2つある

指定基準（平成11年厚生省令第37号）では、通所介護に従事する者が正当な理由なく業務上知り得た利用者または家族の秘密を漏らすことを禁じています。この義務は退職後も継続します。事業者には、採用時の契約等において従業者が退職後も秘密を保持するよう必要な措置を講じることが求められています。

個人情報保護法上の義務も重なります。通所介護事業者は「個人情報取扱事業者」に該当するため、利用目的の特定・通知・公表、安全管理措置の実施、第三者への提供制限等の義務を負います。

厚生労働省「福祉・介護関係事業者における個人情報の適正な取扱いのためのガイダンス」（2017年5月30日・最終改正2022年4月。以下「ガイダンス」）では、介護サービス提供に際しての個人情報の取り扱いについて具体的な指針が示されています。研修内容を組み立てる際の参考になります。

通所介護で取り扱う個人情報の範囲は広い

通所介護の日常業務で取り扱う個人情報の範囲は、次のとおりです。個人情報保護法上の「個人情報」は、生存する個人に関する情報で、氏名・生年月日などにより特定の個人を識別できるもの、または個人識別符号が含まれるものです。

通所介護で取り扱う個人情報の例

区分	具体例
基本情報	氏名・住所・電話番号・生年月日
介護保険関連	介護保険番号・要介護度・ケアプラン・認定情報
医療・健康情報	病名・服薬情報・主治医名・医療機関名・バイタルデータ
生活情報	家族構成・緊急連絡先・経済状況・宗教的信条
サービス記録	個別機能訓練記録・ADL評価・転倒・事故記録
画像・映像	写真・動画（活動記録・リハビリ記録等）

なかでも病歴・障害・健康診断の結果などは「要配慮個人情報」にあたります。要配慮個人情報の取得には原則として本人の同意が必要で（個人情報保護法第20条第2項）、第三者提供にも本人の明示的な同意が求められます（第27条）。

家族への情報提供も本人の同意が原則

利用者の家族であっても、個人情報保護法の観点では利用者本人とは別の個人です。病状・介護状況等を家族に伝える場合も、原則として本人の同意が根拠になります。

介護現場では「家族ならよい」という判断が誤りになる場面があります。本人の意思で家族への情報提供を断っているケースや、本人と家族の意向が異なるケースがその例です。

ただし、利用者が意思確認できない状態にあり緊急性がある場合は、個人情報保護法上の例外（本人の生命・財産の保護のために必要で、本人の同意を得ることが困難な場合）に該当することがあります（同法第18条第3項第2号）。本人の状態と緊急性に応じた個別の判断が必要です。

なお、認知症があり意思決定能力が十分でない利用者への対応については、画一的なルールで処理するのではなく、ガイダンスも参照しながら本人の状態に即した対応をとります。

第三者提供が認められる介護現場の主なケース

個人情報の第三者提供は、本人の同意を得るのが原則です。ただし、介護サービスの実務では、次のような例外があります。

第三者提供が認められる主なケース（介護現場）

ケース	根拠	注意点
緊急時に医療機関へ情報提供する	本人の生命・財産保護のために必要で、本人の同意を得ることが困難（第27条第1項第2号）	緊急性があること
法令に基づく行政への報告	法令に基づく場合（第27条第1項第1号）	報告義務の範囲内
委託先への提供（システム会社等）	委託の場合は「第三者提供」に該当しない	委託先の監督義務あり
ケア会議での情報共有	利用目的として事前に通知・公表しており、本人の同意を得ている場合	重要事項説明書の記載を確認

ケア会議（サービス担当者会議等）での情報共有は、通所介護の実務では日常的に行われています。これを適法に行うには、利用開始時の重要事項説明書等で「関係機関との情報共有」が利用目的に含まれていることと、本人・家族の同意を得ていることが前提です。

安全管理措置は紙・デジタル・口頭の3区分で整理する

個人情報保護法は、事業者に「個人データの漏えい・滅失・毀損を防止するために必要かつ適切な安全管理措置」を義務付けています（第23条）。通所介護の現場では、次の3区分で対策を整理します。

紙の記録の管理

管理項目	具体的な対応
保管	施錠できるキャビネットに保管する
持ち出し	業務上必要な範囲に限定。外出先でのファイル紛失リスクに注意する
廃棄	シュレッダーまたは事業者が定めた廃棄方法をとる
閲覧制限	業務上必要な従業者以外が閲覧できないよう管理する

電子データの管理

管理項目	具体的な対応
アクセス制御	担当者ごとにアカウントを設定し、閲覧・操作権限を管理する
パスワード	定期的な変更・使い回しの禁止
外部記録媒体	USBメモリ等の持ち出しはルールに基づいて管理する
通信	個人情報を含むメール送信には暗号化や確認手続きを設ける

口頭・会話の管理

管理項目	具体的な対応
送迎時	利用者宅周辺での大声での情報共有を避ける
電話対応	本人確認ができていない電話への安易な情報提供を避ける
SNS	利用者情報・内部情報の投稿禁止を徹底する

SNSへの投稿による個人情報漏えいは、若い職員を中心に発生しやすい事案です。「特定できなければよい」という認識が誤りであること（複数の情報の組み合わせで特定できる場合があること）を研修で扱います。

漏えいが起きた場合は個人情報保護委員会への報告義務が生じるケースがある

2022年の個人情報保護法改正（2022年4月施行）で、一定の個人データの漏えい等が発生した場合に、個人情報保護委員会への報告と本人への通知が義務化されました（第26条）。

報告義務が生じる漏えいの種類

漏えいの種類	対象
要配慮個人情報（病歴・障害等）の漏えい	件数を問わず対象
財産的被害が生じる恐れのある漏えい（クレジットカード番号等）	件数を問わず対象
不正アクセスによる漏えい	件数を問わず対象
1,000人を超える個人データの漏えい	人数基準で対象

介護現場での漏えいは規模が小さいことも多く、報告義務が発生しない場合もあります。ただし、要配慮個人情報（病状・障害等）の漏えいは件数を問わず対象となります。通所介護では病名・服薬情報・要介護度などを日常的に扱っているため、ひとり分の情報でも漏えいがあれば報告義務の検討が必要です。

報告の期限は、速報は「知った時から概ね3〜5日以内」、確報は「知った時から30日以内（不正の目的がある場合は60日以内）」です（個人情報の保護に関する法律施行規則第10条）。

漏えい発生時の社内対応手順

報告義務の有無にかかわらず、漏えいが発生した場合の社内対応手順を研修で確認しておきます。

1. 事実確認（何が・いつ・どのような状況で漏えいしたか）
2. 管理者への即時報告
3. 被害の拡大防止措置（アカウントの停止・書類の回収等）
4. 本人・家族への通知（対象となる場合）
5. 個人情報保護委員会への報告（義務がある場合）
6. 再発防止策の検討・記録

退職者への誓約書・守秘義務の管理が抜けやすい

指定基準では、従業者が退職後においても秘密を保持するよう必要な措置を講じることが事業者に求められています。実務では、採用時の契約書や誓約書に「退職後も守秘義務を遵守する」旨の条項を盛り込んでおくことが対応になります。

退職者が元利用者の情報をSNSに投稿するケースは実際に起きています。採用時の書面対応と、研修での周知を組み合わせて対応します。

研修は年1回以上、採用時にも実施する

指定基準には個人情報保護研修の開催頻度の明示規定はありませんが、厚生労働省のガイダンスでは「従業者に対し、個人情報の適正な取扱いに関する研修等を定期的に行うこと」を求めています。実務上は年1回以上の実施が一般的です。新入職員に対しては採用時にも実施します。

研修の記録には次の項目を残します。

記録項目	内容
実施日	研修を行った日付
研修テーマ	当日扱った内容のタイトル（例：個人情報保護研修）
参加者	参加した従業者の氏名または署名と人数
資料	使用したレジュメや資料を添付または別保管

研修記録は、行政の実地指導でも確認される書類です。テーマの選定・実施・記録・保管まで、一連の流れを整備しておきます。

通所介護の法定研修義務の全体像については、通所介護（デイサービス）の法定研修義務、必須テーマと年間スケジュールも参照してください。

毎年の研修テーマの準備や、研修資料・記録様式をひとまとめにした法定研修・訓練キット（通所介護版）もあります。

（出典：指定居宅サービス等の事業の人員、設備及び運営に関する基準（平成11年厚生省令第37号）・個人情報の保護に関する法律（平成15年法律第57号）・厚生労働省「福祉・介護関係事業者における個人情報の適正な取扱いのためのガイダンス」2017年5月・2022年4月改訂）