本パンフレットは、財団法人インターネット協会が、経済産業省
中小企業庁からの委託事業として制作したものです。

目次

1. 個人情報保護法の基礎知識 ･････････････････････2
2. これだけは知っておきたい、個人情報保護 ･･････26
3. 個人情報の保護に関する法律 ･･････････････････36

個人情報を守るために。
そして、適正に個人情報を取り扱うために。
これだけは知っておきたい、個人情報保護のポイント。
コンピュータに蓄積された個人情報の大量漏えい事件の多発。ネットを介した個人情報の無断収集やそれらの公開による人権侵害など。ITの進化にともない、個人情報を取り巻く状況は、急速に変化しています。
平成15（2003）年5月に「個人情報の保護に関する法律」が公布され、平成17（2005）年4月より本格的に施行されることになりました。これにともない個人情報を取り扱う事業者には、遵守すべき義務が課せられることになります。
個人情報を適正に取り扱うためのポイントについて、企業として、あるいは個人として理解し、対策を講じることが、ますます重要になってきています。
自分の、あるいは他人の個人情報を守るために。そして、適正に個人情報を取り扱うために。これだけは知っておきたい個人情報保護のポイントをまとめました。ぜひ、
ご活用ください。

1

個人情報保護法の基礎知識◆個人情報保護法制の整備
個人情報の保護を図るため、民間部門におけ

情報取扱事業者が負うべき義務などを定めた一般法の部分（第4章から第6章まで）から成り立っています。

る個人情報の適正な取り扱いに関するルールな

前者の規定部分は公布日に即日施行されましどを定めた個人情報保護法が、
平成15（2003）た。後者の規定部分も平成17（2005）年4

年5月30日に公布されました。

月1日から施行される予定です。この法律を具

この法律の冒頭に置かれた1条に謳われてい体化する政令（個人情報保護法施行令）も平成

るとおり、インターネットの普及に代表される

15（2003）年12月に制定されており、さような「高度情報通信社会の進展に伴い個人情らに政府の基本方針を踏まえて、各省庁が告示報の利用が著しく拡大されていること」を、制としてガイドラインを公表する方法によって、定の背景としています。

その内容がより具体化される予定です。

全6章59条及び附則によって構成され、公また、この法律では、既存の民間事業者団体

的部門・民間部門に共通した個人情報の保護になどが、主務大臣から「認定個人情報保護団体」

関する基本理念などを定めた基本法の部分（第として認定を受けて制定する「個人情報保護指1章から第3章まで）、及び、民間部門の個人

針」が、重要な指標となるべく位置づけられて【図表1】個人情報保護法への対応についての具体化ステップ

2

います。
ところで、この法律のうち一般法部分は、業種を問わず、民間企業のほぼ全般を対象としています。

というケースを例にとって説明してみましょう。
受診した医療機関が私立病院の場合には個人情報保護法、国立病院（国立がんセンター､国

これに対し、公的部門を対象とする一般法と立循環器病センターなど）の場合には行政機関

して、国の行政機関に適用される行政機関個人

個人情報保護法、最近の独立行政法人化等の波

情報保護法、独立行政法人等に適用される独立によって従来は国立病院であったものが独立行

行政法人等個人情報保護法があります。前者は政法人等に移行した病院（旧国立大学医学部付

行政機関保有個人情報保護法が今回同時に全面

属病院〔国立大学法人〕など）の場合には独立改正されたものです。後者は、最近になって独行政法人等個人情報保護法、そして地方公共団

立行政法人等の制度が設けられたことに応え体が運営する病院（都道府県立病院・市立病院て、新たに今回制定された法律です。

など）の場合には当該地方公共団体が制定した

また、地方公共団体については、当該地方公

個人情報保護条例の適用対象となります。

共団体自身が定める個人情報保護条例が適用さ以下では、民間企業にとってかかわりが深く、れます。したがって、個人情報を取り扱う部門

コンプライアンス（法令遵守）の見地から、全ごとに、適用される一般法が異なることに注意

面施行までに対応が不可欠な個人情報保護法をする必要があります。

中心に、できるだけ分かりやすく解説を加えま個人が医療機関に受診した場合に、患者としす。

て自分の診療記録がどの法律で保護されるのか3

【図表2】法整備の前後における比較◆法整備の背景
個人情報の保護を目的とする今回の法整備が行われた背景として、次のような要因が指摘されています。

されて損害賠償請求を受けたり、顧客の信用を喪失するなど、有形・無形の損失をこうむります。
さらに、コンピュータに蓄積された大量の個

第1に、現代社会においてコンピュータを使人情報が、不正に漏えいしたり、改ざん・悪用

った情報処理が著しい普及を遂げているというされるといった事態に対する危険性も自覚され点を、指摘することができます。

ています。実際に、わが国でもコンピュータか

すなわち、今日ではコンピュータによる大ら数万人もしくは数十万人規模の個人情報が大量・迅速な情報処理が本格化し、預金情報・ク

量漏えいするという事件が繰り返し発生しておレジットカード決済情報などの信用情報、住り、そのなかには裁判所に持ち込まれたケース

所・生年月日・学歴などの情報、個人の病歴なも少なくありません。

どといった各種の個人情報が、本人も知らない

プライバシーの権利は、もともと米国におい

間に収集され、コンピュータなどの情報機器のて一部マスメディアとの関係で「ひとりで放っ中に大量に蓄積される機会が増加しています。

ておいてもらう権利」として19世紀末に誕生

そうしたなかで、本人の予想しなかった目的しました。これをマスメディアプライバシーとに個人情報が使用されるという事態も発生して呼ぶことがあります。わが国でも、プライバシ

います。

ーの権利を明文で規定した法律は現在でも存在

また、不正確な内容の個人情報が利用され、していませんが、さまざまな判例の蓄積によっ

これによって本人が類似の名前の破産者と人違て認められてきており、現在では最高裁判所もいされて金融機関から大切な融資を受けられなプライバシーの権利を承認するに至っていま

いなど、深刻な被害を受けるという事件も発生す。

しています。企業の側から見ても、こうした事4件が発生することにより、不本意な訴訟を提起

ところが、その後における情報化社会の進展

を受けて、前述のような懸念が生じたことから、の個人情報保護法制の確立を求めましたので、米国や日本ではプライバシーの権利を自己情報

わが国でも制度的な対応が求められました。わコントロール権として把握する見解が提唱さが国には民間部門を対象とする個人情報保護法

れ、また、そうした動向に影響を受けて、欧州制が存在せず、自主的な取り組みに委ねられて諸国でも個人情報保護法制が普及しはじめましいただけでしたので、EU指令への対応が必要た。これをコンピュータプライバシーという言となった結果、今回の法整備が行われた次第で葉で呼ぶことができます。こうした動向を受けす。このように、OECDプライバシーガイドて、昭和55（1980）年にはOECD（経済協ライン及びEU指令に対応する必要性が存在し力開発機構）が「プライバシー保護と個人デーたことを、第2の要因として指摘することがでタの流通についてのガイドラインに関する理事きます。

会勧告」を採択し、その付属文書としてところで、EU指令が制定された時期から、「OECDプライバシーガイドライン」を公表しインターネットが急速に普及しはじめました。

ました。さらに平成7（1995）年には欧州議

わが国でも、コンピュータから漏えいした大会及び理事会が「個人データ保護指令」（EU指量の個人情報が、名簿業者のホームページ上で令）を採択しています。

販売されたり、無関係なウェブサイトに掲載さわが国ではOECDプライバシーガイドライれるという事件や、セキュリティホールなどがンに対応するため行政機関保有個人情報保護法

原因でウェブサイトから個人情報が大量漏えいが制定されましたが、EU指令は、個人データするという事件が続発し、マスメディアなどでをEU域外に輸出するための条件として、民間も大きく取り上げられています。そのなかには部門を対象とするものも含めて、EU域内並み

漏えい元ウェブサイトを開設している企業の管5理不備によりプライバシーの権利を侵害された

このようにインターネットの不適正な利用にとして、被害者から集団訴訟を起こされたり、よって、大量漏えい事件が多発していることを大量漏えいした個人情報がファイル交換ソフト

背景として、総務省が実施した『2003年版

によりネット上を流通していることが原因で、通信利用動向調査』によれば、インターネット

本人からプロバイダ責任制限法に基づきプロバ

利用経験者の過半数が、インターネットを利用

イダ宛に発信者情報の開示を請求する訴訟が提する際、「プライバシーの保護」について不起されるというケースも登場しています。

安・不満などを感じています。こうした状況を、

また、セキュリティが不十分であることが原因でコンピュータ・ウイルスに感染する事例が

6

最近ではオンラインプライバシーという言葉で呼ぶ機会も増えています。

頻発していますが、こうしたウイルスのなかに前述した背景の下で、わが国ではこのようなは、感染者がパソコン内に保管している表計算

個人情報の大量漏えい事件が相次いで発生してファイルなどを勝手に添付したメールを、多くいたこともあり、平成11（1999）年の住民の人に向けて自動的に送り付けるものも登場し基本台帳法改正の際に附則で個人情報保護法制ており、送り付けられたファイルに入っていたの整備が謳われることになったことを契機に、個人情報が、これによって第三者に漏えいする

同年から法整備に向けた検討作業が進められ、というケースも少なくありません。

今回の立法化に至りました。

◆個人情報保護法の目的と概要＊個人情報保護法の目的を今後発生させた場合には、従来のプライバシ
ー権侵害による責任に加えて、新たに個人情報保護法違反の責任という二重の責任を問われる

この法律の目的は、個人情報の有用性に配慮ことになりました。前者は本人（個人情報によしつつ「個人の権利利益」を保護することにあって識別される特定の個人）に対する損害賠償ります（1条）。

を中心とする責任であり、これから説明するよ

この法律は、わが国の判例で承認されてきたプライバシーの権利、もしくはその一部として

うに、後者は主として監督官庁から行政処分を受けるという内容の責任です。

提唱されてきた自己情報コントロール権と、深次に、「個人の権利利益」を保護する際に、い関連があるものであることは前述しました。

「個人情報の有用性に配慮」すべきものである

しかし、それらの権利概念は必ずしも確立しことも本条に明記されています。これは、個人たものとは言えず、その内容等の点で不明確さ

情報の利用が企業にとって有用であるだけでなが残されていることも事実です。これに加えて、

く、現代では自宅まで宅配便で商品を届けてもそれらの権利概念を持ち出すことなく新しい立

らうことができたり、高齢者が自宅で介護サー法によって個人情報の保護を図ることも十分にビスを受けることができるようになり、利便性可能です。

が図られていることなどにも示されているよう

このような見地から、この法律では、それらの権利概念そのものを法文に明記することなに、本人である個人の側にとっても、有用性が存在していることを表しています。

く、「個人の権利利益」の保護という表現が用いられました。それに示されているとおり、こ＊個人情報保護法の概要の法律は、プライバシーの権利と別個独立の法

1条は、前述の目的を達するために、個人情制度です。したがって、企業が漏えい事故など

報の適正な取扱いに関し、①基本理念を定める

出典・岡村久道『個人情報保護法入門』（商事法務、2003/6）【図表3】個人情報保護法の構成（全6章59条及び附則）

7

ほか、②政府による基本方針の作成その他の個
人情報の保護に関する施策の基本となる事項を定め、③国及び地方公共団体の責務等を明らか

以下では、民間企業にとって最も影響の大きい第4章以下を中心に説明を行います。
その概要は、次の図表に記載したとおりです。

にするとともに、④個人情報を取り扱う事業者の遵守すべき義務等を定めるものとしています。
上記①は、この法律の第1章（1条から3条まで）の中で、②は第3章（7条から14条ま＊「個人情報」とは何かで）、③は第2章（4条から6条まで）、④は第

この法律には、さまざまな用語が登場します。

4章（15条から49条まで）によって、それぞ

しかし、第4章に基づき、どのような民間企れ規定されています。また、第5章（50条か業が、どのような具体的義務を負うのかというら55条まで）は雑則、第6章（56条から59点に限れば、「『個人情報取扱事業者』が『個人条まで）は罰則を規定しています。

情報』について一定の義務を負う」という構造

第1章では、前述の目的に加えて、基本理念

が基本となっています。後述のとおり、取り扱として「個人情報は、個人の人格尊重の理念のう対象が、「個人情報」のうち「個人データ」

下に慎重に取り扱われるべきものであることにと呼ばれるものである場合には義務の内容が加かんがみ、その適正な取扱いが図られなければ重され、「個人データ」のうち「保有個人デー

ならない。」（3条）と謳われているほか、後述

タ」と呼ばれるものである場合には、さらにいのように定義規定（2条）が置かれています。

っそう義務の内容が加重されるという構造にな

第2章では、この法律の趣旨にのっとり、個っています。

人情報の適正な取扱いを確保するために必要な

まず、「個人情報」とは、生存する個人を識施策を策定して実施する責務を国及び地方公共別することが可能な情報を指すと定義されてい団体が有するものとされています。国の場合はます（2条1項）。したがって、第1に、「特定「総合的に」、地方公共団体の場合は「その地方の株式会社における昨年度の売上高」というよ

公共団体の区域の特性に応じて」、それぞれ施

うな、法人に関する情報は含まれません。但し、策を策定・実施することなどを規定していま

法人の情報であっても同時に役員などの情報がす。

含まれているケースがあり、その限りで「個人第3章では、政府は個人情報の保護に関する

8◆概念としての「個人情報」と「個人情報取扱事業者」

情報」に該当する場合があります。

施策の総合的かつ一体的な推進を図るため、個第2に、個人の情報のうち生存者の情報に明人情報の保護に関する基本方針を定めるべきこ

文で限定されています。そのため死者の情報はと、国の施策について規定しており、①地方公除外されます。しかし、一見すると死者の情報

共団体等への支援（8条）、②苦情処理のためのように見えても、なお生存する遺族など生存の措置（9条）、③個人情報取扱事業者による者の情報に該当する場合があります。

個人情報の適正な取扱いを確保するための措置

第3に、特定の個人を識別しうることが要件（10条）を、それぞれ講じるものとするものとされています。したがって、「昨年度末におとされています。「地方公共団体の施策」につける◯◯県内の成人男子住民数」といった、個いての規定であり、①保有する個人情報の保護

人識別可能性に欠けた情報は除外されます。し（11条）、②区域内の事業者等への支援（12かし、他の情報と容易にマッチングができて識条）、③苦情の処理のあっせん等（13条）が別可能になる場合には「個人情報」となりうる

規定されています。

ことが、明文で規定されています。例えば、イ出典・岡村久道『個人情報保護法入門』（商事法務、2003/6）【図表4】個人情報保護法における保護対象

ンターネット接続プロバイダは、課金などの必はありません。しかし、当該インターネット接

要から、接続会員の通信ログ（履歴）を記録・

続プロバイダは、別途保有している会員ID情保管していることが普通です。通信ログ自体に報と容易にマッチングができ、これによって特は、会員IDが記録されることはあっても、会

定の個人を識別することが可能になります。し員の個人名が記録されているわけではありませたがって、当該インターネット接続プロバイダんので、一般の人々にとっては「個人情報」でにとって、通信ログは「個人情報」に該当しま【図表5】「個人情報取扱事業者」の義務に関する「積み上げ構造」

9

す。

遙かに広いものであることに注意する必要があ以上の要件を満たす限り「個人情報」に該当ります。つまり、取引先担当者から受け取ったすることとなります。したがって、コンピュー

名刺一枚であっても、この法律にいう個人情報タ処理される電子データだけでなく、非コンピに該当するのです。したがって、この法律につュータ処理情報である紙の情報などについて

いて「従来どおりプライバシーを侵さなければも、これに含まれます。また、公知の情報、イいいと考えれば足りる」という程度に軽く考え

ンハウス情報（内部管理情報）、評価情報、個ている人がいるとすれば、それは大きな誤解で人事業主の営んでいる事業に関する情報などにす。

ついても、この定義規定から除外されていませんので、「個人情報」に含まれることになりま10＊「個人情報取扱事業者」とは何かす。この法律への対応に際し、とかく営業関連

この法律によって具体的義務を負うべき「個の情報ばかりに着目されがちですが、社内の人

人情報取扱事業者」とは、主として民間事業者

事情報（インハウス情報）も、人事考課（評価のうち「個人情報データベース等を事業の用に情報）を含めて、この法律にいう個人情報に該供している者」をいうと定義されています（2当することに留意すべきです。

条3項）。

一般に判例で認められてきたプライバシーの義務を負うべき者の範囲を「個人情報取扱事

概念は、①私事性、②非公知性、③一般人から業者」に限定した趣旨は、個人情報の取扱いに見て公開を欲しない事柄であることが要件とさ伴い個人の権利利益が侵害されることの危険性れていますが、個人情報の概念は、これらの要の程度などを考慮して、必要最小限度の規律に件を要しない点で、プライバシーの概念よりもとどめるという趣旨に基づいています。

出典・岡村久道『個人情報保護法入門』（商事法務、2003/6）【図表6】個人情報とプライバシーの権利

ここに「個人情報データベース等」とは、特ところで、「その取り扱う個人情報の量及び定の個人情報をコンピュータで検索できるよう利用方法からみて個人の権利利益を害するおそに体系的に構成したもの（いわゆる電子データれが少ないものとして政令で定める者」は、ベース）に加えて（同条2項1号）、紙情報で「個人情報取扱事業者」から除外されます（2

あっても、五十音順に整理されたカルテのよう

条3項5号）。施行令2条は、「個人情報の量」に特定の個人情報を容易に検索可能なように体との関係で、「その事業の用に供する個人情報系的に構成したものとして政令で定めるものを

データベース等を構成する個人情報によって識指しています（同項2号）。

別される特定の個人の数……の合計が過去6月2号を受けて、個人情報の保護に関する法律以内のいずれの日においても5000を超えな

施行令1条は、これに含まれる個人情報を一定い者」と規定しています。したがって、データの規則に従って整理することにより特定の個人ベース等のレコード数にかかわらず、合計情報を容易に検索することができるように体系

5000人分以下か否かを基準に決せられます。

的に構成した情報の集合物であって、目次、索また、同条は主として「利用方法」との関係

引その他検索を容易にするためのものを有するで、5000人分の算定にあたり、「当該個人情ものをいうと規定しています。したがって、書報データベース等の全部又は一部が他人の作成籍の形態で市販されている新聞記事縮刷版のよに係る個人情報データベース等で個人情報としうに、多くの個人情報が含まれるものであってて氏名又は住所若しくは居所（地図上又は電子も個人情報を一定の規則に従って整理されてい計算機の映像面上において住所又は居所の所在ないものなどは2号に該当しません。

の場所を示す表示を含む。）若しくは電話番号

11

のみが含まれる場合で、これを編集・加工することなくその事業の用に供するときは、当該個◆「個人情報」に関する義務

人情報データベース等の全部又は一部を構成す＊義務の概要る個人情報によって識別されます特定の個人の「個人情報取扱事業者」が「個人情報」の取数を除く。」と規定しています。したがって、扱いについて負うべき具体的な義務の概要は、五十音別電話帳や、個人を特定できる内容のカ

あらかじめ利用目的をできる限り特定しておーナビゲーションシステムを、そのまま使用しき、「個人情報」を取得する際にこれを本人にている限度では、これらを5000人分の算定

通知・公表などした上、その利用目的の範囲内に加える必要はありません。

でのみ「個人情報」を取り扱うことができるとコンピュータが各社の業務全般に広く使われている現在、このような限定があっても、一定いうものです。さらに取得方法は適正なものでなければなりません。

以上の規模の企業であれば、自社が個人情報取扱事業者に該当することは、否定できない事実です。したがって、大規模な企業はもとより、ほとんどの中小企業も、この法律にいう「個人情報取扱事業者」に該当することになるものと思われます。

＊利用目的の特定
まず、あらかじめ利用目的をできる限り特定しておかなければなりません（15条1項）。
ここに「できる限り特定」とは、どの程度のものを要するのでしょうか。取り扱われるべき
個人情報の性質、事業の内容などによって異なりますが、個々具体的な内容を詳細に網羅する必要はない半面、抽象的であっても個々の取扱

12出典・岡村久道『個人情報保護法入門』（商事法務、2003/6）【図表7】利用目的の通知・公表等

いが利用目的の達成に必要な範囲内かどうかを悩むよりも、どのような利用目的が将来的に想実際に判断できる程度の明確性が必要であると定されるのかについて、「個人情報」の取得に考えられています。

先立ち自社内部の関係部署間で十分に検討して特定した利用目的を事後的に変更することおくことが望ましいでしょう。

は、「変更前の利用目的と相当の関連性を有す
ると合理的に認められる範囲」内である場合に＊利用目的による制限

限って認められています（同条2項）。後にな

第2に、こうして特定された利用目的の達成って「個人情報取扱事業者」が無制限に変更でに必要な範囲内でのみ、「個人情報」を取り扱きるとすれば、せっかく利用目的を特定させたうことができます（16条1項）。前述のとおり意味がなくなりますので、こうした変更に関す

現在では大量に収集され・保管された個人情報る制限が設けられています。

が、本人（個人情報によって識別される特定の変更可能な範囲に属するかどうかについて

個人）の予期しない目的で個人情報が取扱われは、社会通念に照らし、当初の利用目的からみる機会が増えていることを背景に、それによって一般に想定が困難でない程度の関連性が合理て本人の権利利益が損なわれることを未然に防的に認められるかどうかによって決せられま

止しようとする趣旨です。したがって、例えばす。

新製品開発の目的でユーザーから取得したアン

しかし、変更可能な範囲かどうか、実際にはケートの住所・氏名データを使って、当該ユー判断が困難な場合が多いことが予想されます。

ザーに対し自社製品販促用のダイレクトメール

したがって、事後になって変更できるかどうか（DM）を送り付けるようなことは許されませ13

【図表8】目的外の取扱いが可能な場合（第16条第3項）
事

16条3項の該当号数

由

具体例

1号

法令に基づく場合

令状捜査を受ける場合

2号

人の生命、身体又は財産の保護に必要な場合で、本人の同意取得が困難なとき

急病の場合

3号

公衆衛生向上又は児童の健全な育成推進に特に必要な場合で、本人の同意取得が困難なとき

疫学調査の場合

国の機関、地方公共団体又はその受託者の法令上の事
務遂行に協力が必要な場合であって、本人の同意取得が当該事務遂行に支障を及ぼすおそれがあるとき税務署の反面調査に協力する場合4号ん。もしも、こうしたDMの発送を予定していここに「通知」とは、通信手段を用いた方法

るのであれば、事前に利用目的に追加しておくとして、文書の郵送、電話、電子メールなどに必要があります。

よるほか、直接対面による方法も含まれ、また、変更可能な範囲を越えて目的外の取扱いを行「公表」は、インターネット上での公表、パン

うためには、改めて事前に本人の同意を得る必

フレットの配布、事業所の窓口等への書面の掲要がありますが、同条3項がその例外を定めて示、備付け等が含まれます。

います。

さらに、本人から書面や電子媒体で「個人情具体的には、①法令に基づく場合（例：令状報」を直接取得する場合には、あらかじめ利用

捜査を受ける場合）、②人の生命、身体又は財目的を本人に明示しておく必要があります（同産の保護に必要な場合で、本人の同意取得が困条2項）。このような場合には、「個人情報取扱

難なとき（例：急病の場合）、③公衆衛生向上事業者」が直接本人に通知する機会が存在して又は児童の健全な育成推進に特に必要な場合

おり、本人がその際に提供するかどうかを適切で、本人の同意取得が困難なとき（例：疫学調に判断するためにも、確実にその本人に伝達す査の場合）、④国の機関、地方公共団体又はそることが適切であるという理由に基づいていまの受託者の法令上の事務遂行に協力が必要な場

す。この場合、あらかじめ明示する必要があり合であって、本人の同意取得が当該事務遂行にますので、書面を受け取った後で、利用目的を支障を及ぼすおそれがあるとき（例：税務署の記載したパンフレットを交付するような場合に反面調査に協力する場合）には、本人の同意がは、この要件を満たしません。

なくても目的外利用が許されます。

本項の「書面」には、「電子的方式、磁気的方式その他人の知覚によっては認識することが＊利用目的の通知・公表等

14

できない方式で作られる記録を含む」ことが明第3に、個人情報を取得する際には、不正の記されています。最近では、インターネットを手段による取得が許されないことは当然ですが活用した電子商取引などの進展に伴い、ウェブ（17条）、あらかじめ特定しておいた利用目的

サイトの画面上で顧客に「個人情報」を入力しを、本人に対し通知・公表しなければなりませてもらい、画面上の送信ボタンを押すという方ん（18条1項）。これによって本人に対し、自法によって「個人情報」を受け取るケースが増己の「個人情報」に関する利用目的を知る機会えています。このような場合には、入力の際にが与えられます。

利用目的を閲覧することができるように画面表

出典・岡村久道『個人情報保護法入門』（商事法務、2003/6）【図表9】利用目的の通知・公表等示を行うなど、明示するための措置が必要とな

ところで、企業の立場からすると、事後にトります。顧客から電子メールで「個人情報」をラブルが発生した場合に備えて、きちんと明示

受け取るような場合も同様です。

したことについての証拠を残しておく必要があ

なお、15条2項によって利用目的の変更がります。そのため、受け取るべき書面に利用目認められる場合には、変更後の利用目的を本人的を明記しておくなどの工夫を講じておくことに通知・公表する必要があります（18条3項）。

が得策です。具体的には、アンケート用紙に記【図表10】利用目的の通知、公表等が不要な場合（18条4項）
18条4項の該当号数

事

由

具体例

それによって本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

病院での検査目的の通知がガンなど
重病名の実質的な告知となり本人に重大な精神的苦痛を与える場合

2号

それによって当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合開発中の新製品に関する企業秘密が明らかとなる場合

3号

国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき捜査機関から、捜査協力を求められた関係者が、内偵捜査中の被疑者情報を取得する場合

4号取得の状況からみて利用目的が明らかであると認められる場合

宅配便事業者が顧客に宅配便送り状の記載を求める場合

1号

15

入してもらう場合には、当該アンケート用紙に利用目的を印刷しておくという方法が考えられ◆「個人データ」に関する義務ます。メーカーが製品購入者から製品に同梱し＊「個人データ」とは何かたユーザー登録葉書を返送してもらうような場

この法律では、取り扱う個人情報が「個人デ合は、登録の利用目的に関する記載を取扱説明ータ」に該当する場合、さらに多くの義務が個書に明記したり、説明文などを製品登録葉書に人情報取扱事業者に課せられています。

同封するなどの方法をとるとよいでしょう。雑ここに「個人データ」とは、前述の「個人情誌に広告を掲載するとともに綴じ込みのカタロ

報データベース等」を構成する個人情報をいい

グ請求用葉書を投函してもらう場合には、当該ます（2条3項）。したがって、「個人データ」

広告ページに利用目的を明記するというようなとは、「個人情報」のうちの一部であることに方法が考えられます。これらの書面を後日に備なります。「個人データ」という言葉を聞いて、えて保管しておくことになります。ウェブペー

電子データだけを思い浮かべる人がいるかもしジに利用目的を掲載するような場合には、事後れませんが、「個人情報データベース等」には、の更新によって従来のウェブページ・データが特定の個人情報を容易に検索可能なように体系消失してしまわないように、更新の際に従前の的に構成した紙の情報も含まれるものであるこ

データを別の記憶媒体にコピーして保存しておとは前述しました。したがって、「個人データ」

くなどの方法を講じておくことが望ましい対応にも紙の情報が含まれる場合があることに注意方法です。

する必要があります。

以上のような利用目的の通知・公表などを行う義務には、例外が設けられており、①それに＊データ内容の正確性の確保

よって本人又は第三者の生命、身体、財産その「個人データ」に関する義務の内容として、他の権利利益を害するおそれがある場合（例：

第1に、利用目的達成に必要な範囲内で、正確病院での検査目的の通知がガンなど重病名の実

かつ最新の内容に保つよう努めなければなりま

質的な告知となり本人に重大な精神的苦痛を与せん（19条）。わが国でも過去に、信用事故

える場合）、②当該個人情報取扱事業者の権利を起こした別人と取り間違えられて不利益を受又は正当な利益を害するおそれがある場合けたことを理由に損害賠償請求を認めた判例が（例：開発中の新製品に関する営業秘密が明らありますが、本条は本人がこのような不利益をかとなる場合）、③国の機関又は地方公共団体

被るような事態が発生することを防止するため

が法令の定める事務を遂行することに対して協に規定されたものです。努力義務にとどめられ力する必要がある場合であって、利用目的を本た理由は、何が正確かつ最新の内容なのか、個人に通知し、又は公表することにより当該事務人情報取扱事業者にとって確認する手段や方法の遂行に支障を及ぼすおそれがあるとき（例：が乏しいので、判断が困難な場合が多いという捜査機関から、捜査協力を求められた関係者が、事実に基づいています。しかし、本条は努力義

内偵捜査中の被疑者情報を取得する場合）、④

務にすぎなくても、前述のとおり同時にプライ取得の状況からみて利用目的が明らかであるとバシー権侵害として本人から責任を追及される認められる場合（例：宅配便事業者が顧客に宅場合があることに注意しなければなりません。

配便送り状の記載を求める場合）には不要です

さらに、この法律自体でも、内容に誤りがある（同条4項）。

ときは、一定の場合に本人の求めに応じて訂正を行う義務が規定されています（この義務については後述します）。

16

＊安全管理措置義務になります。委託先に対する監督は、委託契約、第2に、個人データにつき安全管理措置を講

機密保持誓約書の徴収などを中心に図られます

じなければなりません（20条）。個人データ

ので、責任の所在を明確化するなどポイントをを対象に、いわゆる情報セキュリティを図るこ踏まえた委託契約のひな形を用意しておくこととを義務づけた規定となります。これまでも職が得策です。また、しっかりと信頼できる委託業安定法や労働者派遣法で情報セキュリティを先を選定することも重要ですので、委託先を選図ることを義務づけていましたが、ごく限られ定する際における評価基準を事前に定めておくた領域を対象としたものにすぎず、民間部門をことも有用です。

包括的に対象として義務づけた法律は今回が初めてです。

ところで、どの程度の措置を講じておけば安
全管理措置義務を果たしたと言えるか、具体的

しかも、この法律は、安全管理措置についてな基準が法文上には示されていません。情報セ

従業者（21条）や委託先（22条）に対するキュリティ・マネジメントについては、国際規監督責任を明記している点でも、わが国で初め格としてISO/IEC 17799、これを日本工業ての法律です。この法律の立法化に向けた検討

規格化したものとしてJIS X 1580が、認証作業が開始された平成11（1999）年当時、基準としてISMS認証基準が、さらに監査につコンピュータやインターネットからの重大な個

いては情報セキュリティ監査基準が、それぞれ

人データ大量漏えい事件が頻発し、中でも内部公表されています。必ずしも法的判断に直結す者や委託業者による事件が多発していたことをるものではないとしても、果たすべき安全管理

背景に規定されたものです。従業者に対する監措置義務の目安として、これらの基準を参照す

督は、社内規程の整備、機密保持誓約書の徴収、ることが有用です。

社内教育、社内監査などを中心に図られること17

＊第三者提供の制限

三者提供の可否を本人の決定に委ねることによ

第3に、「第三者提供の制限」が設けられてって、こうした事態を避けようとする趣旨に基います。個人データを第三者に提供するためにづくものです。第三者に提供することも利用目

は、あらかじめ本人から同意を得る必要がある的の一つですので、本条は、利用目的に関するというものです（23条1項）。

前記諸規定の特則としての性格を有しています。

見ず知らずの企業から、突然、家族の進学や就職祝いを名目にした広告宣伝のダイレクトメ

ここに「あらかじめ」とは、取得時を基準とールが一方的に送り付けられてきたり、電話勧する考え方もありますが、立法関係者の見解に誘を受けて、わが家の個人情報がどこから流れ

よれば、第三者への提供時を基準と解されていたのか、不審に感じた経験を持つ人も少なくなます。本項は、第三者提供の可否を本人の意思いはずです。その背景には、現代社会では、企に委ねる趣旨であり、したがって現に第三者提業のマーケティングが目的で膨大な個人情報が供される以前の段階で同意が存在すれば、前記収集され、名簿業者などを介して売買される場

趣旨を満たすことになるからです。これに対し、合があるという事実が存在しています。中でも取得時とする説は、第三者提供することも利用「個人情報データベース等」に該当するような目的に該当し、利用目的は18条により取得時

ものの場合には、そうした危険は大きなものとに通知・公表等を行う必要があることを理由となります。本条の「第三者提供の制限」は、第するものと思われます。しかし、16条1項は第三者提供制限の仕組みについて（第23条）

あらかじめ

本人の同意
が必要

個人情報取扱①法令に基づく場合

第（例：届け出、通知など）

事

業

者

三

者

②人の生命、身体又は財産の保護に必要な場合（例：急病の場合など）③公衆衛生・児童の健全育成に特に必要な場合（例：疫学調査など）④国等に協力する場合（例：税務調査に協力する場合）

本人の求めにより原則として提供停止（オプトアウト※）することとしている場合※オプトアウトの要件
以下の4項目をあらかじめ通知し、又は第三者に当たらない場合

本人の知り得る状態においている場合。

①委託先への提供（委託元に管理責任）①第三者提供すること②合併等に伴う提供（当初の目的の範囲内）②提供される情報の種類③グループによる共同利用（共同利用する者の範囲や利用③提供の手段目的等をあらかじめ明確にしている場合に限る。）④求めに応じて提供停止すること

出典・内閣官房個人情報保護室「法案の論点解説」【図表11】第三者提供制限の仕組みについて18

「あらかじめ本人の同意を得」れば目的外利用の名称等について、あらかじめ本人に通知し、しうると規定していますので、やはり第三者へ又は本人が容易に知り得る状態に置かなければの提供時を基準と解することに合理性が認めらなりません（23条5項）。一定規模以上の企業れそうです。

であれば子会社を有していることが少なくあり

現在ではインターネットのサイトで本人からませんが、親子会社間における個人データのや同意を取得するケースも増えています。このよりとりであっても、別法人です以上、第三者提うな場合、画面上で「同意する」をクリックさ供に該当してしまいます。このような場合、③せる方法による場合が少なくありません。

を有効活用すべき場面は少なくないはずです。

例外的に同意が不要な場合として、本項でも前述の16条3項の場合と同一内容の事由が規定されていますが、これに加えて、23条は他◆「保有個人データ」に関する義務にも本人の同意を得ずに第三者提供が可能な場＊「保有個人データ」とは何か合を定めています。

「個人データ」のうち、「保有個人データ」

まず、「オプトアウト（本人の求めによる提に該当するものについては、さらに多くの義務供停止）」制度があります（同条2項）。この制が課されています。これは、「個人情報取扱事

度は、あらかじめ「お客様の個人情報を第三者業者」が、開示、内容の訂正などのできる権限に提供することがお嫌いであれば、弊社宛に申を有する「個人データ」であって、政令で定めし出ていただけば、いつでも中止させていただ

る一定期間を超えて継続利用を行う場合ものできます」など所定の事項を本人に通知、又は本す（2条5項）。

人が容易に知り得る状態に置いて、第三者提供するような場合です。
次に、やはり同意不要の場合として、同条4項が規定する①委託、②事業承継、③共同利用の場合があります。

この期間については施行令4条で6ヵ月間と定められています。したがって、6ヵ月以内に利用を終了するものについては、「保有個人データ」に当たらないことになります。
また、「その存否が明らかになることにより

このうち①については、百貨店が注文を受け

公益その他の利益が害されるものとして政令でた商品の配送のために宅配業者に個人情報を渡定めるもの」が、明文で「保有個人データ」かす場合などが想定されています。本人の同意がら除外されています。これを受けて施行令3不要である半面、委託元の個人情報取扱事業者

条は、①当該個人データの存否が明らかになるは委託先に対する監督義務を負うとすることにことにより、本人又は第三者の生命、身体又はよって（22条）、バランスが保たれています。

財産に危害が及ぶおそれがあるもの（例：犯罪②については、営業譲渡により譲渡先企業に被害者への援助を行う民間機関が加害者を本人

顧客情報を渡す場合などが想定されます。このとする個人データを持っている場合）、②当該場合、譲渡前の利用目的の範囲内でのみ譲渡後

個人データの存否が明らかになることにより、も利用できるという条件が付けられることによ

違法又は不当な行為を助長し、又は誘発するおって（16条2項）、バランスが保たれることにそれがあるもの（例：事業者が株主総会対策のなります。

ために総会屋を本人とする個人データを持って③として観光・旅行業などグループ企業で総いる場合）、③当該個人データの存否が明らか

合的なサービスを提供する場合などが想定されになることにより、国の安全が害されるおそれ、ています。この場合、共同利用者の範囲、利用

他国若しくは国際機関との信頼関係が損なわれする情報の種類、利用目的、情報管理の責任者

るおそれ又は他国若しくは国際機関との交渉上

19

不利益を被るおそれがあるもの（例：事業者が＊本人関与

外国要人を本人とする行動記録などが記録され「保有個人データ」に関する事項の公表制度

た個人データを持っている場合）、④当該個人をベースに、「本人関与」と呼ばれる一連の義

データの存否が明らかになることにより、犯罪務が設けられています。

の予防、鎮圧又は捜査その他の公共の安全と秩

具体的には、本人の求めに応じて、保有個人序の維持に支障が及ぶおそれがあるもの（例：

データに関し個人情報取扱事業者が、①利用目

事業者が警察からの捜査関係事項照会の受理、的の通知義務（24条2項）、②開示義務（25

回答の過程で犯罪者を本人とする個人データを条1項）、③訂正等の義務（26条1項）、④利

持っている場合）という4種類の情報を規定し用停止等の義務（27条）であり、この法律でています。

は以上のような本人の求めを「開示等の求め」という言葉で総称しています。

＊保有個人データに関する事項の公表等

いずれも法文上は、「個人情報取扱事業者」「保有個人データ」について、「個人情報取の 義務 の形式で規定されています。しかし、扱事業者」は、一定の事項を本人の知り得る状

この法律の第4章第1節の表題が「個人情報取態（本人の求めに応じて遅滞なく回答する場合

扱事業者の義務」とされていることとの関係上、を含みます）に置いておく必要があります

こうした体裁となっているにすぎません。国会（24条1項）。ここに本人の知り得る状態に置

審議時に細田IT担当大臣も、「開示、訂正、利

くとは、前述の「公表」と実質的にほぼ同様の

用停止、第三者提供に当たっての本人の同意な意味です。

どについて明確に規定していることは、やはり対象となる事項は、①当該個人情報取扱事業

個人のそれぞれの権利を明確にしているもので者の氏名又は名称（1号）、②すべての保有個あるということ」（衆議院個人情報の保護に関人データの利用目的（2号）、③後述の本人かする特別委員会議録平成15年4月15日（第3らの求めに応じた開示、訂正等に応じる手続号））と答弁しており、立法者意思として、あ（3号）、④保有個人データの適正な取扱いの確

くまでも法的性格は個人情報取扱事業者に対す保に関し必要な事項として政令で定めるもの

る「本人の権利」だと考えられています。

（4号）です。
この4号を受けて施行令第5条は、（i）当該個

20＊利用目的の通知

人情報取扱事業者が行う保有個人データの取扱

このうち①は、どのような目的で利用されていに関する苦情の申出先、（ii）当該個人情報取いるのかなどの点について本人に通知しなけれ扱事業者が認定個人情報保護団体の対象事業者ばならないとするものです。これに対し、（i）である場合にあっては、当該認定個人情報保護24条1項により当該本人が識別される保有個団体の名称及び苦情の解決の申出先を規定して

人データの利用目的が明らかな場合、（ii）通知います。

により本人又は第三者の権利利益を害するおそ「保有個人データ」に関する事項の公表制度

れがある場合（例：病院での検査目的の通知がによって、本人は、どのような利用目的などでガンなど重病名の実質的な告知となり本人に重「個人情報取扱事業者」が「保有個人データ」

大な精神的苦痛を与える場合）、（iii）通知によを保有しているのかを知ることができるようにり当該個人情報取扱事業者の権利又は正当な利なります。そして、これにより、次に述べる開益を害するおそれがある場合、もしくは、（iv）

示等の求めを個人情報取扱事業者に対して行う

国の機関又は地方公共団体が法令の定める事務ことができるようになります。

を遂行することに対して協力する必要がある場

本人の関与の仕組み
利用目的の通知（第24条第2項）
保有個人データがどのような目的で利用されているのかについて、原則として、本人に通知しなければならない。

開

本
人

求

め

個
人
情
報
取
扱
事
業
者

示（第25条第1項）

保有個人データについて、原則として、本人に開示しなければならない。
（開示しないことができる場合の例）①本人又は第三者の生命、身体、財産その他の権利利益を害する
おそれがある場合②個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼす
おそれがある場合 など訂

正等（第26条第1項）

保有個人データの内容が事実でないときは、利用目的の達成に必要な範囲内において、訂正等を行わなければならない。

利用停止等（第27条第1項、第2項）①利用目的による制限、②適正な取得、③第三者提供の制限に違反していることが判明したときは、違反を是正するために必要な限度で、原則として、利用停止等を行わなければならない。

出典・内閣官房個人情報保護室「法案の論点解説」【図表12】本人関与の仕組み

合であって、利用目的を本人に通知することに＊開示より当該事務の遂行に支障を及ぼすおそれがあ

次に②は、本人に開示しなければならないとるときには、本人に通知する必要はありません

するものです。但し、（i）本人又は第三者の権が、通知しない旨の決定をしたときは、本人に利利益を害するおそれがある場合（例：病院に対し遅滞なくその旨を通知しなければなりませよる重病名の告知が本人に重大な精神的苦痛をん（24条3項）。

与える場合）、（ii）当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合（例：嫌がらせなどの目的で繰り返し執拗に同一内容の開示を求める場合）、もし
くは、（iii）他の法令に違反することとなる場合（例：電気通信事業法4条が規定する通信の秘密を侵すことになる場合）には、開示を拒否することができます。開示に応じる場合には、書面の交付による方法によって開示を行うことが原則となりますが、開示の求めを行った者が同意した方法があるときは当該方法によることができます（施行規則6条）。これに対し、求められた保有個人データの全部又は一部について

21

開示しない旨の決定をしたときは、本人に対し、お、評価や判断は、ここにいう事実そのもので遅滞なく、その旨を通知しなければなりません

はありませんので、その内容が誤っているとし（25条2項）。

て訂正等を求められた場合には、これに応じる

個人情報取扱事業者は、以上の①及び②を求義務を負いません。しかし、評価などの前提とめられたときは、当該措置の実施に関し、実費なった事実が誤っているときには、訂正等に応を勘案した合理的な範囲内で定めた手数料を徴じる義務を負います。

収することができます（30条）。

＊利用停止等
最後に、④は、利用目的による制限、適正な取得、第三者提供の制限に違反していることが判明したときは、違反是正に必要な限度で利用停止等を行わなければならないとするものです。この場合も、利用停止等を行うか、それとも行わないことを決定するとともに、本人に対し、遅滞なく、その旨を通知しなければなりません。利用停止等に応じる義務を負うのは、前述した違反行為があった場合に限られています
ので、それ以外の場合には、この法律では利用停止等に応じる必要はありません。しかし、例

＊訂正等

22

えばDMの発送を利用目的としているような場

さらに③は、内容が事実でないときは利用目

合に、いくら利用停止等の義務がない場合だか的達成に必要な範囲で訂正、追加又は削除を行らといって、嫌がる本人に対しDMを送り続けわなければならないとするものです。遅滞なくることが、マーケティングとして有用性を持つ

必要な調査を行い、その結果に基づき、内容の行為なのか疑問があります。むしろ、進んでこ

訂正等を行うか、訂正等を行わない旨の決定をれに応じてDMの発送を中止することこそが、するとともに、本人に対し、遅滞なく、その旨企業として顧客満足度を高めることになるので（訂正等を行ったときは、その内容を含みます）

はないでしょうか。この法律が課している義務を通知しなければなりません（26条2項）。な

は最小限のものにすぎず、個人情報取扱事業者

として自主的な取り組みを行うことが求められているのです。

個人情報取扱事業者は、開示等の求めを受け付ける方法を定めることができ、その場合、本人は当該方法に従って開示等の求めを行わなけ＊開示等の求めに応じる手続など

ればなりません（同条1項）。受け付ける方法

以上の場合に共通して、本人の求めに応じなとして定めることができる事項は、（i）開示等

いことを決定した場合は、本人に対し、その理の求めの申出先、（ii）開示等の求めに際して提由の説明に努める義務を負います（28条）。

出すべき書面（電子的方式、磁気的方式その他

理由を説明することによって、できる限り本人

人の知覚によっては認識することができない方の理解が得られるように努め、また本人が苦情式で作られる記録を含みます）の様式その他のの申し出などを行う場合に対応が容易になるた

開示等の求めの方式、（iii）開示等の求めをするめの制度です。

者が本人又は代理人であることの確認の方法、

個人情報取扱事業者は、以上に述べた開示等（iv）手数料の徴収方法です（施行令7条）。

の求めに対し、対象となる「保有個人データ」

円滑な手続を実施するためには、これらの方を特定するに足りる事項の提示を求めることが法を定めておくことが望ましいものといえるでできます（29条2項）。開示等の求めは、本人

しょう。このなかでも（iii）の確認方法は重要自身が行うことができるほか、代理人によってな意味を持っています。確認が不十分であると、することもできます（同条3項）。代理人とは、本人に成りすました第三者に対し、誤って重要

未成年者又は成年被後見人の法定代理人、及びな「保有個人データ」を開示してしまい、それ開示等の求めをすることにつき本人が委任したによって20条違反の漏えい事故が発生するお代理人です（施行令8条）。

それがあるからです。したがって、運転免許証

23

やパスポートのような、顔写真付きの公的身分

すると、主務大臣から調査を受けたり、本人か証明書などでの確認方法を定めておくことが望ら訴訟を提起されるおそれがあることも否定でましいものと思われます。

きません。専門窓口を設置して、対応マニュア

以上のように、「個人情報」、「個人データ」、

ルを作成した上、担当者に対するトレーニング「保有個人データ」の順に、個人情報取扱事業を実施しておくことが望ましいのです。法的判者たる企業が負うべき義務は大きくなりますか

断が困難なケースについて常に相談しうるよう

ら、企業としては、みだりに「保有個人データ」に、本分野につき専門知識を有する弁護士との化、もしくは「個人データ」化せず、また不要

連携関係を構築することも必要となります。

な「個人情報」は保有し続けることなく、すみ

第2に、主務大臣を監督機関としての地位にやかに捨て去ることが要請される時代が到来し置き、報告の徴収（32条）、助言（33条）、たことが示されています。

勧告（34条1項）及び命令を行うことができるものとしています。命令には、勧告を先行さ◆実効性を担保するための仕組み
個人情報取扱事業者が違反行為を行った場合

せる通常の命令（同条2項）と、勧告を先行させない緊急命令（同条3項）との二種類があります。

などに対し、この法律の実効性を担保するため

命令違反者は6月以下の懲役又は30万円以にどのような措置が用意されているのかについ下の罰金に処せられ（56条）、両罰規定（違て、以下では説明を加えます。

反行為をした者を処罰するだけでなく、その法この法律では、第1に、できる限り当事者間

人自体も処罰対象とする制度）の対象となりまにおける自主的な解決に委ねるため、複層的す（58条）。報告を怠ったり、虚偽報告をし（多重的）な苦情処理制度が用意されています。

た者も30万円以下の罰金に処せられ（57条）、

その中心は個人情報取扱事業者自身による苦情

こちらも両罰規定の対象となります（58条）。

処理であり、31条は、個人情報の取扱いに関このように今後は場合によって刑事罰の対象にする苦情の適切かつ迅速な処理、そのために必なります。

要な体制の整備に努めなければならないとしています。次に、各種の事業者団体を自主的な申＊コンプライアンスのための社内体制構築

請に基づいて主務大臣が「認定個人情報保護団

個人情報取扱事業者としてこの法律を遵守す体」として認定し（37条）、本人の申し出にるために、また、プライバシーの権利を侵害し応じて苦情処理を担当させることにしています

たとして責任を負うことにならないためにも、（42条）。さらに、地方公共団体も、苦情処理

企業は、コンプライアンスのための社内体制をのあっせんその他必要な措置を講ずるよう努め構築する必要があります。そうすることによっるものとされています（13条）。また、国もて、企業として顧客から信頼を勝ち取り、競争苦情処理を図るために必要な措置を講ずるもの

力を強化することもできます。

とされています（9条）。

24

その際、場当たり的な対応に終始するだけでしかし、各社が従来設置してきた苦情処理窓は不十分となるおそれがありますので、マネジ

口では対応が困難なことが予想されます。成りメント・システムを構築することが有益です。

すましによる漏えいを避けるため比較的厳格な計画を立案し（Plan）、それを実施して（Do）、

本人確認を講じることが必要であり、開示等の計画どおり実施されているか監査し（Check）、

求めに対し拒否すべきか否かという法的判断も監査の結果を踏まえて不備な点が判明すれば改必要だからです。対応を間違えたり不当に遅滞善していく（Action）、という一連の流れを繰り返すことによって、保護のレベルを継続的にていくことになります。社内の各関係部署から向上させていく仕組みであり、以上の頭文字を

担当者を集めて対応のための社内委員会を設置

取って「PDCAサイクル」と呼ばれています。

することが少なくありません。立案に際しては、わが国における個人情報保護のためのマネジメ

社内でどのような個人情報が取り扱われている

ント・システムの代表的なものとしてJIS Qのかについて洗い出し、この法律との関係でど15001が定められており、これに基づく第三のような措置が必要なのかという点を明確化す

者評価制度としてプライバシー・マーク制度がる必要があります。

あります。

従業者に理解してもらうために、社内規程で

まず、どのようなポリシーで個人情報を取り教育研修を定め、これを実施することが不可欠扱うのかということを簡潔に整理した「個人情となります。それは、安全管理措置に関する従報保護方針」を取締役会などで定め、自社のウ業者に対する監督責任（21条）を果たすことェブページなどを利用して対外的に公表する企にもなります。

業が増加しています。この方針を実現するため

さらに、監査責任者を選任し、監査の実施体に、この法律の内容などに照らし、基本的な方制、監査結果の報告などを社内規程として定め、向性を明確化する目的で基本規程を定め、さら監査計画に基づき実施した監査結果に基づき、に詳細化するために、さまざまな社内規程を制

継続的改善に努めるべきことになります。

定することになります（これをさらに詳細化し以上のとおり、この法律への対応には極めてた運用マニュアルを策定することも有用です）。

多くの作業を要することを考えると、全面施行

個人情報保護を図るための社内組織作りも重まで残された準備期間を活用するために、早期要です。経営陣が選任した統括的な個人情報保護管理者を中心に社内体制作りを行い、実施しに対応に着手することが望まれます。
（文責・岡村久道）

25

これだけは知っておきたい、個人情報保護26

知らない会社から突然DMが送られてきた、そこで重要性を増してきているのが個人情報

電話による勧誘を受けたなど、どなたでもこの保護です。自分の個人情報が漏れるとどのようような経験をしたことがあるのではないでしょな不利益が起きるおそれがあるのか。日常生活

うか。IT化の進展に伴い生活が便利になった半でどのようなことに注意したらよいのか。イン面、簡単に情報の蓄積、加工、編集、流通など

ターネットを利用する時に注意することは。他が行なえるため、顧客データの流出といった事

人の個人情報を守るためにはどのようなことに故も起きています。たとえ実害がなかったとし気をつけたらよいのかなど。個人情報を漏らさても、自分の個人情報を誰が保管し、どのようずに、そして自分の情報は自分で守るための、に利用しているのかが分からないことに不安をこれだけは知っておきたいポイントをご紹介し感じている方も多いようです。

ます。

本方針・施策の基本となる事項、③国・地方公◆個人情報とは？

共団体の責務等、④個人情報を取扱う事業者の「個人情報」とは、生存する個人に関する情

遵守すべき義務などについて定めたものです。

報であり、特定の個人を識別することができる

なお、法律の全面施行は平成17（2005）年

情報のことです（個人情報保護法2条1項参4月1日からになります。

照）。個人情報には、次の2通りがあります。
①その情報に含まれる記述などだけで特定の個人を識別できる情報
・名前・メールアドレス

・住所

・顔の画像

など

・電話・ファックス番号

個人情報保護法と政令では、過去6ヶ月内に一度でも5,000人分を超える個人データを取り扱ったことのある企業に、以下のような義務②他の情報と容易に照合することができ、それにより特定の個人を識別できる情報
・プロバイダのログ（通信履歴）と会員情報リストを課しています。
①利用目的をできる限り特定し、その目的達成に必要な範囲内でのみ個人情報を取り扱える②個人情報の収集時に、本人に対し利用目的の・弁護士の登録番号と弁護士名簿
・社員番号と社員台帳＊個人情報を取扱う事業者が注意しなけ
ればならないポイントはなど

通知・公表などをする③個人データにつき正確・最新の内容に保つよう努め、安全管理のため必要・適切な措置を＊プライバシーとは（個人情報とプライバシーの関係）
プライバシーの権利は、憲法などには明文化されていませんが、基本的人権のひとつとして講じる④あらかじめ本人の同意を得なければ、第三者に個人データを提供できない⑤保有する個人データにつき、本人の求めに応認められています。自己に関する情報（個人情じて、開示・訂正などを行う報）の流れをコントロールする個人の権利と解義務を怠った場合には、主務大臣から命令な釈する見解が有力であり、自分の情報を無断でどを受け、命令違反の場合は罰則を受けますの

公開されたり、不正に流用されたりしない権利、で、全面施行までに対応する必要があります。

ということができます。個人情報保護法制とプライバシーの権利とは深い関係があり、一緒の＊日本における個人情報保護の動向
1988年12月「行政機関の保有する電子計算機処理に係る個人情報保護に関する法律」

1997年3月

通商産業省（当時）
ガイドライン策定

1997年12月

電子ネットワーク協議会
電子ネットワーク運営における「個人情報保護に関するガイドライン」

1998年4月（財）
日本情報処理開発協会プライバシーマ
ーク制度導入、（財）
日本データ通信協会個
人情報保護マーク制度導入

住民基本台帳ネットワークの導入や個人情報

1998年12月

郵政省（当時）ガイドライン策定漏えい事件の多発などを受け、「個人情報の保1999年3月

JIS Q 15001「個人情報保護に関するコン
プライアンス・プログラムの要求事項」制定

2003年5月

個人情報保護法公布

2005年4月

個人情報保護法全面施行

ものと思われがちですが、個人情報保護法で保護される個人の権利利益は必ずしもプライバシ
ー権とは一致しておらず、個人情報保護とプラ
イバシー保護とは一応別個のものと考えられています。

＊個人情報保護法とは護に関する法律」が平成15（2003）年5月に成立しました。この法律は、①個人情報の適正な取扱いに関する基本理念、②政府による基27

◆個人情報を漏らさないためのポ
イントは＊個人情報は人為的に漏れている

・街頭で不審な署名やアンケートを求められた→住所、氏名、電話番号などの記入欄があっても気軽に書かないようにしましょう。
・会員登録をする

個人情報は、自然に漏れることはほとんどあ→趣味など、直接会員になるのに不要な事項りません。大半は、人為的に漏らされたり、あまでみだりに書かないようにしましょう。

るいは盗み出されたりしています。情報が漏れ

もし書いて欲しいといわれたら、何のためたり、盗まれたりするのは、DMで商品の広告に必要なのか相手に問いただすことも必要

や通信販売をする事業者の一部、債務者の転居です。

先を探ろうとする債権取立業者や結婚のため相・ゴミをだす手の実家の様子を調べたい人など、その情報を欲しがる人がいるからです。

→クレジットカード利用明細票、ATM利用明細票など重要な個人情報を含む紙は、読め

しかし、個人情報を漏らすのは他人ばかりでないよう破棄してからゴミに出しましょう。

なく、意識せずに自分自身が漏らしていること→パソコンの場合は、ハードディスクに記録もあります。懸賞サイトやプレゼントへの応募、された全データを読めない状態にしてからカタログ請求、アンケートの回答、各種会員登

廃棄してください。データを読めない状態

録、サンプル商品の請求などがその一例としてにするためには、専用ソフトあるいはサー挙げられます。

ビス（共に有償）を利用するか、ハードディスク上のデータを金槌や強磁気により物＊自分の情報は自分で守りましょう
現代社会では、個人情報をどこにも提供せず

理的・磁気的に破壊すると良いでしょう。
・インターネットを利用するに生活することはできません。しかし、自分の→アンケートのサイトや懸賞サイトなどに情報は自分で守る、という意識を持って行動すは、名前や住所を書き込む部分があります

ることが大切です。そのためのポイントをいくが、サイトが信頼できるものかどうかを確

つかご紹介しましょう。

認しましょう。企業などのサイトではプラ
イバシーマーク、個人情報保護マークなどを掲げているか、個人情報の扱いについて
どのようなポリシーがあるかを確認するとよいでしょう。
※それぞれのマークについては次項で説明します。
→画面上で名前や住所などの書き込みをする
際には、SSLなど暗号通信に対応しているか確認しましょう。
このようなことを注意しても個人情報が不正に利用されることがあります。そのような時には、どうしてそういうことになったのかを考え、相手方事業者に苦情を申し入れたり、事態によっては地方公共団体の消費生活センターや監督官庁に相談することも必要です。

28

＊個人情報漏えい事件・事故を防ぐには

15001に基づいた審査を行い、該当する事業

会員情報漏えいや住民基本台帳データ漏えい者の事業活動に対して「プライバシーマーク」など、個人情報漏えい事件がニュースで取り上の使用を認めています。対象となる個人情報は、げられる機会が増えています。このような事件

オンライン／オフラインなどの入手経路を問わは、個人の権利利益を害するだけでなく、企業

ず、また、顧客情報のみに限らず、社員情報やにとっても個人情報保護法の法律違反の責任を

採用情報など、自社で保有するすべての個人情問われたり、社会的信用の失墜、取引機会の喪報について適用されます。平成16（2004）

失、顧客離れ、損害賠償など、大きな影響を受

年3月現在、700社以上が認定を受けていまけます。企業は、このような漏えい事件を起こす。

さないために次のような対策をすることが効果

財団法人日本データ通信協会の個人情報保護的です。

登録センターでは、適正な個人情報保護措置を

・個人情報保護基本指針や個人情報保護責任者

講じている事業者の登録を行い、その旨を「個を定め、企業内での個人情報取扱業務を適正

人情報保護マーク」で表示できるようにするこに管理できるような体制を整えるとにより、事業者および利用者の個人情報保護

・自社で取り扱う個人情報を洗い出し、取扱業意識の向上を図っています。登録の対象となる

務ごとにリスクを評価し、リスクに応じたセのは、「電気通信事業者」および「発信者情報

キュリティ対策を取れるようにする（帳票の通知サービス（ナンバーディスプレイなど）の管理、アクセス管理、入退室管理、媒体管理、事業用利用者」です。

委託先管理など）
・内部によるミスや不正を防ぐために、社員教育を行なうとともに、社内監査を実施する
このような対策を取ることは、リスク管理の
みならず、自社の取り組みを消費者や取引先にアピールすることにもなります。
また、第三者が評価し、その適切性をマーク
表示により消費者に知らせるための制度があります。

c 財団法人日本データ通信協会○
個人情報登録センター

財団法人日本情報処理開発協会で行なっているプライバシーマーク制度は、「個人情報保護

一方、日本商工会議所で行っているオンライ

に関する事業者認定制度」で「プライバシーマ

ンマーク制度は、インターネットショッピング

ーク」を付与します。認定にあたってはJIS Qの事故を防止するために、通信販売事業者の実在を確認し、かつ、ホームページの表記が通信

samplec 財団法人日本情報処理開発協会○
プライバシーマーク事務局

c 日本商工会議所○

29

販売の法令等を守っている事業者であることをこうしたマークの取得と継続には、それなり

審査し、一定の基準をクリアしたショップに対のリソースを投じる必要がありますが、リスクして「オンラインマーク」を発行しています。

低減と信頼性向上により得られるメリットは非

個人情報保護に関する認証制度ではありません

常に大きく、今後ますます、第三者認定制度のが、信頼のおけるショッピングサイトの判断の需要は高まっていくものと思われます。

目安の一つになります。

最近の主な個人情報漏えい事件例

30

年 月

業 種

2004年3月

通販会社

約十万人分の顧客情報の流出のおそれがあることが判明

2004年3月

カード会社

業務委託先の運用するサーバがクラッカーによる不正侵入を受け、約7600
人分の顧客情報が流出した可能性があると発表

2004年2月

プロバイダ

約450万人分の会員情報の流出が発覚

2003年11月

公益法人

公益法人サイトから個人情報が引き出され、イベントでセキュリティホール
とともに公開2003年11月

コンビニ

最大18万人分の会員情報が外部に流出している可能性があると発表

2003年11月

化粧品メーカー

2003年6月

コンビニ

2003年5月

電機メーカー

自治体から預かった戸籍情報の入った磁気テープを宅配便で返送したが、委託先の宅配業者が紛失

2002年5月

エステサロン

ウェブサイトから5万人分の個人情報が漏えい。ウェブサーバー上に個人情報ファイルを保存し、アクセス制御をかけていなかった。さらにファイル交
換ソフトにより流出した個人情報がネット上で流通

2001年12月

自治体

約22万人分の住民基本台帳データがデータ処理委託先業者から流出、ネット上で販売（1999年5月）。市民3人が原告となって市に対して損害賠償請求。高裁判決で、1人あたり慰謝料1万円、弁護士費用5000円の賠償

2001年10月

航空券販売

メール販売サービスにおいて顧客メールアドレス3000人分が流出。メール
宛先のCC欄とBCC欄の操作ミス

2001年8月

百貨店

2000年8月

ファーストフード事 件 内 容化粧品販売サイトからネット経由で顧客の個人情報が流出
カード会員情報約56万人分が漏えい

社員が会員カード38万人分の名簿を信用調査会社に売却
サイトからファーストフードのアンケートで収集した個人情報が約100人分
漏えい◆インターネット上で個人情報を守るためのポイントはインターネット利用者は日本国内でも②情報を発信する場合は、発信に伴う責任とリスクを認識しましょう。
以下のような、人権侵害に当たる情報を発信することのないよう、最大限に注意してくだ

5,643万3千人《平成15（2003）年2月時

さい。

点、『インターネット白書2003』より》を超・他人のプライバシーを侵害する情報

え、老若男女を問わず誰でも楽しめるコミュニ・他人を誹謗・中傷、または差別する情報

ケーションメディアとして親しまれています。

・著作権、商標権などの他人の知的財産権をインターネットは、ホームページに象徴される
ように、世界中に存在する不特定多数の人々に侵害する情報・児童ポルノ

向かって情報が発信できるところに、大きな特③情報受信者としての自己防衛に努めましょう

色があります。中、小規模の企業や個人であっ個人情報保護法で事業者の法的責任は定めらても、卓越した創意工夫によって多くの人々のれましたが、被害に遭わないように自己防衛関心を集め、世界的なビジネスに発展した例もに努めることも必要です。

珍しくありません。ところがその一方、掲示板

万一、トラブルに巻き込まれた場合は、プロでの他人の個人情報の無断公開、迷惑メールのバイダが問題解決に協力できる場合もありま

発信、クッキーやスパイウェアを通じた利用者

すが、基本的には当事者間で解決することにの閲覧履歴の不適切な収集など、インターネッ

なります。そのため、次のような自己防衛をト上で個人情報が濫用される事例が発生してい図ることが必要です。

ます。

・個人情報は自分できちんと管理する

インターネット上で自分と他人の個人情報を

IDやパスワードの管理には細心の注意を守るためのルールとマナー、そして個人情報に払いましょう。IDやパスワードは人に教え関わるトラブルに巻き込まれた時の対処法なたり、見られないようにすることが必要です。

ど、知っておきたいポイントをまとめました。

そして、パスワードは時々変更することが望ましいでしょう。パスワードは、氏名や電話＊これだけは知っておきたいルール＆マ
ナー

番号等の個人情報から連想できるものは避①インターネットは現実社会の一部であること

せなどとし、安全のためにできるだけ長い桁を認識し、その一員としての自覚と責任を持数を使用するとよいでしょう。また、住所やちましょう。

電話番号等、個人が特定できる情報をネット

け、数字・アルファベット・記号の組み合わ上に公開することは危険ですから絶対にしな
いでください。
・危険を避ける
インターネットを利用している人の中には、インターネットの匿名性を利用して、他人に危害を加えようとする人が現実に存在します。危ないな、と思ったら避けること。イ
ンターネットの利用には危険が伴うことを十分認識してください。個人情報保護について
もその例外ではありません。

31

＊知っておきたい豆知識

クッキーに記録された識別番号と、登録された

ホームページで個人情報などを扱う仕組みと会員情報とをマッチングする場合があり、このしてクッキー（Cookie）があります。このク場合はクッキーは個人情報に該当すると考えらッキーは、ショッピングサイトなどで利用者のれます。クッキーによって個人が識別されていショッピングカート情報を保持したり、商品送るかどうかはケースバイケースですので、個人付先を記録して自動入力したり、利用者の購買情報保護法により保護されるとは限りません。

履歴に合わせてページを表示したりするためのクッキーの利用に際しては、ブラウザの設定で小さなファイルです。このようにクッキーは便「Cookieを受け入れる」「Cookieを受け入れる

利な反面、この機能を濫用して、ユーザーに説前にダイアログを表示」「Cookieブロックする」

明せずに個人情報を収集することを目的としてなどが選択できますので、利便性とリスクを自ホームページを作る事業者も稀にいます。なお、分の責任で判断した上で選択してください。

＊知っておきたいトラブル事例＆対策【事例1−迷惑メール】【事例2−架空請求メール】

興味本位で「出会い系サイト」に登録した直後利用した覚えのない高額の有料情報利用料を請から、アダルト製品を宣伝するメールが届くよう求するメールが届いた。支払期日は3日後で、期になった。

日までに支払わないと回収手段を講じます、と記載されている。

迷惑メール自体は法律で規制されています。しかし、信用できないサイトに軽い気持ちでメール支払う必要はありませんので無視すべきです。

アドレスを書き込むと、このようなことが起こる

利用したことがないのにネットのコンテンツ料ケースが多いので、書き込まないよう注意しましを請求する悪質メールが急増しています。悪質業ょう。

者が何らかの経路で入手した名簿のアドレスを使ったり、Webページに掲載されているアドレスを拾い上げたりして、そのアドレス宛に根拠のない請求書を大量に送っているのです。請求書を送りつけられた人の中には、恐くて支払ってしまう
人もいるかもしれません。それが手口なのです。
確認や拒否のメールを返信するなどこちらから連絡すると、自分の個人情報が相手に把握される危険がありますし、返信を行ったアドレスに大量のメールが配信され、嫌がらせを受ける場合もあります。
このようなメールでトラブルになりそうな場合には、消費生活センターに相談したり警察への情報提供にも協力しましょう。

32

【事例3−ワン切り】【事例4−フィッシング詐欺】

携帯電話に電話がかかって1コールで切れてし加入している大手プロバイダを発信名義とする

まい、残っていた着信記録を見ると知らない電話

メールが届き、接続料金支払用のクレジットカー

番号だったが、かけ直したら怪しげな音楽が流れ

ド番号を再確認する必要があるとして、掲載されて出会い系サイトの案内テープが流れていた。利たサイトへのアクセスを求める内容だった。クリ

用料金の請求がくるのかどうか不安である。

ックしてアクセスすると、カード番号を画面入力するよう求めるメッセージが表示された。

ツーショットダイヤルやアダルト番組の案内だ
った、という、悪質事業者によるいわゆる「ワン米国で流行した「フィッシング詐欺」である可切り」です。携帯電話からはダイヤルQ2につな能性があります。著名企業の公式メールを装ったがりません。よってNTTからのダイヤルQ2利用

メールをユーザーに送り付け、その企業の公式サ

代金としての請求はありません。ただ電話をして、イトに似せてＵＲＬ表示まで偽装したニセのサイ

そこで流れている音を聞いたからといって、支払トにアクセスさせた上、個人情報を入力させて騙いの義務が生じるわけではありませんし、もちろ

し取るという手口の詐欺です。こうしたメールがん請求がくることはありません。

届いて不自然さを感じた場合には、安易に指示ど

心当たりのない電話番号の着信にリダイヤルすおり画面入力することなく、必要に応じてメール

るときは、電話をかけ直さないか電話番号通知を

送信名義人に確認しましょう。誤って画面入力に非通知にしてから電話をかけるなどの注意をする

応じてカード番号を騙し取られたことが判明した

ようにしましょう。もし、非通知で設定せずに電ときは、ただちにカード番号の変更手続を取ると話をかけてしまって、事業者より確認のための返ともに、警察などに相談して下さい。

信電話があった場合は、利用していないことをはっきりと伝え、自分の個人情報は伝えないように注意しましょう。

【事例5−スパイウェア】
便利な無料ソフトをダウンロードしてインストールしたら、ポップアップ広告が頻繁に表示されるようになった。私の趣味である車の広告ばかりなので、知らない間にネットサーフィン内容が覗き見されているようで不安である。

無料ソフトの中には、ユーザーが知らないうちにバックグラウンドで別プログラムが作動し、閲覧履歴を記録して無断送信し、その内容に基づいてポップアップ広告を勝手に表示するものがあり、「スパイウェア」と呼ばれています。
無料であっても不審なソフトはみだりにダウンロードして使わないようにしましょう。スパイウ
ェア対策ソフトを導入して、これを除去する方法も有用です。

33

【関連情報サイトのご紹介】
もっと個人情報保護について知りたい、もっとインターネットのルールやマナーについて知
りたい、もっとトラブルの事例を知りたい、というときには、以下のサイトを参照してください。

経済産業省情報政策ユニット

個人情報保護ページ…………………………http://www.meti.go.jp/policy/it̲policy/privacy/privacy.htm
財団法人インターネット協会…………………………http://www.iajapan.org/
・インターネットを利用する方のためのルール＆マナー集…………………………http://www.iajapan.org/rule/
・インターネットホットライン連絡協議会…………………………http://www.iajapan.org/hotline/
・プライバシー情報管理システム…………………………http://www.nmda.or.jp/enc/privacy/
財団法人日本情報処理開発協会…………………………http://www.jipdec.jp/
・プライバシーマーク制度…………………………http://privacymark.jp/
財団法人日本データ通信協会…………………………http://www.dekyo.or.jp/
・個人情報保護登録センター…………………………http://www.dekyo.or.jp/hogo/kojin.htm
電子商取引推進協議会…………………………http://www.ecom.or.jp/
個人情報の保護に関する法律…………………………http://www.kantei.go.jp/jp/it/privacy/houseika/hourituan/
行政機関の保有する個人情報の保護に関する法律…………………………http://www.soumu.go.jp/gyoukan/kanri/kenkyu.htm
独立行政法人等の保有する個人情報の保護に関する法律…………………………http://www.soumu.go.jp/gyoukan/kanri/030307̲2.html

34

MEMO

35

個人情報の保護に関する法律（平成十五年法律第五十七号）
目次

報データベース等を事業の用に供している者をいう。ただ第一章

総則（第一条−第三条）

し、次に掲げる者を除く。

第二章

国及び地方公共団体の責務等（第四条−第六条）

一

国の機関

第三章

個人情報の保護に関する施策等

二

地方公共団体三独立行政法人等（独立行政法人等の保有する個人情報

第一節

個人情報の保護に関する基本方針（第七条）

第二節

国の施策（第八条−第十条）

第三節

地方公共団体の施策（第十一条−第十三条）

第四節

国及び地方公共団体の協力（第十四条）

第四章の保護に関する法律（平成十五年法律第五十九号）第二条第一項に規定する独立行政法人等をいう。以下同じ。）
四個人情報取扱事業者の義務等

地方独立行政法人（地方独立行政法人法（平成十五年

第一節

法律第百十八号）第二条第一項に規定する地方独立行政個人情報取扱事業者の義務（第十五条−第三十法人をいう。以下同じ。）

六条）
第二節

五

民間団体による個人情報の保護の推進（第三十七条−第四十九条）

第五章

雑則（第五十条−第五十五条）

第六章

罰則（第五十六条−第五十九条）

める者
４

この法律において「個人データ」とは、個人情報データ
ベース等を構成する個人情報をいう。

５

附則

その取り扱う個人情報の量及び利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定

この法律において「保有個人データ」とは、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停

第一章

総則

止、消去及び第三者への提供の停止を行うことのできる権

（目的）
第一条

限を有する個人データであって、その存否が明らかになる
この法律は、高度情報通信社会の進展に伴い個人情ことにより公益その他の利益が害されるものとして政令で報の利用が著しく拡大していることにかんがみ、個人情報定めるもの又は一年以内の政令で定める期間以内に消去すの適正な取扱いに関し、基本理念及び政府による基本方針の作成その他の個人情報の保護に関する施策の基本となる事項を定め、国及び地方公共団体の責務等を明らかにするることとなるもの以外のものをいう。
６

この法律において個人情報について「本人」とは、個人情報によって識別される特定の個人をいう。

とともに、個人情報を取り扱う事業者の遵守すべき義務等を定めることにより、個人情報の有用性に配慮しつつ、個（基本理念）

人の権利利益を保護することを目的とする。

第三条

個人情報は、個人の人格尊重の理念の下に慎重に取り扱われるべきものであることにかんがみ、その適正な取
（定義）
第二条

扱いが図られなければならない。
この法律において「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月第二章

国及び地方公共団体の責務等

日その他の記述等により特定の個人を識別することができ（国の責務）るもの（他の情報と容易に照合することができ、それによ

第四条

国は、この法律の趣旨にのっとり、個人情報の適正り特定の個人を識別することができることとなるものを含な取扱いを確保するために必要な施策を総合的に策定し、む。）をいう。

及びこれを実施する責務を有する。

２

この法律において「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるものをい（地方公共団体の責務）

う。

第五条

一

特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの

二

前号に掲げるもののほか、特定の個人情報を容易に検地方公共団体は、この法律の趣旨にのっとり、その地方公共団体の区域の特性に応じて、個人情報の適正な取扱いを確保するために必要な施策を策定し、及びこれを実施する責務を有する。

索することができるように体系的に構成したものとして
３

36

政令で定めるもの（法制上の措置等）

この法律において「個人情報取扱事業者」とは、個人情

第六条

政府は、国の行政機関について、その保有する個人

情報の性質、当該個人情報を保有する目的等を勘案し、そを図るための指針の策定その他の必要な措置を講ずるものの保有する個人情報の適正な取扱いが確保されるよう法制とする。

上の措置その他必要な措置を講ずるものとする。
２

政府は、独立行政法人等について、その性格及び業務内容に応じ、その保有する個人情報の適正な取扱いが確保さ（苦情処理のための措置）
第九条

国は、個人情報の取扱いに関し事業者と本人との間れるよう法制上の措置その他必要な措置を講ずるものとすに生じた苦情の適切かつ迅速な処理を図るために必要な措る。

置を講ずるものとする。

３

政府は、前二項に定めるもののほか、個人情報の性質及び利用方法にかんがみ、個人の権利利益の一層の保護を図（個人情報の適正な取扱いを確保するための措置）るため特にその適正な取扱いの厳格な実施を確保する必要

第十条

国は、地方公共団体との適切な役割分担を通じ、次がある個人情報について、保護のための格別の措置が講じ章に規定する個人情報取扱事業者による個人情報の適正なられるよう必要な法制上の措置その他の措置を講ずるもの

取扱いを確保するために必要な措置を講ずるものとする。

とする。
第三節

地方公共団体の施策

第三章

個人情報の保護に関する施策等（保有する個人情報の保護）

第一節

個人情報の保護に関する基本方針

第十一条

第七条

政府は、個人情報の保護に関する施策の総合的かつ当該個人情報を保有する目的等を勘案し、その保有する個一体的な推進を図るため、個人情報の保護に関する基本方

人情報の適正な取扱いが確保されるよう必要な措置を講ず

針（以下「基本方針」という。）を定めなければならない。

ることに努めなければならない。

２

地方公共団体は、その保有する個人情報の性質、基本方針は、次に掲げる事項について定めるものとする。
一

個人情報の保護に関する施策の推進に関する基本的な

二（区域内の事業者等への支援）
第十二条

方向

するため、その区域内の事業者及び住民に対する支援に必国が講ずべき個人情報の保護のための措置に関する事

要な措置を講ずるよう努めなければならない。

項
三地方公共団体は、個人情報の適正な取扱いを確保

地方公共団体が講ずべき個人情報の保護のための措置に関する基本的な事項
四独立行政法人等が講ずべき個人情報の保護のための措（苦情の処理のあっせん等）
第十三条

五

うにするため、苦情の処理のあっせんその他必要な措置を

地方独立行政法人が講ずべき個人情報の保護のための講ずるよう努めなければならない。

措置に関する基本的な事項
六地方公共団体は、個人情報の取扱いに関し事業者と本人との間に生じた苦情が適切かつ迅速に処理されるよ置に関する基本的な事項

個人情報取扱事業者及び第四十条第一項に規定する認

定個人情報保護団体が講ずべき個人情報の保護のための第四節

措置に関する基本的な事項

第十四条

七

個人情報の取扱いに関する苦情の円滑な処理に関する国及び地方公共団体の協力
国及び地方公共団体は、個人情報の保護に関する施策を講ずるにつき、相協力するものとする。

事項
第四章

個人情報取扱事業者の義務等

要事項

第一節

個人情報取扱事業者の義務

内閣総理大臣は、国民生活審議会の意見を聴いて、基本（利用目的の特定）

八３

その他個人情報の保護に関する施策の推進に関する重方針の案を作成し、閣議の決定を求めなければならない。
４

第十五条

たっては、その利用の目的（以下「利用目的」という。）を内閣総理大臣は、前項の規定による閣議の決定があった

できる限り特定しなければならない。

ときは、遅滞なく、基本方針を公表しなければならない。
５ 前二項の規定は、基本方針の変更について準用する。

個人情報取扱事業者は、個人情報を取り扱うに当２

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認め
第二節

国の施策

られる範囲を超えて行ってはならない。

（地方公共団体等への支援）
第八条

国は、地方公共団体が策定し、又は実施する個人情報の保護に関する施策及び国民又は事業者等が個人情報の（利用目的による制限）
第十六条

個人情報取扱事業者は、あらかじめ本人の同意を適正な取扱いの確保に関して行う活動を支援するため、情得ないで、前条の規定により特定された利用目的の達成に報の提供、事業者等が講ずべき措置の適切かつ有効な実施

必要な範囲を超えて、個人情報を取り扱ってはならない。

37

２

個人情報取扱事業者は、合併その他の事由により他の個することに対して協力する必要がある場合であって、利人情報取扱事業者から事業を承継することに伴って個人情用目的を本人に通知し、又は公表することにより当該事報を取得した場合は、あらかじめ本人の同意を得ないで、務の遂行に支障を及ぼすおそれがあるとき。
四

承継前における当該個人情報の利用目的の達成に必要な範取得の状況からみて利用目的が明らかであると認められる場合

囲を超えて、当該個人情報を取り扱ってはならない。
３

前二項の規定は、次に掲げる場合については、適用しな（データ内容の正確性の確保）い。
一

法令に基づく場合

二人の生命、身体又は財産の保護のために必要がある場

第十九条

よう努めなければならない。

合であって、本人の同意を得ることが困難であるとき。
三

個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つ

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが（安全管理措置）困難であるとき。

第二十条

個人情報取扱事業者は、その取り扱う個人データ

国の機関若しくは地方公共団体又はその委託を受けたの漏えい、滅失又はき損の防止その他の個人データの安全者が法令の定める事務を遂行することに対して協力する

管理のために必要かつ適切な措置を講じなければならない。

四必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

（従業者の監督）
第二十一条

タを取り扱わせるに当たっては、当該個人データの安全管第十七条

理が図られるよう、当該従業者に対する必要かつ適切な監

個人情報取扱事業者は、偽りその他不正の手段に督を行わなければならない。

より個人情報を取得してはならない。
（取得に際しての利用目的の通知等）（委託先の監督）

第十八条

第二十二条

個人情報取扱事業者は、個人情報を取得した場合

個人情報取扱事業者は、個人データの取扱いのは、あらかじめその利用目的を公表している場合を除き、全部又は一部を委託する場合は、その取扱いを委託された速やかに、その利用目的を、本人に通知し、又は公表しな

個人データの安全管理が図られるよう、委託を受けた者にければならない。

対する必要かつ適切な監督を行わなければならない。

２

個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（第三者提供の制限）（電子的方式、磁気的方式その他人の知覚によっては認識す

第二十三条

個人情報取扱事業者は、次に掲げる場合を除く

ることができない方式で作られる記録を含む。以下この項

ほか、あらかじめ本人の同意を得ないで、個人データを第において同じ。）に記載された当該本人の個人情報を取得す三者に提供してはならない。

る場合その他本人から直接書面に記載された当該本人の個一法令に基づく場合

人情報を取得する場合は、あらかじめ、本人に対し、その二人の生命、身体又は財産の保護のために必要がある場
合であって、本人の同意を得ることが困難であるとき。

利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、こ三

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることがの限りでない。
３

困難であるとき。

個人情報取扱事業者は、利用目的を変更した場合は、変四更された利用目的について、本人に通知し、又は公表しな必要がある場合であって、本人の同意を得ることにより前三項の規定は、次に掲げる場合については、適用しな

当該事務の遂行に支障を及ぼすおそれがあるとき。

い。
一国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力するければならない。
４

利用目的を本人に通知し、又は公表することにより本

２

個人情報取扱事業者は、第三者に提供される個人データ

人又は第三者の生命、身体、財産その他の権利利益を害について、本人の求めに応じて当該本人が識別される個人

するおそれがある場合

データの第三者への提供を停止することとしている場合で利用目的を本人に通知し、又は公表することにより当あって、次に掲げる事項について、あらかじめ、本人に通該個人情報取扱事業者の権利又は正当な利益を害するお知し、又は本人が容易に知り得る状態に置いているときは、それがある場合

前項の規定にかかわらず、当該個人データを第三者に提供

二

三

38

個人情報取扱事業者は、その従業者に個人デー（適正な取得）国の機関又は地方公共団体が法令の定める事務を遂行することができる。

一

第三者への提供を利用目的とすること。

二

第三者に提供される個人データの項目

三

第三者への提供の手段又は方法

四

本人の求めに応じて当該本人が識別される個人データ

タの利用目的が明らかな場合
二第十八条第四項第一号から第三号までに該当する場合

３

個人情報取扱事業者は、前項の規定に基づき求められた
保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければな

個人情報取扱事業者は、前項第二号又は第三号に掲げる

らない。

３

の第三者への提供を停止すること。

事項を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置か（開示）

なければならない。

第二十五条

４

個人情報取扱事業者は、本人から、当該本人が次に掲げる場合において、当該個人データの提供を受け識別される保有個人データの開示（当該本人が識別されるる者は、前三項の規定の適用については、第三者に該当し保有個人データが存在しないときにその旨を知らせることないものとする。

を含む。以下同じ。）を求められたときは、本人に対し、政一

個人情報取扱事業者が利用目的の達成に必要な範囲内

令で定める方法により、遅滞なく、当該保有個人データをにおいて個人データの取扱いの全部又は一部を委託する

開示しなければならない。ただし、開示することにより次場合の各号のいずれかに該当する場合は、その全部又は一部を二開示しないことができる。

合併その他の事由による事業の承継に伴って個人デー

一タが提供される場合
三

本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

個人データを特定の者との間で共同して利用する場合
二であって、その旨並びに共同して利用される個人データ

当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合の項目、共同して利用する者の範囲、利用する者の利用
三

目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、

２

他の法令に違反することとなる場合
個人情報取扱事業者は、前項の規定に基づき求められた又は本人が容易に知り得る状態に置いているとき。

保有個人データの全部又は一部について開示しない旨の決

個人情報取扱事業者は、前項第三号に規定する利用する定をしたときは、本人に対し、遅滞なく、その旨を通知し５なければならない。

者の利用目的又は個人データの管理について責任を有する者の氏名若しくは名称を変更する場合は、変更する内容に

３

他の法令の規定により、本人に対し第一項本文に規定す

ついて、あらかじめ、本人に通知し、又は本人が容易に知る方法に相当する方法により当該本人が識別される保有個り得る状態に置かなければならない。

人データの全部又は一部を開示することとされている場合には、当該全部又は一部の保有個人データについては、同（保有個人データに関する事項の公表等）
第二十四条

項の規定は、適用しない。

個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求（訂正等）

めに応じて遅滞なく回答する場合を含む。）に置かなければ

第二十六条

個人情報取扱事業者は、本人から、当該本人がならない。

識別される保有個人データの内容が事実でないという理由

一

当該個人情報取扱事業者の氏名又は名称によって当該保有個人データの内容の訂正、追加又は削除

二すべての保有個人データの利用目的（第十八条第四項（以下この条において「訂正等」という。）を求められた場
合には、その内容の訂正等に関して他の法令の規定により第一号から第三号までに該当する場合を除く。）
次項、次条第一項、第二十六条第一項又は第二十七条

特別の手続が定められている場合を除き、利用目的の達成

第一項若しくは第二項の規定による求めに応じる手続に必要な範囲内において、遅滞なく必要な調査を行い、そ（第三十条第二項の規定により手数料の額を定めたときの結果に基づき、当該保有個人データの内容の訂正等を行は、その手数料の額を含む。）

わなければならない。

三四前三号に掲げるもののほか、保有個人データの適正な２

個人情報取扱事業者は、前項の規定に基づき求められた
保有個人データの内容の全部若しくは一部について訂正等

２

取扱いの確保に関し必要な事項として政令で定めるもの
個人情報取扱事業者は、本人から、当該本人が識別されを行ったとき、又は訂正等を行わない旨の決定をしたとき

る保有個人データの利用目的の通知を求められたときは、は、本人に対し、遅滞なく、その旨（訂正等を行ったとき本人に対し、遅滞なく、これを通知しなければならない。

は、その内容を含む。）を通知しなければならない。

ただし、次の各号のいずれかに該当する場合は、この限りでない。

（利用停止等）一第二十七条

前項の規定により当該本人が識別される保有個人デー

個人情報取扱事業者は、本人から、当該本人が39

識別される保有個人データが第十六条の規定に違反して取し、その対象となる保有個人データを特定するに足りる事り扱われているという理由又は第十七条の規定に違反して項の提示を求めることができる。この場合において、個人取得されたものであるという理由によって、当該保有個人情報取扱事業者は、本人が容易かつ的確に開示等の求めをデータの利用の停止又は消去（以下この条において「利用することができるよう、当該保有個人データの特定に資す停止等」という。）を求められた場合であって、その求めにる情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。

理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止

３

開示等の求めは、政令で定めるところにより、代理人によってすることができる。

等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止

４

個人情報取扱事業者は、前三項の規定に基づき開示等の等を行うことが困難な場合であって、本人の権利利益を保求めに応じる手続を定めるに当たっては、本人に過重な負護するため必要なこれに代わるべき措置をとるときは、こ担を課するものとならないよう配慮しなければならない。

の限りでない。
個人情報取扱事業者は、本人から、当該本人が識別され（手数料）

る保有個人データが第二十三条第一項の規定に違反して第

第三十条

２

個人情報取扱事業者は、第二十四条第二項の規定

三者に提供されているという理由によって、当該保有個人による利用目的の通知又は第二十五条第一項の規定によるデータの第三者への提供の停止を求められた場合であって、開示を求められたときは、当該措置の実施に関し、手数料その求めに理由があることが判明したときは、遅滞なく、を徴収することができる。

当該保有個人データの第三者への提供を停止しなければな

２

個人情報取扱事業者は、前項の規定により手数料を徴収らない。ただし、当該保有個人データの第三者への提供のする場合は、実費を勘案して合理的であると認められる範停止に多額の費用を要する場合その他の第三者への提供を囲内において、その手数料の額を定めなければならない。

停止することが困難な場合であって、本人の権利利益を保（個人情報取扱事業者による苦情の処理）の限りでない。

第三十一条

３

護するため必要なこれに代わるべき措置をとるときは、こた保有個人データの全部若しくは一部について利用停止等

個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。

個人情報取扱事業者は、第一項の規定に基づき求められ２

個人情報取扱事業者は、前項の目的を達成するために必要な体制の整備に努めなければならない。

を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は前項の規定に基づき求められた保有個人デー
タの全部若しくは一部について第三者への提供を停止した（報告の徴収）

とき若しくは第三者への提供を停止しない旨の決定をした

第三十二条

主務大臣は、この節の規定の施行に必要な限度ときは、本人に対し、遅滞なく、その旨を通知しなければにおいて、個人情報取扱事業者に対し、個人情報の取扱いならない。

に関し報告をさせることができる。

（理由の説明）

（助言）

第二十八条

第三十三条

個人情報取扱事業者は、第二十四条第三項、第主務大臣は、この節の規定の施行に必要な限度

二十五条第二項、第二十六条第二項又は前条第三項の規定において、個人情報取扱事業者に対し、個人情報の取扱いにより、本人から求められた措置の全部又は一部について、に関し必要な助言をすることができる。

その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、その理由（勧告及び命令）を説明するよう努めなければならない。

第三十四条

主務大臣は、個人情報取扱事業者が第十六条から第十八条まで、第二十条から第二十七条まで又は第三十（開示等の求めに応じる手続）

条第二項の規定に違反した場合において個人の権利利益を

第二十九条

個人情報取扱事業者は、第二十四条第二項、第保護するため必要があると認めるときは、当該個人情報取二十五条第一項、第二十六条第一項又は第二十七条第一項

扱事業者に対し、当該違反行為の中止その他違反を是正するために必要な措置をとるべき旨を勧告することができる。

若しくは第二項の規定による求め（以下この条において「開示等の求め」という。）に関し、政令で定めるところに主務大臣は、前項の規定による勧告を受けた個人情報取より、その求めを受け付ける方法を定めることができる。

扱事業者が正当な理由がなくてその勧告に係る措置をとら

この場合において、本人は、当該方法に従って、開示等のなかった場合において個人の重大な権利利益の侵害が切迫求めを行わなければならない。

していると認めるときは、当該個人情報取扱事業者に対し、

２

40

２

個人情報取扱事業者は、本人に対し、開示等の求めに関その勧告に係る措置をとるべきことを命ずることができる。

３ての対象事業者に対する情報の提供

主務大臣は、前二項の規定にかかわらず、個人情報取扱
三

事業者が第十六条、第十七条、第二十条から第二十二条ま前二号に掲げるもののほか、対象事業者の個人情報の適正な取扱いの確保に関し必要な業務で又は第二十三条第一項の規定に違反した場合において個
人の重大な権利利益を害する事実があるため緊急に措置を

２

前項の認定を受けようとする者は、政令で定めるところ
により、主務大臣に申請しなければならない。

とる必要があると認めるときは、当該個人情報取扱事業者に対し、当該違反行為の中止その他違反を是正するために必要な措置をとるべきことを命ずることができる。

３

主務大臣は、第一項の認定をしたときは、その旨を公示しなければならない。

（主務大臣の権限の行使の制限）（欠格条項）

第三十五条

第三十八条

主務大臣は、前三条の規定により個人情報取扱

次の各号のいずれかに該当する者は、前条第一事業者に対し報告の徴収、助言、勧告又は命令を行うに当項の認定を受けることができない。

たっては、表現の自由、学問の自由、信教の自由及び政治一

この法律の規定により刑に処せられ、その執行を終わり、又は執行を受けることがなくなった日から二年を経活動の自由を妨げてはならない。
２

過しない者

前項の規定の趣旨に照らし、主務大臣は、個人情報取扱事業者が第五十条第一項各号に掲げる者（それぞれ当該各二第四十八条第一項の規定により認定を取り消され、その取消しの日から二年を経過しない者

号に定める目的で個人情報を取り扱う場合に限る。）に対して個人情報を提供する行為については、その権限を行使し三その業務を行う役員（法人でない団体で代表者又は管理人の定めのあるものの代表者又は管理人を含む。以下ないものとする。

この条において同じ。）のうちに、次のいずれかに該当す（主務大臣）
第三十六条

る者があるものイ

この節の規定における主務大臣は、次のとおり

禁錮以上の刑に処せられ、又はこの法律の規定により刑に処せられ、その執行を終わり、又は執行を受けとする。ただし、内閣総理大臣は、この節の規定の円滑なることがなくなった日から二年を経過しない者

実施のため必要があると認める場合は、個人情報取扱事業
ロ者が行う個人情報の取扱いのうち特定のものについて、特第四十八条第一項の規定により認定を取り消された定の大臣又は国家公安委員会（以下「大臣等」という。）を法人において、その取消しの日前三十日以内にその役

主務大臣に指定することができる。

員であった者でその取消しの日から二年を経過しない

一者

個人情報取扱事業者が行う個人情報の取扱いのうち雇用管理に関するものについては、厚生労働大臣（船員の雇用管理に関するものについては、国土交通大臣）及び（認定の基準）当該個人情報取扱事業者が行う事業を所管する大臣等

第三十九条

二

個人情報取扱事業者が行う個人情報の取扱いのうち前主務大臣は、第三十七条第一項の認定の申請が次の各号のいずれにも適合していると認めるときでなければ、その認定をしてはならない。

扱事業者が行う事業を所管する大臣等

一２号に掲げるもの以外のものについては、当該個人情報取第三十七条第一項各号に掲げる業務を適正かつ確実に内閣総理大臣は、前項ただし書の規定により主務大臣を行うに必要な業務の実施の方法が定められているものであること。

指定したときは、その旨を公示しなければならない。
３

各主務大臣は、この節の規定の施行に当たっては、相互二第三十七条第一項各号に掲げる業務を適正かつ確実に行うに足りる知識及び能力並びに経理的基礎を有するもに緊密に連絡し、及び協力しなければならない。

のであること。
第二節

民間団体による個人情報の保護の推進

三

（認定）
第三十七条

第三十七条第一項各号に掲げる業務以外の業務を行っている場合には、その業務を行うことによって同項各号

個人情報取扱事業者の個人情報の適正な取扱いの確保を目的として次に掲げる業務を行おうとする法人に掲げる業務が不公正になるおそれがないものであること。

（法人でない団体で代表者又は管理人の定めのあるものを含む。次条第三号ロにおいて同じ。）は、主務大臣の認定を受（廃止の届出）けることができる。

第四十条

一

業務の対象となる個人情報取扱事業者（以下「対象事業者」という。）の個人情報の取扱いに関する第四十二条の規定による苦情の処理
二

個人情報の適正な取扱いの確保に寄与する事項につい第三十七条第一項の認定を受けた者（以下「認定個人情報保護団体」という。）は、その認定に係る業務（以下「認定業務」という。）を廃止しようとするときは、政令で定めるところにより、あらかじめ、その旨を主務大臣に届け出なければならない。

41

２

主務大臣は、前項の規定による届出があったときは、その旨を公示しなければならない。

（報告の徴収）
第四十六条

主務大臣は、この節の規定の施行に必要な限度において、認定個人情報保護団体に対し、認定業務に関し（対象事業者）
第四十一条

報告をさせることができる。

認定個人情報保護団体は、当該認定個人情報保

護団体の構成員である個人情報取扱事業者又は認定業務の（命令）対象となることについて同意を得た個人情報取扱事業者を第四十七条

において、認定個人情報保護団体に対し、認定業務の実施

対象事業者としなければならない。
２

主務大臣は、この節の規定の施行に必要な限度の方法の改善、個人情報保護指針の変更その他の必要な措

認定個人情報保護団体は、対象事業者の氏名又は名称を置をとるべき旨を命ずることができる。

公表しなければならない。
（苦情の処理）（認定の取消し）

第四十二条

第四十八条

認定個人情報保護団体は、本人等から対象事業主務大臣は、認定個人情報保護団体が次の各号

者の個人情報の取扱いに関する苦情について解決の申出がのいずれかに該当するときは、その認定を取り消すことがあったときは、その相談に応じ、申出人に必要な助言をし、できる。

その苦情に係る事情を調査するとともに、当該対象事業者

一第三十八条第一号又は第三号に該当するに至ったとき。

に対し、その苦情の内容を通知してその迅速な解決を求め

二第三十九条各号のいずれかに適合しなくなったとき。

なければならない。

三第四十四条の規定に違反したとき。

認定個人情報保護団体は、前項の申出に係る苦情の解決

四前条の命令に従わないとき。

について必要があると認めるときは、当該対象事業者に対五

不正の手段により第三十七条第一項の認定を受けたと２き。

し、文書若しくは口頭による説明を求め、又は資料の提出を求めることができる。
３

２

主務大臣は、前項の規定により認定を取り消したときは、その旨を公示しなければならない。

対象事業者は、認定個人情報保護団体から前項の規定による求めがあったときは、正当な理由がないのに、これを拒んではならない。

（主務大臣）
第四十九条

この節の規定における主務大臣は、次のとおり（個人情報保護指針）とする。ただし、内閣総理大臣は、この節の規定の円滑な第四十三条

認定個人情報保護団体は、対象事業者の個人情実施のため必要があると認める場合は、第三十七条第一項

報の適正な取扱いの確保のために、利用目的の特定、安全の認定を受けようとする者のうち特定のものについて、特管理のための措置、本人の求めに応じる手続その他の事項

定の大臣等を主務大臣に指定することができる。

に関し、この法律の規定の趣旨に沿った指針（以下「個人一設立について許可又は認可を受けている認定個人情報保護団体（第三十七条第一項の認定を受けようとする者

ればならない。

を含む。次号において同じ。）については、その設立の許２

情報保護指針」という。）を作成し、公表するよう努めなけ

認定個人情報保護団体は、前項の規定により個人情報保

可又は認可をした大臣等
二

護指針を公表したときは、対象事業者に対し、当該個人情前号に掲げるもの以外の認定個人情報保護団体につい報保護指針を遵守させるため必要な指導、勧告その他の措ては、当該認定個人情報保護団体の対象事業者が行う事

置をとるよう努めなければならない。

業を所管する大臣等
２（目的外利用の禁止)
第四十四条

内閣総理大臣は、前項ただし書の規定により主務大臣を指定したときは、その旨を公示しなければならない。

認定個人情報保護団体は、認定業務の実施に際して知り得た情報を認定業務の用に供する目的以外に利用

第五章

雑則

してはならない。

（適用除外）
第五十条

個人情報取扱事業者のうち次の各号に掲げる者に（名称の使用制限）

ついては、その個人情報を取り扱う目的の全部又は一部が第四十五条

それぞれ当該各号に規定する目的であるときは、前章の規認定個人情報保護団体でない者は、認定個人情報保護団体という名称又はこれに紛らわしい名称を用いて定は、適用しない。

はならない。

一

放送機関、新聞社、通信社その他の報道機関（報道を業として行う個人を含む。）報道の用に供する目的

二42

著述を業として行う者

著述の用に供する目的

三大学その他の学術研究を目的とする機関若しくは団体

又はそれらに属する者
四

宗教団体

に処する。

学術研究の用に供する目的

宗教活動（これに付随する活動を含む。）の第五十七条

せず、又は虚偽の報告をした者は、三十万円以下の罰金に用に供する目的
五

政治団体

第三十二条又は第四十六条の規定による報告を処する。

政治活動（これに付随する活動を含む。）の用に供する目的
２

前項第一号に規定する「報道」とは、不特定かつ多数の第五十八条

法人（法人でない団体で代表者又は管理人の定めのあるものを含む。以下この項において同じ。）の代表者

基づいて意見又は見解を述べることを含む。）をいう。

又は法人若しくは人の代理人、使用人その他の従業者が、３者に対して客観的事実を事実として知らせること（これに第一項各号に掲げる個人情報取扱事業者は、個人データ

その法人又は人の業務に関して、前二条の違反行為をしたの安全管理のために必要かつ適切な措置、個人情報の取扱

ときは、行為者を罰するほか、その法人又は人に対しても、各本条の罰金刑を科する。

いに関する苦情の処理その他の個人情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の２

法人でない団体について前項の規定の適用がある場合には、その代表者又は管理人が、その訴訟行為につき法人で内容を公表するよう努めなければならない。

ない団体を代表するほか、法人を被告人又は被疑者とする（地方公共団体が処理する事務）
第五十一条

場合の刑事訴訟に関する法律の規定を準用する。

この法律に規定する主務大臣の権限に属する事

務は、政令で定めるところにより、地方公共団体の長その

第五十九条

一

第四十条第一項の規定による届出をせず、又は虚偽の（権限又は事務の委任）
第五十二条

次の各号のいずれかに該当する者は、十万円以下の過料に処する。

他の執行機関が行うこととすることができる。

届出をした者二

この法律により主務大臣の権限又は事務に属す

第四十五条の規定に違反した者

る事項は、政令で定めるところにより、その所属の職員に委任することができる。

附則（施行期日）（施行の状況の公表）
第五十三条

第一条

この法律は、公布の日から施行する。ただし、第四内閣総理大臣は、関係する行政機関（法律の規章から第六章まで及び附則第二条から第六条までの規定は、定に基づき内閣に置かれる機関（内閣府を除く。）及び内閣

公布の日から起算して二年を超えない範囲内において政令の所轄の下に置かれる機関、内閣府、宮内庁、内閣府設置で定める日から施行する。

法（平成十一年法律第八十九号）第四十九条第一項及び第二項に規定する機関並びに国家行政組織法（昭和二十三年（本人の同意に関する経過措置）

法律第百二十号）第三条第二項に規定する機関をいう。次第二条

この法律の施行前になされた本人の個人情報の取扱

いに関する同意がある場合において、その同意が第十五条

いて報告を求めることができる。

第一項の規定により特定される利用目的以外の目的で個人

２条において同じ。）の長に対し、この法律の施行の状況につ内閣総理大臣は、毎年度、前項の報告を取りまとめ、その概要を公表するものとする。

情報を取り扱うことを認める旨の同意に相当するものであるときは、第十六条第一項又は第二項の同意があったものとみなす。

（連絡及び協力）
第五十四条

内閣総理大臣及びこの法律の施行に関係する行

第三条

この法律の施行前になされた本人の個人情報の取扱

政機関の長は、相互に緊密に連絡し、及び協力しなければいに関する同意がある場合において、その同意が第二十三ならない。

条第一項の規定による個人データの第三者への提供を認める旨の同意に相当するものであるときは、同項の同意があ（政令への委任）第五十五条

ったものとみなす。

この法律に定めるもののほか、この法律の実施のため必要な事項は、政令で定める。

（通知に関する経過措置）
第四条

第六章

罰則

第五十六条

第二十三条第二項の規定により本人に通知し、又は本人が容易に知り得る状態に置かなければならない事項に第三十四条第二項又は第三項の規定による命令相当する事項について、この法律の施行前に、本人に通知に違反した者は、六月以下の懲役又は三十万円以下の罰金されているときは、当該通知は、同項の規定により行われ43たものとみなす。

（内閣府設置法の一部改正）
第七条 内閣府設置法の一部を次のように改正する。

第五条

第二十三条第四項第三号の規定により本人に通知し、又は本人が容易に知り得る状態に置かなければならない事

第四条第三項第三十八号の次に次の一号を加える。
三十八の二

個人情報の保護に関する基本方針（個人情項に相当する事項について、この法律の施行前に、本人に報の保護に関する法律（平成十五年法律第五十七号）

通知されているときは、当該通知は、同号の規定により行第七条第一項に規定するものをいう。）の作成及び推進

われたものとみなす。

に関すること。
第三十八条第一項第一号中「並びに市民活動の促進」を「、（名称の使用制限に関する経過措置）

市民活動の促進並びに個人情報の適正な取扱いの確保」

第六条に改め、同項第三号中「（昭和四十八年法律第百二十一号）」

この法律の施行の際現に認定個人情報保護団体という名称又はこれに紛らわしい名称を用いている者については、第四十五条の規定は、同条の規定の施行後六月間は、適用しない。

44の下に「及び個人情報の保護に関する法律」を加える。

MEMO45