個人情報の保護に関する法律についてのガイドライン（通則編）（平成 28 年個人情報保護委員会告示第６号）の一部改正の新旧対照表○平成 28 年個人情報保護委員会告示第６号（個人情報の保護に関する法律についてのガイドライン（通則編））
・改正前欄に掲げる規定の傍線を付し又は破線で囲んだ部分をこれに順次対応する改正後欄に掲げる規定の傍線を付し又は破線で囲んだ部分のように改める。
・改正前欄及び改正後欄に対応して掲げるその標記部分に二重傍線を付した規定（以下「対象規定」という。）は、改正前欄に掲げる対象規定を改正後欄に掲げる対象規定として移動する。
・改正前欄に掲げる対象規定で改正後欄にこれに対応するものを掲げていないものは、これを削る。

改正後

改正前

個人情報の保護に関する法律についてのガイドライン

個人情報の保護に関する法律についてのガイドライン

（通則編）

（通則編）

目次

目次

1

[略]

1

[同左]

2

定義

2

定義

[2-1～2-7 略][2-1～2-7 同左]

2-7 保有個人データ（法第 2 条第 7 項関係）

2-7 保有個人データ（法第 2 条第 7 項関係）

2-8 個人関連情報（法第 26 条の 2 第 1 項関係）

[新設]

2-9 個人関連情報取扱事業者（法第 26 条の 2 第 1 項関係）

[新設]

1

・改正後欄に掲げる対象規定で改正前欄にこれに対応するものを掲げていないものは、これを加える。

[新設]2-11 仮名加工情報取扱事業者（法第 2 条第 10 項関係）

[新設]

2-12 匿名加工情報（法第 2 条第 11 項関係）

2-8 匿名加工情報（法第 2 条第 9 項関係）

2-13 匿名加工情報取扱事業者（法第 2 条第 12 項関係）

2-9 匿名加工情報取扱事業者（法第 2 条第 10 項関係）

2-14 「本人に通知」

2-10 「本人に通知」

2-15 「公表」

2-11 「公表」

2-16 「本人の同意」

2-12 「本人の同意」

2-17 「提供」

2-13 「提供」

個人情報取扱事業者等の義務

3

個人情報取扱事業者等の義務

3-1 個人情報の利用目的（法第 15 条・第 16 条、第 18 条第 3 項関係）

3-1 個人情報の利用目的（法第 15 条～第 16 条、第 18 条第 3 項関係[3-1-1～3-1-5 略][3-1-1～3-1-5 同左]

3-2 不適正利用の禁止（法第 16 条の 2 関係）[新設]

3-3 個人情報の取得（法第 17 条・第 18 条関係）

3-2 個人情報の取得（法第 17 条・第 18 条関係）

3-3-1 適正取得（法第 17 条第 1 項関係）

3-2-1 適正取得（法第 17 条第 1 項関係）

3-3-2 要配慮個人情報の取得（法第 17 条第 2 項関係）

3-2-2 要配慮個人情報の取得（法第 17 条第 2 項関係）

3-3-3 利用目的の通知又は公表（法第 18 条第 1 項関係）

3-2-3 利用目的の通知又は公表（法第 18 条第 1 項関係）

3-3-4 直接書面等による取得（法第 18 条第 2 項関係）

3-2-4 直接書面等による取得（法第 18 条第 2 項関係）

3-3-5 利用目的の通知等をしなくてよい場合（法第 18 条第 4 項関係）

3-2-5 利用目的の通知等をしなくてよい場合（法第 18 条第 4 項関係）

3-4 個人データの管理（法第 19 条～第 22 条関係）

3-3 個人データの管理（法第 19 条～第 22 条関係）

3-4-1 データ内容の正確性の確保等（法第 19 条関係）

3-3-1 データ内容の正確性の確保等（法第 19 条関係）

3-4-2 安全管理措置（法第 20 条関係）

3-3-2 安全管理措置（法第 20 条関係）

3-4-3 従業者の監督（法第 21 条関係）

3-3-3 従業者の監督（法第 21 条関係）

3-4-4 委託先の監督（法第 22 条関係）

3-3-4 委託先の監督（法第 22 条関係）

232-10 仮名加工情報（法第 2 条第 9 項関係）

[新設]3-5-1 「漏えい等」の考え方[新設]

3-5-2 漏えい等事案が発覚した場合に講ずべき措置[新設]

3-5-3 個人情報保護委員会への報告（法第 22 条の 2 第 1 項関係）

[新設]

3-5-4 本人への通知（法第 22 条の 2 第 2 項関係）

[新設]

3-6 個人データの第三者への提供（法第 23 条～第 26 条関係）

3-4 個人データの第三者への提供（法第 23 条～第 26 条関係）

3-6-1 第三者提供の制限の原則（法第 23 条第 1 項関係）

3-4-1 第三者提供の制限の原則（法第 23 条第 1 項関係）

3-6-2 オプトアウトによる第三者提供（法第 23 条第 2 項～第 4 項関係）

3-4-2 オプトアウトによる第三者提供（法第 23 条第 2 項～第 4 項関係）

3-6-3 第三者に該当しない場合（法第 23 条第 5 項・第 6 項関係）

3-4-3 第三者に該当しない場合（法第 23 条第 5 項・第 6 項関係）

3-6-4 外国にある第三者への提供の制限（法第 24 条関係）

3-4-4 外国にある第三者への提供の制限（法第 24 条関係）

3-6-5 第三者提供に係る記録の作成等（法第 25 条関係）

3-4-5 第三者提供に係る記録の作成等（法第 25 条関係）

3-6-6 第三者提供を受ける際の確認等（法第 26 条関係）

3-4-6 第三者提供を受ける際の確認等（法第 26 条関係）

3-7 個人関連情報の第三者提供の制限等（法第 26 条の 2 関係）[新設]

3-7-1 定義

[新設]

3-7-2 法第 26 条の 2 の適用の有無について[新設]

3-7-3 本人の同意の取得方法[新設]

3-7-4 本人の同意等の確認の方法（法第 26 条の 2 第 1 項関係）

[新設]

3-7-5 提供元における記録義務（法第 26 条の 2 第 3 項、第 26 条第 3 項

[新設]

関係）
3-7-6 提供先の第三者における確認義務（法第 26 条第 1 項関係）

[新設]

3-7-7 提供先の第三者における記録義務（法第 26 条第 3 項関係）

[新設]

3-8 保有個人データに関する事項の公表等、保有個人データの開示・訂3-5

正等・利用停止等（法第 27 条～第 34 条関係）

保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止等（法第 27 条～第 34 条関係）

3

3-5 個人データの漏えい等の報告等（法第 22 条の 2 関係）

3-8-1 保有個人データに関する事項の公表等（法第 27 条関係）

3-5-1 保有個人データに関する事項の公表等（法第 27 条関係）

3-8-2 保有個人データの開示（法第 28 条第 1 項～第 4 項関係）

3-5-2 保有個人データの開示（法第 28 条関係）

3-8-3 第三者提供記録の開示（法第 28 条第 5 項、第 1 項～第 3 項関[新設]

3-8-4 保有個人データの訂正等（法第 29 条関係）

3-5-3 保有個人データの訂正等（法第 29 条関係）

3-8-5 保有個人データの利用停止等（法第 30 条関係）

3-5-4 保有個人データの利用停止等（法第 30 条関係）

3-8-6 理由の説明（法第 31 条関係）

3-5-5 理由の説明（法第 31 条関係）

3-8-7 開示等の請求等に応じる手続（法第 32 条関係）

3-5-6 開示等の請求等に応じる手続（法第 32 条関係）

3-8-8 手数料（法第 33 条関係）

3-5-7 手数料（法第 33 条関係）

3-8-9 裁判上の訴えの事前請求（法第 34 条関係）

3-5-8 裁判上の訴えの事前請求（法第 34 条関係）

3-9 個人情報の取扱いに関する苦情処理（法第 35 条関係）

3-6 個人情報の取扱いに関する苦情処理（法第 35 条関係）

3-10 仮名加工情報取扱事業者等の義務（法第 35 条の 2・第 35 条の 3 関

[新設]

係）
3-11 匿名加工情報取扱事業者等の義務（法第 36 条～第 39 条関係）

3-7 匿名加工情報取扱事業者等の義務（法第 36 条～第 39 条関係）

[削る]

4

漏えい等の事案が発生した場合等の対応

4「勧告」、「命令」、「緊急命令」等についての考え方

5「勧告」、「命令」、「緊急命令」等についての考え方

5

域外適用及び適用除外（法第 75 条・第 76 条関係）

6

域外適用及び適用除外（法第 75 条、第 76 条関係）

5-1 域外適用（法第 75 条関係）

6-1 域外適用（法第 75 条関係）

5-2 適用除外（法第 76 条関係）

6-2 適用除外（法第 76 条関係）6

ガイドラインの見直し

7

ガイドラインの見直し

7（別添）講ずべき安全管理措置の内容

8（別添）講ずべき安全管理措置の内容

7-1 基本方針の策定

8-1 基本方針の策定

7-2 個人データの取扱いに係る規律の整備

8-2 個人データの取扱いに係る規律の整備

4係）

7-3 組織的安全管理措置

8-3 組織的安全管理措置

7-4 人的安全管理措置

8-4 人的安全管理措置

7-5 物理的安全管理措置

8-5 物理的安全管理措置

7-6 技術的安全管理措置

8-6 技術的安全管理措置

7-7 外的環境の把握

[新設]

【付録】

[新設]

【凡例】

【凡例】

「法」

個人情報の保護に関する法律（平成 15 年法律第 57 号）「法」

個人情報の保護に関する法律（平成 15 年法律第 57 号）「政令」

個人情報の保護に関する法律施行令（平成 15 年政令第「政令」

個人情報の保護に関する法律施行令（平成 15 年政令第「規則」

507 号）

個人情報の保護に関する法律施行規則（平成 28 年個人情「規則」

報保護委員会規則第 3 号）
「平成 27 年改正法」

個人情報の保護に関する法律及び行政手続にお個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第 3 号）

「改正法」

個人情報の保護に関する法律及び行政手続における特定

ける特定の個人を識別するための番号の利用等の個人を識別するための番号の利用等に関する法律の一に関する法律の一部を改正する法律（平成 27 年

部を改正する法律（平成 27 年法律第 65 号）

法律第 65 号）「令和 2 年改正法」

個人情報の保護に関する法律等の一部を改正する法律（令和 2 年法律第 44 号）※ なお、特に断りのない限り、本ガイドラインにおいて示す個人情報※ なお、特に断りのない限り、本ガイドラインにおいて示す個人情報の保護に関する法律の条番号は、令和 2 年改正法による改正後の条番の保護に関する法律の条番号は、改正法のうち個人情報の保護に関号を示すものとする。

する法律に係る改正が全面的に施行される日時点の条番号を示すも

5507 号）

のとする。
その他の法令に係る条文は、本ガイドラインの公表日（令和 3 年
8 月 2 日）時点の条番号を示すものとする。

その他の法令に係る条文は、本ガイドラインの公表日（平成 28 年
11 月 30 日）時点の条番号を示すものとする。

1 目的及び適用対象

1-1 目的1-1 目的[略][同左]

なお、法の規定のうち、第 24 条（外国にある第三者への提供の制限）、

なお、法の規定のうち、第 24 条（外国にある第三者への提供の制限）、

第 25 条（第三者提供に係る記録の作成等）及び第 26 条（第三者提供を受

第 25 条（第三者提供に係る記録の作成等）及び第 26 条（第三者提供を受ける際の確認等）、第 4 章第 2 節（仮名加工情報取扱事業者等の義務）（法ける際の確認等）、並びに第 4 章第 2 節（匿名加工情報取扱事業者等の義第 2 条第 9 項及び同第 10 項に定める「仮名加工情報」及び「仮名加工情報

務）（法第 2 条第 9 項及び同第 10 項に定める「匿名加工情報」及び「匿名取扱事業者」の定義に関する内容を含む。）及び第 4 章第 3 節（匿名加工

加工情報取扱事業者」の定義に関する内容を含む。）に関する内容につい情報取扱事業者等の義務）（法第 2 条第 11 項及び同第 12 項に定める「匿ては、各々について分かりやすく一体的に示す観点から、別途「個人情報名加工情報」及び「匿名加工情報取扱事業者」の定義に関する内容を含の保護に関する法律についてのガイドライン（外国にある第三者への提供

む。）、並びに第 4 章第 5 節（民間団体による個人情報の保護の推進）に編）」（平成 28 年個人情報保護委員会告示第 7 号）、「個人情報の保護に関する内容については、各々について分かりやすく一体的に示す観点か関する法律についてのガイドライン（第三者提供時の確認・記録義務

ら、別途「個人情報の保護に関する法律についてのガイドライン（外国に編）」（平成 28 年個人情報保護委員会告示第 8 号）及び「個人情報の保護ある第三者への提供編）」（平成 28 年個人情報保護委員会告示第 7 号。以に関する法律についてのガイドライン（匿名加工情報編）」（平成 28 年個下「外国第三者提供ガイドライン」という。）、「個人情報の保護に関す

人情報保護委員会告示第 9 号）においてそれぞれ定めている（※１）。

6

1 目的及び適用対象

る法律についてのガイドライン（第三者提供時の確認・記録義務編）」（平成 28 年個人情報保護委員会告示第 8 号。以下「確認・記録義務ガイド
ライン」という。）、「個人情報の保護に関する法律についてのガイドラ
イン（仮名加工情報・匿名加工情報編）」（平成 28 年個人情報保護委員会
告示第 9 号。以下「仮名加工情報・匿名加工情報ガイドライン」という。）及び「個人情報の保護に関する法律についてのガイドライン（認定
個人情報保護団体編）」（令和 3 年個人情報保護委員会告示第 7 号）においてそれぞれ定めている（※1）。

本ガイドラインの中で、「しなければならない」及び「してはならな

い」と記述している事項については、これらに従わなかった場合、法違反い」と記述している事項については、これらに従わなかった場合、法違反と判断される可能性がある。

と判断される可能性がある。
7

本ガイドラインの中で、「しなければならない」及び「してはならな

一方、「努めなければならない」、「望ましい」等と記述している事項

一方、「努めなければならない」、「望ましい」等と記述している事項

については、これらに従わなかったことをもって直ちに法違反と判断されについては、これらに従わなかったことをもって直ちに法違反と判断されることはないが（4（「勧告」、「命令」、「緊急命令」等についての考え

ることはないが（5（「勧告」、「命令」、「緊急命令」等についての考え方）参照）、「個人情報は、個人の人格尊重の理念の下に慎重に取り扱わ方）参照）、「個人情報は、個人の人格尊重の理念の下に慎重に取り扱われるべきものであることにかんがみ、その適正な取扱いが図られなければれるべきものであることにかんがみ、その適正な取扱いが図られなければならない。」とする法の基本理念（法第 3 条）を踏まえ、事業者の特性やならない。」とする法の基本理念（法第 3 条）を踏まえ、事業者の特性や規模に応じ可能な限り対応することが望まれるものである。もっとも、法規模に応じ可能な限り対応することが望まれるものである。もっとも、法の目的（法第 1 条）の趣旨に照らして、公益上必要な活動や正当な事業活の目的（法第 1 条）の趣旨に照らして、公益上必要な活動や正当な事業活動等までも制限するものではない。

動等までも制限するものではない。

[略]

[同左]

なお、認定個人情報保護団体（※３）が個人情報保護指針を作成又は変し、また、事業者団体等が事業の実態及び特性を踏まえ、当該事業者団体

更し、また、事業者団体等が事業の実態及び特性を踏まえ、当該事業者団等の会員企業等を対象とした自主的ルール（事業者団体ガイドライン等）

体等の会員企業等を対象とした自主的ルール（事業者団体ガイドラインを作成又は変更することもあり得るが、その場合は、認定個人情報保護団

等）を作成又は変更することもあり得るが、その場合は、認定個人情報保体の対象事業者や事業者団体等の会員企業等は、個人情報の取扱いに当た

護団体の対象事業者や事業者団体等の会員企業等は、個人情報の取扱いにり、法及び本ガイドラインに加えて、当該指針又はルールに沿った対応を当たり、法及び本ガイドラインに加えて、当該指針又はルールに沿った対行う必要がある。特に、認定個人情報保護団体においては、認定個人情報応を行う必要がある。特に、認定個人情報保護団体においては、法改正に保護団体が対象事業者に対し個人情報保護指針を遵守させるために必要なより、認定個人情報保護団体が対象事業者に対し個人情報保護指針を遵守措置をとらなければならないこととされていることを踏まえることも重要させるために必要な措置をとらなければならないこととされたことを踏まである（法第 53 条第 4 項参照）。

えることも重要である（法第 53 条第 4 項参照）。
8

なお、認定個人情報保護団体（※3）が個人情報保護指針を作成又は変更[（※1）・（※2） 略][（※１）・（※２） 同左]（※3）認定個人情報保護団体制度については、別途定める「個人（※３）認定個人情報保護団体制度は、個人情報取扱事業者又は情報の保護に関する法律についてのガイドライン（認定個人

匿名加工情報取扱事業者の個人情報又は匿名加工情報の適正情報保護団体編）」を参照のこと。

な取扱いを目的として、対象事業者の苦情処理や対象事業者に対する情報提供を行う民間団体に対し、個人情報保護委員会が認定する制度であり、当該業務の信頼性を確保し、民間団体による個人情報の保護の推進を図ろうとするものであ
る。

（参考）

（参考）

法第 1 条

法第 1 条[略]

法第 3 条[同左]

法第 3 条[略]

法第 4 条[同左]

法第 4 条[略]法第 8 条[同左]

法第 8 条[同左]

法第 47 条

法第 47 条

1

1

9

[略]

個人情報取扱事業者等（個人関連情報取扱事業者を除く。以下この

個人情報取扱事業者等の個人情報等の適正な取扱いの確保を目的と節において同じ。）の個人情報等（個人関連情報を除く。以下この節

して次に掲げる業務を行おうとする法人（法人でない団体で代表者又において同じ。）の適正な取扱いの確保を目的として次に掲げる業務

は管理人の定めのあるものを含む。次条第 3 号ロにおいて同じ。）

を行おうとする法人（法人でない団体で代表者又は管理人の定めのあは、個人情報保護委員会の認定を受けることができる。

るものを含む。次条第 3 号ロにおいて同じ。）は、個人情報保護委員会の認定を受けることができる。
[(1)～(3) 略]
2[(1)～(3) 同左]

前項の認定は、対象とする個人情報取扱事業者等の事業の種類その他の業務の範囲を限定して行うことができる。

3

第 1 項の認定を受けようとする者は、政令で定めるところにより、

2

前項の認定を受けようとする者は、政令で定めるところにより、個個人情報保護委員会に申請しなければならない。
4

個人情報保護委員会は、第 1 項の認定をしたときは、その旨（第 2項の規定により業務の範囲を限定する認定にあっては、その認定に係

人情報保護委員会に申請しなければならない。
3

個人情報保護委員会は、第 1 項の認定をしたときは、その旨を公示しなければならない。

法第 53 条（第 4 項）

法第 53 条（第 4 項）

[略]

[同左]

法第 60 条

法第 60 条[略]

[同左]

1-2 適用対象

1-2 適用対象

本ガイドラインは、事業者の業種・規模等を問わず、法の適用対象であ本ガイドラインは、事業者の業種・規模等を問わず、法の適用対象である個人情報取扱事業者、個人関連情報取扱事業者、仮名加工情報取扱事業

る個人情報取扱事業者又は匿名加工情報取扱事業者（以下「個人情報取扱者又は匿名加工情報取扱事業者（以下「個人情報取扱事業者等」とい事業者等」という。）に該当する事業者に適用される。

う。）に該当する事業者に適用される。

2 定義

2 定義

2-1 個人情報（法第 2 条第 1 項関係）

2-1 個人情報（法第 2 条第 1 項関係）

法第 2 条（第 1 項）

法第 2 条（第 1 項）

10

る業務の範囲を含む。）を公示しなければならない。

1

この法律において「個人情報」とは、生存する個人に関する情報で1

この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。

あって、次の各号のいずれかに該当するものをいう。

(1)

(1)

当該情報に含まれる氏名、生年月日その他の記述等（文書、図当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式そ画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。次の他人の知覚によっては認識することができない方式をいう。次項第 2 号において同じ。）で作られる記録をいう。第 18 条第 2 項

項第 2 号において同じ。）で作られる記録をいう。第 18 条第 2 項

及び第 28 条第 1 項において同じ。）に記載され、若しくは記録さにおいて同じ。）に記載され、若しくは記録され、又は音声、動れ、又は音声、動作その他の方法を用いて表された一切の事項

作その他の方法を用いて表された一切の事項（個人識別符号を除（個人識別符号を除く。）をいう。以下同じ。）により特定の個く。）をいう。以下同じ。）により特定の個人を識別することが人を識別することができるもの（他の情報と容易に照合することできるもの（他の情報と容易に照合することができ、それによりができ、それにより特定の個人を識別することができることとな

特定の個人を識別することができることとなるものを含む。）

(2)

[略]

11

るものを含む。）(2)[同左]「個人情報」（※1）とは、生存する「個人に関する情報」（※2）（※「個人情報」（※1）とは、生存する「個人に関する情報」（※2）（※3）であって、「当該情報に含まれる氏名、生年月日その他の記述等により

3）であって、「当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合すること

特定の個人を識別することができるもの（他の情報と容易に照合することができ（※4）、それにより特定の個人を識別することができるものを含ができ（※4）、それにより特定の個人を識別することができるものを含む。）」（法第 2 条第 1 項第 1 号）、又は「個人識別符号（※5）が含まれ む。）」（法第 2 条第 1 項第 1 号）、又は「個人識別符号（※5）が含まれるもの」（同項第 2 号）をいう。

るもの」（同項第 2 号）をいう。

「個人に関する情報」とは、氏名、住所、性別、生年月日、顔画像等個「個人に関する情報」とは、氏名、住所、性別、生年月日、顔画像等個

人を識別する情報に限られず、ある個人の身体、財産、職種、肩書等の属人を識別する情報に限られず、個人の身体、財産、職種、肩書等の属性に性に関して、事実、判断、評価を表す全ての情報であり、評価情報、公刊

関して、事実、判断、評価を表す全ての情報であり、評価情報、公刊物等

物等によって公にされている情報や、映像、音声による情報も含まれ、暗によって公にされている情報や、映像、音声による情報も含まれ、暗号化

号化等によって秘匿化されているかどうかを問わない。

等によって秘匿化されているかどうかを問わない。

[【個人情報に該当する事例】 略][【個人情報に該当する事例】 同左]（※1）法は、「個人情報」、「要配慮個人情報」（2-3（要配慮個（※1）法は、「個人情報」、「個人データ」（2-6（個人データ）

人情報）参照）、「個人データ」（2-6（個人データ）参照）、参照）、「保有個人データ」（2-7（保有個人データ）参照）、「保有個人データ」（2-7（保有個人データ）参照）、「個人関「要配慮個人情報」（2-3（要配慮個人情報）参照）、「匿名加連情報」（2-8（個人関連情報）参照）、「仮名加工情報」（2-

工情報」（2-8（匿名加工情報）参照）等の語を使い分けてお10（仮名加工情報）参照）、「匿名加工情報」（2-12（匿名加り、個人情報取扱事業者等に課される義務はそれぞれ異なるの

工情報）参照）等の語を使い分けており、個人情報取扱事業者

で、注意を要する。

[（※2）～（※5） 略]

12等に課される義務はそれぞれ異なるので、注意を要する。
[（※2）～（※5） 同左]

2-2 [略]

2-2 [同左]

2-3 要配慮個人情報（法第 2 条第 3 項関係）

2-3 要配慮個人情報（法第 2 条第 3 項関係）[（関係条文） 略][（関係条文） 同左]「要配慮個人情報」とは、不当な差別や偏見その他の不利益が生じない「要配慮個人情報」とは、不当な差別や偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして次の（1）から（11）まで ようにその取扱いに特に配慮を要するものとして次の（1）から（11）までの記述等が含まれる個人情報をいう。
要配慮個人情報の取得や第三者提供には、原則として本人の同意が必要の記述等が含まれる個人情報をいう。
要配慮個人情報の取得や第三者提供には、原則として本人の同意が必要であり、法第 23 条第 2 項の規定による第三者提供（オプトアウトによる第 であり、法第 23 条第 2 項の規定による第三者提供（オプトアウトによる第三者提供）は認められていないので、注意が必要である（3-3-2（要配慮個 三者提供）は認められていないので、注意が必要である（3-2-2（要配慮個
人情報の取得）、3-6-1（第三者提供の制限の原則）、3-6-2（オプトアウ

人情報の取得）、3-4-1（第三者提供の制限の原則）、3-4-2（オプトアウ

トによる第三者提供）参照）。また、要配慮個人情報が含まれる個人デー

トによる第三者提供）参照）。

タの漏えい等が発生し、又は発生したおそれがある事態が生じた場合には、個人情報保護委員会に報告しなければならない（3-5-3（個人情報保護

なお、次に掲げる情報を推知させる情報にすぎないもの（例：宗教に関

なお、次に掲げる情報を推知させる情報にすぎないもの（例：宗教に関する書籍の購買や貸出しに係る情報等）は、要配慮個人情報には含まなする書籍の購買や貸出しに係る情報等）は、要配慮個人情報には含まない。

い。

[（1)～（11) 略][（1)～（11) 同左]（※）[略]（※）[同左][2-4～2-6 略][2-4～2-6 同左]

13

委員会への報告）参照）。

2-7 保有個人データ（法第 2 条第 7 項関係）

2-7 保有個人データ（法第 2 条第 7 項関係）

法第 2 条（第 7 項）

法第 2 条（第 7 項）

77

この法律において「保有個人データ」とは、個人情報取扱事業者

この法律において「保有個人データ」とは、個人情報取扱事業者

が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであっへの提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるて、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの以外のものをいう。

ものとして政令で定めるもの又は 1 年以内の政令で定める期間以内に消去することとなるもの以外のものをいう。

政令第 4 条[略]

[同左]

政令第 5 条
法第 2 条第 7 項の政令で定める期間は、6 月とする。

「保有個人データ」（※1）とは、個人情報取扱事業者が、本人又はその「保有個人データ」（※1）とは、個人情報取扱事業者が、本人又はその代理人から請求される開示、内容の訂正、追加又は削除、利用の停止、消代理人から請求される開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止の全て（以下「開示等」という。）に応じる

去及び第三者への提供の停止の全て（以下「開示等」という。）に応じる

ことができる権限を有する（※2）「個人データ」をいう。

ことができる権限を有する（※2）「個人データ」をいう。

ただし、個人データのうち、次に掲げるものは、「保有個人データ」ではない。

ただし、個人データのうち、次に掲げるもの又は 6 か月以内に消去する（更新することは除く。）こととなるものは、「保有個人データ」ではない。

14

政令第 4 条（1）当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるものの生命、身体又は財産に危害が及ぶおそれがあるもの。

事例）[略]

事例）[同左]（2）当該個人データの存否が明らかになることにより、違法又は不当な（2）当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの

行為を助長し、又は誘発するおそれがあるもの。

[事例 1）・事例 2) 略][事例 1）・事例 2) 同左]（3）当該個人データの存否が明らかになることにより、国の安全が害さ（3）当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがある

れ又は他国若しくは国際機関との交渉上不利益を被るおそれがある

もの

もの。

[事例 1）・事例 2) 略][事例 1）・事例 2) 同左]（4）当該個人データの存否が明らかになることにより、犯罪の予防、鎮（4）当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれが圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれが

あるもの

あるもの。

[事例 1）～事例 4) 略][事例 1）～事例 4) 同左]（※1）法は、「個人情報」（2-1（個人情報）参照）、「要配慮個（※1）法は、「個人情報」（2-1（個人情報）参照）、「個人デー

人情報」（2-3（要配慮個人情報）参照）、「個人データ」（2-タ」（2-6（個人データ）参照）、「保有個人データ」、「要配6（個人データ）参照）、「保有個人データ」、「個人関連情

慮個人情報」（2-3（要配慮個人情報）参照）、「匿名加工情

15（1）当該個人データの存否が明らかになることにより、本人又は第三者

報」（2-8（個人関連情報）参照）、「仮名加工情報」（2-10

報」（2-8（匿名加工情報）参照）等の語を使い分けており、個（仮名加工情報）参照）、「匿名加工情報」（2-12（匿名加工

人情報取扱事業者等に課される義務はそれぞれ異なるので、注情報）参照）等の語を使い分けており、個人情報取扱事業者等

意を要する。

に課される義務はそれぞれ異なるので、注意を要する。
（※2）開示等の具体的な対応が必要となる場合等については、3-5-2（保有個人データの開示）以降を参照のこと。なお、個人デー

2（保有個人データの開示）以降を参照のこと。なお、個人デー

タの取扱いについて、委託等により複数の個人情報取扱事業者

タの取扱いについて、委託等により複数の個人情報取扱事業者が関わる場合には、契約等の実態によって、どの個人情報取扱が関わる場合には、契約等の実態によって、どの個人情報取扱事業者が開示等に応じる権限を有しているのかについて判断す事業者が開示等に応じる権限を有しているのかについて判断することとなる。

ることとなる。

16（※2）開示等の具体的な対応が必要となる場合等については、3-8-

2-8 個人関連情報（法第 26 条の 2 第 1 項関係）

個人関連情報の定義については、3-7-1-1（個人関連情報）を参照のこと。

（参考）法第 26 条の 2（第 1 項）
1（略）個人関連情報（生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。以下同じ。）（略）[新設]

2-9 個人関連情報取扱事業者（法第 26 条の 2 第 1 項関係）

[新設]

個人関連情報取扱事業者の定義については、3-7-1-2（個人関連情報取扱事業者）を参照のこと。

（参考）
法第 26 条の 2（第 1 項）
1

個人関連情報取扱事業者（個人関連情報データベース等（個人関連

計算機を用いて検索することができるように体系的に構成したものその他特定の個人関連情報を容易に検索することができるように体系的に構成したものとして政令で定めるものをいう。以下この項において同じ。）を事業の用に供している者であって、第 2 条第 5 項各号に掲げる者を除いたものをいう。以下同じ。）（略）

政令第 7 条の 2
法第 26 条の 2 第 1 項の政令で定めるものは、これに含まれる個人関連情報を一定の規則に従って整理することにより特定の個人関連情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するも
のをいう。

17

情報（略）を含む情報の集合物であって、特定の個人関連情報を電子

2-10 仮名加工情報（法第 2 条第 9 項関係）

[新設]

仮名加工情報の定義については、別途定める「仮名加工情報・匿名加工
情報ガイドライン」を参照のこと。

（参考）
法第 2 条（第 9 項）
9

この法律において「仮名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工し

(1)

18

て得られる個人に関する情報をいう。
第 1 項第 1 号に該当する個人情報 当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含
む。）。
(2)

第 1 項第 2 号に該当する個人情報 当該個人情報に含まれる個

人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

2-11 仮名加工情報取扱事業者（法第 2 条第 10 項関係）

[新設]

仮名加工情報取扱事業者の定義については、別途定める「仮名加工情報・匿名加工情報ガイドライン」を参照のこと。

（参考）
法第 2 条（第 10 項）
10

この法律において「仮名加工情報取扱事業者」とは、仮名加工情報

を含む情報の集合物であって、特定の仮名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の仮名加工情報を容易に検索することができるように体系的に構成した情報データベース等」という。）を事業の用に供している者をいう。
ただし、第 5 項各号に掲げる者を除く。

政令第 5 条
法第 2 条第 10 項の政令で定めるものは、これに含まれる仮名加工情報を一定の規則に従って整理することにより特定の仮名加工情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するものをいう。

19

ものとして政令で定めるもの（第 35 条の 2 第 1 項において「仮名加工匿名加工情報の定義については、別途定める「仮名加工情報・匿名加工

2-8 匿名加工情報（法第 2 条第 9 項関係）

匿名加工情報の定義については、別途定める「個人情報の保護に関する情報ガイドライン」を参照のこと。

法律についてのガイドライン（匿名加工情報編）」を参照のこと。

（参考）

（参考）

法第 2 条（第 11 項）

法第 2 条（第 9 項）

119

この法律において「匿名加工情報」とは、次の各号に掲げる個人情

この法律において「匿名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別す

報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情ることができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたもの

報であって、当該個人情報を復元することができないようにしたもの

をいう。

をいう。

[(1)・(2) 略][(1）・(2） 同左]

2-13 匿名加工情報取扱事業者（法第 2 条第 12 項関係）

2-9 匿名加工情報取扱事業者（法第 2 条第 10 項関係）

匿名加工情報取扱事業者の定義については、別途定める「仮名加工情

匿名加工情報取扱事業者の定義については、別途定める「個人情報の保報・匿名加工情報ガイドライン」を参照のこと。

護に関する法律についてのガイドライン（匿名加工情報編）」を参照のこ
と。

（参考）

（参考）

法第 2 条（第 12 項）

法第 2 条（第 10 項）

20

2-12 匿名加工情報（法第 2 条第 11 項関係）

この法律において「匿名加工情報取扱事業者」とは、匿名加工情報10

この法律において「匿名加工情報取扱事業者」とは、匿名加工情報

を含む情報の集合物であって、特定の匿名加工情報を電子計算機を用を含む情報の集合物であって、特定の匿名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定のいて検索することができるように体系的に構成したものその他特定の匿名加工情報を容易に検索することができるように体系的に構成した

匿名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第 36 条第 1 項において「匿名加工情報

ものとして政令で定めるもの（第 36 条第 1 項において「匿名加工情報

データベース等」という。）を事業の用に供している者をいう。ただデータベース等」という。）を事業の用に供している者をいう。ただし、第 5 項各号に掲げる者を除く。

し、第 5 項各号に掲げる者を除く。

政令第 6 条

政令第 6 条

法第 2 条第 12 項の政令で定めるものは、これに含まれる匿名加工情法第 2 条第 10 項の政令で定めるものは、これに含まれる匿名加工情報を一定の規則に従って整理することにより特定の匿名加工情報を容報を一定の規則に従って整理することにより特定の匿名加工情報を容易に検索することができるように体系的に構成した情報の集合物であ易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するものをって、目次、索引その他検索を容易にするためのものを有するものを

いう。

いう。

2-14 「本人に通知」

2-10 「本人に通知」

法第 18 条（第 1 項）

法第 18 条（第 1 項）

1

1

個人情報取扱事業者は、個人情報を取得した場合は、あらかじめそ

個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、の利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

本人に通知し、又は公表しなければならない。

21

12

※（参考）上記のほか、「本人に通知」に関する主な条文※（参考）上記のほか、「本人に通知」に関する主な条文

①

①

②

利用目的に関するもの

利用目的に関するもの

法第 18 条第 3 項及び第 4 項（3-1-2（利用目的の変更）、3-3-5

法第 18 条第 3 項及び第 4 項（3-1-2（利用目的の変更）、3-2-5（利用目的の通知等をしなくてよい場合）参照）（利用目的の通知等をしなくてよい場合）参照）

漏えい等に関するもの
法第 22 条の 2 第 2 項（3-5-4（本人への通知）参照）③④

個人データの第三者提供に関するもの②

第三者提供に関するもの

法第 23 条第 2 項及び第 3 項、並びに第 5 項第 3 号及び第 6 項（3-

法第 23 条第 2 項及び第 3 項、並びに第 5 項第 3 号及び第 6 項（3-6-2（オプトアウトによる第三者提供）、3-6-3（第三者に該当し4-2（オプトアウトによる第三者提供）、3-4-3（第三者に該当しない場合）参照）ない場合）参照）

外国にある第三者への提供における情報提供に関するもの
22

法第 24 条第 3 項並びに規則第 11 条の 4 第 4 項及び第 5 項（3-64（外国にある第三者への提供の制限）参照）⑤

開示等の請求等に関するもの③

開示等の請求等に関するもの

法第 27 条第 2 項及び第 3 項、法第 28 条第 3 項（同条第 5 項にお法第 27 条第 2 項及び第 3 項、法第 28 条第 3 項、法第 29 条第 3 項

いて準用する場合を含む。）、法第 29 条第 3 項並びに法第 30 条

並びに法第 30 条第 5 項（3-5-1（保有個人データに関する事項の第 5 項（3-8-1（保有個人データに関する事項の公表等）、3-8-2

公表等）、3-5-2（保有個人データの開示）、3-5-3（保有個人デ（保有個人データの開示）、3-8-3（第三者提供記録の開示）、ータの訂正等）、3-5-4（保有個人データの利用停止等）参照）

3-8-4（保有個人データの訂正等）、3-8-5（保有個人データの利用停止等）参照）

[略]

[同左]

2-15 「公表」

2-11 「公表」

法第 18 条（第 1 項）

法第 18 条（第 1 項）

1

1

個人情報取扱事業者は、個人情報を取得した場合は、あらかじめそ

個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、の利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

本人に通知し、又は公表しなければならない。

※（参考）上記のほか、個人情報取扱事業者等による「公表」に関する

主な条文

主な条文

①

[略]

①

[同左]

②

仮名加工情報に関するもの②

匿名加工情報に関するもの

23※（参考）上記のほか、個人情報取扱事業者等による「公表」に関する

法第 35 条の 2 第 4 項、第 6 項及び法第 35 条の 3 第 2 項（3-10（仮名加工情報取扱事業者等の義務）参照）③④

匿名加工情報に関するもの
法第 36 条第 3 項、第 4 項及び第 6 項、第 37 条、並びに第 39 条

法第 36 条第 3 項、第 4 項及び第 6 項、第 37 条、並びに第 39 条

（3-11（匿名加工情報取扱事業者等の義務）参照）（3-7（匿名加工情報取扱事業者等の義務）参照）

その他

③

その他

法第 76 条第 3 項（5-2（適用除外）参照）[略]法第 76 条第 3 項（6-2（適用除外）参照）[同左]

2-16 「本人の同意」

2-12 「本人の同意」

法第 16 条（第 1 項）

法第 16 条（第 1 項）

1

1

個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。

報を取り扱ってはならない。

※（参考）上記のほか、「本人の同意」に関する主な条文※（参考）上記のほか、「本人の同意」に関する主な条文

①

[略]

①

[同左]

②

要配慮個人情報の取得に関するもの②

要配慮個人情報の取得に関するもの

法第 17 条第 2 項（3-3-2（要配慮個人情報の取得）参照）③④

個人データの第三者提供に関するもの

法第 17 条第 2 項（3-2-2（要配慮個人情報の取得）参照）③

第三者提供に関するもの

法第 23 条第 1 項及び第 24 条第 1 項（3-6-1（第三者提供の制限の法第 23 条第 1 項及び第 24 条（3-4-1（第三者提供の制限の原原則）、3-6-4（外国にある第三者への提供の制限）参照）

則）、3-4-4（外国にある第三者への提供の制限）参照）

個人関連情報の第三者提供に関するもの
法第 26 条の 2 第 1 項（3-7（個人関連情報の第三者提供の制限
等）参照）

[略]

[同左]

2-17 「提供」

2-13 「提供」

24

個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の法第 2 条（第 7 項）

法第 2 条（第 7 項）

77

この法律において「保有個人データ」とは、個人情報取扱事業者

この法律において「保有個人データ」とは、個人情報取扱事業者

が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであっへの提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるて、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの以外のものをいう。

ものとして政令で定めるもの又は 1 年以内の政令で定める期間以内に消去することとなるもの以外のものをいう。

法第 23 条（第 1 項）

法第 23 条（第 1 項）

1

1

個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本

人の同意を得ないで、個人データを第三者に提供してはならない。

人の同意を得ないで、個人データを第三者に提供してはならない。

[(1)～(4) 略][(1)～(4) 同左]※（参考）上記のほか、「提供」に関する主な条文※（参考）上記のほか、「提供」に関する主な条文

①

①

②

個人データの第三者提供に関するもの

第三者提供に関するもの

法第 23 条第 2 項、第 5 項、第 24 条、第 25 条及び第 26 条（3-6-

法第 23 条第 2 項、第 5 項、第 24 条、第 25 条、及び第 26 条（3-2（オプトアウトによる第三者提供）、3-6-3（第三者に該当しな

4-2（オプトアウトによる第三者提供）、3-4-3（第三者に該当しい場合）、3-6-4（外国にある第三者への提供の制限）、3-6-5ない場合）、3-4-4（外国にある第三者への提供の制限）、3-4-5（第三者提供に係る記録の作成等）、3-6-6（第三者提供を受け（第三者提供に係る記録の作成等）、3-4-6（第三者提供を受ける際の確認等）参照）

る際の確認等）参照）

個人関連情報の第三者提供に関するもの
法第 26 条の 2 第 1 項（3-7（個人関連情報の第三者提供の制限
等）参照）

25

個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本

③④

保有個人データの第三者提供の停止に係る請求に関するもの②

保有個人データの第三者提供の停止に係る請求に関するもの

法第 30 条第 3 項、第 4 項、第 5 項、第 6 項及び第 7 項（3-8-5

法 30 条第 3 項、第 4 項及び第 5 項（3-5-4（保有個人データの利（保有個人データの利用停止等）参照）

用停止等）参照）

仮名加工情報に関するもの
法第 35 条の 2 第 6 項並びに第 35 条の 3 第 1 項及び第 2 項（3-10（仮名加工情報取扱事業者等の義務）参照）
匿名加工情報に関するもの③

匿名加工情報に関するもの

法第 36 条第 4 項及び第 37 条（3-11（匿名加工情報取扱事業者等

法第 36 条第 4 項及び第 37 条（3-7（匿名加工情報取扱事業者等のの義務）参照）

義務）参照）「提供」とは、個人データ、保有個人データ、個人関連情報、仮名加工「提供」とは、個人データ、保有個人データ又は匿名加工情報（以下こ情報又は匿名加工情報（以下この項において「個人データ等」という。）の項において「個人データ等」という。）を、自己以外の者が利用可能なを、自己以外の者が利用可能な状態に置くことをいう。個人データ等が、状態に置くことをいう。個人データ等が、物理的に提供されていない場合

物理的に提供されていない場合であっても、ネットワーク等を利用するこであっても、ネットワーク等を利用することにより、個人データ等を利用とにより、個人データ等を利用できる状態にあれば（利用する権限が与えできる状態にあれば（利用する権限が与えられていれば）、「提供」に当られていれば）、「提供」に当たる。

たる。

3 個人情報取扱事業者等の義務

3 個人情報取扱事業者等の義務

3-1 個人情報の利用目的（法第 15 条・第 16 条、第 18 条第 3 項関係）

3-1 個人情報の利用目的（法第 15 条～第 16 条、第 18 条第 3 項関係）

3-1-1 利用目的の特定（法第 15 条第 1 項関係）

3-1-1 利用目的の特定（法第 15 条第 1 項関係）

26⑤

[（関係条文） 略][（関係条文） 同左]

個人情報取扱事業者は、個人情報を取り扱うに当たっては、利用目的を

個人情報取扱事業者は、個人情報を取り扱うに当たっては、利用目的をできる限り具体的に特定しなければならないが、利用目的の特定に当たっできる限り具体的に特定しなければならないが、利用目的の特定に当たっては、利用目的を単に抽象的、一般的に特定するのではなく、個人情報がては、利用目的を単に抽象的、一般的に特定するのではなく、個人情報が個人情報取扱事業者において、最終的にどのような事業の用に供され、ど個人情報取扱事業者において、最終的にどのような事業の用に供され、どのような目的で個人情報を利用されるのかが、本人にとって一般的かつ合のような目的で個人情報を利用されるのかが、本人にとって一般的かつ合理的に想定できる程度に具体的に特定することが望ましい（※1）（※ 理的に想定できる程度に具体的に特定することが望ましい（※）。

なお、あらかじめ、個人情報を第三者に提供することを想定している場

なお、あらかじめ、個人情報を第三者に提供することを想定している場

合には、利用目的の特定に当たっては、その旨が明確に分かるよう特定し合には、利用目的の特定に当たっては、その旨が明確に分かるよう特定しなければならない（3-6-1（第三者提供の制限の原則）参照）。

なければならない（3-4-1（第三者提供の制限の原則）参照）。

[【具体的に利用目的を特定している事例】・【具体的に利用目的を特定し [【具体的に利用目的を特定している事例】・【具体的に利用目的を特定していない事例】 略]（※1）「利用目的の特定」の趣旨は、個人情報を取り扱う者が、個
人情報がどのような事業の用に供され、どのような目的で利用されるかについて明確な認識を持ち、できるだけ具体的に明確にすることにより、個人情報が取り扱われる範囲を確定するとともに、本人の予測を可能とすることである。
本人が、自らの個人情報がどのように取り扱われることとなていない事例】 同左]

[新設]

27

2）。

るか、利用目的から合理的に予測・想定できないような場合は、この趣旨に沿ってできる限り利用目的を特定したことにはならない。
例えば、本人から得た情報から、本人に関する行動・関心等の情報を分析する場合、個人情報取扱事業者は、どのような取扱いが行われているかを本人が予測・想定できる程度に利用目的を特定しなければならない。
【本人から得た情報から、行動・関心等の情報を分析する場合に具体的に利用目的を特定している事例】
事例 1）「取得した閲覧履歴や購買履歴等の情報を分析して、趣味・嗜好に応じた新商品・サービスに関する広告の28ために利用いたします。」
事例 2）「取得した行動履歴等の情報を分析し、信用スコアを算出した上で、当該スコアを第三者へ提供いたします。」（※2）[略]3-1-2 利用目的の変更（法第 15 条第 2 項、第 18 条第 3 項関係）[（関係条文） 略][略]（※）[同左]3-1-2 利用目的の変更（法第 15 条第 2 項、第 18 条第 3 項関係）[（関係条文） 同左][同左]

（※1） [略]（※1） [同左]（※2）「本人に通知」については、2-14（本人に通知）を参照のこ（※2）「本人に通知」については、2-10（本人に通知）を参照のこと。
（※3）「公表」については、2-15（公表）を参照のこと。

3-1-3 利用目的による制限（法第 16 条第 1 項関係）[（関係条文） 略]（※3）「公表」については、2-11（公表）を参照のこと。

3-1-3 利用目的による制限（法第 16 条第 1 項関係）[（関係条文） 同左][同左]（※）「本人の同意」については、2-16（本人の同意）を参照の（※）「本人の同意」については、2-12（本人の同意）を参照のこと。

3-1-4 事業の承継（法第 16 条第 2 項関係）[（関係条文） 略]

[略]

29

[略]

と。

こと。

3-1-4 事業の承継（法第 16 条第 2 項関係）[（関係条文） 同左][同左]

（※）「本人の同意」については、2-16（本人の同意）を参照の（※）「本人の同意」については、2-12（本人の同意）を参照のこと。

3-1-5 利用目的による制限の例外（法第 16 条第 3 項関係）[（関係条文） 略]

3-1-5 利用目的による制限の例外（法第 16 条第 3 項関係）[（関係条文） 同左][同左]（※）「本人の同意」については、2-16（本人の同意）を参照の（※）「本人の同意」については、2-12（本人の同意）を参照のこと。

（1）法令に基づく場合（法第 16 条第 3 項第 1 号関係）

[略]

こと。

（1）法令に基づく場合（法 16 条第 3 項第 1 号関係）

[同左][（2）～（4） 略][（2）～（4） 同左]

3-2 不適正利用の禁止（法第 16 条の 2 関係）[新設]

法第 16 条の 2
個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発す

30

[略]

こと。

るおそれがある方法により個人情報を利用してはならない。

個人情報取扱事業者は、違法又は不当な行為（※1）を助長し、又は誘発するおそれ（※2）がある方法により個人情報を利用してはならない。

【個人情報取扱事業者が違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例】
事例 1）違法な行為を営むことが疑われる事業者（例：貸金業登録を行っていない貸金業者等）からの突然の接触による本人の平穏な生活を送る権利の侵害等、当該事業者の違法な行為を助長するおそれが想する場合
事例 2）裁判所による公告等により散在的に公開されている個人情報（例：官報に掲載される破産者情報）を、当該個人情報に係る本人に対する違法な差別が、不特定多数の者によって誘発されるおそれがあることが予見できるにもかかわらず、それを集約してデータベース化し、インターネット上で公開する場合
事例 3）暴力団員により行われる暴力的要求行為等の不当な行為や総会屋による不当な要求を助長し、又は誘発するおそれが予見できるにもかかわらず、事業者間で共有している暴力団員等に該当する人物を本人とする個人情報や、不当要求による被害を防止するために必要な業務を行う各事業者の責任者の名簿等を、みだりに開示し、又は暴力団等に対しその存在を明らかにする場合

31

定されるにもかかわらず、当該事業者に当該本人の個人情報を提供

事例 4）個人情報を提供した場合、提供先において法第 23 条第 1 項に違反する第三者提供がなされることを予見できるにもかかわらず、当該提供先に対して、個人情報を提供する場合
事例 5）採用選考を通じて個人情報を取得した事業者が、性別、国籍等の特定の属性のみにより、正当な理由なく本人に対する違法な差別的取扱いを行うために、個人情報を利用する場合
事例 6）広告配信を行っている事業者が、第三者から広告配信依頼を受けた商品が違法薬物等の違法な商品であることが予見できるにもかかわらず、当該商品の広告配信のために、自社で取得した個人情報を（※1）「違法又は不当な行為」とは、法（個人情報の保護に関する法律）その他の法令に違反する行為、及び直ちに違法とはいえないものの、法（個人情報の保護に関する法律）その他の法令の制度趣旨又は公序良俗に反する等、社会通念上適正とは認められない行為をいう。
（※2）「おそれ」の有無は、個人情報取扱事業者による個人情報の利用が、違法又は不当な行為を助長又は誘発することについて、社会通念上蓋然性が認められるか否かにより判断される。
この判断に当たっては、個人情報の利用方法等の客観的な事情に加えて、個人情報の利用時点における個人情報取扱事業者の認識及び予見可能性も踏まえる必要がある。例えば、個人情報取扱事業者が第三者に個人情報を提供した場合において、当該32利用する場合第三者が当該個人情報を違法な行為に用いた場合であっても、当該第三者が当該個人情報の取得目的を偽っていた等、当該個人情報の提供の時点において、提供した個人情報が違法に利用されることについて、当該個人情報取扱事業者が一般的な注意力をもってしても予見できない状況であった場合には、「おそれ」は認められないと解される。

3-2 個人情報の取得（法第 17 条・第 18 条関係）

3-3-1 適正取得（法第 17 条第 1 項関係）

3-2-1 適正取得（法第 17 条第 1 項関係）
33

3-3 個人情報の取得（法第 17 条・第 18 条関係）[（関係条文） 略][（関係条文） 同左]

[略]

[同左]

[【個人情報取扱事業者が不正の手段により個人情報を取得している事例】[【個人情報取扱事業者が不正の手段により個人情報を取得している事例】

略]

同左]

（※1）[略]（※1）[同左]（※2）個人情報取扱事業者若しくはその従業者又はこれらであった（※2）個人情報取扱事業者若しくはその従業者又はこれらであった者が、その業務に関して取り扱った個人情報データベース等者が、その業務に関して取り扱った個人情報データベース等（その全部又は一部を複製し、又は加工したものを含む。）を（その全部又は一部を複製し、又は加工したものを含む。）を

自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、法第 84 条により刑事罰（1 年以下の懲役又は 50

用したときは、法第 83 条により刑事罰（1 年以下の懲役又は 50万円以下の罰金）が科され得る。

万円以下の罰金）が科され得る。

3-3-2 要配慮個人情報の取得（法第 17 条第 2 項関係）

3-2-2 要配慮個人情報の取得（法第 17 条第 2 項関係）

法第 17 条（第 2 項）

法第 17 条（第 2 項）

[略]

[同左]

規則第 6 条

規則第 6 条[略]

政令第 7 条
法第 17 条第 2 項第 6 号の政令で定める場合は、次に掲げる場合とす
る。

[同左]

政令第 7 条
法第 17 条第 2 項第 6 号の政令で定める場合は、次に掲げる場合とす
る。

(1)

[略]

(1)

[同左]

(2)

法第 23 条第 5 項各号（法第 35 条の 2 第 6 項の規定により読み替(2)

法第 23 条第 5 項各号に掲げる場合において、個人データである

えて適用する場合及び法第 35 条の 3 第 2 項において読み替えて準

要配慮個人情報の提供を受けるとき。

用する場合を含む。）に掲げる場合において、個人データである
要配慮個人情報の提供を受けるとき。

[略]

[同左]

34

自己若しくは第三者の不正な利益を図る目的で提供し、又は盗[（1）～（6） 略][（1）～（6） 同左]（7）法第 23 条第 5 項各号（法第 35 条の 2 第 6 項の規定により読み替えて （7）法第 23 条第 5 項各号に掲げる場合において、個人データである要配適用する場合及び法第 35 条の 3 第 2 項において読み替えて準用する場

慮個人情報の提供を受けるとき（法第 17 条第 2 項第 6 号、政令第 7 条合を含む。）に掲げる場合において、個人データである要配慮個人情

第 2 号関係）報の提供を受けるとき（法第 17 条第 2 項第 6 号、政令第 7 条第 2 号関係）

要配慮個人情報を、法第 23 条第 5 項各号（法第 35 条の 2 第 6 項の規定

要配慮個人情報を、法第 23 条第 5 項各号に定める委託、事業承継又は共により読み替えて適用する場合及び法第 35 条の 3 第 2 項において読み替え 同利用により取得する場合は、あらかじめ本人の同意を得る必要はない。
35て準用する場合を含む。）に定める委託、事業承継又は共同利用により取得する場合は、あらかじめ本人の同意を得る必要はない。

[【法第 17 条第 2 項に違反している事例】 略][【法第 17 条第 2 項に違反している事例】 同左]（※1）「要配慮個人情報」については、2-3（要配慮個人情報）を（※1）「要配慮個人情報」については、2-3（要配慮個人情報）を参照のこと。なお、要配慮個人情報の第三者提供には、原則と参照のこと。なお、要配慮個人情報の第三者提供には、原則として本人の同意が必要であり、オプトアウトによる第三者提供

して本人の同意が必要であり、オプトアウトによる第三者提供は認められていないので、注意が必要である（3-6-1（第三者提は認められていないので、注意が必要である（3-4-1（第三者提供の制限の原則）、3-6-2（オプトアウトによる第三者提供）参供の制限の原則）、3-4-2（オプトアウトによる第三者提供）参

照）。

照）。

（※2）「本人の同意」については、2-16（本人の同意）を参照のこ（※2）「本人の同意」については、2-12（本人の同意）を参照のこ

と。なお、個人情報取扱事業者が要配慮個人情報を書面又は口頭等により本人から適正に直接取得する場合は、本人が当該情頭等により本人から適正に直接取得する場合は、本人が当該情報を提供したことをもって、当該個人情報取扱事業者が当該情報を提供したことをもって、当該個人情報取扱事業者が当該情報を取得することについて本人の同意があったものと解され報を取得することについて本人の同意があったものと解される。

る。

また、個人情報取扱事業者が要配慮個人情報を第三者提供のまた、個人情報取扱事業者が要配慮個人情報を第三者提供の方法により取得した場合、提供元が法第 17 条第 2 項及び法第 23

方法により取得した場合、提供元が法第 17 条第 2 項及び法第 23条第 1 項に基づいて本人から必要な同意（要配慮個人情報の取条第 1 項に基づいて本人から必要な同意（要配慮個人情報の取得及び第三者提供に関する同意）を取得していることが前提と得及び第三者提供に関する同意）を取得していることが前提となるため、提供を受けた当該個人情報取扱事業者が、改めて本なるため、提供を受けた当該個人情報取扱事業者が、改めて本人から法第 17 条第 2 項に基づく同意を得る必要はないものと解人から法第 17 条第 2 項に基づく同意を得る必要はないものと解

される。

される。

3-3-3 利用目的の通知又は公表（法第 18 条第 1 項関係）[（関係条文） 略][略][【本人への通知又は公表が必要な事例】 略]（※1）「公表」については、2-15（公表）を参照のこと。

3-2-3 利用目的の通知又は公表（法第 18 条第 1 項関係）[（関係条文） 同左][同左][【本人への通知又は公表が必要な事例】 同左]（※1）「公表」については、2-11（公表）を参照のこと。

36と。なお、個人情報取扱事業者が要配慮個人情報を書面又は口（※2）「本人に通知」については、2-14（本人に通知）を参照のこ（※2）「本人に通知」については、2-10（本人に通知）を参照のこと。

[（関係条文） 略]

3-2-4 直接書面等による取得（法第 18 条第 2 項関係）[（関係条文） 同左]

個人情報取扱事業者は、契約書や懸賞応募はがき等の書面等による記

個人情報取扱事業者は、契約書や懸賞応募はがき等の書面等による記載、ユーザー入力画面への打ち込み等の電磁的記録により、直接本人から載、ユーザー入力画面への打ち込み等の電磁的記録により、直接本人から個人情報を取得する場合には、あらかじめ、本人に対し、その利用目的を

個人情報を取得する場合には、あらかじめ、本人に対し、その利用目的を明示（※）しなければならない。

明示（※）しなければならない。

なお、名刺などは、一般の慣行として、自身の個人情報を、本人の自発

なお、名刺などは、一般の慣行として、自身の個人情報を、本人の自発的な意思で、任意の簡便な形式により相手に提供するものであり、申込的な意思で、任意の簡便な形式により相手に提供するものであり、申込書、アンケート調査票、懸賞応募はがき等のように、個人情報取扱事業者

書、アンケート調査票、懸賞応募はがき等のように、個人情報取扱事業者

が一定の書式や様式を準備した上で、本人が当該事業者の求めに沿う形でが一定の書式や様式を準備した上で、本人が当該事業者の求めに沿う形で個人情報を提供する場合とは異なることから、本項の義務を課するもので個人情報を提供する場合とは異なることから、本項の義務を課するものではないが、その場合は法第 18 条第 1 項に基づいて、あらかじめ利用目的を はないが、その場合は法第 18 条第 1 項に基づいて、あらかじめ利用目的を公表するか、取得後速やかに、その利用目的を、本人に通知するか、又は公表するか、取得後速やかに、その利用目的を、本人に通知するか、又は公表しなければならない（ただし、3-3-5（利用目的の通知等をしなくてよ

公表しなければならない（ただし、3-2-5（利用目的の通知等をしなくてよい場合）参照）。口頭により個人情報を取得する場合についても同様であい場合）参照）。口頭により個人情報を取得する場合についても同様である。

る。

また、人（法人を含む。）の生命、身体又は財産の保護のために緊急にまた、人（法人を含む。）の生命、身体又は財産の保護のために緊急に

37

3-3-4 直接書面等による取得（法第 18 条第 2 項関係）と。

必要がある場合は、あらかじめ、本人に対し、その利用目的を明示する必必要がある場合は、あらかじめ、本人に対し、その利用目的を明示する必要はないが、その場合は法第 18 条第 1 項に基づいて、取得後速やかにその 要はないが、その場合は法第 18 条第 1 項に基づいて、取得後速やかにその利用目的を、本人に通知し、又は公表しなければならない（3-3-3（利用目 利用目的を、本人に通知し、又は公表しなければならない（3-2-3（利用目的の通知又は公表）参照）。

的の通知又は公表）参照）。

[【あらかじめ、本人に対し、その利用目的を明示しなければならない事[【あらかじめ、本人に対し、その利用目的を明示しなければならない事

例】・【利用目的の明示に該当する事例】 略]

例】・【利用目的の明示に該当する事例】 同左]

3-3-5 利用目的の通知等をしなくてよい場合（法第 18 条第 4 項関係）[（関係条文） 略][略]（※）[同左]3-2-5 利用目的の通知等をしなくてよい場合（法第 18 条第 4 項関係）[（関係条文） 同左][同左]（1）利用目的を本人に通知し、又は公表することにより本人又は第三者の（1）利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（法第生命、身体、財産その他の権利利益を害するおそれがある場合（法 1818 条第 4 項第 1 号関係）条第 4 項第 1 号関係）

[略]

[同左]

38

（※）[略]

（※1）本人への「通知」については、2-14（本人に通知）を参照の[（2）～（4） 同左]（※1）本人への「通知」については、2-10（本人に通知）を参照の

こと。

こと。

（※2）「公表」については、2-15（公表）を参照のこと。

（※2）「公表」については、2-11（公表）を参照のこと。

（※3）「明示」については、3-3-4（直接書面等による取得）を参（※3）「明示」については、3-2-4（直接書面等による取得）を参

照のこと。

照のこと。

3-4 個人データの管理（法第 19 条～第 22 条関係）

3-3 個人データの管理（法第 19 条～第 22 条関係）

3-4-1 データ内容の正確性の確保等（法第 19 条関係）

3-3-1 データ内容の正確性の確保等（法第 19 条関係）

[略]

[同左]

3-4-2 安全管理措置（法第 20 条関係）

3-3-2 安全管理措置（法第 20 条関係）

法第 20 条

法第 20 条

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切なはき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

措置を講じなければならない。

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀

39[（2）～（4） 略]損（以下「漏えい等」という。）の防止その他の個人データの安全管理のため、必要かつ適切な措置を講じなければならないが、当該措置は、個人

ため、必要かつ適切な措置を講じなければならないが、当該措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮

データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データのし、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリ性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリ

スクに応じて、必要かつ適切な内容としなければならない。具体的に講じ

スクに応じて、必要かつ適切な内容としなければならない。具体的に講じなければならない措置や当該措置を実践するための手法の例等についてなければならない措置や当該項目を実践するための手法の例等について

は、「7（別添）講ずべき安全管理措置の内容」を参照のこと。

は、「8（別添）講ずべき安全管理措置の内容」を参照のこと。

3-4-3 従業者の監督（法第 21 条関係）

3-3-3 従業者の監督（法第 21 条関係）

[略]

[同左]

3-4-4 委託先の監督（法第 22 条関係）

3-3-4 委託先の監督（法第 22 条関係）[（関係条文） 略][（関係条文） 同左]

[略]

[同左]

（1）適切な委託先の選定（1）適切な委託先の選定

委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第

委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第40損（以下「漏えい等」という。）の防止その他の個人データの安全管理の20 条及び本ガイドラインで委託元に求められるものと同等であることを確

20 条及び本ガイドラインで委託元に求められるものと同等であることを確認するため、「7（（別添）講ずべき安全管理措置の内容）」に定める各項 認するため、「8（（別添）講ずべき安全管理措置の内容）」に定める各項
目が、委託する業務内容に沿って、確実に実施されることについて、あら目が、委託する業務内容に沿って、確実に実施されることについて、あらかじめ確認しなければならない。

かじめ確認しなければならない。

[（2）・（3） 略][（2）・（3） 同左][【委託を受けた者に対して必要かつ適切な監督を行っていない 事例】[【委託を受けた者に対して必要かつ適切な監督を行っていない事例】 同略]左][（※1）～（※4） 同左]
41[（※1）～（※4） 略]

3-5 個人データの漏えい等の報告等（法第 22 条の 2 関係）[新設]

3-5-1 「漏えい等」の考え方[新設]

3-5-1-1 「漏えい」の考え方[新設]

個人データの「漏えい」とは、個人データが外部に流出することをいう。

【個人データの漏えいに該当する事例】

事例 1）個人データが記載された書類を第三者に誤送付した場合
事例 2）個人データを含むメールを第三者に誤送信した場合
事例 3）システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となっていた場合
事例 4）個人データが記載又は記録された書類・媒体等が盗難された場合
事例 5）不正アクセス等により第三者に個人データを含む情報が窃取された場合

なお、個人データを第三者に閲覧されないうちに全てを回収した場合
は、漏えいに該当しない。また、個人情報取扱事業者が自らの意図に基づ

42

き個人データを第三者に提供する場合（※）は、漏えいに該当しない。

（※）個人情報取扱事業者は、個人データの第三者への提供に当たり、原則としてあらかじめ本人の同意を取得する必要がある。

3-5-1-2 「滅失」の考え方

個人データの「滅失」とは、個人データの内容が失われることをいう。

【個人データの滅失に該当する事例】
事例 1）個人情報データベース等から出力された氏名等が記載された帳票等を誤って廃棄した場合（※1）[新設]

事例 2）個人データが記載又は記録された書類・媒体等を社内で紛失した場合（※2）

なお、上記の場合であっても、その内容と同じデータが他に保管されている場合は、滅失に該当しない。また、個人情報取扱事業者が合理的な理由により個人データを削除する場合は、滅失に該当しない。

（※1）当該帳票等が適切に廃棄されていない場合には、個人データの漏えいに該当する場合がある。

43（※2）社外に流出した場合には、個人データの漏えいに該当する。

3-5-1-3 「毀損」の考え方

個人データの「毀損」とは、個人データの内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となることをいう。

【個人データの毀損に該当する事例】
事例 1）個人データの内容が改ざんされた場合
事例 2）暗号化処理された個人データの復元キーを喪失したことにより復元できなくなった場合
事例 3）ランサムウェア等により個人データが暗号化され、復元できなくなった場合（※）[新設]なお、上記事例 2）及び事例 3）の場合であっても、その内容と同じデー
タが他に保管されている場合は毀損に該当しない。

（※）同時に個人データが窃取された場合には、個人データの漏えいにも該当する。

3-5-2 漏えい等事案が発覚した場合に講ずべき措置[新設]

えい等事案」という。）が発覚した場合は、漏えい等事案の内容等に応じて、次の（1）から（5）に掲げる事項について必要な措置を講じなければならない。

（1）事業者内部における報告及び被害の拡大防止

責任ある立場の者に直ちに報告するとともに、漏えい等事案による被害が発覚時よりも拡大しないよう必要な措置を講ずる。

（2）事実関係の調査及び原因の究明

漏えい等事案の事実関係の調査及び原因の究明に必要な措置を講ずる。

44

個人情報取扱事業者は、漏えい等又はそのおそれのある事案（以下「漏（3）影響範囲の特定

上記（2）で把握した事実関係による影響範囲の特定のために必要な措置を講ずる。

（4）再発防止策の検討及び実施

上記（2）の結果を踏まえ、漏えい等事案の再発防止策の検討及び実施に必要な措置を講ずる。

45（5）個人情報保護委員会への報告及び本人への通知

3-5-3（個人情報保護委員会への報告）、3-5-4（本人への通知）を参照のこと。なお、漏えい等事案の内容等に応じて、二次被害の防止、類似事
案の発生防止等の観点から、事実関係及び再発防止策等について、速やかに公表することが望ましい。

3-5-3 個人情報保護委員会への報告（法第 22 条の 2 第 1 項関係）

[新設]

3-5-3-1 報告対象となる事態[新設]

法第 22 条の 2（第 1 項）
1

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者に通知したときは、この限り

46

でない。

規則第 6 条の 2
法第 22 条の 2 第 1 項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。
(1)

要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第 1 項において同じ。）の漏えい、滅失若しくは毀損（以下「漏えい等」という。）が発生し、又は発生したおそれがある事態(2)

不正に利用されることにより財産的被害が生じるおそれがある
個人データの漏えい等が発生し、又は発生したおそれがある事態

(3)

不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態(4)

個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態

個人情報取扱事業者は、次の（1）から（4）までに掲げる事態（以下「報告対象事態」という。）を知ったときは、個人情報保護委員会に報告しなければならない（※1）（※2）。

（1）要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生

47

したおそれがある事態（規則第 6 条の 2 第 1 号関係）【報告を要する事例】
事例 1）病院における患者の診療情報や調剤情報を含む個人データを記録
した USB メモリーを紛失した場合
事例 2）従業員の健康診断等の結果を含む個人データが漏えいした場合（2）不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態（規則第 6条の 2 第 2 号関係）

財産的被害が生じるおそれについては、対象となった個人データの性
質・内容等を踏まえ、財産的被害が発生する蓋然性を考慮して判断する。

【報告を要する事例】
事例 1）EC サイトからクレジットカード番号を含む個人データが漏えいした場合
事例 2）送金や決済機能のあるウェブサービスのログイン ID とパスワードの組み合わせを含む個人データが漏えいした場合（3）不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態（規則第 6 条の 2 第 3 号関係）

らず、従業者も含まれる。

【報告を要する事例】
事例 1）不正アクセスにより個人データが漏えいした場合（※3）
事例 2）ランサムウェア等により個人データが暗号化され、復元できなくなった場合
事例 3）個人データが記載又は記録された書類・媒体等が盗難された場合
事例 4）従業者が顧客の個人データを不正に持ち出して第三者に提供した場合（※4）（4）個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態（規則第 6 条の 2 第 4 号関係）48

「不正の目的をもって」漏えい等を発生させた主体には、第三者のみな「個人データに係る本人の数」は、当該個人情報取扱事業者が取り扱う
個人データのうち、漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数をいう。「個人データに係る本人の数」について、事態が発覚した当初 1,000 人以下であっても、その後 1,000 人を超えた場合には、1,000 人を超えた時点で規則第 6 条の 2 第 4 号に該当することになる。本人の数が確定できない漏えい等において、漏えい等が発生したおそれがある個人データに係る本人の数が最大 1,000 人を超える場合には、規則第 6 条の 2 第 4 号に該当する。

覧が可能な状態となり、当該個人データに係る本人の数が 1,000 人を超える場合（※1）報告対象事態に該当しない漏えい等事案であっても、個人情報取扱事業者は個人情報保護委員会に任意の報告をすることができる。
（※2）報告対象事態における「おそれ」については、その時点で判明している事実関係に基づいて個別の事案ごとに蓋然性を考慮して判断することになる。漏えい等が発生したおそれについて
は、その時点で判明している事実関係からして、漏えい等が疑われるものの漏えい等が生じた確証がない場合がこれに該当する。

49事例）システムの設定ミス等によりインターネット上で個人データの閲

（※3）サイバー攻撃の事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、次の（ア）から（エ）が考えられる。
（ア）個人データを格納しているサーバや、当該サーバにア
クセス権限を有する端末において外部からの不正アクセ
スによりデータが窃取された痕跡が認められた場合（イ）個人データを格納しているサーバや、当該サーバにア
クセス権限を有する端末において、情報を窃取する振る舞いが判明しているマルウェアの感染が確認された場合（ウ）マルウェアに感染したコンピュータに不正な指令を送して知られている IP アドレス・FQDN（Fully Qualified
Domain Name の略。サブドメイン名及びドメイン名からなる文字列であり、ネットワーク上のコンピュータ（サーバ等）を特定するもの。）への通信が確認された場合（エ）不正検知を行う公的機関、セキュリティ・サービス・
プロバイダ、専門家等の第三者から、漏えいのおそれについて、一定の根拠に基づく連絡を受けた場合（※4）従業者による個人データの持ち出しの事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、
例えば、個人データを格納しているサーバや、当該サーバにア
クセス権限を有する端末ににおいて、通常の業務で必要としないアクセスによりデータが窃取された痕跡が認められた場合が50

り、制御するサーバ（C&C サーバ）が使用しているものと考えられる。

なお、漏えい等が発生し、又は発生したおそれがある個人データについて、高度な暗号化等の秘匿化がされている場合等、「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられている場合については、報告を要しない。

3-5-3-2 報告義務の主体[新設]

それがある個人データを取り扱う個人情報取扱事業者である。
個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人データを取り扱っていることになるため、報告対象事態に該当する場合には、原則として委託元と委託先の双方が報告する義務を負う。
この場合、委託元及び委託先の連名で報告することができる。なお、委託先が、報告義務を負っている委託元に当該事態が発生したことを通知した
ときは、委託先は報告義務を免除される（3-5-3-5（委託元への通知による例外）参照）。
また、委託元から委託先にある個人データ（個人データＡ）の取扱いを委託している場合であって、別の個人データ（個人データＢ）の取扱いを委託していないときには、個人データＢについて、委託元において報告対象事態が発生した場合であっても、委託先は報告義務を負わず、委託元の51

漏えい等報告の義務を負う主体は、漏えい等が発生し、又は発生したおみが報告義務を負うことになる。

3-5-3-3 速報（規則第 6 条の 3 第 1 項関係）

[新設]

規則第 6 条の 3 第 1 項
個人情報取扱事業者は、法第 22 条の 2 第 1 項本文の規定による報告をする場合には、前条各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。次条において同じ。）を報告しなければならな

(1)

概要

(2)

漏えい等が発生し、又は発生したおそれがある個人データの項
目(3)

漏えい等が発生し、又は発生したおそれがある個人データに係
る本人の数

(4)

原因

(5)

二次被害又はそのおそれの有無及びその内容(6)

本人への対応の実施状況(7)

公表の実施状況(8)

再発防止のための措置(9)

その他参考となる事項

個人情報取扱事業者は、報告対象事態を知ったときは、速やかに、個人

52

い。

情報保護委員会に報告しなければならない。個人情報保護委員会が法第 44条第 1 項の規定により報告を受理する権限を事業所管大臣に委任している場合には、当該事業所管大臣に報告する。事業所管大臣に報告する場合、報告期限は個人情報保護委員会に報告する場合と同様である。
報告期限の起算点となる「知った」時点については、個別の事案ごとに判断されるが、個人情報取扱事業者が法人である場合には、いずれかの部
署が当該事態を知った時点を基準とする。「速やか」の日数の目安については、個別の事案によるものの、個人情報取扱事業者が当該事態を知った
時点から概ね 3～5 日以内である。
個人情報保護委員会への漏えい等報告については、次の（1）から（9）報告フォームに入力する方法により行う。速報時点での報告内容について
は、報告をしようとする時点において把握している内容を報告すれば足りる。

（1）「概要」当該事態の概要について、発生日、発覚日、発生事案、発見者、規則第 6条の 2 各号該当性、委託元及び委託先の有無、事実経過等を報告する。

（2）「漏えい等が発生し、又は発生したおそれがある個人データの項目」

漏えい等が発生し、又は発生したおそれがある個人データの項目につい53までに掲げる事項を、原則として、個人情報保護委員会のホームページのて、媒体や種類（顧客情報、従業員情報の別等）とともに報告する。

（3）「漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数」漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数について報告する。

（4）「原因」

は委託先）とともに報告する。

（5）「二次被害又はそのおそれの有無及びその内容」

当該事態に起因して発生する被害又はそのおそれの有無及びその内容について報告する。

（6）「本人への対応の実施状況」

当該事態を知った後、本人に対して行った措置（通知を含む。）の実施
状況について報告する。

54

当該事態が発生した原因について、当該事態が発生した主体（報告者又（7）「公表の実施状況」

当該事態に関する公表の実施状況について報告する。

（8）「再発防止のための措置」

漏えい等事案が再発することを防止するために講ずる措置について、実施済みの措置と今後実施予定の措置に分けて報告する。

（9）「その他参考となる事項」

55

上記の（1）から（8）までの事項を補完するため、個人情報保護委員会
が当該事態を把握する上で参考となる事項を報告する。

3-5-3-4 確報（規則第 6 条の 3 第 2 項関係）

規則第 6 条の 3 第 2 項
前項の場合において、個人情報取扱事業者は、当該事態を知った日から 30 日以内（当該事態が前条第 3 号に定めるものである場合にあっては、60 日以内）に、当該事態に関する前項各号に定める事項を報告しなければならない。

[新設]

個人情報取扱事業者は、報告対象事態を知ったときは、速報に加え（※1）、30 日以内（規則第 6 条の 2 第 3 号の事態においては 60 日以内。同号の事態に加え、同条第 1 号、第 2 号又は第 4 号の事態にも該当する場合も60 日以内。）に個人情報保護委員会（個人情報保護委員会が法第 44 条第 1項の規定により報告を受理する権限を事業所管大臣に委任している場合には、当該事業所管大臣）に報告しなければならない。30 日以内又は 60 日以
内は報告期限であり、可能である場合には、より早期に報告することが望ましい。
報告期限の起算点となる「知った」時点については、速報と同様に、個人情報取扱事業者が法人である場合には、いずれかの部署が当該事態を知点を 1 日目とする。
確報においては、3-5-3-3（1）から（9）までに掲げる事項の全てを報告しなければならない。確報を行う時点（報告対象事態を知った日から 30 日以内又は 60 日以内）において、合理的努力を尽くした上で、一部の事項が判明しておらず、全ての事項を報告することができない場合には、その時点で把握している内容を報告し、判明次第、報告を追完するものとする。

（※1）速報の時点で全ての事項を報告できる場合には、1 回の報告で速報と確報を兼ねることができる。
（※2）確報の報告期限（30 日以内又は 60 日以内）の算定に当たっては、土日・祝日も含める。ただし、30 日目又は 60 日目が土日、祝日又は年末年始閉庁日（12 月 29 日～1 月 3 日）の場合

56

った時点を基準とし、確報の報告期限の算定（※2）に当たっては、その時

は、その翌日を報告期限とする（行政機関の休日に関する法律（昭和 63 年法律第 91 号）第 2 条）。

3-5-3-5 委託元への通知による例外（規則第 6 条の 4 関係）[新設]

規則第 6 条の 4
個人情報取扱事業者は、法第 22 条の 2 第 1 項ただし書の規定による通知をする場合には、第 6 条の 2 各号に定める事態を知った後、速や委託先は、個人情報保護委員会（個人情報保護委員会が法第 44 条第 1 項の規定により報告を受理する権限を事業所管大臣に委任している場合には、当該事業所管大臣）への報告義務を負っている委託元に対し、3-5-3-3（1）から（9）までに掲げる事項のうち、その時点で把握しているものを通知したときは、報告義務を免除される。委託元への通知については、速報としての報告と同様に、報告対象事態を知った後、速やかに行わなければならない。「速やか」の日数の目安については、個別の事案によるものの、委託先が当該事態の発生を知った時点から概ね 3～5 日以内である。
この場合、委託先から通知を受けた委託元が報告をすることになる。委託元は、通常、遅くとも委託先から通知を受けた時点で、報告対象事態を知ったこととなり、速やかに報告を行わなければならない。
なお、通知を行った委託先は、委託元から報告するに当たり、事態の把57

かに、前条第 1 項各号に定める事項を通知しなければならない。

握を行うとともに、必要に応じて委託元の漏えい等報告に協力することが求められる。

3-5-4 本人への通知（法第 22 条の 2 第 2 項関係）

[新設]

法第 22 条の 2（第 2 項）
2

前項に規定する場合には、個人情報取扱事業者（同項ただし書の規定による通知をした者を除く。）は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利
58

利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

規則第 6 条の 5
個人情報取扱事業者は、法第 22 条の 2 第 2 項本文の規定による通知をする場合には、第 6 条の 2 各号に定める事態を知った後、当該事態の状況に応じて速やかに、当該本人の権利利益を保護するために必要な範囲において、第 6 条の 3 第 1 項第 1 号、第 2 号、第 4 号、第 5 号及び第 9 号に定める事項を通知しなければならない。

3-5-4-1 通知対象となる事態及び通知義務の主体[新設]

個人情報取扱事業者は、報告対象事態を知ったときは、本人への通知を行わなければならない。
通知義務を負う主体は、漏えい等が発生し、又は発生したおそれがある
個人データを取り扱う個人情報取扱事業者である。
個人データの取扱いを委託している場合において、委託先が、報告義務を負っている委託元に 3-5-3-3（1）から（9）までに掲げる事項のうち、その時点で把握しているものを通知したときは、委託先は報告義務を免除されるとともに、本人への通知義務も免除される。

[新設]
59

3-5-4-2 通知の時間的制限

個人情報取扱事業者は、報告対象事態を知ったときは、当該事態の状況に応じて速やかに、本人への通知を行わなければならない。
「当該事態の状況に応じて速やかに」とは、速やかに通知を行うことを求めるものであるが、具体的に通知を行う時点は、個別の事案において、その時点で把握している事態の内容、通知を行うことで本人の権利利益が保護される蓋然性、本人への通知を行うことで生じる弊害等を勘案して判断する。

【その時点で通知を行う必要があるとはいえないと考えられる事例（※）】
事例 1）インターネット上の掲示板等に漏えいした複数の個人データがアップロードされており、個人情報取扱事業者において当該掲示板等の管理者に削除を求める等、必要な初期対応が完了しておらず、本人に通知することで、かえって被害が拡大するおそれがある場合
事例 2）漏えい等のおそれが生じたものの、事案がほとんど判明しておらず、その時点で本人に通知したとしても、本人がその権利利益を保護するための措置を講じられる見込みがなく、かえって混乱が生じるおそれがある場合（※）「当該事態の状況に応じて速やかに」本人への通知を行うべ60

きことに変わりはない。

3-5-4-3 通知の内容

本人へ通知すべき事項については、漏えい等報告における報告事項のうち、「概要」（規則第 6 条の 3 第 1 項第 1 号）、「漏えい等が発生し、又は発生したおそれがある個人データの項目」（同項第 2 号）、「原因」（同項第 4 号）、「二次被害又はそのおそれの有無及びその内容」（同項
第 5 号）及び「その他参考となる事項」（同項第 9 号）（※）に限られている。これらの事項が全て判明するまで本人への通知をする必要がないというものではなく、本人への通知は、「当該事態の状況に応じて速やかに」行う必要がある（3-5-4-2（通知の時間的制限）参照）。
本人への通知については、「本人の権利利益を保護するために必要な範[新設]

囲において」行うものである。
また、当初報告対象事態に該当すると判断したものの、その後実際には報告対象事態に該当していなかったことが判明した場合には、本人への通知が「本人の権利利益を保護するために必要な範囲において」行うものであることに鑑み、本人への通知は不要である。

【本人の権利利益を保護するために必要な範囲において通知を行う事例】
事例 1）不正アクセスにより個人データが漏えいした場合において、その原因を本人に通知するに当たり、個人情報保護委員会に報告した詳細な内容ではなく、必要な内容を選択して本人に通知すること。
事例 2）漏えい等が発生した個人データの項目が本人ごとに異なる場合に61

おいて、当該本人に関係する内容のみを本人に通知すること。

（※）規則第 6 条の 3 第 1 項第 1 号、第 2 号、第 4 号、第 5 号及び第 9 号に定める事項については、3-5-3-3（速報）を参照のこと。なお、同項第 9 号に定める事項については、本人への通知を補完するため、本人にとって参考となる事項をいい、例えば、本人が自らの権利利益を保護するために取り得る措置が考えられる。

3-5-4-4 通知の方法[新設]

「本人への通知」とは、本人に直接知らしめることをいい、事業の性質
及び個人データの取扱状況に応じ、通知すべき内容が本人に認識される合理的かつ適切な方法によらなければならない（2-14（本人に通知）参照）。また、漏えい等報告と異なり、本人への通知については、その様式が法令上定められていないが、本人にとって分かりやすい形で通知を行う
ことが望ましい。

【本人への通知の方法の事例】
事例 1）文書を郵便等で送付することにより知らせること。

62

事例 2）電子メールを送信することにより知らせること。

3-5-4-5 通知の例外

本人への通知を要する場合であっても、本人への通知が困難である場合
は、本人の権利利益を保護するために必要な代替措置（※1）を講ずることによる対応が認められる。

【本人への通知が困難な場合に該当する事例】
事例 1）保有する個人データの中に本人の連絡先が含まれていない場合
事例 2）連絡先が古いために通知を行う時点で本人へ連絡できない場合【代替措置に該当する事例】[新設]

事例 1）事案の公表（※2）
事例 2）問合せ窓口を用意してその連絡先を公表し、本人が自らの個人データが対象となっているか否かを確認できるようにすること（※1）代替措置として事案の公表を行わない場合であっても、当該事態の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、公表を行うことが望ましい。
（※2）公表すべき内容は、個別の事案ごとに判断されるが、本人へ

3-6 個人データの第三者への提供（法第 23 条～第 26 条関係）

3-4 個人データの第三者への提供（法第 23 条～第 26 条関係）

3-6-1 第三者提供の制限の原則（法第 23 条第 1 項関係）

3-4-1 第三者提供の制限の原則（法第 23 条第 1 項関係）[（関係条文） 略][略][【第三者提供とされる事例】・【第三者提供とされない事例】 略][略][（関係条文） 同左][同左][【第三者提供とされる事例】・【第三者提供とされない事例】 同左]

[同左]

63

通知すべき内容を基本とする。

[（1）～（4） 略][（1）～（4） 同左]（※1）「本人の同意」については、2-16（本人の同意）を参照（※1）「本人の同意」については、2-12（本人の同意）を参照

のこと。

のこと。
（※2）[同左]（※3）個人情報取扱事業者若しくはその従業者又はこれらであった（※3）個人情報取扱事業者若しくはその従業者又はこれらであった者が、その業務に関して取り扱った個人情報データベース等者が、その業務に関して取り扱った個人情報データベース等（その全部又は一部を複製し、又は加工したものを含む。）を（その全部又は一部を複製し、又は加工したものを含む。）を

自己若しくは第三者の不正な利益を図る目的で提供し、又は盗自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、法第 84 条により刑事罰（1 年以下の懲役又は 50

用したときは、法第 83 条により刑事罰（1 年以下の懲役又は 50万円以下の罰金）が科され得る。

万円以下の罰金）が科され得る。
64（※2）[略]

3-6-2 オプトアウトによる第三者提供（法第 23 条第 2 項～第 4 項関係）

3-4-2 オプトアウトによる第三者提供（法第 23 条第 2 項～第 4 項関係）

3-6-2-1 オプトアウトに関する原則（法第 23 条第 2 項関係）

3-4-2-1 オプトアウトに関する原則（法第 23 条第 2 項関係）

法第 23 条（第 2 項）

法第 23 条（第 2 項）

2

2

個人情報取扱事業者は、第三者に提供される個人データについて、

個人情報取扱事業者は、第三者に提供される個人データ（要配慮個

本人の求めに応じて当該本人が識別される個人データの第三者への提人情報を除く。以下この項において同じ。）について、本人の求めに供を停止することとしている場合であって、次に掲げる事項につい応じて当該本人が識別される個人データの第三者への提供を停止するて、個人情報保護委員会規則で定めるところにより、あらかじめ、本こととしている場合であって、次に掲げる事項について、個人情報保人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情

護委員会規則で定めるところにより、あらかじめ、本人に通知し、又報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人

は本人が容易に知り得る状態に置くとともに、個人情報保護委員会にデータを第三者に提供することができる。ただし、第三者に提供され届け出たときは、前項の規定にかかわらず、当該個人データを第三者る個人データが要配慮個人情報又は第 17 条第 1 項の規定に違反して取に提供することができる。

得されたもの若しくは他の個人情報取扱事業者からこの項本文の規定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む。）である場合は、この限りでない。
(1)

第三者への提供を行う個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。以下この条、第 26 条第 1 項第 1 号及び第 27 条第 1 項第 1 号に

(2)

第三者への提供を利用目的とすること。

(1)

第三者への提供を利用目的とすること。

(3)

第三者に提供される個人データの項目(2)

第三者に提供される個人データの項目(4)

第三者に提供される個人データの取得の方法(5)

第三者への提供の方法(3)

第三者への提供の方法(6)

本人の求めに応じて当該本人が識別される個人データの第三者(4)

本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
(7)

本人の求めを受け付ける方法(8)

その他個人の権利利益を保護するために必要なものとして個人への提供を停止すること。
(5）

本人の求めを受け付ける方法

情報保護委員会規則で定める事項

規則第 7 条

規則第 7 条

1

1

[略]

[同左]

65

おいて同じ。）の氏名

2

法第 23 条第 2 項又は第 3 項の規定による届出は、次に掲げる方法の2

法第 23 条第 2 項又は第 3 項の規定による届出は、次に掲げる方法のいずれかにより行わなければならない。

いずれかにより行わなければならない。

(1)

(1)

電子情報処理組織（個人情報保護委員会の使用に係る電子計算

個人情報保護委員会が定めるところにより、電子情報処理組織

機と届出を行う者の使用に係る電子計算機とを電気通信回線で接（個人情報保護委員会の使用に係る電子計算機と届出を行う者の続した電子情報処理組織をいう。）を使用する方法

使用に係る電子計算機とを電気通信回線で接続した電子情報処理組織をいう。）を使用する方法(2)

別記様式第 2（法第 23 条第 3 項の規定による個人データの提供(2)

別記様式第 1 による届出書及び当該届出書に記載すべき事項ををやめた旨の届出を行う場合にあっては、別記様式第 3）による届

記録した光ディスク（これに準ずる方法により一定の事項を確実

出書及び当該届出書に記載すべき事項を記録した光ディスク（こに記録しておくことができる物を含む。以下「光ディスク等」とれに準ずる方法により一定の事項を確実に記録しておくことがでいう。）を提出する方法

3

個人情報取扱事業者が、代理人によって法第 23 条第 2 項又は第 3 項

3

個人情報取扱事業者が、代理人によって法第 23 条第 2 項又は第 3 項の規定による届出を行う場合には、別記様式第 4 によるその権限を証の規定による届出を行う場合には、別記様式第 2 によるその権限を証する書面（電磁的記録を含む。第 11 条の 3 第 1 項、第 11 条の 4 第 2 項する書面（電磁的記録を含む。以下同じ。）を個人情報保護委員会に及び第 18 条の 6 を除き、以下同じ。）を個人情報保護委員会に提出し提出しなければならない。

なければならない。
4

法第 23 条第 2 項第 8 号の個人情報保護委員会規則で定める事項は、次に掲げる事項とする。
(1)

第三者に提供される個人データの更新の方法(2)

当該届出に係る個人データの第三者への提供を開始する予定日

規則第 8 条
[略]規則第 8 条[同左]

66

きる物を含む。以下「光ディスク等」という。）を提出する方法

規則第 10 条

規則第 10 条

個人情報取扱事業者は、法第 23 条第 4 項の規定による公表がされた

個人情報取扱事業者は、法第 23 条第 4 項の規定による公表がされた

後、速やかに、インターネットの利用その他の適切な方法により、次後、速やかに、インターネットの利用その他の適切な方法により、同の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項を

条第 2 項に掲げる事項（同項第 2 号、第 3 号又は第 5 号に掲げる事項に公表するものとする。

変更があったときは、変更後の当該各号に掲げる事項）を公表するも
のとする。

(1)

法第 23 条第 2 項の規定による届出を行った場合 同項各号に掲
げる事項

(2)

法第 23 条第 3 項の規定による変更の届出を行った場合 変更後の同条第 2 項各号に掲げる事項
法第 23 条第 3 項の規定による個人データの提供をやめた旨の届

67

(3)

出を行った場合 その旨

個人情報取扱事業者は、個人データの第三者への提供に当たり、次の個人情報取扱事業者は、個人データの第三者への提供に当たり、次の（1）から（9）までに掲げる事項をあらかじめ（※1）本人に通知し、又は （1）から（5）までに掲げる事項をあらかじめ（※1）本人に通知し、又は本人が容易に知り得る状態（※2）に置くとともに、個人情報保護委員会に本人が容易に知り得る状態（※2）に置くとともに、個人情報保護委員会に届け出た場合には（※3）、法第 23 条第 1 項の規定にかかわらず、あらか 届け出た場合には（※3）、法第 23 条第 1 項の規定にかかわらず、あらか
じめ本人の同意（※4）を得ることなく、個人データを第三者に提供するこじめ本人の同意（※4）を得ることなく、個人データを第三者に提供することができる（※5）（オプトアウトによる第三者提供）。

とができる（※5）（オプトアウトによる第三者提供）。

また、個人情報取扱事業者は、法第 23 条第 2 項に基づき、必要な事項をまた、個人情報取扱事業者は、法第 23 条第 2 項に基づき、必要な事項を

個人情報保護委員会に届け出たときは、その内容を自らもインターネット

個人情報保護委員会に届け出たときは、その内容を自らもインターネットの利用その他の適切な方法により公表（※6）するものとする。

の利用その他の適切な方法により公表（※6）するものとする。

なお、要配慮個人情報をオプトアウトにより第三者に提供することや、

なお、要配慮個人情報は、オプトアウトにより第三者に提供することはオプトアウトにより提供を受けた個人データをオプトアウトにより再提供

できず、第三者に提供するに当たっては、法第 23 条第 1 項各号又は同条第することはできず、第三者に提供するに当たっては、法第 23 条第 1 項各号 5 項各号に該当する場合以外は、必ずあらかじめ本人の同意を得る必要があ
又は同条第 5 項各号に該当する場合以外は、必ずあらかじめ本人の同意をるので、注意を要する。

得る必要があるので、注意を要する。また、不正取得された個人データについても、オプトアウトにより第三者に提供することはできない（※7）。

（1）個人情報取扱事業者の氏名又は名称及び住所並びに法人等の代表者

[新設]

の氏名

[略]

（3）第三者に提供される個人データの項目[略]（4）第三者に提供される個人データの取得の方法（1）第三者への提供を利用目的とすること。
[同左]（2）第三者に提供される個人データの項目
[同左]

[新設]

オプトアウトにより第三者に提供される個人データについて、取得
元（取得源）と取得の方法を示す必要がある。
事例 1）新聞・雑誌・書籍・ウェブサイトの閲覧による取得
事例 2）官公庁による公開情報からの取得（5）第三者への提供の方法（3）第三者への提供の方法

68（2）第三者への提供を利用目的とすること。

[略]

[同左]

（6）本人の求めに応じて第三者への提供を停止すること。

（4）本人の求めに応じて第三者への提供を停止すること。

（7）本人の求めを受け付ける方法（※8）（5）本人の求めを受け付ける方法（※7）[略]（8）第三者に提供される個人データの更新の方法

[同左]

[新設]

第三者に提供される個人データをどのように更新しているかを記入（9）当該届出に係る個人データの第三者への提供を開始する予定日[新設]

新規の届出の場合には、オプトアウトによる第三者提供を開始する
予定日を記入する。変更届の場合には、変更届に基づいて第三者提供を開始する予定日を記入する。

【オプトアウトによる第三者提供の事例】【オプトアウトによる第三者提供の事例】

事例）住宅地図業者（表札や郵便受けを調べて住宅地図を作成・販売）

事例）住宅地図業者（表札や郵便受けを調べて住宅地図を作成・販売）

やデータベース事業者（ダイレクトメール用の名簿等を作成・販やデータベース事業者（ダイレクトメール用の名簿等を作成・販

売）が、あらかじめ上記（1）から（9）までに掲げる事項を自社の売）が、あらかじめ上記（1）から（5）までに掲げる事項を自社のホームページに常時掲載し、本人からの停止の求めを受け付けられホームページに常時掲載し、本人からの停止の求めを受け付けられる状態にし、個人情報保護委員会に必要な届出を行った上で、販売る状態にし、個人情報保護委員会に必要な届出を行った上で、販売等を行う場合等を行う場合69する。

（※1）オプトアウトによる第三者提供を行う際は、上記の（1）から（9）までに掲げる事項をあらかじめ、第三者に提供される個人（5）までに掲げる事項をあらかじめ、第三者に提供される個人データによって識別される本人が当該提供の停止を求めるのに必

データによって識別される本人が当該提供の停止を求めるのに必要な期間をおかなければならない（規則第 7 条第 1 項第 1 号）た

要な期間をおかなければならない（規則第 7 条第 1 項第 1 号）ため、本人に通知し又は本人が容易に知り得る状態に置いた時点か

め、本人に通知し又は本人が容易に知り得る状態に置いた時点か

ら、極めて短期間の後に、第三者提供を行ったような場合は、

ら、極めて短期間の後に、第三者提供を行ったような場合は、「本人が当該提供の停止を求めるのに必要な期間」をおいていな「本人が当該提供の停止を求めるのに必要な期間」をおいていな

いと判断され得る。

いと判断され得る。

具体的な期間については、業種、ビジネスの態様、通知又は容具体的な期間については、業種、ビジネスの態様、通知又は容易に知り得る状態の態様、本人と個人情報取扱事業者との近接易に知り得る状態の態様、本人と個人情報取扱事業者との近接性、本人から停止の求めを受け付ける体制、提供される個人デー

性、本人から停止の求めを受け付ける体制、提供される個人デー

タの性質などによっても異なり得るため、個別具体的に判断する

タの性質などによっても異なり得るため、個別具体的に判断する必要がある。

必要がある。

また、「本人に通知し、又は本人が容易に知り得る状態に置

また、「本人に通知し、又は本人が容易に知り得る状態に置く」時期と、「個人情報保護委員会に届け出」る時期は、必ずしく」時期と、「個人情報保護委員会に届け出」る時期は、必ずしも同時である必要はないが、本人に通知し、又は本人が容易に知も同時である必要はないが、本人に通知し、又は本人が容易に知り得る状態に置いた後、速やかに個人情報保護委員会に届け出る

り得る状態に置いた後、速やかに個人情報保護委員会に届け出ることが望ましい。

ことが望ましい。

（※2）「本人に通知」については、2-14（本人に通知）を参照のこと。

（※2）「本人に通知」については、2-10（本人に通知）を参照のこと。

「本人が容易に知り得る状態」とは、事業所の窓口等への書面「本人が容易に知り得る状態」とは、事業所の窓口等への書面の掲示・備付けやホームページへの掲載その他の継続的方法によの掲示・備付けやホームページへの掲載その他の継続的方法によ70（※1）オプトアウトによる第三者提供を行う際は、上記の（1）から

り、本人が知ろうとすれば、時間的にも、その手段においても、簡単に知ることができる状態をいい、事業の性質及び個人情報の簡単に知ることができる状態をいい、事業の性質及び個人情報の取扱状況に応じ、本人が確実に認識できる適切かつ合理的な方法

取扱状況に応じ、本人が確実に認識できる適切かつ合理的な方法によらなければならない（規則第 7 条第 1 項第 2 号）。

によらなければならない（規則第 7 条第 1 項第 2 号）。

[【本人が容易に知り得る状態に該当する事例】 略][【本人が容易に知り得る状態に該当する事例】 同左]（※3）届出の方法は、電子情報処理組織を使用する方法等によって（※3）届出の方法は、個人情報保護委員会が定める方法によって行

行わなければならない（規則第 7 条第 2 項）。なお、代理人にわなければならない（規則第 7 条第 2 項）。なお、代理人によよって届出を行う場合は、個人情報保護委員会が定める様式にって届出を行う場合は、個人情報保護委員会が定める様式によよるその権限を証する書面を提出しなければならない（規則第 7

るその権限を称する書面を提出しなければならない（規則第 7

条第 3 項）。また、外国にある個人情報取扱事業者が、届出を条第 3 項）。また、外国にある個人情報取扱事業者が、届出を行う場合には、国内に住所を有する者に、当該届出に関する一行う場合には、国内に住所を有する者に、当該届出に関する一

切の行為につき当該個人情報取扱事業者を代理する権限を有す切の行為につき当該個人情報取扱事業者を代理する権限を有するものを定めなければならず、当該代理権を証する書面を個人るものを定めなければならず、当該代理権を証する書面を個人情報保護委員会に提出しなければならない。

情報保護委員会に提出しなければならない。

（※4）「本人の同意」については、2-16（本人の同意）を参照のこ（※4）「本人の同意」については、2-12（本人の同意）を参照のこと。

と。

（※5）[略]（※5）[同左]（※6）基本的には「インターネットの方法」による「公表」が望ま（※6）基本的には「インターネットの方法」による「公表」が望ましいが、個人情報取扱事業者の特性、本人との近接性などによしいが、個人情報取扱事業者の特性、本人との近接性などにより、当該方法以外の適切な方法による公表も可能である。「公り、当該方法以外の適切な方法による公表も可能である。「公表」については 2-15（公表）を参照のこと。

表」については 2-11（公表）を参照のこと。

（※7）オプトアウトにより提供を受けた個人データのオプトアウトによる再提供の禁止や、不正取得された個人データのオプトア

[新設]

71

り、本人が知ろうとすれば、時間的にも、その手段においても、

ウトによる提供の禁止については、当該個人データの全部又は一部を複製・加工したものについても適用があるため、注意を要する。
（※8）「本人の求めを受け付ける方法」には、本人が求めを行う連（※7）「本人の求めを受け付ける方法」には、本人が求めを行う連絡先（事業者名、窓口名、郵送先住所又は送信先メールアドレ

絡先（事業者名、窓口名、郵送先住所又は送信先メールアドレ

ス等。当該個人情報取扱事業者が外国に本拠地を置く場合におス等。当該個人情報取扱事業者が外国に本拠地を置く場合においては国内代理人の氏名、連絡先等。）が含まれる。

いては国内代理人の氏名、連絡先等。）が含まれる。

3-6-2-2 オプトアウトに関する事項の変更及び個人データの提供をやめ

3-4-2-2 オプトアウトに関する事項の変更（法第 23 条第 3 項関係）

72

た場合（法第 23 条第 3 項関係）

法第 23 条（第 3 項）

法第 23 条（第 3 項）

33

個人情報取扱事業者は、前項第 1 号に掲げる事項に変更があったと

個人情報取扱事業者は、前項第 2 号、第 3 号又は第 5 号に掲げる事

き又は同項の規定による個人データの提供をやめたときは遅滞なく、項を変更する場合は、変更する内容について、個人情報保護委員会規同項第 3 号から第 5 号まで、第 7 号又は第 8 号に掲げる事項を変更しよ則で定めるところにより、あらかじめ、本人に通知し、又は本人が容うとするときはあらかじめ、その旨について、個人情報保護委員会規

易に知り得る状態に置くとともに、個人情報保護委員会に届け出なけ

則で定めるところにより、本人に通知し、又は本人が容易に知り得る

ればならない。

状態に置くとともに、個人情報保護委員会に届け出なければならない。

規則第 7 条、第 8 条及び第 10 条（略）（3-6-2-1（オプトアウトに関する原則）参照）

規則第 7 条、第 8 条及び第 10 条（略）（3-4-2-1（オプトアウトに関する原則）参照）

個人情報取扱事業者は、法第 23 条第 2 項に基づきオプトアウトにより個

個人情報取扱事業者は、法第 23 条第 2 項に基づきオプトアウトにより個

人データの第三者提供を行っている場合であって、次の（1）から（3）ま人データの第三者提供を行っている場合であって、提供される個人データ

でのいずれかに該当する場合は、その旨について、本人に通知し、又は本の項目、提供の方法又は第三者への提供を停止すべきとの本人の求めを受人が容易に知り得る状態（※1）に置くとともに、個人情報保護委員会に届け付ける方法を変更する場合は、変更する内容について、変更に当たってけ出なければならない（※2）。

あらかじめ（※1）、本人に通知し、又は本人が容易に知り得る状態（※2）に置くとともに、個人情報保護委員会に届け出なければならない（※
3）。

なお、個人情報取扱事業者は、法第 23 条第 3 項に基づき、必要な事項を

なお、個人情報取扱事業者は、法第 23 条第 3 項に基づき、必要な事項を

個人情報保護委員会に届け出たときは、その内容を自らも公表（※3）する 個人情報保護委員会に届け出たときは、その内容を自らも公表（※4）するものとする。
73

ものとする。

（1）届出事項（第三者に提供される個人データの項目等）の変更があった場合第三者に提供される個人データの項目、第三者に提供される個人データの取得の方法、第三者への提供の方法、第三者への提供を停止すべきとの本人の求めを受け付ける方法、個人データの更新の方法又は第三者への提供を開始する予定日を変更する場合は、変更する内容について、あらかじめ（※4）、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならな
い。

[新設]

（2）届出事項（氏名又は名称、住所、法人等の代表者の氏名）の変更が

[新設]

あった場合

第三者への提供を行う個人情報取扱事業者の氏名又は名称、住所、法人等の代表者の氏名に変更があったときは、遅滞なく、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委
員会に届け出なければならない。

（3）個人データの提供をやめた場合

[新設]

74

法第 23 条第 2 項に基づく個人データの第三者提供をやめたときは、遅滞なく、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。

[削る]（※1）「あらかじめ」の具体的な期間については、3-4-2-1（オプトアウトに関する原則）を参照のこと。

（※1）「本人に通知」については、2-14（本人に通知）を参照のこと。

（※2）「本人に通知」については、2-10（本人に通知）を参照のこと。

「本人が容易に知り得る状態」については、3-6-2-1（オプト「本人が容易に知り得る状態」については、3-4-2-1（オプトアウトに関する原則）を参照のこと。なお、次のような方法でアウトに関する原則）を参照のこと。なお、次のような方法であれば、適切かつ合理的な方法と解される。

あれば、適切かつ合理的な方法と解される。

・変更する内容を、例えば新旧対照表等により、分かりやす・変更する内容を、例えば新旧対照表等により、分かりやすく明示した書面により本人に通知すること。

く明示した書面により本人に通知すること。

・本人が閲覧することが合理的に予測される個人情報取扱事

・本人が閲覧することが合理的に予測される個人情報取扱事

業者のホームページにおいて、本人が分かりやすい場所に業者のホームページにおいて、本人が分かりやすい場所に変更する内容を、例えば新旧対照表等により、分かりやす変更する内容を、例えば新旧対照表等により、分かりやすく明示すること。

く明示すること。

（※2）届出の方法等については、3-6-2-1（オプトアウトに関する（※3）届出の方法等については、3-4-2-1（オプトアウトに関する原則）を参照のこと。

原則）を参照のこと。

（※3）「公表」については、2-15（公表）を参照のこと。

（※4）「公表」については、2-11（公表）を参照のこと。

（※4）「あらかじめ」の具体的な期間については、3-6-2-1（オプ

[新設]

75

トアウトに関する原則）を参照のこと。

3-6-3 第三者に該当しない場合（法第 23 条第 5 項・第 6 項関係）

3-4-3 第三者に該当しない場合（法第 23 条第 5 項・第 6 項関係）

法第 23 条（第 5 項）

法第 23 条（第 5 項）

55

次に掲げる場合において、当該個人データの提供を受ける者は、前次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。

各項の規定の適用については、第三者に該当しないものとする。

[(1)・ (2) 略][(1)・ (2) 同左]

(3)

(3)

特定の者との間で共同して利用される個人データが当該特定の特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利

個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏用目的及び当該個人データの管理について責任を有する者の氏名

名又は名称及び住所並びに法人にあっては、その代表者の氏名に又は名称について、あらかじめ、本人に通知し、又は本人が容易

ついて、あらかじめ、本人に通知し、又は本人が容易に知り得るに知り得る状態に置いているとき。

状態に置いているとき。

（1）委託（法第 23 条第 5 項第 1 号関係）

[同左]

（1）委託（法第 23 条第 5 項第 1 号関係）

利用目的の達成に必要な範囲内において、個人データの取扱いに関する利用目的の達成に必要な範囲内において、個人データの取扱いに関する業務の全部又は一部を委託することに伴い、当該個人データが提供される業務の全部又は一部を委託することに伴い、当該個人データが提供される

場合は、当該提供先は第三者に該当しない。この場合、当該提供先は、委場合は、当該提供先は第三者に該当しない。この場合、当該提供先は、委託された業務の範囲内でのみ、本人との関係において提供主体である個人

託された業務の範囲内でのみ、本人との関係において提供主体である個人

情報取扱事業者と一体のものとして取り扱われることに合理性があるた

情報取扱事業者と一体のものとして取り扱われることに合理性があるた

め、委託された業務以外に当該個人データを取り扱うことはできない。

め、委託された業務以外に当該個人データを取り扱うことはできない。

なお、個人情報取扱事業者には、法第 22 条により、委託先に対する監督責任が課される（3-4-4（委託先の監督）参照）。

[事例 1）・事例 2) 略]（2）事業の承継（法第 23 条第 5 項第 2 号関係）

[略]（3）共同利用（法第 23 条第 5 項第 3 号関係）

なお、個人情報取扱事業者には、法第 22 条により、委託先に対する監督責任が課される（3-3-4（委託先の監督）参照）。

[事例 1）・事例 2) 同左]（2）事業の承継（法第 23 条第 5 項第 2 号関係）

[同左]（3）共同利用（法第 23 条第 5 項第 3 号関係）

76

[略]

[略]

[同左]

[①～④ 略][①～④ 同左]⑤当該個人データの管理について責任を有する者の氏名又は名称及び住⑤当該個人データの管理について責任を有する者の氏名又は名称「個人データの管理について責任を有する者」とは、開示等の請求「個人データの管理について責任を有する者」とは、開示等の請求及び苦情を受け付け、その処理に尽力するとともに、個人データの内及び苦情を受け付け、その処理に尽力するとともに、個人データの内

容等について、開示、訂正、利用停止等の権限を有し、安全管理等個

容等について、開示、訂正、利用停止等の権限を有し、安全管理等個

人データの管理について責任を有する者をいう。

人データの管理について責任を有する者をいう。

なお、ここでいう「責任を有する者」とは、共同して利用する全て

なお、ここでいう「責任を有する者」とは、共同して利用する全ての事業者の中で、第一次的に苦情の受付・処理、開示・訂正等を行うの事業者の中で、第一次的に苦情の受付・処理、開示・訂正等を行う

権限を有する者をいい、共同利用者のうち一事業者の内部の担当責任権限を有する者をいい、共同利用者のうち一事業者の内部の担当責任者をいうものではない。

者をいうものではない。

また、個人データの管理について責任を有する者は、利用目的の達

また、個人データの管理について責任を有する者は、利用目的の達成に必要な範囲内において、共同利用者間で利用している個人データ

成に必要な範囲内において、共同利用者間で利用している個人データを正確かつ最新の内容に保つよう努めなければならない（3-4-1（デーを正確かつ最新の内容に保つよう努めなければならない（3-3-1（データ内容の正確性の確保等）参照）。

タ内容の正確性の確保等）参照）。

[【共同利用に該当する事例】 略][【共同利用に該当する事例】 同左]

77

所並びに法人にあっては、その代表者の氏名

[（※1）・（※2） 略][（※1）・（※2） 同左]（※3）「本人に通知」については、2-14（本人に通知）を参照のこ（※3）「本人に通知」については、2-10（本人に通知）を参照のこと。

と。

（※4）「本人が容易に知り得る状態」については、3-6-2（オプト（※4）「本人が容易に知り得る状態」については、3-4-2（オプト

アウトによる第三者提供）を参照のこと。

アウトによる第三者提供）を参照のこと。
（※5）[同左]＜共同利用に係る事項の変更（法第 23 条第 6 項関係）＞＜共同利用に係る事項の変更（法第 23 条第 6 項関係）＞

法第 23 条（第 6 項）

法第 23 条（第 6 項）

6

6

個人情報取扱事業者は、前項第 3 号に規定する個人データの管理に

個人情報取扱事業者は、前項第 3 号に規定する利用する者の利用目ついて責任を有する者の氏名、名称若しくは住所又は法人にあって的又は個人データの管理について責任を有する者の氏名若しくは名称

は、その代表者の氏名に変更があったときは遅滞なく、同号に規定すを変更する場合は、変更する内容について、あらかじめ、本人に通知る利用する者の利用目的又は当該責任を有する者を変更しようとする

し、又は本人が容易に知り得る状態に置かなければならない。

ときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

個人情報取扱事業者は、個人データを共同利用する場合において、「個個人情報取扱事業者は、個人データを共同利用する場合において、「共人データの管理について責任を有する者の氏名、名称若しくは住所又は法同利用する者の利用目的」については、社会通念上、本人が通常予期し得人にあっては、その代表者の氏名」に変更があったときは遅滞なく、当該る限度と客観的に認められる範囲内（※1）で変更することができ、「個人変更後の内容について、「共同利用する者の利用目的」又は「当該責任をデータの管理について責任を有する者の氏名又は名称」についても変更す有する者」を変更しようとするときは変更する前に、変更しようとする内ることができるが、いずれも変更する前に、本人に通知（※2）し、又は本78（※5）[略]容について、本人に通知（※1）し、又は本人が容易に知り得る状態（※

人が容易に知り得る状態（※3）に置かなければならない。

2）に置かなければならない。
なお、「共同利用する者の利用目的」については、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内（※3）で変更することができる。
「共同して利用される個人データの項目」及び「共同して利用する者の

なお、「共同して利用される個人データの項目」及び「共同して利用す範囲」について変更することは、原則として認められないが、例えば次のる者の範囲」について変更することは、原則として認められないが、例えような場合は、引き続き共同利用を行うことができる。

ば次のような場合は、引き続き共同利用を行うことができる。

[削る][事例 1）～事例 3) 同左]（※1）「本人が通常予期し得る限度と客観的に認められる範囲」については、3-1-2（利用目的の変更）を参照のこと。

（※1）「本人に通知」については、2-14（本人に通知）を参照のこと。
（※2）「本人が容易に知り得る状態」については、3-6-2（オプト
アウトによる第三者提供）を参照のこと。
（※3）「本人が通常予期し得る限度と客観的に認められる範囲」に（※2）「本人に通知」については、2-10（本人に通知）を参照のこと。
（※3）「本人が容易に知り得る状態」については、3-4-2（オプト
アウトによる第三者提供）を参照のこと。
[新設]

ついては、3-1-2（利用目的の変更）を参照のこと。
（※4）[略]

3-6-4 外国にある第三者への提供の制限（法第 24 条関係）（※4）[同左]

3-4-4 外国にある第三者への提供の制限（法第 24 条関係）

79

[事例 1）～事例 3) 略]外国にある第三者への提供の制限については、別途定める「外国第三者提供ガイドライン」を参照のこと。

外国にある第三者への提供の制限については、別途定める「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供

（参考）

（参考）

法第 24 条

法第 24 条1

個人情報取扱事業者は、外国（本邦の域外にある国又は地域をい

個人情報取扱事業者は、外国（本邦の域外にある国又は地域をいう。以下同じ。）（個人の権利利益を保護する上で我が国と同等の水う。以下同じ。）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国

準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものを除く。以下この条及びとして個人情報保護委員会規則で定めるものを除く。以下この条にお第 26 条の 2 第 1 項第 2 号において同じ。）にある第三者（個人データ

いて同じ。）にある第三者（個人データの取扱いについてこの節の規の取扱いについてこの節の規定により個人情報取扱事業者が講ずべき定により個人情報取扱事業者が講ずべきこととされている措置に相当こととされている措置に相当する措置（第 3 項において「相当措置」

する措置を継続的に講ずるために必要なものとして個人情報保護委員という。）を継続的に講ずるために必要なものとして個人情報保護委

会規則で定める基準に適合する体制を整備している者を除く。以下こ

員会規則で定める基準に適合する体制を整備している者を除く。以下の条において同じ。）に個人データを提供する場合には、前条第 1 項

この項及び次項並びに同号において同じ。）に個人データを提供する

各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供場合には、前条第 1 項各号に掲げる場合を除くほか、あらかじめ外国を認める旨の本人の同意を得なければならない。この場合においてにある第三者への提供を認める旨の本人の同意を得なければならなは、同条の規定は、適用しない。

い。この場合においては、同条の規定は、適用しない。
2

個人情報取扱事業者は、前項の規定により本人の同意を得ようとする場合には、個人情報保護委員会規則で定めるところにより、あらか
じめ、当該外国における個人情報の保護に関する制度、当該第三者が80編）」を参照のこと。

講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。
3

個人情報取扱事業者は、個人データを外国にある第三者（第 1 項に規定する体制を整備している者に限る。）に提供した場合には、個人情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。

法第 24 条第 1 項の個人情報保護委員会規則で定める基準は、次の各ずれかに該当することとする。

[(1)・(2) 略][(1)・(2) 同左]

法第 24 条第 2 項又は法第 26 条の 2 第 1 項第 2 号の規定により情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。

2

法第 24 条の個人情報保護委員会規則で定める基準は、次の各号のい号のいずれかに該当することとする。

規則第 11 条の 3
1

規則第 11 条の 2

法第 24 条第 2 項又は法第 26 条の 2 第 1 項第 2 号の規定による情報の提供は、次に掲げる事項について行うものとする。
(1)

当該外国の名称(2)

適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報

81

規則第 11 条の 2

(3)3当該第三者が講ずる個人情報の保護のための措置に関する情報

前項の規定にかかわらず、個人情報取扱事業者は、法第 24 条第 1 項の規定により本人の同意を得ようとする時点において、前項第 1 号に定める事項が特定できない場合には、同号及び同項第 2 号に定める事項に代えて、次に掲げる事項について情報提供しなければならない。
(1)

前項第 1 号に定める事項が特定できない旨及びその理由(2)

前項第 1 号に定める事項に代わる本人に参考となるべき情報がある場合には、当該情報

4

第 2 項の規定にかかわらず、個人情報取扱事業者は、法第 24 条第 1項の規定により本人の同意を得ようとする時点において、第 2 項第 3 号に代えて、その旨及びその理由について情報提供しなければならない。

規則第 11 条の 4
1

法第 24 条第 3 項（法第 26 条の 2 第 2 項において読み替えて準用する場合を含む。）の規定による外国にある第三者による相当措置の継続的な実施を確保するために必要な措置は、次に掲げる措置とする。
(1)

当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること。

(2)

当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施

82に定める事項について情報提供できない場合には、同号に定める事項

の確保が困難となったときは、個人データ（法第 26 条の 2 第 2 項
において読み替えて準用する場合にあっては、個人関連情報）の当該第三者への提供を停止すること。
2

法第 24 条第 3 項の規定により情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。

3

個人情報取扱事業者は、法第 24 条第 3 項の規定による求めを受けた
ときは、本人に対し、遅滞なく、次に掲げる事項について情報提供しなければならない。ただし、情報提供することにより当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合(1)

当該第三者による法第 24 条第 1 項に規定する体制の整備の方法(2)

当該第三者が実施する相当措置の概要(3)

第 1 項第 1 号の規定による確認の頻度及び方法(4)

当該外国の名称(5)

当該第三者による相当措置の実施に影響を及ぼすおそれのある
当該外国の制度の有無及びその概要(6)

当該第三者による相当措置の実施に関する支障の有無及びその概要(7)

前号の支障に関して第 1 項第 2 号の規定により当該個人情報取扱事業者が講ずる措置の概要

4

個人情報取扱事業者は、法第 24 条第 3 項の規定による求めに係る情報の全部又は一部について提供しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

83

は、その全部又は一部を提供しないことができる。

5

個人情報取扱事業者は、前項の規定により、本人から求められた情報の全部又は一部について提供しない旨を通知する場合には、本人に対し、その理由を説明するよう努めなければならない。

3-6-5 第三者提供に係る記録の作成等（法第 25 条関係）

3-4-5 第三者提供に係る記録の作成等（法第 25 条関係）

第三者提供に係る記録の作成等については、別途定める「確認・記録義

第三者提供に係る記録の作成等については、別途定める「個人情報の保務ガイドライン」を参照のこと。

護に関する法律についてのガイドライン（第三者提供時の確認・記録義務

（参考）

（参考）

法第 25 条

法第 25 条1

1

個人情報取扱事業者は、個人データを第三者（第 2 条第 5 項各号に

個人情報取扱事業者は、個人データを第三者（第 2 条第 5 項各号に掲げる者を除く。以下この条及び次条（第 26 条の 2 第 3 項において読掲げる者を除く。以下この条及び次条において同じ。）に提供したとみ替えて準用する場合を含む。）において同じ。）に提供したとき

きは、個人情報保護委員会規則で定めるところにより、当該個人デー

は、個人情報保護委員会規則で定めるところにより、当該個人データタを提供した年月日、当該第三者の氏名又は名称その他の個人情報保を提供した年月日、当該第三者の氏名又は名称その他の個人情報保護

護委員会規則で定める事項に関する記録を作成しなければならない。

委員会規則で定める事項に関する記録を作成しなければならない。たただし、当該個人データの提供が第 23 条第 1 項各号又は第 5 項各号のだし、当該個人データの提供が第 23 条第 1 項各号又は第 5 項各号のいいずれか（前条の規定による個人データの提供にあっては、第 23 条第ずれか（前条第 1 項の規定による個人データの提供にあっては、第 23

1 項各号のいずれか）に該当する場合は、この限りでない。

条第 1 項各号のいずれか）に該当する場合は、この限りでない。
2

[略]

2

[同左]

84

編）」を参照のこと。

規則第 12 条

1

[略]

1

[同左]

2

法第 25 条第 1 項の記録は、個人データを第三者（同項に規定する第2

法第 25 条第 1 項の記録は、個人データを第三者（同項に規定する第3三者をいう。以下この条、次条、第 15 条から第 17 条まで、第 18 条の三者をいう。以下この条、次条及び第 15 条から第 17 条までにおいて

3 及び第 18 条の 4 において同じ。）に提供した都度、速やかに作成し同じ。）に提供した都度、速やかに作成しなければならない。ただ

なければならない。ただし、当該第三者に対し個人データを継続的にし、当該第三者に対し個人データを継続的に若しくは反復して提供

若しくは反復して提供（法第 23 条第 2 項の規定による提供を除く。以（法第 23 条第 2 項の規定による提供を除く。以下この項において同下この項において同じ。）したとき、又は当該第三者に対し個人デー

じ。）したとき、又は当該第三者に対し個人データを継続的に若しく

タを継続的に若しくは反復して提供することが確実であると見込まれは反復して提供することが確実であると見込まれるときの記録は、一るときの記録は、一括して作成することができる。

括して作成することができる。

前項の規定にかかわらず、法第 23 条第 1 項又は法第 24 条第 1 項の規

3

前項の規定にかかわらず、法第 23 条第 1 項又は法第 24 条の規定に定により、本人に対する物品又は役務の提供に関連して当該本人に係より、本人に対する物品又は役務の提供に関連して当該本人に係る個る個人データを第三者に提供した場合において、当該提供に関して作

人データを第三者に提供した場合において、当該提供に関して作成さ成された契約書その他の書面に次条第 1 項各号に定める事項が記載された契約書その他の書面に次条第 1 項各号に定める事項が記載されてれているときは、当該書面をもって法第 25 条第 1 項の当該事項に関すいるときは、当該書面をもって法第 25 条第 1 項の当該事項に関する記

る記録に代えることができる。

録に代えることができる。

規則第 13 条

規則第 13 条

1

1

法第 25 条第 1 項の個人情報保護委員会規則で定める事項は、次の各

法第 25 条第 1 項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とす

号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とす

る。

る。

(1)

法第 23 条第 2 項の規定により個人データを第三者に提供した場(1)

法第 23 条第 2 項の規定により個人データを第三者に提供した場

85

規則第 12 条合 次のイからニまでに掲げる事項

合次のイからニまでに掲げる事項

イ [略]

イ

[同左]

ロ

ロ

当該第三者の氏名又は名称その他の当該第三者を特定するに足当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるもの

りる事項（不特定かつ多数の者に対して提供したときは、そのにあっては、その代表者又は管理人。第 18 条の 4 第 1 項第 3 号に旨）

おいて同じ。）の氏名（不特定かつ多数の者に対して提供したときは、その旨）[ハ・ニ 略]法第 23 条第 1 項又は法第 24 条第 1 項の規定により個人データ(2)

を第三者に提供した場合 次のイ及びロに掲げる事項

法第 23 条第 1 項又は法第 24 条の規定により個人データを第三2者に提供した場合 次のイ及びロに掲げる事項

イ 法第 23 条第 1 項又は法第 24 条第 1 項の本人の同意を得ている旨

イ

法第 23 条第 1 項又は法第 24 条の本人の同意を得ている旨

ロ [略]

ロ

[同左]

[略]

規則第 14 条
[略]

2

[同左]

規則第 14 条[同左]

3-6-6 第三者提供を受ける際の確認等（法第 26 条関係）

3-4-6 第三者提供を受ける際の確認等（法第 26 条関係）

第三者提供を受ける際の確認等については、別途定める「確認・記録義

第三者提供を受ける際の確認等については、別途定める「個人情報の保務ガイドライン」を参照のこと。

護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」を参照のこと。

86

(2)

[ハ・ニ 同左]

（参考）

（参考）

【第三者提供を受ける際の確認（法第 26 条第 1 項・第 2 項関係）】【第三者提供を受ける際の確認（法第 26 条第 1 項・第 2 項関係）】

法第 26 条（第 1 項・第 2 項）

法第 26 条（第 1 項・第 2 項）

1

1

個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、個人情報保護委員会規則で定めるところにより、次に掲げる

しては、個人情報保護委員会規則で定めるところにより、次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供

事項の確認を行わなければならない。ただし、当該個人データの提供

が第 23 条第 1 項各号又は第 5 項各号のいずれかに該当する場合は、こが第 23 条第 1 項各号又は第 5 項各号のいずれかに該当する場合は、この限りでない。

の限りでない。

(1)(1)

当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名

当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名

(2)
2

[略]

[略]

(2)
2

[同左]

[同左]

規則第 15 条

規則第 15 条

[略]

[同左]

【第三者提供を受ける際の記録の作成等（法第 26 条第 3 項・第 4 項関

【第三者提供を受ける際の記録の作成等（法第 26 条第 3 項・第 4 項関

係）】

係）】

法第 26 条（第 3 項・第 4 項）

法第 26 条（第 3 項・第 4 項）

[略]

[同左]

87

個人情報取扱事業者は、第三者から個人データの提供を受けるに際規則第 16 条

規則第 16 条

[略]

[同左]

規則第 17 条

規則第 17 条

1

1

法第 26 条第 3 項の個人情報保護委員会規則で定める事項は、次の各

法第 26 条第 3 項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とす

号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とす

る。

る。

(1)

[略]

(1)

[同左]

(2)

個人情報取扱事業者から法第 23 条第 1 項又は法第 24 条第 1 項の(2)

個人情報取扱事業者から法第 23 条第 1 項又は法第 24 条の規定

次のイ及びロに掲げによる個人データの提供を受けた場合

る事項

次のイ及びロに掲げる事項

イ 法第 23 条第 1 項又は法第 24 条第 1 項の本人の同意を得ている旨

イ

法第 23 条第 1 項又は法第 24 条の本人の同意を得ている旨

ロ 前号ロからニまでに掲げる事項

ロ

前号ロからニまでに掲げる事項(3)

個人関連情報取扱事業者から法第 26 条の 2 第 1 項の規定による
個人関連情報の提供を受けて個人データとして取得した場合

次のイからニまでに掲げる事項
イ 法第 26 条の 2 第 1 項第 1 号の本人の同意が得られている旨及び外国にある個人情報取扱事業者にあっては、同項第 2 号の規定による情報の提供が行われている旨
ロ 法第 26 条第 1 項第 1 号に掲げる事項
ハ 第 1 号ハに掲げる事項
ニ 当該個人関連情報の項目(4)

第三者（個人情報取扱事業者に該当する者を除く。）から個人(3)

第三者（個人情報取扱事業者に該当する者を除く。）から個人

88

規定による個人データの提供を受けた場合

データの提供を受けた場合 第 1 号ロからニまでに掲げる事項[略]

規則第 18 条
[略]

2

[同左]

規則第 18 条[同左]

3-7 個人関連情報の第三者提供の制限等（法第 26 条の 2 関係）[新設]

3-7-1 定義

[新設]

3-7-1-1 個人関連情報[新設]

法第 26 条の 2（第 1 項）
1（略）個人関連情報（生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。以下同じ。）（略）

個人関連情報とは、生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。

「個人に関する情報」とは、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報である。「個人に関する89

2

データの提供を受けた場合 第 1 号ロからニまでに掲げる事項

情報」のうち、氏名、生年月日その他の記述等により特定の個人を識別することができるものは、個人情報に該当するため、個人関連情報には該当しない。
また、統計情報は、特定の個人との対応関係が排斥されている限りにおいては、「個人に関する情報」に該当するものではないため、個人関連情報にも該当しない。

【個人関連情報に該当する事例（※）】
事例 1）Cookie 等の端末識別子を通じて収集された、ある個人のウェブ
サイトの閲覧履歴
事例 2）メールアドレスに結び付いた、ある個人の年齢・性別・家族構成
90

等
事例 3）ある個人の商品購買履歴・サービス利用履歴
事例 4）ある個人の位置情報
事例 5）ある個人の興味・関心を示す情報（※）個人情報に該当する場合は、個人関連情報に該当しないことになる。例えば、一般的に、ある個人の位置情報それ自体のみ
では個人情報には該当しないものではあるが、個人に関する位
置情報が連続的に蓄積される等して特定の個人を識別することができる場合には、個人情報に該当し、個人関連情報には該当しないことになる。

3-7-1-2 個人関連情報取扱事業者[新設]

法第 26 条の 2（第 1 項）
1

個人関連情報取扱事業者（個人関連情報データベース等（個人関連情報（略）を含む情報の集合物であって、特定の個人関連情報を電子
計算機を用いて検索することができるように体系的に構成したものその他特定の個人関連情報を容易に検索することができるように体系的に構成したものとして政令で定めるものをいう。以下この項において同じ。）を事業の用に供している者であって、第 2 条第 5 項各号に掲

91げる者を除いたものをいう。以下同じ。）（略）

政令第 7 条の 2
法第 26 条の 2 第 1 項の政令で定めるものは、これに含まれる個人関連情報を一定の規則に従って整理することにより特定の個人関連情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するものをいう。

「個人関連情報取扱事業者」とは、個人関連情報データベース等を事業の用に供している者のうち、国の機関、地方公共団体、独立行政法人等の保有する個人情報の保護に関する法律で定める独立行政法人等及び地方独立行政法人法で定める地方独立行政法人を除いた者をいう。

「個人関連情報を含む情報の集合物であって、特定の個人関連情報を電子計算機を用いて検索することができるように体系的に構成したもの」とは、特定の個人関連情報をコンピュータを用いて検索することができるよ
うに体系的に構成した、個人関連情報を含む情報の集合物をいう。また、コンピュータを用いていない場合であっても、紙媒体の個人関連情報を一定の規則に従って整理・分類し、特定の個人関連情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当する。

ここでいう「事業の用に供している」の「事業」とは、一定の目的をも92って反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。なお、法人格のない、権利能力のない社団（任意団体）又は個人であっても、個人関連情報
データベース等を事業の用に供している場合は、個人関連情報取扱事業者に該当する。

3-7-2 法第 26 条の 2 の適用の有無について

個人関連情報取扱事業者は、提供先の第三者が個人関連情報（個人関連
情報データベース等を構成するものに限る。以下同じ。）を個人データとして取得することが想定されるときは、法第 23 条第 1 項各号に掲げる場合[新設]

を除き、あらかじめ当該個人関連情報に係る本人の同意が得られていること等を確認しないで、当該個人関連情報を提供してはならない。
法第 26 条の 2 第 1 項は、個人関連情報取扱事業者による個人関連情報の第三者提供一般に適用されるものではなく、提供先の第三者が個人関連情報を「個人データとして取得することが想定されるとき」に適用されるものである。そのため、個人関連情報の提供を行う個人関連情報取扱事業者
は、提供先の第三者との間で、提供を行う個人関連情報の項目や、提供先の第三者における個人関連情報の取扱い等を踏まえた上で、それに基づい

3-7-2-1 「個人データとして取得する」について

法第 26 条の 2 第 1 項の「個人データとして取得する」とは、提供先の第三者において、個人データに個人関連情報を付加する等、個人データとして利用しようとする場合をいう。
提供先の第三者が、提供を受けた個人関連情報を、ID 等を介して提供先が保有する他の個人データに付加する場合には、「個人データとして取得する」場合に該当する。
提供先の第三者が、提供を受けた個人関連情報を直接個人データに紐付けて利用しない場合は、別途、提供先の第三者が保有する個人データとの容易照合性が排除しきれないとしても、ここでいう「個人データとして取得する」場合には直ちに該当しない。

[新設]

93

て法第 26 条の 2 第 1 項の適用の有無を判断する。

3-7-2-2 「想定される」について[新設]「想定される」とは、提供元の個人関連情報取扱事業者において、提供先の第三者が「個人データとして取得する」（3-7-2-1（「個人データとして取得する」について））ことを現に想定している場合、又は一般人の認識（※）を基準として「個人データとして取得する」ことを通常想定できる場合をいう。

94（1）「個人データとして取得する」ことを現に想定している場合

提供元の個人関連情報取扱事業者が、提供先の第三者において個人デー
タとして取得することを現に認識している場合をいう。

【現に想定している場合に該当する例】
事例 1）提供元の個人関連情報取扱事業者が、顧客情報等の個人データを保有する提供先の第三者に対し、ID 等を用いることで個人関連情報を個人データと紐付けて取得することが可能であることを説明している場合事例 2) 提供元の個人関連情報取扱事業者が、提供先の第三者から、個人関連情報を受領した後に個人データと紐付けて取得することを告げられている場合

（2）「個人データとして取得する」ことを通常想定できる場合

提供元の個人関連情報取扱事業者において現に想定していない場合であっても、提供先の第三者との取引状況等の客観的事情に照らし、一般人の認識を基準に通常想定できる場合には、「想定される」に該当する。

【通常想定できる場合】
事例）個人関連情報を提供する際、提供先の第三者において当該個人関連情報を氏名等と紐付けて利用することを念頭に、そのために用95いる ID 等も併せて提供する場合（※）ここでいう「一般人の認識」とは、同種の事業を営む事業者の一般的な判断力・理解力を前提とする認識をいう。

3-7-2-3 契約等による対応について

提供元の個人関連情報取扱事業者及び提供先の第三者間の契約等において、提供先の第三者において、提供を受けた個人関連情報を個人データとして利用しない旨が定められている場合には、通常、「個人データとして取得する」ことが想定されず、法第 26 条の 2 は適用されない。この場合、提供元の個人関連情報取扱事業者は、提供先の第三者における個人関連情[新設]

報の取扱いの確認まで行わなくとも、通常、「個人データとして取得する」ことが想定されない。もっとも、提供先の第三者が実際には個人関連
情報を個人データとして利用することが窺われる事情がある場合には、当該事情に応じ、別途、提供先の第三者における個人関連情報の取扱いも確認した上で「個人データとして取得する」ことが想定されるかどうか判断する必要がある。

[新設]

3-7-3-1 本人の同意

[新設]
96

3-7-3 本人の同意の取得方法

法第 26 条の 2 第 1 項第 1 号の「本人の同意」とは、個人関連情報取扱事
業者が第三者に個人関連情報を提供し、当該第三者が当該個人関連情報を
個人データとして取得することを承諾する旨の当該本人の意思表示をいう。同号の同意の取得に当たっては、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示した上で、本人の同意の意思が明確に確認できることが必要である。
また、本人の同意は、必ずしも第三者提供のたびに取得しなければならないものではなく、本人が予測できる範囲において、包括的に同意を取得することも可能である。

なお、令和 2 年改正法の施行日前になされた本人の個人関連情報の取扱
いに関する同意がある場合において、その同意が法第 26 条の 2 第 1 項の規定による個人関連情報の第三者への提供を認める旨の同意に相当するものであるときは、同項第 1 号の同意があったものとみなす（令和 2 年改正法
附則第 5 条第 1 号）。

3-7-3-2 同意を取得する主体[新設]

法第 26 条の 2 第 1 項第 1 号の「本人の同意」を取得する主体は、本人と本人の権利利益の保護が図られることを前提に、同意取得を提供元の個人
関連情報取扱事業者が代行することも認められる。
提供先の第三者による同意取得の場合であっても、提供元の個人関連情報取扱事業者による同意取得の代行の場合であっても、個人関連情報の提供を受けて個人データとして取得する主体、対象となる個人関連情報の項
目、個人関連情報の提供を受けて個人データとして取得した後の利用目的等について、本人が認識できるようにする必要がある。

（1）提供先の第三者による同意取得の場合

提供先の第三者が、個人関連情報の提供を受けて個人データとして取得する主体として、本人に対して、対象となる個人関連情報を特定できるよ97

接点を持ち、情報を利用する主体となる提供先の第三者であるが、同等のうに示した上で同意を取得しなければならない。
個人関連情報を個人データとして取得した後の利用目的については、提供先の第三者において法第 18 条により通知又は公表を行う必要があるが、提供先において同意を取得する際には同時に当該利用目的についても本人に示すことが望ましい。

（2）提供元の個人関連情報取扱事業者による同意取得の代行の場合

提供元の個人関連情報取扱事業者が同意取得を代行する場合、本人は利用の主体を認識できないことから、提供元の個人関連情報取扱事業者において、個人関連情報の提供を受けて個人データとして取得する提供先の第98

三者を個別に明示し、また、対象となる個人関連情報を特定できるように示さなければならない。
提供先の第三者が個人関連情報を個人データとして取得した後の利用目的については、提供先の第三者において法第 18 条により通知又は公表を行わなければならない。
また、提供元の個人関連情報取扱事業者が同意取得を代行する場合であっても、提供先の第三者が同意取得の主体であることに変わりはないこと
から、提供先の第三者は提供元の個人関連情報取扱事業者に適切に同意取得させなければならない。

3-7-3-3 同意取得の方法[新設]

同意取得の方法としては、様々な方法があるが、例えば、本人から同意する旨を示した書面や電子メールを受領する方法、確認欄へのチェックを求める方法がある。ウェブサイト上で同意を取得する場合は、単にウェブ
サイト上に本人に示すべき事項を記載するのみでは足りず、それらの事項を示した上でウェブサイト上のボタンのクリックを求める方法等によらなければならない。
また、同意取得に際しては、本人に必要な情報を分かりやすく示すことが重要であり、例えば、図を用いるなどして工夫することが考えられる。
なお、個人関連情報の第三者提供につき、同意取得の一般的なフローに99

ついては、本ガイドライン末尾の【付録】を参照のこと。

3-7-4 本人の同意等の確認の方法（法第 26 条の 2 第 1 項関係）

[新設]

3-7-4-1 個人データとして取得することを認める旨の本人の同意を得ら[新設]れていること（法第 26 条の 2 第 1 項第 1 号、規則第 18 条の 2 第1 項関係）

法第 26 条の 2（第 1 項）
1

個人関連情報取扱事業者（略）は、第三者が個人関連情報（個人関連情報データベース等を構成するものに限る。以下同じ。）を個人データとして取得することが想定されるときは、第 23 条第 1 項各号に掲げる場合を除くほか、次に掲げる事項について、あらかじめ個人情報保護委員会規則で定めるところにより確認することをしないで、当該個人関連情報を当該第三者に提供してはならない。
(1)

当該第三者が個人関連情報取扱事業者から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていること。

(2)

(略)

規則第 18 条の 2（第 1 項）
1

法第 26 条の 2 第 1 項の規定による同項第 1 号に掲げる事項の確認を法その他の適切な方法とする。

個人関連情報取扱事業者は、提供先の第三者が個人関連情報を個人デー
タとして取得することが想定されるときは、原則として、あらかじめ当該
個人関連情報に係る本人の同意が得られていることを確認しないで個人関連情報を提供してはならない。
本人から同意を得る主体は、原則として提供先の第三者となり、個人関連情報取扱事業者は、当該第三者から申告を受ける方法その他の適切な方法によって本人同意が得られていることを確認することになる。提供先の第三者から申告を受ける場合、個人関連情報取扱事業者は、その申告内容を一般的な注意力をもって確認すれば足りる。
提供先の第三者において、複数の本人から同一の方式で同意を取得して100行う方法は、個人関連情報の提供を受ける第三者から申告を受ける方

いる場合、提供元はそれぞれの本人から同意が取得されていることを確認する必要があるが、同意取得の方法については、本人ごとに個別の申告を受ける必要はなく、複数の本人からどのように同意を取得したか申告を受け、それによって確認を行えば足りる。
なお、提供先の第三者から提供元の個人関連情報取扱事業者に対する申告に際し、提供先の第三者が法第 26 条の 2 第 1 項第 1 号の同意を取得済みの ID 等を提供する行為は、個人データの第三者提供に該当する場合がある
が、法第 26 条の 2 第 1 項の確認行為において必要となる情報のみを提供する場合は、法令に基づく場合（法第 23 条第 1 項第 1 号）に該当する。
また、提供元の個人関連情報取扱事業者において、同意取得を代行するに該当する。

【第三者から申告を受ける方法に該当する事例】
事例 1）提供先の第三者から口頭で申告を受ける方法
事例 2）提供先の第三者が本人の同意を得ていることを誓約する書面を受け入れる方法【その他の適切な方法に該当する事例】
事例 1）提供先の第三者が取得した本人の同意を示す書面等を確認する方
法
事例 2）提供元の個人関連情報取扱事業者において同意取得を代行して、当該同意を自ら確認する方法

101

場合、当該同意を自ら確認する方法も「その他の適切な方法」による確認

3-7-4-2 外国にある第三者への提供にあっては、必要な情報が当該本人[新設]に提供されていること（法第 26 条の 2 第 1 項第 2 号、規則第 18
条の 2 第 2 項関係）

法第 26 条の 2（第 1 項）
1

個人関連情報取扱事業者（略）は、第三者が個人関連情報（個人関連情報データベース等を構成するものに限る。以下同じ。）を個人データとして取得することが想定されるときは、第 23 条第 1 項各号に掲げる場合を除くほか、次に掲げる事項について、あらかじめ個人情報

個人関連情報を当該第三者に提供してはならない。
(1)

(略)

(2)

外国にある第三者への提供にあっては、前号の本人の同意を得ようとする場合において、個人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他
当該本人に参考となるべき情報が当該本人に提供されていること。

2

第 24 条第 3 項の規定は、前項の規定により個人関連情報取扱事業者
が個人関連情報を提供する場合について準用する。この場合において、同条第 3 項中「講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供し」とあるのは、「講じ」と読み102

保護委員会規則で定めるところにより確認することをしないで、当該替えるものとする。

規則第 11 条の 3（第 1 項・第 2 項）
1

法第24条第2項又は法第26条の2第1項第2号の規定により情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。

2

法第24条第2項又は法第26条の2第1項第2号の規定による情報の提供
は、次に掲げる事項について行うものとする。
(1)

当該外国の名称(2)

適切かつ合理的な方法により得られた当該外国における個人情(3) 当該第三者が講ずる個人情報の保護のための措置に関する情報

規則第 11 条の 4（第 1 項）
1

法第 24 条第 3 項（法第 26 条の 2 第 2 項において読み替えて準用する場合を含む。）の規定による外国にある第三者による相当措置の継続的な実施を確保するために必要な措置は、次に掲げる措置とする。
(1)

当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること。

(2)

当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データ（法第 26 条の 2 第 2 項

103報の保護に関する制度に関する情報において読み替えて準用する場合にあっては、個人関連情報）の当該第三者への提供を停止すること。

個人関連情報取扱事業者は、個人関連情報の提供先が外国にある第三者である場合には、法第 26 条の 2 第 1 項第 1 号に基づき本人の同意が得られていることを確認するに当たって、当該同意が得られていることに加え、当該同意を得ようとする時点において次の（1）から（3）までの情報が当該本人に提供されていることを確認しなければならない。
情報提供の方法及び提供すべき情報の内容の考え方等については、外国
第三者提供ガイドライン「5-1（情報提供の方法）」及び「5-2（提供すべ(1) 当該外国の名称（規則第 11 条の 3 第 2 項第 1 号関係）
(2) 適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報（規則第 11 条の 3 第 2 項第 2 号関係）
(3) 当該第三者が講ずる個人情報の保護のための措置に関する情報（規則第 11 条の 3 第 2 項第 3 号関係）

ただし、次の①又は②のいずれかに該当する場合には、本人同意の取得時に上記の（1）から（3）までの情報が提供されていることを確認する必
要はない。

104

き情報）」を参照のこと。

①

当該第三者が個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報保護制度を有している国にある場合

個人の権利利益を保護する上で我が国と同等の水準にあると認められる
個人情報保護制度を有している外国として規則で定める国（※1）は、法第26 条の 2 第 1 項第 2 号の「外国」には該当しない。そのため、個人関連情報の提供先が、当該国にある第三者である場合には、法第 26 条の 2 第 1 項
第 2 号は適用されない。

②

当該第三者が個人情報取扱事業者が講ずべき措置に相当する措置

個人関連情報の提供先である外国にある第三者が、個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制として
規則第 11 条の 2 で定める基準に適合する体制を整備している場合（※2）には、当該第三者は、法第 26 条の 2 第 1 項第 2 号における「第三者」に該当しない。そのため、当該体制を整備している外国にある第三者への個人関連情報の提供については、法第 26 条の 2 第 1 項第 2 号は適用されない。
ただし、規則第 11 条の 2 で定める基準に適合する体制を整備している外国にある第三者に個人関連情報の提供を行った場合には、個人関連情報取扱事業者は、法第 26 条の 2 第 2 項により読み替えて準用される法第 24 条
第 3 項に基づき、次の（ア）及び（イ）の措置を講じなければならない
（※3）。

105

を継続的に講ずるために必要な体制を整備している場合講ずべき措置の考え方等については、外国第三者提供ガイドライン「6-1（相当措置の継続的な実施を確保するために必要な措置）」を参照のこと。

(ア) 当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること（規則第11 条の 4 第 1 項第 1 号関係）
(イ) 当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確止すること（規則第 11 条の 4 第 1 項第 2 号関係）（※1）規則で定める国とは、平成 31 年個人情報保護委員会告示第 1号に定める国を指す。詳細については、外国第三者提供ガイド
ライン「3（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国）」を参照のこと。
（※2）個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準の詳細については、外国第三者提供ガイドライン「4（個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準）」を参照のこと。

106

保が困難となったときは、個人関連情報の当該第三者への提供を停（※3）法第 26 条の 2 第 2 項において読み替えて準用される法第 24
条第 3 項の規定は、個人関連情報取扱事業者が令和 2 年改正法の施行日以後に同項に規定する外国にある第三者に個人関連情報を提供した場合について適用される（令和 2 年改正法附則第 5条第 2 項）。

＜確認の方法（規則第 18 条の 2 第 2 項関係）＞

規則第 18 条の 2（第 2 項）
2

法第 26 条の 2 第 1 項の規定による同項第 2 号に掲げる事項の確認を行

面の提示を受ける方法その他の適切な方法とする。

本人から同意を得る主体は、原則として提供先の第三者となり、個人関連情報取扱事業者は、書面の提示を受ける方法その他の適切な方法によって必要な情報の提供が行われていることを確認しなければならない。

【書面の提示を受ける方法に該当する事例】
事例 1）提供先の第三者が本人に対して法第 26 条の 2 第 1 項第 2 号の規定による情報の提供を行う際に使用している書面の提示を受ける
方法
事例 2）提供先の第三者が本人に対してホームページ上で法第 26 条の 2
第 1 項第 2 号の規定による情報の提供を行っている場合において、

107

う方法は、同号の規定による情報の提供が行われていることを示す書

当該ホームページの写しの提示を受ける方法
事例 3）提供先の第三者が本人に対して法第 26 条の 2 第 1 項第 2 号の規定による情報の提供を行っていることを誓約する書面を受け入れる方法【その他の適切な方法に該当する事例】
事例 1）提供先の第三者が本人に対してホームページ上で法第 26 条の 2
第 1 項第 2 号の規定による情報の提供を行っている場合において、当該ホームページの記載内容を確認する方法
事例 2）提供元の個人関連情報取扱事業者において同意取得を代行している場合において、同意取得に当たって必要な情報が提供されてい3-7-4-3 既に確認を行った第三者に対する確認の方法（規則第 18 条の 2
第 3 項）

規則第 18 条の 2（第 3 項）
3

前二項の規定にかかわらず、第三者に個人関連情報の提供を行うに際して既に前二項に規定する方法による確認（当該確認について次条に規定する方法による記録の作成及び保存をしている場合におけるものに限る。）を行っている事項の確認を行う方法は、当該事項の内容と当該提供に係る法第 26 条の 2 第 1 項各号に掲げる事項の内容が同一で108ることを自ら確認する方法[新設]

あることの確認を行う方法とする。

令和 2 年改正法規則附則第 4 条
法第 26 条の 2 第 1 項第 1 号に規定する事項のうち、施行日前に第 18条の 2 に規定する方法に相当する方法で確認（当該確認について第 18条の 3 に規定する方法に相当する方法で記録を作成し、かつ、保存している場合におけるものに限る。）を行っているものについては、第18 条の 2 第 3 項の規定を適用することができる。この場合において、同項中「前二項に規定する方法」とあるのは「前二項に規定する方法

複数回にわたって同一「本人」の個人関連情報を提供する場合において、同一の内容である事項を重複して確認する合理性はないため、既に規則第 18 条の 2 に規定する方法（3-7-4-1（個人データとして取得することを認める旨の本人の同意を得られていること）、3-7-4-2（外国にある第三者への提供にあっては、参考となるべき情報が当該本人に提供されていること））により確認を行い、3-7-5（提供元における記録義務）に規定する方法により作成し、かつ、その時点において保存している記録に記録された事項と内容が同一であるものについては、当該事項の確認を省略することができる。
令和 2 年改正法の施行日の前に上記に規定する方法に相当する方法で作成した記録についても同様とする。
例えば、個人関連情報取扱事業者が、同じ提供先に対して、既に確認・

109に相当する方法」と読み替えるものとする。

記録義務を履行した本人に係る個人関連情報であることを認識しながら、
個人関連情報の提供を行う場合は、「同一であることの確認」が行われているものである。

3-7-5 提供元における記録義務（法第 26 条の 2 第 3 項、第 26 条第 3 項

[新設]

関係）

法第 26 条の 2（第 3 項）
3

前条第 2 項から第 4 項までの規定は、第 1 項の規定により個人関連
情報取扱事業者が確認する場合について準用する。この場合におい読み替えるものとする。

法第 26 条（第 3 項）
3

個人情報取扱事業者は、第 1 項の規定による確認を行ったときは、
個人情報保護委員会規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委員会
規則で定める事項に関する記録を作成しなければならない。

個人関連情報取扱事業者は、法第 26 条の 2 第 1 項の規定による確認を行った場合は、その記録を作成しなければならない（法第 26 条の 2 第 3 項において準用される法第 26 条第 3 項）。なお、「第三者」のうち、次の（1）から（4）までに掲げる者に個人関連情報の提供を行う場合は、記録義務は

110て、同条第 3 項中「の提供を受けた」とあるのは、「を提供した」と適用されない（法第 26 条の 2 第 3 項において読み替えて準用する法第 26 条
第 3 項、第 25 条第 1 項）。

（1）国の機関（法第 2 条第 5 項第 1 号関係）
（2）地方公共団体（法第 2 条第 5 項第 2 号関係）
（3）独立行政法人等（独立行政法人等の保有する個人情報の保護に関する法律第 2 条第 1 項 に規定する独立行政法人等をいう。）（法第 2条第 5 項第 3 号関係）
（4）地方独立行政法人（地方独立行政法人法第 2 条第 1 項に規定する地

3-7-5-1 記録を作成する媒体（規則第 18 条の 3 第 1 項関係）

規則第 18 条の 3（第 1 項）
1

法第 26 条の 2 第 3 項において読み替えて準用する法第 26 条第 3 項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。

個人関連情報取扱事業者は、記録を、文書、電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。）で作られる記録をいう。以下同じ。法第 2 条第 1 項第 1号参照）又はマイクロフィルムを用いて作成しなければならない。

[新設]

111

方独立行政法人をいう。）（法第 2 条第 5 項第 4 号関係）

3-7-5-2 記録を作成する方法[新設]

3-7-5-2-1 原則（規則第 18 条の 3 第 2 項関係）

[新設]

規則第 18 条の 3（第 2 項）
2

法第 26 条の 2 第 3 項において読み替えて準用する法第 26 条第 3 項の記録は、個人関連情報を第三者に提供した都度、速やかに作成しなければならない。（略）112

個人関連情報取扱事業者は、記録を作成する場合、原則として、個人関連情報の提供の都度、速やかに、記録を作成しなければならない。
なお、個人関連情報を提供する前に記録を作成することもできる。

3-7-5-2-2 一括して記録を作成する方法（規則第 18 条の 3 第 2 項関係）

規則第 18 条の 3（第 2 項）
2（略）当該第三者に対し個人関連情報を継続的に若しくは反復して提供したとき、又は当該第三者に対し個人関連情報を継続的に若しくは反復して提供することが確実であると見込まれるときの記録は、一[新設]

括して作成することができる。

一定の期間内に特定の事業者に対して継続的に又は反復して個人関連情報を提供する場合は、個々の提供に係る記録を作成する代わりに、一括して記録を作成することができる。

【一括して記録を作成する方法に該当する事例】
事例 1）最初の提供の際に一旦記録を作成した上で、継続的に又は反復して個人関連情報を提供する対象期間内に、随時、追加の記録事項を作成する方法

ごとに記録を作成する方法
事例 3）継続的に又は反復して個人関連情報を提供する対象期間の終了
後、速やかに記録を作成する方法「確実であると見込まれるとき」の例としては、継続的に又は反復して個人関連情報を提供することを内容とする基本契約を締結することで、以後、継続的に又は反復して個人関連情報を提供することが確実であると見込まれる場合などが該当する。この場合は、当該基本契約に係る契約書をもって記録とすることができる。
「一括して記録を作成する方法」は、例外としての記録作成方法であることに鑑みて、その対象期間、対象範囲等を明確にすることが望ましい。

113

事例 2）継続的に又は反復して個人関連情報を提供する対象期間内に、月

3-7-5-2-3 契約書等の代替手段による方法（規則第 18 条の 3 第 3 項関

[新設]

係）

規則第 18 条の 3（第 3 項）
3

前項の規定にかかわらず、法第 26 条の 2 第 1 項の規定により、本人に対する物品又は役務の提供に関連して当該本人に係る個人関連情報を第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に次条第 1 項各号に定める事項が記載されているときは、当該書面をもって法第 26 条の 2 第 3 項において読み替えて準用す

個人関連情報取扱事業者が、本人に対する物品又は役務の提供に係る契約を締結し、かかる契約の履行に伴って、当該本人に係る個人関連情報を
当該個人関連情報取扱事業者から第三者に提供する場合は、当該契約書その他の書面をもって記録とすることができる。
仮に、規則第 18 条の 3 第 3 項の要件を満たさない書面も、記録事項が記載されていれば記録として認められるが、保存期間の違いに留意する必要がある（3-7-5-4（保存期間）参照）。

（1）「本人に対する物品又は役務の提供」

提供元の個人関連情報取扱事業者若しくは提供先の第三者又はその双114

る法第 26 条第 3 項の当該事項に関する記録に代えることができる。

方が「本人に対する物品又は役務の提供」の主体となる場合も含む。

（2）「当該提供に関して作成された（契約書その他の書面）」

複数の書面を合わせて一つの記録とすることは妨げられない。

（3）「契約書その他の書面」

本人と提供元の個人関連情報取扱事業者との間で作成した契約書のみ
ならず、提供元の個人関連情報取扱事業者と提供先の第三者との間で作「契約書」の他にも、「その他の書面」には、個人関連情報取扱事業者又は提供先の第三者の内部で作成された帳票、記録簿等も含まれる。
また、「契約書その他の書面」は電磁的記録を含むため（規則第 7 条第3 項参照）、システム上の記録等も「契約書その他の書面」に該当する。

【契約書等の代替手段による方法の例】
事例）提供元の個人関連情報取扱事業者が提供先の第三者との間で、個人関連情報の提供に関して「契約書その他の書面」を交わしている場合であって、当該書面に規則第 18 条の 4 第 1 項各号に掲げる事項が記載されている場合

115

成した契約書も、含まれる。

3-7-5-2-4 代行により記録を作成する方法[新設]

提供先の第三者は提供元の個人関連情報取扱事業者の記録義務の全部又は一部を代替して行うことができる。なお、この場合であっても、提供元の個人関連情報取扱事業者は自己の義務が免責されるわけではない
ことから、実質的に自らが記録作成義務を果たしているものと同等の体

3-7-5-3 提供元における記録事項（規則第 18 条の 4 関係）[新設]

3-7-5-3-1 提供元における記録事項（規則第 18 条の 4 第 1 項関係）

[新設]

法第 26 条の 2（第 3 項）2

前条第 2 項から第 4 項までの規定は、第 1 項の規定により個人関連
情報取扱事業者が確認する場合について準用する。この場合において、同条第 3 項中「の提供を受けた」とあるのは、「を提供した」と読み替えるものとする。

法第 26 条（第 3 項）
3

個人情報取扱事業者は、第 1 項の規定による確認を行ったときは、
個人情報保護委員会規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委員会

116制を構築しなければならない。

規則で定める事項に関する記録を作成しなければならない。

規則第 18 条の 4（第 1 項）
1

法第 26 条の 2 第 3 項において準用する法第 26 条第 3 項の個人情報保
護委員会規則で定める事項は、次に掲げるものとする。
(1)

法第 26 条の 2 第 1 項第 1 号の本人の同意が得られていることを確認した旨及び外国にある第三者への提供にあっては、同項第 2号の規定による情報の提供が行われていることを確認した旨(2)

個人関連情報を提供した年月日（前条第 2 項ただし書の規定により、法第 26 条の 2 第 3 項において読み替えて準用する法第 26 条間の初日及び末日）(3)

当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名(4)

当該個人関連情報の項目

提供元の個人関連情報取扱事業者は、法第 26 条の 2 第 1 項の規定による確認を行ったときは、次の項目を記録しなければならない。

（1）「法第 26 条の 2 第 1 項第 1 号の本人の同意が得られていることを確認した旨及び外国にある第三者への提供にあっては、同項第 2 号の規定による情報の提供が行われていることを確認した旨」

117

第 3 項の記録を一括して作成する場合にあっては、当該提供の期

法第 26 条の 2 第 1 項第 1 号の本人の同意が得られていること及び外国にある第三者への提供にあっては、同項第 2 号の規定による情報の提供が行われていることについて確認した旨をその方法を含めて記載する。
提供元の個人関連情報取扱事業者が同意取得を代行している場合においては、それぞれの事項を提供元の個人関連情報取扱事業者が自ら確認した旨を記載する。

（2）「個人関連情報を提供した年月日（前条第 2 項ただし書の規定により、法第 26 条の 2 第 3 項において読み替えて準用する法第 26 条第 3
項の記録を一括して作成する場合にあっては、当該提供の期間の初

個人関連情報を継続的に若しくは反復して提供した場合又は個人関連情報を継続的に若しくは反復して提供することが確実であると見込まれる場
合、記録を一括して作成することができるが、この場合、個人関連情報の提供の初日と末日を記載する。

（3）「当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名」（4）「当該個人関連情報の項目」
事例 1）ウェブサイトの閲覧履歴
事例 2）商品購入履歴

118

日及び末日）」

事例 3）年齢、性別

当該記載から、どのような個人関連情報が提供されているか分かる程度に具体的な記載をする必要がある。「当社が有するいずれかの情報」等の記載では、「当該個人関連情報の項目」には該当しないものと解される。
また、記録・保存が求められているのは「個人関連情報の項目」であっ

119て、個人関連情報そのものを保存する必要はない。

＜提供元の記録事項＞

提
供
年
月

個人関連情報の第
三者提供

第

本

三

人

者
の
氏

の
氏

名

名

日

等

等

○

○

関
連
情
報
）
の
項
目

個
人
デ
ー
タ
（
個
人

○

本
人
の
同
意
等
（
※
）
○

（参考）本人の同

○

○

○

○

○

○

○

意による第三者提供（参考）オプトア○

ウトによる第三者
提供（※）個人関連情報の第三者提供について、外国にある第三者への提供にあっては、法第 26 条の 2 第 1 項第 2 号の規定による情報

120の提供についても記録する。

3-7-5-3-2 記録事項の省略（規則第 18 条の 4 第 2 項関係）

規則第 18 条の 4（第 2 項）
2

前項各号に定める事項のうち、既に前条に規定する方法により作成した法第 26 条の 2 第 3 項において読み替えて準用する法第 26 条第 3 項の記録（当該記録を保存している場合におけるものに限る。）に記録された事項と内容が同一であるものについては、法第 26 条の 2 第 3 項
において読み替えて準用する法第 26 条第 3 項の当該事項の記録を省略することができる。

[新設]

令和 2 年改正法規則附則第 5 条
第 18 条の 4 第 1 項に規定する事項のうち、施行日前に第 18 条の 3 に規定する方法に相当する方法で記録（当該記録を保存している場合におけるものに限る。）を作成しているものについては、第 18 条の 4 第2 項の規定を適用することができる。この場合において、同項中「前条に規定する方法」とあるのは「前条に規定する方法に相当する方法」と読み替えるものとする。

複数回にわたって同一「本人」の個人関連情報の提供をする場合において、同一の内容である事項を重複して記録する必要はないことから、その旨を明確にするものである。すなわち、既に 3-7-5（提供元における記録義121務）に規定する方法により作成した記録（現に保存している場合に限る。）に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。
令和 2 年改正法の施行日の前に上記に規定する方法に相当する方法で作成した記録についても同様とする。
なお、記録事項のうち、一部の事項の記録の作成を規則第 18 条の 4 第 2項に基づき省略し、残りの事項の記録のみを作成した場合、記録全体としての保存期間の起算点は、残りの事項を作成した時点とする。保存期間については、3-7-5-4（保存期間）を参照のこと。

3-7-5-4 保存期間（法第 26 条の 2 第 3 項、第 26 条第 4 項関係）[新設]

法第 26 条の 2（第 3 項）2

前条第 2 項から第 4 項までの規定は、第 1 項の規定により個人関連
情報取扱事業者が確認する場合について準用する。この場合において、同条第 3 項中「の提供を受けた」とあるのは、「を提供した」と読み替えるものとする。

法第 26 条（第 4 項）
4

個人情報取扱事業者は、前項の記録を、当該記録を作成した日から

規則第 18 条の 5
法第 26 条の 2 第 3 項において準用する法第 26 条第 4 項の個人情報保
護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める期間とする。
(1)

第 18 条の 3 第 3 項に規定する方法により記録を作成した場合
最後に当該記録に係る個人関連情報の提供を行った日から起算して 1 年を経過する日までの間(2)

第 18 条の 3 第 2 項ただし書に規定する方法により記録を作成した場合最後に当該記録に係る個人関連情報の提供を行った日か

ら起算して 3 年を経過する日までの間(3)

前二号以外の場合 3 年

122

個人情報保護委員会規則で定める期間保存しなければならない。

個人関連情報取扱事業者は、作成した記録を規則で定める期間保存しなければならない。保存期間は記録の作成方法によって異なる。具体的には、次の表のとおりである。

＜保存期間＞「3-7-5-2-3

保存期間

契約書等の代替手

最後に当該記録に係る個人関連情報

段による方法」により記録をの提供を行った日から起算して 1 年を作成した場合経過する日までの間「3-7-5-2-2

一括して記録を作最後に当該記録に係る個人関連情報

成する方法」により記録を作の提供を行った日から起算して 3 年を成した場合経過する日までの間

上述以外の場合3年

3-7-6 提供先の第三者における確認義務（法第 26 条第 1 項）

法第 26 条（第 1 項）
1

123

記録の作成方法の別

個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、個人情報保護委員会規則で定めるところにより、次に掲げる事項の確認を行わなければならない。（略）個人情報取扱事業者である提供先の第三者は、法第 26 条の 2 第 1 項の規定による個人関連情報の提供（法第 23 条第 1 項各号に掲げる場合を除[新設]く。）を受けて個人データとして取得する場合は、法第 26 条第 1 項の確認義務の適用を受ける。

3-7-6-1 確認方法（法第 26 条第 1 項、規則第 15 条関係）

[新設]

法第 26 条（第 1 項）
1

個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、個人情報保護委員会規則で定めるところにより、次に掲げる事項の確認を行わなければならない。（略）当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名(2)

当該第三者による当該個人データの取得の経緯

規則第 15 条（第 1 項）
1

法第 26 条第 1 項の規定による同項第 1 号に掲げる事項の確認を行う
方法は、個人データを提供する第三者から申告を受ける方法その他の適切な方法とする。

個人情報取扱事業者である提供先の第三者は、第三者から法第 26 条の 2
第 1 項の規定による個人関連情報の提供を受けて個人データとして取得する際は、当該第三者（提供元の個人関連情報取扱事業者）の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名を確認しなければなら

124

(1)

ない。確認・記録義務ガイドライン「3-1-1（第三者の氏名及び住所並びに法人にあっては、その代表者の氏名）」も参照のこと。
なお、「当該第三者による当該個人データの取得の経緯」（法第 26 条第1 項第 2 号）については、提供元の個人関連情報取扱事業者において、提供する個人関連情報を個人データとして取得していないことから、提供先の個人情報取扱事業者における確認の対象とならない。

3-7-6-2 既に確認を行った第三者に対する確認方法（規則第 15 条関[新設]

規則第 15 条（第 3 項）
3

前二項の規定にかかわらず、第三者から他の個人データの提供を受けるに際して既に前二項に規定する方法による確認（当該確認について次条に規定する方法による記録の作成及び保存をしている場合におけるものに限る。）を行っている事項の確認を行う方法は、当該事項の内容と当該提供に係る法第 26 条第 1 項各号に掲げる事項の内容が同一であることの確認を行う方法とする。

平成 27 年改正法規則附則第 4 条
法第 26 条第 1 項各号に規定する事項のうち、施行日前に第 15 条に規定する方法に相当する方法で確認（当該確認について第 16 条に規定する方法に相当する方法により記録を作成し、かつ、保存している場合

125

係）

におけるものに限る。）を行っているものについては、第 15 条第 3 項を適用することができる。この場合において、同項中「前二項に規定する方法」とあるのは「前二項に規定する方法に相当する方法」と読み替えるものとする。

複数回にわたって同一「本人」の個人関連情報の提供を受けて個人デー
タとして取得する場合において、同一の内容である事項を重複して確認す
る合理性はないため、既に規則第 15 条に規定する方法（3-7-6-1（確認方法））により確認を行い、3-7-5（提供元における記録義務）に規定する方法により作成し、かつ、その時点において保存している記録に記録された事項と内容が同一であるものについては、当該事項の確認を省略すること
126

ができる。
例えば、個人情報取扱事業者である提供先の第三者が、同じ提供元の個
人関連情報取扱事業者から、既に確認・記録義務を履行した本人に係る個
人関連情報であることを認識しながら、個人関連情報の提供を受けて個人データとして取得する場合は、「同一であることの確認」が行われているものである。

3-7-6-3 提供先の第三者による適正取得

個人情報取扱事業者である提供先の第三者は、偽りその他不正の手段により、個人関連情報を個人データとして取得してはならない（法第 17 条第[新設]

1 項）。

【提供先の個人情報取扱事業者が偽りその他不正の手段により個人関連情報を個人データとして取得している事例】

事例 1）提供先の個人情報取扱事業者が、提供元の個人関連情報取扱事業者に個人データとして利用する意図を秘して、本人同意を得ずに個
人関連情報を個人データとして取得した場合
事例 2）提供先の個人情報取扱事業者が、本人同意を取得していないにもかかわらず、同意取得していると提供元の個人関連情報取扱事業者に虚偽の申告をして、個人関連情報を個人データとして取得した場
127

合事例 3）提供元の個人関連情報取扱事業者が同意取得を代行することを念頭に、実際には提供元の個人関連情報取扱事業者が適切に同意取得していない場合において、提供先の個人情報取扱事業者がこれを知り、又は容易に知ることができるにもかかわらず、当該個人関連情報を個人データとして取得した場合

3-7-7 提供先の第三者における記録義務（法第 26 条第 3 項関係）

法第 26 条（第 3 項）
3

個人情報取扱事業者は、第 1 項の規定による確認を行ったときは、[新設]

個人情報保護委員会規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委員会
規則で定める事項に関する記録を作成しなければならない。

個人情報取扱事業者である提供先の第三者は、法第 26 条の 2 第 1 項の規定による個人関連情報の提供（法第 23 条第 1 項各号に掲げる場合を除く。）を受けて個人データとして取得する場合は、法第 26 条第 3 項の記録義務の適用を受ける。

[新設]
128

3-7-7-1 記録を作成する媒体（規則第 16 条第 1 項関係）

規則第 16 条（第 1 項）
1

法第 26 条第 3 項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。

個人情報取扱事業者である提供先の第三者は、記録を、文書、電磁的記録又はマイクロフィルムを用いて作成しなければならない。

3-7-7-2 記録を作成する方法[新設]

3-7-7-2-1 原則（規則第 16 条第 2 項関係）[新設]

規則第 16 条（第 2 項）
2

法第 26 条第 3 項の記録は、第三者から個人データの提供を受けた都度、速やかに作成しなければならない。（略）個人情報取扱事業者である提供先の第三者は、記録を作成する場合、原則として、個人関連情報の提供を受けて個人データとして取得する都度、速やかに、記録を作成しなければならない。
なお、個人関連情報の提供を受けて個人データとして取得する前に記録

3-7-7-2-2 一括して記録を作成する方法（規則第 16 条第 2 項関係）

規則第 16 条（第 2 項）
2（略）当該第三者から継続的に若しくは反復して個人データの提供（法第 23 条第 2 項の規定による提供を除く。以下この条において同じ。）を受けたとき、又は当該第三者から継続的に若しくは反復して個人データの提供を受けることが確実であると見込まれるときの記録
は、一括して作成することができる。

個人情報取扱事業者である提供先の第三者は、一定の期間内に特定の事
業者から継続的に又は反復して個人関連情報の提供を受けて個人データとして取得する場合は、個々の提供に係る記録を作成する代わりに、一括し

[新設]

129

を作成することもできる。

て記録を作成することができる。3-7-5-2-2（一括して記録を作成する方法）も参照のこと。

3-7-7-2-3 契約書等の代替手段による方法（規則第 16 条第 3 項関係）

[新設]

規則第 16 条（第 3 項）
3

前項の規定にかかわらず、本人に対する物品又は役務の提供に関連して第三者から当該本人に係る個人データの提供を受けた場合において、当該提供に関して作成された契約書その他の書面に次条第 1 項各

第 3 項の当該事項に関する記録に代えることができる。

個人情報取扱事業者である提供先の第三者が、本人に対する物品又は役務の提供に係る契約を締結し、かかる契約の履行に伴って、当該本人に係る個人関連情報の提供を受けて個人データとして取得する場合は、当該契約書その他の書面をもって記録とすることができる。
仮に、規則第 16 条第 3 項の要件を満たさない書面も、記録事項が記載されていれば記録として認められるが、保存期間の違いに留意する必要がある（3-7-7-4（保存期間）参照）。
3-7-5-2-3（契約書等の代替手段による方法）も参照のこと。

130号に定める事項が記載されているときは、当該書面をもって法第 26 条

3-7-7-3 提供先の第三者における記録事項（規則第 17 条関係）

[新設]

3-7-7-3-1 提供先の第三者における記録事項（規則第 17 条第 1 項関

[新設]

係）

規則第 17 条（第 1 項）
1

法第 26 条第 3 項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。
(1)(2)

個人関連情報取扱事業者から法第 26 条の 2 第 1 項の規定による
個人関連情報の提供を受けて個人データとして取得した場合 第 1号ロからニまでに掲げる事項

イ 法第 26 条の 2 第 1 項第 1 号の本人の同意が得られている旨及び外国にある個人情報取扱事業者にあっては、同項第 2 号の規定による情報の提供が行われている旨
ロ 法第 26 条第 1 項第 1 号に掲げる事項
ハ 第 1 号ハに掲げる事項
ニ 当該個人関連情報の項目

個人情報取扱事業者である提供先の第三者は、個人関連情報の提供を受けて個人データとして取得した場合は、次の項目を記録しなければならな
い。

131

(3)

（略）

（1）「法第 26 条の 2 第 1 項第 1 号の本人の同意が得られている旨及び外国にある個人情報取扱事業者にあっては、同項第 2 号の規定による情報の提供が行われている旨」

法第 26 条の 2 第 1 項第 1 号の本人の同意が得られている旨及び外国にある第三者への提供にあっては、同項第 2 号の規定による情報の提供が行われている旨を記載する。
同意の取得や情報提供について、これを行ったことを示す証跡等がある（2）「法第 26 条第 1 項第 1 号に掲げる事項」

提供元の個人関連情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名を記録しなければならない。

（3）「第 1 号ハに掲げる事項」「当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項」を記録しなければならない。
なお、例えば「当社が有する全ての個人情報に係る本人」等の記載では、「当該本人を特定するに足りる」ものではないと解される。

132

場合には、当該証跡等をもって記録とすることもできる。

【その他の当該本人を特定するに足りる事項に該当する事例】
事例）本人ごとに番号・ID などを付して個人データの管理をしている場合において、当該番号・ID などにより本人を特定できるときの当該番号・ID（4）「当該個人関連情報の項目」

3-7-5-3-1（提供元における個人関連情報取扱事業者の記録事項）を参照

133

のこと。

＜提供先の記録事項＞

提
供
を
受
け
た
年
月
日

第
三
者
の
氏
名
等

経

名

緯

等

連個
情人
デ
報ー
）タ
の（
個
項人
目関

○

○

取

本

得

人

の

の
氏

に個
人
よ情
報
る保
護
公委
員
表会

本
人
の
同
意
等
（
※
）

個人関連情
報の提供を
受けて個人
データとし

○

○

て取得した
場合
（参考）本
人の同意に
よる第三者

○

○

○

○

○

○

○

○

○

○

○

○

○

提供
（参考）オ
プトアウト
による第三

○

○

者提供

人などから

134

（参考）私

の第三者提
供

（※）個人関連情報の第三者提供について、外国にある第三者への提供にあっては、法第 26 条の 2 第 1 項第 2 号の規定による情報の提供についても記録する。

3-7-7-3-2 記録事項の省略（規則第 17 条第 2 項関係）

規則第 17 条（第 2 項）

[新設]

2

前項各号に定める事項のうち、既に前条に規定する方法により作成した法第 26 条第 3 項の記録（当該記録を保存している場合におけるものに限る。）に記録された事項と内容が同一であるものについては、
法第 26 条第 3 項の当該事項の記録を省略することができる。

令和 2 年改正法規則附則第 3 条
第 17 条第 1 項第 3 号に規定する事項のうち、施行日前に第 16 条に規定する方法に相当する方法で記録（当該記録を保存している場合におけるものに限る。）を作成しているものについては、第 17 条第 2 項を適用することができる。この場合において、同項中「前条に規定するるものとする。

複数回にわたって同一「本人」の個人関連情報の提供を受けて個人デー
タとして取得する場合において、同一の内容である事項を重複して記録する必要はないことから、その旨を明確にするものである。すなわち、既に
3-7-7（提供先の第三者における記録義務）に規定する方法により作成した記録（現に保存している場合に限る。）に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。
令和 2 年改正法の施行日の前に上記に規定する方法に相当する方法で作成した記録についても同様とする。
なお、記録事項のうち、一部の事項の記録の作成を規則第 17 条第 2 項に基づき省略し、残りの事項の記録のみを作成した場合、記録全体としての135

方法」とあるのは「前条に規定する方法に相当する方法」と読み替え

保存期間の起算点は、残りの事項を作成した時点とする。保存期間については、3-7-7-4（保存期間）を参照のこと。

3-7-7-4 保存期間（法第 26 条第 4 項、規則第 18 条関係）

[新設]

法第 26 条（第 4 項）
4

個人情報取扱事業者は、前項の記録を、当該記録を作成した日から
個人情報保護委員会規則で定める期間保存しなければならない。

法第 26 条第 4 項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とする。
(1)

第 16 条第 3 項に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を受けた日から起算して 1 年を経過する日までの間(2)

第 16 条第 2 項ただし書に規定する方法により記録を作成した場
合最後に当該記録に係る個人データの提供を受けた日から起算

して 3 年を経過する日までの間(3)

前二号以外の場合 3 年

個人情報取扱事業者である提供先の第三者は、作成した記録を規則で定

136

規則第 18 条

める期間保存しなければならない。保存期間は記録の作成方法によって異なる。具体的には、次の表のとおりである。

＜保存期間＞
記録の作成方法の別
契約書等の代替手

最後に当該記録に係る提供を受けて段による方法」により記録を作

個人データとして取得した日から起成した場合算して 1 年を経過する日までの間「3-7-7-2-2

一括して記録を作最後に当該記録に係る提供を受けて成する方法」により記録を作成

個人データとして取得した日から起した場合算して 3 年を経過する日までの間

上述以外の場合

3年

3-8 保有個人データに関する事項の公表等、保有個人データの開示・訂正

137「3-7-7-2-3

保存期間

3-5 保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止等（法第 27 条～第 34 条関係）等・利用停止等（法第 27 条～第 34 条関係）

3-5-1 保有個人データに関する事項の公表等（法第 27 条関係）

3-8-1 保有個人データに関する事項の公表等（法第 27 条関係）

（1）保有個人データに関する事項の本人への周知（法第 27 条第 1 項関係）

（1）保有個人データに関する事項の本人への周知（法第 27 条第 1 項関係）

法第 27 条（第 1 項）

法第 27 条（第 1 項）

1

1

個人情報取扱事業者は、保有個人データに関し、次に掲げる事項に

個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する

ついて、本人の知り得る状態（本人の求めに応じて遅滞なく回答する

場合を含む。）に置かなければならない。

場合を含む。）に置かなければならない。

(1)

(1)

当該個人情報取扱事業者の氏名又は名称

当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名

(2)

[略]

(2)

[同左]

(3)

次項の規定による求め又は次条第 1 項（同条第 5 項において準(3)

次項の規定による求め又は次条第 1 項、第 29 条第 1 項若しくは用する場合を含む。）、第 29 条第 1 項若しくは第 30 条第 1 項、第第 30 条第 1 項若しくは第 3 項の規定による請求に応じる手続（第3 項若しくは第 5 項の規定による請求に応じる手続（第 33 条第 2

33 条第 2 項の規定により手数料の額を定めたときは、その手数料項の規定により手数料の額を定めたときは、その手数料の額を含の額を含む。）

む。）[略]

政令第 8 条
法第 27 条第 1 項第 4 号の政令で定めるものは、次に掲げるものとす
る。
(1)

(4)

[同左]

政令第 8 条
法第 27 条第 1 項第 4 号の政令で定めるものは、次に掲げるものとする。

法第 20 条の規定により保有個人データの安全管理のために講じた措置（本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。）(2)

当該個人情報取扱事業者が行う保有個人データの取扱いに関す(1)

る苦情の申出先(3)

当該個人情報取扱事業者が認定個人情報保護団体の対象事業者である場合にあっては、当該認定個人情報保護団体の名称及び苦当該個人情報取扱事業者が行う保有個人データの取扱いに関す
る苦情の申出先(2)

当該個人情報取扱事業者が認定個人情報保護団体の対象事業者である場合にあっては、当該認定個人情報保護団体の名称及び苦

138

(4)

情の解決の申出先情の解決の申出先

個人情報取扱事業者は、保有個人データについて、次の①から⑤までの

個人情報取扱事業者は、保有個人データについて、次の①から④までの情報を本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を情報を本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。以下同じ。）（※1）に置かなければならない。

含む。）（※1）に置かなければならない。

①個人情報取扱事業者の氏名又は名称及び住所（※2）並びに法人にあっ①個人情報取扱事業者の氏名又は名称ては、その代表者の氏名

4）を除く。）②全ての保有個人データの利用目的（※2）（ただし、一定の場合（※
3）を除く。）③保有個人データの利用目的の通知の求め又は開示等の請求（※5）に応③保有個人データの利用目的の通知の求め又は開示等の請求（※4）に応じる手続及び保有個人データの利用目的の通知の求め又は開示の請求

じる手続及び保有個人データの利用目的の通知の求め又は開示の請求に係る手数料の額（定めた場合に限る。）（※6）に係る手数料の額（定めた場合に限る。）（※5）④保有個人データの安全管理のために講じた措置（ただし、本人の知り得る状態に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。）
個人情報取扱事業者は、法第 20 条の規定により保有個人データの安全管理のために講じた措置の内容を本人の知り得る状態に置かなければならない。
ただし、当該保有個人データの安全管理に支障を及ぼすおそれがあ

[新設]

139

②全ての保有個人データの利用目的（※3）（ただし、一定の場合（※

るものについては、その必要はない。
当該安全管理のために講じた措置は、事業の規模及び性質、保有個人データの取扱状況（取り扱う保有個人データの性質及び量を含む。）、保有個人データを記録した媒体等に起因するリスクに応じて、必要かつ適切な内容としなければならない。このため、当該措置の内容は個人情報取扱事業者によって異なり、本人の知り得る状態に置く安全管理のために講じた措置の内容についても個人情報取扱事業者によって異なる。
なお、本人の知り得る状態については、本人の求めに応じて遅滞なく回答する場合を含むため、講じた措置の概要や一部をホームページ

応も可能であるが、例えば、「個人情報の保護に関する法律についてのガイドライン（通則編）」に沿って安全管理措置を実施しているといった内容の掲載や回答のみでは適切ではない。

【安全管理のために講じた措置として本人の知り得る状態に置く内容の事例】（※7）（基本方針の策定）
事例）個人データの適正な取扱いの確保のため、「関係法令・ガイ
ドライン等の遵守」、「質問及び苦情処理の窓口」等についての基本方針を策定（個人データの取扱いに係る規律の整備）事例）取得、利用、保存、提供、削除・廃棄等の段階ごとに、取扱140に掲載し、残りを本人の求めに応じて遅滞なく回答を行うといった対

方法、責任者・担当者及びその任務等について個人データの取扱規程を策定（組織的安全管理措置）
事例 1）個人データの取扱いに関する責任者を設置するとともに、個
人データを取り扱う従業者及び当該従業者が取り扱う個人データの範囲を明確化し、法や取扱規程に違反している事実又は兆候を把握した場合の責任者への報告連絡体制を整備
事例 2）個人データの取扱状況について、定期的に自己点検を実施す
るとともに、他部署や外部の者による監査を実施（人的安全管理措置）

期的な研修を実施
事例 2）個人データについての秘密保持に関する事項を就業規則に記載（物理的安全管理措置）
事例 1）個人データを取り扱う区域において、従業者の入退室管理及び持ち込む機器等の制限を行うとともに、権限を有しない者
による個人データの閲覧を防止する措置を実施
事例 2）個人データを取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するための措置を講じるとともに、事業所内の移動を含め、当該機器、電子媒体等を持ち運ぶ場合、容易に
個人データが判明しないよう措置を実施（技術的安全管理措置）

141

事例 1）個人データの取扱いに関する留意事項について、従業者に定事例 1）アクセス制御を実施して、担当者及び取り扱う個人情報デー
タベース等の範囲を限定
事例 2）個人データを取り扱う情報システムを外部からの不正アクセ
ス又は不正ソフトウェアから保護する仕組みを導入（外的環境の把握）
事例）個人データを保管している A 国における個人情報の保護に関する制度を把握した上で安全管理措置を実施（※8）

【本人の知り得る状態に置くことにより支障を及ぼすおそれがあるものの事例】（※9）の管理方法
事例 2）個人データ管理区域の入退室管理方法
事例 3）アクセス制御の範囲、アクセス者の認証手法等
事例 4）不正アクセス防止措置の内容等【中小規模事業者（※10）における安全管理のために講じた措置として本人の知り得る状態に置く内容の事例】（※11）（基本方針の策定）
事例）個人データの適正な取扱いの確保のため、「関係法令・ガイ
ドライン等の遵守」、「質問及び苦情処理の窓口」等についての基本方針を策定（【安全管理のために講じた措置として本人の知り得る状態に置く内容の事例】と同様）

142

事例 1）個人データが記録された機器等の廃棄方法、盗難防止のため

（個人データの取扱いに係る規律の整備）
事例）個人データの取得、利用、保存等を行う場合の基本的な取扱
方法を整備（組織的安全管理措置）
事例 1）整備した取扱方法に従って個人データが取り扱われていることを責任者が確認
事例 2）従業者から責任者に対する報告連絡体制を整備（人的安全管理措置）
事例 1）個人データの取扱いに関する留意事項について、従業者に定期的な研修を実施（【安全管理のために講じた措置として本

事例 2）個人データについての秘密保持に関する事項を就業規則に記載（【安全管理のために講じた措置として本人の知り得る状
態に置く内容の事例】と同様）（物理的安全管理措置）
事例 1）個人データを取り扱うことのできる従業者及び本人以外が容易に個人データを閲覧できないような措置を実施
事例 2）個人データを取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するための措置を講じるとともに、事業所内の移動を含め、当該機器、電子媒体等を持ち運ぶ場合、容易に
個人データが判明しないよう措置を実施（【安全管理のために講じた措置として本人の知り得る状態に置く内容の事例】
と同様）

143

人の知り得る状態に置く内容の事例】と同様）

（技術的安全管理措置）
事例 1）個人データを取り扱うことのできる機器及び当該機器を取り扱う従業者を明確化し、個人データへの不要なアクセスを防止事例 2）個人データを取り扱う機器を外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入（外的環境の把握）
事例）個人データを保管している A 国における個人情報の保護に関する制度を把握した上で安全管理措置を実施（【安全管理のために講じた措置として本人の知り得る状態に置く内容の事⑤保有個人データの取扱いに関する苦情の申出先④保有個人データの取扱いに関する苦情の申出先（例）苦情を受け付ける担当窓口名・係名、郵送用住所、受付電話（例）苦情を受け付ける担当窓口名・係名、郵送用住所、受付電話

番号その他の苦情申出先（個人情報取扱事業者が認定個人情報

番号その他の苦情申出先（個人情報取扱事業者が認定個人情報保護団体の対象事業者である場合は、その団体の名称及び苦情保護団体の対象事業者である場合は、その団体の名称及び苦情解決の申出先を含む。）

解決の申出先を含む。）（※1）「本人の知り得る状態（本人の求めに応じて遅滞なく回答す（※1）「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」とは、ホームページへの掲載、パンフレッ

る場合を含む。）」とは、ホームページへの掲載、パンフレッ

トの配布、本人の求めに応じて遅滞なく回答を行うこと等、本トの配布、本人の求めに応じて遅滞なく回答を行うこと等、本

人が知ろうとすれば、知ることができる状態に置くことをい人が知ろうとすれば、知ることができる状態に置くことをいい、常にその時点での正確な内容を本人の知り得る状態に置か

い、常にその時点での正確な内容を本人の知り得る状態に置か

144例】と同様）

なければならない。必ずしもホームページへの掲載、又は事務なければならない。必ずしもホームページへの掲載、又は事務所等の窓口等へ掲示すること等が継続的に行われることまでを所等の窓口等へ掲示すること等が継続的に行われることまでを必要とするものではないが、事業の性質及び個人情報の取扱状必要とするものではないが、事業の性質及び個人情報の取扱状

況に応じ、内容が本人に認識される合理的かつ適切な方法によ況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。

らなければならない。

なお、普段から問合せ対応が多い事業者等において、ホーム

なお、普段から問合せ対応が多い事業者等において、ホーム

ページへ継続的に掲載する方法は、「本人が容易に知り得る状

ページへ継続的に掲載する方法は、「本人が容易に知り得る状態」（3-6-2（オプトアウトによる第三者提供）参照）及び態」（3-4-2（オプトアウトによる第三者提供）参照）及び「本人の知り得る状態（本人の求めに応じて遅滞なく回答する「本人の知り得る状態（本人の求めに応じて遅滞なく回答する

場合を含む。）」の両者の趣旨に合致する方法である。

場合を含む。）」の両者の趣旨に合致する方法である。

[【本人の知り得る状態に該当する事例】 略][【本人の知り得る状態に該当する事例】 同左]
[新設]

145

（※2）個人情報取扱事業者が外国に所在する場合は、当該外国（本邦の域外にある国又は地域）の名称を含む。
（※3）利用目的に第三者提供が含まれる場合は、その旨も明らかにしなければならない。

（※2）利用目的に第三者提供が含まれる場合は、その旨も明らかにしなければならない。

（※4）「一定の場合」とは、法第 18 条第 4 項第 1 号から第 3 号ま（※3）「一定の場合」とは、法第 18 条第 4 項第 1 号から第 3 号までに掲げる次の場合をいう（3-3-5（利用目的の通知等をしなくでに掲げる次の場合をいう（3-2-5（利用目的の通知等をしなくてよい場合）参照）。

てよい場合）参照）。

ア）利用目的を本人に通知し、又は公表することにより本人

ア）利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害する又は第三者の生命、身体、財産その他の権利利益を害する

おそれがある場合

おそれがある場合

イ）利用目的を本人に通知し、又は公表することにより当該

イ）利用目的を本人に通知し、又は公表することにより当該

個人情報取扱事業者の権利又は利益が侵害されるおそれが個人情報取扱事業者の権利又は利益が侵害されるおそれがある場合ウ）国の機関等が法令の定める事務を実施する上で、民間企ウ）国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であり、協力する民間企業等の協力を得る必要がある場合であり、協力する民間企業等が国の機関等から受け取った個人情報の利用目的を本業等が国の機関等から受け取った個人情報の利用目的を本人に通知し、又は公表することにより、当該事務の遂行に人に通知し、又は公表することにより、当該事務の遂行に支障を及ぼすおそれがある場合支障を及ぼすおそれがある場合（※5）「開示等の請求」とは、保有個人データの開示（3-8-2（保（※4）「開示等の請求」とは、保有個人データの開示（3-5-2（保有個人データの開示）参照）、保有個人データの内容の訂正、有個人データの開示）参照）、保有個人データの内容の訂正、追加若しくは削除（3-8-4（保有個人データの訂正等）参照）、

追加若しくは削除（3-5-3（保有個人データの訂正等）参照）、

保有個人データの利用の停止若しくは消去又は保有個人データ

保有個人データの利用の停止若しくは消去又は保有個人データの第三者への提供の停止（3-8-5（保有個人データの利用停止の第三者への提供の停止（3-5-4（保有個人データの利用停止等）参照）、第三者提供記録の開示（3-8-3（第三者提供記録の等）参照）の請求をいう。

開示））の請求をいう。
（※6）手数料の額を定める場合は、実費を勘案して合理的であると（※5）手数料の額を定める場合は、実費を勘案して合理的であると認められる範囲内において、定めなければならない（3-8-8（手認められる範囲内において、定めなければならない（3-5-7（手数料）参照）。

数料）参照）。

（※7）法第 27 条第 1 項第 4 号及び政令第 8 条第 1 号の規定により本人の知り得る状態に置く必要があるのは保有個人データの安全管理のために講じた措置であるが、これに代えて、個人デー
タの安全管理のために講じた措置について本人の知り得る状態に置くことは妨げられない。なお、本ガイドラインでは、個人
データの安全管理のために講じた措置についての事例を記載し
ている。

[新設]

146

ある場合

安全管理措置の事例について、詳細は「7（別添）講ずべき安全管理措置の内容」を参照のこと。ただし、上記事例も含め、掲げられている事例の内容の全てを本人の知り得る状態に置かなければならないわけではなく、また、本人の知り得る状態に置かなければならないものは事例の内容に限られない。本人の適切な理解と関与を促す観点から、事業の規模及び性質、保有個人データの取扱状況等に応じて、上記事例以上に詳細な内容の掲載や回答とすることは、より望ましい対応である。
（※8）外国（本邦の域外にある国又は地域）の名称については、必[新設]

ずしも正式名称を求めるものではないが、本人が合理的に認識できると考えられる形で情報提供を行う必要がある。また、本147

人の適切な理解と関与を促す観点から、保有個人データを取り扱っている外国の制度についても、本人の知り得る状態に置くといった対応が望ましい。
（※9）例えば、【安全管理のために講じた措置として本人の知り得る状態に置く内容の事例】にあるような、「盗難又は紛失等を防止するための措置を講じる」、「外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入」といった内容のみでは、本人の知り得る状態に置くことにより保有個人デー
タの安全管理に支障を及ぼすおそれがあるとはいえないが、その具体的な方法や内容については、本人の知り得る状態に置くことにより保有個人データの安全管理に支障を及ぼすおそれがあると考えられる。しかしながら、何をもって安全管理に支障[新設]

を及ぼすおそれがあるかについては、取り扱われる個人情報の内容、個人情報の取扱いの態様等によって様々であり、事業の規模及び性質、保有個人データの取扱状況等に応じて判断される。
（※10）「中小規模事業者」については、「7（別添）講ずべき安全[新設]

管理措置の内容」を参照のこと。
（※11）中小規模事業者における安全管理措置の事例についても、[新設]

詳細は「7（別添）講ずべき安全管理措置の内容」を参照のこと。その他の個人情報取扱事業者と同様に、上記事例も含め、掲げられている事例の内容の全てを本人の知り得る状態に置かなければならないわけではなく、また、本人の知り得る状態に148置かなければならないものは事例の内容に限られない。また、
中小規模事業者が、その他の個人情報取扱事業者と同様に「7（別添）講ずべき安全管理措置の内容」に掲げる「手法の例示」に記述した手法を採用し、当該手法の内容を本人の知り得る状態に置くことは、より望ましい対応である。

（2）保有個人データの利用目的の通知（法第 27 条第 2 項・第 3 項関係）

（2）保有個人データの利用目的の通知（法第 27 条第 2 項、第 3 項関係）[（関係条文） 略][（関係条文） 同左]

[略]

[同左]

①[同左]②利用目的を本人に通知し、又は公表することにより本人又は第三者の②利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（法第生命、身体、財産その他の権利利益を害するおそれがある場合（法第18 条第 4 項第 1 号）（3-3-5（利用目的の通知等をしなくてよい場合）

18 条第 4 項第 1 号）（3-2-5（利用目的の通知等をしなくてよい場合）

参照）

参照）

③利用目的を本人に通知し、又は公表することにより当該個人情報取扱③利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は利益が侵害されるおそれがある場合（法第 18 条第 4

事業者の権利又は利益が侵害されるおそれがある場合（法第 18 条第 4

項第 2 号）（3-3-5（利用目的の通知等をしなくてよい場合）参照）

項第 2 号）（3-2-5（利用目的の通知等をしなくてよい場合）参照）④国の機関等が法令の定める事務を実施する上で、民間企業等の協力を④国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であり、協力する民間企業等が国の機関等から受得る必要がある場合であり、協力する民間企業等が国の機関等から受け取った保有個人データの利用目的を本人に通知し、又は公表するこけ取った保有個人データの利用目的を本人に通知し、又は公表することにより、本人の同意を得ることが当該事務の遂行に支障を及ぼすおとにより、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合（法第 18 条第 4 項第 3 号）（3-3-5（利用目的の通知

それがある場合（法第 18 条第 4 項第 3 号）（3-2-5（利用目的の通知等をしなくてよい場合）参照）

等をしなくてよい場合）参照）（※）「本人に通知」については、2-14（本人に通知）を参照のこと。

（※）「本人に通知」については、2-10（本人に通知）を参照の
こと。

149

①[略]

3-8-2 保有個人データの開示（法第 28 条第 1 項～第 4 項関係）

3-5-2 保有個人データの開示（法第 28 条関係）

法第 28 条（第 1 項～第 4 項）

法第 28 条1

1

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの電磁的記録の提供による方法その他の個人情報保護委員会

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの開示を請求することができる。

規則で定める方法による開示を請求することができる。
2

個人情報取扱事業者は、前項の規定による請求を受けたときは、本

2

個人情報取扱事業者は、前項の規定による請求を受けたときは、本人に対し、同項の規定により当該本人が請求した方法（当該方法によ人に対し、政令で定める方法により、遅滞なく、当該保有個人データ

る開示に多額の費用を要する場合その他の当該方法による開示が困難

を開示しなければならない。ただし、開示することにより次の各号のである場合にあっては、書面の交付による方法）により、遅滞なく、いずれかに該当する場合は、その全部又は一部を開示しないことがで当該保有個人データを開示しなければならない。ただし、開示するこ

きる。
150

とにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
[(1)～(3) 略]
3

個人情報取扱事業者は、第 1 項の規定による請求に係る保有個人デ[(1)～(3) 同左]
3

個人情報取扱事業者は、第 1 項の規定による請求に係る保有個人データの全部若しくは一部について開示しない旨の決定をしたとき、当ータの全部又は一部について開示しない旨の決定をしたとき又は当該該保有個人データが存在しないとき、又は同項の規定により本人が請

保有個人データが存在しないときは、本人に対し、遅滞なく、その旨求した方法による開示が困難であるときは、本人に対し、遅滞なく、を通知しなければならない。

その旨を通知しなければならない。
4

[略]

4

[同左]

政令第 9 条
法第 28 条第 2 項の政令で定める方法は、書面の交付による方法（開示の請求を行った者が同意した方法があるときは、当該方法）とする。

規則第 18 条の 6
法第 28 条第 1 項（同条第 5 項において準用する場合を含む。）の個
人情報保護委員会規則で定める方法は、電磁的記録の提供による方法、書面の交付による方法その他当該個人情報取扱事業者の定める方

個人情報取扱事業者は、本人から、当該本人が識別される保有個人デー

個人情報取扱事業者は、本人から、当該本人が識別される保有個人デー

タの開示（存在しないときにはその旨を知らせることを含む。）の請求をタの開示（存在しないときにはその旨を知らせることを含む。）の請求を受けたときは、本人に対し、電磁的記録の提供による方法、書面の交付に受けたときは、本人に対し、書面の交付による方法（開示の請求を行ったよる方法その他当該個人情報取扱事業者の定める方法のうち本人が請求し者が同意した方法があるときはその方法（※1））により、遅滞なく、当該た方法（※1）（当該方法による開示に多額の費用を要する場合その他の当保有個人データを開示しなければならない（※2）。

該方法による開示が困難である場合にあっては、書面の交付による方法（※2））により、遅滞なく、当該保有個人データを開示しなければならない（※3）。

電磁的記録の提供による方法については、個人情報取扱事業者がファイル形式や記録媒体などの具体的な方法を定めることができるが、開示請求等で得た保有個人データの利用等における本人の利便性向上の観点から、
可読性・検索性のある形式による提供や、技術的に可能な場合には、他の事業者へ移行可能な形式による提供を含め、できる限り本人の要望に沿っ

151

法とする。

た形で対応することが望ましい。

【電磁的記録の提供による方法の事例】
事例 1)電磁的記録を CD-ROM 等の媒体に保存して、当該媒体を郵送する方
法
事例 2)電磁的記録を電子メールに添付して送信する方法
事例 3)会員専用サイト等のウェブサイト上で電磁的記録をダウンロード
してもらう方法【その他当該個人情報取扱事業者の定める方法の事例】
事例 1)個人情報取扱事業者が指定した場所における音声データの視聴
152

事例 2)個人情報取扱事業者が指定した場所における文書の閲覧【当該方法による開示が困難である場合の事例】
事例 1)本人が電磁的記録の提供による開示を請求した場合であって、個人情報取扱事業者が当該開示請求に応じるために、大規模なシス
テム改修を行わなければならないような場合
事例 2)本人が電磁的記録の提供による開示を請求した場合であって、書面で個人情報や帳簿等の管理を行っている小規模事業者が、電磁的記録の提供に対応することが困難な場合

ただし、開示することにより次の（1）から（3）までのいずれかに該当

ただし、開示することにより次の（1）から（3）までのいずれかに該当する場合は、その全部又は一部を開示しないことができるが、これによりする場合は、その全部又は一部を開示しないことができるが、これにより開示しない旨の決定をしたとき又は請求に係る保有個人データが存在しな開示しない旨の決定をしたとき又は請求に係る保有個人データが存在しな

いときは、遅滞なく、その旨を本人に通知（※4）しなければならない。まいときは、遅滞なく、その旨を本人に通知（※3）しなければならない。

た、本人が請求した方法による開示が困難であるときは、その旨を本人に通知した上で、書面の交付による方法により開示を行わなければならない。

（1）[略]（1）[同左]（2）個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれ（2）個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれ

がある場合

がある場合

[同左]

[事例 1）・事例 2) 略][事例 1）・事例 2) 同左]

事例 3)電磁的記録の提供にふさわしい音声・動画ファイル等のデータ

[新設]

153

[略]

を、あえて書面で請求することにより、業務上著しい支障を及ぼすおそれがある場合（3）他の法令に違反することとなる場合（3）他の法令に違反することとなる場合

[略]

[同左]

事例 ） [略]

事例 ）

[同左]

また、他の法令の規定により、法第 28 条第 2 項本文に規定する方法に相また、他の法令の規定により、法第 28 条第 2 項及び政令第 9 条に定める

当する方法により当該本人が識別される保有個人データを開示することと方法に相当する方法（書面の交付による方法（開示の請求を行った者が同されている場合には、法第 28 条第 1 項及び第 2 項の規定は適用されず、当 意した方法があるときは、当該方法））により当該本人が識別される保有該他の法令の規定が適用されることとなる（法第 28 条第 4 項）。

個人データを開示することとされている場合には、法第 28 条第 1 項及び第2 項の規定は適用されず、当該他の法令の規定が適用されることとなる。

事例） [略]事例） [同左]

なお、本人が、裁判上の訴えにより、当該本人が識別される保有個人デ

なお、本人が、裁判上の訴えにより、当該本人が識別される保有個人デえの事前請求）を参照のこと。

えの事前請求）を参照のこと。

（※1）開示の請求を行った者から開示の方法について特に指定がな（※1）「開示の請求を行った者が同意した方法があるときはその方

く、個人情報取扱事業者が提示した方法に対して異議を述べな法」について、開示の方法としては、請求を行った者が同意しかった場合は、当該個人情報取扱事業者が提示した方法で開示ている場合には電子メール、電話等様々な方法が可能であり、することができる。

書面の交付による方法は同意がなくても可能という意味である。
また、開示の請求を行った者から開示の方法について特に指定がなく、個人情報取扱事業者が提示した方法に対して異議を述べなかった場合（電話での開示の請求があり、必要な本人確認等の後、そのまま電話で問合せに回答する場合を含む。）
は、当該方法について同意があったものとして取り扱うことが154

ータの開示を請求する場合と本条との関係については、3-8-9（裁判上の訴 ータの開示を請求する場合と本条との関係については、3-5-8（裁判上の訴できる。開示の請求があった者からの同意の取り方として、個人情報取扱事業者が開示方法を提示して、その者が希望する複数の方法の中から当該事業者が選択することも考えられる。
（※2） 本人が請求する方法による開示が困難な場合に、直ちに書[新設]面の交付による開示を行うのではなく、個人情報取扱事業者が対応できる方法への変更を求めることが望ましい。また、開示の請求に際して提出すべき書面の様式において、個人情報取扱事業者が対応できる方法や媒体等をあらかじめ示しておくとい（※3）消費者等、本人の権利利益保護の観点からは、事業活動の特（※2）消費者等、本人の権利利益保護の観点からは、事業活動の特性、規模及び実態を考慮して、個人情報の取得方法（取得源の性、規模及び実態を考慮して、個人情報の取得元又は取得方法種類等）を、可能な限り具体的に明記し、本人からの求めに一（取得源の種類等）を、可能な限り具体的に明記し、本人から層対応していくことが望ましい。

の求めに一層対応していくことが望ましい。

（※4）「本人に通知」については、2-14（本人に通知）を参照のこ（※3）「本人に通知」については、2-10（本人に通知）を参照のこと。

と。

3-8-3 第三者提供記録の開示（法第 28 条第 5 項、第 1 項～第 3 項関係）

[新設]

3-8-3-1 第三者提供記録の定義[新設]

法第 28 条（第 5 項）
5

第 1 項から第 3 項までの規定は、当該本人が識別される個人データ

155

った対応も考えられる。

に係る第 25 条第 1 項及び第 26 条第 3 項の記録（その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるものを除く。第 32 条第 2 項において「第三者提供記録」という。）について準用する。

法第 28 条第 1 項～第 3 項（略）（3-8-2（保有個人データの開示）参照）

政令第 9 条
法第 28 条第 5 項の政令で定めるものは、次に掲げるものとする。
当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの(2)

当該記録の存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの(3)

当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあ
るもの

(4)

当該記録の存否が明らかになることにより、犯罪の予防、鎮圧
又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの

第三者提供記録とは、法第 25 条第 1 項及び第 26 条第 3 項の記録のうち、

156

(1)

次の（1）から（4）までに掲げるものを除いたものをいう。明文又は解釈により法第 25 条第 1 項又は第 26 条第 3 項の規定が適用されない場合において、これらの規定に基づくことなく作成された記録は第三者提供記録に含まれない。

（1）当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの
事例）犯罪被害者支援や児童虐待防止を目的とする団体が、加害者を本人とする個人データの提供を受けた場合に作成された記（2）当該記録の存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの
事例）暴力団等の反社会的勢力による不当要求の被害等を防止するために、暴力団等の反社会的勢力に該当する人物を本人とする個人データの提供を受けた場合に作成された記録（3）当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの
事例）要人の警備のために、要人を本人とする行動記録等に関する個人データの提供を受けた場合に作成された記録

157

録

（4）当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの
事例）警察の犯罪捜査の協力のために、事前に取得していた同意に基づき、犯罪者を本人とする個人データの提供を行った場合に作成された記録

3-8-3-2 第三者提供記録の開示の方法[新設]

法第 28 条（第 5 項）
第 1 項から第 3 項までの規定は、当該本人が識別される個人データに係る第 25 条第 1 項及び第 26 条第 3 項の記録（その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるものを除く。第 32 条第 2 項において「第三者提供記録」という。）について準用する。

法第 28 条（第 1 項）
1

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの電磁的記録の提供による方法その他の個人情報保護委員会
規則で定める方法による開示を請求することができる。

規則第 18 条の 6
法第 28 条第 1 項（同条第 5 項において準用する場合を含む。）の個

158

5

人情報保護委員会規則で定める方法は、電磁的記録の提供による方法、書面の交付による方法その他当該個人情報取扱事業者の定める方法とする。

個人情報取扱事業者は、本人から、当該本人が識別される個人データに係る第三者提供記録の開示（存在しないときにはその旨を知らせることを含む。）の請求を受けたときは、本人に対し、電磁的記録の提供による方法、書面の交付による方法その他当該個人情報取扱事業者の定める方法の
うち本人が請求した方法（当該方法による開示に多額の費用を要する場合
その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）により、遅滞なく、当該第三者提供記録を開示しなければなら159ない（3-8-2（保有個人データの開示）参照）。
個人情報取扱事業者が第三者提供記録を本人に開示するに当たっては、
法において記録事項とされている事項を本人が求める方法により開示すれ
ば足り、それ以外の事項を開示する必要はない。例えば、契約書の代替手
段による方法で記録を作成した場合には、当該契約書中、記録事項となっている事項を抽出した上で、本人が求める方法により開示すれば足り、契約書そのものを開示する必要はない。

3-8-3-3 第三者提供記録の不開示事由等法第 28 条（第 5 項）

[新設]

5

第 1 項から第 3 項までの規定は、当該本人が識別される個人データに係る第 25 条第 1 項及び第 26 条第 3 項の記録（その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるものを除く。第 32 条第 2 項において「第三者提供記録」という。）について準用する。

法第 28 条（第 2 項・第 3 項）
2

個人情報取扱事業者は、前項の規定による請求を受けたときは、本人に対し、同項の規定により当該本人が請求した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難

当該保有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
(1)

本人又は第三者の生命、身体、財産その他の権利利益を害する
おそれがある場合(2)

当該個人情報取扱事業者の業務の適正な実施に著しい支障を及
ぼすおそれがある場合(3)
3

他の法令に違反することとなる場合

個人情報取扱事業者は、第 1 項の規定による請求に係る保有個人データの全部若しくは一部について開示しない旨の決定をしたとき、当該保有個人データが存在しないとき、又は同項の規定により本人が請求した方法による開示が困難であるときは、本人に対し、遅滞なく、160である場合にあっては、書面の交付による方法）により、遅滞なく、その旨を通知しなければならない。

第三者提供記録を開示することにより次の（1）から（3）までのいずれかに該当する場合は、その全部又は一部を開示しないことができるが、これにより開示しない旨の決定をしたとき又は請求に係る第三者提供記録が存在しないときは、遅滞なく、その旨を本人に通知（※）しなければならない。また、本人が請求した方法による開示が困難であるときは、その旨を本人に通知した上で、書面の交付による方法により開示を行わなければ
ならない。

がある場合

第三者提供記録を本人に開示することにより、本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合は、当該第三者提供記録の全部又は一部を開示しないことができる。

事例 1）第三者提供記録に個人データの項目として本人が難病であることを示す内容が記載されている場合において、当該第三者提供記録を開示することにより、患者本人の心身状況を悪化させるおそれがある場合
事例 2）企業の与信判断等に用いられる企業情報の一部として代表者の氏名等が提供され、第三者提供記録が作成された場合において、当該

161（1）本人又は第三者の生命、身体、財産その他の権利利益を害するおそれ第三者提供記録を開示することにより、提供を受けた第三者が与信判断、出資の検討、提携先・取引先の選定等を行っていることを含む秘密情報が漏えいするおそれがある場合（2）個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合

第三者提供記録を本人に開示することにより、個人情報取扱事業者の業
務の適正な実施に著しい支障を及ぼすおそれがある場合は、当該第三者提供記録の全部又は一部を開示しないことができる。他の事業者と取引関係ものを開示することについては、直ちにこれに該当するものではなく、個別具体的に判断する必要がある。

事例）同一の本人から複雑な対応を要する同一内容について繰り返し開示の請求があり、事実上問合せ窓口が占有されることによって他の問合せ対応業務が立ち行かなくなる等、業務上著しい支障を及ぼす
おそれがある場合（3）他の法令に違反することとなる場合

第三者提供記録を本人に開示することにより、他の法令に違反することとなる場合は、当該第三者提供記録の全部又は一部を開示しないことがで162にあることが契約上秘密情報とされている場合であっても、記録事項そのきる。

事例 ）刑法（明治 40 年法律第 45 号）第 134 条（秘密漏示罪）に違反することとなる場合（※）「本人に通知」については、2-14（本人に通知）を参照のこと。

[（関係条文） 略]

3-5-3 保有個人データの訂正等（法第 29 条関係）[（関係条文） 同左]

個人情報取扱事業者は、本人から、当該本人が識別される保有個人デー

個人情報取扱事業者は、本人から、当該本人が識別される保有個人デー

タに誤りがあり、事実でないという理由によって、内容の訂正、追加又はタに誤りがあり、事実でないという理由によって、内容の訂正、追加又は削除（※1）（以下「訂正等」という。）の請求を受けた場合は、利用目的削除（※1）（以下「訂正等」という。）の請求を受けた場合は、利用目的の達成に必要な範囲で遅滞なく必要な調査を行い、その結果に基づき、原の達成に必要な範囲で遅滞なく必要な調査を行い、その結果に基づき、原則として（※2）、訂正等を行わなければならない。

則として（※2）、訂正等を行わなければならない。

なお、個人情報取扱事業者は、法第 29 条第 2 項の規定に基づき請求に係

なお、個人情報取扱事業者は、法第 29 条第 2 項の規定に基づき請求に係る保有個人データの内容の全部若しくは一部について訂正等を行ったとる保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、遅滞なく、その旨（訂き、又は訂正等を行わない旨の決定をしたときは、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を本人に通知（※3）しなければ 正等を行ったときは、その内容を含む。）を本人に通知（※3）しなければならない。
また、保有個人データの内容の訂正等に関して他の法令の規定により特ならない。
また、保有個人データの内容の訂正等に関して他の法令の規定により特163

3-8-4 保有個人データの訂正等（法第 29 条関係）

別の手続が定められている場合には、法第 29 条第 1 項及び第 2 項の規定は 別の手続が定められている場合には、法第 29 条第 1 項及び第 2 項の規定は適用されず、当該他の法令の規定が適用されることとなる。
なお、本人が、裁判上の訴えにより、当該本人が識別される保有個人デ適用されず、当該他の法令の規定が適用されることとなる。
なお、本人が、裁判上の訴えにより、当該本人が識別される保有個人データの訂正等を請求する場合と本条との関係については、3-8-9（裁判上の ータの訂正等を請求する場合と本条との関係については、3-5-8（裁判上の訴えの事前請求）を参照のこと。

[（※1）・（※2） 略][（※1）・（※2）（※3）「本人に通知」については、2-14（本人に通知）を参照のこ（※3）「本人に通知」については、2-10（本人に通知）を参照のこ

と。

同左]

と。

3-8-5 保有個人データの利用停止等（法第 30 条関係）

3-5-4 保有個人データの利用停止等（法第 30 条関係）

法第 30 条

法第 30 条1

1

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第 16 条若しくは第 16 条の 2 の規定に違反して取り扱われて人データが第 16 条の規定に違反して取り扱われているとき又は第 17 条

いるとき、又は第 17 条の規定に違反して取得されたものであるときの規定に違反して取得されたものであるときは、当該保有個人データ

は、当該保有個人データの利用の停止又は消去（以下この条においての利用の停止又は消去（以下この条において「利用停止等」と い「利用停止等」という。）を請求することができる。

う。）を請求することができる。

[2～4 略]5

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データを当該個人情報取扱事業者が利用する必要がなくなった場
合、当該本人が識別される保有個人データに係る第 22 条の 2 第 1 項本

[2～4 同左]

164

訴えの事前請求）を参照のこと。

文に規定する事態が生じた場合その他当該本人が識別される保有個人
データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合には、当該保有個人データの利用停止等又は第三者への提供の停止を請求することができる。
6

個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行わなければならない。ただし、当該保有個人データの利用停止等又は第三者への提供の停止に
多額の費用を要する場合その他の利用停止等又は第三者への提供の停必要なこれに代わるべき措置をとるときは、この限りでない。
7

個人情報取扱事業者は、第 1 項若しくは第 5 項の規定による請求に

5

個人情報取扱事業者は、第 1 項の規定による請求に係る保有個人デ係る保有個人データの全部若しくは一部について利用停止等を行った

ータの全部若しくは一部について利用停止等を行ったとき若しくは利とき若しくは利用停止等を行わない旨の決定をしたとき、又は第 3 項

用停止等を行わない旨の決定をしたとき、又は第 3 項の規定による請若しくは第 5 項の規定による請求に係る保有個人データの全部若しく求に係る保有個人データの全部若しくは一部について第三者への提供は一部について第三者への提供を停止したとき若しくは第三者への提を停止したとき若しくは第三者への提供を停止しない旨の決定をした

供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、そのときは、本人に対し、遅滞なく、その旨を通知しなければならない。

旨を通知しなければならない。

3-8-5-1 利用停止等の要件

個人情報取扱事業者は、本人から、当該本人が識別される保有個人デー
タが、法第 16 条の規定に違反して本人の同意なく目的外利用がされてい個人情報取扱事業者は、次の（1）から（3）までのいずれかに該当する

る、又は法第 17 条の規定に違反して偽りその他不正の手段により個人情報

165

止を行うことが困難な場合であって、本人の権利利益を保護するため

場合については、保有個人データの利用の停止若しくは消去（※1）（以下 が取得され若しくは本人の同意なく要配慮個人情報が取得されたものであ「利用停止等」という。）又は第三者提供の停止を行わなければならなるという理由によって、当該保有個人データの利用の停止又は消去（※1）

い。

（以下「利用停止等」という。）の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として（※2）、遅滞なく、利用（1）法違反の場合の利用停止等

停止等を行わなければならない。
また、個人情報取扱事業者は、本人から、当該本人が識別される保有個

個人情報取扱事業者は、本人から、当該本人が識別される保有個人デー

人データが、法第 23 条第 1 項又は第 24 条の規定に違反して本人の同意なタが、法第 16 条の規定に違反して本人の同意なく目的外利用がされている く第三者に提供されているという理由によって、当該保有個人データの第若しくは法第 16 条の 2 の規定に違反して不適正な利用が行われている、又 三者提供の停止の請求を受けた場合であって、その請求に理由があること
は法第 17 条の規定に違反して偽りその他不正の手段により個人情報が取得 が判明したときは、原則として（※3）、遅滞なく、第三者提供を停止しな

う理由によって、利用停止等の請求を受けた場合であって、その請求に理ければならない。
なお、個人情報取扱事業者は、上記により、利用停止等を行ったとき若由があることが判明したときは、原則として（※2）、遅滞なく、利用停止 しくは利用停止等を行わない旨の決定をしたとき、又は、第三者提供の停等を行わなければならない。

止を行ったとき若しくは第三者提供を停止しない旨の決定をしたときは、遅滞なく、その旨を本人に通知（※4）しなければならない。

（2）法違反の場合の第三者提供の停止

また、本人が、裁判上の訴えにより、当該本人が識別される保有個人データの利用停止等又は第三者提供の停止を請求する場合と本条との関係に

個人情報取扱事業者は、本人から、当該本人が識別される保有個人デー

ついては、3-5-8（裁判上の訴えの事前請求）を参照のこと。

タが、法第 23 条第 1 項又は第 24 条の規定に違反して本人の同意なく第三

なお、消費者等、本人の権利利益保護の観点からは、事業活動の特性、者に提供されているという理由によって、当該保有個人データの第三者提規模及び実態を考慮して、保有個人データについて本人から求めがあった

供の停止の請求を受けた場合であって、その請求に理由があることが判明場合には、ダイレクトメールの発送停止等、自主的に利用停止に応じるしたときは、原則として（※3）、遅滞なく、第三者提供の停止を行わなけ 等、本人からの求めにより一層対応していくことが望ましい。
ればならない。

166

され若しくは本人の同意なく要配慮個人情報が取得されたものであるとい

（※1）「消去」とは、保有個人データを保有個人データとして使え（3）法第 30 条第 5 項の要件を満たす場合の利用停止等又は第三者提供の停止

なくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む（3-3-1（データ内容の正確性の確保等）参照）。

個人情報取扱事業者は、次の①から③までのいずれかに該当する場合に（※2）例えば、保有個人データの全部消去を求められた場合であっ

ついては、原則として、遅滞なく、利用停止等又は第三者提供の停止を行ても、利用停止によって手続違反を是正できる場合であれば、わなければならない。

そのような措置を講ずることにより、義務を果たしたことになり、必ずしも、求められた措置をそのまま実施する必要はな①利用する必要がなくなった場合

い。
なお、手続違反である旨の指摘が正しくない場合は、利用停タを当該個人情報取扱事業者が利用する必要がなくなったという理由によって、当該保有個人データの利用停止等又は第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として、遅滞なく、利用停止等又は第三者提供の停止を行わなければならない。
「当該個人情報取扱事業者が利用する必要がなくなった」とは、法第 19条と同様に、当該保有個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該保有個人データを保有する合理的な理由が存在しなくなった場合や利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等をいう（※4）。

止等を行う必要はない。
（※3）手続違反である旨の指摘が正しくない場合は、第三者提供を停止する必要はない。
（※4）「本人に通知」については、2-10（本人に通知）を参照のこと。

167

個人情報取扱事業者は、本人から、当該本人が識別される保有個人デー

【利用する必要がなくなったとして利用停止等又は第三者提供の停止が認められる事例】
事例 1）ダイレクトメールを送付するために個人情報取扱事業者が保有していた情報について、当該個人情報取扱事業者がダイレクトメールの送付を停止した後、本人が消去を請求した場合
事例 2）電話勧誘のために個人情報取扱事業者が保有していた情報について、当該個人情報取扱事業者が電話勧誘を停止した後、本人が消去を請求した場合
事例 3）キャンペーンの懸賞品送付のために個人情報取扱事業者が保有していた当該キャンペーンの応募者の情報について、懸賞品の発送が利用停止等を請求した場合
事例 4）採用応募者のうち、採用に至らなかった応募者の情報について、再応募への対応等のための合理的な期間が経過した後に、本人が利用停止等を請求した場合②当該本人が識別される保有個人データに係る法第 22 条の 2 第 1 項本文に規定する事態が生じた場合

個人情報取扱事業者は、本人から、当該本人が識別される保有個人デー
タに係る法第 22 条の 2 第 1 項本文に規定する事態が生じたという理由によって、当該保有個人データの利用停止等又は第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、原則と168

終わり、不着対応等のための合理的な期間が経過した後に、本人がして、遅滞なく、利用停止等又は第三者への提供の停止を行わなければならない。
「当該本人が識別される保有個人データに係る法第 22 条の 2 第 1 項本文に規定する事態が生じた」とは、法第 22 条の 2 第 1 項本文に定める漏えい等事案が生じたことをいう。法第 22 条の 2 第 1 項本文に定める漏えい等事案については、3-5-3-1（対象となる事態）参照のこと。

③当該本人の権利又は正当な利益が害されるおそれがある場合

個人情報取扱事業者は、本人から、当該本人が識別される保有個人デーという理由によって、当該保有個人データの利用停止等又は第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明した
ときは、原則として、遅滞なく、利用停止等又は第三者への提供の停止を行わなければならない。
「本人の権利又は正当な利益が害されるおそれがある場合」とは、法目的に照らして保護に値する正当な利益（※5）が存在し、それが侵害されるおそれ（※6）がある場合をいう。

【本人の権利又は正当な利益が害されるおそれがあるとして利用停止等又は第三者提供の停止が認められると考えられる事例】
事例 1）ダイレクトメールの送付を受けた本人が、送付の停止を求める意
思を表示したにもかかわらず、個人情報取扱事業者がダイレクトメ

169

タの取扱いにより当該本人の権利又は正当な利益が害されるおそれがあるールを繰り返し送付していることから、本人が利用停止等を請求する場合
事例 2）電話勧誘を受けた本人が、電話勧誘の停止を求める意思を表示したにもかかわらず、個人情報取扱事業者が本人に対する電話勧誘を繰り返し行っていることから、本人が利用停止等を請求する場合
事例 3）個人情報取扱事業者が、安全管理措置を十分に講じておらず、本人を識別する保有個人データが漏えい等するおそれがあることか
ら、本人が利用停止等を請求する場合
事例 4）個人情報取扱事業者が、法第 23 条第 1 項に違反して第三者提供を行っており、本人を識別する保有個人データについても本人の同する場合
事例 5）個人情報取扱事業者が、退職した従業員の情報を現在も自社の従業員であるようにホームページ等に掲載し、これによって本人に不利益が生じるおそれがあることから、本人が利用停止等を請求する
場合【本人の権利又は正当な利益が害されるおそれがないとして利用停止等又は第三者提供の停止が認められないと考えられる事例】
事例 1）電話の加入者が、電話料金の支払いを免れるため、電話会社に対して課金に必要な情報の利用停止等を請求する場合
事例 2）インターネット上で匿名の投稿を行った者が、発信者情報開示請
求による発信者の特定やその後の損害賠償請求を免れるため、プロ

170

意なく提供されるおそれがあることから、本人が利用停止等を請求

バイダに対してその保有する接続認証ログ等の利用停止等を請求する場合
事例 3）過去に利用規約に違反したことを理由としてサービスの強制退会処分を受けた者が、再度当該サービスを利用するため、当該サービスを提供する個人情報取扱事業者に対して強制退会処分を受けたことを含むユーザー情報の利用停止等を請求する場合
事例 4）過去の信用情報に基づく融資審査により新たな融資を受けることが困難になった者が、新規の借入れを受けるため、当該信用情報を保有している個人情報取扱事業者に対して現に審査に必要な信用情（※1）「消去」とは、保有個人データを保有個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む（3-4-1（データ内容の正確性の確保等）参照）。
（※2）法違反である旨の指摘が正しくない場合は、利用停止等を行う必要はない。
（※3）法違反である旨の指摘が正しくない場合は、第三者提供を停止する必要はない。
（※4）請求の対象となっている保有個人データにつき、複数の利用目的がある場合、全ての利用目的との関係で「利用する必要がなくなった」かどうかを判断する必要がある。
（※5）「正当」かどうかは、相手方である個人情報取扱事業者との171

報の利用停止等又は第三者提供の停止を請求する場合

関係で決まるものであり、個人情報取扱事業者に本人の権利利益の保護の必要性を上回る特別な事情がない限りは、個人情報取扱事業者は請求に応じる必要がある。本人の権利利益の保護の必要性を上回る特別な事情があるかどうかを判断するに当たっては、例えば、以下のような事情を考慮することになる。
（ア）本人又は第三者の生命、身体、財産その他の権利利益を保護するために当該保有個人データを取り扱う事情（イ）法令を遵守するために当該保有個人データを取り扱う事情（ウ）契約に係る義務を履行するために当該保有個人データ（エ）違法又は不当な行為を防止するために当該保有個人データを取り扱う事情（オ）法的主張、権利行使又は防御のために当該保有個人データを取り扱う事情（※6）「おそれ」は、一般人の認識を基準として、客観的に判断する。

3-8-5-2 本人の権利利益の侵害を防止するために必要な限度

3-8-5-1（利用停止等の要件）の（3）に該当する場合、個人情報取扱事
業者は、本人の権利利益の侵害を防止するために必要な限度で、利用停止

172を取り扱う事情等又は第三者提供の停止を行わなければならない。

【本人からの請求に対し、本人の権利利益の侵害を防止するために必要な限度での対応として考えられる事例】
事例 1）本人から保有個人データの全てについて、利用停止等が請求された場合に、一部の保有個人データの利用停止等によって、生じている本人の権利利益の侵害のおそれを防止できるものとして、一部の保有個人データに限定して対応を行う場合
事例 2）法第 23 条第 1 項に違反して第三者提供が行われているとして保有個人データの消去を請求された場合に、利用停止又は第三者提供

それを防止できるものとして、利用停止又は第三者提供の停止による対応を行う場合

3-8-5-3 本人の権利利益を保護するため必要なこれに代わるべき措置

3-8-5-1（利用停止等の要件）の（1）から（3）までのいずれかに該当する場合であっても、利用停止等又は第三者提供の停止を行うことが困難である場合は、本人の権利利益を保護するために必要な代替措置を講ずることによる対応が認められる。
「困難な場合」については、利用停止等又は第三者提供の停止に多額の費用を要する場合のほか、個人情報取扱事業者が正当な事業活動において

173の停止による対応によって、生じている本人の権利利益の侵害のお保有個人データを必要とする場合についても該当し得る。
代替措置については、事案に応じて様々であるが、生じている本人の権
利利益の侵害のおそれに対応するものであり、本人の権利利益の保護に資するものである必要がある。

【本人の権利利益を保護するため必要なこれに代わるべき措置として考えられる事例】
事例 1）既に市販されている名簿の刷り直し及び回収作業に多額の費用を要するとして、名簿の増刷時の訂正を約束する場合や必要に応じて金銭の支払いをする場合

した場合において、当該本人との契約が存続しているため、利用停止等が困難であるとして、以後漏えい等の事態が生じることがない
よう、必要かつ適切な再発防止策を講じる場合
事例 3）他の法令の規定により保存が義務付けられている保有個人データを遅滞なく消去する代わりに、当該法令の規定による保存期間の終了後に消去することを約束する場合

個人情報取扱事業者は、上記により、利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は、第三者提供の停止を行ったとき若しくは第三者提供を停止しない旨の決定をしたときは、遅滞なく、その旨を本人に通知（※）しなければならない。
また、本人が、裁判上の訴えにより、当該本人が識別される保有個人デ174

事例 2）個人情報保護委員会への報告の対象となる重大な漏えい等が発生

ータの利用停止等又は第三者提供の停止を請求する場合と本条との関係については、3-8-9（裁判上の訴えの事前請求）を参照のこと。
なお、消費者等、本人の権利利益保護の観点からは、事業活動の特性、規模及び実態を考慮して、保有個人データについて本人から求めがあった
場合には、自主的に利用停止等又は第三者提供の停止に応じる等、本人からの求めにより一層対応していくことが望ましい。

（※）「本人に通知」については、2-14（本人に通知）を参照のこ

3-8-6 理由の説明（法第 31 条関係）

3-5-5 理由の説明（法第 31 条関係）

法第 31 条

法第 31 条

個人情報取扱事業者は、第 27 条第 3 項、第 28 条第 3 項（同条第 5 項

個人情報取扱事業者は、第 27 条第 3 項、第 28 条第 3 項、第 29 条第において準用する場合を含む。）、第 29 条第 3 項又は前条第 7 項の規3 項又は前条第 5 項の規定により、本人から求められ、又は請求された定により、本人から求められ、又は請求された措置の全部又は一部に措置の全部又は一部について、その措置をとらない旨を通知する場合

ついて、その措置をとらない旨を通知する場合又はその措置と異なる

又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、措置をとる旨を通知する場合には、本人に対し、その理由を説明する

その理由を説明するよう努めなければならない。

よう努めなければならない。

個人情報取扱事業者は、保有個人データの利用目的の通知の求め、保有個人情報取扱事業者は、保有個人データの利用目的の通知の求め、又は個人データの開示、訂正等、利用停止等若しくは第三者提供の停止に関す

保有個人データの開示、訂正等、利用停止等若しくは第三者提供の停止に

175

と。

る請求、又は第三者提供記録の開示に関する請求（以下「開示等の請求

関する請求（以下「開示等の請求等」という。）に係る措置の全部又は一等」という。）に係る措置の全部又は一部について、その措置をとらない部について、その措置をとらない旨又はその措置と異なる措置をとる旨を旨又はその措置と異なる措置をとる旨を本人に通知（※）する場合は、併本人に通知（※）する場合は、併せて、本人に対して、その理由を説明すせて、本人に対して、その理由を説明するように努めなければならない。

るように努めなければならない。

（※）「本人に通知」については、2-14（本人に通知）を参照のこ（※）「本人に通知」については、2-10（本人に通知）を参照のこと。

3-8-7 開示等の請求等に応じる手続（法第 32 条関係）

3-5-6 開示等の請求等に応じる手続（法第 32 条関係）

法第 32 条

法第 32 条1

1

個人情報取扱事業者は、第 27 条第 2 項の規定による求め又は第 28 条

個人情報取扱事業者は、第 27 条第 2 項の規定による求め又は第 28 条

第 1 項（同条第 5 項において準用する場合を含む。次条第 1 項及び第第 1 項、第 29 条第 1 項若しくは第 30 条第 1 項若しくは第 3 項の規定に

34 条において同じ。）、第 29 条第 1 項若しくは第 30 条第 1 項、第 3よる請求（以下この条及び第 53 条第 1 項において「開示等の請求等」

項若しくは第 5 項の規定による請求（以下この条及び第 53 条第 1 項にという。）に関し、政令で定めるところにより、その求め又は請求をおいて「開示等の請求等」という。）に関し、政令で定めるところに受け付ける方法を定めることができる。この場合において、本人は、より、その求め又は請求を受け付ける方法を定めることができる。こ

当該方法に従って、開示等の請求等を行わなければならない。

の場合において、本人は、当該方法に従って、開示等の請求等を行わなければならない。
2

個人情報取扱事業者は、本人に対し、開示等の請求等に関し、その2

個人情報取扱事業者は、本人に対し、開示等の請求等に関し、その対象となる保有個人データ又は第三者提供記録を特定するに足りる事対象となる保有個人データを特定するに足りる事項の提示を求めるこ

項の提示を求めることができる。この場合において、個人情報取扱事とができる。この場合において、個人情報取扱事業者は、本人が容易

176

と。

業者は、本人が容易かつ的確に開示等の請求等をすることができるよ

かつ的確に開示等の請求等をすることができるよう、当該保有個人デう、当該保有個人データ又は当該第三者提供記録の特定に資する情報

ータの特定に資する情報の提供その他本人の利便を考慮した適切な措の提供その他本人の利便を考慮した適切な措置をとらなければならな

置をとらなければならない。

い。
3

[略]

3

[同左]

4

個人情報取扱事業者は、前三項の規定に基づき開示等の請求等に応

4

個人情報取扱事業者は、前 3 項の規定に基づき開示等の請求等に応じる手続を定めるに当たっては、本人に過重な負担を課するものとなじる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。

らないよう配慮しなければならない。

政令第 10 条[略]

政令第 11 条[同左]

政令第 11 条[略]

個人情報取扱事業者は、開示等の請求等（※1）において、これを受け付ける方法として次の（1）から（4）までの事項を定めることができる。

[同左]

個人情報取扱事業者は、開示等の請求等（※1）において、これを受け付ける方法として次の（1）から（4）までの事項を定めることができる（※
2）。

（1）開示等の請求等の申出先（例）担当窓口名・係名、郵送先住所、受付電話番号、受付 FAX 番
号、メールアドレス等

[新設]

177

政令第 10 条

（2）開示等の請求等に際して提出すべき書面（電磁的記録を含む。）の様[新設]

式、その他の開示等の請求等の受付方法（例）郵送、FAX、電子メールやウェブサイト等のオンラインで受け付ける等（3）開示等の請求等をする者が本人又はその代理人（①未成年者又は成年 [新設]
被後見人の法定代理人、②開示等の請求等をすることにつき本人が委任した代理人）であることの確認の方法（※2）（4）保有個人データの利用目的の通知又は保有個人データの開示をする際

[新設]

178

に徴収する手数料の徴収方法

ただし、開示等の請求等を受け付ける方法を定めるに当たっては、当該手続が、事業の性質、保有個人データの取扱状況、開示等の請求等の受付
方法等に応じて適切なものになるよう配慮するとともに、必要以上に煩雑な書類を書かせたり、請求等を受け付ける窓口を他の業務を行う拠点とは別にいたずらに不便な場所に限定したりする等、本人に過重な負担を課す
るものとならないよう配慮しなければならない。
また、開示等の請求等を受け付ける方法を定めた場合には、本人の知り

なお、開示等の請求等を受け付ける方法を定めた場合には、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置いて得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）（※3）におかなければならない（3-8-1（保有個人データに関する事項の公表等）参 置いておかなければならない（3-5-1（保有個人データに関する事項の公表照）。「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」とは、本人が知ろうとすれば、知ることができる状態に置く等）参照）。

ことをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならないが、開示等の請求等を行おうとする本人がその手続を把握できるようにしておくことが重要であり、例えば、ホームページへの掲載による場合、本人が簡単な操作によって該当箇所へ到達でき、円滑に請求等を行えるようにしておくことが望ましい。また、「本人の求めに応じて遅滞なく回答する」ことによって対応する場合には、その前提として、少なくとも本人が簡単な操作によっ

なお、個人情報取扱事業者が、開示等の請求等を受け付ける方法を合理

なお、個人情報取扱事業者が、開示等の請求等を受け付ける方法を合理的な範囲で定めたときは、本人は、当該方法に従って開示等の請求等を行的な範囲で定めたときは、本人は、当該方法に従って開示等の請求等を行わなければならず、当該方法に従わなかった場合は、個人情報取扱事業者

わなければならず、当該方法に従わなかった場合は、個人情報取扱事業者

は当該開示等の請求等を拒否することができる（※3）。

は当該開示等の請求等を拒否することができる（※4）。

また、法第 32 条第 2 項前段は、本人に対し、開示を請求する保有個人デまた、法第 32 条第２項前段は、本人に対し、開示を請求する保有個人データ又は第三者提供記録の範囲を一部に限定する義務を課すものではなータの範囲を一部に限定する義務を課すものではなく、また、個人情報取く、また、個人情報取扱事業者に対し、本人が開示を請求する範囲を限定

扱事業者に対し、本人が開示を請求する範囲を限定させる権利を認めるもさせる権利を認めるものでもない。

のでもない。

個人情報取扱事業者は、円滑に開示等の手続が行えるよう、本人に対個人情報取扱事業者は、円滑に開示等の手続が行えるよう、本人に対し、開示等の請求等の対象となる当該本人が識別される保有個人データ又し、開示等の請求等の対象となる当該本人が識別される保有個人データのは第三者提供記録の特定に必要な事項（住所、ID、パスワード、会員番号

特定に必要な事項（住所、ID、パスワード、会員番号等）の提示を求める

等）の提示を求めることができる。なお、その際には、本人が容易かつ的ことができる。なお、その際には、本人が容易かつ的確に開示等の請求等

確に開示等の請求等をすることができるよう、当該保有個人データ又は第をすることができるよう、当該保有個人データの特定に資する情報を提供

三者提供記録の特定に資する情報を提供するなど、本人の利便性を考慮しするなど、本人の利便性を考慮しなければならない。

なければならない。

179て求めを行うことができるようにすることが望ましい。

[削る]（1）開示等の請求等の申出先（例）担当窓口名・係名、郵送先住所、受付電話番号、受付 FAX 番
号、メールアドレス等[削る]（2）開示等の請求等に際して提出すべき書面（電磁的記録を含む。）の様
式、その他の開示等の請求等の受付方法（例）郵送、FAX、電子メールで受け付ける等[削る]（3）開示等の請求等をする者が本人又はその代理人（①未成年者又は成年任した代理人）であることの確認の方法（※5）[削る]（4）保有個人データの利用目的の通知又は保有個人データの開示をする際に徴収する手数料の徴収方法（※1）「開示等の請求等」とは、保有個人データの利用目的の通知（※1）「開示等の請求等」とは、保有個人データの利用目的の通知の求め（3-8-1（保有個人データに関する事項の公表等）参の求め（3-5-1（保有個人データに関する事項の公表等）参照）、保有個人データの開示（3-8-2（保有個人データの開示）照）、又は保有個人データの開示（3-5-2（保有個人データの開参照）、訂正等（3-8-4（保有個人データの訂正等）参照）、利示）参照）、訂正等（3-5-3（保有個人データの訂正等）参用停止等若しくは第三者提供の停止（3-8-5（保有個人データの照）、利用停止等若しくは第三者提供の停止（3-5-4（保有個人

利用停止等）参照）、又は第三者提供記録の開示に関する請求

データの利用停止等）参照）の請求をいう。

（3-8-3（第三者提供記録の開示）参照）の請求をいう。

180

被後見人の法定代理人、②開示等の請求等をすることにつき本人が委[削る]（※2）開示等の請求等に応じる手続を定めるに当たっては、当該手続が、事業の性質、保有個人データの取扱状況、開示等の請求等の受付方法等に応じて適切なものになるよう配慮するとともに、必要以上に煩雑な書類を書かせたり、請求等を受け付ける窓口を他の業務を行う拠点とは別にいたずらに不便な場所に限定したりする等、本人に過重な負担を課するものとならないよ
う配慮しなければならない。

[削る]（※3）「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」については、3-5-1（保有個人データに関する事項の公表等）を参照のこと。
（※4）開示等の請求等を受け付ける方法を定めない場合には、自由な申請を認めることとなるので注意が必要である。

（※2）確認の方法としては、次のような事例が考えられるが、事業（※5）確認の方法は、事業の性質、保有個人データの取扱状況、開の性質、保有個人データの取扱状況、開示等の請求等の受付方

示等の請求等の受付方法等に応じて、適切なものでなければな

法等に応じて、適切なものでなければならず、本人確認のためらず、本人確認のために事業者が保有している個人データに比に事業者が保有している個人データに比して必要以上に多くのして必要以上に多くの情報を求めないようにするなど、本人に情報を求めないようにするなど、本人に過重な負担を課するも過重な負担を課するものとならないよう配慮しなくてはならなのとならないよう配慮しなくてはならない。

い。

なお、代理人による来所や送付等の場合にあっては、確認書

事例 1）本人の場合：運転免許証、健康保険の被保険者証、個類として、本人及び代理人についての次の事例に示す書類等の人番号カード（マイナンバーカード）表面、旅券（パスほか、代理人について、代理権を与える旨の委任状（親権者がポート）、在留カード、特別永住者証明、年金手帳、印

未成年者の法定代理人であることを示す場合は、本人及び代理

鑑証明書と実印

人が共に記載され、その続柄が示された戸籍謄抄本、住民票の事例 2）代理人の場合：本人及び代理人について、運転免許

181

[削る]

写し。また、成年後見人が成年被後見人の法定代理人であるこ

証、健康保険の被保険者証、個人番号カード（マイナンとを示す場合は、登記事項証明書）が考えられる。

バーカード）表面、旅券（パスポート）、在留カード、特別永住者証明、年金手帳等。このほか、代理人につい事例 1）来所の場合：運転免許証、健康保険の被保険者証、個ては、代理を示す旨の委任状（親権者が未成年者の法定

人番号カード（マイナンバーカード）表面、旅券（パス

代理人であることを示す場合は、本人及び代理人が共にポート）、在留カード、特別永住者証明、年金手帳、印記載され、その続柄が示された戸籍謄抄本、住民票の写鑑証明書と実印

し）事例 2）オンラインの場合：あらかじめ本人が個人情報取扱事業者に対して登録済みの ID とパスワード、公的個人認証
による電子署名事例 3）電話の場合：あらかじめ本人が個人情報取扱事業者に182

対して登録済みの登録情報（生年月日等）、コールバッ
ク事例 4）送付（郵送、FAX 等）の場合：運転免許証や健康保険の被保険者証等の公的証明書のコピーの送付を顧客等から受け、当該公的証明書のコピーに記載された顧客等の住所に宛てて文書を書留郵便により送付（※3）開示等の請求等を受け付ける方法を定めない場合には、自[新設]

由な申請を認めることとなるので注意が必要である。

3-8-8 手数料（法第 33 条関係）

3-5-7 手数料（法第 33 条関係）

[（関係条文） 略]

個人情報取扱事業者は、保有個人データの利用目的の通知（法第 27 条第[（関係条文） 同左]

個人情報取扱事業者は、保有個人データの利用目的の通知（法第 27 条第2 項）を求められ、又は保有個人データの開示の請求（法第 28 条第 1 項） 2 項）を求められ、又は保有個人データの開示の請求（法第 28 条第 1 項）
若しくは第三者提供記録の開示の請求（法第 28 条第 5 項において準用する を受けたときは、当該措置の実施に関し、手数料の額を定め、これを徴収
同条第 1 項）を受けたときは、当該措置の実施に関し、手数料の額を定することができる。

なお、当該手数料の額を定めた場合には、本人の知り得る状態（本人のなお、当該手数料の額を定めた場合には、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）（※）に置いておかなけれ

求めに応じて遅滞なく回答する場合を含む。）（※）に置いておかなければならない（法第 27 条第 1 項第 3 号）。

ばならない（法第 27 条第 1 項第 3 号）。

また、手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。

また、手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。

（※）「本人の知り得る状態（本人の求めに応じて遅滞なく回答す（※）「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」については、3-8-1（保有個人データに関する場合を含む。）」については、3-5-1（保有個人データに関する事項の公表等）を参照のこと。

る事項の公表等）を参照のこと。

3-8-9 裁判上の訴えの事前請求（法第 34 条関係）

3-5-8 裁判上の訴えの事前請求（法第 34 条関係）

法第 34 条

法第 34 条1

1

本人は、第 28 条第 1 項、第 29 条第 1 項又は第 30 条第 1 項、第 3 項

本人は、第 28 条第 1 項、第 29 条第 1 項又は第 30 条第 1 項若しくは

183

め、これを徴収することができる。

第 3 項の規定による請求に係る訴えを提起しようとするときは、そのは、その訴えの被告となるべき者に対し、あらかじめ、当該請求を行訴えの被告となるべき者に対し、あらかじめ、当該請求を行い、かい、かつ、その到達した日から 2 週間を経過した後でなければ、そのつ、その到達した日から 2 週間を経過した後でなければ、その訴えを訴えを提起することができない。ただし、当該訴えの被告となるべき提起することができない。ただし、当該訴えの被告となるべき者がそ者がその請求を拒んだときは、この限りでない。

の請求を拒んだときは、この限りでない。

2

[略]

2

[同左]

3

前二項の規定は、第 28 条第 1 項、第 29 条第 1 項又は第 30 条第 1

3

前二項の規定は、第 28 条第 1 項、第 29 条第 1 項又は第 30 条第 1 項

項、第 3 項若しくは第 5 項の規定による請求に係る仮処分命令の申立

若しくは第 3 項の規定による請求に係る仮処分命令の申立てについててについて準用する。

準用する。

自己が識別される保有個人データの開示（※1）、訂正等（※2）、利用自己が識別される保有個人データの開示（※1）、訂正等（※2）又は利停止等（※3）若しくは第三者提供の停止（※4）又は自己が識別される個用停止等（※3）若しくは第三者提供の停止（※4）の個人情報取扱事業者

人データに係る第三者提供記録の開示（※5）の個人情報取扱事業者に対す に対する請求について裁判上の訴えを提起しようとするときは、あらかじ
る請求について裁判上の訴えを提起しようとするときは、あらかじめ裁判

め裁判外において当該請求を個人情報取扱事業者に対して行い、かつ、当外において当該請求を個人情報取扱事業者に対して行い、かつ、当該請求該請求が当該個人情報取扱事業者に到達した日から 2 週間を経過した後でが当該個人情報取扱事業者に到達した日から 2 週間を経過した後でなけれ なければ、当該訴えを提起することができない（※5）（※6）。
ば、当該訴えを提起することができない（※6）（※7）。
ただし、個人情報取扱事業者が当該裁判外の請求を拒んだとき（※8）

ただし、個人情報取扱事業者が当該裁判外の請求を拒んだとき（※7）

は、2 週間を経過する前に、当該請求に係る裁判上の訴えを提起することが は、2 週間を経過する前に、当該請求に係る裁判上の訴えを提起することが
できる。

できる。

（※1）保有個人データの開示については、3-8-2（保有個人データの開示）を参照のこと。

（※1）保有個人データの開示については、3-5-2（保有個人データの開示）を参照のこと。

184

若しくは第 5 項の規定による請求に係る訴えを提起しようとするとき

（※2）保有個人データの訂正等とは、保有個人データの訂正、追加（※2）保有個人データの訂正等とは、保有個人データの訂正、追加

又は削除のことをいう（3-8-4（保有個人データの訂正等）参又は削除のことをいう（3-5-3（保有個人データの訂正等）参

照）。

照）。

（※3）保有個人データの利用停止等とは、保有個人データの利用の（※3）保有個人データの利用停止等とは、保有個人データの利用の停止又は消去のことをいう（3-8-5（保有個人データの利用停止

停止又は消去のことをいう（3-5-4（保有個人データの利用停止等）参照）。

等）参照）。

（※4）保有個人データの第三者提供の停止については、3-8-5（保有個人データの利用停止等）を参照のこと。
（※5）第三者提供記録の開示については、3-8-3（第三者提供記録（※4）保有個人データの第三者提供の停止については、3-5-4（保有個人データの利用停止等）を参照のこと。
[新設]（※6）例えば、本人から個人情報取扱事業者に対する保有個人デー（※5）例えば、本人から個人情報取扱事業者に対する保有個人デー

タの開示請求が 4 月 1 日に到達した場合には、本人が当該請求

タの開示請求が 4 月 1 日に到達した場合には、本人が当該請求に係る裁判上の訴えを提起することができるのは、当該到達日に係る裁判上の訴えを提起することができるのは、当該到達日から 2 週間が経過した日（4 月 16 日）以降となる。

から 2 週間が経過した日（4 月 16 日）以降となる。

（※7）自己が識別される保有個人データの開示、訂正等、利用停止（※6）自己が識別される保有個人データの開示、訂正等又は利用停等若しくは第三者提供の停止又は自己が識別される個人データ

止等若しくは第三者提供の停止について仮処分命令を申し立てに係る第三者提供記録の開示について仮処分命令を申し立てるるときも、同様に、あらかじめ個人情報取扱事業者に対し、こときも、同様に、あらかじめ個人情報取扱事業者に対し、これ

れらの請求を行い、かつ、当該請求が当該個人情報取扱事業者らの請求を行い、かつ、当該請求が当該個人情報取扱事業者にに到達した日から 2 週間を経過した後でなければ、当該仮処分到達した日から 2 週間を経過した後でなければ、当該仮処分命

命令を申し立てることができない。

令を申し立てることができない。
（※8）「当該裁判外の請求を拒んだとき」とは、法第 28 条第 3 項（※7）「当該裁判外の請求を拒んだとき」とは、法第 28 条第 3 項、（同条第 5 項において準用する場合を含む。）、第 29 条第 3

第 29 条第 3 項、及び第 30 条第 5 項に掲げる場合のほか、個人

185の開示）を参照のこと。

項、及び第 30 条第 7 項に掲げる場合のほか、個人情報取扱事業

情報取扱事業者が当該請求を行った者に対して特に理由を説明者が当該請求を行った者に対して特に理由を説明することなくすることなく単に当該請求を拒む旨を通知した場合等も含まれ単に当該請求を拒む旨を通知した場合等も含まれる。

る。

3-9 個人情報の取扱いに関する苦情処理（法第 35 条関係）

3-6 個人情報の取扱いに関する苦情処理（法第 35 条関係）[（関係条文） 略][（関係条文） 同左]

な処理に努めなければならない。

個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。

また、苦情の適切かつ迅速な処理を行うに当たり、苦情処理窓口の設置

また、苦情の適切かつ迅速な処理を行うに当たり、苦情処理窓口の設置や苦情処理の手順を定める等必要な体制の整備に努めなければならない

や苦情処理の手順を定める等必要な体制の整備に努めなければならない（※1）。もっとも、無理な要求にまで応じなければならないものではな（※1）。もっとも、無理な要求にまで応じなければならないものではない。

い。

なお、個人情報取扱事業者は、保有個人データの取扱いに関する苦情のなお、個人情報取扱事業者は、保有個人データの取扱いに関する苦情の申出先（個人情報取扱事業者が認定個人情報保護団体の対象事業者である申出先（個人情報取扱事業者が認定個人情報保護団体の対象事業者である

場合は、その団体の名称及び苦情解決の申出先を含む。）について、本人

場合は、その団体の名称及び苦情解決の申出先を含む。）について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）（※2）に置かなければならない（3-8-1（保有個人データに関する事項の（※2）に置かなければならない（3-5-1（保有個人データに関する事項の公表等）参照）。

公表等）参照）。

（※1）[略]（※1）[同左]

186

個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速（※2）「本人の知り得る状態（本人の求めに応じて遅滞なく回答す（※2）「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」については、3-8-1（保有個人データに関する場合を含む。）」については、3-5-1（保有個人データに関する事項の公表等）を参照のこと。

る事項の公表等）を参照のこと。

3-10 仮名加工情報取扱事業者等の義務（法第 35 条の 2・第 35 条の 3 関

[新設]

係）

仮名加工情報取扱事業者等の義務については、別途定める「仮名加工情（参考）【仮名加工情報の作成等（法第 35 条の 2 第 1 項関係）】
法第 35 条の 2（第 1 項）
1

個人情報取扱事業者は、仮名加工情報（仮名加工情報データベース
等を構成するものに限る。以下同じ。）を作成するときは、他の情報と照合しない限り特定の個人を識別することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、個人情報を加工しなければならない。

規則第 18 条の 7
法第 35 条の 2 第 1 項の個人情報保護委員会規則で定める基準は、次のとおりとする。

187

報・匿名加工情報ガイドライン」を参照のこと。

(1)

個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること（当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

(2)

個人情報に含まれる個人識別符号の全部を削除すること（当該
個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

(3)

個人情報に含まれる不正に利用されることにより財産的被害が生じるおそれがある記述等を削除すること（当該記述等を復元することのできる規則性を有しない方法により他の記述等に置き換【仮名加工情報の安全管理措置等（法第 35 条の 2 第 2 項、第 35 条の 3 第3 項関係）】
法第 35 条の 2（第 2 項）
2

個人情報取扱事業者は、仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等（仮名加工情報の作成に用いられた個人情報から削除された記述等及び個人識別符号並びに前項の規定により行われた加工の方法に関する情報をいう。以下この条及び次条第 3 項において読み替えて準用する第 7 項において同じ。）
を取得したときは、削除情報等の漏えいを防止するために必要なもの
として個人情報保護委員会規則で定める基準に従い、削除情報等の安全管理のための措置を講じなければならない。

188

えることを含む。）。

法第 35 条の 3（第 3 項）
3

第 20 条から第 22 条まで、第 35 条並びに前条第 7 項及び第 8 項の規定は、仮名加工情報取扱事業者による仮名加工情報の取扱いについて準用する。この場合において、第 20 条中「漏えい、滅失又は毀損」とあるのは「漏えい」と、前条第 7 項中「ために、」とあるのは「ために、削除情報等を取得し、又は」と読み替えるものとする。

規則第 18 条の 8
法第 35 条の 2 第 2 項の個人情報保護委員会規則で定める基準は、次(1)

法第 35 条の 2 第 2 項に規定する削除情報等（同条第 1 項の規定により行われた加工の方法に関する情報にあっては、その情報を用いて仮名加工情報の作成に用いられた個人情報を復元することができるものに限る。以下この条において同じ。）を取り扱う者の権限及び責任を明確に定めること。

(2)

削除情報等の取扱いに関する規程類を整備し、当該規程類に従って削除情報等を適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果に基づき改善を図るために必要な措置を講ずること。

(3)

削除情報等を取り扱う正当な権限を有しない者による削除情報等の取扱いを防止するために必要かつ適切な措置を講ずること。

189のとおりとする。

【利用目的の制限・公表等（法第 35 条の 2 第 3 項・第 4 項関係）】
法第 35 条の 2（第 3 項・第 4 項）
3

仮名加工情報取扱事業者（個人情報取扱事業者である者に限る。以下この条において同じ。）は、第 16 条の規定にかかわらず、法令に基づく場合を除くほか、第 15 条第 1 項の規定により特定された利用目的の達成に必要な範囲を超えて、仮名加工情報（個人情報であるものに限る。以下この条において同じ。）を取り扱ってはならない。

4

仮名加工情報についての第 18 条の規定の適用については、同条第 1項及び第 3 項中「、本人に通知し、又は公表し」とあるのは「公表し」と、同条第 4 項第 1 号から第 3 号までの規定中「本人に通知し、又【利用する必要がなくなった場合の消去（法第 35 条の 2 第 5 項関係）】
法第 35 条の 2（第 5 項）
5

仮名加工情報取扱事業者は、仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞なく消去するよう努めなければならない。この場合においては、第 19 条の規定は、適用しない。

【第三者提供の禁止等（法第 35 条の 2 第 6 項、第 35 条の 3 第 1 項・第 2
項関係）】
法第 35 条の 2（第 6 項）
6

仮名加工情報取扱事業者は、第 23 条第 1 項及び第 2 項並びに第 24 条

190は公表する」とあるのは「公表する」とする。

第 1 項の規定にかかわらず、法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはならない。この場合において、第 23 条第 5 項中「前各項」とあるのは「第 35 条の 2 第 6 項」と、同項第 3 号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第 6 項中「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と、第 25 条第 1 項ただし書中「第 23 条第 1 項各号又は第 5 項各号のいずれか（前条第 1 項の規定による個人データの提供にあっては、第 23 条第 1 項各号のいずれか）」とあり、及び第 26 条第 1
項ただし書中「第 23 条第 1 項各号又は第 5 項各号のいずれか」とある

法第 35 条の 3（第 1 項・第 2 項）
1

仮名加工情報取扱事業者は、法令に基づく場合を除くほか、仮名加
工情報（個人情報であるものを除く。次項及び第 3 項において同じ。）を第三者に提供してはならない。

2

第 23 条第 5 項及び第 6 項の規定は、仮名加工情報の提供を受ける者について準用する。この場合において、同条第 5 項中「前各項」とあるのは「第 35 条の 3 第 1 項」と、同項第 1 号中「個人情報取扱事業者」とあるのは「仮名加工情報取扱事業者」と、同項第 3 号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第 6 項中「個人情報取扱事業者」とあるのは「仮名加工情報取扱事業者」と、「、本人に通知し、又は本人が容易

191のは「法令に基づく場合又は第 23 条第 5 項各号のいずれか」とする。

に知り得る状態に置かなければ」とあるのは「公表しなければ」と読み替えるものとする。

【識別行為の禁止（法第 35 条の 2 第 7 項、第 35 条の 3 第 3 項関係）】
法第 35 条の 2（第 7 項）
7

仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たっては、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該仮名加工情報を他の情報と照合してはならない。

法第 35 条の 3（第 3 項）
第 20 条から第 22 条まで、第 35 条並びに前条第 7 項及び第 8 項の規定は、仮名加工情報取扱事業者による仮名加工情報の取扱いについて準用する。この場合において、第 20 条中「漏えい、滅失又は毀損」とあるのは「漏えい」と、前条第 7 項中「ために、」とあるのは「ために、削除情報等を取得し、又は」と読み替えるものとする。

【本人への連絡等の禁止（法第 35 条の 2 第 8 項、第 35 条の 3 第 3 項）】
法第 35 条の 2（第 8 項）
8

仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たっては、電話をかけ、郵便若しくは民間事業者による信書の送達に関する法律（平成 14 年法律第 99 号）第 2 条第 6 項に規定する一般信書便事業者若しくは同条第 9 項に規定する特定信書便事業者による同条第 2 項に規定する信書便により送付し、電報を送達し、ファクシミリ装置若192

3しくは電磁的方法（電子情報処理組織を使用する方法その他の情報通信の技術を利用する方法であって個人情報保護委員会規則で定めるものをいう。）を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用してはならない。

法第 35 条の 3（第 3 項）
3

第 20 条から第 22 条まで、第 35 条並びに前条第 7 項及び第 8 項の規定は、仮名加工情報取扱事業者による仮名加工情報の取扱いについて準用する。この場合において、第 20 条中「漏えい、滅失又は毀損」とあるのは「漏えい」と、前条第 7 項中「ために、」とあるのは「ため規則第 18 条の 9
法第 35 条の 2 第 8 項に規定する電磁的方法は、次に掲げる方法とする。
(1)

電話番号を送受信のために用いて電磁的記録を相手方の使用に係る携帯して使用する通信端末機器に送信する方法（他人に委託して行う場合を含む。）(2)

電子メールを送信する方法（他人に委託して行う場合を含
む。）

(3)

前号に定めるもののほか、その受信をする者を特定して情報を伝達するために用いられる電気通信（電気通信事業法（昭和 59 年
法律第 86 号）第 2 条第 1 号に規定する電気通信をいう。）を送信

193に、削除情報等を取得し、又は」と読み替えるものとする。

する方法（他人に委託して行う場合を含む。）【適用除外（法第 35 条の 2 第 9 項）】
法第 35 条の 2（第 9 項）
9仮名加工情報、仮名加工情報である個人データ及び仮名加工情報である保有個人データについては、第 15 条第 2 項、第 22 条の 2 及び第3-11 匿名加工情報取扱事業者等の義務（法第 36 条～第 39 条関係）

3-7 匿名加工情報取扱事業者等の義務（法第 36 条～第 39 条関係）

匿名加工情報取扱事業者等の義務については、別途定める「仮名加工情

匿名加工情報取扱事業者等の義務については、別途定める「個人情報の報・匿名加工情報ガイドライン」を参照のこと。

保護に関する法律についてのガイドライン（匿名加工情報編）」を参照の
こと。

（参考）

（参考）

【匿名加工情報の作成等（法第 36 条第 1 項関係）】【匿名加工情報の作成等（法第 36 条第 1 項関係）】

[略]

[同左]

【匿名加工情報の安全管理措置等（法第 36 条第 2 項・第 3 項、第 6 項、

【匿名加工情報の安全管理措置等（法第 36 条第 2 項、同条第 3 項、同条第 39 条関係）】

第 6 項、第 39 条関係）】

[略]

[同左]

194

27 条から第 34 条までの規定は、適用しない。

[【匿名加工情報の第三者提供（法第 36 条第 4 項、第 37 条関係）】・[【匿名加工情報の第三者提供（法第 36 条第 4 項、第 37 条関係）】・【識別行為の禁止（法第 36 条第 5 項、第 38 条関係）】 略]【識別行為の禁止（法第 36 条第 5 項、第 38 条関係）】 同左][削除]

4 漏えい等の事案が発生した場合等の対応

漏えい等（※）の事案が発生した場合等において、二次被害の防止、類似事案の発生防止等の観点から、個人情報取扱事業者が実施することが望まれる対応については、別に定める。

3-2（安全管理措置）参照）。

4 「勧告」、「命令」、「緊急命令」等についての考え方

5 「勧告」、「命令」、「緊急命令」等についての考え方

法第 42 条

法第 42 条1

1

個人情報保護委員会は、個人情報取扱事業者が第 16 条から第 17 条

個人情報保護委員会は、個人情報取扱事業者が第 16 条から第 18 条

まで、第 18 条（第 1 項、第 3 項及び第 4 項の規定を第 35 条の 2 第 4 項まで、第 20 条から第 22 条まで、第 23 条（第 4 項を除く。）、第 24の規定により読み替えて適用する場合を含む。）、第 20 条から第 22 条

条、第 25 条、第 26 条（第 2 項を除く。）、第 27 条、第 28 条（第 1 項の 2 まで、第 23 条（第 4 項を除き、第 5 項及び第 6 項の規定を第 35 条を除く。）、第 29 条第 2 項若しくは第 3 項、第 30 条第 2 項、第 4 項若の 2 第 6 項の規定により読み替えて適用する場合を含む。）、第 24

しくは第 5 項、第 33 条第 2 項若しくは第 36 条（第 6 項を除く。）の規条、第 25 条（第 1 項ただし書の規定を第 35 条の 2 第 6 項の規定により定に違反した場合又は匿名加工情報取扱事業者が第 37 条若しくは第 38

195（※）「漏えい等」とは、漏えい、滅失又は毀損のことをいう（3-読み替えて適用する場合を含む。）、第 26 条（第 2 項を除き、第 1 項条の規定に違反した場合において個人の権利利益を保護するため必要

ただし書の規定を第 35 条の 2 第 6 項の規定により読み替えて適用するがあると認めるときは、当該個人情報取扱事業者等に対し、当該違反場合を含む。）、第 27 条、第 28 条（第 1 項（第 5 項において準用する行為の中止その他違反を是正するために必要な措置をとるべき旨を勧場合を含む。）を除く。）、第 29 条第 2 項若しくは第 3 項、第 30 条

告することができる。

（第 1 項、第 3 項及び第 5 項を除く。）、第 33 条第 2 項、第 35 条の 2
（第 4 項及び第 5 項を除く。）若しくは第 36 条（第 6 項を除く。）の規定に違反した場合、個人関連情報取扱事業者が第 26 条の 2 第 1 項若しくは同条第 2 項において読み替えて準用する第 24 条第 3 項若しくは第 26 条の 2 第 3 項において読み替えて準用する第 26 条第 3 項若しくは第 4 項の規定に違反した場合、仮名加工情報取扱事業者が第 35 条の 3
第 1 項若しくは同条第 2 項において読み替えて準用する第 23 条第 5 項
196

若しくは第 6 項若しくは第 35 条の 3 第 3 項において読み替えて準用する第 20 条から第 22 条まで若しくは第 35 条の 2 第 7 項若しくは第 8 項の規定に違反した場合又は匿名加工情報取扱事業者が第 37 条若しくは第 38 条の規定に違反した場合において個人の権利利益を保護するため必要があると認めるときは、当該個人情報取扱事業者等に対し、当該違反行為の中止その他違反を是正するために必要な措置をとるべき旨を勧告することができる。
2

[略]

2

[同左]

3

個人情報保護委員会は、前二項の規定にかかわらず、個人情報取扱3

個人情報保護委員会は、前二項の規定にかかわらず、個人情報取扱事業者が第 16 条から第 17 条まで、第 20 条から第 22 条の 2 まで、第事業者が第 16 条、第 17 条、第 20 条から第 22 条まで、第 23 条第 1

23 条第 1 項、第 24 条第 1 項若しくは第 3 項、第 35 条の 2 第 1 項から項、第 24 条若しくは第 36 条第 1 項、第 2 項若しくは第 5 項の規定に違

第 3 項まで若しくは第 6 項から第 8 項まで若しくは第 36 条第 1 項、第反した場合又は匿名加工情報取扱事業者が第 38 条の規定に違反した場

2 項若しくは第 5 項の規定に違反した場合、個人関連情報取扱事業者が合において個人の重大な権利利益を害する事実があるため緊急に措置

第 26 条の 2 第 1 項若しくは同条第 2 項において読み替えて準用する第をとる必要があると認めるときは、当該個人情報取扱事業者等に対24 条第 3 項の規定に違反した場合、仮名加工情報取扱事業者が第 35 条

し、当該違反行為の中止その他違反を是正するために必要な措置をとの 3 第 1 項若しくは同条第 3 項において読み替えて準用する第 20 条かるべきことを命ずることができる。

ら第 22 条まで若しくは第 35 条の 2 第 7 項若しくは第 8 項の規定に違反した場合又は匿名加工情報取扱事業者が第 38 条の規定に違反した場合
において個人の重大な権利利益を害する事実があるため緊急に措置をとる必要があると認めるときは、当該個人情報取扱事業者等に対し、
当該違反行為の中止その他違反を是正するために必要な措置をとるべ
きことを命ずることができる。
4

個人情報保護委員会は、前二項の規定による命令をした場合におい197て、その命令を受けた個人情報取扱事業者等がその命令に違反したときは、その旨を公表することができる。

法第 83 条

法第 84 条

第 42 条第 2 項又は第 3 項の規定による命令に違反した場合には、当第 42 条第 2 項又は第 3 項の規定による命令に違反した者は、6 月以

該違反行為をした者は、1 年以下の懲役又は 100 万円以下の罰金に処す

下の懲役又は 30 万円以下の罰金に処する。

る。

法第 87 条

法第 87 条1

1

法人の代表者又は法人若しくは人の代理人、使用人その他の従業者

法人の代表者又は法人若しくは人の代理人、使用人その他の従業者が、その法人又は人の業務に関して、次の各号に掲げる違反行為をしが、その法人又は人の業務に関して、第 83 条から第 85 条までの違反たときは、行為者を罰するほか、その法人に対して当該各号に定める行為をしたときは、行為者を罰するほか、その法人又は人に対して罰金刑を、その人に対して各本条の罰金刑を科する。

2(1)

第 83 条及び第 84 条

(2)

第 85 条 同条の罰金刑も、各本条の罰金刑を科する。

1 億円以下の罰金刑[略]法第 42 条に規定される個人情報保護委員会の「勧告（第 1 項）」「命令

2

[同左]

法第 42 条に規定される個人情報保護委員会の「勧告（第 1 項）」「命令者等が本ガイドラインに沿って必要な措置等を講じたか否かにつき判断し者等が本ガイドラインに沿って必要な措置等を講じたか否かにつき判断して行うものとする。

て行うものとする。

すなわち、本ガイドラインの中で、「しなければならない」及び「してすなわち、本ガイドラインの中で、「しなければならない」及び「してはならない」と記述している事項については、これらに従わなかった場はならない」と記述している事項については、これらに従わなかった場合、個人情報取扱事業者においては法第 16 条から第 17 条まで、第 18 条合、個人情報取扱事業者においては第 16 条から第 18 条まで、第 20 条から（第 1 項、第 3 項及び第 4 項の規定を第 35 条の 2 第 4 項の規定により読み 第 22 条まで、第 23 条（第 4 項を除く。）、第 24 条、第 25 条、第 26 条
替えて適用する場合を含む。）、第 20 条から第 22 条の 2 まで、第 23 条

（第 2 項を除く。）、第 27 条、第 28 条（第 1 項を除く。）、第 29 条第 2

（第 4 項を除き、第 5 項及び第 6 項の規定を第 35 条の 2 第 6 項の規定によ 項若しくは第 3 項、第 30 条第 2 項、第 4 項若しくは第 5 項又は第 33 条第 2
り読み替えて適用する場合を含む。）、第 24 条、第 25 条（第 1 項ただし 項若しくは第 36 条（第 6 項を除く。）の規定違反、匿名加工情報取扱事業書の規定を第 35 条の 2 第 6 項の規定により読み替えて適用する場合を含 者においては第 37 条又は第 38 条の規定違反と判断される可能性がある。
む。）、第 26 条（第 2 項を除き、第 1 項ただし書の規定を第 35 条の 2 第 6項の規定により読み替えて適用する場合を含む。）、第 27 条、第 28 条（第1 項（第 5 項において準用する場合を含む。）を除く。）、第 29 条第 2 項
若しくは第 3 項、第 30 条（第 1 項、第 3 項及び第 5 項を除く。）、第 33 条
第 2 項、第 35 条の 2（第 4 項及び第 5 項を除く。）又は第 36 条（第 6 項を除く。）の規定違反、個人関連情報取扱事業者においては法第 26 条の 2 第198（第 2 項）」及び「緊急命令（第 3 項）」については、個人情報取扱事業 （第 2 項）」及び「緊急命令（第 3 項）」については、個人情報取扱事業

1 項若しくは同条第 2 項において読み替えて準用する第 24 条第 3 項又は第26 条の 2 第 3 項において読み替えて準用する第 26 条第 3 項若しくは第 4 項の規定違反、仮名加工情報取扱事業者においては法第 35 条の 3 第 1 項若し
くは同条第 2 項において読み替えて準用する第 23 条第 5 項若しくは第 6 項
又は第 35 条の 3 第 3 項において読み替えて準用する第 20 条から第 22 条まで若しくは第 35 条の 2 第 7 項若しくは第 8 項の規定違反、匿名加工情報取扱事業者においては法第 37 条又は第 38 条の規定違反と判断される可能性

違反と判断された場合において、実際に個人情報保護委員会が「勧告」違反と判断された場合において、実際に個人情報保護委員会が「勧告」を行うこととなるのは、個人の権利利益を保護するため必要があると個人を行うこととなるのは、個人の権利利益を保護するため必要があると個人情報保護委員会が認めたときとなる。

情報保護委員会が認めたときとなる。

一方、本ガイドライン中、「努めなければならない」、「望ましい」等

一方、本ガイドライン中、「努めなければならない」、「望ましい」等と記述している事項については、これに従わなかったことをもって直ちにと記述している事項については、これに従わなかったことをもって直ちに法違反と判断されることはないが、法の基本理念（法第 3 条）を踏まえ、 法違反と判断されることはないが、法の基本理念（法第 3 条）を踏まえ、事業者の特性や規模に応じ可能な限り対応することが望まれるものであ

事業者の特性や規模に応じ可能な限り対応することが望まれるものである。

る。

「命令」は、単に「勧告」に従わないことをもって発せられることはな「命令」は、単に「勧告」に従わないことをもって発せられることはな

く、正当な理由なくその勧告に係る措置をとらなかった場合において個人

く、正当な理由なくその勧告に係る措置をとらなかった場合において個人の重大な権利利益の侵害が切迫していると個人情報保護委員会が認めたとの重大な権利利益の侵害が切迫していると個人情報保護委員会が認めたときに発せられる。

きに発せられる。

なお、「勧告」に従わなかったか否かを明確にするため、個人情報保護

なお、「勧告」に従わなかったか否かを明確にするため、個人情報保護委員会は、「勧告」に係る措置を講ずべき期間を設定して「勧告」を行う

委員会は、「勧告」に係る措置を講ずべき期間を設定して「勧告」を行うこととする。

こととする。

199がある。

「緊急命令」は、個人情報取扱事業者等が上記各規定に違反した場合に「緊急命令」は、個人情報取扱事業者等が上記各規定に違反した場合において、個人の重大な権利利益を害する事実があるため緊急に措置をとる

おいて、個人の重大な権利利益を害する事実があるため緊急に措置をとる

必要があると個人情報保護委員会が認めたときに、「勧告」を前置せずに必要があると個人情報保護委員会が認めたときに、「勧告」を前置せずに

行う。

行う。

また、「命令」及び「緊急命令」に従わなかったか否かを明確にするた

また、「命令」及び「緊急命令」に従わなかったか否かを明確にするため、個人情報保護委員会は、「命令」及び「緊急命令」に係る措置を講ず

め、個人情報保護委員会は、「命令」及び「緊急命令」に係る措置を講ずべき期間を設定して「命令」及び「緊急命令」を行い、当該期間中に措置べき期間を設定して「命令」及び「緊急命令」を行い、当該期間中に措置が講じられない場合は、「公表（法第 42 条第 4 項）」の対象となるほか、 が講じられない場合は、「罰則（法第 84 条、第 87 条）」が適用される。
「罰則（法第 83 条、第 87 条）」が適用される。
なお、個人情報保護委員会は、事案の性質等に応じ、国民への情報提供等の観点から（法第 8 条）、個人情報保護委員会による権限行使につい200て、公表を行うことがある。

5 域外適用及び適用除外（法第 75 条・第 76 条関係）

6 域外適用及び適用除外（法第 75 条、第 76 条関係）

5-1 域外適用（法第 75 条関係）

6-1 域外適用（法第 75 条関係）

法第 75 条

法第 75 条

この法律は、個人情報取扱事業者等が、国内にある者に対する物品

第 15 条、第 16 条、第 18 条（第 2 項を除く。）、第 19 条から第 25又は役務の提供に関連して、国内にある者を本人とする個人情報、当条まで、第 27 条から第 36 条まで、第 41 条、第 42 条第 1 項、第 43 条

該個人情報として取得されることとなる個人関連情報又は当該個人情及び次条の規定は、国内にある者に対する物品又は役務の提供に関連報を用いて作成された仮名加工情報若しくは匿名加工情報を、外国にしてその者を本人とする個人情報を取得した個人情報取扱事業者が、

おいて取り扱う場合についても、適用する。

外国において当該個人情報又は当該個人情報を用いて作成した匿名加

外国にある個人情報取扱事業者等（※1）が、日本の居住者等国内にある外国にある個人情報取扱事業者のうち、日本の居住者等国内にある者に者（※2）に対する物品又は役務の提供（※3）に関連して、国内にある者

対して物品やサービスの提供を行い、これに関連してその者を本人とするを本人とする個人情報、当該個人情報として取得されることとなる個人関

個人情報を取得した者が、外国においてその個人情報又は当該個人情報を連情報又は当該個人情報を用いて作成された仮名加工情報若しくは匿名加用いて作成した匿名加工情報を取り扱う場合（※1）には、当該外国にある工情報を、外国において取り扱う場合には、法が適用される（※4）。な

個人情報取扱事業者に対して法に定める次の（1）から（9）までに掲げる

お、域外適用の対象となる場合は、外国にある個人情報取扱事業者等がこ規定が適用される（※2）。なお、法第 75 条には明記されていないが、法れらの情報を本人から直接取得して取り扱う場合に限られず、本人以外の第 17 条（適正取得）及び法第 18 条第 2 項（直接書面等による取得）の規第三者から提供を受けて取り扱う場合も含まれる。

定については、個人情報の取得の行為の重要部分は国内において行われることから、適用されるものと解される。

【域外適用の対象となる事例】
事例 1）外国のインターネット通信販売事業者が、日本の消費者に対する商品の販売・配送に関連して、日本の消費者の個人情報を取り扱う
場合
事例 2）外国のメールサービス提供事業者が、日本の消費者に対するメー
ルサービスの提供に関連して、日本の消費者の個人情報を取り扱う
場合（1）利用目的の特定等（法第 15 条関係。3-1-1（利用目的の特定）、32-1（適正取得）参照）（2）利用目的による制限（法第 16 条関係。3-1-3（利用目的による制限）参照）（3）利用目的の通知又は公表（法第 18 条関係。ただし同条第 2 項を除く。3-2-3（利用目的の通知又は公表）参照）

事例 3）外国のホテル事業者が、日本の消費者に対する現地の観光地やイ（4）データ内容の正確性の確保等、安全管理措置、従業者の監督、委託

ベント等に関する情報の配信等のサービスの提供に関連して、日本先の監督、第三者提供の制限、外国にある第三者への提供の制限、にある旅行会社等から提供を受けた日本の消費者の個人情報を取り第三者提供に係る記録の作成等（法第 19 条～第 25 条関係。3-3-1

扱う場合（データ内容の正確性の確保等）～3-4-5（第三者提供に係る記録の201

工情報を取り扱う場合についても、適用する。

作成等）参照）に対し、当該インターネット通信販売事業者による日本の消費者に（5）保有個人データに関する事項の公表等、開示、訂正等、利用停止

対するキャンペーン情報の配信等のサービスの提供に関連して、当等、理由の説明、開示等の請求等に応じる手続、利用目的の通知の該インターネット通信販売事業者が保有する日本の消費者の個人デ求め又は開示請求に係る手数料、苦情処理、匿名加工情報の作成等

ータと結び付けることが想定される個人関連情報を提供する場合（法第 27 条～第 36 条関係。3-5-1（保有個人データに関する事項の事例 5) 外国のアプリ提供事業者が、日本の消費者に対するサービスの提公表等）～3-7（匿名加工情報取扱事業者等の義務）参照）

供に関連して、新サービスの開発のために、日本の消費者の個人情（6）指導及び助言（法第 41 条関係）

報を用いて作成された仮名加工情報を取り扱う場合（7）勧告（法第 42 条第 1 項関係。5（「勧告」、「命令」、「緊急命事例 6) 外国のインターネット通信販売事業者が、日本の消費者に対する令」等についての考え方）参照）

商品の販売又はサービスの提供に関連して、傾向分析等を行うため（8）個人情報保護委員会の権限の行使の制限（法第 43 条関係）に、日本の消費者の個人情報を用いて作成された匿名加工情報を取（9）適用除外（法第 76 条関係。6-2（適用除外）参照）

り扱う場合（※1）具体的には、「日本に支店や営業所等を有する個人情報取扱事業者が外国にある本店において個人情報又は匿名加工情報【域外適用の対象とならない事例】（以下「個人情報等」という。）を取り扱う場合」、「日本に事例）外国にある親会社が、グループ会社の従業員情報の管理のため、おいて個人情報を取得した個人情報取扱事業者が海外に活動拠日本にある子会社の従業員の個人情報を取り扱う場合（※5）

点を移転した後に引き続き個人情報等を取り扱う場合」、「外国のインターネット通信販売事業者が、日本の消費者からその（※1）外国にのみ活動拠点を有する個人情報取扱事業者等（日本か個人情報を取得し、商品を販売・配送する場合」、「外国のメら海外に活動拠点を移転した個人情報取扱事業者等を含む。）

ールサービス提供事業者が、アカウント設定等のために日本のに限られず、例えば、日本に支店や営業所等を有する個人情報

消費者からその個人情報を取得し、メールサービスを提供する取扱事業者等の外国にある本店、日本に本店を有する個人情報場合」等が考えられる。

取扱事業者等の外国にある支店や営業所等も含まれる。
（※2）「物品又は役務の提供」の対象となる「国内にある者」とまた、外国にある宿泊施設が、日本国内の旅行会社から宿泊者の個人情報の提供を受ける場合等、単に第三者提供を受ける

202

事例 4) 外国の広告関連事業者が、日本のインターネット通信販売事業者

「個人情報」の本人である「国内にある者」については、必ずなどして日本国内にある者の個人情報を取得したにすぎず、

しも同一である必要はない。例えば、外国にある個人情報取扱「日本国内にある者」に対する物品や役務の提供等を行ってい事業者が、国内にある者 A を本人とする個人情報が記載されたない場合は、法の適用はなく、この場合においては、日本の旅名簿を国内にある者 B に販売することに関連して、当該個人情行会社が、法の規定に従い、本人同意を取得するなど外国にあ報を取り扱う場合、域外適用の対象となる。

る第三者に提供するために必要な措置を講ずることとなる。一

（※3）「物品又は役務の提供」に対して、本人から対価が支払われ方、外国の宿泊施設が、宿泊予約を直接受け付けるために日本るか否かは問わない。

国内にある者から直接個人情報を取得し、宿泊サービスを提供（※4）法第 75 条により法の適用を受ける外国事業者が、法に違反する場合は、法第 75 条の適用対象となると解される。

した場合には、個人情報保護委員会が指導、助言、勧告又は命（※2）法第 75 条により法の適用を受ける外国事業者が、上記（1）

令等を行うことができる。

から（9）までに掲げる規定に違反した場合には、個人情報保護委員会が法第 41 条又は第 42 条第 1 項に基づき指導・助言又はデータを提供するためには、法第 24 条に従い、本人の同意を取勧告を行うことができる。

得するなど外国にある第三者に個人データを提供するための措置を講ずる必要がある。詳細については、「外国第三者提供ガイドライン」を参照のこと。

5-2 適用除外（法第 76 条関係）

6-2 適用除外（法第 76 条関係）

法第 76 条

法第 76 条[1・2 略][1・2 同左]

3

3

第 1 項各号に掲げる個人情報取扱事業者等は、個人データ、仮名加工情報又は匿名加工情報の安全管理のために必要かつ適切な措置、個第 1 項各号に掲げる個人情報取扱事業者等は、個人データ又は匿名
加工情報の安全管理のために必要かつ適切な措置、個人情報等の取扱

203（※5）日本にある子会社が外国にある親会社に対して従業員の個人

人情報等（個人関連情報を除く。以下この項において同じ。）の取扱

いに関する苦情の処理その他の個人情報等の適正な取扱いを確保するいに関する苦情の処理その他の個人情報等の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するようために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。

努めなければならない。

報道機関（※1）が報道の用に供する目的で個人情報等を取り扱う場合、報道機関（※1）が報道の用に供する目的で個人情報等を取り扱う場合、小説家等が著述（※2）の用に供する目的で個人情報等を取り扱う場合、学小説家等が著述（※2）の用に供する目的で個人情報等を取り扱う場合、学術研究機関等が学術研究の用に供する目的で個人情報等を取り扱う場合

術研究機関等が学術研究の用に供する目的で個人情報等を取り扱う場合（※3）、宗教団体が宗教活動の用に供する目的で個人情報等を取り扱う場（※3）、宗教団体が宗教活動の用に供する目的で個人情報等を取り扱う場

合（※4）及び政治団体が政治活動の用に供する目的で個人情報等を取り扱 合（※4）及び政治団体が政治活動の用に供する目的で個人情報等を取り扱める個人情報取扱事業者等の義務等に係る規定は適用されない（※6）。

める個人情報取扱事業者等の義務等に係る規定は適用されない（※6）。

ただし、上記に定める各主体は、安全管理措置、苦情処理等、個人情報

ただし、上記に定める各主体は、安全管理措置、苦情処理等、個人情報等（個人関連情報を除く。）の適正な取扱いを確保するために必要な措置

等の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならな

置の内容を公表するよう努めなければならない。

い。

[（※1）～（※5） 略][（※1）～（※5） 同左]（※6）ただし、法第 76 条第 1 項各号に定める者についても、法第（※6）ただし、法第 76 条第 1 項各号に定める者についても、法第84 条（個人情報データベース等不正提供罪）は適用される点に83 条（個人情報データベース等不正提供罪）は適用される点について留意が必要である。

ついて留意が必要である。

204う場合（※5）は、憲法が保障する基本的人権への配慮から、法第 4 章に定 う場合（※5）は、憲法が保障する基本的人権への配慮から、法第 4 章に定6 ガイドラインの見直し[同左]

7 （別添）講ずべき安全管理措置の内容

8 （別添）講ずべき安全管理措置の内容

[略]

[同左]

7-1 基本方針の策定

8-1 基本方針の策定

[略]

[同左]

7-2 個人データの取扱いに係る規律の整備

8-2 個人データの取扱いに係る規律の整備

[略]

[同左]

7-3 組織的安全管理措置

8-3 組織的安全管理措置

[略]

[同左]

[（1）～（3）略]（4）漏えい等事案に対応する体制の整備
漏えい等事案の発生又は兆候を把握した場合に適切かつ迅速に対応するための体制を整備しなければならない。

[（1)～（3) 同左]（4）漏えい等の事案に対応する体制の整備
漏えい等の事案の発生又は兆候を把握した場合に適切かつ迅速に対応するための体制を整備しなければならない。

なお、漏えい等事案が発生した場合、二次被害の防止、類似事案のなお、漏えい等の事案が発生した場合、二次被害の防止、類似事案発生防止等の観点から、事案に応じて、事実関係及び再発防止策等をの発生防止等の観点から、事案に応じて、事実関係及び再発防止策等

早急に公表することが重要である（※）。

を早急に公表することが重要である（※）。

205

[略]

7 ガイドラインの見直し

（※）個人情報取扱事業者において、漏えい等事案が発生した場合等（※）個人情報取扱事業者において、漏えい等の事案が発生した場合の対応の詳細については、3-5（個人データの漏えい等の報告等の対応の詳細については、別に定める（4（漏えい等の事案が等）を参照のこと。

発生した場合等の対応）参照）。

（5）取扱状況の把握及び安全管理措置の見直し（5）取扱状況の把握及び安全管理措置の見直し
[同左]

講じなけれ
ばならない

手法の例示

中小規模事業者における手法の例示措置(1) 組 織 体

（組織体制として整備する項目

制の整備

の例）

[略]

講じなけれ
ばならない

手法の例示

措置
(1) 組 織 体

（組織体制として整備する項目

制の整備

の例）

・個人データの取扱いに関す・個人データの取扱いに関する責任者の設置及び責任のる責任者の設置及び責任の

明確化

明確化

・個人データを取り扱う従業・個人データを取り扱う従業者及びその役割の明確化者及びその役割の明確化

・上記の従業者が取り扱う個・上記の従業者が取り扱う個

人データの範囲の明確化

人データの範囲の明確化

・法や個人情報取扱事業者に・法や個人情報取扱事業者において整備されている個人

おいて整備されている個人

データの取扱いに係る規律

データの取扱いに係る規律に違反している事実又は兆に違反している事実又は兆候を把握した場合の責任者

候を把握した場合の責任者

中小規模事業者における手法の例示
[同左]

206

[略]

への報告連絡体制

・個人データの漏えい等事案

・個人データの漏えい等の事の発生又は兆候を把握した案の発生又は兆候を把握し場合の責任者への報告連絡た場合の責任者への報告連

体制

絡体制

・個人データを複数の部署で・個人データを複数の部署で取り扱う場合の各部署の役取り扱う場合の各部署の役割分担及び責任の明確化

割分担及び責任の明確化（2）[略][略][略]（2）[同左] [同左][同左]（3）[略][略][略]（3）[同左] [同左][同左]

(4) 漏 え い

漏えい等事案の発生時に例え・漏えい等事案の発生(4) 漏 え い

漏えい等の事案の発生時に例・漏えい等の事案の発等事案にば次のような対応を行うため時に備え、従業者か等の事案

えば次のような対応を行うため

生時に備え、従業者

対応するの、体制を整備することが考えら責任ある立場の者に対応すの、体制を整備することが考えから責任ある立場の

体制の整

られる。

に対する報告連絡体

る体制の

られる。

者に対する報告連絡制等をあらかじめ確整備

備・事実関係の調査及び原因の究明・影響を受ける可能性のある本人への通知・個人情報保護委員会等への
報告

認する。

・事実関係の調査及び原因の究明・影響を受ける可能性のある本人への連絡・個人情報保護委員会等への報告・再発防止策の検討及び決定・再発防止策の検討及び決定・事実関係及び再発防止策等

・事実関係及び再発防止策等

の公表 等

の公表 等

体制等をあらかじめ
確認する。

207

への報告連絡体制

（5）[略][略][略]

7-4 人的安全管理措置（5）[同左] [同左][同左]

8-4 人的安全管理措置

個人情報取扱事業者は、人的安全管理措置として、次に掲げる措置を

個人情報取扱事業者は、人的安全管理措置として、次に掲げる措置を講じなければならない。また、個人情報取扱事業者は、従業者に個人デー講じなければならない。また、個人情報取扱事業者は、従業者に個人デーしなければならない（3-4-3（従業者の監督）参照）。

しなければならない（3-3-3（従業者の監督）参照）。

○従業者の教育○従業者の教育[略][同左]

7-5 物理的安全管理措置

8-5 物理的安全管理措置

[略]

[同左]

7-6 技術的安全管理措置

8-6 技術的安全管理措置

[略]

[同左]

7-7 外的環境の把握[新設]

個人情報取扱事業者が、外国において個人データを取り扱う場合、当該外国の個人情報の保護に関する制度等を把握した上で、個人データの安全管理のために必要かつ適切な措置を講じなければならない。

208

タを取り扱わせるに当たっては、法第 21 条に基づき従業者に対する監督を タを取り扱わせるに当たっては、法第 21 条に基づき従業者に対する監督を

[新設]

209

【付録】

210

備考 表中の[ ]の記載は注記である。