医療データベース協会の会員における個人情報の適正な取扱いのための指針（個人情報保護指針）

平成２８年１２月制定（令和４年６月改訂）

一般社団法人 医療データベース協会

目次
1

2

3

本指針の目的等 ................................................................. 5
1-1

日本医療データベース協会について ........................................... 5

1-2

認定個人情報保護団体について ............................................... 5

1-3

適用対象と目的 ............................................................. 5

1-4

本指針の構成 ............................................................... 5

定義 ........................................................................... 6
2-1

個人情報（法第 2 条第 1 項関係） ............................................ 6

2-2

個人識別符号（法第 2 条第 2 項関係） ......................................... 7

2-3

要配慮個人情報（法第 2 条第 3 項関係） ....................................... 8

2-4

個人情報データベース等（法第 16 条第 1 項関係）.............................. 10

2-5

個人情報取扱事業者（法第 16 条第 2 項関係）.................................. 12

2-6

個人データ（法第 16 条第 3 項関係） ....................................... 122-7

保有個人データ（法第 16 条第 4 項関係） ..................................... 13

2-8

仮名加工情報（法第 2 条第 5 項関係） ...................................... 15

2-9

仮名加工情報取扱事業者（法第 16 条第 5 項関係） ........................... 14

2-10

匿名加工情報（法第 2 条第 6 項関係） ........................................ 15

2-11

匿名加工情報取扱事業者（法第 16 条第 6 項関係） .............................. 16

2-12

個人関連情報（法第 2 条第 7 項関係） ...................................... 17

2-13

個人関連情報取扱事業者（法第 16 条第 7 項関係） ........................... 18

2-14「本人に通知」 ............................................................ 18

2-15「公表」 .................................................................. 19

2-16「本人の同意」 ............................................................ 19

2-17「提供」 .................................................................. 20

個人情報取扱事業者等の義務 .................................................... 21
3-1

個人情報の利用目的（法第 17 条～第 18 条、第 21 条第 3 項関係） ................ 21

3-1-1

利用目的の特定（法第 17 条第 1 項関係） ................................. 21

3-1-2

利用目的の変更（法第 17 条第 2 項、第 21 条第 3 項関係） .................. 21

3-1-3

利用目的による制限（法第 18 条第 1 項関係） ............................ 22

3-1-4

事業の承継（法第 18 条第 2 項関係）..................................... 22

3-1-5

利用目的による制限の例外（法第 18 条第 3 項関係） ....................... 233-2

不適正利用の禁止（法第 19 条関係） ................................... 24

3-3

個人情報の取得（法第 20 条・第 21 条関係）................................... 25

3-3-1

適正取得（法第 20 条第 1 項関係）....................................... 25

3-3-2

要配慮個人情報の取得（法第 20 条第 2 項関係） .......................... 26

3-3-3

利用目的の通知又は公表（法第 21 条第 1 項関係） ........................ 28

3-3-4

直接書面等による取得（法第 21 条第 2 項関係） .......................... 282

3-3-53-4

利用目的の通知等をしなくてよい場合（法第 21 条第 4 項関係） ............ 29
個人データの管理（法第 22 条～第 25 条関係）................................. 31

3-4-1

データ内容の正確性の確保等（法第 22 条関係） .......................... 31

3-4-2

安全管理措置（法第 23 条関係） ........................................ 32

3-4-3

従業者の監督（法第 24 条関係） ........................................ 32

3-4-4

委託先の監督（法第 25 条関係） ........................................ 33

3-5

個人情報保護委員会への報告（法第 26 条関係） ......................... 34

3-6

個人データの第三者への提供（法第 27 条～第 30 条関係） ...................... 36

3-6-1

第三者提供の制限の原則（法第 27 条第 1 項関係） ........................ 36

3-6-2

オプトアウトによる第三者提供（法第 27 条第 2 項～第 4 項関係）........... 38

3-6-3

第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係） ................. 41

3-6-4

外国にある第三者への提供の制限（法第 28 条関係） ...................... 43

3-6-5

第三者提供に係る記録の作成等（法第 29 条関係） ......................... 44

3-6-6

第三者提供を受ける際の確認等（法第 30 条関係） ........................ 44

3-7

個人関連情報の第三者提供の制限等（法第 31 条関係）..................... 45

3-8
保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止等（法第 32 条～第 39 条関係） ....................................................... 46
3-8-1

保有個人データに関する事項の公表等（法第 32 条関係） .................. 46

3-8-2

保有個人データの開示（法第 33 条関係） ................................ 48

3-8-3

保有個人データの訂正等（法第 34 条関係） .............................. 49

3-8-4

保有個人データの利用停止等（法第 35 条関係） .......................... 50

3-8-5

理由の説明（法第 36 条関係） .......................................... 51

3-8-6

開示等の請求等に応じる手続（法第 37 条関係） .......................... 52

3-8-7

手数料（法第 38 条関係） .............................................. 53

3-8-8

裁判上の訴えの事前請求（法第 39 条関係） ............................. 54

3-9

個人情報の取扱いに関する苦情処理（法第 40 条関係） ......................... 544

仮名加工情報取扱事業者の義務 .............................................. 55
4-1

仮名加工情報の作成等（法第 41 条関係） .................................... 55

4-2

仮名加工情報の第三者提供の制限等（法第 42 条関係） ........................ 58

5

匿名加工情報取扱事業者等の義務（法第 43 条～第 46 条関係） ...................... 59
5-1

匿名加工情報取扱事業者等の義務 ............................................ 59

5-1-1

匿名加工情報の取扱いに係る義務の考え方 ............................... 59

5-1-2

匿名加工情報の適正な加工（法第 43 条第 1 項関係） .................... 60

5-1-3

匿名加工情報等の安全管理措置等（法第 43 条第 2 項、第 6 項、第 46 条関係） 66

5-1-4

匿名加工情報の作成時の公表（法第 43 条第 3 項関係） .................... 69

5-1-5

匿名加工情報の第三者提供（法第 43 条第 4 項、第 44 条関係）.............. 71

5-1-6

識別行為の禁止（法第 43 条第 5 項、第 45 条関係）........................ 72

3

【凡例】

「法」

個人情報の保護に関する法律（平成 15 年法律第 57 号）「政令」

個人情報の保護に関する法律施行令（平成 15 年政令第 507 号）「規則」

個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第 3 号）

「通則ガイドライン」
個人情報の保護に関する法律についてのガイドライン（通則編）（平成 28 年個人情報保護委員会告示第 6 号）

4

1

本指針の目的等

1-1

日本医療データベース協会について

一般社団法人 医療データベース協会（Association of Medical Databases in Japan、AMDJ。以下、「当協会」とする。）は、電子診療情報データベースを有効に活用できる人材育成、電子診
療情報データベースを活用した研究・有益な情報の発信、業界の自主規格の策定・普及等を通して、各界の関係者が安心して医療DBを活用でき、ひいては医療の質の向上に貢献できるための環境整備を目的に2014年1月に発足した。

1-2

認定個人情報保護団体について

当協会は2017年2月に経済産業大臣より認定された認定個人情報保護団体である。認定個人情報保護団体制度は、個人情報取扱事業者又は匿名加工情報取扱事業者の個人情報又は匿名加工情報の適正な取扱いを目的として、対象事業者の苦情処理や対象事業者に対する情報提供を行う民間団体に対し、個人情報保護委員会が認定する制度であり、当該業務の信頼性を確保し、民間団体
による個人情報の保護の推進を図ろうとするものである。

1-3

適用対象と目的

本指針は、「個人情報の保護に関する法律」（平成15年法律第57号、以下「法」という。）に基づき、認定個人情報保護団体である当協会として、会員である事業者が行う個人情報の適正な取扱いの確保に関する活動を支援するための指針として定めるものである。

1-4

本指針の構成本指針は、「個人情報の保護に関する法律についてのガイドライン(通則編)」及び「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」（共に平成28年
11月 個人情報保護委員会）の内容に沿いつつ、当協会会員の事業内容を反映して加筆・抜粋・再構成したものである。
当協会会員の事業に関連性の深い「5匿名加工情報取扱事業者等の義務（法第 43 条～第 46条関係）」の章については、関係する法の条文に加えて政令及び規則も引用した上で指針を記載している。一方、他の章については可読性を優先して、政令及び規則は引用していないため、必要に応じて関係する政令及び規則を参照されたい。

5

2

定義

2-1

個人情報（法第 2 条第 1項関係）法第 2 条（第 1 項）
1

この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
(1)

当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。次項第 2 号において同じ。）で作られる記録をいう。以下同じ。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人
識別符号を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができる
こととなるものを含む。）(2)

個人識別符号が含まれるもの「個人情報」とは、生存する「個人に関する情報」であって、「当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができるものを含む。）」、又は「個人識別符号が含まれるもの」をいう。
「個人に関する情報」とは、氏名、住所、性別、生年月日、顔画像等個人を識別する情報に限られず、個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化等によって秘匿化されているかどうかを問わない。

【医療機関、介護事業者、健康保険組合等における個人情報の例】
事例 1)

診療録、処方せん、手術記録、助産録、看護記録、検査所見記録、エックス線写真、紹介状、退院した患者に係る入院期間中の診療経過の要約、調剤録等

事例 2)

ケアプラン、介護サービス提供にかかる計画、提供したサービス内容等の記録、事故の状況等の記録等

事例 3)

健康保険の適用情報、レセプト情報、健康診断情報等【一般における個人情報の例】
事例 1)

本人の氏名

事例 2)

生年月日、連絡先（住所・居所・電話番号・メールアドレス）、会社における職位
又は所属に関する情報について、それらと本人の氏名を組み合わせた情報6

事例 3)

防犯カメラに記録された情報等本人が判別できる映像情報

事例 4)

本人の氏名が含まれる等の理由により、特定の個人を識別できる音声録音情報

事例 5)

特定の個人を識別できるメールアドレス（kojin_ichiro@example.com 等のようにメールアドレスだけの情報の場合であっても、example 社に所属するコジンイチロ
ウのメールアドレスであることが分かるような場合等）

事例 6)

個人情報を取得後に当該情報に付加された個人に関する情報（取得時に生存する特定の個人を識別することができなかったとしても、取得後、新たな情報が付加され、又は照合された結果、生存する特定の個人を識別できる場合は、その時点で個人情報に該当する。）

事例 7)

官報、電話帳、職員録、法定開示書類（有価証券報告書等）、新聞、ホームページ、SNS（ソーシャル・ネットワーク・サービス）等で公にされている特定の個人を識別できる情報

個人識別符号（法第 2 条第2 項関係）

2-2

法第 2 条（第 2 項）
2

この法律において「個人識別符号」とは、次の各号のいずれかに該当する文字、番号、記号

その他の符号のうち、政令で定めるものをいう。
(1)

特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの(2)

個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ、又は個人に発行されるカードその他の書類に記載され、若しくは電磁的方式により記録された文字、番号、記号その他の符号であって、その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され、若しくは記録されることにより、特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの「個人識別符号」とは、当該情報単体から特定の個人を識別できるものとして政令に定められた文字、番号、記号その他の符号をいい、これに該当するものが含まれる情報は個人情報となる。
個人識別符号に該当することとなるものは次のとおりである。

(1)

DNAを構成する塩基配列データ•

ゲノムデータ（細胞から採取されたデオキシリボ核酸（別名 DNA）を構成する塩基の配列を文字列で表記したもの）のうち、全核ゲノムシークエンスデータ、全エクソー
ムシークエンスデータ、全ゲノム一塩基多型（SNP）データ、互いに独立な 40 箇所以
上の SNP から構成されるシークエンスデータ、9 座位以上の 4 塩基単位の繰り返し
配列（short tandem repeat：STR）等の遺伝型情報により本人を認証することができ

7

るようにしたもの(2)

次の①から⑥までの身体特徴により個人を識別できるデータ① 顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状によって定まる容貌（例、顔認証データ）② 虹彩の表面の起伏により形成される線状の模様（例、虹彩認証データ）③ 発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化によって定まる
声の質（例、声紋認証データ）④ 歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様（例、歩容認証データ）⑤ 手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状（例、静脈認証データ）⑥ 指紋又は掌紋（例、指紋認証データ）(3)

次の①から⑥までの個人を識別できる番号等① 旅券番号② 基礎年金番号③ 免許証番号④ 住民票コード⑤ 個人番号（マイナンバー）⑥ 健康保険等の被保険者証等の文字・番号・記号・保険者番号等(4)

その他、個人情報保護委員会規則で定めるもの

2-3

要配慮個人情報（法第 2 条第3 項関係）

法第 2 条（第 3 項）
3 この法律において「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。

「要配慮個人情報」とは、不当な差別や偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして次の（1）から（11）までの記述等が含まれる個人情報をいう。
要配慮個人情報の取得や第三者提供には、原則として本人の同意が必要であり、法第 23 条第 2項の規定による第三者提供（オプトアウトによる第三者提供）は認められていないので、注意が必要である（（要配慮個人情報の取得）、（第三者提供の制限の原則）、（オプトアウトによる第三者提供）参照）。
なお、次に掲げる情報を推知させる情報にすぎないもの（例：宗教に関する書籍の購買や貸出しに係る情報等）は、要配慮個人情報には含まない。

8

(1)

人種
•

人種、世系又は民族的若しくは種族的出身を広く意味する。なお、単純な国籍や「外国人」という情報は法的地位であり、それだけでは人種には含まない。また、肌の色
は、人種を推知させる情報にすぎないため、人種には含まない。

(2)

信条

(3)

社会的身分
•

ある個人にその境遇として固着していて、一生の間、自らの力によって容易にそれから脱し得ないような地位を意味し、単なる職業的地位や学歴は含まない。

(4)

病歴

(5)

犯罪の経歴

(6)

犯罪により害を被った事実(7)

身体障害、知的障害、精神障害（発達障害を含む。）その他の個人情報保護委員会規則で定める心身の機能の障害があること(8)

本人に対して医師その他医療に関連する職務に従事する者により行われた疾病の予防及び早期発見のための健康診断その他の検査の結果•

疾病の予防や早期発見を目的として行われた健康診査、健康診断、特定健康診査、健康測定、ストレスチェック、遺伝子検査（診療の過程で行われたものを除く。）等、受診者本人の健康状態が判明する検査の結果が該当する。

•

また、法律に定められた健康診査の結果等に限定されるものではなく、人間ドックなど保険者や事業主が任意で実施又は助成する検査の結果も該当する。

•

さらに、医療機関を介さないで行われた遺伝子検査により得られた本人の遺伝型とその遺伝型の疾患へのかかりやすさに該当する結果等も含まれる。

•

なお、健康診断等を受診したという事実は該当しない。

•

なお、身長、体重、血圧、脈拍、体温等の個人の健康に関する情報を、健康診断、診療等の事業及びそれに関する業務とは関係ない方法により知り得た場合は該当しない。

(9)

健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと•「健康診断等の結果に基づき、本人に対して医師等により心身の状態の改善のための指導が行われたこと」とは、健康診断等の結果、特に健康の保持に努める必要がある者に対し、医師又は保健師が行う保健指導等の内容が該当する。

•

指導が行われたことの具体的な事例としては、労働安全衛生法に基づき医師又は保健師により行われた保健指導の内容、同法に基づき医師により行われた面接指導の内容、
高齢者の医療の確保に関する法律に基づき医師、保健師、管理栄養士により行われた
特定保健指導の内容等が該当する。

•

また、法律に定められた保健指導の内容に限定されるものではなく、保険者や事業主

9が任意で実施又は助成により受診した保健指導の内容も該当する。
•

なお、保健指導等を受けたという事実も該当する。

•「健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により診療が行われたこと」とは、病院、診療所、その他の医療を提供する施設において診療の過程で、患者の身体の状況、病状、治療状況等について、医師、歯科医師、薬剤師、看護師その他の医療従事者が知り得た情報全てを指し、例
えば診療記録等がこれに該当する。

•

また、病院等を受診したという事実も該当する。

•「健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により調剤が行われたこと」とは、病院、診療所、薬局、その他の医療を提供する施設において調剤の過程で患者の身体の状況、病状、治療状況等について、薬剤師（医師又は歯科医師が自己の処方箋により自ら調剤する場合を含む。）
が知り得た情報全てを指し、調剤録、薬剤服用歴、お薬手帳に記載された情報等が該当する。

•

また、薬局等で調剤を受けたという事実も該当する。

•

なお、身長、体重、血圧、脈拍、体温等の個人の健康に関する情報を、健康診断、診療等の事業及びそれに関する業務とは関係のない方法により知り得た場合は該当しない。

(10) 本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと(11) 本人を少年法（昭和 23 年法律第 168 号）第 3 条第 1 項に規定する少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと（※） 遺伝子検査により判明する情報の中には、差別、偏見につながり得るもの（例：将来発症し得る可能性のある病気、治療薬の選択に関する情報等）が含まれ得るが、当該情報は、「本人に対して医師その他医療に関連する職務に従事する者により行われた疾病の予防及び早期発見のための健康診断その他の検査の結果」（政令第 2
条第 2 号関係）又は「健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと」（政令第 2 条第 3 号関係）に該当し得る。

2-4

個人情報データベース等（法第 16 条第1項関係）法第 16 条（第 1 項）
この章及び第 8 章において「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるもの（利用方法からみて個人の権利利益を害するおそれが少ないものとして10

政令で定めるものを除く。）をいう。
(1)

特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの(2)

前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの「個人情報データベース等」とは、特定の個人情報をコンピュータを用いて検索することができるよ
うに体系的に構成した、個人情報を含む情報の集合物をいう。また、コンピュータを用いていない場
合であっても、紙面で処理した個人情報を一定の規則（例えば、五十音順等）に従って整理・分類
し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当する。ただし、次の（1）から（3）までのいずれにも該当するものは、利用方法からみて個人の権利利益を害するおそれが少ないため、個人情報データベース等には該当しない。

(1)

不特定かつ多数の者に販売することを目的として発行されたものであって、かつ、その発行が法又は法に基づく命令の規定に違反して行われたものでないこと。

(2)

不特定かつ多数の者により随時に購入することができ、又はできたものであること。

(3)

生存する個人に関する他の情報を加えることなくその本来の用途に供しているものであること。

【個人情報データベース等に該当する事例】
事例 1)

電子メールソフトに保管されているメールアドレス帳（メールアドレスと氏名を組み合わせた情報を入力している場合）

事例 2)

インターネットサービスにおいて、ユーザーが利用したサービスに係るログ情報がユーザーIDによって整理され保管されている電子ファイル（ユーザーIDと個人情報を容易に照合することができる場合）

事例 3)

従業者が、名刺の情報を業務用パソコン（所有者を問わない。）の表計算ソフト等
を用いて入力・整理している場合

事例 4)

人材派遣会社が登録カードを、氏名の五十音順に整理し、五十音順のインデックス
を付してファイルしている場合【個人情報データベース等に該当しない事例】
事例 1)

従業者が、自己の名刺入れについて他人が自由に閲覧できる状況に置いていても、他人には容易に検索できない独自の分類方法により名刺を分類した状態である場合

事例 2)

アンケートの戻りはがきが、氏名、住所等により分類整理されていない状態である
場合

事例 3)

市販の電話帳、住宅地図、職員録、カーナビゲーションシステム等

11

2-5

個人情報取扱事業者（法第 16条第2 項関係）

法第 16 条（第 2 項）
2

この章及び第 6 章から第 8 章までにおいて「個人情報取扱事業者」とは、個人情報データ

ベース等を事業の用に供している者をいう。ただし、次に掲げる者を除く。
(1) 国の機関(2) 地方公共団体(3) 独立行政法人等(4) 地方独立行政法人「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者のうち、国の機関、地方公共団体、法第 2 条第 9 項に規定する独立行政法人等（別表第 2 に掲げる法人を除く。）及び法第 2 条第 10 項に規定する地方独立行政法人を除いた者をいう。
ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。
また、個人情報データベース等を事業の用に供している者であれば、当該個人情報データベース等を構成する個人情報によって識別される特定の個人の数の多寡にかかわらず、個人情報取扱事業者に該当する。
なお、法人格のない、権利能力のない社団（任意団体）又は個人であっても、個人情報データベース等を事業の用に供している場合は個人情報取扱事業者に該当する。

2-6

個人データ（法第 16 条第 3 項関係）

法第 16 条（第 3 項）
3 この章において「個人データ」とは、個人情報データベース等を構成する個人情報をいう。

「個人データ」とは、個人情報取扱事業者が管理する「個人情報データベース等」を構成する個人情報をいう。
なお、法第 16 条第 1 項及び政令第 4 条第 1 項に基づき、利用方法からみて個人の権利利益を害す
るおそれが少ないため、個人情報データベース等から除かれているもの（例：市販の電話帳・住宅地図等）を構成する個人情報は、個人データに該当しない（（個人情報データベース等）参照）。

【個人データに該当する事例】
事例 1)

個人情報データベース等から外部記録媒体に保存された個人情報12

事例 2)

個人情報データベース等から紙面に出力された帳票等に印字された個人情報【個人データに該当しない事例】
事例 1)

個人情報データベース等を構成する前の入力用の帳票等に記載されている個人情報

保有個人データ（法第 16 条第 4 項関係）

2-7

法第 16 条（第 4 項）
4 この章において「保有個人データ」とは、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの以外のものをいう。

「保有個人データ」とは、個人情報取扱事業者が、本人又はその代理人から請求される開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止の全て（以下「開示等」という。）に応じることができる権限を有する「個人データ」をいう。

仮名加工情報（法第 2 条第5 項関係）

2-8

法第 2 条（第 5 項）
5

この法律において「仮名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて他の情報と照合しない限り特定の個人を識別することができないように
個人情報を加工して得られる個人に関する情報をいう。
(1)

第 1 項第 1 号に該当する個人情報

当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
(2) 第 1 項第 2 号に該当する個人情報

当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述
等に置き換えることを含む。）。
「仮名加工情報」とは、個人情報をその区分に応じて定められた措置を講じて、他の情報と照合しない限り、特定の個人を識別することができないように加工して得られる個人に関する情報をいう。

法第 2 条第 1 項第 1 号に該当する「当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別できるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）」である個人情報の場合には、その個人情報に13含まれる記述等の一部を削除することを意味する。
法第 2 条第 1 項第 2 号に該当する「個人識別符号が含まれる」個人情報の場合には、その個人情報に含まれる個人識別符号の全部を削除することを意味する。なお、この措置を講じた上で、まだなお法第 2 条第 1 項第 1 号の個人情報に該当する場合は、同号に該当する個人情報としての加工を行う必要がある。
「削除すること」には、「当該一部の記述等」又は「当該個人識別符号」を「復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む」とされている。「復元することのできる規則性を有しない方法」とは、置き換えた記述等から、置き換える前の特定の個人を識別することとなる記述等又は個人識別符号の内容を復元することができない方法である。
なお、法において「特定の個人を識別することができる」とは、情報単体又は複数の情報を組み合わせて保存されているものから社会通念上そのように判断できるものをいい、一般人の判断力
又は理解力をもって生存する具体的な人物と情報の間に同一性を認めるに至ることができるかど
うかによるものである。仮名加工情報に求められる「他の情報と照合しない限り特定の個人を識別することができない」という要件は、加工後の情報それ自体により特定の個人を識別することができないような状態にすることを求めるものであり、当該加工後の情報とそれ以外の他の情報を組み合わせることによって特定の個人を識別することができる状態にあることを否定するものではない。

仮名加工情報を作成するときは、規則で定める基準に従って加工する必要があり、法第 2 条第 5項に定める措置を含む必要な措置は当該規則で定めている。

2-9

仮名加工情報取扱事業者（法第 16 条第5 項関係）

法第 16 条（第 5 項）
5 この章、第六章及び第七章において「仮名加工情報取扱事業者」とは、仮名加工情報を含む情報の集合物であって、特定の仮名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の仮名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第四十一条第一項において「仮名加工情報データベース等」という。）を事業の用に供している者をいう。ただし、第二項各号に掲げる者を除く。

「仮名加工情報取扱事業者」とは、仮名加工情報データベース等を事業の用に供している者のう
ち、国の機関、地方公共団体、法第 2 条第 9 項に規定する独立行政法人等（別表第 2 に掲げる法人を除く。）及び法第 2 条第 10 項に規定する地方独立行政法人を除いた者をいう。

「仮名加工情報を含む情報の集合物であって、特定の仮名加工情報を電子計算機を用いて検索することができるように体系的に構成したもの」とは、特定の仮名加工情報をコンピュータを用いて検索することができるように体系的に構成した、仮名加工情報を含む情報の集合物をいう。ま14

た、コンピュータを用いていない場合であっても、紙媒体の仮名加工情報を一定の規則に従って
整理・分類し、特定の仮名加工情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当する。
ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。なお、法人格のない、権利能力のない社団（任意団体）又は個人であっても、仮名加工
情報データベース等を事業の用に供している場合は、仮名加工情報取扱事業者に該当する。

2-10

匿名加工情報（法第 2 条第6 項関係）

法第 2 条（第 6 項）
6

この法律において「匿名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。
(1)

第 1 項第 1 号に該当する個人情報 当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

(2)

第 1 項第 2 号に該当する個人情報 当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述
等に置き換えることを含む。）。

「匿名加工情報」とは、個人情報を個人情報の区分に応じて定められた措置を講じて特定の個人を識別することができないように加工して得られる個人に関する情報であって、当該個人情報を復元して特定の個人を再識別することができないようにしたものをいう。

法第 2 条第 1 項第 1 号に該当する「当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別できるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）」である個人情報の場合には、「特定の個人を識別することができないように個人情報を加工」とは、特定の個人を識別することができなくなるように当該個人情報に含まれる氏名、生年月日その他の記述等を削除することを意味する。
法第 2 条第 1 項第 2 号に該当する「個人識別符号が含まれる」個人情報の場合には、「特定の個人を識別することができないように個人情報を加工」とは、当該個人情報に含まれる個人識
別符号の全部を特定の個人を識別することができなくなるように削除することを意味する（この措置を講じた上で、まだなお法第 2 条第 1 項第 1 号に該当する個人情報であった場合には、同号に該当する個人情報としての加工を行う必要がある。）。
「削除すること」には、「当該一部の記述等」又は「当該個人識別符号」を「復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む」とされている。「復元す15

ることのできる規則性を有しない方法」とは置き換えた記述から、置き換える前の特定の個人を識別することとなる記述等又は個人識別符号の内容を復元することができない方法である。
なお、法において「特定の個人を識別することができる」とは、情報単体又は複数の情報を組み合わせて保存されているものから社会通念上そのように判断できるものをいい、一般人の判断力
又は理解力をもって生存する具体的な人物と情報の間に同一性を認めるに至ることができるかど
うかによるものである。匿名加工情報に求められる「特定の個人を識別することができない」という要件は、あらゆる手法によって特定することができないよう技術的側面から全ての可能性を排除することまでを求めるものではなく、少なくとも、一般人及び一般的な事業者の能力、手法等を基準として当該情報を個人情報取扱事業者又は匿名加工情報取扱事業者が通常の方法により特定できないような状態にすることを求めるものである。
また、「当該個人情報を復元することができないようにしたもの」とは、通常の方法では、匿名
加工情報から匿名加工情報の作成の元となった個人情報に含まれていた特定の個人を識別することとなる記述等又は個人識別符号の内容を特定すること等により、匿名加工情報を個人情報に戻すことができない状態にすることをいう。
「当該個人情報を復元することができないようにしたもの」という要件は、あらゆる手法によって復元することができないよう技術的側面から全ての可能性を排除することまでを求めるものではなく、少なくとも、一般人及び一般的な事業者の能力、手法等を基準として当該情報を個人情報取扱事業者又は匿名加工情報取扱事業者が通常の方法により復元できないような状態にすることを求めるものである。
匿名加工情報を作成するときは、法第 43 条第 1 項に規定する規則で定める基準に従って加工する必要があり、法第 2 条第 6 項に定める措置を含む必要な措置は当該規則で定めている。
（匿名加工情報の作成に必要な加工義務については、（匿名加工情報の適正な加工）参照）
なお、「統計情報」は、複数人の情報から共通要素に係る項目を抽出して同じ分類ごとに集計して得られるデータであり、集団の傾向又は性質などを数量的に把握するものである。したがって、
統計情報は、特定の個人との対応関係が排斥されている限りにおいては、法における「個人に関する情報」に該当するものではないため、改正前の法においても規制の対象外と整理されており、従来同様に規制の対象外となる。

2-11

匿名加工情報取扱事業者（法第 16 条第6 項関係）

法第 16 条（第 6 項）
6 この章、第 6 章及び第 7 章において「匿名加工情報取扱事業者」とは、匿名加工情報を含む情報の集合物であって、特定の匿名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の匿名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第 43 条第 1 項において「匿名加工情報データベース等」という。）を事業の用に供している者をいう。ただし、第 2 項各号に掲げる者を除く。

16

「匿名加工情報取扱事業者」とは、匿名加工情報データベース等を事業の用に供している者のう
ち、国の機関、地方公共団体、法第 2 条第 9 項に規定する独立行政法人等（別表第 2 に掲げる法人を除く。）及び法第 2 条第 10 項に規定する地方独立行政法人を除いた者をいう。

「匿名加工情報を含む情報の集合物であって、特定の匿名加工情報を電子計算機を用いて検索することができるように体系的に構成したもの」とは、特定の匿名加工情報をコンピュータを用いて検索することができるように体系的に構成した、匿名加工情報を含む情報の集合物をいう。また、コンピュータを用いていない場合であっても、紙媒体の匿名加工情報を一定の規則に従って
整理・分類し、特定の匿名加工情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当する。
ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。なお、法人格のない、権利能力のない社団（任意団体）又は個人であっても匿名加工情報データベース等を事業の用に供している場合は匿名加工情報取扱事業者に該当する。

2-12

個人関連情報（法第 2 条第 7 項関係）

法第 2 条（第 7 項）
7

この法律において「個人関連情報」とは、生存する個人に関する情報であって、個人情報、

仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。

個人関連情報とは、生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。
「個人に関する情報」とは、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報である。「個人に関する情報」のうち、氏名、生年月日その他の記述等により特定の個人を識別することができるものは、個人情報に該当するため、個人関連情報には該当しない。
また、統計情報は、特定の個人との対応関係が排斥されている限りにおいては、「個人に関する情報」に該当するものではないため、個人関連情報にも該当しない。

【個人関連情報に該当する事例】
事例 1）

Cookie 等の端末識別子を通じて収集された、ある個人のウェブサイトの閲覧履歴

事例 2）

メールアドレスに結び付いた、ある個人の年齢・性別・家族構成等

事例 3）ある個人の商品購買履歴・サービス利用履歴

事例 4）

ある個人の位置情報

事例 5）

ある個人の興味・関心を示す情報

17

（※）個人情報に該当する場合は、個人関連情報に該当しないことになる。例えば、一般的に、ある個人の位置情報それ自体のみでは個人情報には該当しないものではあるが、個人に関する位置情報が連続的に蓄積される等して特定の個人を識別することができる場合には、個人情報に該当し、個人関連情報には該当しないことになる。

2-13

個人関連情報取扱事業者（法第 16 条第 7 項関係）

法第 16 条（第 7 項）
7

この章、第 6 章及び第 7 章において「個人関連情報取扱事業者」とは、個人関連情報を含む情報の集合物であって、特定の個人関連情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の個人関連情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第 31 条第 1 項において「個人関連情報データベース等」という。）を事業の用に供している者をいう。ただし、第 2 項各号に掲げる者を除く。

「個人関連情報取扱事業者」とは、個人関連情報データベース等を事業の用に供している者のうち、国の機関、地方公共団体、法第 2 条第 9 項に規定する独立行政法人等（別表第 2 に掲げる法人を除く。）及び法第 2 条第 10 項に規定する地方独立行政法人を除いた者をいう。

「個人関連情報を含む情報の集合物であって、特定の個人関連情報を電子計算機を用いて検索することができるように体系的に構成したもの」とは、特定の個人関連情報をコンピュータを用いて検索することができるように体系的に構成した、個人関連情報を含む情報の集合物をいう。また、政令第 8 条に規定するとおり、コンピュータを用いていない場合であっても、紙媒体の個人関連情報を一定の規則に従って整理・分類し、特定の個人関連情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当する。
ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。なお、法人格のない、権利能力のない社団（任意団体）又は個人であっても、個人関連情報データベース等を事業の用に供している場合は、個人関連情報取扱事業者に該当する。

2-14「本人に通知」

法第 21 条（第 1 項）
1

個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

18

「本人に通知」とは、本人に直接知らしめることをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。

【本人への通知に該当する事例】
事例 1)

ちらし等の文書を直接渡すことにより知らせること。

事例 2)

口頭又は自動応答装置等で知らせること。

事例 3)

電子メール、FAX 等により送信し、又は文書を郵便等で送付することにより知らせる
こと。

2-15

「公表」

法第 21 条（第 1 項）
1 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している
場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

「公表」とは、広く一般に自己の意思を知らせること（不特定多数の人々が知ることができるように発表すること）をいい、公表に当たっては、事業の性質及び個人情報の取扱状況に応じ、合理的かつ適切な方法によらなければならない。

【公表に該当する事例】
事例 1)

自社のホームページのトップページから 1 回程度の操作で到達できる場所への掲載

事例 2)

自社の店舗や事務所等、顧客が訪れることが想定される場所におけるポスター等の掲
示、パンフレット等の備置き・配布

事例 3)

2-16

（通信販売の場合）通信販売用のパンフレット・カタログ等への掲載「本人の同意」

法第 18 条（第 1 項）
1 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。

「本人の同意」とは、本人の個人情報が、個人情報取扱事業者によって示された取扱方法で取り扱われることを承諾する旨の当該本人の意思表示をいう（当該本人であることを確認できていることが前提となる。）。
また、「本人の同意を得（る）」とは、本人の承諾する旨の意思表示を当該個人情報取扱事業者が認識

19

することをいい、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。
なお、個人情報の取扱いに関して同意したことによって生ずる結果について、未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力を有していないなどの場合は、親権者や法定代理人等から同意を得る必要がある。

【本人の同意を得ている事例】
事例 1)

本人からの同意する旨の口頭による意思表示

事例 2)

本人からの同意する旨の書面（電磁的記録を含む。）の受領事例 3）本人からの同意する旨のメールの受信事例 3)

本人による同意する旨の確認欄へのチェック

事例 4)

本人による同意する旨のホームページ上のボタンのクリック

事例 5)

本人による同意する旨の音声入力、タッチパネルへのタッチ、ボタンやスイッチ等に
よる入力

2-17

「提供」

法第 16 条（第 4 項）
4 この章において「保有個人データ」とは、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの以外のものをいう。

法第 27 条（第 1 項）
1

個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
(1)～(7)

略「提供」とは、個人データ、保有個人データ又は匿名加工情報（以下この項において「個人データ等」という。）を、自己以外の者が利用可能な状態に置くことをいう。個人データ等が、物理的に提供されていない場合であっても、ネットワーク等を利用することにより、個人データ等を利用できる状態にあれば（利用する権限が与えられていれば）、「提供」に当たる。

20

3

個人情報取扱事業者等の義務

3-1

個人情報の利用目的（法第 17 条～第18 条、第21 条第3 項関係）

3-1-1

利用目的の特定（法第 17 条第1 項関係）

法第 17 条（第 1 項）
1

個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。

個人情報取扱事業者は、個人情報を取り扱うに当たっては、利用目的をできる限り具体的に特定しなければならないが、利用目的の特定に当たっては、利用目的を単に抽象的、一般的に特定するのではなく、個人情報が個人情報取扱事業者において、最終的にどのような事業の用に供され、どのような目的で個人情報を利用されるのかが、本人にとって一般的かつ合理的に想定できる程度に具体的に特定することが望ましい。
なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的の特定に当たっては、その旨が明確に分かるよう特定しなければならない。

【具体的に利用目的を特定している事例】
事例 1)

事業者が商品の販売に伴い、個人から氏名・住所・メールアドレス等を取得するに当たり、「○○事業における商品の発送、関連するアフターサービス、新商品・サービスに関する情報のお知らせのために利用いたします。」等の利用目的を明示している場
合【具体的に利用目的を特定していない事例】
事例 1)「事業活動に用いるため」

事例 2)「マーケティング活動に用いるため」

3-1-2

利用目的の変更（法第 17 条第2 項、第21 条第3 項関係）

法第 17 条（第 2 項）
2

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。

21

法第 21 条（第 3 項）
3

個人情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。

上記（利用目的の特定）により特定した利用目的は、変更前の利用目的と関連性を有すると合理的に認められる範囲、すなわち、変更後の利用目的が変更前の利用目的からみて、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内で変更することは可能である。変更された利用目
的は、本人に通知するか、又は公表しなければならない。
なお、特定された利用目的（法第 17 条第 2 項に定める範囲で変更された利用目的を含む。）の達成に必要な範囲を超えて個人情報を取り扱う場合は、法第 18 条第 1 項に従って本人の同意を得なけ
ればならない。ただし、本人の身体等の保護のために必要があり、かつ本人の同意を得ることが困難である場合等、法第 18 条第 3 項各号に掲げる場合には、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱うことができる。

3-1-3

利用目的による制限（法第 18 条第1 項関係）

法第 18 条（第 1 項）
1

個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利

用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。

個人情報取扱事業者は、法第 17 条第 1 項により特定した利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合は、あらかじめ本人の同意を得なければならない。ただし、当該同意を得る
ために個人情報を利用すること（メールの送信や電話をかけること等）は、当初特定した利用目的として記載されていない場合でも、目的外利用には該当しない。

3-1-4

事業の承継（法第 18 条第2 項関係）

法第 18 条（第 2 項）
2

個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。

個人情報取扱事業者が、合併、分社化、事業譲渡等により他の個人情報取扱事業者から事業の承継をすることに伴って個人情報を取得した場合であって、当該個人情報に係る承継前の利用目的の達成に必要な範囲内で取り扱う場合は目的外利用にはならず、本人の同意を得る必要はない。
なお、事業の承継後に、承継前の利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場

22

合は、あらかじめ本人の同意を得る必要があるが、当該同意を得るために個人情報を利用すること（メールの送信や電話をかけること等）は、承継前の利用目的として記載されていない場合でも、目的外利用には該当しない。

3-1-5

利用目的による制限の例外（法第 18 条第3 項関係）

法第 18 条（第 3 項）
3 前二項の規定は、次に掲げる場合については、適用しない。
(1)

法令に基づく場合(2)

人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

(3)

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

(4)

国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

(5)

当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下この章において「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

(6)

学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人デー
タを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

次に掲げる場合については、法第 18 条第 1 項及び第 2 項において、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うに当たり本人の同意を得ることが求められる場合であっても、当該同意は不要である。

(1)

法令に基づく場合（法 18 条第 3 項第 1 号関係）

(2)

人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（法第 18 条第 3 項第 2 号関係）

(3)

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（法第 18 条第 3 項第 3 号関係）

(4)

国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して、事業者が協力する必要がある場合であって、本人の同意を得ることにより当該事務23

の遂行に支障を及ぼすおそれがあるとき（法第 18 条第 3 項第 4 号関係）
(5)

当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（法第 18 条第 3 項第 5 号関係）

(6)

学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（法第 18 条第 3 項第 6 号関係）

3-2

不適正利用の禁止（法第 19 条関係）

法第 19 条
個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。

個人情報取扱事業者は、違法又は不当な行為（※1）を助長し、又は誘発するおそれ（※2）がある方法により個人情報を利用してはならない。

【個人情報取扱事業者が違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例】
事例 1）

違法な行為を営むことが疑われる事業者（例：貸金業登録を行っていない貸金業者等）からの突然の接触による本人の平穏な生活を送る権利の侵害等、当該事業者の違法な行為を助長するおそれが想定されるにもかかわらず、当該事業者に当該本人の個人情報を提供する場合

事例 2）

裁判所による公告等により散在的に公開されている個人情報（例：官報に掲載される破産者情報）を、当該個人情報に係る本人に対する違法な差別が、不特定多数の者によって誘発されるおそれがあることが予見できるにもかかわらず、それを集約してデータベース化し、インターネット上で公開する場合

事例 3）

暴力団員により行われる暴力的要求行為等の不当な行為や総会屋による不当な要求を助長し、又は誘発するおそれが予見できるにもかかわらず、事業者間で共有している暴力団員等に該当する人物を本人とする個人情報や、不当要求による被害を防止するために必要な業務を行う各事業者の責任者の名簿等を、みだりに開示し、又は暴力団等に対しその存在を明らかにする場合

事例 4）

個人情報を提供した場合、提供先において法第 27 条第 1 項に違反する第三者提供がなされることを予見できるにもかかわらず、当該提供先に対して、個人情報を提
供する場合

24

事例 5）

採用選考を通じて個人情報を取得した事業者が、性別、国籍等の特定の属性のみにより、正当な理由なく本人に対する違法な差別的取扱いを行うために、個人情報を利用する場合事例 6）

広告配信を行っている事業者が、第三者から広告配信依頼を受けた商品が違法薬物等の違法な商品であることが予見できるにもかかわらず、当該商品の広告配信のために、自社で取得した個人情報を利用する場合（※1）「違法又は不当な行為」とは、法（個人情報の保護に関する法律）その他の法令に違反する行為、及び直ちに違法とはいえないものの、法（個人情報の保護に関する法律）その他の法令の制度趣旨又は公序良俗に反する等、社会通念上適正とは認められない行為をいう。

（※2）「おそれ」の有無は、個人情報取扱事業者による個人情報の利用が、違法又は不当な行為を助長又は誘発することについて、社会通念上蓋然性が認められるか否かにより判断される。この判断に当たっては、個人情報の利用方法等の客観的な事情に加えて、個人情報の利用時点における個人情報取扱事業者の認識及び予見可能性も踏まえる必要がある。例えば、個人情報取扱事
業者が第三者に個人情報を提供した場合において、当該第三者が当該個人情報を違法な行為に用いた場合であっても、当該第三者が当該個人情報の取得目的を偽っていた等、当該個人情報の提供の時点において、提供した個人情報が違法に利用されることについて、当該個人情報取扱事業者が一般的な注意力をもってしても予見できない状況であった場合には、「おそれ」は認められないと解される。

3-3

個人情報の取得（法第 20 条・第21 条関係）

3-3-1

適正取得（法第 20 条第1 項関係）

法第 20 条（第 1 項）
1 個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。

個人情報取扱事業者は、偽り等の不正の手段により個人情報を取得してはならない。

【個人情報取扱事業者が不正の手段により個人情報を取得している事例】
事例 1)

十分な判断能力を有していない子供や障害者から、取得状況から考えて関係のない家族の収入事情などの家族の個人情報を、家族の同意なく取得する場合

事例 2)

法第 27 条第 1 項に規定する第三者提供制限違反をするよう強要して個人情報を取得する場合事例 3)

個人情報を取得する主体や利用目的等について、意図的に虚偽の情報を示して、本25

人から個人情報を取得する場合
事例 4)

他の事業者に指示して不正の手段で個人情報を取得させ、当該他の事業者から個人情報を取得する場合

事例 5)

法第 27 条第 1 項に規定する第三者提供制限違反がされようとしていることを知り、又は容易に知ることができるにもかかわらず、個人情報を取得する場合

事例 6)

不正の手段で個人情報が取得されたことを知り、又は容易に知ることができるにもかかわらず、当該個人情報を取得する場合

3-3-2

要配慮個人情報の取得（法第 20 条第2 項関係）

法第 20 条（第 2 項）
2

個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
(1)

法令に基づく場合(2)

人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

(3)

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

(4)

国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

(5)

当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除
く。）。

(6)

学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に
限る。）。

(7)

当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、第 57 条第 1
項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合(8)

その他前各号に掲げる場合に準ずるものとして政令で定める場合

要配慮個人情報を取得する場合には、あらかじめ本人の同意を得なければならない。ただし、次の（1）から（9）までに掲げる場合については、本人の同意を得る必要はない。

26

(1)

法令に基づく場合（法第 20 条第 2 項第 1 号関係）

(2)

人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（法第 20 条第 2 項第 2 号関係）

(3)

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（法第 20 条第 2 項第 3 号関係）

(4)

国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して、事業者が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（法第 20 条第 2 項第 4 号関係）

(5)

(6)

(7)

当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（法第 20 条第 2 項第 5 号関係）
学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。）（法第 20 条第 2 項第 6 号関係）
当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、法第 57 条第1 項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合（法第 20 条第 2 項第 7 号、規則第 6 条関係）
① 本人
② 国の機関③ 地方公共団体④ 学術研究機関等⑤ 放送機関・新聞社・通信社その他の報道機関（報道を業として行う個人を含む。）⑥ 著述を業として行う者⑦ 宗教団体
⑧ 政治団体
⑨ 外国政府、外国の政府機関、外国の地方公共団体又は国際機関⑩ 外国において法第 16 条第 8 項に規定する学術研究機関等に相当する者⑪ 外国において法第 57 条第 1 項各号に掲げる者に相当する者(8)

本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合（法第 20 条第 2 項第 8 号、政令第 9 条第 1 号関係）

(9)

法第 27 条第 5 項各号（法第 41 条第 6 項の規定により読み替えて適用する場合及び法第 42 条第 2 項において読み替えて準用する場合を含む。）に掲げる場合において、個人
データである要配慮個人情報の提供を受けるとき（法第 20 条第 2 項第 8 号、政令第 9条第 2 号関係）27【法第 20 条第 2 項に違反している事例】
本人の同意を得ることなく、法第 20 条第 2 項第 7 号及び規則第 6 条で定める者以外がインターネ
ット上で公開している情報から本人の信条や犯罪歴等に関する情報を取得し、既に保有している
当該本人に関する情報の一部として自己のデータベース等に登録すること。

3-3-3

利用目的の通知又は公表（法第 21 条第1 項関係）

法第 21 条（第 1 項）
1

個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

個人情報取扱事業者は、個人情報を取得する場合は、あらかじめその利用目的を公表していることが望ましい。公表していない場合は、取得後速やかに、その利用目的を、本人に通知するか、又は公表しなければならない。

【本人への通知又は公表が必要な事例】
事例 1)

インターネット上で本人が自発的に公にしている個人情報を取得した場合（単に閲覧しただけの場合を除く。）

事例 2)

インターネット、官報、職員録等から個人情報を取得した場合（単に閲覧しただけの場合を除く。）

事例 3)

3-3-4

個人情報の第三者提供を受けた場合

直接書面等による取得（法第 21 条第2 項関係）

法第 21 条（第 2 項）
2

個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する
場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

個人情報取扱事業者は、契約書や懸賞応募はがき等の書面等による記載、ユーザー入力画面への打ち込み等の電磁的記録により、直接本人から個人情報を取得する場合には、あらかじめ、本人に対し、その利用目的を明示しなければならない。

28

なお、口頭により個人情報を取得する場合にまで、本項の義務を課するものではないが、その場合は法第 21 条第 1 項に基づいて、あらかじめ利用目的を公表するか、取得後速やかに、その利用目的を、本人に通知するか、又は公表しなければならない。
また、人（法人を含む。）の生命、身体又は財産の保護のために緊急に必要がある場合は、あらかじめ、本人に対し、その利用目的を明示する必要はないが、その場合は法第 21 条第 1 項に基づいて、取得後速やかにその利用目的を、本人に通知し、又は公表しなければならない。

【あらかじめ、本人に対し、その利用目的を明示しなければならない事例】
事例 1)

本人の個人情報が記載された申込書・契約書等を本人から直接取得する場合

事例 2)

アンケートに記載された個人情報を直接本人から取得する場合

事例 3)

自社が主催するキャンペーンへの参加希望者が、参加申込みのために自社のホームページの入力画面に入力した個人情報を直接本人から取得する場合【利用目的の明示に該当する事例】
事例 1)

利用目的を明記した契約書その他の書面を相手方である本人に手渡し、又は送付する場合。なお、契約約款又は利用条件等の書面（電磁的記録を含む。）中に利用目的条項を記載する場合は、例えば、裏面約款に利用目的が記載されていることを伝える、又は裏面約款等に記載されている利用目的条項を表面にも記載し、かつ、社会通念上、本人が認識できる場所及び文字の大きさで記載する等、本人が実際に利用目的を確認できるよう留意することが望ましい。

事例 2)

ネットワーク上において、利用目的を、本人がアクセスした自社のホームページ上に明示し、又は本人の端末装置上に表示する場合。なお、ネットワーク上において個人情報を取得する場合は、本人が送信ボタン等をクリックする前等にその利用目的（利用目的の内容が示された画面に 1 回程度の操作でページ遷移するよう設定したリンクやボタンを含む。）が本人の目に留まるようその配置に留意することが望ましい。

3-3-5

利用目的の通知等をしなくてよい場合（法第 21 条第4 項関係）

法第 21 条（第 4 項）
4 前三項の規定は、次に掲げる場合については、適用しない。
(1)

利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合(2)

利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合(3)

国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要があ
る場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支29

障を及ぼすおそれがあるとき。
(4)

取得の状況からみて利用目的が明らかであると認められる場合

次に掲げる場合については、法第 21 条第 1 項から第 3 項までにおいて利用目的の本人への通知、公表又は明示（以下この項において「利用目的の通知等」という。）が求められる場合であっても、当該利用目的の通知等は不要である。

(1)

利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（法 21 条第 4 項第 1 号関係）•

利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合は、法第 21 条第 1 項から第 3 項までの適用を受けず、当該利用目的の通知等は不要である。

事例 1)

児童虐待等に対応するために、児童相談所、学校、医療機関等の関係機関において、ネットワークを組んで対応する場合に、加害者である本人に対して当該本人の個人情報の利用目的を通知・公表することにより、虐待を悪化させたり、虐待への対応に支障等が生じたりするおそれがある場合(2)

利用目的を本人に通知し、又は公表することにより事業者の権利又は正当な利益を害する
おそれがある場合（法第 21 条第 4 項第 2 号関係）•

利用目的を本人に通知し、又は公表することにより事業者の権利又は正当な利益を害するおそれがある場合は、法第 21 条第 1 項から第 3 項までの適用を受けず、当該利用目的の通知等は不要である。

事例 1)

暴力団等の反社会的勢力情報、疑わしい取引の届出の対象情報、業務妨害行為を行う
悪質者情報等を、本人又は他の事業者等から取得したことが明らかになることにより、当該情報を取得した企業に害が及ぶ場合(3)

国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき（法第 21 条第 4 項第 3 号関係）•

国の機関等（地方公共団体又はその委託を受けた者を含む。）が法令の定める事務を実施する上で、民間企業等の協力を得る必要があり、かつ、本人に対する利用目的の通知等により当該事務の遂行に支障を及ぼすおそれがあると認められる場合は、当該民間企業等
は、法第 21 条第 1 項から第 3 項までの適用を受けず、当該利用目的の通知等は不要で
ある。

事例 1)

警察が、公開手配を行わないで、被疑者に関する個人情報を、被疑者の立ち回りが予想される個人情報取扱事業者に限って提供した場合において、警察から当該個人情報30

を受け取った当該個人情報取扱事業者が、利用目的を本人に通知し、又は公表すること
により、捜査活動に支障を及ぼすおそれがある場合(4)

取得の状況からみて利用目的が明らかであると認められる場合（法第 21 条第 4 項第 4号関係）•

取得の状況からみて利用目的が明らかであると認められる場合は、法第 21 条第 1 項から第 3 項までの適用を受けず、当該利用目的の通知等は不要である。

事例 1)

商品・サービス等を販売・提供するに当たって住所・電話番号等の個人情報を取得する場
合で、その利用目的が当該商品・サービス等の販売・提供のみを確実に行うためという利用目的であるような場合

事例 2)

一般の慣行として名刺を交換する場合、書面により、直接本人から、氏名・所属・肩書・連絡先等の個人情報を取得することとなるが、その利用目的が今後の連絡のためという利用目的であるような場合（ただし、ダイレクトメール等の目的に名刺を用いることは自明の利用目的に該当しない場合があるので注意を要する。）

3-4

個人データの管理（法第 22 条～第25 条関係）

3-4-1

データ内容の正確性の確保等（法第 22 条関係）

法第 22 条
個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。

個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人情報データベース等への個人情報の入力時の照合・確認の手続の整備、誤り等を発見した場合の訂正等の手続の整備、記録事項の更新、保存期間の設定等を行うことにより、個人データを正確かつ最新の内容に保つよう努めなければならない。
なお、保有する個人データを一律に又は常に最新化する必要はなく、それぞれの利用目的に応じて、その必要な範囲内で正確性・最新性を確保すれば足りる。
また、個人情報取扱事業者は、保有する個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった
場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等は、
当該個人データを遅滞なく消去するよう努めなければならない（※）
。なお、法令の定めにより保存期間等が定められている場合は、この限りではない。

31

【個人データについて利用する必要がなくなったときに該当する事例】
事例 1)

キャンペーンの懸賞品送付のため、当該キャンペーンの応募者の個人データを保有していたところ、懸賞品の発送が終わり、不着対応等のための合理的な期間が経過した
場合

3-4-2

安全管理措置（法第 23 条関係）

法第 23 条
個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損（以下「漏えい等」という。）の防止その他の個人データの安全管理のため、必要かつ適切な措置を講じなければならないが、当該措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容としなければならない。

3-4-3

従業者の監督（法第 24 条関係）

法第 24 条
個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たって、法第 23 条に基づく安全管理措置を遵守させるよう、当該従業者に対し必要かつ適切な監督をしなければならない。
その際、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模
及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に起因するリス
クに応じて、個人データを取り扱う従業者に対する教育、研修等の内容及び頻度を充実させるな
ど、必要かつ適切な措置を講ずることが望ましい。
「従業者」とは、個人情報取扱事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者等をいい、雇用関係にある従業員（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、取締役、執行役、理事、監査役、監事、派遣社員等も含まれる。

【従業者に対して必要かつ適切な監督を行っていない事例】
事例 1)

従業者が、個人データの安全管理措置を定める規程等に従って業務を行っていること

32

を確認しなかった結果、個人データが漏えいした場合
事例 2)

内部規程等に違反して個人データが入ったノート型パソコン又は外部記録媒体が繰り返し持ち出されていたにもかかわらず、その行為を放置した結果、当該パソコン又は当該記録媒体が紛失し、個人データが漏えいした場合

委託先の監督（法第 25 条関係）

3-4-4

法第 25 条
個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、委託を受けた者（以下「委託先」という。）において当該個人データについて安全管理措置が適切に講じられるよう、委託先に対し必要かつ適切な監督をしなければならない。具体的には、個人情報取扱事業者は、
法第 23 条に基づき自らが講ずべき安全管理措置と同等の措置が講じられるよう、監督を行うものとする。
その際、委託する業務内容に対して必要のない個人データを提供しないようにすることは当然のこととして、取扱いを委託する個人データの内容を踏まえ、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に起因するリスクに応じて、次の（1）から（3）までに掲げる必要かつ適切な措置を講じなければならない。

(1)

適切な委託先の選定•

委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第 23 条及び本ガ
イドラインで委託元に求められるものと同等であることを確認するため、「8（（別添）講ずべき安全管理措置の内容）」に定める各項目が、委託する業務内容に沿って、確実に実施されることについて、あらかじめ確認しなければならない。

(2)

委託契約の締結•

委託契約には、当該個人データの取扱いに関する、必要かつ適切な安全管理措置として、
委託元、委託先双方が同意した内容とともに、委託先における委託された個人データの取扱状況を委託元が合理的に把握することを盛り込むことが望ましい。

(3)

委託先における個人データ取扱状況の把握•

委託先における委託された個人データの取扱状況を把握するためには、定期的に監査を行う等により、委託契約で盛り込んだ内容の実施の程度を調査した上で、委託の内容等の見直しを検討することを含め、適切に評価することが望ましい。

33

•

また、委託先が再委託を行おうとする場合は、委託を行う場合と同様、委託元は、委託先が再委託する相手方、再委託する業務内容、再委託先の個人データの取扱方法等について、委託先から事前報告を受け又は承認を行うこと、及び委託先を通じて又は必要に応じて自らが、定期的に監査を実施すること等により、委託先が再委託先に対して本条の委託先の監督を適切に果たすこと、及び再委託先が法第 23 条に基づく安全管理措置を講ずることを十分に確認することが望ましい。

•

再委託先が再々委託を行う場合以降も、再委託を行う場合と同様である。

【委託を受けた者に対して必要かつ適切な監督を行っていない事例】
事例 1)

個人データの安全管理措置の状況を契約締結時及びそれ以後も適宜把握せず外部の事業者に委託した結果、委託先が個人データを漏えいした場合

事例 2)

個人データの取扱いに関して必要な安全管理措置の内容を委託先に指示しなかった
結果、委託先が個人データを漏えいした場合

事例 3)

再委託の条件に関する指示を委託先に行わず、かつ委託先の個人データの取扱状況の確認を怠り、委託先が個人データの処理を再委託した結果、当該再委託先が個人データを漏えいした場合

事例 4)契約の中に、委託元は委託先による再委託の実施状況を把握することが盛り込まれているにもかかわらず、委託先に対して再委託に関する報告を求めるなどの必要な措置を行わず、委託元の認知しない再委託が行われた結果、当該再委託先が個人データを漏えいした場合

3-5

個人情報保護委員会への報告（法第 26 条関係）

法第 26 条1

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保
護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。

2

前項に規定する場合には、個人情報取扱事業者（同項ただし書の規定による通知をした者を除く。）は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

34

個人情報取扱事業者は、規則第 7 条各号に定める事態（以下「報告対象事態」という。）を知ったときは個人情報保護委員会に報告しなければならない（法第 26 条第 1 項）。

（1）要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事
態（規則第 7 条第 1 号関係）【報告を要する事例】
事例 1）

病院における患者の診療情報や調剤情報を含む個人データを記録した USB メモリ
ーを紛失した場合

事例 2）

従業員の健康診断等の結果を含む個人データが漏えいした場合（2）不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態（規則第 7 条第 2 号関係）
財産的被害が生じるおそれについては、対象となった個人データの性質・内容等を踏まえ、財産的被害が発生する蓋然性を考慮して判断する。
【報告を要する事例】
事例 1）

EC サイトからクレジットカード番号を含む個人データが漏えいした場合事例 2）
送金や決済機能のあるウェブサービスのログイン ID とパスワードの組み合わせを含む個人データが漏えいした場合（3）不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生した
おそれがある事態（規則第 7 条第 3 号関係）
「不正の目的をもって」漏えい等を発生させた主体には、第三者のみならず、従業者も含まれる。
【報告を要する事例】
事例 1）

不正アクセスにより個人データが漏えいした場合

事例 2）

ランサムウェア等により個人データが暗号化され、復元できなくなった場合

事例 3）

個人データが記載又は記録された書類・媒体等が盗難された場合

事例 4）

従業者が顧客の個人データを不正に持ち出して第三者に提供した場合（4）個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある
事態（規則第 7 条第 4 号関係）
「個人データに係る本人の数」は、当該個人情報取扱事業者が取り扱う個人データのうち、漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数をいう。「個人データに係る本人の数」について、事態が発覚した当初 1,000 人以下であっても、その後 1,000人を超えた場合には、1,000 人を超えた時点で規則第 7 条第 4 号に該当することになる。本人の数が確定できない漏えい等において、漏えい等が発生したおそれがある個人データに係る本人の数が最35

大 1,000 人を超える場合には、規則第 7 条第 4 号に該当する。
【報告を要する事例】
事例 1）

システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となり、当該個人データに係る本人の数が 1,000 人を超える場合

なお、漏えい等が発生し、又は発生したおそれがある個人データについて、高度な暗号化等の秘匿化がされている場合等、「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられている場合については、報告を要しない。

また、個人情報取扱事業者は、報告対象事態を知ったときは、当該事態の状況に応じて速やかに、本人への通知を行わなければならない（法第 26 条第 2 項）。

「当該事態の状況に応じて速やかに」とは、速やかに通知を行うことを求めるものであるが、具体的に通知を行う時点は、個別の事案において、その時点で把握している事態の内容、通知を行うことで本人の権利利益が保護される蓋然性、本人への通知を行うことで生じる弊害等を勘案して判断する。
【その時点で通知を行う必要があるとはいえないと考えられる事例（※）】
事例 1）

インターネット上の掲示板等に漏えいした複数の個人データがアップロードされており、個人情報取扱事業者において当該掲示板等の管理者に削除を求める等、必要な初期対応が完了しておらず、本人に通知することで、かえって被害が拡大するおそれがある場合

事例 2）

漏えい等のおそれが生じたものの、事案がほとんど判明しておらず、その時点で本人に通知したとしても、本人がその権利利益を保護するための措置を講じられる見込みがなく、かえって混乱が生じるおそれがある場合（※）「当該事態の状況に応じて速やかに」本人への通知を行うべきことに変わりはない。

3-6

個人データの第三者への提供（法第 27 条～第30 条関係）

3-6-1

第三者提供の制限の原則（法第 27 条第1 項関係）

法第 27 条（第 1 項）
1

個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
(1)

法令に基づく場合(2)

人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ること

36

が困難であるとき。
(3)

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

(4)

国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

(5)

当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）。

(6)

当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。）。

(7)

当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

個人情報取扱事業者は、個人データの第三者への提供に当たり、あらかじめ本人の同意を得ないで提供してはならない。同意の取得に当たっては、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示さなければならない。
なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的において、その旨を特定しなければならない。

【第三者提供とされる事例】（ただし、法第 27 条第 5 項各号の場合を除く。）
事例 1)

親子兄弟会社、グループ会社の間で個人データを交換する場合

事例 2)

フランチャイズ組織の本部と加盟店の間で個人データを交換する場合

事例 3)

同業者間で、特定の個人データを交換する場合【第三者提供とされない事例】（ただし、利用目的による制限がある。）
事例 1)

同一事業者内で他部門へ個人データを提供する場合

ただし、次の（1）から（7）までに掲げる場合については、第三者への個人データの提供に当たって、本人の同意は不要である。

(1)

法令に基づいて個人データを提供する場合（法第 27 条第 1 項第 1 号関係）

37

(2)

人（法人を含む。）の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得ることが困難である場合（法第 27 条第 1 項第 2 号関係）

(3)

公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることが困難である場合（法第 27 条第 1 項第 3 号関係）

(4)

国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であって、協力する民間企業等が当該国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合（法第 27 条第 1 項第 4
号関係）

(5)

個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ない場合（個人の権利利益を不当に侵害するおそれがある場合を除く。）（法第 27 条第 1 項第 5 号関係）

(6)

個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要がある場合（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。）（法第 27 条第 1 項
第 6 号関係）(7)

第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目
的で取り扱う必要がある場合（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（法第 27 条
第 1 項第 7 号関係）

オプトアウトによる第三者提供（法第 27 条第2 項～第4 項関係）

3-6-2
3-6-2-1

オプトアウトに関する原則（法第 27 条第 2 項関係）

法第 27 条（第 2 項）
2 個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。ただし、第三者に提供される個人デー
タが要配慮個人情報又は第二十条第一項の規定に違反して取得されたもの若しくは他の個人情報取扱事業者からこの項本文の規定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む。）である場合は、この限りでない。
(1)

第三者への提供を行う個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その38

代表者又は管理人。以下この条、第 30 条第 1 項第 1 号及び第 32 条第 1 項第 1 号において同じ。）の氏名(2)

第三者への提供を利用目的とすること。

(3)

第三者に提供される個人データの項目(4)

第三者に提供される個人データの取得の方法(5)

第三者への提供の方法(6)

本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。

(7)

本人の求めを受け付ける方法(8)

その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則で定める事項

個人情報取扱事業者は、個人データの第三者への提供に当たり、次の（1）から（9）までに掲げる事項をあらかじめ本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委
員会に届け出た場合には、法第 27 条第 1 項の規定にかかわらず、あらかじめ本人の同意を得ることなく、個人データを第三者に提供することができる（オプトアウトによる第三者提供）。
また、個人情報取扱事業者は、法第 27 条第 2 項に基づき、必要な事項を個人情報保護委員会に届け出たときは、その内容を自らもインターネットの利用その他の適切な方法により公表するものとする。
なお、要配慮個人情報は、オプトアウトにより第三者に提供することはできず、第三者に提供するに当たっては、法第 27 条第 1 項各号又は同条第 5 項各号に該当する場合以外は、必ずあらか
じめ本人の同意を得る必要があるので、注意を要する。

(1)

第三者への提供を行う個人情報取扱事業者の氏名・名称及び住所並びに法人の場合はその代表者等の氏名(2)

第三者への提供を利用目的とすること。

(3)

第三者に提供される個人データの項目

事例 1）氏名、住所、電話番号、年齢
事例 2）氏名、商品購入履歴(4)

第三者に提供される個人データの取得の方法(5)

第三者への提供の方法

事例 1)

書籍（電子書籍を含む。）として出版

事例 2)

インターネットに掲載

事例 3)

プリントアウトして交付

事例 4)

各種通信手段による配信

事例 5)

その他外部記録媒体の形式での交付(6)

本人の求めに応じて第三者への提供を停止すること。

39

(7)

本人の求めを受け付ける方法

事例 1)

郵送

事例 2)

メール送信

事例 3)

ホームページ上の指定フォームへの入力

事例 4)

事業所の窓口での受付

事例 5)

電話

(8)

第三者に提供される個人データの更新の方法（法第 27 条第 2 項第 8 号、規則第 11 条
第4 項第 1 号関係）

(9)

当該届出に係る個人データの第三者への提供を開始する予定日（法第 27 条第 2 項第 8号、規則第 11 条第 4 項第 2 号関係）

【オプトアウトによる第三者提供の事例】
事例 1)

住宅地図業者（表札や郵便受けを調べて住宅地図を作成・販売）やデータベース事業者（ダイレクトメール用の名簿等を作成・販売）が、あらかじめ上記（1）から（9）までに掲げる事項を自社のホームページに常時掲載し、本人からの停止の求めを受け付けられる状態にし、個人情報保護委員会に必要な届出を行った上で、販売等を行う場合

3-6-2-2

オプトアウトに関する事項の変更（法第 27 条第 3 項関係）

法第 27 条（第 3 項）
3 個人情報取扱事業者は、前項第 1 号に掲げる事項に変更があったとき又は同項の規定による個人データの提供をやめたときは遅滞なく、同項第 3 号から第 5 号まで、第 7 号又は第 8 号に掲げる事項を変更しようとするときはあらかじめ、その旨について、個人情報保護委員会規則で定めるところにより、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。

個人情報取扱事業者は、法第 27 条第 2 項に基づきオプトアウトにより個人データの第三者提供を行っている場合であって、個人データの提供をやめたとき等はそのときから遅滞なく、提供される個
人データの項目、提供の方法又は第三者への提供を停止すべきとの本人の求めを受け付ける方法等を変更する場合は、変更する内容について、変更に当たってあらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
なお、個人情報取扱事業者は、法第 27 条第 3 項に基づき、必要な事項を個人情報保護委員会に届け出たときは、その内容を自らも公表するものとする。

40

第三者に該当しない場合（法第 27 条第5 項・第6 項関係）

3-6-3

法第 27 条（第 5 項）
5

次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。
(1)

個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合(2)

合併その他の事由による事業の承継に伴って個人データが提供される場合(3)

特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

次の（1）から（3）までの場合については、個人データの提供先は個人情報取扱事業者とは別の主体として形式的には第三者に該当するものの、本人との関係において提供主体である個人情報取扱事業者と一体のものとして取り扱うことに合理性があるため、第三者に該当しないものとする。
このような要件を満たす場合には、個人情報取扱事業者は、法第 27 条第 1 項から第 3 項までの規定にかかわらず、あらかじめの本人の同意又は第三者提供におけるオプトアウトを行うことなく、個人データを提供することができる。

(1)

委託（法第 27 条第 5 項第 1 号関係）
利用目的の達成に必要な範囲内において、個人データの取扱いに関する業務の全部又は一部を委託することに伴い、当該個人データが提供される場合は、当該提供先は第三者に該当しない。なお、個人情報取扱事業者には、法第 25 条により、委託先に対する監督責任が課
される

事例 1)

データの打ち込み等、情報処理を委託するために個人データを提供する場合

事例 2)

百貨店が注文を受けた商品の配送のために、宅配業者に個人データを提供する場合(2)

事業の承継（法第 27 条第 5 項第 2 号関係）
合併、分社化、事業譲渡等により事業が承継されることに伴い、当該事業に係る個人データが提供される場合は、当該提供先は第三者に該当しない。なお、事業の承継後も、個人データ
が当該事業の承継により提供される前の利用目的の範囲内で利用しなければならない。また、事業の承継のための契約を締結するより前の交渉段階で、相手会社から自社の調査を受け、自社の個人データを相手会社へ提供する場合も、本号に該当し、あらかじめ本人の同意を得ることなく又は第三者提供におけるオプトアウト手続を行うことなく、個人データを提供することができるが、当該データの利用目的及び取扱方法、漏えい等が発生した場合の措置、事業承継の交渉が不調となった場合の措置等、相手会社に安全管理措置を遵守させるために必要な41

契約を締結しなければならない。
事例 1)

合併、分社化により、新会社に個人データを提供する場合

事例 2)

事業譲渡により、譲渡先企業に個人データを提供する場合(3)

共同利用（法第 27 条第 5 項第 3 号関係）
特定の者との間で共同して利用される個人データを当該特定の者に提供する場合であって、次の①から⑤までの情報を、提供に当たりあらかじめ本人に通知し、又は本人が容易に知り得る状態に置いているときには、当該提供先は、本人から見て、当該個人データを当初提供した事業者と一体のものとして取り扱われることに合理性があると考えられることから、第三者に該当しない。
また、既に特定の事業者が取得している個人データを他の事業者と共同して利用する場合には、既に取得している事業者が法第 17 条第 1 項の規定により特定した利用目的の範囲で共同して利用しなければならない。
① 共同利用をする旨② 共同して利用される個人データの項目③ 共同して利用する者の範囲④ 利用する者の利用目的⑤ 当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては代表者の氏名【共同利用に該当する事例】
事例 1)

グループ企業で総合的なサービスを提供するために取得時の利用目的（法第 17 条
第 2 項の規定に従い変更された利用目的を含む。以下同じ。）の範囲内で情報を共同利用する場合事例 2)

親子兄弟会社の間で取得時の利用目的の範囲内で個人データを共同利用する場合

事例 3)

使用者と労働組合又は労働者の過半数を代表する者との間で取得時の利用目的の範囲内で従業者の個人データを共同利用する場合＜共同利用に係る事項の変更（法第 27 条第 6 項関係）＞

法第 27 条（第 6 項）
6 個人情報取扱事業者は、前項第 3 号に規定する個人データの管理について責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったときは遅滞なく、同号に規定する利用する者の利用目的又は当該責任を有する者を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

42

個人情報取扱事業者は、個人データを共同利用する場合において、「共同利用する者の利用目的」
については、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内で変更することができる。個人データの管理について責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったときは遅滞なく、同号に規定する利用する者の利用目的又は当該責任を有する者を変更しようとするときはあらかじめ本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
なお、「共同して利用される個人データの項目」及び「共同して利用する者の範囲」について変更す
ることは、原則として認められないが、例えば次のような場合は、引き続き共同利用を行うことがで
きる。

事例 1)

共同利用を行う個人データの項目や事業者の変更につき、あらかじめ本人の同意を
得た場合

事例 2)

共同利用を行う事業者の名称に変更があるが、共同して利用される個人データの項目には変更がない場合

事例 3)

共同利用を行う事業者について事業の承継（※4）が行われた場合（共同利用する個人データの項目等の変更がないことが前提）

3-6-4

外国にある第三者への提供の制限（法第 28 条関係）

法第 28 条1

個人情報取扱事業者は、外国（本邦の域外にある国又は地域をいう。以下この条及び第 31

条第1 項第 2 号において同じ。）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものを除く。以下この条及び同号において同じ。）にある第三者（個人データの取扱いについてこの節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置（第 3 項において「相当措置」という。）を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この項及び次項並びに同号において同じ。）に個人データを提供する場合には、前条第 1 項各号に掲げる場
合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は、適用しない。
2

個人情報取扱事業者は、前項の規定により本人の同意を得ようとする場合には、個人情報保

護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。
3 個人情報取扱事業者は、個人データを外国にある第三者（第 1 項に規定する体制を整備している者に限る。）に提供した場合には、個人情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の43

求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。

外国にある第三者への提供の制限については、「個人情報の保護に関する法律についてのガイド
ライン（外国にある第三者への提供編）」（平成28年11月

3-6-5

個人情報保護委員会）を参照のこと。

第三者提供に係る記録の作成等（法第 29 条関係）

法第 29 条1

個人情報取扱事業者は、個人データを第三者（第 16 条第 2 項各号に掲げる者を除く。以下この条及び次条（第 31 条第 3 項にて読み替えて準用する場合を含む。）において同じ。）に提供したときは、個人情報保護委員会規則で定めるところにより、当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。ただし、当該個人データの提供が第 27 条第 1項各号又は第 5 項各号のいずれか（前条第 1 項の規定による個人データの提供にあっては、第 27 条第 1 項各号のいずれか）に該当する場合は、この限りでない。

2

個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。

第三者提供に係る記録の作成等については、「個人情報の保護に関する法律についてのガイドラ
イン（第三者提供時の確認・記録義務編）」（平成28年11月 個人情報保護委員会）を参照のこ
と。

3-6-6

第三者提供を受ける際の確認等（法第 30 条関係）

【第三者提供を受ける際の確認（法第 30 条第 1 項・第 2 項関係）】
法第 30 条（第 1 項・第 2 項）
1 個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、個人情報保護委員会規則で定めるところにより、次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供が第 27 条第 1 項各号又は第 5 項各号のいずれかに該当する場合は、この限りでない。
(1)

当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名(2)

当該第三者による当該個人データの取得の経緯

2 前項の第三者は、個人情報取扱事業者が同項の規定による確認を行う場合において、当該個人情報取扱事業者に対して、当該確認に係る事項を偽ってはならない。

【第三者提供を受ける際の記録の作成等（法第 30 条第 3 項・第 4 項関係）】44

法第 30 条（第 3 項・第 4 項）
3 個人情報取扱事業者は、第 1 項の規定による確認を行ったときは、個人情報保護委員会規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。
4 個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。

第三者提供を受ける際の確認等については、「個人情報の保護に関する法律についてのガイドラ
イン（第三者提供時の確認・記録義務編）」（平成28年11月 個人情報保護委員会）を参照のこと。

3-7

個人関連情報の第三者提供の制限等（法第 31 条関係）

法第 31 条1 個人関連情報取扱事業者は、第三者が個人関連情報（個人関連情報データベース等を構成するものに限る。以下この章及び第 6 章において同じ。）を個人データとして取得することが想定されるときは、第 27 条第 1 項各号に掲げる場合を除くほか、次に掲げる事項について、あらかじめ個人情報保護委員会規則で定めるところにより確認することをしないで、当該個人関連情報を当該第三者に提供してはならない。
(1)

当該第三者が個人関連情報取扱事業者から個人関連情報の提供を受けて本人が識別される個
人データとして取得することを認める旨の当該本人の同意が得られていること。

(2)

外国にある第三者への提供にあっては、前号の本人の同意を得ようとする場合において、個
人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報が当該本人に提供されていること。

2 第 28 条第 3 項の規定は、前項の規定により個人関連情報取扱事業者が個人関連情報を提供する場合について準用する。この場合において、同条第 3 項中「講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供し」とあるのは、「講じ」と読み替えるものとする。
3 前条第 2 項から第 4 項までの規定は、第 1 項の規定により個人関連情報取扱事業者が確認する場合について準用する。この場合において、同条第 3 項中「の提供を受けた」とあるのは、「を提供した」と読み替えるものとする。

個人関連情報取扱事業者は、提供先の第三者が個人関連情報を個人データとして取得することが想定されるときは、原則として、あらかじめ当該個人関連情報に係る本人の同意が得られていることを確認しないで個人関連情報を提供してはならない（法第 31 条第 1 項。
本人から同意を得る主体は、原則として提供先の第三者となり、個人関連情報取扱事業者は、当該第三者から申告を受ける方法その他の適切な方法によって本人同意が得られていることを確認することになる。提供先の第三者から申告を受ける場合、個人関連情報取扱事業者は、その申告

45

内容を一般的な注意力をもって確認すれば足りる。
提供先の第三者において、複数の本人から同一の方式で同意を取得している場合、提供元はそれぞれの本人から同意が取得されていることを確認する必要があるが、同意取得の方法については、本人ごとに個別の申告を受ける必要はなく、複数の本人からどのように同意を取得したか申告を受け、それによって確認を行えば足りる。
なお、提供先の第三者から提供元の個人関連情報取扱事業者に対する申告に際し、提供先の第三者が法第 31 条第 1 項第 1 号の同意を取得済みの ID 等を提供する行為は、個人データの第三者提供に該当する場合があるが、法第 31 条第 1 項の確認行為において必要となる情報のみを提供する場合は、法令に基づく場合（法第 27 条第 1 項第 1 号）に該当する。
また、提供元の個人関連情報取扱事業者において、同意取得を代行する場合、当該同意を自ら確認する方法も「その他の適切な方法」による確認に該当する。

また、個人関連情報取扱事業者は、法第 31 条第 1 項の規定による確認を行った場合は、その記録を作成しなければならない（法第 31 条第 3 項において準用される法第 30 条第 3 項）。

3-8

保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止等（法第 32 条～第39 条関係）
保有個人データに関する事項の公表等（法第 32 条関係）

3-8-1（1）保有個人データに関する事項の本人への周知（法第 32 条第 1 項関係）

法第 32 条（第 1 項）
1

個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
(1)

当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名(2)全ての保有個人データの利用目的（第 21 条第 4 項第 1 号から第 3 号までに該当する場合を除く。）(3)

次項の規定による求め又は次条第 1 項（同条第 5 項において準用する場合を含む。）、第 34 条第 1 項若しくは第 35 条第 1 項第 3 項若しくは第 5 項の規定による請求に応じる手続（第 38 条第 2 項の規定により手数料の額を定めたときは、その手数料の額を含
む。）

(4)

前三号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの46

個人情報取扱事業者は、保有個人データについて、次の①から④までの情報を本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。

① 個人情報取扱事業者の氏名又は名称及び住所並びに法人にあってはその代表者の氏名② 全ての保有個人データの利用目的（ただし、一定の場合を除く。）③ 保有個人データの利用目的の通知の求め又は開示等の請求に応じる手続及び保有個人データの利用目的の通知の求め又は開示の請求に係る手数料の額（定めた場合に限る。）④ 保有個人データの取扱いに関する苦情の申出先（2）保有個人データの利用目的の通知（法第 32 条第 2 項、第 3 項関係）

法第 32 条（第 2 項・第 3 項）
2

個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りでない。
(1)

前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合(2)

第 21 条第 4 項第 1 号から第 3 号までに該当する場合

3 個人情報取扱事業者は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
個人情報取扱事業者は、次の①から④までの場合を除いて、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、遅滞なく、本人に通知しなければならない。
なお、通知しない旨を決定したときは、遅滞なく、その旨を本人に通知しなければならない。

①

上記（1）
（法第 32 条第 1 項）の措置により、本人が識別される保有個人データの利用目的が明らかである場合②

利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（法第 21 条第 4 項第 1 号）（（利用目的の通知等をしなくてよい場合）参照）③

利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は利益が侵害されるおそれがある場合（法第 21 条第 4 項第 2 号）（（利用目的の通知等をしなくてよい場合）参照）④

国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場
合であり、協力する民間企業等が国の機関等から受け取った保有個人データの利用目的
を本人に通知し、又は公表することにより、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合（法第 21 条第 4 項第 3 号）（（利用目的の通知等をしなくてよい47場合）参照）

保有個人データの開示（法第 33 条関係）

3-8-2

法第 33 条1

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの電磁的記録の提供による方法その他の個人情報保護委員会規則で定める方法による開示を請求することができる。
2 個人情報取扱事業者は、前項の規定による請求を受けたときは、本人に対し、同項の規定により当該本人が請求した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
(1)

本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合(2)

当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合(3)

他の法令に違反することとなる場合

3 個人情報取扱事業者は、第 1 項の規定による請求に係る保有個人データの全部若しくは一部について開示しない旨の決定をしたとき、当該保有個人データが存在しないとき、又は同項の規定により本人が請求した方法による開示が困難であるときは、本人に対し、遅滞なく、その旨を通知しなければならない。
4 他の法令の規定により、本人に対し第 2 項本文に規定する方法に相当する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている場合には、当該全部又は一部の保有個人データについては、第 1 項及び第 2 項の規定は、適用しない。
5 第 1 項から第 3 項までの規定は、当該本人が識別される個人データに係る第 29 条第 1 項
及び第 30 条第 3 項の記録（その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるものを除く。第 37 条第 2 項において「第三者提供記録」という。）
について準用する。
個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの開示（存在しないときにはその旨を知らせることを含む。）の請求を受けたときは、本人に対し、本人が請求した方法（当該方法による開示が困難である場合にあっては、書面の交付による方法）により、遅滞なく、当該保有個人データを開示しなければならない。
ただし、開示することにより次の（1）から（3）までのいずれかに該当する場合は、その全部又は一部を開示しないことができるが、これにより開示しない旨の決定をしたとき又は請求に係る保有個人データが存在しないときは、遅滞なく、その旨を本人に通知しなければならない。

(1)

本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合•

保有個人データを本人に開示することにより、本人又は第三者の生命、身体、財産その48

他の権利利益を害するおそれがある場合は、当該保有個人データの全部又は一部を開示しないことができる。
事例 1)

医療機関等において、病名等を患者に開示することにより、患者本人の心身状況を悪化させるおそれがある場合(2)

個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合•

保有個人データを本人に開示することにより、個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、当該保有個人データの全部又は一部を開示しないことができる。

(3)

他の法令に違反することとなる場合•

保有個人データを本人に開示することにより、他の法令に違反することとなる場合は、当該保有個人データの全部又は一部を開示しないことができる。

また、他の法令の規定により、法第 33 条第 2 項に定める方法に相当する方法により当該本人が識別される保有個人データを開示することとされている場合には、法第 33 条第 1 項及び第 2 項の規定は適用されず、当該他の法令の規定が適用されることとなる。

なお、本人が、裁判上の訴えにより、当該本人が識別される保有個人データの開示を請求する場
合と本条との関係については、（裁判上の訴えの事前請求）を参照のこと。

3-8-3

保有個人データの訂正等（法第 34 条関係）

法第 34 条1

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの内容が事実でないときは、当該保有個人データの内容の訂正、追加又は削除（以下この条において「訂正等」という。）を請求することができる。
2

個人情報取扱事業者は、前項の規定による請求を受けた場合には、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。
3 個人情報取扱事業者は、第 1 項の規定による請求に係る保有個人データの内容の全部若しく
は一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を通知しなければならな
い。

個人情報取扱事業者は、本人から、当該本人が識別される保有個人データに誤りがあり、事実でないという理由によって、内容の訂正、追加又は削除（以下「訂正等」という。）の請求を受けた場合は、

49

利用目的の達成に必要な範囲で遅滞なく必要な調査を行い、その結果に基づき、原則として、訂正等を行わなければならない。
なお、個人情報取扱事業者は、法第 34 条第 2 項の規定に基づき請求に係る保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を本人に通知しなければならない。
また、保有個人データの内容の訂正等に関して他の法令の規定により特別の手続が定められている場合には、法第 34 条第 1 項及び第 2 項の規定は適用されず、当該他の法令の規定が適用されることとなる。
なお、本人が、裁判上の訴えにより、当該本人が識別される保有個人データの訂正等を請求する場合と本条との関係については、（裁判上の訴えの事前請求）を参照のこと。

3-8-4

保有個人データの利用停止等（法第 35 条関係）

法第 35 条1

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第 18 条若し

くは第 19 条の規定に違反して取り扱われているとき、又は第 20 条の規定に違反して取得されたものであるときは、当該保有個人データの利用の停止又は消去（以下この条において「利用停止等」という。）を請求することができる。
2

個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護する
ため必要なこれに代わるべき措置をとるときは、この限りでない。
3

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第 27 条第 1項又は第 28 条の規定に違反して第三者に提供されているときは、当該保有個人データの第三者への提供の停止を請求することができる。
4

個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
5

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データを当該個人情報取扱事業者が利用する必要がなくなった場合、当該本人が識別される保有個人データに係る第26 条第 1 項本文に規定する事態が生じた場合その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合には、当該保有個人デー
タの利用停止等又は第三者への提供の停止を請求することができる。
6

個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があ50

ることが判明したときは、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行わなければならない。ただし、当該保有個人データの利用停止等又は第三者への提供の停止に多額の費用を要する場合その他の利用停止等又は第三者への提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
7

個人情報取扱事業者は、第 1 項若しくは第 5 項の規定による請求に係る保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は第 3 項若しくは第 5 項の規定による請求に係る保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をした
ときは、本人に対し、遅滞なく、その旨を通知しなければならない。

個人情報取扱事業者は、本人から、当該本人が識別される保有個人データが、法第 18 条若しくは19条の規定に違反して本人の同意なく目的外利用がされている、又は法第 20 条の規定に違反して偽りその他不正の手段により個人情報が取得され若しくは本人の同意なく要配慮個人情報が取得されたものであるという理由によって、当該保有個人データの利用の停止又は消去（以下「利用停止等」という。）の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として、遅滞なく、利用停止等を行わなければならない。
また、個人情報取扱事業者は、本人から、当該本人が識別される保有個人データが、法第 27 条
第 1 項又は第 28 条の規定に違反して本人の同意なく第三者に提供されているという理由によって、当該保有個人データの第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として、遅滞なく、第三者提供を停止しなければならない。
さらに、個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがあるという理由によって当該保有個人デー
タの利用の停止または第三者への提供の停止の請求を受けた場合であって、その請求に理由があることが判明した時は、原則として、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行わなければならない。
なお、個人情報取扱事業者は、上記により、利用停止等を行ったとき若しくは利用停止等を行わない
旨の決定をしたとき、又は、第三者提供の停止を行ったとき若しくは第三者提供を停止しない旨の決定をしたときは、遅滞なく、その旨を本人に通知しなければならない。
また、本人が、裁判上の訴えにより、当該本人が識別される保有個人データの利用停止等又は第三者提供の停止を請求する場合と本条との関係については、（裁判上の訴えの事前請求）を参照のこと。
なお、消費者等、本人の権利利益保護の観点からは、事業活動の特性、規模及び実態を考慮して、保有個人データについて本人から求めがあった場合には、ダイレクトメールの発送停止等、自主的に利用停止に応じる等、本人からの求めにより一層対応していくことが望ましい。

3-8-5

理由の説明（法第 36 条関係）51

法第 36 条
個人情報取扱事業者は、第 32 条第 3 項、第 33 条第 3 項（同条第 5 項において準用する場
合を含む。）、第 34 条第 3 項又は前条第 7 項の規定により、本人から求められ、又は請求された措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合には、本人に対し、その理由を説明するよう努めなければならな
い。

個人情報取扱事業者は、保有個人データの利用目的の通知の求め、又は保有個人データの開示、訂正等、利用停止等若しくは第三者提供の停止に関する請求（以下「開示等の請求等」という。）に係る措置の全部又は一部について、その措置をとらない旨又はその措置と異なる措置をとる旨を本人に通知する場合は、併せて、本人に対して、その理由を説明するように努めなければならない。

3-8-6

開示等の請求等に応じる手続（法第 37 条関係）

法第 37 条1

個人情報取扱事業者は、第 32 条第 2 項の規定による求め又は第 33 条第 1 項（同条第 5項において準用する場合を含む。次条第 1 項及び第 39 条において同じ。）、第 34 条第 1 項
若しくは第 35 条第 1 項、第 3 項若しくは第 5 項の規定による請求（以下この条及び第 54

条第 1 項において「開示等の請求等」という。）に関し、政令で定めるところにより、その求め又は請求を受け付ける方法を定めることができる。この場合において、本人は、当該方法に従って、開示等の請求等を行わなければならない。
2 個人情報取扱事業者は、本人に対し、開示等の請求等に関し、その対象となる保有個人データ又は第三者提供記録を特定するに足りる事項の提示を求めることができる。この場合において、個人情報取扱事業者は、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データ又は当該第三者提供記録の特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。
3 開示等の請求等は、政令で定めるところにより、代理人によってすることができる。
4 個人情報取扱事業者は、前 3 項の規定に基づき開示等の請求等に応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。

個人情報取扱事業者は、開示等の請求等において、これを受け付ける方法として次の（1）から（4）までの事項を定めることができる。
なお、開示等の請求等を受け付ける方法を定めた場合には、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置いておかなければならない。
なお、個人情報取扱事業者が、開示等の請求等を受け付ける方法を合理的な範囲で定めたときは、本人
は、当該方法に従って開示等の請求等を行わなければならず、当該方法に従わなかった場合は、個人情報取扱事業者は当該開示等の請求等を拒否することができる。

52

また、個人情報取扱事業者は、円滑に開示等の手続が行えるよう、本人に対し、開示等の請求等の対象となる当該本人が識別される保有個人データ又は第三者提供記録kの特定に必要な事項（住所、ID、パスワード、会員番号等）の提示を求めることができる。なお、その際には、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データ又は当該第三者提供記
録の特定に資する情報を提供するなど、本人の利便性を考慮しなければならない。

(1)

開示等の請求等の申出先（例）担当窓口名・係名、郵送先住所、受付電話番号、受付FAX番号、メールアドレス等(2)

開示等の請求等に際して提出すべき書面（電磁的記録を含む。）の様式、その他の開示等の請求等の受付方法（例）郵送、FAX、電子メールで受け付ける等(3)

開示等の請求等をする者が本人又はその代理人（①未成年者又は成年被後見人の法定代理人、②開示等の請求等をすることにつき本人が委任した代理人）であることの確認の方法(4)

保有個人データの利用目的の通知又は保有個人データの開示をする際に徴収する手数料の
徴収方法

3-8-7

手数料（法第 38 条関係）

法第 38 条1 個人情報取扱事業者は、第 32 条第 2 項の規定による利用目的の通知を求められたとき又は第 33 条第 1 項の規定による開示の請求を受けたときは、当該措置の実施に関し、手数料を徴収することができる。
2

個人情報取扱事業者は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。

個人情報取扱事業者は、保有個人データの利用目的の通知（法第 32 条第 2 項）を求められ、又は保有個人データの開示の請求（法第 33 条第 1 項）を受けたときは、当該措置の実施に関し、手数料の額を定め、これを徴収することができる。
なお、当該手数料の額を定めた場合には、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む）なお、当該手数料の額を定めた場合には、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置いておかなければならない（法第 32 条第 1 項
第 3 号）。
また、手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。

53

3-8-8

裁判上の訴えの事前請求（法第 39 条関係）

法第 39 条1

本人は、第 33 条第 1 項、第 34 条第 1 項又は第 35 条第 1 項、第 3 項若しくは第 5項の規定による請求に係る訴えを提起しようとするときは、その訴えの被告となるべき者に対し、あらかじめ、当該請求を行い、かつ、その到達した日から 2 週間を経過した後でなければ、その訴えを提起することができない。ただし、当該訴えの被告となるべき者がその請求を拒んだときは、この限りでない。

2 前項の請求は、その請求が通常到達すべきであった時に、到達したものとみなす。
3

前二項の規定は、第 33 条第 1 項、第 34 条第 1 項又は第 35 条第 1 項、第 3 項若しくは第 5 項の規定による請求に係る仮処分命令の申立てについて準用する。

自己が識別される保有個人データの開示、訂正等又は利用停止等若しくは第三者提供の停止の個
人情報取扱事業者に対する請求について裁判上の訴えを提起しようとするときは、あらかじめ裁
判外において当該請求を個人情報取扱事業者に対して行い、かつ、当該請求が当該個人情報取扱事業者に到達した日から 2 週間を経過した後でなければ、当該訴えを提起することができない。
ただし、個人情報取扱事業者が当該裁判外の請求を拒んだときは、2 週間を経過する前に、当該請求に係る裁判上の訴えを提起することができる。

3-9

個人情報の取扱いに関する苦情処理（法第 40 条関係）

法第 40 条1

個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
2

個人情報取扱事業者は、前項の目的を達成するために必要な体制の整備に努めなければならない。

個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
また、苦情の適切かつ迅速な処理を行うに当たり、苦情処理窓口の設置や苦情処理の手順を定める等
必要な体制の整備に努めなければならない。もっとも、無理な要求にまで応じなければならないものではない。
なお、個人情報取扱事業者は、保有個人データの取扱いに関する苦情の申出先（個人情報取扱事業者
が認定個人情報保護団体の対象事業者である場合は、その団体の名称及び苦情解決の申出先を含む。）について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない（（保有個人データに関する事項の公表等）参照）
。

54

4

仮名加工情報取扱事業者の義務

仮名加工情報取扱事業者等の義務については、個人情報保護委員会が定める「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」を参照のこと。以下では概要のみ説明する。

仮名加工情報の作成等（法第 41 条関係）

4-1

法第 41 条1

個人情報取扱事業者は、仮名加工情報（仮名加工情報データベース等を構成するものに限る。以下この章及び第六章において同じ。）を作成するときは、他の情報と照合しない限り特定の個人を識別することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、個人情報を加工しなければならない。
２ 個人情報取扱事業者は、仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工
情報に係る削除情報等（仮名加工情報の作成に用いられた個人情報から削除された記述等及び個
人識別符号並びに前項の規定により行われた加工の方法に関する情報をいう。以下この条及び次条第三項において読み替えて準用する第七項において同じ。）を取得したときは、削除情報等の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、削除情報等の安全管理のための措置を講じなければならない。
３

仮名加工情報取扱事業者（個人情報取扱事業者である者に限る。以下この条において同じ。）は、第 18 条の規定にかかわらず、法令に基づく場合を除くほか、第 17 条第 1 項の規定により特定された利用目的の達成に必要な範囲を超えて、仮名加工情報（個人情報であるものに限る。以下この条において同じ。）を取り扱ってはならない。
４

仮名加工情報についての第 21 条の規定の適用については、同条第 1 項及び第 3項中「、本人に通知し、又は公表し」とあるのは「公表し」と、同条第四項第 1 号から第 3 号までの規定中「本人に通知し、又は公表する」とあるのは「公表する」とする。
５ 仮名加工情報取扱事業者は、仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞なく消去するよう努めなければならない。この場合においては、第 22 条の規定は、適用しない。
６

仮名加工情報取扱事業者は、第 27 条第 1 項及び第 2 項並びに第 28 条第 1 項の規定にかかわらず、法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはならない。この場合において、第 27 条第 5 項中「前各項」とあるのは「第 41 条第 6 項」と、同項第 3 号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第 6 項中「、本人に通知し、又は本人が容易に知り得る状態に置かなけ55

れば」とあるのは「公表しなければ」と、第 29 条第 1 項ただし書中「第 27 条第 1 項各号又は第 5 項各号のいずれか（前条第 1 項の規定による個人データの提供にあっては、第 27 条第1 項各号のいずれか）」とあり、及び第 30 条第 1 項ただし書中「第 27 条第 1 項各号又は第5 項各号のいずれか」とあるのは「法令に基づく場合又は第 27 条第 5 項各号のいずれか」とする。
７ 仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たっては、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該仮名加工情報を他の情報と照合してはならない。
８ 仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たっては、電話をかけ、郵便若し
くは民間事業者による信書の送達に関する法律（平成十四年法律第九十九号）第 2 条第 6 項に規定する一般信書便事業者若しくは同条第 9 項に規定する特定信書便事業者による同条第二項に規定する信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法（電子情報処理組織を使用する方法その他の情報通信の技術を利用する方法であって個人情報保護委員会
規則で定めるものをいう。）を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用してはならない。
９ 仮名加工情報、仮名加工情報である個人データ及び仮名加工情報である保有個人データについては、第 17 条第 2 項、第 26 条及び第 32 条から第 39 条までの規定は、適用しない。

個人情報取扱事業者は、仮名加工情報（仮名加工情報データベース等を構成するものに限る）を作成するときは、他の情報と照合しない限り特定の個人を識別することができないようにするた
めに、規則第 31 条各号に定める基準に従って、個人情報を加工しなければならない（法第 41条第 1 項）。なお、「個人情報保護委員会規則で定める基準に従い、個人情報を加工」するた
めには、加工する情報の性質に応じて、規則第 31 条各号に定める加工基準を満たす必要がある。

また、個人情報取扱事業者は、仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等を取得したときは、削除情報等（法第 41 条第 1 項の規定により行われた加工の方法に関する情報にあっては、その情報を用いて仮名加工情報の作成に用いられた個
人情報を復元することができるものに限る）の漏えいを防止するために、規則第 32 条各号で定める基準に従い、必要な措置を講じなければならない（法第 41 条第 2 項）。当該措置の内容
は、対象となる削除情報等が漏えいした場合における個人の権利利益の侵害リスクの大きさを考慮し、当該削除情報等の量、性質等に応じた内容としなければならない。

さらに、個人情報取扱事業者である仮名加工情報取扱事業者は、法令に基づく場合を除くほか、
法第 17 条第 1 項の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報である仮名加工情報を取り扱ってはならない（法第 41 条第 3 項）。「法令に基づく場合」以外の場合において、法第 17 条第 1 項の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報である仮名加工情報を取り扱う場合には、あらかじめ利用目的を変更する必要が56

ある。なお、仮名加工情報については、利用目的の変更の制限に関する法第 17 条第 2 項の規定は適用されないため、変更前の利用目的と関連性を有すると合理的に認められる範囲を超える
利用目的の変更も認められる。利用目的を変更した場合には、原則として変更後の利用目的を公表しなければならない。

また、個人情報取扱事業者である仮名加工情報取扱事業者は、個人情報である仮名加工情報を取得した場合には、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を公表しなければならない（法第 41 条第 4 項）。利用目的の変更を行った場合には、法第21 条第 4 項各号が準用される場合を除き、変更後の利用目的を公表しなければならない。

さらに、個人情報取扱事業者である仮名加工情報取扱事業者は、保有する仮名加工情報である個
人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該仮名加工情報である個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となり、当該事業の再開の見込みもない場合等は、当該仮名加工情報である個人データを遅滞なく消去するよう努めなければならない（法第 41 条第 5 項）。保有する削除情報等について利用する必要がなくなったときは、当該削除情報等を遅滞なく消去するように努めなければならない。

また、個人情報取扱事業者である仮名加工情報取扱事業者は、法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはならない（法第 41 条第 6 項）。ただし、委託、事業の承継又は共同利用の場合については、仮名加工情報である個人データの提供先は個
人情報取扱事業者である仮名加工情報取扱事業者とは別の主体として形式的には第三者に該当するものの、提供主体の個人情報取扱事業者である仮名加工情報取扱事業者と一体のものとして取り扱うことに合理性があるため、第三者には該当しないものとする。そのため、このような要件を満たす場合には、仮名加工情報である個人データを提供することができる。なお、法令に基づく場合又は委託、事業の承継又は共同利用のいずれかの場合における仮名加工情報である個人データの提供については、確認・記録義務は課されない。

さらに、個人情報取扱事業者である仮名加工情報取扱事業者が個人情報である仮名加工情報を取り扱う場合には、当該仮名加工情報の作成の元となった個人情報の本人を識別する目的で、当該仮名加工情報を他の情報と照合してはならない（法第 41 条第 7 項）。

また、個人情報取扱事業者である仮名加工情報取扱事業者は、個人情報である仮名加工情報を取り扱う場合には、電話をかけ、郵便若しくは信書便により送付し、電報を送達し、ファクシミリ
装置若しくは電磁的方法を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報の利用を行ってはならない（法第 41 条第 8 項）。「電磁的方法」には、いわゆるショートメール、電子メール、SNSのメッセージ機能等を含み、自己のみならず他

57

人に委託して行う場合も含まれる。

さらに、仮名加工情報（個人情報であるもの）、仮名加工情報である個人データ及び仮名加工情報である保有個人データの取扱いについては、利用目的の変更（法第 17 条第 2 項）、漏洩等の報告等（法第 26 条）、本人からの開示等の請求等（法第 32 条から第 39 条）に関する規定が適用されない（法第 41 条第 9 項）。

4-2

仮名加工情報の第三者提供の制限等（法第 42 条関係）

法第 42 条1

仮名加工情報取扱事業者は、法令に基づく場合を除くほか、仮名加工情報（個人情報であるものを除く。次項及び第 3 項において同じ。）を第三者に提供してはならない。
２ 第 27 条第 5 項及び第 6 項の規定は、仮名加工情報の提供を受ける者について準用する。
この場合において、同条第 5 項中「前各項」とあるのは「第 42 条第 1 項」と、同項第 1 号
中「個人情報取扱事業者」とあるのは「仮名加工情報取扱事業者」と、同項第 3 号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第六項中「個人情報取扱事業者」とあるのは「仮名加工情報取扱事業者」と、「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と読み替えるものとする。
３ 第 23 条から第 25 条まで、第 40 条並びに前条第 7 項及び第 8 項の規定は、仮名加工情報取扱事業者による仮名加工情報の取扱いについて準用する。この場合において、第 23 条中「漏えい、滅失又は毀損」とあるのは「漏えい」と、前条第 7 項中「ために、」とあるのは「ために、削除情報等を取得し、又は」と読み替えるものとする。

仮名加工情報取扱事業者は、法令に基づく場合を除くほか、仮名加工情報（個人情報であるものを除く。以下この項及び次項において同じ。）を第三者に提供してはならない（法第 42 条第 1項）。

ただし、委託、事業承継又は共同利用により仮名加工情報の提供を受ける者は、提供主体の仮名加工情報取扱事業者と一体のものとして取り扱うことに合理性があるため、第三者には該当しないものとする。そのため、委託、事業承継又は共同利用による場合は、仮名加工情報を提供することができる（法第 42 条第 2 項）。

また、仮名加工情報取扱事業者による仮名加工情報の取扱いについては、(1)安全管理措置（法第 23 条）、(2)従業者の監督（法第 24 条）、(3)委託先の監督（法第 25 条）、(4)苦情処理（法第 40 条）、(5)識別行為の禁止（法第 41 条第 7 項）及び(6)本人への連絡等の禁止（法58

第 41 条第 8 項）の義務等が課せられる。

5

匿名加工情報取扱事業者等の義務（法第 43 条～第 46 条関係）

5-1

匿名加工情報取扱事業者等の義務

5-1-1

匿名加工情報の取扱いに係る義務の考え方

法第 4 章第 2 節においては、匿名加工情報を作成する個人情報取扱事業者及び匿名加工情報
データベース等を事業の用に供している匿名加工情報取扱事業者が、匿名加工情報を取り扱う
場合等に遵守すべき義務を規定している。

【匿名加工情報を作成する個人情報取扱事業者が遵守する義務等】(1)

匿名加工情報を作成するときは、適正な加工を行わなければならない。（法第 43 条第 1 項）＜（匿名加工情報の適正な加工）参照＞(2)

匿名加工情報を作成したときは、加工方法等の情報の安全管理措置を講じなければならない。（法第 43 条第 2 項）＜（匿名加工情報等の安全管理措置等）参照＞(3)

匿名加工情報を作成したときは、当該情報に含まれる情報の項目を公表しなければならない。（法第 43 条第 3 項）＜（匿名加工情報の作成時の公表）参照＞(4)

匿名加工情報を第三者提供するときは、提供する情報の項目及び提供方法について公表するとともに、提供先に当該情報が匿名加工情報である旨を明示しなければならない。（法第43 条第 4 項）＜（匿名加工情報の第三者提供）参照＞(5)

匿名加工情報を自ら利用するときは、元の個人情報に係る本人を識別する目的で他の情報と照合することを行ってはならない。
（法第 43 条第 5 項）＜（識別行為の禁止）参照＞(6)

匿名加工情報を作成したときは、匿名加工情報の適正な取扱いを確保するため、安全管理
措置、苦情の処理などの措置を自主的に講じて、その内容を公表するよう努めなければならない。（法第 43 条第 6 項）＜（匿名加工情報等の安全管理措置等）参照＞【匿名加工情報データベース等を事業の用に供している匿名加工情報取扱事業者が遵守する義
務等（※）
】
(1)

匿名加工情報を第三者提供するときは、提供する情報の項目及び提供方法について公表するとともに、提供先に当該情報が匿名加工情報である旨を明示しなければならない。（法第44 条）＜（匿名加工情報の第三者提供）参照＞

59

(2)

匿名加工情報を利用するときは、元の個人情報に係る本人を識別する目的で、加工方法等の情報を取得し、又は他の情報と照合することを行ってはならない。
（法第 45 条）＜（識別行為の禁止）参照＞(3)

匿名加工情報の適正な取扱いを確保するため、安全管理措置、苦情の処理などの措置を自主的に講じて、その内容を公表するよう努めなければならない。
（法第 46 条）＜（匿名加工
情報等の安全管理措置等）参照＞（※） 匿名加工情報データベース等を事業の用に供する者は匿名加工情報取扱事業者に該当する。ただし、個人情報取扱事業者が自ら個人情報を加工して作成した匿名加工情報については、法第 44 条から第 46 条までの適用対象から除外されており、法第 43
条第 4 項から第 6 項までの規定が適用される。

5-1-2

匿名加工情報の適正な加工（法第 43 条第 1 項関係）

法第 43 条（第 1 項）
1 個人情報取扱事業者は、匿名加工情報（匿名加工情報データベース等を構成するものに限る。以下この章及び第 6 章において同じ。）を作成するときは、特定の個人を識別すること及びその作成に用いる
個人情報を復元することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、当該個人情報を加工しなければならない。

規則第 34 条
法第 43 条第 1 項の個人情報保護委員会規則で定める基準は、次のとおりとする。
(1)

個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること（当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

(2)

個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

(3)

個人情報と当該個人情報に措置を講じて得られる情報とを連結する符号（現に個人情報取扱事業者
において取り扱う情報を相互に連結する符号に限る。）を削除すること（当該符号を復元することのできる規則性を有しない方法により当該個人情報と当該個人情報に措置を講じて得られる情報を連結することができない符号に置き換えることを含む。）。

(4)

特異な記述等を削除すること（当該特異な記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

(5)

前各号に掲げる措置のほか、個人情報に含まれる記述等と当該個人情報を含む個人情報データベー
ス等を構成する他の個人情報に含まれる記述等との差異その他の当該個人情報データベース等の性質を勘案し、その結果を踏まえて適切な措置を講ずること。

60

個人情報取扱事業者は、匿名加工情報（匿名加工情報データベース等を構成するものに限る（※1）
。以下同じ。）を作成するとき（※2）は、特定の個人を識別できないように、かつ、その作成に用いる個人情報を復元できないようにするために、規則第 34 条各号に定める基準に従って、当該個人情報を加工しなければならない。なお、「個人情報保護委員会規則で定める基準に従い、当該個人情報を加工」するためには、加工する情報の性質に応じて、規則第 34 条各号に定める加工基準を満たす必要がある。

（※1）匿名加工情報の取扱いに係る義務（法第 43 条～第 46 条）は、匿名加工情報デー
タベース等を構成する匿名加工情報に課されるものであり、いわゆる散在情報となる、匿名加工情報データベース等を構成しない匿名加工情報の取扱いに係る義務は課されていない。
（※2）
「作成するとき」は、匿名加工情報として取り扱うために、当該匿名加工情報を作成するときのことを指す。したがって、例えば、安全管理措置の一環として氏名等の一部の個人情報を削除（又は他の記述等に置き換え）した上で引き続き個人情報として取り扱う場合、あるいは統計情報を作成するために個人情報を加工する場合等については、匿名加工情報を「作成するとき」には該当しない。

5-1-2-1

特定の個人を識別することができる記述等の削除

規則第 34 条（第 1 号）
(1)

個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること（当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

個人情報取扱事業者が取り扱う個人情報には、一般に、氏名、住所、生年月日、性別の他、様々な個人に関する記述等が含まれている。これらの記述等は、氏名のようにその情報単体で特定の個人を識別することができるもののほか、住所、生年月日など、これらの記述等が合わさることによって特定の個人を識別することができるものもある。このような特定の個人を識別できる記述等から全部又はその一部を削除するあるいは他の記述等に置き換えることによって、特定の個人を識別することができないよう加工しなければならない。
なお、他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない方法でなければならない（※）。例えば、生年月日の情報を生年の情報に置き換える場合のように、元の記述等をより抽象的な記述に置き換えることも考えられる。

【想定される加工の事例】
事例 1)

氏名、住所、生年月日が含まれる個人情報を加工する場合に次の①から③までの措

61

置を講ずる。
① 氏名を削除する。
② 住所を削除する。又は、○○県△△市に置き換える。
③ 生年月日を削除する。又は、日を削除し、生年月に置き換える。
事例 2)

会員 ID、氏名、住所、電話番号が含まれる個人情報を加工する場合に次の①、②の措置を講ずる。
① 会員 ID、氏名、電話番号を削除する。
② 2) 住所を削除する。又は、○○県△△市に置き換える（※） 仮 ID を付す場合には、元の記述を復元することのできる規則性を有しない方法でなければならない。
例えば、仮にハッシュ関数等を用いて氏名・住所・連絡先・クレジットカード番号のよ
うに個々人に固有の記述等から仮 ID を生成しようとする際、元の記述に同じ関数を単純に用いると元となる記述等を復元することができる規則性を有することとなる可能性がある場合には、元の記述（例えば、氏名＋連絡先）に乱数等の他の記述を加えた上でハッシュ関数等を用いるなどの手法を検討することが考えられる。
なお、同じ乱数等の他の記述等を加えた上でハッシュ関数等を用いるなどの手法を用いる場合には、乱数等の他の記述等を通じて復元することができる規則性を有することとならないように、提供事業者ごとに組み合わせる記述等を変更し、定期的に変更するなどの措置を講ずることが望ましい。

5-1-2-2

個人識別符号の削除

規則第 34 条（第 2 号）
(2) 個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

加工対象となる個人情報が、個人識別符号を含む情報であるときは、当該個人識別符号単体で特定の個人を識別できるため、当該個人識別符号の全部を削除又は他の記述等へ置き換えて、特定の個人を識別できないようにしなければならない。
なお、他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない方法による必要がある。

5-1-2-3

情報を相互に連結する符号の削除

規則第 34 条（第 3 号）

62

(3) 個人情報と当該個人情報に措置を講じて得られる情報を連結する符号（現に個人情報取扱
事業者において取り扱う情報を相互に連結する符号に限る。）を削除すること（当該符号を復元することのできる規則性を有しない方法により当該個人情報と当該個人情報に措置を講じて得られる情報を連結することができない符号に置き換えることを含む。）。

個人情報取扱事業者が個人情報を取り扱う上で、例えば、安全管理の観点から取得した個人情報を分散管理等しようとするために、当該個人情報を分割あるいは全部又は一部を複製等した上で、当該個人情報に措置を講じて得られる情報を個人情報と相互に連結するための符号として ID 等を付していることがある。このような ID は、個人情報と当該個人情報に措置を講じて得られる情報を連結するために用いられるものであり、特定の個人の識別又は元の個人情報の復元につながり得ることから、加工対象となる個人情報から削除又は他の符号への置き換えを行わなければならない。
個人情報と当該個人情報に措置を講じて得られる情報を連結する符号のうち、「現に個人情報取扱事業者において取り扱う情報（※1）を相互に連結する符号」がここでの加工対象となる。具
体的には、ここで対象となる符号は、匿名加工情報を作成しようとする時点において、実際に取り扱う情報を相互に連結するように利用されているものが該当する。例えば、分散管理のためのID として実際に使われているものであれば、管理用に附番されたID あるいは電話番号等もこれに該当する。
なお、他の符号に置き換える場合は、元の符号を復元できる規則性を有しない方法でなければならない。

【想定される加工の事例】
事例 1)

サービス会員の情報について、氏名等の基本的な情報と購買履歴を分散管理し、それらを管理用 ID を付すことにより連結している場合、その管理用 ID を削除する。

事例 2)

委託先へ個人情報の一部を提供する際に利用するために、管理用 ID を付すことにより元の個人情報と提供用に作成した情報を連結している場合、当該管理用 ID を
仮 ID（※2）に置き換える。

（※1）「現に個人情報取扱事業者において取り扱う情報」とは、匿名加工情報を作成する時点において取り扱われている情報のことを指し、これから作成する匿名加工情報は含まれない。
（※2）仮 ID を付す際の注意点については、（特定の個人を識別することができる記述等の削除）の（※）を参照のこと。

5-1-2-4

特異な記述等の削除

規則第 34 条（第 4 号）

63

(4) 特異な記述等を削除すること（当該特異な記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

一般的にみて、珍しい事実に関する記述等又は他の個人と著しい差異が認められる記述等については、特定の個人の識別又は元の個人情報の復元につながるおそれがあるものである。そのため、
匿名加工情報を作成するに当たっては、特異な記述等について削除又は他の記述等への置き換えを行わなければならない。
ここでいう「特異な記述等」とは、特異であるがために特定の個人を識別できる記述等に至り得るものを指すものであり、他の個人と異なるものであっても特定の個人の識別にはつながり得な
いものは該当しない。実際にどのような記述等が特異であるかどうかは、情報の性質等を勘案して、個別の事例ごとに客観的に判断する必要がある。
他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない方法による必要がある。例えば、特異な記述等をより一般的な記述等に置き換える方法もあり得る。
なお、規則第 34 条第 4 号の対象には、一般的なあらゆる場面において特異であると社会通念上認められる記述等が該当する。他方、加工対象となる個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等とで著しい差異がある場合など個人情報データベース等の性質によるものは同第 5 号において必要な措置が求められることとなる。

【想定される加工の事例】
事例 1)

症例数の極めて少ない病歴を削除する。

事例 2)

年齢が「116 歳」という情報を「90 歳以上」に置き換える。

5-1-2-5

個人情報データベース等の性質を踏まえたその他の措置

規則第 34 条（第 5 号）
(5) 前各号に掲げる措置のほか、個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等との差異その他の当該個人情報データベース等の性質を勘案し、その結果を踏まえて適切な措置を講ずること。

匿名加工情報を作成する際には、規則第 34 条第 1 号から第 4 号までの措置をまず講ずることで、特定の個人を識別できず、かつ当該個人情報に復元できないものとする必要がある。
しかしながら、加工対象となる個人情報に含まれる記述等と当該個人情報を含む個人情報データ
ベース等を構成する他の個人情報に含まれる記述等とで著しい差異がある場合など、加工の元となる個人情報データベース等の性質によっては、規則第 34 条第 1 号から第 4 号までの加工を施した情報であっても、一般的にみて、特定の個人を識別することが可能 である状態あるいは元の64

個人情報を復元できる状態のままであるといえる場合もあり得る。そのような場合に対応するため、上記の措置のほかに必要となる措置がないかどうか勘案し、必要に応じて、別表 1（匿名加
工情報の加工に係る手法例）の手法などにより、適切な措置を講じなければならない。
なお、加工対象となる個人情報データベース等の性質によって加工の対象及び加工の程度は変わり得るため、どの情報をどの程度加工する必要があるかは、加工対象となる個人情報データベース等の性質も勘案して個別具体的に判断する必要がある。
特に、購買履歴、位置に関する情報などを含む個人情報データベース等において反復して行われる行動に関する情報が含まれる場合には、これが蓄積されることにより、個人の行動習慣が分かるような場合があり得る。そのような情報のうち、その情報単体では特定の個人が識別できるとは言えな
いものであっても、蓄積されたこと等によって特定の個人の識別又は元の個人情報の復元につながるおそれがある部分については、適切な加工を行わなければならない。

【想定される加工の事例】
事例 1)

移動履歴を含む個人情報データベース等を加工の対象とする場合において、自宅や職場などの所在が推定できる位置情報（経度・緯度情報）が含まれており、特定の個人の識別又は元の個人情報の復元につながるおそれがある場合に、推定につながり得る所定範囲の位置情報を削除する。（項目削除／レコード削除／セル削除）

事例 2)ある小売店の購買履歴を含む個人情報データベース等を加工の対象とする場合において、当該小売店での購入者が極めて限定されている商品の購買履歴が含まれており、特定の個人の識別又は元の個人情報の復元につながるおそれがある場合に、具体的な商品情報（品番・色）を一般的な商品カテゴリーに置き換える。（一般化）

事例 3)

小学校の身体検査の情報を含む個人情報データベース等を加工の対象とする場合において、ある児童の身長が 170 ㎝という他の児童と比べて差異が大きい情報があり、特定の個人の識別又は元の個人情報の復元につながるおそれがある場合に、身長が 150cm 以上の情報について「150 ㎝以上」という情報に置き換える。（トップコーディング）

65

（別表 1）匿名加工情報の加工に係る手法例（※）
手法名

解説

項目削除／レコード

加工対象となる個人情報データベース等に含まれる個人情報の記

削除／セル削除

述等を削除するもの。
例えば、年齢のデータを全ての個人情報から削除すること（項目削除）、特定の個人の情報を全て削除すること（レコード削除）、又は特定の個人の年齢のデータを削除すること（セル削
除）。

一般化

加工対象となる情報に含まれる記述等について、上位概念若しくは数値に置き換えること又は数値を四捨五入などして丸めることとするもの。
例えば、購買履歴のデータで「きゅうり」を「野菜」に置き換えること。

トップ（ボトム）コ

加工対象となる個人情報データベース等に含まれる数値に対して、

ーディング

特に大きい又は小さい数値をまとめることとするもの。
例えば、年齢に関するデータで、80 歳以上の数値データを「80 歳以上」というデータにまとめること。

ミクロアグリゲーシ

加工対象となる個人情報データベース等を構成する個人情報をグルョンープ化した後、グループの代表的な記述等に置き換えることとするもの。

データ交換（スワッ

加工対象となる個人情報データベース等を構成する個人情報相互プ）に含まれる記述等を（確率的に）入れ替えることとするもの。

ノイズ（誤差）付加

一定の分布に従った乱数的な数値を付加することにより、他の任意の数値へと置き換えることとするもの。

疑似データ生成

人工的な合成データを作成し、これを加工対象となる個人情報データベース等に含ませることとするもの。

（※） 匿名加工情報の作成に当たっての一般的な加工手法を例示したものであり、その他の手法を用いて適切に加工することを妨げるものではない。

5-1-3
5-1-3-1

匿名加工情報等の安全管理措置等（法第 43 条第2 項、第6 項、第39 条関係）
加工方法等情報の安全管理措置

法第 43 条（第 2 項）
2 個人情報取扱事業者は、匿名加工情報を作成したときは、その作成に用いた個人情報から削除した記述等及び個人識別符号並びに前項の規定により行った加工の方法に関する情報の漏えい

66

を防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、これらの情報の安全管理のための措置を講じなければならない。

規則第 35 条
法第 43 条第 2 項の個人情報保護委員会規則で定める基準は、次のとおりとする。
(1)

加工方法等情報（匿名加工情報の作成に用いた個人情報から削除した記述等及び個人識別符号並びに法第 43 条第 1 項の規定により行った加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。）をいう。以下この条において同じ。）を取り扱う者の権限及び責任を明確に定めること。

(2)

加工方法等情報の取扱いに関する規程類を整備し、当該規程類に従って加工方法等情報を適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果に基づき改善を図るために必要な措置を講ずること。

(3)

加工方法等情報を取り扱う正当な権限を有しない者による加工方法等情報の取扱いを防止するために必要かつ適切な措置を講ずること。

個人情報取扱事業者は、匿名加工情報を作成したときは、加工方法等情報（その作成に用いた個
人情報から削除した記述等及び個人識別符号並びに加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。（※））をいう。以下同じ。）の漏えいを防止するために、規則で定める基準に従い、必要な措置を講じなければならない。
当該措置の内容は、対象となる加工方法等情報が漏えいした場合における復元リスクの大きさを考慮し、当該加工方法等情報の量、性質等に応じた内容としなければならないが、具体的に講じなければならない項目及び具体例については、別表 2（加工方法等情報の安全管理で求められる措置の具体例）を参照のこと。

（※） 「その情報を用いて当該個人情報を復元することができるもの」には、例えば、氏名等を仮 ID に置き換えた場合における置き換えアルゴリズムに用いられる乱数等のパラメータ又は氏名と仮 ID の対応表等のような加工の方法に関する情報が該当し、「年齢のデータを 10 歳刻みのデータに置き換えた」というような復元につながらない
情報は該当しない。

67

（別表 2）加工方法等情報の安全管理で求められる措置の具体例
講じなければならない措置①加工方法等情報を取り扱

具体例•

う者の権限及び責任の明確

加工方法等情報の安全管理措置を講ずるための組織体制の整備

化（規則第 35 条第 1 号）
②加工方法等情報の取扱い•

加工方法等情報の取扱いに係る規程等の整備とこれに従った運用に関する規程類の整備及び当該規程類に従った加•

従業員の教育工方法等情報の適切な取扱•

加工方法等情報の取扱状況を確認する手段の整備

い 並びに加工方法等情報•

加工方法等情報の取扱状況の把握、安全管理措置のの取扱状況の評価及びその評価、見直し及び改善結果に基づき改善を図るた
めに必要な措置の実施（規則第 35 条第 2 号）
③加工方法等情報を取り扱 •加工方法等情報を取り扱う権限を有しない者によるう正当な権限を有しない者

閲覧等の防止による加工方法等情報の取•機器、電子媒体等の盗難等の防止

扱いを防止するために必要•

電子媒体等を持ち運ぶ場合の漏えい等の防止•

加工方法等情報の削除並びに機器、電子媒体等の廃かつ適切な措置（規則第 35 条第 3 号）

棄•

加工方法等情報へのアクセス制御•

加工方法等情報へのアクセス者の識別と認証•

外部からの不正アクセス等の防止•

情報システムの使用に伴う加工方法等情報の漏えい等の防止

5-1-3-2

匿名加工情報の安全管理措置等

法第 43 条（第 6 項）
6 個人情報取扱事業者は、匿名加工情報を作成したときは、当該匿名加工情報の安全管理のために必要かつ適切な措置、当該匿名加工情報の作成その他の取扱いに関する苦情の処理その他の
当該匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。

68

法第 46 条
匿名加工情報取扱事業者は、匿名加工情報の安全管理のために必要かつ適切な措置、匿名加工情報の取扱いに関する苦情の処理その他の匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。

個人情報取扱事業者又は匿名加工情報取扱事業者は、匿名加工情報の安全管理措置、苦情処理等の匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
当該安全管理等の措置については、個人情報と同様の取扱いを求めるものではないが、例えば、
法第 23 条から第 25 条までに定める個人データの安全管理、従業者の監督及び委託先の監督並びに法第 40 条に定める個人情報の取扱いに関する苦情の処理で求められる措置の例（※）を参考にすることも考えられる。具体的には、事業の性質、匿名加工情報の取扱状況、取り扱う匿名
加工情報の性質、量等に応じて、合理的かつ適切な措置を講ずることが望ましい。
なお、匿名加工情報には識別行為の禁止義務が課されていることから、匿名加工情報を取り扱うに当たっては、それを取り扱う者が不適正な取扱いをすることがないよう、匿名加工情報に該当することを明確に認識できるようにしておくことが重要である。そのため、作成した匿名加工情報について、匿名加工情報を取り扱う者にとってその情報が匿名加工情報である旨が一見して明らかな状態にしておくことが望ましい。

（※） 詳細は、通則ガイドライン「3-4-2（安全管理措置）、3-4-3（従業者の監督）、3-4-4（委託先の監督）、3-9（個人情報の取扱いに関する苦情処理）」を参照のこと。

5-1-4

匿名加工情報の作成時の公表（法第 43 条第3 項関係）

法第 43 条（第 3 項）
3 個人情報取扱事業者は、匿名加工情報を作成したときは、個人情報保護委員会規則で定めるところにより、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない。

規則第 36 条
1 法第 43 条第 3 項の規定による公表は、匿名加工情報を作成した後、遅滞なく、インターネ
ットの利用その他の適切な方法により行うものとする。
2 個人情報取扱事業者が他の個人情報取扱事業者の委託を受けて匿名加工情報を作成した場合
は、当該他の個人情報取扱事業者が当該匿名加工情報に含まれる個人に関する情報の項目を前項に規定する方法により公表するものとする。この場合においては、当該公表をもって当該個人情報取扱事業者が当該項目を公表したものとみなす。

69

個人情報取扱事業者は、匿名加工情報を作成したとき（※1）は、匿名加工情報の作成後遅滞なく（※2）、インターネット等を利用し、当該匿名加工情報に含まれる個人に関する情報の項目を公表（※3）しなければならない。
また、個人に関する情報の項目が同じである匿名加工情報を同じ手法により反復・継続的に作成する場合には、最初の匿名加工情報を作成して個人に関する項目を公表する際に、作成期間又は継続的な作成を予定している旨を明記するなど継続的に作成されることとなる旨を明らかにしておくことにより、その後に作成される匿名加工情報に係る公表については先の公表により行われたものと解される。
なお、他の個人情報取扱事業者との委託契約により個人データの提供を受けて匿名加工情報を作成する場合など委託により匿名加工情報を作成する場合は、委託元において当該匿名加工情報に含まれる個人に関する情報の項目を公表するものとする。

【個人に関する情報の項目の事例】
事例）「氏名・性別・生年月日・購買履歴」のうち、氏名を削除した上で、生年月日の一
般化、購買履歴から特異値等を削除する等加工して、「性別・生年・購買履歴」に関する匿名加工情報として作成した場合の公表項目は、「性別」、「生年」、「購買履歴」
である。

（※1） ここで「匿名加工情報を作成したとき」とは、匿名加工情報として取り扱うために、個人情報を加工する作業が完了した場合のことを意味する。すなわち、あくまで個人情報の安全管理措置の一環として一部の情報を削除しあるいは分割して保存・管理する等の加工をする場合又は個人情報から統計情報を作成するために個人情報を加工する場合等を含むものではない。
また、匿名加工情報を作成するために個人情報の加工をする作業を行っている途
上であるものの作成作業が完了していない場合には、加工が不十分であること等から匿名加工情報として取り扱うことが適切ではない可能性もあるため「匿名加工情報を作成したとき」とは位置付けられない。
（※2） ここでの「遅滞なく」とは、正当かつ合理的な期間であれば公表が匿名加工情報を作成した直後でなくても認められることを意味する。ただし、少なくとも匿名
加工情報の利用又は第三者提供をする前に匿名加工情報を作成したことを一般に十分に知らせるに足る期間を確保するものでなければならない。許容される具体的な期間は、業種及びビジネスの態様によっても異なり得るため、個別具体的に判断する必要がある。
（※3）「公表」とは、広く一般に自己の意思を知らせること（不特定多数の人々が知ることができるように発表すること）をいう。詳細は、通則ガイドライン「2-1570（公表）」を参照のこと。

5-1-5

匿名加工情報の第三者提供（法第 43 条第4 項、第 44 条関係）

法第 43 条（第 4 項）
4 個人情報取扱事業者は、匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは、個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工
情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。

法第 44 条
匿名加工情報取扱事業者は、匿名加工情報（自ら個人情報を加工して作成したものを除く。以下
この節において同じ。）を第三者に提供するときは、個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。

規則第 37 条
1 法第 43 条第 4 項の規定による公表は、インターネットの利用その他の適切な方法により行うものとする。
2 法第 43 条第 4 項の規定による明示は、電子メールを送信する方法又は書面を交付する方法
その他の適切な方法により行うものとする。

規則第 38 条
1 前条第 1 項の規定は、法第 44 条の規定による公表について準用する。
2 前条第 2 項の規定は、法第 44 条の規定による明示について準用する。

個人情報取扱事業者又は匿名加工情報取扱事業者は、匿名加工情報を第三者に提供（※1）する
ときは、提供に当たりあらかじめ（※2）、インターネット等を利用し、次の（1）及び（2）に掲げる事項を公表（※3）するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を電子メール又は書面等により明示（※4）しなければならない。また、個人に関する情報の項目及び加工方法が同じである匿名加工情報を反復・継続的に第三者へ同じ方法により提供する場合には、最初に匿名加工情報を第三者提供するときに個人に関する項目を公表する
際に、提供期間又は継続的な提供を予定している旨を明記するなど継続的に提供されることとなる旨を明らかにしておくことにより、その後に第三者に提供される匿名加工情報に係る公表については先の公表により行われたものと解される。なお、匿名加工情報をインターネット等で公開71

する行為についても不特定多数への第三者提供に当たるため、上記義務を履行する必要がある。
（1）第三者に提供する匿名加工情報に含まれる個人に関する情報の項目事例） 「氏名・性別・生年月日・購買履歴」のうち、氏名を削除した上で、生年月日の一般化、購買履歴から特異値等を削除する等加工して、「性別・生年・購買履歴」
に関する匿名加工情報として作成して第三者提供する場合の公表項目は、「性別」、「生年」、「購買履歴」である。
（2）匿名加工情報の提供の方法
事例 1）ハードコピーを郵送
事例 2）第三者が匿名加工情報を利用できるようサーバにアップロード（※1）「提供」とは、匿名加工情報を第三者が利用可能な状態に置くことをいう。匿名加工
情報が物理的に提供されていない場合であっても、ネットワーク等を利用することにより、第三者が匿名加工情報を利用できる状態にあれば（利用する権限が与えられていれば）、「提供」に当たる。
（※2）「あらかじめ」の期間については、匿名加工情報を第三者に提供することを一般に十分に知らせるに足る期間を確保するものでなければならない。具体的な期間については、業種及びビジネスの様態によっても異なり得るため、個別具体的に判断する必要がある。
（※3）「公表」とは、広く一般に自己の意思を知らせること（不特定多数の人々が知ることができるように発表すること）をいう。詳細は、通則ガイドライン「2-15（公表）」を参照のこと。
（※4）「明示」とは、第三者に対し、提供する情報が匿名加工情報であることを明確に示すことをいう。明示の方法については、規則第 37 条第 2 項で定められているとおり、事業の性質、匿名加工情報の取扱状況等に応じ、電子メールを送信する方法又は書面を交付する方法など適切な方法により、その内容が当該第三者に認識されるものである
必要がある。

5-1-6

識別行為の禁止（法第 43 条第5 項、第38 条関係）

法第 43 条（第 5 項）
5 個人情報取扱事業者は、匿名加工情報を作成して自ら当該匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該匿名加
工情報を他の情報と照合してはならない。

法第 45 条72

匿名加工情報取扱事業者は、匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該個人情報から削除された記述等若しくは個人識別符号若しくは第 43 条第 1 項若しくは第 114 条第 1 項（同条第２項において準用する場合を含む。）の規定により行われた加工の方法に関する情報を取得し、又は当該匿名加工情
報を他の情報と照合してはならない。

匿名加工情報を取り扱う場合（※1）には、当該匿名加工情報の作成の元となった個人情報の本
人を識別する目的で、それぞれ次の行為を行ってはならない。

（1）個人情報取扱事業者が自ら作成した匿名加工情報を取り扱う場合
・ 自らが作成した匿名加工情報を、本人を識別するために他の情報（※2）と照合すること。

（2）匿名加工情報取扱事業者が他者の作成した匿名加工情報を取り扱う場合
・ 受領した匿名加工情報、行政機関非識別加工情報又は独立行政法人等非識別加工情報（※3）の加工方法等情報を取得すること。
・ 受領した匿名加工情報を、本人を識別するために他の情報（※2）と照合すること。
【識別行為に当たらない取扱いの事例】
事例 1)

複数の匿名加工情報を組み合わせて統計情報を作成すること。

事例 2)

匿名加工情報を個人と関係のない情報（例：気象情報、交通情報、金融商品等の取引高）とともに傾向を統計的に分析すること。

【識別行為に当たる取扱いの事例】
事例 1)

保有する個人情報と匿名加工情報について、共通する記述等を選別してこれらを照合すること。

事例 2)

自ら作成した匿名加工情報を、当該匿名加工情報の作成の元となった個人情報と照合すること。

（※1）匿名加工情報については、当該匿名加工情報の作成の元となった個人情報の本人を識別する目的のために他の情報と照合することが禁止されている。一方、個人情報として利用目的の範囲内で取り扱う場合に照合を禁止するものではない。
（※2）「他の情報」に限定はなく、本人を識別する目的をもって行う行為であれば、個人情報及び匿名加工情報を含む情報全般と照合する行為が禁止される。また、具体的にどのような技術又は手法を用いて照合するかは問わない。

73