相談支援事業所、他法人のグループホーム、就労先、医療機関。福祉の現場では、法人や事業所の境界をまたいで支援情報をやり取りする場面が日常的にあります。この記事は、介護・障がい福祉・児童福祉の事業所を運営する経営者・管理者に向けて、その共有を個人情報保護法の枠組みでどう整理するかをまとめます。
実務でつまずくのは、「連携のために必要だから」という理由が、そのまま提供してよい根拠になると考えてしまう点です。必要性は共有の動機ではあっても、法的な根拠ではありません。根拠は、本人の同意か、法令に基づく例外か、共同利用などの枠組みのいずれかに求める必要があります。
まず分けるべきは「同一法人内」か「法人をまたぐ」か
同一法人内の事業所間は第三者提供ではない
個人情報保護法上の「第三者」は法人単位で考えます。したがって、同一法人が運営する別事業所へ情報を渡すことは、それ自体が第三者提供には当たりません。多機能型事業所や、同一法人で入所・通所・相談支援を持つ場合の内部共有がこれに当たります。
ただし第三者提供に当たらないことと、何をしてもよいことは別です。取得時に本人へ示した利用目的の範囲を超えていないか、閲覧できる職員の範囲を絞れているか、という点は別途問われます。むしろ法人内のほうが「渡してよい」と判断されやすく、範囲が曖昧になりがちです。法人としての保管ルールの作り方は支援記録の保管場所を法人で統一する|クラウド利用時の確認項目で整理しています。
法人をまたぐ共有は原則として第三者提供
別法人の事業所、他の相談支援事業所、就労先の企業、医療機関への提供は、原則として第三者提供に該当します。本人の同意を得るか、法令に定められた例外に当たるか、共同利用等の枠組みを事前に整えるかのいずれかが必要になります。生成AIサービスの利用がこの判断のどこに位置づくかについては生成AI活用における「委託先」と「第三者提供」の判断基準の実務で扱っています。
要配慮個人情報という前提を外さない
障がいがあること、病歴、診断名、服薬状況といった情報は、個人情報保護法上の要配慮個人情報に当たります。福祉事業所が扱う支援情報の多くは、この区分に該当する情報を含みます。
ここで重要なのが、要配慮個人情報についてはオプトアウトによる第三者提供が認められていない点です。個人情報保護委員会のガイドライン(通則編)では、要配慮個人情報をオプトアウトにより第三者に提供することはできない旨が示されています(出典: 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン(通則編)」)。
つまり「本人から特に拒否されていないから提供してよい」という運用は成り立ちません。同意を取っていない状態は、拒否されていない状態とは別物です。要配慮個人情報の具体例は要配慮個人情報とは何か|障がい福祉サービスでの具体例にまとめています。
共同利用として運用する場合に決める5項目
継続的に情報をやり取りする相手が定まっている場合、その都度同意を取り直すのではなく、共同利用の枠組みで整理する方法があります。個人情報保護委員会のガイドライン(通則編)では、共同利用にあたり、あらかじめ本人に通知するか、本人が容易に知り得る状態に置くべき事項として次の5つが示されています(出典: 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン(通則編)」)。
1. 共同して利用する旨
共同利用を行うこと自体を明示します。ここが書かれていないまま、項目だけが並んでいる例が見られます。
2. 共同して利用される個人データの項目
氏名、住所、電話番号といった項目を具体的に列挙します。「支援に必要な情報一切」のような包括的な書き方では、本人が何を共有されるのか判断できません。
3. 共同して利用する者の範囲
本人が、どの事業者が対象なのかを判断できる程度に明確にする必要があります。法人名を列挙するのが最も確実です。「関係機関」だけでは範囲が定まりません。
4. 利用する者の利用目的
共有先が何のために使うのかを示します。項目ごとに目的が異なる場合は、区別して記載します。
5. 管理について責任を有する者の氏名または名称および住所
開示請求や苦情の申し出を受ける窓口となる主体です。連携の中心となる法人が担うことが多くなります。
共同利用が向く場面・向かない場面
共同利用が有効なのは、連携先が固定されていて、情報のやり取りが継続的に発生する関係です。逆に、単発の照会や、相手が事前に特定できない共有には向きません。その場合は、その都度の本人同意で対応するほうが実態に合います。枠組みを決めずに慣行で渡すことが、最も避けるべき状態です。
生成AIを使う場合に追加で確認すること
共有される「元の記録」がAI生成物である場合
AIが下書きした支援記録をそのまま他法人へ渡すと、確認されていない記述が事業所の見解として外部に出ることになります。共有する前に人が内容を確認する工程を、共有フローの中に明示的に置いてください。
AIサービスへの入力は共有とは別の論点
他法人への共有をどう整理するかと、AIサービスに入力してよいかは別の判断です。後者は委託の枠組みや、入力内容が学習に利用されない設定になっているかといった観点で個別に確認する必要があります。
共同利用の範囲に事業者を含めるかは慎重に判断する
連携先の法人を共同利用の範囲に加えることと、AIサービス事業者を加えることは意味が異なります。安易に同じ枠に入れず、事業者との関係が委託に当たるのかを先に整理してください。委託先管理の実務はAIベンダーの監督義務とは|委託先管理4つの実務で扱っています。
事業所として整えておく3つの実務
1. 共有の類型を一覧にする
「誰に・何を・どの根拠で」渡しているかを、実際に発生している類型ごとに書き出します。書き出してみると、根拠が空欄のまま慣行で続いている経路が見つかることが多くあります。
2. 同意書と掲示の内容を実態に合わせる
同意書の文面が数年前のままで、実際の連携先が増えているケースがあります。共同利用の範囲を掲げているなら、その内容は実態と一致している必要があります。
3. 渡した記録を残す
いつ、誰に、何を渡したかを残しておくと、本人からの照会や苦情があった際に事実を説明できます。記録がないと、適切に運用していたことを示す手段がありません。
よくある質問
Q. 同じ法人内なら、どの事業所の職員も支援記録を見てよいのですか。
第三者提供には当たりませんが、閲覧範囲を無制限にしてよいという意味ではありません。取得時の利用目的の範囲内であること、業務上必要な職員に限ること、閲覧記録が残ることを別途整える必要があります。
Q. 緊急時に他機関へ情報を伝える場合も、必ず同意が必要ですか。
個人情報保護法には本人同意によらず提供できる場合の定めがあり、生命・身体の保護に必要で本人の同意を得ることが困難な場合などが含まれます。ただし該当性の判断は個別の状況によるため、平時のうちに想定される場面と判断者を決め、実際に提供した際の記録を残す運用にしておくのが実務的です。
Q. 共同利用の5項目は、どこに掲げればよいですか。
あらかじめ本人に通知するか、本人が容易に知り得る状態に置くことが求められます。事業所のウェブサイトや、契約時にお渡しする書面など、本人が実際に確認できる場所であることが要点です。作成して保管しているだけでは条件を満たしません。
監修
株式会社オルデンティアコーポレーション 福祉DXコンサルタント
福祉施設のDX・生成AI活用を専門に支援。本記事は現場の実務課題に基づき執筆・監修しています。