個人情報保護法の改正について

２０１６年２月
個人情報保護委員会

１．制度改正の背景及び課題
世界最高水準のIT 利活用社会「ヒト」「モノ」「カネ」と並んで「情報資源」が新たな経営資源
行政

エネルギー

流通・小売

交通

ビッグデータ
防災・減災

医療パーソナルデータ（※）
プライバシー保護にも配慮したパーソナルデータ利活用のためのデータ利用環境整備が喫緊の課題※「ビッグデータ」のうち、特に利用価値が高いと期待されている、個人の行動・状態等に関するデータ

１２．個人情報保護法の守備範囲≪基本法制≫※1 個人情報の保護に関する法律

基本理念
国及び地方公共団体の責務・基本方針の策定 等（第１章～第３章 ） ※1

※2 行政機関の保有する個人情報の保護に関する法律※3 独立行政法人等の保有する個人情報の保護に関する法律※4 各地方公共団体において制定される個人情報保護条例

個人情報取扱事業者の義務等※1(第４章～第７章)（注）今後、個人情報保護委員会が事業分野ごとのガイドラインを一元化

主務大臣制(事業分野ごとの27分野38ガイドライン）≪民間部門≫※2※3≪公的部門≫※42

３．現行個人情報保護法の概要
個人情報保護法は、個人の権利利益の保護を目的とするものであって、個人情報を取り扱う事業者の取得・利用・提供等その一切の行為について遵守すべき義務及び行政の監督権限を定めること等により、個人情報の有用性とのバランスを図りつつ、個人情報の適正な取扱いを確保するものである。
○ 定義
・ 個人情報の定義（§2Ⅰ）
生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む）
・ 個人情報取扱事業者（§2Ⅲ）
個人情報データベース等を事業の用に供している者（ただし、取り扱っている個人情報の数が過去6か月以内のいずれの日においても5000を超えない者等を除く。）○ 利用目的に関する規律・ 個人情報の利用目的の特定（§15）、目的外利用の禁止（§16）
個人情報を取り扱うに当たっては、利用目的をできるだけ特定し、原則として、あらかじめ本人同意を得な
いで、その目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない。
・ 適正な取得（§17）、取得時の利用目的の通知等（§18）
偽りその他不正な手段によって個人情報を取得してはならず、取得時は本人へ速やかに利用目的を通知又は公表しなければならない。また、本人から直接書面で取得する場合は、あらかじめ本人に利用目的を明示しなければならない。
3３．現行個人情報保護法の概要○ 第三者提供の制限
・ 第三者提供の制限（§23）
あらかじめ本人の同意を得ないで本人以外の者にデータを提供してはならない(ただし、例外規定あり)。
※委託、事業承継及び共同利用の場合は相手方は第三者に該当しない。

○ 事故防止のための措置
・ データ内容の正確性の確保（§19）
データは正確かつ最新の内容に保つように努めなければならない。
・ 安全管理措置（§20）、従業者・委託先の監督（§21‐22）
データの漏えいや滅失を防ぐため、必要かつ適切な技術的・組織的な保護措置を講じなければならず、また安全にデータ管理するため、従業者や委託先へ必要・適切な監督を行わなければならない。

○ 本人の求めに応じる義務・ 利用目的の通知、開示、訂正、利用停止等（§24‐27）
一定のデータについて、利用目的等を本人の知りうる状態に置き、本人からの求めに応じてデータを開示、内容に誤りのあるときは訂正等、法律上の義務に違反する取扱いについては利用停止等を行わなければならない。

○ 苦情処理（§31）・主務大臣の助言（§33）、勧告及び命令（§34）等による不適正な個人情報の取扱いの是正

４

４．IT総合戦略本部で取り組むに至った経緯
2003年「個人情報の保護に関する法律」成立（2005年全面施行）
10余年が経過
消費者、事業者等の環境変化に応じた法改正は一度もない。その間、以下のような問題が顕在化。

１．情報通信技術の発展によるグレーゾーンの拡大
情報通信技術の発展により、制定当時には想定されなかったパーソナルデータの利活用が可能となった⇒ 消費者はプライバシー保護の観点から慎重な取り扱いを求める一方、事業者はどのような措置をとれば十分な利活用ができるか判断できない
２．所管の縦割りにより柔軟な対応ができない
現行法において、法所管は消費者庁、法執行は主務大臣制をとり事業分野ごとの27分野38ガイドライン（13府省）⇒ 情報通信技術の発展による新たな事案への対応や、分野を横断した案件に対して柔軟な対応ができない
３．事業活動のグローバル化などの環境変化
事業活動がグローバル化し、国境を越えて多くのデータが流通する時代⇒ 2012年以降、欧米にて制度見直しの検討（EU：EUデータ保護規則案、米国：プライバシー権利章典の法制化）が始まる
5

４．IT総合戦略本部で取り組むに至った経緯
2003年「個人情報の保護に関する法律」成立（2005年全面施行）
10余年が経過
消費者、事業者等の環境変化に応じた法改正は一度もなし。その間、前述のような問題が顕在<各省で制度見直しの検討が始まる>○総務省「パーソナルデータの利用・流通に関する研究会」を開催（2013年6月に報告書とりまとめ）○経済産業省IT融合フォーラム「パーソナルデータワーキンググループ」を設置（2013年5月に報告書とりまとめ）

異なる分野の主務大臣である総務省、経済産業省でそれぞれ取り組まれている状況を改善するため、IT政策担当大臣の下、政府CIOが総合調整機能を発揮し、IT総合戦略本部が政府全体として取りまとめ。
６

５．改正のポイント
個人情報保護法の改正ポイント
１．定義の明確化等

２．適切な規律の下で個人情報等の有用性を確保

３．個人情報流通の適正を確保（名簿屋対策等）

４．個人情報の取扱いのグ
ローバル化

・ 個人情報の定義の明確化（身体的特徴等が該当）
・ 要配慮個人情報（いわゆる機微情報）に関する規定の整備
・ 取り扱う個人情報が5,000人分以下の小規模取扱事業者を対象化
・ 個人情報データベース等から権利利益を害するおそれの少ないものを除外
・ 匿名加工情報に関する加工方法や取扱い等の規定の整備
・ 個人情報保護指針の作成や届出、公表等の規定の整備
・ 利用目的の変更を可能とする規定の整備
・ トレーサビリティの確保（第三者提供に係る確認及び記録の作成義務）
・ 不正な利益を図る目的による個人情報データベース等提供罪の新設
・ 本人同意を得ない第三者提供(オプトアウト規定)の届出、公表等厳格化
・ 国境を越えた適用と外国執行当局への情報提供に関する規定の整備
・ 外国にある第三者への個人データの提供に関する規定の整備

５．請求権・ 本人の開示、訂正及び利用停止等の求めは請求権であることを明確化

６．個人情報保護委員会の新設及びその権限

・ 個人情報保護委員会を新設し、現行の主務大臣の権限を一元化

７６．定義の明確化等

背景法が保護する「個人情報」と対象となる事業者 及び課題

現行法の定義「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう。
指紋認識データや顔認識データ等
身体的特性に関する情報
旅券番号や端末ID等の個人又は個人の使用する機器等に関する情報
人種、信条、社会的身分、病歴等の機微（要配慮）情報

グレーゾーンの内容や個人の権利利益の侵害の可能性、度合は情報通信技術の進展や個人の主観等複数の要素によって、時代とともに変わる。
どの個人情報も一律で良いか。

個人情報・要配慮個人情報となるかどうかを明確化
8改正後

６-１．個人識別符号 (第２条第１・２項)
本人規制対象の縮小

事業者

個人情報取得

特定の個人の身体的特徴を変換したもの等は特定の個人を識別する情報であるため、これを個人情報として明確化する。

電話帳等を除外

生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの
＜例＞

氏名
住所
生年
月日

個人情報の定義の明確化

他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるもの次のいずれかに該当する文字、番号、記号その他の符号のうち政令で定めるものが含まれるもの
特定の個人の身体の一部の特徴を電子計算機のために変換した符号

対象者ごとに異なるものとなるように役務の利用、商品の購入又は書類に付される符号＜例＞
指紋認識 顔認識
データ
データ

事業者
（受領）

個人情報

旅券
番号

免許証
番号

第三者提供

・第三者提供の同意
・オプトアウト手続
・共同利用
・委託

個人情報と紐づく
移動履歴や購買履歴
規制対象の縮小

電話帳等を除外9

６-２．要配慮個人情報（第２条第３項）

改正後＜例＞人種、信条、社会的身分、病歴
犯罪被害情報、犯罪の経歴

本人

本人同意を得ない取得を原則禁止

個人情報要配慮個人情報
事業者

事業者
（受領）

不当な差別又は偏見が生じないようにその取扱いについて特に配慮を要する記述等

個人情報

あらかじめの本人同意を必要としない第三者提供の特例（オプトアウト手続※）から除外
要配慮個人情報※ 本人の求めに応じて個人データの第三者提供を停止することとしている場合であって、あらかじめ第三者提供するという利用目的や提供の方法等の一定の事項を通知等している場合、本人の同意に代えることができる。
これをオプトアウト手続という（法第23条第２項）。

10

背景
6－3．取り扱う個人情報が5,000人分以下の小規模取扱事業者 及び課題を対象化(第２条第５項)
義 務 規 定(法第４章～)

個 人 情 報 取 扱 事 業 者
5,000人分を超える※１個人情報をデータベース化※２してその事業活動に利用している者（施行令2条）※１ 過去６か月間に一度でも超えていれば該当。
※２ 個人情報データベース等（特定の個人情報を検索できるよう体系的に構成した個人情報の集合物。紙媒体・電子媒体を問わない。）という。
利用方法からみて個人の権利利益を害するおそれが少ないもの（市販の電話帳等）は、個人情報データベース等の対象から除外する。

事業者の取り扱う個人情報（データベース化したもの）の数が5,000人分以下であっても、個人の権利利益の侵害はありえる。

5,000人分以下を除外する規定を削除

11

6－3．取り扱う個人情報が5,000人分以下の小規模取扱事業者を対象化(第２条第５項)

改正後取り扱う個人情報により識別される個人の数が5,000以下の事業者の適用除外を廃止
小規模取扱事業者
新たな監督対象
個人情報保護委員会（定義）
第二条 （略）
五 その取り扱う個人情報の量及び利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定める者
政令（個人情報取扱事業者から除外される者）
第二条 法第二条第三項第五号 の政令で定める者は、その事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数（
当該個人情報データベース等の全部又は一部が他人の作成に係る個人情報データベース等であって、次の各号のいずれかに該当するものを編集し、又は加工することなくその事業の用に供するときは、当該個人情報データベース等の全部又は一部を構成する個人情報によって識別される特定の個人の数を除く。）の合計が過去六月以内のいずれの日においても五千を超えない者とする。
（略）

附則
第十一条 個人情報保護委員会は、新個人情報保護法第八条に規定する事業者等が講ずべき措置の適切かつ有効な実施を図るための指針を策定するに当たっては、この法律の施行により旧個人情報保護法第二条第三項第五号に掲げる者が新たに個人情報取扱事業者となることに鑑み、特に小規模の事業者の事業活動が円滑に行われるよう配慮するものとする。

12

７．適切な規律の下での個人情報等の有用性確保

背景
及び課題

交通系データ事例

・大手交通系企業が、乗降履歴情報を個人情報保護法に抵触しない形（個人を識別できない形）で駅のマーケティング資料を作成のためにデータ分析企業へ販売したと説明しているが、本当に抵触していないか顧客の不安が噴出した。
・販売する元となる履歴情報から除外する申請を受け付ける対応（約5万件の申請）。

交通系事業者

データ分析事業者
ID変換

乗降履歴データ
ID
氏名
電話番号
生年月日
乗降駅、日時等

個人識別できないように加工したデータ

ID
－
－
生年月
乗降駅、日時等

駅利用分
析レポート

×

不可逆

容易照合性があり個人情報か？

識別番号（提供都度変換）－－
ビッグデータとして生年月パーソナルデータ
乗降駅、日時等を利活用できるルールが不明確

一定の条件のもと自由な利活用を可能とするルールの整備
1313

７-１．匿名加工情報（第２条第９・10項、第４章第２節）
匿名加工情報公表

本人
個人情報を取得事業者A（加工、提供）

②作成した
匿名加工
情報の項
目を公表

③第三者
提供する項
目等を公表

特定の個人を識別すること及びその作成に用いる個人情報を復元することができないように個人情報を加工したものを匿名加工情報と定義し、その加工方法を定めるとともに、取扱いについての規律を設ける。
⑤第三者提供する項目等を公表

匿名加工情報・特定の個人を識別することができる記述等を削除
・元データの復元ができないよう加工④提供
・削除した記述等や加工方

個人情報①個人情報保護委員会規則で定める基準に従った適正な加工法の漏えいを防止
・他の情報との照合を禁止

匿名加工情報④匿名加工情報であることを明示

個人情報
保護指針
指針の提供

匿名加工基準

個人情報 (1)消費者意見を代表す
保護指針 るもの等から意見を聴いて個人情報保護指針
認定個人情報保護団体

作成

個人情報保護委員会(2)届出（変更）
個人情報保護指針(3)届出事項の公表

公表

本人を識別するための以下の行為を禁止
・作成者が削除した記述等
や加工方法の取得
・他の情報と照合事業者Ｂ（受領、提供）⑥提供⑥匿名加工情報であることを明示

個人情報
保護委員
会規則で定める基準に従う

改正後

匿名加工情報本人を識別するための以下の行為を禁止
・作成者が削除した記述等や加工方法の取得・他の情報と照合

事業者Ｃ
（受領）
14

７－２．利用目的変更の制限緩和（第15条第２項）

背景及び課題本人

データ収集
当初の利用目的

新たなデータ
利活用

変更可能

本人の同意が必要

相当の関連性を有すると合理的に認められる範囲の利用目的

左記を超えた範囲の利用目的

IT技術の進展により、多種多様なデータの蓄積、分析が可能に。取得時の利用目的と関連性を有する一定の範囲の目的変更を認めることで、新たな価値創造が可能になる。
現行法下でも変更可能だが、各省のガイドラ
インの例示等は厳格なものであり、事業者は変更に躊躇。なお、変更可能な範囲を超える得ることが必要。
場合は、個別に本人場合は、個別に本人同意を得ることが必要。

利用目的変更の制限を緩和

現行法における経済産業省のガイドラ
インでの例示【本人が想定することが困難でないと認められる範囲内に該当する事例】
事例）「当社の行う○○事業における新商品・サービスに関する情報のお知らせ」とした利用目的において「既存の商品・サービスに関する情報のお知らせ」を追加すること。
【同意が必要な事例】
事例）就職のための履歴書情報をもとに、自社の商品の販売促進のために自社取扱商品のカタログと商品購入申込書を送る場合
15

７－２．利用目的変更の制限緩和（第15条第２項）
本人

変更可能な利用目的

○現行法
取得

個人情報

改正後

取得時の利用目的①同意あり②法令等に基づく場合に目的外利用が可能

当初の利用目的
相当の関連性を有すると合理的に認められる範囲

変更後の利用目的
変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を認められる範囲で可能。

変更可能な利用目的○改正法
取得時の利用目的①同意あり②法令等に基づく場合に目的外利用が可能

関連性を有すると合理的に認められる範囲
事業者
16

背景
及び課題

８．個人情報流通の適正を確保するために大規模漏えい事例

・大手教育出版系企業の顧客情報（個人情報）が名簿事業者経由で他事業者に漏えい。当該企業のDBシステムの保守・管理委託先に派遣されていたシステムエンジニアを不正競争防止法違反の容疑で逮捕。
知らない業者からのDMで気づく

本人
電話・イベントを通じて取得

通信教育サービス等の提供

ダイレクトメール送付

名簿の転売ルートをトレースできない

事業者
システム保守の委託先

システム保守の再委託先
派遣社員

転売

いわゆる名簿業者
いわゆる名簿業者

顧客データベース
不正に持ち出し別の通信業者

いわゆる名簿業者
個人情報保
護法上の罰
則規定なし

売却

転売

いわゆる名簿業者
いわゆる名簿業者

個人情報の流通の適正確保のための規定を新設（トレーサビリティ、個人情報データベース等提供罪）
17

8-1．ﾄﾚｰｻﾋﾞﾘﾃｨ（第25・26条）と不正提供罪（第83条）

受領者は提供者の氏名やデータ取得経緯等を確認し、一定期間その内容を保存。また、提供者も、受領者の氏名等を一定期間保存。

本人

取得

トレーサビリティ(第三者提供時の義務)
個人情報等

個人データ
事業者
（提供）

提供罪の新設個人情報データベース等を取り扱う事務に従事する者又は従事していた者が、不正な利益を図る目的で提供し、又は盗用する行為を処罰。

改正後

事業者
（受領）

第三者提供
＜記録義務＞
・提供の年月日・提供先の氏名等＜記録義務＞
・提供の年月日・提供者の取得経緯等(1)業務で取扱い

(3)
不正な利益

(2)
提供等

従事者
(4)司法手続による刑罰

司法機関

個人情報保護委員会
18

８-２．オプトアウト手続の強化（第23条第２項関連）

背景
及び課題

本人は転売されていることを知らない（知っていればオプトアウトできる）
本人

いわゆる名簿業者

転売
名簿等

いわゆる名簿業者
いわゆる名簿業者
いわゆる名簿業者
転売

いわゆる名簿業者
いわゆる名簿業者
第三者提供のオプトアウト手続が十分に機能していないのではないかという懸念。

オプトアウト手続を用いて個人データを提供している事業者の可視化

19８-２．オプトアウト手続の強化（第23条第２項関連）
本人

事業者
（提供）

通知等
事項

取得

①通知、又は本人が容易に知り得る状態拒否す
る場合
第三者提供停止

事業者
（受領）

個人情報等

個人データ

あらかじめ次の事項を本人に通知、又は本人が容易に知り得る状態に置くとともに個人情報委員会へ届出＜通知、容易に知り得る状態に置く、届出事項＞・第三者提供を利用目的にすることとその対象項目・第三者への提供の方法
・求めに応じて第三者提供を停止すること及び本人の求めを受け付ける方法①
届
出

個人情報保護委員会

届出事項

公 表

改正後

③第三者提供あらかじめ同意を必要としない第三者提供への本人関与(オプトアウト手続の規定を見直し)

オプトアウト手続によって第三者提供をしようとする場合、データの項目等を個人情報保護委員会へ届出。個人情報保護委員会は、その内容を公表。

②届出事項の公表

20９．個人情報の取扱いのグローバル化
海外事業者に対し、国内法の適用が不明確。

日本

外国A

データ収集

①域外適用

本人

データ収集

②執行協力

主務大臣

二国間協力等の実効的な執行協力ができていない。

③移転の制限ＥＵ④自由な移転
データ収集

背景
及び課題

保護水準が十分でない国に対してデータ移転を制限できていない外国執行当局

外国B※保護水準が不十分な国

日本はＥＵから十分な個人情報保護レベルを満たしていると認定されていない

情報通信技術(IT)の進展により、個人情報は国境を越えてグローバルに流通する時代。グローバルに対応した制度整備が喫緊の課題。
21

９．個人情報の取扱いのグローバル化（第24条、第75条） 改正後
日本国内の個人情報を取得した外国の個人情報取扱事業者についても個人情報保護法を原則適用。

本人
取得

取得

外国への第三者提供

個人データ

第三者提供ａ＜提供方法＞
・第三者提供の同意
・オプトアウト手続
・共同利用
・委託

海外事業者ａ

個人
情報
保護
法の適用

執行

外国Ａ
外国Ｂ
（認定国） （未認定国）

国内事業者
第三者
提供ｂ

政府機関
情報
提供

国境を越えた適用
範囲★

認
定国

未認
定国

②日本と同等水準の制度があるか認定①提供先事業者が一定の要件を満たす保護体制を整備している場合＜提供方法＞
・第三者提供の同意
・オプトアウト手続
・共同利用
・委託

海外事業者ｂ★

個人情報保護委員会＜提供方法＞
第 ③外国にある第三者
三 への提供を認める旨
者 の同意
提供ｃ

海外事業者ｃ①個人情報保護委員会の規則に則っている場合、②個人情報保護委員会が認めた国、③本人同意のいずれかによって外国への第三者提供が可能。
22

１０．開示等請求権（第28条から第34条）

背景
及び課題

保有個人データ本

求 め

利用目的の通知（現行法24条2項）
どのような目的で利用されているのかについて、原則として、本人に通知しなければならない。
開示（現行法25条1項）
原則として、本人に、書面又は本人が同意した方法により開示しなければならない。

人

訂正等（現行法26条1項）
内容が事実でないときは、原則として利用目的の達成に必要な範囲内において、訂正等を行わなければならない｡
利用停止等（現行法27条）①利用目的による制限、②適正な取得、③第三者提供の制限に違反していることが判明したときは、違反を是正するために必要な限度で、原則として、利用停止等を行わなければならない。
事業者には本人の求めに応じて、開示、訂正及び利用停止等を行う義務があり、行政によって監督される。他方、本人が個別に問題解決を図るには裁判による救済を求めることができるとすることが必要だが、そのような権利を付与した規定であるか明確でない（過去に否定した裁判例あり。）。

開示等について裁判による救済を求めることができる権利を有することを明確化

23改正後１０．開示等請求権（第28条から第34条）
現行

改正後第三者機関の長又は主務大臣

主務大臣④助言・勧告・命令“適切な開示等を行いなさい”④助言・勧告・命令“適切な開示等を行いなさい”

裁判所
認定個人情報保護団体等

認定個人情報保護団体等③相談等 or ③´訴えの提起
④´棄却

③相談等

②拒否決定・通知②拒否決定・通知①開示等請求①開示等の求め本人②開示等 → 終了④´認容（開示等を命ずる判決）

事業者

本人

②開示等 → 終了

事業者※和解（民695,696、民訴89,267,275）による迅速かつ柔軟な解決も可能。
※①が到達した日から２週間が経過した後か、②で事業者が拒んだとき24から訴え提起ができる。

11．個人情報保護委員会の新設及びその権限（第４章第３節、第５章）
＜改正前＞

背景
及び課題

主務大臣

事業所管
事業所管
大臣
主務大臣
大臣
命令

勧告

助言

報告徴収

個人情報取扱事業者＜改正後＞

個人情報保護委員会を設置、権限を一元化しつつ強化※欧米等では一元化された管理体制をとっている

分野

所管省庁

分野

所管省庁

医療（一般）

厚生労働省

放送

総務省

医療（研究）

文部科学省
厚生労働省
経済産業省

郵便

総務省

信書便

総務省

文部科学省
厚生労働省

経済産業

経済産業省

警察

国家公安委員会

金融

金融庁

法務

法務省

信用

経済産業省

外務

外務省

電気通信

総務省

財務

財務省

文部科学

文部科学省

分野

所管省庁

分野

所管省庁

雇用管理（一般）

厚生労働省

福祉

厚生労働省

雇用管理（船員）

国土交通省

国土交通

国土交通省

職業紹介等（一般）

厚生労働省

環境

環境省

職業紹介等（船員）

国土交通省

防衛

防衛省

労働者派遣（一般）

厚生労働省

労働者派遣（船員）

国土交通省

労働組合

厚生労働省

企業年金

厚生労働省

農林水産

農林水産省

事業等を所管する各省庁において、審議会の議論等を経て、27分野について38のガイドラインを策定
25

11．個人情報保護委員会の新設及びその権限（第４章第３節、第５章）
認定個人情報保護団体
事業者

機能
権限

・報告徴収
・立入検査
・指導／助言・勧告
・命令

個人情報保護指針

改正後
個人情報保護指針(1)消費者意見を代表するもの等から意見を聴いて作成
指針の提供

・報告徴収
・立入検査

個人情報保護指針

事業所管大臣権限の委任・認定、認定取消・報告徴収
・命令

個人情報保護委員会

H28年１月１日
内閣府の外局（特定個人情報保護委員会を改組） 設置
内閣府の外局として個人情報保護委員会を新設し、現行の主務大臣の有する権限を集約するとともに、立入検査の権限等を追加。
（報告徴収及び立入検査の権限は事業所管大臣等に委任可。）(2)届出（変更）

個人情報保護指針(3)届出事項の公表

公表26

１２．施行日改正後（施行期日）
第一条 この法律は、公布の日から起算して二年を超えない範囲内において政令で定める日から施行する。ただし、次の各号に掲げる規定は、当該各号に定める日から施行する。
一 附則第七条第二項、第十条及び第十二条の規定 公布の日
二 第一条及び第四条並びに附則第五条、第六条、第七条第一項及び第三項、第八条、第九条、第十三条、第二十二条、第二十五条から第二十七条まで、第三十条、第三十二条、第三十四条並びに第三十七条の規定 平成二十八年一月一日
三 （略）四 次条の規定 公布の日から起算して一年六月を超えない範囲内において政令で定める日
五 （略）
六 （略）
（通知等に関する経過措置）
第二条 第二条の規定による改正後の個人情報の保護に関する法律（以下「新個人情報保護法」という。）第二十三条第二項の規定により個人データを第三者に提供しようとする者は、この法律の施行の日（以下「施行日」という。）前においても、個人情報保護委員会規則で定めるところにより、同項第五号に掲げる事項に相当する事項について本人に通知するとともに、同項各号に掲げる事項に相当する事項について個人情報保護委員会に届け出ることができる。この場合において、当該通知及び届出は、施行日以後は、同項の規定による通知及び届出とみなす。

27