電気通信事業における個人情報保護指針

令和 ５年 ９月２６日＜認定個人情報保護団体＞

一般財 団法人日本データ通信 協 会
電気通信個人情報保護推進センター

電気通信事業における個人情報保護指針

目次

はじめに ····························································································································· 10
1. 目的及び適用対象 ··········································································································· 13
1-1 目的（ガイドライン第 1 条関係） ················································································ 13
1-2 適用対象（ガイドライン第 2 条第 1 項関係） ······························································ 16
1-3 適用関係（ガイドライン第 2 条第 2 項、第 3 項関係） ················································ 18
2. 定義 ································································································································ 21
2-1 電気通信事業者等（ガイドライン第 3 条関係） ···························································· 21
2-2 個人情報（法第 2 条第１項関係） ················································································ 23
2-3 個人識別符号（法第 2 条第 2 項関係） ········································································· 25
2-4 要配慮個人情報（法第 2 条第 3 項関係）········································································ 29
2-5 個人情報データベース等（法第 16 条第 1 項関係）························································ 34
2-6 個人情報取扱事業者（法第 16 条第 2 項・法第 2 条第 9 項、第 10 項、第 11 項・法別表第 2 関係）·························································································································· 36
2-7 個人データ（法第 16 条第３項関係）············································································· 37
2-8 保有個人データ（法第 16 条第４項関係） ······································································ 38
2-9 個人関連情報（法第 2 条第7 項関係） ··········································································· 40
2-10 「個人関連情報取扱事業者」（法第 16 条第 7 項関係） ············································ 41
2-11 仮名加工情報（法第 2 条第5 項関係） ········································································· 42
2-12 仮名加工情報取扱事業者（法第 16 条第5 項関係） ······················································· 43
2-13 匿名加工情報（法第 2 条第6 項関係） ········································································· 44
2-14 匿名加工情報取扱事業者（法第 16条第6 項関係） ························································ 46
2-15 「本人に通知」··········································································································· 48
2-16 「公表」 ····················································································································· 49
2-17 「本人の同意」··········································································································· 49
2-18 「提供」 ····················································································································· 52
2-19「学術研究機関等」（法第 16 条第 8 項関係） ···························································· 53
2-20「学術研究目的」 ········································································································ 54
3. 電気通信事業者の義務（ガイドライン第 2 章関係） ······················································ 56

1電気通信事業における個人情報保護指針

3-1 個人情報の利用目的（ガイドライン第 4 条・第 5 条、第９条第 3 項関係） ················ 56
3-1-1 利用目的の特定（ガイドライン第 4 条第 1 項関係） ··················································· 56
3-1-2 利用目的の変更（ガイドライン第 4 条第 2 項、第 9 条第 3 項関係） ························· 58
3-1-3 利用目的の範囲（ガイドライン第 4 条第 3 項関係） ··················································· 59
3-1-4 利用目的による制限（ガイドライン第 5 条第 1 項関係） ··········································· 59
3-1-5 事業の承継（ガイドライン第 5 条第 2 項関係） ·························································· 60
3-1-6 利用目的による制限の例外（ガイドライン第 5 条第 3 項関係） ································ 60
3-1-7 利用目的による制限における通信の秘密に係る個人情報の例外（ガイドライン第 5 条
第 4 項関係） ··························································································································· 64
3-2 不適正利用の禁止（ガイドライン第 6 条関係） ··························································· 67
3-3 個人情報の取得（ガイドライン第 7 条～第 9 条関係） ················································ 68
3-3-1 取得の制限（ガイドライン第 7 条関係） ····································································· 68
3-3-2 適正取得（ガイドライン第 8 条第 1 項関係） ······························································ 69
3-3-3 要配慮個人情報の取得（ガイドライン第 8 条第 2 項関係） ········································ 70
3-3-4 通信の秘密に係る個人情報の取得（ガイドライン第 8 条第 3 項関係） ····················· 76
3-3-5 利用目的の通知又は公表（ガイドライン第 9 条第 1 項関係） ···································· 76
3-3-6 直接書面等による取得（ガイドライン第 9 条第 2 項関係） ········································ 77
3-3-7 利用目的の通知等をしなくてよい場合（ガイドライン第 9 条第 4 項関係） ·············· 78
3-4 個人データの管理（ガイドライン第 10 条～第 14 条関係） ········································· 80
3-4-1 データ内容の正確性の確保等（ガイドライン第 10 条関係） ······································ 80
Draft

3-4-2 保存期間等（ガイドライン第 11 条第 1 項関係） ························································ 81
3-4-3 保存期間等における通信の秘密に係る個人情報の例外（ガイドライン第 11 条第 2 項関係） ······································································································································ 83
3-4-4 安全管理措置（ガイドライン第 12 条関係）································································ 84
3-4-5 従業者の監督（ガイドライン第 13 条第 1 項、第 2 項関係）······································ 96
3-4-6 委託先の監督（ガイドライン第 13 条第 3 項関係） ···················································· 98
3-4-7 個人情報保護管理者（ガイドライン第 14 条関係） ··················································· 105
3-5 プライバシーポリシー（ガイドライン第 15 条関係） ·················································106
3-5-1 プライバシーポリシーの策定・公表（ガイドライン第 15 条第 1 項、第 2 項関係）106
3-5-2 アプリケーションソフトウェアに係るプライバシーポリシー（ガイドライン第 15 条
第 3 項、第 4 項関係） ·········································································································· 109
3-6 個人データの漏えい等の報告等（ガイドライン第 16 条関係） ···································111
3-6-1 「漏えい等」の考え方 ································································································· 111
3-6-2 「滅失」の考え方 ········································································································ 112
3-6-3 漏えい等事案が発覚した場合に講ずべき措置 ···························································· 113
3-6-4 個人情報保護委員会又は委任を受けた総務大臣等への報告（ガイドライン第 16 条第１項関係） ····························································································································· 113
3-6-5 本人への通知（ガイドライン第 16 条第６項関係）··················································· 121

2電気通信事業における個人情報保護指針

3-6-6 通知の例外 ··················································································································· 124
3-7 個人データの第三者への提供（ガイドライン第 17 条～第 20 条関係） ······················124
3-7-1 第三者提供の制限の原則（ガイドライン第 17 条第 1 項関係） ································ 124
3-7-2 オプトアウトによる第三者提供（ガイドライン第 17 条第 2 項～第 7 項、第 9 項関係）··············································································································································· 129
3-7-3 第三者提供の制限における通信の秘密に係る個人情報の例外（ガイドライン第 17 条
第 8 項関係） ························································································································· 138
3-7-4 第三者に該当しない場合（ガイドライン第 17 条第 10 項関係） ······························ 138
3-7-5 外国にある第三者への提供の制限（ガイドライン第 18 条関係）····························· 144
3-7-6 第三者提供に係る記録の作成等（ガイドライン第 19 条関係） ································ 153
3-7-7 第三者提供を受ける際の確認等（ガイドライン第 20 条関係） ································ 159
3-8 個人関連情報の第三者提供の制限等（第 21 条関係） ·················································166
3-8-1 第 21 条の適用の有無について···················································································· 169
3-8-2 本人の同意の取得方法 ································································································· 171
3-8-3 本人の同意等の確認の方法（第 21 条第１項、第２項関係） ···································· 172
3-8-4 提供元における記録義務（第 21 条第５項関係） ······················································ 180
3-9 保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止等（ガイドライン第 22 条～第 29 条関係） ··········································································188
3-9-1 保有個人データに関する事項の公表等（ガイドライン第 22 条関係） ····················· 188
3-9-2 保有個人データの開示（ガイドライン第 23 条関係） ··············································· 194
3-9-3 第三者提供記録の開示（第 23 条第５項、第１項～第３項関係）····························· 199
3-9-4 保有個人データの訂正等（ガイドライン第 24 条関係） ··········································· 204
3-9-5 保有個人データの利用停止等（ガイドライン第 25 条関係） ···································· 206
3-9-6 理由の説明（ガイドライン第 26 条関係） ································································· 214
3-9-7 開示等の請求等に応じる手続（ガイドライン第 27 条関係） ···································· 214
3-9-8 手数料（ガイドライン第 28 条関係）········································································· 218
3-9-9 裁判上の訴えの事前請求（ガイドライン第 29 条関係） ··········································· 219
3-10 個人情報の取扱いに関する苦情処理（ガイドライン第 30 条関係） ··························229
3-11 仮名加工情報取り扱い事業者等の義務（ガイドライン第 31 条・第 32 条関係） ······232
3-11-1 仮名加工情報の取り扱いに係る義務の考え方 ·························································· 233
3-11-2 仮名加工情報を作成する個人情報取扱事業者の義務等 ··········································· 235
3-11-3 個人情報である仮名加工情報の取扱いに関する義務等 ··········································· 241
3-11-4 個人情報でない仮名加工情報の取扱いに関する義務等（ガイドライン第 32 第 1 項・
第 2 項関係） ························································································································· 255
3-12 匿名加工情報取扱事業者等の義務（ガイドライン第 33 条～第 36 条関係） ·············258
3-12-1 匿名加工情報の取扱いに係る義務の考え方 ······························································ 258
3-12-2 匿名加工情報の適正な加工（ガイドライン第 33 条第 1 項関係） ·························· 261
3-13 業者等の義務（ガイドライン第 33 条～第 36 条関係） ·············································261

3電気通信事業における個人情報保護指針

3-13-1 事業者の義務等 ·········································································································· 261
3-13-2 匿名加工情報等の安全管理措置等（第 33 条第 2 項～第４項、同条第７項、第 36 条
関係） ···································································································································· 270
3-13-3 匿名加工情報の作成時の公表（ガイドライン第 33 条第７項関係） ······················· 274
3-13-4 匿名加工情報の第三者提供（ガイドライン第 33 条第 5 項、第 34 条関係） ·········· 276
3-13-5 識別行為の禁止（ガイドライン第 33 条第 6 項、第 35 条関係） ···························· 278
4. 学術研究機関等の責務 ···································································································282
4-1 電気通信事業者等（ガイドライン第 37 条関係） ·························································282
4-2 学術研究機関等による自主規範の策定・公表 ······························································283
5. 各種情報の取扱い（ガイドライン第 3 章関係）····························································285
5-1 通信履歴の記録（ガイドライン第 38 条関係）····························································285
5-1-1 通信履歴の記録（ガイドライン第 38 条第 1 項関係） ··············································· 285
5-1-2 通信履歴の提供（ガイドライン第 38 条第 2 項関係） ··············································· 286
5-2 利用明細（ガイドライン第 39 条関係） ······································································287
5-2-1 利用明細の記載（ガイドライン第 39 条第 1 項関係） ··············································· 287
5-2-2 利用明細の閲覧等（ガイドライン第 39 条第 2 項関係） ··········································· 287
Draft

5-3 発信者情報（ガイドライン第 40 条関係） ···································································288
5-3-1 発信者情報の通知（ガイドライン第 40 条第 1 項関係） ··········································· 288
5-3-2 発信者情報の提供（ガイドライン第 40 条第 2 項関係） ··········································· 288
5-3-3 発信者情報の提供の制限（ガイドライン第 40 条第 3 項関係） ································ 289
5-4 位置情報（ガイドライン第 41 条関係） ······································································289
5-4-1 位置情報の取得（ガイドライン第 41 条第 1 項関係） ··············································· 289
5-4-2 位置情報の利用（ガイドライン第 41 条第 2 項関係） ··············································· 292
5-4-3 不当な権利侵害を防止するために必要な措置（ガイドライン第 41 条第 3 項関係） 293
5-4-4 捜査機関の要請による位置情報の取得（ガイドライン第 41 条第 4 項関係） ·········· 294
5-4-5 救助を行う機関の要請による位置情報の取得（ガイドライン第 41 条第 5 項） ······ 294
5-5 不払い者等情報の交換(ガイドライン第 42 条関係) ·····················································295
5-5-1 不払い者等情報の交換（ガイドライン第 42 条第 1 項～第 3 項関係） ····················· 295
5-5-2 不払い者等情報の利用目的の制限（ガイドライン第 42 条第 4 項関係） ················· 296
5-5-3 不払い者等情報の適正な管理（ガイドライン第 42 条第 5 項関係） ························· 297
5-6 迷惑メール等送信に係る加入者情報（ガイドライン第 43 条関係） ····························297
5-6-1 迷惑メール等送信に係る加入者情報の交換（ガイドライン第 43 条第 1 項～第 3 項関係） ········································································································································ 297

4電気通信事業における個人情報保護指針

5-6-2 迷惑メール等送信に係る加入者情報の利用目的の制限等（ガイドライン第 43 条第 4
項～第 5 項関係） ·················································································································· 299
5-7 電話番号情報（ガイドライン第 44 条関係） ·······························································299
5-7-1 電話番号情報の電話帳への掲載等（ガイドライン第 44 条第１項） ························· 299
5-7-2 電話番号情報の提供の制限（ガイドライン第 44 条第 2 項関係） ···························· 300
5-7-3 電話番号情報の提供形態（ガイドライン第 44 条第 3 項関係） ································ 300
5-7-4 電話番号情報の外部提供（ガイドライン第 44 条第 4 項関係） ································ 301
5-7-5 電話番号情報の電話帳発行又は電話番号案内業務を行う者への提供（ガイドライン第44 条第 5 項関係) ·················································································································· 301
6. 特定利用者情報の適正な取扱い（第 4 章関係） ····························································304
6-1 情報取扱規程（第 45 条関係） ····················································································304
6-1-1 概要 ······························································································································ 304
6-1-2 特定利用者情報 ············································································································ 305
6-1-3 指定電気通信事業者 ···································································································· 307
6-1-4 情報取扱規程の策定 ···································································································· 315
6-1-5 情報取扱規程の届出 ···································································································· 316
6-1-6 情報取扱規程の変更の届出 ························································································· 317
6-2 情報取扱方針（第 46 条関係） ····················································································318
6-2-1 概要 ······························································································································ 319
6-2-2 情報取扱方針の記載内容 ····························································································· 320
6-2-3 情報取扱方針の公表方法 ····························································································· 322
6-2-4 情報取扱方針の変更 ···································································································· 323
6-3 特定利用者情報の取扱状況の評価等（第 47 条関係） ·················································324
6-3-1 概要 ······························································································································ 324
6-3-2 評価の実施 ··················································································································· 325
6-3-3 評価の結果に基づく情報取扱規程又は情報取扱方針の変更 ······································ 325
6-4 特定利用者情報統括管理者（第 48 条関係） ·······························································326
6-4-1 概要 ······························································································································ 327
6-4-2 選任の要件 ··················································································································· 327
6-4-3 特定利用者情報統括管理者の選任及び解任の届出 ····················································· 328
6-4-4 特定利用者情報統括管理者及び指定電気通信事業者の義務（第 49 条関係） ·········· 329
6-5 特定利用者情報の漏えい報告（第 50 条関係）····························································329
6-5-1 概要 ······························································································································ 330
6-5-2 報告対象 ······················································································································· 330
6-5-3 「漏えい」の考え方 ···································································································· 331
6-5-4 報告様式等 ··················································································································· 332

5電気通信事業における個人情報保護指針

7. 外部送信に係る利用者に関する情報の取扱い（第 5 章関係） ·······································336
7-1 規律の概要（第 51 条第 1 項関係） ·············································································336
7-1-1 用語の説明 ··················································································································· 337
7-1-2 対象役務（第 51 条第 1 項第 1 号～第 4 号関係） ······················································ 338
7-2 通知又は容易に知り得る状態に置く方法（第 51 条第 2 項～第 4 項関係） ·················341
7-2-1 通知又は容易に知り得る状態に置く際に共通して求められる事項（第 51 条第 2 項関係） ········································································································································ 342
7-2-2 通知の場合に特に求められる事項（第 51 条第 3 項関係） ······································· 343
7-2-3 容易に知り得る状態に置く場合に特に求められる事項（第 51 条第 4 項関係） ······ 344
7-3 通知又は容易に知り得る状態に置くべき事項（第 51 条第 5 項関係） ························345
7-3-1 通知等を行うべき事項（第 51 条第 5 項関係） ·························································· 345
7-3-2 通知等を行うことが望ましい事項 ·············································································· 347
7-4 適用除外（第 51 条第 6 項関係）·················································································347
7-4-1 利用者に通知等を行う必要まではないと考えられる情報（第 51 条第 6 項第 1 号、第2 号関係） ····························································································································· 347
7-4-2 利用者が同意している情報（第 51 条第 6 項第 3 号関係） ······································· 350
7-4-3 送信又は利用の停止を求めていない情報（第 51 条第 6 項第 4 号関係） ················· 352
8. 指針の見直し及びモニタリングの実施(ガイドライン第 52 条関連) ·······························359
Draft

9. 漏えい等の事案が発生した場合等の対応·······································································361
9-1 対象事業者からみた基本的な報告ルート ·····································································362
9-1-1 報告義務事案(法第 26 条及び個人情報保護委員会規則第 7 条に該当する場合) ······· 362
9-1-2 報告義務事案(法第 26 条及び個人情報保護委員会規則第 7 条に該当する場合) ······· 363
9-2 対象とする事案············································································································364
9-3 漏えい等事案が発覚した場合に講ずべき措置 ······························································364
9-4 報告を要しない場合 ····································································································369
10. 指導、勧告その他の措置(法第 54 条) ···········································································372
11. 参考資料：位置情報に関するプライバシーの適切な保護 ············································375
12-1 様式例① 個人情報の利用目的通知申請書（例） ·····················································377
12-2 様式例② 個人情報の利用目的の回答書（例） ·························································379
12-3 様式例③ 個人情報の開示申請書（例） ···································································380
12-4 様式例④ 個人情報の開示についてのお知らせ（例） ··············································381

6電気通信事業における個人情報保護指針

12-5 様式例⑤ 個人情報の開示及び一部非開示についてのお知らせ（例）······················382
12-6 様式例⑥ 個人情報の非開示についてのお知らせ（例） ···········································383
12-7 様式例⑦ 個人情報の訂正・追加・削除申請書（例） ··············································384
12-8 様式例⑧ 個人情報の訂正・追加・削除申請書（例） ··············································385
12-9 様式例⑨ 個人情報の第三者提供停止申請書（例） ··················································386
12-10 様式例⑩ 個人情報の訂正等措置回答書（例） ·······················································387
12-11 様式例⑪ 委任状（例） ··························································································389
12-12 様式例⑫ 個人情報の取扱いに関する事故等の報告(速報) ······································390
12-13 様式例⑬ 個人情報の取扱いに関する事故等の報告書 ············································391
改定履歴 ····························································································································396

【凡例】
「法」
「政令」
「規則」
「改正法」
「個人情報保護に関する法律についてのガイドライン(通則)」「個人情報保護に関する法律についてのガイドライン(仮名・匿名)」「個人情報保護に関する法律についてのガイドライン(外国～第三者)」「個人情報保護に関する法律についてのガイドライン(第三者確認・記録義務)」「EU 及び英国域内から十分性認定の補完的ルール」
EU

個人情報の保護に関する法律（平成 15 年法律第 57 号）
個人情報の保護に関する法律施行令（平成 15 年政令第 507 号）
個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第 3 号）
特に断りのない限り、令和３年改正法のうち、デジタル社会形成整備法第 51 条による改正に係る部分（施行日：令和 5 年４月１日）[個人情報保護委員会] 個人情報の保護に関する法律についてのガイドライン(通則編［令和 4 年 9 月 8 日一部改正］)[個人情報保護委員会] 個人情報の保護に関する法律についてのガイドライン(仮名加工情報・匿名加工情報編［令和 4 年 9 月 8 日
一部改正］)[個人情報保護委員会] 個人情報の保護に関する法律についてのガイドライン(外国にある第三者への提供編［令和 4 年 9 月 8 日一
部改正］)
[個人情報保護委員会] 個人情報の保護に関する法律についてのガイドライン(第三者提供時の確認・記録義務編［令和 4 年 9 月 8日一部改正］)[個人情報保護委員会] 個人情報の保護に関する法律に係る EU
及び英国域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール［令和 5 年 3 月一部改正］
欧州連合加盟国及び欧州経済領域（ EEA: European Economic
7電気通信事業における個人情報保護指針

GDPR

英国 GDPR

十分性認定Area）協定に基づきアイスランド、リヒテンシュタイン及びノルウェー
を含む、欧州連合（European Union）
個人データの取扱いに係る自然人の保護及び当該データの自由な移転並びに指令 95/46/EC の廃止に関する欧州議会及び欧州理事 会 規 則 （ 一 般 デ ー タ 保 護 規 則 ） （ REGULATION OF THE
EUROPEAN PARLIAMENT AND OF THE COUNCIL on theprotection of natural persons with regard to the processing of
personal data and on the free movement of such data, andrepealing Directive 95/46/EC （ General Data Protection
Regulation））
個人データの取扱いに係る自然人の保護及び当該データの自由な移転に関する 2016 年４月 27 日欧州議会及び欧州理事会規則（英国 一 般 デ ー タ 保 護 規 則 ） （ REGULATION OF THE EUROPEANPARLIAMENT ANDOF THE COUNCIL on the protection of natural
persons with regard to the processing of personal data and on thefree movement of such data （ United Kingdom General
DataProtection Regulation））
GDPR 第 45 条に基づき、欧州委員会が、国又は地域等を個人データについて十分な保護水準を確保していると認める決定及び英国においてこれに相当する決定
Draft【参考資料】➢ 個人データの漏えい等の事案が発生した場合等の対応について [個人情報保護委
員会 平成 29 年告示第 1 号（廃止）]➢ 「個人情報の保護に関する法律についてのガイドライン」に関する Q&A [個人情報保
護委員会]
≪定義≫
➢ 個人情報取扱事業者 ：改正法施行後の法第 16 条第 2 項に定める者をいう。
➢ 電気通信事業者：電気通信事業法第 2 条第 4 号に定める電気通信事業を行う者をいう。
➢ 対象事業者：電気通信個人情報保護推進センターの認定業務の対象となる電気通信事業者及び電気通信事業関連 8 団体1のいずれかに属し、同認定業務の対象となる事業者をいう。

1

電気通信事業関連 8 団体とは、一般社団法人電気通信事業者協会、一般社団法人テレコムサービス協会、一般社団法人日本インターネットプロバイダー協会、一般社団法人日本ケーブルテレビ連盟、一般社団法人情報通信エンジニアリング協会、一般社団法人情報通信設備協会、一般社団法人全国携帯電話販売代理店協会、一般社団法人情報通信ネットワーク産業協会の各団体をいう。

8

電気通信事業における個人情報保護指針※特に断りのない限り、本指針において示す個人情報の保護に関する法律の条番号は、
令和３年改正法のうち、デジタル社会形成整備法第 51 条による改正に係る部分の施行日（令和 5 年４月１日）時点の条番号を示すものとする。
その他の法令に係る条文は、「電気通信事業における個人情報保護に関するガイドライン（令和 5 年 6 月 16 日時点 個人情報保護委員会・総務省告示第 5 号）」、「同 解説」の条番号を示すものとする。

9

電気通信事業における個人情報保護指針

電気通信事業における個人情報保護指針
一般財団法人日本データ通信協 会
電気通信個人情報保護推進センター
改定：平成 29 年 5 月 30 日
最終改定：令和 5 年 6 月 16 日
はじめに
平成 17 年 4 月 1 日に個人情報の保護に関する法律（平成 15 年法律第 57 号。以下
「法」という。）が全面施行されたのを受けて、一般財団法人日本データ通信協会(以下「当協会」という。)は、電気通信事業者の個人情報の適正な取扱いの確保を目的として、電気通信事業者の個人情報の取扱いに関する苦情の処理、個人情報の適正な取扱いの確保に寄与する事項についての電気通信事業者に対する情報の提供等の業務を行うこととし、同年同月、法に基づき認定個人情報保護団体として、総務大臣及び経済産業大臣の認定を受けた。
当協会は、認定個人情報保護団体として、先の改正法全面施行に合わせて、電気通信
Draft

事業者における個人情報の適正な取扱いの確保のために、個人情報保護法第 53 条（個人情報保護指針：認定当時の条文番号）に基づき、「電気通信事業における個人情報保護指針」(以下「本指針」という。) の内容を見直し、個人情報保護委員会へ提出した。
本指針の構成は、法及び「個人情報の保護に関する法律についてのガイドライン(通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編、仮名加工情報・匿名加工情報編、認定個人情報保護団体編)」を踏まえて策定された「電気通信事業における個人情報保護に関するガイドライン」（令和 4 年個人情報保護委員会・総務省告示第 4 号（最終改正令和５年個人情報保護委員会・総務省告示第５号））及びその解説(以下「ガイドライン等」という。) の趣旨に沿い、さらに必要に応じて「個人情報の保護に関する法律についてのガイドライン (通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編、仮名加工情報・匿名加工情報編、認定個人情報保護団体
編)」及び、「個人情報の保護に関する法律に係る EU 及び英国域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール」等から引用している。そのうえ
で、本指針では、対象事業者が適切な個人情報の取扱いを行う際に守ることが望ましい事
項を、「認定個人情報保護団体の考え方及び例示」として、「ガイドライン等」の内容を補足する形で盛り込んでいる。特に、例示として取り上げた中の『好ましくない事例』とは、これ10電気通信事業における個人情報保護指針に該当している場合には、法や「ガイドライン等」の規定に違反することとなるものであり、厳に避けるべきものである。
法は、認定個人情報保護団体に対して、対象事業者に個人情報保護指針を遵守させる
ため必要な指導、勧告その他の措置をとるよう求めており、対象事業者(電気通信事業を行っている事業者)は、「ガイドライン等」と併せ、本指針を守らなければならない。
本指針は、「ガイドライン等」の内容を含んでおり、本指針を読めば、これらの内容を網羅的に理解できる体裁となっている。
なお、本指針については、対象事業者(電気通信事業を行っている事業者)に対する個
人情報保護推進に資するため、改正法施行状況を踏まえつつ、適宜、内容を充実(例：各種申請様式見本の充実等)させていく予定である。

【本指針に関する問合せ先】
一般財団法人日本データ通信協会 電気通信個人情報保護推進センター
E-Mail： pi-ict@dekyo.or.jp≪本指針の構成・表記について≫
電気通信事業における個人情報保護指針「ガイドライン等」又は「個人情報の保護に関する法律についてのガイドライン（通則編他）」(個人情報保護委員会)を引用している箇所 (字体は明朝体) 。
但し、3.は「関係法令・政令」、「ガイドライン（本文条文）」、「ガイドライン（解説）」の順。

(ガイドライン(本文条文))○○○○○○○○○○○○○○○○○(ガイドライン解説)○○○○○○○○○○○○○○…

(関連法令・政令)認定個人情報保護団体として～認定個人情報保護団体としての考え方及び例示等の箇所(字体は太ゴシ
ック体)。

○○○○○○○○○○○○○○○○○○○○○○○○○○○○○○○○○○○○○○○○○○…

11電気通信事業における個人情報保護指針

1. 目的及び適用対象

Draft

12

電気通信事業における個人情報保護指針

1. 目的及び適用対象
1-1 目的（ガイドライン第 1 条関係）

ガイドライン第 1 条
本ガイドラインは、電気通信事業の公共性及びデジタル社会の進展に伴い個人情報の利用が著しく拡大していることに鑑み、通信の秘密に属する事項その他の個人情報の適正な取扱いに関し、電気通信事業者の遵守すべき基本的事項を定めることにより、電気通信役務の利便性の向上を図るとともに、利用者の権利利益を保護することを目的とする。

電気通信事業は、通信の秘密と直接関わる事業であって極めて高い公共性を有しており、また、プライバシー保護を必要とする情報を取り扱うことも想定されることから、そこで取り扱われる個人情報を保護する必要性は大きい。また、電気通信役務の高度化・多様化は、大量かつ高度に処理された情報の迅速かつ広範囲な流通・利用を可能とする
デジタル社会を実現し、その結果、国民生活に大きな利便性をもたらしているが、その反面、これらの電気通信役務の提供に伴い取得される個人情報が不適正な取扱いをされたり、これらの電気通信役務を利用して個人情報が不適正な取扱いをされたりすると、個人に取り返しのつかない被害を及ぼすおそれがある。
こうしたことを踏まえ、本ガイドラインは、法及び法第 7 条第 1 項の規定に基づく「個人情報の保護に関する基本方針」（平成 16 年 4 月閣議決定。平成 30 年 6 月 12 日一部
変更。）、通信の秘密に係る電気通信事業法（昭和 59 年法律第 86 号）第 4 条その他の関連規定並びにプライバシー保護の観点を踏まえ、電気通信事業者に対し、通信の秘密に属する事項その他の個人情報の適正な取扱いについてできるだけ具体的な指針を示すことにより、その範囲内での自由な流通を確保して電気通信役務の利便性の向上を図るとともに、利用者の権利利益を保護することを目的として、法第 6 条及び第 9 条並びに電気通信事業法の関連規定に基づき具体的な指針として定めるものであり、第 1 章（第 1 条から第 3 条まで）から第 3 章（第 38 条から第 44 条まで）まで及び第 6 章（第 52条）は個人情報保護委員会及び総務省が所管するものである。
また、近年の情報通信分野における技術の進展に伴い、電気通信事業者が取り扱う利用者に関する情報が多様化するとともに、多様な電気通信役務の普及が進み、国民生
活や社会経済活動において極めて重要な役割を果たす電気通信役務も数多く出現してきている状況にあり、利用者が安心してサービスを利用できるよう、利用者に関する情報の適切な取扱いを確保していくことが重要である。
このような状況を踏まえ、電気通信事業法の一部を改正する法律（令和 4 年法律第 70号）により、特定利用者情報の適正な取扱い及び外部送信に関する規律が導入されたことに伴い、これらの規律に関連する規定に基づき具体的な指針として第 4 章（第 45 条から第 50 条まで）及び第 5 章（第 51 条）を定めるものであり、これらの章においては法人その他の団体に関する情報も対象とし、これらの章は総務省が所管するものである。
13

電気通信事業における個人情報保護指針

本ガイドラインの中で、「しなければならない」及び「してはならない」と記述している事項については、これらに従わなかった場合、法又は電気通信事業法違反と判断される可能性がある。
一方、「適切である」、「努めなければならない」、「望ましい」等と記述している事項については、これらに従わなかったことをもって直ちに法又は電気通信事業法違反と判断されることはないが、「個人情報は、個人の人格尊重の理念の下に慎重に取り扱われるべきものであることにかんがみ、その適正な取扱いが図られなければならない。」とする法の基
本理念（法第 3 条）及び電気通信事業法の目的（同法第１条）を踏まえ、電気通信事業者の特性や規模に応じ可能な限り遵守に努めるものとする。もっとも、法の目的（法第 1条）及び電気通信事業法の目的（同法第 1 条）の趣旨に照らして、公益上必要な活動や正当な事業活動等までも制限するものではない。
本ガイドラインにおいて記述した具体例は、電気通信事業者の理解を助けることを目的として典型的なものを示したものであり、全ての事案を網羅したものでなく、記述した内容に限定する趣旨で記述したものでもない。また、記述した具体例においても、個別ケース
によっては別途考慮すべき要素もあり得るので注意を要する。
なお、認定個人情報保護団体（※）が個人情報保護指針を作成又は変更し、また、事業者団体等が事業の実態及び特性を踏まえ、当該事業者団体等の会員企業等を対象とした自主的ルール（事業者団体ガイドライン等）を作成又は変更することもあり得るが、その場合は、認定個人情報保護団体の対象事業者や事業者団体等の会員企業等は、
個人情報の取扱いに当たり、法及び本ガイドラインに加えて、当該指針又はルールに沿った対応を行う必要がある。特に、認定個人情報保護団体においては、認定個人情報保護団体が対象事業者に対し個人情報保護指針を遵守させるために必要な措置をとらなければならないこととされていることを踏まえることも重要である（法第 54 条第 4 項参照）。
Draft（※）認定個人情報保護団体制度については、個人情報保護委員会が定める「個人情報の保護に関する法律についてのガイドライン（認定個人情報保護団体編）」（令和3 年個人情報保護委員会告示第 7 号）を参照のこと。
（参考）
法第 1 条
この法律は、デジタル社会の進展に伴い個人情報の利用が著しく拡大していることに鑑み、個人情報の適正な取扱いに関し、基本理念及び政府による基本方針の作成
その他の個人情報の保護に関する施策の基本となる事項を定め、国及び地方公共団
体の責務等を明らかにし、個人情報を取り扱う事業者及び行政機関等についてこれらの特性に応じて遵守すべき義務等を定めるとともに、個人情報保護委員会を設置することにより、行政機関等の事務及び事業の適正かつ円滑な運営を図り、並びに個人情
14電気通信事業における個人情報保護指針

報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであることその他の個人情報の有用性に配慮しつ
つ、個人の権利利益を保護することを目的とする。
法第 3 条
個人情報は、個人の人格尊重の理念の下に慎重に取り扱われるべきものであることに鑑み、その適正な取扱いが図られなければならない。
法第 6 条
政府は、個人情報の性質及び利用方法に鑑み、個人の権利利益の一層の保護を図るため特にその適正な取扱いの厳格な実施を確保する必要がある個人情報について、保護のための格別の措置が講じられるよう必要な法制上の措置その他の措置を講ずるとともに、国際機関その他の国際的な枠組みへの協力を通じて、各国政府と共同して国際的に整合のとれた個人情報に係る制度を構築するために必要な措置を講ずるものとする。
法第９条
国は、地方公共団体が策定し、又は実施する個人情報の保護に関する施策及び国民又は事業者等が個人情報の適正な取扱いの確保に関して行う活動を支援する
ため、情報の提供、事業者等が講ずべき措置の適切かつ有効な実施を図るための指針の策定その他の必要な措置を講ずるものとする。
法第 47 条１ 個人情報取扱事業者、仮名加工情報取扱事業者又は匿名加工情報取扱事業者（以下この章において「個人情報取扱事業者等」という。）の個人情報、仮名加工
情報又は匿名加工情報（以下この章において「個人情報等」という。）の適正な取扱いの確保を目的として次に掲げる業務を行おうとする法人（法人でない団体で代表者又は管理人の定めのあるものを含む。次条第３号ロにおいて同じ。）は、個
人情報保護委員会の認定を受けることができる。
（１）業務の対象となる個人情報取扱事業者等（以下この節において「対象事業者」という。）の個人情報等の取扱いに関する第五十三条の規定による苦情の処
理（２） 個人情報等の適正な取扱いの確保に寄与する事項についての対象事業者に対する情報の提供（３） 前 2 号に掲げるもののほか、対象事業者の個人情報等の適正な取扱いの確保に関し必要な業務
２ 前項の認定は、対象とする個人情報取扱事業者等の事業の種類その他の業務の範囲を限定して行うことができる。
15

電気通信事業における個人情報保護指針

３ 第１項の認定を受けようとする者は、政令で定めるところにより、個人情報保護委
員会に申請しなければならない。
４ 個人情報保護委員会は、第一項の認定をしたときは、その旨（第２項の規定により業務の範囲を限定する認定にあっては、その認定に係る業務の範囲を含む。）を公示しなければならない。
法第 54 条（第 4 項）
1 認定個人情報保護団体は、前項の規定により個人情報保護指針が公表されたときは、対象事業者に対し、当該個人情報保護指針を遵守させるため必要な指導、勧告その他の措置をとらなければならない。

1-2 適用対象（ガイドライン第 2 条第 1 項関係）

ガイドライン第 2 条（第 1 項）
1

本ガイドラインの規定は、個人情報の適正な取扱いに関し、電気通信事業者の遵守すべき基本的事項を定めるものとして、解釈され、及び運用される。

本ガイドライン第 2 章（第 4 条から第 37 条まで）、第 3 章（第 38 条から第 44 条まで）及び第 6 章（第 52 条）は、電気通信事業者の業種・規模等を問わず、法の適用対象である個人情報取扱事業者、個人関連情報取扱事業者、仮名加工情報取扱事
業者又は匿名加工情報取扱事業者（以下「個人情報取扱事業者等」という。）に該当
する電気通信事業者に適用される。
Draft

外国にある個人情報取扱事業者等（※1）が、日本の居住者等国内にある者（※2）
に対する物品又は役務の提供（※3）に関連して、国内にある者を本人とする個人情報、当該個人情報として取得されることとなる個人関連情報又は当該個人情報を用いて作成された仮名加工情報若しくは匿名加工情報を、外国において取り扱う場合には、法が適用される（※4）。なお、域外適用の対象となる場合には、外国にある個
人情報取扱事業者等がこれらの情報を本人から直接取得して取り扱う場合に限られず、本人以外の第三者から提供を受けて取り扱う場合も含まれる。
【域外適用の対象となる事例】
事例 1） 外国のインターネット通信販売事業者が、日本の消費者に対する商品の販売・配送に関連して、日本の消費者の個人情報を取り扱う場合
事例 2） 外国のメールサービス提供事業者が、日本の消費者に対するメールサー
ビスの提供に関連して、日本の消費者の個人情報を取り扱う場合
事例 3） 外国のホテル事業者が、日本の消費者に対する現地の観光地やイベント等に関する情報の配信等のサービスの提供に関連して、日本にある旅行会
社等から提供を受けた日本の消費者の個人情報を取り扱う場合
16電気通信事業における個人情報保護指針

事例 4） 外国の広告関連事業者が、日本のインターネット通信販売事業者に対し、当該インターネット通信販売事業者による日本の消費者に対するキャンペー
ン情報の配信等のサービスの提供に関連して、当該インターネット通信販売
事業者が保有する日本の消費者の個人データと結び付けることが想定される個人関連情報を提供する場合
事例 5） 外国のアプリ提供事業者が、日本の消費者に対するサービスの提供に関連して、新サービスの開発のために、日本の消費者の個人情報を用いて作成された仮名加工情報を取り扱う場合
事例 6） 外国のインターネット通信販売事業者が、日本の消費者に対する商品の販売又はサービスの提供に関連して、傾向分析等を行うために、日本の消費者の個人情報を用いて作成された匿名加工情報を取り扱う場合
事例 7) 外国のプラットフォーム事業者が、日本の利用者と日本のサービス提供者
間又は日本の利用者と外国のサービス提供者間のサービス提供を相互のメッセージのやりとりを通じて仲介することに関連して、日本の利用者の個人情報を取り扱う場合【域外適用の対象とならない事例】
事例） 外国にある親会社が、グループ会社の従業員情報の管理のため、日本にある子会社の従業員の個人情報を取り扱う場合（※5）（※1）外国にのみ活動拠点を有する個人情報取扱事業者等（日本から海外に活動拠点を移転した個人情報取扱事業者等を含む。）に限られず、 例えば、日本に支店や営業所等を有する個人情報取扱事業者等の外国にある本店、日本に本店を有する個人情報取扱事業者等の外国にある支店や営業所等も含まれる。
（※2）「物品又は役務の提供」の対象となる「国内にある者」と「個人情報」の本人である「国内にある者」については、必ずしも同一である 必要はない。例えば、外国にある個人情報取扱事業者が、国内にある者 A を本人とする個人情報が記載された名簿を国内にある者 B に販売することに関連して、当該個人情報を取り扱う場合、域外適用の対象となる。
（※3）「物品又は役務の提供」に対して、本人から対価が支払われるか否かは問わない。
（※4）法第 171 条により法の適用を受ける外国事業者が、法に違反した場合には、個人情報保護委員会が指導、助言、勧告又は命令等を行うことができる。
（※5）日本にある子会社が外国にある親会社に対して従業員の個人データを提供するためには、法第 28 条に従い、本人の同意を取得するなど外国にある第三者に個人データを提供するための措置を講ずる必要がある。詳細については、個
人情報保護委員会が定める「個人情報の保護に関する法律についてのガイドラ
イン（外国にある第三者への提供編）」（平成 28 年個人情報保護委員会告示第７号）を参照のこと。
17

電気通信事業における個人情報保護指針「個人情報保護に関する法律についてのガイドライン(外国〜第三者)」より≪同ガイドライン「4-2-12 外国にある第三者への提供の制限（法第 28 条の趣旨に沿った措置）」から引用≫【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客データの入力業務を委託する場合
委託契約により外国にある事業者からの個人データの第三者提供を禁止する。外国にある事業者から更に外国にある第三者に個人データの取扱いを再委託する場合には、法第 25 条の委託先の監督義務（4-2-9）のほか、法第 4 章第 2 節の規定の趣旨に沿った措置の実施を確保する。
【事例 2】日本にある個人情報取扱事業者が、外国にある親会社に従業員情報を提供する場合
内規等により外国にある親会社からの個人データの第三者提供を禁止する。外国にある親会社から更に他の国にある子会社等に個人データを移転する場合にも、内規等により法第 4 章第 2 節の規定の趣旨に沿った措置の実施を確保する。
「外国にある第三者」から、別の「外国にある第三者」（提供元である外国にある第三者と同一の国内にある第三者を含む。）に提供する際には、同ガイドライン「2．総論」の整理に沿って、対応をしなければならない。
Draft

1-3 適用関係（ガイドライン第 2 条第 2 項、第 3 項関係）

ガイドライン第 2 条（第 2 項、第 3 項）
2 電気通信事業者は、個人情報の保護に関する法律（平成 15 年法律第 57 号。
以下「法」という。）の規定及び通信の秘密に係る電気通信事業法（昭和 59 年法
律第 86 号）第 4 条その他の関連規定を遵守するほか、本ガイドラインの規定に従い個人情報を適正に取り扱わなければならない。
3 電気通信事業者は、第 2 章に規定する個人情報の取扱いに関する共通原則を遵守するほか、第 3 章から第 5 章までの規定に従い利用者に関する情報を適正に取り扱わなければならない。
本ガイドラインは、電気通信事業者に対する法の適用の基準を明らかにするとともに、通信の秘密に係る電気通信事業法第 4 条その他の関連規定を踏まえ、特に個人情報の適正な取扱いの厳格な実施を求められる電気通信事業者が、個人情報の取扱いに当たり遵守すべき基本的事項を明らかにするものである。また、本ガイドラ
インは、「個人情報の保護に関する法律についてのガイドライン」（平成 28 年個人情報保護委員会告示第 6 号から第 9 号まで及び令和 3 年個人情報保護委員会告示
第 7 号）の規定に準拠しつつ、通信の秘密その他の電気通信事業に特有の事情等
18電気通信事業における個人情報保護指針に鑑み必要となる規定も併せて、電気通信事業者に適用される規律を示したものとなっている。
本ガイドラインにおいて特に定めのない部分については、「個人情報の保護に関する法律についてのガイドライン」（平成 28 年個人情報保護委員会告示第 6 号から第 9 号まで及び令和 3 年個人情報保護委員会告示第 7 号）が適用される。
なお、EU 及び英国域内から十分性認定（EU にあっては GDPR（※）第 45 条に基づき、欧州委員会が、国又は地域等を個人データについて十分な保護水準を確保していると認める決定をいい、英国にあってはこれに相当する決定をいう。）により移転を受けた個人データを取り扱う場合には、個人情報保護委員会が定める「個人情報の保護に関する法律に係る EU 及び英国域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール」（平成 30 年個人情報保護委員会
告示第 4 号）を参照のこと。
一方、通信の秘密に係る電気通信事業法第 4 条その他の関連規定については、通信の秘密に属する事項が、個人の情報であるか、法人その他の団体の情報であるかの区別なく保護されるものであることから、法人その他の団体に関するものも保護の対象となる（下図参照）など、その対象及び 規律の内容について、本ガイドラインの範囲を超える場合がある。
また、第 3 章（第 38 条から第 44 条まで）の規定は、第 2 章（第 4 条か ら第 37条まで）の規定の特則的な規定であり、第 3 章（第 38 条から第 44 条まで）に規定
する各種情報に特に規定されていない事項については、第 2 章（第 4 条から第 37条まで）の規定によることとする。

図表 1

通
信
の
秘
密
の
保
護
の
対
象

●個人情報と通信の秘密との関係

法人等情報
個人情報
個々の通信とは無関係の契約者の住所・氏名
通 信 の 秘 密
通 信 の 内 容
着信番
号
通 信 年 月 日
等
料 金 支 払 方 法
料 金 滞 納 額
等

19

個
人
情
報
保
護
の
対
象

電気通信事業における個人情報保護指針

2. 定義

Draft

20

電気通信事業における個人情報保護指針

2. 定義
2-1 電気通信事業者等（ガイドライン第 3 条関係）

ガイドライン第 3 条
本ガイドラインにおいて使用する用語は、法第 2 条及び第 16 条において使用する用語の例によるほか、次の各号に掲げる用語の意義は、当該各号に定めるところによる。
(1) 電気通信 電気通信事業法第 2 条第 1 号に規定する電気通信をいう。
(2) 電気通信設備 電気通信事業法第 2 条第 2 号に規定する電気通信設備をいう。
(3) 電気通信役務 電気通信事業法第 2 条第 3 号に規定する電気通信役務をいう。
(4) 電気通信サービス 電気通信事業者が業務として提供する電気通信役務及びこれに付随するサービスをいう。
(5) 電気通信事業者 電気通信事業（電気通信事業法第 2 条第 4 号に規定する電気通信事業をいう。）を行う者をいう。
(6) 指定電気通信事業者 電気通信事業法第 27 条の 5 の規定により指定された電気通信事業者をいう。
(7) 利用者 電気通信事業法第 2 条第 7 号に規定する利用者をいう。
(8) 加入者 電気通信事業者との間で電気通信役務の提供を受ける契約を締結する者をいう。
(9) 特定利用者情報 電気通信事業法第 27 条の 5 に規定する特定利用者情報をいう。
本ガイドラインで使用する用語は、電気通信事業を行う者が取り扱う個人情報を広く対象とするため、電気通信事業法の用語の例とは必ずしも一致しない。
「電気通信」とは、有線、無線その他の電磁的方式により、符号、音響又は影像を送り、伝え、又は受けることと定義されている（電気通信事業法第 2 条第 1 号）。
「電気通信設備」とは、電気通信を行うための機械、器具、線路その他の電気的設備と定義されている（電気通信事業法第 1 条第 2 号）。第 5 章（第 51 条）における「端末設備」は、電気通信設備に該当する。
「電気通信役務」とは、電気通信設備を用いて他人の通信を媒介し、その他電気通信設備を他人の通信の用に供することと定義されている（電気通信事業法第 2 条第 3項）。
「電気通信サービス」とは、電気通信事業者が他人の需要に応じて提供する電気通信役務以外にも、これに付随するサービスも含む。電気通信役務に付随するサービス
としては、電気通信役務と一体的に提供されていて切り離すことができないサービス（ネットワークでのフィルタリング、ルータ等接続機器の貸与、システムの開発・保守等）
21

電気通信事業における個人情報保護指針

や電気通信事業者が提供する電気通信役務の利用を前提としているサービス（端末の位置検索、セキュリティ、決済代行、端末の販売・保証、アプリケーションソフトウェ
ア・動画・音楽配信、電子マネーポイント還元サービス、電話帳発行業務等）が該当する。
また、上記以外にも、電気通信事業者が提供する電気通信役務に係る個人情報と同じ ID 等で紐付けを行う場合においては、電気通信サービスに該当する。
「電気通信事業者」とは、電気通信事業法上は、電気通信事業を営むことについて、登録、届出という行政上の手続を経た者をいうが、同じサービスを提供しながら本来行
わなければならない手続を経ていないという理由でガイドラインの対象外となるのは不合理であることから、本ガイドラインでは、こうした手続の有無にかかわらず、電気通信事業
法上の電気通信事業を行う者を対象とする。なお、電気通信事業法の適用除外とされている同法第 164 条第 1 項各号に定める事業を営む者についても、同法第 4 条（秘密の保護）の規定の適用があり個人情報保護の必要性に差はないことから、本ガイドラインの対象とする。また、営利を目的とせずに電気通信事業を行う者についても、個人情報を適正に取り扱うことは求められることから、本ガイドラインの対象とする。ただし、第 5 章（第 51 条）は、電気通信事業法第 165 条第 2 項に基づき、営利を目的としない地方公共団体は対象にならない。また、同章は、電気通信事業法第 27 条の 12 柱書きに基づ
き、電気通信事業を営んでいない電気通信事業者も、同様に対象にならない。
なお、電気通信事業法の規律は事業規模にかかわらず及ぶことから、本ガイドライン
で電気通信事業者に求められる措置は、事業規模にかかわらず同じとなる（ただし、第4 章（第 45 条から第 50 条まで）に定めるものを除く。）。
「指定電気通信事業者」とは、第 4 章（第 45 条から第 50 条まで）における特定利用者情報の適正な取扱いに関する規律の適用を受ける電気通信事業者をいう。
「利用者」とは、電気通信事業者若しくは電気通信事業法第 164 条第 1 項第 3 号に掲げる電気通信事業（以下「第三号事業」という。）を営む者との間に電気通信役務の提供を受ける契約を締結する者等又は電気通信事業者若しくは第三号事業を営む者から
電気通信役務（これらの者が営む電気通信事業に係るものに限る。）の提供を受ける者と定義されている（電気通信事業法第 2 条第 7 号）。ただし、第 4 章（第 45 条から第 50条まで）における「利用者」は、同章における内容に従う。
「加入者」とは、電気通信事業者との間で電気通信役務の提供を受ける契約を締結
する者をいう。
「特定利用者情報」とは、指定電気通信事業者が適正に取り扱う義務を負う情報をい
う。
Draft

電気通信役務を提供する事業の事例等については、「電気通信事業参入マニュアル[追補版]」（平成 17 年 8 月 18 日策定）
(https://www.soumu.go.jp/main_content/000477428.pdf）
及び「電気通信事業参入マニュアル（追補版）ガイドブック」（令和 4 年 4 月 14 日策定）
（https://www.soumu.go.jp/main_content/000799137.pdf）を参照のこと。
22

電気通信事業における個人情報保護指針（注）本ガイドラインは、電気通信事業者が提供する電気通信役務に係る個人情報を対象とするものである（※）。ただし、特に、当該個人情報を他の事業で利用する
場合について、電気通信役務に係る個人データと他の事業に係る個人データを、同じ ID 等で紐付けを行い、同じデータベースで管理する場合は、本ガイドラインの趣旨を踏まえ、適切な安全管理の下、取り扱うことが適切である。
（※）電気通信役務の提供に密接に関連する業務に係る個人情報の取扱いについて、特に必要な場合として、本ガイドラインで個別に規定している場合を含む。

2-2 個人情報（法第 2 条第１項関係）「個人情報」（※1）とは、生存する「個人に関する情報」（※2）（※3）であって、「当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができる
もの（他の情報と容易に照合することができ（※4）、それにより特定の個人を識別することができるものを含む。）」（法第 2 条第 1 項第 1 号）、又は「個人識別符号（※5）が含まれるもの」（同項第 2 号）をいう。
本ガイドラインは、死者に関する情報は、死者と生存する者の双方に関する情報を除き、対象としないが、電気通信事業者が取り扱う死者に関する情報についても適正に取り扱う必要があることは生存する者に関する情報と同様であり、死者に関する情報についても、安全管理措置の実施等基本的には生存する者に関する情報と同様に本ガイド
ラインに定める措置を講じ、適正に取り扱うことが望ましい。
なお、電気通信事業法上、通信の秘密は、通信当事者の死亡後であっても保護の対象となる。
「個人に関する情報」とは、氏名、住所、性別、生年月日、顔画像等個人を識別する情報に限られず、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化等によって秘匿化されているかどうかを問わない。
【個人情報に該当する事例】
事例 1） 本人の氏名
事例 2） 生年月日、連絡先（住所・居所・電話番号・メールアドレス）、会社における職位又は所属に関する情報について、それらと本人の氏名を組み合わせた情報
事例 3） 防犯カメラに記録された情報等本人が判別できる映像情報
事例 4） 本人の氏名が含まれる等の理由により、特定の個人を識別できる音声録
音情報23電気通信事業における個人情報保護指針

事例 5） 特定の個人を識別できるメールアドレス（kojin_ichiro@example.com 等のようにメールアドレスだけの情報の場合であっても、example 社に所属するコジ
ンイチロウのメールアドレスであることが分かるような場合等）
事例 6） 個人情報を取得後に当該情報に付加された個人に関する情報（取得時に生存する特定の個人を識別することができなかったとしても、取得後、新たな情報が付加され、又は照合された結果、生存する特定の個人を識別できる
場合は、その時点で個人情報に該当する。）
事例 7） 官報、電話帳、職員録、法定開示書類（有価証券報告書等）、新聞、ホームページ、SNS（ソーシャル・ネットワーク・サービス）等で公にされている特定の個人を識別できる情報(※1)法は、「個人情報」、「要配慮個人情報」（2-4（要配慮個人情報）参照）、「個人データ」（2-7（個人データ）参照）、「保有個人データ」（2-8（保有個人データ）参照））、「個人関連情報」（2 -9（個人関連情報）参照）、「仮名加工情報」（2-11（仮名加工情報）参照）、「匿名加工情報」（2-13（匿名加工情報）参照）等の語を使い分けており、個人情報取扱事業者等に課される義務はそれぞれ異なるので、注意を要する。
（※2）死者に関する情報が、同時に、遺族等の生存する個人に関する情報でもある場合には、当該生存する個人に関する情報に該当する。
（※3）法人その他の団体は「個人」に該当しないため、法人等の団体そのものに関する情報は「個人情報」に該当しない（ただし、役員、従業員等に関する情報
は個人情報に該当する。）。なお、「個人」は日本国民に限らず、外国人も含まれる。
（※4）「他の情報と容易に照合することができ」るとは、電気通信事業者の実態に即して個々の事例ごとに判断されるべきであるが、通常の業務における一般的な方法で、他の情報と容易に照合することができる状態をいい、例えば、他の事業者への照会を要する場合等であって照合が困難な状態は、一般に、容易に照合することができない状態であると解される。
（※5）個人識別符号については、2-3（個人識別符号）を参照のこと。
Draft

（参考）
法第 2 条（第 1 項）
1 この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
(1) 当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは

電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。次項第 2 号において同じ。）で作られる記録をいう。以下同じ。）に記載され、若しくは記録され、又は音声、動作その他の
24

電気通信事業における個人情報保護指針

方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）(2) 個人識別符号が含まれるもの

2-3 個人識別符号（法第 2 条第 2 項関係）

「個人識別符号」とは、当該情報単体から特定の個人を識別できるものとして政令に定められた文字、番号、記号その他の符号をいい、これに該当するものが含まれる情報
は個人情報となる（2-2（個人情報）参照）（※）。
具体的な内容は、政令第 1 条及び規則第 2 条から第 4 条までに定めるとおりである。
政令第 1 条第 1 号においては、同号イからトまでに掲げる身体の特徴のいずれかを電子計算機の用に供するために変換した文字、番号、記号その他の符号のうち、「特定の個人を識別するに足りるものとして個人情報保護委員会規則で定める基準に適合するもの」が個人識別符号に該当するとされている。当該基準は規則第 2 条において定められているところ、この基準に適合し、個人識別符号に該当することとなるものは次のとおりである。
イ 細胞から採取されたデオキシリボ核酸（別名 DNA）を構成する塩基の配列
ゲノムデータ（細胞から採取されたデオキシリボ核酸（別名 DNA）を構成する塩基の配列を文字列で表記したもの）のうち、全核ゲノムシークエンスデータ、全エクソームシークエンスデータ、全ゲノム一塩基多型（single nucleotide polymorphism：
SNP）データ、互いに独立な 40 箇所以上の SNP から構成されるシークエンスデー
タ、9 座位以上の 4 塩基単位の繰り返し配列（short tandem repeat：STR）等の遺伝型情報により本人を認証することができるようにしたもの
ロ

顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状によって定まる容貌
顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状から抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの

ハ

虹彩の表面の起伏により形成される線状の模様
虹彩の表面の起伏により形成される線状の模様から、赤外光や可視光等を用い、抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの
25

電気通信事業における個人情報保護指針

ニ 発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化によって定まる声の質
音声から抽出した発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化に関する特徴情報を、話者認識システム等本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの
ホ 歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様
歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様から抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの
ヘ 手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状
手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状等から、赤外光や可視光等を用い抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの
ト

指紋又は掌紋Draft（指紋）指の表面の隆線等で形成された指紋から抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの（掌紋）手のひらの表面の隆線や皺等で形成された掌紋から抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの
チ 組合せ
政令第 1 条第 1 号イからトまでに掲げるものから抽出した特徴情報を、組み合わ
せ、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの（※）「その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように」（法第 2 条第 2 項第 2 号）とは、文字、番号、記号その他の符号が利用者等によって異なるようにすることをいう。

26

電気通信事業における個人情報保護指針(参考)法第 2 条（第 2 項）
2 この法律において「個人識別符号」とは、次の各号のいずれかに該当する文字、番号、記号その他の符号のうち、政令で定めるものをいう。
(1) 特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した

文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの(2) 個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ、又は個人に発行されるカードその他の書類に記載され、若しくは電磁的方式により記録された文字、番号、記号その他の符号であって、その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され、若しくは記録されることにより、特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの
政令第 1 条
個人情報の保護に関する法律（以下「法」という。）第 2 条第 2 項の政令で定める文字、番号、記号その他の符号は、次に掲げるものとする。
(1) 次に掲げる身体の特徴のいずれかを電子計算機の用に供するために変換した

文字、番号、記号その他の符号であって、特定の個人を識別するに足りるもの
として個人情報保護委員会規則で定める基準に適合するもの
イ 細胞から採取されたデオキシリボ核酸（別名 DNA）を構成する塩基の配列
ロ 顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状によって 定まる容貌
ハ 虹彩の表面の起伏により形成される線状の模様
ニ 発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化
ホ 歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様
ヘ 手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈 の形状
ト

指紋又は掌紋(2) 旅券法（昭和 26 年法律第 267 号）第 6 条第 1 項第 1 号の旅券の番号(3) 国民年金法（昭和 34 年法律第 141 号）第 14 条に規定する基礎年金番号(4) 道路交通法（昭和 35 年法律第 105 号）第 93 条第 1 項第 1 号の免許証の番号(5) 住民基本台帳法（昭和 42 年法律第 81 号）第 7 条第 13 号に規定する住民票コード(6) 行政手続における特定の個人を識別するための番号の利用等に関する法律（平成 25 年法律第 27 号）第 2 条第 5 項に規定する個人番号27

電気通信事業における個人情報保護指針(7) 次に掲げる証明書にその発行を受ける者ごとに異なるものとなるように記載された個人情報保護委員会規則で定める文字、番号、記号その他の符号
イ 国民健康保険法（昭和 33 年法律第 192 号）第 9 条第 2 項の被保険者証
ロ 高齢者の医療の確保に関する法律（昭和 57 年法律第 80 号）第 54 条第 3項の被保険者証
ハ 介護保険法（平成 9 年法律第 123 号）第 12 条第 3 項の被保険者証(8) その他前各号に準ずるものとして個人情報保護委員会規則で定める文字、

番号、記号その他の符号
規則第 2 条
個人情報の保護に関する法律施行令（以下「令」という。）第 1 条第 1 号の個人情報保護委員会規則で定める基準は、特定の個人を識別することができる水準が確保されるよう、適切な範囲を適切な手法により電子計算機の用に供するために変換することとする。
規則第 3 条
令第 1 条第 7 号の個人情報保護委員会規則で定める文字、番号、記号その他の符号は、次の各号に掲げる証明書ごとに、それぞれ当該各号に定めるものとす
る。
Draft

(1) 令第 1 条第 7 号イに掲げる証明書 国民健康保険法（昭和 33 年法律第 192号）第 111 条の 2 第 1 項に規定する保険者番号及び被保険者記号・番号(2) 令第 1 条第 7 号ロに掲げる証明書 高齢者の医療の確保に関する法律（昭和57 年法律第 80 号）第 161 条の 2 第 1 項に規定する保険者番号及び被保険者番号(3) 令第 1 条第 7 号ハに掲げる証明書 同号ハに掲げる証明書の番号及び保険者

番号
規則第 4 条
令第 1 条第 8 号の個人情報保護委員会規則で定める文字、番号、記号その他の符号は、次に掲げるものとする。
(1) 健康保険法（大正 11 年法律第 70 号）第 3 条第 11 項に規定する保険者番号

及び同条第 12 項に規定する被保険者等記号・番号(2) 船員保険法（昭和 14 年法律第 73 号）第 2 条第 10 項に規定する保険者番号

及び同条第 11 項に規定する被保険者等記号・番号(3) 出入国管理及び難民認定法（昭和 26 年政令第 319 号）第 2 条第 5 号に規定する旅券（日本国政府の発行したものを除く。）の番号(4) 出入国管理及び難民認定法第 19 条の 4 第 1 項第 5 号の在留カードの番号28電気通信事業における個人情報保護指針(5) 私立学校教職員共済法（昭和 28 年法律第 245 号）第 45 条第 1 項に規定する保険者番号及び加入者等記号・番号(6) 国家公務員共済組合法（昭和 33 年法律第 128 号）第 112 条の 2 第 1 項に規定する保険者番号及び組合員等記号・番号(7) 地方公務員等共済組合法（昭和 37 年法律第 152 号）第 144 条の 24 の 2 第1 項に規定する保険者番号及び組合員等記号・番号(8) 雇用保険法施行規則（昭和 50 年労働省令第 3 号）第 10 条第 1 項の雇用保険被保険者証の被保険者番号(9) 日本国との平和条約に基づき日本の国籍を離脱した者等の出入国管理に関する特例法（平成 3 年法律第 71 号）第 8 条第 1 項第 3 号の特別永住者証明書の番号

2-4 要配慮個人情報（法第 2 条第 3 項関係）

「要配慮個人情報」とは、不当な差別や偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして次の（1）から（11）までの記述等が含まれる個人情報をいう。
要配慮個人情報の取得や第三者提供には、原則として本人の同意が必要であり、17条第 2 項の規定による第三者提供（オプトアウトによる第三者提供）は認められていないので、注意が必要である（3-3-3（要配慮個人情報の取得）、3-7-1（第三者提供の制限の原則）、3-7-2（オプトアウトによる第三者提供）参照）。また、要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態が生じた場合には、個人情報保護委員会に報告しなければならない（3-6-4（個人情報保護委員会又は委任を受けた総務大臣等への報告）参照）。
なお、次に掲げる情報を推知させる情報にすぎないもの（例：宗教に関する書籍の購買や貸出しに係る情報等）は、要配慮個人情報には含まない。
（1）人種
人種、世系又は民族的若しくは種族的出身を広く意味する。なお、単純な国籍や「外国人」という情報は法的地位であり、それだけでは人種には含まない。また、肌の色は、人種を推知させる情報にすぎないため、人種には含まない。
（2）信条
個人の基本的なものの見方、考え方を意味し、思想と信仰の双方を含むものである。
（3）社会的身分

29

電気通信事業における個人情報保護指針

ある個人にその境遇として固着していて、一生の間、自らの力によって容易にそれから簡単に脱し得ないような地位を意味し、単なる職業的地位や学歴は含まない。
（4）病歴
病気に罹患した経歴を意味するもので、特定の病歴を示した部分（例：特定の個人ががんに罹患している、統合失調症を患っている等）が該当する。
（5）犯罪の経歴
前科、すなわち有罪の判決を受けこれが確定した事実が該当する。
（6）犯罪により害を被った事実
身体的被害、精神的被害及び金銭的被害の別を問わず、犯罪の被害を受けた事実を意味する。具体的には、刑罰法令に規定される構成要件に該当し得る行為のうち、刑事事件に関する手続に着手されたものが該当する。
（7）身体障害、知的障害、精神障害（発達障害を含む。）その他の個人情報保護委員会
規則で定める心身の機能の障害があること（政令第 2 条第 1 号関係）
次の①から④までに掲げる情報をいう。この他、当該障害があること又は過去にあったことを特定させる情報（例：障害者の日常生活及び社会生活を総合的に支援するための法律（平成 17 年法律第 123 号）に基づく障害福祉サービスを受けていること
又は過去に受けていたこと）も該当する。
Draft①「身体障害者福祉法（昭和 24 年法律第 283 号）別表に掲げる身体上の障害」があることを特定させる情報• 医師又は身体障害者更生相談所により、別表に掲げる身体上の障害があることを診断又は判定されたこと（別表上の障害の名称や程度に関する情報を含む。）• 都道府県知事、指定都市の長又は中核市の長から身体障害者手帳の交付を受け、これを所持していること又は過去に所持していたこと（別表上の障害の名称や程度に関する情報を含む。）• 本人の外見上明らかに別表に掲げる身体上の障害があること②「知的障害者福祉法（昭和 35 年法律第 37 号）にいう知的障害」があることを特定させる情報• 医師、児童相談所、知的障害者更生相談所、精神保健福祉センター、障害者職業センターにより、知的障害があると診断又は判定されたこと（障害の程度に関する情報を含む。）• 都道府県知事又は指定都市の長から療育手帳の交付を受け、これを所持していること又は過去に所持していたこと（障害の程度に関する情報を含む。）
30

電気通信事業における個人情報保護指針③「精神保健及び精神障害者福祉に関する法律（昭和 25 年法律第 123 号）にいう精神障害（発達障害者支援法（平成 16 年法律第 167 号）第 2 条第 2 項に規定する発達障害を含み、知的障害者福祉法にいう知的障害を除く。）」があることを特定させる情報• 医師又は精神保健福祉センターにより精神障害や発達障害があると診断又は判定されたこと（障害の程度に関する情報を含む。）• 都道府県知事又は指定都市の長から精神障害者保健福祉手帳の交付を受け、これを所持していること又は過去に所持していたこと（障害の程度に関する情報を含む。）④「治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常
生活及び社会生活を総合的に支援するための法律第 4 条第 1 項の政令で定めるものによる障害の程度が同項の厚生労働大臣が定める程度であるもの」があることを特定させる情報
・ 医師により、厚生労働大臣が定める特殊の疾病による障害により継続的に
日常生活又は社会生活に相当な制限を受けていると診断されたこと（疾病の名称や程度に関する情報を含む。）（8）本人に対して医師その他医療に関連する職務に従事する者（次号において「医師等」という。）により行われた疾病の予防及び早期発見のための健康診断その他の検査（同号において「健康診断等」という。）の結果（政令第 2 条第 2 号関係）（※）
疾病の予防や早期発見を目的として行われた健康診査、健康診断、特定健康診査、健康測定、ストレスチェック、遺伝子検査（診療の過程で行われたものを除く。）等、受診者本人の健康状態が判明する検査の結果が該当する。
具体的な事例としては、労働安全衛生法（昭和 47 年法律第 57 号）に基づいて行
われた健康診断の結果、同法に基づいて行われたストレスチェックの結果、高齢者の医療の確保に関する法律（昭和 57 年法律第 80 号）に基づいて行われた特定健康診査の結果などが該当する。また、法律に定められた健康診査の結果等に限定されるものではなく、人間ドックなど保険者や事業主が任意で実施又は助成する検査の結果も該当する。さらに、医療機関を介さないで行われた遺伝子検査により得られた本人の遺伝型とその遺伝型の疾患へのかかりやすさに該当する結果等も含まれる。なお、健康診断等を受診したという事実は該当しない。
なお、身長、体重、血圧、脈拍、体温等の個人の健康に関する情報を、健康診断、診療等の事業及びそれに関する業務とは関係ない方法により知り得た場合は該当しない。
（9)健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと（政令第 2 条第 3 号関係）（※）

31

電気通信事業における個人情報保護指針「健康診断等の結果に基づき、本人に対して医師等により心身の状態の改善のための指導が行われたこと」とは、健康診断等の結果、特に健康の保持に努める必要がある者に対し、医師又は保健師が行う保健指導等の内容が該当する。
指導が行われたことの具体的な事例としては、労働安全衛生法に基づき医師又は保健師により行われた保健指導の内容、同法に基づき医師により行われた面接
指導の内容、高齢者の医療の確保に関する法律に基づき医師、保健師、管理栄養士により行われた特定保健指導の内容等が該当する。また、法律に定められた保健指導の内容に限定されるものではなく、保険者や事業主が任意で実施又は助成により受診した保健指導の内容も該当する。なお、保健指導等を受けたという事実も該当する。
「健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により診療が行われたこと」とは、病院、診療所、その他の医療を提供する施設において診療の過程で、患者の身体の状況、病状、治療状況等について、医師、歯科医師、薬剤師、看護師その他の医療従事者が知り得た情報全てを指し、例えば診療記録等がこれに該当する。また、病院等を受診したという事実も該当する。
「健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により調剤が行われたこと」とは、病院、診療所、薬局、その他の医療を提供する施設において調剤の過程で患者の身体の状況、病状、治療状況等について、薬剤師（医師又は歯科医師が自己の処方箋により自ら調剤する場合を含む。）が知り得た情報全てを指し、調剤録、薬剤服用歴、お薬手帳に記載された情報等が該当する。また、薬局等で調剤を受けたという事実も該当する。
Draft

なお、身長、体重、血圧、脈拍、体温等の個人の健康に関する情報を、健康診断、診療等の事業及びそれに関する業務とは関係のない方法により知り得た場合は該当しない。
(10）本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと（犯罪の経歴を除く。）（政令第 2 条第 4 号関係）本人を被疑者又は被告人として刑事事件に関する手続が行われたという事実が該当する。他人を被疑者とする犯罪捜査のために取調べを受けた事実や、証人として尋問を受けた事実に関する情報は、本人を被疑者又は被告人としていないことから、これには該当しない。
(11）本人を少年法（昭和 23 年法律第 168 号）第 3 条第 1 項に規定する少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと（政令第 2 条第 5 号関係）
本人を非行少年又はその疑いのある者として、保護処分等の少年の保護事件に関する手続が行われたという事実が該当する。

32

電気通信事業における個人情報保護指針（※）遺伝子検査により判明する情報の中には、差別、偏見につながり得るもの（例：将来発症し得る可能性のある病気、治療薬の選択に関する情報等）が含まれ得るが、当該情報は、「本人に対して医師その他医療に関連する職務に従事する者により行われた疾病の予防及び早期発見のための健康診断その他の検査の結果」（政令第 2 条第 2 号関係）又は「健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと」（政令第 2 条第 3 号関係）に該当し得る。
（参考）
法第 2 条（第 3 項）
3

この法律において「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見
その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。

政令第 2 条
法第 2 条第 3 項の政令で定める記述等は、次に掲げる事項のいずれかを内容とす
る記述等（本人の病歴又は犯罪の経歴に該当するものを除く。）とする。
(1) 身体障害、知的障害、精神障害（発達障害を含む。）その他の個人情報保護委

員会規則で定める心身の機能の障害があること。
(2) 本人に対して医師その他医療に関連する職務に従事する者（次号において「医師等」という。）により行われた疾病の予防及び早期発見のための健康診断その他の検査（同号において「健康診断等」という。）の結果(3) 健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しく
は調剤が行われたこと。
(4) 本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと。
(5) 本人を少年法（昭和 23 年法律第 168 号）第 3 条第 1 項に規定する少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと。
規則第 5 条
令第 2 条第 1 号の個人情報保護委員会規則で定める心身の機能の障害は、次に掲
げる障害とする。
(1)

身体障害者福祉法（昭和 24 年法律第 283 号）別表に掲げる身体上の障害
33電気通信事業における個人情報保護指針(2)

知的障害者福祉法（昭和 35 年法律第 37 号）にいう知的障害(3)

精神保健及び精神障害者福祉に関する法律（昭和 25 年法律第 123 号）にいう精神障害（発達障害者支援法（平成 16 年法律第 167 号）第 2 条第 2 項に規定する発達障害を含み、前号に掲げるものを除く。）(4)

治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生
活及び社会生活を総合的に支援するための法律（平成 17 年法律第 123 号）第4 条第 1 項の政令で定めるものによる障害の程度が同項の厚生労働大臣が定める程度であるもの「EU 及び英国域内から十分性認定の補完的ルール」より≪同ルール 「(1) 要配慮個人情報」から引用≫
EU 又は英国域内から十分性認定に基づき提供を受けた個人データに、GDPR 及び英国 GDPR それぞれにおいて特別な種類の個人データと定義されている性生活、
性的指向又は労働組合に関する情報が含まれる場合には、個人情報取扱事業者は、
当該情報について法第 2 条第 3 項における要配慮個人情報と同様に取り扱うこととする。

2-5 個人情報データベース等（法第 16 条第 1 項関係）
Draft

「個人情報データベース等」とは、特定の個人情報を、コンピュータを用いて検索することができるように体系的に構成した、個人情報を含む情報の集合物をいう。また、コン
ピュータを用いていない場合であっても、紙面で処理した個人情報を一定の規則（例えば、五十音順等）に従って整理・分類し、特定の個人情報を容易に検索することができるよう、
目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当する。
ただし、次の（1）から（3）までのいずれにも該当するものは、利用方法からみて個人の権利利益を害するおそれが少ないため、個人情報データベース等には該当しない。
(1) 不特定かつ多数の者に販売することを目的として発行されたものであって、かつ、

その発行が法又は法に基づく命令の規定に違反して行われたものでないこと。
(2) 不特定かつ多数の者により随時に購入することができ、又はできたものであること。
(3) 生存する個人に関する他の情報を加えることなくその本来の用途に供しているものであること【個人情報データベース等に該当する事例】
事例 1） 電子メールソフトに保管されているメールアドレス帳（メールアドレスと氏名を組み合わせた情報を入力している場合）
34電気通信事業における個人情報保護指針

事例 2） インターネットサービスにおいて、ユーザーが利用したサービスに係るログ情報がユーザーID によって整理され保管されている電子ファイル（ユーザー
ID と個人情報を容易に照合することができる場合）
事例 3) 従業者が、名刺の情報を業務用パソコン（所有者を問わない。）の表計算ソ
フト等を用いて入力・整理している場合
事例 4） 人材派遣会社が登録カードを、氏名の五十音順に整理し、五十音順のインデックスを付してファイルしている場合【個人情報データベース等に該当しない事例】
事例 1） 従業者が、自己の名刺入れについて他人が自由に閲覧できる状況に置いていても、他人には容易に検索できない独自の分類方法により名刺を分類した状態である場合
事例 2） アンケートの戻りはがきが、氏名、住所等により分類整理されていない状態
である場合
事例 3） 市販の電話帳、住宅地図、職員録、カーナビゲーションシステム等（参考）
法第 16 条（第 1 項）
1

この章及び第 8 章において「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるもの（利用方法からみて個人の権利利益を害する
おそれが少ないものとして政令で定めるものを除く。）をいう。
(1) 特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの(2) 前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの
政令第 4 条1

法第 16 条第 1 項の利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものは、次の各号のいずれにも該当するものとする。
(1) 不特定かつ多数の者に販売することを目的として発行されたものであって、かつ、その発行が法又は法に基づく命令の規定に違反して行われたものでないこと。
(2) 不特定かつ多数の者により随時に購入することができ、又はできたものであること。
(3) 生存する個人に関する他の情報を加えることなくその本来の用途に供しているもの

であること。
2

法第 16 条第 1 項第 2 号の政令で定めるものは、同項に規定する情報の集合物に含まれる個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成したものであって、目次、索引
35電気通信事業における個人情報保護指針

その他検索を容易にするためのものを有するものをいう。

2-6 個人情報取扱事業者（法第 16 条第 2 項・法第 2 条第 9 項、第 10 項、第 11 項・法別表第 2 関係）「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者の
うち、国の機関、地方公共団体、法第 2 条第 9 項に規定する独立行政法人等（別表第2 に掲げる法人を除く。）及び法第 2 条第 10 項に規定する地方独立行政法人（地方独立行政法人法第 21 条第 1 号に掲げる業務を主たる目的とするもの又は同条第 2 号若しくは第 3 号（チに係る部分に限る。）に掲げる業務を目的とするものを除く。）を除いた者をいう。
ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。
また、個人情報データベース等を事業の用に供している者であれば、当該個人情報
データベース等を構成する個人情報によって識別される特定の個人の数の多寡にかかわらず、個人情報取扱事業者に該当する。
なお、法人格のない、権利能力のない社団（任意団体）又は個人であっても、個人情報データベース等を事業の用に供している場合は個人情報取扱事業者に該当する。
Draft

（参考）
法第 16 条（第２項）
5 この章及び第 6 章から第 8 章までにおいて「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者をいう。ただし、次に掲げる者を除く。
(1) 国の機関(2) 地方公共団体(3) 独立行政法人等(4) 地方独立行政法人

法第 2 条（第 9 項）
9 この法律において「独立行政法人等」とは、独立行政法人通則法 （平成 11 年法律第 103 号）第 2 条第 1 項に規定する独立行政法人及び別表第 1 に掲げる法人をいう。

法第 2 条（第 10 項）
10 この法律において「地方独立行政法人」とは、地方独立行政法人法（平成 15 年
36

電気通信事業における個人情報保護指針

法律第 118 号）第 2 条第 1 項に規定する地方独立行政法人をいう。

法第 2 条（第 11 項）
11 この法律において「行政機関等」とは、次に掲げる機関をいう。
(1) 行政機関(2) 地方公共団体の機関（議会を除く。次章、第 3 章及び第 69 条第 2 項第 3 号を除き、以下同じ。）(3) 独立行政法人等（別表第 2 に掲げる法人を除く。第 16 条第 2 項第 3 号、第 63条、第 78 条第 1 項第 7 号イ及びロ、第 89 条第 4 項から第 6 項まで、第 119 条
第 5 項から第 7 項まで並びに第 125 条第 2 項において同じ。）(4) 地方独立行政法人（地方独立行政法人法第 21 条第 1 号に掲げる業務を主たる目的とするもの又は同条第 2 号若しくは第 3 号（チに係る部分に限る。）に掲げる業務を目的とするものを除く。第 16 条第 2 項第 4 号、第 63 条、第 78 条第 1
項第 7 号イ及びロ、第 89 条第 7 項から第 9 項まで、第 119 条第 8 項から第 10項まで並びに第 125 条第 2 項において同じ。）

法別表第２
名称

根拠法

沖縄科学技術大学院大学学園

沖縄科学技術大学院大学学園法

国立研究開発法人

独立行政法人通則法

国立大学法人

国立大学法人法

大学共同利用機関法人

国立大学法人法

独立行政法人国立病院機構

独立行政法人国立病院機構法（平成 14年法律第 191 号）

独立行政法人地域医療機能推進機構

独立行政法人地域医療機能推進機構
法（平成 17 年法律第 71 号）

福島国際研究教育機構

福島復興再生特別措置法

放送大学学園放送大学学園法2-7 個人データ（法第 16 条第 ３項関係）「個人データ」とは、電気通信事業者が管理する「個人情報データベース等」を構成する個人情報をいう。

37

電気通信事業における個人情報保護指針

なお、法第 16 条第 1 項及び政令第 4 条第 1 項に基づき、利用方法からみて個人の権
利利益を害するおそれが少ないため、個人情報データベース等から除かれているもの（例：
市販の電話帳・住宅地図等）を構成する個人情報は、個人データに該当しない（2-5（個人情報データベース等）参照）。
【個人データに該当する事例】
事例 1）個人情報データベース等から外部記録媒体に保存された個人情報
事例 2）個人情報データベース等から紙面に出力された帳票等に印字された個人
情報【個人データに該当しない事例】
事例） 個人情報データベース等を構成する前の入力用の帳票等に記載されている
個人情報
（参考）
法第 16 条（第 3 項）
３ この章において「個人データ」とは、個人情報データベース等を構成する個人情報
をいう。

Draft

2-8 保有個人データ（法第 16 条第４項関係）「保有個人データ」（※1）とは、電気通信事業者が、本人又はその代理人から請求される開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止の全て（以下「開示等」という。）に応じることができる権限を有する（※2）「個人データ」をいう。
ただし、個人データのうち、次に掲げるものは、「保有個人データ」ではない。
（1） 当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの（2） 当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの
事例 1）暴力団等の反社会的勢力による不当要求の被害等を防止するために電気通信事業者が保有している、当該反社会的勢力に該当する人物を本人とする個人データ事例 2）不審者や悪質なクレーマー等による不当要求の被害を防止するために電気通信事業者が保有している、当該行為を行った者を本人とする個人デー
タ

38

電気通信事業における個人情報保護指針（3） 当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機
関との交渉上不利益を被るおそれがあるもの（4） 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの
事例 1）警察から捜査関係事項照会等がなされることにより初めて取得した個人データ
事例 2）警察から契約者情報等について捜査関係事項照会等を受けた電気通信事業者が、その対応の過程で作成した照会受理簿・回答発信簿、照会対象者
リスト等の個人データ（※なお、当該契約者情報自体は「保有個人データ」に該当する。）
事例 3）犯罪による収益の移転防止に関する法律（平成 19 年法律第 22 号）第 8 条
第 1 項に基づく疑わしい取引（以下「疑わしい取引」という。）の届出の有無
及び届出に際して新たに作成した個人データ
事例 4）振り込め詐欺に利用された口座に関する情報に含まれる個人データ（※1）法は、「個人情報」（2-2（個人情報）参照）、「要配慮個人情 報」（2-4（要配慮個人情報）参照）、「個人データ」（2-7（個人データ）参照）、「保有個人データ」、「個人関連情報」（2-9（個人 関連情報）参照）、「仮名加工情報」（2-11（仮名加工情報）参 照）、「匿名加工情報」（213（匿名加工情報）参照）等の語を使い分けており、個人情報取扱事
業者等に課される義務はそれぞれ異なるので、注意を要する。
（※2）開示等の具体的な対応が必要となる場合等については、3-9-2（保有個人データの開示）以降を参照のこと。なお、個人データの取扱いについて、委託等により複数の個人情報取扱事業者が関わる場合には、契約等の実態によって、どの個人情報取扱事業者が開示等に応じる権限を有しているのかについて判断することとなる。
（参考）
法第 16 条（第４項）
４

この章において「保有個人データ」とは、個人情報取扱事業者が、開示、内容の訂
正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの以外のものをいう。

政令第５条
法第 16 条第 4 項の政令で定めるものは、次に掲げるものとする。

39

電気通信事業における個人情報保護指針(1) 当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの(2) 当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの(3) 当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しく
は国際機関との交渉上不利益を被るおそれがあるもの(4) 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの「EU 及び英国域内から十分性認定の補完的ルール」より≪同ルール 「(2) 保有個人データ」から引用≫
個人情報取扱事業者が、EU 又は英国域内から十分性認定に基づき提供を受けた
個人データについては、消去することとしている期間にかかわらず、法 16 条 4 項における保有個人データとして取り扱うこととする。
なお、EU 又は英国域内から十分性認定に基づき提供を受けた個人データであっても、「その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの」は、「保有個人データ」から除かれる（政令第 5 条 4 項）、「個人情報保護に関する法律についてのガイドライン(通則)」「2-7 保有個人データ」参照）。
Draft

2-9 個人関連情報（法第 2 条第 7 項関係）

個人関連情報とは、生存する個人に関する情報であって、個人情報、仮名加工情報
及び匿名加工情報のいずれにも該当しないものをいう。
「個人に関する情報」とは、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報である。「個人に関する情報」のうち、氏名、生年月日
その他の記述等により特定の個人を識別することができるものは、個人情報に該当する
ため、個人関連情報には該当しない。
また、統計情報は、特定の個人との対応関係が排斥されている限りにおいては、「個人に関する情報」に該当するものではないため、個人関連情報にも該当しない。

【個人関連情報に該当する事例（※）】
事例 1）Cookie 等の端末識別子を通じて収集された、ある個人のウェブサイトの閲
覧履歴事例 2）メールアドレスに結び付いた、ある個人の年齢・性別・家族構成等
事例 3）ある個人の商品購買履歴・サービス利用履歴
事例 4）ある個人の位置情報
40電気通信事業における個人情報保護指針

事例 5）ある個人の興味・関心を示す情報
事例 6）ある個人の契約者固有 ID やある個人の利用する情報端末に係る端末識別子事例 7）情報収集モジュール等を通じて収集された、ある個人のアプリケーションの利用履歴や利用者端末情報（※） 個人情報に該当する場合は、個人関連情報に該当しないことになる。例えば、
一般的に、ある個人の位置情報それ自体のみでは個人情報には該当しないものではあるが、個人に関する位置情報が連続的に蓄積される等して特定の個人を識別することができる場合には、個人情報に該当し、個人関連情報には該当しないことになる。
（参考）
法第 2 条（第 7 項）
７

この法律において「個人関連情報」とは、生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。

2-10 「個人関連情報取扱事業者」（法第 16 条第 7 項関係）

個人関連情報取扱事業者とは、個人関連情報データベース等を事業の用に供している者のうち、国の機関、地方公共団体、法第 2 条第 9 項に規定する独立行政法人等（別表第 2 に掲げる法人を除く。）及び法第 2 条第 10 項に規定する地方独立行政法人（地方独立行政法人法第 21 条第 1 号に掲げる業務を主たる目的とするもの又は同条第 2号若しくは第 3 号（チに係る部分に限る。）に掲げる業務を目的とするものを除く。）を除いた者をいう。
個人関連情報を含む情報の集合物であって、特定の個人関連情報を電子計算機を用いて検索することができるように体系的に構成したものとは、特定の個人関連情報をコン
ピュータを用いて検索することができるように体系的に構成した、個人関連情報を含む情報の集合物をいう。また、コンピュータを用いていない場合であっても、紙媒体の個人関連情報を一定の規則に従って整理・分類し、特定の個人関連情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当する。
ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営
利の別は問わない。なお、法人格のない、権利能力のない社団（任意団体）又は個人であっても、個人関連情報データベース等を事業の用に供している場合は、個人関連情報取扱事業者に該当する。

41

電気通信事業における個人情報保護指針（参考）法第 16 条（第 7 項）
６

この章、第 6 章及び第 7 章において「個人関連情報取扱事業者」とは、個人関連情報を含む情報の集合物であって、特定の個人関連情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の個人関連情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第 31条第 1 項において「個人関連情報データベース等」という。）を事業の用に供している者をいう。ただし、第 2 項各号に掲げる者を除く。

政令第 8 条
法第 16 条第 7 項の政令で定めるものは、同項に規定する情報の集合物に含まれる
個人関連情報を一定の規則に従って整理することにより特定の個人関連情報を容易に検索することができるように体系的に構成したものであって、目次、索引その他
検索を容易にするためのものを有するものをいう。

2-11 仮名加工情報（法第 2 条第 5 項関係）

仮名加工情報の定義については、個人情報保護委員会が定める「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」（平成 28 年
個人情報保護委員会告示第 9 号）を参照のこと。
Draft

（参考）
法第 2 条（第 5 項）
５

この法律において「仮名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報をいう。

（１） 第１項第１号に該当する個人情報 当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
（２） 第１項第２号に該当する個人情報 当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法
により他の記述等に置き換えることを含む。）。
「個人情報保護に関する法律についてのガイドライン(仮名・匿名)」より≪同ガイドライン「2-1-1 仮名加工情報（法第 2 条第 5 項関係）」から引用≫

42

電気通信事業における個人情報保護指針「仮名加工情報」とは、個人情報を、その区分に応じて次に掲げる措置を講じて他の情報と照合しない限り特定の個人を識別することができないように加工して得られる個人に関する情報をいう。
法第 2 条第 1 項第 1 号に該当する「当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別できるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）」である個人情報の場
合当該個人情報に含まれる記述等の一部を削除すること
法第 2 条第 1 項第 2 号に該当する「個人識別符号が含まれる」個人情報の場合
当該個人情報に含まれる個人識別符号の全部を削除すること（この措置を講じた上で、まだなお法第 2 条第 1 項第 1 号に該当する個人情報であった場合には、同号に該当する個人情報としての加工を行う必要がある。）「削除すること」には、「当該一部の記述等」又は「当該個人識別符号」を「復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む」とされている。「復元することのできる規則性を有しない方法」とは、置き換えた記述等から、置き換える前の特定の個人を識別することとなる記述等又は個人識別符号の内容を復元することができない方法である。
なお、法において「特定の個人を識別することができる」とは、情報単体又は複数の情報を組み合わせて保存されているものから社会通念上そのように判断できるものをいい、一般人の判断力又は理解力をもって生存する具体的な人物と情報の間に同一性を認めるに至ることができるかどうかによるものである。仮名加工情報に求められる「他の情報と照合しない限り特定の個人を識別することができない」という要件は、加工後の情報それ自体により特定の個人を識別することができないような状態にすることを求めるものであり、当該加工後の情報とそれ以外の他の情報を組み合わせることによって特定の個人を識別することができる状態にあることを否定するものではない。
仮名加工情報を作成するときは、法第 41 条第 1 項に規定する規則で定める基準に従って加工する必要があり、法第 2 条第 5 項に定める措置を含む必要な措置は当該規則で定めている。

2-12 仮名加工情報取扱事業者（法第 16 条第 5 項関係）

仮名加工情報取扱事業者の定義については、別途定める「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」（平成 28 年個人情報保護委員会告示第 9 号）を参照のこと。
（参考）
法第 16 条（第 5 項）
5

この章、第 6 章及び第 7 章において「仮名加工情報取扱事業者」とは、仮名加工情報を含む情報の集合物であって、特定の仮名加工情報を電子計算機を用いて検43

電気通信事業における個人情報保護指針

索することができるように体系的に構成したものその他特定の仮名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第 41条第 1 項において「仮名加工情報データベース等」という。）を事業の用に供している者をいう。ただし、第 2 項各号に掲げる者を除く。

政令第 6 条
法第 16 条第 5 項の政令で定めるものは、同項に規定する情報の集合物に含まれる
仮名加工情報を一定の規則に従って整理することにより特定の仮名加工情報を容易に検索することができるように体系的に構成したものであって、目次、索引その他
検索を容易にするためのものを有するものをいう。
「個人情報保護に関する法律についてのガイドライン(仮名・匿名)」より≪同ガイドライン「2-1-2 仮名加工情報取扱事業者（法第 16 条第 5 項関係）から引用≫「仮名加工情報取扱事業者」とは、仮名加工情報データベース等を事業の用に供している者のうち、国の機関、地方公共団体、法第 2 条第 9 項に規定する独立行
政法人等（別表第 2 に掲げる法人を除く。）及び法第 2 条第 10 項に規定する地方独立行政法人（地方独立行政法人法（平成 15 年法律第 118 号）第 21 条第 1 号に掲げる業務を主たる目的とするもの又は同条第 2 号若しくは第 3 号（チに係る部分に限る。）に掲げる業務を目的とするものを除く。）を除いた者をいう。
「仮名加工情報を含む情報の集合物であって、特定の仮名加工情報を電子計算機を用いて検索することができるように体系的に構成したもの」とは、特定の仮名加
工情報をコンピュータを用いて検索することができるように体系的に構成した、仮名加工情報を含む情報の集合物をいう。また、コンピュータを用いていない場合であっても、紙媒体の仮名加工情報を一定の規則に従って整理・分類し、特定の仮名加工
情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当する。
ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、
営利・非営利の別は問わない。なお、法人格のない、権利能力のない社団（任意団
体）又は個人であっても、仮名加工情報データベース等を事業の用に供している場
合は、仮名加工情報取扱事業者に該当する。
Draft

2-13 匿名加工情報（法第 2 条第 6 項関係）

匿名加工情報の定義については、個人情報保護委員会が定める「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」（平成 28 年
個人情報保護委員会告示第 9 号）を参照のこと。
44

電気通信事業における個人情報保護指針（参考）法第 2 条（第 6 項）
６

この法律において「匿名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個
人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。
(1) 第 1 項第 1 号に該当する個人情報 当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
(2) 第 1 項第 2 号に該当する個人情報 当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
「個人情報保護に関する法律についてのガイドライン(仮名・匿名)」より≪同ガイドライン「3-1-1 匿名加工情報（法第 2 条第 6 項関係）」から引用≫「匿名加工情報」とは、個人情報を個人情報の区分に応じて定められた措置を講じて特定の個人を識別することができないように加工して得られる個人に関する情報であって、当該個人情報を復元して特定の個人を再識別することができないようにしたものをいう。
法第 2 条第 1 項第 1 号に該当する「当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別できるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）」である個人情報の場合には、「特定の個人を識別することができないように個人情報を加工」とは、特定の個人を識別することができなくなるように当該個人情報に含まれる氏名、生年月日その他の記述等を削除することを意味する。
法第 2 条第 1 項第 2 号に該当する「個人識別符号が含まれる」個人情報の場合には、「特定の個人を識別することができないように個人情報を加工」とは、当該個人情報に含まれる個人識別符号の全部を特定の個人を識別することができなくなるように削除することを意味する（この措置を講じた上で、まだなお法第 2 条第 1 項第 1 号に該当する個人情報であった場合には、同号に該当する個人情報としての加工を行う必要がある。）。
「削除すること」には、「当該一部の記述等」又は「当該個人識別符号」を「復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む」とされている。「復元することのできる規則性を有しない方法」とは置き換えた記述から、置き換える前の特定の個人を識別することとなる記述等又は個人識別符号の内容を復元することができない方法である。
なお、法において「特定の個人を識別することができる」とは、情報単体又は複数の情報を組み合わせて保存されているものから社会通念上そのように判断できるものを
45電気通信事業における個人情報保護指針

いい、一般人の判断力又は理解力をもって生存する具体的な人物と情報の間に同一性を認めるに至ることができるかどうかによるものである。匿名加工情報に求められる「特定の個人を識別することができない」という要件は、あらゆる手法によって特定することができないよう技術的側面から全ての可能性を排除することまでを求めるものではなく、少なくとも、一般人及び一般的な事業者の能力、手法等を基準として当該情報を個人情報取扱事業者又は匿名加工情報取扱事業者が通常の方法により特定できな
いような状態にすることを求めるものである。
また、「当該個人情報を復元することができないようにしたもの」とは、通常の方法では、匿名加工情報から匿名加工情報の作成の元となった個人情報に含まれていた特定の個人を識別することとなる記述等又は個人識別符号の内容を特定すること等により、匿名加工情報を個人情報に戻すことができない状態にすることをいう。
「当該個人情報を復元することができないようにしたもの」という要件は、あらゆる手法によって復元することができないよう技術的側面から全ての可能性を排除することまでを求めるものではなく、少なくとも、一般人及び一般的な事業者の能力、手法等を基準として当該情報を個人情報取扱事業者又は匿名加工情報取扱事業者が通常の方法により復元できないような状態にすることを求めるものである。
匿名加工情報を作成するときは、法第 43 条第 1 項に規定する規則で定める基準に従って加工する必要があり、法第 2 条第 6 項に定める措置を含む必要な措置は当該規則で定めている（匿名加工情報の作成に必要な加工義務については、3-12-2（匿名加工情報の適正な加工）参照）。
なお、「統計情報」は、複数人の情報から共通要素に係る項目を抽出して同じ分類ごとに集計して得られるデータであり、集団の傾向又は性質などを数量的に把握するものである。したがって、統計情報は、特定の個人との対応関係が排斥されている限りにおいては、法における「個人に関する情報」に該当するものではないため、規制の対象外となる。
Draft「EU 及び英国域内から十分性認定の補完的ルール」より≪同ルール 「(5) 匿名加工情報」から引用≫
EU 又は英国域内から十分性認定に基づき提供を受けた個人情報については、個人情報取扱事業者が、加工方法等情報（匿名加工情報の作成に用いた個人情報から削除した記述等及び個人識別符号並びに法第 43 条第 1 項の規定により行った加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。）をいう。）を削除することにより、 匿名化された個人を再識別することを何人にとっても不可能とした場合に限り、法第 2 条 第 6 項に定める匿名加工情報とみなすこととする 。

2-14 匿名加工情報取扱事業者（法第 16条第 6 項関係）

46

電気通信事業における個人情報保護指針

匿名加工情報取扱事業者の定義については、個人情報保護委員会が定める「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」（平成 28 年個人情報保護委員会告示第 9 号）を参照のこと。
（参考）
法第 16 条（第 6 項）
この章、第 6 章及び第 7 章において「匿名加工情報取扱事業者」とは、匿名加工情報
を含む情報の集合物であって、特定の匿名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の匿名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第 43 条第 1 項において「匿名加工情報データベース等」という。）を事業の用に供している者をいう。ただし、第 2 項各号に掲げる者を除く。

政令第 7 条
法第 16 条第 6 項の政令で定めるものは、同項に規定する情報の集合物に含まれる
匿名加工情報を一定の規則に従って整理することにより特定の匿名加工情報を容易に検索することができるように体系的に構成したものであって、目次、索引その他検索を容易にするためのものを有するものをいう。
「個人情報保護に関する法律についてのガイドライン(仮名・匿名)」より≪同ガイドライン「3-1-2 匿名加工情報取扱事業者（法第 16 条第 6 項関係）から引用≫「匿名加工情報取扱事業者」とは、匿名加工情報データベース等を事業の用に供している者のうち、国の機関、地方公共団体、法第 2 条第 9 項に規定する独立行政法
人等（別表第 2 に掲げる法人を除く。）及び法第 2 条第 10 項に規定する地方独立行
政法人（地方独立行政法人法第 21 条第 1 号に掲げる業務を主たる目的とするもの又は同条第 2 号若しくは第 3 号（チに係る部分に限る。）に掲げる業務を目的とするものを除く。）を除いた者をいう。
「匿名加工情報を含む情報の集合物であって、特定の匿名加工情報を電子計算機を用いて検索することができるように体系的に構成したもの」とは、特定の匿名加工情報をコンピュータを用いて検索することができるように体系的に構成した、匿名加工情
報を含む情報の集合物をいう。また、コンピュータを用いていない場合であっても、紙媒体の匿名加工情報を一定の規則に従って整理・分類し、特定の匿名加工情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当する。
ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。なお、法人格のない、権利能力のない社団（任意団体）
47

電気通信事業における個人情報保護指針

又は個人であっても匿名加工情報データベース等を事業の用に供している場合は匿名加工情報取扱事業者に該当する。

2-15 「本人に通知」「本人に通知」とは、本人に直接知らしめることをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。
【本人への通知に該当する事例】
事例 1）ちらし等の文書を直接渡すことにより知らせること。
事例 2）口頭又は自動応答装置等で知らせること。
事例 3）電子メール、FAX 等により送信し、又は文書を郵便等で送付することにより知らせること。
（参考）
法第 21 条（第 1 項）
1 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
Draft※（参考）上記のほか、「本人に通知」に関する主な条文① 利用目的に関するもの
法第 21 条第 3 項及び第 4 項（3-1-2（利用目的の変更）、3-3-7 （利用目的の通知等をしなくてよい場合）参照）② 漏えい等に関するもの
法第 26 条第 2 項（3-6-5（本人への通知）参照）③ 個人データの第三者提供に関するもの
法第 27 条第 2 項及び第 3 項、並びに第 5 項第 3 号及び第 6 項（3-7-2（オプトアウトによる第三者提供）、3-7-4（第三者に該当 しない場合）参照）④ 外国にある第三者への提供における情報提供に関するもの
法第 28 条第 3 項並びに規則第 18 条第 4 項及び第 5 項（3-7-5（外国にある第三者への提供の制限）参照）⑤ 開示等の請求等に関するもの
法第 32 条第 2 項及び第 3 項、法第 33 条第 3 項（同条第 5 項において準用する場合を含む。）、法第 34 条第 3 項並びに法第 35 条 第 7 項（3-9-1（保有個人データに関する事項の公表等）、3-9-2 （保有個人データの開示）、3-9-3（第三者提供記録の開示）、3-9-4（保有個人データの訂正等）、
3-9-5（保有個人データの利用停止等）参照））
48

電気通信事業における個人情報保護指針

2-16 「公表」「公表」とは、広く一般に自己の意思を知らせること（不特定多数の人々が知ることができるように発表すること）をいい、公表に当たっては、事業の性質及び個人情報の取扱状況に応じ、合理的かつ適切な方法によらなければならない。
【公表に該当する事例】
事例 1）自社のホームページのトップページから 1 回程度の操作で到達できる場所への掲載
事例 2）自社の店舗や事務所等、顧客が訪れることが想定される場所におけるポス
ター等の掲示、パンフレット等の備置き・配布
事例 3）（通信販売の場合）通信販売用のパンフレット・カタログ等への掲載（参考）
法第 21 条（第 1 項）
1 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
※（参考）上記のほか、個人情報取扱事業者等による「公表」に関する主な条文① 利用目的に関するもの
法第 21 条第 3 項（3-1-2（利用目的の変更）参照）② 仮名加工情報に関するもの
法第 41 条第 4 項、第 6 項及び法第 42 条第 2 項（3-11（仮名加工情報取扱事業者等の義務）参照）③ 匿名加工情報に関するもの
法第 43 条第 3 項、第 4 項及び第 6 項、第 44 条、並びに第 46 条 （3-12（匿名加工情報取扱事業者等の義務）参照）④ その他
法第 57 条第 3 項

2-17 「本人の同意」「本人の同意」とは、本人の個人情報が、個人情報取扱事業者によって示された取扱方法で取り扱われることを承諾する旨の当該本人の意思表示をいう（当該本人であることを確認できていることが前提となる。）。

49

電気通信事業における個人情報保護指針

また、「本人の同意を得（る）」又は「本人の同意がある」とは、本人の承諾する旨の意
思表示を当該電気通信事業者が認識することをいい、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。
個別の同意がある場合だけでなく、電気通信役務の提供に関する契約約款において、個人情報の第三者提供に関する規定が定められており、当該契約約款に基づき電気通信役務の提供に関する契約を締結し（※1）、かつ当該規定が私法上有効であるとき（※2）は、「本人の同意を得（る）」又は「本人の同意がある」場合と解される。しかしながら、無制限に第三者提供を認める契約約款の規定等が、利用者の利益を阻害していると認められるときは、電気通信事業法上の業務改善命令の対象となり得る。
ただし、通信の秘密（通信内容にとどまらず、通信当事者の住所・氏名、発受信場所、
通信年月日等通信の構成要素及び通信回数等通信の存在の事実の有無を含む。）に該当する個人情報の取扱いについては、通信の秘密の保護の観点から、原則として通信当事者の個別具体的かつ明確な同意（※3）がなければ、有効な同意を取得したとはいえない。そのため、契約約款等による包括的な同意のみでは原則として有効な同意を取得したものとはいえない。もっとも、例外的に、契約約款等による包括的な同意のみしかない場合であっても、有効な同意を取得したと認められることがある（※4）。
なお、通信当事者の具体的な委任によらない代理人等の同意によることはできない。
個人情報の取扱いに関して同意したことによって生ずる結果について、未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力を有していないなどの場合は、親権者や法定代理人等から同意を得る必要がある。
Draft【本人の同意を得ている事例】
事例 1） 本人からの同意する旨の口頭による意思表示
事例 2） 本人からの同意する旨の書面（電磁的記録を含む。）の受領
事例 3） 本人からの同意する旨のメールの受信事例 4） 本人による同意する旨の確認欄へのチェック
事例 5） 本人による同意する旨のホームページ上のボタンのクリック
事例 6） 本人による同意する旨の音声入力、タッチパネルへのタッチ、ボタンやスイッチ等による入力（※1）契約約款の変更により個人情報の第三者提供に関する規定が設けられた場合であっても、当該変更が私法上有効であり変更前に契約締結を行った当事者にも変更後の規定が効力を有すると判断される場合には、「本人の同意」がある場合と解される。
(※2)民法（明治 29 年法律第 89 号）第 90 条の公序良俗に反する場合や同法第 95 条の要素の錯誤がある場合、消費者契約法（平成 12 年法律第 61 号）第 10 条の50

電気通信事業における個人情報保護指針

消費者の利益を一方的に害するものとされる場合など同意が私法上無効とされる
場合は、有効な同意があるとはいえないので、同意がある場合とはいえない。
(※3)「個別具体的」とは、個別のサービスごとに、通信の秘密の取扱いについての同意であることを本人が具体的に認識した上で行うこと、「明確」とは、画面上のクリック、
チェックボックスへのチェックや文書による同意など外部的に同意の事実が明らかであることを意味するものと解される。
(※4)契約約款等による同意になじまないとはいえない場合であって、かつ、利用者が事後的に随時、容易に同意内容を知ることができる等、利用者に将来不測の不利益が生じる恐れがない場合においては、例外的に契約約款等による包括的な同意であっても、有効な同意と認められることがある。有効な同意取得の在り方については、「同意取得の在り方に関する参照文書」（https://www.soumu.go.jp/main_content/000734726.pdf）も参照のこと。事例については、匿名化された位置情報の利用に係る 5-4-2（位置情報の利用）のほか、次の文書を参照のこと。
・「電気通信事業分野におけるプライバシー情報に関する懇談会」第 18 回（平成18 年 1 月 23 日）（https://warp.da.ndl.go.jp/info:ndljp/pid/283520/www.soumu.go.jp/joho_tsusi
n/d_syohi/060123_1.html#b）議事要旨別添
・「受信側における送信ドメイン認証技術導入に関する法的な留意点」（https://www.soumu.go.jp/main_sosiki/joho_tsusin/d_syohi/m_mail/legal.html）
7 頁以下
・「利用者視点を踏まえた ICT サービスに係る諸問題に関する研究会」第二次提言（平成 22 年 5 月）（https://www.soumu.go.jp/menu_news/snews/02kiban08_02000041.html）12 頁以下
・「電気通信事業におけるサイバー攻撃への適正な対処の在り方に関する研究会」第一次とりまとめ（平成 26 年 4 月）
（https://www.soumu.go.jp/menu_news/s-news/01ryutsu03_02000074.html）19
頁以下
・「電気通信事業におけるサイバー攻撃への適正な対処の在り方に関する研究会」第二次とりまとめ（平成 27 年 9 月）（https://www.soumu.go.jp/menu_news/s-news/01ryutsu03_02000100.html）12頁以下
・「電気通信事業におけるサイバー攻撃への適正な対処の在り方に関する研究会」第三次とりまとめ（平成 30 年 9 月）（https://www.soumu.go.jp/menu_news/s-news/01kiban18_01000049.html）12
頁以下、16 頁以下、19 頁以下、21 頁以下（参考）
法第 18 条（第 1 項）
51

電気通信事業における個人情報保護指針

1 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
※（参考）上記のほか、「本人の同意」に関する主な条文① 利用目的に関するもの
法第 18 条第 2 項及び第 3 項第 2 号から第 4 号まで（3-1-5（事業の承継）、31-6（利用目的による制限の例外）参照）② 要配慮個人情報の取得に関するもの
法第 20 条第 2 項（3-3-3（要配慮個人情報の取得）参照）③ 個人データの第三者提供に関するもの
法第 27 条第 1 項及び第 28 条（3-7-1（第三者提供の制限の原則）、3-7-5（外国にある第三者への提供の制限）参照）④ 個人関連情報の第三者提供に関するもの
法第 31 条第 1 項（3-8（個人関連情報の第三者提供の制限等）参照）

2-18 「提供」「提供」とは、個人データ、保有個人データ、個人関連情報、仮名加工情報又は匿名加工
情報を、自己以外の者が利用可能な状態に置くことをいう。個人データ、保有個人データ、
個人関連情報、仮名加工情報又は匿名加工情報が、物理的に提供されていない場合であっても、ネットワーク等を利用することにより、個人データ、保有個人データ、個人関連情報、
仮名加工情報又は匿名加工情報を利用できる状態にあれば（利用する権限が与えられていれば）、「提供」に当たる。
Draft

（参考）
法第 16 条（第 4 項）
4

この章において「保有個人データ」とは、個人情報取扱事業者が、開示、内容の訂
正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの以外のものをいう。

法第 27 条（第 1 項）
1 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、 個人データを第三者に提供してはならない。
(1)～(4) 略

52

電気通信事業における個人情報保護指針※（参考）上記のほか、「提供」に関する主な条文① 個人データの第三者提供に関するもの
法第 27 条第 2 項、第 5 項、第 28 条、第 29 条、及び第 30 条（3-7-2（オプトアウトによる第三者提供）、3-7-4（第三者に該当しない場合）、3-7-5（外国にある
第三者への提供の制限）、3-7-6（第三者提供に係る記録の作成等）、3-7-7（第三者提供を受ける際の確認等）参照）② 個人関連情報の第三者提供に関するもの
法 31 条第 1 項（3-8（個人関連情報の第三者提供の制限等）参照③ 保有個人データの第三者提供の停止に係る請求に関するもの
法 35 条第 3 項、第 4 項及び第 5 項、第 6 項及び第 7 項（3-9-5（保有個人データの利用停止等）参照）④

仮名加工情報に関するもの
法第 41 条第 6 項並びに第 42 条第 1 項及び第 2 項（3-11（仮名加工情報取扱事業者等の義務）参照）⑤

匿名加工情報に関するもの
法第 43 条第 4 項及び第 44 条（3-12（匿名加工情報取扱事業者等の義務）参照）

2-19「学術研究機関等」（法第 16 条第 8 項関係）

「学術研究機関等（※1）」とは、大学その他の学術研究（※2）を目的とする機関若しくは団体又はそれらに属する者をいう。
「大学その他の学術研究を目的とする機関若しくは団体」とは、国公立・私立大学、公益法人等の研究所等の学術研究を主たる目的として活動する機関や「学会」をいい、「それらに属する者」とは、国立・私立大学 の教員、公益法人等の研究所の研究員、学会の会員等をいう。
なお、民間団体付属の研究機関等における研究活動についても、当該機関が学術研究を主たる目的とするものである場合には、「学術研究機関等」に該当する。
一方で、当該機関が単に製品開発を目的としている場合は「学術研究を目的とする機関
又は団体」には該当しないが、製品開発と学術研究の目的が併存している場合には、主たる目的により判断する。
（※1）国公立の大学等、法別表第 2 に掲げる法人又は地方独立行政法人のうち地方独立行政法人法第 21 条第 1 号に掲げる業務を主たる目的とするもの若しくは同条第2 号若しくは第 3 号（チに係る部分に限る。）に掲げる業務を目的とするもののうち、学術研究機関等にも該当するものについては、原則として私立の大学、民間の学術研究機関等と同等の規律が適用される。
53

電気通信事業における個人情報保護指針(※2)「学術研究」については、2-20（学術研究目的）を参照のこと。
（参考）
法第 16 条（第 8 項）
8 この章において「学術研究機関等」とは、大学その他の学術研究を目的とする機関若し
くは団体又はそれらに属する者をいう。

2-20「学術研究目的」「学術」とは、人文・社会科学及び自然科学並びにそれらに応用の研究であり、あらゆる学問分野における研究活動及びその所産としての知識・方法の体系をいい、具体的活動としての「学術研究」としては、新しい法則や原理の発見、分析や方法論の確立、新しい知識やその応用法の体系化、先端的な学問領域の開拓などをいう。
なお、製品開発を目的として個人情報を取り扱う場合は、当該活動は、学術研究目的とは解されない（※）「学術研究機関等」については、2-19（学術研究機関等）を参照のこと。
（参考）法第 18 条（第 3 項第 5 号）
(5) 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学
術研究の用に供する目的（以下この章において「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）
Draft※（参考）上記のほか、「学術研究目的」に関する主な条文① 利用目的変更の制限の例外に関するもの
法第 18 条第 3 項第 6 号（3-1-6（利用目的による制限の例外）参照）② 要配慮個人情報の取得の制限の例外に関するもの
法第 20 条第 2 項第 5 号及び第 6 号（3-3-3（要配慮個人情報の取得）参照）③ 個人データの第三者提供の制限の例外に関するもの
法第 27 条第 1 項第 6 号及び第 7 号（3-7-1（第三者提供の制限の原則）参照）④ 学術研究機関等の責務に関するもの
法第 59 条（4（学術研究機関等の責務）参照）

54

電気通信事業における個人情報保護指針

3. 電気通信事業者の義務

55

電気通信事業における個人情報保護指針

3. 電気通信事業者の義務（ガイドライン第 2 章関係）
3-1 個人情報の利用目的（ガイドライン第 4 条・第 5 条、第９条第 3 項関係）
3-1-1 利用目的の特定（ガイドライン第 4 条第 1 項関係）

法第 17 条（第 1 項）
1

個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。

ガイドライン第 4 条（第 1 項）
1

電気通信事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。

電気通信事業者は、個人情報を取り扱うに当たっては、利用目的をできる限り具体的に特定しなければならないが、利用目的の特定に当たっては、利用目的を単に抽象的、一般的に特定するのではなく、個人情報が電気通信事業者において、最終的にどのような事業の用に供され、どのような目的で個人情報を利用されるのかが、本人にとって一般的かつ合理的に想定できる程度に具体的に特定することが望ましい（※１）（※２）。
なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的の特定に当たっては、その旨が明確に分かるよう特定しなければならない（37-1）（第三者提供の制限の原則）参照）。
Draft【具体的に利用目的を特定している事例】
事例） 電気通信事業者が商品の販売に伴い、個人から氏名・住所・メールアドレス等を取得するに当たり、「○○事業における商品の発送、関連するアフターサー
ビス、新商品・サービスに関する情報のお知らせのために利用いたします。」等の利用目的を明示している場合【具体的に利用目的を特定していない事例】
事例 1）「事業活動に用いるため」
事例 2）「マーケティング活動に用いるため」(※1)「利用目的の特定」の趣旨は、個人情報を取り扱う者が、個人情報 がどのような事業の用に供され、どのような目的で利用されるかについて明確な認識を持ち、できるだけ具体的に明確にすることにより、個人情報が取り扱われる範囲を確定するとともに、本人の予測 を可能とすることである。 本人が、自らの個人情報がどのように取り扱われることとなるか、利用目的から合理的に予測・想定できないような場合は、この趣旨に沿ってできる限り利用目的を特定したことにはならない。 例えば、本人から得た情報から、本人に56

電気通信事業における個人情報保護指針

関する行動・関心等の情報を分析するいわゆるプロファイリングが行われる
場合、電気通信事業者は、どのような取扱いが行われているかを本人が予測・想定できる程度に利用目的を特定しなければならない。
特に、この分析により、2-4「要配慮個人情報」(法第 2 条第 3 項関係)の項目に相当する情報が生成される場合には、あらかじめ本人の同意を得ることが望ましい。これら情報について、本人の同意を取得することなく不必
要に広告のセグメント情報として広告配信その他の行為に用いないようにすることが望ましい。
【本人から得た情報から、行動・関心等の情報を分析する場合に具体的に利用目的を特定している事例】
事例 1）「取得した閲覧履歴や購買履歴等の情報を分析して、趣味・嗜好に応じた
新商品・サービスに関する広告のために利用いたします。」
事例 2）「取得した行動履歴等の情報を分析し、信用スコアを算出した上で、当該ス
コアを第三者へ提供いたします。」（※２）定款等に規定されている事業の内容に照らして、個人情報によって識別される本人からみて、自分の個人情報が利用される範囲が合理的に予想できる程度に特定されている場合や業種を明示することで利用目的の範囲が想定される場合には、これで足りるとされることもあり得るが、多くの場合、業種の明示だけでは利用目的をできる限り具体的に特定したことにはならないと解される。
なお、利用目的の特定に当たり「○○事業」のように事業を明示する場合についても、社会通念上、本人からみてその特定に資すると認められる範囲に特定することが望ましい。
また、単に「事業活動」、「お客様のサービスの向上」等のように抽象的、一般的な内容を利用目的とすることは、できる限り具体的に特定したことにはならないと解される。

「EU 及び英国域内から十分性認定の補完的ルール」より≪同ルール 「(2) 利用目的の特定、利用目的による制限」から引用≫
個人情報取扱事業者は、法第 17 条第１項により特定した利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合は、あらかじめ本人の同意を得なければならず（法第 18 条第１項）、また、第三者から個人データの提供を受ける際は、規則で定めるところにより、当該第三者による当該個人データの取得の経緯等を確認し、記録しなければならないこととなっている（法第 30 条第 1 項・第 3 項） 。
個人情報取扱事業者が、ＥＵ又は英国域内から十分性認定に基づき個人データの提供を受ける場合、法第 30 条第 1 項及び第 3 項の規定に基づき、 ＥＵ又は英国

57

電気通信事業における個人情報保護指針

域内から当該個人データの提供を受ける際に特定された利用目的を含め、その取得の経緯を確認し、記録することとする 。
同様に、個人情報取扱事業者が、EU 又は英国域内から十分性認定に基づき移転された個人データの提供を受けた他の個人情報取扱事業者から、当該個人データの提供を受ける場合、法第 30 条第 1 項及び第 3 項の規定に基づき、当該個人データの提供を受ける際に特定された利用目的を含め、その取得の経緯を確認し、記録することとする。
上記のいずれの場合においても、個人情報取扱事業者は、法第 30 条第 1 項及び第 3 項の規定に基づき確認し、記録した当該個人データを当初又はその後提供を受ける際に特定された利用目的の範囲内で利用目的を特定し、その範囲内で当該個人データを利用することとする（法第 17 条第 1 項、法第 18 条第 1 項）。

3-1-2 利用目的の変更（ガイドライン第 4 条第 2 項、第 9 条第 3 項関係）

法第 17 条（第 2 項）
2 個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。
法第 21 条（第 3 項）
3 個人情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
Draft

ガイドライン第 4 条（第 2 項）
2 電気通信事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。
ガイドライン第 9 条（第 3 項）
電気通信事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
上記 3-1-1（利用目的の特定）により特定した利用目的は、変更前の利用目的と関連性を有すると合理的に認められる範囲、すなわち、変更後の利用目的が変更前の利用目的からみて、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内（※1）で変更することは可能である。変更された利用目的は、本人に通知（※
2）するか、又は公表（※3）しなければならない。なお、特定された利用目的（第 4 条第2 項に定める範囲で変更された利用目的を含む。）の達成に必要な範囲を超えて個人情報を取り扱う場合は、第 5 条第 1 項に従って本人の同意を得なければならない。ただし、本人の身体等の保護のために必要があり、かつ本人の同意を得ることが困難である
場合等、第 5 条第 3 項各号に掲げる場合（第 5 条第 4 項に掲げる場合（3-1-7（利58電気通信事業における個人情報保護指針

用目的による制限における通信の秘密に係る個人情報の例外）参照）を除く。）には、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱うことができる（3-1-6（利用目的による制限の例外）参照）。
（※1）「本人が通常予期し得る限度と客観的に認められる範囲」とは、本人の主観や電気通信事業者の恣意的な判断によるものではなく、一般人の判断において、当初の利用目的と変更後の利用目的を比較して予期できる範囲をいい、当初特定した利用目的とどの程度の関連性を有するかを総合的に勘案して判断される。
（※2）「本人に通知」については、2-15（本人に通知）を参照のこと。
（※3）「公表」については、2-16（公表）を参照のこと。

3-1-3 利用目的の範囲（ガイドライン第 4 条第 3 項関係）

法第 18 条（第 1 項）
1 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
ガイドライン第 4 条（第 3 項）
3 第 1 項により特定する利用目的は、電気通信サービスを提供するため必要な範囲を超えないよう努めなければならない。

第７条の個人情報の取得が電気通信サービスを提供するため必要な場合に限るとされていることを踏まえ、第 1 項の規定により特定する利用目的も電気通信サービスを提供するために必要な範囲を超えないものとすることを確認的に規定するものである。
ただし、「電気通信サービスを提供するために必要な範囲」には、現在提供している
電気通信サービスのために直接必要な範囲に限られず、それと関連性を有するもの（例えば、新サービス提供のためのアンケート調査等）も含まれる。なお、電気通信サービスを提供するために必要な範囲を超えた利用目的を定める場合は、当該利用目的のために利用することについて本人の同意を得ることが適切である。

3-1-4 利用目的による制限（ガイドライン第 5 条第 1 項関係）

ガイドライン第 5 条（第 1 項）
1

電気通信事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。

電気通信事業者は、第 4 条第 1 項により特定した利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合は、あらかじめ本人の同意（※）を得なければならない。
59

電気通信事業における個人情報保護指針

ただし、当該同意を得るために個人情報を利用すること（メールの送信や電話をかけること等）は、当初特定した利用目的として記載されていない場合でも、目的外利用には該当しない。
（※）「本人の同意」については、2-17（本人の同意）を参照のこと。
「EU 及び英国域内から十分性認定の補完的ルール」より「3-1-1 利用目的の特定」にある「EU 及び英国域内から十分性認定の補完的ルール」の引用を参照のこと。

3-1-5 事業の承継（ガイドライン第 5 条第 2 項関係）

法第 18 条（第 2 項）
2 個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
ガイドライン第 5 条（第 2 項）
2

電気通信事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
Draft

電気通信事業者が、合併、分社化、事業譲渡等により他の個人情報取扱事業者から事業の承継をすることに伴って個人情報を取得した場合であって、当該個人情報に係る承継前の利用目的の達成に必要な範囲内で取り扱う場合は目的外利用にはな
らず、本人の同意（※）を得る必要はない。
なお、事業の承継後に、承継前の利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合は、あらかじめ本人の同意を得る必要があるが、当該同意を得るた
めに個人情報を利用すること（メールの送信や電話をかけること等）は、承継前の利用目的として記載されていない場合でも、目的外利用には該当しない。
（※）「本人の同意」については、2-17（本人の同意）を参照のこと。

3-1-6 利用目的による制限の例外（ガイドライン第 5 条第 3 項関係）

法第 18 条（第 3 項）
3 前二項の規定は、次に掲げる場合については、適用しない。
(1) 法令（条例を含む。以下この章において同じ。）に基づく場合

60

電気通信事業における個人情報保護指針(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得る
ことにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(5) 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的(以下この章において「学術研究目的」という。)で取り扱う必要があるとき(当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)。
(6) 学術研究機関等に個人データを提供する場合であって、当該学術研究機関

等が当該個人データを学術研究目的で取り扱う必要があるとき(当該個人デー
タを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)。
ガイドライン第 5 条（第 3 項）
3

前二項の規定は、次に掲げる場合については、適用しない。
(1)

法令（条例を含む。以下この章において同じ。）に基づく場合(2)

人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

(3)

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

(4)

国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

(5)

当該電気通信事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的(以下この章において「学術研究目的」という。)
で取り扱う必要があるとき(当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)。

(6)

学術研究機関等に個人データを提供する場合であって、当該学術研究機関
等が当該個人データを学術研究目的で取り扱う必要があるとき(当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)。

61

電気通信事業における個人情報保護指針

次に掲げる場合については、第 5 条第 1 項及び第 2 項において、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うに当たり本人の同意（※）を得ることが求められる場合であっても、当該同意は不要である。
（※）「本人の同意」については、2-17（本人の同意）を参照のこと。

（1）法令に基づく場合（第 5 条第 3 項第 1 号関係）
法令に基づく場合は、第 5 条第 1 項又は第 2 項の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。
事例 1）警察の捜査関係事項照会に対応する場合（刑事訴訟法（昭和 23 年法律第131 号）第 197 条第 2 項）
事例 2）裁判官の発する令状に基づく捜査に対応する場合（刑事訴訟法第 218 条）
事例 3）税務署の所得税等に関する調査に対応する場合（国税通則法（昭和 37 年
法律第 66 号）第 74 条の 2 他）
事例 4）弁護士会からの照会に対応する場合（弁護士法（昭和 24 年法律第 205 号）
第 23 条の 2）
事例 5) 保健所が行う積極的疫学調査に対応する場合（感染症の予防及び感染症の患者に対する医療に関する法律（平成 10 年法律第 114 号）第 15 条第１
項）
Draft

（2）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（第 5 条第 3 項第 2 号関係）
人（法人を含む。）の生命、身体又は財産といった具体的な権利利益の保護が必要であり、かつ、本人の同意を得ることが困難である場合は、第 5 条第 1 項又は第 2項の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。
事例 1）急病その他の事態が生じたときに、本人について、その血液型や家族の連
絡先等を医師や看護師に提供する場合
事例 2）大規模災害や事故等の緊急時に、被災者情報・負傷者情報等を家族、行政機関、地方自治体等に提供する場合
事例 3）電気通信事業者と他の個人情報取扱事業者との間において、暴力団等の反社会的勢力情報、振り込め詐欺に利用された口座に関する情報、意図的に業務妨害を行う者の情報について共有する場合

62

電気通信事業における個人情報保護指針

事例 4）商品に重大な欠陥があり人の生命、身体又は財産の保護が必要となるような緊急時に、製造事業者から顧客情報の提供を求められ、これに応じる必要がある場合事例 5）不正送金等の金融犯罪被害の事実に関する情報を、関連する犯罪被害の防止のために、他の事業者に提供する場合（3） 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（第 5 条第 3 項第 3 号関係）
公衆衛生の向上又は心身の発達途上にある児童の健全な育成のために特に必要があり、かつ、本人の同意を得ることが困難である場合は、第 5 条第 1 項又は第 2 項の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。

（4） 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して、電気通信事業者が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（第5 条第 3 項第 4 号関係）
国の機関等（地方公共団体又はその委託を受けた者を含む。）が法令の定める事務を実施する上で、民間企業等の協力を得る必要があり、かつ、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがあると認められる場合は、当該民間企業等は、第 5 条第 1 項又は第 2 項の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。
事例 1）電気通信事業者が税務署又は税関の職員等の任意の求めに応じて個人情報を提出する場合
事例 2）電気通信事業者が警察の任意の求めに応じて個人情報を提出する場合
事例 3）電気通信事業者が一般統計調査や地方公共団体が行う統計調査に回答する場合（5） 当該電気通信事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的(以下この章において「学術研究目的」という。)で取り扱う必要があるとき(当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)(第5 条第 3 項第 5 号関係) 学術研究機関等(※1)が個人情報を学術研究目的(※2)で取り扱う必要がある場合(当該個人情報を取り扱う目的の一部が学術研究目的である場合を含む。)であって、個人の権利利益を不当に侵害するおそれが63電気通信事業における個人情報保護指針

ない場合は、当該学術研究機関等は、第 5 条第 1 項又は第 2 項(利用目的による制限)の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利
用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる(※3)。
(※1) 「学術研究機関等」については、2-19(学術研究機関等)を参照 のこと。
(※2) 「学術研究目的」については、2-20(学術研究目的)を参照のこと。
（※3) 「個人の権利利益を不当に侵害するおそれがある場合」には、個人情報の目的外利用をすることはできない。この場合、個人の権利利益を不当に侵害しないような措置を講ずるなど適切に処理する必要がある。この点、学術研究目的で個人情報を取り扱う必要があって、目的外利用をする場
合であっても、本人又は第三者の権利利益の保護の観点から、特定の個人を識別することができないよう個人情報を加工するなど、学術研究の目的に照らして可能 な措置を講ずることが望ましい。
（6） 学術研究機関等に個人データを提供する場合であって、当該学術研究機関等
が当該個人データを学術研究目的で取り扱う必要があるとき (当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。) (第 5 条第 3 項第 6 号関係) 電気通信事業者が、学術研究機関等(※1)に個人データを提供し、かつ、当該学術研究機関等が当該個人データを学術研究目的(※2)で取り扱う必要がある場合(当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権
利利益を不当に侵害するおそれがある場合を除く(※3)。)は、第 5 条第 1 項又は第 2 項(利用目的による制限)の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。
Draft(※1)「学術研究機関等」については、2-19(学術研究機関等)を参照のこと。
(※2)「学術研究目的」については、2-20(学術研究目的)を参照のこと。
(※3)「個人の権利利益を不当に侵害するおそれがある場合」には、学術研究機
関等に個人情報を提供することはできない。この場合、個人の権利利益を不当に侵害しないような措置を講ずるなど適切に処理する必要がある。この点、学術研究目的で個人情報を取り 扱う必要があって、学術研究機関等に個人データを提供する場合であっても、提供する個人データの範囲を限定するなど、学術研究の目的に照らして可能な措置を講ずることが望ましい。

3-1-7 利用目的による制限における通信の秘密に係る個人情報の例外（ガイドライン第 5

条第 4 項関係）

64電気通信事業における個人情報保護指針

ガイドライン第 5 条(第 4 項)
4
前三項の規定にかかわらず、電気通信事業者は、利用者の同意がある場合その他の違法性阻却事由がある場合を除いては、通信の秘密に係る個人情報を利用してはならない。
通信の秘密に該当する事項については、通信当事者の同意がある場合（※１）、裁判官の発付した令状に従う場合、正当業務行為に該当する場合（※2）、正当防衛又は緊急避難に該当する場合（※3）等、違法性阻却事由がある場合を除き、取得、保存、利用及び第三者提供が許されていない（電気通信事業法第 4 条関係）。
したがって、第 5 条第 1 項から第 3 項までの規定に該当する場合であっても、個人情報が通信の秘密にも該当する場合には、通信当事者の同意又は違法性阻却事由がある場合を除き、当該情報の利用は許されない。なお、これは、利用目的の範囲内で利用する場合であっても同様である。
(※1) 通信の秘密に係る個人情報の取扱いに関する同意については 2-17（本人の同意）を参照。
(※2) 正当業務行為として違法性が阻却されるためには、電気通信役務の円滑な提供の確保の観点から、業務の目的が正当であり、当該目的を達成するための行
為の必要性及び手段の相当性が認められる行為である必要がある。正当業務行為として違法性が阻却される事例については、5-1-1(通信履歴の記録)、51-2(通信履歴の提供)、5-4-1(位置情報の取得)参照。
・「電気通信事業におけるサイバー攻撃への適正な対処の在り方に関する研究会」第一次とりまとめ（平成 26 年 4 月）
（https://www.soumu.go.jp/menu_news/s-news/01ryutsu03_02000074.html）
24 頁以下、28 頁以下
・「電気通信事業におけるサイバー攻撃への適正な対処の在り方に関する研究会」 第二次とりまとめ（平成 27 年 9 月）（https://www.soumu.go.jp/menu_news/s-news/01ryutsu03_02000100.html）
14 頁以下、16 頁以下、22 頁以下
・「電気通信事業におけるサイバー攻撃への適正な対処の在り方に関する研究会」第三次とりまとめ（平成 30 年 9 月）（https://www.soumu.go.jp/menu_news/s-news/01kiban18_01000049.html）
13 頁以下、23 頁以下
・「電気通信事業におけるサイバー攻撃への適正な対処の在り方に関する研究会」第四次とりまとめ（令和３年 11 月）（https://www.soumu.go.jp/menu_news/s-news/01kiban18_01000134.html）
9 頁以下

65

電気通信事業における個人情報保護指針

・「受信側における送信ドメイン認証技術導入に関する法的な留意点」（https://www.soumu.go.jp/main_sosiki/joho_tsusin/d_syohi/m_mail/legal.ht
ml）2 頁以下、12 頁以下、16 頁以下
・「ゼロレーティングサービスの提供に係る電気通信事業法の適用に関するガ
イドライン」（令和 2 年 3 月）（https://www.soumu.go.jp/menu_news/s-news/01kiban04_02000164.html）
15 頁
・一般社団法人日本インターネットプロバイダー協会、一般社団法人電気通信事業者協会、一般社団法人テレコムサービス協会、一般社団法人日本ケーブ
ルテレビ連盟、NGN IPoE 協議会「帯域制御の運用基準に関するガイドライン（改定）」（令和元年 12 月）（https://www.jaipa.or.jp/other/2019/12/-191211.php）9 頁以下(※3) 正当防衛として違法性が阻却されるためには、①急迫不正の侵害に対し、②自己又は他人の権利を侵害するために、③やむを得ずした行為である必要がある。
また、正当防衛においては、行為の相手方は急迫不正の侵害を行っている者
でなければならない。
緊急避難として違法性が阻却されるためには、①現在の危難を避けるため、②法益の権衡が図られる限りにおいて、③他に採るべき方策なしに(補充性)行った行為である必要がある。緊急避難として違法性が阻却される事例については、次の文書を参照のこと。
・マルウェア感染駆除の拡大（テイクダウンされた C&C サーバに蓄積されたマルウェア感染端末との通信履歴をもとに ISP において感染端末の利用者を割り出し、注意喚起を行うこと）「電気通信事業におけるサイバー攻撃への適正な対処の在り方に関する研究会」第一次とりまとめ（平成 26 年 4 月）
（https://www.soumu.go.jp/menu_news/s-news/01ryutsu03_02000074.html）
22 頁以下・自殺を示唆する書き込みに係る発信者情報の警察への提供
一般社団法人電気通信事業者協会、一般社団法人テレコムサービス協会、一般社団法人日本インターネットプロバイダー協会、一般社団法人日本ケーブルテレビ連盟「インターネット上の自殺予告事案への対応に関するガイ
ドライン」（平成 17 年 10 月）（https://www.telesa.or.jp/consortium/suicide）
13 頁以下・児童ポルノサイト等のブロッキング「利用者視点を踏まえた ICT サービスに係る諸問題に関する研究会」第 6回（平成 22 年５月 18 日）（https://www.soumu.go.jp/menu_sosiki/kenkyu/11454.html）
議事要旨、安心ネットづくり促進協議会「安心ネットづくり促進協議会法的問
題検討サブワーキング報告書」（平成 22 年 3 月）
Draft

66

電気通信事業における個人情報保護指針(https://www.good-net.jp/investigation/working-group/anti-childporn_category_112/2010_169-1751_475）14 頁以下

3-2 不適正利用の禁止（ガイドライン第 6 条関係）

法第 19 条
個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。
ガイドライン第 6 条
電気通信事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。
電気通信事業者は、違法又は不当な行為(※1)を助長し、又は誘発するおそれ(※2)がある方法により個人情報を利用してはならない。
【電気通信事業者が違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例】
事例 1) 違法な行為を営むことが疑われる事業者(例:貸金業登録を行っていない
貸金業者等)からの突然の接触による本人の平穏な生活を送る権利の侵害等、当該事業者の違法な行為を助長するおそれが想定されるにもかかわらず、当該事業者に当該本人の個人情報を提供する場合
事例 2) 裁判所による公告等により散在的に公開されている個人情報 (例:官報に掲載される破産者情報)を、当該個人情報に係る本人に対する違法な差別が、不特定多数の者によって誘発されるおそれがあることが予見できるにもかかわらず、それを集約してデータベース化し、インターネット上で公開する
場合
事例 3) 暴力団員により行われる暴力的要求行為等の不当な行為や総会屋 による不当な要求を助長し、又は誘発するおそれが予見できるに もかかわらず、事業者間で共有している暴力団員等に該当する人物を本人とする個人情報や、不当要求による被害を防止するために必要な業務を行う各事業者の責任者の名簿等を、みだりに開示 し、又は暴力団等に対しその存在を明らかにする場合
事例 4) 個人情報を提供した場合、提供先において第 17 条第 1 項に違反する第三者提供がなされることを予見できるにもかかわらず、当該提供先に対して、個人情報を提供する場合
事例 5) 採用選考を通じて個人情報を取得した事業者が、性別、国籍等の特定の属性のみにより、正当な理由なく本人に対する違法な差別的取扱いを行うた
めに、個人情報を利用する場合
67電気通信事業における個人情報保護指針

事例 6) 広告配信を行っている事業者が、第三者から広告配信依頼を受けた商品が違法薬物等の違法な商品であることが予見できるにもかかわらず、当該商品の広告配信のために、自社で取得した個人情報を利用する場合(※1) 「違法又は不当な行為」とは、法(個人情報の保護に関する法律) その他の法令に違反する行為、及び直ちに違法とはいえないものの、法(個人情報の保護に関する法律)その他の法令の制度趣旨又は公序良俗に反するなど、社会通念上適正とは認められない行為をいう。
(※2) 「おそれ」の有無は、電気通信事業者による個人情報の利用が、違法又は不当な行為を助長又は誘発することについて、社会通念上蓋然性が認められるか否かにより判断される。この判断に当たっては、個人情報の利用方法
等の客観的な事情に加えて、個人情報の利用時点における電気通信事業者の認識及び予見可能性も踏まえる必要がある。例えば、電気通信事業者
が第三者に個人情報を提供した場合において、当該第三者が当該個人情報を違法な行為に用いた場合であっても、当該第三者が当該個人情報の取得目的を偽っていた等、当該個人情報の提供の時点において、提供した個
人情報が違法に利用されることについて、当該電気通信事業者が一般的な注意力をもってしても予見できない状況であった場合には、「おそれ」は認められないと解される。
Draft

3-3 個人情報の取得（ガイドライン第 7 条～第 9 条関係）
3-3-1 取得の制限（ガイドライン第 7 条関係）

ガイドライン第 7 条
電気通信事業者は、個人情報の取得について、電気通信サービスを提供するため必要な場合に限るよう努めなければならない。
不必要な個人情報の取得を防ぐため、電気通信事業者は、電気通信サービスを提供するため必要な場合に限り、個人情報を取得するよう努めなければならない。ただし、「電気通信サービスを提供するために必要な場合」には、現在提供している電気通信
サービスのために直接必要な場合に限られず、それと関連性を有するもの（例えば、新サービス提供のためのアンケート調査等）も含まれる。

－ 認定個人情報保護団体としての考え方及び例示 － （3-3-1 関係）
電気通信事業者が個人情報を取得できる場合を電気通信サービスの提供上必要な場合に限ることにより、不必要な個人情報の取得を防ぐこととするものである。
【好ましい事例】

68

電気通信事業における個人情報保護指針

例 1 電気通信サービスを提供するに当たって必要となる個人情報が氏名、住所、
電話番号、クレジットカード番号である場合に、これらの情報のみを取得する。
【好ましくない事例】
例 2 本人が銀行振込での支払いを希望しているにも関わらずクレジットカード番号を取得する。

3-3-2 適正取得（ガイドライン第 8 条第 1 項関係）

法第 20 条（第 1 項）
1 個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。
ガイドライン第 8 条（第 1 項）
1 電気通信事業者は、偽りその他不正の手段により個人情報を取得してはならない。
電気通信事業者は、偽り等の不正の手段により個人情報を取得（※1）してはならない（※2）。

【電気通信事業者が不正の手段により個人情報を取得している事例】
事例 1） 十分な判断能力を有していない子供や障害者から、取得状況から考えて関係のない家族の収入事情などの家族の個人情報を、家族の同意なく取得する場合
事例 2） 第 17 条第 1 項に規定する第三者提供制限違反をするよう強要して個人情報を取得する場合
事例 3） 個人情報を取得する主体や利用目的等について、意図的に虚偽の情報を示して、本人から個人情報を取得する場合
事例 4） 他の事業者に指示して不正の手段で個人情報を取得させ、当該他の事業者から個人情報を取得する場合
事例 5） 第 17 条第 1 項に規定する第三者提供制限違反がされようとしていることを知り、又は容易に知ることができるにもかかわらず、個人情報を取得する場合
事例 6） 不正の手段で個人情報が取得されたことを知り、又は容易に知ることができるにもかかわらず、当該個人情報を取得する場合（※1）個人情報を含む情報がインターネット等により公にされている場合であって、単にこれを閲覧するにすぎず、転記等を行わない場合は、個人情報を取得しているとは解されない。
69

電気通信事業における個人情報保護指針（※2）電気通信事業者若しくはその従業者又はこれらであった者が、その業務に関して取り扱った個人情報データベース等（その全部又は一部を複製し、又は加工したものを含む。）を自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、法第 179 条により刑事罰（1 年以下の懲役又は50 万円以下の罰金）が科され得る。

3-3-3 要配慮個人情報の取得（ガイドライン第 8 条第 2 項関係）

法第 20 条（第 2 項）
2 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
(1) 法令に基づく場合(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場

合であって、本人の同意を得ることが困難であるとき。
(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
Draft(5) 当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
(6) 学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき （当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。）。
(7) 当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、

第 57 条第 1 項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合(8) その他前各号に掲げる場合に準ずるものとして政令で定める場合

ガイドライン第 8 条(第 2 項)
2 電気通信事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
(1) 法令に基づく場合

70

電気通信事業における個人情報保護指針(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場

合であって、本人の同意を得ることが困難であるとき。
(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(5) 当該電気通信事業者が学術研究機関等である場合であって、当該要配慮個

人情報を学術研究目的で取り扱う必要があるとき(当該要 配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除 く。)。
(6) 学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき (当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)(当該電気通信事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。)。
(7) 当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、法第57 条第 1 項各号に掲げる者、外国政府、外国(本邦の域外にある国又は地域をいう。以下同じ。)の政府機関、外国の地方公共団体、国際機関、外国において学術研究機関等に相当する者又は外国において法第 57 条第 1 項各号に掲げる者に相当する者により公開されている場合。
(8) 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合(9) 第 17 条第 10 項各号(第 31 条第 6 項の規定により読み替えて適用する場

合及び第 32 条第 2 項において読み替えて準用する場合を含む。)に掲げる
場合において、個人データである要配慮個人情報の提供を受けるとき。
要配慮個人情報（※1）を取得する場合には、あらかじめ本人の同意（※2）を得なけ
ればならない。ただし、次の（1）から（9）までに掲げる場合については、本人の同意を得る必要はない。
なお、対象電気通信事業者は、要配慮個人情報を取得した場合においても、電気通信役務の提供契約の締結又は当該役務の提供に当たって、当該情報に基づき、特定の利用者に対し不当な差別的取扱いを行ってはならない（電気通信事業法第 6条）。
(※1) 「要配慮個人情報」については 2-4(要配慮個人情報)を参照のこと。なお、要配慮個人情報の第三者提供には、原則として本人の同意が必要であり、オプ
トアウトによる第三者提供は認められていないので、注意が必要である(3-71(第三者提供の制限の原則)、3 -7-2(オプトアウトによる第三者提供)参照)。
71電気通信事業における個人情報保護指針(※2) 「本人の同意」については、2-17(本人の同意)を参照のこと。なお、電気通信事業者が要配慮個人情報を書面又は口頭等により本人から適正に直接取得する場合は、本人が当該情報を提供したことをもって、当該電気通信事業者
が当該情報を取得することについて本人の同意があったものと解される。 また、
電気通信事業者が要配慮個人情報を第三者提供の方法により取得した場合、提供元が第 8 条第 2 項及び第 17 条第 1 項に基づいて本人から必要な同意(要配慮個人情報の取得及び第三者提供に関する同意)を取得していることが前提となるため、提供を受けた当該電気通信事業者が、改めて本人から第 8条第 2 項に基づく同意を得る必要はないものと解される。
（1）法令に基づく場合（第 8 条第 2 項第 1 号関係）
法令に基づく場合は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。
（2）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（第 8 条第 2 項第 2 号関係）
人（法人を含む。）の生命、身体又は財産といった具体的な権利利益の保護が必要であり、かつ、本人の同意を得ることが困難である場合は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。
Draft

事例 1）電気通信事業者と他の個人情報取扱事業者との間において、不正対策等のために、暴力団等の反社会的勢力情報、意図的に業務妨害を行う者の情報のうち、過去に業務妨害罪で逮捕された事実等の情報について共有する
場合
事例 2）不正送金等の金融犯罪被害の事実に関する情報を、関連する犯罪被害の防止のために、他の事業者から取得する場合（3）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（第 8 条第 2 項第 3 号関係）
公衆衛生の向上又は心身の発達途上にある児童の健全な育成のために特に必要があり、かつ、本人の同意を得ることが困難である場合は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。
（4）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して、事業者が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（第 8 条第 2 項第4 号関係）

72

電気通信事業における個人情報保護指針

国の機関等（地方公共団体又はその委託を受けた者を含む。）が法令の定める事務を実施する上で、民間企業等の協力を得る必要があり、かつ、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがあると認められる場合は、当該民間企業等は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。
事例） 事業者が警察の任意の求めに応じて要配慮個人情報に該当する個人情報を提出するために、当該個人情報を取得する場合(5) 当該電気通信事業者が学術研究機関等である場合であって、当該要配慮個人
情報を学術研究目的で取り扱う必要があるとき(当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)(第 8 条第 2 項第 5 号関係) 学術研究機関等(※1)が要配慮個人情報を学術研究目的(※2)で取り扱う必要がある場合(当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含む。)であって、個人の権利利益を不当に侵害するおそれがない場合は、当該学術研究機関等は、あらか
じめ本人の同意を得ることなく、要配慮個人情報を取得することができる(※3)。
(※1) 「学術研究機関等」については、2-19(学術研究機関等)を参照のこと。
(※2) 「学術研究目的」については、2-20(学術研究目的)を参照のこと。
(※3) 「個人の権利利益を不当に侵害するおそれがある場合」には、要配慮個人情報を取得することはできない。この場合、個人の権利利益を不当に侵害しない
ような措置を講ずるなど適切に処理する必要がある。この点、学術研究目的で
要配慮個人情報を取り扱う必要がある場合であっても、本人又は第三者の権利利益の保護の観点から、取得する要配慮個人情報の範囲を限定するなど、学術研究の目的に照らして可能な措置を講ずることが望ましい。
(6) 学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮
個人情報を学術研究目的で取得する必要があるとき(当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。) (当該電気通信事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。)(第 8 条第 2 項第 6 号関係) 電気通信事業者が要配慮個人情報を学術研究目的(※1)で取得する必要 があり、かつ、当該電気通信事業者と共同して学術研究を行う学術研究機関等(※2)から当該要配慮個
人情報を取得する場合(当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く(※3)。)は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得すること
ができる。

73

電気通信事業における個人情報保護指針(※1)「学術研究機関等」については、2-19(学術研究機関等)を参照のこと。
(※2)「学術研究目的」については、2-20(学術研究目的)を参照のこと。
(※3)「個人の権利利益を不当に侵害するおそれがある場合」には、要配慮個人情報を取得することはできない。この場合、個人の権利利益を不当に侵害しない
ような措置を講ずるなど適切に処理する必要が ある。この点、学術研究目的
で要配慮個人情報を取得する必要があっても、本人又は第三者の権利利益の保護の観点から、取得する個人データの範囲を限定するなど、学術研究の目的に照らして可能な措置を講ずることが望ましい。
（7）当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、法第 57 条第 1 項各号に掲げる者、外国政府、外国の政府機関、外国の地方公共団体、国際機関、外国において学術研究機関等に相当する者又は外国 において
法第 57 条第 1 項各号に掲げる者に相当する者により公開されている場合(第 8条第 2 項第 7 号関係)
要配慮個人情報が、次に掲げる者により公開されている場合は、あらかじめ本人の同意を得ることなく、当該公開されている要配慮個人情報を取得することができる。
① 本人② 国の機関Draft③ 地方公共団体④ 学術研究機関等⑤ 放送機関・新聞社・通信社その他の報道機関（報道を業として行う個人を含む。）⑥ 著述を業として行う者⑦ 宗教団体
⑧ 政治団体
⑨ 外国政府、外国の政府機関、外国の地方公共団体又は国際機関⑩ 外国において法第 16 条第 8 項に規定する学術研究機関等に相当する者⑪ 外国において法第 57 条第 1 項各号に掲げる者に相当する者（8） 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合（第 8 条第 2 項第 8 号関係）
本人の意思にかかわらず、本人の外形上の特徴により、要配慮個人情報に含まれる事項（例：身体障害等）が明らかであるときは、あらかじめ本人の同意を得ることなく、
当該要配慮個人情報を取得することができる。
74

電気通信事業における個人情報保護指針事例） 身体の不自由な方が店舗に来店し、対応した店員がその旨をお客様対応録等に記録した場合（目視による取得）や、身体の不自由な方の様子が店舗に設置された防犯カメラに映りこんだ場合（撮影による取得）（9）第 17 条第 10 項各号(第 31 条第 6 項の規定により読み替えて適用する場合及び第 32 条第 2 項において読み替えて準用する場合を含む。) に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき(第 8 条第 2 項第 9号関係)。
要配慮個人情報を、第 17 条第 10 項各号(第 31 条第 6 項の規定により読み替
えて適用する場合及び第 32 条第 2 項において読み替えて準用する場合を含む。)に定める委託、事業承継又は共同利用により取得する場合は、あらかじめ本
人の同意を得る必要はない。
【第 8 条第 2 項に違反している事例】
本人の同意を得ることなく、第 8 条第 2 項第 7 号で定める者以外がインターネット上で公開している情報から本人の信条や犯罪歴等に関する情報を取得し、既に保有している当該本人に関する情報の一部として自己のデータベース等に登録すること（参考）
法第 20 条（第 2 項） …3-3-3 参照

規則第 6 条
法第 20 条第 2 項第 7 号の個人情報保護委員会規則で定める者は、次の各号のいずれかに該当する者とする。
(1) 外国政府、外国の政府機関、外国の地方公共団体又は国際機関(2) 外国において法第 16 条第 8 項に規定する学術研究館機関等に相当する者(3) 外国において法第 57 条第１項各号に掲げる者に相当する者

政令第 9 条
法第 20 条第 2 項第 8 号の政令で定める場合は、次に掲げる場合とする。
(1) 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合75

電気通信事業における個人情報保護指針(2) 法第 27 条第 5 項各号(法第 41 条第 6 項の規定により読み替えて適用する場

合及び法第 42 条第 2 項において読み替えて準用する場合を含む。)に掲げる
場合において、個人データである要配慮個人情報の提供を受けるとき。

3-3-4 通信の秘密に係る個人情報の取得（ガイドライン第 8 条第 3 項関係）

ガイドライン第 8 条（第 3 項）
3 前項の規定にかかわらず、電気通信事業者は、利用者の同意がある場合その他の違法性阻却事由がある場合を除いては、通信の秘密に係る個人情報を取得してはならない。
第 8 条第 2 項の規定にかかわらず、個人情報が通信の秘密にも該当する場合には、通信当事者の同意又は違法性阻却事由がある場合を除き、当該情報の取得は許されない。
（※）通信の秘密に係る個人情報の取扱いに関する同意については 2-17（本人の同意）を参照のこと。

3-3-5 利用目的の通知又は公表（ガイドライン第 9 条第 1 項関係）
Draft

法第 21 条（第 1 項）
1 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
ガイドライン第 9 条（第 1 項）
1

電気通信事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

電気通信事業者は、個人情報を取得する場合は、あらかじめその利用目的を公表（※1）していることが望ましい。公表していない場合は、取得後速やかに、その利用目
的を、本人に通知（※2）するか、又は公表しなければならない。
【本人への通知又は公表が必要な事例】
事例 1）インターネット上で本人が自発的に公にしている個人情報を取得した場合（単に閲覧しただけの場合を除く。）

76

電気通信事業における個人情報保護指針

事例 2）インターネット、官報、職員録等から個人情報を取得した場合（単に閲覧しただけの場合を除く。）
事例 3）個人情報の第三者提供を受けた場合（※1）「公表」については、2-16（公表）を参照のこと。
（※2）「本人に通知」については、2-15（本人に通知）を参照のこと。

3-3-6 直接書面等による取得（ガイドライン第 9 条第 2 項関係）

法第 21 条（第 2 項）
2

個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人
に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

ガイドライン第 9 条（第 2 項）
2 電気通信事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。
電気通信事業者は、契約書や懸賞応募はがき等の書面等による記載、ユーザー
入力画面への打ち込み等の電磁的記録により、直接本人から個人情報を取得する
場合には、あらかじめ、本人に対し、その利用目的を明示（※）しなければならない。
なお、名刺などは、一般の慣行として、自身の個人情報を、本人の自発的な意思で、任意の簡便な形式により相手に提供するものであり、申込書、アンケート調査票、懸賞応募はがき等のように、個人情報取扱事業者が一定の書式や様式を準備した
上で、本人が当該事業者の求めに沿う形で個人情報を提供する場合とは異なることから、本項の義務を課するものではないが、その場合は第 9 条第 1 項に基づいて、あらかじめ利用目的を公表するか、取得後速やかに、その利用目的を、本人に通知し、又は公表しなければならない（ただし、3-3-7（利用目的の通知等をしなくてよい場合）参照）。口頭により個人情報を取得する場合についても同様である。
また、人（法人を含む。）の生命、身体又は財産の保護のために緊急に必要がある
場合は、あらかじめ、本人に対し、その利用目的を明示する必要はないが、その場合
77電気通信事業における個人情報保護指針

は第 9 条第 1 項に基づいて、取得後速やかにその利用目的を、本人に通知し、又は公表しなければならない（3-3-5（利用目的の通知又は公表）参照）。
【あらかじめ、本人に対し、その利用目的を明示しなければならない事例】
事例 1）本人の個人情報が記載された申込書・契約書等を本人から直接取得する
場合
事例 2）アンケートに記載された個人情報を直接本人から取得する場合
事例 3）自社が主催するキャンペーンへの参加希望者が、参加申込みのために自社のホームページの入力画面に入力した個人情報を直接本人から取得する
場合【利用目的の明示に該当する事例】
事例 1）利用目的を明記した契約書その他の書面を相手方である本人に手渡し、又は送付する場合。
なお、契約約款又は利用条件等の書面（電磁的記録を含む。）中に利用目的条項を記載する場合は、例えば、裏面約款に利用目的が記載されていることを伝える、又は裏面約款等に記載されている利用目的条項を表面にも記載し、かつ、社会通念上、本人が認識できる場所及び文字の大きさで記載する等、本人が実際に利用目的を確認できるよう留意することが望ましい。
事例 2）ネットワーク上において、利用目的を、本人がアクセスした自社のホームページ上に明示し、又は本人の端末装置上に表示する場合。
Draft

なお、ネットワーク上において個人情報を取得する場合は、本人が送信ボタン等をクリックする前等にその利用目的（利用目的の内容が示された画
面に 1 回程度の操作でページ遷移するよう設定したリンクやボタンを含む。）
が本人の目に留まるようその配置に留意することが望ましい。
（※）「本人に対し、その利用目的を明示」とは、本人に対し、その利用目的を明確に示すことをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法による必要がある。

3-3-7 利用目的の通知等をしなくてよい場合（ガイドライン第 9 条第 4 項関係）

法第 21 条（第 4 項）
4 前三項の規定は、次に掲げる場合については、適用しない。
(1) 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合(2) 利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の78

電気通信事業における個人情報保護指針

権利又は正当な利益を害するおそれがある場合(3) 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(4) 取得の状況からみて利用目的が明らかであると認められる場合

ガイドライン第 9 条（第 4 項）
4

前三項の規定は、次に掲げる場合については、適用しない。
(1) 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合(2) 利用目的を本人に通知し、又は公表することにより当該電気通信事業者の権利又は正当な利益を害するおそれがある場合(3) 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(4) 取得の状況からみて利用目的が明らかであると認められる場合

次に掲げる場合については、第 9 条第 1 項から第 3 項までにおいて利用目的の本人への通知（※1）、公表（※2）又は明示（※3）（以下この項において「利用目的の通知等」という。）が求められる場合であっても、当該利用目的の通知等は不要である。
（1）利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（第 9 条第 4 項第 1 号関係）
利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合は、第 9 条第 1 項から第3 項までの適用を受けず、当該利用目的の通知等は不要である。
（2）利用目的を本人に通知し、又は公表することにより当該電気通信事業者の権利又は正当な利益を害するおそれがある場合（第 9 条第 4 項第 2 号関係）
利用目的を本人に通知し、又は公表することにより電気通信事業者の権利又は正当な利益を害するおそれがある場合は、第 9 条第 1 項から第 3 項までの適用を受けず、当該利用目的の通知等は不要である。
事例） 暴力団等の反社会的勢力情報、疑わしい取引の届出の対象情報、業務妨害行為を行う悪質者情報等を、本人又は他の事業者等から取得したことが明らかになることにより、当該情報を取得した企業に害が及ぶ場合
79電気通信事業における個人情報保護指針（3）国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき（第 9 条第 4 項第 3 号関係）
国の機関等（地方公共団体又はその委託を受けた者を含む。）が法令の定める事務を実施する上で、民間企業等の協力を得る必要があり、かつ、本人に対する利用目的の通知等により当該事務の遂行に支障を及ぼすおそれがあると認められる場合は、当該民間企業等は、第 9 条第 1 項から第 3 項までの適用を受けず、当該利用目的の通知等は不要である。
事例） 警察が、公開手配を行わないで、被疑者に関する個人情報を、被疑者の立ち回りが予想される電気通信事業者に限って提供した場合において、警察から当該個人情報を受け取った当該電気通信事業者が、利用目的を本人に通知し、又は公表することにより、捜査活動に支障を及ぼすおそれがある場合（4）取得の状況からみて利用目的が明らかであると認められる場合（第 9 条第 4 項第4 号関係）
Draft

取得の状況からみて利用目的が明らかであると認められる場合は、第 9 条第 1項から第 3 項までの適用を受けず、当該利用目的の通知等は不要である。
事例 1）商品・サービス等を販売・提供するに当たって住所・電話番号等の個人情報を取得する場合で、その利用目的が当該商品・サービス等の販売・提供
のみを確実に行うためという利用目的であるような場合
事例 2）一般の慣行として名刺を交換する場合、直接本人から、氏名・所属・肩書・連絡先等の個人情報を取得することとなるが、その利用目的が今後の連絡
や、所属する会社の広告宣伝のための冊子や電子メールを送付するという利用目的であるような場合（※1）本人への「通知」については、2-15（本人に通知）を参照のこと。
（※2）「公表」については、2-16（公表）参照のこと。
（※3）「明示」については、3-3-6（直接書面等による取得）参照のこと。

3-4 個人データの管理（ガイドライン第 10 条～第 14 条関係）
3-4-1 データ内容の正確性の確保等（ガイドライン第 10 条関係）

法第 22 条80

電気通信事業における個人情報保護指針

個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。
ガイドライン第 10 条
電気通信事業者は、利用目的の達成に必要な範囲内において、個人データを正
確かつ最新の内容に保つよう努めなければならない。
電気通信事業者は、利用目的の達成に必要な範囲内において、個人情報データベース等への個人情報の入力時の照合・確認の手続の整備、誤り等を発見した場合の訂
正等の手続の整備、記録事項の更新等を行うことにより、個人データを正確かつ最新の内容に保つよう努めなければならない。
なお、保有する個人データを一律に又は常に最新化する必要はなく、それぞれの利用目的に応じて、その必要な範囲内で正確性・最新性を確保すれば足りる。

3-4-2 保存期間等（ガイドライン第 11 条第 1 項関係）

法第 22 条
個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。
ガイドライン 第 11 条（第 1 項）
1

電気通信事業者は、個人データ（通信の秘密に係るものを除く。以下この条において同じ。）を取り扱うに当たっては、利用目的に必要な範囲内で保存期間を定め、当該保存期間経過後又は利用する必要がなくなった後は、当該個人デー
タを遅滞なく消去するよう努めなければならない。ただし、次に掲げる場合はこの限りでない。
(1) 法令の規定に基づき、保存しなければならないとき。
(2) 本人の同意があるとき。
(3) 電気通信事業者が自己の業務の遂行に必要な限度で個人データを保存する場合であって、当該個人データを消去しないことについて相当な理由があるとき。
(4) 前三号に掲げる場合のほか、当該個人データを消去しないことについて特別の理由があるとき。

保有する個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業
81電気通信事業における個人情報保護指針

自体が中止となった場合等は、当該個人データを遅滞なく消去することが適切であり（※）、その趣旨を徹底する観点から、電気通信事業者は、利用目的に応じ保存期間を定めるよう努めなければならない。また、保存期間内であっても利用する必要がなくなった後は消去するよう努めなければならない。
他方、個人データによっては、一律に保存期間を定めることが難しい場合もあることから、全ての個人データについて保存期間を定めることまでは要求しない。しかし、この場合であっても、利用目的を達成すれば遅滞なく消去するよう努めなければならない。
ただし、第 11 条第 1 項各号に掲げる場合又は通信の秘密に係る個人データは本規定の適用を受けない。
【個人データについて利用する必要がなくなったときに該当する事例】
事例） キャンペーンの懸賞品送付のため、当該キャンペーンの応募者の個人デー
タを保有していたところ、懸賞品の発送が終わり、不着対応等のための合理的な期間が経過した場合（※）「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該個人データを削除することのほか、当該個人データから特定の個人を識別できないようにすること等を含む。
Draft

他方、次に掲げる場合については、保存期間経過後又は利用目的達成後においても当該個人データを消去しないことができる。
（1）法令の規定に基づき、保存しなければならないとき（第 11 条第 1 項第 1 号関係）
法人税法（昭和 40 年法律第 34 号）第 126 条、法人税法施行規則（昭和 40 年大蔵省令第 12 号）第 59 条や電話加入権質に関する臨時特例法施行規則（昭和 33
年郵政省令第 18 号）第 4 条等、法令の規定において保存が求められる場合は、保存期間経過後又は利用目的達成後も個人データを消去しないことができる。
（2）本人の同意があるとき（第 11 条第 1 項第 2 号関係）
本人から特に保存しておくよう要請があった場合等本人の同意（※）があるときは、
保存期間経過後又は利用する必要がなくなった後も個人データを消去しないことができる。
（※）「本人の同意」については、2-17（本人の同意）参照。
（3）電気通信事業者が自己の業務の遂行に必要な限度で個人データを保存する場合であって、当該個人データを消去しないことについて相当な理由があるとき（第 11 条第82電気通信事業における個人情報保護指針

1 項第 3 号関係）
過去に料金を滞納し利用停止となった者の情報を契約解除後においても保存しておく等、業務の遂行に必要な限度で個人データを保存する場合であって、当該個人データを消去しないことについて相当の理由があるときは、保存期間経過後又は利用する必要がなくなった後も個人データを消去しないことができる。
（4）前 3 号に掲げる場合のほか、当該個人データを消去しないことについて特別の理由があるとき（第 11 条第 1 項第 4 号関係）
捜査機関から刑事事件の証拠となり得る特定の個人データについて保存しておくよう要請があった場合等、消去しないことについて特別の理由があるときは、保存期間経過後又は利用目的達成後も個人データを消去しないことができる。

－ 認定個人情報保護団体としての考え方及び例示 － (3-4-2 関係)
保存期間については、各対象事業者が取り扱う個人情報の内容及び業務の実情を踏まえ定めるものであるが、加入者との関係で取り交わす書類等（申込書、利用明細、通信履歴）については洗い出しを行い、特に配慮して適切な保存期間を定める必要がある。
【好ましい事例】
例 1 申込情報、利用明細や通信履歴(※)等は、契約解除後の料金精算が終了した後も、苦情対応に必要とされる場合もあり、契約解除後、業務の実情を踏まえて、適切な保存期間を設定する。
※「通信履歴」については、5-1 を参照。
例 2 お客様から、身に覚えがない料金請求が来ており、電気通信事業者に対して通信履歴を保存するよう要請があったため、保存期間経過後もそのお客様の通信履歴を保存する。

3-4-3 保存期間等における通信の秘密に係る個人情報の例外（ガイドライン第 11 条第2 項関係）
ガイドライン第 11 条（第 2 項）
2 電気通信事業者は、利用者の同意がある場合その他の違法性阻却事由がある場合を除いては、通信の秘密に係る個人情報を保存してはならず、保存が許される場合であっても利用目的達成後においては、その個人情報を速やかに消去しなければならない。
83

電気通信事業における個人情報保護指針

通信履歴等の通信の秘密に係る個人情報は、通信当事者の同意その他の違法性阻却事由がある場合を除いて、その記録を最小限にとどめる必要があることから、原則として保存してはならず、保存が許される場合であっても、通信当事者の同意のある範囲又は保存目的に必要な範囲を超えて保存してはならず、その利用目的を達成したときは速やかに当該個人情報を消去（通信の秘密に該当する情報を消去することに加え、通信の秘密に該当しない個人情報について本人が識別できなくすることを含む。）しなければならない。
(※）通信の秘密に係る個人情報の取扱いに関する同意については 2-17（本人の同意）を参照のこと。通信履歴の保存については 5-1（通信履歴の記録）を参照のこと。

3-4-4 安全管理措置（ガイドライン第 12 条関係）

法第 23 条
個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止
その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
ガイドライン第 12 条
電気通信事業者は、その取り扱う個人データ又は通信の秘密に係る個人情報（以下「個人データ等」という。）の漏えい、滅失又は毀損の防止その他の個人データ等の安全管理のために必要かつ適切な措置（以下「安全管理措置」という。）を講じなければならない。
Draft

電気通信事業者は、その取り扱う個人データ又は通信の秘密に係る個人情報（以下「個人データ等」という。）の漏えい、滅失又は毀損（以下「漏えい等」という。）の防止その他の個人データ等の安全管理のため、必要かつ適切な措置（以下「安全管理措置」という。）を講じなければならないが、当該措置は、個人データ等が漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データ等の取扱状況（取り扱う個人データ等の性質及び量を含む。）、個人データ等を記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容としなけ
ればならない。具体的に講じなければならない措置や当該項目を実践するための手法の例等については、「3-4-4-1（別添）講ずべき安全管理措置の内容」を参照のこと。
なお、個人データ等に該当しない個人情報（いわゆる散在情報）についても、通信の秘密に関わる情報ということができることから、安全管理措置を講ずることが望ましい。
また、安全管理措置を講ずるに当たっては、情報通信ネットワーク安全・信頼性基準（昭和 62 年郵政省告示第 73 号）等の基準を活用するものとする。なお、事業用電
84電気通信事業における個人情報保護指針

気通信設備（電気通信回線設備及び基礎的電気通信役務を提供する電気通信事
業の用に供する電気通信設備）に関する技術的保護措置については、事業用電気
通信設備を設置する電気通信事業者に対し、事業用電気通信設備規則（昭和 60 年
郵政省令第 30 号）に定める技術基準の適合維持義務が課されている（電気通信事
業法第 41 条）ことにも留意する必要がある。

3-4-4-1 (ガイドライン解説(別添)) 講ずべき安全管理措置の内容

第 12 条に定める安全管理措置として、電気通信事業者が具体的に講じなければならない措置や当該措置を実践するための手法の例等を次に示す。
安全管理措置を講ずるための具体的な手法については、個人データ等が漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データ等の取扱状況（取り扱う個人データ等の性質及び量を含む。）、個人データ等を記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容とすべきものであるため、必ずしも次に掲げる例示の内容の全てを講じなければならないわけではなく、また、適切な手法はこれらの例示の内容に限られない。
① 基本方針の策定
電気通信事業者は、個人データ等の適正な取扱いの確保について組織として取り組むために、基本方針を策定することが重要である。
具体的に定める項目の例としては、「事業者の名称」、「関係法令・ガイドラン等の遵守」、「安全管理措置に関する事項」、「質問及び苦情処理の窓口」等が考えられる。
② 個人データ等の取扱いに係る規律等の整備
電気通信事業者は、その取り扱う個人データ等の漏えい等の防止その他の個
人データ等の安全管理のために、個人データ等の具体的な取扱いに係る規律を整備しなければならない。
講じなければならな
い措置

手法の例示

(1) 個人データ等

取得、利用、保存、提供、削除・廃棄等の段階ごとに、取扱方の取扱いに係 法、責任者・担当者及びその任務等について定める個人データ
る規律の整備 等の取扱規程を策定することが考えられる。なお、具体的に定める事項については、以降に記述する組織的安全管理措置、人的安全管理措置及び物理的安全管理措置の内容並びに情報システム（パソコン等の機器を含む。）を使用して個人データ等を取り扱う場合（インターネット等を通じて外部と送受信等する場合を含
む。）は技術的安全管理措置の内容を織り込むことが重要であ85

電気通信事業における個人情報保護指針る。
図表 2③ 組織的安全管理措置
電気通信事業者は、組織的安全管理措置として、次に掲げる措置を講じなければならない。
（1）組織体制の整備
安全管理措置を講ずるための組織体制を整備しなければならない。
（2）個人データ等の取扱いに係る規律に従った運用
あらかじめ整備された個人データ等の取扱いに係る規律に従って個人データ等を取り扱わなければならない。
なお、整備された個人データ等の取扱いに係る規律に従った運用の状況を確認するため、システムログ又は利用実績を記録することも重要である。
（3）個人データ等の取扱状況を確認する手段の整備
個人データ等の取扱状況を確認するための手段を整備しなければならない。
（4）漏えい等事案に対応する体制の整備
漏えい等事案の発生又は兆候を把握した場合に適切かつ迅速に対応するための体制を整備しなければならない。
なお、漏えい等の事案が発生した場合、二次被害の防止、類似事案の発生防止等の観点から、事案に応じて、事実関係及び再発防止策等を早急に公表することが重要である（※）。
Draft（※）電気通信事業者において、漏えい等の事案が発生した場合等の対応の詳細については、別に定める 3-6（個人データの漏えい等の報告等）を参照のこと）。
（5）取扱状況の把握及び安全管理措置の見直し
個人データ等の取扱状況を把握し、安全管理措置の評価、見直し及び改善に取り組まなければならない。
講じなければならな
い措置(1) 組織体制の整

備

手法の例示
（組織体制として整備する項目の例）• 個人データ等の取扱いに関する責任者（個人情報保護責任者）の設置及び責任の明確化・個人データ等を取り扱う従業者及びその役割の明確化• 上記の従業者が取り扱う個人データ等の範囲の明確化
86電気通信事業における個人情報保護指針• 法や電気通信事業者において整備されている個人データ等の取扱いに係る規律に違反している事実又は兆候を把握した場合の責任者への報告連絡体制• 個人データ等の漏えい等事案の発生又は兆候を把握した場合の責任者への報告連絡体制• 個人データ等を複数の部署で取り扱う場合の各部署の役割分担及び責任の明確化(2) 個人データ 等の取扱いに 係る規律に従った運用

個人データ等の取扱いに係る規律に従った運用を確保するため、例えば次のような項目に関して、システムログその他の個
人データ等の取扱いに係る記録の整備や業務日誌の作成等を通じて、個人データ等の取扱いの検証を可能とすることが考えられる。
• 個人データ等の利用状況• 個人データ等が記載又は記録された書類・媒体等の持ち運び等の状況• 個人データ等の削除・廃棄の状況（委託した場合の消去・廃棄を証明する記録を含む。）• 個人データ等を情報システムで取り扱う場合、担当者の情報システムの利用状況（ログイン実績、アクセスログ等）(3) 個人データ 等の取扱状況 を確認する手段の整備

例えば次のような項目をあらかじめ明確化しておくことにより、個人データ等の取扱状況を把握可能とすることが考えられる。
•

個人データ等の項目•

責任者・取扱部署

•

利用目的

•

アクセス権を有する者

等(4) 漏えい等事案

漏えい等事案の発生時に例えば次のような対応を行うための、に対 応 す る 体 体制を整備することが考えられる。
制の整備• 事実関係の調査及び原因の究明•

影響を受ける可能性のある本人への連絡•

個人情報保護委員会等への報告•

再発防止策の検討及び決定•

事実関係及び再発防止策等の公表 等(5) 取扱状況の把•握及び安全管理措置の見直個人データ等の取扱状況について、定期的に自ら行う点検又は他部署等による監査を実施する。

•

外部の主体による監査活動と合わせて、監査を実施する。
87

電気通信事業における個人情報保護指針

し図表 3④ 人的安全管理措置
電気通信事業者は、人的安全管理措置として、次に掲げる措置を講じなければならない。また、電気通信事業者は、従業者に個人データ等を取り扱わせるに当たっては、第 13 条第 1 項に基づき従業者に対する監督をしなければならない（3-4-5（従業者の監督）参照）。また、個人データ等の取扱いを委託する場合においては、
電気通信事業者は、第 13 条第 3 項に基づき委託先に対する監督を行わなければならない（3-4-6（委託先の監督）参照）。
(1) 従業者の教育
従業者に、個人データ等の適正な取扱いを周知徹底するとともに適切な教育を行わなければならない。
(2) 非開示契約
従業員又は委託先の従業員は、その業務に関して知り得た個人データ等の内容をみだりに他人に知らせ、また不当な目的に使用してはならない。
講じなければならな
い措置(1) 従業者の教

育

手法の例示• 個人データ等の取扱いに関する留意事項について、従業者に定期的な研修等を行う。
Draft• 個人データ等についての秘密保持に関する事項を就業規則等に盛り込む。
(2) 非開示契約• 雇用契約時における従業員との非開示契約の締結、及び委託契約等（派遣契約を含む）における委託元と委託先間での非開示契約の締結。
• 個人データ等に関する非開示の義務を、就業規則等の社内規定に規定。
図表 4⑤ 物理的安全管理措置
電気通信事業者は、物理的安全管理措置として、次に掲げる措置を講じなければならない。
(1) 個人データ等を取り扱う区域の管理

個人データ等を取り扱うサーバやメインコンピュータ等の重要な情報システ
ムを管理する区域（以下「管理区域」という。）及びその他の個人データ等を取88電気通信事業における個人情報保護指針

り扱う事務を実施する区域（以下「取扱区域」という。）について、それぞれ適切な管理を行わなければならない。
(2) 機器及び電子媒体等の盗難等の防止

個人データ等を取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、適切な管理を行わなければならない。
(3) 電子媒体等を持ち運ぶ場合の漏えい等の防止

個人データ等が記録された電子媒体又は書類等を持ち運ぶ場合、容易に
個人データ等が判明しないよう、安全な方策を講じなければならない。なお、「持ち運ぶ」とは、個人データ等を管理区域又は取扱区域から外へ移動させる
こと又は当該区域の外から当該区域へ移動させることをいい、事業所内の移動等であっても、個人データ等の紛失・盗難等に留意する必要がある。
(4) 個人データ等の削除及び機器、電子媒体等の廃棄

個人データ等を削除し又は個人データ等が記録された機器、電子媒体等を廃棄する場合は、復元不可能な手段で行わなければならない。
また、個人データ等を削除した場合、又は、個人データ等が記録された機器、電子媒体等を廃棄した場合には、削除又は廃棄した記録を保存することや、それらの作業を委託する場合には、委託先が確実に削除又は廃棄したことについて証明書等により確認することも重要である。
講じなければならな
い措置(1) 個人データ等を取り扱う区域の管理

手法の例示（管理区域の管理手法の例）• 入退室管理及び持ち込む機器等の制限等
なお、入退室管理の方法としては、IC カード、ナンバーキー等
による入退室管理システムの設置等が考えられる。
（取扱区域の管理手法の例）• 壁又は間仕切り等の設置、座席配置の工夫、のぞき込みを防止する措置の実施等による、権限を有しない者による個
人情報の閲覧等の防止。

(2) 機器及び電子媒体等の盗難等の防止• 個人データ等を取り扱う機器、個人データ等が記録された電子媒体又は個人データ等が記載された書類等を、施錠できるキャビネット・書庫等に保管する。
• 個人データ等を取り扱う情報システムが機器のみで運用されている場合は、当該機器をセキュリティワイヤー等により固定する。

(3) 電 子 媒 体 等 を持ち運 ぶ 場 合の漏えい等の• 個人データ等持ち出し時に想定される具体的なリスクを網羅的に評価し、リスクに対応するために必要とされる措置（パソコンの起動時等での個人認証、外部媒体の接続制限、ウイ
89

電気通信事業における個人情報保護指針

防止

ルス侵入による情報漏えいに備えた最新のセキュリティ水準
維持、高度な暗号化措置及び適切な復号鍵の管理、通信経路の暗号化、社内サーバにおける端末認証等）検討・決定
し、決定した措置の適切な運用を行う。
• 持ち運ぶ個人情報の暗号化、パスワードによる保護等を行った上で電子媒体に保存する。
• 封緘、目隠しシールの貼付けを行う。
• 施錠できる搬送容器を利用する。

(4) 個 人 情 報 の 削 （個人データ等が記載された書類等を廃棄する方法の例）

除及び機器、・ 焼却、溶解、適切なシュレッダー処理等の復元不可能な手段
電子媒体等のを採用する。
廃棄（個人データ等を削除し、又は、個人データ等が記録された機器、電子媒体等を廃棄する方法の例）
・ 情報システム（パソコン等の機器を含む。）において、個人データ等を削除する場合、容易に復元できない手段を採用する。
・ 個人データ等が記録された機器、電子媒体等を廃棄する場
合、専用のデータ削除ソフトウェアの利用又は物理的な破壊等の手段を採用する。
Draft

図表 5
⑥ 技術的安全管理措置
電気通信事業者は、情報システム（パソコン等の機器を含む。）を使用して個人データ等を取り扱う場合（インターネット等を通じて外部と送受信等する場合を含む。）、
技術的安全管理措置として、次に掲げる措置を講じなければならない。
(1) アクセス制御担当者及び取り扱う個人データ等の範囲を限定するために、適切なアクセス制
御を行わなければならない。
(2) アクセス者の識別と認証

個人データ等を取り扱う情報システムを使用する従業者が正当なアクセス権を有する者であることを、識別した結果に基づき認証しなければならない。
(3) 外部からの不正アクセス等の防止

個人データ等を取り扱う情報システムを外部からの不正アクセス又は不正ソフト
ウェアから保護する仕組みを導入し、適切に運用しなければならない。
(4) 情報漏えい等の防止

情報システムの使用を通じた個人データ等の漏えい等を防止するための措置を講じ、適切に運用しなければならない。
90

電気通信事業における個人情報保護指針

講じなければならない
措置(1) アクセス制御

手法の例示• 個人データ等を取り扱うことのできる情報システムを限定する。
• 情報システムによってアクセスすることのできる個人データ等を限定する。
• ユーザーID に付与するアクセス権により、個人データ等を取り扱う情報システムを使用できる従業者を限定する。

(2) アクセス者の識別と （情報システムを使用する従業者の識別・認証手法の例）

認証• ユーザーID、パスワード、磁気・IC カード等

(3) 外部からの不正アク •セス等の防止情報システムと外部ネットワークとの接続箇所にファイアウ
ォール等を設置し、不正アクセスを遮断する。

• 情報システム及び機器にセキュリティ対策ソフトウェア等（ウイルス対策ソフトウェア等）を導入する。
• 機器やソフトウェア等に標準装備されている自動更新機能等の活用により、ソフトウェア等を最新状態とする。
• ログ等の定期的な分析により、不正アクセス等を検知する。
(4) 情報システムの使用に伴う漏えい等の防止• 情報システムの設計時に安全性を確保し、継続的に見直す（情報システムのぜい弱性を突いた攻撃への対策を講じることも含む。）。
• 個人データ等を含む通信の経路又は内容を暗号化する。
• 移送する個人データ等について、パスワード等による保護
を行う。
図表 6

⑦ 外的環境の把握
電気通信事業者が、外国において個人データを取り扱う場合、当該外国の個人情報の保護に関する制度等を把握した上で、個人データの安全管理のために必要かつ適切な措置を講じなければならない。

－ 認定個人情報保護団体としての考え方及び例示 － (3-4-4-1 関係)
本項（3-4-4-1 関係(一点鎖線内)）で述べている安全管理措置各項では「～努めるものとする。」としているが、対象事業者は自社が認識するリスクに応じた安全管理措置を取らなければならない。

91

電気通信事業における個人情報保護指針(3-4-4-1 の② 関係)(1) 情報セキュリティに関する基準の活用

適切な内部規程・マニュアルを策定し、実施するに当たっては、必要に応じ、情報
セキュリティのためのマネジメントシステム規格に関する基準を活用することが考えられる(JIS Q15001、JIS Q27001 等)。
(2) 技術基準の適合維持義務

電気通信事業者の保有する個人情報を格納する装置が、電気通信事業法第４１条に定める事業用電気通信設備に該当する場合は、当該装置が事業用電気通信設備規則（昭和 60 年郵政省令第 30 号）の定める技術基準を満たさないことによって損傷又は破壊されることのないように努めるものとする。

(3-4-4-1 の③ 関係)(1) 従業者・委託先の責任と権限の明確化

安全管理に関する従業者・委託先の責任と権限を明確に定めることとは、具体的には、次のような措置をとるように努めるものとする。
A) 従業者の責任と権限の明確化

Draft

電気通信事業者は、その雇用する従業者に対しては就業規則において、雇用関係にない従業者に対してはその雇用者との契約において、従業者の責任を明確にすることを努めるものとする。また、内部規程中に個人情報を取り扱うことができる
従業者を決める権限者を明らかにするよう努めるものとする。
(2) 内部規程・マニュアルの策定と監査

安全管理に関する内部規程・マニュアルを定め、それらを従業者に遵守させるとともに、その遵守の状況について適切な監査を行うこととは、具体的には、次のような措置をとるよう努めるものとする。
A) 安全管理に関する内部規程・マニュアルの策定
電気通信事業者は、事業内容、その取り扱う個人情報の内容、形態、規模に応じて安全管理に関する内部規程・マニュアルを策定するよう努めるものとする。
なお内部規程・マニュアルには、個人情報の適正な取扱いの確保に必要な体制に関する規定、物理環境に関する規定、情報システムに関する規定、インシデント
に関する規定、監査に関する規定等を置くよう努めるものとする。
B) 安全管理に関する適切な監査
電気通信事業者は、安全管理に関して定めた内部規程・マニュアルの遵守状況
92電気通信事業における個人情報保護指針

を、自己診断、内部監査、外部監査等のいずれか又は各種監査方法を組み合わせ、定期的かつ効率的に監査するよう努めるものとする。

(3-4-4-1 の④ 関係)(1) 従業者・委託先との秘密保持契約締結

従業者・委託先と秘密保持契約を締結すること等により安全管理について従業者・委託先を適切に監督することとは、具体的には、次のような措置をとるよう努めるものとする。
A) 従業者との内部規程・マニュアル遵守の誓約
電気通信事業者は、従業者に対し、その就労の開始時において、安全管理に関する従業者の責任と権限を明確にした内部規程・マニュアルについて十分な説明
又は教育・訓練を施したうえで、その遵守を誓約させるよう努めるものとする。
B) 委託先との秘密保持契約の締結
電気通信事業者は、委託先に業務を委託する契約中に、委託先に委ねる個人情報の内容、形態、規模に応じて、個人情報の保護・秘密保持に関する規定を置くよう努めるものとする。
(2) 教育研修

安全管理について従業者に対し必要な教育研修を行うこととは、具体的には、次のような措置をとるよう努めるものとする。
A) 就労の開始時における個人情報保護に関する教育研修
電気通信事業者は、従業者に対し、就労の開始時に個人情報保護に関する教育研修を実施するものとし、当該教育研修の実施に当たっては、教育研修の実施
効果及び監査等の目的を考慮して、教育研修の体系、実施計画を立案するよう努めるものとする。
B) 年１回程度の教育研修
電気通信事業者は、すべての従業者に対し、少なくとも年 1 回程度の個人情報の保護に関する教育研修を実施するよう努めるものとする。

(3-4-4-1 の⑤ 関係)(1) 入退室管理

電気通信事業者は、個人情報の漏えい及び不正使用を防止するために、個人情報を取り扱う敷地、ビル、事務室、設備等の設置環境に関して、その取り扱う個人情
93電気通信事業における個人情報保護指針

報の内容、形態、規模に応じて区分毎の入退室権限を設定するとともに各種管理シ
ステム等を通じて入退室管理を行うよう努めるものとする。
(2) 持出手段の制限

個人情報の持出し手段の制限として、具体的には次のような措置をとるよう努めるものとする。
A) みだりに外部記録媒体へ記録することの禁止
電気通信事業者は、従業者が業務に必要な範囲を超えて個人情報をパソコン
や外部記録媒体（従業者が持ち込んだ媒体を含む。）に記録することを禁止するよう努めるものとする。
B) パソコンの持出し制限
電気通信事業者は、個人情報を記録したパソコンの持出しに関する社内規則（持出しの許されるパソコンの特定、起動時のパスワード設定等）を定め、適正に管理するよう努めるものとする。
C) 私物パソコン等の使用の制限
従業者の私物のパソコンや外部記録を業務に使用することを原則として禁止することとし、やむを得ず私物パソコン等の使用を認める場合には、会社の業務用のパソコン等と同様の安全管理措置が講じられていることを厳重に確認するよう努めるものとする。
DraftD) 電子メール使用ルール
個人情報を外部に漏えい等する危険を避けるための電子メールの使用ルールを定めるとともに、メールフィルタリングや送信メールのログの記録化等、これを担保するシステムを導入するなどの対策を講じるよう努めるものとする。
E) 社内と社外の間の電子メール監視
電気通信事業者は、必要に応じ、あらかじめ社内規則等に規定した上で、従業者の社内と社外との間の電子メールを監視するなどの措置を講じるよう努めるものとする。
ただし、その場合は従業者のプライバシー保護に十分留意するものとする。また、雇用管理に関する個人情報の取扱いに関する重要事項を定めるときは、あらか
じめ労働組合等に通知し、必要に応じて、協議を行うことが望ましい。また、その規定を定めたときは、従業者に周知することが望ましい。
F) 消去の徹底
電気通信事業者は、個人情報を記録した媒体（パソコン、外部記録媒体、紙等）
94

電気通信事業における個人情報保護指針を廃棄する場合は、個人情報の消去を徹底するよう努めるものとする。

(3-4-4-1 の⑥ 関係)(1) アクセスの管理
個人情報へのアクセスの管理として、具体的には次のような措置をとるよう努めるものとする。
A) アクセス権限者の限定
電気通信事業者は、個人情報の漏えい及び不正使用を防止するために、個人情報へのアクセス権限を必要最小限とするよう努めるものとする。
また、従業者(注）が異動・退職等によりアクセス権限が失われたときは、直ちにアカウントを無効にするとともに、長期にアクセス権限が放置されることを防止するために有効期間を設定する等定期的に有効確認を行うよう努めるものとする。
さらに、委託先の従業者や再委託先等の従業者に対し、アクセスを認める場合にも、従業者と同様に、アクセス権限の限定や有効確認等を行う必要がある。
(注）「従業者」とは、電気通信事業者の組織内にあって直接間接に事業者の業務に従事している者をいい、
電気通信事業者との間の雇用関係の有無は問わないので、雇用関係にある従業員（正社員、契約社
員、嘱託社員、パートタイマー、アルバイト等）及び役員（取締役、執行役、監査役、理事、監事等）のほ
か派遣労働者も含まれる。

B) アクセス状況の監視体制
電気通信事業者は、個人情報の漏えい及び不正使用を防止するために、個人情報へのアクセス者が特定できるアクセス履歴（使用者、使用・エラー履歴、不規則利用等）を残し、これを監視するとともに、必要な範囲内でアクセスログの保存期間を定めて、保存するよう努めるものとする。
C) パスワードの定期的変更
電気通信事業者は、個人情報の漏えい及び不正使用を防止するために、個人情報へのアクセスが可能なシステム又は端末に対するパスワードについて有効期間を設定する等により定期的に有効確認を行うよう努めるものとする。
(2) 外部からの不正アクセス防止

外部からの不正アクセスの防止のための措置として、具体的には次のような措置をとるよう努めるものとする。
A) ファイアウォールの設置
電気通信事業者は、不正アクセスを防止するために、ネットワークに接続する情報システムには、ファイアウォール、不正侵入検知装置(IDS)等の不正アクセス防止機器を設置するなどの対策を講じるよう努めるものとする。
95

電気通信事業における個人情報保護指針

B) Winny 等ファイル交換ソフト等の使用制限
Winny 等ファイル交換ソフトや、会社が安全性を確認したソフトウェア以外のソフトを、業務用パソコンにインストールすることや使用することを禁止することとし、定期的又は恒常的にインストールの有無の監視を行うよう努めるものとする。併せて、ファイル交換ソフトが使用するポートを塞ぐ等の対策を講じることが望ましい。

3-4-5 従業者の監督（ガイドライン第 13 条第 1 項、第 2 項関係）

法第 24 条
個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、
当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
ガイドライン第 13 条（第 1 項、第 2 項）
1 電気通信事業者は、その従業者（派遣労働者を含む。以下同じ。）に個人データ等を取り扱わせるに当たっては、当該個人データ等の安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
2 電気通信事業者は、安全管理措置の実施その他の個人データ等の適正な取扱いの確保のため、その従業者に対し、必要な教育研修を実施するよう努めなければな
らない。
Draft

電気通信事業者は、その従業者に個人データ等を取り扱わせるに当たって、第 12 条に基づく安全管理措置を遵守させるよう、当該従業者に対し必要かつ適切な監督をしなければならない。その際、個人データ等が漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データ等の取扱状況（取り扱う個人
データ等の性質及び量を含む。）等に起因するリスクに応じて、個人データ等を取り扱う
従業者に対する教育研修等の内容及び頻度を充実させるなど、必要かつ適切な措置を講ずることが望ましい。教育研修の内容としては、安全管理に関する内部規程・マニュア
ルの周知等が考えられる。
「従業者」とは、電気通信事業者の組織内にあって直接間接に電気通信事業者の指揮監督を受けて電気通信事業者の業務に従事している者等をいい、雇用関係にある従業員（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、取締役、執行役、理事、監査役、監事、派遣社員等も含まれる。
【従業者に対して必要かつ適切な監督を行っていない事例】
事例 1） 従業者が、個人データ等の安全管理措置を定める規程等に従って業務を行っていることを確認しなかった結果、個人データ等が漏えいした場合

96電気通信事業における個人情報保護指針

事例 2） 内部規程等に違反して個人データ等が入ったノート型パソコン又は外部記
録媒体が繰り返し持ち出されていたにもかかわらず、その行為を放置した結果、当該パソコン又は当該記録媒体が紛失し、個人データ等が漏えいした
場合－ 認定個人情報保護団体としての考え方及び例示 － (3-４-5 関係)
従業者との秘密保持契約の締結に当たっては、次の点に注意すべきである。
＜直接雇用社員の場合＞
誓約書・念書の提出を求める。
＜派遣社員の場合＞
派遣元に対し、当該派遣社員から誓約書が提出されていることを確認する。
＜委託先従業者＞
委託先への誓約書等の提出を委託契約に記載する。
電気通信事業者は、その従業者に個人データ等を取り扱わせるに当たっては、
当該個人データ等の安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
したがって、電気通信事業者は内部に監督部署を設けるとともに、規程にも従業者の秘密保持に係る条項を記載し、常に個人データ等の取扱いに対して細心の注意を払う。
万が一個人データ等の漏えいが発生した場合の対応や個人データ等の漏えいを防止するための安全管理措置を定めた規程を作成し、それに則った運営を行うことが必要である。
また、定期的な監査を実施し、監督部署が監査に係る記録を作成、保存することが重要である。
なお、当該規程は必要に応じて見直しをするべきである。
【好ましい事例】
例 1 電気通信事業者は、従業者に対する必要かつ適切な監督を行うために、監督部署を設置するとともに、個人情報保護に係る規程を作成し、それに則った運営を行う。
例2

電気通信事業者は、安全管理措置の実施その他の個人データ等の適切な取扱いの確保のため、教育研修の実施に関する事項を個人情報保護に係る規程などに定め、これを実施する（例えば、従業者を監督する部署が実施する教育研修を従業者に受講させる等）。

【好ましくない事例】
97

電気通信事業における個人情報保護指針

例1

事業者が、従業者を監督する部署を設置していない上、個人情報保護に係る規程に則った運営を行えていない。

例2

事業者として、教育研修について何も定めていない。また、教育研修の実施に関する事項を定め研修を実施しているが、従業者の受講状況を把握していない。

3-4-6 委託先の監督（ガイドライン第 13 条第 3 項関係）

法第 25 条
個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
ガイドライン第 13 条（第 3 項）
3

電気通信事業者は、個人データ等の取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データ等の安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

電気通信事業者は、個人データ等の取扱いの全部又は一部を委託（※1）する場
合は、委託を受けた者（以下「委託先」という。）において当該個人データ等について安全管理措置が適切に講ぜられるよう、委託先に対し必要かつ適切な監督をしなけ
ればならない。具体的には、電気通信事業者は、第 12 条に基づき自らが講ずべき
安全管理措置と同等の措置が講ぜられるよう、監督を行うものとする（※2）。
その際、委託する業務内容に対して必要のない個人データ等を提供しないようにすることは当然のこととして、取扱いを委託する個人データ等の内容を踏まえ、個人
データ等が漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質、個人データ等の取扱状況（取り扱う個人データ等の性質及び量を含む。）等に起因するリスクに応じて、次の（1）から（3）までに掲げる必要かつ適切な措置を講じなければならない（※3）。
なお、通信の秘密に係る個人情報については、通信当事者の同意又は違法性阻却事由がなければ提供してはならないことに留意する必要がある。(3-7-4（第三者に該当しない場合）参照)。
Draft（1）適切な委託先の選定
委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第 23 条及び本ガイドラインで委託元に求められるものと同等であることを確認するため、「3-4-4-1（（別添）講ずべき安全管理措置の内容）」に定める各項目が、委託する業務内容に沿って、確実に実施されることについて、委託先の体制や規程等の確認に加え、必要に98電気通信事業における個人情報保護指針

応じて個人データ等を取り扱う場所に赴く又はこれに代わる合理的な方法による確認を行う等により、あらかじめ確認しなければならない。
また、外国にある第三者に個人データの取扱いを委託する場合、委託元は、委託先を通じて外国において個人データを取り扱うこととなるため、 委託先が所在する外国の個人情報の保護に関する制度等を把握した上で、 委託先の監督その他の安全管理措置を講じる必要がある。
（2）委託契約の締結
委託契約には、安全管理措置（委託先において個人データ等を取り扱う者（委託先の作業者以外の者を含む。）を明確にすること、委託先において講ずべき安全管
理措置の内容等）、秘密保持、再委託の条件（再委託を許すかどうか並びに再委託先を許す場合は再委託先に個人データ等を適正に取り扱っていると認められる者を選定すること、再委託を行うに当たっての電気通信事業者への文書による事前報告
又は承認及び再委託先の監督に関する事項等。なお、二段階以上の委託を許す場
合は同様に再々委託先等の選定、監督に関する事項等を定める必要がある。）、委託契約終了時の個人データ等の取扱い（個人データ等の返却、消去等）、契約内容が遵守されなかった場合の措置（例えば、安全管理に関する事項が遵守されずに個
人データ等が漏えいした場合の損害賠償に関する事項、安全管理措置の不備が発見された場合の解約等）その他の個人データ等の取扱いに関する事項を適正に定めることが適当である。また、委託先における委託された個人データ等の取扱状況を
委託元が合理的に把握することを盛り込むことが望ましい。
（3）委託先における個人データ等取扱状況の把握
委託先における委託された個人データ等の取扱状況を把握するためには、定期的に監査を行う等により、委託契約で盛り込んだ内容の実施の程度を調査した上で、委託の内容等の見直しを検討することを含め、適切に評価することが望ましい。
また、委託先が再委託を行おうとする場合は、委託を行う場合と同様、委託元は、委託先が再委託する相手方、再委託する業務内容、再委託先の個人データ等の取扱方法等について、委託先から事前報告を受け、又は承認を行うこと、及び委託先を通じて、又は必要に応じて自らが、定期的に監査を実施すること等により、委託先が再委託先に対して本条の委託先の監督を適切に果たすこと、及び再委託先が第12 条に基づく安全管理措置を講ずることを十分に確認することが望ましい（※4）。再
委託先が再々委託を行う場合以降も、再委託を行う場合と同様である。
【委託を受けた者に対して必要かつ適切な監督を行っていない事例】
事例 1） 個人データ等の安全管理措置の状況を契約締結時及びそれ以後も適宜把握せず外部の事業者に委託した結果、委託先が個人データ等を漏えいした場合

99

電気通信事業における個人情報保護指針

事例 2） 個人データ等の取扱いに関して必要な安全管理措置の内容を委託先に指示しなかった結果、委託先が個人データ等を漏えいした場合
事例 3） 再委託の条件に関する指示を委託先に行わず、かつ委託先の個人データ等の取扱状況の確認を怠り、委託先が個人データ等の処理を再委託した結果、当該再委託先が個人データ等を漏えいした場合
事例 4） 契約の中に、委託元は委託先による再委託の実施状況を把握することが盛り込まれているにもかかわらず、委託先に対して再委託に関する報告を求めるなどの必要な措置を行わず、委託元の認知しない再委託が行われた結果、当該再委託先が個人データ等を漏えいした場合（※1）「個人データ等の取扱いの委託」とは、契約の形態・種類を問わず、個人情報取扱事業者が他の者に個人データ等の取扱いを行わせることをいう。具体的には、個人データ等の入力（本人からの取得を含む。）、編集、分析、出力等の処理を行うことを委託すること等が想定される。
（※2）委託元が、第 12 条が求める水準を超える高い水準の安全管理措置を講じている場合に、委託先に対してもこれと同等の措置を求める趣旨ではなく、委託先は、第 12 条が求める水準の安全管理措置を講じれば足りると解される。
（※3）委託先の選定や委託先における個人データ等取扱状況の把握に当たっては、取扱いを委託する個人データ等の内容や規模に応じて適切な方法をとる必要があるが、例えば、必要に応じて個人データ等を取り扱う場所に赴く
又はこれに代わる合理的な方法（口頭による確認を含む。）により確認することが考えられる。
（※4）委託元が委託先について「必要かつ適切な監督」を行っていない場合で、委託先が再委託をした際に、再委託先が不適切な取扱いを行ったときは、元の委託元による法違反と判断され得るので、再委託をする場合は注意を
要する。
Draft

－ 認定個人情報保護団体としての考え方及び例示 － (3-4-6 関係)
電気通信事業者は、個人データ等の取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データ等の安全管理が図られるよう、委託先に対する必要かつ適切な監督を行わなければならない。
「必要かつ適切な監督」には、委託契約において委託元である電気通信事業者が定める安全管理措置の内容を契約に盛り込むとともに、当該契約の内容が遵守されていることを、あらかじめ定めた間隔で定期的に確認することも含まれる。
電気通信事業分野における具体的な委託先の例としては、次のような者があるが、これに限定されるものではない。

100

電気通信事業における個人情報保護指針➢ 契約代理業者（電気通信サービスに関する契約の締結の媒介、取次ぎ又は代理を業として行う者）➢ ダイレクトメール等の宛名等の印刷・発送代行業者➢ 個人データ等のデータ入力、編集、出力等の処理を行う者➢ 料金の回収や決済を代行する者➢ 請求書など個人データ等を含む文書等の送達を行う者(注）➢ コールセンター等で苦情・相談の受付を代行する者➢ 回線設置工事等を行う者
個人データ等の取扱いを委託する場合に契約書への記載が望まれる事項として、次の項目があげられる。また、委託先が再委託をした場合であって、再委託先において当該委託に係る個人データ等の漏えい等が発生したときは、委託元が必要かつ適切な監督を行う責任があるので、再委託を許す場合は注意を要する。
（なお、二段階以上の委託を許す場合は、同様に再々委託先等の選任監督に関する事項を定める必要がある。）➢ 個人データ等の目的外利用の禁止➢ 個人データ等の第三者提供の禁止➢ 委託元及び委託先の責任に関する事項➢ 個人データ等の安全管理に関する事項➢ 再委託に関する事項➢ 秘密保持に関する事項➢ 従業者の教育に関する事項➢ 個人データ等の取扱状況に関する委託元への報告内容及び頻度に関する事
項➢ 契約内容が遵守されていることの確認方法➢ 契約内容が遵守されていなかった場合の措置➢ 委託業務終了後の個人データ等の取扱い（返却、消去等）に関する事項➢ 個人データ等の漏えい等が発生した場合の報告及び連絡に関する事項➢ 安全管理に関する事項が遵守されずに個人データ等が漏えいした場合の損害賠償に関する事項
契約書の記載方法としては、委託契約そのものに個人情報保護に関する事項を記載する方法と委託契約には個人情報保護に関する取り決めは別の覚書等によることを明記の上、個人データ等の取扱いに関する別の覚書等を締結する方法などがある。
【好ましくない事例】
例 1 個人データ等の取扱いに関して定めた安全管理措置の内容を委託先に指示していない。
101

電気通信事業における個人情報保護指針

例2

再委託の条件に関する指示を委託先に行わず、かつ委託先の個人データ等の取扱状況の確認を怠り、委託先が個人データ等の処理を再委託した。

－ 認定個人情報保護団体としての考え方及び例示 － (ポイントの例示)
Q1）個人データの取扱いを委託する場合の注意点は。
A1）電気通信事業者は、個人データの取扱いの全部又は一部を委託する場合、安全管理措置を遵守させるよう、委託先に対し、必要かつ適切な監督をしなければならない(法第 25 条、ガイドライン第 13 条)。そのため、対象事業者は、①個人データを適正に取り扱う者を選定し、②次のような内容を盛り込んだ委託契約を締結し、i) 具体的な安全管理措置の実施方法
ii) 秘密保持協定の締結
iii) 再委託の際の条件
iv) その他の個人データの取扱いに関する事項③また、その内容が適切に遂行されていることを確認・監督する必要がある。
Q2）委託先に委託業務のために必要な個人データを提供するためには、本人の同意
が必要か。
Draft

A2）電気通信事業者が、本人の同意を得ないで個人データを第三者に提供すること
は、法令に定められている場合を除き、認められていない。＜法第 27 条、ガイドライン第 17 条＞
しかし、電気通信事業者が利用目的の達成に必要な範囲において個人データの取扱いの全部または一部を委託する場合、委託先は第三者に該当しないとされており、委託業務に必要な個人データを委託先に提供することに本人の同意は必要ない。
ただし、委託元は委託先に対する監督責任が課せられている。
Q3）電気通信事業者は、委託先の選定基準を定めておく義務があるか。
A3) 電気通信事業者は、委託先として、個人データを適正に取扱うと認められる者を選定することが必要である。＜法第 25 条、ガイドライン第 13 条＞
法令及びガイドラインにおいては、選定基準を設けることについての規定はないが、委託元は委託先を監督する責任があるため、委託先からの個人データの漏えい等が発生した場合、委託元には委託先を選定した理由の説明責任があると解される。
そのため、予め選定基準を定めて委託先を選定しておくことが望ましいと考えられ
102

電気通信事業における個人情報保護指針

る。
Q4）委託先の選定にあたり、どのような点が重視されているか。
A4）委託業務の性質や個人データの取扱い状況等により、委託先の選定で、重視される基準は異なるものと考えられるが、委託元には委託先に対する監督義務が課せられることから、委託元が必要とする個人データを管理する能力（法が求める水準の安
全管理措置を講じることができる能力）を有する委託先を選定することが重要である。
選定基準の例としては、次のようなものが考えられる。
⚫ 委託先における個人情報保護方針⚫ 委託先の個人データの管理組織、管理責任者の制定⚫ 個人情報の取扱い毎に、利用できる者が限定されているか、またその利用形態（参照、更新、追加、削除）の規程の状況⚫ アクセスの記録の収集と利用状況の記録⚫ 委託先における個人情報保護の教育⚫ 委託先における監査の実施
Q5）委託先の監督のためにどのような措置をとればよいか。
A5）電気通信事業者は、取扱いを委託された個人データの安全管理が図られるよう、委託先に必要かつ適切な監督を行う必要がある。＜法第 25 条、ガイドライン第 13条＞
各事業者において、委託業務の形態に応じて、適切に措置することが重要である。
特に、委託した個人データに係る取扱い状況を把握するため、委託契約に盛り込んだ内容の実施の程度について、委託先から定期的かつ適宜に報告を受けることや委託元が監査等を行うことによりこれを確認することが重要である。
Q6）個人データの取扱いを委託する場合に、契約書にはどのような項目を記載することが望ましいか。
A6）各事業者において、また委託の内容・形態により契約書の記載内容は異なると思われるが、電気通信事業者に課せられている義務と同等の義務があることを明示することが望まれる。
個人データの取扱いを委託する場合に契約書への記載が望まれる項目としては、次のものが考えられる。
⚫ 個人データの目的外利用の禁止⚫ 個人データの第三者提供の禁止⚫ 委託元及び委託先の責任に関する事項
103電気通信事業における個人情報保護指針

⚫
⚫
⚫
⚫
⚫
⚫
⚫
⚫

個人データの安全管理に関する事項
再委託に関する事項
秘密保持に関する事項
従業者への教育に関する事項
個人データの取扱い状況に関する委託元への報告内容及び頻度に関する事項
契約内容が遵守されていることの確認方法
契約内容が遵守されていなかった場合の措置
個人データの漏えい等が発生した場合の報告及び連絡に関する事項

Q7)個人データの安全管理とはどのようなことをいうか。
A7）安全管理措置には、技術的保護措置、組織的保護措置、物理的保護措置等があり、適切に実施することが必要である。＜ガイドライン第 12 条解説＞
技術的保護措置とは、個人データへのアクセスの管理、個人データの持出し手段の制限やアクセスログの保存など内部からの情報漏えいと外部からの不正アクセスの防止措置など物理的・技術的措置を指す。
組織的保護措置とは、従業者の責任と権限の明確化、安全管理に関する内部規定・マニュアルを定め遵守させること、従業者との秘密保持契約等の取り交わし、教育研修などを言う。
Draft

Q8）委託元が保有する個人データを委託先に提供する場合、その提供データの管理について、どのような注意が必要か。
A8)委託元が保有する個人データを委託先に提供する場合、次のような点について注意する。
⚫ 提供するデータおよび媒体※委託する業務内容に対して必要のないデータを提供してはならない。また、漏えいした場合に二次被害が発生する可能性が高いデータの取扱いを委託する場合には、より注意が必要である。

⚫ 提供データの授受方法※データ漏えいのリスクを軽減するため、配送の場合は配達記録等が取得可能な手段を選択す
ること、データ伝送の場合は暗号化等を行うこと、委託元及び委託先の双方で管理簿を作成し、授受の確認を行うことなど授受方法を明確にしておくことが重要である。

⚫ 提供データの授受、管理等に関する委託元及び委託先の責任者※提供データを取扱う従業者についても明確にしておくことが望ましいと考えられる。

⚫ 提供データの漏えい防止、盗用禁止に関する事項※どのような具体的対策をとっているかを確認しておくことが重要である。

⚫ 提供データの取扱い作業場所以外への持出禁止に関する事項⚫ 委託契約範囲外の加工、利用、複写、複製の禁止に関する事項⚫ 業務終了後の処理方法（返還方法、消去、廃棄、時期等）※提供データが利用目的を達した場合の、管理簿の提出、廃棄証明、委託元の立会による破却

104

電気通信事業における個人情報保護指針

等、当該データの処理確認方法を定めておくことが重要である。

⚫ 提供データの取扱状況に関する報告、確認の内容と頻度※提供データの取扱い状況には、取扱いデータの漏えいや盗用への対策等も含まれる。取扱い
状況に関する報告・確認の内容と頻度等を定めると共に、委託元が監査することを明確にしておくことが重要である。

⚫ 再委託が発生する場合、再委託の条件に関する事項※再委託の事例を参照する。

⚫ 取り決めが遵守されなかった場合の措置⚫ 提供データの漏えい等の事件･事故が発生した場合の報告・連絡に関する事項
Q9）再委託先において、当該委託に係る個人データの漏えいが発生したとき、委託元がその責任を問われることがあるか。
A9）委託元は委託先に対し監督責任があり、再委託先については、委託先に監督責任が課せられることになるが、委託先に対する監督責任は委託元にあるため委託先が再委託先に対する監督を適切に行っているかどうかを監督する責任は委託元にあることになる。
従って、再委託先で個人データの漏えいが発生した場合、委託元が責任を問われることは十分にあり得る。なお、漏えい事案が発生した場合の報告や公表については委託元が（も）行う必要がある。＜ガイドライン第 12 条参照＞
そのため、再委託を許すか否かについても、予め決めておくことが重要である。
また、二段階以上の委託を許す場合は、同様に再々委託先等の選任・監督に関する事項を定めておくことが重要である。
Q10）再委託の条件とはどのようなことをいうか。
A10）まず、再委託を許すかどうかという点も、委託の条件としてある。
また、再委託を許す場合には、その条件として再委託先の選定や再委託先の監督に関する事項等がある。内容としては、委託元と委託先との間で定められた取り決めと同様の取り決めを、委託先と再委託先との間でも定めることが望ましいと考えられる。更に、再委託を許す場合の条件として、事前に委託元の許可を求めること
や、事後の報告を求めることなどを定めておくことも重要である。

3-4-7 個人情報保護管理者（ガイドライン第 14 条関係）

ガイドライン第 14 条
電気通信事業者は、個人情報保護管理者（当該電気通信事業者の個人データ等の取扱いに関する責任者をいう。）を置き、本ガイドラインを遵守するための内部規程の策定、監査体制の整備及び当該電気通信事業者の個人データ等の取扱いの監督を行わせるよう努めなければならない。
105

電気通信事業における個人情報保護指針

個人データ等保護措置の実施に関する責任の所在を明確にし、第 12 条の 安全管理措置の実施その他の個人データ等の適正な取扱いについて電気通信事業者の内部における責任体制を確保するため、電気通信事業者は、当該電気通信事業者の個人データ等の適正な取扱いの確保について必要な権限を有する役員などの組織横断的に監督することのできる者(個人情報保護管理者)を置いて、個人情報保護管理者において責任をもって必要な個人データ等の取扱いの監督等を行わせる
よう努めなければならない。 なお、個人情報保護管理者の設置は、特に、電気通信事業者の内部又は 外部からの不正行為による個人データ等の漏えい等を防止するため、また 責任の所在を明確化する上でも重要であり、個人情報保護管理者の設置を通じて、あらかじめ個人データ等の漏えい等を防止するための体制を整備し、また、漏えい等事案の発生時に、被害拡大防止措置の実施及び監督官庁等への報告等の対応を行うための体制を整備することが望ましい。 また、個人情報保護管理者は、
内部規程の策定や監査体制の整備に当たっては、3-4-4-1 に規定された措置を盛り込むことが望ましい。この際、監査体制の整備の一環として、委託先の 監査を含む監査体制を整備し監査結果を踏まえた個人データ等の取扱方法に関する見直し・改善を行うことが望ましい。
なお、電気通信事業者の業務の方法に関し通信の秘密の確保に支障があると認められる場合における総務大臣による電気通信事業法第 29 条第 1 項第１号の規定に基づく業務の改善命令の発動に係る指針として「通信の秘密の確保に支障があるときの業務の改善命令の発動に係る指針」（https://www.soumu.go.jp/menu_news/snews/01kiban18_01000111.html）が定められている。
Draft

3-5 プライバシーポリシー（ガイドライン第 15 条関係）

個人データ等を取得する電気通信事業者は、自らが取得する個人データ等について十分把握することが望ましい。その上で、取得する個人データ 等の種類や利用目
的、第三者に提供する個人データ等の種類などに応じて、利用者が電気通信事業者
による個人データ等の取扱いを理解できるよ う、分かりやすい通知・公表や、必要に応じた同意取得を行うことが重要である。

3-5-1 プライバシーポリシーの策定・公表（ガイドライン第 15 条第 1 項、第 2 項関係）

ガイドライン第 15 条（第 1 項、第２項）
1

電気通信事業者は、プライバシーポリシー(当該電気通信事業者が個人データ等の適切な取扱いを確保する上での考え方や方針をいう。)を定め、公表することが適切である。

2 前項に定めるプライバシーポリシーにおいて、次に掲げる事項について定め、利用者にとって分かりやすく示すことが適切である。
106

電気通信事業における個人情報保護指針(1) 電気通信事業者の氏名又は名称(2) 取得される情報の項目(3) 取得方法(4) 利用目的の特定・明示(5) 通知・公表又は同意取得の方法及び利用者関与の方法(6) 第三者提供の有無(7) 問合せ窓口・苦情の申出先(8) プライバシーポリシーの変更を行う場合の手続き(9) 利用者の選択の機会の内容、データポータビリティに係る事項(10) 委託に係る事項
電気通信事業者の個人データ等の適切な取扱いについての社会的信頼を 確保するため、電気通信事業者は自らの個人データ等の適切な取扱いを確保する上での考え方や方針についての宣言をプライバシーポリシーとして定め、公表することが適切である。
【プライバシーポリシーに示すことが適切である項目】
プライバシーポリシーは、それぞれの電気通信事業者が、当該電気通信事業者の利用者において、当該電気通信事業者による個人データ等の取扱いを理解できるよ
うに、分かりやすい表現で記載すべきものであるが、プライバシーポリシーに記載すべき事項としては、次のようなものが考えられる。
① 法及び通信の秘密に係る電気通信事業法の規定その他の関係法令の遵守② 本ガイドラインの遵守③ 第 15 条に定める事項
i) 電気通信事業者の名称ii) 取得される情報の項目
iii) 取得方法iv) 利用目的の特定・明示
v) 通知・公表又は同意取得の方法及び利用者関与の方法
利用目的の通知又は開示若しくは訂正等の本人からの請求に応じる手続vi) 第三者提供の有無
vii) 問い合わせ窓口・苦情の申出先
認定個人情報保護団体の名称及び苦情の解決の申出先を含む。
viii) プライバシーポリシーの変更を行う場合の手続きix) 利用者の選択の機会の内容（※）、データポータビリティに係る事項
x) 委託に関する事項
委託の有無、委託する事務の内容を明らかにするなど、委託処理の透明化を進めること。
107

電気通信事業における個人情報保護指針④ 第 12 条の安全管理措置に関する方針⑤ その他利用者の権利利益の保護に関する事項
i) 保有個人データについて本人から求めがあった場合には、ダイレクトメールの発送停止など、自主的に利用停止等に応じることii) 電気通信事業者がその事業内容を勘案して利用者の種類ごとに利用目的を限定して示したり、電気通信事業者が本人の選択による利用目的の限定に自主的に取り組んだりなど、本人にとって利用目的がより明確になるようにすること
iii) 個人情報の取得方法（取得元の種類等）を、可能な限り具体的に明記すること(※) (ア)電気通信事業者が(任意の取組として)利用者の求めに応じて自主的に個
人データ等の取得・利用を停止しているか(利用者は これを求めることができるか)、(イ)利用者において個人データ等の取得・利用の停止を求めることができる場合には、利用者がこれを求める方法、及び、利用者がこれを求めた場合にも電気通信サービスが利用可能か等
なお、取得に際しての利用目的(第 9 条第 1 項、第 3 項)、オプトアウ トによる個人データの第三者提供を行う場合の個人データの項目等(第 17 条第 2 項、第3 項、第 9 項)、共同利用における共同利用される個人データの項目等(第 17 条
第 10 項第 3 号、第 11 項)、匿名加工情報に含まれる情報の項目等(第 33 条第3 項、第 4 項、第 5 項、第 7 項、第 34 条)、保有個人データに関する公表すべき事項(第 19 条第 1 項)、匿名加工情報取扱事業者における匿名加工情報の安全管理措置等(第 36 条)については、 通知し、又はプライバシーポリシー等において公表し若しくは本人が容易に知り得る状態に置かなければならないことに留意する必要がある。
Draft【利用者に分かりやすい示し方】
電気通信事業者は、当該電気通信事業者が提供する電気通信役務の利用者の性質・状況、当該電気通信事業者の業種・事業規模等の諸般の事情を踏まえた
上で、第 15 条第 1 項に基づき、個人データ等の取扱いに関するプライバシーポ
リシーを策定・公表することが望ましく、また、利用者が電気通信事業者における個人データ等の取扱いを理解した上で自らの判断により選択の機会を行使することができるよう、プライバシーポリシーを分かりやすく示す(※)ことが望ましい。
(※1) 当該電気通信事業者が提供する電気通信役務の利用者の性質・状況や、
当該電気通信事業者の業種・事業規模・事業内容などに応じ、分かりやす
い表示のための工夫等を検討することが望ましい。例えば、階層構造(要点を複数の短い項目にまとめ、各項目を選択すると詳細な内容を見ることができるといった構造)を用いること、アイコン・イラスト・動画等の視覚的ツールを
108

電気通信事業における個人情報保護指針

用いること、利用者が認識しやすいようにジャストインタイムの通知を行うこと、要点を分かりやすく解説した簡略版やユーザーガイドを併せて作成することなどが表示に関する具体的な工夫として考えられる。 また、利用者が認識しやすいようにポップアップによる同意取得を行うこと、ダッシュボードや、個人データ等の取得・利用の停止の機会の提供、Consent Record や CMP 等により利用者が何に同意したかを後から一覧性をもって把握できる仕組みの提供などについても、利用者が自ら内容を理解し選択する上で有用な工夫と考えられる。 なお、分かりやすい通知・公表及び同意取得の方法を検討する際には、当該電気通信事業者が提供する電気通信役務の利用者の性質・状況を踏まえることが望ましいと考えられるため、必要に応じて、ユーザーテストを実施しその結果を分析・参照したり、第三者的な立場の外部の有識者からなるプライバシー保護に関するアドバイザリーボードや諮問委員会等を設置しステークホルダーの意見等を踏まえつつ継続的に取り組んでいくこと
等が考えられる。
（※2）なお、「DX 時代における企業のプライバシーガバナンスガイドブック ver1.3」（2023 年 4 月総務省・経済産業省）（http://www.iotac.jp/wg/data/govenance/）においても、プライバシーガバナ
ンスに係る姿勢の明文化の必要性について言及されている。
（参考）
個人情報保護に関する基本方針（平成 16 年 4 月 2 日閣議決定）
6 個人情報取扱事業者等が講ずべき個人情報の保護のための措置に関する基本的な事項（１）個人情報取扱事業者が取り扱う個人情報に関する事項
個人情報取扱事業者は、法の規定に従うほか、2 の(2)の①の個人情報保護委員
会のガイドライン、認定個人情報保護団体の個人情報保護指針等に則し、例えば、消費者の権利利益を一層保護する観点から、個人情報保護を推進する上での考え方や方針（いわゆる、プライバシーポリシー、プライバシーステートメント等）
を対外的に明確化するなど、個人情報の保護及び適正かつ効果的な活用について主体的に取り組むことが期待されているところであり、体制の整備等に積極的に取り組んでいくことが求められている。その際、事業の規模及び性質、個人データの取扱状況等に応じて、各事業者において適切な取組が実施されることが重要である。

3-5-2 アプリケーションソフトウェアに係るプライバシーポリシー（ガイドライン第 15 条第 3

項、第 4 項関係）
ガイドライン第 15 条（第 3 項・第 4 項）
109

電気通信事業における個人情報保護指針

3

電気通信事業者は、アプリケーションソフトウェア（以下「アプリケーション」という。）を提供する場合において、当該アプリケーションによる情報の取得等について明確かつ適切に定めたプライバシーポリシーを公表することが適切である。
4 電気通信事業者は、アプリケーションを提供するサイトを運営する場合において、当該サイトにおいてアプリケーションを提供する者に対して、当該アプリケーション
による情報の取得等について明確かつ適切に定めたプライバシーポリシーを公表するよう促すことが適切である。

アプリケーションソフトウェア（以下「アプリケーション」という。）とは、通話やコミュニ
ケーションなどのコミュニケーションツールや写真・ゲームなどの様々な機能を実行するためのソフトウェアをいう。スマートフォンなどのスマートデバイスでは、アプリケーシ
ョンをインストールすることで、機能を拡張・カスタマイズすることが可能となる。
アプリケーションの中には、様々な情報を取得し、外部に送信するものがあることか
ら、透明性や利用者が関与する機会等を確保することで利用者のプライバシーを保護する観点から、電気通信事業者がアプリケーションを提供する場合においては、当該アプリケーションによる情報の取得等について明確かつ適切に定めたプライバシ
ーポリシーを公表することが適切である（第 15 条第 3 項関係）。
また、電気通信事業者がアプリケーションを提供するサイトを運営する場合においては、当該サイトを利用してアプリケーションを提供する者（自己を除く。）に対して、
当該アプリケーションによる情報の取得等について明確かつ適切に定めたプライバ
シーポリシーを公表するよう促すことが適切である（第 15 条第 4 項関係）。
アプリケーションのプライバシーポリシーに記載すべき事項としては、次の事項が考えられる。
① 情報を取得するアプリケーション提供者等の氏名又は名称② 取得される情報の項目③ 取得方法④ 利用目的の特定・明示⑤ 通知・公表又は同意取得の方法、利用者関与の方法⑥ 外部送信・第三者提供・情報収集モジュールの有無⑦ 問合せ窓口・苦情の申出先⑧ プライバシーポリシーの変更を行う場合の手続⑨ 利用者の選択の機会の内容、データポータビリティに係る事項⑩ 委託に関する事項
Draft

また、電気通信事業者は、当該プライバシーポリシーの内容が当該アプリケーショ
ンの情報取得等について適切に記載したものであることを確保するため、第三者による検証等を利用しその適切性を検証することが望ましい。

110

電気通信事業における個人情報保護指針

その他、アプリケーションのプライバシーポリシーに関する詳細は、スマートフォン
プライバシー イニシアティブ（平成 24 年 8 月利用者視点を踏まえたＩＣＴサービスに係る諸問題に関する研究会）等によるものとする。
なお、本ガイドラインは、電気通信事業者を対象とするものであるため、電気通信事業者の取組について記載しているが、アプリケーションによる情報収集等について明確かつ適切に定めたプライバシーポリシーを公表する等の取組は、アプリケーショ
ン提供事業者、情報収集モジュール提供者、アプリケーション提供サイト運営事業者、OS 提供事業者等の各関係者においても求められるものである。電気通信事業者における本条で示す取組が、各関係者の取組の促進に資することが期待される。

3-6 個人データの漏えい等の報告等（ガイドライン第 16 条関係）
3-6-1 「漏えい等」の考え方
3-6-1-1 「漏えいの考え方」

個人データの「漏えい」とは、個人データが外部に流出することをいう。
【個人データの漏えいに該当する事例】
事例 1) 個人データが記載された書類を第三者に誤送付した場合
事例 2) 個人データを含むメールを第三者に誤送信した場合
事例 3) システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となっていた場合
事例 4) 個人データが記載又は記録された書類・媒体等が盗難された場合
事例 5) 不正アクセス等により第三者に個人データを含む情報が窃取された場合
事例 6) システムの設定ミス等により、回線解約対象者の個人データを含む登録情報が、同じ回線を引き継いだ利用者に閲覧可能な状態になっていた場合
なお、個人データを第三者に閲覧されないうちに全てを回収した場合は、漏えいに該当しない。また、電気通信事業者が自らの意図に基づき個人データを第三者に提供する場合(※)は、漏えいに該当しない。
(※) 電気通信事業者は、個人データの第三者への提供に当たり、原則としてあらかじめ本人の同意を取得する必要がある。
また、電気通信事業法で規定する通信の秘密の「漏えい」は、他人の知り得る状態に置くことを意味し、考え方が異なることに注意が必要である。（※）

111

電気通信事業における個人情報保護指針（※）「電気通信事業における個人情報等の保護に関するガイドライン（令和４年個
人情報保護委員会・総務省告示第４号（最終改正令和５年個人情報保護委
員会・総務省告示第５号））の解説」6-5-3（「漏えい」の考え方）参照）

3-6-2 「滅失」の考え方

個人データの「滅失」とは、個人データの内容が失われることをいう。
【個人データの滅失に該当する事例】
事例 1 )個人情報データベース等から出力された氏名等が記載された帳票等を誤って廃棄した場合(※1)
事例 2) 個人データが記載又は記録された書類・媒体等を社内で紛失した場合(※2) なお、上記の場合であっても、その内容と同じデータが他に保管されている場合は、滅失に該当しない。また、電気通信事業者が合理的な理由により個人データを削除する場合は、滅失に該当しない。
(※1) 当該帳票等が適切に廃棄されていない場合には、個人データの漏えいに該当する場合がある。
(※2) 社外に流出した場合には、個人データの漏えいに該当する。
Draft

3-6-2-1 「毀損」の考え方

個人データの「毀損」とは、個人データの内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となることをいう。
【個人データの毀損に該当する事例】
事例 1) 個人データの内容が改ざんされた場合
事例 2) 暗号化処理された個人データの復元キーを喪失したことにより復元できなくなった場合事例 3) ランサムウェア等により個人データが暗号化され、復元できなくなった場合(※) なお、上記事例 2)及び事例 3)の場合であっても、その内容と同じデー
タが他に保管されている場合は毀損に該当しない。
(※)同時に個人データが窃取された場合には、個人データの漏えいにも該当
する。

112

電気通信事業における個人情報保護指針

3-6-3 漏えい等事案が発覚した場合に講ずべき措置

電気通信事業者は、漏えい等又はそのおそれのある事案(以下「漏えい等事案」という。)が発覚した場合は、漏えい等事案の内容等に応じて、 次の(1)から(5)までに掲げる事項について必要な措置を講じなければならない。
(1) 事業者内部における報告及び被害の拡大防止
責任ある立場の者に直ちに報告するとともに、漏えい等事案による被害が発覚時よりも拡大しないよう必要な措置を講ずる。
(2) 事実関係の調査及び原因の究明
漏えい等事案の事実関係の調査及び原因の究明に必要な措置を講ずる。
(3) 影響範囲の特定
上記(2)で把握した事実関係による影響範囲の特定のために必要な措置を講ずる。
(4) 再発防止策の検討及び実施
上記(2)の結果を踏まえ、漏えい等事案の再発防止策の検討及び実施に必要な措置を講ずる。
(5) 個人情報保護委員会又は委任を受けた総務大臣等への報告及び本人への通知
3-6-4(個人情報保護委員会又は委任を受けた総務大臣等への報告)、3-6-5(本人への通知)を参照のこと。なお、漏えい等事案の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、事実関係及び再発防止策等について、速やかに公表することが望ましい。
なお、電気通信事業法第 28 条において同法第 2 条第 5 号に定める電気通信事業者に対し通信の秘密の漏えいが生じた場合の総務大臣への報告義務を定めていることから、通信の秘密に係る個人情報について漏えいの事案が発生した場合は総務大臣へ報告しなければならない。

3-6-4 個人情報保護委員会又は委任を受けた総務大臣等への報告（ガイドライン第 16条第１項関係）
ガイドライン第 16 条（第 1 項）

113

電気通信事業における個人情報保護指針

1 電気通信事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人
データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして次の各号のいずれかに該当するものが生じたときは、次項から第 4 項
までの規定で定めるところにより、 当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該電気通信事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、第 5 項に定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。
(1) 要配慮個人情報が含まれる個人データ(高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この項及び次項において同じ。)の漏えい、滅失若しく は毀損(以下この項及び次項において「漏えい等」という。)が発生し、又は発生したおそれがある事態(2) 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態(3) 不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態(4) 個人データに係る本人の数が 1,000 人を超える漏えい等が発生し、又は発生したおそれがある事態

Draft

3-6-4-1 報告対象となる事態

電気通信事業者は、次の(1)から(4)までに掲げる事態(以下「報告対象事態」という。)
を知ったときは、個人情報保護委員会(法第 150 条 の規定により総務大臣等が報告を受理する権限の委任を受けている場合にあっては総務大臣等)に報告しなければならない(※1)(※2)。
(1) 要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態(第 16 条第 1 項第 1 号関係)【報告を要する事例】
事例) 従業員の健康診断等の結果を含む個人データが漏えいした場合(2) 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態(第 16 条第 1 項第 2 号関係)
財産的被害が生じるおそれについては、対象となった個人データの性質・内容等を踏まえ、財産的被害が発生する蓋然性を考慮して判断する。
114

電気通信事業における個人情報保護指針【報告を要する事例】
事例 1) EC サイトからクレジットカード番号を含む個人データが漏えいした場合
事例 2) 送金や決済機能のあるウェブサービスのログイン ID とパスワードの組み合わせを含む個人データが漏えいした場合(3) 不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態(第 16 条第 1 項第 3 号関係)
「不正の目的をもって」漏えい等を発生させた主体には、第三者のみならず、従業者も含まれる。
【報告を要する事例】
事例 1) 不正アクセスにより個人データが漏えいした場合(※3)
事例 2) ランサムウェア等により個人データが暗号化され、復元できなく なった場
合事例 3) 個人データが記載又は記録された書類・媒体等が盗難された場合
事例 4) 従業者が顧客の個人データを不正に持ち出して第三者に提供した場合(※4)(4) 個人データに係る本人の数が 1,000 人を超える漏えい等が発生し、又 は発生したおそれがある事態(第 16 条第 1 項第 4 号関係)
「個人データに係る本人の数」は、当該電気通信事業者が取り扱う個人データのうち、漏えい等が発生し、又は発生したおそれがある個人データ に係る本人の数をいう。「個人データに係る本人の数」について、事態が発覚した当初 1,000 人以下であっても、その後 1,000 人を超えた場合には、1,000 人を超えた時点で第16 条第 1 項第 4 号に該当することになる。 本人の数が確定できない漏えい等において、漏えい等が発生したおそれがある個人データに係る本人の数が最大
1,000 人を超える場合には、第 16 条 第 1 項第 4 号に該当する。
【報告を要する事例】
事例) システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となり、当該個人データに係る本人の数が 1,000 人を超える場合(※1) 報告対象事態に該当しない漏えい等事案であっても、電気通信事業者は個人情報保護委員会に任意の報告をすることができる。

115

電気通信事業における個人情報保護指針(※2) 報告対象事態における「おそれ」については、その時点で判明している事実関係に基づいて個別の事案ごとに蓋然性を考慮して判断することになる。漏えい等が発生したおそれについては、その時点で判明している事実関係からして、漏えい等が疑われるものの漏えい等が生じた確証がない場合がこれに該当する。
(※3) サイバー攻撃の事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、次の(ア)から(エ)までが考えられる。
(ア)個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において外部からの不正アクセスによりデータが窃取された痕跡が認められた場合(イ)個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において、情報を窃取する振る舞いが判明 しているマルウェアの感染が確認された場合(ウ)マルウェアに感染したコンピュータに不正な指令を送り、制御するサーバ(C&C サーバ)が使用しているものとして知られている IP アドレス・
FQDN(Fully Qualified Domain Name の略。サブドメイン名及びドメイン名からなる文字列であり、ネットワーク上のコンピュータ(サーバ等)を特定する もの。)への通信が確認された場合(エ)不正検知を行う公的機関、セキュリティ・サービス・プロバイダ、専門家等の第三者から、漏えいのおそれについて、一 定の根拠に基づく連絡を受けた場
合Draft(※4) 従業者による個人データの持ち出しの事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において、通常の業務で必要としないアクセスによりデータが窃取された痕跡が認められた場合が考えられる。
なお、漏えい等が発生し、又は発生したおそれがある個人データについて、高度な暗号化等の秘匿化がされている場合等、「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられている場合については、報告を要
しない。
（参考）
法第 26 条(第 1 項)
1 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、 毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保
護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければな らない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を
116

電気通信事業における個人情報保護指針

受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。
規則第 7 条
法第 26 条第 1 項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。
(1) 要配慮個人情報が含まれる個人データ(高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第 1 項において同じ。)の漏えい、滅失若しくは毀損(以下この条及び次条第 1 項において「漏えい等」という。) が発生し、又は発生したおそれがある事態(2) 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態(3) 不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態(4) 個人データに係る本人の数が 1,000 人を超える漏えい等が発生し、又は発生した
おそれがある事態
法第 150 条(第 1 項)
1 委員会は、緊急かつ重点的に個人情報等の適正な取扱いの確保を図る必要があることその他の政令で定める事情があるため、個人情報取扱事業者等に対し、第148 条第 1 項の規定による勧告又は同条第 2 項若しくは第 3 項の規定による命令を効果的に行う上で必要があると認めるときは、政令で定めるところにより、第 26 条
第 1 項、第 146 条第 1 項、第 162 条において読み替えて準用する民事訴訟法(平成 8 年法律 第 109 号)第 99 条、第 101 条、第 103 条、第 105 条、第 106 条、第108 条及び第 109 条、第 163 条並びに第 164 条の規定による権限を事業所管大臣に委任することができる。

3-6-4-2 報告義務の主体

漏えい等報告の義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人
データを取り扱う電気通信事業者である。 個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人データを取り扱っていることになるため、報告対象事態に該当する場合には、原則として委託元と委託先の双方が報告する義務を負う。 この場合、委託元及び委託先の連名で報告することができる。
なお、委託先が、報告義務を負っている委託元に当該事態が発生したことを通知したときは、委託先は報告義務を免除される(3-6-3-5(委託元への通知による例外)参照)。
また、委託元から委託先にある個人データ(個人データ A)の取扱いを委託している場合であって、別の個人データ(個人データ B)の取扱いを委託していないときには、個人データ
117

電気通信事業における個人情報保護指針

B について、委託元において報告対象事態が発生した場合であっても、委託先は報告義
務を負わず、委託元のみが報告義務を負うことになる。

3-6-4-3 速報（ガイドライン第 16 条第２項関係）

ガイドライン第 16 条(第 2 項)
2 電気通信事業者は、前項本文の規定による報告をする場合には、同項各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項(報告をしようとする
時点において把握しているものに限る。第 5 項において同じ。)を報告しなければならない。
(1) 概要(2) 漏えい等が発生し、又は発生したおそれがある個人データの項目(3) 漏えい等が発生し、又は発生したおそれがある個人データに係る 本人の数
(4) 原因(5) 二次被害又はそのおそれの有無及びその内容(6) 本人への対応の実施状況(7) 公表の実施状況(8) 再発防止のための措置(9) その他参考となる事項
Draft

電気通信事業者は、報告対象事態を知ったときは、速やかに、個人情報保護委員会(法第 150 条の規定により総務大臣等が報告を受理する権限の委任を受けている場合にあっては総務大臣等)に報告しなければならない。総務大臣等に報告する場合、報告期
限は個人情報保護委員会に報告する場合と同様である。
報告期限の起算点となる「知った」時点については、個別の事案ごとに判断されるが、電気通信事業者が法人である場合には、いずれかの部署が当該事態を知った時点を基準とする。
「速やか」の日数の目安について は、個別の事案によるものの、電気通信事業者が当該事態を知った時点からおおむね 3〜5 日以内である。
個人情報保護委員会又は委任を受けた総務大臣等への漏えい等報告については、次の(1)から(9)までに掲げる事項を、個人情報保護委員会又は委任を受けた総務大臣等に対して行う。速報時点での報告内容については、報告をしようとする時点において把握している内容を報告すれば足りる。
(1)「概要」当該事態の概要について、発生日、発覚日、発生事案、発見者、第 16 条 第 1 項
各号該当性、委託元及び委託先の有無、事実経過等を報告する。
(2)「漏えい等が発生し、又は発生したおそれがある個人データの項目」
118

電気通信事業における個人情報保護指針

漏えい等が発生し、又は発生したおそれがある個人データの項目について、媒体や種類(顧客情報、従業員情報の別等)とともに報告する。
(3)「漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数」
漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数について報告する。
(4)「原因」
当該事態が発生した原因について、当該事態が発生した主体(報告者又は委託先)とともに報告する。
(5)「二次被害又はそのおそれの有無及びその内容」
当該事態に起因して発生する被害又はそのおそれの有無及びその内容について報告する。
(6)「本人への対応の実施状況」
当該事態を知った後、本人に対して行った措置(通知を含む。)の実施状況について報告する。
(7)「公表の実施状況」
当該事態に関する公表の実施状況について報告する。
(8)「再発防止のための措置」
漏えい等事案が再発することを防止するために講ずる措置について、実施済みの措置と今後実施予定の措置に分けて報告する。
(9)「その他参考となる事項」
上記の(1)から(8)までの事項を補完するため、個人情報保護委員会 又は委任を受けた総務大臣等が当該事態を把握する上で参考となる事項を 報告する。
（参考）
規則第 8 条(第 1 項)
個人情報取扱事業者は、法第 26 条第 1 項本文の規定による報告をする場合には、前条各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項(報告をしようとする時点において把握しているものに限る。次条において同じ。)を報告しなければならない。
(1) 概要(2) 漏えい等が発生し、又は発生したおそれがある個人データの項目(3) 漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数
119電気通信事業における個人情報保護指針(4) 原因(5) 二次被害又はそのおそれの有無及びその内容(6) 本人への対応の実施状況(7) 公表の実施状況(8) 再発防止のための措置(9) その他参考となる事項

3-6-4-4 確報（ガイドライン第 16 条第 3 項関係）

ガイドライン第 16 条(第 3 項)
3 前項の場合において、電気通信事業者は、当該事態を知った日から 3 0 日以内(当該事態が第 1 項第 3 号に定めるものである場合にあっては、60 日以内)に、当該事態に関する前項各号に定める事項を報告しなければならない。

電気通信事業者は、報告対象事態を知ったときは、速報に加え(※1)、 30 日以内(第 16条第 1 項第 3 号の事態においては 60 日以内。同号の事態に加え、同項第 1 号、第 2 号
又は第 4 号の事態にも該当する場合も 60 日以内。)に個人情報保護委員会(法第 150 条の規定により総務大臣等が報告を受理する権限の委任を受けている場合にあっては総務大臣等)に報告しなければならない。
30 日以内又は 60 日以内は報告期限であり、可能である場合には、より早期に報告することが望ましい。 報告期限の起算点となる「知った」時点については、速報と同様に、電気通信事業者が法人である場合には、いずれかの部署が当該事態を知った時点を基準とし、確報の報告期限の算定(※2)に当たっては、その時点を 1 日目とする。
確報においては、3-6-4-3(1)から(9)までに掲げる事項の全てを報告しなければならない。
確報を行う時点(報告対象事態を知った日から 30 日以内又は 60 日以内)において、合理的努力を尽くした上で、一部の事項が判明しておらず、全ての事項を報告することができな
Draft

い場合には、その時点で把握している内容を報告し、判明次第、報告を追完するものとする。
(※1)速報の時点で全ての事項を報告できる場合には、1 回の報告で速報と確報を兼ねることができる。 (※2)確報の報告期限(30 日以内又は 60 日以内)の算定に当たっては、 土
日・祝日も含める。ただし、30 日目又は 60 日目が土日、祝日又 は年末年始閉庁日(12 月
29 日～1 月 3 日)の場合は、その翌日を報告期限とする(行政機関の休日に関する法律(昭和 63 年法律第 91 号)第 2 条)。
(参考)規則第 8 条(第 2 項)
前項の場合において、個人情報取扱事業者は、当該事態を知った日から 30 日以内(当該事態が前条第 3 号に定めるものである場合にあっては、60 日以内)に、当該事態に関する
前項各号に定める事項を報告しなければならない。
120

電気通信事業における個人情報保護指針

3-6-4-5 委託元への通知による例外（ガイドライン第 16 条 5 項関係）

ガイドライン第 16 条(第 5 項)
5 電気通信事業者は、第 1 項ただし書の規定による通知をする場合には、同項各号に定める事態を知った後、速やかに、第 2 項各号に定める 事項を通知しなければならない。
委託先は、個人情報保護委員会(法第 150 条の規定により総務大臣等が報告を受理する権限の委任を受けている場合にあっては総務大臣等)への報告義務を負っている委託元に対し、3-6-4-3(1)から(9)までに掲げる事項のうち、その時点で把握しているものを通知したときは、報告義務を免除される。委託元への通知については、速報としての報告と同様に、報告対象事態を知った後、速やかに行わなければならない。「速やか」の日数の目安については、個別の事案によるものの、委託先が当該事態の発生を知った時点からおおむね
3～5 日以内である。 この場合、委託先から通知を受けた委託元が報告をすることになる。
委 託元は、通常、遅くとも委託先から通知を受けた時点で、報告対象事態を知ったこととなり、速やかに報告を行わなければならない。 なお、通知を行った委託先は、委託元から報告するに当たり、事態の把握を行うとともに、必要に応じて委託元の漏えい等報告に協力することが求められる。
(参考)
規則第 9 条
個人情報取扱事業者は、法第 26 条第 1 項ただし書の規定による通知をする場合には、
第 7 条各号に定める事態を知った後、速やかに、前条 第 1 項各号に定める事項を通知しなければならない。

3-6-5 本人への通知（ガイドライン第 16 条第６項関係）

ガイドライン第 16 条(第 6 項)
6 第 1 項に規定する場合には、電気通信事業者 (同項ただし書の規定による通知をした者を除く。)は、本人に対し、同項各号に定める事態を知った後、当該事態の状況に応じて速やかに、当該本人の権利利益を保護するために必要な範囲において、第 2 項第 1号、第 2 号、第 4 号、第 5 号及び第 9 号に定める事項とともに、当該事態が生じた旨を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
（参考）
法第 26 条(第 2 項)
2 前項に規定する場合には、個人情報取扱事業者(同項ただし書の規定による通知をした者を除く。)は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が121

電気通信事業における個人情報保護指針

生じた旨を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
規則第 10 条
個人情報取扱事業者は、法第 26 条第 2 項本文の規定による通知をする場合には、第 7条各号に定める事態を知った後、当該事態の状況に応じて速やかに、当該本人の権利利益を保護するために必要な範囲において、第 8 条第 1 項第 1 号、第 2 号、第 4 号、第 5号及び第 9 号に定める事項を通知しなければならない。

3-6-5-1 通知対象となる事態及び通知義務の主体

電気通信事業者は、報告対象事態を知ったときは、本人への通知を行わなければならない。
通知義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データを取り扱う電気通信事業者である。 個人データの取扱いを委託している場合において、委託先が、報告義務を負っている委託元に対し、3-6-4-3(1)から(9)までに掲げる事項のうち、その時点で把握しているものを通知したときは、委託先は報告義務を免除されるとともに、本人への通知義務も免除される。

Draft

3-6-5-2 通知の時間的制限

電気通信事業者は、報告対象事態を知ったときは、当該事態の状況に応じて速やかに、本人への通知を行わなければならない。
「当該事態の状況に応じて速やかに」とは、速やかに通知を行うことを求めるものであるが、具体的に通知を行う時点は、個別の事案において、その時点で把握している事態の内容、通知を行うことで本人の権利利益が保護される蓋然性、本人への通知を行うことで生じる弊害等を勘案して判断する。
【その時点で通知を行う必要があるとはいえないと考えられる事例 (※)】
事例 1) インターネット上の掲示板等に漏えいした複数の個人データがアッ プロー
ドされており、個人情報取扱事業者において当該掲示板等の管理者に削除を求めるなど、必要な初期対応が完了しておらず、本人に通知することで、かえって被害が拡大するおそれがある場合
事例 2) 漏えい等のおそれが生じたものの、事案がほとんど判明しておらず、その時点で本人に通知したとしても、本人がその権利利益を保護するための措置を講じられる見込みがなく、かえって混乱が生じるおそれがある場合(※) 「当該事態の状況に応じて速やかに」本人への通知を行うべきことに変わりはない。

122電気通信事業における個人情報保護指針

3-6-5-3 通知の内容

本人へ通知すべき事項については、漏えい等報告における報告事項のうち、「概要」(第16 条第 2 項第 1 号)、「漏えい等が発生し、又は発生したおそれがある個人データの項目」(同項第 2 号)、「原因」(同項第 4 号)、「二次被害又はそのおそれの有無及びその内容」(同項第 5 号)及び「その他参考となる事項」(同項第 9 号)(※)に限られている。これらの事項が全て判明するまで本人への通知をする必要がないというものではなく、本人への通知は、「当該事態の状況に応じて速やかに」行う必要がある(3-6-5-2(通知の時間的制限)参照)。
本人への通知については、「本人の権利利益を保護するために必要な範囲において」行
うものである。
また、当初報告対象事態に該当すると判断したものの、その後実際には報告対象事態に該当していなかったことが判明した場合には、本人への通知が「本人の権利利益を保護するために必要な範囲において」行うものであることに鑑み、本人への通知は不要である。
【本人の権利利益を保護するために必要な範囲において通知を行う事例】
事例 1) 不正アクセスにより個人データが漏えいした場合において、その原因を本人に通知するに当たり、個人情報保護委員会に報告した詳細な内容ではな
く、必要な内容を選択して本人に通知すること。
事例 2) 漏えい等が発生した個人データの項目が本人ごとに異なる場合において、当該本人に関係する内容のみを本人に通知すること。
(※) 第 16 条第 2 項第 1 号、第 2 号、第 4 号、第 5 号及び第 9 号に定める事項については、3-6-4-3(速報)を参照のこと。なお、同項第 9 号に定める事項については、本人への通知を補完するため、本人にとって参考となる事項をいい、例えば、本人が自らの権利利益を保護する ために取り得る措置が考えられる。

3-6-5-4 通知の方法「本人への通知」とは、本人に直接知らしめることをいい、事業の性質及び個人データの取扱状況に応じ、通知すべき内容が本人に認識される合理的かつ適切な方法によらなければならない（2-15（本人に通知）参照。また、漏えい等報告と異なり、本人への通知については、その様式が法令上定められていないが、本人にとって分かりやすい形で通知を行うことが望ましい。
【本人への通知の方法の事例】
事例 1） 文書を郵便等で送付することにより知らせること。
事例 2) 電子メールを送信することにより知らせること。

123

電気通信事業における個人情報保護指針

3-6-6 通知の例外

本人への通知を要する場合であっても、本人への通知が困難である場合は、本人の権
利利益を保護するために必要な代替措置(※1)を講ずることによる対応が認められる。
【本人への通知が困難な場合に該当する事例】
事例 1) 保有する個人データの中に本人の連絡先が含まれていない場合
事例 2) 連絡先が古いために通知を行う時点で本人へ連絡できない場合【代替措置に該当する事例】
事例 1) 事案の公表(※2)
事例 2) 問合せ窓口を用意してその連絡先を公表し、本人が自らの個人データが対象となっているか否かを確認できるようにすること(※1) 代替措置として事案の公表を行わない場合であっても、当該事態の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、公表を行うことが望ましい。
(※2) 公表すべき内容は、個別の事案ごとに判断されるが、本人へ通知すべき内容を基本
とする。

Draft

3-7 個人データの第三者への提供（ガイドライン第 17 条～第 20 条関係）
3-7-1 第三者提供の制限の原則（ガイドライン第 17 条第 1 項関係）

法第 27 条（第 1 項）
1 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、 個人データを第三者に提供してはならない。
(1) 法令に基づく場合(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(5) 当該個人情報取扱事業者が学術研究機関等である場合であっ て、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき(個人の権利利益を不当に侵害するおそれがある場合を除く。)。
(6) 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき(当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害す124電気通信事業における個人情報保護指針

るおそれがある場合を除く。) (当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。)。
(7) 当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき(当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除 く。)。
ガイドライン第 17 条（第 1 項）
1

電気通信事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
(1) 法令に基づく場合(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場

合であって、本人の同意を得ることが困難であるとき。
(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(5) 当該電気通信事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき(個人の権利利益を不当に侵害するおそれがある場合を除 く。)。
(6) 当該電気通信事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき(当該個人データを提供する
目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)(当該電気通信事業者と当該第三者が共同して学術研究を行う場合に限る。)。
(7) 当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき(当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)。
電気通信事業者は、個人データの第三者への提供に当たり、あらかじめ本人の同意（※1）を得ないで提供してはならない（※2）（※3）。同意の取得に当たっては、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示さなければならない。
なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的において、その旨を特定しなければならない（3-1-1（利用目的の特定）参照）。
125電気通信事業における個人情報保護指針（※1）「本人の同意」については、2-17（本人の同意）を参照のこと。
（※2）ブログやその他の SNS に書き込まれた個人データを含む情報について
は、当該情報を書き込んだ者の明確な意思で不特定多数又は限定された対象に対して公開されている情報であり、その内容を誰が閲覧できるかについて当該情報を書き込んだ者が指定していることから、その公開範囲について、インターネット回線への接続サービスを提供するプロバイダ
やブログその他の SNS の運営事業者等に裁量の余地はないため、このような場合は、当該事業者が個人データを第三者に提供しているとは解されない。
（※3）電気通信事業者若しくはその従業者又はこれらであった者が、その業務に関して取り扱った個人情報データベース等（その全部又は一部を複製し、又は加工したものを含む。）を自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、法第 179 条により刑事罰（1 年以下の懲役又は 50 万円以下の罰金）が科され得る。
【第三者提供とされる事例】（ただし、第 17 条第 10 項各号の場合を除く。）
事例 1）親子兄弟会社、グループ会社の間で個人データを交換する場合
事例 2）フランチャイズ組織の本部と加盟店の間で個人データを交換する場合
事例 3）電気通信事業者間で、特定の個人データを交換する場合
Draft【第三者提供とされない事例】（ただし、利用目的による制限がある。）
事例）同一電気通信事業者内で他部門へ個人データを提供する場合
ただし、次の（1）から（7）までに掲げる場合については、第三者への個人データの提供に当たって、本人の同意は不要である。なお、(1)から(４)までの
具体的な事例は、3-1-6（利用目的による制限の例外）を参照のこと。
（1）法令に基づいて個人データを提供する場合（第 17 条第 1 項第 1 号関係）
「法令に基づく場合」について、裁判官の発付する令状により強制処分として捜索・押収等がなされる場合には、令状で特定された範囲内の情報を提供するものである限り、提供を拒むことはできない。
他方、法律上の照会権限を有する者からの照会（刑事訴訟法第 197 条第 2 項、
少年法第 6 条の 4、弁護士法第 23 条の 2 第 2 項、特定電子メールの送信の適正化等に関する法律（平成 14 年法律第 26 号。以下「特定電子メール法」という。）第29 条等）等がなされた場合においては、原則として照会に応じるべきであるが、電気通信事業者には通信の秘密を保護すべき義務もあることから、通信の秘密に属する事項（通信内容にとどまらず、通信当事者の住所・氏名、発受信場所、通信年月日
等通信の構成要素及び通信回数等通信の存在の事実の有無を含む。）について提供することは原則として適当ではない。なお、個々の通信とは無関係の加入者の住126

電気通信事業における個人情報保護指針

所・氏名等は、通信の秘密の保護の対象外であるから、基本的に法律上の照会権限を有する者からの照会に応じることは可能である。もっとも、個々の通信と無関係かど
うかは、照会の仕方によって変わってくる場合があり、照会の過程でその対象が個々の通信に密接に関係することがうかがえるときには、通信の秘密として扱うのが適当である。(※4）
いずれの場合においても、本人等の権利利益を不当に侵害することのないよう提供等に応じるのは、令状や照会書等で特定された部分に限定する等提供の趣旨に即して必要最小限の範囲とすべきであり、一般的網羅的な提供は適当ではない。
(※4) 特定電気通信役務提供者の損害賠償責任の制限及び発信者情報の開示に関する法律（平成 13 年法律第 137 号）第４条に定める発信者情報
開示請求により、権利侵害情報が書き込まれた場・サービスを提供していた事業者（コンテンツプロバイダ（ CP ））が保有する電話番号が請求者（特定電気通信による情報の流通により自己の権利を侵害されたとする者）に開示された後、当該請求者の代理人弁護士が、権利侵害情報の発信者を特定する目的で、当該電話番号により電話サービスを提供する電気通信事業者（以下「電話会社」という。）に対して、弁護士法第 23 条の２第２項に基づく照会（以下「弁護士会照会」という。）により、当該電話番号に対応する加入者の住所・氏名の提出を求める場合がある。
この場合には、当該電話会社にとって、権利侵害情報の投稿通信は自ら提供する電話サービスの個々の通信ではなく、また、当該弁護士会照会は 当該電話会社が提供する電話サービスの個々の通信の発信者を明らかにするためのものではないため、これに応じることは通信の秘密を侵害するものではないと解される。
（2）人（法人を含む。）の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得ることが困難である場合（第 17 条第 1 項第 2 号関係）
（3）公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることが困難である場合（第 17 条第 1 項
第 3 号関係）（4）国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であって、協力する民間企業等が当該国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合（法第 17 条第 1 項第 4 号関係）

127

電気通信事業における個人情報保護指針（5)学術研究機関等(※1)である電気通信事業者が個人データを提供する場合であり、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ない場
合(個人の権利利益を不当に侵害するおそれ がある場合を除く(※2)。)(第 17 条第1 項第 5 号関係)
事例 1) 顔面の皮膚病に関する医学論文において、症例に言及する場合であって、目線を隠す等の対応をすることにより当該論文による研究成果の公表の目的が達せられなくなるとき
事例 2) 実名で活動する特定の作家の作風を論ずる文学の講義において、当該作家の実名を含む出版履歴に言及する場合であって、作家の実名を伏せることにより当該講義による教授の目的が達せられなくなる とき(※1) 「学術研究機関等」については、2-19(学術研究機関等)を参照のこと。
(※2) 「個人の権利利益を不当に侵害するおそれがある場合」には、個人データを第三者に提供することはできない。この場合、個人の権利利益を不当に侵害しないような措置を講ずるなど適切に処理する必要がある。この点、学術研究の成果の公表又は教授のためやむを得ず、個人データを提供する場合であっても、本人又は第三者の権利利益の保護の観点から、提供する個人データの範囲を限定するなど、学術研究の目的に照らして可能な措置を講ずることが望ましい。
Draft（6)学術研究機関等(※1)である電気通信事業者が個人データを提供する場合であり、かつ、当該電気通信事業者と共同して学術研究を行う第三者(学術研究機関等であるか否かを問わない。)に当該個人データを学術研究目的(※2)で提供する必要がある場合(当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く(※3)。)(第 17条第 1 項第 6 号関係)(※1) 「学術研究機関等」については、2-19(学術研究機関等)を参照のこと。
(※2) 「学術研究目的」については、2-20(学術研究目的)を参照のこと。
(※3) 「個人の権利利益を不当に侵害するおそれがある場合」には、個人データを第三者に提供することはできない。この場合、個人の権利利益を不当に侵害しないような措置を講ずるなど適切に処理する必要がある。この点、学術研究目的で個人データを提供する必要があって、学術研究機関等と共同して学術研究を行う場合であっても、本人又は第三者の権利利益の保護の観点から、提供する個人データの範囲を限定するなど、学術研究の目的に照らして可能な措置を講ずることが望ましい。

128

電気通信事業における個人情報保護指針(7)電気通信事業者が個人データを学術研究機関等(※1)に提供する場合であって、当該学術研究機関等(※1)が当該個人データの第三者提供を受ける場合であり、かつ、当該電気通信事業者が当該個人データを学術研究目的(※2)で取り扱う必要がある場合(当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く(※3)。)(第 17条第 1 項第 7 号関係)(※1) 「学術研究機関等」については、2-19(学術研究機関等)を参照のこと。
(※2) 「学術研究目的」については、2-20(学術研究目的)を参照のこと。
(※3) 「個人の権利利益を不当に侵害するおそれがある場合」には、個人デー
タを第三者に提供することはできない。この場合、当該個人データを不当に侵害しないような形で加工するなど適切に処理する必要がある。この点、学術研究目的で個人データの提供を受ける必要がある場合であっても、本人又は第三者の権利利益の保護の観点から、提供する個人データの範囲を限定するなど、学術研究の目的に照らして可能な措置を講ずることが望ましい。

3-7-2 オプトアウトによる第三者提供（ガイドライン第 17 条第 2 項～第 7 項、第 9 項関係）
3-7-2-1 オプトアウトに関する原則（ガイドライン第 17 条第 2 項、第 4 項～第 7 項、第 9

項関係）
法第 27 条（第 2 項）
2

個人情報取扱事業者は、第三者に提供される個人データ（要配慮個人情報を除く。以下この項において同じ。）について、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、
本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委
員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。ただし、第三者に提供される個人データが要配慮個人情報又は第 20 条第 1 項の規定に違反して取得されたもの若しくは他の個人情報取扱事
業者からこの項本文の規定により提供されたもの(その全部又は一部を複製し、又は加工したものを含む。)である場合は、この限りでない。
(1) 第三者への提供を行う個人情報取扱事業者の氏名又は名称及び 住所並びに法人にあっては、その代表者(法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。 以下この条、第 30 条第 1 項
第 1 号及び第 32 条第 1 項第 1 号において同じ。)の氏名(2) 第三者への提供を利用目的とすること。
(3) 第三者に提供される個人データの項目

129電気通信事業における個人情報保護指針(4) 第三者に提供される個人データの取得の方法(5) 第三者への提供の方法(6) 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
(7) 本人の求めを受け付ける方法(8) その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則でさだめる事項
ガイドライン第 17 条（第 2 項、第 4 項、第 5 項、第 6 項、第 7 項、第 9 項）
2

電気通信事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、ただし、第三者に提供される個人データが要配慮個人情報又は第 8 条第 1 項の規定に違反して取得されたもの若しくは他の個人情報取扱事業者からこの項本文の規定により提供されたもの(その全部又は一部を複製し、又 は加工したものを含む。)である場合は、この限りでない。
(1) 第三者への提供を行う電気通信事業者の氏名又は名称及び住所並びに法人にあっては、その代表者(法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。 以下この条、第 19 条第 1 項第 1号、第 20 条第 1 項第 1 号、第 21 条第 5 項第 3 号及び第 22 条第 1 項第 1号において同じ。)の氏名
Draft(2) 第三者への提供を利用目的とすること。
(3) 第三者に提供される個人データの項目(4) 第三者に提供される個人データの取得の方法(5) 第三者への提供の方法(6) 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
(7) 本人の求めを受け付ける方法(8) 第三者に提供される個人データの更新の方法(9) 当該届出に係る個人データの第三者への提供を開始する予定日

4 前二項の規定による通知又は容易に知り得る状態に置く措置は、次に掲げるところにより、行うものとする。
(1) 第三者に提供される個人データによって識別される本人（次号において「本人」という。）が当該提供の停止を求めるのに必要な期間をおくこと。
(2) 本人が第 2 項各号に掲げる事項を確実に認識できる適切かつ合理的な方法によること。
5 第 2 項又は第 3 項の規定による届出は、次に掲げる方法のいずれかにより行わな
130

電気通信事業における個人情報保護指針

ければならない。
(1) 電子情報処理組織（個人情報保護委員会の使用に係る電子計算機と届出を行う者の使用に係る電子計算機とを電気通信回線で接続した電子情報処
理組織をいう。）を使用する方法(2) 規則別記様式第 2(第 3 項の規定による個人データの提供をやめた旨の届出を行う場合にあっては、規則別記様式第 3)による届出書及び当該届出書に記載すべき事項を記録した光ディスク（これに準ずる方法により一定の事項を確実に記録しておくことができる物を含む。）を提出する方法
6 電気通信事業者が、代理人によって第 2 項又は第 3 項の規定による届出を行う
場合には、規則別記様式第 4 によるその権限を証する書面 (電磁的記録を含む。次条第 3 項及び第 7 項並びに第 23 条第 1 項を除き、以下同じ。)を個人情
報保護委員会に提出しなければならない。
7

外国にある電気通信事業者は、第 2 項又は第 3 項の規定による届出を行う場
合には、国内に住所を有する者であって、当該届出に関する一切の行為につき、
当該電気通信事業者を代理する権限を有するものを定めなければならない。この場合において、当該電気通信事業者は、当該届出と同時に当該電気通信事業者が国内に住所を有する者に、当該届出に関する一切の行為につき、当該電気通信事業者を代理する権限を付与したことを証する書面（日本語による翻訳文を含む。）を個人情報保護委員会に提出しなければならない。

9

電気通信事業者は、法第 27 条第 4 項の規定による公表がされた後、速やかに、インターネットの利用その他の適切な方法により、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項を公表するものとする。
(1) 第 2 項の規定による届出を行った場合同項各号に掲げる事項(2) 第 3 項の規定による変更の届出を行った場合
げる事項

変更後の第 2 項各号に掲(3) 第 3 項の規定による個人データの提供をやめた旨の届出を行った場合の旨

そ電気通信事業者は、個人データの第三者への提供に当たり、次の（1）から（9）までに掲げる事項をあらかじめ（※1）本人に通知し、又は本人が容易に知り得る状態（※2）に置くとともに、法第 27 条第 2 項の規定により個人情報保護委員会に届け出た場合には（※3）、第 17 条第 1 項の規定にかかわらず、あらかじめ本人の同意（※4）を得ることなく、個人データを第三者に提供することができる（※5）（オプトアウト
による第三者提供）。他方、電気通信事業者が加入者の個人データを第三者提供する場合は、契約約款により本人の同意を得て行うことが一般的に可能であり、基本的には本人の同意を得て行うこととすることが望ましい。ただし、契約約款により本人の同意を得て行う場合でも、電話帳に掲載する場合など本人の意思をできるだけ尊重

131電気通信事業における個人情報保護指針

すべきものについては、本人の申出により提供を停止するという扱いにすることが望ましい。
電気通信事業者は、第 17 条第 2 項に基づき、必要な事項を個人情報保護委員会に届け出たときは、その内容を自らもインターネットの利用その他の適切な方法により公表（※6）するものとする。
なお、要配慮個人情報を、オプトアウトにより第三者に提供することや、オプトアウト
により提供を受けた個人データをオプトアウトにより再提供することはできず、第三者に提供するに当たっては、第 17 条第 1 項各号又は同条第 5 項各号に該当する場
合以外は、必ずあらかじめ本人の同意を得る必要があるので、注意を要する。また、不正取得された個人データについても、オプトアウトにより第三者に提供することはできない（※7）。
（1）電気通信事業者の氏名又は名称及び住所並びに法人等の代表者の氏名（2）第三者への提供を利用目的とすること。
利用目的が具体的に分かる内容とすること。「等」や「その他」等のあいまいな表
現の記入は望ましくない。
事例１） 住宅地図帳、住宅地図データベース及び住宅地図関連商品（配信サービスを含む）を制作し、販売することで、個人データを第三者に提供すること。
事例２） 年齢別、資産家、健康食品購入者、同窓会、弁護士、不動産投資者
及びマンションオーナーの名簿を制作し、販売することで、個人データを第三者に提供すること。
Draft（3）第三者に提供される個人データの項目
オプトアウトにより第三者に提供される個人データの項目を網羅的に示す必要がある。提示されていない個人データの項目を、オプトアウトにより第三者に提供することはできないことに、注意を要する。
事例 1）氏名、住所、電話番号、年齢
事例 2）氏名、商品購入履歴（4）第三者に提供される個人データの取得の方法
オプトアウトにより第三者に提供される個人データについて、取得元 (取得源)と取得の方法を示す必要がある。
事例 1）新聞・雑誌・書籍・ウェブサイトの閲覧による取得
事例 2）官公庁による公開情報からの取得（5）第三者への提供の方法
132電気通信事業における個人情報保護指針

事例 1）書籍（電子書籍を含む。）として出版
事例 2）インターネットに掲載
事例 3）プリントアウトして交付
事例 4）各種通信手段による配信
事例 5）その他外部記録媒体の形式での交付（6）本人の求めに応じて第三者への提供を停止すること。

（7）本人の求めを受け付ける方法（※8）
事例 1）郵送
事例 2）メール送信
事例 3）ホームページ上の指定フォームへの入力
事例 4）事業所の窓口での受付
事例 5）電話（8）第三者に提供される個人データの更新の方法
第三者に提供される個人データをどのように更新しているかを記入する。

（9）当該届出に係る個人データの第三者への提供を開始する予定日
新規の届出の場合には、オプトアウトによる第三者提供を開始する予定日を記入する。変更届の場合には、変更届に基づいて第三者提供を開始する予定日を記入する。
（※1）オプトアウトによる第三者提供を行う際は、上記の（1）から（9）までに掲げる事項をあらかじめ、第三者に提供される個人データによって識別される本人が当該提供の停止を求めるのに必要な期間が確保されるよう本人に通知し又は本人が容易に知り得る状態に置かなければならない（第 17 条第 4 項第 1 号）ため、本人に通知し又は本人が容易に知り得る状態に置いた時点から、極めて短期間の後に、第三者提供を行ったような場合は、「本人が当該提供の停止を求めるのに必要な期間」をおいていないと判断され得る。
具体的な期間については、業種、ビジネスの態様、通知又は容易に知り得る状態の態様、本人と個人情報取扱事業者との近接性、本人から停止の求めを受け付ける体制、提供される個人データの性質などによっても異なり得るため、個別具体的に判断する必要がある。

133

電気通信事業における個人情報保護指針

また、「本人に通知し、又は本人が容易に知り得る状態に置く」時期と、「個人情報保護委員会に届け出」る時期は、必ずしも同時である
必要はないが、本人に通知し、又は本人が容易に知り得る状態に置いた後、速やかに個人情報保護委員会に届け出ることが望ましい。
（※2）「本人に通知」については、2-15（本人に通知）を参照のこと。
「本人が容易に知り得る状態」とは、事業所の窓口等への書面の掲示・備付けやホームページへの掲載その他の継続的方法により、本人が知ろうとすれば、時間的にも、その手段においても、簡単に知ることができる状態をいい、事業の性質及び個人情報の取扱状況に応じ、本人が確実に認識できる適切かつ合理的な方法によらなければならない（第 17 条第 4 項第 2 号）。
【本人が容易に知り得る状態に該当する事例】
事例 1）本人が閲覧することが合理的に予測される電気通信事業者のホームページ
において、本人が分かりやすい場所（例：ホームページのトップページから 1回程度の操作で到達できる場所等）に法に定められた事項を分かりやすく継
続的に掲載する場合
事例 2）本人が来訪することが合理的に予測される事務所の窓口等への掲示、備付け等が継続的に行われている場合
事例 3）本人に頒布されている定期刊行物への定期的掲載を行っている場合
事例 4）電子商取引において、商品を紹介するホームページにリンク先を継続的に表示する場合Draft（※3）届出の方法は、電子情報処理組織を使用する方法等が定める方法
によって行わなければならない（第 17 条第 5 項）。なお、代理人によって届出を行う場合は、個人情報保護委員会が定める様式によるその権限を称する書面を提出しなければならない（第 17 条第 6 項）。また、外国にある電気通信事業者が、届出を行う場合には、国内に住所を有する者に当該届出に関する一切の行為につき当該電気通信事業者を代理する権限を有するものを定めなければならず、当該代理権を証する
書面を個人情報保護委員会に提出しなければならない（第 17 条第 7項）。
（※4）「本人の同意」については、2-17（本人の同意）を参照のこと。
（※5）第 4 条第 1 項の規定により特定された当初の利用目的に、個人情報の第三者提供に関する事項が含まれていない場合は、第三者提供を行うと目的外利用となるため、オプトアウトによる第三者提供を行うことはできない。
（※6）基本的には「インターネットの方法」による「公表」が望ましいが、個人情報取扱事業者の特性、本人との近接性などにより、当該方法以外の
134

電気通信事業における個人情報保護指針

適切な方法による公表も可能である。「公表」については 2-16（公表）を参照のこと。
（※7）オプトアウトにより提供を受けた個人データのオプトアウトによる再提供の禁止や、不正取得された個人データのオプトアウトによる提供の禁止については、当該個人データの全部又は一部を複製・加工したものについても適用があるため、注意を要する。
（※8）「本人の求めを受け付ける方法」には、本人が求めを行う連絡先（事業者名、窓口名、郵送先住所又は送信先メールアドレス等。当該個人
情報取扱事業者が外国に本拠地を置く場合においては国内代理人の氏名、連絡先等。）が含まれる。
（参考）
規則第 11 条
1

法第 27 条第 2 項又は第 3 項の規定による通知又は容易に知り得る状態に置く
措置は、次に掲げるところにより、行うものとする。
(1)

第三者に提供される個人データによって識別される本人（次号において「本人」という。）が当該提供の停止を求めるのに必要な期間をおくこと。

(2)

本人が法第 27 条第 2 項各号に掲げる事項を確実に認識できる適切かつ合理的な方法によること。

2 法第 27 条第 2 項又は第 3 項の規定による届出は、次に掲げる方法のいずれかにより行わなければならない。
(1)

電子情報処理組織（個人情報保護委員会の使用に係る電子計算機と届出を行う者の使用に係る電子計算機とを電気通信回線で接続した電子情報処
理組織をいう。）を使用する方法(2)

別記様式第 2(法第 27 条第 3 項の規定による個人データの提供をやめた
旨の届出を行う場合にあっては、別記様式第 3)による届出書及び当該届出書に記載すべき事項を記録した光ディスク（これに準ずる方法により一定の事項を確実に記録しておくことができる物を含む。以下「光ディスク等」という。）を提出する方法

3 個人情報取扱事業者が、代理人によって法第 27 条第 2 項又は第 3 項の規定による届出を行う場合には、別記様式第 4 によるその権限を証する書面(電磁的記録を含む。第 17 条第 1 項、第 18 条第 2 項、第 30 条、第 47 条第 1 項、第 48
条第 2 項、第 54 条第 2 項、第 6 項及び第 7 項、第 60 条並びに第 66 条第 2項を除き、以下同じ。)を個人情報保護委員会に提出しなければならない。
4 法第 27 条第 2 項第 8 号の個人情報保護委員会規則で定める事項は、 次に掲げる事項とする。
(1) 第三者に提供される個人データの更新の方法(2) 当該届出に係る個人データの第三者への提供を開始する予定日
135電気通信事業における個人情報保護指針

規則第 12 条
外国にある個人情報取扱事業者は、法第 27 条第 2 項又は第 3 項の規定による届出を行う場合には、国内に住所を有する者であって、当該届出に関する一切の行為につき、当該個人情報取扱事業者を代理する権限を有するものを定めなければならない。この場合において、当該個人情報取扱事業者は、当該届出と同時に、当該個人情報取扱事業者が国内に住所を有する者に、当該届出に関する一
切の行為につき、当該個人情報取扱事業者を代理する権限を付与したことを証す
る書面（日本語による翻訳文を含む。）を個人情報保護委員会に提出しなければならない。
規則第 14 条
個人情報取扱事業者は、法第 27 条第 4 項の規定による公表がされた後、速やかに、インターネットの利用その他の適切な方法により、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項を公表するものとする。
(1) 法第 27 条第 2 項の規定による届出を行った場合 同項各号に掲げる事項(2) 法第 27 条第 3 項の規定による変更の届出を行った場合 変更後の同条第 2項各号に掲げる事項(3) 法第 27 条第 3 項の規定による個人データの提供をやめた旨の届出を行った
場合 その旨Draft－ 認定個人情報保護団体としての考え方及び例示 － (3-7-2-1 関係)法第 27 条第 2 項に基づくオプトアウト手続により個人データを第三者提供しようとする場合にあっては、オプトアウト手続を行っていること等を個人情報保護委員会へ届け出ることが必要となる。個人情報保護委員会による届出の受付は、平成 29 年 3
月 1 日より開始されている。
届出に関する詳細は、以下の URL 又は個人情報保護法相談ダイヤル(電話：036457-9849 ： 受付時間 土日祝日及び年末年始を除く 9：30～17：30)により確認されたい。
URL https://www.ppc.go.jp/personalinfo/pipldial/

3-7-2-2 オプトアウトに関する事項の変更及び個人データの提供をやめた場合（ガイドライン第 17 条第 3 項関係）
法第 27 条（第 3 項）
3

個人情報取扱事業者は、前項第 1 号に掲げる事項に変更があったとき又は同項の規定による個人データの提供をやめたときは遅滞なく、 同項第 3 号から第 5号まで、第 7 号又は第 8 号に掲げる事項を変更しようとするときはあらかじめ、その旨について、個人情報保護委員会規則で定めるところにより、本人に通知し、又は136

電気通信事業における個人情報保護指針

本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
ガイドライン第 17 条（第 3 項）
3

電気通信事業者は、前項第 1 号に掲げる事項に変更があったとき又は同項の規定による個人データの提供をやめたときは遅滞なく、同項第 3 号から第 5 号まで、
第 7 号又は第 8 号若しくは第 9 号に掲げる事項を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。

電気通信事業者は、第 17 条第 2 項に基づきオプトアウトにより個人データの第三者提供を行っている場合であって、次の(1)から(3)までのいずれかに該当する場合は、その旨について、本人に通知し、又は本人が容易に知り得る状態（※1）に置くとともに、
個人情報保護委員会に届け出なければならない（※2）。
なお、電気通信事業者は、第 17 条第 9 項に基づき、必要な事項を個人情報保護委
員会に届け出たときは、その内容を自らも公表（※3）するものとする。
(1)届出事項(第三者に提供される個人データの項目等)の変更があった場合第三者に提供される個人データの項目、第三者に提供される個人データの取得の方法、第三者への提供の方法、第三者への提供を停止すべきとの本人の求めを受け付ける方法、個人データの更新の方法又は第三者への提供を開始する予定日を変更する場合は、変更する内容について、あらかじめ(※4)、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
(2)届出事項(氏名又は名称、住所、法人等の代表者の氏名)の変更があった場合
第三者への提供を行う電気通信事業者の氏名又は名称、住所、法人等の代表者の氏名に変更があったときは、遅滞なく、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
(3)個人データの提供をやめた場合
第 17 条第 3 項に基づく個人データの第三者提供をやめたときは、遅滞なく、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
（※1）「本人に通知」については、2-15（本人に通知）を参照のこと。

137

電気通信事業における個人情報保護指針「本人が容易に知り得る状態」については、3-7-2-1（オプトアウトに関する原則） を参照のこと。なお、次のような方法であれば、適切かつ合理的な方法と解される。
・変更する内容を、例えば新旧対照表等により、分かりやすく明示した書面により本人に通知すること。
・本人が閲覧することが合理的に予測される個人情報取扱事業者のホームページにおいて、本人が分かりやすい場所に変更する内容を、例えば新旧対照表等により、分かりやすく明示すること。
（※2）届出の方法等については、3-7-2-1（オプトアウトに関する原則）を参照のこと。
（※3）「公表」については、2-16（公表）を参照のこと）。
（※4）「あらかじめ」の具体的な期間については、3-7-2-1(オプトアウトに関する原則)を参照。

（参考）
規則第 11 条、第 12 条及び第 14 条
（略）（3-7-2-1）（オプトアウトに関する原則）参照）

Draft

3-7-3 第三者提供の制限における通信の秘密に係る個人情報の例外（ガイドライン第 17条第 8 項関係）
ガイドライン第 17 条（第 8 項）
8 前各項の規定にかかわらず、電気通信事業者は、利用者の同意がある場合その他の違法性阻却事由がある場合を除いては、通信の秘密に係る個人情報を第三者に提供してはならない。
個人情報が通信の秘密に該当する場合、第三者提供が許されるのは、通信当事者の同意がある場合のほか、裁判官の発付した令状に従う場合、緊急避難の要件に該当する場合その他の違法性阻却事由がある場合に限られる。
（※）通信の秘密に係る個人情報の取扱いに関する同意については 2-17（本人の同意）を参照のこと。

3-7-4 第三者に該当しない場合（ガイドライン第 17 条第 10 項関係）

法第 27 条（第 5 項）
5

次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。
(1) 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データ

138

電気通信事業における個人情報保護指針の取扱いの全部又は一部を委託することに伴って当該個人データが提供される
場合(2) 合併その他の事由による事業の承継に伴って個人データが提供される場合(3) 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ本人に通知し、又は本人が容易に知り得る状態に置いているとき。
ガイドライン第 17 条（第 10 項）
10 次に掲げる場合において、当該個人データの提供を受ける者は、第 1 項から
第 7 項まで及び前項の規定の適用については、第三者に該当しないものとする。
(1) 電気通信事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合(2) 合併その他の事由による事業の承継に伴って個人データが提供される場合(3) 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。
次の（1）から（3）までの場合については、個人データの提供先は電気通信事業者とは別の主体として形式的には第三者に該当するものの、本人との関係において提供主体である電気通信事業者と一体のものとして取り扱うことに合理性があるため、第三者に該当しないものとする。
このような要件を満たす場合には、電気通信事業者は、第 17 条第 1 項から第 7 項まで及び第 9 項の規定にかかわらず、あらかじめの本人の同意又は第三者提供におけるオプトアウトを行うことなく、個人データを提供することができる。
なお、通信の秘密に係る個人情報については本項の対象外であり、委託、事業の承継、共同利用に伴う場合であっても、通信当事者の同意又は違法性阻却事由がなければ提供してはならない。ただし、合併・会社分割のような情報の保持主体が実質的に同一である場合についてはこの限りではない。
（1）委託（第 17 条第 10 項第 1 号関係）

139

電気通信事業における個人情報保護指針

利用目的の達成に必要な範囲内において、個人データの取扱いに関する業務の全部又は一部を委託することに伴い、当該個人データが提供される場合は、当該提供先は第三者に該当しない。
なお、電気通信事業者には、第 13 条第 3 項により、委託先に対する監督責任が課される（3-4-6（委託先の監督）参照）。
事例 1）データの打ち込み等、情報処理を委託するために個人データを提供する場
合事例 2）注文を受けた商品の配送のために、宅配業者に個人データを提供する場
合（2）事業の承継（第 17 条第 10 項第 2 号関係）
合併、分社化、事業譲渡等により事業が承継されることに伴い、当該事業に係る個人データが提供される場合は、当該提供先は第三者に該当しない。
なお、事業の承継後も、個人データが当該事業の承継により提供される前の利用
目的の範囲内で利用しなければならない（3-1-5（事業の承継）参照）。
また、事業の承継のための契約を締結するより前の交渉段階で、相手会社から自社の調査を受け、自社の個人データを相手会社へ提供する場合も、本号に該当し、あらかじめ本人の同意を得ることなく又は第三者提供におけるオプトアウト手続を行うことなく、個人データを提供することができるが、当該データの利用目的及び取扱方法、漏えい等が発生した場合の措置、事業承継の交渉が不調となった場合の措置等、相手会社に安全管理措置を遵守させるために必要な契約を締結しなければならない。
Draft

事例 1）合併、分社化により、新会社に個人データを提供する場合
事例 2）事業譲渡により、譲渡先企業に個人データを提供する場合（3）共同利用（第 17 条第 10 項第 3 号関係）
特定の者との間で共同して利用される個人データを当該特定の者に提供する場
合（※1）であって、次の①から⑤までの情報（※2）を、提供に当たりあらかじめ本人に通知（※3）し、又は本人が容易に知り得る状態（※4）に置いているときには、当該提供先は、本人から見て、当該個人データを当初提供した事業者と一体のものとして取り扱われることに合理性があると考えられることから、第三者に該当しない（※5）。他
方、電気通信事業者が加入者の個人データを共同利用する場合は、契約約款により本人の同意を得て行うことが一般的に可能であり、基本的には本人の同意を得て行うこととすることが望ましい。ただし、契約約款により本人の同意を得て行う場合でも、不払い者等情報の交換の場合のように、本人の権利利益に重大な影響を及ぼす可能140

電気通信事業における個人情報保護指針性がある情報を交換する場合などには、第 17 条第 10 項第 3 号に掲げる情報をあらかじめ本人に通知又は本人が容易に知り得る状態に置くなどの措置をとり、本人の権
利利益を不当に侵害することのないようにすることが適当である。
また、既に特定の事業者が取得している個人データを他の事業者と共同して利用する場合には、既に取得している事業者が第 4 条第 1 項の規定により特定した利用目的の範囲で共同して利用しなければならない。
①共同利用をする旨②共同して利用される個人データの項目
事例 1）氏名、住所、電話番号、年齢
事例 2）氏名、商品購入履歴③共同して利用する者の範囲「共同利用の趣旨」は、本人から見て、当該個人データを提供する事業者と一体のものとして取り扱われることに合理性がある範囲で、当該個人データを共同して利用することである。
したがって、共同利用者の範囲については、本人がどの事業者まで将来利用されるか判断できる程度に明確にする必要がある。
なお、当該範囲が明確である限りにおいては、必ずしも事業者の名称等を個別に全て列挙する必要はないが、本人がどの事業者まで利用されるか判断できるようにしなければならない。
④利用する者の利用目的
共同して利用する個人データについて、その利用目的を全て、本人に通知し、又は本人が容易に知り得る状態に置いていなければならない。
なお、利用目的が個人データの項目によって異なる場合には、当該個人データの項目ごとに利用目的を区別して記載することが望ましい。
⑤当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名「個人データの管理について責任を有する者」とは、開示等の請求及び苦情を受け付け、その処理に尽力するとともに、個人データの内容等について、開示、訂正、利用停止等の権限を有し、安全管理等個人データの管理について責任を有する者をいう。
なお、ここでいう「責任を有する者」とは、共同して利用する全ての事業者の中で、第一次的に苦情の受付・処理、開示・訂正等を行う権限を有する者をいい、共同利用者のうち一事業者の内部の担当責任者をいうものではない。
141

電気通信事業における個人情報保護指針

また、個人データの管理について責任を有する者は、利用目的の達成に必要な範囲内において、共同利用者間で利用している個人データを正確かつ最新の内容に保つよう努めなければならない（3-4-1（データ内容の正確性の確保等）参照）。

【共同利用に該当する事例】
事例 1）グループ企業で総合的なサービスを提供するために取得時の利用目的（第4 条第 2 項の規定に従い変更された利用目的を含む。以下同じ。）の範囲
内で情報を共同利用する場合
事例 2）親子兄弟会社の間で取得時の利用目的の範囲内で個人データを共同利用する場合（※1）共同利用の対象となる個人データの提供については、必ずしも全ての共同利用者が双方向で行う必要はなく、一部の共同利用者に対し、一方向で行
うこともできる。
（※2）電気通信事業者が共同利用を実施する場合には、共同利用者における責任等を明確にし円滑に実施する観点から、上記①から⑤までの情報のほか、次の（ア）から（カ）までの事項についても、あらかじめ取り決めておくことが望ましい。
（ア）共同利用者の要件（グループ会社であること、特定のキャンペーン
事業の一員であること等、共同利用による事業遂行上の一定の枠
組み）
Draft

（イ）各共同利用者の個人情報保護管理者、問合せ担当者及び連絡先（ウ）共同利用する個人データの取扱いに関する事項
・個人データの漏えい等防止に関する事項
・目的外の加工、利用、複写、複製等の禁止
・共同利用終了後のデータの返還、消去、廃棄に関する事項（エ）共同利用する個人データの取扱いに関する取決めが遵守されなかった場合の措置（オ）共同利用する個人データに関する事件・事故が発生した場合の報告・連絡に関する事項（カ）共同利用を終了する際の手続（※3）「本人に通知」については、2-15（本人に通知）を参照のこと。
（※4）「本人が容易に知り得る状態」については、3-7-2（オプトアウトによる第三者
提供）を参照。
（※5）共同利用か委託かは、個人データの取扱いの形態によって判断されるものであって、共同利用者の範囲に委託先事業者が含まれる場合であっても、

142

電気通信事業における個人情報保護指針

委託先との関係は、共同利用となるわけではなく、委託元は委託先の監督義務を免れるわけではない。

＜共同利用に係る事項の変更（ガイドライン第 17 条第 11 項関係）＞
法第 27 条（第 6 項）
6

個人情報取扱事業者は、前項第 3 号に規定する個人データの管理について責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったときは遅滞なく、同号に規定する利用する者の利用目的又は当該責任を有する者を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

ガイドライン第 17 条（第 11 項）
11 電気通信事業者は、前項第 3 号に規定する個人データの管理について責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったときは遅滞なく、同号に規定する利用する者の利用目的又は当該責任を有する者を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
電気通信事業者は、個人データを共同利用する場合において、「個人データの管理について責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名」に変更があったときは遅滞なく、当該変更後の内容について、「共同利用する者の利用目的」又は「当該責任を有する者」を変更しようとするときは変更する前に、変更しようとする内容について、本人に通知(※1)し、又は本人が容易に知り得る状態(※2)に置かなければならない。
なお、「共同利用する者の利用目的」については、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内(※3)で変更することができる。
「共同して利用される個人データの項目」及び「共同して利用する者の範囲」について変更することは、原則として認められないが、例えば次のような場合は、引き続き共同利用を行うことができる。
事例 1）共同利用を行う個人データの項目や事業者の変更につき、あらかじめ本人の同意を得た場合
事例 2）共同利用を行う事業者の名称に変更があるが、共同して利用される個人データの項目には変更がない場合
事例 3）共同利用を行う事業者について事業の承継（※4）が行われた場合（共同利
用する個人データの項目等の変更がないことが前提）（※1）「本人に通知」については、2-15（本人に通知）を参照のこと。
143

電気通信事業における個人情報保護指針（※2）「本人が容易に知り得る状態」については、3-7-2（オプトアウトによる第三者提供） を参照のこと。
（※3）「本人が通常予期し得る限度と客観的に認められる範囲」については、3-12（利用目的の変更）を参照のこと。
（※4）「事業の承継」については、3-1-5（事業の承継）を参照のこと。

3-7-5 外国にある第三者への提供の制限（ガイドライン第 18 条関係）

法第 28 条1

個人情報取扱事業者は、外国(本邦の域外にある国又は地域をいう。以下この条及び第 31 条第 1 項第 2 号において同じ。)(個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものを除く。以下この条及び同号において同じ。)にある第三者(個人データの取扱いについてこの節の規定
により個人情報取扱事業者が講ずべきこととされている措置に相当する措置(第3 項において「相当措置」という。)を継続的に講ずるために必要なものとして個
人情報保護委員会規則で定める基準に適合する体制を整備している者を除く。
以下この項及び次項並びに同号において同じ。)に個人データを提供する場合には、前条第 1 項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は、適用しな い。
Draft

2

個人情報取扱事業者は、前項の規定により本人の同意を得ようとする場合には、個人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。

3

個人情報取扱事業者は、個人データを外国にある第三者(第 1 項に規定する体制を整備している者に限る。)に提供した場合には、個人情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。

ガイドライン第 18 条
1 電気通信事業者は、外国（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として規則第15 条で定めるものを除く。以下この条、第 20 条第 3 項第 3 号及び第 21 条において同じ。）にある第三者(個人データの取扱いについて法第 4 章第 2 節の規定
により個人情報取扱事業者が講ずべきこととされている措置に相当する措置(次項及び 6 項から第 8 項までにおいて「相当措置」という。)を継続的に講ずるために
144

電気通信事業における個人情報保護指針

必要なものとして次項に定める基準に適合する体制を整備している者を除く。以
下この項及び第 3 項並びに第 21 条第 1 項第 2 号において同じ。)に個人データを提供する場合には、前条第 1 項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条(同条第 8 項を除く。) の規定は、適用しない。
2 個人データの取扱いについて相当措置を継続的に講ずるために必要な措置として定める基準は、次の各号のいずれかに該当することとする。
(1) 電気通信事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法
により、法第 4 章第 2 節の規定の趣旨に沿った措置の実施が確保されていること。
(2) 個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。
3 電気通信事業者は、第 1 項の規定により本人の同意を得ようとする場合には、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法により、あらかじめ、次に掲げる事項を当該本人に提供しなければならない。
(1) 当該外国の名称(2) 適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報(3) 当該第三者が講ずる個人情報の保護のための措置に関する情報
4 前項の規定にかかわらず、電気通信事業者は、第１項の規定により本人の同意を得ようとする時点において、前項第１号に定める事項が特定できない場合には、同号及び同項第 2 号に定める事項に代えて、次に掲げる事項について情報提供しなければならない。
(1) 前項第 1 号に定める事項が特定できない旨及びその理由(2) 前項第 1 号に定める事項に代わる本人に参考となるべき情報がある場合には、当該情報5 第 3 項の規定にかかわらず、電気通信事業者は、第１項の規定により本人の同意を得ようとする時点において、第 3 項第 3 号に定める事項について情報提供できない場合には、同号に定める事項に代えて、その旨及びその理由について情報提供しなければならない。
6 電気通信事業者は、個人データを外国にある第三者（第 1 項に規定する体制を整備している者に限る。）に提供する場合には、当該提供の時点で、当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無
及び内容を確認するとともに、当該制度が存在する場合には、当該第三者による相当措置の継続的な実施の確保の可否を、適切かつ合理的な方法により、確認しなければならない。
7 電気通信事業者は、個人データを外国にある第三者(第 1 項に規定 する体制

145

電気通信事業における個人情報保護指針を整備している者に限る。)に提供した場合には、当該第三者による相当措置の継続的な実施を確保するために必要な措置として 次に掲げる措置を講ずるとともに、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法により、本人の求めに応じて 当該必要な措置に関する情報を当該本人に提供しなければならない。
(1) 当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること。
(2) 当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データの当該第三者への提供を停止すること。
8 電気通信事業者は、前項の規定による求めを受けたときは、本人に対し、遅滞なく、次に掲げる事項について情報提供しなければならない。ただし、情報提供することにより当該電気通信事業者の業務の適正な実施に著しい支障を及ぼす
おそれがある場合は、その全部又は一部を提供しないことができる。
(1) 当該第三者による第 1 項に規定する体制の整備の方法(2) 当該第三者が実施する相当措置の概要(3) 前項第 1 号の規定による確認の頻度及び方法(4) 当該外国の名称(5) 当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要
Draft(6) 当該第三者による相当措置の実施に関する支障の有無及びその概要(7) 前号の支障に関して前項第 2 号の規定により当該電気通信事業者が講ずる措置の概要9 電気通信事業者は、第 7 項の規定による求めに係る情報の全部又は一部について提供しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
10 電気通信事業者は、前項の規定により、本人から求められた情報の全部又は一部について提供しない旨を通知する場合には、本人に対し、その理由を説明するよう努めなければならない。
外国にある第三者への提供の制限については、以下に記載の事項以外は、個人情報保護委員会が定める「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」（平成 28 年個人情報保護委員会告示第 7 号）に準ずることとする。

146

電気通信事業における個人情報保護指針

3-7-5-1 同意取得時の情報提供

第 18 条第 1 項の規定により本人の同意を得ようとする時点において、個人データの提供先の第三者が所在する外国が特定できない場合には、特定できない旨及びその具体的な理由(提供先が定まる前に本人同意を得る必要性を含む。)を情報提供するとともに、外国の名称に代わる本人に参考となるべき情報の提供が可能である場合には、当該情報を提供しなければならない。例えば、本人の同意を得ようとする時点において、移転先となる外国の候補が具体的に定まっており、当該候補となる外国の名称等、外国の名称に代わる本人に参考となるべき情報の提供が可能であるにもかかわらず、これを本人に情報提供しなかった場合は、第 18 条第 4 項に基づく 適法な情報提供とは認められないことに留意する。その際は、第 18 条第 3 項から第 5 項までの規定により情報提供が求められる事項を本人に改めて 提供した上で、外国にある第三者への個人データの提供を認める旨の本人の同意を得ることが必要である。なお、改めて情報提供する際には、前述の情報提供にも留意することが望ましい。
第 18 条第 1 項の規定により本人の同意を得ようとする時点で提供先の第三者が所在する外国が特定できず、第 18 条第 4 項の規定に基づく情報提供を行った場合において、事後的に提供先の第三者が所在する外国が特定できた場合には、本人の求めに応じて、第 18 条第 3 項第 1 号及び第 2 号に掲げる事項について情報を提供することが適切である。また、事後的に提供先の第三者が講ずる個人情報の保護のための措置についての情報提供が可能となった場合には、本人の求めに応じて、第 18 条第 3 項
第 3 号に掲げる事項について情報を提供することが適切である。さらに、このような情報提供の求めが可能である旨を、本人の同意を得る際に本人に示すとともに、第 15 条のプライバシーポリシーと一体として、ホームページへの掲載等により公表することが望ましい。
ただし、本人から情報提供の求めがあった場合であっても、例えば、情報提供することにより当該事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合等は、
第 18 条第 3 項に掲げる事項の全部又は一部について情報提供しないことができる。情報提供しない場合には、本人に対し、遅滞なく、その旨を通知するとともに、その理由を説明することが望ましい。
【情報提供することにより当該事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合の例】
事例) 同一の本人から複雑な対応を要する同一内容について繰り返し情報提供の求めがあり、事実上問合せ窓口が占有されることによって他の問合せ対応
業務が立ち行かなくなる等、業務上著しい支障を及ぼすおそれがある場合

147電気通信事業における個人情報保護指針

3-7-5-2 電気通信事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備している者に個人データを提供した場合に講ずべき措置等
第 18 条第 1 項に規定する体制を整備している外国にある第三者に対して個人データを提供する場合には、当該提供の時点で、当該第三者による相当措置の実施に影響を及
ぼすおそれのある当該外国の制度の有無及び内容を確認するとともに、当該制度が存在する場合においては、当該第三者による相当措置の継続的な実施の確保の可否を、適切かつ合理的な方法により、確認しなければならない。相当措置の実施に影響を及ぼすおそれのある外国の制度の例としては、次に掲げる例が考えられる。
【相当措置の実施に影響を及ぼすおそれのある外国の制度の例】
事例 1) 事業者に対し政府の情報収集活動への広範な協力義務を課すことにより、事業者が保有する個人情報について政府による広範な情報収集が可能となる制度
事例 2) 事業者が本人からの消去等の請求に対応できないおそれがある個人情報の国内保存義務に係る制度

第 18 条第 7 項に基づき、本人の求めに応じて個人データの提供先である 外国にある
第三者による相当措置の継続的な実施を確保するために必要な措置に関する情報を提供する旨を、第 15 条のプライバシーポリシーと一体として、ホームページへの掲載等により公表することが望ましい。当該事業者は、第 18 条第 7 項の規定による本人の求めを受けた
場合には、第 18 条第 8 項に従い、遅滞なく、同項各号に定める事項について本人に情報提供しなければならない。
Draft

ただし、本人に情報提供することにより当該事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、その全部又は一部を提供しないことができる。当該事業者は、
第 18 条第 7 項の規定による本人の求めに係る情報の全部又は一部について情報提供しない旨の決定をしたときは、遅滞なく、その旨を本人に通知しなければならない。また、本人に対し、情報提供をしない理由を説明するよう努めなければならない。情報提供することにより当該事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合の例としては、次に掲げる例が考えられる。
【情報提供することにより当該事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合の例】
事例) 同一の本人から複雑な対応を要する同一内容について繰り返し情報提供の求めがあり、事実上問合せ窓口が占有されることによって他の問合せ対応
業務が立ち行かなくなる等、業務上著しい支障を及ぼすおそれがある場合

148電気通信事業における個人情報保護指針

第 18 条第 7 項に従って、当該第三者による相当措置の実施状況を確認する際には、個人データを取り扱う場所に赴く方法又は書面により報告を受ける方法により確認を行うことが考えられる。当該方法は、外国にある第三者に提供する個人データの規模及び性質並
びに個人データの取扱状況等に起因するリスクに応じたものとすることが適切である。
なお、例えば、本人の同意を根拠として外国にある第三者に個人データを提供した場合には、当該第三者が第 18 条第 1 項に規定する体制を整備していると認められる場合であっても、第 18 条第 6 項に基づく確認、第 18 条第 7 項に基づく措置等は求められない。
第 18 条第 4 項又は第 18 条第 7 項の定めるところにより、外国にある第三者に対して個人データを提供した場合には、提供先の当該第三者が所在する外国(第 18 条第 4 項の場合においては、事後的に提供先の第三者が所在する外国が特定できた場合の当該外国)の名称を、ホームページへの掲載等により公表するとともに、定期的に更新することが望ましい。

「個人情報保護に関する法律についてのガイドライン(外国～第三者)」より≪同ガイドライン「4-2-12 外国にある第三者への提供の制限(法第 28 条の趣旨に沿った措置)」から引用≫【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客データの入力業務を委託する場合
委託契約により外国にある事業者からの個人データの第三者提供を禁止する。外国にある事業者から更に外国にある第三者に個人データの取扱いを再委託する場合には、法第 25 条の委託先の監督義務（同ガイドライン 4-2-9）のほか、法第 4 章第 2 節の規定の趣旨に沿った措置の実施を確保する。
【事例 2】日本にある個人情報取扱事業者が、外国にある親会社に従業員情報を提供する場合
内規等により外国にある親会社からの個人データの第三者提供を禁止する。外国にある親会社から更に他の国にある子会社等に個人データを移転する場合にも、内規等により法第 4 章第 2 節の規定の趣旨に沿った措置の実施を確保する。
「外国にある第三者」から、別の「外国にある第三者」（提供元である外国にある第三者と同一の国内にある第三者を含む。）に提供する際には、同ガイドライン「2．総論」の整理に沿って、対応をしなければならない。

149

電気通信事業における個人情報保護指針（参考）規則第 15 条
1. 法第 28 条第 1 項の規定による個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものは、次の各号のいずれにも該当する
外国として個人情報保護委員会が定めるものとする。
(1) 法における個人情報取扱事業者に関する規定に相当する法令その他の定めがあり、その履行が当該外国内において確保されていると認めるに足りる状況にあること(2) 個人情報保護委員会に相当する独立した外国執行当局が存在しており、かつ、当該外国執行当局において必要かつ適切な監督を行うための体制が確保されていること(3) 我が国との間において、個人情報の適正かつ効果的な活用と個人の権利利益の保護に関する相互理解に基づく連携及び協力が可能であると認められるものであること(4) 個人情報の保護のために必要な範囲を超えて国際的な個人データの移転を制限することなく、かつ、我が国との間において、個人情報の保護を図りつ
つ、相互に円滑な個人データの移転を図ることが可能であると認められるもの
であること(5) 前四号に定めるもののほか、当該外国を法第 28 条第 1 項の規定 による外国として定めることが、我が国における新たな産業の創出並びに活力ある経済社会
及び豊かな国民生活の実現に資すると認められるものであること
2. 個人情報保護委員会は、前項の規定による外国を定める場合において、我が国における個人の権利利益を保護するために必要があると認めるときは、当該外国にある第三者への提供を認める旨の本人の同意を得ることなく提供できる個人データの範囲を制限することその他の必要な条件を付することができる。
3. 個人情報保護委員会は、第１項の規定による外国を定めた場合において、当該外国が第１項各号に該当していること又は当該外国について前項の規定により付された条件が満たされていることを確認するため必要があると認めるときは、当該外国における個人情報の保護に関する制度又は当該条件に係る対応の状況に関し必要な調査を行うものとする。
4. 個人情報保護委員会は、第１項の規定による外国を定めた場合において、前項の調査の結果その他の状況を踏まえ、当該外国が第１項各号に該当しなくなったと認めるとき又は当該外国について第２項の規定により付された条件が満たされなくなったと認めるときは、第１項の規定による定めを取り消すものとする。
Draft

規則第 16 条
法第 28 条第 1 項の個人情報保護委員会規則で定める基準は、次の各号のいずれかに該当することとする。
１ 個人情報取扱事業者と個人データの提供を受ける者との間で、当該提供を受け150

電気通信事業における個人情報保護指針る者における当該個人データの取扱いについて、適切かつ合理的な方法により、
法第 4 章第 2 節の規定の趣旨に沿った措置の実施が確保されていること。
２ 個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。
規則第 17 条
1 法第 28 条第 2 項又は法第 31 条第 1 項第 2 号の規定により情報を提供する方
法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。
2 法第 28 条第 2 項又は法第 31 条第 1 項第 2 号の規定による情報の提供は、次に掲げる事項について行うものとする。
(1) 当該外国の名称(2) 適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報(3) 当該第三者が講ずる個人情報の保護のための措置に関する情報
3 前項の規定にかかわらず、個人情報取扱事業者は、法第 28 条第 1 項 の規定により本人の同意を得ようとする時点において、前項第 1 号に定める事項が特定できない場合には、同号及び同項第 2 号に定める事項に代えて、次に掲げる事項について情報提供しなければならない。
(1) 前項第 1 号に定める事項が特定できない旨及びその理由(2) 前項第 1 号に定める事項に代わる本人に参考となるべき情報がある場合には、
当該情報
４ 第 2 項の規定にかかわらず、個人情報取扱事業者は、法第 28 条第 1 項の規定により本人の同意を得ようとする時点において、第 2 項第 3 号に定める事項について情報提供できない場合には、同号に定める事項に代えて、その旨及びその理由について情報提供しなければならない。
規則第 18 条
1 法第 28 条第 3 項(法第 31 条第 2 項において読み替えて準用する場合を含む。)の規定による外国にある第三者による相当措置の継続的な実施を確保するために必要な措置は、次に掲げる措置とする。
(1) 当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること。
(2) 当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データ(法第 31 条第 2 項において読み替えて準用する場合にあっては、個人関連情報)の当該第三者への提供を停止すること。
２ 法第 28 条第 3 項の規定により情報を提供する方法は、電磁的記録の提供による
151

電気通信事業における個人情報保護指針

方法、書面の交付による方法その他の適切な方法とする。
３ 個人情報取扱事業者は、法第 28 条第 3 項の規定による求めを受けたときは、本人に対し、遅滞なく、次に掲げる事項について情報提供しなければならない。ただし、情報提供することにより当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、その全部又は一部を提供しないことができる。
(1) 当該第三者による法第 28 条第 1 項に規定する体制の整備の方法(2) 当該第三者が実施する相当措置の概要(3) 第 1 項第 1 号の規定による確認の頻度及び方法(4) 当該外国の名称(5) 当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要(6) 当該第三者による相当措置の実施に関する支障の有無及びその概要(7) 前号の支障に関して第 1 項第 2 号の規定により当該個人情報取扱事業者が講ずる措置の概要
４ 個人情報取扱事業者は、法第 28 条第 3 項の規定による求めに係る情報の全部又は一部について提供しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
5 個人情報取扱事業者は、前項の規定により、本人から求められた情報の全部又は一部について提供しない旨を通知する場合には、本人に対し、その理由を説明するよう努めなければならない。
Draft

なお、EU の指定は、日 EU 間で相互の円滑な個人データ移転を図るために、
欧州委員会による日本への十分性認定（GDPR（※）第 45 条に基づき、欧州委員
会が、国又は地域等を個人データについて十分な保護水準を確保していると認める決定をいう。）に併せて行ったものである。
（※）個人データの取扱いに係る自然人の保護及び当該データの自由な移転並
びに指令 95/46/EC の廃止に関する欧州議会及び欧州理事会規則（一般データ保護規則）（REGULATION OF THE EUROPEAN PARLIAMENT AND
OF THE COUNCIL on the protection of natural persons with regard to theprocessing of personal data and on the free movement of such data, andrepealing Directive 95/46/EC（General Data Protection Regulation））「EU 及び英国域内から十分性認定の補完的ルール」より≪同ルール 「(3) 外国にある第三者への提供の制限」から引用≫
個人情報取扱事業者は、EU 又は英国域内から十分性認定に基づき提供を受けた
個人データを外国にある第三者へ提供するに当たっては、法第 28 条に従い、次の①から③までのいずれかに該当する場合を除き、あらかじめ外国にある第三者への個人データの提供を認める旨の本人の同意を得ることとする。
152

電気通信事業における個人情報保護指針① 当該第三者が、個人の権利利益の保護に関して、我が国と同等の水準にあると認められる個人情報保護制度を有している国として規則で定める国にある場合② 個人情報取扱事業者と個人データの提供を受ける第三者との間で、当該第三者による個人データの取扱いについて、適切かつ合理的な方法（契約、その他の形式の拘束力のある取決め又は企業グループにおける拘束力のある取扱い）により、本ルールを含め法と同等水準の個人情報の保護に関する措置を連携して実施している場合③ 法第 27 条第 1 項各号に該当する場合

3-7-6 第三者提供に係る記録の作成等（ガイドライン第 19 条関係）

法第 29 条1

個人情報取扱事業者は、個人データを第三者(第 16 条第 2 項各号に掲げる者を除く。以下この条及び次条(第 31 条第 3 項において読み替 えて準用する場合を含む。)において同じ。)に提供したときは、個人情報保護委員会規則で定めるところにより、当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。ただし、 当該個人データの提供が第 27 条第 1 項各号又は第 5 項各号のいずれか (前条第 1 項の規定による個人データの提供にあっては、第 27 条第 1
項各号のいずれか)に該当する場合は、この限りでない。

2

個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。

ガイドライン第 19 条
1

電気通信事業者は、個人データを第三者(法第 16 条第 2 項各号に掲げる者を除く。以下この条、次条(第 21 条第 4 項において準用する場合を含む。)並びに第 21 条第 5 項、第 7 項及び第 8 項において同じ。) に提供したときは、文書、電磁的記録又はマイクロフィルムを用いて作成する方法により、次の各号に掲げる場
合の区分に応じ、それぞれ当該各号に定める事項に関する記録を作成しなければならない。ただし、当該個人データの提供が第 17 条第 1 項各号又は第 10 項
各号のいずれか(前条第 1 項の規定による個人データの提供にあっては、第 17条第 1 項各号のいずれか)に該当する場合は、この限りでない。
(1) 第 17 条第 2 項の規定により個人データを第三者に提供した場合 次のイからニまでに掲げる事項
イ 当該個人データを提供した年月日
ロ 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名（不特定かつ多数の者に対して提供したときは、その旨）
ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定
153

電気通信事業における個人情報保護指針するに足りる事項
ニ 当該個人データの項目(2) 第 17 条第 1 項又は前条第１項の規定により個人データを第三者に提供した
場合 次のイ及びロに掲げる事項
イ 第 17 条第 1 項又は前条第１項の本人の同意を得ている旨
ロ 前号ロからニまでに掲げる事項
2

前項各号に定める事項のうち、既に同項、次項及び第 4 項に規定する方法により作成した前項の記録（当該記録を保存している場合におけるものに限る。）に記
録されている事項と内容が同一であるものについては、同項の当該事項の記録を省略することができる。

3

第 1 項の記録は、個人データを第三者に提供した都度、速やかに作成しなければならない。ただし、当該第三者に対し個人データを継続的に若しくは反復して提供（第 17 条第 2 項の規定による提供を除く。以下この項において同じ。）したとき、又は当該第三者に対し個人データを継続的に若しくは反復して提供することが確実であると見込まれるときの記録は、一括して作成することができる。

4

前項の規定にかかわらず、第 17 条第 1 項又は前条第１項の規定により、本人に対する物品又は役務の提供に関連して当該本人に係る個人データを第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に第 1
項各号に定める事項が記載されているときは、当該書面をもって第 1 項の当該事項に関する記録に代えることができる。
Draft

5

電気通信事業者は、第 1 項の記録を、当該記録を作成した日から次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間保存しなければならない。
(1) 前項に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を行った日から起算して 1 年を経過する日までの間(2) 第 3 項ただし書に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を行った日から起算して 3 年を経過する日までの間(3) 前 2 号以外の場合3年

第三者提供に係る記録の作成等については、個人情報保護委員会が定める「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」（平成 28 年個人情報保護委員会告示第 8 号）に準ずることとする。
なお、形式的には第三者提供の外形を有する場合であっても、確認・記録義務の趣旨に鑑みて、実質的に確認・記録義務を課す必要性に乏しい第三者提供については、同義務の対象たる第三者提供には該当しない。例えば、電気通信事業者が発
信者電話番号通知サービスにおいて本人の選択するところにより発信者電話番号の通知をする場合や、電気通信事業者があらかじめ特定された CGM（Consumer
154電気通信事業における個人情報保護指針

Generated Media）事業者等に対して、加入者が申込みをした利用者登録サービスの一環として加入者が登録した利用者に係る情報に基づき、当該利用者の年齢判定
情報（特定の年齢に達しているか否か）を通知する場合などには、当該電気通信事
業者は「本人に代わって」個人データを提供していると考えられ、この場合の第三者提供については、提供者・受領者のいずれに対しても確認・記録義務は適用されない。

「個人情報保護に関する法律についてのガイドライン(第三者確認・記録義務)」より≪同ガイドライン「4-1-2-1 原則(規則第 19 条第 2 項、第 23 条第 2 項関係)」から引用≫
個人情報取扱事業者は、原則として、個人データの授受の都度、速やかに、記録を作成しなければならない。
なお、個人データを授受する前に記録を作成することもできる。
本人別に記録を単体で作成する方法のほか、対象となる複数の本人の記録を一体として作成することもできる。
オプトアウトによる第三者提供については、「4-1-2-2 一括して記録を作成する方法」、「4-1-2-3 契約書等の代替手段による方法」は適用されないため、常に上述の原則に従い記録を作成しなければならない。
≪同ガイドライン「4-1-2-2 一括して記録を作成する方法(規則第 19 条第 2 項、第23 条第 2 項関係)」から引用≫
一定の期間内に特定の事業者との間で継続的に又は反復して個人データを授受する場合は、個々の授受に係る記録を作成する代わりに、一括して記録を作成することができる。
なお、オプトアウトによる第三者提供については対象外である。
本人別に記録を単体で作成する方法のほか、対象となる複数の本人の記録を一体として作成することもできる。
なお、複数の本人の記録を一体として記録を作成する場合において、継続的に又は反復して個人データを授受する対象期間内に、データ群を構成する本人が途中で変動するときも、一括して記録を作成することもできる。
【一括して記録を作成する方法に該当する事例】
事例 1）最初の授受の際に一旦記録を作成した上で、継続的に又は反復して個人データを授受する対象期間内に、随時、追加の記録事項を作成する方法
事例 2）継続的に又は反復して個人データを授受提供する対象期間内に、月ごとに記録を作成する方法
事例 3）継続的に又は反復して個人データを授受提供する対象期間の終了後、速やかに記録を作成する方法
155

電気通信事業における個人情報保護指針「確実であると見込まれるとき」の例としては、継続的に又は反復して個人データを授受することを内容とする基本契約を締結することで、以後、継続的に又は反復して個人データを提供することが確実であると見込まれる場合などが該当する。この場
合は、当該基本契約に係る契約書をもって記録とすることができる。
「一括して記録を作成する方法」は、例外としての記録作成方法であることに鑑みて、その対象期間、対象範囲等を明確にすることが望ましい。
≪同ガイドライン「4-1-2-3 契約書等の代替手段による方法(規則第 19 条第 3 項、第 23 条第 3 項関係)」から引用≫
個人情報取扱事業者が、本人に対する物品又は役務の提供に係る契約を締結し、かかる契約の履行に伴って、契約の締結の相手方を本人とする個人データを当
該個人情報取扱事業者から第三者に提供する場合は、当該提供の際に作成した契約書その他の書面をもって個人データの流通を追跡することが可能であることから、当該契約書その他の書面をもって記録とすることができる。
なお、オプトアウトによる第三者提供については対象外である。
本人別に記録を単体で作成する方法のほか、対象となる複数の本人の記録を一体として作成することもできる。
仮に、規則第 19 条第 3 項又は規則第 23 条第 3 項の要件を充たさない書面、又はオプトアウトによる第三者提供の際に作成された書面等も、記録事項が記載されていれば記録として認められるが、保存期間の違いに留意する必要がある（「4-3保存期間」参照）。
Draft(1) 「本人に対する物品又は役務の提供」

提供者若しくは受領者又は提供者及び受領者の双方が「本人に対する物品又は役務の提供」の主体となる場合を含む。
【提供者及び受領者の双方が主体となる事例】
事例） グループ企業が親会社と子会社が共同で役務を提供する際に、親会社・子会社間で情報連携を行うことについての承諾する旨の同意書
また、「本人に対する物品又は役務の提供」には、契約を根拠とする場合のほか、法令を根拠とする場合を含む。
【法令を根拠とした本人に対する物品又は役務の提供に該当する事例】
事例） 自動車の運行による事故の被害者から、自動車損害賠償保障法（昭和30 年法律第 97 号）を根拠として、加害者の自動車保有者と自動車損害賠
償責任保険契約（いわゆる自賠責保険）を締結している保険会社に対して直接請求権（被害者請求権）が発生し、当該請求権の履行として当該保険会
156

電気通信事業における個人情報保護指針

社が被害者が診療を受ける病院に診療費を支払う際に、病院との間で被害者の個人データ（診断書など）を授受する場合(2) 「当該提供に関して作成された（契約書その他の書面）」

複数の書面を合わせて一つの記録とすることは妨げられない。
個人データを第三者提供する際に作成された契約書その他の書面のほか、当該個人データの内容を構成する契約書その他の書面も、「当該提供に関して作成された」ものに該当する。
例えば、「個人データの内容を構成する契約書その他の書面」により「本人の氏名その他の当該本人を特定するに足りる事項」及び「当該個人データの項目」の記録を作成した場合には、それ以外の事項については別の「契約書その他の書面」により記録を作成することとなる。
【個人データの内容を構成する契約書その他の書面の事例】
事例） 事業者が本人を債務者とする金銭債権を第三者に債権譲渡する際の金銭債権に係る契約書(3) 「契約書その他の書面」

本人と提供者との間で作成した契約書のみならず、提供者と受領者との間で作成した契約書も、含まれる。
「契約書」の他にも、「その他の書面」には、個人情報取扱事業者の内部で作成された帳票、記録簿等も含まれる。
また、「契約書その他の書面」は電磁的記録を含むため（規則第 11 条第 3 項参照）、システム上の記録等も「契約書その他の書面」に該当する。

「個人情報保護に関する法律についてのガイドライン(第三者確認・記録義務)」より≪同ガイドライン「4-1-3 代行により記録を作成する方法」から引用≫
提供者・受領者のいずれも記録の作成方法・保存期間は同一であることに鑑みて、提供者（又は受領者）は受領者（又は提供者）の記録義務の全部又は一部を代替して行うことができる（提供者と受領者の記録事項の相違については留意する必要がある。）。なお、この場合であっても、提供者及び受領者は自己の義務が免責される
わけではないことから、実質的に自らが記録作成義務を果たしているものと同等の体制を構築しなければならない。
また、委託先の個人情報取扱事業者が委託契約の目的の範囲内で第三者との間で個人データの授受を行った場合において、一義的には委託先の個人情報取扱事業者が記録を作成する義務があるが、委託元の個人情報取扱事業者が記録の作成を代行することができる。
157

電気通信事業における個人情報保護指針(参考)規則第 19 条
1

法第 29 条第 1 項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。

2

法第 29 条第 1 項の記録は、個人データを第三者（同項に規定する第三者をいう。以下この条、次条、第 22 条から第 24 条まで、第 27 条及び第 28 条において同じ。）に提供した都度、速やかに作成しなければならない。ただし、当該第三者に対し個人データを継続的に若しくは反復して提供（法第 27 条第 2 項の規定による提供を除く。以下この項において同じ。）したとき、又は当該第三者に対し個人データを継続的に若しくは反復して提供することが確実であると見込まれるときの記録は、一括して作成することができる。

3

前項の規定にかかわらず、法第 27 条第 1 項又は法第 28 条第 1 項の規定により、本人に対する物品又は役務の提供に関連して当該本人に係る個人データを第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に次条第 1 項各号に定める事項が記載されているときは、当該書面をもって法第 29 条第 1 項の当該事項に関する記録に代えることができる。

規則第 20 条
1

法第 29 条第 1 項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。
Draft(1) 法第 27 条第 2 項の規定により個人データを第三者に提供した場合 次のイからニまでに掲げる事項
イ) 当該個人データを提供した年月日ロ) 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。第 28 条第１項第 3 号において同じ。）の氏名（不特定かつ多数の者に対して提供したときは、その旨）
ハ) 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
ニ) 当該個人データの項目(2) 法第 27 条第 1 項又は法第 28 条第１項の規定により個人データを第三者に提供した場合 次のイ及びロに掲げる事項
イ) 法第 27 条第 1 項又は法第 28 条第１項の本人の同意を得ている旨
ロ) 前号ロからニまでに掲げる事項
2

前項各号に定める事項のうち、既に前条に規定する方法により作成した法第 29条第 1 項の記録（当該記録を保存している場合におけるものに限る。）に記録されている事項と内容が同一であるものについては、法第 29 条第 1 項の当該事項の記録を158

電気通信事業における個人情報保護指針

省略することができる。
規則第 21 条
法第 29 条第 2 項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とする。
(1) 第 19 条第 3 項に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を行った日から起算して 1 年を経過する日までの間(2) 第 19 条第 2 項ただし書に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を行った日から起算して 3 年を経過する日までの間(3) 前三号以外の場合

3年

3-7-7 第三者提供を受ける際の確認等（ガイドライン第 20 条関係）

【第三者提供を受ける際の確認（法第 30 条第 1 項・第 2 項関係）】
法第 30 条（第 1 項・第 2 項）
1

個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、個
人情報保護委員会規則で定めるところにより、次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供が第 27 条第 1 項各号又は第 5 項
各号のいずれかに該当する場合は、この限りでない。
(1) 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名(2) 当該第三者による当該個人データの取得の経緯
2

前項の第三者は、個人情報取扱事業者が同項の規定による確認を行う場合において、当該個人情報取扱事業者に対して、当該確認に係る事項を偽ってはならない。

【第三者提供を受ける際の記録の作成等（法第 30 条第 3 項・第 4 項関係）】
法第 30 条（第 3 項・第 4 項）
3

個人情報取扱事業者は、第 1 項の規定による確認を行ったときは、個人情報保
護委員会規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。

4

個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。

【第三者提供を受ける際の確認（ガイドライン第 20 条第 1 項、第 2 項関係）】
159

電気通信事業における個人情報保護指針

ガイドライン第 20 条（第 1 項、第 2 項）
1

電気通信事業者は、第三者から個人データの提供を受けるに際しては、次の各号に掲げる事項に応じ、それぞれ当該各号に定める方法による確認を行わなければならない。ただし、当該個人データの提供が第 17 条第 1 項各号又は第 10 項
各号のいずれかに該当する場合は、この限りでない。
(1) 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名（第 3 号に掲げる事項に該当するものを除く。） 当該個人データを提供する当該第三者から申告を受ける方法その他の適切な方法(2) 当該第三者による当該個人データの取得の経緯（次号に掲げる事項に該当するものを除く。） 当該個人データを提供する当該第三者から当該第三者による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける
方法その他の適切な方法(3) 当該第三者から他の個人データの提供を受けるに際して既に前二号に規定する方法による確認（当該確認について第 3 項、第 5 項及び第 6 項に規定する方法による記録の作成及び保存をしている場合におけるものに限る。）を行っている事項 当該事項の内容と当該提供に係る前二号に掲げる事項の内容が同一であることの確認を行う方法
2

前項の第三者は、電気通信事業者が同項の規定による確認を行う場合において、当該電気通信事業者に対して、当該確認に係る事項を偽ってはならない。
Draft【第三者提供を受ける際の記録の作成等（ガイドライン第 20 条第 3 項～第 7 項
関係）】
ガイドライン第 20 条（第 3 項～第 7 項）
3

電気通信事業者は、第 1 項の規定による確認を行ったときは、文書、電磁的記録又はマイクロフィルムを用いて作成する方法により、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項に関する記録を作成しなければならない。
(1) 個人情報取扱事業者から法第 27 条第 2 項の規定による個人データの提供を受けた場合 次のイからホまでに掲げる事項
イ 個人データの提供を受けた年月日
ロ 第 1 項各号に掲げる事項
ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
ニ 当該個人データの項目
ホ 法第 27 条第 4 項の規定により公表されている旨(2) 個人情報取扱事業者から第 27 条第１項又は第 28 条第１項の規定による個人データの提供を受けた場合 次のイ及びロに掲げる事項

160

電気通信事業における個人情報保護指針

イ 法第 27 条第 1 項又は法第 28 条の本人の同意を得ている旨
ロ 前号ロからニまでに掲げる事項(3) 個人関連情報取扱事業者から法第 31 条第 1 項の規定による個人関連情報の提供を受けて個人データとして取得した場合 次のイからニまでに掲げる事項
イ 法第 31 条第 1 項第 1 号の本人の同意が得られている旨及び外国にある個人情報取扱事業者にあっては、同項第 2 号の規定による情報の提供が行われている旨
ロ 法第 30 条第 1 項第 1 号に掲げる事項
ハ 第 1 号ハに掲げる事項
ニ 当該個人関連情報の項目(4) 第三者（個人情報取扱事業者に該当する者を除く。）から個人データの提供を受けた場合 第 1 号ロからニまでに掲げる事項
4

前項各号に定める事項のうち、既に同項、次項及び第 6 項に規定する方法により作成した前項の記録（当該記録を保存している場合におけるものに限る。）に記録された事項と内容が同一であるものについては、同項の当該事項の記録を省略することができる。

5

第 3 項の記録は、第三者から個人データの提供を受けた都度、速やかに作成しなければならない。ただし、当該第三者から継続的に若しくは反復して個人データの提供（第 17 条第 2 項の規定による提供を除く。以下この条において同じ。）を受けたとき、又は当該第三者から継続的に若しくは反復して個人データの提供を受けることが確実であると見込まれるときの記録は、一括して作成することができる。

6

前項の規定にかかわらず、本人に対する物品又は役務の提供に関連して第三者から当該本人に係る個人データの提供を受けた場合において、当該提供に関して作成された契約書その他の書面に第 3 項各号に定める事項が記載されているときは、当該書面をもって同項の当該事項に関する記録に代えることができる。

7

電気通信事業者は、第 3 項の記録を、当該記録を作成した日から次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間保存しなければならない。
(1) 前項に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を受けた日から起算して 1 年を経過する日までの間(2) 第 5 項ただし書に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を受けた日から起算して 3 年を経過する
日までの間(3) 前二号以外の場合 3 年

161電気通信事業における個人情報保護指針

第三者提供を受ける際の確認等については、個人情報保護委員会が定める「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」(平成 28 年個人情報保護委員会告示第 8 号)に準ずることとする。

「個人情報保護に関する法律についてのガイドライン(第三者確認・記録義務)」より≪同ガイドライン「3-1-1 第三者の氏名及び住所並びに法人にあっては、その代表者の氏名(法第 30 条第 1 項第 1 号、規則第 22 条第 1 項関係)」から引用≫【第三者から申告を受ける方法に該当する事例】
事例 1） 口頭で申告を受ける方法
事例 2） 所定の申込書等に記載をさせた上で、当該申込書等の提出を受け入れる
方法
事例 3） 本人確認書類の写しの送付を受け入れる方法【その他の適切な方法に該当する事例】
事例 1） 登記されている事項を確認する方法（受領者が自ら登記事項証明書・登記情報提供サービスで当該第三者の名称・住所・代表者の氏名を確認する方
法）
事例 2） 法人番号（行政手続における特定の個人を識別するための番号の利用等に関する法律（平成 25 年法律第 27 号）第 2 条第 15 項に規定する法人番号をいう。）の提示を受けて、当該法人の名称、住所を確認する方法
事例 3） 当該第三者が自社のホームページなどで名称、住所、代表者の氏名を公開している場合において、その内容を確認する方法
事例 4） 信頼性のおける民間のデータ業者のデータベースを確認する方法
事例 5） 上場会社等の有価証券報告書等を確認する方法
Draft「個人情報保護に関する法律についてのガイドライン(第三者確認・記録義務)」より≪同ガイドライン「3-1-2 第三者による個人データの取得の経緯(法第 30 条第 1 項
第 2 号、規則第 22 条第 2 項関係)」から引用≫
個人情報取扱事業者は、第三者から個人データの提供を受ける際は、当該第三者による当該個人データの「取得の経緯」を確認しなければならない。
「取得の経緯」を確認する趣旨としては、提供を受けようとする個人データが適法に入手されたものではないと疑われる場合に、当該個人データの利用・流通を未然に防止する点にある。
仮に、適法に入手されたものではないと疑われるにもかかわらず、あえて個人データの提供を受けた場合には、法第 20 条第 1 項の規定違反と判断される可能性がある。
「取得の経緯」の具体的な内容は、個人データの内容、第三者提供の態様などにより異なり得るが、基本的には、取得先の別（顧客としての本人、従業員としての本人、
162

電気通信事業における個人情報保護指針

他の個人情報取扱事業者、家族・友人等の私人、いわゆる公開情報等）、取得行為の態様（本人から直接取得したか、有償で取得したか、いわゆる公開情報から取得したか、紹介により取得したか、私人として取得したものか等）などを確認しなければならない。
なお、あくまで、個人データを提供した「第三者」による取得の経緯を確認すれば足り、そこから遡って当該「第三者」より前に取得した者の取得の経緯を確認する義務はない。
【適切な方法に該当する事例】
事例 1） 提供者が別の者から個人データを買い取っている場合には売買契約書などを確認する方法
事例 2） 提供者が本人から書面等で当該個人データを直接取得している場合に当該書面等を確認する方法
事例 3） 提供者による取得の経緯が明示的又は黙示的に示されている、提供者と受領者間の契約書面を確認する方法
事例 4） 提供者が本人の同意を得ていることを誓約する書面を受け入れる方法
事例 5） 提供者のホームページで公表されている利用目的、規約等の中に、取得の経緯が記載されている場合において、その記載内容を確認する方法
事例 6） 本人による同意書面を確認する方法「個人情報保護に関する法律についてのガイドライン(第三者確認・記録義務)」より≪同ガイドライン「3-1-3 法の遵守状況」から引用≫
受領者は、個人情報取扱事業者から個人データの提供を受ける際には、当該個人情報取扱事業者の法の遵守状況（例えば、利用目的、開示手続、問合せ・苦情の受付窓口の公表など）についても確認することが望ましい。特に、個人情報取扱事業者
からオプトアウトによる第三者提供により個人データの提供を受ける際には、受領者は、
当該個人情報取扱事業者の届出事項が個人情報保護委員会により公表されている旨を記録しなければならないことに留意する必要がある（同ガイドライン「4-2-2 受領者の記録事項」参照）。
提供者である個人情報取扱事業者の法の遵守状況を確認した結果、提供される個
人データが適法に入手されたものではないと疑われるにもかかわらず、当該個人デー
タの提供を受けた場合には、法第 20 条第 1 項の規定違反と判断されるおそれがある。

「個人情報保護に関する法律についてのガイドライン(第三者確認・記録義務)」より≪同ガイドライン「3-2 既に確認を行った第三者に対する確認方法(規則第 22 条関係)」から引用≫163

電気通信事業における個人情報保護指針

複数回にわたって同一「本人」の個人データの授受をする場合において、同一の内容である事項を重複して確認する合理性はないため、既に規則第 22 条に規定する方法（同ガイドライン「3-1-1 第三者の氏名及び住所並びに法人にあっては、その代表者の氏名」同ガイドライン「3-1-2 当該第三者による当該個人データの取得の経緯」）
により確認を行い、同ガイドライン「4 記録義務」に規定する方法により作成し、かつ、
その時点において保存している記録に記録された事項と内容が同一であるものについては、当該事項の確認を省略することができる。
平成 27 年改正法の施行日（平成 29 年 5 月 30 日）の前に上記に規定する方法に相当する方法で作成した記録及び令和 3 年改正法第 50 条の規定の施行日（令和 4年 4 月 1 日）の前に別表第二法人等（法別表第 2 に掲げる法人、法第 58 条第 2 項の規定により個人情報取扱事業者、仮名加工情報取扱事業者若しくは個人関連情報取扱事業者とみなされる独立行政法人労働者健康安全機構又は学術研究機関等である個人情報取扱事業者をいう。以下同じ。）及び令和 3 年改正法第 51 条の規定の施行日（令和 5 年 4 月 1 日）前に特定地方独立行政法人等（法第 58 条第 1 項第 2号に掲げる者又は同条第 2 項の規定により個人情報取扱事業者、仮名加工情報取扱事業者若しくは個人関連情報取扱事業者とみなされる法第 58 条第 2 項第 1 号に掲げる者をいう。以下同じ。）が上記に規定する方法に相当する方法で作成した記録についても同様とする。
例えば、個人情報取扱事業者が、同じ提供者から、既に確認・記録義務を履行した、特定の事業活動であることを認識しながら、個人データの提供を受ける場合は、提供者の名称、当該個人データの取得の経緯について「同一であることの確認」が行われているものである。
Draft

（参考）
規則第 22 条
1

法第 30 条第 1 項の規定による同項第 1 号に掲げる事項の確認を行う方法は、
個人データを提供する第三者から申告を受ける方法その他の適切な方法とする。

2

法第 30 条第 1 項の規定による同項第 2 号に掲げる事項の確認を行う方法は、
個人データを提供する第三者から当該第三者による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法とする。

3

前二項の規定にかかわらず、第三者から他の個人データの提供を受けるに際して既に前二項で規定する方法による確認（当該確認について次条に規定する方法による記録の作成及び保存をしている場合におけるものに限る。）を行っている事項の確認を行う方法は、当該事項の内容と当該提供に係る法第 30 条第1 項各号に掲げる事項の内容が同一であることの確認を行う方法とする。

規則第 23 条
1

法第 30 条第 3 項の規定による同項の記録を作成する方法は、文書、電磁的記164電気通信事業における個人情報保護指針

録又はマイクロフィルムを用いて作成する方法とする。
2

法第 30 条第 3 項の記録は、第三者から個人データの提供を受けた都度、速やかに作成しなければならない。ただし、当該第三者から継続的に若しくは反復して個人データの提供（法第 27 条第 2 項の規定による提供を除く。以下この条において同じ。）を受けたとき、又は当該第三者から継続的に若しくは反復して個人デー
タの提供を受けることが確実であると見込まれるときの記録は、一括して作成することができる。

3

前項の規定にかかわらず、本人に対する物品又は役務の提供に関連して第三者から当該本人に係る個人データの提供を受けた場合において、当該提供に関して作成された契約書その他の書面に次条第 1 項各号に定める事項が記載されているときは、当該書面をもって法第 30 条第 3 項の当該事項に関する記録に代えることができる。

規則第 24 条
1

法第 30 条第 3 項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。
(1) 個人情報取扱事業者から法第 27 条第 2 項の規定による個人データの提供を受けた場合 次のイからホまでに掲げる事項
イ

個人データの提供を受けた年月日

ロ 法第 30 条第 1 項各号に掲げる事項
ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
ニ 当該個人データの項目
ホ 法第 27 条第 4 項の規定により公表されている旨(2) 個人情報取扱事業者から法第 27 条第 1 項又は法第 28 条第１項の規定による個人データの提供を受けた場合 次のイ及びロに掲げる事項
イ

法第 27 条第 1 項又は法第 28 条第１項の本人の同意を得ている旨

ロ 前号ロからニまでに掲げる事項(3) 個人関連情報取扱事業者から法第 31 条第 1 項の規定による個人 関連情報の提供を受けて個人データとして取得した場合 次のイか らニまでに掲げる事項
イ 法第 31 条第 1 項第 1 号の本人の同意が得られている旨及び外国にある個
人情報取扱事業者にあっては、同項第 2 号の規定による情報の提供が行われている旨
ロ 法第 30 条第 1 項第 1 号に掲げる事項
ハ 第 1 号ハに掲げる事項
ニ 当該個人関連情報の項目(4) 第三者（個人情報取扱事業者に該当する者を除く。）から個人データの提供

165

電気通信事業における個人情報保護指針を受けた場合 第 1 号ロからニまでに掲げる事項
2 前項各号に定める事項のうち、既に前条に規定する方法により作成した法 30 条第3 項の記録（当該記録を保存している場合におけるものに限る。）に記録された事項と内容が同一であるものについては、同項の当該事項の記録を省略することができる。
規則第 25 条
法第 30 条第 4 項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とする。
(1) 第 23 条第 3 項に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を受けた日から起算して 1 年を経過する日までの間(2) 第 23 条第 2 項ただし書に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を受けた日から起算して 3 年を経過する日までの間(3) 前二号以外の場合

3年

3-8 個人関連情報の第三者提供の制限等（第 21 条関係）

ガイドライン第 21 条
1 個人関連情報取扱事業者である電気通信事業者は、第三者が個人関連情報(個人関連情報データベース等を構成するものに限る。以下同じ。)を個人データとして取得することが想定されるときは、第 17 第 1 項各号に掲げる場合を除くほか、次に掲げる事項について、あらかじめ次項の規定で定めるところにより確認することをしないで、当該個人関連情報を当該第三者に提供してはならない。
Draft(1) 当該第三者が個人関連情報取扱事業者である電気通信事業者から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていること。
(2) 外国にある第三者への提供にあっては、前号の本人の同意を得ようとする場
合において、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法により、あらかじめ、次に掲げる事項が当該本人に提供されていること。
イ 当該外国の名称
ロ 適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報
ハ 当該第三者が講ずる個人情報の保護のための措置に関する情報
2

前項の規定による確認は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める方法により行うこととする。
(1) 前項第 1 号に掲げる事項の確認を行う場合(第 3 号に掲げる場 合に該当す

166電気通信事業における個人情報保護指針るものを除く。) 個人関連情報の提供を受ける第三者から申告を受ける方法その他の適切な方法(2) 前項第 2 号に掲げる事項の確認を行う場合(次号に掲げる場合に該当するものを除く。)
同項第 2 号の規定による情報の提供が行われていることを示す書面の提示を受ける方法その他の適切な方法(3) 第三者に個人関連情報の提供を行うに際して既に前二号に規定する方法による確認を行っている事項の確認(当該確認について記録の作成及び保存をしている場合におけるものに限る。)を行う場合
当該事項の内容と当該提供に係る前項各号に掲げる事項の内容が同一であることの確認を行う方法
３ 第 18 条第 7 項の規定は、第 1 項の規定により個人関連情報取扱事業者である
電気通信事業者が個人関連情報を提供する場合について準用する。この場合において、同条第 7 項中「講ずるとともに、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法により、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供し」とあるのは、「講じ」と読み替えるものとする。
４ 前条第 2 項の規定は、第 1 項の規定により個人関連情報取扱事業者である電気通信事業者が確認する場合について準用する。
５ 個人関連情報取扱事業者である電気通信事業者は、第 1 項の規定による確認を行ったときは、文書、電磁的記録又はマイクロフィルムを用いて作成する方法により、次に掲げる事項に関する記録を作成しなければならない。
(1) 第 1 項第 1 号の本人の同意が得られていることを確認した旨及び外国にある
第三者への提供にあっては、同項第 2 号の規定による情報の提供が行われていることを確認した旨(2) 個人関連情報を提供した年月日(第 7 項ただし書に規定する方法により記録を作成した場合にあっては、当該提供の期間の初日及び末日)(3) 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名(4) 当該個人関連情報の項目
６ 前項各号に定める事項のうち、既に同項、次項及び第 8 項に規定する方法により作成した前項の記録（当該記録を保存している場合におけるものに限る。）に記録された事項と内容が同一であるものについては、同項の当該事項の記録を省略することができる。

167

電気通信事業における個人情報保護指針

７ 第 5 項の記録は、個人関連情報を第三者に提供した都度、速やかに作成しなければならない。ただし、当該第三者に対し個人関連情報を継続的に若しくは反復して提供したとき、又は当該第三者に対し個人関連情報を継続的に若しくは反復して提供することが確実であると見込まれるときの記録は、一括して作成することができる。
8

前項の規定にかかわらず、本人に対する物品又は役務の提供に関連して当該本人に係る個人関連情報を第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に第五項各号に定める事項が記載されているときは、当該書面をもって同項の当該事項に関する記録に代えることができる。

9

個人関連情報取扱事業者である電気通信事業者は、第 5 項の記録を、当該記録を作成した日から次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間保存しなければならない。
(1) 前項に規定する方法により記録を作成した場合
最後に当該記録に係る個人関連情報の提供を行った日から起算して 1 年を経過する日までの間(2) 第 7 項ただし書に規定する方法により記録を作成した場合
最後に当該記録に係る個人関連情報の提供を行った日から起算して 3 年を経過する日までの間
Draft(3) 前二号以外の場合 3 年
個人関連情報の定義については、2-9(個人関連情報)を参照のこと。
（参考）
法第 2 条(第 7 項)
7 この法律において「個人関連情報」とは、生存する個人に関する情報であって、個人
情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。

個人関連情報取扱事業者の定義については、2-10(個人関連情報取扱事業者)を参照
のこと。
（参考）
法第 16 条(第 7 項)
7 この章、第 6 章及び第 7 章において「個人関連情報取扱事業者」と は、個人関連情報を含む情報の集合物であって、特定の個人関連情報を電子計算機を用いて検索することができるように体系的に構成した ものその他特定の個人関連情報を容易
168電気通信事業における個人情報保護指針に検索することができるように 体系的に構成したものとして政令で定めるもの(第 31条第 1 項において「個人関連情報データベース等」という。)を事業の用に供している者をいう。ただし、第 2 項各号に掲げる者を除く。
政令第 8 条
法第 16 条第 7 項の政令で定めるものは、同項に規定する情報の集合物に含まれる
個人関連情報を一定の規則に従って整理することにより 特定の個人関連情報を容易に検索することができるように体系的に構成したものであって、目次、索引その他検索を容易にするためのものを有するものをいう。

3-8-1 第 21 条の適用の有無について

個人関連情報取扱事業者である電気通信事業者は、提供先の第三者が個人関連情報(個人関連情報データベース等を構成するものに限る。以下同 じ。)を個人データとして取得することが想定されるときは、第 17 条第 1 項各号に掲げる場合を除き、あらかじめ当該
個人関連情報に係る本人の同意が得られていること等を確認しないで、当該個人関連情報を提供してはならない。
第 21 条第 1 項は、個人関連情報取扱事業者である電気通信事業者による個人関連情報の第三者提供一般に適用されるものではなく、提供先の第三者が個人関連情報を「個人データとして取得することが想定されるとき」に適用されるものである。そのため、個人関連情報の提供を行う個人関連情報取扱事業者である電気通信事業者は、提供先の第三者との間で、提供を行う個人関連情報の項目や、提供先の第三者における個人関連情報の取扱い等を踏まえた上で、それに基づいて第 21 条第 1 項の適用の有無を判断する。

3-8-1-1 「個人データとして取得する」について

第 21 条第 1 項の「個人データとして取得する」とは、提供先の第三者において、個人データに個人関連情報を付加するなど、個人データとして利用しようとする場合をいう。
提供先の第三者が、提供を受けた個人関連情報を、ID 等を介して提供先が保有する他の個人データに付加する場合には、「個人データとして取得する」場合に該当する。
提供先の第三者が、提供を受けた個人関連情報を直接個人データに紐付けて利用しな
い場合は、別途、提供先の第三者が保有する個人データとの容易照合性が排除しきれないとしても、ここでいう「個人データとして取得する」場合には直ちに該当しない。

3-8-1-2 「想定される」について

第 21 条第 1 項の「想定される」とは、提供元の個人関連情報取扱事業者である電気通信事業者において、提供先の第三者が「個人データとして取得する」(3-8-1-1(「個人デー

169電気通信事業における個人情報保護指針

タとして取得する」について)参照)ことを現に想定している場合、又は一般人の認識(※)を基準として「個人データとして取得する」ことを通常想定できる場合をいう。
(1)「個人データとして取得する」ことを現に想定している場合
提供元の個人関連情報取扱事業者である電気通信事業者が、提供先の第三者において個人データとして取得することを現に認識している場合をいう。
【現に想定している場合に該当する例】
事例 1) 提供元の個人関連情報取扱事業者である電気通信事業者が、顧客情報等の個人データを保有する提供先の第三者に対し、ID 等を用いることで個
人関連情報を個人データと紐付けて取得することが可能であることを説明している場合
事例 2) 提供元の個人関連情報取扱事業者である電気通信事業者が、提供先の第三者から、個人関連情報を受領した後に個人データと紐付けて取得することを告げられている場合(2)「個人データとして取得する」ことを通常想定できる場合
提供元の個人関連情報取扱事業者である電気通信事業者において現に想定していな
い場合であっても、提供先の第三者との取引状況等の客観的事情に照らし、一般人の認識を基準に通常想定できる場合には、「想定される」に該当する。
Draft【通常想定できる場合】
事例 1) 個人関連情報を提供する際、提供先の第三者において当該個人関連情報を氏名等と紐付けて利用することを念頭に、そのために用いる ID 等も併せて提供する場合
事例 2) 提供元の個人関連情報取扱事業者である電気通信事業者が、高精度又は連続した位置情報等を提供する際、提供先の第三者において当該個人関連情報を個人データと紐付けて利用することを念頭に、そのために用いるID 等も併せて提供する場合(※) ここでいう「一般人の認識」とは、同種の事業を営む事業者の一般的な判断力・理解力を前提とする認識をいう。

3-8-1-3 契約等による対応について

提供元の個人関連情報取扱事業者である電気通信事業者及び提供先の第三者間の契約等において、提供先の第三者において、提供を受けた個人関連情報を個人データとして利用しない旨が定められている場合には、通常、「個人データとして取得する」ことが想定されず、第 21 条は適用されない。この場合、提供元の個人関連情報取扱事業者である電170

電気通信事業における個人情報保護指針

気通信事業者は、提供先の第三者における個人関連情報の取扱いの確認まで行わなくとも、通常、「個人データとして取得する」ことが想定されない。もっとも、提供先の第三者が実際には個人関連情報を個人データとして利用することが窺われる事情がある場合には、当該事情に応じ、別途、提供先の第三者における個人関連情報の取扱いも確認した上で「個人データとして取得する」ことが想定されるかどうか判断する必要がある。

3-8-2 本人の同意の取得方法
3-8-2-1 本人の同意

第 21 条第 1 項第 1 号の「本人の同意」とは、個人関連情報取扱事業者である電気通信事業者が第三者に個人関連情報を提供し、当該第三者が当該個人関連情報を個人データとして取得することを承諾する旨の当該本人の意思表示をいう。同号の同意の取得に当たっては、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示した上で、本人の同意の意思が明確に確認できることが必要である。
また、本人の同意は、必ずしも第三者提供の度に取得しなければならないものではなく、本人が予測できる範囲において、包括的に同意を取得することも可能である。

3-8-2-2 同意を取得する主体

第 21 条第 1 項第 1 号(法第 31 条第 1 項第 1 号)の「本人の同意」を取得する主体は、本人と接点を持ち、情報を利用する主体となる提供先の第三者であるが、同等の本人の権利利益の保護が図られることを前提に、同意取得を提供元の個人関連情報取扱事業者である電気通信事業者が代行することも認められる。
提供先の第三者による同意取得の場合であっても、提供元の個人関連情報取扱事業者である電気通信事業者による同意取得の代行の場合であっても、個人関連情報の提供を受けて個人データとして取得する主体、対象となる個人関連情報の項目、個人関連情報の提供を受けて個人データとして取得した後の利用目的等について、本人が認識できるようにする必要がある。
(1)提供先の第三者による同意取得の場合
提供先の第三者が、個人関連情報の提供を受けて個人データとして取得する主体として、本人に対して、対象となる個人関連情報を特定できるように示した上で同意を取得しなければならない。 個人関連情報を個人データとして取得した後の利用目的については、提供先の第三者において第 9 条(法第 21 条)により通知又は公表を行う必要があるが、提供先において同意を取得する際には同時に当該利用目的についても本人に示すことが望ましい。
(2)提供元の個人関連情報取扱事業者である電気通信事業者による同意取得の代行の場
合171

電気通信事業における個人情報保護指針

提供元の個人関連情報取扱事業者である電気通信事業者が同意取得を代行する場合、本人は利用の主体を認識できないことから、提供元の個人関連情報取扱事業者である電気通信事業者において、個人関連情報の提供を受けて個人データとして取得する提供先の第三者を個別に明示し、また、対象となる個人関連情報を特定できるように示さなければならない。
提供先の第三者が個人関連情報を個人データとして取得した後の利用目的については、
提供先の第三者において第 9 条(法第 21 条)により通知又は公表を行わなければならない。
また、提供元の個人関連情報取扱事業者である電気通信事業者が同意取得を代行する場合であっても、提供先の第三者が同意取得の主体であることに変わりはないことから、提供先の第三者は提供元の個人関連情報取扱事業者である電気通信事業者に適切に同意取得させなければならない。

3-8-2-3 同意の取得の方法

同意取得の方法としては、様々な方法があるが、例えば、本人から同意する旨を示した
書面や電子メールを受領する方法、確認欄へのチェックを求める方法がある。ウェブサイト
上で同意を取得する場合は、単にウェブサイト上に本人に示すべき事項を記載するのみでは足りず、それらの事項を示した上でウェブサイト上のボタンのクリックを求める方法等によらなければならない。
また、同意取得に際しては、本人に必要な情報を分かりやすく示すことが重要であり、例
えば、図を用いるなどして工夫することが考えられる。
Draft

3-8-3 本人の同意等の確認の方法（第 21 条第１項、第２項関係）
3-8-3-1 個人データとして取得することを認める旨の本人の同意を得られていること（第21 条第１項第 1 号、第２項第 1 号関係）
ガイドライン第 21 条（第 1 項・第２項）
1

個人関連情報取扱事業者である電気通信事業者は、第三者が個人関連情報(個人関連情報データベース等を構成するものに限る。以下同 じ。)を個人データとして取得することが想定されるときは、第 17 条第 1 項各号に掲げる場合を除く
ほか、次に掲げる事項について、あらかじめ次項の規定で定めるところにより確認することをしないで、当該個人関連情報を当該第三者に提供してはならない。
(1) 当該第三者が個人関連情報取扱事業者である電気通信事業者から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていること。
(2) (略)2

前項の規定による確認は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める方法により行うこととする。
172

電気通信事業における個人情報保護指針(1) 前項第 1 号に掲げる事項の確認を行う場合(第 3 号に掲げる場合に該当するものを除く。)
個人関連情報の提供を受ける第三者から申告を受ける方法その他適切な方
法(2) (略)(3) (略)
個人関連情報取扱事業者である電気通信事業者は、提供先の第三者が個人関連情報を個人データとして取得することが想定されるときは、原則として、あらかじめ当該個人関連情報に係る本人の同意が得られていることを確認しないで個人関連情報を提供してはならない。
本人から同意を得る主体は、原則として提供先の第三者となり、個人関連情報取扱事業者である電気通信事業者は、当該第三者から申告を受ける方法その他の適切な方法によって本人同意が得られていることを確認することになる。提供先の第三者から申告を受ける
場合、個人関連情報取扱事業者である電気通信事業者は、その申告内容を一般的な注意力をもって確認すれば足りる。
提供先の第三者において、複数の本人から同一の方式で同意を取得している場合、提供元はそれぞれの本人から同意が取得されていることを確認する必要があるが、同意取得の方法については、本人ごとに個別の申告を受ける必要はなく、複数の本人からどのように同意を取得したか申告を受け、それによって確認を行えば足りる。
なお、提供先の第三者から提供元の個人関連情報取扱事業者である電気通信事業者に対する申告に際し、提供先の第三者が第 21 条第 1 項第 1 号 (法第 31 条第 1 項第 1号)の同意を取得済みの ID 等を提供する行為は、 個人データの第三者提供に該当する場合があるが、第 21 条第 1 項(法第 31 条第 1 項)の確認行為において必要となる情報のみを提供する場合は、法令に基づく場合(第 17 条第 1 項第 1 号(法第 27 条第 1 項第 1号))に該当する。
また、提供元の個人関連情報取扱事業者である電気通信事業者において、同意取得を代行する場合、当該同意を自ら確認する方法も「その他の適切な方法」による確認に該当する。
【第三者から申告を受ける方法に該当する事例】
事例 1) 提供先の第三者から口頭で申告を受ける方法
事例 2) 提供先の第三者が本人の同意を得ていることを誓約する書面を受け入れる方法【その他の適切な方法に該当する事例】
事例 1) 提供先の第三者が取得した本人の同意を示す書面等を確認する方法

173電気通信事業における個人情報保護指針

事例 2) 提供元の個人関連情報取扱事業者である電気通信事業者において同意取得を代行して、当該同意を自ら確認する方法（参考）法第 31 条(第 1 項)
1 個人関連情報取扱事業者は、第三者が個人関連情報(個人関連情報データベース等を構成するものに限る。以下この章及び第 6 章において同じ。)を個人データとして取得することが想定されるときは、第 27 条第 1 項各号に掲げる場合を除くほか、次に掲げる事項について、あらかじめ個人情報保護委員会規則で定めるところにより確認することをしないで、当該個人関連情報を当該第三者に提供してはならない。
(1) 当該第三者が個人関連情報取扱事業者から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていること。
(2) (略)規則第 26 条(第 1 項)
1 法第 31 条第 1 項の規定による同項第 1 号に掲げる事項の確認を行う方法は、個人関連情報の提供を受ける第三者から申告を受ける方法その他の適切な方法とする。
Draft

3-8-3-2 外国にある第三者への提供にあっては、必要な情報が当該本人に提供されていること(第 21 条第 1 項第 2 号、第 2 項第 2 号、第 3 項関係)
ガイドライン第 21 条（第 1 項〜第３項）
1

個人関連情報取扱事業者である電気通信事業者は、第三者が個人関連情報(個人関連情報データベース等を構成するものに限る。以下同じ。)を個人データとして取得することが想定されるときは、第 17 条 第 1 項各号に掲げる場合を除くほか、次に掲げる事項について、あらかじめ次項の規定で定めるところにより確認することをしないで、当該個人関連情報を当該第三者に提供してはならない。
(1) (略)(2) 外国にある第三者への提供にあっては、前号の本人の同意を得ようとする場合
において、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法により、あらかじめ、次に掲げる事項が当該本人に提供されていること。
イ 当該外国の名称
ロ 適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報
ハ 当該第三者が講ずる個人情報の保護のための措置に関する情報

2

前項の規定による確認は、次の各号に掲げる場合の区分に応じ、それぞれ当該各174

電気通信事業における個人情報保護指針号に定める方法により行うこととする。
(1) (略)(2) 前項第 2 号に掲げる事項の確認を行う場合(次号に掲げる場合に該当するものを除く。)
同項第 2 号の規定による情報の提供が行われていることを示す書面の提示を受ける方法その他の適切な方法(3) (略)３

第 18 条第 7 項の規定は、第 1 項の規定により個人関連情報取扱事業者である
電気通信事業者が個人関連情報を提供する場合について準用する。この場合において、同条第 7 項中「講ずるとともに、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法により、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供し」とあるのは、「講じ」と読み替えるものとする。
個人関連情報取扱事業者である電気通信事業者は、個人関連情報の提供先が外国にある第三者である場合には、第 21 条第 1 項第 1 号に基づき本人の同意が得られていることを確認するに当たって、当該同意が得られていることに加え、当該同意を得ようとする時点において次の(1)から(3) までの情報が当該本人に提供されていることを確認しなければならない。
情報提供の方法及び提供すべき情報の内容の考え方等については、個人情報保護委員会が定める「個人情報の保護に関する法律についてのガイドライン(外国にある第三者への提供編)」(平成 28 年個人情報保護委員会告示第 7 号)「5-1(情報提供の方法)」及び「5-2(提供すべき情報)」 を参照のこと。
(1)当該外国の名称(2)適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報(3)当該第三者が講ずる個人情報の保護のための措置に関する情報
ただし、次の 1 又は 2 のいずれかに該当する場合には、本人同意の取得時に上記の(1)から(3)までの情報が提供されていることを確認する必要はない。
1 当該第三者が個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報保護制度を有している国にある場合
個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報保護制度を有している外国として規則で定める国(※1)は、第 21 条第 1 項第 2 号の「外国」には該当しない。そのため、個人関連情報の提供先が、当該国にある第三者である場合には、第 21 条第 1 項第 2 号は適用されない。

175

電気通信事業における個人情報保護指針

2 当該第三者が個人情報取扱事業者である電気通信事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備している場合
個人関連情報の提供先である外国にある第三者が、個人情報取扱事業者である
電気通信事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制として第 18 条第 2 項に定める基準に適合する体制を整備している場合(※2)には、当該第三者は、第 21 条第 1 項第 2 号における 「第三者」に該当しない。そのため、当該体制を整備している外国にある第三者への個人関連情報の提供については、第 21 条第 1 項第 2 号は適用さ れない。
ただし、第 18 条第 2 項で定める基準に適合する体制を整備している外国にある
第三者に個人関連情報の提供を行った場合には、個人関連情報取扱事業者である電気通信事業者は、第 21 条第 3 項により読み替えて準用される第 18 条第 7 項に基づき、次の(ア)及び(イ)の措置を講じなければならない(※3)(※4)。
講ずべき措置の考え方等については、個人情報保護委員会が定める「個人情報の保護に関する法律についてのガイドライン(外国にある第三者への提供編)」(平成28 年個人情報保護委員会告示第 7 号)「6-1(相当措置の継続的な実施を確保するために必要な措置)」を参照のこと。
(ア)当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること(第 18 条第 7 項第 1 号関係)
(イ)当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、
個人関連情報の当該第三者への提供を停止すること(第 18 条第 7 項第 2 号関
係)
Draft

(※1) 規則で定める国とは、平成 31 年個人情報保護委員会告示第 1 号に定める国を指す。詳細については、個人情報保護委員会が定める 「個人情報の保護に関する法律についてのガイドライン(外国にある第三者への提供編)」(平成 28
年個人情報保護委員会告示第 7 号)「3(個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している
外国)」 を参照のこと。
(※2) 個人情報取扱事業者である電気通信事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準の詳細については、個人情報保護委員会が定める「個人情報の保護に関する法律についてのガイドライン(外国にある第三者への提供編)」(平成 28 年個人情報保護委員会告示第 7号)「4(個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準)」を参照のこと。
（参考）
176

電気通信事業における個人情報保護指針

法第 31 条(第 1 項・第 2 項)
1 個人関連情報取扱事業者は、第三者が個人関連情報(個人関連情報データベース
等を構成するものに限る。以下この章及び第 6 章において同じ。)を個人データとして取得することが想定されるときは、第 27 条第 1 項各号に掲げる場合を除くほか、次に掲げる事項について、あらかじめ個人情報保護委員会規則で定めるところにより確認することをしないで、当該個人関連情報を当該第三者に提供してはならない。
(1) (略)(2) 外国にある第三者への提供にあっては、前号の本人の同意を得ようとする場合において、個人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情が当該本人に提供されていること。
2 第 28 条第 3 項の規定は、前項の規定により個人関連情報取扱事業者が個人関連情報を提供する場合について準用する。この場合において、同条第 3 項中「講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供し」とあるのは、「講じ」と読み替えるものとする。
規則第 17 条(第 1 項・第 2 項)
1 法第 28 条第 2 項又は法第 31 条第 1 項第 2 号の規定により情報を提供する方法
は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。
2 法第 28 条第 2 項又は法第 31 条第 1 項第 2 号の規定による情報の提供は、次に掲げる事項について行うものとする。
(1) 当該外国の名称(2) 適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報(3) 当該第三者が講ずる個人情報の保護のための措置に関する情報
規則第 18 条(第 1 項)
1 法第 28 条第 3 項(法第 31 条第 2 項において読み替えて準用する場合を含む。)の規定による外国にある第三者による相当措置の継続的な実施を確保するために必要な措置は、次に掲げる措置とする。
(1) 当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及
ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法
より、定期的に確認すること。
(2) 当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人
データ(法第 31 条第 2 項において読み替えて準用する場合にあっては、個人関連
報)の当該第三者への提供を停止すること。

177

電気通信事業における個人情報保護指針＜確認の方法（第 21 条第２項第 2 号）＞
ガイドライン第 21 条（第 2 項）
2

前項の規定による確認は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める方法により行うこととする。
(1) (略)(2) 前項第 2 号に掲げる事項の確認を行う場合(次号に掲げる場合に該当するものを除く。)
同項第 2 号の規定による情報の提供が行われていることを示す書面の提示を受ける
方法その他の適切な方法(3) (略)

本人から同意を得る主体は、原則として提供先の第三者となり、個人関連情報取扱事業者である電気通信事業者は、書面の提示を受ける方法その他の適切な方法によって必要な情報の提供が行われていることを確認しなければならない。
【書面の提示を受ける方法に該当する事例】
事例 1) 提供先の第三者が本人に対して第 21 条第 1 項第 2 号(法第 31 条第 1
項第 2 号)の規定による情報の提供を行う際に使用している書面の提示を受ける方法
事例 2) 提供先の第三者が本人に対してホームページ上で第 21 条第 1 項第 2号(法第 31 条第 1 項第 2 号)の規定による情報の提供を行っている場合において、当該ホームページの写しの提示を受ける方法
事例 3) 提供先の第三者が本人に対して第 21 条第 1 項第 2 号(法第 31 条第 1
項第 2 号)の規定による情報の提供を行っていることを誓約する書面を受け
入れる方法
Draft

【その他の適切な方法に該当する事例】
事例 1) 提供先の第三者が本人に対してホームページ上で第 21 条第 1 項第 2号(法第 31 条第 1 項第 2 号)の規定による情報の提供を行っている場合において、当該ホームページの記載内容を確認する方法
事例 2) 提供元の個人関連情報取扱事業者である電気通信事業者において同意取得を代行している場合において、同意取得に当たって必要な情報が提供されていることを自ら確認する方法（参考）規則第 26 条(第 2 項)

178

電気通信事業における個人情報保護指針

2 法第 31 条第 1 項の規定による同項第 2 号に掲げる事項の確認を行う方法は、同号の規定による情報の提供が行われていることを示す書面の提示を受ける方法その他の適切な方法とする。

3-8-3-3 既に確認を行なった第三者に対する確認の方法（第 21 条第 2 項第 3 号関係）

ガイドライン第 21 条（第 2 項）
2

前項の規定による確認は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める方法により行うこととする。
(1) (略)(2) (略)(3) 第三者に個人関連情報の提供を行うに際して既に前二号に規定する方法による確認を行っている事項の確認(当該確認について記録の作成及び保存をしている
場合におけるものに限る。)を行う場合

当該事項の内容と当該提供に係る前項各号に掲げる事項の内容が同一であることの確認を行う方法
複数回にわたって同一「本人」の個人関連情報を提供する場合において、同一の内容である事項を重複して確認する合理性はないため、既に第 21 条第 2 項に規定する方法により確認を行い、3-8-4(提供元における記録義務)に規定する方法により作成し、かつ、その時点において保存している記録に記録された事項と内容が同一であるものについては、当該事項の確認を省略することができる。
令和 2 年改正法の施行日（令和 4 年 4 月 1 日）の前に上記に規定する方法に相当する方法で作成した記録についても同様とする。
例えば、個人関連情報取扱事業者である電気通信事業者が、同じ提供先に対して、既に確認・記録義務を履行した本人に係る個人関連情報であることを認識しながら、個人関連情報の提供を行う場合は、「同一であることの確認」が行われているものである。
（参考）
規則第 26 条(第 3 項)
3 前二項の規定にかかわらず、第三者に個人関連情報の提供を行うに際して既に前二項に規定する方法による確認(当該確認について次条に規定する方法による記録の作成及び保存をしている場合におけるものに限る。)を行っている事項の確認を行う方法は、当該事項の内容と当該提供に係る法第 31 条第 1 項各号に掲げる事項の内容が同一であることの確認を行う方法とする。
令和 2 年改正法規則附則第 4 条
法第 31 条第 1 項第 1 号に規定する事項のうち、施行日前に第 26 条に規定する方法に相当する方法で確認(当該確認について第 27 条に規定する方法に相当する方法
179電気通信事業における個人情報保護指針

で記録を作成し、かつ、保存している場合におけるものに限る。)を行っているものについては、第 26 条第 3 項の規定を適用することができる。この場合において、同項中「前二項に規定する方法」とあるのは「前二項に規定する方法相当する方法」 と読み替えるものとする。

3-8-4 提供元における記録義務（第 21 条第５項関係）

ガイドライン第 21 条（第 5 項）
5 個人関連情報取扱事業者である電気通信事業者は、第 1 項の規定による確認を行ったときは、文書、電磁的記録又はマイクロフィルムを用いて作成する方法により、次に掲げる事項に関する記録を作成しなければならない。
(1) 第 1 項第 1 号の本人の同意が得られていることを確認した旨及び外国にある第三者への提供にあっては、同項第 2 号の規定による情報の提供が行われていることを確認した旨(2) 個人関連情報を提供した年月日(第 7 項ただし書に規定する方法により記録を作成した場合にあっては、当該提供の期間の初日及び末日)(3) 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名(4) 当該個人関連情報の項目
個人関連情報取扱事業者である電気通信事業者は、第 21 条第 1 項の規定による確認を行った場合は、その記録を作成しなければならない(第 21 条第 5 項)。なお、「第三者」のうち、次の(1)から(4)までに掲げる者に個人関連情報の提供を行う場合は、記録義務は適用されない(第 19 条第 1 項)。
Draft(1)国の機関(法第 16 条第 2 項第 1 号関係)
(2)地方公共団体(法第 16 条第 2 項第 2 号関係)
(3)独立行政法人等（独立行政法人通則法第 2 条第 1 項に規定する独立行政法人
及び法別表第 1 に掲げる法人をいう。法別表第 2 に掲げる法人を除く。）（法第 16条第 2 項第 3 号関係）
(4)地方独立行政法人（地方独立行政法人法第 2 条第 1 項に規定する地方独立行
政法人をいう。同法第 21 条第 1 号に掲げる業務を主たる目的とするもの又は同条
第 2 号若しくは第 3 号（チに係る部分に限る。）に掲げる業務を目的とするものを除く。）（法第 16 条第 2 項第 4 号関係）
（参考）
法第 31 条(第 3 項)
3 前条第 2 項から第 4 項までの規定は、第 1 項の規定により個人関連情報取扱事業者が確認する場合について準用する。この場合において、同条第 3 項中「の提供を受けた」とあるのは、「を提供した」と 読み替えるものとする。
180

電気通信事業における個人情報保護指針

法第 30 条(第 3 項)
3 個人情報取扱事業者は、第 1 項の規定による確認を行ったときは、 個人情報保
護委員会規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。

3-8-4-1 記録を作成する媒体

個人関連情報取扱事業者である電気通信事業者は、記録を、文書、電磁的記録(電磁的方式(電子的方式、磁気的方式その他人の知覚によっては 認識することができな
い方式をいう。)で作られる記録をいう。以下同 じ。法第 2 条第 1 項第 1 号参照)又はマイクロフィルムを用いて作成しなければならない。
（参考）
規則第 27 条(第 1 項)
1
法第 31 条第 3 項において読み替えて準用する法第 30 条第 3 項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。

3-8-4-2 記録を作成する方法
3-8-4-2-1 原則

個人関連情報取扱事業者である電気通信事業者は、記録を作成する場合、原則として、個人関連情報の提供の都度、速やかに、記録を作成しなければならない。 なお、個人関連情報を提供する前に記録を作成することもできる。
(参考)
規則第 27 条(第２項)
２
法第 31 条第 3 項において読み替えて準用する法第 30 条第 3 項の記録は、個人関連情報を第三者に提供した都度、速やかに作成しなければならない。(略)3-8-4-2-2 一括して記録を作成する方法

一定の期間内に特定の事業者に対して継続的に又は反復して個人関連情報を提供する場合は、個々の提供に係る記録を作成する代わりに、一括して記録を作成することができる。
【一括して記録を作成する方法に該当する事例】
181

電気通信事業における個人情報保護指針

事例 1) 最初の提供の際に一旦記録を作成した上で、継続的に又は反復して個
人関連情報を提供する対象期間内に、随時、追加の記録事項を作成する方法
事例 2) 継続的に又は反復して個人関連情報を提供する対象期間内に、月ごとに記録を作成する方法
事例 3) 継続的に又は反復して個人関連情報を提供する対象期間の終了後、 速
やかに記録を作成する方法「確実であると見込まれるとき」の例としては、継続的に又は反復して個人関連情報を提供することを内容とする基本契約を締結することで、以後、継続的に又は反復して個人関連情報を提供することが確実であると見込まれる場合などが該当する。この場合は、当該基本契約に係る契約書をもって記録とすることができる。
「一括して記録を作成する方法」は、例外としての記録作成方法であることに鑑みて、その対象期間、対象範囲等を明確にすることが望ましい。
（参考）
規則第 27 条(第 2 項)
2 (略)当該第三者に対し個人関連情報を継続的に若しくは反復して提供したとき、又は当該第三者に対し個人関連情報を継続的に若しくは反復して提供することが確実であると見込まれるときの記録は、一括して作成することができる。
Draft

3-8-4-2-3 契約書等の代替手段による方法

個人関連情報取扱事業者である電気通信事業者が、本人に対する物品又は役務の提供に係る契約を締結し、かかる契約の履行に伴って、当該本人に係る個人関連情報を当該個人関連情報取扱事業者から第三者に提供する場合は、当該契約書
その他の書面をもって記録とすることができる。
仮に、第 21 条第 8 項の要件を満たさない書面も、記録事項が記載されていれば記録として認められるが、保存期間の違いに留意する必要がある(3 -8-4-4(保存期間)参照)。
(1)「本人に対する物品又は役務の提供」
提供元の個人関連情報取扱事業者である電気通信事業者若しくは提供先の第三者又はその双方が「本人に対する物品又は役務の提供」の主体となる場合も含む。
(2)「当該提供に関して作成された(契約書その他の書面)」
複数の書面を合わせて一つの記録とすることは妨げられない。
(3)「契約書その他の書面」
182

電気通信事業における個人情報保護指針

本人と提供元の個人関連情報取扱事業者である電気通信事業者との間で作成した契約書のみならず、提供元の個人関連情報取扱事業者である電気 通信事業者と提供先の第三者との間で作成した契約書も含まれる。 「契約書」の他にも、「その他の書面」には、個人関連情報取扱事業者で ある電気通信事業者又は提供先の第三者の内部で作成された帳票、記録簿 等も含まれる。
また、「契約書その他の書面」は電磁的記録を含むため(第 17 条第 6 項 参照)、
システム上の記録等も「契約書その他の書面」に該当する。
【契約書等の代替手段による方法の例】
事例)

提供元の個人関連情報取扱事業者である電気通信事業者が提供先の第三者との間で、個人関連情報の提供に関して「契約書その他の書面」を交わしている場合であって、当該書面に第 21 条第 5 項各号に掲げる事項が記載されている場合（参考）
規則第 27 条（第３項）
3
前項の規定にかかわらず、法第 31 条第 1 項の規定により、本人に対する物品又は役務の提供に関連して当該本人に係る個人関連情報を第三者に提供した
場合において、当該提供に関して作成された契約書その他の書面に次条第 1項各号に定める事項が記載されているときは、 当該書面をもって法第 31 条第3 項において読み替えて準用する法第 30 条第 3 項の当該事項に関する記録に代えることができる。

3-8-4-2-4 代行により記録を作成する方法

提供先の第三者は提供元の個人関連情報取扱事業者である電気通信事業者の記録義務の全部又は一部を代替して行うことができる。なお、この場合であっても、提供元の個人関連情報取扱事業者は自己の義務が免責されるわけではないことから、実質的に自らが記録作成義務を果たしているも のと同等の体制を構築しなければならない。

3-8-4-3 提供先における記録事項（第 21 条第５項・第６項関係）
3-8-4-3-1 提供元における記録事項（第２１条第５項関係）

法第 31 条(第 3 項)
3

前条第 2 項から第 4 項までの規定は、第 1 項の規定により個人関連情報取扱事業者が確認する場合について準用する。この場合において、 同条第 3 項中「の提供を受けた」とあるのは、「を提供した」と読み替えるものとする。

183

電気通信事業における個人情報保護指針

法第 30 条(第 3 項)
3

個人情報取扱事業者は、第 1 項の規定による確認を行ったときは、 個人情報保
護委員会規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。

ガイドライン第 21 条（第 5 項）
5

個人関連情報取扱事業者である電気通信事業者は、第 1 項の規定による確認を行ったときは、文書、電磁的記録又はマイクロフィルムを用いて作成する方法
により、次に掲げる事項に関する記録を作成しなければならない。
(1) 第 1 項第 1 号の本人の同意が得られていることを確認した旨及び外国にある第三者への提供にあっては、同項第 2 号の規定による情報の提供が行われていることを確認した旨(2) 個人関連情報を提供した年月日(第 7 項ただし書に規定する方法により記録を作成した場合にあっては、当該提供の期間の初日及び末日)(3) 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名(4) 当該個人関連情報の項目
Draft

提供元の個人関連情報取扱事業者である電気通信事業者は、第 21 条第 1 項の規定による確認を行ったときは、次の項目を記録しなければならない。
(1)「第 1 項第 1 号の本人の同意が得られていることを確認した旨及び外国にある第三者への提供にあっては、同項第 2 号の規定による情報の提供が行われていることを確認した旨」
第 1 項第 1 号の本人の同意が得られていること及び外国にある第三者への提供にあっては、同項第 2 号の規定による情報の提供が行われていることについて確認した
旨をその方法を含めて記載する。
提供元の個人関連情報取扱事業者である電気通信事業者が同意取得を代行している場合においては、それぞれの事項を提供元の個人関連情報取扱事業者が自ら確認した旨を記載する。
(2)「個人関連情報を提供した年月日(第 7 項ただし書に規定する方法により記録を作成した場合にあっては、当該提供の期間の初日及び末日)」184電気通信事業における個人情報保護指針

個人関連情報を継続的に若しくは反復して提供した場合又は個人関連情報を継続的に若しくは反復して提供することが確実であると見込まれる場合、記録を一括して作成することができるが、この場合、個人関連情報の提供の初日と末日を記載する。
(3)「当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名」(4)「当該個人関連情報の項目」
事例 1) ウェブサイトの閲覧履歴
事例 2) 商品購入履歴
事例 3)

年齢、性別

当該記載から、どのような個人関連情報が提供されているか分かる程度に具体的な記載をする必要がある。「当社が有するいずれかの情報」等の記載では、「当該個人関連情報の項目」には該当しないものと解される。
また、記録・保存が求められているのは「個人関連情報の項目」であって、個人関連
情報そのものを保存する必要はない。
＜提供元の記録事項＞

個人関連情
報の第三者
提供

提供年月日

第三者の氏
名等

◯

◯

(参考)
本人の同意
による第三
者提供
（参考）
オプトアウト
による第三
者提供
(※)

◯

本人の氏名
等

個人データ
本人の同意
（個人関連情 等（※）
報）の項目
◯

◯

◯

◯

◯

◯

◯

◯

◯

個人関連情報の第三者提供について、外国にある第三者への提供に あっては、
第 21 条第 1 項第 2 号の規定による情報の提供についても記録する。

(参考)
規則第 28 条(第 1 項)

185

電気通信事業における個人情報保護指針

1

法第 31 条第 3 項において読み替えて準用する法第 30 条第 3 項の個人情報保
護委員会規則で定める事項は、次に掲げるものとする。

(1) 法第 31 条第 1 項第 1 号の本人の同意が得られていることを確認した旨及び外国にある第三者への提供にあっては、同項第 2 号の規定による情報の提供が行われていることを確認した旨(2) 個人関連情報を提供した年月日(前条第 2 項ただし書の規定によ り、法第 31 条第3 項において読み替えて準用する法第 30 条第 3 項の記録を一括して作成する
場合にあっては、当該提供の期間の初日及び末日)(3) 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名(4) 当該個人関連情報の項目

3-8-4-3-2 記録事項の省略（第 21 条第６項関係）

ガイドライン第 21 条（第 6 項）
6

前項各号に定める事項のうち、既に前項、次項及び第 8 項に規定する方法により作成した前項の記録(当該記録を保存している場合におけるものに限る。)に記録された事項と内容が同一であるものについては、同項の当該事項の記録を省略することができる。
Draft

複数回にわたって同一「本人」の個人関連情報の提供をする場合において、同一の内容である事項を重複して記録する必要はないことから、その旨を明確にするものである。すなわち、既に 3-8-4(提供元における記録義務)に規定する方法により作成した記録(現に保存している場合に限る。)に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。
令和 2 年改正法の施行日（令和 4 年 4 月 1 日）の前に上記に規定する方法に相当する方法で作成した記録についても同様とする。
なお、記録事項のうち、一部の事項の記録の作成を第 21 条第 6 項に基づき省略
し、残りの事項の記録のみを作成した場合、記録全体としての保存期間の起算点は、残りの事項を作成した時点とする。保存期間について は、3-8-4-4(保存期間)を参照
のこと。
（参考）
規則第 28 条（第２項）
2
前項各号に定める事項のうち、既に前条に規定する方法により作成した法第
31 条第 3 項において読み替えて準用する法第 30 条第 3 項の記録(当該記録を保存している場合におけるものに限る。)に記録された事項と内容が同一であるものについては、法第 31 条第 3 項において読み替えて準用する法第 30 条
第 3 項の当該事項の記録を省略することができる
186

電気通信事業における個人情報保護指針

令和 2 年改正法規則附則第 5 条
第 28 条第 1 項に規定する事項のうち、施行日前に第 27 条に規定する方法に相当する方法で記録(当該記録を保存している場合におけるものに限る。)を作成しているものについては、第 28 条第 2 項の規定を適用することができる。この場合において、同項中「前条に規定する方法」とあるのは「前条に規定する方法に相当する方法」と読み替えるものとする。

3-8-4-4 保存期間（第 21 条第 9 項関係）

法第 31 条(第 3 項)
3 前条第 2 項から第 4 項までの規定は、第 1 項の規定により個人関連情報取扱事業者が確認する場合について準用する。この場合におい て、同条第 3項中「の提供を受けた」とあるのは、「を提供した」と 読み替えるものとする。

法第 30 条(第 4 項)
4 個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。

ガイドライン第 21 条（第 9 項）
9個人関連情報取扱事業者である電気通信事業者は、第 5 項の記録を、当該記録を作成した日から次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間保存しなければならない。
(1) 前項に規定する方法により記録を作成した場合
最後に当該記録に係る個人関連情報の提供を行った日から起算して 1 年を経過する日までの間(2) 第 7 項ただし書に規定する方法により記録を作成した場合
最後に当該記録に係る個人関連情報の提供を行った日から起算して 3 年を経過する日までの間(3) 前二号以外の場合 3 年

個人関連情報取扱事業者である電気通信事業者は、作成した記録を第 21 条第 9項で定める期間保存しなければならない。保存期間は記録の作成方法によって異なる。
具体的には、次の表のとおりである。
記録の作成方法の別

保存期間
187

電気通信事業における個人情報保護指針「3-8-4-2-3 契約書等の代替手段による方法」により記録を作成した場合

最後に当該記録に係る個人関連情報の提供を行った日から起算 して 1 年を経過する
日までの間「3-8-4-2-2 一括して記録を作成する方 最後に当該記録に係る個人関連情報の提法」により記録を作成した場合供を行った日から起算して 3 年を経過する
日までの間
上述以外の場合３年（参考）
規則第 29 条
法第 31 条第 3 項において準用する法第 30 条第 4 項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める期間とする。
(1) 第 27 条第 3 項に規定する方法により記録を作成した場合
最後に当該記録に係る個人関連情報の提供を行った日から起算して 1 年を経過する日までの間(2) 第 27 条第 2 項ただし書に規定する方法により記録を作成した場合
最後に当該記録に係る個人関連情報の提供を行った日から起算して 3 年を経過する日までの間(3) 前二号以外の場合 3 年
Draft

3-9 保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止等（ガイドライン第 22 条～第 29 条関係）
3-9-1 保有個人データに関する事項の公表等（ガイドライン第 22 条関係）

(1）保有個人データに関する事項の本人への周知（ガイドライン第 22 条第 1 項関係）
法第 32 条（第 1 項～第 3 項）
1 個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置
かなければならない。
(1) 当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名(2) 全ての保有個人データの利用目的（第 21 条第 4 項第 1 号から第 3 号までに該当する場合を除く。）(3) 次項の規定による求め又は次条第 1 項(同条第 5 項において準用する場

合を含む。)、第 34 条第 1 項若しくは第 35 条第 1 項、第 3 項若しくは第5 項の規定による請求に応じる手続(第 38 条第 2 項の規定により手数料の額を定めたときは、その手数料の額を含む。)
188

電気通信事業における個人情報保護指針(4) 前 3 号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの
2

個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなけ
ればならない。ただし、次の各号のいずれかに該当する場合は、この限りでない。
(1)

前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合(2)

第 21 条第 4 項第 1 号から第 3 号までに該当する場合
3 個人情報取扱事業者は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
ガイドライン第 22 条（第 1 項）
1

電気通信事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
(1) 当該電気通信事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名(2) 全ての保有個人データの利用目的（第 9 条第 4 項第 1 号から第 3 号までに該当する場合を除く。）(3) 次項の規定による求め又は次条第 1 項（同条第 5 項において準用する場合を含む。）、第 24 条第 1 項若しくは第 25 条第 1 項、第 3 項若しくは第 5 項の規定による請求に応じる手続（第 28 条第 2 項の規定により手数料の額を定めたときは、その手数料の額を含む。）(4) 第 12 条の規定により保有個人データの安全管理のために講じた措置（本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置く
ことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。）(5) 当該電気通信事業者が行う保有個人データの取扱いに関する苦情の申出先(6) 当該電気通信事業者が認定個人情報保護団体の対象事業者である場合にあっては、当該認定個人情報保護団体の名称及び苦情の解決の申出先

電気通信事業者は、保有個人データについて、次の①から④までの情報を本人の知り得る状態(本人の求めに応じて遅滞なく回答する場合を含む。以下同じ。)(※1)に置かなければならない。

189

電気通信事業における個人情報保護指針①電気通信事業者の氏名又は名称及び住所(※2)並びに法人にあっては、その代表者の氏名②全ての保有個人データの利用目的(※3)(ただし、一定の場合(※4) を除く。)③保有個人データの利用目的の通知の求め又は開示等の請求(※5)に応じる手続き
及び保有個人データの利用目的の通知の求め又は開示の請求に係る手数料の額(定めた場合に限る。)(※6)④保有個人データの安全管理のために講じた措置(ただし、本人の知り得る状態に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。)
電気通信事業者は、第 12 条の規定により保有個人データの安全管理のために講じた措置の内容を本人の知り得る状態に置かなければならない。
ただし、当該保有個人データの安全管理に支障を及ぼすおそれがあるものについては、その必要はない。
当該安全管理のために講じた措置は、事業の規模及び性質、保有個人データの取扱状況(取り扱う保有個人データの性質及び量を含む。)、保有個人データを記録した
媒体等に起因するリスクに応じて、必要かつ適切な内容としなければならない。このため、当該措置の内容は電気通信事業者によって異なり、本人の知り得る状態に置く安全管理のために講じた措置の内容についても電気通信事業者によって異なる。
なお、本人の知り得る状態については、本人の求めに応じて遅滞なく回答する場合を含むため、講じた措置の概要や一部をホームページに掲載し、残りを本人の求めに応じて遅滞なく回答を行うといった対応も可能であるが、例えば、本ガイドラインに沿って安全管理措置を実施しているといった内容の掲載や回答のみでは適切ではない。
Draft【安全管理のために講じた措置として本人の知り得る状態に置く内容の事例】(※7)(基本方針の策定)
事例) 個人データの適正な取扱いの確保のため、「関係法令・ガイドライン等の遵守」、「質問及び苦情処理の窓口」等についての基本方針を策定(個人データの取扱いに係る規律の整備)事例) 取得、利用、保存、提供、削除・廃棄等の段階ごとに、取扱方法、責任者・担当者及びその任務等について個人データの取扱規程を策定(組織的安全管理措置)
事例 1) 個人データの取扱いに関する責任者を設置するとともに、個人データを取り扱う従業者及び当該従業者が取り扱う個人データの範囲を明確化し、法や190

電気通信事業における個人情報保護指針

取扱規程に違反している事実又は兆候を把握した場合の責任者への報告
連絡体制を整備事例 2) 個人データの取扱状況について、定期的に自己点検を実施するとともに、他部署や外部の者による監査を実施(人的安全管理措置)
事例 1) 個人データの取扱いに関する留意事項について、従業者に定期的な研修を実施
事例 2) 個人データについての秘密保持に関する事項を就業規則に記載(物理的安全管理措置)
事例 1) 個人データを取り扱う区域において、従業者の入退室管理及び持ち込む
機器等の制限を行うとともに、権限を有しない者による個人データの閲覧を防止する措置を実施
事例 2) 個人データを取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するための措置を講じるとともに、事業所内の移動を含め、当該機器、電子媒体等を持ち運ぶ場合、容易に個人データが判明しないよう措置を実施(技術的安全管理措置)
事例 1) アクセス制御を実施して、担当者及び取り扱う個人情報データベース等の範囲を限定
事例 2) 個人データを取り扱う情報システムを外部からの不正アクセス又は不正ソ
フトウェアから保護する仕組みを導入（外的環境の把握)
事例) 個人データを保管している A 国における個人情報の保護に関する制度を把握した上で安全管理措置を実施(※8)
【本人の知り得る状態に置くことにより支障を及ぼすおそれがあるものの事例】(※9)
事例 1) 個人データが記録された機器等の廃棄方法、盗難防止のための管理方法
事例 2) 個人データ管理区域の入退室管理方法
事例 3) アクセス制御の範囲、アクセス者の認証手法等
事例 4) 不正アクセス防止措置の内容等⑤保有個人データの取扱いに関する苦情の申出先(例) 略（※1) 略191

電気通信事業における個人情報保護指針(※2)電気通信事業者が外国に所在する場合は、当該外国(本邦の域外にある国又は地域)の名称を含む。
（※3) 略(※4)「一定の場合」とは、第 9 条第 4 項第 1 号から第 3 号までに掲げる次の場合をいう(3-3-7(利用目的の通知等をしなくてよい場合) 参照)。
[ア)～ウ) 略](※5)「開示等の請求」とは、保有個人データの開示(3-9-2(保有個人データの開示)参照)、保有個人データの内容の訂正、追加若しくは削除(3-94(保有個人データの訂正等)参照)、保有個人データの利用の停止若し
くは消去又は保有個人データの第三者への提供の停止(3-9-5(保有個人データの利用停止等)参照)、第三者提供記録の開示(3-9-3(第三者提供記録の開示))の請求をいう。
(※6)手数料の額を定める場合は、実費を勘案して合理的であると認められる範囲内において、定めなければならない(3-9-8(手数料)参照)。
Draft(※7)第 22 条第 1 項第 4 号の規定により本人の知り得る状態に置く必要があるのは保有個人データの安全管理のために講じた措置であるが、これに代えて、個人データの安全管理のために講じた措置について本人の知り得る状態に置くことは妨げられない。なお、本ガイドラインでは、個人データの安全管理のために講じた措置についての事例を記載している。
安全管理措置の事例について、詳細は 3-4-4(安全管理措置)等を参照のこと。ただし、上記事例も含め、掲げられている事例の内容の全てを本人の知り得る状態に置かなければならないわけではなく、また、本人の知り得る状態に置かなければならないものは事例の内容に限られない。本人の適切な理解と関与を促す観点から、事業の規模及び性質、保有個人データの取扱状況等に応じて、上記事例以上に詳細な内容の掲載や回答とすることは、より望ましい対応である。
(※8)外国(本邦の域外にある国又は地域)の名称については、必ずしも正式名称を求めるものではないが、本人が合理的に認識できると考えられる形で情報提供を行う必要がある。また、本人の適切な理解と関与を促す観点から、保有個人データを取り扱っている外国の制度についても、本人の知り得る状態に置くといった対応が望ましい。

192

電気通信事業における個人情報保護指針(※9)例えば、【安全管理のために講じた措置として本人の知り得る状態に置く内容の事例】にあるような、「盗難又は紛失等を防止するための措置を講じる」、「外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入」といった内容のみでは、本人の知り得る状態に置くことにより保有
個人データの安全管理に支障を及ぼすおそれがあるとはいえないが、その具体的な方法や内容については、本人の知り得る状態に置くことにより保有個人データの安全管理に支障を及ぼすおそれがあると考えられる。
しかしながら、何をもって安全管理に支障を及ぼすおそれがあるかについては、取り扱われる個人情報の内容、個人情報の取扱いの態様等によって様々であり、事業の規模及び性質、保有個人データの取扱状況等に応じて判断される。
（参考）
政令第 10 条
法第 32 条第 1 項第 4 号の政令で定めるものは、次に掲げるものとする。
(1)

法第 23 条の規定により保有個人データの安全管理のために講じた措置(本人の知り得る状態(本人の求めに応じて遅滞なく回答する場合を含む。)に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。)(2)

当該個人情報取扱事業者が行う保有個人データの取扱いに関する苦情
の申出先

(3)

当該個人情報取扱事業者が認定個人情報保護団体の対象事業者である
場合にあっては、当該認定個人情報保護団体の名称及び苦情の解決の申出先（2）保有個人データの利用目的の通知（ガイドライン第 22 条第 2 項、第 3 項関係）
法第 32 条（第 2 項・第 3 項）
2 個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りでない。
(1) 前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合(2) 第 21 条第 4 項第 1 号から第 3 号までに該当する場合
3

個人情報取扱事業者は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
193

電気通信事業における個人情報保護指針

ガイドライン第 22 条（第 2 項、第 3 項）
2

電気通信事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りでない。
(1) 前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合(2) 第 9 条第 4 項第 1 号から第 3 号までに該当する場合
3

電気通信事業者は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

電気通信事業者は、次の①から④までの場合を除いて、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、遅滞なく、本人に通知（※）しなければならない。
なお、通知しない旨を決定したときは、遅滞なく、その旨を本人に通知しなければならない。
①上記（1）（第 22 条第 1 項）の措置により、本人が識別される保有個人データの利用目的が明らかである場合②利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（第 9 条第 4 項第 1 号）
（3-3-7（利用目的の通知等をしなくてよい場合）参照）③利用目的を本人に通知し、又は公表することにより当該電気通信事業者の権利又は利益が侵害されるおそれがある場合（第 9 条第 4 項第 2 号）（3-3-7（利用目的の通知等をしなくてよい場合）参照）④国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であり、協力する民間企業等が国の機関等から受け取った保有個
人データの利用目的を本人に通知し、又は公表することにより、当該事務の遂行に支障を及ぼすおそれがある場合（第 9 条第 4 項第 3 号）（3-3-7（利用目的の通知等をしなくてよい場合）参照）（※）「本人に通知」については、2-15（本人に通知）参照。
Draft

3-9-2 保有個人データの開示（ガイドライン第 23 条関係）

法第 33 条（第 1 項～第 4 項）
1

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの電磁的記録の提供による方法その他の個人情報保護委員会規則で定める方法による開示を請求することができる。
194電気通信事業における個人情報保護指針

2

個人情報取扱事業者は、前項の規定による請求を受けたときは、本人に対し、同項の規定により当該本人が請求した方法(当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法)により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を 開示しないことができる。
(1) 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合(2) 当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合(3) 他の法令に違反することとなる場合
3

個人情報取扱事業者は、第 1 項の規定による請求に係る保有個人データの全部若しくは一部について開示しない旨の決定をしたとき、当該保有個人データが存在しないとき、又は同項の規定により本人が請求した方法による開示が困難であるときは、本人に対し、遅滞なく、その旨を通知しなければならない。

4

他の法令の規定により、本人に対し第 2 項本文に規定する方法に相当する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている場合には、当該全部又は一部の保有個人データについては、第１項及び第２項の規定は、適用しない。

ガイドライン第 23 条
1

本人は、電気通信事業者に対し、当該本人が識別される保有個人データの電磁的記録の提供による方法、書面の交付による方法その他当該電気通信事業者の定める方法による開示を請求することができる。

2

電気通信事業者は、前項の規定による請求を受けたときは、本人に対し、同項の規定により当該本人が請求した方法(当該方法による開示に多額の費用を要する
場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法)により、遅滞なく、当該 保有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示 しないことができる。
(1) 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合(2) 当該電気通信事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合(3) 法令（法、個人情報の保護に関する法律施行令（平成 15 年政令第 507 号）

及び規則を除く。第 4 項及び次条第 2 項において同じ。）に違反することとなる場合
3

電気通信事業者は、第 1 項の規定による請求に係る保有個人データの全部又は195

電気通信事業における個人情報保護指針

一部について開示しない旨の決定をしたとき又は当該保有個人データが存在しないときは、本人に対し、遅滞なく、その旨を通知しなければならない。
4

法令の規定により、本人に対し第 2 項本文に規定する方法に相当する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている場合には、当該全部又は一部の保有個人データについては、第 1 項及び第 2項の規定は、適用しない。

5

第 1 項から第 3 項までの規定は、当該本人が識別される個人データに係る第19 条第 1 項及び第 20 条第 3 項の記録(その存否が明らかになることにより公益その他の利益が害されるものとして次に掲げるものを除く。第 27 条第 2 項において「第三者提供記録」という。)について準用する。
(1) 当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの(2) 当該記録の存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの(3) 当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国
若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機
関との交渉上不利益を被るおそれがあるもの(4) 当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの
Draft

電気通信事業者は、本人から、当該本人が識別される保有個人データの開示(存在しないときにはその旨を知らせることを含む。)の請求を受けたときは、本人に対し、電磁的記録の提供による方法、書面の交付による方法その他当該電気通信事業者の定める方法のうち本人が請求した方法(※1)(当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法(※2)) により、遅滞なく、当該保有個人データを開示しなければならない(※ 3)。
電磁的記録の提供による方法については、電気通信事業者がファイル形式や記録媒体などの具体的な方法を定めることができるが、開示請求等で得た保有個人データの利用等における本人の利便性向上の観点から、可読性・検索性のある形式による提供や、技術的に可能な場合には、他の事業者へ移行可能な形式による提供を含め、できる限り
本人の要望に沿った形で対応することが望ましい。
なお、電気通信事業者は、本人がオンラインにより保有個人データの開示請求をすることができるよう、開示請求を受け付ける方法を定め、これを第 15 条のプライバシーポリ
シーにおいて分かりやすく示すことが望ましい。また、本人が電磁的記録の提供による方法による開示を請求した場合には、電磁的記録の提供による方法で保有個人データを開示することができるよう、準備することが望ましい。

196

電気通信事業における個人情報保護指針【電磁的記録の提供による方法の事例】
事例 1) 電磁的記録を CD-ROM 等の媒体に保存して、当該媒体を郵送する方法
事例 2) 電磁的記録を電子メールに添付して送信する方法
事例 3) 会員専用サイト等のウェブサイト上で電磁的記録をダウンロードしてもらう方
法事例 4) プライバシーポリシー等におけるリンク先からオンラインにより保有個人データの開示請求を受け付けるとともに、提供準備ができた段階で、本人に通知した上でオンラインにより提供する方法 (電磁的記録を電子メールに添付して送信する方法や、専用サイ トを通知して本人に当該サイト上で電磁的記録をダウンロードしてもらう方法等)【その他当該電気通信事業者の定める方法の事例】
事例 1) 電気通信事業者が指定した場所における音声データの視聴
事例 2) 電気通信事業者が指定した場所における文書の閲覧【当該方法による開示が困難である場合の事例】
事例 1) 本人が電磁的記録の提供による開示を請求した場合であって、電気通信事業者が当該開示請求に応じるために、大規模なシステム改修を行わなければならないような場合
事例 2) 本人が電磁的記録の提供による開示を請求した場合であって、書面で個人情報や帳簿等の管理を行っている小規模事業者が、電磁的記録の提供に対応することが困難な場合
ただし、開示することにより次の(1)から(3)までのいずれかに該当する場合は、その全部又は一部を開示しないことができるが、これにより開示しない旨の決定をしたとき又は請求に係る保有個人データが存在しないときは、遅滞なく、その旨を本人に通知(※4)しなければならない。また、本人が請求した方法による開示が困難であるときは、その旨を本人に通知した上で、書面の交付による方法により開示を行わなければならない。
（1）本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

保有個人データを本人に開示することにより、本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合は、当該保有個人データの全部又は一部を開示しないことができる。
（2）電気通信事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合

197電気通信事業における個人情報保護指針

保有個人データを本人に開示することにより、電気通信事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、当該保有個人データの全部又は一部を開示しないことができる。
事例 1）同一の本人から複雑な対応を要する同一内容について繰り返し開示の請求があり、事実上問合せ窓口が占有されることによって他の問合せ対応業務が立ち行かなくなる等、業務上著しい支障を及ぼすおそれがある場合
事例 2）電気通信事業者において独自に付加した信用評価等の開示を求められる等、業務上著しい支障を及ぼすおそれがある場合
事例 3)電磁的記録の提供にふさわしい音声・動画ファイル等のデータを、あえて書面で請求することにより、業務上著しい支障を及ぼすおそれがある場合（3）法令(法、政令及び規則(以下「個人情報保護法令」という。)を除 く。第 4 項及び次条第 2項において同じ。)に違反することとなる場合
保有個人データを本人に開示することにより、法令（個人情報保護法令を除く。）に違反することとなる場合は、当該保有個人データの全部又は一部を開示しないことができる。
事例） 刑法（明治 40 年法律第 45 号）第 134 条（秘密漏示罪）や電気通信事業法
第 4 条（通信の秘密の保護）に違反することとなる場合
Draft

また、法令(個人情報保護法令を除く。)の規定により、第 23 条第 2 項に規定する方法に相当する方法により当該本人が識別される保有個人データを開示することとされている場合には、第 23 条第 1 項及び第 2 項の規定は適用されず、当該法令の規定が適用されることとなる(第 23 条第 4 項)。
なお、本人が、裁判上の訴えにより、当該本人が識別される保有個人データの開示を請求する場合と本条との関係については、3-9-9(裁判上の訴えの事前請求)を参照のこと。
（※1）開示の請求を行った者から開示の方法について特に指定がなく、電気通信事業者が提示した方法に対して異議を述べなかった場合は、当該電気通信事業者が提示した方法で開示することができる。
（※2）本人が請求する方法による開示が困難な場合に、直ちに書面の交付による開示を行うのではなく、電気通信事業者が対応できる方法への変更を求めることが望ましい。また、開示の請求に際して提出すべき書面の様式において、電気通信事業者が対応できる方法や媒体等をあらかじめ示しておくといった対応も考えられる。
（※3）消費者等、本人の権利利益保護の観点からは、事業活動の特性、規模及び実態を考慮して、個人情報の取得方法（取得源の種類等）を、可能な限り
具体的に明記し、本人からの求めに一層対応していくことが望ましい。
198

電気通信事業における個人情報保護指針（※4）「本人に通知」については、2-15（本人に通知）を参照のこと。
（参考）
規則第 30 条
法第 33 条第 1 項(同条第 5 項において準用する場合を含む。)の個人情報保
護委員会規則で定める方法は、電磁的記録の提供による方法、書面の交付による方法その他当該個人情報取扱事業者の定める方法とする。

3-9-3 第三者提供記録の開示（第 23 条第５項、第１項〜第３項関係）
3-9-3-1 第三者提供記録の定義

法第 33 条(第 5 項)
5 第 1 項から第 3 項までの規定は、当該本人が識別される個人データに係る第 29条第 1 項及び第 30 条第 3 項の記録(その存否が明らかになることにより公益その他の利益が害されるものとして政令で定める ものを除く。第 37 条第 2 項において「第三者提供記録」という。)について準用する。
法第 33 条(第 1 項~第 3 項)(略)(3-9-2(保有個人データの開示)参照)
ガイドライン第 23 条（第 5 項）
5 第 1 項から第 3 項までの規定は、当該本人が識別される個人データに係る第 19条第 1 項及び第 20 条第 3 項の記録(その存否が明らかになることにより公益その他の利益が害されるものとして次に掲げるものを除く。第 27 条第 2 項において「第三者提供記録」という。)について準用する。
(1) 当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの(2) 当該記録の存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの(3) 当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの(4) 当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の
公共の安全と秩序の維持に支障が及ぶおそれがあるもの
ガイドライン第 23 条(第 1 項~第 3 項)
(3-9-2(保有個人データの開示)参照)

199

電気通信事業における個人情報保護指針

第三者提供記録とは、第 19 条第 1 項及び第 20 条第 3 項の記録のうち、 次の(1)から(4)までに掲げるものを除いたものをいう。明文又は解釈により第 19 条第 1 項又は第 20 条第 3 項の規定が適用されない場合において、これらの規定に基づくことなく作成された記録は第三者提供記録に含まれない。
(1)当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの事例) 犯罪被害者支援や児童虐待防止を目的とする団体が、加害者を本人とする個人データの提供を受けた場合に作成された記録(2)当該記録の存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの
事例) 暴力団等の反社会的勢力による不当要求の被害等を防止するために、暴力団等の反社会的勢力に該当する人物を本人とする個人データの提供を受けた場合に作成された記録(3)当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国若しく
は国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの
Draft事例) 要人の警備のために、要人を本人とする行動記録等に関する個人データの提供を受けた場合に作成された記録(4)当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの事例) 警察の犯罪捜査の協力のために、事前に取得していた同意に基づき、犯罪者を本人とする個人データの提供を行った場合に作成 された記録（参考）
政令 11 条
法第 33 条第 5 項の政令で定めるものは、次に掲げるものとする。
(1) 当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの(2) 当該記録の存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの
200

電気通信事業における個人情報保護指針(3) 当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの(4) 当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の
公共の安全と秩序の維持に支障が及ぶおそれがあるもの

3-9-3-2 第三者提供記録の開示の方法

法第 33 条(第 5 項)
5 第 1 項から第 3 項までの規定は、当該本人が識別される個人データに係る第 29条第 1 項及び第 30 条第 3 項の記録(その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるものを除く。第 37 条第 2 項において「第三者提供記録」という。)について準用する。
法第 33 条(第 1 項)
1 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの電磁的記録の提供による方法その他の個人情報保護委員会規則で定める方法によ
る開示を請求することができる。
ガイドライン第 23 条（第 5 項）
5 第 1 項から第 3 項までの規定は、当該本人が識別される個人データに係る第 19条第 1 項及び第 20 条第 3 項の記録(その存否が明らかに なることにより公益その他の利益が害されるものとして次に掲げるものを除く。第 27 条第 2 項において「第三者提供記録」という。)について準用する。 （略）ガイドライン第 23 条(第 1 項)
1 本人は、電気通信事業者に対し、当該本人が識別される保有個人データの電磁的記録の提供による方法、書面の交付による方法その他当該電気通信事業者の定める方法による開示を請求することができる。
電気通信事業者は、本人から、当該本人が識別される個人データに係る第三者提供記録の開示(存在しないときにはその旨を知らせることを含む。)の請求を受けたときは、本人に対し、電磁的記録の提供による方法、書面の交付による方法その他当該電気通信事業者の定める方法のうち本人が請求した方法(当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法)により、遅滞なく、当該第三者提供記録を開示しなければならない(3-9-2(保有個人データの開示)参照)。
電気通信事業者が第三者提供記録を本人に開示するに当たっては、法において記録事項とされている事項を本人が求める方法により開示すれば足り、それ以外の事
201

電気通信事業における個人情報保護指針項を開示する必要はない。例えば、契約書の代替手段による方法で記録を作成した
場合には、当該契約書中、記録事項となっている事項を抽出した上で、本人が求める方法により開示すれば足り、契約書そのものを開示する必要はない。
（参考）規則第 30 条
法第 33 条第 1 項(同条第 5 項において準用する場合を含む。)の個人情報保護委
員会規則で定める方法は、電磁的記録の提供による方法、書面の交付による方法その他当該個人情報取扱事業者の定める方法とする。

3-9-3-3 第三者提供記録の不開示事由等

法第 33 条(第 5 項)
5 第 1 項から第 3 項までの規定は、当該本人が識別される個人データに係る第 29条第 1 項及び第 30 条第 3 項の記録(その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるものを除く。第 37 条第 2 項において「第三者提供記録」という。)について準用する。
法第 33 条(第 2 項・3 項)
2 個人情報取扱事業者は、前項の規定による請求を受けたときは、本人に対し、同項の規定により当該本人が請求した方法(当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法)により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を 開示しないことができる。
(1) 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある
Draft

場合
(2) 当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合(3) 他の法令に違反することとなる場合
3 個人情報取扱事業者は、第 1 項の規定による請求に係る保有個人データの全部若しくは一部について開示しない旨の決定をしたとき、当該保有個人データが存在しないとき、又は同項の規定により本人が請求した方法による開示が困難である
ときは、本人に対し、遅滞なく、 その旨を通知しなければならない。

ガイドライン第 23 条（第 5 項）
5 第 1 項から第 3 項までの規定は、当該本人が識別される個人データに係る第19 条第 1 項及び第 20 条第 3 項の記録(その存否が明らかに なることにより公益202

電気通信事業における個人情報保護指針

その他の利益が害されるものとして次に掲げるものを除く。第 27 条第 2 項において「第三者提供記録」という。)について準用する。 （略）ガイドライン第 23 条(第 2 項・第３項)
２ 電気通信事業者は、前項の規定による請求を受けたときは、本人に対し、同項の規定により当該本人が請求した方法(当該方法による開示に多額の費用を要する
場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法)により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
(1) 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合(2) 当該電気通信事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合(3) 法令(法、個人情報の保護に関する法律施行令(平成 15 年政令 第 507 号)
及び規則を除く。第 4 項及び次条第 2 項において同じ。) に違反することとなる場合
３ 電気通信事業者は、第 1 項の規定による請求に係る保有個人データ の全部若し
くは一部について開示しない旨の決定をしたとき、当該保有個人データが存在しな
いとき、又は同項の規定により本人が請求した方法による開示が困難であるときは、本人に対し、遅滞なく、その旨を通知しなければならない。
第三者提供記録を開示することにより次の(1)から(3)までのいずれかに該当する場
合は、その全部又は一部を開示しないことができるが、これにより開示しない旨の決定をしたとき又は請求に係る第三者提供記録が存在しないときは、遅滞なく、その旨を本人に通知(※)しなければならない。また、本人が請求した方法による開示が困難である
ときは、その旨を本人に通知した上で、書面の交付による方法により開示を行わなければならない。
(1)本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
第三者提供記録を本人に開示することにより、本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合は、当該第三者提供記録の全部又は一部を開示しないことができる。
事例 1) 第三者提供記録に個人データの項目として本人が難病であることを示す
内容が記載されている場合において、当該第三者提供記録を開示することにより、患者本人の心身状況を悪化させるおそれがある場合
事例 2) 企業の与信判断等に用いられる企業情報の一部として代表者の氏名等が提供され、第三者提供記録が作成された場合において、当該第三者提供記
203

電気通信事業における個人情報保護指針

録を開示することにより、提供を受けた第三者が与信判断、出資の検討、提携先・取引先の選定等を行っていることを含む秘密情報が漏えいするおそれがある場合(2)電気通信事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
第三者提供記録を本人に開示することにより、電気通信事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、当該第三者提供記録の全部又は一部を開示しないことができる。他の事業者と取引関係にあることが契約上秘密情報とされている場合であっても、記録事項そのものを開示することについては、直ちにこれに該当するものではなく、個別具体的に判断する必要がある。
事例)

同一の本人から複雑な対応を要する同一内容について繰り返し開示の請求があり、事実上問合せ窓口が占有されることによって他の問合せ対応業務が立ち行かなくなる等、業務上著しい支障を及ぼすおそれがある場合(3)法令(個人情報保護法令を除く。)に違反することとなる場合
第三者提供記録を本人に開示することにより、法令(個人情報保護法令を除く。)に違反することとなる場合は、当該第三者提供記録の全部又は一部を開示しないこと
ができる。
Draft

事例)

刑法(明治 40 年法律第 45 号)第 134 条(秘密漏示罪)に違反することとな
る場合(※)「本人に通知」については、2-15(本人に通知)を参照のこと。

3-9-4 保有個人データの訂正等（ガイドライン第 24 条関係）

法第 34 条1

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの内容が事実でないときは、当該保有個人データの内容の訂正、追加又は削除（以下この条において「訂正等」という。）を請求することができる。
2 個人情報取扱事業者は、前項の規定による請求を受けた場合には、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。
3 個人情報取扱事業者は、第 1 項の規定による請求に係る保有個人データの内
容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を通知しなければならない。
204

電気通信事業における個人情報保護指針

ガイドライン第 24 条
1

本人は、電気通信事業者に対し、当該本人が識別される保有個人データの内容が事実でないときは、当該保有個人データの内容の訂正、追加又は削除（以下この条において「訂正等」という。）を請求することができる。

2

電気通信事業者は、前項の規定による請求を受けた場合には、その内容の訂正等に関して法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。

3

電気通信事業者は、第 1 項の規定による請求に係る保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を通知しなければならない。

電気通信事業者は、本人から、当該本人が識別される保有個人データに誤りがあり、事実でないという理由によって、内容の訂正、追加又は削除（※1）（以下「訂正等」という。） の請求を受けた場合は、利用目的の達成に必要な範囲で遅滞なく必要な調査を行い、その結果に基づき、原則として（※2）、訂正等を行わなければならない。
なお、電気通信事業者は、第 24 条第 2 項の規定に基づき請求に係る保有個人
データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を本人に通知（※3）しなければならない。
また、保有個人データの内容の訂正等に関して法令（個人情報保護法令を除く）の規定により特別の手続が定められている場合には、第 24 条第 1 項及び第 2 項の規定は適用されず、当該法令の規定が適用されることとなる。
なお、本人が、裁判上の訴えにより、当該本人が識別される保有個人データの訂正等を請求する場合と本条との関係については、3-9-9（裁判上の訴えの事前請求）を参照のこと。
【訂正を行う必要がない事例】
事例）訂正等の対象が事実でなく評価に関する情報である場合（※1）「削除」とは、不要な情報を除くことをいう。
（※2）利用目的からみて訂正等が必要ではない場合、保有個人データが誤りである旨の指摘が正しくない場合には、訂正等を行う必要はない。ただし、その場合には、遅滞なく、訂正等を行わない旨を本人に通知しなければな
らない。
205

電気通信事業における個人情報保護指針（※3）「本人に通知」については、2-15（本人に通知）を参照のこと。

3-9-5 保有個人データの利用停止等（ガイドライン第 25 条関係）

法第 35 条1

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第 18 条の規定に違反して取り扱われているとき、又は第 20 条の規定に違反して取得されたものであるときは、当該保有個人データの利用の停止又は消去（以下この条において「利用停止等」という。）を請求することができる。

2

個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

3

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第 27 条第 1 項又は第 28 条の規定に違反して第三者に提供されているときは、当該保有個人データの第三者への提供の停止を請求することができる。

4

個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
Draft

5

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データを
当該個人情報取扱事業者が利用する必要がなくなった場合、当該本人が識別される保有個人データに係る第 26 条第 1 項本文に規定する事態が生じた場合その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合には、当該保有個人データの利用停止
等又は第三者への提供の停止を請求することができる。

6

個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行わなければならない。ただし、当該保有個人データの利用停止等又は第三者への提供の停止に多額の費用を要する場合その他の利用停止等又は第三者への提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

7

個人情報取扱事業者は、第 1 項若しくは第 5 項の規定による請求に係る保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止
206電気通信事業における個人情報保護指針

等を行わない旨の決定をしたとき、又は第 3 項若しくは第 5 項の規定による請求に係る保有個人データの全部若しくは一部について第三者への提供を停止したと
き若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
ガイドライン第 25 条
1

本人は、電気通信事業者に対し、当該本人が識別される保有個人データが第 5条若しくは第 6 条の規定に違反して取り扱われているとき、又は第 8 条の規定に違反して取得されたものであるときは、当該保有個人データの利用の停止又は消去（以下この条において「利用停止等」という。）を請求することができる。

2

電気通信事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

3

本人は、電気通信事業者に対し、当該本人が識別される保有個人データが第 17条第 1 項又は第 18 条の規定に違反して第三者に提供されているときは、当該保有個人データの第三者への提供の停止を請求することができる。

4

電気通信事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

5

本人は、電気通信事業者に対し、当該本人が識別される保有個人データを当該電気通信事業者が利用する必要がなくなった場合、当該本人が識別される保有個人データに係る第 16 条第 1 項本文に規定する事態が生じた場合その他
当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合には、当該保有個人データの利用停止等
又は第三者への提供の停止を請求することができる。

6

電気通信事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行わなければならない。ただし、当該保有個人データの利用停止等
又は第三者への提供の停止に多額の費用を要する場合その他の利用停止等又は第三者への提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

7

電気通信事業者は、第 1 項若しくは第 5 項の規定による請求に係る保有個人
207

電気通信事業における個人情報保護指針

データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は第 3 項若しくは第 5 項の規定による請求に係る保有個人データの全部若しくは一部について第三者への提供を停止したと
き若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

3-9-5-1 利用停止等の要件

電気通信事業者は、次の(1)から(3)までのいずれかに該当する場合については、保有個人データの利用の停止若しくは消去(※1)(以下「利用停止等」という。)又は第三者提供の停止を行わなければならない。
(1)法違反の場合の利用停止等
電気通信事業者は、本人から、当該本人が識別される保有個人データが、第 5条の規定に違反して本人の同意なく目的外利用がされている若しくは第 6 条の規定に違反して不適正な利用が行われている、又は第 8 条の規定に違反して偽りその他不正の手段により個人情報が取得され若しくは 本人の同意なく要配慮個人情報が取得されたものであるという理由によって、利用停止等の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として(※2)、遅滞なく、利用停止等を行わなければならない。
Draft(2)法違反の場合の第三者提供の停止
電気通信事業者は、本人から、当該本人が識別される保有個人データが、第
17 条第 1 項又は第 18 条の規定に違反して本人の同意なく第三者に提供されているという理由によって、当該保有個人データの第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として(※3)、遅滞なく、第三者提供の停止を行わなければならない。
(3)第 25 条第 5 項の要件を満たす場合の利用停止等又は第三者提供の停止
電気通信事業者は、次の①から③までのいずれかに該当する場合については、
原則として、遅滞なく、利用停止等又は第三者提供の停止を行わなければならな
い。
①利用する必要がなくなった場合
電気通信事業者は、本人から、当該本人が識別される保有個人データを当該電気通信事業者が利用する必要がなくなったという理由によって、当該保有個人データの利用停止等又は第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として、遅滞なく、利用停止等又は第三者提供の停止を行わなければならない。

208電気通信事業における個人情報保護指針「当該電気通信事業者が利用する必要がなくなった」とは、第 11 条と同様に、当該保有個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該保有個人データを保有する
合理的な理由が存在しなくなった場合や利用目的が達成されなかったものの
当該目的の前提となる事業自体が中止となった場合等をいう(※ 4)。
【利用する必要がなくなったとして利用停止等又は第三者提供の停止が認められる
事例】
事例 1) ダイレクトメールを送付するために電気通信事業者が保有していた情報について、当該電気通信事業者がダイレクトメールの送付を停止した後、本人が消去を請求した場合
事例 2) 電話勧誘のために電気通信事業者が保有していた情報について、 当
該電気通信事業者が電話勧誘を停止した後、本人が消去を請求した場
合事例 3) キャンペーンの懸賞品送付のために電気通信事業者が保有していた当該キャンペーンの応募者の情報について、懸賞品の発送が終わり、不着対応等のための合理的な期間が経過した後に、本人が利用停止等を請求した場合
事例 4) 採用応募者のうち、採用に至らなかった応募者の情報について、再応募への対応等のための合理的な期間が経過した後に、本人が利用停止等を請求した場合②当該本人が識別される保有個人データに係る第 16 条第 1 項本文に規定する事態が生じた場合
電気通信事業者は、本人から、当該本人が識別される保有個人データに係る第 16 条第 1 項本文に規定する事態が生じたという理由によって、当該保有個人データの利用停止等又は第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として、遅滞なく、利用停止等
又は第三者への提供の停止を行わなければならない。
「当該本人が識別される保有個人データに係る第 16 条第 1 項本文に規定する事態が生じた」とは、第 16 条第 1 項本文に定める漏えい等事案が生じたことをいう。第 16 条第 1 項本文に定める漏えい等事案については、3-6-3-1(報告対象となる事態)参照のこと。
③当該本人の権利又は正当な利益が害されるおそれがある場合
電気通信事業者は、本人から、当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがあるという理由によって、当該保有個人データの利用停止等又は第三者提供の停止の請求を受209

電気通信事業における個人情報保護指針

けた場合であって、その請求に理由があることが判明したときは、原則として、遅滞なく、利用停止等又は第三者への提供の停止を行わなければならない。
「本人の権利又は正当な利益が害されるおそれがある場合」とは、法目的に照らして保護に値する正当な利益(※5)が存在し、それが侵害されるおそれ(※6)
がある場合をいう。
【本人の権利又は正当な利益が害されるおそれがあるとして利用停止等又は第三者提供の停止が認められると考えられる事例】
事例 1) ダイレクトメールの送付を受けた本人が、送付の停止を求める意思を表示したにもかかわらず、電気通信事業者がダイレクトメールを繰り返し送付
していることから、本人が利用停止等を請求する場合
事例 2) 電話勧誘を受けた本人が、電話勧誘の停止を求める意思を表示したにもかかわらず、電気通信事業者が本人に対する電話勧誘を繰り返し行っていることから、本人が利用停止等を請求する場合
事例 3) 電気通信事業者が、安全管理措置を十分に講じておらず、本人を識別する保有個人データが漏えい等するおそれがあることから、本人が利用停止等を請求する場合
事例 4) 電気通信事業者が、第 17 条第 1 項に違反して第三者提供を行っており、本人を識別する保有個人データについても本人の同意なく提供される
おそれがあることから、本人が利用停止等を請求する場合
事例 5) 電気通信事業者が、退職した従業員の情報を現在も自社の従業員であるようにホームページ等に掲載し、これによって本人に不利益が生じるおそれがあることから、本人が利用停止等を請求する場合
Draft【本人の権利又は正当な利益が害されるおそれがないとして利用停止等又は第三者提供の停止が認められないと考えられる事例】
事例 1) 電話の加入者が、電話料金の支払いを免れるため、電話会社に対して課金に必要な情報の利用停止等を請求する場合
事例 2) インターネット上で匿名の投稿を行った者が、発信者情報開示請求による発信者の特定やその後の損害賠償請求を免れるため、プロバイダに対してその保有する接続認証ログ等の利用停止等を請求する場合
事例 3) 過去に利用規約に違反したことを理由としてサービスの強制退会処分を受けた者が、再度当該サービスを利用するため、当該サービスを提供する
電気通信事業者に対して強制退会処分を受けたことを含むユーザー情報の利用停止等を請求する場合
事例 4) 過去の信用情報に基づく融資審査により新たな融資を受けることが困難になった者が、新規の借入れを受けるため、当該信用情報を保有している
電気通信事業者に対して現に審査に必要な信用情報の利用停止等又は第三者提供の停止を請求する場合
210

電気通信事業における個人情報保護指針（※1）「消去」とは、保有個人データを保有個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む（3-4-1（データ内容の正確性の確保等）参照）。
（※2）法違反である旨の指摘が正しくない場合は、利用停止等を行う必要はない。
（※3）法違反である旨の指摘が正しくない場合は、第三者提供を停止する必要はない。
（※4）請求の対象となっている保有個人データにつき、複数の利用目的がある
場合、全ての利用目的との関係で「利用する必要がなくなった」かどうかを判断する必要がある。
(※5)「正当」かどうかは、相手方である電気通信事業者との関係で決まるものであり、電気通信事業者に本人の権利利益の保護の必要性を上回る特別な事情がない限りは、電気通信事業者は請求に応じる必要がある。本人の権利利益の保護の必要性を上回る特別な事情があるかどうかを判断するに当たっては、例えば、以下のような事情を考慮することになる。
(ア)本人又は第三者の生命、身体、財産その他の権利利益を保護するために当該保有個人データを取り扱う事情(イ)法令を遵守するために当該保有個人データを取り扱う事情(ウ)契約に係る義務を履行するために当該保有個人データを取り扱う事情(エ)違法又は不当な行為を防止するために当該保有個人データを取り扱う事情(オ)法的主張、権利行使又は防御のために当該保有個人データを取り扱う事情(※6)「おそれ」は、一般人の認識を基準として、客観的に判断する。

3-9-5-2 本人の権利利益の侵害を防止するために必要な限度

3-9-5-1(利用停止等の要件)の(3)に該当する場合、電気通信事業者は、本人の権利利益の侵害を防止するために必要な限度で、利用停止等又は第三者提供の停止を行わなければならない。
【本人からの請求に対し、本人の権利利益の侵害を防止するために必要な限度での対応として考えられる事例】
事例 1) 本人から保有個人データの全てについて、利用停止等が請求された場
合に、一部の保有個人データの利用停止等によって、生じている本人の211

電気通信事業における個人情報保護指針

権利利益の侵害のおそれを防止できるものとして、一 部の保有個人デー
タに限定して対応を行う場合
事例 2) 第 17 条第 1 項に違反して第三者提供が行われているとして保有個人
データの消去を請求された場合に、利用停止又は第三者提供の停止によ
る対応によって、生じている本人の権利利益の侵害のおそれを防止できるものとして、利用停止又は第三者提供の停止による対応を行う場合

3-9-5-3 本人の権利利益を保護するため必要なこれに代わるべき措置

法第 35 条1

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第 18条若しくは第 19 条の規定に違反して取り扱われているとき、又は第 20 条の規定に違反して取得されたものであるときは、当該保有個人データの利用の停止又は消去(以下この条において「利用停止等」という。)を請求することができる。

[2 略]
3

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第 27
条第 1 項又は第 28 条の規定に違反して第三者に提供されているときは、当該保有個人データの第三者への提供の停止を請求することができる。

[4 略]
5

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データを当該
個人情報取扱事業者が利用する必要がなくなった場合、当該本人が識別される保有個人データに係る第 26 条第 1 項本文に規定する事態が生じた場合その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害される
おそれがある場合には、当該保有個人データの利用停止等又は第三者への提供の停止を請求することができる。

6

個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度
で、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行わなければならない。ただし、当該保有個人データの利用停止等又は第三者への提供の停止に多額の費用を要する場合その他の利用停止等又は第三者への提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

Draft

７ 個人情報取扱事業者は、第 1 項若しくは第 5 項の規定による請求に係る保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は第 3 項 若しくは第 5 項の規定による請求に係る保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

212

電気通信事業における個人情報保護指針

3-9-5-1(利用停止等の要件)の(1)から(3)までのいずれかに該当する場合であっても、利用停止等又は第三者提供の停止を行うことが困難である場合は、本人の権利利益を保護するために必要な代替措置を講ずることによる対応が認められる。
「困難な場合」については、利用停止等又は第三者提供の停止に多額の費用を要する場合のほか、電気通信事業者が正当な事業活動において保有個人データを必要とする場合についても該当し得る。
代替措置については、事案に応じて様々であるが、生じている本人の権利利益の侵害のおそれに対応するものであり、本人の権利利益の保護に資するものである
必要がある。
【本人の権利利益を保護するため必要なこれに代わるべき措置として考えられる事例】
事例 1) 既に市販されている名簿の刷り直し及び回収作業に多額の費用を要するとして、名簿の増刷時の訂正を約束する場合や必要に応じて金銭の支払いをする場合
事例 2) 個人情報保護委員会への報告の対象となる重大な漏えい等が発生した
場合において、当該本人との契約が存続しているため、利用停止等が困難であるとして、以後漏えい等の事態が生じることがないよう、必要かつ適切な再発防止策を講じる場合
事例 3) 他の法令の規定により保存が義務付けられている保有個人データを遅滞なく消去する代わりに、当該法令の規定による保存期間の終了後に消去することを約束する場合
電気通信事業者は、上記により、利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は、第三者提供の停止を行ったとき若しくは第三者提供を停止しない旨の決定をしたときは、遅滞なく、その旨を本人に通知(※)しなけ
ればならない。
また、本人が、裁判上の訴えにより、当該本人が識別される保有個人データの利用停止等又は第三者提供の停止を請求する場合と本条との関係については、3-99(裁判上の訴えの事前請求)を参照のこと。
なお、消費者等、本人の権利利益保護の観点からは、事業活動の特性、規模及び実態を考慮して、保有個人データについて本人から求めがあった場合には、自主的に利用停止等又は第三者提供の停止に応じる等、本人からの求めにより一層対応していくことが望ましい。
(※)「本人に通知」については、2-15(本人に通知)を参照のこと。

213

電気通信事業における個人情報保護指針

3-9-6 理由の説明（ガイドライン第 26 条関係）

法第 36 条
個人情報取扱事業者は、第 32 条第 3 項、第 33 条第 3 項(同条第 5 項において準用する場合を含む。)、第 34 条第 3 項又は前条第 7 項の規定により、本人から求められ、又は請求された措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、その理由を説明するよう努めなければならない。
ガイドライン第 26 条
電気通信事業者は、第 22 条第 3 項、第 23 条第 3 項(同条第 5 項において準用する場合を含む。)、第 24 条第 3 項又は前条第 7 項の規定により、本人から求められ、又は請求された措置の全部又は一部について、その措置をとらない旨を通知する場合
又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、その理由を説明するよう努めなければならない。
電気通信事業者は、保有個人データの利用目的の通知の求め、保有個人データの開示、訂正等、利用停止等若しくは第三者提供の停止に関する請求、又は第三者提供記録の開示に関する請求（以下「開示等の請求等」という。）に係る措置の全部又は一部について、その措置をとらない旨又はその措置と異なる措置をとる旨を本人に通知（※）する場合は、併せて、本人に対して、その理由を説明するように努めなければならない。
Draft（※）「本人に通知」については、2-15（本人に通知）を参照のこと。

3-9-7 開示等の請求等に応じる手続（ガイドライン第 27 条関係）

法第 37 条1

個人情報取扱事業者は、第 32 条第 2 項の規定による求め又は第 33 条 第 1項(同条第 5 項において準用する場合を含む。次条第 1 項及び第 39 条において同じ。)、第 34 条第 1 項若しくは第 35 条第 1 項、第 3 項 若しくは第 5 項の規定による請求(以下この条及び第 54 条第 1 項において「開示等の請求等」という。)
に関し、政令で定めるところにより、その求め又は請求を受け付ける方法を定めることができる。この場合において、本人は、当該方法に従って、開示等の請求等を行わな ければならない。

2

個人情報取扱事業者は、本人に対し、開示等の請求等に関し、その対象となる保有個人データ又は第三者提供記録を特定するに足りる事項の提示を求めることができる。この場合において、個人情報取扱事業者は、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データ又は当該第三者提供
214

電気通信事業における個人情報保護指針

記録の特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。
3

開示等の請求等は、政令で定めるところにより、代理人によってすることができる。

4

個人情報取扱事業者は、前三項の規定に基づき開示等の請求等に応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなけ
ればならない。

ガイドライン第 27 条
1

電気通信事業者は、第 22 条第 2 項の規定による求め又は第 23 条第 1 項(同条第 5 項において準用する場合を含む。次条第 1 項及び第 29 条 において同じ。)、第 24 条第 1 項若しくは第 25 条第 1 項、第 3 項若 しくは第 5 項の規定による請求（以下この条において「開示等の請求等」という。）に関し、その求め又は請求を受け付ける方法として次の各号に掲げるものを定めることができる。この場
合において、本人は、当該方法に従って、開示等の請求等を行わなければならない。
(1) 開示等の請求等の申出先(2) 開示等の請求等に際して提出すべき書面の様式その他の開示等の請求等の方式(3) 開示等の請求等をする者が本人又は第 3 項に規定する代理人であることの確認の方法(4) 次条第 1 項の手数料の徴収方法
2

電気通信事業者は、本人に対し、開示等の請求等に関し、その対象となる保有個人データ又は第三者提供記録を特定するに足りる事項の提示を求めることができる。この場合において、電気通信事業者は、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データ又は当該第三者提供記録の特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。

3

開示等の請求等は、次に掲げる代理人によってすることができる。 ただし、第23 条第 1 項の規定による開示の請求については、本人の通信の秘密を侵害する場合等同条第 2 項各号のいずれかに該当する場合はこの限りでない。
(1) 未成年者又は成年被後見人の法定代理人(2) 開示等の請求等をすることにつき本人が委任した代理人

4

電気通信事業者は、前三項の規定に基づき開示等の請求等に応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければ
ならない。

215

電気通信事業における個人情報保護指針

電気通信事業者は、開示等の請求等（※1）において、これを受け付ける方法として次の（1）から（4）までの事項を定めることができる（※2）。
(1)開示等の請求等の申出先(例)担当窓口名・係名、郵送先住所、受付電話番号、受付 FAX 番号、メールアド
レス等(2)開示等の請求等に際して提出すべき書面(電磁的記録を含む。)の様式、その他の開示等の請求等の受付方法(例)郵送、FAX、電子メールやウェブサイト等のオンラインで受け付ける等(3)開示等の請求等をする者が本人又はその代理人(①未成年者又は成年被後見人の法定代理人、②開示等の請求等をすることにつき本人が委任した代理人)である
ことの確認方法(※2)(4)保有個人データの利用目的の通知又は保有個人データの開示をする際に徴収する手数料の徴収方法
ただし、開示等の請求等を受け付ける方法を定めるに当たっては、当該手続が、事業の性質、保有個人データの取扱状況、開示等の請求等の受付方法等に応じて適切なものになるよう配慮するとともに、必要以上に煩雑な書類を書かせたり、請求等を受け付ける窓口を他の業務を行う拠点とは別にいたずらに不便な場所に限定したりする等、本人に過重な負担を課するものとならないよう配慮しなければならない。
Draft

また、開示等の請求等を受け付ける方法を定めた場合には、本人の知り得る状態(本人の求めに応じて遅滞なく回答する場合を含む。)に置かなければならない(3-91(保有個人データに関する事項の公表等)参照)。 「本人の知り得る状態(本人の求めに応じて遅滞なく回答する場合を含む。)」とは、本人が知ろうとすれば、知ることができる状態に置くことをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならないが、開示等の請求等を行おうとする本人がその手続を把握できるようにしておくことが重要であり、例えば、
ホームページへの掲載による場合、本人が簡単な操作によって該当箇所へ到達でき、円滑に請求等を行えるようにしておくことが望ましい。また、「本人の求めに応じて遅滞なく回答する」ことによって対応する場合には、その前提として、少なくとも本人が簡単な操作によって求めを行うことができるようにすることが望ましい。
なお、電気通信事業者が、開示等の請求等を受け付ける方法を合理的な範囲で定めたときは、本人は、当該方法に従って開示等の請求等を行わなければならず、
当該方法に従わなかった場合は、電気通信事業者は当該開示等の請求等を拒否することができる(※3)。
216電気通信事業における個人情報保護指針

開示等の請求等に関しては、本人が遠隔地にいる場合や傷病の場合等において、本人の便宜の観点から、代理人による求めを認める必要があるため、第 3 項各号に掲げる代理人によって開示等の求めをすることができる。なお、代理人に利用明細を開示する等によって本人の通信の秘密を侵害することとなる場合等第 23 条第 2 項
各号のいずれかに該当する場合には、代理人による求めは認められない。
電気通信事業者は、円滑に開示等の手続が行えるよう、本人に対し、開示等の請求等の対象となる当該本人が識別される保有個人データ又は第三者提供記録の特定に必要な事項(住所、ID、パスワード、会員番号等)の提示を求めることができる。例
えば、電気通信事業者が事業部門や営業所ごとに保有個人データを保有している場
合や、取得年月日別に保有個人データを保有している場合等において、電気通信事業者は、開示等の求めについて、具体的にどの区分の保有個人データを対象とするものなのかについて、特定を求めることができる。なお、その際には、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データ又は当該第三者提供記録の特定に資する情報を提供するなど、本人の利便性を考慮しなければならない。
（※1）「開示等の請求等」とは、保有個人データの利用目的の通知の求め(39-1(保有個人データに関する事項の公表等)参照)、保有個人データの開示(3-9-2(保有個人データの開示)参照)、訂正等 (3-9-4(保有個人データの訂正等)参照)、利用停止等若しくは第三者提供の停止(3-9-5(保有個人データの利用停止等)参照)、又は第三者提供記録の開示に関する請求(3-9-3(第三者提 供記録の開示)参照)の請求をいう。
（※2）確認の方法としては、次のような事例が考えられるが、事業の性質、保有個人データの取扱状況、開示等の請求等の受付方法等に応じて、適切なものでなければならず、本人確認のために事業者が保有している
個人データに比して必要以上に多くの情報を求めないようにするなど、本人に過重な負担を課するものとならないよう配慮しなくてはならない。
なお、代理人による来所や送付等の場合にあっては、確認書類として、本人及び代理人についての次の事例に示す書類等のほか、代理人について、代理権を与える旨の委任状(親権者が未成年者の法定代理人であることを示す場合は、本人及び代理人が共に記載され、その続柄が示された戸籍謄抄本、住民票の写し。また、成年後見人が成年被後見人の法定代理人であることを示す場合は、登記事項証明書)が考えられる。
事例 1) 来所の場合:運転免許証、健康保険の被保険者証、個人番号
カード(マイナンバーカード)表面、旅券(パスポー ト)、在留カード、特別永住者証明、年金手帳、印鑑証明書と実印
事例 2) オンラインの場合:あらかじめ本人が電気通信事業者に対して登録済みの ID とパスワード、公的個人認証による電子署名217

電気通信事業における個人情報保護指針

事例 3) 電話の場合:あらかじめ本人が電気通信事業者に対して登録済みの登録情報(生年月日等)、コールバック
事例 4) 送付(郵送、FAX 等)の場合:運転免許証や健康保険の被保険者証等の公的証明書のコピーの送付を顧客等から受け、当該公的証明書のコピーに記載された顧客等の住所に宛てて文書を書留郵便により送付。
（※3）開示等の請求等を受け付ける方法を定めない場合には、自由な申請を認めることとなるので注意が必要である。
政令第 12 条
法第 37 条第 1 項の規定により個人情報取扱事業者が開示等の請求等を受け付ける方法として定めることができる事項は、次に掲げるとおりとする。
(1) 開示等の請求等の申出先(2) 開示等の請求等に際して提出すべき書面（電磁的記録を含む。第 35 条第 1項及び第 40 条第 3 項において同じ。）の様式その他の開示等の請求等の方
式(3) 開示等の請求等をする者が本人又は次条に規定する代理人であることの確認の方法(4) 法第 38 条第 1 項の手数料の徴収方法
Draft

政令第 13 条
法第 37 条第 3 項の規定により開示等の請求等をすることができる代理人は、次に掲げる代理人とする。
(1) 未成年者又は成年被後見人の法定代理人(2) 開示等の請求等をすることにつき本人が委任した代理人

3-9-8 手数料（ガイドライン第 28 条関係）

法第 38 条1 個人情報取扱事業者は、第 32 条第 2 項の規定による利用目的の通知を求められたとき又は第 33 条第 1 項の規定による開示の請求を受けたときは、当該措置の実施に関し、手数料を徴収することができる。
2

個人情報取扱事業者は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。

ガイドライン第 28 条
218

電気通信事業における個人情報保護指針

1

電気通信事業者は、第 22 条第 2 項の規定による利用目的の通知を求められたとき又は第 23 条第 1 項の規定による開示の請求を受けたときは、当該措置の実施に関し、手数料を徴収することができる。

2

電気通信事業者は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。
電気通信事業者は、保有個人データの利用目的の通知（第 22 条第 2 項）を求められ、又は保有個人データの開示の請求(第 23 条第 1 項)若しくは第三者提供記録の開示の請求(第 23 条第 5 項において準用する同条第 1 項)を受けたときは、当該措置の実施に関し、手数料の額を定め、これを徴収することができる。
なお、当該手数料の額を定めた場合には、本人の知り得る状態(本人の求めに応じて遅滞なく回答する場合を含む。)(※)に置かなければならない(第 22 条第 1 項第3 号)。
また、手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。
（※）「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」については、3-9-1（保有個人データに関する事項の公表等）参照。

3-9-9 裁判上の訴えの事前請求（ガイドライン第 29 条関係）

法第 39 条1

本人は、第 33 条第 1 項、第 34 条第 1 項又は第 35 条第 1 項、第 3 項 若しくは
第 5 項の規定による請求に係る訴えを提起しようとするときは、その訴えの被告となるべき者に対し、あらかじめ、当該請求を行い、かつ、その到達した日から 2 週間を経過した後でなければ、その訴えを提起することができない。ただし、当該訴えの被告となるべき者がその請求を拒んだときは、この限りでない。

2

前項の請求は、その請求が通常到達すべきであった時に、到達したものとみなす。

3

前二項の規定は、第 33 条第 1 項、第 34 条第 1 項又は第 35 条第 1 項、第 3項若しくは第 5 項の規定による請求に係る仮処分命令の申立てについて準用する。

ガイドライン第 29 条
1
本人は、第 23 条第 1 項、第 24 条第 1 項又は第 25 条第 1 項、第 3 項 若しくは
第 5 項の規定による請求に係る訴えを提起しようとするときは、その訴えの被告となるべき者に対し、あらかじめ、当該請求を行い、かつ、その到達した日から 2 週間を経過した後でなければ、その訴えを提起することができない。ただし、当該訴えの被219

電気通信事業における個人情報保護指針

告となるべき者がその請求を拒んだときは、この限りでない。
2
前項の請求は、その請求が通常到達すべきであった時に、到達したものとみなす。
3

前二項の規定は、第 23 条第 1 項、第 24 条第 1 項又は第 25 条第 1 項、第 3項若しくは第 5 項の規定による請求に係る仮処分命令の申立てについて準用する。

自己が識別される保有個人データの開示(※1)、訂正等(※2)、利用停止等(※3)若しくは第三者提供の停止(※4)又は自己が識別される個人データに係る第三者提供記録の開示(※5)の電気通信事業者に対する請求について裁判上の訴えを提起しようとするときは、あらかじめ裁判外において当該請求を電気通信事業者に対して行い、かつ、当該請求が当該電気通信事業者に到達した日から 2 週間を経過した後でなければ、当該訴えを提起することができない（※６）（※７）。
ただし、電気通信事業者が当該裁判外の請求を拒んだとき（※７）（※8）は、2 週間を経過する前に、当該請求に係る裁判上の訴えを提起することができる。
（※1）保有個人データの開示については、3-9-2（保有個人データの開示）参照。
（※2）保有個人データの訂正等とは、保有個人データの訂正、追加又は削除のことをいう（3-9-4（保有個人データの訂正等）参照）。
（※3）保有個人データの利用停止等とは、保有個人データの利用の停止又は消去のことをいう（3-9-5（保有個人データの利用停止等）参照）。
Draft（※4）保有個人データの第三者提供の停止については、3-9-5（保有個人データの利用停止等）を参照のこと。
（※5）第三者提供記録の開示については、3-9-3(第三者提供記録の開示)を参照のこと。
（※6）例えば、本人から電気通信事業者に対する保有個人データの開示請求が 4
月 1 日に到達した場合には、本人が当該請求に係る裁判上の訴えを提起することができるのは、当該到達日から 2 週間が経過した日（4 月 16 日）以降となる。
（※7）自己が識別される保有個人データの開示、訂正等、利用停止等若しくは第三者提供の停止又は自己が識別される個人データに係る第三者提供記録の開示について仮処分命令を申し立てるときも、同様に、あらかじめ電気通信事業者に対し、これらの請求を行い、かつ、当該請求が当該電気通信事業者に到達した日から 2 週間を経過した後でなければ、当該仮処分命令を申し立てることができない。
（※8）「当該裁判外の請求を拒んだとき」とは、第 23 条第 3 項(同条第 5 項において準用する場合を含む。)、第 24 条第 3 項、及び第 25 条 第 7 項に掲げる場合のほか、個人情報取扱事業者が当該請求を行った者に対して特に理由を説明することなく単に当該請求を拒む旨を通知した場合等も含まれる。
220

電気通信事業における個人情報保護指針－ 認定個人情報保護団体としての考え方及び例示 － (3-9 関係：一点鎖線内)≪開示等の請求等求めに応じる手続の留意点≫
電気通信事業者が、本人からの保有個人データの開示などの請求に応じる手続についての留意点を以下にまとめる。
1.

本人が請求できる開示等の種類
本人が、保有個人データに関して、電気通信事業者に請求することができる
開示等の措置は次のとおりである。
A 利用目的通知の求め：本人が識別される保有個人データの利用目的の通知の求め
B 開示の請求：本人が識別される保有個人データの開示の請求
C 訂正の請求：本人に関する保有個人データの内容の訂正の請求
D 追加の請求：本人に関する保有個人データの内容の追加の請求
E 削除の請求：本人に関する保有個人データの内容の削除の請求
F 利用の停止の請求／利用の停止・消去の請求：本人に関する保有個人データの利用の停止又は消去の請求
G 第三者提供停止の請求：本人に関する保有個人データの第三者提供の停
止の請求

2.

手続に関する規定
開示の請求等の手続に関し、法及びガイドラインに定められている事項は、次のとおりである。

1） 手続を公表等すること
電気通信事業者は、次の請求に応じる手続等を、本人の知り得る状態（本人の請求に応じて遅滞なく回答する場合を含む。）に置く必要がある。
➢ 第 1 の A から G のすべての請求に応じる手続➢ A 利用目的通知の求め、又は、B 開示の請求に関する手数料の額を定めたときは、その手数料の額
2） 受付手続を電気通信事業者が定められること
電気通信事業者は、A から G のいずれの請求についても、その請求を受け付ける方法として、次の各号に掲げるものを定めることができる。また、本人は、この定められた方法に従う必要がある。
一 請求の申出先
二 請求に際して提出すべき書面（電磁記録を含む。）の様式その他の請求

221

電気通信事業における個人情報保護指針の方式
三 請求をする者が本人、（未成年者又は成年被後見人の）法定代理人又は（本人が委任した）代理人であることの確認の方法
四 手数料の徴収方法（手数料については、A 利用目的通知の求め及び B
開示の請求に限られる。）
電気通信事業者は、必ずしも請求に応じる手続を定める必要はなく、申請書の様式や受付窓口を特定しなくてもさしつかえはない。しかし、定めがない場合には、本人からの自由な申請を認めることになる。
そのため、本人との間の無用の混乱を避け、手続を円滑に処理するためにも、あらかじめ手続を定めておくことが望まれる。
3） 請求の対象となる保有個人データの特定を請求すること
電気通信事業者は、本人に対し、A から G のいずれの請求についても、その請求に関し、その対象となる保有個人データを特定するに足りる事項の提示を請求することができる。
この場合において、電気通信事業者は、本人が容易かつ的確に開示等の請求を行うことができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した適切な措置をとる必要がある。
4） 代理人による請求が可能であること
A から G のいずれの請求についても、次に掲げる代理人によって行うことができる。
一 未成年者又は成年被後見人の法定代理人
二 開示等の請求をすることにつき本人が委任した代理人
ただし、開示の請求については、本人の具体的な委任によらない未成年者の法定代理人等に開示することにより、本人の通信の秘密を侵害する場合や生命、身体、財産その他の権利利益を害するおそれがある場合には、代理人による開示の請求は認められないことに注意が必要である。 A から G の請求を本人から委任を受けた代理人が行う場合、委任状の提出を求めることを定めることも可能である。
Draft

5） 過重な負担を課さない配慮が必要
電気通信事業者は、A から G の求めに応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮する必要がある。
6） 手数料
電気通信事業者は A 利用目的通知の求め及び B 開示の請求について、手数料を徴収することができる。
手数料を徴収する場合には、実費を勘案して合理的であると認められる範囲
222電気通信事業における個人情報保護指針

内において、その手数料の額を定める必要がある。
また、手数料を定める場合には、その徴収方法をあらかじめ定めておくことが望まれる。
なお、手数料の徴収方法としては、次のような方法が考えられる。
⚫ 現金、郵便切手、定額小為替証書等による納入⚫ 払込取扱票による振込み⚫ 電気通信事業者から別途送付する請求書による振込み⚫ 電気通信事業者からの通信料金請求に併せた請求⚫ その他
手数料が払われなかったときや不足しているときの対応についても考慮しておくことが望まれる。
3.

請求への対応と受付手続請求を受け付ける手続について、定めるべき項目は、次のとおりである。請求の項目毎に受付手続が異なる場合があるので、注意が必要である。
3-1. 利用目的通知の求め
本人から、利用目的の通知を求められた電気通信事業者は、利用目的の通知を求める個人情報が特定されていない場合や特定が不完全な場
合を除き、本人に遅滞なく通知する必要があり、利用目的を通知しない旨の決定をしたときは、本人に対し遅滞なく、その旨を通知する必要がある。
（法第 32 条第 2 項～第 3 項、ガイドライン 22 条第 2 項～第 3 項）
利用目的を通知しない旨の決定をした場合は、本人に対しその理由を説明するよう努める必要があるが（法第 36 条、ガイドライン第 26 条）、利用目的の通知を求める保有個人データが特定されていない場合や特定が不完全な場合には、通知ができないことを、理由を付けて通知すれば足りるものと考えられる。
≪受付手続の例≫
1）受付窓口の特定：受付窓口は、1 箇所でも複数個所でも構わない。
2）受付手段：窓口への提出、郵送、電子メールやウェブサイト等のオン
ライン等の手段を定める。
3）求めの様式：利用目的通知の求めは書面によるとの手続を定める場
合には、その申請書の様式を定めることが望まれる。
4）本人の確認方法と確認のための書類の種類を定める。
5）代理人の確認方法とその確認のための書類の種類を定める。
6）手数料の有無及び手数料を設定する場合にはその金額を定める。
7）手数料の徴収方法を定める。
8）求めに対する回答の方法を定める。必ずしも、書面により回答する必223

電気通信事業における個人情報保護指針

要はないが、書面による申請を求める場合には、回答も書面で行うことが望まれる。
9）利用目的通知の求めの受付方法を本人の知り得る状態に置く方法を定める。
10） その他の注意点：利用目的通知については、本人から求めがあっても、保有個人データの利用目的が明らかな場合等には、電気通信事業者はこれを通知する必要はない。
一方、利用目的通知の求めには、手数料を設定することが可能であり、求めに対する通知をしない場合でも、この手数料を返還する必要はない。そのため、既に公表等されている利用目的に照会があった
場合、有料の利用目的通知申請に誘導することなく、利用目的を本人に知らしめる工夫等を行うことが望まれる。
3-2. 開示の請求
保有個人データの開示の請求があった場合、本人に対し書面の交付による方法（別の同意がある場合は当該方法）により、遅滞なく当該保有個人データを開示する必要がある（法第 33 条(第 1 項～4 項)、ガイドライン
第 23 条）ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部について開示しないことができる。
一 本人又は第三者の生命、身体、財産その他の権利利益を害する
おそれがある場合
二 当該電気通信事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
三 他の法令に違反することとなる場合
また、保有個人データの全部又は一部について開示しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知する必要がある。
Draft

なお、本人から求められた措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する
場合は、本人に対しその理由を説明するよう努める必要がある。（法第 36条、ガイドライン第 26 条）≪受付手続の例≫
1）受付窓口の特定：受付窓口は、1 箇所でも複数個所でも構わない。
2）受付手段：窓口への提出、郵送、電子メールやウェブサイト等のオン
ライン等の手段を定める。
3）求めの様式：保有個人データの開示の求めは書面によるとの手続を定める場合には、その開示の求めの様式を定めることが望まれる。
4）本人の確認方法と確認のための書類の種類を定める。
224

電気通信事業における個人情報保護指針

5）代理人の確認方法とその確認のための書類の種類を定める。
6）手数料の有無及び手数料を設定する場合にはその金額を定める。
7）手数料の徴収方法を定める。
8）開示の求めに対する回答は、原則として文書で行う必要がある。文書以外による回答を認める場合には、その方法及び本人からの文書
以外の回答についての同意の取得方法を定めておくことが望まれる。
開示の求めの受付方法を本人の知り得る状態に置く方法を定める。
9）その他の注意点：他人の通信の秘密を侵害するおそれがある事項
等については、開示できないことをあらかじめ本人に注意しておくことが望まれる。
3-3. 訂正の請求/ 追加の請求 / 削除の請求
訂正、追加又は削除の請求（以下、「訂正等の請求」という。）に対しては、遅滞なく調査を行い、その請求に係る保有個人データの内容が事実でないときは、遅滞なく訂正等を行う必要がある。（法第 34 条第 2 項、ガイド
ライン第 24 条第 2 項）
また、訂正等を行ったとき又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知する必要がある。（法第 34 条第3 項、ガイドライン第 24 条第 3 項）
さらに、本人から求められた措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する
場合は、本人に対しその理由を説明するよう努める必要がある。（法第 36条、ガイドライン第 26 条）≪受付手続の例≫
1) 受付窓口の特定受付窓口は、1 箇所でも複数個所でもかまわない。
2) 受付手段
窓口への提出、郵送、電子メールやウェブサイト等のオンライン等の手段を定める。
3) 求めの様式
保有個人データの訂正等の求めには書面によるとの手続を定める場合には、訂正等の請求の様式を定めることが望まれる。
4) 本人の確認方法と確認のための書類の種類を定める。
5) 代理人の確認方法とその確認のための書類の種類を定める。
6) 求めに対する回答の方法を定める。
必ずしも、書面により回答する必要はないが、書面による申請を請求する場合には、回答も書面で行うことが望まれる。
225

電気通信事業における個人情報保護指針

7) 訂正等の請求の受付方法を本人の知り得る状態に置く方法を定める。
8) その他の注意点
契約者の氏名や住所等の変更の手続については、本人にとって簡易な方法を別に定め、これを周知することが望まれる。
保有個人データの訂正、追加、削除又は利用の停止若しくは第三者への提供停止の求めに対しては、申請書類等の提出を求めることなく、事実関係の調査を行い、法に基づいた措置を行うこととし、次のようにホームページにこの取扱いを公表している電気通信事業者もある。このような取扱いも適切な取扱いと考えられる。
(公表例)「当社は、保有個人データの本人から、自己に関する保有個人データの訂正等（訂正、追加若しくは削除又は利用の停止若しくは第三者への提供の停止）の請求があった場合には遅滞なく調査を行います。この場合において、当該請求に係る保有個人データの内容が事実でない場合その他当該保有個人データの取扱いが適正でないと認められる場合は、遅滞なく訂正等を行います。（訂正等のお申出は、当社
お客様窓口＜電話、電子メール、窓口＞までお願いいたします。）
なお、当社は訂正等の請求があった場合においても、法令等の規定に基づき、当該請求に係る保有個人データの全部又は一部について、訂正等を行わないことがあ
ります。」
Draft

3-4. 利用停止・消去の請求
利用停止（又は消去）の請求に対しては、遅滞なく調査を行い、その請求に係る保有個人データが、利用目的による制限（法第 18 条第 1 項、法第19 条、ガイドライン第 5 条第 1 項）に違反して目的外に利用している場合、不適正な手段により取得された場合及びガイドライン第 11 条に違反して保存期間経過後も消去しない場合には、原則として、遅滞なく利用停止（又は消去）を行う必要がある。（法第 35 条第 2 項、第 4 項、第 6 項、ガイドライン
第 25 条第 2 項、第 4 項、第 6 項）
ガイドラインに違反した取扱いを行っている場合には、ガイドラインに違反している取扱いを是正すれば足り、必ずしも当該保有個人データのすべての取扱いを止める必要はない。（例えば、ガイドライン第 5 条の規定に違反して目的外に利用している場合は目的外利用を停止すればよく、利用目的の範囲内の利用まで停止する必要はない。）
利用停止を行った場合又は利用停止を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨の通知を行う必要がある。（法第 35 条第 7項、ガイドライン第 25 条第 7 項）
また、本人から求められた措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合

226

電気通信事業における個人情報保護指針

は、本人に対しその理由を説明するよう努める必要がある。（法第 36 条、ガイドライン第 26 条）≪受付手続の例≫
1) 受付窓口の特定受付窓口は、1 箇所でも複数個所でもかまわない。
2) 受付手段
窓口への提出、郵送、電子メールやウェブサイト等のオンライン等の手段を定める。
3) 求めの様式
保有個人データの利用停止等（利用停止、消去）の請求は書面によるとの手続を定める場合には、利用停止等の請求の様式を定めることが望まれる。
4) 本人の確認方法と確認のための書類の種類を定める。
5) 代理人の確認方法とその確認のための書類の種類を定める。
6) 回答の方法を定める。
必ずしも文書により回答する必要はないが、書面による申請を求める場
合には、回答も書面で行うことが望まれる。
7) 利用停止等の求めの受付方法を本人の知り得る状態に置く方法を定める。
8) その他の注意点
電気通信事業者は、保有個人データについて本人から請求があった
場合には、ダイレクトメールの発送停止など、自主的に利用停止等に応じることが求められている。
ダイレクトメールや電話、電子メール等による営業活動への利用停止
等に簡易に応じる方法を定めている場合には、これをプライバシーポリ
シー等で公表することが望まれる。
≪利用停止の公表の例≫
お客様がダイレクトメール等による宣伝物の送付や電話・電子メールでのサービスのご案内等を希望されない場合、当社に対しその停止を申出ることができます。
ただし、電気通信サービスに関する各種サービス等のご注文の確認に係るメールや電話連絡等業務運営上必要なご案内等の送付を除きます。
停止のお申出は、下記連絡先までご連絡下さい。
電話○○○○
E-mail ×××
窓口 住所△△△

3-5. 第三者提供停止の請求法第 27 条第 1 項（ガイドライン第 17 条第 1 項）の規定に違反して、本人
227

電気通信事業における個人情報保護指針の同意なく第三者に提供されているとの理由により、第三者への提供の停止を求められ、その請求に理由があることが判明したときは、電気通信事業者
は、遅滞なく、第三者への提供を停止する必要がある。
なお、「第三者への提供の停止」とは、新たな提供を停止することを意味
し、既に第三者に提供された保有個人データを回収することは含まれていない。
第三者への提供を停止したとき又は停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。（法第 35 条第 7 項、
ガイドライン第 25 条第 7 項）
また、本人から求められた措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合
は、本人に対しその理由を説明するよう努める必要がある。（法第 36 条、ガイドライン第 26 条）≪受付手続の例≫
第三者提供停止の求めは、同意なく第三者に保有個人データが提供されていることを理由としたものであり、これは利用者が違法状態の是正を求めているものと考えて取り扱う必要がある。
そのため、Ａ「利用目的通知の求め」からＦ「利用の停止の請求、他」の求めなどの場合とは異なる受付手続が望ましいと考えられる。すなわち、開示の請求などでは、初めに本人確認等の形式チェックを行い、その後に調査や審査を行うという基本的な手順となるが、第三者提供停止の請求について
は、次のように、事実関係の確認を優先することが望ましいと考えられる。
Draft

1) 受付方法
受付窓口や受付手段については、可能な限り、利用者が容易に求めることができるようにすることが望まれる。
2) 調査と措置
同意なく第三者に保有個人データが提供されているかどうかの調査や、その結果求めに理由があると判明したときの提供停止の措置については、保有個人データの流出事故対応に準じた取扱いにより速やかな対応を図ることが望まれる。
3) 本人確認等の手順
調査の結果、本人からの求めであるか等の形式チェックを行うことが必要な場合には、Ｆ【利用停止の求め】と同様の手順により対応してさしつかえない。
4) 第三者提供停止の求めの受付方法を本人の知り得る状態に置く方法を定める。また、次の点についてホームページ等に掲載することが望ま
228

電気通信事業における個人情報保護指針れる。
i) 法令で認められている場合を除き、本人の同意なく第三者に保有
個人データを提供することはないこと。
ii) 第三者提供停止が求められた場合には、速やかに調査を行うこと。
iii) 場合により電気通信事業者が定める様式や確認書類の提出を求めることがあること。
保有個人データの第三者提供の停止の求め等に対しては、申請書類等の提出を求めることなく、事実関係の調査を行い、法に基づいた措置を行うこととし、次のようにホームページにこの取扱いを公表している電気通信事業者もある。
このような取扱いも適切な取扱いと考えられる。

3-10 個人情報の取扱いに関する苦情処理（ガイドライン第 30 条関係）

法第 40 条1

個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。

2

個人情報取扱事業者は、前項の目的を達成するために必要な体制の整備に努めなければならない。

ガイドライン第 30 条
1
電気通信事業者は、個人情報の取扱いに関する苦情を適切かつ迅速に処理しなければならない。
2

電気通信事業者は、前項の目的を達成するために必要な体制を整備しなければならない。

電気通信事業者は、個人情報の利用、提供、開示又は訂正等に関する苦情その他の個人情報の取扱いに関する苦情を適切かつ迅速に処理しなければならない。
また、苦情の適切かつ迅速な処理を行うに当たり、苦情処理窓口の設置や苦情処理の手順を定める等必要な体制を整備しなければならない（※1）。「適切かつ迅速な処理」の具体的な内容を全ての電気通信事業者等について一律に定めることは困難であり、個別具体的に判断する必要があるが、少なくとも、以下の場合には、適切かつ迅速に措置を行っているとはいえないと考えられる。
① 苦情に対する対応窓口を設けていない場合② 苦情に対する対応窓口が設けられていても、その連絡先や受付時間等を一般に明らかにしていない場合
229

電気通信事業における個人情報保護指針③ 苦情に対する対応窓口の連絡先や受付時間等が一般に明らかにされていても、実際にはその対応窓口がほとんど利用できないような場合（例えば、電話窓口に頻繁に電話しても繋がらない場合やメール相談窓口にメールで繰り返し相談
しても連絡がない場合）
一方、無理な要求にまで応じなければならないものではない。
なお、電気通信事業者は、保有個人データの取扱いに関する苦情の申出先（電気通信事業者が認定個人情報保護団体の対象事業者である場合は、その団体の名称及び苦情解決の申出先を含む。）について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）（※2）に置かなければならない（3-9-1（保有個人データに関する事項の公表等）参照）。
また、電気通信事業法第 27 条は、同法第 26 条第１項各号に掲げる電気通信役
務及び当該役務に係る業務の方法に関する消費者等からの苦情・問合せを適切かつ迅速に処理しなければならない旨を定めている。
（※1）消費者等本人との信頼関係を構築し事業活動に対する社会の信頼を確保するためには、「個人情報保護を推進する上での考え方や方針（いわゆる、プライバシーポリシー、プライバシーステートメント等）」を策定し、それをホームページへの掲載又は店舗の見やすい場所への掲示等により公表し、あらかじ
め、対外的に分かりやすく説明することや、委託の有無、委託する事務の内容を明らかにする等、委託処理の透明化を進めることも重要である。
Draft（※2）「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」については、3-9-1（保有個人データに関する事項の公表等）を参照のこと。

－ 認定個人情報保護団体としての考え方及び例示 － (3-10 関係)「必要な体制を整備する」とは、個人情報の取扱いに関する苦情についての専任の受付対応窓口を設けることを求めるものではないが、利用者にとって個人情報の取扱いについての苦情の申出先を明らかにすることは必要である。
苦情の受付手段としては、電話、電子メール、書面の郵送などが考えられるが、各対象事業者が提供するサービスの内容、利用者層、利用者数などに応じて、適切か
つ迅速に処理できる方法を採用する必要がある。また、電話により苦情を受け付けることとする場合には、平日は、できるだけ長時間受け付ける体制にしておくことが望まれる。
これらの情報は自社ホームページ、パンフレットなど適宜の方法により分かりやすく表示しておくべきである。
対象事業者は、利用者から苦情の申出があった場合には、概ね次のような対応をすることが望ましい。
① 可能な範囲で本人の確認を行う。
② その苦情の内容を正しく理解する。
230

電気通信事業における個人情報保護指針③ 調査など事実関係の把握に時間が必要と判断した場合には、妥当と思われる調査の方法及び回答に要する期間を提示し、処理の在り方について利用者の了解を得る。
④ 利用者に調査の結果や当該電気通信事業者としての見解を速やかに回答する。
⑤ 事実関係を調査した結果、当該対象事業者の個人情報の取扱いに問題があったことが判明した場合には、当該問題点を是正し、その旨を利用者にもお知らせする。
苦情の内容が具体的でない場合や、事実無根であることが明らかである場合などには、申出者からの要求を拒むこともできる。この場合、対象事業者において対応できない理由を申出者に分かりやすく説明することが必要である。
なお、苦情処理に当たっては「電気通信事業法の消費者保護ルールに関するガイドライン」(下記)の第 5 章「苦情等の処理（法 27 条)（※法 30 条）関係）も参照されたい。
≪参考≫総務省ホームページで公開されている(総務省総合通信基盤局
年)9 月最終改訂)
https://www.soumu.go.jp/main_content/000643705.pdf

平成 28 年 3 月(令和元年(2019

対象事業者は、認定個人情報保護団体として「電気通信個人情報保護推進センター」を苦情の申出先として公表等する必要がある。
＜記載例＞
認定個人情報保護団体の名称「（一財）日本データ通信協会」
申出先の名称等「電気通信個人情報保護推進センター」
電話：０３－５９０７－３８０３
なお、申出先の名称等は次のリンクを張ることにより簡略化することも可能である。
「電気通信個人情報保護推進センター」URL
https://www.dekyo.or.jp/kojinjyoho/
電気通信個人情報保護推進センターは、電気通信事業者を含む対象事業者の個人情報の取扱いに関する苦情について解決の申出があったときは、その相談に応じ、申出人に必要な助言をし、その苦情に係る事情を調査するとともに、
当該対象事業者に対し、その苦情の内容を通知して迅速な解決を求める。また、認定個人情報保護団体はその苦情の解決について必要があると認めるときは、
当該対象事業者に対し、文書若しくは口頭による説明を求め、又は資料の提出
231

電気通信事業における個人情報保護指針を求めることがある。対象事業者は電気通信個人情報保護推進センターから上述の求めがあったときは、正当な理由がないのに、これを拒むことはできない。
【好ましい事例】
例 1 夜間に個人情報漏えいに関する苦情の電話があったが、事務問合せ窓口での回答では納得してもらえなかったので、翌朝改めて、苦情受付窓口から電話を差し上げることを約束し、了承された。クレーム内容によっては、関係各部門（法務担当、弁護士など）への確認をしたうえで、迅速に対応を行う。
例2「貴社が提供するコンテンツに会員登録をした後、急に迷惑メールがくるようになった。貴社から個人情報が漏えいしたのではないか、調べて報告してほしい。」との電子メールが届いた。事実関係を調査した結果、個人情報漏えいの事実はなかったので、申出者にその旨を説明するとともに、不必要に迷惑メールが届いて困るのであれば、メールアドレスを変更することを案内した。

【好ましくない事例】
例 1 夜間に「貴社から自分の個人情報が漏えいしたのではないか」との苦情が入り、「夜なので分かる者がいない。後日連絡する。」と回答したにもかかわらず放置した。
例 2 苦情をたらい回しにする。
例 3 同一の苦情に対する回答の内容に一貫性がない。
Draft

3-11 仮名加工情報取り扱い事業者等の義務（ガイドライン第 31 条・第 32 条関係）

仮名加工情報取扱事業者等の義務については、個人情報保護委員会が定める「個人情報の保護に関する法律についてのガイドライン(仮名加工情報・匿名加工情報編)」（平成28 年個人情報保護委員会告示第 9 号）を参照のこと。
なお、通信の秘密に係る個人情報を仮名加工情報に加工しても、通信の秘密に該当することは変わらないことに留意する必要がある。 通信の秘密に関する情報が漏えい等した
場合には、電気通信事業法第 28 条に基づく漏えい等報告が必要である。また、通信の秘密に関する情報は、通信当事者の同意又は違法性阻却事由がある場合を除き、取得・利用・提供を行うことができない。通信の秘密に係る個人情報を仮名加工情報に加工した場合であっても、これらの規律を免れるものではない。なお、仮名加工情報については、仮名加工情報の作成の前に本人から同意を得ていた場合であっても、第三者提供が禁止されている点に留意が必要である。

232

電気通信事業における個人情報保護指針

3-11-1 仮名加工情報の取り扱いに係る義務の考え方「個人情報保護に関する法律についてのガイドライン(仮名・匿名)」より≪同ガイドライン「2-2-1 仮名加工情報の取扱いに係る義務の考え方」から引用≫
法第 4 章第 3 節においては、仮名加工情報を作成する個人情報取扱事業者及び仮名加工情報データベース等を事業の用に供している仮名加工情報取扱事業者が、仮名加工情報を取り扱う場合等に遵守すべき義務を規定している。
仮名加工情報取扱事業者において、仮名加工情報の作成の元となった個人情報や当該仮名加工情報に係る削除情報等（※1）を保有している等により、当該仮名加工情報が「他の情報と容易に照合することができ、それにより特定の個人を識別することができる」状態にある場合には、当該仮名加工情報は、「個人情報」（法第 2 条第 1 項）に該当する。この場合、当該仮名加工情報取扱事業者は、個人情報である仮名加工情報の取扱いに関する義務等を遵守する必要がある（2-2-3（個人情報である仮名加工情報の取扱いに関する義務等）参照）。
これに対し、例えば、法第 41 条第 6 項又は第 42 条第 1 項若しくは第 2 項の規定により仮名加工情報の提供を受けた仮名加工情報取扱事業者において、当該仮名加工
情報の作成の元となった個人情報や当該仮名加工情報に係る削除情報等を保有していない等により、当該仮名加工情報が「他の情報と容易に照合することができ、それにより特定の個人を識別することができる」状態にない場合には、当該仮名加工情報は、「個人情報」（法第 2 条第 1 項）に該当しない。この場合、当該仮名加工情報取扱事業者は、個人情報でない仮名加工情報の取扱いに関する義務等を遵守する必要がある（2-2-4（個人情報でない仮名加工情報の取扱いに関する義務等）参照）。
（※1）「削除情報等」とは、仮名加工情報の作成に用いられた個人情報から削除された記述等及び個人識別符号並びに法第 41 条第 1 項により行われた加工の方法に関する情報をいう。
【仮名加工情報を作成する個人情報取扱事業者が遵守する義務等】(1)仮名加工情報を作成するときは、適正な加工を行わなければならない。（法第 41条第 1 項）＜2-2-2-1（仮名加工情報の適正な加工）参照＞(2)仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等を取得したときは、削除情報等の安全管理措置を講じなければならない。（法第 41 条第 2 項）＜2-2-2-2（削除情報等の安全管理措置）参照＞【個人情報取扱事業者である仮名加工情報取扱事業者が遵守する個人情報である仮名加工情報の取扱いに関する義務等】(1)法令に基づく場合を除くほか、法第 17 条第 1 項の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報である仮名加工情報を取り扱ってはならない。（法第 41 条第 3 項）＜2-2-3-1（利用目的による制限・公表）参照＞
233

電気通信事業における個人情報保護指針(2)個人情報である仮名加工情報を取得したときは、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を公表しなければならない。また、利用目的を変更した場合は、変更後の利用目的を公表しなければならない。（法第 41 条第 4 項）＜2-2-3-1（利用目的による制限・公表）参照＞(3)仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該仮名加工情報である個人データ及び削除情報等を遅滞なく消去するよう努めなければならない。（法第 41 条第 5 項）＜2-2-3-2（利用する必要がなくなった場合の消去）参照＞(4)法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはならない。（法第 41 条第 6 項）＜2-2-3-3（第三者提供の禁止等）参照＞(5)個人情報である仮名加工情報を取り扱うに当たっては、元の個人情報に係る本人を識別する目的で他の情報と照合することを行ってはならない。（法第 41 条第 7項）＜2-2-3-4（識別行為の禁止）参照＞(6)個人情報である仮名加工情報を取り扱うに当たっては、元の個人情報に係る本人への連絡等を行う目的で当該仮名加工情報に含まれる連絡先その他の情報を利用してはならない。（法第 41 条第 8 項）＜2-2-3-5（本人への連絡等の禁止）参照＞(7)仮名加工情報（個人情報であるもの）、仮名加工情報である個人データ及び仮名加工情報である保有個人データについては、次の規定を適用しない。（法第 41 条
第 9 項）＜2-2-3-6（適用除外）参照＞
・利用目的の変更の制限（法第 17 条第 2 項）・漏えい等の報告及び本人通知（法第 26 条）
・保有個人データに関する事項の公表等、及び保有個人データの開示・訂正等・
利用停止等への対応等（法第 32 条から第 39 条まで）
(8)法第 4 章第 3 節の規定に基づく上記（1）から（7）までの規律のほか、仮名加工情報（個人情報であるもの）及び仮名加工情報である個人データについては、通常の個人情報及び個人データと同様、次の規定が適用される（※2）。＜2-2-3-7（その他の義務等）参照＞
・不適正利用の禁止（法第 19 条）
・適正取得（法第 20 条第 1 項）
・安全管理措置（法第 23 条）
・従業者の監督（法第 24 条）
・委託先の監督（法第 25 条）
・苦情処理（法第 40 条）
Draft（※2）要配慮個人情報の取得に関する法第 20 条第 2 項の適用関係、並びに確認・記録義務に関する法第 29 条及び第 30 条の適用関係については、2-2-3-7（その他の義務等）を参照のこと。

234

電気通信事業における個人情報保護指針【仮名加工情報取扱事業者が遵守する個人情報でない仮名加工情報の取扱いに関する義務等】(1)法令に基づく場合を除くほか、仮名加工情報を第三者に提供してはならない。（法第 42 条第 1 項及び第 2 項）＜2-2-4-1（第三者提供の禁止等）参照＞（2)仮名加工情報については、次の規定が準用される。（法第 42 条第 3 項）＜2-2-42（その他の義務等）参照＞
・安全管理措置（法第 23 条）
・従業者の監督（法第 24 条）
・委託先の監督（法第 25 条）
・苦情処理（法第 40 条）
・識別行為の禁止（法第 41 条第 7 項）
・本人への連絡等の禁止（法第 41 条第 8 項）

3-11-2 仮名加工情報を作成する個人情報取扱事業者の義務等
3-11-2-1 仮名加工情報の適正な加工（ガイドライン 31 条第 1 項関係）

法第 41 条(第 1 項)
1
個人情報取扱事業者は、仮名加工情報(仮名加工情報データベース 等を構成するものに限る。以下この章及び第 6 章において同じ。)を作成するときは、他の情報と照合しない限り特定の個人を識別することができないようにするために必要なものとして個
人情報保護委員会規則で定める基準に従い、個人情報を加工しなければならない。
ガイドライン第 31 条(第 1 項)
1 電気通信事業者は、仮名加工情報(仮名加工情報データベース等を構成するものに限る。以下同じ。)を作成するときは、他の情報と照合しない限り特定の個人を識別することができないようにするために必要なものとして次に定める基準に従い、個人情報を加工しなければならない。
(1) 個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること(当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。)。
(2) 個人情報に含まれる個人識別符号の全部を削除すること(当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。)。
(3) 個人情報に含まれる不正に利用されることにより財産的被害が生じるおそれがある記述等を削除すること(当該記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。)。
（参考）
235

電気通信事業における個人情報保護指針【仮名加工情報の作成等(法第 41 条第 1 項関係)】
規則第 31 条
法第 41 条第 1 項の個人情報保護委員会規則で定める基準は、次のとおりとする。
(1) 個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること(当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えことを含む。)。
(2) 個人情報に含まれる個人識別符号の全部を削除すること(当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。)。
(3) 個人情報に含まれる不正に利用されることにより財産的被害が生じるおそれがある記述等を削除すこと(当該記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。)。
「個人情報保護に関する法律についてのガイドライン(仮名・匿名)」より≪同ガイドライン「2-2-2 仮名加工情報を作成する個人情報取扱事業者の義務等」から引用≫
個人情報取扱事業者は、仮名加工情報（仮名加工情報データベース等を構成するものに限る（※1）。2-2-3-7（その他の義務等）を除き、以下同じ。）を作成するとき（※2）は、他の情報と照合しない限り特定の個人を識別することができないようにするために、規則
第 31 条各号に定める基準に従って、個人情報を加工しなければならない。 なお、「個人情報保護委員会規則で定める基準に従い、個人情報を加工」するためには、加工する情報の性質に応じて、規則第 31 条各号に定める加工基準を満たす必要がある。
Draft（※1）仮名加工情報の取扱いに係る法第 4 章第 3 節の規律（法第 41 条及び第 42 条）
は、仮名加工情報データベース等を構成する仮名加工情報に適用されるものである。いわゆる散在情報となる、仮名加工情報データベース等を構成しない仮名加
工情報には、法第 4 章第 3 節の規律は適用されない。
（※2）「作成するとき」は、仮名加工情報として取り扱うために、当該仮名加工情報を作成するときのことを指す。したがって、例えば、安全管理措置の一環として氏名等の一部の個人情報を削除（又は他の記述等に置き換え）した上で引き続き個人情報として取り扱う場合、あるいは匿名加工情報又は統計情報を作成するために個人情報を加工する場合等については、仮名加工情報を「作成するとき」には該当しない。

3-11-2-2 特定の個人を識別することができる記述等の削除「個人情報保護に関する法律についてのガイドライン(仮名・匿名)」より≪同ガイドライン「2-2-2 仮名加工情報を作成する個人情報取扱事業者の義務等」から引用≫
236

電気通信事業における個人情報保護指針

個人情報取扱事業者が取り扱う個人情報には、一般に、氏名、住所、生年月日、性別の他、様々な個人に関する記述等が含まれている。これらの記述等は、氏名のようにその情報単体で特定の個人を識別することができるもののほか、住所、生年月日など、これらの記述等が合わさることによって特定の個人を識別することができるものもある。このような特定の個人を識別できる記述等から全部又はその一部を削除するある
いは他の記述等に置き換えることによって、特定の個人を識別することができないよう加工しなければならない。
なお、他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない
方法でなければならない（※1）。例えば、生年月日の情報を生年の情報に置き換える
場合のように、元の記述等をより抽象的な記述に置き換えることも考えられる。
【想定される加工の事例（※2）】
事例 1）会員 ID、氏名、年齢、性別、サービス利用履歴が含まれる個人情報を加工する場合に次の措置を講ずる。
1）氏名を削除する。
事例 2）氏名、住所、生年月日が含まれる個人情報を加工する場合に次の 1 から 3までの措置を講ずる。
1）氏名を削除する。
2）住所を削除する。又は、○○県△△市に置き換える。
3）生年月日を削除する。又は、日を削除し、生年月に置き換える。
（※1）他の記述等への置き換えとして、仮 ID を付す場合には、元の記述等を復元することのできる規則性を有しない方法でなければならない。仮 ID を付す際の注意点については、3-2-2-1（特定の個人を識別することができる記述等の削除）の（※）を参照のこと。
（※2）講ずべき措置は、個別の事例ごとに判断する必要がある。例えば、氏名の削除後、当該個人情報に含まれる他の記述等により、なお特定の個人を識別することができる場合には、当該記述等によって特定の個人を識別することができなくなるよう加工する必要がある。

3-11-2-3 個人識別符号の削除「個人情報保護に関する法律についてのガイドライン(仮名・匿名)」より≪同ガイドライン「2-2-2 仮名加工情報を作成する個人情報取扱事業者の義務等」から
引用≫

237

電気通信事業における個人情報保護指針

加工対象となる個人情報が、個人識別符号を含む情報であるときは、当該個人識別符号単体で特定の個人を識別できるため、当該個人識別符号の全部を削除又は他の記述等へ置き換えて、特定の個人を識別できないようにしなければならない。
なお、他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない方法による必要がある。
（参考）個人識別符号の概要
個人識別符号とは、その情報単体から特定の個人を識別することができるものとして個人情報の保護に関する法律施行令（平成 15 年政令第 507 号。以下「政令」という。）
で定めるものをいい、次のいずれかに該当するものである（個人識別符号の定義の詳細については、通則ガイドライン「2-2（個人識別符号）」参照）。
(1)特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した符号
・生体情報（DNA、顔、虹彩、声紋、歩行の態様、手指の静脈、指紋・掌紋）をデジ
タルデータに変換したもののうち、特定の個人を識別するに足りるものとして規則で定める基準に適合するもの（政令第 1 条第 1 号及び規則第 2 条）
(2)対象者ごとに異なるものとなるように役務の利用、商品の購入又は書類に付される符号・旅券番号、基礎年金番号、免許証番号、住民票コード、マイナンバー、各種保険証の番号等の公的機関が割り振る番号（政令第 1 条第 2 号から第 8 号まで、規則第 3 条及び第 4 条）
Draft

3-11-2-4 不正に利用されることにより財産的被害が生じるおそれのある記述等の削除「個人情報保護に関する法律についてのガイドライン(仮名・匿名)」より≪同ガイドライン「2-2-2 仮名加工情報を作成する個人情報取扱事業者の義務等」から引用≫
一般的にみて、不正に利用されることにより個人の財産的被害が生じるおそれが類型的に高い記述等については、それが漏えいした場合に個人の権利利益の侵害が生じる蓋然性が相対的に高いと考えられる。そのため、仮名加工情報を作成するに当たっては、当該記述等について削除又は他の記述等への置き換えを行わなければならない。
なお、他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない方法による必要がある。
【想定される加工の事例】
238

電気通信事業における個人情報保護指針

事例 1）クレジットカード番号を削除する。
事例 2）送金や決済機能のあるウェブサービスのログイン ID・パスワードを削除する。

3-11-2-5 削除情報等の安全管理措置(ガイドライン第 31 条第 2 項関係)

法第 41 条(第 2 項)
2 個人情報取扱事業者は、仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等(仮名加工情報の作成に用いられた個人情報から削除された記述等及び個人識別符号並びに前項の規定により行われた加工の方法に関する情報をいう。以下この条及び次条第 3 項において読み替えて準用する第 7 項において同じ。) を取得したときは、削除情報等の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、削除情報等の安全管理のための措置を講じなければならない。
ガイドライン第 31 条(第 2 項)
2 電気通信事業者は、仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等(仮名加工情報の作成に用いられた個人情報から削除された記述
等及び個人識別符号並びに前項の規定により行われた加工の方法に関する情報をいう。以下この条及び次条第三項において読み替えて準用する第 7 項において同じ。)を取得したときは、削除情報等の漏えいを防止するために必要なものとして次に定める基準に従い、削除
情報等の安全管理のための措置を講じなければならない。
(1) 削除情報等(前項の規定により行われた加工の方法に関する情報にあっては、その情報を用いて仮名加工情報の作成に用いられた個人情報を復元することができるものに限る。以
下この項において同じ。)を取り扱う者の権限及び責任を明確に定めること。
(2) 削除情報等の取扱いに関する規程類を整備し、当該規程類に従って削除情報等を適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果に基づき改善を図る
ために必要な措置を講ずること。
(3) 削除情報等を取り扱う正当な権限を有しない者による削除情報等の取扱いを防止するために必要かつ適切な措置を講ずること。
「個人情報保護に関する法律についてのガイドライン(仮名・匿名)」より≪同ガイドライン「2-2-2 仮名加工情報を作成する個人情報取扱事業者の義務等」から引用≫
個人情報取扱事業者は、仮名加工情報を作成したとき、又は仮名加工情報及び当
該仮名加工情報に係る削除情報等を取得したときは、削除情報等（法第 41 条第 1 項の規定により行われた加工の方法に関する情報にあっては、その情報を用いて仮名加工情報の作成に用いられた個人情報を復元することができるものに限る（※1）。以239

電気通信事業における個人情報保護指針

下この項において同じ。）の漏えいを防止するために、規則で定める基準に従い、必要な措置を講じなければならない（※2）。
当該措置の内容は、対象となる削除情報等が漏えいした場合における個人の権利利益の侵害リスクの大きさを考慮し、当該削除情報等の量、性質等に応じた内容としなければならないが、具体的に講じなければならない項目及び具体例については、別表1（削除情報等の安全管理で求められる措置の具体例）を参照のこと。
（※1）「その情報を用いて仮名加工情報の作成に用いられた個人情報を復元することができるもの」には、例えば、氏名等を仮 ID に置き換えた場合における置き換え
アルゴリズムに用いられる乱数等のパラメータ又は氏名と仮 ID の対応表等のような加工の方法に関する情報が該当し、「氏名を削除した」というような復元につながらない情報は該当しない。
（※2）氏名と仮 ID の対応表等のように削除情報等が個人データに該当する場合において、当該削除情報等について漏えい、滅失又は毀損（以下「漏えい等」という。）が発生し、それが法第 26 条の要件を満たす場合には、同条に基づく報告や本人通知が必要となる。
また、個別の事例ごとに判断する必要があるが、例えば、氏名と仮 ID の対応
表等の削除情報等が漏えい等した場合には、削除情報等の安全管理措置を講ずる義務（法第 41 条第 2 項）や仮名加工情報である個人データの安全管理措置を講ずる義務（法第 23 条）の履行の観点から、原則として、当該仮名加工情報に含まれる仮 ID を振り直すこと等により仮名加工情報を新たに作り直す等の措置を講じることが必要となる。
Draft

【図表７】
講じなければならない措
置

具体例① 削除情報等を取り扱う者の権限及び責任の明確化（規則第32条第1号）

・削除情報等の安全管理措置を講ずるための組織体制の整備② 削除情報等の取扱いに関する規程類の整備及び当該規程類に従った削除情報

・削除情報等の取扱いに係る規程等の整備とこれに従った
運用
・従業者の教育・削除情報等の取扱状況を確認する手段の整備
・削除情報等の取扱状況の把握、安全管理措置の評価、見直し及び改善等の適切な取扱い並びに削除情報等の取扱状況の評価

240

電気通信事業における個人情報保護指針

及びその結果に基づき改善を図るために必要な措置の実施（規則第32条第2号）③ 削除情報等を取り扱う正当な権限を有しない者による削除情報等の取扱いを防止するために必要かつ適切な措置の実施（規則第32条第3号）

・削除情報等を取り扱う権限を有しない者による閲覧等の防止
・機器、電子媒体等の盗難等の防止
・電子媒体等を持ち運ぶ場合の漏えいの防止・削除情報等の削除並びに機器、電子媒体等の廃棄・削除情報等へのアクセス制御
・削除情報等へのアクセス者の識別と認証
・外部からの不正アクセス等の防止・情報システムの使用に伴う削除情報等の漏えいの防止
図表 7

（参考）
【仮名加工情報の安全管理措置等(法第 41 条第 2 項、第 42 条第 3 項関係)】
規則第 32 条
法第 41 条第 2 項の個人情報保護委員会規則で定める基準は、次のとおりとする。
(1) 法第 41 条第 2 項に規定する削除情報等(同条第 1 項の規定により行われた加工の方法に関する情報にあっては、その情報を用いて仮名加工情報の作成に用いられた個人情報を復元することができるものに限る。以下この条において同じ。)を取り扱う者の権限及び責任を明確に定めること。
(2) 削除情報等の取扱いに関する規程類を整備し、当該規程類に従って削除情報等を適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果に基づき改善を図るために必要な措置を講ずること。
(3) 削除情報等を取り扱う正当な権限を有しない者による削除情報等の取扱いを防止するために必要かつ適切な措置を講ずること。

3-11-3 個人情報である仮名加工情報の取扱いに関する義務等
3-11-3-1 利用目的による制限・公表（ガイドライン第 31 条第 3 項・第 4 項関係）
3-11-3-1-1 利用目的による制限（ガイドライン第 31 第 3 項関係）

法第 41 条(第 3 項)
3 仮名加工情報取扱事業者(個人情報取扱事業者である者に限る。以下この条において同じ。)は、第 18 条の規定にかかわらず、法令に基づく場合を除くほか、第 17 条第 1 項の241

電気通信事業における個人情報保護指針

規定により特定された利用目的の達成に必要な範囲を超えて、仮名加工情報(個人情報であるものに限る。以下この条において同じ。)を取り扱ってはならない。
ガイドライン第 31 条(第 3 項)
3 仮名加工情報取扱事業者である電気通信事業者(個人情報取扱事業者である電気通信事業者に限る。以下この条において同じ。)は、第 5 条の規定にかかわらず、法令に基づく場合を除くほか、第 4 条第 1 項の規定により特定された利用目的の達成に必要な範囲を超えて、仮名加工情報(個人情報であるものに限る。以下この条において同じ。) を取り扱ってはならない。
「個人情報保護に関する法律についてのガイドライン(仮名・匿名)」より≪同ガイドライン「2-2-3 個人情報である仮名加工情報の取扱いに関する義務等」から引用≫
個人情報取扱事業者である仮名加工情報取扱事業者は、法令に基づく場合（※1）
を除くほか、法第 17 条第 1 項の規定により特定された利用目的（※2）の達成に必要な範囲を超えて、個人情報である仮名加工情報を取り扱ってはならない。
「法令に基づく場合」以外の場合において、法第 17 条第 1 項の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報である仮名加工情報を取り扱う場合には、あらかじめ利用目的を変更する必要がある。なお、仮名加工情報については、利用目的の変更の制限に関する法第 17 条第 2 項の規定は適用されないため、変更前の利用目的と関連性を有すると合理的に認められる範囲を超える利用目的の変更も認められる（2-2-3-6（適用除外）参照）。
Draft

利用目的を変更した場合には、原則として変更後の利用目的を公表しなければならない（2-2-3-1-2（利用目的の公表）参照）。
（※1）「法令に基づく場合」の具体的な事例については、通則ガイドライン「3-1-5（利用目的による制限の例外）」を参照のこと。
（※2）個人情報取扱事業者が仮名加工情報を作成したときは、作成の元となった個人情報に関して法第 17 条第 1 項の規定により特定された利用目的が、当該仮名加工情報の利用目的として引き継がれる。

3-11-3-1-2 利用目的の公表（ガイドライン第 31 第 4 項関係）

法第 41 条(第 4 項)
4 仮名加工情報についての第 21 条の規定の適用については、同条第 1 項及び第 3
項中「、本人に通知し、又は公表し」とあるのは「公表 し」と、同条第 4 項第 1 号から第 3号までの規定中「本人に通知し、 又は公表する」とあるのは「公表する」とする。
242

電気通信事業における個人情報保護指針

ガイドライン第 31 条(第 4 項)
4 仮名加工情報についての第 9 条の規定の適用については、同条第 1 項及び第 3 項中「、本人に通知し、又は公表し」とあるのは「公表 し」と、同条第 4 項第 1 号から第 3 号までの規定中「本人に通知し、 又は公表する」とあるのは「公表する」とする。
「個人情報保護に関する法律についてのガイドライン(仮名・匿名)」より≪同ガイドライン「2-2-3 個人情報である仮名加工情報の取扱いに関する義務等」から引用≫
個人情報取扱事業者である仮名加工情報取扱事業者は、個人情報である仮名加
工情報を取得した場合（※）には、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を公表しなければならない。
また、利用目的の変更を行った場合には、変更後の利用目的を公表しなければならない。
ただし、次の（1）から（4）までの場合については、個人情報である仮名加工情報の取得時、及び個人情報である仮名加工情報の利用目的の変更時における利用目的の公表は不要である。
(1)利用目的を公表することにより本人又は第三者の生命、身体、財産その他の権
利利益を害するおそれがある場合(2)利用目的を公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合(3)国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき(4)取得の状況からみて利用目的が明らかであると認められる場合（※）個人情報取扱事業者が、自らが保有する個人情報の一部を削除する等の加工を行ったに過ぎない場合は、ここでいう個人情報の「取得」には該当しない。
そのため、個人情報取扱事業者が、自らが保有する個人情報を加工して仮名加工情報を作成した場合には、当該仮名加工情報が個人情報に当たる場合でも、ここでいう個人情報である仮名加工情報の「取得」には該当しない。
これに対し、例えば、仮名加工情報を作成した個人情報取扱事業者が、当該仮名加工情報及び当該仮名加工情報に係る削除情報等を、事業の承継に伴い他の事業者に提供した場合（2-2-3-3（第三者提供の禁止等）参照）、当該他の事
業者にとって、当該仮名加工情報は、通常、当該削除情報等と容易に照合でき、それによって特定の個人を識別できる情報に該当するため、個人情報に該当する。この場合には、当該他の事業者が事業の承継に伴い当該仮名加工情報の提供を受けることは、ここでいう個人情報である仮名加工情報の「取得」に該当する。
243

電気通信事業における個人情報保護指針

3-11-3-2 利用する必要がなくなった場合の消去（ガイドライン第 31 第 5 項関係）

法第 41 条(第 5 項)
5 仮名加工情報取扱事業者は、仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞なく消去するよう努め
なければならない。この場合においては、第 22 条の規定は、適用しない。
ガイドライン第 31 条(第 5 項)
5 仮名加工情報取扱事業者である電気通信事業者は、仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞なく消去するよう努めなければならない。この場合においては、第 10 条及び第 11 条の規定は、適用しない。
「個人情報保護に関する法律についてのガイドライン(仮名・匿名)」より≪同ガイドライン「2-2-3 個人情報である仮名加工情報の取扱いに関する義務等」から引用≫
個人情報取扱事業者である仮名加工情報取扱事業者は、保有する仮名加工情報
である個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該仮名加工情報である個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となり、当該事業の再開の見込みもない場合等は、当該仮名加工情報である個人データを遅滞なく消去するよう努めなければならない（※1）。
Draft

また、保有する削除情報等について利用する必要がなくなったときは、当該削除情報等を遅滞なく消去するように努めなければならない（※2）。
【仮名加工情報である個人データについて利用する必要がなくなったときに該当する事
例】
事例） 新商品の開発のため、仮名加工情報である個人データを保有していたところ、当該新商品の開発に関する事業が中止となり、当該事業の再開の見込
みもない場合【削除情報等について利用する必要がなくなったときに該当する事例】
事例） 仮名加工情報についての取扱いを終了し、新たな仮名加工情報を作成する見込みもない場合（※1）「仮名加工情報である個人データの消去」とは、当該仮名加工情報である個人データを個人データでなくすることであり、当該仮名加工情報である個人データを244

電気通信事業における個人情報保護指針

削除することのほか、当該仮名加工情報を容易に照合できる他の情報と組み合わせても特定の個人を識別できないようにすること等を含む。
（※2）「削除情報等の消去」とは、当該削除情報等を削除することをいう。

3-11-3-3 第三者提供の禁止等（ガイドライン第 31 条第 6 項関係）

法第 41 条(第 6 項)
6 仮名加工情報取扱事業者は、第 27 条第 1 項及び第 2 項並びに第 28 条 第 1 項の規定にかかわらず、法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはならない。この場合において、第 27 条第 5 項中「前各項」とあるのは「第41 条第 6 項」と、 同項第 3 号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第 6 項中「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と、第 29 条第 1 項ただし書中「第 27条第 1 項各号又は第 5 項各号のいずれか(前条第 1 項の規定による個人データの提供にあっては、第 27 条第 1 項各号のいずれか)」とあり、及び第 30 条第 1 項 ただし書中「第 27 条第 1 項各号又は第 5 項各号のいずれか」とあるの は「法令に基づく場合又は第27 条第 5 項各号のいずれか」とする。
ガイドライン第 31 条(第 6 項)
6 仮名加工情報取扱事業者である電気通信事業者は、第 17 条第 1 項及び第 2 項並びに第 18 条第 1 項の規定にかかわらず、法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはならない。この場合において、第 17 条第 10 項中「第 1項から第 7 項まで及び前項」とあるのは「第 31 条第 6 項」と、同項第 3 号中「、本人 に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第 11 項中「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と、第 19 条 第 1 項ただし書中「第 17 条第 1 項各号又は第 10 項各号のいずれか(前条第1 項の規定による個人データの提供にあっては、第 17 条第 1 項各号のいずれか)」とあり、及び第 20 条第 1 項ただし書中「第 17 条第 1 項各号又は第 10 項各号のいずれか」とあるのは「法令に基づく場合又は第 17 条第 10 項各号のいずれか」とする。
「個人情報保護に関する法律についてのガイドライン(仮名・匿名)」より≪同ガイドライン「2-2-3 個人情報である仮名加工情報の取扱いに関する義務等」から引用≫
個人情報取扱事業者である仮名加工情報取扱事業者は、法令に基づく場合（※1）
を除くほか、仮名加工情報である個人データを第三者に提供してはならない。
ただし、次の（1）から（3）までの場合については、仮名加工情報である個人データの提供先は個人情報取扱事業者である仮名加工情報取扱事業者とは別の主体として
形式的には第三者に該当するものの、提供主体の個人情報取扱事業者である仮名加
245電気通信事業における個人情報保護指針

工情報取扱事業者と一体のものとして取り扱うことに合理性があるため、第三者には該当しないものとする。そのため、このような要件を満たす場合には、仮名加工情報である個人データを提供することができる。
なお、法令に基づく場合又は次の（1）から（3）までのいずれかの場合における仮名加工情報である個人データの提供については、確認・記録義務は課されない（法第41 条第 6 項により読み替えて適用される法第 29 条第 1 項ただし書及び第 30 条第 1
項ただし書）。
(1)委託（法第 41 条第 6 項、第 27 条第 5 項第 1 号関係）
利用目的の達成に必要な範囲内において、仮名加工情報である個人データの取扱いに関する業務の全部又は一部を委託することに伴い、当該仮名加工情報である
個人データが提供される場合は、当該提供先は第三者に該当しない。この場合、当該提供先は、委託された業務の範囲内でのみ、提供主体の個人情報取扱事業者である
仮名加工情報取扱事業者と一体のものとして取り扱われることに合理性があるため、委託された業務以外に当該仮名加工情報である個人データを取り扱うことはできない。
なお、提供主体の個人情報取扱事業者である仮名加工情報取扱事業者には、法第25 条により、委託先に対する監督責任が課される（2-2-3-7（その他の義務等）参照）。
個人情報取扱事業者である仮名加工情報取扱事業者は、委託先に対する監督義
務、及び仮名加工情報である個人データの安全管理措置を講ずる義務（法第 23 条）の履行の観点から、委託先が提供を受けた仮名加工情報を取り扱うに当たり、法第 41条又は法第 42 条に違反する事態が生じることのないよう、委託先に対して、提供する情報が仮名加工情報である旨を明示しなければならない。
Draft(2)事業の承継（法第 41 条第 6 項、第 27 条第 5 項第 2 号関係）
合併、分社化、事業譲渡等により事業が承継されることに伴い、当該事業に係る仮名加工情報である個人データが提供される場合は、当該提供先は第三者に該当しない。
また、事業の承継のための契約を締結するより前の交渉段階で、相手会社から自社の調査を受け、自社の仮名加工情報である個人データを相手会社へ提供する場合も、
法第 41 条第 6 項により読み替えて適用される法第 27 条第 5 項第 2 号に該当し、仮名加工情報である個人データを提供することができるが、当該データの利用目的及び取扱方法、漏えい等が発生した場合の措置、事業承継の交渉が不調となった場合の措置等、相手会社に安全管理措置を遵守させるために必要な契約を締結しなければならない。
(3)共同利用（法第 41 条第 6 項、第 27 条第 5 項第 3 号関係）
特定の者との間で共同して利用される仮名加工情報である個人データを当該特定の者に提供する場合（※2）であって、次の①から⑤までの情報（※3）を、提供に当たり
あらかじめ公表しているときには、当該提供先は、当該仮名加工情報である個人デー
246

電気通信事業における個人情報保護指針

タを当初提供した個人情報取扱事業者である仮名加工情報取扱事業者と一体のものとして取り扱われることに合理性があると考えられることから、第三者に該当しない（※4）。
仮名加工情報は、加工によりそれ自体では特定の個人を識別できないものとなっており、また、本人を識別する目的での利用や本人に連絡等をする目的での利用が禁止されていること（法第 41 条第 7 項及び第 8 項）等を踏まえ、利用目的の柔軟な変更が許容されている（法第 41 条第 9 項）。そのため、仮名加工情報である個人データの共同利用における利用する者の範囲や利用目的等は、作成の元となった個人情報の取得の時点において通知又は公表されていた利用目的の内容や取得の経緯等にかかわらず、設定可能である。
①共同利用をする旨
仮名加工情報である個人データを共同利用する旨を公表する必要がある。
②共同して利用される仮名加工情報である個人データの項目事例）「氏名・性別・年齢・サービス利用履歴」のうち、氏名を削除し、「性別・年齢・サービス利用履歴」に関する仮名加工情報を作成して共同利用する場合の公表項目は、「性別」、「年齢」、「サービス利用履歴」である。
③共同して利用する者の範囲
仮名加工情報である個人データの「共同利用の趣旨」は、当該仮名加工情報である個人データを提供する事業者と一体のものとして取り扱われることに合理性がある範囲で、当該仮名加工情報である個人データを共同して利用することである。
したがって、共同利用者の範囲については、どの事業者まで将来利用されるかが客観的に判断できる程度に明確にする必要がある。
なお、当該範囲が明確である限りにおいては、必ずしも事業者の名称等を個別に全て列挙する必要はない。
④利用する者の利用目的
共同して利用する仮名加工情報である個人データについて、その利用目的を全て、公表しなければならない。
なお、利用目的が仮名加工情報である個人データの項目によって異なる場合には、当該仮名加工情報である個人データの項目ごとに利用目的を区別して記載することが望ましい。
⑤当該仮名加工情報である個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名「仮名加工情報である
個人データの管理について責任を有する者」とは、苦情を受け付け、その処理に尽力するとともに、安全管理等仮名加工情報である個人データの管理について責任を有する者をいう。 なお、ここでいう「責任を有する者」とは、共同して利用する
全ての事業者の中で、第一次的に苦情の受付・処理を行う権限を有する者をいい、共同利用者のうち一事業者の内部の担当責任者をいうものではない。

247

電気通信事業における個人情報保護指針（※1）「法令に基づく場合」の具体的な事例については、通則ガイドライン「3-1-5（利用目的による制限の例外）」を参照のこと。
（※2）共同利用の対象となる仮名加工情報である個人データの提供については、必ずしも全ての共同利用者が双方向で行う必要はなく、一部の共同利用者に対し、一方向で行うこともできる。
（※3）事業者が共同利用を実施する場合には、共同利用者における責任等を明確にし円滑に実施する観点から、上記①から⑤までの情報のほか、例えば、次の（ア）から（カ）までの事項についても、あらかじめ取り決めておくことが望ましい。
（ア）共同利用者の要件（グループ会社であること、特定のキャンペーン事業の一員であること等、共同利用による事業遂行上の一定の枠組み）（イ）各共同利用者における仮名加工情報の取扱責任者、問合せ担当者及び連絡先（ウ）共同利用する仮名加工情報である個人データの取扱いに関する事項
・仮名加工情報である個人データの漏えい等防止に関する事項
・目的外の加工、利用、複写、複製等の禁止
・共同利用終了後のデータの返還、消去、廃棄に関する事項（エ）共同利用する仮名加工情報である個人データの取扱いに関する取決めが遵守されなかった場合の措置（オ）共同利用する仮名加工情報である個人データに関する事件・事故が発生した場合の報告・連絡に関する事項
Draft（カ）共同利用を終了する際の手続（※4）共同利用か委託かは、仮名加工情報である個人データの取扱いの形態によって判断されるものであって、共同利用者の範囲に委託先事業者が含まれる場合であっても、委託先との関係は、共同利用となるわけではなく、委託元は委託先の監督義務を免れるわけではない。
＜共同利用に係る事項の変更（法第 41 条第 6 項、第 27 条第 6 項関係）＞
仮名加工情報である個人データを共同利用する場合において、「仮名加工情報である個人データの管理について責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名」に変更があったときは、遅滞なく、変更後の内容について公表しなければならない。また、「共同利用する者の利用目的」又は「仮名加工情報である個人データの管理について責任を有する者」を変更しようとするときは、あらか
じめ、変更する内容について公表しなければならない。
なお、「共同して利用される仮名加工情報である個人データの項目」及び「共同して利用する者の範囲」について変更することは、原則として認められない（※）が、例えば次のような場合は、引き続き共同利用を行うことができる。
事例 1）共同利用を行う事業者の名称に変更があるが、共同して利用される仮名加工情報である個人データの項目には変更がない場合
248

電気通信事業における個人情報保護指針

事例 2）共同利用を行う事業者について事業の承継が行われた場合（共同利用する
仮名加工情報である個人データの項目等の変更がないことが前提）（※）提供に当たりあらかじめ法第 41 条第 6 項において読み替えて適用される法第 27
条第 5 項第 3 号に定める事項を公表した上で、新たな共同利用を行うことは妨げられない。

3-11-3-4 識別行為の禁止（ガイドライン第 31 第 7 項、第 32 条第３項関係）法第 41 条(第 7 項)
7 仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たっては、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該仮名加工情報を他の情報と照合してはならない。
法第 42 条(第 3 項)
3 第 23 条から第 25 条まで、第 40 条並びに前条第 7 項及び第 8 項の規定は、仮名加工情報取扱事業者による仮名加工情報の取扱いについて準用する。この場合において、第 23 条中「漏えい、滅失又は毀損」とあるのは「漏えい」と、前条第 7 項中「ために、」とあるのは「ために、削除情報等を取得し、又は」と読み替えるものとする。
ガイドライン第 31 条(第 7 項)
7 仮名加工情報取扱事業者である電気通信事業者は、仮名加工情報を取り扱うに当たっては、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該
仮名加工情報を他の情報と照合してはならない。
ガイドライン第 32 条(第 3 項)
3 第 12 条、第 13 条、第 30 条並びに前条第 7 項及び第 8 項の規定は、仮名加工情報取扱事業者である電気通信事業者による仮名加工情報の取扱いについて準用する。この場
合において、第 12 条中「漏えい、滅失又は毀損」とあるのは「漏えい」と、前条第 7 項中「ために、」と あるのは「ために、削除情報等を取得し、又は」と読み替えるものとする。
「個人情報保護に関する法律についてのガイドライン(仮名・匿名)」より≪同ガイドライン「2-2-3 個人情報である仮名加工情報の取扱いに関する義務等」から引用≫
個人情報取扱事業者である仮名加工情報取扱事業者が個人情報である仮名加工
情報を取り扱う場合には、当該仮名加工情報の作成の元となった個人情報の本人を識別する目的で、当該仮名加工情報を他の情報（※）と照合してはならない。

249

電気通信事業における個人情報保護指針【識別行為に当たらない取扱いの事例】
事例 1）複数の仮名加工情報を組み合わせて統計情報を作成すること。
事例 2）仮名加工情報を個人と関係のない情報（例：気象情報、交通情報、金融商
品等の取引高）とともに傾向を統計的に分析すること。
【識別行為に当たる取扱いの事例】
事例 1）保有する個人情報と仮名加工情報について、共通する記述等を選別してこれらを照合すること。
事例 2）仮名加工情報を、当該仮名加工情報の作成の元となった個人情報と照合すること。
（※）「他の情報」に限定はなく、本人を識別する目的をもって行う行為であれば、個人情報、個人関連情報、仮名加工情報及び匿名加工情報を含む情報全般と照合する行為が禁止される。また、具体的にどのような技術又は手法を用いて照合するかは問わない。

3-11-3-5 本人への連絡等の禁止（ガイドライン第 31 第 8 項関係）

法第 41 条(第 8 項)
8 仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たっては、電話をかけ、郵便若しくは民間事業者による信書の送達に関する法律(平成 14 年法律第 99 号)第 2 条第6 項に規定する一般信書便事業者若しくは同条第 9 項に規定する特定信書便事業者による同条第 2 項に規定する信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法(電子情報処理組織を使用する方法その他の情報通信の技術を利用する方法であって個人情報保護委員会規則で定めるものをいう。)を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用してはならない。
Draft

法第 42 条(第 3 項)
3 第 23 条から第 25 条まで、第 40 条並びに前条第 7 項及び第 8 項の規定は、仮名加工情報取扱事業者による仮名加工情報の取扱いについて準用する。この場合において、第 23 条中「漏えい、滅失又は毀損」とあるのは「漏えい」と、前条第 7 項中「ために、」とあるのは「ために、削除情報等を取得し、又は」と読み替えるものとする。
ガイドライン第 31 条(第 8 項)
8 仮名加工情報取扱事業者である電気通信事業者は、仮名加工情報を取り扱うに当たっては、電話をかけ、郵便若しくは民間事業者による信書の送達に関する法律(平成 14 年法律第 99 号)第 2 条第 6 項に規定する一般信書便事業者若しくは同条第 9 項に規定する
特定信書便事業者による同条第 2 項に規定する信書便により送付し、電報を送達 し、ファ250

電気通信事業における個人情報保護指針

クシミリ装置若しくは電磁的方法(電子情報処理組織を使用する方法その他の情報通信の技術を利用する方法であって次に掲げる ものをいう。)を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用してはならない。
(1)電話番号を送受信のために用いて電磁的記録を相手方の使用に携帯して使用する
通信端末機器に送信する方法(他人に委託して行う場合を含む。)(2) 電子メールを送信する方法(他人に委託して行う場合を含む。)(3) 前号に定めるもののほか、その受信をする者を特定して情報を伝達するために用いられる電気通信(電気通信事業法第 2 条第 1 号に規定する電気通信をいう。)を送信する方法(他人に委託して行う場合を含む。)「個人情報保護に関する法律についてのガイドライン(仮名・匿名)」より≪同ガイドライン「2-2-3 個人情報である仮名加工情報の取扱いに関する義務等」から引用≫
個人情報取扱事業者である仮名加工情報取扱事業者は、個人情報である仮名加
工情報を取り扱う場合には、電話をかけ、郵便若しくは信書便により送付し、電報を送
達し、ファクシミリ装置若しくは電磁的方法を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報の利用を行ってはならない。
ここでいう「電磁的方法」とは、次の（1）から（3）までのいずれかの方法をいう。
(1)電話番号を送受信のために用いて電磁的記録を相手方の使用に係る携帯して使用する通信端末機器に送信する方法（他人に委託して行う場合を含む。）（規則第 33 条第 1 号関係）
いわゆるショートメールを送信する方法であり、他人に委託して行う場合を含む。
(2)電子メールを送信する方法（他人に委託して行う場合を含む。）（規則第 33 条
第 2 号関係）
電子メールを送信する方法であり、他人に委託して行う場合を含む。
(3)前号に定めるもののほか、その受信をする者を特定して情報を伝達するために用いられる電気通信（電気通信事業法（昭和 59 年法律第 86 号）第 2 条第 1号に規定する電気通信をいう。）を送信する方法（他人に委託して行う場合を含む。）（規則第 33 条第 3 号関係）
電子メールを送信する方法のほか、受信する者を特定した上で情報を伝達するために用いられる電気通信を送信する方法であり、他人に委託して行う
場合を含む。
【受信する者を特定して情報を伝達するために用いられる電気通信を送信する方法に該当する事例】
251

電気通信事業における個人情報保護指針

事例 1）いわゆる SNS（ソーシャル・ネットワーキング・サービス）のメッセージ機能によりメッセージを送信する方法
事例 2）CookieID を用いて受信する者を特定した上で、当該受信者に対して固有の内容のインターネット広告を表示する方法（参考）規則第 33 条
法第 41 条第 8 項に規定する電磁的方法は、次に掲げる方法とする。
(1) 電話番号を送受信のために用いて電磁的記録を相手方の使用に係る携帯して使用する通信端末機器に送信する方法(他人に委託して行う場合を含む。)(2) 電子メールを送信する方法(他人に委託して行う場合を含む。)(3) 前号に定めるもののほか、その受信をする者を特定して情報を伝達するために用いられる電気通信(電気通信事業法(昭和 59 年法律第 86 号)第 2 条第 1 号に規定する電気通信をいう。)を送信する方法(他人に委託して行う場合を含む。)

3-11-3-6 適用除外（ガイドライン第 31 第 9 項関係）

【適用除外(法第 41 条第 9 項)】
法第 41 条(第 9 項)
9 仮名加工情報、仮名加工情報である個人データ及び仮名加工情報である保有個人データについては、第 17 条第 2 項、第 26 条及び第 32 条 から第 39 条までの規定は、適
用しない。
Draft

ガイドライン第 31 条(第 9 項)
9 仮名加工情報、仮名加工情報である個人データ及び仮名加工情報である保有個人データについては、第 4 条第 2 項、第 16 条及び第 22 条 から第 29 条までの規定は、適用しない。
「個人情報保護に関する法律についてのガイドライン(仮名・匿名)」より≪同ガイドライン「2-2-3 個人情報である仮名加工情報の取扱いに関する義務等」から引用≫
仮名加工情報（個人情報であるもの）、仮名加工情報である個人データ及び仮名加工情報である保有個人データの取扱いについては、次の（1）から（3）までの規定が適用されない。
（1）利用目的の変更（法第 17 条第 2 項関係）

252

電気通信事業における個人情報保護指針

仮名加工情報（個人情報であるもの）については、利用目的の変更の制限に関する法第 17 条第 2 項の規定は適用されないため、変更前の利用目的と関連性を有すると合理的に認められる範囲を超える利用目的の変更も認められる。
（2）漏えい等の報告等（法第 26 条関係）
仮名加工情報である個人データについては、法第 26 条の規定は適用されな
いため、仮名加工情報である個人データについて漏えい等が発生した場合でも、
法第 26 条に基づく報告や本人通知は不要である（※1）。
（3）本人からの開示等の請求等（法第 32 条～第 39 条関係）
仮名加工情報である保有個人データについては、法第 32 条から第 39 条までの規定は適用されないため、仮名加工情報である保有個人データについては、
これらの規定に基づく本人からの開示等の請求等の対象とならない（※2）。
（※1）仮名加工情報の作成の元となった個人データ又は氏名と仮 ID の対応表のような削除情報等（個人データであるもの）については、法第 26 条の規定が適用される。そのため、これらについての漏えい等が発生した場合において、当該漏えい等が法第 26 条に定める要件を満たす場合には、同条に基づく報告や本人通知の対象となる。
（※2）個人情報取扱事業者である仮名加工情報取扱事業者が仮名加工情報の作成の元となった保有個人データを引き続き保有している場合、当該保有個人
データについては、法第 32 条から第 39 条までの規定に基づく本人からの開示等の請求等の対象となる。

3-11-3-7 その他の義務等「個人情報保護に関する法律についてのガイドライン(仮名・匿名)」より≪同ガイドライン「2-2-3 個人情報である仮名加工情報の取扱いに関する義務等」から引用≫
個人情報取扱事業者である仮名加工情報取扱事業者による仮名加工情報（個人情報であるもの）及び仮名加工情報である個人データの取扱いについては、上記 22-3-1（利用目的による制限・公表）から 2-2-3-6（適用除外）までに記載の各規律のほか、次の（1）から（6）までの義務等が課される（※）。
（1）不適正利用の禁止（法第 19 条関係）

253

電気通信事業における個人情報保護指針

違法又は不当な行為を助長し、又は誘発するおそれがある方法により仮名加工情報（個人情報であるもの）を利用してはならない。 詳細については、通則ガイ
ドライン「3-2（不適正利用の禁止）」を参照のこと。
（2）適正取得（法第 20 条第 1 項関係）
偽りその他不正の手段により仮名加工情報（個人情報であるもの）を取得してはならない。 詳細については、通則ガイドライン「3-3-1（適正取得）」を参照のこと。
（3）安全管理措置（法第 23 条関係）取り扱う仮名加工情報である個人データの漏えい等その他の安全管理のために必要かつ適切な措置を講じなければならない。 詳細については、通則ガイドラ
イン「3-4-2（安全管理措置）」を参照のこと。 なお、仮名加工情報には識別行為の禁止義務や本人への連絡等の禁止義務が課されていることから、仮名加工情報を取り扱うに当たっては、それを取り扱う者が不適正な取扱いをすることがない
よう、仮名加工情報に該当することを明確に認識できるようにしておくことが重要である。そのため、仮名加工情報を取り扱う者にとってその情報が仮名加工情報である旨が一見して明らかな状態にしておくことが望ましい。
（4）従業者の監督（法第 24 条関係）
従業者に仮名加工情報である個人データを取り扱わせるに当たっては、当該
仮名加工情報である個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。 詳細については、通則ガイドライン「3-4-3（従業者の監督）」を参照のこと。
Draft（5）委託先の監督（法第 25 条関係）
仮名加工情報である個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された仮名加工情報である個人データの安全管理が図られる
よう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
詳細については、通則ガイドライン「3-4-4（委託先の監督）」を参照のこと。
（6）苦情処理（法第 40 条関係）
仮名加工情報（個人情報であるもの）の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。 また、苦情の適切かつ迅速な処理を行うに当たり、苦情処理窓口の設置や苦情処理の手順を定める等必要な体制の整備に努めなければならない。 詳細については、通則ガイドライン「3-9（個人情報の取扱いに関する苦情処理）」を参照のこと。

254

電気通信事業における個人情報保護指針（※）（1）から（6）までの義務等のほか、仮名加工情報（個人情報であるもの）について
は、要配慮個人情報の取得に関する法第 20 条第 2 項の適用対象となる（仮名加
工情報（個人情報であるもの）の「取得」については、2-2-3-1-2（利用目的の公表）参照）。もっとも、法第 41 条第 6 項により、仮名加工情報である個人データの第三者提供の禁止の例外は、法令に基づく場合又は委託、事業承継若しくは共同利用に伴って提供される場合に限定されているところ、これらの場合により要配慮個
人情報の提供を受けるときは、本人同意は不要とされている（法第 20 条第 2 項第1 号並びに同項第 8 号及び政令第 9 条第 2 号）。
また、仮名加工情報である個人データについては、確認・記録義務に関する法
第 29 条及び第 30 条の適用対象となる。もっとも、法第 41 条第 6 項により、仮名加工情報である個人データの第三者提供の禁止の例外は、法令に基づく場合又は委託、事業承継若しくは共同利用に伴って提供される場合に限定されているところ、これらの場合には、確認・記録義務は課されないこととされている（法第 41 条
第 6 項により読み替えて適用される法第 29 条第 1 項ただし書及び第 30 条第 1
項ただし書）。

3-11-4 個人情報でない仮名加工情報の取扱いに関する義務等（ガイドライン第 32 第 1

項・第 2 項関係）
3-11-4-1 第三者提供の禁止等
法第 42 条(第 1 項・第 2 項)
1 仮名加工情報取扱事業者は、法令に基づく場合を除くほか、仮名加工情報(個人情報であるものを除く。次項及び第 3 項において同じ。)を第三者に提供してはならない。
2 第 27 条第 5 項及び第 6 項の規定は、仮名加工情報の提供を受ける者について準用する。この場合において、同条第 5 項中「前各項」とあるのは「第 42 条第 1 項」と、同項第1 号中「個人情報取扱事業者」とあるのは「仮名加工情報取扱事業者」と、同項第 3 号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条
第 6 項中「個人情報取扱事業者」とあるのは「仮名加工情報取扱事業者」と、「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と読み替えるものとする。
ガイドライン第 32 条(第 1 項・第 2 項)
1 仮名加工情報取扱事業者である電気通信事業者は、法令に基づく場合を除くほか、仮名加工情報(個人情報であるものを除く。次項及び第三項において同じ。)を第三者に提供してはならない。
２ 第 17 条第 10 項及び第 11 項の規定は、仮名加工情報の提供を受ける者について準用する。この場合において、同条第 10 項中「第 1 項から 第 7 項まで及び前項」とあるのは「第 32 条第 1 項」と、同項第 1 号中 「電気通信事業者」とあるのは「仮名加工情報取扱事業者である電気通信事業者」と、同項第 3 号中「、本人に通知し、又は本人が容易に知り得255

電気通信事業における個人情報保護指針る状態に置いて」とあるのは「公表して」と、同条第 11 項中 「電気通信事業者」とあるのは「仮名加工情報取扱事業者である電気通信事業者」と、「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と読み替えるものとする。
「個人情報保護に関する法律についてのガイドライン(仮名・匿名)」より≪同ガイドライン「2-2-４個人情報でない仮名加工情報の取扱いに関する義務等」から引用≫
仮名加工情報取扱事業者は、法令に基づく場合（※1）を除くほか、仮名加工情報（個人情報であるものを除く。以下この項及び次項において同じ。）を第三者に提供してはならない。
ただし、法第 42 条第 2 項により読み替えて準用される法第 27 条第 5 項各号に定める委託、事業承継又は共同利用により仮名加工情報の提供を受ける者は、提供主体の仮名加工情報取扱事業者と一体のものとして取り扱うことに合理性があるため、第三者には該当しないものとする。そのため、法第 42 条第 2 項により読み替えて準用される法第 27 条第 5 項各号に定める委託、事業承継又は共同利用による場合は、仮名加工情報を提供することができる（※2）。
（※1）「法令に基づく場合」の具体的な事例については、通則ガイドライン「3-1-5（利用目的による制限の例外）」を参照のこと。
（※2）委託、事業承継及び共同利用については、2-2-3-3（第三者提供の禁止等）を参照のこと。
Draft

3-11-4-2 その他の義務等（ガイドライン第 32 第 3 項関係）

法第 42 条(第 3 項)
3 第 23 条から第 25 条まで、第 40 条並びに前条第 7 項及び第 8 項の規定は、仮名加工情報取扱事業者による仮名加工情報の取扱いについて準用する。この場合において、第 23 条中「漏えい、滅失又は毀損」とあるのは「漏えい」と、前条第 7 項中「ために、」とあるのは「ために、削除情報等を取得し、又は」と読み替えるものとする。
ガイドライン第 32 条(第 3 項)
3 第 12 条、第 13 条、第 30 条並びに前条第 7 項及び第 8 項の規定は、仮名加工情報取扱事業者である電気通信事業者による仮名加工情報の取扱いについて準用する。この場
合において、第 12 条中「漏えい、滅失又は毀損」とあるのは「漏えい」と、前条第 7 項中「ために、」とあるのは「ために、削除情報等を取得し、又は」と読み替えるものとする。
「個人情報保護に関する法律についてのガイドライン(仮名・匿名)」より

256

電気通信事業における個人情報保護指針≪同ガイドライン「2-2-４個人情報でない仮名加工情報の取扱いに関する義務等」から引用≫
仮名加工情報取扱事業者による仮名加工情報の取扱いについては、上記 2-2-41（第三者提供の禁止等）に記載の規律のほか、次の（1）から（6）までの義務等が課される。
（1）安全管理措置（法第 42 条第 3 項、第 23 条関係）取り扱う仮名加工情報の漏えいの防止その他の仮名加工情報の安全管理のために必要かつ適切な措置を講じなければならない。 詳細については、通則ガイ
ドライン「3-4-2（安全管理措置）」を参照のこと。 なお、仮名加工情報には識別行為の禁止義務や本人への連絡等の禁止義務が課されていることから、仮名加工
情報を取り扱うに当たっては、それを取り扱う者が不適正な取扱いをすることがな
いよう、仮名加工情報に該当することを明確に認識できるようにしておくことが重要である。そのため、仮名加工情報を取り扱う者にとってその情報が仮名加工情報である旨が一見して明らかな状態にしておくことが望ましい。
（2）従業者の監督（法第 42 条第 3 項、第 24 条関係）
従業者に仮名加工情報を取り扱わせるに当たっては、当該仮名加工情報の安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
詳細については、通則ガイドライン「3-4-3（従業者の監督）」を参照のこと。
（3）委託先の監督（法第 42 条第 3 項、第 25 条関係）
仮名加工情報の取扱いの全部又は一部を委託する場合は、その取扱いを委託された仮名加工情報の安全管理が図られるよう、委託を受けた者に対する必要
かつ適切な監督を行わなければならない。
詳細については、通則ガイドライン「3-4-4（委託先の監督）」を参照のこと。
（4）苦情処理（法第 42 条第 3 項、第 40 条関係）
仮名加工情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。 また、苦情の適切かつ迅速な処理を行うに当たり、苦情処理窓口の設
置や苦情処理の手順を定める等必要な体制の整備に努めなければならない。
詳細については、通則ガイドライン「3-9（個人情報の取扱いに関する苦情処理）」を参照のこと。
（5）識別行為の禁止（法第 42 条第 3 項、第 41 条第 7 項関係）

257

電気通信事業における個人情報保護指針

仮名加工情報を取り扱う場合には、当該仮名加工情報の作成の元となった個
人情報の本人を識別する目的で、削除情報等を取得し、又は当該仮名加工情報
を他の情報と照合してはならない。
詳細については、2-2-3-4（識別行為の禁止）を参照のこと。
（6）本人への連絡等の禁止（法第 42 条第 3 項、第 41 条第 8 項関係）
仮名加工情報を取り扱う場合には、電話をかけ、郵便若しくは信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報の利用を行ってはならない。
詳細については、2-2-3-5（本人への連絡等の禁止）を参照のこと。

3-12 匿名加工情報取扱事業者等の義務（ガイドライン第 33 条～第 36 条関係）

匿名加工情報取扱事業者等の義務については、個人情報保護委員会が定める「個人情報の保護に関する法律についてのガイドライン(仮名加工情報・匿名加工情報編)」」（平成 28 年個人情報保護委員会告示第 9 号）に準ずることとする。
なお、電気通信事業者が取り扱う位置情報については、基地局に係る位置情報、
GPS 位置情報、Wi-Fi 位置情報などがあるが、これらは通信の秘密に該当する個人情報を含む場合があるほか、プライバシーの観点から保護が必要とされるものであり、更に今後の技術進展によって一層高いプライバシー性を有することが想定される。そのため、位置情報を匿名加工する場合においては、適切な加工手法及び管理運用体制が求められる。具体的な加工方法等については、取扱いの実態等に応じて定められることが望ましいことから 5-4(位置情報)に定めるほか、認定個人情報保護団体が作成する個人情報保護指針等の自主的なルールに委ねられる。
Draft

3-12-1 匿名加工情報の取扱いに係る義務の考え方「個人情報保護に関する法律についてのガイドライン(仮名・匿名)」より≪同ガイドライン「3-2-1 匿名加工情報の取扱いに係る義務の考え方から引用≫【匿名加工情報を作成する個人情報取扱事業者が遵守する義務等】• 匿名加工情報を作成するときは、適正な加工を行わなければならない。（法第 43 条
第 1 項）＜3-2-2（匿名加工情報の適正な加工）参照＞• 匿名加工情報を作成したときは、加工方法等の情報の安全管理措置を講じなければならない。（法第 43 条第 2 項）＜3-2-3（匿名加工情報等の安全管理措置等）参照＞
258

電気通信事業における個人情報保護指針

•
•

•

•

匿名加工情報を作成したときは、当該情報に含まれる情報の項目を公表しなければならない。（法第 43 条第 3 項）＜3-2-4（匿名加工情報の作成時の公表）参照＞
匿名加工情報を第三者提供するときは、提供する情報の項目及び提供方法について公表するとともに、提供先に当該情報が匿名加工情報である旨を明示しなければならない。（法第 43 条第 4 項）＜3-2-5（匿名加工情報の第三者提供）参照＞
匿名加工情報を自ら利用するときは、元の個人情報に係る本人を識別する目的で他の情報と照合することを行ってはならない。（法第 43 条第 5 項）＜3-2-6（識別行為の禁止）参照＞
匿名加工情報を作成したときは、匿名加工情報の適正な取扱いを確保するため、安全管理措置、苦情の処理などの措置を自主的に講じて、その内容を公表するよう努めなければならない。（法第 43 条第 6 項）＜3-2-3（匿名加工情報等の安全管理措置等）参照＞【匿名加工情報データベース等を事業の用に供している匿名加工情報取扱事業者が遵守する義務等（※）】• 匿名加工情報を第三者提供するときは、提供する情報の項目及び提供方法について公表するとともに、提供先に当該情報が匿名加工情報である旨を明示しなければならない。（法第 44 条）＜3-2-5（匿名加工情報の第三者提供）参照＞• 匿名加工情報を利用するときは、元の個人情報に係る本人を識別する目的で、加工方法等の情報を取得し、又は他の情報と照合することを行ってはならない。（法第45 条）＜3-2-6（識別行為の禁止）参照＞• 匿名加工情報の適正な取扱いを確保するため、安全管理措置、苦情の処理などの措置を自主的に講じて、その内容を公表するよう努めなければならない。（法第 46条）＜3-2-3（匿名加工情報等の安全管理措置等）参照＞（※）匿名加工情報データベース等を事業の用に供する者は匿名加工情報取扱事業者に該当する。ただし、個人情報取扱事業者が自ら個人情報を加工して作成した匿名加
工情報については、法第 44 条から第 46 条までの適用対象から除外されており、法第43 条第 4 項から第 6 項までの規定が適用される。

－ 認定個人情報保護団体としての考え方及び例示 － (3-12-1 関係)
匿名加工情報の取扱いに関し、「ガイドライン」で明らかにされている法の要請を、電気通信事業者が匿名加工情報を作成する場合と、匿名加工情報を取り扱う場合とに分けて整理したのが図表 8 である。

259

電気通信事業における個人情報保護指針

電気通信事業者が匿名加工情報を作成する場合に課せられる義務

1. 適正な加工（法第 43 条第 1 項）
2. 安全管理措置（法第 43 条第 2 項）
3. 含まれる情報項目の公表（第 43 条第3 項）
4. 第三者提供時の公表（法第 43 条第4 項）
5. 照合の禁止（法第 43 条第 5 項）
6. 自ら利用する場合の公表（法第 43 条
第 6 項）(努力義務)

電気通信事業者が匿名加工情報を取り扱う場合に課せられる義務

1. 第三者提供時の公表（法第 44 条）
2. 照合の禁止（法第 45 条）
3. 安全管理措置（法第 46 条）(努力義務)

図表 8
なお、電気通信事業者が匿名加工情報の作成等を行う情報の例として、位置情報が想定される。電気通信事業者が取り扱う位置情報については、通信の秘密に該当する位置情報と通信の秘密に該当しない位置情報がある。
通信の秘密に該当する位置情報については、あらかじめ利用者の同意を得ている場
合または違法性阻却事由がある場合を除いて、他人への提供その他の利用をすることができない。そのため、通信の秘密に該当する位置情報を匿名化して利用する場合は、通信の秘密の保護の観点から、当該位置情報と個別の通信とを紐付けることができないよう十分な匿名化を行い、かつ匿名化して利用することについてあらかじめ利用者の同意を得ることが求められる（※）。
他方、通信の秘密に該当しない位置情報であっても、そのプライバシー保護の必要性の高さ及び通信との密接な関係性に鑑み、強く保護することが適当である（本指 54-1 位置情報の利用（第 40 条第 2 項関係）を参照）。通信の秘密に該当しない位置情報の匿名加工情報の作成等においては、通信の秘密に該当する位置情報における十分な匿名化の水準は求められていないが、契約者情報又は高精度の位置情報を用いた匿名加工情報において、十分な匿名化に準じた水準で行うことは、プライバシ
ー保護の観点からは有効であり、望ましい。
また、電気通信事業者が通信の秘密に該当しない位置情報の匿名加工情報を作成する場合においては、本人からの申し出に応じて、匿名加工情報への当該位置情報の利用を停止できるようにすることが望ましい。その際、当該申し出は、本人が、ウェブサイ
トや電話等により容易に行うことができるように努めなければならない。
Draft（※）通信の秘密に該当する位置情報の匿名化の手法については、電気通信事業法の観点から、別途、電気通信事業者の自主的なガイドライン（「電気通信事業における「十分な匿名化」に関するガイドライン」（事務局：（一財）日本データ通信協会）が定められた。

260

電気通信事業における個人情報保護指針

3-12-2 匿名加工情報の適正な加工（ガイドライン第 33 条第 1 項関係）
3-13 業者等の義務（ガイドライン第 33 条～第 36 条関係）
3-13-1 事業者の義務等

法第 43 条（第 1 項）
1

個人情報取扱事業者は、匿名加工情報（匿名加工情報データベース等を構成す
るものに限る。以下この章及び第 6 章において同じ。）を作成するときは、特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、当該個人情報を加工しなければならない。

ガイドライン第 33 条（第 1 項）
1

電気通信事業者は、匿名加工情報（匿名加工情報データベース等を構成するものに限る。以下同じ。）を作成するときは、特定の個人を識別すること及びその作成に用いる個
人情報を復元することができないようにするために必要なものとして次に定める基準に従い、当該個人情報を加工しなければならない。
(1) 個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること（当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
(2) 個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
(3) 個人情報と当該個人情報に措置を講じて得られる情報とを連結する符号（現に電気通信事業者において取り扱う情報を相互に連結する符号に限る。）を削除すること（当該符号を復元することのできる規則性を有しない方法により当該個人情報と当該個人情報に措置を講じて得られる情報を連結することができない符号に置き換えることを含む。）。
(4) 特異な記述等を削除すること（当該特異な記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
(5) 前各号に掲げる措置のほか、個人情報に含まれる記述等と当該個人情報を含む個
人情報データベース等を構成する他の個人情報に含まれる記述等との差異その他の当該個人情報データベース等の性質を勘案し、その結果を踏まえて適切な措置を講ずること。
「個人情報保護に関する法律についてのガイドライン(仮名・匿名)」より≪同ガイドライン「3-2-2 匿名加工情報の適正な加工（法第 43 条第 1 項関係）」から引用≫
個人情報取扱事業者は、匿名加工情報（匿名加工情報データベース等を構成す
るものに限る（※1）。以下同じ。）を作成するとき（※2）は、特定の個人を識別できない
261

電気通信事業における個人情報保護指針

ように、かつ、その作成に用いる個人情報を復元できないようにするために、規則第34 条各号に定める基準に従って、当該個人情報を加工しなければならない。なお、「個人情報保護委員会規則で定める基準に従い、当該個人情報を加工」するためには、加工する情報の性質に応じて、規則第 34 条各号に定める加工基準を満たす必要がある。
（※1）匿名加工情報の取扱いに係る義務（法第 43 条から第 46 条まで）は、匿名加
工情報データベース等を構成する匿名加工情報に課されるものであり、いわゆる散在情報となる、匿名加工情報データベース等を構成しない匿名加工情報の取扱いに係る義務は課されていない。
（※2）「作成するとき」は、匿名加工情報として取り扱うために、当該匿名加工情報を作成するときのことを指す。したがって、例えば、安全管理措置の一環として氏名等の一部の個人情報を削除（又は他の記述等に置き換え）した上で引き続き個人情報として取り扱う場合、あるいは統計情報を作成するために個人情報を加工する場合等については、匿名加工情報を「作成するとき」には該当しない。
（参考）
規則 34 条
法第 43 条第 1 項の個人情報保護委員会規則で定める基準は、次のとおりとす
る。
Draft

(1) 個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること（当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
(2) 個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
(3) 個人情報と当該個人情報に措置を講じて得られる情報とを連結する符号（現に個人情報取扱事業者において取り扱う情報を相互に連結する符号に限る。）を削除すること（当該符号を復元することのできる規則性を有しない方法により当該個人情報と当該個人情報に措置を講じて得られる情報を連結することができない符号に置き換えることを含む。）。
(4) 特異な記述等を削除すること（当該特異な記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
(5) 前各号に掲げる措置のほか、個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等との差
異その他の当該個人情報データベース等の性質を勘案し、その結果を踏まえて適切な措置を講ずること。

262

電気通信事業における個人情報保護指針

3-13-1-1 特定の個人を識別することができる記述等の削除(ガイドライン第 28 条第 1 項

第 1 号)「個人情報の保護に関する法律についてのガイドライン(仮名・匿名加工情報編)」より≪同ガイドライン「3-2-2 匿名加工情報の適正な加工（法第 43 条第 1 項関係）」から引用≫
個人情報取扱事業者が取り扱う個人情報には、一般に、氏名、住所、生年月日、
性別の他、様々な個人に関する記述等が含まれている。これらの記述等は、氏名のようにその情報単体で特定の個人を識別することができるもののほか、住所、生年月日など、これらの記述等が合わさることによって特定の個人を識別することができるものもある。このような特定の個人を識別できる記述等から全部又はその一部を削除するあるいは他の記述等に置き換えることによって、特定の個人を識別することができないよう加工しなければならない。
なお、他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない方法でなければならない（※）。例えば、生年月日の情報を生年の情報に置き換える場合のように、元の記述等をより抽象的な記述に置き換えることも考えられる。
【想定される加工の事例】
事例 1）氏名、住所、生年月日が含まれる個人情報を加工する場合に次の 1 から 3までの措置を講ずる。
1)氏名を削除する。
2)住所を削除する。又は、○○県△△市に置き換える。
3)生年月日を削除する。又は、日を削除し、生年月に置き換える。
事例 2）会員 ID、氏名、住所、電話番号が含まれる個人情報を加工する場合に次の 1、2 の措置を講ずる。
1)会員 ID、氏名、電話番号を削除する。
2)住所を削除する。又は、○○県△△市に置き換える。
（※）仮 ID を付す場合には、元の記述を復元することのできる規則性を有しない方法でなければならない。
例えば、仮にハッシュ関数等を用いて氏名・住所・連絡先・クレジットカード番
号のように個々人に固有の記述等から仮 ID を生成しようとする際、元の記述に同じ関数を単純に用いると元となる記述等を復元することができる規則性を有することとなる可能性がある場合には、元の記述（例えば、氏名＋連絡先）に乱数等の他の記述を加えた上でハッシュ関数等を用いるなどの手法を検討することが考えられる。なお、乱数等の他の記述等を加えた上でハッシュ関数等を用いるなどの手法を用いる場合、匿名加工情報の作成後に、仮 ID への置き換え
263

電気通信事業における個人情報保護指針に用いたハッシュ関数等と乱数等の他の記述等の組み合わせを保有し続けることは認められないことについて、3-2-3-1（加工方法等情報の安全管理措置）を参照のこと。

3-13-1-2 個人識別符号の削除(ガイドライン第 28 条第 1 項第 2号)「個人情報保護に関する法律についてのガイドライン(仮名・匿名)」より≪同ガイドライン「3-2-2 匿名加工情報の適正な加工（法第 43 条第 1 項関係）」から引用≫
加工対象となる個人情報が、個人識別符号を含む情報であるときは、当該個人識別
符号単体で特定の個人を識別できるため、当該個人識別符号の全部を削除又は他の記述等へ置き換えて、特定の個人を識別できないようにしなければならない。
なお、他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない方法による必要がある。
（参考）個人識別符号の概要
個人識別符号とは、その情報単体から特定の個人を識別することができるものとして政令で定めるものをいい、次のいずれかに該当するものである（個人識別符号の定義の詳細については、通則ガイドライン「2-2（個人識別符号）」参照）。
（1）特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した符号
o 生体情報（DNA、顔、虹彩、声紋、歩行の態様、手指の静脈、指紋・掌紋）をデジタ
ルデータに変換したもののうち、特定の個人を識別するに足りるものとして規則で定める基準に適合するもの（政令第 1 条第 1 号及び規則第 2 条）
（2）対象者ごとに異なるものとなるように役務の利用、商品の購入又は書類に付される符号o 旅券番号、基礎年金番号、免許証番号、住民票コード、マイナンバー、各種保険証の番号等の公的機関が割り振る番号（政令第 1 条第 2 号から第 8 号まで、規則
第 3 条及び第 4 条）
Draft

3-13-1-3 情報を相互に連結する符号の削除(ガイドライン第 28 条第 1 項第 3号)「個人情報保護に関する法律についてのガイドライン(仮名・匿名)」より≪同ガイドライン「3-2-2 匿名加工情報の適正な加工（法第 43 条第 1 項関係）」から引用≫
個人情報取扱事業者が個人情報を取り扱う上で、例えば、安全管理の観点から取得
した個人情報を分散管理等しようとするために、当該個人情報を分割あるいは全部又は一部を複製等した上で、当該個人情報に措置を講じて得られる情報を個人情報と相互264

電気通信事業における個人情報保護指針に連結するための符号として ID 等を付していることがある。このような ID は、個人情報と当該個人情報に措置を講じて得られる情報を連結するために用いられるものであり、特定の個人の識別又は元の個人情報の復元につながり得ることから、加工対象となる個人情報から削除又は他の符号への置き換えを行わなければならない。
個人情報と当該個人情報に措置を講じて得られる情報を連結する符号のうち、「現に個人情報取扱事業者において取り扱う情報（※1）を相互に連結する符号」がここでの加工対象となる。具体的には、ここで対象となる符号は、匿名加工情報を作成しようとする
時点において、実際に取り扱う情報を相互に連結するように利用されているものが該当する。例えば、分散管理のための ID として実際に使われているものであれば、管理用に附番された ID あるいは電話番号等もこれに該当する。
なお、他の符号に置き換える場合は、元の符号を復元できる規則性を有しない方法
でなければならない。
【想定される加工の事例】
事例 1）サービス会員の情報について、氏名等の基本的な情報と購買履歴を分散管理し、それらを管理用 ID を付すことにより連結している場合、その管理用
ID を削除する。
事例 2）委託先へ個人情報の一部を提供する際に利用するために、管理用 ID を付すことにより元の個人情報と提供用に作成した情報を連結している場合、当該管理用 ID を仮 ID（※2）に置き換える。
（※1）「現に個人情報取扱事業者において取り扱う情報」とは、匿名加工情報を作成する時点において取り扱われている情報のことを指し、これから作成する匿名加
工情報は含まれない。
（※2）仮 ID を付す際の注意点については、3-2-2-1（特定の個人を識別することができる記述等の削除）の（※）を参照のこと。

3-13-1-4 特異な記述等の削除(ガイドライン第 28 条第 1 項第 4号)「個人情報保護に関する法律についてのガイドライン(仮名・匿名)」より≪同ガイドライン「3-2-2 匿名加工情報の適正な加工（法第 43 条第 1 項関係）」から引用≫
一般的にみて、珍しい事実に関する記述等又は他の個人と著しい差異が認められる記述等については、特定の個人の識別又は元の個人情報の復元につながるおそれがあるものである。そのため、匿名加工情報を作成するに当たっては、特異な記述等について削除又は他の記述等への置き換えを行わなければならない。
ここでいう「特異な記述等」とは、特異であるがために特定の個人を識別できる記述等に至り得るものを指すものであり、他の個人と異なるものであっても特定の個人の識265

電気通信事業における個人情報保護指針

別にはつながり得ないものは該当しない。実際にどのような記述等が特異であるかどうかは、情報の性質等を勘案して、個別の事例ごとに客観的に判断する必要がある。
他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない方法
による必要がある。例えば、特異な記述等をより一般的な記述等に置き換える方法もあり得る。
なお、規則第 34 条第 4 号の対象には、一般的なあらゆる場面において特異であると社会通念上認められる記述等が該当する。他方、加工対象となる個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等とで著しい差異がある場合など個人情報データベース等の性質によるものは同第 5 号において必要な措置が求められることとなる。
【想定される加工の事例】
事例 1）症例数の極めて少ない病歴を削除する。
事例 2）年齢が「116 歳」という情報を「90 歳以上」に置き換える。

3-13-1-5 個人情報データベース等の性質を踏まえたその他の措置(ガイドライン第 28 条

第 1 項第 5 号)
「個人情報保護に関する法律についてのガイドライン(仮名・匿名)」より
Draft≪同ガイドライン「3-2-2 匿名加工情報の適正な加工（法第 43 条第 1 項関係）」から引用≫
匿名加工情報を作成する際には、規則第 34 条第 1 号から第 4 号までの措置をまず講ずることで、特定の個人を識別できず、かつ当該個人情報に復元できないものとする必要がある。
しかしながら、加工対象となる個人情報に含まれる記述等と当該個人情報を含む個
人情報データベース等を構成する他の個人情報に含まれる記述等とで著しい差異がある場合など、加工の元となる個人情報データベース等の性質によっては、規則第 34
条第 1 号から第 4 号までの加工を施した情報であっても、一般的にみて、特定の個人を識別することが可能である状態あるいは元の個人情報を復元できる状態のままであるといえる場合もあり得る。そのような場合に対応するため、上記の措置のほかに必要となる措置がないかどうか勘案し、必要に応じて、別表 2（匿名加工情報の加工に係る手法例）の手法などにより、適切な措置を講じなければならない。
なお、加工対象となる個人情報データベース等の性質によって加工の対象及び加工の程度は変わり得るため、どの情報をどの程度加工する必要があるかは、加工対象となる個人情報データベース等の性質も勘案して個別具体的に判断する必要がある。
特に、購買履歴、位置に関する情報などを含む個人情報データベース等において反復して行われる行動に関する情報が含まれる場合には、これが蓄積されることにより、個人の行動習慣が分かるような場合があり得る。そのような情報のうち、その情報単体
266

電気通信事業における個人情報保護指針

では特定の個人が識別できるとは言えないものであっても、蓄積されたこと等によって特定の個人の識別又は元の個人情報の復元につながるおそれがある部分については、適切な加工を行わなければならない。
【想定される加工の事例】
事例 1）移動履歴を含む個人情報データベース等を加工の対象とする場合において、自宅や職場などの所在が推定できる位置情報（経度・緯度情報）が含まれており、特定の個人の識別又は元の個人情報の復元につながるおそれがある場合に、推定につながり得る所定範囲の位置情報を削除する。（項目削
除／レコード削除／セル削除）
事例 2）ある小売店の購買履歴を含む個人情報データベース等を加工の対象とする場合において、当該小売店での購入者が極めて限定されている商品の購買履歴が含まれており、特定の個人の識別又は元の個人情報の復元につながるおそれがある場合に、具体的な商品情報（品番・色）を一般的な商品
カテゴリーに置き換える。（一般化）
事例 3）小学校の身体検査の情報を含む個人情報データベース等を加工の対象とする場合において、ある児童の身長が 170 ㎝という他の児童と比べて差異が大きい情報があり、特定の個人の識別又は元の個人情報の復元につながるおそれがある場合に、身長が 150cm 以上の情報について「150 ㎝以上」という情報に置き換える。（トップコーディング）【図表 9】匿名加工情報の加工に係る手法例(※)
手法名

解説

項目削除／レコード削除／
セル削除

加工対象となる個人情報データベース等に含まれる個人情報の記述等を削除するもの。
例えば、年齢のデータを全ての個人情報から削除すること（項目削除）、
特定の個人の情報を全て削除すること（レコード削除）、又は特定の個人の年齢のデータを削除すること(セル削除)。

一般化

加工対象となる情報に含まれる記述等について、上位概念若しくは数値に置き換えること又は数値を四捨五入などして丸めることとするもの。
例えば、購買履歴のデータで「きゅうり」を「野菜」に置き換えること。

トップ（ボトム）コーディング

加工対象となる個人情報データベース等に含まれる数値に対して、特に大きい又は小さい数値をまとめることとするもの。
例えば、年齢に関するデータで、80 歳以上の数値データを「80 歳以上」というデータにまとめること。

ミクロアグリゲーション

加工対象となる個人情報データベース等を構成する個人情報をグルー
プ化した後、グループの代表的な記述等に置き換えることとするもの。

データ交換（スワップ）

加工対象となる個人情報データベース等を構成する個人情報相互に含まれる記述等を(確率的に)入れ替えることとするもの。

ノイズ（誤差）付加

一定の分布に従った乱数的な数値を付加することにより、他の任意の数

267

電気通信事業における個人情報保護指針

値へと置き換えることとするもの。
擬似データ生成

人工的な合成データを作成し、これを加工対象となる個人情報データベース等に含ませることとするもの。

図表 9(※)匿名加工情報の作成に当たっての一般的な加工手法を例示したものであり、その他の手法を用いて適切に加工することを妨げるものではない。

－ 認定個人情報保護団体としての考え方及び例示 － （3-13-1-5 関係：一点鎖線内）
電気通信事業者が取り扱う位置情報は、そのプライバシー保護の必要性の高さ及び通信との密接な関係性に鑑み、強く保護することが適当である（本指針 5-4-1 位置
情報の利用（第 41 条第 2 項関係）を参照）。そのため、通信の秘密に該当しない位置情報を用いた匿名加工情報を作成する際においては、個人情報保護法施行規則第34 条第 5 号に関して、位置情報特有の性質に対処するため、次の 1）～9）に掲げる評価指標による特定の個人が識別されるリスクを定性的に評価し、総合的に判断して、同リスクが十分に低減するよう努めなければならない。なお、必ずしも 1）～9）の全ての評価要素を満たす加工を求めるものではない。
1 ）付帯情報・ 付帯情報によっては、個人を特定する可能性が高まることに配慮して選定・加工することが望ましい。
（対処の例）
Draft➢ 性別であっても、対象とする集団に男女の大きな偏りのあることが想定される
場合は、付帯情報として用いない又は配慮して加工する。
2）場所の特性・ 対象とする位置情報に、自宅、通勤・通学地が含まれる場合は、配慮して加工することが望ましい。
・ 対象とする位置情報に、要配慮個人情報に関わる場所が含まれている場合は、配慮して加工することが望ましい。
（対処の例）➢ 明らかに自宅、通勤・通学先がわかる場合は、これらを除くことが望ましい。
➢ 特定の疾患を対象とする病院に滞留していることが明らかなレコードを、加工対象から除外する。
3）集団の規模
268

電気通信事業における個人情報保護指針

・ 特定の学校・職場や稀少な趣味嗜好等を持つ集団を対象とした場合、集団の規模によっては、特定の個人を識別する可能性が高まるため、集団の規模に配慮して加工することが望ましい。
（対処の例）➢ 特定の趣味嗜好の集団を取り扱う場合、十分な対象者数が得られることを確認する。
4）取得時期の特性
・ 特定のイベントや事件のあった日、時期と一致する可能性がある場合、他の情報を参照することによって、特定の個人を識別する可能性が高まるため、取得時期の特性に配慮して加工することが望ましい。
（対処の例）➢ 大規模集客施設において、特定の宗教のイベントが開催されていることが明らかな場合は、当該期間及び当該施設に該当するレコードを、加工対象から除外する。
5）位置の精度
・ 高い位置精度の情報は、特定の個人を識別する可能性が高い為、適切に精度を低減することが望ましい。人口密度の低いエリアを対象とする場合は、特に配慮することが望ましい。
（対処の例）➢ 位置精度数メートルの緯度・経度情報を、適切な大きさのメッシュ単位の位置情報に変換する。
6）移動履歴の期間・範囲
・ 移動履歴の期間は長くなったり、特定の時間帯を対象としたりする場合は、
次の a)～c)に係るリスクが高くなるため、これらに配慮して加工することが望ましい。
a) パターン性- 定期的に通っている場所、滞留している場所が分かることにより、自宅、通勤・通学地などが推測されて、特定の個人の識別性が高まる。
b) 場所の特性- 「２）場所の特性」を参照。
c) 識別性-

履歴の一意性が高まる。その一意性をもって、直ちに個人を特定することができないとしても、一定の配慮をすることが望ましい。

（対処の例）➢ a)～c)を踏まえ、移動履歴の期間を短くして提供する。同一の事業者に提269

電気通信事業における個人情報保護指針

供する場合は、履歴の期間が重ならないように提供する等の配慮をし、各期間の履歴が結びつかないようにする。
7）時間の精度・間隔・ 時間の精度が高まったり、データを取得する際の時間間隔が短くなったりすると、特定の個人を識別する可能性が高まる。また、詳細な時刻情報は位置情報とセットになることで、異なるデータセット間における共通の識別子として機能し得る。このため、適切に時間の精度を低減したり、間隔を開けたりすることが望ましい。
（対処の例）➢ 秒単位で取得された時間の精度を、15 分単位にまるめる。
8）対象者数・ 加工対象とするデータセットに含まれる対象者数が少ないと、特定の個人を識別する可能性が高まることに配慮して加工することが望ましい。
・ 同一の個人が複数台の携帯端末を所持している場合のあることを想定して、携帯端末台数よりも対象者数が小さくなる可能性のあることに留意することが望ましい。
（対処の例）➢ データを対象者数でカウントして、適切な規模の対象者数を確保する。
Draft

9）データ提供までの期間
・ データを取得してから、匿名加工情報として提供するまでの期間が短い場合
は、他の情報を参照することによって、特定の個人を識別する可能性が高まる
ことに配慮して加工することが望ましい。
（対処の例）➢ 位置情報を取得してから匿名加工情報として提供するまでの期間を、三ヶ月以上確保する。

3-13-2 匿名加工情報等の安全管理措置等（第 33 条第 2 項〜第４項、同条第７項、第36 条関係）3-13-2-1 加工方法等情報の安全管理措置（第 33 条第 2 項〜第４項、第７項、第 36 条）
法第 43 条（第 2 項）
2

個人情報取扱事業者は、匿名加工情報を作成したときは、その作成に用いた個
人情報から削除した記述等及び個人識別符号並びに前項の規定により行った加工の方法に関する情報の漏えいを防止するために必要なものとして個人情報
270電気通信事業における個人情報保護指針

保護委員会規則で定める基準に従い、これらの情報の安全管理のための措置を講じなければならない。
ガイドライン第 33 条（第 2 項〜第４ 項）
2 電気通信事業者は、匿名加工情報を作成したときは、その作成に用いた個人情報から削除した記述等及び個人識別符号並びに前項の規定により行った加工の方法に関する情報の漏えいを防止するために必要なものとして次に定める基準に従い、これらの情報の安全管理のための措置を講じなければならない。
(1) 加工方法等情報（匿名加工情報の作成に用いた個人情報から削除した記述等及び個人識別符号並びに前項の規定により行った加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。）をいう。以下この条において同じ。）を取り扱う者の権限及び責任を明確に定めること。
(2) 加工方法等情報の取扱いに関する規程類を整備し、当該規程類に従って加工方法等情報を適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果に基づき改善を図るために必要な措置を講ずること。
(3) 加工方法等情報を取り扱う正当な権限を有しない者による加工方法等情報の取扱いを防止するために必要かつ適切な措置を講ずること。
3 電気通信事業者は、匿名加工情報を作成したときは、遅滞なく、インターネットの利用その他適切な方法により、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない。
4 電気通信事業者が他の個人情報取扱事業者の委託を受けて匿名加工情報を作成した

場合は、当該他の個人情報取扱事業者が当該匿名加工情報に含まれる個人に関する情報の項目を前項に規定する方法により公表するものとする。この場合においては、当該公表をもって当該電気通信事業者が当該項目を公表したものとみなす。
「個人情報保護に関する法律についてのガイドライン(仮名匿名)」より≪同ガイドライン「3-2-3 匿名加工情報の適正な加工（法第 43 条第 1 項関係）」から引用≫
個人情報取扱事業者は、匿名加工情報を作成したときは、加工方法等情報（その作成に用いた個人情報から削除した記述等及び個人識別符号並びに加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。（※））をいう。以下同じ。）の漏えいを防止するために、規則で定める基準に従い、必要な措置を講じなければならない。
当該措置の内容は、対象となる加工方法等情報が漏えいした場合における復元リスクの大きさを考慮し、当該加工方法等情報の量、性質等に応じた内容としなければならな
いが、具体的に講じなければならない項目及び具体例については、別表 3（加工方法等
情報の安全管理で求められる措置の具体例）を参照のこと。

271

電気通信事業における個人情報保護指針（※）「その情報を用いて当該個人情報を復元することができるもの」には、「年齢のデータを 10 歳刻みのデータに置き換えた」というような復元につながらな
い情報は該当しない。なお、氏名等を仮 ID に置き換えた場合における氏名と仮 ID の対応表は、匿名加工情報と容易に照合することができ、それにより匿名加工情報の作成の元となった個人情報の本人を識別することができるものであることから、匿名加工情報の作成後は破棄しなければならない。また、
匿名加工情報を作成した個人情報取扱事業者が、氏名等の仮 ID への置き換えに用いた置き換えアルゴリズムと乱数等のパラメータの組み合わせを保有している場合には、当該置き換えアルゴリズム及び当該乱数等のパラメー
タを用いて再度同じ置き換えを行うことによって、匿名加工情報とその作成の元となった個人情報とを容易に照合でき、それにより匿名加工情報の作成の元となった個人情報の本人を識別することができることから、匿名加工情報の作成後は、氏名等の仮 ID への置き換えに用いた乱数等のパラメータを破棄しなければならない。
【図表 10】加工方法等情報の安全管理で求められる措置の具体例
講じなければならない措置④ 加工方法等情報を取り扱

具体例•

加工方法等情報の安全管理措置を講ずるための組織体制の整備

う者の権限及び責任の明確化（規則第 35 条第 1 号）

Draft

⑤ 加工方法等情報の取扱•

いに関する規程類の整備 及び当該規程類に従った加工方法等情報の適切な取扱い 並びに加加工方法等情報の取扱いに係る規程等の整備とこれに従った
運用

•
•
•

従業者の教育加工方法等情報の取扱状況を確認する手段の整備
加工方法等情報の取扱状況の把握、安全管理措置の評価、見直し及び改善

工方法等情報の取扱状
況の評価及びその結果に基づき改善を図るために必要な措置の実施（規則第 35 条第 2 項）
⑥ 加工方法等情報を取り扱•

加工方法等情報を取り扱う権限を有しない者による閲覧等のう正当な権限を有しない者による加工方法等情報の取扱いを防止するため••防止
機器、電子媒体等の盗難等の防止
電子媒体等を持ち運ぶ場合の漏えいの防止

•
•
•
•

加工方法等情報の削除並びに機器、電子媒体等の廃棄加工方法等情報へのアクセス制御
加工方法等情報へのアクセス者の識別と認証
外部からの不正アクセス等の防止•

情報システムの使用に伴う加工方法等情報の漏えいの防止に必要かつ適切な措置の実施（規則第 35 条第 3 号）

図表 10

272

電気通信事業における個人情報保護指針（参考）規則第 35 条
法第 43 条第 2 項の個人情報保護委員会規則で定める基準は、次のとおりとする。
(1) 加工方法等情報（匿名加工情報の作成に用いた個人情報から削除した記述等

及び個人識別符号並びに法第 43 条第 1 項の規定により行った加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。）をいう。以下この条において同じ。）を取り扱う者の権限及び責任を明確に定めること。
(2) 加工方法等情報の取扱いに関する規程類を整備し、当該規程類に従って加工方法等情報を適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果に基づき改善を図るために必要な措置を講ずること。
(3) 加工方法等情報を取り扱う正当な権限を有しない者による加工方法等情報の取扱いを防止するために必要かつ適切な措置を講ずること。

3-13-2-2 匿名加工情報の安全管理措置等（ガイドライン第 36 条関係）

法第 43 条（第６項）
6

個人情報取扱事業者は、匿名加工情報を作成したときは、当該匿名加工情報の安全管理のために必要かつ適切な措置、当該匿名加工情報の作成その他の取扱いに関する苦情の処理その他の当該匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。

法第 46 条
匿名加工情報取扱事業者は、匿名加工情報の安全管理のために必要かつ適切な措置、匿名加工情報の取扱いに関する苦情の処理その他の匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
ガイドライン 36 条
匿名加工情報取扱事業者である電気通信事業者は、匿名加工情報の安全管理のために必要かつ適切な措置、匿名加工情報の取扱いに関する苦情の処理その他の匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
「個人情報保護に関する法律についてのガイドライン(仮名・匿名)」より

273

電気通信事業における個人情報保護指針≪同ガイドライン「3-2-3 匿名加工情報の適正な加工（法第 43 条第 1 項関係）」から引
用≫
個人情報取扱事業者又は匿名加工情報取扱事業者は、匿名加工情報の安全管理措
置、苦情処理等の匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
当該安全管理等の措置については、個人情報と同様の取扱いを求めるものではないが、例えば、法第 23 条から第 25 条までに定める個人データの安全管理、従業者の監督及び委託先の監督並びに法第 40 条に定める個人情報の取扱いに関する苦情の処理で求められる措置の例（※）を参考にすることも考えられる。具体的には、事業の性質、
匿名加工情報の取扱状況、取り扱う匿名加工情報の性質、量等に応じて、合理的かつ適切な措置を講ずることが望ましい。
なお、匿名加工情報には識別行為の禁止義務が課されていることから、匿名加工情報を取り扱うに当たっては、それを取り扱う者が不適正な取扱いをすることがないよう、匿名加工情報に該当することを明確に認識できるようにしておくことが重要である。そのため、作成した匿名加工情報について、匿名加工情報を取り扱う者にとってその情報が匿
名加工情報である旨が一見して明らかな状態にしておくことが望ましい。
（※）詳細は、通則ガイドライン「3-4-2（安全管理措置）、3-4-3（従業者の監督）、34-4（委託先の監督）、3-9（個人情報の取扱いに関する苦情処理）」を参照のこ
と。
Draft

3-13-3 匿名加工情報の作成時の公表（ガイドライン第 33 条第７項関係）法第 43 条（第 3 項）
個人情報取扱事業者は、匿名加工情報を作成したときは、個人情報保護委員会
規則で定めるところにより、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない。
３

ガイドライン３３条（第 7 項）
７ 電気通信事業者は、匿名加工情報を作成したときは、当該匿名加工情報の安全管理のために必要かつ適切な措置、当該匿名加工情報の作成その他の取扱いに関する苦情の処理その他の当該匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
「個人情報保護に関する法律についてのガイドライン(仮名・匿名)」より≪同ガイドライン「3-2-4 匿名加工情報の作成時の公表（法第 43 条第 3 項関係）から引用≫

274

電気通信事業における個人情報保護指針

個人情報取扱事業者は、匿名加工情報を作成したとき（※1）は、匿名加工情報の作成後遅滞なく（※2）、インターネット等を利用し、当該匿名加工情報に含まれる個人に関する情報の項目を公表（※3）しなければならない。
また、個人に関する情報の項目が同じである匿名加工情報を同じ手法により反復・継続的に作成する場合には、最初の匿名加工情報を作成して個人に関する項目を公表する際に、作成期間又は継続的な作成を予定している旨を明記するなど継続的に作成されることとなる旨を明らかにしておくことにより、その後に作成される匿名加工情報に係る公表については先の公表により行われたものと解される。
なお、他の個人情報取扱事業者との委託契約により個人データの提供を受けて匿名
加工情報を作成する場合など委託により匿名加工情報を作成する場合は、委託元において当該匿名加工情報に含まれる個人に関する情報の項目を公表するものとする。
【個人に関する情報の項目の事例】
事例）「氏名・性別・生年月日・購買履歴」のうち、氏名を削除した上で、生年月日の一般化、購買履歴から特異値等を削除する等加工して、「性別・生年・購買履歴」に関する匿名加工情報として作成した場合の公表項目は、「性別」、「生年」、「購買履歴」である。
（※1）ここで「匿名加工情報を作成したとき」とは、匿名加工情報として取り扱うために、
個人情報を加工する作業が完了した場合のことを意味する。すなわち、あくまで個人情報の安全管理措置の一環として一部の情報を削除しあるいは分割して保存・管理する等の加工をする場合又は個人情報から統計情報を作成するために個人情報を加工する場合等を含むものではない。 また、匿名加工情報を作成するために個人情報の加工をする作業を行っている途上であるものの作成作業が完了していない場合には、加工が不十分であること等から匿名加工情報として取り扱うことが適切ではない可能性もあるため「匿名加工情報を作成したとき」とは位置付けられない。
（※2）ここでの「遅滞なく」とは、正当かつ合理的な期間であれば公表が匿名加工情報を作成した直後でなくても認められることを意味する。ただし、少なくとも匿名加工
情報の利用又は第三者提供をする前に匿名加工情報を作成したことを一般に十分に知らせるに足る期間を確保するものでなければならない。許容される具体的な期間は、業種及びビジネスの態様によっても異なり得るため、個別具体的に判断する必要がある。
（※3）「公表」とは、広く一般に自己の意思を知らせること（不特定多数の人々が知ることができるように発表すること）をいう。詳細は、通則ガイドライン「2-15（公表）」を参照のこと。
（参考）
規則第 36 条275

電気通信事業における個人情報保護指針

1

法第 43 条第 3 項の規定による公表は、匿名加工情報を作成した後、遅滞なく、インターネットの利用その他の適切な方法により行うものとする。

2

個人情報取扱事業者が他の個人情報取扱事業者の委託を受けて匿名加工
情報を作成した場合は、当該他の個人情報取扱事業者が当該匿名加工情報に含まれる個人に関する情報の項目を前項に規定する方法により公表するものとする。この場合においては、当該公表をもって当該個人情報取扱事業者が当該項目を公表したものとみなす。

3-13-4 匿名加工情報の第三者提供（ガイドライン第 33 条第 5 項、第 34 条関係）

法第 43 条（第 4 項）
4 個人情報取扱事業者は、匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは、個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。
法第 44 条
匿名加工情報取扱事業者は、匿名加工情報（自ら個人情報を加工して作成したものを除く。以下この節において同じ。）を第三者に提供するときは、個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。
Draft

ガイドライン第 33 条（第 5 項）
5

電気通信事業者は、匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは、インターネットの利用その他の適切な方法により、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である
旨を電子メールを送信する方法又は書面を交付する方法その他の適切な方法により明示しなければならない。

ガイドライン第 34 条
匿名加工情報取扱事業者である電気通信事業者は、匿名加工情報（自ら個人情報を加工して作成したものを除く。以下この章において同じ。）を第三者に提供するときは、イ
ンターネットの利用その他の適切な方法により、あらかじめ、第三者に提供される匿名加
工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を電子メールを276

電気通信事業における個人情報保護指針

送信する方法又は書面を交付する方法その他の適切な方法により明示しなければならない。
（参考）
規則第 37 条
1 法第 43 条第 4 項の規定による公表は、インターネットの利用その他の適切な方法により行うものとする。
2 法第 43 条第 4 項の規定による明示は、電子メールを送信する方法又は書面を交付する方法その他の適切な方法により行うものとする。
規則第 38 条
1 前条第 1 項の規定は、法第 44 条の規定による公表について準用する。
2 前条第 2 項の規定は、法第 44 条の規定による明示について準用する。

「個人情報保護に関する法律についてのガイドライン(匿名)」より≪同ガイドライン「3-2-5 匿名加工情報の第三者提供（法第 43 条第 4 項、第 44 条関係）」から引用≫
個人情報取扱事業者又は匿名加工情報取扱事業者は、匿名加工情報を第三者に提供（※1）するときは、提供に当たりあらかじめ（※2）、インターネット等を利用し、次の（1）及び（2）に掲げる事項を公表（※3）するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を電子メール又は書面等により明示（※4）しなけ
ればならない。
また、個人に関する情報の項目及び加工方法が同じである匿名加工情報を反復・継続的に第三者へ同じ方法により提供する場合には、最初に匿名加工情報を第三者提供するときに個人に関する項目を公表する際に、提供期間又は継続的な提供を予定している旨を明記するなど継続的に提供されることとなる旨を明らかにしておくことにより、その後に第三者に提供される匿名加工情報に係る公表については先の公表により行われたものと解される。
なお、匿名加工情報をインターネット等で公開する行為についても不特定多数への第三者提供に当たるため、上記義務を履行する必要がある。
(1)第三者に提供する匿名加工情報に含まれる個人に関する情報の項目事例）「氏名・性別・生年月日・購買履歴」のうち、氏名を削除した上で、生年月日の一般化、購買履歴から特異値等を削除する等加工して、「性別・生年・購買履歴」に関する匿名加工情報として作成して第三者提供する場合の公表項
目は、「性別」、「生年」、「購買履歴」である。
(2)匿名加工情報の提供の方法
277

電気通信事業における個人情報保護指針

事例 1）ハードコピーを郵送
事例 2）第三者が匿名加工情報を利用できるようサーバにアップロード（※1）「提供」とは、匿名加工情報を第三者が利用可能な状態に置くことをいう。匿
名加工情報が物理的に提供されていない場合であっても、ネットワーク等を利用することにより、第三者が匿名加工情報を利用できる状態にあれば（利用する権限が与えられていれば）、「提供」に当たる。
（※2）「あらかじめ」の期間については、匿名加工情報を第三者に提供することを一般に十分に知らせるに足る期間を確保するものでなければならない。具体的な期間については、業種及びビジネスの様態によっても異なり得るため、個別具体的に判断する必要がある。
（※3）「公表」とは、広く一般に自己の意思を知らせること（不特定多数の人々が知ることができるように発表すること）をいう。詳細は、通則ガイドライン「2-15（公表）」を参照のこと。
（※4）「明示」とは、第三者に対し、提供する情報が匿名加工情報であることを明確に示すことをいう。明示の方法については、規則第 37 条第 2 項で定められているとおり、事業の性質、匿名加工情報の取扱状況等に応じ、電子メールを送信する方法又は書面を交付する方法など適切な方法により、その内容が当該第三者に認識されるものである必要がある。
Draft

3-13-5 識別行為の禁止（ガイドライン第 33 条第 6 項、第 35 条関係）

法第 43 条（第 5 項）
5

個人情報取扱事業者は、匿名加工情報を作成して自ら当該匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該匿名加工情報を他の情報と照合してはならない。

法第 45 条
匿名加工情報取扱事業者は、匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該個人情報から削除された記述等若しくは個人識別符号若しく は第 43 条第 1 項
若しくは第 116 条第 1 項(同条第 2 項において準用する 場合を含む。)の規定により行われた加工の方法に関する情報を取得し、又は当該匿名加工情報を他の情報と照合してはならない。
ガイドライン第 33 条（第 6 項）
6

電気通信事業者は、匿名加工情報を作成して自ら当該匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識
278

電気通信事業における個人情報保護指針

別するために、当該匿名加工情報を他の情報と照合してはならない。
ガイドライン第 35 条
匿名加工情報取扱事業者である電気通信事業者は、匿名加工情報を取り扱うに当
たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該個人情報から削除された記述等若しく は個人識別符号若しくは第 33 条第1 項若しくは法第 116 条第 1 項(同条 第 2 項において準用する場合を含む。)の規定により行われた加工の方法に関する情報を取得し、又は当該匿名加工情報を他の情報と照合してはならない。
「個人情報保護に関する法律についてのガイドライン(仮名・匿名)」より≪同ガイドライン「3-2-6 識別行為の禁止」（法第４3 条第 5 項、第 45 条関係）から引用≫
匿名加工情報を取り扱う場合（※1）には、当該匿名加工情報の作成の元となった個人
情報の本人を識別する目的で、それぞれ次の行為を行ってはならない。
（1）個人情報取扱事業者が自ら作成した匿名加工情報を取り扱う場合
・自らが作成した匿名加工情報を、本人を識別するために他の情報（※2）と照合すること。
（2）匿名加工情報取扱事業者が他者の作成した匿名加工情報を取り扱う場合・受領した匿名加工情報又は行政機関等匿名加工情報（※3）の加工方法等情報を取得すること。
・受領した匿名加工情報を、本人を識別するために他の情報（※2）と照合すること。
【識別行為に当たらない取扱いの事例】
事例 1）複数の匿名加工情報を組み合わせて統計情報を作成すること。
事例 2）匿名加工情報を個人と関係のない情報（例：気象情報、交通情報、金融商
品等の取引高）とともに傾向を統計的に分析すること。
【識別行為に当たる取扱いの事例】
事例 1）保有する個人情報と匿名加工情報について、共通する記述等を選別してこれらを照合すること。
事例 2）自ら作成した匿名加工情報を、当該匿名加工情報の作成の元となった個人情報と照合すること。
（※1）匿名加工情報については、当該匿名加工情報の作成の元となった個人情報の本
人を識別する目的のために他の情報と照合することが禁止されている。一方、個人情報として利用目的の範囲内で取り扱う場合に照合を禁止するものではない。
279

電気通信事業における個人情報保護指針（※2）「他の情報」に限定はなく、本人を識別する目的をもって行う行為であれば、個人情報、個人関連情報、仮名加工情報及び匿名加工情報を含む情報全般と照合する行為が禁止される。また、具体的にどのような技術又は手法を用いて照合するかは問わない。
（※3）「行政機関等匿名加工情報」とは、法第 60 条第 3 項に定めるものを指す。なお、この情報は匿名加工情報に包含される概念であることから、この情報を取り扱う事業者は、匿名加工情報取扱事業者に係る規律の対象となるものである。
＜参考＞
仮名加工情報と匿名加工情報の取扱いに関する主な規律の差異（概要）【図表 11】
仮名加工情報

匿名加工情報加工に関する規律

・規則第 31 条に定める加工基準に従った加工 （法第 41 条第 1 項）

・規則第 34 条に定める加工基準に従った加工 （法第 43 条第 1 項）

安全管理
に関する
規律

・削除情報等の安全管理措置（法第 41 条第 2 項）
・仮名加工情報の安全管理措置

・加工方法等情報の安全管理措置（法第 43 条第 2 項）
・匿名加工情報の安全管理措置（努力義務）（法第 23 条、第 42 条第 3 項）

（法第 43 条第 6 項、第 46 条）

作成時の
公表に関

・利用目的の公表（法第 41 条第 4 項）

する規律

※利用目的を変更した場合には、変更後の利用目的について公表義務あり

提供に関
する規律

・第三者提供の原則禁止（法第 41 条第 6 項、第 42 条第 1 項・第 2項）

・本人同意なく第三者提供可能
・提供時に、匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法の公※法令に基づく場合又は委託、事業承継
若しくは共同利用による例外あり

表、並びに匿名加工情報である旨の提供先に対する明示（法第 43 条第 4 項、第 44 条）

・識別行為の禁止（法第 41 条第 7 項、第 42 条第 3 項）
・本人への連絡等の禁止

・識別行為の禁止（法第 43 条第 5 項、第 45 条）
・苦情処理（努力義務）（法第 41 条第 8 項、第 42 条第 3 項）
・利用目的の制限（法第 41 条第 3 項）

（法第 43 条第 6 項、第 46 条）

利用に関
する規律

・匿名加工情報に含まれる個人に関する情報の項目の公表 （法第 43 条第 3 項）
Draft

※利用目的の変更は可能（法第 41 条第 9項）
・利用目的達成時の消去（努力義務）（法第 41 条第 5 項）
・苦情処理（努力義務）（法第 40 条、第 42 条第 3 項）

図表 11
280

電気通信事業における個人情報保護指針

４. 学術研究機関等の責務

281

電気通信事業における個人情報保護指針

4. 学術研究機関等の責務
4-1 電気通信事業者等（ガイドライン第 37 条関係）

法第 59 条
個人情報取扱事業者である学術研究機関等は、学術研究目的で行う個人情報の取扱いについて、この法律の規定を遵守するとともに、その適正を確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
ガイドライン第 37 条
電気通信事業者である学術研究機関等は、学術研究目的で行う個人情報の取扱い
37jy条
について、本ガイドラインの規定を遵守するとともに、その適正を確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。

学術研究機関等(※1)が学術研究目的(※2)で個人情報を取り扱う場合には、当該個人情報の取扱いについて、この法律を遵守するとともに、学術研究機関等について法律の特例が設けられているものも含め、安全管理措置、苦情処理等、個人情報等の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
この点、個人情報の利用、取得及び提供に係る規律のうち、個人情報の目的外利用の制限(第 5 条)、要配慮個人情報の取得(第 8 条第 2 項)及び第三者提供の制限(第17 条)に関しては、学術研究機関等が学術研究目的で取り扱う必要がある場合について、本人又は第三者の権利利益を不当に侵害するおそれがない場合に限って、事前の本人同意を要しない等の特例が設けられている(※3)。
一方で、個人情報の利用、取得及び提供に係る規律であっても、利用目的の特定(第4 条)、不適正利用の禁止(第 6 条)、適正な取得(第 8 条 第 1 項)、利用目的の通知(第9 条)及びデータ内容の正確性の確保(第 10 条)については、他の個人情報取扱事業者である電気通信事業者と同様の規律が電気通信事業者である学術研究機関等にも適用されることになる。
また、個人データの安全管理措置に係る規律(第 12 条から第 16 条まで)、保有個人
データの開示、訂正等及び利用停止等の請求に係る規律 (第 23 条から第 30 条まで)、
仮名加工情報取扱事業者等の義務(第 31 条及び第 32 条)、匿名加工情報取扱事業者等の義務(第 33 条から第 36 条まで)及び民間団体による個人情報の保護の推進に係る規定(法第 4 章第 5 節)についても、他の個人情報取扱事業者等である電気通信事業者と同様の規律が電気通信事業者である学術研究機関等にも適用されることになる。
Draft(※1)「学術研究機関等」については、2-19(学術研究機関等)を参照のこと。
(※2)「学術研究目的」については、2-20(学術研究的)を参照のこと。

282

電気通信事業における個人情報保護指針(※3)各規定に関する例外規定については、3-1-6(利用目的による制限の例外)、33-3(要配慮個人情報の取得)及び 3-7-1(第三者提供の制限の原則)を参照のこと。

4-2 学術研究機関等による自主規範の策定・公表

法第 149 条(第 1 項)
1 委員会は、前三条の規定により個人情報取扱事業者等に対し報告若しくは資料の提出の要求、立入検査、指導、助言、勧告又は命令を行うに当たっては、表現の自由、学問の自由、信教の自由及び政治活動の自由を妨げてはならない。
大学の自治を始めとする学術研究機関等の自律性に鑑みれば、学術研究機関等の自律的な判断を原則として尊重する必要があると考えられる。このため、学術研究機関等が、個人情報を利用した研究の適正な実施のための自主規範を単独又は共同して策定・公表した場合であって、当該自主規範の内容が個人の権利利益の保護の観点から適切であり、その取扱いが当該自主規範にのっとっているときは、法第 149 条第 1 項の趣旨を踏まえ、個人情報保護委員会は、これを尊重する。
ただし、自主規範にのっとった個人情報の取扱いであっても、本人の権利利益を不当に侵害するおそれがある場合には、原則として、個人情報保護委員会は、その監督権限を行
使する。

283

電気通信事業における個人情報保護指針

5. 各種情報の取り扱い

Draft

284

電気通信事業における個人情報保護指針

5. 各種情報の取扱い（ガイドライン第 3 章関係）
5-1 通信履歴の記録（ガイドライン第 38 条関係）
5-1-1 通信履歴の記録（ガイドライン第 38 条第 1 項関係）

ガイドライン第 38 条(第 1 項)
1 電気通信事業者は、通信履歴（利用者が電気通信を利用した日時、当該電気通信の相手方その他の利用者の電気通信に係る情報であって当該電気通信の内容以外のものをいう。以下同じ。）については、課金、料金請求、苦情対応、不正利用の防止その他の業務の遂行上必要な場合に限り、記録することができる。

通信履歴は、通信の構成要素であり、通信の秘密として保護され、これを記録することも通信の秘密の侵害に該当し得る。しかし、課金、料金請求、苦情対応、自己の管理するシステムの安全性の確保その他の業務の遂行上必要な場合には、必要最小限度の通信履歴を記録することは、少なくとも正当業務行為として違法性が阻却されることか
ら、記録することができる。
利用明細（第 39 条第 1 項参照）の作成に必要な限度で通信履歴を記録・保存する
ことは、利用料金を正しく算定し、加入者に対して料金請求の根拠を示し得るようにするという点で、債権者たる電気通信事業者の当然の権利であるから、電気通信事業者は、加入者の同意がなくとも、正当業務行為として、利用明細作成に必要な限度の通信履
歴を記録・保存することができる。
なお、発信者を探知するための通信履歴の解析は、目的外利用であるばかりでなく通信の秘密の侵害となることから、裁判官の発付した令状に従う場合、正当業務行為に該当する場合その他の違法性阻却事由がある場合でなければ行うことはできない。
【正当業務行為として違法性が阻却される事例】
事例）インターネットのホームページ等の公然性を有する通信において、違法・有害情報が掲載され、その発信者に警告を行わないと自己のサービス提供に支障を生じる場合（自己のサービスドメインからの通信がアクセス制限される場
合等）に、発信者を特定して警告等を行う目的で、自己が保有する通信履歴などから発信者を探知すること。
いったん記録した通信履歴は、記録目的の達成に必要最小限の範囲内で保存期間を設定し、保存期間が経過したときは速やかに通信履歴を消去（通信の秘密に該当する情報を消去することに加え、該当しない部分について個人情報の本人が識別できな
くすることを含む。）しなければならない。また、保存期間を設定していない場合であっても、記録目的を達成後は速やかに消去しなければならない。
保存期間については、提供するサービスの種類、課金方法等により電気通信事業者
ごとに、また通信履歴の種類ごとに異なり得るが、業務の遂行上の必要性や保存を行った場合の影響等も勘案し、その趣旨を没却しないように限定的に設定すべきである(※)。

285

電気通信事業における個人情報保護指針

ただし、刑事訴訟法第 197 条第 3 項及び第 4 項に基づく通信履歴の電磁的記録の保全要請等法令の規定による場合その他特別の理由がある場合には、当該理由に基づく保存期間が経過する前の間、保存し続けることが可能である。また、自己又は第三者の権利を保護するため緊急行為として保存する必要がある場合は、その必要性が解消されるまでの間、保存することが可能である。
（※）例えば、通信履歴のうち、インターネット接続サービスにおける接続認証ログ（利用者を認証し、インターネット接続に必要となる IP アドレスを割り当てた記録）の保存については、利用者からの契約、利用状況等に関する問合せへの対応やセキュリティ対策への利用など業務上の必要性が高いと考えられる一方、利用者の表現行為やプライバシーへの関わりは比較的小さいと考えられることから、電気通信事業者がこれらの業務の遂行に必要とする場
合、一般に６か月程度の保存は認められ、適正なネットワークの運営確保の観点から年間を通じての状況把握が必要な場合など、より長期の保存をする
業務上の必要性がある場合には、１年程度保存することも許容される。

5-1-2 通信履歴の提供（ガイドライン第 38 条第 2 項関係）

ガイドライン第 38 条(第 2 項)
2 電気通信事業者は、利用者の同意がある場合、裁判官の発付した令状に従う場
合、正当防衛又は緊急避難に該当する場合その他の違法性阻却事由がある場合を除いては、通信履歴を他人に提供してはならない。
Draft

通信履歴は、通信の秘密として保護されることから、電気通信事業者は、通信当事者の同意がある場合のほか裁判官の発付した令状に従う場合等の違法性阻却事由がある場合を除き、外部提供してはならない。法律上の照会権限のある者からの照会に応じて通信履歴を提供することは、必ずしも違法性が阻却されないので、原則として適当ではない（3-7-1（第三者提供の制限の原則）参照）。
【正当業務行為として違法性が阻却される事例】
事例）電子計算機損壊等業務妨害罪（刑法第 234 条の 2）に該当するような大量の
無差別のダイレクトメールが送りつけられ、自社のネットワークやサービスが脅威にさらされており、自己又は他人の権利を防衛するため必要やむを得ないと認められる場合に、発信元の電気通信事業者に対してそのようなダイ
レクトメールの送信を防止する措置を講ずるよう求める目的で、当該ダイレク
トメールに係る通信履歴の一部（発信者の IP アドレス及びタイム・スタンプ等）
を提供すること。

286

電気通信事業における個人情報保護指針

5-2 利用明細（ガイドライン第 39 条関係）
5-2-1 利用明細の記載（ガイドライン第 39 条第 1 項関係）

ガイドライン第 39 条(第 1項)
1 電気通信事業者が利用明細（利用者が電気通信を利用した日時、当該電気通信の着信先、これらに対応した課金情報その他利用者の当該電気通信の利用に関する情報を記載した書面をいう。以下同じ。）に記載する情報の範囲は、利用明細の目的を達成するため必要な限度を超えてはならない。
利用明細は、事業者にとっては料金請求の根拠を示すものであり、加入者にとっては料金を確認することを可能とするので、双方にとって重要な意味を持つが、一方で、利用明細の内容は、通信の秘密に属する通信履歴にほぼ等しいので、通信の秘密や本人のプライバシーに対する配慮が必要となる。そのため、電気通信事業者は、利用明細に記載する事項を、通信開始日時、通信時間、相手先電話番号、個々の通信の金額、国際通信の場合の対地等の料金請求の根拠を示すために必要な事項に限定しなくてはならない。また、加入者が希望すれば、末尾 4 桁の電話番号を省略するなどの措置をとることが望ましい。さらに不必要に通信の相手方のプライバシーを侵害するような情報も記載することは適当ではない(※)。
(※) 例えば、通信の相手方が携帯電話・PHS を利用している場合について、相手方の所在地や相手方との距離に応じた料金体系を設定しているときは、相手方の所在地に関する情報は料金請求の根拠の一つとして必要な情報であるから、どの単位料金区域に該当するかという程度の情報を記載することは許容されるが、それ以上に詳細な相手方の所在地情報を記載することは、不当に通信の相手方のプライバシーを侵害するおそれがあり不適当である。

5-2-2 利用明細の閲覧等（ガイドライン第 39 条第 2 項関係）

ガイドライン第 39 条(第 2 項)
2 電気通信事業者が利用明細を加入者その他の閲覧し得る者に閲覧させ又は交付するに当たっては、利用者の通信の秘密及び個人情報を不当に侵害しないよう必要な措置を講じなくてはならない。
利用明細を閲覧し得る者とは、基本的には加入者である。ただし、加入者とは別の恒常的な利用者や、加入者以外の料金支払者など閲覧することにつき正当の利益を有する者も含まれる（なお、加入者以外の者に閲覧させる場合は、加入者の同意を得ることが求められる。）。
電気通信事業者は、利用明細を交付するに当たっては、通信の秘密や個人情報保護の観点から、封書で送付する等の必要な措置を講じなくてはならない。また、利用明
細には一時的な利用者の通信に関する情報も含まれている可能性があることから、電287

電気通信事業における個人情報保護指針

気通信事業者は、そのような利用者の通信の秘密やプライバシー等を不当に侵害しないようにしなければならない。

5-3 発信者情報（ガイドライン第 40 条関係）
5-3-1 発信者情報の通知（ガイドライン第 40 条第 1 項関係）

ガイドライン第 40 条(第 1 項)
1 電気通信事業者は、発信者情報通知サービス（発信電話番号、発信者の位置を示す情報等発信者に関する情報（以下「発信者情報」という。）を受信者に通知す
る電話サービスをいう。以下同じ。）を提供する場合には、通信ごとに、発信者情報の通知を阻止する機能を設けなくてはならない。
「発信者情報」とは、発信者に関する情報であって、当該情報に含まれる電話番号、氏名、住所、生年月日その他の記述、個人別に付された番号、記号その他の符号、映像又は音声により当該発信者を識別できるものをいう。これには、発信電話番号通知サービスによって通知される発信電話番号や発信者名通知サービスによって通知される
発信者名等が該当し、発信者の顔写真や発信者の位置等の情報が伝達される場合には、これらも含まれる。なお、「電話サービス」とは、加入電話、ISDN、携帯電話、PHS のほか IP 電話なども含まれる。
発信者情報は、通信の秘密に該当することが通常であるため、電気通信事業者は、発信者情報通知サービスを提供する場合には、発信者情報を通知するかどうかの判断
を発信者に委ねる観点から、発信者情報の通知を通信ごとに阻止する機能を設けなくてはならない。発信者が発信者情報の通知を阻止しない場合には、発信者が発信者
情報を相手方に対して秘密にする意思がないと認められるから、通信の秘密侵害には当たらないこととなる。
Draft

5-3-2 発信者情報の提供（ガイドライン第 40 条第 2 項関係）

ガイドライン第 40 条(第 2 項)
2

電気通信事業者は、発信者情報通知サービスを提供する場合には、利用者の権利の確保のため必要な措置を講じなくてはならない。

発信者が発信者情報を相手方に対して秘密にする意思がないと認められるためには、発信者が発信者情報通知サービスの内容について十分理解していることが前提となる
ため、電気通信事業者は、利用者の権利を確保するために通知される情報、通知を阻止する方法等を利用者に対して十分周知する等の措置を講ずる必要がある（※）。
（※）発信者情報通知サービスについては、平成 8 年（1996 年）に「発信者情報
通知サービスの利用における発信者個人情報の保護に関するガイドライン」
288

電気通信事業における個人情報保護指針が策定されており、同サービスを提供するに当たっては、加入者に対し、その尊重を求める必要がある。

5-3-3 発信者情報の提供の制限（ガイドライン第 40 条第 3 項関係）

ガイドライン第 40 条(第 3項)
3 電気通信事業者は、発信者情報通知サービスその他のサービスの提供に必要な場合を除いては、発信者情報を他人に提供してはならない。ただし、利用者の同意がある場合、裁判官の発付した令状に従う場合、電話を利用して脅迫の罪を現に犯している者がある場合において被害者及び捜査機関からの要請により逆探知を行うとき、人の生命、身体等に差し迫った危険がある旨の緊急通報がある場合において当該通報先からの要請により逆探知を行うときその他の違法性阻却事由がある
場合は、この限りでない。
電気通信事業者は、発信者情報通知サービスその他のサービスの提供に必要な場
合（※）を除いては、発信者情報を他人に提供してはならない。ただし、緊急避難の要件を満たした上で逆探知を行うなど、違法性阻却事由に該当する場合にはその限りではない。
なお、緊急通報については、発信者は、通常の場合、緊急通報受理機関の迅速な対応を受けられるように、通報現場の位置や自らの所在位置を緊急通報受理機関に通知する意思があると考えられるため、緊急通報以外の一般の通話については発信者情報を原則非通知とする設定をしていたとしても、緊急通報については発信者情報が原則通知されるものとし、通信ごとに通知を阻止する機能を利用した場合のみ通知を行わないという取扱いとすることも認められる。しかしながら、このような取扱いを行う場合は、①緊急通報以外の一般の通話については発信者情報を原則非通知とする設定としていたとしても緊急通報については通常の場合は発信者情報を原則通知するという取扱
いとしていること、②緊急通報において発信者情報の通知を通信ごとに阻止する方法
を利用者に対して十分周知する必要がある。
(※)

「その他のサービスの提供に必要な場合」とは、例えば、電気通信事業者間で課金等の目的や通信網の運用等に必要な範囲で発信電話番号情報を送受信することや、コレクトコールにおいて着信者に対して発信者を特定できる情報を提供すること等が想定される。

5-4 位置情報（ガイドライン第 41 条関係）
5-4-1 位置情報の取得（ガイドライン第 41 条第 1 項関係）

ガイドライン第 41 条(第 1項)

289電気通信事業における個人情報保護指針

1

電気通信事業者は、あらかじめ利用者の同意を得ている場合、電気通信役務の提供に係る正当業務行為その他の違法性阻却事由がある場合に限り、位置情報（移動体端末を所持する者の位置を示す情報であって、発信者情報でないものをいう。以下同じ。）を取得することができる。

本条でいう「移動体端末」とは、移動電話端末（端末設備等規則（昭和 60 年郵政省
令第 31 号）第 2 条第 2 項第 5 号）及び無線呼出端末（同規則第 2 条第 2 項第 11 号）のほか、広く電波等を用いて通信を行うために用いられる端末をいう。また、本条にいう「位置情報」とは、移動体端末の所持者の所在を表す場所を示す情報（基地局エリア若
しくは位置登録エリア程度又はそれらより狭い範囲を示すものをいい、利用明細に記載される着信地域（単位料金区域等）のようなものは含まない。）をいい、端末設備等規則
第 22 条にいう位置情報よりも広い概念である（なお、発信者の位置を示す情報については、前条にその取扱いが規定されているため、位置情報の定義からは除いている。）。
これら位置情報については、個人データ等に該当するものは、その適切な取扱いを確保する観点から、個人情報保護管理者を置くとともに、プラ イバシーポリシーを定め、公表することが適切である。
電気通信事業者が保有する位置情報は、個々の通信に関係する場合は通信の構成要素であるから、通信の秘密として保護され、あらかじめ利用者（移動体端末の所持者）の同意を得ている場合又は電気通信役務の提供に係る正当業務行為に該当する
場合以外に取得することは許されない。なお、「正当業務行為」とは、電気通信役務を提供する観点から、業務の目的が正当であり、当該目的を達成するための行為の必要性及び手段の相当性が認められる行為をいう。例えば、携帯電話で通信を行うために基地局等において位置登録情報等の位置情報を取得する行為がこれに該当する。
これに対し、個々の通信時以外に移動体端末の所持者がエリアを移動するごとに基地局に送られる位置登録情報は個々の通信を成立させる前提として電気通信事業者に機械的に送られる情報に過ぎないことから、サービス制御局に蓄積されたこれらの情報は通信の秘密ではなく、プライバシーとして保護されるべき事項と考えられる。もっとも、通信の秘密に該当しない位置情報の場合であっても、ある人がどこに所在するかということはプライバシーの中でも特に保護の必要性が高い上に、通信とも密接に関係する事項であるから、強く保護することが適当である。そのため、通信の秘密に該当しない
位置情報の場合においても、利用者の同意がある場合又は電気通信役務の提供に係る正当業務行為その他の違法性阻却事由に該当する場合に限り取得することが強く求められる。
なお、第 4 項及び第 5 項は、あらかじめ利用者の同意を得ている場合又は電気通信役務の提供に係る正当業務行為に該当する場合以外において、位置情報を取得することができる例を示したものである。
Draft－ 認定個人情報保護団体としての考え方及び例示 － (7-4-1 関係)
290

電気通信事業における個人情報保護指針① 例外としての包括的な同意
総務省「位置情報プライバシーレポート」によれば、位置情報の高いプライバシー性を踏まえれば、原則として、位置情報の取り扱いについては個別かつ明確に同意を取得することが必要であるとしている。しかし、同時に、例外として、利用者が、情報が取得される経緯や取得される文脈（＝コンテキスト）から位置情報を取得・利用されることが予測できる場合には、契約約款等で記述することで包括的に同意を取得することも許容されうると考えられる。（ただし、通信の秘密に該当する位置情報について
は、通信の秘密の保護の規則に従った対応が求められる。）これは、例えば位置情報を利用することが明らかなサービス（地図ナビゲーションサービス等）について、そのサービスに必要な範囲内で取得・利用するような場合である。
ただし、コンテキストから予測できる取得・利用の範囲は、限定的に捉えるべきであり、例えば、地図ナビゲーションサービスであれば、取得した位置情報を地図上に位置を表示する機能以外で利用することは、コンテキストの範囲外というべきである。
また、包括的な同意が許容されうる場合であっても、個別かつ明確な同意を取得す
ることは望ましい取組みである。
② 利用者に対し説明・表示すべき事項
総務省「位置情報プライバシーレポート」によれば、位置情報のプライバシー性の高さを踏まえれば、電気通信事業者は、利用者から同意を取得する前に、位置情報を取得されることに伴うプライバシー上のリスクについて利用者が理解できるように分かりやすく、かつ利用者が容易に参照できる場所に説明・表示を行うべきであるとされている。具体的な説明事項としては、以下の項目が挙げられる。
ア. 取得者（位置情報の利用者）
イ. 位置情報の種類（基地局情報、GPS 位置情報、Wi-Fi 位置情報等）
ウ. 精度、取得頻度、追跡期間
エ. 利用目的オ. 第三者提供の有無及びその提供先
カ 保存期間キ 位置情報に紐付けて利用される他の利用者情報
ク 利用者関与の仕組み 等
なお、位置情報はその精度や、継続して取得され軌跡として把握されるか否かによってプライバシー性の高低が異なってくる。詳細な位置情報を取得する場合や一定期間継続して取得することで軌跡として把握する場合には、その精度や取得頻度、追跡期間といった位置情報のプライバシー性を高める要素について説明を行うことが望ましい。
また、位置情報の保存期間については、利用目的に対して必要な範囲内で定めることが必要である。
291

電気通信事業における個人情報保護指針③ 概要版による説明・表示
総務省「位置情報プライバシーレポート」によれば、利用者が内容を理解した上で同意をするためには、説明・表示が簡明であることが求められる。位置情報の種類、
利用目的、第三者提供の有無といった特に重要な点について、概要として説明・表示
し、詳細については別途誘導して説明する等の対応が推奨される。【図：スマートフォ
ンアプリケーションにおける概要版・詳細版のイメージ】

図表 12
Draft

5-4-2 位置情報の利用（ガイドライン第 41 条第 2 項関係）

ガイドライン第 41 条(第 2 項)
2 電気通信事業者は、あらかじめ利用者の同意を得ている場合、裁判官の発付した令状に従う場合その他の違法性阻却事由がある場合に限り、位置情報について、他人への提供その他の利用をすることができる。
通信の秘密に該当する情報については、通信当事者の同意を得ている場合、裁判官の発付した令状に従う場合その他の違法性阻却事由がある場合を除いては、他人への提供その他の利用をしてはならない。
そのため、通信の秘密に該当する位置情報について、匿名化して他人への提供その他の利用を行う場合には、通信の秘密保護の観点から、当該位置情報と個別の通信とを紐付けることができないよう十分な匿名化を行わなければならず、かつ匿名化して他人への提供その他の利用を行うことについてあらかじめ利用者の同意を得る必要がある。この場合、原則として個別具体的かつ明確な同意がなければ有効な同意があるとはいえないが、契約約款の内容等が利用者に対して十分に周知され、事後的にも利用者が随時に不利益なく同意内容を変更し、以後は位置情報を匿名化して利用しないよ
う求めることができることから利用者が不測の不利益を被る危険を回避できるといえる場合であって、①匿名化の対象とされる情報の範囲、②加工の手法・管理運用体制の適292

電気通信事業における個人情報保護指針

切さなどを考慮すると通常の利用者であれば匿名化しての利用等を許諾すると想定できるときは、契約約款等に基づく事前の包括同意であっても有効な同意があると考えられる。
通信の秘密に該当しない位置情報についても、ある人がどこに所在するかということ
はプライバシーの中でも特に保護の必要性が高い上に、通信とも密接に関係する事項であるから、強く保護することが適当である。そのため、他人への提供その他の利用においては、利用者の同意を得る場合又は違法性阻却事由がある場合に限定することが強く求められる。なお、位置情報に係る匿名加工情報を作成する場合は、3-12（匿名加工情報取扱事業者等の義務）を参照のこと。
なお、通信の秘密に該当する位置情報の匿名化の手法については、電気通信事業法の観点から、別途、電気通信事業者の自主的なガイドライン（「電気通信事業における「十分な匿名化」に関するガイドライン」（事務局：（一財）日本データ通信協会）が定められているので参照のこと。

5-4-3 不当な権利侵害を防止するために必要な措置（ガイドライン第 41 条第 3 項関係）

ガイドライン第 41 条(第 3 項)
3 電気通信事業者が、位置情報を加入者若しくはその指示する者に通知するサービスを提供し、又は第三者に提供させる場合には、利用者の権利が不当に侵害されることを防止するため必要な措置を講ずることが適切である。

位置情報サービスを自ら提供し、又は第三者と提携の上で提供するに当たっては、
その社会的有用性と通信の秘密又はプライバシー保護とのバランスを考慮して、電気通信事業者は、利用者の権利が不当に侵害されないよう必要な措置を講ずることが適当である。
「必要な措置」の具体的内容としては、①利用者の意思に基づいて位置情報の提供を行うこと、②位置情報の提供について利用者の認識・予見可能性を確保すること、③
位置情報について適切な取扱いを行うこと、④第三者と提携の上でサービスを提供する場合は、提携に関する契約に係る約款等の記載により利用者のプライバシー保護に配慮をすることなどが考えられる。
①の利用者の意思に基づく位置情報の提供に関し、利用者からの同意取得は、
個々の位置情報の提供ごとのほか、サービス提供開始時などに事前に行うことも可能である。もっとも、同意取得は移動体端末の操作や書面による確認などの方法により明確に行うべきであるほか、通信の秘密に該当しない位置情報であっても全ての包括的な内容の同意を得ることは適当でなく、位置情報を提供する者の範囲を特定しておくな
どすることが望ましい。また、事前の同意は原則として撤回できるものとする。
②の利用者の認識・予見可能性の確保については、画面表示や移動体端末の鳴動等の方法により、位置情報が提供されることを認識できるようにすることなどが考えられる。また、合理的な期間、利用者が履歴を確認できるようにすることや、利用者が誤って293

電気通信事業における個人情報保護指針

位置情報を送出することを防止するため、提供されるサービスや移動体端末の機能等について、十分な周知・注意喚起を行うことが望ましい。
③の位置情報の取扱いについては、権限を有しない者が移動体端末の位置情報の確認ができないよう、暗証番号の設定、アクセス端末の限定等の措置が考えられるほか、他の電気通信事業者等が位置情報サービスを提供する場合等において、自社の管理する基地局情報が他者に不当に利用されることのないよう、基地局情報の管理について規程を設けるなどが考えられる。
④の第三者と提携の上でのサービス提供については、提携に関する契約に係る約
款等において、第三者において上記のようなプライバシー保護措置が確保されることを担保することや、利用者のプライバシーが不当に侵害されていると判断される場合には、
位置情報の提供を停止できるようにしておくことなどが考えられる。
なお、移動体端末を物体に設置して、その物体の所在地の情報を把握するような場合であっても、物体を通してその所持者の権利が不当に侵害されるおそれがあることから、上記に準じた必要な措置を講ずることが適当であると考えられる。

5-4-4 捜査機関の要請による位置情報の取得（ガイドライン第 41 条第 4 項関係）

ガイドライン第 41 条(第 4 項)
4 電気通信事業者は、捜査機関からの要請により位置情報の取得を求められた場合においては、裁判官の発付した令状に従うときに限り、当該位置情報を取得することができる。
Draft

位置情報は、個々の通信に関係する場合は通信の構成要素であるから通信の秘密として保護されると解される。また、位置情報が個々の通信に関係せず通信の秘密に該当しない場合であっても、ある人がどこに所在するかということはプライバシーの中でも特に保護の必要性が高く、通信とも密接に関係する事項であることから、捜査機関からの要請により位置情報の取得を求められた場合については、裁判官の発付した令状に従うときに限り、位置情報を取得することができる。

5-4-5 救助を行う機関の要請による位置情報の取得（ガイドライン第 41 条第 5 項）

ガイドライン第 41 条(第 5 項)
5 電気通信事業者は、前項のほか、救助を要する者を捜索し、救助を行う警察、海上保安庁又は消防その他これに準ずる機関からの要請により救助を要する者の位置情報の取得を求められた場合においては、その者の生命又は身体に対する重大な危険が切迫しており、かつ、その者を早期に発見するために当該位置情報を取得することが不可欠であると認められる場合に限り、当該位置情報を取得することができる。

294

電気通信事業における個人情報保護指針

通信を成立させるために必要な情報ではない GPS 位置情報については、通信の秘密ではなく、プライバシーの問題として扱うべき情報であるが、基地局に係る位置情報と比べ、高いプライバシー性を有する。
このため、電気通信事業者が緊急時に GPS 位置情報を取得できる場合については、①救助・救出を要する者（以下「要救助者」という。）の生命又は身体に対する重大な危険が切迫しており、かつ②要救助者を早期に発見するためにその者に係る GPS 位置
情報を取得することが不可欠であるときに限り、GPS 位置情報を取得することができる。
そして、本要件に該当するか否かについては、そのような状況下にある者を捜索し、救助を行うことについて、権限や知見、責任を有する警察、海上保安庁、消防等の機関（以下「救助機関」という。）による、要救助者の家族等の関係者からの申告等から認められる客観的な事実に基づく専門的判断を経ることが不可欠であることから、これらの機関からの要請があった場合に限定することが強く求められる。また、救助機関からの要請に基づくものであるとしても、救助機関から GPS 位置情報の取得・提供要請を受けた電気通信事業者において適切な対応が図られるためには、当該要請に際し、①上記の客観的な事実に基づき救助機関において本要件が備わっている旨判断したこと及び②その判断の相当性を担保するに足りる理由が提供されることが必要である。

5-5 不払い者等情報の交換(ガイドライン第 42 条関係)
5-5-1 不払い者等情報の交換（ガイドライン第 42 条第 1 項～第 3 項関係）

ガイドライン第 42 条(第 1 項～3 項)
1 電気通信事業者は、電気通信役務に係る料金不払い又は携帯音声通信役務の不正な利用を防ぐため特に必要であり、かつ、適切であると認められるときは、他の電気通信事業者との間において、不払い者等情報（支払期日が経過したにもかかわらず電気通信役務に係る料金を支払わない者又は携帯音声通信事業者による契約者等の本人確認等及び携帯音声通信役務の不正な利用の防止に関する法律（平成 17 年法律第 31 号）第 11 条各号に該当する場合における携帯音声通信役
務等の提供に関する契約に係る名義人の氏名、住所、不払い額、電話番号その他の当該者又は当該名義人に関する情報をいう。以下同じ。）を交換することができる。ただし、当該不払い者等情報を交換の対象とすることが本人の権利利益を不当に侵害するおそれがあると認められるときは、この限りでない。
2 電気通信事業者は、不払い者等情報を他の電気通信事業者との間で交換する場
合は、その旨並びに交換される不払い者等情報の項目、交換する電気通信事業者の範囲及び交換される不払い者等情報の管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くことが適切である。
3 電気通信事業者は、前項の交換される不払い者等情報の管理について責任を有する者の氏名又は名称を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くことが適切である。
295

電気通信事業における個人情報保護指針「不払い者等情報」は、不払い者等の氏名、住所、生年月日、不払い額の情報などの個人を識別できる情報が含まれることから、個人情報に該当するため、無断で外部提供することは許されていない。
ただし、例えば移動体事業においては、・ 他の事業者において料金を支払わずに契約解除となった者と契約を締結した結果、同様に料金請求に応じてもらえないケースが増加している。
・ 他の事業者において契約者確認に応じなかったことにより利用停止となった者と契約を締結した結果、同様に本人確認ができなくなってしまうケースが増加し、料金請求ができなくなっているばかりか、匿名携帯電話の発生などの不正利用にも繋がっている。
といった問題が発生しており、こうした問題に対処するためには、最小限の不払い者等情報を電気通信事業者間で交換し、不払い者等の新たな加入を阻止することで、経営リスクを軽減するという特別の必要性が認められる。そのため、電気通信事業者は、契約約款にその旨明記することにより不払い者等情報を事業者間で交換することについて加入者の同意を得た上で（したがって、第 17 条第１項の本人の同意を得て第三者に個人情報を提供する場合に該当する。）、本人（不払い者等）の保護に値する正当な権利も守られる場合において、不払い者等情報の交換も可能である。
この際、「本人の権利利益を不当に侵害する」ことのないようにするため、交換の対象を契約解除となり現に不払いがある者及び「携帯音声通信事業者による契約者等の本
人確認等及び携帯音声通信役務の不正な利用の防止に関する法律」（平成 17 年法
律第 31 号）第 11 条各号に該当する場合の契約名義人に限定する、第 2 項及び第 3項の規定に従い加入者に対し交換の仕組みの周知を行うなどの対応を行うことが適切である。
また、交換したデータの活用に当たっては、電気通信事業法上の提供義務に反しないよう、交換した不払い者等情報を利用して加入を承諾しない場合を一定額以上の滞納者に限定し、一定額未満の者については預託金等を活用する、事後に交換元の事
業者において「携帯音声通信事業者による契約者等の本人確認等及び携帯音声通信
役務の不正な利用の防止に関する法律」（平成 17 年法律第 31 号）第 11 条各号に該当しなくなった場合には加入審査を受け付けるなどの慎重な取扱いが求められる。
なお、不払い者等情報の交換も、第 19 条及び第 20 条の適用対象となる。
Draft

5-5-2 不払い者等情報の利用目的の制限（ガイドライン第 42 条第 4 項関係）

ガイドライン第 42 条(第 4 項)
4 不払い者等情報の交換をした電気通信事業者は、当該不払い者等情報を加入
時の審査以外の目的のために使用しないことが適切である。

296

電気通信事業における個人情報保護指針

交換された不払い者情報については、一種の個人信用情報であり、目的外に利用しないこととする。

5-5-3 不払い者等情報の適正な管理（ガイドライン第 42 条第 5 項関係）

ガイドライン第 42 条(第 5 項)
5 不払い者等情報を提供し、又は提供を受けた電気通信事業者は、当該不払い者等情報の適正な管理に特に万全を期すことが適切である。
不払い者等情報が最新かつ正確なものではなかったり、漏えい等した場合には、本人の権利利益を侵害したりするおそれが強いことから、不払い者等情報を提供し、又は提供を受けた電気通信事業者は、当該不払い者等情報の適正な管理に特に万全を期すことが適切である。

5-6 迷惑メール等送信に係る加入者情報（ガイドライン第 43 条関係）
5-6-1 迷惑メール等送信に係る加入者情報の交換（ガイドライン第 43 条第 1 項～第 3

項関係）
ガイドライン第 43 条(第 1 項～3 項)) 1 電気通信事業者は、一時に多数の者に対してされる電子メールの送信による電子メールの送受信上の支障を防止するため特に必要であり、かつ、適切であると認められるときは、他の電気通信事業者との間において、加入者情報（一時に多数の者に対し、特定電子メールの送信の適正化等に関する法律（平成 14 年法律第 26号）の規定に違反する電子メールの送信その他の電子メールの送受信上の支障を生じさせるおそれのある電子メールの送信をしたことを理由として、電気通信事業者
が利用停止措置を講じ、又は契約を解除した加入者の氏名、住所その他の当該加入者に関する情報に限る。以下同じ。）を交換することができる。ただし、当該加入者情報を交換の対象とすることが本人の権利利益を不当に侵害するおそれがあると認められるときは、この限りでない。
2
電気通信事業者は、加入者情報を他の電気通信事業者との間で交換する場合は、その旨並びに交換される加入者情報の項目、交換する電気通信事業者の範囲
及び交換される加入者情報の管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くことが適切である。
3
電気通信事業者は、前項の交換される加入者情報の管理について責任を有する者の氏名又は名称を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くことが適切である。

297

電気通信事業における個人情報保護指針

送信者情報（発信元の電子メールアドレス等）を偽って広告・宣伝等の目的で大量に送信される電子メールや、自己又は他人の営業のために架空電子メールアドレスを宛先として大量に送信される電子メール等（以下「迷惑メール」という。）の送信は、特定電子メール法に違反するほか、送信が大量である場合には、電気通信事業者のサーバ
等のシステムに負荷をかけ、他の利用者のメール送受信の遅延等の支障を引き起こすなど情報通信ネットワークに多大な被害を与えるものである。
電気通信事業者による迷惑メール等の大量送信行為への対策としては、一時に多数の者に対する特定電子メール法違反のメール送信その他の電子メール送受信上の支障を生じさせるおそれのある大量送信をした加入者に対して、その支障を防止するために必要な範囲において役務の利用停止措置（契約の解除を含む。以下同じ。）が講ぜられ、迷惑メール等の大量送信行為に対して一定の効果を上げていたが、ある電気通信事業者から利用停止措置を受けた者が、その後、別の電気通信事業者と契約を締結して迷惑メール等の大量送信を継続するケース（いわゆる「渡り」）が発生していた。
上記のとおり、迷惑メール等の大量送信行為が、情報通信ネットワークへ多大な被害を与えることに鑑みると、電気通信事業者による迷惑メール等の大量送信行為への対策の実効性を高め、情報通信ネットワークを保護するため、「渡り」により迷惑メール等の大量送信行為を継続する者に対し、適切な措置を講ずる特別の必要性が認められた。
したがって、本人（利用停止措置を受けた加入者）の保護に値する正当な権利が守られるならば、電気通信事業者間で、一時に多数の者に対する特定電子メール法違反のメール送信その他の電子メール送受信上の支障を生じさせるおそれのある大量送信をした加入者の情報を交換し(※)、加入時の審査に用いることは可能であると考えられたものである。
Draft（※）交換される情報には、「電子メールの送受信上の支障を生じさせるおそれのある大量送信を行ったことを理由として利用停止措置を受けた加入者の氏名、住所、生年月日等の当該加入者に関する情報（以下「迷惑メール等送信に係る加入者情報」という。）」が含まれるものと考えられる。このような迷惑メール等
送信に係る加入者情報は、メール内容、送信相手、送信日時、送受信場所、送信回数等の事実に関わるものではなく、個別のメール送信に係る情報ではないため、通信の秘密に属する情報には当たらないと解される（なお、特定された個別のメール送信に係る送信者情報は、個別の通信の構成要素であり通信の秘密に当たるため、その知得や第三者への提供については、通信当事者の同意がある場合のほか、緊急避難等の違法性阻却事由がある場合に限定される）。
しかしながら、迷惑メール等送信に係る加入者情報は、「電気通信事業者により、電子メールの送受信上の支障を生じさせるおそれのある大量送信を行ったと判断されて利用停止措置を受けた者」を識別するに足りる情報という意味で、プライバシー
298電気通信事業における個人情報保護指針

として保護されるべき情報であり、かつ、個人情報として慎重かつ厳格な取扱いが必要である。
よって、「本人の権利利益を不当に侵害」することのないようにするためには、交換の対象となる情報を電子メール送受信上の支障を生じさせるおそれのある大量送信を行ったことを理由として利用停止措置を受けた加入者に関する情報に限定すること、交換の対象となる加入者情報の正確性を十分に確保すること、迷惑メール等送信行為を行ったという事実認定を適切に行うこと、交換することにつき契約約款に明記する等により加入者の同意を得ること（したがって、第 17 条の適用上は同条第 1 項の「あらかじめ本人の同意」を得て第三者に個人情報を提供する場合に該当する。）、第 2 項及び第 3 項の規定に従い加入者に対し交換の仕組みの周知を行うこと、交換した情報については十分な安全保護措置をとること等が求められる。
交換した情報の活用に当たっては、電気通信事業法上の不当な差別的取扱いの禁止（電気通信事業法第 6 条）及び役務提供義務（同法第 121 条第 1 項）に反しな
いよう、交換した情報を利用して加入を承諾しない場合は、利用停止措置を講じてから合理的な一定期間内に限定するとともに、利用停止措置を講じた事業者において当該措置を解除した場合には交換した情報から削除する等の適切な運用が求められる。
なお、迷惑メール等送信に係る加入者情報の交換も、第 19 条及び第 20 条の適用対象となる。

5-6-2 迷惑メール等送信に係る加入者情報の利用目的の制限等（ガイドライン第 43 条

第 4 項～第 5 項関係）
ガイドライン第 43 条(第 4 項～第 5 項)
4 加入者情報の交換をした電気通信事業者は、当該加入者情報を加入時の審査以外の目的のために使用しないことが適切である。
5 加入者情報を提供し、又は提供を受けた電気通信事業者は、当該加入者情報の適正な管理に特に万全を期すことが適切である。

第 4 項及び第 5 項の考え方については、第 42 条第 4 項及び第 5 項の考え方と同様である。

5-7 電話番号情報（ガイドライン第 44 条関係）
5-7-1 電話番号情報の電話帳への掲載等（ガイドライン第 44 条第１項）

ガイドライン第 44 条(第 1 項)
1 電気通信事業者が電話番号情報（電気通信事業者が電話加入契約締結に伴い知り得た加入者名又は加入者が電話帳への掲載、電話番号の案内を希望する名称及びこ299

電気通信事業における個人情報保護指針

れに対応した電話番号その他の加入者に関する情報をいう。以下同じ。）を用いて電話帳を発行し又は電話番号案内の業務を行う場合は、加入者に対し、電話帳への掲載又は電話番号の案内をしないことについての選択の機会を与えることが適切である。この場合において加入者が省略を選択したときは、遅滞なく当該加入者の情報を電話帳への掲載又は電話番号案内業務の対象から除外しなくてはならない。
ある人に電話をかけたいというときに電話番号が分からなければコミュニケーションをすることができないことから、電話番号情報は、個人情報ではあっても、一般に公開が要請され、電話帳又は電話番号案内によって知り得るものとなっている。ただし、こうした要請も加入者のプライバシーに優先するものではないので、電気通信事業者は、加入者に対して電話帳への掲載又は電話番号の案内を省略するかどうかの選択の機会を与えることが適切である（※）（※）電話サービス以外の通信サービスにおける ID（メールアドレス等）については、
電話番号ほどの公開の要請はないのが現状であるため、本条の対象ではなく、
これらのうち個人情報に該当するものの取扱いについては、第 2 章（第 4 条から第 36 条まで）の規定によることとなる。

5-7-2 電話番号情報の提供の制限（ガイドライン第 44 条第 2 項関係）
Draft

ガイドライン第 44 条(第 2 項)
2 電気通信事業者が電話帳発行又は電話番号案内業務を行う場合に提供する電話番号情報の範囲は、各業務の目的達成のため必要な限度を超えないこととする
ことが適切である。ただし、加入者の同意がある場合はこの限りでない。
電話帳には、加入者を特定するための最低限の情報は掲載されるべきであり、氏名、住所、電話番号については掲載される必要があるが、それ以上の個人情報を掲載するのは適当ではない（もとより、職業別電話帳に職業を記載するのは可能である。）。また、住所の一部を削除するなどのオプションを設けることなども検討に値する。

5-7-3 電話番号情報の提供形態（ガイドライン第 44 条第 3 項関係）

ガイドライン第 44 条(第 3 項)
3 電気通信事業者が電話帳発行又は電話番号案内を行う場合の電話番号情報の提供形態は、本人の権利利益を不当に侵害しないものとすることが適切である。

300

電気通信事業における個人情報保護指針

電気通信事業者が電話帳発行又は電話番号案内を行う場合の電話番号情報の提供形態は、本人の権利利益を不当に侵害してはならない。
従来、電話帳は紙媒体で、電話番号案内はオペレーターによりなされるのが通常であったが、電子計算機処理が進む中で、CD-ROM による電話帳やインターネットによる電話番号案内といった形態が出現しつつある。こうしたものは、利便性を向上させるという点では利用者の利益になるが、他方、加入者のプライバシーへの配慮が必要となる。
例えば、50 音別電話帳の CD-ROM 化についていえば、電子データの加工・処理による個人情報の不当な二次利用の防止という観点から、データのダウンロードや逆検索の機能を設けないといったことが少なくとも必要である。他方、CD-ROM 化に際して、改めて掲載の可否の意向を確認する必要があるかどうかについては、ヨーロッパ各国その他諸外国の動向にも注意しつつ、社会的コンセンサスの有無を判断していく必要がある。なお、職業別電話帳については、掲載情報が社会的に広まることについてメリットが大きく、また、同情報には個人情報として保護されるべき内容も多くはないことから既にCD-ROM での提供やインターネット上での提供が実施されている。

5-7-4 電話番号情報の外部提供（ガイドライン第 44 条第 4 項関係）

ガイドライン第 44 条(第 4 項)
4 電気通信事業者は、電話帳発行又は電話番号案内業務による場合を除き、電話番号情報を提供しないことが適切である。ただし、次に掲げる場合はこの限りでない。
(1) 電話帳発行又は電話番号案内業務を外部に委託する場合(2) 電話帳を発行し、又は電話番号案内の業務を行う者に提供する場合(3) その他第 5 条第 3 項各号に該当する場合

電話番号情報の外部提供については、3-7-1（第三者提供の制限の原則）による（※）。
（※）例えば、この通話における発信者電話番号に対応する加入者は誰かという照会の場合は、通信の秘密に属する事項に関するものなので裁判官の発付する令状等が必要であるが、この電話番号に対応する加入者は誰かといった照会であれば、通信の秘密を侵害するものではないので、法律上の照会権限を有する者からのものであれば、応じることも可能である。

5-7-5 電話番号情報の電話帳発行又は電話番号案内業務を行う者への提供（ガイドライ

ン第 44 条第 5 項関係)
ガイドライン第 44 条(第 5 項)
5
電気通信事業者が電話番号情報を、電話帳を発行し、又は電話番号案内の業
務を行う者に提供する場合は、当該提供契約等において、前各項に準じた取扱い
301

電気通信事業における個人情報保護指針をさせることを定めることが適切である。
電話帳を発行し、又は電話番号案内の業務を行おうとする者に対して提供すること
は、目的の範囲内の行為として許されると考えられる。この場合における提供の媒体については、磁気媒体での提供も可能と考えられる。ただし、被提供者に対しては、情報の利用を電話帳発行事業又は電話番号案内事業に限定すること、本来の電話帳等と同等の形態を維持すること、情報流出防止のための措置を講ずること等、情報の取扱
いに関する協定等を締結する必要がある。

Draft

302

電気通信事業における個人情報保護指針

6. 特定利用者情報の適正な取扱い（第 4 章関係）

303

電気通信事業における個人情報保護指針

6. 特定利用者情報の適正な取扱い（第 4 章関係）
6-1 情報取扱規程（第 45 条関係）

ガイドライン第 45 条
1 指定電気通信事業者は、特定利用者情報の適正な取扱いを確保するため、次に掲げる事項に関する規程（以下この章において「情報取扱規程」という。）を定め、電気通信事業法第 27 条の 5 の規定による指定の日から 3 月以内に、電気通信事業法施行規則（昭和 60 年郵政省令第 25 号）様式第 15 の 4 の届出書に、当該情報取扱規程を添えて、総務大臣に届け出なければならない。
(1) 特定利用者情報の漏えい、滅失又は毀損の防止その他の当該特定利用者情報の安全管理に関する次に掲げる事項
イ 組織的安全管理措置に関すること。
ロ 人的安全管理措置に関すること。
ハ 物理的安全管理措置に関すること。
ニ 技術的安全管理措置に関すること。
ホ 次条第 1 項第 3 号ロ①、ハ又はニに規定する場合にあっては、当該特定利用者情報の適正な取扱いに影響を及ぼすおそれのある当該外国の制度の把握の体制に関すること。
(2) 特定利用者情報の取扱いを第三者に委託する場合における当該委託を受けた者に対する監督に関する次に掲げる事項
イ 委託先の選定の方法に関すること。
ロ 委託契約において定める特定利用者情報の取扱いに関すること。
ハ 委託先における特定利用者情報の取扱状況の把握の体制及び方法に関すること。
(3) 次条第 1 項に規定する情報取扱方針の策定及び公表に関する事項(4) 第 47 条第 1 項の規定による評価に関する次に掲げる事項
イ 当該評価の実施並びに当該評価の結果の情報取扱規程及び情報取扱方針への反映の体制に関すること。
ロ 当該評価を行う項目、方法及び頻度に関すること。
(5) 特定利用者情報を取り扱う従事者に対する監督に関する事項
2 指定電気通信事業者は、情報取扱規程を変更したときは、遅滞なく、電気通信事
業法施行規則様式第 15 の 5 の届出書を提出する方法により、変更した事項を総務大臣に届け出なければならない。
Draft

6-1-1 概要

電気通信事業法第 27 条の 5 に基づき、特定利用者情報を適正に取り扱うべき電気通信事業者として総務大臣に指定された電気通信事業者（以下「指定電気通信事業者」という。）は、電気通信事業法第 27 条の 6 及び同法施行規則第 22 条の 2 の 22 に基づき、特304電気通信事業における個人情報保護指針

定利用者情報の適正な取扱いを確保するため、情報取扱規程を定め、指定電気通信事業者として指定を受けた日から 3 か月以内に総務大臣に届け出なければならない。

6-1-2 特定利用者情報

特定利用者情報とは、電気通信事業法第 27 条の 5、電気通信事業法施行規則（昭和60 年郵政省令第 25 号）第 22 条の 2 の 21 に規定する、内容、利用者の範囲及び利用状況を勘案して利用者の利益に及ぼす影響が大きいものとして総務省令で定める電気通信
役務に関して（※1）取得する利用者に関する情報であって、次に掲げるものをいう。
①通信の秘密に該当する情報②利用者（電気通信事業者又は第三号事業を営む者との間に電気通信役務の提供を受ける契約を締結する者及び電気通信事業者又は第三号事業を営む者からアカウ
ント ID（※2）の付与を受けた者（以下この章において「契約・登録利用者」という。）に限られる。）を識別することができる情報であって、次に掲げる情報の集合物を構成する情報（データベース等を構成する情報）
・特定の契約・登録利用者を識別することができる情報を電子計算機を用いて検索することができるように体系的に構成したもの 又は・契約・登録利用者を識別することができる情報を一定の規則に従って整理すること
により特定の契約・登録利用者を識別することができる情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するもの
特定利用者情報には、法人その他の団体に関する情報も含まれる（個人に関する情報に限られない。）。また、②に掲げる情報については、他の情報と容易に照合することができ、それにより契約・登録利用者を識別することができることとなるものを含む。したがって、
Cookie に保存された ID や IP アドレス等、それ単体では必ずしも契約・登録利用者を識別することができない情報であっても、他の情報と容易に照合することができ、それにより契約・登録利用者を識別することができることとなる場合には、特定利用者情報に該当する。
なお、特定利用者情報の一部に含まれる情報（アカウント ID 等）を削除するなどした場
合であっても、残部の情報が契約・登録利用者を識別することができる情報である場合には、なお「特定利用者情報」に該当する。
【②に該当する例】
・特定の契約・登録利用者の情報を容易に検索することができるように構成されたウェブ
サーバに保存されている契約・登録利用者のアクセスログ（一例として、アカウント ID
等によって整理され保管されている場合等）
・契約・登録利用者が利用したサービスに係るログ情報が ID によって整理され保管されている電子ファイルに保存されている契約・登録利用者のログ情報

305電気通信事業における個人情報保護指針【②に該当しない例】
・他人には容易に検索できない独自の分類方法により分類された名刺入れに含まれる
名刺・氏名・住所等により分類整理されていない状態である、契約・登録利用者に対するアン
ケートの戻りはがき（※1）例えば、A 社の提供する報告対象役務に関連して提供される料金収納事務について、当該料金収納事務に関して取得された利用者に関する情報についても、それが特定利用者情報に該当する場合には、当該対象役務に関して取得された特定利用者情報に含まれる。なお、あくまでも報告対象役務に関して取得される利用者情報が対象になり得るものであり、対象役務でない役務や電気通信役
務以外の役務に関して取得する利用者情報は対象にはならない。
（※2）その提供する電気通信役務を継続的に利用するための識別符号であって、当該電気通信役務を利用しようとする者が提供する氏名若しくは名称、電話番号、
電子メールアドレス又はこれらを組み合わせた情報に基づき作成されるものをいう。
（参考）
電気通信事業法第2条（第7号）（7） 利用者 次のイ又はロに掲げる者をいう。
イ 電気通信事業者又は第164条第1項第3号に掲げる電気通信事業（以下「第三号事業」という。）を営む者との間に電気通信役務の提供を受ける契約を締結する者その他これに準ずる者として総務省令で定める者
ロ 電気通信事業者又は第三号事業を営む者から電気通信役務（これらの者が営む電気通信事業に係るものに限る。）の提供を受ける者（イに掲げる者を除
く。）
Draft

電気通信事業法施行規則第2条の2
法第2条第7号イの総務省令で定める者は、電気通信事業者又は法第164条第1項
第3号に掲げる電気通信事業（以下「第三号事業」という。）を営む者から、その提供する電気通信役務を継続的に利用するための識別符号（法第27条の12第2号に規定する識別符号であって、当該識別符号に係る電気通信役務を利用しようとする者が提供する氏名若しくは名称、電話番号、電子メールアドレス又はこれらを組み合わせた情報に基づき作成されるものをいう。）を付与された者（電気通信事業者又は第三号事業を営む者との間に電気通信役務の提供を受ける契約を締結する者を除く。）とする。
電気通信事業法第27条の5
総務大臣は、総務省令で定めるところにより、内容、利用者の範囲及び利用状況306電気通信事業における個人情報保護指針を勘案して利用者の利益に及ぼす影響が大きいものとして総務省令で定める電気通信役務を提供する電気通信事業者を、特定利用者情報（当該電気通信役務に関して取得する利用者に関する情報であって次に掲げるものをいう。以下同じ。）を適正に取り扱うべき電気通信事業者として指定することができる。
(1) 通信の秘密に該当する情報(2) 利用者（第2条第7号イに掲げる者に限る。）を識別することができる情報であって総務省令で定めるもの（前号に掲げるものを除く。）
電気通信事業法施行規則第22条の2の21
法第27条の5第2号の総務省令で定める情報は、次に掲げる情報の集合物を構成する情報とする。
(1) 特定の利用者（法第2条第7号イに掲げる者に限る。次号において同じ。）を識別することができる情報を電子計算機を用いて検索することができるように体系的に構成したもの(2) 前号に掲げるもののほか、利用者を識別することができる情報を一定の規則に従って整理することにより特定の利用者を識別することができる情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引
その他検索を容易にするためのものを有するもの

6-1-3 指定電気通信事業者

電気通信事業法第 27 条の 5 により、総務大臣は、内容、利用者の範囲及び利用状況を勘案して利用者の利益に及ぼす影響が大きい電気通信役務を提供する電気通信事業者を、特定利用者情報を適正に取り扱うべき電気通信事業者として指定することができる。
なお、電気通信事業における特定利用者情報の適正な取扱いの確保のため、指定電気通信事業者以外の電気通信事業者についても、第 50 条を除き、本章に定める事項を遵守することが望ましい。
（参考）
電気通信事業法施行規則第22条の2の19
法第27条の5の規定による指定及びその解除は、告示によってこれを行う。この場
合において、総務大臣は、当該指定及びその解除を受けることとなる電気通信事業者にその旨を通知するものとする。

6-1-3-1 利用者の利益に及ぼす影響が大きい電気通信役務

電気通信事業法施行規則第 22 条の 2 の 20 に基づき、「利用者の利益に及ぼす影響が大きい電気通信役務」は、次の報告対象役務の表に掲げる電気通信役務ごとに、そ307

電気通信事業における個人情報保護指針の次の表に掲げる電気通信役務の区分に応じて、前年度における 1 か月あたりの当該
電気通信役務の提供を受けた利用者の数の平均が一定数以上となるものが該当する。
報告対象役務
加入電話
携帯電話
IP電話
インターネット接続サービス
FTTHアクセスサービス
CATVアクセスサービス
BWAアクセスサービス
公衆無線LANアクセスサービス
仮想移動電気通信サービス
電子メールサービス
メッセージングサービス
検索サービスソーシャル･ネットワーキング･サービスその他交流型電気通信サービス
その他電気通信役務（その他電気通信回線設備を設置して提供する又は電気通信回線設備を設置せずに他人の通信を媒介する電気通信役務）
Draft

電気通信役務の区分

前年度における1か月当たりの当該電気通信役務の提供を受けた利用者（アクティブ利用者）の数の平均

その提供の開始時において対価としての料金の支払を要しない電気通信役務

1,000万以上

その提供の開始時において対価としての料金の支払を要する電気通信役務

500万以上その提供の開始時において対価としての料金の支払を要しない電気通信役務とは、料金の支払をせずとも利用を開始することが可能な電気通信役務が該当する。
【その提供の開始時において対価としての料金の支払を要しない電気通信役務の例】
・無料で利用可能なソーシャル・ネットワーキング・サービス
・無料で利用可能なソーシャル・ネットワーキング・サービスで、機能拡張等のための追加的な料金設定がされているもの
・オンラインショッピングモールが提供する、売主・買主間でやり取りするためのダイレクト
メッセージサービス（買主において無料で利用できるもの）

308

電気通信事業における個人情報保護指針

その提供の開始時において対価としての料金の支払を要する電気通信役務とは、料金の支払をしなければ利用を開始することができない電気通信役務が該当する。例えば、他人の通信を媒介する電気通信役務について、無料のサービス（例：利用者数 700 万人）に加えて機能拡張等のため追加的に有料のサービス（例：利用者数 400 万人）が設けられている場合は、当該電気通信役務の利用の開始に当たって必ずしも料金の支払が必須とは言えないため、無料の電気通信役務（料金の支払をせずとも利用を開始することが可能なもの）として両方のサービスの利用者数を合算する（例：利用者数 1,100 万人）ことになる。
【その提供の開始時において対価としての料金の支払を要する電気通信役務の例】
・有料の FTTH サービスであって、加入後、一定期間はキャンペーン等により無料であるもの
・有料で利用可能なソーシャル・ネットワーキング・サービスで、無料での利用はできない
もの・有料のオンラインゲーム上に設けられたダイレクトメッセージサービス（ダイレクトメッセ
ージ機能）
・携帯電話サービス契約者に限定して無償で提供される公衆無線 LAN サービス
【電気通信役務の提供を受けた利用者（アクティブ利用者）の数の考え方】(※1)
・算定対象となる「利用者」は、契約・登録利用者に限られる。したがって、検索やソーシャル・ネットワーキング・サービスなどのオンラインサービスにおいて、アカウントの付与を受けずに利用した者の数は含まない。また、アカウントの付与を受けていたとしても、
当該アカウントにログインせずに利用する者は算定の対象にはならない。なお、ソーシャル・ネットワーキング・サービス等においては、投稿した者に限られないため、ログインした状態で閲覧のみをする利用者についても算定対象となる。
・いわゆるソーシャルプラグインを設置したウェブサイトに、当該プラグインを提供しているサービス（SNS 等）にログインした状態で訪問した利用者については、当該プラグインを提供しているサービスの利用者における利用者数の算定対象となる。
・複数の電気通信役務を提供する電気通信事業者の場合、複数の電気通信役務の利
用者数を合算するのではなく、個々の電気通信役務ごとにその利用者数を算定する。
・一つのアカウントの付与を受けた利用者に複数の電気通信役務を提供している場合には、個々の電気通信役務ごとに、1 か月に 1 回でも利用していれば、算定対象となる。例えば、アカウント付与に伴い提供される複数のサービス（電子メールサービス、検索サービス、ソーシャル・ネットワーキング・サービス等）のうち、当該一部の電気通信役
務（電子メールサービス等）のみを利用した者は、当該一部の電気通信役務（電子メー
ルサービス等）の利用者としてのみ算定する。
・ただし、以上のような算定が困難な電気通信役務については、1 か月当たりに 1 度でもアカウントにログインをした者の数を、当該電気通信役務の利用者として、算定するこ
ととする。

309

電気通信事業における個人情報保護指針

なお、上記算定における「利用者」は、日本国内にある契約・登録利用者に限られる。また、他の電気通信事業者に卸電気通信役務を提供する場合、他の電気通信事業者が当
該卸電気通信役務に基づいて提供する電気通信役務の利用者（エンドユーザ）の数を含む（※2）。他方、サービスの提供先が法人であり、当該法人内で複数のアカウントが従業員に対して割り振られているという場合、法人単位で利用者数を算定する。
（※1）ここでいう利用者数の考え方は、「検索情報電気通信役務」及び「媒介相当電気通信役務」の利用者数の基準（1,000 万以上）においても、同様である。
（※2）例えば、A 社が卸元として携帯電話サービスを B 社に卸提供している場合、A 社
は、卸先である B 社の仮想移動電気通信サービスの利用者数についても、A 社の自社回線を用いての携帯電話サービスの利用者数に含める必要がある。
（参考）
電気通信事業法施行規則第22条の2の20
法第27条の5の総務省令で定める電気通信役務は、電気通信事業報告規則（昭和63年郵政省令第46号）第2条第3項の表の報告対象役務の欄に掲げる電気通信役務
ごとに次の各号に掲げる電気通信役務の区分に応じ、当該各号に定めるものとする。
(1) その提供の開始時において対価としての料金の支払を要しない電気通信役務 前
年度における1月当たりの当該電気通信役務の提供を受けた利用者（法第2条第7号イに掲げる者に限り、他の電気通信事業者に卸電気通信役務を提供する場合にあっては、当該他の電気通信事業者が当該卸電気通信役務を利用して提供する
電気通信役務の利用者（同号イに掲げる者に限る。）を含む。次号において同じ。）の数の平均が1,000万以上であるもの(2) その提供の開始時において対価としての料金の支払を要する電気通信役務 前年度における1月当たりの当該電気通信役務の提供を受けた利用者の数の平均が500万以上であるもの
Draft

6-1-3-2 指定に際し電気通信事業者に求められる報告

指定電気通信事業者の指定に当たっては、電気通信事業報告規則（昭和 63 年郵政省
令第 46 号）第 2 条第 3 項の定める表の報告対象事業者の欄に掲げる電気通信事業者
は、電気通信事業法第 166 条及び同規則第 2 条第 3 項及び第 4 項に基づき、「利用者の利益に及ぼす影響が大きい電気通信役務」該当性の判断に必要となる利用者数に係る情報を総務大臣に報告することが求められる。
規律の適正な運用を図る観点から、利用者数の報告は、基準を下回る段階でなされる必要があり、具体的には、6-1-3-1 の報告対象役務の表に掲げる報告対象役務の区分（※1）に応じて、該当する電気通信役務及び利用者数（前年度（※2）における 1 か月あたりの当該電気通信役務の提供を受けた利用者数の平均）の区分を、前年度経過後 1 か月

310

電気通信事業における個人情報保護指針

以内に電気通信事業報告規則様式第 15 の 6 により総務大臣に報告することが必要となる。
なお、同一の報告対象役務の区分に該当する複数のサービスを提供している場合（例
えば、携帯電話サービスにおける 4G と 5G 等。）であっても、加入電話、携帯電話、IP 電話、インターネット接続サービス、FTTH アクセスサービス、CATV アクセスサービス、BWA
アクセスサービス、公衆無線 LAN アクセスサービス及び仮想移動電気通信サービスについては、報告対象役務の区分により利用者数を報告する必要がある（※3）。また、携帯電話及び仮想移動電気通信サービスの双方を提供する場合には、仮想移動電気通信サー
ビスの利用者の数については、携帯電話の利用者の数に含めて報告する必要がある（※4）。電子メールサービス、メッセージングサービス、検索サービス、ソーシャル･ネットワーキ
ング･サービスその他交流型電気通信サービス及びその他電気通信役務（その他電気通信回線設備を設置して提供する又は電気通信回線設備を設置せずに他人の通信を媒介する電気通信役務）については、同一の報告対象役務の区分に該当する複数のサービスを提供している場合には、実態に応じた合理的な区分により報告することも許容される（※5）。
報告は、以下の②、③の分類で報告（実際の利用者数ではなく、②と③のいずれの分類に該当するかを報告）し、他の分類への変更があった場合（例：②の報告をした者は、「②→③」又は「②→①」の変更が生じた場合、③の報告をした者は、「③→②」又は「③→①」の変更が生じた場合）のみ変更報告を行うこととなる（②、③の分類の報告を行った後、①に変更になった場合を除き、①の分類に該当する旨の報告を行う必要はない。）。
なお、対象となる電気通信役務についての厳密な月間アクティブ利用者数の算定が困難な場合には、合理的な方法により推計することも許容される（※6）。

電気通信役務の区分

前年度における 1 か月あたりの当該電気通信役務の提供を受けた利用者（アクティブ利用者）の数の平均①②③

その提供の開始時において対価としての料金の支払を要しな
い電気通信役務

900 万
未満

900 万以上 1,000 万未満

1,000 万以上

その提供の開始時において対価としての料金の支払を要する
電気通信役務450 万
未満

450 万以上 500 万未満

500 万以上（※1）なお、検索サービス又はソーシャル･ネットワーキング･サービスその他交流型電気
通信サービス（利用者数の基準については、900 万以上）については、電気通信事
業の届出等を行う前であっても報告が必要となる。
（※2）年度は電気通信事業報告規則における「報告年度」であり、同規則第 1 条第 2
項第 1 号に基づき、4 月 1 日から翌年 3 月 31 日までをいう。
311

電気通信事業における個人情報保護指針（※3）例えば、ある事業者がインターネット接続サービス A（利用者数 600 万人）、インタ
ーネット接続サービス B（利用者数 200 万人）及びインターネット接続サービス C（利用者数 100 万人）の 3 種類のサービス（いずれも有料）を提供している場合、電気通信事業報告規則様式第 15 の 6 による報告においては、「その提供の開始時において対価としての料金の支払を要するサービスの場合」の項目において、インターネット接続サービス A、同 B、同 C の利用者数を合算して、「利用者の数の平均の区分」の「500 万以上」に該当するものとして報告する必要がある。なお、このとき、インターネット接続サービス A のみならず、B 及び C を含む全てが特定利用者
情報規律の対象となる。
（※4）例えば、携帯電話事業者である A 社において、自社回線を用いての携帯電話サービスと他の携帯電話事業者である B 社の回線を用いての仮想移動電気通信サービスの双方を提供している場合は、当該携帯電話サービスの利用者数と仮想移動電気通信サービスの利用者数を合算して、携帯電話サービス利用者数として報告することとなる。
（※5）例えば、ある事業者が電子メールサービス A（利用者数 500 万人）、電子メールサ
ービス B（利用者数 300 万人）、電子メールサービス C（利用者数 200 万人）の 3
種類のサービス（いずれも有料）を提供している場合、電気通信事業報告規則様式第 15 の 6 による報告においては、「その提供の開始時において対価としての料金の支払を要するサービスの場合」の項目において、電子メールサービス A、同 B、
同 C それぞれの利用者数を合算せず、個別に報告を行い得る。なお、この場合、電子メールサービス B 及び同 C は 6-1-3-1 における「その提供の開始時において対価として料金の支払を要する電気通信役務」の基準値である 500 万人に満たず、上記表の①の区分に該当するため、報告は不要となる。
（※6）例えば、月間アクティブ利用者数の最大値となる、契約・登録利用者数により報告することが考えられる。その場合、前年度における毎月末時点の契約・登録利用者数の平均を算定することになる。
Draft

（参考）
電気通信事業報告規則第2条（第3項、第4項、第5項、第6項）
3 次の表の報告対象事業者の欄に掲げる電気通信事業者又は電気通信事業法
第164条第1項第3号に掲げる電気通信事業（以下この条において「第三号事業」という。）を営む者は、同表の報告対象役務の欄に掲げる電気通信役務（検索サービス及びソーシャル・ネットワーキング・サービスその他交流型電気通信サービ
ス以外の電気通信役務については、その提供の開始時において対価としての料金の支払を要しないものに限る。）ごとに、様式第15の6により、毎報告年度経過
後1月以内に、当該報告年度における1月当たりの当該電気通信役務の提供を受けた利用者（同法第2条第7号イに掲げる者に限り、他の電気通信事業者に卸電
気通信役務を提供する場合にあっては、当該他の電気通信事業者が当該卸電
気通信役務を利用して提供する電気通信役務の利用者（同法第2条第7号イに掲
312電気通信事業における個人情報保護指針

げる者に限る。）を含む。以下この項及び次項において同じ。）の数の平均が、次の各号に掲げる区分（以下この項において単に「区分」という。）のいずれかに該当するかについて、書面等により総務大臣に提出しなければならない。ただし、報告年度における当該利用者の数の平均が該当する区分が、当該電気通信役務についてこの項本文の規定によりした報告のうち直近の報告に係る区分と同一である場合には、この限りではない。
(1) 900万未満(2) 900万以上1,000万未満(3) 1,000万以上
報告対象役務

報告対象事業者

加入電話

電気通信回線設備を設置して加入電話を提供する
電気通信事業者

携帯電話

電気通信回線設備を設置して携帯電話を提供する
電気通信事業者

ＩＰ電話（当該ＩＰ電話の提供のために電気通信番号規則別表第1号に掲げる固定電話番号又は同表第6号に掲げる特定ＩＰ
電話番号を使用するものに限る。）

次のいずれかに該当する電気通信事業者(1) ＩＰ電話を提供する電気通信事業者であって、Ｉ
Ｐ電話の提供のために電気通信番号規則別表第1号に掲げる固定電話番号又は同表第6号に掲げる特定ＩＰ電話番号の指定を受けたもの(2) 前号に掲げる者から電気通信事業者の電気通信事業の用に供するＩＰ電話の提供を受ける電気
通信事業者

インターネット接続サービス

インターネット接続サービスを提供する電気通信事
業者

ＦＴＴＨアクセスサービス

次のいずれかに該当する電気通信事業者(1) 光信号伝送用の端末系伝送路設備を設置してＦＴＴＨアクセスサービスを提供する電気通信事業者（第三号において「設備を設置して提供する事業者」という。）(2) 他の電気通信事業者が設置した光信号伝送用の端末系伝送路設備と自らの電気通信設備を接続してＦＴＴＨアクセスサービスを提供する電気通信事業者（次号において「接続により提供する事業者」という。）（共同住宅等内にＶＤＳＬ設備その他の電気通信設備を用いるＦＴＴＨアクセスサ
ービスにあっては、当該電気通信設備を設置してＦＴＴＨアクセスサービスを提供する電気通信事業者）(3) 設備を設置して提供する事業者又は接続により
313

電気通信事業における個人情報保護指針

提供する事業者から電気通信事業者の電気通信事業の用に供するＦＴＴＨアクセスサービスの提供を受ける電気通信事業者
ＣＡＴＶアクセスサービス

有線テレビジョン放送施設の線路と同一の線路を使用する電気通信設備を設置してＣＡＴＶアクセス
サービスを提供する電気通信事業者

ＢＷＡアクセスサービス

基地局を設置してＢＷＡアクセスサービスを提供する電気通信事業者

公衆無線ＬＡＮアクセス
サービス

公衆無線ＬＡＮアクセスサービスを提供する電気通信事業者

仮想移動電気通信サー
ビス

仮想移動電気通信サービス（ローカル５Ｇに係るサービスを除く。）を提供する電気通信事業者

電子メールサービス

電子メールサービスを提供する電気通信事業者

メッセージングサービス

メッセージングサービスを提供する電気通信事業者

検索サービス

検索サービスを提供する電気通信事業者又は第三号事業を営む者

ソーシャル・ネットワーキ
ング・サービスその他交ソーシャル・ネットワーキング・サービスその他交流型電気通信サービスを提供する電気通信事業者又流型電気通信サービス

は第三号事業を営む者

その他電気通信役務

その他電気通信回線設備を設置して電気通信役
務を提供する電気通信事業者又は電気通信回線設備を設置せずに他人の通信を媒介する電気通信役務を提供する電気通信事業者
Draft

4 前項の表の報告対象事業者の欄に掲げる電気通信事業者は、同表の報告対象
役務の欄に掲げる電気通信役務（その提供の開始時において対価としての料金の支払を要する電気通信役務に限り、検索サービス及びソーシャル・ネットワーキ
ング・サービスその他交流型電気通信サービスを除く。）ごとに、様式第15の6により、毎報告年度経過後1月以内に、当該報告年度における1月当たりの当該電気通信役務の提供を受けた利用者の数の平均が、次の各号に掲げる区分（以下この項において単に「区分」という。）のいずれかに該当するかについて、書面等により総務大臣に提出しなければならない。ただし、報告年度における当該利用者の数の平均が該当する区分が、当該電気通信役務についてこの項本文の規定によりした報告のうち直近の報告に係る区分と同一である場合には、この限りではない。
(1) 450万未満(2) 450万以上500万未満(3) 500万以上
5 第3項の規定により、同項第1号に掲げる区分に該当する旨の報告をすべき電気314

電気通信事業における個人情報保護指針

通信役務を提供する電気通信事業者及び第三号事業を営む者（当該電気通信役務について同項の規定によりした報告のうち直近の報告に係る区分が同項第2号又は第3号に掲げる区分に該当していた者を除く。）については、同項の規定を適用しない。
6 第4項の規定により、同項第1号に掲げる区分に該当する旨の報告をすべき電気通信役務を提供する電気通信事業者（当該電気通信役務について同項の規定によりした報告のうち直近の報告に係る区分が同項第2号又は第3号に掲げる区分に該当していた者を除く。）については、同項の規定を適用しない。

6-1-4 情報取扱規程の策定

情報取扱規程には、特定利用者情報の①安全管理、②委託先の監督、③情報取扱方
針の策定及び公表、④取扱状況の評価並びに⑤従事者に対する監督に関する事項を記載する。
また、既に複数の内部規程等を定めている場合、必ずしも特定利用者情報の取扱いに特化した情報取扱規程を別途策定する必要はない。さらに、指定電気通信事業者ごとに様々な記載の仕方があり得ることから、様式は任意であり、法定の記載事項の該当ページ
を表紙等に記載すれば、記載の順番や項目名等も問わない。
グローバル企業において、日本における特定利用者情報の取扱いに限定した情報取扱規程を策定することが困難な場合、必要な記載事項が含まれることを前提に、企業集団
全体として情報取扱規程の策定を行うことも許容され、他国法令や国際規格などに基づき、既に利用者に関する情報の取扱いに関する文書を策定している場合、情報取扱規程を策定する上で、当該文書を活用することも考えられる。ただし、日本の法制度や環境等、日本の事情も可能な限り考慮することが望ましい。なお、電気通信事業法施行規則第 72 条に基づき、特別の事情により日本語で記載することができないものがあるときは、その訳文を付さなければならないとされていることに留意する必要がある。
指定電気通信事業者は、外国に設置される電気通信設備に特定利用者情報を保存（※）する場合、外国に所在する第三者に特定利用者情報の取扱いを委託する場合、又は外国に所在する第三者が提供する電気通信役務であって情報の保存を目的とするものを利用して特定利用者情報を保存する場合については、当該特定利用者情報の適正な取扱いに影響を及ぼすおそれのある当該外国の制度の把握のために講じる体制について情報取扱規程に定める必要がある。「特定利用者情報の適正な取扱いに影響を及ぼす
おそれのある当該外国の制度」とは、指定電気通信事業者に対し政府の情報収集活動への協力義務を課すことにより、指定電気通信事業者が保有する特定利用者情報について
政府による情報収集が可能となる制度を指し、「特定利用者情報に係る利用者の権利利益に重大な影響を及ぼす可能性のある制度」に限られる。
【安全管理に関する事項の例】

315

電気通信事業における個人情報保護指針

・組織的安全管理措置（責任者の設置、漏えい等事案に対応する体制等報告連絡体制、マニュアル整備、自己点検・検査等）
・人的安全管理措置（研修の実施、誓約書の提出等）
・物理的安全管理措置（入退室管理、機器の持込み制限、盗難・紛失防止措置等）
・技術的安全管理措置（アクセス管理、不正アクセスや DDoS 攻撃等サイバー攻撃への対策等）
・（第 46 条第 1 項(3)ロ①、ハ又はニに規定する場合にあっては、）特定利用者情報の適正な取扱いに影響を及ぼすおそれのある当該外国の制度の把握の体制【委託先の監督に関する事項の例】
・委託先の選定方法（自らが講ずべき安全管理措置と同等の措置が確実に実施されることの確認方法等）
・委託契約において定める特定利用者情報の取扱いに関する事項（安全管理措置、秘密保持、再委託の条件、委託契約終了時の特定利用者情報の取扱い、契約内容が遵守されなかった場合の措置、その他の特定利用者情報の取扱いに関する事項等）
・委託先（再委託先、再々委託先等を含む。）における特定利用者情報の取扱状況の把握の体制及び方法（定期的監査、監査結果を踏まえた委託契約の見直し、再委託先における情報の取扱状況の把握方法等）【情報取扱方針の策定及び公表に関する事項の例】
・情報取扱方針の策定及び公表に係る体制に関する事項（策定組織等）
Draft【取扱状況の評価に関する事項の例】
・取扱状況の評価に係る体制及び方法に関する事項（評価の実施体制並びに評価結果の情報取扱規程及び情報取扱方針への反映体制、評価項目、評価方法及び評価頻度等）【従事者に対する監督に関する事項の例】
・従事者の監督に係る体制及び方法に関する事項（アクセス管理の体制、教育研修等の内容・頻度等）（※）委託先を通じて保存する場合や、第三者の提供するクラウドサービスを利用して保存する場合を含む。

6-1-5 情報取扱規程の届出

指定電気通信事業者は、策定した情報取扱規程について、指定電気通信事業者としての指定を受けた日から 3 か月以内に、電気通信事業法施行規則に定める様式第 15 の 4の「情報取扱規程届出書」により総務大臣に届け出なければならない。なお、既に情報取316

電気通信事業における個人情報保護指針

扱規程に相当するものが策定されている場合等において、情報取扱規程の届出に際し、第 45 条第 1 項各号に掲げる事項以外の内容については、省略又は黒塗り等の対応が可能である。

6-1-6 情報取扱規程の変更の届出

指定電気通信事業者は、情報取扱規程を変更したときは、電気通信事業法施行規則に定める様式第 15 の 5 の「情報取扱規程変更届出書」により、遅滞なく、変更した事項を総務大臣に届け出なければならない。第 47 条第 1 項による評価の結果に基づき情報取扱規程の変更を行った場合も同様である。
（参考）
電気通信事業法第27条の6
1 前条の規定により指定された電気通信事業者は、総務省令で定めるところにより、
特定利用者情報の適正な取扱いを確保するため、次に掲げる事項に関する規程（以下「情報取扱規程」という。）を定め、当該指定の日から3月以内に、総務大臣に届け出なければならない。
(1) 特定利用者情報の漏えい、滅失又は毀損の防止その他の当該特定利用者情報の安全管理に関する事項(2) 特定利用者情報の取扱いを第三者に委託する場合における当該委託を受けた者に対する監督に関する事項(3) 第27条の8第1項に規定する情報取扱方針の策定及び公表に関する事項(4) 第27条の9の規定による評価に関する事項(5) その他総務省令で定める事項
2 前条の規定により指定された電気通信事業者は、情報取扱規程を変更したときは、遅滞なく、変更した事項を総務大臣に届け出なければならない。
電気通信事業法第27条の7
1 総務大臣は、特定利用者情報の適正な取扱いを確保するため必要があると認めるときは、第27条の5の規定により指定された電気通信事業者に対し、当該電気通信事業者が前条各項の規定により届け出た情報取扱規程を変更すべきことを命ずることができる。
2 総務大臣は、第27条の5の規定により指定された電気通信事業者が情報取扱規程を遵守していないと認めるときは、当該電気通信事業者に対し、利用者の利益を保護するために必要な限度において、情報取扱規程を遵守すべきことを命ずることができる。
電気通信事業法施行規則第22条の2の22
1 法第27条の6第1項の規定による届出をしようとする電気通信事業者は、様式第15317

電気通信事業における個人情報保護指針の4の届出書に、次に掲げる事項を内容とする情報取扱規程を添えて行わなければならない。
(1) 特定利用者情報の漏えい、滅失又は毀損の防止その他の当該特定利用者情報の安全管理に関する次に掲げる事項
イ 組織的安全管理措置に関すること。
ロ 人的安全管理措置に関すること。
ハ 物理的安全管理措置に関すること。
ニ 技術的安全管理措置に関すること。
ホ 次条第3号ロ⑴、ハ又はニに規定する場合にあっては、当該特定利用者情報の適正な取扱いに影響を及ぼすおそれのある当該外国の制度の把握の体制に関すること。
(2) 特定利用者情報の取扱いを第三者に委託する場合における当該委託を受けた者に対する監督に関する次に掲げる事項
イ 委託先の選定の方法に関すること。
ロ 委託契約において定める特定利用者情報の取扱いに関すること。
ハ 委託先における特定利用者情報の取扱状況の把握の体制及び方法に関すること。
(3) 情報取扱方針の策定及び公表に関する事項(4) 法第27条の9の規定による評価に関する次に掲げる事項
イ 当該評価の実施並びに当該評価の結果の情報取扱規程及び情報取扱方
針への反映の体制に関すること。
ロ 当該評価を行う項目、方法及び頻度に関すること。
(5) 特定利用者情報を取り扱う従事者に対する監督に関する事項
2 法第27条の6第2項の規定による届出をしようとする電気通信事業者は、様式第15の5の届出書を提出しなければならない。
Draft

6-2 情報取扱方針（第 46 条関係）

ガイドライン第 46 条
1 指定電気通信事業者は、特定利用者情報の取扱いの透明性を確保するため、次に掲げる事項に関する方針（以下この章において「情報取扱方針」という。）を定め、電気通信事業法第 27 条の 5 の規定による指定の日から 3 月以内に、インターネットを利用して公衆の閲覧に供する方法により公表しなければならない。この場合において、当該事項については、利用者が容易に確認できるようにするものとする。
(1) 取得する特定利用者情報の内容（当該特定利用者情報を取得する方法を含む。）に関する事項(2) 特定利用者情報の利用の目的及び方法に関する事項(3) 特定利用者情報の安全管理の方法に関する次に掲げる事項
イ 安全管理措置の概要
318

電気通信事業における個人情報保護指針

ロ 次の①又は②に掲げる場合にあっては、当該①又は②に掲げる場合の区分に応じ、当該①又は②に定める事項① 外国に設置される電気通信設備に特定利用者情報を保存する場合（②に掲げる場合を除く。） 当該外国の名称及び当該特定利用者情報の適正な取扱いに影響を及ぼすおそれのある当該外国の制度の有無② ①に規定する電気通信設備が第三者により設置されたものである場合において、当該電気通信設備が設置された外国の名称を知ることが困難なとき 当該第三者の名称
ハ 外国に所在する第三者に特定利用者情報の取扱いを委託する場合にあっては、当該外国の名称及び当該特定利用者情報の適正な取扱いに影響を及ぼすおそれのある当該外国の制度の有無
ニ 外国に所在する第三者が提供する電気通信役務であって、情報の保存を目的とするものを利用して特定利用者情報を保存する場合にあっては、当該外国の名称及び当該特定利用者情報の適正な取扱いに影響を及ぼすおそれのある当該外国の制度の有無(4) 利用者からの苦情又は相談に応ずる営業所、事務所その他の事業場の連絡先に関する事項(5) 過去 10 年間（電気通信事業法第 27 条の 5 の規定により指定されている期間
が 10 年に満たない場合には、当該期間）に生じた電気通信事業法第 28 条第1 項第 2 号イ及び第 50 条第 1 項に掲げる事故の時期及び内容の公表に関する事項
2 指定電気通信事業者は、情報取扱方針を変更したときは、遅滞なく、これを公表しなければならない。

6-2-1 概要

電気通信事業法第 27 条の 8 第 1 項及び同法施行規則第 22 条の 2 の 23 に基づき、指定電気通信事業者は、特定利用者情報の取扱いの透明性を確保するため、情報取扱方針を定め、指定電気通信事業者としての指定を受けた日から 3 か月以内に、インターネ
ットを利用して公衆の閲覧に供する方法により公表しなければならない。この情報取扱方
針には、①取得する特定利用者情報の内容、②特定利用者情報の利用の目的及び方法、③特定利用者情報の安全管理の方法、④利用者からの相談に応じる事業場の連絡先、並びに⑤過去 10 年間に生じた通信の秘密の漏えい及び第 50 条第 1 項に掲げる漏えいの時期及び内容の公表に関する事項を記載し、これらについて利用者が容易に確認できるようにしなければならない。

319

電気通信事業における個人情報保護指針

6-2-2 情報取扱方針の記載内容

情報取扱方針には、以下の項目について記載する必要がある。
（1）取得する特定利用者情報の内容（当該特定利用者情報を取得する方法を含む。）
に関する事項（2）特定利用者情報の利用の目的及び方法に関する事項（具体的利用例を含む。）（※1）（3）特定利用者情報の安全管理の方法に関する次に掲げる事項
イ 安全管理措置の概要（※2）
ロ 次の①又は②に掲げる場合にあっては、当該①又は②に掲げる場合の区分に応じ、当該①又は②に定める事項① 外国に設置される電気通信設備に特定利用者情報を保存（※3）する場合（②に掲げる場合を除く。） 当該外国の名称（※4）（※5）及び当該特定利用者情報の適正な取扱いに影響を及ぼすおそれのある当該外国の制度（※6）の有無（※7）② ①に規定する電気通信設備が第三者により設置されたものである場合において、
当該電気通信設備が設置された外国の名称を知ることが困難なとき 当該第三者の名称（※8）
ハ 外国に所在する第三者に特定利用者情報の取扱いを委託する場合（※9）（※10）（※11）にあっては、委託先（再委託先を含む）の所在国の名称（※5）及び当該特定利用者情報の適正な取扱いに影響を及ぼすおそれのある当該外国の制度（※6）の有無（※7）
ニ 外国に所在する第三者が提供する電気通信役務であって、情報の保存を目的とするものを利用して特定利用者情報を保存する場合にあっては、当該外国の名称（※5）及び当該特定利用者情報の適正な取扱いに影響を及ぼすおそれのある当
該外国の制度（※6）の有無（※7）（4）利用者からの苦情又は相談に応ずる営業所、事務所その他の事業場の連絡先に関する事項（5）過去 10 年間（指定電気通信事業者として指定されている期間が 10 年に満たない
場合には、当該期間）に生じた通信の秘密の漏えい及び第 50 条第 1 項に掲げる漏
えいの時期及び内容の公表に関する事項（※12）
Draft【外国の名称等の記載の仕方】
事例 1）外国である A 国に所在する事業者が提供するクラウドサービスを利用して特定
利用者情報を保存する場合であって、当該クラウドサービスのサーバが A 国と B
国に所在するとき
・(3)ロ①及びニに基づき、A 国の名称及び当該特定利用者情報の適正な取扱
いに影響を及ぼすおそれのある A 国の制度の有無を記載

320

電気通信事業における個人情報保護指針

・(3)ロ①に基づき、B 国の名称及び当該特定利用者情報の適正な取扱いに影響を及ぼすおそれのある B 国の制度の有無を記載
事例 2）外国である A 国に所在する事業者に対し特定利用者情報の取扱いを委託する
場合で、当該第三者がさらに B 国に所在する他の事業者に再委託するとき
・(3)ハに基づき、A 国及び B 国の名称並びに当該特定利用者情報の適正な取扱いに影響を及ぼすおそれのある A 国及び B 国の制度の有無を記載
なお、既にプライバシーポリシーを定めている場合、3-5（プライバシーポリシー）に留意しながら、既存のものに必要事項を追記して対応することで足りる（※13）。
情報取扱方針の策定に当たっては、公表されるホームページにおいて、利用者が理解しやすく分かりやすい記載方法とする必要がある。また、同様に利用者にとって分かりやす
い場所に掲載されることが望ましい。
【利用者が理解しやすい分かりやすい記載方法の例】
・全ての記載事項を一覧表示せず、アコーディオン方式（※14）で整理し、利用者にとって必要な内容のみを表示することができるようにすること
・挿絵や図表を活用すること（※1）あらかじめ、特定利用者情報を第三者に提供することを想定している場合には、利用目的の特定に当たっては、その旨が明確に分かるように記載する。
（※2）組織的安全管理措置、人的安全管理措置、物理的安全管理措置、技術的安全管理措置、（該当する場合には）特定利用者情報の適正な取扱いに影響を及
ぼすおそれのある当該外国の制度の把握の体制の全てについて記載する必要がある。
（※3）指定電気通信事業者が特定利用者情報を「保存」する場合（委託先を通じて「保存」する場合、第三者の提供するクラウドサービスを利用して保存する場合を含む。）を意味する。国際電話及び国際ローミングにおいて、外国に所在する電気通信事業者が取得した特定利用者情報の保存は、これに該当しない。なお、保存期間がごく一時的であり、特定利用者情報の安全管理において懸念が生じ得ないほどに短時間である場合は、「保存」に該当しない。データ確認やデータ加工等の目的での一時的保管は、通常、「保存」に該当する。
（※4）情報を保存する場所を動的に変化させることでリスクを分散させる技術等もあり、
リアルタイムで所在国を特定することが困難な場合があるため、当該外国の名称には、保存する可能性がある国の名称を含む。
（※5）当該外国が APEC CBPR システム加盟国である場合、その旨を併記することも考えられる。
（※6）指定電気通信事業者に対し政府の情報収集活動への協力義務を課すことにより、指定電気通信事業者が保有する特定利用者情報について政府による情報
321

電気通信事業における個人情報保護指針

収集が可能となる制度を指し、「特定利用者情報に係る利用者の権利利益に重大な影響を及ぼす可能性のある制度」に限られる。
（※7）合理的に調査可能な範囲で行った調査（例えば、我が国又は外国の行政機関
等が公表している情報を確認する方法等）により判明した内容を公表することで足りる。
（※8）第三者の名称を公表する場合、自社のセキュリティポリシー等に照らし当該事業者を選択した理由及び特定利用者情報の漏えいが生じた場合の対応方針等についても言及することが望ましい。
（※9）一般に、国際電話及び国際ローミングにおいては、外国に所在する現地の電気通信事業者に特定利用者情報の取扱いを委託しているものとは解されない。
（※10）特定利用者情報が委託先（再委託先を含む。）の所在国以外の国においても取り扱われる場合（例えば、当該委託先の外国支店によって取り扱われる場合が考えられる。）、委託先の所在国の名称として、直接の委託先の所在国に限らず、
特定利用者情報が現に取り扱われる国の名称を併せて記載することが望ましい。
（※11）外国に所在する第三者が提供するクラウドサービスを利用してその設置するサーバに特定利用者情報を保存する場合において、契約条項によって当該クラウドサービス提供事業者がサーバに保存された特定利用者情報を取り扱わない
旨が定められており、適切にアクセス制御を行っている場合等には、当該クラウドサービス提供事業者は特定利用者情報を取り扱うものではないと考えられるため、当該場合は、「外国に所在する第三者に特定利用者情報の取扱いを委託する場合」（ハ）には該当しない。ただし、「外国に所在する第三者が提供する電気通信役務であって、情報の保存を目的とするものを利用して特定利用者情報を保存する場合」（ニ）には該当するため、当該クラウドサービス提供事業者の所在する外国の名称及び当該特定利用者情報の適正な取扱いに影響を及ぼすおそれのある当該外国の制度の有無を公表する必要がある。
（※12）情報取扱方針には、当該漏えいの時期及び内容の公表に関する方針を記載する（例えば、当該漏えいの発生状況について 1 年ごとに公表する旨を記載すること等が考えられる。）。当該漏えいが発生した際の時期及び内容自体については、情報取扱方針又はその他の文書等で公表することが望ましい。
（※13）その場合には、特定利用者情報に係る内容が分かりやすく確認できるように工夫することが望ましい。
（※14）特定の項目名をクリックする等して、必要な内容を表示、他の内容を非表示させるような仕組みをいう。
Draft

6-2-3 情報取扱方針の公表方法

情報取扱方針の公表は、インターネットを利用して公衆の閲覧に供する方法により行われなければならない。

322

電気通信事業における個人情報保護指針

6-2-4 情報取扱方針の変更

指定電気通信事業者は、情報取扱方針を変更したときは、遅滞なく、これを公表しなければならない。第 47 条第 1 項による評価の結果に基づき情報取扱方針の変更を行った
場合も同様である（※）。
（※）情報取扱方針を変更した事実についても、利用者にとって分かりやすい場所に掲載するなど、利用者が容易に確認できるようにすることが望ましい。
（参考）
電気通信事業法第27条の8
1 第27条の5の規定により指定された電気通信事業者は、総務省令で定めるところ
により、特定利用者情報の取扱いの透明性を確保するため、次に掲げる事項に関する方針（次項及び次条第2項において「情報取扱方針」という。）を定め、当該指定の日から3月以内に、公表しなければならない。
一 取得する特定利用者情報の内容に関する事項
二 特定利用者情報の利用の目的及び方法に関する事項
三 特定利用者情報の安全管理の方法に関する事項
四 利用者からの苦情又は相談に応ずる営業所、事務所その他の事業場の連絡先に関する事項
五 その他総務省令で定める事項
2 第27条の5の規定により指定された電気通信事業者は、情報取扱方針を変更した
ときは、遅滞なく、これを公表しなければならない。
電気通信事業法施行規則第22条の2の23
法第27条の8第1項の規定による公表をしようとする電気通信事業者は、次に掲げる事項を内容とする情報取扱方針をインターネットを利用して公衆の閲覧に供する方
法により公表しなければならない。この場合において、当該事項については、利用者が容易に確認できるようにするものとする。
(1) 取得する特定利用者情報の内容（当該特定利用者情報を取得する方法を含む。）に関する事項(2) 特定利用者情報の利用の目的及び方法に関する事項(3) 特定利用者情報の安全管理の方法に関する次に掲げる事項
イ 安全管理措置の概要
ロ 次の①又は②に掲げる場合にあっては、当該①又は②に掲げる場合の区分に応じ、当該①又は②に定める事項① 外国に設置される電気通信設備に特定利用者情報を保存する場合（②に掲げる場合を除く。） 当該外国の名称及び当該特定利用者情報の適正な取扱いに影響を及ぼすおそれのある当該外国の制度の有無
323

電気通信事業における個人情報保護指針② ①に規定する電気通信設備が第三者により設置されたものである場合において、当該電気通信設備が設置された外国の名称を知ることが困難なとき
当該第三者の名称
ハ 外国に所在する第三者に特定利用者情報の取扱いを委託する場合にあっては、当該外国の名称及び当該特定利用者情報の適正な取扱いに影響を及ぼすおそれのある当該外国の制度の有無
ニ 外国に所在する第三者が提供する電気通信役務であって、情報の保存を目的とするものを利用して特定利用者情報を保存する場合にあっては、当該外国の名称及び当該特定利用者情報の適正な取扱いに影響を及ぼすおそれのある当該外国の制度の有無(4) 利用者からの苦情又は相談に応ずる営業所、事務所その他の事業場の連絡先に関する事項(5) 過去10年間（法第27条の5の規定により指定されている期間が10年に満たない
場合には、当該期間）に生じた法第28条第1項第2号イ及びロに掲げる事故の時
期及び内容の公表に関する事項

6-3 特定利用者情報の取扱状況の評価等（第 47 条関係）

ガイドライン第 47 条
1 指定電気通信事業者は、毎事業年度、直近の事業年度における社会情勢、技術の動向、外国の制度、サイバーセキュリティ（サイバーセキュリティ基本法（平成 26年法律第 104 号）第 2 条に規定するサイバーセキュリティをいう。）に対する脅威その他の状況の変化を踏まえ、特定利用者情報の取扱いの状況について、少なくとも
次に掲げる事項に係る評価を実施しなければならない。
(1) 直近の事業年度における情報取扱規程及び情報取扱方針の遵守状況(2) 直近の事業年度における特定利用者情報の漏えい
2 前項の規定は、電気通信事業法第 27 条の 5 の規定による指定の日を含む事業
年度の翌事業年度から適用する。この場合において、当該翌事業年度における同項の規定の適用については、同項中「直近の事業年度」とあるのは、「電気通信事
業法第 27 条の 5 の規定による指定の日から当該指定の日を含む事業年度の最終日までの間」とする。
3 指定電気通信事業者は、第 1 項の規定による評価の結果に基づき、必要があると認めるときは、情報取扱規程又は情報取扱方針を変更しなければならない。
Draft

6-3-1 概要

電気通信事業法第 27 条の 9 第 1 項及び同法施行規則第 22 条の 2 の 24 に基づき、指定電気通信事業者は、毎事業年度、特定利用者情報の取扱いの状況について評価を実施しなければならない。
324

電気通信事業における個人情報保護指針

6-3-2 評価の実施

評価については、直近の事業年度における社会情勢、技術の動向、外国の制度、サイ
バーセキュリティに対する脅威その他の状況の変化を的確に把握し、特定利用者情報の適正な取扱いの確保に資するため、少なくとも次に掲げる事項について行う必要がある。
（1）直近の事業年度における情報取扱規程及び情報取扱方針の遵守状況（2）直近の事業年度における特定利用者情報の漏えい（※1）
なお、GDPR におけるデータ保護影響評価においては、個人の権利及び自由に対して高いリスクが想定される取扱いについては、その取扱いの開始前にその影響評価を実施
しなければならないとされている。特定利用者情報の取扱状況の評価とは観点や評価時期が異なるものの、その他国際規格等も含め、特定利用者情報の取扱状況の評価を行う
上で活用可能な範囲でこれらの他の評価手法を活用することは妨げられない（※2）。
また、グローバル企業において、日本の利用者情報に限定した評価を実施することが困難である場合には、企業集団で取り扱う日本以外の国の利用者情報を含めた全体の評価を行うことも許容される。ただし、この場合、日本独自の事情等も可能な限り考慮することが望ましい。
（※1）例えば、各漏えい事案の発生原因や再発防止策等の分析を行い、背景にある可能性がある社会情勢、技術の動向、外国の制度、サイバーセキュリティに対する脅
威その他の状況の変化を的確に把握した上で、特定利用者情報の適正な取扱いの確保に資することが考えられる。
（※2）個人情報等の収集を伴う事業の開始や変更の際に、プライバシー等の個人の権利利益の侵害リスクを低減・回避するために、事前に影響を評価するリスク管理手法である PIA（Privacy Impact Assessment、個人情報保護評価）の意義や手順等について、個人情報保護委員会において公表されているところ（https://www.ppc.go.jp/personalinfo/independent_effort/）、このような手法を参考にすることも考えられる。

6-3-3 評価の結果に基づく情報取扱規程又は情報取扱方針の変更

指定電気通信事業者は、評価の結果に基づき、必要があると認めるときは、情報取扱規程又は情報取扱方針を変更しなければならない。
この場合において、情報取扱規程を変更したときは、指定電気通信事業者は、電気通信事業法施行規則に定める様式第 15 の 5 の「情報取扱規程変更届出書」により、遅滞な
く、変更した事項を総務大臣に届け出なければならない。また、情報取扱方針を変更した
ときは、遅滞なく、これを公表しなければならない。
325

電気通信事業における個人情報保護指針（参考）
電気通信事業法第27条の91 第27条の5の規定により指定された電気通信事業者は、総務省令で定めるところ
により、毎事業年度、特定利用者情報の取扱いの状況について評価を実施しなけ
ればならない。
2 第27条の5の規定により指定された電気通信事業者は、前項の規定による評価の結果に基づき、必要があると認めるときは、情報取扱規程又は情報取扱方針を変更しなければならない。
電気通信事業法施行規則第22条の2の24
1 法第27条の9第1項の規定による評価は、直近の事業年度における社会情勢、技術の動向、外国の制度、サイバーセキュリティ（サイバーセキュリティ基本法（平成26年法律第104号）第2条に規定するサイバーセキュリティをいう。）に対する脅威
その他の状況の変化を踏まえ、少なくとも次に掲げる事項について行うものとする。
(1) 直近の事業年度における情報取扱規程及び情報取扱方針の遵守状況(2) 直近の事業年度における特定利用者情報の漏えい
2 前項の規定は、法第27条の5の規定による指定の日を含む事業年度の翌事業年度から適用する。この場合において、当該翌事業年度における同項の規定の適用については、同項中「直近の事業年度」とあるのは、「法第27条の5の規定による指定の日から当該指定の日を含む事業年度の最終日までの間」とする。
Draft

6-4 特定利用者情報統括管理者（第 48 条関係）

ガイドライン第 48 条
1 指定電気通信事業者は、第 45 条第 1 項各号に掲げる事項に関する業務を統括管理させるため、電気通信事業法第 27 条の 5 の規定による指定の日から 3 月以
内に、事業運営上の重要な決定に参画する管理的地位にあり、かつ、次に掲げる要件のいずれかに該当する者のうちから、特定利用者情報統括管理者を選任しなければならない。
(1) 電気通信役務の提供を受ける者又は電気通信事業以外の事業における顧客に関する情報の取扱いに関する業務のうち、次のいずれかに該当するものに通算して 3 年以上従事した経験を有すること。
イ 電気通信役務の提供を受ける者又は電気通信事業以外の事業における顧客に関する情報の取扱いに関する安全管理又は法令に関する業務
ロ イに掲げる業務を監督する業務(2) 前号に掲げる要件と同等以上の能力を有すると認められること。

326

電気通信事業における個人情報保護指針

2 指定電気通信事業者は、特定利用者情報統括管理者を選任し、又は解任したときは、遅滞なく、次に掲げる事項を記載した届出書を提出する方法により、その旨を総務大臣に届け出なければならない。
(1) 氏名又は名称及び住所並びに法人にあっては、その代表者の氏名(2) 選任し、又は解任した特定利用者情報統括管理者の氏名及び生年月日(3) 選任し、又は解任した年月日(4) 解任の場合にあっては、その理由
3 前項の届出書には、選任された特定利用者情報統括管理者が事業運営上の重要な決定に参画する管理的地位にあること及び第 1 項に規定する要件を備えることを証する書類を添付しなければならない。

6-4-1 概要

電気通信事業法第 27 条の 10 第 1 項及び同法施行規則第 22 条の 2 の 25 に基づき、指定電気通信事業者は、第 45 条第 1 項各号に掲げる事項に関する業務を統括管理させるため、指定電気通信事業者としての指定を受けた日から 3 か月以内に、事業運営上の重要な決定に参画する管理的地位にあり、かつ、6-4-2 の要件のいずれかに該当する者のうちから、特定利用者情報統括管理者を選任しなければならない。
また、電気通信事業法第 27 条の 10 第 1 項及び同法施行規則第 22 条の 2 の 25 に基づき、指定電気通信事業者は、特定利用者情報統括管理者を選任又は解任した場合は、遅滞なく、その旨を総務大臣に届け出なければならない。

6-4-2 選任の要件

特定利用者情報統括管理者の選任に当たっては、事業運営上の重要な決定に参画す
る管理的地位にあり、かつ、次に掲げる要件のいずれかに該当する者のうちから行う必要がある。
（1）電気通信役務の提供を受ける者又は電気通信事業以外の事業の顧客に関する情報の取扱いに関する業務のうち、次のいずれかに該当するものに通算して 3 年以上従事した経験を有すること。
イ 電気通信役務の提供を受ける者又は電気通信事業以外の事業の顧客に関する情報の取扱いに関する安全管理又は法令（日本法令に限らない。）に関する業務
ロ イに掲げる業務を監督する業務（2）前号に掲げる要件と同等以上の能力を有すると認められること。
「事業運営上の重要な決定に参画する管理的地位」にある者とは、特定利用者情報の取扱いを経営レベルで全体的かつ横断的に監督する責任と権限を有する者をいう。

327

電気通信事業における個人情報保護指針

なお、既に情報責任者（CIO（Chief Information Officer））、最高情報セキュリティ責任者（CISO（Chief Information Security Officer））、個人情報保護管理者（3-4-7（個人情報保護管理者）参照）などを設置している場合、要件を満たす者である場合には、特定利用者
情報統括管理者として、必要となる職務を追加し選任することで足りる。

6-4-3 特定利用者情報統括管理者の選任及び解任の届出

指定電気通信事業者は、特定利用者情報統括管理者を選任し、又は解任したときは、遅滞なく、電気通信事業法施行規則第 22 条の 2 の 26 に基づく届出書を総務大臣に提出しなければならない。その際届出書に添付することになる、選任された特定利用者情報
統括管理者が事業運営上の重要な決定に参画する管理的地位にあること及び 6-4-2 の要件を備えることを証する書類については、当該要件を備えることを確認した旨の当該事業者が作成した書類等が考えられる。
（参考）
電気通信事業法第27条の10
1 第27条の5の規定により指定された電気通信事業者は、第27条の6第1項各号に掲げる事項に関する業務を統括管理させるため、当該指定の日から3月以内に、事業運営上の重要な決定に参画する管理的地位にあり、かつ、利用者に関する情報の取扱いに関する一定の実務の経験その他の総務省令で定める要件を備える者のうちから、総務省令で定めるところにより、特定利用者情報統括管理者を選任しなければならない。
2 第27条の5の規定により指定された電気通信事業者は、特定利用者情報統括管
理者を選任し、又は解任したときは、総務省令で定めるところにより、遅滞なく、その旨を総務大臣に届け出なければならない。
Draft

電気通信事業法施行規則第22条の2の25
法第27条の10第1項の総務省令で定める要件は、次に掲げる要件のいずれかに該当する者とする。
(1) 電気通信役務の提供を受ける者又は電気通信事業以外の事業における顧客に関する情報の取扱いに関する業務のうち、次のいずれかに該当するものに通算して3年以上従事した経験を有すること。
イ 電気通信役務の提供を受ける者又は電気通信事業以外の事業における顧客に関する情報の取扱いに関する安全管理又は法令に関する業務
ロ イに掲げる業務を監督する業務(2) 前号に掲げる要件と同等以上の能力を有すると認められること。
電気通信事業法施行規則第22条の2の26
1 法第27条の10第2項の規定による届出をしようとする者は、次に掲げる事項を記載
328

電気通信事業における個人情報保護指針

した届出書を総務大臣に提出しなければならない。
(1) 氏名又は名称及び住所並びに法人にあっては、その代表者の氏名(2) 選任し、又は解任した特定利用者情報統括管理者の氏名及び生年月日(3) 選任し、又は解任した年月日(4) 解任の場合にあっては、その理由
2 前項の届出書には、選任された特定利用者情報統括管理者が事業運営上の重要な決定に参画する管理的地位にあること及び前条に規定する要件を備えることを証する書類を添付しなければならない。

6-4-4 特定利用者情報統括管理者及び指定電気通信事業者の義務（第 49 条関係）

ガイドライン第 49 条
1 特定利用者情報統括管理者は、誠実にその職務を行わなければならない。
2 指定電気通信事業者は、利用者の利益の保護に関し、特定利用者情報統括管理者のその職務を行う上での意見を尊重しなければならない。

特定利用者情報の適正な取扱いを確保する上での特定利用者情報統括管理者の職務の重要性に鑑み、特定利用者情報統括管理者は、誠実にその職務を行う必要がある。
また、指定電気通信事業者は、特定利用者情報統括管理者の職務上の意見を尊重す
る必要がある。
（参考）
電気通信事業法第27条の11
1 特定利用者情報統括管理者は、誠実にその職務を行わなければならない。
2 第27条の5の規定により指定された電気通信事業者は、利用者の利益の保護に関し、特定利用者情報統括管理者のその職務を行う上での意見を尊重しなければならない。

6-5 特定利用者情報の漏えい報告（第 50 条関係）

ガイドライン第 50 条
1 指定電気通信事業者は、電気通信業務に関し特定利用者情報（電気通信事業法
第 27 条の 5 第 2 号に掲げる情報であって次の各号のいずれかに該当するものに限る。）の漏えいが生じたときは、その旨をその理由又は原因とともに、遅滞なく、総務大臣に報告しなければならない。
(1) 当該情報に含まれる利用者（電気通信事業法第 2 条第 7 号イに掲げる者に限る。）の数が 1,000 を超えるもの(2) 特定利用者情報の適正な取扱いに影響を及ぼすおそれのある外国の制度に329

電気通信事業における個人情報保護指針

基づき、外国政府に提供を行ったもの
2 前項の規定による報告をしようとする者は、報告を要する事由を知った後速やかに
その発生日時及び場所、概要、理由又は原因、措置模様その他参考となる事項について適当な方法により報告するとともに、その詳細について電気通信事業法施行規則様式第 50 の 2 の 2 により特定利用者情報の漏えいを知った日から 30 日以内に報告書を提出しなければならない。

6-5-1 概要

電気通信事業法第 28 条第 1 項第 2 号ロに基づき、指定電気通信事業者は、電気通信業務に関し一定の特定利用者情報の漏えいが生じたときには、その旨をその理由又は原因とともに、遅滞なく、総務大臣に報告しなければならない。

6-5-2 報告対象

通信の秘密に該当する情報を除く特定利用者情報（以下 6-5 において「一定の特定利用者情報」という。）であって以下のいずれかの情報を漏えいした場合に、報告が必要である。
①一定の特定利用者情報に含まれる契約・登録利用者の数が 1,000 を超える情報（※1）②特定利用者情報の適正な取扱いに影響を及ぼすおそれのある外国の制度に基づき、外国政府に提供を行った（※2）一定の特定利用者情報
Draft②について、「特定利用者情報の適正な取扱いに影響を及ぼすおそれのある外国の制度」とは 6-1-4 の制度と同一の制度を指す。
なお、通信の秘密に係る特定利用者情報について漏えいの事案が発生した場合についても、電気通信事業法第 28 条第 1 項第 2 号イに基づき総務大臣への報告が必要となる。
（※1）利用者が一人で複数のアカウントを利用できるサービスである場合、（本人の人数ではなく）アカウント数に基づいて算定される。なお、法人としてあるサービスを契約し、当該法人内で複数のアカウントが従業員に対して割り当てられている場
合において、当該従業員のアカウントが漏えいした場合、その漏えいした従業員のアカウントの数にかかわらず、漏えいした契約・登録利用者数は、1 と算定される。
（※2）指定電気通信事業者がその意思に基づき協力に応じる場合に加え、指定電気通信事業者の意思に反して、その従事者又は業務委託先の第三者等が協力に応じる場合を含む。
330

電気通信事業における個人情報保護指針

6-5-3 「漏えい」の考え方

電気通信事業法で規定する通信の秘密の「漏えい」は、他人の知り得る状態に置くこととされており、通信当事者の有効な同意を得た場合や正当業務行為等の違法性阻却事由がある場合を除き、「漏えい」に該当するとされている（※1）（※2）。この点、外国政府により、情報収集活動への協力義務を課す制度に基づき、通信の秘密が取得された場合、通常、
違法性阻却事由に該当するものではなく、このため、通信当事者の有効な同意（※3）を得ていない場合には、通信の秘密の漏えいに該当することとなる。
これと同様に、特定利用者情報に含まれる通信の秘密に該当する情報と一定の特定利用者情報については区別なく同等に規範が設けられていることから、外国政府により、情報収集活動への協力義務を課す制度に基づき、利用者の有効な同意（※3）なく、特定利用者情報が取得された場合、通常、特定利用者情報の「漏えい」に該当する。特に、特定利用者情報の適正な取扱いに影響を及ぼすおそれのある外国の制度に基づき、一定の特定利用者情報が取得された場合には、漏えいした一定の特定利用者情報に係る利用者の数が 1,000 以下であっても、報告対象となる。
なお、特定利用者情報の利用の目的及び方法に関する事項を情報取扱方針に記載する際、あらかじめ、特定利用者情報を第三者に提供することを想定している場合には、利用目的の特定に当たっては、その旨明確にわかるように記載（6-2-2（情報取扱方針の記
載内容）参照）することになっているところ、一定の特定利用者情報については、情報取扱方針に第三者に提供する旨明確にわかるように記載されている場合には、その適正な取扱いに影響を及ぼすおそれのある外国の制度に基づき外国政府に提供を行った場合を除き、「漏えい」に該当しないものとする。
通信の秘密、個人データ、特定利用者情報の各漏えいに関する報告先等は次の表のとおりである。
情報の種類

報告先

根拠規定

通信の秘密

総務大臣等

電気通信事業法第28条第1項
第2号イ

個人データ（※4）

総務大臣等（※6）

法第26条第1項

特定利用者情報（通信の秘密 総務大臣等に該当するものを除く）（※5）

電気通信事業法第28条第1項
第2号ロ（※1）「通信の秘密の確保に支障があるときの業務の改善命令の発動に係る指針」（https://www.soumu.go.jp/main_content/000735982.pdf）（※2）これに対し、法第 26 条第１項の規定する「漏えい」は、事業者の意図に基づくことな
く、個人データが外部に流出することを意味する（3-6-1（漏えい等の考え方）参照。）。
このため、電気通信事業者が、その意図に基づき、特定利用者情報に該当する個人
331電気通信事業における個人情報保護指針

データを、上記の協力義務を課す制度に基づき外国政府に提供した場合、電気通信事業法では「漏えい」に該当し得るが、法では「漏えい」には該当せず、「提供」に該当する（個人情報取扱事業者は、個人データを第三者に「提供」するに当たっては、原則として、あらかじめ本人の同意を得る必要があり、本人の同意を得ずに個人データを第三者に「提供」した場合には、法に違反することとなる（3-7（個人データの第三者
への提供）参照））。
（※3）2-17（本人の同意）参照。
（※4）報告の対象は、規則第 7 条各号（本ガイドライン第 16 条第 1 項各号）に該当するもの。
（※5）報告の対象は、漏えいした特定利用者情報に含まれる利用者の数が 1,000 を超えるもの。特定利用者情報の適正な取扱いに影響を及ぼすおそれのある外国の制度に基づき外国政府に提供を行った場合は、含まれる利用者の数にかかわらず報告の対象となる。
（※6）法第 150 条第１項の規定により総務大臣等が報告を受理する権限の委任を受けている場合。総務大臣は、法第 150 条第 2 項に基づき個人情報保護委員会へ報告。

6-5-4 報告様式等

指定電気通信事業者は、一定の特定利用者情報の漏えいが発生した場合、電気通信事業法施行規則第 57 条に基づき、速やかにその発生日時及び場所、概要、理由又は原因、措置模様その他参考となる事項について適当な方法により総務大臣に報告するとともに、その詳細について、電気通信事業法施行規則に定める様式第 50 の 2 の 2 により、一定の特定利用者情報の漏えいを知った日から 30 日以内に報告書を提出しなければならない。
漏えい発生当初の報告については、「適当な方法」により行われれば足りるが、報告書については、電気通信事業法施行規則様式第 50 の 2 の 2 による必要があり、具体的には以下の項目について記載することが必要である。
Draft①漏えいが第 50 条第 1 項第 1 号（6-5-2①）に該当するか第 2 号（6-5-2②）に該当す
るかの別②発生年月日③復旧年月日
④発生場所
⑤発生状況
⑥発生原因
⑦措置模様
⑧再発防止策332

電気通信事業における個人情報保護指針

通信の秘密の漏えいに関する報告書が同時に提出される場合において、各報告事項
に関し、当該報告書の内容と同一の内容であるときは、当該報告書に同じとして記入を省略することができる。また、漏えいが第 50 条第 1 項第 2 号に該当する場合、上記②復旧年月日、⑦措置模様及び⑧再発防止策については、記載を省略することができる。
（参考）
電気通信事業法第28条
1 電気通信事業者は、次に掲げる場合には、その旨をその理由又は原因とともに、遅滞なく、総務大臣に報告しなければならない。
(1) 第8条第2項の規定により電気通信業務の一部を停止したとき。
(2) 電気通信業務に関し次に掲げる事故が生じたとき。
イ 通信の秘密の漏えい
ロ 第27条の5の規定により指定された電気通信事業者にあっては、特定利用者情報（同条第2号に掲げる情報であって総務省令で定めるものに限る。）の漏えい
ハ その他総務省令で定める重大な事故
2 電気通信事業者は、前項第2号イからハまでに掲げる事故が生ずるおそれがあると認められる事態として総務省令で定めるものが生じたと認めたときは、その旨をその理由又は原因とともに、遅滞なく、総務大臣に報告しなければならない。
電気通信事業法施行規則第57条
法第28条第1項の規定による報告をしようとする者は、報告を要する事由が発生した
後（通信の秘密又は特定利用者情報（次条第1項に規定する情報に限る。以下この条において同じ。）の漏えいに係るものにあっては、それを知った後）速やかにその発生日時及び場所、概要、理由又は原因、措置模様その他参考となる事項について適当な方法により報告するとともに、その詳細について次の表の上欄に掲げる報告の事由の区分に応じ、それぞれ同表の中欄に掲げる様式により同表の下欄に掲げる報告期
限までに報告書を提出しなければならない。
報告の事由

様式

報告期限

(3) 特定利用者情報の漏えい

様式第50の2の2

特定利用者情報の漏えいを知った日から30日以内(4) 次条第2項に規定する重大な事故様式第50の3

その重大な事故が発生した日から
30日以内

［略］

電気通信事業法施行規則第58条（第1項）
1 法第28条第1項第2号ロの総務省令で定める情報は、次の各号のいずれかに該当するものとする。
(1) 当該情報に含まれる利用者（法第2条第7号イに掲げる者に限る。第59条の3第333

電気通信事業における個人情報保護指針

5項第1号において同じ。）の数が1,000を超えるもの(2) 特定利用者情報の適正な取扱いに影響を及ぼすおそれのある外国の制度に基づき、外国政府に提供を行つたもの

Draft

334

電気通信事業における個人情報保護指針

7. 外部送信に係る利用者に関する情報の取扱い（第 5 章関係）

335

電気通信事業における個人情報保護指針

7. 外部送信に係る利用者に関する情報の取扱い（第 5 章関係）
7-1 規律の概要（第 51 条第 1 項関係）

ガイドライン第 51 条（第 1 項）
1 ブラウザその他のソフトウェア（利用者が使用するパーソナルコンピュータ、携帯電
話端末又はこれらに類する端末機器においてオペレーティングシステムを通じて実行されるものに限る。第 4 項において同じ。）により、次の各号のいずれかに該当す
る電気通信役務を提供する電気通信事業者は、その利用者に対し電気通信役務を提供する際に、当該利用者の電気通信設備を送信先とする情報送信指令通信（利用者の電気通信設備が有する情報送信機能（利用者の電気通信設備に記録された当該利用者に関する情報を当該利用者以外の者の電気通信設備に送信する機能をいう。以下この条において同じ。）を起動する指令を与える電気通信の送信をいう。以下この条において同じ。）を行おうとするときは、あらかじめ、第 5 項各号に掲げる事項を当該利用者に通知し、又は当該利用者が容易に知り得る状態に置かなければならない。
(1) 他人の通信を媒介する電気通信役務(2) その記録媒体に情報を記録し、又はその送信装置に情報を入力する電気通信を利用者から受信し、これにより当該記録媒体に記録され、又は当該送信装置に入力された情報を不特定の利用者の求めに応じて送信する機能を有する電気通信設備を他人の通信の用に供する電気通信役務(3) 入力された検索情報（検索により求める情報をいう。以下この号において同じ。）に対応して、当該検索情報が記録された全てのウェブページ（通常の方法
により閲覧ができるものに限る。第 4 項において同じ。）のドメイン名その他の所在に関する情報を出力する機能を有する電気通信設備を他人の通信の用に供する電気通信役務(4) 前号に掲げるもののほか、不特定の利用者の求めに応じて情報を送信する機能を有する電気通信設備を他人の通信の用に供する電気通信役務であって、不特定の利用者による情報の閲覧に供することを目的とするもの
Draft

電気通信事業法第 27 条の 12 に基づき、同法施行規則第 22 条の 2 の 27 各号の電気通信役務であって、ブラウザやアプリケーション（利用者のパーソナルコンピュータ、携帯電
話、スマートフォン、タブレット等で起動するものに限る。以下この章において同じ。）を通じて提供されるもの（以下この章において「対象役務」という。）を提供する電気通信事業者は、利用者に対し対象役務を提供する際に、当該利用者の電気通信設備（端末設備）を送信先とする情報送信指令通信を行おうとするときは、原則として、情報送信指令通信によって送信される情報の内容や送信先となる電気通信設備等について、当該利用者に確認の機会を付与しなければならない（以下この章において「本規律」という。）。
ここでいう確認の機会の付与とは、原則として、当該利用者に通知し、又は当該利用者が容易に知り得る状態に置くこと（以下この章において「通知等」という。）であるが、利用者が同意をしている情報（※1）、及び電気通信事業者がオプトアウト措置（※2）を講じている
336

電気通信事業における個人情報保護指針

場合に、利用者がオプトアウト措置の適用を求めていない情報については、これらの手法により当該利用者に確認の機会が付与されていると考えられるため、通知等を要しないこととしている。
また、電気通信役務において送信する符号等を利用者の電気通信設備（端末設備）に適正に表示するために必要な情報その他の利用者が電気通信役務を利用する際に送信をすることが必要なものとして電気通信事業法施行規則第 22 条の 2 の 30 で定める情報及び電気通信事業者が利用者を識別するために自身に送信させる識別符号は、その送信について利用者の判断を経る必要性が低いと考えられるため、確認の機会の付与は不要である。
なお、対象役務を提供する電気通信事業者の委託先である第三者に対して利用者に関する情報が送信される場合であっても、委託元である当該電気通信事業者において、本規律に従い、確認の機会を付与する必要がある（※3）。
（※1）この章における「同意」は、法における同意（2-17（本人の同意）参照）ではなく、電気通信事業法第 27 条の 12 第 3 号における「同意」をいう。
（※2）この章における「オプトアウト」は、法におけるオプトアウト（3-7-2（オプトアウトによる第三者提供）参照）ではなく、電気通信事業法第 27 条の 12 第 4 号にいう、利用者の求めに応じて、利用者に関する情報の送信又は利用者に関する情報の利用を停止する措置のことをいう。
（※3）電気通信事業法第 27 条の 12 について、法第 27 条第 5 項各号に相当する例外規定（3-7-4（第三者に該当しない場合）参照）はないため、利用者に関する情報の取扱いの委託に伴って委託先の第三者に対して利用者に関する情報が送信される場合であっても、本規律に従い、確認の機会を付与する必要がある。

7-1-1 用語の説明（1）情報送信指令通信
利用者の電気通信設備（端末設備）が有する情報送信機能（利用者の電気通信設備（端末設備）に記録された当該利用者に関する情報を当該利用者以外の者の電気通信設
備に送信する機能）を起動する指令となるプログラム等の送信であり、具体的には、利用者に関する情報を利用者の電気通信設備（端末設備）から外部（※1）に送信させ収集するための仕組みを実現するコード等の情報の送信（※2）（※3）が含まれる。
（※1）(4)にあるとおり、「外部」とは利用者以外のことであり、第三者に限られない。すなわ
ち、当該電気通信役務を提供する電気通信事業者（ウェブサイトの運営者やアプリ
ケーションの提供者）及び第三者が該当する。
337

電気通信事業における個人情報保護指針（※2）ウェブサイトの場合については、HTML、CSS、JavaScript 等の言語で記述されたウェブサイトを構成するソースコードのうち上記仕組みを実現する部分（上記仕組みを実現する HTML 要素を DOM の中に生成する JavaScript コード等を含む。）などが考えられるが、これらに限らない。
（※3）アプリケーションの場合については、アプリケーションに埋め込まれている情報収集モジュール等の情報送信機能の起動の契機となるプログラム等の送信が含まれる。
（2）利用者の電気通信設備（端末設備）
利用者が電気通信役務を利用するために使用している電気通信設備であり、パーソナ
ルコンピュータ、携帯電話、スマートフォン、タブレット等の電気通信設備（端末設備）が含まれる。
（3）利用者に関する情報
利用者の電気通信設備（端末設備）に記録されている情報であり、Cookie に保存された
ID や広告 ID 等の識別符号、利用者が閲覧したウェブページの URL 等の利用者の行動に関する情報、利用者の氏名等、利用者以外の者の連絡先情報等が含まれる。
Draft（4）利用者以外の者の電気通信設備
利用者が電気通信役務を利用する際に通信の相手方となっている者の電気通信設備であり、利用者がウェブサイトの閲覧やアプリケーションの利用を行う際に（利用者が認識しているかを問わず）通信の相手方となっている第三者のサーバだけでなく、当該電気通信役
務を提供する電気通信事業者（ウェブサイトの運営者やアプリケーションの提供者）のサーバも含まれる。

7-1-2 対象役務（第 51 条第 1 項第 1 号～第 4 号関係）

電気通信事業法第 27 条の 12 に基づく確認の機会の付与の義務を課される電気通信事業者は、内容、利用者の範囲及び利用状況を勘案して利用者の利益に及ぼす影響が少なくないものとして電気通信事業法施行規則第 22 条の 2 の 27 各号で定められた「対象役務」を提供する者に限られる。対象役務となり得る具体的な電気通信役務は次の(1)～(4)のとおりであるが、これらの電気通信役務であっても、ブラウザやアプリケーションを通じて提供されるものでなければ、対象役務とはならない。各電気通信役務の詳細については、「電気通信事業参入マニュアル［追補版］」（平成 17 年 8 月 18 日策定）
（https://www.soumu.go.jp/main_content/000477428.pdf）

338

電気通信事業における個人情報保護指針

及び「電気通信事業参入マニュアル（追補版）ガイドブック」（令和 4 年 4 月 14 日策定）
（https://www.soumu.go.jp/main_content/000799137.pdf）も併せて参照のこと。
（1）他人の通信を媒介する電気通信役務（第 51 条第 1 項第 1 号関係）
「他人の通信を媒介する」とは、他人の依頼を受けて、情報をその内容を変更することな
く、伝送・交換し、隔地者間の通信を取次、又は仲介してそれを完成させることをいう。本規律が対象とするオンラインサービスについては、情報の加工・編集を行わず、かつ、送信時の通信の宛先として受信者を指定する場合に該当する。具体的には、メールサービス、ダイ
レクトメッセージサービス、参加者を限定した（宛先を指定した）会議が可能なウェブ会議シ
ステム等が想定される。
（2）その記録媒体に情報を記録し、又はその送信装置に情報を入力する電気通信を利用者から受信し、これにより当該記録媒体に記録され、又は当該送信装置に入力された情報を不特定の利用者の求めに応じて送信する機能を有する電気通信設備を他人の通信の用に供する電気通信役務（第 51 条第 1 項第 2 号関係）
具体的には、利用者（特定の利用者も含む）が情報を入力（書き込み、投稿、出品、募集などを含む）し、当該情報を不特定の利用者が受信（閲覧）できるもののことをいう。
なお、アカウント登録や利用料の支払をすれば誰でも受信（閲覧）できる場合も、「不特定の利用者」に含まれる。他方、閉域網で提供される社内システムなどは、審査等により利用者が限定されており、「不特定の利用者」ではなく、「特定の利用者」となるため、該当しない。
このうち、「その記録媒体に情報を記録し…これにより当該記録媒体に記録され…た情報を不特定の利用者の求めに応じて送信する機能を有する電気通信設備を他人の通信の用に供する電気通信役務」とは、利用者から受信した情報を、電気通信事業者の電気通信設
備（ウェブサーバ等）の記録媒体（ハードディスク等）において記録して蓄積しておき、不特定の利用者の求めに応じて送信するサービスのことであり、具体的には、SNS、電子掲示板、
動画共有サービス、オンラインショッピングモール（※）、シェアリングサービス、マッチングサービス等が該当する。
他方、「その送信装置に情報を入力する電気通信を利用者から受信し、これにより…当該送信装置に入力された情報を不特定の利用者の求めに応じて送信する機能を有する電気通信設備を他人の用に供する電気通信役務」とは、利用者から受信した情報を、電気通信事業者の送信装置（ストリーミングサーバ等）から即時に（リアルタイムで）不特定の利用者の求めに応じて送信するサービスのことであり、具体的には、ライブストリーミングサービス
やオンラインゲーム等が該当する。
（※）インターネット経由で複数の店舗でネットショッピングを行うことができる又は複数の出品者の商品等を購入できる「場」を提供するものをいう。他方、小売事業者がモノ・商品をオンライン販売したり、メーカーが製造した商品をオンライン販売したり（ネット339電気通信事業における個人情報保護指針

販売のみを行う場合を含む。）、同様に問合せ等に対応することなどについては、自己の需要に応ずるものであり、他人の需要に応ずるものではないことから、電気通信事業には該当せず、電気通信事業法の規律の適用対象とならない（（4）も参照のこと）。
（3）入力された検索情報に対応して、当該検索情報が記録された全てのウェブページのドメイン名その他の所在に関する情報を出力する機能を有する電気通信設備を他人の通信の用に供する電気通信役務（第 51 条第 1 項第 3 号関係）検索したい単語等の検索情報を入力すると、インターネット上における、当該検索情報が記録された全てのウェブページの所在に関する情報を検索して表示する、いわゆるオンラ
イン検索サービスが該当し、その他の特定分野に限った検索サービスは(4)の対象となる。
なお、ここでいう「全てのウェブページ」は、通常の方法により閲覧ができるものに限られ、例
えば違法性ゆえに閲覧が制限されているウェブページや特殊なソフト等を使用しないとアクセスできないようなウェブページなどは含まれない。
（4）不特定の利用者の求めに応じて情報を送信する機能を有する電気通信設備を他人の通信の用に供する電気通信役務であって、不特定の利用者による情報の閲覧に供することを目的とするもの（第 51 条第 1 項第 4 号関係）
Draft

不特定の利用者の求めに応じて情報を送信し、情報の閲覧に供する、各種情報のオンライン提供サービスであり、具体的には、ニュースや気象情報等の配信を行うウェブサイトやアプリケーション、動画配信サービス、オンライン地図サービス等が該当する。
なお、アカウント登録や利用料の支払をすれば誰でも受信（閲覧）できる場合も、「不特定の利用者」に含まれる。他方、閉域網で提供される社内システムなどは、審査等により利用者が限定されており、「不特定の利用者」ではなく、「特定の利用者」となるため、該当しない。
また、情報発信を行う企業・個人・自治会等のホームページについて、自己の情報発信のために運営している場合は、自己の需要のために電気通信役務を提供しているのであって、「他人の需要に応ずるために提供」（電気通信事業法第 2 条第 4 号）しているものではないから、同号の定義する「電気通信事業」に該当せず、電気通信事業法の規律の適用対象とならない。また、金融事業者による証券・金融商品等についてのオンライン販売、小売事業者によるモノ・商品についてのオンライン販売、メーカーによる製造した商品についてのオンライン販売などについても、電気通信役務の提供を必ずしも前提としない、別の自らの本来業務の遂行手段としてオンラインを活用している場合（ネット専業銀行など、実店舗を有していない場合を含む。）は、自己の需要のために電気通信役務を提供しているため、同様に「電気通信事業」に該当せず、電気通信事業法の規律の適用対象とならない。他方で、本来業務の遂行手段としての範囲を超えて、独立した事業としてオンラインサービスを提供している場合には、当該オンラインサービスは「電気通信事業」に該当する可能性もあ340

電気通信事業における個人情報保護指針

る。例えば、金融事業者によるオンライン取引等及び当該取引等に必要な株価等のオンラ
イン情報提供は「電気通信事業」に該当しないが、当該金融事業者が証券・金融商品等についてのオンライン販売のウェブサイトにおいて、オンライン取引等とは独立した金融情報のニュース配信を行っている場合には、当該ニュース配信は情報の送信（電気通信役務の提供）の事業として独立していると考えられ、「電気通信事業」に該当する。

7-2 通知又は容易に知り得る状態に置く方法（第 51 条第 2 項～第 4 項関係）

ガイドライン第 51 条（第 2 項、第 3 項、第 4 項）
2 前項の規定により利用者の電気通信設備を送信先とする情報送信指令通信を行おうとするときは、次の各号のいずれにも該当する方法により、第 5 項各号に掲げる事項を当該利用者に通知し、又は当該利用者が容易に知り得る状態に置かなければならない。
(1) 日本語を用い、専門用語を避け、及び平易な表現を用いること。
(2) 操作を行うことなく文字が適切な大きさで利用者の電気通信設備の映像面に表示されるようにすること。
(3) 前二号に掲げるもののほか、利用者が第 5 項各号に掲げる事項について容易に確認できるようにすること。
3 前項の利用者に通知する場合には、同項各号に掲げるもののほか、次の各号のいずれかに該当する方法により行わなければならない。
(1) 第 5 項各号に掲げる事項又は当該事項を掲載した画面の所在に関する情報を当該利用者の電気通信設備の映像面に即時に表示すること（当該事項の一部のみを表示する場合には、利用者がその残部を掲載した画面に容易に到達できるようにすること。）。
(2) 前号に掲げる方法と同等以上に利用者が容易に認識できるようにすること。
4 第 2 項の利用者が容易に知り得る状態に置く場合には、同項各号に掲げるもののほか、次の各号のいずれかに該当する方法により行わなければならない。
(1) 情報送信指令通信を行うウェブページ又は当該ウェブページから容易に到達できるウェブページにおいて、次項各号に掲げる事項を表示すること。
(2) 情報送信指令通信を行うソフトウェアを利用する際に、利用者の電気通信設備の映像面に最初に表示される画面又は当該画面から容易に到達できる画面において、次項各号に掲げる事項を表示すること。
(3) 前二号に掲げる方法と同等以上に利用者が容易に到達できるようにすること。

情報送信指令通信が起動させることとなる情報送信機能により送信されることとなる情報について利用者に対し通知等を行うに当たっては、電気通信事業法第 27 条の 12 が利用者に対し情報送信指令通信によって送信される情報の内容や送信先となる電気通信設備等の通知等を行うべき事項について確認の機会を付与することを求めるものであることに鑑

341

電気通信事業における個人情報保護指針

み、同法施行規則第 22 条の 2 の 29 に規定する事項について当該利用者が容易に確認できるようにすることが求められる。

7-2-1 通知又は容易に知り得る状態に置く際に共通して求められる事項（第 51 条第 2

項関係）通知等を行う場合には、次の(1)から(3)までの全てを満たす方法により、情報送信指令通信を行おうとするときに継続的に行うことが必要である。
（1）日本語を用い、専門用語を避け、及び平易な表現を用いること。（第 51 条第 2 項第 1号関係）
情報送信指令通信について通知等を行う場合には、日本語を用いること、専門用語を避けること及び平易な表現を用いることが必要である。情報送信指令通信に関する通知等が外国語や専門用語で表示されている場合、利用者は通知等を行うべき事項について容易に理解できるとは考えられず、適切に確認の機会を付与しているとは言い難い。そのため、こうした言語や専門用語が利用者の確認の機会の妨げとならないようにすることが必要となる（※1）（※2）。
（※1）ただし、訪日旅行者や、我が国に在住する外国人向けのウェブサイトやアプリケー
ションにおいて通知等を行う場合には、日本語だけでなく英語等も併記することが望ましい場合もある。
（※2）専門用語か否か、及び平易な表現か否かは、当該電気通信役務で想定される一般的な利用者の知識や理解力等を基準として判断すべきである。その際、ユーザ
ーアンケートを行ったり、外部の有識者の意見を踏まえたりすること等が考えられる。
Draft（2）操作を行うことなく文字が適切な大きさで利用者の電気通信設備の映像面に表示されるようにすること。（第 51 条第 2 項第 2 号関係）
画面の拡大・縮小等の追加的な操作を行うことなく文字が適切な大きさで表示されるようにすることが必要である。情報送信指令通信に関する通知等が非常に小さな文字や極端に大きな文字で表示されている場合、通知等を行うべき事項について利用者が容易に確認できるとは考えられず、利用者に対し適切に確認の機会を付与しているとは言い難い。
そのため、画面の拡大・縮小を行わずとも利用者が容易に読むことができる文字のサイズ（例えば、当該ウェブサイトやアプリで使用している標準的な文字サイズと同等文字サイズとすることが考えられる。）にし、通知等を行うべき事項について利用者が容易に確認できるよ
うにすることが必要となる。

342

電気通信事業における個人情報保護指針（3）(1)及び(2)のほか、利用者が通知等すべき事項について容易に確認できるようにすること。（第 51 条第 2 項第 3 号関係）
(1)及び(2)を満たした上で、通知等を行うべき事項について、利用者が容易に理解できるようにすることが必要であり、ウェブサイトやアプリケーションの背景色との関係で視認性の高い文字色を採用すること等が望ましい。また、量が多い場合にはウェブページの階層化等の方法によりスクロールを行うことなく端末の画面に全体が表示されるようにすることも考えられる。
今後の技術の進展等も踏まえ、利用者の利便性を著しく損なわない範囲で、利用者による確認をより容易にするための電気通信事業者による創意工夫が求められる。
なお、プライバシーポリシーやクッキーポリシー等が既にあり、その中に通知等を行うべき事項を記載する際には、3-5（プライバシーポリシー）に留意しながら、本規律に関する内容が含まれること等をタイトルや見出し等に明記しておくとともに、一括して確認できるように工夫することが望ましい。

7-2-2 通知の場合に特に求められる事項（第 51 条第 3 項関係）通知の場合には、7-2-1（通知又は容易に知り得る状態に置く際に共通して求められる事項）に加え、次の(1)又は(2)のいずれかに該当する方法を取ることが必要である（※）。
（1）通知等すべき事項又は当該事項を掲載した画面の所在に関する情報を当該利用者の電気通信設備の映像面に即時に表示すること（当該事項の一部のみを表示する場合には、利用者がその残部を掲載した画面に容易に到達できるようにすること。）。（第 51 条
第 3 項第 1 号関係）
具体的にはウェブサイトやアプリケーションの画面上で、ポップアップ形式によって即時通知を行うこと等が考えられる。
当該事項の一部のみを表示する場合において、「利用者がその残部を掲載した画面に容易に到達できるようにすること」については、即時通知等の画面から 1 回程度の操作で到達できる遷移先の画面に当該事項が表示されており、かつ、即時通知等の画面において、当該遷移先の画面に当該残部の表示があることが利用者にとって理解できる形になっていれば良いと考えられる。
（2）(1)と同等以上に利用者が容易に認識できるようにすること。（第 51 条第 3 項第 2 号関係）

343

電気通信事業における個人情報保護指針

新たな技術やユーザーインターフェースの開発・進展を見据えるとともに、電気通信事業者による創意工夫等を尊重するため、(1)の方法に限らず、同等以上に利用者が容易に認識できるようにする方法を採用することを可能としている。
（※）「JIS X 9252 情報技術オンラインにおけるプライバシーに関する通知及び同意」（令和 5 年 1 月 20 日）において、オンラインにおけるプライバシーに関する通知の内容
及び構成並びに同意を求めるプロセスを方向付ける管理策について、国際標準規
格が JIS 化されている。同規格は、PII（個人識別可能情報）の収集及び利用に関して、PII が収集される個人に対し明確で理解しやすい情報を提示するため、及び、
公正で、認証可能で透明性があり、曖昧でなく、かつ、取消し可能（撤回可能）な方
法で PII 主体から同意を得るための管理策等について規定しており、本規律への対応に当たっても参考となり得る。

7-2-3 容易に知り得る状態に置く場合に特に求められる事項（第 51 条第 4 項関係）

容易に知り得る状態に置く措置の場合には、7-2-1（通知又は容易に知り得る状態に置く
際に共通して求められる事項）に加え、次の(1)から(3)までのいずれかに該当する方法を取ることが必要である。
（1）情報送信指令通信を行うウェブページ又は当該ウェブページから容易に到達できるウェブページにおいて、通知等すべき事項を表示すること。（第 51 条第 4 項第 1 号関係）
Draft

利用者がウェブサイトを閲覧する際に情報送信指令通信が行われる場合を想定した方法である。
この方法により利用者が容易に知り得る状態に置く場合は、情報送信指令通信を行うウェブページ又は当該ウェブページから容易に到達できるウェブページにおいて利用者が容易に知り得る状態に置くべき事項についての表示を行う必要がある。
「容易に到達できるウェブページ」については、情報送信指令通信を行うウェブページから 1 回程度の操作で到達できる遷移先のウェブページに当該事項が表示されており、かつ、
情報送信指令通信を行うウェブページにおいて、当該遷移先のウェブページに当該事項の表示があることが利用者にとって理解できる形でリンクが配置されていれば、当該遷移先のウェブページは、「容易に到達できるウェブページ」に該当すると考えられる。
（2）情報送信指令通信を行うソフトウェアを利用する際に、利用者の電気通信設備の映像
面に最初に表示される画面又は当該画面から容易に到達できる画面において、通知等すべき事項を表示すること。（第 51 条第 4 項第 2 号関係）
利用者がアプリケーションを利用する際に情報送信指令通信が行われる場合を想定した方法である。
344

電気通信事業における個人情報保護指針

この方法により利用者が容易に知り得る状態に置く場合は、アプリケーションを利用する
際に、利用者の電気通信設備（端末設備）の映像面に最初に表示される画面又は当該画面から容易に到達できる画面において、利用者が容易に知り得る状態に置くべき事項について表示を行う必要がある。
「容易に到達できる画面」において通知等すべき事項を表示する場合については、アプ
リケーションの起動後最初に表示される画面において、当該事項を表示する画面へのリンクを記載する方法により行うことが考えられる。
（3）(1)及び(2)と同等以上に利用者が容易に到達できるようにすること。（第 51 条第 4 項第3 号関係）
新たな技術やユーザーインターフェースの開発・進展を見据えるとともに、電気通信事業者による創意工夫等を尊重するため、(1)又は(2)の方法に限らず、同等以上に利用者が容易に認識できるようにする方法を採用することを可能としている。例えば、(1)においては、情報送信指令通信を行うウェブページやそこから容易に到達できるウェブページにおいて、通知等すべき事項を表示することとしているが、それ以外に、ウェブサイトのトップページに表示すること等も考えられる。

7-3 通知又は容易に知り得る状態に置くべき事項（第 51 条第 5 項関係）

ガイドライン第 51 条（第 5 項）
5 第 1 項の規定により当該利用者に通知し、又は当該利用者が容易に知り得る状
態に置かなければならない事項は、情報送信指令通信ごとに、次に掲げる事項とする。
(1) 当該情報送信指令通信が起動させる情報送信機能により送信されることとなる利用者に関する情報の内容(2) 前号に規定する情報の送信先となる電気通信設備を用いて当該情報を取り扱うこととなる者の氏名又は名称(3) 第 1 号に規定する情報の利用目的

7-3-1 通知等を行うべき事項（第 51 条第 5 項関係）

（1）送信されることとなる利用者に関する情報の内容（第 51 条第 5 項第 1 号関係）
利用者に対し通知等を行うべき事項について確認の機会を付与するという立法趣旨を踏
まえ、送信される情報がどのような情報であるか、利用者が適切に認識できるように記載する必要がある。送信される情報を具体的に列挙することなく、「等」や「その他」等のあいまいな表現を安易に使用することは避けるなど、利用実態及び利用者の利便に合わせて適切に記載されるのが望ましい。
345

電気通信事業における個人情報保護指針（2）(1)の利用者に関する情報を取り扱うこととなる者の氏名又は名称（第 51 条第 5 項第 2号関係）
上記(1)の情報の送信先として、当該情報を取り扱う者の氏名又は名称を記載することが必要である。
なお、例えば、当該者の氏名又は名称よりもサービス名の方が認知されやすい、といった
場合は、サービス名等も併記することが望ましい。
（3）(1)の情報の利用目的（第 51 条第 5 項第 3 号関係）
情報送信指令通信を行う電気通信事業者の利用目的（すなわち、当該電気通信事業者
が情報送信指令通信を行う目的）、及び情報送信指令通信に基づく利用者に関する情報の送信先となる者の利用目的（すなわち、上記(2)に該当する者が利用者に関する情報を取り扱う目的）のいずれも記載する必要がある。
「情報送信指令通信ごとに」としているとおり、(1)から(3)までは、ウェブページやアプリケーションに埋め込まれたタグや情報収集モジュールごとに記載する必要がある（情報送信
指令通信が行われるたびに通知等する必要はなく、ウェブサイト単位で（ウェブページごとではない）まとめて表示すること等も考えられる。）。
なお、送信先に送信された後、送信先から当該情報送信指令通信を行った電気通信事業者に提供する場合や、送信先からさらに別の者に提供される場合等も考えられるが、それらはいずれも送信先が当該情報を取得した後に第三者（当該情報送信指令通信を行った電気通信事業者も含む。）に提供するものであり、本規律の対象外となるものである。
Draft

また、例えば、通知等すべき事項が記載された送信先のウェブページへのリンクを示す
場合や、既にプライバシーポリシーに通知等すべき事項が記載されているときに当該プライ
バシーポリシーへのリンクを示す場合は、当該リンクを単に表示するだけではなく、リンク先で表示される通知等すべき事項の概略を併せて示すことが望ましい。なお、通知等すべき事項の記載は、通知又は容易に知り得る状態に置く際に共通して求められる事項の(1)にある「日本語を用い、専門用語を避け、及び平易な表現を用いること」等を満たしておくことが必要であり、英語等日本語以外で記載されているリンクの表示のみで対応することは認められない。
なお、各記載事項については、送信先において記載例などが示されている場合は、それを本規律を満たす範囲において参考にすることが望ましい。

346

電気通信事業における個人情報保護指針

7-3-2 通知等を行うことが望ましい事項

7-3-1（通知等を行うべき事項）に示した通知等を行うべき事項に加え、これら以外にも、
次のような事項については、利用者への適切な確認の機会を付与するという観点からは、利用者に通知等を行うことが望ましい（※）。
・オプトアウト措置の有無
・送信される情報の送信先における保存期間
・情報送信指令通信を行う電気通信事業者における問合せ先 等（※）そのほか、次のような事項の通知等を行うことも考えられる。
・利用者に関する情報がどの国・地域に送信されることとなるか 等

7-4 適用除外（第 51 条第 6 項関係）
7-4-1 利用者に通知等を行う必要まではないと考えられる情報（第 51 条第 6 項第 1 号、第 2 号関係）
ガイドライン第 51 条（第 6 項）
6 第 1 項の規定は、次に掲げる情報に係る情報送信指令通信については、適用しない。
(1) 当該利用者が当該電気通信役務を利用する際に送信をすることが必要なもの
として次に掲げる情報であって、その必要の範囲内において送信されるもの
イ 当該電気通信役務において送信する符号、音響又は影像を当該利用者の電気通信設備の映像面に適正に表示するために必要な情報その他当該電気通信役務の提供のために真に必要な情報
ロ 当該利用者が当該電気通信役務を利用する際に入力した情報を当該利用者の電気通信設備の映像面に再表示するために必要な情報
ハ 当該利用者が当該電気通信役務を利用する際に入力した認証に関する情報を当該利用者の電気通信設備の映像面に再表示するために必要な情報
ニ 当該電気通信役務に対する不正な行為の検知等を行い、又は当該不正な行為による被害の軽減等を図るために必要な情報
ホ 当該電気通信役務の提供に係る電気通信設備の負荷を軽減させるために必要な情報その他の当該電気通信設備の適切な運用のために必要な情報(2) 当該電気通信事業者が当該利用者に対し当該電気通信役務を提供した際に当該利用者の電気通信設備に送信した識別符号（電気通信事業者が、電気通信役務の提供に際し、利用者を他の者と区別して識別するために用いる文字、
番号、記号その他の符号をいう。）であって、当該情報送信指令通信が起動させる情報送信機能により当該電気通信事業者の電気通信設備を送信先として送信されることとなるもの

347

電気通信事業における個人情報保護指針

情報送信指令通信が起動させる情報送信機能によって送信される情報には、利用者が電気通信役務を利用する上で当該電気通信役務を提供するために必要な情報等が含まれる。このような情報については、利用者が当該電気通信役務を利用している以上、その送信が一般的な利用者にとって想定できるものであり、利用者の判断を経る必要性が低いと考えられるため、本規律の適用除外として確認の機会の付与を義務付けないこととしている。適用除外となる情報の詳細は次のとおりである。

7-4-1-1 電気通信役務を適正に表示するために必要な情報その他の電気通信役務を利用するために送信することが必要な情報（第 51 条第 6 項第 1 号関係）
次の(1)から(5)までの情報については、利用者が電気通信役務を利用する際に送信をすることが必要なものであるため、確認の機会の付与の義務付けの対象外である。
なお、当該情報が次の(1)から(5)までのいずれかに該当する場合であっても、送信先が(1)から(5)までの目的以外の目的のためにも利用するときには、確認の機会の付与の義務付けの対象となることに留意する必要がある。
（1）当該電気通信役務において送信する符号、音響又は影像を当該利用者の電気通信設
備の映像面に適正に表示するために必要な情報その他当該電気通信役務の提供のために真に必要な情報（第 51 条第 6 項第 1 号イ関係）
Draft

電気通信事業者が電気通信役務を提供するに当たっては、利用者の電気通信設備（端末設備）に対して送信する符号（文字や記号等）、音響（音楽、音声や効果音等）、影像（画像や動画等）を、利用者の電気通信設備（端末設備）の映像面（ディスプレイ等）に適正に表示する必要がある。そのためには、利用者の電気通信設備（端末設備）の OS 情報、画面設定情報、言語設定情報、ブラウザ情報といった利用者の電気通信設備（端末設備）に関する一定の情報を必要とする。したがって、これらの情報の送信については確認の機会の付与を義務付けないこととしている。
そのほかにも、電気通信役務の提供に当たって必要不可欠な情報（「真に必要な情報」）の送信があり得ると考えられるため、同様に確認の機会の付与を義務付けないこととしている。具体的には、利用者が利用を希望している電気通信役務を提供するに当たり、当該電気通信役務を提供する電気通信事業者に送信される情報は、基本的には当該電気通信役務の提供に必要なものであると考えられるため、原則として「真に必要な情報」に該当すると考えられる。ただし、利用者が当該電気通信役務を利用する際に必ずしも必要がなく、一般の利用者から見て送信されることが通常想定できない情報や、通常想定できない利用
目的で利用される情報については、「真に必要な情報」には該当しないと考えられる。
一方、当該電気通信事業者以外に送信される情報については、必ずしも当該電気通信役務の提供のために必要とは考えられないため、原則として「真に必要な情報」には該当しないと考えられる。ただし、利用者が利用を希望している電気通信役務を提供するに当たり、送信することが必要不可欠な情報については、この限りではない。
348

電気通信事業における個人情報保護指針（2）当該利用者が当該電気通信役務を利用する際に入力した情報を当該利用者の電気通信設備の映像面に再表示するために必要な情報（第 51 条第 6 項第 1 号ロ関係）
利用者が電気通信役務を利用する際に入力した情報を、再度当該電気通信役務を利用する際に利用者の電気通信設備（端末設備）に再表示することが利用者の便宜に資する場合があるため、このような再表示を行うために必要な情報の送信については、確認の機会の付与を義務付けないこととしている。
例えば、利用者がオンラインショッピングモールにアクセスして特定の品物を買い物かごに入れた後、時間を置いて再度アクセスした際に、当該品物を買い物かごに入った状態で再表示するために必要な情報などが考えられる。
（3）当該利用者が当該電気通信役務を利用する際に入力した認証に関する情報を当該利用者の電気通信設備の映像面に再表示するために必要な情報（第 51 条第 6 項第 1 号
ハ関係）
利用者が電気通信役務を利用する際に入力した、当該利用者の認証に関する情報を、再度当該電気通信役務を利用する際に利用者の映像面に再表示することが利用者の便宜に資する場合があるため、このような再表示を行うために必要な情報の送信については、確認の機会の付与を義務付けないこととしている。
（4）当該電気通信役務に対する不正な行為の検知等を行い、又は当該不正な行為による被害の軽減等を図るために必要な情報（第 51 条第 6 項第 1 号ニ関係）
電気通信事業者が電気通信役務を提供する際には、セキュリティ対策を講じ、不正アク
セスやサイバー攻撃等によって、当該電気通信事業者や、当該電気通信役務の利用者に被害が生じることを防ぎ、また、被害を軽減する必要がある。したがって、このようなセキュリ
ティ対策（当該電気通信役務のセキュリティ対策に限られる。）に必要な情報の送信については、確認の機会の付与を義務付けないこととしている。
（5）当該電気通信役務の提供に係る電気通信設備の負荷を軽減させるために必要な情報
その他の当該電気通信設備の適切な運用のために必要な情報（第 51 条第 6 項第 1 号
ホ関係）
電気通信事業者が電気通信役務を提供するに当たっては、当該電気通信役務を提供する電気通信設備を適切に運用する必要がある。例えば、オンラインゲーム等、利用者が多く多数のアクセスが集中する電気通信役務を提供する際には、特定のサーバ等に過剰な負担がかかることを防ぐため、負荷分散（ロードバランシング）等の措置が必要な場合があ349電気通信事業における個人情報保護指針る。したがって、このような負荷分散など、電気通信設備の適切な運用のための措置に当たり必要な情報の送信については、確認の機会の付与を義務付けないこととしている。

7-4-1-2 電気通信役務を提供する者が利用者に送信した識別符号であって、当該電気通信事業者に送信されるもの（第 51 条第 6 項第 2 号関係）
電気通信事業者は、その利用者に対し電気通信役務を提供する際に、当該利用者を識別するために、文字列で構成された識別符号（First Party Cookie に保存された ID（※1）
等）を当該利用者に送信して、これを当該利用者の電気通信設備（端末設備）に記録させることがある。当該識別符号は当該電気通信事業者が生成するものであり、当該電気通信事業者が当該識別符号を当該利用者から当該電気通信事業者自身に送信させてこれを取得しても、当該利用者に自らが付した識別符号を回収しているに過ぎず、その使途もID・パスワードの入力の省略等と限定的であることが想定される。この点に鑑みると、当該識別符号の送信については、利用者の判断を経る必要性が低いため、送信される情報の内容等を当該利用者に通知等を行うことを要しないものである（※2）。
（※1）First Party Cookie に保存された ID 以外の、当該電気通信事業者への利用者に関する情報の送信に関しては、本規律の原則どおり、利用者に通知等を行うことを要するが、原則として 7-4-1-1 の真に必要な情報に該当すると考えられる。
（※2）First Party Cookie に保存された ID を利用して当該電気通信役務を提供する電気通信事業者以外の第三者に利用者に関する情報を送信することもあり得るが、このような利用者に関する情報の第三者への送信に関しては、利用者が利用を希望している電気通信役務の提供に当たり、送信することが必要不可欠な情報でない限り、利用者に通知等を行うことを要する。
Draft

7-4-2 利用者が同意している情報（第 51 条第 6 項第 3 号関係）

ガイドライン第 51 条（第 6 項）
6 第 1 項の規定は、次に掲げる情報に係る情報送信指令通信については、適用しない。
(3) 当該情報送信指令通信が起動させる情報送信機能により送信先の電気通信設備に送信されることについて当該利用者が同意している情報

情報送信指令通信が起動させる情報送信機能により、送信先の電気通信設備に情報が送信されることについて、利用者が同意をしている場合、電気通信事業者は当該利用者に対し、同意の取得を通じて、当該情報の送信を認識し、及び選択する機会を付与しており、これにより確認の機会を付与していることとなるため、当該利用者に対し別途通知等を行う必要はない。
350

電気通信事業における個人情報保護指針

ただし、このような規律の趣旨からして、当該同意の取得は、適切な確認の機会の付与といえるものでなければならないため、同意取得に当たっては、次のとおり、利用者に適切な通知等を行い、かつ適切な方法により同意を取得することが必要である（※1）（※2）。
（※1）当該同意取得が適切な確認の機会の付与といえるか否かについては、当該電気通信事業者の取組や当該電気通信役務の利用者の知識や理解力等によっても変わり得るため、ユーザーアンケートを行ったり、外部の有識者の意見を踏まえたりす
ること等が考えられる。
（※2）「JIS X 9252 情報技術オンラインにおけるプライバシーに関する通知及び同意」（令和 5 年 1 月 20 日）において、オンラインにおけるプライバシーに関する通知の内容及び構成並びに同意を求めるプロセスを方向付ける管理策について、国際標準規格が JIS 化されている。同規格は、PII（個人識別可能情報）の収集及び利用に関して、PII が収集される個人に対し明確で理解しやすい情報を提示するため、及び、公正で、認証可能で透明性があり、曖昧でなく、かつ、取消し可能（撤回可能）な方法で PII 主体から同意を得るための管理策等について規定しており、本規律への対応に当たっても参考となり得る。

7-4-2-1 同意取得に当たっての利用者への通知等

同意の取得により適切な確認の機会を付与したというためには、同意の対象となる情報の内容及び情報の送信先等について、当該利用者が容易かつ適時に確認できることが必要である。したがって、利用者の同意を取得するに当たっては、あらかじめ、利用者に対し、7-2（通知又は容易に知り得る状態に置く方法）に記載する通知等を行うべき方法により、73（通知等を行うべき事項）に記載する通知等を行うべき事項について、通知等を行うことが望ましい。

7-4-2-2 望ましい同意取得の方法

同意の取得により適切な確認の機会を付与したというためには、利用者の具体的かつ能動的な同意を取得することが必要である。したがって、利用者の利便性を損なわないようにしつつ、利用者の過度な負担とならない範囲で、情報送信指令通信ごと（ウェブページやア
プリケーションに埋め込まれたタグや情報収集モジュールごとに）に同意を取得することが望ましい。また、同意するためのチェックボックス等にあらかじめチェックを付しておく方法（デフォルト・オン）等、利用者が能動的に同意を行ったとはいえないような方法は避けるべ
きである。

351

電気通信事業における個人情報保護指針

7-4-3 送信又は利用の停止を求めていない情報（第 51 条第 6 項第 4 号関係）

ガイドライン第 51 条（第 6 項）
6 第 1 項の規定は、次に掲げる情報に係る情報送信指令通信については、適用しない。
(4) 当該情報送信指令通信が次のいずれにも該当する場合には、当該利用者がイに規定する措置の適用を求めていない情報
イ 利用者の求めに応じて次のいずれかに掲げる行為を停止する措置（以下この号において「オプトアウト措置」という。）を講じていること。
① 当該情報送信指令通信が起動させる情報送信機能により行われる利用者に関する情報の送信② 当該情報送信指令通信が起動させる情報送信機能により送信された利用者に関する情報の利用
ロ 次に掲げる事項について利用者が容易に知り得る状態に置いていること。
① オプトアウト措置を講じている場合にあっては、その旨② オプトアウト措置がイ①又は②のいずれの行為を停止するものであるかの別③ オプトアウト措置に係る利用者の求めを受け付ける方法④ 利用者がオプトアウト措置の適用を求めた場合において、当該電気通信役務の利用が制限されることとなるときは、その内容⑤ 情報送信指令通信が起動させる情報送信機能により送信されることとなる利用者に関する情報（第 1 号及び第 2 号に掲げるものを除く。）の内容⑥ ⑤に規定する情報の送信先となる電気通信設備を用いて当該情報を取り扱うこととなる者の氏名又は名称⑦ ⑤に規定する情報の利用目的
Draft

利用者に対し、情報の送信又は利用を停止する措置を講ずること、つまりオプトアウト措
置を講ずることは、利用者に対して、自身に関する情報の送信を選択する機会を与えるものであって、確認の機会を付与するものといえる。そのため、電気通信事業者により適切に
オプトアウト措置が講じられた情報であって、利用者が当該措置の適用を求めていない場
合は、当該利用者に対して別途通知等を行う必要はない。
なお、電気通信事業者がオプトアウト措置を講じていたとしても、7-4-3-2（オプトアウト措
置に関して利用者が容易に知り得る状態に置く方法）にあるように、電気通信事業法施行規則第 22 条の 2 の 30 に規定する事項を利用者が容易に知り得る状態に置いていない場
合には、本規律の適用対象となり、通知等を要する。

352

電気通信事業における個人情報保護指針

7-4-3-1 オプトアウト措置に関して利用者が容易に知り得る状態に置くべき事項（第 51条第 6 項第 4 号ロ関係）
電気通信事業者は、オプトアウト措置を講ずるときは、次の(1)から(7)までに掲げる事項を、利用者が容易に知り得る状態に置かなければならない。
（1）オプトアウト措置を講じている旨（第 51 条第 6 項第 4 号ロ①関係）
オプトアウト措置を講じている場合は、その旨を利用者が容易に知り得る状態に置かなければならない。
（2）オプトアウト措置が、情報の送信又は情報の利用の停止のいずれの行為を停止するものであるかの別（第 51 条第 6 項第 4 号ロ②関係）
オプトアウト措置について、利用者の求めに応じて利用者に関する情報の送信が停止されるのか、あるいは送信された利用者に関する情報の利用が停止されるのかを、明記しなければならない。
（3）オプトアウト措置に係る利用者の求めを受け付ける方法（オプトアウト措置の申込み方法）（※1）（第 51 条第 6 項第 4 号ロ③関係）
事例 1) ボタンのクリックやタップ
事例 2) ホームページ上の指定フォームへの入力
事例 3) ダッシュボードでの操作（※2）
事例 4) リンクの表示（※3）（※1）「利用者の求めを受け付ける方法」には、利用者が求めを行う連絡先（事業者名、
送信先メールアドレス等。当該電気通信事業者が外国に本拠地を置く場合においては国内代理人の氏名、連絡先等。）が含まれる。
（※2）当該ダッシュボードにおける操作方法が明らかではない場合、具体的な操作方法を示すことが必要である。
（※3）他の事業者のウェブサイト等においてオプトアウト措置を設けている場合には、当該ウェブサイト等へのリンクを表示することも可能である（当該事業者がオプトアウト措置を設けていたとしても、それだけでは本規律におけるオプトアウト措置を設けた
ことにはならず、当該電気通信事業者においてリンクを表示する等の対応を要す
る。）。この場合、当該送信先の該当ページが英語等の場合は、当該リンクを単に表示するだけではなく、リンク先での具体的な操作方法を併せて日本語で表示することが必要である。

353

電気通信事業における個人情報保護指針（4）利用者がオプトアウト措置の適用を求めた場合において、当該電気通信役務の利用が制限されることとなるときは、その内容（第 51 条第 6 項第 4 号ロ④関係）
利用者がオプトアウト措置の適用を求めた場合に、利用者がその提供を受ける電気通信
役務の利用が制限されることになる場合は、その内容を明記しなければならない。電気通信役務の利用制限としては、具体的には、当該ウェブサイトの特定の機能を利用できなくなるといったことが想定される。
（5）送信されることとなる利用者に関する情報の内容（第 51 条第 6 項第 4 号ロ⑤関係）（6）(5)の利用者に関する情報を取り扱うこととなる者の氏名又は名称（第 51 条第 6 項第 4号ロ⑥関係）（7）(5)の情報の利用目的（第 51 条第 6 項第 4 号ロ⑦関係）

7-4-3-2 オプトアウト措置に関して利用者が容易に知り得る状態に置く方法

オプトアウト措置の提供についても、利用者が容易に知り得る状態に置くべきであり、その方法は 7-2（通知又は容易に知り得る状態に置く方法）に記載の方法に準じるのが望ましい。
その際、オプトアウト措置の申込みについて、利用者において誤解、不安感、恐怖等を生じさせることのないように留意する必要がある。また、オプトアウト措置を新しく設定したり、既存のオプトアウト措置に変更が生じたりした場合には、最新の内容について利用者に十分に周知することが望ましい。
Draft

（参考）
電気通信事業法第27条の12
1 電気通信事業者又は第三号事業を営む者（内容、利用者の範囲及び利用状況を勘案して利用者の利益に及ぼす影響が少なくないものとして総務省令で定める電気通信役務を提供する者に限る。）は、その利用者に対し電気通信役務を提供する際に、当該利用者の電気通信設備を送信先とする情報送信指令通信（利用者の電気通信設備が有する情報送信機能（利用者の電気通信設備に記録された
当該利用者に関する情報を当該利用者以外の者の電気通信設備に送信する機能をいう。以下この条において同じ。）を起動する指令を与える電気通信の送信をいう。以下この条において同じ。）を行おうとするときは、総務省令で定めるところにより、あらかじめ、当該情報送信指令通信が起動させる情報送信機能により送信されることとなる当該利用者に関する情報の内容、当該情報の送信先となる電気通信設備その他の総務省令で定める事項を当該利用者に通知し、又は当該利用者が容易に知り得る状態に置かなければならない。ただし、当該情報が次に掲げるも354

電気通信事業における個人情報保護指針のである場合は、この限りでない。
(1) 当該電気通信役務において送信する符号、音響又は影像を当該利用者の電気通信設備の映像面に適正に表示するために必要な情報その他の利用者が電気通信役務を利用する際に送信をすることが必要なものとして総務省令で定める情報(2) 当該電気通信事業者又は第三号事業を営む者が当該利用者に対し当該電気通信役務を提供した際に当該利用者の電気通信設備に送信した識別符号（電気通信事業者又は第三号事業を営む者が、電気通信役務の提供に際し、利用者を他の者と区別して識別するために用いる文字、番号、記号その他の符号をいう。）であつて、当該情報送信指令通信が起動させる情報送信機能により当該電気通信事業者又は第三号事業を営む者の電気通信設備を送信先として送信されることとなるもの(3) 当該情報送信指令通信が起動させる情報送信機能により送信先の電気通信設備に送信されることについて当該利用者が同意している情報(4) 当該情報送信指令通信が次のいずれにも該当する場合には、当該利用者がイに規定する措置の適用を求めていない情報
イ 利用者の求めに応じて次のいずれかに掲げる行為を停止する措置を講じていること。
① 当該情報送信指令通信が起動させる情報送信機能により行われる利用者に関する情報の送信② 当該情報送信指令通信が起動させる情報送信機能により送信された利用者に関する情報の利用
ロ イに規定する措置、当該措置に係る利用者の求めを受け付ける方法その他の総務省令で定める事項について利用者が容易に知り得る状態に置いていること。
電気通信事業法施行規則第22条の2の27
法第27条の12の総務省令で定める電気通信役務は、次のいずれかに該当する電気通信役務であって、ブラウザその他のソフトウェア（利用者が使用するパーソナルコ
ンピュータ、携帯電話端末又はこれらに類する端末機器においてオペレーティングシ
ステムを通じて実行されるものに限る。次条において同じ。）により提供されるものとする。
(1) 他人の通信を媒介する電気通信役務(2) その記録媒体に情報を記録し、又はその送信装置に情報を入力する電気通信を利用者から受信し、これにより当該記録媒体に記録され、又は当該送信装置に入力された情報を不特定の利用者の求めに応じて送信する機能を有する
電気通信設備を他人の通信の用に供する電気通信役務(3) 入力された検索情報（検索により求める情報をいう。以下この号において同じ。）に対応して、当該検索情報が記録された全てのウェブページ（通常の方法
355

電気通信事業における個人情報保護指針

により閲覧ができるものに限る。次条第3項第1号において同じ。）のドメイン名その他の所在に関する情報を出力する機能を有する電気通信設備を他人の通信の用に供する電気通信役務(4) 前号に掲げるもののほか、不特定の利用者の求めに応じて情報を送信する機能を有する電気通信設備を他人の通信の用に供する電気通信役務であって、不特定の利用者による情報の閲覧に供することを目的とするもの
電気通信事業法施行規則第22条の2の28
1 法第27条の12の規定により利用者の電気通信設備を送信先とする情報送信指令通信を行おうとするときは、次の各号のいずれにも該当する方法により、次条各号に掲げる事項を当該利用者に通知し、又は当該利用者が容易に知り得る状態に置かなければならない。
(1) 日本語を用い、専門用語を避け、及び平易な表現を用いること。
(2) 操作を行うことなく文字が適切な大きさで利用者の電気通信設備の映像面に表示されるようにすること。
(3) 前二号に掲げるもののほか、利用者が次条各号に掲げる事項について容易に確認できるようにすること。
2 前項の利用者に通知する場合には、同項各号に掲げるもののほか、次の各号のいずれかに該当する方法により行わなければならない。
(1) 次条各号に掲げる事項又は当該事項を掲載した画面の所在に関する情報を当該利用者の電気通信設備の映像面に即時に表示すること（当該事項の一部のみを表示する場合には、利用者がその残部を掲載した画面に容易に到達できるようにすること。）。
(2) 前号に掲げる方法と同等以上に利用者が容易に認識できるようにすること。
3 第1項の利用者が容易に知り得る状態に置く場合には、同項各号に掲げるもののほか、次の各号のいずれかに該当する方法により行わなければならない。
(1) 情報送信指令通信を行うウェブページ又は当該ウェブページから容易に到達できるウェブページにおいて、次条各号に掲げる事項を表示すること。
(2) 情報送信指令通信を行うソフトウェアを利用する際に、利用者の電気通信設備の映像面に最初に表示される画面又は当該画面から容易に到達できる画面において、次条各号に掲げる事項を表示すること。
(3) 前二号に掲げる方法と同等以上に利用者が容易に到達できるようにするこ
と。
Draft

電気通信事業法施行規則第22条の2の29
法第27条の12本文の総務省令で定める事項は、情報送信指令通信ごとに、次に掲げる事項とする。
(1) 当該情報送信指令通信が起動させる情報送信機能により送信されることとなる利用者に関する情報の内容
356

電気通信事業における個人情報保護指針(2) 前号に規定する情報の送信先となる電気通信設備を用いて当該情報を取り扱うこととなる者の氏名又は名称(3) 第1号に規定する情報の利用目的
電気通信事業法施行規則第22条の2の30
法第27条の12第1号の総務省令で定める情報は、次に掲げるものとする。ただし、当該情報をその必要の範囲内において送信する場合に限るものとする。
(1) 当該電気通信役務において送信する符号、音響又は影像を当該利用者の電気通信設備の映像面に適正に表示するために必要な情報その他当該電気通信役務の提供のために真に必要な情報(2) 当該利用者が当該電気通信役務を利用する際に入力した情報を当該利用者の電気通信設備の映像面に再表示するために必要な情報(3) 当該利用者が当該電気通信役務を利用する際に入力した認証に関する情報を当該利用者の電気通信設備の映像面に再表示するために必要な情報(4) 当該電気通信役務に対する不正な行為の検知等を行い、又は当該不正な行為による被害の軽減等を図るために必要な情報(5) 当該電気通信役務の提供に係る電気通信設備の負荷を軽減させるために必要な情報その他の当該電気通信設備の適切な運用のために必要な情報
電気通信事業法施行規則第22条の2の31
法第27条の12第4号ロの総務省令で定める事項は、次に掲げるものとする。
(1) 法第27条の12第4号イに規定する措置（以下この条において「オプトアウト措置」という。）を講じている場合にあっては、その旨(2) オプトアウト措置が法第27条の12第4号イ⑴又は⑵のいずれの行為を停止する
ものであるかの別(3) オプトアウト措置に係る利用者の求めを受け付ける方法(4) 利用者がオプトアウト措置の適用を求めた場合において、当該電気通信役務の利用が制限されることとなるときは、その内容(5) 情報送信指令通信が起動させる情報送信機能により送信されることとなる利用者に関する情報（法第27条の12第1号及び第2号に掲げるものを除く。）の内容(6) 前号に規定する情報の送信先となる電気通信設備を用いて当該情報を取り扱うこととなる者の氏名又は名称(7) 第5号に規定する情報の利用目的

357

電気通信事業における個人情報保護指針

8. 指針の見直し及びモニタリングの実施

Draft

358

電気通信事業における個人情報保護指針

8. 指針の見直し及びモニタリングの実施(ガイドライン第 52 条関連)
※本章では、「ガイドライン」は、「指針」に読み替えるものとする。
ガイドライン第 52 条
１ 本ガイドラインについては、社会情勢の変化、国民の意識の変化、技術動向の変化等諸環境の変化を踏まえ、必要に応じ見直しを行う。
2 本ガイドラインの遵守状況及び電気通信事業者による情報の取扱いについては、
前項の本ガイドラインの見直しに必要な限度において、定期的にモニタリングを行い現状を把握することとする。
個人データ等の保護についての考え方は、社会情勢の変化、国民の認識の変化、技術の進歩、国際的動向等に応じて変わり得るものであり、本ガ ドラインは、法の施行後の状況等諸環境の変化を踏まえて、必要に応じ見直しを行うものとする(第 52 条第 1 項関係)。
前項の本ガイドラインの見直しに必要な限度において、本ガイドラインの遵守状況等
に関して定期的にモニタリング(※)を行い、現状を把握するとともにその結果を踏まえ必
要な見直しを検討することとする。
(※)モニタリングの項目は必要に応じて検討されることとなるが、第 14 条、第 15 条等に関する実施状況(プライバシーポリシーへの第 15 条 第 2 項記載事項の掲載状
況、利用者にとって分かりやすい示し方の工夫、利用者の選択の機会の提供状況、
アプリケーションに関するプライバシーポリシーの有無等、アプリケーション提供サイトにおけるアプリケーション提供者への情報の取扱いに関する要請の状況等)についてモニタリングを行うことが想定される。

359

電気通信事業における個人情報保護指針

9. 漏えい等の事案が発生した場合等の対応

Draft

360

電気通信事業における個人情報保護指針

9. 漏えい等の事案が発生した場合等の対応・対象事業者は、個人データの漏えい等事案が発覚した場合、直ちにその旨を「速報」として、報告すること。
・通信の秘密の漏えい事案等、電気通信事業法に係る事案は、総務省に報告することが求められている。
※個人データの漏えい等の報告等については、3-6（個人データの漏えい等の報告等）
参照。
報告の方法
① 報告義務事案(法第 26 条及び個人情報保護委員会規則第 7 条に該当する場合)の報告先・法第 150 条第 1 項の規定により総務大臣等が報告を受理する権限の委任を受けている事案の場合の報告先(個人情報保護法に基づく権限の委任を行う業種
等及び府省庁並びに当該業種等における漏えい等事案発生時の報告先)< https://www.ppc.go.jp/personalinfo/legal/kengenInin/ >【詳細版】< https://www.ppc.go.jp/files/pdf/kengeninin_list_detail_R5.pdf >【簡略版】< https://www.ppc.go.jp/files/pdf/kengeninin_list_simple_R5.pdf >・使用する様式：個人情報保護委員会報告時に作成される PDF を提出（PDF 作成ボタンを押下することで初めて作成可能となります）
若しくは・個人情報保護委員会規則 別記様式第一（第八条第三項関係）
・様式例⑬ 個人情報の取扱いに関する事故等の報告書② 認定個人情報保護団体への報告
・該当なし

361

電気通信事業における個人情報保護指針

9-1 対象事業者からみた基本的な報告ルート
9-1-1 報告義務事案(法第 26 条及び個人情報保護委員会規則第 7 条に該当する場

合)法第 150 条第 1 項の規定により総務大臣等が報告を受理する権限の委任を受けている事案の場合

対象事業者
漏えい事故発生

電気通信事業者

のな基電
漏場づ気
え合き通
い通報信
）
信告事
のが業
秘必法
密要に
(

個
人
情
等報
漏
え
い
Draft

※2

※1

※1
・速報
報告対象事態を知ってから、速やかに(概ね 3〜5 日以内)
･確報
報告対象事態を知ってから、
30 日以内(不正の目的によるおそれがある場合においては60 日以内)※2･事由が発生した後、速やかに報告。その詳細については通信の秘密の漏
えいを知った日から 30
日以内

電気通信個人情報保護推進センター(認定個人情報保護団体)

総務省
個人情報保護委員会(*)法第 150 条第 1 項の規定により総務大臣等が報告を受理する権限の委任を受けている

法第 26 条（第 1 項）
1 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会
規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会
規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。

委
任
先
省
庁
等

規則第 7 条
法第 26 条第 1 項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。
(1) 要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第 1 項において同じ。）の漏えい、滅失若しくは毀損（以下この条及び次条第 1 項において「漏えい等」という。）が発生し、又は発生したおそれがある事態(2) 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態(3) 不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態(4) 個人データに係る本人の数が 1,000 人を超える漏えい等が発生し、又は発生した
おそれがある事態

362

電気通信事業における個人情報保護指針

9-1-2 報告義務事案(法第 26 条及び個人情報保護委員会規則第 7 条に該当する場

合)法第 150 条第 1 項の規定により総務大臣等が報告を受理する権限の委任を受けていない事案の場合

対象事業者
漏えい事故発生

電気通信事業者

のな基電
漏場づ気
え合き通
い通報信
）
信告事
のが業
秘必法
密要に
(

個
人
情
等報
漏
え
い

※1
・速報
報告対象事態を知ってから、速やかに(概ね 3〜5 日以内)
･確報
報告対象事態を知ってから、
30 日以内(不正の目的によるおそれがある場合においては60 日以内)※1

電気通信個人情報保護推進センター(認定個人情報保護団体)

総務省
個人情報保護委員会(*)法第 150 条第 1 項の規定により総務大臣等が報告を受理する権限の委任を受けている

法第 26 条（第 1 項）
1 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会
規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会
規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。

委
任
先
省
庁
等

規則第 7 条
法第 26 条第 1 項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。
(1) 要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第 1 項において同じ。）の漏えい、滅失若しくは毀損（以下この条及び次条第 1 項において「漏えい等」という。）が発生し、又は発生したおそれがある事態(2) 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態(3) 不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態(4) 個人データに係る本人の数が 1,000 人を超える漏えい等が発生し、又は発生した
おそれがある事態

363

電気通信事業における個人情報保護指針

9-2 対象とする事案

本項では、次の（1）から（3）までのいずれかに該当する事案（以下「漏えい等事案」という。）を対象とする。
(1) 対象事業者が保有する個人データ（特定個人情報に係るものを除く）の漏えい、滅失又は毀損(2) 対象事業者が保有する加工方法等情報（個人情報の保護に関する法律施行規則（平成 28 年 10 月 5 日個人情報保護委員会規則第 3 号）第 20 条第１号に規定する加工方法等情報をいい、特定個人情報に係るものを除く。）の漏えい(3) 上記（1）又は（2）のおそれ－ 認定個人情報保護団体としての考え方及び例示 － (7-2 関係)
具体的には次のような事例が個人データの漏えいに該当する。
➢ 従業者又は委託先従業者による個人データの不正な持出し➢ 従業者又は委託先従業者の不注意による個人データを含む書類等の誤送付➢ 個人データを含む書類、コンピュータ、記録媒体等の盗難・紛失➢ システムの設定ミス又はシステムの安全管理措置が不十分であったことによりインターネット上で個人データの閲覧が可能となっている場合➢ 電子メールの誤配信（BCC 欄に記載すべきメールアドレスを TO 欄や CC 欄に記載して送信してしまった場合やメールアドレスを別人のものと取り違えをして送信した場合など）➢ 本人の同意なき個人データの第三者への提供（ガイドライン第 15 条第 1 項各号に該当する場合を除く。）等
Draft

なお、漏えい事案の発生の際、現場において適切な対処が行われないと、被害の拡大や企業への信頼に甚大な影響を及ぼすおそれがある。
このような事態を防ぐためには、事前に内部の危機管理体制を定め、漏えい等が発生した場合に行うべき措置等に関するフロー等を用意しておくことが望ましい。

9-3 漏えい等事案が発覚した場合に講ずべき措置

対象事業者は、漏えい等事案が発覚した場合は、次の（1）から（6）に掲げる事項について必要な措置を講ずることが望ましい。
(1) 事業者内部における報告及び被害の拡大防止

責任ある立場の者に直ちに報告するとともに、漏えい等事案による被害が発覚時よりも拡大しないよう必要な措置を講ずる。
364

電気通信事業における個人情報保護指針(2) 事実関係の調査及び原因の究明

漏えい等事案の事実関係の調査及び原因の究明に必要な措置を講ずる。
(3) 影響範囲の特定

上記(2)で把握した事実関係による影響の範囲を特定する。

－ 認定個人情報保護団体としての考え方及び例示 － (7-3 (1)～(3) 関係)① 漏えい確認：漏えい個人データの特定とその管理・利用状況の把握
漏えい事実の確認に当たり先ず行うべきことは、当該個人データに関してその名称、媒体（電子情報か、紙の情報か）、管理責任者、利用者（利用制限の有無等）、利用方法（特に、外部持出しの状況）、保管方法、保存期限、廃棄方法等当該個人データが通常どのように管理、利用されているかを把握することが必要である。
このような情報については、常時、個人情報管理台帳（仮称）及びフローチャート
を作成して把握しておくことが望ましく、このことは、漏えいの原因究明や再発防止に役立つのみならず、普段の個人データの適正な取扱いに必要不可欠なものである。
② 原状回復等
漏えいが確認された場合、漏えいの拡大や漏えいによる被害の発生を最小限とするため、漏えいデータの回収やシステムの停止点検等の措置を迅速に採ることが必要である。
例えば、・ E-Mail・文書の誤送信・誤送付の場合は、直ちに誤送付先からの回収や誤送信の削除を依頼・ 不正持出し・不正閲覧などの場合は、早期の回収
・ 空き巣・車上荒らし・置忘れ等による紛失・盗難の場合は警察等への届出や心当たりの捜索を行うなど早期の回収
・ ファイル交換ソフトを介しての流出の場合は当該ソフトの削除と流出先の把握と可能な限りの削除要請
・ 不正アクセスの場合は、当該システムの使用を停止し、漏えい内容の把握と防止策の実施漏えいした個人データがすでに第三者に渡り、その流出先で利用されている状況が見られた場合は、当該個人データの回収と使用停止を申し入れる。
また、漏えいした個人データが掲示版等に掲載されているなどの場合は、その運営主体に当該個人データの削除を依頼することも必要である。

365

電気通信事業における個人情報保護指針

なお、これらの措置には、警察や弁護士等との協力が必要な場合がある。
③ 漏えい内容等の確認
事後の対応及び再発防止策等を考慮するうえで、さらに詳細に事実確認を行う必要がある。
具体的には、以下の点について留意する必要がある。
・ 当該漏えいに係る被害者及び規模（人数）・ 当該漏えいに係る個人データの項目（氏名、住所、電話番号、クレジットカー
ド番号等）
・
・
・

当該漏えいの発生場所
当該漏えいの発生状況（発覚や確認の経緯も含む）
当該漏えいの発生原因④ 二次被害の調査「二次被害」とは、漏えいした個人データが第三者に悪用されることにより本人に発生する被害であり、漏えいを起こした事業者としては、迅速にその事態を把握し、適切に対応・処理する必要がある。

(4) 再発防止策の検討及び実施

上記（2）の結果を踏まえ、漏えい等事案の再発防止策の検討及び実施に必要な措置を速やかに講ずる。
Draft－ 認定個人情報保護団体としての考え方及び例示 － (7-3 (4) 関係)
当該個人データの漏えいの事実確認に基づき、同様な漏えいが起こらないよう、具体的な再発防止策を講じる必要がある。具体的には、以下の対策が考えられる。
（原因解明）
・ 事故の原因解明
・ チェックリストによる内部点検（対策）
・ 上記結果に基づく個人データ保護・管理全般に係る改善措置の策定（業務処
理マニュアル、危機管理マニュアル等、各種規程等の見直し）
・ 直ちに実施困難な事項については、当面の次善策の実施と本格的な改善を図るまでのスケジュールの作成（社内周知）
・ 改善措置の従業者への周知、従業者の研修の実施（運用確認）
・ 改善措置の励行等を中心とした社内監査の実施、必要に応じ、再周知、再修
366

電気通信事業における個人情報保護指針

正
なお、盗難や不正アクセス等漏えいの原因が犯罪の疑いのある場合は、弁護士等
法務担当者と相談の上、告訴・告発を行うことを検討する必要がある。被害届の提出だけでは、捜査が必ずしも行われるとは限らないためである。なお、告訴・告発は、誰でも行うことができる。また、個人データの漏えいについては場合によって窃盗、横領、
不正アクセス等の犯罪に該当する場合がある。

(5) 影響を受ける可能性のある本人への連絡等

漏えい等事案の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、事実関係等について、速やかに本人へ連絡し、又は本人が容易に知り得る状態に置く。

－ 認定個人情報保護団体としての考え方及び例示 － (7-3 (5) 関係)① 事実関係の通知
個人データの漏えいが発生した場合は、事実関係に関する一般的な通知内容として、対象者には、以下の項目を知らせる必要があると考えられる。
・ 当該漏えいに係る個人データの項目（氏名、住所、電話番号、クレジットカード番号等）
・ 当該漏えいの発生場所
・ 当該漏えいの発生状況（発覚や確認の経緯も含む）
・ 当該漏えいの発生原因② 対象者の不安の解消
対象者への連絡の際には、個人データの漏えいに関する過大な不安を取り除くた
めに、可能な限り以下の情報についても対象者に対し丁寧に説明することも必要である。
・ 当該漏えいに伴う二次被害が発生する可能性（例えば、個人データを含むコンピュータを紛失したような場合において、パスワードを何重にもかけていたり、データを暗号化したりするなど、十分な安全管理措置を講じており、個人データが第三者に見られる可能性が極めて低いと考えられるときにはその旨）
・ 二次被害を回避するために講ずる措置（電話番号やパスワードの変更を無料で受け付ける等）
・ 再発防止策 等③ 今後の対応のための対象者への依頼
個人データの漏えいによる被害を把握し、適切な対応を行うために、対象者に対し、当該漏えいに係る二次被害と考えられる事態が発生した場合には、連絡をしても367

電気通信事業における個人情報保護指針

らう等の依頼を行うことも、さらなる被害を食い止めるための重要なポイントとなる。

(6) 事実関係及び再発防止策等の公表

漏えい等事案の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、事実関係及び再発防止策等について、速やかに公表する。

－ 認定個人情報保護団体としての考え方及び例示 － (7-3 (6) 関係)
利用者が住所、電話番号、メールアドレスの変更等をし、これを対象事業者に通知していないときや、通知の対象者が多く対象者全員への通知が終わるまでに二次被害が発生するおそれがあるような場合には、事実関係の公表を通じて、本人が適切に対応できるようにし、又は漏えいした個人データを持っている者に対して警告すること
で二次被害の防止に資することとなると考えられることから、可能な限り事実関係を公表することが望まれる。事実関係の公表によって、他の同業の事業者に対して注意喚起をすることとなり、類似事案の発生を回避する効果も期待できる。
① 公表内容セキュリィティの観点からは、公表するとかえって二次被害の増大や類似事案の増大につながるようなものは公表することは要しないこととしている。これは、例えば個人データ漏えいの原因やその再発防止策を公開してしまうと、セキュリティホールを狙った不正アクセス等の増加を助長する可能性も十分考えられるためである。したがって、事実関係その他の二次被害の防止、類似事案の発生回避等に有用な情報を公表する場合には、公表する情報の範囲についてよく検討する必要がある。
また、事実関係を公表する際は、当該対象事業者において講じてきた安全管理措置や当該対象事業者における個人情報保護に対する取組姿勢についても併せて公表することとし、利用者の不安を取り除くよう努めることも重要である。
Draft② 公表のタイミング
漏えいが犯罪に起因する可能性がある場合は捜査当局と、また、上場企業等の場合は、リスク管理の適時開示の観点から取引所の規定に基づき取引所と、公表時期を調整することが必要である。
③ 公表の手段
公表の手段としては、HP のみでの公表、資料配布のみでの報道機関への発表、記者会見を伴う公表があるが、漏えいの規模や影響度等を考慮して判断することが適当である。
また、ショップや代理店等の店頭において収集した個人データが漏えいした場合は、上記の手段に併せて当該代理店やショップの店頭に掲示することも漏えい対象者への周知方法としては有効と考えられる。
368

電気通信事業における個人情報保護指針④ 報道を用いる公表の実施方法等
・ セットの仕方公表を行う場合は、大都市圏であれば業界団体はじめ各種の報道窓口を活用することが可能であるが、地方都市の場合は、市庁舎又は県庁舎にある記者クラブの幹事社と相談してセットをするのが通例である。
その際には、公表ペーパーを配布するのみ（いわゆる「投げ込み」）とするのか、記者会見を行うのかも知らせるとともに、必要部数等の確認も必要である。
⑤ 公表の仕方
公表は二次被害の防止の観点のみならず、漏えいの処理が的確に遂行できることを示し、漏えいによって生じた企業のイメージダウンを回復する機会でもある。
そのためには、的確な事実の把握、漏えいの処理方針、今後の防止対策について、明確に説明できなければならない。想定される問合せについて想定問答を作成し、対応訓練を行うことが必要である。
記者会見を行う場合は、企業として責任をもって答弁できる者と、当該漏えい事実に精通した者が同席することが必要である。
また、報道機関との対応者も、顧客対応窓口とは別途に設け、これを公表することも必要である。

9-4 報告を要しない場合

本項(報告を要しない場合)については、個人情報保護委員会より詳細が公表された時点
で、適宜追加を行うものとする。

369

電気通信事業における個人情報保護指針

対象事業者における漏えい対処フローチャート

お客様窓口

個人情報統括部署
管理者

総務省等への報告(速報、確報)

Draft

処理経過・今後の対応等（途中報告や最終報告(確報)）

図表 13

370

電気通信事業における個人情報保護指針

10. 指導、勧告その他の措置

371

電気通信事業における個人情報保護指針

10. 指導、勧告その他の措置(法第 54 条)
法第 54 条認定個人情報保護団体は、対象事業者の個人情報等の適正な取扱いの確保のために、個人情報に係る利用目的の特定、安全管理のための措置、開示等の請求等に応じる手続その他の事項又は匿名加工情報に係る作成の方法、その情報の安全管理のための措置その他の事項に関し、消費者の意見を代表する者その他の関係者の意見を聴いて、この法律の規定の趣旨に沿った指針（以下「個人情報保護指針」という。）を作成するよう努めなければならない。
4 認定個人情報保護団体は、前項の規定により個人情報保護指針が公表されたときは、対象事業者に対し、当該個人情報保護指針を遵守させるため必要な指導、勧告その他の措置をとらなければならない。

－ 認定個人情報保護団体としての考え方及び例示 － (8. 関係)
当協会は、法に基づき、「個人情報保護指針(電気通信事業における個人情報保護指針)」を公表するとともに、対象事業者に対して本指針に関する様々な情報提供等、その遵守の為の必要な措置を講ずる。
それにも関わらず、対象事業者の個人情報の取扱いが、本指針に違反していると認められるときは、当協会は、法第 54 条第 4 項の規定に基づき、当該対象事業者に対して、次のとおり指導、勧告その他の措置をとるものとする。
Draft

1.

指導
当該対象事業者に対し、当該違反行為の中止その他違反を是正するために必要な措置をとるよう口頭又は文書により指導するものとする。
2.

勧告
前項の規定による指導を受けた対象事業者が正当な理由なくその指導に従わなかった場合において、個人の権利利益を保護するため必要があると認めるときは、
当該対象事業者に対し、その指導に係る措置をとるべきことを文書により勧告するものとする。
前 1 項から 2 項については、「認定個人情報保護団体として行う業務に関する規約」第 20 条 3 項 2 号に定めるところによる。
なお、指導、勧告に先立ち、必要と認めるときは当該対象事業者に対し情報の提供を求めるものとする。
3.

その他の措置372

電気通信事業における個人情報保護指針

前項の規定による勧告を受けた対象事業者が正当な理由がなくてその勧告に係る措置をとらなかった場合は、前 1 項から 2 項と同様、「認定個人情報保護団体として行う業務に関する規約」第 20 条 3 項 2 号による審議を経たのち、同規約第 8 条に定めるところによる。

373

電気通信事業における個人情報保護指針

11. 参考資料：位置情報に関するプライバシーの適切な保護

Draft

374

電気通信事業における個人情報保護指針

11. 参考資料：位置情報に関するプライバシーの適切な保護
位置情報に関するプライバシーの適切な保護及び「十分な匿名化」に関するユースケ
ース、「十分な匿名化」に関するガイドラインについては、以下の資料(URL)を参照された
い。
■位置情報に関するプライバシーの適切な保護と社会的活用の両立に向けた調査研
究 報告書
http://www.soumu.go.jp/main_content/000492789.pdf
・ 「商用」のユースケース：同報告書 5 ページ～
・ 「観光」のユースケース：同報告書 27 ページ～
■電気通信事業における「十分な匿名化」に関するガイドライン
https://www.dekyo.or.jp/kojinjyoho/data/law/tokumeika_guideline.pdf

375

電気通信事業における個人情報保護指針

12. 別添 各種様式の見本

Draft

376

電気通信事業における個人情報保護指針

12-1 様式例① 個人情報の利用目的通知申請書（例）

個人情報の利用目的通知申請書（例）
令和○○年○○月○○日○○株式会社（個人情報取扱窓口）御中
個人情報の保護に関する法律（平成 15 年法律第 57 号）第 32 条第 2 項及び電気通信事業における個人情報保護に関するガイドライン（総務省告示第 152 号）第 22 条第 2項の規定に基づき、○○株式会社の保有する個人情報につき、下記のとおり、その利用目的の通知を求めます。
記◎申請対象となる本人を特定するための事項
本人を特定する事項

本人の氏名、住所等（必要最小限の情報に限定する必要がある。）◎申請者を確認するための事項
本人が申請する場合

本人確認書類を列記

法定代理人が申請する場
合法定代理人の種類を記載し、その資格を証明する書類及び法定代理人自身の確認書類を列記

任意代理人が申請する場
合本人からの委任状、本人に関する確認書類及び代理人自身の確認書類を列記◎申請対象となる個人情報を特定する事項

申請対象を
特定するた
めに必要な
情報

サービスに関係して保有している個人情報（お名前、住所、電話番号、メー
ルアドレス等）を列挙し、本人の特定を容易にすることが望ましい。
契約以外の場合において、アンケート、イベント、懸賞、モニター募集等個
人情報を取得した機会を記載する欄を設けることなど、本人の特定を容易にすることが望ましい。
通知を求める利用目的の時期（令和
利用目的等）

年

月日において公表されていた◎手数料（手数料を設定している場合は、手数料額とその納付方法を記載する。）◎受付方法（この利用目的通知申請の受付方法及びその窓口に関する情報を記載する。）
注意事項（例）➣ 最新の個人情報の利用目的は、○○において公表しており、××で無料で問合わせに応えていること。
➣ 手数料が全額支払われるまで、申請はないものとして扱うこと。
377

電気通信事業における個人情報保護指針➣ 法第 21 条第 4 項各号に該当する場合や、申請の対象が特定されていない場合又は特定が不完全な場合には、申請に応じられないこと。
➣ 一部又は全部の申請に応じられない場合にも手数料は返還されないこと。
➣ 本申請書への回答は「本人限定受取郵便」により行うこと。
➣ 本申請書にて提供を受けた個人情報の利用目的や保存期間等。
➣ その他。
以上

Draft

378

電気通信事業における個人情報保護指針

12-2 様式例② 個人情報の利用目的の回答書（例）

個人情報の利用目的の回答書（例）
令和○○年○○月○○日
申請者の氏名 様
電気通信事業者住所
電気通信事業者名
連絡先
令和 年 月日付貴信により、通知の求めのあった「個人情報の利用目的」について、下記のとおり、回答します。
記◎利用目的通知の求めの対象となっている個人情報
個人情報に係る本人

本人の氏名、住所（開示の求めに記載された内容）

個人情報の項目

通知の求めで特定された事項

◎回答内容
□

申請に係る個人情報の利用目的は、次のとおりです。（又は、添付のとおりです。）□

申請に係る個人情報の利用目的が特定されていないため、回答できかねます。

□

申請に係る個人情報の利用目的は、次のとおり明らかになっています。（公表されているプライバシーポリシーのＵＲＬや契約約款の箇所等を示す。）
申請に係る個人情報の利用目的を通知することは、次に該当するため、通知できません。
利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがあるため。

□

利用目的を本人に通知し、又は公表することにより当社の権利又は正当な利益を害するおそれがあるため。
国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるため。

以上

379

電気通信事業における個人情報保護指針

12-3 様式例③ 個人情報の開示申請書（例）

個人情報の開示申請書（例）
令和○○年○○月○○日○○株式会社（個人情報取扱窓口）御中
個人情報の保護に関する法律（平成 15 年法律第 57 号）第 33 条第 1 項及び電気通信事業における個人情報保護に関するガイドライン（総務省告示第〇〇号）第 23 条第 1項の規定に基づき、貴社が保有する下記記載の本人の「個人情報」の開示を求めます。
記◎申請対象となる本人を特定するための事項
本人を特定する事項
本人の氏名、住所等（必要最小限の情報に限定する必要がある。）◎申請者を確認するための事項
本人が申請する場合
本人確認書類を列記
法定代理人が申請する場 法定代理人の種類を記載し、その資格を証明する書類及び法合定代理人自身の確認書類を列記
任意代理人が申請する場 本人からの委任状、本人に関する確認書類及び代理人自身
合の確認書類を列記◎申請対象となる個人情報を特定する事項
申請対象を特定するため 保有している個人情報の項目（名前、住所、電話番号、メールに必要な情報アドレス等）を列挙し、本人の特定を容易にすることが望ましい。
◎手数料（手数料を設定している場合は、手数料額とその納付方法を記載する。）◎受付方法（この開示申請の受け付け方法及びその窓口に関する情報を記載する。）
Draft

注意事項（例）➣ 手数料が全額支払われるまで、申請はないものとして扱うこと。
➣ 通信の秘密に属する事項等法第 25 条に該当する場合には、開示申請に応じられないことがあること。
➣ 本人確認書類の不備や、申請対象となる個人情報の特定がされていない場合や不完全な場合には、開示申請に応じられないことがあること。
➣ 一部又は全部の申請に応じられない場合にも手数料は返還されないこと。
➣ 本申請書への回答は「本人限定受取郵便」により行うこと➣ 本申請書にて提供を受けた個人情報の利用目的や保存期間等➣ 通話明細を希望される場合には、○○にて申出を受けていること。
➣ その他
以上
380

電気通信事業における個人情報保護指針

12-4 様式例④ 個人情報の開示についてのお知らせ（例）

個人情報の開示についてのお知らせ（例）
令和○○年○○月○○日
申請者の氏名 様
電気通信事業者住所
電気通信事業者名
連絡先
個人情報の開示についてのお知らせ（例）
令和 年 月日付貴信により、開示の求めのあった「個人情報」について、下記のとおり、 ご連絡します。
記◎申請対象の個人情報
個人情報に係る本人

本人の氏名、住所（開示の求めに記載された内容）

個人情報の項目（開示の求めで特定された事項）◎開示する個人情報（開示する個人情報の内容を記載する。）（「添付のとおり開示します。」として、開示対象の個人情報を添付してもよい。）

以上

381

電気通信事業における個人情報保護指針

12-5 様式例⑤ 個人情報の開示及び一部非開示についてのお知らせ（例）

個人情報の開示及び一部非開示についてのお知らせ（例）
令和○○年○○月○○日
申請者の氏名 様
電気通信事業者住所
電気通信事業者名
連絡先
令和 年
月 日付貴信により、開示の求めのあった「個人情報」について、一部開示しないこととしましたので、開示する個人情報及び開示しない個人情報とその理由を、下記のとおりご連絡します。
記◎申請対象の個人情報
個人情報に係る本人

本人の氏名、住所（開示の求めに記載された内容）◎開示する個人情報
個人情報の項目

Draft

開示の求めで特定された事項（開示する個人情報の内容を記載する。）（「添付のとおり開示します。」として、開示対象の個人情報を添付してもよい。）◎非開示とした個人情報とその理由（非開示とした個人情報）
個人情報の項目

開示の求めで特定された事項（非開示とした理由）
 申請対象の個人情報が特定されていません。
 開示の求めに係る個人情報を保有していません。
 次の理由により開示しないこととしました。
 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがあるため。
 当社の業務の適正な実施に著しい支障を及ぼすおそれがあるため。
 他の法令に違反することとなるため。（法令名：

）
以上

382

電気通信事業における個人情報保護指針

12-6 様式例⑥ 個人情報の非開示についてのお知らせ（例）

個人情報の非開示についてのお知らせ（例）
令和○○年○○月○○日
申請者の氏名 様
電気通信事業者住所
電気通信事業者名
連絡先

令和 年
月 日付貴信により、開示の求めのあった「個人情報」について、開示しないこと としましたので、下記のとおりご連絡します。
記◎申請対象の個人情報
個人情報に係る本人

本人の氏名、住所（開示の求めに記載された内容）

個人情報の項目（開示の求めで特定された事項）◎開示しないこととした理由
 本人確認ができませんでした。
 申請書に記載されている情報と本人確認のための書類に記載されている情報が一致していません。（不一致情報：）
 代理人による申請に際して、代理権の確認が不可能です。
 申請書類に不備がありました。（不備申請書類：）（不備内容：）
 申請対象の個人情報が特定されていません。
 開示の求めにかかる個人情報を保有していません。
 次の理由により開示しないこととしました。
 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがあるため。
 当社の業務の適正な実施に著しい支障を及ぼすおそれがあるため。
 他の法令に違反することとなるため。（法令名：
）
以上

383

電気通信事業における個人情報保護指針

12-7 様式例⑦ 個人情報の訂正・追加・削除申請書（例）

個人情報の訂正・追加・削除申請書（例）
令和○○年○○月○○日○○株式会社（個人情報取扱窓口）御中
個人情報の保護に関する法律（平成 15 年法律第 57 号）第 34 条第 1 項及び電気通信事業における個人情報保護に関するガイドライン（総務省告示第 152 号）第 24 条第1 項に基づき、貴社が保有する下記記載の本人の「個人情報」の内容の訂正、追加又は削除を求めます。
記◎申請対象となる本人を特定するための事項
本人を特定する事項

本人の氏名、住所等（必要最小限の情報に限定する必要がある。）◎申請者を確認するための事項
本人が申請する場合

本人確認書類を列記

法定代理人が申請する場合

法定代理人の種類を記載し、その資格を証明する書類及び法定代理人自身の確認書類を列記

任意代理人が申請する場合本人からの委任状、本人に関する確認書類及び代理人自身の確認書類を列記
Draft◎申請対象となる個人情報を特定する事項
申請対象を特定するために必要な情報

個人情報（お名前、住所、電話番号、メールアドレス等）を列挙し、本人の特定を容易にすることが望ましい。

◎申請する措置とその理由
訂正 訂正する内容
追加 追加する内容
削除 削除する内容

理由（事実でない、保存期間が経過している、当該個人情報の取扱いが適正でない等の理由を列記）◎受付方法（この訂正等申請の受付方法及びその窓口に関する情報を記載する。）
注意事項（例）➣ 契約者の氏名、住所、連絡先等の変更の場合には、○○にて申出を受けていること。
➣ 訂正等の申請に理由がない場合には、これに応じられないことがあること。
➣ 本人確認書類の不備や、申請対象となる個人情報の特定がされていない場合や不完全な場合には、訂正等の申請に応じられないことがあること。
➣ 本申請に対する措置に関する回答方法➣ 本申請書にて提供を受けた個人情報の利用目的や保存期間等

➣ その他

以上
384

電気通信事業における個人情報保護指針

12-8 様式例⑧ 個人情報の訂正・追加・削除申請書（例）

個人情報の利用停止・消去申請書（例）
令和○○年○○月○○日○○株式会社（個人情報取扱窓口）御中
個人情報の保護に関する法律（平成 15 年法律第 57 号）第 35 条第 1 項及び電気通信事業における個人情報保護に関するガイドライン（総務省告示第 152 号）第 25 条第 1項の規定に基づき、貴社が保有する下記記載の本人の「個人情報」の利用の停止（又は消去）を求めます。
記◎申請対象となる本人を特定するための事項
本人を特定する事項

本人の氏名、住所等（必要最小限の情報に限定する必要がある。）◎申請者を確認するための事項
本人が申請する場合

本人確認書類を列記

法定代理人が申請する場合

法定代理人の種類を記載し、その資格を証明する書類
及び法定代理人自身の確認書類を列記

任意代理人が申請する場合本人からの委任状、本人に関する確認書類及び代理人
自身の確認書類を列記◎申請対象となる個人情報を特定する事項
申請対象を特定するために必要な情報

個人情報（名前、住所、電話番号、メールアドレス等）を列挙し、本人の特定を容易にすることが望ましい。

◎申請する措置とその理由
利用停止
消去

理由（目的外利用、不正な取得、保存期間を経過している等の理由を列記）◎受付方法（この利用停止等申請の受付方法及びその窓口に関する情報を記載する。）
注意事項（例）➣ サービス勧奨等のための DM 送付、電子メール送信、電話勧誘等のための利用停止の依頼の場合、○○にて申出を受けていること。
➣ 利用停止等の申請に理由がない場合には、これに応じられないことがあること。
➣ 本人確認書類の不備や、申請対象となる個人情報の特定がされていない場合や不完全な場合には、利用停止等の申請に応じられないことがあること。
➣ 本申請に対する措置に関する回答方法➣ 本申請書にて提供を受けた個人情報の利用目的や保存期間等
➣ その他

以上
385

電気通信事業における個人情報保護指針

12-9 様式例⑨ 個人情報の第三者提供停止申請書（例）

個人情報の第三者提供停止申請書（例）
令和○○年○○月○○日○○株式会社（個人情報取扱窓口）御中
個人情報の保護に関する法律（令和 15 年法律第 57 号）第 35 条第 3 項及び電気通信事業における個人情報保護に関するガイドライン（総務省告示第〇〇号）第 25 条第 3項の規定に基づき、貴社が保有する下記記載の本人の「個人情報」の第三者への提供の停止を求めます。
記◎申請対象となる本人を特定するための事項
本人を特定する事項

本人の氏名、住所等（必要最小限の情報に限定する必要がある。）◎申請者を確認するための事項
本人が申請する場合

本人確認書類を列記

法定代理人が申請する場合

法定代理人の種類を記載し、その資格を証明する書類及び法定代理人自身の確認書類を列記
Draft

任意代理人が申請する場合本人からの委任状、本人に関する確認書類及び代理人自身の確認書類を列記◎申請対象となる個人情報を特定する事項
申請対象を特定するために必要な情報

個人情報（名前、住所、電話番号、メールアドレス等）を列挙し、本人の特定を容易にすることが望ましい。

◎申請する措置とその理由
措置（誰に対する第三者提供を停止するか等求める措置を記載）
理由（同意していない等の理由を記載）◎受付方法（この第三者提供停止申請の受付方法及びその窓口に関する情報を記載する。）
注意事項（例）➣ 第三者提供停止の申請に理由がない場合には、これに応じられないことがあること。
➣ 本人確認書類の不備や、申請対象となる個人情報の特定がされていない場合や不完全な場合には、第三者提供停止申請に応じられないことがあること。
➣ 本申請に対する措置に関する回答方法➣ 本申請書にて提供を受けた個人情報の利用目的や保存期間等
➣ その他

以上
386

電気通信事業における個人情報保護指針

12-10 様式例⑩ 個人情報の訂正等措置回答書（例）

個人情報の訂正等措置回答書（例）
令和○○年○○月○○日
申請者の氏名 様
電気通信事業者住所
電気通信事業者名
連絡先
令和 年 月 日付貴信により、訂正等の求めのあった「個人情報」について、措置の結果を、下記のとおり回答します。
記◎ 申請対象の個人情報
個人情報に係る本人

本人の氏名、住所（訂正等の求めに記載された内容）

個人情報の項目（訂正等の求めで特定された事項）◎申請された措置
□訂正

□追加

□削除

□利用停止

□消去

□第三者提供の停止◎当社が行った措置◎申請された措置の全部又は一部についてその措置を取らない場合又はその措置とは異なる措置をとる場合の理由□本人確認ができませんでした。
□申請書に記載されている情報と本人確認のための書類に記載されている情報が一致していません。（不一致情報： ）□代理人による申請に際して、代理権の確認が不可能です。
□申請書類に不備がありました。（不備申請書類： ）（不備内容：）□申請対象の個人情報が特定されていません。
□当社は訂正等の求めに係る個人情報を保有していません。
□調査の結果、個人情報の保護に関する法律（平成１５年法律第５７号）及び電気通信事業における個人情報保護に関するガイドライン（平成１６年総務省告示第６９５号）に違反した取扱いを行っているとは認められませんでした。
387

電気通信事業における個人情報保護指針□当社が講じた措置により、個人情報の保護に関する法律（平成１５年法律第５７号）及び電気通信事業における個人情報保護に関するガイドライン（平成１６年総務省告示第６９５号）に違反した取扱いは是正されます。
□保存期間が経過しておらず、利用目的も達成されていません。
□求めに理由がありません。（理由不備内容：
）
以上

Draft

388

電気通信事業における個人情報保護指針

12-11 様式例⑪ 委任状（例）

委

任

状（例）
令和○○年○○月○○日（あて先）○○電気通信株式会社
代理人
ﾌﾘｶﾞﾅ
氏名

住所

〒

－

私は、上記の者を代理人と定め、下記の案件及びこれに関する貴社との交渉行為に関する事項を委任します。
（委任する事項を次の項目から選ぶか、具体的に記入して下さい。）
個人情報の開示の求め
個人情報の訂正の求め
個人情報の追加の求め
個人情報の削除の求め
個人情報の利用の停止の求め
個人情報の第三者提供の停止の求め
個人情報の利用目的の通知の求め
その他（具体的に記入して下さい。）

ご本人
ﾌﾘｶﾞﾅ
氏名
印
住所

〒

－

389

電気通信事業における個人情報保護指針

12-12 様式例⑫ 個人情報の取扱いに関する事故等の報告(速報)「10-13 様式例⑬ 個人情報の取扱いに関する事故等の報告書」を使用の事

Draft

390

電気通信事業における個人情報保護指針

12-13 様式例⑬ 個人情報の取扱いに関する事故等の報告書

20 年 月 日

殿

報告書
個人情報の保護に関する法律第 26 条第１項の規定により、次のとおり報告します。
年

月

日

殿
報告者の氏名又は名称
住所又は居所
１．報告種別（該当する□に印を付けること。）
新規又は続報の別：□ 新規□ 続報

速報又は確報の別：□ 速報

□ 確報

前回報告：

年

月

２．報告をする個人情報取扱事業者（以下「報告者」という。）の概要
報告者の氏名（フリガナ）

又は名称
法人番号（13 桁）
業種・業種番号
報告者の住所

都道

市区

府県

町村

又は居所
代表者の氏名（フリガナ）（報告者が法人等の場合に限る。）

391

日

電気通信事業における個人情報保護指針（フリガナ）

事務連絡者の氏名
所属部署

電話

（

）

E-mail3．報告事項（１）事態の概要（該当する□に印を付けること。）
発生日：
発覚日：

年
年

月
月

発生事案：□ 漏えい□ 滅失のおそれ発見者： □ 自社/委託先

日
日□ 漏えいのおそれ

□ 滅失

□ 毀損

□ 毀損のおそれ□ 取引先□ カード会社/決済代行会社
規則第7条各号該当性：□ 顧客/会員□ その他（）□ 第１号（要配慮個人情報）□ 第２号（財産的被害）□ 第３号（不正の目的）□ 第４号（千人超）Draft□ 非該当（上記に該当しない場合の報告）
報告者に個人データの取扱いを委託した者（委託元）の有無：□ 有（名称： ）
（住所：

）

（電話：

）

□ 無
報告者から個人データの取扱いの委託を受けた者（委託先）の有無：□ 有（名称： ）
（住所：

）

（電話：

）

□ 無

392

電気通信事業における個人情報保護指針

事実経過：
概要：

発覚の経緯・発覚後の事実経過（時系列）：

外部機関による調査の実施状況（規則第 7 条第 3 号に該当する場合のみ記載）：□ 実施済（実施中）【依頼日：年月日】□ 実施予定【依頼予定日：
月
日】
年
□ 検討中
□ 予定なし）（詳細：（２）漏えい等が発生し、又は発生したおそれがある個人データの項目（該当する□に印を付けること。）
媒体： □紙種類： □顧客情報
項目： □氏名□□住所□ 電子媒体□ 従業員情報□ 生年月日□ 電話番号□ その他（□ その他（□ 性別□ メールアドレス□クレジットカード情報
□その他（
）

）
）

□ パスワード（３）漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数（）人

うちクレジットカード情報含む（）人（４）発生原因（該当する□に印を付けること。）
主体：□ 報告者□ 委託先□ 不明原因：□ 不正アクセス（攻撃箇所：（（攻撃手法：（□ 誤交付□ 誤廃棄□ その他（））□ 誤送付（メール含む。）
□ 紛失
□ 盗難
）

詳細：

393

□ 従業員不正電気通信事業における個人情報保護指針（５）二次被害又はそのおそれの有無及びその内容（該当する□に印を付けること。）
有無：□ 有

□無

□不

明
詳細：

（６）本人への対応の実施状況（該当する□に印を付けること。）
本人への対応（通知を含む。
）：□ 対応済（対応中）□ 対応予定□ 予定なし詳細（予定なしの場合は、理由を記載）：（７）公表の実施状況（該当する□に印を付けること。）
Draft

事案の公表：□ 実施済【公表日：年□ 実施予定【公表予定日：

月

日】

年

月

□ 検討中
□ 予定なし公表の方法：□ ホームページに掲載□ 記者会見

□ 報道機関等への資料配布□ その他（）

公表文：（８）再発防止のための措置
実施済の措置：394日】

電気通信事業における個人情報保護指針

今後実施予定の措置（長期的に講ずる措置を含む。）及び完了予定時期：（９）その他参考となる事項：

記載要領
１．最上段の受付日及び受付番号の欄には記載しないこと。
２．続報として提出の際には、前回報告から記載を変更した箇所に下線を引くこと。
３．２．の「法人番号」とは行政手続における特定の個人を識別するための番号の利用等に関する法律（平成 25 年法律第 27 号）第２条第 15 項に規定する「法人番号」を指す。なお、法人番号を記載する欄に、同条第５項に規定する「個人番号」
を記載しないこと。
４．２．の「業種」・「業種番号」（４桁）は、日本標準産業分類から記載すること。
５．２．の「事務連絡者の氏名」の「電話」には、代表電話番号ではなく、当該事務連絡者の直通電話番号を記載すること。
６．２．の「法人等」には、法人格を有しない団体等も含まれる。
７．３．（７）の「公表文」には、公表を予定している場合、公表予定の文案を記載又は添付すること。
８．用紙の大きさは、日本産業規格Ａ４とすること。

395

電気通信事業における個人情報保護指針

改定履歴
項
番

改正年月日

主な改正内容等

1

平成 17 年 4 月(2005 年)

（新規作成）

2

平成 18 年 12
月 12 日(2006 年)

「漏えい等が発生した場合の対応」について、留意点等の内容を
補強した。

3

平成 19 年 9 月
12 日(2007 年)

社員情報については、雇用管理に関する個人情報と考えられ、
厚生労働省の指針の対象にもなっていることに留意する必要があることを補強した。

4

平成 22 年 3 月
29 日(2010 年)

電気通信事業における個人情報保護に関するガイドライン及び解説の改正（消費者等の権利利益の一層の保護に関する事項
ほか）に伴う改正及び全面的な見直し。

5

平成 22 年 11
月 17 日(2010 年)

電気通信事業における個人情報保護に関するガイドライン及び解説の改正（匿名化を行うことは利用目的として特定する必要はない、モバイル PC 等による個人情報の持出時に求められる安
全管理措置の在り方ほか）に伴う改正ほか。

6

平成 27 年 7 月
10 日(2015 年)

電気通信事業における個人情報保護に関するガイドライン及び解説の改正（個人情報の適正な取得、安全管理措置、従業員及び委託先の監督、個人情報保護管理者）に伴う改正及び一部文言修正。

7

平成 29 年 5 月
30 日(2017 年)

個人情報保護に関する法律の改正・施行に伴う全面改定

8

平成 29 年 7 月
25 日(2017 年)

誤記修正、位置情報に関するプライバシーの適切な保護に関する研究報告書を参考資料として掲載(URL 表記)

9

平成 29 年 10
月 10 日(2017 年)

『電気通信事業における「十分な匿名化」に関するガイドライン』
に関する記述を追加。(P124/157/166)

10

平成 29 年 12月 15 日(2017 年)

誤記修正(2 箇所)及び電気通信個人情報保護推進センターの代
表 メ ー ル ア ド レ ス の 変 更 ( suishin-center@dekyo.or.jp → piict@dekyo.or.jp )11

平成 30 年 1 月
15 日(2018 年)

誤記修正：P7 問合せ先に記載されているメールアドレスを修正。( suishin-center@dekyo.or.jp → pi-ict@dekyo.or.jp )12

令和元年 5 月
31 日「個人情報の保護に関する法律についてのガイドライン(通則編)[平成 31 年 1 月 23 日]」、「個人情報の保護に関する法律に

Draft

396

電気通信事業における個人情報保護指針(2019 年)ついてのガイドライン(外国にある第三者への提供編)[平成 31 年
1 月 23 日]」及び「個人情報の保護に関する法律に係る EU 域内
から十分性認定により移転を受けた個人データの取扱いに関す
る補完的ルール」から該当する部分を引用。

13

令和 2 年 5 月
25 日(2020 年)

誤字、脱字、修正(レイアウト修正含む)を反映。

14

令和 2 年 11 月
25 日(2020 年)

個人情報保護委員会 ガイドライン(通則編)の改正[R2.9.1 及びR2.10.1]、
総務省 電気通信事業における個人情報保護に関するガイドライン(解説)の改正[R2.11.11]の反映等

令和 4 年 3 月
31 日(2022 年)2022 年 4 月 1 日施行の改正個人情報保護法(関係する政令、規則、ガイドライン等を含む)及び、2022 年 3 月 31 日公表の個人情報保護委員会・総務省「電気通信事業における個人情報保護に関するガイドライン 本文」(*)、「同 解説」(*)に関する以下の対応。
・条番号、項番号の変更、記載例の変更(追記、削除)等
・法第 147 条第 1 項の規定により総務大臣等が報告を受理する権限の委任を受けている事案の場合の事故報告ルート記載(*)個人情報保護委員会と共管(第 200 回個人情報保護委員会)

令和 5 年 9 月
26 日（2023 年）2023 年 4 月 1 日施行の改正個人情報保護法(関係する政令、規則、ガイドライン等を含む)及び、2023 年 5 月 18 日公表の個人情報保護委員会・総務省「電気通信事業における個人情報保護に関するガイドライン 本文」、「同 解説」に関する以下の対応。
・条番号、項番号の変更、記載例の変更(追記、削除)等

15

16

397

電気通信事業における個人情報保護指針

Draft398