GENIAC-Team-Ozaki/JaGovFaqs-22k huggingface dataset:
質問: 「個人データの取扱状況を確認する手段の整備」に関して、いわゆる「個人情報取扱台帳」のようなものを作成しなければいけませんか。
回答: この項目について、講じていただく必要があるのは、個人データの取扱状況を確認できるように手段を整備することであるため、いわゆる「個人情報取扱台帳」を作成することが義務付けられているわけではありません。
（出典: 個人情報保護委員会）
質問: 「取扱状況の把握及び安全管理措置の見直し」について、手法の例示として「監査を実施する」とありますが、実施に当たって参考となるような規格はありますか。
回答: 例えば、「マネジメントシステム監査指針 JIS Q19011（ISO 19011）」に準拠した監査を行うことが考えられますが、これに限られるわけではありません。
（出典: 個人情報保護委員会）
質問: 「従業者の教育」について、研修の頻度はどの程度とすることが適切ですか。
回答: 研修の頻度は、事業者の規模や取り扱う個人データの性質・量等によっても異なり得るため、それらを踏まえて適切に判断いただく必要がありますが、適切な内容の研修であれば、年１回程度でも少ないとはいえないと考えられます。
（出典: 個人情報保護委員会）
質問: 従業者との雇用契約において守秘義務を定めたり、派遣社員の派遣元との間の契約において派遣社員の守秘義務を定めることは義務付けられますか。
回答: 人的安全管理措置として、義務付けられるわけではありません。ただし、人的安全管理措置及び従業者の監督（法第 21 条）の一環として、従業者との雇用契約において守秘義務を定める等の対応を取ることも、有効な取組と考えられます。なお、関係業法において守秘義務が定められている場合もあるため、留意が必要です。
（出典: 個人情報保護委員会）
質問: 「従業者の教育」としての研修は、全従業者を一堂に集めて講義形式で行う必要がありますか。
回答: 個人データの安全管理に関して留意すべき事項は、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等によって異なり得ますので、研修の形式も個人情報取扱事業者ごとに異なり得るものと考えられます。全従業者を対象とした講義形式による研修も含まれ得ますが、これに限られるものではなく、部署ごとに個人データの取扱いに関する責任者からの講話形式、eラーニング形式、標的型メールを疑似体験する形での訓練形式など、様々な形式が考えられます。
（出典: 個人情報保護委員会）
質問: 「個人データを取り扱う区域の管理」に関して、個人データを取り扱う場所は、全て厳格な入退室管理を実施する必要がありますか。
回答: 個人データを取り扱う区域の管理として、常に入退室管理の実施が求められるわけではありませんが、個人情報データベース等を取り扱うサーバやメインコンピュータ等の重要な情報システムを管理する区域（管理区域）については、入退室管理の実施、承認されていない記録媒体やカメラ等の持込の制限等が有効な取組と考えられます。
（出典: 個人情報保護委員会）
質問: 「座席配置の工夫」「のぞき込みを防止する措置」「個人データを取り扱うことのできる従業者及び本人以外が容易に個人データを閲覧等できないような措置」とは、例えばどのような措置が該当しますか。
回答: 具体的には、以下のような措置が該当すると考えられます。
（出典: 個人情報保護委員会）
質問: 紙でしか個人情報を管理していない場合も、技術的安全管理措置を講じる必要がありますか。
回答: ガイドライン（通則編）で定めている技術的安全管理措置は、情報システムを使用して個人データを取り扱う場合に講じなければならないものであるため、紙でのみ個人情報を管理している場合には、技術的安全管理措置を講じる必要はありません。
（出典: 個人情報保護委員会）
質問: 「アクセス制御」を講じるための手法は、ガイドライン（通則編）で示されている以外にどのようなものが考えられますか。
回答: ガイドライン（通則編）に示した手法を具体的に記述したものも含めて、例えば、次のような手法が考えられます。
（出典: 個人情報保護委員会）
質問: 「アクセス者の識別と認証」を講じるための手法は、ガイドライン（通則編） で示されている以外にどのようなものが考えられますか。
回答: ガイドライン（通則編）に示した手法を具体的に記述したものも含めて、例えば、次のような手法が考えられます。
（出典: 個人情報保護委員会）
質問: 「外部からの不正アクセス等の防止」を講じるための手法は、ガイドライン（通則編）で示されている以外にどのようなものが考えられますか。
回答: ガイドライン（通則編）に示した手法を具体的に記述したものも含めて、例えば、次のような手法が考えられます。
（出典: 個人情報保護委員会）
質問: 「情報システムの使用に伴う漏えい等の防止」を講じるための手法は、ガイドライン（通則編）で示されている以外にどのようなものが考えられますか。
回答: ガイドライン（通則編）に示した手法を具体的に記述したものも含めて、例えば、次のような手法が考えられます。
（出典: 個人情報保護委員会）
質問: 「外的環境の把握」について、「外国において個人データを取り扱う場合」とは、どのような場合ですか。
回答: 例えば、以下に掲げるような場合は、「外国において個人データを取り扱う場合」に該当するため、個人情報取扱事業者は、当該外国の個人情報の保護に関する制度等を把握した上で、安全管理措置を講じる必要があります。
（出典: 個人情報保護委員会）
質問: 「外的環境の把握」について、外国にある支店や営業所に個人データを取り扱わせる場合には、当該外国の個人情報の保護に関する制度等を把握する必要がありますか。外国にある従業者に個人データを取り扱わせる場合はどうですか。
回答: 個人情報取扱事業者は、外国にある支店や営業所に個人データを取り扱わせる場合、外国において個人データを取り扱うこととなるため、支店等が所在する外国の個人情報の保護に関する制度等を把握した上で、安全管理措置を講じる必要があります。
（出典: 個人情報保護委員会）
質問: 「外的環境の把握」について、外国にある第三者に個人データの取扱いを委託する場合には、当該外国の個人情報の保護に関する制度等を把握する必要がありますか。委託先が外国にある第三者に個人データの取扱いを再委託した場合はどうですか。
回答: 個人情報取扱事業者は、外国にある支店や営業所に個人データを取り扱わせる場合、外国において個人データを取り扱うこととなるため、支店等が所在する外国の個人情報の保護に関する制度等を把握した上で、安全管理措置を講じる必要があります。
（出典: 個人情報保護委員会）
質問: 「外的環境の把握」について、外国にある第三者の提供するクラウドサービスを利用し、その管理するサーバに個人データを保存する場合、当該外国の個人情報の保護に関する制度等を把握する必要がありますか。
回答: 外国にある第三者の提供するクラウドサービスを利用する場合において、クラウドサービス提供事業者が個人データを取り扱わないこととなっている場合には、個人データの第三者への「提供」には該当しませんが、個人情報取扱事業者は、自ら果たすべき安全管理措置の一環として、適切な安全管理措置を講じる必要があります（Ｑ７－53、Ｑ７－54、Ｑ12－３参照）。
（出典: 個人情報保護委員会）
質問: 個人情報取扱事業者等が個人情報保護法に違反した場合、どのような措置が採られるのですか。
回答: 個人情報取扱事業者、個人関連情報取扱事業者、仮名加工情報取扱事業者又は匿名加工情報取扱事業者（以下「個人情報取扱事業者等」という。）が、個人情報保護法の義務規定に違反し、不適切な個人情報、個人関連情報、仮名加工情報又は匿名加工情報（以下本項において「個人情報等」という。）の取扱いを行っている場合には、個人情報保護委員会は、必要に応じて、当該個人情報取扱事業者等その他の関係者に対して報告徴収・立入検査を実施し（法第146条）（※）、当該個人情報取扱事業者等に対して指導・助言を行い（法第147条）、また、勧告・命令を行う（法第148条）ことができます。
（出典: 個人情報保護委員会）
質問: 外国で活動する事業者ですが、日本国内にある者に対して音楽の配信サービスを提供するために本人から個人情報を取得する場合、その個人情報の取扱いについて個人情報保護法は適用されますか。また、日本国内の別の事業者から個人情報を取得する場合はどうなりますか。
回答: 法第171条に基づき、外国にある個人情報取扱事業者等が、日本の居住者等の日本国内にある者に対する物品やサービスの提供に関連して、日本国内にある者を本人とする個人情報、当該個人情報として取得されることとなる個人関連情報又は当該個人情報を用いて作成された仮名加工情報若しくは匿名加工情報を、外国において取り扱う場合には、個人情報保護法が適用されます。
（出典: 個人情報保護委員会）
質問: 外国で活動する事業者で、日本を含む各国にある者に対してサービスを提供しており、当該サービス提供のため各本人から個人情報を取得しています。日本国内の利用者の個人データを含む漏えい等事案が生じた場合、漏えい等事案が発覚した場合に講ずべき措置を講ずるとともに、漏えい等事案の報告及び本人への通知を行う必要がありますか。
回答: 外国にある個人情報取扱事業者が、日本の居住者等の日本国内にある者に対する物品又はサービスの提供に関連して、日本国内にある者を本人とする個人情報を外国において取り扱う場合には、個人情報保護法の域外適用の対象となり、法第23条（安全管理措置）や法第26条（漏えい等の報告等）も適用されます（法第171条）。
（出典: 個人情報保護委員会）
質問: 外国で活動する事業者ですが、日本国内の事業者から、日本国内のユーザー向けのアプリの開発・運営のため、日本国内のユーザーを本人とする個人データの取扱いの委託を受けました。この場合、外国の事業者が委託に伴って取得した個人データの取扱いについて個人情報保護法は適用されますか。
回答: 外国にある個人情報取扱事業者が、日本の居住者等の日本国内にある者に対する物品又はサービスの提供に関連して、日本国内にある者を本人とする個人情報を外国において取り扱う場合には、個人情報保護法の域外適用の対象となります（法第171条）。
（出典: 個人情報保護委員会）
質問: 個人情報保護法の適用除外とはどのような制度ですか。
回答: 個人情報取扱事業者等のうち、憲法上保障された自由（表現の自由、信教の自由、政治活動の自由）に関わる以下の主体が以下の活動のために個人情報等を取り扱う場合には、その限りにおいて、個人情報取扱事業者等の義務は適用されません（法第57条第１項）。
（出典: 個人情報保護委員会）
質問: 大学等の学術研究機関等と民間企業や私立病院等が、学術研究目的の研究を共同で行う場合における個人情報の取扱いに関して留意すべき点を教えてください。
回答: 個人データを第三者に提供する場合には、原則として、あらかじめ本人の同意を得る必要がありますが（法第27条第１項柱書）、法第16条第８項に規定する学術研究機関等が共同研究を行う第三者（学術研究機関等であるか否かを問いません。）に対して個人データを学術研究目的で提供する必要がある場合（法第27条第１項第６号）や、個人情報取扱事業者が個人データを学術研究目的で取り扱う必要がある学術研究機関等に対して提供する場合（同項第７号）は、個人の権利利益を不当に侵害するおそれがない限り、法第27条第１項柱書に規定する本人の同意を得ずに個人データを提供することができます。
（出典: 個人情報保護委員会）
質問: 委託は法第27条第１項の第三者提供に当たらないとされていますが、外国にある第三者に個人データの取扱いを委託する場合は、法第28条第１項に基づいて「外国にある第三者への個人データの提供を認める」旨の本人の同意を得る必要がありますか。
回答: 個人情報取扱事業者が、外国にある第三者に個人データを提供する場合には、以下の①から③までのいずれかに該当する場合を除き、法第28条第１項に基づきあらかじめ「外国にある第三者への個人データの提供を認める」旨の本人の同意を得る必要があります。この点は、外国にある第三者に個人データの取扱いを委託する場合も同様です。
（出典: 個人情報保護委員会）
質問: 「我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国」はどこですか。
回答: 様々な国において制度の見直しが行われていることもあり、また、詳細かつ多角的な調査・検討が必要であることから、今後、継続的に検討します。
（出典: 個人情報保護委員会）
質問: 外国にあるサーバに個人データを含む電子データを保存することは外国にある第三者への提供に該当しますか。
回答: 当該サーバの運営事業者が、当該サーバに保存された個人データを取り扱わないこととなっている場合には、外国にある第三者への提供（法第 24 条）に該当しません。
（出典: 個人情報保護委員会）
質問: 外国にある事業者が運営するクラウドを利用していますが、サーバは国内にある場合、外国にある第三者への提供に該当しますか。
回答: 当該サーバを運営する外国にある事業者が、当該サーバに保存された個人データを取り扱っている場合には、サーバが国内にある場合であっても、外国にある第三者への提供（法第28条第１項）に該当します。ただし、当該サーバを運営する外国にある事業者が、当該サーバに保存された個人データを日本国内で取り扱っており、日本国内で個人情報データベース等を事業の用に供していると認められる場合には、外国にある第三者への提供（法第28条第１項）に該当しません（ガイドライン（外国にある第三者への提供編）２－２参照）。
（出典: 個人情報保護委員会）
質問: 国内事業者が外国事業者に個人データを提供する場合、当該外国事業者が日本に出張所を有する場合、「外国にある第三者」に提供したこととなりますか。
回答: 個人データの提供先が個人情報取扱事業者に該当する場合には、「外国にある第三者」に提供したこととはなりません。個人情報取扱事業者の該当性は、事業の実態を勘案して、日本国内で個人情報データベース等を事業の用に供していると認められるか否かを個別の事例ごとに判断することとなるため、国内に出張所を有することのみをもって当該外国事業者が個人情報取扱事業者に該当するわけではありません。
（出典: 個人情報保護委員会）
質問: 施行規則第 16 条第１号では、「個人情報取扱事業者と個人データの提供を受ける者との間」で適切かつ合理的な方法により措置の実施を確保することとされています。国内にある事業者 A が外国にある事業者との間で、A のグループ会社の個人データの取扱いに係る委託契約を締結していますが、A の子会社であり、A と同じ内規等が適用される国内にある事業者 B が、当該外国にある事業者に対して委託に伴って個人データを提供する場合、当該委託契約及び当該内規等は「適切かつ合理的な方法」に該当しますか。
回答: 当該委託契約及び当該内規等によって、個人データの提供先である外国にある第三者が、我が国の個人情報取扱事業者の講ずべきこととされている措置に相当する措置を継続的に講ずることを実質的に担保することができる場合には、適切かつ合理的な方法に該当するものと考えられます。
（出典: 個人情報保護委員会）
質問: 提供先の外国にある第三者が施行規則第16条に定める基準に適合する体制を整備していることを根拠として個人データを提供した後、当該提供先がさらに別の「第三者」（再提供先）に個人データを提供する場合、当該提供先が施行規則第16条に定める基準に適合する体制を整備しているといえるためには、どのような措置の実施が確保される必要がありますか。当該「第三者」（再提供先）が当該提供先と同一国内にある者等の外国にある者であるときと、当該「第三者」（再提供先）が日本にある者であるときで、実施が確保されるべき措置が変わりますか。
回答: 法第28条第１項の「外国」は、本邦の域外にある国又は地域（我が国と同等の水準にあると認められる個人情報保護制度を有している国として施行規則第15条で定める国（※）を除きます。以下本項において同じ。）を指します。
（出典: 個人情報保護委員会）
質問: 外国にある第三者に対して、提供元において氏名を削除するなどして個人を特定できないようにして当該提供先にとっては個人情報に該当しないデータの取扱いを委託し、当該提供先が個人情報に復元することがないような場合においても、法第28条第１項により、あらかじめ「外国にある第三者への個人データの提供を認める」旨の本人の同意を得る必要がありますか。
回答: 提供先の外国にある第三者にとって個人情報に該当しないデータの取扱いを委託する場合において、委託契約において当該提供先が元となった個人情報を復元しないことが定められている等、当該提供先が元となった個人情報に係る本人を識別しないこととなっているときは、結果として、施行規則第16条で定める基準に適合する体制を整備しているものと解されます。
（出典: 個人情報保護委員会）
質問: 日本法人の外国支店と取引があり、当該外国支店に対して個人データの提供を行う予定ですが、当該外国支店に対する個人データの提供は、外国にある第三者への提供に該当しますか。
回答: 個別の事案ごとに判断する必要がありますが、国内にある個人情報取扱事業者が、他の日本法人の外国支店に直接個人データを提供する場合には、当該外国支店への個人データの提供は、外国にある第三者への提供（法第28条第１項）に該当し得ると考えられます。（令和３年９月追加）
（出典: 個人情報保護委員会）
質問: 法第28条第２項の規定による本人への情報提供の方法として、必要な情報が掲載されたWebページのURLを本人に対して提供することは認められますか。
回答: 個別の事案ごとに判断されますが、例えば、施行規則第17条第２項から第４項までの規定により求められる情報が掲載されたWebページが存在する場合に、当該WebページのURLを自社のホームページに掲載し、当該URLに掲載された情報を本人に閲覧させる方法も、施行規則第17条第１項における「適切な方法」に該当すると考えられます。
（出典: 個人情報保護委員会）
質問: 提供先の外国にある第三者は、A国に所在していますが、B国にサーバを設置しており、当該第三者に個人データを提供した場合には、当該サーバにおいて保存されることになります。この場合、施行規則第17条第２項第１号の「当該外国の名称」として提供すべき名称は、どちらになりますか。
回答: 施行規則第17条第２項第１号の「当該外国の名称」における外国とは、提供先の第三者が個人データを保存するサーバが所在する外国ではなく、提供先の第三者が所在する外国をいうため、A国の名称を情報提供する必要があります。
（出典: 個人情報保護委員会）
質問: 施行規則第17条第２項第３号の「当該第三者が講ずる個人情報の保護のための措置に関する情報」を確認する方法として、どのような方法が考えられますか。
回答: 個別の事案ごとに判断する必要がありますが、例えば、提供先の外国にある第三者に確認する方法や、提供先の外国にある第三者との間で締結している契約において、当該第三者による個人データの取扱いについて定めている場合に、当該契約を確認する方法等が考えられます。（令和３年９月追加）
（出典: 個人情報保護委員会）
質問: 法第28条第２項に基づく情報提供を行った上で、外国にある第三者への個人データの提供を認める旨の本人の同意を得て外国にある第三者に個人データを提供した後に、当該外国における個人情報の保護に関する制度の改正があった場合、本人に対して、改正後の制度に関する情報を提供した上で、再度同意を得る必要がありますか。
回答: 施行規則第17条第２項第２号の「外国における個人情報の保護に関する制度に関する情報」は、一般的な注意力をもって「適切かつ合理的な方法」により確認したものである必要がありますが、「適切かつ合理的な方法」により確認を行った「外国における個人情報の保護に関する制度に関する情報」を提供した上で外国にある第三者への個人データの提供を認める旨の本人の同意を取得した後に、当該外国における個人情報の保護に関する制度についての変更があった場合であっても、既に取得された同意の有効性には影響を及ぼさないものと考えられます。
（出典: 個人情報保護委員会）
質問: 外国の事業者に対して個人データの取扱いを委託する予定であるものの、法第28条第1項の本人の同意を得ようとする時点において、具体的な委託先が定まっていません。この場合、施行規則第17条第３項の「前項第１号に定める事項が特定できない場合」に該当しますか。また、同条第４項の「第２項第３号に定める事項について情報提供できない場合」に該当しますか。
回答: 法第28条第２項の趣旨は、外国にある第三者への個人データの提供がなされる場合に、当該外国における個人情報の保護に関する制度や当該第三者が講ずる個人情報の保護のための措置に関する差異に起因するリスクについて、本人の予測可能性を高める点にあります。そのため、提供先の第三者及び当該第三者が所在する外国を特定した上で、本人に対する情報提供を行うことが原則です。
（出典: 個人情報保護委員会）
質問: 提供先の外国にある第三者が施行規則第16条に定める基準に適合する体制を整備していることを根拠として個人データを提供しました。法第28条第３項に基づいて当該第三者による相当措置の実施状況等を確認する等の義務は、いつまで履行する必要がありますか。当該第三者との契約が解除された場合はどうですか。
回答: 提供先の外国にある第三者が施行規則第16条に定める基準に適合する体制を整備していることを根拠として個人データを提供した場合、提供元の個人情報取扱事業者は、当該第三者において当該個人データの取扱いが継続する限り、法第28条第３項に基づく措置等を講ずる必要があり、かかる義務は、提供元の個人情報取扱事業者と当該第三者との間の契約等が解除された場合でも、免除されるものではありません。（令和３年９月追加）
（出典: 個人情報保護委員会）
質問: 個人情報取扱事業者が、国内にある委託先に個人データの取扱いを委託した後、委託先が外国にある再委託先に対して、当該再委託先が施行規則第16条に定める基準に適合する体制を整備していることを根拠として個人データを提供した場合、法第28条第３項の義務が課される主体は誰ですか。
回答: 個別の事案ごとに判断されますが、委託元の個人情報取扱事業者が国内にある事業者である委託先に対して法第27条第５項第１号に基づき個人データの取扱いを委託し、当該委託先が委託に伴って取得した当該個人データを、外国にある事業者に対して再委託に伴って再提供した場合において、委託先である国内にある事業者と再委託先である外国にある事業者との間の契約等により、施行規則第16条第１号の基準を満たすための「法第４章第２節の規定の趣旨に沿った措置」の実施が確保されている場合には、法第28条第３項の義務は、委託先に課されると考えられます。
（出典: 個人情報保護委員会）
質問: 提供先の第三者が所在する外国において施行規則第18条第１項第１号の「相当措置の実施に影響を及ぼすおそれのある当該外国の制度」が存在する場合には、直ちに当該第三者による「相当措置の継続的な実施の確保が困難となったとき」（施行規則第18条第１項第２号）に該当し、当該第三者への個人データの提供を停止する必要がありますか。
回答: 一般に、提供先の第三者が所在する外国において、「相当措置の実施に影響を及ぼすおそれのある当該外国の制度」が存在する場合においても、当該制度の存在自体により、直ちに外国にある第三者による「相当措置の継続的な実施の確保が困難となった場合」に該当するものではなく、当該第三者による個人データの取扱状況や、当該制度の運用の状況等を踏まえて、外国にある第三者による相当措置の継続的な実施の確保が困難となったか否かを個別の事案ごとに判断する必要があると考えられます。（令和３年９月追加・令和４年４月更新）
（出典: 個人情報保護委員会）
質問: 提供先の外国にある第三者が施行規則第16 条に定める基準に適合する体制を整備していることを根拠として、事前の本人の同意を得ずに当該外国にある第三者に対して個人データの提供を行った場合、提供先の外国にある第三者による相当措置の実施状況について、当該外国に所在する提供元のグループ企業が提供先の第三者を訪問することや提供先の第三者から書面の提出を受けること等により、契約等の履行状況等を確認することで足りますか。
回答: 提供先の外国にある第三者による相当措置の実施状況については、当該外国にある第三者に提供する個人データの内容や規模に応じて、適切かつ合理的な方法により、定期的に確認する必要があります（施行規則第18 条第１項第１号）。具体的な確認の方法については、個別の事案における具体的な事情も踏まえて決定すべきものですが、当該外国に所在する提供元のグループ企業が、提供先の第三者を訪問することや提供先の第三者から書面の提出を受けること等により、契約等の履行状況等を確認した上で、提供元が、当該グループ企業から書面により相当措置の実施状況の共有を受けて確認することも、適切かつ合理的な方法に該当し得ると考えられます。（令和５年３月追加）
（出典: 個人情報保護委員会）
質問: 提供先の外国にある第三者が施行規則第 16 条に定める基準に適合する体制を整備していることを根拠として個人データを提供した後、当該外国にある第三者による相当措置の継続的な実施の確保が困難となった場合、当該外国にある第三者に対して既に提供した個人データについて、返還又は削除を求める必要がありますか。
回答: 提供先の外国にある第三者が施行規則第 16 条に定める基準に適合する体制を整備していることを根拠に、当該提供先に対して個人データの提供を行った場合において、当該提供先による相当措置の実施に支障が生じた場合には、当該支障の解消又は改善のために「必要かつ適切な措置」を講ずることが求められます（施行規則第 18 条第１項第２号）。
（出典: 個人情報保護委員会）
質問: 法第28条第３項の規定による必要な措置に関する情報の本人への提供の方法として、必要な情報が掲載されたWeb ページのURLを本人に対して提供することは認められますか。
回答: 個別の事案ごとに判断されますが、例えば、施行規則第18条第３項の規定により求められる情報が掲載された Web ページが存在する場合に、当該 Web ページのURLを本人に対して提供する方法も、改正後の施行規則第18 条第２項における「適切な方法」に該当すると考えられます。（令和３年９月追加）
（出典: 個人情報保護委員会）
質問: 施行規則第18条第３項各号に掲げる情報の提供を行う前提として、本人に関する情報を特定するのに手間と時間がかかりますが、この場合、同項ただし書きの「情報提供することにより当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合」に該当しますか。
回答: 施行規則第18条第３項の「著しい支障を及ぼすおそれ」に該当する場合とは、個人情報取扱事業者の業務の実施に単なる支障ではなく、より重い支障を及ぼすおそれが存在するような例外的なときに限定され、単に開示すべき情報の量が多いという理由や、特定に手間や時間がかかるという理由のみでは、一般には、これに該当しないと考えられます。（令和３年９月追加）
（出典: 個人情報保護委員会）
質問: 市販の電話帳を取得した際にも、確認・記録義務は適用されますか。
回答: 一般に市販の電話帳は個人情報データベース等に該当しないため、取得する際に確認・記録義務は適用されません。
（出典: 個人情報保護委員会）
質問: 外国にある第三者に個人データを提供する場合、法第 25 条に基づく記録を作成しなければなりませんか。また、この場合において、提供者は、法第 24条・施行規則第 11 条の２第１号との関係において、当該第三者からさらに別の第三者に提供する場合に記録を作成するように措置を講じなければなりませんか。
回答: 外国にある第三者に個人データを提供する場合でも、原則として、法第 25 条に基づく記録義務は適用されます。具体的には、ガイドライン（第三者提供時の確認・記録 義務編）２－１－２の【外国にある第三者に個人データを提供する場合の記録義務の適用】のとおりです。
（出典: 個人情報保護委員会）
質問: 訴訟代理人の弁護士・裁判所に、訴訟の相手方に係る個人データを含む証拠等を提出する場合、記録をしなければなりませんか。
回答: 訴訟追行のために、訴訟代理人の弁護士・裁判所に、訴訟の相手方に係る個人データを含む証拠等を提出する場合は、「財産の保護のために必要がある」といえ、かつ、一般的に当該相手方の同意を取得することが困難であることから、法第 23 条第１項第２ 号に該当し得るものであり、その場合には記録義務は適用されないものと考えられます。
（出典: 個人情報保護委員会）
質問: 顧客からグループ会社の紹介を求められたため、当該顧客本人の氏名・住所等の連絡先等を、当該グループ会社に提供する場合は、記録を作成しなければなりませんか。
回答: 本人に代わって個人データを第三者提供しているため、記録義務は適用されません。なお、提供を受けた会社においても、確認・記録義務は適用されません。
（出典: 個人情報保護委員会）
質問: 取引先 A 社からの依頼に基づき、取引先 B 社の窓口担当者の氏名・連絡先等を、同窓口担当者の同意を得て、A 社に伝達する場合、記録を作成しなければなりませんか。
回答: 本人に代わって個人データを第三者提供しているため、記録義務は適用されません。なお、提供を受けた取引先 A 社においても、確認・記録義務は適用されません。
（出典: 個人情報保護委員会）
質問: A 社が、自己の提供する役務と B 社の提供する別の役務とをセットで販売して、B 社に購入者の個人データを提供する場合、記録を作成しなければなりませんか。
回答: 本人に代わって個人データを第三者提供しているため、記録義務は適用されません。なお、提供を受けた B 社においても、確認・記録義務は適用されません。
（出典: 個人情報保護委員会）
質問: 小売業者 A は、顧客から製品の注文を受けた場合に、当該製品のメーカーに、当該顧客の氏名・住所を伝え、当該メーカーから当該製品を当該顧客に送付しているところ、当該メーカーへの個人データの提供につき、記録を作成しなければなりませんか。（なお、小売業者 A とメーカー間には委託契約はない。また、小売業者 A と顧客との契約書には、メーカーから当該製品が直接送付される旨が規定されている。）
回答: 本人に代わって個人データを第三者提供しているため、記録義務は適用されません。なお、提供を受けたメーカーにおいても、確認・記録義務は適用されません。
（出典: 個人情報保護委員会）
質問: 個人データの提供先の第三者を個別に明示していなければ、本人に代わって提供しているものと評価されませんか。
回答: 提供先の事業者名を個別に明示していない場合においても、本人からの委託等 の内容、提供の客体である個人データの内容、提供するとき等の要素を総合的に考慮して、当該提供を具体的に特定できている場合には、本人に代わって提供しているものと評価  されることもあり得ます。
（出典: 個人情報保護委員会）
質問: 会社間で代表取締役の名義で締結する契約書面を事務担当者間で授受する際、代表取締役の氏名に係る個人データを第三者提供しているものとして、記録を作成しなければなりませんか。
回答: 機関としての代表者の氏名を提供する行為は、確認・記録義務が適用される第三者提供には該当しないものと考えられます。
（出典: 個人情報保護委員会）
質問: 顧客が別の者を指定して、自己に連絡をする際は指定した者を通すようにと事業者に要請していた場合、その連絡内容に当該顧客に係る個人データが含まれていたときは、当該者に第三者提供をしたものとして、記録を作成しなければなりませんか。
回答: 本人と一体と評価できる関係にある者に提供しているものとして、記録義務は適用されません。
（出典: 個人情報保護委員会）
質問: 後見人の他に、保佐人、補助人も、「本人と一体と評価できる関係にある者」と評価することはできますか。
回答: 家庭裁判所から選任された保佐人、補助人の権限の範囲内で個人データの提供が行われる場合には、「本人と一体と評価できる関係にある者」に該当するものと考えられます。
（出典: 個人情報保護委員会）
質問: 従業員の口座に給与を振り込む際も、記録義務は適用されますか。
回答: 従業員の口座に給与を振り込む場合は、提供者が、最終的に本人に提供することを意図した上で、受領者を介在して提供を行っているものであるので、記録義務は適用されないものと考えられます。
（出典: 個人情報保護委員会）
質問: 公開情報を収集してデータベース化している事業者から当該情報の提供を受ける場合は、元の情報が公開情報であることから確認・記録義務は適用されませんか。
回答: データベースの内容が、「不特定多数の者が取得できる公開情報」である場合には、当該データベースの提供を受ける行為については、確認・記録義務は適用されません。
（出典: 個人情報保護委員会）
質問: 顧客から、当該顧客の配偶者の紹介を受ける行為について、確認・記録義務が適用されますか。
回答: 受領者にとって個人データに該当しない個人情報を受領したものと考えられ、確認・記録義務は適用されません。
（出典: 個人情報保護委員会）
質問: 顧客から別の者を紹介してもらう場合に、１名ではなく、夫婦・家族の連絡先をまとめて紹介される場合においても、個人データに該当しないときであれば、第三者提供の確認・記録義務の対象になりませんか。
回答: 第三者から複数の個人情報の提供を受ける場合であっても、個人データに該当しない場合には、確認・記録義務は適用されません。
（出典: 個人情報保護委員会）
質問: 電話や口頭で個人情報を聞いた場合には、確認・記録義務は適用されますか。
回答: 個人データに該当しない個人情報を取得した場合には、確認・記録義務は適用されません。
（出典: 個人情報保護委員会）
質問: 個人データの第三者提供を受ける際に、受領者にとって「個人データ」に該当しない場合、法第 26 条に加えて、他の法第４章第１節に規定される条文も適用されませんか。
回答: 受領者にとって個人データに該当しない場合であっても、個人情報に該当するときは、個人情報に係る規定である法第17条から第21条まで及び第40条の規定を遵守する必要があります。
（出典: 個人情報保護委員会）
質問: データベース業者と契約を締結し、ネットワークで繋がった上で、当該データベース業者のデータベースを自己の端末で参照し、そのデータベースの内容は当該データベース業者が随時更新を行う場合において、それを利用する事業者に確認・記録義務は適用されますか。
回答: データベース業者が自己の支配下で管理しているデータベースを単に参照する場合には、確認・記録義務は適用されません。
（出典: 個人情報保護委員会）
質問: 本人以外の者（「当初の提供元」）から個人データの提供を受けた場合において、あらかじめ公表している利用目的の範囲内で、後日、当初の提供元に対して、同じ内容の個人データを提供するとき、確認・記録義務は適用されますか。
回答: 当初の提供の際に作成した記録の枠内であれば、改めて、確認・記録義務は適用されません。なお、当初に作成した記録の範囲内にとどまらず、実質的に新規の第三者提供と同視される場合は、確認・記録義務が適用されるものと考えられます。
（出典: 個人情報保護委員会）
質問: 金融機関から債権の買取りを行うに際して、当該金融機関と守秘義務契約を締結して入札に参加する場合において、債権譲受候補者が当該金融機関から提供を受けた債務者データ（個人データ）を利用して譲渡対象債権のデューデリジェンスを行って入札価格を提示したものの、落札に至らなかったために、守秘義務契約に基づき当該データを速やかに削除する例においては、当該候補者は確認・記録義務を履行する必要がありますか。
回答: かかる例においては、その提供の形態は実質的に委託又は事業承継に類似するものと認められ、また、提供者・受領者間において契約により提供の対象となる個人データを削除することとなっているものであり、その他確認・記録義務を課すべき特段の事情がないものといえ、当該候補者に確認・記録義務は適用されないものと考えられます。
（出典: 個人情報保護委員会）
質問: オプトアウトによる第三者提供について、確認・記録義務が適用されない場面はありますか。
回答: ありません。
（出典: 個人情報保護委員会）
質問: 第三者から個人データの提供を受ける際は、代表取締役の氏名を確認しなければなりませんか。
回答: 法第 26 条第１項第１号の「代表者」には、代表権を有する者の他、確認の対象となる第三者提供を業務として執行する権限を有している者も含まれます。
（出典: 個人情報保護委員会）
質問: 「取得の経緯」を対面又は電話により口頭で確認する方法は認められますか。
回答: 口頭で申告を受ける方法も否定されませんが、法第 17 条第１項に抵触しないことが担保されるように、正確に確認し、法第 26 条第３項に基づき記録を作成しなければならない点に留意する必要があります。
（出典: 個人情報保護委員会）
質問: 取得の経緯を確認する際に、本人が署名した同意書面を確認することをもって取得の経緯を確認し、その旨を記録する場合に、同時に本人の同意が有る旨の記録として取り扱ってもよいですか。
回答: 取得の経緯を確認・記録をする場合において、当該記録が「本人の同意を得ている旨」を含むものであるときは、施行規則第 13 条第１項第２号イの記録とすることもできます。
（出典: 個人情報保護委員会）
質問: 記録を作成するに当たって、台帳のようなものを用意する必要はありますか。
回答: 既存の契約書などで記録事項を充たしている場合は、それらが記録として認められます。したがって、事業者は、別途、台帳のようなものを用意する必要はありませんが、保存義務を履行するために、明確にする必要があります。
（出典: 個人情報保護委員会）
質問: 個人データを提供先にデータ伝送している場合、伝送日時、伝送先などのログを記録とすることはできますか。
回答: ログを記録とすることは認められます。
（出典: 個人情報保護委員会）
質問: 継続的に又は反復して個人データを授受することを内容とする基本契約書に加えて、当該基本契約書に付帯する資料などをあわせて、施行規則第 12 条第２項・第 16 条第２項に基づく記録とすることはできますか。
回答: 最初に基本契約書に記録を作成し、継続的に又は反復して個人データを授受する対象期間内に、随時、提供される個人データによって識別される本人の氏名に係る記録を、別途、当該基本契約書に付帯する資料などをもって作成する方法も認められるものと考えられます。
（出典: 個人情報保護委員会）
質問: 「契約書その他書面」（施行規則第 12 条第３項・第 16 条第３項）には、原本のみならず、写しも含まれますか。
回答: 「契約書その他書面」には、原本のみならず、写しも含まれます。
（出典: 個人情報保護委員会）
質問: 同意書をもって記録とする方法を採用する場合、代表者氏名以外については同意書により記録し、代表者氏名については有価証券報告書の記載箇所を記録として用いる又は補記する等の対応は可能ですか。
回答: 全体として一つの記録として保存されていれば、認められるものと考えられます。
（出典: 個人情報保護委員会）
質問: 提供者にとって個人データに該当するが受領者にとって個人データでないため、提供者のみに記録義務が生じる場合においても、受領者が提供者の記録義務の全部又は一部を代行して行うことは妨げられないという理解でよいですか。
回答: 自身は確認・記録義務を負わない受領者が、提供者の記録義務を代行することはできるものと考えられます。
（出典: 個人情報保護委員会）
質問: 代行により記録を作成する方法を採用する場合に、代行させる者（委託者）及び代行を行う者（受託者）との間では、契約書等において、代行させる旨の規定を置くことは必須ですか。
回答: 契約書等において、代行させる旨の規定を置くことは必須ではありません。
（出典: 個人情報保護委員会）
質問: 確認・記録義務の履行のために個人データを保存する場合は、消去義務（法第 19 条）に違反しませんか。また、利用目的の特定・通知等をしなければなりませんか。
回答: 個人情報取扱事業者は、個人データを利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければなりませんが、確認・記録義務の履行のために個人データを保存する場合は、この限りではないものと考えられます。また、利用目的の特定・通知等は不要です。
（出典: 個人情報保護委員会）
質問: 「同意の存在を明示的に又は黙示的に示す証跡等」には、①本人による同意する旨のホームページ上のボタンのクリックに係るシステムログ、②ホームページの構造上、個人情報を取得する直前に必ず本人による同意をする旨のホームページ上のボタンのクリックが必須となっていること（ボタンクリックによる同意を経なければ取得できない）は、該当しますか。
回答: いずれも「同意の存在を明示的に又は黙示的に示す証跡等」に該当します。
（出典: 個人情報保護委員会）
質問: 対象となる複数の本人の記録を一体として作成する際に、保存期間は個々の個人ごとに計算するものですか。
回答: 対象となる複数の本人の記録を一体として作成した場合も、保存期間は個々の個人ごとに計算することとなります。例えば、施行規則第 12 条第２項・第 16 条第２項に基づく記録を作成した場合は、個々の個人ごとに最後に当該記録に係る個人データの提供を行なった日から起算して３年を経過する日までの間が保存期間となります（施行規則第 14 条第２号・第 18 条第２号）。
（出典: 個人情報保護委員会）
質問: 複数の対象者の個人データについて、毎週、同様の提供が行われることから、一つのファイルに翌月１日に前月の分を一括して記録を作成する方法によ り記録を作成している場合において、2018 年１月に本人 X について提供が行われ 2018 年２月１日に記録がなされ、2019 年１月に本人 Y について提供 が行われ、2019 年２月１日に記録がなされた場合、X 及びY についての保存 期間はどのように考えられますか。
回答: 「記録を作成した日」が起算点となります。よって、Ｘについての記録の部分は、2021 年２月１日まで、Ｙについての記録の部分は 2022 年２月１日までが保存期間となります。
（出典: 個人情報保護委員会）
質問: 匿名加工情報と仮名加工情報の違いは何ですか。
回答: 匿名加工情報は、特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたもの（法第２条第６項）です。「個人情報」（法第２条第１項）に該当せず、本人の同意を得ずに第三者に提供することが可能です（匿名加工情報の取扱いに係る義務等については、ガイドライン（仮名加工情報・匿名加工情報編）３－２参照）。
（出典: 個人情報保護委員会）
質問: 個人情報である仮名加工情報と個人情報でない仮名加工情報とは何ですか。
回答: 仮名加工情報取扱事業者が、仮名加工情報の作成の元となった個人情報や当該仮名加工情報に係る削除情報等を保有している等により、当該仮名加工情報が「他の情報と容易に照合することができ、それにより特定の個人を識別することができる」状態にある場合には、当該仮名加工情報は、「個人情報」（法第２条第１項）に該当します。
（出典: 個人情報保護委員会）
質問: 法第41条第１項・施行規則第31条に定める基準に従わずに個人情報を加工したものを仮名加工情報として取り扱うことは認められますか。
回答: 仮名加工情報を作成するためには、法第41条第１項に基づき、施行規則第31条各号で定める基準に従い加工する必要があります。具体的には個別に判断されることとなりますが、これらの基準に従い加工が行われていない場合については、仮名加工情報に該当しないものと考えられます。
（出典: 個人情報保護委員会）
質問: 個人情報を、安全管理措置の一環等としてマスキング等によって仮名化した場合、仮名加工情報として取り扱う必要がありますか。
回答: 仮名加工情報を作成するためには、仮名加工情報作成の意図を持って、法第41条第１項に基づき、施行規則第31条各号で定める基準に従い加工する必要があります。
（出典: 個人情報保護委員会）
質問: 安全管理措置の一環等として、元の個人情報とは別に、元の個人情報から氏名等の一部の記述等を削除した情報を作成し、引き続き個人情報として取り扱っていますが、このように仮名化された個人情報から仮名加工情報を作成するためには、どのような措置を講ずる必要がありますか。
回答: 既に仮名化された個人情報について、施行規則第31条各号で定める基準を満たす加工がなされていない場合には、これを満たすよう更なる加工を行う必要があります（法第41条第１項）。
（出典: 個人情報保護委員会）
質問: 要配慮個人情報を含む個人情報から仮名加工情報を作成することは認められますか。
回答: 法第２条第３項に定める要配慮個人情報を含む個人情報を加工して仮名加工情報を作成することも可能です。
（出典: 個人情報保護委員会）
質問: 氏名や住所、年齢、性別などの記述が含まれていた場合は必ず全ての記述について削除等の措置が必要になりますか。
回答: 氏名のようにそれ単体で特定の個人を識別できるものについては措置が必要となりますが、住所、年齢、性別などのその組合せにより特定の個人を識別できるような記述については、その一部を削除等することにより特定の個人を識別できないようにすることも可能であると考えられます。
（出典: 個人情報保護委員会）
質問: 施行規則第31条第３号の「不正に利用されることにより財産的被害が生じるおそれがある記述等」とはどのようなものですか。口座番号やクレジットカード番号の下４桁は削除する必要がありますか。
回答: 個別の事案ごとに判断されますが、口座番号それ自体やクレジットカード番号の下４桁それ自体が不正に利用されることにより直ちに財産的被害が生じるおそれがあるとはいえないと考えられますので、口座番号それ自体や、クレジットカード番号の下４桁それ自体については、施行規則第31条第３号における「不正に利用されることにより財産的被害が生じるおそれがある記述等」には該当しないと考えられます。
（出典: 個人情報保護委員会）
質問: 個人情報を加工して仮名加工情報を作成すること自体を、利用目的として特定する必要はありますか。
回答: 仮名加工情報への加工を行うこと自体を個人情報の利用目的として特定する必要はありません。
（出典: 個人情報保護委員会）
質問: 施行規則第32条に定める基準に従って安全管理措置を講ずることが求められる削除情報等とはどのような情報ですか。
回答: 施行規則第32条の基準に従って安全管理措置を講ずることが求められる削除情報等には、個人情報を加工する過程で削除された記述等や個人識別符号のほか、それを用いて仮名加工情報の作成に用いられた個人情報を復元することができる加工の方法に関する情報が該当し、例えば、氏名を仮IDに置き換えた場合における置き換えアルゴリズムに用いられる乱数等のパラメータや氏名と仮IDの対応表などが考えられますが、「氏名を削除した」というような復元につながらない情報は該当しません。
（出典: 個人情報保護委員会）
質問: 仮名加工情報が適切に加工されていることを伝えるために、それぞれの情報の項目をどのように加工したのかといった情報を仮名加工情報の取扱いについての委託先などに伝えることは可能ですか。
回答: 安全管理措置が必要となる削除情報等に該当する加工の方法に関する情報とは、その情報を用いることによって元の個人情報を復元することができるものです。したがって、例えば、住所を都道府県レベルに加工したことや、年齢を10歳刻みにしたこといった情報などについては、元の個人情報を復元できるものではなく、委託先などに伝えることも可能です。
（出典: 個人情報保護委員会）
質問: 委託契約により委託先の事業者において仮名加工情報を作成した場合、削除情報等を委託元と共有することはできますか。
回答: 個人情報を提供して仮名加工情報の作成を委託した場合においては、委託元と委託先が共同して作成したものとして、削除情報等を共有することは可能です。ただし、削除情報等を取り扱う者の権限を委託元においても明確に定めるなど、委託元も含め施行規則第32条に定める基準に従って適切な安全管理措置を講じる必要があります。
（出典: 個人情報保護委員会）
質問: 仮名加工情報の削除情報等が漏えいした場合、どのような対応が必要となりますか。
回答: 個別の事例ごとに判断する必要がありますが、氏名と仮IDの対応表等、それを用いて元の個人情報を復元することのできる削除情報等が漏えいした場合には、削除情報等の安全管理措置を講ずる義務（法第41条第２項）や仮名加工情報である個人データの安全管理措置を講ずる義務（法第23条）の履行の観点から、原則として、当該仮名加工情報に含まれる仮IDを振り直すこと等により仮名加工情報を新たに作り直す等の措置を講じることが必要となります。
（出典: 個人情報保護委員会）
質問: 法第41条第３項において「第17条第１項の規定により特定された利用目的」とありますが、個人情報取扱事業者が個人情報を加工して仮名加工情報を作成した場合、当該仮名加工情報の利用目的はどのように特定されますか。
回答: 仮名加工情報（個人情報であるもの。以下本項において同じ。）を作成したときは、作成の元となった個人情報に関して法第17条第１項の規定により特定された利用目的（当該個人情報について法第17条第２項に定める範囲で利用目的が変更された場合の変更後の利用目的を含む。）が、当該仮名加工情報の利用目的として引き継がれます。
（出典: 個人情報保護委員会）
質問: 個人情報を加工して仮名加工情報を作成した場合、仮名加工情報の利用目的を公表する必要がありますか。また、仮名加工情報の利用目的を変更した場合はどうですか。
回答: 個人情報である仮名加工情報を取得した場合には、あらかじめその利用目的を公表している場合を除き、原則として、速やかにその利用目的を公表する必要があります（法第41条第４項により読み替えて適用される法第21条第１項、同条第４項）。もっとも、個人情報取扱事業者が、自らが保有する個人情報の一部を削除する等の加工を行って仮名加工情報を作成した場合は、ここでいう個人情報である仮名加工情報の「取得」に該当しないため、仮名加工情報を作成した時点で仮名加工情報の利用目的を公表する必要はありません。
（出典: 個人情報保護委員会）
質問: 仮名加工情報に含まれる情報の項目を公表する必要はありますか。
回答: 仮名加工情報に含まれる情報の項目を公表することは求められません。
（出典: 個人情報保護委員会）
質問: 仮名加工情報を第三者に提供することはできますか。仮名加工情報を作成する前に、本人から同意を得ていた場合はどうですか。
回答: 仮名加工情報（個人情報であるもの）、仮名加工情報である個人データ及び仮名加工情報である保有個人データについては、通常の個人情報、個人データ及び保有個人データと異なり、以下の規定が適用されないこととなります（法第41条第９項）。
（出典: 個人情報保護委員会）
質問: 仮名加工情報である個人データを共同利用により提供することは可能ですか。可能である場合、どのような手続を実施する必要がありますか。
回答: 仮名加工情報を共同利用により第三者に提供することは可能です（法第41条第６項により読み替えて適用される法第27条第５項第３号、法第42条第２項により読み替えて準用される法第27条第５項第３号）。
（出典: 個人情報保護委員会）
質問: 法第41条第８項おける「電磁的方法」とは、どのような方法をいいますか。例えば、いわゆるSNS（ソーシャル・ネットワーキング・サービス）のメッセージ機能によりメッセージを送信する方法はこれに該当しますか。
回答: 法第41条第８項における「電磁的方法」とは、①から③までのいずれかの方法をいいます。
（出典: 個人情報保護委員会）
質問: 仮名加工情報を用いて分析を行い、統計情報を作成した上で、当該統計情報により得られた傾向等を踏まえて、当該仮名加工情報の作成の元となった個人情報を用いて広告配信を行うことはできますか。
回答: 可能です。ただし、広告配信を行うことが、加工前の個人情報について特定された利用目的の範囲内である必要があります。利用目的の達成に必要な範囲を超える利用は、原則として事前に本人の同意が必要となります（法第18条第１項・第３項）。
（出典: 個人情報保護委員会）
質問: 委託により仮名加工情報を取り扱っていたところ、偶然に当該仮名加工情報の作成の元となった個人情報の本人を識別してしまった場合にも識別行為の禁止義務に違反しますか。
回答: 法第41条第７項及び法第42条第３項により準用される法第41条第７項に定めるように、仮名加工情報の作成の元となった個人情報の本人を識別するために他の情報と照合しているとはいえない場合は、直ちに識別行為の禁止義務に違反するものではないと考えられますが、再度同じような形で個人を識別することがないようにする必要があります。
（出典: 個人情報保護委員会）
質問: 個人情報から作成した統計情報についても匿名加工情報に該当しますか。
回答: ガイドライン（匿名加工情報編）２－１にもあるように、統計情報は、複数人の 情報から共通要素に係る項目を抽出して同じ分類ごとに集計して得られるデータであり、集団の傾向又は性質などを数量的に示すのみで特定の個人との対応関係が排斥されてい  る限りにおいては、「個人に関する情報」に該当するものではないため、個人情報保護法 の対象外となります。一方、特定の個人が識別できる情報であれば、個人情報に該当する こととなりますので留意が必要です。
（出典: 個人情報保護委員会）
質問: 統計情報と匿名加工情報の違いは何ですか。
回答: 統計情報は、複数人の情報から共通要素に係る項目を抽出して同じ分類ごとに集計等して得られる情報であり、一般に、特定の個人との対応関係が排斥されているため、「個人情報」に該当しないものです。他方、匿名加工情報は、法第 36 条第１項に基づき、施行規則第 19 条各号で定める基準に従い加工したものであり、例えば、ある一人の人物の購買履歴や移動履歴等の情報など、個人単位の「個人に関する情報」を含むものです。（平成 30 年７月追加）
（出典: 個人情報保護委員会）
質問: 匿名加工情報を作成する途中の情報など十分な加工がされていない情報はどのように取り扱えばよいですか。
回答: 匿名加工情報を作成するために個人情報を加工する作業を行っている途上であるものは、加工が不十分である場合には、特定の個人を識別することができる、又は元の個人情報が復元できる状態にある可能性があることから、原則として個人情報として取り扱うことが適当であると考えられます。
（出典: 個人情報保護委員会）
質問: 匿名加工情報として提供を受けたものの、加工が不十分な情報であった場合にはどのように取り扱えばよいですか。
回答: 匿名加工情報として提供を受けたものの、加工が不十分な情報であるために匿名加工情報に該当しないと判明した場合は速やかに当該情報を削除することが望ましいと考えられます。
（出典: 個人情報保護委員会）
質問: 法第 36 条第１項に定める基準に従わずに個人情報を加工したものを匿名加工情報として取り扱うことは認められますか。
回答: 匿名加工情報を作成するためには、法第 36 条第１項に基づき、施行規則第 19 条各号で定める基準に従い加工する必要があります。具体的には個別に判断されることとなりますが、これらの基準に従い加工が行われていない場合については、匿名加工情報に該当しないものと考えられます。
（出典: 個人情報保護委員会）
質問: 個人情報を、安全管理措置の一環等のためにマスキング等によって匿名化した場合、匿名加工情報として取り扱う必要がありますか。
回答: 匿名加工情報を作成するためには、匿名加工情報作成の意図を持って、法第43 条第１項に基づき、施行規則第 34条各号で定める基準に従い加工する必要があります。
（出典: 個人情報保護委員会）