認定個人情報保護団体

個人情報保護指針

令和５年4月1日

一般社団法人
日本情報システム・ユーザー協会
https://www.juas.or.jp/nintei/

JUAS個人情報保護指針

目次【凡例】 ........................................................................................................................... 3【改正履歴】 ...................................................................................................................... 4
はじめに ........................................................................................................................... 5
総則（目的及び適用範囲） .................................................................................................. 6
1．個人情報の利用目的関係 ................................................................................................ 7
1-1.利用目的の特定 ....................................................................................................... 7
1-2.利用目的の変更 ....................................................................................................... 7
1-3.利用目的による制限 .................................................................................................. 8
1-4.事業の承継 ............................................................................................................ 8
1-5.利用目的による制限の例外 .......................................................................................... 8
２．個人情報の利用関係 ..................................................................................................... 92-1.不適正な利用の禁止 ................................................................................................. 9
３．個人情報の取得関係 .................................................................................................... 10
3-1.適正な取得 ........................................................................................................... 10
3-2.要配慮個人情報の取得 ............................................................................................. 10
3-3.利用目的の通知又は公表........................................................................................... 12
3-4.直接書面等による取得 .............................................................................................. 12
3-5.利用目的の通知等をしなくてよい場合 .............................................................................. 13
４．個人データの管理 ......................................................................................................... 14
4-1.データ内容の正確性の確保等 ....................................................................................... 14
4-2.安全管理措置 ........................................................................................................ 14
4-3.従業者の監督 ........................................................................................................ 15
4-4.委託先の監督 ........................................................................................................ 16
５．個人データの漏えい等の報告等 ......................................................................................... 17
5-1.漏えい等の考えかた ................................................................................................... 17
5-2.漏えい等事案が発覚した場合に講ずべき措置 ..................................................................... 18
5-3.速報、確報について ................................................................................................... 19
６．個人データの第三者への提供 ........................................................................................... 20
6-1.第三者提供の制限の原則 ........................................................................................... 20
6-2.オプトアウトに関する原則 ............................................................................................. 21
6-3.第三者に該当しない場合 ............................................................................................ 22
6-4.共同利用 .............................................................................................................. 23
6-5.外国にある第三者への提供の制限 ................................................................................. 24
6-6.第三者提供に係る記録の作成等 ................................................................................... 26
6-7.第三者提供を受ける際の確認等 ................................................................................... 28
７．個人関連情報の第三者提供の制限等 ................................................................................ 30
８．保有個人データに関する事項の公表等、開示等 ...................................................................... 31

1

JUAS個人情報保護指針
8-1.保有個人データに関する事項の公表等............................................................................. 31
8-2.保有個人データの利用目的の通知 ................................................................................. 34
8-3.開示 ................................................................................................................... 34
8-4.訂正等................................................................................................................. 36
8-5.利用停止等 ........................................................................................................... 36
8-6.理由の説明 ........................................................................................................... 39
8-7.開示等の請求等に応じる手続 ...................................................................................... 40
8-8.手数料................................................................................................................. 41
8-9.事前の請求 ........................................................................................................... 41
９．対象事業者による苦情の処理 .......................................................................................... 42
１０．仮名加工情報取扱事業者等の義務 ................................................................................ 43
10-1.仮名加工情報の作成等 ........................................................................................... 43
10-2.個人情報である仮名加工情報の取扱いに関する義務 .......................................................... 44
10-2-1.仮名加工情報の利用目的による制限 ..................................................................... 45
10-2-2.仮名加工情報の第三者提供の禁止等 ................................................................... 45
10-2-3.仮名加工情報の識別行為の禁止 ......................................................................... 46
10-2-4.仮名加工情報による本人への連絡等の禁止 ............................................................. 46
10-2-5.仮名加工情報等の適用除外 .............................................................................. 47
10-2-6.仮名加工情報に関するその他の義務等 ................................................................... 48
10-3.個人情報でない仮名加工情報の取扱いに関する義務.......................................................... 49
１１．匿名加工情報取扱事業者等の義務 ................................................................................ 50
11-1.対象事業者による匿名加工情報の作成等 ...................................................................... 51
11-2.匿名加工情報作成時の公表 ..................................................................................... 52
11-3.匿名加工情報作成時の識別行為の禁止 ........................................................................ 53
11-4.匿名加工情報作成時の安全管理措置等 ....................................................................... 53
11-5.匿名加工情報の第三者提供 ..................................................................................... 54
11-6.匿名加工情報取扱事業者等の義務 ............................................................................. 54
１２．学術研究機関等の責務 .............................................................................................. 55
１３．対象事業者への指導、勧告等 ....................................................................................... 56
１４．指針及び自主ルール一覧の見直し ................................................................................... 57
JUAS個人情報保護指針【自主ルール一覧】................................................................................ 58

2

JUAS個人情報保護指針【凡例】「法」：個人情報の保護に関する法律（平成15年5月30日法律第57号）
最終改正：令和3年5月19日法律第37号「政令」：個人情報の保護に関する法律施行令（平成15年12月10日政令第507号）
最終改正：令和3年10月29日政令第292号「規則」：個人情報の保護に関する法律施行規則（平成28年10月5日規則第3号）
最終改正：令和3年10月29日個人情報保護委員会規則第4号「基本方針」：個人情報の保護に関する基本方針（平成16年4月2日閣議決定）
令和4年4月1日一部変更「通則ガイドライン」：個人情報の保護に関する法律についてのガイドライン（通則編）（令和3年11月 個人情報保護委員会）「確認記録義務ガイドライン」：個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）（令和3年10月 個人情報保護委員会）「仮名加工匿名加工情報ガイドライン」：個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編） （令和3年10月 個人情報保護委員会）「外国第三者提供ガイドライン」：個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）（令和3年10月 個人情報保護委員会）
令和5年1月1日時点

3

JUAS個人情報保護指針【改正履歴】
制定・改定日

改定箇所・理由施行日

平成29年4月1日

制定

平成30年10月1日

令和4年4月1日

個人情報保護に関する法律の改正に伴う改定

令和4年4月1日

令和5年4月1日

協会規律制定による改定

令和5年4月1日

4JUAS個人情報保護指針

はじめに
個人情報の保護に関する法律（平成15年5月30日法律第57号、以下「法」という。）の全面施行以降、個人情報に関する意識の高まり、技術革新を踏まえた保護と利活用のバランス、越境データ流通増大に伴う新たなリ
スクへの対応等の観点から令和2（2020）年6月に「個人情報の保護に関する法律等の一部を改正する法律」が成立し、令和4（2022）年4月1日に施行された。その後、令和3(2021)年5月19日に「デジタル社会の形成を図るための関係法律の整備に関する法律」が成立し、官民を通じた個人情報保護制度の見直しが行われ、行政機関、独立行政法人等を廃止し、１本の法律に統合された。
その間に、令和3（2022）年9月に「個人情報の保護に関する法律についてのガイドライン」（通則編、外国第三者提供編、確認・記録編、仮名加工情報・匿名加工情報編、認定個人情報保護団体編）が個人情報保護委員会から告示され、民間の個人情報取扱事業者等の個人情報、仮名加工情報又は匿名加工情報（以下「個人情報等」という。）の適正な取扱いに例示を含めた対策が示された。また、令和4（2022）年4月に「個人情報の保護に関する法律についてのガイドライン」（行政機関編）が告示され、令和5（2023）年４月１日の法の全面施行への準備が整うこととなった。
一般社団法人日本情報システム・ユーザー協会（以下「当協会」という。）は、法に規定された対象事業者（以下「対象事業者」という。）の個人情報の取扱いに関する苦情の処理、個人情報の適正な取扱いの確保に寄与する事項についての情報提供、その他対象事業者の個人情報の適正な取扱いの確保に関し必要な業務を行うこととし、平成29年4月1日、法第47条第1項に基づき認定個人情報保護団体として、認定を受けた。
令和3(2021)年改正により、従来の対象事業者の個人情報保護の取組みへのデジタル社会の進展が図られ、多くの法的手続きについて書面による手続きに代えて電磁的方法による手続きについても認められることなり、多様化・複雑化する側面に対応する情報システム開発の個人情報保護リスクへの適応が求められている。また、官民一体化により、対象事業者である学術研究機関等が学術研究目的で個人情報を取り扱う場合には、特例を含めて法を遵守するとともに、安全管理措置、苦情処理等、個人情報等の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容公表の努力義務などが明記されている。
当協会では、対象事業者が個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする法の理念を理解し、法令遵守により個人情報保護を図るべく「認定個人情報保護団体運営規程」に基づき、本指針を定めた。また、法第54条に基づき、対象事業者がこの指針を遵守しなければならないことを、対象事業者の義務として、総則＜法の理念と考え方＞で規定している。

5

JUAS個人情報保護指針

総則（目的及び適用範囲）＜目的＞
本指針は、法第54条の定めに従い、個人情報の適正な取扱いの確保に関して行う活動を支援するため、当協会の対象事業者が講ずべき措置の適切かつ有効な実施を図るための指針として定めたものである。
＜用語の定義＞
本指針において用いる用語の定義は、特段の定めが無い限り、法、個人情報の保護に関する法律施行令、個人情報の保護に関する法律施行規則の定めによる。
＜適用範囲＞
本指針は、本協会の正会員かつ本協会の認定個人情報保護団体業務の対象となることに同意した対象事業者に適用する。

6JUAS個人情報保護指針

1．個人情報の利用目的関係
1-1.利用目的の特定対象事業者は、個人情報を取り扱うに当たっては、利用目的をできる限り特定しなければならない。
利用目的の特定に当たっては、本人にとって一般的かつ合理的に想定できる程度に具体的に特定する必要がある。単に「事業活動」、「お客様のサービスの向上」等のように抽象的な内容を利用目的としたり、業種を明示したりするだけでは、できる限り具体的に特定したことにはならない。
あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的の特定に当たって、個人情報を第三者に提供することを明確にしなければならない。
また、本人が識別できないように個人情報を削除して、本人に関する行動・関心等の情報を分析する場合であっても、対象事業者は、マーケティング目的で本人の行動・関心等の情報を分析していることを本人が予測・想定できる程度に利用目的を特定しなければならない。
対象事業者は、個人情報を適正に管理するために、個人情報ごとに個人情報管理台帳等に利用目的を特定し、定期的に見直すことが望ましい。
＜参考条文＞法第17条第1項、通則ガイドライン3-1-1

1-2.利用目的の変更
１．対象事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。
２．対象事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
対象事業者が特定した利用目的は、社会通念上、「本人が通常予期し得る限度と客観的に認められる範囲」
内で変更することは可能である。変更された利用目的は、本人に通知するか、又は公表しなければならない。
「本人が通常予期し得る限度と客観的に認められる範囲」とは、本人の主観や対象事業者の恣意的な判断によるものではなく、一般人の判断において、当初の利用目的と変更後の利用目的を比較して合理的に関連性がある範囲をいう。
法第21条では、取得に際して利用目的の通知、又は公表しなければならないとしているが、「本人が通常予期し得る限度と客観的に認められる範囲」を越えて個人情報を取り扱う場合においても、同様である。
また、書面（電磁的記録を含む）によって個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示（書面によって通知）し、同意を得なければならない。
＜参考条文＞法第17条第2項、法第21条3項、通則ガイドライン3-1-2

7

JUAS個人情報保護指針

1-3.利用目的による制限
対象事業者は、あらかじめ本人の同意を得ないで、法第17条（利用目的の特定）により特定された利
用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
個人情報の取扱いに際して、本人から同意を得ることは基本原則と考えられる。
ただし、当該同意を得るために個人情報を利用すること（メールの送信や電話をかけること等）は、当初特定した利用目的として記載されていない場合でも、目的外利用には該当しない。
「本人の同意を得ている」事例
1) 本人からの同意する旨の口頭による意思表示
2) 本人からの同意する旨の書面（電磁的記録を含む。）の受領
3) 本人からの同意する旨のメールの受信
4) 本人による同意する旨の確認欄へのチェック
5) 本人による同意する旨のホームページ上のボタンのクリック
6) 本人による同意する旨の音声入力、タッチパネルへのタッチ、ボタンやスイッチ等による入力
また、1-4(事業の承継)など、同意を不要とするケースがある。
＜参考条文＞法第18条第1項、通則ガイドライン3-1-3

1-4.事業の承継
対象事業者は、合併その他の事由により他の事業者から事業を承継することに伴って個人情報を取得した場合は、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
事業の承継とは、合併、会社分割、事業譲渡等により事業の承継を受ける場合のことをいう。
なお、事業の承継後に、承継前の利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合は、あらか
じめ本人の同意を得る必要がある。
＜参考条文＞法第18条第2項、通則ガイドライン3-1-4、3-6-3

1-5.利用目的による制限の例外
法第18条（利用目的による制限）1項及び2項（事業の承継）の規定は、次に掲げる場合については、適用しない。
8

JUAS個人情報保護指針
１．法令（条例を含む。以下、同様とする。
）に基づく場合
２．人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
３．公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
４．国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
５．対象事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
６．学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
人の生命、身体又は財産の保護のために必要がある場合、もしくは、公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であっても、本人の同意を得ることができる場合は、同意を得なければならな
い。
対象事業者が学術研究機関等、もしくは対象事業者から、学術研究機関に個人データを提供する場合、個人の権利利益を不当に侵害しないよう、利用、提供する個人データの範囲を限定するなど、適切に処理する必要がある。
＜参考条文＞法第18条第3項、通則ガイドライン3-1-5

２．個人情報の利用関係
2-1.不適正な利用の禁止
対象事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。
「違法又は不当な行為」とは、法、その他の法令に違反する行為、及び直ちに違法とはいえないものの、法、その他の法令の制度趣旨又は公序良俗に反する等、社会通念上適正とは認められない行為をいう。
「おそれ」の有無は、対象事業者による個人情報の利用が、違法又は不当な行為を助長又は誘発することについて、社会通念上蓋然性が認められるか否かにより判断される。この判断に当たっては、個人情報の利用方法等の客観的な事情に加えて、個人情報の利用時点における対象事業者の認識及び予見可能性も踏まえる必要がある。
例えば、対象事業者が第三者に個人情報を提供した場合において、当該第三者が当該個人情報を違法な行
9

JUAS個人情報保護指針為に用いた場合であっても、当該第三者が当該個人情報の取得目的を偽っていた等、当該個人情報の提供の時点において、提供した個人情報が違法に利用されることについて、当該対象事業者が一般的な注意力をもってしても予見できない状況であった場合には、「おそれ」は認められないと解される。
＜参考条文＞法第19条、通則ガイドライン3-2

３．個人情報の取得関係
3-1.適正な取得
対象事業者は、偽りその他不正の手段により個人情報を取得してはならない。
「不正の手段により個人情報を取得している」事例としては、次のような場合があげられる。
1) 十分な判断能力を有していない子供や障害者から、取得状況から考えて関係のない家族の収入事情な
どの家族の個人情報を、家族の同意なく取得する場合
2) 法第27条第1項に規定する第三者提供制限違反をするよう強要して個人情報を取得する場合
3) 個人情報を取得する主体や利用目的等について、意図的に虚偽の情報を示して、本人から個人情報を取得する場合4) 他の事業者に指示して不正の手段で個人情報を取得させ、当該他の事業者から個人情報を取得する
場合
5) 法第27条第1項に規定する第三者提供制限違反がされようとしていることを知り、又は容易に知ることができるにもかかわらず、個人情報を取得する場合
6) 不正の手段で個人情報が取得されたことを知り、又は容易に知ることができるにもかかわらず、当該個人情報を取得する場合
対象事業者若しくはその従業者又はこれらであった者が、その業務に関して取り扱った個人情報データベース等を自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、法第179条により刑事罰（1年以下の懲役又は50万円以下の罰金）が科され得る。
また、法第178条（勧告及び命令）及び法第179条が適用された法人には、法第184条により一億円以下の罰金刑が科せられる。
＜参考条文＞法第20条第1項、通則ガイドライン3-3-1

3-2.要配慮個人情報の取得
対象事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
10

JUAS個人情報保護指針
１．法令に基づく場合
２．人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
３．公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
４．国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
５．対象事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
６．学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該対象事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。）。
７．当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、法第57条第1項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合
８．本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合
９．法第27条5項（第三者に該当しない場合）各号に掲げる場合において、個人データである要配慮個
人情報の提供を受けるとき。
要配慮個人情報を取得する場合には、原則として、あらかじめ本人の同意を得なければならない。ただし、要配慮個人情報を、委託、事業承継、共同利用により取得する場合は、あらかじめ本人の同意を得る必要はない。
なお、要配慮個人情報のオプトアウトによる第三者提供は認められておらず、原則として本人の同意が必要である。
「同意を不要とする」事例
1) 法令に基づく場合：対象事業者が、労働安全衛生法に基づき健康診断を実施し、これにより従業員の身体状況、病状、治療等の情報を健康診断実施機関から取得する場合
2) 人の生命、身体又は財産の保護のため：急病その他の事態が生じたときに、本人の病歴等を医師や看護師が家族から聴取する場合
3) 公衆衛生の向上又は児童の健全な育成の推進のため：健康保険組合等の保険者等が実施する健康診断等の結果判明した病名等について、健康増進施策の立案や保健事業の効果の向上を目的として疫学調査等のために提供を受けて取得する場合
4) 法第57条（適用除外）第１項に該当する者(放送機関、著述業、大学、宗教団体、政治団体)が、法第57条第１項に記載された目的で取扱う場合。ただし、安全管理措置、個人情報等の取扱いに関する苦情の処理その他の個人情報等の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、
当該措置の内容を公表するよう努めなければならない。また、法第179条（個人情報データベース等不正提供罪）は適用対象となる点について留意が必要である。
5) 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得：身体の不自由な11

JUAS個人情報保護指針
方が店舗に来店し、対応した店員がその旨をお客様対応録等に記録した場合（目視による取得）や、身体の不自由な方の様子が店舗に設置された防犯カメラに映りこんだ場合（撮影による取得）＜参考条文＞法第20条第2項、通則ガイドライン3-3-2、5

3-3.利用目的の通知又は公表
対象事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
「本人に通知」とは、本人に直接知らしめることをいい、内容が本人に認識される合理的かつ適切な方法によらなければならない。例えば以下の方法がある。
1) ちらし等の文書を直接渡すことにより知らせること。
2) 口頭又は自動応答装置等で知らせること。
3) 電子メール、FAX等により送信し、又は文書を郵便等で送付することにより知らせること。
「公表」とは、不特定多数の人々が知ることができるように発表することをいい、合理的かつ適切な方法によらなければならない。例えば以下の方法がある。
1) 自社のホームページのトップページから1回程度の操作で到達できる場所への掲載
2) 顧客が訪れることが想定される場所におけるポスター等の掲示、パンフレット等の備置き・配布
3) 通信販売用のパンフレット・カタログ等への掲載＜参考条文＞法第21条第1項、通則ガイドライン2-14、2-15、3-3-3

3-4.直接書面等による取得
対象事業者は、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下同様とする。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。
ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りではない。
「本人に対し、その利用目的を明示」とは、本人に対し、その利用目的を明確に示すことをいい、内容が本人に認識される合理的かつ適切な方法による必要がある。
「利用目的の明示に該当する」事例
1) 利用目的を明記した契約書その他の書面を相手方である本人に手渡し、又は送付する場合
約款等の書面（電磁的記録を含む。）に利用目的が記載されていることを伝える、又は裏面約款等に
12

JUAS個人情報保護指針
記載されている利用目的条項を表面にも記載し、かつ、社会通念上、本人が認識できる場所及び文字の大きさで記載する等、本人が実際に利用目的を確認できるよう留意することが望ましい。
2) ネットワーク上において、利用目的を、本人がアクセスした自社のホームページ上に明示し、又は本人の端末装置上に表示する場合「あらかじめ」とは、対象事業者が個人情報を取得する前に、の意味であり、ウェブサイトから個人情報を取得する
場合などでは、本人が送信ボタン等をクリックする前にその利用目的が本人の目に留まるよう配置に留意することが望ましい。
本人の自発的な意思で、口頭により個人情報を取得する場合にまで、本項の義務を課するものではないが、ヒア
リングシート等に口頭で取得した個人情報を記述して顧客カードを作成するなど、対象事業者の業務によっては、その利用目的を本人に通知するか、又は公表しなければならないケースもあり得る。
＜参考条文＞法第21条第2項、通則ガイドライン3-3-4

3-5.利用目的の通知等をしなくてよい場合
対象事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。ただし、次に掲げる場合については、適用しない。
１．利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権
利利益を害するおそれがある場合
２．利用目的を本人に通知し、又は公表することにより当該対象事業者の権利又は正当な利益を侵害するおそれがある場合
３．国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
４．取得の状況からみて利用目的が明らかであると認められる場合「本人又は第三者の生命、身体、財産その他の権利利益を害するおそれ」の事例● 児童虐待等に対応するために、児童相談所、学校、医療機関等の関係機関において、加害者（本人）の個人情報を情報共有する場合などに、本人に利用目的を通知・公表することにより、虐待を悪化させた
り、虐待への対応に支障等が生じたりするおそれがある場合「事業者の権利又は正当な利益を害するおそれ」の事例● 暴力団等の反社会的勢力情報、疑わしい取引情報、業務妨害行為を行う悪質者情報等を、本人又は他の事業者等から取得したことが明らかになることにより、当該情報を取得した対象事業者に害が及ぶ場
合「国の機関等が法令の定める事務を遂行することに対して協力する必要がある場合」の事例● 警察が、公開手配を行わないで、被疑者の立ち回りが予想される対象事業者に限って提供した場合にお13

JUAS個人情報保護指針
いて、当該対象事業者が、利用目的を本人に通知し、又は公表することにより、捜査活動に支障を及ぼすおそれがある場合「取得の状況からみて利用目的が明らかであると認められる場合」の事例● 商品・サービス等を提供するに当たって、住所・電話番号等の個人情報を取得する場合で、その利用目的が当該商品・サービス等の販売・提供のみを確実に行うためという利用目的であるような場合● 一般の慣行として名刺を交換する場合、書面により、直接本人から、氏名・所属・肩書・連絡先等の個人情報を取得することとなるが、その利用目的が今後の連絡のためという利用目的であるような場合（ただし、ダイレクトメール等の目的に名刺を用いることは自明の利用目的に該当しない場合があるので注意を要する。）＜参考条文＞法第21条第4項、通則ガイドライン3-3-5

４．個人データの管理
4-1.データ内容の正確性の確保等対象事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。
「利用目的の達成に必要な範囲内において」については、保有する個人データを、一律に又は常に最新化する必要はなく、それぞれの利用目的に応じて、その必要な範囲内で正確性・最新性を確保すれば足りる。対象事業者
は、個人情報の正確性を確保するために、入力時の照合・確認、訂正等の手続の整備、記録の更新、保存期間の設定等を行うことにより、個人データを正確かつ最新の状態で管理しなければならない。
また、対象事業者は、保有する個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され、当該個人データを保有する合理的な理由が存在しなくなった場合等は、当該個人データを遅滞なく消去するよう努めなければならない。
ただし、法令の定めにより保存期間等が定められている場合は、この限りではない。
「遅滞なく」とは、日本の法令等には限定した記載が無いが、GDPR第33条では72時間以内とされている。
＜参考条文＞法第22条、通則ガイドライン3-4-1

4-2.安全管理措置
対象事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
14

JUAS個人情報保護指針

当該措置は、個人データが漏えい、滅失又は毀損（以下「漏えい等」という。）をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（個人データの性質及び量、記録媒体の性質等）に起因するリスクに応じて、必要かつ適切な措置としなければならない。
「具体的に講じなければならない措置や当該項目を実践するための手法の例」●組織的安全管理措置
1) 組織体制の整備
2) 個人データの取扱いに係る規律に従った運用
3) 個人データの取扱状況を確認する手段の整備
4) 漏えい等事案に対応する体制の整備●人的安全管理措置
1) 従業者の教育●物理的安全管理措置
1) 個人データを取り扱う区域の管理
2) 機器及び電子媒体等の盗難等の防止
3) 電子媒体等を持ち運ぶ場合の漏えい等の防止
4) 個人データの削除及び機器、電子媒体等の廃棄●技術的安全管理措置
1) アクセス制御
2) アクセス者の識別と認証
3) 外部からの不正アクセス等の防止
4) 情報システムの使用に伴う漏えい等の防止●外的環境の把握
1) 外国において個人データを取り扱う場合、当該外国の個人情報の保護に関する制度等を把握した上で、個人データの安全管理のために必要かつ適切な措置を講じる。
＜参考条文＞法第23条、通則ガイドライン3-4-2、10(別添)資料を参照
4-3.従業者の監督対象事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
「従業者」とは、対象事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者等をいい、雇用関係にある従業員（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、取締役、執行役、理事、監査役、監事、派遣社員等も含まれる。
「従業者に対して必要かつ適切な監督を行っていない」事例
1) 従業者が、個人データの安全管理措置を定める規程等に従って業務を行っていることを確認しなかった結果、個人データが漏えいした場合
15

JUAS個人情報保護指針
2) 内部規程等に違反して個人データが入ったノート型パソコン又は外部記録媒体が繰り返し持ち出されていたにもかかわらず、その行為を放置した結果、当該パソコン又は当該記録媒体が紛失し、個人データが漏えいした場合対象事業者が、個人情報の取り扱い業務に携わる従業者を対象に、個人情報保護の観点から教育を行っていなかったり、教育実施日に欠席した従業者へのフォローアップ研修を実施していなかったりした場合には、その従業者に対して就業規則に基づく罰則適用ができない場合があることに留意すること。
＜参考条文＞法第24条、通則ガイドライン3-4-3

4-4.委託先の監督
対象事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
「個人データの取扱いの委託」とは、契約の形態・種類を問わず、対象事業者が他の者に個人データの取扱いを行わせることをいう。
委託する事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に起因するリスクに応じて、次の1）～3）のそれぞれについて、措置を講じなければならない。
1) 適切な委託先の選定
委託先の選定に当たっては、委託する業務内容に沿って、4-2（安全管理措置）に定める各項目が、委託先においても、確実に実施されることについて、あらかじめ確認しなければならない。
2) 委託契約の締結
委託契約には、委託された個人データの取扱状況を委託元が合理的に把握することを盛り込むことが望ましい。また、特定した利用目的の範囲内で委託契約を締結しなければならない。
委託先との契約においては次の事項を盛り込むこと。
委託者及び受託者の責任の明確化
個人データの安全管理に関する事項
再委託に関する事項
個人データの取扱状況に関する受託者への報告の内容及び頻度
契約内容が遵守されていることを受託者が定期的に、及び適宜に確認できる事項
契約内容が遵守されなかった場合の措置
事件・事故が発生した場合の報告・連絡に関する事項
契約終了後の措置【JUAS自主ルール(1)】3) 委託先における個人データ取扱状況の把握
委託元の対象事業者は、定期的に委託先の監査を行う等により、委託契約に盛り込んだ内容の実施
16

JUAS個人情報保護指針
程度を調査し、定期的に評価することが望ましい。また、委託先が再委託を行おうとする場合は、委託元
は、再委託する相手方、業務内容、個人データの取扱方法等について、委託先から事前報告を受け承認を行うこと。さらに再委託先が安全管理措置を講ずることを十分に確認するため、必要に応じて自らが定期的に監査を実施し、監督を適切に果たすことが望ましい。再委託先が再々委託を行う場合以降も同様である。
委託先における個人データ取扱状況の把握に当たっては、例えば、必要に応じて個人データを取り扱う場所に赴く、又は、必要な安全管理措置を項目とした、自主点検表を渡して、委託先の責任者から報告を求めるなどにより確認することが考えられる。
なお、委託業務に必要のない個人データを委託先に提供しないようにすることは当然のことである。
データベースを構成する個人データ以外の、個人情報についても同様の措置を講じることが望ましい。
委託先が倉庫業、廃棄業、データセンター（ハウジング、ホスティング）などの事業者であって、それら委託先事業者
が、委託される情報が個人情報に該当するかどうか認識することなく預かっている場合であっても、委託者は委託するものが個人データであることを認識していることから、本項に基づいて委託先の監督を行うとともに、自社の安全管理措置と同等かそれ以上の安全管理措置が講じられていることを確認する必要がある。
【JUAS自主ルール(2)】＜参考条文＞法第25条、通則ガイドライン3-4-4

５．個人データの漏えい等の報告等
5-1.漏えい等の考えかた
１ 対象事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委
員会に報告しなければならない。
２ 対象事業者は、法に基づく漏えい等の報告に加え、その保有する個人情報について、第1項で規定する漏えい、滅失、毀損その他の個人データの安全の確保に係る事態以外に、当協会が定める外部への漏
えいその他本人の権利利益の侵害（以下「事故等」という）が発生した場合又はそのおそれが生じたときは、速やかに当協会に報告しなければならない。
【JUAS自主ルール(3)】「個人情報保護委員会規則(第7条)で定めるもの」として、以下が規定されている。
1) 要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必17

JUAS個人情報保護指針
要な措置を講じたものを除く。）の「漏えい等」の発生、又は発生したおそれ
2) 不正に利用されることにより財産的被害が生じるおそれがある個人データの「漏えい等」
3) 不正の目的をもって行われたおそれがある個人データの「漏えい等」
4) 個人データに係る本人の数が1000人を超える 「漏えい等」
なお、当協会の対象事業者は、法で定める漏えい等の報告に加え、その保有する個人情報について、1)から4）に掲げる事態以外に、第2項に定める事故等が発生した場合又はそのおそれが生じたときは当協会へも【JUAS自主ルール(5)】に従い速やかに報告が必要となる。事故等とは、具体的には、個人情報又は加工方法等情報の漏えい、紛失、滅失・き損、改ざん、正確性の未確保、不適切取得、目的外利用・提供、不正利用、開示等の求め等の拒否を含むものであって、当協会が別途定めるものをいう。
【JUAS自主ルール(4)】【漏えい、滅失、毀損について】●「漏えい」とは、個人データが外部に流出することをいう。盗難、誤送付、不正アクセス、盗み見などがこれにあたる。
●「滅失」とは、個人データの内容が失われることをいう。紛失や、誤って廃棄した場合などがこれにあたる。
●「毀損」とは、個人データの内容が意図しない形に変更されることや、内容を保ちつつも利用不能な状態となることをいう。改ざんや、暗号化パスワードの喪失により、復元できなくなった場合もこれにあたる。
なお、個人データを第三者に閲覧されないうちに全てを回収した場合は、漏えいに該当しない。また、「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられている場合については、報告を要しないとされている。
個人データの取扱いを委託している場合においては、原則として委託元と委託先の双方が報告する義務を負う
が、委託先が、委託元に当該事態が発生したことを通知したときは、委託先は報告義務を免除される。
＜参考条文＞法第26条、規則第7条、規則第８条、通則ガイドライン3-5-1

5-2.漏えい等事案が発覚した場合に講ずべき措置
対象事業者は、「漏えい等事案」が発覚した場合は、その内容等に応じて、次の1から5に掲げる事項について必要な措置を講じなければならない。
１．事業者内部における報告及び被害の拡大防止
２．事実関係の調査及び原因の究明
３．影響範囲の特定４．再発防止策の検討及び実施
５．個人情報保護委員会への報告及び本人への通知

18

JUAS個人情報保護指針
本人への通知は、二次被害の発生を防止する観点から、直ちに実施することが望ましい。
また、漏えい等事案の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、事実関係及び再発防止策等について、速やかに公表することが望ましい。
＜参考条文＞規則第８条、通則ガイドライン3-5-25-3.速報、確報について
対象事業者は、個人データの漏えい等の事態を知った後、速やかに、当該事態に関する次に掲げる事項
を個人情報保護委員会に報告しなければならない。
１．概要（発生日、発覚時、発生事案、発見者、委託関係、事実経過等）
２．漏えい等が発生し、又は発生したおそれがある個人データの項目
３．漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数
４．原因
５．二次被害又はそのおそれの有無及びその内容
６．本人への対応の実施状況
７．公表の実施状況
８．再発防止のための措置
９．その他参考となる事項「速やかに」とは、いずれかの部署が個人データの漏えい等の事態を知った時点を基準として、概ね 3～5 日以
内であり、「速報」として、個人情報保護委員会に報告しなければならない。
個人情報保護委員会への漏えい等報告については、原則として、個人情報保護委員会のホームページの報告
フォームに入力する方法により行う。速報時点での報告内容については、報告をしようとする時点において把握している内容を報告すれば足りる。
「確報」は、当該事態を知った日から、30日以内(不正に利用されることにより財産的被害が生じるおそれがある
個人データの漏えい等が発生し、又は発生したおそれがある事態にあっては、60日以内)に、当該事態に関する前
項各号に定める事項を報告しなければならない。
速報の時点で全ての事項を報告できる場合には、1回の報告で速報と確報を兼ねることができる。
当協会への個人データの漏えい等の報告等について 【JUAS自主ルール（５）】（１）プライバシーマークを付与されている対象事業者● プライバシーマーク制度の報告ルールに基づき、所定の様式により報告を行う。
（２）法に基づく報告等が必要な事態が生じた場合● 個人情報保護委員会のWebサイトより専用フォームで報告を行った後、報告内容をPDFでダウンロードし、その控えを当協会の認定個人情報保護団体
事務局へ提出する。
● 個人情報保護委員会漏えい等報告サイト：
https://www.ppc.go.jp/personalinfo/legal/leakAction/

19

JUAS個人情報保護指針＜参考条文＞規則第８条、通則ガイドライン3-5-3

６．個人データの第三者への提供
6-1.第三者提供の制限の原則
対象事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
１．法令に基づく場合
２．人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
３．公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
４．国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
５．対象事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）。
６．対象事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権
利利益を不当に侵害するおそれがある場合を除く。）（当該対象事業者と当該第三者が共同して学術研究を行う場合に限る。）。
７．当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含
み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
同意の取得に当たっては、事業の規模及び性質、個人データの取扱状況等に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示さなければならない。「本人の同意」とは、本人の個人情報が、対象事業者によって示された取扱方法で取り扱われることを承諾する旨の当該本人の意思表示をいう。
「第三者提供」とされる事例● 親子兄弟会社、グループ会社の間で個人データを交換する場合● フランチャイズ組織の本部と加盟店の間で個人データを交換する場合● 同業者間で、特定の個人データを交換する場合「第三者提供と解されない」事例
20

JUAS個人情報保護指針● ブログやその他のSNSに書き込まれた個人情報については、書き込んだ本人の明確な意思で不特定多数
又は限定された対象に対して公開されており、ブログやSNSの運営事業者等に公開範囲について裁量の余地はないため、このような場合は、当該運営事業者が個人データを第三者に提供しているとは解されない。
＜参考条文＞法第18条、法第27条、通則ガイドライン3-6-1

6-2.オプトアウトに関する原則
対象事業者は、第三者に提供される個人データ（要配慮個人情報、不適正取得された個人データ、他の個人情報取扱事業者から提供されたものを除く。）について、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、6-1（第三者提供の制限の原則）にかかわらず、
当該個人データを第三者に提供することができる。
１．第三者への提供を行う対象事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
２．第三者への提供を利用目的とすること。
３．第三者に提供される個人データの項目
４．第三者に提供される個人データの取得の方法
５．第三者への提供の方法
６．本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
７．本人の求めを受け付ける方法
８．その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則で定める事項
1) 第三者に提供される個人データの更新の方法
2) 当該届出に係る個人データの第三者への提供を開始する予定日
要配慮個人情報はオプトアウトにより第三者提供できないことに注意すること。また、オプトアウトにより提供受けた個人データを再度オプトアウトにより提供することはできない。
【オプトアウトの手順】
1)

対象事業者が、上記1.～８の事項を、本人に通知または、本人が容易に知り得る状態に置く。
● 本人が該当事項を確実に認識できる適切かつ合理的な方法によること。

2)

対象事業者が、次に掲げる方法のいずれかにより、個人情報保護委員会に届け出る。
● 電子情報処理組織を使用する方法● 規則第11条2項別記様式（個人情報保護委員会サイトからダウンロード）による届出

3) 個人情報保護委員会により、届出事項がインターネット等により公表される。
4) 対象事業者による第三者提供の開始● 本人に通知し又は本人が容易に知り得る状態に置いた時点から、極めて短期間の後に、第三者
21

JUAS個人情報保護指針提供を行ったような場合は、「本人が当該提供の停止を求めるのに必要な期間」をおいていないと判断され得る。
5) オプトアウトに関する事項の変更及び個人データの提供をやめた場合も、同様の手続きで個人情報保護委員会に届出ること。
【外国にある対象事業者のオプトアウト申請について】
外国にある対象事業者が、オプトアウトに関する事項の届出もしくは変更・停止の届出（法第27条第2項、３項）を行う場合には、国内に住所を有する者に、当該届出に関する一切の行為につき、当該対象事業者を代理する権限を有するものを定め、当該代理権を証する書面（日本語による翻訳文を含む。）を個人情報保護委員会に提出しなければならない。
＜参考条文＞法第27条第2項、規則第11条、第12条、通則ガイドライン3-6-2

6-3.第三者に該当しない場合
次に掲げる場合において、当該個人データの提供を受ける者は、第三者に該当しないものとする。
１．対象事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合
２．合併その他の事由による事業の承継に伴って個人データが提供される場合
３．特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的
及び当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いて
いるとき。
【委託】
委託先への提供は、提供主体である対象事業者と一体のものとして取扱われることに合理性があり、委託された業務以外に当該個人データを取り扱うことはできない。
対象事業者には、委託先に対する監督責任が課される。
【事業の承継】事業の承継後も、事業の承継前の利用目的の範囲内で利用しなければならない。
事業の承継のため、契約締結前の段階で、相手会社に自社の個人データを提供する場合においても、あらかじめ本人の同意を得ることなく、個人データを提供することができる。ただし、当該データの利用目的及び取扱方法、漏えい等が発生した場合の措置、事業承継の交渉が不調となった場合の措置等、相手会社に安全管理措置を遵守させるために必要な契約を締結しなければならない。

22

JUAS個人情報保護指針＜参考条文＞法第27条第5項、通則ガイドライン3-6-3

6-4.共同利用
特定の者との間で共同して利用する場合は、次の１）から５）までの情報を、あらかじめ本人に通知し、又は本人が容易に知り得る状態に置いているときには、共同利用先への提供は、本人から見て、当該個人データを当初提供した事業者と一体のものとして取り扱われることに合理性があると考えられることから、第三者に該当しない。
1) 共同利用をする旨
2) 共同して利用される個人データの項目
3) 共同して利用する者の範囲
4) 共同利用する者の利用目的
5) 当該個人データの管理について責任を有する者の氏名又は名称及び住所、並びに法人にあっては、その代表者の氏名
共同利用を実施する場合には、共同利用者における責任等を明確にし、円滑に実施する観点から、上記1)から5)までの情報のほか、例えば、次の6）から11）までの事項についても、あらかじめ取り決めておくことが望ましい。
6) 共同利用者の要件（グループ会社など、特定のキャンペーン事業など）
7) 各共同利用者の個人情報取扱責任者、問合せ担当者及び連絡先
8) 共同利用する個人データの取扱いに関する事項● 個人データの漏えい等防止に関する事項● 目的外の加工、利用、複写、複製等の禁止● 共同利用終了後のデータの返還、消去、廃棄に関する事項
9) 共同利用する個人データの取扱いに関する取決めが遵守されなかった場合の措置
10) 共同利用する個人データに関する事件・事故が発生した場合の報告・連絡に関する事項
11) 共同利用を終了する際の手続「共同利用に該当する」事例● グループ企業で総合的なサービスを提供するために共同利用する場合● 親子兄弟会社の間で個人データを共同利用する場合● 使用者と労働組合等との間で従業者の個人データを共同利用する場合
企業グループなど、共同利用する範囲が明確である限り、事業者の名称等を個別にすべて列挙する必要はない。
【個人データの管理について責任を有する者について】
1)「個人データの管理について責任を有する者」とは、開示等の請求及び苦情を受け付け、その処理に尽力するとともに、個人データの内容等について、開示、訂正、利用停止等の権限を有し、安全管理等個
人データの管理について責任を有する者をいう。なお、ここでいう「責任を有する者」とは、共同して利用する全ての事業者の中で、第一次的に苦情の受付・処理、開示・訂正等を行う権限を有する者をいい、共23

JUAS個人情報保護指針
同利用者のうち一事業者の内部の担当責任者をいうものではない。
2) 「個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名」に変更があったときは遅滞なく、当該変更後の内容について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
3) 「個人データの管理について責任を有する者」についても変更することができるが、いずれも変更する前に、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
共同利用の対象となる個人データの提供については、必ずしも全ての共同利用者が双方向で行う必要はなく、
一部の共同利用者に対し、一方向で行うこともできる。
なお、共同利用の範囲に委託先事業者が含まれる場合は、委託先との関係は、共同利用となるわけではなく、委託先の監督責任を免れることはできない。
＜参考条文＞法第27条第5項・第6項、通則ガイドライン3-6-3

6-5.外国にある第三者への提供の制限
１．対象事業者は、外国（※1）にある第三者（※2）に個人データを提供する場合にはあらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。（※3）
２．対象事業者は、前項の規定により本人の同意を得ようとする場合には、個人情報保護委員会規則で定める（※4）ところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。
３．対象事業者は、個人データを外国にある第三者に提供した場合には、個人情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置（※
5）を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。
※１ 外国にある第三者に提供されることについて本人の同意を得る必要はないとされる場合● 個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として、規則第15条で定める以下の状況にあるもの
1) 当該外国に、法における個人情報取扱事業者に関する規定に相当する法令その他の定めがあり、その履行が当該外国内において確保されていると認めるに足りる状況にあること。
2) 個人情報保護委員会に相当する独立した外国執行当局が存在しており、かつ、当該外国執行当局において必要かつ適切な監督を行うための体制が確保されていること。
3) 我が国との間において、個人情報の適正かつ効果的な活用と個人の権利利益の保護に関する相互理解に基づく連携及び協力が可能であると認められるものであること。
4) 個人情報の保護のために必要な範囲を超えて国際的な個人データの移転を制限することなく、かつ、我が国との間において、個人情報の保護を図りつつ、相互に円滑な個人データの移転を図るこ24

JUAS個人情報保護指針とが可能であると認められるものであること。
5) 前4号に定めるもののほか、当該外国を法第28条（外国にある第三者への提供の制限）第1項の規定による外国として定めることが、我が国における新たな産業の創出並びに活力ある経済社会
及び豊かな国民生活の実現に資すると認められるものであること。
● 上記に該当する外国は、「個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国等」（平成31年個人情報保護委員会告示第1号）に示されている。具体的には、EU及び英国が該当する。
※２ 外国にある第三者に提供されることについて本人の同意を得る必要はないとされる場合● 個人データの取扱いについて法第4章第2節の規定（対象事業者及び個人関連情報取扱事業者の義務（法第17条(利用目的の特定)～法第40条(苦情の処理）））により対象事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして規則第16条で定める以下の基準に適合する体制を整備している者は、外国にある第三者への提供を認める旨の本人の同意を得る必要はない。
1)

対象事業者と個人データの提供を受ける外国にある第三者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第4章第2節の規定の趣旨に沿った措置の実施が確保されていること。例えば、以下の措置が考えられる。
○ 委託する場合：委託元及び委託先間の契約、確認書、覚書等○ 同一の企業グループ内で個人データを移転する場合：提供元及び提供先に共通して適用される内規、プライバシーポリシー等

2)

個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。
○ アジア太平洋経済協力（APEC）の越境プライバシールール（CBPR）システム認証等※３ 本人の同意について● 第１項の※1、及び※2で、外国にある第三者に個人データを提供することについて、本人の同意を得る必要はないとされる場合であっても、法第27条（第三者提供の制限）に基づき、個人データを第三者に提供することについて、あらかじめ本人の同意が必要である。
● 法第27条第1項1)～7)に規定する、本人の同意を得ない場合に該当するときは、外国にある第三者に提供されることについても、同意は不要となる。
● 第１項の※1、及び※2に該当しないとして、本人から同意を得る場合は、法27条に基づきあらかじめ本人の同意を得る場合に、外国にある第三者に提供されることについても、必要事項を通知し、本人の同意を得ることになる。
※4 本人の同意を得る場合に、本人へ情報提供する項目● 規則第17条に、以下について電磁的記録の提供による方法、書面の交付による方法その他適切な方法で情報提供するよう規定している。
1) 当該外国の名称
2) 適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する25

JUAS個人情報保護指針
情報3) 当該第三者が講ずる個人情報の保護のための措置に関する情報● 対象事業者が、本人の同意を得ようとする時点において、当該外国の名称が特定できない場合には、次に掲げる事項について情報提供を行わなければならない。
1) 当該外国の名称が特定できない旨及びその理由
2) 当該外国の名称に代わる本人に参考となるべき情報がある場合には、当該情報● 対象事業者が、規則第17条に基づく情報提供ができない、もしくは当該外国の名称が特定できない場
合に参考となるべき情報を提供できない場合は、その旨及びその理由について情報提供しなければならない。
※5 外国の第三者による当該措置の継続的な実施を確保するための措置について● 規則第18条に、以下を規定している。
1) 当該外国の第三者による相当措置の実施状況、当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること。
2) 当該第三者による相当措置の実施に支障が生じたとき、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、当該第三者への提供を停止すること。
● 対象事業者は、本人の求めに応じて、当該必要な措置に関する情報を当該本人に提供しなければならない。
なお、法第31条（個人関連情報の第三者提供の制限等）第2項では、法第28条第３項について、個人関連情報取扱事業者に準用する旨規定しているが、本人の求めに応じなくてもよい旨規定している。
● 個人関連情報取扱事業者は、個人関連情報を外国にある第三者（第一項に規定する体制を整備している者に限る。）に提供した場合には、規則第18条に定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講じなければならない。
＜参考条文＞法第28条、法第31条第2項、規則第15条、規則第16条、規則第17条、規則第18条、通則ガイドライン3-6-4、外国第三者提供ガイドライン全般、
個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国等

6-6.第三者提供に係る記録の作成等
１．対象事業者は、個人データを第三者（国の機関、地方公共団体、独立行政法人等、地方独立行
政法人を除く。以下同様とする。）に提供したときは、個人情報保護委員会規則で定めるところにより、当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会
規則で定める事項に関する記録を作成しなければならない。ただし、当該個人データの提供が、法第27条（第三者提供の制限の原則）第1項各号又は第5項のいずれか、法第28条（外国にある第26

JUAS個人情報保護指針
三者への提供の制限）第1項各号のいずれかに該当する場合はこの限りでない。
２．対象事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間
保存しなければならない。
本項は、第三者提供をしたときの記録に関するものである。
記録の作成方法（規則第19条）
1) 記録を作成する方法：文書、電磁的記録又はマイクロフィルム
2) 記録の作成時期：個人データを第三者に提供した都度、速やかに作成しなければならない。ただし、継続的に若しくは反復して提供した時、又は提供することが確実であると見込まれるときは、一括して作成することができる。
3) 物品又は役務の提供に関連して個人データを第三者に提供した場合において、作成された契約書その他の書面に定める事項が記載されているときは、当該事項に関する記録に代えることができる。
記録の項目（規則第20条）
1) 法第27条第2項（オプトアウト）により個人データを提供した場合
イ 当該個人データを提供した年月日
ロ 当該第三者の氏名及び住所並びに法人にあっては、その代表者の氏名（不特定かつ多数の者に対して提供したときは、その旨）
ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
ニ 当該個人データの項目
2) 法第27条第1項（本人同意による第三者提供）により個人データを提供した場合
イ 本人の同意を得ている旨（外国にある第三者への提供について同意を得ている場合はその旨）
ロ 当該第三者の氏名及び住所並びに法人にあっては、その代表者の氏名（不特定かつ多数の者に対して提供したときは、その旨）
ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
ニ 当該個人データの項目
3) 既に前条に規定する方法により作成した、法第29条（第三者提供に係る記録の作成等）第1項の記録に記録されている事項と内容が同一であるものについては、当該事項の記録を省略することができる。
最後に提供を行った日から起算した記録の保存期間（規則第21条）
1) 規則第19条第3項（契約書等書面に必要事項記載）の場合：1年を経過する日迄
2) 規則第19条第2項（継続的に若しくは反復して提供）の場合：3年を経過する日迄
3) 上記以外：3年【第三者提供記録の作成・保存が不要な場合】
1) 国の機関、地方公共団体、独立行政法人等、地方独立行政法人に提供したとき。
2) 法第27条1項各号：本人の同意を不要とする場合
27

JUAS個人情報保護指針
3) 法第27条5項各号：委託、合併・承継、共同利用の場合
4) 法第28条（外国にある第三者への提供）：法第27条1項各号：本人の同意を不要とする場合（第27条5項に規定する、委託、合併・承継、共同利用の場合は記録義務あり）
5) 本人による提供の場合
6) 本人に代わって提供する場合●本人から振込依頼を受けた銀行が、振込先の銀行に振込情報を提供する場合●顧客から商品の修理依頼を受けたオペレーターが、修理業者につなぐ場合●商品購入希望者のリストを、商品提供事業者に提供する場合●本人が利用するサイト運営業者が、本人が選択した他のサイトと本人認証情報を授受する場合●保険会社が事故車の修理手配をする際に、本人が選択した修理工場に本人情報を提供する場合●本人から、取引の媒介を委託された事業者が、候補となる他の事業者に、価格の妥当性等の検討に必要な範囲の情報を提供する場合＜参考条文＞法第29条、規則第19条、規則第20条、規則第21条、通則ガイドライン3-6-5、確認記録義務ガイドライン2-2-1-1

6-7.第三者提供を受ける際の確認等
１．対象事業者は、第三者から個人データの提供を受けるに際しては、個人情報保護委員会規則で定めるところにより、次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供が法第27条（第三者提供の制限）第1項各号又は第５号（第三者に該当しない場合）各号のいずれかに該当する場合は、この限りでない。
1) 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
2) 当該第三者による当該個人データの取得の経緯
２．前項の第三者は、対象事業者が同項の規定による確認を行う場合において、当該対象事業者に対して、当該確認に係る事項を偽ってはならないこととされている。
３．対象事業者は、第1項の規定による確認を行ったときは、個人情報保護委員会規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委員会
規則で定める事項に関する記録を作成しなければならない。
４．対象事業者は、前項の定めによる記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。
第三者提供を受ける際の確認の方法（規則第22条）
1) 個人データを提供する第三者から申告を受ける方法その他の適切な方法
2) 取得の経緯を示す契約書その他書面の提示を受ける方法その他の適切な方法
3) 既に確認済みの第三者から、他の個人データの提供を受ける場合、前回の確認記録と今回の確認内
容が、同一であることの確認を行う方法

28

JUAS個人情報保護指針
第三者提供を受ける際の記録作成（規則第23条）
1) 記録を作成する方法：文書、電磁的記録又はマイクロフィルム
2) 記録の作成時期：第三者から個人データの提供を受けた都度、速やかに作成しなければならない。ただし、継続的に若しくは反復して提供を受けたとき、又は受けることが確実であると見込まれるときは、一括して作成することができる。
3) 物品又は役務の提供に関連して個人データを第三者から提供を受けた場合において、作成された契約書その他の書面に定める事項が記載されているときは、当該事項に関する記録に代えることができる。
記録の項目（規則第24条）
1) 法第27条第2項（オプトアウト）により個人データの提供を受けた場合
イ 当該個人データの提供を受けた年月日
ロ 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名、および当該第三者による当該個人データの取得の経緯
ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
ニ 当該個人データの項目
ホ 法第27条第4項（オプトアウト届出）の規定により公表されている旨
2) 法第27条第1項（本人同意による第三者提供）により個人データの提供を受けた場合
イ 本人の同意が得られている旨（外国にある第三者への提供について同意を得られている場合はその旨）
ロ 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名、および当該第三者による当該個人データの取得の経緯
ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
ニ 当該個人データの項目
3) 法第31条（個人関連情報の第三者提供の制限等）第1項により個人関連情報の提供を受けて、個人データとして取得した場合
イ 本人の同意が得られている旨（外国にある個人情報取扱事業者にあっては、法第31条（個人関連情報の第三者提供の制限等）第2項の規定により、本人に情報の提供が行われている旨）
ロ 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名、および当該第三者による当該個人データの取得の経緯
ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
ニ 当該個人関連情報の項目
4)

第三者（個人情報取扱事業者に該当する者を除く。）から個人データの提供を受けた場合
イ 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名、および当該第三者による当該個人データの取得の経緯
ロ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
ハ 当該個人データの項目

5) 既に規則第23条に規定する方法により作成した、法第30条（第三者提供を受ける際の確認等）第3項の記録に記録されている事項と内容が同一であるものについては、当該事項の記録を省略することができる。
29

JUAS個人情報保護指針

最後に当該記録に係る個人データの提供を行けた日から起算した記録の保存期間（規則第25条）
1) 規則第23条第3項（契約書等書面に必要事項記載）の場合：1年を経過する日迄
2) 規則第23条第2項（継続的に若しくは反復して提供）の場合：3年を経過する日迄
3) 上記以外：3年【第三者提供を受ける際の確認が不要な場合】
1) 法第27条1項各号：本人の同意を不要とする場合
2) 法第27条5項各号：委託、合併・承継、共同利用の場合
3) 受領者にとって個人データに該当しない場合
4) 単に閲覧する行為
5) 口頭、FAX、メール、電話等で、受領者の意思とは関係なく個人データを提供された場合＜参考条文＞法第30条、第31条、規則第22条、規則第23条、規則第24条、規則第25条、通則ガイドライン3-6-6、確認記録義務ガイドライン2-2

７．個人関連情報の第三者提供の制限等
１．個人関連情報とは、生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工
情報のいずれにも該当しないものをいう。
２．個人関連情報を取扱う対象事業者は、提供先の第三者が個人関連情報（個人関連情報データベース等を構成するものに限る。）を個人データとして取得することが想定されるときは、法第27条（第三者提供の制限）第１項各号に掲げる場合を除き、次に掲げる事項について、あらかじめ個人情報保護委員会規則で定めるところにより確認することをしないで、当該個人関連情報を第三者に提供してはならない。
1) 当該第三者が対象事業者から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていること。
2) 外国にある第三者への提供にあっては、前号の本人の同意を得ようとする場合において、個人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報が当該本人に提供されていること。
個人関連情報の第三者提供の制限は、提供先の第三者が個人関連情報を「個人データとして取得することが想定されるとき」に、はじめて適用されるものである。
「個人データとして取得する」とは、提供先の第三者において、個人データに個人関連情報を付加する等、個人
データとして利用しようとする場合をいう。
「個人関連情報の第三者提供に係る同意取得の方法」の事例
30

JUAS個人情報保護指針●

Cookie情報などを、他のサイト運営事業者に第三者提供する仕組みを設けている場合は、ウェブサイト
上に本人に示すべき事項を記載し、承認ボタンのクリックを求める方法等により同意を取得する。

「個人関連情報の第三者提供に係る確認方法」（規則第26条）
1) 個人関連情報の提供を受ける第三者から申告を受ける方法その他の適切な方法
2) 情報の提供が行われていることを示す書面の提示を受ける方法その他の適切な方法
3) 既に確認実施済みの第三者に個人関連情報の提供を行う場合、前回の確認記録と今回の確認内容が、同一であることの確認を行う方法とする。
「個人関連情報の第三者提供の前提」
1) 当該第三者が個人関連情報取扱事業者から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていること。
2) 外国にある第三者への個人関連情報提供にあっては、前号の本人の同意を得ようとする場合において、
規則第26条第2項で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報が当該本人に提供されていること。
法第30条（第三者提供を受ける際の確認等）第2項には、対象事業者が個人データの提供を受けるに際して、確認に係る事項を偽ってはならないと規定している。
個人関連情報の第三者提供元の記録事項（法第28条）
イ 本人の同意が得られている旨（外国にある個人情報取扱事業者にあっては、法第31条第2項の規定により、本人に情報の提供が行われている旨）
ロ 個人関連情報を提供した年月日、一括して作成する場合にあっては、当該提供期間の初日及び末日
ハ 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
ニ 個人関連情報の項目
最後に個人関連情報の提供を行った日から起算した記録の保存期間（規則第29条）
1) 規則第27条第3項（契約書等書面に必要事項記載）の場合：1年を経過する日迄
2) 規則第27条第2項（継続的に若しくは反復して提供）の場合：3年を経過する日迄
3) 上記以外：3年＜参考条文＞法第2条第7項、法第31条、規則26条、規則第27条、規則第28条、規則第29条、通則ガイドライン3-7-1、確認記録義務ガイドライン2-2

８．保有個人データに関する事項の公表等、開示等
8-1.保有個人データに関する事項の公表等対象事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに
31

JUAS個人情報保護指針
応じて遅滞なく回答する場合を含む。）に置かなければならない。
１．当該対象事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
２．全ての保有個人データの利用目的（法第21条第4項第1号から第3号（取得に際しての利用目的の通知等）に該当する場合を除く。）
３．法第32条2項（保有個人データに関する事項の公表等）、法第33条（開示）、法第34条（訂正等）、又は法第35条（利用停止等）の規定による請求に応じる手続（法第38条（手数料）第2項の規定により手数料の額を定めたときは、その手数料の額を含む。）
４．法第23条の規定により保有個人データの安全管理のために講じた措置（本人の知り得る状態に置くことにより当該保個人データの安全管理に支障を及ぼすおそれがあるものを除く。）
５．対象事業者が行う保有個人データの取扱いに関する苦情の申出先
６．認定個人情報保護団体である当協会の名称及び苦情の解決の申出先
保有個人データとは（法第16条第4項）
1) 対象事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データ
2) 政令第5条で定める、存否が明らかになることにより、公益その他の利益が害される以下を除く。
● 本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの● 違法又は不当な行為を助長し、又は誘発するおそれがあるもの● 国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若
しくは国際機関との交渉上不利益を被るおそれがあるもの● 犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの
3) 受託する個人データは、原則として委託元に権限があり、委託先においては保有個人データではないた
め、委託先の対象事業者の通知・公表の対象から除外される。
4) 人事考課などの評価情報は、対象事業者に、内容の訂正、追加又は削除、消去の管理権限があるとしても、保有個人データから除外することができる。
本人の知り得る状態とは、本人の求めに応じて遅滞なく回答する場合を含むとしていることから、一部のみをホームページに掲載し、残りを本人の求めるに応じるとすることも可能である。
受託する個人データは保有個人データではないため保有個人データに関する義務の対象から除外されるが、法第21条（取得に際しての利用目的の公表）による利用目的の本人への通知・公表は全ての個人情報に対して行う必要がある。
「保有個人データの安全管理のために講じた措置」の事例(基本方針の策定)● 個人データの適正な取扱いの確保のため、「関係法令・ガイドライン等の遵守」、「質問及び苦情処
理の窓口」等についての基本方針を策定(個人データの取扱いに係る規律の整備)● 取得、利用、保存、提供、削除・廃棄等の段階ごとに、取扱方法、責任者・担当者及びその任務等について個人データの取扱規程を策定
32

JUAS個人情報保護指針(組織的安全管理措置)● 個人データの取扱いに関する責任者を設置するとともに、個人データを取り扱う従業者及び当該従業者が取り扱う個人データの範囲を明確化し、法や取扱規程に違反している事実又は兆候を把握した場合の責任者への報告連絡体制を整備● 個人データの取扱状況について、定期的に自己点検を実施するとともに、他部署や外部の者による監査を実施(人的安全管理措置)● 個人データの取扱いに関する留意事項について、従業者に定期的な研修を実施● 個人データについての秘密保持に関する事項を就業規則に記載(物理的安全管理措置)● 個人データを取り扱う区域において、従業者の入退室管理及び持ち込む機器等の制限を行うとともに、権限を有しない者による個人データの閲覧を防止する措置を実施● 個人データを取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するための措置を講じるとともに、事業所内の移動を含め、当該機器、電子媒体等を持ち運ぶ場合、容易に個人データが判明しないよう措置を実施(技術的安全管理措置)● アクセス制御を実施して、担当者及び取り扱う個人情報データベース等の範囲を限定● 個人データを取り扱う情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入(外的環境の把握)● 個人データを外国に提供する場合は、当該外国における個人情報の保護に関する制度を把握した上で安全管理措置を実施「認定個人情報保護団体である当協会の名称及び苦情の解決の申出先」の掲載事例【個人情報の取扱いに関する苦情・相談窓口】
株式会社□□□□□ お客様相談室
TEL：0xx-xxxx-xxxx
住所:〒xxx-xxxx

eMail:infoxx@xxxx.co.jp

東京都□□区□□町□□番□号 □□ビル□階＜受付時間：9:15～17:45 土日祝、休業日、年末年始を除く＞【当社が所属する認定個人情報保護団体】
名称：一般社団法人日本情報システム・ユーザー協会（JUAS）
苦情の解決の申出先：認定個人情報保護団体事務局 苦情相談室
住所：東京都中央区日本橋堀留町2－4－3 日本橋堀留町２丁目ビル8階
電話番号：03-3249-4104
受付時間：10:00～16:00（土日祝日休み）＜参考条文＞法第16条第4項、法第21条、法第32条1項、政令第5条・第10条、通則ガイドライン3-8-1

33

JUAS個人情報保護指針

8-2.保有個人データの利用目的の通知
１．対象事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、次のいずれかに該当する場合は、この限りでない。
1) 法第32条第1項の規定により当該本人が識別される保有個人データの利用目的が明らかな場
合2) 法第21条第4項第1号から第3号（利用目的の通知等をしなくてよい場合）に該当する場合
２．対象事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときに、通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
「取得の状況からみて利用目的が明らかであると認められる場合」とは、3-5（利用目的の通知等をしなくてよい場
合）を参照のこと。
法第21条第4項第1号から第3号（利用目的の通知等をしなくてよい場合）に該当する場合とは
1) 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
2) 当該対象事業者の権利又は正当な利益を害するおそれがある場合
3) 国の機関又は地方公共団体が法令の定める事務の遂行に支障を及ぼすおそれがあるとき。
＜参考条文＞法第21条第4項、法第32条第2項・第3項、通則ガイドライン3-8-1

8-3.開示１．本人は、対象事業者に対し、当該本人が識別される保有個人データの電磁的記録の提供による方法
その他の個人情報保護委員会規則で定める方法による開示を請求することができる。
２．対象事業者は、前項の規定による請求を受けたときは、本人に対し、同項の規定により電磁的記録の提供による方法、書面の交付による方法その他当該対象事業者の定める方法のうち当該本人が請求した方法（当該方法による開示に多額の費用を要する場合及び開示が困難である場合は書面の交付による方法）により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
1) 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
2) 当該対象事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
3) 他の法令に違反することとなる場合
３．対象事業者は、第1項の規定による請求に係る保有個人データの全部若しくは一部について開示しない旨の決定をしたとき、当該保有個人データが存在しないとき、又は同項の規定により本人が請求した方法による開示が困難であるときは、本人に対し、遅滞なく、その旨を通知しなければならない。
４．他の法令の規定により、本人に対し第2項本文に規定する方法に相当する方法により当該本人が識34

JUAS個人情報保護指針
別される保有個人データの全部又は一部を開示することとされている場合には、当該全部又は一部の保有個人データについては、第1項及び第2項の規定は、適用しない。
５．第1項から第3項までの規定は、当該本人が識別される個人データに係る、法第29条（第三者提供に係る記録の作成等）及び法第30条（第三者提供を受ける際の確認等）第3項の記録について、準用する。ただし、次に掲げる事項を除く。
1) 当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及
ぶおそれがあるもの
2) 当該記録の存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの
3) 当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの
4) 当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの
個人情報保護委員会規則第30条で定める方法（本人が請求することができる開示の方法）● 電磁的記録の提供による方法、書面の交付による方法その他、当該対象事業者の定める方法「事業者が開示する方法」の事例● 電磁的記録をCD-ROM等の媒体に保存して、当該媒体を郵送する方法● 電磁的記録を電子メールに添付して送信する方法● 会員専用のウェブサイト等上で電磁的記録をダウンロードしてもらう方法● 対象事業者が指定した場所における音声データの視聴● 対象事業者が指定した場所における文書の閲覧「開示が困難である場合」の事例● 電磁的記録の提供による開示を請求した場合であって、当該開示請求に応じるために、大規模なシステ
ム改修を行わなければならないような場合● 書面で個人情報の管理を行っている小規模事業者が、電磁的記録の提供に対応することが困難な場合
法第29条（第三者提供に係る記録の作成等）及び法第30条（第三者提供を受ける際の確認等）第3項の記録は、第三者提供の方法に応じて、1年～3年超の保存期間が定められている。詳細は、6-6（第三者提供に係る記録の作成等）および6-7（第三者提供を受ける際の確認等）を参照のこと。
「その全部又は一部を開示しないことができる」事例
1) 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合● 医療機関等において、病名等を患者に開示することにより、患者本人の心身状況を悪化させるおそれがある場合● 企業の与信判断等に用いられる企業情報の一部として代表者の氏名等について第三者提供記
35

JUAS個人情報保護指針録が作成された場合において、提供を受けた第三者が与信判断、出資の検討、提携先・取引先の選定等を行っていることを含む秘密情報が漏えいするおそれがある場合
2) 対象事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合● 試験実施機関において、採点情報を開示することにより、試験制度の維持に著しい支障を及ぼす
おそれがある場合● 同一の本人から複雑な対応を要する同一内容について繰り返し開示の請求があり、事実上問合せ窓口が占有されることによって他の問合せ対応業務が立ち行かなくなる等、業務上著しい支障を及ぼすおそれがある場合● 電磁的記録の提供にふさわしい音声・動画ファイル等のデータを、あえて書面で請求されることにより、業務上著しい支障を及ぼすおそれがある場合
3) 他の法令に違反することとなる場合● 刑法（明治40年法律第45号）第134条（秘密漏示罪）や電気通信事業法（昭和59年法律第86号）第4条（通信の秘密の保護）に違反することとなる場合● タクシー業務適正化特別措置法（昭和45年法律第75号）第19条に規定する登録実施機関
が、同法第12条及び第19条の規定に基づき、登録運転者に係る原簿の謄本の交付又は閲覧に係る請求に対応する場合＜参考条文＞法第29条、法第30条、法第33条第1項・第2項・第3項、政令第11条、規則第30条
通則ガイドライン3-8-2、3-8-3

8-4.訂正等
１．本人は、対象事業者に対し、当該本人が識別される保有個人データの内容が事実でないときは、当該保有個人データの内容の訂正、追加又は削除（以下「訂正等」という。）を請求することができる。
２．対象事業者は、前項の規定による請求を受けた場合には、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。
３．対象事業者は、第１項の規定による請求に係る保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を通知しなければならない。
対象事業者が、人事考課情報を、保有個人データから除外するとした場合は、訂正等に応じる必要はない。
＜参考条文＞法第34条、通則ガイドライン3-8-4(保有個人データの訂正等)

8-5.利用停止等
36

JUAS個人情報保護指針

１．本人は、対象事業者に対し、当該本人が識別される保有個人データが法第18条第1項（利用目的による制限）、同条第2項（事業の承継）、同条第3項（利用目的による制限の例外）、法第19条（不適正な利用の禁止）の規定に違反して取り扱われているとき、又は法第20条１項（適正な取得）、法第20条2項（要配慮個人情報の取得）の規定に違反して取得されたものであるときは、当該保有個人データの利用の停止又は消去（以下「利用停止等」という。）を請求することができる。
２．対象事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
３．本人は、対象事業者に対し、当該本人が識別される保有個人データが法第27条（第三者提供の制
限の原則）又は法第28条（外国にある第三者への提供の制限）の規定に違反して第三者に提供されているときは、当該保有個人データの第三者への提供の停止を請求することができる。
４．対象事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したと
きは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止する
ことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、
この限りでない。
５．本人は、対象事業者に対し、当該本人が識別される保有個人データを当該対象事業者が利用する必要がなくなった場合、当該本人が識別される保有個人データに係る法第26条（漏えい等の報告
等）第1項で規定する事態が生じた場合その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合には、当該保有個人データの利用停止等又は第三者への提供の停止を請求することができる。
６．対象事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行わなければならない。ただし、当該保有個人データの利用停止等又は第三者への提供の停止に多額の費用を要する場合その他の利用停止等又は第三者への提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
７．対象事業者は、第1項若しくは第5項の規定による請求に係る保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は第3項若しくは第5項の規定による請求に係る保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
「利用停止等の要件」
対象事業者は、次の1)から3)までのいずれかに該当する場合について、その請求に理由があることが判明したとき37

JUAS個人情報保護指針
は、保有個人データの利用停止等又は第三者提供の停止を行わなければならない。
1) 法違反の場合の利用停止等● 法第18条の規定に違反して本人の同意なく目的外利用がされている。
● 法第19条の規定に違反して不適正な利用が行われている。
● 法第20条の規定に違反して偽りその他不正の手段により個人情報が取得されている。
● 本人の同意なく要配慮個人情報が取得されたものである。
2) 法違反の場合の第三者提供の停止● 法第27条第1項に違反して本人の同意なく第三者に提供されている。
● 法第28条の規定に違反して本人の同意なく外国にある第三者に提供されている。
3) 法第35条第5項の要件を満たす場合の利用停止等又は第三者提供の停止● 利用する必要がなくなった場合● 法第26条第1項に規定する漏えい等が発生した場合
4)

当該本人の権利又は正当な利益が害されるおそれがある場合「本人の権利又は正当な利益が害されるおそれがある場合」の事例● ダイレクトメールの送付停止を求める意思を表示したにもかかわらず、対象事業者がダイレクトメールを繰り返し送付している。
● 電話勧誘の停止を求める意思を表示したにもかかわらず、対象事業者が電話勧誘を繰り返し行っている。
● 対象事業者が、安全管理措置を十分に講じておらず、本人を識別する保有個人データが漏えい等するおそれがある。
● 退職した従業員情報を現在も自社の従業員であるようにホームページ等に掲載し、これによって本人に不利益が生じる。
「対象事業者が、本人からの利用停止等又は第三者提供の停止に応じなくてよい」と考えられる事例● 電話料金の支払いを免れるため、電話会社に対して課金に必要な情報の利用停止等を請求する場合● インターネット上で匿名の投稿を行った者が、発信者情報開示請求による発信者の特定やその後の損害賠償請求を免れるため、プロバイダに対してその保有する接続認証ログ等の利用停止等を請求する場合● 過去に利用規約に違反したことを理由としてサービスの強制退会処分を受けた者が、再度当該サービスを利用するため、当該サービスを提供する対象事業者に対して強制退会処分を受けたことを含むユーザー
情報の利用停止等を請求する場合● 過去の信用情報に基づく融資審査により新たな融資を受けることが困難になった者が、新規の借入れを受けるため、当該信用情報を保有している対象事業者に対して現に審査に必要な信用情報の利用停止等又は第三者提供の停止を請求する場合
本人の権利利益の保護の必要性を上回る「正当」な事情があるかどうかを判断するに当たっては、例えば、以下のような事情を考慮することになる。
● 本人又は第三者の生命、身体、財産その他の権利利益を保護するために当該保有個人データを取り扱
う事情
38

JUAS個人情報保護指針● 法令を遵守するために当該保有個人データを取り扱う事情● 契約に係る義務を履行するために当該保有個人データを取り扱う事情● 違法又は不当な行為を防止するために当該保有個人データを取り扱う事情● 法的主張、権利行使又は防御のために当該保有個人データを取り扱う事情「本人の権利利益を保護するため必要なこれに代わるべき措置」の事例● 既に市販されている名簿の刷り直し及び回収作業に多額の費用を要するとして、名簿の増刷時の訂正を約束する場合や必要に応じて金銭の支払いをする場合● 個人情報保護委員会への報告の対象となる重大な漏えい等が発生した場合において、当該本人との契約が存続しているため、利用停止等が困難であるとして、以後漏えい等の事態が生じることがないよう、必要かつ適切な再発防止策を講じる場合● 他の法令の規定により保存が義務付けられている保有個人データを直ちに消去する代わりに、当該法令の規定による保存期間の終了後に消去することを約束する場合＜参考条文＞法第18条、法第19条、法第26条、法第35条、通則ガイドライン3-8-5、3-8-6

8-6.理由の説明
対象事業者は、本人から求められ、又は請求された措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合には、本人に対し、その理由を説明するよう努めなければならない。
１．第32条第3項：保有個人データの利用目的を通知しない旨の決定をしたとき。
２．第33条第3項：保有個人データの全部又は一部について開示しない旨の決定をしたとき、当該保有個人データが存在しないとき、又は同項の規定により本人が請求した方法による開示が困難であるとき。
３．第33条第5項：第三者提供記録の全部又は一部について開示しない旨の決定をしたとき。
４．第34条第3項：保有個人データの内容の全部又は一部について、訂正等を行ったとき又は行わない旨の決定をしたとき。
５．第35条第7項：保有個人データの全部又は一部について、利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたとき。
対象事業者の組織において、当該措置を取るか取らないかを誰が決定し、誰が本人に通知するかを、あらかじめ決
めておく必要がある。
＜参考条文＞法第32条第3項、法第33条第3項・第5項、法第34条第3項、法第35条第7項、法第36条、通則ガイドライン3-8-6

39

JUAS個人情報保護指針

8-7.開示等の請求等に応じる手続
１．対象事業者は、次の規定による求め又は請求（以下「開示等の請求等」という。）に関し、政令で定めるところにより、その求め又は請求を受け付ける方法を定めることができる。
1) 法第32条第2項：利用目的の通知
2) 法第33条第1項、第5項：開示
3) 法第34条第1項：訂正等
4) 法第35条第1項、第3項、第5項：利用停止等
２．対象事業者は、本人に対し、開示等の請求等に関し、その対象となる保有個人データ又は第三者提供記録を特定するに足りる事項の提示を求めることができる。この場合において、対象事業者は、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データ又は当該第三者提供記録の特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。
３．対象事業者は、代理人からの開示等の請求等に応じなければならない。
４．対象事業者は、前3項の規定に基づき開示等の請求等に応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。
５．第1項の規定により対象事業者が開示等の請求等を受け付ける方法として定めることができる事項は、次に掲げるとおりとする。
1) 開示等の請求等の申出先
2) 開示等の請求等に際して提出すべき書面（電磁的記録を含む。）の様式その他の開示等の請求等の方式3) 開示等の請求等をする者が本人又は次条に規定する代理人であることの確認の方法
4) 手数料の徴収方法
６．第3項の規定により開示等の請求等をすることができる代理人は、次に掲げる者とする。
1) 未成年者又は成年被後見人の法定代理人
2) 開示等の請求等をすることにつき本人が委任した代理人「開示等の請求等を受け付ける方法」は、本人の知り得る状態(本人の求めに応じて遅滞なく回答する場合を含む。) に置いておかなければならない。また、「開示等の請求等を受け付ける方法」を合理的な範囲で定めたときは、本人は、当該方法に従って開示等の請求等を行わなければならず、当該方法に従わなかった場合は、対象事業者は当該開示等の請求等を拒否することができる。
「開示等の請求等を受け付ける方法」の事例
1) 開示等の請求等の申出先● 担当窓口名・係名、郵送先住所、受付電話番号、受付FAX番号、メールアドレス等● いたずらに不便な場所に限定するなど、本人に過重な負担を課するものとならないよう配慮する。
2) 開示等の請求等に際して提出すべき書面（電磁的記録を含む。法第33条第1項及び法第38条第3項において同じ。）の様式その他の開示等の請求等の方式● 郵送、FAX、電子メールやウェブサイト等のオンラインで受け付ける等
40

JUAS個人情報保護指針● 必要以上に煩雑な書類を書かせることのないよう配慮する。
3) 開示等の請求等をする者が本人又は代理人であることの確認の方法● 本人確認の方法○ 住所、ID、パスワード、会員番号等、登録情報と照合できる情報の提示を求める。
○ 事業者が保有している本人の個人データに比して必要以上に多くの情報を求めないようにするなど、本人に過重な負担を課するものとならないよう配慮しなくてはならない。
● 未成年者又は成年被後見人の法定代理人○ 法定代理人本人の、運転免許証、健康保険の被保険者証、個人番号カード表面、旅券、在留カード、特別永住者証明、年金手帳、印鑑証明書と実印等○ 親権者が未成年者の法定代理人であることを示す、本人及び代理人が共に記載され、その続柄が示された戸籍謄抄本、住民票の写し。
○ 成年後見人が成年被後見人の法定代理人であることを示す登記事項証明書● 開示等の請求等をすることにつき本人が委任した代理人○ 代理権を与える旨の委任状
4) 法第38条第1項の手数料を定めた場合は、その金額と徴収方法● 法第32条第2項：利用目的の通知● 法第33条第1項：開示（第三者提供記録の開示も含む）＜参考条文＞法第32条第2項、法第33条第1項・第5項、法第34条第1項、法第35条第1項・第3項・第5項、法第37条、政令第12条、規則第30条、通則ガイドライン3-8-7

8-8.手数料
１．対象事業者は、法第32条第2項の規定による利用目的の通知を求められたとき又は法第33条第1項の規定による開示の請求を受けたときは、当該措置の実施に関し、手数料を徴収することができる。
２．対象事業者は、前項により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。
手数料の額には消費税を含めて表記するか、消費税を別記すること。
＜参考条文＞法第32条第2項、法第33条第1項、法第38条、通則ガイドライン3-8-8

8-9.事前の請求
１．本人は、法第33条第1項、法第34条第1項、法第35条第1項、同条第3項若しくは第5項の規定による請求に係る訴えを提起しようとするときは、その訴えの被告となるべき者に対し、あらかじめ、当該請求を行い、かつ、その到達した日から二週間を経過した後でなければ、その訴えを提起することができな
41

JUAS個人情報保護指針
い。ただし、当該訴えの被告となるべき者がその請求を拒んだときは、この限りでない。
２．前項の請求は、その請求が通常到達すべきであった時に、到達したものとみなす。
３．前二項の規定は、法第33条第1項、法第34条第1項、法第35条第1項若しくは第三項の規定による請求に係る仮処分命令の申立てについて準用する。
訴えを提起する対象となる条文
1) 法第33条第1項：開示（第三者提供記録を含む）請求
2) 法第34条第1項：訂正等請求
3) 法第35条第1項：利用停止等請求●法第18条（利用目的による制限）違反●法第19条（不適正な利用の禁止）違反●法第20条（適正な取得）違反●本人の同意なく要配慮個人情報が取得されたものである
4) 法第35条第3項：利用停止等請求●法第27条第1項（第三者提供の制限の原則）違反●法第28条（外国にある第三者への提供の制限）違反
5) 法第35条第5項：利用停止等請求● 利用する必要がなくなった場合● 法第26条第1項に規定する漏えい等が発生した場合訴えを提起しようとするときは、その訴えの被告となるべき対象事業者に対し、あらかじめ、当該請求を行い、かつ、その到達した日から2週間を経過した後でなければ、その訴えを提起することができない。ただし、当該訴えの被告となるべき者がその請求を拒んだときは、この限りでない。
「当該裁判外の請求を拒んだとき」とは、法第33条第3項(開示しない旨の決定をしたとき等)、第34条第3項(訂正等を行わない旨の決定をしたとき)、及び第35条第7項（利用停止等を行わない旨の決定をしたとき）に掲
げる場合のほか、対象事業者が当該請求を行った者に対して特に理由を説明することなく単に当該請求を拒む旨を通知した場合等も含まれる。
２週間とは、例えば開示請求が4月1日に到達した場合には、本人が当該請求に係る裁判上の訴えを提起することができるのは、当該到達日から2週間（14日）が経過した日（4月16日）以降となる。
＜参考条文＞法第18条、法第19条、法第20条、法第26条、法第33条第1項、法第34条第1項、法第35条第1項・第3項・第5項、法第39条、通則ガイドライン3-8-9

９．対象事業者による苦情の処理
42

JUAS個人情報保護指針
１．対象事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
２．対象事業者は、前項の目的を達成するために必要な体制の整備に努めなければならない。
苦情は、無理な要求にまで応じなければならないものではない。ただし、提言を含む場合もあり、苦情・相談窓口に到着した情報は、責任あるものまで届く手順が必要である。
対象事業者は、保有個人データの取扱いに関する苦情の申出先、及び認定個人情報保護団体である当協会の名称及び苦情解決の申出先を、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
苦情の申し出先は、ホームページの「個人情報の取り扱いについて」の画面等、自社で取扱う個人情報の利用目的の公表ページに掲示するとよい。「苦情・相談窓口」表記の例は、8-1（保有個人データに関する事項の公表等）を参照のこと。
＜参考条文＞法第40条、通則ガイドライン3-9

１０．仮名加工情報取扱事業者等の義務「仮名加工情報取扱事業者」とは、仮名加工情報を含む情報の集合物であって、特定の仮名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の仮名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの(「仮名加工情報データベース等」という。)を事業の用に供している者をいう。
仮名加工情報かどうかは、対象事業者が仮名加工情報の取扱いに関する体制、手順書等を規定し、公表し、安全管理措置等の措置を講じ、取扱いの状況について評価を行い、その結果に基づき改善を図るために必要な措置を講じて作成された者によって作成されたものをいう。
例えば、個人データから単に特定の個人を識別することができる記述等を削除して、テストデータを作成しただけでは、「仮名加工情報」ではない。
＜参考条文＞法第16条第5項、仮名加工匿名加工情報ガイドライン2-1-2

10-1.仮名加工情報の作成等
１．対象事業者は、仮名加工情報（仮名加工情報データベース等を構成するものに限る。以下同じ。）
を作成するときは、他の情報と照合しない限り特定の個人を識別することができないようにするために必43JUAS個人情報保護指針
要なものとして個人情報保護委員会規則で定める基準に従い、個人情報を加工しなければならない。
２．対象事業者は、仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等（仮名加工情報の作成に用いられた個人情報から削除された記述等及び個人識別符号
並びに前項の規定により行われた加工の方法に関する情報をいう。以下同じ。）を取得したときは、削除情報等の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、削除情報等の安全管理のための措置を講じなければならない。
「仮名加工情報」は、規則第31条で定める基準に従い、個人情報を加工する。
1) 個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること。
2) 個人情報に含まれる個人識別符号の全部を削除すること。
3) 個人情報に含まれる不正に利用されることにより財産的被害が生じるおそれがある記述等を削除すること。
※上記は、当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
仮名加工情報に求められる「他の情報と照合しない限り特定の個人を識別することができない」という要件は、当該加工後の情報とそれ以外の他の情報を組み合わせることによって特定の個人を識別することができる状態にあることを否定するものではない。
「削除情報等に係る安全管理措置の基準」規則第32条
1) 法第41条第2項に規定する削除情報等（その情報を用いて仮名加工情報の作成に用いられた個人情報を復元することができるものに限る。）を取り扱う者の権限及び責任を明確に定めること。
2) 削除情報等の取扱いに関する規程類を整備し、当該規程類に従って削除情報等を適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果に基づき改善を図るために必要な措置を講ずること。
3) 削除情報等を取り扱う正当な権限を有しない者による削除情報等の取扱いを防止するために必要かつ適切な措置を講ずること。
＜参考条文＞法第2条第5項、法第41条第1項・２項、規則第31条、規則第32条、
仮名加工匿名加工情報ガイドライン2-2-2

10-2.個人情報である仮名加工情報の取扱いに関する義務「個人情報である仮名加工情報」とは
仮名加工情報に係る削除情報等を保有し、容易に照合でき、それによって特定の個人を識別できる情報となる状態にある場合が該当し、個人情報と同等の取扱いが必要となる。

44

JUAS個人情報保護指針
対象事業者が、自ら仮名加工情報を作成した場合は、個人情報の「取得」には該当しない。
10-2-1.仮名加工情報の利用目的による制限
１．仮名加工情報取扱事業者（対象事業者である者に限る、以下同じ。）は、法第18条（利用目的による制限）の規定にかかわらず、法令に基づく場合を除くほか、法第17条第1項（利用目的の特定）第1項の規定により特定された利用目的の達成に必要な範囲を超えて、仮名加工情報（個人情報であるものに限る。以下、本項において同じ。）を取り扱ってはならない。
２．仮名加工情報取扱事業者は、仮名加工情報について、利用目的を変更した場合は、変更された利用目的について、公表しなければならない。また、仮名加工情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を公表しなければならない。
３．仮名加工情報取扱事業者は、仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞なく消去するよう努めなければならない。この場合においては、法第22条（データ内容の正確性の確保等）の規定は、適用しない。
仮名加工情報を取扱う場合は、利用目的を特定し公表しなければならない。また、特定された利用目的の達成に必要な範囲を超えて、個人情報である仮名加工情報を取り扱ってはならない。個人情報の取扱いと異なり、利用目的の変更は自由（法第17条2項の規定除外）であるが、変更した後の利用目的を公表しなければならない。
仮名加工情報を作成したが利用する必要がなくなったときは、当該仮名加工情報である個人データを遅滞なく消去するよう努めなければならない。また、保有する削除情報等について利用する必要がなくなったときは、当該削除情報等を遅滞なく消去するように努めなければならない。
＜参考条文＞法第17条第1項・2項、法第18条、法第22条、法第41条第3項・4項・5項、
仮名加工匿名加工情報ガイドライン2-2-3.

10-2-2.仮名加工情報の第三者提供の禁止等
１．仮名加工情報取扱事業者は、法第27条第1項（第三者提供の制限の原則）、法第27条第2項（オプトアウトに関する原則）、法第28条（外国にある第三者への提供の制限）の規定にかかわらず、法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはならない。
２．次に掲げる場合において、当該仮名加工情報である個人データの提供を受ける者は、前項の適用については第三者に該当しないものとする。
1) 委託：提供する情報が仮名加工情報である旨を明示しなければならない。
2) 事業の承継：利用目的及び取扱方法、漏えい等が発生した場合の措置、事業承継の交渉が不調となった場合の措置等、相手会社に安全管理措置を遵守させるために必要な契約を締結しなければならない。
3) 共同利用：仮名加工情報である個人データを共同利用する旨、共同して利用される仮名加工
45

JUAS個人情報保護指針
情報である個人データの項目、共同して利用する者の範囲、利用する者の利用目的、仮名加
工情報である個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名を公表する必要がある。
仮名加工情報は、法令に基づく場合を除くほか第三者に提供してはならない。ただし、委託、事業の承継、共同
利用は、第三者に該当しない。
「共同利用する者の利用目的」については、社会通念上、本人が通常予期し得る限度と客観的に範囲内で変更することができ、「仮名加工情報である個人データの管理について責任を有する者」についても変更することができるが、いずれも変更する前に、公表しなければならない。
法令に基づく場合、委託、事業の承継、共同利用における仮名加工情報である個人データの提供については、
確認・記録義務は課されない。
＜参考条文＞法第27条第1項・第2項、法第29条、法第41条第6項、法第42条
仮名加工匿名加工情報ガイドライン2-2-3-3

10-2-3.仮名加工情報の識別行為の禁止
仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たっては、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該仮名加工情報を他の情報と照合してはならない。
複数の仮名加工情報を組み合わせて統計情報を作成すること等は識別行為にあたらない。
ただし、保有する個人情報と仮名加工情報について、共通する記述等を選別してこれらを照合することは、識別行為に該当するため、行ってはならない。
＜参考条文＞法第41条第7項、仮名加工匿名加工情報ガイドライン2-2-3-4

10-2-4.仮名加工情報による本人への連絡等の禁止
仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たっては、電話をかけ、郵便若しくは民間事業者による信書の送達に関する法律（平成14年法律第99号）第2条第6項に規定する一般信書便
事業者若しくは同条第9項に規定する特定信書便事業者による同条第2項に規定する信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法（電子情報処理組織を使用する方法その他の情報通信の技術を利用する方法であって、以下1）から3）の個人情報保護委員会規則で定めるものをいう。）を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用してはならない。
46

JUAS個人情報保護指針
1) 電話番号を送受信のために用いて電磁的記録を相手方の使用に係る携帯して使用する通信端末機器に送信する方法（他人に委託して行う場合を含む。）
2) 電子メールを送信する方法（他人に委託して行う場合を含む。）
3) 前号に定めるもののほか、その受信をする者を特定して情報を伝達するために用いられる電気通信（電気通信事業法（昭和59年法律第86号）第2条第1号に規定する電気通信をいう。）を送信する方法（他人に委託して行う場合を含む。）「電磁的方法」とは、次のいずれかの方法をいい、他人に委託して行う場合を含む。
1) いわゆるショートメールを送信する方法
2) 電子メールを送信する方法
3) 前号に定めるもののほか、受信をする者を特定して情報を伝達するために電気通信を送信する方法「受信をする者を特定して情報を伝達するために電気通信を送信する方法」の事例● SNS(ソーシャル・ネットワーキング・サービス)のメッセージ機能によりメッセージを送信する方法● CookieIDを用いて受信する者を特定した上で、当該受信者に対して固有の内容のインターネット広告を表示する方法＜参考条文＞法第41条第6項、仮名加工匿名加工情報ガイドライン2-2-3-5

10-2-5.仮名加工情報等の適用除外
仮名加工情報、仮名加工情報である個人データ及び仮名加工情報である保有個人データについては、
法第17条第2項、法第26条及び法第32条から法第39条までの規定は、適用しない。
「適用除外となる規定」
1)

法第17条第2項（利用目的の変更）
仮名加工情報(個人情報であるもの)については、利用目的の変更の制限に関する規定は適用されない
ため、変更前の利用目的と関連性を有すると合理的に認められる範囲を超える利用目的の変更も認め
られる。

2)

法第26条（漏えい等の報告等)
仮名加工情報である個人データについて漏えい等が発生した場合でも、法第26条に基づく報告や本人通知は不要である。

2)

法第32条から法第39条まで（本人からの開示等の請求等)
仮名加工情報である保有個人データについては、本人からの開示等の請求等の規定は適用されないた
め、本人からの開示等の請求等の対象とならない。

ただし、仮名加工情報の作成の元となった保有個人データは、法第32条から第39条までの規定に基づく本人からの開示等の請求等の対象となる。
47

JUAS個人情報保護指針＜参考条文＞法第17条2項、法第26条、法第32条から法第39条まで、法第41条第9項
仮名加工匿名加工情報ガイドライン2-2-3-6

10-2-6.仮名加工情報に関するその他の義務等
仮名加工情報取扱事業者による仮名加工情報の取扱いについては、前各項の規定のほか、次の1)から6)までの義務等が課される。
1) 法第19条：不適正利用の禁止
2) 法第20条：適正取得
3) 法第23条：安全管理措置
4) 法第24条：従業者の監督
5) 法第25条：委託先の監督
6) 法第40条：苦情処理「法第23条関係（安全管理措置）」
取り扱う仮名加工情報である個人データの漏えい等その他の安全管理のために必要かつ適切な措置を講じなければならない。
法第23条から法第25条まで、法第40条並びに法第41条第7項（照合の禁止）及び第8項(本人への連絡等の禁止)の規定は、仮名加工情報取扱事業者による仮名加工情報の取扱いについて準用する場合において、法第20条中「漏えい、滅失又は毀損」とあるのは「漏えい」と、法第41条第7項中「ために、」とあるのは「ために、削除
情報等を取得し、又は」と読み替えるものとする。以下は、読み替え後の条文● 法第20条：仮名加工情報取扱事業者は、その取り扱う仮名加工情報の漏えいの防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
● 法第41条第7項：仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たっては、当該仮名加
工情報の作成に用いられた個人情報に係る本人を識別するために、削除情報等を取得し、又は当該仮名加工情報を他の情報と照合してはならない。
なお、仮名加工情報には識別行為の禁止義務や本人への連絡等の禁止義務が課されていることから、仮名加工
情報を取り扱うに当たっては、それを取り扱う者が不適正な取扱いをすることがないよう、仮名加工情報に該当することを明確に認識できるようにしておくことが重要である。そのため、仮名加工情報を取り扱う者にとってその情報が仮名加工情報である旨が一見して明らかな状態にしておくことが望ましい。
仮名加工情報(個人情報であるもの)については、要配慮個人情報の取得に関する法第20条第2項（あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。）の適用対象となる。ただし、法第41条第6項（第三者提供の禁止）により、仮名加工情報である個人データの第三者提供は、法令に基づく場合又は委託、事業承継若しくは共同利用に伴って提供される場合に限定されている。
48

JUAS個人情報保護指針「個人情報である仮名加工情報」について、個人情報とで異なる取扱い
1)

法第17条第2項（利用目的の変更）:合理的と認められる範囲を超えて利用目的を変更可能

2)

法第21条1項（取得に際しての利用目的の通知等）:公表のみ。通知は不要

3)

法第22条（データ内容の正確性の確保等）：適用外

4)

法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはならない。

5)「個人情報である仮名加工情報」を、他の情報と照合してはならない。

6)

本人への連絡等の禁止：電話、送付、電報、FAX、電子メール等に利用してはならない。

7)

法第26条（漏えい等の報告等）：適用外

8)

開示等請求等：対象外＜参考条文＞法第17条第12項、法第19条、法第20条、法第21条第1項、法第22条、法第23条、法第24条、法第25条、法第26条、法第40条、法第41条、第42条第2項、
仮名加工匿名加工情報ガイドライン2-2-3-7

10-3.個人情報でない仮名加工情報の取扱いに関する義務
１．仮名加工情報取扱事業者は、法令に基づく場合を除くほか、仮名加工情報（個人情報であるものを除く。本項において同じ。）を第三者に提供してはならない。
２．次に掲げる場合において、当該仮名加工情報の提供を受ける者は、前項の適用については、第三者に該当しないものとする。
1) 対象事業者が利用目的の達成に必要な範囲内において仮名加工情報の取扱いの全部又は一部を委託することに伴って当該仮名加工情報が提供される場合
2) 合併その他の事由による事業の承継に伴って仮名加工情報が提供される場合
3) 特定の者との間で共同して利用される仮名加工情報が当該特定の者に提供される場合であって、その旨並びに共同して利用される仮名加工情報の項目、共同して利用する者の範囲、利用する者の利用目的及び当該仮名加工情報の管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、公表しているとき。
３．対象事業者は、その取り扱う仮名加工情報の漏えいの防止その他の仮名加工情報の安全管理のために必要かつ適切な措置を講じなければならない。
４．対象事業者は、仮名加工情報を取り扱うに当たっては、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、削除情報等を取得し、又は当該仮名加工情報を他の情報と照合してはならない。
５．法第24条（従業者の監督）、法第25条（委託先の監督）、法第40条（個人情報取扱事業者
による苦情の処理）及び法第42条第3項（その他の義務）の規定は、対象事業者による仮名加工
情報の取扱いについて準用する。
法律に基づく提供、又は委託、事業の承継、共同利用により、仮名加工情報を提供した際に、当該仮名加工
49

JUAS個人情報保護指針
情報の作成の元となった個人情報や当該仮名加工情報に係る削除情報等を保有していない場合は、当該仮名加工情報は、「個人情報でない仮名加工情報」となる。
「個人情報でない仮名加工情報」については、次の義務が課せられる。
1) 安全管理措置(法第42条第3項、法第23条)● 取り扱う仮名加工情報の漏えいの防止その他の仮名加工情報の安全管理のために必要かつ適切な措置を講じなければならない。
● 仮名加工情報には識別行為の禁止義務や本人への連絡等の禁止義務が課されていることから、それを取り扱う者が不適正な取扱いをすることがないよう、仮名加工情報を取り扱う者にとってその情報が仮名加工情報である旨が一見して明らかな状態にしておくことが望ましい。
2) 従業者の監督(法第42条第3項、法第24条)● 従業者に仮名加工情報を取り扱わせるに当たっては、当該仮名加工情報の安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
3) 委託先の監督(法第42条第3項、法第25条)● 仮名加工情報の取扱いの全部又は一部を委託する場合は、その取扱いを委託された仮名加工
情報の安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
4) 苦情処理(法第42条第3項、法第40条)● 仮名加工情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
● 苦情の適切かつ迅速な処理を行うに当たり、苦情処理窓口の設置や苦情処理の手順を定める等
必要な体制の整備に努めなければならない。
5) 識別行為の禁止(法第42条第3項、法第41条第7項)● 仮名加工情報を取り扱う場合には、当該仮名加工情報の作成の元となった個人情報の本人を識別する目的で、削除情報等を取得し、又は当該仮名加工情報を他の情報と照合してはならな
い。
6) 本人への連絡等の禁止(法第42条第3項、法第41条第8項)● 仮名加工情報を取り扱う場合には、電話をかけ、郵便若しくは信書便により送付し、電報を送達
し、ファクシミリ装置若しくは電磁的方法を用いて送信し、又は住居を訪問するために、当該仮名加
工情報に含まれる連絡先その他の情報の利用を行ってはならない。
＜参考条文＞法第23条、法第24条、法第25条、法第40条、法第41条第7項・第8項、法第42条、
仮名加工匿名加工情報ガイドライン2-2-4

１１．匿名加工情報取扱事業者等の義務「匿名加工情報取扱事業者」とは匿名加工情報データベース等を事業の用に供している者をいう（国の機関、地方公共団体、独立行政法人等、地方独立行政法人を除く。）。
50

JUAS個人情報保護指針「匿名加工情報」を作成するだけの対象事業者は、「匿名加工情報取扱事業者」にはあたらない。
＜参考条文＞法第16条第6項、仮名加工情報・匿名加工情報ガイドライン3-1-2

11-1.対象事業者による匿名加工情報の作成等
１．匿名加工情報を作成する対象事業者は、匿名加工情報（匿名加工情報データベース等を構成するものに限る。以下同じ。）を作成するときは、特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、当該個人情報を加工しなければならない。
２．対象事業者が、匿名加工情報を作成したときは、その作成に用いた個人情報から削除した記述等及び個人識別符号並びに前項の規定により行った加工の方法に関する情報の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、これらの情報の安全管理のための措置を講じなければならない。
「匿名加工情報」とは特定の個人を識別することができないように加工して得られる個人に関する情報であって、当該個人情報を復元して特定の個人を再識別することができないようにしたものをいう。
「加工方法等情報」とは
1) 匿名加工情報の作成に用いた、個人情報から削除した記述等
2) 個人識別符号
3) 匿名加工情報の作成に用いた、加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。）
なお、「統計情報」は、複数人の情報から同じ分類ごとに集計して得られるデータであり、集団の傾向又は性質などを数量的に把握するものである。したがって、統計情報は、特定の個人との対応関係が排斥されている限りにおいては、法における「個人に関する情報」に該当するものではないため、「匿名加工情報」ではない。
「復元することができないようにする加工基準」（規則第34条）（削除措置は、復元可能な規則性を有しない他の記述等に置き換えることを含む。）
1) 特定の個人を識別することができる記述等の全部又は一部を削除すること。
2) 個人識別符号の全部を削除すること。
3) 個人情報と連結する符号（現に対象事業者において取り扱う符号に限る。）を削除すること。
4) 特異な記述等を削除すること。
5) 前各号に掲げる措置のほか、個人情報に含まれる記述等と他の個人情報に含まれる記述等との差異その他の個人情報データベース等の性質を勘案し、その結果を踏まえて適切な措置を講ずること。
51

JUAS個人情報保護指針「加工の手法」の事例●削除

項目削除：氏名の削除
レコード削除：特異な個人情報を全て削除
特定セル削除：15歳以下の年齢のデータを削除●一般化 上位概念：きゅうり→野菜
生年月日：1986年3月2日→1986年
対象事業者は、匿名加工情報の作成に当たっては、個人の識別に係るリスクを分析した上で適切な加工を行うよう努めなければならない。
＜参考条文＞法第43条第1項・2項、規則第34条、規則第35条、
仮名加工情報・匿名加工情報ガイドライン3-2-2

11-2.匿名加工情報作成時の公表
３．対象事業者は、匿名加工情報を作成したときは、個人情報保護委員会規則で定めるところにより、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない。
４．対象事業者は、匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは、個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個
人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。
「匿名加工情報の作成時における公表方法」（規則第36条）
1) 公表は、匿名加工情報を作成した後、遅滞なく、インターネットの利用その他の適切な方法により行うものとする。
2) 対象事業者が他の個人情報取扱事業者の委託を受けて匿名加工情報を作成した場合は、当該他の個人情報取扱事業者が当該匿名加工情報に含まれる個人に関する情報の項目を前項に規定する方法により公表するものとする。この場合においては、当該公表をもって当該個人情報取扱事業者が当該項目を公表したものとみなす。
「匿名加工情報を第三者提供するときの公表もしくは明示方法」（規則第37条）
1) 公表は、インターネットの利用その他の適切な方法により行うものとする。
2) 明示は、電子メールを送信する方法又は書面を交付する方法その他の適切な方法により行うものとする。
なお、対象事業者は、匿名加工情報の作成その他の取扱いについて公表する場合は、苦情・相談窓口についても公表し、問い合わせに応じることとなる。

52

JUAS個人情報保護指針＜参考条文＞法第43条第3項・4項、法第46条、規則第36条、規則第37条
仮名加工匿名加工情報ガイドライン3-2-4

11-3.匿名加工情報作成時の識別行為の禁止
５．対象事業者は、匿名加工情報を作成して自ら当該匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該匿名加工情報を他の情報と照合してはならない。
法第43条（匿名加工情報の作成等）では、匿名加工情報取扱事業者ではなく、匿名加工情報を作成する対象事業者に対して、識別行為を禁止している。
「識別行為に当たる取扱い」の事例●

自らが作成した匿名加工情報を、本人を識別するために他の情報と照合すること。

●

受領した匿名加工情報を、本人を識別するために他の情報と照合すること。

なお、現行法では「識別行為の禁止」（法第45条）に従わなかった場合、法第148条（勧告及び命令）を経て、法第178条に基づき、1年以下の懲役又は100万円以下の罰金に処されることとなる。
＜参考条文＞法第43条第5項、仮名加工匿名加工情報ガイドライン3-2-6

11-4.匿名加工情報作成時の安全管理措置等
６．対象事業者は、匿名加工情報を作成したときは、当該匿名加工情報の安全管理のために必要かつ適切な措置、当該匿名加工情報の作成その他の取扱いに関する苦情の処理その他の当該匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
「匿名加工情報作成時の安全管理措置」の事例●

加工方法等情報を取り扱う者の権限及び責任を明確に定めること。

●

加工方法等情報の取扱いに関する規程類を整備し、当該規程類に従って加工方法等情報を適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果に基づき改善を図るために必要な措置を講ずること。

●

加工方法等情報を取り扱う正当な権限を有しない者による加工方法等情報の取扱いを防止するために必要かつ適切な措置を講ずること。

＜参考条文＞法第43条第5項、仮名加工匿名加工情報ガイドライン3-2-3-2

53

JUAS個人情報保護指針

11-5.匿名加工情報の第三者提供
匿名加工情報取扱事業者は、匿名加工情報（自ら個人情報を加工して作成したものを除く。以下この節において同じ。）を第三者に提供するときは、個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。
「第三者提供時の公表と明示」
1) 第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表する● インターネットの利用その他の適切な方法により行う。
● 例 ○ 元となる個人データの項目：氏名・性別・生年月日・購買履歴○ 匿名加工方法：氏名を削除、生年月日を一般化、購買履歴から特異値等を削除○ 第三者提供する場合の公表項目：「性別」、「生年」、「購買履歴」○ 匿名加工情報の提供の方法：「ハードコピーを郵送」、「サーバにアップロード」等
2) 当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示する。
● 電子メールを送信する方法又は書面を交付する方法その他の適切な方法により行う。
「匿名加工情報を反復・継続的に第三者へ同じ方法により提供する場合」
1) 個人に関する情報の項目及び加工方法が同じである場合に限る。
2) 提供期間又は継続的な提供を予定している旨を明記する。
3) 最初に公表した公表と継続的であるものと解される。
＜参考条文＞法第43条第4項、法第44条、規則第38条、仮名加工匿名加工情報ガイドライン3-2-5

11-6.匿名加工情報取扱事業者等の義務
匿名加工情報データベース等を事業の用に供している、匿名加工情報取扱事業者が遵守する義務等は以下のとおりである。
1) 匿名加工情報の提供に関する公表および明示
匿名加工情報を第三者に提供するときは、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。（自ら個人情報を加工して作成したものを提供する場合を除く。）
2) 識別行為の禁止
匿名加工情報を利用するときは、元の個人情報に係る本人を識別する目的で、加工方法等の54

JUAS個人情報保護指針
情報を取得し、又は他の情報と照合することを行ってはならない。
3) 安全管理措置等
匿名加工情報の安全管理のために必要かつ適切な措置、匿名加工情報の取扱いに関する苦情の処理その他の匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
対象事業者が自ら個人情報を加工して作成した匿名加工情報については、以下の第43条（匿名加工情報の作成等）第4項から第6項までが適用される。
● 第4項：匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。
● 第5項：当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該匿名加
工情報を他の情報と照合してはならない。
● 第6項：匿名加工情報の安全管理のために必要かつ適切な措置、当該匿名加工情報の作成その他の取扱いに関する苦情の処理その他の当該匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
＜参考条文＞法第43条第4項・第5項、第6項、法第44条、法第45条、法第46条、
仮名加工匿名加工情報ガイドライン3-2-5

１２．学術研究機関等の責務
対象事業者である学術研究機関等は、学術研究目的で行う個人情報の取扱いについて、この法律の規定を遵守するとともに、その適正を確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
「学術研究機関等」とは● 大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者をいう。
● 民間団体付属の研究機関等における研究活動についても、当該機関が学術研究を主たる目的とするもの
である場合には、「学術研究機関等」に該当する。
● 国公立の大学等（詳細は通則ガイドライン2-18参照）、学術研究機関等にも該当するものについては、
原則として私立の大学、民間の学術研究機関等と同等の規律が適用される。
「それらに属する者」とは● 国公立・私立大学の教員、公益法人等の研究所の研究員、学会の会員等をいう。

55

JUAS個人情報保護指針「学術研究機関等が学術研究目的で個人情報を取り扱う場合の特例」について● 学術研究機関等である場合であって、当該個人情報を学術研究目的で取り扱う必要があるとき。
● 個人の権利利益を不当に侵害するおそれがある場合を除く。
● 安全管理措置、苦情処理等、個人情報等の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
● 特例となる条文
1) 法第18条（利用目的による制限）：本人同意を省略して利用/第三者提供できる。
2) 法第20条（適正な取得）：本人同意を省略して取得/第三者提供を受ける。
3) 法第27条（第三者提供の制限）：本人同意を省略して第三者提供する。
4) 法第29条（第三者提供に係る記録の作成等）：適用されない。
5) 法第149条（委員会の権限の行使の制限）：権限を行使しない。
＜参考条文＞法第16条第8項、法第59条、通則ガイドライン2-18

１３．対象事業者への指導、勧告等
認定個人情報保護団体運営規程(対象事業者への指導、勧告等)
第11条 事務局は、対象事業者に指針を遵守させるために指導、勧告その他の措置を講じる必要があると判断した場合には、外部有識者から意見を聴取する。
2．前項において、指導、勧告その他の措置が必要である旨の決定を行ったときは、事務局は、措置の対象となる対象事業者に対して当該措置の内容及び理由を通知し、当該対象事業者に事実関係を含む弁明の機会を与える。
3．事務局は、前2項の手続を経て対象事業者に対して、指針を遵守させるために必要な指導、勧告その他の措置を講じる。ただし、対象事業者の地位に関するものについては、第15条による。
4．事務局は、対象事業者に対して、指針を遵守させるために必要な指導、勧告その他の措置を講じた状
況及び対応結果を記録し、一定期間これを保存する。
5．前項に関する記録は、原則的に非公開とする。ただし、再発防止等のため必要なときは、対象事業者が特定できないよう配慮したうえで公開することができるものとする。

56

JUAS個人情報保護指針

１４．指針及び自主ルール一覧の見直し
本指針は、社会情勢の変化、個人情報保護に関する国民の認識の変化、技術の発展及び実務の状況、並びに個人情報の取扱いに係る事故等の発生状況等に応じて、適宜見直しを行うことが必要である。従って、本指針策定後も随時関係者の意見を求めながら見直しに努めるものとする（本指針内で規定するJUAS自主ルールを含
む。）。

57

JUAS個人情報保護指針

JUAS個人情報保護指針【自主ルール一覧】
4-4.委託先の監督
2)委託契約の締結【JUAS自主ルール(1)】

委託先との契約においては次の事項を盛り込むこと。
委託者及び受託者の責任の明確化
個人データの安全管理に関する事項
再委託に関する事項
個人データの取扱状況に関する受託者への報告の内容及び頻度
契約内容が遵守されていることを受託者が定期的に、及び適宜に確認できる事項
契約内容が遵守されなかった場合の措置
事件・事故が発生した場合の報告・連絡に関する事項
契約終了後の措置
委託先事業者について【JUAS自主ルール(2)】

委託先が倉庫業、廃棄業、データセンター（ハウジング、ホスティング）などの事業者であって、それら委託先事業者
が、委託される情報が個人情報に該当するかどうか認識することなく預かっている場合であっても、委託者は委託するものが個人データであることを認識していることから、本項に基づいて委託先の監督を行うとともに、自社の安全管理措置と同等かそれ以上の安全管理措置が講じられていることを確認する必要がある。
5-1.漏えい等の考え方【JUAS自主ルール(3)】対象事業者は、法に基づく漏えい等の報告に加え、その保有する個人情報について、第1項で規定する漏えい、滅失、毀損その他の個人データの安全の確保に係る事態以外に、当協会が定める外部への漏えいその他本人の権
利利益の侵害（以下「事故等」という）が発生した場合又はそのおそれが生じたときは、速やかに当協会に報告しなければならない。
【JUAS自主ルール(4)】なお、当協会の対象事業者は、法で定める漏えい等の報告に加え、その保有する個人情報について、1)から4）に掲げる事態以外に、第2項に定める事故等が発生した場合又はそのおそれが生じたときは当協会へも【JUAS自主ルール(5)】に従い速やかに報告が必要となる。事故等とは、具体的には、個人情報又は加工方法等情報の漏
えい、紛失、滅失・き損、改ざん、正確性の未確保、不適切取得、目的外利用・提供、不正利用、開示等の求め等の拒否を含むものであって、当協会が別途定めるものをいう。
5-3.速報、確報について【JUAS自主ルール(5)】

当協会への個人データの漏えい等の報告等について（１）プライバシーマークを付与されている対象事業者● プライバシーマーク制度の報告ルールに基づき、所定の様式により報告を行う。

58

JUAS個人情報保護指針（２）法に基づく報告等が必要な事態が生じた場合● 個人情報保護委員会のWebサイトより専用フォームで報告を行った後、報告内容をPDFでダウンロード
し、その控えを当協会の認定個人情報保護団体事務局へ提出する。
● 個人情報保護委員会漏えい等報告サイト：
https://www.ppc.go.jp/personalinfo/legal/leakAction/

59