GENIAC-Team-Ozaki/JaGovFaqs-22k huggingface dataset:
質問: 自社の従業者が指定感染症に罹患したため、当該従業者が感染可能期間中に訪問した取引先が適切な対応策を取ることができるよう、情報提供することを考えています。当該従業者は現在入院しており、取引先への第三者提供に係る同意を取得することが困難ですが、同意を取得せずに情報提供することはできますか。
回答: 個人データを第三者に提供する際には原則本人の同意が必要ですが（法第27条第１項本文）、「人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき」（法第23条第１項第２号）や、「公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき」（同項第３号）は、本人の同意は不要です。
（出典: 個人情報保護委員会）
質問: 医療機関が、以前治療を行った患者の臨床症例を、症例研究のために、他の医療機関へ提供することを考えています。本人の転居等により有効な連絡先を保有していない場合や、同意を取得するための時間的余裕や費用等に照らし、本人の同意を得ることにより当該研究の遂行に支障を及ぼすおそれがある場合は、本人同意なしに提供することは可能ですか。
回答: 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはなりませんが、公衆衛生の向上のために特に必要がある場合であって、本人の同意を得ることが困難であるときには、あらかじめ本人の同意を得ないで、個人データを第三者へ提供することが許容されています（法第27条第１項第３号）。
（出典: 個人情報保護委員会）
質問: 医療機関が保有する患者の臨床症例について、有効な治療方法や薬剤が十分にない疾病等に関する疾病メカニズムの解明を目的とした研究のために、製薬企業へ提供することを考えています。本人の転居により有効な連絡先を保有しておらず、本人の同意を得ることが困難なのですが、本人同意なしに提供することは可能ですか。
回答: 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはなりませんが、公衆衛生の向上のために特に必要がある場合であって、本人の同意を得ることが困難であるときには、あらかじめ本人の同意を得ないで、個人データを第三者へ提供することが許容されています（法第27条第１項第３号）。
（出典: 個人情報保護委員会）
質問: オプトアウトの届出事項である「第三者に提供される個人データの取得の方法」（法第27条第２項第４号）に関して、オプトアウト届出を行っている個人情報取扱事業者が内部で独自に生成した個人データがある場合には、何か記載する必要がありますか。どのように記載すればよいですか。
回答: オプトアウト届出を行っている個人情報取扱事業者が内部で独自に生成した個人データについては、「第三者に提供される個人データの取得の方法」として記載する必要はありませんが、当該個人データを第三者に提供している場合には、「第三者に提供される個人データの項目」（法第27条第２項第３号）等に記載する必要があります。（令和３年９月追加）
（出典: 個人情報保護委員会）
質問: ホームページに継続的に掲載すれば、法第 27 条第２項の「本人が容易に知り得る状態」に該当しますか。
回答: 「本人が容易に知り得る状態」とは、本人が知ろうとすれば、時間的にも、その手段においても、簡単に知ることができる状態をいい、事業の性質及び個人情報の取扱状況に応じ、本人が確実に認識できる適切かつ合理的な方法によらなければなりません。
（出典: 個人情報保護委員会）
質問: サービスの提供の申込の際に、申込者から申込書・約款等で包括的に同意を得ながらも、事後的に当該同意の撤回を申し出ることができるようにしています。この場合、法第 27 条第２項・第３項に規定する手続に則る必要がありますか。
回答: 第三者提供について法第 23 条第１項に基づく本人の同意を得ている場合には、法第 27 条第２項・第３項の義務は適用されないため、同項に規定する手続に則る必要はありません。（令和３年９月更新）
（出典: 個人情報保護委員会）
質問: 「本人・・・が当該提供の停止を求めるのに必要な期間をおくこと」（施行規則第11条第１項第１号）の「必要な期間」とは、いつから起算しますか。また、満了点はいつですか。
回答: 「必要な期間」は、個人情報取扱事業者が法第 27 条第２項に基づき、本人に通知し、又は本人が容易に知り得る状態に置いた時点から起算します。また、この「必要な期間」の満了点は、オプトアウトによる第三者提供を行う前である必要があります。
（出典: 個人情報保護委員会）
質問: 法第27条第２項各号に係る事項をインターネットで「本人が容易に知り得る状態」に置いている場合、個人情報保護委員会への届出をした後、改めて、施行規則第 10 条に基づき、公表しなければなりませんか。
回答: 個人情報取扱事業者が、法第27条第２項各号に係る事項をインターネットで「本人が容易に知り得る状態」に置いている場合には、実質的に施行規則第 14 条を履行しているものと考えられますので、別途、公表をする必要はありません。
（出典: 個人情報保護委員会）
質問: オプトアウトにより提供を受けた個人データのオプトアウトによる再提供の禁止について、令和２年改正法の施行日（令和４年４月１日）以前にオプトアウトにより提供を受けた個人データについても再提供が禁止されますか。
回答: 法第27条第２項の適用については、オプトアウトによる再提供の禁止を含め、個人データの提供時を基準に判断することになります。
（出典: 個人情報保護委員会）
質問: オプトアウトにより提供を受けた個人データのオプトアウトによる再提供の禁止について、オプトアウト規定ができる前に他の事業者から取得した個人データについても、再提供が禁止されますか。
回答: 法第27条第２項ただし書は、オプトアウトにより提供を受けた個人データを、オプトアウトにより再提供することを禁止しています。オプトアウト規定は、個人情報保護法が平成17年４月１日に施行された時点で導入されたものであるところ、同日以前に取得した個人データについては、オプトアウトにより提供を受けた個人データではないため、上記規制の対象外となります。（令和３年９月追加）
（出典: 個人情報保護委員会）
質問: オプトアウトにより提供を受けた個人データについて、令和２年改正法の施行後において、提供を受けた個人情報取扱事業者が内部利用することはできますか。また、他の事業者からダイレクトメール発送の依頼を受けた場合、オプトアウトにより提供を受けた個人データをダイレクトメール発送のために利用することはできますか。
回答: 法第27条第２項ただし書は、オプトアウトにより提供を受けた個人データを、オプトアウトにより再提供することを禁止していますが、オプトアウトにより提供を受けた個人データを、個人情報保護法のその他の規定を遵守した上で、取得時に特定した利用目的の範囲内で利用することは可能です。そのため、オプトアウトにより提供を受けた個人データを、取得時に特定した利用目的の範囲内で内部利用したり、他の事業者からダイレクトメール発送の依頼を受けてそのために利用することは可能です。（令和３年９月追加）
（出典: 個人情報保護委員会）
質問: ダイレクトメールの発送業務を業者に委託する場合、ダイレクトメールの発送業務の委託に伴い、ダイレクトメールの送付先である顧客の氏名や住所等を本人の同意なくこの業者に伝えることはできますか。
回答: 個人情報取扱事業者が、その利用目的の達成に必要な範囲内において、ダイレクトメールの発送業務を業者に「委託」（法第 27 条第５項第１号）する場合には、顧客の氏名や住所等をダイレクトメールの発送業者に伝えても第三者提供の制限に違反することにはなりません。ただし、委託者は、委託先を監督する義務があります（法第 25 条）。
（出典: 個人情報保護委員会）
質問: 配送事業者、通信事業者等の外部事業者を利用して、個人データを含むものを送る場合は、当該外部事業者に対して当該個人データの取扱いを委託（法第 27 条第５項第１号）しているものと考えられますか。
回答: 一般的に、外部事業者を利用して、個人情報データベース等に含まれる相手の氏名、住所等宛に荷物等を送付する行為は、委託に該当すると解されます。
（出典: 個人情報保護委員会）
質問: 当社は、外部事業者を利用して消費者アンケート調査を実施します。当該外部事業者において新たに個人データを取得し、その結果を集計して統計情報を作成し、当社は統計情報のみ提供を受けます。この場合、当社は当該外部事業者に対して個人データの取扱いの委託（法第27 条第５項第１号）をしているものと考えられますか。
回答: 個別の事例ごとに判断することになりますが、外部事業者のみがアンケート調査に係る個人データを取り扱っており、調査を依頼した事業者が一切個人データの取扱いに関与しない場は、通常、当該個人データに関しては取扱いの委託をしていないと解されます。この場合、当該外部事業者は委託を受けることなく自ら個人データを取り
扱う主体となり、例えば、本人から保有個人データの開示等の請求があった場合には、これに対応する必要があります。
（出典: 個人情報保護委員会）
質問: ガイドライン（通則編）３－６－３の「（1）委託（法第 27 条第５項第１号関係）」に、個人情報保護法上委託に該当しない場合として記載されている「委託された業務以外に当該個人データを取扱う」事例としては、どのようなものがありますか。
回答: 次のような事例が考えられます。
（出典: 個人情報保護委員会）
質問: 委託に伴って提供された個人データを、委託先が自社のために統計情報に加工した上で利用することはできますか。
回答: 委託先は、委託（法第27 条第５項第１号）に伴って委託元から提供された個人データを、委託された業務の範囲内でのみ取り扱わなければなりません。委託先が当該個人データを統計情報に加工することが委託された業務の範囲内である場合には、委託先は当該加工を行うことができますが、委託された業務の範囲外で委託先が当該加工を行い、作成された統計情報を自社のために用いることはできません。（令和３年９月追加）
（出典: 個人情報保護委員会）
質問: 委託に伴って提供された個人データを、委託業務を処理するための一環として、委託先が自社の分析技術の改善のために利用することはできますか。
回答: 個別の事例ごとに判断することになりますが、委託先は、委託元の利用目的の達成に必要な範囲内である限りにおいて、委託元から提供された個人データを、自社の分析技術の改善のために利用することができます。（令和３年９月追加）
（出典: 個人情報保護委員会）
質問: 広告配信の委託を受け、これに伴って提供された氏名・メールアドレス等の個人データを利用して広告配信を行い、当該広告に対する本人の反応等の別の個人データを取得しました。取得した別の個人データを自社のために利用することができますか。
回答: 個人データの取扱いの委託を受けた者は、当該個人データのみならず、当該個人データを利用して取得した個人データについても、委託された業務以外に取り扱うことはできません。したがって、当該広告に対する本人の反応等の別の個人データを委託先が自社のために利用することはできません。（令和３年９月追加）
（出典: 個人情報保護委員会）
質問: 委託に伴って提供された個人データを、委託先が独自に取得した個人データ又は個人関連情報と本人ごとに突合することはできますか。
回答: 個人データの取扱いの委託（法第27条第５項第１号）において、委託先は、委託に伴って委託元から提供された個人データを、独自に取得した個人データ又は個人関連情報と本人ごとに突合することはできません。
（出典: 個人情報保護委員会）
質問: 委託に伴って提供された個人データを、委託先が独自に取得した個人データ又は個人関連情報と本人ごとに突合し、新たな項目を付加して又は内容を修正して委託元に戻すことはできますか。
回答: 個人データの取扱いの委託（法第27条第５項第１号）において、委託先は、委託に伴って委託元から提供された個人データを、独自に取得した個人データ又は個人関連情報と本人ごとに突合することはできず、委託先で新たな項目を付加して又は内容を修正して委託元に戻すこともできません。
（出典: 個人情報保護委員会）
質問: A 社及びB 社から統計情報の作成の委託を受ける場合に、以下の取扱いをすることはできますか。
回答: 外部事業者に対する委託と整理した上で、委託先である当該外部事業者において提供を受けた個人データを本人ごとに突合して統計情報を作成する場合には、A 社及びB 社においてそれぞれに対する第三者提供に関する本人の同意を取得する等の対応を行う必要があります。
（出典: 個人情報保護委員会）
質問: 当社の事業の一部を他社に承継する場合において、利用目的の一部が当社に残るときは、当社に個人データを残して利用することはできますか。
回答: 個人データを残して利用することができると考えられます。
（出典: 個人情報保護委員会）
質問: 「共同して利用する者の範囲」として、「必ずしも事業者の名称等を個別に全て列挙する必要はないが、本人がどの事業者まで利用されるか判断できるようにしなければならない」とのことですが、具体的にはどのような場合が考えられますか。
回答: 個別具体的に判断されるものですが、例えば、「当社の子会社及び関連会社」といった表記の場合、当該子会社及び関連会社の全てがホームページ上で公表されている場合等が考えられます。
（出典: 個人情報保護委員会）
質問: 共同利用する際に「あらかじめ」本人への通知又は本人が知り得る状態に置く必要がありますが、「あらかじめ」とはいつまでですか。
回答: 個人データの共同利用が開始される前を意味します。
（出典: 個人情報保護委員会）
質問: 複数の企業でセミナーを共催して、申込受付やアンケートを共同で実施する場合等、個人情報を数社が共同で取得する際には、どのようにすればよいですか。
回答: 申込受付やアンケートの形式上、共催する各社が、それぞれ個人情報を取得することが分かるようにする方法があります。この場合には、各社ごとに、利用目的をあらかじめ明示する必要があります（法第21条第２項）。
（出典: 個人情報保護委員会）
質問: 共同して利用している個人データの内容（本人の住所等)の一部について、共同利用者が各自で更新することはできますか。
回答: 共同利用者が各自で更新することは可能ですが、これに伴い、各共同利用者が利用する個人データの内容に相違が生ずる可能性があるため、責任を有する者は、個人データを正確かつ最新の内容に保つよう努めることが必要です。
（出典: 個人情報保護委員会）
質問: 各共同利用者を「責任を有する者」とし、それぞれが開示等の請求等や苦情を受け付けることとすることはできますか。
回答: 可能ですが、法第 27 条第５項第３号の規定に基づき、各共同利用者を「責任を有する者」としていることが明確にされていることが必要です。
（出典: 個人情報保護委員会）
質問: 防犯目的のために取得するカメラ画像・顔特徴データ等について、防犯目的の達成に照らして真に必要な範囲内で共同利用をすることは可能ですか。その場合には、どのような点に注意する必要がありますか。
回答: 一般に個人データを共同利用しようとする場合には、法第27条第５項第３号に基づき、①共同利用をする旨、②共同して利用される個人データの項目、③共同して利用する者の範囲、④利用する者の利用目的、⑤当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名をあらかじめ本人に通知又は容易に知りうる状態に置かなければなりません。
（出典: 個人情報保護委員会）
質問: 過去に取得した個人データを特定の事業者との間で共同利用することは可能ですか。
回答: 一般に、個人データを共同して利用する場合には、①共同利用をする旨、② 共同して利用される個人データの項目、③共同して利用する者の範囲、④利用する者の利用目的及び⑤当該個人データの管理について責任を有する者の氏名又は名称について、個人データの共同利用を開始する前に、本人に対して通知するか、本人が容易に知り得る状態に置く必要があります（ガイドライン（通則編）３－６－３（３）参照）。これに加えて、既に事業者が取得している個人データについて共同利用を検討する際には、当該個人データの内容や性質等に応じて共同利用の是非を判断した上で、当該個人データを取得する際に当該事業者が法第 17 条第１項の規定により特定した利用目的の範囲内であることを確認する必要があります。（令和３年９月更新）
（出典: 個人情報保護委員会）
質問: 既に特定の事業者が取得している個人データを他の事業者と共同して利用する場合について、「社会通念上、共同して利用する者の範囲や利用目的等が当該個人データの本人が通常予期しうると客観的に認められる範囲内」に含まれる場合とは、どのような場合ですか。
回答: 取得の際に通知・公表している利用目的の内容や取得の経緯等にかんがみて、既に特定の事業者が取得している個人データを他の事業者と共同して利用すること、共同して利用する者の範囲、利用する者の利用目的等が、当該個人データの本人が通常予期しうると客観的に認められるような場合をいいます。（平成 30 年 12 月追加）
（出典: 個人情報保護委員会）
質問: 個人情報取扱事業者が、個人データを含む電子データを取り扱う情報システムに関して、クラウドサービス契約のように外部の事業者を活用している場合、個人データを第三者に提供したものとして、「本人の同意」（法第 27 条第１項柱書）を得る必要がありますか。または、「個人データの取扱いの全部又は一部を委託」（法第 27 条第５項第１号）しているものとして、法第 25条に基づきクラウドサービス事業者を監督する必要がありますか。
回答: クラウドサービスには多種多様な形態がありますが、クラウドサービスの利用が、本人の同意が必要な第三者提供（法第 27 条第１項）又は委託（法第 27 条第５項第１ 号）に該当するかどうかは、保存している電子データに個人データが含まれているかどうかではなく、クラウドサービスを提供する事業者において個人データを取り扱うこととなっているのかどうかが判断の基準となります。
（出典: 個人情報保護委員会）
質問: クラウドサービスの利用が、法第 27 条の「提供」に該当しない場合、クラウドサービスを利用する事業者は、クラウドサービスを提供する事業者に対して監督を行う義務は課されないと考えてよいですか。
回答: クラウドサービスの利用が、法第 27 条の「提供」に該当しない場合、法第 25 条に基づく委託先の監督義務は課されませんが（Ｑ7－53参照）、クラウドサービスを利用する事業者は、自ら果たすべき安全管理措置の一環として、適切な安全管理措置を講じる必要があります。
（出典: 個人情報保護委員会）
質問: 個人データを含む電子データを取り扱う情報システム（機器を含む。）の保守の全部又は一部に外部の事業者を活用している場合、個人データを第三者に提供したものとして、「本人の同意」（法第 27 条第１項柱書）を得る必要がありますか。または、「個人データの取扱いの全部又は一部を委託することに伴って・・・提供」（法第 27 条第５項第１号）しているものとして、法第 25 条に基づき当該事業者を監督する必要がありますか。
回答: 当該保守サービスを提供する事業者（以下本項において「保守サービス事業者」という。）がサービス内容の全部又は一部として情報システム内の個人データを取り扱うこととなっている場合には、個人データを提供したことになり、本人の同意を得るか、又は、「個人データの取扱いの全部又は一部を委託することに伴って・・・提供」（法第 27条第５項第１号）しているものとして、法第 25 条に基づき当該保守サービス事業者を監督する必要があります。
（例）

○ 個人データを用いて情報システムの不具合を再現させ検証する場合
○個人データをキーワードとして情報を抽出する場合

一方、単純なハードウェア・ソフトウェア保守サービスのみを行う場合で、契約条項によって当該保守サービス事業者が個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等には、個人データの提供に該当しません。

（例）
○システム修正パッチやマルウェア対策のためのデータを配布し、適用する場合
○保守サービスの作業中に個人データが閲覧可能となる場合であっても、個人データの取得（閲覧するにとどまらず、これを記録・印刷等すること等をいう。）を防止するための措置が講じられている場合
○保守サービスの受付時等に個人データが保存されていることを知らされていない場合であって、保守サービス中に個人データが保存されていることが分かった場合であっても、個人データの取得を防止するための措置が講じられている場合
○不具合の生じた機器等を交換若しくは廃棄又は機器等を再利用するために初期化する場合等であって、機器等に保存されている個人データを取り扱わないことが契約等で明確化されており、取扱いを防止するためのアクセス制御等の措置が講じられている場合
○不具合の生じたソフトウェアの解析をするためにメモリダンプの解析をする場合であって、メモリダンプ内の個人データを再現しないこと等が契約等で明確化されており、再現等を防止するための措置が講じられている場合
○個人データのバックアップの取得又は復元を行う場合であって、バックアップデータ内の当該個人データを取り扱わないことが契約等で明確化されており、取扱いを防止するためのアクセス制御等の措置が講じられている場合
（出典: 個人情報保護委員会）
質問: マンション管理組合でマンションの修繕を予定しており、工事会社に居住者の個人情報を提供する必要がありますが、あらかじめ本人の同意を得なければいけませんか。
回答: 個人データを第三者に提供する際には、原則としてあらかじめ本人の同意を得る必要があります。利用目的の達成に必要な範囲内において、個人データの取扱いに関し委託（法第 27 条第５項第１号）をする場合には、本人の同意は不要です。したがって、マンション管理組合が工事会社に修繕を発注する際に、当該工事会社が修繕を行うため に個人データの取扱いを委託する必要がある場合には、居住者の氏名等を提供するため の本人の同意は不要ですが、委託者は個人データの取扱いについて、委託先を監督する義務があります（法第 25 条）。
（平成 30 年７月追加）
（出典: 個人情報保護委員会）
質問: マンション管理組合とマンション管理会社の間で居住者の氏名等の情報を共有することは可能ですか。
回答: 個人データを第三者に提供する際には、原則としてあらかじめ本人の同意が必要となりますので、本人の同意を取得している場合はマンション管理組合とマンション管理会社の間で居住者の氏名等の個人データを共有することは可能です。なお、管理組合が管理会社に対して、利用目的の達成に必要な範囲内において個人データの取扱いに関し委託（法第 27 条第５項第１号）をする場合には、第三者提供に該当しないため、本人の同意がなくとも、個人データの提供を受けることが可能です。ただし、委託者は個人データの取扱いについて、委託先を監督する義務があります（法第 25 条）。
（平成 30 年７月追加）
（出典: 個人情報保護委員会）
質問: マンション管理組合がマンション管理会社に管理業務を委託している場合に、管理組合が保有する組合員名簿を管理会社が提供してもらうよう求めることは可能ですか。
回答: マンション管理規約や管理業務委託契約の内容にもよりますが、一般的に利用目的の達成に必要な範囲内において、個人データの取扱いに関する業務を委託する場合には、第三者提供には該当しません。また、委託内容に組合員名簿の作成・保管等が含まれている場合に管理会社から管理組合に名簿を提供することも第三者提供にはなりません。したがって、この委託の範囲内であれば、個人情報保護法上、管理組合が管理会社へ本人の同意を取得することなく名簿を提供することは可能と解されます。ただし、委託者は個人データの取扱いについて、委託先を監督する義務があります（法第 25 条）。（平成 30 年 12 月更新）
（出典: 個人情報保護委員会）
質問: Cookie等の端末識別子は個人関連情報に該当しますか。家族等で情報端末を共用している場合はどうですか。
回答: 個別の事案ごとに判断することとなりますが、Cookie等の端末識別子について、個人情報に該当しない場合には、通常、当該端末識別子に係る情報端末の利用者に関する情報として、「個人に関する情報」に該当し、個人関連情報に該当することとなると考えられます。また、家族等の特定少数の人が情報端末を共用している場合であっても、通常、情報端末の共用者各人との関係で、「個人に関する情報」に該当し、個人関連情報に該当することとなると考えられます。
（出典: 個人情報保護委員会）
質問: メールアドレスは個人関連情報に該当しますか。
回答: 個別の事案ごとに判断することとなりますが、メールアドレスについて、個人情報に該当しない場合には、通常、当該メールアドレスに係るアカウントの利用者に関する情報として、「個人に関する情報」に該当し、個人関連情報に該当することとなると考えられます。
（出典: 個人情報保護委員会）
質問: 個人関連情報を第三者に提供する場合には、常に本人の同意が得られていること等を確認しなければならないですか。
回答: 法第31条第１項は、個人関連情報の第三者提供一般に適用されるものではなく、提供先の第三者が個人関連情報を「個人データとして取得することが想定される」場合に限り適用されます。
（出典: 個人情報保護委員会）
質問: 提供先の第三者が個人関連情報を「個人データとして取得することが想定される」かは、いつの時点を基準に判断しますか。
回答: 個人関連情報の提供時点を基準に判断します。個人関連情報の提供時点において、提供先の第三者が「個人データとして取得する」ことが想定されないのであれば、本人の同意が得られていること等を確認することなく、個人関連情報を提供することができます。事後的に、提供先の第三者が個人関連情報を個人データとして利用したことが明らかになったとしても、提供元の個人関連情報取扱事業者は、法第31条第１項に違反することとはなりません。
（出典: 個人情報保護委員会）
質問: 提供元の個人関連情報取扱事業者は、提供先の第三者における個人関連情報の取扱いを確認した上で、法第31条第１項の適用の有無を判断する必要がありますか。
回答: 個人関連情報取扱事業者は、一般に、提供先の第三者における個人関連情報の取扱いを確認する義務を負うものではありません。しかし、提供先の第三者の事業内容、提供先の第三者との取引状況、提供する個人関連情報の項目、提供先の第三者における個人データの利用状況等の客観的事情に照らし、提供先の第三者が個人関連情報を個人データとして利用することが窺われる場合には、提供先の第三者における個人関連情報の取扱いを確認した上で、「個人データとして取得する」ことが想定されるかどうかを判断する必要があります。
（出典: 個人情報保護委員会）
質問: ガイドライン（通則編）３－７－１－３では、「提供元の個人関連情報取扱事業者及び提供先の第三者間の契約等において」と記載されていますが、提供先の第三者が、提供を受けた個人関連情報を個人データとして利用しない旨の誓約書を提出した場合においても、法第31条第１項は適用されないこととなりますか。
回答: 個別の事案ごとに判断することとなりますが、提供先の第三者が、提供元の個人関連情報取扱事業者に対して、提供を受けた個人関連情報を個人データとして利用しない旨の誓約書を提出した場合には、通常、提供先の第三者は当該誓約に従って個人関連情報を取り扱うものと考えられるため、原則として、「個人データとして取得する」ことは想定されず、法第31条第１項は適用されないと考えられます。
（出典: 個人情報保護委員会）
質問: ガイドライン（通則編）３－７－１－３では、「提供先の第三者が実際には個人関連情報を個人データとして利用することが窺われる事情がある場合」には、提供先の第三者における個人関連情報の取扱いを確認する必要があると記載されていますが、どのような場合には「窺われる事情がある」こととなりますか。
回答: 個別の事案ごとに判断することとなりますが、例えば、契約に基づき個人関連情報を継続的に提供している場合において、提供先の第三者が契約の定めに反して個人関連情報を個人データとして利用したことが明らかになった場合、提供先の第三者は引き続き個人関連情報を個人データとして利用することが窺われるため、その後の個人関連情報の提供については、提供先の第三者における個人関連情報の取扱いを確認した上で、「個人データとして取得する」ことが想定されるかどうかを判断する必要があります。
（出典: 個人情報保護委員会）
質問: 個人関連情報の第三者提供について、個人データの第三者提供における、委託、事業の承継及び共同利用（法第27条第５項各号）に相当する例外規定はありますか。
回答: 個人関連情報の第三者提供について、法第27条第５項各号に相当する例外規定はありません。法第31条第１項の適用の有無については、提供先の第三者が個人関連情報を個人データとして取得することが想定されるかどうかによって判断することとなります。
（出典: 個人情報保護委員会）
質問: 個人データの取扱いの委託に伴って委託先に個人データを提供しました。委託先にとって当該データが個人データに該当せず、個人関連情報に該当する場合、委託先が当該データを委託元に返す行為について、法第31条第１項は適用されますか。
回答: 個人データの取扱いの委託に伴って委託元が提供した個人データが、委託先にとって個人データに該当せず、個人関連情報に該当する場合において、委託先が委託された業務の範囲内で委託元に当該データを返す行為については、法第31条第１項は適用されません。
（出典: 個人情報保護委員会）
質問: A社が自社のウェブサイトにB社のタグを設置し、B社が当該タグを通じてA社ウェブサイトを閲覧したユーザーの閲覧履歴を取得している場合、A社はB社にユーザーの閲覧履歴を提供したことになりますか。
回答: 個別の事案ごとに判断することとなりますが、A社がB社のタグにより収集される閲覧履歴を取り扱っていないのであれば、A社がB社に閲覧履歴を「提供」したことにはならず、B社が直接にユーザーから閲覧履歴を取得したこととなると考えられます。このため、B社がそのタグを通じて閲覧履歴を取得することについて、法第31条第１項は適用されないと考えられます。
（出典: 個人情報保護委員会）
質問: A社がB社に個人関連情報を提供することとなり、A社及びB社は、①B社が「本人」から法第31条第１項第１号の同意を取得する、②B社は同意を取得した「本人」のIDのリストをA社に提供する、③A社はリストに掲載されたIDと紐付く個人関連情報をB社に提供する、というフローで個人関連情報を提供することとしました。この場合、B社が、A社に対し、法第31条第１項第１号の同意を取得した「本人」のIDのみをA社に提供すると事前に誓約していれば、A社は、当該誓約及びIDのリストを確認することで、リストに掲載されたIDに係る「本人」各自について、「本人の同意が得られていること」（法第31条第１項第１号）を一括して確認することはできますか。
回答: 提供元の個人関連情報取扱事業者は、提供先の第三者が個人関連情報を個人データとして取得することが想定される場合、「本人」各自から、法第31条第１項第１号の同意を得ていること（同意の取得方法を含む。）を、提供前にあらかじめ確認する必要がありますが、必ずしも「本人」ごとに個別に確認する必要はなく、複数の「本人」につき一括して確認することも可能です。
（出典: 個人情報保護委員会）
質問: 当社は、提供先の第三者が、ID及びウェブサイトの閲覧履歴の取得につき包括的に本人の同意を得ていることを確認し、当該「本人」のID及びこれに紐付くウェブサイトの閲覧履歴を提供して、その記録を作成しました。その後、当該第三者に対し、同一「本人」の以下の各個人関連情報を提供する場合、施行規則第26条第３項に基づき、本人の同意が得られていることの確認を省略することができますか。
回答: 提供元の個人関連情報取扱事業者は、法第31条第１項各号の確認事項につき、既に確認を行った事項と内容が同一であるもの（当該確認について記録の作成及び保存をしている場合に限る）については、その確認を省略することができます。
（出典: 個人情報保護委員会）
質問: 提供先の第三者との間で基本契約を締結して、これに基づき継続的に又は反復して個人関連情報を提供することを予定しています。この場合、記録義務はどのように履行すれば良いですか。
回答: 特定の事業者に対して継続的に又は反復して個人関連情報を提供することが確実であると見込まれる場合、個々の提供に係る記録を作成する代わりに、一括して記録を作成することができます（施行規則第27条第２項ただし書）。例えば、①最初の提供時に一旦記録を作成し、その後、随時、追加の記録事項を作成する方法、②提供期間の終了後に速やかに記録を作成する方法等で記録を作成することが考えられます。
（出典: 個人情報保護委員会）
質問: 法第 32 条第１項第３号は、開示等の請求等に応じる手続を本人の知り得る状態に置かなければならないと定めていますが、必ずホームページに掲載しなければいけませんか。
回答: 必ずしもホームページに掲載しなければならないわけではありません。開示等の請求等に応じる手続については、本人の知り得る状態に置かなければなりませんが、本人の求めに応じて遅滞なく回答する場合も含むとされています（法第 32条第１項）。
（出典: 個人情報保護委員会）
質問: 当社では、法第32条第１項に基づき、全ての保有個人データの利用目的を本人の求めに応じて遅滞なく回答することとしています。①全ての保有個人データの利用目的について回答を求められた場合には、当該本人が識別されない保有個人データの利用目的についても回答する必要がありますか。また、その場合、本人が識別される保有個人データの利用目的とそれ以外の利用目 的とを区別して回答する必要がありますか。②同条第２項の規定に基づく利 用目的の通知の求めの場合と比べて、対象となる利用目的の範囲などに違いはありますか。
回答: ①当該本人が識別されない保有個人データの利用目的についても回答する必要があります。この場合、本人が識別される保有個人データの利用目的とそれ以外の利用目的とを区別して回答する必要はありません。
（出典: 個人情報保護委員会）
質問: 「法第23条の規定により保有個人データの安全管理のために講じた措置」（法第32条第１項第４号・施行令第10条第１号）について、ホームページにおいては、安全管理措置の概要及び問合せ窓口を掲載し、安全管理措置の具体的な内容については、本人からの問合せに応じて遅滞なく回答する、という対応を取ることはできますか。
回答: 個人情報取扱事業者は、「保有個人データの安全管理のために講じた措置」について、「本人の知り得る状態」に置く必要がありますが、「本人の知り得る状態」は、「本人の求めに応じて遅滞なく回答する場合」を含みます。
（出典: 個人情報保護委員会）
質問: 従業者の監督（法第24条）・委託先の監督（法第25条）についても、「法第23条の規定により保有個人データの安全管理のために講じた措置」（法第32条第１項第４号・施行令第10条第１号）として、本人の知り得る状態に置く必要がありますか。
回答: 法第24条及び法第25条は、法第23条の安全管理措置の一環として、従業者及び委託先に対する監督義務を明記するものであり、従業者及び委託先に対する監督は、法第23条の安全管理措置の一部を成します。このため、従業者及び委託先に対する監督についても、法第23条の規定により保有個人データの安全管理のために講じた措置として、本人の知り得る状態に置く必要があります。（令和３年９月追加）
（出典: 個人情報保護委員会）
質問: 社内で取り扱う個人情報については、個人情報が検索できる状態ではありませんが、そのような状態であれば、本人からの開示の請求に応じなくてもよいですか。
回答: 開示義務の対象は「保有個人データ」とされていますが、御指摘の場合には、特定の個人情報を検索することができない状態ですので、「個人データ」に該当しません。したがって、開示義務の対象となる「保有個人データ」にも該当しません。そのため、開示の請求に応じる法的義務は課されないと解されます。
（出典: 個人情報保護委員会）
質問: 市販の人名録を利用してダイレクトメール等を送付していた場合、人名録の利用者は、その内容の訂正、追加、削除等の権限を有していないため、保有個人データに該当しないものとして、開示等の請求を受けた場合であっても、これに応じる義務はないと考えてよいですか。
回答: 市販の人名録を用いる場合であっても、これを営業活動等に利用している限り、このデータについては、その内容の訂正、追加、削除等の権限を有します。したがって、その他の保有個人データの要件を満たす場合には、開示等の請求に応じる義務が課され ます。
（出典: 個人情報保護委員会）
質問: 「貴社が保有する私の情報全てを開示せよ」という請求があった場合には、どのように対応したらよいですか。
回答: 同一の情報主体についても、様々な保有個人データを保有していることが多いため、法第 32 条第２項前段により、個人情報取扱事業者は、開示を請求している本人に対して、対象となる保有個人データを特定するに足りる事項の提示を求めることができます。したがって、本人が、この求めに応じて、開示を請求する範囲を一部に特定した場合には、本人が特定した範囲で開示をすれば足ります。
（出典: 個人情報保護委員会）
質問: 保有個人データであっても、本人以外の他の個人情報（例えば、家族の氏名等）が同時に含まれているものがあります。本人からの保有個人データの開示の請求があった場合、家族の氏名等、本人以外の他の個人情報については、開示をしなくともよいですか。
回答: 当該本人が識別される保有個人データが対象です。したがって、本人以外の他の個人情報は、開示の対象にはなりません。
（出典: 個人情報保護委員会）
質問: ユーザーから商品クレームに関する問合せ等があり、それをデータベース化しています。データベースには、ユーザーの氏名・電話番号及び対応履歴等だけでなく、会社としての所見（例えば、「悪質なクレーマーと思われる」） が記録されていることもあります。これらは全て保有個人データに該当し、開示の請求に応じなければならないですか。
回答: いわゆる不審者、悪質なクレーマー等からの不当要求被害を防止するため、当該行為を繰り返す者を本人とする個人データを保有している場合に、当該個人データは「当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの」（施行令第４条第２号）に該当しますので、保有個人データには該当しません（ガイドライン（通則編）２－７参照）。
（出典: 個人情報保護委員会）
質問: 電磁的記録の提供による方法で保有個人データを開示する場合において、本人が指定したファイル形式や提供方法による開示が技術的に困難な場合には、どう対応すべきですか。
回答: 個人情報取扱事業者は、本人が保有個人データの電磁的記録の提供による方法による開示を請求した場合には、当該方法による開示が困難である場合を除き、電磁的記録の提供による方法（本人が請求した方法）でこれを開示する必要があります。
（出典: 個人情報保護委員会）
質問: 雇用管理情報には、人事評価や選考に係る個々人の情報など非開示とすることが想定される情報が含まれますが、どのように対応したらよいですか。
回答: 個人情報取扱事業者は、雇用管理情報の開示の請求に応じる手続について、あらかじめ、労働組合等と必要に応じ協議した上で、本人から開示の請求を受けた保有個人データについて、その全部又は一部を開示することによりその業務の適正な実施に著しい支障を及ぼすおそれがある場合に該当するとして非開示とすることが想定される保有個人データの開示に関する事項を定め、従業者に周知するための措置を講ずることが望ましいと考えられます。
（出典: 個人情報保護委員会）
質問: 保有個人データの開示請求を受けた場合、請求対象となるデータを検索・集約する等の一定の作業を要する場合がありますが、請求を受けてからどの程度の期間内に開示する必要がありますか。
回答: 個人情報取扱事業者は、保有個人データの開示請求を受けたときは、「遅滞なく」これを開示する必要があります（法第33条第１項・第２項）。
（出典: 個人情報保護委員会）
質問: 顔識別機能付きカメラシステム等に顔特徴データ等を登録して保有個人データとした場合には、個人情報保護法に基づきどのように開示請求、内容の訂正、利用停止の請求等に対応する必要がありますか。
回答: 顔識別機能付きカメラシステム等に登録された顔特徴データ等が保有個人データに該当する場合、法令に基づき開示請求等に適切に対応しなければなりません。すなわち、開示請求がなされた場合には、保有個人データの開示義務の例外事由に該当しない限り、開示請求に適切に対応しなければなりません。また、訂正等請求や利用停止等の請求が行われた際にも、法令に基づき適切に対応しなければなりません。（平成30年12月追加・令和５年５月更新）
（出典: 個人情報保護委員会）
質問: 法第31条第３項において準用される法第30条第３項の記録（個人関連情報の第三者提供に関する記録）は、法第33条第５項において準用される同条第１項に基づく第三者提供記録の開示対象となりますか。
回答: 開示の対象となる第三者提供記録は、法第29条第１項及び法第30条第３項の記録に限られ、法第31条第３項において準用される法第30条第３項の記録（個人関連情報の第三者提供に関する記録）は第三者提供記録の開示対象となりません。（令和３年９月追加）
（出典: 個人情報保護委員会）
質問: 本人から開示請求された記録が第三者提供記録から除かれる「その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの」（法第33条第５項）に該当する場合、どのように対応すればよいですか。
回答: 開示等の請求等をする者が本人であることの確認の方法としては、次に掲げる例が考えられます。
（出典: 個人情報保護委員会）
質問: ガイドライン（通則編）３－８－３－２において、契約書の代替手段による方法で第三者提供記録を作成した場合、「当該契約書中、記録事項となっている事項を抽出した上で、本人が求める方法により開示すれば足り、契約書そのものを開示する必要はない」とありますが、具体的にどのような方法で開示をすることが考えられますか。
回答: 契約書の代替手段による方法で第三者提供記録を作成した場合の開示の方法としては、記録事項以外の部分をマスキングして開示する方法のほか、記録事項を抜粋して別媒体に記録して開示する方法も考えられます。（令和３年９月追加）
（出典: 個人情報保護委員会）
質問: 第三者提供記録の開示請求を受けた場合、請求対象となる記録を検索・集約する等の一定の作業を要する場合がありますが、請求を受けてからどの程度の期間内に開示する必要がありますか。
回答: 個人情報取扱事業者は、第三者提供記録の開示請求を受けたときは、「遅滞なく」これを開示する必要があります（法第33条第５項において準用する同条第１項・第２項）。
（出典: 個人情報保護委員会）
質問: 一般的には「削除」と「消去」は同じ意味と考えられますが、保有個人データを削除すべき場合（法第34条）と消去すべき場合（法第35条）の違いは何ですか。
回答: 法第34条は、保有個人データの内容が事実ではない場合について規定しており、他方、法第35条は、保有個人データが法第18条若しくは第19条の規定に違反して取り扱われている場合又は法第20条の規定に違反して取得されたものである場合について規定しており、その適用場面が異なります。
（出典: 個人情報保護委員会）
質問: 本人から保有個人データの評価が誤っているとして訂正等の請求があった場合には、訂正等に応じなければなりませんか。
回答: 個人情報保護法では、「保有個人データの内容が事実でないとき」に訂正等を行う義務が生じます。そのため、訂正等の対象が事実ではなく評価に関する情報である場合には、訂正等を行う必要はありません。
（出典: 個人情報保護委員会）
質問: 会社の採用面接で不採用にした応募者から、当社に提出された履歴書の返却を求められていますが、個人情報取扱事業者として、返却に応じなければなりませんか。
回答: 個人情報保護法では、本人からの請求による保有個人データの削除（法第 29 条）、保有個人データの利用の停止又は消去（法第 30 条）に関する規定は定められていますが、履歴書等の受け取った書類を返還する義務は規定されていません。そのため、個人情報保護法上、提出された履歴書を返却する義務はありません。
（出典: 個人情報保護委員会）
質問: 当社では、電話で資料請求をしてきたお客様にダイレクトメールを送付していますが、お客様から、ダイレクトメールの停止及び個人情報の消去を求められた場合、応じなければならないですか。
回答: ダイレクトメールを送付することについて、利用目的として特定した上で、当該利用目的を顧客に通知又は公表する必要があります。
（出典: 個人情報保護委員会）
質問: 退職した社員から、法第35条第５項に基づき、利用する必要がなくなった場合に該当するとして保有個人データの消去を求められた場合、応じなければならないですか。
回答: 退職した社員の個人情報についても、取得時に特定した利用目的の範囲内で利用することは可能ですが、当該利用目的が達成されたときには、利用する必要がなくなった場合に該当し、当該請求に応じる義務があると考えられます（法第35条第６項）。（令和３年９月追加）
（出典: 個人情報保護委員会）
質問: ガイドライン（通則編）３－８－５－１に「本人の権利又は正当な利益が害されるおそれがないとして利用停止等又は第三者提供の停止が認められないと考えられる事例」として記載されている「過去の信用情報に基づく融資審査により新たな融資を受けることが困難になった者が、新規の借入れを受けるため、当該信用情報を保有している個人情報取扱事業者に対して現に審査に必要な信用情報の利用停止等又は第三者提供の停止を請求する場合」について、本人が今後金融機関に一切融資を申し込むつもりがないとしている場合には、「現に審査に必要」ではないとして、利用停止等又は第三者提供の停止の請求に応じなければならないですか。
回答: 信用情報については、将来本人から融資等の申込みがあった場合に備えて一定期間保有しておく必要があることから、本人が今後一切融資を申し込むつもりがないと述べていることをもって、「現に審査に必要」ではないといえず、利用停止等又は第三者提供の停止の請求に応じる必要はないと考えられます。（令和３年９月追加）
（出典: 個人情報保護委員会）
質問: 本人の権利又は正当な利益が害されるおそれがある場合の利用停止等について、「法令を遵守するために当該保有個人データを取り扱う事情」が正当かどうかの判断において考慮されるとのことですが、将来受ける可能性のある行政調査等も考慮されますか。
回答: 「法令を遵守するために当該保有個人データを取り扱う事情」としては、例えば、当該保有個人データにつき法令上保管が義務付けられている場合等が考えられますが、保管が義務付けられていない保有個人データについて、将来の行政調査等のために保管することは通常考慮されないと考えられます。（令和３年９月追加）
（出典: 個人情報保護委員会）
質問: 本人からの開示等の請求等に備えて、開示等の請求等を受け付ける方法をあらかじめ定めておく必要がありますか。
回答: 個人情報保護法上、個人情報取扱事業者は、開示等の請求に応じる義務がありますが、その手続については各事業者において定めることができます（法第37条第１項）。
（出典: 個人情報保護委員会）
質問: 開示等の請求等をする者が本人であることの確認の方法として、運転免許証の提示に加え、印鑑登録証明書の提示を求めることはできますか。
回答: 個人情報保護法上、個人情報取扱事業者は、開示等の請求等をする者の本人確認方法も含め、本人からの開示等の請求等を受け付ける方法を定めることができるとされています（法第 32 条第１項）。
（出典: 個人情報保護委員会）
質問: 開示等の手数料はいくらにすべきですか。
回答: 手数料の額は、実費を予測して平均的単価を算出して定めることが望ましいと考えられます。
（出典: 個人情報保護委員会）
質問: 本人から開示の請求があり、開示手数料を徴収している場合、結果として開示しなかった場合でも、徴収した手数料は返さなくてもよいですか。
回答: 手数料を定めた法第 33 条は、現に開示を行ったか否かにより特に区別していませんので、必ずしも返還する義務は生じません。
（出典: 個人情報保護委員会）
質問: 当社では、保有個人データの開示の請求を受けた際に手数料を徴収することとしましたが、手数料により利潤を得ることはできますか。
回答: 本人から保有個人データの開示の請求を受けた個人情報取扱事業者は、開示の実施に関し手数料を徴収することが認められています（法第 33 条第１項）。しかし、その手数料の額は、実費を勘案して合理的であると認められる範囲内で定めなければなりません（同条第２項）。（令和３年９月更新）
（出典: 個人情報保護委員会）
質問: 事前の請求の手続は、平成 27 年改正の施行（平成 29 年５月 30 日）前の開示等の求めの手続と同じ手続ということでよいですか。
回答: 事前の請求の手続については、平成 27 年改正前の開示等の求めの手続と異なるところはありません。個人情報取扱事業者は、本人からの開示等の請求等を受け付ける方法を定めること（法第 32 条第１項）、本人に対し、開示等の請求等に関し、その対象となる保有個人データを特定するに足りる事項の提示を求めること（法第 32 条第２項）、開示の請求等を受けたときは、手数料を徴収すること（法第 33 条第１項）等ができます。
（出典: 個人情報保護委員会）
質問: 苦情の適切かつ迅速な処理を行うに当たり、具体的にはどのような体制を整備すればよいですか。
回答: 個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理を行うために、必要な体制の整備に努めなければならないとされています（法第 35 条第２項）。例えば、苦情処理の担当者や手順を定めておくことなどが考えられます（ガイドライン（通則編）３－６参照）。
（出典: 個人情報保護委員会）
質問: 個人情報保護法に基づく開示請求、内容の訂正、利用停止の請求等への対応等に関する苦情や相談がある場合に、当該個人情報取扱事業者とともに、認定個人情報保護団体が対応することは可能ですか。
回答: 認定個人情報保護団体は、消費者と事業者の間に立ち、対象事業者である個人情報取扱事業者の個人情報の適正な取扱いの確保を目的として、消費者からの苦情の処理や相談対応を行うこととされています。また、認定個人情報保護団体は、各業界の特性を踏まえつつ、個人情報に係る利用目的の特定、安全管理のための措置、開示等の請求等に応じる手続等に関し、個人情報保護指針を作成し、対象事業者はこれを遵守することとされています。
（出典: 個人情報保護委員会）
質問: ガイドライン（通則編）（８（別添）講ずべき安全管理措置の内容）に示されている項目を全て講じないと違法になりますか。
回答: ガイドライン（通則編）では、講じなければならない措置及び当該措置を実践するための手法の例等を示しています。
（出典: 個人情報保護委員会）
質問: 「中小規模事業者」の定義における「従業員」にはどのような者が含まれますか。また、いつの時点の従業員の数で判断されますか。
回答: 「中小規模事業者」の定義における「従業員」は、中小企業基本法における従業員をいい、労働基準法第 20 条の適用を受ける労働者（解雇の予告を必要とする労働者）に相当する者をいいます。ただし、同法第 21 条の規定により同法第 20 条の適用が除外されている者は除かれます。具体的には、日々雇い入れられる者、２か月以内の期間を定めて使用される者等が除かれます。
（出典: 個人情報保護委員会）
質問: 「中小規模事業者」の定義のうち、「事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数」について、例えば、市販の電話帳を保有している場合、これに氏名・電話番号等が掲載されている個人の数は含まれますか。
回答: 市販の電話帳は、個人情報データベース等に該当しないと解されるので（法第２ 条第４項、ガイドライン（通則編）２－４）、電話帳に掲載されている個人の数は、ここでいう「特定の個人の数」に含まれません。
（出典: 個人情報保護委員会）
質問: 「中小規模事業者」の定義のうち、「事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数」について、例えば、倉庫業、データセンター等の事業において、当該情報が個人情報に該当するかどうかを認識することなく預かっている場合は、当該情報中に含まれる個人情報に係る個人の数は含まれますか。
回答: 御指摘の情報は、当該事業者にとっては個人情報として認識されていないため、事業の用に供しているとはいえず、「事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数」には含まれないと考えられます。
（出典: 個人情報保護委員会）
質問: 「中小規模事業者」も、大企業と同等の安全管理措置を講じなくてはいけませんか。
回答: 法第 20 条により、個人情報取扱事業者は、取り扱う個人データの安全管理のために必要かつ適切な措置を講じなければなりません。
（出典: 個人情報保護委員会）
質問: 従来、主務大臣が定めていたガイドラインに従って、適切に安全管理措置を講じているが、さらに多くのことをしなければいけないのか。
回答: 従来、主務大臣が定めていたガイドラインに従って、適切に安全管理措置を講じている場合は、適切な措置を講じられていると考えられますが、安全管理措置を講ずるための具体的な手法については、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容とすべきものであり、それらは時代や環境によっても変化し得るものであるので、あらためてガイドライン（通則編）を参考に、現在講じている安全管理措置の内容を再点検し、必要に応じて見直すことも、有効な取組と考えられます。
（出典: 個人情報保護委員会）
質問: 標的型メール攻撃や、その他不正アクセス等による個人データの漏えい等の被害を防止するために、安全管理措置に関して、どのような点に注意すればよいですか。
回答: ガイドライン（通則編）に記載されている技術的安全管理措置の各項目を遵守することや、それらについて従業者に対して必要な研修・注意喚起を行うことに加え、次のような措置を講ずることが考えられます。
（出典: 個人情報保護委員会）
質問: カメラを設置してカメラ画像・顔特徴データ等を取り扱う場合には、安全管理措置として特にどのような点に注意すればよいですか。
回答: 個人情報取扱事業者は、法第23条に基づき個人データについて安全管理措置を講ずることが義務付けられています。カメラ画像・顔特徴データ等が個人データに該当する場合には、その性質（特に、顔特徴データは不変性が高く、個人の行動の追跡が可能となること等）も踏まえ、当該個人データの漏えい、滅失又は毀損の防止その他の安全管理のために必要かつ適切な措置を講じなければならず、具体的には組織的安全管理措置、人的安全管理措置、物理的安全管理措置、技術的安全管理措置、外的環境の把握として、例えば以下のような措置が考えられます。
（出典: 個人情報保護委員会）
質問: 基本方針の策定は義務ですか。またこれを公表することは義務ですか。
回答: 基本方針の策定は、義務ではありませんが、個人データの適切な取扱いの確保について組織として取り組むために、策定することが重要です。なお、基本方針を策定した場合に、これを公表することを義務付けるものではありません。
（出典: 個人情報保護委員会）