オプトアウト届出事業者のみなさまへ
令 和 ５ 年 ４ 月 26日
個人情報保護委員会
オプトアウト届出事業者に対する実態調査を踏まえた
個人情報の適正な取扱いについて（注意喚起）
今般、個人情報の保護に関する法律（平成15年法律第57号。以下「法」という。）第27条第2項に基づく届出を行った事業者（以下「オプトアウト届出事業者」という。）を対象に、任意の実態調査を行いました。
オプトアウト届出事業者においては、法に則り、個人情報を適正に取り扱っていただく必要があることから、調査結果を踏まえ、下記のとおり注意喚起しますので、御留意ください。なお、調査結果の詳細は以下を参照願います。
https://www.ppc.go.jp/files/pdf/R5_optout_report.pdf
記１．提供データの適正な取得
オプトアウト届出事業者は、偽りその他不正の手段により取得された個人データをオプトアウ
トにより第三者に提供できないとされております（法第27条第２項）。
実態調査で回答のあった以下の対応も参考に、取得するデータの内容や取得方法等に応じて適切な対応を行ってください。
➢ 個人データの取得元を本人が所属する企業等のホームページや信頼性が高いと考えられる新聞・雑誌等に限定する。
➢ 個人情報の取得方法につき、適法性を弁護士に確認する。
➢ 第三者から提供を受けた個人データについて、本人が直接提供した個人情報であり、かつ、本人の同意に基づき第三者提供されている情報であることを確認する。また、定期的に利用規約等に変更がないかを確認する。
なお、第三者から個人データの提供を受けるに際しては、提供元による個人データの取得の経緯等を確認する必要があります（法第30条第１項第２号）。この確認の結果、①提供元が不正の手段により個人データを取得したことを知り、又は容易に知ることができるにもかかわらず、当該個人データを取得した場合、②提供元が法第27条第１項に違反して個人デー
1

タを提供しようとしていることを知り、又は容易に知ることができるにもかかわらず、当該個人データを取得した場合には、法第20条第１項に違反するおそれがあります。
２．提供元がオプトアウト届出事業者であるかの確認
オプトアウト届出事業者は、オプトアウトにより提供を受けた個人データをオプトアウトにより再提供することはできません（法第27条第２項）。この点、第三者から個人データの提供を受ける際、提供元がオプトアウト届出事業者であるかを確認していないとの回答が一部ありました。第三者から個人データの提供を受けるに際しては、提供元がオプトアウトにより個人データを提供するものか等について、適切に確認する必要があるため、ご留意ください。
○個人情報保護委員会ウェブサイト：オプトアウト届出書検索
https://www.ppc.go.jp/personalinfo/preparation/optout/publication_2021/

３．提供先が個人データを「違法又は不当な行為を助長し、又は誘発するおそれがある方法」で利用しないことの確認
オプトアウトにより個人データを提供するに当たって、提供先が提供を受けたデータを法第19条の「違法又は不当な行為を助長し、又は誘発するおそれがある方法」で利用しないことを確認していないとの回答が一部ありました。実態調査で回答のあった以下の対応も参考に、提供するデータの内容等に応じて、提供先の利用目的等について適切に確認等を行ってください。
➢ 提供先におけるデータの利用目的を確認の上、当該目的以外の利用を禁止する契約を締結する。
➢ 提供前に提供先の企業審査を実施し、不法・不当な利用をする恐れのある事業者には、個人データを提供しない。
４．提供先に対する本人確認手続等
令和４年４月１日から令和５年１月31日までの期間にオプトアウトによる個人データの提供実績があるオプトアウト届出事業者のうち、約３割から、提供先に対する本人確認手続等を実施していないとの回答がありました。
実態調査で回答のあった以下の対応も参考に、個人データの提供先における不適正な利用を防止する方策の一つとして本人確認手続や法人の実在性の確認等を行ってください。
➢ 身分証明書の提示依頼➢ 所属協会や免許番号の確認➢ 住所地に通知を送付し、到達を確認
2

➢ 法人担当者の権限を確認➢ 契約書への実印捺印、印鑑証明書の添付
５．届出事項を本人に通知し、又は本人が容易に知り得る状態に置くことについてオプトアウト届出事業者は、届出事項について、本人に通知するか、本人が容易に知り得る状態に置く必要があります（法第27条第２項）。
「本人が容易に知り得る状態」とは、事業所の窓口等への書面の掲示・備付けやホームページへの掲載その他の継続的方法により、本人が知ろうとすれば、時間的にも、その手段においても、簡単に知ることができる状態をいい、事業の性質及び個人情報の取扱状況に応じ、本人が確実に認識できる適切かつ合理的な方法によらなければなりません。
例えば、以下が「本人が容易に知り得る状態」に該当する事例なので、これらを踏まえ、適切な対応を行ってください。
➢ 本人が閲覧することが合理的に予測されるオプトアウト届出事業者のホームページにおいて、本人が分かりやすい場所（例：ホームページのトップページから１回程度の操作で到達できる場所等）に法に定められた事項を分かりやすく継続的に掲載する場合➢ 本人が来訪することが合理的に予測される事務所の窓口等への掲示、備付け等が継続的に行われている場合➢ 本人に頒布されている定期刊行物への定期的な掲載を行っている場合➢ 電子商取引において、商品を紹介するホームページにリンク先を継続的に表示する場合
なお、ホームページに継続的に掲載するに当たっては、当該ホームページを本人が閲覧することが合理的に予測されるよう適切な方法をご検討ください。単に自社のホームページに掲載することが、必ずしもこの要件を充足するわけではないことに留意が必要です。
６．その他
本件調査の回答において、届出事項に変更があるとの回答や第三者への個人データの提供をやめているとの回答がありました。オプトアウト届出事業者においては、以下の点についても留意願います。
 第三者に提供される個人データの項目、第三者に提供される個人データの取得の方法、第三者への提供の方法、第三者への提供を停止すべきとの本人の求めを受け付ける方
法、個人データの更新の方法又は第三者への提供を開始する予定日を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出る必要があります。
3

 第三者への提供を行う個人情報取扱事業者の氏名又は名称、住所、法人等の代表者の氏名に変更があったときは、遅滞なく、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出る必要があります。
 法第27条第2項に基づく個人データの第三者提供をやめたときは、遅滞なく、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出る必要があります。
 外国にある第三者に個人データを提供する場合は、原則として、本人の同意をあらかじめ取得する必要があります（法第28条）。
以 上4

（参考）
〇個人情報の保護に関する法律（平成15年法律第57号）（抄）（不適正な利用の禁止）
第十九条

個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。
（適正な取得）第二十条 個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。
２ （略）（第三者提供の制限）
第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
（略）
２

個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。ただし、第三者に提供される個人データが要配慮個人情報又は第二十条第一項の規定に違反して取得されたもの若しくは他の個人情報取扱事業者からこの項本文の規定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む。）である場合は、この限りでない。

一

第三者への提供を行う個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。以下この条、第三十条第一項第一号及び第三十二条第一項第一号において同じ。）の氏名

二

第三者への提供を利用目的とすること。

三

第三者に提供される個人データの項目

四第三者に提供される個人データの取得の方法

五

第三者への提供の方法

六

本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。

七

本人の求めを受け付ける方法

八その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則で定める事項

３～６ （略）5（外国にある第三者への提供の制限）
第二十八条 個人情報取扱事業者は、外国（本邦の域外にある国又は地域をいう。以下この条及び第三十一条第一項第二号において同じ。）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものを除く。以下この条及び同号において同じ。）にある第三者（個人データの取扱いについてこの節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置（第三項において「相当措置」という。）を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この項及び次項並びに同号において同じ。）に個人データを提供する場合には、前条第一項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は、適用しない。
２ 個人情報取扱事業者は、前項の規定により本人の同意を得ようとする場合には、個人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。
３ 個人情報取扱事業者は、個人データを外国にある第三者（第一項に規定する体制を整備している者に限る。）に提供した場合には、個人情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。
（第三者提供を受ける際の確認等）
第三十条

個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、個人情報保護委員会規則で定めるところにより、次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供が第二十七条第一項各号又は第五項各号のいずれかに該当する場合は、この限りでない。
一

当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名

二

当該第三者による当該個人データの取得の経緯

２

前項の第三者は、個人情報取扱事業者が同項の規定による確認を行う場合において、当該個人情報取扱事業者に対して、当該確認に係る事項を偽ってはならない。

３

個人情報取扱事業者は、第一項の規定による確認を行ったときは、個人情報保護委員会規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。

４

個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。
6