本資料において、改正前欄には、個人情報の保護に関する法律についてのガイドライン（通則編）の一部を改正する告示（令和 3 年個人情報保護委員会告示第 3 号）による改正後の個人情報の保護に関する法律についてのガイドライン（通則編）（平成 28 年個人情報保護委員会告示第 6 号）を示す。

個人情報の保護に関する法律についてのガイドライン（通則編）（平成 28 年個人情報保護委員会告示第 6 号）の一部改正の新旧対照表○平成 28 年個人情報保護委員会告示第 6 号（個人情報の保護に関する法律についてのガイドライン（通則編））
・改正前欄に掲げる規定の傍線を付し又は破線で囲んだ部分をこれに順次対応する改正後欄に掲げる規定の傍線を付し又は破線で囲んだ部分のように改める。
・改正前欄及び改正後欄に対応して掲げるその標記部分に二重傍線を付した規定（以下「対象規定」という。）は、改正前欄に掲げる対象規定を改正後欄に掲げる対象規定として移動する。
・改正前欄に掲げる対象規定で改正後欄にこれに対応するものを掲げていないものは、これを削る。
・改正後欄に掲げる対象規定で改正前欄にこれに対応するものを掲げていないものは、これを加える。

改正前

個人情報の保護に関する法律についてのガイドライン

個人情報の保護に関する法律についてのガイドライン

（通則編）

（通則編）

目次

目次

1

改正後

1 [略]

1

[同左]

2

2

定義

定義
[2-1～2-3 略][2-1～2-3 同左]

2-4 個人情報データベース等（法第 16 条第 1 項関係）

2-4 個人情報データベース等（法第 2 条第 4 項関係）

2-5 個人情報取扱事業者（法第 16 条第 2 項・法第 2 条第 9 項、第 10

2-5 個人情報取扱事業者（法第 2 条第 5 項関係）

項、第 11 項・法別表第 2 関係）
2-6 個人データ（法第 16 条第 3 項関係）

2-6 個人データ（法第 2 条第 6 項関係）

2-7 保有個人データ（法第 16 条第 4 項関係）

2-7 保有個人データ（法第 2 条第 7 項関係）

2-8 個人関連情報（法第 2 条第 7 項関係）

2-8 個人関連情報（法第 26 条の 2 第 1 項関係）

2-9 個人関連情報取扱事業者（法第 16 条第 7 項関係）

2-9 個人関連情報取扱事業者（法第 26 条の 2 第 1 項関係）

2-10 仮名加工情報（法第 2 条第 5 項関係）

2-10 仮名加工情報（法第 2 条第 9 項関係）

2-11 仮名加工情報取扱事業者（法第 16 条第 5 項関係）

2-11 仮名加工情報取扱事業者（法第 2 条第 10 項関係）

2-12 匿名加工情報（法第 2 条第 6 項関係）

2-12 匿名加工情報（法第 2 条第 11 項関係）

2-13 匿名加工情報取扱事業者（法第 16 条第 6 項関係）

2-13 匿名加工情報取扱事業者（法第 2 条第 12 項関係）

[2-14～2-17 略][2-14～2-17 同左]

2-18 学術研究機関等（法第 16 条第 8 項関係）

[新設]

2-19 「学術研究目的」

[新設]

3

3

個人情報取扱事業者等の義務

個人情報取扱事業者等の義務

3-1 個人情報の利用目的（法第 15 条・第 16 条、第 18 条第 3 項関係）

3-1-1 利用目的の特定（法第 17 条第 1 項関係）

3-1-1 利用目的の特定（法第 15 条第 1 項関係）

3-1-2 利用目的の変更（法第 17 条第 2 項、第 21 条第 3 項関係）

3-1-2 利用目的の変更（法第 15 条第 2 項、第 18 条第 3 項関係）

3-1-3 利用目的による制限（法第 18 条第 1 項関係）

3-1-3 利用目的による制限（法第 16 条第 1 項関係）

3-1-4 事業の承継（法第 18 条第 2 項関係）

3-1-4 事業の承継（法第 16 条第 2 項関係）

3-1-5 利用目的による制限の例外（法第 18 条第 3 項関係）

3-1-5 利用目的による制限の例外（法第 16 条第 3 項関係）

3-2 不適正利用の禁止（法第 19 条関係）

3-2 不適正利用の禁止（法第 16 条の 2 関係）

3-3 個人情報の取得（法第 20 条・第 21 条関係）

3-3 個人情報の取得（法第 17 条・第 18 条関係）

3-3-1 適正取得（法第 20 条第 1 項関係）

3-3-1 適正取得（法第 17 条第 1 項関係）

3-3-2 要配慮個人情報の取得（法第 20 条第 2 項関係）

3-3-2 要配慮個人情報の取得（法第 17 条第 2 項関係）

3-3-3 利用目的の通知又は公表（法第 21 条第 1 項関係）

3-3-3 利用目的の通知又は公表（法第 18 条第 1 項関係）

3-3-4 直接書面等による取得（法第 21 条第 2 項関係）

3-3-4 直接書面等による取得（法第 18 条第 2 項関係）

3-3-5 利用目的の通知等をしなくてよい場合（法第 21 条第 4 項関係）

3-3-5 利用目的の通知等をしなくてよい場合（法第 18 条第 4 項関係）

3-4 個人データの管理（法第 22 条～第 25 条関係）

3-4 個人データの管理（法第 19 条～第 22 条関係）

2

3-1 個人情報の利用目的（法第 17 条・第 18 条、第 21 条第 3 項関係）

3-4-1 データ内容の正確性の確保等（法第 19 条関係）

3-4-2 安全管理措置（法第 23 条関係）

3-4-2 安全管理措置（法第 20 条関係）

3-4-3 従業者の監督（法第 24 条関係）

3-4-3 従業者の監督（法第 21 条関係）

3-4-4 委託先の監督（法第 25 条関係）

3-4-4 委託先の監督（法第 22 条関係）

3-5 個人データの漏えい等の報告等（法第 26 条関係）

3-5 個人データの漏えい等の報告等（法第 22 条の 2 関係）[3-5-1・3-5-2 略][3-5-1・3-5-2 同左]

3-5-3 個人情報保護委員会への報告（法第 26 条第 1 項関係）

3-5-3 個人情報保護委員会への報告（法第 22 条の 2 第 1 項関係）

3-5-4 本人への通知（法第 26 条第 2 項関係）

3-5-4 本人への通知（法第 22 条の 2 第 2 項関係）

3-6 個人データの第三者への提供（法第 27 条～第 30 条関係）

3-6 個人データの第三者への提供（法第 23 条～第 26 条関係）

3-6-1 第三者提供の制限の原則（法第 27 条第 1 項関係）

3-6-1 第三者提供の制限の原則（法第 23 条第 1 項関係）

3-6-2 オプトアウトによる第三者提供（法第 27 条第 2 項～第 4 項関係）

3-6-2 オプトアウトによる第三者提供（法第 23 条第 2 項～第 4 項関係）

3-6-3 第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係）

3-6-3 第三者に該当しない場合（法第 23 条第 5 項・第 6 項関係）

3-6-4 外国にある第三者への提供の制限（法第 28 条関係）

3-6-4 外国にある第三者への提供の制限（法第 24 条関係）

3-6-5 第三者提供に係る記録の作成等（法第 29 条関係）

3-6-5 第三者提供に係る記録の作成等（法第 25 条関係）

3-6-6 第三者提供を受ける際の確認等（法第 30 条関係）

3-6-6 第三者提供を受ける際の確認等（法第 26 条関係）

3-7 個人関連情報の第三者提供の制限等（法第 31 条関係）

3-7 個人関連情報の第三者提供の制限等（法第 26 条の 2 関係）[削る]

3-7-1 定義

3-7-1 法第 31 条の適用の有無について

3-7-2 法第 26 条の 2 の適用の有無について

3-7-2 本人の同意の取得方法

3-7-3 本人の同意の取得方法

3-7-3 本人の同意等の確認の方法（法第 31 条第 1 項関係）

3-7-4 本人の同意等の確認の方法（法第 26 条の 2 第 1 項関係）

3-7-4 提供元における記録義務（法第 31 条第 3 項、第 30 条第 3 項関

3-7-5 提供元における記録義務（法第 26 条の 2 第 3 項、第 26 条第 3 項

3

3-4-1 データ内容の正確性の確保等（法第 22 条関係）係）
3-7-5 提供先の第三者における確認義務（法第 30 条第 1 項関係）

関係）
3-7-6 提供先の第三者における確認義務（法第 26 条第 1 項関係）

3-7-6 提供先の第三者における記録義務（法第 30 条第 3 項関係）

3-7-7 提供先の第三者における記録義務（法第 26 条第 3 項関係）

3-8 保有個人データに関する事項の公表等、保有個人データの開示・訂3-8 保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止等（法第 32 条～第 39 条関係）

正等・利用停止等（法第 27 条～第 34 条関係）

3-8-1 保有個人データに関する事項の公表等（法第 32 条関係）

3-8-1 保有個人データに関する事項の公表等（法第 27 条関係）

3-8-2 保有個人データの開示（法第 33 条第 1 項～第 4 項関係）

3-8-2 保有個人データの開示（法第 28 条第 1 項～第 4 項関係）

3-8-3 第三者提供記録の開示（法第 33 条第 5 項、第 1 項～第 3 項関

3-8-3 第三者提供記録の開示（法第 28 条第 5 項、第 1 項～第 3 項関係）

係）
3-8-4 保有個人データの訂正等（法第 29 条関係）

3-8-5 保有個人データの利用停止等（法第 35 条関係）

3-8-5 保有個人データの利用停止等（法第 30 条関係）

3-8-6 理由の説明（法第 36 条関係）

3-8-6 理由の説明（法第 31 条関係）

3-8-7 開示等の請求等に応じる手続（法第 37 条関係）

3-8-7 開示等の請求等に応じる手続（法第 32 条関係）

3-8-8 手数料（法第 38 条関係）

3-8-8 手数料（法第 33 条関係）

3-8-9 裁判上の訴えの事前請求（法第 39 条関係）

3-8-9 裁判上の訴えの事前請求（法第 34 条関係）

3-9 個人情報の取扱いに関する苦情処理（法第 40 条関係）

3-9 個人情報の取扱いに関する苦情処理（法第 35 条関係）

3-10 仮名加工情報取扱事業者等の義務（法第 41 条・第 42 条関係）

3-10 仮名加工情報取扱事業者等の義務（法第 35 条の 2・第 35 条の 3 関

4

3-8-4 保有個人データの訂正等（法第 34 条関係）係）
3-11 匿名加工情報取扱事業者等の義務（法第 43 条～第 46 条関係）

3-11 匿名加工情報取扱事業者等の義務（法第 36 条～第 39 条関係）

4

[略]

4

[同左]

5

適用除外（第 57 条関係）

[新設]

6

適用の特例（法第 58 条・第 123 条関係）

[新設]

7

学術研究機関等の責務（法第 59 条関係）

[新設]

7-1 学術研究機関等の責務（法第 59 条関係）

[新設]

7-2 学術研究機関等による自主規範の策定・公表

[新設]

[削る]
8

5

域外適用（法第 166 条関係）

域外適用及び適用除外（法第 75 条・第 76 条関係）
5-1 域外適用（法第 75 条関係）

[削る]

5-2 適用除外（法第 76 条関係）9

ガイドラインの見直し

6

ガイドラインの見直し

10（別添）講ずべき安全管理措置の内容

7（別添）講ずべき安全管理措置の内容
7-1 基本方針の策定

10-2 個人データの取扱いに係る規律の整備

7-2 個人データの取扱いに係る規律の整備

10-3 組織的安全管理措置

7-3 組織的安全管理措置

10-4 人的安全管理措置

7-4 人的安全管理措置

10-5 物理的安全管理措置

7-5 物理的安全管理措置

10-6 技術的安全管理措置

7-6 技術的安全管理措置

10-7 外的環境の把握

7-7 外的環境の把握

【付録】

【付録】

【凡例】

【凡例】

5

10-1 基本方針の策定「法」

個人情報の保護に関する法律（平成 15 年法律第 57 号）「法」

個人情報の保護に関する法律（平成 15 年法律第 57 号）「政令」

個人情報の保護に関する法律施行令（平成 15 年政令第「政令」

個人情報の保護に関する法律施行令（平成 15 年政令第507 号）

507 号）「規則」

個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第 3 号）

「平成 27 年改正法」

個人情報の保護に関する法律及び行政手続にお「規則」

個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第 3 号）

「平成 27 年改正法」

個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等

ける特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律（平成 27 年に関する法律の一部を改正する法律（平成 27 年

法律第 65 号）「令和 2 年改正法」

法律第 65 号）

個人情報の保護に関する法律等の一部を改正す「令和 2 年改正法」

る法律（令和 2 年法律第 44 号）「令和 3 年改正法」

個人情報の保護に関する法律等の一部を改正する法律（令和 2 年法律第 44 号）

デジタル社会の形成を図るための関係法律の整備に関する法律（令和 3 年法律第 37 号）（第50 条の規定に限る。）※ なお、特に断りのない限り、本ガイドラインにおいて示す個人情報※ なお、特に断りのない限り、本ガイドラインにおいて示す個人情報の保護に関する法律の条番号は、令和 3 年改正法による改正後の条番の保護に関する法律の条番号は、令和 2 年改正法による改正後の条番

号を示すものとする。

号を示すものとする。

その他の法令に係る条文は、本ガイドラインの公表日（令和 3 年

その他の法令に係る条文は、本ガイドラインの公表日（令和 3 年
8 月 2 日）時点の条番号を示すものとする。
6

10 月 29 日）時点の条番号を示すものとする。

1

目的及び適用対象

1

目的及び適用対象

1-1 目的1-1 目的本ガイドラインは、事業者が個人情報の適正な取扱いの確保に関して行

本ガイドラインは、事業者が個人情報の適正な取扱いの確保に関して行う活動を支援すること、及び当該支援により事業者が講ずる措置が適切かう活動を支援すること、及び当該支援により事業者が講ずる措置が適切かつ有効に実施されることを目的として、個人情報の保護に関する法律（平つ有効に実施されることを目的として、個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「法」という。）第 4 条、第 9 条及び第 128 条

成 15 年法律第 57 号。以下「法」という。）第 4 条、第 8 条及び第 60 条にに基づき具体的な指針として定めるものである。

基づき具体的な指針として定めるものである。

なお、法の規定のうち、第 28 条（外国にある第三者への提供の制限）、

なお、法の規定のうち、第 24 条（外国にある第三者への提供の制限）、

第 29 条（第三者提供に係る記録の作成等）及び第 30 条（第三者提供を受 第 25 条（第三者提供に係る記録の作成等）及び第 26 条（第三者提供を受ける際の確認等）、第 4 章第 3 節（仮名加工情報取扱事業者等の義務）（法 ける際の確認等）、第 4 章第 2 節（仮名加工情報取扱事業者等の義務）（法第 2 条第 5 項及び第 16 条第 5 項に定める「仮名加工情報」及び「仮名加工 第 2 条第 9 項及び同第 10 項に定める「仮名加工情報」及び「仮名加工情報
情報取扱事業者」の定義に関する内容を含む。）及び第 4 章第 4 節（匿名 取扱事業者」の定義に関する内容を含む。）及び第 4 章第 3 節（匿名加工
加工情報取扱事業者等の義務）（法第 2 条第 6 項及び第 16 条第 6 項に定め 情報取扱事業者等の義務）（法第 2 条第 11 項及び同第 12 項に定める「匿る「匿名加工情報」及び「匿名加工情報取扱事業者」の定義に関する内容

名加工情報」及び「匿名加工情報取扱事業者」の定義に関する内容を含を含む。）、並びに第 4 章第 5 節（民間団体による個人情報の保護の推進） む。）、並びに第 4 章第 5 節（民間団体による個人情報の保護の推進）にに関する内容については、各々について分かりやすく一体的に示す観点か関する内容については、各々について分かりやすく一体的に示す観点か

ら、別途「個人情報の保護に関する法律についてのガイドライン（外国にら、別途「個人情報の保護に関する法律についてのガイドライン（外国に7ある第三者への提供編）」（平成 28 年個人情報保護委員会告示第 7 号。以 ある第三者への提供編）」（平成 28 年個人情報保護委員会告示第 7 号。以下「外国第三者提供ガイドライン」という。）、「個人情報の保護に関す

下「外国第三者提供ガイドライン」という。）、「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」 る法律についてのガイドライン（第三者提供時の確認・記録義務編）」（平成 28 年個人情報保護委員会告示第 8 号。以下「確認・記録義務ガイド （平成 28 年個人情報保護委員会告示第 8 号。以下「確認・記録義務ガイド
ライン」という。）、「個人情報の保護に関する法律についてのガイドラライン」という。）、「個人情報の保護に関する法律についてのガイドラ

イン（仮名加工情報・匿名加工情報編）」（平成 28 年個人情報保護委員会 イン（仮名加工情報・匿名加工情報編）」（平成 28 年個人情報保護委員会
告示第 9 号。以下「仮名加工情報・匿名加工情報ガイドライン」とい

告示第 9 号。以下「仮名加工情報・匿名加工情報ガイドライン」という。）及び「個人情報の保護に関する法律についてのガイドライン（認定う。）及び「個人情報の保護に関する法律についてのガイドライン（認定

個人情報保護団体編）」（令和 3 年個人情報保護委員会告示第 7 号）にお 個人情報保護団体編）」（令和 3 年個人情報保護委員会告示第七号）においてそれぞれ定めている（※1）。

本ガイドラインの中で、「しなければならない」及び「してはならな

いてそれぞれ定めている（※1）。

本ガイドラインの中で、「しなければならない」及び「してはならな

い」と記述している事項については、これらに従わなかった場合、法違反い」と記述している事項については、これらに従わなかった場合、法違反と判断される可能性がある。

と判断される可能性がある。

一方、「努めなければならない」、「望ましい」等と記述している事項

一方、「努めなければならない」、「望ましい」等と記述している事項

については、これらに従わなかったことをもって直ちに法違反と判断されについては、これらに従わなかったことをもって直ちに法違反と判断されることはないが（4（「勧告」、「命令」、「緊急命令」等についての考え

ることはないが（4（「勧告」、「命令」、「緊急命令」等についての考え方）参照）、「個人情報は、個人の人格尊重の理念の下に慎重に取り扱わ方）参照）、「個人情報は、個人の人格尊重の理念の下に慎重に取り扱われるべきものであることに鑑み、その適正な取扱いが図られなければなられるべきものであることにかんがみ、その適正な取扱いが図られなければない。」とする法の基本理念（法第 3 条）を踏まえ、事業者の特性や規模ならない。」とする法の基本理念（法第 3 条）を踏まえ、事業者の特性やに応じ可能な限り対応することが望まれるものである。もっとも、法の目規模に応じ可能な限り対応することが望まれるものである。もっとも、法的（法第 1 条）の趣旨に照らして、公益上必要な活動や正当な事業活動等 の目的（法第 1 条）の趣旨に照らして、公益上必要な活動や正当な事業活動等までも制限するものではない。
8までも制限するものではない。

[略]

[同左]

なお、認定個人情報保護団体（※3）が個人情報保護指針を作成又は変更

なお、認定個人情報保護団体（※3）が個人情報保護指針を作成又は変更

し、また、事業者団体等が事業の実態及び特性を踏まえ、当該事業者団体

し、また、事業者団体等が事業の実態及び特性を踏まえ、当該事業者団体等の会員企業等を対象とした自主的ルール（事業者団体ガイドライン等）

等の会員企業等を対象とした自主的ルール（事業者団体ガイドライン等）

を作成又は変更することもあり得るが、その場合は、認定個人情報保護団

を作成又は変更することもあり得るが、その場合は、認定個人情報保護団

体の対象事業者や事業者団体等の会員企業等は、個人情報の取扱いに当た体の対象事業者や事業者団体等の会員企業等は、個人情報の取扱いに当た

り、法及び本ガイドラインに加えて、当該指針又はルールに沿った対応をり、法及び本ガイドラインに加えて、当該指針又はルールに沿った対応を行う必要がある。特に、認定個人情報保護団体においては、認定個人情報行う必要がある。特に、認定個人情報保護団体においては、認定個人情報保護団体が対象事業者に対し個人情報保護指針を遵守させるために必要な保護団体が対象事業者に対し個人情報保護指針を遵守させるために必要な措置をとらなければならないこととされていることを踏まえることも重要措置をとらなければならないこととされていることを踏まえることも重要である（法第 54 条第 4 項参照）。

である（法第 53 条第 4 項参照）。

（※1）EU 及び英国域内から十分性認定（EU にあっては GDPR（※2）（※1）EU 及び英国域内から十分性認定（EU にあっては GDPR（※2）

第 45 条に基づき、欧州委員会が、国又は地域等を個人データに第 45 条に基づき、欧州委員会が、国又は地域等を個人データについて十分な保護水準を確保していると認める決定をいい、英ついて十分な保護水準を確保していると認める決定をいい、英国にあってはこれに相当する決定をいう。）により移転を受け国にあってはこれに相当する決定をいう。）により移転を受けた個人データを取り扱う場合には、別途定める「個人情報の保た個人データを取り扱う場合には、別途定める「個人情報の保護に関する法律に係る EU 及び英国域内から十分性認定により移護に関する法律に係る EU 及び英国域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール」を参照

転を受けた個人データの取扱いに関する補完的ルール」を参照

のこと。

のこと。
なお、ここでいう EU とは、個人情報の保護に関する法律施行

我が国と同等の水準にあると認められる個人情報の保護に関す

規則第十一条第一項の外国を定める件（平成 31 年個人情報保護る制度を有している外国等」（平成 31 年個人情報保護委員会告委員会告示第 1 号）に定める国を指す（ただし、英国は含まな

示第 1 号）に定める国を指す（ただし、英国は含まない。）。

い。）。

9

なお、ここでいう EU とは、「個人の権利利益を保護する上で[（※2）・（※3） 略][（※2）・（※3） 同左]

（参考）

（参考）

法第 1 条

法第 1 条

この法律は、デジタル社会の進展に伴い個人情報の利用が著しく拡

この法律は、高度情報通信社会の進展に伴い個人情報の利用が著し大していることに鑑み、個人情報の適正な取扱いに関し、基本理念及く拡大していることに鑑み、個人情報の適正な取扱いに関し、基本理

び政府による基本方針の作成その他の個人情報の保護に関する施策の念及び政府による基本方針の作成その他の個人情報の保護に関する施基本となる事項を定め、国及び地方公共団体の責務等を明らかにし、策の基本となる事項を定め、国及び地方公共団体の責務等を明らかに

個人情報を取り扱う事業者及び行政機関等についてこれらの特性に応するとともに、個人情報を取り扱う事業者の遵守すべき義務等を定めじて遵守すべき義務等を定めるとともに、個人情報保護委員会を設置ることにより、個人情報の適正かつ効果的な活用が新たな産業の創出することにより、行政機関等の事務及び事業の適正かつ円滑な運営を並びに活力ある経済社会及び豊かな国民生活の実現に資するものであ

図り、並びに個人情報の適正かつ効果的な活用が新たな産業の創出並ることその他の個人情報の有用性に配慮しつつ、個人の権利利益を保びに活力ある経済社会及び豊かな国民生活の実現に資するものである

護することを目的とする。

ことその他の個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする。

法第 3 条

法第 3 条
個人情報は、個人の人格尊重の理念の下に慎重に取り扱われるべきものであることに鑑み、その適正な取扱いが図られなければならなものであることにかんがみ、その適正な取扱いが図られなければなら

い。

ない。

法第 4 条

法第 4 条10

個人情報は、個人の人格尊重の理念の下に慎重に取り扱われるべき国は、この法律の趣旨にのっとり、国の機関、独立行政法人等及び国は、この法律の趣旨にのっとり、個人情報の適正な取扱いを確保

事業者等による個人情報の適正な取扱いを確保するために必要な施策するために必要な施策を総合的に策定し、及びこれを実施する責務をを総合的に策定し、及びこれを実施する責務を有する。

有する。

法第 9 条

法第 8 条[略][同左]

法第 47 条

法第 47 条1

1

個人情報取扱事業者、仮名加工情報取扱事業者又は匿名加工情報取扱事業者（以下この章において「個人情報取扱事業者等」という。）

個人情報取扱事業者等（個人関連情報取扱事業者を除く。以下この節において同じ。）の個人情報等（個人関連情報を除く。以下この節

の個人情報、仮名加工情報又は匿名加工情報（以下この章においてにおいて同じ。）の適正な取扱いの確保を目的として次に掲げる業務「個人情報等」という。）の適正な取扱いの確保を目的として次に掲を行おうとする法人（法人でない団体で代表者又は管理人の定めのあげる業務を行おうとする法人（法人でない団体で代表者又は管理人のるものを含む。次条第 3 号ロにおいて同じ。）は、個人情報保護委員

定めのあるものを含む。次条第 3 号ロにおいて同じ。）は、個人情報会の認定を受けることができる。

保護委員会の認定を受けることができる。
業務の対象となる個人情報取扱事業者等（以下この節において業務の対象となる個人情報取扱事業者等（以下「対象事業者」「対象事業者」という。）の個人情報等の取扱いに関する第 53 条という。）の個人情報等の取扱いに関する第 52 条の規定による苦の規定による苦情の処理

情の処理[(2)・(3)
[2～4

(1)

略]

略]

[(2)・(3)
[2～4

同左]

同左]

法第 54 条（第 4 項）

法第 53 条（第 4 項）

[略]

[同左]

法第 128 条

法第 60 条委員会は、行政機関等の事務及び事業の適正かつ円滑な運営を図委員会は、個人情報の適正かつ効果的な活用が新たな産業の創出並り、並びに個人情報の適正かつ効果的な活用が新たな産業の創出並びびに活力ある経済社会及び豊かな国民生活の実現に資するものであるに活力ある経済社会及び豊かな国民生活の実現に資するものであるこことその他の個人情報の有用性に配慮しつつ、個人の権利利益を保護とその他の個人情報の有用性に配慮しつつ、個人の権利利益を保護すするため、個人情報の適正な取扱いの確保を図ること（個人番号利用るため、個人情報の適正な取扱いの確保を図ること（個人番号利用事事務等実施者（行政手続における特定の個人を識別するための番号の務等実施者（行政手続における特定の個人を識別するための番号の利利用等に関する法律（平成 25 年法律第 27 号。以下「番号利用法」と用等に関する法律（平成 25 年法律第 27 号。以下「番号利用法」といいう。）第 12 条に規定する個人番号利用事務等実施者をいう。）に対う。）第 12 条に規定する個人番号利用事務等実施者をいう。）に対すする指導及び助言その他の措置を講ずることを含む。）を任務とす

11

(1)

る指導及び助言その他の措置を講ずることを含む。）を任務とする。

る。

1-2 適用対象

1-2 適用対象

[略]

[同左]

定義

2

定義

2-1 個人情報（法第 2 条第 1 項関係）

2-1 個人情報（法第 2 条第 1 項関係）

法第 2 条（第 1 項）

法第 2 条（第 1 項）

1

1

この法律において「個人情報」とは、生存する個人に関する情報でこの法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。

あって、次の各号のいずれかに該当するものをいう。

(1)

(1)

当該情報に含まれる氏名、生年月日その他の記述等（文書、図当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式そ画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。次の他人の知覚によっては認識することができない方式をいう。次項第 2 号において同じ。）で作られる記録をいう。以下同じ。）

項第 2 号において同じ。）で作られる記録をいう。第 18 条第 2 項に記載され、若しくは記録され、又は音声、動作その他の方法を及び第 28 条第 1 項において同じ。）に記載され、若しくは記録さ用いて表された一切の事項（個人識別符号を除く。）をいう。以れ、又は音声、動作その他の方法を用いて表された一切の事項

下同じ。）により特定の個人を識別することができるもの（他の（個人識別符号を除く。）をいう。以下同じ。）により特定の個情報と容易に照合することができ、それにより特定の個人を識別

人を識別することができるもの（他の情報と容易に照合することすることができることとなるものを含む。）

ができ、それにより特定の個人を識別することができることとな

122

るものを含む。）
[略]

(2)

[略]

[同左]

2-2

2-2

[略]

[同左]

[同左]

2-3 要配慮個人情報（法第 2 条第 3 項関係）

2-3 要配慮個人情報（法第 2 条第 3 項関係）[（関係条文） 略][（関係条文） 同左]「要配慮個人情報」とは、不当な差別や偏見その他の不利益が生じない「要配慮個人情報」とは、不当な差別や偏見その他の不利益が生じない

ようにその取扱いに特に配慮を要するものとして次の（1）から（11）まで

ようにその取扱いに特に配慮を要するものとして次の（1）から（11）までの記述等が含まれる個人情報をいう。

の記述等が含まれる個人情報をいう。

要配慮個人情報の取得や第三者提供には、原則として本人の同意が必要

要配慮個人情報の取得や第三者提供には、原則として本人の同意が必要であり、法第 27 条第 2 項の規定による第三者提供（オプトアウトによる第 であり、法第 23 条第 2 項の規定による第三者提供（オプトアウトによる第三者提供）は認められていないので、注意が必要である（3-3-2（要配慮個三者提供）は認められていないので、注意が必要である（3-3-2（要配慮個

人情報の取得）、3-6-1（第三者提供の制限の原則）、3-6-2（オプトアウ

人情報の取得）、3-6-1（第三者提供の制限の原則）、3-6-2（オプトアウ

トによる第三者提供）参照）。また、要配慮個人情報が含まれる個人デー

トによる第三者提供）参照）。また、要配慮個人情報が含まれる個人デー

タの漏えい等が発生し、又は発生したおそれがある事態が生じた場合にタの漏えい等が発生し、又は発生したおそれがある事態が生じた場合には、個人情報保護委員会に報告しなければならない（3-5-3（個人情報保護

は、個人情報保護委員会に報告しなければならない（3-5-3（個人情報保護

13

(2)

委員会への報告）参照）。
なお、次に掲げる情報を推知させる情報にすぎないもの（例：宗教に関委員会への報告）参照）。
なお、次に掲げる情報を推知させる情報にすぎないもの（例：宗教に関する書籍の購買や貸出しに係る情報等）は、要配慮個人情報には含まな する書籍の購買や貸出しに係る情報等）は、要配慮個人情報には含まない。

い。

[（1)～（11) 略][（1)～（11) 同左]（※）[略]（※）[同左]

2-4 個人情報データベース等（法第 2 条第 4 項関係）

法第 16 条（第 1 項）

法第 2 条（第 4 項）

1

4

14

2-4 個人情報データベース等（法第 16 条第 1 項関係）

この章及び第 8 章において「個人情報データベース等」とは、個人

この法律において「個人情報データベース等」とは、個人情報を含

情報を含む情報の集合物であって、次に掲げるもの（利用方法からみむ情報の集合物であって、次に掲げるもの（利用方法からみて個人のて個人の権利利益を害するおそれが少ないものとして政令で定めるも権利利益を害するおそれが少ないものとして政令で定めるものを除のを除く。）をいう。

く。）をいう。

[(1)・(2)[(1)・(2)略]

政令第 4 条

政令第 3 条

1

1

法第 16 条第 1 項の利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものは、次の各号のいずれにも該当

同左]

法第 2 条第 4 項の利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものは、次の各号のいずれにも該当す

るものとする。

[(1)～(3)[(1)～(3)略]

法第 16 条第 1 項第 2 号の政令で定めるものは、同項に規定する情報2

同左]

法第 2 条第 4 項第 2 号の政令で定めるものは、これに含まれる個人情の集合物に含まれる個人情報を一定の規則に従って整理することによ報を一定の規則に従って整理することにより特定の個人情報を容易にり特定の個人情報を容易に検索することができるように体系的に構成検索することができるように体系的に構成した情報の集合物であっしたものであって、目次、索引その他検索を容易にするためのものをて、目次、索引その他検索を容易にするためのものを有するものをい有するものをいう。

う。

[略]

[同左]

2-5 個人情報取扱事業者（法第 16 条第 2 項・法第 2 条第 9 項、第 10 項、

2-5 個人情報取扱事業者（法第 2 条第 5 項関係）

第 11 項・法別表第 2 関係）法第 16 条（第 2 項）

法第 2 条（第 5 項）

2

5

この章及び第 6 章から第 8 章までにおいて「個人情報取扱事業者」

この法律において「個人情報取扱事業者」とは、個人情報データベとは、個人情報データベース等を事業の用に供している者をいう。たース等を事業の用に供している者をいう。ただし、次に掲げる者を除だし、次に掲げる者を除く。

く。

[(1)・(2)[(1)・(2)(3)

略]

独立行政法人等(3)

同左]

独立行政法人等（独立行政法人等の保有する個人情報の保護に関する法律（平成 15 年法律第 59 号）第 2 条第 1 項に規定する独立行政法人等をいう。以下同じ。）(4)

地方独立行政法人(4)

地方独立行政法人（地方独立行政法人法（平成 15 年法律第 118152するものとする。

号）第 2 条第 1 項に規定する地方独立行政法人をいう。以下同じ。）

法第 2 条（第 9 項）
9

この法律において「独立行政法人等」とは、独立行政法人通則法（平成 11 年法律第 103 号）第 2 条第 1 項に規定する独立行政法人及び別表第 1 に掲げる法人をいう。

法第 2 条（第 10 項）
10

この法律において「地方独立行政法人」とは、地方独立行政法人法（平成 15 年法律第 118 号）第 2 条第 1 項に規定する地方独立行政法人
16

をいう。

法第 2 条（第 11 項）
11

この法律において「行政機関等」とは、次に掲げる機関をいう。
(1)

行政機関

(2)

独立行政法人等（別表第 2 に掲げる法人を除く。第 16 条第 2 項
第 3 号、第 63 条、第 78 条第 7 号イ及びロ、第 89 条第 3 項から第5 項まで、第 117 条第 3 項から第 5 項まで並びに第 123 条第 2 項において同じ。）

法別表第 2
名

称

根

拠 法

沖縄科学技術大学院大学学園

沖縄科学技術大学院大学学園法

国立研究開発法人

独立行政法人通則法

国立大学法人

国立大学法人法

大学共同利用機関法人

国立大学法人法

独立行政法人国立病院機構

独立行政法人国立病院機構法（平成 14年法律第 191 号）
独立行政法人地域医療機能推進機構法進機構（平成 17 年法律第 71 号）

放送大学学園放送大学学園法「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者のうち、国の機関、地方公共団体、法第 2 条第 9 項に規定する している者のうち、国の機関、地方公共団体、独立行政法人等の保有する独立行政法人等（別表第 2 に掲げる法人を除く。）及び法第 2 条第 10 項に 個人情報の保護に関する法律（平成 15 年法律第 59 号）で定める独立行政規定する地方独立行政法人を除いた者をいう。

法人等及び地方独立行政法人法（平成 15 年法律第 118 号）で定める地方独ここでいう「事業の用に供している」の「事業」とは、一定の目的をも 立行政法人を除いた者をいう。
って反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。

ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業とまた、個人情報データベース等を事業の用に供している者であれば、当 認められるものをいい、営利・非営利の別は問わない。
該個人情報データベース等を構成する個人情報によって識別される特定の個人の数の多寡にかかわらず、個人情報取扱事業者に該当する。

また、個人情報データベース等を事業の用に供している者であれば、当該個人情報データベース等を構成する個人情報によって識別される特定のなお、法人格のない、権利能力のない社団（任意団体）又は個人であっ 個人の数の多寡にかかわらず、個人情報取扱事業者に該当する。
ても、個人情報データベース等を事業の用に供している場合は個人情報取扱事業者に該当する。

なお、法人格のない、権利能力のない社団（任意団体）又は個人であっても、個人情報データベース等を事業の用に供している場合は個人情報取17

独立行政法人地域医療機能推扱事業者に該当する。

2-6 個人データ（法第 16 条第 3 項関係）

2-6 個人データ（法第 2 条第 6 項関係）

法第 16 条（第 3 項）

法第 2 条（第 6 項）

3

6

この法律において「個人データ」とは、個人情報データベース等を成する個人情報をいう。

構成する個人情報をいう。

「個人データ」とは、個人情報取扱事業者が管理する「個人情報データ「個人データ」とは、個人情報取扱事業者が管理する「個人情報データ

ベース等」を構成する個人情報をいう。

ベース等」を構成する個人情報をいう。

なお、法第 16 条第 1 項及び政令第 4 条第 1 項に基づき、利用方法からみ

なお、法第 2 条第 4 項及び政令第 3 条第 1 項に基づき、利用方法からみて個人の権利利益を害するおそれが少ないため、個人情報データベース等て個人の権利利益を害するおそれが少ないため、個人情報データベース等

から除かれているもの（例：市販の電話帳・住宅地図等）を構成する個人から除かれているもの（例：市販の電話帳・住宅地図等）を構成する個人

情報は、個人データに該当しない（2-4（個人情報データベース等）参

情報は、個人データに該当しない（2-4（個人情報データベース等）参

照）。

照）。

[【個人データに該当する事例】・【個人データに該当しない事例】 略][【個人データに該当する事例】・【個人データに該当しない事例】
左]2-7 保有個人データ（法第 16 条第 4 項関係）

2-7 保有個人データ（法第 2 条第 7 項関係）

同18

この章において「個人データ」とは、個人情報データベース等を構法第 16 条（第 4 項）

法第 2 条（第 7 項）

4

7

この章において「保有個人データ」とは、個人情報取扱事業者が、この法律において「保有個人データ」とは、個人情報取扱事業者

開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者へのが、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者提供の停止を行うことのできる権限を有する個人データであって、そへの提供の停止を行うことのできる権限を有する個人データであっの存否が明らかになることにより公益その他の利益が害されるものとて、その存否が明らかになることにより公益その他の利益が害される

して政令で定めるもの以外のものをいう。

ものとして政令で定めるもの以外のものをいう。

政令第 4 条

法第 16 条第 4 項の政令で定めるものは、次に掲げるものとする。
[(1) ～(4)略]法第 2 条第 7 項の政令で定めるものは、次に掲げるものとする。
[(1) ～(4)

同左]

[略]

[同左]

2-8 個人関連情報（法第 2 条第 7 項関係）

2-8 個人関連情報（法第 26 条の 2 第 1 項関係）

個人関連情報の定義については、3-7-1-1（個人関連情報）を参照のこと。

（参考）法第 2 条（第 7 項）

法第 26 条の 2（第 1 項）

19

政令第 5 条7

この法律において「個人関連情報」とは、生存する個人に関する情

1（略）個人関連情報（生存する個人に関する情報であって、個人情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをい該当しないものをいう。

う。以下同じ。）（略）

個人関連情報とは、生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。

「個人に関する情報」とは、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報である。「個人に関する情報」のうち、氏名、生年月日その他の記述等により特定の個人を識別すしない。
また、統計情報は、特定の個人との対応関係が排斥されている限りにおいては、「個人に関する情報」に該当するものではないため、個人関連情報にも該当しない。

【個人関連情報に該当する事例（※）】
事例 1）Cookie 等の端末識別子を通じて収集された、ある個人のウェブ
サイトの閲覧履歴
事例 2）メールアドレスに結び付いた、ある個人の年齢・性別・家族構成
等
事例 3）ある個人の商品購買履歴・サービス利用履歴
事例 4）ある個人の位置情報

20

ることができるものは、個人情報に該当するため、個人関連情報には該当

事例 5）ある個人の興味・関心を示す情報（※）個人情報に該当する場合は、個人関連情報に該当しないことになる。例えば、一般的に、ある個人の位置情報それ自体のみ
では個人情報には該当しないものではあるが、個人に関する位
置情報が連続的に蓄積される等して特定の個人を識別することができる場合には、個人情報に該当し、個人関連情報には該当しないことになる。

2-9 個人関連情報取扱事業者（法第 26 条の 2 第 1 項関係）
21

2-9 個人関連情報取扱事業者（法第 16 条第 7 項関係）

個人関連情報取扱事業者の定義については、3-7-1-2（個人関連情報取扱事業者）を参照のこと。

（参考）
法第 16 条（第 7 項）

法第 26 条の 2（第 1 項）

7

1

この章、第 6 章及び第 7 章において「個人関連情報取扱事業者」と個人関連情報取扱事業者（個人関連情報データベース等（個人関連

は、個人関連情報を含む情報の集合物であって、特定の個人関連情報

情報（略）を含む情報の集合物であって、特定の個人関連情報を電子を電子計算機を用いて検索することができるように体系的に構成した計算機を用いて検索することができるように体系的に構成したものそものその他特定の個人関連情報を容易に検索することができるようにの他特定の個人関連情報を容易に検索することができるように体系的

体系的に構成したものとして政令で定めるもの（第 31 条第 1 項においに構成したものとして政令で定めるものをいう。以下この項においてて「個人関連情報データベース等」という。）を事業の用に供してい同じ。）を事業の用に供している者であって、第 2 条第 5 項各号に掲

る者をいう。ただし、第 2 項各号に掲げる者を除く。

政令第 8 条げる者を除いたものをいう。以下同じ。）（略）

政令第 7 条の 2

法第 16 条第 7 項の政令で定めるものは、同項に規定する情報の集合法第 26 条の 2 第 1 項の政令で定めるものは、これに含まれる個人関物に含まれる個人関連情報を一定の規則に従って整理することにより連情報を一定の規則に従って整理することにより特定の個人関連情報

特定の個人関連情報を容易に検索することができるように体系的に構を容易に検索することができるように体系的に構成した情報の集合物成したものであって、目次、索引その他検索を容易にするためのものであって、目次、索引その他検索を容易にするためのものを有するもを有するものをいう。

のをいう。

「個人関連情報取扱事業者」とは、個人関連情報データベース等を事業規定する独立行政法人等（別表第 2 に掲げる法人を除く。）及び法第 2 条
第 10 項に規定する地方独立行政法人を除いた者をいう。

「個人関連情報を含む情報の集合物であって、特定の個人関連情報を電子計算機を用いて検索することができるように体系的に構成したもの」とは、特定の個人関連情報をコンピュータを用いて検索することができるよ
うに体系的に構成した、個人関連情報を含む情報の集合物をいう。また、コンピュータを用いていない場合であっても、紙媒体の個人関連情報を一定の規則に従って整理・分類し、特定の個人関連情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当する。

22の用に供している者のうち、国の機関、地方公共団体、法第 2 条第 9 項に

ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。なお、法人格のない、権利能力のない社団（任意団体）又は個人であっても、個人関連情報
データベース等を事業の用に供している場合は、個人関連情報取扱事業者に該当する。

2-10 仮名加工情報（法第 2 条第 9 項関係）

[略]

[同左]

（参考）

（参考）

法第 2 条（第 5 項）

法第 2 条（第 9 項）

5

9

23

2-10 仮名加工情報（法第 2 条第 5 項関係）

[略]

[同左]

2-11 仮名加工情報取扱事業者（法第 16 条第 5 項関係）

2-11 仮名加工情報取扱事業者（法第 2 条第 10 項関係）

[略]

[同左]

（参考）

（参考）

法第 16 条（第 5 項）

法第 2 条（第 10 項）

この章、第 6 章及び第 7 章において「仮名加工情報取扱事業者」と

10

この法律において「仮名加工情報取扱事業者」とは、仮名加工情報

は、仮名加工情報を含む情報の集合物であって、特定の仮名加工情報

を含む情報の集合物であって、特定の仮名加工情報を電子計算機を用を電子計算機を用いて検索することができるように体系的に構成した

いて検索することができるように体系的に構成したものその他特定のものその他特定の仮名加工情報を容易に検索することができるように

仮名加工情報を容易に検索することができるように体系的に構成した

体系的に構成したものとして政令で定めるもの（第 41 条第 1 項においものとして政令で定めるもの（第 35 条の 2 第 1 項において「仮名加工て「仮名加工情報データベース等」という。）を事業の用に供してい情報データベース等」という。）を事業の用に供している者をいう。

る者をいう。ただし、第 2 項各号に掲げる者を除く。

ただし、第 5 項各号に掲げる者を除く。

政令第 6 条

政令第 5 条

法第 16 条第 5 項の政令で定めるものは、同項に規定する情報の集合法第 2 条第 10 項の政令で定めるものは、これに含まれる仮名加工情物に含まれる仮名加工情報を一定の規則に従って整理することにより報を一定の規則に従って整理することにより特定の仮名加工情報を容特定の仮名加工情報を容易に検索することができるように体系的に構易に検索することができるように体系的に構成した情報の集合物であ成したものであって、目次、索引その他検索を容易にするためのものって、目次、索引その他検索を容易にするためのものを有するものをを有するものをいう。

いう。

2-12 匿名加工情報（法第 2 条第 6 項関係）

2-12 匿名加工情報（法第 2 条第 11 項関係）

[略]

[同左]

（参考）

（参考）

法第 2 条（第 6 項）

法第 2 条（第 11 項）

6

11

[略]

[同左]

24

5

2-13 匿名加工情報取扱事業者（法第 16 条第 6 項関係）

2-13 匿名加工情報取扱事業者（法第 2 条第 12 項関係）

[略]

[同左]

（参考）

（参考）

法第 16 条（第 6 項）

法第 2 条（第 12 項）

612

この法律において「匿名加工情報取扱事業者」とは、匿名加工情報

は、匿名加工情報を含む情報の集合物であって、特定の匿名加工情報

を含む情報の集合物であって、特定の匿名加工情報を電子計算機を用を電子計算機を用いて検索することができるように体系的に構成した

いて検索することができるように体系的に構成したものその他特定のものその他特定の匿名加工情報を容易に検索することができるように

匿名加工情報を容易に検索することができるように体系的に構成した

体系的に構成したものとして政令で定めるもの（第 43 条第 1 項においものとして政令で定めるもの（第 36 条第 1 項において「匿名加工情報て「匿名加工情報データベース等」という。）を事業の用に供していデータベース等」という。）を事業の用に供している者をいう。ただる者をいう。ただし、第 2 項各号に掲げる者を除く。

し、第 5 項各号に掲げる者を除く。

政令第 7 条

政令第 6 条

法第 16 条第 6 項の政令で定めるものは、同項に規定する情報の集合法第 2 条第 12 項の政令で定めるものは、これに含まれる匿名加工情物に含まれる匿名加工情報を一定の規則に従って整理することにより報を一定の規則に従って整理することにより特定の匿名加工情報を容特定の匿名加工情報を容易に検索することができるように体系的に構易に検索することができるように体系的に構成した情報の集合物であ成したものであって、目次、索引その他検索を容易にするためのものって、目次、索引その他検索を容易にするためのものを有するものをを有するものをいう。

いう。

25

この章、第 6 章及び第 7 章において「匿名加工情報取扱事業者」と

2-14 「本人に通知」

2-14 「本人に通知」

法第 21 条（第 1 項）

法第 18 条（第 1 項）

[略]

[同左]

※（参考）上記のほか、「本人に通知」に関する主な条文※（参考）上記のほか、「本人に通知」に関する主な条文①①

法第 21 条第 3 項及び第 4 項（3-1-2（利用目的の変更）、3-3-5

法第 18 条第 3 項及び第 4 項（3-1-2（利用目的の変更）、3-3-5（利用目的の通知等をしなくてよい場合）参照）（利用目的の通知等をしなくてよい場合）参照）

漏えい等に関するもの②

法第 26 条第 2 項（3-5-4（本人への通知）参照）③ 個人データの第三者提供に関するもの

漏えい等に関するもの
法第 22 条の 2 第 2 項（3-5-4（本人への通知）参照）③

個人データの第三者提供に関するもの

法第 27 条第 2 項及び第 3 項、並びに第 5 項第 3 号及び第 6 項（3-

法第 23 条第 2 項及び第 3 項、並びに第 5 項第 3 号及び第 6 項（3-6-2（オプトアウトによる第三者提供）、3-6-3（第三者に該当し6-2（オプトアウトによる第三者提供）、3-6-3（第三者に該当しない場合）参照）ない場合）参照）④ 外国にある第三者への提供における情報提供に関するもの⑤

利用目的に関するもの④

外国にある第三者への提供における情報提供に関するもの

法第 28 条第 3 項並びに規則第 18 条第 4 項及び第 5 項（3-6-4（外法第 24 条第 3 項並びに規則第 11 条の 4 第 4 項及び第 5 項（3-6-

国にある第三者への提供の制限）参照）

4（外国にある第三者への提供の制限）参照）

開示等の請求等に関するもの⑤ 開示等の請求等に関するもの

法第 32 条第 2 項及び第 3 項、法第 33 条第 3 項（同条第 5 項にお法第 27 条第 2 項及び第 3 項、法第 28 条第 3 項（同条第 5 項において準用する場合を含む。）、法第 34 条第 3 項並びに法第 35 条

いて準用する場合を含む。）、法第 29 条第 3 項並びに法第 30 条

26②

利用目的に関するもの

第 7 項（3-8-1（保有個人データに関する事項の公表等）、3-8-2

第 5 項（3-8-1（保有個人データに関する事項の公表等）、3-8-2（保有個人データの開示）、3-8-3（第三者提供記録の開示）、（保有個人データの開示）、3-8-3（第三者提供記録の開示）、

3-8-4（保有個人データの訂正等）、3-8-5（保有個人データの利

3-8-4（保有個人データの訂正等）、3-8-5（保有個人データの利用停止等）参照）用停止等）参照）[同左]

2-15 「公表」

2-15 「公表」

法第 21 条（第 1 項）

法第 18 条（第 1 項）

[略]

[同左]

※（参考）上記のほか、個人情報取扱事業者等による「公表」に関する※（参考）上記のほか、個人情報取扱事業者等による「公表」に関する

主な条文

主な条文

①

①

利用目的に関するもの
法第 21 条第 3 項（3-1-2（利用目的の変更）参照）②

仮名加工情報に関するもの

27

[略]

利用目的に関するもの
法第 18 条第 3 項（3-1-2（利用目的の変更）参照）② 仮名加工情報に関するもの

法第 41 条第 4 項、第 6 項及び法第 42 条第 2 項（3-10（仮名加工法第 35 条の 2 第 4 項、第 6 項及び法第 35 条の 3 第 2 項（3-10

情報取扱事業者等の義務）参照）（仮名加工情報取扱事業者等の義務）参照）③ 匿名加工情報に関するもの③

匿名加工情報に関するもの

法第 43 条第 3 項、第 4 項及び第 6 項、第 44 条、並びに第 46 条

法第 36 条第 3 項、第 4 項及び第 6 項、第 37 条、並びに第 39 条

（3-11（匿名加工情報取扱事業者等の義務）参照）（3-11（匿名加工情報取扱事業者等の義務）参照）

その他

④

その他

法第 57 条第 3 項（5-2（適用除外）参照）

法第 76 条第 3 項（5-2（適用除外）参照）

[略]

[同左]

2-16 「本人の同意」

2-16 「本人の同意」

法第 18 条（第 1 項）

法第 16 条（第 1 項）

[略]

[同左]

※（参考）上記のほか、「本人の同意」に関する主な条文※（参考）上記のほか、「本人の同意」に関する主な条文

①

①

②

利用目的に関するもの
法第 18 条第 2 項及び第 3 項第 2 号から第 4 号まで（3-1-4（事業法第 16 条第 2 項及び第 3 項第 2 号から第 4 号まで（3-1-4（事業の承継）、3-1-5（利用目的による制限の例外）参照）の承継）、3-1-5（利用目的による制限の例外）参照）

要配慮個人情報の取得に関するもの②

法第 20 条第 2 項（3-3-2（要配慮個人情報の取得）参照）③④

利用目的に関するもの

個人データの第三者提供に関するもの

要配慮個人情報の取得に関するもの
法第 17 条第 2 項（3-3-2（要配慮個人情報の取得）参照）③

個人データの第三者提供に関するもの

法第 27 条第 1 項及び第 28 条第 1 項（3-6-1（第三者提供の制限の法第 23 条第 1 項及び第 24 条第 1 項（3-6-1（第三者提供の制限の原則）、3-6-4（外国にある第三者への提供の制限）参照）

原則）、3-6-4（外国にある第三者への提供の制限）参照）

個人関連情報の第三者提供に関するもの④

個人関連情報の第三者提供に関するもの

法第 31 条第 1 項（3-7（個人関連情報の第三者提供の制限等）参法第 26 条の 2 第 1 項（3-7（個人関連情報の第三者提供の制限

照）

等）参照）

28

④

[略]

[同左]

2-17 「提供」

2-17 「提供」

法第 16 条（第 4 項）

法第 2 条（第 7 項）

4

7

この法律において「保有個人データ」とは、個人情報取扱事業者

開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者へのが、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者提供の停止を行うことのできる権限を有する個人データであって、そへの提供の停止を行うことのできる権限を有する個人データであっの存否が明らかになることにより公益その他の利益が害されるものとて、その存否が明らかになることにより公益その他の利益が害される

して政令で定めるもの以外のものをいう。

ものとして政令で定めるもの以外のものをいう。

法第 27 条（第 1 項）

法第 23 条（第 1 項）

1

1

個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本

個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本

人の同意を得ないで、個人データを第三者に提供してはならない。

人の同意を得ないで、個人データを第三者に提供してはならない。

(1)～(7) [略](1)～(4) [同左]※（参考）上記のほか、「提供」に関する主な条文※（参考）上記のほか、「提供」に関する主な条文①①

個人データの第三者提供に関するもの

個人データの第三者提供に関するもの

法第 27 条第 2 項、第 5 項、第 28 条、第 29 条及び第 30 条（3-6-

法第 23 条第 2 項、第 5 項、第 24 条、第 25 条及び第 26 条（3-6-2（オプトアウトによる第三者提供）、3-6-3（第三者に該当しな

2（オプトアウトによる第三者提供）、3-6-3（第三者に該当しない場合）、3-6-4（外国にある第三者への提供の制限）、3-6-5い場合）、3-6-4（外国にある第三者への提供の制限）、3-6-5

29

この章において「保有個人データ」とは、個人情報取扱事業者が、

③

④

⑤

（第三者提供に係る記録の作成等）、3-6-6（第三者提供を受ける際の確認等）参照）

る際の確認等）参照）

個人関連情報の第三者提供に関するもの②

個人関連情報の第三者提供に関するもの

法第 31 条第 1 項（3-7（個人関連情報の第三者提供の制限等）参法第 26 条の 2 第 1 項（3-7（個人関連情報の第三者提供の制限

照）

等）参照）

保有個人データの第三者提供の停止に係る請求に関するもの③

保有個人データの第三者提供の停止に係る請求に関するもの

法第 35 条第 3 項、第 4 項、第 5 項、第 6 項及び第 7 項（3-8-5

法第 30 条第 3 項、第 4 項、第 5 項、第 6 項及び第 7 項（3-8-5（保有個人データの利用停止等）参照）（保有個人データの利用停止等）参照）

仮名加工情報に関するもの④

仮名加工情報に関するもの

法第 41 条第 6 項並びに第 42 条第 1 項及び第 2 項（3-10（仮名加法第 35 条の 2 第 6 項並びに第 35 条の 3 第 1 項及び第 2 項（3-10

工情報取扱事業者等の義務）参照）（仮名加工情報取扱事業者等の義務）参照）

匿名加工情報に関するもの⑤

匿名加工情報に関するもの

法第 43 条第 4 項及び第 44 条（3-11（匿名加工情報取扱事業者等

法第 36 条第 4 項及び第 37 条（3-11（匿名加工情報取扱事業者等の義務）参照）の義務）参照）[略][同左]

2-18 学術研究機関等（法第 16 条第 8 項関係）

[新設]

法第 16 条（第 8 項）
8

この章において「学術研究機関等」とは、大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者をいう。

30②（第三者提供に係る記録の作成等）、3-6-6（第三者提供を受け

「学術研究機関等（※1）」とは、大学その他の学術研究（※2）を目的とする機関若しくは団体又はそれらに属する者をいう。
「大学その他の学術研究を目的とする機関若しくは団体」とは、国立・私立大学、公益法人等の研究所等の学術研究を主たる目的として活動する機関や「学会」をいい、「それらに属する者」とは、国立・私立大学の教員、公益法人等の研究所の研究員、学会の会員等をいう。
なお、民間団体付属の研究機関等における研究活動についても、当該機関が学術研究を主たる目的とするものである場合には、「学術研究機関等」に該当する。
一方で、当該機関が単に製品開発を目的としている場合は「学術研究を31

目的とする機関又は団体」には該当しないが、製品開発と学術研究の目的が併存している場合には、主たる目的により判断する。

（※1）国立の大学等、法別表第 2 に掲げる法人のうち、学術研究機
関等にも該当するものについては、原則として私立の大学、民間の学術研究機関等と同等の規律が適用される。
（※2）「学術研究」については、2－19（学術研究目的）を参照のこと。

2-19 「学術研究目的」[新設]

法第 18 条（第 3 項第 5 号）
(5)

当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下この章において「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含
み 、 個 人の 権 利利 益 を不 当 に 侵害 す るお そ れが あ る 場合 を除く。）。

※（参考）上記のほか、「学術研究目的」に関する主な条文① 利用目的変更の制限の例外に関するもの照）② 要配慮個人情報の取得の制限の例外に関するもの
法第 20 条第 2 項第 5 号及び第 6 号（3-3-2（要配慮個人情報の取得）参照）③

個人データの第三者提供の制限の例外に関するもの
法第 27 条第 1 項第 6 号及び第 7 号（3-6-1（第三者提供の制限の原則）参照）④

学術研究機関等の責務に関するもの
法第 59 条（7（学術研究機関等の責務）参照）「学術」とは、人文・社会科学及び自然科学並びにそれらの応用の研究であり、あらゆる学問分野における研究活動及びその所産としての知識・

32

法第 18 条第 3 項第 6 号（3-1-5（利用目的による制限の例外）参方法の体系をいい、具体的活動としての「学術研究」としては、新しい法
則や原理の発見、分析や方法論の確立、新しい知識やその応用法の体系化、先端的な学問領域の開拓などをいう。
なお、製品開発を目的として個人情報を取り扱う場合は、当該活動は、学術研究目的とは解されない。

※「学術研究機関等」については、2-18（学術研究機関等）を参照のこと。

個人情報取扱事業者等の義務

3

個人情報取扱事業者等の義務
33

33-1 個人情報の利用目的（法第 17 条・第 18 条、第 21 条第 3 項関係）

3-1 個人情報の利用目的（法第 15 条・第 16 条、第 18 条第 3 項関係）

3-1-1 利用目的の特定（法第 17 条第 1 項関係）

3-1-1 利用目的の特定（法第 15 条第 1 項関係）

法第 17 条（第 1 項）

法第 15 条（第 1 項）

[略]

[同左]

[略]

[同左]

3-1-2 利用目的の変更（法第 15 条第 2 項、第 18 条第 3 項関係）

法第 17 条（第 2 項）

法第 15 条（第 2 項）

[略]

[同左]

法第 21 条（第 3 項）

法第 18 条（第 3 項）

[略]

[同左]

上記 3-1-1（利用目的の特定）により特定した利用目的は、変更前の利用

上記 3-1-1（利用目的の特定）により特定した利用目的は、変更前の利用

目的と関連性を有すると合理的に認められる範囲、すなわち、変更後の利目的と関連性を有すると合理的に認められる範囲、すなわち、変更後の利用目的が変更前の利用目的からみて、社会通念上、本人が通常予期し得る用目的が変更前の利用目的からみて、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内（※1）で変更することは可能である。変限度と客観的に認められる範囲内（※1）で変更することは可能である。変更された利用目的は、本人に通知（※2）するか、又は公表（※3）しなけ

更された利用目的は、本人に通知（※2）するか、又は公表（※3）しなけ

ればならない。

ればならない。

なお、特定された利用目的（法第 17 条第 2 項に定める範囲で変更された

なお、特定された利用目的（法第 15 条第 2 項に定める範囲で変更された

利用目的を含む。）の達成に必要な範囲を超えて個人情報を取り扱う場合

利用目的を含む。）の達成に必要な範囲を超えて個人情報を取り扱う場合

は、法第 18 条第 1 項に従って本人の同意を得なければならない。ただし、 は、法第 16 条第 1 項に従って本人の同意を得なければならない。ただし、本人の身体等の保護のために必要があり、かつ本人の同意を得ることが困

本人の身体等の保護のために必要があり、かつ本人の同意を得ることが困難である場合等、法第 18 条第 3 項各号に掲げる場合には、あらかじめ本人 難である場合等、法第 16 条第 3 項各号に掲げる場合には、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えの同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱うことができる（3-1-5（利用目的による制限の例て、個人情報を取り扱うことができる（3-1-5（利用目的による制限の例外）参照）。

外）参照）。

34

3-1-2 利用目的の変更（法第 17 条第 2 項、第 21 条第 3 項関係）

[（※1）～（※3）同左]

3-1-3 利用目的による制限（法第 18 条第 1 項関係）

3-1-3 利用目的による制限（法第 16 条第 1 項関係）

法第 18 条（第 1 項）

法第 16 条（第 1 項）

[略]

[同左]

個人情報取扱事業者は、法第 17 条第 1 項により特定した利用目的の達成

個人情報取扱事業者は、法第 15 条第 1 項により特定した利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合は、あらかじめ本人の同に必要な範囲を超えて、個人情報を取り扱う場合は、あらかじめ本人の同意（※）を得なければならない。

意（※）を得なければならない。

ただし、当該同意を得るために個人情報を利用すること（メールの送信

ただし、当該同意を得るために個人情報を利用すること（メールの送信や電話をかけること等）は、当初特定した利用目的として記載されていなや電話をかけること等）は、当初特定した利用目的として記載されていない場合でも、目的外利用には該当しない。

い場合でも、目的外利用には該当しない。

なお、令和 3 年改正法の施行日前に別表第二法人等（法別表第 2 に掲げる法人、法第 58 条第 2 項の規定により個人情報取扱事業者、仮名加工情報取扱事業者若しくは個人関連情報取扱事業者とみなされる独立行政法人労働者健康安全機構又は学術研究機関等である個人情報取扱事業者をいう。
以下同じ。）に対しされた本人の個人情報の取扱いに関する同意がある場
合において、その同意が法第 17 条第 1 項の規定により特定される利用目的
以外の目的で個人情報を取り扱うことを認める旨の同意に相当するものであるときは、令和 3 年改正法の施行日において法第 18 条第 1 項の同意があ35[（※1）～（※3）略]ったものとみなす（令和 3 年改正法附則第 7 条第 1 項）。

（※）[略]（※）[同左]3-1-4 事業の承継（法第 16 条第 2 項関係）

法第 18 条（第 2 項）

法第 16 条（第 2 項）

[略]

[同左]

[略]

[同左]
36

3-1-4 事業の承継（法第 18 条第 2 項関係）

なお、令和 3 年改正法の施行日前に別表第二法人等（3-1-3（利用目的による制限）参照）に対しされた本人の個人情報の取扱いに関する同意がある場合において、その同意が法第 17 条第 1 項の規定により特定される利用目的以外の目的で個人情報を取り扱うことを認める旨の同意に相当するものであるときは、令和 3 年改正法の施行日において法第 18 条第 2 項の同意があったものとみなす（令和 3 年改正法附則第 7 条第 1 項）。

（※）[略]（※）[同左]

3-1-5 利用目的による制限の例外（法第 18 条第 3 項関係）

3-1-5 利用目的による制限の例外（法第 16 条第 3 項関係）

法第 18 条（第 3 項）

法第 16 条（第 3 項）

3

3

前二項の規定は、次に掲げる場合については、適用しない。
[(1)～(4)(5)

略]

前二項の規定は、次に掲げる場合については、適用しない。
[(1)～(4)

同左]

当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下この章において「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含
み 、 個 人の 権 利利 益 を不 当 に 侵害 す るお そ れが あ る 場合 を除く。）。
学術研究機関等に個人データを提供する場合であって、当該学

37

(6)

術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

次に掲げる場合については、法第 18 条第 1 項及び第 2 項において、特定次に掲げる場合については、法第 16 条第 1 項及び第 2 項において、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うに当たりされた利用目的の達成に必要な範囲を超えて個人情報を取り扱うに当たり

本人の同意（※）を得ることが求められる場合であっても、当該同意は不本人の同意（※）を得ることが求められる場合であっても、当該同意は不

要である。

要である。

（※）[略]（※）[同左]（1）法令に基づく場合（法第 18 条第 3 項第 1 号関係）

（1）法令に基づく場合（法第 16 条第 3 項第 1 号関係）

法令に基づく場合は、法第 18 条第 1 項又は第 2 項の適用を受けず、あら法令に基づく場合は、法第 16 条第 1 項又は第 2 項の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範かじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。

囲を超えて個人情報を取り扱うことができる。

[事例 1）～事例 7）略][事例 1）～事例 7）同左]（2）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（法第 18 条第 3 項第 2 号関係）

人の同意を得ることが困難であるとき（法第 16 条第 3 項第 2 号関係）

人（法人を含む。）の生命、身体又は財産といった具体的な権利利益の人（法人を含む。）の生命、身体又は財産といった具体的な権利利益の保護が必要であり、かつ、本人の同意を得ることが困難である場合は、法保護が必要であり、かつ、本人の同意を得ることが困難である場合は、法38（2）人の生命、身体又は財産の保護のために必要がある場合であって、本第 18 条第 1 項又は第 2 項の適用を受けず、あらかじめ本人の同意を得るこ 第 16 条第 1 項又は第 2 項の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取りとなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。

扱うことができる。

[事例 1）～事例 6）略][事例 1）～事例 6）同左]（3）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある（3）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（法第 18 条第場合であって、本人の同意を得ることが困難であるとき（法第 16 条第3 項第 3 号関係）

3 項第 3 号関係）

公衆衛生の向上又は心身の発達途上にある児童の健全な育成のために特公衆衛生の向上又は心身の発達途上にある児童の健全な育成のために特に必要があり、かつ、本人の同意を得ることが困難である場合は、法第 18に必要があり、かつ、本人の同意を得ることが困難である場合は、法第 16条第 1 項又は第 2 項の適用を受けず、あらかじめ本人の同意を得ることな 条第 1 項又は第 2 項の適用を受けず、あらかじめ本人の同意を得ることな
く、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱う

く、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。

ことができる。

事例 1）健康保険組合等の保険者等が実施する健康診断の結果等に係る情事例 1）健康保険組合等の保険者等が実施する健康診断の結果等に係る情報を、健康増進施策の立案、保健事業の効果の向上、疫学調査等に報を、健康増進施策の立案、保健事業の効果の向上、疫学調査等に利用する場合利用する場合（なお、法第 76 条第 1 項第 3 号に該当する場合は、第[事例 2）・事例 3）略][事例 2）・事例 3）同左]（4）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定め（4）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して、事業者が協力する必要がある場合でる事務を遂行することに対して、事業者が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすあって、本人の同意を得ることにより当該事務の遂行に支障を及ぼす

おそれがあるとき（法第 18 条第 3 項第 4 号関係）

おそれがあるとき（法第 16 条第 3 項第 4 号関係）

国の機関等（地方公共団体又はその委託を受けた者を含む。）が法令の国の機関等（地方公共団体又はその委託を受けた者を含む。）が法令の定める事務を実施する上で、民間企業等の協力を得る必要があり、かつ、定める事務を実施する上で、民間企業等の協力を得る必要があり、かつ、

本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがあると認

本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがあると認められる場合は、当該民間企業等は、法第 18 条第 1 項又は第 2 項の適用を められる場合は、当該民間企業等は、法第 16 条第 1 項又は第 2 項の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達

受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達39

4 章の各規定は適用されない。）

成に必要な範囲を超えて個人情報を取り扱うことができる。

[事例 1）～事例 3）略]成に必要な範囲を超えて個人情報を取り扱うことができる。

[事例 1）～事例 3）同左]（5）当該個人情報取扱事業者が学術研究機関等である場合であって、当該 [新設]
個人情報を学術研究の用に供する目的（以下この章において「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（法第 18 条第 3 項第 5 号

学術研究機関等（※1）が個人情報を学術研究目的（※2）で取り扱う必要がある場合（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含む。）であって、個人の権利利益を不当に侵害するおそれがない
場合は、当該学術研究機関等は、法第 18 条第 1 項又は第 2 項（利用目的による制限）の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる（※3）。

（※1）「学術研究機関等」については、2-18（学術研究機関等）を参照のこと。
（※2）「学術研究目的」については、2-19（学術研究目的）を参照
のこと。

40

関係）

（※3）「個人の権利利益を不当に侵害するおそれがある場合」には、個人情報の目的外利用をすることはできない。この場合、個人の権利利益を不当に侵害しないような措置を講ずるなど適切に処理する必要がある。この点、学術研究目的で個人情報を取り扱う必要があって、目的外利用をする場合であっても、本人又は第三者の権利利益の保護の観点から、特定の個人を識別することができないよう個人情報を加工するなど、学術研究の目的に照らして可能な措置を講ずることが望ましい。

（6）学術研究機関等に個人データを提供する場合であって、当該学術研究[新設]（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（法第 18 条第 3 項第 6 号関係）

個人情報取扱事業者が、学術研究機関等（※1）に個人データを提供し、かつ、当該学術研究機関等が当該個人データを学術研究目的（※2）で取り扱う必要がある場合（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く（※3）。）は、法第 18 条第 1 項又は第 2 項（利用目的による制限）の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。

41

機関等が当該個人データを学術研究目的で取り扱う必要があるとき

（※1）「学術研究機関等」については、2-18（学術研究機関等）を参照のこと。
（※2）「学術研究目的」については、2-19（学術研究目的）を参照のこと。
（※3）「個人の権利利益を不当に侵害するおそれがある場合」には、学術研究機関等に個人情報を提供することはできない。この場合、個人の権利利益を不当に侵害しないような措置を講ずるなど適切に処理する必要がある。この点、学術研究目的で個人データを取り扱う必要があって、学術研究機関等に個人デー
タを提供する場合であっても、提供する個人データの範囲を限定するなど、学術研究の目的に照らして可能な措置を講ずるこ42とが望ましい。

3-2 不適正利用の禁止（法第 19 条関係）

3-2 不適正利用の禁止（法第 16 条の 2 関係）法第 19 条

法第 16 条の 2

[略]

[略]

[同左]

[同左]

【個人情報取扱事業者が違法又は不当な行為を助長し、又は誘発するおそ【個人情報取扱事業者が違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例】

れがある方法により個人情報を利用している事例】

[事例 1）～事例 3）略][事例 1）～事例 3）同左]

事例 4）個人情報を提供した場合、提供先において法第 27 条第 1 項に違事例 4）個人情報を提供した場合、提供先において法第 23 条第 1 項に違反する第三者提供がなされることを予見できるにもかかわらず、当反する第三者提供がなされることを予見できるにもかかわらず、当該提供先に対して、個人情報を提供する場合

該提供先に対して、個人情報を提供する場合[（※1）・（※2）略][事例 5）・事例 6）同左][（※1）・（※2）同左]

3-3 個人情報の取得（法第 20 条・第 21 条関係）

3-3 個人情報の取得（法第 17 条・第 18 条関係）

3-3-1 適正取得（法第 20 条第 1 項関係）

3-3-1 適正取得（法第 17 条第 1 項関係）

法第 20 条（第 1 項）

法第 17 条（第 1 項）

[略]

[同左]

[略]

[同左]

【個人情報取扱事業者が不正の手段により個人情報を取得している事例】【個人情報取扱事業者が不正の手段により個人情報を取得している事例】

事例 1）[略]事例 1）[同左]

事例 2）法第 27 条第 1 項に規定する第三者提供制限違反をするよう強要

事例 2）法第 23 条第 1 項に規定する第三者提供制限違反をするよう強要

して個人情報を取得する場合[事例 3）・事例 4）略]

して個人情報を取得する場合[事例 3）・事例 4）同左]

43[事例 5）・事例 6）略]事例 5）法第 27 条第 1 項に規定する第三者提供制限違反がされようとし事例 5）法第 23 条第 1 項に規定する第三者提供制限違反がされようとしていることを知り、又は容易に知ることができるにもかかわらず、ていることを知り、又は容易に知ることができるにもかかわらず、

個人情報を取得する場合

個人情報を取得する場合
事例 6）[同左]（※1）[略]（※1）[同左]（※2）個人情報取扱事業者若しくはその従業者又はこれらであった（※2）個人情報取扱事業者若しくはその従業者又はこれらであった者が、その業務に関して取り扱った個人情報データベース等者が、その業務に関して取り扱った個人情報データベース等（その全部又は一部を複製し、又は加工したものを含む。）を（その全部又は一部を複製し、又は加工したものを含む。）を

自己若しくは第三者の不正な利益を図る目的で提供し、又は盗自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、法第 174 条により刑事罰（1 年以下の懲役又は 50

用したときは、法第 84 条により刑事罰（1 年以下の懲役又は 50万円以下の罰金）が科され得る。

万円以下の罰金）が科され得る。

3-3-2 要配慮個人情報の取得（法第 20 条第 2 項関係）

3-3-2 要配慮個人情報の取得（法第 17 条第 2 項関係）

法第 20 条（第 2 項）

法第 17 条（第 2 項）

2

2

個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本

個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本

人の同意を得ないで、要配慮個人情報を取得してはならない。

人の同意を得ないで、要配慮個人情報を取得してはならない。

[(1)～(4)[(1)～(4)(5)

略]

当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的で

同左]

44

事例 6）[略]ある場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
(6)

学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。）。
当該要配慮個人情報が、本人、国の機関、地方公共団体、学術(5)

当該要配慮個人情報が、本人、国の機関、地方公共団体、第 76

研究機関等、第 57 条第 1 項各号に掲げる者その他個人情報保護委

条第 1 項各号に掲げる者その他個人情報保護委員会規則で定める員会規則で定める者により公開されている場合

者により公開されている場合(8)

その他前各号に掲げる場合に準ずるものとして政令で定める場(6)

合その他前各号に掲げる場合に準ずるものとして政令で定める場
合規則第 6 条
法第 20 条第 2 項第 7 号の個人情報保護委員会規則で定める者は、次

規則第 6 条
法第 17 条第 2 項第 5 号の個人情報保護委員会規則で定める者は、次の各号のいずれかに該当する者とする。

の各号のいずれかに該当する者とする。

(1)

[略]

(1)

[同左]

(2)

外国において法第 16 条第 8 項に規定する学術研究機関等に相当(2)

外国において法第 76 条第 1 項各号に掲げる者に相当する者

する者
(3)

外国において法第 57 条第 1 項各号に掲げる者に相当する者

政令第 9 条

政令第 7 条45(7)

法第 20 条第 2 項第 8 号の政令で定める場合は、次に掲げる場合とする。

法第 17 条第 2 項第 6 号の政令で定める場合は、次に掲げる場合とす
る。

(1)

[略]

(1)

[同左]

(2)

法第 27 条第 5 項各号（法第 41 条第 6 項の規定により読み替えて(2)

法第 23 条第 5 項各号（法第 35 条の 2 第 6 項の規定により読み替適用する場合及び法第 42 条第 2 項において読み替えて準用する場

えて適用する場合及び法第 35 条の 3 第 2 項において読み替えて準合を含む。）に掲げる場合において、個人データである要配慮個用する場合を含む。）に掲げる場合において、個人データである

人情報の提供を受けるとき。

要配慮個人情報の提供を受けるとき。

要配慮個人情報（※1）を取得する場合には、あらかじめ本人の同意（※

要配慮個人情報（※1）を取得する場合には、あらかじめ本人の同意（※

2）を得なければならない。ただし、次の（1）から（9）までに掲げる場合 2）を得なければならない。ただし、次の（1）から（7）までに掲げる場合については、本人の同意を得る必要はない。
46

については、本人の同意を得る必要はない。

（※1）「要配慮個人情報」については、2-3（要配慮個人情報）を[新設]

参照のこと。なお、要配慮個人情報の第三者提供には、原則として本人の同意が必要であり、オプトアウトによる第三者提供は認められていないので、注意が必要である（3-6-1（第三者提供の制限の原則）、3-6-2（オプトアウトによる第三者提供）参照）。
（※2）「本人の同意」については、2-16（本人の同意）を参照のこと。なお、個人情報取扱事業者が要配慮個人情報を書面又は口頭等により本人から適正に直接取得する場合は、本人が当該情報を提供したことをもって、当該個人情報取扱事業者が当該情報を取得することについて本人の同意があったものと解され

[新設]

る。
また、個人情報取扱事業者が要配慮個人情報を第三者提供の方法により取得した場合、提供元が法第 20 条第 2 項及び法第 27
条第 1 項に基づいて本人から必要な同意（要配慮個人情報の取得及び第三者提供に関する同意）を取得していることが前提となるため、提供を受けた当該個人情報取扱事業者が、改めて本人から法第 20 条第 2 項に基づく同意を得る必要はないものと解
される。

[略]

（1）法令に基づく場合（法第 17 条第 2 項第 1 号関係）

[同左]（2）人の生命、身体又は財産の保護のために必要がある場合であって、本（2）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（法第 20 条第 2 項第 2 号関係）

人の同意を得ることが困難であるとき（法第 17 条第 2 項第 2 号関係）

[略]

[同左]

（3）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある（3）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（法第 20 条第場合であって、本人の同意を得ることが困難であるとき（法第 17 条第2 項第 3 号関係）

2 項第 3 号関係）

[略]

[同左]

47

（1）法令に基づく場合（法第 20 条第 2 項第 1 号関係）

事例 1）健康保険組合等の保険者等が実施する健康診断等の結果判明した

事例 1）健康保険組合等の保険者等が実施する健康診断等の結果判明した

病名等について、健康増進施策の立案や保健事業の効果の向上を目

病名等について、健康増進施策の立案や保健事業の効果の向上を目的として疫学調査等のために提供を受けて取得する場合

的として疫学調査等のために提供を受けて取得する場合（なお、法第 76 条第 1 項第 3 号に該当する場合は、第 4 章の各規定は適用されない。）[事例 2）・事例 3）同左]（4）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定め（4）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して、事業者が協力する必要がある場合でる事務を遂行することに対して、事業者が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすあって、本人の同意を得ることにより当該事務の遂行に支障を及ぼす

おそれがあるとき（法第 20 条第 2 項第 4 号関係）

おそれがあるとき（法第 17 条第 2 項第 4 号関係）

[略]（5）当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（法第20 条第 2 項第 5 号）

学術研究機関等（※1）が要配慮個人情報を学術研究目的（※2）で取り扱う必要がある場合（当該要配慮個人情報を取り扱う目的の一部が学術研

[同左]

[新設]

48

[事例 2）・事例 3）略]究目的である場合を含む。）であって、個人の権利利益を不当に侵害する
おそれがない場合は、当該学術研究機関等は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる（※3）。

（※1）「学術研究機関等」については、2-18（学術研究機関等）を参照のこと。
（※2）「学術研究目的」については、2-19（学術研究目的）を参照のこと。
（※3）「個人の権利利益を不当に侵害するおそれがある場合」には、要配慮個人情報を取得することはできない。この場合、個人の権利利益を不当に侵害しないような措置を講ずるなど適切49に処理する必要がある。この点、学術研究目的で要配慮個人情報を取り扱う必要がある場合であっても、本人又は第三者の権
利利益の保護の観点から、取得する要配慮個人情報の範囲を限定するなど、学術研究の目的に照らして可能な措置を講ずることが望ましい。

（6）学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含
み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。）（法第 20 条第 2 項第 6 号関係）

[新設]

個人情報取扱事業者が要配慮個人情報を学術研究目的（※1）で取得する必要があり、かつ、当該個人情報取扱事業者と共同して学術研究を行う学
術研究機関等（※2）から当該要配慮個人情報を取得する場合（当該要配慮
個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く（※3）。）は、あらか
じめ本人の同意を得ることなく、要配慮個人情報を取得することができる。

（※1）「学術研究目的」については、2-19（学術研究目的）を参照のこと。
50（※2）「学術研究機関等」については、2-18（学術研究機関等）を参照のこと。
（※3）「個人の権利利益を不当に侵害するおそれがある場合」には、要配慮個人情報を取得することはできない。この場合、個人の権利利益を不当に侵害しないような措置を講ずるなど適切に処理する必要がある。この点、学術研究目的で要配慮個人情報を取得する必要があって、学術研究機関等と共同して学術研究を行う場合であっても、本人又は第三者の権利利益の保護の観点から、取得する個人データの範囲を限定するなど、学術研究の目的に照らして可能な措置を講ずることが望ましい。

（7）当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機（5）当該要配慮個人情報が、本人、国の機関、地方公共団体、法第 76 条

関等、法第 57 条第 1 項各号に掲げる者その他個人情報保護委員会規則

第 1 項各号に掲げる者その他個人情報保護委員会規則で定める者によで定める者により公開されている場合（法第 20 条第 2 項第 7 号、規則

り公開されている場合（法第 17 条第 2 項第 5 号、規則第 6 条関係）

第 6 条関係）[同左][①～③ 略][①～③ 同左]④学術研究機関等[新設]⑤放送機関・新聞社・通信社その他の報道機関（報道を業として行う④放送機関・新聞社・通信社その他の報道機関（報道を業として行う個人を含む。）

個人を含む。）⑥著述を業として行う者➄著述を業として行う者[削る]⑥大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者[⑦～⑩ 略][⑦～⑩ 同左]（8）本人を目視し、又は撮影することにより、その外形上明らかな要配慮（6）本人を目視し、又は撮影することにより、その外形上明らかな要配慮

個人情報を取得する場合（法第 20 条第 2 項第 8 号、政令第 9 条第 1 号

個人情報を取得する場合（法第 17 条第 2 項第 6 号、政令第 7 条第 1 号

関係）

関係）

[略]

[同左]

（9）法第 27 条第 5 項各号（法第 41 条第 6 項の規定により読み替えて適用 （7）法第 23 条第 5 項各号（法第 35 条の 2 第 6 項の規定により読み替えてする場合及び法第 42 条第 2 項において読み替えて準用する場合を含適用する場合及び法第 35 条の 3 第 2 項において読み替えて準用する場

51

[略]

む。）に掲げる場合において、個人データである要配慮個人情報の提合を含む。）に掲げる場合において、個人データである要配慮個人情供を受けるとき（法第 20 条第 2 項第 8 号、政令第 9 条第 2 号関係）報の提供を受けるとき（法第 17 条第 2 項第 6 号、政令第 7 条第 2 号関係）

要配慮個人情報を、法第 27 条第 5 項各号（法第 41 条第 6 項の規定によ

要配慮個人情報を、法第 23 条第 5 項各号（法第 35 条の 2 第 6 項の規定る場合を含む。）に定める委託、事業承継又は共同利用により取得する場て準用する場合を含む。）に定める委託、事業承継又は共同利用により取合は、あらかじめ本人の同意を得る必要はない。

得する場合は、あらかじめ本人の同意を得る必要はない。

【法第 20 条第 2 項に違反している事例】【法第 17 条第 2 項に違反している事例】

本人の同意を得ることなく、法第 20 条第 2 項第 7 号及び規則第 6 条で定本人の同意を得ることなく、法第 17 条第 2 項第 5 号及び規則第 6 条で定める者以外がインターネット上で公開している情報から本人の信条や犯罪

める者以外がインターネット上で公開している情報から本人の信条や犯罪歴等に関する情報を取得し、既に保有している当該本人に関する情報の一歴等に関する情報を取得し、既に保有している当該本人に関する情報の一部として自己のデータベース等に登録すること。

部として自己のデータベース等に登録すること。

[削る]（※1）「要配慮個人情報」については、2-3（要配慮個人情報）を参照のこと。なお、要配慮個人情報の第三者提供には、原則として本人の同意が必要であり、オプトアウトによる第三者提供は認められていないので、注意が必要である（3-6-1（第三者提供の制限の原則）、3-6-2（オプトアウトによる第三者提供）参
照）。

[削る]

（※2）「本人の同意」については、2-16（本人の同意）を参照のこと。なお、個人情報取扱事業者が要配慮個人情報を書面又は口52

り読み替えて適用する場合及び法第 42 条第 2 項において読み替えて準用す により読み替えて適用する場合及び法第 35 条の 3 第 2 項において読み替え頭等により本人から適正に直接取得する場合は、本人が当該情報を提供したことをもって、当該個人情報取扱事業者が当該情報を取得することについて本人の同意があったものと解される。
また、個人情報取扱事業者が要配慮個人情報を第三者提供の方法により取得した場合、提供元が法第 17 条第 2 項及び法第 23条第 1 項に基づいて本人から必要な同意（要配慮個人情報の取得及び第三者提供に関する同意）を取得していることが前提となるため、提供を受けた当該個人情報取扱事業者が、改めて本人から法第 17 条第 2 項に基づく同意を得る必要はないものと解

53

される。

3-3-3 利用目的の通知又は公表（法第 21 条第 1 項関係）

3-3-3 利用目的の通知又は公表（法第 18 条第 1 項関係）

法第 21 条（第 1 項）

法第 18 条（第 1 項）

[略]

[同左]

[略]

[同左]

3-3-4 直接書面等による取得（法第 21 条第 2 項関係）

3-3-4 直接書面等による取得（法第 18 条第 2 項関係）

法第 18 条（第 2 項）

[略]

[同左]

個人情報取扱事業者は、契約書や懸賞応募はがき等の書面等による記

個人情報取扱事業者は、契約書や懸賞応募はがき等の書面等による記載、ユーザー入力画面への打ち込み等の電磁的記録により、直接本人から載、ユーザー入力画面への打ち込み等の電磁的記録により、直接本人から個人情報を取得する場合には、あらかじめ、本人に対し、その利用目的を

個人情報を取得する場合には、あらかじめ、本人に対し、その利用目的を明示（※）しなければならない。

明示（※）しなければならない。

なお、名刺などは、一般の慣行として、自身の個人情報を、本人の自発

なお、名刺などは、一般の慣行として、自身の個人情報を、本人の自発的な意思で、任意の簡便な形式により相手に提供するものであり、申込的な意思で、任意の簡便な形式により相手に提供するものであり、申込書、アンケート調査票、懸賞応募はがき等のように、個人情報取扱事業者

書、アンケート調査票、懸賞応募はがき等のように、個人情報取扱事業者

が一定の書式や様式を準備した上で、本人が当該事業者の求めに沿う形でが一定の書式や様式を準備した上で、本人が当該事業者の求めに沿う形で個人情報を提供する場合とは異なることから、本項の義務を課するもので個人情報を提供する場合とは異なることから、本項の義務を課するものではないが、その場合は法第 21 条第 1 項に基づいて、あらかじめ利用目的を はないが、その場合は法第 18 条第 1 項に基づいて、あらかじめ利用目的を公表するか、取得後速やかに、その利用目的を、本人に通知するか、又は公表するか、取得後速やかに、その利用目的を、本人に通知するか、又は公表しなければならない（ただし、3-3-5（利用目的の通知等をしなくてよ 公表しなければならない（ただし、3-3-5（利用目的の通知等をしなくてよい場合）参照）。口頭により個人情報を取得する場合についても同様であい場合）参照）。口頭により個人情報を取得する場合についても同様である。

る。

また、人（法人を含む。）の生命、身体又は財産の保護のために緊急にまた、人（法人を含む。）の生命、身体又は財産の保護のために緊急に必要がある場合は、あらかじめ、本人に対し、その利用目的を明示する必必要がある場合は、あらかじめ、本人に対し、その利用目的を明示する必要はないが、その場合は法第 21 条第 1 項に基づいて、取得後速やかにその 要はないが、その場合は法第 18 条第 1 項に基づいて、取得後速やかにその利用目的を、本人に通知し、又は公表しなければならない（3-3-3（利用目

利用目的を、本人に通知し、又は公表しなければならない（3-3-3（利用目的の通知又は公表）参照）。

的の通知又は公表）参照）。

54

法第 21 条（第 2 項）

[【あらかじめ、本人に対し、その利用目的を明示しなければならない事[【あらかじめ、本人に対し、その利用目的を明示しなければならない事

例】・【利用目的の明示に該当する事例】 略]

例】・【利用目的の明示に該当する事例】 同左]（※）[同左]3-3-5 利用目的の通知等をしなくてよい場合（法第 21 条第 4 項関係）

3-3-5 利用目的の通知等をしなくてよい場合（法第 18 条第 4 項関係）

法第 21 条（第 4 項）

法第 18 条（第 4 項）

[略]

[同左]

次に掲げる場合については、法第 21 条第 1 項から第 3 項までにおいて利次に掲げる場合については、法第 18 条第 1 項から第 3 項までにおいて利用目的の本人への通知（※1）、公表（※2）又は明示（※3）（以下この項 用目的の本人への通知（※1）、公表（※2）又は明示（※3）（以下この項において「利用目的の通知等」という。）が求められる場合であっても、において「利用目的の通知等」という。）が求められる場合であっても、当該利用目的の通知等は不要である。

当該利用目的の通知等は不要である。

（1）利用目的を本人に通知し、又は公表することにより本人又は第三者の （1）利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（法第生命、身体、財産その他の権利利益を害するおそれがある場合（法第21 条第 4 項第 1 号関係）

18 条第 4 項第 1 号関係）

利用目的を本人に通知し、又は公表することにより本人又は第三者の生利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合は、法第 21 条 命、身体、財産その他の権利利益を害するおそれがある場合は、法第 18 条
第 1 項から第 3 項までの適用を受けず、当該利用目的の通知等は不要であ 第 1 項から第 3 項までの適用を受けず、当該利用目的の通知等は不要であ55（※）[略]

事例）[略]る。

事例）[同左]（2）利用目的を本人に通知し、又は公表することにより事業者の権利又は（2）利用目的を本人に通知し、又は公表することにより事業者の権利又は正当な利益を害するおそれがある場合（法第 21 条第 4 項第 2 号関係）

正当な利益を害するおそれがある場合（法第 18 条第 4 項第 2 号関係）

利用目的を本人に通知し、又は公表することにより事業者の権利又は正利用目的を本人に通知し、又は公表することにより事業者の権利又は正当な利益を害するおそれがある場合は、法第 21 条第 1 項から第 3 項までの当な利益を害するおそれがある場合は、法第 18 条第 1 項から第 3 項までの適用を受けず、当該利用目的の通知等は不要である。

適用を受けず、当該利用目的の通知等は不要である。

事例）[略]

事例）[同左]（3）国の機関又は地方公共団体が法令の定める事務を遂行することに対し（3）国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又はて協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき（法第 21 条第 4 項第 3 号関係）

（法第 18 条第 4 項第 3 号関係）

国の機関等（地方公共団体又はその委託を受けた者を含む。）が法令の国の機関等（地方公共団体又はその委託を受けた者を含む。）が法令の定める事務を実施する上で、民間企業等の協力を得る必要があり、かつ、定める事務を実施する上で、民間企業等の協力を得る必要があり、かつ、

本人に対する利用目的の通知等により当該事務の遂行に支障を及ぼすおそ本人に対する利用目的の通知等により当該事務の遂行に支障を及ぼすおそれがあると認められる場合は、当該民間企業等は、法第 21 条第 1 項から第 れがあると認められる場合は、当該民間企業等は、法第 18 条第 1 項から第3 項までの適用を受けず、当該利用目的の通知等は不要である。

3 項までの適用を受けず、当該利用目的の通知等は不要である。

56る。

事例）[略]（4）取得の状況からみて利用目的が明らかであると認められる場合（法第21 条第 4 項第 4 号関係）

取得の状況からみて利用目的が明らかであると認められる場合は、法第事例）[同左]（4）取得の状況からみて利用目的が明らかであると認められる場合（法第18 条第 4 項第 4 号関係）

取得の状況からみて利用目的が明らかであると認められる場合は、法第21 条第 1 項から第 3 項までの適用を受けず、当該利用目的の通知等は不要 18 条第 1 項から第 3 項までの適用を受けず、当該利用目的の通知等は不要である。

[事例 1）・事例 2）同左]
57[事例 1）・事例 2）略]である。

[（※1）～（※3）略][（※1）～（※3）同左]

3-4 個人データの管理（法第 22 条～第 25 条関係）

3-4 個人データの管理（法第 19 条～第 22 条関係）

3-4-1 データ内容の正確性の確保等（法第 22 条関係）

3-4-1 データ内容の正確性の確保等（法第 19 条関係）

法第 22 条

法第 19 条

[略]

[同左]

[略]

[同左]

3-4-2 安全管理措置（法第 20 条関係）

法第 23 条

法第 20 条[略]

[同左]

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損（以下「漏えい等」という。）の防止その他の個人データの安全管理の損（以下「漏えい等」という。）の防止その他の個人データの安全管理のため、必要かつ適切な措置を講じなければならないが、当該措置は、個人

ため、必要かつ適切な措置を講じなければならないが、当該措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮

データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データのし、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリ性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリ

スクに応じて、必要かつ適切な内容としなければならない。具体的に講じ

スクに応じて、必要かつ適切な内容としなければならない。具体的に講じなければならない措置や当該措置を実践するための手法の例等について なければならない措置や当該措置を実践するための手法の例等について
は、「10（別添）講ずべき安全管理措置の内容」を参照のこと。

は、「7（別添）講ずべき安全管理措置の内容」を参照のこと。

3-4-3 従業者の監督（法第 24 条関係）

3-4-3 従業者の監督（法第 21 条関係）

法第 24 条

法第 21 条

[略]

[同左]

58

3-4-2 安全管理措置（法第 23 条関係）

個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たって、法第 23 条に基づく安全管理措置を遵守させるよう、当該従業者に対って、法第 20 条に基づく安全管理措置を遵守させるよう、当該従業者に対し必要かつ適切な監督をしなければならない。その際、個人データが漏えし必要かつ適切な監督をしなければならない。その際、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規い等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に起因するリスクに応じて、個人データを取り扱う従業者に対含む。）等に起因するリスクに応じて、個人データを取り扱う従業者に対する教育、研修等の内容及び頻度を充実させるなど、必要かつ適切な措置する教育、研修等の内容及び頻度を充実させるなど、必要かつ適切な措置を講ずることが望ましい。

を講ずることが望ましい。

「従業者」とは、個人情報取扱事業者の組織内にあって直接間接に事業「従業者」とは、個人情報取扱事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者等をいい、雇用関係者の指揮監督を受けて事業者の業務に従事している者等をいい、雇用関係にある従業員（正社員、契約社員、嘱託社員、パート社員、アルバイト社にある従業員（正社員、契約社員、嘱託社員、パート社員、アルバイト社

員等）のみならず、取締役、執行役、理事、監査役、監事、派遣社員等も員等）のみならず、取締役、執行役、理事、監査役、監事、派遣社員等も

含まれる。

含まれる。

[【従業者に対して必要かつ適切な監督を行っていない事例】 略][【従業者に対して必要かつ適切な監督を行っていない事例】 同左]

3-4-4 委託先の監督（法第 25 条関係）

3-4-4 委託先の監督（法第 22 条関係）

法第 25 条

法第 22 条

[略]

[同左]

59

個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当た個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託（※

個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託（※1）する場合は、委託を受けた者（以下「委託先」という。）において当該

1）する場合は、委託を受けた者（以下「委託先」という。）において当該個人データについて安全管理措置が適切に講じられるよう、委託先に対し個人データについて安全管理措置が適切に講じられるよう、委託先に対し必要かつ適切な監督をしなければならない。具体的には、個人情報取扱事

必要かつ適切な監督をしなければならない。具体的には、個人情報取扱事

業者は、法第 23 条に基づき自らが講ずべき安全管理措置と同等の措置が講 業者は、法第 20 条に基づき自らが講ずべき安全管理措置と同等の措置が講じられるよう、監督を行うものとする（※2）。

その際、委託する業務内容に対して必要のない個人データを提供しない

その際、委託する業務内容に対して必要のない個人データを提供しないようにすることは当然のこととして、取扱いを委託する個人データの内容ようにすることは当然のこととして、取扱いを委託する個人データの内容を踏まえ、個人データが漏えい等をした場合に本人が被る権利利益の侵害を踏まえ、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質、個人データの取扱状況の大きさを考慮し、委託する事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に起因するリスクに応じ（取り扱う個人データの性質及び量を含む。）等に起因するリスクに応じて、次の（1）から（3）までに掲げる必要かつ適切な措置を講じなければて、次の（1）から（3）までに掲げる必要かつ適切な措置を講じなければならない（※3）。

ならない（※3）。

（1）適切な委託先の選定（1）適切な委託先の選定

委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第

委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第23 条及び本ガイドラインで委託元に求められるものと同等であることを確

20 条及び本ガイドラインで委託元に求められるものと同等であることを確認するため、「10（（別添）講ずべき安全管理措置の内容）」に定める各認するため、「7（（別添）講ずべき安全管理措置の内容）」に定める各項

項目が、委託する業務内容に沿って、確実に実施されることについて、あ目が、委託する業務内容に沿って、確実に実施されることについて、あららかじめ確認しなければならない。

かじめ確認しなければならない。

（2）[略]（2）[同左]60

じられるよう、監督を行うものとする（※2）。

（3）委託先における個人データ取扱状況の把握

委託先における委託された個人データの取扱状況を把握するためには、委託先における委託された個人データの取扱状況を把握するためには、定期的に監査を行う等により、委託契約で盛り込んだ内容の実施の程度を定期的に監査を行う等により、委託契約で盛り込んだ内容の実施の程度を調査した上で、委託の内容等の見直しを検討することを含め、適切に評価調査した上で、委託の内容等の見直しを検討することを含め、適切に評価することが望ましい。

することが望ましい。

また、委託先が再委託を行おうとする場合は、委託を行う場合と同様、

また、委託先が再委託を行おうとする場合は、委託を行う場合と同様、委託元は、委託先が再委託する相手方、再委託する業務内容、再委託先の委託元は、委託先が再委託する相手方、再委託する業務内容、再委託先の個人データの取扱方法等について、委託先から事前報告を受け又は承認を個人データの取扱方法等について、委託先から事前報告を受け又は承認を行うこと、及び委託先を通じて又は必要に応じて自らが、定期的に監査を行うこと、及び委託先を通じて又は必要に応じて自らが、定期的に監査を実施すること等により、委託先が再委託先に対して本条の委託先の監督を実施すること等により、委託先が再委託先に対して本条の委託先の監督を適切に果たすこと、及び再委託先が法第 23 条に基づく安全管理措置を講ず 適切に果たすこと、及び再委託先が法第 20 条に基づく安全管理措置を講ずることを十分に確認することが望ましい（※4）。再委託先が再々委託を行 ることを十分に確認することが望ましい（※4）。再委託先が再々委託を行う場合以降も、再委託を行う場合と同様である。

う場合以降も、再委託を行う場合と同様である。

[【委託を受けた者に対して必要かつ適切な監督を行っていない事例】 [【委託を受けた者に対して必要かつ適切な監督を行っていない事例】 同
左]略]（※1）[略]（※1）[同左]（※2）委託元が法第 23 条が求める水準を超える高い水準の安全管（※2）委託元が法第 20 条が求める水準を超える高い水準の安全管理措置を講じている場合に、委託先に対してもこれと同等の措理措置を講じている場合に、委託先に対してもこれと同等の措置を求める趣旨ではなく、法律上は、委託先は、法第 23 条が求置を求める趣旨ではなく、法律上は、委託先は、法第 20 条が求

61（3）委託先における個人データ取扱状況の把握

める水準の安全管理措置を講じれば足りると解される。

める水準の安全管理措置を講じれば足りると解される。
[（※3）・（※4） 同左]

3-5 個人データの漏えい等の報告等（法第 26 条関係）

3-5 個人データの漏えい等の報告等（法第 22 条の 2 関係）[3-5-1 ・3-5-2 略][3-5-1 ・3-5-2 同左]

3-5-3 個人情報保護委員会への報告（法第 26 条第 1 項関係）

3-5-3 個人情報保護委員会への報告（法第 22 条の 2 第 1 項関係）

3-5-3-1 報告対象となる事態

3-5-3-1 報告対象となる事態

法第 26 条（第 1 項）

法第 22 条の 2（第 1 項）

1

1

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにめるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければな

より、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業らない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託者から当該個人データの取扱いの全部又は一部の委託を受けた場合でを受けた場合であって、個人情報保護委員会規則で定めるところによあって、個人情報保護委員会規則で定めるところにより、当該事態がり、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関生じた旨を当該他の個人情報取扱事業者に通知したときは、この限り

62[（※3）・（※4） 略]

規則第 7 条

でない。

規則第 6 条の 2

法第 26 条第 1 項本文の個人の権利利益を害するおそれが大きいもの

法第 22 条の 2 第 1 項本文の個人の権利利益を害するおそれが大きいとして個人情報保護委員会規則で定めるものは、次の各号のいずれかものとして個人情報保護委員会規則で定めるものは、次の各号のいずに該当するものとする。

れかに該当するものとする。

(1)

(1)

要配慮個人情報が含まれる個人データ(高度な暗号化その他の個

要配慮個人情報が含まれる個人データ(高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第 1 項において同じ。)の漏えい、滅失若しくは下この条及び次条第 1 項において同じ。)の漏えい、滅失若しくは毀損(以下この条及び次条第 1 項において「漏えい等」という。)が毀損(以下「漏えい等」という。)が発生し、又は発生したおそれが発生し、又は発生したおそれがある事態

ある事態[(2)～(4) 略][(2)～(4) 同左]

[略]

[同左]

（1）要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態（規則第 7 条第 1 号関係）

（1）要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態（規則第 6 条の 2 第 1 号関係）[【報告を要する事例】 略][【報告を要する事例】 同左]（2）不正に利用されることにより財産的被害が生じるおそれがある個人デ（2）不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態（規則第 7

ータの漏えい等が発生し、又は発生したおそれがある事態（規則第 6

条第 2 号関係）条の 2 第 2 号関係）

63

等に通知したときは、この限りでない。

[略]

[同左]

[【報告を要する事例】 略][【報告を要する事例】 同左]（3）不正の目的をもって行われたおそれがある個人データの漏えい等が発（3）不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態（規則第 7 条第 3 号関係）

生し、又は発生したおそれがある事態（規則第 6 条の 2 第 3 号関係）

[略]

[同左]

[【報告を要する事例】 同左]（4）個人データに係る本人の数が千人を超える漏えい等が発生し、又は発（4）個人データに係る本人の数が千人を超える漏えい等が発生し、又は発64[【報告を要する事例】 略]

生したおそれがある事態（規則第 7 条第 4 号関係）

生したおそれがある事態（規則第 6 条の 2 第 4 号関係）

「個人データに係る本人の数」は、当該個人情報取扱事業者が取り扱う「個人データに係る本人の数」は、当該個人情報取扱事業者が取り扱う

個人データのうち、漏えい等が発生し、又は発生したおそれがある個人デ個人データのうち、漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数をいう。「個人データに係る本人の数」について、事ータに係る本人の数をいう。「個人データに係る本人の数」について、事態が発覚した当初 1,000 人以下であっても、その後 1,000 人を超えた場合 態が発覚した当初 1,000 人以下であっても、その後 1,000 人を超えた場合には、1,000 人を超えた時点で規則第 7 条第 4 号に該当することになる。本 には、1,000 人を超えた時点で規則第 6 条の 2 第 4 号に該当することにな
人の数が確定できない漏えい等において、漏えい等が発生したおそれがある。本人の数が確定できない漏えい等において、漏えい等が発生したおそる個人データに係る本人の数が最大 1,000 人を超える場合には、規則第 7 条

れがある個人データに係る本人の数が最大 1,000 人を超える場合には、規第 4 号に該当する。

則第 6 条の 2 第 4 号に該当する。

[（※1）～（※4） 略]事例）[同左][（※1）～（※4） 同左]

[略]

[同左]

3-5-3-2 [略]3-5-3-2 [同左]

3-5-3-3 速報（規則第 8 条第 1 項関係）

3-5-3-3 速報（規則第 6 条の 3 第 1 項関係）

規則第 8 条（第 1 項）
1

規則第 6 条の 3 第 1 項

個人情報取扱事業者は、法第 26 条第 1 項本文の規定による報告をす

個人情報取扱事業者は、法第 22 条の 2 第 1 項本文の規定による報告

る場合には、前条各号に定める事態を知った後、速やかに、当該事態をする場合には、前条各号に定める事態を知った後、速やかに、当該に関する次に掲げる事項（報告をしようとする時点において把握して事態に関する次に掲げる事項（報告をしようとする時点において把握いるものに限る。次条において同じ。）を報告しなければならない。

しているものに限る。次条において同じ。）を報告しなければならない。

[(1)～(9) 略][(1)～(9) 同左]

個人情報取扱事業者は、報告対象事態を知ったときは、速やかに、個人

個人情報取扱事業者は、報告対象事態を知ったときは、速やかに、個人情報保護委員会に報告しなければならない。個人情報保護委員会が法第 147 情報保護委員会に報告しなければならない。個人情報保護委員会が法第 4465事例）[略]

条第 1 項の規定により報告を受理する権限を事業所管大臣に委任している場合には、当該事業所管大臣に報告する。事業所管大臣に報告する場合、場合には、当該事業所管大臣に報告する。事業所管大臣に報告する場合、報告期限は個人情報保護委員会に報告する場合と同様である。

報告期限は個人情報保護委員会に報告する場合と同様である。

報告期限の起算点となる「知った」時点については、個別の事案ごとに報告期限の起算点となる「知った」時点については、個別の事案ごとに判断されるが、個人情報取扱事業者が法人である場合には、いずれかの部判断されるが、個人情報取扱事業者が法人である場合には、いずれかの部

署が当該事態を知った時点を基準とする。「速やか」の日数の目安につい署が当該事態を知った時点を基準とする。「速やか」の日数の目安については、個別の事案によるものの、個人情報取扱事業者が当該事態を知ったては、個別の事案によるものの、個人情報取扱事業者が当該事態を知った

時点から概ね 3～5 日以内である。

時点から概ね 3～5 日以内である。

個人情報保護委員会への漏えい等報告については、次の（1）から（9）個人情報保護委員会への漏えい等報告については、次の（1）から（9）までに掲げる事項を、原則として、個人情報保護委員会のホームページのまでに掲げる事項を、原則として、個人情報保護委員会のホームページの報告フォームに入力する方法により行う。速報時点での報告内容について報告フォームに入力する方法により行う。速報時点での報告内容について

は、報告をしようとする時点において把握している内容を報告すれば足りは、報告をしようとする時点において把握している内容を報告すれば足りる。

る。

（1）「概要」（1）「概要」当該事態の概要について、発生日、発覚日、発生事案、発見者、規則第 7

当該事態の概要について、発生日、発覚日、発生事案、発見者、規則第 6条各号該当性、委託元及び委託先の有無、事実経過等を報告する。

条の 2 各号該当性、委託元及び委託先の有無、事実経過等を報告する。

[(2)～(9) 略][(2)～(9) 同左]

66条第 1 項の規定により報告を受理する権限を事業所管大臣に委任している

3-5-3-4 確報（規則第 8 条第 2 項関係）

規則第 8 条（第 2 項）
[略]

3-5-3-4 確報（規則第 6 条の 3 第 2 項関係）

規則第 6 条の 3 第 2 項[同左]

個人情報取扱事業者は、報告対象事態を知ったときは、速報に加え（※

個人情報取扱事業者は、報告対象事態を知ったときは、速報に加え（※1）、30 日以内（規則第 7 条第 3 号の事態においては 60 日以内。同号の事

1）、30 日以内（規則第 6 条の 2 第 3 号の事態においては 60 日以内。同号

態に加え、同条第 1 号、第 2 号又は第 4 号の事態にも該当する場合も 60 日の事態に加え、同条第 1 号、第 2 号又は第 4 号の事態にも該当する場合も以内。）に個人情報保護委員会（個人情報保護委員会が法第 147 条第 1 項 60 日以内。）に個人情報保護委員会（個人情報保護委員会が法第 44 条第 1の規定により報告を受理する権限を事業所管大臣に委任している場合に項の規定により報告を受理する権限を事業所管大臣に委任している場合に内は報告期限であり、可能である場合には、より早期に報告することが望内は報告期限であり、可能である場合には、より早期に報告することが望

ましい。

ましい。

報告期限の起算点となる「知った」時点については、速報と同様に、個報告期限の起算点となる「知った」時点については、速報と同様に、個人情報取扱事業者が法人である場合には、いずれかの部署が当該事態を知人情報取扱事業者が法人である場合には、いずれかの部署が当該事態を知った時点を基準とし、確報の報告期限の算定（※2）に当たっては、その時 った時点を基準とし、確報の報告期限の算定（※2）に当たっては、その時点を 1 日目とする。
確報においては、3-5-3-3（1）から（9）までに掲げる事項の全てを報告

点を 1 日目とする。
確報においては、3-5-3-3（1）から（9）までに掲げる事項の全てを報告しなければならない。確報を行う時点（報告対象事態を知った日から 30 日 しなければならない。確報を行う時点（報告対象事態を知った日から 30 日以内又は 60 日以内）において、合理的努力を尽くした上で、一部の事項が 以内又は 60 日以内）において、合理的努力を尽くした上で、一部の事項が判明しておらず、全ての事項を報告することができない場合には、その時判明しておらず、全ての事項を報告することができない場合には、その時点で把握している内容を報告し、判明次第、報告を追完するものとする。

点で把握している内容を報告し、判明次第、報告を追完するものとする。

67

は、当該事業所管大臣）に報告しなければならない。30 日以内又は 60 日以 は、当該事業所管大臣）に報告しなければならない。30 日以内又は 60 日以

3-5-3-5 委託元への通知による例外（規則第 9 条関係）

規則第 9 条[（※1）・（※2） 同左]

3-5-3-5 委託元への通知による例外（規則第 6 条の 4 関係）

規則第 6 条の 4

個人情報取扱事業者は、法第 26 条第 1 項ただし書の規定による通知

個人情報取扱事業者は、法第 22 条の 2 第 1 項ただし書の規定によるをする場合には、第 7 条各号に定める事態を知った後、速やかに、前通知をする場合には、第 6 条の 2 各号に定める事態を知った後、速や条第 1 項各号に定める事項を通知しなければならない。

かに、前条第 1 項各号に定める事項を通知しなければならない。

委託先は、個人情報保護委員会（個人情報保護委員会が法第 147 条第 1 項

委託先は、個人情報保護委員会（個人情報保護委員会が法第 44 条第 1 項の規定により報告を受理する権限を事業所管大臣に委任している場合にの規定により報告を受理する権限を事業所管大臣に委任している場合には、当該事業所管大臣）への報告義務を負っている委託元に対し、3-5-3-3 は、当該事業所管大臣）への報告義務を負っている委託元に対し、3-5-3-3（1）から（9）までに掲げる事項のうち、その時点で把握しているものを（1）から（9）までに掲げる事項のうち、その時点で把握しているものを通知したときは、報告義務を免除される。委託元への通知については、速通知したときは、報告義務を免除される。委託元への通知については、速報としての報告と同様に、報告対象事態を知った後、速やかに行わなけれ報としての報告と同様に、報告対象事態を知った後、速やかに行わなければならない。「速やか」の日数の目安については、個別の事案によるもの

ばならない。「速やか」の日数の目安については、個別の事案によるものの、委託先が当該事態の発生を知った時点から概ね 3～5 日以内である。

の、委託先が当該事態の発生を知った時点から概ね 3～5 日以内である。

この場合、委託先から通知を受けた委託元が報告をすることになる。委

この場合、委託先から通知を受けた委託元が報告をすることになる。委託元は、通常、遅くとも委託先から通知を受けた時点で、報告対象事態を託元は、通常、遅くとも委託先から通知を受けた時点で、報告対象事態を知ったこととなり、速やかに報告を行わなければならない。

知ったこととなり、速やかに報告を行わなければならない。

なお、通知を行った委託先は、委託元から報告するに当たり、事態の把なお、通知を行った委託先は、委託元から報告するに当たり、事態の把握を行うとともに、必要に応じて委託元の漏えい等報告に協力することが握を行うとともに、必要に応じて委託元の漏えい等報告に協力することが68[（※1）・（※2） 略]求められる。

3-5-4 本人への通知（法第 26 条第 2 項関係）

3-5-4 本人への通知（法第 22 条の 2 第 2 項関係）

法第 26 条（第 2 項）

法第 22 条の 2（第 2 項）

[略]

[同左]

規則第 10 条

規則第 6 条の 5

個人情報取扱事業者は、法第 26 条第 2 項本文の規定による通知をす

個人情報取扱事業者は、法第 22 条の 2 第 2 項本文の規定による通知

る場合には、第 7 条各号に定める事態を知った後、当該事態の状況にをする場合には、第 6 条の 2 各号に定める事態を知った後、当該事態応じて速やかに、当該本人の権利利益を保護するために必要な範囲にの状況に応じて速やかに、当該本人の権利利益を保護するために必要

おいて、第 8 条第 1 項第 1 号、第 2 号、第 4 号、第 5 号及び第 9 号に定な範囲において、第 6 条の 3 第 1 項第 1 号、第 2 号、第 4 号、第 5 号及める事項を通知しなければならない。

び第 9 号に定める事項を通知しなければならない。

[3-5-4-1・3-5-4-2 略][3-5-4-1・3-5-4-2 同左]

3-5-4-3 通知の内容

3-5-4-3 通知の内容

本人へ通知すべき事項については、漏えい等報告における報告事項のう本人へ通知すべき事項については、漏えい等報告における報告事項のうち、「概要」（規則第 8 条第 1 項第 1 号）、「漏えい等が発生し、又は発

ち、「概要」（規則第 6 条の 3 第 1 項第 1 号）、「漏えい等が発生し、又69求められる。

生したおそれがある個人データの項目」（同項第 2 号）、「原因」（同項は発生したおそれがある個人データの項目」（同項第 2 号）、「原因」

第 4 号）、「二次被害又はそのおそれの有無及びその内容」（同項第 5 号）

（同項第 4 号）、「二次被害又はそのおそれの有無及びその内容」（同項

及び「その他参考となる事項」（同項第 9 号）（※）に限られている。こ第 5 号）及び「その他参考となる事項」（同項第 9 号）（※）に限られてれらの事項が全て判明するまで本人への通知をする必要がないというものいる。これらの事項が全て判明するまで本人への通知をする必要がないとではなく、本人への通知は、「当該事態の状況に応じて速やかに」行う必いうものではなく、本人への通知は、「当該事態の状況に応じて速やか要がある（3-5-4-2（通知の時間的制限）参照）。

に」行う必要がある（3-5-4-2（通知の時間的制限）参照）。

囲において」行うものである。

本人への通知については、「本人の権利利益を保護するために必要な範囲において」行うものである。

また、当初報告対象事態に該当すると判断したものの、その後実際には

また、当初報告対象事態に該当すると判断したものの、その後実際には報告対象事態に該当していなかったことが判明した場合には、本人への通報告対象事態に該当していなかったことが判明した場合には、本人への通知が「本人の権利利益を保護するために必要な範囲において」行うもので

知が「本人の権利利益を保護するために必要な範囲において」行うものであることに鑑み、本人への通知は不要である。

あることに鑑み、本人への通知は不要である。

[【本人の権利利益を保護するために必要な範囲において通知を行う事例】 [【本人の権利利益を保護するために必要な範囲において通知を行う事例】
略]

同左]（※）規則第 8 条第 1 項第 1 号、第 2 号、第 4 号、第 5 号及び第 9 号に定 （※）規則第 6 条の 3 第 1 項第 1 号、第 2 号、第 4 号、第 5 号及び第 9 号
める事項については、3-5-3-3（速報）を参照のこと。なお、同項第 9に定める事項については、3-5-3-3（速報）を参照のこと。なお、同項号に定める事項については、本人への通知を補完するため、本人にと第 9 号に定める事項については、本人への通知を補完するため、本人って参考となる事項をいい、例えば、本人が自らの権利利益を保護す

にとって参考となる事項をいい、例えば、本人が自らの権利利益を保るために取り得る措置が考えられる。

護するために取り得る措置が考えられる。

70

本人への通知については、「本人の権利利益を保護するために必要な範[3-5-4-4・3-5-4-5 同左]

3-6 個人データの第三者への提供（法第 27 条～第 30 条関係）

3-6 個人データの第三者への提供（法第 23 条～第 26 条関係）

3-6-1 第三者提供の制限の原則（法第 27 条第 1 項関係）

3-6-1 第三者提供の制限の原則（法第 23 条第 1 項関係）

法第 27 条（第 1 項）

法第 23 条（第 1 項）

1

1

個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本

個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本

人の同意を得ないで、個人データを第三者に提供してはならない。

人の同意を得ないで、個人データを第三者に提供してはならない。

[(1)～(4) 略][(1)～(4) 同左](5)

当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）。

(6)

当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。）。

(7)

当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当71[3-5-4-4・3-5-4-5 略]

該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

個人情報取扱事業者は、個人データの第三者への提供に当たり、あらか

個人情報取扱事業者は、個人データの第三者への提供に当たり、あらか

じめ本人の同意（※1）を得ないで提供してはならない（※2）（※3）。同 じめ本人の同意（※1）を得ないで提供してはならない（※2）（※3）。同意の取得に当たっては、事業の規模及び性質、個人データの取扱状況（取意の取得に当たっては、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に応じ、本人が同意に係る判り扱う個人データの性質及び量を含む。）等に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示さなければならない。

さなければならない。
なお、あらかじめ、個人情報を第三者に提供することを想定している場

合には、利用目的において、その旨を特定しなければならない（3-1-1（利 合には、利用目的において、その旨を特定しなければならない（3-1-1（利用目的の特定）参照）。

用目的の特定）参照）。

また、令和 3 年改正法の施行日前に別表第二法人等（3-1-3（利用目的による制限）参照）に対しされた本人の個人情報の取扱いに関する同意がある場合において、その同意が法第 27 条第 1 項の規定による個人データの第三者への提供を認める旨の同意に相当するものであるときは、令和 3 年改正法の施行日において同項の同意があったものとみなす。（令和 3 年改正
法附則第 7 条第 2 項）。

（※1）「本人の同意」については、2-16（本人の同意）を参照のこ

[新設]

と。
（※2）ブログやその他の SNS に書き込まれた個人データを含む情報

[新設]

72

なお、あらかじめ、個人情報を第三者に提供することを想定している場

については、当該情報を書き込んだ者の明確な意思で不特定多数又は限定された対象に対して公開されている情報であり、その内容を誰が閲覧できるかについて当該情報を書き込んだ者が指定していることから、その公開範囲について、インターネッ
ト回線への接続サービスを提供するプロバイダやブログその他の SNS の運営事業者等に裁量の余地はないため、このような場
合は、当該事業者が個人データを第三者に提供しているとは解されない。
（※3）個人情報取扱事業者若しくはその従業者又はこれらであった[新設]者が、その業務に関して取り扱った個人情報データベース等（その全部又は一部を複製し、又は加工したものを含む。）を73

自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、法第 174 条 により刑事罰（1 年以下の懲役又は50 万円以下の罰金）が科され得る。

【第三者提供とされる事例】（ただし、法第 27 条第 5 項各号の場合を除【第三者提供とされる事例】（ただし、法第 23 条第 5 項各号の場合を除

く。）

く。）

[事例 1）～事例 3） 略][【第三者提供とされない事例】 略]

ただし、次の（1）から（7）までに掲げる場合については、第三者への[事例 1）～事例 3） 同左][【第三者提供とされない事例】 同左]

ただし、次の（1）から（4）までに掲げる場合については、第三者への個人データの提供に当たって、本人の同意は不要である。なお、（1）から 個人データの提供に当たって、本人の同意は不要である。なお、具体的な

（4）までの具体的な事例は、3-1-5（利用目的による制限の例外）を参照

事例は、3-1-5（利用目的による制限の例外）を参照のこと。

のこと。

関係）

（1）法令に基づいて個人データを提供する場合（法第 23 条第 1 項第 1 号
関係）（2）人（法人を含む。）の生命、身体又は財産といった具体的な権利利益（2）人（法人を含む。）の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個人データの提供が侵害されるおそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得ることが困難である場合（法第が必要であり、かつ、本人の同意を得ることが困難である場合（法第27 条第 1 項第 2 号関係）

23 条第 1 項第 2 号関係）

（3）公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために（3）公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることが困難である場

特に必要な場合であり、かつ、本人の同意を得ることが困難である場合（法第 27 条第 1 項第 3 号関係）

合（法第 23 条第 1 項第 3 号関係）

（4）国の機関等が法令の定める事務を実施する上で、民間企業等の協力を（4）国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であって、協力する民間企業等が当該国の機関等得る必要がある場合であって、協力する民間企業等が当該国の機関等に個人データを提供することについて、本人の同意を得ることが当該に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合（法第 27 条第 1 項第 4 号

事務の遂行に支障を及ぼすおそれがある場合（法第 23 条第 1 項第 4 号

関係）

関係）

（5）学術研究機関等（※1）が個人データを提供する場合であり、かつ、
当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ない場合（個人の権利利益を不当に侵害するおそれがある場合を除く（※2）。）（法第 27 条第 1 項第 5 号関係）
事例 1）顔面の皮膚病に関する医学論文において、症例に言及する場合であって、写真全体にモザイク処理を施す等の対応をすることにより

[新設]

74

（1）法令に基づいて個人データを提供する場合（法第 27 条第 1 項第 1 号

当該論文による研究成果の公表の目的が達せられなくなるとき
事例 2）実名で活動する特定の作家の作風を論ずる文学の講義において、当該作家の実名を含む出版履歴に言及する場合であって、作家の実名を伏せることにより当該講義による教授の目的が達せられなくなるとき（※1）「学術研究機関等」については、2-18（学術研究機関等）を参照のこと。
（※2）「個人の権利利益を不当に侵害するおそれがある場合」には、個人データを第三者に提供することはできない。この場
合、個人の権利利益を不当に侵害しないような措置を講ずるな
75

ど適切に処理する必要がある。この点、学術研究の成果の公表
又は教授のためやむを得ず、個人データを提供する場合であっても、本人又は第三者の権利利益の保護の観点から、提供する個人データの範囲を限定するなど、学術研究の目的に照らして可能な措置を講ずることが望ましい。

（6）学術研究機関等（※1）が個人データを提供する場合であり、かつ、
当該学術研究機関等と共同して学術研究を行う第三者（学術研究機関
等であるか否かを問わない。）に当該個人データを学術研究目的（※
2）で提供する必要がある場合（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く（※3）。）（法第 27 条第 1 項第 6 号関係）

[新設]

（※1）「学術研究機関等」については、2-18（学術研究機関等）を参照のこと。
（※2）「学術研究目的」については、2-19（学術研究目的）を参照のこと。
（※3）「個人の権利利益を不当に侵害するおそれがある場合」には、個人データを第三者に提供することはできない。この場
合、個人の権利利益を不当に侵害しないような措置を講ずるなど適切に処理する必要がある。この点、学術研究目的で個人データを提供する必要があって、学術研究機関等と共同して学術研究を行う場合であっても、本人又は第三者の権利利益の保護
76の観点から、提供する個人データの範囲を限定するなど、学術研究の目的に照らして可能な措置を講ずることが望ましい。

（7）学術研究機関等（※1）が個人データの第三者提供を受ける場合であり、かつ、当該学術研究機関等が当該個人データを学術研究目的（※
2）で取り扱う必要がある場合（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く（※3）。）（法第 27 条第 1 項第 7 号関係）（※1）「学術研究機関等」については、2-18（学術研究機関等）を参照のこと。
（※2）「学術研究目的」については、2-19（学術研究目的）を参照

[新設]

のこと。
（※3）「個人の権利利益を不当に侵害するおそれがある場合」には、個人データを第三者に提供することはできない。この場
合、当該個人データを不当に侵害しないような形で加工するな
ど適切に処理する必要がある。この点、学術研究目的で個人データの提供を受ける必要がある場合であっても、本人又は第三者の権利利益の保護の観点から、提供する個人データの範囲を限定するなど、学術研究の目的に照らして可能な措置を講ずることが望ましい。

（※1）「本人の同意」については、2-16（本人の同意）を参照
のこと。

[削る]

（※2）ブログやその他の SNS に書き込まれた個人データを含む情報については、当該情報を書き込んだ者の明確な意思で不特定多数又は限定された対象に対して公開されている情報であり、その内容を誰が閲覧できるかについて当該情報を書き込んだ者が指定していることから、その公開範囲について、インターネッ
ト回線への接続サービスを提供するプロバイダやブログその他の SNS の運営事業者等に裁量の余地はないため、このような場
合は、当該事業者が個人データを第三者に提供しているとは解
されない。

[削る]

（※3）個人情報取扱事業者若しくはその従業者又はこれらであった者が、その業務に関して取り扱った個人情報データベース等

77

[削る]

（その全部又は一部を複製し、又は加工したものを含む。）を
自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、法第 84 条により刑事罰（1 年以下の懲役又は 50

3-6-2 オプトアウトによる第三者提供（法第 27 条第 2 項～第 4 項関係）

3-6-2 オプトアウトによる第三者提供（法第 23 条第 2 項～第 4 項関係）

3-6-2-1 オプトアウトに関する原則（法第 27 条第 2 項関係）

3-6-2-1 オプトアウトに関する原則（法第 23 条第 2 項関係）

法第 27 条（第 2 項）

法第 23 条（第 2 項）

2

2

個人情報取扱事業者は、第三者に提供される個人データについて、

個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項につい供を停止することとしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本て、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。ただし、第三者に提供されデータを第三者に提供することができる。ただし、第三者に提供される個人データが要配慮個人情報又は第 20 条第 1 項の規定に違反して取る個人データが要配慮個人情報又は第 17 条第 1 項の規定に違反して取得されたもの若しくは他の個人情報取扱事業者からこの項本文の規定得されたもの若しくは他の個人情報取扱事業者からこの項本文の規定により提供されたもの（その全部又は一部を複製し、又は加工したもにより提供されたもの（その全部又は一部を複製し、又は加工したものを含む。）である場合は、この限りでない。

のを含む。）である場合は、この限りでない。

(1)

(1)

第三者への提供を行う個人情報取扱事業者の氏名又は名称及び第三者への提供を行う個人情報取扱事業者の氏名又は名称及び78万円以下の罰金）が科され得る。

住所並びに法人にあっては、その代表者（法人でない団体で代表

住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理者又は管理人の定めのあるものにあっては、その代表者又は管理人。以下この条、第 30 条第 1 項第 1 号及び第 32 条第 1 項第 1 号に人。以下この条、第 26 条第 1 項第 1 号及び第 27 条第 1 項第 1 号において同じ。）の氏名

おいて同じ。）の氏名[(2)～(8) 同左]

規則第 11 条

規則第 7 条

1

1

法第 27 条第 2 項又は第 3 項の規定による通知又は容易に知り得る状法第 23 条第 2 項又は第 3 項の規定による通知又は容易に知り得る状態に置く措置は、次に掲げるところにより、行うものとする。

態に置く措置は、次に掲げるところにより、行うものとする。

(1)

[略]

(1)

[同左]

(2)

本人が法第 27 条第 2 項各号に掲げる事項を確実に認識できる適(2)

本人が法第 23 条第 2 項各号に掲げる事項を確実に認識できる適切かつ合理的な方法によること。
23

法第 27 条第 2 項又は第 3 項の規定による届出は、次に掲げる方法の切かつ合理的な方法によること。
2

法第 23 条第 2 項又は第 3 項の規定による届出は、次に掲げる方法のいずれかにより行わなければならない。

いずれかにより行わなければならない。

(1)

[略]

(1)

[同左]

(2)

別記様式第 2（法第 27 条第 3 項の規定による個人データの提供(2)

別記様式第 2（法第 23 条第 3 項の規定による個人データの提供をやめた旨の届出を行う場合にあっては、別記様式第 3）による届をやめた旨の届出を行う場合にあっては、別記様式第 3）による届

出書及び当該届出書に記載すべき事項を記録した光ディスク（こ出書及び当該届出書に記載すべき事項を記録した光ディスク（これに準ずる方法により一定の事項を確実に記録しておくことがでれに準ずる方法により一定の事項を確実に記録しておくことができる物を含む。以下「光ディスク等」という。）を提出する方法

きる物を含む。以下「光ディスク等」という。）を提出する方法

個人情報取扱事業者が、代理人によって法第 27 条第 2 項又は第 3 項

3

個人情報取扱事業者が、代理人によって法第 23 条第 2 項又は第 3 項の規定による届出を行う場合には、別記様式第 4 によるその権限を証の規定による届出を行う場合には、別記様式第 4 によるその権限を証する書面（電磁的記録を含む。第 17 条第 1 項、第 18 条第 2 項、第 30する書面（電磁的記録を含む。第 11 条の 3 第 1 項、第 11 条の 4 第 2 項

79[(2)～(8) 略]

条、第 47 条第 1 項、第 48 条第 2 項、第 54 条第 2 項、第 6 項及び第 7

及び第 18 条の 6 を除き、以下同じ。）を個人情報保護委員会に提出し項、第 60 条並びに第 66 条第 2 項を除き、以下同じ。）を個人情報保護

なければならない。

委員会に提出しなければならない。
法第 27 条第 2 項第 8 号の個人情報保護委員会規則で定める事項は、

4

法第 23 条第 2 項第 8 号の個人情報保護委員会規則で定める事項は、次に掲げる事項とする。

次に掲げる事項とする。

[(1)・(2) 略][(1)・(2) 同左]

規則第 12 条

規則第 8 条外国にある個人情報取扱事業者は、法第 27 条第 2 項又は第 3 項の規外国にある個人情報取扱事業者は、法第 23 条第 2 項又は第 3 項の規定による届出を行う場合には、国内に住所を有する者であって、当該定による届出を行う場合には、国内に住所を有する者であって、当該届出に関する一切の行為につき、当該個人情報取扱事業者を代理する

届出に関する一切の行為につき、当該個人情報取扱事業者を代理する権限を有するものを定めなければならない。この場合において、当該権限を有するものを定めなければならない。この場合において、当該個人情報取扱事業者は、当該届出と同時に、当該個人情報取扱事業者

個人情報取扱事業者は、当該届出と同時に、当該個人情報取扱事業者

が国内に住所を有する者に、当該届出に関する一切の行為につき、当が国内に住所を有する者に、当該届出に関する一切の行為につき、当該個人情報取扱事業者を代理する権限を付与したことを証する書面

該個人情報取扱事業者を代理する権限を付与したことを証する書面（日本語による翻訳文を含む。）を個人情報保護委員会に提出しなけ（日本語による翻訳文を含む。）を個人情報保護委員会に提出しなけ

ればならない。

ればならない。

規則第 14 条

規則第 10 条

個人情報取扱事業者は、法第 27 条第 4 項の規定による公表がされた

個人情報取扱事業者は、法第 23 条第 4 項の規定による公表がされた

後、速やかに、インターネットの利用その他の適切な方法により、次後、速やかに、インターネットの利用その他の適切な方法により、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項をの各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項を公表するものとする。

公表するものとする。

80

4

(1)

法第 27 条第 2 項の規定による届出を行った場合 同項各号に掲

(1)

げる事項
(2)

法第 27 条第 3 項の規定による変更の届出を行った場合 変更後

げる事項
(2)

の同条第 2 項各号に掲げる事項(3)

法第 27 条第 3 項の規定による個人データの提供をやめた旨の届出を行った場合 その旨

法第 23 条第 2 項の規定による届出を行った場合 同項各号に掲

法第 23 条第 3 項の規定による変更の届出を行った場合 変更後の同条第 2 項各号に掲げる事項(3)

法第 23 条第 3 項の規定による個人データの提供をやめた旨の届出を行った場合 その旨

個人情報取扱事業者は、個人データの第三者への提供に当たり、次の個人情報取扱事業者は、個人データの第三者への提供に当たり、次の（1）から（9）までに掲げる事項をあらかじめ（※1）本人に通知し、又は（1）から（9）までに掲げる事項をあらかじめ（※1）本人に通知し、又は届け出た場合には（※3）、法第 27 条第 1 項の規定にかかわらず、あらか

届け出た場合には（※3）、法第 23 条第 1 項の規定にかかわらず、あらか

じめ本人の同意（※4）を得ることなく、個人データを第三者に提供するこじめ本人の同意（※4）を得ることなく、個人データを第三者に提供することができる（※5）（オプトアウトによる第三者提供）。

とができる（※5）（オプトアウトによる第三者提供）。

なお、法第 27 条第 2 項の規定により個人データを第三者に提供しようとする別表第二法人等（3-1-3（利用目的による制限）参照）は、令和 3 年改正法の施行日前においても、令和 3 年改正法規則附則第 3 条で準用する規則第 11 条及び第 12 条の規定により、同項各号に掲げる事項に相当する事項について、本人に通知するとともに、個人情報保護委員会に届け出ることができる。この場合において、当該通知及び届出は、令和 3 年改正法の施行日以後は、同項の規定による通知及び届出とみなす（令和 3 年改正法附則第 7 条第 3 項）。
また、個人情報取扱事業者は、法第 27 条第 2 項に基づき、必要な事項をまた、個人情報取扱事業者は、法第 23 条第 2 項に基づき、必要な事項を

個人情報保護委員会に届け出たときは、その内容を自らもインターネット

個人情報保護委員会に届け出たときは、その内容を自らもインターネット

81

本人が容易に知り得る状態（※2）に置くとともに、個人情報保護委員会に 本人が容易に知り得る状態（※2）に置くとともに、個人情報保護委員会にの利用その他の適切な方法により公表（※6）するものとする。

の利用その他の適切な方法により公表（※6）するものとする。

なお、要配慮個人情報をオプトアウトにより第三者に提供することや、

なお、要配慮個人情報をオプトアウトにより第三者に提供することや、

オプトアウトにより提供を受けた個人データをオプトアウトにより再提供

オプトアウトにより提供を受けた個人データをオプトアウトにより再提供

することはできず、第三者に提供するに当たっては、法第 27 条第 1 項各号 することはできず、第三者に提供するに当たっては、法第 23 条第 1 項各号又は同条第 5 項各号に該当する場合以外は、必ずあらかじめ本人の同意を 又は同条第 5 項各号に該当する場合以外は、必ずあらかじめ本人の同意を得る必要があるので、注意を要する。また、不正取得された個人データに得る必要があるので、注意を要する。また、不正取得された個人データについても、オプトアウトにより第三者に提供することはできない（※7）。

ついても、オプトアウトにより第三者に提供することはできない（※7）。

[（1）～（9） 略][【オプトアウトによる第三者提供の事例】 同左]
82[【オプトアウトによる第三者提供の事例】 略][（1）～（9） 同左]（※1）オプトアウトによる第三者提供を行う際は、上記の（1）か（※1）オプトアウトによる第三者提供を行う際は、上記の（1）から（9）までに掲げる事項をあらかじめ、第三者に提供される個ら（9）までに掲げる事項をあらかじめ、第三者に提供される個

人データによって識別される本人が当該提供の停止を求めるの

人データによって識別される本人が当該提供の停止を求めるのに必要な期間をおかなければならない（規則第 11 条第 1 項第 1に必要な期間をおかなければならない（規則第 7 条第 1 項第 1号）ため、本人に通知し又は本人が容易に知り得る状態に置い号）ため、本人に通知し又は本人が容易に知り得る状態に置いた時点から、極めて短期間の後に、第三者提供を行ったようなた時点から、極めて短期間の後に、第三者提供を行ったような場合は、「本人が当該提供の停止を求めるのに必要な期間」を場合は、「本人が当該提供の停止を求めるのに必要な期間」をおいていないと判断され得る。

おいていないと判断され得る。

具体的な期間については、業種、ビジネスの態様、通知又は具体的な期間については、業種、ビジネスの態様、通知又は容易に知り得る状態の態様、本人と個人情報取扱事業者との近容易に知り得る状態の態様、本人と個人情報取扱事業者との近接性、本人から停止の求めを受け付ける体制、提供される個人

接性、本人から停止の求めを受け付ける体制、提供される個人

データの性質などによっても異なり得るため、個別具体的に判

データの性質などによっても異なり得るため、個別具体的に判断する必要がある。

断する必要がある。

また、「本人に通知し、又は本人が容易に知り得る状態に置

また、「本人に通知し、又は本人が容易に知り得る状態に置く」時期と、「個人情報保護委員会に届け出」る時期は、必ずく」時期と、「個人情報保護委員会に届け出」る時期は、必ずしも同時である必要はないが、本人に通知し、又は本人が容易

しも同時である必要はないが、本人に通知し、又は本人が容易に知り得る状態に置いた後、速やかに個人情報保護委員会に届に知り得る状態に置いた後、速やかに個人情報保護委員会に届け出ることが望ましい。

け出ることが望ましい。

と。

（※2）「本人に通知」については、2-14（本人に通知）を参照のこと。

「本人が容易に知り得る状態」とは、事業所の窓口等への書「本人が容易に知り得る状態」とは、事業所の窓口等への書面の掲示・備付けやホームページへの掲載その他の継続的方法

面の掲示・備付けやホームページへの掲載その他の継続的方法

により、本人が知ろうとすれば、時間的にも、その手段においにより、本人が知ろうとすれば、時間的にも、その手段においても、簡単に知ることができる状態をいい、事業の性質及び個ても、簡単に知ることができる状態をいい、事業の性質及び個

人情報の取扱状況に応じ、本人が確実に認識できる適切かつ合人情報の取扱状況に応じ、本人が確実に認識できる適切かつ合理的な方法によらなければならない（規則第 11 条第 1 項第 2

理的な方法によらなければならない（規則第 7 条第 1 項第 2

号）。

号）。

[【本人が容易に知り得る状態に該当する事例】 略][【本人が容易に知り得る状態に該当する事例】 同左]（※3）届出の方法は、電子情報処理組織を使用する方法等によって（※3）届出の方法は、電子情報処理組織を使用する方法等によって行わなければならない（規則第 11 条第 2 項）。なお、代理人に行わなければならない（規則第 7 条第 2 項）。なお、代理人によって届出を行う場合は、個人情報保護委員会が定める様式によって届出を行う場合は、個人情報保護委員会が定める様式によるその権限を証する書面を提出しなければならない（規則第よるその権限を証する書面を提出しなければならない（規則第 711 条第 3 項）。また、外国にある個人情報取扱事業者が、届出条第 3 項）。また、外国にある個人情報取扱事業者が、届出をを行う場合には、国内に住所を有する者に、当該届出に関する行う場合には、国内に住所を有する者に、当該届出に関する一

83（※2）「本人に通知」については、2-14（本人に通知）を参照のこ

一切の行為につき当該個人情報取扱事業者を代理する権限を有切の行為につき当該個人情報取扱事業者を代理する権限を有すするものを定めなければならず、当該代理権を証する書面を個るものを定めなければならず、当該代理権を証する書面を個人人情報保護委員会に提出しなければならない。

情報保護委員会に提出しなければならない。

（※4）[略]（※4）[同左]（※5）法第 17 条第 1 項の規定により特定された当初の利用目的に、（※5）法第 15 条第 1 項の規定により特定された当初の利用目的に、

個人情報の第三者提供に関する事項が含まれていない場合は、個人情報の第三者提供に関する事項が含まれていない場合は、第三者提供を行うと目的外利用となるため、オプトアウトによ

第三者提供を行うと目的外利用となるため、オプトアウトによる第三者提供を行うことはできない。

る第三者提供を行うことはできない。

3-6-2-2 オプトアウトに関する事項の変更及び個人データの提供をやめ[（※6）～（※8） 同左]

3-6-2-2 オプトアウトに関する事項の変更及び個人データの提供をやめた場合（法第 27 条第 3 項関係）た場合（法第 23 条第 3 項関係）

法第 27 条（第 3 項）

法第 23 条（第 3 項）

[略]

[同左]

規則第 11 条、第 12 条及び第 14 条

規則第 7 条、第 8 条及び第 10 条

[略]

[同左]

個人情報取扱事業者は、法第 27 条第 2 項に基づきオプトアウトにより個

個人情報取扱事業者は、法第 23 条第 2 項に基づきオプトアウトにより個

人データの第三者提供を行っている場合であって、次の（1）から（3）ま人データの第三者提供を行っている場合であって、次の（1）から（3）までのいずれかに該当する場合は、その旨について、本人に通知し、又は本でのいずれかに該当する場合は、その旨について、本人に通知し、又は本84[（※6）～（※8） 略]

人が容易に知り得る状態（※1）に置くとともに、個人情報保護委員会に届人が容易に知り得る状態（※1）に置くとともに、個人情報保護委員会に届け出なければならない（※2）。

け出なければならない（※2）。

なお、個人情報取扱事業者は、法第 27 条第 3 項に基づき、必要な事項を

なお、個人情報取扱事業者は、法第 23 条第 3 項に基づき、必要な事項を

個人情報保護委員会に届け出たときは、その内容を自らも公表（※3）する 個人情報保護委員会に届け出たときは、その内容を自らも公表（※3）するものとする。

[（1）・（2） 略][（1）・（2） 同左]（3）個人データの提供をやめた場合（3）個人データの提供をやめた場合

法第 27 条第 2 項に基づく個人データの第三者提供をやめたときは、

法第 23 条第 2 項に基づく個人データの第三者提供をやめたときは、遅滞なく、本人に通知し、又は本人が容易に知り得る状態に置くとと遅滞なく、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。

もに、個人情報保護委員会に届け出なければならない。

[（※1）～（※4） 略][（※1）～（※4） 同左]

3-6-3 第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係）

3-6-3 第三者に該当しない場合（法第 23 条第 5 項・第 6 項関係）

法第 27 条（第 5 項）

法第 23 条（第 5 項）

[略]

[同左]

次の（1）から（3）までの場合については、個人データの提供先は個人

次の（1）から（3）までの場合については、個人データの提供先は個人85ものとする。

情報取扱事業者とは別の主体として形式的には第三者に該当するものの、情報取扱事業者とは別の主体として形式的には第三者に該当するものの、本人との関係において提供主体である個人情報取扱事業者と一体のものと本人との関係において提供主体である個人情報取扱事業者と一体のものとして取り扱うことに合理性があるため、第三者に該当しないものとする。

して取り扱うことに合理性があるため、第三者に該当しないものとする。

このような要件を満たす場合には、個人情報取扱事業者は、法第 27 条第このような要件を満たす場合には、個人情報取扱事業者は、法第 23 条第者提供におけるオプトアウトを行うことなく、個人データを提供すること

者提供におけるオプトアウトを行うことなく、個人データを提供すること

ができる。

ができる。

（1）委託（法第 27 条第 5 項第 1 号関係）

（1）委託（法第 23 条第 5 項第 1 号関係）

利用目的の達成に必要な範囲内において、個人データの取扱いに関する利用目的の達成に必要な範囲内において、個人データの取扱いに関する業務の全部又は一部を委託することに伴い、当該個人データが提供される業務の全部又は一部を委託することに伴い、当該個人データが提供される

場合は、当該提供先は第三者に該当しない。この場合、当該提供先は、委場合は、当該提供先は第三者に該当しない。この場合、当該提供先は、委託された業務の範囲内でのみ、本人との関係において提供主体である個人

託された業務の範囲内でのみ、本人との関係において提供主体である個人

情報取扱事業者と一体のものとして取り扱われることに合理性があるた

情報取扱事業者と一体のものとして取り扱われることに合理性があるた

め、委託された業務以外に当該個人データを取り扱うことはできない。

め、委託された業務以外に当該個人データを取り扱うことはできない。

なお、個人情報取扱事業者には、法第 25 条により、委託先に対する監督責任が課される（3-4-4（委託先の監督）参照）。

[事例 1）・事例 2) 略]（2）事業の承継（法第 27 条第 5 項第 2 号関係）

なお、個人情報取扱事業者には、法第 22 条により、委託先に対する監督責任が課される（3-4-4（委託先の監督）参照）。

[事例 1）・事例 2) 同左]（2）事業の承継（法第 23 条第 5 項第 2 号関係）

86

1 項から第 3 項までの規定にかかわらず、あらかじめの本人の同意又は第三 1 項から第 3 項までの規定にかかわらず、あらかじめの本人の同意又は第三[略]（3）共同利用（法第 27 条第 5 項第 3 号関係）

[同左]（3）共同利用（法第 23 条第 5 項第 3 号関係）

特定の者との間で共同して利用される個人データを当該特定の者に提供

特定の者との間で共同して利用される個人データを当該特定の者に提供する場合（※1）であって、次の①から⑤までの情報（※2）を、提供に当する場合（※1）であって、次の①から⑤までの情報（※2）を、提供に当たりあらかじめ本人に通知（※3）し、又は本人が容易に知り得る状態（※ たりあらかじめ本人に通知（※3）し、又は本人が容易に知り得る状態（※
4）に置いているときには、当該提供先は、本人から見て、当該個人データ

4）に置いているときには、当該提供先は、本人から見て、当該個人データを当初提供した事業者と一体のものとして取り扱われることに合理性があを当初提供した事業者と一体のものとして取り扱われることに合理性があると考えられることから、第三者に該当しない（※5）。

ると考えられることから、第三者に該当しない（※5）。

なお、法第 27 条第 5 項第 3 号の規定により本人に通知し、又は本人が容87易に知り得る状態に置かなければならない事項に相当する事項について、
令和 3 年改正法の施行日前に、別表第二法人等（3-1-3（利用目的による制限）参照）により本人に通知されているときは、当該通知は、令和 3 年改正法の施行日以後は、同号の規定による通知とみなす（令和 3 年改正法附則第 7 条第 4 項）。
また、既に特定の事業者が取得している個人データを他の事業者と共同

また、既に特定の事業者が取得している個人データを他の事業者と共同して利用する場合には、当該共同利用は、社会通念上、共同して利用する

して利用する場合には、当該共同利用は、社会通念上、共同して利用する者の範囲や利用目的等が当該個人データの本人が通常予期し得ると客観的者の範囲や利用目的等が当該個人データの本人が通常予期し得ると客観的に認められる範囲内である必要がある。その上で、当該個人データの内容に認められる範囲内である必要がある。その上で、当該個人データの内容や性質等に応じて共同利用の是非を判断し、既に取得している事業者が法や性質等に応じて共同利用の是非を判断し、既に取得している事業者が法第 17 条第 1 項の規定により特定した利用目的の範囲で共同して利用しなけ 第 15 条第 1 項の規定により特定した利用目的の範囲で共同して利用しなければならない。

ればならない。

[①～⑤ 略]

【共同利用に該当する事例】[①～⑤ 同左]【共同利用に該当する事例】

事例 1）グループ企業で総合的なサービスを提供するために取得時の利用

事例 1）グループ企業で総合的なサービスを提供するために取得時の利用目的（法第 17 条第 2 項の規定に従い変更された利用目的を含む。以目的（法第 15 条第 2 項の規定に従い変更された利用目的を含む。以下同じ。）の範囲内で情報を共同利用する場合

下同じ。）の範囲内で情報を共同利用する場合[事例 2）・事例 3） 略][（※1）～（※5） 同左]

88[（※1）～（※5） 略][事例 2）・事例 3） 同左]＜共同利用に係る事項の変更（法第 27 条第 6 項関係）＞＜共同利用に係る事項の変更（法第 23 条第 6 項関係）＞

法第 27 条（第 6 項）

法第 23 条（第 6 項）

[略]

[同左]

[略]

[同左]

3-6-4 外国にある第三者への提供の制限（法第 28 条関係）

3-6-4 外国にある第三者への提供の制限（法第 24 条関係）

[略]

[同左]

（参考）

（参考）

法第 28 条

法第 24 条1

1

個人情報取扱事業者は、外国（本邦の域外にある国又は地域をいう。以下この条及び第 31 条第 1 項第 2 号において同じ。）（個人の権う。以下同じ。）（個人の権利利益を保護する上で我が国と同等の水利利益を保護する上で我が国と同等の水準にあると認められる個人情準にあると認められる個人情報の保護に関する制度を有している外国報の保護に関する制度を有している外国として個人情報保護委員会規として個人情報保護委員会規則で定めるものを除く。以下この条及び則で定めるものを除く。以下この条及び同号において同じ。）にある

第 26 条の 2 第 1 項第 2 号において同じ。）にある第三者（個人データ

第三者（個人データの取扱いについてこの節の規定により個人情報取の取扱いについてこの節の規定により個人情報取扱事業者が講ずべき扱事業者が講ずべきこととされている措置に相当する措置（第 3 項にこととされている措置に相当する措置（第 3 項において「相当措置」

おいて「相当措置」という。）を継続的に講ずるために必要なものとという。）を継続的に講ずるために必要なものとして個人情報保護委

して個人情報保護委員会規則で定める基準に適合する体制を整備して員会規則で定める基準に適合する体制を整備している者を除く。以下いる者を除く。以下この項及び次項並びに同号において同じ。）に個

この項及び次項並びに同号において同じ。）に個人データを提供する

人データを提供する場合には、前条第 1 項各号に掲げる場合を除くほ

場合には、前条第 1 項各号に掲げる場合を除くほか、あらかじめ外国か、あらかじめ外国にある第三者への提供を認める旨の本人の同意をにある第三者への提供を認める旨の本人の同意を得なければならな得なければならない。この場合においては、同条の規定は、適用しない。この場合においては、同条の規定は、適用しない。

い。
[2・3 略][2・3 同左]

規則第 16 条

規則第 11 条の 2

法第 28 条第 1 項の個人情報保護委員会規則で定める基準は、次の各

法第 24 条第 1 項の個人情報保護委員会規則で定める基準は、次の各号のいずれかに該当することとする。

号のいずれかに該当することとする。

(1)

(1)

個人情報取扱事業者と個人データの提供を受ける者との間で、個人情報取扱事業者と個人データの提供を受ける者との間で、

89

個人情報取扱事業者は、外国（本邦の域外にある国又は地域をい当該提供を受ける者における当該個人データの取扱いについて、当該提供を受ける者における当該個人データの取扱いについて、

適切かつ合理的な方法により、法第 4 章第 2 節の規定の趣旨に沿

適切かつ合理的な方法により、法第 4 章第 1 節の規定の趣旨に沿った措置の実施が確保されていること。

った措置の実施が確保されていること。

[(2) 略][(2) 同左]

規則第 17 条

規則第 11 条の 3

1

1

3

4

法第 24 条第 2 項又は法第 26 条の 2 第 1 項第 2 号の規定により情報をする方法は、電磁的記録の提供による方法、書面の交付による方法そ提供する方法は、電磁的記録の提供による方法、書面の交付による方の他の適切な方法とする。

法その他の適切な方法とする。

法第 28 条第 2 項又は法第 31 条第 1 項第 2 号の規定による情報の提供

2

法第 24 条第 2 項又は法第 26 条の 2 第 1 項第 2 号の規定による情報のは、次に掲げる事項について行うものとする。

提供は、次に掲げる事項について行うものとする。

[(1)～(3) 略][(1)～(3) 同左]

前項の規定にかかわらず、個人情報取扱事業者は、法第 28 条第 1 項

3

前項の規定にかかわらず、個人情報取扱事業者は、法第 24 条第 1 項の規定により本人の同意を得ようとする時点において、前項第 1 号に定の規定により本人の同意を得ようとする時点において、前項第 1 号に定める事項が特定できない場合には、同号及び同項第 2 号に定める事項にめる事項が特定できない場合には、同号及び同項第 2 号に定める事項に代えて、次に掲げる事項について情報提供しなければならない。

代えて、次に掲げる事項について情報提供しなければならない。

[(1)・(2) 略][(1)・(2) 同左]

第 2 項の規定にかかわらず、個人情報取扱事業者は、法第 28 条第 14

第 2 項の規定にかかわらず、個人情報取扱事業者は、法第 24 条第 1項の規定により本人の同意を得ようとする時点において、第 2 項第 3 号

項の規定により本人の同意を得ようとする時点において、第 2 項第 3 号に定める事項について情報提供できない場合には、同号に定める事項に定める事項について情報提供できない場合には、同号に定める事項に代えて、その旨及びその理由について情報提供しなければならなに代えて、その旨及びその理由について情報提供しなければならな

い。

い。

90

2

法第 28 条第 2 項又は法第 31 条第 1 項第 2 号の規定により情報を提供

規則第 18 条

規則第 11 条の 411を含む。）の規定による外国にある第三者による相当措置の継続的な場合を含む。）の規定による外国にある第三者による相当措置の継続実施を確保するために必要な措置は、次に掲げる措置とする。

的な実施を確保するために必要な措置は、次に掲げる措置とする。

(1)

[略]

(1)

[同左]

(2)

当該第三者による相当措置の実施に支障が生じたときは、必要(2)

当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施

かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データ（法第 31 条第 2 項におの確保が困難となったときは、個人データ（法第 26 条の 2 第 2 項

いて読み替えて準用する場合にあっては、個人関連情報）の当該において読み替えて準用する場合にあっては、個人関連情報）の第三者への提供を停止すること。

当該第三者への提供を停止すること。

法第 28 条第 3 項の規定により情報を提供する方法は、電磁的記録の2提供による方法、書面の交付による方法その他の適切な方法とする。
3

個人情報取扱事業者は、法第 28 条第 3 項の規定による求めを受けた

5

法第 24 条第 3 項の規定により情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。

3

個人情報取扱事業者は、法第 24 条第 3 項の規定による求めを受けた

ときは、本人に対し、遅滞なく、次に掲げる事項について情報提供しときは、本人に対し、遅滞なく、次に掲げる事項について情報提供しなければならない。ただし、情報提供することにより当該個人情報取なければならない。ただし、情報提供することにより当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合

扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合

は、その全部又は一部を提供しないことができる。

は、その全部又は一部を提供しないことができる。

(1)

(1)

当該第三者による法第 28 条第 1 項に規定する体制の整備の方法[(2)～(7) 略]
4

法第 24 条第 3 項（法第 26 条の 2 第 2 項において読み替えて準用する

個人情報取扱事業者は、法第 28 条第 3 項の規定による求めに係る情当該第三者による法第 24 条第 1 項に規定する体制の整備の方法[(2)～(7) 同左]
4

個人情報取扱事業者は、法第 24 条第 3 項の規定による求めに係る情報の全部又は一部について提供しない旨の決定をしたときは、本人に報の全部又は一部について提供しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

対し、遅滞なく、その旨を通知しなければならない。

[略]

5

[同左]

91

2

法第 28 条第 3 項（法第 31 条第 2 項において読み替えて準用する場合

3-6-5 第三者提供に係る記録の作成等（法第 29 条関係）

3-6-5 第三者提供に係る記録の作成等（法第 25 条関係）

[略]

[同左]

（参考）

（参考）

法第 29 条

法第 25 条1

1

2

個人情報取扱事業者は、個人データを第三者（第 2 条第 5 項各号に掲げる者を除く。以下この条及び次条（第 31 条第 3 項において読み替

掲げる者を除く。以下この条及び次条（第 26 条の 2 第 3 項において読えて準用する場合を含む。）において同じ。）に提供したときは、個み替えて準用する場合を含む。）において同じ。）に提供したとき

人情報保護委員会規則で定めるところにより、当該個人データを提供

は、個人情報保護委員会規則で定めるところにより、当該個人データ

した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会を提供した年月日、当該第三者の氏名又は名称その他の個人情報保護規則で定める事項に関する記録を作成しなければならない。ただし、委員会規則で定める事項に関する記録を作成しなければならない。た

当該個人データの提供が第 27 条第 1 項各号又は第 5 項各号のいずれか

だし、当該個人データの提供が第 23 条第 1 項各号又は第 5 項各号のい（前条第 1 項の規定による個人データの提供にあっては、第 27 条第 1

ずれか（前条第 1 項の規定による個人データの提供にあっては、第 23項各号のいずれか）に該当する場合は、この限りでない。

条第 1 項各号のいずれか）に該当する場合は、この限りでない。

[略]

2

[同左]

規則第 19 条

規則第 12 条

1

1

法第 29 条第 1 項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。

2

法第 29 条第 1 項の記録は、個人データを第三者（同項に規定する第法第 25 条第 1 項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。

2

法第 25 条第 1 項の記録は、個人データを第三者（同項に規定する第92

個人情報取扱事業者は、個人データを第三者（第 16 条第 2 項各号に

三者をいう。以下この条、次条、第 15 条から第 17 条まで、第 18 条のび第 28 条において同じ。）に提供した都度、速やかに作成しなければ

3 及び第 18 条の 4 において同じ。）に提供した都度、速やかに作成しならない。ただし、当該第三者に対し個人データを継続的に若しくはなければならない。ただし、当該第三者に対し個人データを継続的に反復して提供（法第 27 条第 2 項の規定による提供を除く。以下この項

若しくは反復して提供（法第 23 条第 2 項の規定による提供を除く。以において同じ。）したとき、又は当該第三者に対し個人データを継続

下この項において同じ。）したとき、又は当該第三者に対し個人デー

的に若しくは反復して提供することが確実であると見込まれるときのタを継続的に若しくは反復して提供することが確実であると見込まれ

記録は、一括して作成することができる。

るときの記録は、一括して作成することができる。

前項の規定にかかわらず、法第 27 条第 1 項又は法第 28 条第 1 項の規

3

前項の規定にかかわらず、法第 23 条第 1 項又は法第 24 条第 1 項の規定により、本人に対する物品又は役務の提供に関連して当該本人に係定により、本人に対する物品又は役務の提供に関連して当該本人に係る個人データを第三者に提供した場合において、当該提供に関して作

る個人データを第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に次条第 1 項各号に定める事項が記載さ成された契約書その他の書面に次条第 1 項各号に定める事項が記載されているときは、当該書面をもって法第 29 条第 1 項の当該事項に関すれているときは、当該書面をもって法第 25 条第 1 項の当該事項に関する記録に代えることができる。

る記録に代えることができる。

規則第 20 条

規則第 13 条

1

1

法第 29 条第 1 項の個人情報保護委員会規則で定める事項は、次の各

法第 25 条第 1 項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とす

号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とす

る。

る。

(1)

法第 27 条第 2 項の規定により個人データを第三者に提供した場
合(1)

次のイからニまでに掲げる事項

法第 23 条第 2 項の規定により個人データを第三者に提供した場
合次のイからニまでに掲げる事項

イ

[略]

イ

[同左]

ロ

当該第三者の氏名又は名称及び住所並びに法人にあっては、そロ

当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものの代表者（法人でない団体で代表者又は管理人の定めのあるもの

93

3

三者をいう。以下この条、次条、第 22 条から第 24 条まで、第 27 条及

にあっては、その代表者又は管理人。第 28 条第 1 項第 3 号においにあっては、その代表者又は管理人。第 18 条の 4 第 1 項第 3 号にて同じ。）の氏名（不特定かつ多数の者に対して提供したとき

おいて同じ。）の氏名（不特定かつ多数の者に対して提供したとは、その旨）

きは、その旨）[ハ・ニ 略]法第 27 条第 1 項又は法第 28 条第 1 項の規定により個人データを(2)

法第 23 条第 1 項又は法第 24 条第 1 項の規定により個人データを第三者に提供した場合 次のイ及びロに掲げる事項

2

第三者に提供した場合 次のイ及びロに掲げる事項

イ

法第 27 条第 1 項又は法第 28 条第 1 項の本人の同意を得ている旨

イ

法第 23 条第 1 項又は法第 24 条第 1 項の本人の同意を得ている旨

ロ

[略]

ロ

[同左]

前項各号に定める事項のうち、既に前条に規定する方法により作成

2

前項各号に定める事項のうち、既に前条に規定する方法により作成した法第 29 条第 1 項の記録（当該記録を保存している場合におけるもした法第 25 条第 1 項の記録（当該記録を保存している場合におけるものに限る。）に記録されている事項と内容が同一であるものについてのに限る。）に記録されている事項と内容が同一であるものについて

は、法第 29 条第 1 項の当該事項の記録を省略することができる。

は、法第 25 条第 1 項の当該事項の記録を省略することができる。

規則第 21 条

規則第 14 条

法第 29 条第 2 項の個人情報保護委員会規則で定める期間は、次の各

法第 25 条第 2 項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とす

号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とす

る。

る。

(1)

第 19 条第 3 項に規定する方法により記録を作成した場合 最後(1)

第 12 条第 3 項に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を行った日から起算して 1 年に当該記録に係る個人データの提供を行った日から起算して 1 年を経過する日までの間を経過する日までの間(2)

第 19 条第 2 項ただし書に規定する方法により記録を作成した場
合最後に当該記録に係る個人データの提供を行った日から起算

して 3 年を経過する日までの間(2)

第 12 条第 2 項ただし書に規定する方法により記録を作成した場
合最後に当該記録に係る個人データの提供を行った日から起算

して 3 年を経過する日までの間

94

(2)

[ハ・ニ 同左]

[略]

(3)

[同左]

3-6-6 第三者提供を受ける際の確認等（法第 30 条関係）

3-6-6 第三者提供を受ける際の確認等（法第 26 条関係）

[略]

[同左]

（参考）

（参考）

【第三者提供を受ける際の確認（法第 30 条第 1 項・第 2 項関係）】【第三者提供を受ける際の確認（法第 26 条第 1 項・第 2 項関係）】

法第 30 条（第 1 項・第 2 項）

法第 26 条（第 1 項・第 2 項）

1

1

2

個人情報取扱事業者は、第三者から個人データの提供を受けるに際個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、個人情報保護委員会規則で定めるところにより、次に掲げる

しては、個人情報保護委員会規則で定めるところにより、次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供

事項の確認を行わなければならない。ただし、当該個人データの提供が第 27 条第 1 項各号又は第 5 項各号のいずれかに該当する場合は、こが第 23 条第 1 項各号又は第 5 項各号のいずれかに該当する場合は、この限りでない。

の限りでない。

[(1)・(2) 略][(1)・(2) 同左]

[略]

2

[同左]

規則第 22 条

規則第 15 条

11

2

法第 30 条第 1 項の規定による同項第 1 号に掲げる事項の確認を行う

法第 26 条第 1 項の規定による同項第 1 号に掲げる事項の確認を行う

方法は、個人データを提供する第三者から申告を受ける方法その他の方法は、個人データを提供する第三者から申告を受ける方法その他の適切な方法とする。

適切な方法とする。

法第 30 条第 1 項の規定による同項第 2 号に掲げる事項の確認を行う

2

法第 26 条第 1 項の規定による同項第 2 号に掲げる事項の確認を行う

95

(3)

方法は、個人データを提供する第三者から当該第三者による当該個人

方法は、個人データを提供する第三者から当該第三者による当該個人

データの取得の経緯を示す契約書その他の書面の提示を受ける方法そ

データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法とする。

の他の適切な方法とする。

前二項の規定にかかわらず、第三者から他の個人データの提供を受

3

前二項の規定にかかわらず、第三者から他の個人データの提供を受けるに際して既に前二項に規定する方法による確認（当該確認についけるに際して既に前二項に規定する方法による確認（当該確認について次条に規定する方法による記録の作成及び保存をしている場合におて次条に規定する方法による記録の作成及び保存をしている場合におけるものに限る。）を行っている事項の確認を行う方法は、当該事項けるものに限る。）を行っている事項の確認を行う方法は、当該事項の内容と当該提供に係る法第 30 条第 1 項各号に掲げる事項の内容が同の内容と当該提供に係る法第 26 条第 1 項各号に掲げる事項の内容が同一であることの確認を行う方法とする。

一であることの確認を行う方法とする。

【第三者提供を受ける際の記録の作成等（法第 30 条第 3 項・第 4 項関

【第三者提供を受ける際の記録の作成等（法第 26 条第 3 項・第 4 項関

係）】

係）】

法第 30 条（第 3 項・第 4 項）

法第 26 条（第 3 項・第 4 項）

[略]

[同左]

規則第 23 条

規則第 16 条

1

1

法第 30 条第 3 項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。

2

法第 30 条第 3 項の記録は、第三者から個人データの提供を受けた都法第 26 条第 3 項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。

2

法第 26 条第 3 項の記録は、第三者から個人データの提供を受けた都度、速やかに作成しなければならない。ただし、当該第三者から継続

度、速やかに作成しなければならない。ただし、当該第三者から継続的に若しくは反復して個人データの提供（法第 27 条第 2 項の規定によ的に若しくは反復して個人データの提供（法第 23 条第 2 項の規定による提供を除く。以下この条において同じ。）を受けたとき、又は当該る提供を除く。以下この条において同じ。）を受けたとき、又は当該第三者から継続的に若しくは反復して個人データの提供を受けること第三者から継続的に若しくは反復して個人データの提供を受けること

96

3

3

が確実であると見込まれるときの記録は、一括して作成することがでが確実であると見込まれるときの記録は、一括して作成することがで

きる。

きる。

前項の規定にかかわらず、本人に対する物品又は役務の提供に関連

3

前項の規定にかかわらず、本人に対する物品又は役務の提供に関連して第三者から当該本人に係る個人データの提供を受けた場合においして第三者から当該本人に係る個人データの提供を受けた場合において、当該提供に関して作成された契約書その他の書面に次条第 1 項各て、当該提供に関して作成された契約書その他の書面に次条第 1 項各号に定める事項が記載されているときは、当該書面をもって法第 30 条号に定める事項が記載されているときは、当該書面をもって法第 26 条

第 3 項の当該事項に関する記録に代えることができる。

第 3 項の当該事項に関する記録に代えることができる。

規則第 24 条

規則第 17 条

1

1

法第 30 条第 3 項の個人情報保護委員会規則で定める事項は、次の各

法第 26 条第 3 項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とす

る。

る。

(1)

個人情報取扱事業者から法第 27 条第 2 項の規定による個人デー

(1)

97

号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とす

タの提供を受けた場合 次のイからホまでに掲げる事項

個人情報取扱事業者から法第 23 条第 2 項の規定による個人デー
タの提供を受けた場合 次のイからホまでに掲げる事項

イ [略]

イ

[同左]

ロ 法第 30 条第 1 項各号に掲げる事項

ロ

法第 26 条第 1 項各号に掲げる事項[ハ・ニ 略][ハ・ニ 同左]

ホホ 法第 23 条第 4 項の規定により公表されている旨(2)

法第 27 条第 4 項の規定により公表されている旨
個人情報取扱事業者から法第 27 条第 1 項又は法第 28 条第 1 項の規定による個人データの提供を受けた場合(2)

次のイ及びロに掲げ

個人情報取扱事業者から法第 23 条第 1 項又は法第 24 条第 1 項の規定による個人データの提供を受けた場合

る事項

次のイ及びロに掲げる事項

イ

法第 27 条第 1 項又は法第 28 条第 1 項の本人の同意を得ている旨

イ

法第 23 条第 1 項又は法第 24 条第 1 項の本人の同意を得ている旨

ロ

[略]

ロ

[同左]

個人関連情報取扱事業者から法第 31 条第 1 項の規定による個人
関連情報の提供を受けて個人データとして取得した場合(3)

個人関連情報取扱事業者から法第 26 条の 2 第 1 項の規定による

次のイ

個人関連情報の提供を受けて個人データとして取得した場合からニまでに掲げる事項
イのイからニまでに掲げる事項

法第 31 条第 1 項第 1 号の本人の同意が得られている旨及び外国イ

法第 26 条の 2 第 1 項第 1 号の本人の同意が得られている旨及びにある個人情報取扱事業者にあっては、同項第 2 号の規定による外国にある個人情報取扱事業者にあっては、同項第 2 号の規定に情報の提供が行われている旨

よる情報の提供が行われている旨

ロ

法第 30 条第 1 項第 1 号に掲げる事項

ロ[ハ・ニ 略](4)2

次[ハ・ニ 同左][略]

前項各号に定める事項のうち、既に前条に規定する方法により作成

法第 26 条第 1 項第 1 号に掲げる事項

(4)
2

[同左]

前項各号に定める事項のうち、既に前条に規定する方法により作成した法第 30 条第 3 項の記録（当該記録を保存している場合におけるもした法第 26 条第 3 項の記録（当該記録を保存している場合におけるものに限る。）に記録された事項と内容が同一であるものについては、のに限る。）に記録された事項と内容が同一であるものについては、

法第 30 条第 3 項の当該事項の記録を省略することができる。

法第 26 条第 3 項の当該事項の記録を省略することができる。

規則第 25 条

規則第 18 条

法第 30 条第 4 項の個人情報保護委員会規則で定める期間は、次の各

法第 26 条第 4 項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とす

号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とす

る。

る。

(1)

第 23 条第 3 項に規定する方法により記録を作成した場合 最後(1)

第 16 条第 3 項に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を受けた日から起算して 1 年に当該記録に係る個人データの提供を受けた日から起算して 1 年を経過する日までの間を経過する日までの間(2)

第 23 条第 2 項ただし書に規定する方法により記録を作成した場
合最後に当該記録に係る個人データの提供を受けた日から起算(2)

第 16 条第 2 項ただし書に規定する方法により記録を作成した場
合最後に当該記録に係る個人データの提供を受けた日から起算

98

(3)

して 3 年を経過する日までの間
(3)

[略]

3-7 個人関連情報の第三者提供の制限等（法第 31 条関係）

して 3 年を経過する日までの間
(3)

[同左]

3-7 個人関連情報の第三者提供の制限等（法第 26 条の 2 関係）

個人関連情報の定義については、2-8（個人関連情報）を参照のこと。

（参考）

[新設]

法第 2 条（第 7 項）
7

この法律において「個人関連情報」とは、生存する個人に関する情99報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。

個人関連情報取扱事業者の定義については、2-9（個人関連情報取扱事業者）を参照のこと。

（参考）
法第 16 条（第 7 項）
7

この章、第 6 章及び第 7 章において「個人関連情報取扱事業者」とは、個人関連情報を含む情報の集合物であって、特定の個人関連情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の個人関連情報を容易に検索することができるように[新設]

体系的に構成したものとして政令で定めるもの（第 31 条第 1 項において「個人関連情報データベース等」という。）を事業の用に供している者をいう。ただし、第 2 項各号に掲げる者を除く。

政令第 8 条
法第 16 条第 7 項の政令で定めるものは、同項に規定する情報の集合物に含まれる個人関連情報を一定の規則に従って整理することにより特定の個人関連情報を容易に検索することができるように体系的に構成したものであって、目次、索引その他検索を容易にするためのもの[削る]

3-7-1 定義

[削る]

3-7-1-1 個人関連情報法第 26 条の 2（第 1 項）
1（略）個人関連情報（生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。以下同じ。）（略）

個人関連情報とは、生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。

100を有するものをいう。

「個人に関する情報」とは、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報である。「個人に関する情報」のうち、氏名、生年月日その他の記述等により特定の個人を識別することができるものは、個人情報に該当するため、個人関連情報には該当しない。
また、統計情報は、特定の個人との対応関係が排斥されている限りにおいては、「個人に関する情報」に該当するものではないため、個人関連情報にも該当しない。

【個人関連情報に該当する事例（※）】

サイトの閲覧履歴
事例 2）メールアドレスに結び付いた、ある個人の年齢・性別・家族構成
等
事例 3）ある個人の商品購買履歴・サービス利用履歴
事例 4）ある個人の位置情報
事例 5）ある個人の興味・関心を示す情報（※）個人情報に該当する場合は、個人関連情報に該当しないことになる。例えば、一般的に、ある個人の位置情報それ自体のみ
では個人情報には該当しないものではあるが、個人に関する位
置情報が連続的に蓄積される等して特定の個人を識別することができる場合には、個人情報に該当し、個人関連情報には該当

101

事例 1）Cookie 等の端末識別子を通じて収集された、ある個人のウェブ

しないことになる。

3-7-1-2 個人関連情報取扱事業者[削る]法第 26 条の 2（第 1 項）
1

個人関連情報取扱事業者（個人関連情報データベース等（個人関連情報（略）を含む情報の集合物であって、特定の個人関連情報を電子
計算機を用いて検索することができるように体系的に構成したものその他特定の個人関連情報を容易に検索することができるように体系的同じ。）を事業の用に供している者であって、第 2 条第 5 項各号に掲げる者を除いたものをいう。以下同じ。）（略）

政令第 7 条の 2
法第 26 条の 2 第 1 項の政令で定めるものは、これに含まれる個人関連情報を一定の規則に従って整理することにより特定の個人関連情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するものをいう。

「個人関連情報取扱事業者」とは、個人関連情報データベース等を事業の用に供している者のうち、国の機関、地方公共団体、独立行政法人等の102に構成したものとして政令で定めるものをいう。以下この項において保有する個人情報の保護に関する法律で定める独立行政法人等及び地方独立行政法人法で定める地方独立行政法人を除いた者をいう。

「個人関連情報を含む情報の集合物であって、特定の個人関連情報を電子計算機を用いて検索することができるように体系的に構成したもの」とは、特定の個人関連情報をコンピュータを用いて検索することができるよ
うに体系的に構成した、個人関連情報を含む情報の集合物をいう。また、コンピュータを用いていない場合であっても、紙媒体の個人関連情報を一定の規則に従って整理・分類し、特定の個人関連情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索

ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。なお、法人格のない、権利能力のない社団（任意団体）又は個人であっても、個人関連情報
データベース等を事業の用に供している場合は、個人関連情報取扱事業者に該当する。

3-7-1 法第 31 条の適用の有無について

3-7-2 法第 26 条の 2 の適用の有無について

個人関連情報取扱事業者は、提供先の第三者が個人関連情報（個人関連

個人関連情報取扱事業者は、提供先の第三者が個人関連情報（個人関連103

可能な状態に置いているものも該当する。

情報データベース等を構成するものに限る。以下同じ。）を個人データと情報データベース等を構成するものに限る。以下同じ。）を個人データとして取得することが想定されるときは、法第 27 条第 1 項各号に掲げる場合して取得することが想定されるときは、法第 23 条第 1 項各号に掲げる場合を除き、あらかじめ当該個人関連情報に係る本人の同意が得られているこを除き、あらかじめ当該個人関連情報に係る本人の同意が得られていること等を確認しないで、当該個人関連情報を提供してはならない。

と等を確認しないで、当該個人関連情報を提供してはならない。
法第 26 条の 2 第 1 項は、個人関連情報取扱事業者による個人関連情報の者提供一般に適用されるものではなく、提供先の第三者が個人関連情報を第三者提供一般に適用されるものではなく、提供先の第三者が個人関連情「個人データとして取得することが想定されるとき」に適用されるもので報を「個人データとして取得することが想定されるとき」に適用されるもある。そのため、個人関連情報の提供を行う個人関連情報取扱事業者は、のである。そのため、個人関連情報の提供を行う個人関連情報取扱事業者

提供先の第三者との間で、提供を行う個人関連情報の項目や、提供先の第は、提供先の第三者との間で、提供を行う個人関連情報の項目や、提供先三者における個人関連情報の取扱い等を踏まえた上で、それに基づいて法の第三者における個人関連情報の取扱い等を踏まえた上で、それに基づい

第 31 条第 1 項の適用の有無を判断する。

て法第 26 条の 2 第 1 項の適用の有無を判断する。
104

法第 31 条第 1 項は、個人関連情報取扱事業者による個人関連情報の第三3-7-1-1 「個人データとして取得する」について

3-7-2-1 「個人データとして取得する」について

法第 31 条第 1 項の「個人データとして取得する」とは、提供先の第三者法第 26 条の 2 第 1 項の「個人データとして取得する」とは、提供先の第において、個人データに個人関連情報を付加する等、個人データとして利三者において、個人データに個人関連情報を付加する等、個人データとし用しようとする場合をいう。

て利用しようとする場合をいう。

提供先の第三者が、提供を受けた個人関連情報を、ID 等を介して提供先

提供先の第三者が、提供を受けた個人関連情報を、ID 等を介して提供先が保有する他の個人データに付加する場合には、「個人データとして取得が保有する他の個人データに付加する場合には、「個人データとして取得する」場合に該当する。

する」場合に該当する。

提供先の第三者が、提供を受けた個人関連情報を直接個人データに紐付

提供先の第三者が、提供を受けた個人関連情報を直接個人データに紐付けて利用しない場合は、別途、提供先の第三者が保有する個人データとのけて利用しない場合は、別途、提供先の第三者が保有する個人データとの容易照合性が排除しきれないとしても、ここでいう「個人データとして取得する」場合には直ちに該当しない。

得する」場合には直ちに該当しない。

3-7-1-2 「想定される」について

3-7-2-2 「想定される」について「想定される」とは、提供元の個人関連情報取扱事業者において、提供「想定される」とは、提供元の個人関連情報取扱事業者において、提供先の第三者が「個人データとして取得する」（3-7-1-1（「個人データとし先の第三者が「個人データとして取得する」（3-7-2-1（「個人データとして取得する」について））ことを現に想定している場合、又は一般人の認て取得する」について））ことを現に想定している場合、又は一般人の認識（※）を基準として「個人データとして取得する」ことを通常想定でき識（※）を基準として「個人データとして取得する」ことを通常想定できる場合をいう。

る場合をいう。

[略][同左]

3-7-1-3 契約等による対応について

3-7-2-3 契約等による対応について

提供元の個人関連情報取扱事業者及び提供先の第三者間の契約等におい

提供元の個人関連情報取扱事業者及び提供先の第三者間の契約等において、提供先の第三者において、提供を受けた個人関連情報を個人データとて、提供先の第三者において、提供を受けた個人関連情報を個人データとして利用しない旨が定められている場合には、通常、「個人データとしてして利用しない旨が定められている場合には、通常、「個人データとして取得する」ことが想定されず、法第 31 条は適用されない。この場合、提供取得する」ことが想定されず、法第 26 条の 2 は適用されない。この場合、元の個人関連情報取扱事業者は、提供先の第三者における個人関連情報の提供元の個人関連情報取扱事業者は、提供先の第三者における個人関連情取扱いの確認まで行わなくとも、通常、「個人データとして取得する」こ

報の取扱いの確認まで行わなくとも、通常、「個人データとして取得す105

容易照合性が排除しきれないとしても、ここでいう「個人データとして取る」ことが想定されない。もっとも、提供先の第三者が実際には個人関連

個人データとして利用することが窺われる事情がある場合には、当該事情情報を個人データとして利用することが窺われる事情がある場合には、当に応じ、別途、提供先の第三者における個人関連情報の取扱いも確認した

該事情に応じ、別途、提供先の第三者における個人関連情報の取扱いも確上で「個人データとして取得する」ことが想定されるかどうか判断する必認した上で「個人データとして取得する」ことが想定されるかどうか判断要がある。

する必要がある。

3-7-2 本人の同意の取得方法

3-7-3 本人の同意の取得方法

3-7-2-1 本人の同意

3-7-3-1 本人の同意

法第 31 条第 1 項第 1 号の「本人の同意」とは、個人関連情報取扱事業者

法第 26 条の 2 第 1 項第 1 号の「本人の同意」とは、個人関連情報取扱事

が第三者に個人関連情報を提供し、当該第三者が当該個人関連情報を個人業者が第三者に個人関連情報を提供し、当該第三者が当該個人関連情報をデータとして取得することを承諾する旨の当該本人の意思表示をいう。同

個人データとして取得することを承諾する旨の当該本人の意思表示をい号の同意の取得に当たっては、本人が同意に係る判断を行うために必要とう。同号の同意の取得に当たっては、本人が同意に係る判断を行うために考えられる合理的かつ適切な範囲の内容を明確に示した上で、本人の同意必要と考えられる合理的かつ適切な範囲の内容を明確に示した上で、本人の意思が明確に確認できることが必要である。

の同意の意思が明確に確認できることが必要である。

また、本人の同意は、必ずしも第三者提供のたびに取得しなければなら

また、本人の同意は、必ずしも第三者提供のたびに取得しなければならないものではなく、本人が予測できる範囲において、包括的に同意を取得ないものではなく、本人が予測できる範囲において、包括的に同意を取得することも可能である。

することも可能である。

なお、令和 2 年改正法の施行日前になされた本人の個人関連情報の取扱

なお、令和 2 年改正法の施行日前になされた本人の個人関連情報の取扱

いに関する同意がある場合において、その同意が法第 31 条第 1 項の規定にいに関する同意がある場合において、その同意が法第 26 条の 2 第 1 項の規106とが想定されない。もっとも、提供先の第三者が実際には個人関連情報を

よる個人関連情報の第三者への提供を認める旨の同意に相当するものであ

定による個人関連情報の第三者への提供を認める旨の同意に相当するもの

るときは、同項第 1 号の同意があったものとみなす（令和 2 年改正法附則であるときは、同項第 1 号の同意があったものとみなす（令和 2 年改正法

第 5 条第 1 号）。

附則第 5 条第 1 号）。

また、令和 3 年改正法の施行日前に別表第二法人等（3-1-3（利用目的による制限）参照）に対しされた本人の個人関連情報の取扱いに関する同意がある場合において、その同意が法第 31 条第 1 項第 1 号の規定による個人
関連情報の第三者への提供を認める旨の同意に相当するものであるときは、令和 3 年改正法の施行日において同号の同意があったものとみなす

3-7-2-2 同意を取得する主体

3-7-3-2 同意を取得する主体

法第 31 条第 1 項第 1 号の「本人の同意」を取得する主体は、本人と接点

法第 26 条の 2 第 1 項第 1 号の「本人の同意」を取得する主体は、本人とを持ち、情報を利用する主体となる提供先の第三者であるが、同等の本人接点を持ち、情報を利用する主体となる提供先の第三者であるが、同等のの権利利益の保護が図られることを前提に、同意取得を提供元の個人関連

本人の権利利益の保護が図られることを前提に、同意取得を提供元の個人情報取扱事業者が代行することも認められる。

関連情報取扱事業者が代行することも認められる。

提供先の第三者による同意取得の場合であっても、提供元の個人関連情

提供先の第三者による同意取得の場合であっても、提供元の個人関連情報取扱事業者による同意取得の代行の場合であっても、個人関連情報の提報取扱事業者による同意取得の代行の場合であっても、個人関連情報の提供を受けて個人データとして取得する主体、対象となる個人関連情報の項

供を受けて個人データとして取得する主体、対象となる個人関連情報の項

目、個人関連情報の提供を受けて個人データとして取得した後の利用目的

目、個人関連情報の提供を受けて個人データとして取得した後の利用目的等について、本人が認識できるようにする必要がある。

等について、本人が認識できるようにする必要がある。

107（令和 3 年改正法附則第 7 条第 8 項）。

（1）提供先の第三者による同意取得の場合

提供先の第三者が、個人関連情報の提供を受けて個人データとして取得

提供先の第三者が、個人関連情報の提供を受けて個人データとして取得する主体として、本人に対して、対象となる個人関連情報を特定できるよする主体として、本人に対して、対象となる個人関連情報を特定できるよ

うに示した上で同意を取得しなければならない。

うに示した上で同意を取得しなければならない。

個人関連情報を個人データとして取得した後の利用目的については、提個人関連情報を個人データとして取得した後の利用目的については、提供先の第三者において法第 21 条により通知又は公表を行う必要があるが、供先の第三者において法第 18 条により通知又は公表を行う必要があるが、提供先において同意を取得する際には同時に当該利用目的についても本人

提供先において同意を取得する際には同時に当該利用目的についても本人に示すことが望ましい。

に示すことが望ましい。

（2）提供元の個人関連情報取扱事業者による同意取得の代行の場合（2）提供元の個人関連情報取扱事業者による同意取得の代行の場合

提供元の個人関連情報取扱事業者が同意取得を代行する場合、本人は利提供元の個人関連情報取扱事業者が同意取得を代行する場合、本人は利用の主体を認識できないことから、提供元の個人関連情報取扱事業者にお用の主体を認識できないことから、提供元の個人関連情報取扱事業者において、個人関連情報の提供を受けて個人データとして取得する提供先の第

いて、個人関連情報の提供を受けて個人データとして取得する提供先の第三者を個別に明示し、また、対象となる個人関連情報を特定できるように三者を個別に明示し、また、対象となる個人関連情報を特定できるように示さなければならない。

示さなければならない。

提供先の第三者が個人関連情報を個人データとして取得した後の利用目

提供先の第三者が個人関連情報を個人データとして取得した後の利用目的については、提供先の第三者において法第 21 条により通知又は公表を行 的については、提供先の第三者において法第 18 条により通知又は公表を行わなければならない。

わなければならない。

また、提供元の個人関連情報取扱事業者が同意取得を代行する場合であまた、提供元の個人関連情報取扱事業者が同意取得を代行する場合であっても、提供先の第三者が同意取得の主体であることに変わりはないことっても、提供先の第三者が同意取得の主体であることに変わりはないこと

108（1）提供先の第三者による同意取得の場合

から、提供先の第三者は提供元の個人関連情報取扱事業者に適切に同意取得させなければならない。

得させなければならない。

3-7-2-3 同意取得の方法

3-7-3-3 同意取得の方法

[略]

[同左]

3-7-3 本人の同意等の確認の方法（法第 31 条第 1 項関係）

3-7-4 本人の同意等の確認の方法（法第 26 条の 2 第 1 項関係）

3-7-3-1 個人データとして取得することを認める旨の本人の同意を得ら

3-7-4-1 個人データとして取得することを認める旨の本人の同意を得られていること（法第 31 条第 1 項第 1 号、規則第 26 条第 1 項関れていること（法第 26 条の 2 第 1 項第 1 号、規則第 18 条の 2 第係）

1 項関係）

法第 31 条（第 1 項）

法第 26 条の 2（第 1 項）

1

1

個人関連情報取扱事業者は、第三者が個人関連情報（個人関連情報

個人関連情報取扱事業者（略）は、第三者が個人関連情報（個人関データベース等を構成するものに限る。以下この章及び第 6 章におい

連情報データベース等を構成するものに限る。以下同じ。）を個人デて同じ。）を個人データとして取得することが想定されるときは、第ータとして取得することが想定されるときは、第 23 条第 1 項各号に掲

27 条第 1 項各号に掲げる場合を除くほか、次に掲げる事項について、げる場合を除くほか、次に掲げる事項について、あらかじめ個人情報

あらかじめ個人情報保護委員会規則で定めるところにより確認するこ

保護委員会規則で定めるところにより確認することをしないで、当該とをしないで、当該個人関連情報を当該第三者に提供してはならな

個人関連情報を当該第三者に提供してはならない。

い。

109

から、提供先の第三者は提供元の個人関連情報取扱事業者に適切に同意取[(1)・(2) 同左]

規則第 26 条（第 1 項）

規則第 18 条の 2（第 1 項）

1

1

法第 31 条第 1 項の規定による同項第 1 号に掲げる事項の確認を行う

法第 26 条の 2 第 1 項の規定による同項第 1 号に掲げる事項の確認を方法は、個人関連情報の提供を受ける第三者から申告を受ける方法そ行う方法は、個人関連情報の提供を受ける第三者から申告を受ける方の他の適切な方法とする。

法その他の適切な方法とする。

個人関連情報取扱事業者は、提供先の第三者が個人関連情報を個人デー

個人関連情報取扱事業者は、提供先の第三者が個人関連情報を個人デー

タとして取得することが想定されるときは、原則として、あらかじめ当該

タとして取得することが想定されるときは、原則として、あらかじめ当該

個人関連情報に係る本人の同意が得られていることを確認しないで個人関個人関連情報に係る本人の同意が得られていることを確認しないで個人関連情報を提供してはならない。

連情報を提供してはならない。

本人から同意を得る主体は、原則として提供先の第三者となり、個人関

本人から同意を得る主体は、原則として提供先の第三者となり、個人関連情報取扱事業者は、当該第三者から申告を受ける方法その他の適切な方

連情報取扱事業者は、当該第三者から申告を受ける方法その他の適切な方法によって本人同意が得られていることを確認することになる。提供先の法によって本人同意が得られていることを確認することになる。提供先の第三者から申告を受ける場合、個人関連情報取扱事業者は、その申告内容

第三者から申告を受ける場合、個人関連情報取扱事業者は、その申告内容を一般的な注意力をもって確認すれば足りる。

を一般的な注意力をもって確認すれば足りる。

提供先の第三者において、複数の本人から同一の方式で同意を取得して提供先の第三者において、複数の本人から同一の方式で同意を取得している場合、提供元はそれぞれの本人から同意が取得されていることを確認いる場合、提供元はそれぞれの本人から同意が取得されていることを確認する必要があるが、同意取得の方法については、本人ごとに個別の申告をする必要があるが、同意取得の方法については、本人ごとに個別の申告を受ける必要はなく、複数の本人からどのように同意を取得したか申告を受受ける必要はなく、複数の本人からどのように同意を取得したか申告を受け、それによって確認を行えば足りる。

け、それによって確認を行えば足りる。

なお、提供先の第三者から提供元の個人関連情報取扱事業者に対する申なお、提供先の第三者から提供元の個人関連情報取扱事業者に対する申告に際し、提供先の第三者が法第 31 条第 1 項第 1 号の同意を取得済みの告に際し、提供先の第三者が法第 26 条の 2 第 1 項第 1 号の同意を取得済み

110[(1)・(2) 略]

の ID 等を提供する行為は、個人データの第三者提供に該当する場合がある

が、法第 31 条第 1 項の確認行為において必要となる情報のみを提供すが、法第 26 条の 2 第 1 項の確認行為において必要となる情報のみを提供する場合は、法令に基づく場合（法第 27 条第 1 項第 1 号）に該当する。

る場合は、法令に基づく場合（法第 23 条第 1 項第 1 号）に該当する。

また、提供元の個人関連情報取扱事業者において、同意取得を代行する

また、提供元の個人関連情報取扱事業者において、同意取得を代行する

場合、当該同意を自ら確認する方法も「その他の適切な方法」による確認場合、当該同意を自ら確認する方法も「その他の適切な方法」による確認に該当する。

に該当する。

[【第三者から申告を受ける方法に該当する事例】・【その他の適切な方法[【第三者から申告を受ける方法に該当する事例】・【その他の適切な方法に該当する事例】 略]に該当する事例】 同左]

3-7-3-2 外国にある第三者への提供にあっては、必要な情報が当該本人

3-7-4-2 外国にある第三者への提供にあっては、必要な情報が当該本人に提供されていること（法第 31 条第 1 項第 2 号、規則第 26 条第に提供されていること（法第 26 条の 2 第 1 項第 2 号、規則第 18

2 項関係）

条の 2 第 2 項関係）

法第 31 条（第 1 項）

法第 26 条の 2（第 1 項）

1

1

個人関連情報取扱事業者は、第三者が個人関連情報（個人関連情報

個人関連情報取扱事業者（略）は、第三者が個人関連情報（個人関データベース等を構成するものに限る。以下この章及び第 6 章におい

連情報データベース等を構成するものに限る。以下同じ。）を個人デて同じ。）を個人データとして取得することが想定されるときは、第ータとして取得することが想定されるときは、第 23 条第 1 項各号に掲

27 条第 1 項各号に掲げる場合を除くほか、次に掲げる事項について、げる場合を除くほか、次に掲げる事項について、あらかじめ個人情報

あらかじめ個人情報保護委員会規則で定めるところにより確認するこ

保護委員会規則で定めるところにより確認することをしないで、当該とをしないで、当該個人関連情報を当該第三者に提供してはならな

個人関連情報を当該第三者に提供してはならない。

い。

111

ID 等を提供する行為は、個人データの第三者提供に該当する場合がある

2

第 28 条第 3 項の規定は、前項の規定により個人関連情報取扱事業者[(1)・(2) 同左]
2

第 24 条第 3 項の規定は、前項の規定により個人関連情報取扱事業者

が個人関連情報を提供する場合について準用する。この場合においが個人関連情報を提供する場合について準用する。この場合において、同条第 3 項中「講ずるとともに、本人の求めに応じて当該必要なて、同条第 3 項中「講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供し」とあるのは、「講じ」と読み措置に関する情報を当該本人に提供し」とあるのは、「講じ」と読み替えるものとする。

替えるものとする。

規則第 17 条（第 1 項・第 2 項）

規則第 11 条の 3（第 1 項・第 2 項）

1

1

2

法第28条第2項又は法第31条第1項第2号の規定により情報を提供する

法第24条第2項又は法第26条の2第1項第2号の規定により情報を提供

方法は、電磁的記録の提供による方法、書面の交付による方法その他

する方法は、電磁的記録の提供による方法、書面の交付による方法その適切な方法とする。

の他の適切な方法とする。

法第28条第2項又は法第31条第1項第2号の規定による情報の提供は、

2

法第24条第2項又は法第26条の2第1項第2号の規定による情報の提供

次に掲げる事項について行うものとする。

は、次に掲げる事項について行うものとする。

[(1)～(3) 略][(1)～(3) 同左]

規則第 18 条（第 1 項）

規則第 11 条の 4（第 1 項）

1

1

法第 28 条第 3 項（法第 31 条第 2 項において読み替えて準用する場合

法第 24 条第 3 項（法第 26 条の 2 第 2 項において読み替えて準用するを含む。）の規定による外国にある第三者による相当措置の継続的な場合を含む。）の規定による外国にある第三者による相当措置の継続実施を確保するために必要な措置は、次に掲げる措置とする。

的な実施を確保するために必要な措置は、次に掲げる措置とする。

(1)

[略]

(1)

[同左]

(2)

当該第三者による相当措置の実施に支障が生じたときは、必要(2)

当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施

かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データ（法第 31 条第 2 項におの確保が困難となったときは、個人データ（法第 26 条の 2 第 2 項

112[(1)・(2) 略]

において読み替えて準用する場合にあっては、個人関連情報）の第三者への提供を停止すること。

当該第三者への提供を停止すること。

個人関連情報取扱事業者は、個人関連情報の提供先が外国にある第三者

個人関連情報取扱事業者は、個人関連情報の提供先が外国にある第三者である場合には、法第 31 条第 1 項第 1 号に基づき本人の同意が得られていである場合には、法第 26 条の 2 第 1 項第 1 号に基づき本人の同意が得られることを確認するに当たって、当該同意が得られていることに加え、当該ていることを確認するに当たって、当該同意が得られていることに加え、同意を得ようとする時点において次の（1）から（3）までの情報が当該本

当該同意を得ようとする時点において次の（1）から（3）までの情報が当人に提供されていることを確認しなければならない。

該本人に提供されていることを確認しなければならない。

情報提供の方法及び提供すべき情報の内容の考え方等については、外国情報提供の方法及び提供すべき情報の内容の考え方等については、外国

第三者提供ガイドライン「5-1（情報提供の方法）」及び「5-2（提供すべ

第三者提供ガイドライン「5-1（情報提供の方法）」及び「5-2（提供すべき情報）」を参照のこと。

き情報）」を参照のこと。

(1) 当該外国の名称（規則第 17 条第 2 項第 1 号関係）

(1) 当該外国の名称（規則第 11 条の 3 第 2 項第 1 号関係）

(2) 適切かつ合理的な方法により得られた当該外国における個人情報の(2) 適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報（規則第 17 条第 2 項第 2 号関係）

保護に関する制度に関する情報（規則第 11 条の 3 第 2 項第 2 号関係）

(3) 当該第三者が講ずる個人情報の保護のための措置に関する情報（規(3) 当該第三者が講ずる個人情報の保護のための措置に関する情報（規則第 17 条第 2 項第 3 号関係）[略]①

則第 11 条の 3 第 2 項第 3 号関係）

[同左]

当該第三者が個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報保護制度を有している国にある場合①

当該第三者が個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報保護制度を有している国にある場合

113

いて読み替えて準用する場合にあっては、個人関連情報）の当該

個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人の権利利益を保護する上で我が国と同等の水準にあると認められる

個人情報保護制度を有している外国として規則で定める国（※1）は、法第個人情報保護制度を有している外国として規則で定める国（※1）は、法第31 条第 1 項第 2 号の「外国」には該当しない。そのため、個人関連情報の26 条の 2 第 1 項第 2 号の「外国」には該当しない。そのため、個人関連情

提供先が、当該国にある第三者である場合には、法第 31 条第 1 項第 2 号は報の提供先が、当該国にある第三者である場合には、法第 26 条の 2 第 1 項

適用されない。

第 2 号は適用されない。

当該第三者が個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備している場合②

当該第三者が個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備している場合

個人関連情報の提供先である外国にある第三者が、個人情報取扱事業者

個人関連情報の提供先である外国にある第三者が、個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制としてが講ずべき措置に相当する措置を継続的に講ずるために必要な体制として

規則第 16 条で定める基準に適合する体制を整備している場合（※2）に

規則第 11 条の 2 で定める基準に適合する体制を整備している場合（※2）

は、当該第三者は、法第 31 条第 1 項第 2 号における「第三者」に該当しな には、当該第三者は、法第 26 条の 2 第 1 項第 2 号における「第三者」に該い。そのため、当該体制を整備している外国にある第三者への個人関連情当しない。そのため、当該体制を整備している外国にある第三者への個人報の提供については、法第 31 条第 1 項第 2 号は適用されない。

関連情報の提供については、法第 26 条の 2 第 1 項第 2 号は適用されない。

ただし、規則第 16 条で定める基準に適合する体制を整備している外国に

ただし、規則第 11 条の 2 で定める基準に適合する体制を整備している外ある第三者に個人関連情報の提供を行った場合には、個人関連情報取扱事

国にある第三者に個人関連情報の提供を行った場合には、個人関連情報取業者は、法第 31 条第 2 項により読み替えて準用される法第 28 条第 3 項に扱事業者は、法第 26 条の 2 第 2 項により読み替えて準用される法第 24 条に基づき、次の（ア）及び（イ）の措置を講じなければならない（※3）

第 3 項に基づき、次の（ア）及び（イ）の措置を講じなければならない

（※4）。

（※3）。

114

②

講ずべき措置の考え方等については、外国第三者提供ガイドライン「6-1（相当措置の継続的な実施を確保するために必要な措置）」を参照のこ（相当措置の継続的な実施を確保するために必要な措置）」を参照のこと。

と。

(ア) 当該第三者による相当措置の実施状況並びに当該相当措置の実施(ア) 当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、

適切かつ合理的な方法により、定期的に確認すること（規則第 18 条

適切かつ合理的な方法により、定期的に確認すること（規則第 11 条

第 1 項第 1 号関係）の 4 第 1 項第 1 号関係）

(イ) 当該第三者による相当措置の実施に支障が生じたときは、必要か(イ) 当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保

つ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人関連情報の当該第三者への提供を停止すが困難となったときは、個人関連情報の当該第三者への提供を停止すること（規則第 18 条第 1 項第 2 号関係）ること（規則第 11 条の 4 第 1 項第 2 号関係）[（※1）・（※2） 略][（※1）・（※2） 同左]（※3）法第 26 条の 2 第 2 項（現行法第 31 条第 2 項）において読み（※3）法第 26 条の 2 第 2 項において読み替えて準用される法第 24

替えて準用される法第 24 条第 3 項（現行法第 28 条第 3 項）の条第 3 項の規定は、個人関連情報取扱事業者が令和 2 年改正法

規定は、個人関連情報取扱事業者が令和 2 年改正法の施行日以の施行日以後に同項に規定する外国にある第三者に個人関連情

後に同項に規定する外国にある第三者に個人関連情報を提供し報を提供した場合について適用される（令和 2 年改正法附則第 5

た場合について適用される（令和 2 年改正法附則第 5 条第 2

条第 2 項）。

項）。
（※4）法第 31 条第 2 項において読み替えて準用される法第 28 条第3 項の規定は、別表第二法人等（3-1-3（利用目的による制限）
参照）が令和 3 年改正法の施行日以後に同項に規定する外国に

[新設]

115

講ずべき措置の考え方等については、外国第三者提供ガイドライン「6-1ある第三者に個人関連情報を提供した場合について適用される（令和 3 年改正法附則第 7 条第 9 項）。

＜確認の方法（規則第 26 条第 2 項関係）＞＜確認の方法（規則第 18 条の 2 第 2 項関係）＞

規則第 26 条（第 2 項）

規則第 18 条の 2（第 2 項）

2

2

法第 26 条の 2 第 1 項の規定による同項第 2 号に掲げる事項の確認を行

法は、同号の規定による情報の提供が行われていることを示す書面のう方法は、同号の規定による情報の提供が行われていることを示す書

提示を受ける方法その他の適切な方法とする。

面の提示を受ける方法その他の適切な方法とする。

[略]

[同左]

【書面の提示を受ける方法に該当する事例】【書面の提示を受ける方法に該当する事例】

事例 1）提供先の第三者が本人に対して法第 31 条第 1 項第 2 号の規定に事例 1）提供先の第三者が本人に対して法第 26 条の 2 第 1 項第 2 号の規よる情報の提供を行う際に使用している書面の提示を受ける方法

定による情報の提供を行う際に使用している書面の提示を受ける
方法

事例 2）提供先の第三者が本人に対してホームページ上で法第 31 条第 1

事例 2）提供先の第三者が本人に対してホームページ上で法第 26 条の 2

項第 2 号の規定による情報の提供を行っている場合において、当第 1 項第 2 号の規定による情報の提供を行っている場合において、

該ホームページの写しの提示を受ける方法

当該ホームページの写しの提示を受ける方法

事例 3）提供先の第三者が本人に対して法第 31 条第 1 項第 2 号の規定に事例 3）提供先の第三者が本人に対して法第 26 条の 2 第 1 項第 2 号の規よる情報の提供を行っていることを誓約する書面を受け入れる方定による情報の提供を行っていることを誓約する書面を受け入れ

法

る方法

116

法第 31 条第 1 項の規定による同項第 2 号に掲げる事項の確認を行う方【その他の適切な方法に該当する事例】

事例 1）提供先の第三者が本人に対してホームページ上で法第 31 条第 1

事例 1）提供先の第三者が本人に対してホームページ上で法第 26 条の 2

項第 2 号の規定による情報の提供を行っている場合において、当第 1 項第 2 号の規定による情報の提供を行っている場合において、

該ホームページの記載内容を確認する方法

当該ホームページの記載内容を確認する方法

事例 2）[略]事例 2）[同左]

3-7-3-3 既に確認を行った第三者に対する確認の方法（規則第 26 条第 3

3-7-4-3 既に確認を行った第三者に対する確認の方法（規則第 18 条の 2項）

第 3 項）

規則第 26 条（第 3 項）

規則第 18 条の 2（第 3 項）

3

3

前二項の規定にかかわらず、第三者に個人関連情報の提供を行うに際前二項の規定にかかわらず、第三者に個人関連情報の提供を行うに際して既に前二項に規定する方法による確認（当該確認について次条にして既に前二項に規定する方法による確認（当該確認について次条に規定する方法による記録の作成及び保存をしている場合におけるもの

規定する方法による記録の作成及び保存をしている場合におけるものに限る。）を行っている事項の確認を行う方法は、当該事項の内容とに限る。）を行っている事項の確認を行う方法は、当該事項の内容と当該提供に係る法第 31 条第 1 項各号に掲げる事項の内容が同一である

当該提供に係る法第 26 条の 2 第 1 項各号に掲げる事項の内容が同一でことの確認を行う方法とする。

あることの確認を行う方法とする。

令和 2 年改正法規則附則第 4 条

令和 2 年改正法規則附則第 4 条

法第 31 条第 1 項第 1 号に規定する事項のうち、施行日前に第 26 条に法第 26 条の 2 第 1 項第 1 号に規定する事項のうち、施行日前に第 18規定する方法に相当する方法で確認（当該確認について第 27 条に規定

条の 2 に規定する方法に相当する方法で確認（当該確認について第 18する方法に相当する方法で記録を作成し、かつ、保存している場合に条の 3 に規定する方法に相当する方法で記録を作成し、かつ、保存しおけるものに限る。）を行っているものについては、第 26 条第 3 項のている場合におけるものに限る。）を行っているものについては、第117【その他の適切な方法に該当する事例】

規定を適用することができる。この場合において、同項中「前二項に18 条の 2 第 3 項の規定を適用することができる。この場合において、規定する方法」とあるのは「前二項に規定する方法に相当する方法」

同項中「前二項に規定する方法」とあるのは「前二項に規定する方法と読み替えるものとする。

に相当する方法」と読み替えるものとする。

複数回にわたって同一「本人」の個人関連情報を提供する場合におい複数回にわたって同一「本人」の個人関連情報を提供する場合において、同一の内容である事項を重複して確認する合理性はないため、既に規て、同一の内容である事項を重複して確認する合理性はないため、既に規則第 26 条に規定する方法（3-7-3-1（個人データとして取得することを認

則第 18 条の 2 に規定する方法（3-7-4-1（個人データとして取得することめる旨の本人の同意を得られていること）、3-7-3-2（外国にある第三者へを認める旨の本人の同意を得られていること）、3-7-4-2（外国にある第三の提供にあっては、参考となるべき情報が当該本人に提供されているこ

者への提供にあっては、参考となるべき情報が当該本人に提供されている法により作成し、かつ、その時点において保存している記録に記録された方法により作成し、かつ、その時点において保存している記録に記録され事項と内容が同一であるものについては、当該事項の確認を省略することた事項と内容が同一であるものについては、当該事項の確認を省略するこができる。

とができる。

令和 2 年改正法の施行日の前に上記に規定する方法に相当する方法で作成した記録についても同様とする。

令和 2 年改正法の施行日の前に上記に規定する方法に相当する方法で作成した記録についても同様とする。

例えば、個人関連情報取扱事業者が、同じ提供先に対して、既に確認・

例えば、個人関連情報取扱事業者が、同じ提供先に対して、既に確認・記録義務を履行した本人に係る個人関連情報であることを認識しながら、記録義務を履行した本人に係る個人関連情報であることを認識しながら、

個人関連情報の提供を行う場合は、「同一であることの確認」が行われて

個人関連情報の提供を行う場合は、「同一であることの確認」が行われているものである。

いるものである。

3-7-4 提供元における記録義務（法第 31 条第 3 項、第 30 条第 3 項関係）

3-7-5 提供元における記録義務（法第 26 条の 2 第 3 項、第 26 条第 3 項

118と））により確認を行い、3-7-4（提供元における記録義務）に規定する方 こと））により確認を行い、3-7-5（提供元における記録義務）に規定する

関係）

法第 31 条（第 3 項）

法第 26 条の 2（第 3 項）

[略]

[同左]

法第 30 条（第 3 項）

法第 26 条（第 3 項）

[略]

[同左]

個人関連情報取扱事業者は、法第 31 条第 1 項の規定による確認を行った

個人関連情報取扱事業者は、法第 26 条の 2 第 1 項の規定による確認を行用される法第 30 条第 3 項）。なお、「第三者」のうち、次の（1）からおいて準用される法第 26 条第 3 項）。なお、「第三者」のうち、次の（1）（4）までに掲げる者に個人関連情報の提供を行う場合は、記録義務は適用から（4）までに掲げる者に個人関連情報の提供を行う場合は、記録義務はされない（法第 31 条第 3 項において読み替えて準用する法第 30 条第 3 項、 適用されない（法第 26 条の 2 第 3 項において読み替えて準用する法第 26 条
第 29 条第 1 項）。

第 3 項、第 25 条第 1 項）。

（1）国の機関（法第 16 条第 2 項第 1 号関係）

（1）国の機関（法第 2 条第 5 項第 1 号関係）

（2）地方公共団体（法第 16 条第 2 項第 2 号関係）

（2）地方公共団体（法第 2 条第 5 項第 2 号関係）

（3）独立行政法人等（独立行政法人通則法第 2 条第 1 項 に規定する独（3）独立行政法人等（独立行政法人等の保有する個人情報の保護に関す立行政法人及び別表第 1 に掲げる法人をいう。別表第 2 に掲げる法人

る法律第 2 条第 1 項 に規定する独立行政法人等をいう。）（法第 2を除く。）（法第 16 条第 2 項第 3 号関係）条第 5 項第 3 号関係）

（4）地方独立行政法人（地方独立行政法人法第 2 条第 1 項に規定する地
方独立行政法人をいう。）（法第 16 条第 2 項第 4 号関係）

（4）地方独立行政法人（地方独立行政法人法第 2 条第 1 項に規定する地
方独立行政法人をいう。）（法第 2 条第 5 項第 4 号関係）

119

場合は、その記録を作成しなければならない（法第 31 条第 3 項において準 った場合は、その記録を作成しなければならない（法第 26 条の 2 第 3 項に

3-7-5-1 記録を作成する媒体（規則第 18 条の 3 第 1 項関係）

規則第 27 条（第 1 項）

規則第 18 条の 3（第 1 項）

1

1

法第 31 条第 3 項において読み替えて準用する法第 30 条第 3 項の規定

法第 26 条の 2 第 3 項において読み替えて準用する法第 26 条第 3 項のによる同項の記録を作成する方法は、文書、電磁的記録又はマイクロ規定による同項の記録を作成する方法は、文書、電磁的記録又はマイフィルムを用いて作成する方法とする。

クロフィルムを用いて作成する方法とする。

[略]

[同左]

3-7-4-2 記録を作成する方法

3-7-5-2 記録を作成する方法

3-7-4-2-1 原則（規則第 27 条第 2 項関係）

3-7-5-2-1 原則（規則第 18 条の 3 第 2 項関係）

規則第 27 条（第 2 項）

規則第 18 条の 3（第 2 項）

2

2

法第 31 条第 3 項において読み替えて準用する法第 30 条第 3 項の記録

法第 26 条の 2 第 3 項において読み替えて準用する法第 26 条第 3 項のは、個人関連情報を第三者に提供した都度、速やかに作成しなければ記録は、個人関連情報を第三者に提供した都度、速やかに作成しなけならない。（略）ればならない。（略）

[略]

[同左]

120

3-7-4-1 記録を作成する媒体（規則第 27 条第 1 項関係）

3-7-5-2-2 一括して記録を作成する方法（規則第 18 条の 3 第 2 項関

3-7-4-2-2 一括して記録を作成する方法（規則第 27 条第 2 項関係）係）

規則第 27 条（第 2 項）

規則第 18 条の 3（第 2 項）

[略]

[同左]

[略]

[同左]

3-7-4-2-3 契約書等の代替手段による方法（規則第 27 条第 3 項関係）

3-7-5-2-3 契約書等の代替手段による方法（規則第 18 条の 3 第 3 項関規則第 27 条（第 3 項）

規則第 18 条の 3（第 3 項）

33

前項の規定にかかわらず、法第 31 条第 1 項の規定により、本人に対前項の規定にかかわらず、法第 26 条の 2 第 1 項の規定により、本人する物品又は役務の提供に関連して当該本人に係る個人関連情報を第に対する物品又は役務の提供に関連して当該本人に係る個人関連情報

三者に提供した場合において、当該提供に関して作成された契約書そを第三者に提供した場合において、当該提供に関して作成された契約の他の書面に次条第 1 項各号に定める事項が記載されているときは、

書その他の書面に次条第 1 項各号に定める事項が記載されているとき

当該書面をもって法第 31 条第 3 項において読み替えて準用する法第 30

は、当該書面をもって法第 26 条の 2 第 3 項において読み替えて準用す

条第 3 項の当該事項に関する記録に代えることができる。

る法第 26 条第 3 項の当該事項に関する記録に代えることができる。

個人関連情報取扱事業者が、本人に対する物品又は役務の提供に係る契個人関連情報取扱事業者が、本人に対する物品又は役務の提供に係る契約を締結し、かかる契約の履行に伴って、当該本人に係る個人関連情報を約を締結し、かかる契約の履行に伴って、当該本人に係る個人関連情報を

当該個人関連情報取扱事業者から第三者に提供する場合は、当該契約書そ当該個人関連情報取扱事業者から第三者に提供する場合は、当該契約書そ

121

係）

の他の書面をもって記録とすることができる。

仮に、規則第 27 条第 3 項の要件を満たさない書面も、記録事項が記載さ仮に、規則第 18 条の 3 第 3 項の要件を満たさない書面も、記録事項が記れていれば記録として認められるが、保存期間の違いに留意する必要があ載されていれば記録として認められるが、保存期間の違いに留意する必要る（3-7-4-4（保存期間）参照）。

がある（3-7-5-4（保存期間）参照）。

[（1）・（2） 略][（1）・（2） 同左]（3）「契約書その他の書面」（3）「契約書その他の書面」

本人と提供元の個人関連情報取扱事業者との間で作成した契約書のみな本人と提供元の個人関連情報取扱事業者との間で作成した契約書のみならず、提供元の個人関連情報取扱事業者と提供先の第三者との間で作成しらず、提供元の個人関連情報取扱事業者と提供先の第三者との間で作成した契約書も、含まれる。

た契約書も、含まれる。

「契約書」の他にも、「その他の書面」には、個人関連情報取扱事業者
又は提供先の第三者の内部で作成された帳票、記録簿等も含まれる。
また、「契約書その他の書面」は電磁的記録を含むため（規則第 11 条第「契約書」の他にも、「その他の書面」には、個人関連情報取扱事業者
又は提供先の第三者の内部で作成された帳票、記録簿等も含まれる。
また、「契約書その他の書面」は電磁的記録を含むため（規則第 7 条第 33 項参照）、システム上の記録等も「契約書その他の書面」に該当する。

項参照）、システム上の記録等も「契約書その他の書面」に該当する。

【契約書等の代替手段による方法の例】【契約書等の代替手段による方法の例】

事例）提供元の個人関連情報取扱事業者が提供先の第三者との間で、個事例）提供元の個人関連情報取扱事業者が提供先の第三者との間で、個人関連情報の提供に関して「契約書その他の書面」を交わしてい人関連情報の提供に関して「契約書その他の書面」を交わしている場合であって、当該書面に規則第 28 条第 1 項各号に掲げる事項

る場合であって、当該書面に規則第 18 条の 4 第 1 項各号に掲げるが記載されている場合事項が記載されている場合

122の他の書面をもって記録とすることができる。

3-7-5-2-4 代行により記録を作成する方法

[略]

[同左]

3-7-4-3 提供元における記録事項（規則第 28 条関係）

3-7-5-3 提供元における記録事項（規則第 18 条の 4 関係）

3-7-4-3-1 提供元における記録事項（規則第 28 条第 1 項関係）

3-7-5-3-1 提供元における記録事項（規則第 18 条の 4 第 1 項関係）

法第 31 条（第 3 項）

法第 26 条の 2（第 3 項）

3

2

[略]

法第 30 条（第 3 項）

[同左]

法第 26 条（第 3 項）

[略]

[同左]

規則第 28 条（第 1 項）

規則第 18 条の 4（第 1 項）

1

1

法第 31 条第 3 項において読み替えて準用する法第 30 条第 3 項の個人法第 26 条の 2 第 3 項において準用する法第 26 条第 3 項の個人情報保情報保護委員会規則で定める事項は、次に掲げる事項とする。

護委員会規則で定める事項は、次に掲げるものとする。

(1)

(1)

(2)

法第 31 条第 1 項第 1 号の本人の同意が得られていることを確

法第 26 条の 2 第 1 項第 1 号の本人の同意が得られていることを認した旨及び外国にある第三者への提供にあっては、同項第 2 号

確認した旨及び外国にある第三者への提供にあっては、同項第 2の規定による情報の提供が行われていることを確認した旨号の規定による情報の提供が行われていることを確認した旨

個人関連情報を提供した年月日（前条第 2 項ただし書の規定に(2)

個人関連情報を提供した年月日（前条第 2 項ただし書の規定に

123

3-7-4-2-4 代行により記録を作成する方法

より、法第 31 条第 3 項において読み替えて準用する法第 30 条第 3より、法第 26 条の 2 第 3 項において読み替えて準用する法第 26 条

項の記録を一括して作成する場合にあっては、当該提供の期間の第 3 項の記録を一括して作成する場合にあっては、当該提供の期

初日及び末日）間の初日及び末日）[(3)・(4) 略][(3)・(4) 同左]

提供元の個人関連情報取扱事業者は、法第 31 条第 1 項の規定による確認

提供元の個人関連情報取扱事業者は、法第 26 条の 2 第 1 項の規定によるを行ったときは、次の項目を記録しなければならない。

確認を行ったときは、次の項目を記録しなければならない。

た旨及び外国にある第三者への提供にあっては、同項第 2 号の規定に認した旨及び外国にある第三者への提供にあっては、同項第 2 号の規よる情報の提供が行われていることを確認した旨」

定による情報の提供が行われていることを確認した旨」

法第 31 条第 1 項第 1 号の本人の同意が得られていること及び外国にある

法第 26 条の 2 第 1 項第 1 号の本人の同意が得られていること及び外国に第三者への提供にあっては、同項第 2 号の規定による情報の提供が行われある第三者への提供にあっては、同項第 2 号の規定による情報の提供が行ていることについて確認した旨をその方法を含めて記載する。

われていることについて確認した旨をその方法を含めて記載する。

提供元の個人関連情報取扱事業者が同意取得を代行している場合におい提供元の個人関連情報取扱事業者が同意取得を代行している場合においては、それぞれの事項を提供元の個人関連情報取扱事業者が自ら確認したては、それぞれの事項を提供元の個人関連情報取扱事業者が自ら確認した旨を記載する。

旨を記載する。

（2）「個人関連情報を提供した年月日（前条第 2 項ただし書の規定によ （2）「個人関連情報を提供した年月日（前条第 2 項ただし書の規定により、法第 31 条第 3 項において読み替えて準用する法第 30 条第 3 項のり、法第 26 条の 2 第 3 項において読み替えて準用する法第 26 条第 3

記録を一括して作成する場合にあっては、当該提供の期間の初日及項の記録を一括して作成する場合にあっては、当該提供の期間の初び末日）」日及び末日）」

124（1）「法第 31 条第 1 項第 1 号の本人の同意が得られていることを確認し （1）「法第 26 条の 2 第 1 項第 1 号の本人の同意が得られていることを確

[略]

[同左]

（3）[略]（3）[同左]（4）「当該個人関連情報の項目」（4）「当該個人関連情報の項目」[事例 1）～事例 3） 略][事例 1）～事例 3） 同左]

[略]

[同左]

＜提供元の記録事項＞

[略]

[同左]

125

＜提供元の記録事項＞（※）個人関連情報の第三者提供について、外国にある第三者への（※）個人関連情報の第三者提供について、外国にある第三者への提供にあっては、法第 31 条第 1 項第 2 号の規定による情報の提提供にあっては、法第 26 条の 2 第 1 項第 2 号の規定による情報

供についても記録する。

の提供についても記録する。

3-7-4-3-2 記録事項の省略（規則第 28 条第 2 項関係）

3-7-5-3-2 記録事項の省略（規則第 18 条の 4 第 2 項関係）

規則第 28 条（第 2 項）

規則第 18 条の 4（第 2 項）

2

2

前項各号に定める事項のうち、既に前条に規定する方法により作成した法第 31 条第 3 項において読み替えて準用する法第 30 条第 3 項の記

前項各号に定める事項のうち、既に前条に規定する方法により作成した法第 26 条の 2 第 3 項において読み替えて準用する法第 26 条第 3 項

録（当該記録を保存している場合におけるものに限る。）に記録されの記録（当該記録を保存している場合におけるものに限る。）に記録た事項と内容が同一であるものについては、法第 31 条第 3 項においてされた事項と内容が同一であるものについては、法第 26 条の 2 第 3 項

読み替えて準用する法第 30 条第 3 項の当該事項の記録を省略すること

において読み替えて準用する法第 26 条第 3 項の当該事項の記録を省略ができる。

することができる。

令和 2 年改正法規則附則第 5 条

第 28 条第 1 項に規定する事項のうち、施行日前に第 27 条に規定する

第 18 条の 4 第 1 項に規定する事項のうち、施行日前に第 18 条の 3 に方法に相当する方法で記録（当該記録を保存している場合におけるも規定する方法に相当する方法で記録（当該記録を保存している場合にのに限る。）を作成しているものについては、第 28 条第 2 項の規定をおけるものに限る。）を作成しているものについては、第 18 条の 4 第適用することができる。この場合において、同項中「前条に規定する

2 項の規定を適用することができる。この場合において、同項中「前条方法」とあるのは「前条に規定する方法に相当する方法」と読み替えに規定する方法」とあるのは「前条に規定する方法に相当する方法」

るものとする。

と読み替えるものとする。

複数回にわたって同一「本人」の個人関連情報の提供をする場合におい複数回にわたって同一「本人」の個人関連情報の提供をする場合において、同一の内容である事項を重複して記録する必要はないことから、そのて、同一の内容である事項を重複して記録する必要はないことから、その旨を明確にするものである。すなわち、既に 3-7-4（提供元における記録義 旨を明確にするものである。すなわち、既に 3-7-5（提供元における記録義務）に規定する方法により作成した記録（現に保存している場合に限務）に規定する方法により作成した記録（現に保存している場合に限る。）に記録された事項と内容が同一であるものについては、当該事項のる。）に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。

記録を省略することができる。

令和 2 年改正法の施行日の前に上記に規定する方法に相当する方法で作成した記録についても同様とする。

令和 2 年改正法の施行日の前に上記に規定する方法に相当する方法で作成した記録についても同様とする。

なお、記録事項のうち、一部の事項の記録の作成を規則第 28 条第 2 項に

なお、記録事項のうち、一部の事項の記録の作成を規則第 18 条の 4 第 2基づき省略し、残りの事項の記録のみを作成した場合、記録全体としての項に基づき省略し、残りの事項の記録のみを作成した場合、記録全体とし126

令和 2 年改正法規則附則第 5 条

保存期間の起算点は、残りの事項を作成した時点とする。保存期間についての保存期間の起算点は、残りの事項を作成した時点とする。保存期間にては、3-7-4-4（保存期間）を参照のこと。

ついては、3-7-5-4（保存期間）を参照のこと。

3-7-5-4 保存期間（法第 26 条の 2 第 3 項、第 26 条第 4 項関係）

法第 31 条（第 3 項）

法第 26 条の 2（第 3 項）

3

2

[略]

[同左]

法第 30 条（第 4 項）

法第 26 条（第 4 項）

[略]

[同左]

規則第 29 条

規則第 18 条の 5

法第 31 条第 3 項において準用する法第 30 条第 4 項の個人情報保護委

法第 26 条の 2 第 3 項において準用する法第 26 条第 4 項の個人情報保員会規則で定める期間は、次の各号に掲げる場合の区分に応じ、それ護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じ、ぞれ当該各号に定める期間とする。

それぞれ当該各号に定める期間とする。

(1)

(1)

第 27 条第 3 項に規定する方法により記録を作成した場合 最後に当該記録に係る個人関連情報の提供を行った日から起算して 1

最後に当該記録に係る個人関連情報の提供を行った日から起算し年を経過する日までの間て 1 年を経過する日までの間(2)

第 27 条第 2 項ただし書に規定する方法により記録を作成した場
合(2)

最後に当該記録に係る個人関連情報の提供を行った日から起[略]

第 18 条の 3 第 2 項ただし書に規定する方法により記録を作成した場合算して 3 年を経過する日までの間(3)

第 18 条の 3 第 3 項に規定する方法により記録を作成した場合

最後に当該記録に係る個人関連情報の提供を行った日か

ら起算して 3 年を経過する日までの間
(3)

[同左]

127

3-7-4-4 保存期間（法第 31 条第 3 項、第 30 条第 4 項関係）

[略]

[同左]

＜保存期間＞

記録の作成方法の別「3-7-4-2-3

契約書等の代替手

保存期間[略]記録の作成方法の別「3-7-5-2-3

契約書等の代替手段による方法」により記録を段による方法」により記録を作成した場合作成した場合「3-7-4-2-2

一括して記録を作[略]「3-7-5-2-2

一括して記録を作成する方法」により記録を作成する方法」により記録を作

成した場合

成した場合

上述以外の場合[略]

上述以外の場合

保存期間
[同左]

[同左]

[同左]

3-7-5 提供先の第三者における確認義務（法第 30 条第 1 項）

3-7-6 提供先の第三者における確認義務（法第 26 条第 1 項）

法第 30 条（第 1 項）

法第 26 条（第 1 項）

[略]

[同左]

個人情報取扱事業者である提供先の第三者は、法第 31 条第 1 項の規定に個人情報取扱事業者である提供先の第三者は、法第 26 条の 2 第 1 項の規よる個人関連情報の提供（法第 27 条第 1 項各号に掲げる場合を除く。）を 定による個人関連情報の提供（法第 23 条第 1 項各号に掲げる場合を除受けて個人データとして取得する場合は、法第 30 条第 1 項の確認義務の適 く。）を受けて個人データとして取得する場合は、法第 26 条第 1 項の確認用を受ける。

義務の適用を受ける。

128＜保存期間＞

3-7-6-1 確認方法（法第 26 条第 1 項、規則第 15 条関係）

3-7-5-1 確認方法（法第 30 条第 1 項、規則第 22 条関係）

法第 26 条（第 1 項）

[略]

[同左]

規則第 22 条（第 1 項）

規則第 15 条（第 1 項）

1

1

法第 30 条第 1 項の規定による同項第 1 号に掲げる事項の確認を行う

法第 26 条第 1 項の規定による同項第 1 号に掲げる事項の確認を行う

方法は、個人データを提供する第三者から申告を受ける方法その他の方法は、個人データを提供する第三者から申告を受ける方法その他の適切な方法とする。

適切な方法とする。

個人情報取扱事業者である提供先の第三者は、第三者から法第 31 条第 1

個人情報取扱事業者である提供先の第三者は、第三者から法第 26 条の 2項の規定による個人関連情報の提供を受けて個人データとして取得する際

第 1 項の規定による個人関連情報の提供を受けて個人データとして取得すは、当該第三者（提供元の個人関連情報取扱事業者）の氏名又は名称及びる際は、当該第三者（提供元の個人関連情報取扱事業者）の氏名又は名称

住所並びに法人にあっては、その代表者の氏名を確認しなければならな及び住所並びに法人にあっては、その代表者の氏名を確認しなければならい。確認・記録義務ガイドライン「3-1-1（第三者の氏名及び住所並びに法ない。確認・記録義務ガイドライン「3-1-1（第三者の氏名及び住所並びに人にあっては、その代表者の氏名）」も参照のこと。

法人にあっては、その代表者の氏名）」も参照のこと。

なお、「当該第三者による当該個人データの取得の経緯」（法第 30 条第なお、「当該第三者による当該個人データの取得の経緯」（法第 26 条第1 項第 2 号）については、提供元の個人関連情報取扱事業者において、提供 1 項第 2 号）については、提供元の個人関連情報取扱事業者において、提供する個人関連情報を個人データとして取得していないことから、提供先のする個人関連情報を個人データとして取得していないことから、提供先の個人情報取扱事業者における確認の対象とならない。

個人情報取扱事業者における確認の対象とならない。

129

法第 30 条（第 1 項）

3-7-6-2 既に確認を行った第三者に対する確認方法（規則第 15 条関係）

係）

規則第 22 条（第 3 項）

規則第 15 条（第 3 項）

3

3

前二項の規定にかかわらず、第三者から他の個人データの提供を受前二項の規定にかかわらず、第三者から他の個人データの提供を受けるに際して既に前二項に規定する方法による確認（当該確認についけるに際して既に前二項に規定する方法による確認（当該確認について次条に規定する方法による記録の作成及び保存をしている場合におて次条に規定する方法による記録の作成及び保存をしている場合におけるものに限る。）を行っている事項の確認を行う方法は、当該事項けるものに限る。）を行っている事項の確認を行う方法は、当該事項の内容と当該提供に係る法第 30 条第 1 項各号に掲げる事項の内容が同の内容と当該提供に係る法第 26 条第 1 項各号に掲げる事項の内容が同一であることの確認を行う方法とする。

一であることの確認を行う方法とする。

平成 27 年改正法規則附則第 4 条[略]

令和 3 年改正法規則附則第 5 条
別表第二法人等において、法第 30 条第 1 項各号に規定する事項のうち、施行日前に新規則第 22 条に規定する方法に相当する方法で確認（当該確認について新規則第 23 条に規定する方法に相当する方法により記録を作成し、かつ、保存している場合におけるものに限る。）を行っているものについては、新規則第 22 条第 3 項を適用することができる。この場合において、同項中「前二項に規定する方法」とあるのは「前二項に規定する方法に相当する方法」と読み替えるものとす

平成 27 年改正法規則附則第 4 条
[同左]

130

3-7-5-2 既に確認を行った第三者に対する確認方法（規則第 22 条関る。

複数回にわたって同一「本人」の個人関連情報の提供を受けて個人デー

複数回にわたって同一「本人」の個人関連情報の提供を受けて個人デー

タとして取得する場合において、同一の内容である事項を重複して確認す

タとして取得する場合において、同一の内容である事項を重複して確認す法））により確認を行い、3-7-4（提供元における記録義務）に規定する方法））により確認を行い、3-7-5（提供元における記録義務）に規定する方法により作成し、かつ、その時点において保存している記録に記録された法により作成し、かつ、その時点において保存している記録に記録された事項と内容が同一であるものについては、当該事項の確認を省略すること

事項と内容が同一であるものについては、当該事項の確認を省略すること

ができる。

ができる。

例えば、個人情報取扱事業者である提供先の第三者が、同じ提供元の個

例えば、個人情報取扱事業者である提供先の第三者が、同じ提供元の個

人関連情報取扱事業者から、既に確認・記録義務を履行した本人に係る個

人関連情報取扱事業者から、既に確認・記録義務を履行した本人に係る個

人関連情報であることを認識しながら、個人関連情報の提供を受けて個人

人関連情報であることを認識しながら、個人関連情報の提供を受けて個人データとして取得する場合は、「同一であることの確認」が行われている

データとして取得する場合は、「同一であることの確認」が行われているものである。

ものである。

3-7-5-3 提供先の第三者による適正取得

3-7-6-3 提供先の第三者による適正取得

個人情報取扱事業者である提供先の第三者は、偽りその他不正の手段に

個人情報取扱事業者である提供先の第三者は、偽りその他不正の手段により、個人関連情報を個人データとして取得してはならない（法第 20 条第 より、個人関連情報を個人データとして取得してはならない（法第 17 条第
1 項）。

1 項）。

[略]

[同左]

131

る合理性はないため、既に規則第 22 条に規定する方法（3-7-5-1（確認方 る合理性はないため、既に規則第 15 条に規定する方法（3-7-6-1（確認方3-7-6 提供先の第三者における記録義務（法第 30 条第 3 項関係）

3-7-7 提供先の第三者における記録義務（法第 26 条第 3 項関係）

法第 30 条（第 3 項）

法第 26 条（第 3 項）

[略]

[同左]

個人情報取扱事業者である提供先の第三者は、法第 31 条第 1 項の規定に個人情報取扱事業者である提供先の第三者は、法第 26 条の 2 第 1 項の規よる個人関連情報の提供（法第 27 条第 1 項各号に掲げる場合を除く。）を 定による個人関連情報の提供（法第 23 条第 1 項各号に掲げる場合を除受けて個人データとして取得する場合は、法第 30 条第 3 項の記録義務の適 く。）を受けて個人データとして取得する場合は、法第 26 条第 3 項の記録義務の適用を受ける。
132

用を受ける。

3-7-6-1 記録を作成する媒体（規則第 23 条第 1 項関係）

3-7-7-1 記録を作成する媒体（規則第 16 条第 1 項関係）

規則第 23 条（第 1 項）

規則第 16 条（第 1 項）

1

1

法第 30 条第 3 項の規定による同項の記録を作成する方法は、文書、法第 26 条第 3 項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。

電磁的記録又はマイクロフィルムを用いて作成する方法とする。

[略]

[同左]

3-7-6-2 記録を作成する方法

3-7-7-2 記録を作成する方法

3-7-6-2-1 原則（規則第 23 条第 2 項関係）

3-7-7-2-1 原則（規則第 16 条第 2 項関係）

規則第 23 条（第 2 項）

規則第 16 条（第 2 項）

2

2

法第 26 条第 3 項の記録は、第三者から個人データの提供を受けた都度、速やかに作成しなければならない。（略）度、速やかに作成しなければならない。（略）

[略]

[同左]

3-7-6-2-2 一括して記録を作成する方法（規則第 23 条第 2 項関係）

3-7-7-2-2 一括して記録を作成する方法（規則第 16 条第 2 項関係）

規則第 23 条（第 2 項）

規則第 16 条（第 2 項）

22（略）当該第三者から継続的に若しくは反復して個人データの提供（略）当該第三者から継続的に若しくは反復して個人データの提供（法第 27 条第 2 項の規定による提供を除く。以下この条において同（法第 23 条第 2 項の規定による提供を除く。以下この条において同じ。）を受けたとき、又は当該第三者から継続的に若しくは反復してじ。）を受けたとき、又は当該第三者から継続的に若しくは反復して個人データの提供を受けることが確実であると見込まれるときの記録

個人データの提供を受けることが確実であると見込まれるときの記録

は、一括して作成することができる。

は、一括して作成することができる。

個人情報取扱事業者である提供先の第三者は、一定の期間内に特定の事

個人情報取扱事業者である提供先の第三者は、一定の期間内に特定の事

業者から継続的に又は反復して個人関連情報の提供を受けて個人データと業者から継続的に又は反復して個人関連情報の提供を受けて個人データとして取得する場合は、個々の提供に係る記録を作成する代わりに、一括しして取得する場合は、個々の提供に係る記録を作成する代わりに、一括して記録を作成することができる。3-7-4-2-2（一括して記録を作成する方て記録を作成することができる。3-7-5-2-2（一括して記録を作成する方133

法第 30 条第 3 項の記録は、第三者から個人データの提供を受けた都法）も参照のこと。

3-7-6-2-3 契約書等の代替手段による方法（規則第 23 条第 3 項関係）

3-7-7-2-3 契約書等の代替手段による方法（規則第 16 条第 3 項関係）

規則第 23 条（第 3 項）

規則第 16 条（第 3 項）

33

前項の規定にかかわらず、本人に対する物品又は役務の提供に関連

前項の規定にかかわらず、本人に対する物品又は役務の提供に関連して第三者から当該本人に係る個人データの提供を受けた場合においして第三者から当該本人に係る個人データの提供を受けた場合において、当該提供に関して作成された契約書その他の書面に次条第 1 項各て、当該提供に関して作成された契約書その他の書面に次条第 1 項各号に定める事項が記載されているときは、当該書面をもって法第 30 条号に定める事項が記載されているときは、当該書面をもって法第 26 条

第 3 項の当該事項に関する記録に代えることができる。

第 3 項の当該事項に関する記録に代えることができる。

個人情報取扱事業者である提供先の第三者が、本人に対する物品又は役

個人情報取扱事業者である提供先の第三者が、本人に対する物品又は役務の提供に係る契約を締結し、かかる契約の履行に伴って、当該本人に係務の提供に係る契約を締結し、かかる契約の履行に伴って、当該本人に係る個人関連情報の提供を受けて個人データとして取得する場合は、当該契る個人関連情報の提供を受けて個人データとして取得する場合は、当該契約書その他の書面をもって記録とすることができる。

約書その他の書面をもって記録とすることができる。

仮に、規則第 23 条第 3 項の要件を満たさない書面も、記録事項が記載さ仮に、規則第 16 条第 3 項の要件を満たさない書面も、記録事項が記載されていれば記録として認められるが、保存期間の違いに留意する必要があれていれば記録として認められるが、保存期間の違いに留意する必要がある（3-7-6-4（保存期間）参照）。

る（3-7-7-4（保存期間）参照）。

3-7-4-2-3（契約書等の代替手段による方法）も参照のこと。

3-7-5-2-3（契約書等の代替手段による方法）も参照のこと。

134法）も参照のこと。

3-7-6-3 提供先の第三者における記録事項（規則第 24 条関係）

3-7-7-3 提供先の第三者における記録事項（規則第 17 条関係）

3-7-6-3-1 提供先の第三者における記録事項（規則第 24 条第 1 項関

3-7-7-3-1 提供先の第三者における記録事項（規則第 17 条第 1 項関係）

係）

規則第 24 条（第 1 項）

規則第 17 条（第 1 項）

1

1

法第 26 条第 3 項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とす

号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。

る。

(1)(2)(3)[略](1)(2)

個人関連情報取扱事業者から法第 31 条第 1 項の規定による個人
関連情報の提供を受けて個人データとして取得した場合

次のイ

(3)

個人関連情報取扱事業者から法第 26 条の 2 第 1 項の規定による
個人関連情報の提供を受けて個人データとして取得した場合 第 1からニまでに掲げる事項
イ 法第 31 条第 1 項第 1 号の本人の同意が得られている旨及び外国[同左]

号ロからニまでに掲げる事項
イ

法第 26 条の 2 第 1 項第 1 号の本人の同意が得られている旨及びにある個人情報取扱事業者にあっては、同項第 2 号の規定による外国にある個人情報取扱事業者にあっては、同項第 2 号の規定に情報の提供が行われている旨

よる情報の提供が行われている旨

ロ

法第 30 条第 1 項第 1 号に掲げる事項[ハ・ニ 略][略]ロ

法第 26 条第 1 項第 1 号に掲げる事項[ハ・ニ 同左][同左]（1）「法第 31 条第 1 項第 1 号の本人の同意が得られている旨及び外国に（1）「法第 26 条の 2 第 1 項第 1 号の本人の同意が得られている旨及び外ある個人情報取扱事業者にあっては、同項第 2 号の規定による情報の国にある個人情報取扱事業者にあっては、同項第 2 号の規定による情135

法第 30 条第 3 項の個人情報保護委員会規則で定める事項は、次の各

提供が行われている旨」

法第 31 条第 1 項第 1 号の本人の同意が得られている旨及び外国にある第報の提供が行われている旨」

法第 26 条の 2 第 1 項第 1 号の本人の同意が得られている旨及び外国にあ三者への提供にあっては、同項第 2 号の規定による情報の提供が行われて る第三者への提供にあっては、同項第 2 号の規定による情報の提供が行わ同意の取得や情報提供について、これを行ったことを示す証跡等があるれている旨を記載する。
同意の取得や情報提供について、これを行ったことを示す証跡等がある

場合には、当該証跡等をもって記録とすることもできる。

場合には、当該証跡等をもって記録とすることもできる。

（2）「法第 30 条第 1 項第 1 号に掲げる事項」（2）「法第 26 条第 1 項第 1 号に掲げる事項」

[略]

[同左]

（3）[略]（3）[同左]（4）「当該個人関連情報の項目」（4）「当該個人関連情報の項目」

3-7-4-3-1（提供元における個人関連情報取扱事業者の記録事項）を参照

3-7-5-3-1（提供元における個人関連情報取扱事業者の記録事項）を参照

のこと。

のこと。

＜提供先の記録事項＞＜提供先の記録事項＞

[略]

[同左]

（※）個人関連情報の第三者提供について、外国にある第三者への（※）個人関連情報の第三者提供について、外国にある第三者への136いる旨を記載する。

提供にあっては、法第 31 条第 1 項第 2 号の規定による情報の提提供にあっては、法第 26 条の 2 第 1 項第 2 号の規定による情報

供についても記録する。

の提供についても記録する。

3-7-7-3-2 記録事項の省略（規則第 17 条第 2 項関係）

規則第 24 条（第 2 項）

規則第 17 条（第 2 項）

2

2

前項各号に定める事項のうち、既に前条に規定する方法により作成

前項各号に定める事項のうち、既に前条に規定する方法により作成した法第 30 条第 3 項の記録（当該記録を保存している場合におけるもした法第 26 条第 3 項の記録（当該記録を保存している場合におけるものに限る。）に記録された事項と内容が同一であるものについては、のに限る。）に記録された事項と内容が同一であるものについては、

法第 30 条第 3 項の当該事項の記録を省略することができる。

法第 26 条第 3 項の当該事項の記録を省略することができる。

令和 2 年改正法規則附則第 3 条

令和 2 年改正法規則附則第 3 条

第 24 条第 1 項第 3 号に規定する事項のうち、施行日前に第 23 条に規第 17 条第 1 項第 3 号に規定する事項のうち、施行日前に第 16 条に規定する方法に相当する方法で記録（当該記録を保存している場合にお定する方法に相当する方法で記録（当該記録を保存している場合におけるものに限る。）を作成しているものについては、第 24 条第 2 項をけるものに限る。）を作成しているものについては、第 17 条第 2 項を適用することができる。この場合において、同項中「前条に規定する

適用することができる。この場合において、同項中「前条に規定する方法」とあるのは「前条に規定する方法に相当する方法」と読み替え方法」とあるのは「前条に規定する方法に相当する方法」と読み替えるものとする。

るものとする。

複数回にわたって同一「本人」の個人関連情報の提供を受けて個人デー

複数回にわたって同一「本人」の個人関連情報の提供を受けて個人デー

タとして取得する場合において、同一の内容である事項を重複して記録す タとして取得する場合において、同一の内容である事項を重複して記録する必要はないことから、その旨を明確にするものである。すなわち、既にる必要はないことから、その旨を明確にするものである。すなわち、既に

137

3-7-6-3-2 記録事項の省略（規則第 24 条第 2 項関係）

3-7-6（提供先の第三者における記録義務）に規定する方法により作成した

3-7-7（提供先の第三者における記録義務）に規定する方法により作成した記録（現に保存している場合に限る。）に記録された事項と内容が同一で記録（現に保存している場合に限る。）に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。

あるものについては、当該事項の記録を省略することができる。

成した記録についても同様とする。

令和 2 年改正法の施行日の前に上記に規定する方法に相当する方法で作成した記録についても同様とする。

なお、記録事項のうち、一部の事項の記録の作成を規則第 24 条第 2 項に

なお、記録事項のうち、一部の事項の記録の作成を規則第 17 条第 2 項に基づき省略し、残りの事項の記録のみを作成した場合、記録全体としての基づき省略し、残りの事項の記録のみを作成した場合、記録全体としての保存期間の起算点は、残りの事項を作成した時点とする。保存期間につい

保存期間の起算点は、残りの事項を作成した時点とする。保存期間については、3-7-6-4（保存期間）を参照のこと。

ては、3-7-7-4（保存期間）を参照のこと。

3-7-6-4 保存期間（法第 30 条第 4 項、規則第 25 条関係）

3-7-7-4 保存期間（法第 26 条第 4 項、規則第 18 条関係）

法第 30 条（第 4 項）

法第 26 条（第 4 項）

[略]

[同左]

規則第 25 条

規則第 18 条

法第 30 条第 4 項の個人情報保護委員会規則で定める期間は、次の各

法第 26 条第 4 項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とす

号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とす

る。

る。

(1)

第 23 条第 3 項に規定する方法により記録を作成した場合 最後(1)

第 16 条第 3 項に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を受けた日から起算して 1 年に当該記録に係る個人データの提供を受けた日から起算して 1 年を経過する日までの間を経過する日までの間

138

令和 2 年改正法の施行日の前に上記に規定する方法に相当する方法で作(2)第 23 条第 2 項ただし書に規定する方法により記録を作成した場
合

(2)
合

最後に当該記録に係る個人データの提供を受けた日から起算

最後に当該記録に係る個人データの提供を受けた日から起算

して 3 年を経過する日までの間

して 3 年を経過する日までの間(3)

第 16 条第 2 項ただし書に規定する方法により記録を作成した場

(3)

[略]

[同左]

[略]

[同左]

＜保存期間＞＜保存期間＞

記録の作成方法の別「3-7-6-2-3

契約書等の代替手

保存期間[略]記録の作成方法の別「3-7-7-2-3

契約書等の代替手段による方法」により記録を作

成した場合

成した場合

「3-7-6-2-2

一括して記録を作[略]「3-7-7-2-2

一括して記録を作成する方法」により記録を作成成する方法」により記録を作成

した場合

した場合

上述以外の場合[略]

3-8 保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止等（法第 32 条～第 39 条関係）

[同左]

139

段による方法」により記録を作

保存期間

上述以外の場合

[同左]

[同左]

3-8 保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止等（法第 27 条～第 34 条関係）

3-8-1 保有個人データに関する事項の公表等（法第 32 条関係）

3-8-1 保有個人データに関する事項の公表等（法第 27 条関係）

（1）保有個人データに関する事項の本人への周知（法第 32 条第 1 項関係） （1）保有個人データに関する事項の本人への周知（法第 27 条第 1 項関係）

法第 32 条（第 1 項）

法第 27 条（第 1 項）

1

1

個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する

ついて、本人の知り得る状態（本人の求めに応じて遅滞なく回答する

場合を含む。）に置かなければならない。

場合を含む。）に置かなければならない。

(1)

[略]

(1)

[同左]

(2)

全ての保有個人データの利用目的（第 21 条第 4 項第 1 号から第(2)

全ての保有個人データの利用目的（第 18 条第 4 項第 1 号から第3 号までに該当する場合を除く。）(3)

次項の規定による求め又は次条第 1 項（同条第 5 項において準(3)

次項の規定による求め又は次条第 1 項（同条第 5 項において準用する場合を含む。）、第 34 条第 1 項若しくは第 35 条第 1 項、第用する場合を含む。）、第 29 条第 1 項若しくは第 30 条第 1 項、第3 項若しくは第 5 項の規定による請求に応じる手続（第 38 条第 23 項若しくは第 5 項の規定による請求に応じる手続（第 33 条第 2項の規定により手数料の額を定めたときは、その手数料の額を含項の規定により手数料の額を定めたときは、その手数料の額を含

む。）

む。）

(4)

[略]

政令第 10 条
法第 32 条第 1 項第 4 号の政令で定めるものは、次に掲げるものとする。
(1)

3 号までに該当する場合を除く。）

(4)

[同左]

政令第 8 条
法第 27 条第 1 項第 4 号の政令で定めるものは、次に掲げるものとする。

法第 23 条の規定により保有個人データの安全管理のために講じた措置（本人の知り得る状態（本人の求めに応じて遅滞なく回答(1)

法第 20 条の規定により保有個人データの安全管理のために講じた措置（本人の知り得る状態（本人の求めに応じて遅滞なく回答

140

個人情報取扱事業者は、保有個人データに関し、次に掲げる事項にする場合を含む。）に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。）

管理に支障を及ぼすおそれがあるものを除く。）[(2)・(3) 略][(2)・(3) 同左]

[略]

[同左]

[①～③ 略][①～③ 同左]④保有個人データの安全管理のために講じた措置（ただし、本人の知り④保有個人データの安全管理のために講じた措置（ただし、本人の知り得る状態に置くことにより当該保有個人データの安全管理に支障を及得る状態に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。）

ぼすおそれがあるものを除く。）

個人情報取扱事業者は、法第 23 条の規定により保有個人データの安

個人情報取扱事業者は、法第 20 条の規定により保有個人データの安全管理のために講じた措置の内容を本人の知り得る状態に置かなけれ全管理のために講じた措置の内容を本人の知り得る状態に置かなければならない。

ばならない。

ただし、当該保有個人データの安全管理に支障を及ぼすおそれがあるものについては、その必要はない。

ただし、当該保有個人データの安全管理に支障を及ぼすおそれがあるものについては、その必要はない。

当該安全管理のために講じた措置は、事業の規模及び性質、保有個

当該安全管理のために講じた措置は、事業の規模及び性質、保有個人データの取扱状況（取り扱う保有個人データの性質及び量を含

人データの取扱状況（取り扱う保有個人データの性質及び量を含む。）、保有個人データを記録した媒体等に起因するリスクに応じむ。）、保有個人データを記録した媒体等に起因するリスクに応じて、必要かつ適切な内容としなければならない。このため、当該措置て、必要かつ適切な内容としなければならない。このため、当該措置の内容は個人情報取扱事業者によって異なり、本人の知り得る状態にの内容は個人情報取扱事業者によって異なり、本人の知り得る状態に置く安全管理のために講じた措置の内容についても個人情報取扱事業

置く安全管理のために講じた措置の内容についても個人情報取扱事業者によって異なる。

者によって異なる。

141

する場合を含む。）に置くことにより当該保有個人データの安全なお、本人の知り得る状態については、本人の求めに応じて遅滞なく回答する場合を含むため、講じた措置の概要や一部をホームページ

く回答する場合を含むため、講じた措置の概要や一部をホームページに掲載し、残りを本人の求めに応じて遅滞なく回答を行うといった対に掲載し、残りを本人の求めに応じて遅滞なく回答を行うといった対応も可能であるが、例えば、「個人情報の保護に関する法律について応も可能であるが、例えば、「個人情報の保護に関する法律についてのガイドライン（通則編）」に沿って安全管理措置を実施しているとのガイドライン（通則編）」に沿って安全管理措置を実施しているといった内容の掲載や回答のみでは適切ではない。

いった内容の掲載や回答のみでは適切ではない。

[【安全管理のために講じた措置として本人の知り得る状態に置く内容[【安全管理のために講じた措置として本人の知り得る状態に置く内容の事例】～【中小規模事業者（※10）における安全管理のために講じの事例】～【中小規模事業者（※10）における安全管理のために講じた措置として本人の知り得る状態に置く内容の事例】 略]

た措置として本人の知り得る状態に置く内容の事例】 同左]⑤保有個人データの取扱いに関する苦情の申出先⑤保有個人データの取扱いに関する苦情の申出先（例）[略]（例）[同左][（※1）～（※3） 略][（※1）～（※3） 同左]（※4）「一定の場合」とは、法第 21 条第 4 項第 1 号から第 3 号ま（※4）「一定の場合」とは、法第 18 条第 4 項第 1 号から第 3 号までに掲げる次の場合をいう（3-3-5（利用目的の通知等をしなくでに掲げる次の場合をいう（3-3-5（利用目的の通知等をしなくてよい場合）参照）。

てよい場合）参照）。

[ア）～ウ） 略][ア）～ウ） 同左][（※5）・（※6） 略][（※5）・（※6） 同左]（※7）法第 32 条第 1 項第 4 号及び政令第 10 条第 1 号の規定により（※7）法第 27 条第 1 項第 4 号及び政令第 8 条第 1 号の規定により本人の知り得る状態に置く必要があるのは保有個人データの安本人の知り得る状態に置く必要があるのは保有個人データの安全管理のために講じた措置であるが、これに代えて、個人デー

全管理のために講じた措置であるが、これに代えて、個人デー

142

なお、本人の知り得る状態については、本人の求めに応じて遅滞なタの安全管理のために講じた措置について本人の知り得る状態に置くことは妨げられない。なお、本ガイドラインでは、個人に置くことは妨げられない。なお、本ガイドラインでは、個人

データの安全管理のために講じた措置についての事例を記載しデータの安全管理のために講じた措置についての事例を記載し

ている。

ている。

安全管理措置の事例について、詳細は「10（別添）講ずべき

安全管理措置の事例について、詳細は「7（別添）講ずべき安安全管理措置の内容」を参照のこと。ただし、上記事例も含

全管理措置の内容」を参照のこと。ただし、上記事例も含め、

め、掲げられている事例の内容の全てを本人の知り得る状態に掲げられている事例の内容の全てを本人の知り得る状態に置か置かなければならないわけではなく、また、本人の知り得る状

なければならないわけではなく、また、本人の知り得る状態に態に置かなければならないものは事例の内容に限られない。本

置かなければならないものは事例の内容に限られない。本人の人の適切な理解と関与を促す観点から、事業の規模及び性質、適切な理解と関与を促す観点から、事業の規模及び性質、保有保有個人データの取扱状況等に応じて、上記事例以上に詳細な個人データの取扱状況等に応じて、上記事例以上に詳細な内容

内容の掲載や回答とすることは、より望ましい対応である。

の掲載や回答とすることは、より望ましい対応である。

[（※8）・（※9） 略][（※8）・（※9） 同左]（※10）「中小規模事業者」については、「10（別添）講ずべき安（※10）「中小規模事業者」については、「7（別添）講ずべき安全

全管理措置の内容」を参照のこと。

管理措置の内容」を参照のこと。

（※11）中小規模事業者における安全管理措置の事例についても、（※11）中小規模事業者における安全管理措置の事例についても、

詳細は「10（別添）講ずべき安全管理措置の内容」を参照のこ

詳細は「7（別添）講ずべき安全管理措置の内容」を参照のこと。その他の個人情報取扱事業者と同様に、上記事例も含め、と。その他の個人情報取扱事業者と同様に、上記事例も含め、掲げられている事例の内容の全てを本人の知り得る状態に置か掲げられている事例の内容の全てを本人の知り得る状態に置かなければならないわけではなく、また、本人の知り得る状態になければならないわけではなく、また、本人の知り得る状態に置かなければならないものは事例の内容に限られない。また、置かなければならないものは事例の内容に限られない。また、

中小規模事業者が、その他の個人情報取扱事業者と同様に「10中小規模事業者が、その他の個人情報取扱事業者と同様に「7（別添）講ずべき安全管理措置の内容」に掲げる「手法の例（別添）講ずべき安全管理措置の内容」に掲げる「手法の例143

タの安全管理のために講じた措置について本人の知り得る状態

示」に記述した手法を採用し、当該手法の内容を本人の知り得示」に記述した手法を採用し、当該手法の内容を本人の知り得る状態に置くことは、より望ましい対応である。

る状態に置くことは、より望ましい対応である。

（2）保有個人データの利用目的の通知（法第 32 条第 2 項・第 3 項関係）

（2）保有個人データの利用目的の通知（法第 27 条第 2 項・第 3 項関係）

法第 32 条（第 2 項・第 3 項）

法第 27 条（第 2 項・第 3 項）

2

2

3

個人情報取扱事業者は、本人から、当該本人が識別される保有個人

データの利用目的の通知を求められたときは、本人に対し、遅滞なデータの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、次の各号のいずれかにく、これを通知しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りでない。

該当する場合は、この限りでない。

(1)

[略]

(1)

[同左]

(2)

第 21 条第 4 項第 1 号から第 3 号までに該当する場合(2)

第 18 条第 4 項第 1 号から第 3 号までに該当する場合

[略]

3

[同左]

[略]

[同左]

①上記（1）（法第 32 条第 1 項）の措置により、本人が識別される保有①上記（1）（法第 27 条第 1 項）の措置により、本人が識別される保有個人データの利用目的が明らかである場合

個人データの利用目的が明らかである場合②利用目的を本人に通知し、又は公表することにより本人又は第三者の②利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（法第生命、身体、財産その他の権利利益を害するおそれがある場合（法第21 条第 4 項第 1 号）（3-3-5（利用目的の通知等をしなくてよい場合）

18 条第 4 項第 1 号）（3-3-5（利用目的の通知等をしなくてよい場合）

144

個人情報取扱事業者は、本人から、当該本人が識別される保有個人

参照）③利用目的を本人に通知し、又は公表することにより当該個人情報取扱③利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は利益が侵害されるおそれがある場合（法第 21 条第 4

事業者の権利又は利益が侵害されるおそれがある場合（法第 18 条第 4

項第 2 号）（3-3-5（利用目的の通知等をしなくてよい場合）参照）

項第 2 号）（3-3-5（利用目的の通知等をしなくてよい場合）参照）④国の機関等が法令の定める事務を実施する上で、民間企業等の協力を④国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であり、協力する民間企業等が国の機関等から受得る必要がある場合であり、協力する民間企業等が国の機関等から受け取った保有個人データの利用目的を本人に通知し、又は公表するこけ取った保有個人データの利用目的を本人に通知し、又は公表することにより、本人の同意を得ることが当該事務の遂行に支障を及ぼすおとにより、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合（法第 21 条第 4 項第 3 号）（3-3-5（利用目的の通知

それがある場合（法第 18 条第 4 項第 3 号）（3-3-5（利用目的の通知等をしなくてよい場合）参照）

等をしなくてよい場合）参照）（※）[略]（※）[同左]

3-8-2 保有個人データの開示（法第 33 条第 1 項～第 4 項関係）

3-8-2 保有個人データの開示（法第 28 条第 1 項～第 4 項関係）

法第 33 条（第 1 項～第 4 項）

法第 28 条（第 1 項～第 4 項）

[略]

[同左]

規則第 30 条

規則第 18 条の 6

法第 33 条第 1 項（同条第 5 項において準用する場合を含む。）の個

法第 28 条第 1 項（同条第 5 項において準用する場合を含む。）の個

145

参照）

人情報保護委員会規則で定める方法は、電磁的記録の提供による方法、書面の交付による方法その他当該個人情報取扱事業者の定める方

法、書面の交付による方法その他当該個人情報取扱事業者の定める方

法とする。

法とする。

[略]

[同左]

[略]

[同左]

[【電磁的記録の提供による方法の事例】～【当該方法による開示が困難で[【電磁的記録の提供による方法の事例】～【当該方法による開示が困難である場合の事例】 略]ある場合の事例】 同左]

[略]

[同左]

[(1)・(2) 略][(1)・(2) 同左]（3）他の法令に違反することとなる場合（3）他の法令に違反することとなる場合

[略]

[同左]

事例 ）[略]事例 ）[同左]

また、他の法令の規定により、法第 33 条第 2 項本文に規定する方法に相また、他の法令の規定により、法第 28 条第 2 項本文に規定する方法に相当する方法により当該本人が識別される保有個人データを開示することと当する方法により当該本人が識別される保有個人データを開示することと146

人情報保護委員会規則で定める方法は、電磁的記録の提供による方されている場合には、法第 33 条第 1 項及び第 2 項の規定は適用されず、当 されている場合には、法第 28 条第 1 項及び第 2 項の規定は適用されず、当該他の法令の規定が適用されることとなる（法第 28 条第 4 項）。

[略]

[同左]

3-8-3 第三者提供記録の開示（法第 33 条第 5 項、第 1 項～第 3 項関係）

3-8-3 第三者提供記録の開示（法第 28 条第 5 項、第 1 項～第 3 項関係）

3-8-3-1 第三者提供記録の定義

3-8-3-1 第三者提供記録の定義

法第 33 条（第 5 項）

法第 28 条（第 5 項）

5

5

第 1 項から第 3 項までの規定は、当該本人が識別される個人データ

第 1 項から第 3 項までの規定は、当該本人が識別される個人データに係る第 29 条第 1 項及び第 30 条第 3 項の記録（その存否が明らかになに係る第 25 条第 1 項及び第 26 条第 3 項の記録（その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもることにより公益その他の利益が害されるものとして政令で定めるものを除く。第 37 条第 2 項において「第三者提供記録」という。）につのを除く。第 32 条第 2 項において「第三者提供記録」という。）について準用する。

いて準用する。

法第 33 条（第 1 項～第 3 項）

法第 28 条第 1 項～第 3 項

[略]

[同左]

政令第 11 条

政令第 9 条

法第 33 条第 5 項の政令で定めるものは、次に掲げるものとする。
[(1)～(4) 略]

法第 28 条第 5 項の政令で定めるものは、次に掲げるものとする。
[(1)～(4) 同左]

147

該他の法令の規定が適用されることとなる（法第 33 条第 4 項）。

第三者提供記録とは、法第 29 条第 1 項及び第 30 条第 3 項の記録のうち、第三者提供記録とは、法第 25 条第 1 項及び第 26 条第 3 項の記録のうち、次の（1）から（4）までに掲げるものを除いたものをいう。明文又は解釈

次の（1）から（4）までに掲げるものを除いたものをいう。明文又は解釈

いて、これらの規定に基づくことなく作成された記録は第三者提供記録にいて、これらの規定に基づくことなく作成された記録は第三者提供記録に含まれない。

含まれない。

[略][同左]

3-8-3-2 第三者提供記録の開示の方法

3-8-3-2 第三者提供記録の開示の方法

法第 33 条（第 5 項）

法第 28 条（第 5 項）

5

5

第 1 項から第 3 項までの規定は、当該本人が識別される個人データ

第 1 項から第 3 項までの規定は、当該本人が識別される個人データに係る第 29 条第 1 項及び第 30 条第 3 項の記録（その存否が明らかになに係る第 25 条第 1 項及び第 26 条第 3 項の記録（その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもることにより公益その他の利益が害されるものとして政令で定めるものを除く。第 37 条第 2 項において「第三者提供記録」という。）につのを除く。第 32 条第 2 項において「第三者提供記録」という。）について準用する。

いて準用する。

法第 33 条（第 1 項）

法第 28 条（第 1 項）

[略]

[同左]

規則第 30 条

規則第 18 条の 6

148により法第 29 条第 1 項又は第 30 条第 3 項の規定が適用されない場合にお により法第 25 条第 1 項又は第 26 条第 3 項の規定が適用されない場合にお法第 28 条第 1 項（同条第 5 項において準用する場合を含む。）の個

人情報保護委員会規則で定める方法は、電磁的記録の提供による方

人情報保護委員会規則で定める方法は、電磁的記録の提供による方法、書面の交付による方法その他当該個人情報取扱事業者の定める方

法、書面の交付による方法その他当該個人情報取扱事業者の定める方

法とする。

法とする。

[略]

[同左]

3-8-3-3 第三者提供記録の不開示事由等

3-8-3-3 第三者提供記録の不開示事由等

法第 33 条（第 5 項）

法第 28 条（第 5 項）

5

5

第 1 項から第 3 項までの規定は、当該本人が識別される個人データ

第 1 項から第 3 項までの規定は、当該本人が識別される個人データに係る第 29 条第 1 項及び第 30 条第 3 項の記録（その存否が明らかになに係る第 25 条第 1 項及び第 26 条第 3 項の記録（その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもることにより公益その他の利益が害されるものとして政令で定めるものを除く。第 37 条第 2 項において「第三者提供記録」という。）につのを除く。第 32 条第 2 項において「第三者提供記録」という。）について準用する。

いて準用する。

法第 33 条（第 2 項・第 3 項）

法第 28 条（第 2 項・第 3 項）

[略]

[同左]

[略]

[同左]

149

法第 33 条第 1 項（同条第 5 項において準用する場合を含む。）の個

3-8-4 保有個人データの訂正等（法第 29 条関係）

法第 34 条

法第 29 条[略]

[同左]

個人情報取扱事業者は、本人から、当該本人が識別される保有個人デー

個人情報取扱事業者は、本人から、当該本人が識別される保有個人デー

タに誤りがあり、事実でないという理由によって、内容の訂正、追加又はタに誤りがあり、事実でないという理由によって、内容の訂正、追加又は削除（※1）（以下「訂正等」という。）の請求を受けた場合は、利用目的削除（※1）（以下「訂正等」という。）の請求を受けた場合は、利用目的の達成に必要な範囲で遅滞なく必要な調査を行い、その結果に基づき、原の達成に必要な範囲で遅滞なく必要な調査を行い、その結果に基づき、原則として（※2）、訂正等を行わなければならない。

則として（※2）、訂正等を行わなければならない。

なお、個人情報取扱事業者は、法第 34 条第 2 項の規定に基づき請求に係

なお、個人情報取扱事業者は、法第 29 条第 2 項の規定に基づき請求に係る保有個人データの内容の全部若しくは一部について訂正等を行ったとる保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、遅滞なく、その旨（訂き、又は訂正等を行わない旨の決定をしたときは、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を本人に通知（※3）しなければ正等を行ったときは、その内容を含む。）を本人に通知（※3）しなければ

ならない。

ならない。

また、保有個人データの内容の訂正等に関して他の法令の規定により特

また、保有個人データの内容の訂正等に関して他の法令の規定により特別の手続が定められている場合には、法第 34 条第 1 項及び第 2 項の規定は 別の手続が定められている場合には、法第 29 条第 1 項及び第 2 項の規定は適用されず、当該他の法令の規定が適用されることとなる。

適用されず、当該他の法令の規定が適用されることとなる。

なお、本人が、裁判上の訴えにより、当該本人が識別される保有個人デ

なお、本人が、裁判上の訴えにより、当該本人が識別される保有個人データの訂正等を請求する場合と本条との関係については、3-8-9（裁判上のータの訂正等を請求する場合と本条との関係については、3-8-9（裁判上の訴えの事前請求）を参照のこと。

訴えの事前請求）を参照のこと。

[略]

[同左]

150

3-8-4 保有個人データの訂正等（法第 34 条関係）

3-8-5 保有個人データの利用停止等（法第 35 条関係）

3-8-5 保有個人データの利用停止等（法第 30 条関係）

法第 35 条

法第 30 条1

1

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第 18 条若しくは第 19 条の規定に違反して取り扱われてい人データが第 16 条若しくは第 16 条の 2 の規定に違反して取り扱われてるとき、又は第 20 条の規定に違反して取得されたものであるときは、いるとき、又は第 17 条の規定に違反して取得されたものであるとき

当該保有個人データの利用の停止又は消去（以下この条において「利は、当該保有個人データの利用の停止又は消去（以下この条において用停止等」という。）を請求することができる。

「利用停止等」という。）を請求することができる。

2

[略]

2

[同左]

3

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個

3

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第 27 条第 1 項又は第 28 条の規定に違反して第三者に提供さ人データが第 23 条第 1 項又は第 24 条の規定に違反して第三者に提供されているときは、当該保有個人データの第三者への提供の停止を請求れているときは、当該保有個人データの第三者への提供の停止を請求することができる。

することができる。

4

[略]

4

[同左]

5

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個

5

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データを当該個人情報取扱事業者が利用する必要がなくなった場

人データを当該個人情報取扱事業者が利用する必要がなくなった場

合、当該本人が識別される保有個人データに係る第 26 条第 1 項本文に合、当該本人が識別される保有個人データに係る第 22 条の 2 第 1 項本規定する事態が生じた場合その他当該本人が識別される保有個人デー

文に規定する事態が生じた場合その他当該本人が識別される保有個人

タの取扱いにより当該本人の権利又は正当な利益が害されるおそれがデータの取扱いにより当該本人の権利又は正当な利益が害されるおそある場合には、当該保有個人データの利用停止等又は第三者への提供れがある場合には、当該保有個人データの利用停止等又は第三者へのの停止を請求することができる。

提供の停止を請求することができる。

151

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個[6・7 略]

[6・7 同左]

3-8-5-1 利用停止等の要件

3-8-5-1 利用停止等の要件

[略]

[同左]

（1）法違反の場合の利用停止等

個人情報取扱事業者は、本人から、当該本人が識別される保有個人デー（1）法違反の場合の利用停止等

個人情報取扱事業者は、本人から、当該本人が識別される保有個人デー

若しくは法第 19 条の規定に違反して不適正な利用が行われている、又は法 若しくは法第 16 条の 2 の規定に違反して不適正な利用が行われている、又第 20 条の規定に違反して偽りその他不正の手段により個人情報が取得され は法第 17 条の規定に違反して偽りその他不正の手段により個人情報が取得
若しくは本人の同意なく要配慮個人情報が取得されたものであるという理

され若しくは本人の同意なく要配慮個人情報が取得されたものであるとい由によって、利用停止等の請求を受けた場合であって、その請求に理由がう理由によって、利用停止等の請求を受けた場合であって、その請求に理あることが判明したときは、原則として（※2）、遅滞なく、利用停止等を 由があることが判明したときは、原則として（※2）、遅滞なく、利用停止
行わなければならない。

等を行わなければならない。

（2）法違反の場合の第三者提供の停止（2）法違反の場合の第三者提供の停止

個人情報取扱事業者は、本人から、当該本人が識別される保有個人デー

個人情報取扱事業者は、本人から、当該本人が識別される保有個人デー

タが、法第 27 条第 1 項又は第 28 条の規定に違反して本人の同意なく第三 タが、法第 23 条第 1 項又は第 24 条の規定に違反して本人の同意なく第三者に提供されているという理由によって、当該保有個人データの第三者提者に提供されているという理由によって、当該保有個人データの第三者提152

タが、法第 18 条の規定に違反して本人の同意なく目的外利用がされている タが、法第 16 条の規定に違反して本人の同意なく目的外利用がされている

供の停止の請求を受けた場合であって、その請求に理由があることが判明

供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として（※3）、遅滞なく、第三者提供の停止を行わなけしたときは、原則として（※3）、遅滞なく、第三者提供の停止を行わなければならない。

ればならない。

停止

停止

[略]

[同左]

①利用する必要がなくなった場合①利用する必要がなくなった場合

個人情報取扱事業者は、本人から、当該本人が識別される保有個人デー

個人情報取扱事業者は、本人から、当該本人が識別される保有個人デー

タを当該個人情報取扱事業者が利用する必要がなくなったという理由によタを当該個人情報取扱事業者が利用する必要がなくなったという理由によって、当該保有個人データの利用停止等又は第三者提供の停止の請求を受って、当該保有個人データの利用停止等又は第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、原則とけた場合であって、その請求に理由があることが判明したときは、原則として、遅滞なく、利用停止等又は第三者提供の停止を行わなければならな

して、遅滞なく、利用停止等又は第三者提供の停止を行わなければならない。

い。

「当該個人情報取扱事業者が利用する必要がなくなった」とは、法第 22「当該個人情報取扱事業者が利用する必要がなくなった」とは、法第 19条と同様に、当該保有個人データについて利用する必要がなくなったと 条と同様に、当該保有個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該保有個人デき、すなわち、利用目的が達成され当該目的との関係では当該保有個人データを保有する合理的な理由が存在しなくなった場合や利用目的が達成さータを保有する合理的な理由が存在しなくなった場合や利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等をれなかったものの当該目的の前提となる事業自体が中止となった場合等をいう（※4）。

いう（※4）。

153（3）法第 35 条第 5 項の要件を満たす場合の利用停止等又は第三者提供の （3）法第 30 条第 5 項の要件を満たす場合の利用停止等又は第三者提供の[【利用する必要がなくなったとして利用停止等又は第三者提供の停止が認[【利用する必要がなくなったとして利用停止等又は第三者提供の停止が認められる事例】 略]

められる事例】 同左]定する事態が生じた場合②当該本人が識別される保有個人データに係る法第 22 条の 2 第 1 項本文に規定する事態が生じた場合

個人情報取扱事業者は、本人から、当該本人が識別される保有個人デー

個人情報取扱事業者は、本人から、当該本人が識別される保有個人デー

タに係る法第 26 条第 1 項本文に規定する事態が生じたという理由によっタに係る法第 22 条の 2 第 1 項本文に規定する事態が生じたという理由によて、当該保有個人データの利用停止等又は第三者提供の停止の請求を受けって、当該保有個人データの利用停止等又は第三者提供の停止の請求を受た場合であって、その請求に理由があることが判明したときは、原則としけた場合であって、その請求に理由があることが判明したときは、原則とて、遅滞なく、利用停止等又は第三者への提供の停止を行わなければなら

して、遅滞なく、利用停止等又は第三者への提供の停止を行わなければな

ない。

らない。

「当該本人が識別される保有個人データに係る法第 26 条第 1 項本文に規「当該本人が識別される保有個人データに係る法第 22 条の 2 第 1 項本文定する事態が生じた」とは、法第 26 条第 1 項本文に定める漏えい等事案が に規定する事態が生じた」とは、法第 22 条の 2 第 1 項本文に定める漏えい生じたことをいう。法第 26 条第 1 項本文に定める漏えい等事案について等事案が生じたことをいう。法第 22 条の 2 第 1 項本文に定める漏えい等事

は、3-5-3-1（対象となる事態）参照のこと。

案については、3-5-3-1（対象となる事態）参照のこと。

③当該本人の権利又は正当な利益が害されるおそれがある場合③当該本人の権利又は正当な利益が害されるおそれがある場合

[略]

[同左]

【本人の権利又は正当な利益が害されるおそれがあるとして利用停止等又【本人の権利又は正当な利益が害されるおそれがあるとして利用停止等又154②当該本人が識別される保有個人データに係る法第 26 条第 1 項本文に規は第三者提供の停止が認められると考えられる事例】[事例 1）～事例 3） 略][事例 1）～事例 3） 同左]

事例 4）個人情報取扱事業者が、法第 27 条第 1 項に違反して第三者提供

事例 4）個人情報取扱事業者が、法第 23 条第 1 項に違反して第三者提供を行っており、本人を識別する保有個人データについても本人の同を行っており、本人を識別する保有個人データについても本人の同意なく提供されるおそれがあることから、本人が利用停止等を請求意なく提供されるおそれがあることから、本人が利用停止等を請求

する場合

する場合

事例 5）[略]事例 5）[同左][【本人の権利又は正当な利益が害されるおそれがないとして利用停止等又[【本人の権利又は正当な利益が害されるおそれがないとして利用停止等又は第三者提供の停止が認められないと考えられる事例】 略]は第三者提供の停止が認められないと考えられる事例】 同左][（※1）～（※6） 略][（※1）～（※6） 同左]

3-8-5-2 本人の権利利益の侵害を防止するために必要な限度

3-8-5-2 本人の権利利益の侵害を防止するために必要な限度

[略]

[同左]

【本人からの請求に対し、本人の権利利益の侵害を防止するために必要な【本人からの請求に対し、本人の権利利益の侵害を防止するために必要な限度での対応として考えられる事例】

限度での対応として考えられる事例】

事例 1）[略]事例 1）[同左]

事例 2）法第 27 条第 1 項に違反して第三者提供が行われているとして保事例 2）法第 23 条第 1 項に違反して第三者提供が行われているとして保有個人データの消去を請求された場合に、利用停止又は第三者提供

有個人データの消去を請求された場合に、利用停止又は第三者提供

155は第三者提供の停止が認められると考えられる事例】

の停止による対応によって、生じている本人の権利利益の侵害のおそれを防止できるものとして、利用停止又は第三者提供の停止によ

それを防止できるものとして、利用停止又は第三者提供の停止による対応を行う場合

る対応を行う場合

3-8-5-3 [略]3-8-5-3 [同左]

3-8-6 理由の説明（法第 36 条関係）

3-8-6 理由の説明（法第 31 条関係）

法第 36 条

法第 31 条

個人情報取扱事業者は、第 32 条第 3 項、第 33 条第 3 項（同条第 5 項

個人情報取扱事業者は、第 27 条第 3 項、第 28 条第 3 項（同条第 5 項

において準用する場合を含む。）、第 34 条第 3 項又は前条第 7 項の規において準用する場合を含む。）、第 29 条第 3 項又は前条第 7 項の規定により、本人から求められ、又は請求された措置の全部又は一部に定により、本人から求められ、又は請求された措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる

ついて、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合には、本人に対し、その理由を説明する措置をとる旨を通知する場合には、本人に対し、その理由を説明する

よう努めなければならない。

よう努めなければならない。

[略]

[同左]

3-8-7 開示等の請求等に応じる手続（法第 37 条関係）

3-8-7 開示等の請求等に応じる手続（法第 32 条関係）

156の停止による対応によって、生じている本人の権利利益の侵害のお法第 37 条

法第 32 条1

1

個人情報取扱事業者は、第 27 条第 2 項の規定による求め又は第 28 条

第 1 項（同条第 5 項において準用する場合を含む。次条第 1 項及び第第 1 項（同条第 5 項において準用する場合を含む。次条第 1 項及び第39 条において同じ。）、第 34 条第 1 項若しくは第 35 条第 1 項、第 334 条において同じ。）、第 29 条第 1 項若しくは第 30 条第 1 項、第 3項若しくは第 5 項の規定による請求（以下この条及び第 54 条第 1 項に項若しくは第 5 項の規定による請求（以下この条及び第 53 条第 1 項において「開示等の請求等」という。）に関し、政令で定めるところにおいて「開示等の請求等」という。）に関し、政令で定めるところにより、その求め又は請求を受け付ける方法を定めることができる。こより、その求め又は請求を受け付ける方法を定めることができる。この場合において、本人は、当該方法に従って、開示等の請求等を行わの場合において、本人は、当該方法に従って、開示等の請求等を行わなければならない。

なければならない。

[2～4 略][2～4 同左]

政令第 12 条

政令第 10 条

法第 37 条第 1 項の規定により個人情報取扱事業者が開示等の請求等法第 32 条第 1 項の規定により個人情報取扱事業者が開示等の請求等を受け付ける方法として定めることができる事項は、次に掲げるとおを受け付ける方法として定めることができる事項は、次に掲げるとお

りとする。

りとする。

(1)

[略]

(1)

[同左]

(2)

開示等の請求等に際して提出すべき書面（電磁的記録を含む。

(2)

開示等の請求等に際して提出すべき書面（電磁的記録を含む。

第 33 条第 1 項及び第 38 条第 3 項において同じ。）の様式その他の第 14 条第 1 項及び第 21 条第 3 項において同じ。）の様式その他の開示等の請求等の方式

開示等の請求等の方式

(3)

[略]

(3)

[同左]

(4)

法第 38 条第 1 項の手数料の徴収方法(4)

法第 33 条第 1 項の手数料の徴収方法

政令第 13 条

政令第 11 条

157

個人情報取扱事業者は、第 32 条第 2 項の規定による求め又は第 33 条

法第 32 条第 3 項の規定により開示等の請求等をすることができる代理人は、次に掲げる代理人とする。

理人は、次に掲げる代理人とする。

[(1)・(2) 略][(1)・(2) 同左]

[略]

[同左]

[（1）～（4） 略][（1）～（4） 同左]

ただし、開示等の請求等を受け付ける方法を定めるに当たっては、当該

ただし、開示等の請求等を受け付ける方法を定めるに当たっては、当該手続が、事業の性質、保有個人データの取扱状況、開示等の請求等の受付

手続が、事業の性質、保有個人データの取扱状況、開示等の請求等の受付

方法等に応じて適切なものになるよう配慮するとともに、必要以上に煩雑方法等に応じて適切なものになるよう配慮するとともに、必要以上に煩雑な書類を書かせたり、請求等を受け付ける窓口を他の業務を行う拠点とはな書類を書かせたり、請求等を受け付ける窓口を他の業務を行う拠点とは別にいたずらに不便な場所に限定したりする等、本人に過重な負担を課す

別にいたずらに不便な場所に限定したりする等、本人に過重な負担を課す

るものとならないよう配慮しなければならない。

るものとならないよう配慮しなければならない。

また、開示等の請求等を受け付ける方法を定めた場合には、本人の知りまた、開示等の請求等を受け付ける方法を定めた場合には、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置いて得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置いておかなければならない（3-8-1（保有個人データに関する事項の公表等）参 おかなければならない（3-8-1（保有個人データに関する事項の公表等）参照）。「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合照）。「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」とは、本人が知ろうとすれば、知ることができる状態に置くを含む。）」とは、本人が知ろうとすれば、知ることができる状態に置くことをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認ことをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならないが、開示等の請求識される合理的かつ適切な方法によらなければならないが、開示等の請求等を行おうとする本人がその手続を把握できるようにしておくことが重要等を行おうとする本人がその手続を把握できるようにしておくことが重要であり、例えば、ホームページへの掲載による場合、本人が簡単な操作にであり、例えば、ホームページへの掲載による場合、本人が簡単な操作に

158

法第 37 条第 3 項の規定により開示等の請求等をすることができる代よって該当箇所へ到達でき、円滑に請求等を行えるようにしておくことが望ましい。また、「本人の求めに応じて遅滞なく回答する」ことによって望ましい。また、「本人の求めに応じて遅滞なく回答する」ことによって対応する場合には、その前提として、少なくとも本人が簡単な操作によっ対応する場合には、その前提として、少なくとも本人が簡単な操作によって求めを行うことができるようにすることが望ましい。

て求めを行うことができるようにすることが望ましい。

なお、個人情報取扱事業者が、開示等の請求等を受け付ける方法を合理

なお、個人情報取扱事業者が、開示等の請求等を受け付ける方法を合理的な範囲で定めたときは、本人は、当該方法に従って開示等の請求等を行的な範囲で定めたときは、本人は、当該方法に従って開示等の請求等を行わなければならず、当該方法に従わなかった場合は、個人情報取扱事業者

わなければならず、当該方法に従わなかった場合は、個人情報取扱事業者

は当該開示等の請求等を拒否することができる（※3）。

は当該開示等の請求等を拒否することができる（※3）。

また、法第 37 条第 2 項前段は、本人に対し、開示を請求する保有個人デまた、法第 32 条第 2 項前段は、本人に対し、開示を請求する保有個人データ又は第三者提供記録の範囲を一部に限定する義務を課すものではなータ又は第三者提供記録の範囲を一部に限定する義務を課すものではな

く、また、個人情報取扱事業者に対し、本人が開示を請求する範囲を限定

く、また、個人情報取扱事業者に対し、本人が開示を請求する範囲を限定させる権利を認めるものでもない。

させる権利を認めるものでもない。

個人情報取扱事業者は、円滑に開示等の手続が行えるよう、本人に対個人情報取扱事業者は、円滑に開示等の手続が行えるよう、本人に対し、開示等の請求等の対象となる当該本人が識別される保有個人データ又し、開示等の請求等の対象となる当該本人が識別される保有個人データ又は第三者提供記録の特定に必要な事項（住所、ID、パスワード、会員番号

は第三者提供記録の特定に必要な事項（住所、ID、パスワード、会員番号等）の提示を求めることができる。なお、その際には、本人が容易かつ的等）の提示を求めることができる。なお、その際には、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データ又は第確に開示等の請求等をすることができるよう、当該保有個人データ又は第三者提供記録の特定に資する情報を提供するなど、本人の利便性を考慮し三者提供記録の特定に資する情報を提供するなど、本人の利便性を考慮しなければならない。

なければならない。

[（※1）～（※3） 略][（※1）～（※3） 同左]

159

よって該当箇所へ到達でき、円滑に請求等を行えるようにしておくことが3-8-8 手数料（法第 38 条関係）

3-8-8 手数料（法第 33 条関係）

法第 38 条

法第 33 条1

1

2

個人情報取扱事業者は、第 32 条第 2 項の規定による利用目的の通知

個人情報取扱事業者は、第 27 条第 2 項の規定による利用目的の通知を求められたとき又は第 33 条第 1 項の規定による開示の請求を受けたを求められたとき又は第 28 条第 1 項の規定による開示の請求を受けた

ときは、当該措置の実施に関し、手数料を徴収することができる。

ときは、当該措置の実施に関し、手数料を徴収することができる。

[略]

個人情報取扱事業者は、保有個人データの利用目的の通知（法第 32 条第

2

[同左]

個人情報取扱事業者は、保有個人データの利用目的の通知（法第 27 条第2 項）を求められ、又は保有個人データの開示の請求（法第 33 条第 1 項） 2 項）を求められ、又は保有個人データの開示の請求（法第 28 条第 1 項）

同条第 1 項）を受けたときは、当該措置の実施に関し、手数料の額を定

同条第 1 項）を受けたときは、当該措置の実施に関し、手数料の額を定め、これを徴収することができる。

め、これを徴収することができる。

なお、当該手数料の額を定めた場合には、本人の知り得る状態（本人のなお、当該手数料の額を定めた場合には、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）（※）に置いておかなけれ

求めに応じて遅滞なく回答する場合を含む。）（※）に置いておかなければならない（法第 32 条第 1 項第 3 号）。

ばならない（法第 27 条第 1 項第 3 号）。

また、手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。

（※）[略]

3-8-9 裁判上の訴えの事前請求（法第 39 条関係）

また、手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。

（※）[同左]

3-8-9 裁判上の訴えの事前請求（法第 34 条関係）

160若しくは第三者提供記録の開示の請求（法第 33 条第 5 項において準用する 若しくは第三者提供記録の開示の請求（法第 28 条第 5 項において準用する

法第 39 条

法第 34 条1

1

本人は、第 28 条第 1 項、第 29 条第 1 項又は第 30 条第 1 項、第 3 項

若しくは第 5 項の規定による請求に係る訴えを提起しようとするとき

若しくは第 5 項の規定による請求に係る訴えを提起しようとするときは、その訴えの被告となるべき者に対し、あらかじめ、当該請求を行は、その訴えの被告となるべき者に対し、あらかじめ、当該請求を行い、かつ、その到達した日から 2 週間を経過した後でなければ、そのい、かつ、その到達した日から 2 週間を経過した後でなければ、その訴えを提起することができない。ただし、当該訴えの被告となるべき訴えを提起することができない。ただし、当該訴えの被告となるべき者がその請求を拒んだときは、この限りでない。

者がその請求を拒んだときは、この限りでない。

2

[略]

2

[同左]

3

前二項の規定は、第 33 条第 1 項、第 34 条第 1 項又は第 35 条第 1

3

前二項の規定は、第 28 条第 1 項、第 29 条第 1 項又は第 30 条第 1項、第 3 項若しくは第 5 項の規定による請求に係る仮処分命令の申立項、第 3 項若しくは第 5 項の規定による請求に係る仮処分命令の申立てについて準用する。

てについて準用する。

[略]

[同左]

[（※1）～（※7） 略][（※1）～（※7） 同左]（※8）「当該裁判外の請求を拒んだとき」とは、法第 33 条第 3 項（※8）「当該裁判外の請求を拒んだとき」とは、法第 28 条第 3 項（同条第 5 項において準用する場合を含む。）、第 34 条第 3

（同条第 5 項において準用する場合を含む。）、第 29 条第 3

項、及び第 35 条第 7 項に掲げる場合のほか、個人情報取扱事業

項、及び第 30 条第 7 項に掲げる場合のほか、個人情報取扱事業者が当該請求を行った者に対して特に理由を説明することなく者が当該請求を行った者に対して特に理由を説明することなく

単に当該請求を拒む旨を通知した場合等も含まれる。

単に当該請求を拒む旨を通知した場合等も含まれる。

161

本人は、第 33 条第 1 項、第 34 条第 1 項又は第 35 条第 1 項、第 3 項

3-9 個人情報の取扱いに関する苦情処理（法第 40 条関係）

3-9 個人情報の取扱いに関する苦情処理（法第 35 条関係）

法第 40 条

法第 35 条

[略]

[同左]

[略]

[同左]

3-10 仮名加工情報取扱事業者等の義務（法第 41 条・第 42 条関係）

3-10 仮名加工情報取扱事業者等の義務（法第 35 条の 2・第 35 条の 3 関

[略]

[同左]

（参考）

（参考）

【仮名加工情報の作成等（法第 41 条第 1 項関係）】【仮名加工情報の作成等（法第 35 条の 2 第 1 項関係）】

法第 41 条（第 1 項）

法第 35 条の 2（第 1 項）

1

1

個人情報取扱事業者は、仮名加工情報（仮名加工情報データベース

個人情報取扱事業者は、仮名加工情報（仮名加工情報データベース

等を構成するものに限る。以下この章及び第 6 章において同じ。）を等を構成するものに限る。以下同じ。）を作成するときは、他の情報作成するときは、他の情報と照合しない限り特定の個人を識別すること照合しない限り特定の個人を識別することができないようにするたとができないようにするために必要なものとして個人情報保護委員会

めに必要なものとして個人情報保護委員会規則で定める基準に従い、規則で定める基準に従い、個人情報を加工しなければならない。

個人情報を加工しなければならない。

規則第 31 条

規則第 18 条の 7

162

係）

法第 35 条の 2 第 1 項の個人情報保護委員会規則で定める基準は、次おりとする。

のとおりとする。

[(1)～(3) 略][(1)～(3) 同左]【仮名加工情報の安全管理措置等（法第 41 条第 2 項、第 42 条第 3 項関【仮名加工情報の安全管理措置等（法第 35 条の 2 第 2 項、第 35 条の 3 第係）】

3 項関係）】

法第 41 条（第 2 項）

法第 35 条の 2（第 2 項）

[略]

[同左]

法第 42 条（第 3 項）

法第 35 条の 3（第 3 項）

3

3

第 23 条から第 25 条まで、第 40 条並びに前条第 7 項及び第 8 項の規

第 20 条から第 22 条まで、第 35 条並びに前条第 7 項及び第 8 項の規定は、仮名加工情報取扱事業者による仮名加工情報の取扱いについて

定は、仮名加工情報取扱事業者による仮名加工情報の取扱いについて準用する。この場合において、第 23 条中「漏えい、滅失又は毀損」と準用する。この場合において、第 20 条中「漏えい、滅失又は毀損」とあるのは「漏えい」と、前条第 7 項中「ために、」とあるのは「ためあるのは「漏えい」と、前条第 7 項中「ために、」とあるのは「ために、削除情報等を取得し、又は」と読み替えるものとする。

に、削除情報等を取得し、又は」と読み替えるものとする。

規則第 32 条
法第 41 条第 2 項の個人情報保護委員会規則で定める基準は、次のと

規則第 18 条の 8
法第 35 条の 2 第 2 項の個人情報保護委員会規則で定める基準は、次おりとする。

のとおりとする。

(1)(1)

法第 41 条第 2 項に規定する削除情報等（同条第 1 項の規定によ

法第 35 条の 2 第 2 項に規定する削除情報等（同条第 1 項の規定り行われた加工の方法に関する情報にあっては、その情報を用いにより行われた加工の方法に関する情報にあっては、その情報をて仮名加工情報の作成に用いられた個人情報を復元することがで用いて仮名加工情報の作成に用いられた個人情報を復元することきるものに限る。以下この条において同じ。）を取り扱う者の権ができるものに限る。以下この条において同じ。）を取り扱う者

163

法第 41 条第 1 項の個人情報保護委員会規則で定める基準は、次のと限及び責任を明確に定めること。

の権限及び責任を明確に定めること。
[(2)・(3) 同左]【利用目的の制限・公表等（法第 41 条第 3 項・第 4 項関係）】【利用目的の制限・公表等（法第 35 条の 2 第 3 項・第 4 項関係）】

法第 41 条（第 3 項・第 4 項）

法第 35 条の 2（第 3 項・第 4 項）

3

3

4

仮名加工情報取扱事業者（個人情報取扱事業者である者に限る。以

仮名加工情報取扱事業者（個人情報取扱事業者である者に限る。以下この条において同じ。）は、第 18 条の規定にかかわらず、法令に基下この条において同じ。）は、第 16 条の規定にかかわらず、法令に基づく場合を除くほか、第 17 条第 1 項の規定により特定された利用目的づく場合を除くほか、第 15 条第 1 項の規定により特定された利用目的の達成に必要な範囲を超えて、仮名加工情報（個人情報であるものにの達成に必要な範囲を超えて、仮名加工情報（個人情報であるものに限る。以下この条において同じ。）を取り扱ってはならない。

限る。以下この条において同じ。）を取り扱ってはならない。

仮名加工情報についての第 21 条の規定の適用については、同条第 1

4

仮名加工情報についての第 18 条の規定の適用については、同条第 1項及び第 3 項中「、本人に通知し、又は公表し」とあるのは「公表項及び第 3 項中「、本人に通知し、又は公表し」とあるのは「公表し」と、同条第 4 項第 1 号から第 3 号までの規定中「本人に通知し、又し」と、同条第 4 項第 1 号から第 3 号までの規定中「本人に通知し、又は公表する」とあるのは「公表する」とする。

は公表する」とあるのは「公表する」とする。

【利用する必要がなくなった場合の消去（法第 41 条第 5 項関係）】【利用する必要がなくなった場合の消去（法第 35 条の 2 第 5 項関係）】

法第 41 条（第 5 項）

法第 35 条の 2（第 5 項）

55

仮名加工情報取扱事業者は、仮名加工情報である個人データ及び削仮名加工情報取扱事業者は、仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞なく消去するよう努めなければならない。この場合に除情報等を遅滞なく消去するよう努めなければならない。この場合においては、第 22 条の規定は、適用しない。

おいては、第 19 条の規定は、適用しない。

【第三者提供の禁止等（法第 41 条第 6 項、第 42 条第 1 項・第 2 項関【第三者提供の禁止等（法第 35 条の 2 第 6 項、第 35 条の 3 第 1 項・第 2164[(2)・(3) 略]

係）】

項関係）】

法第 41 条（第 6 項）

法第 35 条の 2（第 6 項）

6

6

仮名加工情報取扱事業者は、第 23 条第 1 項及び第 2 項並びに第 24 条

第 1 項の規定にかかわらず、法令に基づく場合を除くほか、仮名加工

第 1 項の規定にかかわらず、法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはならない。この場合にお情報である個人データを第三者に提供してはならない。この場合において、第 27 条第 5 項中「前各項」とあるのは「第 41 条第 6 項」と、同いて、第 23 条第 5 項中「前各項」とあるのは「第 35 条の 2 第 6 項」

項第 3 号中「、本人に通知し、又は本人が容易に知り得る状態に置いと、同項第 3 号中「、本人に通知し、又は本人が容易に知り得る状態て」とあるのは「公表して」と、同条第 6 項中「、本人に通知し、又に置いて」とあるのは「公表して」と、同条第 6 項中「、本人に通知

は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなし、又は本人が容易に知り得る状態に置かなければ」とあるのは「公ければ」と、第 29 条第 1 項ただし書中「第 27 条第 1 項各号又は第 5 項

表しなければ」と、第 25 条第 1 項ただし書中「第 23 条第 1 項各号又は各号のいずれか（前条第 1 項の規定による個人データの提供にあって第 5 項各号のいずれか（前条第 1 項の規定による個人データの提供には、第 27 条第 1 項各号のいずれか）」とあり、及び第 30 条第 1 項ただあっては、第 23 条第 1 項各号のいずれか）」とあり、及び第 26 条第 1

し書中「第 27 条第 1 項各号又は第 5 項各号のいずれか」とあるのは項ただし書中「第 23 条第 1 項各号又は第 5 項各号のいずれか」とある「法令に基づく場合又は第 27 条第 5 項各号のいずれか」とする。

のは「法令に基づく場合又は第 23 条第 5 項各号のいずれか」とする。

法第 42 条（第 1 項・第 2 項）

法第 35 条の 3（第 1 項・第 2 項）

1

[略]

1

[同左]

2

第 27 条第 5 項及び第 6 項の規定は、仮名加工情報の提供を受ける者

2

第 23 条第 5 項及び第 6 項の規定は、仮名加工情報の提供を受ける者について準用する。この場合において、同条第 5 項中「前各項」とあについて準用する。この場合において、同条第 5 項中「前各項」とあるのは「第 42 条第 1 項」と、同項第 1 号中「個人情報取扱事業者」とるのは「第 35 条の 3 第 1 項」と、同項第 1 号中「個人情報取扱事業あるのは「仮名加工情報取扱事業者」と、同項第 3 号中「、本人に通者」とあるのは「仮名加工情報取扱事業者」と、同項第 3 号中「、本知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表し人に通知し、又は本人が容易に知り得る状態に置いて」とあるのはて」と、同条第 6 項中「個人情報取扱事業者」とあるのは「仮名加工「公表して」と、同条第 6 項中「個人情報取扱事業者」とあるのは165

仮名加工情報取扱事業者は、第 27 条第 1 項及び第 2 項並びに第 28 条

情報取扱事業者」と、「、本人に通知し、又は本人が容易に知り得る「仮名加工情報取扱事業者」と、「、本人に通知し、又は本人が容易状態に置かなければ」とあるのは「公表しなければ」と読み替えるもに知り得る状態に置かなければ」とあるのは「公表しなければ」と読のとする。

み替えるものとする。

【識別行為の禁止（法第 41 条第 7 項、第 42 条第 3 項関係）】【識別行為の禁止（法第 35 条の 2 第 7 項、第 35 条の 3 第 3 項関係）】

法第 41 条（第 7 項）

法第 35 条の 2（第 7 項）

[略]

[同左]

法第 42 条（第 3 項）

法第 35 条の 3（第 3 項）

3

3

第 20 条から第 22 条まで、第 35 条並びに前条第 7 項及び第 8 項の規定は、仮名加工情報取扱事業者による仮名加工情報の取扱いについて

定は、仮名加工情報取扱事業者による仮名加工情報の取扱いについて準用する。この場合において、第 23 条中「漏えい、滅失又は毀損」と準用する。この場合において、第 20 条中「漏えい、滅失又は毀損」とあるのは「漏えい」と、前条第 7 項中「ために、」とあるのは「ためあるのは「漏えい」と、前条第 7 項中「ために、」とあるのは「ために、削除情報等を取得し、又は」と読み替えるものとする。

に、削除情報等を取得し、又は」と読み替えるものとする。

【本人への連絡等の禁止（法第 41 条第 8 項、第 42 条第 3 項）】【本人への連絡等の禁止（法第 35 条の 2 第 8 項、第 35 条の 3 第 3 項）】

法第 41 条（第 8 項）

法第 35 条の 2（第 8 項）

[略]

[同左]

法第 42 条（第 3 項）

法第 35 条の 3（第 3 項）

3

3

第 23 条から第 25 条まで、第 40 条並びに前条第 7 項及び第 8 項の規

第 20 条から第 22 条まで、第 35 条並びに前条第 7 項及び第 8 項の規定は、仮名加工情報取扱事業者による仮名加工情報の取扱いについて

定は、仮名加工情報取扱事業者による仮名加工情報の取扱いについて準用する。この場合において、第 23 条中「漏えい、滅失又は毀損」と準用する。この場合において、第 20 条中「漏えい、滅失又は毀損」と166

第 23 条から第 25 条まで、第 40 条並びに前条第 7 項及び第 8 項の規あるのは「漏えい」と、前条第 7 項中「ために、」とあるのは「ためあるのは「漏えい」と、前条第 7 項中「ために、」とあるのは「ために、削除情報等を取得し、又は」と読み替えるものとする。

に、削除情報等を取得し、又は」と読み替えるものとする。

規則第 33 条

規則第 18 条の 9

法第 41 条第 8 項に規定する電磁的方法は、次に掲げる方法とする。

法第 35 条の 2 第 8 項に規定する電磁的方法は、次に掲げる方法とする。
[(1)～(3) 同左]【適用除外（法第 41 条第 9 項）】【適用除外（法第 35 条の 2 第 9 項）】

法第 41 条（第 9 項）

法第 35 条の 2（第 9 項）

99

仮名加工情報、仮名加工情報である個人データ及び仮名加工情報で

仮名加工情報、仮名加工情報である個人データ及び仮名加工情報である保有個人データについては、第 17 条第 2 項、第 26 条及び第 32 条ある保有個人データについては、第 15 条第 2 項、第 22 条の 2 及び第から第 39 条までの規定は、適用しない。

27 条から第 34 条までの規定は、適用しない。

3-11 匿名加工情報取扱事業者等の義務（法第 43 条～第 46 条関係）

3-11 匿名加工情報取扱事業者等の義務（法第 36 条～第 39 条関係）

[略]

[同左]

（参考）

（参考）

【匿名加工情報の作成等（法第 43 条第 1 項関係）】【匿名加工情報の作成等（法第 36 条第 1 項関係）】

法第 43 条（第 1 項）

法第 36 条（第 1 項）

1

1

個人情報取扱事業者は、匿名加工情報（匿名加工情報データベース

個人情報取扱事業者は、匿名加工情報（匿名加工情報データベース

167[(1)～(3) 略]

等を構成するものに限る。以下この章及び第 6 章において同じ。）を等を構成するものに限る。以下同じ。）を作成するときは、特定の個作成するときは、特定の個人を識別すること及びその作成に用いる個人を識別すること及びその作成に用いる個人情報を復元することがで

人情報を復元することができないようにするために必要なものとしてきないようにするために必要なものとして個人情報保護委員会規則で個人情報保護委員会規則で定める基準に従い、当該個人情報を加工し定める基準に従い、当該個人情報を加工しなければならない。

なければならない。

法第 43 条第 1 項の個人情報保護委員会規則で定める基準は、次のと

規則第 19 条
法第 36 条第 1 項の個人情報保護委員会規則で定める基準は、次のとおりとする。

おりとする。

[(1)～(5) 略][(1)～(5) 同左]【匿名加工情報の安全管理措置等（法第 43 条第 2 項・第 3 項、第 6 項、第 46 条関係）】【匿名加工情報の安全管理措置等（法第 36 条第 2 項・第 3 項、第 6 項、第 39 条関係）】

法第 43 条（第 2 項・第 3 項・第 6 項）

法第 36 条（第 2 項・第 3 項・第 6 項）

[略]

[同左]

法第 46 条

法第 39 条

[略]

[同左]

規則第 35 条

規則第 20 条

法第 43 条第 2 項の個人情報保護委員会規則で定める基準は、次のと法第 36 条第 2 項の個人情報保護委員会規則で定める基準は、次のとおりとする。

おりとする。

(1)(1)

加工方法等情報（匿名加工情報の作成に用いた個人情報から削加工方法等情報（匿名加工情報の作成に用いた個人情報から削168

規則第 34 条

除した記述等及び個人識別符号並びに法第 43 条第 1 項の規定によ除した記述等及び個人識別符号並びに法第 36 条第 1 項の規定により行った加工の方法に関する情報（その情報を用いて当該個人情り行った加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。）をいう。以下この条に報を復元することができるものに限る。）をいう。以下この条において同じ。）を取り扱う者の権限及び責任を明確に定めるこ

おいて同じ。）を取り扱う者の権限及び責任を明確に定めること。

と。
[(2)・(3) 同左]

規則第 36 条

規則第 21 条

1

1

法第 43 条第 3 項の規定による公表は、匿名加工情報を作成した後、法第 36 条第 3 項の規定による公表は、匿名加工情報を作成した後、遅滞なく、インターネットの利用その他の適切な方法により行うもの

遅滞なく、インターネットの利用その他の適切な方法により行うもの

とする。

とする。

2

[略]

2

[同左]

【匿名加工情報の第三者提供（法第 43 条第 4 項、第 44 条関係）】【匿名加工情報の第三者提供（法第 36 条第 4 項、第 37 条関係）】

法第 43 条（第 4 項）

法第 36 条（第 4 項）

[略]

[同左]

法第 44 条

法第 37 条

[略]

[同左]

規則第 37 条

規則第 22 条

1

1

法第 43 条第 4 項の規定による公表は、インターネットの利用その他の適切な方法により行うものとする。

法第 36 条第 4 項の規定による公表は、インターネットの利用その他の適切な方法により行うものとする。

169[(2)・(3) 略]

法第 43 条第 4 項の規定による明示は、電子メールを送信する方法又2

は書面を交付する方法その他の適切な方法により行うものとする。

法第 36 条第 4 項の規定による明示は、電子メールを送信する方法又は書面を交付する方法その他の適切な方法により行うものとする。

規則第 38 条

規則第 23 条

1

1

前条第 1 項の規定は、法第 44 条の規定による公表について準用する。

2

前条第 2 項の規定は、法第 44 条の規定による明示について準用する。

前条第 1 項の規定は、法第 37 条の規定による公表について準用する。

2

前条第 2 項の規定は、法第 37 条の規定による明示について準用する。

【識別行為の禁止（法第 43 条第 5 項、第 45 条関係）】【識別行為の禁止（法第 36 条第 5 項、第 38 条関係）】

法第 43 条（第 5 項）

法第 36 条（第 5 項）

[略]

[同左]

法第 45 条

法第 38 条

匿名加工情報取扱事業者は、匿名加工情報を取り扱うに当たっては、

匿名加工情報取扱事業者は、匿名加工情報を取り扱うに当たっては、

当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するた

当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該個人情報から削除された記述等若しくは個人識別符号若しく

めに、当該個人情報から削除された記述等若しくは個人識別符号若しく

は第 43 条第 1 項若しくは第 114 条第 1 項（同条第 2 項において準用するは第 36 条第 1 項、行政機関の保有する個人情報の保護に関する法律（平場合を含む。）の規定により行われた加工の方法に関する情報を取得

成 15 年法律第 58 号）第 44 条の 10 第 1 項（同条第 2 項において準用する

し、又は当該匿名加工情報を他の情報と照合してはならない。

場合を含む。）若しくは独立行政法人等の保有する個人情報の保護に関する法律第 44 条の 10 第 1 項（同条第 2 項において準用する場合を含む。）の規定により行われた加工の方法に関する情報を取得し、又は当該匿名加工情報を他の情報と照合してはならない。

170

2

4 「勧告」、「命令」、「緊急命令」等についての考え方

4 「勧告」、「命令」、「緊急命令」等についての考え方

法第 145 条

法第 42 条1

1

個人情報保護委員会は、個人情報取扱事業者が第 16 条から第 17 条

（第 1 項、第 3 項及び第 4 項の規定を第 41 条第 4 項の規定により読みまで、第 18 条（第 1 項、第 3 項及び第 4 項の規定を第 35 条の 2 第 4 項

替えて適用する場合を含む。）、第 23 条から第 26 条まで、第 27 条の規定により読み替えて適用する場合を含む。）、第 20 条から第 22 条

（第 4 項を除き、第 5 項及び第 6 項の規定を第 41 条第 6 項の規定によの 2 まで、第 23 条（第 4 項を除き、第 5 項及び第 6 項の規定を第 35 条

り読み替えて適用する場合を含む。）、第 28 条、第 29 条（第 1 項ただの 2 第 6 項の規定により読み替えて適用する場合を含む。）、第 24

し書の規定を第 41 条第 6 項の規定により読み替えて適用する場合を含条、第 25 条（第 1 項ただし書の規定を第 35 条の 2 第 6 項の規定によりむ。）、第 30 条（第 2 項を除き、第 1 項ただし書の規定を第 41 条第 6

読み替えて適用する場合を含む。）、第 26 条（第 2 項を除き、第 1 項

項の規定により読み替えて適用する場合を含む。）、第 32 条、第 33 条

ただし書の規定を第 35 条の 2 第 6 項の規定により読み替えて適用する（第 1 項（第 5 項において準用する場合を含む。）を除く。）、第 34場合を含む。）、第 27 条、第 28 条（第 1 項（第 5 項において準用する

条第 2 項若しくは第 3 項、第 35 条（第 1 項、第 3 項及び第 5 項を除場合を含む。）を除く。）、第 29 条第 2 項若しくは第 3 項、第 30 条

く。）、第 38 条第 2 項、第 41 条（第 4 項及び第 5 項を除く。）若しく（第 1 項、第 3 項及び第 5 項を除く。）、第 33 条第 2 項、第 35 条の 2は第 43 条（第 6 項を除く。）の規定に違反した場合、個人関連情報取（第 4 項及び第 5 項を除く。）若しくは第 36 条（第 6 項を除く。）の扱事業者が第 31 条第 1 項、同条第 2 項において読み替えて準用する第規定に違反した場合、個人関連情報取扱事業者が第 26 条の 2 第 1 項若28 条第 3 項若しくは第 31 条第 3 項において読み替えて準用する第 30

しくは同条第 2 項において読み替えて準用する第 24 条第 3 項若しくは条第 3 項若しくは第 4 項の規定に違反した場合、仮名加工情報取扱事

第 26 条の 2 第 3 項において読み替えて準用する第 26 条第 3 項若しくは業者が第 42 条第 1 項、同条第 2 項において読み替えて準用する第 27 条

第 4 項の規定に違反した場合、仮名加工情報取扱事業者が第 35 条の 3

第 5 項若しくは第 6 項若しくは第 42 条第 3 項において読み替えて準用

第 1 項若しくは同条第 2 項において読み替えて準用する第 23 条第 5 項する第 23 条から第 25 条まで若しくは第 41 条第 7 項若しくは第 8 項の若しくは第 6 項若しくは第 35 条の 3 第 3 項において読み替えて準用す

171

委員会は、個人情報取扱事業者が第 18 条から第 20 条まで、第 21 条

規定に違反した場合又は匿名加工情報取扱事業者が第 44 条若しくは第る第 20 条から第 22 条まで若しくは第 35 条の 2 第 7 項若しくは第 8 項

45 条の規定に違反した場合において個人の権利利益を保護するため必の規定に違反した場合又は匿名加工情報取扱事業者が第 37 条若しくは要があると認めるときは、当該個人情報取扱事業者等に対し、当該違第 38 条の規定に違反した場合において個人の権利利益を保護するため

反行為の中止その他違反を是正するために必要な措置をとるべき旨を必要があると認めるときは、当該個人情報取扱事業者等に対し、当該勧告することができる。

違反行為の中止その他違反を是正するために必要な措置をとるべき旨を勧告することができる。

3

委員会は、前項の規定による勧告を受けた個人情報取扱事業者等が2

個人情報保護委員会は、前項の規定による勧告を受けた個人情報取正当な理由がなくてその勧告に係る措置をとらなかった場合において扱事業者等が正当な理由がなくてその勧告に係る措置をとらなかった

個人の重大な権利利益の侵害が切迫していると認めるときは、当該個場合において個人の重大な権利利益の侵害が切迫していると認めると人情報取扱事業者等に対し、その勧告に係る措置をとるべきことを命きは、当該個人情報取扱事業者等に対し、その勧告に係る措置をとる

ずることができる。

べきことを命ずることができる。

委員会は、前二項の規定にかかわらず、個人情報取扱事業者が第 18

3

個人情報保護委員会は、前二項の規定にかかわらず、個人情報取扱条から第 20 条まで、第 23 条から第 26 条まで、第 27 条第 1 項、第 28

事業者が第 16 条から第 17 条まで、第 20 条から第 22 条の 2 まで、第条第 1 項若しくは第 3 項、第 41 条第 1 項から第 3 項まで若しくは第 623 条第 1 項、第 24 条第 1 項若しくは第 3 項、第 35 条の 2 第 1 項から

項から第 8 項まで若しくは第 43 条第 1 項、第 2 項若しくは第 5 項の規

第 3 項まで若しくは第 6 項から第 8 項まで若しくは第 36 条第 1 項、第定に違反した場合、個人関連情報取扱事業者が第 31 条第 1 項若しくは2 項若しくは第 5 項の規定に違反した場合、個人関連情報取扱事業者が同条第 2 項において読み替えて準用する第 28 条第 3 項の規定に違反し第 26 条の 2 第 1 項若しくは同条第 2 項において読み替えて準用する第た場合、仮名加工情報取扱事業者が第 42 条第 1 項若しくは同条第 3 項

24 条第 3 項の規定に違反した場合、仮名加工情報取扱事業者が第 35 条

において読み替えて準用する第 23 条から第 25 条まで若しくは第 41 条の 3 第 1 項若しくは同条第 3 項において読み替えて準用する第 20 条か

第 7 項若しくは第 8 項の規定に違反した場合又は匿名加工情報取扱事ら第 22 条まで若しくは第 35 条の 2 第 7 項若しくは第 8 項の規定に違反業者が第 45 条の規定に違反した場合において個人の重大な権利利益をした場合又は匿名加工情報取扱事業者が第 38 条の規定に違反した場合害する事実があるため緊急に措置をとる必要があると認めるときは、において個人の重大な権利利益を害する事実があるため緊急に措置を当該個人情報取扱事業者等に対し、当該違反行為の中止その他違反をとる必要があると認めるときは、当該個人情報取扱事業者等に対し、

1722

是正するために必要な措置をとるべきことを命ずることができる。

当該違反行為の中止その他違反を是正するために必要な措置をとるべ
きことを命ずることができる。

委員会は、前二項の規定による命令をした場合において、その命令を

4

個人情報保護委員会は、前二項の規定による命令をした場合におい受けた個人情報取扱事業者等がその命令に違反したときは、その旨をて、その命令を受けた個人情報取扱事業者等がその命令に違反したと公表することができる。

きは、その旨を公表することができる。

法第 173 条

法第 83 条第 145 条第 2 項又は第 3 項の規定による命令に違反した場合には、当第 42 条第 2 項又は第 3 項の規定による命令に違反した場合には、当該違反行為をした者は、1 年以下の懲役又は 100 万円以下の罰金に処す

該違反行為をした者は、1 年以下の懲役又は 100 万円以下の罰金に処する。

る。

法第 179 条

法第 87 条1

1

2

法人の代表者又は法人若しくは人の代理人、使用人その他の従業者

法人の代表者又は法人若しくは人の代理人、使用人その他の従業者が、その法人又は人の業務に関して、次の各号に掲げる違反行為をしが、その法人又は人の業務に関して、次の各号に掲げる違反行為をしたときは、行為者を罰するほか、その法人に対して当該各号に定めるたときは、行為者を罰するほか、その法人に対して当該各号に定める罰金刑を、その人に対して各本条の罰金刑を科する。

罰金刑を、その人に対して各本条の罰金刑を科する。

(1)

第 173 条及び第 174 条 1 億円以下の罰金刑(1)

第 83 条及び第 84 条

(2)

第 177 条 同条の罰金刑(2)

第 85 条 同条の罰金刑[略]法第 145 条に規定される個人情報保護委員会の「勧告（第 1 項）」、「命2

1 億円以下の罰金刑[同左]

法第 42 条に規定される個人情報保護委員会の「勧告（第 1 項）」「命令令（第 2 項）」及び「緊急命令（第 3 項）」については、個人情報取扱事 （第 2 項）」及び「緊急命令（第 3 項）」については、個人情報取扱事業業者等が本ガイドラインに沿って必要な措置等を講じたか否かにつき判断者等が本ガイドラインに沿って必要な措置等を講じたか否かにつき判断し173

4

して行うものとする。

て行うものとする。

すなわち、本ガイドラインの中で、「しなければならない」及び「してすなわち、本ガイドラインの中で、「しなければならない」及び「してはならない」と記述している事項については、これらに従わなかった場はならない」と記述している事項については、これらに従わなかった場合、個人情報取扱事業者においては法第 18 条から第 20 条まで、第 21 条合、個人情報取扱事業者においては法第 16 条から第 17 条まで、第 18 条

（第 1 項、第 3 項及び第 4 項の規定を第 41 条第 4 項の規定により読み替え （第 1 項、第 3 項及び第 4 項の規定を第 35 条の 2 第 4 項の規定により読みて適用する場合を含む。）、第 23 条から第 26 条まで、第 27 条（第 4 項を 替えて適用する場合を含む。）、第 20 条から第 22 条の 2 まで、第 23 条
除き、第 5 項及び第 6 項の規定を第 41 条第 6 項の規定により読み替えて適 （第 4 項を除き、第 5 項及び第 6 項の規定を第 35 条の 2 第 6 項の規定によ用する場合を含む。）、第 28 条、第 29 条（第 1 項ただし書の規定を第 41 り読み替えて適用する場合を含む。）、第 24 条、第 25 条（第 1 項ただし条第 6 項の規定により読み替えて適用する場合を含む。）、第 30 条（第 2書の規定を第 35 条の 2 第 6 項の規定により読み替えて適用する場合を含項を除き、第 1 項ただし書の規定を第 41 条第 6 項の規定により読み替えて む。）、第 26 条（第 2 項を除き、第 1 項ただし書の規定を第 35 条の 2 第 6用する場合を含む。）を除く。）、第 34 条第 2 項若しくは第 3 項、第 35 条 1 項（第 5 項において準用する場合を含む。）を除く。）、第 29 条第 2 項（第 1 項、第 3 項及び第 5 項を除く。）、第 38 条第 2 項、第 41 条（第 4 項

若しくは第 3 項、第 30 条（第 1 項、第 3 項及び第 5 項を除く。）、第 33 条

及び第 5 項を除く。）又は第 43 条（第 6 項を除く。）の規定違反、個人関 第 2 項、第 35 条の 2（第 4 項及び第 5 項を除く。）又は第 36 条（第 6 項を連情報取扱事業者においては法第 31 条第 1 項若しくは同条第 2 項において 除く。）の規定違反、個人関連情報取扱事業者においては法第 26 条の 2 第
読み替えて準用する第 28 条第 3 項又は第 31 条第 3 項において読み替えて

1 項若しくは同条第 2 項において読み替えて準用する第 24 条第 3 項又は第準用する第 30 条第 3 項若しくは第 4 項の規定違反、仮名加工情報取扱事業 26 条の 2 第 3 項において読み替えて準用する第 26 条第 3 項若しくは第 4 項者においては法第 42 条第 1 項若しくは同条第 2 項において読み替えて準用 の規定違反、仮名加工情報取扱事業者においては法第 35 条の 3 第 1 項若しする第 27 条第 5 項若しくは第 6 項又は第 42 条第 3 項において読み替えてくは同条第 2 項において読み替えて準用する第 23 条第 5 項若しくは第 6 項

準用する第 23 条から第 25 条まで若しくは第 41 条第 7 項若しくは第 8 項の又は第 35 条の 3 第 3 項において読み替えて準用する第 20 条から第 22 条ま規定違反、匿名加工情報取扱事業者においては法第 44 条又は第 45 条の規 で若しくは第 35 条の 2 第 7 項若しくは第 8 項の規定違反、匿名加工情報取定違反と判断される可能性がある。

扱事業者においては法第 37 条又は第 38 条の規定違反と判断される可能性

違反と判断された場合において、実際に個人情報保護委員会が「勧告」 がある。

174

適用する場合を含む。）、第 32 条、第 33 条（第 1 項（第 5 項において準 項の規定により読み替えて適用する場合を含む。）、第 27 条、第 28 条（第を行うこととなるのは、個人の権利利益を保護するため必要があると個人情報保護委員会が認めたときとなる。

違反と判断された場合において、実際に個人情報保護委員会が「勧告」を行うこととなるのは、個人の権利利益を保護するため必要があると個人

一方、本ガイドライン中、「努めなければならない」、「望ましい」等 情報保護委員会が認めたときとなる。
と記述している事項については、これに従わなかったことをもって直ちに一方、本ガイドライン中、「努めなければならない」、「望ましい」等

法違反と判断されることはないが、法の基本理念（法第 3 条）を踏まえ、と記述している事項については、これに従わなかったことをもって直ちに事業者の特性や規模に応じ可能な限り対応することが望まれるものであ 法違反と判断されることはないが、法の基本理念（法第 3 条）を踏まえ、る。

事業者の特性や規模に応じ可能な限り対応することが望まれるものであく、正当な理由なくその勧告に係る措置をとらなかった場合において個人「命令」は、単に「勧告」に従わないことをもって発せられることはなの重大な権利利益の侵害が切迫していると個人情報保護委員会が認めたとく、正当な理由なくその勧告に係る措置をとらなかった場合において個人

きに発せられる。

の重大な権利利益の侵害が切迫していると個人情報保護委員会が認めたと

なお、「勧告」に従わなかったか否かを明確にするため、個人情報保護 きに発せられる。
委員会は、「勧告」に係る措置を講ずべき期間を設定して「勧告」を行うこととする。

なお、「勧告」に従わなかったか否かを明確にするため、個人情報保護委員会は、「勧告」に係る措置を講ずべき期間を設定して「勧告」を行う「緊急命令」は、個人情報取扱事業者等が上記各規定に違反した場合に こととする。
おいて、個人の重大な権利利益を害する事実があるため緊急に措置をとる「緊急命令」は、個人情報取扱事業者等が上記各規定に違反した場合に必要があると個人情報保護委員会が認めたときに、「勧告」を前置せずにおいて、個人の重大な権利利益を害する事実があるため緊急に措置をとる行う。

必要があると個人情報保護委員会が認めたときに、「勧告」を前置せずにまた、「命令」及び「緊急命令」に従わなかったか否かを明確にするた 行う。
め、個人情報保護委員会は、「命令」及び「緊急命令」に係る措置を講ず

また、「命令」及び「緊急命令」に従わなかったか否かを明確にするたべき期間を設定して「命令」及び「緊急命令」を行い、当該期間中に措置

め、個人情報保護委員会は、「命令」及び「緊急命令」に係る措置を講ずが講じられない場合は、「公表（法第 145 条第 4 項）」の対象となるほか、 べき期間を設定して「命令」及び「緊急命令」を行い、当該期間中に措置「罰則（法第 173 条、第 179 条）」が適用される。

が講じられない場合は、「公表（法第 42 条第 4 項）」の対象となるほか、

175「命令」は、単に「勧告」に従わないことをもって発せられることはな る。

なお、個人情報保護委員会は、事案の性質等に応じ、国民への情報提供 「罰則（法第 83 条、第 87 条）」が適用される。
等の観点から（法第 9 条）、個人情報保護委員会による権限行使について、公表を行うことがある。

なお、個人情報保護委員会は、事案の性質等に応じ、国民への情報提供等の観点から（法第 8 条）、個人情報保護委員会による権限行使について、公表を行うことがある。

5 適用除外（法第 57 条関係）

[新設]

法第 57 条1

個人情報取扱事業者等及び個人関連情報取扱事業者のうち次の各号

目的の全部又は一部がそれぞれ当該各号に規定する目的であるときは、この章の規定は、適用しない。
(1)

放送機関、新聞社、通信社その他の報道機関（報道を業として行う個人を含む。） 報道の用に供する目的(2)

著述を業として行う者 著述の用に供する目的

(3)

宗教団体

宗教活動（これに付随する活動を含む。）の用に供

する目的
(4)

政治団体

政治活動（これに付随する活動を含む。）の用に供する目的
2

前項第 1 号に規定する「報道」とは、不特定かつ多数の者に対して客観的事実を事実として知らせること（これに基づいて意見又は見解を述べることを含む。）をいう。

176に掲げる者については、その個人情報等及び個人関連情報を取り扱う

3

第 1 項各号に掲げる個人情報取扱事業者等は、個人データ、仮名加工情報又は匿名加工情報の安全管理のために必要かつ適切な措置、個
人情報等の取扱いに関する苦情の処理その他の個人情報等の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。

報道機関（※1）が報道の用に供する目的で個人情報等を取り扱う場合、小説家等が著述（※2）の用に供する目的で個人情報等を取り扱う場合、宗教団体が宗教活動の用に供する目的で個人情報等を取り扱う場合（※3）及び政治団体が政治活動の用に供する目的で個人情報等を取り扱う場合（※

報取扱事業者等の義務等に係る規定は適用されない（※5）。
ただし、上記に定める各主体は、安全管理措置、苦情処理等、個人情報等の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。

（※1）「報道」とは、新聞、ラジオ、テレビ等を通じて社会の出来事などを広く知らせることをいい、「報道機関」とは、報道を目的とする施設、組織体をいう。なお、「報道機関」の概念には、報道を業とするフリージャーナリストのような個人も含まれる。
（※2）「著述」とは、文芸作品の創作、文芸批評、評論等がこれに該当し、学術書、実用書等人間の知的活動の成果といえるもの

1774）は、憲法が保障する基本的人権への配慮から、法第 4 章に定める個人情

を書き表すことも、これに該当する。一方、名簿等のようにデータの羅列にすぎないものは「著述」に該当しない。
（※3）「宗教団体」とは、宗教の教義を広め、儀式行事を行い、及び信者を教化育成することを主たる目的とする、①礼拝の施設を備える団体（神社、寺院、教会、修道院その他これらに類する団体）、又は②単位宗教団体を包括する団体（教派、宗派、教団、教会、修道会、司教区その他これに類する団体）をいう。
また、「宗教活動」とは、宗教の教義を広め、儀式行事を行い、及び信者を教化育成することであり、「これに付随する活営のように、宗教活動を主たる目的とする活動とまではいえな
いものの、その活動の副次的効果として教義を広める等の効果を期待して行われているものをいう。
（※4）「政治団体」とは、①政治上の主義又は施策を推進、支持又は反対することを本来の目的とする団体、②特定の公職の候補者を推薦、支持又は反対することを本来の目的とする団体、③
その他、政治上の主義若しくは施策を推進、支持若しくは反対すること、又は特定の公職の候補者を推薦、支持若しくは反対することをその主たる活動として組織的かつ継続的に行う団体をいう。また、こうした団体の活動と密接な関連を有する、政治上の主義又は施策を研究する団体や政党のために資金上の援助をすることを目的とする団体も、本条の「政治団体」に含ま178

動」とは、霊園、宿坊の経営や他宗派の人々に対する葬儀の運れる。
また、「政治活動」とは、上記①から③までの活動を行うことであり、「これに付随する活動」とは、労働運動の支援等、それ自体が政治活動とはいえないものの、副次的に政治目的の達成に役立つ活動をいう。
（※5）ただし、法第 57 条第 1 項各号に定める者についても、法第174 条（個人情報データベース等不正提供罪）は適用される点について留意が必要である。

適用の特例（法第 58 条・第 123 条関係）

法第 58 条1

個人情報取扱事業者又は匿名加工情報取扱事業者のうち別表第 2 に掲げる法人については、第 32 条から第 39 条まで及び第 4 節の規定は、適用しない。

2

独立行政法人労働者健康安全機構が行う病院（医療法（昭和 23 年法律第 205 号）第 1 条の 5 第 1 項に規定する病院をいう。第 66 条第 2 項
第 3 号並びに第 123 条第 1 項及び第 3 項において同じ。）の運営の業務における個人情報、仮名加工情報又は個人関連情報の取扱いについては、個人情報取扱事業者、仮名加工情報取扱事業者又は個人関連情報取扱事業者による個人情報、仮名加工情報又は個人関連情報の取扱いとみなして、この章（第 32 条から第 39 条まで及び第 4 節を除く。）及

[新設]
179

6

び第 6 章から第 8 章までの規定を適用する。

法第 123 条
1

独立行政法人労働者健康安全機構が行う病院の運営の業務における個人情報、仮名加工情報又は個人関連情報の取扱いについては、この章（第 1 節、第 66 条第 2 項（第 3 号及び第 4 号（同項第 3 号に係る部分に限る。）に係る部分に限る。）において準用する同条第 1 項、第75 条、前二節、前条第 2 項及び第 125 条を除く。）の規定、第 171 条
及び第 175 条の規定（これらの規定のうち第 66 条第 2 項第 3 号及び第4 号（同項第 3 号に係る部分に限る。）に定める業務に係る部分を除2

別表第 2 に掲げる法人による個人情報又は匿名加工情報の取扱いについては、独立行政法人等による個人情報又は匿名加工情報の取扱いとみなして、第 1 節、第 75 条、前二節、前条第 2 項、第 125 条及び次章から第 8 章まで（第 171 条、第 175 条及び第 176 条を除く。）の規定を適用する。

3

別表第 2 に掲げる法人及び独立行政法人労働者健康安全機構（病院の運営の業務を行う場合に限る。）についての第 98 条の規定の適用については、同条第 1 項第 1 号中「第 61 条第 2 項の規定に違反して保有されているとき、第 63 条の規定に違反して取り扱われているとき、第64 条の規定に違反して取得されたものであるとき、又は第 69 条第 1 項
及び第 2 項の規定に違反して利用されているとき」とあるのは「第 18条若しくは第 19 条の規定に違反して取り扱われているとき、又は第 20

180く。）並びに第 176 条の規定は、適用しない。

条の規定に違反して取得されたものであるとき」と、同項第 2 号中
「第 69 条第 1 項及び第 2 項又は第 71 条第 1 項」とあるのは「第 27 条
第 1 項又は第 28 条」とする。

国の機関である国立大学法人及び医療事業を行う独立行政法人等（※）
における個人情報の取扱い並びに独立行政法人労働者健康安全機構の行う病院の運営の業務に係る個人情報の取扱いについては、学術研究機関、医療機関等としての特性を踏まえ、基本的に民間の学術研究機関、医療機関
等と同様、民間部門における個人情報の取扱いに係る規律が適用される。
（※）国立大学法人、医療事業を行う独立行政法人等とは、法別表

沖縄科学技術大学院大学学園
国立研究開発法人
国立大学法人大学共同利用機関法人
独立行政法人国立病院機構
独立行政法人地域医療機能推進機構
放送大学学園他方、政府の一部を構成するとみられる独立行政法人等としての特性を踏まえ、開示請求等に係る制度、行政機関等匿名加工情報の提供等については、現行の取扱いを維持し、公的部門における規律（法第 5 章第 1 節、第 75 条、第 5 章第 4 節及び第 5 節、第 122 条第 2 項、第 125 条並びに第 6章から第 8 章まで（第 171 条、第 175 条及び第 176 条を除く。））が適用

181

第 2 に掲げる次の法人等をいう。

される。

（参考）公的部門の機関、法人等の種別と法第 4 章及び第 5 章の主な適用
関係個人情報等の

個人情報フ

開 示 、 訂 匿名加工情取扱い等に関

ァイル簿に

正、利用停

報に関する

する規律

関する規律

止等に関す

規律

国の行政機関公的部門の規

公的部門の

公的部門の

公的部門の

律

規律

規律

規律

（第 5 章第 2（第 5 章第（第 5 章第（第 5 章第

節）

3 節）

4 節）

5 節）

公的部門の規

公的部門の

律

規律

（第 5 章第 2（第 5 章第節）

3 節）※第別表第 2 に掲
げる法人及
び（独）労
働者健康安
全機構

民間部門の規75 条のみ（※1、2）（※3）

独立行政法人等律（第 4 章）（※1）独立行政法人労働者健康安全機構については、病院の運営の業務に限る。

182

る規律（※2）これらが行う業務のうち政令で定めるものについては、安全管理措置義務（法第 66 条）、従業者の義務（法第 67 条）及び一定の罰則（法第 171 条及び第 175 条）について、この表にかかわらず、行政機関等に準じた扱いがなされる。（令第 18 条関係）（※3）第 2 節中保有個人データに関する事項の公表等（第 32 条）、
開示、訂正等及び利用停止等（第 33 条～第 39 条）並びに匿名
加工情報取扱事業者等の義務（第 4 章第 4 節）に関する規定は学術研究機関等の責務（法第 59 条関係）

[新設]

7-1 学術研究機関等の責務（法第 59 条関係）

[新設]

7

法第 59 条
個人情報取扱事業者である学術研究機関等は、学術研究目的で行う
個人情報の取扱いについて、この法律の規定を遵守するとともに、その適正を確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。

学術研究機関等（※1）が学術研究目的（※2）で個人情報を取り扱う場
合には、当該個人情報の取扱いについて、この法律を遵守するとともに、

183

適用が除外される。

学術研究機関等について法律の特例が設けられているものも含め、安全管
理措置、苦情処理等、個人情報等の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
この点、個人情報の利用、取得及び提供に係る規律のうち、個人情報の目的外利用の制限（法第 18 条）、要配慮個人情報の取得（法第 20 条第 2項）及び第三者提供の制限（法第 27 条）に関しては、学術研究機関等が学術研究目的で取り扱う必要がある場合について、本人又は第三者の権利利益を不当に侵害するおそれがない場合に限って、事前の本人同意を要しない等の特例が設けられている（※3）。

的の特定（法第 17 条）、不適正な利用の禁止（法第 19 条）、適正な取得（法第 20 条第１項）、利用目的の通知（法第 21 条）及びデータ内容の正確性の確保（法第 22 条）については、他の個人情報取扱事業者と同様の規律が個人情報取扱事業者である学術研究機関等にも適用されることにな
る。
また、個人データの安全管理措置に係る規律（法第 23 条から第 26 条まで）、保有個人データの開示、訂正等及び利用停止等の請求に係る規律（法第 33 条から第 40 条まで）、仮名加工情報取扱事業者等の義務（法第 4章第 3 節）、匿名加工情報取扱事業者等の義務（法第 4 章第 4 節）及び民間団体による個人情報の保護の推進に係る規定（法第 4 章第 5 節）についても、他の個人情報取扱事業者と同様の規律が個人情報取扱事業者である
学術研究機関等にも適用されることになる。

184

一方で、個人情報の利用、取得及び提供に係る規律であっても、利用目

（※1）「学術研究機関等」については、2-18（学術研究機関等）を参照のこと。
（※2）「学術研究目的」については、2-19（学術研究目的）を参照のこと。
（※3）各規定に関する例外規定については、3-1-5（利用目的による制限の例外）、3-3-2（要配慮個人情報の取得）及び 3-6-1（第三者提供の制限の原則）を参照のこと。

大学の自治を始めとする学術研究機関等の自律性に鑑みれば、学術研究機関等の自律的な判断を原則として尊重する必要があると考えられる。このため、学術研究機関等が、個人情報を利用した研究の適正な実施のための自主規範を単独又は共同して策定・公表した場合であって、当該自主規範の内容が個人の権利利益の保護の観点から適切であり、その取扱いが当
該自主規範にのっとっているときは、法第 146 条第 1 項の趣旨を踏まえ、個人情報保護委員会は、これを尊重する。
ただし、自主規範にのっとった個人情報の取扱いであっても、本人の権
利利益を不当に侵害するおそれがある場合には、原則として、個人情報保護委員会は、その監督権限を行使する。

[新設]
185

7-2 学術研究機関等による自主規範の策定・公表

（参考）法第 146 条（第 1 項）
1

委員会は、前三条の規定により個人情報取扱事業者等に対し報告若しくは資料の提出の要求、立入検査、指導、助言、勧告又は命令を行うに当たっては、表現の自由、学問の自由、信教の自由及び政治活動[削る]

5 域外適用及び適用除外（法第 75 条・第 76 条関係）

8 域外適用（法第 166 条関係）

5-1 域外適用（法第 75 条関係）

法第 166 条

法第 75 条

この法律は、個人情報取扱事業者、仮名加工情報取扱事業者、匿名

この法律は、個人情報取扱事業者等が、国内にある者に対する物品

加工情報取扱事業者又は個人関連情報取扱事業者が、国内にある者に又は役務の提供に関連して、国内にある者を本人とする個人情報、当対する物品又は役務の提供に関連して、国内にある者を本人とする個該個人情報として取得されることとなる個人関連情報又は当該個人情

人情報、当該個人情報として取得されることとなる個人関連情報又は報を用いて作成された仮名加工情報若しくは匿名加工情報を、外国に当該個人情報を用いて作成された仮名加工情報若しくは匿名加工情報

おいて取り扱う場合についても、適用する。

を、外国において取り扱う場合についても、適用する。

[略][【域外適用の対象となる事例】・【域外適用の対象とならない事例】[同左][【域外適用の対象となる事例】・【域外適用の対象とならない事例】 同

186の自由を妨げてはならない。

左]

略]

[（※1）～（※3） 略][（※1）～（※3） 同左]（※4）法第 166 条により法の適用を受ける外国事業者が、法に違反（※4）法第 75 条により法の適用を受ける外国事業者が、法に違反した場合には、個人情報保護委員会が指導、助言、勧告又は命した場合には、個人情報保護委員会が指導、助言、勧告又は命令等を行うことができる。

令等を行うことができる。
（※5）日本にある子会社が外国にある親会社に対して従業員の個人データを提供するためには、法第 28 条に従い、本人の同意を取

データを提供するためには、法第 24 条に従い、本人の同意を取得するなど外国にある第三者に個人データを提供するための措得するなど外国にある第三者に個人データを提供するための措置を講ずる必要がある。詳細については、「外国第三者提供ガ置を講ずる必要がある。詳細については、「外国第三者提供ガイドライン」を参照のこと。

イドライン」を参照のこと。
187（※5）日本にある子会社が外国にある親会社に対して従業員の個人[削る]

5-2 適用除外（法第 76 条関係）

法第 76 条1

個人情報取扱事業者等のうち次の各号に掲げる者については、その個人情報等を取り扱う目的の全部又は一部がそれぞれ当該各号に規定する目的であるときは、第 4 章の規定は、適用しない。
(1)

放送機関、新聞社、通信社その他の報道機関（報道を業として行う個人を含む。） 報道の用に供する目的(2)

著述を業として行う者 著述の用に供する目的(3)

大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者 学術研究の用に供する目的
(4)

宗教団体

宗教活動（これに付随する活動を含む。）の用に供

する目的
(5)

政治団体

政治活動（これに付随する活動を含む。）の用に供する目的
2

前項第 1 号に規定する「報道」とは、不特定かつ多数の者に対して客観的事実を事実として知らせること（これに基づいて意見又は見解を述べることを含む。）をいう。

3

第 1 項各号に掲げる個人情報取扱事業者等は、個人データ、仮名加工情報又は匿名加工情報の安全管理のために必要かつ適切な措置、個いに関する苦情の処理その他の個人情報等の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。

報道機関（※1）が報道の用に供する目的で個人情報等を取り扱う場合、小説家等が著述（※2）の用に供する目的で個人情報等を取り扱う場合、学術研究機関等が学術研究の用に供する目的で個人情報等を取り扱う場合（※3）、宗教団体が宗教活動の用に供する目的で個人情報等を取り扱う場
合（※4）及び政治団体が政治活動の用に供する目的で個人情報等を取り扱う場合（※5）は、憲法が保障する基本的人権への配慮から、法第 4 章に定める個人情報取扱事業者等の義務等に係る規定は適用されない（※6）。
ただし、上記に定める各主体は、安全管理措置、苦情処理等、個人情報

188

人情報等（個人関連情報を除く。以下この項において同じ。）の取扱

等（個人関連情報を除く。）の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。

（※1）「報道」とは、新聞、ラジオ、テレビ等を通じて社会の出来事などを広く知らせることをいい、「報道機関」とは、報道を目的とする施設、組織体をいう。なお、「報道機関」の概念には、報道を業とするフリージャーナリストのような個人も含まれる。
（※2）「著述」とは、文芸作品の創作、文芸批評、評論等がこれにを書き表すことも、これに該当する。一方、名簿等のようにデータの羅列にすぎないものは「著述」に該当しない。
（※3）「学術」とは、人文・社会科学及び自然科学並びにそれらの応用の研究であり、あらゆる学問分野における研究活動及びその所産としての知識・方法の体系をいい、具体的活動としての「学術研究」としては、新しい法則や原理の発見、分析や方法論の確立、新しい知識やその応用法の体系化、先端的な学問領域の開拓などをいう。
また、「大学その他の学術研究を目的とする機関又は団体」とは、私立大学、公益法人等の研究所等の学術研究を主たる目的として活動する機関や「学会」をいい、「それらに属する者」とは、私立大学の教員、公益法人等の研究所の研究員、学

189

該当し、学術書、実用書等人間の知的活動の成果といえるもの

会の会員等をいう。
なお、民間団体付属の研究機関等における研究活動についても、当該機関が学術研究を主たる目的とするものであって、当該活動が学術研究の用に供する目的である場合には、法第 76 条
第 1 項第 3 号により、法第 4 章の規定は適用されない。
一方で、当該機関が単に製品開発を目的としている場合は「学術研究を目的とする機関又は団体」には該当しないが、製品開発と学術研究の目的が併存している場合には、主たる目的により判断する。また、当該機関が学術研究を主たる目的とするものであっても、その副次的な活動として製品開発を目的と用に供する目的」とは解されないため、当該活動における個人情報等の取扱いについては、法第 4 章の規定が適用される。
（※4）「宗教団体」とは、宗教の教義を広め、儀式行事を行い、及び信者を教化育成することを主たる目的とする、①礼拝の施設を備える団体（神社、寺院、教会、修道院その他これらに類する団体）、又は②単位宗教団体を包括する団体（教派、宗派、教団、教会、修道会、司教区その他これに類する団体）をいう。
また、「宗教活動」とは、宗教の教義を広め、儀式行事を行い、及び信者を教化育成することであり、「これに付随する活動」とは、霊園、宿坊の経営や他宗派の人々に対する葬儀の運営のように、宗教活動を主たる目的とする活動とまではいえな190

して個人情報等を取り扱う場合は、当該活動は、「学術研究のいものの、その活動の副次的効果として教義を広める等の効果を期待して行われているものをいう。
（※5）「政治団体」とは、①政治上の主義又は施策を推進、支持又は反対することを本来の目的とする団体、②特定の公職の候補者を推薦、支持又は反対することを本来の目的とする団体、③
その他、政治上の主義若しくは施策を推進、支持若しくは反対すること、又は特定の公職の候補者を推薦、支持若しくは反対することをその主たる活動として組織的かつ継続的に行う団体をいう。また、こうした団体の活動と密接な関連を有する、政治上の主義又は施策を研究する団体や政党のために資金上の援れる。
また、「政治活動」とは、上記①から③までの活動を行うことであり、「これに付随する活動」とは、労働運動の支援等、それ自体が政治活動とはいえないものの、副次的に政治目的の達成に役立つ活動をいう。
（※6）ただし、法第 76 条第 1 項各号に定める者についても、法第84 条（個人情報データベース等不正提供罪）は適用される点について留意が必要である。

9 ガイドラインの見直し

6 ガイドラインの見直し

191

助をすることを目的とする団体も、本条の「政治団体」に含ま10 （別添）講ずべき安全管理措置の内容[同左]

7 （別添）講ずべき安全管理措置の内容

法第 23 条に定める安全管理措置として、個人情報取扱事業者が具体的に

法第 20 条に定める安全管理措置として、個人情報取扱事業者が具体的に講じなければならない措置や当該措置を実践するための手法の例等を次に講じなければならない措置や当該措置を実践するための手法の例等を次に

示す。

示す。

安全管理措置を講ずるための具体的な手法については、個人データが漏安全管理措置を講ずるための具体的な手法については、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業のえい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量

規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリスクに応じを含む。）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容とすべきものであるため、必ずしも次に掲げる例て、必要かつ適切な内容とすべきものであるため、必ずしも次に掲げる例

示の内容の全てを講じなければならないわけではなく、また、適切な手法

示の内容の全てを講じなければならないわけではなく、また、適切な手法はこれらの例示の内容に限られない。

はこれらの例示の内容に限られない。

なお、中小規模事業者（※1）については、その他の個人情報取扱事業者

なお、中小規模事業者（※1）については、その他の個人情報取扱事業者と同様に、法第 23 条に定める安全管理措置を講じなければならないが、取 と同様に、法第 20 条に定める安全管理措置を講じなければならないが、取り扱う個人データの数量及び個人データを取り扱う従業者数が一定程度にり扱う個人データの数量及び個人データを取り扱う従業者数が一定程度にとどまること等を踏まえ、円滑にその義務を履行し得るような手法の例を

とどまること等を踏まえ、円滑にその義務を履行し得るような手法の例を示すこととする。もっとも、中小規模事業者が、その他の個人情報取扱事示すこととする。もっとも、中小規模事業者が、その他の個人情報取扱事業者と同様に「手法の例示」に記述した手法も採用することは、より望ま業者と同様に「手法の例示」に記述した手法も採用することは、より望ましい対応である。

しい対応である。

192[略][（※1）・（※2） 同左]

10-1 基本方針の策定

7-1 基本方針の策定

[略]

[同左]

10-2 個人データの取扱いに係る規律の整備

7-2 個人データの取扱いに係る規律の整備

[略]

[同左]

10-3 組織的安全管理措置

7-3 組織的安全管理措置

[略]

[同左]

10-4 人的安全管理措置

7-4 人的安全管理措置

個人情報取扱事業者は、人的安全管理措置として、次に掲げる措置を講

個人情報取扱事業者は、人的安全管理措置として、次に掲げる措置を講じなければならない。また、個人情報取扱事業者は、従業者に個人データ

じなければならない。また、個人情報取扱事業者は、従業者に個人データを取り扱わせるに当たっては、法第 24 条に基づき従業者に対する監督をし を取り扱わせるに当たっては、法第 21 条に基づき従業者に対する監督をしなければならない（3-4-3（従業者の監督）参照）。

なければならない（3-4-3（従業者の監督）参照）。

○従業者の教育○従業者の教育

[略]

[同左]

193

[（※1）・（※2） 略]

7-5 物理的安全管理措置

[略]

[同左]

10-6 技術的安全管理措置

7-6 技術的安全管理措置

[略]

[同左]

10-7 外的環境の把握

7-7 外的環境の把握

[略]

[同左]

[【付録】 略][【付録】 同左]

備考 表中の[ ]の記載は注記である。

194

10-5 物理的安全管理措置