令和２年改正個人情報保護法について

令和４年３月••本資料では、令和２年６月12日に公布された個人情報の保護に関する法律等の一部を改正する法律（令和２年第44号）による改正後の個人情報保護法について解説する。
本資料の「改正後」の条文番号は、令和４年４月１日施行予定の令和2年改正法及びデジタル社会形成整備法第50条による改正後のもの。

これまでの経緯
2003年（平成15年） 個人情報保護法成立（2005年（平成17年）全面施行）
法施行後約10年が経過。情報通信技術の発展により、制定当時には想定されなかったパーソナルデータの利活用が可能に

2015年（平成27年） 個人情報保護法改正（2017年（平成29年）全面施行）
３年ごと見直し規定が盛り込まれる
国際的動向、情報通信技術の進展、新産業の創出・発展の状況等を勘案

2020年（令和２年） ３年ごと見直し規定に基づく初めての法改正
 個人の個人情報に対する意識の高まり
 個人データを取り巻くリスクの変化 情報通信技術の一層の発展とそれに伴う様々なサービスの登場
 不正アクセスの巧妙化 経済社会活動のグローバル化に伴う越境移転の急速な増大
 グローバルな個人情報保護関連制度の立法・改正の動き等

1

見直しに当たっての「５つの視点」
個人の権利利益の保護• 「個人の権利利益を保護」するために必要十分な措置を整備すること

技術革新の成果による保護と活用の強化• 技術革新の成果が、経済成長等と個人の権利利益の保護との両面に行き渡ること

国際的な制度調和・連携• 国際的な制度調和や連携に配意すること

越境データの流通増大に伴う新たなリスクへの対応• 海外事業者によるサービスの利用や、個人情報を扱うビジネスの国境を越えたサプライチェーンの複雑化などが進み、個人が直面するリスクも変化しており、これに対応すること

ＡＩ・ビッグデータ時代への対応• AI・ビッグデータ時代を迎え、個人情報の活用が一層多岐にわたる中、事業者が本人の権利利益との関係で説明責任を果たしつつ、本人の予測可能な範囲内で適正な利用がなされるよう、環境を整備していくこと2令和２年改正法の概要
１．個人の権利の在り方

３．事業者による自主的な取組を促す仕組みの在り方① 利用停止・消去等の個人の請求権について、一部の法違反の場合に加えて、個人の権利又は正当な利益が害されるおそれがある場合等にも拡充する。

① 認定団体制度について、現行制度（※）に加え、企業の特定分野(部門)を対象とする団体を認定できるようにする。

② 保有個人データの開示方法（現行では、原則、書面の交付）について、電磁的記録の提供を含め、本人が指示できるようにする。
③ 個人データの授受に関する第三者提供記録について、本人が開示請求できるようにする。
④ ６ヶ月以内に消去する短期保存データについて、保有個人データに含めることとし、開示、利用停止等の対象とする。
⑤ オプトアウト規定（※）により第三者に提供できる個人データの範囲を限定し、①不正取得された個人データ、②オプトアウト規定により提供された個人データについても対象外とする。
（※）本人の求めがあれば事後的に停止することを前提に、提供する個人データの項目等を公表等した上で、本人の同意なく第三者に個人データを提供できる制度。
令和４年４月以降に同規定による提供を行う場合は、令和３年１０月１日より届出可能。

（※）現行の認定団体は、対象事業者の全ての分野（部門）を対象とする。

４．データ利活用の在り方① 氏名等を削除した「仮名加工情報」を創設し、内部分析に限定する等を条件に、開示・利用停止請求への対応等の義務を緩和する。
② 提供元では個人データに該当しないものの 、提供先において個人
データとなることが想定される「個人関連情報」の第三者提供について、本人同意が得られていること等の確認を義務付ける。

５．ペナルティの在り方 ※令和2年12月12日より施行① 委員会による命令違反・委員会に対する虚偽報告等の法定刑を引き上げる。

２．事業者の守るべき責務の在り方② 命令違反等の罰金について、法人と個人の資力格差等を勘案して、法人に対しては行為者よりも罰金刑の最高額を引上げる(法人重科)。

① 漏えい等が発生し、個人の権利利益を害するおそれが大きい場合（※）に、委員会への報告及び本人への通知を義務化する。

６．法の域外適用・越境移転の在り方（※）一定の類型（要配慮個人情報、不正アクセス、財産的被害）、一定数以上の個人データの漏えい等② 違法又は不当な行為を助長する等の不適正な方法により個人情報を利用してはならない旨を明確化する。

① 日本国内にある者に係る個人情報等を取り扱う外国事業者を、罰則によって担保された報告徴収・命令の対象とする。
② 外国にある第三者への個人データの提供時に、移転先事業者における個人情報の取扱いに関する本人への情報提供の充実等を求める。

※「７．その他」として、利用目的の特定、個人データの取扱いの委託及び公表等事項について、個人情報の保護に関する法律施行令等で規定

3

１．個人の権利の在り方

利用停止・消去等の個人の請求権
 一部の法違反の場合に加えて、個人の権利又は正当な利益が害されるおそれがある場合にも、本人から個人データの利用停止・消去等が請求できるようにする。
改正前

改正後

 利用停止・消去ができるのは、目的外利用、不正取得の場合に限定（§30①）
 第三者提供の停止ができるのは、第三者提供義務違反の場合に限定（§30③）

現行の場合に加えて、① 利用する必要がなくなった場合② 重大な漏えい等が発生した場合③ 本人の権利又は正当な利益が害されるおそれがある場合にも拡充（§35⑤）

現行の利用停止・消去等の請求（§35①③）（現行の要件に加えて、）改正後の要件による利用停止・消去等の請求（§35⑤）

本人

個人情報
取扱事業者

4

１．個人の権利の在り方

利用停止・消去等の個人の請求権?

「利用する必要がなくなった場合」とはどのような場合をいいますか？
「利用する必要がなくなった」とは、法第22条と同様に、保有する個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等をいいます。

?

「利用する必要がなくなった場合」として利用停止等が認められるのはどのような事例ですか？
利用停止等が認められる事例として、以下のような事例が挙げられます。
 ダイレクトメールを送付するために保有していた情報について、本人からの求めを受ける等して、ダイレクト
メールの送付を停止した後、本人が消去を請求した場合

 採用応募者のうち、採用に至らなかった応募者の情報について、再応募への対応等のための合理的な期間が経過した後に、採用応募者が利用停止等を請求した場合

5

１．個人の権利の在り方

利用停止・消去等の個人の請求権?

「本人の権利又は正当な利益が害されるおそれ」があるとして利用停止等が認められるのはどのような事例ですか？
利用停止等が認められる事例として、以下のような事例が挙げられます。
 ダイレクトメールの送付を受けた本人が、送付の停止を求める意思を表示したにもかかわらず、個人情報取扱事業者がダイレクトメールを繰り返し送付していることから、本人が利用停止等を請求する場合
 個人情報取扱事業者が、法第27条第1項に違反して第三者提供を行い、本人を識別する保有個人
データについても本人の同意なく提供されるおそれがあることから、本人が利用停止等を請求する場合
 個人情報取扱事業者が、退職した従業員の情報を現在も自社の従業員であるようにホームページ等に掲載し、これによって本人に不利益が生じていることから、本人が利用停止等を請求する場合?

「本人の権利又は正当な利益が害されるおそれ」がないとして利用停止等が認められないのはどのような事例ですか？

利用停止等が認められない事例として、以下のような事例が挙げられます。
 電話の加入者が、電話料金の支払いを免れるため、電話会社に対して課金に必要な情報の利用停止等を請求する場合
 過去に利用規約に違反したことを理由としてサービスの強制退会処分を受けた者が、再度当該サービスを利用するため、当該サービスを提供する個人情報取扱事業者に対して強制退会処分を受けたことを含む
ユーザー情報の利用停止等を請求する場合
 過去の信用情報に基づく融資審査により新たな融資を受けることが困難になった者が、新規の借入れを受けるため、当該信用情報を保有している個人情報取扱事業者に対して現に審査に必要な信用情報の利用停止等又は第三者提供の停止を請求する場合

6

１．個人の権利の在り方

利用停止・消去等の個人の請求権?

「本人の権利利益の侵害を防止するために必要な限度」での対応として考えられるのはどのような事例ですか？
「本人の権利利益の侵害を防止するために必要な限度」での対応として、以下のような事例が挙げられます。
 本人から保有個人データの全てについて、利用停止等が請求された場合に、一部の保有個人データの利用停止等によって、生じている本人の権利利益の侵害のおそれを防止できるものとして、一部の保有個人データに限定して対応を行う場合
 法第27条第1項に違反して第三者提供が行われているとして保有個人データの消去を請求された場合に、利用停止又は第三者提供の停止による対応によって、生じている本人の権利利益の侵害のおそれを防止できるものとして、利用停止又は第三者提供の停止による対応を行う場合?

代替措置による対応が考えられるのはどのような事例ですか？
代替措置による対応として、以下のような事例が挙げられます。
 個人情報保護委員会への報告の対象となる重大な漏えい等が発生した場合において、当該本人との契約が存続しているため、利用停止等が困難であるとして、以後漏えい等の事態が生じることがないよう、必要かつ適切な再発防止策を講じる場合
 他の法令の規定により保存が義務付けられている保有個人データを直ちに消去する代わりに、当該法令の規定による保存期間の終了後に消去することを約束する場合
7

１．個人の権利の在り方

保有個人データの開示方法
 保有個人データの開示方法について、電磁的記録の提供を含め、本人が指示できるようにす
る。
改正前

改正後

保有個人データの開示方法は、書面の交付による方法が原則（§28①②）

保有個人データの開示方法について、電磁的記録の提供を含め、本人が指示できるようにする（§33①②）?

本人が指示できる方法とは、具体的にどのような方法ですか？
委員会規則において、本人が請求することができる方法は、①電磁的記録の提供、②書面の交付、③その他事業者の定める方法としています。
このうち、①電磁的記録の提供については、CD-ROM等の媒体を郵送する方法、電子メールを送信する
方法、ウェブサイト上でダウンロードしてもらう方法など、事業者がファイル形式や記録媒体などの具体的方法を定めることができ、本人がファイル形式等を指定した場合であっても、これに応じる必要はありません。

もっとも、できる限り本人の要望に沿って対応することが望ましいと考えられます。

?

電磁的記録の提供が困難な場合であっても、電磁的記録による提供が必要ですか？
現行法同様に書面による交付が認められる場合はありますが、個人情報取扱事業者が当該開示請求に応じるために大規模なシステム改修を行わなければならず多額の費用を要する場合など、電磁的記録による開8示が困難な場合に限られます。

１．個人の権利の在り方

第三者提供記録の開示
 個人データの他の事業者との授受（第三者提供）の記録について、本人が開示請求できるよ
うにする。
改正前

改正後

個人データの授受に関する第三者提供記録は、
開示請求の対象か明確な規定なし

提供元
事業者

個人データの授受に関する第三者提供記録について、本人が開示請求できるようにする（§33⑤、§33①②③）

提供先
事業者

第三者提供

個人データ

個人データ

記録の作成・
保存義務

確認、記録の作成・
保存義務
提供元への
開示請求

本人

提供先への
開示請求
9

１．個人の権利の在り方

短期保存データの開示等対象化 ６ヶ月以内に消去する短期保存データについて、保有個人データに含めることとし、開示、利用停止等の対象とする。
改正前

改正後

６ヶ月以内に消去するデータ（短期保存データ）
は開示、利用停止等の対象外（§２⑦）

６ヶ月以内に消去するデータ（短期保存データ）
も、保有個人データに含めることとし、開示、利用停止等の対象とする（§16④）?

これまで短期間で消去していた個人データについても、開示等の請求等のために、保有し続けることが必要ですか？
これまで短期間で消去していた個人データについて、開示等の請求等に応じるためだけに保存する必要はありません。
利用する必要がなくなったときは、事業者は遅滞なく消去するよう努める必要があります。

?

わずか１日で消去する保有個人データも、開示請求の対象になりますか？
１日で消去されるものであっても、検索できるように体系的に構成されている「個人情報データベース等」を構成する「保有個人データ」に該当する場合は、開示請求の対象となり得ます。
（開示請求の対象である「保有個人データ」は、検索できるように体系的に構成されている「個人情報データベース等」を構成するものであるため、この要件を満たさない
いわゆる散在情報は、開示請求の対象とはなりません。）

もっとも、同一の本人からの複雑な対応を要する同一内容についての繰り返しの開示請求のように、「業務の適正な実施に著しい支障を及ぼすおそれがある場合」に該当する場合については、開示請求に応じる義務はありません。

10

１．個人の権利の在り方

オプトアウト規定により第三者に提供できる個人データの限定 オプトアウト規定により第三者に提供できる個人データの範囲を限定し、①不正取得された個人データ、②オプトアウト規定により提供された個人データについても対象外とする。
改正前

改正後

要配慮個人情報のみ、オプトアウト規定により第三者提供することができない（§23②）①不正取得された個人データ、②オプトアウト規定により提供された個人データについても対象外とする（§27②）①不正取得された個人データ

オプトアウト規定による提供

オプトアウト規定
による提供禁止

不正取得

個人等②オプトアウト規定により取得された個人データ

名簿屋

一般企業

名簿屋A

オプトアウト規定による提供

オプトアウト規定
による提供禁止

名簿屋B

一般企業

一般企業

11

２．事業者の守るべき責務の在り方

漏えい等報告等の義務化
 漏えい等が発生し、個人の権利利益を害するおそれが大きい場合に、委員会への報告及び本人への通知を義務化する。
改正前

改正後

個人情報保護委員会に報告及び本人通知するよう努める（委員会告示）

漏えい等が発生し、個人の権利利益を害するおそれが大きい場合に、個人情報保護委員会への報告及び本人への通知を義務化する（§26）

個人情報取扱事業者

個人情報保護委員会
報 告

漏えい等事案
が発生

!





漏えい等報告の義務化の対象事案（委員会規則で定める要件）

要配慮個人情報の漏えい等
財産的被害のおそれがある漏えい等
不正の目的によるおそれがある漏えい等
1,000件を超える漏えい等

本 人
これらの
類型は
件数に
関わりなく
対象

※各類型につき、漏えい等の「おそれ」がある事案も対象。

通 知

12

２．事業者の守るべき責務の在り方

漏えい等報告等の義務化?

漏えい等報告はどのような事案で行う必要がありますか？

類型

報告を要する事例

要配慮個人情報の漏えい等

従業員の健康診断等の結果を含む個人データが漏えいした場合財産的被害のおそれがある漏えい
等

・送金や決済機能のあるウェブサービスのログインIDとパスワードの組み合わせを含む個人
データが漏えいした場合
・個人データであるクレジットカード番号のみの漏えい※住所、電話番号、メールアドレス、SNSアカウント、銀行口座情報といった個人データのみの漏えいは、直ちにこれに該当しない

不正の目的によるおそれがある漏えい等

不正アクセスにより個人データが漏えいした場合

1,000件を超える漏えい等システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となり、当該個人データに係る本人の数が1,000人を超える場合?

漏えい等報告について、報告の期限はどのようになっていますか？
速報と確報の二段階で行う必要があります。
時間的制限

報告内容

速報

報告対象の事態を知ってから「速やかに」（個別の事案によるものの、当該事態を知った時点から概ね3～5日以内）

報告をしようとする時点において把握している内容

確報

報告対象の事態を知ってから30日以内（不正の目的によるおそれがある漏えい等の場合は60日以内）

全ての報告事項（合理的努力を尽くしても、全ての事項を報告できない場合は、判明次第、報
告を追完）

13

２．事業者の守るべき責務の在り方

漏えい等報告等の義務化?

「当該事態の状況に応じて速やかに」本人への通知を行うとは、具体的にどのようなことをいいますか？
速やかに通知を行うことを求めるものですが、具体的に通知を行う時点は、個別の事案において、その時点で把握している事態の内容、通知を行うことで本人の権利利益が保護される蓋然性、本人への通知を行うことで生じる弊害等を勘案して判断します。
【その時点で通知を行う必要があるとはいえないと考えられる事例（※）】
 漏えい等のおそれが生じたものの、事案がほとんど判明しておらず、その時点で本人に通知したとしても、本人が必要な措置を講じられる見込みがなく、かえって混乱が生じるおそれがある場合（※）「当該事態の状況に応じて速やかに」本人への通知を行うべきことに変わりはない。

?

本人への通知はどのような事案で行う必要がありますか？
漏えい等報告の義務化されている事案では、本人に対する通知を行う必要があります。
ただし、本人への通知が困難である場合には、代替措置を講ずることによる対応が認められます。
考えられる具体例
通知が困難

 保有する個人データの中に本人の連絡先が含まれていない
 連絡先が古いために通知を行う時点で本人へ連絡ができない

代替措置

 事案の公表
 問合せ窓口を用意してその連絡先を公表し、本人が自らの個人デー
タが対象となっているか否かを確認できるようにする

14

２．事業者の守るべき責務の在り方

不適正な方法による利用の禁止
 違法又は不当な行為を助長する等の不適正な方法により個人情報を利用してはならない旨を明確化する。
改正前
個人情報取扱事業者は個人情報を適正に取得すべきことを法定（§17）

改正後「適正な取得」義務に加えて、「不適正な利用」を禁止※具体的には、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない旨を法定（§19）?

「違法又は不当な行為」とはどのような行為をいいますか？
法第19条における「違法又は不当な行為」とは、
 個人情報保護法その他の法令に違反する行為
 直ちに違法とは言えないものの、個人情報保護法その他の法令の制度趣旨や公序良俗に反している等、社会通念上、適正とは認められない行為をいいます。
「違法又は不当な行為」の例
暴力団員により行われる暴力的要求行為、本人に対して正当な理由なく行われる違法な差別的取扱い 等
15

２．事業者の守るべき責務の在り方

不適正な方法による利用の禁止?

不適正利用に該当する事例としては、どのようなものが考えられますか？
例えば、下記のような、相当程度悪質なケースが想定されます。
 違法な行為を助長するおそれが想定されるにもかかわらず、違法な行為を営むことが疑われる事業者に対して、個人情報を提供すること。
 裁判所による公告等により散在的に公開されている個人情報について、違法な差別が誘発されるおそれがあることが予見できるにもかかわらず、それを集約してデータベース化し、インターネット上で公開すること。
 暴力団員により行われる暴力的要求行為等の不当な行為を助長し、又は誘発するおそれが予見できるにもかかわらず、不当要求による被害を防止するために必要な業務を行う各事業者の責任者の名
簿等を、みだりに開示し、又は暴力団等に対しその存在を明らかにすること。
 提供先において法第27条第１項に違反する第三者提供がなされることを予見できるにもかかわらず、
当該提供先に対して、個人情報を提供すること。
 性別、国籍等の特定の属性のみにより、正当な理由なく本人に対する違法な差別的取扱いを行うた
めに、採用選考を通じて取得した個人情報を利用すること。
 広告配信を行っている事業者が、違法薬物等の違法な商品の広告配信のために、自社で取得した個人情報を利用すること。

16

３．事業者による自主的な取組を促す仕組みの在り方

認定個人情報保護団体制度の充実
 認定団体制度について、個人情報を用いた業務実態の多様化やIT技術の進展を踏まえ、企業の特定分野(部門)を対象とする団体を認定できるようにする。
改正前

改正後

団体を認定し、自主ルールに基づく企業単位での個人情報全般（企業の全ての分野（部門）が対象）の適正な取扱いを促す（§47①）

現行制度に加え、企業の特定分野(部門)を対象とする団体を認定できるようにする（§47②）

○○業協会
（金融系）

××業協会
（通信系）

A銀行（全ての部門）

X会社（全ての部門）

B証券（全ての部門）

Y産業（全ての部門）

C金融（全ての部門）

Z興業（全ての部門）

・・・

・・・

現行、例えば、認定団体は対象となる企業の全ての分野の苦情に対応する必要。

○×協会
A銀行 （広報部門）
X会社 （広報部門）
K電気 （広報部門）
N百貨店（広報部門）
・・・
特定分野での認定を受けることにより、分野ごとのより高い水準の個人情報保護の推進に資する。
17

４．データ利活用に関する施策の在り方

仮名加工情報の創設

 イノベーションを促進する観点から、氏名等を削除した「仮名加工情報」を創設し、内部分析に限定する等を条件に、開示・利用停止請求への対応等の義務を緩和する。
改正前
•

改正後

「個人情報」に該当するものは一律に個人情報の取扱いに係る規律の対象
•
•
•
•
•

•

利用目的の制限
利用目的の通知・公表
安全管理措置第三者提供の制限
開示・利用停止等の請求対応 等「仮名加工情報」として加工すれば、個人情報に該当しても、以下の義務は適用除外① 利用目的の変更の制限（§17②）⇒ 新たな目的で利用可能※ 本人を識別しない、内部での分析・利用であることが条件（§41⑥～⑧）② 漏えい等の報告等（§26）③ 開示・利用停止等の請求対応（§32～§39）※ 個人データ、保有個人データに係る規律を含む•

作成元の「個人情報」は残したまま、これまで通り利用可能※（仮名加工情報ではない）通常の個人データとして取り扱う限り、
当該「個人情報」に一定の加工が施された情報も含め、本人同意の下で第三者への提供が可能

個人情報
氏名／年齢／年月日／時刻／金額／店舗

仮名加工情報他の情報と照合しない限り
特定の個人を識別できないように加工

仮ＩＤ／年齢／年月日／時刻／金額／店舗

18

４．データ利活用に関する施策の在り方（参考）個人情報・仮名加工情報・匿名加工情報の対比（イメージ）
適正な加工（必要な加工のレベル）

利用目的の制限等
利用目的の特定、制限、
通知・公表等利用する必要がなくなったときの消去
安全管理措置個人情報※１

仮名加工情報※２

匿名加工情報※２ー• 他の情報と照合しない限り特定の個人を識別することができない• 特定の個人を識別することができず、復元することができない• 対照表と照合すれば本人が分かる程度まで加工• 本人か一切分からない程度まで
加工

〇

×

• 利用目的の変更は可能• 本人を識別しない、内部での分析・利用であることが条件（規制なし）〇〇

×（努力義務）（努力義務）（規制なし）〇〇〇〇（努力義務）〇

××（改正法で義務化）

（対象外）

（対象外）

第三者提供時の
同意取得

〇

ー

×

（原則第三者提供禁止）（同意不要）

開示・利用停止等
の請求対応

〇

×

×

（対象外）

（対象外）

識別行為の禁止ー〇〇

漏えい等報告等※１：個人データ、保有個人データに係る規定を含む。 ※２：仮名加工情報データベース等、匿名加工情報データベース等を構成するものに限る。 19

４．データ利活用に関する施策の在り方

個人関連情報の第三者提供規制
 提供元（A社）では個人データに該当しないが、提供先（B社）において個人データとなることが想定される情報の第三者提供について、本人同意が得られていること等の確認を義務付ける。
（§31）

B社

A社
 A社では、誰の個人データか分からない

 B社は、A社とID等を共有。
 B社では、ID等に紐づいた個人データを保有。
個人データ

?

氏名
山田一子
佐藤二郎
鈴木三郎
高橋四郎

B社において個人データとなることが想定される場合は
原則本人の同意が必要
個人関連情報ID等 購買履歴1
ミルクティー、おにぎり、アンパン・・・
2
紅茶、サンドイッチ、アイス・・・
3
スーツ、ネクタイ、シャツ、お茶・・・
4
時刻表、デジカメ、書籍・・・

年齢 ID等
55歳 1
37歳 2
48歳 3
33歳 4
個人データ

氏名
山田一子
佐藤二郎
鈴木三郎
高橋四郎

ID 等 購買履歴
年齢 ID等
ID等
55歳 11 ミルクティー、おにぎり、アンパン・・・
37歳 22 紅茶、サンドイッチ、アイス・・・
48歳 33 スーツ、ネクタイ、シャツ、お茶・・・
33歳 44 時刻表、デジカメ、書籍・・・

A社から提供されたデータをID等を使って自社内の個人データと結合

20

４．データ利活用に関する施策の在り方（参考）クッキー等の第三者提供に係る基本的な考え方（イメージ）
そのクッキー等は、
他の情報と容易に照合でき、特定の個人を識別できますか ※1

そのクッキー等は個人情報に該当します

そのクッキー等は
個人関連情報に該当します ※2※1 クッキー等と会員情報等の個人情報を紐付けて管理している場合、全体が個人情報となり、その一部となるクッキー等も個人情報に該当します。

※2 専ら機械的に生成され生存する個人に関する情報でない等、法で規定する要件に合致しない場合は、個人情報にも個人関連情報にもならない場合があります。

そのクッキー等を第三者提供する際

提供先において個人データとなることが想定されますかYES

原則本人同意が必要（現行23条１項）※：個人データの場合本人同意が得られていること等の確認が必要（31条）

本人同意は不要NO21

４．データ利活用に関する施策の在り方

個人関連情報の第三者提供規制?!

個人関連情報とはどのようなものをいいますか？
「生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しな
いもの」をいいます。例えば、以下のようなものが該当します（※）。
 Cookie等の端末識別子を通じて収集された、ある個人のウェブサイトの閲覧履歴
 ある個人の商品購買履歴・サービス利用履歴
 ある個人の位置情報※個人情報に該当する場合は、個人関連情報に該当しない。

?

個人関連情報の第三者提供規制はどのような場合に適用されますか？
提供先において個人関連情報を「個人データとして取得することが想定されるとき」に適用されます。
条文の文言

内 容
 提供先の第三者において、個人データに個人関連情報を付加する
等、個人データとして利用しようとする場合「個人データとして取得する」「想定される」※ 提供先の第三者が、個人関連情報を直接個人データに紐付けて利用しない場合は、提供先の第三者が保有する個人データとの容易照合性が排除しきれないとしても、直ちに「個人データとして取得する」に該当しない。

 「個人データとして取得する」ことを現に想定している場合、又は一般人の認識（※）を基準として通常想定できる場合※ 同種の事業を営む事業者の一般的な判断力・理解力を前提とする認識

22

４．データ利活用に関する施策の在り方

個人関連情報の第三者提供規制?!

「個人データとして取得することが想定されるとき」に該当しないよう、契約等による対応を行うことは可能ですか？
提供元及び提供先の契約等において、提供を受けた個人関連情報を個人データとして利用しない旨が定められている場合には、通常、「個人データとして取得する」ことが想定されず、法第31条は適用されません。この場合、提供元は、提供先における個人関連情報の取扱いの確認まで行わなくとも、通常、「個人データとして取得する」ことが想定されないことになります。

?

今回の規制において、「同意」は、誰が取得すればよいのでしょうか？
同意を取得する主体は、本人と接点を持ち、情報を利用する主体となる提供先ですが、同等の本人の権利利益の保護が図られることを前提に、同意取得を提供元が代行することも認められます。
いずれの場合であっても、個人関連情報の提供を受けて個人データとして取得する主体、対象となる個人関連情報の項目、個人関連情報の提供を受けて個人データとして取得した後の利用目的等について、本人が認識できるようにする必要があります。

?

提供先において同意を取得する場合、提供元はどのような確認を行えばよいでしょうか？
提供元は、当該第三者から申告を受ける方法等によって本人同意が得られていることを確認することになりますが、提供先の第三者から申告を受ける場合、提供元は、その申告内容を一般的な注意力をもって確認す
れば足ります。
23

５．ペナルティの在り方

法定刑の引き上げ等
委員会による命令違反・委員会に対する虚偽報告等の法定刑を引き上げる。
命令違反等の罰金について、法人と個人の資力格差等を勘案して、法人に対しては行為者よりも罰金刑の最高額を引き上げる（法人重科）。

改正前

改正後

命令違反の場合、行為者に対し６月以下の懲役又は３０万円以下の罰金（§84）

命令違反の場合、行為者に対し、１年以下の懲役又は100万円以下の罰金（§173）

虚偽報告等の場合、行為者に対し３０万円以下の罰金（§85）

虚偽報告等の場合、行為者に対し５０万円以下の罰金（§177）

法人に対する罰金の上限額は、行為者と同じ（§87①）

法人に対する罰金の上限額は、１億円以下の罰金（§179①）24

６．法の域外適用・越境移転の在り方

越境移転に係る情報提供の充実
 外国にある第三者への個人データの提供時に、移転先事業者における個人情報の取扱いに関する本人への情報提供の充実等を求める。
改正前

改正後

外国
外国にある第三者に個人データを提供できる要件

本人の同意基準に適合する体制を整備した
事業者

我が国と同等の水準国（ＥＵ、英国）各要件に基づく移転時、それぞれ以下を義務付け
本人からの同意取得時に、以下の情報を提供（§28②）
・ 移転先の所在国の名称
・ 当該外国における個人情報の保護に関する制度
・ 移転先が講ずる個人情報の保護のための措置① 移転元に対し以下の必要な措置を求める
・ 移転先における適正な取扱いの実施状況等の定期的な確認・ 移転先における適正な取扱いに問題が生じた場合の対応＋② 本人の求めに応じて必要な措置等に関する情報を提供（§28③）※この他、「法令に基づく場合」等の例外要件あり。

25

６．法の域外適用・越境移転の在り方

越境移転に係る情報提供の充実?

日本法人の外国支店と取引があり、当該外国支店に対して個人データの提供を行う予定ですが、当該外国支店に対する個人データの提供は、「外国にある第三者」への提供に該当しますか？
個別の事案ごとに判断する必要がありますが、国内にある個人情報取扱事業者が、他の日本法人の外国支店に直接個人データを提供する場合には、当該外国支店への個人データの提供は、「外国にある第三者への提供」に該当し得ると考えられます。

?

A国に所在し、B国にサーバを設置している外国事業者に個人データを提供します。この場合、「移転先の所在国の名称」として本人に情報提供すべき名称は、どちらになりますか？
「移転先の所在国の名称」における所在国とは、移転先が個人データを保存するサーバが所在する外国ではなく、当該移転先が所在する外国をいうため、A国の名称を情報提供する必要があります。
なお、移転先が所在する外国の名称に加え、当該移転先が個人データを取り扱うサーバの所在国についても情報提供することは、望ましい取組であると考えられます。

26

６．法の域外適用・越境移転の在り方

越境移転に係る情報提供の充実?

「外国における個人情報の保護に関する制度」について、どの程度詳細な情報の提供が求められますか？
「外国における個人情報の保護に関する制度」については、網羅的な調査を求めるものではありません。
もっとも、本人の予見可能性を高めるという制度趣旨を踏まえ、我が国の個人情報保護法との間の本質的な差異を合理的に認識できる情報を提供しなければならず、具体的には、以下の①～④の観点を踏まえる必要があります。
① 移転先国における個人情報の保護に関する制度の有無② 移転先国の個人情報の保護に関する制度について一定の指標となり得る情報の有無（APEC越境移転プライバシールール（CBPR）の加盟国である旨、GDPR第45条に基づく十分性認定の取得国である旨を想定）③ OECDプライバシーガイドライン８原則に対応する事業者の義務又は本人の権利の不存在（例：原則としてあらかじめ特定した利用目的の範囲内で利用しなければならない旨の制限の不存在、事業者が保有する個人情報の開示の請求に関する本人の権利の不存在 等）④ その他本人の権利利益に重大な影響を及ぼす可能性のある制度の存在（例：事業者に対し政府の情報収集活動への広範な協力義務を課すことにより、事業者が保有する個人情報について政府による広範な情報収集が可能となる制度、事業者が本人からの消去等の請求に対応できないおそれがある個人情報の国内保存義務に係る制度 等）27

６．法の域外適用・越境移転の在り方

越境移転に係る情報提供の充実?

移転先の国が不明の場合や、多数の国に移転する可能性がある場合はどうすれば良いですか？
本人の同意を得ようとする時点で、移転先の国が特定できる場合には、全ての外国の制度に関する情報等
を、本人に提供しなければなりません。
一方、本人の同意を得ようとする時点で、移転先の外国を特定できない場合には、原則としてその旨及びその理由（移転先の外国が特定できる前に本人同意を得る必要性を含む。）を本人に情報提供すれば足ります。ただし、移転先の外国が特定できないとしても、移転先の外国の範囲など、移転先の外国の名称に代わる本人に参考となるべき情報の提供が可能である場合には、当該情報についても、本人に提供する必要があります。

?

本人への情報提供について、移転元の個人情報取扱事業者のウェブサイトに情報を掲載することは認められますか？
例えば、移転元の個人情報取扱事業者のウェブサイトにおいて、法第28条第１項に規定する外国にある第三者への提供を認める旨の本人の同意を得ようとする際に、本人に提供すべき情報を画面上に表示することは、本人への情報提供の手段として許容されるものと考えられます。

28

６．法の域外適用・越境移転の在り方

越境移転に係る情報提供の充実?

基準に適合する体制を整備した事業者に対する個人データの越境移転の場合に、移転元の個人情報取扱事業者に求められる「移転先における適正な取扱いの実施状況等の定期的な確認」とは、どのようなものですか？
移転先が基準に適合する体制を整備していることを根拠として個人データの越境移転を行った場合、移転元は、適切かつ合理的な方法により、
 移転先による当該個人データの適正な取扱いの実施状況（例：移転元と移転先との間の委託契約により移転先の体制を整備している場合：当該委託契約の遵守状況）

 移転先の所在国における適正な取扱いの実施に影響を及ぼすおそれのある制度の有無及び内容（例：事業者に対し政府の情報収集活動への広範な協力義務を課すことにより、事業者が保有する個人情報について政府による広範な情報収集が可能となる制度、事業者が本人からの消去等の請求に対応できないおそれがある個
人情報の国内保存義務に係る制度 等）を、年に1回程度又はそれ以上の頻度で確認する必要があります。
「適切かつ合理的な方法」による確認の例：• 移転先の第三者から書面による報告を受けること 等

なお、移転元は、移転先において当該個人データの取扱いが継続する限り、法第28条第３項に基づく措置等を講ずる必要があり、かかる義務は、移転元と移転先との間の契約等が解除された場合でも、免除されるものではありません。
29

６．法の域外適用・越境移転の在り方

越境移転に係る情報提供の充実?

基準に適合する体制を整備した事業者に対する個人データの越境移転の場合に、移転元の個人情報取扱事業者に求められる「移転先における適正な取扱いに問題が生じた場合の対応」とは、どのようなものですか？
移転先による個人データの適正な取扱いに問題が生じた場合には、これを解消するために必要かつ適切な措置を講ずる必要があります。
必要かつ適切な措置の例：• 移転先との間で委託契約を締結している場合で、移転先の第三者が契約上の義務に違反して個人データを取り扱っている場合に、これを是正するよう要請すること 等

また、移転先による適正な取扱いの継続的な実施の確保が困難となった場合、それ以降、当該移転先に対する個人データの提供を停止する必要があります。この場合、既に提供済みの個人データについても、返還又は削除を求める必要があります。
移転先による適正な取扱いの継続的な実施の確保が困難となった場合の例：• 移転先の第三者との間で委託契約を締結している場合で、移転先の第三者が契約上の義務に違反して個人デー
タを取り扱っている場合に、これを是正するよう要請したにもかかわらず、合理的な期間内にこれを是正しない場合• 外国にある事業者において日本にある個人情報取扱事業者から提供を受けた個人データに係る重大な漏えい等が発生した後、同様の漏えい等の発生を防止するための必要かつ適切な再発防止策が講じられていない場合 等30

６．法の域外適用・越境移転の在り方

域外適用の強化 日本国内にある者に係る個人情報等を取り扱う外国事業者を、罰則によって担保された報告
徴収・命令の対象とする。
改正前
現行の権限は、指導・勧告といった強制力のない権限に限定（§75）

日本

改正後
現行の権限に加えて罰則に担保された報告徴収・命令
命令に従わない場合の公表（※）（§166）（※）国内の事業者も公表対象

外国国内にある者に対する物品又は役務の提供に関連した個人情報等の取扱い
本人

外国事業者
報告徴収・命令を含む権限行使を可能に

個人情報保護委員会

31

７．その他

公表事項等の充実
 どのような安全管理措置が講じられているかについて、本人が把握できるようにする観点から、法定公表事項として、安全管理のために講じた措置を追加する。
改正前
•

改正後

事業者の名称、利用目的、開示請求等の手続、 •苦情の申出先等を公表事項として規定（§27①、令§８）

安全管理のために講じた措置（公表等※により支障を及ぼすおそれがあるものを除く。）を公表事項として追加（§32①、令§10）※本人の知り得る状態（本人からの求めに応じて遅滞なく回答する場合を含む。）に置くことをいう。

?

どのようなものが、公表等により支障を及ぼすおそれがあるものに該当しますか？
例えば、下記のようなものが考えられます。

 個人データが記録された機器等の廃棄方法
 個人データ管理区域の入退室管理方法
 アクセス制御の範囲、アクセス者の認証手法
 不正アクセス防止措置の内容
等32

７．その他

公表事項等の充実?

「外的環境の把握」については、どのような内容の公表が求められますか？
外国における個人データの取扱いに関わる外的環境のリスクとしての高まりを重視し、事業者が、外国において個人データを取り扱う場合、当該外国の制度等を把握した上で安全管理措置を講ずべき旨を、ガイドライ
ンで明確化しております。
この「外的環境の把握」に係る公表事項としては、例えば、「個人データを保管しているA国における個人情報の保護に関する制度を把握した上で安全管理措置を実施」といった内容が考えられます。
なお、本人の適切な理解と関与を促す観点から、当該外国の制度についても公表等を行うといった対応は
望ましいものと考えられます。

?

「外的環境の把握」が求められる「外国において個人データを取り扱う場合」とはどのような場合ですか？
例えば、以下に掲げるような場合は、「外国において個人データを取り扱う場合」に該当すると考えられます。
① 個人情報取扱事業者が、外国にある支店・営業所に個人データを取り扱わせる場合② 個人情報取扱事業者が、外国にある第三者に個人データの取扱いを委託する場合③ 外国にある個人情報取扱事業者が、国内にある者に対する物品又は役務の提供に関連して、国内にある者を本人とする個人データを取り扱う場合

33

７．その他

利用目的の特定 本人が合理的に予測できる程度に利用目的を特定しなければならない旨をQ&Aの追加等により明確化する。
改正前

改正後

•

個人情報を取り扱うに当たっては、利用目的をできる限り特定しなければならない（§15①）?

本人が合理的に予測できる程度の利用目的の特定については、どのような内容とすることが求められますか？

•

合理的に予測等できないような個人情報の処理（ex.いわゆる「プロファイリング」）が行われる
場合、本人が予測できる程度に利用目的を特定しなければならない旨を明確化（§17①）

例えば、いわゆる「プロファイリング」といった、本人から得た情報から、本人に関する行動・関心等の情報を分析する場合、事業者はどのような取扱いが行われているかを本人が予測・想定できる程度に利用目的を特定しなければならず、以下のような内容が考えられます。
① 取得した閲覧履歴や購買履歴等の情報を分析して、趣味・嗜好に応じた新商品・サービスに関する広告のために利用いたします。
② 取得した行動履歴等の情報を分析し、信用スコアを算出した上で、当該スコアを第三者へ提供いたします。
34

７．その他

個人データの委託
 個人データの委託の解釈について、Q＆Aの追加により明確化。

?

個人情報保護法上委託に該当しない場合として記載されている「委託された業務以外に当該個人データを取り扱う」
事例としては、どのようなものがありますか？
次のような事例が考えられます。
事例１）個人情報取扱事業者から個人データの取扱いの委託を受けている者が、提供された個人データを委託の内容と関係のない自社の営業活動等のために利用する場合

事例２）複数の個人情報取扱事業者から個人データの取扱いの委託を受けている者が、各個人情報取扱事業者から提供された個人データを区別せずに混ぜて取り扱っている場合
委託に伴って提供された個人データを、委託業務を処理するための一環として、委託先が自社の分析技術の改善のために利用することはできますか？
個別の事例ごとに判断することになりますが、委託先は、委託元の利用目的の達成に必要な範囲内である
限りにおいて、委託元から提供された個人データを、自社の分析技術の改善のために利用することができます。

?

?

広告配信の委託を受け、これに伴って提供された氏名・メールアドレス等の個人データを利用して広告配信を行い、当該広告に対する本人の反応等の別の個人データを取得しました。取得した別の個人データを自社のために利用することができますか？
個人データの取扱いの委託を受けた者は、当該個人データのみならず、当該個人データを利用して取得した個人データについても、委託された業務以外に取り扱うことはできません。したがって、当該広告に対する本人の反応等の別の個人データを委託先が自社のために利用することはできません。

35

７．その他

個人データの委託?

委託に伴って提供された個人データを、委託先が独自に取得した個人データ又は個人関連情報と本人ごとに突合することはできますか？
個人データの取扱いの委託（法第27条第５項第１号）において、委託先は、委託に伴って委託元から提供された個人データを、独自に取得した個人データ又は個人関連情報と本人ごとに突合することはできません。
したがって、個人データの取扱いの委託に関し、委託先において以下のような取扱いをすることはできません。
事例１）既存顧客のメールアドレスを含む個人データを委託に伴ってSNS運営事業者に提供し、当該SNS運営事業者において提供を受けたメールアドレスを当該SNS運営事業者が保有するユーザーのメールアドレ
スと突合し、両者が一致した場合に当該ユーザーに対し当該SNS上で広告を表示すること
事例２）既存顧客のリストを委託に伴ってポイントサービス運営事業者等の外部事業者に提供し、当該外部事業者において提供を受けた既存顧客のリストをポイント会員のリストと突合して既存顧客を除外した上で、ポイント会員にダイレクトメールを送付すること
これらの取扱いをする場合には、①外部事業者に対する個人データの第三者提供と整理した上で、原則本人の同意を得て提供し、提供先である当該外部事業者の利用目的の範囲内で取り扱うか、②外部事業者に対する委託と整理した上で、委託先である当該外部事業者において本人の同意を取得する等の対応を行う必要があります。

36

７．その他

個人データの委託?

委託に伴って提供された個人データを、委託先が独自に取得した個人データ又は個人関連情報と本人ごとに突合し、新たな項目を付加して又は内容を修正して委託元に戻すことはできますか？
個人データの取扱いの委託（法第27条第５項第１号）において、委託先は、委託に伴って委託元から提供された個人データを、独自に取得した個人データ又は個人関連情報と本人ごとに突合することはできず、委託先で新たな項目を付加して又は内容を修正して委託元に戻すこともできません。
したがって、個人データの取扱いの委託に関し、委託先において以下のような取扱いをすることはできません。
事例１）顧客情報を外部事業者に委託に伴って提供し、当該外部事業者において提供を受けた顧客情報に含まれる住所について、当該外部事業者が独自に取得した住所を含む個人データと突合して誤りのある
住所を修正し、当該顧客情報を委託元に戻すこと
事例２）顧客情報をデータ・マネジメント・プラットフォーム等の外部事業者に委託に伴って提供し、当該外部事業者において、提供を受けた顧客情報に、当該外部事業者が独自に取得したウェブサイトの閲覧履歴
等の個人関連情報を付加し、当該顧客情報を委託元に戻すこと
これらの取扱いをする場合には、委託先において本人の同意を取得する等、付加・修正する情報を委託元に適法に提供するための対応を行う必要があります。なお、事例１）については、当該外部事業者が住所を含む個人データについて、法第27条第２項に従って個人情報保護委員会への届出等を行っており、オプト
アウトによる第三者提供が可能である場合には、あらかじめ本人の同意を取得することなく、当該顧客情報を委託元に戻すことができます。
37

●本資料は、令和２年改正個人情報保護法、政令、規則、ガイドライン、Q&Aの概要をまとめたものであり、事業者の義務や例外規定の全てを記載したものではありません。
●個人情報保護法のより詳細な内容については、個人情報保護委員会のＨＰにおいて、
上記の法令等をご参照下さい。