令和2年・3年改正個人情報保護法
チェックリスト

抜け漏れ再チェック！全面施行直後、改正個人情報保護法の実務対応ポイント
2022年6月30日

牛島総合法律事務所

弁護士

影島広泰

hiroyasu.kageshima@ushijima-law.gr.jp

03-5511-3233

チェックリスト①
条文ベース

March 11, 2022

Ushijima & Partners

2

1. チェックリスト①：条文ベース
2条（定義）
仮名加工情報追加

個人関連情報追加

16条（定義）
保有個人データMarch 11, 2022

6か月以内に消去されることとなる個人データ（短期保有データ）の除外が廃止された

Ushijima & Partners

3

1. チェックリスト①：条文ベース
17条（利用目的の特定）
情報分析など本人が想定できない利用をする場合

通則ガイドライン「本人が、自らの個人情報がどのように取り扱われることとなるか、利用目的から合理的に予測・想定できないような場合は、この趣旨に沿ってできる限り利用目的を特定したことにはならない」

18条（利用目的による制限）
以下が目的外利用の禁止の例外に追加①学術研究機関等である場合②学術研究機関に提供する場合

令和3年改正法による追加

19条（不適正な利用の禁止）
違法又は不当な行為を助長し、誘発するおそれがある方法による利用が禁止された

令和2年改正法による新設
今後、新しい利用をする際の社内承認フローに組み込むとよい

20条（適正な取得）
以下が要配慮個人情報の取得の際の同意取得義務の例外に追加①学術研究機関等である場合②学術研究機関から取得する場
合March 11, 2022

令和3年改正法による追加

Ushijima & Partners

4

1. チェックリスト①：条文ベース
21条（取得に際しての利用目的の通知等）
22条（データの内容の正確性の確保等）
23条（安全管理措置）「き損」が「毀損」になった「外的環境の把握」が追加に通則ガイドラインが定める安全管理措置に「10-7 外的環境の把握」として、「個人情報取扱事業者が、外国において個人データを取り扱う場合、当該外国の個人情報の保護に関する制度等を把握した上で、個人データの安全管理のために必要かつ適切な措置を講じなければならない。」が追加された。法制度調査が必要に。

24条（従業者の監督）25条（委託先の監督）26条（漏えい等の報告等）
個人情報保護委員会への報告
・速報
・確報（30日/60日以内）
本人への通知社内の報告連絡ルールの策定
March 11, 2022

①要配慮個人情報の漏えい等②経済的な損失を伴うこととなるおそれのあるようなデータの漏えい等③不正の目的をもって行われたおそれがある漏えい等④1,000人分を超える漏えい等
なお、委託先は委託元に通知をすれば免れる
委託契約に盛り込むとよい
Ushijima & Partners

5

1. チェックリスト①：条文ベース
27条（第三者提供の制限）
以下が同意取得の例外に追加①学術研究機関等である場合②学術研究機関に提供する場合

令和3年改正法による追加

オプトアウトの通知事項の追加
委託と第三者提供の切り分け

以下の場合は第三者提供となる（ガイドラインQ&A）• 複数の委託元の個人データを区別せずに混ぜて取り扱う• 複数の委託元の個人データを本人ごとに突合する• 委託元の個人データと、委託先が独自に取得した個人データ又は個人関連情報と突合する各種識別子やオーディエンス情報のやりとり等で要注意

共同利用の通知事項の追加

当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名

28条（外国にある第三者への提供の制限）
以下が同意取得の例外に追加①学術研究機関等である場合②学術研究機関に提供する場合

令和3年改正法による追加同意の際の事前の情報提供①外国の名称、②当該外国における個人情報の保護に関する制度、③当該第三者が講ずる個人情報の保護のための措置

相当措置の年に1回の確認、本人への情報提供①年1回確認（相当措置の実施状況＆法制度）＋支障時の提供停止②本人の求めに応じた情報提供

March 11, 2022

Ushijima & Partners

6

1. チェックリスト①：条文ベース
29条（第三者提供に係る記録の作成等）
30条（第三者提供を受ける際の確認等）
31条（個人関連情報の第三者提供の制限等）＜受領側＞
個人データと紐付けする場合には、情報提供＋同意取得

情報提供①個人関連情報取扱事業者から個人関連情報の提供を受けること②本人が識別される個人データとして取得すること③対象となる個人関連情報④提供先の利用目的（望ましい）（外国の場合）⑤国名、法制度、提供先が講じる措置（提供元が代行して同意を取得する場合）⑥提供先の個社名＜提供側＞
受領者が個人データとして取得することが「想定」されるときには同意を確認

受領者が外国法人であるケースで、上記⑤の情報提供が行われているかが実務上の問題点

記録義務

＜受領側＞
提供者の名称等、本人の氏名等、個人関連情報の項目、本人の同意、（外国の場合）情報提供＜提供側＞
提供年月日、第三者の名称、住所、代表者、個人関連情報の項目、個人関連情報の項目、（外国の場合）情報提供

March 11, 2022

Ushijima & Partners

7

1. チェックリスト①：条文ベース
32条（保有個人データに関する事項の公表等）①事業者の氏名又は名称、住所、 ••代表者の氏名⑤個人情報の取扱体制や講じて •いる措置の内容

左記下線部の追加
外的環境の把握では「A国」と特定する（通則ガイドライン）「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」でよい

33条（開示）開示のデジタル化①電磁的記録の提供による方法②書面の交付による方法③その他当該個人情報取扱事業者の定める方法（もしあれば）第三者提供記録の開示

プライバシーポリシー等の開示の手続での記載漏れに注意
例：「個人データ及び第三者提供記録の開示については…」

34条（訂正等）
35条（利用停止等）①19条違反（不適正利用）②利用する必要がなくなった場
合③26条の漏えい等が発生した
場合④その他本人の権利又は正当な利益が害されるおそれがある場
合March 11, 2022

ガイドライン上、「個人情報取扱事業者に本人の権利利益の保護の必要性を上回る特別な事情がない限りは、個人情報取扱事業者は請求に応じる必要がある」とされている

Ushijima & Partners8

1. チェックリスト①：条文ベース
36条（理由の説明）
37条（開示等の請求等に応じる手続）
本人確認のプロセスに注意

ガイドラインが改正されているので注意

38条（手数料）
39条（事前の請求）40条（個人情報取扱事業者による苦情の処理）
41条（仮名加工情報の作成等）
仮名加工情報「作成するとき」は、仮名加工情報として取り扱うために、当該仮名加工情報を作成するときのことを指す。

42条（仮名加工情報の第三者提供の制限等）
第三者提供は禁止

委託・共同利用はOK

43条（匿名加工情報の作成等）
44条（匿名加工情報の提供）
45条（識別行為の禁止）
46条（安全管理措置等）
March 11, 2022

Ushijima & Partners

9チェックリスト②
プライバシーポリシーの記載事項

March 11, 2022

Ushijima & Partners

10

2. プライバシーポリシーの記載事項
プライバシーポリシーを作成する目的① 「本人の知り得る状態」に置くため（32、施行令8）保有個人データに関する事項の公表等（令和2年改正で項目増加）② 「公表」するため


利用目的（18）
仮名加工情報（41Ⅳ、Ⅵ）、匿名加工情報（43Ⅲ、Ⅵ）③ 安全管理措置の一環（23、GL「基本方針の策定」）(a)事業者の名称、(b)関係法令・ガイドライン等の遵守、(c)安全管理措置に関する事項、(d)質問及び苦情処理の窓口④ 「本人が容易に知り得る状態」に置くため

共同利用（27Ⅴ）
オプトアウトによる第三者提供（27Ⅱ）⑤ 「情報を当該本人に提供」するため


外国移転の同意を得る際の情報提供（28Ⅱ（・Ⅲ））⑥ 同意を得るため「個人情報の取扱いについて」

第三者提供の同意（27Ⅰ、28Ⅰ）、個人関連情報の提供を受けて個人データとして利用（31）March 11, 2022

Ushijima & Partners

11

2. プライバシーポリシーの記載事項
1. 利用目的の公表（17条1項、21条1項）①利用目的（個人情報：17条1項、保有個人データ：32条1項2号）

通則ガイドライン「本人が、自らの個人情報がどのように取り扱われることとなるか、利用目的から合理的に予測・想定できないような場合は、この趣旨に沿ってできる限り利用目的を特定したことにはならない」

2. 保有個人データに関する事項の公表等（32条、施行令8条）、安全管理措置①事業者の氏名又は名称、住 令和2年改正法で左記下線部が追加された（32条1項1号）。
安全管理措置の1つである「基本方針の策定」でも「事業者の所、代表者の氏名同意不要同意不要名称」を定めることが考えられるとされている。

②開示等の請求に応じる手続 手数料の額を定めたとき（38条2項）は、手数料も記載する。
③質問及び苦情の申出先（窓 「苦情の申出先」は保有個人データについて周知義務（施行令8条2項）あり。安全管理措置の1つである「基本方針の策口）定」では「質問及び苦情処理の窓口」を定めることが考えられるとされている。

④認定個人情報保護団体の名 「認定個人情報保護団体の対象事業者である場合」（施行令8
称及び苦情の解決の申出先 条）のみ。
⑤個人情報の取扱体制や講じ 令和2年改正法で追加された。「本人の知り得る状態…に置くことにより当該保有個人データの安全管理に支障を及ぼすおている措置の内容それがあるものを除く」との限定あり（施行令8条）。

⑥関係法令・ガイドライン等 安全管理措置「基本方針の策定」では「関係法令・ガイドライン等の遵守」を定めることが考えられるとされている。の遵守
March 11, 2022

Ushijima & Partners

不要12

2. プライバシーポリシーの記載事項
3. 委託（40条、27条5項1号）①委託の有無②委託する事務の内容

同意

法的には必須ではないが、通則ガイドライン3-6（40条）で「委託の有無、委託する事務の内容を明らかにする等、委託処理の透明化を進めることも重要である。」とされている。

同意

4. 第三者提供（27条1項）
個人データの第三者提供

March 11, 2022

不要

個人データの第三者提供を行う場合、同意が必要となる。本来は、「個人情報の取扱いについて」といったPPとは別の文書を作成し、それに対する同意を得た方がよい。
なお、通則ガイドラインQ&A「Q7-9」では、「提供先を個別に明示することまでが求められるわけではありません。もっとも、想定される提供先の範囲や属性を示すことは望ましいと考えられます。」とされており、提供先の個社名を列挙することまでは法的には求められていない。
また、通則ガイドライン「3-6-1」では「あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的において、その旨を特定しなければならない」とされているが、実務的には、「利用目的」の項目に記載するのではなく、「第三者提供について」といった独立した項目を設けて記載する例が多いようである。

Ushijima & Partners

必要

13

2. プライバシーポリシーの記載事項
5. 共同利用（27条5項3号）①共同利用する旨「当社は以下の範囲でお客様の個人情報を共同利用することがあります」などと頭書に記載するのが一般的②共同して利用される個人データの項目

通則ガイドライン3-6-3が掲げる事例は以下のとおり。
事例1）氏名、住所、電話番号、年齢
事例2）氏名、商品購入履歴「当社が取得した個人情報」などといった記載では不十分と考えられるから注意が必要。

同意不要③共同して利用する者の範囲 「必ずしも事業者の名称等を個別に全て列挙する必要はない」とされている半面、個別に列挙すると後から変更することはできないから（法27条6項）、「当社の子会社及び関連会社」などと表記し、コーポレートサイトの子会社及び関連会社の一覧のページ等へのリンクを張る（Q&A「7-45」参照）のが一般的（宇賀逐条解説「単に「○○グループ」「当社と利用契約を締結した会社」と記載するのみでは、一般的に共同利用者の範囲が明確であるとはいえない」）。

④利用する者の利用目的

通則ガイドライン3-6-3「既に取得している事業者が法第17条第1項の規定により特定した利用目的の範囲で共同して利用しなければならない。」⑤当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名

通則ガイドライン3-6-3「共同して利用する全ての事業者の中で、第一次的に苦情の受付・処理、開示・訂正等を行う権限を有する者をいい、共同利用者のうち一事業者の内部の担当責任者をいうものではない」間違えがちなので注意。
下線部は令和2年改正法で追加。
Ushijima & Partners

March 11, 2022

14

2. プライバシーポリシーの記載事項
6. 匿名加工情報

同意①匿名加工情報に含まれる個人に関する情報の項目

匿名加工情報を作成した場合には公表は必須（43条3項）②安全管理措置③苦情の処理努力義務（43条6項）④第三者に提供される匿名加工情報に含まれる個人に関する情報の項目⑤提供の方法第三者提供する際には必須（43条4項、44条）

同意

7. 仮名加工情報①利用目的

個人情報である仮名加工情報を取り扱う際には、利用目的を特定し公表することが必須（41条3項、4項）②共同利用についての項目（前記「5」と同じ）

ガイドライン2-2-3-3「仮名加工情報である個人データの共同利用における利用する者の範囲や利用目的等は、作成の元となった個人情報の取得の時点において通知又は公表されていた利用目的の内容や取得の経緯等にかかわらず、設定可能」とされている点が、個人データとの大きな違い。

March 11, 2022

不要

Ushijima & Partners

不要152. プライバシーポリシーの記載事項
8. 外国での個人情報の取扱い（同意に基づく移転の場合（28条2項））①外国の名称（規則47条2項1号）

国名が特定できない場合、(1)その旨とその理由、(2)国名に代わる本人に参考となるべき情報がある場合には当該情報（同条2項）

同意必要②当該外国における個人情報 ガイドライン5-2「次の（ア）から（エ）までの観点を踏まえる必要がある。」の保護に関する制度（ア）当該外国における個人情報の保護に関する制度の有無（同項2号）（イ）当該外国の個人情報の保護に関する制度についての指標となり得る情報の存在（ウ）OECD プライバシーガイドライン8原則に対応する事
業者の義務又は本人の権利の不存在（エ）その他本人の権利利益に重大な影響を及ぼす可能性のある制度の存在③受領者が講ずる個人情報の 情報提供できない場合、その旨及びその理由（同条4項）
ガイドライン5-2「当該外国にある第三者において、OECDプ保護のための措置
ライバシーガイドライン8原則に対応する措置（本人の権利に（同項3号）基づく請求への対応に関する措置を含む。）を講じていない場合には、当該講じていない措置の内容について、本人が合理的に認識できる情報が提供されなければならない。
なお、提供先の外国にある第三者が、OECDプライバシーガイドライン8原則に対応する措置を全て講じている場合には、その旨を本人に情報提供すれば足りる。」

March 11, 2022

Ushijima & Partners

16

2. プライバシーポリシーの記載事項
9. Cookie等によるデータの取得と取扱い

同意①個人関連情報の取得と個人データとしての利用（31条1項）※個人情報としての利用目的も通知等する必要あり（21条1項）

通則GL3-7-3-1「本人が同意に係る判断を行うために必要と必要考えられる合理的かつ適切な範囲の内容を明確に示した上で、本人の同意の意思が明確に確認できることが必要である。」とされている。
他方で、「本人が予測できる範囲において、包括的に同意を取得することも可能である」ともされている。

②個人データに該当する
Cookie等の識別子の提供提供元において容易照合性がある場合には、個人データとなるため、第三者提供には同意が必要（外国にある第三者への提供であれば、情報提供の上で同意をえる必要がある）。
なお、通則ガイドラインQ&A「Q5-9」では、「提供先を個別に明示することまでが求められるわけではありません。もっとも、想定される提供先の範囲や属性を示すことは望ましいと考えられます。」とされており、提供先の個社名を列挙することまでは法的には求められていないが、近時は列挙する会社が多くなっている

必要③個人データに該当しない
Cookie等の識別子の提供

個人データではない識別子の情報の提供には、規制がない（ただし、提供先が個人データとして取得するのであれば、個人関連情報としての26条の2の規制がかかる）。

不要

March 11, 2022

Ushijima & Partners

17お問い合わせ先
牛島総合法律事務所

弁護士

03-5511-3233

影島広泰

hiroyasu.kageshima@ushijima-law.gr.jp
東京都千代田区永田町2-11-1
山王パークタワー14階

2003.102013.1
2015.52015.7弁護士登録（第56期）牛島総合法律事務所入所
牛島総合法律事務所パートナー
情報化推進国民会議 本委員（～2017.3）
情報化推進国民会議 マイナンバー検討特別委員会委員（～2015.12）【個人情報の取扱い・情報管理に関する案件】


パーソナルデータを利用したビジネス構築のための法的スキームの助言
内外企業がクロスボーダーにデータを移転する際の法的助言（GDPR・アジア各国法）【システム・ソフトウェア開発に関する案件】


金融機関、流通、サービス業の各システム開発の中止に伴う訴訟・紛争システム開発プロジェクト遂行中のコスト増、品質問題、プロジェクト中断に関する交渉のアドバイス

【著作等】



「法律家・法務担当者のためのIT技術用語辞典＜第2版＞」（商事法務）「座談会 システム開発取引はなぜ紛争が絶えないのか」（NBL 1115号～1117号）「個人情報保護法と企業実務」（清文社）ほか多数

【その他】



Thomson Reuters 2021年「ALB Asia Super 50 TMT Lawyers」に選出
日本経済新聞社「企業法務・弁護士調査」2019年データ関連「企業が選ぶランキング」第1位
裁判所ウェブサイトに掲載された裁判例を分析し概要をTwitterに投稿するbot「判例update」開発

March 11, 2022

Ushijima & Partners

18