個人情報保護法の基本

令和４年７月1-1．個人情報保護委員会とは○ 個人情報保護委員会は、個人情報の保護に関する法律（平成１５年法律第５７号）に基づき、個人情報の有用性に配慮しつつ、個人の権利利益を保護するため、個人情報の適正な取扱いの確保を図ることを任務として設立された合議制の独立機関。
○

いわゆる３条委員会であり、権限の行使に当たっては、高い独立性と政治的中立性が担保されている。

【個人情報保護法関係】【マイナンバー法関係】

個人情報保護委員会

個人情報保護法は個人情報保護委員会が所管

個人情報保護に関する基本方針の策定・推進

民間事業者（令和４年４月～）

監視・監督等

国 際 協 力行政機関

苦情あっせん
独立行政法人等

広報啓発

地方公共団体等（令和５年４月～）

民間事業者

監視・監督

独立行政法人等

監視・監督

行政機関

（令和４年４月～）

マイナンバー法はデジタル庁が所管

地方公共団体等※令和３年改正法により、公的部門と民間部門の法制を一元化。

1

1-2．個人情報保護法の目的・概要○個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする法律。
○我が国の個人情報保護制度の基本法として基本理念、基本方針の策定や国等の責務等を定めるほか、民間事業者や行政機関等の個人情報の取扱いに関する一般法として個別の規律を定める。
○また、個人情報保護委員会の設置根拠や監視監督権限についても定める。
個人情報の保護に関する法律（平成15年法律第57号）（目的）
第１条 この法律は、デジタル社会の進展に伴い個人情報の利用が著しく拡大していることに鑑み、個人情報の適正な取扱いに関し、基本理念及び政府による基本方針の作成その他の個人情報の保護に関する施策の基本となる事項を定め、国及び地方公共団体の責務等を明らかにし、個人情報を取り扱う事業者及び行政機関等についてこれらの特性に応じて遵守すべき義務等を定めるとともに、個人情報保護委員会を設置することにより、行政機関等の事務及び事業の適正かつ円滑な運営を図り、並びに個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであることその他の個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする。

法の構成

第１章 総則第２章 国及び地方公共団体の責務等
第３章 個人情報の保護に関する施策等
第４章 個人情報取扱事業者等の義務等

第５章 行政機関等の義務等
第６章 個人情報保護委員会
第７章 雑則第８章 罰則2

1-3．個人情報保護法の全体像
個人情報保護法関連法体系イメージ

憲法・判例（第13条：個人の尊重等、第21条：通信の秘密等、第35条：住居の不可侵）

個人情報保護法（１～３章：基本理念、国及び地方公共団体の責務等・個人情報保護施策等）

個人情報の保護に関する基本方針（個人情報保護施策の総合的かつ一体的な推進を図るため、官民の幅広い主体に対し、具体的な実践に取り組むことを要請）

個人情報保護法

個人情報保護法（４・８章ほか：個人情報取扱事業者等の義務等、罰則 等）（５・８章ほか：行政機関等の義務等、罰則 等）【対象】民間事業者 ※一部の独立行政法人等を含む。

【対象】行政機関（国）・独立行政法人等

民間部門ガイドライン

ガイドライン・事務対応ガイドQ&A＜民間分野＞

Q&A

個人情報保護条例
地方公共団体地方独立行政法人

R3改正法（R5.４ 施行分）

＜公的分野＞※ 金融関連分野や情報通信分野等においては、これらのガイドライン等のほか別途分野ごとに定められているガイドライン等も遵守する必要がある。

3

2-1．「個人情報」 （法第2条第1項関係）○「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
一 当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。次項第二号において同じ。）で作られる記録をいう。第十八条第二項において同じ。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）
二 個人識別符号が含まれるもの

（例）

氏名
山田 太郎

顔写真

住所

生年月日

（氏名と組み合わせた場合）（氏名と組み合わせた場合）

東京都●●区▲▲町

1980年●月▲日

山田太郎

山田太郎

4

2-2．「個人識別符号」（法第2条第２項関係）◯「個人識別符号」は以下①②のいずれかに該当するものであり、政令・規則で個別に指定される。
① 身体的特徴等を電子計算機の用に供するために変換した符号② 対象者ごとに異なるものとなるように役務の利用、商品の購入又は書類に付される符号○「個人識別符号」に該当するものは、その情報単体でも個人情報に該当する。
（参考）個人識別符号に関する政令・規則の内容① 身体の一部の特徴を電子計算機のために変換した符号
 ＤＮＡ、顔、虹彩、声紋、歩行の態様、手指の静脈、指紋・掌紋② サービス利用や書類において対象者ごとに割り振られる符号 ⇒公的な番号
 旅券番号、基礎年金番号、免許証番号、住民票コード、マイナンバー、各種保険者・被保険者番号等（例）
顔認識データ

指紋認識データ旅券番号

運転免許証番号

マイナンバー（個人番号）など

5

2-3．「要配慮個人情報」 （法第2条第３項関係）○「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。
1. 人種： 人種、世系又は民族的若しくは種族的出身を広く意味する。
2. 信条： 個人の基本的なものの見方、考え方を意味し、思想と信仰の双方を含む。
3. 社会的身分: ある個人にその境遇として固着していて、一生の間、自らの力によって容易にそれから脱し得ないような地位
4. 病歴： 病気に罹患した経歴
5. 犯罪の経歴： 前科、すなわち有罪の判決を受けこれが確定した事実
6. 犯罪により害を被った事実： 犯罪の被害を受けた事実
7. その他政令で定めるもの： 施行令・施行令に委任された施行規則で規定• 身体障害、知的障害、精神障害（発達障害を含む。）その他の個人情報保護委員会規則で定める心身の機能の障害があること• 本人に対して医師その他医療に関連する職務に従事する者（以下「医師等」という。）により行われた疾病の予防及び早期発見のための健康診断その他の検査（以下「健康診断等」という。）の結果• 健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと• 本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと• 本人を少年法第3条第1項に規定する少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと6

2-4．「仮名加工情報」 （法第2条第５項関係）○次に掲げる個人情報の区分に応じて当該各号に定める措置を講じて他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報をいう。
 法第２条第１項第１号に該当する個人情報
 当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
 個人識別符号を含む個人情報
 当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

個人情報

氏名／年齢／年月日／時刻／金額／店舗

他の情報と照合しない限り特定の個人を識別できないように加工

仮名加工情報仮ＩＤ／年齢／年月日／時刻／金額／店舗

7

2-5．「匿名加工情報」 （法第2条第６項関係）○次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。
 法第２条第１項第１号に該当する個人情報
 当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
 個人識別符号を含む個人情報
 当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

特異な記述等の削除等も必要

8

2-6．「個人関連情報」 （法第2条第７項関係）○「個人関連情報」とは、生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。
 「個人に関する情報」とは、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報である。
 「個人に関する情報」のうち、氏名、生年月日その他の記述等により特定の個人を識別することができるものは、個人情報に該当するため、個人関連情報には該当しない。
 また、統計情報は、特定の個人との対応関係が排斥されている限りにおいては、「個人に関する情報」に該当するものではないため、個人関連情報にも該当しない。
【個人関連情報に該当する事例（※）】
事例1）Cookie等の端末識別子を通じて収集された、ある個人のウェブサイトの閲覧履歴
事例2）メールアドレスに結び付いた、ある個人の年齢・性別・家族構成等
事例3）ある個人の商品購買履歴・サービス利用履歴
事例4）ある個人の位置情報
事例5）ある個人の興味・関心を示す情報（※）個人情報に該当する場合は、個人関連情報に該当しないことになる。例えば、一般的に、ある個人の位置情報それ自体のみでは個人情報には該当しないものではあるが、個人に関する位置情報が連続的に蓄積される等して特定の個人を識別することができる場合には、個人情報に該当し、個人関連情報には該当しないことになる。

9

2-7．「個人情報取扱事業者」（法第16条第２項関係）◯個人情報データベース等を事業の用に供している者をいう。
※ 「事業の用に供している」とは一定の目的をもって反復継続して遂行される同種の行為、社会通念上事業と認められるもの。
営利、非営利を問わない。

•ガイドラインでは、事業者の義務のうち、安全管理措置について、一般的な義務・手法例とは別に、中小規模の事業者における手法の例を示している。
※ガイドラインにおける「中小規模事業者」とは、○従業員の数が100人以下の事業者であって、次に掲げる事業者を除く事業者①取り扱う個人情報の数(*)が5,000人分超の事業者* 識別される特定の個人の数の合計が過去６月以内のいずれかの日において②委託に基づいて個人データを取り扱う事業者•行政機関（国）及び独立行政法人等（法別表第２に掲げる法人を除く。）については、公的部門に係る規律（法第５章）が適用される。

•地方公共団体及び地方独立行政法人については、条例の規律が適用される。 【R5４.１まで】
10

2-8．適用除外（法第57条関係）○個人情報取扱事業者のうち、次に掲げる者が、それぞれ定められた目的で、個人情報等を取り扱う場合は、法の適用除外とされている。（57条）
放送機関、新聞社、通信社その他の報道機関⇒報道の用に供する目的
著述を業として行う者⇒著述の用に供する目的
宗教団体⇒宗教活動の用に供する目的
政治団体⇒政治活動の用に供する目的

11

2-9．「個人データ」「保有個人データ」（法第16条第３・４項関係）○「個人データ」 とは、個人情報データベース等 を構成する個人情報を言う。
※ 「個人情報データベース等」 とは____
____
____
____
_________________________________________________________________________________________________________________（特定の個人情報を検索できるように体系的に構成したもの）

名刺

パソコンの管理ソフト、台帳など○「保有個人データ」 とは、その事業者に開示等の権限のある個人データを言う。
令和２年改正法により、６ヶ月以内に消去するデータ（短期保存データ）も、保有個人データに含まれる。

自分の個人情報を開示してほしい

顧客情報、従業員情報など

事業者※ 他の事業者からデータ編集作業のみ委託されて渡された個人データなどは、保有個人データには該当しない

123-1．民間事業者に適用される規律について【個人情報】
生存する個人に関する情報で、特定の個人を識別することができるもの（例：１枚の名刺）【個人データ】
個人情報データベース等を構成する
個人情報→分類・整理され、検索可能な個人情報（例：名刺管理ソフト内の１枚の名刺）① 取得・利用に関するルール• 利用目的を特定して、その範囲内で利用する。
• 利用目的を通知または公表する。
• 違法又は不当な行為を助長し、又は誘発するおそれがある方法により利用しない。
• 偽りその他不正の手段により個人情報を取得しない。

② 保管・管理に関するルール• データ内容を正確かつ最新の内容に保つとともに、利用する必要がなくなったときは消去するように努める。
• 漏えい等が生じないよう、安全に管理する。
• 従業者・委託先にも安全管理を徹底する。
• 委員会規則で定める漏えい等が生じたときには、委員会に対して報告を行うとともに、本人への通知を行う。

③ 第三者提供に関するルール• 第三者に提供する場合は、あらかじめ本人から同意を得る。
• 外国にある第三者に提供する場合は、当該提供について、参考情報を提供した上で、あらかじめ本人から同意を得る。
• 第三者に提供した場合・第三者から提供を受けた場合は、一定事項を記録する。

【保有個人データ】
開示、訂正、利用停止、消去等の権限を有する個人データ④公表事項・開示請求等への対応に関するルール• 事業者の名称や利用目的、開示等手続などについて事項を公表する。
• 本人から開示等の請求があった場合はこれに対応する。
• 苦情等に適切・迅速に対応する。

13

3-2．事業者が守るべきルール① - 取得・利用【個人情報を取得する前】
１．個人情報の利用目的をできる限り特定する。（17条①）
２．利用目的をあらかじめ公表しておく。（21条①）【個人情報を取得するとき】
１．利用目的をあらかじめ公表していない場合は、本人に通知または公表する。（21条①）
書面での取得の場合は、利用目的を本人に明示する。
２．要配慮個人情報を取得する場合は、原則本人の同意を得る。（20条②）
３．偽りその他の不正の手段による取得はしない。（20条①）【個人情報を利用するとき】
１．利用目的の範囲内で利用する。（18条①）
２．利用目的の範囲を超える場合は、本人の同意を得る。（18条②）
３．利用目的を変更することもできる。（関連性があると合理的に認められる場合に限る）（17条②）
その際は変更された利用目的を本人に通知または公表する。（21条③）
４．違法又は不正な行為を助長・誘発するおそれがある方法による利用はしない。（19条）【個人情報の取扱いに関する苦情を受けたとき】
１．適切かつ迅速な処理に努める。（40条①）R2改正法で追加
14

3-2．事業者が守るべきルール② - 保管・管理【個人データを保管・管理するとき】
１．正確で最新の内容に保ち、必要がなくなったときはデータを消去するよう努める。（22条）
２．漏えい、滅失又は毀損の防止その他の安全管理措置を講ずる。（23条）
３．従業員に対して、必要かつ適切な監督を行う。（24条）

R2改正法に合わせたGL改正で「外的環境の把握」が追加。

４．委託する場合、委託先に対して必要かつ適切な監督を行う。（25条）
５．委員会規則で定める漏えい等が生じたときには、委員会に対して報告を行う。（26条①）
６．委員会規則で定める漏えい等が生じたときには、本人への通知を行う。（26条②）
R2改正法で義務化
15

3-2．事業者が守るべきルール③ - 第三者提供（１）【個人データを第三者に提供するとき】
以下のいずれかの場合に、個人データを第三者に提供できる。（27条）
１．本人の同意を得る。
２．本人の同意を得ない場合で、以下ⅰ～ⅲのいずれかに該当する。
ⅰ.以下の①～⑦のいずれかの場合① 法令に基づく場合② 人の生命、身体又は財産の保護のため（かつ本人の同意を得ることが困難）③ 公衆衛生・児童の健全な育成のため（かつ本人の同意を得ることが困難）④ 国や地方公共団体等への協力（かつ本人の同意を得ることにより事務遂行に支障のおそれがあるとき）⑤ 学術研究機関等による学術研究の成果の公表又は教示のためやむを得ないとき ※1⑥ 学術研究機関等が学術研究目的で共同研究先である第三者に提供する必要があるとき ※1⑦ 学術研究目的で学術研究機関等である第三者に提供する必要があるとき ※1※1 個人の権利利益を不当に侵害するおそれがある場合を除く。

ⅱ.以下３点すべてを行う（いわゆるオプトアウト手続）◯本人の求めに応じて、その本人のデータの提供を停止することとしている。
◯以下の①～⑧をHPに掲載するなど、本人が容易に知ることができる状態にしておく。

※2 要配慮個人情報の提供は不可等の制約有。

①事業者の氏名又は名称、住所、法人の代表者名②第三者提供を利用目的としていること③提供される個人データの項目④提供される個人データの取得の方法⑤提供の方法⑥本人の求めに応じて提供を停止すること⑦本人の求めを受け付ける方法⑧個人情報保護委員会規則で定める事項◯本人に通知した事項を個人情報保護委員会に届け出る（個人情報保護委員会はこれを公表）。

ⅲ.委託、事業の承継、共同利用を行う
共同利用：以下の①～⑤をHPに掲載するなど、本人が容易に知ることができる状態にしておくことが必要。
①共同利用されること ②データ項目 ③利用される範囲 ④利用目的 ⑤責任を有する者

16

3-2．事業者が守るべきルール③ - 第三者提供（２）○個人データの提供・受領の際の記録

１．第三者へ提供した時は、受領者の氏名等を記録し、一定期間保存する。（29条）
２．第三者から個人データを受け取るときは、提供者の氏名等、取得経緯を確認し、受領年月日、確認した事項等を記録し、一定期間保存する。（30条）○基本的な記録事項は、以下のとおり（保管期間は原則3年）。
（提供した場合） 「いつ・誰の・どんな情報を・誰に」提供したか？
（提供を受けた場合）「いつ・誰の・どんな情報を・誰から」提供されたか？
＋「相手方の取得経緯」○ただし、本規定は個人データの不正な流通の防止が目的であるため、一般的なビジネスの実態に配慮して、以下の通り例外規定がある。
本人との契約等に基づいて提供した場合は、記録は契約書で代替ＯＫ
反復継続して提供する場合は、包括的な記録でＯＫ例外として、以下の場合は記録義務はかからない。
・本人による提供と整理できる場合（例：SNSでの個人の投稿）
・本人に代わって提供していると整理できる場合（例：銀行振込）
・本人側への提供と整理できる場合（例：同席している家族への提供）
・「個人データ」に該当しないと整理できる場合（例：名刺1枚のコピー） 等
17

3-2．事業者が守るべきルール③ - 第三者提供（３） 個人データの外国にある第三者への提供
 以下①～③のいずれかの場合に、個人データを外国にある第三者に提供できる。（28条①）① 外国にある第三者へ提供することについて、本人の同意を得る。
② 外国にある第三者が個人情報取扱事業者が講ずべきこととされている措置に相当する措置（以下「相当措置」という。）を継続的に講ずるために必要なものとして委員会規則で定める基準に適合する体制を整備している。
③ 外国にある第三者が我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している国（EU（EEA加盟国を指す。）及び英国）に所在する。
 ①の本人同意を得ようとする場合には本人に参考となるべき情報を提供する。（28条②）
 ②により提供した場合には、提供先の外国にある第三者による相当措置の継続的な実施を確保する為に必要な措置を講ずるとともに、本人の求めに応じて、当該措置に関する情報を当該本人に提供する。 （28条③）
 個人情報保護法の趣旨に沿った措置の実施を確保するための「適切かつ合理的な方法」は、以下のとおり。
• 外国の第三者において、個人情報保護法の趣旨に沿った措置を実施することが、委託契約・共通の内規・個人データの提供元がAPEC越境プライバシールール（CBPR）システムの認証を受ける等によって担保されていること※②と③の場合は、日本の事業者への提供と同等の取扱いが認められるため、本人の同意を得ない提供（オプトアウト手続、委託、事業の承継、共同利用）も例外的に行うことができる。

18

3-2．事業者が守るべきルール④ - 公表事項・開示等請求１．以下の①～⑤について、HPに公表するなど本人の知り得る状態に置く。（32条）
①
②
③
④⑤
⑥

当該事業者の氏名又は名称、住所、法人の代表者名
全ての保有個人データの利用目的
R2改正法で追加請求手続の方法
安全管理のために講じた措置（公表等により支障を及ぼすおそれがあるものを除く。）
苦情の申出先認定個人情報保護団体に加入している場合、当該団体の名称及び苦情申出先

２．本人から開示を請求された場合、原則本人に開示する。（33条）
 個人データの授受に関する第三者提供記録についても、開示請求対象に追加。
 開示方法について、電磁的記録の提供を含め、本人が指示できるように。
３．本人からの請求に応じて、その保有個人データについて、

R2改正法で拡充① 内容に誤りがある場合には、訂正・追加・削除をする。（34条）② 利用目的の範囲を超えて利用されている場合、不適正な利用がされている場合、又は不正の手段で取得されている場合には、利用停止又は消去をする。 （35条①②）③ 同意なく第三者に提供されている場合等には、第三者提供を停止する。（35条③④）④ 利用する必要がなくなった場合、一定の漏えい等事案が生じた場合、又は本人の権利若しくは正当な利益が害されるおそれがある場合には、本人の権利利益の侵害を防止するために必要な限度で、利用停止若しくは消去又は第三者提供の停止をする。
（35条⑤⑥）

R2改正法で拡充19

3-2．事業者が守るべきルール⑤ - 漏えい等報告等の義務化
R2改正法で新設 漏えい等が発生し、個人の権利利益を害するおそれが大きい場合における、個人情報保護委員会への報告及び本人への通知が、法律上の義務に。
（法第26条①②） 従前は、委員会公示に基づく、努力義務とされていた。
個人情報取扱事業者

個人情報保護委員会
報 告漏えい等事案が発生!


漏えい等報告の義務化の対象事案（委員会規則で定める要件）

要配慮個人情報の漏えい等
財産的被害のおそれがある漏えい等
不正の目的によるおそれがある漏えい等
1,000件を超える漏えい等

これらの類型は件数に関わりなく対象

本 人
通 知

※各類型につき、漏えい等の「おそれ」がある事案も対象。
20

4．令和２年改正法と令和３年改正法
いわゆる３年ごと見直し規定に基づく改正

令和2年改正法
令和4年4月全面施行

個人の権利利益の保護と活用の強化、 越境データの流通増大に伴う新たなリスクへの対応、 ＡＩ・ビッグデータ時代への対応等
 利用停止・消去等の拡充、漏えい等の報告・本人通知 不適正利用の禁止
 仮名加工情報の創設、個人関連情報の第三者提供制限
 越境移転に係る情報提供の充実 等

デジタル社会形成整備法に基づく改正

令和3年改正法
令和４年４月一部施行（地方部分は令和５年4月施行）

官民を通じた個人情報保護制度の見直し（官民一元化）
 官民通じた個人情報の保護と活用の強化
 医療分野・学術分野における規制の統一 学術研究に係る適用除外規定の見直し 等21