資料１

改正法に関連する政令・規則等の整備に向けた論点について（個人関連情報）

令和２年11月20日

１．改正法における個人関連情報の第三者提供規制の概要
 個人関連情報とは、「生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないもの」をいう。
個人関連情報に該当する例
氏名と結びついていないインターネットの閲覧履歴、位置情報、Cookie情報 等

 個人関連情報取扱事業者が、提供先が個人関連情報を個人データとして取得することが想定されるときは、あらかじめ当該個人関連情報に係る本人の同意等が得られていることを確認しないで、当該個人関連情報を提供してはならないこととするもの。
 個人関連情報の提供元における確認の方法、記録の方法等については、委員会規則で定めることとしている。

1

１．改正法における個人関連情報の第三者提供規制の概要
 提供元では個人データに該当しないものの、提供先において個人データとなることが想定される情報の第三者提供について、本人同意が得られていること等の確認を義務付ける。

B社

A社
 A社では、誰の個人データか分からない B社は、A社とID等を共有
 B社では、ID等に紐づいた個人データを保有
個人データ

?

氏名
山田一子
佐藤二郎
鈴木三郎
高橋四郎

B社において個人データとなることが想定される場合は原則本人の同意が必要
個人関連情報ID等 購買履歴1
ミルクティー、おにぎり、アンパン・・・
2
紅茶、サンドイッチ、アイス・・・
3
スーツ、ネクタイ、シャツ、お茶・・・
4
時刻表、デジカメ、書籍・・・

氏名
山田一子
佐藤二郎
鈴木三郎
高橋四郎

年齢 ID等
55歳 1
37歳 2
48歳 3
33歳 4
個人データ

ID 等 購買履歴
年齢 ID等
ID等
55歳 11 ミルクティー、おにぎり、アンパン・・・
37歳 22 紅茶、サンドイッチ、アイス・・・
48歳 33 スーツ、ネクタイ、シャツ、お茶・・・
33歳 44 時刻表、デジカメ、書籍・・・

A社から提供されたデータをID等を使って自社内の個人データと結合

2

２．検討すべき主な論点

 改正法において新たな規律を設けた趣旨は、個人関連情報の提供先である第三者により、本人を識別した上で情報を利用されることによる個人の権利利益の侵害を防止することにある。

▶ こうした制度趣旨も踏まえ、以下の事項を検討する必要がある。
① 本人からの同意取得の態様・方法について② 「個人データとして取得することが想定されるとき」の語義について③ 個人関連情報における確認記録義務について

3

２．検討すべき主な論点（参考）一般的なフロー（イメージ）
提供元：A社

提供先：B社
個人関連情報を取得し個人データに紐づけることを利用目的等とともに本人に説明

1. 本人の同意の取得

2. 個人関連情報の取扱いに関する確認
例えば商談の際に行うことも考えられる

検討事項

同意

①本人からの同意取得の態様・方法について

以下の事項を両者間で確認し、「個人データとして取得することが想定される」場合に該当するかA社が判断

提供を行う個人関連情報の項目（購買履歴等）
B社で、顧客情報等の個人データと紐づける予定があるかどうか 等②「個人データとして取得することが想定されるとき」の語義について該当する場合、以下の事項も確認


A社が提供する個人関連情報は、B社が本人から同意を得ているものに限られること

3. 本人同意の有無の同意を得ているID等の確認と個人関連情報
個人関連情報をB社に提供の提供

4. 記録

本人

記録

本人の同意を得ているID等をA社へ伝える
個人関連情報をA社から取得③個人関連情報における確認記録義務について記録（注）上記フロー図は一例であり、１．と ２．が前後する場合等もある。

4

３．①本人からの同意取得の態様・方法について（１）基本的考え方
 改正法において新たな規律を設けた趣旨は、個人関連情報の提供先である第三者により、本人を識別した上で情報を利用されることによる個人の権利利益の侵害を防止することにある。
 このような趣旨からすれば、本人関与の機会を実質的に確保できるよう、本人同意の取得の態様・方法を検討する必要がある。

（２）方向性▶ 本人関与の機会を実質的に確保するということからすれば、本人に対して必要な情報提供を行い、本人がそれをよく理解した上で、明示の同意を得ることを原則とすべきではないか。
 なお、同意の取得の具体的な方法については、例示をガイドラインで示すこととし、引き続き検討していくことが必要。
5

３．①本人からの同意取得の態様・方法について（３）ウェブサイトでの同意取得にあてはめた例
明示の同意の取得例
ウェブサイト上で必要な説明を行った上で、本人に当該ウェブサイト上のボタンのクリックを求める方法。

明示の同意の取得とは認められない例
プライバシーポリシー等において、個人関連情報の提供につき、利用者側にこれを拒否する選択肢を与えている（拒否されない限り同意しているものとして扱う）場合、これをもって改正法の求める本人の同意を取得したとはいえない。

（ウェブサイトのイメージ）
当社は、第三者が運営するデータ・マネジメント・プラッ
トフォームからCookieにより収集されたウェブの閲覧履歴及びその分析結果を取得し、これをお客様の個人データと結びつけた上で、広告配信等の目的で利用いたします。

上記の取扱に同意する

個人関連情報の第三者提供を拒否する場合には、以下のボタンをクリックしてください。

拒否する

6

４．②「個人データとして取得することが想定されるとき」の語義（１）基本的考え方
 改正法の規制は、個人関連情報の提供全般に適用されるものではなく、提供先において「個人データとして取得することが想定されるとき」に適用されるものである。
 「個人データとして取得することが想定されるとき」との文言は、制度改正大綱における「明らかな」を法文で表したものであり、その意味するところは同様である。
「個人情報保護法 いわゆる３年ごと見直し 制度改正大綱」（P.25抜粋）〇 そこで、前述のいわゆる提供元基準を基本としつつ、提供元では個人データに該当しないものの、提供先において個人データになることが明らかな情報について、個人データの第三者提供を制限する規律を適用する。

7

４．②「個人データとして取得することが想定されるとき」の語義（２）方向性ア 「想定される」の語義
 「想定される」かどうかは、まず提供元の認識を基準とすべきである。他方で、一般人が通常想定できるような場合に、提供元が認識をしていないことを理由に規律が適用されないとすれば、提供先での取扱を確認していない事業者が規制の適用を免れることになりかねず、相当でない。
▶ そこで、「想定される」場合に該当するかどうかは、提供元の認識と一般人の認識の双方を基準にして判断するものとし、その具体例については、ガイドラインで示してはどうか。
（参考）イメージ
提供元の認識を基準に「想定される」に該当する例
 第三者となる提供先の事業者から、事前に「個人関連情報を受領した後に他の情報と照合して個人データとする」旨を告げられている場合
一般人の認識を基準に「想定される」に該当する例
 第三者に個人関連情報を提供する際、当該第三者において当該個人関連情報を氏名等と紐付けて利用することを念頭に、そのために用いる固有ＩＤ等も併せて提供する場合
8

４．②「個人データとして取得することが想定されるとき」の語義（２）方向性イ 「個人データとして取得」の語義
 本条における「個人データとして取得」の典型例として、個人関連情報を直接個人データに付加する場合が挙げられる。一方、直接個人データに紐付けて活用しないものの、別途、提供先が保有する個人データとの容易照合性が排除できない場合まで規律を適用するか、検討する必要がある。
 改正法の趣旨は、個人関連情報の提供先である第三者により、本人を識別した上で情報を利用されることによる個人の権利利益の侵害を防止することにある。
容易照合性によって個人データになる場合は、提供先が積極的に照合行為を行わない限り本人を識別できないことから、適用対象とする必要はないのではないか。
▶ そこで、本条における「個人データとして取得」は、提供先において、個人データに個人関連情報を付加する等、個人データとして積極的に利用しようとする場合に限られるとしてはどうか。
 なお、提供先事業者が、個人データとして積極的に利用する意図を秘して、本人同意を得ずに個人関連情報を個人データとして取得した場合、「不正取得」に該当し得る。

9

５．③個人関連情報における確認記録義務について（１）基本的な考え方
 個人関連情報の提供時の確認記録義務の趣旨は、提供元と提供先の双方に義務を負わせることで、全体として個人関連情報が個人データとして取得される過程におけるトレーサビリティを確保し、提供元及び提供先を適切に監督できるようにすることにある。
▶ 個人関連情報の第三者提供規制における確認方法・記録方法等については、同様にトレーサビリティの確保を目的とした個人データの第三者提供規制における確認方法・記録方法を基本にして検討してはどうか。
 その中で、個人関連情報特有の事情（例 提供元においては、特定の個人を識別できない）についても考慮する必要がある。
 なお、個人関連情報の提供を受けて個人データとして取得する側の確認記録義務についても、個人データの第三者提供規制における確認方法・記録方法を基本にして検討する。

10

５．③個人関連情報における確認記録義務について（２）方向性
ア 提供元における確認方法▶ 以下の方向で検討することとし、その具体的な確認方法はガイドラインで示すこととしてはどうか。
 本人の同意の確認（例）• 提供先の第三者から、本人に対し十分な説明を行った上で、本人から同意を取得している旨の申告を受ける方法
 越境移転にかかる情報提供の確認（例）• 提供先から本人に対する情報提供の方法を説明した書面の差し入れを受ける方法• 提供元において、提供先のプライバシーポリシー等を確認し、同意取得に際して越境移転にかかる情報提供を行っていることを確認する方法

11

５．③個人関連情報における確認記録義務について（２）方向性
イ 提供元における記録事項
本
同人
意の等

○

個人データ

○目

○

項

（参考）個人データのオプ
トアウトによる第三者提供○の（参考）個人データの本人の同意による第三者提供の等○人
名

個人関連情報の第三者提供

本氏

第 三 者 の氏 名 等

○

月
供日

提年

 個人データにおける記録事項を基本に、以下の方向で検討してはどうか。

○

○○

○

○

▶ 提供元では、本人の氏名等は有しないため、ユーザーID等の記録・保存を求めるかが論点だ
が、記録・保存を求めることはかえってリスクを増大させることになり、トレーサビリティも提供先の本人の氏名等の記録で確保されることから、記録の対象とする必要はないのではないか。
▶ 一方で、個人関連情報を提供した年月日については、同一の提供先に対する異なる時点での提供行為を区別できるようにする必要があることから、記録の対象とすべきではないか。

12

５．③個人関連情報における確認記録義務について（２）方向性イ 提供元における記録事項（参考）記録のイメージ（提供先別に記録する場合）
提供先 A株式会社（東京都千代田区○○・代表取締役△△）
本人の同意が得られている旨を確認した
こと

提供先であるA株式会社に、同社がユーザー登録の際に必要な情報を提供した上で、個人関連情報に係る本人の同意を取得している旨確認

個人関連情報を提供した年月日

令和２年10月１日～令和２年10月30日

当該個人関連情報の項目

CookieID、ウェブサイトの閲覧履歴

13５．③個人関連情報における確認記録義務について（２）方向性ウ 提供元における記録の保存期間
 個人データを提供する際・受領する際に作成する記録の保存期間については、以下のとおり、記録の作成方法の別によるものとし、原則３年としている。
記録の作成方法の別

保存期間

契約書等の代替手段による方法により記録を作成した場合

最後に当該記録に係る個人データの提供を行った日から起算して1年を経過する日までの間一括して記録を作成する方法により記録を作成した場合

最後に当該記録に係る個人データの提供を行った日から起算して3年を経過する日までの間

上述以外の場合３年▶ 個人関連情報を提供する際の記録についても、個人データの提供・受領時と同様の期間の保存を求めてはどうか。

14