「個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）の一部を改正する告示」等に関する意見提出
●通則編
条文
1

意見・理由

3-1-1



利用目的の具体的な特定の程度は、あくまでも事業者の判断に委ねられていると解することでよいか。

（P.27・3 行目

今回の改正により新たに「本人から得た情報から、本人に関する行動・関心等の情報を分析する場合、個人情報取扱事業者は、どのような取扱いが行われているかを本人が予測・想定できる程度に利用目的を特定しなければならない。」とさ～）
2

3-5-1-1

れ、関連する事例が２点提示されたが、事業者における利用目的特定の検討・判断において本事例は大変参考になるため、さらなる事例の充実または Q&A 等での追加情報の充実をいただきたい（AI を活用した情報分析の事例等）。
（P.41・１行

守秘義務を課した委託先または共同利用先（以下「委託先等」）が複数存在する中で、委託先等 A に送るべき個人データを含むメール等を委託先等 B に誤送信した場合について、委託先等 B には守秘義務を課している上に委託または共同利用の相手方であって「外部」とは言えないことから、この場合は「漏えい」にはあたらないと解することでよいか。

目）
33-5-3-1(2)

銀行口座に関する情報の一部（金融機関名、支店名、預金種別、口座番号、口座名義のうちひとつまたは複数）の漏えいは、規則第 6 条の 2 第 2 号には該当しないと解することでよいか。

（P.47・1 行目

仮に、金融機関名、支店名、預金種別、口座番号、口座名義の全部が漏えいした場合でも、暗証番号が含まれていなければ、規則第 6 条の 2 第 2 号には該当しないと解することでよいか。

「その時点で判明している事実関係からして、漏えい等が疑われるものの確証がない場合がこれに該当する」との記載があるが、この確証とは「漏えいをしていないという確証」ではなく、「漏えいをしたという確証」を指しており、痕跡や専門家の指～）43-5-3-1(4)（P.49・６行目～）

摘などの事実関係から漏えいの蓋然性があると事業者が判断した場合を「おそれ」と理解することで良いか。


事業者ごとに情報システムの設計や設定が異なっており、セキュリティレベルも異なる。（※３）の事例（イ）について、単に「情報を窃取する振る舞いが判明しているマルウェア」が入り込んだことを検知したにとどまる場合や入り込んだが防御システムで制御されている場合等をおそれありとすると、相当の頻度で報告が必要となり現実的ではなく、各事業者のシステムやセキュリティレベルを踏まえ、初期段階の調査で不正通信が確認される等により漏えいの可能性があると判断される場
合に「感染が確認された」と解することでよいか。

5

「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられている場合について、具体的な該当事例を提示いただきたい。

3-5-3-3



事業所管大臣に報告する場合には、個人情報保護委員会への重ねての報告は不要となると解してよいか。

（P.52・2 行目事業所管大臣に報告する場合も、報告期限のみならず、報告事項・報告フォームについても個人情報保護委員会に報告する場合と同様の事項・フォームとしていただきたい。

～）



事業所管大臣に報告する場合について、金融分野ではその報告先が漏えい主体により金融庁及び各地の財務（支）局と複数存在していて、報告先毎の報告事案の仕分けに相当程度ロードが生じていることから、報告先を一本化する等、事務負荷軽減に向けた検討をいただきたい。

63-5-4-1

（P.58・7 行目

委託元への通知により「委託先は報告義務を免除されるとともに、本人への通知義務も免除される」とあるが、この場合であっても、本人との関係等から、委託元ではなく委託先から通知を行う方が適切と考えられるケースでは、委託先が本人通知を行う等、委託先の協力を得て行う方法も認められると解することでよいか。

～）
73-5-4-2



事例１で、本人に通知することがどのような理由で被害を拡大させることになるのか不明確。「本人が、同時にアップロードされている他者の情報を閲覧することになり」など、被害を拡大させる理由を記載してはどうか。



代替措置に該当する事例はいずれも何等かの形で「公表」することが前提となっているが、（※１）の冒頭の記載のように「代替措置として事案の公表を行わない場合」も有り得ると解することでよいか。例えば、当該事例の内容から公表が望（P.59・10 行目～）
8

3-5-4-5（P.62・4 行目

ましくなく、かつ合理的努力を尽くしてもなお本人への連絡がかなわなかった場合は、この合理的努力を尽くしたことをもって「代替措置」を果たしたと解することでよいか。

～）
9

10

3-7-1-1

（P.90・７行の個人を識別することができる場合には、個人情報に該当し、個人関連情報には該当しないことになる。」とのことだが、具体的にどのくらい蓄積すると個人の識別が可能と言い得るかについては、個々の個人情報取扱事業者において合理的な目～）基準等を定めて判断することで問題ないか。

3-8-1(1)（P.146・1811「（※）個人情報に該当する場合は、個人関連情報に該当しないことになる。例えば、一般的に、ある個人の位置情報それ自体のみでは個人情報には該当しないものではあるが、個人に関する位置情報が連続的に蓄積される等して特定（※８）にて「外国（本邦の域外にある国又は地域）の名称については、必ずしも正式名称を求めるものではないが、本人が合理的に認識できると考えられる形で情報提供を行う必要がある。」とあるが、クラウドサービスを利用する場合等において個人データを保管する国名が判明しない場合がある。この場合は国名の代替としてどのような情報提供が求められるか、例示等で明確化いただきたい。

行目～）



（※８）にて「保有個人データを取り扱っている外国の制度についても、本人の知り得る状態に置くといった対応が望ましい。」とあるが、この「外国の制度」についてどのような情報提供が求められるか、例示等で明確化いただきたい。

3-8-2



本人以外の第三者の個人情報が映り込んでいる可能性や、容易に転用・加工されうる電磁的記録の特性等を踏まえ、事業者の業務の適正な実施に著しい影響を及ぼす等の理由から、本人への電磁的記録での提供が望ましくないと事業（P.151・14

者が判断する場合は、仮に本人から電磁的記録での提供を求められたとしても、事例で示されているような「個人情報取扱事業者が指定した場所における動画・音声データの視聴」等といった方法への変更を求めることが認められると解するこ行目～）とでよいか。


電磁的記録の提供による方法の事例３に「会員専用サイト等のウェブサイト上で電磁的記録をダウンロードしてもらう方法」とあるが、ダウンロードしてもらうのではなく、会員専用サイト等で表示して本人に閲覧してもらう方法も「その他当該個人情報取扱事業者の定める方法」として認められると解することでよいか。
1

条文
12

3-8-5-1(3)

意見・理由


（P.170・２行目～）

13

例えば自動車保険の等級制度等において、過去の保険事故および保険金支払の情報による保険料の上昇を免れるため、当該保険事故および保険金支払の情報を保有している保険会社に対し自身の情報の利用停止等を請求する場合は、「本人の権利又は正当な利益が害されるおそれがない」事例として掲げられている４つの事例と同様に、利用停止等又は第三者提供の停止が認められないと考えてよいか。

損害保険会社は、保険業法において健全かつ適切な業務運営が求められているが、これは保険の性質上、顧客間の公平性を前提として成り立つものである。仮に、本人の要請によって個人データを削除すると、顧客間の公平性が保たれ3-8-5-3ず、健全かつ適切な業務運営が損なわれる事態も懸念される。保険会社の正当な事業活動において必要不可欠な個人データについては、情報漏えい等に起因して本人から当該情報について利用停止等又は第三者への提供の停止を請（P.173・5 行求されたとしても、法第 30 条第 6 項ただし書きの「利用停止等又は第三者への提供の停止を行うことが困難な場合」、すなわちガイドライン 3-8-5-3 にある「個人情報取扱事業者が正当な事業活動において保有個人データを必要とする目～）場合」に該当すると考えてよいか。

5-1

「域外適用の対象となる場合は、外国にある個人情報取扱事業者等がこれらの情報を本人から直接取得して取り扱う場合に限られず、本人以外の第三者から提供を受けて取り扱う場合も含まれる。」とのことであるが、外国にある個人情報（P.200・6 行

取扱事業者が業務委託に伴い日本にある個人情報取扱事業者から個人データの取扱いの委託を受ける場合、当該外国にある個人情報取扱事業者が基準適合体制整備を根拠に個人データの提供を受けるのであれば、業務委託契約目～）により法第 4 章第 1 節の規定の趣旨に沿った措置の実施を義務付けられているものと考えられるが、契約における義務の履行として法第 4 章第 1 節の規定の趣旨に沿った措置の実施を行う義務があると同時に、法の域外適用により同様の義務を負う、という理解でよいか。


また、同様の業務委託において、当該外国にある個人情報取扱事業者が基準適合体制整備ではなく本人同意に基づいて個人データの提供を受ける場合、業務委託契約により法第 4 章第 1 節の規定の趣旨に沿った措置の実施を義務付けられていないことも考えられるが、このような場合においても法の域外適用の結果、法第 4 章第 1 節の規定の遵守を求められるので、結局、その趣旨に沿った措置の実施を行う義務がある、という理解でよいか。

●外国にある第三者への提供編
条文15-1

意見・理由

（ P.54 ・ 9 行

情報提供の方法として事例 4 にある「必要な情報をホームページに掲載し、本人に閲覧させる方法」を取る場合に、「我が国又は外国の行政機関等が公表している情報」が掲載された行政機関等のホームページの URL を、事業者のホームページに掲載する方法が認められると解してよいか。

目）
25-2(2)

（ P.56 ・ 7 行目）

足りると解してよいか。
5-2(3)（P.61・11 行

個人情報保護委員会において、「外国の個人情報の保護に関する制度について、事業者の参考となる一定の情報」を取りまとめて公表する予定とされているが、OECD プライバシーガイドライン 8 原則に対応する事業者の義務または本人の権利の不存在、また、その他本人の権利利益に重大な影響を及ぼす可能性のある制度の存在についても、「外国の個人情報の保護に関する制度について、事業者の参考となる一定の情報」に含めて公表していただきたい。

目～）
3「当該第三者が講ずる個人情報の保護のための措置に関する情報」の調査方法について具体的な説明が無いが、例えば委託先に対して OECD8 原則に対応する措置を講じる義務を委託契約等で課していれば、その旨を情報提供すれば個人情報保護委員会において、「外国の個人情報の保護に関する制度について、事業者の参考となる一定の情報」を取りまとめて公表する予定とされているが、ここでどのような内容がどのように公表される予定であるか、前広に公表いただきたい。

6-1(1)



相当措置の継続的な実施の確保が困難となった場合に該当する事例１にて「合理的な期間内にこれを是正しない場合」とあるが、この「合理的な期間」とはどの程度の期間を想定しているか明確化いただきたい。

（ P.71 ・ ２ 行



個人情報保護委員会において、「外国の個人情報の保護に関する制度について、事業者の参考となる一定の情報」を取りまとめて公表する予定とされているが、外国にある第三者による相当措置の実施に影響を及ぼすおそれのある外国の制～）
6-1(2)

度の有無及び内容についても、「外国の個人情報の保護に関する制度について、事業者の参考となる一定の情報」に含めて公表していただきたい。


定期的な確認については、「外国にある第三者に提供する個人データの内容や規模に応じて、適切かつ合理的な方法により確認する必要があるが、例えば、個人データを取り扱う場所に赴く方法、書面により報告を受ける方法又はこれらに代（P.73・16 行わる合理的な方法（口頭による確認を含む。）により確認することが考えられる。」とあるが、目～）①「日本にある個人情報取扱事業者が、外国にある親会社に従業員情報を提供する場合」において、提供する個人データの内容や規模によっては、外国親会社の内規に基準適合体制が構築されているといえるだけの規則があるのであれば、外国親会社における情報管理部署において内部点検が機能しており、また内部監査部門における監査が有効に機能していることの、個人データの提供元である日本の個人情報取扱事業者（以下「提供元」）における口頭での確認のみによっても、ここにいう相当措置の実施状況に関する確認となりうるという趣旨と解してよいか。
②「個人データを取り扱う場所に赴く方法、書面により報告を受ける方法又はこれらに代わる合理的な方法（口頭による確認を含む。）」には、例えば次のような方法で報告を受ける場合も含まれうるか。なお、いずれも報告結果については提供元において内容を精査し、必要な場合には追加での確認を依頼するか、または提供元自身で確認することを前提とする。
（ア）提供元の委託に基づき、外部の監査人または提供元の外国親会社もしくはその子会社の従業員が個人データを取り扱う場所に赴いて調査し、書面または口頭で提供元に報告する方法（イ）提供元と提供先との間で合意した外部の監査人が個人データを取り扱う場所に赴いて調査し、書面または口頭で提供元に報告する方法

2