改正法に関連するガイドライン等の整備に向けた論点について（個人関連情報）

令和３年４月７日

１．改正法における個人関連情報の第三者提供規制の概要
 個人関連情報とは、「生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないもの」をいう。
個人関連情報に該当する例
氏名と結びついていないインターネットの閲覧履歴、位置情報、Cookie情報 等

 個人関連情報取扱事業者が、提供先が個人関連情報を個人データとして取得することが想定されるときは、あらかじめ当該個人関連情報に係る本人の同意等が得られていることを確認しないで、当該個人関連情報を提供してはならないこととするもの。

1１．改正法における個人関連情報の第三者提供規制の概要
 提供元では個人データに該当しないものの、提供先において個人データとなることが想定される情報の第三者提供について、本人同意が得られていること等の確認を義務付ける。

B社

A社
 A社では、誰の個人データか分からない

 B社は、A社とID等を共有
 B社では、ID等に紐づいた個人データを保有
個人データ?

氏名山田一子
佐藤二郎
鈴木三郎
高橋四郎

B社において個人データとなることが想定される場合は原則本人の同意が必要
個人関連情報ID等 購買履歴1
ミルクティー、おにぎり、アンパン・・・
2
紅茶、サンドイッチ、アイス・・・
3
スーツ、ネクタイ、シャツ、お茶・・・
4
時刻表、デジカメ、書籍・・・

氏名
山田一子
佐藤二郎
鈴木三郎
高橋四郎

年齢 ID等
55歳 1
37歳 2
48歳 3
33歳 4
個人データ

ID 等 購買履歴
年齢 ID等
ID等
55歳 11 ミルクティー、おにぎり、アンパン・・・
37歳 22 紅茶、サンドイッチ、アイス・・・
48歳 33 スーツ、ネクタイ、シャツ、お茶・・・
33歳 44 時刻表、デジカメ、書籍・・・

A社から提供されたデータをID等を使って自社内の個人データと結合

2

２．検討すべき主な論点
 改正法において新たな規律を設けた趣旨は、個人関連情報の提供先である第三者により、本人を識別した上で情報を利用されることによる個人の権利利益の侵害を防止することにある。
 こうした制度趣旨も踏まえ、以下の事項を検討する必要がある。

（第158回個人情報保護委員会（令和２年11月20日）で審議済み）•••

本人からの同意取得の態様・方法について「個人データとして取得することが想定されるとき」の語義について
個人関連情報における確認記録義務について▶ このうち、「本人からの同意取得の態様・方法」に関しては、同意の取得の具体的な方法について、例示をガイドラインで示すこととしたところ、以下のような点を更に検討する必要がある。
① 本人からの同意取得の主体について本人同意を提供元・提供先のどちらが取得するか② 本人からの同意の確認方法について本人同意を取得した後、提供元が具体的にどのような方法で本人同意を確認するか
3

３．①同意取得の主体について（１）基本的考え方
 個人関連情報の提供先である第三者により、本人を識別した上で情報を利用されることによる個人の権利利益の侵害を防止することにあるという規律の趣旨からすれば、本人関与の機会を実質的に確保できるよう、本人同意の取得の態様・方法を検討する必要がある。
 そのため、本人からの同意取得にあたっては、本人が以下の点について認識できるようにすることが重要である。
• 「誰が」 個人関連情報を個人データとして取得して利用する主体• 「何を」 対象となる個人関連情報• 「どのように利用するか」 利用の目的
 特に、本人が個人関連情報を利用する主体を認識するのは困難であるが、提供先により、本人を識別した上で情報を利用されることによる個人の権利利益の侵害を防止するという改正
法第26条の２の趣旨からすれば、本人が個人関連情報を個人データとして取得して利用する主体を認識できるようにすることは重要である。
4

３．①同意取得の主体について（２）方向性ア 提供先による同意取得
 本人に対する説明を行い、同意を取得する主体は、本人と接点をもち、情報を利用する主体となる提供先が原則であると考えられる。
▶ 提供先による同意取得に関しては、「誰が」「何を」「どのように」利用するか認識できる状況を確保する必要があるのではないか。
「誰が」利用の主体となる提供先が自ら同意を取得する場合、本人は利用の主体を認識することができ、主体を明示するという要請は満たされる。

「何を」提供を受ける個人関連情報について、本人が個人関連情報の取扱状況を認識できるよう、その対象を特定できるようにする必要がある。

「どのように」個人関連情報を個人データとして取得した後の利用目的については、法第18条により通知等を行う必要がある。
5

３．①同意取得の主体について（参考）提供先で同意取得する場合の一般的なフロー（イメージ）
提供元：A社

提供先：B社
個人関連情報を取得し個人データに紐づけることを利用目的等とともに本人に説明

1. 本人の同意の取得

2. 個人関連情報の取扱いに関する確認
例えば商談の際に行うことも考えられる

同意検討事項①本人からの同意取得の主体について以下の事項を両者間で確認し、「個人データとして取得することが想定される」場合に該当するかA社が判断

提供を行う個人関連情報の項目（購買履歴等）
B社で、顧客情報等の個人データと紐づける予定があるかどうか 等

該当する場合、以下の事項も確認


A社が提供する個人関連情報は、B社が本人から同意を得ているものに限られること

3. 本人同意の有無の同意を得ているID等の確認と個人関連情報個人関連情報をB社に提供の提供

4. 記録

本人

記録

本人の同意を得ているID等をA社へ伝える
個人関連情報をA社から取得②本人からの同意の確認方法
について

記録（注）上記フロー図は一例であり、１．と ２．が前後する場合等もある。

6

３．①同意取得の主体について（２）方向性イ 提供元による同意取得の可否
 以下の理由から、提供先において同意取得することとする。
• 本人との接点を持っているのは、基本的に顧客情報等の個人データを保有している提供先であり、個人データとしての利用主体でもある提供先において同意取得し、本人への説明を行うことで、個人情報の適正な取扱いを確保することができる。
• 本人としても、提供先が自ら同意を取得することで、利用の主体を認識することができる。
 そのため、本人から同意を取得する場合は、提供先が取得しなければならないが、提供先の義務である同意取得を提供元が代行することについては、同等の本人の権利利益の保護が図られることを前提に許容されるのではないか。

7

３．①同意取得の主体について（２）方向性ウ 提供元による同意取得の代行の際の要件▶ 提供元が提供先の同意取得を代行する場合、提供元で適切に同意取得させた上で、かつ「誰が」「何を」「どのように」利用するか認識できる状況を確保する必要があるのではないか。
提供先の義務 提供元が同意取得を代行する場合であっても、提供先が同意取得の主体であることに変わりはない。提供先は提供元で適切に同意取得させなければならない（※）。
（※）提供元で適切に同意取得していないにも関わらず、提供先が個人関連情報を個人データとして取得した場合、「不正取得」に該当し得る。

「誰が」提供元が同意取得を代行する場合、本人は利用の主体を認識することができないことから、提供先を個別に明示する必要がある。

「何を」提供する個人関連情報について、本人が個人関連情報の取扱状況を認識できるよう、その対象を特定できるようにする必要がある。

「どのように」個人関連情報を個人データとして取得した後の利用目的については、提供先において法第18条により通知等を行う必要がある。

8

３．①同意取得の主体について（参考）「個人情報の保護に関する法律施行令及び個人情報保護委員会事務局組織令の一部を改正する政令（案）」及び「個人情報の保護に関する法律施行規則の一部を改正する規則（案）」に関する意見募集結果（抜粋）
本人同意（法26条の2第1項1号）は提供先で取得すると思われるが、具体的な方法を明確に示されたい。実際に本人から同意を得られていることを確認するのは「提供元」なので、「提供元」が同意取得した方がスムーズな場合も多いのではないか。提供元において第三者提供の同意を取得することを否定する趣旨ではない旨もあわせて明確に示されたい。【経営法友会】
個人関連情報の第三者提供を行う際、「個人関連情報の提供を受ける第三者からの申告を受ける方法その他の適切な方法」で確認を行うことか求められているが、提供元が本人から同意を取得することによってでも本人の権利利益の保護を図ることはできるため、その場合も適切な方法に含まれる旨を追記して明確にして頂きたい。【一般社団法人 電子情報技術産業協会 個人データ保護専門委員会】【意見】
提供元にて本人から個人関連情報の提供に関する同意を取得した上で提供している場合には、提供先にて同意を取得する必要はないことをガイドラインに明記していただきたい。
【理由】「本人関与の機会を確保する」という目的は、提供元における同意の取得によっても達成されうるし、この機会は第三者提供が行われた後ではなく、事前に与えられるべきものである。提供元における同意の取得が可能である場合には、提供元において同意を取得した上で提供することも認められるはずであり、むしろ、個人にとってもその方が良いのではないか。提供元において同意を取得することが不可能なケースはあるが、一方で提供先における同意の取得も非常に困難であるケースが想定される。同意の取得は提供元・提供先双方のいずれかが行えばよいことを明確にすることで、事業者による対応のハードルを下げつつ、本人関与の機会を確保する意味でもより意義のあるものにすべきである。【一般社団法人新経済連盟】

9

３．①同意取得の主体について（参考）提供元で同意取得を代行する場合の一般的なフロー（イメージ）
提供元：A社
１. 個人関連情報の取扱いに関する確認
例えば商談の際に行うことも考えられる

提供先：B社

本人

検討事項

同意

①本人からの同意取得の主体について以下の事項を両者間で確認し、「個人データとして取得することが想定される」場合に該当するかA社が判断提供を行う個人関連情報の項目（購買履歴等）
B社で、顧客情報等の個人データと紐づける予定があるかどうか 等

提供元において、適切に同意取得させる

提供先において、

２. 本人の同意の取得 個人関連情報を個人データに紐づけることを本人に説明

3. 本人同意の有無の確認と個人関連情報の提供
4. 記録

同意取得にあたっては、提供先を個別に明示する同意を得ているID等を確認し、個人関連情報をB社に提供

個人関連情報をA社から取得

記録

記録②本人からの同意の確認方法について10

４．②本人からの同意の確認方法について（１）基本的考え方
 提供先において同意を取得する場合、提供元は同意が得られていることを適切に確認する必要があるが、提供先による実際の同意取得のプロセスを全て確認することは困難であり、提供元は提供先の申告内容を一般的な注意力をもって確認すれば足りる（※）。
（※）提供先が本人から同意を取得していないにもかかわらず、同意を取得していると提供元に虚偽の申告をして、個人関連情報を個人データとして取得した場合、「不正取得」に該当し得る。

 なお、提供元による確認に際して、提供先が提供元に本人同意を取得しているID等を提供する行為は、個人データの第三者提供に該当する場合があるが、改正法第26条の２第１項の確認行為において必要となる情報のみを伝える場合には、提供先が偽りなく確認に係る情報を提供することが個人情報保護法上予定されていることから、法令に基づく場合（法第23条第１項第１号）に該当すると考えられる。
（イメージ）①本人同意を取得しているID等の提供（法第23条第１項第１号）

提供元A

提供先X

②同意を得ているID等の個人関連情報の提供（改正法第26条の２第１項）

11

４．②本人からの同意の確認方法について
改正後の個人情報の保護に関する法律（平成15年法律第57号）（外国にある第三者への提供の制限）第26条の２ 個人関連情報取扱事業者（略）は、第三者が個人関連情報（個人関連情報データベース等を構成するものに限る。以下同じ。）を個人データとして取得することが想定されるときは、第23条第１項各号に掲げる場合を除くほか、次に掲げる事項について、あらかじめ個人情報保護委員会規則で定めるところにより確認することをしないで、当該個人関連情報を当該第三者に提供してはならない。
(１) 当該第三者が個人関連情報取扱事業者から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていること。
(２) （略）
２～３ （略）

改正後の個人情報の保護に関する法律施行規則（平成28年10月５日個人情報保護委員会規則第３号）（個人関連情報の第三者提供を行う際の確認）
第18条の２ 法第26条の2第1項の規定による同項第1号に掲げる事項の確認を行う方法は、個人関連情報の提供を受ける第三者から申告を受ける方法その他の適切な方法とする。
２～３ （略）12

４．②本人からの同意の確認方法について（２）具体例【提供先が同意取得する場合の提供元による確認の方法の具体例】
 提供先の第三者から口頭で申告を受ける方法
 提供先の第三者が本人の同意を得ていることを誓約する書面を受け入れる方法【提供元が同意取得を代行する場合の確認の方法の具体例】
 提供元において同意取得を代行して同意を自ら確認する方法（「その他の適切な方法」（改正後の規則第18条の２第１項）に該当）

13