中小企業個人情報セキュリティー推進協会における個人情報保護指針（第４版）

一般社団法人

中小企業個人情報セキュリティー推進協会

1

目

1

次

目的及び適用対象 .............................................................................................. 5

1−1 目的 ....................................................................................................................5
1−2 適用対象 .............................................................................................................62

定義 ................................................................................................................... 7

2−1 個人情報(法第 2 条第 1 項関係) ..........................................................................7
2−2 個人識別符号(法第 2 条第 2 項関係) ...................................................................92−3 要配慮個人情報(法第 2 条第 3 項関係) .............................................................12
2−4 個人情報データベース等(法第 16 条第 1 項関係) .............................................17
2−5 個人情報取扱事業者(法第 16 条第 2 項・法第 2 条第 9 項、第 10 項、第 11項・法別表第 2 関係).................................................................................................192−6 個人データ(法第 16 条第 3 項関係) ..................................................................20
2−7 保有個人データ(法第 16 条第 4 項関係) ...........................................................21
2−8 個人関連情報(法第 2 条第 7 項関係) .................................................................23
2−9 個人関連情報取扱事業者(法第 16 条第 7 項関係) .............................................24
2−10 仮名加工情報(法第 2 条第 5 項関係) ...............................................................25
2−11 仮名加工情報取扱事業者(法第 16 条第 5 項関係) ...........................................27
2−12 匿名加工情報(法第 2 条第 6 項関係) ...............................................................28
2−13 匿名加工情報取扱事業者(法第 16 条第 6 項関係) ...........................................30
2−14 「本人に通知」 ..............................................................................................30
2−15 「公表」 .........................................................................................................31
2−16 「本人の同意」 ..............................................................................................32
2−17 「提供」 .........................................................................................................32
3

個人情報取扱事業者等の義務 ........................................................................... 33

3−1 個人情報の利用目的(法第 17 条・第 18 条、第 21 条第 3 項関係) ...................33

3−1−1 利用目的の特定(法第 17 条第 1 項関係) ...................................................33
3−1−2 利用目的の変更(法第 17 条第 2 項、第 21 条第 3 項関係) .......................36
3−1−3 利用目的による制限(法第 18 条第 1 項関係) ............................................37
3−1−4 事業の承継(法第 18 条第 2 項関係) ..........................................................38
3−1−5 利用目的による制限の例外(法第 18 条第 3 項関係) .................................39
3−2 不適正利用の禁止(法第 19 条関係) ...................................................................422

3−3 個人情報の取得(法第 20 条・第 21 条関係) ......................................................43

3−3−1 適正取得(法第 20 条第 1 項関係) ..............................................................43
3−3−2 要配慮個人情報の取得(法第 20 条第 2 項関係) ........................................443−3−3 利用目的の通知又は公表(法第 21 条第 1 項関係) ....................................47
3−3−4 直接書面等による取得(法第 21 条第 2 項関係) ........................................48
3−3−5 利用目的の通知等をしなくてよい場合(法第 21 条第 4 項関係) ...............50
3−4 個人データの管理(法第 22 条~第 25 条関係) ...................................................52

3−4−1 データ内容の正確性の確保等(法第 22 条関係) ........................................52
3−4−2 安全管理措置(法第 23 条関係) .................................................................52
3−4−3 従業者の監督(法第 24 条関係) .................................................................53
3−4−4 委託先の監督(法第 25 関係) .....................................................................54
3−5 個人データの漏えい等の報告等(第 26 条関係) .................................................57

3−5−1 「個人データ」の「漏えい等」の考え方 ................................................57
3−5−2 漏えい等事案が発覚した場合に講ずべき措置 .........................................59
3−5−3 個人情報保護委員会への報告(法第 26 条第 1 項関係) .............................60
3−5−4 本人への通知(法第 26 条第 2 項関係) ...................................................68
3−6 個人データの第三者への提供(第 27 条〜第 30 条関係) ....................................71

3−6−1 第三者提供の制限の原則(法第 27 条第 1 項関係) ....................................71
3−6−2 オプトアウトによる第三者提供(法第 27 条第 2 項~第 4 項関係) ............73
3−6−3 第三者に該当しない場合(法第 27 条第 5 項・第 6 項関係) ......................77
3−6−4 外国にある第三者への提供の制限(法第 28 条関係) .................................82
3−6−5 第三者提供に係る記録の作成等(法第 29 条関係) .....................................88
3−7 個人関連情報の第三者提供の制限等(法第 31 条関係) ......................................93

3−7−1 法第 31 条の適用の有無について .............................................................93
3−7−2 本人の同意の取得方法 .............................................................................95
3−7−3 本人の同意等の確認の方法(法第 31 条第 1 項関係) .................................97
3−7−4 提供元における記録義務(法第 31 条第 3 項、第 30 条第 3 項関係) .......102
3−7−5 提供先の第三者における確認義務(法第 30 条第 1 項) ...........................106
3−7−6 提供先の第三者における記録義務(法第 30 条第 3 項関係) ....................107
3−8 保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止等(法第 32 条~第 39 条関係) ............................................................................ 110

3−8−1 保有個人データに関する事項の公表等(法第 32 条関係) ........................ 110
3−8−2 保有個人データの開示(法第 33 条第 1 項~第 4 項関係) ......................... 112

3

3−8−3 第三者提供記録の開示(法第 33 条第 5 項、第 1 項~第 3 項関係) .......... 114
3−8−4 保有個人データの訂正等(法第 34 条関係) ............................................. 115
3−8−5 保有個人データの利用停止等(法第 35 条関係) ...................................... 116
3−8−6 理由の説明(法第 36 条関係) ................................................................... 118
3−8−7 開示等の請求等に応じる手続(法第 37 条関係) ...................................... 118
3−8−8 手数料(法第 38 条関係) ..........................................................................120
3−8−9 裁判上の訴えの事前請求(法第 39 条関係) .............................................120
3−9 個人情報の取扱いに関する苦情処理(法第 40 条関係) ....................................121
3−10 仮名加工情報取扱事業者等の義務(法第 41 条・第 42 条関係) .....................122

3−10−1 仮名加工情報の取扱いに係る義務の考え方 .........................................122
3−10−2 仮名加工情報を作成する個人情報取扱事業者の義務等 .......................122
3−10−3 個人情報である仮名加工情報の取扱いに関する義務等 .......................124
3−10−4 個人情報でない仮名加工情報の取扱いに関する義務等 .......................128
3−11 匿名加工情報取扱事業者等の義務(法第 43 条~第 46 条関係) ......................129

3−11−1 匿名加工情報の取扱いに係る義務の考え方 .........................................129
3−11−2 匿名加工情報の適正な加工(法第 43 条第 1 項関係) .............................129
3−11−3 匿名加工情報等の安全管理措置等(法第 43 条第 2 項、第 6 項、第 46 条
関係) ....................................................................................................................132
3−11−4 匿名加工情報の作成時の公表(法第 43 条第 3 項関係) .........................133
3−11−5 匿名加工情報の第三者提供(法第 43 条第 4 項、第 44 条関係) ............133
3−11−6 識別行為の禁止(法第 43 条第 5 項、第 45 条関係) ..............................1344

連絡・報告・相談、漏えい等の事案が発生した場合等の対応 ......................... 135

4−1 連絡・報告・相談 ...........................................................................................135
5

「勧告」
、
「命令」
、
「緊急命令」等についての考え方 ....................................... 135

6

適用除外及び域外適用(法第 57 条、第 166 条関係) ......................................... 138

6−1 適用除外(法第 57 条関係) ..............................................................................138
6−2 域外適用(法第 166 条関係) ............................................................................138
7

SP2 指針の見直し .......................................................................................... 139

4

1

目的及び適用対象

1−1

目的

本「中小企業個人情報セキュリティー推進協会（以下、「当社団」という。）
における個人情報保護指針（以下、「SP2 指針」という。）」は、事業者が個人情報の適正な取扱いの確保に関して行う活動を支援すること、及び当該支援により事業者が講ずる措置が適切かつ有効に実施されることを目的として、個人情報の保護に関する法律(平成 15 年法律第 57 号。以下「法」という。)第 4 条、第 9 条及び第 128 条に基づき具体的な指針として定めるものである。
なお、本 SP2 指針に定めていない部分については、「個人情報の保護に関する法律についてのガイドライン(通則編)」、「個人情報の保護に関する法律についてのガイドライン(外国にある第三者への提供編)」、「個人情報の保護に関する法律についてのガイドライン(第三者提供時の確認・記録義務編)」及び「個人情報の保護に関する法律についてのガイドライン(仮名加工情報・匿名加工情報編)」（以下、「ガイドライン等」という。）を参照するものとする。
本 SP2 指針の中で、「しなければならない」及び「してはならない」と記述している事項については、これらに従わなかった場合、法違反と判断される可能性がある。
一方、「努めなければならない」、「望ましい」等と記述している事項については、これらに従わなかったことをもって直ちに法違反と判断されることはない
が(5(「勧告」、「命令」、「緊急命令」等についての考え方)参照)、「個人情報は、個人の人格尊重の理念の下に慎重に取り扱われるべきものであることにかんがみ、その適正な取扱いが図られなければならない。」とする法の基本理念(法第 3条)を踏まえ、事業者の特性や規模に応じ可能な限り対応することが望まれるものである。もっとも、法の目的(法第 1 条)の趣旨に照らして、公益上必要な活動や正当な事業活動等までも制限するものではない。
本 SP2 指針において記述した具体例は、事業者の理解を助けることを目的として典型的なものを示したものであり、全ての事案を網羅したものでなく、記述

5

した内容に限定する趣旨で記述したものでもない。また、記述した具体例においても、個別ケースによっては別途考慮すべき要素もあり得るので注意を要する。
認定個人情報保護団体においては、法改正により、認定個人情報保護団体が対象事業者に対し個人情報保護指針を遵守させるために必要な措置をとらなければならないこととされたことを踏まえ(法第 54 条第 4 項参照)、認定個人情報保護団体である当社団が、個人情報保護指針を作成又は変更し、また、中小企業等の実態及び特性を踏まえ、当社団の対象事業者である当該会員企業を対象とした自主的ルールとして作成又は変更するものであり、認定個人情報保護団体の対象事業者である会員企業は、個人情報の取扱いに当たり、法、ガイドライン等に加えて、本 SP2 指針に沿った対応を行う必要があるものとする。
1−2

適用対象

本 SP2 指針は、事業者の業種・規模等を問わず、法の適用対象である個人情報取扱事業者、個人関連情報取扱事業者、仮名加工情報取扱事業者又は匿名加工
情報取扱事業者(以下「個人情報取扱事業者等」という。)に該当する、当社団の対象事業者である会員（以下、「会員等」という。）に適用されるものとする。

6

2

定義

2−1

個人情報(法第 2 条第 1 項関係)

「個人情報」(※1)とは、生存する「個人に関する情報」(※2)(※3)であって、「当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの(他の情報と容易に照合することができ(※4)、それにより特定の個人を識別することができるものを含む。)」(法第 2 条第 1 項第 1 号)、
又は「個人識別符号(※5)が含まれるもの」(同項第 2 号)をいう。
「個人に関する情報」とは、氏名、住所、性別、生年月日、顔画像等個人を識別する情報に限られず、個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化等によって秘匿化されているかどうかを問わない。
【個人情報に該当する事例】
事例 1)本人の氏名
事例 2)生年月日、連絡先(住所・居所・電話番号・メールアドレス)、会社における職位又は所属に関する情報について、それらと本人の氏名を組み合わせた情報
事例 3)防犯カメラに記録された情報等本人が判別できる映像情報
事例 4)本人の氏名が含まれる等の理由により、特定の個人を識別できる
音声録音情報事 例5) 特 定 の 個 人 を 識 別 で き る メ ー ル ア ド レ ス(kojin_ichiro@example.com 等のようにメールアドレスだけの情報の場
合であっても、example 社に所属するコジンイチロウのメールアドレス
であることが分かるような場合等)
事例 6)個人情報を取得後に当該情報に付加された個人に関する情報(取得時に生存する特定の個人を識別することができなかったとしても、取得後、新たな情報が付加され、又は照合された結果、生存する特定の個
人を識別できる場合は、その時点で個人情報に該当する。)
事例 7)官報、電話帳、職員録、法定開示書類(有価証券報告書等)、新聞、

7

ホームページ、SNS(ソーシャル・ネットワーク・サービス)等で公にされている特定の個人を識別できる情報(※1) 法は、「個人情報」、「要配慮個人情報」(2-3(要配慮個人情報)参照)、「個人データ」(2-6(個人データ)参照)、「保有個人データ」(2-7(保有個人データ)参照)、「個人関連情報」(2-8(個人関連情報)参照)、「仮名加工情報」(2-10(仮名加工情報)参照)、「匿名加工情報」(2-12(匿名加工情報)参照)等の語を使い分けており、個人情報取扱事業者等に課される義務はそれぞれ異なるので、注意を要する。
(※2)死者に関する情報が、同時に、遺族等の生存する個人に関する情報でもある場合には、当該生存する個人に関する情報に該当する。
(※3)法人その他の団体は「個人」に該当しないため、法人等の団体そのものに関する情報は「個人情報」に該当しない(ただし、役員、従業員等に関する情報は個人情報に該当する。)。なお、「個人」は日本国民に限らず、外国人も含まれる。
(※4)「他の情報と容易に照合することができ」るとは、事業者の実態に即して個々の事例ごとに判断されるべきであるが、通常の業務における一般的な方法で、他の情報と容易に照合することができる状態をいい、
例えば、他の事業者への照会を要する場合等であって照合が困難な状態
は、一般に、容易に照合することができない状態であると解される。
(※5)個人識別符号については、2−2(個人識別符号)を参照のこと。

8

2−2

個人識別符号(法第 2 条第 2 項関係)

「個人識別符号」とは、当該情報単体から特定の個人を識別できるものとして個人情報の保護に関する法律施行令(平成 15 年政令第 507 号。以下「政令」という。)に定められた文字、番号、記号その他の符号をいい、これに該当するものが含まれる情報は個人情報となる(2-1(個人情報)参照)(※)。
具体的な内容は、政令第 1 条及び個人情報の保護に関する法律施行規則(平成28 年個人情報保護委員会規則第 3 号。以下「規則」という。)第 2 条から第 4 条までに定めるとおりである。
政令第 1 条第 1 号においては、同号イからトまでに掲げる身体の特徴のいず
れかを電子計算機の用に供するために変換した文字、番号、記号その他の符号のうち、「特定の個人を識別するに足りるものとして個人情報保護委員会規則で定める基準に適合するもの」が個人識別符号に該当するとされている。当該基準は規則第 2 条において定められているところ、この基準に適合し、個人識別符号に該当することとなるものは次のとおりである。
イ

細胞から採取されたデオキシリボ核酸(別名 DNA)を構成する塩基の配列
ゲノムデータ(細胞から採取されたデオキシリボ核酸(別名 DNA)を構成する塩基の配列を文字列で表記したもの)のうち、全核ゲノムシークエ
ンスデータ、全エクソームシークエンスデータ、全ゲノム一塩基多型(singlenucleotidepolymorphism:SNP)データ、互いに独立な 40 箇所以
上の SNP から構成されるシークエンスデータ、9 座位以上の 4 塩基単位の繰り返し配列(shorttandemrepeat:STR)等の遺伝型情報により本人を認証することができるようにしたもの
ロ

顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状によって定まる容貌
顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状から抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの

9

ハ

虹彩の表面の起伏により形成される線状の模様
虹彩の表面の起伏により形成される線状の模様から、赤外光や可視光等を用い、抽出した特徴情報を、本人を認証することを目的とした装置
やソフトウェアにより、本人を認証することができるようにしたもの

ニ

発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化によって定まる声の質
音声から抽出した発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化に関する特徴情報を、話者認識システム等本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの
ホ

歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様
歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様から抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの

ヘ

手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状
手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状等から、赤外光や可視光等を用い抽出した特徴
情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの
ト

指紋又は掌紋(指紋)指の表面の隆線等で形成された指紋から抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの(掌紋)手のひらの表面の隆線や皺等で形成された掌紋から抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるように
したもの

10

チ

組合せ
政令第 1 条第 1 号イからトまでに掲げるものから抽出した特徴情報
を、組み合わせ、本人を認証することを目的とした装置やソフトウェア
により、本人を認証することができるようにしたもの(※)「その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように」(法第 2 条第 2 項第 2 号)とは、文字、番号、記号その他の符号が利用者等によって異なるようにすることをいう。

11

2−3

要配慮個人情報(法第 2 条第 3 項関係)

「要配慮個人情報」とは、不当な差別や偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして次の(1)から(11)までの記述等が含まれる個人情報をいう。
要配慮個人情報の取得や第三者提供には、原則として本人の同意が必要であり、法第 23 条第 2 項の規定による第三者提供(オプトアウトによる第三者提供)は認められていないので、注意が必要である(「3−2−2 要配慮個人情報の取得」、「3−6−1 第三者提供の制限の原則」、「3−6−2 オプトアウトによる第三者提供」参照)。また、要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態が生じた場合には、個人情報保護委員会に報告しなければならない(「3−5−3 個人情報保護委員会への報告」参照)。
なお、次に掲げる情報を推知させる情報にすぎないもの(例:宗教に関する書籍の購買や貸出しに係る情報等)は、要配慮個人情報には含まない。
(1)人種
人種、世系又は民族的若しくは種族的出身を広く意味する。なお、単純な国籍や「外国人」という情報は法的地位であり、それだけでは人種には含まない。また、肌の色は、人種を推知させる情報にすぎないため、人種には含
まない。
(2)信条
個人の基本的なものの見方、考え方を意味し、思想と信仰の双方を含むものである。
(3)社会的身分
ある個人にその境遇として固着していて、一生の間、自らの力によって容易にそれから脱し得ないような地位を意味し、単なる職業的地位や学歴は含
まない。
(4)病歴
病気に罹患した経歴を意味するもので、特定の病歴を示した部分(例:特定12の個人ががんに罹患している、統合失調症を患っている等)が該当する。
(5)犯罪の経歴
前科、すなわち有罪の判決を受けこれが確定した事実が該当する。
(6)犯罪により害を被った事実
身体的被害、精神的被害及び金銭的被害の別を問わず、犯罪の被害を受けた事実を意味する。具体的には、刑罰法令に規定される構成要件に該当し得る行為のうち、刑事事件に関する手続に着手されたものが該当する。
(7)身体障害、知的障害、精神障害(発達障害を含む。)その他の個人情報保護委員会規則で定める心身の機能の障害があること(政令第 2 条第 1 号関係)
次の①から④までに掲げる情報をいう。この他、当該障害があること
又は過去にあったことを特定させる情報(例:障害者の日常生活及び社会
生活を総合的に支援するための法律(平成 17 年法律第 123 号)に基づく障害福祉サービスを受けていること又は過去に受けていたこと)も該当する。
①「身体障害者福祉法(昭和 24 年法律第 283 号)別表に掲げる身体上の障害」があることを特定させる情報・医師又は身体障害者更生相談所により、別表に掲げる身体上の障害があることを診断又は判定されたこと(別表上の障害の名称や程度に関する情報を含む。)
・都道府県知事、指定都市の長又は中核市の長から身体障害者手帳の交付を受け並びに所持していること又は過去に所持していたこと(別表上の障害の名称や程度に関する情報を含む。)
・本人の外見上明らかに別表に掲げる身体上の障害があること②「知的障害者福祉法(昭和 35 年法律第 37 号)にいう知的障害」があることを特定させる情報
・医師、児童相談所、知的障害者更生相談所、精神保健福祉セ
ンター、障害者職業センターにより、知的障害があると診断又は判定されたこと(障害の程度に関する情報を含む。)

13

・都道府県知事又は指定都市の長から療育手帳の交付を受け並びに所持していること又は過去に所持していたこと(障害の程度に関する情報を含む。)③「精神保健及び精神障害者福祉に関する法律(昭和 25 年法律第 123号)にいう精神障害(発達障害者支援法(平成 16 年法律第 167 号)第 2
条第 2 項に規定する発達障害を含み、知的障害者福祉法にいう知的障害を除く。)」があることを特定させる情報・医師又は精神保健福祉センターにより精神障害や発達障害があると診断又は判定されたこと(障害の程度に関する情報を含む。)
・都道府県知事又は指定都市の長から精神障害者保健福祉手帳の交付を受け並びに所持していること又は過去に所持していたこと(障害の程度に関する情報を含む。)④「治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生活及び社会生活を総合的に支援するための法律第 4 条
第 1 項の政令で定めるものによる障害の程度が同項の厚生労働大臣
が定める程度であるもの」があることを特定させる情報
・医師により、厚生労働大臣が定める特殊の疾病による障害により継続的に日常生活又は社会生活に相当な制限を受けていると診断されたこと(疾病の名称や程度に関する情報を含む。)(8)本人に対して医師その他医療に関連する職務に従事する者(次号において「医師等」という。)により行われた疾病の予防及び早期発見のための健康診断その他の検査(同号において「健康診断等」という。)の結果(政令第 2 条
第 2 号関係)(※)
疾病の予防や早期発見を目的として行われた健康診査、健康診断、特定健康診査、健康測定、ストレスチェック、遺伝子検査(診療の過程で行われたものを除く。)等、受診者本人の健康状態が判明する検査の結果が該当する。
具体的な事例としては、労働安全衛生法(昭和 47 年法律第 57 号)に基づいて行われた健康診断の結果、同法に基づいて行われたストレスチェ
ックの結果、高齢者の医療の確保に関する法律(昭和 57 年法律第 80 号)

14

に基づいて行われた特定健康診査の結果などが該当する。また、法律に定められた健康診査の結果等に限定されるものではなく、人間ドックなど保険者や事業主が任意で実施又は助成する検査の結果も該当する。さらに、医療機関を介さないで行われた遺伝子検査により得られた本人の遺伝型とその遺伝型の疾患へのかかりやすさに該当する結果等も含まれる。なお、健康診断等を受診したという事実は該当しない。
なお、身長、体重、血圧、脈拍、体温等の個人の健康に関する情報を、
健康診断、診療等の事業及びそれに関する業務とは関係ない方法により知り得た場合は該当しない。
(9)健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若
しくは調剤が行われたこと(政令第 2 条第 3 号関係)(※)
「健康診断等の結果に基づき、本人に対して医師等により心身の状態の改善のための指導が行われたこと」とは、健康診断等の結果、特に健康の保持に努める必要がある者に対し、医師又は保健師が行う保健指導等の内容が該当する。
指導が行われたことの具体的な事例としては、労働安全衛生法に基づき医師又は保健師により行われた保健指導の内容、同法に基づき医師により行われた面接指導の内容、高齢者の医療の確保に関する法律に基づき医師、保健師、管理栄養士により行われた特定保健指導の内容等が該当する。また、法律に定められた保健指導の内容に限定されるものではなく、保険者や事業主が任意で実施又は助成により受診した保健指導の内容も該当する。なお、保健指導等を受けたという事実も該当する。
「健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により診療が行われたこと」とは、病院、診療所、その他の医療を提供する施設において診療の過程で、患者の身体の状況、病状、治療状況等について、医師、歯科医師、薬剤師、看護師その他の医療従事者が知り得た情報全てを指し、例えば診療記録等がこれに該当する。また、病院等を受診したという事実も該当する。
「健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により調剤が行われたこと」とは、病15

院、診療所、薬局、その他の医療を提供する施設において調剤の過程で患者の身体の状況、病状、治療状況等について、薬剤師(医師又は歯科医師が自己の処方箋により自ら調剤する場合を含む。)が知り得た情報全てを指し、調剤録、薬剤服用歴、お薬手帳に記載された情報等が該当する。
また、薬局等で調剤を受けたという事実も該当する。
なお、身長、体重、血圧、脈拍、体温等の個人の健康に関する情報を、
健康診断、診療等の事業及びそれに関する業務とは関係のない方法により知り得た場合は該当しない。
(10)本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと(犯罪の経歴を除く。)(政令第 2 条第 4 号関係)本人を被疑者又は被告人として刑事事件に関する手続が行われたという事実が該当する。他人を被疑者とする犯罪捜査のために取調べを受けた事実や、証人として尋問を受けた事実に関する情報は、本人を被疑者又は被告人としていないことから、これには該当しない。
(11)本人を少年法(昭和 23 年法律第 168 号)第 3 条第 1 項に規定する少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと(政令第 2 条第 5 号関係)
本人を非行少年又はその疑いのある者として、保護処分等の少年の保護事件に関する手続が行われたという事実が該当する。
(※)遺伝子検査により判明する情報の中には、差別、偏見につながり得るもの(例:将来発症し得る可能性のある病気、治療薬の選択に関する情報等)が含まれ得るが、当該情報は、「本人に対して医師その他医療に関連する職務に従事する者により行われた疾病の予防及び早期発見のための健康診断その他の検査の結果」(政令第 2 条第 2 号関係)又は「健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療
若しくは調剤が行われたこと」(政令第 2 条第 3 号関係)に該当し得る。

16

2−4

個人情報データベース等(法第 16 条第 1 項関係)

「個人情報データベース等」とは、特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した、個人情報を含む情報の集合物をいう。また、コンピュータを用いていない場合であっても、紙面で処理した個人情報を一定の規則(例えば、五十音順等)に従って整理・分類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当する。
ただし、次の(1)から(3)までのいずれにも該当するものは、利用方法からみて個人の権利利益を害するおそれが少ないため、個人情報データベース等には該当しない。
(1)不特定かつ多数の者に販売することを目的として発行されたものであって、かつ、その発行が法又は法に基づく命令の規定に違反して行われたものでないこと。
(2)不特定かつ多数の者により随時に購入することができ、又はできたものであること。
(3)生存する個人に関する他の情報を加えることなくその本来の用途に供しているものであること。
【個人情報データベース等に該当する事例】
事例 1)電子メールソフトに保管されているメールアドレス帳(メールア
ドレスと氏名を組み合わせた情報を入力している場合)
事例 2)インターネットサービスにおいて、ユーザーが利用したサービスに係るログ情報がユーザーID によって整理され保管されている電子フ
ァイル(ユーザーID と個人情報を容易に照合することができる場合)
事例 3)従業者が、名刺の情報を業務用パソコン(所有者を問わない。)の
表計算ソフト等を用いて入力・整理している場合
事例 4)人材派遣会社が登録カードを、氏名の五十音順に整理し、五十音順のインデックスを付してファイルしている場合

17

【個人情報データベース等に該当しない事例】
事例 1)従業者が、自己の名刺入れについて他人が自由に閲覧できる状況に置いていても、他人には容易に検索できない独自の分類方法により名刺を分類した状態である場合
事例 2)アンケートの戻りはがきが、氏名、住所等により分類整理されていない状態である場合
事例 3)市販の電話帳、住宅地図、職員録、カーナビゲーションシステム
等

18

2−5

個人情報取扱事業者(法第 16 条第 2 項・法第 2 条第 9 項、第 10 項、第 11項・法別表第 2 関係)「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者のうち、国の機関、地方公共団体、法第 2 条第 9 項に規定する独立行政法
人等(別表第 2 に掲げる法人を除く。)及び法第 2 条第 10 項に規定する地方独立行政法人を除いた者をいう。
ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。
また、個人情報データベース等を事業の用に供している者であれば、当該個人情報データベース等を構成する個人情報によって識別される特定の個人の数の多寡にかかわらず、個人情報取扱事業者に該当する。
なお、法人格のない、権利能力のない社団(任意団体)又は個人であっても、個人情報データベース等を事業の用に供している場合は個人情報取扱事業者に該当
する。

19

2−6

個人データ(法第 16 条第 3 項関係)

「個人データ」とは、個人情報取扱事業者が管理する「個人情報データベース
等」を構成する個人情報をいう。
なお、法第 16 条第 1 項及び政令第 4 条第 1 項に基づき、利用方法からみて個人の権利利益を害するおそれが少ないため、個人情報データベース等から除かれているもの(例:市販の電話帳・住宅地図等)を構成する個人情報は、個人データに該当しない(2−4(個人情報データベース等)参照)。
【個人データに該当する事例】
事例 1)個人情報データベース等から外部記録媒体に保存された個人情報事例 2)個人情報データベース等から紙面に出力された帳票等に印字された個人情報【個人データに該当しない事例】
事例)個人情報データベース等を構成する前の入力用の帳票等に記載されている個人情報20

2−7

保有個人データ(法第 16 条第 4 項関係)

「保有個人データ」(※1)とは、個人情報取扱事業者が、本人又はその代理人から請求される開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止の全て(以下「開示等」という。)に応じることができる権限を有する(※2)「個人データ」をいう。
ただし、個人データのうち、次に掲げるものは、「保有個人データ」ではない。
(1)当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの。
事例)家庭内暴力、児童虐待の被害者の支援団体が保有している、加害者(配偶者又は親権者)及び被害者(配偶者又は子)を本人とする個人データ(2)当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの。
事例 1)暴力団等の反社会的勢力による不当要求の被害等を防止するために事業者が保有している、当該反社会的勢力に該当する人物を本人とする個人データ事例 2)不審者や悪質なクレーマー等による不当要求の被害等を防止するために事業者が保有している、当該行為を行った者を本人とする個人
データ(3)当該個人データの存否が明らかになることにより、国の安全が害される
おそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若
しくは国際機関との交渉上不利益を被るおそれがあるもの。
事例 1)製業者、情報サービス事業者等が保有している、防衛に関連する
兵器・設備・機器・ソフトウェア等の設計又は開発の担当者名が記録された、当該担当者を本人とする個人データ
事例 2)要人の訪問先やその警備会社が保有している、当該要人を本人とする行動予定等の個人データ(4)当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は21

捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの。
事例 1)警察から捜査関係事項照会等がなされることにより初めて取得
した個人データ事例 2)警察から契約者情報等について捜査関係事項照会等を受けた事
業者が、その対応の過程で作成した照会受理簿・回答発信簿、照会対象者リスト等の個人データ(※なお、当該契約者情報自体は「保有個人デー
タ」に該当する。)
事例 3)犯罪による収益の移転防止に関する法律(平成 19 年法律第 22 号)
第 8 条第 1 項に基づく疑わしい取引(以下「疑わしい取引」という。)の届出の有無及び届出に際して新たに作成した個人データ
事例 4)振り込め詐欺に利用された口座に関する情報に含まれる個人データ(※1) 法は、「個人情報」(2-1(個人情報)参照)、「要配慮個人情報」(2-3(要配慮個人情報)参照)、「個人データ」(2-6(個人データ)参照)、「保有個人データ」、「個人関連情報」(2-8(個人関連情報)参照)、「仮名加工情報」(210(仮名加工情報)参照)、「匿名加工情報」(2-12(匿名加工情報)参照)等の語を使い分けており、個人情報取扱事業者等に課される義務はそれぞれ異なるので、注意を要する。
(※2) 開示等の具体的な対応が必要となる場合等については、3-8-2(保有個人データの開示)以降を参照のこと。なお、個人データの取扱いについて、委託等により複数の個人情報取扱事業者が関わる場合には、契約等の実態によって、どの個人情報取扱事業者が開示等に応じる権限を有しているのかについて判断することとなる。

22

2−8

個人関連情報(法第 2 条第 7 項関係)

個人関連情報とは、生存する個人に関する情報であって、個人情報、仮名加工
情報及び匿名加工情報のいずれにも該当しないものをいう。
「個人に関する情報」とは、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報である。
「個人に関する情報」のうち、氏名、生年月日その他の記述等により特定の個人を識別することができるもの
は、個人情報に該当するため、個人関連情報には該当しない。
また、統計情報は、特定の個人との対応関係が排斥されている限りにおいては、「個人に関する情報」に該当するものではないため、個人関連情報にも該当しない。
【個人関連情報に該当する事例(※)】
事例 1)Cookie 等の端末識別子を通じて収集された、ある個人のウェブサイトの閲覧履歴
事例 2)メールアドレスに結び付いた、ある個人の年齢・性別・家族構成等
事例 3)ある個人の商品購買履歴・サービス利用履歴
事例 4)ある個人の位置情報
事例 5)ある個人の興味・関心を示す情報(※)個人情報に該当する場合は、個人関連情報に該当しないことになる。例えば、
一般的に、ある個人の位置情報それ自体のみでは個人情報には該当しないもの
ではあるが、個人に関する位置情報が連続的に蓄積される等して特定の個人を識別することができる場合には、個人情報に該当し、個人関連情報には該当しな
いことになる。

23

2−9

個人関連情報取扱事業者(法第 16 条第 7 項関係)

「個人関連情報取扱事業者」とは、個人関連情報を含む情報の集合物であって、特定の個人関連情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の個人関連情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの(第 31 条第 1 項において「個人関連情報データベース等」という。)を事業の用に供している者をいう。
ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。なお、法人格のない、権利能力のない社団(任意団体)又は個人であっても、個人関連情報データベース等を事業の用に供している場合は、個人関連情報取扱事業者に該当する。

24

2−10

仮名加工情報(法第 2 条第 5 項関係)

「仮名加工情報」とは、個人情報を、その区分に応じて次に掲げる措置を講じて他の情報と照合しない限り特定の個人を識別することができないように加工して得られる個人に関する情報をいう。
(1)法第 2 条第 1 項第 1 号に該当する「当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別できるもの(他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。)」
である個人情報の場合、当該個人情報に含まれる記述等の一部を削除すること(2)法第 2 条第 1 項第 2 号に該当する「個人識別符号が含まれる」個人情報の場
合、当該個人情報に含まれる個人識別符号の全部を削除すること(この措置を講じた上で、まだなお法第 2 条第 1 項第 1 号に該当する個人情報であった場合には、同号に該当する個人情報としての加工を行う必要がある。)「削除すること」には、「当該一部の記述等」又は「当該個人識別符号」を「復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む」とされている。「復元することのできる規則性を有しない方法」とは、置き換えた記述等から、置き換える前の特定の個人を識別することとなる記述
等又は個人識別符号の内容を復元することができない方法である。
なお、法において「特定の個人を識別することができる」とは、情報単体又は複数の情報を組み合わせて保存されているものから社会通念上そのように判断できるものをいい、一般人の判断力又は理解力をもって生存する具体的な人物と情報の間に同一性を認めるに至ることができるかどうかによるものである。仮名加工情報に求められる「他の情報と照合しない限り特定の個人を識別することができない」という要件は、加工後の情報それ自体により特定の個人を識別することができないような状態にすることを求めるものであり、当該加工後の情報とそれ以外の他の情報を組み合わせることによって特定の個人を識別することができる状態にあることを否定するものではない。
仮名加工情報を作成するときは、法第 41 条第 1 項に規定する個人情報の保護に25

関する法律施行規則(平成 28 年個人情報保護委員会規則第 3 号。以下「規則」という。)で定める基準に従って加工する必要があり、法第 2 条第 5 項に定める措置を含む必要な措置は当該規則で定めている(仮名加工情報の作成に必要な加工義務については、3-10-2-1(仮名加工情報の適正な加工)参照)。

26

2−11

仮名加工情報取扱事業者(法第 16 条第 5 項関係)

「仮名加工情報取扱事業者」とは、仮名加工情報を含む情報の集合物であって、特定の仮名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の仮名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの(第 41 条第 1 項において「仮名加工情報データベース等」という。)を事業の用に供している者をいう。ただし、第 2 項各号に掲げる者を除く。
ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。なお、法人格のない、権利能力のない社団(任意団体)又は個人であっても、仮名加工情報データベース等を事業の用に供している場合は、仮名加工情報取扱事業者に該当する。

27

2−12

匿名加工情報(法第 2 条第 6 項関係)

「匿名加工情報」とは、個人情報を個人情報の区分に応じて定められた措置を講じて特定の個人を識別することができないように加工して得られる個人に関する情報であって、当該個人情報を復元して特定の個人を再識別することができないようにしたものをいう。
法第 2 条第 1 項第 1 号に該当する「当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別できるもの(他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。)」
である個人情報の場合には、「特定の個人を識別することができないように個人情報を加工」とは、特定の個人を識別することができなくなるように当該個人情報に含まれる氏名、生年月日その他の記述等を削除することを意味する。
法第 2 条第 1 項第 2 号に該当する「個人識別符号が含まれる」個人情報の場
合には、「特定の個人を識別することができないように個人情報を加工」とは、当該個人情報に含まれる個人識別符号の全部を特定の個人を識別することができなくなるように削除することを意味する(この措置を講じた上で、まだなお法第 2 条第 1 項第 1 号に該当する個人情報であった場合には、同号に該当する個
人情報としての加工を行う必要がある。)。
「削除すること」には、「当該一部の記述等」又は「当該個人識別符号」を「復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む」とされている。
「復元することのできる規則性を有しない方法」とは置き換えた記述から、置き換える前の特定の個人を識別することとなる記述等又は個人識別符号の内容を復元することができない方法である。
なお、法において「特定の個人を識別することができる」とは、情報単体又は複数の情報を組み合わせて保存されているものから社会通念上そのように判断できるものをいい、一般人の判断力又は理解力をもって生存する具体的な人物と情報の間に同一性を認めるに至ることができるかどうかによるものである。
匿名加工情報に求められる「特定の個人を識別することができない」という要件
は、あらゆる手法によって特定することができないよう技術的側面から全ての28

可能性を排除することまでを求めるものではなく、少なくとも、一般人及び一般的な事業者の能力、手法等を基準として当該情報を個人情報取扱事業者又は匿名加工情報取扱事業者が通常の方法により特定できないような状態にすることを求めるものである。
また、「当該個人情報を復元することができないようにしたもの」とは、通常の方法では、匿名加工情報から匿名加工情報の作成の元となった個人情報に含まれていた特定の個人を識別することとなる記述等又は個人識別符号の内容を特定すること等により、匿名加工情報を個人情報に戻すことができない状態にすることをいう。
「当該個人情報を復元することができないようにしたもの」という要件は、あらゆる手法によって復元することができないよう技術的側面から全ての可能性を排除することまでを求めるものではなく、少なくとも、一般人及び一般的な事業者の能力、手法等を基準として当該情報を個人情報取扱事業者又は匿名加工
情報取扱事業者が通常の方法により復元できないような状態にすることを求めるものである。
匿名加工情報を作成するときは、法第 36 条第 1 項に規定する基準に従って加工する必要があり、法第 2 条第 11 項に定める措置を含む必要な措置は当該規則で定めている。(匿名加工情報の作成に必要な加工義務については、3-11-2(匿名
加工情報の適正な加工)参照)
なお、「統計情報」は、複数人の情報から共通要素に係る項目を抽出して同じ分類ごとに集計して得られるデータであり、集団の傾向又は性質などを数量的に把握するものである。したがって、統計情報は、特定の個人との対応関係が排斥されている限りにおいては、法における「個人に関する情報」に該当するものではないため、改正前の法においても規制の対象外と整理されており、従来同様に規制の対象外となる。

29

2−13

匿名加工情報取扱事業者(法第 16 条第 6 項関係)

「匿名加工情報取扱事業者」とは、匿名加工情報データベース等を事業の用に供している者のうち、国の機関、地方公共団体、法第 2 条第 9 項に規定する独立行政法人等(別表第 2 に掲げる法人を除く。)及び法第 2 条第 10 項に規定する
地方独立行政法人を除いた者をいう。
「匿名加工情報を含む情報の集合物であって、特定の匿名加工情報を電子計算機を用いて検索することができるように体系的に構成したもの」とは、特定の匿名加工情報をコンピュータを用いて検索することができるように体系的に構成した、匿名加工情報を含む情報の集合物をいう。また、コンピュータを用いていない場合であっても、紙媒体の匿名加工情報を一定の規則に従って整理・分類
し、特定の匿名加工情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当する。
ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。なお、法人格のない、権利能力のない社団(任意団体)又は個人であっても匿名加工情報データベース等を事業の用に供している場合は匿名加工情報取扱事業者に該当する。
2−14「本人に通知」「本人に通知」とは、本人に直接知らしめることをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。
【本人への通知に該当する事例】
事例 1)ちらし等の文書を直接渡すことにより知らせること。
事例 2)口頭又は自動応答装置等で知らせること。
事例 3)電子メール、FAX 等により送信し、又は文書を郵便等で送付することにより知らせること。

30

2−15

「公表」

「公表」とは、広く一般に自己の意思を知らせること(不特定多数の人々が知ることができるように発表すること)をいい、公表に当たっては、事業の性質及び個人情報の取扱状況に応じ、合理的かつ適切な方法によらなければならない。
【公表に該当する事例】
事例 1)自社のホームページのトップページから 1 回程度の操作で到達できる場所への掲載
事例 2)自社の店舗や事務所等、顧客が訪れることが想定される場所におけるポスター等の掲示、パンフレット等の備置き・配布
事例 3)(通信販売の場合)通信販売用のパンフレット・カタログ等への掲
載

31

2−16

「本人の同意」「本人の同意」とは、本人の個人情報が、個人情報取扱事業者によって示された取扱方法で取り扱われることを承諾する旨の当該本人の意思表示をいう(当該本人であることを確認できていることが前提となる。)。
また、「本人の同意を得(る)」とは、本人の承諾する旨の意思表示を当該個人情報取扱事業者が認識することをいい、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。
なお、個人情報の取扱いに関して同意したことによって生ずる結果について、
未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力を有していないなどの場合は、親権者や法定代理人等から同意を得る必要がある。
【本人の同意を得ている事例】
事例 1)本人からの同意する旨の口頭による意思表示
事例 2)本人からの同意する旨の書面(電磁的記録を含む。)の受領
事例 3)本人からの同意する旨のメールの受信事例 4)本人による同意する旨の確認欄へのチェック
事例 5)本人による同意する旨のホームページ上のボタンのクリック
事例 6)本人による同意する旨の音声入力、タッチパネルへのタッチ、ボタンやスイッチ等による入力
2−17

「提供」

「提供」とは、個人データ、保有個人データ又は匿名加工情報(以下この項において「個人データ等」という。)を、自己以外の者が利用可能な状態に置くことをいう。個人データ等が、物理的に提供されていない場合であっても、ネット
ワーク等を利用することにより、個人データ等を利用できる状態にあれば(利用する権限が与えられていれば)、「提供」に当たる。

32

3

個人情報取扱事業者等の義務

3−1

個人情報の利用目的(法第 17 条・第 18 条、第 21 条第 3 項関係)

3−1−1

利用目的の特定(法第 17 条第 1 項関係)

個人情報取扱事業者は、個人情報を取り扱うに当たっては、利用目的をできる
限り具体的に特定しなければならないが、利用目的の特定に当たっては、利用目
的を単に抽象的、一般的に特定するのではなく、個人情報が個人情報取扱事業者
において、最終的にどのような事業の用に供され、どのような目的で個人情報を利用されるのかが、本人にとって一般的かつ合理的に想定できる程度に具体的に特定することが望ましい(※)。
なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的の特定に当たっては、その旨が明確に分かるよう特定しなければならない(3-6-1(第三者提供の制限の原則)参照)。
【具体的に利用目的を特定している事例】
事例)事業者が商品の販売に伴い、個人から氏名・住所・メールアドレス等を取得するに当たり、「○○事業における商品の発送、関連するアフターサービス、新商品・サービスに関する情報のお知らせのために利用いたします。」等の利用目的を明示している場合【具体的に利用目的を特定していない事例】
事例 1)「事業活動に用いるため」
事例 2)「マーケティング活動に用いるため」(※)定款等に規定されている事業の内容に照らして、個人情報によって識別される本人からみて、自分の個人情報が利用される範囲が合理的に予想できる程度に特定されている場合や業種を明示することで利用目的の範囲が想定される場合には、これで足りるとされることもあり得る
が、多くの場合、業種の明示だけでは利用目的をできる限り具体的に特定したことにはならないと解される。

33

なお、利用目的の特定に当たり「○○事業」のように事業を明示する
場合についても、社会通念上、本人からみてその特定に資すると認められる範囲に特定することが望ましい。また、単に「事業活動」、「お客様のサービスの向上」等のように抽象的、一般的な内容を利用目的とすることは、できる限り具体的に特定したことにはならないと解される。

34

（参考）
個人情報取得に関する利用目的について

2017 年 5 月 30 日に改正個人情報保護法が施行されたことにより、全ての事業者が個人情報保護法の対象となりました。それに伴い、当社は、当社運営において当社に提供されるすべての個人情報を以下の利用目的の範囲内で利用するものとします。

1.社内での利用

1．商品・サービスの提供
2．電子メール、ダイレクトメールなどによる情報提供・当社が取り扱う商品・サービスに関する提案、その他の情報提供
3．当社が取り扱う商品・サービスのサポート、メンテナンスに関する提案、その他の情報提供
4．キャンペーン、フェアー、催物に関する情報提供
5．アンケート、モニターに関する情報提供
6．当社のサービス利用時における本人確認のため
7．当社の商品・サービスの料金請求のため
8．お客様へのお問い合わせ対応のため
9．お客様との商談・打合せの実施、および連絡
10．お取引ご担当者様への情報提供、および連絡
11．お取引先様との連絡、協力、交渉、契約の履行、履行請求等
12．お取引先様から個人情報の処理の全部または一部について委託された場合等において、委託された当該業務の適切かつ円滑な遂行のため
13．儀礼的挨拶・進物の送付・提供
14．所属する関係団体等の関係者様との会議、座談会等の企画・検討・開催のご連絡
15．所属する関係団体等の関係者様への事業活動に関する情報共有16．所属する関係団体等の官公庁又は団体への申請・届出・報告35

3−1−2

利用目的の変更(法第 17 条第 2 項、第 21 条第 3 項関係)

「3-1-1 利用目的の特定」により特定した利用目的は、変更前の利用目的と関連性を有すると合理的に認められる範囲、すなわち、変更後の利用目的が変更前の利用目的からみて、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内(※1)で変更することは可能である。変更された利用目的は、本人に通知(※2)するか、又は公表(※3)しなければならない。
なお、特定された利用目的(法第 17 条第 2 項に定める範囲で変更された利用目的を含む。)の達成に必要な範囲を超えて個人情報を取り扱う場合は、「3−1−3
利用目的による制限（法第 18 条第 1 項）」に従って本人の同意を得なければならない。ただし、本人の身体等の保護のために必要があり、かつ本人の同意を得ることが困難である場合等、「3-1-5 利用目的による制限の例外（法第 18 条第3 項関係）」各号に掲げる場合には、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱うことができる。
(※1)「本人が通常予期し得る限度と客観的に認められる範囲」とは、本人の主観や事業者の恣意的な判断によるものではなく、一般人の判断において、当初の利用目的と変更後の利用目的を比較して予期できる範囲をいい、当初特定した利用目的とどの程度の関連性を有するかを総合的に勘案して判断される。
(※2)「本人に通知」については、「2−14 本人に通知」を参照のこと。
(※3)「公表」については、「2−15 公表」を参照のこと。

36

3−1−3

利用目的による制限(法第 18 条第 1 項関係)

個人情報取扱事業者は、「3-1-1 利用目的の特定」により特定した利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合は、あらかじめ本人の同意(※)を得なければならない。
ただし、当該同意を得るために個人情報を利用すること(メールの送信や電話をかけること等)は、当初特定した利用目的として記載されていない場合でも、目的外利用には該当しない。
なお、令和 3 年改正法の施行日前に別表第二法人等(法別表第 2 に掲げる法人、
法第 58 条第 2 項の規定により個人情報取扱事業者、仮名加工情報取扱事業者若しくは個人関連情報取扱事業者とみなされる独立行政法人労働者健康安全機構
又は学術研究機関等である個人情報取扱事業者をいう。以下同じ。)に対しされた本人の個人情報の取扱いに関する同意がある場合において、その同意が「3-11 利用目的の特定」の規定により特定される利用目的以外の目的で個人情報を取り扱うことを認める旨の同意に相当するものであるときは、令和 3 年改正法の施行日において法第 18 条第 1 項の同意があったものとみなす(令和 3 年改正法附則第 7 条第 1 項)。
(※)「本人の同意」については、「2−16 本人の同意」を参照のこと。

37

3−1−4

事業の承継(法第 18 条第 2 項関係)

個人情報取扱事業者が、合併、分社化、事業譲渡等により他の個人情報取扱事
業者から事業の承継をすることに伴って個人情報を取得した場合であって、当該個人情報に係る承継前の利用目的の達成に必要な範囲内で取り扱う場合は目的外利用にはならず、本人の同意を得る必要はない。
なお、事業の承継後に、承継前の利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合は、あらかじめ本人の同意を得る必要があるが、当該同意を得るために個人情報を利用すること(メールの送信や電話をかけること等)は、承継前の利用目的として記載されていない場合でも、目的外利用には該当しない。
なお、令和 3 年改正法の施行日前に別表第二法人等(「3-1-3 利用目的による制限」参照)に対しされた本人の個人情報の取扱いに関する同意がある場合において、その同意が 3-1-1(利用目的の特定)の規定により特定される利用目的以外の目的で個人情報を取り扱うことを認める旨の同意に相当するものであるときは、
令和 3 年改正法の施行日において法第 18 条第 2 項の同意があったものとみなす(令和 3 年改正法附則第 7 条第 1 項)。

38

3−1−5

利用目的による制限の例外(法第 18 条第 3 項関係)

次に掲げる場合については、「3-1-3 利用目的による制限（法第 18 条第 1項）」及び「3-1-4 事業の承継（法第 18 条第 2 項）」において、特定された利
用目的の達成に必要な範囲を超えて個人情報を取り扱うに当たり本人の同意を得ることが求められる場合であっても、当該同意は不要である。
(1)法令に基づく場合(法 18 条第 3 項第 1 号関係)
法令に基づく場合は、「3-1-3 利用目的による制限（法第 18 条第 1 項）」及び「3-1-4 事業の承継（法第 18 条第 2 項）」の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。
事例 1)警察の捜査関係事項照会に対応する場合(刑事訴訟法(昭和 23 年法律第 131 号)第 197 条第 2 項)
事例 2)裁判官の発する令状に基づく捜査に対応する場合(刑事訴訟法第 218条)
事例 3)税務署の所得税等に関する調査に対応する場合(国税通則法(昭和 37
年法律第 66 号)第 74 条の 2 他)
事例 4)製造・輸入事業者が消費生活用製品安全法(昭和 48 年法律第 31 号)第39 条第 1 項の規定による命令(危害防止命令)を受けて製品の回収等の措置をとる際に、販売事業者が、同法第 38 条第 3 項の規定に基づき製品の購入者等の情報を当該製・輸入事業者に提供する場合
事例 5)弁護士会からの照会に対応する場合(弁護士法(昭和 24 年法律第 205号)第 23 条の 2)
事例 6)保健所が行う積極的疫学調査に対応する場合(感染症の予防及び感染症の患者に対する医療に関する法律(平成 10 年法律第 114 号)第 15 条第 1
項)
事例 7)災害発生時の停電復旧対応の迅速化等のため、経済産業大臣の求めに応じて、一般送配電事業者が、関係行政機関又は地方公共団体の長に対して必要な情報を提供する場合(電気事業法(昭和 39 年法律第 170 号)第 34 条

39

第 1 項)(2)人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき(法第 18 条第 3 項第 2 号関係)
人(法人を含む。)の生命、身体又は財産といった具体的な権利利益の保護が必要であり、かつ、本人の同意を得ることが困難である場合は、「3-1-3 利用目的による制限（法第 18 条第 1 項）」及び「3-1-4 事業の承継（法第 18 条第 2項）」の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。
事例 1)急病その他の事態が生じたときに、本人について、その血液型や家族の連絡先等を医師や看護師に提供する場合
事例 2)大規模災害や事故等の緊急時に、被災者情報・負傷者情報等を家族、行政機関、地方自治体等に提供する場合
事例 3)事業者間において、暴力団等の反社会的勢力情報、振り込め詐欺に利用された口座に関する情報、意図的に業務妨害を行う者の情報について共有する場合
事例 4)製した商品に関連して事故が生じたため、又は、事故は生じていないが、人の生命若しくは身体に危害を及ぼす急迫した危険が存在するため、当該商品の製事業者等が当該商品をリコールする場合で、販売事業者、修理事
業者又は設置工事事業者等が当該製事業者等に対して、当該商品の購入者等の情報を提供する場合
事例 5)上記事例 4 のほか、商品に重大な欠陥があり人の生命、身体又は財産の保護が必要となるような緊急時に、製事業者から顧客情報の提供を求められ、これに応じる必要がある場合
事例 6)不正送金等の金融犯罪被害の事実に関する情報を、関連する犯罪被害の防止のために、他の事業者に提供する場合(3)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき(法第 18 条第 3 項第 3 号関係)

40

公衆衛生の向上又は心身の発達途上にある児童の健全な育成のために特に必要があり、かつ、本人の同意を得ることが困難である場合は、「3-1-3 利用目的による制限（法第 18 条第 1 項）」及び「3-1-4 事業の承継（法第 18 条第 2項）」の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。
事例 1)健康保険組合等の保険者等が実施する健康診断の結果等に係る情報を、健康増進施策の立案、保健事業の効果の向上、疫学調査等に利用する場
合(なお、法第 76 条第 1 項第 3 号に該当する場合は、第 4 章の各規定は適用されない。)
事例 2)児童生徒の不登校や不良行為等について、児童相談所、学校、医療機関等の関係機関が連携して対応するために、当該関係機関等の間で当該児童生徒の情報を交換する場合
事例 3)児童虐待のおそれのある家庭情報を、児童相談所、警察、学校、病院等が共有する必要がある場合(4)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して、事業者が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき(法第 18条第 3 項第 4 号関係)
国の機関等(地方公共団体又はその委託を受けた者を含む。)が法令の定める事
務を実施する上で、民間企業等の協力を得る必要があり、かつ、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがあると認められる場合は、当該民間企業等は、「3-1-3 利用目的による制限（法第 18 条第 1 項）」及び「31-4 事業の承継（法第 18 条第 2 項）」の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。
事例 1)事業者が税務署又は税関の職員等の任意の求めに応じて個人情報を提出する場合事例 2)事業者が警察の任意の求めに応じて個人情報を提出する場合

41

事例 3)一般統計調査や地方公共団体が行う統計調査に回答する場合
3−2

不適正利用の禁止(法第 19 条関係)

個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。
【個人情報取扱事業者が違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例】
事例 1)違法な行為を営むことが疑われる事業者(例:貸金業登録を行っていない
貸金業者等)からの突然の接触による本人の平穏な生活を送る権利の侵害等、当該事業者の違法な行為を助長するおそれが想定されるにもかかわらず、当該事業者に当該本人の個人情報を提供する場合
事例 2)裁判所による公告等により散在的に公開されている個人情報(例:官報に掲載される破産者情報)を、当該個人情報に係る本人に対する違法な差別が、不特定多数の者によって誘発されるおそれがあることが予見できるにもかかわらず、それを集約してデータベース化し、インターネット上で公開する場合
事例 3)暴力団員により行われる暴力的要求行為等の不当な行為や総会屋による不当な要求を助長し、又は誘発するおそれが予見できるにもかかわらず、事業者間で共有している暴力団員等に該当する人物を本人とする個人情報や、不当要求による被害を防止するために必要な業務を行う各事業者の責任者の名簿等を、みだりに開示し、又は暴力団等に対しその存在を明らかにする場合
事例 4)個人情報を提供した場合、提供先において法第 27 条第 1 項に違反する第三者提供がなされることを予見できるにもかかわらず、当該提供先に対して、個人情報を提供する場合
事例 5)採用選考を通じて個人情報を取得した事業者が、性別、国籍等の特定の属性のみにより、正当な理由なく本人に対する違法な差別的取扱いを行うため

42

に、個人情報を利用する場合
事例 6)広告配信を行っている事業者が、第三者から広告配信依頼を受けた商品が違法薬物等の違法な商品であることが予見できるにもかかわらず、当該商品の広告配信のために、自社で取得した個人情報を利用する場合
3−3

個人情報の取得(法第 20 条・第 21 条関係)

3−3−1

適正取得(法第 20 条第 1 項関係)

個人情報取扱事業者は、偽り等の不正の手段により個人情報を取得してはならない。
【個人情報取扱事業者が不正の手段により個人情報を取得している事例】
事例 1)十分な判断能力を有していない子供や障害者から、取得状況から考えて関係のない家族の収入事情などの家族の個人情報を、家族の同意なく取得する場合
事例 2) 「3-6-1 第三者提供の制限の原則（法第 27 条第 1 項関係）」に規定する第三者提供制限違反をするよう強要して個人情報を取得する場合
事例 3)個人情報を取得する主体や利用目的等について、意図的に虚偽の情報を示して、本人から個人情報を取得する場合
事例 4)他の事業者に指示して不正の手段で個人情報を取得させ、当該他の事業者から個人情報を取得する場合
事例 5) 「3-6-1 第三者提供の制限の原則（法第 27 条第 1 項関係）」に規定する第三者提供制限違反がされようとしていることを知り、又は容易に知ることができるにもかかわらず、個人情報を取得する場合
事例 6)不正の手段で個人情報が取得されたことを知り、又は容易に知ることができるにもかかわらず、当該個人情報を取得する場合

43

3−3−2

要配慮個人情報の取得(法第 20 条第 2 項関係)

要配慮個人情報を取得する場合には、あらかじめ本人の同意を得なければならない。ただし、次の(1)から(7)までに掲げる場合については、本人の同意を得る必要はない。
(1)法令に基づく場合(法第 20 条第 2 項第 1 号関係)
法令に基づく場合は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。なお、具体的な事例は、「3-1-5 利用目的による制限の例外（法第 18 条第 3 項関係）」に示すもののほか、次の事例も該当する。
事例)個人情報取扱事業者が、労働安全衛生法に基づき健康診断を実施し、これにより従業員の身体状況、病状、治療等の情報を健康診断実施機関から取得する場合(2)人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき(法第 20 条第 2 項第 2 号関係)
人(法人を含む。)の生命、身体又は財産といった具体的な権利利益の保護が必要であり、かつ、本人の同意を得ることが困難である場合は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。
事例 1)急病その他の事態が生じたときに、本人の病歴等を医師や看護師が家族から聴取する場合
事例 2)事業者間において、不正対策等のために、暴力団等の反社会的勢力情報、意図的に業務妨害を行う者の情報のうち、過去に業務妨害罪で逮捕された事実等の情報について共有する場合
事例 3)不正送金等の金融犯罪被害の事実に関する情報を、関連する犯罪被害の防止のために、他の事業者から取得する場合

44

(3)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき(法第 20 条第 2 項第 3 号関係)
公衆衛生の向上又は心身の発達途上にある児童の健全な育成のために特に必要があり、かつ、本人の同意を得ることが困難である場合は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。
事例 1)健康保険組合等の保険者等が実施する健康診断等の結果判明した病名等について、健康増進施策の立案や保健事業の効果の向上を目的として疫学調査等のために提供を受けて取得する場合(なお、法第 76 条第 1 項第 3 号に該当する場合は、第 4 章の各規定は適用されない。)
事例 2)児童生徒の不登校や不良行為等について、児童相談所、学校、医療機関等の関係機関が連携して対応するために、ある関係機関において、他の関係機関から当該児童生徒の保護事件に関する手続が行われた情報を取得する場合
事例 3)児童虐待のおそれのある家庭情報のうち被害を被った事実に係る情報を、児童相談所、警察、学校、病院等の関係機関が、他の関係機関から取得する場合(4)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して、事業者が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき(法第 20条第 2 項第 4 号関係)
国の機関等(地方公共団体又はその委託を受けた者を含む。)が法令の定める事
務を実施する上で、民間企業等の協力を得る必要があり、かつ、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがあると認められる場合は、当該民間企業等は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。
事例)事業者が警察の任意の求めに応じて要配慮個人情報に該当する個人情45

報を提出するために、当該個人情報を取得する場合(5)当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、法第 57 条第 1 項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合(法第 20 条第 2 項第 7 号、規則第 6 条関係)
要配慮個人情報が、次に掲げる者により公開されている場合は、あらかじめ本
人の同意を得ることなく、当該公開されている要配慮個人情報を取得すること
ができる。
①本人
②国の機関
③地方公共団体④学術研究機関等⑤放送機関・新聞社・通信社その他の報道機関(報道を業として行う個人を含む。)⑥著述を業として行う者
⑦宗教団体
⑧政治団体
⑨外国政府、外国の政府機関、外国の地方公共団体又は国際機関⑩外国において法第 57 条第 1 項各号に掲げる者に相当する者(6)本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合(法第 20 条第 2 項第 8 号、政令第 9 条第 1 号関係)
本人の意思にかかわらず、本人の外形上の特徴により、要配慮個人情報に含まれる事項(例:身体障害等)が明らかであるときは、あらかじめ本人の同意を得ることなく、当該要配慮個人情報を取得することができる。
事例)身体の不自由な方が店舗に来店し、対応した店員がその旨をお客様対応録等に記録した場合(目視による取得)や、身体の不自由な方の様子が店舗に設置された防犯カメラに映りこんだ場合(撮影による取得)46

(7)法第 27 条第 5 項各号に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき(法第 20 条第 2 項第 8 号、政令第 9 条第 2 号関係)
要配慮個人情報を、法第 27 条第 5 項各号に定める委託、事業承継又は共同利用により取得する場合は、あらかじめ本人の同意を得る必要はない。
【法第 20 条第 2 項に違反している事例】
本人の同意を得ることなく、法第 20 条第 2 項第 7 号及び規則第 6 条
で定める者以外がインターネット上で公開している情報から本人の信条や犯罪歴等に関する情報を取得し、既に保有している当該本人に関する情報の一部として自己のデータベース等に登録すること。

3−3−3

利用目的の通知又は公表(法第 21 条第 1 項関係)

個人情報取扱事業者は、個人情報を取得する場合は、あらかじめその利用目的を公表していることが望ましい。公表していない場合は、取得後やかに、その利用目的を、本人に通知するか、又は公表しなければならない。
【本人への通知又は公表が必要な事例】
事例 1)インターネット上で本人が自発的に公にしている個人情報を取得した場合(単に閲覧しただけの場合を除く。)
事例 2)インターネット、官報、職員録等から個人情報を取得した場合(単に閲覧しただけの場合を除く。)
事例 3)個人情報の第三者提供を受けた場合

47

3−3−4

直接書面等による取得(法第 21 条第 2 項関係)

個人情報取扱事業者は、契約書や懸賞応募はがき等の書面等による記載、ユー
ザー入力画面への打ち込み等の電磁的記録により、直接本人から個人情報を取得する場合には、あらかじめ、本人に対し、その利用目的を明示(※)しなければならない。
名刺などは、一般の慣行として、自身の個人情報を、本人の自発的な意思で、任意の簡便な形式により相手に提供するものであり、申込書、アンケート調査票、懸賞応募はがき等のように、個人情報取扱事業者が一定の書式や様式を準備した上で、本人が当該事業者の求めに沿う形で個人情報を提供する場合とは異なることから、本項の義務を課するものではないが、その場合は「3−3−3 利用目的の通知又は公表（法第 21 条第 1 項関係）」に基づいて、あらかじめ利用目的を公表するか、取得後速やかに、その利用目的を、本人に通知するか、又は公表しなければならない(ただし、「3−3−5 利用目的の通知等をしなくてよい場
合（法第 21 条第 4 項関係）」参照)。口頭により個人情報を取得する場合についても同様である。
また、人(法人を含む。)の生命、身体又は財産の保護のために緊急に必要がある場合は、あらかじめ、本人に対し、その利用目的を明示する必要はないが、その場合は「3−3−3 利用目的の通知又は公表（法第 21 条第 1 項関係）」に基づいて、取得後やかにその利用目的を、本人に通知し、又は公表しなければならない。
【あらかじめ、本人に対し、その利用目的を明示しなければならない事例】
事例 1)本人の個人情報が記載された申込書・契約書等を本人から直接取得する場合
事例 2)アンケートに記載された個人情報を直接本人から取得する場合
事例 3)自社が主催するキャンペーンへの参加希望者が、参加申込みのために自社のホームページの入力画面に入力した個人情報を直接本人から取得する場合48

【利用目的の明示に該当する事例】
事例 1)利用目的を明記した契約書その他の書面を相手方である本人に手渡し、又は送付する場合
なお、契約約款又は利用条件等の書面(電磁的記録を含む。)中に利用目的条項を記載する場合は、例えば、裏面約款に利用目的が記載されていることを伝える、又は裏面約款等に記載されている利用目的条項を表面にも記載し、かつ、社会通念上、本人が認識できる場
所及び文字の大きさで記載する等、本人が実際に利用目的を確認できるよう留意することが望ましい。
事例 2)ネットワーク上において、利用目的を、本人がアクセスした自社のホームページ上に明示し、又は本人の端末装置上に表示する場合
なお、ネットワーク上において個人情報を取得する場合は、本人が送信ボタン等をクリックする前等にその利用目的(利用目的の内容が示された画面に 1 回程度の操作でページ遷移するよう設定したリンクやボタンを含む。)が本人の目に留まるようその配置に留意することが望ましい。
(※)「本人に対し、その利用目的を明示」とは、本人に対し、その利用目的を明確に示すことをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法による必要がある。

49

3−3−5

利用目的の通知等をしなくてよい場合(法第 21 条第 4 項関係)

次に掲げる場合については、利用目的の本人への通知、公表又は明示 (以下この項において「利用目的の通知等」という。)が求められる場合であっても、当該利用目的の通知等は不要である。
(1)利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合(法 21 条第 4 項第 1 号
関係)事例)児童虐待等に対応するために、児童相談所、学校、医療機関等の関係機関において、ネットワークを組んで対応する場合に、加害者である本人に対して当該本人の個人情報の利用目的を通知・公表することにより、虐待を悪化させたり、虐待への対応に支障等が生じたりするおそれがある場合(2)利用目的を本人に通知し、又は公表することにより事業者の権利又は正当な利益を害するおそれがある場合(法第 21 条第 4 項第 2 号関係)事例)暴力団等の反社会的勢力情報、疑わしい取引の届出の対象情報、業務妨害行為を行う悪質者情報等を、本人又は他の事業者等から取得したことが明らかになることにより、当該情報を取得した企業に害が及ぶ場合(3)国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき(法第 21 条第 4 項第 3 号関係)事例)警察が、公開手配を行わないで、被疑者に関する個人情報を、被疑者の立ち回りが予想される個人情報取扱事業者に限って提供した場合において、警察から当該個人情報を受け取った当該個人情報取扱事業者が、利用目的を本人に通知し、又は公表することにより、捜査活動に支障を及ぼすおそれがある場合(4)取得の状況からみて利用目的が明らかであると認められる場合(法第 21 条第4 項第 4 号関係)50

事例 1)商品・サービス等を販売・提供するに当たって住所・電話番号等の個
人情報を取得する場合で、その利用目的が当該商品・サービス等の販売・提供のみを確実に行うためという利用目的であるような場合
事例 2)一般の慣行として名刺を交換する場合、書面により、直接本人から、
氏名・所属・肩書・連絡先等の個人情報を取得することとなるが、その利用目的が今後の連絡のためという利用目的であるような場合(ただし、ダイレ
クトメール等の目的に名刺を用いることは自明の利用目的に該当しない場
合があるので注意を要する。)

51

3−4

個人データの管理(法第 22 条~第 25 条関係)

3−4−1

データ内容の正確性の確保等(法第 22 条関係)

個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人情報データベース等への個人情報の入力時の照合・確認の手続の整備、誤り等を発見した場合の訂正等の手続の整備、記録事項の更新、保存期間の設定等を行うことにより、個人データを正確かつ最新の内容に保つよう努めなければならない。
なお、保有する個人データを一律に又は常に最新化する必要はなく、それぞれの利用目的に応じて、その必要な範囲内で正確性・最新性を確保すれば足りる。
また、個人情報取扱事業者は、保有する個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等は、当該個人データを遅滞なく消去するよう努めなければならない(※)。なお、法令の定めにより保存期間等が定められている場合は、この限りではない。
【個人データについて利用する必要がなくなったときに該当する事例】
事例)キャンペーンの懸賞品送付のため、当該キャンペーンの応募者の個人データを保有していたところ、懸賞品の発送が終わり、不着対応等のための合理的な期間が経過した場合(※)「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む。
3−4−2

安全管理措置(法第 23 条関係)

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損(以下「漏えい等」という。)の防止その他の個人データの安全管理のため、必要かつ適切な措置を講じなければならないが、当該措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、

52

個人データの取扱状況(取り扱う個人データの性質及び量を含む。)、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容としなければならない。
なお、「その他の個人データの安全管理のために必要かつ適切な措置」には、個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取り扱うことを予定しているものの漏えい等を防止するために必要かつ適切な措置も含まれる。
3−4−3

従業者の監督(法第 24 条関係)

個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たって、「3−4−2 安全管理措置（法第 23 条関係）」に基づく安全管理措置を遵守させるよう、当該従業者に対し必要かつ適切な監督をしなければならない。その際、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況(取り扱う個人データの性質及び量を含む。)等に起因するリスクに応じて、個人データを取り扱う従業者に対する教育、研修等の内容及び頻度を充実させるなど、必要かつ適切な措置を講ずることが望ましい。
「従業者」とは、個人情報取扱事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者等をいい、雇用関係にある従業員(正社員、契約社員、嘱託社員、パート社員、アルバイト社員等)のみならず、
取締役、執行役、理事、監査役、監事、派遣社員等も含まれる。
【従業者に対して必要かつ適切な監督を行っていない事例】
事例 1)従業者が、個人データの安全管理措置を定める規程等に従って業務を行っていることを確認しなかった結果、個人データが漏えいした場合事例 2)内部規程等に違反して個人データが入ったノート型パソコン又は外部記録媒体が繰り返し持ち出されていたにもかかわらず、その行為を放置した結果、当該パソコン又は当該記録媒体が紛失し、個人データが漏えいした場合

53

3−4−4

委託先の監督(法第 25 関係)

個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託(※1)する
場合は、委託を受けた者(以下「委託先」という。)において当該個人データについて安全管理措置が適切に講じられるよう、委託先に対し必要かつ適切な監督をしなければならない。具体的には、個人情報取扱事業者は、「3−4−2 安全管理措置（法第 23 条関係）」に基づき自らが講ずべき安全管理措置と同等の措置が講じられるよう、監督を行うものとする(※2)。
その際、委託する業務内容に対して必要のない個人データを提供しないようにすることは当然のこととして、取扱いを委託する個人データの内容を踏まえ、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質、個人データの取扱状況(取り扱う個人データの性質及び量を含む。)等に起因するリスクに応じて、次の(1)から(3)までに掲げる必要かつ適切な措置を講じなければならない(※3)。
(1)適切な委託先の選定
委託先の選定に当たっては、委託先の安全管理措置が、少なくとも「3−4−2 安
全管理措置（法第 23 条関係）」及び本 SP2 指針において委託元に求められるものと同等であることを確認するため、委託する業務内容に沿って、確実に実施されることについて、あらかじめ確認しなければならない。
(2)委託契約の締結
委託契約には、当該個人データの取扱いに関する、必要かつ適切な安全管理措置として、委託元、委託先双方が同意した内容とともに、委託先における委託された個人データの取扱状況を委託元が合理的に把握することを盛り込むことが望ましい。
(3)委託先における個人データ取扱状況の把握
委託先における委託された個人データの取扱状況を把握するためには、定期

54的に監査を行う等により、委託契約で盛り込んだ内容の実施の程度を調査した上で、委託の内容等の見直しを検討することを含め、適切に評価することが望ましい。
また、委託先が再委託を行おうとする場合は、委託を行う場合と同様、委託元
は、委託先が再委託する相手方、再委託する業務内容、再委託先の個人データの取扱方法等について、委託先から事前報告を受け又は承認を行うこと、及び委託先を通じて又は必要に応じて自らが、定期的に監査を実施すること等により、委託先が再委託先に対して本条の委託先の監督を適切に果たすこと、及び再委託
先が 3-4-2(安全管理措置)に基づく安全管理措置を講ずることを十分に確認することが望ましい(※4)。再委託先が再々委託を行う場合以降も、再委託を行う場
合と同様である。
【委託を受けた者に対して必要かつ適切な監督を行っていない事例】
事例 1)個人データの安全管理措置の状況を契約締結時及びそれ以後も適宜把握せず外部の事業者に委託した結果、委託先が個人データを漏えいした場合
事例 2)個人データの取扱いに関して必要な安全管理措置の内容を委託先に指示しなかった結果、委託先が個人データを漏えいした場合
事例 3)再委託の条件に関する指示を委託先に行わず、かつ委託先の個人
データの取扱状況の確認を怠り、委託先が個人データの処理を再委託した結果、当該再委託先が個人データを漏えいした場合
事例 4)契約の中に、委託元は委託先による再委託の実施状況を把握することが盛り込まれているにもかかわらず、委託先に対して再委託に関する報告を求めるなどの必要な措置を行わず、委託元の認知しない再委託が行われた結果、当該再委託先が個人データを漏えいした場合(※1)「個人データの取扱いの委託」とは、契約の形態・種類を問わず、個人情報取扱事業者が他の者に個人データの取扱いを行わせることをいう。具体的には、個人データの入力(本人からの取得を含む。)、編集、分析、出力等の処理を行うことを委託すること等が想定される。
(※2)委託元が「3−4−2 安全管理措置（法第 23 条関係）」が求める55

水準を超える高い水準の安全管理措置を講じている場合に、委託先に対してもこれと同等の措置を求める趣旨ではなく、法律上は、委
託先は、「3−4−2 安全管理措置（法第 23 条関係）」が求める水準の安全管理措置を講じれば足りると解される。
(※3)委託先の選定や委託先における個人データ取扱状況の把握に当たっては、取扱いを委託する個人データの内容や規模に応じて適切な方法をとる必要があるが、例えば、必要に応じて個人データを取り扱う場所に赴く又はこれに代わる合理的な方法(口頭による確認を含む。)により確認することが考えられる。
(※4)委託元が委託先について「必要かつ適切な監督」を行っていない場合で、委託先が再委託をした際に、再委託先が不適切な取扱いを行ったときは、元の委託元による法違反と判断され得るので、再委託をする場合は注意を要する。

56

3−5

個人データの漏えい等の報告等(第 26 条関係)

3−5−1

「個人データ」の「漏えい等」の考え方

3−5−1−1 規則第 7 条の「個人データ」の考え方
規則第 7 条は、法第 26 条第 1 項に基づく漏えい等の報告の対象となる事態について定めているところ、規則第 7 条に規定する「個人データ」とは、個人情報取扱事業者が取り扱う個人データをいう。
ただし、同条第 3 号に規定する「個人データ」には、「当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているもの」が含まれる。
そのため、同号に定める事態との関係では、3-5-1-2(「漏えい」の考え方)から 3-5-1-4(「毀損」の考え方)までにおける「個人データ」は、個人情報取扱事業者が取り扱う個人データに加え、「当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているもの」を含む。
同号に定める事態について、詳細は 3-5-3-1(報告対象となる事態)を参照のこと。
3−5−1−2「漏えい」の考え方
個人データの「漏えい」とは、個人データが外部に流出することをいう。
【個人データの漏えいに該当する事例】
事例 1)個人データが記載された書類を第三者に誤送付した場合
事例 2)個人データを含むメールを第三者に誤送信した場合
事例 3)システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となっていた場合
事例 4)個人データが記載又は記録された書類・媒体等が盗難された場合
事例 5)不正アクセス等により第三者に個人データを含む情報が窃取された
場合
事例 6)個人情報取扱事業者のウェブサイトの入力ページが第三者に改ざんされ、ユーザーが当該ページに入力した個人情報が、当該第三者に送信され57た場合であり、かつ、当該個人情報取扱事業者が、当該ページに入力される
個人情報を個人情報データベース等へ入力することを予定していたとき
なお、個人データを第三者に閲覧されないうちに全てを回収した場合は、漏えいに該当しない。また、個人情報取扱事業者が自らの意図に基づき個人データを第三者に提供する場合(※)は、漏えいに該当しない。
(※)個人情報取扱事業者は、個人データの第三者への提供に当たり、原則としてあらかじめ本人の同意を取得する必要がある。
3−5−1−3「滅失」の考え方
個人データの「滅失」とは、個人データの内容が失われることをいう。
【個人データの滅失に該当する事例】
事例 1)個人情報データベース等から出力された氏名等が記載された帳票等を誤って廃棄した場合(※1)
事例 2)個人データが記載又は記録された書類・媒体等を社内で紛失した場
合(※2)
なお、上記の場合であっても、その内容と同じデータが他に保管されている場合は、滅失に該当しない。また、個人情報取扱事業者が合理的な理由により個人データを削除する場合は、滅失に該当しない。
(※1)当該帳票等が適切に廃棄されていない場合には、個人データの漏えいに該当する場合がある。
(※2)社外に流出した場合には、個人データの漏えいに該当する。
3−5−1−4「毀損」の考え方
個人データの「毀損」とは、個人データの内容が意図しない形で変更される
ことや、内容を保ちつつも利用不能な状態となることをいう。
【個人データの毀損に該当する事例】
事例 1)個人データの内容が改ざんされた場合58

事例 2)暗号化処理された個人データの復元キーを喪失したことにより復元できなくなった場合
事例 3)ランサムウェア等により個人データが暗号化され、復元できなくなった場合(※)
なお、上記事例 2)及び事例 3)の場合であっても、その内容と同じデータが他に保管されている場合は毀損に該当しない。
(※)同時に個人データが窃取された場合には、個人データの漏えいにも該当
する。
3−5−2

漏えい等事案が発覚した場合に講ずべき措置

個人情報取扱事業者は、漏えい等又はそのおそれのある事案(以下「漏えい等事案」という。)が発覚した場合は、漏えい等事案の内容等に応じて、次の(1)から(5)に掲げる事項について必要な措置を講じなければならない。
(1)事業者内部における報告及び被害の拡大防止
責任ある立場の者に直ちに報告するとともに、漏えい等事案による被害が発覚時よりも拡大しないよう必要な措置を講ずる。
(2)事実関係の調査及び原因の究明
漏えい等事案の事実関係の調査及び原因の究明に必要な措置を講ずる。
(3)影響範囲の特定
上記(2)で把握した事実関係による影響範囲の特定のために必要な措置を講ずる。
(4)再発防止策の検討及び実施
上記(2)の結果を踏まえ、漏えい等事案の再発防止策の検討及び実施に必要な措置を講ずる。
(5)個人情報保護委員会への報告及び本人への通知59

「3−5−3 個人情報保護委員会への報告」、「3−5−4 本人への通知」を参照のこと。なお、漏えい等事案の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、事実関係及び再発防止策等について、速やかに公表することが望ましい。
3−5−3

個人情報保護委員会への報告(法第 26 条第 1 項関係)

3−5−3−1

報告対象となる事態

個人情報取扱事業者は、次の(1)から(4)までに掲げる事態(以下「報告対象事態」という。)を知ったときは、個人情報保護委員会に報告しなければならない(※1)(※2)。
(1) 要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態(規則第 7 条第 1 号関係)【報告を要する事例】事例 1)病院における患者の診療情報や調剤情報を含む個人データを記録した USB メモリーを紛失した場合
事例 2)従業員の健康診断等の結果を含む個人データが漏えいした場合(2)不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態(規則第 7 条第2 号関係)
財産的被害が生じるおそれについては、対象となった個人データの性
質・内容等を踏まえ、財産的被害が発生する蓋然性を考慮して判断する。
【報告を要する事例】
事例 1)EC サイトからクレジットカード番号を含む個人データが漏えいした場合
事例 2)送金や決済機能のあるウェブサービスのログイン ID とパスワ

60

ードの組み合わせを含む個人データが漏えいした場合(3)不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による個人データ(当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。)の漏えい等が発生し、又は発生した
おそれがある事態(規則第 7 条第 3 号関係)
「不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為」(以下「不正行為」という。)の主体には、第三者のみならず、従業者も含まれる。また、不正行為の相手方である「当該個人情報取扱事業者」には、当該個人情報取扱事業者が第三者に個人データの取扱いを委託している場合(※3)における当該第三者(委託先)及び当該個人情報取扱事業者が個人データを取り扱うに当たって第三者の提供するサービスを利用している場合における当該第三者も含まれる。
当該個人情報取扱事業者が「取得しようとしている個人情報」に該当するかどうかは、当該個人情報取扱事業者が用いている個人情報の取得手段等を考慮して客観的に判断する。
個人情報データベース等へ入力すること等を予定していれば、最終的に個人情報に該当しない統計情報への加工を行うことを予定している
場合等であっても、「個人データとして取り扱われることが予定されている」に該当する。
【報告を要する事例】
事例 1)不正アクセスにより個人データ(個人情報データベース等へ入力する予定の個人情報を含む。以下、事例 5)まで同じ。)が漏えいした
場合
事例 2)ランサムウェア等により個人データが暗号化され、復元できなくなった場合事例 3)個人データが記載又は記録された書類・媒体等が盗難された場
合事例 4)従業者が顧客の個人データを不正に持ち出して第三者に提供し61た場合(※5)事例 5)従業者の私用の端末又は取引先の端末が情報を窃取するマルウ
ェアに感染し、その後、当該端末と個人情報取扱事業者のサーバとの電気通信に起因して、当該サーバも当該マルウェアに感染し、個人データが漏えいした場合
事例 6)個人情報取扱事業者のウェブサイトの入力ページが第三者に改ざんされ、ユーザーが当該ページに入力した個人情報が当該第三者に送信された場合であり、かつ、当該個人情報取扱事業者が、当該ページに入力される個人情報を個人情報データベース等へ入力することを予定していたとき事例 7)個人情報取扱事業者のウェブサイト上に設置された、入力ページに遷移するためのリンクやボタンが第三者に改ざんされ、当該リン
クやボタンをユーザーがクリックした結果、偽の入力ページに遷移し、当該ユーザーが当該偽の入力ページに入力した個人情報が当該第三者に送信された場合であり、かつ、当該個人情報取扱事業者が、当該個人情報取扱事業者の入力ページに入力される個人情報を個人情報データ
ベース等へ入力することを予定していたとき
事例 8)個人情報取扱事業者が、第三者により宛先の改ざんされた返信用封筒を顧客に送付した結果、当該返信用封筒により返信されたアン
ケート用紙に記入された個人情報が当該第三者に送付された場合であり、かつ、当該個人情報取扱事業者が、当該個人情報を個人情報データ
ベース等へ入力することを予定していたとき(4)個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態(規則第 7 条第 4 号関係)
「個人データに係る本人の数」は、当該個人情報取扱事業者が取り扱う
個人データのうち、漏えい等が発生し、又は発生したおそれがある個人
データに係る本人の数をいう。
「個人データに係る本人の数」について、事態が発覚した当初 1,000 人以下であっても、その後 1,000 人を超えた場合には、1,000 人を超えた時点で規則第 7 条第 4 号に該当することになる。本人の数が確定できない漏えい等において、漏えい等が発生

62

したおそれがある個人データに係る本人の数が最大 1,000 人を超える場合には、規則第 7 条第 4 号に該当する。
事例)システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となり、当該個人データに係る本人の数が 1,000 人を超える場合(※1)報告対象事態に該当しない漏えい等事案であっても、個人情報取扱事業者は個人情報保護委員会に任意の報告をすることができる。
(※2)報告対象事態における「おそれ」については、その時点で判明している事実関係に基づいて個別の事案ごとに蓋然性を考慮して判断することになる。漏えい等が発生したおそれについては、その時点で判明している事実関係からして、漏えい等が疑われるものの漏えい等が生じた確証がない場合がこれに該当する。
(※3)個人情報取扱事業者が、個人データとして取り扱うことを予定している個人情報の取扱いを第三者に委託する場合であって、当該第三者(委託先)が当該個人情報を個人データとして取り扱う予定はないときも、ここにいう「個人情報取扱事業者が第三者に個人データの取扱いを委託している場合」に該当する。
(※4)サイバー攻撃の事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、次の(ア)から(エ)が考えられる。
(ア)個人データ(個人情報データベース等へ入力する予定の個人情報を含む。(イ)において同じ。)を格納しているサーバや、当該サーバにアクセス権限を有する端末において外部からの不正アクセスによりデータが窃取された痕跡が認められた場合(イ)個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において、情報を窃取する振る舞いが判明しているマ
ルウェアの感染が確認された場合(ウ)マルウェアに感染したコンピュータに不正な指令を送り、制御するサーバ(C&C サーバ)が使用しているものとして知られている IP ア
ドレス・FQDN(FullyQualifiedDomainName の略。サブドメイン名
及びドメイン名からなる文字列であり、ネットワーク上のコンピュータ(サーバ等)を特定するもの。)への通信が確認された場合

63

(エ)個人情報の取得手段であるウェブページを構成するファイルを保存しているサーバや、当該サーバにアクセス権限を有する端末において、外部からの不正アクセスにより、当該ファイルに、当該ウェブページに入力された情報を窃取するような改ざんがされた痕跡が確認された場合(オ)不正検知を行う公的機関、セキュリティ・サービス・プロバイダ、専門家等の第三者から、漏えいのおそれについて、一定の根拠に基づく連絡を受けた場合(※5)従業者による個人データ又は個人情報の持ち出しの事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例
えば、個人データ又は個人情報を格納しているサーバや、当該サーバにアクセス権限を有する端末において、通常の業務で必要としないアクセスによりデータが窃取された痕跡が認められた場合が考えられる。
なお、漏えい等が発生し、又は発生したおそれがある個人データ又は個
人情報について、高度な暗号化等の秘匿化がされている場合等、「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられている場合については、報告を要しない。
3-5-3-2 報告義務の主体
漏えい等報告の義務を負う主体は、原則として、漏えい等が発生し、又は発生したおそれがある個人データを取り扱う個人情報取扱事業者である。
ただし、規則第 7 条第 3 号に定める事態について漏えい等報告の義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データ又は個人情報を取り扱い、又は取得しようとしている個人情報取扱事業者である(3-5-1-1(規則第 7 条の「個人データ」の考え方)参照)。
個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人データ又は個人情報を取り扱っており、又は取得しようとしていることになるため、報告対象事態に該当する場合には、原則として委託元と委託先の双方が報告する義務を負う。この場合、委託元及び委託先の連名で報告することができる。なお、委託先が、報告義務を負っている64

委託元に当該事態が発生したことを通知したときは、委託先は報告義務を免除される(「3-5-3-5 委託元への通知による例外(規則第 9 条関係)」)参照)。
また、委託元から委託先にある個人データ(個人データ A)の取扱いを委託している場合であって、別の個人データ(個人データ B)の取扱いを委託していないときには、個人データ B について、委託元において報告対象事
態が発生した場合であっても、委託先は報告義務を負わず、委託元のみが報告義務を負うことになる。

65

3-5-3-3 速報(規則第 8 条第 1 項関係)
個人情報取扱事業者は、報告対象事態を知ったときは、速やかに、個人情報保護委員会に報告しなければならない。個人情報保護委員会が法第 147
条第 1 項の規定により報告を受理する権限を事業所管大臣に委任している場合には、当該事業所管大臣に報告する。事業所管大臣に報告する場合、報告期限は個人情報保護委員会に報告する場合と同様である。
報告期限の起算点となる「知った」時点については、個別の事案ごとに判断されるが、個人情報取扱事業者が法人である場合には、いずれかの部署が当該事態を知った時点を基準とする。「速やか」の日数の目安については、個別の事案によるものの、個人情報取扱事業者が当該事態を知った時点か
ら概ね 3~5 日以内である。
個人情報保護委員会への漏えい等報告については、次の(1)から(9)までに掲げる事項を、原則として、個人情報保護委員会のホームページの報告フォームに入力する方法により行う。速報時点での報告内容については、報告をしようとする時点において把握している内容を報告すれば足りる。
(1)「概要」当該事態の概要について、発生日、発覚日、発生事案、発見者、規則第 7条各号該当性、委託元及び委託先の有無、事実経過等を報告する。
(2)「漏えい等が発生し、又は発生したおそれがある個人データ(前条第 3 号に定める事態については、同号に規定する個人情報を含む。次号において同じ。)の項目」
漏えい等が発生し、又は発生したおそれがある個人データ(規則第 7 条第3 号に定める事態については、同号に規定する個人情報を含む。)の項目について、媒体や種類(顧客情報、従業員情報の別等)とともに報告する。
(3)「漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数」
漏えい等が発生し、又は発生したおそれがある個人データ(規則第 7 条第3 号に定める事態については、同号に規定する個人情報を含む。)に係る66

本人の数について報告する。
(4)「原因」
当該事態が発生した原因について、当該事態が発生した主体(報告者又は委託先)とともに報告する。
(5)「二次被害又はそのおそれの有無及びその内容」
当該事態に起因して発生する被害又はそのおそれの有無及びその内容について報告する。
(6)「本人への対応の実施状況」
当該事態を知った後、本人に対して行った措置(通知を含む。)の実施状況について報告する。
(7)「公表の実施状況」
当該事態に関する公表の実施状況について報告する。
(8)「再発防止のための措置」
漏えい等事案が再発することを防止するために講ずる措置について、実施済みの措置と今後実施予定の措置に分けて報告する。
(9)「その他参考となる事項」
上記の(1)から(8)までの事項を補完するため、個人情報保護委員会が当該事態を把握する上で参考となる事項を報告する。
3-5-3-4 確報(規則第 8 条第 2 項関係)
個人情報取扱事業者は、報告対象事態を知ったときは、速報に加え(※1)、30 日以内(規則第 7 条第 3 号の事態においては 60 日以内。同号の事態に加え、同条第 1 号、第 2 号又は第 4 号の事態にも該当する場合も 60 日以内。)に個人情報保護委員会(個人情報保護委員会が法第 147 条第 1 項の規定により報告を受理する権限を事業所管大臣に委任している場合には、当該事業所管大臣)に報告しなければならない。30 日以内又は 60 日以内は報告期限であり、可能である場合には、より早期に報告することが望ましい。
報告期限の起算点となる「知った」時点については、速報と同様に、個人情報取扱事業者が法人である場合には、いずれかの部署が当該事態を知った時点を基準とし、確報の報告期限の算定(※2)に当たっては、その時点を67

1 日目とする。
確報においては、3-5-3-3(1)から(9)までに掲げる事項の全てを報告しなけ
ればならない。確報を行う時点(報告対象事態を知った日から 30 日以内又は 60 日以内)において、合理的努力を尽くした上で、一部の事項が判明しておらず、全ての事項を報告することができない場合には、その時点で把握している内容を報告し、判明次第、報告を追完するものとする。
(※1)速報の時点で全ての事項を報告できる場合には、1 回の報告で速報と確報を兼ねることができる。
(※2)確報の報告期限(30 日以内又は 60 日以内)の算定に当たっては、土日・祝日も含める。ただし、30 日目又は 60 日目が土日、祝日又は年末年始閉庁日(12 月 29 日~1 月 3 日)の場合は、その翌日を報告期限とする(行政機関の休日に関する法律(昭和 63 年法律第 91 号)第 2 条)。
3-5-3-5 委託元への通知による例外(規則第 9 関係)
委託先は、個人情報保護委員会(個人情報保護委員会が法第 147 条第 1 項の規定により報告を受理する権限を事業所管大臣に委任している場合には、当該事業所管大臣)への報告義務を負っている委託元に対し、「3-5-3-3 速報（規則第 8 条第 1 項関係）」(1)から(9)までに掲げる事項のうち、その時点で把握しているものを通知したときは、報告義務を免除される。委託元への通知については、速報としての報告と同様に、報告対象事態を知った後、速やかに行わなければならない。
「速やか」の日数の目安については、個別の事案によるものの、委託先が当該事態の発生を知った時点から概ね 3~5 日以内である。

3−5−4

本人への通知(法第 26 条第 2 項関係)

3-5-4-1 通知対象となる事態及び通知義務の主体
個人情報取扱事業者は、報告対象事態を知ったときは、本人への通知を行

68

わなければならない。
通知義務を負う主体は、原則として、漏えい等が発生し、又は発生したおそれがある個人データを取り扱う個人情報取扱事業者である。ただし、規則第 7 条第 3 号に定める事態について本人への通知の義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データ又は個人情報を取り扱い、又は取得しようとしている個人情報取扱事業者である(3-5-1-1(規則第 7 条の「個人データ」の考え方)参照)。
個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人データ又は個人情報を取り扱い、又は取得しようとしていることになるため、報告対象事態に該当する場合には、原則として委託元と委託先の双方が本人への通知を行う義務を負う。委託先が、報告義務を負っている委託元に 3-5-3-3(1)から(9)までに掲げる事項のうち、その時点で把握しているものを通知したときは、委託先は報告義務を免除されるとともに、本人への通知義務も免除される。なお、委託元への通知を行った委託先は、必要に応じて委託元による本人への通知に協力することが求められる。
3-5-4-2 通知の時間的制限
個人情報取扱事業者は、報告対象事態を知ったときは、当該事態の状況に応じて速やかに、本人への通知を行わなければならない。
「当該事態の状況に応じて速やかに」とは、速やかに通知を行うことを求めるものであるが、具体的に通知を行う時点は、個別の事案において、その時点で把握している事態の内容、通知を行うことで本人の権利利益が保護される蓋然性、本人への通知を行うことで生じる弊害等を勘案して判断する。
3-5-4-3 通知の内容
本人へ通知すべき事項については、漏えい等報告における報告事項のうち、「概要」(規則第 8 条第 1 項第 1 号)、「漏えい等が発生し、又は発生した
おそれがある個人データ(前条第 3 号に定める事態については、同号に規定する個人情報を含む。次号において同じ。)の項目」(同項第 2 号)、「原因」(同項第 4 号)、「二次被害又はそのおそれの有無及びその内容」(同項第 5 号)
及び「その他参考となる事項」(同項第 9 号)(※)に限られている。これらの69

事項が全て判明するまで本人への通知をする必要がないというものではな
く、本人への通知は、「当該事態の状況に応じて速やかに」行う必要がある(3-5-4-2(通知の時間的制限)参照)。
本人への通知については、「本人の権利利益を保護するために必要な範囲において」行うものである。
また、当初報告対象事態に該当すると判断したものの、その後実際には報告対象事態に該当していなかったことが判明した場合には、本人への通知
が「本人の権利利益を保護するために必要な範囲において」行うものであることに鑑み、本人への通知は不要である。
3-5-4-4 通知の方法「本人への通知」とは、本人に直接知らしめることをいい、事業の性質及び個人データの取扱状況に応じ、通知すべき内容が本人に認識される合理的かつ適切な方法によらなければならない(2-14(本人に通知)参照)。また、漏えい等報告と異なり、本人への通知については、その様式が法令上定められていないが、本人にとって分かりやすい形で通知を行うことが望ましい。
3-5-4-5 通知の例外
本人への通知を要する場合であっても、本人への通知が困難である場合
は、本人の権利利益を保護するために必要な代替措置(※1)を講ずることによる対応が認められる。
【代替措置に該当する事例】
事例 1)事案の公表(※2)
事例 2)問合せ窓口を用意してその連絡先を公表し、本人が自らの個人デー
タが対象となっているか否かを確認できるようにすること(※1)代替措置として事案の公表を行わない場合であっても、当該事態の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、公表を行うことが望ましい。
(※2)公表すべき内容は、個別の事案ごとに判断されるが、本人へ通知すべき内容を基本とする。

70

3−6

個人データの第三者への提供(第 27 条〜第 30 条関係)

3−6−1

第三者提供の制限の原則(法第 27 条第 1 項関係)

個人情報取扱事業者は、個人データの第三者への提供に当たり、あらかじめ本
人の同意を得ないで提供してはならない(※1)(※2)。同意の取得に当たっては、事業の規模及び性質、個人データの取扱状況(取り扱う個人データの性質及び量を含む。)等に応じ、本人が同意に係る判断を行うために必要と考えられる合理
的かつ適切な範囲の内容を明確に示さなければならない。
なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的において、その旨を特定しなければならない(「3-1-1 利用目的の特定（法第 17 条第 1 項関係）」)参照)。
また、令和 3 年改正法の施行日前に別表第二法人等(「3-1-3 利用目的による制限（法第 18 条第 1 項）」参照)に対しされた本人の個人情報の取扱いに関する同意がある場合において、その同意が法第 27 条第 1 項の規定による個人デー
タの第三者への提供を認める旨の同意に相当するものであるときは、令和 3 年
改正法の施行日において同項の同意があったものとみなす。(令和 3 年改正法附則第 7 条第 2 項)。
【第三者提供とされる事例】(ただし、法第 27 条第 5 項各号の場合を除く。)
事例 1)親子兄弟会社、グループ会社の間で個人データを交換する場合
事例 2)フランチャイズ組織の本部と加盟店の間で個人データを交換する場合
事例 3)同業者間で、特定の個人データを交換する場合【第三者提供とされない事例】(ただし、利用目的による制限がある。)
事例)同一事業者内で他部門へ個人データを提供する場合
ただし、次の(1)から(4)までに掲げる場合については、第三者への個人データの提供に当たって、本人の同意は不要である。なお、具体的な事例は、「3-1-5 利用目的による制限の例外（法第 18 条第 3 項関係）」を参照のこと。
(1)法令に基づいて個人データを提供する場合(法第 27 条第 1 項第 1 号関係)

71

(2)人(法人を含む。)の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得ることが困難である場合(法第 23 条第 1 項第 2 号関係)(3)公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることが困難である場合(法第23 条第 1 項第 3 号関係)
(4)国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であって、協力する民間企業等が当該国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合(法第 23 条第 1 項第 4 号関係)(※1)ブログやその他の SNS に書き込まれた個人データを含む情報については、当該情報を書き込んだ者の明確な意思で不特定多数又は限定された対象に対して公開されている情報であり、その内容を誰が閲覧でき
るかについて当該情報を書き込んだ者が指定していることから、その公開範囲について、インターネット回線への接続サービスを提供するプロ
バイダやブログその他の SNS の運営事業者等に裁量の余地はないため、
このような場合は、当該事業者が個人データを第三者に提供しているとは解されない。
(※2)個人情報取扱事業者若しくはその従業者又はこれらであった者が、その業務に関して取り扱った個人情報データベース等(その全部又は一部を複製し、又は加工したものを含む。)を自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、法第 174 条により刑事罰(1 年以下の懲役又は 50 万円以下の罰金)が科され得る。

72

3−6−2

オプトアウトによる第三者提供(法第 27 条第 2 項~第 4 項関係)

3−6−2−1

オプトアウトに関する原則(法第 27 条第 2 項関係)

個人情報取扱事業者は、個人データの第三者への提供に当たり、次の(1)から(9)までに掲げる事項をあらかじめ(※1)本人に通知し、又は本人が容易に知り得る状態(※2)に置くとともに、個人情報保護委員会に届け出た場合には(※
3)、「3-6-1 第三者提供の制限の原則（法第 27 条第 1 項関係）」の規定にかかわらず、あらかじめ本人の同意(※4)を得ることなく、個人データを第三者に提供することができる(※5)(オプトアウトによる第三者提供)。
また、個人情報取扱事業者は、「3−6−2−1 オプトアウトに関する原則（法第27 条第 2 項関係）」に基づき、必要な事項を個人情報保護委員会に届け出た
ときは、その内容を自らもインターネットの利用その他の適切な方法により公表(※6)するものとする。
なお、要配慮個人情報は、オプトアウトにより第三者に提供することはできず、第三者に提供するに当たっては、「3-6-1 第三者提供の制限の原則（法第27 条第 1 項関係）」各号又は同条第 5 項各号に該当する場合以外は、必ずあらかじめ本人の同意を得る必要があるので、注意を要する。また、不正取得された個人データについても、オプトアウトにより第三者に提供することはできない(※7)(1)個人情報取扱事業者の氏名又は名称及び住所並びに法人等の代表者の氏名(2)第三者への提供を利用目的とすること。
(3)第三者に提供される個人データの項目
事例 1)氏名、住所、電話番号、年齢
事例 2)氏名、商品購入履歴(4)第三者に提供される個人データの取得の方法
事例 1)新聞・雑誌・書籍・ウェブサイトの閲覧による取得
事例 2)官公庁による公開情報からの取得(5)第三者への提供の方法
事例 1)書籍(電子書籍を含む。)として出版

73

事例 2)インターネットに掲載
事例 3)プリントアウトして交付
事例 4)各種通信手段による配信
事例 5)その他外部記録媒体の形式での交付(6)本人の求めに応じて第三者への提供を停止すること。
(7)本人の求めを受け付ける方法
事例 1)郵送
事例 2)メール送信
事例 3)ホームページ上の指定フォームへの入力
事例 4)事業所の窓口での受付
事例 5)電話(8)第三者に提供される個人データの更新の方法
第三者に提供される個人データをどのように更新しているかを記入する。
(9)当該届出に係る個人データの第三者への提供を開始する予定日
新規の届出の場合には、オプトアウトによる第三者提供を開始する予定日を記入する。変更届の場合には、変更届に基づいて第三者提供を開始す
る予定日を記入する。
【オプトアウトによる第三者提供の事例】
事例)住宅地図業者(表札や郵便受けを調べて住宅地図を作成・販売)やデータベース事業者(ダイレクトメール用の名簿等を作成・販売)が、あらかじめ上記(1)から(9)までに掲げる事項を自社のホームページに常時掲載し、本人からの停止の求めを受け付けられる状態にし、個人情報保護委員会に必要な届出を行った上で、販売等を行う場合(※1)オプトアウトによる第三者提供を行う際は、上記の(1)から(9)までに掲げる事項をあらかじめ、第三者に提供される個人データによって識別される本人が当該提供の停止を求めるのに必要な期間をおかなければならない(規則第 11 条第 1 項第 1 号)ため、本人に通知し又は本人が容易に知り得る状態に置いた時点から、極めて短期間の後に、第三者提供を行ったような場合は、「本人が当該提供の停止を求めるのに必要な期間」をおいていないと判断され得る。

74具体的な期間については、業種、ビジネスの態様、通知又は容易に知り得る状態の態様、本人と個人情報取扱事業者との近接性、本人から停止の求めを受け付ける体制、提供される個人データの性質などによっても異なり得るため、個別具体的に判断する必要がある。
また、「本人に通知し、又は本人が容易に知り得る状態に置く」時期と、「個人情報保護委員会に届け出」る時期は、必ずしも同時である必要はないが、本人に通知し、又は本人が容易に知り得る状態に置いた後、速やかに個人情報保護委員会に届け出ることが望ましい。
(※2)「本人に通知」については、「2−14 本人に通知」を参照のこと。
「本
人が容易に知り得る状態」とは、事業所の窓口等への書面の掲示・備付
けやホームページへの掲載その他の継続的方法により、本人が知ろうとすれば、時間的にも、その手段においても、簡単に知ることができる状態をいい、事業の性質及び個人情報の取扱状況に応じ、本人が確実に認識できる適切かつ合理的な方法によらなければならない(規則第 7 条第1 項第 2 号)。
【本人が容易に知り得る状態に該当する事例】
事例 1)本人が閲覧することが合理的に予測される個人情報取扱事業者のホームページにおいて、本人が分かりやすい場所(例:ホームページのトップページから 1 回程度の操作で到達できる場所等)に法に定められた事項を分かりやすく継続的に掲載する場合
事例 2)本人が来訪することが合理的に予測される事務所の窓口等への掲示、備付け等が継続的に行われている場合
事例 3)本人に頒布されている定期刊行物への定期的掲載を行っている場合事例 4)電子商取引において、商品を紹介するホームページにリ
ンク先を継続的に表示する場合(※3)届出の方法は、電子情報処理組織を使用する方法によって行わなけ
ればならない(規則第 11 条第 2 項)。なお、代理人によって届出を行う場
合は、個人情報保護委員会が定める様式によるその権限を証する書面を提出しなければならない(規則第 11 条第 3 項)。また、外国にある個人情報取扱事業者が、届出を行う場合には、国内に住所を有する者に、当該75届出に関する一切の行為につき当該個人情報取扱事業者を代理する権限を有するものを定めなければならず、当該代理権を証する書面を個人情報保護委員会に提出しなければならない。
(※4)「本人の同意」については、「2−16 本人の同意」を参照のこと。
(※5)法第 15 条第 1 項の規定により特定された当初の利用目的に、個人情報の第三者提供に関する事項が含まれていない場合は、第三者提供を行うと目的外利用となるため、オプトアウトによる第三者提供を行うことはできない。
(※6)基本的には「インターネットの方法」による「公表」が望ましいが、
個人情報取扱事業者の特性、本人との近接性などにより、当該方法以外の適切な方法による公表も可能である。
「公表」については「2−15 公表」
を参照のこと。
(※7)オプトアウトにより提供を受けた個人データのオプトアウトによる再提供の禁止や、不正取得された個人データのオプトアウトによる提供の禁止については、当該個人データの全部又は一部を複製・加工したものについても適用があるため、注意を要する。
(※8)「本人の求めを受け付ける方法」には、本人が求めを行う連絡先(事業者名、窓口名、郵送先住所又は送信先メールアドレス等。当該個人情報取扱事業者が外国に本拠地を置く場合においては国内代理人の氏名、連絡先等。)が含まれる。
3−6−2−2

オプトアウトに関する事項の変更及び個人データの提供をやめた場合(法第 27 条第 3 項関係)

個人情報取扱事業者は、「3−6−2−1 オプトアウトに関する原則（法第 27 条
第 2 項関係）」に基づきオプトアウトにより個人データの第三者提供を行っている場合であって、次の(1)から(3)までのいずれかに該当する場合は、その旨について、本人に通知し、又は本人が容易に知り得る状態に置くとともに、
個人情報保護委員会に届け出なければならない。
なお、個人情報取扱事業者は、「3-6-2-2 オプトアウトに関する事項の変更及び個人データの提供をやめた場合（法第 27 条 第 3 項関係）」に基づき、必要な事項を個人情報保護委員会に届け出たときは、その内容を自らも公表す76

るものとする。
(1)届出事項(第三者に提供される個人データの項目等)の変更があった場合第三者に提供される個人データの項目、第三者に提供される個人データの取得の方法、第三者への提供の方法、第三者への提供を停止すべきとの本人の求めを受け付ける方法、個人データの更新の方法又は第三者への提供を開始す
る予定日を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
(2)届出事項(氏名又は名称、住所、法人等の代表者の氏名)の変更があった場合
第三者への提供を行う個人情報取扱事業者の氏名又は名称、住所、法人等の代表者の氏名に変更があったときは、遅滞なく、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
(3)個人データの提供をやめた場合「3−6−2−1 オプトアウトに関する原則（法第 27 条第 2 項関係）」に基づく
個人データの第三者提供をやめたときは、遅滞なく、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
3−6−3

第三者に該当しない場合(法第 27 条第 5 項・第 6 項関係)

次の(1)から(3)までの場合については、個人データの提供先は個人情報取扱事業者とは別の主体として形式的には第三者に該当するものの、本人との関係において提供主体である個人情報取扱事業者と一体のものとして取り扱うことに合理性があるため、第三者に該当しないものとする。
このような要件を満たす場合には、個人情報取扱事業者は、「3-6 個人データの第三者への提供（法第 27 条第 1 項から第 3 項まで)）の規定にかかわらず、
あらかじめの本人の同意又は第三者提供におけるオプトアウトを行うことなく、
個人データを提供することができる。
(1)委託(法第 27 条第 5 項第 1 号関係)

77

利用目的の達成に必要な範囲内において、個人データの取扱いに関する業務の全部又は一部を委託することに伴い、当該個人データが提供される場合は、当該提供先は第三者に該当しない。この場合、当該提供先は、委託された業務の範囲内でのみ、本人との関係において提供主体である個人情報取扱事業者と一体のものとして取り扱われることに合理性があるため、委託された業務以外に当該個人データを取り扱うことはできない。
なお、個人情報取扱事業者には、「3-4-4 委託先の監督（法第 25 条関係）」により、委託先に対する監督責任が課される。
事例 1)データの打ち込み等、情報処理を委託するために個人データを提供する場合
事例 2)百貨店が注文を受けた商品の配送のために、宅配業者に個人データを提供する場合(2)事業の承継(法第 27 条第 5 項第 2 号関係)
合併、分社化、事業譲渡等により事業が承継されることに伴い、当該事業に係る個人データが提供される場合は、当該提供先は第三者に該当しない。
なお、事業の承継後も、個人データが当該事業の承継により提供される前の利用目的の範囲内で利用しなければならない(「3-1-4 事業の承継（法第 18 条第2 項）」参照)。
また、事業の承継のための契約を締結するより前の交渉段階で、相手会社から自社の調査を受け、自社の個人データを相手会社へ提供する場合も、本号に該当
し、あらかじめ本人の同意を得ることなく又は第三者提供におけるオプトアウ
ト手続を行うことなく、個人データを提供することができるが、当該データの利用目的及び取扱方法、漏えい等が発生した場合の措置、事業承継の交渉が不調となった場合の措置等、相手会社に安全管理措置を遵守させるために必要な契約を締結しなければならない。
事例 1)合併、分社化により、新会社に個人データを提供する場合
事例 2)事業譲渡により、譲渡先企業に個人データを提供する場合

78

(3)共同利用(法第 27 条第 5 項第 3 号関係)
特定の者との間で共同して利用される個人データを当該特定の者に提供する
場合(※1)であって、次の①から⑤までの情報(※2)を、提供に当たりあらかじめ本人に通知し、又は本人が容易に知り得る状態に置いているときには、当該提供先は、本人から見て、当該個人データを当初提供した事業者と一体のものとして取り扱われることに合理性があると考えられることから、第三者に該当しない。
なお、法第 27 条第 5 項第 3 号の規定により本人に通知し、又は本人が容易に知り得る状態に置かなければならない事項に相当する事項について、令和 3 年
改正法の施行日前に、本人に通知されているときは、当該通知は、令和 3 年改正法の施行日以後は、同号の規定による通知とみなす(令和 3 年改正法附則第 7
条第 4 項)。
また、既に特定の事業者が取得している個人データを他の事業者と共同して利用する場合には、既に取得している事業者が「3-1-1 利用目的の特定（法第 17条第 1 項関係）」の規定により特定した利用目的の範囲で共同して利用しなければならない。
①共同利用をする旨②共同して利用される個人データの項目
事例 1)氏名、住所、電話番号、年齢
事例 2)氏名、商品購入履歴③共同して利用する者の範囲「共同利用の趣旨」は、本人から見て、当該個人データを提供する事
業者と一体のものとして取り扱われることに合理性がある範囲で、当該個人データを共同して利用することである。
したがって、共同利用者の範囲については、本人がどの事業者まで将来利用されるか判断できる程度に明確にする必要がある。
なお、当該範囲が明確である限りにおいては、必ずしも事業者の名称等を個別に全て列挙する必要はないが、本人がどの事業者まで利用されるか判断できるようにしなければならない。

79

④利用する者の利用目的
共同して利用する個人データについて、その利用目的を全て、本人に通知し、又は本人が容易に知り得る状態に置いていなければならない。
なお、利用目的が個人データの項目によって異なる場合には、当該個人データの項目ごとに利用目的を区別して記載することが望ましい。
⑤当該個人データの管理について責任を有する者の氏名又は名称及び住所
並びに法人にあっては、その代表者の氏名「個人データの管理について責任を有する者」とは、開示等の請求及び苦情を受け付け、その処理に尽力するとともに、個人データの内容等について、開示、訂正、利用停止等の権限を有し、安全管理等個人デー
タの管理について責任を有する者をいう。
なお、ここでいう「責任を有する者」とは、共同して利用する全ての事業者の中で、第一次的に苦情の受付・処理、開示・訂正等を行う権限を有する者をいい、共同利用者のうち一事業者の内部の担当責任者をいうものではない。
また、個人データの管理について責任を有する者は、利用目的の達成に必要な範囲内において、共同利用者間で利用している個人データを正
確かつ最新の内容に保つよう努めなければならない(「3−4−1 データ内
容の正確性の確保等（法第 22 条関係）」参照)。
【共同利用に該当する事例】
事例 1)グループ企業で総合的なサービスを提供するために取得時の利用目的(「3-1-2 利用目的の変更（法第 17 条第 2 項、第 21 条第 3 項関係）」の規定に従い変更された利用目的を含む。以下同じ。)の範囲内
で情報を共同利用する場合
事例 2)親子兄弟会社の間で取得時の利用目的の範囲内で個人データを共同利用する場合
事例 3)使用者と労働組合又は労働者の過半数を代表する者との間で取得時の利用目的の範囲内で従業者の個人データを共同利用する場合(※1)共同利用の対象となる個人データの提供については、必ずしも

80全ての共同利用者が双方向で行う必要はなく、一部の共同利用者に対し、一方向で行うこともできる。
(※2)事業者が共同利用を実施する場合には、共同利用者における責任等を明確にし円滑に実施する観点から、上記 1 から 5 までの情報のほか、例えば、次の(ア)から(カ)までの事項についても、あらかじめ取り決めておくことが望ましい。
(ア)共同利用者の要件(グループ会社であること、特定のキャン
ペーン事業の一員であること等、共同利用による事業遂行上の一定の枠組み)(イ)各共同利用者の個人情報取扱責任者、問合せ担当者及び連絡先(ウ)共同利用する個人データの取扱いに関する事項
・個人データの漏えい等防止に関する事項
・目的外の加工、利用、複写、複製等の禁止
・共同利用終了後のデータの返還、消去、廃棄に関する事項(エ)共同利用する個人データの取扱いに関する取決めが遵守されなかった場合の措置(オ)共同利用する個人データに関する事件・事故が発生した場合の報告・連絡に関する事項(カ)共同利用を終了する際の手続<共同利用に係る事項の変更(法第 27 条第 6 項関係)>
個人情報取扱事業者は、個人データを共同利用する場合において、「個人デー
タの管理について責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名」に変更があったときは遅滞なく、当該変更後の内容について、「共同利用する者の利用目的」又は「当該責任を有する者」を変更しようとするときは変更する前に、変更しようとする内容について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
なお、「共同利用する者の利用目的」については、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内で変更することができる。
「共同して利用される個人データの項目」及び「共同して利用する者の範囲」に

81

ついて変更することは、原則として認められないが、例えば次のような場合は、引き続き共同利用を行うことができる。
事例 1)共同利用を行う個人データの項目や事業者の変更につき、あらかじめ本
人の同意を得た場合
事例 2)共同利用を行う事業者の名称に変更があるが、共同して利用される個人データの項目には変更がない場合
事例 3)共同利用を行う事業者について事業の承継が行われた場合(共同利用する個人データの項目等の変更がないことが前提)
3−6−4

外国にある第三者への提供の制限(法第 28 条関係)

個人情報取扱事業者は、個人データを外国にある第三者に提供するに当たっては、次の(1)から(3)までのいずれかに該当する場合を除き、あらかじめ「外国にある第三者への個人データの提供を認める旨の本人の同意」を得る必要がある。
(1)当該第三者が、我が国と同等の水準にあると認められる個人情報保護制度を有している国として個人情報の保護に関する法律施行規則(平成 28 年個人情報保護委員会規則第 3 号。以下「規則」という。)で定める国にある場合(2)当該第三者が、個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制として規則で定める基準に適合する体制を整備している場合(3)次の 1 から 7 までのいずれかに該当する場合(法第 27 条第 1 項各号関係)
1 法令に基づいて個人データを提供する場合(第 1 号関係)
2 人(法人を含む。)の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得ることが困難である場合(第 2 号関係)
3 公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることが困難である場合(第 3 号関係)82

4 国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であって、協力する民間企業等が当該国の機関等に個人デー
タを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合(第 4 号関係)
5 学術研究機関等が個人データを提供する場合であり、かつ、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ない場合(個人の権利利益を不当に侵害するおそれがある場合を除く。)(第 5 号関係)
6 学術研究機関等が個人データを提供する場合であり、かつ、当該学術研究機
関等と共同して学術研究を行う第三者(学術研究機関等であるか否かを問わない)に当該個人データを学術研究目的で提供する必要がある場合(当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)(第 6 号関係)
7 学術研究機関等が個人データの第三者提供を受ける場合であり、かつ、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要がある場合(当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)(第 7 号関係)
3-6-4-1 個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国
個人の権利利益を保護する上で我が国と同等の水準にあると認められる
個人情報の保護に関する制度を有している外国は、EU 及び英国が該当する。
ここでいう EU とは、「個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国等」(平成 31 年個人情報保護委員会告示第 1 号)に定める国を指す(ただし、英国は含まない。)。
なお、EU 及び英国の指定は、日 EU 間で相互の円滑な個人データ移転を図るために、欧州委員会による日本への十分性認定(GDPR(※)第 45 条に基づき、欧州委員会が、国又は地域等を個人データについて十分な保護水準を確保していると認める決定をいう。)に併せて行ったものである。
(※)個人データの取扱いに係る自然人の保護及び当該データの自由な移転並びに指令 95/46/EC の廃止に関する欧州議会及び欧州理事会規則(一般デ83

ータ保護規則)
3-6-4-2 個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準
個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準については、規則第 16 条に規定されている。なお、必要な体制が整備されていることについて、個人情報保護委員会に対する事前の届出等は要しない。
3-6-4-2-1 適切かつ合理的な方法(規則第 16 条第 1 号関係)
「適切かつ合理的な方法」は、個々の事例ごとに判断されるべきであるが、個人データの提供先である外国にある第三者が、我が国の個人情報取扱事
業者が講ずべきこととされている措置に相当する措置を継続的に講ずることを担保することができる方法である必要がある。
3-6-4-2-2 規定の趣旨に沿った措置(規則第 16 条第 1 号関係)
外国にある第三者により個人データが取り扱われる場合においても、我が国の個人情報取扱事業者により個人データが取り扱われる場合に相当する程度の本人の権利利益の保護を図るという観点に加え、経済協力開発機
構(OECD)におけるプライバシーガイドラインや APEC におけるプライバ
シーフレームワークといった国際的な枠組みの基準も踏まえた国際的な整合性も勘案する。
具体的には、1 から 20 に記述する事項について、適切かつ合理的な方法に記述する方法によって担保されていなければならない。
個人情報取扱事業者は、契約等に 1 から 20 に記述する全ての事項を規定しなければならないものではなく、規定の趣旨に鑑みて、実質的に適切かつ合理的な方法により、外国にある第三者に提供された個人データに係る本人の権利利益の保護に必要な範囲で、「措置」の実施が確保されていれば足りる。
1 利用目的の特定(法第 17 条の趣旨に沿った措置)

84

2 利用目的による制限(法第 18 条の趣旨に沿った措置)
3 不適正な利用の禁止(法第 19 条の趣旨に沿った措置)
4 適正な取得(法第 20 条の趣旨に沿った措置)
5 取得に際しての利用目的の通知(法第 21 条の趣旨に沿った措置)
6 データ内容の正確性の確保等(法第 22 条の趣旨に沿った措置)
7 安全管理措置(法第 23 条の趣旨に沿った措置)
8 従業者の監督(法第 24 条の趣旨に沿った措置)
9 委託先の監督(法第 25 条の趣旨に沿った措置)
10 漏えい等の報告等(法第 26 条の趣旨に沿った措置)
11 第三者提供の制限(法第 27 条の趣旨に沿った措置)
12 外国にある第三者への提供の制限(法第 28 条の趣旨に沿った措置)
13 保有個人データに関する事項の公表等(法第 32 条の趣旨に沿った措
置)
14 開示(法第 33 条の趣旨に沿った措置)
15 訂正等(法第 34 条の趣旨に沿った措置)
16 利用停止等(法第 35 条の趣旨に沿った措置)
17 理由の説明(法第 36 条の趣旨に沿った措置)
18 開示等の請求等に応じる手続(法第 37 条の趣旨に沿った措置)
19 手数料(法第 38 条の趣旨に沿った措置)
20 個人情報取扱事業者による苦情の処理(法第 40 条の趣旨に沿った措
置)
3-6-4-3 同意取得時の情報提供
1 情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。
2 法第 28 条第 1 項の規定により外国にある第三者への個人データの提供を認める旨の本人の同意を取得しようとする場合には、1 から 3 までの求められる情報を本人に提供しなければならない
1 当該外国の名称
2 適切かつ合理的な方法により得られた当該外国における個人情報の保85

護に関する制度に関する情報
3 当該第三者が講ずる個人情報の保護のための措置に関する情報
本人の同意を得ようとする時点において、前項に定める事項が特定できない場合には、次に掲げる事項について情報提供しなければならない。
1 提供先の第三者が所在する外国を特定できない場合は特定できない旨及びその理由
2 提供先の第三者が所在する外国を特定できない場合に代わる本人に参考となるべき情報がある場合には、当該情報個人情報取扱事業者は、本人の同意を得ようとする時点において、提供先の第三者が講ずる個人情報の保護のための措置に関する情報が提供できな
い場合には、同号に定める事項に代えて、その旨及びその理由について情報提供しなければならない。
3-6-4-4 個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備している者に個人データを提供した場合に講ずべ
き措置等
個人情報取扱事業者は、個人データを外国にある第三者に提供した場合には、個人情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。
1 当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること。
2 当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データの当該第三者への提供を停止すること。

86

3-6-4-4-1 情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。
3-6-4-4-2 個人情報取扱事業者は、情報提供の求めを受けたときは、本人に対し、遅滞なく、次に掲げる事項について情報提供しなければならない。ただし、情報提供することにより当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、その全部又は一部を提供しないことができる。
3-6-4-4-3 個人情報取扱事業者は、法第 28 条第 3 項の規定による求めに係る情報の全部又は一部について提供しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
3-6-4-4-4 個人情報取扱事業者は、前項の規定により、本人から求められた情報の全部又は一部について提供しない旨を通知する場合には、本人に対し、その理由を説明するよう努めなければならない。

87

3−6−5

第三者提供に係る記録の作成等(法第 29 条関係)

3-6-5-1 記録義務(法第 29 条第 1 項、第 30 条第 3 項関係)
3-6-5-1-1 記録を作成する方法など
個人情報取扱事業者は、個人データを第三者に提供したときは、個人情報保護委員会規則で定めるところにより、当該個人データを提供した年月日、
当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。
個人情報取扱事業者は、個人データを第三者から提供を受けたときは、個
人情報保護委員会規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。
3-6-5-1-2 記録を作成する媒体(規則第 19 条第 1 項、第 23 条第 1 項関係)
個人情報取扱事業者は、記録を、文書、電磁的記録又はマイクロフィルム
を用いて作成しなければならない。
3-6-5-2 記録を作成する方法
3-6-5-2-1 原則(規則第 19 条第 2 項、第 23 条第 2 項関係)
個人情報取扱事業者は、原則として、個人データの授受の都度、速やかに、記録を作成しなければならない。なお、個人データを授受する前に記録を作成することもできる。本人別に記録を単体で作成する方法のほか、対象となる複数の本人の記録を一体として作成することもできる。
3-6-5-2-2 一括して記録を作成する方法(規則第 19 条第 2 項、第 23 条第 2
項関係)一定の期間内に特定の事業者との間で継続的に又は反復して個人データを授受する場合は、個々の授受に係る記録を作成する代わりに、一括して記録を作成することができる。

88

3-6-5-2-3 契約書等の代替手段による方法(規則第 19 条第 3 項、第 23 条第3 項関係)
個人情報取扱事業者が、本人に対する物品又は役務の提供に係る契約を締結し、かかる契約の履行に伴って、契約の締結の相手方を本人とする個人データを当該個人情報取扱事業者から第三者に提供する場合は、当該提供の際に作成した契約書その他の書面をもって個人データの流通を追跡することが可能であることから、当該契約書その他の書面をもって記録とすることができる。
3-6-5-3 代行により記録を作成する方法
提供者・受領者のいずれも記録の作成方法・保存期間は同一であることに鑑
みて、提供者(又は受領者)は受領者(又は提供者)の記録義務の全部又は一部を代替して行うことができる(提供者と受領者の記録事項の相違については留意する必要がある。)。なお、この場合であっても、提供者及び受領者は自己の義務が免責されるわけではないことから、実質的に自らが記録作成義務を果たしているものと同等の体制を構築しなければならない。
また、委託先の個人情報取扱事業者が委託契約の目的の範囲内で第三者との間で個人データの授受を行った場合において、一義的には委託先の個人情報取扱事業者が記録を作成する義務があるが、委託元の個人情報取扱事業者
が記録の作成を代行することができる。
3-6-5-4 記録事項
3-6-5-4-1 提供者の記録事項(法第 29 条第 1 項関係)
3-6-5-4-1-1 オプトアウトによる第三者提供をする場合(規則第 20 条第 1
項第 1 号関係)
個人情報取扱事業者が、オプトアウトによる個人データの第三者提供を行う場合は、次の項目を記録しなければならない。
(1)「当該個人データを提供した年月日」(2)「当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者(法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。第 28 条第 1 項第 3 号において同じ。)の氏名(不特定かつ多数の者に対して提供したときは、その旨)」89(3)「当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項」(4)「当該個人データの項目」
3-6-5-4-1-2 本人の同意による第三者提供をする場合(規則第 20 条第 1 項
第 2 号関係)
個人情報取扱事業者が、本人の同意に基づき個人データの第三者提供を行う場合は、次の項目を記録しなければならない。
(1) 「法第 27 条第 1 項又は法第 28 条第 1 項の本人の同意を得ている
旨」(2) 「当該第三者の氏名又は名称その他の当該第三者を特定するに足りる事項」(3) 「当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項」(4) 「当該個人データの項目」
3-6-5-2-2 受領者の記録事項(法第 30 条第 3 項関係)
3-6-5-2-2-1 オプトアウトによる第三者提供を受ける場合(規則第 24 条第1 項第 1 号関係)
個人情報取扱事業者が、オプトアウトによる個人データの第三者提供を受ける場合は、次の項目を記録しなければならない。
(1)「当該個人データを受けた年月日」(2)「当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名」(3)「当該第三者による当該個人データの取得の経緯」(4)「当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項」(5)「当該個人データの項目」(6)「個人情報保護委員会により公表されている旨」
3-6-5-2-2-2 本人の同意に基づき第三者提供を受ける場合
個人情報取扱事業者が、本人の同意に基づき個人データの第三者提供

90

を受ける場合は、次の項目を記録しなければならない。
(1)「法第 27 条第 1 項又は法第 28 条第 1 項の本人の同意を得ている
旨」(2)「当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名」(3)「当該第三者による当該個人データの取得の経緯」(4)「当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項」(5)「当該個人データの項目」
3-6-5-2-2-3 私人などから第三者提供を受ける場合(規則第 24 条第 1 項第4 号関係)
個人情報取扱事業者が、他の個人情報取扱事業者又は法第 16 条第 2 項
各号に掲げる者(「2-1-3 第三者が法第 16 条第 2 項各号に掲げる者である
場合」参照)以外の者から、個人データの提供を受ける場合は、次の項目を記録しなければならない。
(1)「当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名」(2)「当該第三者による当該個人データの取得の経緯」(3)「当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項」(4)「当該個人データの項目」
3-6-5-2-3 記録事項の省略(規則第 20 条第 2 項、第 24 条第 2 項関係)
複数回にわたって同一「本人」の個人データの授受をする場合において、同一の内容である事項を重複して記録する必要はないことから、その旨を明確にするものである。すなわち、既に「4 記録義務」に規定する方法により作成した記録(現に保存している場合に限る。)に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。
3-6-5-5 保存期間(法第 29 条第 2 項、第 30 条第 4 項関係)
個人情報取扱事業者は、作成した記録を規則で定める期間保存しなければな

91

らない。
「3-6-5-2-3 契約書等の代替手段による方法」により記録を作成した場合
最後に当該記録に係る個人データの提供を行った日から起算して 1 年を経過する日までの間「3-6-5-2-2 一括して記録を作成する方法」により記録を作成した場合
最後に当該記録に係る個人データの提供を行った日から起算して 3 年を経過する日までの間
上述以外の場合
3年

92

3−7

個人関連情報の第三者提供の制限等(法第 31 条関係)

3−7−1

法第 31 条の適用の有無について

個人関連情報取扱事業者は、提供先の第三者が個人関連情報(個人関連情報データベース等を構成するものに限る。以下同じ。)を個人データとして取得することが想定されるときは、「3-6-1 第三者提供の制限の原則（法第 27 条第 1 項関係）」各号に掲げる場合を除き、あらかじめ当該個人関連情報に係る本人の同意が得られていること等を確認しないで、当該個人関連情報を提供してはならない。
法第 31 条第 1 項は、個人関連情報取扱事業者による個人関連情報の第三者提供一般に適用されるものではなく、提供先の第三者が個人関連情報を「個人デー
タとして取得することが想定されるとき」に適用されるものである。そのため、個人関連情報の提供を行う個人関連情報取扱事業者は、提供先の第三者との間で、提供を行う個人関連情報の項目や、提供先の第三者における個人関連情報の取扱い等を踏まえた上で、それに基づいて法第 31 条第 1 項の適用の有無を判断する。
3-7-1-1 「個人データとして取得する」について
法第 31 条第 1 項の「個人データとして取得する」とは、提供先の第三者において、個人データに個人関連情報を付加する等、個人データとして利用しようとする場合をいう。
提供先の第三者が、提供を受けた個人関連情報を、ID 等を介して提供先が保有する他の個人データに付加する場合には、「個人データとして取得する」
場合に該当する。
提供先の第三者が、提供を受けた個人関連情報を直接個人データに紐付けて利用しない場合は、別途、提供先の第三者が保有する個人データとの容易照合性が排除しきれないとしても、ここでいう「個人データとして取得する」場
合には直ちに該当しない。

93

3-7-1-2「想定される」について「想定される」とは、提供元の個人関連情報取扱事業者において、提供先の第三者が「個人データとして取得する」ことを現に想定している場合、又は一般人の認識(※)を基準として「個人データとして取得する」ことを通常想定できる場合をいう。
(1)「個人データとして取得する」ことを現に想定している場合
提供元の個人関連情報取扱事業者が、提供先の第三者において個人データとして取得することを現に認識している場合をいう。
【現に想定している場合に該当する例】
事例 1)提供元の個人関連情報取扱事業者が、顧客情報等の個人データを保有する提供先の第三者に対し、ID 等を用いることで個人関連情報を個人データと紐付けて取得することが可能であることを説明している場合
事例 2)提供元の個人関連情報取扱事業者が、提供先の第三者から、個人関連情報を受領した後に個人データと紐付けて取得することを告げられている場合(2)「個人データとして取得する」ことを通常想定できる場合
提供元の個人関連情報取扱事業者において現に想定していない場合であっても、提供先の第三者との取引状況等の客観的事情に照らし、一般人の認識を基準に通常想定できる場合には、「想定される」に該当する。
【通常想定できる場合】事例)個人関連情報を提供する際、提供先の第三者において当該個人関連情報を氏名等と紐付けて利用することを念頭に、そのために用いる ID 等も併せて提供する場合(※)ここでいう「一般人の認識」とは、同種の事業を営む事業者の一般的な判断力・理解力を前提とする認識をいう。
3-7-1-3 契約等による対応について
提供元の個人関連情報取扱事業者及び提供先の第三者間の契約等において、提供先の第三者において、提供を受けた個人関連情報を個人データとして利94

用しない旨が定められている場合には、通常、「個人データとして取得する」
ことが想定されず、法第 31 条は適用されない。この場合、提供元の個人関連
情報取扱事業者は、提供先の第三者における個人関連情報の取扱いの確認まで行わなくとも、通常、「個人データとして取得する」ことが想定されない。
もっとも、提供先の第三者が実際には個人関連情報を個人データとして利用することが窺われる事情がある場合には、当該事情に応じ、別途、提供先の第三者における個人関連情報の取扱いも確認した上で「個人データとして取得する」ことが想定されるかどうか判断する必要がある。
3−7−2

本人の同意の取得方法

3-7-2-1 本人の同意
法第 31 条第 1 項第 1 号の「本人の同意」とは、個人関連情報取扱事業者が第三者に個人関連情報を提供し、当該第三者が当該個人関連情報を個人デー
タとして取得することを承諾する旨の当該本人の意思表示をいう。同号の同意の取得に当たっては、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示した上で、本人の同意の意思が明確に確認できることが必要である。
また、本人の同意は、必ずしも第三者提供のたびに取得しなければならない
ものではなく、本人が予測できる範囲において、包括的に同意を取得することも可能である。
なお、令和 2 年改正法の施行日前になされた本人の個人関連情報の取扱いに関する同意がある場合において、その同意が法第 31 条第 1 項の規定による
個人関連情報の第三者への提供を認める旨の同意に相当するものであるときは、同項第 1 号の同意があったものとみなす(令和 2 年改正法附則第 5 条第 1号)。
また、令和 3 年改正法の施行日前に別表第二法人等(3-1-3(利用目的による制限)参照)に対しされた本人の個人関連情報の取扱いに関する同意がある場
合において、その同意が法第 31 条第 1 項第 1 号の規定による個人関連情報の第三者への提供を認める旨の同意に相当するものであるときは、令和 3 年改正法の施行日において同号の同意があったものとみなす(令和 3 年改正法附則
第 7 条第 8 項)。

95

3-7-2-2 同意を取得する主体
法第 31 条第 1 項第 1 号の「本人の同意」を取得する主体は、本人と接点を持ち、情報を利用する主体となる提供先の第三者であるが、同等の本人の権利利益の保護が図られることを前提に、同意取得を提供元の個人関連情報取扱事業者が代行することも認められる。
提供先の第三者による同意取得の場合であっても、提供元の個人関連情報取扱事業者による同意取得の代行の場合であっても、個人関連情報の提供を受けて個人データとして取得する主体、対象となる個人関連情報の項目、個人
関連情報の提供を受けて個人データとして取得した後の利用目的等について、本人が認識できるようにする必要がある。
(1)提供先の第三者による同意取得の場合
提供先の第三者が、個人関連情報の提供を受けて個人データとして取得する主体として、本人に対して、対象となる個人関連情報を特定できるよ
うに示した上で同意を取得しなければならない。
個人関連情報を個人データとして取得した後の利用目的については、提供先の第三者において法第 21 条により通知又は公表を行う必要がある
が、提供先において同意を取得する際には同時に当該利用目的についても本人に示すことが望ましい。
(2)提供元の個人関連情報取扱事業者による同意取得の代行の場合
提供元の個人関連情報取扱事業者が同意取得を代行する場合、本人は利用の主体を認識できないことから、提供元の個人関連情報取扱事業者において、個人関連情報の提供を受けて個人データとして取得する提供先の第三者を個別に明示し、また、対象となる個人関連情報を特定できるよ
うに示さなければならない。
提供先の第三者が個人関連情報を個人データとして取得した後の利用目的については、提供先の第三者において法第 21 条により通知又は公表を行わなければならない。
また、提供元の個人関連情報取扱事業者が同意取得を代行する場合であっても、提供先の第三者が同意取得の主体であることに変わりはないことから、提供先の第三者は提供元の個人関連情報取扱事業者に適切に同意取得させなければならない。

96

3-7-2-3 同意取得の方法
同意取得の方法としては、様々な方法があるが、例えば、本人から同意する旨を示した書面や電子メールを受領する方法、確認欄へのチェックを求める方法がある。ウェブサイト上で同意を取得する場合は、単にウェブサイト上に本人に示すべき事項を記載するのみでは足りず、それらの事項を示した上でウェブサイト上のボタンのクリックを求める方法等によらなければならない。
また、同意取得に際しては、本人に必要な情報を分かりやすく示すことが重要であり、例えば、図を用いるなどして工夫することが考えられる。
3−7−3

本人の同意等の確認の方法(法第 31 条第 1 項関係)

3-7-3-1 個人データとして取得することを認める旨の本人の同意を得られていること(法第 31 条第 1 項第 1 号、規則第 26 条第 1 項関係)
個人関連情報取扱事業者は、提供先の第三者が個人関連情報を個人データとして取得することが想定されるときは、原則として、あらかじめ当該個人関連情報に係る本人の同意が得られていることを確認しないで個人関連情報を提供してはならない。
本人から同意を得る主体は、原則として提供先の第三者となり、個人関連情報取扱事業者は、当該第三者から申告を受ける方法その他の適切な方法によって本人同意が得られていることを確認することになる。提供先の第三者から申告を受ける場合、個人関連情報取扱事業者は、その申告内容を一般的な注
意力をもって確認すれば足りる。
提供先の第三者において、複数の本人から同一の方式で同意を取得している場合、提供元はそれぞれの本人から同意が取得されていることを確認する必要があるが、同意取得の方法については、本人ごとに個別の申告を受ける必要はなく、複数の本人からどのように同意を取得したか申告を受け、それによって確認を行えば足りる。
なお、提供先の第三者から提供元の個人関連情報取扱事業者に対する申告に際し、提供先の第三者が法第 31 条第 1 項第 1 号の同意を取得済みの ID 等を提供する行為は、個人データの第三者提供に該当する場合があるが、法第31 条第 1 項の確認行為において必要となる情報のみを提供する場合は、法令

97に基づく場合(法第 27 条第 1 項第 1 号)に該当する。
また、提供元の個人関連情報取扱事業者において、同意取得を代行する場
合、当該同意を自ら確認する方法も「その他の適切な方法」による確認に該当する。
【第三者から申告を受ける方法に該当する事例】
事例 1)提供先の第三者から口頭で申告を受ける方法
事例 2)提供先の第三者が本人の同意を得ていることを誓約する書面を受け入れる方法【その他の適切な方法に該当する事例】
事例 1)提供先の第三者が取得した本人の同意を示す書面等を確認する方法
事例 2)提供元の個人関連情報取扱事業者において同意取得を代行して、当該同意を自ら確認する方法
3-7-3-2 外国にある第三者への提供にあっては、必要な情報が当該本人に提供されていること(法第 31 条第 1 項第 2 号、規則第 26 条第 2 項関係)
個人関連情報取扱事業者は、個人関連情報の提供先が外国にある第三者である場合には、法第 31 条第 1 項第 1 号に基づき本人の同意が得られていることを確認するに当たって、当該同意が得られていることに加え、当該同意を得ようとする時点において次の(1)から(3)までの情報が当該本人に提供されていることを確認しなければならない。
情報提供の方法及び提供すべき情報の内容の考え方等については、外国第三者提供ガイドライン「5-1(情報提供の方法)」及び「5-2(提供すべき情報)」を参照のこと。
(1)当該外国の名称(規則第 17 条第 2 項第 1 号関係)
(2)適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報(規則第 17 条第 2 項第 2 号関係)
(3)当該第三者が講ずる個人情報の保護のための措置に関する情報(規則第17 条第 2 項第 3 号関係)

98

ただし、次の 1 又は 2 のいずれかに該当する場合には、本人同意の取得時に上記の(1)から(3)までの情報が提供されていることを確認する必要はない。
1 当該第三者が個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報保護制度を有している国にある場合
個人の権利利益を保護する上で我が国と同等の水準にあると認められる個
人情報保護制度を有している外国として規則で定める国(※1)は、法第 31 条
第 1 項第 2 号の「外国」には該当しない。そのため、個人関連情報の提供先が、当該国にある第三者である場合には、法第 31 条第 1 項第 2 号は適用されない。
2 当該第三者が個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備している場合
個人関連情報の提供先である外国にある第三者が、個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制として規則
第 16 条で定める基準に適合する体制を整備している場合(※2)には、当該第三者は、法第 31 条第 1 項第 2 号における「第三者」に該当しない。そのため、当該体制を整備している外国にある第三者への個人関連情報の提供について
は、法第 31 条第 1 項第 2 号は適用されない。
ただし、規則第 16 条で定める基準に適合する体制を整備している外国にある第三者に個人関連情報の提供を行った場合には、個人関連情報取扱事業者
は、法第 31 条第 2 項により読み替えて準用される法第 28 条第 3 項に基づき、次の(ア)及び(イ)の措置を講じなければならない(※3)(※4)。
(ア)当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること(規則第 18 条第 1 項第 1 号関係)(イ)当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人関連情報の当該第三者への提供を停止すること(規則第 18
条第 1 項第 2 号関係)

99

(※1)規則で定める国とは、平成 31 年個人情報保護委員会告示第 1 号に定める国を指す。詳細については、外国第三者提供ガイドライン「3(個人の権
利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国)」を参照のこと。
(※2)個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準の詳細については、外国第三者提供ガイドライン「4(個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準)」を参照のこと。
(※3)法第 26 条の 2 第 2 項において読み替えて準用される法第 24 条第 3 項の規定は、個人関連情報取扱事業者が令和 2 年改正法の施行日以後に同項に規定する外国にある第三者に個人関連情報を提供した場合について適用される(令和 2 年改正法附則第 5 条第 2 項)。
(※4)法第 31 条第 2 項において読み替えて準用される法第 28 条第 3 項の規定は、別表第二法人等(「3-1-3 利用目的による制限（法第 18 条第 1 項）」参照)が令和 3 年改正法の施行日以後に同項に規定する外国にある第三者に
個人関連情報を提供した場合について適用される(令和 3 年改正法附則第 7
条第 9 項)。
<確認の方法(規則第 26 条第 2 項関係)>
本人から同意を得る主体は、原則として提供先の第三者となり、個人関連情報取扱事業者は、書面の提示を受ける方法その他の適切な方法によって必要な情報の提供が行われていることを確認しなければならない。
【書面の提示を受ける方法に該当する事例】
事例 1)提供先の第三者が本人に対して法第 31 条第 1 項第 2 号の規定による情報の提供を行う際に使用している書面の提示を受ける方法
事例 2)提供先の第三者が本人に対してホームページ上で法第 31 条第 1 項
第 2 号の規定による情報の提供を行っている場合において、当該ホームページの写しの提示を受ける方法
事例 3)提供先の第三者が本人に対して法第 31 条第 1 項第 2 号の規定による情報の提供を行っていることを誓約する書面を受け入れる方法

100

【その他の適切な方法に該当する事例】
事例 1)提供先の第三者が本人に対してホームページ上で法第 31 条第 1 項
第 2 号の規定による情報の提供を行っている場合において、当該ホームページの記載内容を確認する方法
事例 2)提供元の個人関連情報取扱事業者において同意取得を代行している
場合において、同意取得に当たって必要な情報が提供されていることを自ら確認する方法
3-7-3-3 既に確認を行った第三者に対する確認の方法(規則第 26 条第 3 項)
複数回にわたって同一「本人」の個人関連情報を提供する場合において、同一の内容である事項を重複して確認する合理性はないため、既に規則第 26 条に規定する方法(3-7-3-1(個人データとして取得することを認める旨の本人の同意を得られていること)、3-7-3-2(外国にある第三者への提供にあっては、参考となるべき情報が当該本人に提供されていること))により確認を行い、3-74(提供元における記録義務)に規定する方法により作成し、かつ、その時点において保存している記録に記録された事項と内容が同一であるものについては、当該事項の確認を省略することができる。
令和 2 年改正法の施行日の前に上記に規定する方法に相当する方法で作成した記録についても同様とする。
例えば、個人関連情報取扱事業者が、同じ提供先に対して、既に確認・記録
義務を履行した本人に係る個人関連情報であることを認識しながら、個人関連情報の提供を行う場合は、「同一であることの確認」が行われているもので
ある。

101

3−7−4

提供元における記録義務(法第 31 条第 3 項、第 30 条第 3 項関係)

個人関連情報取扱事業者は、法第 31 条第 1 項の規定による確認を行った場合は、その記録を作成しなければならない(法第 31 条第 3 項において準用される
法第 30 条第 3 項)。なお、「第三者」のうち、次の(1)から(4)までに掲げる者に個
人関連情報の提供を行う場合は、記録義務は適用されない(法第 31 条第 3 項において読み替えて準用する法第 30 条第 3 項、第 29 条第 1 項)。
(1)国の機関(法第 16 条第 2 項第 1 号関係)
(2)地方公共団体(法第 16 条第 2 項第 2 号関係)(3)独立行政法人等(独立行政法
人通則法第 2 条第 1 項に規定する独立行政法人及び別表第 1 に掲げる法人をいう。別表第 2 に掲げる法人を除く。)(法第 16 条第2 項第 3 号関係)
(4)地方独立行政法人(地方独立行政法人法第 2 条第 1 項に規定する地方独立行政法人をいう。)(法第 16 条第 2 項第 4 号関係)
3-7-4-1 記録を作成する媒体(規則第 27 条第 1 項関係)
個人関連情報取扱事業者は、記録を、文書、電磁的記録(電磁的方式(電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。)で作られる記録をいう。以下同じ。法第 2 条第 1 項第 1 号参照)又はマ
イクロフィルムを用いて作成しなければならない。
3-7-4-2 記録を作成する方法
3-7-4-2-1 原則(規則第 27 条第 2 項関係)
個人関連情報取扱事業者は、記録を作成する場合、原則として、個人関連情報の提供の都度、速やかに、記録を作成しなければならない。なお、個人関連情報を提供する前に記録を作成することもできる。
3-7-4-2-2 一括して記録を作成する方法(規則第 27 条第 2 項関係)
一定の期間内に特定の事業者に対して継続的に又は反復して個人関連情報を提供する場合は、個々の提供に係る記録を作成する代わりに、一括して記録を作成することができる。

102

【一括して記録を作成する方法に該当する事例】
事例 1)最初の提供の際に一旦記録を作成した上で、継続的に又は反復して個人関連情報を提供する対象期間内に、随時、追加の記録事項を作成する方法
事例 2)継続的に又は反復して個人関連情報を提供する対象期間内に、月ごとに記録を作成する方法
事例 3)継続的に又は反復して個人関連情報を提供する対象期間の終了後、速やかに記録を作成する方法「確実であると見込まれるとき」の例としては、継続的に又は反復して個人関連情報を提供することを内容とする基本契約を締結することで、以後、継続的に又は反復して個人関連情報を提供することが確実であると見込まれる場合などが該当する。この場合は、当該基本契約に係る契約書をもって記録とすることができる。
「一括して記録を作成する方法」は、例外としての記録作成方法であることに鑑みて、その対象期間、対象範囲等を明確にすることが望ましい。
3-7-4-2-3 契約書等の代替手段による方法(規則第 27 条第 3 項関係)
個人関連情報取扱事業者が、本人に対する物品又は役務の提供に係る契約を締結し、かかる契約の履行に伴って、当該本人に係る個人関連情報を当
該個人関連情報取扱事業者から第三者に提供する場合は、当該契約書その他の書面をもって記録とすることができる。
仮に、規則第 27 条第 3 項の要件を満たさない書面も、記録事項が記載されていれば記録として認められるが、保存期間の違いに留意する必要がある(3-7-4-4(保存期間)参照)。
3-7-4-2-4 代行により記録を作成する方法
提供先の第三者は提供元の個人関連情報取扱事業者の記録義務の全部又は一部を代替して行うことができる。なお、この場合であっても、提供元の個人関連情報取扱事業者は自己の義務が免責されるわけではないことから、実質的に自らが記録作成義務を果たしているものと同等の体制を構築しなければならない。

103

3-7-4-3 提供元における記録事項(規則第 28 条関係)
3-7-4-3-1 提供元における記録事項(規則第 28 条第 1 項関係)
提供元の個人関連情報取扱事業者は、法第 31 条第 1 項の規定による確認を行ったときは、次の項目を記録しなければならない。
(1)「法第 31 条第 1 項第 1 号の本人の同意が得られていることを確認した
旨及び外国にある第三者への提供にあっては、同項第 2 号の規定による情報の提供が行われていることを確認した旨」
法第 31 条第 1 項第 1 号の本人の同意が得られていること及び外国にある第三者への提供にあっては、同項第 2 号の規定による情報の提供が行われていることについて確認した旨をその方法を含めて記載する。
提供元の個人関連情報取扱事業者が同意取得を代行している場合においては、それぞれの事項を提供元の個人関連情報取扱事業者が自ら確認した旨を記載する。
(2)「個人関連情報を提供した年月日(前条第 2 項ただし書の規定により、法第 31 条第 3 項において読み替えて準用する法第 30 条第 3 項の記録を一括して作成する場合にあっては、当該提供の期間の初日及び末日)」
個人関連情報を継続的に若しくは反復して提供した場合又は個人関連情報を継続的に若しくは反復して提供することが確実であると見込まれる場合、記録を一括して作成することができるが、この場合、個人関連情報の提供の初日と末日を記載する。
(3)「当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名」(4)「当該個人関連情報の項目」
事例 1)ウェブサイトの閲覧履歴
事例 2)商品購入履歴
事例 3)年齢、性別104

当該記載から、どのような個人関連情報が提供されているか分かる程度に具体的な記載をする必要がある。
「当社が有するいずれかの情報」等の記載では、「当該個人関連情報の項目」には該当しないものと解される。
また、記録・保存が求められているのは「個人関連情報の項目」であって、個人関連情報そのものを保存する必要はない。
3-7-4-3-2 記録事項の省略(規則第 28 条第 2 項関係)
複数回にわたって同一「本人」の個人関連情報の提供をする場合において、同一の内容である事項を重複して記録する必要はないことから、その旨を明確にするものである。すなわち、既に 3-7-4(提供元における記録義務)に規定する方法により作成した記録(現に保存している場合に限る。)に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。
令和 2 年改正法の施行日の前に上記に規定する方法に相当する方法で作成した記録についても同様とする。
なお、記録事項のうち、一部の事項の記録の作成を規則第 28 条第 2 項に基づき省略し、残りの事項の記録のみを作成した場合、記録全体としての保存期間の起算点は、残りの事項を作成した時点とする。保存期間については、
3-7-4-4(保存期間)を参照のこと。
3-7-4-4 保存期間(法第 31 条第 3 項、第 30 条第 4 項関係)
個人関連情報取扱事業者は、作成した記録を規則で定める期間保存しなけ
ればならない。保存期間は記録の作成方法によって異なる。具体的には、とおりである。
「3-7-4-2-3 契約書等の代替手段による方法」により記録を作成した場合
最後に当該記録に係る個人関連情報の提供を行った日から起算して 1 年を経過する日までの間「3-7-4-2-2 一括して記録を作成する方法」により記録を作成した場合
最後に当該記録に係る個人関連情報の提供を行った日から起算して 3 年を経過する日までの間
上述以外の場合
3年105

3−7−5

提供先の第三者における確認義務(法第 30 条第 1 項)

個人情報取扱事業者である提供先の第三者は、法第 31 条第 1 項の規定による
個人関連情報の提供(法第 27 条第 1 項各号に掲げる場合を除く。)を受けて個人データとして取得する場合は、法第 30 条第 1 項の確認義務の適用を受ける。
3-7-5-1 確認方法(法第 30 条第 1 項、規則第 22 条関係)
個人情報取扱事業者である提供先の第三者は、第三者から法第 31 条第 1 項の規定による個人関連情報の提供を受けて個人データとして取得する際は、当該第三者(提供元の個人関連情報取扱事業者)の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名を確認しなければならない。確認・記録
義務ガイドライン「3-1-1(第三者の氏名及び住所並びに法人にあっては、その代表者の氏名)」も参照のこと。
なお、「当該第三者による当該個人データの取得の経緯」(法第 30 条第 1 項
第 2 号)については、提供元の個人関連情報取扱事業者において、提供する個人関連情報を個人データとして取得していないことから、提供先の個人情報取扱事業者における確認の対象とならない。
3-7-5-2 既に確認を行った第三者に対する確認方法(規則第 22 条関係)
複数回にわたって同一「本人」の個人関連情報の提供を受けて個人データとして取得する場合において、同一の内容である事項を重複して確認する合理性はないため、既に規則第 22 条に規定する方法(3-7-5-1(確認方法)により確認を行い、3-7-4(提供元における記録義務)に規定する方法により作成し、かつ、
その時点において保存している記録に記録された事項と内容が同一であるものについては、当該事項の確認を省略することができる。
例えば、個人情報取扱事業者である提供先の第三者が、同じ提供元の個人関連情報取扱事業者から、既に確認・記録義務を履行した本人に係る個人関連情報であることを認識しながら、個人関連情報の提供を受けて個人データとして取得する場合は、「同一であることの確認」が行われているものである。
3-7-5-3 提供先の第三者による適正取得
個人情報取扱事業者である提供先の第三者は、偽りその他不正の手段によ106

り、個人関連情報を個人データとして取得してはならない(法第 20 条第 1 項)。
【提供先の個人情報取扱事業者が偽りその他不正の手段により個人関連情報を個人データとして取得している事例】
事例 1)提供先の個人情報取扱事業者が、提供元の個人関連情報取扱事業者に個人データとして利用する意図を秘して、本人同意を得ずに個人関連情報を個人データとして取得した場合
事例 2)提供先の個人情報取扱事業者が、本人同意を取得していないにもかかわらず、同意取得していると提供元の個人関連情報取扱事業者に虚偽の申告をして、個人関連情報を個人データとして取得した場合
事例 3)提供元の個人関連情報取扱事業者が同意取得を代行することを念頭に、実際には提供元の個人関連情報取扱事業者が適切に同意取得していな
い場合において、提供先の個人情報取扱事業者がこれを知り、又は容易に知ることができるにもかかわらず、当該個人関連情報を個人データとして取
得した場合
3−7−6

提供先の第三者における記録義務(法第 30 条第 3 項関係)

個人情報取扱事業者である提供先の第三者は、法第 31 条第 1 項の規定による
個人関連情報の提供(法第 27 条第 1 項各号に掲げる場合を除く。)を受けて個人データとして取得する場合は、法第 30 条第 3 項の記録義務の適用を受ける。
3-7-6-1 記録を作成する媒体(規則第 23 条第 1 項関係)
個人情報取扱事業者である提供先の第三者は、記録を、文書、電磁的記録又はマイクロフィルムを用いて作成しなければならない。
3-7-6-2 記録を作成する方法
3-7-6-2-1 原則(規則第 23 条第 2 項関係)
個人情報取扱事業者である提供先の第三者は、記録を作成する場合、原則として、個人関連情報の提供を受けて個人データとして取得する都度、速やかに、記録を作成しなければならない。
なお、個人関連情報の提供を受けて個人データとして取得する前に記録を作成することもできる。

107

3-7-6-2-2 一括して記録を作成する方法(規則第 23 条第 2 項関係)
個人情報取扱事業者である提供先の第三者は、一定の期間内に特定の事
業者から継続的に又は反復して個人関連情報の提供を受けて個人データとして取得する場合は、個々の提供に係る記録を作成する代わりに、一括して記録を作成することができる。3-7-4-2-2(一括して記録を作成する方法)も参照のこと。
3-7-6-2-3 契約書等の代替手段による方法(規則第 23 条第 3 項関係)
個人情報取扱事業者である提供先の第三者が、本人に対する物品又は役務の提供に係る契約を締結し、かかる契約の履行に伴って、当該本人に係る個人関連情報の提供を受けて個人データとして取得する場合は、当該契約書その他の書面をもって記録とすることができる。
仮に、規則第 23 条第 3 項の要件を満たさない書面も、記録事項が記載されていれば記録として認められるが、保存期間の違いに留意する必要がある(3-7-6-4(保存期間)参照)。
3-7-4-2-3(契約書等の代替手段による方法)も参照のこと。
3-7-6-3 提供先の第三者における記録事項(規則第 24 条関係)
3-7-6-3-1 提供先の第三者における記録事項(規則第 24 条第 1 項関係)
個人情報取扱事業者である提供先の第三者は、個人関連情報の提供を受けて個人データとして取得した場合は、次の項目を記録しなければならない。
(1)「法第 31 条第 1 項第 1 号の本人の同意が得られている旨及び外国にある個人情報取扱事業者にあっては、同項第 2 号の規定による情報の提供が行われている旨」
法第 31 条第 1 項第 1 号の本人の同意が得られている旨及び外国にある
第三者への提供にあっては、同項第 2 号の規定による情報の提供が行われている旨を記載する。
同意の取得や情報提供について、これを行ったことを示す証跡等がある
場合には、当該証跡等をもって記録とすることもできる。
(2)「法第 30 条第 1 項第 1 号に掲げる事項」
提供元の個人関連情報取扱事業者の氏名又は名称及び住所並びに法人に108

あっては、その代表者の氏名を記録しなければならない。
(3)「第 1 号ハに掲げる事項」「当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項」を記録しなければならない。
なお、例えば「当社が有する全ての個人情報に係る本人」等の記載では、「当該本人を特定するに足りる」ものではないと解される。
【その他の当該本人を特定するに足りる事項に該当する事例】
事例)本人ごとに番号・ID などを付して個人データの管理をしている場
合において、当該番号・ID などにより本人を特定できるときの当該番
号・ID(4)「当該個人関連情報の項目」
3-7-4-3-1(提供元における個人関連情報取扱事業者の記録事項)を参照のこと。
3-7-6-4 保存期間(法第 30 条第 4 項、規則第 25 条関係)
個人情報取扱事業者である提供先の第三者は、作成した記録を規則で定める期間保存しなければならない。保存期間は記録の作成方法によって異なる。
具体的には、次の表のとおりである。
「3-7-6-2-3 契約書等の代替手段による方法」により記録を作成した場合
最後に当該記録に係る提供を受けて個人データとして取得した日から起算して 1 年を経過する日までの間「3-7-6-2-2 一括して記録を作成する方法」により記録を作成した場合
最後に当該記録に係る提供を受けて個人データとして取得した日から起算して 3 年を経過する日までの間
上述以外の場合
3年

109

3−8

保有個人データに関する事項の公表等、保有個人データの開示・訂正等・

利用停止等(法第 32 条~第 39 条関係)
3−8−1

保有個人データに関する事項の公表等(法第 32 条関係)

(1)保有個人データに関する事項の本人への周知(法第 32 条第 1 項関係)

個人情報取扱事業者は、保有個人データについて、次の①から⑤までの情報を本人の知り得る状態(本人の求めに応じて遅滞なく回答する場合を含む。)に置かなければならない。
①個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名②全ての保有個人データの利用目的 (ただし、一定の場合を除く。)③保有個人データの利用目的の通知の求め又は開示等の請求に応じる手続
及び保有個人データの利用目的の通知の求め又は開示の請求に係る手数料の額(定めた場合に限る。)④保有個人データの安全管理のために講じた措置(ただし、本人の知り得る状態に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。)⑤保有個人データの取扱いに関する苦情の申出先110

(2)保有個人データの利用目的の通知(法第 32 条第 2 項、第 3 項関係)

個人情報取扱事業者は、次の①から④までの場合を除いて、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、遅滞なく、本人に通知しなければならない。
なお、通知しない旨を決定したときは、遅滞なく、その旨を本人に通知しなけ
ればならない。
① 「3−8−1（1）保有個人データに関する事項の本人への周知」の措置により、本人が識別される保有個人データの利用目的が明らかである場合② 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合(法第 21 条
第 4 項第 1 号)(「3−3−5 利用目的の通知等をしなくてよい場合（法第 21条第 4 項関係）」)参照)③ 利用目的を本人に通知し、又は公表することにより当該個人情報取扱事
業者の権利又は利益が侵害されるおそれがある場合(法第 21 条第 4 項第2 号)( 「3−3−5 利用目的の通知等をしなくてよい場合（法第 21 条第 4項関係）」)参照)④ 国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であり、協力する民間企業等が国の機関等から受け取った保有個人データの利用目的を本人に通知し、又は公表することにより、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合(法第 21 条第 4 項第 3 号)( 「3−3−5 利用目的の通知等をしなくてよい場合（法第 21 条第 4 項関係）」)参照)111

3−8−2

保有個人データの開示(法第 33 条第 1 項~第 4 項関係)

個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの開示(存在しないときにはその旨を知らせることを含む。)の請求を受けたときは、本人に対し、電磁的記録の提供による方法、書面の交付による方法その他当該個人情報取扱事業者の定める方法のうち本人が請求した方法(当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法により、遅滞なく、当該保有個人データを開示しなければならない。
電磁的記録の提供による方法については、個人情報取扱事業者がファイル形
式や記録媒体などの具体的な方法を定めることができるが、開示請求等で得た保有個人データの利用等における本人の利便性向上の観点から、可読性・検索性のある形式による提供や、技術的に可能な場合には、他の事業者へ移行可能な形式による提供を含め、できる限り本人の要望に沿った形で対応することが望ましい。
ただし、開示することにより次の(1)から(3)までのいずれかに該当する場合は、その全部又は一部を開示しないことができるが、これにより開示しない旨の決定をしたとき又は請求に係る保有個人データが存在しないときは、遅滞なく、その旨を本人に通知しなければならない。また、本人が請求した方法による開示が困難であるときは、その旨を本人に通知した上で、書面の交付による方法により開示を行わなければならない。
(1)本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
保有個人データを本人に開示することにより、本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合は、当該保有個人データの全部又は一部を開示しないことができる。
(2)個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合

112

保有個人データを本人に開示することにより、個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、当該保有個人データの全部又は一部を開示しないことができる。なお、「著しい支障を及ぼすおそれ」に該当する場合とは、個人情報取扱事業者の業務の実施に単なる支障ではなく、より重い支障を及ぼすおそれが存在するような例外的なときに限定され、単に開示すべき保有個人データの量が多いという理由のみでは、一般には、これに該当しない。
(3)他の法令に違反することとなる場合
保有個人データを本人に開示することにより、他の法令に違反することとなる場合は、当該保有個人データの全部又は一部を開示しないことができる。
また、他の法令の規定により、法第 33 条第 2 項本文に規定する方法に相当する方法により当該本人が識別される保有個人データを開示することとされている場合には、法第 33 条第 1 項及び第 2 項の規定は適用されず、当該他の法令の規定が適用されることとなる(法第 33 条第 4 項)。
なお、本人が、裁判上の訴えにより、当該本人が識別される保有個人データの開示を請求する場合と本条との関係については、3-8-9(裁判上の訴えの事前請
求)を参照のこと。

113

3−8−3

第三者提供記録の開示(法第 33 条第 5 項、第 1 項~第 3 項関係)

3-8-3-1 第三者提供記録の定義
第三者提供記録とは、法第 29 条第 1 項及び第 30 条第 3 項の記録のうち、次の(1)から(4)までに掲げるものを除いたものをいう。明文又は解釈により法第 29 条第 1 項又は第 30 条第 3 項の規定が適用されない場合において、これらの規定に基づくことなく作成された記録は第三者提供記録に含まれない。
(1)当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの(2)当該記録の存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの(3)当該記録の存否が明らかになることにより、国の安全が害されるおそれ、
他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの(4)当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの
3-8-3-2 第三者提供記録の開示の方法
個人情報取扱事業者は、本人から、当該本人が識別される個人データに係る第三者提供記録の開示(存在しないときにはその旨を知らせることを含む。)の請求を受けたときは、本人に対し、電磁的記録の提供による方法、書面の交付による方法その他当該個人情報取扱事業者の定める方法のうち本人が請求した方法(当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法)により、遅滞なく、当該第三者提供記録を開示しなければならない(3-82(保有個人データの開示)参照)。
個人情報取扱事業者が第三者提供記録を本人に開示するに当たっては、法において記録事項とされている事項を本人が求める方法により開示すれば足り、それ以外の事項を開示する必要はない。例えば、契約書の代替手段による方法で記録を作成した場合には、当該契約書中、記録事項となっている事項を114

抽出した上で、本人が求める方法により開示すれば足り、契約書そのものを開示する必要はない。
3-8-3-3 第三者提供記録の不開示事由等
第三者提供記録を開示することにより次の(1)から(3)までのいずれかに該当する場合は、その全部又は一部を開示しないことができるが、これにより開示しない旨の決定をしたとき又は請求に係る第三者提供記録が存在しないときは、遅滞なく、その旨を本人に通知(※)しなければならない。また、本人が請求した方法による開示が困難であるときは、その旨を本人に通知した上で、書面の交付による方法により開示を行わなければならない。
(1)本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合(2)個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合(3)他の法令に違反することとなる場合
3−8−4

保有個人データの訂正等(法第 34 条関係)

個人情報取扱事業者は、本人から、当該本人が識別される保有個人データに誤りがあり、事実でないという理由によって、内容の訂正、追加又は削除(以下「訂正等」という。)の請求を受けた場合は、利用目的の達成に必要な範囲で遅滞なく必要な調査を行い、その結果に基づき、原則として、訂正等を行わなければならない。
なお、個人情報取扱事業者は、法第 34 条第 2 項の規定に基づき請求に係る保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、遅滞なく、その旨(訂正等を行ったときは、その内容を含む。)を本人に通知しなければならない。
また、保有個人データの内容の訂正等に関して他の法令の規定により特別の手続が定められている場合には、法第 34 条第 1 項及び第 2 項の規定は適用されず、当該他の法令の規定が適用されることとなる。

115

なお、本人が、裁判上の訴えにより、当該本人が識別される保有個人データの訂正等を請求する場合と本条との関係については、3-8-9(裁判上の訴えの事前請
求)を参照のこと。
3−8−5

保有個人データの利用停止等(法第 35 条関係)

3-8-5-1 利用停止等の要件
個人情報取扱事業者は、次の(1)から(3)までのいずれかに該当する場合については、保有個人データの利用の停止若しくは消去(以下「利用停止等」という。)又は第三者提供の停止を行わなければならない。
(1)法違反の場合の利用停止等
個人情報取扱事業者は、本人から、当該本人が識別される保有個人データが、法第 18 条の規定に違反して本人の同意なく目的外利用がされている若しくは法第 19 条の規定に違反して不適正な利用が行われている、又は法第 20条の規定に違反して偽りその他不正の手段により個人情報が取得され若し
くは本人の同意なく要配慮個人情報が取得されたものであるという理由によって、利用停止等の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として、遅滞なく、利用停止等を行わなければならない。
(2)法違反の場合の第三者提供の停止
個人情報取扱事業者は、本人から、当該本人が識別される保有個人データが、法第 27 条第 1 項又は第 28 条の規定に違反して本人の同意なく第三者に提供されているという理由によって、当該保有個人データの第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として、遅滞なく、第三者提供の停止を行わなければならない。
(3)法第 35 条第 5 項の要件を満たす場合の利用停止等又は第三者提供の停止
個人情報取扱事業者は、次の 1 から 3 までのいずれかに該当する場合については、原則として、遅滞なく、利用停止等又は第三者提供の停止を行わなければならない。
1 利用する必要がなくなった場合
2 当該本人が識別される保有個人データに係る法第 26 条第 1 項本文に規116

定する事態が生じた場合
3 当該本人の権利又は正当な利益が害されるおそれがある場合
3-8-5-2 本人の権利利益の侵害を防止するために必要な限度
3-8-5-1(利用停止等の要件)の(3)に該当する場合、個人情報取扱事業者は、本人の権利利益の侵害を防止するために必要な限度で、利用停止等又は第三者提供の停止を行わなければならない。
3-8-5-3 本人の権利利益を保護するため必要なこれに代わるべき措置
3-8-5-1(利用停止等の要件)の(1)から(3)までのいずれかに該当する場合であっても、利用停止等又は第三者提供の停止を行うことが困難である場合は、本人の権利利益を保護するために必要な代替措置を講ずることによる対応が認められる。
「困難な場合」については、利用停止等又は第三者提供の停止に多額の費用を要する場合のほか、個人情報取扱事業者が正当な事業活動において保有個人データを必要とする場合についても該当し得る。
代替措置については、事案に応じて様々であるが、生じている本人の権利利益の侵害のおそれに対応するものであり、本人の権利利益の保護に資するものである必要がある。
個人情報取扱事業者は、上記により、利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は、第三者提供の停止を行ったとき
若しくは第三者提供を停止しない旨の決定をしたときは、遅滞なく、その旨を本人に通知(※)しなければならない。
また、本人が、裁判上の訴えにより、当該本人が識別される保有個人データの利用停止等又は第三者提供の停止を請求する場合と本条との関係については、
3-8-9(裁判上の訴えの事前請求)を参照のこと。
なお、消費者等、本人の権利利益保護の観点からは、事業活動の特性、規模及び実態を考慮して、保有個人データについて本人から求めがあった場合には、自主的に利用停止等又は第三者提供の停止に応じる等、本人からの求めに

117

より一層対応していくことが望ましい。
3−8−6

理由の説明(法第 36 条関係)

個人情報取扱事業者は、保有個人データの利用目的の通知の求め、保有個人データの開示、訂正等、利用停止等若しくは第三者提供の停止に関する請求、又は第三者提供記録の開示に関する請求(以下「開示等の請求等」という。)に係る措置の全部又は一部について、その措置をとらない旨又はその措置と異なる措置をとる旨を本人に通知する場合は、併せて、本人に対して、その理由を説明するように努めなければならない。
3−8−7

開示等の請求等に応じる手続(法第 37 条関係)

個人情報取扱事業者は、開示等の請求等において、これを受け付ける方法として次の(1)から(4)までの事項を定めることができる。
(1)開示等の請求等の申出先(2)開示等の請求等に際して提出すべき書面(電磁的記録を含む。)の様式、その他の開示等の請求等の受付方法(3)開示等の請求等をする者が本人又はその代理人(1 未成年者又は成年被後見人の法定代理人、2 開示等の請求等をすることにつき本人が委任した代理人)であることの確認の方法(4)保有個人データの利用目的の通知又は保有個人データの開示をする際に徴収する手数料の徴収方法
ただし、開示等の請求等を受け付ける方法を定めるに当たっては、当該手続が、事業の性質、保有個人データの取扱状況、開示等の請求等の受付方法等に応じて適切なものになるよう配慮するとともに、必要以上に煩雑な書類を書かせたり、請求等を受け付ける窓口を他の業務を行う拠点とは別にいたずらに不便な場所に限定したりする等、本人に過重な負担を課するものとならないよう配慮しなければならない。

118

また、開示等の請求等を受け付ける方法を定めた場合には、本人の知り得る状態(本人の求めに応じて遅滞なく回答する場合を含む。)に置いておかなければならない(「3-8-1 保有個人データに関する事項の公表等（法第 32 条関係）」参照)。
「本人の知り得る状態(本人の求めに応じて遅滞なく回答する場合を含む。)」とは、本人が知ろうとすれば、知ることができる状態に置くことをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならないが、開示等の請求等を行おうとする本人がその手続を把握できるようにしておくことが重要であり、例えば、ホームページへの掲
載による場合、本人が簡単な操作によって該当箇所へ到達でき、円滑に請求等を行えるようにしておくことが望ましい。また、「本人の求めに応じて遅滞なく回答する」ことによって対応する場合には、その前提として、少なくとも本人が簡単な操作によって求めを行うことができるようにすることが望ましい。
なお、個人情報取扱事業者が、開示等の請求等を受け付ける方法を合理的な範囲で定めたときは、本人は、当該方法に従って開示等の請求等を行わなければならず、当該方法に従わなかった場合は、個人情報取扱事業者は当該開示等の請求等を拒否することができる。
また、法第 37 条第 2 項前段は、本人に対し、開示を請求する保有個人データ
又は第三者提供記録の範囲を一部に限定する義務を課すものではなく、また、個人情報取扱事業者に対し、本人が開示を請求する範囲を限定させる権利を認めるものでもない。
個人情報取扱事業者は、円滑に開示等の手続が行えるよう、本人に対し、開示等の請求等の対象となる当該本人が識別される保有個人データ又は第三者提供記録の特定に必要な事項(住所、ID、パスワード、会員番号等)の提示を求めることができる。なお、その際には、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データ又は第三者提供記録の特定に資する情報を提供するなど、本人の利便性を考慮しなければならない。

119

3−8−8

手数料(法第 38 条関係)

個人情報取扱事業者は、保有個人データの利用目的の通知(法第 32 条第 2 項)を求められ、又は保有個人データの開示の請求(法第 33 条第 1 項)若しくは第三者提供記録の開示の請求(法第 33 条第 5 項において準用する同条第 1 項)を受けたときは、当該措置の実施に関し、手数料の額を定め、これを徴収することができる。
なお、当該手数料の額を定めた場合には、本人の知り得る状態(本人の求めに応じて遅滞なく回答する場合を含む。)に置いておかなければならない(法第 32
条第 1 項第 3 号)。また、手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。
3−8−9

裁判上の訴えの事前請求(法第 39 条関係)

自己が識別される保有個人データの開示)、訂正等、利用停止等若しくは第三者提供の停止又は自己が識別される個人データに係る第三者提供記録の開示の
個人情報取扱事業者に対する請求について裁判上の訴えを提起しようとするときは、あらかじめ裁判外において当該請求を個人情報取扱事業者に対して行い、かつ、当該請求が当該個人情報取扱事業者に到達した日から 2 週間を経過した後でなければ、当該訴えを提起することができない。
ただし、個人情報取扱事業者が当該裁判外の請求を拒んだときは、2 週間を経過する前に、当該請求に係る裁判上の訴えを提起することができる。

120

3−9

個人情報の取扱いに関する苦情処理(法第 40 条関係)

個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
また、苦情の適切かつ迅速な処理を行うに当たり、苦情処理窓口の設置や苦情処理の手順を定める等必要な体制の整備に努めなければならない。もっとも、無理な要求にまで応じなければならないものではない。
なお、個人情報取扱事業者は、保有個人データの取扱いに関する苦情の申出先(個人情報取扱事業者が認定個人情報保護団体の対象事業者である場合は、その団体の名称及び苦情解決の申出先を含む。)について、本人の知り得る状態(本人の求めに応じて遅滞なく回答する場合を含む。)に置かなければならない(3-81(保有個人データに関する事項の公表等)参照)。

121

3−10

仮名加工情報取扱事業者等の義務(法第 41 条・第 42 条関係)

3−10−1

仮名加工情報の取扱いに係る義務の考え方

仮名加工情報取扱事業者において、仮名加工情報の作成の元となった個人情報や当該仮名加工情報に係る削除情報等を保有している等により、当該仮名加工情報が「他の情報と容易に照合することができ、それにより特定の個人を識別することができる」状態にある場合には、当該仮名加工情報は、「個人情報」(法第 2 条第 1 項)に該当する。この場合、当該仮名加工情報取扱事業者は、個人情報である仮名加工情報の取扱いに関する義務等を遵守する必要がある(「3-10-3
個人情報である仮名加工情報の取扱いに関する義務等」参照)。
これに対し、例えば、法第 41 条第 6 項又は第 42 条第 1 項若しくは第 2 項の規定により仮名加工情報の提供を受けた仮名加工情報取扱事業者において、当
該仮名加工情報の作成の元となった個人情報や当該仮名加工情報に係る削除情報等を保有していない等により、当該仮名加工情報が「他の情報と容易に照合することができ、それにより特定の個人を識別することができる」状態にない場合には、当該仮名加工情報は、「個人情報」(法第 2 条第 1 項)に該当しない。この場合、当該仮名加工情報取扱事業者は、個人情報でない仮名加工情報の取扱いに関する義務等を遵守する必要がある(「3-10-4 個人情報でない仮名加工情報の取扱いに関する義務等」参照)。
3−10−2

仮名加工情報を作成する個人情報取扱事業者の義務等

3-10-2-1 仮名加工情報の適正な加工(法第 41 条第 1 項関係)
個人情報取扱事業者は、仮名加工情報(仮名加工情報データベース等を構成するものに限る。
「3-10-3-7 その他の義務等」を除き、以下同じ。)を作成する
ときは、他の情報と照合しない限り特定の個人を識別することができないよ
うにするために、規則第 31 条各号に定める基準に従って、個人情報を加工しなければならない。なお、「個人情報保護委員会規則で定める基準に従い、個人情報を加工」するためには、加工する情報の性質に応じて、規則第 31 条各122

号に定める加工基準を満たす必要がある。
3-10-2-1-1 特定の個人を識別することができる記述等の削除
個人情報取扱事業者が取り扱う個人情報には、一般に、氏名、住所、生年月日、性別の他、様々な個人に関する記述等が含まれている。これらの記述
等は、氏名のようにその情報単体で特定の個人を識別することができるもののほか、住所、生年月日など、これらの記述等が合わさることによって特定の個人を識別することができるものもある。このような特定の個人を識別できる記述等から全部又はその一部を削除するあるいは他の記述等に置き換えることによって、特定の個人を識別することができないよう加工しなければならない。なお、他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない方法でなければならない(※1)。例えば、生年月日の情報を生年の情報に置き換える場合のように、元の記述等をより抽象的な記述に置き換えることも考えられる。
3-10-2-1-2 個人識別符号の削除
加工対象となる個人情報が、個人識別符号を含む情報であるときは、当該個人識別符号単体で特定の個人を識別できるため、当該個人識別符号の全部を削除又は他の記述等へ置き換えて、特定の個人を識別できないようにしなければならない。
なお、他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない方法による必要がある。
3-10-2-1-3 不正に利用されることにより財産的被害が生じるおそれのある
記述等の削除
一般的にみて、不正に利用されることにより個人の財産的被害が生じる
おそれが類型的に高い記述等については、それが漏えいした場合に個人の権利利益の侵害が生じる蓋然性が相対的に高いと考えられる。そのため、仮名加工情報を作成するに当たっては、当該記述等について削除又は他の記述等への置き換えを行わなければならない。

123なお、他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない方法による必要がある。
3-10-2-2 削除情報等の安全管理措置(法第 41 条第 2 項関係)
個人情報取扱事業者は、仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等を取得したときは、削除情報等(法第 41条第 1 項の規定により行われた加工の方法に関する情報にあっては、その情報を用いて仮名加工情報の作成に用いられた個人情報を復元することができるものに限る。以下この項において同じ。)の漏えいを防止するために、規則で定める基準に従い、必要な措置を講じなければならない。
当該措置の内容は、対象となる削除情報等が漏えいした場合における個人の権利利益の侵害リスクの大きさを考慮し、当該削除情報等の量、性質等に応じた内容としなければならないが、具体的に講じなければならない項目及び具体例については、次の 1 から 3 の削除情報等の安全管理で求められる措置を講じなければならない。
1 削除情報等を取り扱う者の権限及び責任の明確化(規則第 32 条第 1 号)
2 削除情報等の取扱いに関する規程類の整備及び当該規程類に従った削除情報等の適切な取扱い並びに削除情報等の取扱状況の評価及びその結果に基づき改善を図るために必要な措置の実施(規則第 32 条第 2 号)
3 削除情報等を取り扱う正当な権限を有しない者による削除情報等の取扱いを防止するために必要かつ適切な措置の実施(規則第 32 条第 3 号)
3−10−3

個人情報である仮名加工情報の取扱いに関する義務等

3-10-3-1 利用目的による制限・公表(法第 41 条第 3 項・第 4 項関係)
3-10-3-1-1 利用目的による制限
仮名加工情報取扱事業者は、法令に基づく場合を除くほか、「3-1-1 利用
目的の特定（法第 17 条第 1 項関係）」の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報である仮名加工情報を取り扱ってはならない。
「法令に基づく場合」以外の場合において、「3-1-1 利用目的の特定（法第 17 条第 1 項関係）」の規定により特定された利用目的の達成に必要な124

範囲を超えて、個人情報である仮名加工情報を取り扱う場合には、あらかじめ利用目的を変更する必要がある。なお、仮名加工情報については、利用目的の変更の制限に関する「3-1-2 利用目的の変更（法第 17 条第 2 項、第21 条第 3 項関係）」の規定は適用されないため、変更前の利用目的と関連性を有すると合理的に認められる範囲を超える利用目的の変更も認められる。
利用目的を変更した場合には、原則として変更後の利用目的を公表しなければならない。
3-10-3-1-2 利用目的の公表
仮名加工情報取扱事業者は、個人情報である仮名加工情報を取得した場
合には、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を公表しなければならない。
また、利用目的の変更を行った場合には、変更後の利用目的を公表しなければならない。
ただし、次の(1)から(4)までの場合については、個人情報である仮名加工
情報の取得時、及び個人情報である仮名加工情報の利用目的の変更時における利用目的の公表は不要である。
(1)利用目的を公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合(2)利用目的を公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合(3)国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき(4)取得の状況からみて利用目的が明らかであると認められる場合
3-10-3-2 利用する必要がなくなった場合の消去(法第 41 条第 5 項関係)
仮名加工情報取扱事業者は、保有する仮名加工情報である個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該仮名加工情報である個人データを保有する合理的な理由が

125

存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となり、当該事業の再開の見込みもない場合等は、当該仮名加工情報である個人データを遅滞なく消去するよう努めなければならない。
また、保有する削除情報等について利用する必要がなくなったときは、当該削除情報等を遅滞なく消去するように努めなければならない。
3-10-3-3 第三者提供の禁止等(法第 41 条第 6 項関係)
個人情報取扱事業者である仮名加工情報取扱事業者は、法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはならない。
ただし、次の(1)から(3)までの場合については、仮名加工情報である個人データの提供先は個人情報取扱事業者である仮名加工情報取扱事業者とは別の主体として形式的には第三者に該当するものの、提供主体の個人情報取扱事業者である仮名加工情報取扱事業者と一体のものとして取り扱うことに合理性があるため、第三者には該当しないものとする。そのため、このような要件を満たす場合には、仮名加工情報である個人データを提供することができる。
なお、法令に基づく場合又は次の(1)から(3)までのいずれかの場合における仮名加工情報である個人データの提供については、確認・記録義務は課されない(法第 41 条第 6 項により読み替えて適用される法第 29 条第 1 項ただし書及び第 30 条第 1 項ただし書)。
(1)委託(法第 41 条第 6 項、第 27 条第 5 項第 1 号関係)
(2)事業の承継(法第 41 条第 6 項、第 27 条第 5 項第 2 号関係)
(3)共同利用(法第 41 条第 6 項、第 27 条第 5 項第 3 号関係)
3-10-3-4 識別行為の禁止(法第 41 条第 7 項関係)
仮名加工情報取扱事業者が個人情報である仮名加工情報を取り扱う場合には、当該仮名加工情報の作成の元となった個人情報の本人を識別する目的で、
当該仮名加工情報を他の情報と照合してはならない。
3-10-3-5 本人への連絡等の禁止(法第 41 条第 8 項関係)
仮名加工情報取扱事業者は、個人情報である仮名加工情報を取り扱う場合

126

には、電話をかけ、郵便若しくは信書便により送付し、電報を送達し、ファク
シミリ装置若しくは電磁的方法を用いて送信し、又は住居を訪問するために、
当該仮名加工情報に含まれる連絡先その他の情報の利用を行ってはならない。
ここでいう「電磁的方法」とは、次の(1)から(3)までのいずれかの方法をいう。
(1)電話番号を送受信のために用いて電磁的記録を相手方の使用に係る携帯して使用する通信端末機器に送信する方法(他人に委託して行う場合を含む。)(規則第 33 条第 1 号関係)
(2)電子メールを送信する方法(他人に委託して行う場合を含む。)(規則第 33 条
第 2 号関係)(3)前号に定めるもののほか、その受信をする者を特定して情報を伝達するために用いられる電気通信(電気通信事業法(昭和 59 年法律第 86 号)第 2 条第 1号に規定する電気通信をいう。)を送信する方法(他人に委託して行う場合を含む。)(規則第 33 条第 3 号関係)
3-10-3-6 適用除外(法第 41 条第 9 項関係)
(1)利用目的の変更(法第 17 条第 2 項関係)
(2)漏えい等の報告等(法第 26 条関係)
(3)本人からの開示等の請求等(法第 32 条~第 39 条関係)
3-10-3-7 その他の義務等
仮名加工情報取扱事業者による仮名加工情報(個人情報であるもの)及び仮名加工情報である個人データの取扱いについては、上記 3-10-3-1(利用目的による制限・公表)から 3-10-3-6(適用除外)までに記載の各規律のほか、次の(1)から(6)までの義務等が課される。
(1)不適正利用の禁止(法第 19 条関係)
(2)適正取得(法第 20 条第 1 項関係)
(3)安全管理措置(法第 23 条関係)
(4)従業者の監督(法第 24 条関係)
(5)委託先の監督(法第 25 条関係)
(6)苦情処理(法第 40 条関係)1273−10−4

個人情報でない仮名加工情報の取扱いに関する義務等

3-10-4-1 第三者提供の禁止等(法第 42 条第 1 項・第 2 項関係)
仮名加工情報取扱事業者は、法令に基づく場合を除くほか、仮名加工情報(個人情報であるものを除く。以下この項及び次項において同じ。)を第三者に提供してはならない。
ただし、法第 42 条第 2 項により読み替えて準用される法第 27 条第 5 項各号に定める委託、事業承継又は共同利用により仮名加工情報の提供を受ける者は、提供主体の仮名加工情報取扱事業者と一体のものとして取り扱うことに合理性があるため、第三者には該当しないものとする。そのため、法第 42条第 2 項により読み替えて準用される法第 27 条第 5 項各号に定める委託、事業承継又は共同利用による場合は、仮名加工情報を提供することができる。
3-10-4-2 その他の義務等(法第 42 条第 3 項関係)
仮名加工情報取扱事業者による仮名加工情報の取扱いについては、上記 310-4-1(第三者提供の禁止等)に記載の規律のほか、次の(1)から(6)までの義務等が課される。
(1)安全管理措置(法第 42 条第 3 項、第 23 条関係)
(2)従業者の監督(法第 42 条第 3 項、第 24 条関係)
(3)委託先の監督(法第 42 条第 3 項、第 25 条関係)
(4)苦情処理(法第 42 条第 3 項、第 40 条関係)
(5)識別行為の禁止(法第 42 条第 3 項、第 41 条第 7 項関係)
(6)本人への連絡等の禁止(法第 42 条第 3 項、第 41 条第 8 項関係)

128

3−11

匿名加工情報取扱事業者等の義務(法第 43 条~第 46 条関係)

3−11−1

匿名加工情報の取扱いに係る義務の考え方

法第 4 章第 4 節においては、匿名加工情報を作成する個人情報取扱事業者及び匿名加工情報データベース等を事業の用に供している匿名加工情報取扱事業者が、匿名加工情報を取り扱う場合等に遵守すべき義務を規定している。
3−11−2

匿名加工情報の適正な加工(法第 43 条第 1 項関係)

個人情報取扱事業者は、匿名加工情報(匿名加工情報データベース等を構成す
るものに限る。以下同じ。)を作成するときは、特定の個人を識別できないように、かつ、その作成に用いる個人情報を復元できないようにするために、規則第34 条各号に定める基準に従って、当該個人情報を加工しなければならない。なお、「個人情報保護委員会規則で定める基準に従い、当該個人情報を加工」する
ためには、加工する情報の性質に応じて、規則第 34 条各号に定める加工基準を満たす必要がある。
3-11-2-1 特定の個人を識別することができる記述等の削除
個人情報取扱事業者が取り扱う個人情報には、一般に、氏名、住所、生年月日、性別の他、様々な個人に関する記述等が含まれている。これらの記述等は、氏名のようにその情報単体で特定の個人を識別することができるもののほか、
住所、生年月日など、これらの記述等が合わさることによって特定の個人を識別することができるものもある。このような特定の個人を識別できる記述等
から全部又はその一部を削除するあるいは他の記述等に置き換えることによって、特定の個人を識別することができないよう加工しなければならない。
なお、他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない方法でなければならない。例えば、生年月日の情報を生年の情報に置き換える場合のように、元の記述等をより抽象的な記述に置き換えることも考
えられる。

129

3-11-2-2 個人識別符号の削除
加工対象となる個人情報が、個人識別符号を含む情報であるときは、当該個人識別符号単体で特定の個人を識別できるため、当該個人識別符号の全部を削除又は他の記述等へ置き換えて、特定の個人を識別できないようにしなければならない。
なお、他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない方法による必要がある。
3-11-2-3 情報を相互に連結する符号の削除
個人情報取扱事業者が個人情報を取り扱う上で、例えば、安全管理の観点から取得した個人情報を分散管理等しようとするために、当該個人情報を分割
あるいは全部又は一部を複製等した上で、当該個人情報に措置を講じて得られる情報を個人情報と相互に連結するための符号として ID 等を付している
ことがある。このような ID は、個人情報と当該個人情報に措置を講じて得られる情報を連結するために用いられるものであり、特定の個人の識別又は元の個人情報の復元につながり得ることから、加工対象となる個人情報から削除又は他の符号への置き換えを行わなければならない。
個人情報と当該個人情報に措置を講じて得られる情報を連結する符号のうち、「現に個人情報取扱事業者において取り扱う情報を相互に連結する符号」
がここでの加工対象となる。具体的には、ここで対象となる符号は、匿名加工
情報を作成しようとする時点において、実際に取り扱う情報を相互に連結す
るように利用されているものが該当する。例えば、分散管理のための ID として実際に使われているものであれば、管理用に附番された ID あるいは電話番
号等もこれに該当する。
なお、他の符号に置き換える場合は、元の符号を復元できる規則性を有しな
い方法でなければならない。
3-11-2-4 特異な記述等の削除
一般的にみて、珍しい事実に関する記述等又は他の個人と著しい差異が認130

められる記述等については、特定の個人の識別又は元の個人情報の復元につながるおそれがあるものである。そのため、匿名加工情報を作成するに当たっては、特異な記述等について削除又は他の記述等への置き換えを行わなければならない。
ここでいう「特異な記述等」とは、特異であるがために特定の個人を識別できる記述等に至り得るものを指すものであり、他の個人と異なるものであっても特定の個人の識別にはつながり得ないものは該当しない。実際にどのような記述等が特異であるかどうかは、情報の性質等を勘案して、個別の事例ごとに客観的に判断する必要がある。
他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない方法による必要がある。例えば、特異な記述等をより一般的な記述等に置き換える方法もあり得る。
なお、規則第 34 条第 4 号の対象には、一般的なあらゆる場面において特異であると社会通念上認められる記述等が該当する。他方、加工対象となる個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等とで著しい差異がある場合など個人情報
データベース等の性質によるものは同第 5 号において必要な措置が求められることとなる。
3-11-2-5 個人情報データベース等の性質を踏まえたその他の措置
匿名加工情報を作成する際には、規則第 34 条第 1 号から第 4 号までの措置をまず講ずることで、特定の個人を識別できず、かつ当該個人情報に復元できないものとする必要がある。しかしながら、加工対象となる個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等とで著しい差異がある場合など、加工の元となる個人情報データベース等の性質によっては、規則第 34 条第 1 号から第 4 号までの加工を施した情報であっても、一般的にみて、特定の個人を識別することが可能である状態あるいは元の個人情報を復元できる状態のままであるといえる
場合もあり得る。そのような場合に対応するため、上記の措置のほかに必要と131

なる措置がないかどうか勘案し、必要に応じて、別表 2(匿名加工情報の加工に係る手法例)の手法などにより、適切な措置を講じなければならない。
なお、加工対象となる個人情報データベース等の性質によって加工の対象
及び加工の程度は変わり得るため、どの情報をどの程度加工する必要がある
かは、加工対象となる個人情報データベース等の性質も勘案して個別具体的に判断する必要がある。
特に、購買履歴、位置に関する情報などを含む個人情報データベース等において反復して行われる行動に関する情報が含まれる場合には、これが蓄積されることにより、個人の行動習慣が分かるような場合があり得る。そのような情報のうち、その情報単体では特定の個人が識別できるとは言えないものであっても、蓄積されたこと等によって特定の個人の識別又は元の個人情報の復元につながるおそれがある部分については、適切な加工を行わなければならない。
3−11−3

匿名加工情報等の安全管理措置等(法第 43 条第 2 項、第 6 項、第 46 条

関係)
3-11-3-1 加工方法等情報の安全管理措置
個人情報取扱事業者は、匿名加工情報を作成したときは、加工方法等情報(その作成に用いた個人情報から削除した記述等及び個人識別符号並びに加工の方法に関する情報(その情報を用いて当該個人情報を復元することができるものに限る。をいう。以下同じ。)の漏えいを防止するために、規則で定める基準に従い、必要な措置を講じなければならない。
3-11-3-2 匿名加工情報の安全管理措置等
個人情報取扱事業者又は匿名加工情報取扱事業者は、匿名加工情報の安全管理措置、苦情処理等の匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。

132

当該安全管理等の措置については、個人情報と同様の取扱いを求めるものではないが、例えば、法第 23 条から第 25 条までに定める個人データの安全管理、従業者の監督及び委託先の監督並びに法第 40 条に定める個人情報の取扱いに関する苦情の処理で求められる措置の例を参考にすることも考えられる。具体的には、事業の性質、匿名加工情報の取扱状況、取り扱う匿名加工情報の性質、量等に応じて、合理的かつ適切な措置を講ずることが望ましい。
なお、匿名加工情報には識別行為の禁止義務が課されていることから、匿名
加工情報を取り扱うに当たっては、それを取り扱う者が不適正な取扱いをすることがないよう、匿名加工情報に該当することを明確に認識できるようにしておくことが重要である。そのため、作成した匿名加工情報について、匿名
加工情報を取り扱う者にとってその情報が匿名加工情報である旨が一見して明らかな状態にしておくことが望ましい。
3−11−4

匿名加工情報の作成時の公表(法第 43 条第 3 項関係)

個人情報取扱事業者は、匿名加工情報を作成したとき)は、匿名加工情報の作成遅滞なく、インターネット等を利用し、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない。
また、個人に関する情報の項目が同じである匿名加工情報を同じ手法により反復・継続的に作成する場合には、最初の匿名加工情報を作成して個人に関する項目を公表する際に、作成期間又は継続的な作成を予定している旨を明記するなど継続的に作成されることとなる旨を明らかにしておくことにより、その後に作成される匿名加工情報に係る公表については先の公表により行われたものと解される。
なお、他の個人情報取扱事業者との委託契約により個人データの提供を受けて匿名加工情報を作成する場合など委託により匿名加工情報を作成する場合は、委託元において当該匿名加工情報に含まれる個人に関する情報の項目を公表す
るものとする。
3−11−5

匿名加工情報の第三者提供(法第 43 条第 4 項、第 44 条関係)

133

個人情報取扱事業者又は匿名加工情報取扱事業者は、匿名加工情報を第三者に提供するときは、提供に当たりあらかじめ、インターネット等を利用し、次の(1)及び(2)に掲げる事項を公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を電子メール又は書面等により明示しなければならない。
また、個人に関する情報の項目及び加工方法が同じである匿名加工情報を反復・継続的に第三者へ同じ方法により提供する場合には、最初に匿名加工情報を第三者提供するときに個人に関する項目を公表する際に、提供期間又は継続的な提供を予定している旨を明記するなど継続的に提供されることとなる旨を明らかにしておくことにより、その後に第三者に提供される匿名加工情報に係る公表については先の公表により行われたものと解される。
なお、匿名加工情報をインターネット等で公開する行為についても不特定多数への第三者提供に当たるため、上記義務を履行する必要がある。
3−11−6

識別行為の禁止(法第 43 条第 5 項、第 45 条関係)

匿名加工情報を取り扱う場合には、当該匿名加工情報の作成の元となった個
人情報の本人を識別する目的で、それぞれ次の行為を行ってはならない。
(1)個人情報取扱事業者が自ら作成した匿名加工情報を取り扱う場合・自らが作成した匿名加工情報を、本人を識別するために他の情報と照合すること。
(2)匿名加工情報取扱事業者が他者の作成した匿名加工情報を取り扱う場合・受領した匿名加工情報又は行政機関等匿名加工情報の加工方法等情報を取得すること。
・受領した匿名加工情報を、本人を識別するために他の情報と照合するこ
と。

134

4

連絡・報告・相談、漏えい等の事案が発生した場合等の対応

4−1

連絡・報告・相談

当社団の対象事業者は、個人情報の取扱い等における連絡・報告・相談について、当法人に行うことができる。
当社団への報告先

5

名称

一般社団法人中小企業個人情報セキュリティー推進協会

住所〒162-0843 東京都新宿区市谷田町 1-19-2 ECS 第 19 ビル 5F

電話03-4405-5180

メール

info@sp2.or.jp

サイト

https://www.sp2.or.jp「勧告」、「命令」、「緊急命令」等についての考え方
法第 145 条に規定される個人情報保護委員会の「勧告(第 1 項)」、「命令(第 2項)」及び「緊急命令(第 3 項)」については、個人情報取扱事業者等が「個人情報保護法ガイドライン（通則編）（以下、ガイドライン）」に沿って必要な措置等を講じたか否かにつき判断して行うものとする。
すなわち、ガイドライン中で、「しなければならない」及び「してはならない」と記述している事項については、これらに従わなかった場合、個人情報取扱事業者においては法第 18 条から第 20 条まで、第 21 条(第 1 項、第 3 項及び第 4 項の規定を第 41 条第 4 項の規定により読み替えて適用する場合を含む。)、第 23条から第 26 条まで、第 27 条(第 4 項を除き、第 5 項及び第 6 項の規定を第 41
条第 6 項の規定により読み替えて適用する場合を含む。)、第 28 条、第 29 条(第1 項ただし書の規定を第 41 条第 6 項の規定により読み替えて適用する場合を含む。)、第 30 条(第 2 項を除き、第 1 項ただし書の規定を第 41 条第 6 項の規定により読み替えて適用する場合を含む。)、第 32 条、第 33 条(第 1 項(第 5 項において準用する場合を含む。)を除く。)、第 34 条第 2 項若しくは第 3 項、第 35条(第 1 項、第 3 項及び第 5 項を除く。)、第 38 条第 2 項、第 41 条(第 4 項及び135

第 5 項を除く。)又は第 43 条(第 6 項を除く。)の規定違反、個人関連情報取扱事
業者においては法第 31 条第 1 項若しくは同条第 2 項において読み替えて準用する第 28 条第 3 項又は第 31 条第 3 項において読み替えて準用する第 30 条第3 項若しくは第 4 項の規定違反、仮名加工情報取扱事業者においては法第 42 条
第 1 項若しくは同条第 2 項において読み替えて準用する第 27 条第 5 項若しくは第 6 項又は第 42 条第 3 項において読み替えて準用する第 23 条から第 25 条
まで若しくは第 41 条第 7 項若しくは第 8 項の規定違反、匿名加工情報取扱事業者においては法第 44 条又は第 45 条の規定違反と判断される可能性がある。
違反と判断された場合において、実際に個人情報保護委員会が「勧告」を行うこととなるのは、個人の権利利益を保護するため必要があると個人情報保護委
員会が認めたときとなる。一方、ガイドライン中、「努めなければならない」、「望ましい」等と記述している事項については、これに従わなかったことをもって直ちに法違反と判断されることはないが、法の基本理念(法第 3 条)を踏まえ、事業者の特性や規模に応じ可能な限り対応することが望まれるものである。
「命令」は、単に「勧告」に従わないことをもって発せられることはなく、正当な理由なくその勧告に係る措置をとらなかった場合において個人の重大な権
利利益の侵害が切迫していると個人情報保護委員会が認めたときに発せられる。
なお、「勧告」に従わなかったか否かを明確にするため、個人情報保護委員会
は、「勧告」に係る措置を講ずべき期間を設定して「勧告」を行うこととする。
「緊急命令」は、個人情報取扱事業者等が上記各規定に違反した場合において、個人の重大な権利利益を害する事実があるため緊急に措置をとる必要があると個人情報保護委員会が認めたときに、「勧告」を前置せずに行う。
また、「命令」及び「緊急命令」に従わなかったか否かを明確にするため、個
人情報保護委員会は、「命令」及び「緊急命令」に係る措置を講ずべき期間を設定して「命令」及び「緊急命令」を行い、当該期間中に措置が講じられない場合は、「公表(法第 145 条第 4 項)」の対象となるほか、「罰則(法第 173 条、第 179条)」が適用される。

136なお、個人情報保護委員会は、事案の性質等に応じ、国民への情報提供等の観点から(法第 9 条)、個人情報保護委員会による権限行使について、公表を行うこ
とがある。
（参考）
法第 173 条
第 145 条第 2 項又は第 3 項の規定による命令に違反した場合には、当該違反行為をした者は、1 年以下の懲役又は 100 万円以下の罰金に処する。
法第 179 条
1 法人の代表者又は法人若しくは人の代理人、使用人その他の従業者が、その法
人又は人の業務に関して、次の各号に掲げる違反行為をしたときは、行為者を罰する
ほか、その法人に対して当該各号に定める罰金刑を、その人に対して各本条の罰金刑を科する。
(1)第 173 条及び第 174 条 1 億円以下の罰金刑(2)第 177 条同条の罰金刑2 法人でない団体について前項の規定の適用がある場合には、その代表者又は管理人
が、その訴訟行為につき法人でない団体を代表するほか、法人を被告人又は被疑者とする場合の刑事訴訟に関する法律の規定を準用する。

137

6

適用除外及び域外適用(法第 57 条、第 166 条関係)6−1

適用除外(法第 57 条関係)

報道機関が報道の用に供する目的で個人情報等を取り扱う場合、小説家等が著述の用に供する目的で個人情報等を取り扱う場合、宗教団体が宗教活動の用に供する目的で個人情報等を取り扱う場合及び政治団体が政治活動の用に供する目的で個人情報等を取り扱う場合は、憲法が保障する基本的人権への配慮か
ら、法第 4 章に定める個人情報取扱事業者等の義務等に係る規定は適用されない。
ただし、上記に定める各主体は、安全管理措置、苦情処理等、個人情報等の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
6−2

域外適用(法第 166 条関係)

外国にある個人情報取扱事業者等が、日本の居住者等国内にある者に対する物品又は役務の提供に関連して、国内にある者を本人とする個人情報、当該個人情報として取得されることとなる個人関連情報又は当該個人情報を用いて作成された仮名加工情報若しくは匿名加工情報を、外国において取り扱う場合には、法が適用される。なお、域外適用の対象となる場合は、外国にある個人情報取扱事業者等がこれらの情報を本人から直接取得して取り扱う場合に限られず、本人以外の第三者から提供を受けて取り扱う場合も含まれる。

138

7

SP2 指針の見直し
個人情報の保護についての考え方は、社会情勢の変化、国民の認識の変化、技術の進歩、国際的動向等に応じて変わり得るものであり、本 SP2 指針は、法の施行後の状況等諸環境の変化を踏まえて、必要に応じ見直しを行うものとする。

139