令 和 ５ 年 ３ 月 31 日
個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン」に関するＱ＆Ａの更新
委員会に寄せられたご意見等を踏まえ、個人情報の保護と適正かつ効果的な活用の促進の観点から検討を行い、「『個人情報の保護に関する法律についてのガイドライン』に関するＱ＆Ａ」について、以下のとおり更新いたしました。
このほか、個人情報の保護に関する法律（平成 15 年法律第 57 号）の一部を改正するデジタル社会の形成を図るための関係法律の整備に関する法律（令和３年法律第 37 号）第 51 条の規定が、令和５年４月１日に施行されることに伴う所要の更新等を行っています。
以上
１

ガイドライン（通則編）
１-１ 定義（法令に基づく場合）
Ｑ１－63

個人情報保護法におけるいくつかの義務の例外規定として「法令に基づく場合」というものがありますが、ガイドライン（通則編）に記載されたもの（刑事訴訟法
第 197 条第２項に基づく警察の捜査関係事項照会への対応等）の他にどのようなものがありますか。また、「法令」とは、法律以外も含まれるのですか。
（参考）「法令に基づく場合」という例外規定が関連する主な条文
・法第 18 条第３項第１号（利用目的による制限）・法第 20 条第２項第１号（要配慮個人情報の取得）
・法第 27 条第１項第１号（第三者提供の制限）
・法第 28 条（外国にある第三者への提供の制限）
・法第 29 条（第三者提供に係る記録の作成等）
・法第 30 条（第三者提供を受ける際の確認等）
・法第 31 条（個人関連情報の第三者提供の制限等）
・法第 41 条第６項（個人情報である仮名加工情報の第三者提供の制限等）
・法第 42 条第１項（個人情報でない仮名加工情報の第三者提供の制限等）
Ａ１－63 次のようなものが考えられます。なお、「法令」には、「法律」のほか、法律に基づいて制定される「政令」「府省令」や地方公共団体が制定する「条例」などが含まれますが、一方、行政機関の内部における命令や指示である「訓令」や「通達」は、「法令」に含まれません。

1

○少年法第６条の４に基づく触法少年の調査に必要な質問や調査関係事項照会等○少年法第６条の５に基づく令状による触法少年の調査○金融商品取引法第 210 条、第 211 条等に基づく証券取引等監視委員会の職員による犯則事件の調査への対応○犯罪による収益の移転防止に関する法律第４条に基づく取引時確認への対応○犯罪による収益の移転防止に関する法律第８条第１項に基づく特定事業者による疑わしい取引の届出○所得税法第 225 条第１項等による税務署長に対する支払調書等の提出○国税通則法第 74 条の２に基づく税関の職員による消費税に関する調査への対応○関税法第 105 条第１項各号に基づく税関の職員による関税法に基づく質問検査への対応○国税通則法第 131 条、関税法第 119 条等に基づく税務署等及び税関の職員による犯則事件の調査への対応○国税徴収法第 141 条に基づく税務署等及び税関の職員による滞納処分のための調査への対応○地方税法第 20 条の 11 に基づく徴税吏員による地方税に関する調査に係る協力要請
への対応○地方税法第 73 条の８第１項、地方税法第 353 条第１項に基づく道府県又は市町村の徴税吏員等による不動産取得税・固定資産税に関する調査に係る質問検査への対応○刑事訴訟法第 507 条による裁判執行関係事項照会への対応○刑事訴訟法第 279 条、心神喪失等の状態で重大な他害行為を行った者の医療及び観察等に関する法律第 24 条第３項による裁判所からの照会への対応○民事訴訟法第 186 条、第 226 条、家事事件手続法第 62 条による裁判所からの文書送付や調査の嘱託への対応○家事事件手続法第 58 条に基づく家庭裁判所調査官による事実の調査への対応○犯罪被害財産等による被害回復給付金の支給に関する法律第 28 条による検察官や被害回復事務管理人からの照会への対応○児童虐待の防止等に関する法律第６条第１項に基づく児童虐待に係る通告○統計法第 13 条による国勢調査などの基幹統計調査に対する報告○統計法第 30 条及び第 31 条による国勢調査などの基幹統計調査に関する協力要請への対応○会社法第 381 条第３項による親会社の監査役の子会社に対する調査への対応○会社法第 396 条及び金融商品取引法第 193 条の２の規定に基づく財務諸表監査への対応〇感染症の予防及び感染症の患者に対する医療に関する法律第 15 条第１項に基づく保健所が行う積極的疫学調査に対応する場合

2

〇電気事業法第 34 条第１項に基づき、災害発生時の停電復旧対応の迅速化等のため、経済産業大臣の求めに応じて、一般送配電事業者又は配電事業者が、関係行政機関又は地方公共団体の長に対して必要な情報を提供する場合〇空家等対策の推進に関する特別措置法第 10 条第３項に基づき、市町村長からの求めに応じて、電気、ガス等の供給事業者等が、市町村長に対して空家等の所有者等に関する情報を提供する場合〇生活保護法第 29 条に基づき、保護の決定若しくは実施等のために必要があるときに、要保護者等及びその扶養義務者の資産、収入及び支出の状況等について、保護の実施機関及び福祉事務所長からの求めに応じて報告する場合〇賃金の支払の確保等に関する法律第 12 条の２第１項に基づく要請に応じて、労働基準監督署長に対して情報を提供する場合（令和４年５年４３月更新）
１-４ 個人情報の取得（法第 20 条・第 21 条関係）
（適正取得）
Ｑ４－５

ダークウェブ（専用のウェブブラウザ等を利用しないとアクセスできないウェブ）上で掲載・取引されている個人情報を当該ダークウェブからダウンロード等により取得する場合、偽りその他不正の手段による個人情報の取得（法第 20 条第１項）に該当しますか。
Ａ４－５

ダークウェブ上で掲載・取引されている個人情報は、掲載した者が偽りその他不正の手段により取得した個人情報である蓋然性が高く、また、掲載した者が法第 27 条第１項に違反してこれをダークウェブ上で提供している蓋然性が高いといえます。このため、個人情報取扱事業者が、ダークウェブ上で掲載・取引されている個人情報を当該ダークウェブからダウンロード等により取得することは、偽りその他不正の手段による個人情報の取得に該当するものとして、法第 20 条第１項に違反するおそれがあります。
ただし、個別の事案ごとに判断することとなりますが、例えば、二次被害防止のために自社から漏えいした個人情報を含むデータをダークウェブから取得する場合、社会的に影響のあるサイバー攻撃の解析等のために研究機関等が必要最小限の範囲で個人情報を含むデータをダークウェブから取得する場合には、法第 20 条第１項には違反しないものと考えられます（ただし、その取得したデータに上記の取扱いの必要性が認められない個人情報も含まれていた場合には、直ちにこれを削除する必要があります）。他方、みだりに個人情報を含むデータをダークウェブから取得する場合には、法第 20 条第１項に違反するおそれがあると考えられます。
（令和５年３月追加）

3

１-６ 個人データの漏えい等の報告等（第 26 条関係）（令和３年９月追加）（報告の対象となる事態）
Ｑ６－６

本人が第三者の作成した個人情報取扱事業者の正規のウェブサイトに偽装したウェブサイト（いわゆるフィッシングサイト）にアクセスし、当該個人情報取扱事業者が取り扱う個人データと同じ内容の情報（ID やパスワード等）を入力した場合、報告対象となりますか。また、偽装したウェブサイトに本人が入力した当該情報を利用して、第三者が本人になりすまし、個人データが表示される当該個人情報取扱事業者の正規のウェブサイトにログインした場合、報告対象となりますか。
Ａ６－６

本人が第三者に個人情報取扱事業者の取り扱う個人データと同じ内容の情報を詐取されておりたのみでは、個人情報取扱事業者から第三者に当該個人情報取扱事業者の取り扱う個人データが漏えいしていないことから、当該個人情報取扱事業者による報告対象にならないと考えられます。
なお、正規のウェブサイトを運営する個人情報取扱事業者においても、本人が個人情報を詐取される等の被害に遭わないよう、対策を講じる必要があると考えられます。
ただし、個別の事案ごとに判断されるものの、偽装したウェブサイトに本人が入力した個人情報取扱事業者が取り扱う個人データと同じ内容の情報（ID やパスワード等）を利用して、第三者が本人になりすまし、個人データが表示される当該個人情報取扱事業者の正規のウェブサイトにログインした場合には、一般的には、「不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態」が生じたものとして、報告対象となると考えられます。
（令和５年３月更新）
２

ガイドライン（外国にある第三者への提供編）

Ｑ12－18 提供先の外国にある第三者が施行規則第 16 条に定める基準に適合する体制を整備していることを根拠として、事前の本人の同意を得ずに当該外国にある第三者に対して個人データの提供を行った場合、提供先の外国にある第三者による相当措置の実施状況について、当該外国に所在する提供元のグループ企業が提供先の第三者を訪問することや提供先の第三者から書面の提出を受けること等により、契約等の履行状況等を確認することで足りますか。
Ａ12－18

提供先の外国にある第三者による相当措置の実施状況については、当該外国にある第三者に提供する個人データの内容や規模に応じて、適切かつ合理的な方法により、定期的に確認する必要があります（施行規則第 18 条第１項第１号）。具体的な確認の方法については、個別の事案における具体的な事情も踏まえて決定すべきものですが、当該外国に所在する提供元のグループ企業が、提供先の第三者を訪問することや提供先の第三4者から書面の提出を受けること等により、契約等の履行状況等を確認した上で、提供元が、当該グループ企業から書面により相当措置の実施状況の共有を受けて確認することも、適切かつ合理的な方法に該当し得ると考えられます。
（令和５年３月追加）

5