個情法(第三者提供時の確認・記録義務編)_自己評価表

Ver.20220401
分類No

ガイドライン項番

大項目

中項目

小項目

条件

確認事項

補足

自己評価適合状況

規定 運用

該当無★

--

★

--★

--

★

--

★

--

★

--

★

--

★

--

★

--×）

第三者の氏名及び住所並びに法
1

3-1-1

確認義務

確認方法

人にあっては、その代表者の氏当該第三者に対して、第三者の氏名及び住所並び第三者から個人データの提供を受けに法人にあっては、その代表者の氏名を確認したる場合

か。

該当無努力

（○or（○）

当該規定類等名称

必須

該当無

この際、当該第三者は当該個人情報取扱事業者に対して、当該確認に係る事項を偽ってはならない（法第 30 条第 2 項。同項に違反した場合には法第 180 条により 10 万円以下の過料）。

名第三者の氏名及び住所並びに法 第三者から個人データの提供を受け
23-1-1

確認義務

確認方法

人にあっては、 る場合でその代表者の氏 2項が該当する場合
名
第三者による個

3

3-1-2

確認義務

確認方法

人データの取得の経緯

氏名及び住所並びに法人にあっては、その代表者の氏名の確認を行う方法は、個人データを提供する第三者から申告を受ける方法その他の適切な方法となっているか。

第三者から個人データの提供を受け当該第三者に対して、第三者による個人データのる場合取得の経緯を確認したか。

仮に、適法に入手されたものではないと疑われるにもかかわらず、あえて個人データの提供を受けた場合には、法第 20 条第1 項の規定違反と判断される可能性がある。

個人データの取得の経緯の確認を行う方法は、個
4

3-1-2

確認義務

確認方法

第三者による個 第三者から個人データの提供を受け人データを提供する第三者から当該第三者による人データの取得 る場合で当該個人データの取得の経緯を示す契約書その他の経緯の書面の提示を受ける方法その他の適切な方法と4項が該当する場合なっているか。
「取得の経緯」の具体的な内容は、取得先の別（顧客としての本人、従業員としての本人、他の第三者による個 第三者から個人データの提供を受け
5

3-1-2

確認義務

確認方法

人データの取得 る場合での経緯4項が該当する場合

個人情報取扱事業者、家族・友人等の私人、いわゆる公開情報等）、取得行為の態様（本人から直接取得したか、有償で取得したか、いわゆる公開情報から取得したか、紹介により取得したか、私人として取得したものか等）などを確認している個人データの内容、第三者提供の態様などにより異なるため基本とする。
個人データを提供した「第三者」による取得の経緯を確認すれば足り、そこから遡って当該「第三者」より前に取得した者の取得の経緯を確認する義務はない。

か。
オプトアウトによる第三者提供により個人データの提供を受ける際には、受領者は、当該個人情報取扱事業者の届出事項が個

63-1-3

確認義務

確認方法

法の遵守状況

第三者から個人データの提供を受ける場合

当該個人情報取扱事業者の法の遵守状況（例えば、利用目的、開示手続、問合せ・苦情の受付窓口の公表など）について確認したか。

人情報保護委員会により公表されている旨を記録しなければならないことに留意する。
法の遵守状況を確認した結果、提供される個人データが適法に★

--入手されたものではないと疑われるにもかかわらず、当該個人データの提供を受けた場合には、法第 20 条第 1 項の規定違反と判断されるおそれがある。

73-2

確認義務

既に確認を行っ第三者から複数回にわたって同一た第三者に対す「本人」の個人データの授受をする

る確認方法

場合で、事項の確認を省略した場合

既に適法な方法により確認を行い、適法な方法により作成し、かつ、その時点において保存している記録に記録された事項と内容が同一である事を確認したか。

第三者と個人データの授受を行う場
8

4-1-1

記録義務

記録を作成する 記録を作成する 合（個人データを第三者に提供、も授受に関する記録を、文書、電磁的記録又はマイ方法など

クロフィルムを用いて作成したか。

媒体

しくは、第三者から個人データの提供を受けた場合）

94-1-2-1

記録義務

記録を作成する 記録を作成する 第三者と個人データの授受を行う場

原則として、個人データの授受の都度、速やか方法などに、記録を作成したか。

方法

合

一定の期間内に特定の事業者との間で継続的に、
10

4-1-2-2

記録義務

記録を作成する 記録を作成する 第三者と個人データの授受を行う場
方法など

方法

合で、一括して記録を作成する場合又は、反復して個人データを授受する事が確実である事を確認したか。
ただし、オプトアウトによる第三者提供については除く。

適法な方法とは、「3-1-1 第三者の氏名及び住所並びに法人にあっては、その代表者の氏名」「3-1-2 当該第三者による当該個人データの取得の経緯」「4 記録義務」による方法とする。
電磁的記録とは、電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。）で作られる記録をいう。以下同じ。
個人データを授受する前に記録を作成することもできる。
本人別に記録を単体で作成する方法のほか、対象となる複数の本人の記録を一体として作成することもできる。
本人別に記録を単体で作成する方法のほか、対象となる複数の本人の記録を一体として作成することもできる。
複数の本人の記録を一体として記録を作成する場合において、継続的に又は反復して個人データを授受する対象期間内に、データ群を構成する本人が途中で変動するときも、一括して記録を作成することもできる。

備考

114-1-2-2

記録義務

記録を作成する 記録を作成する 第三者と個人データの授受を行う場

例外としての記録作成方法であることに鑑みて、方法などその対象期間、対象範囲等を明確にしているか。

方法

合で、一括して記録を作成する場合本人に対する物品又は役務の提供に係る契約を締

124-1-2-3

記録義務

記録を作成する 記録を作成する
方法など

方法

第三者と個人データの授受を行う場
合で、当該契約書その他の書面をもって記録とする場合結し、かかる契約の履行に伴って、契約の締結の相手方を本人とする個人データを当該個人情報取扱事業者から第三者に提供したか。
ただし、オプトアウトによる第三者提供については除く。

★

--

本人別に記録を単体で作成する方法のほか、対象となる複数の本人の記録を一体として 作成することもできる。
要件を充たさない書面、又はオプトアウトによる第三者提供の

★

--

★

--

★

--

★

-

-

際に作成された書面等も、記録事項が記載されていれば記録として認められるが、保存期間の違いに留意する必要がある。
提供者と受領者の記録事項の相違については留意する必要があ

第三者と個人データの授受を行う場
13

4-1-3

記録義務

提供者及び受領者は自己の義務が免責されるわけ る。

記録を作成する 代行により記録 合で、提供者（又は受領者）は受領ではないことから、実質的に自らが記録作成義務 委託先が委託契約の目的の範囲内で第三者との間で個人データ方法などを果たしているものと同等の体制を構築しているの授受を行った場合において、一義的には委託先が記録を作成か。

する義務があるが、委託元が記録の作成を代行することができを作成する方法 者（又は提供者）の記録義務の全部又は一部を代替する場合る。

次の(1)~(4)の項目を含む記録を作成しているか。
(1)「当該個人データを提供した年月日」(2)「当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代
14

4-2-1-1

記録義務

記録事項

提供者の記録事 オプトアウトによる個人データの第表者又は管理人の定めのあるものにあっては、そ項の代表者又は管理人）の氏名（不特定かつ多数の三者提供をした場合者に対して提供したときは、その旨）(3)「当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項」

実際に提供した個人データ自体に「本人の氏名その他の当該本人を特定するに足りる事項」が含まれている場合には、当該個人データ自体を保存することをもって「本人の氏名その他の当該本人を特定するに足りる事項」を記録したものとすることもできる。
実際に提供した個人データ自体又はその写し等を、「当該個人データの項目」の記録とすることもできる。

(4)「当該個人データの項目」

次の(1)~(4)の項目を含む記録を作成しているか。
(1)「法第27条第1項又は法第28条第1項の本人の同意を得ている旨」
15

4-2-1-2

記録義務

記録事項

提供者の記録事 本人の同意に基づき個人データの第項

三者提供をした場合(1)契約書その他の書面に本人の同意が記載されている場合が該(2)「当該第三者の氏名又は名称その他の当該第三 当する。そのほか、個人情報取扱事業者の事業の内容、第三者者を特定するに足りる事項（不特定かつ多数の者 提供の態様等に鑑みて、同意の存在を明示的に又は黙示的に示に対して提供したときは、その旨）」

す証跡等がある場合には、当該証跡等をもって「同意を得てい(3)「当該個人データによって識別される本人の氏 る旨」の記録とすることもできる。
名その他の当該本人を特定するに足りる事項」(4)「当該個人データの項目」

次の(1)~(6)の項目を含む記録を作成しているか。
(1)「当該個人データを受けた年月日」(2)「当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名」
16

4-2-2-1

記録義務

記録事項

受領者の記録事 オプトアウトによる個人データの第項

三者提供を受けた場合(3)「当該第三者による当該個人データの取得の経 (6)個人情報保護委員会により公表されていない個人情報取扱事緯」

業者からオプトアウトにより個人データの提供を受けた場合

★

--

★

--

★

--

★

--

★

--

(4)「当該個人データによって識別される本人の氏 は、不正の手段による取得に該当するおそれがある。
名その他の当該本人を特定するに足りる事項」(5)「当該個人データの項目」(6)「個人情報保護委員会により公表されている旨」

次の(1)~(5)の項目を含む記録を作成しているか。
(1)「法第27条第1項又は法第28条第1項の本人の同意を得ている旨」(2)「当該第三者の氏名又は名称及び住所並びに法174-2-2-2

記録義務

記録事項

受領者の記録事 本人の同意に基づき個人データの第人にあっては、その代表者の氏名」

項(3)「当該第三者による当該個人データの取得の経三者提供を受けた場合

緯」(4)「当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項」(5)「当該個人データの項目」

次の(1)~(4)の項目を含む記録を作成しているか。
(1)「当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名」
18

4-2-2-3

記録義務

記録事項

受領者の記録事 私人などから第三者提供を受けた場(2)「当該第三者による当該個人データの取得の経項

緯」

合(3)「当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項」(4)「当該個人データの項目」

複数回にわたって同一「本人」の個
19

4-2-3

記録義務

記録事項

記録事項の省略 人データの授受をする場合で、記録を省略した場合既に作成した記録（現に保存している場合に限る。）に記録された事項と内容が同一であることを確認したか。

記録事項の内容は同一でなければならないため、例えば、同一法人であっても、代表者が交代し、その後に記録を作成する場
面では、改めて、新代表者の氏名について記録をしなければならない。

作成した記録は記録の作成方法により次の期間保存しているか。
20

4-3

記録義務

保存期間

第三者と個人データの授受を行う場
合(1)「契約書等の代替手段による方法」により記録を作成した場合は１年間。
(2)「一括して記録を作成する方法」により記録を作成した場合は３年間。
(3)上述(1)(2)以外の場合は３年間。

最後に当該記録に係る個人データの授受を行った日から起算して 1 年、もしくは３年を経過する日までとする。
対象となる複数の本人の記録を一体として作成した場合には、保存期間は各記録ごとに異なることがある。

次の(1)から(7)間でに掲げる第三者提供については、個人データが転々流通することは想定されにくいことに鑑み、確認・記録義務は適用されない。また、外国にある第三者に対して個人データを提供する際も、次の(1)から(7)までに掲げる第三者提供については、記録義務は適用されない。
(1)法令に基づいて個人データを提供する場合。
(2)人（法人を含む。）の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得ることが困難である場合。
(3)公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることが困難である場合。
2-1-1

確認・記録義務 (4)国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であって、協力する民間企業等が当該国の機関等に個人データを提供することについて、本人のの適用対象同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合。
(5) 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）(6) 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。）。
(7) 当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）

次の(1)から(3)までに掲げる第三者提供については、法第 27 条第 5 項柱書において「第三者に該当しないものとする」とされていることに鑑み、確認・記録義務は適用されない。
法第 27 条第 52-1-2

項各号に掲げる場合(1)個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合(2)合併その他の事由による事業の承継に伴って個人データが提供される場合(3)特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき

外国にある第三者に対する個人データの提供は、次の類型ⅠからⅣまでに分けられる。各類型と記録義務の適用関係は次のとおりとなる。
類型Ⅰ：本人の「同意」を得ている場合
類型Ⅱ：当該第三者が、我が国と同等の水準にあると認められる個人情報保護制度を有している国として個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第 3
外国にある第三 号。）で定められた国にある場合
者に個人データ 類型Ⅲ：当該第三者が、個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制として規則で定める基準に適合する体制を整備している場合
2-1-2を提供する場合 類型Ⅳ：2-1-1 に該当する場合の記録義務の適用

類型Ⅰ：適用あり
類型Ⅱ又はⅢ：2-1-2（前項）に該当しない場合：適用あり
2-1-2（前項）に該当する場合：適用なし
類型Ⅳ：適用なし

本人又は個人情報取扱事業者以外の者である「第三者」のうち、次の(1)から(4)までに掲げる者との間で個人データの授受を行う場合は、確認・記録義務は適用されない。本自己評価表に第三者が法第 16 おいて「第三者」というときは、基本的に、次の(1)から(4)までに掲げる者を除くものとする。
2-1-3

条第 2 項各号に (1)国の機関掲げる者である (2)地方公共団体
場合(3)独立行政法人等（独立行政法人通則法（平成 11 年法律第 103 号）第 2 条第 1 項に規定する独立行政法人及び法別表第 1 に掲げる法人（法別表第 2 に掲げる法人を除く。）をいう。）(4)地方独立行政法人（地方独立行政法人法（平成 15 年法律第 118 号）第 2 条第 1 項に規定する地方独立行政法人をいう。）