個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）

個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）

平成 28 年 11 月
（令和 4 年 9 月一部改正）
個人情報保護委員会

個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）

個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）
目次

1

本ガイドラインの位置付け ............................................................................................... 1

2

確認・記録義務の適用対象 ............................................................................................... 3
2-1 明文により確認・記録義務が適用されない第三者提供 ............................................ 3
2-1-1 法第 27 条第 1 項各号に掲げる場合 ................................................................... 3
2-1-2 法第 27 条第 5 項各号に掲げる場合 ................................................................... 4
2-1-3 第三者が法第 16 条第 2 項各号に掲げる者である場合 ...................................... 6
2-2 解釈により確認・記録義務が適用されない第三者提供 ............................................ 7
2-2-1 提供者及び受領者に確認・記録義務が適用されない場合 ................................. 7
2-2-1-1 「提供者」の考え方 .................................................................................... 7
2-2-1-2 「受領者」の考え方 .................................................................................... 9
2-2-1-3 「提供」行為の考え方 ................................................................................ 9
2-2-2 受領者に確認・記録義務が適用されない場合 ................................................. 10
2-2-2-1 法第 30 条の「個人データ」の該当性 ...................................................... 10
2-2-2-2 「提供を受けるに際して」 ........................................................................113

確認義務（法第 30 条第 1 項・第 2 項、規則第 22 条関係） ...........................................11
3-1 確認方法（法第 30 条第 1 項、規則第 22 条関係） ................................................. 12
3-1-1 第三者の氏名及び住所並びに法人にあっては、その代表者の氏名（法第 30 条第1 項第 1 号、規則第 22 条第 1 項関係） ........................................................... 12
3-1-2 第三者による個人データの取得の経緯（法第 30 条第 1 項第 2 号、規則第 22 条
第 2 項関係） .................................................................................................... 13
3-1-3 法の遵守状況 .................................................................................................... 14
3-2 既に確認を行った第三者に対する確認方法（規則第 22 条関係） ......................... 144

記録義務（法第 29 条第 1 項、第 30 条第 3 項関係）..................................................... 16
4-1 記録を作成する方法など ......................................................................................... 16
4-1-1 記録を作成する媒体（規則第 19 条第 1 項、第 23 条第 1 項関係） ................ 16
4-1-2 記録を作成する方法 ......................................................................................... 17
4-1-2-1 原則（規則第 19 条第 2 項、第 23 条第 2 項関係） .................................. 17
4-1-2-2 一括して記録を作成する方法（規則第 19 条第 2 項、第 23 条第 2 項関係）.................................................................................................................. 17

個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）

4-1-2-3 契約書等の代替手段による方法（規則第 19 条第 3 項、第 23 条第 3 項関係）.................................................................................................................. 18
4-1-3 代行により記録を作成する方法 ....................................................................... 20
4-2 記録事項................................................................................................................... 21
4-2-1 提供者の記録事項（法第 29 条第 1 項関係） ................................................... 21
4-2-1-1 オプトアウトによる第三者提供をする場合（規則第 20 条第 1 項第 1 号関係） ........................................................................................................... 21
4-2-1-2 本人の同意による第三者提供をする場合（規則第 20 条第 1 項第 2 号関係）.................................................................................................................. 22
4-2-2 受領者の記録事項（法第 30 条第 3 項関係） ................................................... 24
4-2-2-1 オプトアウトによる第三者提供を受ける場合（規則第 24 条第 1 項第 1 号
関係） ....................................................................................................... 24
4-2-2-2 本人の同意に基づき第三者提供を受ける場合（規則第 24 条第 1 項第 2 号
関係） ....................................................................................................... 25
4-2-2-3 私人などから第三者提供を受ける場合（規則第 24 条第 1 項第 4 号関係）.................................................................................................................. 26
4-2-3 記録事項の省略（規則第 20 条第 2 項、第 24 条第 2 項関係）........................ 27
4-3 保存期間（法第 29 条第 2 項、第 30 条第 4 項関係） ............................................. 30
5

法第 31 条第 1 項の規定による個人関連情報の提供を受けて個人データとして取得する
場合 ................................................................................................................................... 31【付録】 ............................................................................................................................... 32
衆議院内閣委員会における附帯決議（平成 27 年 5 月 20 日）
参議院内閣委員会における附帯決議（平成 27 年 8 月 27 日）
確認・記録義務の全体図

【凡例】
「法」

個人情報の保護に関する法律（平成 15 年法律第 57 号）「政令」

個人情報の保護に関する法律施行令（平成 15 年政令第 507 号）「規則」

個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会
規則第 3 号）

「通則ガイドライン」

個人情報の保護に関する法律についてのガイドライン（通則編）（平成 28 年個人情報保護委員会告示第 6 号）

個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）「平成 27 年改正法」

個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律（平成 27 年法律第 65 号）「令和 2 年改正法」

個人情報の保護に関する法律等の一部を改正する法律（令和2 年法律第 44 号）「令和 3 年改正法」

デジタル社会の形成を図るための関係法律の整備に関する法
律（令和 3 年法律第 37 号）

個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）

1

本ガイドラインの位置付け
個人情報保護委員会は、事業者が個人情報の適正な取扱いの確保に関して行う活動を支援すること、及び当該支援により事業者が講ずる措置が適切かつ有効に実施されることを目的として、法第 4 条、第 9 条及び第 131 条に基づき具体的な指針として通則ガイドラインを定めているが、法が定める事業者の義務のうち第三者提供における確認・記録義務に関する部分に特化して分かりやすく一体的に示す観点から、通則ガイドラインとは別に、本ガイドラインを定めるものである。
平成 26 年に発生した民間企業における大規模漏えい事案を契機として、いわゆる名簿業者を介在し、違法に入手された個人データが社会に流通している実態が社会に認識された。
これを受けて、平成 27 年改正法により、法に、個人データの適正な第三者提供を確保するための規定が設けられた。
まず、個人情報取扱事業者が第三者から個人データの提供を受ける場合には、違法に入手された個人データが流通することを抑止するため、当該第三者が当該個人データを取得した経緯等を確認する義務を課している（法第 30 条）。
また、仮に個人データが不正に流通した場合でも、個人情報保護委員会が個人情報取扱事業者に対して報告徴収・立入検査を行い（法第 146 条）、記録を検査することによって、個人データの流通経路を事後的に特定することができるようにする必要がある。したがって、
個人情報取扱事業者が第三者に個人データを提供する場合又は第三者から個人データの提供を受ける場合には、当該第三者の氏名等の記録を作成・保存しなければならない（法第 29条、第 30 条）。
以上に加えて、オプトアウトを利用する個人情報取扱事業者の個人情報保護委員会への届出義務及び個人情報保護委員会による公表の規定も新設され（法第 27 条第 2 項から第 4項まで）、これらの制度があいまって、違法に入手された個人データの流通を抑止しようとするものである。
○確認・記録義務の規定を新設
提供者は、提供年月日・受領者の氏名等を記録（一定期間、保存）。
受領者は、提供者の氏名、取得経緯等を確認し、提供を受けた年月日・確認に係る事項等を記録（一定期間、保存）。
そのほか、次の 2 点を規定。
・オプトアウトによる第三者提供をする個人情報取扱事業者の個人情報保護委員会への届出義務
・個人情報保護委員会による公表

1個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）

さらに、令和 2 年改正法により、本人が事業者間での個人データの流通を把握し、事業者に対する権利行使を容易にすべく、第三者提供記録の開示の請求ができることとなった（法第 33 条第 5 項）。
他方、この確認・記録義務により、正常な事業活動を行っている個人情報取扱事業者に対する過度な負担を懸念する声が多く上がっていたことから、現実的な規制を構築する必要があった（衆議院内閣委員会における附帯決議（平成 27 年 5 月 20 日）、参議院内閣委員会
における附帯決議（平成 27 年 8 月 27 日））。
本ガイドラインにおいては、違法に入手された個人データの流通を抑止する趣旨を踏まえつつ、事業者に対する過度な負担を回避するため、確認・記録義務の適切な運用の整理を示すものである。
まず、「2 確認・記録義務の適用対象」において、確認・記録義務が適用される対象を画定する。そして、確認・記録義務が適用される第三者提供については、「3 確認義務」「4 記
録義務」に従い、確認及び記録の作成・保存を行うこととなる。
本ガイドラインの中で、「しなければならない」及び「してはならない」と記述している事項については、これらに従わなかった場合、法違反と判断される可能性がある。一方、「努
めなければならない」、「望ましい」等と記述している事項については、これらに従わなかったことをもって直ちに法違反と判断されることはないが、法の趣旨を踏まえ、事業者の特性や規模に応じ可能な限り対応することが望まれるものである。
なお、本ガイドラインにおいて使用する用語は、特に断りのない限り、通則ガイドライン
において使用する用語の例によるほか、次の例による。
「確認・記録義務」：法第 30 条に基づく確認義務並びに法第 29 条及び第 30 条に基づく記
録義務
「提供者」
：個人データを第三者に提供する者（本人を除き、個人情報取扱事業者以外の者
を含む。
）
「受領者」
：個人データの提供を第三者から受ける者（本人を除き、個人情報取扱事業者以外の者を含む。
）

2

個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）

2

確認・記録義務の適用対象

2-1 明文により確認・記録義務が適用されない第三者提供
次の類型の第三者提供については、明文上、確認・記録義務が適用されない。
2-1-1 法第 27 条第 1 項各号に掲げる場合
法第 29 条（第 1 項）
1

個人情報取扱事業者は、個人データを第三者（略）に提供したときは（略）記録を作成しなければならない。ただし、当該個人データの提供が第 27 条第 1 項各号（略）に該当する場合は、この限りでない。

法第 30 条（第 1 項）
1

個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては（略）次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供が第 27 条
第 1 項各号（略）に該当する場合は、この限りでない。

＜参考＞
法第 28 条（第 1 項）
1

個人情報取扱事業者は、外国（略）にある第三者（略）に個人データを提供する場合には、前条第 1 項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。
（略）

次の（1）から（7）までに掲げる第三者提供については、個人データが転々流通することは想定されにくいことに鑑み、確認・記録義務は適用されない。
また、外国にある第三者に対して個人データを提供する際も、次の（1）から（7）までに掲げる第三者提供については、記録義務は適用されない（法第 28 条第 1 項、
【外国にある第三者に個人データを提供する場合の確認・記録義務の適用】参照）。
なお、（1）から（7）までの詳細については、通則ガイドライン「3-6-1 第三者提供の制限の原則」を参照のこと。
（1）法令に基づく場合（法第 27 条第 1 項第 1 号関係）
（2）人（法人を含む。）の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（法第 27 条第 1 項第 2 号関係）

3

個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）（3）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（法第 27 条第 1 項第 3 号関係）
（4）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（法第 27 条第 1 項第 4 号関係）
（5）当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）（法第 27 条第 1 項第 5 号関係）
（6）当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場
合を除く。
）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。
）（法第 27 条第 1 項第 6 号関係）
（7）当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場
合を除く。
）（法第 27 条第 1 項第 7 号関係）

2-1-2 法第 27 条第 5 項各号に掲げる場合
法第 29 条（第 1 項）
1

個人情報取扱事業者は、個人データを第三者（略）に提供したときは、（略）記録を作成しなければならない。ただし、当該個人データの提供が第 27 条（略）第 5 項各号（略）に該当する場合は、この限りでない。

法第 30 条（第 1 項）
1

個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、（略）
次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供が第27 条（略）第 5 項各号（略）に該当する場合は、この限りでない。

次の（1）から（3）までに掲げる第三者提供については、法第 27 条第 5 項柱書において

4

個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）「第三者に該当しないものとする」とされていることに鑑み、確認・記録義務は適用されない。
他方、外国にある第三者に対して、次の（1）から（3）までの類型により、個人データを提供する際の記録義務の適用関係は、【外国にある第三者に個人データを提供する場合の記録義務の適用】のとおりとなる。
なお、（1）から（3）までの詳細については、通則ガイドライン「3-6-3 第三者に該当しない場合」を参照のこと。
（1）個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合（法第 27 条第 5 項第 1 号関係）
（2）合併その他の事由による事業の承継に伴って個人データが提供される場合（法第 27 条第 5 項第 2 号関係）
（3）特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき（法第 27 条第 5 項第 3 号関係）
【外国にある第三者に個人データを提供する場合の記録義務の適用】外国にある第三者に対する個人データの提供は、次の類型ⅠからⅣまでに分けられる。各類型と記録義務の適用関係は次の＜適用表＞のとおりとなる。
類型Ⅰ：本人の「同意」（法第 28 条第 1 項）を得ている場合
類型Ⅱ：当該第三者が、我が国と同等の水準にあると認められる個人情報保護制度を有している国として規則で定められた国にある場合
類型Ⅲ：当該第三者が、個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制として規則で定める基準に適合する体制を整備している
場合
類型Ⅳ：「2-1-1 法第 27 条第 1 項各号に掲げる場合」に該当する場合
＜適用表＞
類型の別

記録義務の
適用の有無

5

個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）

類型Ⅰ「2-1-2 法第 27 条第 5 項各号に掲げる類型Ⅱ場合」に該当しない場合（*2）

又は類型Ⅲ「2-1-2 法第 27 条第 5 項各号に掲げる場合」に該当する場合

有（*1）

無

類型Ⅳ
（*1）記録義務が適用される場合の記録の作成方法、記録事項などについては、国内の第三者に個人データを提供する
場合と同様に、「4 記録義務」に従うこととなる。
（*2）具体的には、法第 27 条第 1 項柱書（
「本人の同意」）又は法第 27 条第 2 項（オプトアウト）に基づき、第三者提供を行う場合である。

2-1-3 第三者が法第 16 条第 2 項各号に掲げる者である場合
法第 29 条（第 1 項）
1

個人情報取扱事業者は、個人データを第三者（第 16 条第 2 項各号に掲げる者を除く。
以下この条及び次条（略）において同じ。
）に提供したときは、（略）記録を作成しなければならない。

本人又は個人情報取扱事業者以外の者である「第三者」のうち、次の（1）から（4）までに掲げる者との間で個人データの授受を行う場合は、確認・記録義務は適用されない。以下、
本ガイドラインにおいて「第三者」というときは、基本的に、次の（1）から（4）までに掲げる者を除くものとする。
（1）国の機関（法第 16 条第 2 項第 1 号関係）
（2）地方公共団体（法第 16 条第 2 項第 2 号関係）
（3）独立行政法人等（独立行政法人通則法（平成 11 年法律第 103 号）第 2 条第 1 項に規定する独立行政法人及び法別表第 1 に掲げる法人（法別表第 2 に掲げる法人を除く。）
をいう。）（法第 16 条第 2 項第 3 号関係）
（4）地方独立行政法人（地方独立行政法人法（平成 15 年法律第 118 号）第 2 条第 1 項に規定する地方独立行政法人をいう。同法第 21 条第 1 号に掲げる業務を主たる目的とするもの又は同条第 2 号若しくは第 3 号（チに係る部分に限る。
）に掲げる業務を目的とするものを除く。）（法第 16 条第 2 項第 4 号関係）

6

個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）

2-2 解釈により確認・記録義務が適用されない第三者提供
2-2-1 提供者及び受領者に確認・記録義務が適用されない場合
形式的には第三者提供の外形を有する場合であっても、確認・記録義務の趣旨に鑑みて、実質的に確認・記録義務を課する必要性に乏しい第三者提供については、同義務の対象たる第三者提供には該当しない。
第三者提供、すなわち、「提供者」から「受領者」に対する「提供」行為については、
確認・記録義務の趣旨に鑑みて、各要素の該当性を判断する。
具体的には、次の「2-2-1-1 『提供者』の考え方」から「2-2-1-3 『提供』行為の考え方」までに掲げる考え方があり得るが、各類型は互いに相反するものではなく、重複することもあり得る。また、確認・記録義務の趣旨に鑑みて、その他にも、実質的に同義務が適用されない類型があることを排除するものではない。
なお、次のいずれの類型においても、実質的に本人同意があることが前提であり、オプトアウトによる第三者提供（法第 27 条第 2 項）には、基本的には、次の考え方は当てはまらない。

2-2-1-1 「提供者」の考え方
次の「（1）本人による提供」又は「（2）本人に代わって提供」に該当する場合は、実質的に「提供者」による提供ではないものとして、確認・記録義務は適用されない。
（1）本人による提供
事業者が運営する SNS 等に本人が入力した内容が、自動的に個人データとして不特定多数の第三者が取得できる状態に置かれている場合は、実質的に「本人による提供」をしているものである。
したがって、個人情報取扱事業者が SNS 等を通じて本人に係る個人データを取得したときでも、SNS 等の運営事業者及び取得した個人情報取扱事業者の双方において、確認・記録義務は適用されない。
なお、閲覧行為と、法第 30 条に基づく義務との関係については、「2-2-2-2 『提供を受けるに際して』」を参照のこと。
【本人による提供に該当する事例】
事例）SNS 上で、投稿者のプロフィール、投稿内容等を取得する場合

7

個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）（2）本人に代わって提供
個人情報取扱事業者が本人からの委託等に基づき当該本人の個人データを第三者提供する場合は、当該個人情報取扱事業者は「本人に代わって」個人デー
タの提供をしているものである。
したがって、この場合の第三者提供については、提供者・受領者のいずれに対しても確認・記録義務は適用されない。
個人情報取扱事業者が本人からの委託等に基づいて個人データを提供しているものと評価し得るか否かは、主に、委託等の内容、提供の客体である個人データの内容、提供するとき及び提供先の個人情報取扱事業者等の要素を総合的に考慮して、本人が当該提供を具体的に特定できているか否かの観点から判断することになる。
なお、本人から個人データの提供の委託等を受ける場合において、当該個人
データに、「本人」以外の者の個人データが含まれる場合もあり得る。
【本人に代わって個人データを提供している事例】
事例 1）本人から、別の者の口座への振込依頼を受けた仕向銀行が、振込先の口座を有する被仕向銀行に対して、当該振込依頼に係る情報を提供する場合
事例 2）事業者のオペレーターが、顧客から販売商品の修理依頼の連絡を受けたため、提携先の修理業者につなぐこととなり、当該顧客の同意を得た
上で当該顧客に代わって、当該顧客の氏名、連絡先等を当該修理業者に伝える場合
事例 3）事業者が、取引先から、製品サービス購入希望者の紹介を求められたため、顧客の中から希望者を募り、購入希望者リストを事業者に提供する場合
事例 4）本人がアクセスするサイトの運営業者が、本人認証の目的で、既に当該本人を認証している他のサイトの運営業者のうち当該本人が選択した者との間で、インターネットを経由して、当該本人に係る情報を授受する場合
事例 5）保険会社が事故車の修理手配をする際に、本人が選択した提携修理工場に当該本人に係る情報を提供する場合
事例 6）取引先・契約者から、専門業者・弁護士等の紹介を求められ、専門業者・弁護士等のリストから紹介を行う場合

8個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）

事例 7）事業者が、顧客から電話で契約内容の照会を受けたため、社内の担当者の氏名、連絡先等を当該顧客に案内する場合
事例 8）本人から、取引の媒介を委託された事業者が、相手先の候補となる他の事業者に、価格の妥当性等の検討に必要な範囲の情報を提供する場
合2-2-1-2 「受領者」の考え方
本人の代理人又は家族等、本人と一体と評価できる関係にある者に提供する場合、本人側に対する提供とみなし、受領者に対する提供には該当せず、確認・記録義務は適用されない。なお、常に家族であることをもって本人側と評価されるものではなく、個人データの性質、両者の関係等に鑑みて実質的に判断する必要がある。
また、提供者が、最終的に本人に提供することを意図した上で、受領者を介在して第三者提供を行い、本人がそれを明確に認識できる場合は、同じく、本人側に対する提供とみなし、確認・記録義務は適用されない。
【本人と一体と評価できる関係にある者に提供する事例】
事例）金融機関の営業員が、家族と共に来店した顧客に対して、保有金融商品の損益状況等を説明する場合【提供者が、最終的に本人に提供することを意図した上で、受領者を介在して提供を行う事例】
事例）振込依頼人の法人が、受取人の口座に振り込むため、個人の氏名、口座番号な
どの個人データを仕向銀行を通じて被仕向銀行に提供する場合

2-2-1-3 「提供」行為の考え方
不特定多数の者が取得できる公開情報は、本来であれば受領者も自ら取得できる情報であり、それをあえて提供者から受領者に提供する行為は、受領者による取得行為を提供者が代行しているものであることから、実質的に確認・記録義務を課すべき第三者提供には該当せず、同義務は適用されない。
例えば、ホームページ等で公表されている情報、報道機関により報道されている情報などが該当する。他方、特定の者のみアクセスできる情報、提供者の業務上取得し得た非公開の情報などについては、ここでの整理は当てはまらない。

9個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）

なお、当初に、個人データを公開に供する行為については、提供者として記録を作成しなければならない（規則第 20 条第 1 項第 1 号ロ括弧書き）。
また、いわゆる公開情報であっても、「個人情報」（法第 2 条第 1 項）に該当するため、
法第 4 章第 2 節のうち、確認・記録義務以外の規定は適用されることには留意する必要がある（通則ガイドライン「2-1 個人情報」参照）。

2-2-2 受領者に確認・記録義務が適用されない場合
2-2-2-1 法第 30 条の「個人データ」の該当性
法第 30 条は、
「個人データ」の提供を受ける際に適用される義務であるところ、「個人情報」には該当するが「個人データ」には該当しない情報の場合、又は、そもそも「個人情報」に該当しない情報の提供を受けた場合は、同条の義務は適用されない。
（1）受領者にとって「個人データ」に該当しない場合①

判断主体
法第 30 条の要件の該当性は、同条の名宛人である受領者を基準に判断する必要があるため、提供者にとって個人データに該当するが受領者にとって個人データに該当しない情報を受領した場合は、同条の確認・記録義務は適用されない。
したがって、例えば、個人情報取扱事業者の営業担当者が、取引先を紹介する目
的で、データベースとして管理しているファイルから名刺 1 枚を取り出してそのコピーを他の個人情報取扱事業者の営業担当者に渡す場合、受領した側の個人情報取扱事業者は確認・記録義務を負わない。
なお、本来であれば個人データに該当するにもかかわらず、確認・記録義務を免れる目的のために、あえて分断して形式的に「個人データには該当しない個人情報」
として提供を受ける行為は、法の潜脱であり、確認・記録義務を免れることはでき
ない。
②

判断時点
個人データには該当しない個人情報として提供を受けた場合、仮に、後に当該個

人情報を個人情報データベース等に入力する等したときにおいても、法第 30 条の確認・記録義務は適用されない。
なお、受領後、受領者が当該個人情報を自己のデータベースに入力した場合には、入力時点から個人情報データベース等を構成する個人データに該当することとな

10個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）

り、法第 22 条から法第 39 条までの規定（法第 30 条及び第 31 条（※）を除く。）
が適用されることに留意する必要がある。
（※）法第 31 条は、個人関連情報の第三者提供に関する規定であるため、個人デー
タに該当することとなった場合でも適用されない。
③①②を踏まえ、受領者たる個人情報取扱事業者に対しては、提供を受ける時点において、個人データに該当する場合に、確認・記録義務が適用される。
（2）受領者にとって「個人情報」に該当しない場合
次の事例のように、提供者にとって個人データに該当する場合であっても、受領者にとっては「個人情報」に該当しない（当然に個人データにも該当しない。
）情報を受領した場合は、法第 30 条の確認・記録義務は適用されない。
【受領者にとって個人情報に該当しない事例】
事例 1）提供者が氏名を削除するなどして個人を特定できないようにしたデータの提供を受けた場合
事例 2）提供者で管理している ID 番号のみが付されたデータの提供を受けた場合

2-2-2-2 「提供を受けるに際して」
法第 30 条の確認・記録義務は、受領者にとって、「第三者から個人データの提供を受ける」行為がある場合に適用されるため、単に閲覧する行為については、「提供を受ける」
行為があるとは言えず、法第 30 条の義務は適用されない。
なお、提供者たる個人情報取扱事業者が、個人データを第三者が利用可能な状態に置く行為は、提供行為に該当する。
また、口頭、FAX、メール、電話等で、受領者の意思とは関係なく、一方的に個人デー
タを提供された場合において、受領者側に「提供を受ける」行為がないときは、法第 30条の確認・記録義務は適用されない。

3

確認義務（法第 30 条第 1 項・第 2 項、規則第 22 条関係）

11

個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）

3-1 確認方法（法第 30 条第 1 項、規則第 22 条関係）
個人情報取扱事業者は、第三者から個人データの提供を受ける際は、当該第三者に対して、次のとおり確認を行わなければならない。この際、当該第三者は当該個人情報取扱事業者に対して、当該確認に係る事項を偽ってはならない（法第 30 条第 2 項。同項に違反した場合には法第 180 条により 10 万円以下の過料）。
3-1-1 第三者の氏名及び住所並びに法人にあっては、その代表者の氏名（法第 30 条第 1
項第 1 号、規則第 22 条第 1 項関係）
法第 30 条（第 1 項）
1

個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、個人情報保護委員会規則で定めるところにより、次に掲げる事項の確認を行わなければなら
ない。
（略）
(1)

当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名

規則第 22 条（第 1 項）
1

法第 30 条第 1 項の規定による同項第 1 号に掲げる事項の確認を行う方法は、個人データを提供する第三者から申告を受ける方法その他の適切な方法とする。

【第三者から申告を受ける方法に該当する事例】
事例 1）口頭で申告を受ける方法
事例 2）所定の申込書等に記載をさせた上で、当該申込書等の提出を受け入れる方法
事例 3）本人確認書類の写しの送付を受け入れる方法【その他の適切な方法に該当する事例】
事例 1）登記されている事項を確認する方法（受領者が自ら登記事項証明書・登記情報提供サービスで当該第三者の名称・住所・代表者の氏名を確認する方法）
事例 2）法人番号（行政手続における特定の個人を識別するための番号の利用等に関する法律（平成 25 年法律第 27 号）第 2 条第 15 項に規定する法人番号をいう。）の提示を受けて、当該法人の名称、住所を確認する方法
事例 3）当該第三者が自社のホームページなどで名称、住所、代表者の氏名を公開している場合において、その内容を確認する方法
事例 4）信頼性のおける民間のデータ業者のデータベースを確認する方法
事例 5）上場会社等の有価証券報告書等を確認する方法

12

個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）

3-1-2 第三者による個人データの取得の経緯（法第 30 条第 1 項第 2 号、規則第 22 条第2 項関係）
法第 30 条（第 1 項）
1

個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、個人情報保護委員会規則で定めるところにより、次に掲げる事項の確認を行わなければなら
ない。
（略）
(1)

（略）

(2)

当該第三者による当該個人データの取得の経緯

規則第 22 条（第 2 項）
2

法第 30 条第 1 項の規定による同項第 2 号に掲げる事項の確認を行う方法は、個人データを提供する第三者から当該第三者による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法とする。

個人情報取扱事業者は、第三者から個人データの提供を受ける際は、当該第三者による当該個人データの「取得の経緯」を確認しなければならない。
「取得の経緯」を確認する趣旨としては、提供を受けようとする個人データが適法に入手されたものではないと疑われる場合に、当該個人データの利用・流通を未然に防止する点にある。
仮に、適法に入手されたものではないと疑われるにもかかわらず、あえて個人データの提供を受けた場合には、法第 20 条第 1 項の規定違反と判断される可能性がある。
「取得の経緯」の具体的な内容は、個人データの内容、第三者提供の態様などにより異なり得るが、基本的には、取得先の別（顧客としての本人、従業員としての本人、他の個人情報取扱事業者、家族・友人等の私人、いわゆる公開情報等）、取得行為の態様（本人から直接取得したか、有償で取得したか、いわゆる公開情報から取得したか、紹介により取得したか、私人として取得したものか等）などを確認しなければならない。
なお、あくまで、個人データを提供した「第三者」による取得の経緯を確認すれば足り、そこから遡って当該「第三者」より前に取得した者の取得の経緯を確認する義務はない。
【適切な方法に該当する事例】
事例 1）提供者が別の者から個人データを買い取っている場合には売買契約書などを確認する方法
事例 2）提供者が本人から書面等で当該個人データを直接取得している場合に当該書面等を確認する方法

13

個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）

事例 3）提供者による取得の経緯が明示的又は黙示的に示されている、提供者と受領者間の契約書面を確認する方法
事例 4）提供者が本人の同意を得ていることを誓約する書面を受け入れる方法
事例 5）提供者のホームページで公表されている利用目的、規約等の中に、取得の経緯が記載されている場合において、その記載内容を確認する方法
事例 6）本人による同意書面を確認する方法

3-1-3 法の遵守状況
受領者は、個人情報取扱事業者から個人データの提供を受ける際には、当該個人情報取扱事業者の法の遵守状況（例えば、利用目的、開示手続、問合せ・苦情の受付窓口の公表など）についても確認することが望ましい。特に、個人情報取扱事業者からオプトアウトによる第三者提供により個人データの提供を受ける際には、受領者は、当該個人情報取扱事業者の届出事項が個人情報保護委員会により公表されている旨を記録しなけ
ればならないことに留意する必要がある（「4-2-2 受領者の記録事項」参照）。
提供者である個人情報取扱事業者の法の遵守状況を確認した結果、提供される個人データが適法に入手されたものではないと疑われるにもかかわらず、当該個人データの提供を受けた場合には、法第 20 条第 1 項の規定違反と判断されるおそれがある。

3-2 既に確認を行った第三者に対する確認方法（規則第 22 条関係）
規則第 22 条（第 3 項）
3

前二項の規定にかかわらず、第三者から他の個人データの提供を受けるに際して既に前二項に規定する方法による確認（当該確認について次条に規定する方法による記録の作成及び保存をしている場合におけるものに限る。
）を行っている事項の確認を行う方法は、当該事項の内容と当該提供に係る法第 30 条第 1 項各号に掲げる事項の内容が同一であることの確認を行う方法とする。

平成 27 年改正法規則附則第 4 条
法第 26 条第 1 項各号に規定する事項のうち、施行日前に第 15 条に規定する方法に相当する方法で確認（当該確認について第 16 条に規定する方法に相当する方法により記録を作成し、かつ、保存している場合におけるものに限る。
）を行っているものについては、第 15 条第 3 項を適用することができる。この場合において、同項中「前二項に規定する方法」とあるのは「前二項に規定する方法に相当する方法」と読み替えるも14個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）のとする。
令和 3 年改正法規則（第 50 条改正関係）附則第 5 条
別表第二法人等において、法第 30 条第 1 項各号に規定する事項のうち、施行日前に
新規則第 22 条に規定する方法に相当する方法で確認（当該確認について新規則第 23条に規定する方法に相当する方法により記録を作成し、かつ、保存している場合におけるものに限る。
）を行っているものについては、新規則第 22 条第 3 項を適用することができる。この場合において、同項中「前ニ項に規定する方法」とあるのは「前ニ項に規定する方法に相当する方法」と読み替えるものとする。
令和 3 年改正法規則（第 51 条改正関係）附則第 5 条
特定地方独立行政法人等において、新個人情報保護法第 30 条第 1 項各号に規定する事項のうち、施行日前に新規則第 22 条に規定する方法に相当する方法で確認（当該確認について新規則第 23 条に規定する方法に相当する方法により記録を作成し、かつ、保存している場合におけるものに限る。
）を行っているものについては、新規則第 22 条
第 3 項を適用することができる。この場合において、同項中「前二項に規定する方法」とあるのは「前二項に規定する方法に相当する方法」と読み替えるものとする。
複数回にわたって同一「本人」の個人データの授受をする場合において、同一の内容である事項を重複して確認する合理性はないため、
既に規則第 22 条に規定する方法（「3-1-1 第三者の氏名及び住所並びに法人にあっては、その代表者の氏名」「3-1-2 当該第三者による
当該個人データの取得の経緯」）により確認を行い、「4 記録義務」に規定する方法により作成し、かつ、その時点において保存している記録に記録された事項と内容が同一であるものについては、当該事項の確認を省略することができる。
平成 27 年改正法の施行日（平成 29 年 5 月 30 日）の前に上記に規定する方法に相当する方法で作成した記録、令和 3 年改正法第 50 条の規定の施行日（令和 4 年 4 月 1 日）の前に
別表第二法人等（法別表第 2 に掲げる法人、法第 58 条第 2 項の規定により個人情報取扱事業者、仮名加工情報取扱事業者若しくは個人関連情報取扱事業者とみなされる独立行政法
人労働者健康安全機構又は学術研究機関等である個人情報取扱事業者をいう。以下同じ。）
及び令和 3 年改正法第 51 条の規定の施行日（令和 5 年 4 月 1 日）前に特定地方独立行政法
人等（法第 58 条第 1 項第 2 号に掲げる者又は同条第 2 項の規定により個人情報取扱事業者、
仮名加工情報取扱事業者若しくは個人関連情報取扱事業者とみなされる法第 58 条第 2 項第1 号に掲げる者をいう。以下同じ。
）が上記に規定する方法に相当する方法で作成した記録についても同様とする。
例えば、個人情報取扱事業者が、同じ提供者から、既に確認・記録義務を履行した、特定の事業活動であることを認識しながら、個人データの提供を受ける場合は、提供者の名称、

15

個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）

当該個人データの取得の経緯について「同一であることの確認」が行われているものである。
4

記録義務（法第 29 条第 1 項、第 30 条第 3 項関係）
4-1 記録を作成する方法など
法第 29 条（第 1 項）
1

個人情報取扱事業者は、個人データを第三者（略）に提供したときは、個人情報保護委員会規則で定めるところにより、当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。
（略）

法第 30 条（第 3 項）
3

個人情報取扱事業者は、第 1 項の規定による確認を行ったときは、個人情報保護委
員会規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。

4-1-1 記録を作成する媒体（規則第 19 条第 1 項、第 23 条第 1 項関係）
規則第 19 条（第 1 項）
1

法第 29 条第 1 項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。

規則第 23 条（第 1 項）
1

法第 30 条第 3 項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。

個人情報取扱事業者は、記録を、文書、電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。
）で作られる記録をいう。
以下同じ。法第 2 条第 1 項第 1 号参照）又はマイクロフィルムを用いて作成しなければな
らない。

16

個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）

4-1-2 記録を作成する方法
4-1-2-1 原則（規則第 19 条第 2 項、第 23 条第 2 項関係）
規則第 19 条（第 2 項）
2

法第 29 条第 1 項の記録は、個人データを第三者（略）に提供した都度、速やかに作成しなければならない。
（略）

規則第 23 条（第 2 項）
2

法第 30 条第 3 項の記録は、第三者から個人データの提供を受けた都度、速やかに作成しなければならない。
（略）
個人情報取扱事業者は、原則として、個人データの授受の都度、速やかに、記録を作成しなければならない。
なお、個人データを授受する前に記録を作成することもできる。
本人別に記録を単体で作成する方法のほか、対象となる複数の本人の記録を一体として作成することもできる。
オプトアウトによる第三者提供については、「4-1-2-2

一括して記録を作成する方法」、「4-1-2-3 契約書等の代替手段による方法」は適用されないため、常に上述の原則に従い記録を作成しなければならない。

4-1-2-2 一括して記録を作成する方法（規則第 19 条第 2 項、第 23 条第 2 項関係）
規則第 19 条（第 2 項）
2（略）当該第三者に対し個人データを継続的に若しくは反復して提供（法第 27 条第2 項の規定による提供を除く。以下この項において同じ。）したとき、又は当該第三者に対し個人データを継続的に若しくは反復して提供することが確実であると見込まれるときの記録は、一括して作成することができる。

規則第 23 条（第 2 項）
2（略）当該第三者から継続的に若しくは反復して個人データの提供（法第 27 条第 2項の規定による提供を除く。以下この条において同じ。
）を受けたとき、又は当該第三者から継続的に若しくは反復して個人データの提供を受けることが確実であると見込まれるときの記録は、一括して作成することができる。

17

個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）

一定の期間内に特定の事業者との間で継続的に又は反復して個人データを授受する場合
は、個々の授受に係る記録を作成する代わりに、一括して記録を作成することができる。
なお、オプトアウトによる第三者提供については対象外である。
本人別に記録を単体で作成する方法のほか、対象となる複数の本人の記録を一体として作成することもできる。
なお、複数の本人の記録を一体として記録を作成する場合において、継続的に又は反復して個人データを授受する対象期間内に、データ群を構成する本人が途中で変動するときも、一括して記録を作成することもできる。
【一括して記録を作成する方法に該当する事例】
事例 1）最初の授受の際に一旦記録を作成した上で、継続的に又は反復して個人データを授受する対象期間内に、随時、追加の記録事項を作成する方法
事例 2）継続的に又は反復して個人データを授受提供する対象期間内に、月ごとに記録を作成する方法事例 3）継続的に又は反復して個人データを授受提供する対象期間の終了後、速やかに記録を作成する方法「確実であると見込まれるとき」の例としては、継続的に又は反復して個人データを授受することを内容とする基本契約を締結することで、以後、継続的に又は反復して個人データを提供することが確実であると見込まれる場合などが該当する。この場合は、当該基本契約に係る契約書をもって記録とすることができる。
「一括して記録を作成する方法」は、例外としての記録作成方法であることに鑑みて、その対象期間、対象範囲等を明確にすることが望ましい。

4-1-2-3 契約書等の代替手段による方法（規則第 19 条第 3 項、第 23 条第 3 項関係）
規則第 19 条（第 3 項）
3

前項の規定にかかわらず、法第 27 条第 1 項又は法第 28 条第 1 項の規定により、本人に対する物品又は役務の提供に関連して当該本人に係る個人データを第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に次条第 1 項
各号に定める事項が記載されているときは、当該書面をもって法第 29 条第 1 項の当該事項に関する記録に代えることができる。

規則第 23 条（第 3 項）
3

前項の規定にかかわらず、本人に対する物品又は役務の提供に関連して第三者から18個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）

当該本人に係る個人データの提供を受けた場合において、当該提供に関して作成された契約書その他の書面に次条第 1 項各号に定める事項が記載されているときは、当該書面をもって法第 30 条第 3 項の当該事項に関する記録に代えることができる。
個人情報取扱事業者が、本人に対する物品又は役務の提供に係る契約を締結し、かかる契約の履行に伴って、契約の締結の相手方を本人とする個人データを当該個人情報取扱事
業者から第三者に提供する場合は、当該提供の際に作成した契約書その他の書面をもって
個人データの流通を追跡することが可能であることから、当該契約書その他の書面をもって記録とすることができる。
なお、オプトアウトによる第三者提供については対象外である。
本人別に記録を単体で作成する方法のほか、対象となる複数の本人の記録を一体として作成することもできる。
仮に、規則第 19 条第 3 項又は規則第 23 条第 3 項の要件を充たさない書面、又はオプト
アウトによる第三者提供の際に作成された書面等も、記録事項が記載されていれば記録として認められるが、保存期間の違いに留意する必要がある（「4-3 保存期間」参照）。
（1）「本人に対する物品又は役務の提供」
提供者若しくは受領者又は提供者及び受領者の双方が「本人に対する物品又は役務の提供」の主体となる場合を含む。
【提供者及び受領者の双方が主体となる事例】
事例）グループ企業が親会社と子会社が共同で役務を提供する際に、親会社・子会社間で情報連携を行うことについての承諾する旨の同意書
また、「本人に対する物品又は役務の提供」には、契約を根拠とする場合のほか、法令を根拠とする場合を含む。
【法令を根拠とした本人に対する物品又は役務の提供に該当する事例】
事例）自動車の運行による事故の被害者から、自動車損害賠償保障法（昭和 30
年法律第 97 号）を根拠として、加害者の自動車保有者と自動車損害賠償
責任保険契約（いわゆる自賠責保険）を締結している保険会社に対して直接請求権（被害者請求権）が発生し、当該請求権の履行として当該保険会社が被害者が診療を受ける病院に診療費を支払う際に、病院との間で被害者の個人データ（診断書など）を授受する場合（2）「当該提供に関して作成された（契約書その他の書面）」

19個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）

複数の書面を合わせて一つの記録とすることは妨げられない。
個人データを第三者提供する際に作成された契約書その他の書面のほか、当該個人データの内容を構成する契約書その他の書面も、「当該提供に関して作成された」ものに該当する。
例えば、「個人データの内容を構成する契約書その他の書面」により「本人の氏名その他の当該本人を特定するに足りる事項」及び「当該個人データの項目」の記録を作成した場合には、それ以外の事項については別の「契約書その他の書面」により記録を作成することとなる。
【個人データの内容を構成する契約書その他の書面の事例】
事例）事業者が本人を債務者とする金銭債権を第三者に債権譲渡する際の金銭債権に係る契約書（3）「契約書その他の書面」
本人と提供者との間で作成した契約書のみならず、提供者と受領者との間で作成した契約書も、含まれる。
「契約書」の他にも、「その他の書面」には、個人情報取扱事業者の内部で作成された帳票、記録簿等も含まれる。
また、「契約書その他の書面」は電磁的記録を含むため（規則第 11 条第 3 項参照）、システム上の記録等も「契約書その他の書面」に該当する。

4-1-3 代行により記録を作成する方法
提供者・受領者のいずれも記録の作成方法・保存期間は同一であることに鑑みて、提供者（又は受領者）は受領者（又は提供者）の記録義務の全部又は一部を代替して行うことができる（提供者と受領者の記録事項の相違については留意する必要がある。
）。なお、この場合であっても、提供者及び受領者は自己の義務が免責されるわけではないことから、実質的に自らが記録作成義務を果たしているものと同等の体制を構築しなければならない。
また、委託先の個人情報取扱事業者が委託契約の目的の範囲内で第三者との間で個人データの授受を行った場合において、一義的には委託先の個人情報取扱事業者が記録を作成する義務があるが、委託元の個人情報取扱事業者が記録の作成を代行することができる。

20

個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）

4-2 記録事項
4-2-1 提供者の記録事項（法第 29 条第 1 項関係）
法第 29 条（第 1 項）
1

個人情報取扱事業者は、個人データを第三者（略）に提供したときは、個人情報保護委員会規則で定めるところにより、当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。
（略）

4-2-1-1 オプトアウトによる第三者提供をする場合（規則第 20 条第 1 項第 1 号関係）
規則第 20 条（第 1 項）
1

法第 29 条第 1 項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。
(1)

法第 27 条第 2 項の規定により個人データを第三者に提供した場合 次のイからニまでに掲げる事項

イ

当該個人データを提供した年月日

ロ

当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。第 28 条第 1 項第 3 号において同じ。）の氏名（不特定かつ多数の者に対して提供したときは、その旨）
ハ

当該個人データによって識別される本人の氏名その他の当該本人を特定するに

足りる事項
ニ

当該個人データの項目

個人情報取扱事業者が、オプトアウトによる個人データの第三者提供を行う場合は、次の項目を記録しなければならない。
（1）「当該個人データを提供した年月日」（2）「当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。第 28条第 1 項第 3 号において同じ。
）の氏名（不特定かつ多数の者に対して提供したときは、その旨）」
21

個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）【不特定かつ多数の者に対して提供している事例】
事例 1）個人データをインターネット上に公開し、不特定多数の者が閲覧できる状態に置いている場合
事例 2）住宅地図を市販する場合（3）「当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項」【その他の当該本人を特定するに足りる事項に該当する事例】
事例）本人ごとに番号・ID などを付して個人データの管理をしている場合において、当該番号・ID などにより本人を特定できるときの当該番号・ID
実際に提供した個人データ自体に「本人の氏名その他の当該本人を特定するに足りる事項」が含まれている場合には、当該個人データ自体を保存することをもって「本人の氏名その他の当該本人を特定するに足りる事項」を記録したものとすることもできる。
なお、例えば「当社が有する全ての個人情報に係る本人」等の記載では、「当該本人を特定するに足りる」ものではないと解される。
（4）「当該個人データの項目」
事例 1）氏名、住所、電話番号、年齢
事例 2）氏名、商品購入履歴
実際に提供した個人データ自体又はその写し等を、「当該個人データの項目」の記録とすることもできる。
なお、例えば「当社が有するいずれかの情報」等の記載では、「当該個人データの項目」には該当しないものと解される。

4-2-1-2 本人の同意による第三者提供をする場合（規則第 20 条第 1 項第 2 号関係）
規則第 20 条（第 1 項）
1

法第 29 条第 1 項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。

22

個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）

(1)

（略）

(2)

法第 27 条第 1 項又は法第 28 条第 1 項の規定により個人データを第三者に提供した場合 次のイ及びロに掲げる事項

イ

法第 27 条第 1 項又は法第 28 条第 1 項の本人の同意を得ている旨

ロ

前号ロからニまでに掲げる事項

個人情報取扱事業者が、本人の同意に基づき個人データの第三者提供を行う場合は、次の項目を記録しなければならない。
（1）「法第 27 条第 1 項又は法第 28 条第 1 項の本人の同意を得ている旨」
典型例として、契約書その他の書面に本人の同意が記載されている場合が該当する。
そのほか、個人情報取扱事業者の事業の内容、第三者提供の態様等に鑑みて、同意の存在を明示的に又は黙示的に示す証跡等がある場合には、当該証跡等をもって「同意を得ている旨」の記録とすることもできる。
例えば、個人情報取扱事業者のシステムの設定により、本人の同意を得た場合のみ
第三者提供が実施されることとなっている場合には、それをもって同意の存在を示す証跡があるものとすることができる。
（2）「当該第三者の氏名又は名称その他の当該第三者を特定するに足りる事項（不特定かつ多数の者に対して提供したときは、その旨）」「4-2-1-1 オプトアウトによる第三者提供（2）」を参照のこと。
（3）「当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項」「4-2-1-1 オプトアウトによる第三者提供（3）」を参照のこと。
（4）「当該個人データの項目」「4-2-1-1 オプトアウトによる第三者提供（4）」を参照のこと。

＜提供者の記録事項＞

23

個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）

○

○

月

第三者提供

意

○

本人の同意による

同○の個人データの項目○

人

本 人 の 氏 名 等

○

年

第三者提供

本

第 三 者 の 氏 名 等

○

供
日

提

オプトアウトによる○

4-2-2 受領者の記録事項（法第 30 条第 3 項関係）
法第 30 条（第 3 項）
3

個人情報取扱事業者は、第 1 項の規定による確認を行ったときは、個人情報保護委
員会規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。

4-2-2-1 オプトアウトによる第三者提供を受ける場合（規則第 24 条第 1 項第 1 号関係）
規則第 24 条（第 1 項）
1

法第 30 条第 3 項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。
(1)

個人情報取扱事業者から法第 27 条第 2 項の規定による個人データの提供を受けた場合 次のイからホまでに掲げる事項

イ

個人データの提供を受けた年月日

ロ

法第 30 条第 1 項各号に掲げる事項

ハ

当該個人データによって識別される本人の氏名その他の当該本人を特定するに

足りる事項
ニ

当該個人データの項目

ホ

法第 27 条第 4 項の規定により公表されている旨

24個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）

個人情報取扱事業者が、オプトアウトによる個人データの第三者提供を受ける場合は、次の項目を記録しなければならない。
（1）「当該個人データを受けた年月日」（2）「当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名」「法第 30 条第 1 項各号に掲げる事項」として、同項第 1 号の「当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名」を記録しなければならない。
（3）「当該第三者による当該個人データの取得の経緯」「法第 30 条第 1 項各号に掲げる事項」として、同項第 2 号の「当該第三者による当該個人データの取得の経緯」を記録しなければならない。
「取得の経緯」の詳細については、「3-1-2 第三者による個人データの取得の経緯」
を参照のこと。
具体的には、法第 30 条第 1 項に基づき確認した取得の経緯の具体的内容を記録する方法のほか、確認を行った取得の経緯を示す契約書その他の書面自体を保存する方法等がある。
（4）「当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項」「4-2-1-1 オプトアウトによる第三者提供（3）」を参照のこと。
（5）「当該個人データの項目」「4-2-1-1 オプトアウトによる第三者提供（4）」を参照のこと。
（6）「個人情報保護委員会により公表されている旨」
個人情報保護委員会により公表されていない個人情報取扱事業者からオプトアウ
トにより個人データの提供を受けた場合は、不正の手段による取得（法第 20 条第 1項）に該当するおそれがある。

4-2-2-2 本人の同意に基づき第三者提供を受ける場合（規則第 24 条第 1 項第 2 号関係）
規則第 24 条（第 1 項）
1

法第 30 条第 3 項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合

25

個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）の区分に応じ、それぞれ当該各号に定める事項とする。
(1)

（略）

(2)

個人情報取扱事業者から法第 27 条第 1 項又は法第 28 条第 1 項の規定による個
人データの提供を受けた場合 次のイ及びロに掲げる事項

イ

法第 27 条第 1 項又は法第 28 条第 1 項の本人の同意を得ている旨

ロ

前号ロからニまでに掲げる事項

(3)

（略）

個人情報取扱事業者が、本人の同意に基づき個人データの第三者提供を受ける場合は、次の項目を記録しなければならない。
（1）「法第 27 条第 1 項又は法第 28 条第 1 項の本人の同意を得ている旨」「4-2-1-2 本人の同意による第三者提供（1）」を参照のこと。
（2）「当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名」「4-2-2-1

オプトアウトによる第三者提供を受ける場合（2）」を参照のこと。

（3）「当該第三者による当該個人データの取得の経緯」「4-2-2-1

オプトアウトによる第三者提供を受ける場合（3）」を参照のこと。

（4）「当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項」「4-2-1-1 オプトアウトによる第三者提供（3）」を参照のこと。
（5）「当該個人データの項目」「4-2-1-1 オプトアウトによる第三者提供（4）」を参照のこと。

4-2-2-3 私人などから第三者提供を受ける場合（規則第 24 条第 1 項第 4 号関係）
規則第 24 条（第 1 項）
1

法第 30 条第 3 項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。
(1)～(3)(4)（略）

第三者（個人情報取扱事業者に該当する者を除く。
）から個人データの提供を受けた場合 第 1 号ロからニまでに掲げる事項

26

個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）

個人情報取扱事業者が、他の個人情報取扱事業者又は法第 16 条第 2 項各号に掲げる者（「2-1-3 第三者が法第 16 条第 2 項各号に掲げる者である場合」参照）以外の者から、個人データの提供を受ける場合は、次の項目を記録しなければならない。
（1）「当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名」「4-2-2-1 オプトアウトによる第三者提供を受ける場合（2）」を参照のこと。
（2）「当該第三者による当該個人データの取得の経緯」「4-2-2-1 オプトアウトによる第三者提供を受ける場合（3）」を参照のこと。
（3）「当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項」「4-2-1-1 オプトアウトによる第三者提供をする場合（3）」を参照のこと。
（4）「当該個人データの項目」「4-2-1-1 オプトアウトによる第三者提供をする場合（4）」を参照のこと。

る公
表

本 人 の 同 意 等

よ

個 人 情 報保 護委 員 会に

個人データの項目

本 人 の 氏 名 等

緯

第三者提供

経

私人などからの

の

第三者提供

得

本人の同意による取

第三者提供

第三者の氏名等

オプトアウトによる提 供 を 受け た年 月 日＜受領者の記録事項＞○ ○ ○ ○ ○ ○○ ○ ○ ○
○ ○ ○ ○

4-2-3 記録事項の省略（規則第 20 条第 2 項、第 24 条第 2 項関係）
規則第 20 条（第 2 項）
27○

個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）

2

前項各号に定める事項のうち、既に前条に規定する方法により作成した法第 29 条第1 項の記録（当該記録を保存している場合におけるものに限る。
）に記録されている事項と内容が同一であるものについては、同項の当該事項の記録を省略することができる。

規則第 24 条（第 2 項）
2

前項各号に定める事項のうち、既に前条に規定する方法により作成した法第 30 条第3 項の記録（当該記録を保存している場合におけるものに限る。
）に記録された事項と内容が同一であるものについては、同項の当該事項の記録を省略することができる。

平成 27 年改正法規則附則第 3 条
第 13 条第 1 項に規定する事項のうち、施行日前に第 12 条に規定する方法に相当する方法で記録（当該記録を保存している場合におけるものに限る。
）を作成しているものについては、第 13 条第 2 項の規定を適用することができる。この場合において、同項中「前条に規定する方法」とあるのは「前条に規定する方法に相当する方法」と読み替えるものとする。
平成 27 年改正法規則附則第 5 条
第 17 条第 1 項に規定する事項のうち、施行日前に第 16 条に規定する方法に相当する方法で記録（当該記録を保存している場合におけるものに限る。
）を作成しているものについては、第 17 条第 2 項を適用することができる。この場合において、同項中「前条に規定する方法」とあるのは「前条に規定する方法に相当する方法」と読み替えるものとする。
令和 3 年改正法規則（第 50 条改正関係）附則第 4 条
別表第二法人等（法別表第 2 に掲げる法人、法第 58 条第 2 項の規定により法第 16 条
第 2 項に規定する個人情報取扱事業者、同条第 5 項に規定する仮名加工情報取扱事業者若しくは同条第 7 項に規定する個人関連情報取扱事業者とみなされる独立行政法人
労働者健康安全機構又は同条第 8 項に規定する学術研究機関等である同条第 2 項に規定する個人情報取扱事業者をいう。以下同じ。
）において、新規則第 20 条第 1 項に規定する事項のうち、施行日前に新規則第 19 条に規定する方法に相当する方法で記録（当該記録を保存している場合におけるものに限る。）を作成しているものについては、新
規則第 20 条第 2 項の規定を適用することができる。この場合において、同項中「前条に規定する方法」とあるのは「前条に規定する方法に相当する方法」と読み替えるもの
とする。

28

個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）

令和 3 年改正法規則（第 50 条改正関係）附則第 6 条
別表第二法人等において、新規則第 24 条第 1 項（同項第 3 号を除く。）に規定する事項のうち、施行日前に新規則第 23 条に規定する方法に相当する方法で記録（当該記
録を保存している場合におけるものに限る。）を作成しているものについては、新規則
第 24 条第 2 項を適用することができる。この場合において、同項中「前条に規定する方法」とあるのは「前条に規定する方法に相当する方法」と読み替えるものとする。
令和 3 年改正法規則（第 51 条改正関係）附則第 4 条
特定地方独立行政法人等（整備法第 51 条の規定による改正後の個人情報の保護に関する法律（以下「新個人情報保護法」という。
）第 58 条第 1 項第 2 号に掲げる者又は同条第 2 項の規定により新個人情報保護法第 16 条第 2 項に規定する個人情報取扱事業者、同条第 5 項に規定する仮名加工情報取扱事業者若しくは同条第 7 項に規定する個
人関連情報取扱事業者とみなされる新個人情報保護法第 58 条第 2 項第 1 号に掲げる者をいう。以下同じ。
）において、新規則第 20 条第 1 項に規定する事項のうち、施行日前に新規則第 19 条に規定する方法に相当する方法で記録（当該記録を保存している場合
におけるものに限る。）を作成しているものについては、新規則第 20 条第 2 項の規定を適用することができる。この場合において、同項中「前条に規定する方法」とあるのは「前条に規定する方法に相当する方法」と読み替えるものとする。
令和 3 年改正法規則（第 51 条改正関係）附則第 6 条
特定地方独立行政法人等において、新規則第 24 条第 1 項に規定する事項のうち、施行日前に新規則第 23 条に規定する方法に相当する方法で記録（当該記録を保存している場合におけるものに限る。
）を作成しているものについては、新規則第 24 条第 2 項を適用することができる。この場合において、同項中「前条に規定する方法」とあるのは「前条に規定する方法に相当する方法」と読み替えるものとする。
複数回にわたって同一「本人」の個人データの授受をする場合において、同一の内容である事項を重複して記録する必要はないことから、その旨を明確にするものである。すなわち、
既に「4 記録義務」に規定する方法により作成した記録（現に保存している場合に限る。
）に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。
平成 27 年改正法の施行日（平成 29 年 5 月 30 日）の前に上記に規定する方法に相当する方法で作成した記録、令和 3 年改正法第 50 条の規定の施行日（令和 4 年 4 月 1 日）の前に
別表第二法人等（3-2（既に確認を行った第三者に対する確認方法）参照）が上記に規定する方法に相当する方法で作成した記録及び令和 3 年改正法第 51 条の規定の施行日（令和 5
年 4 月 1 日）前に特定地方独立行政法人等（3-2（既に確認を行った第三者に対する確認方

29

個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）

法）参照）が上記に規定する方法に相当する方法で作成した記録についても同様とする。
記録事項の内容は同一でなければならないため、例えば、同一法人であっても、代表者が交代し、その後に記録を作成する場面では、改めて、新代表者の氏名について記録をしなければならない。
なお、記録事項のうち、一部の事項の記録の作成を規則第 20 条第 2 項又は規則第 24 条
第 2 項に基づき省略し、残りの事項の記録のみを作成した場合、記録全体としての保存期間の起算点は、残りの事項を作成した時点とする。保存期間については、「4-3

保存期間」を参照のこと。

4-3 保存期間（法第 29 条第 2 項、第 30 条第 4 項関係）
法第 29 条（第 2 項）
2

個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委
員会規則で定める期間保存しなければならない。

規則第 21 条
法第 29 条第 2 項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場
合の区分に応じて、それぞれ当該各号に定める期間とする。
(1)

第 19 条第 3 項に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を行った日から起算して 1 年を経過する日までの間(2)

第 19 条第 2 項ただし書に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を行った日から起算して 3 年を経過する日までの間(3)

前二号以外の場合 3 年

法第 30 条（第 4 項）
4

個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委
員会規則で定める期間保存しなければならない。

規則第 25 条
法第 30 条第 4 項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場
合の区分に応じて、それぞれ当該各号に定める期間とする。
(1)

第 23 条第 3 項に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を受けた日から起算して 1 年を経過する日までの間(2)

第 23 条第 2 項ただし書に規定する方法により記録を作成した場合 最後に当30

個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）

該記録に係る個人データの提供を受けた日から起算して 3 年を経過する日までの間(3)

前二号以外の場合 3 年

個人情報取扱事業者は、作成した記録を規則で定める期間保存しなければならない。
保存期間は記録の作成方法によって異なる。具体的には、次の表のとおりである。
なお、対象となる複数の本人の記録を一体として作成した場合には、保存期間は各記録ごとに異なることがある。

＜保存期間＞
記録の作成方法の別「4-1-2-3

保存期間

契約書等の代替手段による方法」により記録を作成した場合

最後に当該記録に係る個人データの提供を行った日から起算して 1 年を経過する日までの間「4-1-2-2

一括して記録を作成する方法」により記録を作成した場合

最後に当該記録に係る個人データの提供を行った日から起算して 3 年を経過する日までの間

上述以外の場合
53年

法第 31 条第 1 項の規定による個人関連情報の提供を受けて個人データとして取得する
場合
個人情報取扱事業者は、法第 31 条第 1 項の規定による個人関連情報の提供を受けて個人データとして取得する場合（法第 27 条第 1 項各号に掲げる場合を除く。）は、法第 30 条第1 項及び第 3 項の確認・記録義務の適用を受ける。かかる確認・記録義務については、通則
ガイドライン「3-7-5 提供先の第三者における確認義務」「3-7-6 提供先の第三者における記録義務」を参照のこと。

31

個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）【付録】○衆議院内閣委員会における附帯決議（平成 27 年 5 月 20 日）
1～3 （略）4

第三者提供に係る記録の作成等の義務については、その目的と実効性を確保しつつ、事業者に過度な負担とならないように十分に配慮するとともに、悪質な事業者への対策については一般の事業者に過度な負担とならないよう実態調査を行った上で、有効な措置を講ずること。
（以下省略）○参議院内閣委員会における附帯決議（平成 27 年 8 月 27 日）
1～3 （略）4

第三者提供に係る記録の作成等の義務については、その目的と実効性を確保しつつ、事業者に過度な負担とならないよう十分に配慮すること。
（以下省略）

32

個人情報保護法ガイドライン（第三者提供時の確認・記録義務編）＜確認・記録義務の全体図＞
個人データを提供する

個人データの提供を受ける

個人情報取扱事業者

個人情報取扱事業者

明文上、確認・記録義務が適用除外されるか。
（「2-1 明文により確認・記録義務が適用されない第三者提供」）

提供者・受領者に、確認・記録義務が適用されない。

解釈上、確認・記録義務が適用除外されるか。
（「2-2-1 提供者及び受領者に確認・記録義務が適用されない場合」）

受領者にとって「個人データ」に該当しないか。
（「2-2-2-1 法第 30 条の受領者に、『個人データ』の該当性」）

確認・記録義務が適用されない。
「個人データの提供を受ける」に該当しないか。
（「2-2-2-2『提供を受けるに
際して』
」
）

契約書等の

本人が関与した契約等に基づく第三者提供か。
（「4-1-2-3 契約書等の代替手段による方法」）

代替手段による
記録の作成

反復継続した第三者提供か。

一括した（「4-1-2-2 一括して記録を作成する方法」
）

記録の作成

本人同意に基づく第三者提供か。
「4-2-1-2 本人の同意による第三者提供をする場合」「4-2-2-2 本人の同意に基づき第三者提供を受ける場合」

本人の同意に基づく第三者提供の場合は、簡易な記録事項

YES
原則どおりの確認・記録義務が適用。

NO
33