「学校における生徒等に関する個人情報の適正な取扱いを確保するために事業者が講ずべき措置に関する指針」解説

平成１７年１月

文部科学省大臣官房総務課

本解説書は、私立学校を設置する各民間事業者が、個人情報の保護に関する法律及び文部科学省が定めた「学校等における生徒に関する個人情報の適正な取扱いを確保するために事業者が構ずべき措置に関する指針」等を踏まえて、生徒等の個人情報の保護を図る際の参考としていただくため、基本的考え方や想定される参考事例などをまとめたものです。
なお、本解説書は、あくまで皆様の理解を助けるための参考資料であり、各事業者においては、個々の事案や状況に応じて適切な措置を講じる必要があります。

（お問い合わせ先）
文部科学省 大臣官房総務課 個人情報保護担当
電話

０３−５２５３−４１１１（代表）

目
§１

次

解

説

Ⅰ

第一

趣旨

…

１

Ⅱ

第二

用語の定義

…

５

Ⅲ

第三

事業者が講ずべき措置の適切かつ有効な実施を図るための指針となるべき事項

…

９
９

１

利用目的の特定に関する事項…

２

本人の同意に関する事項…１１

３

安全管理措置及び従業者の監督に関する事項…１５

４

委託先の監督に関する事項…１８

５

第三者提供に関する事項…２０

６

保有個人データの開示に関する事項…２４７

本人の利便を考慮した適切な措置に関する事項…２７

８

苦情の処理に関する事項

…３１

Ⅳ

第四

§２

個人情報取扱事業者以外の事業者による生徒等に関する個人情報の取扱い

参考資料

資料１

学校における生徒等に関する個人情報の適正な取扱いを確保するために事業者が構ずべき措置に関する指針（平成１６年文部科学省告示第１６１号）

資料２

個人情報の保護に関する法律（平成１５年法律第５７号）

資料３

個人情報の保護に関する法律施行令（平成１５年政令第５０７号）

資料４

個人情報の保護に関する基本方針（平成１６年４月２日閣議決定）

…３２

§１

解

説

Ⅰ．第一

趣旨

この指針は、個人情報の保護に関する法律（以下「法」という 。
）に定める事項に関し、学校における生徒等に関する個人情報の適正な取扱いを確保するために事業者が講ずべき措置について、その適切かつ有効な実施を図るために必要な事項を定めたものである。
なお、学校における生徒等に関する個人情報については、本指針によるほか、地方公共団体等が講ずる措置に留意するものとする。
【解説】
１．経緯
近年、情報通信技術の発展により、電子化された情報を情報通信ネットワークを介して大量かつ迅速に処理することが可能となり、個人情報の保護の必要性が一層高まってきています。
このような高度情報化社会の進展に伴って個人情報の利用が著しく拡大している状況にかんがみ、
個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的として「個人情報の保護に関する法律 」（平成１５年法律第５７号 ）（以下「個人情報保護法」という 。
）をはじめとする個人情報保護に関する５つの法律が、平成１５年５月に成立し、平成１７年４月１日より全面施行されることとなりました。
これまで、民間部門に対しては、個人情報保護に係る法的な義務はありませんでしたが、個人情報保護法の施行に伴って、私立学校（専修学校及び各種学校を含む。以下、同じ）を設置する学校法人
等の民間事業者においても、個人情報保護に向けて適切に対応することが必要です。
個人情報保護法においては、民間事業者（個人情報取扱事業者）の義務として(1 )

利用目的の特定、利用目的による制限（第 15 条、第 16 条）(2 )適正な取得、取得に際しての利用目的の通知等（第 17 条、第 18 条）(3 )データ内容の正確性の確保（第 19 条）(4 )安全管理措置、従業者・委託先の監督（第 20 条〜第 22 条）(5 )第三者提供の制限（第 23 条）(6 )公表等、開示、訂正等、利用停止等（第 24 条〜第 30 条）(7 )苦情の処理（第 31 条）を定めています。
特に、個人情報保護法の運用に当たって、学校を設置する事業者にあっては、その取り扱う個人情報が、従業者のみならず、学校における生徒等に関するものであることから、個人情報の漏えい、滅失等があった場合の社会的影響も大きく、適切な対応をとることが強く求められています。
２．本指針の位置づけ
個人情報保護法第８条においては 、「国は 、（中略）事業者等が構ずべき措置の適切かつ有効な実施を図るための指針の策定その他必要な措置を講ずるものとする」と規定されており、同法第７条の規定に基づき決定された「個人情報の保護に関する基本方針 」（平成１６年４月２日閣議決定 ）（以下「基本方針」という 。
）においても 、「各省庁は、法の個人情報の取扱いに関するルールが各分野に共通する必要最小限のものであること等を踏まえ、それぞれの事業等の分野の実情に応じたガイドライン等-1-

の策定・見直しを早急に検討する」こととされています。これらを受けて、文部科学省では、教育分
野における民間事業者向けのガイドラインとして、私立学校を設置する民間事業者を対象とする「学校における生徒等に関する個人情報の適正な取扱いを確保するために事業者が構ずべき措置に関する指針」を策定しました。
なお、本指針は国立大学法人や国立高等専門学校機構、公立学校を設置する地方公共団体等に直接適用されるものではありませんが 、これらの国公立学校を設置する者も 、本指針なども参考にしつつ 、それぞれ「独立行政法人等の保有する個人情報の保護に関する法律 」（平成１５年法律第５９号）と各地方公共団体の定める個人情報保護条例等に基づいて生徒等の個人情報の取扱いについて適切な措置を講ずることが望まれます。
※教職員等の個人情報の取扱いについて①教職員の個人情報の取扱い
教職員の個人情報の取扱いについては、学校教育以外の事業を行う民間事業者と同様に厚生労働省が策定した「雇用管理に関する個人情報の適正な取扱いを確保するために事業者が講ずべき措置に関する指針について 」（平成１６年厚生労働省告示第２５９号）によることとなります。
②学術研究活動における個人情報の取扱い
大学等が行っている学術研究活動の関連では、大学その他の学術研究を目的とする機関・団体又はそれらに属する者が学術研究の用に供する目的で個人情報を取り扱う場合については、個人情報保護法第５０条第１項で適用除外とされており、個人情報保護法による個人情報取扱事業者の義務等は適用されないこととされていますが、同法第５０条第３項により、当該機関等は自主的に個人情報の適正な取扱いを確保するための措置を講ずることが求められています。
③その他
その他、各事業者の行う事務・事業の実情に応じて、医療（一般、研究）分野の指針等を踏まえた対応をとることが求められます。
３．本指針の趣旨
本指針の第一は、学校における生徒等に関する個人情報の適正な取扱いを確保する観点から、学校を設置する民間事業者が講ずべき措置を適正かつ有効に実施するために必要な事項を規定することが本指針の趣旨であることを定めています。
学校を設置する民間事業者が講ずべき措置の内容については、各事業者に適正な個人情報の取扱いが実際的で実効的に行われることを確保するため、①個人情報保護法第３条の基本理念、②同法第４章第１節の各条で規定する個人情報取扱事業者の遵守すべき義務、③基本方針で示されている個人情報取扱事業者の講ずべき措置に沿ったものとなっており、本指針の第三において以下の事項を定めています。
（情報の取得）１．利用目的の特定に関する事項
２．個人情報の取得や第三者提供の際の本人の同意に関する事項（情報の管理）３．個人情報の安全管理措置及び従業者の監督に関する事項
４．委託先の監督に関する事項-2-

５．第三者提供に関する事項（情報の開示等）６．本人からの保有個人データの開示に関する事項
７．本人の利便を考慮した適切な措置に関する事項
８．苦情の処理等に関する事項
なお 、本指針の第一において 、「本指針によるほか 、地方公共団体等が講ずる措置に留意するもの 」とあるのは、下記のような地方公共団体が区域内の事業者に対して講ずる措置や、個人情報保護法第３７条に基づく認定個人情報保護団体が策定する個人情報保護指針などを想定しています。各事業者
においては、本指針のほかに、各区域の実情や事業者の業態等を踏まえて地方公共団体や認定個人情報保護団体が講ずる措置についても留意する必要があります。
（１）地方公共団体が区域内の事業者に対して講ずる措置
これは、地方公共団体が個人情報保護法第１２条に基づき、区域内の事業者に対する条例等の措置を講ずる場合があることを想定したものです。また、同法第５１条及び個人情報の保護に関する法律施行令（平成１５年政令第５０７号 ）（以下「個人情報保護法施行令」という 。
）第１１条において、他の法令により事業者の監督権限に属する事務（報告徴収、勧告等）が地方公共団
体の長等の事務とされているため、地方公共団体所轄の学校法人等や学校については、地方公共団体の長等が同法第３２条から第３４条までに規定する主務大臣の権限に属する事務（報告徴収 、助言、勧告及び命令）を行うこととされています。
（２）個人情報保護法第３７条に基づく認定個人情報保護団体 注） が策定する個人情報保護指針
認定個人情報保護団体は、個人情報保護法第４３条に基づき、対象事業者を対象とした個人情報保護指針を策定し、公表するよう努めなければならないこととされており、各学校法人が特定の認定個人情報保護団体の対象事業者となった場合には、当該個人情報保護指針についても留意する必要があります。
注）認定個人情報保護団体とは、個人情報保護法第３７条に基づき個人情報取扱事業者の個人情報の適正な取扱いの確保を目的として、業務の対象となる個人情報取扱事業者（以下「対象事業者という。
）の個人情報の取扱いに関する苦情処理や対象事業に対する情報提供等の業務を行おうとするものとして、主務大臣より認定された法人のことです。

【参考】個人情報の保護に関する法律（抄）第七条

政府は、個人情報の保護に関する施策の総合的かつ一体的な推進を図るため、個人情報の保護に関する基本方針（以下「基本方針」という。
）を定めなければならない。
２ 基本方針は、次に掲げる事項について定めるものとする。
一

個人情報の保護に関する施策の推進に関する基本的な方向

二国が講ずべき個人情報の保護のための措置に関する事項

三地方公共団体が講ずべき個人情報の保護のための措置に関する基本的な事項

四独立行政法人等が講ずべき個人情報の保護のための措置に関する基本的な事項

五地方独立行政法人が講ずべき個人情報の保護のための措置に関する基本的な事項

六

個人情報取扱事業者及び第四十条第一項に規定する認定個人情報保護団体が講ずべき個人情報の保護のための措置に関する基本的な事項

七

個人情報の取扱いに関する苦情の円滑な処理に関する事項

八その他個人情報の保護に関する施策の推進に関する重要事項

３ 内閣総理大臣は、国民生活審議会の意見を聴いて、基本方針の案を作成し、閣議の決定を求めなければならない。
４ 内閣総理大臣は、前項の規定による閣議の決定があったときは、遅滞なく、基本方針を公表しなければならない。
５ 前二項の規定は、基本方針の変更について準用する。

-3-

（地方公共団体等への支援）
第八条

国は、地方公共団体が策定し、又は実施する個人情報の保護に関する施策及び国民又は事業者等が個人情報の適正な取扱いの確保に関して行う活動を支援するため、情報の提供、事業者等が講ずべき措置の適切かつ有効な実施を図るための指針の策定その他の必要な措置を講ずるものとする。
（区域内の事業者等への支援）
第十二条

地方公共団体は、個人情報の適正な取扱いを確保するため、その区域内の事業者及び住民に対する支援に必要な措置を講ずるよう努めなければならない。
（認定）
第三十七条 個人情報取扱事業者の個人情報の適正な取扱いの確保を目的として次に掲げる業務を行おうとする法人（法人でない団体で代表者又は管理人の定めのあるものを含む。次条第三号ロにおいて同じ。
）は、主務大臣の認定を受けることができる。
一

業務の対象となる個人情報取扱事業者（以下「対象事業者」という。
）の個人情報の取扱いに関する第四十二条の規定による苦情の処理

二

個人情報の適正な取扱いの確保に寄与する事項についての対象事業者に対する情報の提供

三前二号に掲げるもののほか、対象事業者の個人情報の適正な取扱いの確保に関し必要な業務

２ 前項の認定を受けようとする者は、政令で定めるところにより、主務大臣に申請しなければならない。
３ 主務大臣は、第一項の認定をしたときは、その旨を公示しなければならない。
（個人情報保護指針）
第四十三条 認定個人情報保護団体は、対象事業者の個人情報の適正な取扱いの確保のために、利用目的の特定、安全管理のための措置、本人の求めに応じる手続その他の事項に関し、この法律の規定の趣旨に沿った指針（以下「個人情報保護指針」という。
）を作成し、公表するよう努めなければならない。
２ 認定個人情報保護団体は、前項の規定により個人情報保護指針を公表したときは、対象事業者に対し、当該個人情報保護指針を遵守させるため必要な指導、勧告その他の措置をとるよう努めなければならない。
（適用除外）
第五十条

個人情報取扱事業者のうち次の各号に掲げる者については、その個人情報を取り扱う目的の全部又は一部がそれぞれ当該各号に規定する目的であるときは、前章の規定は、適用しない。
一

放送機関、新聞社、通信社その他の報道機関（報道を業として行う個人を含む。
） 報道の用に供する目的

二

著述を業として行う者 著述の用に供する目的

三大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者 学術研究の用に供する目的

四

宗教団体

宗教活動（これに付随する活動を含む。
）の用に供する目的

五

政治団体

政治活動（これに付随する活動を含む。
）の用に供する目的

２ 前項第一号に規定する「報道」とは、不特定かつ多数の者に対して客観的事実を事実として知らせること（これに基づいて意見又は見解を述べることを含む。
）をいう。
３

第一項各号に掲げる個人情報取扱事業者は、個人データの安全管理のために必要かつ適切な措置、個人情報の取扱いに関する苦情の処理その他の個人情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
（地方公共団体が処理する事務）第五十一条 この法律に規定する主務大臣の権限に属する事務は、政令で定めるところにより、地方公共団体の長その他の執行機関が行うこととすることができる。

-4-

Ⅱ．第二

用語の定義

法第二条に定めるもののほか、この指針において、次の各号に掲げる用語の意義は、当該各号に定めるところによる。
一事業者

法第二条第三項に規定する個人情報取扱事業者であって、学校（学校教育法（昭和二十二年法律第二十六号）第一条に規定する学校、同法第八十二条の二に規定する専修学校及び同法第八十三条第一項に規定する各種学校をいう。以下同じ 。
）を設置する者をいう（第四規定する場合を除く 。）
。
二

生徒等

次の各号に掲げる者をいう。

（一）前号に規定する事業者が設置する学校において教育を受けている者（二）前号に規定する事業者が設置する学校において教育を受けようとする者（三）過去において、前号に規定する事業者が設置する学校において教育を受けた者及び受けよ
うとした者
【解説】
１．ここでは、まず、本指針において使用する用語について、個人情報保護法において使用する用語の例によるものとしています。具体的には、同法第２条に規定する「個人情報 」、「個人情報データ
ベース等 」、「個人情報取扱事業者 」、「個人データ 」、「保有個人データ」及び「本人」の定義については、本指針においても同じ定義によることとしています。
（１ ）「個人情報」とは、個人情報保護法第２条第１項で規定する「生存する個人に関する情報であって当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの」であり 、「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む 。
」ものです。
例えば、氏名のような、それだけで特定の個人を識別できる情報だけでなく、生年月日、住所、電話番号、電子メールアドレス、印鑑の印、性別、学籍番号、学校の成績、人物評価、科目履修表のような、特定の個人の属性や所有物、関係事実等を表す情報であって、それらの情報とその個人の氏名等とが容易に照合できる結果 、
特定の個人を識別することができる情報は 、
すべてこれに該当します。
ここで、事業者の取り扱う個人情報には、事業者が本人から取得した生徒等の個人情報のみ
ならず、例えば生徒が以前に在籍していた学校から提供された指導要録など、事業者が第三者から入手したものも含まれることに留意する必要があります。
（２ ）「個人情報データベース等」とは、個人情報保護法第２条第１項及び同法施行令第１条で規定する「個人情報の集合物」であって、コンピュータによって検索処理できるようにしたもの
及び手作業で検索処理できるようにしたものの双方をいいます。例えば、成績表や履修登録を電算処理ができるようにした「特定の個人情報を電子計算機を用いて検索することができるよ
うに体系的に構成したもの」だけでなく、書類を検索できるように束ねた「個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるように体系的-5-

に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するもの」もこれに該当します。
（３ ）「個人情報取扱事業者」とは、個人情報保護法第２条第３項及び同法施行令第２条で規定する「個人情報データベース等を事業の用に供している者」であって、そのうち、その個人情報
データベース等を構成する個人情報によって識別される特定の個人の数の合計が過去６ヶ月以
内のいずれかの日において５千以上の者をいいます 。
（ただし 、「国の機関 」、
「地方公共団体 」、「独立行政法人等 」、「地方独立行政法人」を除く 。
）
事業者が保有する個人情報によって識別される特定の個人の数を算出するに当たっては、次のことに留意する必要があります。
①

複数の学校を設置する事業者にあっては、学校ごとではなく、設置するすべての学校における特定の個人の数の合算となること（学校以外の事業を行っている場合にあっては、その数も対象となる 。
）②

個人情報保護法第２条第３項第５号及び同法施行令第２条の規定により、他人が作成した個人情報データベース等で個人情報として氏名、住所若しくは居所又は電話番号のみが含まれる場合であって、これを編集・加工することなくその事業の用に供するときは、特定の個人の数から除外することとなっていること③

同一の個人が複数識別される場合においては、重複して計算せず一人として数えること
なお、特定の個人の数から除外する具体的な事例としては、以下のものが考えられます。

事例Ⅱ−１）

電話会社から提供された電話帳及び市販の電話帳ＣＤ−Ｒ等に掲載されている

氏名及び電話番号
事例Ⅱ−２）

市販のカーナビゲーションシステム等のナビゲーションシステムに格納されている氏名、住所又は居所の所在地を示すデータ（ナビゲーションシステム等が当初から備えている機能を用いて、運行経路等新たな情報等を記録する場合があったとしても 、
「特定の個人の数」には参入しないものとする）
事例Ⅱ−３）

氏名又は住所から検索できるよう体系的に構成された、市販の住所地図上の氏名、住所又は居所の所在場所を示す情報（４ ）「個人データ」とは、個人情報保護法第２条第４項で規定する「個人情報データベース等を構成する個人情報」をいいます。
例えば、電話等で対応したメモに含まれる生徒等に関する個人情報は、そのままでは直ちにはこれに該当しませんが、このような情報を検索可能なように整理したものは、これに該当します。
（５ ）「保有個人データ」とは、個人情報保護法第２条第５項及び同法施行令第３条並びに第４条で規定する個人情報取扱事業者に開示、内容の訂正等の権限がある個人データのことです。そのうち、その存否が明らかにされること自体が公益その他の利益を害することになるもの及び６ヶ月以内に消去することとなるものが除外されることとなっています。
（６ ）「本人」とは、個人情報保護法第２条第６項に規定するとおり、個人情報によって識別され-6-

る特定の個人のことです。
なお 、本人が 、未成年又は成年被後見人である場合にあっては 、その法定代理人（保護者等 ）も「本人」に含まれます。
２．本指針においては、上記に加え、本指針の対象となる「事業者」及び「生徒等」を用語として定義しています。
（１ ）「事業者 」とは 、個人情報取扱事業者であって 、下記の学校を設置する者が対象となります 。
①小学校

②中学校

③高等学校

④中等教育学校⑤大学⑥高等専門学校

⑦盲学校

⑧聾学校

⑨養護学校

⑩幼稚園

⑪専修学校

⑫各種学校

具体的には、学校法人、構造改革特別区域法（平成１４年法律第１８９号）に基づき学校を設置する株式会社やＮＰＯ法人、学校教育法第１０２条により学校を設置している者が想定されます。
（２)「生徒等」とは、以下のものが該当します。
①「事業者が設置する学校において教育を受けている者」
学生 、生徒 、児童 、幼児のほか 、科目等履修生や聴講生 、公開講座へ参加している者など 、現時点で学校において教育を受けている者。
②「事業者が設置する学校において教育を受けようとする者」
学校説明会への参加者、入学試験や公開講座等に申し込みをしている者、合格者、入学ガ
イダンスへの参加者など、現時点で学校における教育を受けようとする者。
③「過去において、事業者の設置する学校において教育を受けた者」
卒業生、他校へ転出した者、中退者、過去に科目等履修生であった者など。
④「過去において、事業者の設置する学校において教育を受けようとした者」
不合格者や入学辞退者など。
【参考】個人情報の保護に関する法律（抄）（定義）
第二条 この法律において「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年
月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。
）をいう。
２ この法律において「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるものをいう。
一 特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの
二 前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの
３ この法律において「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者をいう。
ただし、次に掲げる者を除く。
一 国の機関二 地方公共団体
三 独立行政法人等（独立行政法人等の保有する個人情報の保護に関する法律（平成十五年法律第五十九号）第二条第一項に規定する独立行政法人等をいう。以下同じ。
）
四 地方独立行政法人（地方独立行政法人法（平成十五年法律第百十八号）第二条第一項に規定する地方独立行政法人をいう。以下同じ。
）
五 その取り扱う個人情報の量及び利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定める者
４ この法律において「個人データ」とは、個人情報データベース等を構成する個人情報をいう。
５ この法律において「保有個人データ」とは、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の-7-

停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの又は一年以内の政令で定める期間以内に消去することとなるもの以外のものをいう。
６ この法律において個人情報について「本人」とは、個人情報によって識別される特定の個人をいう。

-8-

Ⅲ．第三
１
一

事業者が講ずべき措置の適切かつ有効な実施を図るための指針となるべき事項

利用目的の特定に関する事項
法第十五条に規定する利用目的の特定に関する事項

事業者は、利用目的の特定に当たっては、単に抽象的、一般的に特定するのではなく、本人が、取得された当該本人の個人情報が利用された結果が合理的に想定できる程度に、具体的、個別的に特定すること。
【解説】
１．個人情報保護法第１５条では、個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用目的をできる限り特定しなければならないこと、また、利用目的を変更する場合においては、
変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて取り扱ってはならな
いことが定められています。
２．ここでは、個人情報保護法第１５条第１項に基づき、事業者が個人情報を取り扱う場合に、個人情報において識別される本人が、自己の個人情報の利用範囲を予想できるようにするために、どのような目的で個人情報を取得し、取得した個人情報をどのように利用するかをできる限り明確にすることとしています。
「利用目的の特定」とは、個々の処理の目的を特定するにとどめるのではなく、あくまで、事業者において最終的に達成しようとする目的を特定することをいいます。
なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的において、その旨を特定しなければなりません。
以下のとおり、利用目的を特定している例としては事例Ⅲ−１−１及びⅢ−１−２のような場合
が、利用目的を明確に特定していない例としては事例Ⅲ−１−３及びⅢ−１−４のような場合が想定されます。
【利用目的を特定している例】
事例Ⅲ−１−１）学生による授業評価アンケート等の実施にあたって、アンケート用紙への趣旨目的の記載について 、「このアンケートは、来年度における○○の授業の教育方法を検討する際の参考とするために行います」として取得する場合
事例Ⅲ−１−２）卒業生の氏名及び就職先の情報を 、「卒業生の就職状況を統計としてまとめ、パンフレット等に掲載するため。また、これらの情報は○○○（同窓会の組織名）にも提供します 。
」として取得する場合【利用目的を明確に特定していない例】
事例Ⅲ−１−３）学生による授業評価アンケート等の実施にあたって 、「このアンケートは、本学の教育の改善に役立てるために実施する」として取得する場合（使途を明確に特定していな
い例）

-9-

事例Ⅲ−１−４）卒業生の氏名及び就職先の情報を、学校外の第三者（同窓会等）に渡す予定であるが 、「卒業生の就職状況を統計としてまとめ、パンフレット等に掲載するため」として取得する場合（あらかじめ予定されている提供先を明確に特定していない例）
ここで 「本人が 、取得された当該本人の個人情報が利用された結果が合理的に想定できる程度に 、
具体的、個別的に」とは、事業者の行う活動内容等と照らし合わせて、本人が自己の個人情報の利用
結果を合理的に予測できる程度の具体性が求められるという意味です。
なお、利用目的を変更する場合は、個人情報保護法第１５条第２項にあるように 、「変更前の利用目的と相当の関連性を有すると合理的に認められる範囲」でなくてはなりません 。「合理的」とは、事業者が主観的に合理的と認めるのではなく、社会通念に照らして客観的に合理的と認められることを意味します。相当の関連性を有すると合理的に認められる範囲を超えた利用は、目的変更としては認められず、目的外の利用となるため、原則として本人の同意を得る必要があります。具体的には、
目的変更が明らかに認められる例として、以下のものが想定されます。
事例Ⅲ−１−５ ）「入学手続きのため」という利用目的で取得した個人情報（氏名）について 、「氏
名からクラス名簿を作成し、クラスに配布する 。
」という利用目的を追加すること
事例Ⅲ−１−６ ）「○○の資格試験に関する講座の受講者を登録するため」という利用目的で取得した個人情報（氏名、住所）について 、「いただいた名前と住所に、当該資格試験の情報を送付することがあります 。
」という利用目的を追加すること【参考】個人情報の保護に関する法律（抄）（利用目的の特定）第十五条

個人情報取扱事業者は 、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）

をできる限り特定しなければならない。
２

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。

- 10-

２
二

本人の同意に関する事項
法第十六条及び法第二十三条第一項に規定する本人の同意に関する事項
事業者は、本人の同意を得るに当たっては、当該本人に当該個人情報の利用目的を通知し、又は公表した上で、当該本人が口頭、書面等により当該個人情報の取扱いについて承諾する意
思表示を行うことが望ましいこと。
【解説】
１．個人情報保護法第１６条では、事業者に対して、あらかじめ本人の同意を得た場合及びその他一定の場合を除いて、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならないこと、また、他の事業者から事業を承継することに伴って個人情報を取得した場合は、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて当該個人情報を取り扱ってはならな
いことが定められています。
ここで 、「特定された利用目的の達成に必要な範囲」か否かについては、個人情報の取扱いの類
型（取得、利用等 ）、個人情報の内容、個人情報の量等に照らして判断する必要があり 、「特定された利用目的の達成に必要な範囲」を超える例としては、少数のサンプルで十分目的を達しうるにも関わらず、多数の個人情報を取得することなどが挙げられます。
また 、個人情報保護法第２３条では 、同法第１６条同様にあらかじめ本人の同意がない場合には 、原則として取得した個人データを第三者へ提供してはならないことが定められています 。
「第三者 」とは、個人データを第三者に提供しようとしている事業者又は当該個人データの本人以外の者をいい、自然人、法人その他の団体であることを問いません。ただし、同法第２３条第４項各号に規定する者は含まれません。
２．本指針では、個人情報保護法第１６条に定められる目的利用による制限と同法第２３条に定められる第三者提供の制限において、事業者が本人の同意を得るに当たっては、あらかじめ利用目的を本人に知らせた上で、当該本人から明確な意思表示を得ることが望ましいとしています。
具体的には以下の通りです。
（１）あらかじめ「当該本人に当該個人情報の利用目的を通知し、又は公表」すること
ここでは、利用目的を本人に知らせるための方法について記述しています。
「通知」の方法については、口頭、書面、電子メール等で個別に伝達することが想定されます 。また 、
「公表 」の方法については 、学校の掲示板やホームページに継続して掲示するなど 、本人が容易に知り得る状態におくことが想定されます。
（２ ）「当該本人が口頭、書面等により当該個人情報の取扱いについて承諾する意思表示を行うこと」
ここでは、本人から同意を得るにあたって明確な意思表示を得る際の留意事項を記述しています。
本人の同意を得る方法としては、例えば、書面により同意の意思を確認すること、本人の参加が確認できる説明会等において、当該本人の個人情報の取扱いについて異論がないことを口頭で明確に確認すること等が想定されます。

- 11-

なお、書面による同意にあたっては、個別の同意書によるものだけでなく、各種手続きに必要な提出書類のうち本人が記述していることが確認できるものにおいて、そこに含まれる個人情報の取扱いについて、あわせて同意を得る場合などが想定されます。例えば、入学願書等において、個人情報の取扱いに関して同意する意思が確認できるように、取得する個人情報の使途等を明記するとともに、意思確認のチェック欄を設けるなどの方法が考えられます。
ただし、個人情報保護法第１６条第３項、同法第２３条第１項では、以下の場合には、あらかじめ本人の同意を得ないで当該本人の個人情報を取り扱うこと（利用目的制限の例外）が認められています。
ａ）「法令に基づく場合」
法令上の明確な根拠をもって行われる場合であり 、例えば 、以下のような場合が想定されます 。
事例Ⅲ−２−１）個人情報保護法第３２条の規定に基づく文部科学大臣の報告徴収に応じる
場合
事例Ⅲ−２−２）学校教育法施行規則（昭和２２年文部省令第１１号）第１２条の３第３項に基づき指導要録の写し等を転学先の校長に送付する場合
事例Ⅲ−２−３）私立学校法（昭和２４年法律第２７０号）第６条の規定に基づく文部科学省の求めに応じて、生徒等の個人情報を含む資料を提出する場合
事例Ⅲ−２−４）刑事訴訟法（昭和２３年法律第１３１号）第１９７条第１項の規定に基づく取調に応じる場合
事例Ⅲ−２−５）所得税法（昭和４０年法律第３３号）第２２５条第１項が定める税務署長に対する支払調書の提出を行う場合ｂ ）「人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき 。
」
当該要件には、人の生命、身体又は財産に関する具体的な権利利益が侵害されるおそれが存在するとともに、当該個人データを利用することにより保護が図られることについての合理性が認められる場合であり、例えば、以下のような場合が想定されます。
事例Ⅲ−２−６）生徒等が急病になったり、大ケガを負った際に、治療の必要上、血液型や健康診断の結果、家族の連絡先等に関する情報を医療機関等に提供する場合
事例Ⅲ−２−７）生徒等への児童虐待に関する情報を、児童虐待防止に関係する機関（児童相談所等）と情報交換する場合（下記③にも該当）ｃ ）「公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき 。
」「公衆衛生の向上」としては、がんの疫学的研究のように、疾病の予防、治療のための研究等
が、「児童の健全な育成の推進」としては、心身の発達途上にある児童の健全な育成を阻害する
児童虐待等を防止することや非行の防止等が想定されます。このような目的のために個人情報を利用することが特に必要な場合であっても、原則としては、目的外利用についてあらかじめ本人の同意を得るべきですが、それが困難な場合には、個人情報の利用によりもたらされる利益が大きいことにかんがみ、同意なしの目的外利用又は第三者提供を認めることはやむを得ないとされています。
事例Ⅲ−２−８）疾病予防・治療に関する疫学調査のために調査機関に情報を提供すること- 12-

が特に必要な場合
事例Ⅲ−２−９）非行のおそれのある生徒等の情報を、生徒等本人及びその家族等の権利利益を不当に侵害しないことを前提に、非行防止に関係する機関との間で情報交換等を行うことが特に必要な場合ｄ ）「国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき 。
」
国の機関等からの情報提供の要請が法令の定める事務の実施のために行われるものであり、協力する事業者が目的外利用を行うことについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合がこれにあたります。
なお、上記の利用目的についての本人の同意は、個人情報の取得、利用目的の変更又は第三者への提供の際に行う必要はありますが、法定代理人（保護者等）の同意により取得した未成年である生徒
等の個人情報について、事業者が当初の利用目的の範囲内で利用している場合には、生徒等が成年になった際に改めて本人の同意を取る必要はありません。
【参考】個人情報の保護に関する法律（抄）（利用目的による制限）
第十六条 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
２ 個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
３ 前二項の規定は、次に掲げる場合については、適用しない。
一

法令に基づく場合

二人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

三

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

四国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

（第三者提供の制限）
第二十三条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
一

法令に基づく場合

二人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

三

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

四

国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

２

個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される
個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、あらかじめ、
本人に通知し、又は本人が容易に知り得る状態に置いているときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。
一 第三者への提供を利用目的とすること。
二 第三者に提供される個人データの項目
三 第三者への提供の手段又は方法- 13-

四 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
３

個人情報取扱事業者は、前項第二号又は第三号に掲げる事項を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

４

次に掲げる場合において、当該個人データの提供を受ける者は、前三項の規定の適用については、第三者に該当しないものとする。
一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託す
る場合
二 合併その他の事由による事業の承継に伴って個人データが提供される場合
三 個人データを特定の者との間で共同して利用する場合であって、その旨並びに共同して利用される個人デー
タの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき 。

５

個人情報取扱事業者は、前項第三号に規定する利用する者の利用目的又は個人データの管理について責任を有する者の氏名若しくは名称を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

- 14-

３
三

安全管理措置及び従業者の監督に関する事項
法第二十条に規定する安全管理措置及び法第二十一条に規定する従業者の監督に関する事項
事業者は、生徒等に関する個人データの安全管理のために次に掲げる措置を講ずるよう努め

るとともに、当該措置の内容を公表するよう努めるものとすること。
（一）生徒等に関する個人データを取り扱う従業者及びその権限を明確にした上で、その業務を行わせること。
（二）生徒等に関する個人データは、その取扱いについての権限を与えられた者のみが業務の遂行上必要な限りにおいて取り扱うこと。
（三）生徒等に関する個人データを取り扱う者は、業務上知り得た個人データの内容をみだりに
第三者に知らせ、又は不当な目的に使用してはならないこと。その業務に係る職を退いた後も同様とすること。
（四）生徒等に関する個人データの取扱いの管理に関する事項を行わせるため、当該事項を行うために必要な知識及び経験を有していると認められる者のうちから個人データ管理責任者を選任すること。
（五）生徒等に関する個人データ管理責任者及び個人データを取り扱う従業者に対し、その責務の重要性を認識させ、具体的な個人データの保護措置に習熟させるため、必要な教育及び研修を行うこと。

【解説】
１．個人情報保護法第２０条では、事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全のため、必要かつ適切な措置を講じなければならないことを定めるとともに、同法第２１条において、事業者が従業者に個人データを取り扱わせるに当たっては、個人
データの安全管理が図られるよう必要かつ適切な監督を行わなければならないことを定めています。ここで「従業者」とは、事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者をいい、雇用関係にある従業者（正職員、契約職員、嘱託、パート職員、アルバイト等）のみならず、理事、監事、派遣職員、学校が主催する活動に参加する個人（学校ボランティア等）等も含まれます。ただし、学校内の組織であっても事業者の指揮監督が及ばない場合(例えば、学生自治会等)は、従業者からは除かれます。
事業者の講ずる安全管理措置としては、大きく分けて以下の３つのものが考えられます。
ａ）

組織的管理措置
個人情報の保護のための人員の配置、内部規程の整備、その運用が確実に行われるための監査体制の整備など、個人情報の安全管理のための組織体制の整備のこと。
ｂ)

人的管理措置
実際に個人データを取り扱うこととなる従業者等に対して、個人データの適切な管理を行うよう意識の啓発を図り、その取扱いに関する教育・訓練を行うこと。
ｃ）

技術的・物理的管理措置
学校内のコンピューターシステムへの外部からの不正な侵入を防止するためのシステム構築や- 15-

第三者に容易に個人データを識別されないために行うデータの暗号化や、個人情報を含む帳簿等の保管庫の設置など、個人データの取扱いに関する技術的・物理的措置のこと。
各事業者が実際にどの程度の安全管理措置を講ずるかを判断するにあたっては、保護しようとする個人情報の内容又は性質・量、利用方法等に照らしてどの程度の必要性があるかということとのバランスを考慮することが必要です。具体的な保護措置のレベルは、事業者の業種・業態等に応じて 、各事業者が適切に判断する必要があり 、また 、時代の変化や事業規模の拡大等に応じて 、適宜 、見直しを行うことが重要です 。この際に 、過剰な措置を講ずる必要はありませんが 、実状を踏まえ 、各事業者が責任を持って取り組むことが求められます。
２．本指針においては、事業者が講ずべき安全管理措置及び従業者の監督に関する事項の内容について、前記のａ）組織的管理措置及びｂ）人的管理措置に関する事項として下記の（１）〜（５）の措置を講ずるよう求めています。なお、ｃ）技術的・物理的管理措置については、本指針において言及していませんが、各事業者の実情に合わせて、適切な対応をとることが望まれます。
（１）生徒等に関する個人データを取り扱う従業者及びその権限を明確にした上で、その業務を行わせること。
ここでは、個人の権利利益を保護する観点から、個人情報を取り扱う従業者の範囲やその従業者の権限を明確にするとともに、従業者間の責任関係を明らかにして業務を行わせることとしています。例えば、後述の個人データ管理責任者を選任して管理体制を整えることや、安全管理規定等を定め、各従業者の職務（学校長、クラス担任、教務係等）における責任の範囲を明記することなどの安全管理措置が必要です。また、事業者にあっては、個人情報の保護や開示等の手続きが実効性のある形で行われるよう、必要に応じて、一部の事務（開示・非開示の決定等）について理事長等の責任者から校長等に委任することも考えられます。
（２）生徒等に関する個人データは、その取扱いについての権限を与えられた者のみが業務の遂行上必要な限りにおいて取り扱うこと。
さらに、ここでは、適切に個人データが取り扱われるようにするため、個人データを取り扱う者の権限を業務遂行上必要な範囲内に限定して取り扱わせることとしています。
個人情報の安全管理の観点から、業務遂行上必要ない者や権限外の者が不正にアクセスすることがないよう、従業者の取扱状況のフォローアップ等によるセキュリティー上の措置を適切に講ずることが必要です。例えば、教員が担当のクラス以外の個人情報を取り扱う際に個人データ管理責任者等の許可を要することとすることや、教員が成績表等の個人情報が含まれる資料を学校外に持ち出す際に個人データ管理責任者等の許可を得るとともに資料の持ち出し記録
を帳簿に記載するようにすることなどが考えられます。
（３）生徒等に関する個人データを取り扱う者は、業務上知り得た個人データの内容をみだりに第三者に知らせ、又は不当な目的に使用してはならないこと。その業務に係る職を退いた後も同様とすること。
教職員による不正使用や悪質な漏えい等が生じないようにするため、個人データを取り扱う
従業者が業務上知り得た個人データの内容をみだりに第三者へ知らせたり、不当な目的に使用することがないよう必要な措置を講ずるとともに、退職後においても同様に個人情報を適切に取扱うよう必要な措置を講ずることとしています。具体的措置としては、例えば、就業規則に- 16-定めたり、教職員との雇用契約において記載することなどが想定されます。
また、従業者の監督に当たって、校長又は教員が生徒等の個人情報を取り扱う際には、個人情報保護法以外にも公職選挙法（昭和２５年法律第１００号）第１３７条において教育上の地
位を利用した選挙運動が制限されていることから、このようなことが行われることがないよう十分に留意する必要があります。
（４）生徒等に関する個人データの取扱いの管理に関する事項を行わせるため、当該事項を行うために必要な知識及び経験を有していると認められる者のうちから個人データ管理責任者を選任すること。
部署や法人内部の個人データの取扱いの管理に関する事項を行わせるために、個人データ管理責任者を選任することとしています。個人データ管理責任者は、従業者が与えられた権限の範囲内において個人データを適切に取り扱うようにするとともに、担当部署における総括的な管理を行う必要があります。
例えば、個人データ管理責任者は各事業者に一人である必要はなく、各学校において必要に応じて学部、学年ごとに担当者などの範囲を決め、適切な管理が行われるよう、各事業者の実態に合わせて、配置することが考えられます。
（５）生徒等に関する個人データ管理責任者及び個人データを取り扱う従業者に対し、その責務の重要性を認識させ、具体的な個人データの保護措置に習熟させるため、必要な教育及び研修を行うこと。
生徒等に関する個人データ管理責任者及び個人データを取り扱う従業者に対し、その責務の重要性を認識させ、具体的な個人データの保護措置に習熟させるため、必要な教育及び研修を行うことが望まれます。実施方法としては、事業者が自ら行う研修の他に外部の研修を活用するなども考えられます。
また、学校が主催する活動に参加するボランティアや保護者に対しても、生徒等の個人デー
タを取り扱う場合には、事前に個人データの取扱いについての説明会を行うなど、学校が講ずる安全管理の措置について周知することにも留意する必要があります。
なお、ここでは、事業者がとる安全管理等の措置の内容について、公表するよう努めることとしています。これは、事業者が利用目的の通知、公表、開示等の個人情報の取扱いに関する諸手続等を、
あらかじめ、対外的にわかりやすく説明しておくことは、事業活動に対する社会の信頼を確保する上で重要であることから、学校を設置する事業者にあっても、安全管理のために講ずる措置について、漏えい等の事件が起こった際の対応措置の整備、事件処理の公表方法等とともに、セキュリティ上、問題ないと考えられる範囲において、積極的に公表することが求められます。
【参考】個人情報の保護に関する法律（抄）（安全管理措置）第二十条

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
（従業者の監督）
第二十一条

個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

- 17-

４
四

委託先の監督に関する事項
法第二十二条に規定する委託先の監督に関する事項
事業者は、生徒等に関する個人データの取扱いの委託に当たっては、次に掲げる事項に留意するものとすること。

（一）個人データの安全管理について十分な措置を講じている者を委託先として選定するための基準を設けること。
（二）委託先が委託を受けた個人データの安全管理のために講ずべき措置の内容が委託契約において明確化されていること。具体的な措置としては、以下の事項が考えられること。
①

委託先において、その従業者に対し当該個人データの取扱いを通じて知り得た個人情報を漏らし、又は盗用してはならないこととされていること。

②

当該個人データの取扱いの再委託を行うに当たっては、委託元へその旨文書をもって報告すること。

③

委託契約期間等を明記すること。

④

利用目的達成後の個人データの返却又は委託先における破棄若しくは削除が適切かつ確実になされること。

⑤

委託先における個人データの加工（委託契約の範囲内のものを除く 。）、改ざん等を禁止
し、又は制限すること。

⑥

委託先における個人データの複写又は複製（安全管理上必要なバックアップを目的とするもの等委託契約範囲内のものを除く 。
）を禁止すること。

⑦

委託先において個人データの漏えい等の事故が発生した場合における委託元への報告義
務を課すこと。

⑧

委託先において個人データの漏えい等の事故が発生した場合における委託先の責任が明確化されていること。

【解説】
１．個人情報保護法第２２条では、事業者が個人データの取扱いを委託する場合は、当該個人データの安全管理が図られるよう、委託先に対する必要かつ適切な管理を行うことが事業者に義務付けられています。
学校を設置する民間事業者においては、事務の簡素・合理化の観点からアウトソーシングが積極的に進められているところですが、これに伴って、学生の学力テスト等を始めとして、学生の膨大な個人データの処理を外部の専門業者に委託している例が少なくありません。この場合、各事業者
は 、自らの安全管理ばかりでなく 、委託先においても個人情報の漏えい等が無いよう適切な方法で 、安全管理がしっかりとした業者を選択し、適切な監督を行わなければならないこととなります。
２．ここでは、個人データの取扱いの委託を行うに当たって、委託先に対する必要かつ適切な監督を行うために事業者が留意すべき事項を定めています。
第一に、事業者が委託先を選定するに当たって、個人データの安全管理について十分な措置を講じている者を委託先として選定するための基準を設けることとしています。

- 18-

第二に、委託先において個人データの安全管理が確実に行われるようにするため、委託先が安全管理のために講ずべき措置の内容を委託契約において明確化するよう求めています。
具体的な内容としては、以下の事項が考えられます。
①委託先において、その従業者に対し当該個人データの取扱いを通じて知り得た個人情報を漏らし、又は盗用してはならないこととされていること②当該個人データの取扱いの再委託を行うに当たっては、委託元へその旨文書をもって報告する
こと③委託契約期間等を明記すること。
④利用目的達成後の個人データの返却又は委託先における破棄若しくは削除が適切かつ確実になされること⑤委託先における個人データの加工（委託契約の範囲内のものを除く 。
）、改ざん等を禁止し、又は制限すること⑥委託先における個人データの複写又は複製（安全管理上必要なバックアップを目的とするもの
等委託契約範囲内のものを除く 。
）を禁止すること⑦委託先において個人データの漏えい等の事故が発生した場合における委託元への報告義務を課すこと⑧委託先において個人データの漏えい等の事故が発生した場合における委託先の責任が明確化されていること【参考】個人情報の保護に関する法律（抄）（委託先の監督）
第二十二条 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

- 19-

５
五

第三者提供に関する事項
法第二十三条に規定する第三者提供に関する事項

事業者は、生徒等に関する個人データを同窓会、奨学事業を行う団体その他の第三者に提供する（法第二十三条第一項第一号から第四号までに該当する場合を除く 。
）に当たっては、次に掲げる事項に留意するものとすること。
（一）提供先において、その従業者に対し当該個人データの取扱いを通じて知り得た個人情報を漏らし、又は盗用してはならないこととされていること。
（二）当該個人データの再提供を行うに当たっては、あらかじめ文書をもって事業者の了承を得ること。ただし、当該再提供が、法第二十三条第一項第一号から第四号までに該当する場合を除く。
（三）提供先における保管期間等を明確化すること。
（四）利用目的達成後の個人データの返却又は提供先における破棄若しくは削除が適切かつ確実になされること。
（五）提供先における個人データの複写及び複製（安全管理上必要なバックアップを目的とするものを除く 。
）を禁止すること。
【解説】
１．ここでは、個人情報保護法第２３条に規定する第三者提供に関する事項として、事業者が生徒等の個人データを第三者へ提供する場合に留意すべき事項を定めています。
ここで第三者には、事業者、本人、委託先及び合併等による事業の承継先を除くすべての者が該当します。本指針では、学校を設置する事業者が学生等の個人情報を提供することが想定される典型例として同窓会や奨学事業を行う団体を挙げたところですが、その他第三者の具体的な例として
は、学術的な調査研究を行う者、事業者の設置している以外の学校、予備校、児童相談所、保護者会等が含まれています。また、学校内の組織であっても、事業者の指導監督が及ばないもの（例えば学生自治会等）も第三者に含まれます。
（私立学校を設置する事業者が第三者に保有個人データを提供する例）
事例Ⅲ−５−１）同窓会に生徒等の進学先や就職先の情報を提供する場合
事例Ⅲ−５−２）奨学団体に当該団体が支援する奨学生の成績を提供する場合
事例Ⅲ−５−３）保護者会で生徒等の学力テストの結果一覧を配布する場合
事例Ⅲ−５−４）学術研究のために、卒業生等の個人情報が含まれる学校所蔵の資料を教育学の研究者へ提供する場合
上記の事例のように、事業者が第三者に対して保有個人データを提供する場合は、個人情報保護法第２３条第１項に基づき、原則として、あらかじめ本人の同意を得る必要があります。ただし、個人情報保護法第２３条第１項第１号から第４号及び第２３条第２項で、例外的に本人の同意なく提供できる場合を規定しています 。
（同法第２３条第１項の各号の例外の解説については 、本解説のⅢ ．
２．を参照のこと 。
）

- 20-

ここで 、個人情報保護法第２３条第２項では 、第三者提供を利用目的とする個人データについて 、
次のａ ）、ｂ）の双方の条件を満たしており、本人の意思が反映され得るような状態にある場合には、例外的に、本人の同意なく第三者へ提供できることとしています。
ａ）本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合ｂ）次に掲げる事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき①

第三者への提供を利用目的とすること。

②

第三者に提供される個人データの項目③

第三者への提供の手段又は方法④

本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること

このうち 、「第三者に提供される個人データの項目」又は「第三者への提供の手段又は方法」を変更する場合には、個人情報保護法第２３条第３項の規定により、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならないこととなっています。
また、個人情報保護法第２３条第４項においては、情報を提供する個人情報取扱事業者と密接な関係のある者であって、当該個人情報取扱事業者と一体の者と把握して、第三者提供の制限を課さないことに合理性が認められる場合には、情報の移転がなされても第三者提供とは見なさないこととし、例外として取り扱われる旨が定められており、具体的には、次の三つの場合に、個人データの提供を受ける者を 、「第三者」に該当しないものとしています。
（１）個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託する場合（２）合併その他の事由による事業の承継に伴って個人データが提供される場合（３）個人データを特定の者との間で共同して利用する場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。
上記（３）で、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くことが求められている「共同して利用する者の範囲 」は 、個人情報保護法２３条第４項第３号に規定するとおり 、
その共同利用者の氏名又は名称を個別列挙するなど、客観的にその共同利用者の範囲の外縁が可能
な限り、具体的・個別的に特定できる方法で表示される必要があります。
また 、「利用する者の利用目的」や「当該個人データの管理について責任を有する者の氏名又は名称」を変更する場合には、同法２３条第５項の規定により、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くことで足りることが定められています。
ここでいう「通知」する方法としては、例えば、口頭による説明、書面の手交、郵便、電話、電子メールなどが該当し 、「本人が容易に知り得る状態」に置くための手段としては、例えば、ホームページへの掲載、事務所の窓口への掲示、新聞・官報への掲載などが継続的に行われている状態
が該当します。
２．本指針においては、上記に加え、第三者に個人情報を提供するにあたって、事業者が留意する事- 21-

項として、①提供先において 、
その従業者に対し当該個人データの取扱いを通じて知り得た個人情報を漏らし 、又は盗用してはならないこととされていること。
②当該個人データの再提供を行うに当たっては 、
あらかじめ文書をもって事業者の了承を得ること 。
ただし、当該再提供が、個人情報保護法第２３条第１項第１号から第４号までに該当する場合を除く。
③提供先における保管期間等を明確化すること。
④利用目的達成後の個人データの返却又は提供先における破棄若しくは削除が適切かつ確実になされること。
⑤提供先における個人データの複写及び複製（安全管理上必要なバックアップを目的とするものを除く 。
）を禁止すること。
を定めており、提供先である第三者において適切な安全管理措置がとられるよう、事業者と提供先とがそれぞれの安全管理責任を明確にした上で、個人情報の提供を行うよう求めています。具体的には、提供先を十分な措置を講じている者に限定することや、提供時に事業者と提供先との間で当該個人情報の取扱いに関する同意書を作成するなどの対応が考えられます。
なお、個人情報保護法第２３条第１項の規定に違反した場合には、同法第３４条第１項の規定に基づく文部科学大臣若しくは地方公共団体の長等の勧告又は同条第２項若しくは第３項に規定する文部科学大臣若しくは地方公共団体の長等の命令の対象となり得る場合があること、同法第１８条第３項の規定に違反した場合には、同法第３４条第１項の規定に基づく文部科学大臣若しくは地方公共団体の長等の勧告又は同条第２項に規定する文部科学大臣若しくは地方公共団体の長等の命令の対象となり得る場合があることに留意する必要があります。

【参考】個人情報の保護に関する法律（抄）（第三者提供の制限）
第二十三条

個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
一

法令に基づく場合

二人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

三

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

四

国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

２ 個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される
個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、あらかじめ、
本人に通知し、又は本人が容易に知り得る状態に置いているときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。
一

第三者への提供を利用目的とすること。

二

第三者に提供される個人データの項目

三

第三者への提供の手段又は方法

四

本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。

３ 個人情報取扱事業者は、前項第二号又は第三号に掲げる事項を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

- 22-

４ 次に掲げる場合において、当該個人データの提供を受ける者は、前三項の規定の適用については、第三者に該当しないものとする。
一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託す
る場合
二

合併その他の事由による事業の承継に伴って個人データが提供される場合

三

個人データを特定の者との間で共同して利用する場合であって、その旨並びに共同して利用される個人デー
タの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。
５ 個人情報取扱事業者は、前項第三号に規定する利用する者の利用目的又は個人データの管理について責任を有する者の氏名若しくは名称を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

- 23-

６
六

保有個人データの開示に関する事項
法第二十五条第一項に規定する本人からの保有個人データの開示に関する事項
事業者は、保有個人データの開示に関し、次に掲げる事項に留意するものとすること。

（一）事業者は、本人から当該本人の成績の評価その他これに類する事項に関する保有個人デー
タの開示を求められた場合におけるその開示又は非開示の決定に当たっては、学校における教育活動に与える影響を勘案すること。
（二）事業者は、本人の法定代理人から当該本人に関する保有個人データの開示を求められた場
合におけるその開示又は非開示の決定に当たっては、当該本人に対する児童虐待（児童虐待の防止等に関する法律（平成十二年法律第八十二号）第二条に規定する児童虐待をいう 。
）
及び当該本人が同居する家庭における配偶者からの暴力（配偶者からの暴力の防止及び被害者の保護に関する法律（平成十三年法律第三十一号）第一条第一項に規定する配偶者からの暴力をいう 。
）のおそれの有無を勘案すること。
（三）事業者は、非開示の決定をすることが想定される保有個人データの範囲を定め、生徒等に周知させるための措置を講ずるよう努めなければならないこと。
【解説】
１．ここでは、当該本人からの開示にあたって、事業者が留意すべき事項について定めています。
個人情報保護法第２５条では、個人情報取扱事業者が、本人から、本人に関する保有個人データの開示を求められたときは 、原則として 、本人に対し 、書面又は開示請求者が同意した方法により 、遅滞なく、当該保有個人データを開示しなければならないことが規定されています。また、事業者が例外的に非開示とすることができる場合について規定するとともに、全部又は一部について非開示とする旨の決定をしたときには、本人に対し、遅滞なく、その旨を通知しなければならないことが規定されています。
この原則の例外にあたるものとして 、次のａ ）からｃ ）の場合があげられていますが 、事業者は 、
個人データの開示又は非開示の決定を行うにあたっては、個々の事案について、原則の例外にあた
るかどうか、十分検討した上で行う必要があります。
ａ）「本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合」
例えば、開示の求めがあった保有個人データの中に、不治の病であることを本人が知ることにより本人の心身の状況を悪化させるような情報が含まれる場合や、第三者の営業上の秘密に関する情報が含まれる場合などがこれに該当します。
本指針の第３の６（２）では、本人又は第三者の生命、身体、財産その他の権利利益を害すおそれがある場合であって、学校を設置する事業者が開示又は不開示の決定をする場合に特に留意すべき事項として、当該本人に対する児童虐待（児童虐待の防止等に関する法律（平成１２年法
律第８２号）第２条に規定する児童虐待をいう 。
）及び当該本人が同居する家庭における配偶者からの暴力（配偶者からの暴力の防止及び被害者の保護に関する法律（平成１３年法律第３１号 ）第１条第１項に規定する配偶者からの暴力をいう 。
）のおそれの有無をあげています。
児童虐待のおそれについての具体例としては、- 24-

事例Ⅲ−６−１）保護者からの児童虐待を理由に子どもが親元から離れて転校しており、加害者である保護者が子どもの居所を知らない場合などが想定されます。
また 、
当該本人が同居する家庭における配偶者からの暴力のおそれについての具体例としては 、
事例Ⅲ−６−２）配偶者からの暴力により、被害者や被害者と同居する未成年の子どもに対し接近禁止命令が発令された場合で、配偶者からの暴力を理由に被害者が転出したことに伴い被害者と同居する子どもが転校し、加害者が子どもの居所を知らない場合などが想定されます。
ここで 、事業者が配偶者からの暴力のおそれのあることを知りうる場合としては 、被害者から 、あらかじめ情報提供を受けているケースが想定されます。
ｂ）「個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合」
例えば、開示の求めがあった保有個人データに、個人情報取扱事業者の営業上の秘密に関する情報が含まれており、これを本人に知らせることが当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすような場合などがこれに該当します。
本指針の第３の６（１）においては、事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合であって、学校を設置する事業者が開示又は不開示の決定をする場合に特に留意すべき事項として、本人から当該本人の成績の評価その他これに類する事項に関する保有個人データの開示を求められた場合に学校における教育活動に与える影響をあげています。
「当該本人の成績の評価その他これに類する事項」の例としては、指導要録、調査書（いわゆる内申書 ）、入学選抜にかかる個人情報などが想定されます。
また 、「成績の評価 」には 、生徒等の各教科・科目の評定などが想定され 、「類する事項 」には 、入学者選抜の成績や生徒等の特徴などに対する所見などが想定されます。
ｃ）「他の法令に違反することとなる場合」
２．さらに、本指針の第３の６（３）においては、事業者は、非開示の決定をすることが想定される
保有個人データの範囲を定め、生徒等に周知させるための措置を講ずるよう努めなければならない
こととしています 。ここで周知させるための措置としては 、書面又は口頭による説明 、書面の手交 、郵便、電話、電子メールなどによる通知やホームページへの掲載などが想定され、各事業者の実態にあわせて措置が講ぜられることが望まれます。
なお、第２５条第１項又は第２項の規定に違反した場合には、個人情報保護法第３４条第１項の規定に基づく文部科学大臣若しくは地方公共団体の長の勧告又は同条第２項に規定する文部科学大
臣若しくは地方公共団体の長の命令の対象となり得る場合があります。
【参考】○個人情報の保護に関する法律（抄）（開示）
第二十五条 個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの開示（当該本人が識別される保有個人データが存在しないときにその旨を知らせることを含む。以下同じ。
）を求められたときは、本人に対し、政令で定める方法により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示すること- 25-

により次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
一

本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

二

当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合

三

他の法令に違反することとなる場合

２ 個人情報取扱事業者は、前項の規定に基づき求められた保有個人データの全部又は一部について開示しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

○個人情報の保護に関する法律施行令（抄）（個人情報取扱事業者が保有個人データを開示する方法）
第六条

法第二十五条第一項 の政令で定める方法は、書面の交付による方法（開示の求めを行った者が同意した方法があるときは、当該方法）とする。

- 26-

７
七

本人の利便を考慮した適切な措置に関する事項
法第二十九条第二項に規定する本人の利便を考慮した適切な措置に関する事項
事業者は、本人からの保有個人データの開示等の求めができるだけ円滑に行われるよう、開示等の求めに応じる手続きについて本人に周知するよう努めるとともに、閲覧の場所及び時間等について十分配慮すること。

【解説】
１．個人情報保護法第２９条は、事業者は、開示等の求めに応じる手続きに関し、その求めを受け付ける方法を定めることができることを規定するとともに、開示等の求めの対象となる保有個人デー
タの特定の仕方及び事業者が当該手続きを定めるに当たって本人に過重な負担を課さないよう配慮
しなければならないことを規定しています。
２．ここでは、個人情報保護法第２９条第２項の規定に則し、学校における「本人の利便を考慮した
適切な措置」として、開示等の求めに応じる手続きについて本人に周知するよう努めることとするとともに、生徒等が置かれる学校の環境に応じて、生徒等本人が容易かつ的確に開示等の求めができるよう閲覧の場所や時間等について十分配慮することとしています。
「開示等の求めに応じる手続きについて本人に周知するよう努める」とは、保有個人データの取扱いの透明性を確保するため、事業者は、個人情報保護法第２４条第１項で定められる事項について、本人の知り得る状態（本人が知りたいと望んだときには知ることが可能である状態のこと 。
）に置かなければならないとされていることをうけて定めたものであり、具体的には、開示等の求めに応じる手続きについて 、窓口等における書面の掲示若しくは備付け又はホームページ上での掲載 、パンフレット・広報誌等における明記その他の方法により継続的、恒常的に周知を行うことを想定しています。
「開示等の求め」とは、個人情報保護法第２９条第１項に定められる利用目的の通知の求め（同
法第２４条第２項 ）、保有個人データの開示の求め（同法第２５条第１項 ）、保有個人データの訂正等の求め（同法第２６条第１項 ）、利用停止等の求め（同法第２７条第１項）及び第三者提供の停止等の求め（同法第２７条第２項）のことです。
また、個人情報保護法第２９条では、事業者は 、「政令で定めるところにより、その定めを受け付ける方法を定めることができる」こととされており、事業者が定めることができる手続に関する事項として、同法施行令第７条において、①開示等の求めの申出先、②開示等の求めに際して提出すべき書面の様式その他の開示等の求めの方式、③開示等の求めをする者が本人又は代理人である
ことの確認方法、④同法第３０条の手数料の徴収方法が定められています。
ここで 、事業者が手続に関する事項を定めた場合 、請求者は 、この事業者の定める方法に従って 、開示等の請求を行わなければならないこととなっており、事業者が請求の方法を定めていない場合には、請求者が自由な方法で求めを行うことができることとなっています。
事業者が本人の利便を考慮した適切な措置を講ずるに当たって配慮する点としては、次のようなことが考えられます。
（１）開示等の求めに応じる手続きに関すること

- 27-

①

開示等の求めに際して提出すべき書面の様式その他の開示等の求めの方式について、あらかじめ定め、事前に開示手続き等の情報を周知しておくなど、利用者への情報提供が適切に行われるよう努めること。
例えば、あらかじめ申請書の様式（参考例）や申請のために必要となる証明書等について定め、ガイダンス等で説明するほか、学生便覧等に記載して周知するなどがあります。

②

できる限り利用者にとってわかりやすく簡便な手続きとし、迅速に処理できるように工夫すること。
例えば、開示等の求めの対象となる保有個人データの特定に当たって、本人への資料や情報の提供が、できる限り速やかに、円滑にできるようデータやファイル等を適切に管理するなどの工夫がなされていることなどがあります。

（２）開示等の求めの申出先に関すること①

受付窓口、閲覧場所の設置においては、利用者にとってわかりやすく、利便性の良い場
所に設けること。

②

開設時間は、本人が利用しやすい時間帯とすること。
例えば、受付窓口の開設時間についても、休憩時間や放課後等、本人が利用しやすい時間に設定するなどの工夫が必要です。
また、受付時間を不当に短くする等の時間的制約を行うことがないように配慮することも必要です。
なお、個人情報の閲覧に関しては、本人が安心して閲覧できるよう場所や機密性などへの適切な配慮が望まれます。

（３）開示等の求めをする者が本人又は代理人であることの確認方法に関すること
本人確認の方法、必要となる証明書等について明確にし、あらかじめ周知しておくことが望まれます。具体的には、本人に関しては、対面における学生証、運転免許証、パスポート等の写真付きの身分証明書等による確認を行うこと、代理人自身の確認に関しては、本人に準ずる方法及び代理を示す旨の委任状等が必要となることなどを定め、事前に周知することなどが考えられます。
（４）個人情報保護法第３０条の手数料の徴収方法に関すること
手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において額を定め、あらかじめ手続きとともに周知しておくことが必要です。
各事業者においては、開示等の求めに関する手続き等を定めるに当たって、本人や保護者等が開示等の請求を行う際にできうるかぎり円滑に行われるよう、学校の実態に応じて適切に配慮されることが必要であり、申請手続きにおいても必要以上に煩雑とならないよう十分な配慮が望まれます。
【参考】個人情報の保護に関する法律（抄）（開示等の求めに応じる手続）
第二十九条 個人情報取扱事業者は、第二十四条第二項、第二十五条第一項、第二十六条第一項又は第二十七条第一項若しくは第二項の規定による求め（以下この条において「開示等の求め」という）に関し、政令で定めるところ
により、その求めを受け付ける方法を定めることができる。この場合において、本人は、当該方法に従って、開示等の求めを行わなければならない。

- 28-

２ 個人情報取扱事業者は、本人に対し、開示等の求めに関し、その対象となる保有個人データを特定するに足りる事項の提示を求めることができる。この場合において、個人情報取扱事業者は、本人が容易かつ的確に開示等の求めをすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。
３ 開示等の求めは、政令で定めるところにより、代理人によってすることができる。
４ 個人情報取扱事業者は、前三項の規定に基づき開示等の求めに応じる手続きを定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。
（保有個人データに関する事項の公表等）
第二十四条 個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）に置かなければならない。
一

当該個人情報取扱事業者の氏名又は名称

二すべての保有個人データの利用目的（第十八条第四項第一号から第三号までに該当する場合を除く。
）

三

次項、次条第一項、第二十六条第一項又は第二十七条第一項若しくは第二項の規定による求めに応じる手続（第三十条第二項の規定により手数料の額を定めたときは、その手数料の額を含む。）

四前三号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの

（手数料）
第三十条

個人情報取扱事業者は、第二十四条第二項の規定による利用目的の通知又は第二十五条第一項の規定による開示を求められたときは、当該措置の実施に関し、手数料を徴収することができる。
２ 個人情報取扱事業者は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。

- 29-

○開示等の求めに際して提出すべき書面の様式の例（法第２９条、令第７条関係）

保有個人データ開示等請求書（提出年月日）（申出先）学校法人 ○○学園理事長

年

月

日

殿
請求者（□本人
氏

名

住

所

□代理人）
印

電話番号
連 絡 先
（本人の氏名）

個人情報の保護に関する法律第２５条〜第２７条、第２９条、第３０条の規定に基づき、次のとおり請求します。
個人データ記録の件名又は内容
□開

示

□消去等

□訂正等
□利用等の停止請 求 の 内 容本人であることを証明する書類
備考（記入方法等）
１ 該当する□欄にチェックしてください
２ 「請求の内容」欄の開示方法について、書面以外の方法による場合はその旨をご記入ください。
３

請求者は、請求書提出時に、身分を証明するもの及び本人（法定代理人を含む）であることを確認できるものを御提示ください。

４ 代理人の方は、本人の氏名も御記入のうえ、代理権を有することを証明する書面を添付してください。

- 30-

８
八

苦情の処理に関する事項
法第三十一条に規定する苦情の処理に関する事項
事業者は 、生徒等に関する個人情報の取扱いに関する苦情の適切かつ迅速な処理を行うため 、
苦情及び相談を受け付けるための窓口の明確化等必要な体制の整備に努めること。

【解説】
１．個人情報保護法第３１条では、個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならないこと、また、そのために必要な体制の整備に努めなければならないことが定められています。
２．ここでは、事業者は、生徒等に関する個人情報の取扱いに関する苦情の処理について、可能な限
り適切かつ迅速に行うよう努めるとともに、苦情及び相談を受け付けるための窓口を設けるなどの必要な体制の整備に努めることとしています。
事業者は、利用、提供、開示又は訂正等をはじめとした個人情報の取扱いに関する苦情一般に対し、適切かつ迅速に処理を行うため、平成１７年４月１日の同法の全面施行に向けて、苦情処理に係る窓口の明確化、苦情処理の手順を定める規程の整備、苦情処理を行う職員への教育・研修の実施等を行うなどの体制の整備を行う必要があります。
なお、事業者は、事業活動に対する社会の信頼を確保するため、利用目的の通知・公表、開示等の個人情報の取扱いに関する諸手続きについて、あらかじめ対外的に分かりやすく説明するとともに、苦情処理に関する情報についても周知に努めることが望まれます。
この周知の方法としては、例えば、書面又は口頭による説明、書面の手交、郵便、電話、電子メ
ール、ホームページへの継続的な掲示などが考えられます。
【参考】個人情報の保護に関する法律（抄）（個人情報取扱事業者による苦情の処理）第三十一条 個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
２ 個人情報取扱事業者は、前項の目的を達成するために必要な体制の整備に努めなければならない。

- 31-

Ⅳ．第四

個人情報取扱事業者以外の事業者による生徒等に関する個人情報の取扱い

法第二条第三項に規定する個人情報取扱事業者以外の事業者（学校を設置する者に限る 。
）であって、学校における生徒等に関する個人情報を取り扱う者は、第三に準じて、その適正な取扱いの確保に努めること。
【解説】
ここでは、私立学校を設置する事業者であって個人情報取扱事業者以外の者(特定される個人の数の合計が過去６ヶ月以内のいずれの日においても５千を超えない者(Ⅱ ．１ ．
（3 ）参照)）においても 、
個人情報取扱事業者に準じた生徒等の個人情報の適切な取り扱いの確保に努めることとしています。
個人情報保護法において、個人情報取扱事業者以外の学校を設置する事業者に対して、安全管理に関する措置等を行う義務は課されていませんが、生徒等の権利利益を保護するとともに、学校の社会的信用を確保するという観点から、当該事業者も、各学校の実態に応じて、個人情報取扱事業者に準じた措置を講ずることを求めています。

- 32-