歯科医院の個人情報、令和8年4月にガイダンス改正

2026年10月5日

受付で「うちの母のカルテを見せてほしい」と言われた。スタッフが患者さんの話を院外でしていた。どちらも、法律の話につながります。

先に結論を3つ。①歯科医院が持っている診療の記録は「要配慮個人情報」です。ふつうの個人情報より扱いが厳しくなります。②院内の掲示が、同意の土台になります。③漏らしてしまったときは、個人情報保護委員会への報告と、本人への通知が要ります。

拠り所は、個人情報保護法と、厚生労働省と個人情報保護委員会が出しているガイダンスです。ガイダンスは令和8年4月に一部が改正されました。手元に古い版を置いている医院は、差し替える対象です。改正で何が動いたかは、厚生労働省が新旧対照表を別に公開しているので、そちらで見てください。この記事は、改正後の版に沿って中身を並べます。カルテそのものの置き方は歯科医院のカルテ保存期間は5年 ── 帳簿は何年かにまとめています。

診療の記録は、ふつうの個人情報ではない

個人情報保護法は、扱いに特に配慮が要るものを「要配慮個人情報」として別枠にしています。根拠は法第2条第3項と、政令・規則です（e-Gov法令検索個人情報保護法（個人情報の保護に関する法律））。

ガイダンスは、医療機関でこれに当たるものを具体的に挙げています（厚生労働省・個人情報保護委員会医療と介護の事業者向けガイダンス（令和8年4月一部改正））。

診療録などの診療記録に書かれた病歴
診療や調剤の途中で、医療に携わる人が知った、患者さんの体の状態・病状・治療の中身
健康診断でわかったことと、保健指導で伝えた中身
障害があるという事実
犯罪により害を被った事実など

歯科医院の日々の記録は、ほぼここに入ります。そして要配慮個人情報には、2つの縛りが付きます。

取得には、原則として本人の同意が要ります。ガイダンスは、要配慮個人情報の取得と、個人データを第三者へ提供することの2つを並べて、原則として本人同意が要る、と書いています。後者は要配慮に限らない一般のルールです。
オプトアウトによる第三者提供は認められていません。法第27条第2項の、本人がすぐ知り得る状態にしておいて、求めがあれば止める、というやり方です。個人情報保護委員会への届出も要ります。ふつうの個人データならこの道がありますが、要配慮個人情報では使えない、とガイダンスがはっきり書いています。

2つめは、業者へデータを渡す場面で効いてきます。「嫌なら言ってください」という形の掲示だけでは、第三者提供の根拠になりません。

院内掲示が、同意の土台になる

では、来院のたびに同意書を書いてもらうのか。ガイダンスは、医療機関について別の考え方を示しています。

患者さんへ適切な医療を届けるという目的のために、その医院で通常必要と考えられる利用の範囲を、施設の中の掲示ではっきりさせておく。そのうえで、患者さんの側からはっきりした反対や留保の申し出がなければ、その範囲での利用には同意が得られているとみてよい、という組み立てです。

ここで大事なのは、効くのが「掲げた範囲の中」だけだということです。ガイダンスは、黙示の同意が及ぶ範囲について、患者のための医療サービスを届けるのに必要な利用の範囲だ、としています。そのうえで、別表2に並ぶ「患者への医療の提供に必要な利用目的」。それを参考にしながら各医院が示した利用目的まで、と絞っています。掲示に無い使い方をするなら、そこは別に同意が要ります。

そして掲示そのものにも、書き足すことになっている項目が3つあります。ガイダンスは「あわせて掲示するものとする」という書き方で、次を挙げています。

示した利用目的の中に同意しがたいものがあるとき、患者はその事項について、明確な同意をあらかじめ得るよう医院へ求められること
患者がその申し出をしないときは、公表した利用目的について同意が得られたものとすること
同意と留保は、そのあと患者からの申出で、いつでも変更できること

利用目的を並べただけの掲示では、この3つが抜けます。黙示の同意は、範囲の掲示とこの3つがそろって成り立つ仕組みになっています。

もう一つ、受け取る場面についての記述もあります。要配慮個人情報を、書面や口頭などで本人から適正に、直接受け取る場合。このときは本人がその情報を差し出したこと自体をもって、受け取ることへの同意があったと解されるとしています。問診票に書いてもらう場面が、これに当たります。

意識はあるものの本人の考えをはっきり確かめられない状態のときは、意識が戻るのに合わせて速やかに説明し、同意を得るものとする、とも書かれています。

預ける相手と、働く人

法は、安全管理措置、従業者の監督、委託先の監督を、第23条から第25条までに並べています。歯科医院に置き換えると、次の3つになります。

条	何を求めているか	歯科医院での場面
第23条	安全管理のための措置	レセコンの鍵、紙カルテの保管、持ち出しの決めごと
第24条	従業者の監督	スタッフへの周知、雇うときの取り決め
第25条	委託先の監督	技工所、レセコン業者、清掃、廃棄の業者

3つめは、外へ出したあとの話です。渡してしまえば終わり、ではなく、医院の側に監督が残ります。契約書に何を書いているか、一度開いて確かめる価値があります。

漏らしてしまったとき ── 法第26条

条文は2つの動きを定めています。

第1項 ── 個人情報保護委員会へ報告する。個人データが漏れた、失われた、壊れた。そうした安全にかかわる事態のうち、本人の権利や利益を害するおそれの大きいものとして規則が挙げるものが起きたときです。ただし、ほかの事業者などから取扱いを任されていた立場で、その任せた側へ知らせたときは、この限りではありません。
第2項 ── 本人へ知らせる。こちらにもただし書が付いていて、本人へ知らせるのが難しく、その権利利益を守るために必要な代わりの手を打つときは、この限りではありません。

どんな事態が報告の対象になるかは、規則で決まります。ガイダンスは、詳しくは別に定める通則ガイドラインを見るように、としています。ここだけは、起きてから調べるのでは間に合いません。誰が最初に気づいて、誰に伝えるか。その1本の線を先に決めておくのが、いちばん軽い備えです。

亡くなった患者さんの記録は

ここは、条文とガイダンスで役割が分かれています。法が相手にしているのは生きている人の情報です。だから亡くなった方の情報は原則として個人情報に当たらず、法にもガイダンスにも入らない、と書かれています。

そのうえで、ご遺族から診療の経過や記録について問い合わせがあったときは、亡くなった方の生前の考えや名誉を十分に尊重し、特段の配慮が求められる、としています。提供のしかたは別の指針に送られていて、そこ（診療情報の提供等に関する指針）の9にある取扱いによる、というのが道筋です。

なお、亡くなった方の情報が、同時にご遺族など生きている人の情報でもある場合。そこにはガイダンスが別に触れています。「亡くなった人のことだから」で一律に片づかない場面がある、ということです。

今週開いて確かめること

院内の掲示を読み直す。いま医院が実際にやっている使い方が、書いてある範囲に収まっているかを見ます。
掲示に、あわせて書く3つが入っているかを見る。求められること／申し出がなければ同意とすること／いつでも変えられること。
掲示の日付を見る。開業のときに貼ったまま、になっていないか。ガイダンスは令和8年4月に一部が改正されています。
外へ出している先を書き出す。技工所、レセコン、清掃、書類の廃棄。第25条の監督は、ここに掛かります。医院のサイトに何を載せるかは歯科医院の医療広告ガイドライン、点検する8か所もあわせて。
気づいたときに誰へ言うかを決める。法第26条の報告と通知は、時間との勝負になります。
「見せてほしい」と言われたときの受け方を決める。本人か、家族か、亡くなった方の遺族か。入口が違えば、根拠も違います。

まとめ

診療記録に書かれた病歴などは、要配慮個人情報です（法第2条第3項）。取得と第三者提供には、原則として本人の同意が要ります。
要配慮個人情報である個人データには、オプトアウトによる第三者提供が認められていません（法第27条第2項の規定によるもの）。
通常必要と考えられる利用の範囲を院内に掲げ、患者さんからはっきりした反対や留保の申し出がなければ、その範囲での利用には同意が得られているとみてよい、というのがガイダンスの考え方です。効くのは掲げた範囲の中だけです。
院内の掲示には、①同意しがたい事項について明確な同意を求められること ②申し出がなければ同意が得られたものとすること ③同意と留保はいつでも変えられることの3つも、あわせて掲げるものとされています。
本人から直接要配慮個人情報を受け取る場合は、提供したこと自体で取得への同意があったと解されます。
安全管理措置・従業者の監督・委託先の監督は、法第23条から第25条までです。
漏えい等が起きたときは、個人情報保護委員会への報告と本人への通知（法第26条）。どちらにもただし書があります。
死者の情報は原則として法の対象外ですが、遺族への提供は別の指針（診療情報の提供等に関する指針）の取扱いによります。

まずは、待合室の掲示を1枚読み直すところから。利用目的の範囲と、上の3つ。この2つがそろっていて、やっていることが範囲に収まっていれば、土台はできています。