別紙「個人情報の保護に関する法律施行規則の一部を改正する規則（案）」、「個人情報の保護に関する法律についてのガイドライン（通則編）の一部を改正する告示（案）」、「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）の一部を改正する告示（案）」、「個人情報の保護に関する法律についてのガイド
ライン（行政機関等編）の一部を改正する告示（案）」及び「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）の一部を改正する告示（案）」に関する意見募集において提出された御意見及びそれらに対する考え方
該当箇所
⚫
1

-

寄せられた御意見

御意見に対する考え方「個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人「保有個人データの安全管理のために講じた措置」

情報取扱事業者が個人データとして取り扱うことを予定しているもの」についても安全管理措置（施行令第 10 条第 1 号）には、個人情報取扱事を講じるとされている。この場合、法 32 条の保有個人データの公表をする必要はないとの理解業者が取得し、又は取得しようとしている個人情報でで良いのか。例えば、本人が個人情報を入力してから事業者のサーバに入るまでの間（取得すあって、当該個人情報取扱事業者が保有個人データ

るまでの間）の経路に講じている安全管理措置は、取得した後に個人データ（保有個人デーとして取り扱うことを予定しているものの漏えい等を防止タ）となったものに対して講じた措置ではないので公表等しなくて良いことになるはずである。

するために講じた措置も含まれるため、当該措置につい

全般

【匿名】

ても本人の知り得る状態に置かなければなりません。ガイドライン（通則編）案について、御意見を踏まえ、次のとおり修正いたします（下線部が修正箇所）。
【修正前】（ガイドライン（通則編）案 3-8-1④）
個人情報取扱事業者は、法第 23 条の規定により保有個人データの安全管理のために講じた措置の内容を本人の知り得る状態に置かなければならない。
ただし、当該保有個人データの安全管理に支障を及ぼすおそれがあるものについては、その必要はない。

1

該当箇所

寄せられた御意見

御意見に対する考え方
当該安全管理のために講じた措置は、事業の規模及び性質、保有個人データの取扱状況（取り扱う保有
個人データの性質及び量を含む。）、保有個人データを記録した媒体等に起因するリスクに応じて、必要かつ適切な内容としなければならない。このため、当該措置の内容は個人情報取扱事業者によって異なり、本人の知り得る状態に置く安全管理のために講じた措置の内容についても個人情報取扱事業者によって異なる。
なお、本人の知り得る状態については、本人の求めに応じて遅滞なく回答する場合を含むため、講じた措置の概要や一部をホームページに掲載し、残りを本人の求めに応じて遅滞なく回答を行うといった対応も可能であるが、例えば、「個人情報の保護に関する法律についてのガイドライン（通則編）」に沿って安全管理措置を実施しているといった内容の掲載や回答のみでは
適切ではない。
【修正後】（ガイドライン（通則編）案 3-8-1④）
個人情報取扱事業者は、法第 23 条の規定により保有個人データの安全管理のために講じた措置の内容を本人の知り得る状態に置かなければならない。

2

該当箇所

寄せられた御意見

御意見に対する考え方
ただし、当該保有個人データの安全管理に支障を及ぼすおそれがあるものについては、その必要はない。
当該安全管理のために講じた措置は、事業の規模及び性質、保有個人データの取扱状況（取り扱う保有
個人データの性質及び量を含む。）、保有個人データを記録した媒体等に起因するリスクに応じて、必要かつ適切な内容としなければならない。このため、当該措置の内容は個人情報取扱事業者によって異なり、本人の知り得る状態に置く安全管理のために講じた措置の内容についても個人情報取扱事業者によって異なる。
なお、当該安全管理のために講じた措置には、個人情報取扱事業者が取得し、又は取得しようとしている個
人情報であって、当該個人情報取扱事業者が保有
個人データとして取り扱うことを予定しているものの漏えい等を防止するために講じた措置も含まれる。
本人の知り得る状態については、本人の求めに応じて遅滞なく回答する場合を含むため、講じた措置の概要
や一部をホームページに掲載し、残りを本人の求めに応じて遅滞なく回答を行うといった対応も可能であるが、例えば、「個人情報の保護に関する法律についてのガイドライン（通則編）」に沿って安全管理措置を

3

該当箇所

寄せられた御意見

御意見に対する考え方
実施しているといった内容の掲載や回答のみでは適切
ではない。

2

-

意見提出期限の１週間前になっても、改正規則案に係る委員会の議事録が公開されてい本ガイドラインの改正案において、改正後の規則の下ないのは問題ではないか。委員会での議論状況が不明なまま意見募集をしても、十分な意見で新たに報告対象事態に該当することとなる具体的な提出は受けられないのではないか。

事例を記載するなどしており、本意見募集の内容につ【匿名】

いては、本意見募集に当たって公示している資料により十分に御理解いただけるものと考えております。なお、委員会の議事概要、議事録は、委員会内の手続きを経た上で公表するものですが、議事概要は９月 22 日の時点で掲載しているところです。

3-

外国の個人情報保護の水準を事例収集し、最も厳しい基準にあわせてください。

本意見募集は本規則案及び本ガイドライン案の改正【個人】

案の内容に関するものですので、御意見は、本意見募集の対象外と考えます。

⚫
4

個人情報の保護に関する法律施行規則の一部を改正する規則（案）について

第７条第３
号

現行の「不正の目的をもって行われたおそれがある」と改正後の「不正の目的をもって行われ 御指摘の改正部分は、不正行為の相手方が「個人たおそれがある当該個人情報取扱事業者に対する行為による」については，実質的な違いが情報取扱事業者」である必要があることを明確にする

何かありますでしょうか。

ものであり、当該部分の規律内容を変更するものでは

条文中のかっこ書きの追加の改正についてはガイドラインでも詳しく解説されており理解できるのですが，上記の「当該個人情報取扱事業者に対する行為による」の追加については，それを追加することとなった理由と現行規定と追加後で実質的にどう変わるのかが不明でしたので，
ガイドラインに追記等いただくか，それには及ばない場合は，意見募集の結果においてご回答
いただけますでしょうか。
4ありません。

該当箇所寄せられた御意見

御意見に対する考え方
【匿名】

5

第７条第３
号

（２）以下の委員会が公表している資料 25 ページには、個人データについてだけ漏洩の法第 26 条第１項本文は、「その取り扱う…個人デー

報告をしなければならないとされている。そのため、個人情報保護委員会としては、法２６条は タの安全の確保に係る事態であって個人の権利利益
個人データについてのみ適用されると解釈してきたのではないか。それにもかかわらず、「個人情を害するおそれが大きいもの」を報告対象事態として定報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事

めることを施行規則に委任しているところ、「個人情報業者が個人データとして取り扱うことを予定しているもの」についても漏洩の報告を義務づけるこ

取扱事業者が取得し、又は取得しようとしている個人とは個人情報保護法 26 条の委任範囲を超えている。委任の範囲を超えていないのであれば、情報であって、当該個人情報取扱事業者が個人デー

その理由を明らかにされたい。

タとして取り扱うことを予定しているもの」が「不正の目https://www.ppc.go.jp/files/pdf/kihon_202304.pdf

的をもって行われたおそれがある当該個人情報取扱事【匿名】

業者に対する行為」により漏えい等した場合、当該個人情報取扱事業者が取り扱う個人データの安全の確保に係る事態が生じており、かつ、当該事態は本人の権利利益に対する影響が大きいと考えられることから、法の委任の範囲内と考えます。

6

第７条第３
号

改正内容に関しては賛成ですが、記載の言葉がすこし修正したほうがいいのではないかと思（１）本規則案第 7 条第３号が、法第 16 条第 3

います。改正案において「当該個人情報取扱事業者に対する行為による個人データ（当該個項の「個人データ」の定義を拡張するものではないこと

人情報取扱事業者が取得し、または取得しようとしている個人情報であって、個人データとして は、同号の記載から御理解いただけるものと考えますの取り扱われることが予定されているものを含む。）」とされている。

で、原案どおりとさせていただきます。

(1)個人データの用語は、法 16 条で定義されているので、その定義を拡張するような記載を規則等に設けるべきではないのではないか。個人データの後に括弧があるとその前の個人データ（２）他の法令においても、「に対する行為」、「行為を説明している内容に思える。

による」との語が用いられており、原案どおりとさせていた(2)「当該個人情報取扱事業者に対する行為による」が少し日本語が不自然に思える。
5

だきます。

該当箇所

寄せられた御意見

御意見に対する考え方(変更案)
不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による個
人データ（当該個人情報取扱事業者が取得し、または取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、又は発生したおそれがある事態
前記の変更に伴い関連するガイドライン等の改正案の修正。
例えば、「また、法第 26 条に関し、規則第７条第３号関係に規定する「個人データ」には、「当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているもの」が含まれる。」などの修正など
【個人】
7

第７条第３
号

[意見]

御指摘の事案において、「サイバーアタック」により当該

個人情報取扱事業者が、個人データとして取り扱う予定で、これから個人情報を取得しよ 個人情報取扱事業者が取得しようとしている個人情
うとしていたものの、まだ取得は行っていない段階で、当該個人情報取扱事業者に対して不正報であって、個人データとして取り扱われることが予定さの目的をもった第三者によるサイバーアタックが当該個人情報取扱事業者に対して行われたとれているものが漏えい等し又はそのおそれが生じた場合する。

には、報告を要します。他方、個人情報が漏えい等しこの場合は、「個人データ（・・・中略・・・）の漏えい等が・・・発生したおそれがある事態」に ておらず、漏えい等したおそれもないのであれば、報告をは該当しないという理解でよいか。

要しません。

[理由]・ 今回の改定案で漏えい等報告の対象が拡大するので、対象の外延を明確化しておきたい、というのが本意見の趣旨。
6

該当箇所

寄せられた御意見

御意見に対する考え方

・ 規定の文言案は「発生した」である以上、サイバーアタックを受けた個人情報取扱事業者
が技術情報（個人情報を含まないものとする。）を漏えい等したとしても、その時点では当該個人情報取扱事業者が個人情報を未取得であれば、漏えい等報告の義務は発生していないと考えるのが自然と思うが、その理解でよいかを確認したい。
【匿名】
8

第７条第３
号

今回の改正により、例えば、氏名等が書いてあるアンケート用紙を従業員が落としてしまっ

個別の事案に応じて判断する必要がありますが、従業て、それが見つからない場合には、アンケート用紙を個人データとすることが予定されていれば報者が誤ってアンケート用紙を落とし、これが見つからない

告が必要ないとの理解でよいのか。見つからないということは、誰かが拾って不正に利用するおそことのみをもって、直ちに「不正の目的をもって行われたれがあるので、規則７条３号に該当するように見える。もっとも、仮にそうだとしても、従業員がおそれがある当該個人情報取扱事業者に対する行為

落としたのを拾われただけであり、個人情報取扱事業者に対する行為ではないので、報告は必による…漏えい等が発生し、又は発生したおそれがある

要ないと理解して良いのか。

事態」に該当するものではないと考えられます。
【個人】

9

第７条第３
号

規則の附則として令和六年四月一日とされていますが、それ以前に発生し、同日以降に気前段について、法第 26 条第 1 項は「個人情報保護が付いたものについては対象外としてほしいです。そうしないと、いまから４月１日の間でも漏え

委員会規則で定めるものが生じたとき」の報告義務をい等報告をするためのシステムの整備等を行わなければなりません。せめて４月１日以降の攻規定しているため、本規則案の規定により新たに報告

撃による漏えいに限定してほしいです。

対象事態となった漏えい等事案については、本規則案の施行日である令和 6 年 4 月 1 日以降に漏えい等

また、「予定されているもの」ではなく、客観的に「想定されているもの」の方が良いのではないでしょうか。

又はそのおそれが生じたものに限って同項に基づく報告義務が課されます。

【匿名】

7

該当箇所

寄せられた御意見

御意見に対する考え方
後段について、他の法令においても、「予定されているもの」との語が用いられており、原案どおりとさせていただ
きます。

10

第７条第３

（意見）

個別の事案に応じて判断する必要がありますが、御指号

個人情報取扱事業者Ａ（以下「事業者Ａ」）が、個人情報取扱事業者Ｂ（以下「事摘の事案において、事業者 A が事業者 B に漏えい等業者Ｂ」）から個人情報の提供を受け又は受けようとする場合、提供元となる事業者Ｂに対した個人情報の取扱いを委託しておらず、また、事業する第三者の行為により事業者Ｂから当該個人情報が漏えい等したケースは、事業者Ａに対者 A が漏えい等した個人情報を取り扱うにあたって事する行為ではないため、事業者Ａに報告義務は無いという理解でよいか。

業者 B の提供するサービスを利用していないのであれ※事業者Ａと事業者Ｂとの間は業務委託の関係にないケースを想定

ば、通常、事業者 B に対する行為は事業者 A「に対（理由）する行為」に該当しないと考えられます。

解釈の明確化のため【一般社団法人日本クレジット協会】
11

・第７条第

（意見）

本ガイドライン（通則編）案 3-5-3-1(3)【報告を要３号「取得しようとしている個人情報」に該当するかどうかは、（中略）個人情報の取得手段等する事例】の事例 6）、事例 7）及び事例 8）におい・ガイドラインを考慮して客観的に判断する」とあるが、例示をお示し頂きたい。

（通則編）

（理由）

3-5-3-1

解釈の明確化のためて、「取得しようとしている個人情報」に該当する事例をお示ししています。

【一般社団法人日本クレジット協会】
12

第７条第３

（意見）

本ガイドライン（通則編）案 3-5-3-1(3)【報告を要号「当該個人情報取扱事業者に対する行為による」とあるが、例示をお示し頂きたい。

する事例】において、「当該個人情報取扱事業者に対（理由）する行為による」に該当する事例をお示ししています。

解釈の明確化のため
8

該当箇所寄せられた御意見

御意見に対する考え方【一般社団法人日本クレジット協会】
13

第７条第３

（意見）

個別の事案に応じて判断する必要がありますが、個人

号「当該個人情報取扱事業者に対する行為による」について、顧客が個人情報取扱事業者

情報取扱事業者が個人情報を取得するまでに行われに対して作成した申込書等が送付され、当該事業者に届く前までの間に発生した不正の行為

た行為であっても、「不正の目的をもって行われたおそ

は、当該事業者への不正の目的の行為に該当しないとの理解でよいか。

れがある当該個人情報取扱事業者に対する行為」に例）顧客が事業者 A に申込書を送付したが、配送過程で窃盗に遭い所在不明となった。

該当し得ます。

この場合、事業者 A に対する不正の目的で行われた行為での漏えい等には該当しないため、事業者 A には報告義務はないと理解してよいか。
（理由）
解釈の明確化のため【一般社団法人日本クレジット協会】
14

・第７条第

（意見）

個別の事案に応じて判断する必要がありますが、個人

３号

ガイドライン通則編の事例では事業者自身が保有するサイト自体が改ざんされ情報漏えい

情報取扱事業者になりすましたメールが第三者から送・ガイドラインが発生した場合を想定していると理解している。

信されたことをもって、直ちに「不正の目的をもって行わ（通則編）

第三者が事業者Ａになりすましてメール等を送信し、メール等を受信した者がフィッシングサイ

3-5-1-2

ト等の複製または模倣サイトに誘導されて個人情報を入力し詐取された場合、なりすまされた

事例 6）

事業者Ａには報告義務はないという理解でよいか。

・ガイドライン
（通則編）

（理由）

3-5-3-1

第三者から送信されたなりすましメールによりフィッシングサイトに誘導されて個人情報が詐取事例 6）、等されるケースは、事業者Ａに対する行為に該当しないこと、また事業者Ａが取得しようとして

事例 7）

いる個人情報ではないことから、事業者Ａには報告義務が無いことを明確化したいため。
9

れたおそれがある当該個人情報取扱事業者に対する行為」に該当するものではないと考えられます。

該当箇所寄せられた御意見

御意見に対する考え方【一般社団法人日本クレジット協会】
15

第７条第３

（意見）

御指摘の事案における改ざんがクレジットカード会社

号

ＥＣサイト内のクレジットカード決済画面が不正に改ざんされたこと等により、カード会員がフィ「に対する行為」に該当するかどうかは、クレジットカード

ッシングサイトに誘導され、クレジットカード番号や個人情報が第三者に詐取された場合、これは 会社と EC サイト運営者との関係、クレジットカード決済
ＥＣサイト運営者に対する行為であり、クレジットカード会社に対する行為ではないため、クレジ 画面に入力された個人情報の取扱状況等を踏まえ、ットカード会社に報告義務は無いという理解でよいか。

個別の事案に応じて判断する必要があります。

（理由）
解釈の明確化のため【一般社団法人日本クレジット協会】
16

第７条第３

項番１

本規則案及び本ガイドライン案の改正案は、法第 16号

意見・質問等:本改正は、法第 26 条 1 項に定める漏えい等の報告等の義務の範囲を拡

条第 3 項の「個人データ」の定義を拡張するものではあ大するだけではなく、個人情報保護法に定める「個人データ」の定義を拡大する可能性を伴うもりません。

のであり、内閣府令によって実質的に法改正を行うのに等しい影響が生じるおそれがある。仮に、内閣府令の定めとして適法であるとしても、その解釈適用は十分慎重を期して謙抑的に行われるべきであるし、特にガイドラインによる解釈指針の公表は極めて慎重に取り扱われるべきである。
【日本証券業協会】
17

第７条第３

項番２

「個人データとして取り扱われることが予定されているも号

意見・質問等:「当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報」の」に該当するかどうかは、漏えい等又はそのおそれが発が、「個人データとして取り扱われることが予定」か否かは、当該個人情報の取得時点又は取生した時点を基準として、個別の事案に応じて判断す得しようとしている時点において判断するものと理解して相違ないか。将来、いつかは個人データる必要があります。

10

該当箇所

寄せられた御意見

御意見に対する考え方にする可能性は排除されていないものの、取得時点又は取得しようとしている時点において、その「予定」が無い個人情報は、対象外という理解で相違ないか。
【日本証券業協会】
18

第７条第３

項番３

「保有個人データの安全管理のために講じた措置」

号

意見・質問等:法 23 条及び法 26 条以外の個人データ（保有個人データを含む）に係る （施行令第 10 条第 1 号）には、個人情報取扱事
規律は、引き続き、「個人データとして取り扱われることが予定」されている個人情報には適用さ業者が取得し、又は取得しようとしている個人情報でれないという理解で良いか。例えば、法第 32 条・政令第 10 条第一号の対象にも含まれない

あって、当該個人情報取扱事業者が保有個人データという理解か。それとも、同号の文言が「法第 23 条の規定により保有個人データの安全管理のとして取り扱うことを予定しているものの漏えい等を防止ために講じた措置」と規定されていることを根拠に、「個人データとして取り扱われることが予定」さするために講じた措置も含まれるため、当該措置についれている個人情報にも同号の適用が有るという整理なのであれば、各社の個人情報保護方針ても本人の知り得る状態に置かなければなりません。ガの改訂なども要するケースも想定されるため、通則ガイドライン 3 の 8 の 1 に明示していただきた

イドライン（通則編）案については、御意見を踏まえ、いと考える。

次のとおり修正いたします（下線部が修正箇所）。
【日本証券業協会】【修正前】（ガイドライン（通則編）案 3-8-1④）
個人情報取扱事業者は、法第 23 条の規定により保有個人データの安全管理のために講じた措置の内容を本人の知り得る状態に置かなければならない。
ただし、当該保有個人データの安全管理に支障を及ぼすおそれがあるものについては、その必要はない。
当該安全管理のために講じた措置は、事業の規模及び性質、保有個人データの取扱状況（取り扱う保有
個人データの性質及び量を含む。）、保有個人データ
11

該当箇所

寄せられた御意見

御意見に対する考え方を記録した媒体等に起因するリスクに応じて、必要かつ適切な内容としなければならない。このため、当該措置の内容は個人情報取扱事業者によって異なり、本人の知り得る状態に置く安全管理のために講じた措置の内容についても個人情報取扱事業者によって異なる。
なお、本人の知り得る状態については、本人の求めに応じて遅滞なく回答する場合を含むため、講じた措置の概要や一部をホームページに掲載し、残りを本人の求めに応じて遅滞なく回答を行うといった対応も可能であるが、例えば、「個人情報の保護に関する法律についてのガイドライン（通則編）」に沿って安全管理措置を実施しているといった内容の掲載や回答のみでは
適切ではない。
【修正後】（ガイドライン（通則編）案 3-8-1④）
個人情報取扱事業者は、法第 23 条の規定により保有個人データの安全管理のために講じた措置の内容を本人の知り得る状態に置かなければならない。
ただし、当該保有個人データの安全管理に支障を及ぼすおそれがあるものについては、その必要はない。
当該安全管理のために講じた措置は、事業の規模及び性質、保有個人データの取扱状況（取り扱う保有
12

該当箇所

寄せられた御意見

御意見に対する考え方
個人データの性質及び量を含む。）、保有個人データを記録した媒体等に起因するリスクに応じて、必要かつ適切な内容としなければならない。このため、当該措置の内容は個人情報取扱事業者によって異なり、本人の知り得る状態に置く安全管理のために講じた措置の内容についても個人情報取扱事業者によって異なる。
なお、当該安全管理のために講じた措置には、個人情報取扱事業者が取得し、又は取得しようとしている個
人情報であって、当該個人情報取扱事業者が保有
個人データとして取り扱うことを予定しているものの漏えい等を防止するために講じた措置も含まれる。
本人の知り得る状態については、本人の求めに応じて遅滞なく回答する場合を含むため、講じた措置の概要
や一部をホームページに掲載し、残りを本人の求めに応じて遅滞なく回答を行うといった対応も可能であるが、例えば、「個人情報の保護に関する法律についてのガイドライン（通則編）」に沿って安全管理措置を実施しているといった内容の掲載や回答のみでは適切
ではない。

19

第 7 条第 3

１．個人情報の保護に関する法律施行規則 第 7 条「不正の目的をもって行われたおそれがある当該個人号

個人情報の保護に関する法律施行規則第 7 条第 3 号で、報告対象事態に『個人データ

情報取扱事業者に対する行為による」漏えい等は二として取り扱われることが予定されているもの』が追加されているが、以下の理由から対象となる

次被害が想定され、本人の権利利益に対する影響が

13

該当箇所

寄せられた御意見

御意見に対する考え方

ケースを、例えば二次被害が想定できユーザー等にとって重大な事態になりうる場合として具体大きいことから、原案どおりとさせていただきます。

的に明示する、『個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生した
おそれがある事態』等の重大性の要件を追加する等で、明示いただきたい。
【理由】
・ユーザーにとって利便性のあるシステム開発（改善対応）等のケースにおいて、テスト時においては実際には漏洩や不正が発生しないケースが多々ある。この場合も対象にすると、対応遅延により結果的にユーザーの不利益となる場合が考えられる。
・『予定されているもの』の表現が広く考えられ、例えば名刺や契約書など、個人情報データ
ベースに登録予定の紙媒体を紛失したケースも対象となると、本来優先して対応すべき情報漏洩対策等の実施に影響があると考えられる。（優先度や重要度によって対応策にかけるコストが異なるところ、すべてに最高度のセキュリティ対策を実施しなければならないとなると、結果的にユーザー側への対応が疎かになる原因となる可能性を危惧する。）
【匿名】
20

第７条第３
号

例えば、名刺を定期的に名刺管理ソフトで管理している者が、名刺管理ソフトに登録する前個別の事案に応じて判断する必要がありますが、通の名刺を鞄の中に入れていたところ、鞄ごと盗まれてしまったというようなケースにも適用されるの常、名刺管理ソフトが個人情報データベース等に該当か。

する場合、名刺管理ソフトに登録する予定の名刺上

セミナー、パーティ等で多数の方と名刺交換していた場合、相手の連絡先を記憶しておくことの個人情報は「個人データとして取り扱われることが予も難しく、本人通知も困難であるが、代替措置として事案の公表等を行わなければならないと定されているもの」に該当し、個人情報取扱事業者のするのも非常に煩雑である。

従業員が当該名刺を窃取された場合は、「不正の目
【個人】

14

的をもって行われたおそれがある当該個人情報取扱事

該当箇所寄せられた御意見

御意見に対する考え方
業者に対する行為による」漏えいに該当すると考えられ
ます。

21

第７条第３

（意見）

御理解のとおりです。

号

今回の追記内容について、第七条第一号、第二号、第四号の文言上の「個人データ」には追記されずに、当該箇所のみに追記をされております。これは、第七条第三号のみに追記された内容が適用され、他の各号には適用されないという理解でよいでしょうか。
（理由）
上記の通り。
【一般社団法人生命保険協会】

22

第 7 条第 3号

漏えい報告の対象となる範囲をガイドラインで具体的に明示していただきたい。WEB ページ 本ガイドライン（通則編）案 3-5-3-1(3)【報告を要の改ざんによる WEB スキミングを規制の対象とすることを目的とした改定であれば、その場面にする事例】の事例 6）、事例 7）及び事例 8）におい限定した記載としていただきたい。

て、新たに報告対象事態に該当することとなった事例を

理由：個人情報保護法第 26 条第 1 項の漏えい報告の対象は「個人データ」に限定され 示していますので、原案どおりとさせていただきます。なている。これは個人データの漏えい等が生じた場合には、他のデータと容易に結合されること等にお、本規則案及び本ガイドライン案の改正案は、いわより、個人の権利利益が侵害されるおそれが大きいため、個人情報取扱事業者に対して報告

ゆる WEB スキミングによる漏えい等事案のみを報告対を義務付ける必要性が高いからであると理解している。また、個人情報全般に一律に報告義

象事態とすることを目的とするものではありません。

務を課した場合、個人情報取扱事業者に過大な負担を負わせるおそれがあることから、対象が「個人データ」に限定されているものと理解している。この趣旨からしても、報告義務の対象
は、個人情報取扱事業者にとって過大な負担とならないレベルまでその範囲を限定し、明確化することが必要と考える。
【一般社団法人日本損害保険協会】
15

該当箇所
23

寄せられた御意見

御意見に対する考え方【意見の内容】

法第 26 条第１項本文は、「その取り扱う…個人デー

改正箇所が個人情報の保護に関する法律（以下「法」といいます。）26 条 1 項本文の委タの安全の確保に係る事態であって個人の権利利益

任の趣旨を逸脱しない理由をご教示ください。

を害するおそれが大きいもの」を報告対象事態として定めることを施行規則に委任しているところ、「個人情報【理由】

取扱事業者が取得し、又は取得しようとしている個人

法 26 条 1 項本文は、事業者が「取り扱う個人データの漏えい、滅失、毀損その他の個人情報であって、当該個人情報取扱事業者が個人デー

データの安全の確保に係る事態」（以下「記述 1」といいます。）であって、「個人の権利利益

タとして取り扱うことを予定しているもの」が「不正の目を害するおそれが大きいもの」（以下「記述 2」といいます。）の具体化を個人情報保護委員

的をもって行われたおそれがある当該個人情報取扱事

会規則に委任しているところ、記述 2 は文言上記述 1 を限定する要素として位置付けられて業者に対する行為」により漏えい等した場合、当該個います。このような理解は、規則 7 条柱書が「法第二十六条第一項本文の個人の権利利益 人情報取扱事業者が取り扱う個人データの安全の確を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは…」としていること

保に係る事態が生じており、かつ、本人の権利利益にからも、適切なものと考えられます。そうすると、受任規定において、記述 1 に当たらない事態を対する影響が大きいと考えられることから、法の委任の規定することはできないと考えられます。

範囲内と考えます。

そして、法は、「個人情報」と「個人データ」を区別し、個人情報取扱事業者（以下「事業者」といいます。）の義務に係る規定のうち、17 条から 21 条までは個人情報の取扱いを規制するものとして規定し、一方、22 条から 30 条までは個人データの取扱いを規制するものとして規定しています（なお、このようにされている理由について、園部逸夫・藤原靜雄編、個人情報保護法制研究会著『個人情報保護法の解説 第三次改訂版』（ぎょうせい、2022 年）
149 頁は、いずれ個人情報データベースに記録され個人データとなるものであっても、取得段階
では個人情報の状態であることによるとしています）。そうすると、法 26 条 1 項本文の「個人データ」に個人情報データベースに記録されていない「個人情報」が含まれると解することはできず、

16

該当箇所

寄せられた御意見

御意見に対する考え方

個人データとして取り扱われることが予定されているものに限定するとしても、個人情報の漏えい等が記述 1 に当たることはないと考えられます。
以上の関係規定の規定ぶりに照らすと、法 26 条 1 項は、個人データに該当しない個人情報について、漏えい等が生じた場合を報告及び本人通知の対象とすることまでは委任しておらず、改正箇所は同項の委任の趣旨を逸脱している疑いがあると思料します。
【匿名】
24

第 43 条第３号

同規則（案）７条号は、「個人データ」（開示等の対象である「保有個人データ」ではな

本規則案及び本ガイドライン案が、「保有個人情報」

い）について個人情報取扱事業者が報告する漏えい等事態を拡張するものであり、これに相（法第 60 条第 1 項）の定義を変更するものではな

当する改正を同規則（案）４３条３号において（開示等の対象でもある）「保有個人情

いことは、本規則案及び本ガイドライン案の記載から御報」の意味内容を拡張することで行おうとするものであると思われる。もともと、漏えい等事態の理解いただけるものと考えますので、原案どおりとさせて客体となる情報の概念が官民で異なっているのは、行政機関等の「保有個人情報」は「個人いただきます。

情報」に含まれるところ、個人情報取扱事業者の「保有個人データ」は一義的には「個人デー
タ」に含まれるものであり、「個人情報」（事業の用に供していない散在個人データ等も含む）
はそのさらに上位概念であることから、官民ともに保有に至らず取得する情報（必ずしも開示等の請求に応じる義務は課せられていない情報）を含ませた帰結として、個人情報取扱事業者
では「保有個人データ」の上位概念である「個人データ」を漏えい等事態の報告の客体にしたものと思われる。
今回の改正では、その報告の客体を拡張するために、そもそもの報告の客体の情報の概念を変更せずに、「不正の目的をもって行われたおそれがある当該行政機関の長等の属する行政機関等に対する行為による保有個人情報」に「当該行政機関の長等の属する行政機関等が取得し、又は取得しようとしている個人情報であって、保有個人情報として取り扱われることが予定されているもの」を含むという改正を行おうとするものである。
17

該当箇所

寄せられた御意見

御意見に対する考え方

しかし、実務上、法及び規則を従事者等（委託先等含む）に遵守を徹底するほか、住民等に対する平易な説明のためには、分かりやすさの観点から、条文ごとにその用語の意味が異なるような改正は望ましくないため、開示請求等の規定等との兼ね合いから、「保有個人情報」の定義を変更させずに、例えば次のように規定することによれば、従来の「保有個人情報」と「個人情報」を峻別できるのではないか（改正案だと、「保有個人情報」に言わば「保有予定
個人情報」と呼ぶべき情報を含むこととなるため、報告を要する「個人情報」を取得及び取得予定のものに限る旨を明記した方が良いのではないか。）。
「不正の目的をもって行われたおそれがある当該行政機関の長等の属する行政機関等に対する行為による保有個人情報」及び「当該行政機関の長等の属する行政機関等が取得している個人情報（当該行政機関等が取得しようとしているものを含む。）であって、保有個人情報として取り扱われることが予定されているもの」
【東京都】
⚫
25

3

個人情報の保護に関する法律についてのガイドライン（通則編）の一部を改正する告示（案）について[意見]

安全管理措置は、個人データが漏えい等をした場合に「なお、」で始まる段落について、以下の文言変更を提案する。

本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う（現在の案）

個人データの性質及び量を含む。）、個人データを記・・・当該個人情報取扱事業者が個人データとして取り扱うことを予定しているものの漏えい等録した媒体の性質等に起因するリスクに応じて、必要を防止するために必要かつ適切な措置も含まれる。

かつ適切な内容としなければならないものであり、原案（弊職の案）

どおりとさせていただきます。

18

該当箇所

寄せられた御意見

御意見に対する考え方・・・ 当該個人情報取扱事業者が個人データとして取り扱うことを予定しているものの漏えい等
及びそのおそれの発生を防止するために必要かつ適切な措置も含まれる。
[理由]
規則第 7 条第 3 号において「個人データ（・・・中略・・・）の漏えい等が発生し、又は発生したおそれがある事態」と規定してあることから鑑みると、事業者は、漏えい等が生じなければよいのではなく、発生するおそれも防ぐべく措置を講じるべきと考える。このように考えることは、個人の利益保護（法第１条）にも沿い、かつ、規則第 7 条にも沿うものである。
【匿名】
26

3-4-2

通則編で追加される「なお、「その他の個人データの安全管理のために必要かつ適切な措

個人情報の保護に関する法律についてのガイドライン

置」には、個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該（外国にある第三者への提供編）では、安全管理措

個人情報取扱事業者が個人データとして取り扱うことを予定しているものの漏えい等を防止す

置として具体的に講じなければならない措置や当該措るために必要かつ適切な措置も含まれる。」との文言は、個人情報の保護に関する法律につい置を実践するための手法の例等については、個人情報てのガイドライン（外国にある第三者への提供編）4-2-7、4-2-8、4-2-9 にも追記するべきの保護に関する法律についてのガイドライン（通則である。

編）「10（別添）講ずべき安全管理措置の内容」を【匿名】

参照すること等としているため、原案どおりとさせていただ
きます。

27

3-4-2

（１）ガイドライン 3-4-2 に「なお、「その他の個人データの安全管理のために必要かつ適切

1 点目及び 3 点目につき、個人情報取扱事業者が取な措置」には、個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、得し、又は取得しようとしている個人情報であって、当当該個人情報取扱事業者が個人データとして取り扱うことを予定しているものの漏えい等を防該個人情報取扱事業者が個人データとして取り扱うこ止するために必要かつ適切な措置も含まれる。」とあるが、とを予定しているものが、当該個人情報取扱事業者において個人情報データベース等を構成する前の段階で
19

該当箇所

寄せられた御意見

御意見に対する考え方○これはこれまでの解釈を拡大したものであるので、このガイドラインが施行されるまでは「個人漏えい等した場合であっても、個人情報データベース等

情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱を構成することとなった後の段階で漏えい等した場合、事業者が個人データとして取り扱うことを予定しているもの」については安全管理措置を講じなくすなわち、個人情報取扱事業者が取り扱っている個人て良いのか。

データが漏えい等した場合と同様の結果が生ずることとなります。そのため、「その他の個人データの安全管理の○解釈を拡大したのではなく明確化したものであるとの結論であれば、いまこの時点でも「個ために必要かつ適切な措置」には、個人情報取扱事

人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取業者が取得し、又は取得しようとしている個人情報で扱事業者が個人データとして取り扱うことを予定しているもの」に安全管理措置を講じなければ あって、当該個人情報取扱事業者が個人データとして
ならないことになる。しかし、以下の委員会が公表している資料 25 ページには、個人データにつ取り扱うことを予定しているものの漏えい等を防止する

いてだけ安全管理措置を含む「保管・管理に関するルール」が適用されるとなっている。これは誤ために必要かつ適切な措置も含まれます。御指摘の箇りだったのか。誤りであるのであれば、少なくともこのガイドライン施行まではを拡大したのではなく所は、このような従前からの解釈を明確化したものです

明確化したものであるとの結論であれば、いまこの時点でも「個人情報取扱事業者が取得し、 ので、本ガイドライン案の改正案の施行前であっても、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取「その他の個人データの安全管理のために必要かつ適り扱うことを予定しているもの」に安全管理措置を講じていなかったとしても、委員会が指導・勧切な措置」として、個人情報取扱事業者が取得し、又告・命令を行うべきではない。

は取得しようとしている個人情報であって、当該個人情

https://www.ppc.go.jp/files/pdf/kihon_202304.pdf

報取扱事業者が個人データとして取り扱うことを予定しているものの漏えい等を防止するために必要かつ適切○仮に解釈を拡大していないのであれば、このガイドライン施行前であっても「個人情報取扱な措置を講じる必要があります。

事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取り扱うことを予定しているものに安全管理措置を講じなければならないのか。

2 点目につき、御指摘の資料は、具体的な指針として【匿名】

定めたものではなく、広報・啓発の観点から個人情報保護法等の概要をまとめたものです。

20

該当箇所
28

3-4-2

寄せられた御意見

御意見に対する考え方

通則編に「なお、「その他の個人データの安全管理のために必要かつ適切な措置」には、個法第 23 条に基づき講じなければならない「その他の個

人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取人データの安全管理のために必要かつ適切な措置」に扱事業者が個人データとして取り扱うことを予定しているものの漏えい等を防止するために必要は、個人情報取扱事業者が取得し、又は取得しようとかつ適切な措置も含まれる。」と追記するとされているが、仮名加工情報にはこの文言は適用さしている個人情報であって、当該個人情報取扱事業れないとの理解で良いのか。

者が個人データとして取り扱うことを予定しているものの法 41 条には「仮名加工情報（仮名加工情報データベース等を構成するものに限る。以下

漏えい等を防止するために必要かつ適切な措置も含ま

この章及び第六章において同じ。）」とあるため、仮名加工情報取扱事業者が「取得し、又はれます。このことは、個人情報取扱事業者が取得し、取得しようとしている」仮名加工情報には安全管理措置についての条文は適用されないはずで又は取得しようとしている個人情報が仮名加工情報である。そうであるとすれば、そのことを個人情報の保護に関する法律についてのガイドライン（仮ある場合であっても同様です。

名加工情報・匿名加工情報編））に記載するべきである。
【匿名】

個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）2-2-3-7(3)では、安全管理措置について、「詳細については、通則
ガイドライン「3-4-2（安全管理措置）」を参照のこと」と示しているため、原案どおりとさせていただきます。

29

3-4-2

項番 4

個人情報取扱事業者が取得し、又は取得しようとして

意見・質問等:「なお、」以下の一段落は、内閣府令により法 23 条を実質的に改正する結いる個人情報であって、当該個人情報取扱事業者が果を生じるものであり、適切ではない。第 253 回個人情報保護委員会の議事概要の 4（1）個人データとして取り扱うことを予定しているものが、当によれば、本改正は「近時問題となっている Web スキミングを念頭においての改正」とのことであ

該個人情報取扱事業者において個人情報データベーるが、安全管理措置の対象を単なる「個人データ」から「個人情報取扱事業者が取得し、又はス等を構成する前の段階で漏えい等した場合であって取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取り扱も、個人情報データベース等を構成することとなった後うことを予定しているもの」にまで拡大することは、その目的から逸脱するように見える。また、安の段階で漏えい等した場合、すなわち、個人情報取扱

21

該当箇所

寄せられた御意見

御意見に対する考え方

全管理措置に関すルール改正は個人情報取扱事業者の実務に対する想定外の影響を生じ事業者が取り扱っている個人データが漏えい等した場

るのではないか。例えば、個人データの取扱いを第三者に委託する場合には安全管理措置が合と同様の結果が生ずることとなります。そのため、「そ適切に講じられるよう必要かつ適切な監督をすることが求められるし、法第 28 条に基づき、外の他の個人データの安全管理のために必要かつ適切国にある第三者に個人データを提供した場合には、個人情報取扱事業者は、当該第三者にな措置」には、個人情報取扱事業者が取得し、又はよる安全管理措置を含む相当措置の継続的な実施を確保するために必要な措置を講ずるこ取得しようとしている個人情報であって、当該個人情ととされており、個人情報取扱事業者はそれぞれ従前のルールにしたがってこれらの措置を時間

報取扱事業者が個人データとして取り扱うことを予定しをかけて講じている。仮に当該段落を残すとしても、Web スキミングを念頭においての改正という ているものの漏えい等を防止するために必要かつ適切目的、及び実務への影響が十分に議論されていないのではないかという懸念を踏まえ、「なお、な措置も含まれます。本ガイドライン案の御指摘の箇法第 23 条に定める「その他の個人データの安全管理のため、必要かつ適切な措置」を講じる 所は、このような従前からの解釈を明確化したものです
にあたっては、個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当ので、原案どおりとさせていただきます。

該個人情報取扱事業者が個人データとして取り扱うことを予定しているものの漏えい等を防止するために必要かつ適切な措置も含まれることが望ましい。」という内容に留めておくべきではないか。
【日本証券業協会】
30

3-4-2

取得しようとしている個人情報について、「当該個人情報取扱事業者が個人データとして取御指摘の事案において、委託先は、自ら個人データとり扱うことを予定しているもの」について漏えい等を防止するための安全管理措置が求められると して取り扱うことを予定していない個人情報についていう点につき、委託先となるアンケート用紙の回収業者やオンラインフォームの提供事業者等、は、法第 23 条に基づき安全管理措置を講ずる義務

自ら個人データとして取り扱うことは予定していないものの、委託元において個人データとして取は負いません。もっとも、委託元は、個人データとして取り扱うことを予定している場合であれば、当該委託先においても安全管理措置を実施する義務

り扱うことを予定している個人情報の漏えい等を防止があるという理解で良いか。そうであれば、その旨明確にしていただきたい。

するために必要かつ適切な措置を講ずる義務を負い（法第 23 条）、また、自らが講ずべき上記措置と同等の措置が講じられるよう、委託先の監督を行う義務

22

該当箇所

寄せられた御意見

御意見に対する考え方

仮にこうした場合において、委託先においても法令上の安全管理措置実施義務がないとすを負います（法第 25 条）。ガイドライン（通則編）

ると、委託元としては委託先での安全管理措置の把握や実施の確保が必ずしも容易とはいえ案について、御意見を踏まえ、次のとおり修正いたしまず、とりわけ定型的な約款のもとでしか利用できない SaaS 型の個人情報収集サービス（個人す（下線部が修正箇所）。

データを取扱わないとするオンラインフォームの作成サイト等）の利用が困難となることが懸念される。

【修正前】（ガイドライン（通則編）案 3-5-3【匿名】

1(3)）
不正行為の相手方である「当該個人情報取扱事業者」には、当該個人情報取扱事業者が第三者に個人
データ又は個人情報の取扱いを委託している場合における当該第三者（委託先）及び当該個人情報取扱
事業者が個人データ又は個人情報を取り扱うにあたって第三者の提供するサービスを利用している場合における当該第三者も含まれる。
【修正後】（ガイドライン（通則編）案 3-5-31(3)）
不正行為の相手方である「当該個人情報取扱事業者」には、当該個人情報取扱事業者が第三者に個人
データの取扱いを委託している場合（※3）における当該第三者（委託先）及び当該個人情報取扱事
業者が個人データを取り扱うに当たって第三者の提供

23

該当箇所

寄せられた御意見

御意見に対する考え方
するサービスを利用している場合における当該第三者も含まれる。
（※3）個人情報取扱事業者が、個人データとして取り扱うことを予定している個人情報の取扱いを第三者に委託する場合であって、当該第三者（委託先）
が当該個人情報を個人データとして取り扱う予定はな
いときも、ここにいう「個人情報取扱事業者が第三者に個人データの取扱いを委託している場合」に該当する。

31

・3-4-2（意見）

御指摘の事案において、事業者 A が、事業者 B から・ガイドライン

個人情報取扱事業者Ａ（以下「事業者Ａ」）が、個人情報取扱事業者Ｂ（以下「事取得した個人情報を個人データとして取り扱うことを予（第三者提業者Ｂ」）から個人情報の提供を受け又は受けようとする場合、事業者Ａは、提供元となる定している場合、事業者 A は、事業者 B から取得した

供時の確事業者Ｂから個人情報の提供を受ける以前の段階では安全管理措置を講じる義務を負わな

個人情報の漏えい等を防止するために必要かつ適切

認・記録義い（事業者Ｂが講じる安全管理措置の管理・監督義務等も無い）という理解でよいか。

な措置だけではなく、事業者 B から取得しようとしてい務編）2-※事業者Ａと事業者Ｂとの間は業務委託の関係にないケースを想定

る個人情報の漏えい等を防止するために必要かつ適

2-2-

（理由）

切な措置を講じる必要があります。当該措置は、事業

1(1)2※

個人情報の提供を受けようとする者は、実際に提供を受けた後の個人情報については自己者 A を原因とする漏えい等（不正の目的をもって行わの管理下となるため、安全管理措置を講じることは当然だが、まだ提供を受けていない時点でれたおそれがある事業者 A に対する行為による漏えいは自己の管理下にないため、提供元の保有している個人情報について安全管理措置を講じる等を含みます。）を防止するために必要かつ適切な措ことは困難であり、義務を課すこととなれば、提供を受ける者に過大な負担を課すこととなるた置であり、当該措置として講じなければならない具体的め。

な手法の内容は、当該個人情報の取扱状況、事業【一般社団法人日本クレジット協会】

者 A が用いる個人情報の取得の手段等に応じて、個別の事案に応じて判断されます。

24

該当箇所
32

3-4-2

寄せられた御意見

御意見に対する考え方

取得しようとする個人情報全般に安全管理措置を講じることは困難であり、事業者で対応

本ガイドライン（通則編）案 3-4-2 においては、取得可能な事項に限定していただきたい。

しようとする全ての個人情報の漏えい等を防止するため

理由：安全管理措置は当該事業者が取り扱う範囲において講じるものであって、取り扱っ の措置を求めているものではありませんので、原案どおりていない個人情報に対して措置を講じることは困難である。

とさせていただきます。

【一般社団法人日本損害保険協会】
33

3-5-1-2

個人データの「漏えい」とは、個人データが外部に流出することをいう。

本ガイドライン案の記載から、個人情報取扱事業者が取得しようとしている個人情報も「漏えい」し得ることは意見御理解いただけるものと考えますので、原案どおりとさせ

上記「漏えい」の概念は、個人情報取扱事業者の内部に存在した個人データが外部に流ていただきます。

出することを前提としている。ガイドライン等において、「流出」についての定義はないが、国語辞典の多くは、「流出」について、内部のものが外部に出ていくこと、という説明をしている。
今回の改正では、個人情報保護法施行規則 7 条 3 号に規定する「個人データ」について、「個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているもの」を含むとする概念の拡張をすることが検討されているところ（上記案 3-5-1-1）、個人情報取扱事業者が取得していない個人情報（個人情報取扱事業者が取得しようとしている個人情報）は個人情報取扱事業者の内部に存在していないことから、「漏えい」の対象にはならないと解釈される余地がある。
したがって、個人データの概念を拡張するのであれば、「漏えい」の定義についても「個人情報取扱事業者が取得しようとしている個人情報」を含むことが明らかになるように変更する必要が
ある。
【個人】

25

該当箇所
34

寄せられた御意見

御意見に対する考え方

3-5-1-2

意見

御指摘の事例 6）は例示であり、不正行為の主体以

事例 6)

サイバー攻撃の事案では、攻撃者や情報送信先を特定することが困難な場合が多く、当然外の第三者に個人情報が流出した場合について「漏えながら攻撃者と情報送信先が同一であるかの判断も困難である。それにも関わらず、事例におい」該当性が直ちに否定されるものではないことは御理

いて、情報の送信先を「当該第三者」に限定することは不自然であり、個人情報取扱事業者

解いただけるものと考えますので、原案どおりとさせていの誤解を招く必要がある。

ただきます。

したがって、「当該第三者」ではなく、「改ざんされた送信先」といった表現に変更したほうが適切と考えられる。
【匿名】
35

3-5-1-2

・「入力ページが第三者に改ざんされ、ユーザーが入力した個人情報が当該第三者に送信さ漏えいが疑われるものの漏えいが生じた確証がない場

事例６）

れた場合」と記載があるが、第三者に送信されたかどうかの確証がない場合、漏えいに該当する

合には、漏えいした「おそれ」が認められますので、報告のか。疑わしい場合は、漏えい事例に該当し報告対象となるのか。

を要します。

【一般社団法人全国信用金庫協会】
36

3-5-1-2

・入力ページが改ざんされて第三者にユーザー情報が送信されたことが明白であるものの、個御指摘の事案において、第三者に送信されたユーザー

事例６）

人情報取扱事業者側で、誰の情報が第三者に送信されたか分からない場合、漏えいした情

情報が「当該個人情報取扱事業者が…取得しようと報が特定できないが、どのような対応が必要となるのか。

している個人情報であって、個人データとして取り扱わ【一般社団法人全国信用金庫協会】

れることが予定されているもの」に該当する場合、当該事態に係る報告及び本人通知を要します。ただし、例
えば、当該個人情報取扱事業者において把握できた事項が限定的である等の理由により、本人への通知が困難である場合は、本人の権利利益を保護するために必要な代替措置を講ずることによる対応が認められ
ます。

26

37

該当箇所

寄せられた御意見

御意見に対する考え方

3-5-3-1

１．3-5-3-1 の事例 5）は「当該端末と個人情報取扱事業者のサーバとの電気通信に御指摘の事例 5）については、個人情報取扱事業者

起因して」とあるが、例えば、従業員や取引先がマルウェアに感染した私用の端末又は取引先のサーバが情報を窃取するマルウェアに感染し、当該マの端末に USB で勝手に個人データを保存して、それが漏洩した場合には、報告義務はないと ルウェアにより個人データが漏えいしており、「不正の目の理解で良いのか。

的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による個人データ…の漏えい」に該

２．3-5-3-1 の事例 5）は削除すべきである。従業者の私用の端末又は取引先の端末当すると考えられるため、原案どおりとさせていただきまが情報を窃取するマルウェアに感染した場合には、「当該個人情報取扱事業者に対する行為」

す。

ではない。「対する行為」との文言の語義からすれば、私用の端末又は取引先の端末にたまた

また、個別の事案に応じて判断する必要がありますが、

まマルウェアが感染した場合には、それは事業者に対する攻撃には当たらない。（例えば、従業個人情報取扱事業者のサーバがマルウェアに感染して員が勝手に不正ファイルをダウンロードしてマルウェア感染した場合には、攻撃者も事業者に対いなくとも、「不正の目的をもって行われたおそれがあるする攻撃をする意思もないし、そもそも事業者自体を認識してすらいない）

当該個人情報取扱事業者に対する行為」により当該
個人情報取扱事業者の取り扱う個人データが漏えい

３．3-5-3-1 の事例 5）は削除すべきである。従業者や取引先が勝手に個人データを持ち出して、マルウェアに感染した私用の端末又は取引先の端末に保存して漏洩した場合には漏洩の報告が必要なのか。
○個人データを私用の端末又は取引先の端末に保存した後に、その端末がマルウェアに感染した場合には、「対する行為」との文言の語義からすれば、7 条 3 号に該当しない（単に、従業員や取引先に対して攻撃しただけである）○個人データを私用の端末又は取引先の端末に保存した時に、すでにその端末がマルウェアに感染しており漏洩した場合には、「対する行為」との文言の語義からすれば、7 条 3 号に該当しない。（この場合、攻撃者は従業員や取引先に対して攻撃しただけで、その後に、従業員や取引先が勝手に、その汚染した PC に個人データを保存した（汚染領域に勝手に個人データ
27

した場合には、報告を要します。

該当箇所寄せられた御意見

御意見に対する考え方を持ち込んだ）だけであり、「当該個人情報取扱事業者に対する行為」ではない。また、すでに従業者や取引先が私用の端末又は取引先の端末に保存した時点で漏洩は完了している。従
業員が仕事のために持ち出して保存したのであれば不正目的の漏洩ではない。その後に私用の端末又は取引先の端末がマルウェア感染したとしても、事業者から漏洩した個人データが、一度従業員や取引先に漏洩し、その後に再度従業員や取引先から漏洩したのであり、事業者から漏洩したのではないため、そもそも法 26 条に基づく報告の義務はない。
【匿名】
383-5-31(3)「不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為」（以下「不正行為」という）の主体には、第三者のみならず、従業者も含まれる。

御指摘の記載から、不正行為の主体に委託先も含まれることは御理解いただけるものと考えますので、原案どおりとさせていただきます。

＜意見＞
上記箇所は、「・・・第三者のみならず、従業者及び委託先も含まれる。」とすべきと考える。
＜理由＞
意見対象箇所に続く文章では、「当該第三者（委託先）」という表現が現れる。
そのため、一見して、「・・・第三者のみならず、」の「第三者」に委託先が入るか否かが不明
確となってしまっているため。
【匿名】
39

3-5-3-1

当該個人情報取扱事業者が「取得しようとしている個人情報」に該当するかは、で始まる段

個人情報取扱事業者が取得しようとしている個人情

落報であって、個人データとして取り扱われることが予定されているものが当該個人情報取扱事業者に対するサ
28

該当箇所

寄せられた御意見

御意見に対する考え方＜意見＞

イバー攻撃により漏えい等し、又はそのおそれが発生し個人情報取扱事業者が個人情報を未だ取得していない段階であっても、当該事業者が個た場合には、当該漏えい等が当該個人情報取扱事

人情報を取得する予定があり、かつ、その個人情報を個人データとしてして取り扱う予定があれ業者による当該個人情報の取得前に発生した場合でば、当該個人情報取扱事業者は、サイバー攻撃を受けた段階で、漏えい等報告が発生するとも、報告を要します。

いう理解でよいか。
＜理由＞
個人情報を取得していない段階であっても漏えい等報告を負うのがガイドライン案の素直な読み方だが、過剰に漏えい等報告の範囲を広げる解釈であり法解釈上違和感も感じたため、確認を求める次第である。
【匿名】
40

3-5-3-1

項番 5

個人情報取扱事業者が「取得しようとしている個人情

意見・質問等:改正案に係る解釈について、「当該個人情報取扱事業者が『取得しようとし報」に該当するかどうかの判断は、恣意的な判断が許ている個人情報』に該当するかどうかは、個人情報の取得手段等を考慮して客観的に判断す容されるものではなく、客観的に判断する必要がありまる。」とありますが、個人情報を漏洩した事業者等が、自身の判断で、それが「取得しようとしてす。

いる個人情報」なのか判断すると捉えられるのですが、客観的に判断したとはいえ、自身で判断している以上、その判断の正確性に疑問が生じる可能性が考えられると思いますが、そういった点はどうお考えでしょうか。
【日本証券業協会】
41

3-5-3-1

項番 6

個人データの取扱いを委託している場合においては、

意見・質問等:規則第 7 条第 3 号改正案に係る解釈について、「不正行為の相手方であ委託元と委託先の双方が個人データ又は個人情報をる『当該個人情報取扱事業者』には、当該個人情報取扱事業者の委託先、当該個人情報取り扱っており、又は取得しようとしていることになるた

29

該当箇所

寄せられた御意見

御意見に対する考え方

取扱事業者が第三者の提供するサービスを利用している場合の当該第三者、が含まれる。」とめ、報告対象事態に該当する場合には、原則として委ありますが、当該個人情報取扱事業者とその委託先の双方が漏えい等報告を行う理解でよろ 託元と委託先の双方が報告する義務を負います。
しいでしょうか。
【日本証券業協会】
42

3-5-3-1

項番 7

本ガイドライン案の記載から、個人データとして取り扱わ

意見・質問等:（※4）の、「個人データ又は個人情報」は、「個人データ（規則第 7 条第れることが予定されていない個人情報の漏えい等が報3 号に定める事態においては同号に規定する個人情報を含む。以下、本 3 の 5 の 3 の 1 にお告対象事態に含まれないことは御理解いただけるもの

いて同じ。）」と改めるべきである。報告義務の対象が広く個人情報一般に及ぶよう誤解を生と考えますので、原案どおりとさせていただきます。

じる可能性がある。
【日本証券業協会】
43

3-5-3-1

項番 8

個人データとして取り扱われることが予定されていない

意見・質問等:規則第 7 条第 3 号においては、「個人データとして取り扱われる予定の個人

個人情報の漏えい等は報告対象事態に含まれませ情報」が対象となっているところ、3 の 5 の 3 の 1 報告対象となる事態（※4）では、個人情ん。

報に特段の条件が記載されていないことから、従業者による不正の目的による漏えいは、「個人データとして取り扱われる予定のない個人情報」も報告の対象となると読み取れるが、どのように理解すればよいか。
【日本証券業協会】
44

3-5-3-1

項番 9

御指摘の場合も、「個人データとして取り扱われること

意見・質問等:「個人情報データベース等へ入力すること等」には、既存の個人情報データベが予定されている」に該当します。

ース等に新規取得した個人情報を入力することのみならず、取得した個人情報をもって新規の個人情報データベース等を構成する場合も含まれるのか。
【日本証券業協会】
30

該当箇所
45

3-5-3-1

寄せられた御意見

御意見に対する考え方

項番 10

個人情報データベース等へ入力すること等を予定して意見・質問等:「最終的に個人情報に該当しない統計情報への加工を行うことを予定していいれば、最終的に仮名加工情報又は匿名加工情報

る場合等」には、仮名加工情報又は匿名加工情報に加工を行うことを予定している場合も含への加工を行うことを予定している場合等であっても、まれるのか。

「個人データとして取り扱われることが予定されている」【日本証券業協会】

46

3-5-3-1に該当します。

7-8 頁

本ガイドライン（通則編）案における御指摘の記載

また、不正行為の相手方である「当該個人情報取扱事業者」には、当該個人情報取扱事

は、必ずしも、当該個人情報取扱事業者から当該第業者が第三者に個人データ又は個人情報の取扱いを委託している場合における当該第三者三者に対して個人データ又は個人情報が「提供」され（委託先）及び当該 「不正の目的をもって」漏えい等を発生させた主体には、第三者のみな ていることを前提とするものではありません。
らず、従業者も含まれる。
個人情報取扱事業者が個人データ又は個人情報を取り扱うにあたって第三者の提供するサービスを利用している場合における当該第三者も含まれる。
意見①
報告対象となる事態に、委託先等が利用する SaaS 等の第三者の提供するサービスも含まれることが明確化されたことを歓迎します。
この追加は、自社および委託先が SaaS 等サービス利用を行っている場合、個人情報の「提供」があるとの前提で、追加されたものとの理解しております。
その場合、本件は報告対象事態の明確化のみならず、提供、とりわけ委託の具体例でもあるため、法 27 条第 5 項第 1 号に事例３として追記いただくことを希望します。
31

該当箇所

寄せられた御意見

御意見に対する考え方

委託（法第 27 条第 5 項第 1 号関係）
事例 1）データの打ち込み等、情報処理を委託するために個人データを提供する場合
事例 2）百貨店が注文を受けた商品の配送のために、宅配業者に個人データを提供する
場合
事例３）委託先が第三者の提供するサービス(SaaS 等）を利用して個人情報の取扱いを行っており、サービス提供事業者の利用目的がサービス提供に限定されている場合
理由
規範明確化の本質についての正しい理解のため。
【ソフトバンク株式会社】
47

3-5-3-1（３）（3）2 段落目「不正の目的をもって行われたおそれがある当該個人情報取扱事業者に 「当該第三者」として、例えば、個人情報取扱事業者
対する行為」（以下「不正行為」という。）以下

が、個人情報の取得手段として、外部の事業者のサービスを活用している場合における、当該外部の事業者

また書きの後段に記載する「当該第三者」の具体例について教えていただきたい。
・また書きで最初に登場する「当該第三者」は「当該第三者（委託先）」とあるとおり、委託先を指しているが、その後段の「当該第三者」は委託先でないものを指していると考えられる。しかしながら、文脈上、「当該第三者」が提供元である個人情報取扱事業者の個人データ（該
当個人情報を含む。）を取り扱うのであれば、委託先を指していると解するほかないと考えられる。反対に「当該第三者」が個人データを取り扱わないのであれば、そのような第三者に対して32が考えられます。

該当箇所寄せられた御意見

御意見に対する考え方

発生した不正行為に対して、個人情報取扱事業者が報告義務を負うケースが明確でないと考えるため。
【一般社団法人全国銀行協会】
48

3-5-3-1

・報告対象となる事態として、「当該個人情報取扱事業者に対する行為による個人データ

御指摘の事例 6）における「ユーザーが当該ページに（3）（当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人デ入力した個人情報」は、「当該個人情報取扱事業者

ータとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、又は発生した が…取得しようとしている個人情報」に該当します。まおそれがある事態」が追加となったが、「取得しようとしている個人情報であって、個人データとした、本ガイドライン（通則編）案 3-5-3-1(3)【報告て取り扱われることが予定されているもの」とは 3-5-1-2 の事例 6 記載のような現時点では未を要する事例】の事例 7）及び事例 8）においても、取得の個人情報を指すということでよいか。イメージしやすいように何か例示をいただきたい。

「取得しようとしている個人情報」に該当する事例を示【一般社団法人全国信用金庫協会】
49

3-5-3-1

・不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による「不正の目的をもって行われたおそれがある当該個人（3）

漏えいが報告対象事態と定義されたが、不正行為以外の理由（事務ミスなど）で漏えいした

情報取扱事業者に対する行為」以外により漏えい等場合には、（３）には該当しないという理解で相違ないか。

が発生した場合、本規則案第 7 条第 3 号に定める事【一般社団法人全国信用金庫協会】
50

しています。

態には該当しません。

3-5-3-1

・個人データとして取り扱われることが予定されているものとあるが、取得当時は個人データと当初は個人データとして取り扱われることが予定されて（3）して取り扱われる事が予定されていたが、最終的に個人データとならなかったものの保存や処分

いた個人情報が、当該予定がなくなった後に漏えい等等については個人情報として扱ってよいのか。

し又はそのおそれが生じた場合、本規則案第 7 条第 3

例えば、当該個人情報が不正の目的をもって行われたおそれがある行為により漏えいした場
合には、「個人情報」としての取扱いとなるため、同項目に基づく報告対象にはならないという理解でよいか（業法に基づく努力義務となることを想定）。
【一般社団法人全国信用金庫協会】

33号に定める事態には該当しません。

51

該当箇所

寄せられた御意見

御意見に対する考え方

3-5-3-1

・「取得しようとしている情報」に該当するかどうかは、当該個人情報取扱事業者が用いてい本ガイドライン（通則編）案 3-5-3-1(3)【報告を要（3）

る個人情報の取得手段等を考慮して客観的に判断するとあるが、例えばどういった取得手段がする事例】の事例 6）、事例 7）及び事例 8）におい該当するのか。

て、「取得しようとしている個人情報」に該当する事例を【一般社団法人全国信用金庫協会】

52

示しています。

3-5-3-1

・個人情報データベース等に入力すること等を予定していれば、最終的に個人情報に該当し個人情報データベース等へ入力すること等を予定して（3）

ない統計情報への加工を予定している場合等であっても、「個人データとして取り扱われることがいれば、最終的に仮名加工情報、匿名加工情報又予定されている」に該当するとあるが、「個人情報に該当しない統計情報への加工」とは匿名加

は統計情報への加工を行うことを予定している場合等

工情報への加工を予定している場合を想定している認識で良いか。また、仮名加工情報としてであっても、「個人データとして取り扱われることが予定さ

加工が予定されている場合はどうか。

れている」に該当します。
【一般社団法人全国信用金庫協会】

53

3-5-3-1『当該個人情報取扱事業者が「取得しようとしている個人情報」』への該当性は、事例 6 に 当該個人情報取扱事業者が「取得しようとしている個
示されているとおり「個人情報取扱事業者のウェブサイトの入力ページ」など個人情報の取得を 人情報」に該当するかどうかは、個別の事案に応じて判目的としていることが分かるページ等、個人情報の取得が推定される場合に限定されているとの断されるものであり、御指摘の場合に限定されるもので理解でよいか。また、事例 6 はそのようなページへの攻撃による漏えいを前提としているという理はありません。

解でよいか。
理由：事例 6 のように、ウェブサイト自体が「改ざん」される事例だけでなく、DNS サーバの管理アカウントを窃取・窃用され、レコードを改変され罠サイトに誘導される、という事案も発生している。
当該罠サイトについては、個人情報取扱事業者がレコードの改変に気付いた時点では既に削除されており、実際に個人情報の漏えいがあったのか確認できないケースも考えられるため、『当該個人情報取扱事業者が「取得しようとしている個人情報」』への該当性は、「個人情報

34

該当箇所

寄せられた御意見

御意見に対する考え方

取扱事業者のウェブサイトの入力ページ」等、個人情報の取得が推定されるものに限定されることを確認させていただきたい。
【一般社団法人日本損害保険協会】
54

3-5-3-1

事例６に「個人情報取扱事業者のウェブサイトの入力ページが第三者に改ざんされ」につい「非がない」が何を意味するかは明らかではありませんて、個人情報取扱事業者に非がないと想定されるケースにおいて、「偽装したウェブサイトの作が、例えば、第三者が、個人情報取扱事業者の正規成」や「廃止したドメインのドロップキャッチによる偽装サイトへの誘導」といった行為により詐取され のウェブサイトに偽装したウェブサイトを作成し、当該偽た個人情報は、『当該個人情報取扱事業者が「取得しようとしている個人情報」』に該当しな 装したウェブサイトに個人情報が入力された場合であっいという理解でよいか。

て、当該偽装したウェブサイトに遷移するリンク等が、当

理由：個人情報取扱事業者に偽装したウェブサイトや、既に使わなくなったドメインの悪用に 該正規のウェブサイトや当該個人情報取扱事業者がついて、事前に発見し、予防措置を講じることは困難であり、個人情報取扱事業者に非がある

送信したメール等に設置又は記載されている等の事情

ケースでなかれば、対策や報告の義務を課すのは困難と思料する。

がないときは、当該入力された個人情報は、通常、「個人情報の保護に関する法律についてのガイドライン」に関するＱ＆Ａ６-６との関連で、Ｑ＆Ａにも追加説明を記載することを検討いただきたい。
55

3-5-3-1「当該個人情報取扱事業者が…取得しようとしている
個人情報」に該当するものではないと考えられます。な【一般社団法人日本損害保険協会】

お、御意見は今後の執務の参考とさせていただきます。

事例７に「当該ユーザーが当該偽の入力ページに入力した個人情報が当該第三者に送信

御指摘の事例において、第三者への送信が疑われるもされた場合」とあるが、「偽の入力ページに入力した個人情報が第三者に送信されたかどうか」のの送信された確証がない場合には、漏えいした「おそ確認ができないケースは報告不要との理解でよいか。

れ」が認められますので、報告を要します。

理由：「偽の入力ページに遷移した」ことまでは個人情報取扱事業者側で、ログで判明する可能性はあるが、「偽の入力ページに入力した個人情報が第三者に送信されたかどうか」は調査できないケースも多いと考えるため、確認させていただきたい。
なお、「偽の入力ページに個人情報を入力した」本人（被漏えい者）から、不審メール他の被害の申告がある場合は、第三者に送信されたものとして報告対象に該当すると考えている。
35

該当箇所

寄せられた御意見

御意見に対する考え方【一般社団法人日本損害保険協会】
56

3-5-3-1

個人情報が含まれるメールを受信した個人情報取扱事業者において、メールシステムがサイ

個別の事案毎に判断することになりますが、御指摘のバー攻撃にあった場合、メール内に含まれる個人情報は「個人データとして取り扱われることが事例であっても、例えば、メールアドレス帳に氏名を付し予定されている」ことに該当するか。

てメールアドレスを保存している場合、通常、メールシス

理由：電子メールの本文には様々な個人情報が含まれており、必ずしも個人データとして取テムの検索機能を使うことにより当該メールアドレスに係り扱うものでないものも含まれている。業として受信したことをもって、「取得しようとしている」またる検索を容易に行うことができるため、これらのメールはは「個人データとして取り扱われることが予定されている」に該当すると解釈される場合、メールシ

全体として、個人情報データベース等を構成し、個人

ステムがサイバー攻撃の被害に遭うと、メールに含まれるすべての個人情報が漏えいのおそれのデータに該当すると考えられます。

対象となってしまうが、その特定、通知は現実的には困難であるため、確認させていただきたい。

また、メール内に含まれる個人情報が個人データに該【一般社団法人日本損害保険協会】

当しない場合であっても、個人情報取扱事業者が個
人情報データベース等へ入力すること等を予定している
個人情報は「個人データとして取り扱われることが予定されている」に該当します。

57

3-5-3-1

Chat GPT に個人情報を入力したところ、意図せず再学習ができるようになっていた場合は個別の事案についてはお答えしかねますが、一般論とし不正の目的がある漏えい等として報告しなければならないでしょうか。再学習は、事業者にとってて、「不正の目的をもって行われたおそれがある当該個は不正な目的と言えるような気がしますが、いかがでしょうか。

人情報取扱事業者に対する行為」により、「個人デー【匿名】

タ（当該個人情報取扱事業者が取得し、又は取得
しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）」の漏えい等が発生し、又は発生したおそれがある場合には、
本規則案に基づく報告義務等が課されます。

36

該当箇所
58

3-5-3-2

寄せられた御意見

御意見に対する考え方

項番 11

本ガイドライン案の記載から、個人データとして取り扱わ

意見・質問等:「個人データ又は個人情報」は、「個人データ（規則第 7 条第 3 号に定める れることが予定されていない個人情報の漏えい等が報事態においては同号に規定する個人情報を含む。以下、本 3 の 5 の 3 の 2 において同じ。）」

告対象事態に含まれないことは御理解いただけるものと改めるべきである。報告義務の対象が広く個人情報一般に及ぶよう誤解を生じる可能性があと考えますので、原案どおりとさせていただきます。

る。
【日本証券業協会】
59

3-5-3-2「個人データの取り扱いを委託している場合においては」委託元と委託先の双方が個人デー御指摘の事案において、委託先は、自ら個人データとタ漏えい等の報告をする義務を負うこととなっているが、委託先にアンケート用紙の回収業務のして取り扱うことを予定していない個人情報の漏えい等みを委託する場合や、他社のオンラインフォーム作成サイトを利用する場合等、個人情報を取については、報告義務を負いません。もっとも、委託元得する行為のみを委託しており、委託先自身においては個人データとして取り扱うことは予定さ

は、委託元にとって「取得し又は取得しようとしている個

れていない場合も、委託元と委託先の双方が漏えい等報告義務を負うという理解で良いか。そ人情報であって、個人データとして取り扱われることがうであれば、その旨明確にしていただきたい。

予定されているもの」が漏えい等した場合には報告義
務を負いますので、委託先はこれに協力することが求め

仮にそうでないとすると、委託元としては、取得しようとしている個人情報の漏えい等について、委託先の協力がない限り認識できないことになるが、委託先にとって法令上の義務がない（またはガイドライン上その存否が不明確な）点についての報告義務を、契約条件に盛り込められるとは限らず、委託元にとってのみ法令遵守に対する負荷が大きくなることが懸念される。とりわけ、定型的な約款のもとでしか利用できない SaaS 型の個人情報収集サービス（個人データを取扱わないとするオンラインフォームの作成サイト等）の利用が困難となることが懸念され
る。
【匿名】

37

られます。

該当箇所
60

3-5-3-3

寄せられた御意見

御意見に対する考え方

ガイドライン通則 3-5-3-3 では

本意見募集は本規則案及び本ガイドライン案の改正漏えいから報告までの期間は、おおむね３？５日とされているが、現実には６日以上たって案の内容に関するものですので、御意見は、本意見募

報告することは認められていない集の対象外と考えます。

業態によっては、郵便の誤配のような、業者の責によるものではなく、影響範囲が特定されて限定されているケースが多いことがある。
後２？３日あれば、実際に漏えいがあったか確認し、顧客への説明や誤配郵便物の改修を完了させることができたとしても、５日ルールに縛られ、漏えい未確定の段階で、「恐れがある」として速報を出し、対応完了後にあらためて確報を出す、過度の負担を強いられている。
今回、この点についても対象として、
例えば・期間を１０日以内とする
・期間はあくまで目安であることを明確にする等の改正をお願いする【匿名】
61

3-5-4-1

個人情報の保護に関する法律についてのガイドライン（通則編） 3-5-4-1 において、報告

本ガイドライン案の御指摘の箇所は、法第 26 条第２対象事態が生じた場合、委託元と委託先が双方が本人への通知を行うこととしているが、以下項について説明したものですので、原案どおりとさせていの理由から、個人情報の取扱いの委託がある場合の通知義務の責任の所在は委託元としたう ただきます。
えで、委託元または委託先のどちらかが通知を行う形にしていただきたい。
【理由】
38

該当箇所

寄せられた御意見

御意見に対する考え方

・ユーザー本人からすると、委託先における個人情報の取扱いについては不知のため委託先からの通知を受けることを予期していないケースや、委託先での漏えいについて、ユーザーと直接やりとりしていない委託元から連絡が来ると混乱が予測されるケースなど、委託の実情によってさ
まざまなケースが考えられる。通知責任やどちらで通知を行うかの確認する責任は委託元が負うべきだが、通知自体は実情に応じて対応すべきである。
・同一事象について、通義義務を負う主体が、委託先と委託元双方であるとすると、通知内容が同一でない場合、双方から通知を受け取った本人は、どのように対応してよいかわからず、
また、どちらに問合せてよいかわからず、混乱させる。
・委託先自身も本人への通知義務があるとすると、委託先が委託元と連携することなく独自に通知を発信するなど委託先への統制上の問題が生じる。
【匿名】
62

3-5-4-1

・本人への通知義務について、必要に応じて委託元による本人への通知に協力することが求

例えば、委託先が、委託元への通知を行った後に、委められているとあるが、例えばどんな場合に協力する必要があるのか。想定している場面を教えて託元が本人へ通知すべき事項であって委託元が独自いただきたい。

に把握することが困難なものについて、新たに委託先が【一般社団法人全国信用金庫協会】

63

10

項番 12

把握した場合等が考えられます。
個人情報取扱事業者が取得し、又は取得しようとして

意見・質問等:項番 4（事務局注：意見番号 29）の理由により、（※1）は削除すべき いる個人情報であって、当該個人情報取扱事業者がである。または、「法第 23 条に定める「その他の個人データの安全管理のため、必要かつ適切

個人データとして取り扱うことを予定しているものが、当な措置」を講じるにあたっては、個人情報取扱事業者が取得し、又は取得しようとしている個人

該個人情報取扱事業者において個人情報データベー情報であって、当該個人情報取扱事業者が個人データとして取り扱うことを予定しているもののス等を構成する前の段階で漏えい等した場合であって漏えい等を防止するために必要かつ適切な措置も含まれることが望ましい。」という内容に留め

も、個人情報データベース等を構成することとなった後るべきである。

の段階で漏えい等した場合、すなわち、個人情報取扱
39

該当箇所

寄せられた御意見

御意見に対する考え方【日本証券業協会】

事業者が取り扱っている個人データが漏えい等した場
合と同様の結果が生ずることとなります。そのため、「その他の個人データの安全管理のために必要かつ適切な措置」には、個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取り扱うことを予定しているものの漏えい等を防止するために必要かつ適切な措置も含まれます。本ガイドライン案の御指摘の箇所は、このような従前からの解釈を明確化したものです
ので、原案どおりとさせていただきます。

⚫
64

個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）の一部を改正する告示（案）について

2-2-2-1

項番 13

個人情報取扱事業者が取得し、又は取得しようとして

意見・質問等:項番 4（事務局注：意見番号 29）の理由により、※2 の「法第 23 条に いる個人情報であって、当該個人情報取扱事業者が定める「その他の個人データの安全管理措置のために必要かつ適切な措置」には、個人情報

個人データとして取り扱うことを予定しているものが、当取扱事業者が個人データとして取り扱うことを予定しているものの漏えい等を防止するために必該個人情報取扱事業者において個人情報データベー

要かつ適切な措置も含まれる。また、」は削除すべきである。または、「法第 23 条に定める「そのス等を構成する前の段階で漏えい等した場合であって他の個人データの安全管理のため、必要かつ適切な措置」を講じるにあたっては、個人情報取も、個人情報データベース等を構成することとなった後扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者の段階で漏えい等した場合、すなわち、個人情報取扱が個人データとして取り扱うことを予定しているものの漏えい等を防止するために必要かつ適切な 事業者が取り扱っている個人データが漏えい等した場
措置も含まれることが望ましい。」という内容に留めるべきである。

合と同様の結果が生ずることとなります。そのため、「そ【日本証券業協会】の他の個人データの安全管理のために必要かつ適切な措置」には、個人情報取扱事業者が取得し、又は

40

該当箇所

寄せられた御意見

御意見に対する考え方
取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取り扱うことを予定しているものの漏えい等を防止するために必要かつ適切な措置も含まれます。本ガイドライン案の御指摘の箇所は、このような従前からの解釈を明確化したものです
ので、原案どおりとさせていただきます。

⚫
65

個人情報の保護に関する法律についてのガイドライン（行政機関等編）の一部を改正する告示（案）について

5-3-1
（１）

法６６条１項の解釈変更として、「その他の保有個人情報の安全管理のために必要かつ 御意見は今後の執務の参考とさせていただきます。
適切な措置」には、「行政機関等が取得し、又は取得しようとしている個人情報であって、保有

なお、行政機関等が取得し、又は取得しようとしている

個人情報として取り扱われることが予定されているものの漏えい等を防止するために必要かつ適個人情報であって、当該行政機関等が保有個人情切な措置も含まれる」とされるが、こうした漏えい等（の具体例ではなく）を防止するための具報として取り扱うことを予定しているものが、当該行政体策は、事務対応ガイドで示されるという理解で宜しいか。

機関等において行政文書に記録される前の段階で漏

令和５年９月２７日の個人情報保護委員会資料によると、「いわゆるウェブスキミングに えい等した場合であっても、行政文書に記録されることよる情報流出等を、漏えい等報告及び本人通知の対象となる事態とするため、規則等の改となった後の段階で漏えい等した場合、すなわち、行政正」をするものとされているが、特に想定する事態である「不正の目的をもって行われたおそれが機関等が取り扱っている保有個人情報が漏えい等したある（情報保有主体）に対する行為」について「特定電子計算機の使用によるもの」等の限場合と同様の結果が生ずることとなります。そのため、定がない。このため、防止すべき事態には、電気通信回線に接続されていない電子計算機を「その他の保有個人情報の安全管理のために必要か使用する第三者及び委託及び再委託等を行なった際の当該委託・再委託等を受けた者等につ適切な措置」には、行政機関等が取得し、又は取よる不正の目的をもって行われたおそれのある行為による漏えい等も含まれ得るという理解で宜得しようとしている個人情報であって、当該行政機関

しいか。必ずしも個人情報保護委員会において想定されたウェブ上のインシデントだけでないの等が保有個人情報として取り扱うことを予定しているもであれば、この解釈変更及び規則改正による対象拡張に伴う「必要かつ適切な措置」の具体のの漏えい等を防止するために必要かつ適切な措置も策を示されたい。

含まれます。本ガイドライン（行政機関等編）案の御
41

該当箇所

寄せられた御意見

御意見に対する考え方【東京都】

指摘の箇所は、このような従前からの解釈を明確化したものです。また、御理解のとおり、「不正の目的をもって行われたおそれがある当該行政機関の長等の属する行政機関等に対する行為」（規則第 43 条第３号）
は、電気通信回線に接続されている電子計算機を利用したものに限られません。

⚫
66

個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）の一部を改正する告示（案）について

3-4、5－7(1)今回の改正案では、他の法域から移転された個人データを含む個人データに政府がアク（１）賛同の御意見として承ります。

セスする際の透明性と説明責任の向上を促進する上で、OECD「民間部門が保有する個人デ（２）御意見は今後の執務の参考とさせていただきまータへのガバメントアクセスに関する宣言」「OECD TGA 宣言」）が、果たす役割について強調す。

しています。我々は OECD TGA 宣言の強力な支持者として、本改正ガイドラインを概ね支持（３）御意見は今後の執務の参考とさせていただきまします。

す 。なお 、 OECD 加盟 国以 外 の 外 国で あ って も 、OECD に加盟していないことのみをもって直ちに、当該(2)ガイドライン改正を実現させるための長期的なアプローチの一環として、我々は、G7 参加

外国において、本人の権利利益に重大な影響を及ぼ

国、および、DFFT の具体化のための国際枠組み（IAP：Institutional Arrangement

す可能性のある制度又は相当措置の実施に影響を

for Partnership）の他の参加国に対し、それぞれの法制度が OECD TGA 宣言の各原則

及ぼすおそれのある制度が存在することとなるものではまたは要素にどのように対応しているかを示す文書を公表することを推奨しました。これらの経済ありません。また、個人情報取扱事業者は、法第 28

圏が、そのような「マッピング」作業を行い、その結果を一般にアクセス可能なウェブサイトで公開

条等の法の規定に従う限り、提供先の第三者が所在することに同意すれば、この情報は (将来的には) 個人情報保護委員会のウェブサイト上で相する国が OECD 加盟国であるか否かを問わず、外国互参照することが可能となります。

にある第三者に対して個人データを提供することができ
ます。

42

該当箇所

寄せられた御意見

御意見に対する考え方(3)OECD TGA 宣言は OECD 加盟国によって採択されていますが、他の国ではまだ採択されていないため、OECD 非加盟国が OECD TGA 宣言の基準を満たしていない、あるいはOECD 非加盟国にデータを移転すべきではないという根拠のない推測を避けることが重要です。
これらの移転が、他の保護措置を条件として、個人情報保護法の下では認められている旨を
貴委員会のウェブサイトに説明として追加することを推奨します。
（理由）
BSA | Software Alliance 1(BSA | ザ・ソフトウェア・アライアンス、以下 BSA) および
Global Data Alliance（グローバル・データ・アライアンス、以下 GDA）2 は、「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）の一部を改正する告示（案）」（以下、ガイドライン改正案）における、データ移転に関する改正について、パ
ブリックコメントの機会を得られたことに感謝し、個人情報保護委員会 (以下、貴委員会) に以下の意見を提出します。3
今回の改正では、他の法域から移転された個人データを含む個人データに政府がアクセスする際の透明性と説明責任の向上を促進する上で、OECD「民間部門が保有する個人データへのガバメントアクセスに関する宣言」4（「OECD TGA 宣言」）が、果たす役割について強調しています。我々は OECD TGA 宣言の強力な支持者として、本ガイドライン改正案を概ね支
持します。
はじめに
BSA と GDA の会員企業は、今日の国境を越えた経済が顧客と国民の信頼に依存していることを認識し、テクノロジーやビジネスモデル全体にわたってデータを保護することに長年、深く

43

該当箇所

寄せられた御意見

御意見に対する考え方

コミットしています。我々は、越境データ移転を促進しながらも、個人データ保護とデータガバナン
スの基準を強化する日本の取り組みを強く支持しています。
GDA の「越境データ政策インデックス」5 に反映されている通り、国際的なデジタルネットワー
クを介してテクノロジーにアクセスし、データを安全に移転することを可能にすることは、経済的、また、その他の政府の政策目標の両方にとって非常に重要です。国境をまたぐ厳格な政策はプラ
イバシー6 を保護できないだけでなく、発展途上国 7 と中小企業 8 に打撃を与え、金融包摂
9 を妨げ、サイバーセキュリティ 10 を弱体化させ、イノベーション 11 遅らせ、そして様々な健康と安全 12、環境 13、その他の規制統制（汚職防止、マネーロンダリング防止、詐欺防止などを含む）14 目標を損なわさせます。データ移転はあらゆる分野 15、バリューチェーンのあらゆる段
階で 16 経済にとって極めて重要です。国連、世界貿易機関、世界銀行、他の開発銀行は、データのローカライゼーションの義務化やデータ移転の制限は、特に発展途上国にとって有害であると警告しています。BSA と GDA は、国境を越えたデータ移転を通じて、経済的機会、個人
データ保護、および上記の政策目標を支援するという日本の取り組みを支持します。
提言
我々の今回の意見は、 個人情報委員会規則 17 および関連するガイドラインに関し、以前提出した我々の意見 18 に基づいています。2023 年度のガイドライン改正案では、データを他国に移転する際には OECD TGA 宣言の原則も考慮することが推奨されています（下記）。
事業者が保有する個人情報について政府による情報収集が可能となる制度に関して、本人の権利利益に重大な影響を及ぼす可能性がある制度に該当するか否かを判断するに当たって

44

該当箇所

寄せられた御意見

御意見に対する考え方は、例えば、OECD「民間部門が保有する個人データに対するガバメントアクセスに関する宣言」（2022 年）を参照することが考えられる。19
ガイドライン改正案には、「本人の権利利益に重大な影響を及ぼす可能性がある制度」に関連する情報の例が含まれています。上記の OECD TGA 宣言への言及は、考慮に入れることができる新しい (3 番目の) 例です。この点につき、以下、我々の見解を記します。
第一に、我々は、ガイドライン改正案で提案されている OECD TGA 宣言への新たな言及を歓迎します。これは、政府が個人データへアクセスすることを国家安全保障と法執行の目的に限定する保護措置の重要な共通認識を示しています。BSA と GDA は、これらの共通原則を策定する OECD の取り組みを強く支援してきました。これは、今日のデジタル経済を推進する
国際的なデータ移転のための、より安定した環境づくりに役立つと信じています。個人情保護法に基づいて、企業がデータを移転することを可能にすることを促進するガイドラインに OECD TGA宣言を組み込もうとする、貴委員会の取り組みを我々は支持しています。
第二に、ガイドライン改正を実現させるための長期的なアプローチの一環として、我々は、G7
参加国および DFFT の具体化のための国際枠組み（IAP：Institutional Arrangement
for Partnership）の他の参加国に対し、それぞれの法制度が OECD TGA 宣言の各原則
または要素にどのように対応しているかを示す文書を公表することを推奨しました。20 これらの経済圏が、そのような「マッピング」作業を行い、その結果を一般にアクセス可能なウェブサイトで公開することに同意すれば、この情報は (将来的には) 貴委員会のウェブサイト上で相互参照することが可能となります。

45

該当箇所

寄せられた御意見

御意見に対する考え方

第三に、OECD TGA 宣言は OECD 加盟国によって採択されていますが、他の国ではまだ採択されていないため、OECD 非加盟国が OECD TGA 宣言の基準を満たしていない、あるいは OECD 非加盟国にデータを移転すべきではないという根拠のない推測を避けることが重要です。実際、これらの移転は、他の保護措置を条件として、個人情報保護法の下では既に認められており、貴委員会のウェブサイトにこの趣旨の説明文を追加することは有用であると考えます。
最後に、外国における個人情報保護制度に関する情報は、貴委員会が貴委員会のウェブサイトで提供する情報に基づくべきであるという、2021 年 6 月に我々が提出した意見を改めて述べさせていただきます。
結論
BSA と GDA は、ガイドライン改正案について意見する機会を得られたことに感謝しております。ガイドラインを継続的に改善していく際に、これらの推奨事項が役立つことを願っています。
貴委員会がガイドラインを更新し、幅広い関係者に関与してもらうための措置を講じていることに感謝します。上記提言に関し、ご質問や、より詳細な議論をご希望であれば、ぜひお知らせください。
＜参照リンク＞
1www.bsa.org を参照してください。
2www.globaldataalliance.org を参照してください。
3https://public-comment.egov.go.jp/servlet/PcmFileDownload?seqNo=0000259478 を参照してください。
46

該当箇所

寄せられた御意見

御意見に対する考え方

4OECD「民間部門が保有する個人データへのガバメントアクセスに関する宣言」(2022 年)(以下「OECD TGA 宣言」とする) は、以下で参照することができます：
https://legalinstruments.oecd.org/en/instruments/OECD-LEGAL0487#:~:text=WE%20ACKNOWLEDGE%20that%20government%20acces
s%20to%20personal%20data,vested%20with%20powers%20to%20lawful
ly%20access%20such%20data
5 https://globaldataalliance.org/resource/cross-border-data-policyindex/
6 https://globaldataalliance.org/issues/privacy/
7 https://globaldataalliance.org/issues/economic-development/
8 https://globaldataalliance.org/issues/small-businesses/
9 https://globaldataalliance.org/sectors/finance/
10https://globaldataalliance.org/issues/cybersecurity/
11 https://globaldataalliance.org/issues/innovation/
12 https://globaldataalliance.org/sectors/biopharmaceutical-rd/;https://globaldataalliance.org/sectors/medical-technology/;
https://globaldataalliance.org/sectors/healthcare/
13https://globaldataalliance.org/issues/environmental-sustainability/
14 https://globaldataalliance.org/issues/regulatory-compliance/
15https://globaldataalliance.org/wpcontent/uploads/2021/07/GDAeverysector.pdf

47

該当箇所

寄せられた御意見

御意見に対する考え方

16https://globaldataalliance.org/wpcontent/uploads/2021/07/infographicgda.pdf
17 例を参照してください。
https://www.globaldataalliance.org/downloads/en01252021gdacmtsapprul
es.pdf18 例を参照してください。https://globaldataalliance.org/wpcontent/uploads/2021/07/en06182021gdaamendappi.pdf
19 ガイドライン案の「外国にある第三者への提供編」5-2 提供すべき情報/(2)当該外国における個人情報の保護に関する制度に関する情報 – 例 3」を参照：https://publiccomment.e-gov.go.jp/servlet/PcmFileDownload?seqNo=0000259478
20Global Data Alliance、信頼性のあるデータの自由な流通（Data Free Flow with
Trust ） の パ ー ト ナ ー シ ッ プ の 国 際 協 定 に 関 す る 意 見 (2023) 、https://globaldataalliance.org/wpcontent/uploads/2023/04/04212023gdacmtsg7dfft.pdf; 「信頼性のあるデータの自由な流通（Data Free Flow with Trust）の相互運用のための制度的取り決め（Institutional Arrangement for Partnership）に関する グローバル産業界からの共同声明 (2023)」も参照してください:https://globaldataalliance.org/wpcontent/uploads/2023/04/04182023g7dfftglindustry.pdf【BSA | ザ・ソフトウェア・アライアンス、グローバル・データ・アライアンス】

48

該当箇所
67

5-2

寄せられた御意見

御意見に対する考え方

なぜ、個人情報保護委員会は「OECD「民間部門が保有する個人データに対するガバメン「民間が保有する個人データに対するガバメントアク

トアクセスに関する宣言」（2022 年）を参照することが考えられる」と考えるのか。記載の背セスに関する宣言」は、OECD 加盟国での法執行・国景を明らかにされたい。

家安全保障の目的のためのガバメントアクセスの原則【匿名】

を、OECD 加盟国の既存の法と実務から導き出された共通点として反映したものであり、OECD プライバシー
ガイドラインを補完し、ガバメントアクセスにかかる事実上の国際スタンダードとして機能することが期待されま
す。

68

5-2

3-4 頁

前段について、賛同の御意見として承ります。

（※3）事業者が保有する個人情報について政府による情報収集が可能となる制度に関後段について、事業者が保有する個人情報についてして、本人の権利利益に重大な影響を及ぼす可能性がある制度に該当するか否かを判断する政府による情報収集が可能となる制度に関して、本人に当たっては、例えば、OECD「民間部門が保有する個人データに対するガバメントアクセスに関の権利利益に重大な影響を及ぼす可能性のある制度する宣言」（2022 年）を参照することが考えられる。

に該当するか否か等は、同宣言に記載された「民間部門が保有する個人データへのガバメントアクセスに関す

意見②る原則」等を参照し、個別に判断する必要があります。

我が国が「信頼性のあるデータ流通（DFFT）」を主導し、セキュリティ、プライバシー保護、
データ保護等について生じる課題への対処の方策として、共通の価値観をもつ国々とスムーズなデータ移転の枠組みについて協議を進めていることを歓迎します。
一方、事業者が移転国の制度を確認する際には、各国ごとの評価が必要となります。実務において、本文書をどのように評価すべきか読み取りにくいため、当該文書に記載がある国はガ
バメントアクセスについてトラストして問題ない国であることがわかるよう、
49

該当箇所

寄せられた御意見

御意見に対する考え方※３の下部に、例えば以下のように追記いただくことを希望します。
追記例：（※3）事業者が保有する個人情報について政府による情報収集が可能となる制度に関して、本人の権利利益に重大な影響を及ぼす可能性がある制度に該当するか否かを判断するに当たっては、例えば、OECD「民間部門が保有する個人データに対するガバメントアクセスに関する宣言」（2022 年）を参照することが考えられる。
上記文書に記載のある宣言国は、”民主的価値に基づき、法の支配、プライバシー及びその他の人権と自由の保護を堅持し”、”共通の価値観に基づく正当なガバメントアクセス”を行っていると評価することができる。
その場合、「本人の権利利益に重大な影響を及ぼす可能性がある制度」がある国には該当しないと考えられる。
理由
文書の参照する際のポイントがわかりにくいため。
【ソフトバンク株式会社】
69

5-2

意見）

御意見は今後の執務の参考とさせていただきます。

（※3）

個人情報保護委員会にてご提供いただいている「外国における個人情報の保護に関する制度等の調査」に、当該宣言の採択有無やその他当該調査に関連する内容を含めた上で、当該宣言を参照するような規定を追加して頂きたい。
（理由）
50

該当箇所

寄せられた御意見

御意見に対する考え方

現在、規則第 17 条 2 項に規定されている情報を提供する際、個人情報保護委員会より、「事業者に参考となる情報を提供する観点（※）」から、左記調査結果について、ご提供を頂き、各事業者は活用している状況。
仮に当該宣言の情報が上記調査に含まれず、当該宣言の情報のみ個別に提供し、同意取得を行うこととなると、各事業者に一定負担が生じることとなる。上記調査に当該宣言を含めていただく形で、ガイドラインへの追加を検討頂きたい。
※令和３年９月 17 日 個人情報保護委員会事務局文書「外国における個人情報の保護に関する制度等の調査について」より抜粋【一般社団法人生命保険協会】
70

5-2（２）

外国等に提供する個人情報の本人に対して提供すべき、本人の権利利益に重大な影響を前段について、御指摘の箇所は、事業者が保有する（エ）事例

及ぼす可能性のある制度に関する情報（適切かつ合理的な方法で得られるものに限る。）と 個人情報について政府による情報収集が可能となる

１）

して注釈３を追加し、当該外国等の政府によるパブリックアクセス（「事業者に対し政府の情制度に関して、本人の権利利益に重大な影響を及ぼ

報収集活動への広範な協力義務を課すことにより、事業者が保有する個人情報について政府す可能性のある制度に該当するか否か等を判断するにによる広範な情報収集が可能となる制度」）を本人に注意喚起するために、その「制度に該当当たっては、「民間部門が保有する個人データに対するするか否かを判断するに当たっては、例えば、OECD「民間部門が保有する個人データに対する ガバメントアクセスに関する宣言」等を参照することが考ガバメントアクセスに関する宣言」（2022 年）を参照することが考えられる。」との例示を追加

えられる旨をお示しするものです。提供先の第三者がするものと思われるが、この視点で本人への情報提供及び注意喚起すべき情報は、差し詰め、所在する外国において、本人の権利利益に重大な影（１）令和４年 12 月 14 日及び 15 日に開催された OECD デジタル経済政策委員

響を及ぼす可能性のある制度等が存在する場合に会（CDEP）閣僚会合の共同宣言に賛同した国及び地域等は政府による広範な情報収集

は、当該制度の存在について本人への情報提供を行をしないよう努める外国等である旨、（２）これらの外国等以外の外国等は少なくとも上記共う必要がありますが、当該外国が上記宣言の採択に参

同宣言には賛同していない旨の２点であると解して良いか（６の２相当措置の継続的な実加しているか否かという点については、必ずしも本人へ

51

該当箇所

寄せられた御意見

御意見に対する考え方

施を確保するために必要な措置に関する情報も同じ）。漫然と上記共同宣言を参照するといの情報提供が求められるものではありません。

うだけでは、参照すべき情報の焦点が定まらないと思われる。

後段について、 御意見は今後の執務の参考とさせてまた、今回のパブリックコメントでは、規則及び告示としての性格を持つ各「ガイドライン」のみが対象となっているが、外国にある第三者への提供に相当する記載は、行政機関等においては「個人情報保護法ガイドライン（行政機関等編）」だけでなく、告示ではない「個人情報の保護に関する法律についての事務対応ガイド（行政機関等向け）」にも記載がある。行政機関
等が外国にある第三者に提供するときの本人に対する情報提供すべき情報としてのパブリックア
クセスの記載は、今回のパブリックコメントの対象である前者には記載がないが、後者において令和５年度中に記載されるという理解で良いか。
【東京都】※御意見はとりまとめの都合により整理・要約して掲載しております。
※上記のほか、本規則案及び本ガイドライン案の内容とは関係がないと考えられる御意見が 15 件ありました。

52

いただきます。