信託274号 2018.5

改正個人情報保護法を踏まえた実務対応について― 107 ―

信託セミナー

改正個人情報保護法を踏まえた実務対応について

― 目
はじめに
１．

個人情報の定義の明確化への対応と漏えい事案

等への対応
３．

髙

木

いづみ

堀総合法律事務所弁護士

冨

松

宏

之

次 ―
４．

個人データの提供にかかる確認・記録義務へ

改正個人情報保護法の主な変更点と対応のポイ

ント
２．

堀総合法律事務所弁護士の対応
５．

外国にある第三者への提供への対応

６．

外部委託の見直し

７．

今後の課題・見直しのポイント等

要配慮個人情報概念の導入への対応

はじめに
ただいまご紹介いただきました、堀総合法

１．

改正個人情報保護法の主な変更点と対応のポイント

律事務所の弁護士の髙木です。本日は、まず、

まず、改正法施行に際して、金融分野の個改正法のポイントと改正法の施行に際して各人情報取扱事業者がどのような対応をされた金融機関において主にどのような点に対応さかをお話しするに当たって、主な改正点を大れたかについてお話しします。次に改正法へ

まかに振り返ってみます。

の対応のポイントに関して五つの事項につい今回の個人情報保護法の改正は、2005年 4てお話しし、最後に今後の課題についてお話

月の施行から10年以上が経過し、この間にさしします。なお、資料の 3 頁に法律等の名称

まざまな環境の変化や事件、不具合などが発の略称に係る凡例を記載しています。説明の生したため、これらに対応することを目的と中では、例えば「金融分野における個人情報して行われました。改正の背景としては、主保護に関するガイドライン」を「金融ガイドに四つの点があると思います。これに対応しライン」と呼ぶなど、この凡例の略称を用いて、改正のポイントも大きく四つに分けられることがあります。

ると思います。
資料の 5 頁をご覧ください。まず、一つ目の背景としては、情報通信技術の飛躍的な進― 108 ―改正個人情報保護法を踏まえた実務対応について

信託274号 2018.5

展に伴い、個人の行動や状態に関するパーソ

規模な個人情報の漏えい問題が顕在化したこ

ナルデータが事業者に大量に集積されるようとが挙げられます。この事件では、再委託先になったことが挙げられます。このような大の管理の不十分さが露呈したことに加えて、量のパーソナルデータが悪用されると、個人漏えいした情報が名簿業者を通じて拡散されのプライバシー侵害を招きかねない反面、企ていたことが社会的議論を呼んだことは、皆業がパーソナルデータをビッグデータとしてさまもご記憶のことと存じます。そこで改正利活用することにより、国民生活の利便性向

法では、名簿業者によるデータ流通を規制す

上や国民の健康増進に役立つ可能性がありまるべく、個人情報の流通経路を辿ることを可す。しかしながら、改正法施行前においては、能とするための規制を置くとともに、不正にその定義の曖昧さから、パーソナルデータが個人情報を提供した場合の罰則規定を設けて個人情報として規制されるかどうかが不明確います。また、オプトアウト規定を利用するなグレーゾーンが大きかったと思います。そ個人情報取扱事業者は、所定の事項についてのため、事業者が萎縮してパーソナルデータ

個人情報保護委員会への届け出を行うこととの利活用がなされないといった弊害が生じてされました。これについては、個人情報保護いました。

委員会から届け出された事項が公表される仕このような背景を受け、改正法では、個人組みになっています。

情報として規制される範囲を明確化するべ

四つ目の背景としては、企業の事業活動のく、個人識別符号を個人情報として明確に位

グローバル化に伴い、情報流通もグローバル

置づける一方で、特定の個人を識別できない化し、世界各国で個人情報とプライバシー保ように加工した「匿名加工情報」という概念

護に関する法整備が進められたという環境のを導入し、一定のルールに則ったパーソナル

変化が挙げられます。そこで改正法では、デデータの利活用を可能としました。また、「要

ータ流通のグローバル化に対応するために、

配慮個人情報」という類型を設け、取得には外国の事業者に対する個人情報保護法の適用原則として本人同意を得ることを必要とする

範囲を明確化するとともに、事業者による外などの保護の強化も行われました。

国にある第三者に対する個人データの提供に二つ目の背景としては、改正前は個人情報ついて新たな規制を設けました。

保護法に関する事業者の監督は主務大臣によ

以上の四つが改正法のポイントであると思るものとされており、事業分野ごとにガイドいますが、これを受けて金融分野の個人情報ラインが策定され運用されてきましたが、そ取扱事業者がどのような対応をされたかにつれぞれのガイドラインの運用の齟齬や重複等

いてお話しする前に、金融分野の個人情報取の問題があったと思います。そこで改正法で扱事業者に対する監督関係について確認しては、事業者に対する一元的監督を実現するた

おきたいと思います。

めに、主務大臣制を廃止し、事業者に対する資料の 6 頁にあるように、改正法では、個一元的監督を行う機関として「個人情報保護

人情報取扱事業者の個人情報の取扱いに関す委員会」が設置されました。

る監督を一元的に個人情報保護委員会が行う

三つ目の背景としては、ベネッセ事件で大ものとされました。個人情報取扱事業者に対信託274号 2018.5

改正個人情報保護法を踏まえた実務対応について― 109 ―

する報告徴収、立入検査、指導・助言、勧告、報保護団体の対象事業者になっている事業者

命令はすべて個人情報保護委員会の権限とさについては、各団体が定める保護指針等が重れています。この監督権限を背景として、個畳適用されることになります。

人情報保護委員会によって公表されたのが、金融分野の個人情報取扱事業者における改いわゆる通則ガイドラインと言われる、基本

正法への対応のポイントの説明に戻ります。

となるガイドラインをはじめとする 4 種類の金融分野の個人情報取扱事業者においては、

ガイドラインです。

主に四つの観点で改正法への対応を検討され一方で、個人情報保護委員会の監督権限のたものと思います。資料の 8 頁をご覧くださ

うち報告徴収や立入検査については、金融分

い。まず一つ目は、個人情報の定義の明確化

野の個人情報取扱事業者に関する権限は金融への対応です。具体的には、「個人識別符号」

庁、財務局、あるいは地方公共団体に委任さという概念が新たに設けられたことにより、れています。これを受けて、個人情報保護法

個人識別符号に該当する情報で、これまで個

第 6 条の「格別の措置」に該当するものとし

人情報として取り扱っていなかったものがなて、金融庁と個人情報保護委員会が共同で金いかの確認作業が必要であったものと思いま

融ガイドラインと実務指針を公表しています。

す。

本日ご出席の皆さまの会社については、 4

二つ目は、「要配慮個人情報」という概念

種類のガイドラインに加えて、金融ガイドラが新たに設けられたことへの対応です。要配

インと実務指針が適用されるものと思いま慮個人情報については、他の個人情報とは異す。また、信託協会は認定個人情報保護団体

なる規制が設けられていますので、これまでですので、信託協会の対象事業者になってい取得・利用していた個人情報のうち、要配慮

る事業者については、信託協会が定めた「個個人情報に該当するものをピックアップし人情報の保護と利用に関する指針」および「個て、要配慮個人情報の規制に即した取扱いに人データの安全管理措置等に関する指針」を変更するための見直しが必要であったものと遵守する必要があります。

思います。

さらには、信託兼営金融機関は、銀行業に

三つ目は、個人データの提供・取得に際し関する認定個人情報保護団体である、全国銀て、確認・記録義務が課されたことへの対応

行個人情報保護協議会の対象事業者にもなっです。改正後の個人情報保護法の第25条およているものと思います。したがって、信託兼び第26条では、同法第23条第 1 項各号または営金融機関については、全国銀行個人情報保同条第 5 項各号に該当する場合を除いては、

護協議会の個人情報保護指針等も遵守する必原則として個人データの提供・取得に当たっ

要があります。

ては確認および記録の作成が義務付けられる

それ以外に、資料の 7 頁に記載したように、ことになりました。そこで、各部署の業務に皆さまの業務に関係する認定個人情報保護団

おける個人データの提供・取得の場面を洗い体としては、日本証券業協会、日本投資顧問

出し、それぞれが確認・記録義務の対象とな業協会、金融先物取引業協会、日本クレジッるケースに当たるか、当たる場合には、従来ト協会などがあります。これらの認定個人情の対応で確認・記録義務が満たされているか

― 110 ―改正個人情報保護法を踏まえた実務対応についての確認が必要であったものと思います。

信託274号 2018.5

ラインにより、他の個人情報とは異なる取扱

四つ目は、外国にある第三者への個人デー

いが定められていました。また、実務指針でタの提供についての対応です。改正法では、は、機微情報については他の情報とは異なる

外国にある第三者への個人データの提供につ安全管理措置を講じることが求められていま

いて、国内にある第三者への個人データの提した。

供とは異なる規制が設けられました。具体的

今回の改正によって、要配慮個人情報はすには、改正後の個人情報保護法第24条においべて機微情報に該当することとなりましたては、外国にある第三者への個人データの提が、これに加えて一連のパブリックコメント

供に当たっては、原則として本人の同意が必などの手続において、機微情報の範囲が明確

要とされました。留意すべき点として、同法になり、従来に比べ広い範囲のものが機微情第23条第 5 項各号に列挙されている個人デー報に該当することが明らかになりました。こタの委託や共同利用等の場合について、同法れにより、これまでよりも広い範囲の情報を第23条で規定されている個人データの第三者

機微情報として取り扱わなければならなくな提供との関係においては、提供する相手方はったことについて、実務的な影響が大きかっ「第三者」に該当しないものとされています。

たものと思われます。

しかしながら、外国にある第三者が委託先等である場合には、同法第24条の規定が適用されることとなっていますので、この点においても対応が必要であったものと思います。こ２．

個人情報の定義の明確化への対応と漏えい事案等への対応のように、各部署の業務において、外国にあ

ここからは、改正法の対応のポイント四点る第三者に個人データの提供を行っている場に外部委託を加えた五つの点について、具体面を洗い出して、同意取得がなされているか、的な対応のポイントをお話しします。個人情あるいは同意取得を不要とする例外的ケース

報の定義の明確化についてですが、まずここに該当しているかといった確認が必要となっでは定義の明確化に加えて、漏えい事案等へたものと思います。

の対応に係る法改正前後における変更点につ以上の四つの対応のポイントですが、これいてもお話ししたいと思います。

らについて私どもは、はじめは 3 番目と 4 番

まず、個人情報の定義に関してですが、改目のポイント、特に 3 番目のポイントへの対

正前の個人情報においては、資料10頁にある

応が大変なのではないかと思っておりました

ように、「個人情報」とは、生存する個人にが、実際に対応された企業にお聞きすると、関する情報であって、当該情報に含まれる氏

2 番目のポイントへの対応が特に大変であっ

名、生年月日その他の記述等により、特定のたという声が非常に多くありました。これ

個人を識別することができるものと定義されは、金融分野の個人情報取扱事業者においてていました。いわゆる特定個人識別可能性のは、ご存じのとおり改正前より要配慮個人情あるものが、個人情報に該当するものとされ

報と類似した概念として、機微情報（いわゆていたということです。そして、この特定個るセンシティブ情報）について、金融ガイド

人識別可能性のある情報には、他の情報と容信託274号 2018.5

改正個人情報保護法を踏まえた実務対応について易に照合することができ、それによって特定― 111 ―

必要はなかったものと思います。

の個人を識別することができることとなるも個人情報概念に関しては、もう 1 点、今回の、いわゆる容易照合性のあるものを含むとの改正に際して明確になった点があります。

されていました。

それは、個人情報の一部を取り出した情報が改正法では、この個人情報の概念の基本構

第三者に提供される場合、当該情報の特定個造は変更されていませんが、「個人識別符号」

人識別可能性と容易照合性については、提供という新たな概念が導入されています。改正

元、提供先のいずれを基準にして判断するか後の条文の構造から明らかなとおり、個人識という点です。例えば顧客の住所、氏名、顧

別符号は特定個人識別可能性や容易照合性と客番号と、顧客の購買履歴という情報を保有は関係なく、ある情報が個人識別符号に該当する個人情報取扱事業者があり、そのうち顧すればそれのみで個人情報に該当するという客番号と購買履歴のみを取り出して第三者へ関係にあります。逆に言うと、個人識別符号

提供することを想定するとします。この場合、に該当しない情報だから個人情報に該当しな

提供元では顧客番号をキーにして、顧客の住いというわけではなく、特定個人識別可能性、所、氏名等の特定個人を識別することができ

容易照合性があれば、そのような情報も従来る情報と結びつけることができます。一方、どおり個人情報に該当することになります。

提供を受けた先では、顧客の情報は顧客番号

このように、個人識別符号は、それに該当と購買履歴しかありませんので、通常、このするとそれのみで個人情報に該当することと情報だけでは特定の個人を識別することはでなりますので、改正法の施行に当たっては、きないと思います。このような情報の提供が個人識別符号に該当するものを個人情報とし個人データの提供に該当するのかどうか。仮て取り扱っているかどうかをチェックする必に意図せずして、これらの情報が漏えいして要があったものと思います。

しまった場合、それは個人データの漏えいにもっとも、個人識別符号に該当するものは該当するのかどうか。あるいは、顧客番号と資料11頁に記載のとおりですが、個人識別符

購買履歴のみを取り出し、それを分析のため号として新たに個人情報の概念に加わった情に第三者へ提供して、第三者からその分析結報に関しては、改正前においても、これらを果のレポートを受け取る場合に、個人データ

単独で取得・利用するというよりは、それ以の取扱いの委託に当たるのかどうか。改正前

外の個人を識別することができる情報、すなにおいては、そういったことが必ずしも明確

わち、氏名、住所などと一緒に取得・利用しではなかったと思います。

ていたものと思います。そうすると、これらこの点については、資料12頁に記載した通は従来から個人情報に該当するものとして取則パブコメによれば、個人情報の提供に際しり扱われていたものと思います。したがって、ての個人情報該当性については、提供元で判

個人識別符号という概念が新たに導入された断することが明確にされています。したがっことによって、改正法施行の際には、念のたて、提供元で特定個人識別可能性、容易照合

めの確認作業は必要であったものの、多くの性が認められ、個人情報に該当するような情

個人情報取扱事業者において実務を変更する

報を第三者に提供した場合、提供先において

― 112 ―改正個人情報保護法を踏まえた実務対応について

信託274号 2018.5

は特定個人識別可能性、容易照合性が否定さは、個人データの漏えい等の事案が発生した

れたとしても、個人情報の提供に当たること場合には、「監督当局等への報告」、「本人へになります。このように考えると、個人情報の通知等」、「二次被害の防止・類似事案の発を非個人情報化して第三者に提供する方法

生回避等の観点からの漏えい事案等の事実関は、匿名加工情報のかたちにして提供する方

係及び再発防止策等の早急な公表」の三つの法に限られることになります。

対応が求められています。この個人データにまた、先ほどの例のように、顧客番号と購関する漏えい事案等への対応についての実務

買履歴のみの情報を委託先に提供して分析し指針の規定は義務規定になっています。一方、てもらう場合においても、個人データの取扱

個人データに該当しない個人情報の漏えいにいの委託に該当することになりますので、個ついては、金融ガイドライン第17条によって人データの取扱いの委託としての安全管理措報告が求められていますが、こちらは努力義置を講じることが必要になるものと思いま

務となっています。なお、雇用管理情報と株す。

主情報に関しては、金融ガイドラインではな

このような、提供先においては、特定個人

く個人情報保護委員会が公表している「個人識別可能性、容易照合性がないようなデータ

データの漏えい等の事案が発生した場合等のが意図せず漏えいした場合であっても、提供対応について」という告示によることになり元においては特定個人識別可能性、容易照合

ますが、こちらでは個人データの漏えい等に性が認められる以上、形式的には個人データ

ついても報告は努力義務となっています。

の漏えいに該当することになると思います。

資料14頁をご覧下さい。
「個人データ」と「個次に、どのような場合に個人情報の漏えい

人データに該当しない個人情報」の違いにつ等として本人通知や金融庁への報告等の対応いてです。この点はすでにご存じのことと思が必要となるかについて見ていきたいと思いいますので、詳しい説明は省略しますが、法ます。資料13頁をご覧下さい。ご存じのとお

人情報のデータベースの中にある法人代表者

り、金融分野の個人情報取扱事業者においての氏名等の情報が個人データに該当するかに個人情報等の漏えい事案等が発生した場合について、金融機関 Q&A の問Ⅱ−6で資料14頁

は、雇用管理情報や株主情報などを除き、個にあるような回答がなされています。この記

人情報保護委員会の告示ではなく、金融ガイ

載内容は、個人データの考え方の整理に非常

ドラインと実務指針に基づいて対応することに役立つ内容であると思います。個人情報保になっています。また、報告先も個人情報保護法や各種ガイドラインにおいては、個人デ護委員会ではなく、金融庁、財務局または地ータと個人データ以外の個人情報の取扱いに

方公共団体となっています。

ついては規制が異なります。しかし、金融機

なお、個人番号を含む特定個人情報の漏え関においては、顧客情報について個人データ

い等については、他の個人情報とは異なる取か個人データ以外の個人情報かを細かく区別

扱いが定められていますが、本日は時間の関することなく、顧客情報として同様の取扱い

係上、特定個人情報に関しては割愛します。

がされていることが多いと思います。もっと

資料13頁にあるとおり、実務指針2−6−１でも、漏えい等対応に関しては、先ほどの法人

信託274号 2018.5

改正個人情報保護法を踏まえた実務対応について― 113 ―の代表者の情報のように、個人データか個人には、四半期に 1 回まとめて報告を行うこと

データ以外の個人情報かを見極め、異なる取ができるようになっているものの、これも個扱いをしている事業者もあるようです。

人情報取扱事業者が個別の事案ごとに、漏え話を戻します。資料15頁をご覧下さい。実

い等した情報の量、機微情報の有無、二次被務指針では個人データの漏えい等について、害や類似事案の発生の可能性等を検討し、直監督当局への報告、本人通知が義務付けられちに報告を行う必要性について判断をした上ていますが、FAX の誤送信、郵便物の誤送付、で、報告を行うことが必要となっています。

メールの誤送信などについては、一定の場合

したがって、この点についても、各事業者にには、四半期に 1 回まとめて報告を行えばよ

おいて漏えいした情報の件数や漏えいした情

いことになっています。また、郵便誤配など報の内容に鑑みたレピュテーションリスクの他責による事案に関しては、原則として報告

大きさなども考慮した上で、四半期報告でよ不要とされています。今回の改正法の施行にいものと、都度報告すべきものとを見極める

際し、この点は実務が大きく変わった点であことが必要になるものと思います。

ると思います。また、報告の頻度に関しても、

そのほか、先ほどお話ししたとおり、皆さ

改正法の前後において、月次から四半期ベー

ま方の会社は、信託協会をはじめ、複数の認スに変更され、実務の対応が軽減されている

定個人情報保護団体の対象事業者になっていものと思います。

るものと思います。各認定個人情報保護団体

郵便誤配など他責による事案ですが、これの定める保護指針においては、個人データのもすべてにおいて報告不要とされているわけ

漏えい事案等については監督当局とともに、ではなく、「本人の権利利益が侵害されてお所属する個人情報保護団体への報告を求めてらず、今後も権利利益の侵害の可能性がないいます。報告の基準については、信託協会で又は極めて小さい」と言えない場合には、報あれば、「信託協会

告が必要となります。したがって、誤配されが定められています。この報告基準によると、たものについて、何らかの理由で回収ができ

郵便誤配など他責の事案については、当局報ない、あるいは回収できたものの、誤配され告を行う事案を除き、報告を要しないとされた郵便物に重要な情報が含まれており、開封ています。また、FAX の誤送信、郵便物のされてしまっているなどといった場合には、

誤送付、メールの誤送信については、機微情報告を行ったほうがよい場合もあると思いま

報や特定個人情報等が含まれている場合、あす。そういう意味で、金融分野の個人情報取るいは漏えい事案等における個人情報等の本扱事業者においては、郵便誤配の場合であっ人の数が10名以上である場合等、一定の場合ても、社内では報告を求めたうえで、漏えいを除き、回収や削除が確認できている場合に事案等への対応をされる部署において個別のは報告を要しないことになっています。

事案ごとに報告が必要であるかどうかを判断することが必要になるものと思います。

漏えい事案等報告基準」

資料16頁は、当局への報告基準と信託協会への報告基準を私がまとめたものですが、こまた、FAX の誤送信、郵便物の誤送付、の基準を見る限り、協会への報告を要する範

メールの誤送信などについては、一定の場合

囲は、監督当局に報告するものより若干狭い

― 114 ―改正個人情報保護法を踏まえた実務対応についてと見受けられます。もっとも、金融機関によ信託274号 2018.5

いという対応も考えられます。

っては、当局に報告すべき事案と、認定個人

資料の18頁をご覧ください。金融分野の個

情報保護団体に報告すべき事案を分けること

人情報取扱事業者であっても、株主や従業者なく、認定個人情報保護団体の指針の対象外の個人情報の漏えい事案等については個人情とされている業務に関するものを除き、監督

報保護委員会の告示によることとなります

当局へ報告する事案についてはすべて認定個が、個人情報保護委員会の告示では、個人デ人情報保護団体にも報告を行うという対応をータの漏えいであっても個人情報保護委員会行っているところもあるようです。

への報告や本人通知は努力義務とされていま

信託兼営金融機関については、全国銀行個す。また、報告については、実質的に個人デ人情報保護協議会、日本証券業協会、日本投ータが外部に漏えいしていないと判断される

資顧問業会、日本クレジットカード協会等、

場合や、FAX もしくはメールの誤送信また複数の認定個人情報保護団体の対象事業者とは荷物の誤配などのうち軽微なものである場

なっていると思われますので、それぞれの認合には報告不要とされています。

定個人情報保護団体が定める基準にしたがった報告が必要になります。

資料18頁に記載したとおり、個人情報保護委員会の告示では、どのようなケースが実質

また、年金関連業務を取り扱う事業者にお的に個人データ等が外部に漏えいしていない

いては、私的年金分野における個人情報の漏と判断される場合に該当するのか等に関する

えい等については、従来どおり、厚生労働省

具体例が広範に記載されています。そのため、地方厚生（支）局への報告が必要とされてい金融分野における個人データの漏えい事案等ることに注意が必要です。

における本人通知の要否などを判断するに当資料17頁をご覧ください。個人データの漏えい事案等については、原則として当局へのたっても、この記載の内容は参考になるものと思います。

報告とともに本人通知を要することになり

資料19頁は、改正法の施行以降に公表されますが、金融機関 Q&A 問Ⅳ−17においては、た金融機関の個人情報の漏えい事案等を私が高度な安全化処理等が施されている場合や、まとめたものです。実務指針では、個人デー

即時に回収できた場合等、本人の権利利益がタの漏えいに係る公表は、二次被害の防止、侵害されておらず、今後も権利利益の侵害の類似事案の発生回避等の観点から行うべきも可能性がない、または極めて小さい場合等にのとされていますが、実際にどのような事案

ついては、本人への通知の省略も可能とされについて公表を行うかについては、各社それています。

ぞれの基準で判断されているものと思われま

先ほどの提供元基準によれば、提供元におす。

いては個人データに該当するものの、提供先においては特定個人識別可能性、容易照合性がない情報が漏えいした場合については、基３．

要配慮個人情報概念の導入への対応

本的に、この権利利益の侵害の可能性がない

先ほど申し上げましたとおり、要配慮個人

場合に該当するものとして本人通知は行わな

情報については、金融分野の個人情報取扱事

信託274号 2018.5

改正個人情報保護法を踏まえた実務対応について― 115 ―業者が最も対応に苦慮された点であると思い広いもの（②）、三つ目が、要配慮個人情報ます。金融ガイドラインでは改正法施行前かにのみ該当するもの（③）、四つ目が、従来ら、努力義務として、機微情報については、の機微情報にのみ該当するもの（④）です。

例外的な場合を除き、本人同意の有無に関わ

これらのうち、今回の改正で対応が必要にならず、取得・利用、第三者提供を行わないもったのは、②と③に該当するものです。③にのとされていました。また、実務指針におい

ついては、新たに要配慮個人情報になったもては、機微情報に該当するものについては、のですが、社会的身分、犯罪により害を被っ取扱者を限定するなど、他の個人情報とは異た事実、刑事事件に関する手続、少年の保護なる取扱いが求められていましたので、金融事件に関する手続にかかる情報がこれに該当機関においては、これにしたがって機微情報します。犯罪により害を被った事実としては、について厳重な管理をされてきたものと思い金融機関であれば、例えば振込め詐欺被害にます。

遭った事実が該当します。また、刑事事件に改正法では「要配慮個人情報」という概念が新たに設けられました。要配慮個人情報に関する手続については、交通事故を起こして書類送検された事実などが該当します。

ついては、取得には原則として本人の同意が要配慮個人情報については、通則パブコメ必要とされ、またオプトアウトに基づく第三などにおいて、推知情報や真偽不明な情報は者提供は禁止されています。一方、機微情報

要配慮個人情報には該当しないとされていまについては、金融ガイドラインにおいてそのす。例えば第三者からの伝聞として、「Ｂの概念等が一部変更されたものの基本的には規父は○○病らしい。」と聞いた場合など、真制が維持されています。機微情報は要配慮個

偽が不明である場合、その情報は要配慮個人

人情報を含む、より広い概念と整理されてい情報には当たらないものとされています。まます。これにより、金融機関においては、機た、勤務先が特定の宗教団体や政治団体であ微情報のうち要配慮個人情報については改正るような場合、そのこと自体はその人の信教法の規制にしたがうとともに、要配慮個人情や政治的な思想を推知させるものの、確定的報を含む機微情報については従来どおり金融な情報ではないので、要配慮個人情報には該

ガイドラインの規制にしたがうことが必要と当しないと整理されています。そのため、あなっています。

る情報がある時点までは推知情報や真偽不明

資料21頁では、要配慮個人情報と機微情報な情報であったとしても、ある時点からは要の関係について、金融機関 Q&A 問Ⅲ−1に記

配慮個人情報に該当することがあります。例

載されている内容を紹介しています。これをえばある人がわき見運転で交通事故を起こしご覧いただくとお分かりになるように、要配てしまったという情報に関しては、やがて刑慮個人情報と機微情報の関係は四つのカテゴ事事件に発展する可能性はあるものの、そのリーに分けられます。一つ目が、従来の金融時点においては要配慮個人情報ではないと思ガイドラインにおける機微情報と要配慮個人

います。一方、これに立件されたという情報

情報の範囲が重なるもの（①）、二つ目が、が加わると、要配慮個人情報に該当します。

従来の機微情報の範囲が要配慮個人情報より

このように情報の確度や段階により、要配慮

― 116 ―改正個人情報保護法を踏まえた実務対応について

信託274号 2018.5

個人情報に該当するか否かが異なってくるこ

コメでは、障害者手帳を所持しているというとがあります。そうすると、ある段階までは事実自体が要配慮個人情報に該当するものと要配慮個人情報ではないが、ある段階から要されています。また、「手が不自由」、「目が配慮個人情報として取扱うという対応をしな

不自由」という記載自体も要配慮個人情報にければならなくなり、そのようなことをする

該当するということが明確にされています。

のであれば、最初から要配慮個人情報と同様

さらには資料21頁にあるように、医師等の診に取り扱ったほうが対応としては楽であると察によらず、自己判断により市販薬を服用しいうことで、幅広に取り扱っている金融機関ているという事実については、要配慮個人情もあると思います。

報には該当しないものの、保健医療に関する

このように、新たに加わった③に該当するものについては、実務の取扱いの変更が必要

情報として、機微情報に含まれるとされています。

になりますが、それ以外に②についても通則

このように、改正法の施行に際して、従来、パブコメ等によって、従来は機微情報に該当

保健医療に関する情報として機微情報に該当すると考えられていなかったような情報が、するものと考えられていたものよりも広い範

保健医療に係る機微情報の範囲に含まれるこ囲の情報が機微情報に含まれることが明らかとが明らかになり、実務への影響が大きかっになっています。

たものと思います。例えば障害者手帳の身体

このような情報は、日々業務を遂行する中障害の等級に関する情報を取得した場合にで金融機関が通常取得しているもので、営業は、当然に機微情報に該当します。しかしな

日誌に記載したり、あるいは通話録音の中にがら、犯罪収益移転防止法に基づく取引時確含まれていたりということがあると思いま

認において、本人確認に障害者手帳を利用しす。そして、これらが機微情報に該当するこ

た場合、そのこと自体は機微情報には該当しととなると、実務上の取扱いや対応の変更がないと考えていた金融機関も多かったのでは必要となってきます。

ないかと思います。

資料23頁をご覧ください。要配慮個人情報

また、金融機関においては、顧客本人に書に該当し、かつ機微情報に該当するというこいてもらうべき書類について、顧客が目や手とになった場合、金融機関ガイドライン第 5が不自由であるために代筆をする場合、金融条にしたがうことが必要になります。また、庁の監督指針などに基づいて、その書類には

改正法第17条第 2 項の例外に該当しない限「ご本人は手が不自由であるため、◯○が代り、取得には本人同意が必要になります。

筆」など、代筆の理由を記載する手続になっ金融ガイドラインとの関係では、金融機関ていると思います。このような場合に、代筆が一般に取得している機微情報の多くは、第の理由として記載された「手が不自由である」

5 条第 1 項⑦の「保険業その他金融分野の事などという記載を、機微情報に該当するもの

業の適切な業務運営を確保する必要性から、として扱っていなかった金融機関も多いので本人の同意に基づき業務遂行上必要な範囲ではないかと思います。

機微（センシティブ）情報を取得、利用又はしかしながら、資料22頁で掲げた通則パブ

第三者提供する場合」に該当するものと思い信託274号 2018.5

改正個人情報保護法を踏まえた実務対応についてます。

― 117 ―とまでが機微情報に含まれることになったこ

また、本人の同意については、通則ガイドとで、従来の機微情報と同じレベルでこれら

ライン3−2−2において、「書面又は口頭等によの情報を取り扱おうとすると、障害者手帳がり本人から適正に直接取得する場合は、本人

本人確認書類であった場合には、その本人確が当該情報を提供したことをもって、当該個認記録については機微情報として役席者が保人情報取扱事業者が当該情報を取得すること管しなければならないといったことが生じるについて本人の同意があったものと解されこととなるため、実務上の取扱いに悩んだ金る」こととされています。

融機関も多かったと思います。

さらには、本人を目視し、または撮影するご存じのとおり、金融ガイドラインにおいことにより、その外形上明らかな要配慮個人ては、「…しなければならない」とされている

情報は、政令で「要配慮個人情報を本人の同ものは義務規定です。一方、「…することと意なく取得することができる場合」に該当すする」などは努力義務であるとされています。

るとされているとともに、金融ガイドライン

金融ガイドライン第 5 条の規定も機微情報のの機微情報との関係でも、機微情報から除外

取扱いに関しては努力規定になっています。

されるものとされています。したがって、こまた、実務指針では、安全管理措置に関するれまで金融機関において取得されてきた情報

部分は義務規定であるものの、機微情報に関で、新たに要配慮個人情報や機微情報に該当する別添 2 の部分に関しては一部の例外を除するものとされた情報の取得、利用そのもの

き努力規定となっています。もっとも、監督に関しては、本人同意や金融ガイドライン第機関が定めたガイドラインである以上、金融5 条との関係で、基本的にその取扱いが問題機関においては、努力規定、努力措置とされとなることはないものと思います。一方、実ているものであっても遵守しなければならな

務指針においては機微情報については取扱者

いと考えて対応されているものと思います。

を限定するなど、他の個人情報より慎重な取実務指針別添 2 では、機微情報の取扱いに扱いが求められています。

関する安全管理措置として、取扱者を必要最

資料24頁をご覧ください。例えば、実務指小限に限定することなどを求めていますが、針（別添 2 ）の「金融分野における個人情報

情報の内容や利用の対応に合わせて、必要最保護ガイドライン第 5 条に定められている

小限の範囲は変わり得るものと思います。し「機微情報」の取扱いについて」では、取得、たがって、障害者手帳を本人確認書類として入力、利用、保管、保存、移送、送信、消去、

取得し、その後の取引においても利用するよ廃棄という各段階において、必要最小限のもうな場合には、必要に応じて、支店の担当者のに限定したアクセス権限の設定、およびア全員を取扱者にするなど、臨機応変に取扱い

クセス制御の実施が求められています。これ

規則を変更するという対応もあり得ると思いを受けて金融機関では、従前より機微情報のます。

保管を役席者に限定するなど、限定した取扱改正法施行の時点において、このような対いをしていたものと思います。しかしなが応をされていない金融機関においても、今後、ら、今回、障害者手帳で本人確認を行ったこ

リスクベースの対応を考える中で、このよう

― 118 ―改正個人情報保護法を踏まえた実務対応について

信託274号 2018.5

な観点から見直しを行うことも考えられるもプトアウトによる第三者提供では、記録すべのと思います。

き内容に違いがあります。資料27頁をご覧い
ただき、不要な部分がどこかをご確認いただ４．

個人データの提供にかかる確認・記録義務への対応

ければと思います。
オプトアウトの場合には、本人の同意を得ているわけではありませんので、「本人の同それでは、確認・記録義務への対応、外国意を得ている旨」の欄は「不要」になります。

にある第三者への提供への対応、外部委託の本人の同意を得て提供する場合には、「提供見直しについて冨松からご説明します。なお、

年月日」が必須ではないこととされています。

本項目以下では、「金融分野の個人情報取扱

もちろん年月日についても、自主的に記録を事業者」を単に「金融機関」などと言うこと残すことは問題ありません。

があります。

次に、受領者側の記録義務について確認す

資料の26頁をご覧ください。改正法におけると、本人の同意を得て行う第三者提供、オる確認・記録義務の内容については、すでにプトアウトによる第三者提供、私人等から提ご承知のことと思いますので、簡単な説明の供された個人データの受領で、それぞれ記録みにさせていただきます。先ほども説明があすべき内容に違いがあります。資料28頁をごりましたが、ベネッセ事件をきっかけとし覧いただき、提供者の記録義務と同様に、不て、名簿業者の暗躍が広く世の中に知れ渡り要な部分がどこかを押さえていただければとました。こうして自分の個人情報が知らない思います。

ところで流通することについて国民の不安がなお、オプトアウトの場合に、「委員会に大きくなったことから、情報の流通経路を追よる公表」に係る記録が必要とされているの跡できるようにすることが必要と考えられる

は、法第23条第 2 項でオプトアウトを行う場

ようになりました。確認・記録義務に関する

合には個人情報保護委員会への届け出が必要

改正はこのような事情を背景に行われたものであり、そのような届け出がなされた場合にです。

は、同条第 4 項により個人情報保護委員会か

具体的には、改正法では個人データの提供

ら公表されることとなっているため、このよ側および受領側の双方に、個人データの授受うな手続が適法に行われていることを確認すに関する年月日、相手方の氏名または名称、るためのものです。このような記録を通じて、

当該個人データの内容等の記録義務を課し、万一、個人情報の流出があった場合に、自分

また記録義務を果たした結果として生じる記が誰に提供した情報が、どのような経路で流録の保存義務を課しました。また、受領側に通したかを特定することができるようにする

は記録義務の前提として確認義務を課していとともに、個人情報を扱う事業者に対してはます。根拠条文は、提供者側の記録義務が第刑事罰を科す規定が設けられ、個人情報の漏25条、受領者側の確認義務が第26条です。

えいに対する抑止的効果を及ぼそうとしてい

まず、提供者側の記録義務について確認す
ると、本人の同意を得て行う第三者提供とオます。
他方、改正法施行前に改正法の詳しい内容

信託274号 2018.5

改正個人情報保護法を踏まえた実務対応について― 119 ―

および実務対応に関するセミナーを行いまし

資料29頁をご覧ください。法律上の例外とたところ、「金融機関においても、このようしては、まず「法令に基づく場合」、「人の生な確認・記録義務を行うことが求められるの命、身体、又は財産の保護のために必要があか」、「どのようなフォーマットに記録すればる場合であって、本人の同意を得ることが困よいか」、「一括記録する場合には、どのよう難であるとき」等、法第23条第 1 項に定めるな頻度で行えばよいか」など、ご心配の声を場合が挙げられます。また、委託、共同利用、

多数いただきました。確認・記録義務は金融

合併等の事業承継という法第23条第 5 項に定機関等の実務における工数を増やすとともめる場合や、個人データを提供する第三者がに、マニュアル等を整備して事前に準備を行法第 2 条第 5 項各号の「国の機関」や「地方うことが必要となるため、その影響について

公共団体」などである場合にも、確認・記録

非常に懸念されているようでした。

義務は生じません。

そこで、次に、改正法が施行された現在、そして、解釈上の例外としては、資料30頁

金融機関がどのように確認・記録義務に対応に記載している四つの場合が挙げられます。

されているのか、またその根拠は何かという

例えば、個人情報を「本人に代わって」提供

点についてお話しします。結論から先に申しする場合については、実質的に見れば本人に上げると、金融機関において、現在、日常的よる提供であり、「提供者」による提供ではな業務の中で確認・記録義務の履行として、ないと整理され、確認・記録義務を履行する

従前とは異なる書類を作成しているところは必要はないものとされました。本人から別の少ないと思われます。その理由としては、ま者の口座へ振込依頼を受けた仕向銀行が、振ず個人情報保護委員会がこのような実務上の込先の口座を有する被仕向銀行に対し、当該懸念を、パブリックコメント手続等を通じて振込依頼に係る情報を提供する場合が、この把握し、確認・記録義務の範囲を限定的に解ような場合に該当します。これは、第三者ガ釈していることが挙げられます。改正法の内イドラインに関する意見募集結果（パブリッ

容は影響力が大きいわりに、規定としては極クコメント）の843番に記載があります。

めてシンプルであり、解釈の幅があるように

このほか、金融機関の営業員が家族ととも思います。個人情報保護委員会はこのようなに来店した顧客に対し、保有金融商品の損益

曖昧さを 4 種の基本ガイドラインと業務分野

情報等を説明する場合には、顧客の家族は「受ごとのガイドライン、パブリックコメント手領者」に該当せず、また、ホームページ等で続における回答、Q&A 等で補うように努力公表されている情報の提供のような不特定多しています。そして、この確認・記録義務に数の者が取得可能な公開情報の提供について

ついても、第三者ガイドラインやパブリックは、「提供」に該当しないことから、例外的

コメント手続における回答において、法律上に確認・記録義務はないこととされています。

の例外に加えて、解釈上、確認・記録義務のもっとも、確認・記録義務がないことと、適用を受けない例外的な場合を細かく例示

本人の同意が不要ということは別の問題なのし、その範囲が不用意に拡大することを防止

で、注意が必要です。このような解釈上の例

しています。

外は、確認・記録義務が正常な事業活動を行

― 120 ―改正個人情報保護法を踏まえた実務対応について

信託274号 2018.5っている事業者に対する過度な負担となるこが可能となっています。さらに、その流通手とを避けるため、現実的な規制のあり方とし段も、従来から存在した電子メール等に加え、て示したものとされており、適用場面が限らSNS、大容量データ送信サービス、クラウド

れていることに注意いただきたいと思いま

等、多様化し、また手軽になっています。

す。

こうした情報通信技術の発達は、その副作

また、このような例外要件による整理のほ用として、本来流通すべきではない情報をもか、従来から金融機関が顧客より徴収してい容易に流通させてしまうという状況を生んでる「個人情報の取扱いに関する同意書」等のいます。個人情報もまさに「本来、流通すべ

書面により、記録に代替していることも考えきではない情報」であり、これを実効的に取られます。

り締まる目的で、改正法により新たな規制がこのように、金融機関においては、確認・置かれました。

記録義務がないということではなく、例外要

具体的には、第 1 に、域外適用と呼ばれる件に照らして不要と判断されたり、他の書面ものです。資料34頁をご覧ください。先ほどで代替可能と整理しているに過ぎず、イレギ述べたように、国外に拠点を有しながら日本

ュラーな事態が生じた際には確認・記録義務向けに商品・サービスの提供を行い、日本のの履行の要否を検討する必要があるため、注

居住者等に係る個人情報を取得する事業者が意が必要です。

増加しています。よって、国内だけ規制を強化しても十分とは言えない状況にあります。

５．

外国にある第三者への提供への対応

外国に拠点がある者についても、国内事業者と同様に規制が及ぶものとすべきです。そこ

次に、外国にある第三者への提供に関するで、一部の規定を除き、外国の事業者につい実務対応について説明させていただきます。

ても、国内事業者とほぼ同様の規律を及ぼし

資料33頁をご覧ください。旧法においては、ています。

外国にある第三者への個人データの提供や、

しかし、法の域外適用は、「法の地理的な外国にある第三者に関する日本の個人情報保適用範囲は自国領域内に限定される」という護法の適用に関する規定は設けられていませ

属地主義の原則の例外です。したがって、外んでした。

国の事業者と日本との間に特別の関連性があ

しかし、経済のグローバル化や電子商取引

ることや、法の適用を及ぼす必要性・合理性が進展するとともに、国外に拠点を有しながが認められる必要があります。そのため、法ら、日本向けに商品・役務の提供を行い、その域外適用の対象事業者は、国内にある者にの際に日本の居住者等に係る個人情報を取得

対する物品または役務の提供に関連して、そする事業者が増加しています。

の者を本人とする個人情報を取得した個人情

また、先進国を中心に、世界中で高速通信報取扱事業者に限定されています。

網が整備されるとともに、コンピュータ等の第 2 に、外国執行当局との協力が挙げられ性能も高度化している昨今では、大量の情報ます。外国の事業者に関しても個人情報保護が瞬時に、そして国境を越えて流通すること

委員会の指導、助言、勧告等の規定は適用さ信託274号 2018.5

改正個人情報保護法を踏まえた実務対応について― 121 ―れるものの、処分性を有する報告、立入検査、

第 2 に、「外国」が「個人の権利利益を保是正命令等は外国の国家主権との抵触が問題護する上で我が国と同等の水準にあると認めとなるため適用されません。そのため、日本られる個人情報の保護に関する制度を有して国内の本人の権利利益を保護するために、外いる外国として個人情報保護委員会規則で定国執行当局の協力を必要とする場面があるこめるもの」である場合です。具体的な国は個とから規定が設けられたものです。

人情報保護委員会の告示で指定されることに

資料35頁をご覧下さい。第 3 に、外国にあなっていますが、現時点において、その指定る第三者への個人データの提供に関する規定はまだされていません。なお、指定対象としです。改正法は、個人データが外国へ転出すては、アメリカや EU 加盟国が想定されている段階でのコントロールを強化すべく、外国ると言われています。

にある第三者に個人データを提供する場合に第 3 に、「第三者」が「個人データの取扱は、事業者は原則として、あらかじめ外国にいについて、この節（法「第 4 章

ある第三者への提供を認める旨の本人の同意取扱事業者の義務等」の「第 1 節」）の規定

を得なければならないとしました（法第24により事業者が講ずべきこととされている措条）。これも従来にない規制ですから、これ置に相当する措置を継続的に講ずるために必まで外国にある第三者に情報提供をしていた

要なものとして、委員会規則で定める基準に場合、例えば海外でコールセンターが運営さ適合する体制を整備している者」である場合

れている場合等について、金融機関を含む国です。つまり、国外にある第三者自身がきち内の事業者では新たな対応が必要となります。

んとした個人情報保護のための管理体制を敷

もっとも、この規制についても例外があり

個人情報いている場合です。

ます。第 1 に、法第23条第 1 項各号に掲げる

それでは、次に、実務ではどのような整理場合です。これは法令に基づく場合等の、国をしているかを確認していきたいと思います。

内事業者が、国内の第三者に個人データを提実務上の対応としては、原則どおり、外国供する際に、例外的に本人同意が不要となるにある第三者への提供に際して本人同意を取場合を定めたものです。国内にある第三者へ得する方法と、例外要件に該当すると整理すの提供に際して本人同意が不要となるので、る方法の二つが考えられます。

外国にある第三者に対する提供に際しても本資料の36頁をご覧ください。先ほど説明し人同意が不要というのは理解がしやすいと思た三つの例外のうち、法令に基づく場合等のいます。なお、法第23条第 1 項各号について

法第23条第 1 項各号に該当する場合は、国内

は、国内にある第三者と同様に規律されていにある第三者への提供と同様のものです。

ますが、同条第 5 項の外部委託等については、

また、「個人の権利利益を保護する上で、国内にある外部委託先（第三者）への提供の我が国と同等の水準にあると認められる個人

際に本人同意が不要であるのと異なり、外国情報保護に関する制度を有している外国」ににある外部委託先（第三者）への提供の際についても、その細かい要件について、昨年12は原則として本人同意が必要となるため、注月に委員会規則案が公表されパブリックコメ

意が必要です。

ント手続に付されていますが、具体的な国名

― 122 ―改正個人情報保護法を踏まえた実務対応についてを指定する告示はまだされていません。

信託274号 2018.5

組みに基づく認定を受けていること」と定めさらに言うと、例えばコールセンターの外ています。外国ガイドライン3−3によると、

注先等は個人情報保護体制を整備しているよ「『個人情報の取扱いに係る国際的な枠組みにうな先進国ではない場合が多いように思われ基づく認定』とは、国際機関等において合意ますので、このような例外要件に該当するこされた規律に基づき権限のある認証機関等がとにより、全く対応不要と整理することは難認定するものをいい、当該枠組みは、個人情しいように思われます。

報取扱事業者が講ずべきこととされている措

そうすると、 3 番目の例外要件に基づき、置に相当する措置を継続的に講ずることので本人同意が不要と整理することができるかどきるものであること」が必要であるとし、具うかを検討することとなります。

体例として、その外国にある第三者がアジア資料の37頁をご覧ください。この点、委員

太平洋経済協力（APEC）の越境プライバシ会規則第11条第 1 号は、その具体化として「個ールール（CBPR）システムの認証を取得し人情報取扱事業者と個人データの提供を受けていることを挙げています。

る者との間で、当該提供を受ける者における資料の39頁をご覧ください。グループ会社

当該個人データの取扱いについて、適切かつ等についてこの 3 番目の例外要件、中でも規合理的な方法により、法第 4 章第 1 節の規定

則第11条第 1 号に該当するものとして整理さの趣旨に沿った措置の実施が確保されている

れているところもあると思いますが、利用目こと」と定めています。この「適切かつ合理的の通知や開示請求への対応に関する体制整的な方法」は個々の事例ごとに判断されるべ

備については負担感があるとの声も聞かれる

きものですが、個人データの提供先である外ところであり、例外要件に基づく整理は難し

国にある第三者が、我が国の事業者が講ずべいとして、原則どおり本人の同意を得て提供きこととされている措置に相当する措置を継するという整理が現実的だと判断されること続的に講ずることを担保することができる方もあるようです。

法であることが必要とされています。そして、

この点、確かに外国ガイドライン2−1によ

そのような方法の具体例として、外国にある

れば、外国にある第三者に個人データを提供

事業者に個人データの取扱いを委託する場合

する場合には、国内にある第三者に対する同には提供元と提供先との間の契約書等、同一

意とは別に、外国にある第三者への提供につ企業グループの内部で個人情報を移転する場

いて同意を取得しなければならないとされて合には提供元と提供先に共通して適用されるはいるものの、個人情報の第三者提供に関す

内規やプライバシーポリシー等が挙げられまる同意書をすでに用いている実務では、同意す。

書における同意の対象として国内にある第三資料の38頁をご覧ください。先ほどの「委者のみならず、外国にある第三者を追加する

員会規則で定める基準に適合する体制を整備

方法も現実的な選択肢となっているようでしている者」という要件の具体化として、規す。この場合、書面を改定すればよく、柔軟

則第11条第 2 号は「個人データの提供を受けに対応できることがその理由のようです。

る者が、個人情報の取扱いに係る国際的な枠

なお、この「外国」については、ある程度

信託274号 2018.5

改正個人情報保護法を踏まえた実務対応について― 123 ―

明確にする必要があり、Q&A9−2、および外取扱方法について、委託先に事前報告又は承国パブコメ715では、この方法の具体例が挙認手続きを求める、直接又は委託先を通じてげられています。資料39頁にも記載していま定期的に監査を実施する等により、委託先がすので、ご確認いただければと思います。

再委託先に対して（中略）委託先の監督を適切に果たすこと、再委託先が法第20条に基づ

６．

外部委託の見直し

く安全管理措置を講ずることを十分に確認することが望ましい。再委託先が再々委託を行

資料の41頁をご覧ください。続いて、外部う場合以降も、再委託を行う場合と同様とす

委託についてです。改正法において法律の条る」として、再委託以降の委託先管理にも、文自体に変更はありませんでした。また、そ法第20条に基づく安全管理措置を講ずることの具体的内容について、個人情報保護法の改を十分に確認することが望ましいとされてい正前においても、すでに金融ガイドラインやました。今回の個人情報保護法の改正と合わ

安全管理措置等についての実務指針の改正にせて制定された通則ガイドラインでは、3−3−より、委託先管理の厳格化等の手当てがなさ

4において、基本的にこれらの内容が踏襲されていました。

れています。

今般の個人情報保護法の改正においては、

そして、「委託を受けた者に対して必要か

各種ガイドラインや Q&A の追加・改定がな

つ適切な監督を行っていない事例」として、されていますが、その内容については、基本

個人データの安全管理措置の状況を契約締結

的には、金融ガイドラインや実務指針が先取時およびそれ以後も適宜、把握せず、外部のりして行っていた改正内容に包含されるもの

事業者に委託した結果、委託先が個人データと考えられます。そこで、金融ガイドラインを漏えいした場合等、四つのケースが紹介さの適用を受ける事業者にとっては、従前の実れています。資料42頁にも記載していますの務について、新たな対応を迫られるものではで、ご確認いただければと思います。

ないと評価することができると思います。

なお、Q&A においては、委託先管理と関

例えば、平成27年 7 月 9 日から適用された

連して、配送事業者、通信事業者、クラウド

金融ガイドラインや実務指針の改正においサービス提供者等の外部事業者を利用する場て、改正後の金融ガイドライン第12条では、

合に、個人データの取扱いを委託していると

委託先の選定に関して、「委託先の選定に当言えるかということについて、解説がされてたっては、必要に応じて個人データを取り扱います。基本的な考え方としては、個人デー

う場所に赴く又はこれに代わる合理的な方法

タの中身について当該外部事業者が関知しなによる確認を行った上で、個人データ管理責

い場合には、個人データの取扱いの委託では任者等が適切に評価することが望ましい」とないと整理されています。もっとも、安全管いう文言が追加されました。また、「委託先理措置を講ずる義務の観点からは、これらのが再委託を行おうとする場合は、委託元は委

外部事業者の選択や安全な配送方法の指定等託を行う場合と同様、再委託の相手方、再委の措置を講ずる必要があるとされています。

託する業務内容及び再委託先の個人データのなお、今般の改正に合わせ、金融ガイドラ

― 124 ―改正個人情報保護法を踏まえた実務対応について

インや安全管理措置等についての実務指針も

信託274号 2018.5

ではないかと思われます。

改定がなされ、通則ガイドラインと共通する

そして、今後の課題を挙げるとすれば 2 点

規制についてはそちらに準拠するものと整理あると思います。資料46頁をご覧ください。

されました。そのため、今後は金融ガイドラ

一つは要配慮個人情報の取扱いです。先ほどインや実務指針と合わせ、 4 種の基本ガイド

申し上げたように、要配慮個人情報の取扱い

ラインについても参照する必要があるため、については、実務上、保守的な運用がなされ注意が必要です。

ており、いわば過剰反応となっている部分がこの章のまとめですが、先ほど申し上げたあるように思われます。法令上求められていとおり、今般の改正内容はすでに適用されてる水準が事例の積み重ねとともに、より具体いる金融ガイドラインや安全管理措置等につ的に明らかになっていくことにより、現在のいての実務指針の改正に沿ったものであり、実務上の負担が適切な水準となるように調整

金融機関等における委託先管理については、が続けられるものと考えられます。

これらに準拠して厳重に行われているものとまた、要配慮個人情報については、科学技考えられます。したがって、改正法の施行に術のさらなる発展とともに新たな問題も生じより、具体的に契約書の文言を修正する等のてくるため、そのような問題に対処していく

対応が必要になる場合は多くないように思わことも課題になってくると思います。例えばれます。

業務上、サービス向上の目的等のために行っている通話録音について、現時点において検７．

今後の課題・見直しのポイント等

索性がないとして個人データとして扱っていない場合であっても、検索機能の技術の向上

資料の45頁をご覧ください。これまで改正

により、音声データの内容について直接検索法の概要とともに、改正前の事業者の皆様の可能となった場合には、新たに保有個人デー

反応に関する話を交えながら、改正後におけタとして管理が必要となります。その通話内る実務の対応状況について解説してきまし

容に通院の事実や身体障害がある等の事実がた。結果として、改正法の施行によって金融含まれている場合には、要配慮個人情報の取機関等の事業者の実務において、改正前に不得ということになります。取得の際の本人の安視されていたような作業負担が大幅に増え同意については、これらの通院の話や身体にるといった影響は、現時点においては特段生障害があることが本人からの発話であれば、じていないものと思われます。

推定的同意があると整理できるようにも思わ

これは個人情報保護委員会から順次公表されますが、要配慮個人情報として管理する必れたガイドライン等の内容に則り、どのよう要が生じるため、当該通話内容に関する音声に整理すれば現場の負担増を回避することがデータについては、通常の通話内容の音声デできるかについて、全国銀行協会や信託協会

ータよりも慎重に取扱う必要が出てきます。

等の業界団体が慎重に検討して、パブリック

また、近年目覚ましい進歩を遂げている AI

コメント手続等で改正法によって求められる（人工知能）のさらなる進化に伴い、識別可能対応範囲を的確に確認したことの一つの成果性が高まることも考えられます。そうすると、

信託274号 2018.5

改正個人情報保護法を踏まえた実務対応について― 125 ―

声紋鑑定等の専門的な鑑定によらずとも、通が、このような事例の集積によって加工基準

話の音声のみで特定個人が識別できたり、防の概念が徐々に明らかになれば、ある時期か

犯カメラ画像から特定個人を自動識別する機

ら爆発的に匿名加工情報の利活用が増大する能等も登場する可能性があります。そうした可能性もあると思います。

技術の進歩とその普及に伴い、新たに対応を

なお、医療分野については、平成29年 5 月

検討する必要が生じることが予想されます。

12日にいわゆる医療ビッグデータ法が公布さ二つ目は匿名加工情報です。資料の47頁をれ、 1 年以内に施行されます。この法律におご覧ください。匿名加工情報は改正法の目玉

いては、認定匿名加工医療情報作成事業者がの一つでありながら、改正法施行後約 9 か月認定され、医療分野の研究開発に資するためたっても、まだその活用事例は多くないようの匿名加工医療情報を作成することとされてに思われます。その理由の一つには、加工基います。こうした医療分野の匿名加工情報か

準に曖昧さが残るため、どの程度加工すればら、その利活用の価値が認知されて、他の分

匿名加工情報として認められるかが分かりに

野での匿名加工情報の利活用が促進されるこ

くく、他方で保守的に匿名化の程度を高度化

とも十分考えられます。

すればするほど、利活用するためのデータと今後の実務上の対応の見直しや新規事業のしての価値が低くなるというジレンマを抱え開発において大切なのは、個人情報の重要性ているからではないかと思います。

について十分に理解しつつ、今後新たに生じ資料の48頁をご覧ください。金融機関でる事態に法令遵守の観点から的確に対応し、は、イオン銀行が他に先駆けて匿名加工情報

他方でマーケティングや商品開発等のためにを作成した旨が公表されています。そこでは個人情報が内包する有益な特徴を最大限に活「性別、年代（ 5 歳刻み）、居住する都道府県、

かすことだと思います。

郵便番号、職種、業種、世帯構成に関する情

そのためにはプロアクティブに情報収集を報、ご契約カード種類、店番号、口座開設経行い、個人情報保護法の規制の外延を分析す

過月数、預金等の当行各種金融商品の取引状るとともに、新たな時代におけるデータ活用

況および審査結果、現在および次回のポインの方法を探求し、これを適時、的確に実行しトクラブステージ」という項目が設定されてていくことが必要となると思われます。

います。また、一般財団法人日本情報経済社

ご清聴、ありがとうございました。

会推進協会（JIPDEC）が匿名加工情報の事
例集を公表しています。
もっとも、これらのすべてが法令上、要求される加工基準を確実に満たしている保証はありません。したがって、こういった事例は自己責任において参照する必要があります

本稿は、平成30年 2 月26日に開催された
信託セミナーにおける堀総合法律事務所弁護士髙木いづみ氏・冨松宏之氏の講演内容
を取りまとめたものである。

（たかぎ・いづみ、とみまつ・ひろゆき）

― 126 ―改正個人情報保護法を踏まえた実務対応について

信託274号 2018.5

1

改正個人情報保護法を踏まえた実務対応について2018年2月26日
堀 総合法律事務所
弁護士 髙木いづみ
弁護士 冨松 宏之

2

本セミナーの構成
１．改正個人情報保護法の主な変更点と対応のポイント
２．個人情報の定義の明確化への対応と漏えい事案等への対応
３．要配慮個人情報概念の導入への対応
４．個人データの提供にかかる確認・記録義務への対応
５．外国にある第三者への提供への対応
６．外部委託の見直し
７．今後の課題・見直しのポイント等

信託274号 2018.5

改正個人情報保護法を踏まえた実務対応について― 127 ―

3
【凡 例】
略 称
個人情報保護法／法
改正法
改正
事業者
政令
委員会規則／規則
通則ガイドライン
外国ガイドライン
第三者ガイドライン
金融ガイドライン
実務指針
漏えい等対応通則パブコメ外国パブコメ
ＱＡ
金融機関Ｑ＆Ａ
一問一答

正式名称等
個人情報の保護に関する法律（平成１５年５月３０日法律第５７号）「個人情報の保護に関する法律および行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律」（平成２７年法律第６５号）
改正法に基づく改正
個人情報取扱事業者
個人情報の保護に関する法律施行令
個人情報の保護に関する法律施行規則
個人情報の保護に関する法律についてのガイドライン（通則編）
個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）
個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）
金融分野における個人情報保護に関するガイドライン
金融分野における個人情報保護に関するガイドラインの安全管理措置等についての実務指針
個人データの漏えい等の事案が発生した場合等の対応について
通則ガイドライン（案）に関する意見募集結果（平成２８年１１月３０日）
外国提供ガイドライン（案）に関する意見募集結果（平成２８年１１月３０日）「個人情報の保護に関する法律についてのガイドライン」及び「個人データの漏えい等の事案が発生した場合等の対応について」に関するＱ＆Ａ「金融機関における個人情報保護に関するＱ＆Ａ」
瓜生和久編著「一問一答 平成２７年改正個人情報保護法」

4

１．改正個人情報保護法の主な変更点と対応のポイント― 128 ―改正個人情報保護法を踏まえた実務対応について

信託274号 2018.5

5(1) 改正の背景と改正法のポイント(1) パーソナルデータの利活用促進のためのグレーゾーンの解消⇒「個人識別符号」、「匿名加工情報」概念の新設「要配慮個人情報」に関する規制の導入(2) 事業者に対する一元的監督⇒「個人情報保護委員会」を新設し、監督権限を一元化(3) いわゆる名簿業者に対する規制⇒個人データの第三者提供に係る確認・記録作成等を義務化「個人情報データベース等提供罪」の新設
オプトアウトに関する個人情報取扱事業者の届出と個人情報保護委員会による公表(4) データ流通のグローバル化に対する対応⇒外国にある第三者への個人データの提供の制限
個人情報保護法の域外適用

6(2) 金融分野の個人情報取扱事業者に対する監督。

信託274号 2018.5

改正個人情報保護法を踏まえた実務対応について― 129 ―

7

金融分野における認定個人情報保護団体
対象事業分野名

称

信託業

一般社団法人信託協会

銀行業

全国銀行個人情報保護協議会

証券業

日本証券業協会

投資信託委託業及び一般社団法人投資信託協会
投資法人資産運用業
投資運用業及び投資一般社団法人日本投資顧問業協会
助言・代理業
金融先物取引業

一般社団法人金融先物取引業協会

全般

一般財団法人日本情報経済社会推進協会（JIPDEC)

クレジット事業

一般社団法人日本クレジット協会

8(3) 金融分野の個人情報取扱事業者における改正個人情報保護法への対応のポイント(1) 個人情報の定義の明確化への対応「個人識別符号」に該当する情報の取扱状況の確認(2) 要配慮個人情報規制への対応「要配慮個人情報」に該当する情報の洗出しと実務対応の変更(3) 個人データの提供・取得に際しての確認・記録義務への対応
個人データの提供・取得の場面の洗出しと新たな対応の要否の確認（実務の取扱いの変更）(4) 外国にある第三者への個人データの提供
外国にある第三者への提供場面の洗出し法４章１節の規定の趣旨に沿った措置の実施の確保又は同意取得の対応

― 130 ―改正個人情報保護法を踏まえた実務対応について

信託274号 2018.5

9

２．個人情報の定義の明確化への対応と漏えい事案等への対応

10

個人情報の定義【改正前】（法２条）
この法律において「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう。
【改正後】生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
一 当該情報に含まれる氏名、生年月日その他の記述等（略）により特定の個人を識別することができるもの（ 他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）
二 個人識別符号が含まれるもの※特定個人識別可能性、容易照合性

信託274号 2018.5

改正個人情報保護法を踏まえた実務対応について― 131 ―

11(1) 個人識別符号（法2条1項1号）①特定個人の身体的特徴を電子的に変換した符号
DNA、虹彩の模様、手のひら・甲・指の静脈の形状、指紋又は掌紋等②特定個人の身体的特徴に関係なく発行される符号（ⅰ）サービスの利用・商品の購入に関してサービスの利用者・商品の購入者ごとに割り当
てられる符号・・・政令なし（ⅱ）それ以外の符号であって、個人に発行されるカード等に記載、記録される符号
旅券番号、基礎年金番号、運転免許証番号、保険証の記号・番号、マイナンバー等
個人識別符号 ⇒ それのみで個人情報
個人識別符号に該当しない符号 ⇒ 特定個人識別可能性、容易照合性の有無を検討

12(2) 提供元基準か提供先基準か ※通則パブコメ
No.
19

該当箇所

寄せられた御意見等

御意見等に対する考え方

ある情報を第三者に提供する場合、
2-1 個人情報 （該当箇所）
当該情報が「他の情報と容易に照合
通則編 2 定義 2-1 個人情報 （法第2条第1項関係）
P.6 16行（* 4）することができ、それにより特定の個（ご意見）人を識別することができることとなる」「他の情報と容易に照合することができ」るとは、事業者の実態 かどうかは、当該情報の提供元であに即して個々の事例ごとに判断されるべきであると解説されて る事業者において「他の情報と容易いるが、容易照合性については提供先が有する情報等によると に照合することができ、それにより特考えられる。従って、提供元では提供先で「個人情報」に該当す 定の個人を識別することができること
るか否かが必ずしも判断できないことから、提供前に、提供元 となる」かどうかで判断します。
が提供先における容易照合性についてどのように配慮すべきかについて解説してほしい。
（理由）
提供先では、個人情報に該当しない情報を提供したと思っても、提供先で保有する情報と照合することにより、個人が特定される場合が想定されるため。
【日本製薬工業協会 研究開発委員会】

― 132 ―改正個人情報保護法を踏まえた実務対応について

信託274号 2018.5

13(3) 金融分野の個人情報取扱事業者の漏えい事案等への対応
実務指針2-6-1（個人データ、義務）漏えい事案等が発生した場合には、次に掲げる事項を実施しなければならない①監督当局等への報告②本人への通知等③二次被害の防止・類似事案の発生回避等の観点からの漏えい事案等の事実関係及び再発防止策等の早急な公表※個人データに該当しない個人情報については、金融ガイドライン17条（報告は努力義務）※雇用管理情報、株主情報は「個人データの漏えい等の事案が発生した場合等の対応について」（平成29年個人情報保護委員会告示第1号）による（報告は努力義務）

14「個人データ」と「個人データに該当しない個人情報」 ※金融機関Ｑ＆Ａ（問Ⅱ-6）法人の代表者の情報は「個人情報」に当たるか。また、法人情報のデータベースの中に法人代表者の氏名等があった場合、当該情報は「個人データ」に当たるのか。
（答）法人の代表者の情報は、個人情報保護法第2条第1項の定義に該当するため、「個人情報」
に当たります。取引先企業の担当者名といった情報も、同法第2条第1項の定義に該当するため、「個人情報」に当たります。
また、法人の代表者の氏名等が（単に文字列検索が可能なのではなく、個人情報としての属性に着目して）検索可能な場合には、当該データベースは「個人情報」が検索できるように体系的に構成されているといえ、「個人情報データベース等」に該当するものと考えられます。ただし
データベース等があくまで法人情報のみの検索が可能なように構成されているもので、(法人代表者等の）個人情報の検索が可能なように体系的に構成されていない場合には、当該データ
ベース等は「個人情報データベース等」には該当せず、そこに含まれている個人情報も「個人データ」に該当しないこととなります。

信託274号 2018.5

改正個人情報保護法を踏まえた実務対応について― 133 ―

15

漏えい事案等発生時の当局報告 ※金融機関Ｑ＆Ａ（問Ⅳ‐11） 個人情報等の漏えい事案等が発生した場合の監督当局等への報告は、どこまで厳密に行う必要があるのか。例えば、FAXの誤送信、郵便物等の誤送付及びメールの誤送信などによる個人情報等の漏えい等で、当該情報の量や性質等に鑑みて、漏えい事案等としては軽微と思われるものまで、発生段階で必ず監督当局等へ報告する必要性があるのか。
（答）「個人データ」については、業務指針2-6-1において、漏えい事案等が発生した場合には、監督当局等への報告を実施しなければならないとされており（義務規定）、「個人データ」の漏えい事案等が発生した場合は、金融機関は、当局への報告を行う必要があります。
一方、「個人情報」及び「加工方法等情報」については、金融分野ガイドライン第17条において、「監督当局等に直ちに報告することとする」（努力規定）と規定されています。
ただし、ＦＡＸの誤送信、郵便物等の誤送付及びメール誤送信などについては、個人情報取扱事業者が個別の事案ごとに、漏えい等した情報の量、機微（センシティブ）情報の有無及び二次被害や類似事案の発生の可能性などを検討し直ちに報告を行う必要性が低いと判断したものであれば、業務上の手続きの簡素化を図る観点から、四半期に一回程度にまとめて報告しても差し支えありません。
このほか、郵便局員による誤配など、個人情報取扱事業者の責めに帰さない事案については、原則として報告を要しません。ただし、「本人の権利利益が侵害されておらず、今後も権利利益の侵害の可能性がない又は極めて小さい」とはいえない場合については、上記の諸事情を検討したうえで、都度直ちに又は四半期に一回程度にまとめてご報告して頂く必要があります。
他方で、いかなる場合でも対外公表を行う場合は都度直ちにご報告していただく必要があります。

16
個人データの漏えい事案等の報告の要否及び方法

― 134 ―改正個人情報保護法を踏まえた実務対応について

信託274号 2018.5

17

漏えい事案等発生時の本人への通知 ※金融機関Q&A（問Ⅳ-17）個人情報等の漏えい事案等が発生した場合は、金融機関は本人に通知する必要があるのか。
（答）「個人データ」については、実務指針2-6-1において、「漏えい事案等が発生した場合には、本人への通知等を実施しなければならない。」（義務規定）とされており、「個人データ」の漏えい事案等が発生した場合
は、金融機関は、本人への通知等を行う必要があります。
一方、「個人情報（個人データ以外の個人情報）」及び「加工方法等情報」については、金融分野ガイドラ
イン第17条第3項で、「個人情報等の漏えい事案等の事故が発生した場合には、当該事案等の対象となった本人に速やかに当該事案等の事実関係等の通知等を行うこととする。」（努力義務）とされており、「個人情報」及び「加工方法等情報」の漏えい事案等が発生した場合には、本人への通知等を求められます。
なお、「個人データ」の漏えい数が多数であり、本人への通知が困難である場合には、公表によって本人への通知に代替するケースもあるものと思われます。また、例えば、漏えい事案等が発生した場合において、高度な暗号化処理等が施されている場合や即時に回収できた場合等、本人の権利利益が侵害されておらず、今後も権利利益の侵害の可能性がない又は極めて小さい場合等には、本人への通知を省略しうるケースもあるものと思われます。

18「個人データの漏えい等の事案が発生した場合等の対応について」（平成29年個人情報保護委員会告示第1号）
個人データの漏えい等について報告は努力義務、以下の場合には報告を要しない① 実質的に個人データ又は加工方法等情報が外部に漏えいしていないと判断される場合（以下は例示）
・ 漏えい等事案に係る個人データ又は加工方法等情報について高度な暗号化等の秘匿化がされている場合
・ 漏えい等事案に係る個人データ又は加工方法等情報を第三者に閲覧されないうちに全てを回収した場合
・ 漏えい等事案に係る個人データ又は加工方法等情報によって特定の個人を識別することが漏えい等事案を生じた事業者以外ではできない場合（ただし、漏えい等事案に係る個人データ又は加工方法等情報のみで、本人に被害が生じるおそれのある情報が漏えい等した場合を除く。）
・ 個人データ又は加工方法等情報の滅失又は毀損にとどまり、第三者が漏えい等事案に係る個人データ又は加工方法等情報を閲覧することが合理的に予測できない場合② FAX若しくはメールの誤送信、又は荷物の誤配等のうち軽微なものの場合(以下は例示）・ FAX若しくはメールの誤送信、又は荷物の誤配等のうち、宛名及び送信者名以外に個人データ又は加工方法等情報が含まれていない場合

信託274号 2018.5

改正個人情報保護法を踏まえた実務対応について

金融機関の個人情報の漏えいに係る公表事例（2017年6月〜2018年2月）― 135 ―

19

20

３．要配慮個人情報概念の導入への対応

― 136 ―改正個人情報保護法を踏まえた実務対応について(1) 要配慮個人情報と機微情報の関係

信託274号 2018.5

21※金融機関Q&A問Ⅲ-１（参考）機微（センシティブ）情報の対象範囲

22(2) 要配慮個人情報該当性 ※通則パブコメ
No

該当箇所

229

要配慮
2-3 個人情報

230

要配慮
2-3 個人情報

寄せられた御意見等
御意見等に対する考え方
２．個人情報の保護に関する法律についてのガイドライン（通則編）（案） 御指摘の事例は要配慮個人情報に該当しますが、政令第7条
に対する意見等第1号の、本人を目視し、又は撮影することにより、その外形
身体障害、知的障害、精神障害等の情報が要配慮個人情報に含まれる 上明らかな要配慮個人情報を取得する場合に該当するものととしているが、具体的な障害名を含まない情報（例えば「目が不自由」、 思われます。
「手が不自由」と記録すること）についても要配慮個人情報の対象となるか。実務上、目の不自由な顧客に対して代筆対応するケースがあり、その際、代筆の理由として「目が不自由」、「手が不自由」と行内的に記録を残しておくことがあるため、確認したい。
【一般社団法人全国銀行協会】
２．個人情報の保護に関する法律についてのガイドライン（通則編）（案） 身体障害者手帳を所持している事実は要配慮個人情報に該に対する意見等
当することから、本人確認資料として同手帳の写しを取り扱う「(7)身体障害、知的障害、精神障害（発達障害を含む。）その他の個人情 場合は、要配慮個人情報の取得と考えられます。なお、本人
報保護委員会規則で定める心身の機能の障害があること」において、例 確認資料として本人から提出があった場合は、本人の同意がえば、「①『身体障害者福祉法（昭和24年法律第283号）別表に掲げる身 あったものと考えられます。
体上の障害』があることを特定させる情報」として「都道府県知事、指定都市の長又は中核市の長から身体障害者手帳の交付を受け並びに所持していることが又は過去に所持していたこと」との記載があるが、犯罪収益移転防止法等で求められる本人確認資料で同手帳の写しを取り扱う場面において、同手帳の障害名や身体障害者等級表による級別などの情報をマスキング等すれば、具体的な障害内容が特定されないことから、要配慮個人情報の取得には該当しないと整理いただきたい。
【一般社団法人全国銀行協会】

信託274号 2018.5

改正個人情報保護法を踏まえた実務対応について― 137 ―

23(3) 要配慮個人情報かつ機微情報に該当する場合に求められる対応
・金融ガイドライン第５条 機微（センシティブ）情報
１ 金融分野における個人情報取扱事業者は、・・・（・・以下「機微（センシティブ）情報という。）については、次に掲げる場合を除くほか、取得、利用又は第三者提供を行わないこととする。
（略）⑦ 保険業その他金融分野の事業の適切な業務運営を確保する必要性から、本人の同意に基づき業
務遂行上必要な範囲で機微（センシティブ）情報を取得、利用又は第三者提供する場合

・個人情報保護法第１７条（適正な取得）
２ 個人情報保護取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。

・通則ガイドライン３－２－２（※２）「本人の同意」については、2-12（本人の同意）を参照のこと。なお、個人情報取扱事業者が要配
慮個人情報を書面又は口頭等により本人から適正に直接取得する場合は、本人が当該情報を提供したことをもって、当該個人情報保護取扱事業者が当該情報を取得することについて本人の同意があったものと解される。

24

実務指針(別添2)
金融分野における個人情報保護に関するガイドライン第5条に定める「機微（センシティブ）情報」（生体認証情報を含む。）の取扱いについて
金融分野における個人情報取扱事業者は、金融分野ガイドライン第5条に基づき、機微（センシティ
ブ）情報について、同条第1項各号に掲げられた場合を除き、取得、利用又は第三者提供を行わず、同条第2項に基づき、同条第1項各号の事由を逸脱した取得、利用又は第三者提供を行うことのない
よう、本実務指針Ⅰ〜Ⅲに規定する措置に加えて、7-1、7-1-1、7-1-2、7-1-3、7-1-4、7-1-5に規定する措置を実施することとする。また、機微（センシティブ）情報に該当する生体認証情報（略）の取扱いについては、別添2に規定する全ての措置を実施しなければならない。
7-1-1 金融分野における個人情報取扱事業者は、6-1に規定する取得・入力段階における取扱規程において、機微（センシティブ）情報の取扱いについては、6-1に規定する事項に加えて、次に掲げる事項を定めることとする。
①金融分野ガイドライン第5条第1項各号に掲げる場合のみによる取得②取得・入力を行う取扱者の必要最小限の限定③取得に際して本人同意が必要である場合における本人同意の取得及び本人への説明事項

― 138 ―改正個人情報保護法を踏まえた実務対応について

信託274号 2018.5

25

４．個人データの提供にかかる確認・記録義務への対応

26

確認・記録義務の内容①• 背景：ベネッセ事件を契機に、名簿業者の暗躍が認知された⇒個人情報が流通することについての国民の不安が増大⇒情報の流通経路を追跡できることが必要⇒確認・記録義務の制度化• 義務の内容：✓提供側及び受領側の双方に、個人データ授受に関する年月日、
相手方の氏名又は名称、当該個人データの内容等（詳細は次頁
及び次々頁のスライド参照）の記録義務・保存義務✓受領側には、更に、記録義務の前提として確認義務✓根拠条文：提供者側が２５条、受領者側が２６条

信託274号 2018.5

改正個人情報保護法を踏まえた実務対応について― 139 ―

27

確認・記録義務の内容②
提供者/記録の内容

提供
年月日

第三者の
氏名等

本人の
氏名等

個人
データ
の項目

本人同意を
得ている旨

オプトアウトによる
第三者提供

必要

必要

必要

必要

不要

本人の同意による
第三者提供

不要

必要

必要

必要

必要

28

確認・記録義務の内容③
受領者/確認記録の内容

提供 第三者の年月日 氏名等

取得の
経緯

本人の
氏名等

個人
データ
の項目

委員会
による
公表

本人の
同意

オプトアウトによる第三者提供に基づ
く受領

必要

必要

必要

必要

必要

必要

不要

本人の同意による第三者提供による
受領

不要

必要

必要

必要

必要

不要

必要

私人等からの第三者提供による受領

不要

必要

必要

必要

必要

不要

不要

― 140 ―改正個人情報保護法を踏まえた実務対応について

信託274号 2018.5

確認・記録義務の内容④29• 法律上の例外：- 法令に基づく場合（法２３条１項１号）- 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（法２３条１項２号）- 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（法２３条１項３号）- 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（法２３条１項４号）- 個人データの取扱いを委託することに伴い当該個人データが提供されている場合（法２３条５項１号）- 合併等の事業承継に伴い個人データが提供されている場合（法２３条５項２号）- 共同利用に係る個人データにおいて、その旨並びに共同して利用されている個人データの項目等につき、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき（法２３条５項３号）- 第三者が国の機関である場合（法２条５項１号）- 第三者が地方公共団体である場合（法２条５号２項）- 第三者が独立行政法人等である場合（法２条５号３号）- 第三者が地方独立行政法人である場合（法２条５項４号）

確認・記録義務の内容⑤• 解釈上の例外：- 「提供者」に不該当：本人による提供又は本人に代わっての提供であり、実質的に「提供者」による提供ではない- 「受領者」に不該当- 「提供」に不該当：不特定多数の者が取得可能な公開
情報の提供- その他の場合：「本人に代わって」又は「提供者が、最終的に本人に提供することを意図した上で、受領者を介在して第三者提供を行う」個人データの授受等30

信託274号 2018.5

改正個人情報保護法を踏まえた実務対応について― 141 ―

31

確認・記録義務に関する実務対応• 結論：
日常的な業務の中で、確認・記録義務の履行として、従前とは異なる書類を作成している事業者は少ないと思われる。
• 理由：✓確認・記録義務には、法律上の例外とガイドライン等による例外が存在する∵ 実務に不当に過大な影響が及ばないよう配慮✓従前用いていた書面による確認・記録義務の代替

32

５．外国にある第三者への提供への対応

― 142 ―改正個人情報保護法を踏まえた実務対応について

信託274号 2018.5

33

外国とのデータ授受に関する改正内容①• 改正法で新たに設けられたもの• 背景：(i) 経済のグローバル化や電子商取引が進展すると共に、国外に拠点を有しながら、日本向けに商品・役務の提供を行い、その際に、日本の居住者等に係る個人情報を取得する事業者が増加(ii) 高速通信網の整備と情報端末の処理速度の高速化(iii) 流通手段も多様化⇒ 大量の情報が瞬時に、国境を越えて流通⇒ 本来流通するべきではない情報も流通する可能性• 内容： (i) 域外適用、(ii) 外国執行当局との協力、(iii) 外国にある第三者への提供

34

外国とのデータ授受に関する改正内容②(i) 域外適用✓ 外国に拠点がある者についても、一部の規定を除き、国内事業者とほぼ同様の規律が及ぶ✓ もっとも、法の域外適用は、属地主義の原則の例外であるから、外国の事業者と日本との間に特別の関連性があることや法の適用を及ぼす必要性・合理性が認められる必要⇒ 法の域外適用の対象事業者は、「国内にある者に対する物品又は役務の提供に関連してその者を本人とする個人情報を取得した個人情報取扱事業者」（法75条）に限定（一問一答144頁）⇒ そのような「個人情報取扱事業者」とは、具体的には、外国に活動の拠点を有する事業者のうち、日本の居住者等国内にある者に対して物品やサービスの提供を行い、それに関連してその者を本人とする個人情報を取得した者をいう（一問一答142頁）

信託274号 2018.5

改正個人情報保護法を踏まえた実務対応について― 143 ―

35

外国とのデータ授受に関する改正内容③(iii) 外国にある第三者への提供✓原則：外国にある第三者に個人データを提供する場合には、事業者は、原則として、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない
（24条）
✓例外：
① 法23条１項各号に掲げる場合② 「外国」が「個人の権利利益を保護する上で我が国と同等の水準にあると認められる
個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるもの」である場合③ 「第三者」が「個人データの取扱いについてこの節（※）の規定により事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして個
人情報保護委員会規則で定める基準に適合する体制を整備している者」である場合※ 法「第４章 個人情報取扱事業者の義務等 第１節 個人情報取扱事業者の義務」を指す。以下同じ。

36

外国とのデータ授受に関する改正内容④
例外事由に関する具体的検討：① 法23条１項各号に掲げる場合⇒ 国内にある第三者への提供に際しても同意が不要な場合② 「外国」が「個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会
規則で定めるもの」である場合⇒ 現時点では、具体的な国について個人情報保護委員会による指定なし③ 「第三者」が「個人データの取扱いについてこの節の規定により事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者」である場合⇒ 実務上は③の例外事由該当性が重要ではないか

― 144 ―改正個人情報保護法を踏まえた実務対応について

信託274号 2018.5

37

外国とのデータ授受に関する改正内容⑤
例外事由に関する具体的検討：③ 「第三者」が「個人データの取扱いについてこの節の規定により事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者」である場合⇒ 規則11条では、この要件を具体化：
1項 「事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人
データの取扱いについて、適切かつ合理的な方法により、法第４章第１節の規定の趣旨に沿った措置の実施が確保されていること」✓ 「適切かつ合理的な方法」は、個々の事例ごとに判断されるべきものであるが、個人データの提供先である外国にある第三者が、我が国の事業者が講ずべきこととされている措置に相当する措置を継続的に講ずることを担保することができる方法である必要があるとされている✓ このような方法の具体例として、①外国にある事業者に個人データの取扱いを委託する場合には、提供元と提供先との間の契約書等、②同一企業グループの内部で個人情報を移転する場合には、提供元と提供先に共通して適用される内規・プライバシーポリシーが挙げられる。

38

外国とのデータ授受に関する改正内容⑥
例外事由に関する具体的検討：
2項 「個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること」✓ 外国ガイドライン３－３は、「個人情報の取扱いに係る国際的な枠組みに基づく認定」とは、国際機関等において合意された規律に基づき権限のある認証機関等が認定するものをいい、当該枠組みは、事業者が講ずべきこととされている措置に相当する措置を継続的に講ずることのできるものである必要がある」とする✓ 具体例として、外国にある第三者が、アジア太平洋経済協力（APEC）の越境プライバシー
ルール（CBPR）システムの認証を取得していることを挙げている✓ なお、外国ガイドライン３－１は、提供元の事業者がアジア太平洋経済協力会議（APEC）の越境プライバシールール（CBPR）システムの認証を取得しており、提供先の「外国にある第三者」が当該事業者に代わって個人情報を取り扱う者である場合には、当該事業者
がCBPRの認証の取得要件を満たすことも「適切かつ合理的な方法」の一つであると解されるとする

信託274号 2018.5

改正個人情報保護法を踏まえた実務対応について― 145 ―

39

外国にある第三者への提供に関する実務対応• 例外要件③に基づく整理 or• 原則どおり、 本人の同意を得て提供するという整理⇒ 個人情報の第三者提供に関する同意書を従来から用いている実務では、この同意書における同意の対象に国内にある第三者のみならず外国にある第三者を追加する方法も選択されているようである⇒ なお、この「外国」については、ある程度明確にする必要があり、ＱＡ９－２及び外国パブコメ715では、この方法の具体例として、①提供先の国名又は地域名を個別に示す方法（例：米国）、②実質的に本人から見て提供先の国名を特定できる方法（例：本人がサービスを受ける際に実質的に本人自身が個人データの提供先が所在する国等を決めている場合）、③国名を特定する代わりに外国にある第三者に提供する場面を具体的に特定する方法が挙げられている

40

６．外部委託の見直し

― 146 ―改正個人情報保護法を踏まえた実務対応について

信託274号 2018.5

41

外部委託の見直し①• 個人情報保護法の条文自体に変更はない• 今般の改正以前に、金融ガイドラインや安全管理措置等についての実務指針が改定され、金融機関等においては、その際に、委託先管理の厳格化等への対応が必要であった• 今般の改正において、金融ガイドライン等も改定され、通則ガイドラ
インと共通する部分については記載を省略することとしたため、今後は、金融ガイドライン等のみならず、通則ガイドライン等の４種の基本ガイドラインを参照する必要があるため注意を要する• 金融ガイドラインの改定に対応済みの事業者にとっては、今般の改正のために、新たな実務対応を迫られることは多くないように思われる42

外部委託の見直し②「委託を受けた者に対して必要かつ適切な監督を行っていない事例」（通則ガイドライン3-3-4）
事例1） 個人データの安全管理措置の状況を契約締結時及びそれ以後も適宜把握せず外部の事業者に委託した結果、委託先が個人データを漏えいした場合
事例2） 個人データの取扱いに関して必要な安全管理措置の内容を委託先に指示しなかった結果、委託先が個人データを漏えいした場合
事例3） 再委託の条件に関する指示を委託先に行わず、かつ委託先の個人データの取扱状況の確認を怠り、委託先が個人データの処理を再委託した結果、当該再委託先が個人データを漏えいした場合
事例4） 契約の中に、委託元は委託先による再委託の実施状況を把握することが盛り込まれているにもかかわらず、委託先に対して再委託に関する報告を求めるな
どの必要な措置を行わず、委託元の認知しない再委託が行われた結果、当該再委託先が個人データを漏えいした場合

信託274号 2018.5

改正個人情報保護法を踏まえた実務対応について― 147 ―

43

外部委託の見直し③
外部事業者へ個人データの取扱いを委託したといえるかについてのQ＆A（QA5-26。なお、QA5-33～35も参照）（Ｑ5-26）配送事業者、通信事業者等の外部事業者を利用して、個人データを含むものを送る場合は、当該外部事業者に対して当該個人データの取扱いを委託（法第23条第５項第１号）しているものと考えられますか。
（Ａ5-26）一般的に、外部事業者を利用して、個人情報データベース等に含まれる相手の氏名、住所等宛に荷物等を送付する行為は、委託に該当すると解されます。
ただし、配送事業者を利用する場合、通常、当該配送事業者は配送を依頼された中身の詳細については関
知しないことから、当該配送事業者との間で特に中身の個人データの取扱いについて合意があった場合等を除き、当該個人データに関しては取扱いの委託をしているものではないものと解されます。
また、通信事業者による通信手段を利用する場合も、当該通信事業者は、通常、通信手段を提供しているにすぎず、通信を依頼された中身の詳細について関知するものでないことから、同様に通信の対象である個人
データについてはその取扱いを委託しているものではないものと解されます。
なお、いずれの場合も、外部事業者を利用する個人情報取扱事業者には、安全管理措置を講ずる義務が課せられているため、中身の個人データが漏えい等しないよう、適切な外部事業者の選択、安全な配送方法の指定等の措置を講ずる必要があります。

44

７．今後の課題・見直しのポイント等

― 148 ―改正個人情報保護法を踏まえた実務対応について

信託274号 2018.5

45

今後の課題・見直しのポイント①• 今般の改正法の施行によって、金融機関等の事業者の実務において、改正前に不安視されていたような作業負担が大幅に増えるといった影響は、現時点においては、特段生じていないものと思われる• もっとも、今後、更なる検討や対応が必要となるものとして、以下の２つが考えられる(i) 要配慮個人情報(ii) 匿名加工情報46

今後の課題・見直しのポイント②
今後、更なる検討が必要となるもの(i) 要配慮個人情報✓ 現在の実務は保守的な運用がなされており、いわば「過剰反応」となっている部分があるようにも思われる⇒法令上求められている水準が事例の積み重ねとともにより具体的に明らかになっていくことにより、現在の実務上の負担が適切な水準となるように、調整が続けられるのではないか⇒科学技術の更なる発展とともに、新たな問題も生じうる例）通話録音、防犯カメラ画像

信託274号 2018.5

改正個人情報保護法を踏まえた実務対応について― 149 ―

47

今後の課題・見直しのポイント③
今後、対応が必要となるもの（ｉｉ） 匿名加工情報✓ 改正法の目玉の一つでありながら、改正法施行後約９ヶ月経っても、まだその活用事例は多くない∵ ①加工基準に曖昧さが残るため、どの程度加工すれば匿名
加工情報として認められるのかが分かりにくい。②他方で、保守的に匿名化の程度を高度化すればするほど、利活用するためのデータとしての価値が低くなるというジレンマがある。
✓ 金融機関では、イオン銀行が、他に先駆けて匿名加工情報を作成し公表✓ JIPDECも匿名加工情報の事例集を作成し公表（https://www.jipdec.or.jp/protection_org/u71kba00000001hh-att/AOP_006.pdf）

48

今後の課題・見直しのポイント④
イオン銀行の匿名加工情報の作成例「性別、年代（5歳刻み）、居住する都道府県、郵便番号、職種、業種、世帯構成に関する情報、ご契約カード種類、店番号、口座開設経過月数、預金等の当行各種金融商
品の取引状況および審査結果、現在および次回のポイン
トクラブステージ」という項目を設定（https://www.aeonbank.co.jp/privacy/rule/tokumei.html）

― 150 ―改正個人情報保護法を踏まえた実務対応について

信託274号 2018.5

49

今後の課題・見直しのポイント⑤
今後の見直しのポイント
大切なことは、個人情報の重要性について十分に理解して、今後新たに生じる事態に法令遵守の観点から的確に対応しつつ、他方で、マーケティングや商品開発等のため、個人情報が内包する有益な特徴を最大限に生かすこと⇒ そのためには、プロアクティブに情報収集を行い、個人情報保護法の規制の外延を分析するとともに、新
たな時代におけるデータ活用の方法を探求し、これを適時かつ的確に実行することが必要ではないか

50

ご静聴いただき、ありがとうございました。