令 和 ４ 年 ４ 月 １ 日
個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン」に関するＱ＆Ａの更新
個人情報の保護に関する法律（平成 15 年法律第 57 号）の一部を改正するデジタル社会の形成を図るための関係法律の整備に関する法律（令和３年法第 37 号）第 50 条の規定が本日施行されたこと等を踏まえ、「「個人情報の保護に関する法律についてのガイドライン」
に関するＱ＆Ａ」について、以下のとおり更新いたしました。

１

ガイドライン（通則編）
１－１ 定義（個人情報）
Ｑ１－６

外国に居住する外国人の個人情報についても、個人情報保護法による保護の対象になりますか。
Ａ１－６

居住地や国籍を問わず、日本にあるの個人情報取扱事業者及び行政機関等が取り扱う個人情報は、個人情報保護法による保護の対象となり得ます。
（令和４年４月更新）（個人情報）
Ｑ１－10 顧客との電話の通話内容は個人情報に該当しますか。また、個人情報取扱事業者は、通話内容を録音している場合、録音している旨を相手方に伝えなければなりませ
んか。
Ａ１－10

通話内容から特定の個人を識別することが可能な場合には個人情報に該当します。個人情報に該当する場合、個人情報取扱事業者は、個人情報保護法上は、利用目的を通知又は公表する義務を負いはありますが、録音していることについて伝える義務までは負いませんありません。
（令和４年４月更新）（個人識別符号）Ｑ１－24

ゲノムデータは個人識別符号に位置付けられていますが、学術研究機関等が学術研究目的でゲノムデータを取り扱う場合にも個人情報保護法は適用されますか。
Ａ１－24

学術研究機関等（大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者をいう。法第 16 条第８項）が学術研究目的でゲノムデータを取り扱う場

1

合にも、個人情報保護法が適用されます。その上で、利用目的による制限（法第 18 条第１項）、要配慮個人情報の取得制限（法 20 条第２項）、第三者提供の制限（法第 27 条第１項） 等につい ては、個人の 権利利益 を不当に侵害 するおそ れがある場合 を除き 、
学術研究機関等に関する例外規定が設けられています（法第 18 条第３項第５号及び第６号、法第 20 条第２項第５号から第７号まで、法第 27 条第１項第５号から第７号まで等）
私立大学その他の学術研究を目的とする機関・団体又はそのような機関等に所属している方が、学術研究の用に供する目的でゲノムデータその他の個人情報を取り扱う場合には、法第４章に規定する各種義務規定は適用されません（法第 76 条第１項第３号）。
（令和４年４月更新）（個人識別符号）Ｑ１－26

各種被保険者証に記載されている各種保険者番号・被保険者記号・番号の記号・番号・保険者番号は、それぞれの番号等自体が個人識別符号なのですか、それとも
３つ揃うことで個人識別符号なのですか。
Ａ１－26 各種被保険者証に記載されている各種保険者番号・被保険者記号・番号の記号・番号・保険者番号は、３つ（被保険者記号が無い場合記号がない被保険者証の場合やは２つ）揃うことで特定の個人を識別することができ、個人識別符号に該当します。
（令和４年４月更新）（要配慮個人情報）
Ｑ１－29 消費者直販型遺伝子検査の結果（いわゆる DTC 遺伝子検査の結果）は、要配慮
個人情報に該当しますか。
Ａ１－29 消費者直販型遺伝子検査の結果（いわゆる DTC（direct to consumer）遺伝子検
査の結果）は、当該検査が施行令第２条第２号に規定する「医師その他医療に関連する職務に従事する者」（医師等）により行われ、かつ、疾病の予防及び早期発見のために行われたものである場合には、健康診断等の結果に当たるため、要配慮個人情報に該当します。
（令和４年４月更新）（法令に基づく場合）
Ｑ１－63

個人情報保護法におけるいくつかの義務の例外規定として「法令に基づく場

合」というものがありますが、ガイドライン（通則編）に記載されたもの（刑事訴訟法
第 197 条第２項に基づく警察の捜査関係事項照会への対応等）の他にどのようなものがありますか。また、「法令」とは、法律以外も含まれるのですか。
（参考）「法令に基づく場合」という例外規定が関連する主な条文
・法第 1816 条第３項第１号（利用目的による制限）・法第 2017 条第２項第１号（要配慮個人情報の取得）

2

・法第 2723 条第１項第１号（第三者提供の制限）
・法第 2824 条（外国にある第三者への提供の制限）
・法第 2925 条（第三者提供に係る記録の作成等）
・法第 3026 条（第三者提供を受ける際の確認等）
・法第 31 条 26 条の２（個人関連情報の第三者提供の制限等）
・法第 41 条 35 条の２第６項（個人情報である仮名加工情報の第三者提供の制限等）
・法第 42 条 35 条の３第１項（個人情報でない仮名加工情報の第三者提供の制限等）
Ａ１－63 次のようなものが考えられます。なお、「法令」には、「法律」のほか、法律に基づいて制定される「政令」「府省令」や地方公共団体自治体が制定する「条例」などが含
まれますが、一方、行政機関の内部における命令や指示である「訓令」や「通達」は、「法令」に含まれません。
○少年法第６条の４に基づく触法少年の調査に必要な質問や調査関係事項照会等○少年法第６条の５に基づく令状による触法少年の調査○金融商品取引法第 210 条、第 211 条等に基づく証券取引等監視委員会の職員による犯則事件の調査への対応○犯罪による収益の移転防止に関する法律第４条に基づく取引時確認への対応○犯罪による収益の移転防止に関する法律第８条第１項に基づく特定事業者による疑わしい取引の届出○所得税法第 225 条第１項等による税務署長に対する支払調書等の提出○国税通則法第 74 条の２に基づく税関の職員による消費税に関する調査への対応○関税法第 105 条第１項各号に基づく税関の職員による関税法に基づく質問検査への対応○国税通則犯則取締法第 131１条、関税法第 119 条等に基づく税務署等及び税関の職員による犯則事件の調査への対応○国税徴収法第 141 条に基づく税務署等及び税関の職員による滞納処分のための調査への対応○刑事訴訟法第 507 条による裁判執行関係事項照会への対応○刑事訴訟法第 279 条、心神喪失等の状態で重大な他害行為を行った者の医療及び観監察等に関する法律第 24 条第３項による裁判所からの照会への対応○民事訴訟法第 186 条、第 226 条、家事事件手続法第 62 条による裁判所からの文書送付や調査の嘱託への対応○家事事件手続法第 58 条に基づく家庭裁判所調査官による事実の調査への対応○犯罪被害財産等による被害回復給付金の支給に関する法律第 28 条による検察官や被害回復事務管理人からの照会への対応○児童虐待の防止等に関する法律第６条第１項に基づく児童虐待に係る通告○統計法第 13 条による国勢調査などの基幹統計調査に対する報告3

○統計法第 30 条及び第 31 条による国勢調査などの基幹統計調査に関する協力要請への対応○会社法第 381 条第３項による親会社の監査役の子会社に対する調査への対応○会社法第 396 条及び金融商品取引法第 193 条の２の規定に基づく財務諸表監査への対応〇感染症の予防及び感染症の患者に対する医療に関する法律第 15 条第１項に基づく保健所が行う積極的疫学調査に対応する場合〇電気事業法第 34 条第１項に基づき、災害発生時の停電復旧対応の迅速化等のため、
経済産業大臣の求めに応じて、一般送配電事業者又は配電事業者が、関係行政機関又は地方公共団体の長に対して必要な情報を提供する場合〇空家等対策の推進に関する特別措置法第 10 条第３項に基づき、市町村長からの求めに応じて、電気、ガス等の供給事業者等が、市町村長に対して空家等の所有者等に関する情報を提供する場合〇生活保護法第 29 条に基づき、保護の決定若しくは実施等のために必要があるときに、要保護者等及びその扶養義務者の資産、収入及び支出の状況等について、保護の実施
機関及び福祉事務所長からの求めに応じて報告する場合〇賃金の支払の確保等に関する法律第 12 条の２第１項に基づく要請に応じて、労働基準監督署長に対して情報を提供する場合（令和４３年４９月更新）
１－４ 個人情報の取得（利用目的の通知又は公表）
Ｑ４－12 PTA が学校から生徒等に関する個人情報を取得する場合、どういった点に注意すればよいですか。
Ａ４－12 PTA が名簿を作成しようとする場合、本人にその利用目的を通知・公表し、本人から取得した個人情報をその利用目的の範囲内で利用することが可能です。
なお、学校による個人情報（個人データ又は保有個人情報）の第三者提供については、
私立学校又は国立の学校の場合には個人情報保護法が、国公立の学校の場合には地方公共団体、設立主体に応じて独立行政法人等個人情報保護法や自治体の条例が適用され、それらの規定に基づいて適切に取り扱うことが求められます。
（平成 30 年７月追加・令和４年４月更新）
１－７ 個人データの第三者への提供（第三者提供の制限の原則）

4

Ｑ７－22

地震等の災害時に支援が必要な高齢者、障害者等のリストを災害時に備えて関係者間で共有することは可能ですか。
Ａ７－22 災害対策基本法では、市町村長は、避難行動要支援者（※１）について、避難支援等を実施するための基礎となる名簿（避難行動要支援者名簿）を作成することが義務付けられているとともに、当該避難行動要支援者について避難支援等を実施するための計画（個別避難計画）を作成するよう努めなければならないこととされています。
同法では、この名簿や計画に記載し、又は記録された情報は、災害の発生に備え、避難支援等の実施に必要な限度で、名簿については避難行動要支援者本人の同意が、計画については避難行動要支援者及び避難支援等実施者（※２）本人の同意が得られる場合は、地域防災計画の定めるところにより、避難支援等関係者に対し、当該情報を原則本人の同意を取得した上で関係者に提供するものとされています（ただし、各市町村の条例に特別の定めがある場合は、当該本人の同意を得ずに避難支援等関係者に提供するものとなりで共有することができます。
）。
また、同法に基づき、災害が発生し、又は災害が発生する災害発生時又は災害発生のおそれがある場合で避難行動要支援者の生命又は身体を災害から保護するために特に必要があると認めるときは、避難支援等の実施に必要な限度で、本人の同意を得ずに避難支援等関係者等に提供で共有することができます。
なお、災害対策基本法には、名簿や計画に記載し、又は記録された情報を提供する際に避難行動要支援者や第三者の権利利益を保護するために必要な措置を講じるよう努める
ことや、提供を受けた場合の秘密保持義務なども規定されています。
※１ 「避難行動要支援者」とは、当該市町村に居住する、高齢者、障害者、乳幼児その他の特に配慮を要する者のうち、災害が発生し、又は災害が発生するおそれがある場合に自ら避難することが困難な者であって、その円滑かつ迅速な避難の確保を図るため
特に支援を要するものとされています。
※２ 「避難支援等実施者」とは、消防機関、都道府県警察、民生委員、市町村社会福祉協議会、自主防災組織その他の避難支援等の実施に携わる関係者のうち当該個別避難計画に係る避難行動要支援者について避難支援等を実施する者とされています。
（平成 30 年７月追加・令和４年４月更新）
１－９ 保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止等、個人情報の取扱いに関する苦情処理（保有個人データの訂正等）
Ｑ９－18 一般的には「削除」と「消去」は同じ意味と考えられますが、保有個人データを削除すべき場合（法第 3429 条）と消去すべき場合（法第 3530 条）の違いは何ですか。

5

Ａ９－18 法第 3429 条は、保有個人データの内容が事実ではない場合について規定しており、他方、法第 3530 条は、保有個人データが法第 1816 条若しくは第 19 条の規定に違反して取り扱われている場合又は法第 2017 条の規定に違反して取得されたものである場合について規定しており、その適用場面が異なります。
なお、「削除」とは、不要な情報を除くことであり、他方、「消去」とは、保有個人デー
タを保有個人データとして使えなくすることであり、当該データを削除することのほか、
当該データから特定の個人を識別できないようにすること等を含みます。
（令和４年４月更新）（保有個人データの利用停止等）
Ｑ９－21

当社では、電話で資料請求をしてきたお客様にダイレクトメールを送付していますが、お客様から、ダイレクトメールの停止及び個人情報の消去を求められた場合、応じなければならないですか。
Ａ９－21 ダイレクトメールを送付することについて、利用目的として特定した上で、当該利用目的を顧客に通知又は公表する必要があります。
そして、個人情報取扱事業者は、保有個人データを法第 1816 条若しくは第 19 条の規定に違反して取り扱っている場合又は法第 2017 条の規定に違反して取得したものである
場合には、当該保有個人データの利用の停止又は消去をする義務があります（法第 3530
条第２項）。
また、個人情報取扱事業者は、当該本人の権利又は正当な利益が害されるおそれがある場合等、法第 3530 条第５項の要件を満たす場合には、当該保有個人データの利用の停止
又は消去をする義務があります（法第 3530 条第６項）。具体的には、以下のような事例が考えられます。
事例１）ダイレクトメールを送付するために個人情報取扱事業者が保有していた情報について、当該個人情報取扱事業者がダイレクトメールの送付を停止した後、本人が消去を請求した場合
事例２）ダイレクトメールの送付を受けた本人が、送付の停止を求める意思を表示したにもかかわらず、個人情報取扱事業者がダイレクトメールを繰り返し送付していることから、本人が利用停止等を請求する場合
なお、個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならないとされているため（法第 4035 条第１項）、利用停止等の請求に理由がない場合であっても、顧客からのダイレクトメールの停止等の要求を苦情として扱った上で、適切かつ迅速に処理するよう努めなければなりません。
（令和４３年４９月更新）
１－１０ 講ずべき安全管理措置の内容

6

（全般）
Ｑ10－８

防犯カメラを設置して個人データを取り扱う場合には、安全管理措置として

特にどのような点に注意すれば良いですか。
Ａ10－８ 個人情報取扱事業者は法第 2320 条に基づき個人データについて安全管理措置を講ずることが義務付けられています。カメラ画像や顔認証データなどの個人データについては、当該個人データの漏えい、滅失又は毀損の防止その他の安全管理のために必要か
つ適切な措置を講じる必要があり、具体的には組織的安全管理措置、人的安全管理措置、
物理的安全管理措置、技術的安全管理措置として、例えば以下のような措置が考えられます。
①組織的安全管理措置：カメラ画像等を取り扱う情報システムを使用できる従業者を限定、事業者内の責任者を定める、管理者及び情報の取扱いに関する規程等を整備す
る

等②人的安全管理措置：従業者に対する適切な研修（個人情報保護法の適用範囲・義務規
定、カメラ画像の取扱いに関する講義等）等を実施する 等③物理的安全管理措置：カメラ及び画像データを保存する電子媒体等の盗難又は紛失等を防止するために、設置場所に応じた適切な安全管理を行う 等④技術的安全管理措置：情報システムを使用してカメラ画像等を取り扱う場合や、IP カ
メラ（ネットワークカメラ、WEB カメラ）のようにネットワークを介してカメラ画像等を取り扱う場合に、必要とされる当該システムへの技術的なアクセス制御や漏えい防止策等を講ずる（アクセス制御には適切な場合にはパスワード設定等の措置も含む。
） 等⑤外的環境の把握：外国において個人データを取り扱う場合、当該外国の個人情報の保護に関する制度等を把握した上で、個人データの安全管理のために必要かつ適切な措置を講ずること
また、カメラ画像等が保有個人データに該当する場合には、保有個人データの安全管理のために講じた措置の内容を本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）に置く必要があります。ただし、本人の知り得る状態に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものについては、本人の知り得る状態に置く必要はありません（法第 32 条第１項第４号、施行令第 10 条第１号）。
なお、カメラ画像がデータベースを構築していない場合には、個人データとして法第2320 条の安全管理措置を講ずる義務が直接適用される対象ではないものの、当該画像が漏えい等することがないよう、上記の各種安全管理措置を参考として適切に取り扱うことが望ましいと考えられます。
（平成 30 年 12 月追加・令和４年４月更新）

7

１－１１ その他
（勧告、命令、緊急命令）
Ｑ11－１

個人情報取扱事業者等が個人情報保護法に違反した場合、どのような措置が採られるのですか。
Ａ11－１ 個人情報取扱事業者、個人関連情報取扱事業者、仮名加工情報取扱事業者又は匿名加工情報取扱事業者（以下「個人情報取扱事業者等」という。
）が、個人情報保護法の義務規定に違反し、不適切な個人情報、個人関連情報、仮名加工情報又は匿名加工情報（以下本項において「個人情報等」という。
）の取扱いを行っている場合には、個人情報保護委員会は、必要に応じて、当該個人情報取扱事業者等その他の関係者に対して報告徴収・（※）
、当該個人情報取扱事業者等に対して指導・助言
立入検査を実施し（法第 14340 条）を行い（法第 14441 条）、また、勧告・命令を行う（法第 14542 条）ことができます。
個人情報保護委員会からの報告徴収・立入検査に応じなかった場合や、報告徴収に対して虚偽の報告をした場合等には、刑事罰（50 万円以下の罰金）が科される可能性があり。また、個人情報保護委員会の命令に個人情報取扱事業者等が違反ます（法第 17785 条）
した場合には、個人情報保護委員会は、その旨を公表することができ（法第 14542 条第４項）、加えて、当該命令に違反した者には、刑事罰（１年以下の懲役又は 100 万円以下の罰金）が科される可能性があります（法第 17383 条）。
なお、個人情報取扱事業者若しくはその従業者又はこれらであった者が、その業務に関して取り扱った個人情報データベース等（その全部又は一部を複製し、又は加工したものを含む。
）を自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、刑事罰（１年以下の懲役又は 50 万円以下の罰金）が科される可能性があります（法第 17484条）。
さらに、法人の代表者又は法人若しくは人の代理人、使用人その他の従業者（以下本項
において「従業者等」という。
）がその法人又は人の業務に関して、上記の罰則の対象となる行為を行った場合には、両罰規定により、行為者に加え、その法人や人にも罰金刑が科される可能性があります（法第 17987 条）。
具体的には、従業者等が法人の業務に関して、①法第 17383 条又は第 17484 条に掲げる違反行為を行った場合、当該法人には、１億円以下の罰金刑が科される可能性があり、②
法第 17785 条に掲げる違反行為を行った場合、当該法人には 50100 万円以下の罰金刑が科される可能性があります。また、従業者等が人の業務に関して、法第 173 条、第 174 条
及び第 177 条 83 条から第 85 条までに掲げる違反行為を行った場合には、当該人に対して、当該違反行為を定める各条文に規定する罰金刑が科される可能性があります。
（※）法第 14744 条に基づく権限の委任が行われた場合には、事業所管大臣（各省庁）も報告徴収・立入検査を実施する権限を有することとなります。
（令和４３年４９月更新）

8

（適用除外）Ｑ11－５ 個人情報保護法の適用除外とはどのような制度ですか。
Ａ11－５ 個人情報取扱事業者等のうち、憲法上保障された自由（表現の自由、学問の自由、
信教の自由、政治活動の自由）に関わる以下の主体が以下の活動のために個人情報等を取り扱う場合には、その限りにおいて、個人情報取扱事業者等の義務は適用されません（法。
第 5776 条第１項）（１）報道機関

報道活動（２）著述を業として行う者

著述活動（３）学術研究機関・団体

学術活動（３４）宗教団体

宗教活動（４５）政治団体

政治活動

また、これらの諸活動の自由を確保するため、これらの活動の相手方である個人情報取扱事業者等の行為（例：①政党から政治活動を行うため要請があった場合に、後援会等が本人の同意なく個人データを提供すること、②新聞社等の報道機関が報道目的で個人情報を取り扱う場合に、報道機関に対して本人の同意なく個人データを提供すること）についても、個人情報保護委員会は、その行為に関する限り、その個人情報取扱事業者等に対して、報告の徴収、勧告、命令などの権限を行使しないこととされています（法第 14643
条第２項）。
（令和４平成 30 年４７月更新）（適用除外）
Ｑ11－６

大学等の学術研究機関等と民間企業や私立病院等が、学術研究目的の研究を共同で行う場合における個人情報の取扱いに関して留意すべき点を教えてください。
Ａ11－６ 個人データを第三者に提供する場合には、原則として、あらかじめ本人の同意を得る必要がありますが（法第 27 条第１項柱書）、法第 16 条第８項に規定する学術研究機
関等が共同研究を行う第三者（学術研究機関等であるか否かを問いません。
）に対して個
人データを学術研究目的で提供する必要がある場合（法第 27 条第１項第６号）や、個人情報取扱事業者が個人データを学術研究目的で取り扱う必要がある学術研究機関等に対して提供する場合（同項第７号）は、個人の権利利益を不当に侵害するおそれがない限り、
法第 27 条第１項柱書に規定する本人の同意を得ずに個人データを提供することができます。法第 76 条第１項第３号により、大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者による個人情報等の取扱いの目的の全部又は一部が学術研究の用に供する目的であるときは、当該者に法第４章の規定は適用されないため、例えば、私立大学、研究所、学会（学会に所属する医師等も含む。
）等に限らず、１つの主体とみなすことができる共同研究が学術研究の用に供する目的で個人情報等を取り扱う場合には、

9

法第４章の規定は適用されません。
したがって、民間企業や私立病院等であっても、上記の１つの主体とみなすことができる共同研究に属する者と認められる場合には、学術研究の目的に個人情報等を利用する
限りにおいて、法第４章の規定は適用されません。
ただし、当該共同研究の目的が営利事業への転用に置かれているなど、必ずしも学術研究の用に供する目的で取り扱っているとはみなされない場合には、提供に当たってあら
かじめ本人の同意を得る必要がある法第 76 条第１項第３号の適用除外には当たらず、法第４章の規定が適用されることに留意が必要です。
また、学術研究目的とはみなされない法第４章の規定が適用される場合であっても、例
えば、公衆衛生の向上に特に必要がある場合で本人の同意を得ることが困難であるときは、あらかじめ本人の同意を得ることなく個人データを第三者に提供することができます（法第 27 条第１項第３号）できるほか（法第 23 条第１項第３号）、学術研究機関が学
術研究の目的で個人情報等を取り扱う場合に、その者に対して個人情報等を提供する行
為については、個人情報保護委員会は権限を行使しないものとされています（法第 43 条
第２項）。
なお、学術研究機関等の自律性に鑑みれば、学術研究機関等の自律的な判断を原則として尊重する必要があると考えられることから、学術研究機関等が、個人情報を利用した研究の適正な実施のための自主規範を単独又は共同して策定・公表した場合であって、当該自主規範の内容が個人の権利利益の保護の観点から適切であり、その取扱いが当該自主規範にのっとっているときは、法第 146 条第１項の趣旨を踏まえ、個人情報保護委員会
は、これを尊重することとされていますが、自主規範にのっとった個人情報の取扱いであっても、本人の権利利益を不当に侵害するおそれがある場合には、原則として、個人情報保護委員会は、その監督権限を行使することとされています（ガイドライン（通則編）７－２参照）。この点、医学系研究等に関する指針としては、例えば以下が定められています。
〇人を対象とする生命科学・医学系研究に関する倫理指針（文部科学省、厚生労働省、経済産業省）○遺伝子治療等臨床研究に関する指針（厚生労働省）〇ヒト受精胚の作成を行う生殖補助医療研究に関する倫理指針（文部科学省、厚生労働省）〇ヒト受精胚に遺伝情報改変技術等を用いる研究に関する倫理指針（文部科学省、厚生労働省）〇ヒトＥＳ細胞の分配機関に関する指針（文部科学省）〇ヒトＥＳ細胞の使用に関する指針（文部科学省）〇ヒトｉＰＳ細胞又はヒト組織幹細胞からの生殖細胞の作成を行う研究に関する指針（文部科学省）

10

（令和４年４月更新）
５

その他

Ｑ16－１ ガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編、仮名加工情報・匿名加工情報編及び認定個人情報保護団体編）以外に、事業者等が遵守すべきガイドライン等はありますか。
Ａ16－１

従来、関係省庁が作成していたガイドラインのうち個人情報保護法に関するものは、平成 27 年改正の施行（平成 29 年５月 30 日）をもって、原則として個人情報保護委員会が作成したガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）に一元化されました。
ただし、医療関連・金融関連・情報通信関連分野等については、個人情報の性質及び利用方法並びに従来の規律の特殊性を踏まえて、個人情報保護委員会が作成したガイドラ
インを基礎としつつ、追加的に、当該分野においてさらに必要となるガイドライン等が定められるため、これも遵守する必要があります。当該追加的なガイドライン等については、
個人情報保護委員会のホームページを参照してください。
また、認定個人情報保護団体の対象事業者は、当該団体が作成する個人情報保護指針を遵守することが必要です。なお、事業者団体等が事業の実態及び特性を踏まえて自主的ルールを作成している場合もありますのであわせてご確認ください。
なお、令和４年４月１日からは、ガイドライン（認定個人情報保護団体編）が新たに施行されます。
このほか、令和３年改正の施行（令和４年４月１日）以降、法第 58 条及び第 123 条の規定により、法第４章及び法第５章の規定の適用の特例を受ける法別表第２に掲げる法
人や行政機関等が参照すべきガイドライン等については、Ｑ16－２を参照してください。
（令和４３年４９月更新）
Ｑ16－２ 令和３年改正法の施行（令和４年４月１日）以降、法第 58 条及び第 123 条の規定により、法第４章及び法第５章の規定の適用の特例を受ける個人情報取扱事業者等
や行政機関等が遵守すべきガイドライン等はありますか。
Ａ16－２

個人情報取扱事業者又は匿名加工情報取扱事業者のうち法別表第２に掲げる法人については、法第 58 条第１項の定めにより、法第４章の規定のうち、第 32 条から第39 条まで及び同章第４節（第 43 条から第 46 条まで）の規定の適用が無い一方で、法第123 条第２項の定めにより、その個人情報又は匿名加工情報の取扱いについて、独立行政法人等による個人情報又は匿名加工情報の取扱いとみなして、法第５章第１節（第 60 条）、
第 75 条、同章第４節（第 76 条から第 106 条まで）及び第５節（第 107 条から第 121 条ま11

で）、第 122 条第２項、第 125 条並びに第６章から第８章まで（第 171 条、第 175 条及び第 176 条を除く。
）の規定が適用されます。
また、独立行政法人労働者健康安全機構が行う病院の運営の業務における個人情報、仮名加工情報又は個人関連情報の取扱いについては、法第 58 条第２項の定めにより、個人情報取扱事業者、仮名加工情報取扱事業者又は個人関連情報取扱事業者による個人情報、
仮名加工情報又は個人関連情報の取扱いとみなして、法第４章（第 32 条から第 39 条まで及び第４節（第 43 条から第 46 条まで）を除く。
）及び第６章から第８章までの規定が適用される一方で、法第 123 条第１項の定めにより、法第５章（第１節（第 60 条）、第 66
条第２項（第３号及び第４号（同項第３号に係る部分に限る。）に係る部分に限る。）において準用する同条第１項、第 75 条、第４節（第 76 条から第 106 条まで）及び第５節（第107 条から第 121 条まで）
、第 122 条第２項並びに第 125 条を除く。
）の規定、第 171 条及び第 175 条の規定（これらの規定のうち第 66 条第２項第３号及び第４号（同項第３号に係る部分に限る。
）に定める業務に係る部分を除く。
）並びに第 176 条の規定は適用されません。
これらの法人等においては、ガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編、仮名加工情報・匿名加工情報編及び認定個人情報保護団体編）の関係する条項に係る部分のほか、ガイドライン（行政機関等編）、事務対応ガイド（行政機関等向け）及びＱ＆Ａ（行政機関等編）の関係する条項に係る部分についても参照してください。
（参考）各法人・業務と法第４章・第５章の適用関係
法第４章

法第５章
独立行政法人等とみなして、以法別表第２に掲げ

個人情報取扱事業者又は匿名加下の規定の適用がある。

工情報取扱事業者として、以下．．
 第１節（第 60 条）の規定を除く 規定の適用があ（法第２条第 11 項
 第 75 条る。
により、同項第２ 第４節（第 76 条から第 106 条
る法人号の「独立行政法
人等」からは除外。
）

 第 32 条から第 39 条まで
 第４節（第 43 条から第 46 条まで）まで）
 第５節（第 107 条から第 121 条まで）
 第 122 条第２項
 第 125 条

独立行政法人労働者健康安全機構が個人情報取扱事業者、仮名加工

独立行政法人等として、以下の情報取扱事業者又は個人関連情規定の適用がある。

報取扱事業者とみなして、以下

12

．．
行う病院の運営の の規定を除く 規定の適用があ  第１節（第 60 条）
業務 第 75 条

る。

（法第２条第 11 項

 第４節（第 76 条から第 106 条

第２号の「独立行  第 32 条から第 39 条までまで）政法人等」に該 第４節（第 43 条から第 46 条  第５節（第 107 条から第 121 条

当。
）

まで）

まで）
 第 122 条第２項
 第 125 条（令和４年４月追加）※

なお、上記のほか、法令改正に伴う条文番号及びガイドラインの引用箇所の変更や表現の適正化のため、以下の項目について軽微な修正を行っています。
１

ガイドライン（通則編）
１－１ 定義Ｑ１－12、１－13、１－36、１－45、１－49、１－55
１－２ 個人情報の利用目的
Ｑ２－８、２－９、２－11、２－13、２－14
１－３ 不適正利用の禁止
Ｑ３－１、３－２、３－３、３－４
１－４ 個人情報の取得
Ｑ４－１、４－２、４－３、４－９、４－10、４－11、４－13、４－14、４－16
１－５ 個人データの管理
Ｑ５－１、５－２、５－４、５－５、５－９、５－10
１－６ 個人データの漏えい等の報告等
Ｑ６－９、６－10、６－12、６－13、６－15、６－19、６－20、６－25
１－７ 個人データの第三者への提供
Ｑ７－１、７－２、７－５、７－７、７－10、７－11、７－13、７－15、７－16、７－
17、７－18、７－19、７－20、７－21、７－23、７－24、７－25、７－26、７－27、７－28、７－29、７－30、７－31、７－32、７－33、７－34、７－35、７－36、７－37、
７－38、７－41、７－42、７－43、７－47、７－49、７－50、７－51、７－53、７－54、
７－55、７－56、７－57、７－58
１－８ 個人関連情報の第三者提供の制限等
Ｑ８－３、８－４、８－５、８－６、８－７、８－８、８－９、８－10、８－11、８－
12、８－1313

１－９ 保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止等、個人情報の取扱いに関する苦情処理
Ｑ９－１、９－２、９－３、９－４、９－７、９－９、９－12、９－14、９－15、９－17、９－20、９－22、９－25、９－26、９－28、９－29、９－30、９－31
１－10 講ずべき安全管理措置の内容
Ｑ10－１、10－３、10－５、10－13、10－23、10－24、10－25
１－11 その他
Ｑ11－２、11－３、11－４
２

ガイドライン（外国にある第三者への提供編）
Ｑ12－１、12－２、12－３、12－４、12－５、12－６、12－７、12－８、12－９、12－
10、12－11、12－12、12－13、12－14、12－15、12－16、12－17、12－18、12－19、12－20

３ガイドライン（第三者提供時の確認・記録義務編）
Ｑ13－２、13－３、13－17、13－22、13－23、13－24、13－27、13－28、13－32、13－34

４

ガイドライン（仮名加工情報・匿名加工情報編）

４－１ 仮名加工情報
Ｑ14－１、14－２、14－３、14－４、14－５、14－８、14－10、14－12、14－13、14－
14、14－15、14－17、14－18、14－19、14－20、14－21
４－２ 匿名加工情報
Ｑ15－２、15－５、15－６、15－８、15－12、15－13、15－15、15－17、15－19、15－
23、15－26、15－27、15－28、15－29、15－30以上

14