仮名加工情報に関するルール
全国銀行個人情報保護協議会

仮名加工情報に関するルール

目次
１．本ルールの位置づけ ............................................................................................................1
２．定義 .....................................................................................................................................2（１） 仮名加工情報 ...............................................................................................................2（２） 仮名加工情報取扱事業者 .............................................................................................3
３．仮名加工情報の取扱いに係る義務の考え方.........................................................................4
４．仮名加工情報を作成する個人情報取扱事業者である会員の義務.........................................7（１） 仮名加工情報の適正な加工..........................................................................................7（２） 削除情報等の安全管理措置 .........................................................................................8
５．会員が個人情報取扱事業者である仮名加工情報取扱事業者に該当する場合に、当該会員が個人情報である仮名加工情報を取り扱う場合の義務................................................................10（１） 利用目的による制限 ....................................................................................................10（２） 利用目的の公表 .........................................................................................................10（３） 利用する必要がなくなった場合の消去 .........................................................................11（４） 第三者提供の禁止等 ..................................................................................................12（５） 識別行為の禁止 .........................................................................................................15（６） 本人への連絡等の禁止 ...............................................................................................15（７） その他の義務..............................................................................................................16（8） 適用除外 .....................................................................................................................17
６．仮名加工情報取扱事業者である会員が個人情報でない仮名加工情報を取扱う場合の義務 18（１） 第三者提供の禁止等 ..................................................................................................18（２） その他の義務等 ..........................................................................................................18
７．適用除外............................................................................................................................20
８．本ルールの見直し ..............................................................................................................21

【凡例】「法」 個人情報の保護に関する法律（平成 15 年法律第 57 号）「政令」 個人情報の保護に関する法律施行令（平成 15 年政令第 507 号）「規則」 個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第３号）「指針」 全国銀行個人情報保護協議会 個人情報保護指針

１． 本ルールの位置づけ
本ルールは、全国銀行個人情報保護協議会（以下「協議会」という。）の会員（以下｢会員｣という。）が、法をはじめとした関連法令等を遵守しつつ、仮名加工情報の適切な取扱いの確保のために、協議会の指針とは別に、仮名加工情報の取扱いに関する部分に特化して分かりやすく示す観点から定めるものである。
（運用上の考え方）○ 本ルール中「しなければならない」等と記載されている規定については、会員が義務として遵守しなければならない。また、本指針中「努めなければならない」、「こととする」および「望ましい」と記載されている規定については、会員が努力義務として遵守に努めるものである。
○ 本ルールにおいて使用する用語は、特に断りのない限り、指針において使用する用語の例
による。

1

２．定義
本ルールは、仮名加工情報の取扱いに関する部分に特化して分かりやすく示す観点から取りまとめたものであるため、本項目においては、仮名加工情報の取扱いに特に関係するもののみを記載する。
（１） 仮名加工情報「仮名加工情報」とは、個人情報の区分に応じて定められた措置を講じて他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報をいう。
（運用上の考え方）〇 個人情報のうち「当該情報に含まれる氏名、生年月日その他の記述等（個人識別符号を除く。）により特定の個人を識別できるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）」である個人情報の場合には、「他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工」とは、当該個人情報に含まれる記述等の一部を削除することを意味する。
〇 個人情報のうち「個人識別符号が含まれる」個人情報の場合には、「他の情報と照合しない
限り特定の個人を識別することができないように個人情報を加工」とは、当該個人情報に含まれる個人識別符号の全部を削除することを意味する。
この措置を講じた上で、まだなお「当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別できるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）」に該当する個人情報であった場合には、「当該情報に含まれる氏名、生年月日その他の記述等（個人識別符号を除く。）により特定の個人を識別できるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）」に該当する個人情報としての加工を行う必要がある。
〇 「削除すること」には、復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。「復元することのできる規則性を有しない方法」とは、置き換えた記述等から、置き換える前の特定の個人を識別することとなる記述等または個人識別符号の内容を復元することができない方法である。
〇 「特定の個人を識別することができる」とは、情報単体または複数の情報を組み合わせて保存されているものから社会通念上そのように判断できるものをいい、一般人の判断力または理
解力をもって生存する具体的な人物と情報の間に同一性を認めるに至ることができるかどうか
によるものである。仮名加工情報に求められる「他の情報と照合しない限り特定の個人を識別することができない」という要件は、加工後の情報それ自体により特定の個人を識別することができないような状態にすることを求めるものであり、当該加工後の情報とそれ以外の他の情報を組み合わせることによって特定の個人を識別することができる状態にあることを否定するも2

のではない。
〇 会員が仮名加工情報を作成するときは、「４．（１）」に定める基準に従って加工する必要がある。
（２） 仮名加工情報取扱事業者「仮名加工情報取扱事業者」とは、仮名加工情報を含む情報の集合物であって、特定の仮名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の仮名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（以下「仮名加工情報データベース等」という。）を事業の用に供している者のうち、国の機関、地方公共団体、法第２条第９項に規定する独立行政法人等（別表第２に掲げる法人を除く。）
および法第２条第 10 項に規定する地方独立行政法人を除いた者をいう。
（運用上の考え方）〇「仮名加工情報を含む情報の集合物であって、特定の仮名加工情報を電子計算機を用いて検索することができるように体系的に構成したもの」とは、特定の仮名加工情報をコンピュータを用いて検索することができるように体系的に構成した、仮名加工情報を含む情報の集合物をいう。また、コンピュータを用いていない場合であっても、紙媒体の仮名加工情報を一定の規則に従って整理・分類し、特定の仮名加工情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも、これに該当する。

〇 「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。なお、法人格のない、権利能力のない社団（任意団体）または個人であっても、仮名加工
情報データベース等を事業の用に供している場合は、仮名加工情報取扱事業者に該当する。

3

３．仮名加工情報の取扱いに係る義務の考え方
仮名加工情報取扱事業者である会員が、仮名加工情報の作成の元となった個人情報や当該仮名加工情報に係る削除情報等（仮名加工情報の作成に用いられた個人情報から削除された記述等および個人識別符号並びに上記２（1）により行われた加工の方法に関する情報をいう。）を保有している等により、当該仮名加工情報が「他の情報と容易に照合することができ、それにより特定の個人を識別することができる」状態にある場合には、当該仮名加工情報
は、「個人情報」に該当する。この場合、当該仮名加工情報取扱事業者である会員は、個人情報である仮名加工情報の取扱いに関する義務等を遵守する必要がある（後記５参照）。
これに対し、例えば、法第 41 条第 6 項または第 42 条第 1 項若しくは第 2 項の規定により
仮名加工情報の提供を受けた仮名加工情報取扱事業者である会員が、当該仮名加工情報の作成の元となった個人情報や当該仮名加工情報に係る削除情報等を保有していない等により、当該仮名加工情報が「他の情報と容易に照合することができ、それにより特定の個人を識別することができる」状態にない場合には、当該仮名加工情報は、「個人情報」に該当しない。この場合、当該仮名加工情報取扱事業者である会員は、個人情報でない仮名加工情報の取扱いに関する義務等を遵守する必要がある（後記６参照）。
仮名加工情報の取扱いにかかる義務等については、下表を参照。

仮名加工情報を作成

会員が個人情報取扱事業者であ

仮名加工情報取扱事業者

する会員が遵守する

る仮名加工情報取扱事業者に該である会員が遵守する個人

義務等

当する場合に、当該会員が遵守す情報でない仮名加工情報のる個人情報である仮名加工情報の取扱いに関する義務等取扱いに関する義務等
仮名加工情報を作成

法令に基づく場合を除くほか、指法令に基づく場合を除くほするときは、適正な加針Ⅱ．１．により特定された利用目

か、仮名加工情報を第三者

工を行わなければな的の達成に必要な範囲を超えて、に提供してはならない。

らない。

個人情報である仮名加工情報を取り扱ってはならない。

仮名加工情報を作成

個人情報である仮名加工情報を取

仮名加工情報については、したとき、または仮名得したときは、あらかじめその利用

次の規定が準用される。

加工情報および当該目的を公表している場合を除き、・安全管理措置（法第 23 条）

仮名加工情報に係る速やかに、その利用目的を公表し・従業者の監督（法第 24 条）

削除情報等を取得しなければならない。また、利用目的

・委託先の監督（法第 25 条）

たときは、削除情報等を変更した場合は、変更後の利用・苦情処理（法第 40 条）の安全管理措置を講

目的を公表しなければならない。

・識別行為の禁止（法第 41

じなければならない。

条第 7 項）4

・本人への連絡等の禁止（法第 41 条第 8 項）
仮名加工情報である個人データおよび削除情報等を利用する必要がなくなったときは、当該仮名加工情報である個人データおよび削除情報等を遅滞なく消去するよう努めなければならない。
法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはならない。
個人情報である仮名加工情報を取り扱うに当たっては、元の個人情報に係る本人を識別する目的で他の情報と照合することを行ってはならない。
個人情報である仮名加工情報を取り扱うに当たっては、元の個人情報に係る本人への連絡等を行う目的
で当該仮名加工情報に含まれる連絡先その他の情報を利用してはならない。
仮名加工情報（個人情報であるもの）および仮名加工情報である個
人データについては、通常の個人情報および個人データと同様、次の規定が適用される。
・不適正利用の禁止（法第 19 条）
・適正取得（法第 20 条第 1 項）
・安全管理措置（法第 23 条）
・従業者の監督（法第 24 条）
・委託先の監督（法第 25 条）
・苦情処理（法第 40 条）
仮名加工情報（個人情報であるもの）、仮名加工情報である個人データおよび仮名加工情報である保5

有個人データについては、次の規定を適用しない。
・利用目的の変更の制限（法第 17条第 2 項）・漏えい等の報告および本人通知（法第 26 条）
・保有個人データに関する事項の公表等、および保有個人データの開示・訂正等・利用停止等への対応等（法第 32 条から第 39 条まで）

6

４．仮名加工情報を作成する個人情報取扱事業者である会員の義務（１） 仮名加工情報の適正な加工
個人情報取扱事業者である会員は、仮名加工情報（仮名加工情報データベース等を構成するものに限る。４（７）を除き、以下同じ。）を作成するときは、他の情報と照合しない限り特定の個人を識別することができないようにするために、次の基準に従って、個人情報を加工しなければならない。
① 個人情報に含まれる特定の個人を識別することができる記述等の全部または一部を削除すること（当該全部または一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
② 個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
③ 個人情報に含まれる不正に利用されることにより財産的被害が生じるおそれがある
記述等を削除すること（当該記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
（運用上の考え方）〇 「作成するとき」は、仮名加工情報として取り扱うために、当該仮名加工情報を作成するときのことを指す。したがって、例えば、安全管理措置の一環として氏名等の一部の個人情報を削除（または他の記述等に置き換え）した上で引き続き個人情報として取り扱う場合、あるいは匿名加
工情報または統計情報を作成するために個人情報を加工する場合等については、仮名加工情報を「作成するとき」には該当しない。
〇 本文「①」の「特定の個人を識別することができる記述等の削除」
・

会員が取り扱う個人情報には、一般に、氏名、住所、生年月日、性別の他、様々な個人に関する記述等が含まれている。これらの記述等は、氏名のようにその情報単体で特定の個人を識別することができるもののほか、住所、生年月日など、これらの記述等が合わさることによって特定の個人を識別することができるものもある。このような特定の個人を識別できる記述等から全部またはその一部を削除するあるいは他の記述等に置き換えることによって、特定の個人を識別することができないよう加工しなければならない。

・

他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない方法でなければならない。例えば、生年月日の情報を生年の情報に置き換える場合のように、元の記述等をより抽象的な記述に置き換えることも考えられる。他の記述等への置き換えとして、仮 ID を付す場合には、元の記述等を復元することのできる規則性を有しない方法でなければならない。

〇 本文「②」の個人識別符号の削除
・

加工対象となる個人情報が、個人識別符号を含む情報であるときは、当該個人識別符号7

単体で特定の個人を識別できるため、当該個人識別符号の全部を削除または他の記述等へ置き換えて、特定の個人を識別できないようにしなければならない。
・

他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない方法による必要がある。

〇 本文「③」の情報の削除
・

一般的にみて、不正に利用されることにより個人の財産的被害が生じるおそれが類型的に高い記述等については、それが漏えいした場合に個人の権利利益の侵害が生じる蓋
然性が相対的に高いと考えられる。そのため、仮名加工情報を作成するに当たっては、
当該記述等について削除または他の記述等への置き換えを行わなければならない。
例えば、クレジットカード番号を削除する、送金や決済機能のあるウェブサービスのロ
グイン ID・パスワードを削除するなどが考えられる。

・

他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない方法による必要がある。

（２） 削除情報等の安全管理措置
個人情報取扱事業者である会員は、仮名加工情報を作成したとき、または仮名加工情報および当該仮名加工情報に係る削除情報等を取得したときは、削除情報等（上記２（１）により行われた加工の方法に関する情報にあっては、その情報を用いて仮名加工情報の作成に用いられた個人情報を復元することができるものに限る。以下、（２）において同じ。）の漏えいを防止するために、次の基準に従い、必要な措置を講じなければならない。
① 削除情報等を取り扱う者の権限および責任を明確に定めること。
② 削除情報等の取扱いに関する規程類を整備し、当該規程類に従って削除情報等を適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果に基づき改善を図るために必要な措置を講ずること。
③ 削除情報等を取り扱う正当な権限を有しない者による削除情報等の取扱いを防止するために必要かつ適切な措置を講ずること。
（運用上の考え方）○ 本文の措置の内容は、対象となる削除情報等が漏えいした場合における個人の権利利益の侵害リスクの大きさを考慮し、当該削除情報等の量、性質等に応じた内容としなければならな
いが、具体的に講じなければならない項目および具体例については、次の表を参照のこと。
講じなければならない措置

具体例①削除情報等を取り扱う者の権限および責任・削除情報等の安全管理措置を講ずるためのの明確化

組織体制の整備
8

②削除情報等の取扱いに関する規程類の整・削除情報等の取扱いに係る規程等の整備と備および当該規程類に従った削除情報等のこれに従った運用

適切な取扱い並びに削除情報等の取扱状況

・従業者の教育の評価およびその結果に基づき改善を図るた

・削除情報等の取扱状況を確認する手段の整めに必要な措置の実施

備・削除情報等の取扱状況の把握、安全管理措置の評価、見直しおよび改善③削除情報等を取り扱う正当な権限を有しな

・削除情報等を取り扱う権限を有しない者によい者による削除情報等の取扱いを防止するたる閲覧等の防止めに必要かつ適切な措置の実施

・機器、電子媒体等の盗難等の防止
・電子媒体等を持ち運ぶ場合の漏えいの防止・削除情報等の削除並びに機器、電子媒体等の廃棄・削除情報等へのアクセス制御
・削除情報等へのアクセス者の識別と認証
・外部からの不正アクセス等の防止・情報システムの使用に伴う削除情報等の漏えいの防止○ 「その情報を用いて仮名加工情報の作成に用いられた個人情報を復元することができるもの」には、例えば、氏名等を仮 ID に置き換えた場合における置き換えアルゴリズムに用いられる乱数等のパラメータまたは氏名と仮 ID の対応表等のような加工の方法に関する情報が該当し、「氏名を削除した」というような復元につながらない情報は該当しない。
○ 氏名と仮 ID の対応表等のように削除情報等が個人データに該当する場合において、当該削除情報等について漏えい、滅失または毀損（以下「漏えい等」という。）が発生し、それが法第26 条の要件を満たす場合には、同条に基づく報告や本人通知が必要となる。
また、個別の事例ごとに判断する必要があるが、例えば、氏名と仮 ID の対応表等の削除情報等が漏えい等した場合には、削除情報等の安全管理措置を講ずる義務（本項）や仮名加工情報である個人データの安全管理措置を講ずる義務の履行の観点から、原則として、当該仮名加工情報に含まれる仮 ID を振り直すこと等により仮名加工情報を新たに作り直す等の措置を講じることが必要となる。

9５．会員が個人情報取扱事業者である仮名加工情報取扱事業者に該当する場合に、当該会員が個人情報である仮名加工情報を取り扱う場合の義務（１） 利用目的による制限
会員が個人情報取扱事業者である仮名加工情報取扱事業者に該当する場合、当該会員は、法令に基づく場合を除くほか、指針Ⅱ．１．により特定された利用目的の達成に必要な範囲を超えて、個人情報である仮名加工情報を取り扱ってはならない。
（運用上の考え方）○ 「法令に基づく場合」以外の場合において、会員が、指針Ⅱ．１．により特定された利用目的の達成に必要な範囲を超えて、個人情報である仮名加工情報を取り扱う場合には、あらかじめ利用目的を変更する必要がある。
○ 仮名加工情報には、利用目的の変更の制限に関する指針Ⅱ．１．は適用されないため、変更前の利用目的と関連性を有すると合理的に認められる範囲を超える利用目的の変更も認められる。
○ 利用目的を変更した場合には、会員は、原則として変更後の利用目的を公表しなければならない。
○ 個人情報取扱事業者である会員が仮名加工情報を作成したときは、作成の元となった個人情報に関して、指針Ⅱ．１．により特定された利用目的が、当該仮名加工情報の利用目的として引き継がれる。
（２） 利用目的の公表
会員が個人情報取扱事業者である仮名加工情報取扱事業者に該当する場合、当該会員は、個人情報である仮名加工情報を取得した場合には、あらかじめその利用目的を公表している場合
を除き、速やかに、その利用目的を公表しなければならない。
また、上記会員が利用目的の変更を行った場合には、変更後の利用目的を公表しなければならない。
ただし、次の①から④までの場合については、個人情報である仮名加工情報の取得時、および個人情報である仮名加工情報の利用目的の変更時における利用目的の公表は不要である。
① 利用目的を公表することにより本人または第三者の生命、身体、財産その他の権利利益を害するおそれがある場合② 利用目的を公表することにより会員の権利または正当な利益を害するおそれがある場合③ 国の機関または地方公共団体が法令の定める事務を遂行することに対して協力する必要があ
る場合であって、利用目的を公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき10④ 取得の状況からみて利用目的が明らかであると認められる場合（運用上の考え方）○ 個人情報取扱事業者である会員が、自らが保有する個人情報の一部を削除する等の加工を行ったに過ぎない場合は、上記の個人情報の「取得」には該当しない。そのため、個人情報取扱事業者である会員が、自らが保有する個人情報を加工して仮名加工情報を作成した場
合には、当該仮名加工情報が個人情報に当たる場合でも、ここでいう個人情報である仮名加
工情報の「取得」には該当しない。
これに対し、例えば、仮名加工情報を作成した個人情報取扱事業者である会員が、当該仮名加工情報および当該仮名加工情報に係る削除情報等を、事業の承継に伴い他の事業者に提供した場合、当該他の事業者にとって、当該仮名加工情報は、通常、当該削除情報等と容易に照合でき、それによって特定の個人を識別できる情報に該当するため、個人情報に該当する。この場合には、当該他の事業者が事業の承継に伴い当該仮名加工情報の提供を受けることは、ここでいう個人情報である仮名加工情報の「取得」に該当する。
（３）利用する必要がなくなった場合の消去
会員が個人情報取扱事業者である仮名加工情報取扱事業者に該当する場合において、保有する仮名加工情報である個人データについて利用する必要がなくなったときは、当該会員は、当
該仮名加工情報である個人データを遅滞なく消去するよう努めなければならない。また、保有する削除情報等について利用する必要がなくなったときは、当該会員は、当該削除情報等を遅滞なく消去するように努めなければならない。
（運用上の考え方）○ 「利用する必要がなくなったとき」は、利用目的が達成され当該目的との関係では当該仮名加工情報である個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となり、当該事業の再開の見込
みもない場合等を意味する。
具体例については、次のとおりである。
・

仮名加工情報である個人データについて利用する必要がなくなったときに該当する事例
事例）新商品の開発のため、仮名加工情報である個人データを保有していたところ、当該新商品の開発に関する事業が中止となり、当該事業の再開の見込みもない場
合・

削除情報等について利用する必要がなくなったときに該当する事例
事例）仮名加工情報についての取扱いを終了し、新たな仮名加工情報を作成する見込
みもない場合○ 「仮名加工情報である個人データの消去」とは、当該仮名加工情報である個人データを個人
11データでなくすることであり、当該仮名加工情報である個人データを削除することのほか、当該仮名加工情報を容易に照合できる他の情報と組み合わせても特定の個人を識別できないようにすること等を含む。
○ 「削除情報等の消去」とは、当該削除情報等を削除することをいう。
（４） 第三者提供の禁止等
会員が個人情報取扱事業者である仮名加工情報取扱事業者に該当する場合、当該会員は、法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはならない。
ただし、次の①から③までの場合については、第三者には該当しないものとする。
① 上記会員が利用目的の達成に必要な範囲内において仮名加工情報である個人データの取扱いの全部または一部を委託することに伴って当該仮名加工情報である個人データが提供される場合② 合併その他の事由による事業の承継に伴って仮名加工情報である個人データが提供される場合③ 特定の者との間で共同して利用される仮名加工情報である個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される仮名加工情報である個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該仮名加工情報である個人データの管理について責任を有する者の氏名または名称および住所並びに法人にあっては、その代表者の氏名について、あらかじめ公表しているとき。
上記③に関し、仮名加工情報である個人データを共同利用する場合において、「仮名加工情報
である個人データの管理について責任を有する者の氏名、名称若しくは住所または法人にあっては、その代表者の氏名」に変更があったときは、上記会員は、遅滞なく、変更後の内容について公表しなければならない。また、「共同利用する者の利用目的」または「仮名加工情報である個人データの管理について責任を有する者」を変更しようとするときは、上記会員は、あらかじめ、変更する内容について公表しなければならない。
（運用上の考え方）○ 本文「①」から「③」までの場合については、仮名加工情報である個人データの提供先は個人情報取扱事業者である仮名加工情報取扱事業者（会員）とは別の主体として形式的には第三者に該当するものの、提供主体の個人情報取扱事業者である仮名加工情報取扱事業者（会員）と一体のものとして取り扱うことに合理性があるため、第三者には該当しないものとする。そのため、このような要件を満たす場合には、仮名加工情報である個人データを提供することができる。
○ 法令に基づく場合または本文「①」から「③」までのいずれかの場合における仮名加工情報で12

ある個人データの提供については、確認・記録義務は課されない。
○ 本文「①」の委託について
利用目的の達成に必要な範囲内において、仮名加工情報である個人データの取扱いに関する業務の全部または一部を委託することに伴い、当該仮名加工情報である個人データが提供される場合は、当該提供先は第三者に該当しない。この場合、当該提供先は、委託された業務の範囲内でのみ、提供主体の個人情報取扱事業者である仮名加工情報取扱事業者（会員）と一体のものとして取り扱われることに合理性があるため、委託された業務以外に当該
仮名加工情報である個人データを取り扱うことはできない。
なお、提供主体の個人情報取扱事業者である仮名加工情報取扱事業者（会員）には、法第 25 条により、委託先に対する監督責任が課される。
会員が個人情報取扱事業者である仮名加工情報取扱事業者に該当する場合には、当該会員は、委託先に対する監督義務、および仮名加工情報である個人データの安全管理措置を講ずる義務の履行の観点から、委託先が提供を受けた仮名加工情報を取り扱うに当たり、本ルールに違反する事態が生じることのないよう、委託先に対して、提供する情報が仮名加工情報である旨を明示しなければならない。
○ 本文「②」の事業の承継について
合併、分社化、事業譲渡等により事業が承継されることに伴い、当該事業に係る仮名加工情報である個人データが提供される場合は、当該提供先は第三者に該当しない。
また、事業の承継のための契約を締結するより前の交渉段階で、相手会社から自社の調査を受け、自社の仮名加工情報である個人データを相手会社へ提供する場合も、仮名加工情報である個人データを提供することができるが、当該データの利用目的および取扱方法、漏えい等が発生した場合の措置、事業承継の交渉が不調となった場合の措置等、相手会社に安全管理措置を遵守させるために必要な契約を締結しなければならない。
○ 本文「③」の共同利用について
特定の者との間で共同して利用される仮名加工情報である個人データを当該特定の者に提供する場合であって、次のＡからＥまでの情報を、提供に当たりあらかじめ公表しているときには、当該提供先は、当該仮名加工情報である個人データを当初提供した個人情報取扱事業者である仮名加工情報取扱事業者（会員）と一体のものとして取り扱われることに合理性があると考えられることから、第三者に該当しない。
仮名加工情報は、加工によりそれ自体では特定の個人を識別できないものとなっており、また、本人を識別する目的での利用や本人に連絡等をする目的での利用が禁止されていること等を踏まえ、利用目的の柔軟な変更が許容されている。そのため、仮名加工情報である個人
データの共同利用における利用する者の範囲や利用目的等は、作成の元となった個人情報の取得の時点において通知または公表されていた利用目的の内容や取得の経緯等にかかわらず、設定可能である。
Ａ 共同利用をする旨
13仮名加工情報である個人データを共同利用する旨を公表する必要がある。
Ｂ 共同して利用される仮名加工情報である個人データの項目
例えば、「氏名・性別・年齢・サービス利用履歴」のうち、氏名を削除し、「性別・年齢・サービス利用履歴」に関する仮名加工情報を作成して共同利用する場合の公表項目は、「性別」、「年齢」、「サービス利用履歴」である。
Ｃ 共同して利用する者の範囲
仮名加工情報である個人データの「共同利用の趣旨」は、当該仮名加工情報である個人データを提供する事業者と一体のものとして取り扱われることに合理性がある範囲で、当該仮名加工情報である個人データを共同して利用することである。
したがって、共同利用者の範囲については、どの事業者まで将来利用されるかが客観的に判断できる程度に明確にする必要がある。
なお、当該範囲が明確である限りにおいては、必ずしも事業者の名称等を個別に全て列挙する必要はない。
Ｄ 利用する者の利用目的
共同して利用する仮名加工情報である個人データについて、その利用目的を全て、公表しなければならない。
なお、利用目的が仮名加工情報である個人データの項目によって異なる場合には、当該仮名加工情報である個人データの項目ごとに利用目的を区別して記載することが望ましい。
Ｅ 当該仮名加工情報である個人データの管理について責任を有する者の氏名または名称および住所並びに法人にあっては、その代表者の氏名「仮名加工情報である個人データの管理について責任を有する者」とは、苦情を受け付け、その処理に尽力するとともに、安全管理等仮名加工情報である個人データの管理について責任を有する者をいう。
なお、ここでいう「責任を有する者」とは、共同して利用する全ての事業者の中で、第一次的に苦情の受付・処理を行う権限を有する者をいい、共同利用者のうち一事業者の内部の担当責任者をいうものではない。
○ 共同利用の対象となる仮名加工情報である個人データの提供については、必ずしも全ての共同利用者が双方向で行う必要はなく、一部の共同利用者に対し、一方向で行うこともできる。
○ 共同利用に係る事項の変更について「共同して利用される仮名加工情報である個人データの項目」および「共同して利用する者の範囲」について変更することは、原則として認められないが、例えば次のような場合は、引き続き共同利用を行うことができる。
・

共同利用を行う事業者の名称に変更があるが、共同して利用される仮名加工情報である
個人データの項目には変更がない場合

・共同利用を行う事業者について事業の承継が行われた場合（共同利用する仮名加工情14

報である個人データの項目等の変更がないことが前提）
なお、提供に当たりあらかじめ法定事項を公表した上で、新たな共同利用を行うことは妨げられない。
（５） 識別行為の禁止
会員が個人情報取扱事業者である仮名加工情報取扱事業者に該当する場合において、当該会員が個人情報である仮名加工情報を取り扱うときには、当該仮名加工情報の作成の元となった
個人情報の本人を識別する目的で、当該仮名加工情報を他の情報と照合してはならない。
（運用上の考え方）○ 識別行為に当たらない取扱いの事例は、次のとおりである。
・

複数の仮名加工情報を組み合わせて統計情報を作成すること。

・

仮名加工情報を個人と関係のない情報（例：気象情報、交通情報、金融商品等の取引高）
とともに傾向を統計的に分析すること。

○ 識別行為に当たる取扱いの事例は、次のとりである。
・保有する個人情報と仮名加工情報について、共通する記述等を選別してこれらを照合すること。

・ 仮名加工情報を、当該仮名加工情報の作成の元となった個人情報と照合すること。
○ 「他の情報」に限定はなく、本人を識別する目的をもって行う行為であれば、個人情報、個人関連情報、仮名加工情報および匿名加工情報を含む情報全般と照合する行為が禁止される。
また、具体的にどのような技術または手法を用いて照合するかは問わない。
（６） 本人への連絡等の禁止
会員が個人情報取扱事業者である仮名加工情報取扱事業者に該当する場合において、当該会員が、個人情報である仮名加工情報を取り扱うときには、電話をかけ、郵便若しくは信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法を用いて送信し、または住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報の利用を行ってはならない。
（運用上の考え方）○ 「電磁的方法」とは、次の①から③までのいずれかの方法をいう。なお、下記①から③について、他人に委託して行う場合を含む。
① 電話番号を送受信のために用いて電磁的記録を相手方の使用に係る携帯して使用する通信端末機器に送信する方法
いわゆるショートメールを送信する方法である。
② 電子メールを送信する方法
15電子メールを送信する方法である。
③ その受信をする者を特定して情報を伝達するために用いられる電気通信を送信する方法
受信する者を特定した上で情報を伝達するために用いられる電気通信を送信する方法であり、例えば、次の事例がこれにあたる。
・いわゆる SNS（ソーシャル・ネットワーキング・サービス）のメッセージ機能によりメッセージを送信する方法

・

CookieID を用いて受信する者を特定した上で、当該受信者に対して固有の内容のインターネット広告を表示する方法（７） その他の義務
会員が個人情報取扱事業者である仮名加工情報取扱事業者に該当する場合において、当該会員による仮名加工情報（個人情報であるもの）および仮名加工情報である個人データの取扱いについては、上記(1)～(6)記載の各規律のほか、次の①から⑥までの義務等が課される。
① 不適正利用の禁止
上記会員は、違法または不当な行為を助長し、または誘発するおそれがある方法により仮名加工情報（個人情報であるもの）を利用してはならない。
② 適正取得
上記会員は、偽りその他不正の手段により仮名加工情報（個人情報であるもの）を取得してはならない。
③ 安全管理措置
上記会員は、取り扱う仮名加工情報である個人データの漏えい等その他の安全管理のために必要かつ適切な措置を講じなければならない。
④ 従業者の監督
上記会員は、従業者に仮名加工情報である個人データを取り扱わせるに当たっては、当該仮名加工情報である個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
⑤ 委託先の監督
上記会員が仮名加工情報である個人データの取扱いの全部または一部を委託する場合は、その取扱いを委託された仮名加工情報である個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
⑥ 苦情処理
上記会員は、仮名加工情報（個人情報であるもの）の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。また、上記会員は、苦情の適切かつ迅速な処理を行うに当たり、苦情処理窓口の設置や苦情処理の手順を定める等必要な体制の整備に努めなければならない。
（運用上の考え方）16

○ 本文「③」について、仮名加工情報には識別行為の禁止義務や本人への連絡等の禁止義務が課されていることから、仮名加工情報を取り扱うに当たっては、それを取り扱う者が不適正な取扱いをすることがないよう、仮名加工情報に該当することを明確に認識できるようにしておくことが重要である。そのため、仮名加工情報を取り扱う者にとってその情報が仮名加工情報である旨が一見して明らかな状態にしておくことが望ましい。
（8） 適用除外
仮名加工情報（個人情報であるもの）、仮名加工情報である個人データおよび仮名加工情報である保有個人データの取扱いについては、次の①から③までの規定が適用されない。
① 利用目的の変更
仮名加工情報（個人情報であるもの）については、利用目的の変更の制限に関する指針Ⅱ．１．
は適用されないため、変更前の利用目的と関連性を有すると合理的に認められる範囲を超える利用目的の変更も認められる。
② 漏えい等の報告等
仮名加工情報である個人データについては、漏えい等の報告等に関する法第 26 条の規定は適用されないため、仮名加工情報である個人データについて漏えい等が発生した場合でも、法第26 条に基づく報告や本人通知は不要である。
③ 本人からの開示等の請求等
仮名加工情報である保有個人データについては、開示等の請求等に関する法第 32 条から第39 条までの規定は適用されないため、仮名加工情報である保有個人データについては、これらの規定に基づく本人からの開示等の請求等の対象とならない。
（運用上の考え方）○ 仮名加工情報の作成の元となった個人データまたは氏名と仮 ID の対応表のような削除情報
等（個人データであるもの）については、漏えい等の報告等に関する法第 26 条の規定が適用される。そのため、これらについての漏えい等が発生した場合において、当該漏えい等が法第26 条に定める要件を満たす場合には、同条に基づく報告や本人通知の対象となる。
○ 会員が個人情報取扱事業者である仮名加工情報取扱事業者に該当する場合において、当該会員が仮名加工情報の作成の元となった保有個人データを引き続き保有している場合、当該保有個人データについては、法第 32 条から第 39 条までの規定に基づく本人からの開示等の請求等の対象となる。

17

６．仮名加工情報取扱事業者である会員が個人情報でない仮名加工情報を取扱う場
合の義務（１） 第三者提供の禁止等
仮名加工情報取扱事業者である会員は、法令に基づく場合を除くほか、仮名加工情報（個人情報であるものを除く。以下、「６」において同じ。）を第三者に提供してはならない。
ただし、次の①から③までの場合については、第三者には該当しないものとする。
① 上記会員が利用目的の達成に必要な範囲内において仮名加工情報の取扱いの全部または一部を委託することに伴って当該仮名加工情報が提供される場合② 合併その他の事由による事業の承継に伴って仮名加工情報が提供される場合③ 特定の者との間で共同して利用される仮名加工情報が当該特定の者に提供される場合であって、その旨並びに共同して利用される仮名加工情報の項目、共同して利用する者の範囲、利用する者の利用目的並びに当該仮名加工情報の管理について責任を有する者の氏名または名称および住所並びに法人にあっては、その代表者の氏名について、あらかじめ公表しているとき。
仮名加工情報取扱事業者である会員は、上記③に規定する仮名加工情報の管理について責任を有する者の氏名、名称若しくは住所または法人にあっては、その代表者の氏名に変更があったときは遅滞なく、同号に規定する利用する者の利用目的または当該責任を有する者を変更しようとするときはあらかじめ、その旨について公表しなければならない。
（運用上の考え方）○ 本文「①」から「③」に掲げる場合には、提供主体の仮名加工情報取扱事業者（会員）と一体のものとして取り扱うことに合理性があるため、第三者には該当しないものとする。そのため、これらの場合は、仮名加工情報を提供することができる。
（２） その他の義務等
仮名加工情報取扱事業者である会員による仮名加工情報の取扱いについては、上記（１）記載の規律のほか、次の①から⑥までの義務等が課される。
① 安全管理措置
上記会員は、取り扱う仮名加工情報の漏えいの防止その他の仮名加工情報の安全管理のために必要かつ適切な措置を講じなければならない。
② 従業者の監督
上記会員は、従業者に仮名加工情報を取り扱わせるに当たっては、当該仮名加工情報の安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
③ 委託先の監督
18

上記会員は、仮名加工情報の取扱いの全部または一部を委託する場合は、その取扱いを委託された仮名加工情報の安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
④ 苦情処理
上記会員は、仮名加工情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。また、上記会員は、苦情の適切かつ迅速な処理を行うに当たり、苦情処理窓口の設置や苦情処理の手順を定める等必要な体制の整備に努めなければならない。
⑤ 識別行為の禁止
上記会員は、仮名加工情報を取り扱う場合には、当該仮名加工情報の作成の元となった個人
情報の本人を識別する目的で、削除情報等を取得し、または当該仮名加工情報を他の情報と照合してはならない。
⑥ 本人への連絡等の禁止
上記会員は、仮名加工情報を取り扱う場合には、電話をかけ、郵便若しくは信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法を用いて送信し、または住居を訪問するために、
当該仮名加工情報に含まれる連絡先その他の情報の利用を行ってはならない。
（運用上の考え方）○ 本文「①」に関し、仮名加工情報には識別行為の禁止義務や本人への連絡等の禁止義務が課されていることから、仮名加工情報を取り扱うに当たっては、それを取り扱う者が不適正な取扱いをすることがないよう、仮名加工情報に該当することを明確に認識できるようにしておくことが重要である。そのため、仮名加工情報を取り扱う者にとってその情報が仮名加工情報である
旨が一見して明らかな状態にしておくことが望ましい。

19

７．適用除外
次に定める場合には、本ルールは適用しない 。
① 放送機関、新聞社、通信社その他の報道機関（報道を業として行う個人を含む。）が報道の用に供する目的で取り扱う場合② 著述を業として行う者が著述の用に供する目的で取り扱う場合③ 宗教団体が宗教活動（これに付随する活動を含む。）の用に供する目的で取り扱う場合④ 政治団体が政治活動（これに付随する活動を含む。）の用に供する目的で取り扱う場合

20

８．本ルールの見直し
個人情報の保護および利活用についての考え方は、社会情勢の変化、国民の認識の変化、技術の進歩、国際動向等に応じて変わり得るものであり、本ルールは、こうした諸環境の変化を踏まえて、必要に応じ見直しを行うものとする。
なお、本ルールの見直しの際には、消費者の意見を代表する者その他の関係者の意見を聴くよ
う努めることとする。

附則
本ルールの施行日は令和４年４月１日とする。

21