正答3
解説
正解は3です。
個人情報保護法は、生存する個人に関する情報を適切に取り扱うためのルールを定めた法律です。
医療機関も個人情報取扱事業者として対象になります。
【選択肢別解説】
1：× 個人情報保護法の個人情報は「生存する個人」に関する情報です。
死亡した患者の情報は法の対象外です（ただし医療の指針では、遺族への配慮から生存者と同様に安全管理を行うよう求めています）。
2：× 個人情報取扱事業者は、個人情報の利用目的をできる限り特定しなければなりません。
特定した目的の範囲を越えて利用するには、原則として本人の同意が必要です。
3：○ 顔の特徴や指紋など、身体の特徴をコンピュータで扱うために変換したデータは「個人識別符号」にあたります。
個人識別符号は、それだけで個人情報に含まれます。
4：× 個人情報を第三者に提供するには、原則として本人の同意が必要です。
特定機能病院であることを理由に同意なく開示できるという規定はありません。
5：× かつては取り扱う個人情報が5,000人分以下の事業者は対象外でした。
しかし2017年施行の改正でこの要件は廃止され、取扱件数にかかわらず対象となっています。
【ポイント】
個人情報は「生存する個人」が対象です。
個人識別符号には、顔認証データ・指紋などの身体的特徴のほか、旅券番号やマイナンバーなども含まれます。
【用語】
個人情報取扱事業者：個人情報をデータベースとして事業に利用している者で、法の義務を負う者である。
特定機能病院：高度な医療の提供や開発、研修を担う病院として、厚生労働大臣が承認する病院である。
認証データ：顔・指紋など、本人の識別に使われる身体の特徴を電子データにしたものである。
個人識別符号：顔や指紋などの身体的特徴を変換したデータや旅券番号など、それだけで個人を特定できる符号である。