2019 年 1 ⽉ 22 ⽇

2019 年 2 ⽉ 4 ⽇改訂
2022 年 4 ⽉ 28 ⽇改訂
2023 年 4 ⽉ 4 ⽇改定
⼀般財団法⼈ ⽇本情報経済社会推進協会（JIPDEC）
プライバシーマーク推進センター「EU 及び英国域内から⼗分性認定により移転を受けた個⼈データの取扱いに関する補完的ルール」への対応について

平成 30 年 9 ⽉、個⼈情報保護委員会より、⽇ EU1間での相互の個⼈データ移転を図るため、「個⼈情報の保護に関する法律に係る EU 域内から⼗分性認定により移転を受けた個⼈データの取扱いに関する補完的ルール」が公表されました。その後、令和 2 年 2 ⽉ 1 ⽇英国が EU を離脱しましたが、⽇ EU 間と同様に、⽇英間の円滑な個⼈データ移転が確保されることを、個⼈情報保護委員会が公表するとともに、同⽇より、「個⼈情報の保護に関する法律に係る EU 及び英国域内から⼗分性認定により移転を受けた個⼈データの取扱いに関する補完的ルール」（以下、「補完的ルール」という。）と名称が改められました。
この「⼗分性認定」とは、欧州委員会が、特定の国や地域が個⼈データについて⼗分な保護⽔準を確保していると決定することをいい、この度、⽇本も“⼗分性認定”を受けることになり、EU 域内の法制度に基づいた、企業間の契約条項等で適切な保護措置を確保することなどの他の条件を満たさなくても、⽇本国内法と「補完的ルール」を遵守すれば、EU 域内の事業者から個⼈データの移転を受けることが可能となります。
「補完的ルール」については、EU 及び英国域内から⽇本国内への個⼈データの移転に際して、個⼈情報保護制度の相違点を埋めるための法的拘束⼒を有するものであるため、EU 及び英国域内から⼗分性認定により移転を受けた個⼈データを取り扱う事業者は、補完的ルールの施⾏後、個⼈情報保護法に加え、「補完的ルール」の遵守が必要となります。
プライバシーマーク付与事業者、新規に付与を受けようとする事業者（以下、合わせて「プライバシーマークの付与を受けようとする事業者」という。）において、「補完的ルール」への対応が必要となる事業者におかれましては、本資料に⽰す事項をご参照の上、ご対応をお願いします。
なお、「補完的ルール」の対象となるかご判断が難しい場合等、本件に関してご不明な点がありましたら、申請先審査機関⼜は JIPDEC までご相談ください。

1．プライバシーマークの付与を受けようとする事業者において、補完的ルールへの対応が必要な事

業者【対応を必要とする事項】

1

ここでの「EU」とは、欧州連合加盟国及び欧州経済領域（EEA：European Economic Area）協定に基づきアイスランド、リヒテンシュタイン及びノルウェーを含む、欧州連合（European Union）を指す。

1 / 6

・日本国内において以下の個人情報を取り扱う事業者は、補完的ルールへの対応をしなければならない。
1）自社の子会社や支店を含む EU 及び英国域内の事業者から十分性認定に基づき移転された個人情報
2）他の個人情報取扱事業者から提供を受けた 1）に該当する個人情報
以下、上記 1）及び 2）を総称して「EU 及び英国域内から十分性認定に基づき提供を受けた個人情報」という。
・「EU 及び英国域内から十分性認定に基づき提供を受けた個人情報」の取扱いがない事業者は、補完的ルールへの対応をしなくてもよい。
⼗分性認定に関する補完的ルールへの対応が必要となる事業者は、「EU 及び英国域内から⼗分性認定に基づき提供を受けた個⼈情報」を⽇本国内において取り扱う事業者となります。したがって、EU 及び英国域内の事業者から個⼈情報の移転を受けず、また国内事業者から「EU 及び英国域内から⼗分性認定に基づき移転を受けた個⼈情報」の提供を受けない事業者は、本件のご対応は必要ありません。なお、1）に該当する「EU 及び英国域内から⼗分性認定基づき移転された個⼈情報」とは、EU 及び英国域内から⽇本へ越境された個⼈情報を指し、同⼀事業者内での移転や、個⼈情報の第三者提供、委託、事業承継等といった越境の形態に因らずに該当することにご留意ください。
また、国内事業者から「EU 及び英国域内から⼗分性認定に基づき提供を受けた個⼈情報」の委託を受けて取り扱う事業者につきましては、個⼈情報保護法及び「プライバシーマークにおける個⼈情報保護マネジメントシステム構築・運⽤指針」（以下、「構築・運⽤指針」という。
）に基づいて、委託元の指⽰に従い委託の⽬的の範囲内で取り扱う必要がございます。
なお、「EU 及び英国域内にいる個⼈の個⼈データ」を直接取得する事業者につきましては、個⼈情報保護法及び「構築・運⽤指針」で定められていない事項が多数存在する、GDPR（⼀般データ保護規則）、EU 及び英国域内各国の法律が適⽤されることになりますので、個⼈情報保護法の遵守を前提として、補完的ルールへの対応とは別に、GDPR 等欧州の法規制に詳しい弁護⼠事務所などへご相談いただきますようお願いいたします。

2．プライバシーマーク審査で確認を⾏う時期について
2019 年 1 ⽉ 23 ⽇付にて、「⽇ EU 間の相互の円滑な個⼈データ移転を図る枠組み」が発効され、これにより同⽇補完的ルールが施⾏されることとなりました。2よって、同⽇以降の審査では、順次、対応状況を確認しています。

3．構築・運⽤指針の J.3.1.1（個⼈情報の特定）、J.3.1.3（個⼈情報保護リスクアセスメント)、J.3.1.4（個⼈情報保護リスク対応）への対応【対応が必要な事項】

2

個⼈情報保護委員会「⽇ EU 間の相互の円滑な個⼈データ移転を図る枠組み発効」

https://www.ppc.go.jp/enforcement/cooperation/cooperation/310123/
2 / 6

・リスクアセスメント及びリスク対策を行うための手順に基づき「EU 及び英国域内から十分性認定に基づき提供を受けた個人情報」を特定し、リスクアセスメント及びリスク対策を行った記録を残すこと。
補完的ルールの対象となる事業者におかれましては、「EU 及び英国域内から⼗分性認定に基づき提供を受けた個⼈情報」について、個⼈情報の特定、リスクアセスメント及びリスク対策を⾏っていただく必要がございます。

4．補完的ルールで⽰される事項への対応
補完的ルールで⽰される 5 つの事項の要旨と対応例、「構築・運⽤指針」で対応する項番を以下の（１）〜（４）に記します。なお、補完的ルールで⽰される事項については、あわせて「補完的ルール」本⽂もご参照ください。また、対応例につきましては⼀例を⽰すものですので、実際の運⽤ルー
ル・運⽤⽅法を加味して対応を⾏ってください。
（１）要配慮個⼈情報【補完的ルールの要旨】
・ 「⼗分性認定に基づき提供を受けた個⼈情報」に「労働組合」、「性⽣活」、「性的指向」に関する情報が含まれている場合、要配慮個⼈情報と同様に取り扱う必要がある。
【対応が必要な事項】
・「EU 及び英国域内から十分性認定に基づき提供を受けた個人情報」に「労働組合」、「性生活」、「性的指向」に関する情報が含まれている場合、要配慮個人情報として取り扱うルー
ル・手順を定め、運用すること。
・あらかじめ書面による本人の同意を得ること。
【対応例】
・ 要配慮個⼈情報の取扱いに関する内部規程等で、対象とする情報に「⼗分性認定に基づき提供を受けた「労働組合」、「性⽣活」、「性的指向」に関する情報を含む個⼈情報」を追加し、これらの情報を要配慮個⼈情報として取り扱う。
・ 台帳、リスク管理表等で「⼗分性認定に基づき提供を受けた『労働組合』、『性⽣活』、『性的指向』に関する情報を含む個⼈情報」についても要配慮個⼈情報として取り扱う。
【構築・運⽤指針で関連する項番】
J.8.3（要配慮個⼈情報）（２）利⽤⽬的の特定、利⽤⽬的による制限【補完的ルールの要旨】
・ 「EU 及び英国域内から⼗分性認定に基づき提供を受けた個⼈情報」の提供を受ける場合、当該個⼈情報の提供を受ける際に特定された利⽤⽬的を含め、その取得の経緯を確認し、記録し、その範囲内で当該個⼈情報を利⽤する必要がある。
・ 「EU 及び英国域内から⼗分性認定に基づき提供を受けた個⼈情報」の提供を受けた他の国内事業者から、当該個⼈情報の提供を受ける場合においても、特定された利⽤⽬的を含め、その取得の経緯を確認し、記録し、その範囲内で当該個⼈情報を利⽤する必要がある。
3 / 6

【対応が必要な事項】
・「EU 及び英国域内から十分性認定に基づき提供を受けた個人情報」については、当該個人情報の提供を受ける際に特定された利用目的を含め、その取得の経緯を確認し、記録する
ルール・手順を定め、運用の記録を残すこと。
・「EU 及び英国域内から十分性認定に基づき提供を受けた個人情報」については、確認記録義務を通じて確認した利用目的の範囲内で当該個人情報を利用すること。
【対応例】
・ 「EU 及び英国域内から⼗分性認定に基づき提供を受けた個⼈情報」を台帳管理する際に、台帳に提供元や提供を受ける際に特定された利⽤⽬的等を記録し、その利⽤⽬的の範囲内でのみ利⽤する。
・ 「EU 及び英国域内から⼗分性認定に基づき提供を受けた個⼈情報」の取得の経緯を確認し、受領を記録する際に、提供元から特定された利⽤⽬的を含めるよう内部規程等を変更する。
【構築・運⽤指針で関連する項番】
J.8.1（利⽤⽬的の特定）、J.8.6（利⽤に関する措置）、J.8.8.3（第三者提供を受ける際の確認など）など（３）外国にある第三者への提供の制限【補完的ルールの要旨】
・ 「EU 及び英国域内から⼗分性認定に基づき提供を受けた個⼈情報」を外国にある第三者へ提供するに当たっては、個⼈情報保護法第 28 条に従い、次の①から③までのいずれかに該当する場合を除き、あらかじめ外国にある第三者への個⼈情報の提供を認める旨の本⼈の同意を得ることとする。
①当該第三者が、個⼈の権利利益の保護に関して、我が国と同等の⽔準にあると認められる個⼈情報保護制度を有している国として規則で定める国にある場合②個⼈情報取扱事業者と個⼈情報の提供を受ける第三者との間で、当該第三者による個⼈情報の取扱いについて、適切かつ合理的な⽅法（契約、その他の形式の拘束⼒のある取決め⼜は企業グループにおける拘束⼒のある取扱い）により、本ルールを含め法と同等⽔準の個⼈情報の保護に関する措置を連携して実施している場合③個⼈情報保護法第 27 条第 1 項各号に該当する場合【対応が必要な事項】
・「EU 及び英国域内から十分性認定に基づき提供を受けた個人情報」を外国にある第三者に提供する場合、J.8.8.1 に従い、「補完的ルール」に定められた①～③のいずれかに該当する場合を除き、あらかじめ外国にある第三者に提供する同意を得るルール・手順を定め、そのルールに基づき同意を得ること。
【対応例】・ 「EU 及び英国域内から⼗分性認定に基づき提供を受けた個⼈情報」を外国にある第三者に個⼈情報を提供する際に、個⼈情報保護法 28 条に従い、①〜③のいずれかに該当するかを確認する
⼿順を定め、①〜③に該当しない場合には、同意を得ること。
【構築・運⽤指針で関連する項番】
J.8.8.1（外国にある第三者への提供の制限）

4 / 6

（４）仮名加⼯情報【補完的ルールの要旨】
・ 「EU 及び英国域内から⼗分性認定に基づき提供を受けた個⼈情報」を加⼯して得られた仮名加⼯情報は、個⼈情報保護法第 41 条に基づき取り扱われることとする。
・ 当該仮名加⼯情報は統計⽬的のためにのみ取り扱われることとする。この場合、統計⽬的とは統計調査のため⼜はその他の統計結果を作成するためのあらゆる処理を意味し、それにより作成された統計結果は集計データであり、特定の個⼈に関する措置⼜は決定を裏付けるために利⽤してはならない。
【対応が必要な事項】
・「EU 及び英国域内から十分性認定に基づき提供を受けた個人情報」を加工して得られた仮名加工情報を、J.8.10 に基づき取り扱うとともに、当該仮名加工情報を統計目的のためにのみ取り扱うルール・手順を定め、運用すること。
【対応例】
・ 仮名加⼯情報の利⽤に関する内部規程等に、「EU 及び英国域内から⼗分性認定に基づき提供を受けた個⼈情報」を加⼯して得られた仮名加⼯情報について「統計⽬的以外の⽬的に利⽤できない」ことを定め、内部規程等に基づき取扱いを実施する。
【構築・運⽤指針で関連する項番】
J.8.10（仮名加⼯情報）（５）匿名加⼯情報【補完的ルールの要旨】
・ 「EU 及び英国域内から⼗分性認定に基づき提供を受けた個⼈情報」については、加⼯⽅法等情報を削除すること、及び匿名化された個⼈を再識別することを何⼈にとっても不可能とした場合に限り、匿名加⼯情報とみなすことができる。
【対応が必要な事項】
・「EU 及び英国域内から十分性認定に基づき提供を受けた個人情報」については、加工方法等情報を削除することにより、匿名化された個人を再識別することを何人にとっても不可能とした場合に限り、匿名加工情報とみなすルール・手順を定め、運用すること。
【対応例】
・ 「EU 及び英国域内から⼗分性認定に基づき提供を受けた個⼈情報」の匿名加⼯を⾏う場合については、匿名加⼯の⽅法・基準3を定める内部規程等に「加⼯⽅法等情報を削除すること」及び「匿名化された個⼈を再識別することを何⼈にとっても不可能」とすることを定め、内部規程等に基づく取扱いを実施する。
【構築・運⽤指針で関連する項番】
J.8.9（匿名加⼯情報）

3「補完的ルール」では“匿名化された個⼈を再識別することを何⼈にとっても不可能とした場合に限り”としており、「個⼈情報の保護に関する法律についてのガイドライン（仮名加⼯情報・匿名加⼯情報編）」で定義された“通常の⽅法により特定できないような状態にすることを求めるもの”とは異なった匿名加⼯の⽅法・基準が求められることになります。
5 / 6これらの事項について、構築・運⽤指針で対応する項番を以下にまとめます。
補完的ルールの規定

関連する項番（関連事項）（１）要配慮個⼈情報J.8.3（要配慮個⼈情報）（２）利⽤⽬的の特定、利⽤⽬的による

J.8.1（利⽤⽬的の特定）制限

J.8.6（利⽤に関する措置）
J.8.8.3（第三者提供を受ける際の確認など）（３）外国にある第三者への提供の制限

J.8.8.1（外国にある第三者への提供の制限）（４）仮名加⼯情報

J.8.10（仮名加⼯情報）（５）匿名加⼯情報

J.8.9（匿名加⼯情報）《参考情報》（個⼈情報保護委員会のサイト）
・「個⼈情報の保護に関する法律に係る EU 及び英国域内から⼗分性認定により移転を受けた個⼈データの取扱いに関する補完的ルール」： https://www.ppc.go.jp/files/pdf/Supplementary_Rules_jp.pdf
・「⽇ EU 間・⽇英間のデータ越境移転について」：https://www.ppc.go.jp/enforcement/cooperation/cooperation/sougoninshou/以上

6 / 6