個情法(通則編)_自己評価表

Ver.20220401
分類

No

ガイドライ

大項目

ン項番

中項目

小項目

条件

確認事項

補足

自己評価
適合状況

規定 運用

該当無

該当無

努力

該当無

-

-

-

★

-

-

★

-

-

★

-

-

★

-

-

（○or
×）

（○）

当該規定類等名称

必須

利用目的を単に抽象的、一般的に特定するのではなく、個人情
報が個人情報取扱事業者において、最終的にどのような事業の用に供され、どのような目的で個人情報を利用されるのかが、本人にとって一般的かつ合理的に想定できる程度に具体的に特

1

3-1-1

個人情報の利用目的

取得する全ての個人情報の利用目的をできる限り
利用目的の特定

具体的に特定しているか。

定することが望ましい。
できるだけ具体的に明確にすることにより、個人情報が取り扱われる範囲を確定するとともに、本人の予測を可能とすること

★

-

である。
例えば、本人から得た情報から、本人に関する行動・関心等の情報を分析する場合、個人情報取扱事業者は、どのような取扱いが行われているかを本人が予測・想定できる程度に利用目的を特定しなければならない。
2

3-1-2

個人情報の利用目的

利用目的の変更

利用目的の変更がある場合で同意を

変更前の利用目的と関連性を有すると合理的に認要しない場合められる範囲で変更したか。

すなわち、変更後の利用目的が変更前の利用目的からみて、社
会通念上、本人が通常予期し得る限度と客観的に認められる範囲内で変更することは可能である。

2項が該当する場合
3

3-1-2

個人情報の利用目的

利用目的の変更

変更前の利用目的と関連性を有する変更された利用目的は、本人に通知するか、又はと合理的に認められる範囲で変更し公表したか。

た場合(1) 法令に基づく場合(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある

4

3-1-3

個人情報の利用 利用目的による

3-1-5

目的

制限

特定された利用目的の達成に必要な範囲を超えて個人情報の取り扱い（目的外利用）がある場合特定された利用目的（2項で変更された利用目的を含む。）の達成に必要な範囲を超えて個人情報を取り扱う場合は、本人の同意を得たか。ただし、(1)～(6)を除く。

場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(5) 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下この章において「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
(6) 学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

5

3-1-4

個人情報の利用目的

事業の承継

事業の承継をすることに伴って個人

当該個人情報に係る承継前の利用目的の達成に必情報を取得した場合

要な範囲内で取り扱っているか。
違法又は不当な行為を助長し、又は誘発するおそ

6

3-2

7

3-3-1

不適正利用の禁れがある方法により個人情報を利用していない

止か。

個人情報の取得 適正取得

偽り等の不正の手段により個人情報を取得してい
ないか。

★

-

-

-

-

-

-

-

-

備考

（1）法令に基づく場合（2）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（3）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（4）国の機関若しくは地方公共団体又はその委託を受けた者
が法令の定める事務を遂行することに対して、事業者が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
8

3-3-2

個人情報の取得

要配慮個人情報の取得

要配慮個人情報を取得した場合

あらかじめ本人の同意を得たか。ただし、(1)～（5）当該個人情報取扱事業者が学術研究機関等である場合で(9)を除く。

あって、当該要配慮個人情報を学術研究目的で取り扱う必要が

-

★

-

あるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（6）学術研究機関等から当該要配慮個人情報を取得する場合
であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。）（7）当該要配慮個人情報が、本人、国の機関、地方公共団
体、学術研究機関等、次に掲げる者その他個人情報保護委員会

9
10

3-3-3
3-3-3

個人情報の取得
個人情報の取得

利用目的の通知

個人情報を取得する場合、あらかじめその利用目

又は公表

的を公表しているか。

利用目的の通知

個人情報を取得後速やかにその利用目的を、本人

又は公表

前項で公表していない場合

★

-

-

★

に通知するか、又は公表したか。

-

-

-

-

-

-

-

（1）利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合直接本人から個人情報を取得する場合には、あら
11

3-3-4

個人情報の取得

直接書面等によ直接本人から個人情報を取得していかじめ、本人に対し、その利用目的を明示してい

る取得

る場合

るか。ただし、(1)～(4)を除く。

（2）利用目的を本人に通知し、又は公表することにより事業者の権利又は正当な利益を害するおそれがある場合（3）国の機関又は地方公共団体が法令の定める事務を遂行す

★

-

-

ることに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき（4）取得の状況からみて利用目的が明らかであると認められ
る場合

12

3-3-4

13

3-4ｰ1

14

3-4ｰ1

15

3-4ｰ1

個人情報の取得

直接書面等による取得

人の生命、身体又は財産の保護のために緊急に個人情報の取得実績があった場合

人の生命、身体又は財産の保護のために緊急に個
人情報の直接取得が必要であった場合、取得後速したか。

個人データの管 データ内容の正

個人情報データベース等への個人情報の入力時の理照合・確認の手続を整備しているか。

確性の確保等

誤り等を発見した場合の訂正等の手続を整備して確性の確保等

-

-

-

-

★

-

-

-

-

-

-

-

-

-

-

いるか。
個人情報データベース等に含まれる個人データの個人データの管 データ内容の正理★

個人情報データベース等に含まれる個人データの個人データの管 データ内容の正理★

やかにその利用目的を、本人に通知し、又は公表

記録事項の更新、保存期間の設定等がなされてい確性の確保等★

るか。
個人情報データベースに含まれる個人データを保

16

3-4ｰ1

個人データの管 データ内容の正理確性の確保等有する合理的な理由が存在しなくなった場合や、消去対象の個人データがある場合

利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等は、当該個人データを遅滞なく消去しているか。

★

個人データが漏えい等をした場合に本人が被る権利利益の侵害
17

3-4ｰ2

個人データの管理取り扱う個人データの漏えい、滅失又は毀損の防 の大きさを考慮し、事業の規模及び性質、個人データの取扱状
安全管理措置止その他の個人データの安全管理のために必要か 況（取り扱う個人データの性質及び量を含む。）、個人データ
つ適切な措置を講じているか？

★

★

-

-

-

-

-

-

-

-

を記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容としなければならない。

個人データを取り扱わせるに当たって、安全管理
18

3-4ｰ3

個人データの管理

措置を遵守させるよう、当該従業者に対し必要か

従業者の監督つ適切な監督をしているか。

「従業者」とは、個人情報取扱事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者等をいい、雇用関係にある従業員（正社員、契約社員、嘱託社★

員、パート社員、アルバイト社員等）のみならず、取締役、執行役、理事、監査役、監事、派遣社員等も含まれる。

個人データが漏えい等をした場合に本人が被る権
利利益の侵害の大きさを考慮し、事業の規模及び
19

3-4ｰ3

個人データの管理

性質、個人データの取扱状況（取り扱う個人デー
従業者の監督★

タの性質及び量を含む。）等に起因するリスクに

-

-

-

-

応じて、個人データを取り扱う従業者に対する教
育、研修等の内容及び頻度を充実させるなど、必要かつ適切な措置を講じているか。

20

3-4ｰ4

個人データの管理

委託先の監督適切な委託先の選定

委託先において当該個人データについて安全管理 具体的には、個人情報取扱事業者は、法第23条に基づき自らが個人データの委託先がある場合措置が適切に講じられるよう、委託先に対し必要 講ずべき安全管理措置と同等の措置が講じられるよう、監督をかつ適切な監督を行っているか。

★

-

-

★

-

-

-

-

行うものとする。

委託先の安全管理措置が、「講ずべき安全管理措
21

3-4ｰ4

個人データの管理

委託先の監督適切な委託先の選定

個人データの委託先がある場合

置の内容」に定める各項目が、委託する業務内容に沿って、確実に実施されることについて、あらかじめ確認しているか。

22

23

24

25

3-4ｰ4

3-4ｰ4

3-4ｰ4

3-4ｰ4

個人データの管理
個人データの管理
個人データの管理
個人データの管理

委託契約に、当該個人データの取扱いに関する、委託先の監督委託契約の締結 個人データの委託先がある場合

必要かつ適切な安全管理措置として、委託元、委

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

託先双方が同意した内容が盛り込まれているか。
委託契約に、委託先における委託された個人デー
委託先の監督委託契約の締結 個人データの委託先がある場合

タの取扱状況を委託元が合理的に把握することが盛り込まれているか。

委託先の監督

委託先における

委託先において、委託契約で盛り込んだ内容の実個人データ取扱 個人データの委託先がある場合施の程度を確認するため、定期的に監査を行う等

状況の把握により調査しているか。

委託先における
委託先の監督

個人データ取扱 個人データの委託先がある場合
状況の把握

前項の調査等の上で、委託の内容等の見直しを検討する等、適切に評価しているか。
委託先が再委託（再々委託含む）を行おうとする

26

3-4ｰ4

個人データの管理

委託先の監督

委託先における

場合は、委託元は、委託先が再委託する相手方、

個人データ取扱 個人データの再委託がある場合再委託する業務内容、再委託先の個人データの取状況の把握

扱方法等について、委託先から事前報告を受け又は承認を行っているか。
再委託（再々委託含む）先に対し、委託先を通じ

27

3-4ｰ4

個人データの管理

委託先の監督

委託先におけるて又は必要に応じて自らが、定期的に監査を実施

個人データ取扱 個人データの再委託がある場合すること等により、委託先が再委託先に対して必状況の把握要な安全管理措置を講ずることを十分に確認しているか。
(1)責任ある立場の者に直ちに報告するとともに、漏えい等事案
漏えい等事案が発覚した場合は、その内容に応じ による被害が発覚時よりも拡大しないよう必要な措置を講ず

28

3-5ｰ2

個人データの漏
えい等の報告等て次の(1)～(5)について必要な措置を講じたか。

る。

(1)事業者内部における報告及び被害の拡大防止(2)漏えい等事案の事実関係の調査及び原因の究明に必要な措置

漏えい等事案が漏えい等又はそのおそれのある事案

発覚した場合に（以下「漏えい等事案」とい う。） (2)事実関係の調査及び原因の究明を講ずる。

講ずべき措置が発覚した場合(3)影響範囲の特定(3)上記(2)で把握した事実関係による影響範囲の特定のために(4)再発防止策の検討及び実施

必要な措置を講ずる。

(5)個人情報保護委員会への報告及び本人への通知 (4)上記(2)の結果を踏まえ、漏えい等事案の再発防止策の検討及び実施に必要な措置を講ずる。

★

29

3-5ｰ2

個人データの漏
えい等の報告等

漏えい等事案が漏えい等又はそのおそれのある事案

発覚した場合に（以下「漏えい等事案」とい う。）

講ずべき措置が発覚した場合

漏えい等事案の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、事実関★

係及び再発防止策等について、速やかに公表して

-

-

いるか。
次の(1)～(4)までに掲げる事態（以下「報告対象事態」という。）を知ったときは、個人情報保護委員会に報告したか。ただし、「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられている場合は除く。
(1)要配慮個人情報が含まれる個人データの漏えい

30

3-5ｰ3-1

個人データの漏 個人情報保護委 報告対象となるえい等の報告等 員会への報告

事態等が発生し、又は発生したおそれがある事態
報告対象事態を知った場合(2)不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態(3)不正の目的をもって行われたおそれがある個人
データの漏えい等が発生し、又は発生したおそれ

財産的被害が生じるおそれについては、対象となった個人デー
タの性質・内容等を踏まえ、財産的被害が発生する蓋然性を考慮して判断する。
「不正の目的をもって」漏えい等を発生させた主体には、第三者のみならず、従業者も含まれる。

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

「個人データに係る本人の数」は、当該個人情報取扱事業者が取り扱う個人データのうち、漏えい等が発生し、又は発生した
おそれがある個人データに係る本人の数をいう。

がある事態(4)個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生しおそれがある事態
個人情報保護委員会のホームページの報告フォー
ムに入力する方法により、次の事項を速やか(報告対象事態を知った日から 3～5日以内)に速報として報告したか。
(1)「概要」(2)「漏えい等が発生し、又は発生したおそれがある個人データの項目」
31

3-5ｰ3-3

個人データの漏 個人情報保護委
えい等の報告等 員会への報告

速報

報告対象事態を知った場合(3)「漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数」(4)「原因」(5)「二次被害又はそのおそれの有無及びその内
容」(6)「本人への対応の実施状況」(7)「公表の実施状況」(8)「再発防止のための措置」(9)「その他参考となる事項」(1)当該事態の概要について、発生日、発覚日、発生事案、発見者、規則第 7 条各号該当性、委託元及び委託先の有無、事実経過等を報告する。
(2)媒体や種類（顧客情報、従業員情報の別等）とともに報告する。
(4)当該事態が発生した主体（報告者又は委託先）とともに報告する。
(8)漏えい等事案が再発することを防止するために講ずる措置について、実施済みの措置と今後実施予定の措置に分けて報告する。
(9)上記の(1)から(8)までの事項を補完するため、個人情報保護委員会が当該事態を把握する上で参考となる事項を報告する。
速報時点での報告内容については、報告をしようとする時点において把握している内容を報告すれば足りる。
確報においては、前項(1)～(9)までに掲げる事項の全てを報告

速報（前項）に加え、30 日以内または（不正の目 しなければならない。確報を行う時点（報告対象事態を知った
32

3-5ｰ3-4

個人データの漏 個人情報保護委
えい等の報告等 員会への報告

確報

報告対象事態を知った場合的をもって行われた行為による漏えい等は）60 日 日から 30 日以内又は 60 日以内）において、合理的努力を尽く以内に個人情報保護委員会に確報として前項した上で、一部の事項が判明しておらず、全ての事項を報告す(1)~(9)を報告したか。

ることができない場合には、その時点で把握している内容を報告し、判明次第、報告を追完するものとする。

委託先で31項の(1)～(9)のうち、その時点で把握
33

3-5ｰ3-5

個人データの漏 個人情報保護委 委託元への通知 委託先で漏えい等事案が発覚した場しているものを、当該事態が発生を知った時点か

えい等の報告等 員会への報告

ら速やかに通知を受けた場合は、委託元として個

による例外

合

人情報保護委員会に速やかに報告したか。

「速やか」の日数の目安については、個別の事案によるものの、委託先が当該事態の発生を知った時点から概ね 3～5 日以
内である。

本人への通知を行ったか。ただし、当社が委託先
34

3-5ｰ4-1

個人データの漏
えい等の報告等

本人への通知通知対象となるで委託元に 31項(1)～(9)までに掲げる事項のう

事態及び通知義 報告対象事態を知った場合

ち、その時点で把握しているものを通知したとき

務の主体

は除く。
また、本人への通知が困難な場合も除く。

35

3-5ｰ4-2

個人データの漏
えい等の報告等

本人への通知通知の時間的制
限報告対象事態を知った場合本人への通知は速やかに行ったか。

本人への通知は、漏えい等報告における報告事項
36

3-5ｰ4-3

個人データの漏
えい等の報告等のうち、「概要」「漏えい等が発生し、又は発生本人への通知通知の内容

報告対象事態を知った場合したおそれがある個人データの項目」「原因」

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

「二次被害又はそのおそれの有無及びその内容」
及び「その他参考となる事項」に限定したか。

37

38

3-5ｰ4-4

3-5ｰ4-5

個人データの漏
えい等の報告等
個人データの漏
えい等の報告等

本人への通知は、事業の性質及び個人データの取 本人への通知については、その様式が法令上定められていない
本人への通知通知の方法

報告対象事態を知った場合扱状況に応じ、通知すべき内容が本人に認識され が、本人にとって分かりやすい形で通知を行うことが望ましる合理的かつ適切な方法で行ったか。

本人への通知通知の例外

報告対象事態を知った場合で本人へ

本人の権利利益を保護するために必要な代替措置の通知が困難である場合を講ずることによる対応を行ったか。

い。
代替措置として事案の公表を行わない場合であっても、当該事態の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、公表を行うことが望ましい。
(1)法令に基づいて個人データを提供する場合。
(2)人（法人を含む。）の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個
人データの提供が必要であり、かつ、本人の同意を得ることが困難である場合。
(3)公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることが困難である場合。

個人データの第三者への提供に当たり、あらかじ (4)国の機関等が法令の定める事務を実施する上で、民間企業等
め本人の同意を得ているか。
39

3-6-1

個人データの第 第三者提供の制
三者への提供限の原則の協力を得る必要がある場合であって、協力する民間企業等がただし、(1)～(7)、法第23条5項「委託」「事業の 当該国の機関等に個人データを提供することについて、本人の個人データの第三者提供がある場合

承継」「共同利用」は除く。

同意を得ることが当該事務の遂行に支障を及ぼすおそれがある適合の場合はオプションガイドラインの自己評価場合。

表も実施する。

(5) 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）(6) 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。）。

40

3-6-1

個人データの第 第三者提供の制
三者への提供限の原則

個人データの第三者提供がある場合

あらかじめ、利用目的に第三者に提供することを特定しているか。
オプトアウトによる第三者提供を行う際は、本人が当該提供の次の(1)~(9)をあらかじめ本人に通知し、又は本人 停止を求めるのに必要な期間をおかなければならないため、本が容易に知り得る状態に置いているか。

人に通知し又は本人が容易に知り得る状態に置いた時点から、(1)個人情報取扱事業者の氏名又は名称及び住所並 極めて短期間の後に、第三者提供を行ったような場合は、「本びに法人等の代表者の氏名。

人が当該提供の停止を求めるのに必要な期間」をおいていない(2)第三者への提供を利用目的とすることと判断され得る。

(3)第三者に提供される個人データの項目
41

3-6-2-1

個人データの第 オプトアウトに オプトアウトに オプトアウトによる第三者提供を実三者への提供よる第三者提供 関する原則施している場合(4)第三者に提供される個人データの取得の方法(2)利用目的が具体的に分かる内容とすること。「等」や「その(5)第三者への提供の方法

他」等のあいまいな表現の記入は望ましくない。

(6)本人の求めに応じて第三者への提供を停止する (3)オプトアウトにより第三者に提供される個人データの項目をこと網羅的に示す必要がある。提示されていない個人データの項目(7)本人の求めを受け付ける方法

を、オプトアウトにより第三者に提供することはできない。

(8)第三者に提供される個人データの更新の方法(4)オプトアウトにより第三者に提供される個人データについ(9)当該届出に係る個人データの第三者への提供を て、取得元（取得源）と取得の方法を示す必要がある。
開始する予定日(9)新規の届出の場合には、オプトアウトによる第三者提供を開始する予定日を記入する。変更届の場合には、変更届に基づいて第三者提供を開始する予定日を記入する。

本人に通知し、又は本人が容易に知り得る状態に置いた後、速やかに個人情報保護委員会に届け出ることが望ましい。
届出の方法は、電子情報処理組織を使用する方法等によって行
わなければならない。なお、代理人によって届出を行う場合
42

3-6-2-1

個人データの第 オプトアウトに オプトアウトに オプトアウトによる第三者提供を実三者への提供よる第三者提供 関する原則施している場合

前項の(1)~(9)をあらかじめ個人情報保護委員会に は、個人情報保護委員会が定める様式によるその権限を証する
届け出たか。

書面を提出しなければならない。また、外国にある個人情報取

-

-

★

-

-

★

-

-

★

-

-

★

-

-

★

扱事業者が、届出を行う場合には、国内に住所を有する者に、当該届出に関する一切の行為につき当該個人情報取扱事業者を代理する権限を有するものを定めなければならず、当該代理権を証する書面を個人情報保護委員会に提出しなければならない。

43

3-6-2-1

個人データの第 オプトアウトに オプトアウトに オプトアウトによる第三者提供を実三者への提供よる第三者提供 関する原則施している場合前々項の(1)~(9)を自らもインターネットの利用その他の適切な方法により公表しているか。
次の(1)~(3)をオプトアウトによる第三者提供を禁止しているか。

44

3-6-2-1

個人データの第 オプトアウトに オプトアウトに オプトアウトによる第三者提供を実(1)要配慮個人情報

三者への提供(2)オプトアウトにより提供を受けた個人データをよる第三者提供 関する原則施している場合

オプトアウトにより再提供すること(3)不正取得された個人データ

★

-

-

オプトアウトにより提供を受けた個人データのオプトアウトによる再提供の禁止や、不正取得された個人データのオプトアウ
トによる提供の禁止については、当該個人データの全部又は一★

部を複製・加工したものについても適用があるため、注意を要する。

次の(1)~(3)のいずれかに該当する場合は、その旨について、本人に通知し、又は本人が容易に知り

オプトアウトに45

3-6-2-2

個人データの第 オプトアウトに三者への提供よる第三者提供関する事項の変更及び個人デー
タの提供をやめ得る状態に置いているか。
オプトアウトによる第三者提供を実(1)届出事項（第三者に提供される個人データの項施している場合目等）の変更があった場合た場合(2)届出事項（氏名又は名称、住所、法人等の代表者の氏名）の変更があった場合(3)個人データの提供をやめた場合

オプトアウトに46

3-6-2-2

個人データの第 オプトアウトに三者への提供よる第三者提供関する事項の変 オプトアウトによる第三者提供を実更及び個人デー 施している場合で、タの提供をやめ 45項が該当する場合

前項の(1)~(3)をあらかじめ個人情報保護委員会に届け出たか。

た場合
オプトアウトに47

3-6-2-2

個人データの第 オプトアウトに三者への提供よる第三者提供関する事項の変 オプトアウトによる第三者提供を実更及び個人デー 施している場合で、タの提供をやめ 46項が該当する場合
た場合前々項の(1)~(3)を自らもインターネットの利用その他の適切な方法により公表しているか。

共同利用の対象となる個人データの提供については、必ずしも全ての共同利用者が双方向で行う必要はなく、一部の共同利用者に対し、一方向で行うこともできる。
(2)事例 1）氏名、住所、電話番号、年齢
事例 2）氏名、商品購入履歴
特定の者との間で共同して利用される個人データを当該特定の者に提供するにあたり、(1)～(5)をあらかじめ本人に通知し、又は本人が容易に知り得る状態に置いているか。
48

3-6-3

(1)共同利用をする旨

個人データの第 第三者に該当し三者への提供

個人データを共同利用している場合

ない場合(2)共同して利用される個人データの項目(3)共同して利用する者の範囲(4)利用する者の利用目的(5)当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名(3)共同利用者の範囲については、本人がどの事業者まで将来利用されるか判断できる程度に明確にする必要がある。
なお、当該範囲が明確である限りにおいては、必ずしも事業者の名称等を個別に全て列挙する必要はないが、本人がどの事業者まで利用されるか判断できるようにしなければならない。
(4)共同して利用する個人データについて、その利用目的を全て、本人に通知し、又は本人が容易に知り得る状態に置いてい

-

-

★

-

-

★

-

-

★

-

-

★

なければならない。
(5)「個人データの管理について責任を有する者」とは、開示等の請求及び苦情を受け付け、その処理に尽力するとともに、個
人データの内容等について、開示、訂正、利用停止等の権限を有し、安全管理等個人データの管理について責任を有する者をいう。
なお、ここでいう「責任を有する者」とは、共同して利用する
全ての事業者の中で、第一次的に苦情の受付・処理、開示・訂正等を行う権限を有する者をいい、共同利用者のうち一事業者の内部の担当責任者をいうものではない。

49

3-6-3

前項の利用目的が個人データの項目によって異な個人データの第 第三者に該当し三者への提供

個人データを共同利用している場合

ない場合

る場合には、当該個人データの項目ごとに利用目

★

-

-

★

-

-

的を区別して記載しているか。
事業者が共同利用を実施する場合には、次の(1)～(6)の事項について、あらかじめ取り決めているか。
(1)共同利用者の要件（グループ会社であること、特定のキャンペーン事業の一員であること等、共同利用による事業遂行上の一定の枠組み）(2)各共同利用者の個人情報取扱責任者、問合せ担当者及び連絡先50

3-6-3

個人データの第 第三者に該当し三者への提供

個人データを共同利用している場合

ない場合(3)共同利用する個人データの取扱いに関する事項
・個人データの漏えい等防止に関する事項
・目的外の加工、利用、複写、複製等の禁止
・共同利用終了後のデータの返還、消去、廃棄に関する事項(4)共同利用する個人データの取扱いに関する取決めが遵守されなかった場合の措置(5)共同利用する個人データに関する事件・事故が発生した場合の報告・連絡に関する事項(6)共同利用を終了する際の手続

個人データを共同利用している場合
51

3-6-3

個人データの第 第三者に該当し 共同利用に係る三者への提供

ない場合

事項の変更

で「個人データの管理について責任を有する者の氏名、名称もしくは住所又は法人にあっては、その代表者

遅滞なく、当該変更後の内容について、本人に通知し、又は本人が容易に知り得る状態に置いているか。

「共同して利用される個人データの項目」及び「共同して利用する者の範囲」について変更することは、原則として認められない。

の氏名」に変更があった場合

52

3-6-3

個人データを共同利用している場合

変更する前に、変更しようとする内容について、

個人データの第 第三者に該当し 共同利用に係る で「共同利用する者の利用目的」又本人に通知し、又は本人が容易に知り得る状態に三者への提供置いているか。

ない場合

事項の変更

は「当該責任を有する者」の変更が
あった場合

53

3-6-3

個人データの第 第三者に該当し 共同利用に係る三者への提供

ない場合

事項の変更

個人データを共同利用している場合
で「共同利用する者の利用目的」を変更した場合社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内で変更したか。

(1) 法令に基づく場合(2) 人の生命、身体又は財産の保護のために必要がある場合で個人関連情報の提供先の第三者が個
54

3-7-1

個人関連情報の 法第 31 条の適人関連情報（個人関連情報データ

第三者提供の制 用の有無についベース等を構成するものに限る。以限等下同じ。）を個人データとして取得てあって、本人の同意を得ることが困難であるとき。
あらかじめ当該個人関連情報に係る本人の同意が (3) 公衆衛生の向上又は児童の健全な育成の推進のために特に得られていること等を確認したか。ただし、(1)～ 必要がある場合であって、本人の同意を得ることが困難である(4)を除く。

とき。

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

(4) 国の機関若しくは地方公共団体又はその委託を受けた者がすることが想定される場合

法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

個人関連情報の55

3-7-2-2

第三者提供の制限等
個人関連情報の56

3-7-2-2

第三者提供の制限等
個人関連情報の57

3-7-2-2

第三者提供の制限等
個人関連情報の58

3-7-2-2

第三者提供の制限等
個人関連情報の59

3-7-2-2

第三者提供の制限等
個人関連情報の60

3-7-2-3

第三者提供の制
限等同意を取得する 個人関連情報の提供先が個人関連情
本人の同意の取 主体ー提供先の 報を個人データとして取得すること本人に対して、対象となる個人関連情報を特定で得方法

きるように示した上で同意を取得したか。

第三者による同 が想定される場合で、提供先である
意取得の場合当社で同意取得の場合同意を取得する 個人関連情報の提供先が個人関連情
本人の同意の取 主体ー提供先の 報を個人データとして取得すること
得方法

第三者による同 が想定される場合で、提供先である
意取得の場合当社で同意取得の場合

個人関連情報を個人データとして取得した後の利用目的について、本人への通知又は公表を行ったか。

同意を取得する 個人関連情報の提供先が個人関連情
本人の同意の取 主体ー提供先の 報を個人データとして取得すること

前項と同時に当該利用目的についても本人に示し

得方法

たか。

第三者による同 が想定される場合で、提供先である
意取得の場合同意を取得する 個人関連情報の提供先が個人関連情

個人関連情報の提供を受けて個人データとして取本人の同意の取 主体ー提供元に 報を個人データとして取得すること得する提供先の第三者を個別に明示し、また、対得方法

よる同意取得の が想定される場合で、提供元である

象となる個人関連情報を特定できるように示した

代行の場合

か。

当社で同意取得の場合同意を取得する 個人関連情報の提供先が個人関連情
本人の同意の取 主体ー提供元に 報を個人データとして取得すること
得方法

よる同意取得の が想定される場合で、提供元である
代行の場合本人の同意の取
得方法

★

-

-

当社で同意取得の場合当社で同意取得の場合
個人関連情報の提供先の第三者が個同意取得の方法 人関連情報を個人データとして取得することが想定される場合

提供先の第三者が個人関連情報を個人データとして取得した後の利用目的について、本人への通知
又は公表を行ったか。
同意取得に際しては、本人に必要な情報を分かりやすく示しているか。

同意取得の方法としては、様々な方法があるが、例えば、本人から同意する旨を示した書面や電子メールを受領する方法、確認欄へのチェックを求める方法がある。

ウェブサイト上で同意を取得する場合は、ウェブ
個人関連情報の61

3-7-2-3

第三者提供の制
限等

本人の同意の取得方法

個人関連情報の提供先の第三者が個サイト上に本人に示すべき事項を記載するのみで同意取得の方法 人関連情報を個人データとして取得は足りず、それらの事項を示した上でウェブサイすることが想定される場合

ト上のボタンのクリックを求める方法等により同意を取得したか。

個人データとし
個人関連情報の62

3-7-3-1

第三者提供の制
限等

本人の同意等の確認の方法て取得すること 個人関連情報の提供先の第三者が個

当該第三者から申告を受ける方法その他の適切なを認める旨の本 人関連情報を個人データとして取得

方法によって本人同意が得られていることを確認

人の同意を得ら することが想定される場合したか。

れていること
個人データとし
個人関連情報の63

3-7-3-1

第三者提供の制
限等

本人の同意等の確認の方法て取得することを認める旨の本
人の同意を得られていること外国にある第三

個人関連情報の64

3-7-3-2

第三者提供の制限等者への提供に本人の同意等の あっては、必要確認の方法な情報が当該本人に提供されていること

個人関連情報の提供先の第三者が個提供先の第三者において、複数の本人から同一の人関連情報を個人データとして取得方式で同意を取得している場合、提供元はそれぞすることが想定される場合で、提供れの本人から同意が取得されていることを確認し先の第三者から申告を受ける場合ているか。

同意取得の方法については、本人ごとに個別の申告を受ける必要はなく、複数の本人からどのように同意を取得したか申告を受け、それによって確認を行えば足りる。

個人関連情報の提供先の第三者が個
人関連情報を個人データとして取得

個人関連情報の提供先が外国にある第三者である 情報提供の方法及び提供すべき情報の内容の考え方等についてすることが想定される場合で、その場合は、本人の同意が得られていることを確認し は、外国第三者提供ガイドライン「5-1（情報提供の方法）」

提供先が外国にある第三者である場たか。

合及び「5-2（提供すべき情報）」を参照のこと。

64項で本人の同意を得ようとする時点において次外国にある第三
個人関連情報の65

3-7-3-2

第三者提供の制限等者への提供に本人の同意等の あっては、必要確認の方法な情報が当該本人に提供されていることの(1)～(3)が当該本人に提供されていることを確
個人関連情報の提供先の第三者が個認したか。ただし、66~67項の場合は除く。

人関連情報を個人データとして取得(1)当該外国の名称することが想定される場合で、その(2)適切かつ合理的な方法により得られた当該外国 は、外国第三者提供ガイドライン「5-1（情報提供の方法）」

提供先が外国にある第三者である場における個人情報の保護に関する制度に関する情合報

情報提供の方法及び提供すべき情報の内容の考え方等について
★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

及び「5-3（提供すべき情報）」を参照のこと。

(3)当該第三者が講ずる個人情報の保護のための措置に関する情報

外国にある第三
個人関連情報の66

3-7-3-2

第三者提供の制限等者への提供に本人の同意等の あっては、必要確認の方法な情報が当該本人に提供されていること
外国にある第三

個人関連情報の67

3-7-3-2

第三者提供の制限等者への提供に本人の同意等の あっては、必要確認の方法な情報が当該本人に提供されていること
外国にある第三

個人関連情報の68

3-7-3-2

第三者提供の制限等者への提供に本人の同意等の あっては、必要確認の方法な情報が当該本人に提供されていること
外国にある第三

個人関連情報の69

3-7-3-2

第三者提供の制限等者への提供に本人の同意等の あっては、必要確認の方法な情報が当該本人に提供されていること
外国にある第三

個人関連情報の70

3-7-3-2

第三者提供の制限等者への提供に本人の同意等の あっては、必要確認の方法な情報が当該本人に提供されていること

個人関連情報の提供先の第三者が個
人関連情報を個人データとして取得することが想定される場合で、その提供先が外国にある第三者である場合
個人関連情報の提供先の第三者が個
人関連情報を個人データとして取得することが想定される場合で、その提供先が外国にある第三者である場合
個人関連情報の提供先の第三者が個
人関連情報を個人データとして取得することが想定される場合で、その提供先が外国にある第三者である場
合で、67項が該当する場合

当該第三者が個人の権利利益を保護する上で我が 詳細については、外国第三者提供ガイドライン「3（個人の権国と同等の水準にあると認められる個人情報保護 利利益を保護する上で我が国と同等の水準にあると認められる制度を有している国（EU及び英国）にあるかを確 個人情報の保護に関する制度を有している外国）」を参照のこ認したか。ただし、65、67項の場合は除く。

当該第三者が個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備しているかを確認したか。ただし、65、66項の場合は除く。

当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認しているか。

71

3-7-3-3

第三者提供の制
限等

本人の同意等の確認の方法

既に確認を行った第三者に対す
る確認の方法72

3-7-4

第三者提供の制限等
個人関連情報の73

3-7-4ｰ1

第三者提供の制限等
個人関連情報の74

3-7-4-2-1

第三者提供の制限等

イン「4（個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準）」を参照のこと。

講ずべき措置の考え方等については、外国第三者提供ガイドラ
イン「6-1（相当措置の継続的な実施を確保するために必要な措置）」を参照のこと。

当該第三者による相当措置の実施に支障が生じた

人関連情報を個人データとして取得

ときは、必要かつ適切な措置を講ずるとともに、 講ずべき措置の考え方等については、外国第三者提供ガイドラ

することが想定される場合で、その当該相当措置の継続的な実施の確保が困難となっ イン「6-1（相当措置の継続的な実施を確保するために必要な提供先が外国にある第三者である場たときは、個人関連情報の当該第三者への提供を 措置）」を参照のこと。

合で、67項が該当する場合停止したか。

個人関連情報の提供先の第三者が個
人関連情報を個人データとして取得

書面の提示を受ける方法その他の適切な方法にすることが想定される場合で、よって必要な情報の提供が行われていることを確

65~67項のいずれかに該当している認したか。

本人から同意を得る主体は、原則として提供先の第三者となる。

場合

人関連情報を個人データとして取得することが想定される場合で、複数回にわたって同一「本人」の個
人関連情報を提供する際に当該事項

規則第 26 条に規定する方法3-7-3-1「個人データとして取得す
既に作成し、かつ、その時点において保存している記録に記録された事項と内容が同一である事を確認したか。

の確認を省略した場合
個人関連情報の必要な体制の基準の詳細については、外国第三者提供ガイドラ

個人関連情報の提供先の第三者が個

個人関連情報の提供先の第三者が個
個人関連情報のと個人関連情報の提供先の第三者が個提供元における

人関連情報を個人データとして取得記録義務することが想定される場合で、提供
元におけて確認を行った場合ることを認める旨の本人の同意を得られていること」3-7-3-2「外国にある第三者への提供にあっては、参考となるべき情報が当該本人に提供されていること」により確認を行い、3-7-4「提供元における記録義務」により作成されている必要がある。

当該本人の同意の確認を行った場合は、その記録を作成したか。ただし、「第三者」が(1)から(4)の場合は除く。

（1）国の機関（2）地方公共団体（3）独立行政法人等（4）地方独立行政法人

個人関連情報の提供先の第三者が個提供元における 記録を作成する 人関連情報を個人データとして取得

72項の記録は、文書、電磁的記録又はマイクロ記録義務

フィルムを用いて作成しているか。

媒体することが想定される場合で、提供
元におけて確認を行った場合
個人関連情報の提供先の第三者が個提供元における 記録を作成する 人関連情報を個人データとして取得

72項の記録は、個人関連情報の提供の都度、速や記録義務

かに、記録を作成したか。

方法－原則

することが想定される場合で、提供
元におけて確認を行った場合

個人関連情報を提供する前に記録を作成することもできる。

個人関連情報の75

3-7-4-2-2

第三者提供の制限等

個人関連情報の76

3-7-4-2-2

第三者提供の制限等記録を作成する
提供元における 方法－一括して記録義務記録を作成する
方法

記録を作成する
提供元における 方法－一括して記録義務記録を作成する方法

個人関連情報の提供先の第三者が個

当該第三者に対し個人関連情報を継続的に若しく

人関連情報を個人データとして取得

は反復して提供していることを確認したか、又はすることが想定される場合で、提供

当該第三者に対し個人関連情報を継続的に若しく元におけて一括して記録を作成したは反復して提供することが確実である事を確認し

場合

たか。

「確実であると見込まれるとき」の例としては、継続的に又は反復して個人関連情報を提供することを内容とする基本契約を締結することで、以後、継続的に又は反復して個人関連情報を提供することが確実であると見込まれる場合などが該当する。

-

-

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

★

この場合は、当該基本契約に係る契約書をもって記録とすることができる。

個人関連情報の提供先の第三者が個
人関連情報を個人データとして取得することが想定される場合で、提供
元におけて一括して記録を作成した

75項の記録には、対象期間、対象範囲等を明確に★

しているか。

--

場合本人に対する物品又は役務の提供に係る契約を締 (2)複数の書面を合わせて一つの記録とすることは妨げられな
結し、かかる契約の履行に伴って、当該本人に係 い。

個人関連情報の77

3-7-4-2-3

第三者提供の制限等記録を作成する
提供元における 方法－契約書等
記録義務の代替手段による方法

個人関連情報の提供先の第三者が個る個人関連情報を第三者に提供する場合は、当該 本人と提供元との間で作成した契約書のみならず、提供元と提人関連情報を個人データとして取得

契約書その他の書面に次の(1)~(3)が含めている事 供先の第三者との間で作成した契約書も含まれる。

することが想定される場合で、提供を確認したか。

「契約書」の他にも「その他の書面」には、個人関連情報取扱

提供元におけて、契約書その他の書(1)本人に対する物品又は役務の提供事業者又は提供先の第三者の内部で作成された帳票、記録簿等面をもって記録とする場合(2)当該提供に関して作成された（契約書その他の も含まれる。
書面）「契約書その他の書面」は電磁的記録を含むため、シス(3)契約書その他の書面

テム上の記録等も契約書その他の書面」に該当する。

個人関連情報の提供先の第三者が個
個人関連情報の78

3-7-4-2-4

第三者提供の制限等記録を作成する 人関連情報を個人データとして取得

提供元の個人関連情報取扱事業者は自己の義務が提供元における 方法－代行によ することが想定される場合で、提供免責されるわけではないことから、実質的に自ら記録義務り記録を作成す 先の第三者が、提供元の個人関連情が記録作成義務を果たしているものと同等の体制る方法を構築しているか。

報取扱事業者の記録義務の全部又は一部を代替している場合

記録に次の(1)～(4)が含まれているか。
(1)本人の同意が得られていることを確認した旨及び外国にある第三者への提供にあっては、情報の個人関連情報の79

3-7-4-3-1

第三者提供の制限等

提供元における 提供元における記録義務

記録事項ー同

個人関連情報の提供先の第三者が個
人関連情報を個人データとして取得することが想定される場合提供が行われていることを確認した旨(2)個人関連情報を提供した年月日又は、記録を一括して作成する場合にあっては、当該提供の期間の初日及び末日(3)当該第三者の氏名又は名称及び住所並びに法人(1)外国にある第三者への提供にあっては、情報の提供が行われていることについて確認した旨をその方法を含めて記載する。
提供元の個人関連情報取扱事業者が同意取得を代行している場
合においては、それぞれの事項を提供元の個人関連情報取扱事
業者が自ら確認した旨を記載する。

にあっては、その代表者の氏名(4)当該個人関連情報の項目
個人関連情報の提供先の第三者が個
個人関連情報の80

3-7-4-3-2

第三者提供の制限等

提供元における
記録義務

提供元における
記録事項ー記録
事項の省略

人関連情報を個人データとして取得することが想定される場合で、複数回にわたって同一「本人」の個人関連情報の提供をする場合において、作成した記録（現に保存している場合に限る。）に記録された事項と内容が同一である事を確認したか。

既に 3-7-4（提供元における記録義務）に規定する方法により作成した記録に限る。

当該事項の記録を省略する場合作成した記録を次の期間、保存しているか。
保存期間は記録の作成方法によって異なる。
「契約書等の代替手段による方法」により記録を
個人関連情報の81

3-7-4-4

第三者提供の制限等

個人関連情報の提供先の第三者が個提供元における
記録義務

保存期間

人関連情報を個人データとして取得することが想定される場合で、作成した記録がある場合作成した場合：最後に当該記録に係る個人関連情報の提供を行った日から起算して 1 年を経過する日までの間「一括して記録を作成する方法」により記録を作成した場合：最後に当該記録に係る個人関連情報の提供を行った日から起算して 3 年を経過する日までの間
上述以外の場合：3 年

個人関連情報の 提供先の第三者
82

3-7-5-1

第三者提供の制 における確認義 確認方法
限等

務

第三者から個人関連情報の提供を受けて個人データとして取得する場合

当該第三者（提供元）の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名を確認したか。

確認・記録義務ガイドライン「3-1-1（第三者の氏名及び住所
並びに法人にあっては、その代表者の氏名）」も参照のこと。

個人関連情報の 提供先の第三者 既に確認を行っ83

3-7-5-2

第三者提供の制 における確認義 た第三者に対す
限等

務

個人関連情報の 提供先の第三者
84

3-7-5-3

第三者提供の制 における確認義
限等

務

る確認方法

3-7-6

3-7-6-1

第三者提供の制 における記録義限等

務

個人関連情報の 提供先の第三者
87

3-7-6-2-1

第三者提供の制 における記録義限等

務

個人関連情報の 提供先の第三者
88

3-7-6-2-2

第三者提供の制 における記録義限等

務

個人関連情報の 提供先の第三者
89

3-7-6-2-2

第三者提供の制 における記録義限等

務事項の確認を省略する場合

既に作成し、かつ、その時点において保存していを確認したか。

人データとして取得していないか。

第三者から個人関連情報の提供を受けて個人データとして取得する場合

85項の記録は、文書、電磁的記録又はマイクロ媒体

フィルムを用いて作成しているか。

記録を作成する 第三者から個人関連情報の提供を受方法ー原則

けて個人データとして取得する場合

85項の記録は、個人関連情報の提供を受けて個人データとして取得する都度、速やかに、記録を作成したか。

記録を作成する 第三者から個人関連情報の提供を受一定の期間内に特定の事業者から継続的に又は反方法ー一括して けて個人データとして取得する場合

復して個人関連情報の提供を受けて個人データと記録を作成する で、提供先におけて一括して記録をして取得することが確実であることを確認した

方法

か。

作成した場合

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

により作成していること。

記録を作成したか。

記録を作成する 第三者から個人関連情報の提供を受けて個人データとして取得する場合

規則第 22条に規定する方法（3-7-5-1（確認方法））により確る記録に記録された事項と内容が同一であること 認を行い、3-7-4（提供元における記録義務）に規定する方法

偽りその他不正の手段により、個人関連情報を個

務

個人関連情報の 提供先の第三者
86

タとして取得する場合において当該による適正取得 けて個人データとして取得する場合

第三者提供の制 における記録義限等

人関連情報の提供を受けて個人デー

提供先の第三者 第三者から個人関連情報の提供を受

個人関連情報の 提供先の第三者
85

複数回にわたって同一「本人」の個

個人関連情報の提供を受けて個人データとして取得する前に記録を作成することも含む。

記録を作成する 第三者から個人関連情報の提供を受方法ー一括して けて個人データとして取得する場合

88項の記録には、対象期間、対象範囲等を明確に記録を作成する で、提供先におけて一括して記録をしているか。

方法

★

-

-

作成した場合本人に対する物品又は役務の提供に係る契約を締結し、かかる契約の履行に伴って、当該提供に関個人関連情報の 提供先の第三者
90

3-7-6-2-3

第三者提供の制 における記録義限等

務記録を作成する 第三者から個人関連情報の提供を受して作成された契約書その他の書面に次の(1)~(3)

方法ー契約書等 けて個人データとして取得する場合が含めている事を確認したか。

「契約書その他の書面」は電磁的記録を含むため、システム上の代替手段によ で、提供先において契約書その他の(1)本人に対する物品又は役務の提供の記録等も「契約書その他の書面」に該当する。

る方法(2)当該提供に関して作成された（契約書その他の書面をもって記録とする場合

書面）(3)契約書その他の書面記録に次の(1)～(4)が含まれているか。
(1)本人の同意が得られている旨及び外国にある事業者であっては、情報の提供が行われている旨
個人関連情報の 提供先の第三者 提供先の第三者
91

3-7-6-3-1

第三者提供の制 における記録義 における記録事
限等

務

項ー同

第三者から個人関連情報の提供を受けて個人データとして取得した場合(2)提供元の個人関連情報取扱事業者の氏名又は名 (1)同意の取得や情報提供について、これを行ったことを示す証
称及び住所並びに法人にあっては、その代表者の 跡等がある場合には、当該証跡等をもって記録とすることもで
氏名きる。

(3)当該個人データによって識別される本人の氏名
その他の当該本人を特定するに足りる事項(4)当該個人関連情報の項目
第三者から個人関連情報の提供を受
個人関連情報の 提供先の第三者
92

3-7-6-3-2

第三者提供の制 における記録義限等

務

提供先の第三者 けて個人データとして取得した場
における記録事 で、複数回にわたって同一「本人」
項ー記録事項の の個人関連情報の提供を受けて個人
省略

データとして取得する場合において当該事項の確認を省略する場合作成した記録（現に保存している場合に限る。）に記録された事項と内容が同一である事を確認したか。

既に 3-7-6（提供先の第三者における記録義務）に規定する方法により作成した記録に限る。

作成した記録を次の期間、保存しているか。
保存期間は記録の作成方法によって異なる。
「 契約書等の代替手段による方法」により記録を作成した場合：最後に当該記録に係る提供を受け
93

3-7-6-4

個人関連情報の 提供先の第三者

第三者から個人関連情報の提供を受て個人データとして取得した日から起算して 1 年

第三者提供の制 における記録義 保存期間

けて個人データとして取得した場を経過する日までの間

限等で、作成した記録がある場合「一括して記録を作成する方法」により記録を作

務

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

成した場合：最後に当該記録に係る提供を受けて個人データとして取得した日から起算して 3 年を経過する日までの間
上述以外の場合：3 年「本人の知り得る状態（本人の求めに応じて遅滞なく回答する
場合を含む。）」とは、ホームページへの掲載、パンフレット
保有個人データに関する事項の94

3-8-1

公表等、保有個
人データの開示・訂正等・利保有個人データについて、個人情報取扱事業者の の配布、本人の求めに応じて遅滞なく回答を行うこと等、本人
保有個人データ 保有個人データに関する事項の に関する事項の 保有個人データを保有している場合
公表等

本人への周知氏名又は名称及び住所並びに法人にあっては、そ が知ろうとすれば、知ることができる状態に置くことをいい、の代表者の氏名を本人の知り得る状態（本人の求 常にその時点での正確な内容を本人の知り得る状態に置かなけめに応じて遅滞なく回答する場合を含む。）に置 ればならない。必ずしもホームページへの掲載、又は事務所等
いているか。

用停止等の窓口等へ掲示すること等が継続的に行われることまでを必要とするものではないが、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。
(1)利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれが保有個人データに関する事項の95

3-8-1

公表等、保有個
人データの開示・訂正等・利ある場合
保有個人データ 保有個人データに関する事項の に関する事項の 保有個人データを保有している場合
公表等

本人への周知全ての保有個人データの利用目的を本人の知り得 (2)利用目的を本人に通知し、又は公表することにより当該個人る状態（本人の求めに応じて遅滞なく回答する場 情報取扱事業者の権利又は利益が侵害されるおそれがある場合合を含む。）に置いているか。ただし、(1)～(3)(3)国の機関等が法令の定める事務を実施する上で、民間企業等を除く。

の協力を得る必要がある場合であり、協力する民間企業等が国用停止等の機関等から受け取った個人情報の利用目的を本人に通知し、又は公表することにより、当該事務の遂行に支障を及ぼすおそれがある場合963-8-1

保有個人データ

保有個人データの利用目的の通知の求め又は開示に関する事項の等の請求に応じる手続及び保有個人データの利用公表等、保有個
人データの開示・訂正等・利

97

3-8-1

公表等

本人への周知額（定めた場合に限る。）」を本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置いているか。

保有個人データ

保有個人データの安全管理のために講じた措置をに関する事項の本人の知り得る状態（本人の求めに応じて遅滞な公表等、保有個
人データの開保有個人データ 保有個人データに関する事項の に関する事項の 保有個人データを保有している場合
公表等

本人への周知く回答する場合を含む。）に置いているか。
ただし、本人の知り得る状態に置くことにより当該保有個人データの安全管理に支障を及ぼすおそ

用停止等

れがあるものを除く。

保有個人データ

保有個人データの安全管理のために講じた措置に関する事項の3-8-1

に関する事項の に関する事項の 保有個人データを保有している場合

目的の通知の求め又は開示の請求に係る手数料の用停止等

示・訂正等・利98

保有個人データ 保有個人データ

公表等、保有個
人データの開示・訂正等・利用停止等

保有個人データ 保有個人データに関する事項の に関する事項の 保有個人データを保有している場合
公表等

本人への周知「開示等の請求」とは、保有個人データの開示（3-8-2（保有個人データの開示）参照）、保有個人データの内容の訂正、追加若しくは削除（3-8-4（保有個人データの訂正等）参照）、
保有個人データの利用の停止若しくは消去又は保有個人データの第三者への提供の停止（3-8-（保有個人データの利用停止
等） 5 参照）、第三者提供記録の開示（3-8-3（第三者提供記
録の開示））の請求をいう。
本人の知り得る状態については、本人の求めに応じて遅滞なく回答する場合を含むため、講じた措置の概要や一部をホームページに掲載し、残りを本人の求めに応じて遅滞なく回答を行うといった対応も可能であるが、例えば、「個人情報の保護に関する法律についてのガイドライン（通則編）」に沿って安全管理措置を実施しているといった内容の掲載や回答のみでは適切ではない。

は、事業の規模及び性質、保有個人データの取扱状況（取り扱う保有個人データの性質及び量を含む。）、保有個人データを記録した媒体等に起因するリスクに応じて、必要かつ適切な内容となっているか。

保有個人データに関する事項の99

3-8-1

公表等、保有個
人データの開示・訂正等・利保有個人データ 保有個人データ

保有個人データの取扱いに関する苦情の申出先をに関する事項の に関する事項の 保有個人データを保有している場合

本人の知り得る状態（本人の求めに応じて遅滞な公表等く回答する場合を含む。）に置いているか。

本人への周知

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

-

-

用停止等
保有個人データに関する事項の100 3-8-1

公表等、保有個
人データの開示・訂正等・利保有個人データについて、認定個人情報保護団体

保有個人データ 保有個人データに関する事項の に関する事項の 保有個人データを保有している場合
公表等

本人への周知の名称及び苦情解決の申出先を本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置いているか。

用停止等(1)94項～95項の措置により保有個人データの利用目的が明らかである場合(2)利用目的を本人に通知し、又は公表することにより本人又は保有個人データに関する事項の101 3-8-1

公表等、保有個
人データの開示・訂正等・利本人から、当該本人が識別される保有個人データ
保有個人データ 保有個人データに関する事項の の利用目的の通公表等

知本人から利用目的の通知請求があった場合の利用目的の通知を求められたときは、遅滞なく、本人に通知しているか。ただし(1)～(4)は除
く。

用停止等

第三者の生命、身体、財産その他の権利利益を害するおそれがある場合(3)利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は利益が侵害されるおそれがある場合(4)国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であり、協力する民間企業等が国の機関等から受け取った保有個人データの利用目的を本人に通知し、又は公表することにより、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合

保有個人データに関する事項の102 3-8-1

公表等、保有個
人データの開示・訂正等・利保有個人データ 保有個人データに関する事項の の利用目的の通公表等

知

前項において、利用目的を通知しない旨を決定し本人から利用目的の通知請求があったときは、遅滞なく、その旨を本人に通知してい

た場合

るか

用停止等
保有個人データ

本人に対し、電磁的記録の提供による方法、書面に関する事項の103 3-8-2の交付による方法その他当該個人情報取扱事業者

公表等、保有個 保有個人データ
人データの開の開示

本人から保有個人データの開示請求の定める方法のうち本人が請求した方法により、を受けた場合遅滞なく、当該保有個人データを開示したか。

示・訂正等・利（存在しないときにはその旨を知らせることを含

用停止等む。 ）ただし、105項(1)~(3)の場合は除く。

保有個人データ
公表等、保有個 保有個人データ
人データの開法による開示が困難である場合にあっては、書面の交付による方法とする。

電磁的記録の提供による方法では、可読性・検索に関する事項の104 3-8-2

当該方法による開示に多額の費用を要する場合その他の当該方の開示示・訂正等・利本人から保有個人データの開示請求性のある形式による提供や、技術的に可能な場合 個人情報取扱事業者がファイル形式や記録媒体などの具体的なを受けた場合で、電磁的記録の提供には、他の事業者へ移行可能な形式による提供を 方法を定めることができるが、開示請求等で得た保有個人デー

による方法で開示した場合

含め、できる限り本人の要望に沿った形で対応し タの利用等における本人の利便性向上の観点を考慮する。

★

-

-

たか。

用停止等

開示することにより次の(1)～(3)のいずれかに該当する場合は、その全部又は一部を開示しないことができるが、これにより開示しない旨の決定を

105 3-8-2

保有個人データ

したとき又は請求に係る保有個人データが存在しに関する事項のないときは、遅滞なく、その旨を本人に通知した

公表等、保有個 保有個人データ

本人から保有個人データの開示請求か。

人データの開を受けた場合(1)本人又は第三者の生命、身体、財産その他の権の開示

示・訂正等・利利利益を害するおそれがある場合

用停止等(2)個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合(3)他の法令に違反することとなる場合(2)「著しい支障を及ぼすおそれ」に該当する場合とは、個人情報取扱事業者の業務の実施に単なる支障ではなく、より重い支障を及ぼすおそれが存在するような例外的なときに限定され、単に開示すべき保有個人データの量が多いという理由のみでは、一般には、これに該当しない。

★

保有個人データに関する事項の106 3-8-2

公表等、保有個 保有個人データ
人データの開本人から保有個人データの開示請求の開示を受けた場合示・訂正等・利本人が請求した方法による開示が困難であるときは、その旨を本人に通知した上で、書面の交付に

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

よる方法により開示を行ったか。

用停止等
本人に対し、電磁的記録の提供による方法、書面の交付による方法その他当該個人情報取扱事業者

107 3-8-3-2

保有個人データの定める方法のうち本人が請求した方法（当該方に関する事項の法による開示に多額の費用を要する場合その他の公表等、保有個 第三者提供記録 第三者提供記録
人データの開の開示の開示の方法示・訂正等・利本人から当該本人が識別される個人
データに係る第三者提供記録の開示の請求を受けた場合

用停止等

当該方法による開示が困難である場合にあっては、書面の交付による方法）により、遅滞なく、
当該第三者提供記録を開示したか。（存在しない
ときにはその旨を知らせることを含む。）ただし、(1)～(4)を除く。

（1）当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの（2）当該記録の存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの（3）当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉
上不利益を被るおそれがあるもの（4）当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及
ぶおそれがあるもの

保有個人データ

第三者提供記録を開示することにより次の(1)からに関する事項の108 3-8-3-3

公表等、保有個 第三者提供記録 第三者提供記録
人データの開の開示の不開示事由等

示・訂正等・利本人から当該本人が識別される個人
データに係る第三者提供記録の開示の請求を受けた場合

用停止等(3)までのいずれかに該当する場合は、その全部又は一部を開示しないことができるが、これにより開示しない旨の決定をしたとき又は請求に係る第三者提供記録が存在しないときは、遅滞なく、その旨を本人に通知したか。

(1)本人又は第三者の生命、身体、財産その他の権利利益を害す
るおそれがある場合(2)個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合(3)他の法令に違反することとなる場合

保有個人データに関する事項の109 3-8-3-3

公表等、保有個 第三者提供記録 第三者提供記録
人データの開の開示の不開示事由等

示・訂正等・利本人から当該本人が識別される個人

本人が請求した方法による開示が困難であるときデータに係る第三者提供記録の開示

は、その旨を本人に通知した上で、書面の交付にの請求を受けた場合よる方法により開示を行ったか。

用停止等
保有個人データ

本人から、保有個人データに誤りがあり、事実でに関する事項の110 3-8-4

公表等、保有個 保有個人データ
人データの開本人から利用停止等の請求を受けた

の訂正等

場合

示・訂正等・利保有個人データ

要な範囲で遅滞なく必要な調査を行い、その結果

利用目的からみて訂正等が必要ではない場合、保有個人データが誤りである旨の指摘が正しくない場合には、訂正等を行う必要はない。ただし、その場合には、遅滞なく、訂正等を行わない旨を本人に通知しなければならない。

保有個人データの内容の全部若しくは一部についに関する事項の公表等、保有個 保有個人データ
人データの開削除の請求を受けた場合で、利用目的の達成に必に基づき内容の訂正、追加又は削除を行ったか。

用停止等

111 3-8-4ないという理由によって、内容の訂正、追加又は本人から利用停止等の請求を受けた

の訂正等

場合

示・訂正等・利て内容の訂正、追加又は削除を行ったとき、又は 保有個人データの内容の訂正等に関して他の法令の規定により行わない旨の決定をしたときは、遅滞なく、その 特別の手続が定められている場合には、適用されず、当該他の旨（行ったときは、その内容を含む。）を本人に 法令の規定が適用されることとなる。
通知したか。

用停止等

本人から、本人の同意なく目的外利用がされている若しくは不適正な利用が行われている、又は偽保有個人データ

りその他不正の手段により個人情報が取得され若に関する事項の112 3-8-5-1

公表等、保有個 保有個人データ 利用停止等の要人データの開の利用停止等件

本人から利用停止等の請求を受けた
場合ー法違反の場合の利用停止等

しくは本人の同意なく要配慮個人情報が取得されたものであるという理由によって、利用停止等の請求を受けた場合であって、その請求に理由があ示・訂正等・利ることが判明したときは、遅滞なく、保有個人

用停止等

データの利用の停止若しくは消去（以下「利用停止等」という。）を行ったか。
ただし、困難な場合を除く。

保有個人データ

本人から、本人の同意なく第三者に提供されていに関する事項の113 3-8-5-1

公表等、保有個 保有個人データ 利用停止等の要人データの開示・訂正等・利用停止等の利用停止等件

本人から利用停止等の請求を受けた
場合ー法違反の場合の第三者提供の停止

るという理由によって、当該保有個人データの第三者提供の停止の請求を受けた場合で、その請求に理由があることが判明したときは、遅滞なく、第三者提供の停止を行ったか。
ただし、困難な場合を除く。

本人から、利用する必要がなくなったという理由

保有個人データによって、当該保有個人データの利用停止等又はに関する事項の114 3-8-5-1

公表等、保有個 保有個人データ 利用停止等の要人データの開の利用停止等

件

示・訂正等・利

本人から利用停止等の請求を受けた

第三者提供の停止の請求を受けた場合であって、場合ー利用する必要がなくなった場

その請求に理由があることが判明したときは、遅合

滞なく、利用停止等又は第三者提供の停止を行っ
たか。

用停止等

在しなくなった場合や利用目的が達成されなかったものの当該

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

★

-

-

目的の前提となる事業自体が中止となった場合等をいう

個人情報保護委員会へ報告義務のある漏えい等事に関する事項の本人から利用停止等の請求を受けた

公表等、保有個 保有個人データ 利用停止等の要 場合ー当該本人が識別される保有個人データの開との関係では当該保有個人データを保有する合理的な理由が存

ただし、困難な場合を除く。

保有個人データ

115 3-8-5-1

利用する必要がなくなったとは、利用目的が達成され当該目的の利用停止等

件

示・訂正等・利人データに係る漏えい等事案が生じ
た場合

用停止等

案が生じたという理由によって、当該保有個人データの利用停止等又は第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として、遅滞なく、利用停止等又は第三者への提供の停止を行ったか。
ただし、困難な場合を除く。
「本人の権利又は正当な利益が害されるおそれがある場合」とは、法目的に照らして保護に値する正当な利益が存在し、それが侵害されるおそれがある場合をいう。
「正当」かどうかは、個人情報取扱事業者に本人の権利利益の保護の必要性を上回る特別な事情がない限りは、個人情報取扱
事業者は請求に応じる必要がある。
本人から、当該本人が識別される保有個人データ 本人の権利利益の保護の必要性を上回る特別な事情があるかど

保有個人データの取扱いにより当該本人の権利又は正当な利益が うかを判断するに当たっては、例えば、以下のような事情を考に関する事項の116 3-8-5-1

公表等、保有個 保有個人データ 利用停止等の要人データの開の利用停止等

件

示・訂正等・利

本人から利用停止等の請求を受けた

害されるおそれがあるという理由によって請求を 慮することになる。

場合ー当該本人の権利又は正当な利受けた場合で、その請求に理由があることが判明 （ア）本人又は第三者の生命、身体、財産その他の権利利益を益が害されるおそれがある場合したときは、原則として、遅滞なく、利用停止等保護するために当該保有個人データを取り扱う事情

又は第三者への提供の停止を行ったか。

（イ）法令を遵守するために当該保有個人データを取り扱う事

ただし、困難な場合を除く。

情

用停止等

（ウ）契約に係る義務を履行するために当該保有個人データを取り扱う事情（エ）違法又は不当な行為を防止するために当該保有個人デー
タを取り扱う事情（オ）法的主張、権利行使又は防御のために当該保有個人デー
タを取り扱う事情
保有個人データ
本人の権利利益

本人の権利利益の侵害を防止するために必要な限公表等、保有個 保有個人データ の侵害を防止す 本人から利用停止等の請求を受けた

度で、利用停止等又は第三者提供の停止を行ったに関する事項の117 3-8-5-2

人データの開の利用停止等

示・訂正等・利るために必要な 場合ー114～116項が該当する場合か。

限度

ただし、困難な場合を除く。

本人の権利利益

112～116項に該当する場合であっても、利用停止

用停止等
困難である場合とは、利用停止等又は第三者提供の停止に多額

保有個人データに関する事項の118 3-8-5-3

公表等、保有個 保有個人データ を保護するため
人データの開の利用停止等

示・訂正等・利必要なこれに代わるべき措置本人から利用停止等の請求を受けた
場合ー利用停止等又は第三者提供の停止を行うことが困難である場合

等又は第三者提供の停止を行うことが困難である
場合は、本人の権利利益を保護するために必要な代替措置を講じたか。

用停止等

本人の権利利益に関する事項の公表等、保有個 保有個人データ を保護するため 本人から利用停止等の請求を受けた
人データの開示・訂正等・利用停止等活動において保有個人データを必要とする場合についても該当し得る。
代替措置については、事案に応じて様々であるが、生じている本人の権利利益の侵害のおそれに対応するものであり、本人の権利利益の保護に資するものである必要がある。

保有個人データ

119 3-8-5-3の費用を要する場合のほか、個人情報取扱事業者が正当な事業の利用停止等

必要なこれに代 場合わるべき措置利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は、第三者提供の停止を行ったとき若しくは第三者提供を停止しない旨の決定をしたときは、遅滞なく、その旨を本人に通知したか。

保有個人データ
本人の権利利益に関する事項の120 3-8-5-3

公表等、保有個 保有個人データ を保護するため 本人から利用停止等の請求を受けた
人データの開の利用停止等

必要なこれに代 場合わるべき措置示・訂正等・利事業活動の特性、規模及び実態を考慮して、自主的に利用停止等又は第三者提供の停止に応じる

★

-

-

★

-

-

等、本人からの求めにより一層対応したか。

用停止等
保有個人データ
措置の全部又は一部について、その措置をとらなに関する事項の121 3-8-6

公表等、保有個
人データの開理由の説明

保有個人データについて本人から求い旨又はその措置と異なる措置をとる旨を本人にめがあった場合

通知する場合は、併せて、本人に対して、その理由を説明したか。

示・訂正等・利用停止等(1)（例）担当窓口名・係名、郵送先住所、受付電話番号、受付
次の(1)～(4)を本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置いているか。
(1)開示等の請求等の申出先(2)開示等の請求等に際して提出すべき書面（電磁保有個人データ

的記録を含む。）の様式、その他の開示に関する事項の122 3-8-7

公表等、保有個 開示等の請求等

開示等の請求等を受け付ける方法を

人データの開定めている場合に応じる手続示・訂正等・利等の請求等の受付方法(3)開示等の請求等をする者が本人又はその代理人（①未成年者又は成年被後見人の法定代理人、②開示等の請求等をすることにつき本人

用停止等が委任した代理人）であることの確認の方法(4)保有個人データの利用目的の通知又は保有個人
データの開示をする際に徴収する手数料の徴収方
法

FAX 番号、メールアドレス等(2)（例）郵送、FAX、電子メールやウェブサイト等のオンラインで受け付ける等
本人確認の方法としては、次のような事例が考えられるが、事業の性質、保有個人データの取扱状況、開示等の請求等の受付
方法等に応じて、適切なものでなければならず、本人確認のために事業者が保有している個人データに比して必要以上に多くの情報を求めないようにするなど、本人に過重な負担を課する

★

-

-

★

-

-

-

-

ものとならないよう配慮しなくてはならない。
なお、代理人による来所や送付等の場合にあっては、確認書類
として、本人及び代理人についての次の事例に示す書類等のほか、代理人について、代理権を与える旨の委任状（親権者が未成年者の法定代理人であることを示す場合は、本人及び代理人が共に記載され、その続柄が示された戸籍謄抄本、住民票の写し。また、成年後見人が成年被後見人の法定代理人であることを示す場合は、登記事項証明書）が考えられる。

当該手続が、事業の性質、保有個人データの取扱

保有個人データ

状況、開示等の請求等の受付方法等に応じて適切に関する事項の123 3-8-7

公表等、保有個 開示等の請求等

開示等の請求等を受け付ける方法を

人データの開定めている場合に応じる手続示・訂正等・利口を他の業務を行う拠点とは別にいたずらに不便

開示等の請求等を受け付ける方法を合理的な範囲で定めたときは、本人は、当該方法に従って開示等の請求等を行わなければならず、当該方法に従わなかった場合は、個人情報取扱事業者
は当該開示等の請求等を拒否することができる。

課するものとならないよう配慮しているか。

保有個人データ

開示等の請求等を行おうとする本人がその手続をに関する事項の公表等、保有個 開示等の請求等
人データの開煩雑な書類を書かせたり、請求等を受け付ける窓な場所に限定したりする等、本人に過重な負担を用停止等

124 3-8-7

なものになるよう配慮するとともに、必要以上にに応じる手続

開示等の請求等を受け付ける方法を定めている場合

示・訂正等・利把握できるようにしておくことが重要であり、例
えば、ホームページへの掲載による場合、本人が簡単な操作によって該当箇所へ到達でき、円滑に事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。

★

-

-

★

-

-

請求等を行えるようにしているか。

用停止等
保有個人データ「本人の求めに応じて遅滞なく回答する」ことにに関する事項の125 3-8-7

公表等、保有個 開示等の請求等
人データの開に応じる手続

開示等の請求等を受け付ける方法を

よって対応する場合には、その前提として、少な定めている場合

くとも本人が簡単な操作によって求めを行うことができるようにしているか。

示・訂正等・利用停止等円滑に開示等の手続が行えるよう、本人に対し、保有個人データ

開示等の請求等の対象となる当該本人が識別されに関する事項の126 3-8-7

公表等、保有個 開示等の請求等

開示等の請求等を受け付ける方法を

人データの開定めている場合

示・訂正等・利用停止等に応じる手続る保有個人データ又は第三者提供記録の特定に必要な事項（住所、ID、パスワード、会員番号等）の提示を求める際は、本人が容易かつ的確に開示等の請求等をすることができるよう、本人の利便性を考慮しているか。

★

保有個人データ
当該措置の実施に関し、手数料の額を定めているに関する事項の127 3-8-8

公表等、保有個
人データの開手数料

開示等の請求手数料を定めている場

場合には、本人の知り得る状態（本人の求めに応合じて遅滞なく回答する場合を含む。）に置いてい

★

-

-

★

-

-

★

-

-

るか。

示・訂正等・利用停止等
保有個人データに関する事項の128 3-8-8

公表等、保有個
人データの開開示等の請求手数料を定めている場

手数料

合示・訂正等・利手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めているか。

用停止等
個人情報の取扱129 3-9

いに関する苦情処理

130 3-9

個人情報の取扱いに関する苦情の申

個人情報の取扱いに関する苦情の適切かつ迅速なし出があった場合処理を行ったか。

個人情報の取扱

苦情の適切かつ迅速な処理を行うに当たり、苦情

いに関する苦情処理窓口の設置や苦情処理の手順を定める等必要処理な体制の整備されているか。

★

-

-

-

-

★

-

-

-

-

-

-

-

-

「個人情報保護を推進する上での考え方や方針
131 3-9

個人情報の取扱（いわゆる、プライバシーポリシー、プライバ

いに関する苦情

シーステートメント等）」を策定し、それをホー 無、委託する事務の内容を明らかにする等、委託処理の透明化

あらかじめ、対外的に分かりやすく説明することや、委託の有処理

ムページへの掲載又は店舗の見やすい場所への掲 を進めることも重要である。
示等により公表しているか。
個人データの適正な取扱いの確保について組織と132 10-1

講ずべき安全管理措置

して取り組むために、事業者の名称、関係法令・基本方針の策定

ガイドライン等の遵守、安全管理措置に関する事★

項、質問及び苦情処理の窓口等を定めた基本方針を策定しているか。

133 10-2

134 10-2

135 10-3
136 10-3
137 10-3
138 10-3

講ずべき安全管理措置講ずべき安全管理措置

個人データの取取り扱う個人データの漏えい等の防止その他の個扱いに係る規律

人データの安全管理のために、個人データの具体の整備的な取扱いに係る規律を整備

理措置

措置

講ずべき安全管 組織的安全管理
理措置

措置

講ずべき安全管 組織的安全管理
理措置について定める個人データの取扱規程を策定、又の整備講ずべき安全管 組織的安全管理
理措置とに、取扱方法、責任者・担当者及びその任務等扱いに係る規律

措置

措置

-

-

134:134

-

-

-

133

-

-

-

136:141

-

-

135

-

-

-

135

-

-

-

-

135

★

-

-

-

-

135

★

★

-

-

-

-

135

★

★

-

-

★

★

-

自動判定

★

★

-

★

★

-

★

★

-

-

★

★

-

★

★

取得、利用、保存、提供、削除・廃棄等の段階ご

個人データの取講ずべき安全管 組織的安全管理-★

は規律を整備しているか。
安全管理措置を講ずるための組織体制を整備して組織体制の整備いるか。
個人データの取扱いに関する責任者の設置及び責組織体制の整備

任を明確にしているか 。
個人データを取り扱う従業者及びその役割を明確

組織体制の整備にしているか。
前項の従業者が取り扱う個人データの範囲を明確

組織体制の整備にしているか。

自動判定

法や自社において整備している個人データの取扱
139 10-3

講ずべき安全管 組織的安全管理
理措置

措置

いに係る規律に違反している事実又は兆候を把握

組織体制の整備した場合の責任者への報告連絡体制は整備されているか。

140 10-3

141 10-3

142 10-3

講ずべき安全管 組織的安全管理
理措置

措置

講ずべき安全管 組織的安全管理
理措置

措置

講ずべき安全管 組織的安全管理
理措置

措置

個人データの漏えい等の事案の発生又は兆候を把
組織体制の整備握した場合の責任者への報告連絡体制は整備されているか。

組織体制の整備

個人データを複数の部署で取り扱う
場合

各部署の役割分担及び責任を明確化しているか。

個人データの取あらかじめ整備された個人データの取扱いに係る

扱いに係る規律

規律に従ったを運用し、その状況を確認するたに従った運用め、利用状況等を記録しているか。

-

自動判定

-

135

-

-

143:146

143 10-3

144 10-3

講ずべき安全管 組織的安全管理
理措置

措置

講ずべき安全管 組織的安全管理
理措置

措置「個人情報データベース等の利用・出力状況」に

個人データの取関して、システムログその他の個人データの取扱扱いに係る規律いに係る記録の整備又は業務日誌の作成等を行っに従った運用

★

-

-

-

-

142

★

-

-

-

-

142

★

-

-

-

-

142

-

-

ているか。
「個人データが記載又は記録された書類・媒体等

個人データの取の持ち運び等の状況」に関して、システムログそ扱いに係る規律の他の個人データの取扱いに係る記録の整備又はに従った運用

業務日誌の作成等を行っているか。
「個人情報データベース等の削除・廃棄の状況

145 10-3

講ずべき安全管 組織的安全管理
理措置

措置

個人データの取（委託した場合の消去・廃棄を証明する記録を含扱いに係る規律む。）」に関して、システムログその他の個人に従った運用

データの取扱いに係る記録の整備又は業務日誌の作成等を行っているか。

146 10-3

147 10-3

148 10-3

149 10-3

150 10-3

151 10-3

152 10-3

153 10-3

154 10-3

155 10-3

156 10-3

157 10-3

158 10-3

159 10-3

講ずべき安全管 組織的安全管理
理措置

措置

講ずべき安全管 組織的安全管理
理措置

措置

講ずべき安全管 組織的安全管理
理措置

措置

講ずべき安全管 組織的安全管理
理措置

措置

講ずべき安全管 組織的安全管理
理措置

措置

講ずべき安全管 組織的安全管理
理措置

措置

講ずべき安全管 組織的安全管理
理措置

措置

講ずべき安全管 組織的安全管理
理措置

措置

講ずべき安全管 組織的安全管理
理措置

措置

講ずべき安全管 組織的安全管理
理措置

措置

講ずべき安全管 組織的安全管理
理措置

措置

講ずべき安全管 組織的安全管理
理措置

措置

講ずべき安全管 組織的安全管理
理措置

措置

講ずべき安全管 組織的安全管理
理措置

措置

個人データの取扱いに係る規律に従った運用
個人データの取扱状況を確認す
る手段の整備担当者の情報システムの利用状況（ログイン実
個人情報データベース等を情報シス

績、アクセスログ等）」に関して、システムログ

テムで取り扱う場合

その他の個人データの取扱いに係る記録の整備又★

は業務日誌の作成等を行っているか。
個人データの取扱状況を確認する手段を整備して取り扱う「個人情報データベース等の種類、名扱状況を確認す

称」についてあらかじめ明確化しておくことによる手段の整備り、個人データの取扱状況を把握しているか

個人データの取取り扱う「個人データの項目」についてあらかじ

扱状況を確認す

め明確化しておくことにより、個人データの取扱

る手段の整備状況を把握しているか。

個人データの取個人データを取り扱う「責任者・取扱部署」につ扱状況を確認す

いてあらかじめ明確化しておくことにより、個人る手段の整備

データの取扱状況を把握しているか。

個人データの取取り扱う個人データの「利用目的」についてあら

扱状況を確認す

かじめ明確化しておくことにより、個人データのる手段の整備取扱状況を把握しているか。

個人データの取個人データを取り扱う「アクセス権を有する者」

扱状況を確認すについてあらかじめ明確化しておくことにより、る手段の整備

個人データの取扱状況を把握しているか。

漏えい等の事案

漏えい等事案の発生又は兆候を把握した場合に適 漏えい等事案が発生した場合、二次被害の防止、類似事案の発に対応する体制

切かつ迅速に対応するための体制を整備している

生防止等の観点から、事案に応じて、事実関係及び再発防止策

の整備

か。

等を早急に公表することが重要である。

漏えい等の事案

漏えい等の事案の発生時に「事実関係の調査及びに対応する体制

原因の究明」を行うための体制が整備されている

の整備

か。

漏えい等の事案

漏えい等の事案の発生時に「影響を受ける可能性に対応する体制のある本人への通知」を行うための体制が整備さの整備れているか。

漏えい等の事案

漏えい等の事案の発生時に「個人情報保護委員会に対応する体制等への報告」を行うための体制が整備されている

の整備

か。

に対応する体制の整備

漏えい等の事案の発生時に「再発防止策の検討及び決定」を行うための体制が整備されているか。

漏えい等の事案

漏えい等の事案の発生時に「事実関係及び再発防に対応する体制止策等の公表」を行うための体制が整備されてい

の整備

るか。

取扱状況の把握及び安全管理措
置の見直し

個人データの取扱状況を把握し、安全管理措置の評価、見直し及び改善に取り組んでいるか。

-

148:152

-

-

147

-

-

-

147

-

-

-

-

147

★

-

-

-

-

147

★

-

-

-

-

147

★

★

-

-

154:158

★

★

-

-

-

-

153

★

★

-

-

-

-

153

★

★

-

-

-

-

153

★

★

-

-

-

-

153

★

★

-

-

-

-

153

★

★

-

-

160:161★

いるか。

個人データの取漏えい等の事案

142

-

★

-

自動判定

★

-

-

★

-

★

-

自動判定

自動判定

-

-

-

-

160 10-3

161 10-3

162 10-4
163 10-4
164 10-4

講ずべき安全管 組織的安全管理
理措置

措置

講ずべき安全管 組織的安全管理
理措置

措置

講ずべき安全管 人的安全管理措
理措置

置

講ずべき安全管 人的安全管理措
理措置

置

講ずべき安全管 人的安全管理措
理措置

置

取扱状況の把握

個人データの取扱状況について、定期的に自ら行及び安全管理措う点検又は他部署等による監査を実施している

置の見直し

か。

取扱状況の把握及び安全管理措
置の見直し★

外部（JAPHICを除く）の主体による 外部の主体による監査活動と合わせて、監査を実
監査活動を受けている場合★

施しているか。
個人データの適正な取扱いを周知徹底するととも従業者の教育★

に適切な教育を行っているか。
個人データの取扱いに関する留意事項について、従業者の教育従業者に定期的な研修等を行っているか。
個人データについての秘密保持に関する事項を就従業者の教育-業規則等に盛り込んでいるか。

-

-

-

-

-

★

-

自動判定

★

-

-

★

-

-

★

-

-

159

159

-

-

163:164

-

-

162

-

-

162

-

166:168

個人情報データベース等を取り扱うサーバやメイ
165 10-5

講ずべき安全管 物理的安全管理
理措置

措置

個人データを取ンコンピュータ等の重要な情報システムを管理すり扱う区域の管る区域及びその他の個人データを取り扱う事務を理実施する区域について、それぞれ適切な管理して

★

-

自動判定

-

いるか。
166 10-5

167 10-5

168 10-5

169 10-5

170 10-5

171 10-5

172 10-5

173 10-5

174 10-5

175 10-5

講ずべき安全管 物理的安全管理
理措置

措置

講ずべき安全管 物理的安全管理
理措置

措置

講ずべき安全管 物理的安全管理
理措置

措置

講ずべき安全管 物理的安全管理
理措置

措置

講ずべき安全管 物理的安全管理
理措置

措置

講ずべき安全管 物理的安全管理
理措置

措置

講ずべき安全管 物理的安全管理
理措置

措置

講ずべき安全管 物理的安全管理
理措置

措置

講ずべき安全管 物理的安全管理
理措置

措置

講ずべき安全管 物理的安全管理
理措置

措置

個人データを取り扱う区域の管 個人データの管理区域がある場合
理

個人データを取り扱う区域に持ち込む機器等を制限しているか。

個人データを取IC カード、ナンバーキー等による入退室管理シス

り扱う区域の管 個人データの管理区域がある場合

テムの設置等により、入退室管理を実施している

理か。

り扱う区域の管 個人データの取扱区域がある場合
理

き込みを防止する措置の実施等により、権限を有しない者による個人データの閲覧等の防止を実施
個人データを取り扱う機器、電子媒体及び書類等

体等の盗難等のの盗難又は紛失等を防止するために、適切な管理防止を行っているか。

を、施錠できるキャビネット・書庫等に保管して防止
個人データを取り扱う情報システム

当該機器をセキュリティワイヤー等により固定しが機器のみで運用されている場合ているか。
個人データが記録された電子媒体又は書類等を持ち運ぶ場合の漏ち運ぶ場合、容易に個人データが判明しないよ

えい等の防止う、安全な方策を講じているか。

えい等の防止電子媒体等を持ち運ぶ場合の漏えい等の防止電子媒体等を持ち運ぶ場合の漏えい等の防止

★

-

-

165

★

-

-

165

★

-

★

-

-

自動判定

-

-

170:171

-

-

-

169

-

-

いるか

電子媒体等を持ち運ぶ場合の漏★

れた電子媒体又は個人データが記載された書類等

体等の盗難等の電子媒体等を持165

個人データを取り扱う機器、個人データが記録さ機器及び電子媒防止-しているか。

機器及び電子媒体等の盗難等の-壁又は間仕切り等の設置、座席配置の工夫、のぞ

個人データを取機器及び電子媒★

個人データが記録された電子媒体を持ち運ぶ個人データの暗号化、パスワードによる持ち運ぶ場合保護等を行った上で電子媒体に保存しているか。

個人データが記録された書類等を持持ち運ぶ個人データに、封緘、目隠しシールの貼ち運ぶ場合付け等を行っているか。

個人データが記録された書類等を持
ち運ぶ場合

★

169

「持ち運ぶ」とは、個人データを管理区域又は取扱区域から外へ移動させること又は当該区域の外から当該区域へ移動させることをいい、事業所内の移動等であっても、個人データの紛

★

★

-

-

自動判定

-

-

173:175

失・盗難等に留意する必要がある。

施錠できる搬送容器を利用しているか。

★

-

-

172

★

-

-

172

★

-

-

172

個人データを削除した場合、又は、個人データが記録された機176 10-5

講ずべき安全管 物理的安全管理
理措置

措置

個人データの削

個人データを削除し又は個人データが記録された除及び機器、電機器、電子媒体等を廃棄する時は、復元不可能な 保存することや、それらの作業を委託する場合には、委託先が子媒体等の廃棄手段で行ったか。

器、電子媒体等を廃棄した場合には、削除又は廃棄した記録を確実に削除又は廃棄したことについて証明書等により確認することも重要である。

★

★

-

自動判定

-

-

-

177:179

177 10-5

178 10-5

179 10-5

180 10-6

181 10-6

182 10-6

183 10-6

184 10-6

185 10-6

186 10-6

187 10-6

188 10-6

189 10-6

190 10-6

191 10-6

192 10-6

193 10-6

194 10-6

195 10-7

講ずべき安全管 物理的安全管理
理措置

措置

講ずべき安全管 物理的安全管理
理措置

措置

講ずべき安全管 物理的安全管理
理措置

措置

講ずべき安全管 技術的安全管理
理措置

措置

講ずべき安全管 技術的安全管理
理措置

措置

講ずべき安全管 技術的安全管理
理措置

措置

講ずべき安全管 技術的安全管理
理措置

措置

個人データの削除及び機器、電子媒体等の廃棄個人データが記載された書類等を廃焼却、溶解、適切なシュレッダー処理等の復元不棄した場合可能な手段を採用したか。

措置

除及び機器、電 含む。）において、個人データを削措置講ずべき安全管 技術的安全管理
理措置

措置

講ずべき安全管 技術的安全管理
理措置

措置

講ずべき安全管 技術的安全管理
理措置

措置

講ずべき安全管 技術的安全管理
理措置

措置

講ずべき安全管 技術的安全管理
理措置

措置

講ずべき安全管 技術的安全管理
理措置

措置

講ずべき安全管 技術的安全管理
理措置

措置

講ずべき安全管 技術的安全管理
理措置

措置

講ずべき安全管 技術的安全管理
理措置講ずべき安全管理措置

措置

外的環境の把握-176

容易に復元できない手段を採用したか。

★

-

-

176

★

-

-

176

子媒体等の廃棄 除する場合
個人データの削除及び機器、電子媒体等の廃棄個人データが記録された機器、電子専用のデータ削除ソフトウェアの利用又は物理的媒体等を廃棄する場合な破壊等の手段を採用したか。
担当者及び取り扱う個人情報データベース等の範

アクセス制御囲を限定するために、適切なアクセス制御を行っ

★

★

-

-

自動判定

-

-

181:183ているか。
情報システム（パソコン等の機器をアクセス制御含む。）を使用して個人データを取り扱う場合
情報システム（パソコン等の機器をアクセス制御含む。）を使用して個人データを取り扱う場合

アクセス制御別と認証

個人情報データベース等を取り扱うことのできる
情報システムを限定しているか。
情報システムによってアクセスすることのできる
個人情報データベース等を限定しているか。

情報システム（パソコン等の機器をユーザーID に付与するアクセス権により、個人情含む。）を使用して個人データを取報データベース等を取り扱う情報システムを使用

り扱う場合できる従業者を限定しているか。
業者が正当なアクセス権を有する者であること

情報システム（パソコン等の機器をユーザーID、パスワード、磁気・IC カード等を利含む。）を使用して個人データを取用し、情報システムを使用する従業者の識別・認り扱う場合証を行っているか。
個人データを取り扱う情報システムを外部からのアクセス等の防

不正アクセス又は不正ソフトウェアから保護する止仕組みを導入し、適切に運用しているか。

外部からの不正 情報システム（パソコン等の機器を情報システムと外部ネットワークとの接続箇所にアクセス等の防 含む。）を使用して個人データを取ファイアウォール等を設置し、不正アクセスを遮止断しているか。

り扱う場合

外部からの不正 情報システム（パソコン等の機器を情報システム及び機器にセキュリティ対策ソフト

アクセス等の防 含む。）を使用して個人データを取ウェア等（ウイルス対策ソフトウェア等）を導入

止し、不正ソフトウェアの有無を確認しているか。

り扱う場合

外部からの不正 情報システム（パソコン等の機器を機器やソフトウェア等に標準装備されている自動アクセス等の防 含む。）を使用して個人データを取更新機能等の活用により、ソフトウェア等を最新止状態としているか。

り扱う場合

外部からの不正 情報システム（パソコン等の機器をアクセス等の防 含む。）を使用して個人データを取
り扱う場合

-

180

★

-

-

180

★

-

-

180

★

-

-

自動判定

情報システムの使用に伴う個人データの漏えい等を防止するための措置を講じ、適切に運用してい

い等の防止

るか。

情報システムの 情報システム（パソコン等の機器を情報システムの設計時に安全性を確保し、継続的使用に伴う漏え 含む。）を使用して個人データを取に見直しているか。（情報システムのぜい弱性をい等の防止突いた攻撃への対策を講ずることも含む。）

り扱う場合

情報システムの 情報システム（パソコン等の機器を使用に伴う漏え 含む。）を使用して個人データを取り扱う場合

情報システムの 情報システム（パソコン等の機器を使用に伴う漏え 含む。）を使用して個人データを取り扱う場合
外国において個人データを取り扱う
場合

個人データを含む通信の経路又は内容を暗号化しているか。
移送する個人データについて、パスワード等による保護を行っているか。

-

★

★

検知しているか。

使用に伴う漏えい等の防止★

ログ等の定期的な分析により、不正アクセス等を情報システムの

い等の防止

-

-

-

185:185を、識別した結果に基づき認証しているか。

外部からの不正止★

個人データを取り扱う情報システムを使用する従別と認証講ずべき安全管 技術的安全管理 アクセス者の識理措置-

個人データの削 情報システム（パソコン等の機器を講ずべき安全管 技術的安全管理 アクセス者の識
理措置

★

★

★

-

-

-

自動判定

184

-

-

★

-

-

186

★

-

-

186

★

-

-

186

★

-

-

186

★

-

-

自動判定

-

-

つ適切な措置を講じているか。

192:194

★

-

-

191

★

-

-

191

★

-

-

191

当該外国の個人情報の保護に関する制度等を把握した上で、個人データの安全管理のために必要か

187:189★

--注意：中小企業の特例はＪＡＰＨＩＣマークの審査場採用しません。ご注意ください！！！！
当自己評価表を利用に際しては、以下の項目を留意してください。
（※1）「報道」とは、新聞、ラジオ、テレビ等を通じて社会の出来事などを広く知らせることをいい、「報道機関」とは、報道を目的とする施設、組織体をいう。なお、「報道機関」の概念には、報道を業とするフリージャーナリストのような個人も含まれる。
報道機関（※1）が報道の用に供する目的で個人（※2）「著述」とは、文芸作品の創作、文芸批評、評論等が情報等を取り扱う場合、小説家等が著述（※2）

これに該当し、学術書、実用書等人間の知的活動の成果といえの用に供する目的で個人情報等を取り扱う場合、 るものを書き表すことも、これに該当する。一方、名簿等のよ宗教団体が宗教活動の用に供する目的で個人情報 うにデータの羅列にすぎないものは「著述」に該当しない。
等を取り扱う場合（※3）及び政治団体が政治活（※3）「宗教団体」とは、宗教の教義を広め、儀式行事を行動の用に供する目的で個人情報等を取り扱う場合 い、及び信者を教化育成することを主たる目的とする、①礼拝
５

適用除外（※4）は、憲法が保障する基本的人権への配慮の施設を備える団体（神社、寺院、教会、修道院その他これらから、法第 4 章に定める個人情報取扱事業者等の に類する団体）、又は②単位宗教団体を包括する団体（教派、義務等に係る規定は適用されない（※5）。

宗派、教団、教会、修道会、司教区その他これに類する団体）

ただし、上記に定める各主体は、安全管理措、苦 をいう。
情処理等、個人情報等の適正な取扱いを確保する また、「宗教活動」とは、宗教の教義を広め、儀式行事を行ために必要な措置を自ら講じ、かつ、当該措置の い、及び信者を教化育成することであり、「これに付随する活内容を公表するよう努めなければならない。

動」とは、霊園、宿坊の経営や他宗派の人々に対する葬儀の運営のように、宗教活動を主たる目的とする活動とまではいえな
いものの、その活動の副次的効果として教義を広める等の効果を期待して行われているものをいう。
（※4）「政治団体」とは、①政治上の主義又は施策を推進、支持又は反対することを本来の目的とする団体、②特定の公職

国の機関である国立大学法人及び医療事業を行う独立行政法人等（※）における個人情報の取扱い
並びに独立行政法人労働者健康安全機構の行う病院の運営の業務に係る個人情報の取扱いについては、学術研究機関、医療機関等としての特性を踏まえ、基本的に民間の学術研究機関、医療機関等と同様、民間部門における個人情報の取扱いに係る規律が適用される。
６

適用の特例

（※）国立大学法人、医療事業を行う独立行政法
人等とは、法別表第 2 に掲げる次の法人等をいう。
沖縄科学技術大学院大学学園
国立研究開発法人
国立大学法人大学共同利用機関法人
独立行政法人国立病院機構
独立行政法人地域医療機能推進機構
放送大学学園他方、政府の一部を構成するとみられる独立行政法人等としての特性を踏まえ、開示請求等に係る制度、行政機関等匿名加工情報の提供等については、現行の取扱いを維持し、公的部門における規律（法第 5 章第 1 節、第 75 条、第 5 章第 4 節及び第5 節、第 122 条第 2 項、第 125 条並びに第 6 章から第 8 章まで（第 171 条、第 175 条及び第 176 条を除く。））が適用される。
独立行政法人労働者健康安全機構については、病院の運営の業務に限る。

学術研究機関等（※1）が学術研究目的（※2）で個人情報を取り扱う場合には、当該個人情報の取 一方で、個人情報の利用、取得及び提供に係る規律であって扱いについて、この法律を遵守するとともに、学 も、利用目的の特定（法第 17条）、不適正な利用の禁止（法第術研究機関等について法律の特例が設けられてい 19 条）、適正な取得（法第 20 条第１項）、利用目的の通知るものも含め、安全管理措置、苦情処理等、個人 （法第 21 条）及びデータ内容の正確性の確保（法第 22 条）に
情報等の適正な取扱いを確保するために必要な措 ついては、他の個人情報取扱事業者と同様の規律が個人情報取置を自ら講じ、かつ、当該措置の内容を公表する 扱事業者である学術研究機関等にも適用されることになる。
7-1

学術研究機関等 学術研究機関等
の責務

の責務

よう努めなければならない。

また、個人データの安全管理措置に係る規律（法第 23 条から

この点、個人情報の利用、取得及び提供に係る規 第 26 条まで）、保有個人データの開示、訂正等及び利用停止
律のうち、個人情報の目的外利用の制限（法第 18 等の請求に係る規律（法第 33 条から第 40 条まで）、仮名加工条）、要配慮個人情報の取得（法第 20 条第 2

情報取扱事業者等の義務（法第4章第3節）、匿名加工情報取扱項）及び第三者提供の制限（法第 27条）に関して 事業者等の義務（法第4章第4節）及び民間団体による個人情報
は、学術研究機関等が学術研究目的で取り扱う必 の保護の推進に係る規定（法第 4 章第 5 節）についても、他の要がある場合について、本人又は第三者の権利利 個人情報取扱事業者と同様の規律が個人情報取扱事業者である益を不当に侵害するおそれがない場合に限って、 学術研究機関
事前の本人同意を要しない等の特例が設けられて 等にも適用されることになる。
いる（※3）
大学の自治を始めとする学術研究機関等の自律性に鑑みれば、学術研究機関等の自律的な判断を原則として尊重する必要があると考えられる。このため、学術研究機関等が、個人情報を利用した研究の適正な実施のための自主規範を単独又は共同

7-2

学術研究機関等の責務

学術研究機関等
による自主規範の策定・公表して策定・公表した場合であって、当該自主規範の内容が個人の権利利益の保護の観点から適切であり、その取扱いが当該自主規範にのっとっているときは、法第 146 条第 1 項の趣旨を踏まえ、個人情報保護委員会は、これを尊重する。
ただし、自主規範にのっとった個人情報の取扱いであっても、本人の権利利益を不当に侵害するおそれがある場合には、原則として、個人情報保護委員会は、その監督権限を行使する。
（※1）外国にのみ活動拠点を有する個人情報取扱事業者等（日本から海外に活動拠点を移転した個人情報取扱事業者等を含む。）に限られず、例えば、日本に支店や営業所等を有する
個人情報取扱事業者等の外国にある本店、日本に本店を有する
個人情報取扱事業者等の外国にある支店や営業所等も含まれ外国にある個人情報取扱事業者等（※1）が、日る。

本の居住者等国内にある者（※2）に対する物品（※2）「物品又は役務の提供」の対象となる「国内にある又は役務の提供（※3）に関連して、国内にある者」と「個人情報」の本人である「国内にある者」について者を本人とする個人情報、当該個人情報として取は、必ずしも同一である必要はない。例えば、外国にある個人

得されることとなる個人関連情報又は当該個人情 情報取扱事業者が、国内にある者 A を本人とする個人情報が記報を用いて作成された仮名加工情報若しくは匿名 載された名簿を国内にある者 B に販売することに関連して、当８

域外適用

加工情報を、外国において取り扱う場合には、法 該個人情報を取り扱う場合、域外適用の対象となる。
が適用される（※4）。

（※3）「物品又は役務の提供」に対して、本人から対価が支

なお、域外適用の対象となる場合は、外国にある 払われるか否かは問わない。
個人情報取扱事業者等がこれらの情報を本人から （※4）法第 166 条により法の適用を受ける外国事業者が、法直接取得して取り扱う場合に限られず、本人以外に違反した場合には、個人情報保護委員会が指導、助言、勧告の第三者から提供を受けて取り扱う場合も含まれ 又は命令等を行うことができる。
る。

【域外適用の対象となる事例】
事例 1）外国のインターネット通信販売事業者が、日本の消費者に対する商品の販売・配送に関連して、日本の消費者の個人情報を取り扱う場合
事例 2）外国のメールサービス提供事業者が、日本の消費者に対するメールサービスの提供に関連して、日本の消費者の個人