個人情報保護指針
第1版

一般社団法人JAPHICマーク認証機構

改訂歴

版数

改定日

改訂内容

０

２０２１年７月１日

制定

１

２０２２年４月１日

改正個人情報保護法に対応

2

目次
はじめに
１.目的および適用範囲
１-１.目的１-２.適用範囲
2定義
2-1個人情報（法第2条第1項関係）
2-2個人識別符号（法第2条第2項関係）
2-3要配慮個人情報（法第2条第3項関係）
2-4個人情報データベース等（法第 16 条第 1 項関係）
2-5個人情報取扱事業者（法第 16 条第 2 項・法第 2 条第 9 項、第 10項、第 11 項・法別表第 2 関係）
2-6個人データ（法第 16 条第 3 項関係）
2-7保有個人データ（法第 16 条第 4 項関係）
2-8個人関連情報(法第 2 条第 7 項関係)
2-9個人関連情報取扱事業者(法第 16 条第 7 項関係)
2-10仮名加工情報(法第 2 条第 5 項関係)
2-11仮名加工情報取扱事業者(法第 16 条第 5 項関係)
2-12匿名加工情報(法第 2 条第 6 項関係)
2-13匿名加工情報取扱事業者(法第 16 条第 6 項関係)
2-14「本人に通知」
2-15「公表」
2-16「本人の同意」
2-17「提供」
2-18学術研究機関等（法第 16 条第 8 項関係）
2-19 「学術研究目的」
3個人情報取扱事業者等の義務
3-1個人情報の利用目的（法第 17 条・第 18 条、第 21 条第 3 項関係）
3-1-1利用目的の特定（法第 17 条第 1 項関係）
3-1-2利用目的の変更（法第 17 条第 2 項、第 21 条第 3 項関係）
3-1-3利用目的による制限（法第 18 条第1項関係）
3-1-4事業の承継（法第18条第2項関係）
3-1-5利用目的による制限の例外（法第18条第3項関係）
3-2不適正利用の禁止(法第 19 条関係)
3-3個人情報の取得（法第 20 条・第 21 条関係）
3-3-1適正取得（法第20条第1項関係）
3-3-2要配慮個人情報の取得（法第20条第2項関係）
3-3-3利用目的の通知又は公表（法第21条第1項関係）
3-3-4直接書面等による取得（法第21条第2項関係）
3-3-5利用目的の通知等をしなくてよい場合（法第21条第4項関係）
3-4個人データの管理（法第 22 条～第 25 条関係）3

3-4-1データ内容の正確性の確保等（法第22条関係）
3-4-2安全管理措置（法第23条関係）
3-4-3従業者の監督（法第24条関係）
3-4-4委託先の監督（法第25条関係）
3-5個人データの漏えい等の報告等(法第 26 条関係)
3-5-1「漏えい等」の考え方
3-5-2漏えい等事案が発覚した場合に講ずべき措置
3-5-3個人情報保護委員会への報告(法第 26 条第1項関係)
3-5-4本人への通知(法第26条の2第2項関係)
3-6個人データの第三者への提供（法第 27 条～第 30 条関係）
3-6-1第三者提供の制限の原則（法第27条第1項関係）
3-6-2オプトアウトによる第三者提供（法第27条第2項～第4項関係）
3-6-3第三者に該当しない場合（法第27条第5項・第6項関係）
3-6-4外国にある第三者への提供の制限（法第28条関係）
3-6-5第三者提供に係る記録の作成等（法第29条関係）
3-6-6第三者提供を受ける際の確認等（法第30条関係）
3-7個人関連情報の第三者提供の制限等(法第31条関係)
3-7-1法第31の適用の有無について
3-7-2 本人の同意の取得方法
3-7-3 本人の同意等の確認の方法(法第31条第1項関係)
3-7-4提供元における記録義務(法第31条第3項、第30条第3項関係)
3-7-5提供先の第三者における確認義務(法第30条第1項関係)
3-7-6提供先の第三者における記録義務(法第30条第3項関係)
3-8保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止等（法第 32 条～第39 条関係）3-8-1保有個人データに関する事項の公表等（法第32条関係）
3-8-2保有個人データの開示（法第33条第1項~第4項関係）
3-8-3 第三者提供記録の開示（法第 33 条第 5 項、第 1 項～第 3 項関係）
3-8-4 保有個人データの訂正等（法第 34 条関係）
3-8-5 保有個人データの利用停止等（法第 35 条関係）
3-8-6 理由の説明（法第 36 条関係）
3-8-7 開示等の請求等に応じる手続（法第 37 条関係）
3-8-8 手数料（法第 38 条関係）
3-8-9 裁判上の訴えの事前請求（法第 39 条関係）
3-9個人情報の取扱いに関する苦情処理（法第40条関係）
3-10仮名加工情報取扱事業者等の義務(法第 41 条・第 42 条関係)
3-11匿名加工情報取扱事業者等の義務（法第43条～第46条関係）
4「勧告」、「命令」、「緊急命令」等についての考え方
5 適用除外（第 57 条関係）
6 適用の特例（法第 58 条・第 123 条関係）

4

7 学術研究機関等の責務（法第 59 条関係）
7-1 学術研究機関等の責務（法第 59 条関係）
7-2 学術研究機関等による自主規範の策定・公表
8 域外適用（法第 166 条関係）
9本指針の見直し5

はじめに
一般社団法人JAPHICマーク認証機構（以下「当団体」という。）は、個人情報を取り扱う事業者に対して、個人情報の適正な取り扱いを確保することを目的として、その取り扱いに関する苦情の処理及び適正な取り扱いを確保するための情報提供等の業務を行うこととし、令和３年７月２８日、個人情報の保護に関する法律（平成１５年法律第５７号）第４７条第１項の規定に基づき、認定個人情報保護団体として、個人情報保護委員会より認定を受けました。
本指針は当団体が、当団体の対象事業者である個人情報取扱事業者（以下「個人情報取扱事業者」という。）の個人情報の適正な取り扱い確保のために、利用目的の特定、安全管理のための措置、本人の求めに応じる手続等に関し、個人情報保護委員会が定める「個人情報の保護に関する法律についてのガイドライン（通則編）」（以下「ガイドライン」という。）の趣旨に沿い作成・公表するものです。
本指針は、個人情報取扱事業者が法を適切に遵守できるよう、ガイドラインにおける利用目的の特定、安全管理のための措置、本人の求めに応じる手続等の規定に関して、個人情報の取扱についての実務上の手引き書となることを念頭に作成したものです。

6

１.目的および適用範囲
１-１.目的
本指針は、法およびその他の関係法令に基づき、当団体の苦情相談窓口である個人情報相談センターに申し込む
対象事業者（以下「対象事業者」という。）が行う事業における、個人情報の適切な取り扱いの確保に関する活動を支援する具体的な指針として定めたものである。
その目的は、個人情報の有用性に配慮するとともに、個人の権利利益を保護することにより、対象事業者の事業の健全な発展に寄与することである。
１-２.適用範囲
本指針の適用範囲は、個人情報を取り扱う当団体の対象事業者とする。
また、個人情報を取り扱う際の基準、又は個人情報保護に関する規程を策定する際の参考として本指針を用いることができる。なお、本指針は対象事業者が取り扱う個人情報をその適用範囲とするが、その事業者の従業者の人事管理、福利厚生等のために保有する雇用管理情報については、「雇用管理に関する個人情報の適正な取り扱いを確保するために事業者が講ずべき措置に関する指針」（厚生労働省告示第２５９号）に従い、別途社
内規程等を定めることが望ましい。

2定義
2-1 個人情報（法第2条第 1項関係）「個人情報」とは、生存する「個人に関する情報」であって、「当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができるものを含む。）」、又は「個人識別符号が含まれるもの」をいう。「個人に関する情報」とは、氏名、住所、性別、生年月日、顔画像等個人を識別する情報に限られず、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化等によって秘匿化されているかどうかを問わない。
2-2 個人識別符号（法第2条第 2項関係）「個人識別符号」とは、当該情報単体から特定の個人を識別できるものとして個人情報の保護に関する法律
施行令（平成15年政令第507号。以下「政令」という。）に定められた文字、番号、記号その他の符号をいい、これに該当するものが含まれる情報は個人情報となる。具体的な内容は、政令第1条及び個人情報の保護に関する法律施行規則（平成28年個人情報保護委員会規則第3号。以下「規則」という。）第2条から第4条までに定めるとおりである。政令第1条第1号においては、同号イからトまでに掲げる身体の特徴のいずれかを電子計算機の用に供するために変換した文字、番号、記号その他の符号のうち、「特定の個人を識別するに足りるものとして個人情報保護委員会規則で定める基準に適合するもの」が個人識別符号に該当するとされている。当該基準は規則第2条において定められているところ、この基準に適合し、個人識別符号に該当することとなるものは次のとおりである。
イ細胞から採取されたデオキシリボ核酸（別名DNA）を構成する塩基の配列
ゲノムデータ（細胞から採取されたデオキシリボ核酸（別名DNA）を構成する塩基の配列を文字列で表記したもの）のうち、全核ゲノムシークエンスデータ、全エクソームシークエンスデータ、全ゲノム一塩基多型

7

（singlenucleotidepolymorphism：SNP）データ、互いに独立な40箇所以上のSNPから構成されるシークエンスデータ、9座位以上の4塩基単位の繰り返し配列（shorttandemrepeat：STR）等の遺伝型情報により本人を認証することができるようにしたもの。
ロ顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状によって定まる容貌
顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状から抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの。
ハ虹彩の表面の起伏により形成される線状の模様
虹彩の表面の起伏により形成される線状の模様から、赤外光や可視光等を用い、抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの。
ニ発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化によって定まる声の質
音声から抽出した発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化に関する特徴情報を、
話者認識システム等本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの
ホ歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様
歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様から抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの
ヘ手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状
手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状等から、赤外光や可視光等を用い抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの。
ト指紋又は掌紋（指紋）指の表面の隆線等で形成された指紋から抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの。
（掌紋）手のひらの表面の隆線や皺等で形成された掌紋から抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの。
チ組合せ
政令第1条第1号イからトまでに掲げるものから抽出した特徴情報を、組み合わせ、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの
2-3 要配慮個人情報（法第2条第 3項関係）「要配慮個人情報」とは、不当な差別や偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして次の（1）から（11）までの記述等が含まれる個人情報をいう。

8

要配慮個人情報の取得や第三者提供には、原則として本人の同意が必要であり、法第27条第2項の規定による第三者提供（オプトアウトによる第三者提供）は認められていないので、注意が必要である。また、要配慮
個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態が生じた場合には、個
人情報保護委員会に報告しなければならない。なお、次に掲げる情報を推知させる情報にすぎないもの（例：宗教に関する書籍の購買や貸出しに係る情報等）は、要配慮個人情報には含まない。
（1） 人種人種、世系又は民族的若しくは種族的出身を広く意味する。なお、単純な国籍や「外国人」という情報は法的地位であり、それだけでは人種には含まない。また、肌の色は、人種を推知させる情報にすぎないため、人種には含まない。
（2） 信条個人の基本的なものの見方、考え方を意味し、思想と信仰の双方を含むものである。
（3） 社会的身分ある個人にその境遇として固着していて、一生の間、自らの力によって容易にそれから脱し得ないような地
位を意味し、単なる職業的地位や学歴は含まない。
（4） 病歴
病気に罹患した経歴を意味するもので、特定の病歴を示した部分（例：特定の個人ががんに罹患している、
統合失調症を患っている等）が該当する。
（5） 犯罪の経歴
前科、すなわち有罪の判決を受けこれが確定した事実が該当する。
（6） 犯罪により害を被った事実
身体的被害、精神的被害及び金銭的被害の別を問わず、犯罪の被害を受けた事実を意味する。具体的には、刑罰法令に規定される構成要件に該当し得る行為のうち刑事事件に関する手続に着手されたものが該当する。
（7） 身体障害、知的障害、精神障害（発達障害を含む。）その他の個人情報保護委員会規則で定める心身の機能の障害があること（政令第2条第1号関係）
次の①から④までに掲げる情報をいう。この他、当該障害があること又は過去にあったことを特定させる情報（例：障害者の日常生活及び社会生活を総合的に支援するための法律（平成17年法律第123号）に基づく障害福祉サービスを受けていること又は過去に受けていたこと）も該当する。
①「身体障害者福祉法（昭和24年法律第283号）別表に掲げる身体上の障害」があることを特定させる情報・医師又は身体障害者更生相談所により、別表に掲げる身体上の障害があることを診断又は判定されたこと（別表上の障害の名称や程度に関する情報を含む。）
・都道府県知事、指定都市の長又は中核市の長から身体障害者手帳の交付を受け並びに所持していること又は過去に所持していたこと（別表上の障害の名称や程度に関する情報を含む。）
・本人の外見上明らかに別表に掲げる身体上の障害があること②「知的障害者福祉法（昭和35年法律第37号）にいう知的障害」があることを特定させる情報
・医師、児童相談所、知的障害者更生相談所、精神保健福祉センター、障害者職業センターにより、知的障害があると診断又は判定されたこと（障害の程度に関する情報を含む。）
・都道府県知事又は指定都市の長から療育手帳の交付を受け並びに所持していること又は過去に所持していたこと（障害の程度に関する情報を含む。）③「精神保健及び精神障害者福祉に関する法律（昭和25年法律第123号）にいう精神障害（発達障害者支援9

法（平成16年法律第167号）第2条第2項に規定する発達障害を含み、知的障害者福祉法にいう知的障害を除く。）」があることを特定させる情報・医師又は精神保健福祉センターにより精神障害や発達障害があると診断又は判定されたこと（障害の程度に関する情報を含む。）
・都道府県知事又は指定都市の長から精神障害者保健福祉手帳の交付を受け並びに所持していること又は過去に所持していたこと（障害の程度に関する情報を含む。）④「治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生活及び社会生活を総合的に支援するための法律第4条第1項の政令で定めるものによる障害の程度が同項の厚生労働大臣が定める程度であるもの」があることを特定させる情報
・医師により、厚生労働大臣が定める特殊の疾病による障害により継続的に日常生活又は社会生活に相当な制限を受けていると診断されたこと（疾病の名称や程度に関する情報を含む。）（8） 本人に対して医師その他医療に関連する職務に従事する者（次号において「医師等」という。）により行われた疾病の予防及び早期発見のための健康診断その他の検査（同号において「健康診断等」という。）の結果（政令第2条第2号関係）
疾病の予防や早期発見を目的として行われた健康診査、健康診断、特定健康診査、健康測定、ストレスチェック、遺伝子検査（診療の過程で行われたものを除く。）等、受診者本人の健康状態が判明する検査の結果が該当する。具体的な事例としては、労働安全衛生法（昭和47年法律第57号）に基づいて行われた健康診断の結果、同法に基づいて行われたストレスチェックの結果、高齢者の医療の確保に関する法律（昭和57年
法律第80号）に基づいて行われた特定健康診査の結果などが該当する。また、法律に定められた健康診査の結果等に限定されるものではなく、人間ドックなど保険者や事業主が任意で実施又は助成する検査の結果も該当する。さらに、医療機関を介さないで行われた遺伝子検査により得られた本人の遺伝型とその遺伝型の疾患へのかかりやすさに該当する結果等も含まれる。なお、健康診断等を受診したという事実は該当しない。
なお、身長、体重、血圧、脈拍、体温等の個人の健康に関する情報を、健康診断、診療等の事業及びそれに関する業務とは関係ない方法により知り得た場合は該当しない。
（9） 健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと（政令第2条第3号関係）「健康診断等の結果に基づき、本人に対して医師等により心身の状態の改善のための指導が行われたこと」とは、健康診断等の結果、特に健康の保持に努める必要がある者に対し、医師又は保健師が行う保健指導等の内容が該当する。
指導が行われたことの具体的な事例としては、労働安全衛生法に基づき医師又は保健師により行われた保健指導の内容、同法に基づき医師により行われた面接指導の内容、高齢者の医療の確保に関する法律に基づき医師、保健師、管理栄養士により行われた特定保健指導の内容等が該当する。また、法律に定められた保健指導の内容に限定されるものではなく、保険者や事業主が任意で実施又は助成により受診した保健指導の内容も該当する。なお、保健指導等を受けたという事実も該当する。
「健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により診療が行われたこと」とは、病院、診療所、その他の医療を提供する施設において診療の過程で、患者の身体の状況、病状、治療状況等について、医師、歯科医師、薬剤師、看護師その他の医療従事者が知り得た情報全てを指し、例えば診療記録等がこれに該当する。また、病院等を受診したという事実も該当する。
「健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等によ10

り調剤が行われたこと」とは、病院、診療所、薬局、その他の医療を提供する施設において調剤の過程で患者の身体の状況、病状、治療状況等について、薬剤師（医師又は歯科医師が自己の処方箋により自ら調剤する場合を含む。）が知り得た情報全てを指し、調剤録、薬剤服用歴、お薬手帳に記載された情報等が該当する。また、薬局等で調剤を受けたという事実も該当する。なお、身長、体重、血圧、脈拍、体温等の個人の健康に関する情報を、健康診断、診療等の事業及びそれに関する業務とは関係のない方法により知り得た場合は該当しない。
（10）本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと（犯罪の経歴を除く。）（政令第2条第4号関係）本人を被疑者又は被告人として刑事事件に関する手続が行われたという事実が該当する。他人を被疑者とする犯罪捜査のために取調べを受けた事実や、証人として尋問を受けた事実に関する情報は、本人を被疑者又は被告人としていないことから、これには該当しない。
（11）本人を少年法（昭和23年法律第168号）第3条第1項に規定する少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと（政令第2条第5号関係）本人を非行少年又はその疑いのある者として、保護処分等の少年の保護事件に関する手続が行われたという事実が該当する。
2-4 個人情報データベース等（法第 16 条第 1 項関係）

「個人情報データベース等」とは、特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した、個人情報を含む情報の集合物をいう。また、コンピュータを用いていない場合であっても、紙面で処理した個人情報を一定の規則（例えば、五十音順等）に従って整理・分類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当する。ただし、次の（1）から（3）までのいずれにも該当するものは、利用方法からみて個人の権利利益を害するおそれが少ないため、個人情報データベース等には該当しない。
（1） 不特定かつ多数の者に販売することを目的として発行されたものであって、かつ、その発行が法又は法に基づく命令の規定に違反して行われたものでないこと。
（2） 不特定かつ多数の者により随時に購入することができ、又はできたものであること。
（3） 生存する個人に関する他の情報を加えることなくその本来の用途に供しているものであること。

2-5 個人情報取扱事業者（法第 16 条第 2 項・法第 2 条第 9 項、第 10 項、第 11 項・法別表第 2 関係）「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者のうち、国の機関、地方公共団体、法第 2 条第 9 項に規定する独立行政法人等（別表第 2 に掲げる法人を除く。）及び法第 2 条第 10 項に規定する地方独立行政法人を除いた者をいう。ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営
利の別は問わない。また、個人情報データベース等を事業の用に供している者であれば、当該個人情報デー
タベース等を構成する個人情報によって識別される特定の個人の数の多寡にかかわらず、個人情報取扱事業者に該当する。なお、法人格のない、権利能力のない社団（任意団体）又は個人であっても、個人情報データ
ベース等を事業の用に供している場合は個人情報取扱事業者に該当する。

11

法別表第 2
名称根拠法

沖縄科学技術大学院大学学園

沖縄科学技術大学院大学学園法

国立研究開発法人

独立行政法人通則法

国立大学法人

国立大学法人法

大学共同利用機関法人

国立大学法人法

独立行政法人国立病院機構

独立行政法人国立病院機構法（平成 14年法律第191 号）

独立行政法人地域医療機能推進機構

独立行政法人地域医療機能推進機構法（平成 17年法律第 71 号）

放送大学学園放送大学学園法2-6 個人データ（法第 16 条第 3 項関係）

「個人データ」とは、個人情報取扱事業者が管理する「個人情報データベース等」を構成する個人情報をいう。
なお、法第 16 条第 1 項及び政令第 4 条第 1項に基づき、利用方法からみて個人の権利利益を害するおそれが少ないため、個人情報データベース等から除かれているもの（例：市販の電話帳・住宅地図等）を構成する
個人情報は、個人データに該当しない。
2-7 保有個人データ（法第 16 条第 4 項関係）

「保有個人データ」とは、個人情報取扱事業者が、本人又はその代理人から請求される開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止の全て（以下「開示等」という。）に応じることができる権限を有する「個人データ」をいう。ただし、個人データのうち、次に掲げるものは、「保有個人データ」ではない。
（1） 当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶ

おそれがあるもの（2） 当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの（3） 当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの（4） 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの
2-8 個人関連情報(法第 2 条第 7 項関係)

個人関連情報とは、生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。
「個人に関する情報」とは、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報である。「個人に関する情報」のうち、氏名、生年月日その他の記述等により特定の個人を識別することができるものは、個人情報に該当するため、個人関連情報には該当しない。
また、統計情報は、特定の個人との対応関係が排斥されている限りにおいては、「個人に関する情報」に該12当するものではないため、個人関連情報にも該当しない。
2-9 個人関連情報取扱事業者(法第 16 条第 7 項関係)

「個人関連情報取扱事業者」とは、個人関連情報データベース等を事業の用に供している者のうち、国の機関、地方公共団体、法第 2 条第 9 項に規定する独立行政法人等（別表第 2 に掲げる法人を除く。）及び法
第 2 条第 10 項に規定する地方独立行政法人を除いた者をいう。
「個人関連情報を含む情報の集合物であって、特定の個人関連情報を電子計算機を用いて検索することができるように体系的に構成したもの」とは、特定の個人関連情報をコンピュータを用いて検索することができるように体系的に構成した、個人関連情報を含む情報の集合物をいう。また、コンピュータを用いていない場合であっても、紙媒体の個人関連情報を一定の規則に従って整理・分類し、特定の個人関連情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当する。ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。なお、法人格のない、権利能力のない社団（任意団体）又は個人であっても、個人関連情報データベース等を事業の用に供している場合は、個人関連情報取扱事業者に該当する。
2-10

仮名加工情報(法第 2 条第 5 項関係)

仮名加工情報の定義については、個人情報保護委員会が定める「仮名加工情報・匿名加工情報ガイドライン」を参照のこと。
2-11

仮名加工情報取扱事業者(法第 16 条第 5 項関係)

仮名加工情報取扱事業者の定義については、 個人情報保護委員会が定める「仮名加工情報・匿名加工情報
ガイドライン」を参照のこと。
2-12

匿名加工情報（法第 2 条第 6 項関係）

匿名加工情報の定義については、個人情報保護委員会が定める「仮名加工情報・匿名加工情報ガイドライン」
を参照のこと。
2-13

匿名加工情報取扱事業者（法第 16 条第 6 項関係）

匿名加工情報取扱事業者の定義については、個人情報保護委員会が定める「仮名加工情報・匿名加工情報ガ
イドライン」を参照のこと。
2-14 「本人に通知」「本人に通知」とは、本人に直接知らしめることをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。
2-15 「公表」「公表」とは、広く一般に自己の意思を知らせること（不特定多数の人々が知ることができるように発表すること）をいい、公表に当たっては、事業の性質及び個人情報の取扱状況に応じ、合理的かつ適切な方法によらな

13

ければならない。
2-16 「本人の同意」「本人の同意」とは、本人の個人情報が、個人情報取扱事業者によって示された取扱方法で取り扱われることを承諾する旨の当該本人の意思表示をいう（当該本人であることを確認できていることが前提となる。）。また、「本人の同意を得（る）」とは、本人の承諾する旨の意思表示を当該個人情報取扱事業者が認識することをいい、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。なお、個人情報の取扱いに関して同意したことによって生ずる結果について、未成
年者、成年被後見人、被保佐人及び被補助人が判断できる能力を有していないなどの場合は、親権者や法定代理人等から同意を得る必要がある。
2-17 「提供」「提供」とは、個人データ、保有個人データ、個人関連情報、仮名加工情報又は匿名加工情報（以下この項において「個人データ等」という。）を、自己以外の者が利用可能な状態に置くことをいう。個人データ等が、物理的に提供されていない場合であっても、ネットワーク等を利用することにより、個人データ等を利用できる状態にあれば（利用する権限が与えられていれば）、「提供」に当たる。
2-18 学術研究機関等（法第 16 条第 8 項関係）

「学術研究機関等」とは、大学その他の学術研究を目的 とする機関若しくは団体又はそれらに属する者をいう。
「大学その他の学術研究を目的とする機関若しくは団体」とは、国立・ 私立大学、公益法人等の研究所等の学術研究を主たる目的として活動する 機関や「学会」をいい、「それらに属する者」とは、国立・私立大学の教 員、公益法人等の研究所の研究員、学会の会員等をいう。 なお、民間団体付属の研究機関等における研究活動についても、当該機 関が学術研究を主たる目的とするものである場合には、「学術研究機関 等」に該当する。 一方で、当該機関が単に製品開発を目的としている場合は「学術研究を 目的とする機関又は団体」には該当しないが、製品開発と学術研究の目的 が併存している場合には、主たる目的により判断する。
2-19 「学術研究目的」「学術」とは、人文・社会科学及び自然科学並びにそれらの応用の研究であり、あらゆる学問分野における研究活動
及びその所産としての知識・方法の体系をいい、具体的活動としての「学術研究」としては、新しい法則や原理の発見、分析や方法論の確立、新しい知識やその応用法の体系化、先端的な学問領域の開拓などをいう。なお、製品開発を目的として個人情報を取り扱う場合は、当該活動は、学術研究目的とは解されない。

3個人情報取扱事業者等の義務
3-1 個人情報の利用目的（法第 17 条・第 18 条、第 21 条第 3項関係）
3-1-1 利用目的の特定（法第17条 第1項関係）
個人情報取扱事業者は、個人情報を取り扱うに当たっては、利用目的をできる限り具体的に特定しなければならないが、利用目的の特定に当たっては、利用目的を単に抽象的、一般的に特定するのではなく、個人情報が個
人情報取扱事業者において、最終的にどのような事業の用に供され、どのような目的で個人情報を利用されるのか

14

が、本人にとって一般的かつ合理的に想定できる程度に具体的に特定することが望ましい。なお、あらかじめ、
個人情報を第三者に提供することを想定している場合には、利用目的の特定に当たっては、その旨が明確に分かるよう特定しなければならない。
3-1-2 利用目的の変更（法第17条 第2項、第21条第 3項関係）
上記3-1-1（利用目的の特定）により特定した利用目的は、変更前の利用目的と関連性を有すると合理的に認められる範囲、すなわち、変更後の利用目的が変更前の利用目的からみて、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内で変更することは可能である。変更された利用目的は、本人に通知するか、又は公表しなければならない。なお、特定された利用目的（法第17条 第 2項に定める範囲で変更された利用目的を含む。）の達成に必要な範囲を超えて個人情報を取り扱う場合は、法第18条 第 1項に従って本人の同意を得なければならない。ただし、本人の身体等の保護のために必要があり、かつ本人の同意を得ることが困難である場
合等、法第18条 第 3項各号に掲げる場合には、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱うことができる。
3-1-3 利用目的による制限（法第18条 第 1項関係）
個人情報取扱事業者は、法第17条 第1項により特定した利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合は、あらかじめ本人の同意を得なければならない。ただし、当該同意を得るために個人情報を利用すること（メールの送信や電話をかけること等）は、当初特定した利用目的として記載されていない場合
でも、目的外利用には該当しない。なお、令和 3 年改正法の施行日前に別表第二法人等（法別表第 2 に掲げる法人、法第 58 条第 2 項の規定により個人情報取扱事業者、仮名加工情報取扱事業者若しくは個人関連情報取扱事業者とみなされる独立行政法人労働者健康安全機構又は学術研究機関等である個人情報取扱事業者をいう。以下同じ。）に対しされた本人の個人情報の取扱いに関する同意がある場合において、その同意が
法第 17 条第 1 項の規定により特定される利用目的以外の目的で個人情報を取り扱うことを認める旨の同意に相当するものであるときは、令和 3 年改正法の施行日において法第 18 条第 1 項の同意があったものとみなす（令和 3 年改正法附則第 7 条第 1 項）。
3-1-4 事業の承継（法第18条 第2項関係）
個人情報取扱事業者が、合併、分社化、事業譲渡等により他の個人情報取扱事業者から事業の承継をすることに伴って個人情報を取得した場合であって、当該個人情報に係る承継前の利用目的の達成に必要な範囲内で取り扱う
場合は目的外利用にはならず、本人の同意を得る必要はない。なお、事業の承継後に、承継前の利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合は、あらかじめ本人の同意を得る必要があるが、当該同意を得る
ために個人情報を利用すること（メールの送信や電話をかけること等）は、承継前の利用目的として記載されていない場合でも、目的外利用には該当しない。なお、令和 3 年改正法の施行日前に別表第二法人等（3-1-3（利用目的による制限）参照）に対しされた本人の個人情報の取扱いに関する同意がある場合において、その同意が法第 17 条第 1 項の規定により特定される利用目的以外の目的で個人情報を取り扱うことを認める
旨の同意に相当するものであるときは、令和 3 年改正法の施行日において法第 18 条第 2 項の同意があった
ものとみなす（令和 3 年改正法附則第 7 条第 1 項）。
3-1-5 利用目的による制限の例外（法第18条 第3項関係）

15次に掲げる場合については、法第18条 第1項及び第2項において、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うに当たり本人の同意を得ることが求められる場合であっても、当該同意は不要である。
（1） 法令に基づく場合（法第18条 第 3項第 1号関係）

法令に基づく場合は、法第18条 第1項又は第2項の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。
（2） 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（法第18条 第 3項第2号関係）
人（法人を含む。）の生命、身体又は財産といった具体的な権利利益の保護が必要であり、かつ、本人の同意を得ることが困難である場合は、法第18条 第 1項又は第2項の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。
（3） 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（法第18条 第 3項第 3号関係）
公衆衛生の向上又は心身の発達途上にある児童の健全な育成のために特に必要があり、かつ、本人の同意を得ることが困難である場合は、法第16条第1項又は第2項の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。
（4） 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して、事業者が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（法第18条 第 3項第4号関係）
国の機関等（地方公共団体又はその委託を受けた者を含む。）が法令の定める事務を実施する上で、民間企業等の協力を得る必要があり、かつ、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがあると認められる場合は、当該民間企業等は、法第18条 第 1項又は第2項の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。
（5）当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下この章において「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（法第 18 条第 3 項第 5 号関係）
学術研究機関等が個人情報を学術研究目的で取り扱う必要がある場合（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含む。）であって、個人の権利利益を不当に侵害するおそれがない場合は、当該学術研究機関等は、法第 18 条第 1 項又は第 2 項（利用目的による制限）の適用を受けずあらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。
（6）学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含
み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（法第 18 条第 3 項第 6 号関係）
個人情報取扱事業者が、学術研究機関等に個人データを提供し、かつ、当該学術研究機関等が当該個人デー
タを学術研究目的で取り扱う必要がある場合（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）は、法第 18 条第 1 項又は第 2項（利用目的による制限）の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。

16

3-2 不適正利用の禁止(法第19条関係)
個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。
3-3 個人情報の取得（法第20条・第21条関係）
3-3-1 適正取得（法第20条第 1項関係）

個人情報取扱事業者は、偽り等の不正の手段により個人情報を取得してはならない。
3-3-2 要配慮個人情報の取得（法第20条 第2項関係）

要配慮個人情報を取得する場合には、あらかじめ本人の同意を得なければならない。ただし、次の（1）から（9）までに掲げる場合については、本人の同意を得る必要はない。
（1） 法令に基づく場合（法第20条第 2項第 1号関係）

法令に基づく場合は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。
（2） 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（法第20条 第2項第2号関係）
人（法人を含む。）の生命、身体又は財産といった具体的な権利利益の保護が必要であり、かつ、本人の同意を得ることが困難である場合は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。
（3） 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（法第20条 第2項第 3号関係）
公衆衛生の向上又は心身の発達途上にある児童の健全な育成のために特に必要があり、かつ、本人の同意を得ることが困難である場合は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。
（4） 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して、事業者が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（法第20条 第 2項第4号関係）
国の機関等（地方公共団体又はその委託を受けた者を含む。）が法令の定める事務を実施する上で、民間企業等の協力を得る必要があり、かつ、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがあると認められる場合は、当該民間企業等は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。
（5） 当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（法第20 条第 2 項第 5 号）学術研究機関等が要配慮個人情報を学術研究目的で取り扱う必要がある場合（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含む。）であって、個人の権利利益を不当に侵害するおそれがない場合は、当該学術研究機関等は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。
（6） 学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目

的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該学術研究機

17関等が共同して学術研究を行う場合に限る。）（法第 20 条第2項第6号関係）
個人情報取扱事業者が要配慮個人情報を学術研究目的で取得する必要があり、かつ、当該個人情報取扱事業者と共同して学術研究を行う学術研究機関等から当該要配慮個人情報を取得する場合（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場
合を除く。）は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。
（7） 当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、法第 57 条第 1項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合（法第20条 第 2項第7号、規則第6条関係）
要配慮個人情報が、次に掲げる者により公開されている場合は、あらかじめ本人の同意を得ることなく、当該公開されている要配慮個人情報を取得することができる。
①本人
②国の機関
③地方公共団体④学術研究機関等⑤放送機関・新聞社・通信社その他の報道機関（報道を業として行う個人を含む。）⑥著述を業として行う者
⑦宗教団体
⑧政治団体
⑨外国政府、外国の政府機関、外国の地方公共団体又は国際機関⑩外国において法第76条第1項各号に掲げる者に相当する者（8） 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合（法第20 条第 2 項第 8 号、政令第 9 条第1号関係）
本人の意思にかかわらず、本人の外形上の特徴により、要配慮個人情報に含まれる事項（例：身体障害等）が明らかであるときは、あらかじめ本人の同意を得ることなく、当該要配慮個人情報を取得することができる。
（9） 法第27条第5項各号(法第41条第6項の規定により読み替えて適用する場合及び法第42条第2項

において読み替えて準用する場合を含む。)に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき（法第 20 条第 2 項第 8 号、政令第 9 条第 2号関係）
要配慮個人情報を、法第27条第5項各号(法第41条第6項の規定により読み替えて適用する場合及び法第42条
第2項において読み替えて準用する場合を含む。)に定める委託、事業承継又は共同利用により取得する場合
は、あらかじめ本人の同意を得る必要はない。
3-3-3 利用目的の通知又は公表（法第21条第 1項関係）

個人情報取扱事業者は、個人情報を取得する場合は、あらかじめその利用目的を公表していることが望ましい。公表していない場合は、取得後速やかに、その利用目的を、本人に通知するか又は公表しなければならない。
3-3-4 直接書面等による取得（法第21条 第2項関係）

個人情報取扱事業者は、契約書や懸賞応募はがき等の書面等による記載、ユーザー入力画面への打ち込み等の電磁的記録により、直接本人から個人情報を取得する場合には、あらかじめ、本人に対し、その利用目的

18を明示しなければならない。なお、名刺などは、一般の慣行として、自身の個人情報を、本人の自発的な意
思で、任意の簡便な形式により相手に提供するものであり、申込書、アンケート調査票、懸賞応募はがき等のように、個人情報取扱事業者が一定の書式や様式を準備した上で、本人が当該事業者の求めに沿う形で個人情報を提供する場合とは異なることから、本項の義務を課するものではないが、その場合は法第 21 条第1 項に基づいて、あらかじめ利用目的を公表するか、取得後速やかに、その利用目的を、本人に通知するか、又は公表しなければならない（ただし、3-3-5（利用目的の通知等をしなくてよい場合）参照）。口頭により個人情報を取得する場合についても同様である。また、人（法人を含む。）の生命、身体又は財産の保護のために緊急に必要がある場合は、あらかじめ、本人に対し、その利用目的を明示する必要はないが、その場合は法第 21 条第 1 項に基づいて、取得後速やかにその利用目的を、本人に通知し、又は公表しなければならない。
3-3-5 利用目的の通知等をしなくてよい場合（法第21条第 4項関係）

次に掲げる場合については、法第21条 第1項から第3項までにおいて利用目的の本人への通知、公表又は明示（以下この項において「利用目的の通知等」という。）が求められる場合であっても、当該利用目的の通知等は不要である。
（1） 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（法第21条 第4項第1号関係）
利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害す
るおそれがある場合は、法第21条 第 1項から第3項までの適用を受けず当該利用目的の通知等は不要である。
（2） 利用目的を本人に通知し、又は公表することにより事業者の権利又は正当な利益を害するおそれがある場合（法第21条第 4項 第2号関係）
利用目的を本人に通知し、又は公表することにより事業者の権利又は正当な利益を害するおそれがある場合
は、法第21条第1項から第3項までの適用を受けず、当該利用目的の通知等は不要である。
（3） 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき（法第21条第 4項第 3号関係）
国の機関等（地方公共団体又はその委託を受けた者を含む。）が法令の定める事務を実施する上で、民間企業等の協力を得る必要があり、かつ、本人に対する利用目的の通知等により当該事務の遂行に支障を及ぼすおそれがあると認められる場合は、当該民間企業等は、法第21条 第1項から第3項までの適用を受けず、当該利用目的の通知等は不要である。
（4） 取得の状況からみて利用目的が明らかであると認められる場合（法第21条 第 4項 第 4号関係）取得の状況からみて利用目的が明らかであると認められる場合は、法第21条 第1項から第3項までの適用を受けず、当該利用目的の通知等は不要である。
3-4 個人データの管理（法第22条 ～第 25条関係）
3-4-1 データ内容の正確性の確保等（法第22条関係）

個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人情報データベース等への個人情報の入力時の照合・確認の手続の整備、誤り等を発見した場合の訂正等の手続の整備、記録事項の更新、保存期間の設定等を行うことにより、個人データを正確かつ最新の内容に保つよう努めなければならない。

19

なお、保有する個人データを一律に又は常に最新化する必要はなく、それぞれの利用目的に応じて、その必要な範囲内で正確性・最新性を確保すれば足りる。また、個人情報取扱事業者は、保有する個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等は、当該個人データを遅滞なく消去するよう努めなければならない。なお、法令の定めにより保存期間等が定められている場合は、この限りではない。
3-4-2 安全管理措置（法第23条関係）

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損（以下「漏えい等」という。）の防止その他の個人データの安全管理のため、必要かつ適切な措置を講じなければならないが、当該措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容としなければならない。
3-4-3 従業者の監督（法第24条関係）

個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たって、法第23条に基づく安全管理措置を遵守させるよう、当該従業者に対し必要かつ適切な監督をしなければならない。その際、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に起因するリスクに応じて、個人データを取り扱う従業者に対する教育、研修等の内容及び頻度を充実させるなど、必要かつ適切な措置を講ずることが望ましい。
「従業者」とは、個人情報取扱事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者等をいい、雇用関係にある従業員（正社員、契約社員、嘱託社員、パート社員、アルバイト社
員等）のみならず、取締役、執行役、理事、監査役、監事、派遣社員等も含まれる。
3-4-4 委託先の監督（法第25条関係）

個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、委託を受けた者（以下「委託先」という。）において当該個人データについて安全管理措置が適切に講じられるよう、委託先に対し必要かつ適切な監督をしなければならない。具体的には、個人情報取扱事業者は、法第23条に基づき自らが講ずべき安全管理措置と同等の措置が講じられるよう、監督を行うものとする。
その際、委託する業務内容に対して必要のない個人データを提供しないようにすることは当然のこととして、取扱いを委託する個人データの内容を踏まえ、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に起因するリスクに応じて、次の（1）から（3）までに掲げる必要かつ適切な措置を講じなければならない。
（1） 適切な委託先の選定

委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第23条及び本ガイドラインで委託元に求められるものと同等であり、かつ、委託する業務内容に沿って、確実に実施されることについて、あらか
じめ確認しなければならない。
（2） 委託契約の締結

20

委託契約には、当該個人データの取扱いに関する、必要かつ適切な安全管理措置として、委託元、委託先双方が同意した内容とともに、委託先における委託された個人データの取扱状況を委託元が合理的に把握することを盛り込むことが望ましい。
（3） 委託先における個人データ取扱状況の把握

委託先における委託された個人データの取扱状況を把握するためには、定期的に監査を行う等により、委託契約で盛り込んだ内容の実施の程度を調査した上で、委託の内容等の見直しを検討することを含め、適切に評価することが望ましい。また、委託先が再委託を行おうとする場合は、委託を行う場合と同様、委託元は、委託先が再委託する相手方、再委託する業務内容、再委託先の個人データの取扱方法等について、委託先から事前報告を受け又は承認を行うこと、及び委託先を通じて又は必要に応じて自らが、定期的に監査を実施すること等
により、委託先が再委託先に対して本条の委託先の監督を適切に果たすこと、及び再委託先が法第23条に基づく
安全管理措置を講ずることを十分に確認することが望ましい。再委託先が再々委託を行う場合以降も、再委託を行う場合と同様である。
3-5 個人データの漏えい等の報告等(法第26条関係)
3-5-1「漏えい等」の考え方
3-5-1-1「漏えい」の考え方
個人データの「漏えい」とは、個人データが外部に流出することをいう。
なお、個人データを第三者に閲覧されないうちに全てを回収した場合は、漏えいに該当しない。また、個人情報取扱事業者が自らの意図に基づき個人データを第三者に提供する場合は、漏えいに該当しない。
3-5-1-2「滅失」の考え方
個人データの「滅失」とは、個人データの内容が失われることをいう。
なお、上記の場合であっても、その内容と同じデータが他に保管されている場合は、滅失に該当しない。また、個人情報取扱事業者が合理的な理由により個人データを削除する場合は、滅失に該当しない。
3-5-1-3「毀損」の考え方
個人データの「毀損」とは、個人データの内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となることをいう。
なお、同じデータが他に保管されている場合は毀損に該当しない。
3-5-2漏えい等事案が発覚した場合に講ずべき措置
個人情報取扱事業者は、漏えい等又はそのおそれのある事案(以下「漏えい等事案」という。)が発覚した場
合は、漏えい等事案の内容等に応じて、次の(1)から(5)に掲げる事項について必要な措置を講じなければならない。
(1)事業者内部における報告及び被害の拡大防止
責任ある立場の者に直ちに報告するとともに、漏えい等事案による被害が発覚時よりも拡大しないよう必要な措置を講ずる。
(2)事実関係の調査及び原因の究明
漏えい等事案の事実関係の調査及び原因の究明に必要な措置を講ずる。

21

(3)影響範囲の特定
上記(2)で把握した事実関係による影響範囲の特定のために必要な措置を講ずる。
(4)再発防止策の検討及び実施
上記(2)の結果を踏まえ、漏えい等事案の再発防止策の検討及び実施に必要な措置を講ずる。
(5)個人情報保護委員会への報告及び本人への通知
3-5-3(個人情報保護委員会への報告)、3-5-4(本人への通知)を参照のこと。なお、漏えい等事案の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、事実関係及び再発防止策等について、速やかに公表することが望ましい。
3-5-3個人情報保護委員会への報告(法第26条第1項関係)
3-5-3-1報告対象となる事態
個人情報取扱事業者は、次の(1)から(4)までに掲げる事態(以下「報告対象事態」という。)を知ったときは、
個人情報保護委員会に報告しなければならない。
(1)要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態(規則第7条
第1号関係)(2)不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態(規則第7条第2号関係)
財産的被害が生じるおそれについては、対象となった個人データの性質・内容等を踏まえ、財産的被害が発生する蓋然性を考慮して判断する。
(3)不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある
事態(規則第7条第3号関係)「不正の目的をもって」漏えい等を発生させた主体には、第三者のみならず、従業者も含まれる。
(4)個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態(規則第7条第4号関係)「個人データに係る本人の数」は、当該個人情報取扱事業者が取り扱う個人データのうち、漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数をいう。「個人データに係る本人の数」について、事態が発覚した当初1,000人以下であっても、その後1,000人を超えた場合には、1,000人を超えた時点で規則第第7条第4号に該当することになる。本人の数が確定できない漏えい等において、漏えい等が発生したおそれがある個人データに係る本人の数が最大1,000人を超える場合には、規則第7条第4号に該当する。
なお、漏えい等が発生し、又は発生したおそれがある個人データについて、高度な暗号化等の秘匿化がされている場合等、「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられている場
合については、報告を要しない。
3-5-3-2報告義務の主体
漏えい等報告の義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データを取り扱う個
人情報取扱事業者である。
個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人データを取り扱っていることになるため、報告対象事態に該当する場合には、原則として委託元と委託先の双方が報告する義務を負う。この場合、委託元及び委託先の連名で報告することができる。なお、委託先が、報告義務を負っている22

委託元に当該事態が発生したことを通知したときは、委託先は報告義務を免除される。
また、委託元から委託先にある個人データ(個人データA)の取扱いを委託している場合であって、別の個人
データ(個人データB)の取扱いを委託していないときには、個人データBについて、委託元において報告対象事態が発生した場合であっても、委託先は報告義務を負わず、委託元のみが報告義務を負うことになる。
3-5-3-3速報(規則第8条第1項関係)
個人情報取扱事業者は、報告対象事態を知ったときは、速やかに、個人情報保護委員会に報告しなければならない。個人情報保護委員会が法第147条第1項の規定により報告を受理する権限を事業所管大臣に委任している場合には、当該事業所管大臣に報告する。事業所管大臣に報告する場合、報告期限は個人情報保護委
員会に報告する場合と同様である。報告期限の起算点となる「知った」時点については、個別の事案ごとに判断されるが、個人情報取扱事業者が法人である場合には、いずれかの部署が当該事態を知った時点を基準とする。「速やか」の日数の目安については、個別の事案によるものの、個人情報取扱事業者が当該事態を知った時点から概ね3~5日以内である。個人情報保護委員会への漏えい等報告については、次の(1)から(9)までに掲げる事項を、原則として、個人情報保護委員会のホームページの報告フォームに入力する方法により行う。速報時点での報告内容については、報告をしようとする時点において把握している内容を報告すれば足りる。
(1)「概要」当該事態の概要について、発生日、発覚日、発生事案、発見者、規則第7条各号該当性、委託元及び委託先の有無、事実経過等を報告する。
(2)「漏えい等が発生し、又は発生したおそれがある個人データの項目」
漏えい等が発生し、又は発生したおそれがある個人データの項目について、媒体や種類(顧客情報、従業員情報の別等)とともに報告する。
(3)「漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数」
漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数について報告する。
(4)「原因」
当該事態が発生した原因について、当該事態が発生した主体(報告者又は委託先)とともに報告する。
(5)「二次被害又はそのおそれの有無及びその内容」
当該事態に起因して発生する被害又はそのおそれの有無及びその内容について報告する。
(6)「本人への対応の実施状況」
当該事態を知った後、本人に対して行った措置(通知を含む。)の実施状況について報告する。
(7)「公表の実施状況」
当該事態に関する公表の実施状況について報告する。
(8)「再発防止のための措置」
漏えい等事案が再発することを防止するために講ずる措置について、実施済みの措置と今後実施予定の措置に分けて報告する。
(9)「その他参考となる事項」
上記の(1)から(8)までの事項を補完するため、個人情報保護委員会が当該事態を把握する上で参考となる事項を報告する。

23

3-5-3-4確報(規則第8条第2項関係)
個人情報取扱事業者は、報告対象事態を知ったときは、速報に加え、30日以内(規則第7条第3号の事態においては60日以内。同号の事態に加え、同条第1号、第2号又は第4号の事態にも該当する場合も60日以内。)に個人情報保護委員会(個人情報保護委員会が法第147条第1項の規定により報告を受理する権限を事業所管大臣に委任している場合には、当該事業所管大臣)に報告しなければならない。30日以内又は60日以内は報告期限であり、可能である場合には、より早期に報告することが望ましい。報告期限の起算点となる「知った」時点については、速報と同様に、個人情報取扱事業者が法人である場合には、いずれかの部署が当該事態を知った時点を基準とし、確報の報告期限の算定に当たっては、その時点を1日目とする。確報においては、3-5-3-3(1)から(9)までに掲げる事項の全てを報告しなければならない。確報を行う時点(報告対象事態を知った日から30日以内又は60日以内)において、合理的努力を尽くした上で、一部の事項が判明しておらず、全ての事項を報告することができない場合には、その時点で把握している内容を報告し、判明次第、報告を追完するものとする。
3-5-3-5委託元への通知による例外(規則第9条関係)
委託先は、個人情報保護委員会(個人情報保護委員会が法第147条第1項の規定により報告を受理する権限を事業所管大臣に委任している場合には、当該事業所管大臣)への報告義務を負っている委託元に対し、3-53-3(1)から(9)までに掲げる事項のうち、その時点で把握しているものを通知したときは、報告義務を免除される。委託元への通知については、速報としての報告と同様に、報告対象事態を知った後、速やかに行わなければならない。「速やか」の日数の目安については、個別の事案によるものの、委託先が当該事態の発生を知った時点から概ね3~5日以内である。
この場合、委託先から通知を受けた委託元が報告をすることになる。委託元は、通常、遅くとも委託先から通知を受けた時点で、報告対象事態を知ったこととなり、速やかに報告を行わなければならない。
なお、通知を行った委託先は、委託元から報告するに当たり、事態の把握を行うとともに、必要に応じて委託元の漏えい等報告に協力することが求められる。
3-5-4本人への通知(法第26条第2項関係)
3-5-4-1通知対象となる事態及び通知義務の主体
個人情報取扱事業者は、報告対象事態を知ったときは、本人への通知を行わなければならない。通知義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データを取り扱う個人情報取扱事業者である。個人データの取扱いを委託している場合において、委託先が、報告義務を負っている委託元に3-5-33(1)から(9)までに掲げる事項のうち、その時点で把握しているものを通知したときは、委託先は報告義務を免除されるとともに、本人への通知義務も免除される。
3-5-4-2通知の時間的制限
個人情報取扱事業者は、報告対象事態を知ったときは、当該事態の状況に応じて速やかに、本人への通知を行わなければならない。「当該事態の状況に応じて速やかに」とは、速やかに通知を行うことを求めるものであるが、具体的に通知を行う時点は、個別の事案において、その時点で把握している事態の内容、通知を行うことで本人の権利利益が保護される蓋然性、本人への通知を行うことで生じる弊害等を勘案して判断する。

24

3-5-4-3通知の内容
本人へ通知すべき事項については、漏えい等報告における報告事項のうち、「概要」、「漏えい等が発生し、又は発生したおそれがある個人データの項目」、「原因」、「二次被害又はそのおそれの有無及びその内容」
及び「その他参考となる事項」に限られている。これらの事項が全て判明するまで本人への通知をする必要がないというものではなく、本人への通知は、「当該事態の状況に応じて速やかに」行う必要がある。
本人への通知については、「本人の権利利益を保護するために必要な範囲において」行うものである。また、
当初報告対象事態に該当すると判断したものの、その後実際には報告対象事態に該当していなかったことが判明した場合には、本人への通知が「本人の権利利益を保護するために必要な範囲において」行うものであることに鑑み、本人への通知は不要である。
3-5-4-4通知の方法「本人への通知」とは、本人に直接知らしめることをいい、事業の性質及び個人データの取扱状況に応じ、通知すべき内容が本人に認識される合理的かつ適切な方法によらなければならない(2-14(本人に通知)参照)。
また、漏えい等報告と異なり、本人への通知については、その様式が法令上定められていないが、本人にとって分かりやすい形で通知を行うことが望ましい。
3-5-4-5通知の例外
本人への通知を要する場合であっても、本人への通知が困難である場合は、本人の権利利益を保護するために必要な代替措置を講ずることによる対応が認められる。
3-6 個人データの第三者への提供（法第27条～第 30条関係）
3-6-1 第三者提供の制限の原則（法第27条第 1項関係）

個人情報取扱事業者は、個人データの第三者への提供に当たり、あらかじめ本人の同意を得ないで提供してはならない。同意の取得に当たっては、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性
質及び量を含む。）等に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示さなければならない。なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的において、その旨を特定しなければならない。また、令和 3 年改正法の施行日前に本人の個人情報の取扱いに関する同意がある場合において、その同意が法第 27 条第 1 項の規定による個人データの第三者への提供を認める旨の同意に相当するものであるときは、令和 3 年改正法の施行日において同項の同意があったものとみなす。（令和 3 年改正法附則第 7 条第 2 項）。ただし、次の（1）から（7）までに掲げる場合については、
第三者への個人データの提供に当たって、本人の同意は不要である。
（1） 法令に基づいて個人データを提供する場合（法第27条第 1項第 1号関係）（2） 人（法人を含む。）の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得ることが困難である場合（法第27条第1項第2号関係）（3） 公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることが困難である場合（法第27条第 1項第 3号関係）（4） 国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であって、協力

25

する民間企業等が当該国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合（法第27条第 1項第 4号関係）（5） 学術研究機関等が個人データを提供する場合であり、かつ、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ない場合（個人の権利利益を不当に侵害するおそれがある場合を除く。）（法第 27 条第 1 項第 5 号関係）
（6） 学術研究機関等が個人データを提供する場合であり、かつ、当該学術研究機関等と共同して学術研究を行う第三者（学術研究機関等であるか否かを問わない。）に当該個人データを学術研究目的で提供する必要がある場合（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（法第 27 条第1 項第6 号関係）
（7） 学術研究機関等が個人データの第三者提供を受ける場合であり、かつ、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要がある場合（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（法第 27 条第1 項第7 号
関係）
3-6-2 オプトアウトによる第三者提供（法第27条 第2項～第4項関係）
3-6-2-1 オプトアウトに関する原則（法第27条 第 2項関係）

個人情報取扱事業者は、個人データの第三者への提供に当たり、次の（1）から（9）までに掲げる事項をあらかじめ本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出た場合には、法第27条 第 1項の規定にかかわらず、あらかじめ本人の同意を得ることなく、個人データを第三者に提供することができる（オプトアウトによる第三者提供）。なお、法第 27 条第 2 項の規定により個人データを第三者に提供しようとする別表第二法人等（3-1-3（利用目的による制限）参照）は、令和 3 年改正法の施行日前においても、令和 3 年改正法規則附則第 3 条で準用する規則第 11 条及び第 12 条の規定により、同項各号に掲げる事項に相当する事項について、本人に通知するとともに、個人情報保護委員会に届け出ることができる。この場合において、当該通知及び届出は、令和 3 年改正法の施行日以後は、同項の規定による通知及び届出とみなす（令和 3 年改正法附則第 7 条第 3 項）。また、個人情報取扱事業者は、法第27条
第2項に基づき、必要な事項を個人情報保護委員会に届け出たときは、その内容を自らもインターネットの利用その他の適切な方法により公表するものとする。なお、要配慮個人情報をオプトアウトにより第三者に提供することや、オプトアウトにより提供を受けた個人データをオプトアウトにより再提供することはできず、第三者に提供するに当たっては、法第27条 第1項各号又は同条第5項各号に該当する場合以外は、必ずあらかじめ本人の同意を得る必要があるので、注意を要する。また、不正取得された個人データについても、オプトアウトにより第三者に提供することはできない。
（1） 個人情報取扱事業者の氏名又は名称及び住所並びに法人等の代表者の氏名（2） 第三者への提供を利用目的とすること。

利用目的が具体的に分かる内容とすること。「等」や「その他」等のあいまいな表現の記入は望ましくない。
（3） 三者に提供される個人データの項目

オプトアウトにより第三者に提供される個人データの項目を網羅的に示す必要がある。提示されていない個
人データの項目を、オプトアウトにより第三者に提供することはできないことに、注意を要する。
（4） 第三者に提供される個人データの取得の方法

オプトアウトにより第三者に提供される個人データについて、取得元(取得源)と取得の方法を示す必要がある。

26

（5） 第三者への提供の方法（6） 本人の求めに応じて第三者への提供を停止すること。
（7） 本人の求めを受け付ける方法（8） 第三者に提供される個人データの更新の方法

第三者に提供される個人データをどのように更新しているかを記入する。
（9） 当該届出に係る個人データの第三者への提供を開始する予定日

新規の届出の場合には、オプトアウトによる第三者提供を開始する予定日を記入する。変更届の場合には、変更届に基づいて第三者提供を開始する予定日を記入する。
3-6-2-2 オプトアウトに関する事項の変更及び個人データの提供をやめた場合(法第27条第3項関係)

個人情報取扱事業者は、法第27条第 2項に基づきオプトアウトにより個人データの第三者提供を行っている場
合であって、次の(1)から(3)までのいずれかに該当する場合は、その旨について、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。なお、個人情報取扱事業者は、法第27条第3項に基づき、必要な事項を個人情報保護委員会に届け出たときは、その内容を自らも公表するものとする。
(1)届出事項(第三者に提供される個人データの項目等)の変更があった場合第三者に提供される個人データの項目、第三者に提供される個人データの取得の方法、第三者への提供の方
法、第三者への提供を停止すべきとの本人の求めを受け付ける方法、個人データの更新の方法又は第三者への提供を開始する予定日を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
(2)届出事項(氏名又は名称、住所、法人等の代表者の氏名)の変更があった場合
第三者への提供を行う個人情報取扱事業者の氏名又は名称、住所、法人等の代表者の氏名に変更があったと
きは、遅滞なく、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
(3)個人データの提供をやめた場合
法第27条第2項に基づく個人データの第三者提供をやめたときは、遅滞なく、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
3-6-3 第三者に該当しない場合（法第27条第 5項・第6項関係）

次の（1）から（3）までの場合については、個人データの提供先は個人情報取扱事業者とは別の主体として形
式的には第三者に該当するものの、本人との関係において提供主体である個人情報取扱事業者と一体のものとして取り扱うことに合理性があるため、第三者に該当しないものとする。
このような要件を満たす場合には、個人情報取扱事業者は、法第27条第1項から第3項までの規定にかかわらず、あらかじめの本人の同意又は第三者提供におけるオプトアウトを行うことなく、個人データを提供することができる。
（1）委託（法第27条第5項第1号関係）
利用目的の達成に必要な範囲内において、個人データの取扱いに関する業務の全部又は一部を委託することに伴い、当該個人データが提供される場合は、当該提供先は第三者に該当しない。
なお、個人情報取扱事業者には、法第25条により、委託先に対する監督責任が課される。

27

（2）事業の承継（法第27条第5項第2号関係）
合併、分社化、事業譲渡等により事業が承継されることに伴い、当該事業に係る個人データが提供される場合は、当該提供先は第三者に該当しない。なお、事業の承継後も、個人データが当該事業の承継により提供される前の利用目的の範囲内で利用しなければならない。また、事業の承継のための契約を締結するより前の交渉段
階で、相手会社から自社の調査を受け、自社の個人データを相手会社へ提供する場合も、本号に該当し、あらか
じめ本人の同意を得ることなく又は第三者提供におけるオプトアウト手続を行うことなく、個人データを提供することができるが、当該データの利用目的及び取扱方法、漏えい等が発生した場合の措置、事業承継の交渉が不調となった場合の措置等、相手会社に安全管理措置を遵守させるために必要な契約を締結しなければならない。
（3）共同利用（法第27条第5項第3号関係）
特定の者との間で共同して利用される個人データを当該特定の者に提供する場合であって、次の①から⑤までの情報を、提供に当たりあらかじめ本人に通知し、又は本人が容易に知り得る状態に置いているときには、当該提供先は、本人から見て、当該個人データを当初提供した事業者と一体のものとして取り扱われることに合理性があると考えられることから、第三者に該当しない。なお、法第 27 条第 5 項第 3 号の規定により本人に通知し、又は本人が容易に知り得る状態に置かなければならない事項に相当する事項について、令和 3 年改正
法の施行日前に本人に通知されているときは、当該通知は、令和 3 年改正法の施行日以後は、同号の規定による通知とみなす（令和 3 年改正法附則第 7 条第 4 項）。また、既に特定の事業者が取得している個人データを他の事業者と共同して利用する場合には、既に取得している事業者が法第17第1項の規定により特定した
利用目的の範囲で共同して利用しなければならない。
①共同利用をする旨②共同して利用される個人データの項目③共同して利用する者の範囲「共同利用の趣旨」は、本人から見て、当該個人データを提供する事業者と一体のものとして取り扱われることに合理性がある範囲で、当該個人データを共同して利用することである。
したがって、共同利用者の範囲については、本人がどの事業者まで将来利用されるか判断できる程度に明確にする必要がある。なお、当該範囲が明確である限りにおいては、必ずしも事業者の名称等を個別に全て列挙する必要はないが、本人がどの事業者まで利用されるか判断できるようにしなければならない。
④利用する者の利用目的
共同して利用する個人データについて、その利用目的を全て、本人に通知し、又は本人が容易に知り得る状態に置いていなければならない。なお、利用目的が個人データの項目によって異なる場合には、当該個人データの項目ごとに利用目的を区別して記載することが望ましい。
⑤当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名「個人データの管理について責任を有する者」とは、開示等の請求及び苦情を受け付け、その処理に尽力するとともに、個人データの内容等について、開示、訂正、利用停止等の権限を有し、安全管理等個人データの管理について責任を有する者をいう。なお、ここでいう「責任を有する者」とは、共同して利用する全ての事業者の中で、第一次的に苦情の受付・処理、開示・訂正等を行う権限を有する者をいい、共同利用者のうち一事業者の内部の担当責任者をいうものではない。また、個人データの管理について責任を有する者は、利用目的の達成に必要な範囲内において、共同利用者間で利用している個人データを正確かつ最新の内容に保つよう努めなければな
らない。

28

＜共同利用に係る事項の変更（法第27条第6項関係）＞
個人情報取扱事業者は、個人データを共同利用する場合において、「個人データの管理について責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名」に変更があったときは遅滞なく、当該変更後の内容について、「共同利用する者の利用目的」又は「当該責任を有する者」を変更しようとするときは変更する前に、変更しようとする内容について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
「共同利用する者の利用目的」については、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内で変更することができる。
「共同して利用される個人データの項目」及び「共同して利用する者の範囲」について変更することは、原則として認められない。
3-6-4 外国にある第三者への提供の制限（法第28条関係）

外国にある第三者への提供の制限については、個人情報保護委員会が定める「外国第三者提供ガイドライン」に従う。
3-6-5 第三者提供に係る記録の作成等（法第29条関係）

第三者提供に係る記録の作成等については、個人情報保護委員会が定める「確認・記録義務ガイドライン」に従う。
3-6-6 第三者提供を受ける際の確認等（法第30条関係）

第三者提供を受ける際の確認等については、個人情報保護委員会が定める「確認・記録義務ガイドライン」に従う。
3-7 個人関連情報の第三者提供の制限等(法第31条関係)
3-7-1 法第31条の適用の有無について
個人関連情報取扱事業者は、提供先の第三者が個人関連情報(個人関連情報データベース等を構成するものに限る。以下同じ。)を個人データとして取得することが想定されるときは、法第27条第1項各号に掲げる場
合を除き、あらかじめ当該個人関連情報に係る本人の同意が得られていること等を確認しないで、当該個人関連情報を提供してはならない。
法第31条第1項は、個人関連情報取扱事業者による個人関連情報の第三者提供一般に適用されるものではな
く、提供先の第三者が個人関連情報を「個人データとして取得することが想定されるとき」に適用されるものである。そのため、個人関連情報の提供を行う個人関連情報取扱事業者は、提供先の第三者との間で、提供を行う個人関連情報の項目や、提供先の第三者における個人関連情報の取扱い等を踏まえた上で、それに基づいて法第31条第1項の適用の有無を判断する。
3-7-1-1「個人データとして取得する」について
法第31条第1項の「個人データとして取得する」とは、提供先の第三者において、個人データに個人関連情報を付加する等、個人データとして利用しようとする場合をいう。
提供先の第三者が、提供を受けた個人関連情報を、ID等を介して提供先が保有する他の個人データに付加す29

る場合には、「個人データとして取得する」場合に該当する。
提供先の第三者が、提供を受けた個人関連情報を直接個人データに紐付けて利用しない場合は、別途、提供先の第三者が保有する個人データとの容易照合性が排除しきれないとしても、ここでいう「個人データとして取得する」場合には直ちに該当しない。
3-7-1-2「想定される」について「想定される」とは、提供元の個人関連情報取扱事業者において、提供先の第三者が「個人データとして取得する」(3-7-1-1(「個人データとして取得する」について))ことを現に想定している場合、又は一般人の認識を基準として「個人データとして取得する」ことを通常想定できる場合をいう。
(1)「個人データとして取得する」ことを現に想定している場合
提供元の個人関連情報取扱事業者が、提供先の第三者において個人データとして取得することを現に認識している場合をいう。
(2)「個人データとして取得する」ことを通常想定できる場合
提供元の個人関連情報取扱事業者において現に想定していない場合であっても、提供先の第三者との取引状
況等の客観的事情に照らし、一般人の認識を基準に通常想定できる場合には、「想定される」に該当する。
3-7-1-3契約等による対応について
提供元の個人関連情報取扱事業者及び提供先の第三者間の契約等において、提供先の第三者において、提供を受けた個人関連情報を個人データとして利用しない旨が定められている場合には、通常、「個人データとして取得する」ことが想定されず、法第31条は適用されない。この場合、提供元の個人関連情報取扱事業者
は、提供先の第三者における個人関連情報の取扱いの確認まで行わなくとも、通常、「個人データとして取得する」ことが想定されない。もっとも、提供先の第三者が実際には個人関連情報を個人データとして利用することが窺われる事情がある場合には、当該事情に応じ、別途、提供先の第三者における個人関連情報の取扱いも確認した上で「個人データとして取得する」ことが想定されるかどうか判断する必要がある。
3-7-2本人の同意の取得方法
3-7-2-1本人の同意法第31条第1項第1号の「本人の同意」とは、個人関連情報取扱事業者が第三者に個人関連情報を提供し、当該第三者が当該個人関連情報を個人データとして取得することを承諾する旨の当該本人の意思表示をいう。
同号の同意の取得に当たっては、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示した上で、本人の同意の意思が明確に確認できることが必要である。
また、本人の同意は、必ずしも第三者提供のたびに取得しなければならないものではなく、本人が予測できる範囲において、包括的に同意を取得することも可能である。
なお、令和2年改正法の施行日前になされた本人の個人関連情報の取扱いに関する同意がある場合において、その同意が法第31条第1項の規定による個人関連情報の第三者への提供を認める旨の同意に相当するものであるときは、同項第1号の同意があったものとみなす(令和2年改正法附則第5条第1号)。
また、令和 3 年改正法の施行日前に本人の個人関連情報の取扱いに関する同意がある場合において、その同意が法第 31 条第 1 項第 1 号の規定による個人関連情報の第三者への提供を認める旨の同意に相当するものであるときは、令和 3 年改正法の施行日において同号の同意があったものとみなす（令和 3 年改正法附則第30

7 条第 8 項）。
3-7-2-2同意を取得する主体
法第31条第1項第1号の「本人の同意」を取得する主体は、本人と接点を持ち、情報を利用する主体となる提供先の第三者であるが、同等の本人の権利利益の保護が図られることを前提に、同意取得を提供元の個人
関連情報取扱事業者が代行することも認められる。提供先の第三者による同意取得の場合であっても、提供
元の個人関連情報取扱事業者による同意取得の代行の場合であっても、個人関連情報の提供を受けて個人データとして取得する主体、対象となる個人関連情報の項目、個人関連情報の提供を受けて個人データとして取得した後の利用目的等について、本人が認識できるようにする必要がある。
(1)提供先の第三者による同意取得の場合
提供先の第三者が、個人関連情報の提供を受けて個人データとして取得する主体として、本人に対して、対象となる個人関連情報を特定できるように示した上で同意を取得しなければならない。
個人関連情報を個人データとして取得した後の利用目的については、提供先の第三者において法第 21 条により通知又は公表を行う必要があるが、提供先において同意を取得する際には同時に当該利用目的についても本人に示すことが望ましい。
(2)提供元の個人関連情報取扱事業者による同意取得の代行の場合
提供元の個人関連情報取扱事業者が同意取得を代行する場合、本人は利用の主体を認識できないことから、提供元の個人関連情報取扱事業者において、個人関連情報の提供を受けて個人データとして取得する提供先の第三者を個別に明示し、また、対象となる個人関連情報を特定できるように示さなければならない。
提供先の第三者が個人関連情報を個人データとして取得した後の利用目的については、提供先の第三者において法第 21 条により通知又は公表を行わなければならない。
また、提供元の個人関連情報取扱事業者が同意取得を代行する場合であっても、提供先の第三者が同意取得の主体であることに変わりはないことから、提供先の第三者は提供元の個人関連情報取扱事業者に適切に同意取得させなければならない。
3-7-2-3 同意取得の方法
同意取得の方法としては、様々な方法があるが、例えば、本人から同意する旨を示した書面や電子メールを受領する方法、確認欄へのチェックを求める方法がある。ウェブサイト上で同意を取得する場合は、単にウェブサイト上に本人に示すべき事項を記載するのみでは足りず、それらの事項を示した上でウェブサイト上のボタンのクリックを求める方法等によらなければならない。
また、同意取得に際しては、本人に必要な情報を分かりやすく示すことが重要であり、例えば、図を用いるなどして工夫することが考えられる。
3-7-3 本人の同意等の確認の方法(法第 31 条第 1 項関係)
3-7-3-1 個人データとして取得することを認める旨の本人の同意を得られていること(法第 31 条第 1 項第 1号、規則第 26 条第 1 項関係)
個人関連情報取扱事業者は、提供先の第三者が個人関連情報を個人データとして取得することが想定される
ときは、原則として、あらかじめ当該個人関連情報に係る本人の同意が得られていることを確認しないで個
人関連情報を提供してはならない。

31

本人から同意を得る主体は、原則として提供先の第三者となり、個人関連情報取扱事業者は、当該第三者から申告を受ける方法その他の適切な方法によって本人同意が得られていることを確認することになる。提供
先の第三者から申告を受ける場合、個人関連情報取扱事業者は、その申告内容を一般的な注意力をもって確認すれば足りる。提供先の第三者において、複数の本人から同一の方式で同意を取得している場合、提供元
はそれぞれの本人から同意が取得されていることを確認する必要があるが、同意取得の方法については、本
人ごとに個別の申告を受ける必要はなく、複数の本人からどのように同意を取得したか申告を受け、それによって確認を行えば足りる。なお、提供先の第三者から提供元の個人関連情報取扱事業者に対する申告に際し、提供先の第三者が法第 31 条第 1 項第 1 号の同意を取得済みの ID 等を提供する行為は、個人データの第三者提供に該当する場合があるが、法第 31 条第 1 項の確認行為において必要となる情報のみを提供する場
合は、法令に基づく場合(法第 27 条第 1 項第 1 号)に該当する。また、提供元の個人関連情報取扱事業者において、同意取得を代行する場合、当該同意を自ら確認する方法も「その他の適切な方法」による確認に該当する。
3-7-3-2 外国にある第三者への提供にあっては、必要な情報が当該本人に提供されていること(法第 31 条第 1
項第 2 号、規則第 26 条第 2 項関係)
個人関連情報取扱事業者は、個人関連情報の提供先が外国にある第三者である場合には、法第 31 条第 1 項
第 1 号に基づき本人の同意が得られていることを確認するに当たって、当該同意が得られていることに加え、当該同意を得ようとする時点において次の(1)から(3)までの情報が当該本人に提供されていることを確認しなければならない。情報提供の方法及び提供すべき情報の内容の考え方等については、個人情報保護委
員会が定めた外国第三者提供ガイドライン「5-1(情報提供の方法)」及び「5-2(提供すべき情報)」に従う。
(1)当該外国の名称(規則第 17 条第 2 項第 1 号関係)
(2)適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報(規則第 17 条第 2 項第 2 号関係)
(3)当該第三者が講ずる個人情報の保護のための措置に関する情報(規則第 17 条第 2 項第 3 号関係)
ただし、次の①又は②のいずれかに該当する場合には、本人同意の取得時に上記の(1)から(3)までの情報が提供されていることを確認する必要はない。
①当該第三者が個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報保護制度を有している国にある場合
個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報保護制度を有している外国として規則で定める国は、法第 31 条第 1 項第 2 号の「外国」には該当しない。そのため、個人関連情報の提供先が、当該国にある第三者である場合には、法第 31 条第 1 項第 2 号は適用されない。
②当該第三者が個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備している場合
個人関連情報の提供先である外国にある第三者が、個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制として規則第 16 条で定める基準に適合する体制を整備している場合には、当該第三者は、法第 31 条第 1 項第 2 号における「第三者」に該当しない。そのため、当該体制を整備している外国にある第三者への個人関連情報の提供については、法第 31 条第 1 項第 2 号は適用されない。
ただし、規則第 16 条で定める基準に適合する体制を整備している外国にある第三者に個人関連情報の提供を行った場合には、個人関連情報取扱事業者は、法第 31 条第 2 項により読み替えて準用される法第 28 条第32

3 項に基づき、次の(ア)及び(イ)の措置を講じなければならない。講ずべき措置の考え方等については、個人情報保護委員会が定める外国第三者提供ガイドライン「6-1(相当措置の継続的な実施を確保するために必要な措置)」に従う。
(ア)当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること(規則第 18 条第 1 項第1 号関係)(イ)当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人関連情報の当該第三者への提供を停止すること(規則第 18 条第 1 項第 2 号関係)
<確認の方法(規則第 26 条第 2 項関係)>
本人から同意を得る主体は、原則として提供先の第三者となり、個人関連情報取扱事業者は、書面の提示を受ける方法その他の適切な方法によって必要な情報の提供が行われていることを確認しなければならない。
3-7-3-3 既に確認を行った第三者に対する確認の方法(規則第 26 条第 3 項)
複数回にわたって同一「本人」の個人関連情報を提供する場合において、同一の内容である事項を重複して確認する合理性はないため、既に規則第 26 条に規定する方法(3-7-3-1(個人データとして取得することを認める旨の本人の同意を得られていること)、3-7-3-2(外国にある第三者への提供にあっては、参考となるべき情報が当該本人に提供されていること))により確認を行い、3-7-4 (提供元における記録義務)に規定する方法
により作成し、かつ、その時点において保存している記録に記録された事項と内容が同一であるものについては、当該事項の確認を省略することができる。令和 2 年改正法の施行日の前に上記に規定する方法に相当する方法で作成した記録についても同様とする。
3-7-4提供元における記録義務(法第31条第3項、第30条第3項関係)
個人関連情報取扱事業者は、法第31条第1項の規定による確認を行った場合は、その記録を作成しなければならない(法第31条第3項において準用される法第30条第3項)。なお、「第三者」のうち、次の(1)から(4)までに掲げる者に個人関連情報の提供を行う場合は、記録義務は適用されない(第31条第3項において読み替えて準用する法第30条第3項、第29条第1項)。
(1)国の機関(法第 16 条第 2 項第1号関係)(2)地方公共団体(法第 16 条第 2 項第2号関係)(3)独立行政法人等（独立行政法人通則法第 2 条第 1 項 に規定する独立行政法人及び別表第 1 に掲げる法人をいう。別表第 2 に掲げる法人を除く。）（法第 16 条第 2 項第 3 号関係）
(4)地方独立行政法人(地方独立行政法人法第2条第1項に規定する地方独立行政法人をいう。)( 法第 16 条第2 項第4号関係)
3-7-4-1記録を作成する媒体(規則第27条第1項関係)
個人関連情報取扱事業者は、記録を、文書、電磁的記録(電磁的方式(電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。)で作られる記録をいう。以下同じ。法第2条第1項第1号
参照)又はマイクロフィルムを用いて作成しなければならない。

33

3-7-4-2記録を作成する方法
3-7-4-2-1原則(規則第27条第2項関係)
個人関連情報取扱事業者は、記録を作成する場合、原則として、個人関連情報の提供の都度、速やかに、記録を作成しなければならない。
なお、個人関連情報を提供する前に記録を作成することもできる。
3-7-4-2-2一括して記録を作成する方法(規則第27条第2項関係)
一定の期間内に特定の事業者に対して継続的に又は反復して個人関連情報を提供する場合は、個々の提供に係る記録を作成する代わりに、一括して記録を作成することができる。「確実であると見込まれるとき」の例としては、継続的に又は反復して個人関連情報を提供することを内容とする基本契約を締結することで、以後、継続的に又は反復して個人関連情報を提供することが確実であると見込まれる場合などが該当する。
この場合は、当該基本契約に係る契約書をもって記録とすることができる。「一括して記録を作成する方法」
は、例外としての記録作成方法であることに鑑みてその対象期間、対象範囲等を明確にすることが望ましい。
3-7-4-2-3契約書等の代替手段による方法(規則第27条第3項関係)
個人関連情報取扱事業者が、本人に対する物品又は役務の提供に係る契約を締結し、かかる契約の履行に伴って、当該本人に係る個人関連情報を当該個人関連情報取扱事業者から第三者に提供する場合は、当該契約書その他の書面をもって記録とすることができる。
仮に、規則第27条第3項の要件を満たさない書面も、記録事項が記載されていれば記録として認められるが、保存期間の違いに留意する必要がある。
(1)「本人に対する物品又は役務の提供」
提供元の個人関連情報取扱事業者若しくは提供先の第三者又はその双方が「本人に対する物品又は役務の提供」の主体となる場合も含む。
(2)「当該提供に関して作成された(契約書その他の書面)」
複数の書面を合わせて一つの記録とすることは妨げられない。
(3)「契約書その他の書面」
本人と提供元の個人関連情報取扱事業者との間で作成した契約書のみならず、提供元の個人関連情報取扱事
業者と提供先の第三者との間で作成した契約書も、含まれる。
「契約書」の他にも、「その他の書面」には、個人関連情報取扱事業者又は提供先の第三者の内部で作成された帳票、記録簿等も含まれる。
また、「契約書その他の書面」は電磁的記録を含むため(規則第11条第3項参照)、システム上の記録等も「契約書その他の書面」に該当する。
3-7-4-2-4代行により記録を作成する方法
提供先の第三者は提供元の個人関連情報取扱事業者の記録義務の全部又は一部を代替して行うことができる。
なお、この場合であっても、提供元の個人関連情報取扱事業者は自己の義務が免責されるわけではないことから、実質的に自らが記録作成義務を果たしているものと同等の体制を構築しなければならない。

34

3-7-4-3提供元における記録事項(規則第28条関係)
3-7-4-3-1提供元における記録事項(規則第28条第1項関係)
提供元の個人関連情報取扱事業者は、法第31条第1項の規定による確認を行ったときは、次の項目を記録しなければならない。
(1)「法第31条第1項第1号の本人の同意が得られていることを確認した旨及び外国にある第三者への提供にあっては、同項第2号の規定による情報の提供が行われていることを確認した旨」
法第31条第1項第1号の本人の同意が得られていること及び外国にある第三者への提供にあっては、同項第2号の規定による情報の提供が行われていることについて確認した旨をその方法を含めて記載する。
提供元の個人関連情報取扱事業者が同意取得を代行している場合においては、それぞれの事項を提供元の個
人関連情報取扱事業者が自ら確認した旨を記載する。
(2)「個人関連情報を提供した年月日(前条第2項ただし書の規定により、法第31条第3項において読み替えて準用する法第30条第3項の記録を一括して作成する場合にあっては、当該提供の期間の初日及び末日)」
個人関連情報を継続的に若しくは反復して提供した場合又は個人関連情報を継続的に若しくは反復して提供することが確実であると見込まれる場合、記録を一括して作成することができるが、この場合、個人関連情報の提供の初日と末日を記載する。
(3)「当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名」(4)「当該個人関連情報の項目」
当該記載から、どのような個人関連情報が提供されているか分かる程度に具体的な記載をする必要がある。
「当社が有するいずれかの情報」等の記載では、「当該個人関連情報の項目」には該当しないものと解される。
また、記録・保存が求められているのは「個人関連情報の項目」であって、個人関連情報そのものを保存する必要はない。
3-7-4-3-2記録事項の省略(規則第28条第2項関係)
複数回にわたって同一「本人」の個人関連情報の提供をする場合において、同一の内容である事項を重複して記録する必要はないことから、その旨を明確にするものである。すなわち、既に3-7-4(提供元における記録義務)に規定する方法により作成した記録(現に保存している場合に限る。)に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。令和2年改正法の施行日の前に上記に規定する方法に相当する方法で作成した記録についても同様とする。なお、記録事項のうち、一部の事項の記録の作成を規則第28条第2項に基づき省略し、残りの事項の記録のみを作成した場合、記録全体としての保存期間の起算点は、残りの事項を作成した時点とする。保存期間については、3-7-4-4(保存期間)を参照のこと。
3-7-4-4保存期間(法第31条第3項、第30条第4項関係)
個人関連情報取扱事業者は、作成した記録を規則で定める期間保存しなければならない。保存期間は記録の作成方法によって異なる。具体的には、次の表のとおりである。
<保存期間>
記録の作成方法の別

保存期間「3-7-4-2-3 契約書等の代替手段による方法」 最後に当該記録に係る個人関連情報の提供を行った日からにより記録を作成した場合起算して 1 年を経過する日までの間

35

「3-7-4-2-2 一括して記録を作成する方法」に 最後に当該記録に係る個人関連情報の提供を行った日からより記録を作成した場合起算して 3 年を経過する日までの間

上述以外の場合3年

3-7-5 提供先の第三者における確認義務(法第 30 条第 1 項)
個人情報取扱事業者である提供先の第三者は、法第 31 条第 1 項の規定による個人関連情報の提供(法第 27
条第 1 項各号に掲げる場合を除く。)を受けて個人データとして取得する場合は、法第 30 条第 1 項の確認義務の適用を受ける。
3-7-5-1確認方法(法第30条第1項、規則第22条関係)
個人情報取扱事業者である提供先の第三者は、第三者から法第31条第1項の規定による個人関連情報の提供を受けて個人データとして取得する際は、当該第三者(提供元の個人関連情報取扱事業者)の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名を確認しなければならない。なお、「当該第三者による当該個人データの取得の経緯」(法第30条第1項第2号)については、提供元の個人関連情報取扱事業者において、提供する個人関連情報を個人データとして取得していないことから、提供先の個人情報取扱事業者における確認の対象とならない。
3-7-5-2既に確認を行った第三者に対する確認方法(規則第22条関係)
複数回にわたって同一「本人」の個人関連情報の提供を受けて個人データとして取得する場合において、同一の内容である事項を重複して確認する合理性はないため、既に規則第22条に規定する方法(3-7-5-1(確認方法))により確認を行い、3-7-4(提供元における記録義務)に規定する方法により作成し、かつ、その時点において保存している記録に記録された事項と内容が同一であるものについては、当該事項の確認を省略することができる。例えば、個人情報取扱事業者である提供先の第三者が、同じ提供元の個人関連情報取扱事業者から、既に確認・記録義務を履行した本人に係る個人関連情報であることを認識しながら、個人関連情報の提供を受けて個人データとして取得する場合は、「同一であることの確認」が行われているものである。
3-7-5-3提供先の第三者による適正取得
個人情報取扱事業者である提供先の第三者は、偽りその他不正の手段により、個人関連情報を個人データとして取得してはならない(法第20条第1項)。
3-7-6提供先の第三者における記録義務(法第30条第3項関係)
個人情報取扱事業者である提供先の第三者は、法第31条第1項の規定による個人関連情報の提供(法第27条
第1項各号に掲げる場合を除く。)を受けて個人データとして取得する場合は、法第30条第3項の記録義務の適用を受ける。
3-7-6-1記録を作成する媒体(規則第23条第1項関係)
個人情報取扱事業者である提供先の第三者は、記録を、文書、電磁的記録又はマイクロフィルムを用いて作成しなければならない。

36

3-7-6-2記録を作成する方法
3-7-6-2-1原則(規則第23条第2項関係)
個人情報取扱事業者である提供先の第三者は、記録を作成する場合、原則として、個人関連情報の提供を受けて個人データとして取得する都度、速やかに、記録を作成しなければならない。なお、個人関連情報の提供を受けて個人データとして取得する前に記録を作成することもできる。
3-7-6-2-2一括して記録を作成する方法(規則第23条第2項関係)
個人情報取扱事業者である提供先の第三者は、一定の期間内に特定の事業者から継続的に又は反復して個人関連情報の提供を受けて個人データとして取得する場合は、個々の提供に係る記録を作成する代わりに、一括して記録を作成することができる。
3-7-6-2-3契約書等の代替手段による方法(規則第23条第3項関係)
個人情報取扱事業者である提供先の第三者が、本人に対する物品又は役務の提供に係る契約を締結し、かかる契約の履行に伴って、当該本人に係る個人関連情報の提供を受けて個人データとして取得する場合は、当該契約書その他の書面をもって記録とすることができる。仮に、規則第23条第3項の要件を満たさない書面
も、記録事項が記載されていれば記録として認められるが、保存期間の違いに留意する必要がある。
3-7-6-3提供先の第三者における記録事項(規則第24条関係)
3-7-6-3-1提供先の第三者における記録事項(規則第24条第1項関係)
個人情報取扱事業者である提供先の第三者は、個人関連情報の提供を受けて個人データとして取得した場合
は、次の項目を記録しなければならない。
(1)「法第第31条第1項第1号の本人の同意が得られている旨及び外国にある個人情報取扱事業者にあっては、
同項第2号の規定による情報の提供が行われている旨」
法第31条の2第1項第1号の本人の同意が得られている旨及び外国にある第三者への提供にあっては、同項第2号の規定による情報の提供が行われている旨を記載する。
同意の取得や情報提供について、これを行ったことを示す証跡等がある場合には、当該証跡等をもって記録とすることもできる。
(2)「法第30条第1項第1号に掲げる事項」
提供元の個人関連情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名を記録しなければならない。
(3)「第1号ハに掲げる事項」「当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項」を記録しなけ
ればならない。
(4)「当該個人関連情報の項目」
3-7-4-3-1(提供元における個人関連情報取扱事業者の記録事項)を参照のこと。
<提供先の記録事項>
3-7-6-3-2記録事項の省略(規則第24条第2項関係)

37

数回にわたって同一「本人」の個人関連情報の提供を受けて個人データとして取得する場合において、同一の内容である事項を重複して記録する必要はないことから、その旨を明確にするものである。すなわち、既に3-7-6(提供先の第三者における記録義務)に規定する方法により作成した記録(現に保存している場合に限る。)に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。
令和2年改正法の施行日の前に上記に規定する方法に相当する方法で作成した記録についても同様とする。
なお、記録事項のうち、一部の事項の記録の作成を規則第24条第2項に基づき省略し、残りの事項の記録のみを作成した場合、記録全体としての保存期間の起算点は、残りの事項を作成した時点とする。
3-7-6-4保存期間(法第30条第4項、規則第25条関係)
個人情報取扱事業者である提供先の第三者は、作成した記録を規則で定める期間保存しなければならない。
保存期間は記録の作成方法によって異なる。具体的には、次の表のとおりである。
<保存期間>
記録の作成方法の別

保存期間「3-7-6-2-3契約書等の代替手段による方 最後に当該記録に係る提供を受けて個人データとして取得し法」により記録を作成した場合た日から起算して1年を経過する日までの間「3-7-6-2-2一括して記録を作成する方法」 最後に当該記録に係る提供を受けて個人データとして取得しにより記録を作成した場合た日から起算して3年を経過する日までの間

上述以外の場合

3年

3-8 保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止等（法第32条～第39条

関係）
3-8-1 保有個人データに関する事項の公表等（法第32条関係）（1） 保有個人データに関する事項の本人への周知（法第32条第 1項関係）

個人情報取扱事業者は、保有個人データについて、次の①から⑤までの情報を本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
① 個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名② 全ての保有個人データの利用目的（ただし、一定の場合を除く。）③ 保有個人データの利用目的の通知の求め又は開示等の請求に応じる手続及び保有個人データの利用目的の通知の求め又は開示の請求に係る手数料の額（定めた場合に限る。）④ 保有個人データの安全管理のために講じた措置(ただし、本人の知り得る状態に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。)
個人情報取扱事業者は、法第23条の規定により保有個人データの安全管理のために講じた措置の内容を本人の知り得る状態に置かなければならない。ただし、当該保有個人データの安全管理に支障を及ぼすおそれがあるものについては、その必要はない。当該安全管理のために講じた措置は、事業の規模及び性質、保有個人データの取扱状況(取り扱う保有個人データの性質及び量を含む。)、保有個人データを記録した媒体等に起因するリスクに応じて、必要かつ適切な内容としなければならない。このため、当該措置の内容は個人情報取扱事業者によって異なり、本人の知り得る状態に置く安全管理のために講じた措置の内容についても個人情報取扱事業者によって異なる。なお、本人の知り得る状態については、本人の求めに応じて遅滞なく回答する場合を含むため、講じた措置の概要や一部をホー

38

ムページに掲載し、残りを本人の求めに応じて遅滞なく回答を行うといった対応も可能であるが、例
えば、「個人情報の保護に関する法律についてのガイドライン(通則編)」に沿って安全管理措置を実施しているといった内容の掲載や回答のみでは適切ではない。
⑤ 保有個人データの取扱いに関する苦情の申出先（2） 保有個人データの利用目的の通知（法第32条第 2項・第3項関係）

個人情報取扱事業者は、次の①から④までの場合を除いて、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、遅滞なく、本人に通知しなければならない。
なお、通知しない旨を決定したときは、遅滞なく、その旨を本人に通知しなければならない。
① 上記（1）（法第32条第1項）の措置により、本人が識別される保有個人データの利用目的が明らかである場合② 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産 その他の権利利益を害するおそれがある場合（法第 21 条第 4 項第 1 号）
③ 利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又 は利益が侵害されるおそれがある場合（法第21条第4項第2号）④ 国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であり、協力する民間企業等が国の機関等から受け取った保有個人データの利用目的を本人に通知し、又は公表することにより、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合（法第21条第4項第3号）
3-8-2 保有個人データの開示（法第 33 条第 1 項～第 4 項関係）
個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの開示（存在しないときにはその旨を知らせることを含む。）の請求を受けたときは、本人に対し、電磁的記録の提供による方法、書面の交付による方法その他当該個人情報取扱事業者の定める方法のうち本人が請求した方法(当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法)により、遅滞なく、当該保有個人データを開示しなければならない。電磁的記録の提供による方法については、個人情報取扱事業者がファイル形式や記録媒体などの具体的な方法を定めることができるが、開示請求等で得た保有個人データの利用等における本人の利便性向上の観点から、可読性・検索性のある形式による提供や、技術的に可能な場合には、他の事業者へ移行可能な形式による提供を含め、できる限り本人の要望に沿った形で対応することが望ましい。ただし、開示することにより次の（1）から（3）までのいずれかに該当する場合は、その全部又は一部を開示しないことができるが、これにより開示しない旨の決定をしたとき又は請求に係る保有個人データが存在しないときは、遅滞なく、その旨を本人に通知しなければならない。また、本人が請求した方法による開示が困難であるときは、その旨を本人に通知した上で、書面の交付による方法により開示を行わなければならない。
（1） 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

保有個人データを本人に開示することにより、本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合は、当該保有個人データの全部又は一部を開示しないことができる。
（2） 個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合

保有個人データを本人に開示することにより、個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、当該保有個人データの全部又は一部を開示しないことができる。

39

（3） 他の法令に違反することとなる場合

保有個人データを本人に開示することにより、他の法令に違反することとなる場合は、当該保有個人データの全部又は一部を開示しないことができる。
また、他の法令の規定により、法第33条第 2 項 本 文 に 規 定 す る 方 法 に 相 当 す る 方 法 により当該本人が識別される保有個人データを開示することとされている場合には、法第33条第1項及び第2項の規定は適用されず、当該他の法令の規定が適用されることとなる。
3-8-3第三者提供記録の開示(法第33条第5項、第1項~第3項関係)
3-8-3-1第三者提供記録の定義
第三者提供記録とは、法第29条第1項及び第30条第3項の記録のうち、次の(1)から(4)までに掲げるものを除いたものをいう。明文又は解釈により法第29条第1項又は第30条第3項の規定が適用されない場合において、これらの規定に基づくことなく作成された記録は第三者提供記録に含まれない。
(1)当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの(2)当該記録の存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの(3)当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの(4)当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの
3-8-3-2第三者提供記録の開示の方法
個人情報取扱事業者は、本人から、当該本人が識別される個人データに係る第三者提供記録の開示(存在しないときにはその旨を知らせることを含む。)の請求を受けたときは、本人に対し、電磁的記録の提供による方法、書面の交付による方法その他当該個人情報取扱事業者の定める方法のうち本人が請求した方法(当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法)により、遅滞なく、当該第三者提供記録を開示しなければならない。
個人情報取扱事業者が第三者提供記録を本人に開示するに当たっては、法において記録事項とされている事項を本人が求める方法により開示すれば足り、それ以外の事項を開示する必要はない。例えば、契約書の代
替手段による方法で記録を作成した場合には、当該契約書中、記録事項となっている事項を抽出した上で、本人が求める方法により開示すれば足り、契約書そのものを開示する必要はない。
3-8-3-3第三者提供記録の不開示事由等
第三者提供記録を開示することにより次の(1)から(3)までのいずれかに該当する場合は、その全部又は一部を開示しないことができるが、これにより開示しない旨の決定をしたとき又は請求に係る第三者提供記録が存在しないときは、遅滞なく、その旨を本人に通知しなければならない。また、本人が請求した方法による開示が困難であるときは、その旨を本人に通知した上で、書面の交付による方法により開示を行わなければならない。
(1)本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

40

第三者提供記録を本人に開示することにより、本人又は第三者の生命、身体、財産その他の権利利益を害す
るおそれがある場合は、当該第三者提供記録の全部又は一部を開示しないことができる。
(2)個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
第三者提供記録を本人に開示することにより、個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、当該第三者提供記録の全部又は一部を開示しないことができる。他の事業者と取引関係にあることが契約上秘密情報とされている場合であっても、記録事項そのものを開示することについては、直ちにこれに該当するものではなく、個別具体的に判断する必要がある。
(3)他の法令に違反することとなる場合
第三者提供記録を本人に開示することにより、他の法令に違反することとなる場合は、当該第三者提供記録の全部又は一部を開示しないことができる。
3-8-4 保有個人データの訂正等(法第34条関係)
個人情報取扱事業者は、本人から、当該本人が識別される保有個人データに誤りがあり、事実でないという理由によって、内容の訂正、追加又は削除(以下「訂正等」という。)の請求を受けた場合は、利用目的の達成に必要な範囲で遅滞なく必要な調査を行い、その結果に基づき、原則として、訂正等を行わなければならない。なお、個人情報取扱事業者は、法第34条第 2 項の規定に基づき請求に係る保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、遅滞なく、その旨(訂正等を行ったときは、その内容を含む。)を本人に通知しなければならない。また、保有個人データの内容の訂正等に関して他の法令の規定により特別の手続が定められている場合には、法第34条第 1 項及び第 2 項の規定は適用されず、当該他の法令の規定が適用されることとなる。
3-8-5保有個人データの利用停止等(法第35条関係)
3-8-5-1利用停止等の要件
個人情報取扱事業者は、次の(1)から(3)までのいずれかに該当する場合については、保有個人データの利用の停止若しくは消去(以下「利用停止等」という。)又は第三者提供の停止を行わなければならない。
(1)法違反の場合の利用停止等
個人情報取扱事業者は、本人から、当該本人が識別される保有個人データが、法第18条の規定に違反して本人の同意なく目的外利用がされている若しくは法第19条の規定に違反して不適正な利用が行われている、又は法第20条の規定に違反して偽りその他不正の手段により個人情報が取得され若しくは本人の同意なく要配慮個人情報が取得されたものであるという理由によって、利用停止等の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として、遅滞なく、利用停止等を行わなければならない。
(2)法違反の場合の第三者提供の停止
個人情報取扱事業者は、本人から、当該本人が識別される保有個人データが、法第27条第1項又は第28条の規定に違反して本人の同意なく第三者に提供されているという理由によって、当該保有個人データの第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として、遅滞なく、第三者提供の停止を行わなければならない。
(3)法第35条第5項の要件を満たす場合の利用停止等又は第三者提供の停止
個人情報取扱事業者は、次の1から3までのいずれかに該当する場合については、原則として、遅滞なく、利用停止等又は第三者提供の停止を行わなければならない。

41

①利用する必要がなくなった場合
個人情報取扱事業者は、本人から、当該本人が識別される保有個人データを当該個人情報取扱事業者が利用する必要がなくなったという理由によって、当該保有個人データの利用停止等又は第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として、遅滞なく、利用停止等
又は第三者提供の停止を行わなければならない。
「当該個人情報取扱事業者が利用する必要がなくなった」とは、法第22条と同様に、当該保有個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該保有個人データを保有する合理的な理由が存在しなくなった場合や利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等をいう。
②当該本人が識別される保有個人データに係る法第第26条第1項本文に規定する事態が生じた場合
個人情報取扱事業者は、本人から、当該本人が識別される保有個人データに係る法第26条第1項本文に規定する事態が生じたという理由によって、当該保有個人データの利用停止等又は第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として、遅滞なく、利用停止等又は第三者への提供の停止を行わなければならない。
「当該本人が識別される保有個人データに係る法第26条第1項本文に規定する事態が生じた」とは、法第26条第1項本文に定める漏えい等事案が生じたことをいう。法第26条第1項本文に定める漏えい等事案については、3-5-3-1(対象となる事態)参照のこと。
③当該本人の権利又は正当な利益が害されるおそれがある場合
個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがあるという理由によって、当該保有個人データの利用停止等又は第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として、遅滞な
く、利用停止等又は第三者への提供の停止を行わなければならない。
「本人の権利又は正当な利益が害されるおそれがある場合」とは、法目的に照らして保護に値する正当な利益が存在し、それが侵害されるおそれがある場合をいう。
3-8-5-2本人の権利利益の侵害を防止するために必要な限度
3-8-5-1(利用停止等の要件)の(3)に該当する場合、個人情報取扱事業者は、本人の権利利益の侵害を防止するために必要な限度で、利用停止等又は第三者提供の停止を行わなければならない。
3-8-5-3本人の権利利益を保護するため必要なこれに代わるべき措置
3-8-5-1(利用停止等の要件)の(1)から(3)までのいずれかに該当する場合であっても、利用停止等又は第三者提供の停止を行うことが困難である場合は、本人の権利利益を保護するために必要な代替措置を講ずることによる対応が認められる。「困難な場合」については、利用停止等又は第三者提供の停止に多額の費用を要する場合のほか、個人情報取扱事業者が正当な事業活動において保有個人データを必要とする場合についても該当し得る。代替措置については、事案に応じて様々であるが、生じている本人の権利利益の侵害のおそれに対応するものであり、本人の権利利益の保護に資するものである必要がある。個人情報取扱事業者は、
上記により、利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は、第三者提供の停止を行ったとき若しくは第三者提供を停止しない旨の決定をしたときは、遅滞なく、その旨を本人に42

通知しなければならない。また、本人が、裁判上の訴えにより、当該本人が識別される保有個人データの利用停止等又は第三者提供の停止を請求する場合と本条との関係については、3-8-9(裁判上の訴えの事前請
求)を参照のこと。なお、消費者等、本人の権利利益保護の観点からは、事業活動の特性、規模及び実態を考慮して、保有個人データについて本人から求めがあった場合には、自主的に利用停止等又は第三者提供の停止に応じる等、本人からの求めにより一層対応していくことが望ましい。
3-8-6 理由の説明（法第36条関係）

個人情報取扱事業者は、保有個人データの利用目的の通知の求め、又は保有個人データの開示、訂正等、利用停止等若しくは第三者提供の停止に関する請求（以下「開示等の請求等」という。）に係る措置の全部又は一部について、その措置をとらない旨又はその措置と異なる措置をとる旨を本人に通知する場合は、併せて、本人に対して、その理由を説明するように努めなければならない。
3-8-7 開示等の請求等に応じる手続（法第37条関係）
個人情報取扱事業者は、開示等の請求等において、これを受け付ける方法として次の（1）から（4）までの事
項を定めることができる。
(1)開示等の請求等の申出先(2)開示等の請求等に際して提出すべき書面(電磁的記録を含む。)の様式、その他の開示等の請求等の受付方法(3)開示等の請求等をする者が本人又はその代理人(1未成年者又は成年被後見人の法定代理人、2開示等の請求等をすることにつき本人が委任した代理人)であることの確認の方法(4)保有個人データの利用目的の通知又は保有個人データの開示をする際に徴収する手数料の徴収方法
ただし、開示等の請求等を受け付ける方法を定めるに当たっては、当該手続が、事業の性質、保有個人デー
タの取扱状況、開示等の請求等の受付方法等に応じて適切なものになるよう配慮するとともに、必要以上に煩雑な書類を書かせたり、請求等を受け付ける窓口を他の業務を行う拠点とは別にいたずらに不便な場所に限定したりする等、本人に過重な負担を課するものとならないよう配慮しなければならない。
また、開示等の請求等を受け付ける方法を定めた場合には、本人の知り得る状態(本人の求めに応じて遅滞なく回答する場合を含む。)に置いておかなければならない。「本人の知り得る状態(本人の求めに応じて遅滞なく回答する場合を含む。)」とは、本人が知ろうとすれば、知ることができる状態に置くことをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならないが、開示等の請求等を行おうとする本人がその手続を把握できるようにしておくことが重要であり、
例えば、ホームページへの掲載による場合、本人が簡単な操作によって該当箇所へ到達でき、円滑に請求等を行えるようにしておくことが望ましい。また、「本人の求めに応じて遅滞なく回答する」ことによって対応する場合には、その前提として、少なくとも本人が簡単な操作によって求めを行うことができるようにすることが望ましい。なお、個人情報取扱事業者が、開示等の請求等を受け付ける方法を合理的な範囲で定めたときは、本人は、当該方法に従って開示等の請求等を行わなければならず、当該方法に従わなかった場合は、個人情報取扱事業者は当該開示等の請求等を拒否することができる。また、法第37条第2項前段は、本人に対し、開示を請求する保有個人データ又は第三者提供記録の範囲を一部に限定する義務を課すものではなく、また、個人情報取扱事業者に対し、本人が開示を請求する範囲を限定させる権利を認めるものでもない。個人情報取扱事
業者は、円滑に開示等の手続が行えるよう、本人に対し、開示等の請求等の対象となる当該本人が識別される保有個人データ又は第三者提供記録の特定に必要な事項（住所、ID、パスワード、会員番号等）の提示を求めるこ

43

とができる。なお、その際には、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データ又は第三者提供記録の特定に資する情報を提供するなど、本人の利便性を考慮しなければならない。
3-8-8 手数料（法第38条関係）
個人情報取扱事業者は、保有個人データの利用目的の通知（法第32条第2項 ）を求められ、又は保有個人デー
タの開示の請求(法第33条第1項)若しくは第三者提供記録の開示の請求(法第33条第5項において準用する同条第1項)を受けたときは、当該措置の実施に関し、手数料の額を定め、これを徴収することができる。
なお、当該手数料の額を定めた場合には、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置いておかなければならない（法第32条第 1項 第 3号 ）。また、手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。
3-8-9 裁判上の訴えの事前請求（法第39条関係）
自己が識別される保有個人データの開示、訂正等、利用停止等若しくは第三者提供の停止又は自己が識別される個人データに係る第三者提供記録の開示の個人情報取扱事業者に対する請求について裁判上の訴えを提起しようとするときは、あらかじめ裁判外において当該請求を個人情報取扱事業者に対して行い、かつ、当該請求が当該個人情報取扱事業者に到達した日から2週間を経過した後でなければ、当該訴えを提起することができない。ただし、個人情報取扱事業者が当該裁判外の請求を拒んだときは、2週間を経過する前に、当該請求に係る裁判上の訴えを提起することができる。
3-9 個人情報の取扱いに関する苦情処理（法第40条関係）
個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。また、
苦情の適切かつ迅速な処理を行うに当たり、苦情処理窓口の設置や苦情処理の手順を定める等必要な体制の整備に努めなければならない。もっとも、無理な要求にまで応じなければならないものではない。なお、個人情報取扱事業者は、保有個人データの取扱いに関する苦情の申出先（個人情報取扱事業者が認定個人情報保護団体の対象事業者である場合は、その団体の名称及び苦情解決の申出先を含む。）について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
3-10 仮名加工情報取扱事業者等の義務(法第41条・第42条関係)

仮名加工情報取扱事業者等の義務については、個人情報保護委員会が定める「仮名加工情報・匿名加工情報
ガイドライン」に従う。
3-11 匿名加工情報取扱事業者等の義務（法第43条～第46条関係）
匿名加工情報取扱事業者等の義務については、個人情報保護委員会が定める「仮名加工情報・匿名加工情報
ガイドライン」に従う。

4「勧告」「命令」「緊急命令」等についての考え方
当団体の対象事業者は本指針の遵守すべき事項を満たしていないことが認められるときは、本指針を遵守させるために必要な個人情報保護委員会の勧告、命令、緊急命令に従うものとする。
法第 145 条に規定される個人情報保護委員会の「勧告（第 1 項）」、「命令（第 2 項）」及び 「緊急命令44

（第 3 項）」については、個人情報取扱事業者等がガイドラインに沿って必要 な措置等を講じたか否かにつき判断して行うものとする。 すなわち、ガイドラインの中で、「しなければならない」及び「してはならない」と記 述している事項については、これらに従わなかった場合、個人情報取扱事業者においては法第 18 条から第 20 条まで、第 21 条（第 1 項、第 3 項及び第 4 項の規定を第 41 条第 4 項の 規定により読み替えて適用する場合を含む。）、第 23 条から第 26 条まで、第 27 条（第 4 項 を除き、第 5 項及び第 6項の規定を第 41 条第 6 項の規定により読み替えて適用する場合を 含む。）、第 28 条、第 29 条（第 1 項
ただし書の規定を第 41 条第 6 項の規定により読み替え て適用する場合を含む。）、第 30 条（第 2 項を除
き、第 1 項ただし書の規定を第 41 条第 6 項 の規定により読み替えて適用する場合を含む。）、第 32 条、第 33 条（第 1 項（第 5 項におい て準用する場合を含む。）を除く。）、第 34 条第 2 項若しくは第 3 項、第 35 条（第 1 項、第 3 項及び第 5 項を除く。）、第 38 条第 2 項、第 41 条（第 4 項及び第 5 項を除く。）
又は第 43 条（第 6 項を除く。）の規定違反、個人関連情報取扱事業者においては法第 31 条第 1 項若し くは同条第 2 項において読み替えて準用する第 28 条第 3 項又は第 31 条第 3 項において読 み替えて準用する
第 30 条第 3 項若しくは第 4 項の規定違反、仮名加工情報取扱事業者にお いては法第 42 条第 1 項若しくは同条第 2 項において読み替えて準用する第 27 条第 5 項若 しくは第 6 項又は第 42 条第 3 項において読み替
えて準用する第 23 条から第 25 条まで若し くは第 41 条第 7 項若しくは第 8 項の規定違反、匿名加工情報取扱事業者においては法第 44 条又は第 45 条の規定違反と判断される可能性がある。 違反と判断された場
合において、実際に個人情報保護委員会が「勧告」を行うこととなるのは、個人の権利利益を保護するため必要があると個人情報保護委員会が認めたときとなる。一方、ガイドライン中、「努めなければならない」、「望ましい」等と記述している事項 については、これに従わなかったことをもって直ちに法違反と判断されることはないが、法の基本理念（法第 3 条）を踏まえ、事業者の特性や規模に応じ可能な限り対応することが望まれるものである。「命令」は、単に「勧告」に従わないことをもって発せられることはなく、正当な理由なくその勧告に係る措置をとらなかった場合において個人の重大な権利利益の侵害が切迫していると個人情報保護委員会が認めたときに発せられる。なお、「勧告」に従わなかったか否かを明確にするため、個人情報保護委員会は、「勧告」に係る措置を講ずべき期間を設定して「勧告」を行うこととする。「緊急命令」は、個人情報取扱事業者等が上記各規定に違反した場合において、個人の重大な権利利益を害する事実があるため緊急に措置をとる必要があると個人情報保護委員会が認めたときに、「勧告」を前置せずに行う。 また、「命令」及び「緊急命令」に従わなかったか否かを明確にするため、個人情報保護委員会は、「命令」及び「緊急命令」に係る措置を講ずべき期間を設定して「命令」及び「緊急命令」を行い、当該期間中に措置が講じられない場合は、「公表（法第 145 条第 4 項）」の対象となるほか、「罰則（法第 173
条、第 179 条）」が適用される。なお、個人情報保護委員会は、事案の性質等に応じ、国民への情報提供等の観点から（法 第 9 条）、個人情報保護委員会による権限行使について、公表を行うことがある。

5 適用除外（法第57条関係）報道機関が報道の用に供する目的で個人情報等を取り扱う場合、小説家等が著述の用に供する目的で個人情報等を取り扱う場合、宗教団体が宗教活動の用に供する目的で個人情報等を取り扱う場合及び政治団体が政
治活動の用に供する目的で個人情報等を取り扱う場合は、憲法が保障する基本的人権への配慮から、法第4章に定める個人情報取扱事業者等の義務等に係る規定は適用されない。
ただし、上記に定める各主体は、安全管理措置、苦情処理等、個人情報等の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。

45

6 適用の特例（法第 58 条・第 123 条関係）
国の機関である国立大学法人及び医療事業を行う独立行政法人等における個人情報の取扱い並びに独立行政法人労働者健康安全機構の行う病院の運営の業務に係る個人情報の取扱いについては、学術研究機関、医療機関等としての特性を踏まえ、基本的に民間の学術研究機関、医療機関等と同様、民間部門における個人情報の取扱いに係る規律が適用される。他方、政府の一部を構成するとみられる独立行政法人等としての特性を踏まえ、開示請求等に係る制度、行政機関等匿名加工情報の提供等については、現行の取扱いを維持し、公的部門における規律（法第5 章第1節、第 75 条、第5 章第4節及び第5 節、第 122 条第2 項、第 125条並びに第6章から第8 章まで（第 171 条、第175 条及び第176 条を除く。））が適用される。
（参考）公的部門の機関、法人等の種別と法第 4 章及び第 5 章の主な適用関係
個人情報等の取扱

個人情報ファイル

開示、訂正、利用停

匿名加工情報に関い等に関する規律

簿に関す る規律

止等に関する規律

する規律

公的部門の規律

公的部門の規律

公的部門の規律

公的部門の規律（第 5 章第 2 節）

（第 5 章第 3 節）

（第 5 章第 4 節）

（第 5 章第 5 節）

公的部門の規律

公的部門の規律（第 5 章第 2 節）

（第 5 章第 3 節）

別表第 2 に掲げ

民間部門の規律※第 75 条 のみる 法 人 及 び

（第 4 章）

国の行政機関独立行政法人等（独）労働者健康安全機構

7 学術研究機関等の責務（法第 59 条関係）
7-1 学術研究機関等の責務（法第 59 条関係）
学術研究機関等が学術研究目的で個人情報を取り扱う場合には、当該個人情報の取扱いについてこの法律を遵守するとともに、学術研究機関等について法律の特例が設けられているものも含め、安全管理措置、苦情処理等、個人情報等の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。この点、個人情報の利用、取得及び提供に係る規律のうち、個人情報の目的外利用の制限（法第 18 条）、要配慮個人情報の取得（法第 20 条第2項）及び第三者提供の制限（法第 27条）に関しては、学術研究機関等が学術研究目的で取り扱う必要がある場合について、本人又は第三者の権
利利益を不当に侵害するおそれがない場合に限って、事前の本人同意を要しない等の特例が設けられている。
一方で、個人情報の利用、取得及び提供に係る規律であっても利用目的の特定（法第 17 条）、不適正な利用の禁止（法第 19 条）、適正な取得（法第 20 条第１項）、利用目的の通知（法第 21 条）及びデータ内容の正確性の確保（法第 22 条）については、他の個人情報取扱事業者と同様の規律が個人情報取扱事業者である学術研究機関等にも適用されることになる。また、個人データの安全管理措置に係る規律（法第 23 条から第 26 条まで）、保有個人データの開示、訂正等及び利用停止等の請求に係る規律（法第 33 条から第40 条まで）、仮名加工情報取扱事業者等の義務（法第4章第3 節）、匿名加工情報取扱事業者等の義務（法第4 章第4 節）及び民間団体による個人情報の保護の推進に係る規定（法第4 章第5 節）についても、他の46

個人情報取扱事業者と同様の規律が個人情報取扱事業者である学術研究機関等にも適用されることになる。

7-2 学術研究機関等による自主規範の策定・公表
大学の自治を始めとする学術研究機関等の自律性に鑑みれば、学術研究機関等の自律的な判断を原則として尊重する必要があると考えられる。このため、学術研究機関等が、個人情報を利用した研究の適正な実施のための自主規範を単独又は共同して策定・公表した場合であって、当該自主規範の内容が個人の権利利益の保護の観点から適切であり、その取扱いが当該自主規範にのっとっているときは、法第 146 条第 1 項の趣旨を踏まえ、個人情報保護委員会は、これを尊重する。ただし、自主規範にのっとった個人情報の取扱いであっても、本人の権利利益を不当に侵害するおそれがある場合には、原則として、個人情報保護委員会は、その監督権限を行使する。

8

域外適用

外国にある個人情報取扱事業者等が、日本の居住者等国内にある者に対する物品又は役務の提供に関連して、国内にある者を本人とする個人情報、当該個人情報として取得されることとなる個人関連情報又は当該個人情報を用いて作成された仮名加工情報若しくは匿名加工情報を、外国において取り扱う場合には、法が適用される。なお、域外適用の対象となる場合は、外国にある個人情報取扱事業者等がこれらの情報を本人から直接取得して取り扱う場合に限られず、本人以外の第三者から提供を受けて取り扱う場合も含まれる。

9 本指針の見直し
個人情報の保護についての考え方は、社会情勢の変化、国民の認識の変化、技術の進歩等に応じて変わり得るものであり、本指針は、法施行後の状況等諸環境の変化を踏まえて必要に応じて見直しを行うよう努めるものとする。

47