号

個人情報の保護に関する法律の一部を改正する法律（令和二年法律第四十四号）の施行に伴い、及び関係法令の規定に基づき、個人情報の保護に関する法律についてのガイドライン（匿名加工情報編）（平成二十八年個人情報保護委員会告示第九号）の一部を次のように改正する。
令和三年

月

日

個人情報保護委員会委員長 丹野美絵子

次の表により、改正前欄に掲げる規定の傍線を付し又は破線で囲んだ部分をこれに順次対応する改正後欄に掲げる規定の傍線を付し又は破線で囲んだ部
分のように改め、改正前欄及び改正後欄に対応して掲げるその標記部分に二重傍線を付した規定（以下「対象規定」という。）は、改正前欄に掲げる対象
規定を改正後欄に掲げる対象規定として移動し、改正前欄に掲げる対象規定で改正後欄にこれに対応するものを掲げていないものは、これを削り、改正後欄に掲げる対象規定で改正前欄にこれに対応するものを掲げていないものは、これを加える。
改正後

改正前

個人情報の保護に関する法律についてのガイドライン

個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）（匿名加工情報編）

目次

目次

1

資料２－５

○個人情報保護委員会告示第

1

[略]

1

[同左]

［削る］

2

定義

2

[新設]

仮名加工情報2-1 定義[新設]

2-1-1 仮名加工情報（法第 2 条第 9 項関係）

[新設]

2-1-2 仮名加工情報取扱事業者（法第 2 条第 10 項関係）

[新設]

2-2 仮名加工情報取扱事業者等の義務[新設]

2-2-1 仮名加工情報の取扱いに係る義務の考え方[新設]

2-2-2 仮名加工情報を作成する個人情報取扱事業者の義務等[新設]

2-2-2-1 仮名加工情報の適正な加工（法第 35 条の 2 第 1 項関係）

[新設]

2-2-2-1-1 特定の個人を識別することができる記述等の削除[新設]

2-2-2-1-2 個人識別符号の削除[新設]

2-2-2-1-3 不正に利用されることにより財産的被害が生じるおそれ[新設]のある記述等の削除
2-2-2-2 削除情報等の安全管理措置（法第 35 条の 2 第 2 項関係）

[新設]

2-2-3 個人情報である仮名加工情報の取扱いに関する義務等[新設]

2-2-3-1 利用目的による制限・公表（法第 35 条の 2 第 3 項・第 4 項

[新設]

関係）
[新設]

2-2-3-1-2 利用目的の公表[新設]

2-2-3-2 利用する必要がなくなった場合の消去（法第 35 条の 2 第 5[新設]
2

2-2-3-1-1 利用目的による制限

項関係）

3

2-2-3-3 第三者提供の禁止等（法第 35 条の 2 第 6 項関係）

[新設]

2-2-3-4 識別行為の禁止（法第 35 条の 2 第 7 項関係）

[新設]

2-2-3-5 本人への連絡等の禁止（法第 35 条の 2 第 8 項関係）

[新設]

2-2-3-6 適用除外（法第 35 条の 2 第 9 項関係）

[新設]

2-2-3-7 その他の義務等[新設]

2-2-4 個人情報でない仮名加工情報の取扱いに関する義務等[新設]

2-2-4-1 第三者提供の禁止等（法第 35 条の 3 第 1 項・第 2 項関係）

[新設]

2-2-4-2 その他の義務等（法第 35 条の 3 第 3 項関係）

[新設]

匿名加工情報3-1 定義[新設][新設]

3-1-1 匿名加工情報（法第 2 条第 11 項関係）

2-1 匿名加工情報（法第 2 条第 9 項関係）

3-1-2 匿名加工情報取扱事業者（法第 2 条第 12 項関係）

2-2 匿名加工情報取扱事業者（法第 2 条第 10 項関係）

3-2 匿名加工情報取扱事業者等の義務

3

匿名加工情報取扱事業者等の義務

3-2-1 匿名加工情報の取扱いに係る義務の考え方

3-1 匿名加工情報の取扱いに係る義務の考え方

3-2-2 匿名加工情報の適正な加工（法第 36 条第 1 項関係）

3-2 匿名加工情報の適正な加工（法第 36 条第 1 項関係）

3-2-2-1 特定の個人を識別することができる記述等の削除

3-2-1 特定の個人を識別することができる記述等の削除

3-2-2-2 個人識別符号の削除

3-2-2 個人識別符号の削除

3-2-2-3 情報を相互に連結する符号の削除

3-2-3 情報を相互に連結する符号の削除

3-2-2-4 特異な記述等の削除

3-2-4 特異な記述等の削除

3-2-2-5 個人情報データベース等の性質を踏まえたその他の措置

3-2-5 個人情報データベース等の性質を踏まえたその他の措置

3-2-3 匿名加工情報等の安全管理措置等（法第 36 条第 2 項、第 6

3-3 匿名加工情報等の安全管理措置等（法第 36 条第 2 項、第 6 項、第39 条関係）3項、第 39 条関係）
3-2-3-1 加工方法等情報の安全管理措置

3-3-1 加工方法等情報の安全管理措置

3-2-3-2 匿名加工情報の安全管理措置等

3-3-2 匿名加工情報の安全管理措置等

3-2-4 匿名加工情報の作成時の公表（法第 36 条第 3 項関係）

3-4 匿名加工情報の作成時の公表（法第 36 条第 3 項関係）

3-2-5 匿名加工情報の第三者提供（法第 36 条第 4 項、第 37 条関係）

3-5 匿名加工情報の第三者提供（法第 36 条第 4 項、第 37 条関係）

3-2-6 識別行為の禁止（法第 36 条第 5 項、第 38 条関係）

3-6 識別行為の禁止（法第 36 条第 5 項、第 38 条関係）

【付録】

[新設]

【凡例】

【凡例】

「法」

個人情報の保護に関する法律（平成 15 年法律第 57

「法」

号）

号）
「政令」

個人情報の保護に関する法律施行令（平成 15 年政令第個人情報の保護に関する法律（平成 15 年法律第 57「政令」

個人情報の保護に関する法律施行令（平成 15 年政令第507 号）

507 号）「規則」「規則」

個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第 3 号）

情報保護委員会規則第 3 号）
「通則ガイドライン」

個人情報の保護に関する法律施行規則（平成 28 年個人「通則ガイドライン」

個人情報の保護に関する法律についてのガ

個人情報の保護に関する法律についてのガイドライン（通則編）（平成 28 年個人情報

イドライン（通則編）（平成 28 年個人情報保護委員会告示第 6 号）

保護委員会告示第 6 号）
「改正法」

個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律（平成 27 年法律第 65 号）

本ガイドラインの位置付け及び適用対象

1

本ガイドラインの位置付け及び適用対象
41

1-1 本ガイドラインの位置付け

1-1 本ガイドラインの位置付け

個人情報保護委員会は、事業者が個人情報の適正な取扱いの確保に関

個人情報保護委員会は、事業者が個人情報の適正な取扱いの確保に関して行う活動を支援すること、及び当該支援により事業者が講ずる措置

して行う活動を支援すること、及び当該支援により事業者が講ずる措置が適切かつ有効に実施されることを目的として、個人情報の保護に関すが適切かつ有効に実施されることを目的として、個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「法」という。）第 4 条、第 8 条る法律（平成 15 年法律第 57 号。以下「法」という。）第 4 条、第 8 条

及び第 60 条に基づき具体的な指針として「個人情報の保護に関する法律及び第 60 条に基づき具体的な指針として「個人情報の保護に関する法律についてのガイドライン（通則編）」（平成 28 年個人情報保護委員会告についてのガイドライン（通則編）」（平成 28 年個人情報保護委員会告示第 6 号。以下「通則ガイドライン」という。）を定めているが、個人

示第 6 号。以下「通則ガイドライン」という。）を定めているが、個人

か

め い

情報取扱事業者及び 仮名 加工情報取扱事業者が仮名加工情報を取り扱う

情報取扱事業者及び匿名加工情報取扱事業者が匿名加工情報を取り扱う

場合、並びに個人情報取扱事業者及び匿名加工情報取扱事業者が匿名加場合において、匿名加工情報の適正な取扱いの確保に関して行う活動を

工情報を取り扱う場合において、仮名加工情報及び匿名加工情報の適正支援すること、及び当該支援により事業者が講ずる措置が適切かつ有効な取扱いの確保に関して行う活動を支援すること、並びに当該支援によに実施されることを目的として、法が定める事業者の義務のうち、匿名り事業者が講ずる措置が適切かつ有効に実施されることを目的として、加工情報の取扱いに関する部分に特化して分かりやすく一体的に示す観法が定める事業者の義務のうち、仮名加工情報及び匿名加工情報の取扱点から、通則ガイドラインとは別に、本ガイドラインを定めるものであいに関する部分に特化して分かりやすく一体的に示す観点から、通則ガる。（個人情報の適正な取扱いに関する部分の解釈等は、通則ガイドラ

イドラインとは別に、本ガイドラインを定めるものである。（なお、仮イン参照）

名加工情報と匿名加工情報の加工基準の差異の概要、及び仮名加工情報と匿名加工情報の取扱いに関する主な規律の差異の概要については、本
ガイドライン末尾の【付録】を参照のこと。また、個人情報の適正な取扱いに関する部分の解釈等については、通則ガイドライン参照のこ
5と。）
本ガイドラインの中で、「しなければならない」及び「してはならな

本ガイドラインの中で、「しなければならない」及び「してはならな

い」と記述している事項については、これらに従わなかった場合、法違い」と記述している事項については、これらに従わなかった場合、法違反と判断される可能性がある。一方、「努めなければならない」、「望反と判断される可能性がある。一方、「努めなければならない」、「望ましい」等と記述している事項については、これらに従わなかったことましい」等と記述している事項については、これらに従わなかったことをもって直ちに法違反と判断されることはないが、法の趣旨を踏まえ、をもって直ちに法違反と判断されることはないが、法の趣旨を踏まえ、事業者の特性や規模に応じ可能な限り対応することが望まれるものであ

事業者の特性や規模に応じ可能な限り対応することが望まれるものである。

る。

なお、本ガイドラインにおいて使用する用語は、特に断りのない限

なお、本ガイドラインにおいて使用する用語は、特に断りのない限

り、通則ガイドラインにおいて使用する用語の例による。

り、通則ガイドラインにおいて使用する用語の例による。

1-2 本ガイドラインの適用対象

1-2 本ガイドラインの適用対象

本ガイドラインは、事業者の業種・規模を問わず、仮名加工情報及び本ガイドラインは、事業者の業種・規模を問わず、匿名加工情報の取

匿名加工情報の取扱いに関して法の適用対象である個人情報取扱事業扱いに関して法の適用対象である個人情報取扱事業者又は匿名加工情報者、仮名加工情報取扱事業者又は匿名加工情報取扱事業者に該当する事取扱事業者に該当する事業者に適用される。

業者に適用される。
なお、法第 76 条に規定される適用除外の場合（※）については、法第

なお、法第 76 条に規定される適用除外の場合（※）については、法第4 章の適用対象外となるため、本ガイドラインの対象ではない。

4 章の適用対象外となるため、本ガイドラインの対象ではない。

（※）法第 76 条においては、次の場合について、法第 4 章の規定は適用しないこととしている。詳細は通則ガイドライン「5-2は適用しないこととしている。詳細は通則ガイドライン「6-2（適用除外）」を参照のこと。

（適用除外）」を参照のこと。

［①～⑤ 略］［①～⑤ 同左］
6（※）法第 76 条においては、次の場合について、法第 4 章の規定

［削る］

2

定義

本ガイドラインは、匿名加工情報の取扱いに関する部分を取りまとめたものであるため、法第 2 条における定義規定のうち、匿名加工情報及び匿名加工情報取扱事業者について定める法第 2 条第 9 項及び第 10 項に関するもののみを記載する。なお、法第 2 条におけるその他の定義に関しては、通則ガイドラインを参照のこと。

2

仮名加工情報［新設］

2-1 定義［新設］

2-1-1 仮名加工情報（法第 2 条第 9 項関係）

［新設］

法第 2 条（第 9 項）
9

この法律において「仮名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報をいう。
第 1 項第 1 号に該当する個人情報 当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
(2)

第 1 項第 2 号に該当する個人情報 当該個人情報に含まれる個
人識別符号の全部を削除すること（当該個人識別符号を復元する
ことのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

「仮名加工情報」とは、個人情報を、その区分に応じて次に掲げる措置を講じて他の情報と照合しない限り特定の個人を識別することができないように加工して得られる個人に関する情報をいう。

7(1)（1）法第 2 条第 1 項第 1 号に該当する「当該情報に含まれる氏名、生年
月日その他の記述等により特定の個人を識別できるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）」である個人情報の場合

当該個人情報に含まれる記述等の一部を削除すること（2）法第 2 条第 1 項第 2 号に該当する「個人識別符号が含まれる」個人
情報の場合

当該個人情報に含まれる個人識別符号の全部を削除すること（この8

措置を講じた上で、まだなお法第 2 条第 1 項第 1 号に該当する個人情報であった場合には、同号に該当する個人情報としての加工を行う必要がある。）「削除すること」には、「当該一部の記述等」又は「当該個人識別符号」を「復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む」とされている。「復元することのできる規則性を有しない方法」とは、置き換えた記述等から、置き換える前の特定の個人を識別することとなる記述等又は個人識別符号の内容を復元することができない方法である。

なお、法において「特定の個人を識別することができる」とは、情報単体又は複数の情報を組み合わせて保存されているものから社会通念上そのように判断できるものをいい、一般人の判断力又は理解力をもって生存する具体的な人物と情報の間に同一性を認めるに至ることができるかどうかによるものである。仮名加工情報に求められる「他の情報と照合しない限り特定の個人を識別することができない」という要件は、加工後の情報それ自体により特定の個人を識別することができないような状態にすることを求めるものであり、当該加工後の情報とそれ以外の他の情報を組み合わせることによって特定の個人を識別することができる状態にあることを否定するものではない。

仮名加工情報を作成するときは、法第 35 条の 2 第 1 項に規定する個人
9

情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第3 号。以下「規則」という。）で定める基準に従って加工する必要があり、法第 2 条第 9 項に定める措置を含む必要な措置は当該規則で定めている（仮名加工情報の作成に必要な加工義務については、2-2-2-1（仮名加工情報の適正な加工）参照）。

2-1-2 仮名加工情報取扱事業者（法第 2 条第 10 項関係）

法第 2 条（第 10 項）
10

この法律において「仮名加工情報取扱事業者」とは、仮名加工情報
を含む情報の集合物であって、特定の仮名加工情報を電子計算機を用［新設］

いて検索することができるように体系的に構成したものその他特定の仮名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第 35 条の 2 第 1 項において「仮名加工情報データベース等」という。）を事業の用に供している者をいう。ただし、第 5 項各号に掲げる者を除く。

政令第 5 条
法第 2 条第 10 項の政令で定めるものは、これに含まれる仮名加工
情報を一定の規則に従って整理することにより特定の仮名加工情報を容易に検索することができるように体系的に構成した情報の集合物でをいう。

「仮名加工情報取扱事業者」とは、仮名加工情報データベース等を事
業の用に供している者のうち、国の機関、地方公共団体、独立行政法人
等の保有する個人情報の保護に関する法律（平成 15 年法律第 59 号）で定める独立行政法人等及び地方独立行政法人法（平成 15 年法律第 118号）で定める地方独立行政法人を除いた者をいう。

「仮名加工情報を含む情報の集合物であって、特定の仮名加工情報を電子計算機を用いて検索することができるように体系的に構成したもの」とは、特定の仮名加工情報をコンピュータを用いて検索することができるように体系的に構成した、仮名加工情報を含む情報の集合物をい

10あって、目次、索引その他検索を容易にするためのものを有するものう。また、コンピュータを用いていない場合であっても、紙媒体の仮名加工情報を一定の規則に従って整理・分類し、特定の仮名加工情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当する。

ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。なお、法人格のない、権利能力のない社団（任意団体）又は個人であっても、仮名加工情報データベース等を事業の用に供している場合は、仮名加工情報

11

取扱事業者に該当する。

2-2 仮名加工情報取扱事業者等の義務［新設］

2-2-1 仮名加工情報の取扱いに係る義務の考え方［新設］

法第 4 章第 2 節においては、仮名加工情報を作成する個人情報取扱事
業者及び仮名加工情報データベース等を事業の用に供している仮名加工
情報取扱事業者が、仮名加工情報を取り扱う場合等に遵守すべき義務を規定している。
仮名加工情報取扱事業者において、仮名加工情報の作成の元となった個人情報や当該仮名加工情報に係る削除情報等（※1）を保有している等

により、当該仮名加工情報が「他の情報と容易に照合することができ、それにより特定の個人を識別することができる」状態にある場合には、
当該仮名加工情報は、「個人情報」（法第 2 条第 1 項）に該当する。この場合、当該仮名加工情報取扱事業者は、個人情報である仮名加工情報の取扱いに関する義務等を遵守する必要がある（2-2-3（個人情報である
仮名加工情報の取扱いに関する義務等）参照）。
これに対し、例えば、法第 35 条の 2 第 6 項又は第 35 条の 3 第 1 項若
しくは第 2 項の規定により仮名加工情報の提供を受けた仮名加工情報取扱事業者において、当該仮名加工情報の作成の元となった個人情報や当該仮名加工情報に係る削除情報等を保有していない等により、当該仮名

個人を識別することができる」状態にない場合には、当該仮名加工情報
は、「個人情報」（法第 2 条第 1 項）に該当しない。この場合、当該仮名加工情報取扱事業者は、個人情報でない仮名加工情報の取扱いに関する義務等を遵守する必要がある（2-2-4（個人情報でない仮名加工情報の取扱いに関する義務等）参照）。

（※1）「削除情報等」とは、仮名加工情報の作成に用いられた個
人情報から削除された記述等及び個人識別符号並びに法第 35条の 2 第 1 項により行われた加工の方法に関する情報をいう。

【仮名加工情報を作成する個人情報取扱事業者が遵守する義務等】

12

加工情報が「他の情報と容易に照合することができ、それにより特定の

（1）仮名加工情報を作成するときは、適正な加工を行わなければならない。（法第 35 条の 2 第 1 項）＜2-2-2-1（仮名加工情報の適正な加工）参照＞（2）仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工
情報に係る削除情報等を取得したときは、削除情報等の安全管理措置を講じなければならない。（法第 35 条の 2 第 2 項）＜2-2-2-2（削除情報等の安全管理措置）参照＞【個人情報取扱事業者である仮名加工情報取扱事業者が遵守する個人情報である仮名加工情報の取扱いに関する義務等】

された利用目的の達成に必要な範囲を超えて、個人情報である仮名加工情報を取り扱ってはならない。（法第 35 条の 2 第 3 項）＜2-23-1（利用目的による制限・公表）参照＞（2）個人情報である仮名加工情報を取得したときは、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を公表しなければならない。また、利用目的を変更した場合は、変更後の利用目的を公表しなければならない。（法第 35 条の 2 第 4 項）＜22-3-1（利用目的による制限・公表）参照＞（3）仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該仮名加工情報である個人データ及び削除情報等を遅滞なく消去するよう努めなければならない。（法第 35 条の 2
第 5 項）＜2-2-3-2（利用する必要がなくなった場合の消去）参照＞

13（1）法令に基づく場合を除くほか、法第 15 条第 1 項の規定により特定

（4）法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはならない。（法第 35 条の 2 第 6 項）＜2-2-3-3（第三者提供の禁止等）参照＞（5）個人情報である仮名加工情報を取り扱うに当たっては、元の個人情報に係る本人を識別する目的で他の情報と照合することを行ってはならない。（法第 35 条の 2 第 7 項）＜2-2-3-4（識別行為の禁止）
参照＞（6）個人情報である仮名加工情報を取り扱うに当たっては、元の個人情報に係る本人への連絡等を行う目的で当該仮名加工情報に含まれる
連絡先その他の情報を利用してはならない。（法第 35 条の 2 第 8（7）仮名加工情報（個人情報であるもの）、仮名加工情報である個人データ及び仮名加工情報である保有個人データについては、次の規定を適用しない。（法第 35 条の 2 第 9 項）＜2-2-3-6（適用除外）参照＞
・利用目的の変更の制限（法第 15 条第 2 項）・漏えい等の報告及び本人通知（法第 22 条の 2）
・保有個人データに関する事項の公表等、及び保有個人データの開示・訂正等・利用停止等への対応等（法第 27 条から第 34 条まで）（8）法第 4 章第 2 節の規定に基づく上記（1）から（7）までの規律のほか、仮名加工情報（個人情報であるもの）及び仮名加工情報である
個人データについては、通常の個人情報及び個人データと同様、次14項）＜2-2-3-5（本人への連絡等の禁止）参照＞

の規定が適用される（※2）。＜2-2-3-7（その他の義務等）参照＞
・不適正利用の禁止（法第 16 条の 2）
・適正取得（法第 17 条第 1 項）
・安全管理措置（法第 20 条）
・従業者の監督（法第 21 条）
・委託先の監督（法第 22 条）
・苦情処理（法第 35 条）（※2）要配慮個人情報の取得に関する法第 17 条第 2 項の適用関係、並びに確認・記録義務に関する法第 25 条及び第 26 条のと。

【仮名加工情報取扱事業者が遵守する個人情報でない仮名加工情報の取扱いに関する義務等】（1）法令に基づく場合を除くほか、仮名加工情報を第三者に提供してはならない。（法第 35 条の 3 第 1 項及び第 2 項）＜2-2-4-1（第三者提供の禁止等）参照＞（2）仮名加工情報については、次の規定が準用される。（法第 35 条の 3
第 3 項）＜2-2-4-2（その他の義務等）参照＞
・安全管理措置（法第 20 条）
・従業者の監督（法第 21 条）
・委託先の監督（法第 22 条）

15

適用関係については、2-2-3-7（その他の義務等）を参照のこ

・苦情処理（法第 35 条）
・識別行為の禁止（法第 35 条の 2 第 7 項）
・本人への連絡等の禁止（法第 35 条の 2 第 8 項）

2-2-2 仮名加工情報を作成する個人情報取扱事業者の義務等［新設］

2-2-2-1 仮名加工情報の適正な加工（法第 35 条の 2 第 1 項関係）

［新設］

法第 35 条の 2（第 1 項）
個人情報取扱事業者は、仮名加工情報（仮名加工情報データベース
等を構成するものに限る。以下同じ。）を作成するときは、他の情報と照合しない限り特定の個人を識別することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、個人情報を加工しなければならない。

規則第 18 条の 7
法第 35 条の 2 第 1 項の個人情報保護委員会規則で定める基準は、次のとおりとする。
(1)

個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること（当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

16

1

(2)

個人情報に含まれる個人識別符号の全部を削除すること（当該
個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

(3)

個人情報に含まれる不正に利用されることにより財産的被害が生じるおそれがある記述等を削除すること（当該記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

個人情報取扱事業者は、仮名加工情報（仮名加工情報データベース等を構成するものに限る（※1）。2-2-3-7（その他の義務等）を除き、以個人を識別することができないようにするために、規則第 18 条の 7 各号に定める基準に従って、個人情報を加工しなければならない。なお、「個人情報保護委員会規則で定める基準に従い、個人情報を加工」する
ためには、加工する情報の性質に応じて、規則第 18 条の 7 各号に定める加工基準を満たす必要がある。

（※1）仮名加工情報の取扱いに係る法第 4 章第 2 節の規律（法第35 条の 2 及び第 35 条の 3）は、仮名加工情報データベース等を構成する仮名加工情報に適用されるものである。いわゆる散在情報となる、仮名加工情報データベース等を構成しない
仮名加工情報には、法第 4 章第 2 節の規律は適用されない。
（※2）「作成するとき」は、仮名加工情報として取り扱うため

17

下同じ。）を作成するとき（※2）は、他の情報と照合しない限り特定のに、当該仮名加工情報を作成するときのことを指す。したがって、例えば、安全管理措置の一環として氏名等の一部の個
人情報を削除（又は他の記述等に置き換え）した上で引き続き個人情報として取り扱う場合、あるいは匿名加工情報又は統計情報を作成するために個人情報を加工する場合等については、仮名加工情報を「作成するとき」には該当しない。

2-2-2-1-1 特定の個人を識別することができる記述等の削除

［新設］

(1)

個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること（当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

個人情報取扱事業者が取り扱う個人情報には、一般に、氏名、住所、
生年月日、性別の他、様々な個人に関する記述等が含まれている。これ
らの記述等は、氏名のようにその情報単体で特定の個人を識別することができるもののほか、住所、生年月日など、これらの記述等が合わさる
ことによって特定の個人を識別することができるものもある。このような特定の個人を識別できる記述等から全部又はその一部を削除するある
いは他の記述等に置き換えることによって、特定の個人を識別すること

18

規則第 18 条の 7（第 1 号）

ができないよう加工しなければならない。
なお、他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない方法でなければならない（※1）。例えば、生年月日の情報
を生年の情報に置き換える場合のように、元の記述等をより抽象的な記述に置き換えることも考えられる。

【想定される加工の事例（※2）】
事例 1）会員 ID、氏名、年齢、性別、サービス利用履歴が含まれる個人情報を加工する場合に次の措置を講ずる。
1）氏名を削除する。

の 1 から 3 までの措置を講ずる。
1）氏名を削除する。
2）住所を削除する。又は、○○県△△市に置き換える。
3）生年月日を削除する。又は、日を削除し、生年月に置き換える。

（※1）他の記述等への置き換えとして、仮 ID を付す場合には、元の記述等を復元することのできる規則性を有しない方法でなければならない。
仮 ID を付す際の注意点については、3-2-2-1（特定の個人を識別することができる記述等の削除）の（※）を参照のこと。

19

事例 2）氏名、住所、生年月日が含まれる個人情報を加工する場合に次（※2）講ずべき措置は、個別の事例ごとに判断する必要がある。
例えば、氏名の削除後、当該個人情報に含まれる他の記述等
により、なお特定の個人を識別することができる場合には、当該記述等によって特定の個人を識別することができなくなるよう加工する必要がある。

2-2-2-1-2 個人識別符号の削除[新設]

規則第 18 条の 7（第 2 号）
個人情報に含まれる個人識別符号の全部を削除すること（当該
個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

加工対象となる個人情報が、個人識別符号を含む情報であるときは、
当該個人識別符号単体で特定の個人を識別できるため、当該個人識別符号の全部を削除又は他の記述等へ置き換えて、特定の個人を識別できないようにしなければならない。
なお、他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない方法による必要がある。

（参考）個人識別符号の概要
個人識別符号とは、その情報単体から特定の個人を識別することがで

20

(2)

きるものとして個人情報の保護に関する法律施行令（平成 15 年政令第507 号。以下「政令」という。）で定めるものをいい、次のいずれかに該当するものである（個人識別符号の定義の詳細については、通則ガイド
ライン「2-2（個人識別符号）」参照）。
（1）特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した符号・

生体情報（DNA、顔、虹彩、声紋、歩行の態様、手指の静脈、指紋・掌紋）をデジタルデータに変換したもののうち、特定の個人を識別するに足りるものとして規則で定める基準に適合するもの（政令第 1 条第 1 号及び規則第 2 条）
（2）対象者ごとに異なるものとなるように役務の利用、商品の購入又は・21

書類に付される符号
旅券番号、基礎年金番号、免許証番号、住民票コード、マイナ
ンバー、各種保険証の番号等の公的機関が割り振る番号（政令第 1
条第 2 号から第 8 号まで、規則第 3 条及び第 4 条）

2-2-2-1-3 不正に利用されることにより財産的被害が生じるおそれのある記述等の削除

規則第 18 条の 7（第 3 号）
(3)

個人情報に含まれる不正に利用されることにより財産的被害が生じるおそれがある記述等を削除すること（当該記述等を復元す［新設］

ることのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

一般的にみて、不正に利用されることにより個人の財産的被害が生じるおそれが類型的に高い記述等については、それが漏えいした場合に個人の権利利益の侵害が生じる蓋然性が相対的に高いと考えられる。そのため、仮名加工情報を作成するに当たっては、当該記述等について削除
又は他の記述等への置き換えを行わなければならない。
なお、他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない方法による必要がある。

22【想定される加工の事例】
事例 1）クレジットカード番号を削除する。
事例 2）送金や決済機能のあるウェブサービスのログイン ID・パスワー
ドを削除する。

2-2-2-2 削除情報等の安全管理措置（法第 35 条の 2 第 2 項関係）

法第 35 条の 2（第 2 項）
2

個人情報取扱事業者は、仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等（仮名加工情報の作成に用いられた個人情報から削除された記述等及び個人識別符号並びに［新設］

前項の規定により行われた加工の方法に関する情報をいう。以下この条及び次条第 3 項において読み替えて準用する第 7 項において同じ。）を取得したときは、削除情報等の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、削除情報
等の安全管理のための措置を講じなければならない。

規則第 18 条の 8
法第 35 条の 2 第 2 項の個人情報保護委員会規則で定める基準は、次のとおりとする。
(1)

法第 35 条の 2 第 2 項に規定する削除情報等（同条第 1 項の規を用いて仮名加工情報の作成に用いられた個人情報を復元することができるものに限る。以下この条において同じ。）を取り扱う
者の権限及び責任を明確に定めること。
(2)

削除情報等の取扱いに関する規程類を整備し、当該規程類に従って削除情報等を適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果に基づき改善を図るために必要な措置を講ずること。

(3)

削除情報等を取り扱う正当な権限を有しない者による削除情報等の取扱いを防止するために必要かつ適切な措置を講ずること。

個人情報取扱事業者は、仮名加工情報を作成したとき、又は仮名加工
情報及び当該仮名加工情報に係る削除情報等を取得したときは、削除情23

定により行われた加工の方法に関する情報にあっては、その情報

報等（法第 35 条の 2 第 1 項の規定により行われた加工の方法に関する情報にあっては、その情報を用いて仮名加工情報の作成に用いられた個人情報を復元することができるものに限る（※1）。以下この項において同じ。）の漏えいを防止するために、規則で定める基準に従い、必要な措置を講じなければならない（※2）。
当該措置の内容は、対象となる削除情報等が漏えいした場合における個人の権利利益の侵害リスクの大きさを考慮し、当該削除情報等の量、性質等に応じた内容としなければならないが、具体的に講じなければな
らない項目及び具体例については、別表 1（削除情報等の安全管理で求め（※1）「その情報を用いて仮名加工情報の作成に用いられた個人情報を復元することができるもの」には、例えば、氏名等を仮 ID に置き換えた場合における置き換えアルゴリズムに用いられる乱数等のパラメータ又は氏名と仮 ID の対応表等のような加工の方法に関する情報が該当し、「氏名を削除した」というような復元につながらない情報は該当しない。
（※2）氏名と仮 ID の対応表等のように削除情報等が個人データに該当する場合において、当該削除情報等について漏えい、滅失又は毀損（以下「漏えい等」という。）が発生し、それが法第 22 条の 2 の要件を満たす場合には、同条に基づく報告や本人通知が必要となる。
また、個別の事例ごとに判断する必要があるが、例えば、

24

られる措置の具体例）を参照のこと。

氏名と仮 ID の対応表等の削除情報等が漏えい等した場合には、削除情報等の安全管理措置を講ずる義務（法第 35 条の 2
第 2 項）や仮名加工情報である個人データの安全管理措置を講ずる義務（法第 20 条）の履行の観点から、原則として、当
該仮名加工情報に含まれる仮 ID を振り直すこと等により仮名加工情報を新たに作り直す等の措置を講じることが必要となる。

（別表 1）削除情報等の安全管理で求められる措置の具体例
講じなければならない

具体例①削除情報等を取り扱

・削除情報等の安全管理措置を講ずるためのう者の権限及び責任の組織体制の整備明確化（規則第 18 条の 8 第 1号）②削除情報等の取扱い・削除情報等の取扱いに係る規程等の整備とに関する規程類の整備

これに従った運用及び当該規程類に従っ

・従業者の教育た削除情報等の適切な・削除情報等の取扱状況を確認する手段の整

取扱い

備並びに削除情報等の取・削除情報等の取扱状況の把握、安全管理措

扱状況の評価及びその置の評価、見直し及び改善

25

措置

結果に基づき改善を図るために必要な措置の実施（規則第 18 条の 8 第 2③削除情報等を取り扱

・削除情報等を取り扱う権限を有しない者にう正当な権限を有しな

よる閲覧等の防止い者による削除情報等

・機器、電子媒体等の盗難等の防止の取扱いを防止するた・電子媒体等を持ち運ぶ場合の漏えいの防止

めに必要かつ適切な措・削除情報等の削除並びに機器、電子媒体等

置の実施

の廃棄

（規則第 18 条の 8 第 3

・削除情報等へのアクセス制御号）

・削除情報等へのアクセス者の識別と認証

26号）

・外部からの不正アクセス等の防止・情報システムの使用に伴う削除情報等の漏えいの防止

2-2-3 個人情報である仮名加工情報の取扱いに関する義務等［新設］

2-2-3-1 利用目的による制限・公表（法第 35 条の 2 第 3 項・第 4 項

［新設］

関係）

2-2-3-1-1 利用目的による制限［新設］

法第 35 条の 2（第 3 項）
3

仮名加工情報取扱事業者（個人情報取扱事業者である者に限る。以下この条において同じ。）は、第 16 条の規定にかかわらず、法令に基づく場合を除くほか、第 15 条第 1 項の規定により特定された利用目的の達成に必要な範囲を超えて、仮名加工情報（個人情報であるものに限る。以下この条において同じ。）を取り扱ってはならない。

個人情報取扱事業者である仮名加工情報取扱事業者は、法令に基づく目的（※2）の達成に必要な範囲を超えて、個人情報である仮名加工情報を取り扱ってはならない。
「法令に基づく場合」以外の場合において、法第 15 条第 1 項の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報である
仮名加工情報を取り扱う場合には、あらかじめ利用目的を変更する必要がある。なお、仮名加工情報については、利用目的の変更の制限に関する法第 15 条第 2 項の規定は適用されないため、変更前の利用目的と関連性を有すると合理的に認められる範囲を超える利用目的の変更も認められる（2-2-3-6（適用除外）参照）。
利用目的を変更した場合には、原則として変更後の利用目的を公表しなければならない（2-2-3-1-2（利用目的の公表）参照）。

27

場合（※1）を除くほか、法第 15 条第 1 項の規定により特定された利用

（※1）「法令に基づく場合」の具体的な事例については、通則ガ
イドライン「3-1-5（利用目的による制限の例外）」を参照のこと。
（※2）個人情報取扱事業者が仮名加工情報を作成したときは、作成の元となった個人情報に関して法第 15 条第 1 項の規定により特定された利用目的が、当該仮名加工情報の利用目的として引き継がれる。

法第 35 条の 2（第 4 項）
4

仮名加工情報についての第 18 条の規定の適用については、同条第 1項及び第 3 項中「、本人に通知し、又は公表し」とあるのは「公表し」と、同条第 4 項第 1 号から第 3 号までの規定中「本人に通知し、又は公表する」とあるのは「公表する」とする。

個人情報取扱事業者である仮名加工情報取扱事業者は、個人情報である仮名加工情報を取得した場合（※）には、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を公表しなければならない。
また、利用目的の変更を行った場合には、変更後の利用目的を公表しなければならない。

［新設］

28

2-2-3-1-2 利用目的の公表ただし、次の（1）から（4）までの場合については、個人情報である
仮名加工情報の取得時、及び個人情報である仮名加工情報の利用目的の変更時における利用目的の公表は不要である。

（1）利用目的を公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（2）利用目的を公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合（3）国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を公表することに（4）取得の状況からみて利用目的が明らかであると認められる場合（※）個人情報取扱事業者が、自らが保有する個人情報の一部を削除する等の加工を行ったに過ぎない場合は、ここでいう個人情報の「取得」には該当しない。
そのため、個人情報取扱事業者が、自らが保有する個人情報を加工して仮名加工情報を作成した場合には、当該仮名加工情報が個人情報に当たる場合でも、ここでいう個人情報である仮名加工情報の「取得」には該当しない。
これに対し、例えば、仮名加工情報を作成した個人情報取扱事業者が、当該仮名加工情報及び当該仮名加工情報に係る削除情報等を、事業の承継に伴い他の事業者に提供した場合

29より当該事務の遂行に支障を及ぼすおそれがあるとき

（2-2-3-3（第三者提供の禁止等）参照）、当該他の事業者にとって、当該仮名加工情報は、通常、当該削除情報等と容易に照合でき、それによって特定の個人を識別できる情報に該当するため、個人情報に該当する。この場合には、当該他の事業者が事業の承継に伴い当該仮名加工情報の提供を受ける
ことは、ここでいう個人情報である仮名加工情報の「取得」に該当する。

2-2-3-2 利用する必要がなくなった場合の消去（法第 35 条の 2 第 5

［新設］

30

項関係）

法第 35 条の 2（第 5 項）
5

仮名加工情報取扱事業者は、仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞なく消去するよう努めなければならない。この場合においては、第 19 条の規定は、適用しない。

個人情報取扱事業者である仮名加工情報取扱事業者は、保有する仮名加工情報である個人データについて利用する必要がなくなったとき、す
なわち、利用目的が達成され当該目的との関係では当該仮名加工情報である個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止

となり、当該事業の再開の見込みもない場合等は、当該仮名加工情報である個人データを遅滞なく消去するよう努めなければならない（※1）。
また、保有する削除情報等について利用する必要がなくなったときは、当該削除情報等を遅滞なく消去するように努めなければならない（※2）。

【仮名加工情報である個人データについて利用する必要がなくなったときに該当する事例】
事例）新商品の開発のため、仮名加工情報である個人データを保有していたところ、当該新商品の開発に関する事業が中止となり、当31

該事業の再開の見込みもない場合【削除情報等について利用する必要がなくなったときに該当する事例】
事例）仮名加工情報についての取扱いを終了し、新たな仮名加工情報を作成する見込みもない場合（※1）「仮名加工情報である個人データの消去」とは、当該仮名加工情報である個人データを個人データでなくすることであり、当該仮名加工情報である個人データを削除することのほか、当該仮名加工情報を容易に照合できる他の情報と組み合わせても特定の個人を識別できないようにすること等を含む。
（※2）「削除情報等の消去」とは、当該削除情報等を削除することをいう。

2-2-3-3 第三者提供の禁止等（法第 35 条の 2 第 6 項関係）

［新設］

法第 35 条の 2（第 6 項）
6

仮名加工情報取扱事業者は、第 23 条第 1 項及び第 2 項並びに第 24条第 1 項の規定にかかわらず、法令に基づく場合を除くほか、仮名加
工情報である個人データを第三者に提供してはならない。この場合において、第 23 条第 5 項中「前各項」とあるのは「第 35 条の 2 第 6項」と、同項第 3 号中「、本人に通知し、又は本人が容易に知り得る

通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と、第 25 条第 1 項ただし書中「第 23 条第 1 項各号又は第 5 項各号のいずれか（前条第 1 項の規定による個人データの提供にあっては、第 23 条第 1 項各号のいずれか）」とあり、及び第26 条第 1 項ただし書中「第 23 条第 1 項各号又は第 5 項各号のいずれか」とあるのは「法令に基づく場合又は第 23 条第 5 項各号のいずれか」とする。

個人情報取扱事業者である仮名加工情報取扱事業者は、法令に基づく場合（※1）を除くほか、仮名加工情報である個人データを第三者に提供してはならない。
ただし、次の（1）から（3）までの場合については、仮名加工情報で32

状態に置いて」とあるのは「公表して」と、同条第 6 項中「、本人にある個人データの提供先は個人情報取扱事業者である仮名加工情報取扱事業者とは別の主体として形式的には第三者に該当するものの、提供主
体の個人情報取扱事業者である仮名加工情報取扱事業者と一体のものとして取り扱うことに合理性があるため、第三者には該当しないものとする。
そのため、このような要件を満たす場合には、仮名加工情報である個
人データを提供することができる。
なお、法令に基づく場合又は次の（1）から（3）までのいずれかの場
合における仮名加工情報である個人データの提供については、確認・記録義務は課されない（法第 35 条の 2 第 6 項により読み替えて適用される

33

法第 25 条第 1 項ただし書及び第 26 条第 1 項ただし書）。

（1）委託（法第 35 条の 2 第 6 項、第 23 条第 5 項第 1 号関係）

利用目的の達成に必要な範囲内において、仮名加工情報である個人データの取扱いに関する業務の全部又は一部を委託することに伴い、当該
仮名加工情報である個人データが提供される場合は、当該提供先は第三者に該当しない。この場合、当該提供先は、委託された業務の範囲内でのみ、提供主体の個人情報取扱事業者である仮名加工情報取扱事業者と一体のものとして取り扱われることに合理性があるため、委託された業務以外に当該仮名加工情報である個人データを取り扱うことはできない。
なお、提供主体の個人情報取扱事業者である仮名加工情報取扱事業者

には、法第 22 条により、委託先に対する監督責任が課される（2-2-3-7（その他の義務等）参照）。
個人情報取扱事業者である仮名加工情報取扱事業者は、委託先に対する監督義務、及び仮名加工情報である個人データの安全管理措置を講ずる義務（法第 20 条）の履行の観点から、委託先が提供を受けた仮名加工
情報を取り扱うに当たり、法第 35 条の 2 又は法第 35 条の 3 に違反する事態が生じることのないよう、委託先に対して、提供する情報が仮名加工情報である旨を明示しなければならない。

合併、分社化、事業譲渡等により事業が承継されることに伴い、当該事業に係る仮名加工情報である個人データが提供される場合は、当該提供先は第三者に該当しない。
また、事業の承継のための契約を締結するより前の交渉段階で、相手会社から自社の調査を受け、自社の仮名加工情報である個人データを相手会社へ提供する場合も、法第 35 条の 2 第 6 項により読み替えて適用される法第 23 条第 5 項第 2 号に該当し、仮名加工情報である個人データを提供することができるが、当該データの利用目的及び取扱方法、漏えい等が発生した場合の措置、事業承継の交渉が不調となった場合の措置等、相手会社に安全管理措置を遵守させるために必要な契約を締結しなければならない。

34（2）事業の承継（法第 35 条の 2 第 6 項、第 23 条第 5 項第 2 号関係）

（3）共同利用（法第 35 条の 2 第 6 項、第 23 条第 5 項第 3 号関係）

特定の者との間で共同して利用される仮名加工情報である個人データを当該特定の者に提供する場合（※2）であって、次の①から⑤までの情報（※3）を、提供に当たりあらかじめ公表しているときには、当該提供先は、当該仮名加工情報である個人データを当初提供した個人情報取扱事業者である仮名加工情報取扱事業者と一体のものとして取り扱われることに合理性があると考えられることから、第三者に該当しない（※
4）。
仮名加工情報は、加工によりそれ自体では特定の個人を識別できないをする目的での利用が禁止されていること（法第 35 条の 2 第 7 項及び第8 項）等を踏まえ、利用目的の柔軟な変更が許容されている（法第 35 条の 2 第 9 項）。そのため、仮名加工情報である個人データの共同利用における利用する者の範囲や利用目的等は、作成の元となった個人情報の取得の時点において通知又は公表されていた利用目的の内容や取得の経緯等にかかわらず、設定可能である。

①共同利用をする旨
仮名加工情報である個人データを共同利用する旨を公表する必要がある。

②共同して利用される仮名加工情報である個人データの項目

35

ものとなっており、また、本人を識別する目的での利用や本人に連絡等

事例）「氏名・性別・年齢・サービス利用履歴」のうち、氏名を削除し、「性別・年齢・サービス利用履歴」に関する仮名加工
情報を作成して共同利用する場合の公表項目は、「性別」、「年齢」、「サービス利用履歴」である。

③共同して利用する者の範囲
仮名加工情報である個人データの「共同利用の趣旨」は、当該仮名加工情報である個人データを提供する事業者と一体のものとして取り扱われることに合理性がある範囲で、当該仮名加工情報である
個人データを共同して利用することである。

利用されるかが客観的に判断できる程度に明確にする必要がある。
なお、当該範囲が明確である限りにおいては、必ずしも事業者の名称等を個別に全て列挙する必要はない。

④利用する者の利用目的
共同して利用する仮名加工情報である個人データについて、その利用目的を全て、公表しなければならない。
なお、利用目的が仮名加工情報である個人データの項目によって異なる場合には、当該仮名加工情報である個人データの項目ごとに利用目的を区別して記載することが望ましい。

⑤当該仮名加工情報である個人データの管理について責任を有する者

36

したがって、共同利用者の範囲については、どの事業者まで将来

の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名「仮名加工情報である個人データの管理について責任を有する者」とは、苦情を受け付け、その処理に尽力するとともに、安全管
理等仮名加工情報である個人データの管理について責任を有する者をいう。
なお、ここでいう「責任を有する者」とは、共同して利用する全ての事業者の中で、第一次的に苦情の受付・処理を行う権限を有する者をいい、共同利用者のうち一事業者の内部の担当責任者をいう
ものではない。

イドライン「3-1-5（利用目的による制限の例外）」を参照のこと。
（※2）共同利用の対象となる仮名加工情報である個人データの提供については、必ずしも全ての共同利用者が双方向で行う必要はなく、一部の共同利用者に対し、一方向で行うこともできる。
（※3）事業者が共同利用を実施する場合には、共同利用者における責任等を明確にし円滑に実施する観点から、上記①から⑤までの情報のほか、例えば、次の（ア）から（カ）までの事
項についても、あらかじめ取り決めておくことが望ましい。
（ア）共同利用者の要件（グループ会社であること、特定のキャンペーン事業の一員であること等、共同利用による

37（※1）「法令に基づく場合」の具体的な事例については、通則ガ

事業遂行上の一定の枠組み）（イ）各共同利用者における仮名加工情報の取扱責任者、問合せ担当者及び連絡先（ウ）共同利用する仮名加工情報である個人データの取扱いに関する事項・仮名加工情報である個人データの漏えい等防止に関する事項
・目的外の加工、利用、複写、複製等の禁止
・共同利用終了後のデータの返還、消去、廃棄に関する事項

に関する取決めが遵守されなかった場合の措置（オ）共同利用する仮名加工情報である個人データに関する事件・事故が発生した場合の報告・連絡に関する事項（カ）共同利用を終了する際の手続（※4）共同利用か委託かは、仮名加工情報である個人データの取扱いの形態によって判断されるものであって、共同利用者の範囲に委託先事業者が含まれる場合であっても、委託先との関係は、共同利用となるわけではなく、委託元は委託先の監督義務を免れるわけではない。

＜共同利用に係る事項の変更（法第 35 条の 2 第 6 項、第 23 条第 6 項関係）＞

38（エ）共同利用する仮名加工情報である個人データの取扱い

仮名加工情報である個人データを共同利用する場合において、「仮名加工情報である個人データの管理について責任を有する者の氏名、名称
若しくは住所又は法人にあっては、その代表者の氏名」に変更があった
ときは、遅滞なく、変更後の内容について公表しなければならない。また、「共同利用する者の利用目的」又は「仮名加工情報である個人デー
タの管理について責任を有する者」を変更しようとするときは、あらか
じめ、変更する内容について公表しなければならない。
なお、「共同して利用される仮名加工情報である個人データの項目」
及び「共同して利用する者の範囲」について変更することは、原則としを行うことができる。

事例 1）共同利用を行う事業者の名称に変更があるが、共同して利用される仮名加工情報である個人データの項目には変更がない場合
事例 2）共同利用を行う事業者について事業の承継が行われた場合（共同利用する仮名加工情報である個人データの項目等の変更がな
いことが前提）（※）提供に当たりあらかじめ法第 35 条の 2 第 6 項において読み替えて適用される法第 23 条第 5 項第 3 号に定める事項を公表した上で、新たな共同利用を行うことは妨げられない。

39て認められない（※）が、例えば次のような場合は、引き続き共同利用

2-2-3-4 識別行為の禁止（法第 35 条の 2 第 7 項関係）

［新設］

法第 35 条の 2（第 7 項）
7

仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たっては、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該仮名加工情報を他の情報と照合してはならない。

個人情報取扱事業者である仮名加工情報取扱事業者が個人情報である
仮名加工情報を取り扱う場合には、当該仮名加工情報の作成の元となっ（※）と照合してはならない。

【識別行為に当たらない取扱いの事例】
事例 1）複数の仮名加工情報を組み合わせて統計情報を作成すること。
事例 2）仮名加工情報を個人と関係のない情報（例：気象情報、交通情報、金融商品等の取引高）とともに傾向を統計的に分析すること。

【識別行為に当たる取扱いの事例】
事例 1）保有する個人情報と仮名加工情報について、共通する記述等を選別してこれらを照合すること。

40

た個人情報の本人を識別する目的で、当該仮名加工情報を他の情報

事例 2）仮名加工情報を、当該仮名加工情報の作成の元となった個人情報と照合すること。

（※）「他の情報」に限定はなく、本人を識別する目的をもって行う行為であれば、個人情報、個人関連情報、仮名加工情報
及び匿名加工情報を含む情報全般と照合する行為が禁止される。また、具体的にどのような技術又は手法を用いて照合するかは問わない。

［新設］
41

2-2-3-5 本人への連絡等の禁止（法第 35 条の 2 第 8 項関係）

法第 35 条の 2（第 8 項）
8

仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たっては、電話をかけ、郵便若しくは民間事業者による信書の送達に関する法律（平成 14 年法律第 99 号）第 2 条第 6 項に規定する一般信書便事
業者若しくは同条第 9 項に規定する特定信書便事業者による同条第 2項に規定する信書便により送付し、電報を送達し、ファクシミリ装置
若しくは電磁的方法（電子情報処理組織を使用する方法その他の情報通信の技術を利用する方法であって個人情報保護委員会規則で定めるものをいう。）を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用してはならない。

規則第 18 条の 9
法第 35 条の 2 第 8 項に規定する電磁的方法は、次に掲げる方法とする。
(1)

電話番号を送受信のために用いて電磁的記録を相手方の使用に係る携帯して使用する通信端末機器に送信する方法（他人に委託して行う場合を含む。）(2)

電子メールを送信する方法（他人に委託して行う場合を含
む。）

(3)

前号に定めるもののほか、その受信をする者を特定して情報を伝達するために用いられる電気通信（電気通信事業法（昭和 59

送信する方法（他人に委託して行う場合を含む。）

個人情報取扱事業者である仮名加工情報取扱事業者は、個人情報である仮名加工情報を取り扱う場合には、電話をかけ、郵便若しくは信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報の利用を行ってはならない。
ここでいう「電磁的方法」とは、次の（1）から（3）までのいずれかの方法をいう。

（1） 電話番号を送受信のために用いて電磁的記録を相手方の使用に係る携帯して使用する通信端末機器に送信する方法（他人に委託して

42

年法律第 86 号）第 2 条第 1 号に規定する電気通信をいう。）を行う場合を含む。）（規則第 18 条の 9 第 1 号関係）

いわゆるショートメールを送信する方法であり、他人に委託して行う
場合を含む。

（2） 電子メールを送信する方法（他人に委託して行う場合を含む。）（規則第 18 条の 9 第 2 号関係）

電子メールを送信する方法であり、他人に委託して行う場合を含む。

達するために用いられる電気通信（電気通信事業法（昭和 59 年法律第 86 号）第 2 条第 1 号に規定する電気通信をいう。）を送信する方法（他人に委託して行う場合を含む。）（規則第 18 条の 9 第 3 号関係）

電子メールを送信する方法のほか、受信する者を特定した上で情報を伝達するために用いられる電気通信を送信する方法であり、他人に委託して行う場合を含む。

【受信する者を特定して情報を伝達するために用いられる電気通信を送信する方法に該当する事例】
事例 1）いわゆる SNS（ソーシャル・ネットワーキング・サービス）の43（3） 前号に定めるもののほか、その受信をする者を特定して情報を伝メッセージ機能によりメッセージを送信する方法
事例 2）CookieID を用いて受信する者を特定した上で、当該受信者に対して固有の内容のインターネット広告を表示する方法

2-2-3-6 適用除外（法第 35 条の 2 第 9 項関係）

［新設］

法第 35 条の 2（第 9 項）
9仮名加工情報、仮名加工情報である個人データ及び仮名加工情報である保有個人データについては、第 15 条第 2 項、第 22 条の 2 及び第44

27 条から第 34 条までの規定は、適用しない。

仮名加工情報（個人情報であるもの）、仮名加工情報である個人デー
タ及び仮名加工情報である保有個人データの取扱いについては、次の（1）から（3）までの規定が適用されない。

（1）利用目的の変更（法第 15 条第 2 項関係）

仮名加工情報（個人情報であるもの）については、利用目的の変更の制限に関する法第 15 条第 2 項の規定は適用されないため、変更前の利用
目的と関連性を有すると合理的に認められる範囲を超える利用目的の変更も認められる。

（2）漏えい等の報告等（法第 22 条の 2 関係）

仮名加工情報である個人データについては、法第 22 条の 2 の規定は適用されないため、仮名加工情報である個人データについて漏えい等が発生した場合でも、法第 22 条の 2 に基づく報告や本人通知は不要である（※1）。

（3）本人からの開示等の請求等（法第 27 条～第 34 条関係）

仮名加工情報である保有個人データについては、法第 27 条から第 34については、これらの規定に基づく本人からの開示等の請求等の対象とならない（※2）。

（※1）仮名加工情報の作成の元となった個人データ又は氏名と仮ID の対応表のような削除情報等（個人データであるもの）については、法第 22 条の 2 の規定が適用される。そのため、これらについての漏えい等が発生した場合において、当該漏えい等が法第 22 条の 2 に定める要件を満たす場合には、同条に基づく報告や本人通知の対象となる。
（※2）個人情報取扱事業者である仮名加工情報取扱事業者が仮名加工情報の作成の元となった保有個人データを引き続き保有している場合、当該保有個人データについては、法第 27 条か

45条までの規定は適用されないため、仮名加工情報である保有個人データ

ら第 34 条までの規定に基づく本人からの開示等の請求等の対象となる。

2-2-3-7 その他の義務等［新設］

個人情報取扱事業者である仮名加工情報取扱事業者による仮名加工情報（個人情報であるもの）及び仮名加工情報である個人データの取扱いについては、上記 2-2-3-1（利用目的による制限・公表）から 2-2-3-6（適用除外）までに記載の各規律のほか、次の（1）から（6）までの義（1）不適正利用の禁止（法第 16 条の 2 関係）

違法又は不当な行為を助長し、又は誘発するおそれがある方法により仮名加工情報（個人情報であるもの）を利用してはならない。
詳細については、通則ガイドライン「3-2（不適正利用の禁止）」を参照のこと。

（2）適正取得（法第 17 条第 1 項関係）

偽りその他不正の手段により仮名加工情報（個人情報であるもの）を取得してはならない。
詳細については、通則ガイドライン「3-3-1（適正取得）」を参照のこ

46

務等が課される（※）。

と。

（3）安全管理措置（法第 20 条関係）取り扱う仮名加工情報である個人データの漏えい等その他の安全管理のために必要かつ適切な措置を講じなければならない。
詳細については、通則ガイドライン「3-4-2（安全管理措置）」を参照のこと。
なお、仮名加工情報には識別行為の禁止義務や本人への連絡等の禁止義務が課されていることから、仮名加工情報を取り扱うに当たっては、報に該当することを明確に認識できるようにしておくことが重要である。そのため、仮名加工情報を取り扱う者にとってその情報が仮名加工情報である旨が一見して明らかな状態にしておくことが望ましい。

（4）従業者の監督（法第 21 条関係）

従業者に仮名加工情報である個人データを取り扱わせるに当たっては、当該仮名加工情報である個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
詳細については、通則ガイドライン「3-4-3（従業者の監督）」を参照
のこと。

47

それを取り扱う者が不適正な取扱いをすることがないよう、仮名加工情（5）委託先の監督（法第 22 条関係）

仮名加工情報である個人データの取扱いの全部又は一部を委託する場
合は、その取扱いを委託された仮名加工情報である個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
詳細については、通則ガイドライン「3-4-4（委託先の監督）」を参照のこと。

仮名加工情報（個人情報であるもの）の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
また、苦情の適切かつ迅速な処理を行うに当たり、苦情処理窓口の設
置や苦情処理の手順を定める等必要な体制の整備に努めなければならない。
詳細については、通則ガイドライン「3-9（個人情報の取扱いに関する苦情処理）」を参照のこと。

（※）（1）から（6）までの義務等のほか、仮名加工情報（個人情報であるもの）については、要配慮個人情報の取得に関する法第 17 条第 2 項の適用対象となる（仮名加工情報（個人情報であるもの）の「取得」については、2-2-3-1-2（利用目的48（6）苦情処理（法第 35 条関係）

の公表）参照）。もっとも、法第 35 条の 2 第 6 項により、仮名加工情報である個人データの第三者提供の禁止の例外は、法令に基づく場合又は委託、事業承継若しくは共同利用に伴って提供される場合に限定されているところ、これらの場合により要配慮個人情報の提供を受けるときは、本人同意は不要とされている（法第 17 条第 2 項第 1 号並びに同項第 6 号及び政令第 7 条第 2 号）。
また、仮名加工情報である個人データについては、確認・記録義務に関する法第 25 条及び第 26 条の適用対象となる。
もっとも、法第 35 条の 2 第 6 項により、仮名加工情報である
個人データの第三者提供の禁止の例外は、法令に基づく場合
49

又は委託、事業承継若しくは共同利用に伴って提供される場
合に限定されているところ、これらの場合には、確認・記録義務は課されないこととされている（法第 35 条の 2 第 6 項により読み替えて適用される法第 25 条第 1 項ただし書及び第 26条第 1 項ただし書）。

2-2-4 個人情報でない仮名加工情報の取扱いに関する義務等［新設］

2-2-4-1 第三者提供の禁止等（法第 35 条の 3 第 1 項・第 2 項関係）

［新設］

法第 35 条の 3（第 1 項・第 2 項）

1

仮名加工情報取扱事業者は、法令に基づく場合を除くほか、仮名加
工情報（個人情報であるものを除く。次項及び第 3 項において同じ。）を第三者に提供してはならない。

2

第 23 条第 5 項及び第 6 項の規定は、仮名加工情報の提供を受ける者について準用する。この場合において、同条第 5 項中「前各項」とあるのは「第 35 条の 3 第 1 項」と、同項第 1 号中「個人情報取扱事業者」とあるのは「仮名加工情報取扱事業者」と、同項第 3 号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第 6 項中「個人情報取扱事業者」とあるのは「仮名加工情報取扱事業者」と、「、本人に通知し、又は本人が容易

み替えるものとする。

仮名加工情報取扱事業者は、法令に基づく場合（※1）を除くほか、仮名加工情報（個人情報であるものを除く。以下この項及び次項において同じ。）を第三者に提供してはならない。
ただし、法第 35 条の 3 第 2 項により読み替えて準用される法第 23 条
第 5 項各号に定める委託、事業承継又は共同利用により仮名加工情報の提供を受ける者は、提供主体の仮名加工情報取扱事業者と一体のものとして取り扱うことに合理性があるため、第三者には該当しないものとする。そのため、法第 35 条の 3 第 2 項により読み替えて準用される法第 23条第 5 項各号に定める委託、事業承継又は共同利用による場合は、仮名加工情報を提供することができる（※2）。

50に知り得る状態に置かなければ」とあるのは「公表しなければ」と読（※1）「法令に基づく場合」の具体的な事例については、通則ガ
イドライン「3-1-5（利用目的による制限の例外）」を参照のこと。
（※2）委託、事業承継及び共同利用については、2-2-3-3（第三者提供の禁止等）を参照のこと。

2-2-4-2 その他の義務等（法第 35 条の 3 第 3 項関係）

［新設］

法第 35 条の 3（第 3 項）
第 20 条から第 22 条まで、第 35 条並びに前条第 7 項及び第 8 項の規定は、仮名加工情報取扱事業者による仮名加工情報の取扱いについて準用する。この場合において、第 20 条中「漏えい、滅失又は毀損」とあるのは「漏えい」と、前条第 7 項中「ために、」とあるのは「ために、削除情報等を取得し、又は」と読み替えるものとする。

仮名加工情報取扱事業者による仮名加工情報の取扱いについては、上記 2-2-4-1（第三者提供の禁止等）に記載の規律のほか、次の（1）から（6）までの義務等が課される。

（1）安全管理措置（法第 35 条の 3 第 3 項、第 20 条関係）取り扱う仮名加工情報の漏えいの防止その他の仮名加工情報の安全管51

3

理のために必要かつ適切な措置を講じなければならない。
詳細については、通則ガイドライン「3-4-2（安全管理措置）」を参照のこと。
なお、仮名加工情報には識別行為の禁止義務や本人への連絡等の禁止義務が課されていることから、仮名加工情報を取り扱うに当たっては、それを取り扱う者が不適正な取扱いをすることがないよう、仮名加工情報に該当することを明確に認識できるようにしておくことが重要である。そのため、仮名加工情報を取り扱う者にとってその情報が仮名加工情報である旨が一見して明らかな状態にしておくことが望ましい。

52（2）従業者の監督（法第 35 条の 3 第 3 項、第 21 条関係）

従業者に仮名加工情報を取り扱わせるに当たっては、当該仮名加工情報の安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
詳細については、通則ガイドライン「3-4-3（従業者の監督）」を参照のこと。

（3）委託先の監督（法第 35 条の 3 第 3 項、第 22 条関係）

仮名加工情報の取扱いの全部又は一部を委託する場合は、その取扱いを委託された仮名加工情報の安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

詳細については、通則ガイドライン「3-4-4（委託先の監督）」を参照のこと。

（4）苦情処理（法第 35 条の 3 第 3 項、第 35 条関係）

仮名加工情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
また、苦情の適切かつ迅速な処理を行うに当たり、苦情処理窓口の設
置や苦情処理の手順を定める等必要な体制の整備に努めなければならない。

苦情処理）」を参照のこと。

（5）識別行為の禁止（法第 35 条の 3 第 3 項、第 35 条の 2 第 7 項関係）

仮名加工情報を取り扱う場合には、当該仮名加工情報の作成の元となった個人情報の本人を識別する目的で、削除情報等を取得し、又は当該
仮名加工情報を他の情報と照合してはならない。
詳細については、2-2-3-4（識別行為の禁止）を参照のこと。

（6）本人への連絡等の禁止（法第 35 条の 3 第 3 項、第 35 条の 2 第 8 項
関係）53

詳細については、通則ガイドライン「3-9（個人情報の取扱いに関する仮名加工情報を取り扱う場合には、電話をかけ、郵便若しくは信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報の利用を行ってはならない。
詳細については、2-2-3-5（本人への連絡等の禁止）を参照のこと。

匿名加工情報［新設］

3-1 定義［新設］

3-1-1 匿名加工情報（法第 2 条第 11 項関係）

2-1 匿名加工情報（法第 2 条第 9 項関係）

法第 2 条（第 11 項）

法第 2 条（第 9 項）

119

この法律において「匿名加工情報」とは、次の各号に掲げる個人

この法律において「匿名加工情報」とは、次の各号に掲げる個人情

情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別報の区分に応じて当該各号に定める措置を講じて特定の個人を識別すすることができないように個人情報を加工して得られる個人に関するることができないように個人情報を加工して得られる個人に関する情情報であって、当該個人情報を復元することができないようにしたも報であって、当該個人情報を復元することができないようにしたもの

のをいう。

をいう。

[(1)・（2） 略］[(1)・（2） 同左］

[略]

[同左]

54

3

匿名加工情報を作成するときは、法第 36 条第 1 項に規定する規則で定

匿名加工情報を作成するときは、法第 36 条第 1 項に規定する個人情報

める基準に従って加工する必要があり、法第 2 条第 11 項に定める措置をの保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第 3含む必要な措置は当該規則で定めている（匿名加工情報の作成に必要な号。以下「規則」という。）で定める基準に従って加工する必要があ

加工義務については、3-2-2（匿名加工情報の適正な加工）参照）。

り、法第 2 条第 9 項に定める措置を含む必要な措置は当該規則で定めている。（匿名加工情報の作成に必要な加工義務については、3-2（匿名加

なお、「統計情報」は、複数人の情報から共通要素に係る項目を抽出

なお、「統計情報」は、複数人の情報から共通要素に係る項目を抽出して同じ分類ごとに集計して得られるデータであり、集団の傾向又は性して同じ分類ごとに集計して得られるデータであり、集団の傾向又は性質などを数量的に把握するものである。したがって、統計情報は、特定質などを数量的に把握するものである。したがって、統計情報は、特定の個人との対応関係が排斥されている限りにおいては、法における「個の個人との対応関係が排斥されている限りにおいては、法における「個人に関する情報」に該当するものではないため、規制の対象外となる。

人に関する情報」に該当するものではないため、改正前の法においても規制の対象外と整理されており、従来同様に規制の対象外となる。

3-1-2 匿名加工情報取扱事業者（法第 2 条第 12 項関係）

2-2 匿名加工情報取扱事業者（法第 2 条第 10 項関係）

法第 2 条（第 12 項）

法第 2 条（第 10 項）

1210

この法律において「匿名加工情報取扱事業者」とは、匿名加工情報

この法律において「匿名加工情報取扱事業者」とは、匿名加工情報

を含む情報の集合物であって、特定の匿名加工情報を電子計算機を用を含む情報の集合物であって、特定の匿名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定のいて検索することができるように体系的に構成したものその他特定の匿名加工情報を容易に検索することができるように体系的に構成した

匿名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第 36 条第 1 項において「匿名加工情ものとして政令で定めるもの（第 36 条第 1 項において「匿名加工情55

工情報の適正な加工）参照）

報データベース等」という。）を事業の用に供している者をいう。た

報データベース等」という。）を事業の用に供している者をいう。ただし、第 5 項各号に掲げる者を除く。

だし、第 5 項各号に掲げる者を除く。

政令第 6 条

法第 2 条第 12 項の政令で定めるものは、これに含まれる匿名加工法第 2 条第 10 項の政令で定めるものは、これに含まれる匿名加工

情報を一定の規則に従って整理することにより特定の匿名加工情報を

情報を一定の規則に従って整理することにより特定の匿名加工情報を容易に検索することができるように体系的に構成した情報の集合物で容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するものあって、目次、索引その他検索を容易にするためのものを有するもの

をいう。

をいう。

「匿名加工情報取扱事業者」とは、匿名加工情報データベース等を事「匿名加工情報取扱事業者」とは、匿名加工情報データベース等を事

業の用に供している者のうち、国の機関、地方公共団体、独立行政法人

業の用に供している者のうち、国の機関、地方公共団体、独立行政法人

等の保有する個人情報の保護に関する法律で定める独立行政法人等及びの保有する個人情報の保護に関する法律（平成 15 年法律第 59 号）で定地方独立行政法人法で定める地方独立行政法人を除いた者をいう。

める独立行政法人等及び地方独立行政法人法（平成 15 年法律第 118 号）
で定める地方独立行政法人を除いた者をいう。

[略]

3-2 匿名加工情報取扱事業者等の義務

3-2-1 匿名加工情報の取扱いに係る義務の考え方

[同左]

3

匿名加工情報取扱事業者等の義務

3-1 匿名加工情報の取扱いに係る義務の考え方

56

政令第 6 条

法第 4 章第 2 節においては、匿名加工情報を作成する個人情報取扱事

業者及び匿名加工情報データベース等を事業の用に供している匿名加工業者及び匿名加工情報データベース等を事業の用に供している匿名加工

情報取扱事業者が、匿名加工情報を取り扱う場合等に遵守すべき義務を情報取扱事業者が、匿名加工情報を取り扱う場合等に遵守すべき義務を規定している。

規定している。

【匿名加工情報を作成する個人情報取扱事業者が遵守する義務等】【匿名加工情報を作成する個人情報取扱事業者が遵守する義務等】（1）匿名加工情報を作成するときは、適正な加工を行わなければならな（1）匿名加工情報を作成するときは、適正な加工を行わなければならない。（法第 36 条第 1 項）＜3-2-2（匿名加工情報の適正な加工）参い。（法第 36 条第 1 項）＜3-2（匿名加工情報の適正な加工）参照

照＞＞（2）匿名加工情報を作成したときは、加工方法等の情報の安全管理措置（2）匿名加工情報を作成したときは、加工方法等の情報の安全管理措置を講じなければならない。（法第 36 条第 2 項）＜3-2-3（匿名加工

を講じなければならない。（法第 36 条第 2 項）＜3-3（匿名加工情情報等の安全管理措置等）参照＞

報等の安全管理措置等）参照＞（3）匿名加工情報を作成したときは、当該情報に含まれる情報の項目を（3）匿名加工情報を作成したときは、当該情報に含まれる情報の項目を公表しなければならない。（法第 36 条第 3 項）＜3-2-4（匿名加工

公表しなければならない。（法第 36 条第 3 項）＜3-4（匿名加工情情報の作成時の公表）参照＞

報の作成時の公表）参照＞（4）匿名加工情報を第三者提供するときは、提供する情報の項目及び提（4）匿名加工情報を第三者提供するときは、提供する情報の項目及び提供方法について公表するとともに、提供先に当該情報が匿名加工情供方法について公表するとともに、提供先に当該情報が匿名加工情報である旨を明示しなければならない。（法第 36 条第 4 項）＜3-2-

報である旨を明示しなければならない。（法第 36 条第 4 項）＜3-5

5（匿名加工情報の第三者提供）参照＞（匿名加工情報の第三者提供）参照＞（5）匿名加工情報を自ら利用するときは、元の個人情報に係る本人を識（5）匿名加工情報を自ら利用するときは、元の個人情報に係る本人を識別する目的で他の情報と照合することを行ってはならない。（法第別する目的で他の情報と照合することを行ってはならない。（法第36 条第 5 項）＜3-2-6（識別行為の禁止）参照＞

36 条第 5 項）＜3-6（識別行為の禁止）参照＞（6）匿名加工情報を作成したときは、匿名加工情報の適正な取扱いを確（6）匿名加工情報を作成したときは、匿名加工情報の適正な取扱いを確

57

法第 4 章第 3 節においては、匿名加工情報を作成する個人情報取扱事保するため、安全管理措置、苦情の処理などの措置を自主的に講じて、その内容を公表するよう努めなければならない。（法第 36 条第て、その内容を公表するよう努めなければならない。（法第 36 条第6 項）＜3-2-3（匿名加工情報等の安全管理措置等）参照＞

6 項）＜3-3（匿名加工情報等の安全管理措置等）参照＞【匿名加工情報データベース等を事業の用に供している匿名加工情報取【匿名加工情報データベース等を事業の用に供している匿名加工情報取扱事業者が遵守する義務等（※）】扱事業者が遵守する義務等（※）】（1）匿名加工情報を第三者提供するときは、提供する情報の項目及び提（1）匿名加工情報を第三者提供するときは、提供する情報の項目及び提供方法について公表するとともに、提供先に当該情報が匿名加工情供方法について公表するとともに、提供先に当該情報が匿名加工情報である旨を明示しなければならない。（法第 37 条）＜3-2-5（匿報である旨を明示しなければならない。（法第 37 条）＜3-5（匿名名加工情報の第三者提供）参照＞

加工情報の第三者提供）参照＞（2）匿名加工情報を利用するときは、元の個人情報に係る本人を識別す（2）匿名加工情報を利用するときは、元の個人情報に係る本人を識別する目的で、加工方法等の情報を取得し、又は他の情報と照合するこる目的で、加工方法等の情報を取得し、又は他の情報と照合することを行ってはならない。（法第 38 条）＜3-2-6（識別行為の禁止）とを行ってはならない。（法第 38 条）＜3-6（識別行為の禁止）参

参照＞

照＞

（3）匿名加工情報の適正な取扱いを確保するため、安全管理措置、苦情（3）匿名加工情報の適正な取扱いを確保するため、安全管理措置、苦情の処理などの措置を自主的に講じて、その内容を公表するよう努めの処理などの措置を自主的に講じて、その内容を公表するよう努め

なければならない。（法第 39 条）＜3-2-3（匿名加工情報等の安全なければならない。（法第 39 条）＜3-3（匿名加工情報等の安全管管理措置等）参照＞

理措置等）参照＞（※）［略］（※）［同左］

3-2-2 匿名加工情報の適正な加工（法第 36 条第 1 項関係）

3-2 匿名加工情報の適正な加工（法第 36 条第 1 項関係）58

保するため、安全管理措置、苦情の処理などの措置を自主的に講じ［（関係条文） 略］[略]［（関係条文） 同左］[同左]（※1）匿名加工情報の取扱いに係る義務（法第 36 条から第 39 条（※1）匿名加工情報の取扱いに係る義務（法第 36 条～第 39 条）

まで）は、匿名加工情報データベース等を構成する匿名加工

は、匿名加工情報データベース等を構成する匿名加工情報に情報に課されるものであり、いわゆる散在情報となる、匿名課されるものであり、いわゆる散在情報となる、匿名加工情

加工情報データベース等を構成しない匿名加工情報の取扱い

報データベース等を構成しない匿名加工情報の取扱いに係るに係る義務は課されていない。

義務は課されていない。
（※2）［同左］
59（※2）［略］

3-2-2-1 特定の個人を識別することができる記述等の削除［略］

3-2-2-2 個人識別符号の削除［（関係条文） 略］[略]

3-2-1 特定の個人を識別することができる記述等の削除［同左］

3-2-2 個人識別符号の削除［（関係条文） 同左］[同左]

（参考）個人識別符号の概要（参考）個人識別符号の概要

個人識別符号とは、その情報単体から特定の個人を識別することがで

個人識別符号とは、その情報単体から特定の個人を識別することができるものとして政令で定めるものをいい、次のいずれかに該当するもの

きるものとして個人情報の保護に関する法律施行令（平成 15 年政令第である（個人識別符号の定義の詳細については、通則ガイドライン「2-2507 号。以下「政令」という。）で定めるものをいい、次のいずれかに該（個人識別符号）」参照）。

当するものである。（個人識別符号の定義の詳細については、通則ガイ
ドライン 2-2（個人識別符号）参照）（1）特定の個人の身体の一部の特徴を電子計算機の用に供するために変

換した符号

換した符号

・ 生体情報（DNA、顔、虹彩、声紋、歩行の態様、手指の静脈、指・生体情報（DNA、顔、虹彩、声紋、歩行の態様、手指の静脈、指紋・掌紋）をデジタルデータに変換したもののうち、特定の個人

紋・掌紋）をデジタルデータに変換したもののうち、特定の個人を識別するに足りるものとして規則で定める基準に適合するものを識別するに足りるものとして規則で定める基準に適合するもの（政令第 1 条第 1 号及び規則第 2 条）

【政令第 1 条第 1 号、規則第 2 条】

（2）対象者ごとに異なるものとなるように役務の利用、商品の購入又は（2）対象者ごとに異なるものとなるように役務の利用、商品の購入又は書類に付される符号

書類に付される符号

・・

旅券番号、基礎年金番号、免許証番号、住民票コード、マイナ

旅券番号、基礎年金番号、免許証番号、住民票コード、マイナ

ンバー、各種保険証の番号等の公的機関が割り振る番号（政令第 1

ンバー、各種保険証の番号等の公的機関が割り振る番号【政令第 1

条第 2 号から第 8 号まで、規則第 3 条及び第 4 条）

条第 2 号～第 8 号、規則第 3 条、第 4 条】

3-2-2-3 情報を相互に連結する符号の削除［（関係条文） 略］

3-2-3 情報を相互に連結する符号の削除［（関係条文） 同左］

60（1）特定の個人の身体の一部の特徴を電子計算機の用に供するために変[同左]［【想定される加工の事例】 略］［【想定される加工の事例】 同左］（※1）［略］（※1）［同左］（※2）仮 ID を付す際の注意点については、3-2-2-1（特定の個人（※2）仮 ID を付す際の注意点については、3-2-1（特定の個人をを識別することができる記述等の削除）の（※）を参照のこ

識別することができる記述等の削除）の（※）を参照のこと。

と。

3-2-2-4 特異な記述等の削除［略］

3-2-2-5 個人情報データベース等の性質を踏まえたその他の措置［（関係条文） 略］

3-2-4 特異な記述等の削除［同左］

3-2-5 個人情報データベース等の性質を踏まえたその他の措置［（関係条文） 同左］

匿名加工情報を作成する際には、規則第 19 条第 1 号から第 4 号までの

匿名加工情報を作成する際には、規則第 19 条第 1 号から第 4 号までの措置をまず講ずることで、特定の個人を識別できず、かつ当該個人情報措置をまず講ずることで、特定の個人を識別できず、かつ当該個人情報に復元できないものとする必要がある。

に復元できないものとする必要がある。

61

[略]

しかしながら、加工対象となる個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等とで著しい差異がある場合など、加工の元となる個人情報データ

記述等とで著しい差異がある場合など、加工の元となる個人情報データ

ベース等の性質によっては、規則第 19 条第 1 号から第 4 号までの加工をベース等の性質によっては、規則第 19 条第 1 号から第 4 号までの加工を施した情報であっても、一般的にみて、特定の個人を識別することが可

施した情報であっても、一般的にみて、特定の個人を識別することが可能である状態あるいは元の個人情報を復元できる状態のままであるとい能である状態あるいは元の個人情報を復元できる状態のままであるといえる場合もあり得る。そのような場合に対応するため、上記の措置のほえる場合もあり得る。そのような場合に対応するため、上記の措置のほかに必要となる措置がないかどうか勘案し、必要に応じて、別表 2（匿名

かに必要となる措置がないかどうか勘案し、必要に応じて、別表 1（匿名

加工情報の加工に係る手法例）の手法などにより、適切な措置を講じな

加工情報の加工に係る手法例）の手法などにより、適切な措置を講じなければならない。

ければならない。

なお、加工対象となる個人情報データベース等の性質によって加工の

なお、加工対象となる個人情報データベース等の性質によって加工の対象及び加工の程度は変わり得るため、どの情報をどの程度加工する必対象及び加工の程度は変わり得るため、どの情報をどの程度加工する必要があるかは、加工対象となる個人情報データベース等の性質も勘案し要があるかは、加工対象となる個人情報データベース等の性質も勘案して個別具体的に判断する必要がある。

て個別具体的に判断する必要がある。

特に、購買履歴、位置に関する情報などを含む個人情報データベース

特に、購買履歴、位置に関する情報などを含む個人情報データベース

等において反復して行われる行動に関する情報が含まれる場合には、こ等において反復して行われる行動に関する情報が含まれる場合には、これが蓄積されることにより、個人の行動習慣が分かるような場合がありれが蓄積されることにより、個人の行動習慣が分かるような場合があり得る。そのような情報のうち、その情報単体では特定の個人が識別でき得る。そのような情報のうち、その情報単体では特定の個人が識別できるとは言えないものであっても、蓄積されたこと等によって特定の個人

るとは言えないものであっても、蓄積されたこと等によって特定の個人の識別又は元の個人情報の復元につながるおそれがある部分についての識別又は元の個人情報の復元につながるおそれがある部分については、適切な加工を行わなければならない。

は、適切な加工を行わなければならない。

［【想定される加工の事例】 略］［【想定される加工の事例】 同左］

62

しかしながら、加工対象となる個人情報に含まれる記述等と当該個人

（別表 2）匿名加工情報の加工に係る手法例（※）（別表 1）匿名加工情報の加工に係る手法例（※）

[略]

[同左]

3-2-3 匿名加工情報等の安全管理措置等（法第 36 条第 2 項、第 6
項、第 39 条関係）

3-2-3-1 加工方法等情報の安全管理措置

39 条関係）3-3-1 加工方法等情報の安全管理措置［（関係条文） 同左］
63［（関係条文） 略］

3-3 匿名加工情報等の安全管理措置等（法第 36 条第 2 項、第 6 項、第個人情報取扱事業者は、匿名加工情報を作成したときは、加工方法等

個人情報取扱事業者は、匿名加工情報を作成したときは、加工方法等

情報（その作成に用いた個人情報から削除した記述等及び個人識別符号

情報（その作成に用いた個人情報から削除した記述等及び個人識別符号

並びに加工の方法に関する情報（その情報を用いて当該個人情報を復元

並びに加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。（※））をいう。以下同じ。）の漏えいすることができるものに限る。（※））をいう。以下同じ。）の漏えいを防止するために、規則で定める基準に従い、必要な措置を講じなけれを防止するために、規則で定める基準に従い、必要な措置を講じなければならない。

ばならない。

当該措置の内容は、対象となる加工方法等情報が漏えいした場合にお当該措置の内容は、対象となる加工方法等情報が漏えいした場合における復元リスクの大きさを考慮し、当該加工方法等情報の量、性質等にける復元リスクの大きさを考慮し、当該加工方法等情報の量、性質等に応じた内容としなければならないが、具体的に講じなければならない項

応じた内容としなければならないが、具体的に講じなければならない項

目及び具体例については、別表 3（加工方法等情報の安全管理で求められ目及び具体例については、別表 2（加工方法等情報の安全管理で求められる措置の具体例）を参照のこと。

る措置の具体例）を参照のこと。

（※）「その情報を用いて当該個人情報を復元することができる（※）「その情報を用いて当該個人情報を復元することができるもの」には、例えば、氏名等を仮 ID に置き換えた場合におけもの」には、例えば、氏名等を仮 ID に置き換えた場合における置き換えアルゴリズムに用いられる乱数等のパラメータ等

る置き換えアルゴリズムに用いられる乱数等のパラメータ又のような加工の方法に関する情報が該当し、「年齢のデータ

は氏名と仮 ID の対応表等のような加工の方法に関する情報がを 10 歳刻みのデータに置き換えた」というような復元につな該当し、「年齢のデータを 10 歳刻みのデータに置き換えた」

がらない情報は該当しない。なお、この場合における氏名とというような復元につながらない情報は該当しない。

仮 ID の対応表は、匿名加工情報と容易に照合することができ、それにより匿名加工情報の作成の元となった個人情報の本人を識別することができるものであることから、匿名加工

64

情報の作成後は破棄しなければならない。

（別表 3）加工方法等情報の安全管理で求められる措置の具体例
講じなければならない

具体例（別表 2）加工方法等情報の安全管理で求められる措置の具体例
講じなければならない

措置

具体例

措置

①[略]

[略]

①[同左]

[同左]

②加工方法等情報の取・加工方法等情報の取扱いに係る規程等の整②加工方法等情報の取・加工方法等情報の取扱いに係る規程等の整扱いに関する規程類の備とこれに従った運用

扱いに関する規程類の備とこれに従った運用

整備・従業者の教育

整備・従業員の教育及び当該規程類に従っ

・加工方法等情報の取扱状況を確認する手段

及び当該規程類に従っ

・加工方法等情報の取扱状況を確認する手段

た加工方法等情報の適の整備た加工方法等情報の適

の整備

切な取扱い

・加工方法等情報の取扱状況の把握、安全管

切な取扱い

・加工方法等情報の取扱状況の把握、安全管

並びに加工方法等情報

理措置の評価、見直し及び改善

並びに加工方法等情報

理措置の評価、見直し及び改善

の取扱状況の評価及びその結果に基づき改善

その結果に基づき改善を図るために必要な措を図るために必要な措

置の実施

置の実施

（規則第 20 条第 2 号）

（規則第 20 条第 2 号）

③加工方法等情報を取・加工方法等情報を取り扱う権限を有しない③加工方法等情報を取・加工方法等情報を取り扱う権限を有しないり扱う正当な権限を有者による閲覧等の防止り扱う正当な権限を有者による閲覧等の防止しない者による加工方・機器、電子媒体等の盗難等の防止しない者による加工方・機器、電子媒体等の盗難等の防止

法等情報の取扱いを防・電子媒体等を持ち運ぶ場合の漏えいの防止

法等情報の取扱いを防・電子媒体等を持ち運ぶ場合の漏えい等の防止するために必要かつ・加工方法等情報の削除並びに機器、電子媒

止するために必要かつ止

適切な措置の実施

体等の廃棄

適切な措置

・加工方法等情報の削除並びに機器、電子媒（規則第 20 条第 3 号）

・加工方法等情報へのアクセス制御（規則第 20 条第 3 号）

体等の廃棄・加工方法等情報へのアクセス者の識別と認・加工方法等情報へのアクセス制御

証・加工方法等情報へのアクセス者の識別と認・外部からの不正アクセス等の防止

証・情報システムの使用に伴う加工方法等情報

・外部からの不正アクセス等の防止の漏えいの防止・情報システムの使用に伴う加工方法等情報の漏えい等の防止

3-2-3-2 匿名加工情報の安全管理措置等［（関係条文） 略］

3-3-2 匿名加工情報の安全管理措置等［（関係条文） 同左］

65の取扱状況の評価及び

[略]

[同左]

（※）詳細は、通則ガイドライン「3-4-2（安全管理措置）、3-4-（※）詳細は、通則ガイドライン「3-3-2（安全管理措置）、3-3-3（従業者の監督）、3-4-4（委託先の監督）、3-9（個人情報

3（従業者の監督）、3-3-4（委託先の監督）、3-6（個人情報の取扱いに関する苦情処理について）」を参照のこと。

の取扱いに関する苦情処理について）」を参照のこと。

3-2-4 匿名加工情報の作成時の公表（法第 36 条第 3 項関係）［（関係条文） 同左］
66［（関係条文） 略］

3-4 匿名加工情報の作成時の公表（法第 36 条第 3 項関係）

[略]

[同左]

[【個人に関する情報の項目の事例】 略][【個人に関する情報の項目の事例】 同左][（※1）・（※2） 略][（※1）・（※2） 同左]（※3）「公表」とは、広く一般に自己の意思を知らせること（不（※3）「公表」とは、広く一般に自己の意思を知らせること（不特定多数の人々が知ることができるように発表すること）を

特定多数の人々が知ることができるように発表すること）をいう。詳細は、通則ガイドライン「2-15（公表）」を参照のいう。詳細は、通則ガイドライン「2-11（公表）」を参照の

こと。

こと。

［（関係条文） 略］

3-5 匿名加工情報の第三者提供（法第 36 条第 4 項、第 37 条関係）［（関係条文）同左］

[略]

[同左]

[（1）・（2） 略][（1）・（2） 同左][（※1）・（※2） 略][（※1）・（※2） 同左]（※3）「公表」とは、広く一般に自己の意思を知らせること（不（※3）「公表」とは、広く一般に自己の意思を知らせること（不特定多数の人々が知ることができるように発表すること）を

特定多数の人々が知ることができるように発表すること）をいう。詳細は、通則ガイドライン「2-15（公表）」を参照のいう。詳細は、通則ガイドライン「2-11（公表）」を参照の

こと。

こと。

（※4）[略]

3-2-6 識別行為の禁止（法第 36 条第 5 項、第 38 条関係）［（関係条文） 略］[略][（1）・（2） 略]（※4）[同左]

3-6 識別行為の禁止（法第 36 条第 5 項、第 38 条関係）［（関係条文） 同左］[同左][（1）・（2） 同左]

67

3-2-5 匿名加工情報の第三者提供（法第 36 条第 4 項、第 37 条関係）

［【識別行為に当たらない取扱いの事例】・【識別行為に当たる取扱い［【識別行為に当たらない取扱いの事例】・【識別行為に当たる取扱いの事例】 略］の事例】 同左］（※1）［略］（※1）［同左］（※2）「他の情報」に限定はなく、本人を識別する目的をもって（※2）「他の情報」に限定はなく、本人を識別する目的をもって行う行為であれば、個人情報、個人関連情報、仮名加工情報行う行為であれば、個人情報及び匿名加工情報を含む情報全及び匿名加工情報を含む情報全般と照合する行為が禁止され般と照合する行為が禁止される。また、具体的にどのようなる。また、具体的にどのような技術又は手法を用いて照合す技術又は手法を用いて照合するかは問わない。

（※3）「行政機関非識別加工情報」とは、行政機関の保有する個（※3）「行政機関非識別加工情報」とは、行政機関の保有する個

人情報の保護に関する法律（平成 15 年法律第 58 号）第 2 条

人情報の保護に関する法律（平成 15 年法律第 58 号）第２条

第 9 項に定めるものを指す。また、「独立行政法人等非識別第９項に定めるものを指す。また、「独立行政法人等非識別加工情報」とは、独立行政法人等の保有する個人情報の保護

加工情報」とは、独立行政法人等の保有する個人情報の保護に関する法律第 2 条第 9 項に定めるものを指す。なお、それに関する法律（平成 15 年法律第 58 号）第２条第９項に定めらの情報は匿名加工情報に包含される概念であることから、るものを指す。なお、それらの情報は匿名加工情報に包含さそれらの情報を取り扱う事業者は、匿名加工情報取扱事業者れる概念であることから、それらの情報を取り扱う事業者に係る規律の対象となるものである。

は、匿名加工情報取扱事業者に係る規律の対象となるもので
ある。

【付録】

［新設］

68

るかは問わない。

＜仮名加工情報と匿名加工情報の加工基準の差異（概要）＞
仮名加工情報

匿名加工情報定他の情報と照合しない限り特定

特定の個人を識別することがで

義の個人を識別することができな

きないように個人情報を加工しいように個人情報を加工して得て得られる個人に関する情報でられる個人に関する情報（法第あって、当該個人情報を復元す

2 条第 9 項）

ることができないようにしたも

［新設］

加

特定の個人を識別することがで特定の個人を識別することがで

工

きる記述等の全部又は一部の削きる記述等の全部又は一部の削

基

除

除

準

（規則第 18 条の 7 第 1 号）

（規則第 19 条第 1 号）※「削除」には、当該記述等を復元※「削除」には、当該記述等を復元することのできる規則性を有しなすることのできる規則性を有しない方法により他の記述等に置き換い方法により他の記述等に置き換えることが含まれる。以下同じ。

えることが含まれる。以下同じ。

個人識別符号の全部の削除

個人識別符号の全部の削除（規則第 18 条の 7 第 2 号）

（規則第 19 条第 2 号）

個人情報と当該個人情報に措置－を講じて得られる情報を連結する符号（現に個人情報取扱事業者において取り扱う情報を相互69の（法第 2 条第 11 項）

に連結する符号に限る。）を削除（規則第 19 条第 3 号）－

特異な記述等の削除（規則第 19 条第 4 号）

前各号に掲げる措置のほか、個人情報に含まれる記述等と当該個人情報を含む個人情報データ
ベース等を構成する他の個人情－報に含まれる記述等との差異その他の当該個人情報データベー
ス等の性質を勘案し、その結果70を踏まえて適切な措置を講ずる（規則第 19 条第 5 号）

不正に利用されることにより財産的被害が生じるおそれのある
記述等の削除（規則第 18 条の 7－

第 3 号）＜仮名加工情報と匿名加工情報の取扱いに関する主な規律の差異（概要）（※1）＞

加工

仮名加工情報（※2）

匿名加工情報（※3）

・規則第 18 条の 7 に定める加・規則第 19 条に定める加工基

［新設］

に関

工基準に従った加工（法第 35

準に従った加工（法第 36 条第する条の 2 第 1 項）

1 項）

規律
安全

・削除情報等の安全管理措置

管理（法第 35 条の 2 第 2 項）

に関

規律

措置
（法第 36 条第 2 項）

・仮名加工情報の安全管理措置（法第 20 条、第 35 条の 3 第 3 項）

作成・利用目的の公表

時の（法第 35 条の 2 第 4 項）

公表

※利用目的を変更した場合には、に関変更後の利用目的について公

する

表義務あり

・匿名加工情報の安全管理措置（努力義務）（法第 36 条第6 項、第 39 条）

・匿名加工情報に含まれる個
人に関する情報の項目の公表（法第 36 条第 3 項）

規律
提供・第三者提供の原則禁止に関（法第 35 条の 2 第 6 項、第 35 条の・本人同意なく第三者提供可能する

3 第 1 項・第 2 項）・提供時に、匿名加工情報に規律※法令に基づく場合又は委託、事含まれる個人に関する情報

業承継若しくは共同利用によの項目及びその提供の方法

る例外ありの公表、並びに匿名加工情報である旨の提供先に対す
る明示

71

する

・加工方法等情報の安全管理（法第 36 条第 4 項、第 37 条）

利用・識別行為の禁止

・識別行為の禁止に関（法第 35 条の 2 第 7 項、第 35 条の 3 第（法第 36 条第 5 項、第 38 条）

する
規律

3 項）

・本人への連絡等の禁止（法第 35 条の 2 第 8 項、第 35 条の 3 第3 項）

・利用目的の制限（法第 35 条の 2 第3 項）※利用目的の変更は可能（法第35 条の 2 第 9 項）

72

・利用目的達成時の消去（努力義務）（法第 35 条の 2 第 5 項）

・苦情処理（努力義務）

・苦情処理（努力義務）（法第 35 条、第 35 条の 3 第 3 項）

（法第 36 条第 6 項、第 39 条）（※1）必ずしも適用される規律を網羅的に記載したものではない。各規律の詳細については、本ガイドラインの関連箇所を参照のこと。
（※2）法第 4 章第 2 節の規律は、仮名加工情報データベース等を構成す
る仮名加工情報に適用される。
（※3）法第 4 章第 3 節の規律は、匿名加工情報データベース等を構成す
る匿名加工情報に適用される。
備考 表中の[ の]記載は注記である。

附 則

73

この告示は、個人情報の保護に関する法律等の一部を改正する法律の施行の日から施行する。