改正個人情報保護法のサマリー及び各種ガイドラインの解説
Ver.20170519
弁護士・ひかり総合法律事務所
国立研究開発法人理化学研究所革新知能
統合研究センター客員主幹研究員
板倉陽一郎

2017/5/20

情報法制研究会第5回シンポジウム

1

自己紹介
• 2002年慶應義塾大学総合政策学部卒，2004年京都大学大学院
情報学研究科社会情報学専攻修士課程修了，2007年慶應義塾大学法務研究科（法科大学院）修了。2008年弁護士（ひかり総合法律事務所）。2016年4月よりパートナー弁護士。
• 2010年4月より2012年12月まで消費者庁に出向（消費者制度課個
人情報保護推進室（現・個人情報保護委員会事務局）政策企画専門官）。2017年4月より国立研究開発法人理化学研究所革新知能
統合研究センター社会における人工知能研究グループ客員主管
研究員。
• 総務省・改正個人情報保護法等を踏まえたプライバシー保護検討
タスクフォース，経済産業省・平成27年度我が国経済社会の情報化・サービス化に係る基盤整備（経済産業分野を対象とする個人情報保護に係る制度整備等調査研究）匿名加工情報の加工方法等に係るワーキンググループ委員等。

2017/5/20

情報法制研究会第5回シンポジウム

2

目次
1 個人情報保護法ガイドラインの総論
1）スケジュールと全体構造
2）個人情報保護法ガイドラインとは
3）執行と解釈権限
2 委員会ガイドライン
1）総則編
2）外国第三者提供編
3）確認記録義務編
4）匿名加工情報編
5）漏えい等の対応
3 個別分野ガイドライン
1）金融・信用・債権管理回収業分野
2）総務省系 ①電気通信分野，②放送分野，③郵便・信書便
3）個人遺伝情報分野
4）医療系

2017/5/20

情報法制研究会第5回シンポジウム

3

1 個人情報保護法ガイドラインの総論
1）スケジュールと全体構造

2017/5/20

情報法制研究会第5回シンポジウム

4

5/30

2017/5/20

情報法制研究会第5回シンポジウム

5

総務省「個人情報・利用者情報等の取扱いに関するWG（第4回）」（平成27年4月16日）内閣官房提出資料を加筆

個人情報の保護に関する法律（平成15年法律第57号）（法律）平成27年法律第65号及び平成28年法律第51号により改正

拘束力

委 個人情報の保護に関する基本方針（平成15年法律第57号）（閣議決定）
任
個人情報の保護に関する基本方針の一部変更案により変更
委任
個人情報の保護に関する法律施行令（平成15年政令第507号）（政令）
個人情報の保護に関する法律施行令の一部を改正する政令により改正
再委
個人情報の保護に関する法律施行規則
任
未制定部分の規則（個人情報保護委員会規則）

法
令

新規制定

委員会ガイドライン（委員会告示）

各省ガイドライン（告示）

GL通則編，GL匿名加工情報編，GL確認記録義務編，GL外国提供編，漏えい対応，認定指針

金融系3種，総務省系4種，医療・健康保険3種（＋
医療情報システム），個人遺伝情報

認定個人情報保護団体の個人情報保護指針（各団体で検討中）

2017/5/20

情報法制研究会第5回シンポジウム

6

行政機関の保有する個人情報の保護に関する法律（平成15年法律第58号）（法律）
独立行政法人等の保有する個人情報の保護に関する法律（平成15年法律第59号）（法律）平成28年法律第51号により改正

拘束力

委 個人情報の保護に関する基本方針（平成15年法律第57号）（閣議決定）
任
個人情報の保護に関する基本方針の一部変更案により変更
委
任

法
令

行政機関の保有する個人情報の保護に関する法律施行令（平成15年政令第548号）（政令）独立行政法人等の保有する個人情報の保護に関する法律施行令（平成15年政令第549号）（政令）再 行政機関の保有する個人情報の保護に関する法律施行令の一部を改正する政令等により改正

委
任
行政機関の保有する個人情報の保護に関する法律施行規則
独立行政法人等の保有する個人情報の保護に関する法律施行規則（平成29年総務省令第19号，20号）

行政機関の保有する個人情報の適切な管理のための措置に関する指針について（総務省行政管理局庁通知）等

2017/5/20

行政機関の保有する個人情報の保護に関する法律第四章の二の規定による行政機関非識別加工情報の提供に関する規則
独立行政法人等の保有する個人情報の保護に関する法律第四章の二の規定による行政機関非識別加工情報の提供に関する規則（平成29年個人情報保護委員会規則第1号，2号）

委員会ガイドライン（委員会告示）
GL行政機関非識別加工情報編，GL独立行政法人
等非識別加工情報編

情報法制研究会第5回シンポジウム

7

分類

名称
クレジット
個人情報の保護に関する法律についてのガイドライン（通則編）
平成28年個人情報保護委員会告示第6号
個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）
平成28年個人情報保護委員会告示第7号
個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）
平成28年個人情報保護委員会告示第8号
個人情報の保護に関する法律についてのガイドライン（匿名加工情報編）
平成28年個人情報保護委員会告示第9号
一般
個人情報の保護に関する法律についてのガイドライン（通則編）及び個人情報の保護に関する法律につ
平成29年個人情報保護委員会告示第6号
いてのガイドライン（匿名加工情報編）の一部を改正する件
個人データの漏えい等の事案が発生した場合等の対応について
平成29年個人情報保護委員会告示第1号
認定個人情報保護団体の認定等に関する指針
平成29年個人情報保護委員会告示第7号
金融分野における個人情報保護に関するガイドライン
平成29年個人情報保護委員会・金融庁告示第１号
金融分野における個人情報保護に関するガイドラインの安全管理措置等についての実務指針
平成29年個人情報保護委員会・金融庁告示第２号
信用分野における個人情報保護に関するガイドライン
平成29年個人情報保護委員会・経済産業省告示第１号
債権管理回収業分野における個人情報保護に関するガイドライン
平成29年個人情報保護委員会・法務省告示第1号
医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス
個人情報保護委員会・厚生労働省
健康保険組合等における個人情報の適切な取扱いのためのガイダンス
個人情報保護委員会・厚生労働省
国民健康保険組合における個人情報の適切な取扱いのためのガイダンス
個人情報保護委員会・厚生労働省
国民健康保険団体連合会等における個人情報の適切な取扱いのためのガイダンス
医療情報システムの安全管理に関するガイドライン 第４．４版
厚生労働省
個別分野
郵便事業分野における個人情報保護に関するガイドラインの改正
郵便事業分野における個人情報保護に関するガイドラインの解説の改正
平成29年総務省告示第167号
信書便事業分野における個人情報保護に関するガイドラインの解説の改正
信書便事業分野における個人情報保護に関するガイドラインの改正
平成29年総務省告示第168号
経済産業分野のうち個人遺伝情報を用いた事業分野における個人情報保護ガイドライン
平成29年経済産業省告示第62号
電気通信事業における個人情報保護に関するガイドライン
平成29年総務省告示第152号
電気通信事業における個人情報保護に関するガイドラインの解説改正
放送受信者等の個人情報保護に関するガイドライン
平成29年総務省告示第159号
放送受信者等の個人情報保護に関するガイドラインの解説改正
行政機関の保有する個人情報の保護に関する法律施行規則
平成29年総務省令第19号，第20号
独立行政法人等の保有する個人情報の保護に関する法律施行規則
独立行政法人等の保有する個人情報の保護に関する法律についてのガイドライン
平成29年個人情報保護委員会告示第5号（独立行政法人等非識別加工情報編）
独立行政法人等の保有する個人情報の保護に関する法律第四章の二の規定による行政
平成29年個人情報保護委員会規則第2号
独立行政法人等非識別加工情報の提供に関する規則
行政機関の保有する個人情報の保護に関する法律についてのガイドライン
平成29年個人情報保護委員会告示第4号（行政機関非識別加工情報編）
行政機関の保有する個人情報の保護に関する法律第四章の二の規定による
平成29年個人情報保護委員会規則第1号
行政機関非識別加工情報の提供に関する規則
人を対象とする医学系研究に関する倫理指針（平成26年文部科学省・厚生労働省告示第3号）の
平成29年文部科学省・厚生労働省告示第1号
一部改正
倫理指針
ヒトゲノム・遺伝子解析研究に関する倫理指針（平成25年文部科学省・厚生労働省・経済産業省告示第 平成29年文部科学省・厚生労働省・経済産業省告示第11号）の一部改正号

2017/5/20

情報法制研究会第5回シンポジウム

82017/5/20

情報法制研究会第5回シンポジウム

92017/5/20

情報法制研究会第5回シンポジウム

102017/5/20

情報法制研究会第5回シンポジウム

11※ガイドラインの内容の統一化を図るための規定部分は不要になったため削除
2017/5/20

情報法制研究会第5回シンポジウム

122017/5/20

情報法制研究会第5回シンポジウム

13

1 個人情報保護法ガイドラインの総論
2）個人情報保護法ガイドラインとは

2017/5/20

情報法制研究会第5回シンポジウム

142017/5/20

情報法制研究会第5回シンポジウム

個人情報保護委員会資料より

15

2017/5/20

情報法制研究会第5回シンポジウム

16「「個人情報の保護に関する法律についてのガイドライン」（仮称）の基本的な考え方等について」（第4回資料2-2）
１．基本的な考え方及び構成等（１）基本的な考え方○現行の個人情報保護法の下では，各主務大臣が個人情報保護法に基づく勧告及び命令等の監督権限を有しており，同法第８条等に基づき，事業分野ごとの個人情報保護等に関するガイドライン（以下「各省ガイドライン」という。）を策定している。
○改正個人情報保護法（以下「改正法」という。）の全面施行時には監督権限が当委員会に一元化されることを踏まえ，これに向けて当委員会が，改正法第４条（国の責務），第８条（地方公共団体「等」への支援）及び第51条（委員会の任務）に基づき，全ての事業分野に適用される汎用的なガイドライン（以下「委員会ガイドライン」という。）を策定し，告示として公表する。
（※なお，「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」は番号法第４条（国の責務）及び改正法第51条（委員会の任務）に基づき策定されている。）○これに伴い，現行の各省ガイドラインは，原則として委員会ガイドラインに一元化することとするが，その際は，事業分野の特性（当該事業において取り扱われる個人情報の性質及び利用方法等の特性を含む。）及び現行の各省ガイドラインの内容等を踏まえるとともに，事業者に混乱が生じないよう留意し，個々に取扱いを検討する。
○委員会ガイドラインの策定に当たっては，各省ガイドライン等により従来から共通的に示されてきた解釈は基本的に踏襲しつつ，改正法に係る国会審議や直近の社会情勢等も踏まえ，適切な解釈及び事例等を示すこととし，併せて，改正法附則第11条において，「この法律の施行により旧個人情報保護法第２条第３項第５号に掲げる者が新たに個人情報取扱事業者となることに鑑み，特に小規模の事業者の事業活動が円滑に行われるよう配慮するものとする。」とされている点にも留意する。
○なお，委員会ガイドラインの策定に当たり，事業者における混乱の防止等の観点から，必要に応じて，当委員会が別途定めている「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」の用語及び表現等との整合性にも留意する。
（２）構成等○委員会ガイドラインの構成は，改正法の条文の流れに従って，法律・政令・規則を適宜示しつつ，事業者が守らなければならない事項を記述することとし，必要に応じて，法律上の義務（努力義務を含む。）ではないが，実施することがより望まし
いと考えられる事項についても記述する。
○なお，事業者及び消費者による改正法の理解に資する観点から，改正法の解釈等に関して当委員会に対して寄せられた質問のうち汎用性のある事例，具体的なケースに即した事例等について，QA等を別途作成することとする。

2017/5/20

情報法制研究会第5回シンポジウム

17個人情報保護委員会の権限と事業所管大臣への委任

新第4章第3節 監督
新第7条（基本方針の案の作成権限，消費者委員会から移管）
新第5章
新第59条 （内閣府設置法49項3項）
新第60条
委員会は，個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであることその他の個人情報の有用性に配慮しつつ…
新第61条 （任務）新第62条 （所掌事務，基本方針の作成含む。消費者委員会からは完全に手を離れる）
新第63条 （独立性）
新第64条
1 委員長及び委員8人
2 非常勤4人
3 両院同意人事
4 ①個人情報保護及び適正かつ効果的な活用に関する学識経
験者，②消費者保護，③情報処理技術，④特定個人情報が利用される行政分野，⑤民間企業の実務，⑥地方連合組織の推薦する者，が含まれる
新第65条 （任期5年等）
新第66条 （身分保障）
新第70条 （専門委員，内閣総理大臣任命）

2017/5/20

新第40条 （報告及び立入検査）
個人情報保護委員会は，前2節及びこの節の規定の施行に必要な限度において，個人情報取扱事業者又は匿名加工情報取扱事業者（以下「個人情報取扱事業者等」という。）に対し，個人
情報又は匿名加工情報（以下「個人情報等」という。）の取扱いに関し，必要な報告若しくは資料の提出を求め，又はその職員に，当該個人情報取扱事業者等の事務所その他必要な場所に立ち入らせ，個人情報等の取扱いに関し質問させ，若しくは帳簿書類その他の物件を検査させることができる。
２ 前項の規定により立入検査をする職員は，その身分を示す証明書を携帯し，関係人の請求があったときは，これを提示しなければならない。
３ 第１項の規定による立入検査の権限は，犯罪捜査のために認められたものと解釈してはならない。
報告徴収，資料提出要求，立入検査。処分性あり

新第41条 （指導及び助言）
個人情報保護委員会は，前2節の規定の施行に必要な限度において，個人情報取扱事業者等に対し，個人情報等の取扱いに関し必要な指導及び助言をすることができる。
指導，助言。処分性なし（指導と助言の差異は不明）

情報法制研究会第5回シンポジウム

18個人情報保護委員会の権限と事業所管大臣への委任

新第4章第3節 監督
新第42条 （勧告及び命令）
個人情報保護委員会は，個人情報取扱事業者が第16条から
第18条まで，第20条から第22条まで，第23条（第４項を除く。），
第24条，第25条，第26条（第２項を除く。），第27条，第28条（第１項を除く。），第29条第２項若しくは第３項，第30条第２項，第４項
若しくは第５項，第33条第２項若しくは第36条（第６項を除く。）の規定に違反した場合又は匿名加工情報取扱事業者が第37条若しくは第38条の規定に違反した場合において個人の権利利益を保護するため必要があると認めるときは，当該個人情報取扱事
業者等に対し，当該違反行為の中止その他違反を是正するために必要な措置をとるべき旨を勧告することができる。
２ 個人情報保護委員会は，前項の規定による勧告を受けた個
人情報取扱事業者等が正当な理由がなくてその勧告に係る措置をとらなかった場合において個人の重大な権利利益の侵害が切迫していると認めるときは，当該個人情報取扱事業者等に対し，その勧告に係る措置をとるべきことを命ずることができる。
３ 個人情報保護委員会は，前二項の規定にかかわらず，個人情報取扱事業者が第16条，第17条，第20条から第22条まで，第23条第１項，第24条若しくは第36条第１項，第２項若しくは第５項の規定に違反した場合又は匿名加工情報取扱事業者が第38条の規定に違反した場合において個人の重大な権利利益を害する事実があるため緊急に措置をとる必要があると認める
ときは，当該個人情報取扱事業者等に対し，当該違反行為の中止その他違反を是正するために必要な措置をとるべきことを命ずることができる。
勧告は処分性なし（違反した場合のみ）
命令，緊急命令は処分性あり

2017/5/20

情報法制研究会第5回シンポジウム

19個人情報保護委員会の権限と事業所管大臣への委任
新第43条 （旧35条）
新第44条 （権限委任，事業所管大臣，特に金融庁）
個人情報保護委員会は，緊急かつ重点的に個人情報等の適正な取扱いの確保を図る必要があることその他の政令で定める事情があるため，
個人情報取扱事業者等に対し，第42条の規定による勧告又は命令を効果的に行う上で必要があると認めるときは，政令で定めるところにより，第40条第１項の規定による権限を事業所管大臣に委任することができる。
２ 事業所管大臣は，前項の規定により委任された権限を行使したときは，政令で定めるところにより，その結果について個人情報保護委員会に報告するものとする。
３ 事業所管大臣は，政令で定めるところにより，第１項の規定により委任された権限及び前項の規定による権限について，その全部又は一部を内閣府設置法（平成11年法律第89号）第43条の地方支分部局その他の政令で定める部局又は機関の長に委任することができる。
４ 内閣総理大臣は，第１項の規定により委任された権限及び第２項の規定による権限（金融庁の所掌に係るものに限り，政令で定めるものを除く。）を金融庁長官に委任する。
５ 金融庁長官は，政令で定めるところにより，前項の規定により委任された権限について，その一部を証券取引等監視委員会に委任することができる。
６ 金融庁長官は，政令で定めるところにより，第４項の規定により委任された権限（前項の規定により証券取引等監視委員会に委任されたものを除く。）の一部を財務局長又は財務支局長に委任することができる。
７ 証券取引等監視委員会は，政令で定めるところにより，第５項の規定により委任された権限の一部を財務局長又は財務支局長に委任することができる。
８ 前項の規定により財務局長又は財務支局長に委任された権限に係る事務に関しては，証券取引等監視委員会が財務局長又は財務支局長を指揮監督する。
９ 第５項の場合において，証券取引等監視委員会が行う報告又は資料の提出の要求（第７項の規定により財務局長又は財務支局長が行う場
合を含む。）についての審査請求は，証券取引等監視委員会に対してのみ行うことができる。

新第45条 （事業所管大臣から委員会への措置請求）
事業所管大臣は，個人情報取扱事業者等に前二節の規定に違反する行為があると認めるときその他個人情報取扱事業者等による個人情報等の適正な取扱いを確保するために必要があると認めるときは，個人情報保護委員会に対し，この法律の規定に従い適当な措置をとるべきことを求めることができる。
新第46条 （旧36条）
新第77条 （地方公共団体が処理する事務）
この法律に規定する委員会の権限及び第44条第１項又は第４項の規定により事業所管大臣又は金融庁長官に委任された権限に属する事務は，政令で定めるところにより，地方公共団体の長その他の執行機関が行うこととすることができる。

2017/5/20

情報法制研究会第5回シンポジウム

20

権限の委任に関する政令（法第44条第1項の政令で定める事情）
第12条 法第44条第1項の政令で定める事情は，次の各号のいずれかに該当する事情とする。
一 緊急かつ重点的に個人情報等の適正な取扱いを確保する必要があること。
二 前号のほか，効果的かつ効率的に個人情報等の適正な取扱いを確保するために事業所管大臣が有する専門的知見を特に活用する必要があること。
（事業所管大臣への権限の委任）
第13条 個人情報保護委員会は，法第44条第1項の規定により，法第40条第1項の規定による権限を委任する場合においては，委任しようとする事務の範囲及び委任の期間を定めて，事業所管大臣に委任するものとする。ただし，個人情報保護委員会が自らその権限を行使することを妨げない。
２ 個人情報保護委員会は，前項の規定により委任しようとする事務の範囲及び委任の期間を定めようとするときは，あらか
じめ，事業所管大臣に協議しなければならない。
３ 個人情報保護委員会は，第1項の規定により権限を委任しようとするときは，委任を受ける事業所管大臣，委任しようとする事務の範囲及び委任の期間を公示しなければならない。
（権限行使の結果の報告）
第14条 法第44条第2項の規定による報告は，前条第1項の期間の範囲内で個人情報保護委員会が定める期間を経過するごとに（個人情報取扱事業者等に法第4章第1節又は第2節の規定に違反する行為があると認めたときは，直ちに），その間の権限の行使の結果について次に掲げる事項を記載し，又は記録した書面により行うものとする。
一 報告若しくは資料の提出の要求又は立入検査を行った結果により判明した事実
二 その他参考となるべき事項
２ 個人情報保護委員会は，前項の規定により報告の期間を定めようとするときは，あらかじめ，事業所管大臣に協議しなけ
ればならない。

2017/5/20

情報法制研究会第5回シンポジウム

21

権限の委任に関する政令（地方支分部局の長等への権限の委任）
第15条 事業所管大臣は，内閣府設置法（平成11年法律第89号）第49条第1項の庁の長（金融庁長官を除く。以下この条において同じ。），国家行政組織法（昭和23年法律第120号）第3条第2項の庁の長又は警察庁長官に法第44条第1項の規定により委任された権限及び同条第2項の規定による権限を委任することができる。
２ 事業所管大臣（前項の規定によりその権限が内閣府設置法第49条第1項の庁の長又は国家行政組織法第3条第2項の庁の長に委任された場合にあっては，その庁の長）は，内閣府設置法第17条若しくは第53条の官房，局若しくは部の長，同法第17条第1項若しくは第62条第1項若しくは第2項の職若しくは同法第43条若しくは第57条の地方支分部局の長又は国家行政組織法第7条の官房，局若しくは部の長，同法第九条の地方支分部局の長若しくは同法第29条第1項若しくは第2項の職に法第44条第1項の規定により委任された権限（当該場合にあっては，前項の規定により委任された権限（同条第2項の規定による権限を除く。））を委任することができる。
３ 警察庁長官は，警察法（昭和29年法律第162号）第19条第1項の長官官房若しくは局，同条第2項の部又は同法第30条
第1項の地方機関の長に第1項の規定により委任された権限（法第44条第2項の規定による権限を除く。）を委任することができる。
４ 事業所管大臣，内閣府設置法第49条第1項の庁の長，国家行政組織法第3条第2項の庁の長又は警察庁長官は，前3項の規定により権限を委任しようとするときは，委任を受ける職員の官職，委任しようとする事務の範囲及び委任の期間を公示しなければならない。
（証券取引等監視委員会への権限の委任等）
第16条 金融庁長官は，法第44条第4項の規定により委任された権限（同条第2項の規定による権限を除き，金融商品取引法（昭和23年法律第25号），投資信託及び投資法人に関する法律（昭和26年法律第198号），資産の流動化に関する法律（平成10年法律第105号）及び社債，株式等の振替に関する法律（平成13年法律第75号）の規定により証券取引等監視委
員会の権限に属させられた事項に係るものに限る。）を証券取引等監視委員会に委任する。ただし，金融庁長官が自らその権限を行使することを妨げない。
２ 証券取引等監視委員会は，前項の規定により委任された権限を行使したときは，速やかに，その結果について金融庁長官に報告しなければならない。

2017/5/20

情報法制研究会第5回シンポジウム

22

権限の委任に関する政令（財務局長等への権限の委任）
第17条 金融庁長官は，法第44条第4項の規定により委任された権限（同条第2項の規定による権限及び同条第5項の規定
により証券取引等監視委員会に委任された権限を除く。）を，個人情報取扱事業者等の主たる事務所又は事業所（次項及び次条第一項において「主たる事務所等」という。）の所在地を管轄する財務局長（当該所在地が福岡財務支局の管轄区域内にある場合にあっては，福岡財務支局長）に委任する。ただし，金融庁長官が自らその権限を行使することを妨げない。
２ 前項の規定により委任された権限で，個人情報取扱事業者等の主たる事務所等以外の事務所，事業所その他その事業を行う場所（以下この項及び次条第2項において「従たる事務所等」という。）に関するものについては，前項に規定する財務局長又は福岡財務支局長のほか，当該従たる事務所等の所在地を管轄する財務局長（当該所在地が福岡財務支局の管轄区域内にある場合にあっては，福岡財務支局長）も行うことができる。
第18条 証券取引等監視委員会は，法第44条第5項の規定により委任された権限を，個人情報取扱事業者等の主たる事務所等の所在地を管轄する財務局長（当該所在地が福岡財務支局の管轄区域内にある場合にあっては，福岡財務支局長）に委任する。ただし，証券取引等監視委員会が自らその権限を行使することを妨げない。
２ 前項の規定により委任された権限で，個人情報取扱事業者等の従たる事務所等に関するものについては，同項に規定する財務局長又は福岡財務支局長のほか，当該従たる事務所等の所在地を管轄する財務局長（当該所在地が福岡財務支局の管轄区域内にある場合にあっては，福岡財務支局長）も行うことができる。

2017/5/20

情報法制研究会第5回シンポジウム

23第34回個人情報保護委員会資料6「改正個人情報保護法に基づく権限の委任について」3頁より引用

2017/5/20

情報法制研究会第5回シンポジウム

24

根拠規定

金融GL1条 （信用，債権回収業もほぼ同様）
本ガイドラインは，個人情報の保護に関する法律（平成15年法律第57号。以下「法」という。），個人情報の保護に関する法
律施行令（平成15年政令第507号。以下「施行令」という。），個人情報の保護に関する法律施行規則（平成28年個人情報保
護委員会規則第３号。以下「施行規則」という。）及び個人情報の保護に関する基本方針（平成16年４月２日閣議決定。第18条において「基本方針」という。）を踏まえ，個人情報の保護に関する法律についてのガイドライン（通則編）（平成28年個人情報保護委員会告示第６号。以下「通則ガイドライン」という。）を基礎として，法第６条及び第８条に基づき，金融庁が所管する分野（以下「金融分野」という。）における個人情報について保護のための格別の措置が講じられるよう必要な措置を講じ，及び当該分野における事業者が個人情報の適正な取扱いの確保に関して行う活動を支援する具体的な指針として定めるものである。
本ガイドラインにおいて特に定めのない部分については，通則ガイドライン，個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）（平成28年個人情報保護委員会告示第７号），同ガイドライン（第三者提供時の確認・記録義務編）（平成28年個人情報保護委員会告示第８号）及び同ガイドライン（匿名加工情報編）（平成28年個人情報保護委員会告示第９号）が適用される。
電気通信GL解説1条…こうしたことを踏まえ，本ガイドラインは，法及び法第7 条第1 項の規定に基づく「個人情報の保護に関する基本方針」（平成16 年4 月閣議決定。平成28 年10 月一部変更。），通信の秘密に係る電気通信事業法（昭和59 年法律第86 号）第4 条その他の関連規定並びにプライバシー保護の観点を踏まえ，電気通信事業者に対し，通信の秘密に属する事項その他の個
人情報の適正な取扱いについてできるだけ具体的な指針を示すことにより，その範囲内での自由な流通を確保して電気通信サービスの利便性の向上を図るとともに，利用者の権利利益を保護することを目的として，法第4 条及び第8 条並びに電気通信事業法の関連規定に基づき具体的な指針として定めるものである。
放送GL解説1条…このような放送の果たすべき役割を踏まえ，本ガイドラインは，個人情報の保護に関する法律（平成15年法律第57号。以
下「法」という。）及び法第７条第１項の規定に基づく「個人情報の保護に関する基本方針」（平成16年４月閣議決定。平成28
年10月一部変更。）並びに放送法を踏まえ，放送受信者等の個人情報の適正な取扱いに関し，放送分野特有の事情に即して，できるだけ具体的な指針を示すことにより，その範囲での個人情報の自由な流通を確保して放送受信者等の利益の向上を図りつつ，放送受信者等の権利利益を保護するとともに，放送の健全な発達に寄与することを目的として，法第４条及び第８条に基づき定めるものである。
2017/5/20
25
情報法制研究会第5回シンポジウム

法4条，法6条，法8条？

第４条（国の責務）
国は，この法律の趣旨にのっとり，個人情報の適正な取扱いを確保するために必要な施策を総合的に策定し，及びこれを実施する責務を有する。
第６条（法制上の措置等）
政府は，個人情報の性質及び利用方法に鑑み，個人の権利利益の一層の保護を図るため特にその適正な取扱いの厳格な実施を確保する必要がある個人情報について，保護のための格別の措置が講じられるよう必要な法制上の措置その他の措置を講ずるとともに，国際機関その他の国際的な枠組みへの協力を通じて，各国政府と共同して国際的に整合のとれた個人情報に係る制度を構築するために必要な措置を講ずるものとする。
第８条（地方公共団体等への支援）
国は，地方公共団体が策定し，又は実施する個人情報の保護に関する施策及び国民又は事業者等が個人情報の適正な取扱いの確保に関して行う活動を支援するため，情報の提供，事業者等が講ずべき措置の適切かつ有効な実施を図るための指針の策定その他の必要な措置を講ずるものとする。

2017/5/20

情報法制研究会第5回シンポジウム

26

1 個人情報保護法ガイドラインの総論
3）執行と解釈権限

2017/5/20

情報法制研究会第5回シンポジウム

27

旧法

改正法

個人情報保護法・政令（消費者庁→個人情報保護委員会）

事業法
（各省）

個人情報保護法・政令・規則（個人情報保護委員会）

事業法
（事業所管
大臣）

委員会ガイドライン（個情委）

事業法の解釈が含まれるものもある

例：経済産業分野ガイドライン（経済産業省）

その他の分野ガイドライ
ン（各省）

例：小売業の団体の個人情報保護指針

その他の分野の団体の個人情報保護指針

個別分野の団体の個人情報保護指針

各省所管事業者

個別分野の事業者

個別分野ガイドライン（（個情委・）事業所管大臣）※個別分野ガイドラインのクレジット
金融・信用・債権回収業：個情委＋事業所管省庁
医療・健康保険等：個情委＋厚労省
放送，通信：事業所管省庁（総務省）単独
個人遺伝情報：事業所管省庁（経産省）単独
2017/5/20

情報法制研究会第5回シンポジウム

28

疑問点
• 事業所管大臣への委任と執行・解釈権限– 事業所管大臣へ委任されている場合，法40条1項の執行権限は事業所管大臣に委任される（ただし委員会にも執行権限は残る（政令13条1項）。事業所管大臣は委任の範囲で執行を行うことができるが解釈権限も委任されるか。

• 個別分野ガイドラインのクレジットと執行・解釈権限– 個別分野ガイドラインのクレジットと執行・解釈権限は連動しているか。
– 個別分野ガイドラインのクレジットが事業所管大臣（省庁）のみである
場合，法40条1項以外（勧告・命令）を委員会が発動するに際して，個別分野ガイドラインは参照されるのか。
– 逆に，個別分野ガイドラインのクレジットが事業所管大臣（省庁）のみである場合，委員会に残存した執行権限（政令13条1項）の行使にあたり，委員会は個別分野ガイドラインに拘束されるのか。

2017/5/20

情報法制研究会第5回シンポジウム

29

2 委員会ガイドライン
1）総則編

2017/5/20

情報法制研究会第5回シンポジウム

30

委員会ガイドラインの構成
•
•
•
•

•
•
•

個人情報の保護に関する法律についてのガイドライン（通則編）（平成28年個人情報保護委員会告示第6号，平成29年個人情報保護委員会告示第6号で改正）
個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）（平成28年個人情報保護委員会告示第7号）
個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）（平成28年個人情報保護委員会告示第8号）
個人情報の保護に関する法律についてのガイドライン（匿名加工情報編）（平成28年個人情報保護委員会告示第9号，平成29年個人情報保護委員会告示第6号で改正）
通則編には外国第三者提供編，確認記録義務編，匿名加工情報編に該当する部分は載っていない（規定の重複はない）。通則編と他は一般法・特別法の関係ではなく，フラットであると考えられる
個人情報取扱事業者の義務についてしか載っていない。認定個人情報保護団
体関係の規定については認定指針を参照しなければならない。個人情報保護委
員会関係の規定の解説はない。
ガイドラインは逐条解説ではなく，全体の理解をするためにはやはり，法律・政令・施行規則の統一的な解釈が必要。

2017/5/20

情報法制研究会第5回シンポジウム

312017/5/20

情報法制研究会第5回シンポジウム

32

2 定義
2-1 個人情報

新第2条1項
この法律において「個人情報」とは，生存する個人に関する情報であって，次の各号のいずれかに該当するものをいう。
旧第2条1項
この法律において「個人情報」とは，生存する個人に関する情報であって，当該情報に含まれる氏名，生年月日
その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ，それにより特定の個人を識別することができることとなるものを含む。）をいう。

一 当該情報に含まれる氏名，生年月日その他の記述
等（文書，図面若しくは電磁的記録（電磁的方式（電子的方式，磁気的方式その他人の知覚によっては認識することができない方式をいう。次項第2号において同じ。）
で作られる記録をいう。第18条第2項において同じ。）に記載され，若しくは記録され，又は音声，動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ，それにより特定の個人を識別することができることとなるものを含む。）
二 個人識別符号が含まれるもの

2017/5/20

情報法制研究会第5回シンポジウム

33

GL通則編 2-1個人情報（抜粋）「個人に関する情報」とは，氏名，住所，性別，生年月日，顔画像等個人を識別する情報に限られず，個人の身体，財産，
職種，肩書等の属性に関して，事実，判断，評価を表す全ての情報であり，評価情報，公刊物等によって公にされている情報や，映像，音声による情報も含まれ，暗号化等によって秘匿化されているかどうかを問わない。
（※4）「他の情報と容易に照合することができ」るとは，事業者の実態に即して個々の事例ごとに判断されるべきであるが，通常の業務における一般的な方法で，他の情報と容易に照合することができる状態をいい，例えば，他の事業者への照会を要する場合等であって照合が困難な状態は，一般に，容易に照合することができない状態であると解される。
GLパブコメ11番
容易照合性の例をGLで示されたしとの意見に対して，「他の情報と容易に照合することができ」るかどうかは，事業者の実態に即して個々の事例ごとに判断されるべきものであり，全ての事業者において常に該当する例をGLで予め示すことは困難であるが，個人情報に該当するもの及び該当しないものに関する具体的な事例については必要に応じQ&A等で示す，との回答がなされている。
GLパブコメ25番「社内で特定の個人を識別することができる情報とそれに紐づくそれ以外の情報を分けて管理していた場合，仮に社内に両方の情報にアクセス（照合）できる人間がいたとしても，社内規程等により両方の情報にアクセス（照合）できる人間や場合などが厳格に管理され，容易に両方の情報にアクセス（照合）することができない場合等には，「容易」には照合できないものとするなど，容易性を適切に判断して解釈すべき」との意見に対して，「御意見は，執務の参考とさせて頂きます。」とのゼロ回答が返されており，いわゆる経済産業省旧Q14的な考え方は採用されていないことが事実上明らかにされている。
GLパブコメ36番「分かりにくい」「具体的な照合の手順を示せないか」との意見に対して，「例示として十分具体的と考え」る，との回答がなされている。

2017/5/20

情報法制研究会第5回シンポジウム

34

2 定義
2-2 個人識別符号

新第2条2項
この法律において「個人識別符号」とは，次の各号のいずれかに該当する文字，番号，記号その他の符号のうち，政令で定めるものをいう。

旧第2条1項
この法律において「個人情報」とは，生存する個人に関する情報であって，当該情報に含まれる氏名，生年月日
その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ，それにより特定の個人を識別することができることとなるものを含む。）をいう。

一 特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字，番号，記号その他の符号であって，当該特定の個人を識別することができる
もの
二 個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ，又は個人に発行されるカードその他の書類に記載され，若しくは電磁的方式により記録された文字，番号，記号その他の符号であって，その利用者若しくは購入者又は発行を受ける者
ごとに異なるものとなるように割り当てられ，又は記載され，若しくは記録されることにより，特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの★「特定の」が政治的に挿入されたことによる解釈上の影響をどう考えるか？→実務的には政令でどう定められるかで決まるが，解釈により政令への委任範囲が異なることになる2017/5/20

情報法制研究会第5回シンポジウム

35

1-1

2017/5/20

情報法制研究会第5回シンポジウム

36個人情報の定義の明確化（身体的特徴等が該当）についての国会答弁①

衆・内閣委第4号（山口国務大臣）：保護対象，特定個人識別性「お尋ねの保護対象の件でありますが，これは，保護対象を明確化するというふうな観点から，現行法において保護対象に含まれると考えられるもの，具体的には，身体の一部の特徴をデータ化したもの等につきましては政令で定めるというふうなことにするものでありまして，個人情報の定義を拡大，拡充するものではないというふうなことであります。」「また，個人情報の定義の要件となっております特定の個人を識別することができるもの，これにつきましても，今回の改正において従来の解釈を変更するものではなくて，社会通念上，一般人の判断力や理解力をもって，情報の分析等によって生存する具体的な人物と情報との間に同一性を認めるに至ることができるものというこれまでの解釈と同様であります。」
衆・内閣委第4号（向井審議官）：容易照合性「…委員御指摘のような，社内規定などで厳格に管理されている場合についても，例えば事業者内部での技術的な照合が相当困難であるとか，独立したデータベースをそれぞれ別の管理者が管理し，社内規定等により容易にアクセスできないよ
うになっているなどの，事業者内部において通常の業務における一般的な方法で照合が不可能となっているものの，例えばシステムを管理して，システムを管理といっても，メンテナンスをするような技術者，業務に関係のないような技術者が，たま
たまきょうそこにアクセスをされるような場合があったからといって，直ちにこれが容易照合性があるというふうには解釈する
べきではないと考えておりまして，そういう，一般的な方法で照合が不可能になっているものであれば，容易に照合できるよ
うな状態にないと解釈することはあり得るものと現行法でも考えております。」

2017/5/20

情報法制研究会第5回シンポジウム

37個人情報の定義の明確化（身体的特徴等が該当）についての国会答弁②
個人識別符号関係
衆・内閣委第4号（向井審議官）「まず，単に機器に付番されます携帯電話の通信端末ＩＤは，個人識別符号には該当しないと考えられます。
一方，マイナンバー，運転免許証番号，旅券番号，基礎年金番号，保険証番号，これらは個人識別符号に該当するものと考えております。
また，携帯電話番号，クレジットカード番号，メールアドレス及びサービス提供のための会員ＩＤについては，さまざまな契約
形態や運用実態があることから，現時点におきましては，一概に個人識別符号に該当するとは言えないものと考えております。」
衆・内閣委第4号（山口国務大臣）：「先ほども答弁ございましたが，御指摘の携帯電話の通信端末ＩＤ，これは端末を識別するための情報であるということで，単に機器に付番をされておるものでありまして，今回の法案に定める，者ごとに異なるように割り当てられたものではないというふうなことで，個人識別符号には該当しないと思っております。
一方，携帯電話番号であります。直接その番号を利用する人間にこれは実はアプローチできるわけですね。また，個人との結びつきが非常に強いものでありますが，同時に，さまざまな契約形態，例えば法人契約とかプリペイドとかがあります。
この形態とか運用の実態も実はございますので，現時点において一概にこれは個人識別符号に該当するとは言えないものであろうと考えておりますが，今後，政令の制定，運用に当たりましては，今御指摘もございました諸外国における取り扱い
あるいは技術動向等々を注視しながら，社会実態等を反映して，該当性が明確になるように努めてまいりたいと考えておる
ところでございます。」
衆・内閣委第4号（向井審議官）「まず，単に機器に付番されるような例えば携帯電話の通信端末ＩＤ，これは個人識別符号には該当しない。
一方で，マイナンバー，運転免許証番号，旅券番号，基礎年金番号等につきましては，個人識別符号に該当するものと考えてございます。
また，携帯電話番号，クレジットカード番号，メールアドレスあるいはサービス提供のための会員ＩＤについては，さまざまな契約形態や運用実態があることから，現時点においては，一概に個人識別符号に該当するとは言えないと考えております。
ただし，こういうようなものは，時代の流れや技術の進歩，あるいは諸外国の情勢等によりまして変わっていくものでございますので，今後，政令の制定，運用に当たりましては，諸外国における取り扱いや技術動向も注視しつつ，社会実態を反映し，該当性が明確となるよう努めてまいりたいと考えております。」
2017/5/20

情報法制研究会第5回シンポジウム

38個人情報の定義の明確化（身体的特徴等が該当）についての国会答弁③
個人識別符号関係

衆・内閣委第4号（山口国務大臣）：個人識別符号を政令に定める際の基準「御質問の，個人識別符号，これに該当するものを政令で定める際の基準につきましてですが，今後，民間企業とか消費者の意見等を踏まえながら検討していくというふうなことになりますが，現時点におきましては，情報単体から特定の個人を識別することができるか否かの判断を行う際の基準として，例えば一つには情報が一意であるか等，これは個人と情報の結びつきの程度ですね，さらには情報の内容の変更が頻繁に行われないか等，これは情報の不変性の程度，さらには情報に基づいて直接個人にアプローチをすることができるか等，これは本人の到達性。
ですから，先ほど御質問がございました携帯電話番号にしても，これは電話をすると本人に到達をするというふうなことはありますが，例えば不変性とか情報との結びつき，これはプリペイドにしても法人契約にしても若干また違うニュアンスがあるというふうなことで，いろいろしっかりと議論をして決めさせていただきたいと考えておるところでございます。」
衆・内閣委第7号（向井審議官）：省令委任の否定「通常，このようなものは，結局，はっきりと固有名詞的なものを書くのか，定性的なことを書くのかの二種類だと思われますので，改めて省令に落とすというふうなことは余り現実的ではないのかなと思います。いずれにしても，こういうものを作成する場合，やはり現実の企業の方々からよくヒアリングして，先生のおっしゃるようなことがないようにしていくのが必要だと思っております。」
参・内閣委第10号（向井審議官）：政令の規定の仕方「個人識別符号に関する政令につきましては，運転免許証番号，旅券番号等の具体的な情報の名称を規定する方法，それから，幾つかの情報が当てはまるような情報の性質を規定する方法と両方を想定しているところでございます。
ただ，いずれにしても，できるだけ明確化するというふうなことでございますが，そういうふうな情報の性質を規定するようなものにつきましては若干の幅が出る可能性は十分にあるとは思います。
個人識別符号についてはそういうふうな考え方で，個人識別符号に当たるか当たらないかの明確化はできるだけ図る必要はあるんではないかというふうに思っております。」

2017/5/20

情報法制研究会第5回シンポジウム

39

「個人識別符号に関する政令の方向性について」（第5回資料2-1）

２．方向性（１）政令における規定について
法第二条第二項の政令を定めるに当たっては，個人識別符号を設ける趣旨に鑑み，個別具体的な対象を規定するとともに，規定することによって対象がかえって不明確となり得るものについては個人情報保護委員会規則又はガイドライン（告示）によって対応し，明確化を図ることとする。
（２）ガイドライン・ＱＡの記載事項について
ガイドライン・ＱＡにおいては，特に内容が解釈によるところが大きい第一号個人識別符号に関係するものを明確化することとする。例えば，ＤＮＡの解析結果といったとき，どのような情報が該当するのかを明らかとする。ただし，専門的な内容となるため，その記載の詳細さについては専門家の意見も踏まえたものとする。第二号個人識別符号については，政令及び個
人情報保護委員会規則によって該当性が明らかとなるものであるから，基本的に特記事項はないものと考えられる。

政令では入らず

2017/5/20

情報法制研究会第5回シンポジウム

40個人識別符号に関する政令（個人識別符号）第1条 個人情報の保護に関する法律（以下「法」という。）第二条第二項の政令で定める文字，番号，記号その他の符号は，次に掲げるものとする。
一 次に掲げる身体の特徴のいずれかを電子計算機の用に供するために変換した文字，番号，記号その他の符号であって，特定の個人を識別するに足りるものとして個人情報保護委員会規則で定める基準に適合するもの
イ 細胞から採取されたデオキシリボ核酸（別名ＤＮＡ）を構成する塩基の配列
ロ 顔の骨格及び皮膚の色並びに目，鼻，口その他の顔の部位の位置及び形状によって定まる容貌
ハ虹彩の表面の起伏により形成される線状の模様
ニ 発声の際の声帯の振動，声門の開閉並びに声道の形状及びその変化
ホ 歩行の際の姿勢及び両腕の動作，歩幅その他の歩行の態様
ヘ 手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状
ト 指紋又は掌紋
二 旅券法（昭和二十六年法律第二百六十七号）第六条第一項第一号の旅券の番号
三 国民年金法（昭和三十四年法律第百四十一号）第十四条に規定する基礎年金番号
四 道路交通法（昭和三十五年法律第百五号）第九十三条第一項第一号の免許証の番号
五 住民基本台帳法（昭和四十二年法律第八十一号）第七条第十三号に規定する住民票コード
六 行政手続における特定の個人を識別するための番号の利用等に関する法律（平成二十五年法律第二十七号）第二条第五項に規定する個人番号
七 次に掲げる証明書にその発行を受ける者ごとに異なるものとなるように記載された個人情報保護委員会規則で定める文字，番号，記号その他の符号
イ 国民健康保険法（昭和三十三年法律第百九十二号）第九条第二項の被保険者証
ロ 高齢者の医療の確保に関する法律（昭和五十七年法律第八十号）第五十四条第三項の被保険者証
ハ 介護保険法（平成九年法律第百二十三号）第十二条第三項の被保険者証
八 その他前各号に準ずるものとして個人情報保護委員会規則で定める文字，番号，記号その他の符号2017/5/20

情報法制研究会第5回シンポジウム41

特定の個人を識別するに足りるものとして個人情報保護委員会規則で定める基準及び，個人情報保護委員会規則で定める文字，番号，記号その他の符号（規則）（身体の特徴を電子計算機の用に供するために変換した文字，番号，記号その他の符号に関する基準）
第2条 個人情報の保護に関する法律施行令（以下「令」という。）第一条第一号の個人情報保護委員会規則で定める基準
は，特定の個人を識別することができる水準が確保されるよう，適切な範囲を適切な手法により電子計算機の用に供するために変換することとする。

（証明書にその発行を受ける者ごとに異なるものとなるように記載された文字，番号，記号その他の符号）第3条 令第一条第七号の個人情報保護委員会規則で定める文字，番号，記号その他の符号は，次の各号に掲げる証明書
ごとに，それぞれ当該各号に定めるものとする。
一 令第一条第七号イに掲げる証明書同号イに掲げる証明書の記号，番号及び保険者番号
二 令第一条第七号ロ及びハに掲げる証明書同号ロ及びハに掲げる証明書の番号及び保険者番号

2017/5/20

情報法制研究会第5回シンポジウム

42その他前各号に準ずるものとして個人情報保護委員会規則で定める文字，番号，記号その他の符号（規則）（旅券の番号等に準ずる文字，番号，記号その他の符号）第4条 令第一条第八号の個人情報保護委員会規則で定める文字，番号，記号その他の符号は，次に掲げるものとする。
一 健康保険法施行規則（大正十五年内務省令第三十六号）第四十七条第二項の被保険者証の記号，番号及び保険者番号
二 健康保険法施行規則第五十二条第一項の高齢受給者証の記号，番号及び保険者番号
三 船員保険法施行規則（昭和十五年厚生省令第五号）第三十五条第一項の被保険者証の記号，番号及び保険者番号
四 船員保険法施行規則第四十一条第一項の高齢受給者証の記号，番号及び保険者番号
五 出入国管理及び難民認定法（昭和二十六年政令第三百十九号）第二条第五号に規定する旅券（日本国政府の発行したものを除く。）の番号
六 出入国管理及び難民認定法第十九条の四第一項第五号の在留カードの番号
七 私立学校教職員共済法施行規則（昭和二十八年文部省令第二十八号）第一条の七の加入者証の加入者番号
八 私立学校教職員共済法施行規則第三条第一項の加入者被扶養者証の加入者番号
九 私立学校教職員共済法施行規則第三条の二第一項の高齢受給者証の加入者番号
十 国民健康保険法施行規則（昭和三十三年厚生省令第五十三号）第七条の四第一項に規定する高齢受給者証の記号，番号及び保険者番号
十一 国家公務員共済組合法施行規則（昭和三十三年大蔵省令第五十四号）第八十九条の組合員証の記号，番号及び保険者番号十二 国家公務員共済組合法施行規則第九十五条第一項の組合員被扶養者証の記号，番号及び保険者番号十三 国家公務員共済組合法施行規則第九十五条の二第一項の高齢受給者証の記号，番号及び保険者番号十四 国家公務員共済組合法施行規則第百二十七条の二第一項の船員組合員証及び船員組合員被扶養者証の記号，番号及び保険者番号十五 地方公務員等共済組合法規程（昭和三十七年総理府・文部省・自治省令第一号）第九十三条第二項の組合員証の記号，番号及び保険者番号
十六 地方公務員等共済組合法規程第百条第一項の組合員被扶養者証の記号，番号及び保険者番号十七 地方公務員等共済組合法規程第百条の二第一項の高齢受給者証の記号，番号及び保険者番号十八 地方公務員等共済組合法規程第百七十六条第二項の船員組合員証及び船員組合員被扶養者証の記号，番号及び保険者番号十九 雇用保険法施行規則（昭和五十年労働省令第三号）第十条第一項の雇用保険被保険者証の被保険者番号二十 日本国との平和条約に基づき日本の国籍を離脱した者等の出入国管理に関する特例法（平成三年法律第七十一号）第八条第一項第三号の特別永住者証明書の番号

2017/5/20

情報法制研究会第5回シンポジウム

43

GL通則編 2-2個人識別符号

政令第1条第1号においては，同号イからトまでに掲げる身体の特徴のいずれかを電子計算機の用に供するために変換した文字，番号，記号その他の符号のうち，「特定の個人を識別するに足りるものとして個人情報保護委員会規則で定める基準に適合するもの」が個人識別符号に該当するとされている。当該基準は規則第2条において定められているところ，この基準に適合し，個人識別符号に該当することとなるものは次のとおりである。
イ 細胞から採取されたデオキシリボ核酸（別名DNA）を構成する塩基の配列
ゲノムデータ（細胞から採取されたデオキシリボ核酸（別名DNA）を構成する塩基の配列を文字列で表記したもの）のうち，全核ゲノムシークエンスデータ，全エクソームシークエンスデータ，全ゲノム一塩基多型（single nucleotide polymorphism：
SNP）データ，互いに独立な40箇所以上のSNPから構成されるシークエンスデータ， 9座位以上の4塩基単位の繰り返し配列（short tandem repeat：STR）等の遺伝型情報により本人を認証することができるようにしたもの
ロ 顔の骨格及び皮膚の色並びに目，鼻，口その他の顔の部位の位置及び形状によって定まる容貌
顔の骨格及び皮膚の色並びに目，鼻，口その他の顔の部位の位置及び形状から抽出した特徴情報を，本人を認証することを目的とした装置やソフトウェアにより，本人を認証することができるようにしたもの
ハ 虹彩の表面の起伏により形成される線状の模様
虹彩の表面の起伏により形成される線状の模様から，赤外光や可視光等を用い，抽出した特徴情報を，本人を認証することを目的とした装置やソフトウェアにより，本人を認証することができるようにしたもの
ニ 発声の際の声帯の振動，声門の開閉並びに声道の形状及びその変化によって定まる声の質
音声から抽出した発声の際の声帯の振動，声門の開閉並びに声道の形状及びその変化に関する特徴情報を，話者認識シ
ステム等本人を認証することを目的とした装置やソフトウェアにより，本人を認証することができるようにしたもの

2017/5/20

情報法制研究会第5回シンポジウム

44

GL通則編 2-2個人識別符号

ホ 歩行の際の姿勢及び両腕の動作，歩幅その他の歩行の態様
歩行の際の姿勢及び両腕の動作，歩幅その他の歩行の態様から抽出した特徴情報を，本人を認証することを目的とした装置やソフトウェアにより，本人を認証することができるようにしたもの
ヘ 手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状
手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状等から，赤外光や可視光等を用い抽出した特徴情報を，本人を認証することを目的とした装置やソフトウェアにより，本人を認証することができるようにしたもの
ト 指紋又は掌紋（指紋）指の表面の隆線等で形成された指紋から抽出した特徴情報を，本人を認証することを目的とした装置やソフトウェア
により，本人を認証することができるようにしたもの（掌紋）手のひらの表面の隆線や皺等で形成された掌紋から抽出した特徴情報を，本人を認証することを目的とした装置やソフトウェアにより，本人を認証することができるようにしたもの
チ 組合せ
政令第1条第1号イからトまでに掲げるものから抽出した特徴情報を，組み合わせ，本人を認証することを目的とした装置やソフトウェアにより，本人を認証することができるようにしたもの（※）「その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように」（法第2条第2項第2号）とは，文字，番号，記号その他の符号が利用者等によって異なるようにすることをいう。

2017/5/20

情報法制研究会第5回シンポジウム

45

2 個人情報
2-3 要配慮個人情報（3-2-2 要配慮個人情報の取得含む）

憲法第14条1項
すべて国民は，法の下に平等であつて，人種，信条，性別，社会的身分又は門地により，政治的，経済的又は社会的関係において，差別されない。
金融分野における個人情報保護に関するガイドライン第6条1項柱書金融分野における個人情報取扱事業者は，政治的見解，
信教（宗教，思想及び信条をいう。），労働組合への加盟，
人種及び民族，門地及び本籍地，保健医療及び性生活，並びに犯罪歴に関する情報（以下「機微（センシティブ）
情報」という。）については，次に掲げる場合を除くほか，取得，利用又は第三者提供を行わないこととする。

新第2条3項
この法律において「要配慮個人情報」とは，本人の人種，
信条，社会的身分，病歴，犯罪の経歴，犯罪により害を被った事実その他本人に対する不当な差別，偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。
新第17条2項
個人情報取扱事業者は，次に掲げる場合を除くほか，あらかじめ本人の同意を得ないで，要配慮個人情報を取得してはならない。
一～四（略 注：23条1項各号と同様）
五 当該要配慮個人情報が，本人，国の機関，地方公共団体，第67条1項各号に掲げる者（注：適用除外となる報道機関等）その他個人情報保護委員会規則で定める者により公開されている場合
六 その他前各号に掲げる場合に準ずるものとして政令で定める場合★オプトアウトによる第三者提供も不可。新第23条2項
が「個人データ（要配慮個人情報を除く。以下この項において同じ。）」について認めており，要配慮個人情報を除いている。

2017/5/20

情報法制研究会第5回シンポジウム

46

1-2

2017/5/20

情報法制研究会第5回シンポジウム

47

要配慮個人情報についての国会答弁①

衆・内閣委第4号（山口国務大臣）「実際に政令におきまして遺伝情報を要配慮個人情報として定めるかどうか，これは，もう先生も御案内のとおりで，例えば，
遺伝子情報についても，どこまで詳しくしっかりと出すのか等々によって，あるいは技術の発達によってまた違ってくる面もあろうかと思いますが，これに関しましては，遺伝情報に対する国民の皆様方の意識，あるいは，諸外国，これは遺伝子情報
は個人情報と認定をしている国も多々ございます，そういった外国における取り扱い等も踏まえて検討していきたいと思っております。」
衆・内閣委第4号（向井審議官）「さらに，事業者が要配慮個人情報を取得するに際しまして，本人の同意を必要とする規制の例外といたしまして，法律に基づく場合のほか，政令においても柔軟に必要な場合を定めることとしておりまして，これらにつきましても，世の中の実態をよく把握して定めてまいりたいというふうに，これらの例外が狭過ぎることのないように配慮したいと考えているところでございます。」
衆・内閣委第7号（向井審議官）「先生御指摘の具体的な例に即して考えますと，いろいろな状況はあろうかと思いますが，一般論を申し上げますと，足の不自由な人がいることにつきましては，それのみではいずれにも該当いたしませんが，特定の病歴と結びついた場合には病歴に該当するというふうに考えられます。ひとり暮らしであることについてはいずれにも該当いたしませんし，外国人の方で日本語が不自由であることにつきましては，単に外国人であること，外国籍であるというだけでは該当しません。ただ，特定の人種に関する情報と結びついた場合には該当すると考えられます。赤ちゃんがいることについてはいずれにも該当しないものと考えられます。」

2017/5/20

情報法制研究会第5回シンポジウム

48

要配慮個人情報についての国会答弁②

衆・内閣委第7号（向井審議官）「具体的に何が要配慮情報かというので，法律には，人種とか信条，社会的身分，病歴，犯罪の経歴等が書かれてございます。
人種は，人種，それから民族的もしくは種族的出身を広く意味するものでございまして，例えばアイヌ，在日韓国人等の情報が該当いたします。これに対しまして，単純な国籍は法的地位でございまして，人種には該当しないということでございます。
信条は，個人の基本的な物の見方，考え方を意味するもので，思想と信仰の双方を含むものと考えられます。
社会的身分は，例えば，いわゆる被差別部落出身であることや嫡出でない子であることなどがこれに当たり，単なる職業的地位は含まないと解されてございます。
病歴とは，病気に罹患していた経歴を意味するものまたは特定の病歴を示した部分，特定の個人ががんに罹患している等でございますが，これらが該当するということでございます。
それから，犯罪の経歴は，いわゆる前科，有罪の判決を受け，これが確定した事実が該当するというふうなことが考えられます。
法律の列挙はこのようなことが書かれてございますが，政令におきましては，法律に列挙したものと同様の差別や偏見が生じるおそれがあるため，特に慎重な取り扱いを類型化することとしております。
この対象につきましては，これまでの今国会における法律の審議において御指摘を受けた遺伝情報等を含めまして，政令の策定段階において検討していきたいというふうに思ってございます。ただ，法律上は性質が限定されておりますので，恣
意的な拡大は行えないというふうな規定になっていると考えてございます。」

2017/5/20

情報法制研究会第5回シンポジウム

49

1-2

入らず

2017/5/20

情報法制研究会第5回シンポジウム50

要配慮個人情報に関する政令及び規則

政令（要配慮個人情報）
第2条 法第二条第三項の政令で定める記述等は，次に掲げる事項のいずれかを内容とする記述等（本人の病歴又は犯罪の経歴に該当するものを除く。）とする。
一 身体障害，知的障害，精神障害（発達障害を含む。）その他の個人情報保護委員会規則で定める心身の機能の障害があること。
二 本人に対して医師その他医療に関連する職務に従事する者（次号において「医師等」という。）により行われた疾病の予防及び早期発見のための健康診断その他の検査（同号において「健康診断等」という。）の結果
三 健康診断等の結果に基づき，又は疾病，負傷その他の心身の変化を理由として，本人に対して医師等により心身の状
態の改善のための指導又は診療若しくは調剤が行われたこと。
四 本人を被疑者又は被告人として，逮捕，捜索，差押え，勾留，公訴の提起その他の刑事事件に関する手続が行われたこと。
五 本人を少年法（昭和二十三年法律第百六十八号）第三条第一項に規定する少年又はその疑いのある者として，調査，観護の措置，審判，保護処分その他の少年の保護事件に関する手続が行われたこと。
規則（要配慮個人情報）
第5条 令第二条第一号の個人情報保護委員会規則で定める心身の機能の障害は，次に掲げる障害とする。
一 身体障害者福祉法（昭和二十四年法律第二百八十三号）別表に掲げる身体上の障害
二 知的障害者福祉法（昭和三十五年法律第三十七号）にいう知的障害
三 精神保健及び精神障害者福祉に関する法律（昭和二十五年法律第百二十三号）にいう精神障害（発達障害者支援法（平成十六年法律第百六十七号）第二条第二項に規定する発達障害を含み，前号に掲げるものを除く。）
四 治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生活及び社会生活を総合的に支援するための法律（平成十七年法律第百二十三号）第四条第一項の政令で定めるものによる障害の程度が同項の厚生労働大臣が定める程度であるもの

2017/5/20

情報法制研究会第5回シンポジウム

51

要配慮個人情報を本人の同意なく取得することができる場合（政令）（要配慮個人情報を本人の同意なく取得することができる場合）
第7条 法第十七条第二項第六号の政令で定める場合は，次に掲げる場合とする。
一 本人を目視し，又は撮影することにより，その外形上明らかな要配慮個人情報を取得する場合
二 法第二十三条第五項各号に掲げる場合において，個人データである要配慮個人情報の提供を受けるとき。

「要配慮個人情報に関する政令の方向性について」（第10回資料1）（２）要配慮個人情報の取得時の本人同意の例外
改正法第 17 条第２項では，本人の利益のために必要がある場合や他の利益のためにやむを得ない場合等，あらかじめの
本人の同意なく要配慮個人情報を取得できることとしている。政令においてもこれらに準ずる一定の場合を定めることとしている。
本人同意の例外として政令に定める事項の考え方については次のとおりである。
① 本人の外形上，要配慮個人情報に含まれる事項が明らかな場合であって，撮影等を通じてその要配慮個人情報を取得するとき
ある特定の個人が身体に障害を抱えている事実が映像等に写りこんだ場合等の事業者の負担を勘案するもの。外形から明らかであるため，本人にとっても社会生活を送るに当たって自己の要配慮個人情報に含まれる事項が公に認識されることは想定していると考えられる。もっとも，取得した要配慮個人情報を本人の知らないうちに第三者に提供されることがない
よう，第三者に提供するに当たっては，本人の同意を要することとしている。
② 委託，事業承継，共同利用（法第 23 条第５項各号）に伴う提供を受ける場合
提供する者は，法第 23 条第５項により本人の同意なく要配慮個人情報を提供することができる一方で，受領する側は取得することについて本人の同意を得なければならないこととなり，取扱いが非対称となることを勘案するもの。

2017/5/20

情報法制研究会第5回シンポジウム

52

GL通則編2-3要配慮個人情報

なお，次に掲げる情報を推知させる情報にすぎないもの（例：宗教に関する書籍の購買や貸出しに係る情報等）は，要配慮
個人情報には含まない。
（1）人種
人種，世系又は民族的若しくは種族的出身を広く意味する。なお，単純な国籍や「外国人」という情報は法的地位であり，それだけでは人種には含まない。また，肌の色は，人種を推知させる情報にすぎないため，人種には含まない。
（2）信条
個人の基本的なものの見方，考え方を意味し，思想と信仰の双方を含むものである。
（3）社会的身分
ある個人にその境遇として固着していて，一生の間，自らの力によって容易にそれから脱し得ないような地位を意味し，単なる職業的地位や学歴は含まない。
（4）病歴
病気に罹患した経歴を意味するもので，特定の病歴を示した部分（例：特定の個人ががんに罹患している，統合失調症を患っている等）が該当する。

（5）犯罪の経歴
前科，すなわち有罪の判決を受けこれが確定した事実が該当する。
（6）犯罪により害を被った事実
身体的被害，精神的被害及び金銭的被害の別を問わず，犯罪の被害を受けた事実を意味する。具体的には，刑罰法令に規定される構成要件に該当し得る行為のうち，刑事事件に関する手続に着手されたものが該当する。

2017/5/20

情報法制研究会第5回シンポジウム

53

GL通則編2-3要配慮個人情報（7）身体障害，知的障害，精神障害（発達障害を含む。）その他の個人情報保護委員会規則で定める心身の機能の障害があること（政令第2条第1号関係）
次の①から④までに掲げる情報をいう。この他，当該障害があること又は過去にあったことを特定させる情報（例：障害者の日常生活
及び社会生活を総合的に支援するための法律（平成17年法律第123号）に基づく障害福祉サービスを受けていること又は過去に受けていたこと）も該当する。

①「身体障害者福祉法（昭和24年法律第283号）別表に掲げる身体上の障害」があることを特定させる情報・医師又は身体障害者更生相談所により，別表に掲げる身体上の障害があることを診断又は判定されたこと（別表上の障害の名称や程度に関する情報を含む。）
・都道府県知事，指定都市の長又は中核市の長から身体障害者手帳の交付を受け並びに所持していること又は過去に所持していたこと（別表上の障害の名称や程度に関する情報を含む。）
・本人の外見上明らかに別表に掲げる身体上の障害があること②「知的障害者福祉法（昭和35年法律第37号）にいう知的障害」があることを特定させる情報
・医師，児童相談所，知的障害者更生相談所，精神保健福祉センター，障害者職業センターにより，知的障害があると診断又は判定されたこと（障害の程度に関する情報を含む。）
・都道府県知事又は指定都市の長から療育手帳の交付を受け並びに所持していること又は過去に所持していたこと（障害の程度に関する情報を含む。）③「精神保健及び精神障害者福祉に関する法律（昭和25年法律第123号）にいう精神障害（発達障害者支援法（平成16年法律第167号）第2条第2項に規定する発達障害を含み，知的障害者福祉法にいう知的障害を除く。）」があることを特定させる情報・医師又は精神保健福祉センターにより精神障害や発達障害があると診断又は判定されたこと（障害の程度に関する情報を含む。）
・都道府県知事又は指定都市の長から精神障害者保健福祉手帳の交付を受け並びに所持していること又は過去に所持していたこと（障害の程度に関する情報を含む。）④「治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生活及び社会生活を総合的に支援するための法律
第 4 条第 1 項の政令で定めるものによる障害の程度が同項の厚生労働大臣が定める程度であるもの」があることを特定させる情報
・医師により，厚生労働大臣が定める特殊の疾病による障害により継続的に日常生活又は社会生活に相当な制限を受けていると診断されたこと（疾病の名称や程度に関する情報を含む。）

2017/5/20

情報法制研究会第5回シンポジウム

54

GL通則編2-3要配慮個人情報（8）本人に対して医師その他医療に関連する職務に従事する者（次号において「医師等」という。）により行われた疾病の予防及び早期発見のための健康診断その他の検査（同号において「健康診断等」という。）の結果（政令第2条第2号関係）（※）
疾病の予防や早期発見を目的として行われた健康診査，健康診断，特定健康診査，健康測定，ストレスチェック，遺伝子検査（診療の過程で行われたものを除く。）等，受診者本人の健康状態が判明する検査の結果が該当する。
具体的な事例としては，労働安全衛生法（昭和47年法律第57号）に基づいて行われた健康診断の結果，同法に基づいて行われたスト
レスチェックの結果，高齢者の医療の確保に関する法律（昭和 57 年法律第 80 号）に基づいて行われた特定健康診査の結果などが該当する。また，法律に定められた健康診査の結果等に限定されるものではなく，人間ドックなど保険者や事業主が任意で実施又は助成する検査の結果も該当する。さらに，医療機関を介さないで行われた遺伝子検査により得られた本人の遺伝型とその遺伝型の疾患へのかかりやすさに該当する結果等も含まれる。なお，健康診断等を受診したという事実は該当しない。
なお，身長，体重，血圧，脈拍，体温等の個人の健康に関する情報を，健康診断，診療等の事業及びそれに関する業務とは関係ない
方法により知り得た場合は該当しない。
（9）健康診断等の結果に基づき，又は疾病，負傷その他の心身の変化を理由として，本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと（政令第2条第3号関係）（※）
「健康診断等の結果に基づき，本人に対して医師等により心身の状態の改善のための指導が行われたこと」とは，健康診断等の結果，
特に健康の保持に努める必要がある者に対し，医師又は保健師が行う保健指導等の内容が該当する。
指導が行われたことの具体的な事例としては，労働安全衛生法に基づき医師又は保健師により行われた保健指導の内容，同法に基づき医師により行われた面接指導の内容，高齢者の医療の確保に関する法律に基づき医師，保健師，管理栄養士により行われた特定保健指導の内容等が該当する。また，法律に定められた保健指導の内容に限定されるものではなく，保険者や事業主が任意で実施又は助成により受診した保健指導の内容も該当する。なお，保健指導等を受けたという事実も該当する。
「健康診断等の結果に基づき，又は疾病，負傷その他の心身の変化を理由として，本人に対して医師等により診療が行われたこと」とは，病院，診療所，その他の医療を提供する施設において診療の過程で，患者の身体の状況，病状，治療状況等について，医師，歯科医師，薬剤師，看護師その他の医療従事者が知り得た情報全てを指し，例えば診療記録等がこれに該当する。また，病院等を受診したという事実も該当する。
「健康診断等の結果に基づき，又は疾病，負傷その他の心身の変化を理由として，本人に対して医師等により調剤が行われたこと」とは，病院，診療所，薬局，その他の医療を提供する施設において調剤の過程で患者の身体の状況，病状，治療状況等について，薬剤師（医師又は歯科医師が自己の処方箋により自ら調剤する場合を含む。）が知り得た情報全てを指し，調剤録，薬剤服用歴，お薬手帳に記載された情報等が該当する。また，薬局等で調剤を受けたという事実も該当する。
なお，身長，体重，血圧，脈拍，体温等の個人の健康に関する情報を，健康診断，診療等の事業及びそれに関する業務とは関係のな
い方法により知り得た場合は該当しない。

2017/5/20

情報法制研究会第5回シンポジウム

55

GL通則編2-3要配慮個人情報（10）本人を被疑者又は被告人として，逮捕，捜索，差押え，勾留，公訴の提起その他の刑事事件に関する手続が行われたこと（犯罪の経歴を除く。）（政令第 2 条第 4 号関係）本人を被疑者又は被告人として刑事事件に関する手続が行われたという事実が該当する。他人を被疑者とする犯罪捜査のために取調べを受けた事実や，証人として尋問を受けた事実に関する情報は，本人を被疑者又は被告人としていないことから，これには該当しない。
（11）本人を少年法（昭和23年法律第168号）第3条第1項に規定する少年又はその疑いのある者として，調査，観護の措置，審判，保護処分その他の少年の保護事件に関する手続が行われたこと（政令第2条第5号関係）
本人を非行少年又はその疑いのある者として，保護処分等の少年の保護事件に関する手続が行われたという事実が該当する。
（※）遺伝子検査により判明する情報の中には，差別，偏見につながり得るもの（例：将来発症し得る可能性のある病気，治療薬の選択に関する情報等）が含まれ得るが，当該情報は，「本人に対して医師その他医療に関連する職務に従事する者により行われた疾病の予防及び早期発見のための健康診断その他の検査の結果」（政令第2条第2号関係）又は「健康診断等の結果に基づき，又は疾病，
負傷その他の心身の変化を理由として，本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと」（政令第2条第3号関係）に該当し得る。

2017/5/20

情報法制研究会第5回シンポジウム

56

参考：機微情報に関する金融，信用，債権回収業GLの定め①金融分野GL
第５条 機微（センシティブ）情報
１ 金融分野における個人情報取扱事業者は，法第２条第３項に定める要配慮個人情報並びに労働組合への加盟，門地，
本籍地，保健医療及び性生活（これらのうち要配慮個人情報に該当するものを除く。）に関する情報（本人，国の機関，地方公共団体，法第 76条第１項各号若しくは施行規則第６条各号に掲げる者により公開されているもの，又は，本人を目視し，若しくは撮影することにより取得するその外形上明らかなものを除く。以下「機微（センシティブ）情報」という。）については，
次に掲げる場合を除くほか，取得，利用又は第三者提供を行わないこととする。
① 法令等に基づく場合② 人の生命，身体又は財産の保護のために必要がある場合③ 公衆衛生の向上又は児童の健全な育成の推進のため特に必要がある場合④ 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合⑤ 源泉徴収事務等の遂行上必要な範囲において，政治・宗教等の団体若しくは労働組合への所属若しくは加盟に関する従業員等の機微（センシティブ）情報を取得，利用又は第三者提供する場合⑥ 相続手続による権利義務の移転等の遂行に必要な限りにおいて，機微（センシティブ）情報を取得，利用又は第三者提供する場合⑦ 保険業その他金融分野の事業の適切な業務運営を確保する必要性から，本人の同意に基づき業務遂行上必要な範囲
で機微（センシティブ）情報を取得，利用又は第三者提供する場合⑧ 機微（センシティブ）情報に該当する生体認証情報を本人の同意に基づき，本人確認に用いる場合
２ 金融分野における個人情報取扱事業者は，機微（センシティブ）情報を，前項に掲げる場合に取得，利用又は第三者提供する場合には，同項に掲げる事由を逸脱した取得，利用又は第三者提供を行うことのないよう，特に慎重に取り扱うこととする。
３ 金融分野における個人情報取扱事業者は，機微（センシティブ）情報を，第１項に掲げる場合に取得，利用又は第三者提供する場合には，例えば，要配慮個人情報を取得するに当たっては，法第 17 条第２項に従い，あらかじめ本人の同意を得なければならないとされていることなど，個人情報の保護に関する法令等に従い適切に対応しなければならないことに留意する。
４ 金融分野における個人情報取扱事業者は，機微（センシティブ）情報を第三者へ提供するに当たっては，法第 23 条第２項（オプトアウト）の規定を適用しないこととする。なお，機微（センシティブ）情報のうち要配慮個人情報については，同項において，オプトアウトを用いることができないとされていることに留意する。
2017/5/20

情報法制研究会第5回シンポジウム

57

参考：機微情報に関する金融，信用，債権回収業GLの定め②信用分野GL

II 法令解釈指針・事例
2 与信事業者の義務等⑵ 機微（センシティブ）情報1) 与信事業者は，法第２条第３項に定める要配慮個人情報並びに労働組合への加盟，門地，本籍地，保健医療及び性生活（これらのうち要配慮個人情報に該当するものを除く。）に関する情報（本人，国の機関，地方公共団体，法第 76 条第１項
各号若しくは施行規則第６条各号に掲げる者により公開されているもの，又は，本人を目視し，若しくは撮影することにより取得するその外形上明らかなものを除く。以下「機微（センシティブ）情報」という。）については，次に掲げる場合を除くほか，取得，利用又は第三者提供を行わないこととする。
① 法令等に基づく場合② 人の生命，身体又は財産の保護のために必要がある場合③ 公衆衛生の向上又は児童の健全な育成の推進のため特に必要がある場合④ 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合⑤ 機微（センシティブ）情報が記載されている戸籍謄本その他の本人を特定できる書類を本人特定のために取得，利用又は保管する場合※ 官報に掲載された破産者の情報について，当該破産者の本人確認を行うため，当該破産者の本籍地の情報を取得，利用又は保管すること等。
⑥ 相続手続による権利義務の移転等の遂行に必要な限りにおいて，機微（センシティブ）情報を取得，利用又は第三者提供する場合⑦ 機微（センシティブ）情報に該当する生体認証情報を本人の同意に基づき，本人確認に用いる場合

2017/5/20

情報法制研究会第5回シンポジウム

58

参考：機微情報に関する金融，信用，債権回収業GLの定め③債権回収業分野GL

第４ 機微（センシティブ）情報
１ 債権回収会社は，法第２条第３項に規定する要配慮個人情報並びに労働組合への加盟，門地，本籍地，保健医療及び性生活（これらのうち要配慮個人情報に該当するものを除く。）に関する情報（本人，国の機関，地方公共団体，法第 76 条
第１項各号若しくは施行規則第６条各号に掲げる者により公開されているもの，又は，本人を目視し，若しくは撮影することにより取得するその外形上明らかなものを除く。以下「機微（センシティブ）情報」という。）については，次に掲げる場合を除く
ほか，取得，利用又は第三者提供を行わないこととする。
⑴ 法令等に基づく場合⑵ 人の生命，身体又は財産の保護のために必要がある場合⑶ 公衆衛生の向上又は児童の健全な育成の推進のため特に必要がある場合⑷ 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合⑸ 相続手続による権利義務の移転等の遂行に必要な限りにおいて，機微（センシティブ）情報を取得，利用又は第三者提供する場合⑹ 戸籍謄本その他の本人を特定することができる書類につき本人特定のために必要な場合⑺ 債権の内容の特定に必要な限りにおいて，機微（センシティブ）情報を取得，利用又は第三者提供する場合⑻ 本業及び兼業その他債権管理回収業分野の事業の適切な業務運営を確保する必要から，本人の同意に基づき業務遂行上必要な範囲で機微（センシティブ）情報を取得，利用又は第三者提供を行う場合⑼ 機微（センシティブ）情報に該当する生体認証情報を本人の同意に基づき，本人確認に用いる場合
２ 債権回収会社は，機微（センシティブ）情報を，１に掲げる場合に取得，利用又は第三者提供する場合には，１に掲げる事
由を逸脱した取得，利用又は第三者提供を行うことのないよう，特に慎重に取り扱うこととする。
３ 債権回収会社は，機微（センシティブ）情報を，１に掲げる場合に取得，利用又は第三者提供する場合には，例えば，要配慮個人情報を取得するに当たっては，法第 17 条第２項に従い，あらかじめ本人の同意を得なければならないとされていることなど，個人情報の保護に関する法令等に従い適切に対応しなければならないことに留意する。
４ 債権回収会社は，機微（センシティブ）情報を第三者へ提供するに当たっては，法第23 条第２項（オプトアウト）の規定を適用しないこととする。なお，機微（センシティブ）情報のうち要配慮個人情報については，同項において，オプトアウトを用いることができないとされていることに留意する。
2017/5/20

情報法制研究会第5回シンポジウム

59

GL通則編3-2-2要配慮個人情報の取得（抜粋）【法第17条第2項に違反している事例】
本人の同意を得ることなく，法第17条第2項第5号及び規則第6条で定める者以外がインターネット上で公開している情報から本人の信条や犯罪歴等に関する情報を取得し，既に保有している当該本人に関する情報の一部として自己のデータベース等に登録すること。
（※1）「要配慮個人情報」については，2-3（要配慮個人情報）を参照のこと。なお，要配慮個人情報の第三者提供には，原則として本人の同意が必要であり，オプトアウトによる第三者提供は認められていないので，注意が必要である（3-4-1（第三者提供の制限の原則），3-4-2（オプトアウトによる第三者提供）参照）。
（※2）「本人の同意」については，2-12（本人の同意）を参照のこと。なお，個人情報取扱事業者が要配慮個人情報を書面又は口頭等により本人から適正に直接取得する場合は，本人が当該情報を提供したことをもって，当該個人情報取扱事業者が当該情報を取得することについて本人の同意があったものと解される。
また，個人情報取扱事業者が要配慮個人情報を第三者提供の方法により取得した場合，提供元が法第17条第2項及び法第23条第1項に基づいて本人から必要な同意（要配慮個人情報の取得及び第三者提供に関する同意）を取得していることが前提となるため，提供を受けた当該個人情報取扱事業者が，改めて本人から法第17条第2項に基づく同意を得る必要はないものと解される。

2017/5/20

情報法制研究会第5回シンポジウム

60

2 定義
2-5 個人情報取扱事業者
旧第2条3項
この法律において「個人情報取扱事業者」とは，個人情報データベース等を事業の用に供している者をいう。
ただし，次に掲げる者を除く。
一 ～四 （略）五 その取り扱う個人情報の量及び利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定める者
施行令第2条
法第二条第三項第五号 の政令で定める者は，その事業の用に供する個人情報データベース等を構成する個
人情報によって識別される特定の個人の数（当該個人情報データベース等の全部又は一部が他人の作成に係る個人情報データベース等であって，次の各号のいずれかに該当するものを編集し，又は加工することなくその事業の用に供するときは，当該個人情報データベース
等の全部又は一部を構成する個人情報によって識別される特定の個人の数を除く。）の合計が過去六月以内のいずれの日においても五千を超えない者とする。
一 個人情報として次に掲げるもののみが含まれるもの
イ 氏名
ロ 住所又は居所（地図上又は電子計算機の映像面上において住所又は居所の所在の場所を示す表示を含む。）
ハ 電話番号
二 不特定かつ多数の者に販売することを目的として発行され，かつ，不特定かつ多数の者により随時に購入することができるもの又はできたもの
2017/5/20

新第2条5項（旧第2条3項5号「その取り扱う個人情報の量及び利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定める者」）を削除
改正法附則11条
個人情報保護委員会は，新個人情報保護法第8条に規定する事業者等が講ずべき措置の適切かつ有効な実施を図るための指針を策定するに当たっては，この法律の施行により旧個人情報保護法第2条第3項第5号に掲げる者が新たに個人情報取扱事業者になることに鑑
み，特に小規模の事業者の事業活動が円滑に行われるよう配慮するものとする。

情報法制研究会第5回シンポジウム

61

2 定義
2-4 個人情報データベース等

旧第2条2項
この法律において「個人情報データベース等」とは，個人情報を含む情報の集合物であって，次に掲げるものをいう。
一 特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの
二 前号に掲げるもののほか，特定の個人情報を容易に検索することができるように体系的に構成したもの
として政令で定めるもの

新第2条4項
この法律において「個人情報データベース等」とは，個人情報を含む情報の集合物であって，次に掲げるもの（利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものを除く。）をいう。

施行令第2条柱書括弧書（当該個人情報データベース等の全部又は一部が他人の作成に係る個人情報データベース等であって，次の各号のいずれかに該当するものを編集し，又は加工することなくその事業の用に供するときは，当該個人情報デー
タベース等の全部又は一部を構成する個人情報によって識別される特定の個人の数を除く。）

2017/5/20

情報法制研究会第5回シンポジウム

62個人情報データベース等から除かれるもの（政令）（個人情報データベース等）
第3条 法第二条第四項の利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものは，次の各号のいずれにも該当するものとする。
一 不特定かつ多数の者に販売することを目的として発行されたものであって，かつ，その発行が法又は法に基づく命令の規定に違反して行われたものでないこと。
二 不特定かつ多数の者により随時に購入することができ，又はできたものであること。
三 生存する個人に関する他の情報を加えることなくその本来の用途に供しているものであること。

2017/5/20

情報法制研究会第5回シンポジウム

635000件要件についての国会答弁①

衆・内閣委第7号（向井審議官）○山尾委員 「そうしますと，まず疑問としてお伺いしたいのは，法案の前の大綱ではこういう記載がございました。「自治会や同窓会等の構成員内部で連絡網を作成し共有する場合等，個人情報の性質及び取扱いの態様を踏まえ，個人情報取扱事業者の適用除外とする等必要な措置を講じる」というふうに大綱では書かれておりました。
しかし，法案の段階でこの適用除外という措置は講じられず，事業に原則として当たるという成り立ちになったわけですけ
れども，この大綱から法案にかかる議論の中で変更があったと思うんですね。そこの経過を教えていただけますか。」○向井政府参考人 「お答えいたします。
御指摘の点につきましては，法制化作業の中で具体的な規定ぶりについて検討した結果，適用除外の対象を事業者単位にするのではなく，取り扱い情報単位で規定することが適当と判断したところでございます。具体的には，利用方法から見て，個人の権利利益を害するおそれが少ないものとして政令で定めるものを個人情報データベース等から除外することとしたものでございます。
この個人情報データベース等から除外するものにつきましては，例えば，既に公になっている市販の電話帳をそのまま使う場合等，たとえ漏えいがあっても，その行為により個人の権利利益を侵害する危険性が少ないものとしているところでございます。
これに対しまして，自治会等の保有する名簿につきましては，既に公になっているものとは言えず，漏えいがあった場合に個人の権利利益が侵害される危険性がなお存在するため，これを個人情報データベース等から除外するかどうかについて
は，取り扱う自治体の負担や個人情報の保護の必要性等を勘案し，慎重に検討することが必要と考えているところでございます。」

2017/5/20

情報法制研究会第5回シンポジウム645000件要件についての国会答弁②

衆・内閣委第7号（山口国務大臣）「いろいろ御議論をお伺いしておりまして，まさにそのとおりだなと思う反面，やはり結構煩雑な感じもするわけですね。
御指摘のとおり，かつて，個人情報保護法を十年前に作成したときにも，実は過剰反応がいろいろ出ました。私の町内会でも，突如，町内会名簿が出てこなくなりました。当時，説明もしたことがあるわけですが，同時に，あの当時の議論として，
では政治家の後援会名簿はどうなのかから始まって，結局，小規模事業者とかあるいは政治活動云々は除外するということで整理をされたわけです。
今回，重要な個人情報漏えい事件もありましたし，あるいは海外の状況等も踏まえて，やはりしっかり整理をしなきゃなら
ぬというふうなことで，五千件を超えないいわゆる小規模事業者を除外するという規定を外すというふうなことにしたわけでありますが，同時に，これも御指摘がありましたが，個人情報保護委員会がガイドラインを策定する際には十分配慮をするというふうなことになっております。
御指摘の自治会等につきましても，現行法制定当時いろいろありましたけれども，そういったことも踏まえて，過剰反応とか誤解が生じないように，今回の改正後におきましても，自治会等において名簿の作成，配付は可能であること等を周知徹底するとともに，小規模の事業者に配慮する指針を定めるに当たりましては，自治会等の実態も踏まえて，その円滑な活動を阻害することがないように，具体的な活動内容もお聞きをしながら，御指摘のガイドライン等も含めて，適切に対応するように検討を進めてまいります。」
衆・内閣委第7号（向井審議官）「一般的に，小規模の事業者に配慮するという場合によくあり得るのは，多分，安全管理措置義務だと思います。これらにつきましては，大企業とは情報量も違いますし，実際の事業も違いますので，そういう小規模の事業者の実際の利用形態に応じた運用という形で緩和されるというふうなイメージかと思います。
一方で，例えば，同意を得ないで情報を出すというのは，やはりそこのところはちょっとさすがに，先生のおっしゃる，違反になるものをお目こぼしする，そういうふうなことはガイドラインでは書けないだろうと。ただ一方で，仮にそういうことがあったとして，仮にそういうことが公になったとして，そういうときに委員会が指導する際には，やはり丁寧な指導をするといいます
か，その小規模事業者がちゃんと個人情報保護法に沿った運用ができるような指導をしていくというふうなことになろうかと思います。」

2017/5/20

情報法制研究会第5回シンポジウム65

5000件要件についての国会答弁③

参・内閣委第9号（平副大臣）「御指摘のとおり，現行法では，取り扱う個人情報の数が五千件を超えない者は個人情報取扱事業者から除外をしておりま
したけれども，今回の法案ではそれが対象になるということですから，町の八百屋さん，魚屋さんも入ってくるということでございます。
なぜこれを入れたのかといった御質問ありましたが，先ほどＥＵの十分性の議論もありましたが，ＥＵの十分性の中で，やっぱり小規模を全くカバーしていないじゃないかという指摘もされております。今後，世界的にこういった個人情報の取扱いをする際にはこれは避けて通れないんだと思います。
一方で，大量のデータを扱う大企業と町のそういう小規模事業者を同じに扱うというのは，これも非現実的でありますので，改正法の附則においても，個人情報保護委員会が，事業者等が講ずるべき措置に関する指針，いわゆるガイドラインでありますけれども，それを策定するに当たっては，特に小規模事業者の事業活動が円滑に行われるよう配慮するものと規定をしております。
具体的には，例えば，安全管理措置義務に関する規定を定める際には，事業規模や個人情報の利用形態に応じた適切な運営となるよう小規模の事業者においてとるべき措置の具体例を示すなど，明確で分かりやすいものにすることを想定をしております。例えば，町のおそば屋さんが配達先の名前と住所と電話番号を持っているとすれば，ホームページはないということになろうかと思いますが，そういった際は，紙の顧客名簿しかないということであれば鍵の掛かる引き出しに管理をしていただければ足りるというようなことにもなりますので，そういった具体例を分かりやすく示していきたいというふうに思います。
このように，指針の内容や位置付けについては，周知徹底をしっかりと政府全体で図ってまいりたいと思います。また，小規模事業者における法の実効性も併せて確保していきたいと思っております。」

2017/5/20

情報法制研究会第5回シンポジウム

66

GL通則編2-4個人情報データベース等（抜粋）【個人情報データベース等に該当する事例】
事例1）電子メールソフトに保管されているメールアドレス帳（メールアドレスと氏名を組み合わせた情報を入力している場
合）事例2）インターネットサービスにおいて，ユーザーが利用したサービスに係るログ情報がユーザーIDによって整理され保管されている電子ファイル（ユーザーIDと個人情報を容易に照合することができる場合）
事例3）従業者が，名刺の情報を業務用パソコン（所有者を問わない。）の表計算ソフト等を用いて入力・整理している場合
事例4）人材派遣会社が登録カードを，氏名の五十音順に整理し，五十音順のインデックスを付してファイルしている場合【個人情報データベース等に該当しない事例】
事例1）従業者が，自己の名刺入れについて他人が自由に閲覧できる状況に置いていても，他人には容易に検索できない
独自の分類方法により名刺を分類した状態である場合
事例2）アンケートの戻りはがきが，氏名，住所等により分類整理されていない状態である場合
事例3）市販の電話帳，住宅地図，職員録，カーナビゲーションシステム等

2017/5/20

情報法制研究会第5回シンポジウム

67

3 個人情報取扱事業者等の義務
3-1 個人情報の利用目的

新第15条2項
個人情報取扱事業者は，利用目的を変更する場合には，変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。
旧第15条2項
個人情報取扱事業者は，利用目的を変更する場合には，変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。

2017/5/20★法律案骨子案において「オプトアウトによる利用目的変更」が含まれていたものが，その後の議論で削除され，代替として加えられた。

情報法制研究会第5回シンポジウム

68利用目的変更についての国会答弁①

衆・内閣委第4号（山口国務大臣）「これは，御指摘のとおり，現行法上，「利用目的を変更する場合には，変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。」と規定をされております。
「相当の関連性」，この文言につきまして，これまで厳格な解釈，運用が実はなされてきておるところでございまして，この「相当」に関しては相当な議論がございまして，双方の議論の中でこういうふうな形にさせていただいたわけであります。
これは，情報通信技術の飛躍的な進展によりまして，お話しのビッグデータの収集とか分析が可能になっていきます。事業者の中には，取得をした個人情報を当初想定できなかった新事業あるいは新サービスで活用したいというふうなニーズも実はございますが，事業者は，これまでの余りに厳格な解釈，運用を踏まえて利用をちゅうちょしておるものというふうに聞いております。
ですから，このために，今回の改正は，「相当」の部分を削除して，事業者が機動的に目的を変更することを解釈，運用上可能にするものでありまして，今回の措置につきましては，確かに，御指摘のように，法律の解釈，運用の見直しのみで対応するということも考えられたわけでありますが，法制定後十年が経過をしまして，現行法の解釈が余りにしっかりと定着をしておるというふうなことも踏まえて，法改正によって明確に対応することがむしろ適切というふうに判断をしたものでございます。」「委員御指摘のとおりで，現行法上，「利用目的を変更する場合には，変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。」というふうに規定をされておりまして，この「相当の関連性」という文言につきましては，お話しのとおり，大変厳格な解釈，運用がされておるところであります。
一方，さまざまな情報通信技術の発達，あるいはビッグデータの収集，分析が可能になっていく中で，やはり，事業者の中には，取得をした個人情報，これを当初想定できなかった新事業とか新サービスで活用したいというニーズがあるわけでありますが，事業者がこれまでの厳格な解釈，運用を踏まえての利用をちゅうちょしておるものというふうに聞いております。
このため，今回の改正では「相当の」の部分を削除して，事業者が機動的に目的変更することを解釈，運用上，可能とするものでありますけれども，この変更できる利用目的の範囲につきましては，本人が通常予期し得る限度内であるというふうなことも想定をしております。
これによって，例えば電力会社が，顧客に省エネを促す目的で，家庭内の機器ごとの電気使用状況を収集して，その使用量等を分析して顧客に提示をしていた場合，あるいは，同じ情報を用いて家電制御技術の研究開発とか，その顧客の安否確認のサービスを行うということができるようにというふうなことが考えられるわけでございます。
いずれにしても，変更前の利用目的と関連性を有すると合理的に認められる範囲，これにつきましては，その詳細とか具体例につきましては，ガイドライン等で明確化をしていく予定にいたしております。」
2017/5/20

情報法制研究会第5回シンポジウム

69利用目的変更についての国会答弁②

衆・内閣委第6号（山口国務大臣）「これは，現行法上，「利用目的を変更する場合には，変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。」こう規定をされておったわけでありますが，この「相当の関連性」というふうな文言について，
ある意味，余りに厳格な解釈，運用がなされておるというふうな現実が実はございます。
一方，これも釈迦に説法でありますが，情報通信技術，これの飛躍的な進展によって，ビッグデータの収集，分析，これが可能になって，事業者の中には，取得をした個人情報を当初想定できなかった，し得なかったような新事業あるいは新サー
ビスで活用したいというふうなニーズがあるにもかかわらず，これまでの厳格な解釈，運用を踏まえて利用をちゅうちょしておるというふうな実態もあるというふうに聞いております。
そのために，今回の改正では，「相当」の部分，これを削除して，事業者が機動的に目的変更することを解釈，運用上，可能にするものでありますが，変更できる利用目的の範囲につきましては，本人が通常予期し得る限度内であるというふうなことを想定しております。
これによって，先ほどもう既に先生から御指摘いただいたようなことがしっかり自信を持ってできていくようになっていくんだ
ろうと思います。」
参・内閣委第9号（向井審議官）「現行法上，利用目的を変更する場合には，「変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。」と規定されているところでございます。
今回，この「相当」という文言を落とすわけでございますが，現行法の運用に当たりましては，「相当の関連性」という文言についてかなり厳格な解釈運用がなされているところでございます。
一方で，情報通信技術の飛躍的な進展によりまして，ビッグデータの収集，分析が可能となる中，事業者の中には，取得した個人情報を当初想定できなかった新事業，新サービスで活用したいとのニーズもあるものの，こういう解釈のために事業者が利用をちゅうちょしているものもかなりあるというふうに聞いてございます。
このため，今回の改正は，「相当」の部分を削除し，事業者が機動的に目的変更することを解釈運用上可能とするものでございますが，変更できる利用目的の範囲については本人が通常予期し得る限度内であることを想定してございます。
例えば，電力会社が顧客に省エネを促す目的で家庭内の機器ごとの電気使用状況を収集し，その使用量を分析して顧客に提示しているような，そういうサービスがございますが，このような情報を用いて，例えば家電制御技術の研究開発やこの顧客の安否確認サービスを行うぐらいは許容範囲かなというふうに考えているところでございます。」
2017/5/20

情報法制研究会第5回シンポジウム70

利用目的変更についての国会答弁③

参・内閣委第9号（山口国務大臣）「例示でお示しをさせていただいた電力会社の見える化サービス，これで取得をした個人情報が安否確認サービス等に利用できると。これは，本人が通常予期し得る限度内であるというふうなことで判断をしたわけであります。
今でも，例えば，実は私もついこの間経験をしたんですが，水道料金が前の月よりも倍ぐらい使っていますけど大丈夫です
かと水道の方から言われたんですね。そういった，ある意味でサービスというのは私は許されるんではないかなと。
具体的な見える化サービスは，利用者に対してこれ省エネに関するアドバイスを行うものでありますけれども，これは事業者が把握をした個人の電気使用量の傾向，これを分析をすることによって提供されるものというふうなことなんですが，この点，安否確認サービスというのも個人の電気使用量の傾向，これを分析することによって提供されるものであるというふうなことで，通常本人が予期し得る範囲内であるというふうに考えたわけでございます。
ですから，一部報道で指摘をされておりましたけれども，本人が到底予期し得ないような目的変更の事例とは若干違うんではないかなというふうに私は思っておりまして，同時に，本人との関係におきましては，利用目的を変更した場合にその変更した利用目的を通知又は公表しなくてはならないというふうなことに，これは改正後も変わらないわけでありますので，変更後の利用目的につきましては本人が知り得る状態というのは確保されておるというふうなことでありますので，利用目的を特定をするという趣旨が没却されておるものではないというふうな判断で申し上げさせていただきました。」

2017/5/20

情報法制研究会第5回シンポジウム

71

GL通則編3-1-2利用目的の変更（抜粋）上記3-1-1（利用目的の特定）により特定した利用目的は，変更前の利用目的と関連性を有すると合理的に認められる範囲，
すなわち，変更後の利用目的が変更前の利用目的からみて，社会通念上，本人が通常予期し得る限度と客観的に認められる範囲内（※1）で変更することは可能である。変更された利用目的は，本人に通知（※2）するか，又は公表（※3）しなけ
ればならない。
なお，特定された利用目的（法第15条第2項に定める範囲で変更された利用目的を含む。）の達成に必要な範囲を超えて個人情報を取り扱う場合は，法第16条第1項に従って本人の同意を得なければならない。ただし，本人の身体等の保護のために必要があり，かつ本人の同意を得ることが困難である場合等，法第16条第3項各号に掲げる場合には，あらかじめ本人の同意を得ることなく，特定された利用目的の達成に必要な範囲を超えて，個人情報を取り扱うことができる（3-1-5（利用目的による制限の例外）参照）。
（※1）「本人が通常予期し得る限度と客観的に認められる範囲」とは，本人の主観や事業者の恣意的な判断によるものではなく，一般人の判断において，当初の利用目的と変更後の利用目的を比較して予期できる範囲をいい，当初特定した利用目的とどの程度の関連性を有するかを総合的に勘案して判断される。

2017/5/20

情報法制研究会第5回シンポジウム

72

GL通則編3-2-3利用目的の通知又は公表（未改正，抜粋）【本人への通知又は公表が必要な事例】
事例1）インターネット上で本人が自発的に公にしている個人情報を取得した場合（単に閲覧しただけの場合を除く。）
事例2）インターネット，官報，職員録等から個人情報を取得した場合（単に閲覧しただけの場合を除く。）
事例3）個人情報の第三者提供を受けた場合（※1）「公表」については，2-11（公表）を参照のこと。
（※2）「本人に通知」については，2-10（本人に通知）を参照のこと。
参考：個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン(平成２８年１２月２８日厚生労働省・経済産業省告示第２号）2-2-2(2)【本人への通知又は公表が必要な事例】
事例１）インターネット上で本人が自発的に公にしている個人情報を取得する場合
事例２）インターネット，官報，職員録等から個人情報を取得する場合
事例３）電話による問い合わせやクレームのように本人により自発的に提供される個人情報を取得する場合（本人確認や問い合わせに対する回答の目的でのみ個人情報を取得した場合を除く。）→通則編では削除されている
事例４）個人情報の第三者提供を受ける場合
事例５）個人情報の取扱いの委託を受けて，個人情報を取得する場合→通則編では削除されている

2017/5/20

情報法制研究会第5回シンポジウム73

3 個人情報取扱事業者等の義務
3-3 個人データの管理
3-3-1 データ内容の正確性の確保等

旧第19条
個人情報取扱事業者は，利用目的の達成に必要な範囲内において，個人データを正確かつ最新の内容に保つよう努めなければならない。

2017/5/20

新第19条
個人情報取扱事業者は，利用目的の達成に必要な範囲内において，個人データを正確かつ最新の内容に保つとともに，利用する必要がなくなったときは，当該個人データを遅滞なく消去するよう努めなければならない。
★従来から利用する必要がなくなった場合は目的外利用である解釈されてきたが，消去するべき義務がより明確になった。但し努力義務。

情報法制研究会第5回シンポジウム

74

消去義務についての国会答弁

衆・内閣委第4号（向井審議官）「利用する必要がなくなったときとは，個人情報取扱事業者が個人データを取り扱う際に特定した利用目的が達成され，その目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合，あるいは，特定した利用目的が達成されなかったものの，事業自体が中止になった場合などを指し，個人情報取扱事業者の取り扱い実態に即して客観的に判断されるものと考えております。 これらの詳細な具体例は，個人情報保護委員会がガイドラインにおいて明確化することとしておりますが，不適切な取り扱いが行われる場合には，個人情報保護委員会が適切に監督，是正することになろうというふうに考えております。 なお，本規定は，事業者のデータ管理のサイクル等，事業者の実務上の都合に配慮し，努力義務としているところでございます。」

2017/5/20

情報法制研究会第5回シンポジウム

75

GL通則編3-3-1データの正確性の確保等

個人情報取扱事業者は，利用目的の達成に必要な範囲内において，個人情報データベース等への個人情報の入力時の照合・確認の手続の整備，誤り等を発見した場合の訂正等の手続の整備，記録事項の更新，保存期間の設定等を行うこと
により，個人データを正確かつ最新の内容に保つよう努めなければならない。
なお，保有する個人データを一律に又は常に最新化する必要はなく，それぞれの利用目的に応じて，その必要な範囲内で正確性・最新性を確保すれば足りる。
また，個人情報取扱事業者は，保有する個人データについて利用する必要がなくなったとき，すなわち，利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や，利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等は，当該個人データを遅滞なく消去するよう努めなければならない（※）。なお，法令の定めにより保存期間等が定められている場合は，この限りではない。
【個人データについて利用する必要がなくなったときに該当する事例】
事例） キャンペーンの懸賞品送付のため，当該キャンペーンの応募者の個人データを保有していたところ，懸賞品の発送が終わり，不着対応等のための合理的な期間が経過した場合（※）「個人データの消去」とは，当該個人データを個人データとして使えなくすることであり，当該データを削除することのほか，当該データから特定の個人を識別できないようにすること等を含む。

2017/5/20

情報法制研究会第5回シンポジウム

76

3 個人情報取扱事業者等の義務
3-4-2 オプトアウトによる第三者提供

旧第23条2項
個人情報取扱事業者は，第三者に提供される個人
データについて，本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって，次に掲げる事項について，あらかじめ，本人に通知し，又は本人が容易に知り得る状態に置いているときは，前項の規定にかかわらず，当該個人データを第三者に提供することができる。
一 第三者への提供を利用目的とすること。
二 第三者に提供される個人データの項目
三 第三者への提供の手段又は方法
四 本人の求めに応じて当該本人が識別される個人
データの第三者への提供を停止すること。

新第23条2項
個人情報取扱事業者は，第三者に提供される個人データ（要配慮個人情報を除く。以下この項において同じ。）について，本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって，次に掲げる事項について，個人情報保護委員会規則で定めるところにより，あらかじめ，本人に通知し，又は本人が容易に知り得る状態に置くとともに，個人情報保護委員会に届け出たときは，前項の規定にかかわらず，当該個人データを第三者に提供することができる。
一・二 （改正なし）
三 第三者への提供の方法
四 （改正なし）
五 本人の求めを受け付ける方法
新第23条3項 事項変更の知りうる状態に置く義務及び個人情報保護委員会への届出義務
新第23条4項 個人情報保護委員会による公表★ベネッセ事件を受けての改正項目であり，「厳格化」
のみ。オプトアウトで「合法化」している名簿屋は委員会
により公表されることになる

2017/5/20

情報法制研究会第5回シンポジウム

77

オプトアウトによる第三者への提供についての国会答弁

衆・内閣委第7号（向井審議官）「オプトアウト手続，今回の改正によりまして，個人情報保護委員会に対する届け出というのが出まして，そこのサイトにアクセスすれば全てが見られる，そういうふうになっていますが，おっしゃるとおり，個々の人でそういう情報弱者と言われる方々
がそう簡単にアクセスできないというのも一つはあろうかと思います。
これらの方につきましては，できるだけ，それぞれの方の生活実態によろうかとは思いますけれども，まず一つは，そういうふうなことがあるということをちゃんと広報していくこと。そういうものが気になられる方の場合には，例えばお子さんなり，あるいは施設に入っておられる方だったら，そういう施設の人なりが成りかわって何らか見てあげるようなことも必要になってくるのかなというふうに思っております。
いずれにいたしましても，オプトアウト手続というのは，今回，これまでなかった話を届け出というふうな形でやろうと思っておりますので，これらができますと，そのサイト自体が世の中の監視にさらされることにより，そういう監視の目が多数まさに
個人情報保護委員会のサイトに集まることによって適正な効果が働き得ればいいなというところも一つあるのではないかと考えております。」
参・内閣委第9号（向井審議官）「現行法におきましても，事業者がオプトアウト手続を用いる場合は，本人が第三者への個人データの提供の停止を求めることができるよう，一定の事項をあらかじめ本人に通知し，又は容易に知る状態に置かなければならないと規定しているとこ
ろでございますが，御指摘のとおり，現保護法の運用におきましては，オプトアウト手続を用いていることを本人が十分認知しているとは言い難い事例，例えば，ホームページに掲載いたしましても，どの事業者が何をやっているかというのを一々見るわけにいかぬし，非常に困難でございますので，こういう問題があることから，今回，届出制というのを導入したわけでございます。
したがいまして，こういう，これまで解釈に委ねておりました通知又は容易に知る状態の具体的な方法をまず委員会規則で定めるということが一つございます。それから，オプトアウト手続に係ります本人通知事項を届出制といたしまして，届出事項を委員会が一覧性をもって公表すると，そこを見ればどういうことが行われているのか分かるというのが大事であろうと思っております。
委員御指摘の前置，あらかじめというのの具体的な期間の設定につきましては，業界ごとの特性も踏まえつつ，例えば認定個人情報保護団体の個人情報保護指針での対応等も含めまして，今回の措置の実効性を確保できるように適切に対応してまいりたいと考えております。」
2017/5/20

情報法制研究会第5回シンポジウム

78

オプトアウト関係（規則）（第三者提供に係る事前の通知等）
第7条 法第二十三条第二項又は第三項の規定による通知又は容易に知り得る状態に置く措置は，次に掲げるところにより，行うものとする。
一 第三者に提供される個人データによって識別される本人（次号において「本人」という。）が当該提供の停止を求めるのに必要な期間をおくこと。
二 本人が法第二十三条第二項各号に掲げる事項を確実に認識できる適切かつ合理的な方法によること。
２ 法第二十三条第二項又は第三項の規定による届出は，次に掲げる方法のいずれかにより行わなければならない。
一 個人情報保護委員会が定めるところにより，電子情報処理組織（個人情報保護委員会の使用に係る電子計算機と届出を行う者の使用に係る電子計算機とを電気通信回線で接続した電子情報処理組織をいう。）を使用する方法
二 別記様式第一による届出書及び当該届出書に記載すべき事項を記録した光ディスク（これに準ずる方法により一定の事項を確実に記録しておくことができる物を含む。以下「光ディスク等」という。）を提出する方法
３ 個人情報取扱事業者が，代理人によって法第二十三条第二項又は第三項の規定による届出を行う場合には，別記様式第二によるその権限を証する書面（電磁的記録を含む。以下同じ。）を個人情報保護委員会に提出しなければならない。
（外国にある個人情報取扱事業者の代理人）
第8条 外国にある個人情報取扱事業者は，法第二十三条第二項又は第三項の規定による届出を行う場合には，国内に住所を有する者であって，当該届出に関する一切の行為につき，当該個人情報取扱事業者を代理する権限を有するものを定めなければならない。
この場合において，当該個人情報取扱事業者は，当該届出と同時に，当該個人情報取扱事業者が国内に住所を有する者に，当該届出に関する一切の行為につき，当該個人情報取扱事業者を代理する権限を付与したことを証する書面（日本語による翻訳文を含む。）
を個人情報保護委員会に提出しなければならない。
（第三者提供に係る個人情報保護委員会による公表）
第9条 法第二十三条第四項の規定による公表は，同条第二項又は第三項の規定による届出があった後，遅滞なく，インターネットの利用その他の適切な方法により行うものとする。
（第三者提供に係る個人情報取扱事業者による公表）
第10条 個人情報取扱事業者は，法第二十三条第四項の規定による公表がされた後，速やかに，インターネットの利用その他の適切な方法により，同条第二項に掲げる事項（同項第二号，第三号又は第五号に掲げる事項に変更があったときは，変更後の当該各号に掲げる事項）を公表するものとする。

2017/5/20

情報法制研究会第5回シンポジウム

79

GL通則編3-4-2オプトアウトによる第三者提供（抜粋）【オプトアウトによる第三者提供の事例】
事例） 住宅地図業者（表札や郵便受けを調べて住宅地図を作成・販売）やデータベース事業者（ダイレクトメール用の名簿等を作成・販売）が，あらかじめ上記（1）から（5）までに掲げる事項を自社のホームページに常時掲載し，本人からの停止の求めを受け付けられる状態にし，個人情報保護委員会に必要な届出を行った上で，販売等を行う場合（※1）オプトアウトによる第三者提供を行う際は，上記の（1）から（5）までに掲げる事項をあらかじめ，第三者に提供される個人データによって識別される本人が当該提供の停止を求めるのに必要な期間をおかなければならない（規則第7 条第1項第1号）ため，本人に通知し又は本人が容易に知り得る状態に置いた時点から，極めて短期間の後に，第三者提供を行ったような場合は，「本人が当該提供の停止を求めるのに必要な期間」をおいていないと判断され得る。
具体的な期間については，業種，ビジネスの態様，通知又は容易に知り得る状態の態様，本人と個人情報取扱事業者との近接性，本人から停止の求めを受け付ける体制，提供される個人データの性質などによっても異なり得るため，個別具体的に判断する必要がある。
また，「本人に通知し，又は本人が容易に知り得る状態に置く」時期と，「個人情報保護委員会に届け出」る時期は，必ずしも同時である必要はないが，本人に通知し，又は本人が容易に知り得る状態に置いた後，速やかに個人情報保護委員会に届け出ることが望ましい。
（※2）「本人に通知」については，2-10（本人に通知）を参照のこと。
「本人が容易に知り得る状態」とは，事業所の窓口等への書面の掲示・備付けやホームページへの掲載その他の継続的方法により，本人が知ろうとすれば，時間的にも，その手段においても，簡単に知ることができる状態をいい，事業の性質及び個人情報の取扱状況に応じ，本人が確実に認識できる適切かつ合理的な方法によらなければならない（規則第7条第1項第2号）。
【本人が容易に知り得る状態に該当する事例】
事例1）本人が閲覧することが合理的に予測される個人情報取扱事業者のホームページにおいて，本人が分かりやすい場所（例：ホーム
ページのトップページから 1 回程度の操作で到達できる場所等）に法に定められた事項を分かりやすく継続的に掲載する場合
事例 2）本人が来訪することが合理的に予測される事務所の窓口等への掲示，備付け等が継続的に行われている場合
事例3）本人に頒布されている定期刊行物への定期的掲載を行っている場合
事例4）電子商取引において，商品を紹介するホームページにリンク先を継続的に表示する場合（※3）届出の方法は，個人情報保護委員会が定める方法によって行わなければならない（規則第7条第2項）。なお，代理人によって届出を行う場合は，個人情報保護委員会が定める様式によるその権限を称する書面を提出しなければならない（規則第7条第3項）。また，外国にある個人情報取扱事業者が，届出を行う場合には，国内に住所を有する者に，当該届出に関する一切の行為につき当該個人情報取扱事業者を代理する権限を有するものを定めなければならず，当該代理権を証する書面を個人情報保護委員会に提出しなければならない。
（※4）「本人の同意」については，2-12（本人の同意）を参照のこと。
（※5）法第15条第1項の規定により特定された当初の利用目的に，個人情報の第三者提供に関する事項が含まれていない場合は，第三者提供を行うと目的外利用となるため，オプトアウトによる第三者提供を行うことはできない。
（※6）基本的には「インターネットの方法」による「公表」が望ましいが，個人情報取扱事業者の特性，本人との近接性などにより，当該方法以外の適切な方法による公表も可能である。「公表」については2-11（公表）を参照のこと。
（※7）「本人の求めを受け付ける方法」には，本人が求めを行う連絡先（事業者名，窓口名，郵送先住所又は送信先メールアドレス等。当該
個人情報取扱事業者が外国に本拠地を置く場合においては国内代理人の氏名，連絡先等。）が含まれる。

2017/5/20

情報法制研究会第5回シンポジウム

80GL通則編3-4-3第三者に該当しない場合（文言のみ改正，抜粋）（2）事業の承継（法第23条第5項第2号関係）「合併その他の事由による事業の承継に伴って個人データが提供される場合」
合併，分社化，事業譲渡等により事業が承継されることに伴い，当該事業に係る個人データが提供される場合は，当該提供先は第三者に該当しない。
なお，事業の承継後も，個人データが当該事業の承継により提供される前の利用目的の範囲内で利用しなければならない（3-1-4（事業の承継）参照）。
また，事業の承継のための契約を締結するより前の交渉段階で，相手会社から自社の調査を受け，自社の個人データを相手会社へ提供する場合も，本号に該当し，あらかじめ本人の同意を得ることなく又は第三者提供におけるオプトアウト手
続を行うことなく，個人データを提供することができるが，当該データの利用目的及び取扱方法，漏えい等が発生した場合の措置，事業承継の交渉が不調となった場合の措置等，相手会社に安全管理措置を遵守させるために必要な契約を締結しなければならない。
事例1）合併，分社化により，新会社に個人データを提供する場合
事例2）事業譲渡により，譲渡先企業に個人データを提供する場合
参考：個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン(平成２８年１２月２８日厚生労働省・経済産業省告示第２号）2-2-4(3)(II)
事業の承継のための契約を締結するより前の交渉段階で，相手会社から自社の調査を受け，自社の個人データを相手会社へ提供する場合は，当該データの利用目的及び取扱方法，漏えい等が発生した場合の措置，事業承継の交渉が不調となった場合の措置等，相手会社に安全管理措置を遵守させるため必要な契約を締結しなければならない。

2017/5/20

情報法制研究会第5回シンポジウム

81

GL通則編3-4-3第三者に該当しない場合（文言のみ改正，抜粋）（3）共同利用（法第23条第5項第3号関係）
特定の者との間で共同して利用される個人データを当該特定の者に提供する場合（※1）であって，次の①から⑤までの情報（※2）を，提供に当たりあらかじめ本人に通知（※3）し，又は本人が容易に知り得る状態（※4）に置いているときには，当該提供先は，本人から見て，当該個人データを当初提供した事業者と一体のものとして取り扱われることに合理性があると考えられることから，第三者に該当しない（※5）。
また，既に特定の事業者が取得している個人データを他の事業者と共同して利用する場合には，既に取得している事業者
が法第15条第1項の規定により特定した利用目的の範囲で共同して利用しなければならない。
①共同利用をする旨②共同して利用される個人データの項目 （略）③共同して利用する者の範囲「共同利用の趣旨」は，本人から見て，当該個人データを提供する事業者と一体のものとして取り扱われることに合理性がある範囲で，当該個人データを共同して利用することである。
したがって，共同利用者の範囲については，本人がどの事業者まで将来利用されるか判断できる程度に明確にする必要がある。
なお，当該範囲が明確である限りにおいては，必ずしも事業者の名称等を個別に全て列挙する必要はないが，本人がどの事業者まで利用されるか判断できるようにしなければならない。
④⑤（略）【共同利用に該当する事例】
事例 1）グループ企業で総合的なサービスを提供するために取得時の利用目的（法第 15 条第2項の規定に従い変更された利用目的を含む。以下同じ。）の範囲内で情報を共同利用する場合
事例2）親子兄弟会社の間で取得時の利用目的の範囲内で個人データを共同利用する場合
事例3）使用者と労働組合又は労働者の過半数を代表する者との間で取得時の利用目的の範囲内で従業者の個人データを共同利用する場合

2017/5/20

情報法制研究会第5回シンポジウム82

3 個人情報取扱事業者等の義務
3-5 保有個人データに関する事項の公表等，保有個人データの開示・訂正等・利用停止等

新第28条1項
本人は，個人情報取扱事業者に対し，当該本人が識別される保有個人データの開示を請求することができる。

旧第25条1項
個人情報取扱事業者は，本人から，当該本人が識別される保有個人データの開示（当該本人が識別される保有個人データが存在しないときにその旨を知らせることを含む。以下同じ。）を求められたときは，本人に対し，政令で定める方法により，遅滞なく，当該保有個人デー
タを開示しなければならない。ただし，開示することにより次の各号のいずれかに該当する場合は，その全部又は一部を開示しないことができる。
一 ～三 （略）新第28条2項
個人情報取扱事業者は，前項の規定により請求を受けたときは，本人に対し，政令で定める方法により，遅滞なく，当該保有個人データを開示しなければならない。ただし，開示することにより次の各号のいずれかに該当する場合は，その全部又は一部を開示しないことができる。

新第29条 （訂正等）
新第30条 （利用停止等）
新第34条 事前の請求の義務付け※ 新第27条1項3号，2項（改正なし）により，保有個人
データの利用目的の開示は「求め」のまま★旧法での「求め」に具体的請求権があるという説に従って法改正したとすると規制強化ではないか？

2017/5/20

情報法制研究会第5回シンポジウム

83請求権性についての国会答弁

衆・内閣委第4号（向井審議官）「今回の改正は，開示，訂正及び利用停止等につきまして，裁判上請求できるか否かを，否定する裁判例もあったところ，裁判上行使できる請求権であることを明確にするものでございます。
この改正により，濫用的に行使され，適切に対応している事業者にまで過剰な負担がかかることを懸念する声もありますので，開示等に係る裁判上の請求権を行うためには，まず裁判外での請求を行い，当該請求が到達した日から二週間を経過した後に初めて訴えの提起をすることができるとしたものでございます。これにより，当事者間で解決が可能な事案については訴訟が提起されず，濫訴が防止されることが期待されるものでございます。
委員御指摘の，オンライン上の対応によって適切に開示，訂正または利用停止等がなされるものであれば，当事者間における裁判外での請求に対応するものとして認められるものと考えられます。」

2017/5/20

情報法制研究会第5回シンポジウム

84

GL通則編3-5-2保有個人データの開示（抜粋）（3）他の法令に違反することとなる場合
保有個人データを本人に開示することにより，他の法令に違反することとなる場合は，当該保有個人データの全部又は一部を開示しないことができる。
事例 ）刑法（明治40年法律第45号）第134条（秘密漏示罪）や電気通信事業法（昭和59年法律第86号）第4条（通信の秘密の保護）に違反することとなる場合
また，他の法令の規定により，法第28条第2項及び政令第9条に定める方法に相当する方法（書面の交付による方法（開示の請求を行った者が同意した方法があるときは，当該方法））により当該本人が識別される保有個人データを開示することとされている場合には，法第28条第1項及び第2項の規定は適用されず，当該他の法令の規定が適用されることとなる。
事例） タクシー業務適正化特別措置法（昭和45年法律第75号）第19条に規定する登録実施機関が，同法第 12 条及び第19 条の規定に基づき，登録運転者に係る原簿の謄本の交付又は閲覧に係る請求に対応する場合

2017/5/20

情報法制研究会第5回シンポジウム85

6 域外適用及び適用除外
6-1 域外適用
付：外国執行当局への情報提供「標的基準」の採用

国境を越えた適用
新第75条
第15条，第16条，第18条（第2項を除く），第19条から第25条まで，第27条から第36条まで，第41条，第42条1項，第43条及び次条の規定は，国内にある者に対する物品又は役務の提供に関連してその者を本人とする個人情報を取得した個人情報取扱事業者が，外国において当該個人情報または当該個人情報を用いて作成した匿名
加工情報を取り扱う場合についても，適用する。

①「国内にある者に対する物品又は役務の提供」②「その者を本人とする個人情報」
英語版しか提供されていない段階でのウェブサービスやオンライン
ショッピングに適用できるかは，「国内にある者に対する」の解釈問題。

外国執行当局への情報提供
新第78条
1 情報提供可能
2 刑事事件での使用不可原則
3 2の例外（相互主義等）
4 法務大臣又は外務大臣の確認

2017/5/20

情報法制研究会第5回シンポジウム86域外適用と越境執行協力についての国会答弁

衆・内閣委第4号（山口国務大臣）「近年の企業活動とか物流のグローバル化に伴いまして，日本と海外との電子的取引等の増加に鑑みまして，今回の法案
では，御指摘のとおり，海外に活動の拠点を有する外国の事業者であっても，日本国内向けに物品やサービスを提供して日本の居住者を本人とする個人情報を取得した場合には，その個人情報の外国における取り扱いについてこの法律の規定を適用するというふうなことにしております。
具体的には，外国の事業者に対して，個人情報を取得した後の取り扱いにつきまして，利用目的の特定とか安全管理措置等を義務づけるというふうなことにしております。
また，外国の事業者が義務に違反した場合における具体的な執行方法につきましては，個人情報保護委員会が，その監督権限に基づいて，外国の事業者に対して指導とか助言，あるいは勧告を行えることとしておるほか，さらには，報告徴収とか立入検査等の必要がある場合につきましては，外国の執行当局に情報提供を行いまして，執行の協力を求めて実効性を担保していきたいというふうなことになっております。」
参・内閣・財金委連合第1号（山口国務大臣）「ただいまの御質問，御指摘は域外適用に関するものであろうと思いますが，これは，外国事業者であっても，日本の居住者に対して販売やサービスを提供して，それに伴って個人情報を取得をした場合には，個人情報を取得した後に課される義務規定全般，これを適用するというふうなことにしておるわけでございます。
この規定はもう御案内のとおりで，近年の企業活動とか物流のグローバル化に伴います日本と海外との電子商取引の増加等々に鑑みまして，日本の居住者の権利利益の保護，これを図る観点から，外国事業者に対しても日本として適切な個
人情報の取扱いを求める必要性があるというふうなことで設けたものでございますが，この規定によりまして，日本法の適用を受ける外国事業者が義務に違反をした場合，これは個人情報保護委員会が指導，助言，あるいは勧告を行えるというふうなことにしておりますが，もうこれ委員も御案内のとおりで，立入検査とか命令等の強制的な権限の行使，これは外国の主権侵害の問題も生じるというふうなことからできません。したがって，罰則の適用もないというふうなことでありますが，
ただ，指導とか勧告で改善が図られずに更なる強制力を行使をする必要性，これが生じた場合には，今回の改正によって，外国の執行当局に情報提供を行いまして執行の協力を求める旨の措置をしておるというふうなことでございまして，これによって何とか実効性を担保していきたいというふうに考えておるところでございます。」

2017/5/20

情報法制研究会第5回シンポジウム

87

GL通則編6‐1域外適用
外国にある個人情報取扱事業者のうち，日本の居住者等国内にある者に対して物品やサービスの提供を行い，これに関連してその者を本人とする個人情報を取得した者が，外国においてその個人情報又は当該個人情報を用いて作成した匿名加工情報を取り扱う
場合（※1）には，当該外国にある個人情報取扱事業者に対して法に定める次の（1）から（9）までに掲げる規定が適用される（※2）。なお，法第75条には明記されていないが，法第17条（適正取得）及び法第18条第2項（直接書面等による取得）の規定については，個人情報の取得の行為の重要部分は国内において行われることから，適用されるものと解される。
（1）利用目的の特定等（法第 15 条関係。3-1-1（利用目的の特定），3-2-1（適正取得）参照）（2）利用目的による制限（法第16条関係。3-1-3（利用目的による制限）参照）（3）利用目的の通知又は公表（法第18条関係。ただし同条第2項を除く。3-2-3（利用目的の通知又は公表）参照）（4）データ内容の正確性の確保等，安全管理措置，従業者の監督，委託先の監督，第三者提供の制限，外国にある第三者への提供の制限，第三者提供に係る記録の作成等（法第19条～第25条関係。3-3-1（データ内容の正確性の確保等）～3-4-5（第三者提供に係る記録の作成等）参照）（5）保有個人データに関する事項の公表等，開示，訂正等，利用停止等，理由の説明，開示等の請求等に応じる手続，利用目的の通知の求め又は開示請求に係る手数料，苦情処理，匿名加工情報の作成等（法第27条～第36条関係。3-5-1（保有個人データに関する事項の公表等）～3-7（匿名加工情報取扱事業者等の義務）参照）（6）指導及び助言（法第41条関係）（7）勧告（法第42条第1項関係。5（「勧告」，「命令」，「緊急命令」等についての考え方）参照）（8）個人情報保護委員会の権限の行使の制限（法第43条関係）（9）適用除外（法第76条関係。6-2（適用除外）参照）（※1）具体的には，「日本に支店や営業所等を有する個人情報取扱事業者が外国にある本店において個人情報又は匿名加工情報（以下「個人情報等」という。）を取り扱う場合」，「日本において個人情報を取得した個人情報取扱事業者が海外に活動拠点を移転した後に引き続き個人情報等を取り扱う場合」，「外国のインターネット通信販売事業者が，日本の消費者からその個人情報を取得し，商品を販売・配送する場合」，「外国のメールサービス提供事業者が，アカウント設定等のために日本の消費者からその個人情報を取得し，メールサービスを提供する場合」等が考えられる。
また，外国にある宿泊施設が，日本国内の旅行会社から宿泊者の個人情報の提供を受ける場合等，単に第三者提供を受けるなどして日本国内にある者の個人情報を取得したにすぎず，「日本国内にある者」に対する物品や役務の提供等を行っていない場合は，法の適用はなく，この場合においては，日本の旅行会社が，法の規定に従い，本人同意を取得するなど外国にある第三者に提供するために必要な措置を講ずることとなる。一方，外国の宿泊施設が，宿泊予約を直接受け付けるために日本国内にある者から直接個人情報を取得し，宿泊サービスを提供する場合は，法第75条の適用対象となると解される。
（※2）法第75条により法の適用を受ける外国事業者が，上記（1）から（9）までに掲げる規定に違反した場合には，個人情報保護委員会が法第 41 条又は第 42 条第1項に基づき指導・助言又は勧告を行うことができる。

2017/5/20

情報法制研究会第5回シンポジウム

88「個人情報の保護に関する法律についてのガイドライン」（仮称）における安全管理措置及び小規模の事業者への配慮に関する基本的な考え方について（第9回資料1-1）及び個人情報保護法ガイドラインにおける安全管理措置及び小規模の事業者への配慮に関する基本的な考え方（概要）（第9回資料1-2）○当該特例的な対応の対象となる事業者は「中小規模事業者」と称することとし，その範囲については，次の理由から，番号法ガイドラインにおける「中小規模事業者」に準じて以下の範囲とする方向で，特例的な対応の内容等と併せて引き続き検討する。
【中小規模事業者】
事業者のうち従業員の数が100 人以下の事業者であって，次に掲げる事業者を除く事業者をいう。
・その事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数の合計が過去６月以内のいずれかの日において5,000 を超える事業者
・委託に基づいて個人データの取扱いを行う事業者
理由 ：前述のとおり，番号法が求める安全管理措置と，個人情報保護法が求める安全管理措置とでは，その基本的な要素，
並びに，特例的な対応を定めることが一般に必要と考えられる事業者の規模及び取り扱う情報量等は，おおむね共通すると考えられること○なお，改正法附則第11 条の趣旨を踏まえ，中小規模事業者における個人情報保護法の適切な理解及び遵守に資するため，中小規模事業者向けの留意点等について，安全管理措置以外の内容を含め，別途，Q&A その他の解説資料等において分かりやすく示すことを検討する。

2017/5/20

情報法制研究会第5回シンポジウム

892017/5/20

情報法制研究会第5回シンポジウム

90

2 委員会ガイドライン
2）外国第三者提供編

2017/5/20

情報法制研究会第5回シンポジウム

91

外国にある第三者への提供

同等性認定

新第24条
個人情報取扱事業者は，外国（本邦の域外にある国又は地域をいう。以下同じ。）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものを除く。以下この条において同じ。）にある第三者（個人データの取扱いについてこの節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この条において同じ。）に個人データを提供する場合には，
前条第1項各号に掲げる場合を除く（注：現23条1項各号と同じ）ほか，あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては，同条の規定は，適用しない。

2017/5/20

米国や中国から同等性認定を求められたらどうするのか？
米国セーフハーバーは欧州司法裁判所で無効となった→米国を同等性認定するのは欧州の十分性認定との関係では不可能→→トランプ大統領が連邦プライバシー法における外国人保護を無効にすれば，プライバシーシールドの有効性すら危うい（欧州議会
アルブレヒト議員コメント）「個人データを提供」
23条5項各号は除かれていないので，委託，合併，共同利用等も含まれる。
「外国にある第三者への提供を認める旨の本人の同意」
提供に関する同意とは別か？
→同時に確実に取得できるのであれば別に考えなくとも良い

情報法制研究会第5回シンポジウム

92

外国にある第三者への提供についての国会答弁①

衆・内閣委第4号（平副大臣）「平井委員御指摘のとおり，個人情報の第三者提供に関する現行法第二十三条は，国内外を問わず適用されております。
現行法制定当時は，国内の第三者への提供を想定した規定となっていたところでございます。
一方で，法制定時と比べ，我が国の企業活動のグローバル化や情報通信技術の普及に伴い，個人情報の海外とのやりとりが増加をしていることを踏まえ，今回の法改正において，外国の第三者に対して個人情報を提供する場合のルールを整備することとしたものでございます。
具体的には，外国の第三者に対して国内と同様に個人データを提供することが可能となる場合として，御指摘の，提供先の第三者が所在をする外国の個人情報保護制度が我が国と同等の水準にあると認められる場合のほか，それに加えて，提供先の第三者が我が国の個人情報保護法に基づくものと同様の措置を講ずる体制を整備している場合，さらに，外国の第三者への提供を認める旨の本人の同意を得ている場合の三つのケースを想定しております。
これらの規定はいずれも選択可能となっておりますので，御指摘のような外国の第三者への提供等を禁止する規定を新たに設けるものではなく，現在の企業等において適切に行われている個人情報の取り扱いを追認し，明確にするものでございます。」
衆・内閣委第6号（山口国務大臣）○大西（健）委員 「これは企業，業界の中にも非常に高い関心がありますので，ぜひそうしていただきたいと思います。
逆に，本法律案の第二十四条，外国にある第三者への個人情報の提供について定められていますけれども，ここには，我が国と同等の水準にあると認められている個人情報保護に関する制度を有している外国というのが定められている。
具体的にはどういう国を想定しているのか。例えば，反対に，我が国と密接な経済関係があるアメリカであったりＥＵというのは，我が国と同等水準と認められる個人情報保護に関する制度を有している外国に当たるのかどうなのか。この部分について御答弁をいただきたいと思います。」○山口国務大臣 「今回の法案におけます，我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国につきましては，これは個人情報保護委員会規則で定めるというふうなことにしておりまして，具体的には，委員会設立の後に，対象国の個人情報保護法制とか，あるいは監督体制等を勘案して，当該国の個人情報の保護に関する制度が我が国と同等水準にあるかどうか，これを総合的に判断して定めるというふうなことになろうかと思います。
ですから，今，一義的には，アメリカはどうだとは申し上げられませんが，先生の御推測のような方向でいくと思います。」
2017/5/20

情報法制研究会第5回シンポジウム

93

外国にある第三者への提供についての国会答弁②

衆・内閣委第6号（向井審議官）「第三者でございますので，いわゆる法人格が別の関連会社とか子会社，外国にあるそういうものにつきましては第三者に当たります。一方で，日本の法人格を持ったままという，いわゆる外国支店のようなものにつきましては第三者に当たらないと考えております。」
参・内閣委第9号（向井審議官）「我が国の企業活動のグローバル化あるいは情報通信技術の普及に伴いまして，個人情報の海外のやり取りが増加しているといいますか，ほとんど海外ではもうしょっちゅうやられているような状況になっております。
こういうことを踏まえまして，今回の法案におきまして外国の第三者に対して個人情報を提供する場合のルールを整備することとしたものでございます。そのルールの一つといたしまして，外国の第三者への個人データの提供に当たり，提供先の第三者が我が国の個人情報取扱事業者と同様の措置を講ずる体制を個人情報保護委員会が定める基準に基づいて整備していれば，国内と同様に個人データを提供することを可能としております。
具体的には，よくありますのは，外国にデータセンターがあって，それにデータを委託するというふうなことがよく起こっておりますけれども，これらの場合にもちゃんと国内と同様の安全管理措置等を契約で定めておればそれはオーケーであるというふうなことだろうというふうに考えられます。これ，こういうふうな基準を個人情報保護委員会で作っていくというふうになろ
うかと思っております。」「通常，よく企業が海外にデータ委託なんかする場合のデータ委託契約なんかは，基本的にはそういうふうな情報が入っているというふうに認識しております。」

2017/5/20

情報法制研究会第5回シンポジウム

94個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要な体制の基準（規則）「外国にある第三者に対する個人データの提供に関する規則の方向性について」 （第6回資料2）
２．方向性（１）我が国と同等の水準にあると認められる個人情報保護制度を有している国
様々な国において制度の見直しが行われていることもあり，また，詳細かつ多角的な調査・検討が必要であることから，今後，継続的に検討する。
（個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要な体制の基準）
第11条 法第二十四条の個人情報保護委員会規則で定める基準は，次の各号のいずれかに該当することとする。
一 個人情報取扱事業者と個人データの提供を受ける者との間で，当該提供を受ける者における当該個人データの取扱いについて，適切かつ合理的な方法により，法第四章第一節の規定の趣旨に沿った措置の実施が確保されていること。
二 個人データの提供を受ける者が，個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。

2017/5/20

情報法制研究会第5回シンポジウム

95

GL外国第三者提供編2-1外国にある第三者への個人データの提供を認める旨の本人の同意「本人の同意」とは，本人の個人データが，個人情報取扱事業者によって第三者に提供されることを承諾する旨の当該本人の意思表示をいう。
また，「本人の同意を得（る）」とは，本人の承諾する旨の意思表示を当該個人情報取扱事業者が認識することをいい，事業の性質及び個人情報の取扱状況に応じ，本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。
なお，個人情報の取扱いに関して同意したことによって生ずる結果について，未成年者，成年被後見人，被保佐人及び被補助人が判断できる能力を有していないなどの場合は，親権者や法定代理人等から同意を得る必要がある。
個々の事例ごとに判断されるべきではあるが，法第24条において求められる本人の同意を取得する場合，本人の権利利益保護の観点から，外国にある第三者に個人データを提供することを明確にしなければならない。
なお，改正法の施行日前になされた本人の個人情報の取扱いに関する同意がある場合において，その同意が法第24条の規定による個人データの外国にある第三者への提供を認める旨の同意に相当するものであるときは，同条の同意があったものとみなす（改正法附則第3条）。
GLパブコメ結果724番
なお，外国にある第三者への提供を認める旨の本人の同意を取得する際には，事業の性質及び個人データの取扱状況に応じ，当該本人が当該同意に係る判断を行うために必要と考えられる適切かつ合理的な方法によらなければなりません。この方法には，提供先の国名を個別に示す方法，実質的に本人から見て提供先の国名を特定できる方法とともに，国名を特定する代わりに外国にある第三者に提供する場面を具体的に特定する方法などが含まれ得ます。

2017/5/20

情報法制研究会第5回シンポジウム

96GL外国第三者提供編2-2外国にある第三者「外国にある第三者」の「第三者」とは，個人データを提供する個人情報取扱事業者と当該個人データによって識別される
本人以外の者であり，外国政府などもこれに含まれる。具体的には，次のように該当性が判断される。
法人の場合，個人データを提供する個人情報取扱事業者と別の法人格を有するかどうかで第三者に該当するかを判断する。
例えば，日本企業が，外国の法人格を取得している当該企業の現地子会社に個人データを提供する場合には，当該日本企業にとって「外国にある第三者」への個人データの提供に該当するが，現地の事業所，支店など同一法人格内での個人データの移動の場合には「外国にある第三者」への個人データの提供には該当しない。
事例）外資系企業の日本法人が外国にある親会社に個人データを提供する場合，当該親会社は「外国にある第三者」に該当する。
また，外国の法令に準拠して設立され外国に住所を有する外国法人であっても，当該外国法人が法第2条第5項に規定する「個人情報取扱事業者」（※）に該当する場合には，「外国にある第三者」には該当しない。例えば，外国法人であっても，日本国内に事務所を設置している場合，又は，日本国内で事業活動を行っている場合など，日本国内で「個人情報データ
ベース等」を事業の用に供していると認められるときは，当該外国法人は，「個人情報取扱事業者」に該当するため，「外国にある第三者」には該当しない。
事例）日系企業の東京本店が外資系企業の東京支店に個人データを提供する場合，当該外資系企業の東京支店は「個人情報取扱事業者」に該当し，「外国にある第三者」には該当しない。
（※）「個人情報取扱事業者」とは，個人情報データベース等を事業の用に供している者のうち，国の機関，地方公共団体，
独立行政法人等の保有する個人情報の保護に関する法律（平成15年法律第59号）で定める独立行政法人等及び地方独立行政法人法（平成15年法律第118号）で定める地方独立行政法人を除いた者をいう。
ここでいう「事業の用に供している」の「事業」とは，一定の目的をもって反復継続して遂行される同種の行為であって，かつ
社会通念上事業と認められるものをいい，営利・非営利の別は問わない。
また，個人情報データベース等を事業の用に供している者であれば，当該個人情報データベース等を構成する個人情報によって識別される特定の個人の数の多寡にかかわらず，個人情報取扱事業者に該当する。
2017/5/20

情報法制研究会第5回シンポジウム

97

提供先
（外国に
ある第三
者）

提供元

2017/5/20

情報法制研究会第5回シンポジウム

98

日本法
人（個人
情報取
扱事業
者）

提供先
の外国
法人子
会社（外
国にある
第三者）

提供元

2017/5/20

情報法制研究会第5回シンポジウム

99

提供先
（個人情
報取扱
事業者）

提供先
（外国に
ある第三
者になら
ない）

提供元

2017/5/20

情報法制研究会第5回シンポジウム

100

提供先
の日本
法人（個
人情報
取扱事
業者）

提供先
（個人情
報取扱
事業者）

提供先
（外国に
ある第三
者になら
ない？）

提供元

2017/5/20

情報法制研究会第5回シンポジウム

101

GL外国第三者提供編2-2外国にある第三者
GLパブコメ740番
意見46 【外国第三者提供編 2-2 p.5】「「個人情報取扱事業者」に該当する場合には「外国にある第三者」に該当しない」との趣旨如何
13 行目では，「「外国の法令に準拠して設立され外国に住所を有する外国法人であっても，当該外国法人が法第2 条第 5項に規定する「個人情報取扱事業者」に該当する場合には，「外国にある第三者」には該当しない。」」とし，「例えば，外国法人であっても，日本国内に事務所を設置している場合，又は，日本国内で事業活動を行っている場合など，日本国内で「個人情報データベース等」を事業の用に供していると認められるときは，当該外国法人は，「個人情報取扱事業者」に該当するため，「外国にある第三者」には該当しない。」とするが，趣旨が不明である。法2 条5 項（個人情報取扱事業者）の定義には「日本国内で」個人情報データベース等を事業の用に供していることは含まれておらず，法75 条（適用範囲）においても当然にそれが前提であるはずである。そこで，上記の趣旨を明らかにすべく，以下に回答されたい。
①13 行目の文章「個人情報取扱事業者」に関してのみ，「日本国内で」個人情報データベース等を事業の用に供していることを要件と考えているのか。②この場合の「日本国内で」とは，物理的に個人情報データベース等が日本国内に設置されていることを指すのか。③外国法人が日本で活動する場合，少なくとも一人以上の従業員が日本国内にいることが考えられるが，そのような従業員が所持する端末に個人情報データベース等が一つでも含まれていれば当該外国法人は13 行目の文章でいう「個人情報取扱事業者」であって「外国にある第三者」には該当しないと解するのか。④①ないし③が全て肯定される場合，「外国にある第三者」に含まれるものはほとんどないのではないか。全く日本国内で個人情報データベース等が存在しない者のみについて「外国にある第三者」として規制を及ぼすとするのは，解釈によって法24 条の適用範囲を限定し過ぎではないか。⑤①ないし③が全て肯定される場合，欧州の十分性認定との関係で，Onward Transfer の規制が実質的には全く存在しないものとされ，十分性認定について極めて重大な支障を生ずるのではないか。⑥①ないし③が全て肯定される場合，結論の不当性が明らかであるので，「主として日本国内で「個人情報データベース等を事業の用に供していると認められるときは」とするのはどうか。【一般財団法人 情報法制研究所 個人情報保護法タスクフォース】→個人情報取扱事業者の該当性は，事業の実態を勘案して，日本国内で個人情報データベース等を事業の用に供していると認められるか否かを個別の事例ごとに判断することとなりますので，一般的に現状の案で御理解頂けるものと考えます。
改正後の法第24 条と同法第75 条は，適用範囲を異にするものと考えられます（GLパブコメ741番回答）。

2017/5/20

情報法制研究会第5回シンポジウム

102

GL外国第三者提供編2-2外国にある第三者

GLパブコメ730番，731番…この場合の，事業者該当性の判定は，日本国内の個人を相手として商品や役務の提供をしているか否か，に拠るとの理解でよいか。これ以外に，例えば，以下のような観点は判定基準と考えられていないとの理解でよいか。
・日本国内に事務所を設置しているか否か
・日本国内で事業活動（例：営業・勧誘）を行っているのか，海外から事業活動を行っているのか
・個人データの提供先や提供に係る契約などの相手先が，外国法人の外国事業所であるか，日本国内の事務所であるか・提供される個人データが格納されるサーバーが日本国内に有るか否か…
・提供されたデータを東京支店から外国事業所に提供する場合
・個人データが東京支店に対してではなく，当該外資系企業（外国法人）の外国事業所に対して直接，提供される場合
・外国事業所にデータを保管する場合→一般論として，御指摘の観点も判断要素となり得るものと考えられます。
→一般論として，日本国内で個人情報データベース等を事業の用に供しているとは認められない場合においては，国内に拠点が有るか否かを問わず，個人情報取扱事業者には該当せず，「外国にある第三者」に該当するものと考えられます。

2017/5/20

情報法制研究会第5回シンポジウム

103

GL外国第三者提供編2-2外国にある第三者「クラウドサービスの内容は契約により異なり得るため一律に規定することはできません。一般論として，契約条項により『外国にある第三者』が個人データを取り扱わない旨が定められており（①），適切にアクセス制御を行っている場合等（②）
においては，当該『外国にある第三者』は当該個人データの提供を受けて取り扱っているとはいえないものと想定されます。」（パブコメ結果512番等）「当該事業者が当該契約内容を履行するに当たって個人番号をその内容に含む電子データを取り扱うのかどうかが基準となります。当該事業者が個人番号をその内容に含む電子データを取り扱わない場合には，そもそも，個人番号関係事務又は個人番号利用事務の全部又は一部の委託を受けたとみることはできませんので，番号法上の委託には該当しません。
当該事業者が個人番号をその内容に含む電子データを取り扱わない場合とは，契約条項によって当該事業者が個人番号をその内容に含む電子データを取り扱わない旨が定められており（①），適切にアクセス制御を行っている場合等（②）が考えられます。」（特定個人情報保護Q&A（3-12））「クラウドサービスには多種多様な形態がありますが、クラウドサービスの利用が、本人の同意が必要な第三者提供（法第23 条第１項）又は委託（法第 23 条第５項第１号）に該当するかどうかは、保存している電子データに個人データが含まれているかどうかではなく、クラウドサービスを提供する事業者において個人データを取り扱うこととなっているのかどうかが判断の基準となります。…」「当該クラウドサービス提供事業者が、当該個人データを取り扱わないこととなっている場合とは、契約条項によって当該外部事業者がサーバに保存された個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等が考えられます。」（個人情報Q&A5-33）

2017/5/20

情報法制研究会第5回シンポジウム

104

GL外国第三者提供編3-1適切かつ合理的な方法「適切かつ合理的な方法」は，個々の事例ごとに判断されるべきであるが，個人データの提供先である外国にある第三者が，我が国の個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずることを担保することができる方法である必要がある。
例えば，次の事例が該当する。
事例1）外国にある事業者に個人データの取扱いを委託する場合
提供元及び提供先間の契約，確認書，覚書等
事例2）同一の企業グループ内で個人データを移転する場合
提供元及び提供先に共通して適用される内規，プライバシーポリシー等
また，アジア太平洋経済協力（APEC）の越境プライバシールール（CBPR）システム（※）の認証を取得している事業者は，その取得要件として，当該事業者に代わって第三者に個人情報を取り扱わせる場合においても，当該事業者が本人に対して負う義務が同様に履行されることを確保する措置を当該第三者との間で整備している必要があることとされている。
したがって，提供元の個人情報取扱事業者がCBPRの認証を取得しており，提供先の「外国にある第三者」が当該個人情報取扱事業者に代わって個人情報を取り扱う者である場合には，当該個人情報取扱事業者がCBPRの認証の取得要件を充たすことも，「適切かつ合理的な方法」の一つであると解される。なお，提供先の「外国にある第三者」がCBPRの認証を取得している場合については，本ガイドライン3-3（個人データの提供を受ける者が，個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること（規則第11条第2号関係）)を参照のこと。
（※）APEC CBPRシステム
事業者のAPECプライバシーフレームワークへの適合性を国際的に認証する制度。
APECの参加国・地域が本制度への参加を希望し，参加を認められた国がアカウンタビリティエージェント（AA）を登録する。
このAAが事業者について，その申請に基づきAPECプライバシーフレームワークへの適合性を認証する。
なお，この措置を講じなければならない対象は，実際に提供を行った「当該個人データ」であることから，提供先で取り扱っている他の個人情報の取扱いについてまで当該措置を講ずることが求められているものではない。

2017/5/20

情報法制研究会第5回シンポジウム

1052017/5/20

情報法制研究会第5回シンポジウム

106

GL外国第三者提供編3-3国際的な枠組みに基づく認証「個人情報の取扱いに係る国際的な枠組みに基づく認定」とは，国際機関等において合意された規律に基づき権限のある認証機関等が認定するものをいい，当該枠組みは，個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずることのできるものである必要がある。
これには，提供先の外国にある第三者が，APECのCBPRシステムの認証を取得していることが該当する。なお，個人データを提供する者がCBPRの認証を取得している場合については，本ガイドライン3-1（適切かつ合理的な方法（規則第11条第1号関係））を参照のこと。

GLパブコメ結果801番以下で，ISO，BCR，APEC-PRP，TRUSTe，プライバシーシールドなどが当てはまらないのか，との意見があるが，全て認めないとの回答がされている。

2017/5/20

情報法制研究会第5回シンポジウム

1072017/5/20

情報法制研究会第5回シンポジウム

1082017/5/20

情報法制研究会第5回シンポジウム109将来的な，一般データ保護規則における拘束的企業準則（BCR，GDPR47条）との相互通有性

APECの枠組み【拘束的企業準則（BCR）】
企業グループ内のメカニズムで，①移転するデータの種類②拘束力のある性質③セキュリティの確保④違反の場合の本人への補償⑤本人への情報提供方法 などをまとめ，監督機関に申請することで欧州を含む企業グループ内の移転を自由にする仕組み。

共同監視パネル

第三国（十分性未認定）

欧州欧州各国の監督機関（プライバシーコミッショナー）

日本
個人情報保護委員会
認定

第三国親会社（個人情報保護委員会による執行）
BCRによる通常の移転

欧州子会社

APEC-CBPRを経由した
BCR相互通有？

団体（企業等）

申請し，監督機関の承認を得る

BCRとAPEC-CBPRの相互通有性の議論を開始することにつき29条作業部会が
正式に決定

申請

認証

アカウンタビリティ・エージェ
ント

APEC-CBPRの認証を受けたからといってBCRの認証が受けられるという仕組みは想定されていないが，双方の申請の手間を減らすような方向が模索されている。
2017/5/20

情報法制研究会第5回シンポジウム

110

APEC-CBPR• APEC Privacy Framework– For Interoperability– APEC Privacy Framework Principles• PREVENTING HARM
• NOTICE• USES OF PERSONAL INFORMNATION• CHOICE• INTEGRITY OF PERSONAL INFORMATION• SECURITY SAFEGUARDS• ACCESS AND CORRECTION• ACCOUNTABILITY
2017/5/20

情報法制研究会第5回シンポジウム

111

APEC-CBPR(Cont.)• APEC COOPERATION ARRANGEMENT FOR CROSSBORDER PRIVACY ENFORCEMENT(CPEA)– Enforcement network during DPAs
• AU, CA, HK, JP, MX, NZ, SG, US– Participation of DPA to CPEA is the requirement of CBPR

• Cross Border Privacy Rules(CBPR)– Certification system– Participating economy• CA, JP, MX, US– Accountability Agent(AA)• JP(JIPDEC), US(TRUSTe)
2017/5/20

情報法制研究会第5回シンポジウム

1122017/5/20

情報法制研究会第5回シンポジウム

1132017/5/20

情報法制研究会第5回シンポジウム

114

2017/5/20

情報法制研究会第5回シンポジウム

115

CBPR intake questionnaire• ACCESS AND CORRECTION (QUESTIONS 36-38)• The questions in this section are directed towards
ensuring that individuals are able to access and correct
their information. This section includes specific conditions
for what would be considered reasonable in the provisionof access. Access will also be conditioned by security
requirements that preclude the provision of direct access to
information and will require sufficient proof of identity
prior to provision of access. The details of the proceduresby which the ability to access and correct information isprovided may differ depending on the nature of theinformation and other interests. For this reason, in certain
circumstances, it may be impossible, impracticable or
unnecessary to change, suppress or delete records.
2017/5/20

情報法制研究会第5回シンポジウム

116

CBPR intake questionnaire(Cont.)• ACCESS AND CORRECTION (QUESTIONS 36-38)(Cont.)• The ability to access and correct personal information, while
generally regarded as a central aspect of privacy protection, is not
an absolute right. While you should always make good faith efforts
to provide access, in some situations, it may be necessary to denyclaims for access and correction. “Qualifications to the Provision ofAccess and Correction” sets out those conditions that must be met
in order for such denials to be considered acceptable. When you
deny a request for access, for the reasons specified herein, you
should provide the requesting individual with an explanation as towhy you have made that determination and information on how tochallenge that denial. You would not be expected to provide an
explanation, however, in cases where such disclosure would violatea law or judicial order.

2017/5/20

情報法制研究会第5回シンポジウム

117

2 委員会ガイドライン
3）確認記録義務編

2017/5/20

情報法制研究会第5回シンポジウム

118

トレーサビリティ（確認記録）義務

新第25条，第26条に関する問題点(1)第2条第5項各号に掲げるものを除く
新第25条
1 個人情報取扱事業者は，個人データを第三者（第2条第5項各号に掲げる者を除く。以下この条及び次条において同じ。）に提供したときは，個人情報保護委員会規則で定めるところにより，当該個人データを提供した年月日，当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。ただし，当該個人データの提供が第23条第1項各号又は第5項各号のいずれか（前条の規定による個人データの提供にあっては，第23条第1項各号のいずれか）に該当する場合は，この限りでない。
2 （保存義務）

行政機関等が間に挟まった場合，トレーサビリティが切断される。
(2)外国にある第三者への提供の制限の場合は委託，合併，共同利用も含まれる
但し，同等性認定等，例外に当たる場合は除外される。
同等性認定等が行われていない外国で構築されたクラウドが委託であるとすると，クラウド上のデータ操作がすべてトレーサビリティ
義務の対象になることは有り得る。
→国会答弁，番号法Q&Aの改訂（マイナンバーが含まれる記憶媒体について）

新第26条
1 （受領の際の確認義務）
2 （虚偽告知禁止）
3 （確認記録作成義務）
4 （保存義務）2017/5/20

情報法制研究会第5回シンポジウム

119

●
3-1

3-2

2017/5/20

情報法制研究会第5回シンポジウム

120

トレーサビリティ義務についての国会答弁①

衆・内閣委第4号（向井審議官）「まず，第三者への提供が委託や共同利用に当たる場合には，そもそも記録の作成，保存義務はございません。
また，記録の作成が必要になる場合におきます具体的な記録の作成方法，記載事項につきましては個人情報保護委員会
規則で定めることとしておりますが，この規則の策定に当たっては，事業者の負担に最大限配慮することが必要と考えているところでございます。
例えば，御指摘の関連会社に対して同一の事案について複数回にわたって個人情報を送付したり，同一の会社間で反復継続して個人情報を提供したりするような場合は，一定の期間内に特定の事業者との間でどのような個人データを移転させたかを包括的に記載されるものとし，個々のやりとりに関する詳細な記録までは求めないこととすることを含め，具体的なあり方を検討する予定でございます。」「記録の作成方法及び記録すべき事項につきましては，個人情報保護委員会規則で定めることとしておりますが，その策定に当たりまして，事業者の負担に最大限配慮することが必要と考えております。
御指摘の，オンラインでの第三者提供において別途特別の記録を作成しなくてもよいとすることや，ログの分析や照合によって記録すべき事項がわかるようになっている場合にはそれで足りるというふうなことも十分考えられることでありますので，これらを含め，今後，事業者からの意見を踏まえつつ，具体的なあり方を検討する予定となっております。
なお，本規律は，個人データの第三者提供に係る記録の作成，保存を義務づけるものでありますので，御指摘の個人情報を削除したことに関する記録の作成，保存は不要となっておるところでございます。」

2017/5/20

情報法制研究会第5回シンポジウム

121

トレーサビリティ義務についての国会答弁②

衆・内閣委第6号（向井審議官）「記録作成等の義務の対象を個人情報データベース等でなく個人データとしておりますのは，現在のインターネット社会におきましては，漏えいした個人情報が瞬時に広範囲に拡散してしまうおそれも高く，たとえ一人分の個人データであっても保護する必要があるということで，現行法も，基本的に保護対象を個人データとしております。
また，個人情報データベース等に該当しないような形にして不正に流出させる脱法行為を防止し，トレーサビリティーを確保する必要もあると思います。
一方で，個人情報データベース等に仮にしたとしても，事業者の負担が，個人データとすることと比べてそれほど変わらな
いのではないかというふうに考えられることもございます。
一方で，先生御指摘のとおり，日常的に大量の個人データの第三者提供を行う事業者，あるいは，提供先や提供の年月日に関する記録を特別に作成しなければならないとした場合の負担に対する配慮については十分認識しているところでございます。
例えば，記録事項について，関連会社に対して同一の事案について複数回にわたって個人情報を送付したり，同一の会社との間で反復継続して個人情報を提供したりするような場合には，一定の期間内に特定の事業者との間でどのような個
人データを移転させたかを包括的に記載されるものとし，個々のやりとりに関する詳細な記録までは求めないとすることや，記録の作成方法について，記録すべき事項が，ログやＩＰアドレス等，一定の情報を分析したり，複数の情報を照合したりすることによって明らかになる場合には，その状態を保存しておけば足りることとすることを含めまして，事業者の意見も丁寧に聴取しながら検討させていただきたいと考えております。」
衆・内閣委第6号（山口国務大臣）「今，高井先生からお話がございました参考人の方々の御意見でありますが，トレーサビリティーの確保の必要性についてはそれぞれ御賛同いただいておるということだろうと思うんですが，その対象が，個人情報データベース等ではなくて，個人の個人データとしておるために事業者に過度な負担がかかるのではないかというふうな御懸念であろうと思うわけです。
ただ，これはもう先生も御案内のとおりで，現在のインターネットの社会におきましては，漏えいした個人情報，これがもう瞬時に広範囲に拡散をしてしまう。そして，非常に取り返しのつかないようなことになってしまうというふうなことで，たとえ一人分の個人データであっても保護する必要があり，現行法も，基本的には保護対象を個人データというふうにしておるところ
でございます。
いわゆる名簿屋等に関しましても，個人情報データベース等に該当しないような形にして，いわば小出しですよね，そういった格好で流出をさせるような脱法行為も防止をして，しっかりとトレーサビリティーを確保する必要があることから，適切な保護を図るために個人データというものを対象にする必要があろうと考えておるわけであります。」
2017/5/20

情報法制研究会第5回シンポジウム

122トレーサビリティ義務についての国会答弁③

衆・内閣委第6号（向井審議官）「具体的な作成法，記録すべき事項等は，個人情報保護委員会規則で定めるということになってございます。
これらについて定めるに当たりましては，当然，関係する事業者からの意見を踏まえて内容を精査する必要がございます。
例えばでございますが，記録の作成方法につきましては，書面または電子データのいずれでもよいものとし，さらに，別途特別に紙ファイルやデータベースを作成しなくても，年月日，提供の相手方等の記録すべき事項がログやＩＰアドレス等の一定の情報を分析することによって明らかになる場合には，その状態を保存すれば足りること。あるいは記録事項につきましても，年月日の記録につきましては，一定の期間内に特定の事業者との間でどのような個人データの移転をさせていたかを包括的に記載されるものとしまして，個々のやりとりに関する詳細な記録までは求めないとすることなどが考えられます。
なお，先生の御指摘の，電話で一個だけ情報を漏らした場合というのは，提供したその態様，目的等によって，ちょっとケース・バイ・ケースかなとは思いますけれども，典型的におっしゃったようなことにつきましては，そういうことがあるとかというふうな感じの記載でも可とするようなことも考えられるのではないかというふうに思いますので，定性的にそういうことを書くことも考えられますので，その辺につきましても，基本的には事業者からよくヒアリングして，困るというものの中で合理的なものについては，できるだけ耳を傾けて定めていくことが肝要であるというふうに思っております。」
衆・内閣委第6号（山口国務大臣）「ある同じ会の会長さんの名前を教えたら，これは記録しなきゃいけないのかというお話は，若干，向井さんの答弁にも入っておったんですが，恐らく，個人情報の第三者提供には当たらないのではないか。恐らく，公的な立場の方々のリストというのは，本人の同意のもとに結構出ていますから，そこら辺はそういった点でクリアできるのかなと思いますが，いずれにしても，個々対応とは申しませんが，しっかり丁寧にやっていく必要があろうかと思います。」御指摘いただきました答弁について
は，時間の関係でかなりはしょってお話を申し上げたので，若干，趣旨がわかりにくかったのではないかなと思います。

2017/5/20

情報法制研究会第5回シンポジウム

123トレーサビリティ義務についての国会答弁④

衆・内閣委第7号（山口国務大臣）「公的な立場にある方々のリストの中から名前等を第三者に提供するときの記録の作成義務に関する考え方を申し上げた
ものでございまして，若干お話をさせていただきますと，まず，御指摘の本人同意の場合は記録作成義務の対象外というふうなことについては，公的な立場の方々の名簿は市販をされていることがあります。しかし，これらの取り扱いについては，
今回の法律におきまして，市販の名簿等，これは本人の同意などがある上に，利用方法から見て個人の権利利益を害する
おそれが少ないというふうなことから，個人情報データベース等の定義から除外をするというふうにしておりますので，そもそも法規制の対象から除外をされるというふうな考え方を申し上げたものでございます。
さらに，先日の答弁でありますが，公的な立場の方々の名簿であっても市販されていない場合の取り扱いにつきましては，
個人情報データベース等から除外をされずに，記録の作成義務の対象となる場合がございます。そのために，事業者への負担に関する懸念も踏まえまして，規則の策定に当たっては，事業者の御意見というのも丁寧に聴取をさせていただきながら対応することが必要であろうというふうなことで申し上げたわけでございます。
衆・内閣委7号（向井審議官）「先生御指摘のとおり，ブログとか，あるいは自動的に転送されるようなサービスというのは多数ございまして，形態もさまざまであろうと思います。
ただ，一般的なブログにつきましては，個人が書き込んだ情報の公開については，当該個人が書き込んだ内容を誰が閲覧できるかを，当該個人自身が公開範囲として指定していることから，公開範囲について事業者の裁量の余地はないというふうに考えられます。
仮に，これを事業者が第三者に提供するものであると捉えますと，例えば，ブログに個人が友人等の写真とあわせて情報を書き込むような場合には，事業者は当該友人の同意を得ずに第三者に提供することとなり，違法状態が生ずることになる
んですけれども，それは国内におきましてもそういうような整理がなされていない，要するに第三者提供とは捉えられていな
いというふうなことだと思います。
したがいまして，そういうふうな，本人が，例えばブログに出したものがほかのところにも自動的に出されるようなことを意識しておる場合には，それはむしろ，本人の提供というふうに捉えるべき場合もあるのではないかというふうに考えます。
これらにつきまして，やはり，どういうふうな形態があるかについて，不必要な場合にまで第三者提供と捉えて解釈する必要はないのではないかということが一つあるのではないか。
一方では，第三者提供と捉えられる場合におきましても，そのような半分自動に近いような場合につきましては，包括的にこういうことが行われているというふうな書き方というのもあり得るのではないかというふうに思っておりまして，仮に第三者提供と捉えるべき場合におきましても，個人情報のトレースをする場合においてほとんど支障が生じない場合につきましては，できるだけ簡易な方法というのも考えられるのではないかというふうに考えております。」
2017/5/20
124
情報法制研究会第5回シンポジウム

トレーサビリティ義務についての国会答弁⑤

参・内閣委第9号（向井審議官）「今回の法案では，個人情報のトレーサビリティーを確保する観点から，第三者提供に係ります記録の作成等や第三者提供を受ける際の確認等を個人情報取扱事業者の義務として新たに導入したところとしておりまして，これはいわゆる名簿事業者への対応を意識したものでございます。」「この附帯決議において指摘されているとおり，事業者への負担が過度なものとならないよう最大限配慮することが必要と考えております。」

2017/5/20

情報法制研究会第5回シンポジウム

125

第三者提供に係る記録の作成・記録事項（規則）（第三者提供に係る記録の作成）
第12条 法第二十五条第一項の規定による同項の記録を作成する方法は，文書，電磁的記録又はマイクロフィルムを用いて作成する方法とする。
２ 法第二十五条第一項の記録は，個人データを第三者（同項に規定する第三者をいう。以下この条，次条及び第十五条から第十七条
までにおいて同じ。）に提供した都度，速やかに作成しなければならない。ただし，当該第三者に対し個人データを継続的に若しくは反復して提供（法第二十三条第二項の規定による提供を除く。以下この項において同じ。）したとき，又は当該第三者に対し個人データを継続的に若しくは反復して提供することが確実であると見込まれるときの記録は，一括して作成することができる。
３ 前項の規定にかかわらず，法第二十三条第一項又は法第二十四条の規定により，本人に対する物品又は役務の提供に関連して当該本人に係る個人データを第三者に提供した場合において，当該提供に関して作成された契約書その他の書面に次条第一項各号に定める事項が記載されているときは，当該書面をもって法第二十五条第一項の当該事項に関する記録に代えることができる。
（第三者提供に係る記録事項）
第13条 法第二十五条第一項の個人情報保護委員会規則で定める事項は，次の各号に掲げる場合の区分に応じ，それぞれ当該各号に定める事項とする。
一 法第二十三条第二項の規定により個人データを第三者に提供した場合次のイからニまでに掲げる事項
イ 当該個人データを提供した年月日
ロ 当該第三者の氏名又は名称その他の当該第三者を特定するに足りる事項（不特定かつ多数の者に対して提供したときは，その旨）
ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
ニ 当該個人データの項目
二 法第二十三条第一項又は法第二十四条の規定により個人データを第三者に提供した場合次のイ及びロに掲げる事項
イ 法第二十三条第一項又は法第二十四条の本人の同意を得ている旨
ロ 前号ロからニまでに掲げる事項２ 前項各号に定める事項のうち，既に前条に規定する方法により作成した法第二十五条第一項の記録（当該記録を保存している場合におけるものに限る。）に記録されている事項と内容が同一であるものについては，法第二十五条
第一項の当該事項の記録を省略することができる。
附則（第三者提供に係る記録の作成に関する経過措置）
附則第3条 第十三条第一項に規定する事項のうち，施行日前に第十二条に規定する方法に相当する方法で記録（当該記録を保存している場合におけるものに限る。）を作成しているものについては，第十三条第二項の規定を適用することができる。この場合において，同項中「前条に規定する方法」とあるのは「前条に規定する方法に相当する方法」と読み替えるものとする。

2017/5/20

情報法制研究会第5回シンポジウム

126

第三者提供を受ける際の確認・記録作成（規則）（第三者提供に係る記録の保存期間）
第14条 法第25条第２項の個人情報保護委員会規則で定める期間は，次の各号に掲げる場合の区分に応じて，それぞれ当該各号に定める期間とする。
一 第12条第３項に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を行った日から起算して１年を経過する日までの間
二 第12条第２項ただし書に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を行った日から起算して３年を経過する日までの間
三 前二号以外の場合 ３年（第三者提供を受ける際の確認）
第15条 法第二十六条第一項の規定による同項第一号に掲げる事項の確認を行う方法は，個人データを提供する第三者から申告を受ける方法その他の適切な方法とする。
２ 法第二十六条第一項の規定による同項第二号に掲げる事項の確認を行う方法は，個人データを提供する第三者から当該第三者による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法とする。
３ 前二項の規定にかかわらず，第三者から他の個人データの提供を受けるに際して既に前二項で規定する方法による確認（当該確認について次条に規定する方法による記録の作成及び保存をしている場合におけるものに限る。）を行っている事項の確認を行う方法は，当該事項の内容と当該提供に係る法第二十六条第一項各号に掲げる事項の内容が同一であることの確認を行う方法とする。
附則（第三者提供を受ける際の確認に関する経過措置）
附則第4条 法第二十六条第一項各号に規定する事項のうち，施行日前に第十五条に規定する方法に相当する方法で確認（当該確認について第十六条に規定する方法に相当する方法
により記録を作成し，かつ，保存している場合におけるものに限る。）を行っているものについては，第十五条第三項を適用することができる。この場合において，同項中「前二項に規定する方法」とあるのは「前二項に規定する方法に相当する方法」と読み替えるものとする。

（第三者提供を受ける際の確認に係る記録の作成）
第16条 法第二十六条第三項の規定による同項の記録を作成する方法は，文書，電磁的記録又はマイクロフィルムを用いて作成する方法とする。
２ 法第二十六条第三項の記録は，第三者から個人データの提供を受けた都度，速やかに作成しなければならない。ただし，当該第三者から継続的に若しくは反復して個人データの提供（法第二十三条第二項の規定による提供を除く。以下この条において同じ。）を受けたとき，又は当該第三者から継続的に若しくは反復して個人データの提供を受けることが確実であると見込まれるときの記録は，一括して作成することができる。
３ 前項の規定にかかわらず，本人に対する物品又は役務の提供に関連して第三者から当該本人に係る個人データの提供を受けた場
合において，当該提供に関して作成された契約書その他の書面に次条第一項各号に定める事項が記載されているときは，当該書面をもって法第二十六条第三項の当該事項に関する記録に代えることができる。

2017/5/20

情報法制研究会第5回シンポジウム

127

第三者提供を受ける際の確認・記録作成（規則）（続）（第三者提供を受ける際の記録事項）
第17条 法第二十六条第三項の個人情報保護委員会規則で定める事項は，次の各号に掲げる場合の区分に応じ，それぞれ当該各号に定める事項とする。
一 個人情報取扱事業者が法第二十三条第二項の規定により個人データの提供を受けた場合次のイからホまでに掲げる事項
イ 個人データの提供を受けた年月日
ロ 法第二十六条第一項各号に掲げる事項
ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
ニ 当該個人データの項目
ホ 法第二十三条第四項の規定により公表されている旨
二 個人情報取扱事業者が法第二十三条第一項又は法第二十四条の規定による個人データの提供を受けた場合次のイ及びロに掲げる事項
イ 法第二十三条第一項又は法第二十四条の本人の同意を得ている旨
ロ 前号ロからニまでに掲げる事項
三第三者（個人情報取扱事業者に該当する者を除く。）から個人データの提供を受けた場合第一号ロからニまでに掲げる事項
２ 前項各号に定める事項のうち，既に前条に規定する方法により作成した法二十六条第三項の記録（当該記録を保存している場合におけるものに限る。）に記録された事項と内容が同一であるものについては，法二十六条第三項の当該事項の記録を省略することができる。
附則（第三者提供を受ける際の確認に係る記録の作成に関する経過措置）
附則第5条 第十七条第一項に規定する事項のうち，施行日前に第十六条に規定する方法に相当する方法で記録（当該記録を保存している場合におけるものに限る。）を作成しているものについては，第十七条第二項を適用することができる。この場合において，同項
中「前条に規定する方法」とあるのは「前条に規定する方法に相当する方法」と読み替えるものとする。
（第三者提供を受ける際の記録の保存期間）
第18条 法第二十六条第四項の個人情報保護委員会規則で定める期間は，次の各号に掲げる場合の区分に応じて，それぞれ当該各号に定める期間とする。
一 第十六条第三項に規定する方法により記録を作成した場合最後に当該記録に係る個人データの提供を受けた日から起算して一年を経過する日までの間
二 第十六条第二項ただし書に規定する方法により記録を作成した場合最後に当該記録に係る個人データの提供を受けた日から起算
して三年を経過する日までの間
三 前二号以外の場合三年2017/5/20

情報法制研究会第5回シンポジウム

128GL確認記録義務編
2-2 解釈により確認・記録義務が適用されない第三者提供
2-2-1 提供者及び受領者に確認・記録義務が適用されない場合

形式的には第三者提供の外形を有する場合であっても，確認・記録義務の趣旨に鑑みて，実質的に確認・記録義務を課す
る必要性に乏しい第三者提供については，同義務の対象たる第三者提供には該当しない。

第三者提供，すなわち，「提供者」から「受領者」に対する「提供」行為については，確認・記録義務の趣旨に鑑みて，各要素の該当性を判断する。
具体的には，次の「2-2-1-1 『提供者』の考え方」から「2-2-1-3 『提供』行為の考え方」までに掲げる考え方があり得るが，各類型は互いに相反するものではなく，重複することもあり得る。また，確認・記録義務の趣旨に鑑みて，その他にも，実質的に同義務が適用されない類型があることを排除するものではない。

なお，次のいずれの類型においても，実質的に本人同意があることが前提であり，オプトアウトによる第三者提供（法第23条第2項）には，基本的には，次の考え方は当てはまらない。

2017/5/20

情報法制研究会第5回シンポジウム

129

GL確認記録義務編
2-2-1-1 「提供者」の考え方（1）本人による提供
事業者が運営するSNS等に本人が入力した内容が，自動的に個人データとして不特定多数の第三者が取得できる状態に置かれている場合は，実質的に「本人による提供」をしているものである。
したがって，個人情報取扱事業者がSNS等を通じて本人に係る個人データを取得したときでも，SNS等の運営事業者及び取得した個人情報取扱事業者の双方において，確認・記録義務は適用されない。
なお，閲覧行為と，法第26条の義務の関係については，「2-2-2-2 『提供を受けるに際して』」を参照のこと。
【本人による提供に該当する事例】
事例）SNS上で，投稿者のプロフィール，投稿内容等を取得する場合

2017/5/20

情報法制研究会第5回シンポジウム

130GL確認記録義務編
2-2-1-1 「提供者」の考え方（2）本人に代わって提供
個人情報取扱事業者が本人からの委託等に基づき当該本人の個人データを第三者提供する場合は，当該個人情報取扱事業者は「本人に代わって」個人データの提供をしているものである。
したがって，この場合の第三者提供については，提供者・受領者のいずれに対しても確認・記録義務は適用されない。
個人情報取扱事業者が本人からの委託等に基づいて個人データを提供しているものと評価し得るか否かは，主に，委託等の内容，提供の客体である個人データの内容，提供するとき及び提供先の個人情報取扱事業者等の要素を総合的に考慮して，本人が当該提供を具体的に特定できているか否かの観点から判断することになる。
なお，本人から個人データの提供の委託等を受ける場合において，当該個人データに，「本人」以外の者の個人データが含まれる場合もあり得る。

【本人に代わって個人データを提供している事例】
事例1）本人から，別の者の口座への振込依頼を受けた仕向銀行が，振込先の口座を有する被仕向銀行に対して，当該振込依頼に係る情報を提供する場合
事例2）事業者のオペレーターが，顧客から販売商品の修理依頼の連絡を受けたため，提携先の修理業者につなぐこととなり，当該顧客の同意を得た上で当該顧客に代わって，当該顧客の氏名，連絡先等を当該修理業者に伝える場合
事例3）事業者が，取引先から，製品サービス購入希望者の紹介を求められたため，顧客の中から希望者を募り，購入希望者リストを事業者に提供する場合
事例4）本人がアクセスするサイトの運営業者が，本人認証の目的で，既に当該本人を認証している他のサイトの運営業者のうち当該本人が選択した者との間で，インターネットを経由して，当該本人に係る情報を授受する場合
事例5）保険会社が事故車の修理手配をする際に，本人が選択した提携修理工場に提供する場合
事例6）取引先・契約者から，専門業者・弁護士等の紹介を求められ，専門業者・弁護士等のリストから紹介を行う場合
事例7）事業者が，顧客から電話で契約内容の照会を受けたため，社内の担当者の氏名，連絡先等を当該顧客に案内する
場合
事例8）本人から，取引の媒介を委託された事業者が，相手先の候補となる他の事業者に，価格の妥当性等の検討に必要な範囲の情報を提供する場合※金融，信用，サービサーGL案はいずれも別途の定めをしていない
2017/5/20
情報法制研究会第5回シンポジウム

131

GL確認記録義務編
2-2-1-2 「受領者」の考え方
2-2-1-3 「提供」行為の考え方

2-2-1-2 「受領者」の考え方
本人の代理人又は家族等，本人と一体と評価できる関係にある者に提供する場合，本人側に対する提供とみなし，受領者に対する提供には該当せず，確認・記録義務は適用されない。なお，常に家族であることをもって本人側と評価されるものではなく，個人データの性質，両者の関係等に鑑みて実質的に判断する必要がある。
また，提供者が，最終的に本人に提供することを意図した上で，受領者を介在して第三者提供を行い，本人がそれを明確に認識できる場合は，同じく，本人側に対する提供とみなし，確認・記録義務は適用されない。
【本人と一体と評価できる関係にある者に提供する事例】
事例）金融機関の営業員が，家族と共に来店した顧客に対して，保有金融商品の損益状況等を説明する場合【提供者が，最終的に本人に提供することを意図した上で，受領者を介在して第三者提供を行う事例】
事例）振込依頼人の法人が，受取人の個人の氏名，口座番号などの個人データを仕向銀行を通じて被仕向銀行の振込先の口座に振り込む場合
2-2-1-3 「提供」行為の考え方
不特定多数の者が取得できる公開情報は，本来であれば受領者も自ら取得できる情報であり，それをあえて提供者から受領者に提供する行為は，受領者による取得行為を提供者が代行しているものであることから，実質的に確認・記録義務を課すべき第三者提供には該当せず，同義務は適用されない。
例えば，ホームページ等で公表されている情報，報道機関により報道されている情報などが該当する。他方，特定の者のみ
アクセスできる情報，提供者の業務上取得し得た非公開の情報などについては，ここでの整理は当てはまらない。
なお，当初に，個人データを公開に供する行為については，提供者として記録を作成しなければならない（規則第13条第1項
第1号ロ括弧書。「4-2-1-1 オプトアウトによる第三者提供をする場合」参照）。
また，いわゆる公開情報であっても，「個人情報」（法第2条第1項）に該当するため，法第4章第1節のうち，確認・記録義務以外の規定は適用されることには留意する必要がある（通則ガイドライン「2-1 個人情報」参照）。

2017/5/20

情報法制研究会第5回シンポジウム

1322017/5/20

情報法制研究会第5回シンポジウム

1332017/5/20

情報法制研究会第5回シンポジウム

1342017/5/20

情報法制研究会第5回シンポジウム

1352017/5/20

情報法制研究会第5回シンポジウム

1362017/5/20

情報法制研究会第5回シンポジウム

137

2 委員会ガイドライン
4）匿名加工情報編

2017/5/20

情報法制研究会第5回シンポジウム

138

委員会ガイドライン，NII報告書，事務局レポート• 平成28年11月：個人情報の保護に関する法律についてのガイドラ
イン（匿名加工情報編）（平成28年個人情報保護委員会告示第９号）• 平成29年2月：「個人情報の保護に関する法律についてのガイドライン」及び「個人データの漏えい等の事案が発生した場合等の対応について」に関するQ&A（個人情報保護委員会）• 平成29年2月：「匿名加工情報の適正な加工の方法に関する報告書」（国立情報学研究所「匿名加工情報に関する技術検討WG」（PD検討会技術検討WGメンバーと相当程度共通）• 平成29年2月：「個人情報保護委員会事務局レポート：匿名加工情報 パーソナルデータの利活用促進と消費者の信頼性確保の両立に向けて」（個人情報保護委員会事務局）

2017/5/20

情報法制研究会第5回シンポジウム

139匿名加工情報
定義関係
新第2条9項
この法律において「匿名加工情報」とは，次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報（①）であって，当該個人情報を復元することができないようにしたもの（②）をいう。
一 第1項第1号に該当する個人情報（注：従来型個人情報）
当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）
二 第1項第2号に該当する個人情報（注：個人識別符号型個人情報） 当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）
新第2条10項
この法律において「匿名加工情報取扱事業者」とは，匿名加工情報を含む情報の集合物であって，特定の匿名加工情報を電子計算機を用いて検索することができるよ
うに体系的に構成したものその他特定の匿名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第36条第1項において「匿名加工情報データベース等」という。）を事業の用に供している者をいう。ただし，第5条各号に掲げる者（注：行政機関など）を除く。
2017/5/20

新第2条9項に関する分析(1)条文構造⇒「匿名加工情報」とは，①2条9項各号の措置を講じて特定の個人を識別することができな
いように…加工して得られる個人に関する情報（であって）②当該個人情報を復元することができないようにしたもの（＝個人に関する情報）※36条1項は「特定の個人を識別すること及びその作成に用いる
個人情報を復元することができないようにするために必要なものとして個人情報保護委員会規則で定める基準」と規定(2) 「復元することができないように」
番号法2条14号…「情報提供ネットワークシステム」とは，行政機関の長等（…）の使用に係る電子計算機を相互に電気通信回線で接続した電子情報処理組織であって，暗号その他その内容を容易に復元することができない通信の方法を用いて行われる第十九条第七号の規定による特定個人情報の提供を管理するために，…。
電波法109条1項「暗号通信を傍受した者又は暗号通信を媒介する者であつて当該暗号通信を受信したものが，当該暗号通信の秘密を漏らし，又は窃用する目的で，その内容を復元したときは，…。」

情報法制研究会第5回シンポジウム

1402.適切な規律の下で個人情報等の有用性を確保
2-1 匿名加工情報に関する加工方法や取扱い等の規定の整備②
第四章第二節 匿名加工情報取扱事業者等の義務
新第36条
個人情報取扱事業者は，匿名加工情報（匿名加工情報
データベース等を構成するものに限る。以下同じ。）を作成するときは，特定の個人を識別すること（①）及びその作成に用いる個人情報を復元すること（②）ができないよ
うにするために必要なものとして個人情報保護委員会規則で定める基準に従い，当該個人情報を加工しなければならない。
2 個人情報取扱事業者は，匿名加工情報を作成したときは，その作成に用いた個人情報から削除した記述等
及び個人識別符号並びに前号の規定により行った加工の方法に関する情報の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い，これらの情報の安全管理のための措置を講じなければならない。
3 個人情報取扱事業者は，匿名加工情報を作成したときは，個人情報保護委員会規則で定めるところにより，
当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない。
4 個人情報取扱事業者は，匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは，個人情報保護委員会規則で定めるところにより，あらかじめ，第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表すると
ともに，当該第三者に対して，当該提供に係る情報が匿名加工情報である旨を明示しなければならない。

2017/5/20

新第36条（続）5 個人情報取扱事業者は，匿名加工情報を作成して自ら当該匿名加工情報を取り扱うに当たっては，当該匿名加工
情報の作成に用いられた個人情報に係る個人を識別するために，当該匿名加工情報を他の情報と照合してはならない。
6 （安全管理措置，苦情処理及びそれらの内容公表）
新第37条 （匿名加工情報の提供）
新第38条 （識別行為禁止）
新第39条 （安全管理措置等）
匿名加工基準に定められる内容①特定個人識別性排除及び②個人情報復元排除の基準（法36条1項関係）
・安全管理措置基準（同2項関係）・公表すべき匿名加工情報に含まれる個人に関する情報の項
目及び公表方法（同3項関係）・公表すべき，第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及び提供方法の公表方法（同4項関係）

情報法制研究会第5回シンポジウム

141

法律案
骨子案

届出義務
は削除

2017/5/20

情報法制研究会第5回シンポジウム

142
内閣官房作成法律案骨子案資料より

2-1

2017/5/20

情報法制研究会第5回シンポジウム

143

2-1

2017/5/20

情報法制研究会第5回シンポジウム

144

2-1

2017/5/20

情報法制研究会第5回シンポジウム

145

匿名加工個人情報についての国会答弁①

衆・内閣委第4号（山口国務大臣）：趣旨「この匿名加工情報の利活用による効果としては，例えば，ポイントカードの購買履歴とかあるいは交通系のＩＣカードの乗降履歴などを複数の事業者間で分野横断的に利用するというふうなことによって新たなサービスとかイノベーションを生み出す突破口になるというふうなことが期待をされますし，このような経済効果のみならず，医療機関が保有する医療情報を活用した創薬とか臨床分野の発展，あるいはプローブ情報，これはセンサーで，先ほどＩｏＴというようなお話もありましたが，この情報を活用したより精緻な渋滞予測とか，あるいは天気情報の提供等，まさに国民生活全体の質の向上にも資するものであろうと考えております。」
衆・内閣委第4号（山口国務大臣）：委員会規則の規定内容「加工方法につきましては，委員会規則において，必要最小限，例えば，氏名を削除するとか，住所の市町村以下を削除す
るとか，生年月日を年代に置きかえる等，具体的な手法について，匿名加工情報を作成する事業者全てに共通をする内容，
項目などについて，最低限の規律を定めるというふうなことにしております。
その上で，このような個人情報保護委員会規則に加えて，事業の特性とか取り扱うデータの内容に応じた詳細なルールが必要になると考えられるわけで，これにつきましては事業者の自主的なルール等に委ねるということを想定しております。」
衆・内閣委第6号（向井審議官）「復元できないようにするとは，匿名加工情報が，通常，人の技術力等能力をもって作成のもととなった個人情報を復元しようとしても当該個人情報に戻ることのないような状態にあることをいい，どのような手法によって復元を試みたとしても本人を識別できないといった，技術的側面から全ての可能性を排除するまで求めるものではございません。
どのような加工を施せばこの状態になるかを，今後，個人情報保護委員会が規則等でその基準を定めることとしておりま
すが，例えば，作成のもととなる個人情報と個別に関連づけられているＩＤ等の識別子を削除すること，それから，匿名加工
情報データベース等に含まれる複数者間のデータ値を入れかえること，あるいは一定のノイズを付加すること等の一般的な手法を定めることを想定してございます。
さらに，これらの手法により実際にどのような加工を具体的に行うのかにつきましては，それぞれのサービスの特性，あるいは，取り扱う個人情報，匿名加工情報の内容に応じ，個人情報保護指針等による事業の実態を踏まえた自主的なルールに委ねることとしており，これらにおいて例示等が示されるものと考えております。」
2017/5/20

情報法制研究会第5回シンポジウム

146

匿名加工個人情報についての国会答弁②

衆・内閣委第6号（山口国務大臣）「これは，この規則におきましては，基本的には，特定の個人を識別することとなる項目を削除することぐらいのことを実は考えておりまして，氏名の削除云々というのはあくまで例示として申し上げたわけで，例えば，詳細な項目を一定のまとまり
や区分に置きかえることというような，いわゆる一般的な手法を定めるというふうなことにとどめておきたいというふうに思っております。
今，高井先生お話しのとおりで，いわゆる認定個人情報保護団体において，それぞれいろいろな事情がおありになろうと思うんです。それぞれの中で具体的には決めていただくということで，再度申し上げますが，私の答弁においては，今申し上げた一般的な手法の具体的な加工イメージの例として氏名の削除とか生年月日云々というふうなことに言及をしたものでございまして，個々のケースにおける加工イメージにつきましては，おのおののサービス等の特性とか，取り扱う個人情報とか
匿名加工情報の内容，これに応じて企業等の自主的なルールに委ねるというふうなことにしておりますので，寺田参考人の御懸念のようなことは，規則において具体的な内容を定めることは想定をしておりません。」
衆・内閣委第7号（向井審議官）「匿名加工情報の加工基準につきましては，特定の個人を識別することになる項目を削除，例えば，氏名の削除ですとか，
住所の市町村以下を削除，詳細な項目を一定のまとまりや区分に置きかえる，いわゆるグルーピングでございますとか，分析対象データの平均から大きく乖離するデータ群をまとめるようなもの等の，一般的な手法を定めることが考えられますが，
ただ，いずれにいたしましても，例えば，市町村でも，人口がたくさんいるところと少ないところはどうするんだとか，そういういろいろな問題が出てくると思います。
これらにつきまして，やはり重要なことは，一方で案をお示ししながら，よく産業界ないしそういうのを利用されている方の意見を聞いていくことであるというふうに思っております。
御指摘のような特定のパターンをとる人間の行動に関する特異値の取り扱いにつきましても，恐らく特異値を消すような関数を使うんだと思うんですが，そういうふうなことを規則で定めることは想定されるというふうに考えます。」

2017/5/20

情報法制研究会第5回シンポジウム

147

匿名加工個人情報についての国会答弁③

参・内閣委第10号（山口国務大臣）「やはり匿名加工情報というのは，加工することによって特定の個人を識別することができないようにするわけですから，いわゆる匿名加工情報自体は個人情報という類型から外していく，ただ，やはり照合性というのは，一〇〇％これどうなのかということもありますので，そこら辺に関しては，若干ルールとして使い方に関しては規則を決めていくということになるわけです。」「御指摘のとおりで，更に申し上げますと，さっきの答弁させていただきましたのは，今お話がありましたように，一〇〇％復元ができないかどうかということに関してはこれからの技術の進歩等々を考えると言いづらい面があるというふうなことと，例
えば事業者が復元を勝手にしてしまうというふうなことがありますので，そこら辺は法律的に担保を保つということでさっきあのような答弁をさせていただいたわけでありますが，先ほど参考人の方からお答えをしたとおりであります，基本的には。」
参・内閣委第10号（向井審議官）「匿名加工情報は個人情報に該当いたしません。」「元々，匿名加工情報の元は個人情報でございますので，個人情報であるうちは当然されますが，それが匿名加工情報になったら個人情報ではございませんので，それらの規定（15条～35条）は適用されません。」「まず，識別することができないというのは，それらの情報を合わせても特定の個人を識別する，これができない，要するに個人情報には当たらないということになる，何といいますか，識別できないということなので，個人を識別できないということでございまして，復元できないというのは，通常の手段を用いてそれらを元に戻そうとしても元の個人を識別することができない，したがって復元することができないと，そういうことでございます。」

2017/5/20

情報法制研究会第5回シンポジウム

148

匿名加工個人情報についての国会答弁④
安全管理措置のための匿名加工で匿名加工情報となるか？①

参・内閣委第10号（向井審議官）○石橋通宏君 「ということは，これ，かねてから衆議院でも質疑出ていたと思いますが，個人情報を持っている事業者が，
例えば安全上の観点から，これは今，現行でもよくある話です，匿名化をする若しくは仮名化をすると。一定の識別情報等々を取り除いて，普通取り扱うというようなことはされております。今回，それが，じゃ，匿名加工情報に当たるのではないかと。どこからどこまでが当たるのか当たらないのかということが，かなり混乱を持って議論されてきたわけです。
今の御説明でいくと，そういう場合，つまり事業者がこれは匿名加工情報を作るので規則にのっとってこれを加工しましたというのでなければ匿名加工情報には当たらないという今御説明だったので，とすると，先ほど言ったように，事業者が安全上の観点などなどから全く別の目的で加工化した，仮名化した，それは法律で言う匿名加工情報には当たらないというのが政府見解であるということでよろしいんですね。
○政府参考人（向井治紀君） 委員御指摘の，形式的に匿名化を施したというふうなもの，加工を施したという場合にまで匿名加工情報としての取扱いを求めるものではございません。
○石橋通宏君 そうすると，一体どういう場合に，どういう時点に法律上，匿名加工情報に当たるものになるのかというのは，誰がどう判断するのかということが非常に曖昧にむしろなるのではないかなということが心配されるわけです。
大臣，そうすると，この三十六条の規定にのっとって，個人情報取扱事業者が匿名加工情報を作るんだという意図を持って規則にのっとって作りましたと。そうすると，公表の義務が生じるわけですから，それをもって事業者は公表するわけですね。その場合にのみ，法律上の匿名加工情報として扱われると。つまり，事業者が，いや，これは僕は匿名加工情報を作る
意図はなくて，あくまで自社内の利用とか，あくまで安全上の対策とかでやるもの，仮名化をするものであるから，これは法律上言うところの匿名加工情報を作る意図も何もありませんと。そういう加工化というのはそれに当たらないので公表しませんから，それは，要は作成した事業者の側が公表する公表しない，意図を持って作成する作成しない，それをもってこの法
律上の三十六条の定義に当たるか当たらないかが判断されるという整理でよろしいんですか。
○政府参考人（向井治紀君） 実際に，先生御指摘のとおり，どこでまさに匿名加工情報になるのかというのが明確化されるというのは，まさに公表されたときだというふうに考えております。

2017/5/20

情報法制研究会第5回シンポジウム

149

匿名加工個人情報についての国会答弁⑤
安全管理措置のための匿名加工で匿名加工情報となるか？②

参・内閣委第10号（向井審議官）○石橋通宏君 そうすると，いいですか，整理しますが，匿名加工情報を作るという意図を持って正式な基準にのっとって作成をされたと。定義に合致するようにそれが，匿名加工情報が作られたと，事業者が意図を持ってね。それで，公表すればこの法律の匿名加工情報，第二節の規定に照らし合わせてそれが適用されるという整理でよろしいということなので，そうでないもの，そういう意図を結果的に，結果的にですよ，事業者がそういう意図がなかった，基準にものっとっていない，でも結果的に個人情報を何らかの仮名化なり匿名化の加工をしたら，条文には合致するように，要は識別できない，復元もできな
い状態になってしまったんだけれども，これは，いや，私はそういう意図で作ってないですから，だから公表もしませんよという，それは法律上には問題にならないという整理でよろしいですね。向井審議官，もう一回そこだけ確認。
○政府参考人（向井治紀君） 御指摘の場合につきましては，およそ利活用なされていないものでございまして，特にそれによって権利侵害だとか起こる問題ではございませんので，基本的にはそういうふうな場合に公表する必要はないものと考えております。
○石橋通宏君 そこが恐らくこれまで大変混乱して議論されてきた部分ではないかなと思いますので，今御答弁をいただきましたので，改めて三十六条の意味，匿名加工情報，法律上の匿名加工情報に当たるものがどのようなものなのであるかということについて整理をいただいたんだと思います。つまり，事業者がこの法律上の規定にのっとって意図を持って作成した，そして，だからこそ公表をしたと，その場合に，一般的には法律上の匿名加工情報に当たるので，そうでないものについては当たらないから，それは今後とも個人情報として個人情報の規定が適用をされ続けるという整理だったと思いますので，そこを確認をさせていただきたいと思います。
そうすると，もう一つの問題が生じてきますね。そうすると，事業者が個人情報を加工して，匿名加工情報を作ったと。ルール，基準にのっとって作りましたと。しかし，例えばそれが不十分な匿名化だったというふうになるとしましょう。つまり，基準にのっとって作ったつもりだったんだけれども，実はそれが復元可能だった，その場合には，それは基準に照らし合わせて
適切ではないから，匿名加工情報にはならないんですか。つまり，不十分なので，つまり識別可能だったり復元可能だったりするから，それは，事業者はそのつもりで加工してそう公表したんだけれども，でも要件は実は満たしていないから匿名加
工情報にはならない，つまりそれはいまだに個人情報という扱いになるんですか。
○政府参考人（向井治紀君） 御指摘のとおりでございます。
2017/5/20

情報法制研究会第5回シンポジウム

150

匿名加工個人情報についての国会答弁⑥
安全管理措置のための匿名加工で匿名加工情報となるか？③

参・内閣委第10号（向井審議官）○石橋通宏君 それはどこの段階で気付くんでしょうね。
例えば，匿名加工情報だと思って匿名加工情報を作りました，公表しました，でも実はそれが不十分でした。つまり，識別できちゃう，容易照合性があっちゃった。でも，事業者は，匿名加工情報，つまりもう容易照合性がなくなったものとして扱って公表もしているので，先ほど大臣言われたとおり，自由に活用するわけです。自由に活用されちゃった。そうしたら，後になって，いや，十分じゃなかったじゃないか，匿名加工情報，これ容易照合性があるじゃないかといったときに，だからそれは個人情報なんだといっても，これは後の祭りにならないですか。それ，どうやって整理するんですか。
○政府参考人（向井治紀君） 御指摘の場合につきましては個人情報という取扱いになりますので，個人情報の不適切な第三者提供ということに当たるということになろうかと思います。その場合には個人情報保護委員会からの指導，命令等が起こるものと思っております。
その端緒といたしましては，そういう公表されているものを個人情報保護委員会がチェックするというのもございましょうし，
個人の方からのいろんな苦情等を端緒とする場合もあるんじゃないかというふうに考えております。
○石橋通宏君 これ確認ですけど，先ほど大臣もちらっとおっしゃいましたが，これ，匿名加工情報というのは，作成する際に元々の個人情報の所有者に同意は要りませんね。第三者提供するときも目的外利用するときも，匿名加工情報ということ
でいけば何の要求もありませんね。しかも，トレーサビリティー，今回，個人情報の点ではトレーサビリティーというのを強化をしました。でも，匿名加工情報にはトレーサビリティーありませんね。唯一の要件は，これは匿名加工情報であるということをきちんと明確化するということだけですね。それでよろしいですね。
○政府参考人（向井治紀君） 御指摘のとおりでございます。

2017/5/20

情報法制研究会第5回シンポジウム

151

匿名加工個人情報についての国会答弁⑦
安全管理措置のための匿名加工で匿名加工情報となるか？④

参・内閣委第10号（向井審議官）○石橋通宏君 そうすると，先ほど向井さん，いや，それは，不十分なやつは個人情報だから，それは個人情報の規定が当たるので，個人情報をその要件に従わないままやったということで指導の対象になる，罰せられるという話だと思いますが。
しかし，一旦，匿名加工情報として，今申し上げたように，本人の同意も要らない，目的外利用の通知も要らない，何にも要らないわけです。自由に使えるのが今回，匿名加工情報の趣旨ですからね。とすると，もう自由に流通しているわけです。
間に幾つもの業者がひょっとしたら入ってしまうかもしれないし，それが実際に様々な新たなサービス提供なり目的で使われているかもしれませんね。で，どこかの段階で，いやいや，これ照合性あるじゃないかといって気付いたときに，それで元々誰だといったってトレースできないんでしょう。どうやってそれを元々のところまでトレースして罰するんですか。
○政府参考人（向井治紀君） 匿名加工情報としてやる場合は公表いたしますので，公表元がまず，そこがその情報が不十分だという，そこの元は多分分かるんだろうと思います。それがばあっと広まった場合にどうかというのは，御指摘のとおりでございます。
したがいまして，匿名化あるいは復元の可能性をなくすための加工方法につきましては，できるだけそのような誤解の生じないようなガイドラインないし，あるいは認定保護団体の指針等を作っていく必要があるのではないかというふうに考えております。

2017/5/20

情報法制研究会第5回シンポジウム

152

匿名加工情報の作成の方法に関する基準（規則）（匿名加工情報の作成の方法に関する基準）
第19条 法第三十六条第一項の個人情報保護委員会規則で定める基準は，次のとおりとする。

一 個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること（当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
二 個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
三 個人情報と当該個人情報に措置を講じて得られる情報とを連結する符号（現に個人情報取扱事業者において取り扱う情報を相互に連結する符号に限る。）を削除すること（当該符号を復元することのできる規則性を有しない方法により当該個人情報と当該個人情報に措置を講じて得られる情報を連結することができない符号に置き換えることを含む。）。
四 特異な記述等を削除すること（当該特異な記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
五 前各号に掲げる措置のほか，個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等との差異その他の当該個人情報データベース等の性質を勘案し，その結果を踏まえて適切な措置を講ずること。

2017/5/20

情報法制研究会第5回シンポジウム

153

加工方法等情報に係る安全管理措置基準等（規則）（加工方法等情報に係る安全管理措置の基準）
第20条 法第三十六条第二項の個人情報保護委員会規則で定める基準は，次のとおりとする。
一 加工方法等情報（匿名加工情報の作成に用いた個人情報から削除した記述等及び個人識別符号並びに法第三十六条
第一項の規定により行った加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。）をいう。以下この条において同じ。）を取り扱う者の権限及び責任を明確に定めること。
二 加工方法等情報の取扱いに関する規程類を整備し，当該規程類に従って加工方法等情報を適切に取り扱うとともに，その取扱いの状況について評価を行い，その結果に基づき改善を図るために必要な措置を講ずること。
三 加工方法等情報を取り扱う正当な権限を有しない者による加工方法等情報の取扱いを防止するために必要かつ適切な措置を講ずること。
（個人情報取扱事業者による匿名加工情報の作成時における公表）
第21条 法第三十六条第三項の規定による公表は，匿名加工情報を作成した後，遅滞なく，インターネットの利用その他の
適切な方法により行うものとする。
２ 個人情報取扱事業者が他の個人情報取扱事業者の委託を受けて匿名加工情報を作成した場合は，当該他の個人情報取扱事業者が当該匿名加工情報に含まれる個人に関する情報の項目を前項に規定する方法により公表するものとする。この場合においては，当該公表をもって当該個人情報取扱事業者が当該項目を公表したものとみなす。
（個人情報取扱事業者による匿名加工情報の第三者提供時における公表等）
第22条 法第三十六条第四項の規定による公表は，インターネットの利用その他の適切な方法により行うものとする。
２ 法第三十六条第四項の規定による明示は，電子メールを送信する方法又は書面を交付する方法その他の適切な方法により行うものとする。
（匿名加工情報取扱事業者による匿名加工情報の第三者提供時における公表等）
第23条 前条第一項の規定は，法第三十七条の規定による公表について準用する。
２ 前条第二項の規定は，法第三十七条の規定による明示について準用する。

2017/5/20

情報法制研究会第5回シンポジウム

154

GL匿名加工情報編
3‐2匿名加工情報の適正な加工

個人情報取扱事業者は，匿名加工情報（匿名加工情報データベース等を構成するものに限る（※1）。以下同じ。）を作成するとき（※2）は，特定の個人を識別できないように，かつ，その作成に用いる個人情報を復元できないようにするために，規則第19条各号に定める基準に従って，当該個人情報を加工しなければならない。なお，「個人情報保護委員会規則で定める基準に従い，当該個人情報を加工」するためには，加工する情報の性質に応じて，規則第19条各号に定める加工基準を満たす必要がある。
（※1）匿名加工情報の取扱いに係る義務（法第36条～第39条）は，匿名加工情報データベース等を構成する匿名加工情報に課されるものであり，いわゆる散在情報となる，匿名加工情報データベース等を構成しない匿名加工情報の取扱いに係る義務は課されていない。
（※2）「作成するとき」は，匿名加工情報として取り扱うために，当該匿名加工情報を作成するときのことを指す。したがって，
例えば，安全管理措置の一環として氏名等の一部の個人情報を削除（又は他の記述等に置き換え）した上で引き続き個人情報として取り扱う場合，あるいは統計情報を作成するために個人情報を加工する場合等については，匿名加工情報を「作成するとき」には該当しない。

2017/5/20

情報法制研究会第5回シンポジウム

155

GL匿名加工情報編
3‐2-3情報を相互に連結する符号の削除

個人情報取扱事業者が個人情報を取り扱う上で，例えば，安全管理の観点から取得した個人情報を分散管理等しようとするために，当該個人情報を分割あるいは全部又は一部を複製等した上で，当該個人情報に措置を講じて得られる情報を個
人情報と相互に連結するための符号としてID等を付していることがある。このようなIDは，個人情報と当該個人情報に措置を講じて得られる情報を連結するために用いられるものであり，特定の個人の識別又は元の個人情報の復元につながり得ることから，加工対象となる個人情報から削除又は他の符号への置き換えを行わなければならない。
個人情報と当該個人情報に措置を講じて得られる情報を連結する符号のうち，「現に個人情報取扱事業者において取り扱う情報（※1）を相互に連結する符号」がここでの加工対象となる。具体的には，ここで対象となる符号は，匿名加工情報を作成しようとする時点において，実際に取り扱う情報を相互に連結するように利用されているものが該当する。例えば，分散管理のためのIDとして実際に使われているものであれば，管理用に附番されたIDあるいは電話番号等もこれに該当する。
なお，他の符号に置き換える場合は，元の符号を復元できる規則性を有しない方法でなければならない。
【想定される加工の事例】
事例 1）サービス会員の情報について，氏名等の基本的な情報と購買履歴を分散管理し，それらを管理用IDを付すことにより連結している場合，その管理用IDを削除する。
事例2）委託先へ個人情報の一部を提供する際に利用するために，管理用IDを付すことにより元の個人情報と提供用に作成した情報を連結している場合，当該管理用IDを仮ID（※2）に置き換える。
（※1）「現に個人情報取扱事業者において取り扱う情報」とは，匿名加工情報を作成する時点において取り扱われている情報のことを指し，これから作成する匿名加工情報は含まれない。
（※2）仮IDを付す際の注意点については，3-2-1（特定の個人を識別することができる記述等の削除）の（※）を参照のこと。

2017/5/20

情報法制研究会第5回シンポジウム

156

GL匿名加工情報編
3‐2-4特異な記述等の削除

一般的にみて，珍しい事実に関する記述等又は他の個人と著しい差異が認められる記述等については，特定の個人の識別又は元の個人情報の復元につながるおそれがあるものである。そのため，匿名加工情報を作成するに当たっては，特異な記述等について削除又は他の記述等への置き換えを行わなければならない。
ここでいう「特異な記述等」とは，特異であるがために特定の個人を識別できる記述等に至り得るものを指すものであり，他の個人と異なるものであっても特定の個人の識別にはつながり得ないものは該当しない。実際にどのような記述等が特異であるかどうかは，情報の性質等を勘案して，個別の事例ごとに客観的に判断する必要がある。他の記述等に置き換える
場合は，元の記述等を復元できる規則性を有しない方法による必要がある。例えば，特異な記述等をより一般的な記述等に置き換える方法もあり得る。
なお，規則第19条第4号の対象には，一般的なあらゆる場面において特異であると社会通念上認められる記述等が該当する。他方，加工対象となる個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等とで著しい差異がある場合など個人情報データベース等の性質によるものは同第 5 号において必要な措置が求められることとなる。
【想定される加工の事例】
事例1）症例数の極めて少ない病歴を削除する。
事例2）年齢が「116歳」という情報を「90歳以上」に置き換える。

2017/5/20

情報法制研究会第5回シンポジウム

157

GL匿名加工情報編
3‐2-5その他の措置
匿名加工情報を作成する際には，規則第19条第1号から第4号までの措置をまず講ずることで，特定の個人を識別できず，かつ当該個人情報に復元できないものとする必要がある。
しかしながら，加工対象となる個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等とで著しい差異がある場合など，加工の元となる個人情報データベース等の性質によっては，
規則第19条第1号から第 4号までの加工を施した情報であっても，一般的にみて，特定の個人を識別することが可能である
状態あるいは元の個人情報を復元できる状態のままであるといえる場合もあり得る。
そのような場合に対応するため，上記の措置のほかに必要となる措置がないかどうか勘案し，必要に応じて，別表1（匿名
加工情報の加工に係る手法例）の手法などにより，適切な措置を講じなければならない。
なお，加工対象となる個人情報データベース等の性質によって加工の対象及び加工の程度は変わり得るため，どの情報をどの程度加工する必要があるかは，加工対象となる個人情報データベース等の性質も勘案して個別具体的に判断する必要がある。
特に，購買履歴，位置に関する情報などを含む個人情報データベース等において反復して行われる行動に関する情報が含まれる場合には，これが蓄積されることにより，個人の行動習慣が分かるような場合があり得る。そのような情報のうち，その情報単体では特定の個人が識別できるとは言えないものであっても，蓄積されたこと等によって特定の個人の識別又は元の個人情報の復元につながるおそれがある部分については，適切な加工を行わなければならない。
【想定される加工の事例】
事例1）移動履歴を含む個人情報データベース等を加工の対象とする場合において，自宅や職場などの所在が推定できる
位置情報（経度・緯度情報）が含まれており，特定の個人の識別又は元の個人情報の復元につながるおそれがある場合に，推定につながり得る所定範囲の位置情報を削除する。（項目削除／レコード削除／セル削除）
事例2）ある小売店の購買履歴を含む個人情報データベース等を加工の対象とする場合において，当該小売店での購入者が極めて限定されている商品の購買履歴が含まれており，特定の個人の識別又は元の個人情報の復元につながるおそれがある場合に，具体的な商品情報（品番・色）を一般的な商品カテゴリーに置き換える。
（一般化）
事例3）小学校の身体検査の情報を含む個人情報データベース等を加工の対象とする場合において，ある児童の身長が170㎝という他の児童と比べて差異が大きい情報があり，特定の個人の識別又は元の個人情報の復元につながるおそれがある場合に，身長が150cm以上の情報について「150㎝以上」という情報に置き換える。
（トップコーディング）
2017/5/20

情報法制研究会第5回シンポジウム

158

GL匿名加工情報編
3‐2匿名加工情報の適正な加工

個人情報取扱事業者は，匿名加工情報（匿名加工情報データベース等を構成するものに限る（※1）。以下同じ。）を作成するとき（※2）は，特定の個人を識別できないように，かつ，その作成に用いる個人情報を復元できないようにするために，規則第19条各号に定める基準に従って，当該個人情報を加工しなければならない。なお，「個人情報保護委員会規則で定める基準に従い，当該個人情報を加工」するためには，加工する情報の性質に応じて，規則第19条各号に定める加工基準を満たす必要がある。
（※1）匿名加工情報の取扱いに係る義務（法第36条～第39条）は，匿名加工情報データベース等を構成する匿名加工情報に課されるものであり，いわゆる散在情報となる，匿名加工情報データベース等を構成しない匿名加工情報の取扱いに係る義務は課されていない。
（※2）「作成するとき」は，匿名加工情報として取り扱うために，当該匿名加工情報を作成するときのことを指す。したがって，
例えば，安全管理措置の一環として氏名等の一部の個人情報を削除（又は他の記述等に置き換え）した上で引き続き個人情報として取り扱う場合，あるいは統計情報を作成するために個人情報を加工する場合等については，匿名加工情報を「作成するとき」には該当しない。

2017/5/20

情報法制研究会第5回シンポジウム

159

NII報告書
2 1号（規則19条1号）(2) 容易照合性によって特定の個人を識別することができる記述等となるものについて

・登録情報と購買履歴を保有しており，購買履歴を切り離して加工対象情報とする場合，詳
細な購買履歴は多くの場合，個人情報（詳細な購買履歴は一意であるから）・「特定の個人を識別できる記述等」には容易照合性によって特定の個人を識別することができることとなるものについては1号ではなく5号の問題とする①（個人情報の定義に存在する）括弧書きが存在しないため②事業者内の参照情報の有無のみを問題とするのではなく，参照情報がどの程度容易に入手できるかを検討すべきであるから
・「単項目加工」と「複項目加工」という区分を導入
・「仮ID」について①作成方法 鍵付きハッシュ関数を用いる方法と，番号列を用いる方法②留意点として， 復元の問題，並び順の問題，同一事業者複数回提供，複数事業者提供の問題をあげる2017/5/20

情報法制研究会第5回シンポジウム

160

事務局レポート
4.1.1. 1号（規則19条1号）

具体的な加工方法としては、ガイドラインの事例にあるように、例えば、住所であれば「○○市」まで（人口の多い都心部であれば、「○○区」まで）、生年月日であれば「生年月」まで、あるいは「生年」までといったように、情報の項目それぞれについて一定程度曖昧化されるように部分的な削除や置換えを行う考え方が想定される。また、住所・生年月日・性別等の複数の項目の組合せで一意にならないように各項目の加工レベルを調整する考え方も想定される。
また、携帯電話番号や電子メールアドレス、SNS等のID、クレジットカード番号等は、法人の所有する番号との区別がつかない等の理由により特定の個人を識別し得る符号ではないとして、個人識別符号からは除外されているものではあるが、一般的に本人と密接に関係する情報であり、事業者において単体又は他の情報との組合せによりこれらの情報が特定の個人のものとして認識されている場合については、個人情報として扱われるべきものである。
特に、これらの情報については、多数の事業者においてそれぞれユーザーから取得されていることを踏まえると、他の事業者が保有している個人情報との間で識別子的な機能も有することから、部分的な削除だけでは、残った情報を起点として個人の特定につながる可能性も高くなると思われるため、基本的には、全部削除することが望ましい。

2017/5/20

情報法制研究会第5回シンポジウム

161

GL匿名加工情報編
3‐2-3情報を相互に連結する符号の削除

個人情報取扱事業者が個人情報を取り扱う上で，例えば，安全管理の観点から取得した個人情報を分散管理等しようとするために，当該個人情報を分割あるいは全部又は一部を複製等した上で，当該個人情報に措置を講じて得られる情報を個
人情報と相互に連結するための符号としてID等を付していることがある。このようなIDは，個人情報と当該個人情報に措置を講じて得られる情報を連結するために用いられるものであり，特定の個人の識別又は元の個人情報の復元につながり得ることから，加工対象となる個人情報から削除又は他の符号への置き換えを行わなければならない。
個人情報と当該個人情報に措置を講じて得られる情報を連結する符号のうち，「現に個人情報取扱事業者において取り扱う情報（※1）を相互に連結する符号」がここでの加工対象となる。具体的には，ここで対象となる符号は，匿名加工情報を作成しようとする時点において，実際に取り扱う情報を相互に連結するように利用されているものが該当する。例えば，分散管理のためのIDとして実際に使われているものであれば，管理用に附番されたIDあるいは電話番号等もこれに該当する。
なお，他の符号に置き換える場合は，元の符号を復元できる規則性を有しない方法でなければならない。
【想定される加工の事例】
事例 1）サービス会員の情報について，氏名等の基本的な情報と購買履歴を分散管理し，それらを管理用IDを付すことにより連結している場合，その管理用IDを削除する。
事例2）委託先へ個人情報の一部を提供する際に利用するために，管理用IDを付すことにより元の個人情報と提供用に作成した情報を連結している場合，当該管理用IDを仮ID（※2）に置き換える。
（※1）「現に個人情報取扱事業者において取り扱う情報」とは，匿名加工情報を作成する時点において取り扱われている情報のことを指し，これから作成する匿名加工情報は含まれない。
（※2）仮IDを付す際の注意点については，3-2-1（特定の個人を識別することができる記述等の削除）の（※）を参照のこと。

2017/5/20

情報法制研究会第5回シンポジウム

162

事務局レポート
4.1.3. 3号（規則19条3号）

施行規則第19条第3号は、事業者内で、個人情報を分散管理したり、取扱いの委託等をしたりするために、分けたデータ
ベース等を相互に連結するために割り当てられているID等を削除することを求めるものである。
事業者においては、個人情報を取り扱う際の安全管理の一環や事業者間における個人情報の共同利用における管理の一形態として、図表4-1のように個人情報のデータベースを複数に分けて管理するような場合も想定される。
なお、ここでいう「連結する符号」とは、個人情報と当該個人情報に措置を講じて得られる情報とを相互に連結する符号であり、IDではなくても、実務上、他の属性情報等（例えば、電話番号や電子メールアドレス）を連結の目的で使用している場
合には、当該属性情報も「連結する符号」とみなされる。
ただし、本号はあくまでも現に連結の目的で使用されている符号を対象としたものであり、それ以外の情報については、同条第3号による削除の対象とはされていない。
なお、同条第3号による削除の対象とされている符号は、現に個人情報取扱事業者において取り扱う情報を相互に連結す
る符号に限られるため、匿名加工情報への加工により新たに作成された符号を対象とするものではない。

2017/5/20

情報法制研究会第5回シンポジウム

163

GL匿名加工情報編
3‐2-4特異な記述等の削除

一般的にみて，珍しい事実に関する記述等又は他の個人と著しい差異が認められる記述等については，特定の個人の識別又は元の個人情報の復元につながるおそれがあるものである。そのため，匿名加工情報を作成するに当たっては，特異な記述等について削除又は他の記述等への置き換えを行わなければならない。
ここでいう「特異な記述等」とは，特異であるがために特定の個人を識別できる記述等に至り得るものを指すものであり，他の個人と異なるものであっても特定の個人の識別にはつながり得ないものは該当しない。実際にどのような記述等が特異であるかどうかは，情報の性質等を勘案して，個別の事例ごとに客観的に判断する必要がある。他の記述等に置き換える
場合は，元の記述等を復元できる規則性を有しない方法による必要がある。例えば，特異な記述等をより一般的な記述等に置き換える方法もあり得る。
なお，規則第19条第4号の対象には，一般的なあらゆる場面において特異であると社会通念上認められる記述等が該当する。他方，加工対象となる個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等とで著しい差異がある場合など個人情報データベース等の性質によるものは同第 5 号において必要な措置が求められることとなる。
【想定される加工の事例】
事例1）症例数の極めて少ない病歴を削除する。
事例2）年齢が「116歳」という情報を「90歳以上」に置き換える。

2017/5/20

情報法制研究会第5回シンポジウム

164

GL匿名加工情報編
3‐2-5その他の措置
匿名加工情報を作成する際には，規則第19条第1号から第4号までの措置をまず講ずることで，特定の個人を識別できず，かつ当該個人情報に復元できないものとする必要がある。
しかしながら，加工対象となる個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等とで著しい差異がある場合など，加工の元となる個人情報データベース等の性質によっては，
規則第19条第1号から第 4号までの加工を施した情報であっても，一般的にみて，特定の個人を識別することが可能である
状態あるいは元の個人情報を復元できる状態のままであるといえる場合もあり得る。
そのような場合に対応するため，上記の措置のほかに必要となる措置がないかどうか勘案し，必要に応じて，別表1（匿名
加工情報の加工に係る手法例）の手法などにより，適切な措置を講じなければならない。
なお，加工対象となる個人情報データベース等の性質によって加工の対象及び加工の程度は変わり得るため，どの情報をどの程度加工する必要があるかは，加工対象となる個人情報データベース等の性質も勘案して個別具体的に判断する必要がある。
特に，購買履歴，位置に関する情報などを含む個人情報データベース等において反復して行われる行動に関する情報が含まれる場合には，これが蓄積されることにより，個人の行動習慣が分かるような場合があり得る。そのような情報のうち，その情報単体では特定の個人が識別できるとは言えないものであっても，蓄積されたこと等によって特定の個人の識別又は元の個人情報の復元につながるおそれがある部分については，適切な加工を行わなければならない。
【想定される加工の事例】
事例1）移動履歴を含む個人情報データベース等を加工の対象とする場合において，自宅や職場などの所在が推定できる
位置情報（経度・緯度情報）が含まれており，特定の個人の識別又は元の個人情報の復元につながるおそれがある場合に，推定につながり得る所定範囲の位置情報を削除する。（項目削除／レコード削除／セル削除）
事例2）ある小売店の購買履歴を含む個人情報データベース等を加工の対象とする場合において，当該小売店での購入者が極めて限定されている商品の購買履歴が含まれており，特定の個人の識別又は元の個人情報の復元につながるおそれがある場合に，具体的な商品情報（品番・色）を一般的な商品カテゴリーに置き換える。
（一般化）
事例3）小学校の身体検査の情報を含む個人情報データベース等を加工の対象とする場合において，ある児童の身長が170㎝という他の児童と比べて差異が大きい情報があり，特定の個人の識別又は元の個人情報の復元につながるおそれがある場合に，身長が150cm以上の情報について「150㎝以上」という情報に置き換える。
（トップコーディング）
2017/5/20

情報法制研究会第5回シンポジウム

165

NII報告書
6 5号（規則19条5号）(2) 容易照合性によって特定の個人を識別することができる記述等となるものについて「適切な措置」について
・「参照情報」「参照リスク」という概念を導入
・参照リスクが高い場合 ①一意性を失わせる又は②参照情報との参照を困難にする
・潜在的参照リスクが高い場合 ①仮IDの留意点 ②過去分との一体的評価

2017/5/20

情報法制研究会第5回シンポジウム

166

事務局レポート4.1.5. 5号（規則19条5号）【不変性の高いID、多数の事業者で取得されるサービスID等】
不変性の高いIDとして同条第５号で検討するものは、個人に密接に関係しかつ当該個人が容易に変更することができない外部から観察可能な符号のうち(a)個人識別符号及び(b)それ以外の単体で個人情報になるものを除いたものをいう。具体的には、スマートフォンのように個人がある程度の期間使用しかつ日常的に携行する機器のID等がこれに当たる。
不変性の高いIDは、それをキーとする名寄せが可能であり、再識別につながる可能性のある情報と考えることができることから、原則としてこれを削除することが望ましい。
【時刻に関する情報について】
購買履歴やクレジットカードの利用履歴、移動履歴等の情報は、基本的に詳細な時刻情報とともにデータベースに記録されるのが一般的である。
例えば、店舗情報を含む購買履歴に関するデータベースからは、ある日時に買い物をした店舗を特定することができる。一方、移動履歴に関するデータベースからも、ある日時に滞在した場所に関する位置情報を確認することができる。この両者のデータベースを照合した場合、店舗の場所からおおよその緯度・経度（位置情報）を推定することが可能であるため、両者のデータベースが日時分秒まで記録されている場
合には、両方のデータベースに含まれる同一人物の同定を比較的容易に行うことができる可能性がある。
つまり、詳細な時刻情報は、位置や場所を表す情報とセットになることで、異なるデータセット間における共通の識別子として機能し得る。
したがって、詳細な時刻情報を含むデータベースを匿名加工情報として第三者提供をする場合には、時刻情報の必要性について確認した上で、データの性質に応じて、時刻と位置（場所）の情報の紐づけから特定の個人を識別するリスク等を低減するため、時刻情報を一定程度曖昧化したり、ノイズを加えて任意の日時や時刻に置き換えたりすることを検討する等、他のデータセットに含まれる時刻情報と紐づくリスクを低減することが望ましい。
2017/5/20

情報法制研究会第5回シンポジウム

167

事務局レポート4.1.5. 5号（規則19条5号）【位置情報（移動履歴）について】
一般的に、位置情報それ自体のみでは個人情報には該当しないものではあるが、ある個人に関する位置
情報が連続的に蓄積されるとその人の移動履歴を表し得る。特に、深夜に滞在している地点や日中に滞在している地点を表す位置情報からは、その移動履歴に係る本人の自宅や勤務先等の個人に関する基
本的な属性を推測することも可能である。蓄積された位置情報や移動履歴等から自宅住所及び勤務先等の特定の個人に密接に結びつき得る情報が推定されるおそれがある場合には、当該情報等を用いて特定の個人の識別が可能となるリスクを十分考慮した上で移動履歴について加工を行うことが望ましい。
また、移動履歴は長くなるほど他人と重複する可能性が低く一意な情報となるという特徴のほか、都市部と地方、昼間と夜間等、環境や状況に応じて同じ範囲から取得できる位置情報の数が変わる、といった特徴もあるため、位置情報や移動履歴の性質を考慮した上で、措置を講ずることが望ましい。

2017/5/20

情報法制研究会第5回シンポジウム

168

（別表1）匿名加工情報の加工に係る手法例（※）（※）匿名加工情報の作成に当たっての一般的な加工手法を例示したものであり，その他の手法を用いて適切に加工することを妨げるものではない。
手法名
項目削除／レコード削除／セル
削除

一般化

解説
加工対象となる個人情報データベース等に含まれる個人情報の記述等を削除するもの。
例えば，年齢のデータを全ての個人情報から削除すること（項目削除），特定の個人の情報を全て削除すること（レコード削除），又は特定の個人の年齢のデータを削除すること（セル削除）。
加工対象となる情報に含まれる記述等について，上位概念若しくは数値に置き換えること又は数値を四捨五入などして丸めることとするもの。
例えば，購買履歴のデータで「きゅうり」を「野菜」に置き換えること。

トップ（ボトム）コーディング

ミクロアグリゲーション

データ交換（スワップ）

ノイズ（誤差）の付加
疑似データ生成2017/5/20

加工対象となる個人情報データベース等に含まれる数値に対して，特に大きい又は小さい数
値をまとめることとするもの。
例えば，年齢に関するデータで，80歳以上の数値データを「80歳以上」というデータにまとめること。
加工対象となる個人情報データベース等を構成する個人情報をグループ化した後，グループの代表的な記述等に置き換えることとするもの。
加工対象となる個人情報データベース等を構成する個人情報相互に含まれる記述等を（確率的に）入れ替えることとするもの。
一定の分布に従った乱数的な数値を付加することにより，他の任意の数値へと置き換えることとするもの。
人工的な合成データを作成し，これを加工対象となる個人情報データベース等に含ませることとするもの。

情報法制研究会第5回シンポジウム

169

GL匿名加工情報編
3‐4 匿名加工情報の作成時の公表

個人情報取扱事業者は，匿名加工情報を作成したとき（※1）は，匿名加工情報の作成後遅滞なく（※2），インターネット等を利用し，当該匿名加工情報に含まれる個人に関する情報の項目を公表（※3）しなければならない。
また，個人に関する情報の項目が同じである匿名加工情報を同じ手法により反復・継続的に作成する場合には，最初の匿
名加工情報を作成して個人に関する項目を公表する際に，作成期間又は継続的な作成を予定している旨を明記するなど継続的に作成されることとなる旨を明らかにしておくことにより，その後に作成される匿名加工情報に係る公表については先の公表により行われたものと解される。
なお，他の個人情報取扱事業者との委託契約により個人データの提供を受けて匿名加工情報を作成する場合など委託により匿名加工情報を作成する場合は，委託元において当該
匿名加工情報に含まれる個人に関する情報の項目を公表するものとする。
【個人に関する情報の項目の事例】
事例）「氏名・性別・生年月日・購買履歴」のうち，氏名を削除した上で，生年月日の一般化，購買履歴から特異値等を削除する等加工して，「性別・生年・購買履歴」に関する匿名加工情報として作成した場合の公表項目は，「性別」，「生年」，「購買履歴」である。
（※1）ここで「匿名加工情報を作成したとき」とは，匿名加工情報として取り扱うために，個人情報を加工する作業が完了した場合のことを意味する。すなわち，あくまで個人情報の安全管理措置の一環として一部の情報を削除しあるいは分割して保存・管理する等の加工をする場合又は個人情報から統計情報を作成するために個人情報を加工する場合等を含むものではない。
また，匿名加工情報を作成するために個人情報の加工をする作業を行っている途上であるものの作成作業が完了していない場合には，加工が不十分であること等から匿名加工情報として取り扱うことが適切ではない可能性もあるため「匿名加工情報を作成したとき」とは位置付けられない。
（※2）ここでの「遅滞なく」とは，正当かつ合理的な期間であれば公表が匿名加工情報を作成した直後でなくても認められることを意味する。ただし，少なくとも匿名加工情報の利用又は第三者提供をする前に匿名加工情報を作成したことを一般に十分に知らせるに足る期間を確保するものでなければならない。許容される具体的な期間は，業種及びビジネスの態様によっても異なり得るため，個別具体的に判断する必要がある。
（※3）「公表」とは，広く一般に自己の意思を知らせること（不特定多数の人々が知ることができるように発表すること）をいう。
詳細は，通則ガイドライン「2-11（公表）」を参照のこと。
2017/5/20170
情報法制研究会第5回シンポジウム

2 委員会ガイドライン
5）漏えい等の対応

2017/5/20

情報法制研究会第5回シンポジウム

171制定前の概要資料
2017/5/20

情報法制研究会第5回シンポジウム

172個人データの漏えい等の事案が発生した場合等の対応について

１．対象とする事案
本告示は，次の（1）から（3）までのいずれかに該当する事案（以下「漏えい等事案」という。）を対象とする。
（1） 個人情報取扱事業者が保有する個人データ（特定個人情報に係るものを除く。）の漏えい，滅失又は毀損（2）個人情報取扱事業者が保有する加工方法等情報（個人情報の保護に関する法律施行規則（平成 28 年 10 月５日個人
情報保護委員会規則第３号）第 20 条第１号に規定する加工方法等情報をいい、特定個人情報に係るものを除く。）の漏え
いより行った加工の方法に関する情報（以下「加工方法等情報」という。）の漏えい（3） 上記（1）又は（2）のおそれ
２．漏えい等事案が発覚した場合に講ずべき措置
個人情報取扱事業者は，漏えい等事案が発覚した場合は，次の（1）から（6）に掲げる事項について必要な措置を講ずることが望ましい。
（1）事業者内部における報告及び被害の拡大防止
責任ある立場の者に直ちに報告するとともに，漏えい等事案による被害が発覚時よりも拡大しないよう必要な措置を講ずる。
（2）事実関係の調査及び原因の究明
漏えい等事案の事実関係の調査及び原因の究明に必要な措置を講ずる。
（3）影響範囲の特定
上記(2)で把握した事実関係による影響の範囲を特定する。
（4）再発防止策の検討及び実施
上記（2）の結果を踏まえ，漏えい等事案の再発防止策の検討及び実施に必要な措置を速やかに講ずる。
（5）影響を受ける可能性のある本人への連絡等
漏えい等事案の内容等に応じて，二次被害の防止，類似事案の発生防止等の観点から，事実関係等について，速やかに本人へ連絡し，又は本人が容易に知り得る状態に置く。
（6）事実関係及び再発防止策等の公表
漏えい等事案の内容等に応じて，二次被害の防止，類似事案の発生防止等の観点から，事実関係及び再発防止策等について，速やかに公表する。
2017/5/20

情報法制研究会第5回シンポジウム

173個人データの漏えい等の事案が発生した場合等の対応について

３．個人情報保護委員会等への報告
個人情報取扱事業者は、漏えい等事案が発覚した場合は、その事実関係及び再発防止策等について、個人情報保護委員会等に対し、次のとおり速やかに報告するよう努める。
（1）報告の方法
原則として、個人情報保護委員会に対して報告する。ただし、法第 47 条第１項に規定する認定個人情報保護団体の対象事業者である個人情報取扱事業者は、当該認定個人情報保護団体に報告する。
上記にかかわらず、法第 44 条第１項に基づき法第 40 条第１項に規定する個人情報保護委員会の権限（報告徴収及び立入検査）が事業所管大臣に委任されている分野における個人情報取扱事業者の報告先については、別途公表するところによる（※1）。
（※1）法第 44 条第１項に基づき法第 40 条第１項に規定する個人情報保護委員会の権限が事業所管大臣に委任されている分野の詳
細についても、別途公表するところによる。
（2）報告を要しない場合
次の①又は②のいずれかに該当する場合は、報告を要しない（※2）。
（※2）この場合も、事実関係の調査及び原因の究明並びに再発防止策の検討及び実施をはじめとする上記 2.の各対応を実施することが、同様に望ましい。
①実質的に個人データ又は加工方法等情報が外部に漏えいしていないと判断される場合（※3）（※3）なお、「実質的に個人データ又は加工方法等情報が外部に漏えいしていないと判断される場合」には、例えば、次のような場合が該当する。
・漏えい等事案に係る個人データ又は加工方法等情報について高度な暗号化等の秘匿化がされている場合
・漏えい等事案に係る個人データ又は加工方法等情報を第三者に閲覧されないうちに全てを回収した場合・漏えい等事案に係る個人データ又は加工方法等情報によって特定の個人を識別することが漏えい等事案を生じた事業者以外ではできない場合（ただし、漏えい等事案に係る個人データ又は加工方法等情報のみで、本人に被害が生じるおそれのある情報が漏えい等した場合を除く。）
・個人データ又は加工方法等情報の滅失又は毀損にとどまり、第三者が漏えい等事案に係る個人データ又は加工方法等情報を閲覧することが合理的に予測できない場合②FAX 若しくはメールの誤送信，又は荷物の誤配等のうち軽微なものの場合（※4）（※4） なお，「軽微なもの」には，例えば，次のような場合が該当する。
・FAX 若しくはメールの誤送信、又は荷物の誤配等のうち、宛名及び送信者名
以外に個人データ又は加工方法等情報が含まれていない場合

2017/5/20

情報法制研究会第5回シンポジウム

174

3 個別分野ガイドライン
1）金融・信用・債権回収業分野

2017/5/20

情報法制研究会第5回シンポジウム

175

金融・信用・債権管理回収業分野ガイドラインの特徴• 金融分野における個人情報保護に関するガイドライン– 金融分野における個人情報保護に関するガイドラインの安全管理措置等についての実務指針• 信用分野における個人情報保護に関するガイドライン• 債権管理回収業分野における個人情報保護に関するガイドライン• いずれも事業法（金融商品取引法，銀行法，貸金業法，割賦販売法（クレジットカード番号含む）等）の規定を取り込まない。
• 3ガイドラインは相当程度共通になるように工夫が見られる（一部，差異は存在する）。
• 改正前ガイドラインに存在していた「機微情報」の概念を要配慮情報を含む概念として残したところが特徴的。

2017/5/20

情報法制研究会第5回シンポジウム

176

機微情報に関する金融，信用，債権回収業GLの定め
概念整理

個人情報
機微情報
労働組合への加盟，門地，本籍地，保健医療及び性生活（これらのうち要配慮個人情報に該当するものを除く。）に関する情報（本人，国の機関，地方公共団体，法第 76条第１項各号若しくは施行規則第６条各号に掲げる者により公開されているもの，又は，本人を目視し，若しくは撮影することにより取得するその外形上明らかなものを除く。）

要配慮個人情報2017/5/20

情報法制研究会第5回シンポジウム

177

機微情報に関する金融，信用，債権回収業GLの定め①金融分野GL
第５条 機微（センシティブ）情報
１ 金融分野における個人情報取扱事業者は，法第２条第３項に定める要配慮個人情報並びに労働組合への加盟，門地，
本籍地，保健医療及び性生活（これらのうち要配慮個人情報に該当するものを除く。）に関する情報（本人，国の機関，地方公共団体，法第 76条第１項各号若しくは施行規則第６条各号に掲げる者により公開されているもの，又は，本人を目視し，若しくは撮影することにより取得するその外形上明らかなものを除く。以下「機微（センシティブ）情報」という。）については，
次に掲げる場合を除くほか，取得，利用又は第三者提供を行わないこととする。
① 法令等に基づく場合② 人の生命，身体又は財産の保護のために必要がある場合③ 公衆衛生の向上又は児童の健全な育成の推進のため特に必要がある場合④ 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合⑤ 源泉徴収事務等の遂行上必要な範囲において，政治・宗教等の団体若しくは労働組合への所属若しくは加盟に関する従業員等の機微（センシティブ）情報を取得，利用又は第三者提供する場合⑥ 相続手続による権利義務の移転等の遂行に必要な限りにおいて，機微（センシティブ）情報を取得，利用又は第三者提供する場合⑦ 保険業その他金融分野の事業の適切な業務運営を確保する必要性から，本人の同意に基づき業務遂行上必要な範囲
で機微（センシティブ）情報を取得，利用又は第三者提供する場合⑧ 機微（センシティブ）情報に該当する生体認証情報を本人の同意に基づき，本人確認に用いる場合
２ 金融分野における個人情報取扱事業者は，機微（センシティブ）情報を，前項に掲げる場合に取得，利用又は第三者提供する場合には，同項に掲げる事由を逸脱した取得，利用又は第三者提供を行うことのないよう，特に慎重に取り扱うこととする。
３ 金融分野における個人情報取扱事業者は，機微（センシティブ）情報を，第１項に掲げる場合に取得，利用又は第三者提供する場合には，例えば，要配慮個人情報を取得するに当たっては，法第 17 条第２項に従い，あらかじめ本人の同意を得なければならないとされていることなど，個人情報の保護に関する法令等に従い適切に対応しなければならないことに留意する。
４ 金融分野における個人情報取扱事業者は，機微（センシティブ）情報を第三者へ提供するに当たっては，法第 23 条第２項（オプトアウト）の規定を適用しないこととする。なお，機微（センシティブ）情報のうち要配慮個人情報については，同項において，オプトアウトを用いることができないとされていることに留意する。
2017/5/20

情報法制研究会第5回シンポジウム

178

機微情報に関する金融，信用，債権回収業GLの定め②信用分野GL

II 法令解釈指針・事例
2 与信事業者の義務等⑵ 機微（センシティブ）情報1) 与信事業者は，法第２条第３項に定める要配慮個人情報並びに労働組合への加盟，門地，本籍地，保健医療及び性生活（これらのうち要配慮個人情報に該当するものを除く。）に関する情報（本人，国の機関，地方公共団体，法第 76 条第１項
各号若しくは施行規則第６条各号に掲げる者により公開されているもの，又は，本人を目視し，若しくは撮影することにより取得するその外形上明らかなものを除く。以下「機微（センシティブ）情報」という。）については，次に掲げる場合を除くほか，取得，利用又は第三者提供を行わないこととする。
① 法令等に基づく場合② 人の生命，身体又は財産の保護のために必要がある場合③ 公衆衛生の向上又は児童の健全な育成の推進のため特に必要がある場合④ 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合⑤ 機微（センシティブ）情報が記載されている戸籍謄本その他の本人を特定できる書類を本人特定のために取得，利用又は保管する場合※ 官報に掲載された破産者の情報について，当該破産者の本人確認を行うため，当該破産者の本籍地の情報を取得，利用又は保管すること等。
⑥ 相続手続による権利義務の移転等の遂行に必要な限りにおいて，機微（センシティブ）情報を取得，利用又は第三者提供する場合⑦ 機微（センシティブ）情報に該当する生体認証情報を本人の同意に基づき，本人確認に用いる場合

2017/5/20

情報法制研究会第5回シンポジウム

179

機微情報に関する金融，信用，債権回収業GLの定め③債権回収業分野GL

第４ 機微（センシティブ）情報
１ 債権回収会社は，法第２条第３項に規定する要配慮個人情報並びに労働組合への加盟，門地，本籍地，保健医療及び性生活（これらのうち要配慮個人情報に該当するものを除く。）に関する情報（本人，国の機関，地方公共団体，法第 76 条
第１項各号若しくは施行規則第６条各号に掲げる者により公開されているもの，又は，本人を目視し，若しくは撮影することにより取得するその外形上明らかなものを除く。以下「機微（センシティブ）情報」という。）については，次に掲げる場合を除く
ほか，取得，利用又は第三者提供を行わないこととする。
⑴ 法令等に基づく場合⑵ 人の生命，身体又は財産の保護のために必要がある場合⑶ 公衆衛生の向上又は児童の健全な育成の推進のため特に必要がある場合⑷ 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合⑸ 相続手続による権利義務の移転等の遂行に必要な限りにおいて，機微（センシティブ）情報を取得，利用又は第三者提供する場合⑹ 戸籍謄本その他の本人を特定することができる書類につき本人特定のために必要な場合⑺ 債権の内容の特定に必要な限りにおいて，機微（センシティブ）情報を取得，利用又は第三者提供する場合⑻ 本業及び兼業その他債権管理回収業分野の事業の適切な業務運営を確保する必要から，本人の同意に基づき業務遂行上必要な範囲で機微（センシティブ）情報を取得，利用又は第三者提供を行う場合⑼ 機微（センシティブ）情報に該当する生体認証情報を本人の同意に基づき，本人確認に用いる場合
２ 債権回収会社は，機微（センシティブ）情報を，１に掲げる場合に取得，利用又は第三者提供する場合には，１に掲げる事
由を逸脱した取得，利用又は第三者提供を行うことのないよう，特に慎重に取り扱うこととする。
３ 債権回収会社は，機微（センシティブ）情報を，１に掲げる場合に取得，利用又は第三者提供する場合には，例えば，要配慮個人情報を取得するに当たっては，法第 17 条第２項に従い，あらかじめ本人の同意を得なければならないとされていることなど，個人情報の保護に関する法令等に従い適切に対応しなければならないことに留意する。
４ 債権回収会社は，機微（センシティブ）情報を第三者へ提供するに当たっては，法第23 条第２項（オプトアウト）の規定を適用しないこととする。なお，機微（センシティブ）情報のうち要配慮個人情報については，同項において，オプトアウトを用いることができないとされていることに留意する。
2017/5/20

情報法制研究会第5回シンポジウム

180

金融

信用

債権管理回収業① 法令等に基づく場合① 法令等に基づく場合⑴ 法令等に基づく場合② 人の生命，身体又は財産の保護のために必 ② 人の生命，身体又は財産の保護のために必 ⑵ 人の生命，身体又は財産の保護のために必要がある場合要がある場合要がある場合③ 公衆衛生の向上又は児童の健全な育成の ③ 公衆衛生の向上又は児童の健全な育成の ⑶ 公衆衛生の向上又は児童の健全な育成の推進のため特に必要がある場合推進のため特に必要がある場合推進のため特に必要がある場合④ 国の機関若しくは地方公共団体又はその委 ④ 国の機関若しくは地方公共団体又はその委 ⑷ 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行する 託を受けた者が法令の定める事務を遂行する 託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合ことに対して協力する必要がある場合ことに対して協力する必要がある場合⑤ 源泉徴収事務等の遂行上必要な範囲において，政治・宗教等の団体若しくは労働組合への所属若しくは加盟に関する従業員等の機微（センシティブ）情報を取得，利用又は第三者提供する場合⑤ 機微（センシティブ）情報が記載されている戸籍謄本その他の本人を特定できる書類を本人特定のために取得，利用又は保管する場合⑹ 戸籍謄本その他の本人を特定することがで※ 官報に掲載された破産者の情報について，きる書類につき本人特定のために必要な場合
当該破産者の本人確認を行うため，当該破産者の本籍地の情報を取得，利用又は保管すること等。
⑥ 相続手続による権利義務の移転等の遂行 ⑥ 相続手続による権利義務の移転等の遂行 ⑸ 相続手続による権利義務の移転等の遂行に必要な限りにおいて，機微（センシティブ）情 に必要な限りにおいて，機微（センシティブ）情 に必要な限りにおいて，機微（センシティブ）情報を取得，利用又は第三者提供する場合
報を取得，利用又は第三者提供する場合
報を取得，利用又は第三者提供する場合⑺ 債権の内容の特定に必要な限りにおいて，機微（センシティブ）情報を取得，利用又は第三者提供する場合⑦ 保険業その他金融分野の事業の適切な業⑻ 本業及び兼業その他債権管理回収業分野
務運営を確保する必要性から，本人の同意にの事業の適切な業務運営を確保する必要から，基づき業務遂行上必要な範囲で機微（センシ
本人の同意に基づき業務遂行上必要な範囲でティブ）情報を取得，利用又は第三者提供する機微（センシティブ）情報を取得，利用又は第三場合
者提供を行う場合⑧ 機微（センシティブ）情報に該当する生体認 ⑦ 機微（センシティブ）情報に該当する生体認 ⑼ 機微（センシティブ）情報に該当する生体認証情報を本人の同意に基づき，本人確認に用証情報を本人の同意に基づき，本人確認に用証情報を本人の同意に基づき，本人確認に用2017/5/20
181
情報法制研究会第5回シンポジウム
いる場合
いる場合
いる場合

3 個別分野ガイドライン
2）総務省系①電気通信分野

2017/5/20

情報法制研究会第5回シンポジウム

182

総務省ICTサービス安心・安全研究会（第10回）平成28年12月19日

2017/5/20

情報法制研究会第5回シンポジウム

1832017/5/20

情報法制研究会第5回シンポジウム

1842017/5/20

情報法制研究会第5回シンポジウム

1852017/5/20

情報法制研究会第5回シンポジウム

1862017/5/20

情報法制研究会第5回シンポジウム

1872017/5/20

情報法制研究会第5回シンポジウム

188

「電気通信事業における個人情報保護に関するガイドライン及び解説の改正案」に対する意見募集で寄せられた御意見に対する考え方（平成29年2月）

2017/5/20

情報法制研究会第5回シンポジウム

189

「電気通信事業における個人情報保護に関するガイドライン及び解説の改正案」に対する意見募集で寄せられた御意見に対する考え方（平成29年2月）

2017/5/20

情報法制研究会第5回シンポジウム

190

「電気通信事業における個人情報保護に関するガイドライン及び解説の改正案」に対する意見募集で寄せられた御意見に対する考え方（平成29年2月）

2017/5/20

情報法制研究会第5回シンポジウム

1912017/5/20

情報法制研究会第5回シンポジウム

1922017/5/20

情報法制研究会第5回シンポジウム

1932017/5/20

情報法制研究会第5回シンポジウム

1942017/5/20

情報法制研究会第5回シンポジウム

1952017/5/20

情報法制研究会第5回シンポジウム

1962017/5/20

情報法制研究会第5回シンポジウム

197

2017/5/20

情報法制研究会第5回シンポジウム

198

3 個別分野ガイドライン
２）総務省系②放送分野

2017/5/20

情報法制研究会第5回シンポジウム

199

総務省放送を巡る諸課題に関する検討会
視聴環境分科会（第2回）平成28年12月20日

2017/5/20

情報法制研究会第5回シンポジウム

2002017/5/20

情報法制研究会第5回シンポジウム

2012017/5/20

情報法制研究会第5回シンポジウム

2022017/5/20

情報法制研究会第5回シンポジウム

2032017/5/20

情報法制研究会第5回シンポジウム

総務省放送を巡る諸課題に関する検討会
204
視聴環境分科会（第2回）平成28年12月20日

2017/5/20

情報法制研究会第5回シンポジウム

2052017/5/20

情報法制研究会第5回シンポジウム

2062017/5/20

情報法制研究会第5回シンポジウム2072017/5/20

情報法制研究会第5回シンポジウム

2082017/5/20

情報法制研究会第5回シンポジウム

総務省放送を巡る諸課題に関する検討会
209
視聴環境分科会（第2回）平成28年12月20日

2017/5/20

情報法制研究会第5回シンポジウム

2102017/5/20

情報法制研究会第5回シンポジウム211

3 個別分野ガイドライン
２）総務省系③郵便分野，信書便分野

2017/5/20

情報法制研究会第5回シンポジウム

212

郵便GLの特徴と対象事業者

郵便GL解説1条，2条
本ガイドラインは、事業者に対する法の適用の基準を明らかにするとともに、信書の秘密に係る郵便法第 8 条その他の関連規定を踏まえ、特に個人情報の適正な取扱いの厳格な実施を求められる事業者が、個人情報の取扱いに当たり遵守すべき基本的事項を明らかにするものである。よって、本ガイドラインは、「個人情報の保護に関する法律についてのガイドライン」（平成 28 年個人情報保護委員会告示第 6 号等）で定める規定に準拠しつつ、信書の秘密その他の郵便事業に特有の事情等に鑑み必要となる規定を併せて、事業者に適用される規律を一元的に示したものとなっている。
…信書の秘密（※）に該当する事項は、個人に係る情報であるか法人等に係る情報であるかの区別なく保護されるが、個人に係る信書の秘密は当該差出人及び受取人の個人情報に包摂されることから、このような場合には、郵便法のみならず法に基づく規律の対象にもなることに留意する必要がある。一方、例えば、事業者が保有する個々の信書の送達には関連しない個人情報（契約者情報、料金の支払状況等）については、基本的には、信書の秘密の保護の対象外にはなるものの、法に基づく規律は及ぶこととなる。
本ガイドラインは、「個人情報の保護に関する法律についてのガイドライン」で定める規定に準拠しつつ、信書の秘密その他の郵便事業に特有の事情等に鑑み必要となる規定を併せて、事業者に適用される規律を一元的に示したものとなっている（第 1 項）。よって、事業者は、本ガイドラインの規定に従えば、郵便事業に関しては法の規定及び信書の秘密に係る郵便法第 8 条その他の関連規定及び「個人情報の保護に関する法律についてのガイドライン」を遵守したこととなる。
3条「事業者」とは、郵便事業の実施主体である日本郵便株式会社をいう。郵便事業については、郵便法第 2 条により、日本郵便株式会社が行うと明記されており、同法第 4 条第 1項により、同社以外の者が郵便の事業を営むことは禁じられている以
上、郵便事業の事業主体は、同社に限られる。
郵便事業に係る委託先には、郵便物運送委託法（昭和 24 年法律第 284 号）に基づく運送・集配業務の受託者、簡易郵便局法（昭和 24 年法律第 213 号）第 3 条に基づく郵便窓口業務の受託者等がある。しかし、これらについては、委託するかど
うかは日本郵便株式会社が任意に決定し、委託契約によって個人情報の適正な管理を担保することができる。したがって、委託先については、委託先に対する監督（第 11 条）によって対応することとし、本ガイドラインの直接の適用対象とはしないこととしたものである。
2017/5/20

情報法制研究会第5回シンポジウム

213

信書便GLの特徴と対象事業者

信書便GL解説1条，2条
本ガイドラインは、信書便事業者に対する法の適用の基準を明らかにするとともに、信書の秘密に係る信書便法第 5 条その他の関連規定を踏まえ、特に個人情報の適正な取扱いの厳格な実施を求められる信書便事業者が、個人情報の取扱いに当たり遵守すべき基本的事項を明らかにするものである。よって、本ガイドラインは、「個人情報の保護に関する法律についてのガイドライン」（平成 28 年個人情報保護委員会告示第 6 号等）で定める規定に準拠しつつ、信書の秘密その他の信書便事業に特有の事情等に鑑み必要となる規定を併せて、信書便事業者に適用される規律を一元的に示したものとなっている。
信書の秘密（※）に該当する事項は、個人に係る情報であるか法人等に係る情報であるかの区別なく保護されるが、個人に係る信書の秘密は当該差出人及び受取人の個人情報に包摂されることから、このような場合には、信書便法のみならず法に基づく規律の対象にもなることに留意する必要がある。
一方、例えば、信書便事業者が保有する個々の信書の送達には関連しない個人情報（契約者情報、料金の支払状況等）については、基本的には、信書の秘密の保護の対象外にはなるものの、法に基づく規律は及ぶこととなる。
本ガイドラインは、「個人情報の保護に関する法律についてのガイドライン」で定める規定に準拠しつつ、信書の秘密その他の信書便事業に特有の事情等に鑑み必要となる規定を併せて、信書便事業者に適用される規律を一元的に示したものとなっている（第 1 項）。よって、信書便事業者は、本ガイドラインの規定に従えば、信書便事業に関しては法の規定9及び信書の秘密に係る信書便法第 5 条その他の関連規定及び「個人情報の保護に関する法律についてのガイドライン」を遵守したこととなる。

2017/5/20

情報法制研究会第5回シンポジウム

2142017/5/20

情報法制研究会第5回シンポジウム

215

3 個別分野ガイドライン
3）個人遺伝情報分野

2017/5/20

情報法制研究会第5回シンポジウム

216経済産業分野のうち個人遺伝情報を用いた事業分野における個人情報保護ガイドライン改正の概要（１）「匿名化」の定義見直し
現行ガイドラインでは，安全管理措置の一環として，試料等を匿名化した上で事業に用いることとされている。「匿名化」は，特定の個人を識別できる情報を取り除くこととして定義され，匿名化された情報は，対応表を保有しない法人内にあるときは，
個人情報に該当しないとされているが，今回の法改正に伴い，試料等の解析により得られるＤＮＡ塩基配列情報が個人識
別符号（※）に該当する場合，当該情報を含む情報は匿名化された情報とみなせなくなる。
これを踏まえ，「匿名化」の定義を見直し，特定の個人を識別できる情報として，ＤＮＡ塩基配列情報のみを含む場合は，匿名化されたものとみなすこととする。
（※）個人識別符号が含まれる情報は個人情報に該当する。
（２）受託解析業者の定義及び義務規定の見直し
匿名化された試料等の受託解析のみを行う事業者は，現行ガイドラインでは，個人情報保護法の適用対象外である「遺伝情報取扱事業者」として定義されているが，今回の法改正に伴い，試料等の解析により得られるＤＮＡ塩基配列情報が個人識別符号に該当する場合，受託解析業者を「個人遺伝情報取扱事業者」として取り扱う必要が生じる。
これを踏まえ，「個人遺伝情報取扱事業者」のうち，個人識別符号に該当するＤＮＡ塩基配列情報のみを取り扱う事業者（匿名化された試料等の受託解析のみを行う事業者を想定）を「特定個人遺伝情報取扱事業者」として定義し，当該事業者に対する義務規定について，本人から直接試料等を取得する「個人遺伝情報取扱事業者」と区別して規定する。
・ 委託元が得たインフォームド・コンセントの範囲内で個人遺伝情報を取り扱う。
・ 委託元で策定された事業計画に基づき事業を実施する。 等（３）検査等の質の確保に関する規定の追加「ゲノム情報を用いた医療等の実用化推進タスクフォース」の意見取りまとめ（平成 28 年 10 月 19 日）等を踏まえ，個人遺伝情報に係る検査，解析及び鑑定等を行うに当たっては，その分析的妥当性及び科学的根拠の確保に努める旨の規定を追加する。
（４）その他
個人情報保護法の改正を踏まえ，改正内容を適宜反映する。具体的には，定義の追加・削除，要配慮個人情報に関する規定，匿名加工情報に関する規定，第三者提供の記録の作成・保存義務に係る規定及び外国への第三者提供の制限に係る規定の追加，小規模事業者への適用範囲拡大に伴う規定の整備等。
2017/5/20

情報法制研究会第5回シンポジウム217

3 個別分野ガイドライン
4）医療系

2017/5/20

情報法制研究会第5回シンポジウム

2182017/5/20

情報法制研究会第5回シンポジウム219

医療・介護ガイダンス改正の特徴（一部）「匿名化」の取扱い
当該個人情報から、当該情報に含まれる氏名、生年月日、住所、個人識別符号等、個人を識別する情報を取り除くことで、特定の個人を識別できないようにすることをいう。
顔写真については、一般的には目の部分にマスキングすることで特定の個人を識別できないと考えられる。なお、必要な場合には、その人と関わりのない符号又は番号を付すこともある。
このような処理を行っても、事業者内で医療・介護関係個人情報を利用する場合は、事業者内で得られる他の情報や匿名化に際して付された符号又は番号と個人情報との対応表等と照合することで特定の患者・利用者等が識別されることも考えられる。法においては、「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるもの」についても個人情報に含まれるものとされており、匿名化に当たっては、当該情報の利用目的や利用者等を勘案した処理を行う必要があり、あわせて、本人の同意を得るなどの対応も考慮する必要がある。また、特定の患者・利用者の症例や事例を学会で発表したり、学会誌で報告したりする場合
等は、氏名、生年月日、住所、個人識別符号等を消去することで匿名化されると考えられるが、症例や事例により十分な匿名化が困難な場合は、本人の同意を得なければならない。
なお、このような学会での発表等のために用いられる特定の患者の症例等の匿名化は、匿名加工情報（Ⅱ５．参照）とは定義や取扱いのルールが異なるので留意が必要である。
さらに当該発表等が研究の一環として行われる場合にはⅠ９．に示す取扱いによるものとし、学会等関係団体が定める指針に従うものとする。
【要配慮個人情報の取得時における本人の同意について】
医療機関の受付等で診療を希望する患者は、傷病の回復等を目的としている。一方、医療機関等は、患者の傷病の回復等を目的として、より適切な医療が提供できるよう治療に取り組むとともに、その費用を公的医療保険に請求する必要が生じる。良質で適正な医療の提供を受けるためには、また公的医療保険の扶助を受けるためには、医療機関等が患者の要配慮個人情報を含めた個人情報を取得することは必要不可欠である。
このため、例えば、患者が医療機関の受付等で、問診票に患者自身の身体状況や病状などを記載し、保険証とともに受診を申し出る
ことは、患者自身が自己の要配慮個人情報を含めた個人情報を医療機関等に取得されることを前提としていると考えられるため、医療機関等が要配慮個人情報を書面又は口頭等により本人から適正に直接取得する場合は、患者の当該行為をもって、当該医療機関
等が当該情報を取得することについて本人の同意があったものと解される。
また、医療機関等が要配慮個人情報を第三者提供の方法により取得した場合、提供元が法第１７条第 2 項及び第２３条第 1 項の規定に基づいて本人から必要な同意（要配慮個人情報の取得及び第三者提供に関する同意）を取得していることが前提となるため、提供を受けた当該医療機関等が、改めて本人から法第１７条第 2 項の規定に基づく同意を得る必要はないものと解される。

2017/5/20

情報法制研究会第5回シンポジウム

2202017/5/20

情報法制研究会第5回シンポジウム

2212017/5/20

情報法制研究会第5回シンポジウム

222

ご静聴有難う御座いました。

2017/5/20

情報法制研究会第5回シンポジウム

223