「個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）（案）」に係る意見及び個人情報保護委員会の考え方
平成 28 年 12 月 15 日 日本貸金業協会
No.

1

ガイドライン

対象項目

当協会の意見

個人情報保護委員会の考え方

通則編以外の編については、当該「部分に特化して分御理解のとおりです。

かりやすく一体的に示す観点から、通則編とは別に」（パブリックコメント 1121）

定めているとのことだが、当該編に明示的な定めのな全体

い点については通則編に基づくという理解でよいか。
【意見の理由】
各編の関係の明確化のため【個人情報に該当する事例】に、「事例１）本人の氏名」 同姓同名の可能性もありますが、氏名のみであっても、とあるが、例えば同姓同名の人物がいることを考える 社会通念上、特定の個人を識別することができるものと、氏名単体の情報では法 2 条 1 項 1 号の「特定の個 と考えられますので、個人情報に該当すると考えられ人を識別することができる」とは限らないケースがあ ます。
る。
2

通則編

2-1

個人情報

（パブリックコメント 24）

これは、事例２）のように氏名に一定の情報が付加された場合も同様である。これらのことから、事例１・２
ともに「特定の個人を識別できる場合は」個人情報に該当するという理解でよいか。
【意見の理由】
ガイドラインの意味の明確化のため。

法第 2 条第 2 項第 2 号の「個人識別符号」に該当しな 改正施行令第1条及び施行規則第3条から第4条までにい例として、クレジットカード会社が社内管理のため 列挙されていない番号・符号が、個人識別符号に該当
3

通則編

2-2
号

個人識別符

に自社のカード会員に割り当てたクレジットカード番 しないことは条文上明らかであることから、一般的に号以外の符号で、カード会社以外の第三者が当該特定 現状の案で御理解頂けるものと考えます。
の個人を識別することができないものがある旨を記載 （パブリックコメント 177）していただきたい。
【意見の理由】

1 / 23

「個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）（案）」に係る意見及び個人情報保護委員会の考え方
平成 28 年 12 月 15 日 日本貸金業協会
No.

ガイドライン

対象項目

当協会の意見

個人情報保護委員会の考え方

顧客に通知して知らせることなく、カード会社が自社内で管理するために割り当てている符号のように、社外に流出しても第三者が特定の個人を識別できないものは、「個人識別符号」ではないことを明確にするため。

「（3）社会的身分」について、同和差別を助長するもの 一般的には、本籍地のみでは要配慮個人情報に該当しだけに留めるものとし、本籍地の記載をもって、全て ないと考えられます。
が要配慮個人情報に該当するものではない旨を記載し （パブリックコメント 235）
4

通則編

2-3

要配慮個人

情報

ていただきたい。
【意見の理由】
住所と本籍地の記載が同一である場合、配慮すべき情報は存在しないと考えられる。本籍地の記載をもって、直ちに法令違反に該当するものではないということを明確にするため。

本人等の申告による情報（がんを患っている、等）で事 病歴とは、病気に罹患した経歴を意味するもので、特
5

通則編

2-3

要配慮個人

情報

実確認に至っていない場合は、すべて「推知させる情 定の病歴を示した部分が該当します。病気に罹患した
報にすぎないもの」、という理解でよいか。

経歴を判断するにあたっては、医師による診断結果に【意見の理由】

よります。

判断の明確化のため。

（パブリックコメント 236）

2-3 要配慮個人情報(9）において、「病院等を受診した 医療機関受診者とクレジットカード利用者が必ずしもという事実も該当する」とある。その場合、病院がクレ 常に一致するとは考えられず、推知情報に該当し、た
6

通則編

2-3
情報

要配慮個人

ジットカード加盟店の場合、利用日、病院名がクレジ だちに要配慮個人情報に該当するものではありませットカードの売上明細の記録事項になるが、これも要 ん。
配慮個人情報に該当するかご教示願いたい。
【意見の理由】

2 / 23（パブリックコメント 237）

「個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）（案）」に係る意見及び個人情報保護委員会の考え方
平成 28 年 12 月 15 日 日本貸金業協会
No.

ガイドライン

対象項目

当協会の意見

個人情報保護委員会の考え方

クレジットカード会社は症状・治療内容までは知りえないので、クレジットカード会社においては要配慮個
人情報に該当しないものと考えられるため。

【公表に該当する事例】の「事例 1」」について、「トッ 御指摘の事例は、「公表」（広く一般に自己の意思を知
プページから 1 回程度の操作で到達できる場所への掲 らせること（不特定多数の人々が知ることができるよ載」とあるところに、「見出し形式等により容易に選択 うに発表すること））の手法の具体例の1つとして記載

7

通則編

2-11

「公表」

して到達できる場所」を追記していただきたい。

しています。必ず1回の操作で到達できなければ公表に【意見の理由】

該当しないという趣旨ではありませんが、分かりやす

事業者が複数の事業を行っている場合などでは、例えい場所への掲載等による公表が求められるものと考えば各事業の最初のページから容易に到達できれば問題られます。

ないと考えられ、必ずしも、トップページの次に「個人（パブリックコメント 331）

情報の取扱い」ページを設置し、そこから各事業別の「個人情報の取扱い」に移動するなどの必要はないと考えます。
「１回程度」という記載のみでは、字句通りの解釈に限定され、ガイドライン違反となる余地が残るため。

「未成年者（略）は、親権者や法定代理人等から同意を 未成年者から同意を取得する際に、親権者の同意を必得る必要がある。」との記載があるが、ガイドライン上 ず取得する必要があるわけではなく、未成年者であっは未成年者本人からの同意は不要との位置付けという ても、個人情報の取扱いに関して同意したことによっ
8

通則編

2-12
同意」

「本人の

理解でよいか。
（もし、未成年者本人と親権者の双方か て生ずる結果について判断できる能力を有しているな
ら同意を取ることを求めているのであれば、「親権者や どの場合は、未成年者本人の同意で足りる場合もあり
法定代理人からも同意を得る必要がある」とするべきであ ます。
る。）

未成年者の個人情報の取扱いに当たってどの者から同【意見の理由】

意を取得すべきであるかは、未成年者本人が個人情報
3 / 23

「個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）（案）」に係る意見及び個人情報保護委員会の考え方
平成 28 年 12 月 15 日 日本貸金業協会
No.

ガイドライン

対象項目

当協会の意見

個人情報保護委員会の考え方

ガイドラインの意味の明確化のため。

の取扱いに関して同意したことによって生ずる結果について判断できる能力を有しているか否かについて、取り扱われる個人情報の性質、利用目的、未成年者の年齢等を総合的に勘案して、個別具体的に判断すべきものと考えます。
したがって、常に未成年者本人からの同意が不要ということでも、常に未成年者本人と親権者の双方から同意が必要ということでもありません。
（パブリックコメント 345）

法 16 条における「本人の同意」において、「当該本人 個別の事例ごとに判断することとなりますが、一般的であることが確認できていることが前提となる」とあ に、ご指摘の手法は本人の同意を得る手法の1つに該当るが、例えば、ホームページから注文を受ける形式で し得ると考えます。
取引をするにあたり、個人情報保護法に係る第三者提 （パブリックコメント 346）
供の同意を取得する場合、次の各方法は認められるか
ご教示願いたい。
9

通則編

2-12
意

本人の同

（１）事前に次の手続きを行う方法① 本人情報の登録と ID・パスワードの発行② ①の ID・パスワードでログイン③ ②のログイン後、第三者提供の同意をホームペー
ジ上で取得（２）次の体制を整備する方法
ホームページの構造上、個人情報を取得する直前に必ず本人による同意をする旨のホームページ上のボタンのクリックが必須となっていること（ボタンクリック
4 / 23

「個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）（案）」に係る意見及び個人情報保護委員会の考え方
平成 28 年 12 月 15 日 日本貸金業協会
No.

ガイドライン

対象項目

当協会の意見

個人情報保護委員会の考え方による同意を経なければ取得できない）。
【意見の理由】
意味の明確化のため「（利用する権限が与えられていれば）」とあるが、次 クラウドサービスの内容は契約により異なり得るための措置を講じた場合、いわゆるクラウドサービスを利 一律に規定することができないところ、御意見を踏ま用して個人データをクラウド環境へアップロードする え、Q&A等において考え方を示すことを検討してまいり行為は、「提供」に該当しないと理解してよいか。

ます。

＜措置の内容＞（パブリックコメント 355）

（１）同サービス利用に係る契約条項に係る措置① クラウド環境上に保存された個人データの利用を
10

通則編

2-13

「提供」

明示的に禁止する旨の規定を盛り込むこと② クラウド環境上に保存された個人データの利用を容認する規定が盛り込まれていないことを確認す
ること（２）個人データについて、利用者が可能な方法で、適切にアクセス制御すること【意見の理由】「（利用する権限が与えられていれば）」に該当しないための条件の明確化のため。

利用目的の変更において、「相当の」の表記が削除され 利用目的を変更する場合に、変更前の利用目的と関連
11

通則編

3-1-2
の変更

利用目的

たことから、現在とどのように違うのかを具体例を提 性を有すると合理的に認められる具体例等について示していただきたい。

は、実態に即してQ&A等において示すことを検討してま【意見の理由】

いります。

実際の運用をするにあたって事前に確認しておきたい（パブリックコメント 380）

5 / 23

「個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）（案）」に係る意見及び個人情報保護委員会の考え方
平成 28 年 12 月 15 日 日本貸金業協会
No.

ガイドライン

対象項目

当協会の意見

個人情報保護委員会の考え方ため。

改正個人情報保護法全面施行日より前に取得済の要配 改正後の法施行前に適法に取得した個人情報が改正法
慮個人情報について、全面施行日以降に改めて同意を 施行後に要配慮個人情報に該当したとしても、改めて
12

通則編

3-2-2

要配慮個

人情報の取得

取得する必要はない、という理解でよいか。

取得のための本人同意を得る必要はありません。

【意見の理由】（パブリックコメント436）

法施行前の取得済み情報について、取扱いを明確にしたいため。

「（1）法令に基づく場合」について、犯罪収益移転防止 身体障害者手帳等を所持している事実は要配慮個人情法に基づく本人特定を行うに際して、本人から本人確 報に該当することから、本人確認資料として同手帳の認書類の提出を受ける場合、本人の同意を取得する必 写しを取り扱う場合は、要配慮個人情報の取得と考え

13

通則編

3-2-2

要配慮個

人情報の取得要はないことを追記していただきたい。

られます。なお、本人確認資料として本人から提出が【意見の理由】

あった場合は、本人の同意があったものと考えらます。

身体障害者から、障害者手帳の写しを本人確認書類と（パブリックコメント 437）

して提出されることは日常的にあるので、一読して該当しないことが明らかな記載であれば、問合せ時の対応において、容易にご理解いただくことができ、無用のクレームを発生させずに済ませられるため。

要配慮個人情報が「公開されている場合」とあるが、ど 公開とは、自らがその意思にかからしめて一定のもののような状態であれば「公開」に該当するのか、例示い を他人の知ることができる状態に置くことを指すもの
14

通則編

3-2-2

要配慮個

人情報の取得ただきたい。例えば、本人のアカウントとされる SNS お です。また、提供については、本ガイドライン（通則編）
よびホームページに掲載している場合は「公開」して ２－１３を参照下さい。
いると理解してよいか。

（パブリックコメント 438）

また、「公開」と「提供」との違いについても、併せてご教示いただきたい。
6 / 23

「個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）（案）」に係る意見及び個人情報保護委員会の考え方
平成 28 年 12 月 15 日 日本貸金業協会
No.

ガイドライン

対象項目

当協会の意見

個人情報保護委員会の考え方【意見の理由】
意味の明確化のため。

3-2-2

要配慮個人情報の取得において、「本人を目視 要配慮個人情報の取得時の本人同意の例外についてし、又は撮影することにより、その外形上明らかな要 は、限定的に適用されるべきであり、御質問のケース
配慮個人情報を取得する場合」が例外とされているが、 が、政令第７条第１号に該当するか否かは個別具体的
電話等による音声で、明らかな障害の有無を識別し記 に判断する必要があります。
15

通則編

3-2-2

要配慮個

人情報の取得録することも同意取得の例外としていただきたい。

（パブリックコメント 439）

【意見の理由】
顧客からの電話において、本人のしゃべり方から、聴覚障害、また知的障害を識別することも可能な場合があり、そのようなお客様から次回電話があった際に適切な対応ができるよう障害の内容を記録しておく必要性があるため。

身体障害者福祉法別表では視覚障害・聴覚又は平衡機 要配慮個人情報の取得時の本人同意の例外について能の障害・音声機能、言語機能又はそしゃく機能の著 は、限定的に適用されるべきであり、御質問のケース
しい障害を示している。

が、政令第７条第１号に該当するか否かは個別具体的

本人との対面等においてこれらの障害が明らかになる に判断する必要があります。
16

通則編

3-2-2 要配慮個ことがあるが、「外形上の特徴」に含まれると解釈し、 （パブリックコメント 440）

人情報の取得

あらかじめ本人の同意を得ることなく当該要配慮個人情報を取得できる、という理解でよいか。
【意見の理由】「外形上の特徴」に視認以外の情報を含むことを確認したいため。

17

通則編

3-2-2

要配慮個

次の措置を講じた場合、いわゆるクラウドサービスを クラウドサービスの内容は契約により異なり得るため
7 / 23

「個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）（案）」に係る意見及び個人情報保護委員会の考え方
平成 28 年 12 月 15 日 日本貸金業協会
No.

ガイドライン

対象項目

当協会の意見

人情報の取得利用して個人データをクラウド環境へアップロードす 一律に規定することができないところ、御意見を踏ま（法第 17 条第 2

る行為は、「個人データの取り扱いの全部または一部の え、Q&A等において考え方を示すことを検討してまいり

項関係）委託」に該当しないと理してよいか。

ます。

＜措置の内容＞（パブリックコメント 541）

3-4-3

第三者に

個人情報保護委員会の考え方（１）同サービス利用に係る契約条項に係る措置

該当しない場合① クラウド環境上に保存された個人データの利用をい（法第 23 条第明示的に禁止する旨の規定を盛り込むこと

5 項・第 6 項関

② クラウド環境上に保存された個人データの利用を係）容認する規定が盛り込まれていないことを確認す
ること（２）個人データについて、利用者が可能な方法で、適切にアクセス制御すること【意見の理由】
政省令のパブリックコメント結果 553、591、1003 の内容を踏まえたえうえで、法第 23 条第 5 項に基づく「委託」該当条件の明確化のため。

本人の口頭から要配慮個人情報を取得した場合は本人 第三者提供においても取得の際の同意同様に、口頭にの同意があったものと解されるとあるが、この情報を よる意思表示があれば、本人同意を得ていると考えら
18

通則編

3-2-2

要配慮個

人情報の取得第三者提供する旨も同意があったものに含むと考えら れます。
れるかご教示願いたい。

（パブリックコメント 441）

【意見の理由】
実際の運用をするにあたって事前に確認しておきたい
ため。

19

通則編

3-2-2

要配慮個

（※2）の第二段落に「提供元が法第 17 条第 2 項及び 提供元が個人情報取扱事業者のみに限定しているもの
8 / 23

「個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）（案）」に係る意見及び個人情報保護委員会の考え方
平成 28 年 12 月 15 日 日本貸金業協会
No.

ガイドライン

対象項目

当協会の意見

個人情報保護委員会の考え方

人情報の取得法第 23 条第 1 項に基づいて」とあるが、（※2）に基づ ではありません。

（法第 17 条第 2

き改めて本人の同意を得ることなく要配慮個人情報を （パブリックコメント 442）

項関係）（※2）

第三者提供の方法で取得できるケースは、提供元が個
人情報取扱事業者の場合に限定されていると理解してよいか。
それとも、提供元が個人情報取扱事業者の場合は「法第 17 条第 2 項及び法第 23 条第 1 項に」基づき、提供
元が私人（個人情報取扱事業者を除く）の場合は「法第17 条第 2 項」に基づき及び「法第 23 条第 1 項」に準じて（または「法第 23 条第 1 項」ではなく、単に提供元を介して）、各々必要な同意を取得しているので、改めて本人の同意を得ることなく要配慮個人情報を取得できると理解してよいか。
【意見の理由】
法第 23 条第 1 項は「個人情報取扱事業者」が提供元となるケースのみを規定していることから、次の点について解釈を明確化するため。
①

提供元が私人か個人情報取扱事業者かで取扱を異にするのか② ①で同様の場合の記載内容の読み方
3-3-1
20

通則編

データ内

容の正確性の確保等

個人データの消去努力義務に、現行法 27 条 2 項のただ 本ガイドライン（通則編）案3-3-1（※）において、「消し書きと同様の表現を追記していただきたい。

去」には「削除することのほか、当該データから特定の＜例＞

個人を識別できないようにすること等を含む」と記載「ただし、消去に多額の費用を要する場合、その他消 しております。
9 / 23

「個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）（案）」に係る意見及び個人情報保護委員会の考え方
平成 28 年 12 月 15 日 日本貸金業協会
No.

ガイドライン

対象項目

当協会の意見

個人情報保護委員会の考え方

去することが困難な場合であって、本人の権利利益を （パブリックコメント 482）
保護するため必要なこれに代わるべき措置をとるときは、この限りでない」【意見の理由】
必ずしもすべての情報を網羅的に消去することができるとは限らないため、代替策も認めるべきと考えられるため。

信書等を顧客に送付するために、郵便又は宅配業者の 個別の事案における判断は回答しかねますが、委託先サービスを利用することは、個人データの取扱いの委 の監督については、Q&A等において追加的に具体例等を託には該当しないこと、並びに誤配達された場合は、 示すことを検討してまいります。
委託先の監督責任は課されないこととしていただきた （パブリックコメント 504）
い。
21

通則編

3-3-4

委託先の

監督

【意見の理由】
現状では、郵便で転送届が提出されているときは、転送されず元同居人、大家又は管理人に配達されたものも全て誤配の扱いとされており、監督行政等に対して、誤配の発生事案を個人情報の漏えい報告する必要があ
るが、誤配により二次被害が発生する可能性が極めて低いため。

文末が「～望ましい」となっているが、委託契約の締結 個人データの取扱いの全部又は一部を委託する場合
22

通則編

3-3-4

委託先の

自体が望ましいのか、委託契約の締結は必須であり、 は、委託先に対して必要かつ適切な監督を行わなけれ

監督(2)委託契その上で委託元が個人データの取扱い状況を把握でき ばならず、この一環として、「適切な委託先の選定」
「委

約の締結

るようにすることが望ましいのか、どちらの意味かご 託契約の締結」「委託先における個人データ取扱状況
教示願いたい。

の把握」を実施することが必要です。
10 / 23

「個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）（案）」に係る意見及び個人情報保護委員会の考え方
平成 28 年 12 月 15 日 日本貸金業協会
No.

ガイドライン

対象項目

当協会の意見

個人情報保護委員会の考え方【意見の理由】

なお、当該措置を実施するための具体的な手法についガイドラインの意味の確認のため。

ては、委託する事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に起因するリスクに応じて、個別の事例ごとに判断することとなります。
（パブリックコメント 505）

【共同利用に該当する事例】の、事例１）のカッコ書き 一般的に現状の案で御理解頂けるものと考えます。
で「変更された利用目的を含む（以下同じ）」と記載さ （パブリックコメント 553）
れているが、括弧書きは事例ではなく、P52 の(3)の本
3-4-3
23

通則編

第三者に

文第２段落（「また、既に特定の事業者が～」）に記載し該当しない場合ていただきたい。

(3)共同利用【意見の理由】
事例１～３に限らず、すべての共同利用において法 15
条 2 項の範囲で利用目的の変更が可能であることを明確化するため。

「漏えい等とは」の定義に、紛失（紛失したことが確定 御意見は、今後の執務の参考とさせていただきます。
せずとも行方不明の場合を含む）、盗難も含まれると理 なお、漏えい等の事案が発生した場合に、個人情報取解してよいか。
424

通則編

漏えい等の事扱事業者が実施することが望まれる対応については、その理解であれば、ガイドライン案の「漏えい、滅失又 本ガイドラインとは別途示すことを検討しており、そ案が発生した場は毀損」に追記していただきたい。

の内容等については、追って公表いたします。

合等の対応【意見の理由】（パブリックコメント 578）

漏えい等が発生した場合の対応は別途定めることとされているが、左記事態が対象であるかどうかにより実務上の影響が大きく異なるため、確認および要望する

11 / 23

「個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）（案）」に係る意見及び個人情報保護委員会の考え方
平成 28 年 12 月 15 日 日本貸金業協会
No.

ガイドライン

対象項目

当協会の意見

個人情報保護委員会の考え方ため。

事業者内の部署により取り扱う個人情報に差異があり 御指摘の手法も、物理的安全管理措置を講ずるためのますが、入居しているビルの構造などの観点から壁・ 手法の1つとして考えられます。
間仕切りの設置や座席配置の工夫が困難なケースがあ （パブリックコメント 662）
る。また、覗き込み防止措置は、他の業務に従事してい
8-5
25

通則編

物理的安全

管理措置

(1)個

人データを取り扱う区域の管理る社員からの覗き込みには効果があるが、当該作業をしている社員の不正発見の機会を減らすことにもなる。
そのため、社内の複数の取扱区域をまとめて１つの取扱区域と位置付け、例えばフロア全体に社外の人間が立ち入りできないような措置を講じることで管理手法とできると理解しているが妥当かご教示願いたい。
【意見の理由】
許容される事例の確認のため。

我が国と同等の水準にあると認められる個人情報保護 様々な国において制度の見直しが行われていることも制度を有している国については、「現時点で規則で定め あり、また、詳細かつ多角的な調査・検討が必要であるている国はない。」との記載がされているが、今後、具 ことから、今後、継続的に検討してまいります。
体的な国名が記載されるのか、条件等が示されるのか、 （パブリックコメント 706）

外国にある第26

三者への提供編

2

総論

いつ、どのような方法において示されるのか方向性をご教示願いたい。
【意見の理由】
当社が業務を委託している企業が存在する国が、個人情報保護制度において、我が国と同等の水準にあると認められるか否かで、当社が対応すべき事項が変わる

12 / 23

「個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）（案）」に係る意見及び個人情報保護委員会の考え方
平成 28 年 12 月 15 日 日本貸金業協会
No.

ガイドライン

対象項目

当協会の意見

個人情報保護委員会の考え方ため。

第 2 項、第 3 項の「【本人の同意】」欄にある“－”は 御意見を踏まえ、４頁の図を修正します。
「該当なし（概念上存在しない）」といった意味であり、 （パブリックコメント 707）
第 1 項各号の各欄の“－”は「例外として提供可能」の意味であると理解しているが妥当かご教示願いた

外国にある第27

三者への提供

2

総論

（図）

編

い。
そうであれば、それぞれ「なし」「同意なく可」などの表記に修正していただきたい。
【意見の理由】
同じ記号が別の意味を持っていると思われるため確認と要望のため。

施行令・施行規則に関するパブコメ（No.555 など）に 外国にある第三者への提供を認める旨の本人の同意をおいて、外国への個人データ提供の際の同意要領につ 取得する際には、事業の性質及び個人データの取扱状
いて「ガイドライン等で明確化する」との回答がある 況に応じ、当該本人が当該同意に係る判断を行うため
2-1
28

外国にある

外国にある第第三者への個人

三者への提供データの提供を編認める旨の本人の同意が、「本人が同意に係る判断を行うために必要と考えら に必要と考えられる適切かつ合理的な方法によらなけれる合理的かつ適切な方法によらなければならない」 ればなりません。この方法には、提供先の国名を個別と記載されている箇所がその内容であると理解してよ に示す方法、実質的に本人から見て提供先の国名を特いか。

定できる方法とともに、国名を特定する代わりに外国

その場合、国名・事業者名の明示の要否は事業内容等 にある第三者に提供する場面を具体的に特定する方法を踏まえて事業者にて判断するとの理解でよいか。

などが含まれ得ます。

【意見の理由】（パブリックコメント 719）

企業名の追加・変更が頻繁に発生するため、「海外の企業」のような表記も可能にしていただきたいため。
29

外国にある第2-1

外国にある法 24 条において求められる本人の同意を取得する場 外国にある第三者への提供を認める旨の本人の同意を
13 / 23

「個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）（案）」に係る意見及び個人情報保護委員会の考え方
平成 28 年 12 月 15 日 日本貸金業協会
No.

ガイドライン

対象項目

当協会の意見

個人情報保護委員会の考え方

三者への提供第三者への個人合、「外国にある第三者に個人データを提供することを 取得する際には、事業の性質及び個人データの取扱状編

データの提供を明確にしなければならない」とあるが、明示する事項 況に応じ、当該本人が当該同意に係る判断を行うため認める旨の本人

は単に「外国にある第三者へ提供する旨」であればよ に必要と考えられる適切かつ合理的な方法によらなけの同意

いか、それとも特定国、特定の第三者（法人名等）を明 ればなりません。この方法には、提供先の国名を個別示して同意を得る必要があるかご教示願いたい。

に示す方法、実質的に本人から見て提供先の国名を特【意見の理由】

定できる方法とともに、国名を特定する代わりに外国意味の明確化のため。

にある第三者に提供する場面を具体的に特定する方法などが含まれ得ます。
（パブリックコメント 720）

第三者提供先が個人情報データベース等を事業の用に クラウドサービスの内容は契約により異なり得るとこ
供している場合、同提供先は、「個人情報取扱事業者」 ろ、一律に規定することはできないものと考えられま（法第 2 条第 5 項）であるため、「外国にある第三者」 すが、一般論として、契約条項により「外国にある第三に該当しないと理解している。

者」が個人データを取り扱わない旨が定められており、

ところで、いわゆるクラウドサービスを利用して、ク 適切にアクセス制御を行っている場合等においては、
ラウド環境上に個人情報データベース等を保存した場 当該「外国にある第三者」は当該個人データの提供を外国にある第30

三者への提供
編

2-2

外国にある

第三者

合、同サービスを反復・継続して運営する当該サービ 受けて取り扱っているとはいえない場合も想定されまス運営事業者は個人情報データベース等を事業の用に す。
供していると認められることから、「個人情報取扱事業 御意見を踏まえ、Q&A等において考え方を示すことを検者」（法第 2 条第 5 項）に該当し、当該記載に基づく「外 討してまいります。
国にある第三者」に該当しないと理解してよいか。

また、個人情報取扱事業者の該当性は、事業の実態をなお、当該サービス運営事業者が内国法人か外国法人 勘案して、日本国内で個人情報データベース等を事業であるかを問わず、また、同サービスに関し利用され の用に供していると認められるか否かを個別の事例ごるサーバー等施設の設置場所が国内か海外かを問わな とに判断することとなります。
い。

（パブリックコメント 738）
14 / 23

「個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）（案）」に係る意見及び個人情報保護委員会の考え方
平成 28 年 12 月 15 日 日本貸金業協会
No.

ガイドライン

対象項目

当協会の意見

個人情報保護委員会の考え方【意見の理由】
意味の明確化のため。

「個人情報の取扱いに係る国際的な枠組みに基づく認 当面は国際的な枠組みとしてAPEC CBPRを対象として定」に、APEC の越境プライバシールール（CBPR）シス おります。なお、ＣＢＰＲについては、国会の議論を踏テムが選択された理由をご教示願いたい。
3-331

まえつつ、ＣＢＰＲの制度内容を吟味した結果、ＣＢ

個人データ

また、CBPR システム以外の認証（ISO27001 やプライバ ＰＲの認証を得ている事業者は、「個人データの取扱の提供を受ける

シーマークの相互認証資格等）を対象にする予定はあ いについてこの節（改正後の法第4章第1節）の規定に外国にある第者が、個人情報

るか。予定があるならいつ頃に表示する予定か教えて より個人情報取扱事業者が講ずべきこととされている三者への提供の取扱いに係るいただきたい。

措置に相当する措置を継続的に講ずるために必要な…

編

国際的な枠組み【意見の理由】

基準に適合する体制を整備している」ものと考えられに基づく認定を当社が業務を委託している企業が、個人情報保護制度ることから、「個人情報の取扱いに係る国際的な枠組受けていることにおいて、規則で定めるべき基準に適合する体制を整みに基づく認定」に該当するものとしたところです。

備しているか否かで、当社が対応すべき事項が変わる（パブリックコメント 805）

他、CBPR はまだ普及していないため、あらたに CBPR を取得するのは事業者に著しい負荷を招くため。

「（1）法令に基づく場合（法第 23 条第 1 項第 1 号関 一般的に、債権譲渡について規定する民法の条文をも

32

2-1

係）」は、適用されないとあるが、当社から他社へ債権 って、個人データを第三者提供する行為が「法令に基第三者提供時

明文により確譲渡する際は、民法等の関連法令に基づき行っている づく場合」とは解されないものと考えられます。

の確認・記録認・記録義務がので、第三者提供時の確認記録義務は適用されないと （パブリックコメント 829）

義務編

摘要されない第理解してよいか。

三者提供【意見の理由】
債権譲渡は法令に基づき実施しているため。

33

第三者提供時2-1「（１）法令に基づく場合」は適用されないとあるが、 一般的に、苦情の適切かつ迅速な処理のために必要なの確認記録義明文により確

クレジットカード利用者より苦情の申出を受けた場合 措置を講じなければならないことを規定する条文をも
15 / 23

「個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）（案）」に係る意見及び個人情報保護委員会の考え方
平成 28 年 12 月 15 日 日本貸金業協会
No.

ガイドライン

対象項目

当協会の意見

個人情報保護委員会の考え方

務編

認・記録事務がの調査のために第三者と個人データ提供（又は受領） って、個人データを第三者提供する行為が「法令に基摘要されない第することは、割賦販売法第 30 条の 5 の 2 に基づき行っ づく場合」とは解されないものと考えられます。

三者提供ているため、第三者提供時の確認記録事務は適用され （パブリックコメント 830）
ないと理解してよいか。
【意見の理由】
判断の明確化のため。

公開情報を収集してデータベース化している事業者か 御指摘のデータベースの内容が、「不特定多数の者が34

ら当該情報の提供を受ける場合は、元の情報が公開情 取得できる公開情報」である場合には、当該データベ

第三者提供時2-2-1-3の確認・記録「提供」行為の義務編

考え方報であることから確認・記録義務は適用されないと理 ースの提供を受ける行為については、確認・記録義務
解してよいか。

は適用されないものと考えられます。

【意見の理由】（パブリックコメント 883）

実務における記録義務の対応範囲を明確にするため。

第三者の代表者の氏名の確認に関して。代表者は変更 法人番号をもって、代表者の氏名を確認しているもの
3-1-1
35

第三者の

第三者提供時

氏名及び住所並の確認・記録びに法人にあっ

義務編ては、その代表者の氏名されることが想定されるところ、反復・継続的な授受 とすることはできないものと解されます。
の取引においては、事例２）にあるように法人番号を （パブリックコメント 910）
取得しておき、いつでも代表者を確認できる状態にしておくことでガイドラインを充足していると理解してよいか。
【意見の理由】
許容される事例の確認のため。

36

第三者提供時4-1-2-2

一括しの確認・記録て記録を作成す

義務編

る方法

一定の期間内に特定の事業者との間で継続的に又は反 「一括して記録を作成する方法」は、例外としての記復して個人データを授受する場合、一括して記録を作 録作成方法であることに鑑みて、その対象期間、対象
成できるとある。特定の事業者との間の契約において、 範囲等を明確にすることが望ましいと考えられます。
データ授受の終期の定めがない場合でも、継続的に又 （パブリックコメント952）
16 / 23

「個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）（案）」に係る意見及び個人情報保護委員会の考え方
平成 28 年 12 月 15 日 日本貸金業協会
No.

ガイドライン

対象項目

当協会の意見

個人情報保護委員会の考え方は反復して個人データを授受するのであれば、一括して記録作成が出来るという理解でよいか。
17 ページ中段に「一括して記録を作成する方法～その 御理解のとおりです。
対象期間、対象範囲等を明確にすることが望ましい」 （パブリックコメント 953）
37

第三者提供時4-1-2-2

一括しとあるが、“対象範囲等”とは、どのような個人（もしの確認・記録て記録を作成す

くはその集団）を対象に、どのような項目を授受する

義務編

る方法

かを明確にするという意味だと理解してよいか。
【意見の理由】
ガイドラインの意味の明確化のため。

債権譲渡した場合は、契約書その他の書面の原本は譲 御理解のとおりです。
38

第三者提供時4-1-2-3

渡先へ引き渡すため、当該書面のコピーを保管するこ （パブリックコメント 963）の確認・記録契約書等の代替とで記録とすることができると理解してよいか。

義務編

手段による方法【意見の理由】
実務上の記録方法を明確にするため。

「同意の存在を明示的に又は黙示的に示す証跡等」に 御理解のとおりです。
ついて、例えば、次の内容はこれに該当するかご教示 （パブリックコメント 973）
願いたい。
第三者提供時
39の確認・記録義務編

4-2-1-2

本人の同意による第三者提供をする場合① 本人による同意する旨のホームページ上のボタンのクリックに係るシステムログ。
② ホームページの構造上、個人情報を取得する直前に必ず本人による同意をする旨のホームページ上のボタンのクリックが必須となっていること（ボタンクリックによる同意を経なければ取得できない）。
17 / 23

「個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）（案）」に係る意見及び個人情報保護委員会の考え方
平成 28 年 12 月 15 日 日本貸金業協会
No.

ガイドライン

対象項目

当協会の意見

個人情報保護委員会の考え方【意見の理由】
意味の明確化のため。

この表の 4-1-2-2 の「保存期間」の欄と、施行令・施 御理解のとおりです。
行規則のパブコメの No.631 をあわせると、データ群を （パブリックコメント 981）
第三者提供時40の確認・記録義務編構成する本人を特定する項目（本人の氏名等）につい
4-3

保存期間

（別表）

ては、
「個々の個人毎に最後に当該記録に係る個人デー
タの提供を行なった日から起算して 3 年を経過する日までの間」が保存期間だと理解してよいか。
【意見の理由】
ガイドラインの意味の明確化のため。

規則 21 条 2 項について、委託元が公表しなかった場合 施行規則第21条第２項において匿名加工情報の作成時の委託先の公表義務の有無を明確にしていただきた の公表については委託元において公表するものとして

41

匿名加工情報編

い。

おりますので、委託元において公表義務を履行するこ【意見の理由】とが求められます。

報の作成時の公

パブコメ No.８９３～８９５などにおいては、委託元（パブリックコメント 1060）

表に公表義務があることを回答されていますが、匿名加

3-4

匿名加工情

工情報の作成を受託する事業者としては、万一委託元が公表しなかった場合の法令抵触リスクについて正確に把握しておく必要があるため。

最下部の（※１）において、「安全管理措置の一環とし 匿名加工情報の作成について解説している本ガイドラ
42

匿名加工情報
編

3-4

匿名加工情

て一部の情報を削除する場合や統計情報を作成する場 イン（匿名加工情報編）案3-2の※２においても同様の報の作成時の公合を含むものではない」と書かれている。ただ、この注 説明を記載していることから、一般的に現状の案で御表釈が 3-4 に記載されているため、「安全管理措置の一環 理解いただけるものと考えます。
として一部の情報を削除する場合や統計情報を作成す （パブリックコメント 1061）
18 / 23

「個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）（案）」に係る意見及び個人情報保護委員会の考え方
平成 28 年 12 月 15 日 日本貸金業協会
No.

ガイドライン

対象項目

当協会の意見

個人情報保護委員会の考え方る場合」は単に匿名加工情報作成時の公表義務がないだけであり、匿名加工情報ではないということが明確にならないように思える。※１の記述を 2-1 匿名加工
情報に移す等して定義を明確化していただきたい。
【意見の理由】
ガイドラインの意味の明確化のため。

匿名加工情報の作成時の公表時に、公表項目に利用目 御理解のとおり、改正後の法第36条第３項における作
43

匿名加工情報
編

3-4

匿名加工情

的は不要であるという理解でよいか。

成時の公表に関しては、利用目的の公表を求めるもの

報の作成時の公【意見の理由】

ではありません。

表

実際の運用をするにあたって事前に確認しておきたい（パブリックコメント 1062）

ため。

『個人に関する情報の項目が同じである匿名加工情報 作成時の公表に関しては、匿名加工情報を一般に十分

44

匿名加工情報
編

3-4

匿名加工情

報の作成時の公表を同じ手法により反復・継続的に作成』する場合、最初 に知らせるに足る期間を確保するものである必要があの匿名加工情報作成時に作成期間又は継続的な作成を ることから、一般的に匿名加工情報の継続的な作成が予定している旨を公表したときは、公表期間は、当該 完了した後にも一般に十分に知らせるに足る期間を確
匿名加工情報の継続的な作成の完了までとの理解でよ 保する必要があると考えられます。
いか。

45

46

匿名加工情報
編

3-4

匿名加工情

報の作成時の公表（パブリックコメント 1063）

匿名加工情報を作成した事が一般に十分に知らせるに 御理解のとおりです。
足る期間を確保すれば、その後、匿名加工情報を利用 （パブリックコメント 1064）
し続けたり、第三者提供が見込まれる場合でも、当該公表を継続する必要はないとの理解でよいか。

匿名加工情報

3-5

匿名加工情

編

報の第三者提供

匿名加工情報の第三者提供時の公表時に、公表項目に 御理解のとおり、改正後の法第36条第４項及び第37条
提供先名、利用目的は不要であるという理解でよいか。 における第三者提供時の公表に関しては、提供先名及び利用目的の公表は求められていません。

【意見の理由】

19 / 23

「個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）（案）」に係る意見及び個人情報保護委員会の考え方
平成 28 年 12 月 15 日 日本貸金業協会
No.

ガイドライン

対象項目

当協会の意見

個人情報保護委員会の考え方

実際の運用をするにあたって事前に確認しておきたい（パブリックコメント 1073）

ため。

識別行為に当たる取扱いの事例として、「事例 1）保有 御指摘の個別の事例についてはお答えしかねますが、する個人情報と匿名加工情報について、共通する記述 一般的に、個人情報と匿名加工情報を何らかの共通す等を選別してこれらを照合すること。」とあるが、第三 る記述等を選別して突き合わせる行為は当該匿名加工者が作成した匿名加工情報と、自社が保有する個人情 情報から本人を識別して当該本人の個人情報と匿名加47

匿名加工情報

3-6

編

禁止

識別行為の

報を突き合わせし、特定の個人を識別することなく、 工情報を繋ぐものであると考えられることから、改正
自社のデータだけではできない統計情報作成も、識別 後の法第36条第５項及び第38条に違反するものと考え行為に該当するかご教示願いたい。

られます。

【意見の理由】（パブリックコメント 1077）

自社データと他社データを掛け合わせてより多様な統計情報作成を可能にしたいため。

2-1

匿名加工情

2-1 において、「匿名加工情報」の定義（法第 2 条第 9 御理解のとおりです。

報（法第 2 条第 9項）に係る解説の中で、いわゆる「統計情報」について （パブリックコメント 998）

項関係）

は、
『なお、
「統計情報」は、複数人の情報から共通要素に係る項目を抽出して同じ分類ごとに集計して得られ

3-2
48

匿名加工情

るデータであり、（中略）特定の個人との対応関係が排匿名加工情報報の適正な加工

斥されている限りにおいては、法における「個人に関

編

（※2）

する情報」に該当するものではないため、改正前の法においても規制の対象外と整理されており、従来同様

3-4

匿名加工情

に規制の対象外となる』とある。

報の作成時の公一方で、「作成するとき」（法第 36 条）該当性に係る解表（法第 36 条第説として、『例えば、安全管理措置の一環として氏名等

3 項関係）（※1）の一部の個人情報を削除（又は他の記述等に置き換え）
20 / 23

「個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）（案）」に係る意見及び個人情報保護委員会の考え方
平成 28 年 12 月 15 日 日本貸金業協会
No.

ガイドライン

対象項目

当協会の意見

個人情報保護委員会の考え方した上で引き続き個人情報として取り扱う場合、あるいは統計情報を作成するために個人情報を加工する場
合等については、匿名加工情報を「作成するとき」には該当しない。』とある。
以上の記載を元に、「匿名加工情報を作成するとき」該
当性に係る整理をすると、次のとおりと理解してよいか。
【意見の理由】
各記載内容の整合性に係る理解を確認するため。

ケース 1「安全管理措置の一環として氏名等の一部の個人情報を削除（又は他の記述等に置き換え）した上で引き続き個人情報として取り扱う場合」＜該当性＞
匿名加工情報を「作成するとき」（法第 36 条）に該
当しない
＜理由＞
氏名等の一部情報の削除などの加工方法の如何にかかわらず、加工後においても「個人情報」（法第 2 条第 1項）として取り扱うため（加工後において「匿名加工情報」として取り扱うことを予定していないため）

21 / 23

「個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）（案）」に係る意見及び個人情報保護委員会の考え方
平成 28 年 12 月 15 日 日本貸金業協会
No.

ガイドライン

対象項目

当協会の意見

個人情報保護委員会の考え方

ケース 2
統計情報
＜該当性＞
「匿名加工情報」（法第 2 条第 9 項）に該当しない（そのため、法第 36 条も当然に適用されない）＜理由＞①

いわゆる「統計情報」は、特定の個人との対応関係が排斥されている限りにおいて、「個人に関する情報」には当たらないと整理できる。

②「匿名加工情報」（法第 2 条第 9 項）は、「個人に関する情報」であることを要件とする概念である
ため、これに該当しない。

③ そのため、「匿名加工情報」の作成に係る加工方法等を定めた法第 36 条も当然に適用されない。

「電子政府の総合窓口 e-Gov イーガブ」における、政 施行規則について若干の修辞上の修正を行ったもので
令案および規則案についてパブコメ結果公示案件詳細 あり、内容についての修正はありません。なお、修辞上では、「提出意見を踏まえた案の修正有無：無」となっ の修正を行った規定としては、御指摘の箇所のほか、
49

その他

-

ている一方で、意見募集結果詳細の番号 762 において 施行規則第15条第3項があります。
規則案に修正がある。

（パブリックコメント 1122）

政令案・規則案からの修正箇所が他にもあればご教示
願いたい。
個人情報保護法全面施行後に、法やガイドラインに対 改正後の法が適用される個人情報取扱事業者において
50

その他

-

応するための経過措置はあるかご教示願いたい。

は、その全面施行の日から改正後の法を遵守いただく【意見の理由】

必要があります。
22 / 23

「個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）（案）」に係る意見及び個人情報保護委員会の考え方
平成 28 年 12 月 15 日 日本貸金業協会
No.

ガイドライン

対象項目

当協会の意見

個人情報保護委員会の考え方

即時対応することが困難であると考えられるため。

なお、改正後の法を正しく理解し遵守いただけるよう、
引き続き周知広報活動を行ってまいります。
（パブリックコメント 1094）

23 / 23