電気通信事業における個人情報等の保護に関するガイドライン（令和４年個人情報保護委員会・総務省告示第４号（最終改正令和６年個人情報保護委員会・総務省告示第４号））の解説の一部改正の新旧対照表○ 電気通信事業における個人情報等の保護に関するガイドライン（令和４年個人情報保護委員会・総務省告示第４号（最終改正令和６年個人情報保護委員会・総務省告示第４号））の解説
・改正前欄に掲げる規定の傍線を付し又は破線で囲んだ部分をこれに順次対応する改正後欄に掲げる規定の傍線を付し又は破線で囲んだ部分のように改める。
・改正前欄及び改正後欄に対応して掲げるその標記部分に二重傍線を付した規定（以下「対象規定」という。）は、改正前欄に掲げる対象規定を改正後欄に掲げる対象規定として移動し、改正後欄に掲げる対象規定で改正前欄にこれに対応するものを掲げていないものは、これを加える。

改正後

改正前

電気通信事業における個人情報等の保護に関するガイドライン

電気通信事業における個人情報等の保護に関するガイドライン（令和４年個人情報保護委員会・総務省告示第４号（最終改正令和６年個（令和４年個人情報保護委員会・総務省告示第４号（最終改正令和５年個

人情報保護委員会・総務省告示第４号））の解説

人情報保護委員会・総務省告示第５号））の解説

令和４年３月（令和６年３月更新）

令和４年３月（令和５年５月更新）

個人情報保護委員会

個人情報保護委員会

総務省

総務省

目次

目次

［1・2 略］［1・2 同左］

3

3

電気通信事業者の義務（第 2 章関係）

電気通信事業者の義務（第 2 章関係）

［3-1～3-5 略］［3-1～3-5 同左］

3-6

3-6

個人データの漏えい等の報告等（第 16 条関係）

3-6-1 「個人データ」の「漏えい等」の考え方

個人データの漏えい等の報告等（第 16 条関係）

3-6-1 「漏えい等」の考え方

［3-6-2～3-6-4 略］［3-6-2～3-6-4 同左］［3-7～3-12 略］［3-7～3-12 同左］［4～9 略］［4～9 同左］［【凡例】 略］［【凡例】 同左］※※

なお、特に断りのない限り、本ガイドラインの解説において示す法令

なお、特に断りのない限り、本ガイドラインの解説において示す法令等の内容は令和 6 年 3 月 12 日時点とする。

等の内容は令和 5 年 6 月 16 日時点とする。

1

目的及び適用対象

1

目的及び適用対象

1-1

目的

1-1

目的

［略］

［同左］

こうしたことを踏まえ、本ガイドラインは、法及び法第 7 条第 1 項の規

こうしたことを踏まえ、本ガイドラインは、法及び法第 7 条第 1 項の規定に基づく「個人情報の保護に関する基本方針」（平成 16 年 4 月閣議決定に基づく「個人情報の保護に関する基本方針」（平成 16 年 4 月閣議決定。令和 4 年 4 月一部変更。）、通信の秘密に係る電気通信事業法（昭和 5定。平成 30 年 6 月一部変更。）、通信の秘密に係る電気通信事業法（昭和9 年法律第 86 号）第 4 条その他の関連規定並びにプライバシー保護の観点

59 年法律第 86 号）第 4 条その他の関連規定並びにプライバシー保護の観点を踏まえ、電気通信事業者に対し、通信の秘密に属する事項その他の個人を踏まえ、電気通信事業者に対し、通信の秘密に属する事項その他の個人情報の適正な取扱いについてできるだけ具体的な指針を示すことにより、情報の適正な取扱いについてできるだけ具体的な指針を示すことにより、その範囲内での自由な流通を確保して電気通信役務の利便性の向上を図る

その範囲内での自由な流通を確保して電気通信役務の利便性の向上を図る

とともに、利用者の権利利益を保護することを目的として、法第 6 条及びとともに、利用者の権利利益を保護することを目的として、法第 6 条及び第 9 条並びに電気通信事業法の関連規定に基づき具体的な指針として定め

第 9 条並びに電気通信事業法の関連規定に基づき具体的な指針として定めるものであり、第 1 章（第 1 条から第 3 条まで）から第 3 章（第 38 条からるものであり、第 1 章（第 1 条から第 3 条まで）から第 3 章（第 38 条から

第 44 条まで）まで及び第 6 章（第 52 条）は個人情報保護委員会及び総務

第 44 条まで）まで及び第 6 章（第 52 条）は個人情報保護委員会及び総務省が所管するものである。

省が所管するものである。

［略］

［同左］

2

［1-2・1-3 略］［1-2・1-3 同左］

2

2

定義

定義

［2-1～2-3 略］［2-1～2-3 同左］

2-4

2-4

要配慮個人情報（法第 2 条第 3 項関係）

要配慮個人情報（法第 2 条第 3 項関係）

［略］

［同左］

［(1)～(6) 略］［(1)～(6) 同左］

(7)

(7)

身体障害、知的障害、精神障害（発達障害を含む。）その他の個

身体障害、知的障害、精神障害（発達障害を含む。）その他の個

人情報保護委員会規則で定める心身の機能の障害があること（政人情報保護委員会規則で定める心身の機能の障害があること（政令第 2 条第 1 号関係）

令第 2 条第 1 号関係）

［略］

［同左］

［①～③ 略］［①～③ 同左］④④「治療方法が確立していない疾病その他の特殊の疾病であって障害者「治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生活及び社会生活を総合的に支援するための法律第 4 条第 1の日常生活及び社会生活を総合的に支援するための法律第 4 条第 1項の政令で定めるものによる障害の程度が同項の主務大臣が定める程項の政令で定めるものによる障害の程度が同項の厚生労働大臣が定め度であるもの」があることを特定させる情報る程度であるもの」があることを特定させる情報

・医師により、主務大臣が定める特殊の疾病による障害により継続的・医師により、厚生労働大臣が定める特殊の疾病による障害により継に日常生活又は社会生活に相当な制限を受けていると診断されたこ

続的に日常生活又は社会生活に相当な制限を受けていると診断されと（疾病の名称や程度に関する情報を含む。）

たこと（疾病の名称や程度に関する情報を含む。）［(8)～(11) 略］［(8)～(11) 同左］

（参考）

（参考）

［略］

［同左］

3

規則第 5 条

規則第 5 条

令第 2 条第 1 号の個人情報保護委員会規則で定める心身の機能の障害

令第 2 条第 1 号の個人情報保護委員会規則で定める心身の機能の障害は、次に掲げる障害とする。

は、次に掲げる障害とする。

(1) 身体障害者福祉法（昭和 24 年法律第 283 号）別表に掲げる身体上の(1) 身体障害者福祉法（昭和 24 年法律第 283 号）別表に掲げる身体上の障害

障害(2) 知的障害者福祉法（昭和 35 年法律第 37 号）にいう知的障害(2) 知的障害者福祉法（昭和 35 年法律第 37 号）にいう知的障害(3) 精神保健及び精神障害者福祉に関する法律（昭和 25 年法律第 123(3) 精神保健及び精神障害者福祉に関する法律（昭和 25 年法律第 123号）にいう精神障害（発達障害者支援法（平成 16 年法律第 167 号）第 2号）にいう精神障害（発達障害者支援法（平成 16 年法律第 167 号）第 2

条第 1 項に規定する発達障害を含み、前号に掲げるものを除く。）

条第 1 項に規定する発達障害を含み、前号に掲げるものを除く。）(4) 治療方法が確立していない疾病その他の特殊の疾病であって障害者の(4) 治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生活及び社会生活を総合的に支援するための法律（平成 17 年法律第日常生活及び社会生活を総合的に支援するための法律（平成 17 年法律第123 号）第 4 条第 1 項の政令で定めるものによる障害の程度が同項の主務

123 号）第 4 条第 1 項の政令で定めるものによる障害の程度が同項の厚生大臣が定める程度であるもの

労働大臣が定める程度であるもの［2-5～2-20 略］［2-5～2-20 同左］

3

3

電気通信事業者の義務（第 2 章関係）

電気通信事業者の義務（第 2 章関係）

［3-1～3-3 略］［3-1～3-3 同左］

3-4

3-4

個人データ等の管理（第 10 条～第 14 条関係）

個人データ等の管理（第 10 条～第 14 条関係）

［3-4-1～3-4-3 略］［3-4-1～3-4-3 同左］

3-4-4

3-4-4

安全管理措置（第 12 条関係）

［略］

安全管理措置（第 12 条関係）

［同左］

電気通信事業者は、その取り扱う個人データ又は通信の秘密に係る個人

電気通信事業者は、その取り扱う個人データ又は通信の秘密に係る個人情報（以下「個人データ等」という。）の漏えい、滅失又は毀損（以下

情報（以下「個人データ等」という。）の漏えい、滅失又は毀損（以下4「漏えい等」という。）の防止その他の個人データ等の安全管理のため、「漏えい等」という。）の防止その他の個人データ等の安全管理のため、必要かつ適切な措置（以下「安全管理措置」という。）を講じなければな

必要かつ適切な措置（以下「安全管理措置」という。）を講じなければならないが、当該措置は、個人データ等が漏えい等をした場合に本人が被るらないが、当該措置は、個人データ等が漏えい等をした場合に本人が被る

権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データ等の権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データ等の取扱状況（取り扱う個人データ等の性質及び量を含む。）、個人データ等

取扱状況（取り扱う個人データ等の性質及び量を含む。）、個人データ等を記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容を記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容としなければならない。

としなければならない。

なお、「その他の個人データ等の安全管理のために必要かつ適切な措置」には、電気通信事業者が取得し、又は取得しようとしている個人情報であって、当該電気通信事業者が個人データとして取り扱うことを予定しているものの漏えい等を防止するために必要かつ適切な措置も含まれる。
具体的に講じなければならない措置や当該措置を実践するための手法の例

具体的に講じなければならない措置や当該措置を実践するための手法の等については、「9（別添）講ずべき安全管理措置の内容」を参照のこと。

例等については、「9（別添）講ずべき安全管理措置の内容」を参照のこと。

個人データ等に該当せず、かつ、個人データとして取り扱うことを予定

なお、個人データ等に該当しない個人情報（いわゆる散在情報）についしていない個人情報についても、通信の秘密に関わる情報ということがでても、通信の秘密に関わる情報ということができることから、安全管理措

きることから、安全管理措置を講ずることが望ましい。

置を講ずることが望ましい。

［略］

［同左］

［3-4-5・3-4-6 略］［3-4-5・3-4-6 同左］

3-4-7

3-4-7

個人情報保護管理者（第 14 条関係）

［略］

個人情報保護管理者（第 14 条関係）

［同左］

なお、個人情報保護管理者の設置は、特に、電気通信事業者が取り扱う

なお、個人情報保護管理者の設置は、特に、電気通信事業者の内部又は

5個人データ等又は当該電気通信事業者が取得し、又は取得しようとしてい外部からの不正行為による個人データ等の漏えい等を防止するため、またる個人情報であって、個人データとして取り扱われることが予定されてい責任の所在を明確化する上でも重要であり、個人情報保護管理者の設置をるものが、電気通信事業者の内部又は外部からの不正行為によって漏えい

通じて、あらかじめ個人データ等の漏えい等を防止するための体制を整備等することを防止するため、また責任の所在を明確化する上でも重要であし、また、漏えい等事案の発生時に、被害拡大防止措置の実施及び監督官

り、個人情報保護管理者の設置を通じて、あらかじめ漏えい等事案の発生

庁等への報告等の対応を行うための体制を整備することが望ましい。

を防止するための体制を整備し、また、漏えい等事案の発生時に、被害拡大防止措置の実施及び監督官庁等への報告等の対応を行うための体制を整備することが望ましい。
［略］

［同左］

［3-5 略］［3-5 同左］

3-6

個人データの漏えい等の報告等（第 16 条関係）

3-6

個人データの漏えい等の報告等（第 16 条関係）

3-6-1

「個人データ」の 「漏えい等」の考え方

3-6-1「漏えい等」の考え方

3-6-1-1 第 16 条第 1 項各号の「個人データ」の考え方［新設］

第 16 条第 1 項各号は、法第 26 条第 1 項に基づく漏えい等の報告の対象となる事態について定めているところ、第 16 条第 1 項各号に規定する「個人データ」とは、電気通信事業者が取り扱う個人データをいう。
ただし、第 16 条第 1 項第 3 号に規定する「個人データ」には、「当該電気通信事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているもの」が含まれる。
そのため、同号に定める事態との関係では、3-6-1-2（「漏えい」の考え方）から 3-6-1-4（「毀損」の考え方）までにおける「個人データ」は、電気通信事業者が取り扱う個人データに加え、「当該電気通信事業者が取得

6

し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているもの」を含む。
同号に定める事態について、詳細は 3-6-3-1（報告対象となる事態）を参照のこと。

3-6-1-2 「漏えい」の考え方

3-6-1-1 「漏えい」の考え方

［略］

［同左］

［事例 1）～事例 6) 略］［事例 1）～事例 6)

事例 7）電気通信事業者のウェブサイトの入力ページが第三者に改ざんさ

［新設］

同左］

れ、ユーザーが当該ページに入力した個人情報が、当該第三者に送信された場合であり、かつ、当該電気通信事業者が、当該ページに入力される個人情報を個人情報データベース等へ入力することを予定して
いたとき
［略］

［同左］

3-6-1-3 「滅失」の考え方

3-6-1-2 「滅失」の考え方

［略］

［同左］

3-6-1-4 「毀損」の考え方

3-6-1-3 「毀損」の考え方

［略］

［同左］

［3-6-2 略］［3-6-2 同左］

3-6-3

3-6-3

個人情報保護委員会又は委任を受けた総務大臣等への報告（第 167

個人情報保護委員会又は委任を受けた総務大臣等への報告（第 16条第 1 項関係）条第 1 項関係）

第 16 条（第 1 項）

第 16 条（第 1 項）

1

1

電気通信事業者は、その取り扱う個人データの漏えい、滅失、毀損そ

電気通信事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害の他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして次の各号のいずれかに該当するものが生するおそれが大きいものとして次の各号のいずれかに該当するものが生じたときは、次項から第 4 項までの規定で定めるところにより、当該事態じたときは、次項から第 4 項までの規定で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該電気通信事業者が、他の個人情報取扱事業者又は行政機関等から当

当該電気通信事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、第 5

該個人データの取扱いの全部又は一部の委託を受けた場合であって、第 5項に定めるところにより、当該事態が生じた旨を当該他の個人情報取扱項に定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。

事業者又は行政機関等に通知したときは、この限りでない。

(1) 要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人(1) 要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この権利利益を保護するために必要な措置を講じたものを除く。以下この項及び次項において同じ。）の漏えい、滅失若しくは毀損（以下この項及び次項において同じ。）の漏えい、滅失若しくは毀損（以下この項及び次項において「漏えい等」という。）が発生し、又は発生しの項及び次項において「漏えい等」という。）が発生し、又は発生したおそれがある事態

たおそれがある事態(2) 不正に利用されることにより財産的被害が生じるおそれがある個人(2) 不正に利用されることにより財産的被害が生じるおそれがある個人

データの漏えい等が発生し、又は発生したおそれがある事態

データの漏えい等が発生し、又は発生したおそれがある事態(3) 不正の目的をもって行われたおそれがある当該電気通信事業者に対(3) 不正の目的をもって行われたおそれがある個人データの漏えい等がする行為による個人データ（当該電気通信事業者が取得し、又は取得発生し、又は発生したおそれがある事態しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、又は発生したおそれがある事態

8

(4) 個人データに係る本人の数が 1,000 人を超える漏えい等が発生し、(4) 個人データに係る本人の数が 1,000 人を超える漏えい等が発生し、又は発生したおそれがある事態

又は発生したおそれがある事態

3-6-3-1 報告対象となる事態

3-6-3-1 報告対象となる事態

［略］

［同左］

［(1)・(2) 略］［(1)・(2) 同左］（3）不正の目的をもって行われたおそれがある当該電気通信事業者に対す（3）不正の目的をもって行われたおそれがある個人データの漏えい等が発る行為による個人データ（当該電気通信事業者が取得し、又は取得し生し、又は発生したおそれがある事態（第 16 条第 1 項第 3 号関係）

ようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、又は発生したおそれがある事態（第 16 条第 1 項第 3 号関係）

「不正の目的をもって行われたおそれがある当該電気通信事業者に対す「不正の目的をもって」漏えい等を発生させた主体には、第三者のみなる行為」（以下「不正行為」という。）の主体には、第三者のみならず、らず、従業者も含まれる。

従業者も含まれる。また、不正行為の相手方である「当該電気通信事業者」には、当該電気通信事業者が第三者に個人データの取扱いを委託している場合（※3）における当該第三者（委託先）及び当該電気通信事業者が個人データを取り扱うに当たって第三者の提供するサービスを利用している場合における当該第三者も含まれる。
当該電気通信事業者が「取得しようとしている個人情報」に該当するかどうかは、当該電気通信事業者が用いている個人情報の取得手段等を考慮して客観的に判断する。
個人情報データベース等へ入力すること等を予定していれば、最終的に9個人情報に該当しない統計情報への加工を行うことを予定している場合等
であっても、「個人データとして取り扱われることが予定されている」に該当する。

【報告を要する事例】（※4）

【報告を要する事例】

事例 1）不正アクセスにより個人データ（個人情報データベース等へ

事例 1）不正アクセスにより個人データが漏えいした場合（※3）

入 力す る予定 の個人 情報 を含 む。以 下、事 例 5 ）ま で同じ。）が漏えいした場合
事例 2）ランサムウェア等により個人データが暗号化され、復元できなくなった場合

事例 2）ランサムウェア等により個人データが暗号化され、復元できなくなった場合

事例 3）個人データが記載又は記録された書類・媒体等が盗難された
場合

事例 3）個人データが記載又は記録された書類・媒体等が盗難された
場合

事例 4）従業者が顧客の個人データを不正に持ち出して第三者に提供した場合（※5）

事例 4）従業者が顧客の個人データを不正に持ち出して第三者に提供した場合（※4）事例 5）従業者の私用の端末又は取引先の端末が情報を窃取するマル［新設］

ウェアに感染し、その後、当該端末と電気通信事業者のサーバとの電気通信に起因して、当該サーバも当該マルウェアに感染し、個人データが漏えいした場合
事例 6）電気通信事業者のウェブサイトの入力ページが第三者に改ざんされ、ユーザーが当該ページに入力した個人情報が当該第三者に送信された場合であり、かつ、当該電気通信事業者
が、当該ページに入力される個人情報を個人情報データベー
ス等へ入力することを予定していたとき

10

［新設］

事例 7）電気通信事業者のウェブサイト上に設置された、入力ページ［新設］に遷移するためのリンクやボタンが第三者に改ざんされ、当該リンクやボタンをユーザーがクリックした結果、偽の入力
ページに遷移し、当該ユーザーが当該偽の入力ページに入力
した個人情報が当該第三者に送信された場合であり、かつ、
当該電気通信事業者が、当該電気通信事業者の入力ページに入力される個人情報を個人情報データベース等へ入力することを予定していたとき
事例 8）電気通信事業者が、第三者により宛先の改ざんされた返信用［新設］

封筒を顧客に送付した結果、当該返信用封筒により返信されたアンケート用紙に記入された個人情報が当該第三者に送付された場合であり、かつ、当該電気通信事業者が、当該個人
情報を個人情報データベース等へ入力することを予定していたとき［(4) 略］［(4) 同左］［(※1)・(※2) 略］［(※1)・(※2) 同左］（※3）電気通信事業者が、個人データとして取り扱うことを予定［新設］している個人情報の取扱いを第三者に委託する場合であって、当該第三者（委託先）が当該個人情報を個人データとして取り扱う予定はないときも、ここにいう「電気通信事業者
が第三者に個人データの取扱いを委託している場合」に該当する。

（※3）サイバー攻撃の事案について、「漏えい」が発生したおそ

11

（※4）サイバー攻撃の事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、次のれがある事態に該当し得る事例としては、例えば、次の（ア）から（エ）までが考えられる。

（ア）から（オ）までが考えられる。

（ア）個人データを格納しているサーバや、当該サーバにア（ア）個人データ（個人情報データベース等へ入力する予定

クセス権限を有する端末において外部からの不正アクセスの個人情報を含む。（イ）において同じ。）を格納していによりデータが窃取された痕跡が認められた場合

るサーバや、当該サーバにアクセス権限を有する端末において外部からの不正アクセスによりデータが窃取された痕（イ）個人データを格納しているサーバや、当該サーバにア跡が認められた場合

クセス権限を有する端末において、情報を窃取する振る舞（イ）個人データを格納しているサーバや、当該サーバにアいが判明しているマルウェアの感染が確認された場合

クセス権限を有する端末において、情報を窃取する振る舞（ウ）マルウェアに感染したコンピュータに不正な指令を送いが判明しているマルウェアの感染が確認された場合

り、制御するサーバ（C&C サーバ）が使用しているものと（ウ）マルウェアに感染したコンピュータに不正な指令を送して知られている IP アドレス・FQDN（Fully Qualified Do

り、制御するサーバ（C&C サーバ）が使用しているものとmain Name の略。サブドメイン名及びドメイン名からなるして知られている IP アドレス・FQDN（Fully Qualified Do

文字列であり、ネットワーク上のコンピュータ（サーバmain Name の略。サブドメイン名及びドメイン名からなる等）を特定するもの。）への通信が確認された場合

文字列であり、ネットワーク上のコンピュータ（サーバ［新設］等）を特定するもの。）への通信が確認された場合（エ）個人情報の取得手段であるウェブページを構成するファイルを保存しているサーバや、当該サーバにアクセス権限を有する端末において、外部からの不正アクセスにより、当該ファイルに、当該ウェブページに入力された情報（エ）不正検知を行う公的機関、セキュリティ・サービス・を窃取するような改ざんがされた痕跡が確認された場合

プロバイダ、専門家等の第三者から、漏えいのおそれにつ（オ）不正検知を行う公的機関、セキュリティ・サービス・

いて、一定の根拠に基づく連絡を受けた場合

12プロバイダ、専門家等の第三者から、漏えいのおそれにつ（※4）従業者による個人データの持ち出しの事案について、「漏いて、一定の根拠に基づく連絡を受けた場合

えい」が発生したおそれがある事態に該当し得る事例として（※5）従業者による個人データ又は個人情報の持ち出しの事案には、例えば、個人データを格納しているサーバや、当該サーついて、「漏えい」が発生したおそれがある事態に該当し得

バにアクセス権限を有する端末において、通常の業務で必要る事例としては、例えば、個人データ又は個人情報を格納しとしないアクセスによりデータが窃取された痕跡が認められているサーバや、当該サーバにアクセス権限を有する端末にた場合が考えられる。

おいて、通常の業務で必要としないアクセスによりデータが窃取された痕跡が認められた場合が考えられる。
なお、漏えい等が発生し、又は発生したおそれがある個人データについ
なお、漏えい等が発生し、又は発生したおそれがある個人データ又は個て、高度な暗号化等の秘匿化がされている場合等、「高度な暗号化その他

人情報について、高度な暗号化等の秘匿化がされている場合等、「高度なの個人の権利利益を保護するために必要な措置」が講じられている場合に暗号化その他の個人の権利利益を保護するために必要な措置」が講じられ

ついては、報告を要しない。

ている場合については、報告を要しない。

（参考）

（参考）

［略］

［同左］

規則第 7 条

規則第 7 条

法第 26 条第 1 項本文の個人の権利利益を害するおそれが大きいものと法第 26 条第 1 項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当

して個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。

するものとする。

(1) 要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人(1)

要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第 1 項において同じ。）の漏えい、滅失若しくは毀損の条及び次条第 1 項において同じ。）の漏えい、滅失若しくは毀損

13

（以下この条及び次条第 1 項において「漏えい等」という。）が発生（以下この条及び次条第 1 項において「漏えい等」という。）が発生し、又は発生したおそれがある事態し、又は発生したおそれがある事態(2) 不正に利用されることにより財産的被害が生じるおそれがある個人(2)

データの漏えい等が発生し、又は発生したおそれがある事態

不正に利用されることにより財産的被害が生じるおそれがある個人

データの漏えい等が発生し、又は発生したおそれがある事態(3) 不正の目的をもって行われたおそれがある当該個人情報取扱事業者(3)に対する行為による個人データ（当該個人情報取扱事業者が取得し、不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態

又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、又は発生したおそれがある事態(4) 個人データに係る本人の数が 1,000 人を超える漏えい等が発生し、(4) 個人データに係る本人の数が 1,000 人を超える漏えい等が発生し、又は発生したおそれがある事態

又は発生したおそれがある事態

［略］

［同左］

3-6-3-2 報告義務の主体

3-6-3-2 報告義務の主体

漏えい等報告の義務を負う主体は、原則として、漏えい等が発生し、又は発生したおそれがある個人データを取り扱う電気通信事業者である。た

漏えい等報告の義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データを取り扱う電気通信事業者である。

だし、第 16 条第 1 項第 3 号に定める事態について漏えい等報告の義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データ又は個人情報を取り扱い、又は取得しようとしている電気通信事業者である（3-6-1-1（第 16 条第 1 項各号の「個人データ」の考え方）参照）。
個人データの取扱いを委託している場合においては、委託元と委託先の個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人データ又は個人情報を取り扱っており、又は取得しようとして双方が個人データを取り扱っていることになるため、報告対象事態に該当いることになるため、報告対象事態に該当する場合には、原則として委託する場合には、原則として委託元と委託先の双方が報告する義務を負う。

14

元と委託先の双方が報告する義務を負う。この場合、委託元及び委託先のこの場合、委託元及び委託先の連名で報告することができる。なお、委託連名で報告することができる。なお、委託先が、報告義務を負っている委先が、報告義務を負っている委託元に当該事態が発生したことを通知した

託元に当該事態が発生したことを通知したときは、委託先は報告義務を免ときは、委託先は報告義務を免除される（3-6-3-5（委託元への通知による除される（3-6-3-5（委託元への通知による例外）参照）。

例外）参照）。

［略］［同左］

3-6-3-3 速報（第 16 条第 2 項関係）

3-6-3-3 速報（第 16 条第 2 項関係）第16条（第2項）

第16条（第2項）

2

2

電気通信事業者は、前項本文の規定による報告をする場合には、同項

電気通信事業者は、前項本文の規定による報告をする場合には、同項各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。第5項

事項（報告をしようとする時点において把握しているものに限る。第5項において同じ。）を報告しなければならない。

において同じ。）を報告しなければならない。

(1) 概要(1) 概要(2) 漏えい等が発生し、又は発生したおそれがある個人データ（前項第(2) 漏えい等が発生し、又は発生したおそれがある個人データの項目3号に定める事態については、同号に規定する個人情報を含む。次号において同じ。）の項目(3) 漏えい等が発生し、又は発生したおそれがある個人データに係る本(3) 漏えい等が発生し、又は発生したおそれがある個人データに係る本

人の数

人の数

(4) 原因(4) 原因(5) 二次被害又はそのおそれの有無及びその内容(5) 二次被害又はそのおそれの有無及びその内容(6) 本人への対応の実施状況(6) 本人への対応の実施状況(7) 公表の実施状況(7) 公表の実施状況(8) 再発防止のための措置(8) 再発防止のための措置

15

(9) その他参考となる事項(9) その他参考となる事項

［略］

［同左］

［（1）略］［（1）同左］（2）「漏えい等が発生し、又は発生したおそれがある個人データ（前項第（2）「漏えい等が発生し、又は発生したおそれがある個人データの項目」

3 号に定める事態については、同号に規定する個人情報を含む。次号において同じ。）の項目」

漏えい等が発生し、又は発生したおそれがある個人データ（第 16 条第 1
項第 3 号に定める事態については、同号に規定する個人情報を含む。）の項

漏えい等が発生し、又は発生したおそれがある個人データの項目について、媒体や種類（顧客情報、従業員情報の別等）とともに報告する。

目について、媒体や種類（顧客情報、従業員情報の別等）とともに報告する。

（3）「漏えい等が発生し、又は発生したおそれがある個人データに係る本 （3）「漏えい等が発生し、又は発生したおそれがある個人データに係る本
人の数」

人の数」

漏えい等が発生し、又は発生したおそれがある個人データ（第 16 条第 1
項第 3 号に定める事態については、同号に規定する個人情報を含む。）に係漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数について報告する。

る本人の数について報告する。

［(4)～(9) 略］［(4)～(9) 同左］

（参考）

（参考）

16

規則第 8 条（第 1 項）

規則第 8 条（第 1 項）

1 個人情報取扱事業者は、法第 26 条第 1 項本文の規定による報告をする場

1

個人情報取扱事業者は、法第 26 条第 1 項本文の規定による報告をする場

合には、前条各号に定める事態を知った後、速やかに、当該事態に関す

合には、前条各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているもの

る次に掲げる事項（報告をしようとする時点において把握しているものに限る。次条において同じ。）を報告しなければならない。

に限る。次条において同じ。）を報告しなければならない。

(1) 概要(1) 概要(2) 漏えい等が発生し、又は発生したおそれがある個人データ（前条第(2) 漏えい等が発生し、又は発生したおそれがある個人データの項目

3 号に定める事態については、同号に規定する個人情報を含む。次号において同じ。）の項目(3) 漏えい等が発生し、又は発生したおそれがある個人データに係る本(3)

漏えい等が発生し、又は発生したおそれがある個人データに係る本

人の数

人の数

(4) 原因(4) 原因(5) 二次被害又はそのおそれの有無及びその内容(5) 二次被害又はそのおそれの有無及びその内容(6) 本人への対応の実施状況(6) 本人への対応の実施状況(7) 公表の実施状況(7) 公表の実施状況(8) 再発防止のための措置(8) 再発防止のための措置(9) その他参考となる事項(9) その他参考となる事項［3-6-3-4・3-6-3-5 略］［3-6-3-4・3-6-3-5 同左］

3-6-4

3-6-4

本人への通知（第 16 条第 6 項関係）

本人への通知（第 16 条第 6 項関係）

［略］

［同左］

3-6-4-1 通知対象となる事態及び通知義務の主体

3-6-4-1 通知対象となる事態及び通知義務の主体

電気通信事業者は、報告対象事態を知ったときは、本人への通知を行わ

17

電気通信事業者は、報告対象事態を知ったときは、本人への通知を行わなければならない。

なければならない。

通知義務を負う主体は、原則として、漏えい等が発生し、又は発生した
おそれがある個人データを取り扱う電気通信事業者である。ただし、第 16

通知義務を負う主体は、漏えい等が発生し、又は発生したおそれがある
個人データを取り扱う電気通信事業者である。

条第 1 項第 3 号に定める事態について本人への通知の義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データ又は個人情報を取り扱い、又は取得しようとしている電気通信事業者である（3-6-1-1（第 16条第 1 項各号の「個人データ」の考え方）参照）。
個人データの取扱いを委託している場合においては、委託元と委託先の個人データの取扱いを委託している場合において委託先が、報告義務を双方が個人データ又は個人情報を取り扱い、又は取得しようとしているこ負っている委託元に 3-6-3-3（1）から（9）までに掲げる事項のうち、そのとになるため、報告対象事態に該当する場合には、原則として委託元と委時点で把握しているものを通知したときは、委託先は報告義務を免除され託先の双方が本人への通知を行う義務を負う。委託先が、報告義務を負っるとともに、本人への通知義務も免除される。なお、委託元への通知を行ている委託元に 3-6-3-3（1）から（9）までに掲げる事項のうち、その時点った委託先は、必要に応じて委託元による本人への通知に協力することがで把握しているものを通知したときは、委託先は報告義務を免除されると求められる。

ともに、本人への通知義務も免除される。なお、委託元への通知を行った
委託先は、必要に応じて委託元による本人への通知に協力することが求められる。

［3-6-4-2 略］［3-6-4-2 同左］

3-6-4-3 通知の内容

3-6-4-3 通知の内容

本人へ通知すべき事項については、漏えい等報告における報告事項のう本人へ通知すべき事項については、漏えい等報告における報告事項のうち、「概要」（第 16 条第 2 項第 1 号）、「漏えい等が発生し、又は発生しち、「概要」（第 16 条第 2 項第 1 号）、「漏えい等が発生し、又は発生したおそれがある個人データ（前項第 3 号に定める事態については、同号に規たおそれがある個人データの項目」（同項第 2 号）、「原因」（同項第 4定する個人情報を含む。次号において同じ。）の項目」（同項第 2 号）、号）、「二次被害又はそのおそれの有無及びその内容」（同項第 5 号）及び

18

「原因」（同項第 4 号）、「二次被害又はそのおそれの有無及びその内容」「その他参考となる事項」（同項第 9 号）（※）に限られている。これらの（同項第 5 号）及び「その他参考となる事項」（同項第 9 号）（※）に限ら事項が全て判明するまで本人への通知をする必要がないというものではなれている。これらの事項が全て判明するまで本人への通知をする必要がな

く、本人への通知は、「当該事態の状況に応じて速やかに」行う必要があいというものではなく、本人への通知は、「当該事態の状況に応じて速やる（3-6-4-2（通知の時間的制限）参照）。

かに」行う必要がある（3-6-4-2（通知の時間的制限）参照）。
［略］

［同左］

［3-6-4-4～3-6-4-6 略］［3-6-4-4～3-6-4-6 同左］

3-7

3-7

個人データの第三者への提供（第 17 条～第 20 条関係）

個人データの第三者への提供（第 17 条～第 20 条関係）

［3-7-1～3-7-4 略］［3-7-1～3-7-4 同左］

3-7-5

3-7-5

外国にある第三者への提供の制限（第 18 条関係）

［3-7-5-1 略］
3-7-5-2

外国にある第三者への提供の制限（第 18 条関係）

［3-7-5-1 同左］

電気通信事業者が講ずべき措置に相当する措置を継続的に講ず 3-7-5-2

電気通信事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備している者に個人データを提供した

るために必要な体制を整備している者に個人データを提供した

場合に講ずべき措置等場合に講ずべき措置等

［略］

［同左］

【相当措置の実施に影響を及ぼすおそれのある外国の制度の例】【相当措置の実施に影響を及ぼすおそれのある外国の制度の例】

事例 1) 事業者に対し政府の情報収集活動への広範な協力義務を課すことに事例 1) 事業者に対し政府の情報収集活動への広範な協力義務を課すことにより、事業者が保有する個人情報について政府による広範な情報収集が可より、事業者が保有する個人情報について政府による広範な情報収集が可能となる制度（※）

能となる制度事例 2) 事業者が本人からの消去等の請求に対応できないおそれがある個人

事例 2) 事業者が本人からの消去等の請求に対応できないおそれがある個人

情報の国内保存義務に係る制度情報の国内保存義務に係る制度

19

［略］

［同左］

(※)事業者が保有する個人情報について政府による情報収集が可能となる［新設］制度に関して、本人の権利利益に重大な影響を及ぼす可能性のある制度に該当するか否かを判断するに当たっては、例えば、OECD「民間部門が保有する個人データに対するガバメントアクセスに関する宣言」（2022 年）を参照することが考えられる。

［3-7-6・3-7-7 略］［3-7-6・3-7-7 同左］

3-8 ［略］

3-8 ［同左］

3-9 保有個人データに関する事項の公表等、保有個人データの開示・訂正

3-9 保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止等（第 22 条～第 29 条関係）
3-9-1

保有個人データに関する事項の公表等（第 22 条関係）等・利用停止等（第 22 条～第 29 条関係）
3-9-1

保有個人データに関する事項の公表等（第 22 条関係）

（1）保有個人データに関する事項の本人への周知（第 22 条第 1 項関係）

（1）保有個人データに関する事項の本人への周知（第 22 条第 1 項関係）

［略］

［同左］

［①～③ 略］［①～③ 同左］④保有個人データの安全管理のために講じた措置（ただし、本人の知り得④保有個人データの安全管理のために講じた措置（ただし、本人の知り得る状態に置くことにより当該保有個人データの安全管理に支障を及ぼする状態に置くことにより当該保有個人データの安全管理に支障を及ぼす

おそれがあるものを除く。）

おそれがあるものを除く。）

［略］

［同左］

当該安全管理のために講じた措置は、事業の規模及び性質、保有個人

当該安全管理のために講じた措置は、事業の規模及び性質、保有個人

20データの取扱状況（取り扱う保有個人データの性質及び量を含む。）、

データの取扱状況（取り扱う保有個人データの性質及び量を含む。）、保有個人データを記録した媒体等に起因するリスクに応じて、必要かつ保有個人データを記録した媒体等に起因するリスクに応じて、必要かつ適切な内容としなければならない。このため、当該措置の内容は電気通適切な内容としなければならない。このため、当該措置の内容は電気通信事業者によって異なり、本人の知り得る状態に置く安全管理のために信事業者によって異なり、本人の知り得る状態に置く安全管理のために講じた措置の内容についても電気通信事業者によって異なる。

講じた措置の内容についても電気通信事業者によって異なる。

なお、当該安全管理のために講じた措置には、電気通信事業者が取得

なお、本人の知り得る状態については、本人の求めに応じて遅滞なくし、又は取得しようとしている個人情報であって、当該電気通信事業者

回答する場合を含むため、講じた措置の概要や一部をホームページに掲が保有個人データとして取り扱うことを予定しているものの漏えい等を載し、残りを本人の求めに応じて遅滞なく回答を行うといった対応も可防止するために講じた措置も含まれる。

能であるが、例えば、本ガイドラインに沿って安全管理措置を実施しているといった内容の掲載や回答のみでは適切ではない。

本人の知り得る状態については、本人の求めに応じて遅滞なく回答する場合を含むため、講じた措置の概要や一部をホームページに掲載し、残りを本人の求めに応じて遅滞なく回答を行うといった対応も可能であるが、例えば、本ガイドラインに沿って安全管理措置を実施しているといった内容の掲載や回答のみでは適切ではない。
［⑤ 略］［⑤ 同左］［（2） 略］［（2） 同左］［3-9-2～3-9-9 略］［3-9-2～3-9-9 同左］［3-10～3-12 略］［3-10～3-12 同左］［4～5 略］［4～5 同左］

21

6

特定利用者情報の適正な取扱い（第 4 章関係）

6

特定利用者情報の適正な取扱い（第 4 章関係）

［6-1 略］［6-1 同左］

6-2

6-2

情報取扱方針（第 46 条関係）

情報取扱方針（第 46 条関係）

［6-2-1 略］［6-2-1 同左］

6-2-2

6-2-2

情報取扱方針の記載内容

情報取扱方針の記載内容

［略］

［同左］

［（※1）～（※5）略］［（※1）～（※5）同左］（※6）指定電気通信事業者に対し政府の情報収集活動への協力義務を課す（※6）指定電気通信事業者に対し政府の情報収集活動への協力義務を課す

ことにより、指定電気通信事業者が保有する特定利用者情報についてことにより、指定電気通信事業者が保有する特定利用者情報について

政府による情報収集が可能となる制度を指し、「特定利用者情報に係政府による情報収集が可能となる制度を指し、「特定利用者情報に係る利用者の権利利益に重大な影響を及ぼす可能性のある制度」に限らる利用者の権利利益に重大な影響を及ぼす可能性のある制度」に限ら

れる。

れる。

なお、指定電気通信事業者が保有する特定利用者情報について政府
による情報収集が可能となる制度に関して、特定利用者情報に係る利用者の権利利益に重大な影響を及ぼす可能性のある制度に該当するか否かを判断するに当たっては、例えば、OECD「民間部門が保有する個人データに対するガバメントアクセスに関する宣言」（2022 年）を参照することが考えられる。
［略］

［同左］

［6-2-3・6-2-4 略］［6-2-3・6-2-4 同左］［6-3～6-5 略］［6-3～6-5 同左］［7・8 略］［7・8 同左］

22

9（別添）講ずべき安全管理措置の内容

9

第 12 条に定める安全管理措置として、電気通信事業者が具体的に講じなければならない措置や当該措置を実践するための手法の例等を次に示す（別添）講ずべき安全管理措置の内容
第 12 条に定める安全管理措置として、電気通信事業者が具体的に講じなければならない措置や当該措置を実践するための手法の例等を次に示す。

(※)。
安全管理措置を講ずるための具体的な手法については、個人データ等が安全管理措置を講ずるための具体的な手法については、個人データ等が漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データ等の取扱状況（取り扱う個人データ等の性質の規模及び性質、個人データ等の取扱状況（取り扱う個人データ等の性質

及び量を含む。）、個人データ等を記録した媒体の性質等に起因するリス及び量を含む。）、個人データ等を記録した媒体の性質等に起因するリス

クに応じて、必要かつ適切な内容とすべきものであるため、必ずしも次にクに応じて、必要かつ適切な内容とすべきものであるため、必ずしも次に掲げる例示の内容の全てを講じなければならないわけではなく、また、適掲げる例示の内容の全てを講じなければならないわけではなく、また、適切な手法はこれらの例示の内容に限られない。

切な手法はこれらの例示の内容に限られない。

(※)第 12 条に定める「その他の個人データ等の安全管理のために必要か［新設］

つ適切な措置」には、電気通信事業者が取得し、又は取得しようとしている個人情報であって、当該電気通信事業者が個人データとして取り扱うことを予定しているものの漏えい等を防止するために必要かつ適切な措置も含まれる。そのため、次に掲げる措置及び例示における「個人データ等」には、当該個人情報も含まれる。
［9-1～9-7 略］［9-1～9-7 同左］［【付録】 略］［【付録】 同左］

備考 表中の[ ]の記載は注記である。

23