個人情報の保護に関する法律についてのガイドライン（通則編）（平成 28 年個人情報保護委員会告示第 6 号）の一部改正の新旧対照表○平成 28 年個人情報保護委員会告示第 6 号（個人情報の保護に関する法律についてのガイドライン（通則編））
・改正前欄に掲げる規定の傍線を付し又は破線で囲んだ部分をこれに順次対応する改正後欄に掲げる規定の傍線を付し又は破線で囲んだ部分のように改める。
・改正前欄及び改正後欄に対応して掲げるその標記部分に二重傍線を付した規定（以下「対象規定」という。）は、改正前欄に掲げる対象規定を改正後欄に掲げる対象規定として移動し、改正前欄に掲げる対象規定で改正後欄にこれに対応するものを掲げていないものは、これを削り、改正後欄に掲げる対

改正後

改正前

個人情報の保護に関する法律についてのガイドライン

個人情報の保護に関する法律についてのガイドライン

（通則編）

（通則編）

目次

目次

[1・2 略][1・2 同左]

3

3

個人情報取扱事業者等の義務

個人情報取扱事業者等の義務[3-1～3-4 略][3-1～3-4 同左]

3-5 個人データの漏えい等の報告等（法第 26 条関係）

3-5 個人データの漏えい等の報告等（法第 26 条関係）

3-5-1 「個人データ」の「漏えい等」の考え方

3-5-1 「漏えい等」の考え方[3-5-2～3-5-4 略][3-5-2～3-5-4 同左][3-6～3-11 略][3-6～3-11 同左]

1

象規定で改正前欄にこれに対応するものを掲げていないものは、これを加える。

[4～10 略][4～10 同左]

【付録】

【付録】

【凡例】

【凡例】

[略]

[同左]

[1・2 略][1・2 同左]

3

3

個人情報取扱事業者等の義務

個人情報取扱事業者等の義務[3-1～3-3 同左]

3-4 個人データの管理（法第 22 条～第 25 条関係）

3-4 個人データの管理（法第 22 条～第 25 条関係）

3-4-1 [略]3-4-1 [同左]

3-4-2 安全管理措置（法第 23 条関係）

3-4-2 安全管理措置（法第 23 条関係）

2[3-1～3-3 略]

[略]

[同左]

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損（以下「漏えい等」という。）の防止その他の個人データの安全管理の損（以下「漏えい等」という。）の防止その他の個人データの安全管理のため、必要かつ適切な措置を講じなければならないが、当該措置は、個人

ため、必要かつ適切な措置を講じなければならないが、当該措置は、個人

データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮 データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリ 性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリ
スクに応じて、必要かつ適切な内容としなければならない。

スクに応じて、必要かつ適切な内容としなければならない。

なお、「その他の個人データの安全管理のために必要かつ適切な措置」には、個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取り扱うことを予定しているものの漏えい等を防止するために必要かつ適切な措置も含まれる。
具体的に講じなければならない措置や当該措置を実践するための手法の具体的に講じなければならない措置や当該措置を実践するための手法の例等については、「10（別添）講ずべき安全管理措置の内容」を参照のこ 例等については、「10（別添）講ずべき安全管理措置の内容」を参照のこと。

[3-4-3・3-4-4 略][3-4-3・3-4-4 同左]

3-5 個人データの漏えい等の報告等（法第 26 条関係）

3-5 個人データの漏えい等の報告等（法第 26 条関係）

3-5-1 「個人データ」の「漏えい等」の考え方

3-5-1 「漏えい等」の考え方

3-5-1-1 規則第 7 条の「個人データ」の考え方

[新設]

3

と。

規則第 7 条は、法第 26 条第 1 項に基づく漏えい等の報告の対象となる事
態について定めているところ、規則第 7 条に規定する「個人データ」とは、個人情報取扱事業者が取り扱う個人データをいう。
ただし、同条第 3 号に規定する「個人データ」には、「当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているもの」が含まれる。
そのため、同号に定める事態との関係では、3-5-1-2（「漏えい」の考え方）から 3-5-1-4（「毀損」の考え方）までにおける「個人データ」は、個
人情報取扱事業者が取り扱う個人データに加え、「当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているもの」を含む。
4

同号に定める事態について、詳細は 3-5-3-1（報告対象となる事態）を参照のこと。

3-5-1-2 「漏えい」の考え方

3-5-1-1 「漏えい」の考え方

個人データの「漏えい」とは、個人データが外部に流出することをい個人データの「漏えい」とは、個人データが外部に流出することをいう。

う。

【個人データの漏えいに該当する事例】【個人データの漏えいに該当する事例】

事例 1）個人データが記載された書類を第三者に誤送付した場合

事例 1）個人データが記載された書類を第三者に誤送付した場合

事例 2）個人データを含むメールを第三者に誤送信した場合

事例 2）個人データを含むメールを第三者に誤送信した場合

事例 3）システムの設定ミス等によりインターネット上で個人データの閲事例 3）システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となっていた場合覧が可能な状態となっていた場合

事例 4）個人データが記載又は記録された書類・媒体等が盗難された場合

事例 4）個人データが記載又は記録された書類・媒体等が盗難された場合

事例 5）不正アクセス等により第三者に個人データを含む情報が窃取され事例 5）不正アクセス等により第三者に個人データを含む情報が窃取された場合
事例 6) 個人情報取扱事業者のウェブサイトの入力ページが第三者に改ざ

た場合
[新設]

んされ、ユーザーが当該ページに入力した個人情報が、当該第三者に送信された場合であり、かつ、当該個人情報取扱事業者が、当該ページに入力される個人情報を個人情報データベース等へ入力することを予定していたとき

なお、個人データを第三者に閲覧されないうちに全てを回収した場合

なお、個人データを第三者に閲覧されないうちに全てを回収した場合
5

は、漏えいに該当しない。また、個人情報取扱事業者が自らの意図に基づ は、漏えいに該当しない。また、個人情報取扱事業者が自らの意図に基づき個人データを第三者に提供する場合（※）は、漏えいに該当しない。

き個人データを第三者に提供する場合（※）は、漏えいに該当しない。

（※）個人情報取扱事業者は、個人データの第三者への提供に当た（※）個人情報取扱事業者は、個人データの第三者への提供に当たり、原則としてあらかじめ本人の同意を取得する必要がある。

り、原則としてあらかじめ本人の同意を取得する必要がある。

3-5-1-3 「滅失」の考え方[略]

3-5-1-4 「毀損」の考え方

3-5-1-2 「滅失」の考え方[同左]

3-5-1-3 「毀損」の考え方

[同左]3-5-2 [略]3-5-2 [同左]

3-5-3 個人情報保護委員会への報告（法第 26 条第 1 項関係）

3-5-3 個人情報保護委員会への報告（法第 26 条第 1 項関係）

3-5-3-1 報告対象となる事態

3-5-3-1 報告対象となる事態

[略]

[同左]

規則第 7 条

規則第 7 条

法第 26 条第 1 項本文の個人の権利利益を害するおそれが大きいもの

法第 26 条第 1 項本文の個人の権利利益を害するおそれが大きいもの

として個人情報保護委員会規則で定めるものは、次の各号のいずれかとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。

に該当するものとする。

（1） 要配慮個人情報が含まれる個人データ（高度な暗号化その他の（1）

要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除

個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第 1 項において同じ。）の漏えい、滅失

く。以下この条及び次条第 1 項において同じ。）の漏えい、滅失若しくは毀損（以下この条及び次条第 1 項において「漏えい等」

若しくは毀損（以下この条及び次条第 1 項において「漏えい等」という。）が発生し、又は発生したおそれがある事態という。）が発生し、又は発生したおそれがある事態（2） 不正に利用されることにより財産的被害が生じるおそれがある
個人データの漏えい等が発生し、又は発生したおそれがある事態（3） 不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による個人データ（当該個人情報取扱事業者が（2）

不正に利用されることにより財産的被害が生じるおそれがある

個人データの漏えい等が発生し、又は発生したおそれがある事態（3）

不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態

6[略]取得し、又は取得しようとしている個人情報であって、個人デー
タとして取り扱われることが予定されているものを含む。）の漏
えい等が発生し、又は発生したおそれがある事態（4） 個人データに係る本人の数が千人を超える漏えい等が発生し、（4）又は発生したおそれがある事態

個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態

[略]

[同左]

[（1）・（2） 略][（1）・（2） 同左]（3）不正の目的をもって行われたおそれがある当該個人情報取扱事業者に（3）不正の目的をもって行われたおそれがある個人データの漏えい等が発対する行為による個人データ（当該個人情報取扱事業者が取得し、又生し、又は発生したおそれがある事態（規則第 7 条第 3 号関係）
7

は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、又は発生したおそれがある事態（規則第 7 条第 3 号関係）

「不正の目的をもって行われたおそれがある当該個人情報取扱事業者に「不正の目的をもって」漏えい等を発生させた主体には、第三者のみな対する行為」（以下「不正行為」という。）の主体には、第三者のみなら らず、従業者も含まれる。
ず、従業者も含まれる。また、不正行為の相手方である「当該個人情報取扱事業者」には、当該個人情報取扱事業者が第三者に個人データの取扱いを委託している場合（※3）における当該第三者（委託先）及び当該個人情報取扱事業者が個人データを取り扱うに当たって第三者の提供するサービスを利用している場合における当該第三者も含まれる。
当該個人情報取扱事業者が「取得しようとしている個人情報」に該当す

るかどうかは、当該個人情報取扱事業者が用いている個人情報の取得手段等を考慮して客観的に判断する。
個人情報データベース等へ入力すること等を予定していれば、最終的に個人情報に該当しない統計情報への加工を行うことを予定している場合等
であっても、「個人データとして取り扱われることが予定されている」に該当する。

【報告を要する事例】（※4）
事例 1）不正アクセスにより個人データ（個人情報データベース等へ入力【報告を要する事例】
事例 1）不正アクセスにより個人データが漏えいした場合（※3）

する予定の個人情報を含む。以下、事例 5）まで同じ。）が漏えいした場合
事例 2）ランサムウェア等により個人データが暗号化され、復元できなく
8

事例 2）ランサムウェア等により個人データが暗号化され、復元できなく
なった場合

なった場合

事例 3）個人データが記載又は記録された書類・媒体等が盗難された場合

事例 3）個人データが記載又は記録された書類・媒体等が盗難された場合

事例 4）従業者が顧客の個人データを不正に持ち出して第三者に提供した

事例 4）従業者が顧客の個人データを不正に持ち出して第三者に提供した場合（※5）事例 5）従業者の私用の端末又は取引先の端末が情報を窃取するマルウェ

場合（※4）[新設]

アに感染し、その後、当該端末と個人情報取扱事業者のサーバとの電気通信に起因して、当該サーバも当該マルウェアに感染し、個人データが漏えいした場合
事例 6）個人情報取扱事業者のウェブサイトの入力ページが第三者に改ざんされ、ユーザーが当該ページに入力した個人情報が当該第三者に送信された場合であり、かつ、当該個人情報取扱事業者が、当該ペ[新設]

ージに入力される個人情報を個人情報データベース等へ入力することを予定していたとき
事例 7）個人情報取扱事業者のウェブサイト上に設置された、入力ページ[新設]に遷移するためのリンクやボタンが第三者に改ざんされ、当該リン
クやボタンをユーザーがクリックした結果、偽の入力ページに遷移し、当該ユーザーが当該偽の入力ページに入力した個人情報が当該第三者に送信された場合であり、かつ、当該個人情報取扱事業者
が、当該個人情報取扱事業者の入力ページに入力される個人情報を
個人情報データベース等へ入力することを予定していたとき
事例 8）個人情報取扱事業者が、第三者により宛先の改ざんされた返信用[新設]

封筒を顧客に送付した結果、当該返信用封筒により返信されたアン
9

ケート用紙に記入された個人情報が当該第三者に送付された場合であり、かつ、当該個人情報取扱事業者が、当該個人情報を個人情報
データベース等へ入力することを予定していたとき（4） [略]（4） [同左][（※1）・（※2） 略][（※1）・（※2） 同左]（※3）個人情報取扱事業者が、個人データとして取り扱うことを予定[新設]している個人情報の取扱いを第三者に委託する場合であって、当該第三者（委託先）が当該個人情報を個人データとして取り扱う
予定はないときも、ここにいう「個人情報取扱事業者が第三者に個人データの取扱いを委託している場合」に該当する。

（※4）サイバー攻撃の事案について、「漏えい」が発生したおそれが（※3）サイバー攻撃の事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、次の（ア）からある事態に該当し得る事例としては、例えば、次の（ア）から（オ）が考えられる。

（エ）が考えられる。

（ア）個人データ（個人情報データベース等へ入力する予定の個（ア）個人データを格納しているサーバや、当該サーバにアクセ

人情報を含む。（イ）において同じ。）を格納しているサース権限を有する端末において外部からの不正アクセスにより

バや、当該サーバにアクセス権限を有する端末において外部データが窃取された痕跡が認められた場合からの不正アクセスによりデータが窃取された痕跡が認めら（イ）個人データを格納しているサーバや、当該サーバにアクセ（イ）個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において、情報を窃取する振る舞いが判ス権限を有する端末において、情報を窃取する振る舞いが判明しているマルウェアの感染が確認された場合明しているマルウェアの感染が確認された場合（ウ）マルウェアに感染したコンピュータに不正な指令を送り、（ウ）マルウェアに感染したコンピュータに不正な指令を送り、制御するサーバ（C&C サーバ）が使用しているものとして知ら制御するサーバ（C&C サーバ）が使用しているものとして知られている IP アドレス・FQDN（Fully Qualified Domain Name

れている IP アドレス・FQDN（Fully Qualified Domain Nameの略。サブドメイン名及びドメイン名からなる文字列であの略。サブドメイン名及びドメイン名からなる文字列であり、ネットワーク上のコンピュータ（サーバ等）を特定する

り、ネットワーク上のコンピュータ（サーバ等）を特定する

もの。）への通信が確認された場合もの。）への通信が確認された場合（エ）個人情報の取得手段であるウェブページを構成するファイ[新設]

ルを保存しているサーバや、当該サーバにアクセス権限を有する端末において、外部からの不正アクセスにより、当該フ
ァイルに、当該ウェブページに入力された情報を窃取するような改ざんがされた痕跡が確認された場合（オ）不正検知を行う公的機関、セキュリティ・サービス・プロ（エ）不正検知を行う公的機関、セキュリティ・サービス・プロ

10

れた場合

バイダ、専門家等の第三者から、漏えいのおそれについて、

バイダ、専門家等の第三者から、漏えいのおそれについて、一定の根拠に基づく連絡を受けた場合

一定の根拠に基づく連絡を受けた場合（※5）従業者による個人データ又は個人情報の持ち出しの事案につい（※4）従業者による個人データの持ち出しの事案について、「漏えて、「漏えい」が発生したおそれがある事態に該当し得る事例とい」が発生したおそれがある事態に該当し得る事例としては、例

しては、例えば、個人データ又は個人情報を格納しているサーバ

えば、個人データを格納しているサーバや、当該サーバにアクセ

や、当該サーバにアクセス権限を有する端末において、通常の業ス権限を有する端末において、通常の業務で必要としないアクセ

務で必要としないアクセスによりデータが窃取された痕跡が認め

スによりデータが窃取された痕跡が認められた場合が考えられられた場合が考えられる。

る。

なお、漏えい等が発生し、又は発生したおそれがある個人データ又は個

なお、漏えい等が発生し、又は発生したおそれがある個人データについ暗号化その他の個人の権利利益を保護するために必要な措置」が講じられ の個人の権利利益を保護するために必要な措置」が講じられている場合にている場合については、報告を要しない。

ついては、報告を要しない。

3-5-3-2 報告義務の主体

3-5-3-2 報告義務の主体

漏えい等報告の義務を負う主体は、原則として、漏えい等が発生し、又漏えい等報告の義務を負う主体は、漏えい等が発生し、又は発生したおは発生したおそれがある個人データを取り扱う個人情報取扱事業者であ それがある個人データを取り扱う個人情報取扱事業者である。
る。ただし、規則第 7 条第 3 号に定める事態について漏えい等報告の義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データ
又は個人情報を取り扱い、又は取得しようとしている個人情報取扱事業者である（3-5-1-1（規則第 7 条の「個人データ」の考え方）参照）。
個人データの取扱いを委託している場合においては、委託元と委託先の個人データの取扱いを委託している場合においては、委託元と委託先の

11

人情報について、高度な暗号化等の秘匿化がされている場合等、「高度な て、高度な暗号化等の秘匿化がされている場合等、「高度な暗号化その他

双方が個人データ又は個人情報を取り扱っており、又は取得しようとして 双方が個人データを取り扱っていることになるため、報告対象事態に該当いることになるため、報告対象事態に該当する場合には、原則として委託 する場合には、原則として委託元と委託先の双方が報告する義務を負う。
元と委託先の双方が報告する義務を負う。この場合、委託元及び委託先の この場合、委託元及び委託先の連名で報告することができる。なお、委託連名で報告することができる。なお、委託先が、報告義務を負っている委 先が、報告義務を負っている委託元に当該事態が発生したことを通知した
託元に当該事態が発生したことを通知したときは、委託先は報告義務を免 ときは、委託先は報告義務を免除される（3-5-3-5（委託元への通知による除される（3-5-3-5（委託元への通知による例外）参照）。
また、委託元から委託先にある個人データ（個人データＡ）の取扱いを例外）参照）。
また、委託元から委託先にある個人データ（個人データＡ）の取扱いを委託している場合であって、別の個人データ（個人データＢ）の取扱いを 委託している場合であって、別の個人データ（個人データＢ）の取扱いを委託していないときには、個人データＢについて、委託元において報告対 委託していないときには、個人データＢについて、委託元において報告対象事態が発生した場合であっても、委託先は報告義務を負わず、委託元の 象事態が発生した場合であっても、委託先は報告義務を負わず、委託元のみが報告義務を負うことになる。
12

みが報告義務を負うことになる。

3-5-3-3 速報（規則第 8 条第 1 項関係）

3-5-3-3 速報（規則第 8 条第 1 項関係）

規則第 8 条（第 1 項）

規則第 8 条（第 1 項）

1

1

個人情報取扱事業者は、法第 26 条第 1 項本文の規定による報告をす

個人情報取扱事業者は、法第 26 条第 1 項本文の規定による報告をする場合には、前条各号に定める事態を知った後、速やかに、当該事態る場合には、前条各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握してに関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。次条において同じ。）を報告しなければならない。

いるものに限る。次条において同じ。）を報告しなければならない。

（1） 概要（1） 概要（2） 漏えい等が発生し、又は発生したおそれがある個人データ（前（2） 漏えい等が発生し、又は発生したおそれがある個人データの項

条第 3 号に定める事態については、同号に規定する個人情報を含む。次号において同じ。）の項目目

（3） 漏えい等が発生し、又は発生したおそれがある個人データに係（3） 漏えい等が発生し、又は発生したおそれがある個人データに係

る本人の数

る本人の数

（4） 原因（4） 原因（5） 二次被害又はそのおそれの有無及びその内容（5） 二次被害又はそのおそれの有無及びその内容（6） 本人への対応の実施状況（6） 本人への対応の実施状況（7） 公表の実施状況（7） 公表の実施状況（8） 再発防止のための措置（8） 再発防止のための措置（9） その他参考となる事項（9） その他参考となる事項[同左]（1） [略］（1） [同左］（2）「漏えい等が発生し、又は発生したおそれがある個人データ（前条第（2）「漏えい等が発生し、又は発生したおそれがある個人データの項目」

13

[略]

3 号に定める事態については、同号に規定する個人情報を含む。次号において同じ。）の項目」

漏えい等が発生し、又は発生したおそれがある個人データ（規則第 7 条
第 3 号に定める事態については、同号に規定する個人情報を含む。）の項

漏えい等が発生し、又は発生したおそれがある個人データの項目について、媒体や種類（顧客情報、従業員情報の別等）とともに報告する。

目について、媒体や種類（顧客情報、従業員情報の別等）とともに報告する。

（3）「漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数」（3）「漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数」

漏えい等が発生し、又は発生したおそれがある個人データ（規則第 7 条
第 3 号に定める事態については、同号に規定する個人情報を含む。）に係漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数について報告する。

る本人の数について報告する。

[（4）～（9） 同左］[3-5-3-4・3-5-3-5 略][3-5-3-4・3-5-3-5 同左]

3-5-4 本人への通知（法第 26 条第 2 項関係）

3-5-4 本人への通知（法第 26 条第 2 項関係）

[略]

[同左]

3-5-4-1 通知対象となる事態及び通知義務の主体

3-5-4-1 通知対象となる事態及び通知義務の主体

個人情報取扱事業者は、報告対象事態を知ったときは、本人への通知を

個人情報取扱事業者は、報告対象事態を知ったときは、本人への通知を行わなければならない。
通知義務を負う主体は、原則として、漏えい等が発生し、又は発生した
おそれがある個人データを取り扱う個人情報取扱事業者である。ただし、
規則第 7 条第 3 号に定める事態について本人への通知の義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データ又は個人情報を取り扱い、又は取得しようとしている個人情報取扱事業者である（3-5-1-1（規則第 7 条の「個人データ」の考え方）参照）。

行わなければならない。
通知義務を負う主体は、漏えい等が発生し、又は発生したおそれがある
個人データを取り扱う個人情報取扱事業者である。

14[（4）～（9） 略］

個人データの取扱いを委託している場合においては、委託元と委託先の個人データの取扱いを委託している場合において、委託先が、報告義務

双方が個人データ又は個人情報を取り扱い、又は取得しようとしているこ を負っている委託元に 3-5-3-3（1）から（9）までに掲げる事項のうち、そとになるため、報告対象事態に該当する場合には、原則として委託元と委 の時点で把握しているものを通知したときは、委託先は報告義務を免除さ
託先の双方が本人への通知を行う義務を負う。委託先が、報告義務を負っれるとともに、本人への通知義務も免除される。

ている委託元に 3-5-3-3（1）から（9）までに掲げる事項のうち、その時点で把握しているものを通知したときは、委託先は報告義務を免除されるとともに、本人への通知義務も免除される。なお、委託元への通知を行った
委託先は、必要に応じて委託元による本人への通知に協力することが求め
られる。

[略]

3-5-4-2 [同左]15

3-5-4-2

3-5-4-3 通知の内容

3-5-4-3 通知の内容

本人へ通知すべき事項については、漏えい等報告における報告事項のう本人へ通知すべき事項については、漏えい等報告における報告事項のうち、「概要」（規則第 8 条第 1 項第 1 号）、「漏えい等が発生し、又は発

ち、「概要」（規則第 8 条第 1 項第 1 号）、「漏えい等が発生し、又は発生したおそれがある個人データ（前条第 3 号に定める事態については、同生したおそれがある個人データの項目」（同項第 2 号）、「原因」（同項号に規定する個人情報を含む。次号において同じ。）の項目」（同項第 2

第 4 号）、「二次被害又はそのおそれの有無及びその内容」（同項第 5 号）

号）、「原因」（同項第 4 号）、「二次被害又はそのおそれの有無及びそ及び「その他参考となる事項」（同項第 9 号）（※）に限られている。この内容」（同項第 5 号）及び「その他参考となる事項」（同項第 9 号）

れらの事項が全て判明するまで本人への通知をする必要がないというもの（※）に限られている。これらの事項が全て判明するまで本人への通知を ではなく、本人への通知は、「当該事態の状況に応じて速やかに」行う必する必要がないというものではなく、本人への通知は、「当該事態の状況に応じて速やかに」行う必要がある（3-5-4-2（通知の時間的制限）参要がある（3-5-4-2（通知の時間的制限）参照）。

照）。
本人への通知については、「本人の権利利益を保護するために必要な範囲において」行うものである。
また、当初報告対象事態に該当すると判断したものの、その後実際には本人への通知については、「本人の権利利益を保護するために必要な範囲において」行うものである。
また、当初報告対象事態に該当すると判断したものの、その後実際には報告対象事態に該当していなかったことが判明した場合には、本人への通 報告対象事態に該当していなかったことが判明した場合には、本人への通知が「本人の権利利益を保護するために必要な範囲において」行うもので 知が「本人の権利利益を保護するために必要な範囲において」行うものであることに鑑み、本人への通知は不要である。

あることに鑑み、本人への通知は不要である。

[略]

[同左]

[3-5-4-4・3-5-4-5 同左]
16[3-5-4-4・3-5-4-5 略][3-6・3-7 略][3-6・3-7 同左]

3-8

3-8

保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止等（法第 32 条～第 39 条関係）

保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止等（法第 32 条～第 39 条関係）

3-8-1 保有個人データに関する事項の公表等（法第 32 条関係）

3-8-1 保有個人データに関する事項の公表等（法第 32 条関係）

（1）保有個人データに関する事項の本人への周知（法第 32 条第 1 項関（1）保有個人データに関する事項の本人への周知（法第 32 条第 1 項関

係）

[略]

係）

[同左]

個人情報取扱事業者は、保有個人データについて、次の①から⑤までの

個人情報取扱事業者は、保有個人データについて、次の①から⑤までの情報を本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を 情報を本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。以下同じ。）（※1）に置かなければならない。

[①～③ 略][①～③ 同左]④保有個人データの安全管理のために講じた措置（ただし、本人の知り④保有個人データの安全管理のために講じた措置（ただし、本人の知り得る状態に置くことにより当該保有個人データの安全管理に支障を及得る状態に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。）

ぼすおそれがあるものを除く。）

個人情報取扱事業者は、法第 23 条の規定により保有個人データの安

個人情報取扱事業者は、法第 23 条の規定により保有個人データの安全管理のために講じた措置の内容を本人の知り得る状態に置かなけれ全管理のために講じた措置の内容を本人の知り得る状態に置かなければならない。

ばならない。

ただし、当該保有個人データの安全管理に支障を及ぼすおそれがあるものについては、その必要はない。

ただし、当該保有個人データの安全管理に支障を及ぼすおそれがあるものについては、その必要はない。

当該安全管理のために講じた措置は、事業の規模及び性質、保有個

当該安全管理のために講じた措置は、事業の規模及び性質、保有個人データの取扱状況（取り扱う保有個人データの性質及び量を含

人データの取扱状況（取り扱う保有個人データの性質及び量を含む。）、保有個人データを記録した媒体等に起因するリスクに応じむ。）、保有個人データを記録した媒体等に起因するリスクに応じて、必要かつ適切な内容としなければならない。このため、当該措置て、必要かつ適切な内容としなければならない。このため、当該措置の内容は個人情報取扱事業者によって異なり、本人の知り得る状態にの内容は個人情報取扱事業者によって異なり、本人の知り得る状態に置く安全管理のために講じた措置の内容についても個人情報取扱事業

置く安全管理のために講じた措置の内容についても個人情報取扱事業者によって異なる。

者によって異なる。

なお、当該安全管理のために講じた措置には、個人情報取扱事業者

17含む。以下同じ。）（※1）に置かなければならない。

が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が保有個人データとして取り扱うことを予定しているものの漏えい等を防止するために講じた措置も含まれる。
なお、本人の知り得る状態については、本人の求めに応じて遅滞なする場合を含むため、講じた措置の概要や一部をホームページに掲載

く回答する場合を含むため、講じた措置の概要や一部をホームページ

し、残りを本人の求めに応じて遅滞なく回答を行うといった対応も可に掲載し、残りを本人の求めに応じて遅滞なく回答を行うといった対能であるが、例えば、「個人情報の保護に関する法律についてのガイ応も可能であるが、例えば、「個人情報の保護に関する法律について

ドライン（通則編）」に沿って安全管理措置を実施しているといったのガイドライン（通則編）」に沿って安全管理措置を実施していると内容の掲載や回答のみでは適切ではない。

いった内容の掲載や回答のみでは適切ではない。

[略]

[同左]
18

本人の知り得る状態については、本人の求めに応じて遅滞なく回答

⑤ [略]

⑤

（2） [略]（2） [同左][3-8-2～3-8-9 略][3-8-2～3-8-9 同左][3-9～3-11 略][3-9～3-11 同左][4～9 略][4～9 同左]

1010 （別添）講ずべき安全管理措置の内容（別添）講ずべき安全管理措置の内容[同左]

法第 23 条に定める安全管理措置として、個人情報取扱事業者が具体的に

法第 23 条に定める安全管理措置として、個人情報取扱事業者が具体的に講じなければならない措置や当該措置を実践するための手法の例等を次に講じなければならない措置や当該措置を実践するための手法の例等を次に示す（※1）。

示す。

安全管理措置を講ずるための具体的な手法については、個人データが漏安全管理措置を講ずるための具体的な手法については、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量 規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリスクに応じ を含む。）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容とすべきものであるため、必ずしも次に掲げる例 て、必要かつ適切な内容とすべきものであるため、必ずしも次に掲げる例
示の内容の全てを講じなければならないわけではなく、また、適切な手法 示の内容の全てを講じなければならないわけではなく、また、適切な手法

なお、中小規模事業者（※2）については、その他の個人情報取扱事業者

はこれらの例示の内容に限られない。
なお、中小規模事業者（※1）については、その他の個人情報取扱事業者と同様に、法第 23 条に定める安全管理措置を講じなければならないが、取 と同様に、法第 23 条に定める安全管理措置を講じなければならないが、取り扱う個人データの数量及び個人データを取り扱う従業者数が一定程度に り扱う個人データの数量及び個人データを取り扱う従業者数が一定程度にとどまること等を踏まえ、円滑にその義務を履行し得るような手法の例を とどまること等を踏まえ、円滑にその義務を履行し得るような手法の例を示すこととする。もっとも、中小規模事業者が、その他の個人情報取扱事 示すこととする。もっとも、中小規模事業者が、その他の個人情報取扱事業者と同様に「手法の例示」に記述した手法も採用することは、より望ま 業者と同様に「手法の例示」に記述した手法も採用することは、より望ましい対応である。

（※1）法第 23 条に定める「その他の個人データの安全管理のために必要かつ適切な措置」には、個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取り扱うことを予定してしい対応である。

[新設]

19

はこれらの例示の内容に限られない。

いるものの漏えい等を防止するために必要かつ適切な措置も含まれる。そのため、次に掲げる措置及び例示における「個人データ」には、当該個人情報も含まれる。
（※2）「中小規模事業者」とは、従業員（※3）の数が 100 人以（※1）「中小規模事業者」とは、従業員（※2）の数が 100 人以

下の個人情報取扱事業者をいう。ただし、次に掲げる者を除

下の個人情報取扱事業者をいう。ただし、次に掲げる者を除く。

く。

・その事業の用に供する個人情報データベース等を構成する・その事業の用に供する個人情報データベース等を構成する

個人情報によって識別される特定の個人の数の合計が過去 6

個人情報によって識別される特定の個人の数の合計が過去 6

月以内のいずれかの日において 5,000 を超える者

月以内のいずれかの日において 5,000 を超える者
・委託を受けて個人データを取り扱う者（※3）中小企業基本法（昭和 38 年法律第 154 号）における従業（※2）中小企業基本法（昭和 38 年法律第 154 号）における従業員をいい、労働基準法（昭和 22 年法律第 49 号）第 20 条の適員をいい、労働基準法（昭和 22 年法律第 49 号）第 20 条の適用を受ける労働者に相当する者をいう。ただし、同法第 21 条

用を受ける労働者に相当する者をいう。ただし、同法第 21 条の規定により同法第 20 条の適用が除外されている者は除く。

の規定により同法第 20 条の適用が除外されている者は除く。

[10-1～10-7 略][10-1～10-7 同左]【付録】 [略]【付録】 [同左]

備考 表中の[ ]の記載は注記である。

20

・委託を受けて個人データを取り扱う者