スマートウォッチの健康データは勝手に使われる？ 同意・第三者提供・削除のルールを条文で確かめる

スマートウォッチを着けていると、ふと不安になる瞬間があります。心拍数も睡眠も、毎日どこかのサーバーに送られている。この情報は、いつの間にか誰かに売られていたりしないだろうか。会社や保険会社に渡っていたりしないだろうか。やめたいと思ったとき、消してもらえるのだろうか。

この手の不安は、なんとなく語られることが多いテーマです。ただ、日本にはPHR（パーソナルヘルスレコード＝個人の健康や医療の情報）を扱うサービス提供者が守るべきルールがすでに文章になっていて、誰でも読めます。総務省・厚生労働省・経済産業省の3省が出している「PHRサービス提供者による健診等情報の取扱いに関する基本的指針」です。

ここでは、よくある不安をひとつずつ取り上げて、条文が実際に何と書いてあるかを確かめていきます。煽るためではなく、安心させるためでもなく、書いてあることをそのまま並べます。守られている部分と、そうでない部分の両方が出てきます。

先に結論：ルールは何を禁じ、何を禁じていないか

細かい話に入る前に、全体像を先に出しておきます。

結論から言えば、「取る」「渡す」「消す」の3つについては、かなりはっきりしたルールがあります。一方で、そのルールがそもそも適用されない領域があることと、指針そのものには直接の罰則が用意されていないことが、この制度の弱いところです。指針そのものの全体像と、事業者に課された義務は国のルールを条文から整理した記事にまとめています。

同意なしに健康データを取られることはあるのか

まず入り口の話です。

健診等情報のうち、病歴などを含む「要配慮個人情報」にあたるものは、取得するときに原則としてあらかじめ本人の同意が必要です。しかも、いわゆるオプトアウト方式、つまり「嫌な人は後から言ってください」という取り方は認められていません（指針3.2）。

これは指針独自の上乗せではなく、個人情報保護法の要求そのものです。健康や医療に関わる情報は、法律の中でもとりわけ慎重に扱うことが求められている、ということになります。

予防接種歴についても、指針は別枠であらかじめの同意取得を求めていて、オプトアウトでの取得も提供も行わないこと、と書いています。

さらに指針は、同意を取るときの説明の質にも触れています。利用目的は「できる限り特定」しなければならず、単に抽象的・一般的に書くのではなく、最終的にどんな事業に使われるのかが本人にとって一般的かつ合理的に想定できる程度に具体的に特定するよう努めること、とされています。「サービス向上のため」だけでは足りない、という趣旨です。

知らないうちに他社へ渡ることはあるのか

次が、いちばん気にされる第三者提供です。

結論は同じで、第三者に渡すときも原則としてあらかじめ本人の同意が必要です。要配慮個人情報については、オプトアウトによる第三者提供も認められていません（指針3.2）。

そのうえで指針は、提供先やその利用目的、提供される情報の内容を特定して分かりやすく通知したうえで同意を得ること、同意があった場合でも本人の不利益が生じないよう配慮すること、と続けています。

意外と知られていないのが、記録が残ることです。事業者は健診等情報を第三者に提供したとき、提供した年月日や提供先の記録を作成して一定期間保存しなければなりません。そして本人から請求があれば、その記録を開示しなければならないとされています（指針4.1）。つまり「誰に渡したのか」は、原則として本人が確かめられる建て付けになっています。

海外についても定めがあります。外国にある第三者へ提供する場合は、あらかじめその国の名称、その国の個人情報保護制度に関する情報、提供先が講じる保護措置を本人に伝えたうえで、同意を得なければなりません（指針3.2）。「気づいたら海外のサーバーにあった」を防ぐための条文です。なお、事業者に渡す以前に、自分の公開設定が意図せず外へ開いていることもあります。ランニングの位置情報記録から軍事機密が漏洩したStrava事件が、その分かりやすい例です。

勤務先や保険会社に渡ることはあるのか

ここは少し込み入っていて、正直に書くと利用者から見ると分かりにくい部分があります。

個人情報保護法では、委託・事業承継・共同利用の3つは「第三者提供」に当たらないとされていて、本人の同意なしに情報を渡せます。指針はその具体例として、保険者が被保険者にPHRアプリをサービスの一環として提供する際に、アプリの管理運営会社に個人データを提供するケースを挙げています。これは委託にあたる、という整理です。

ただし共同利用については、歯止めが用意されています。あらかじめ、共同利用する旨、共同して利用されるデータの項目、共同して利用する者の範囲、利用する者の利用目的、管理について責任を持つ者の氏名または名称を、本人に通知するか、本人が容易に知り得る状態に置いておく必要があります。

ここで思い出したいのが、指針を作る過程で行われた利用者アンケートの結果です。連携してもよい相手として多く挙がったのは医療機関でした。一方で連携意向がはっきり低かったのが、勤務先・第三者企業・保険者です。目的としても、商品開発やマーケティングへの利用は敬遠される傾向がありました。

つまり、利用者が警戒しやすい方向は、制度上の整理がいちばん込み入っている方向でもあるということになります。ここは知っておくと判断しやすくなる部分です。

「消してほしい」は通るのか

やめるときの話です。ここは指針がかなり踏み込んで書いています。

本人から利用停止や消去の請求を受け、その請求に理由があると判明したときは、原則として遅滞なく利用停止等の措置を行わなければならないとされています（指針3.3）。事業終了などで使う必要がなくなった場合も、委託先が持っている分を含めて消去する義務があります。

同意の撤回についても踏み込んでいます。撤回は「同意する際と同程度の容易さ」で行えるよう工夫しなければならないとされ、同意撤回のための情報や受付窓口がWebサイトの深層にあってアクセスしにくいのは望ましくない、とわざわざ名指しされています。

逆方向の配慮もあります。長期間アクセスがなく使われていないデータについて、本人が認知しないまま削除されるのは望ましくないとして、一定期間使われない場合に消去する旨を、その時期も含めて事前に通知または公表しなければならない、と定めています。

過去の同意を見直したい人のために、過去の同意状況を利用者が確認できる方策を確保することも求められています。

ここが線引き：あなたのアプリは、そもそも指針の対象外かもしれない

ここまで読むと制度は手厚く見えます。ですが、大きな前提があります。

指針の対象になるのは「健診等情報」を扱うサービスで、専ら個人が自ら日々計測するバイタルや健康情報だけを扱う事業者は、そもそも対象に含まれないと明記されているのです（指針1.2）。

歩数、心拍数、睡眠。スマートウォッチやスマートリングが毎日いちばん多く生んでいるデータは、まさにここに当たります。健康診断の結果を取り込む機能も、医療機関に共有する機能もないアプリであれば、これまで見てきた条文は、そのアプリには直接かかっていない可能性が高いということになります。

もうひとつ、罰則の話もあります。指針違反そのものに罰則はない、と同指針のQ&Aは明言しています。ただし個人情報保護法などの法令違反は当然に法令違反ですし、指針を守っていない事業者はマイナポータル経由で健診等情報を入手できなくなるおそれがある、とも書かれています。

誤解のないように付け加えると、対象外だから無法地帯という意味ではありません。指針の対象でなくても個人情報保護法はかかります。Q&Aも、対象外のサービスにもそれぞれ関連する指針やガイドラインがあるので、各者の責任で確認し遵守することが必要だとしています。そもそもPHRという言葉が何を指すのかは、パーソナルヘルスレコード（PHR）とは？で整理しています。

では、私たちは何をすればいいのか

条文を読んだうえで、実際にできることを3つに絞ります。

ひとつめは、使っているサービスが指針の内側にいるかを見ること。健診結果を取り込む機能や医療機関との共有機能があるなら、内側にいる可能性が高くなります。そのうえで、プライバシーポリシーのページにチェックシートの点検結果が公表されているかを見てみてください。指針は、点検結果を自社サイトで公表することを求めています。

ふたつめは、契約する前に「やめ方」を探すこと。同意の撤回とデータの書き出しがどこにあるかを、入る前に確認しておく。指針がわざわざ「同意する際と同程度の容易さ」と書いているのは、そうなっていない例が想定されているからでしょう。

みっつめは、渡した先を確かめる権利を覚えておくこと。第三者提供の記録は、本人が請求すれば開示されるのが原則です。不安になったときに問い合わせる先がある、と知っているだけでも違います。買う前に確かめておきたいことは、海外版スマートウォッチを買う前に確認したい5つのことでも整理しています。

まとめ

「取る」「渡す」「消す」については、日本のルールは思っているよりはっきりしています。同意なしの取得は原則できず、他社に渡すのも原則同意が必要で、海外に出すなら国名まで伝えなければならない。消してほしいと求められれば、理由のある請求なら消し、やめる手続きは入るときと同じ手軽さで用意しておく。誰に渡したかの記録も、本人が求めれば開示される。

一方で、弱いところもはっきりしています。歩数や睡眠だけを扱うアプリは指針の対象の外にいる可能性が高く、指針違反そのものに罰則もありません。点検結果の公表も、事業者の自己申告です。

だから結論は、怖がることでも安心しきることでもなく、線がどこに引かれているかを知っておくことだと思います。自分の使っているサービスが内側にいるのか外側にいるのか。それが分かるだけで、選び方も、やめ方も、ずいぶん落ち着いて考えられるようになります。

Source: 経済産業省「PHR（Personal Health Record）」／PHRサービス提供者による健診等情報の取扱いに関する基本的指針（令和7年／2025年4月30日改定）／同Q&A／民間利活用作業班報告書（令和3年／2021年4月）

あわせて読みたい関連記事

実際に起きた情報流出の事例と、自分でできる対策はこちらにまとめています。

スマートウォッチの危険性とは？情報漏洩・個人情報リスクと対策を実例で解説

指針の全体像と、事業者に課された義務はこちらで詳しく解説しています。

スマートウォッチの健康データに、国のルールはあるの？ PHRの「基本的指針」をやさしく解説【2026年版】

そもそもPHRとは何かを整理した記事です。

パーソナルヘルスレコード（PHR）とは？ 含まれる情報とマイナポータルとの関係、スマートウォッチのデータの扱いまで解説

製造国とブランドの関係を業界の実情から整理した記事もあります。

中国製スマートウォッチは危ない？「ダメ」は時代遅れの誤解と業界の実情を専門メディアが解説

健康管理まわりの記事は、タグページからまとめて探せます。

健康管理の記事一覧

 はじめての方・記事の探し方に迷った方へ
記事が多くて迷ったら、 記事の探し方ガイド から目的別に読めます。