個人情報の保護に関する法律についてのギフト分野を対象とする

ガイドライン

令和 4 年 4 月
一般社団法人 全日本ギフト用品協会

はじめに
本ガイドラインは、「個人情報の保護に関する法律」に基づき、個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（・「通則編」
・「外国にある第三者への提供編」
・「第三者提供時の確認・記録義務編」
・「仮名加工情報・匿名加工情報編」）に基づいて、一般社団法人全日本ギフト用品協会（以下「全ギ協」）がギフト業に携るメーカー、卸、ギフ
トエージェンシー、小売を対象とするガイドラインとして示したものです。
ギフト業においては各種の個人情報が取り扱われます。中元・歳暮の注文書、発送リスト。
アンケートの戻りハガキ・用紙。店頭における会員（顧客）証の発行。クイズの戻りハガキ・用紙。発送リスト入力の外注、外注による発送リストの提供。注文書、会員名簿、従業員名簿など等。更には、各種のデータ入手があります。展示会でのガイドブック、市町村役場で閲覧できる情報、新聞による死亡記事・生誕記事等の情報等など。
本ガイドラインでは「個人情報の適正な取得」「個人情報の利用目的の特定と通知」の徹底を求めております。更に、万が一、個人情報が漏洩したり、漏洩になりそうな場合は、隠さずに公表して、防止策を図ること。また、個人情報が漏洩しないように各企業は情報の保管・管理・運用を明確にしなければならない、ということです。これが大原則となります。
本ガイドラインは、全ギ協の会員社はもとよりギフト業に携る業者にも適用され、ギフト業の健全な発展に寄与するものであります。
尚、本ガイドラインは、法律の原則・ポイントをより分かりやすく理解できることを目的として、条文をそのまま掲載せず、内容を簡略化している場合もありますので、ご承知おきください。

令和 4 年 4 月
一般社団法人全日本ギフト用品協会

1

目
Ⅰ.目

次

的 ----------------------330）個人関連情報の第三者提供の制限等--38

Ⅱ.用語の説明（定義）31）32）保有個人データに関する事項の1）「個人情報」とは--------------3

公表等 ------------------------39

2）「要配慮個人情報」とは--------533）開示 --------------------------41

3）「本人」とは------------------634）35)訂正等 ---------------------43

4）「仮名加工情報」とは----------636）理由の説明 --------------------46

5）「匿名加工情報」とは----------737）手数料 ------------------------46

6）「個人関連情報」とは----------738）個人情報取扱事業者による苦情の処理--47

7）「個人情報データベース等」とは--7
2．仮名加工情報取扱事業者の義務

8）「個人情報取扱事業者」とは----91）2)3)4)仮名加工情報の作成等------48

9）「個人データ」とは------------95）仮名加工情報の第三者提供の制限等--50

10）「保有個人データ」とは--------911）「仮名加工情報取扱事業者」とは--10

3．匿名加工情報取扱事業者の義務

12）「匿名加工情報取扱事業者」とは--11

1）2)3)4)5)6)匿名加工情報の作成等--51

13）「個人関連情報取扱事業者」とは--11

7）8）匿名加工情報の提供-----------559）安全管理措置等------------------57

Ⅲ.個人情報取扱事業者等の義務等

1．個人情報取扱事業者及び個人関連情報取扱事業者の義務
1）2)利用目的の特定------------11
Ⅳ.その他 13）4）5）利用目的による制限----12

1）適用範囲----------------------57

6）不適正な利用の禁止----------15

2）3）4）罰則--------------------58

7）8）適正な取得---------------16
9）10）11）12）取得に際してのⅤ.その他 2

利用目的の通知等-----------18

1）個人情報漏洩発生の場合の対応について--58

13）データ内容の正確性の確保等--21

2）個人情報保護委員会について----59

14）安全管理措置----------------22

3）連絡・報告・相談--------------59

15）従業者の監督----------------26

4）個人情報保護法に違反？--------5916）委託先の監督----------------26

5）ガイドラインの見直し----------59

17）18）漏えい等の報告等--------28

6）認定個人情報保護団体とは------59

19）20）21）第三者提供の制限----31＜付記事項＞---------------------60

22）23）24）外国にある第三者への提供の制限------------------34※当ガイドラインの目次（頁）の記載

25）26）第三者提供に係る記録の作成等--36

順序は、原則、法律の条項の番号順に27）28）29）第三者提供を受ける際の確認等--36

しておりますので、他頁からの参照の際に参考にして下さい。

2

Ⅰ.目

的

このガイドラインは、日本におけるギフト業界唯一の認定個人情報保護団体である一般
社団法人全日本ギフト用品協会（以下「全ギ協」）の会員社、及び広くギフト産業に携るメーカー、卸、ギフトエージェンシー、小売業が、事業を展開していく上で取り扱う個人情報について適切に取得・利用・管理そして保護等を図るように支援することを目的とし、よってギフト業界の健全な発展に寄与するものである。

Ⅱ.用 語

の

説

明（定義）

1）
「個人情報」とは（第 2 条第 1 項）
「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
一

当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く））により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む）をいう。

二

個人識別符号が含まれるもの。

【個人情報に該当する事例】
事例 1）本人の氏名
事例 2）生年月日、連絡先（住所・居所・電話番号・メールアドレス）、会社における職
位又は所属に関する情報について、それらと本人の氏名を組み合わせた情報
事例 3）防犯カメラに記録された情報等本人が判別できる映像情報
事例 4）本人の氏名が含まれる等の理由により、特定の個人を識別できる音声録音情報
事例 5）特定の個人を識別できるメールアドレス（kojin_ichiro@example.com 等のようにメールアドレスだけの情報の場合であっても、example 社に所属するコジンイチ
ロウのメールアドレスであることが分かるような場合等）
事例 6）個人情報を取得後に当該情報に付加された個人に関する情報（取得時に生存する
特定の個人を識別することができなかったとしても、取得後、新たな情報が付加され、又は照合された結果、生存する特定の個人を識別できる場合は、その時点で個人情報に該当する。
）
事例 7）官報、電話帳、職員録、法定開示書類（有価証券報告書等）、新聞、ホームペー
ジ、SNS（ソーシャル・ネットワーク・サービス）等で公にされている特定の個人を識別できる情報3

●「個人識別符号」とは、当該情報単体から特定の個人を識別できるものとして個人情報の保護に関する法律施行令に定められた文字、番号、記号その他の符号をいい、これに該当するものが含まれる情報は個人情報となる。
【個人識別符号の例】
・次に掲げる身体の特徴のいずれかを電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、特定の個人を識別するに足りるものとして個人情報保護委員会規則で定める基準に適合するもの
イ

細胞から採取されたデオキシリボ核酸（別名 DNA）を構成する塩基の配列

ロ

顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状によって定まる容貌

ハ

虹彩の表面の起伏により形成される線状の模様

ニ

発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化

ホ

歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様

ヘ

手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状ト

指紋又は掌紋チ

組合せ
上記イからトまでに掲げるものから抽出した特徴情報を、組み合わせ、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの

・旅券の番号・基礎年金番号
・免許証の番号・住民基本台帳法に規定する個人番号
・健康保険法の被保険者等記号・番号
・雇用保険法の被保険者番号
・次に掲げる証明書にその発行を受ける者ごとに異なるものとなるように記載された個
人情報保護委員会規則で定める文字、番号、記号その他の符号
イ

国民健康保険法の被保険者証

ロ

高齢者の医療の確保に関する法律の被保険者証

ハ

介護保険法の被保険者証

・その他前各号に準ずるものとして個人情報保護委員会規則で定める文字、番号、記号
その他の符号【個人情報に該当しない事例】
事例 1)企業の財務情報等、法人等の団体そのものに関する情報(団体情報)
事例2)記号や数字等の文字列だけから特定個人の情報であるか否かの区別がつかな
いメールアドレス情報(例えば、abc012345@ispisp.jp。ただし、他の情報と容易
4

に照合することによって特定の個人を識別できる場合は、個人情報となる)
事例 3)特定の個人を識別することができない統計情報
2）要配慮個人情報とは（第 2 条第 3 項）
「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。
【要配慮個人情報の事例】「要配慮個人情報」とは、不当な差別や偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして次の（1）から（11）までの記述等が含まれる個人情報を
いう。
（1）人種
人種、世系又は民族的若しくは種族的出身を広く意味する。なお、単純な国籍や「外国人」という情報は法的地位であり、それだけでは人種には含まない。また、肌の色
は、人種を推知させる情報にすぎないため、人種には含まない。
（2）信条
個人の基本的なものの見方、考え方を意味し、思想と信仰の双方を含むものである。
（3）社会的身分
ある個人にその境遇として固着していて、一生の間、自らの力によって容易にそれから脱し得ないような地位を意味し、単なる職業的地位や学歴は含まない。
（4）病歴
病気に罹患した経歴を意味するもので、特定の病歴を示した部分（例：特定の個人ががんに罹患している、統合失調症を患っている等）が該当する。
（5）犯罪の経歴
前科、すなわち有罪の判決を受けこれが確定した事実が該当する。
（6）犯罪により害を被った事実
身体的被害、精神的被害及び金銭的被害の別を問わず、犯罪の被害を受けた事実を意味する。具体的には、刑罰法令に規定される構成要件に該当し得る行為のうち、刑事事件に関する手続に着手されたものが該当する。
（7）身体障害、知的障害、精神障害（発達障害を含む。
）その他の個人情報保護委員会規則で定める心身の機能の障害があること（政令第 2 条第 1 号関係）
（8）本人に対して医師その他医療に関連する職務に従事する者により行われた疾病の予防及び早期発見のための健康診断その他の検査（同号において「健康診断等」という。）の結果、疾病の予防や早期発見を目的として行われた健康診査、健康診断、特定健康
診査、健康測定、ストレスチェック、遺伝子検査（診療の過程で行われたものを除く。）
等、受診者本人の健康状態が判明する検査の結果が該当する。

5

具体的な事例としては、労働安全衛生法（昭和 47 年法律第 57 号）に基づいて行われた健康診断の結果、同法に基づいて行われたストレスチェックの結果、高齢者の医療の確保に関する法律（昭和 57 年法律第 80 号）に基づいて行われた特定健康診査の結果などが該当する。また、法律に定められた健康診査の結果等に限定されるものではなく、人間ドックなど保険者や事業主が任意で実施又は助成する検査の結果も該当する。さらに、医療機関を介さないで行われた遺伝子検査により得られた本人の遺伝型とその遺伝型の疾患へのかかりやすさに該当する結果等も含まれる。なお、健康診断等を受診したという事実は該当しない。
なお、身長、体重、血圧、脈拍、体温等の個人の健康に関する情報を、健康診断、診療等の事業及びそれに関する業務とは関係ない方法により知り得た場合は該当しない。
（9）健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと（10）本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと（犯罪の経歴を除く。
）（11）本人を少年法（昭和 23 年法律第 168 号）第 3 条第 1 項に規定する少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと（政令第 2 条第 5 号関係）
3)「本人」とは（第 2 条第 4 項）
「本人」とは、個人情報によって識別される特定の個人をいう。

4）「仮名加工情報」とは（第 2 条第 5 項）
「仮名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報をいう。
一

氏名、生年月日、その他の個人情報が含まれる場合は、当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

二

個人識別情報が含まれる場合は、当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）
。

6

5）
「匿名加工情報」とは（第 2 条第 6 項）
「匿名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。
一

氏名、生年月日、その他の個人情報が含まれる場合は、当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

二

個人識別情報が含まれる場合は、当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

6）「個人関連情報」とは（第 2 条第 7 項）
「個人関連情報」とは、生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。
【個人関連情報に該当する事例（※）
】
事例 1）Cookie 等の端末識別子を通じて収集された、ある個人のウェブサイトの閲覧履歴
事例 2）メールアドレスに結び付いた、ある個人の年齢・性別・家族構成等
事例 3）ある個人の商品購買履歴・サービス利用履歴
事例 4）ある個人の位置情報
事例 5）ある個人の興味・関心を示す情報（※）個人情報に該当する場合は、個人関連情報に該当しないことになる。例えば、一般
的に、ある個人の位置情報それ自体のみでは個人情報には該当しないものではあるが、個人に関する位置情報が連続的に蓄積される等して特定の個人を識別することができる場合には、個人情報に該当し、個人関連情報には該当しないことになる。
7）「個人情報データベース等」とは（第 16 条第 1 項）
「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるもの（利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものを除く。
）をいう。
一

特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの

二

前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの「個人情報データベース等」とは、特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した、個人情報を含む情報の集合物をいう。また、コンピュータを用いていない場合であっても、紙面で処理した個人情報を一定の規則（例えば、五十音順等）に従って整理・分類し、特定の個人情報を容易に検索することができるよう、
7目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当する。
●法第 16 条第 1 項の利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものは、次の各号のいずれにも該当するものとする。
（1）不特定かつ多数の者に販売することを目的として発行されたものであって、かつ、その発行が法又は法に基づく命令の規定に違反して行われたものでないこと。
（2）不特定かつ多数の者により随時に購入することができ、又はできたものであること。
（3）生存する個人に関する他の情報を加えることなくその本来の用途に供しているものであること。
●法第 16 条第 1 項第 2 号の政令で定めるものは、同項に規定する情報の集合物に含まれる
個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成したものであって、目次、索引その他検索を容易にするためのものを有するものをいう。
【個人情報データベース等に該当する事例】
事例 1）電子メールソフトに保管されているメールアドレス帳（メールアドレスと氏名を組み合わせた情報を入力している場合）
事例 2）インターネットサービスにおいて、ユーザーが利用したサービスに係るログ情報
がユーザーID によって整理され保管されている電子ファイル（ユーザーID と個人情報を容易に照合することができる場合）
事例 3）従業者が、名刺の情報を業務用パソコン（所有者を問わない。）の表計算ソフト等を用いて入力・整理している場合
事例 4）人材派遣会社が登録カードを、氏名の五十音順に整理し、五十音順のインデック
スを付してファイルしている場合【個人情報データベース等に該当しない事例】
事例 1）従業者が、自己の名刺入れについて他人が自由に閲覧できる状況に置いていても、他人には容易に検索できない独自の分類方法により名刺を分類した状態である場
合事例 2）アンケートの戻りはがきが、氏名、住所等により分類整理されていない状態である場合
事例 3）市販の電話帳、住宅地図、職員録、カーナビゲーションシステム等

8

8）「個人情報取扱事業者」とは（第 16 条第 2 項）
「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者をいう。
ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営
利の別は問わない。
また、個人情報データベース等を事業の用に供している者であれば、当該個人情報データ
ベース等を構成する個人情報によって識別される特定の個人の数の多寡にかかわらず、個人情報取扱事業者に該当する。
9）「個人データ」とは（第 16 条第 3 項）
「個人データ」とは、個人情報データベース等を構成する個人情報をいう。
「個人データ」とは、個人情報取扱事業者が管理する「個人情報データベース等」を構成する個人情報をいう。
なお、法第 16 条第 1 項及び政令第 4 条第 1 項に基づき、利用方法からみて個人の権利利益を害するおそれが少ないため、個人情報データベース等から除かれているもの（例：
市販の電話帳・住宅地図等）を構成する個人情報は、個人データに該当しない（「個人情報データベース等」参照）。
【個人データに該当する事例】
事例 1）個人情報データベース等から外部記録媒体に保存された個人情報
事例 2）個人情報データベース等から紙面に出力された帳票等に印字された個人情報【個人データに該当しない事例】
事例） 個人情報データベース等を構成する前の入力用の帳票等に記載されている個人情報
10）「保有個人データ」とは（第 16 条第 4 項）
「保有個人データ」とは、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、
利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人デー
タであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの以外のものをいう。
法第 16 条第 4 項の政令で定めるものは、次に掲げるものとする。
（次に掲げるものは、「保有個人データ」ではない）（1）当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの事例） 家庭内暴力、児童虐待の被害者の支援団体が保有している、加害者（配偶者又は親権者）及び被害者（配偶者又は子）を本人とする個人データ

9（2）当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの
事例 1）暴力団等の反社会的勢力による不当要求の被害等を防止するために事業者が保有している、当該反社会的勢力に該当する人物を本人とする個人データ
事例 2）不審者や悪質なクレーマー等による不当要求の被害等を防止するために事業者が保有している、当該行為を行った者を本人とする個人データ（3）当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの
事例 1）製造業者、情報サービス事業者等が保有している、防衛に関連する兵器・設備・機器・ソフトウェア等の設計又は開発の担当者名が記録された、当該担当者を本人とする個人データ
事例 2）要人の訪問先やその警備会社が保有している、当該要人を本人とする行動予定等の個人データ（4）当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの
事例 1）警察から捜査関係事項照会等がなされることにより初めて取得した個人デー
タ事例 2）警察から契約者情報等について捜査関係事項照会等を受けた事業者が、その対応の過程で作成した照会受理簿・回答発信簿、照会対象者リスト等の個人データ（※なお、当該契約者情報自体は「保有個人データ」に該当する。）
事例 3）犯罪による収益の移転防止に関する法律（平成 19 年法律第 22 号）第 8 条第1 項に基づく疑わしい取引（以下「疑わしい取引」という。
）の届出の有無及び届出に際して新たに作成した個人データ
事例 4）振り込め詐欺に利用された口座に関する情報に含まれる個人データ（注）6 か月以内に消去することとなるものも「保有個人データ」となる。
11）「仮名加工情報取扱事業者」とは（第 16 条第 5 項）
「仮名加工情報取扱事業者」とは、仮名加工情報を含む情報の集合物であって、特定の仮名加工情報を電子計算機を用いて検索することができるように体系的に構成したもの
その他特定の仮名加工情報を容易に検索することができるように体系的に構成したもの
として政令で定めるもの（「仮名加工情報データベース等」）を事業の用に供している者をいう。
政令で定めるものは、同項に規定する情報の集合物に含まれる仮名加工情報を一定の規則に従って整理することにより特定の仮名加工情報を容易に検索することができるように体系的に構成したものであって、目次、索引その他検索を容易にするためのものを有す
るものをいう。
10

12）「匿名加工情報取扱事業者」とは（第 16 条第 6 項）
「匿名加工情報取扱事業者」とは、匿名加工情報を含む情報の集合物であって、特定の匿名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の匿名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（「匿名加工情報データベース等」）を事業の用に供している者をいう。
政令で定めるものは、同項に規定する情報の集合物に含まれる匿名加工情報を一定の規則に従って整理することにより特定の匿名加工情報を容易に検索することができるように体系的に構成したものであって、目次、索引その他検索を容易にするためのものを有す
るものをいう。
13)「個人関連情報取扱事業者」とは（第 16 条第 7 項）
「個人関連情報取扱事業者」とは、個人関連情報を含む情報の集合物であって、特定の個
人関連情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の個人関連情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（「個人関連情報データベース等」）を事業の用に供している者をいう。
政令で定めるものは、同項に規定する情報の集合物に含まれる個人関連情報を一定の規則に従って整理することにより特定の個人関連情報を容易に検索することができるように体系的に構成したものであって、目次、索引その他検索を容易にするためのものを有す
るものをいう。

Ⅲ．個人情報取扱事業者等の義務等
１．個人情報取扱事業者及び個人関連情報取扱事業者の義務
1）利用目的の特定（第 17 条 1 項）
個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的をできる限
り特定しなければならない。
個人情報取扱事業者は、個人情報を取り扱うに当たっては、利用目的をできる限り具体的に特定しなければならないが、利用目的の特定に当たっては、利用目的を単に抽象的、一般的に特定するのではなく、個人情報が個人情報取扱事業者において、最終的にどのような事業の用に供され、どのような目的で個人情報を利用されるのかが、本人にとって一
般的かつ合理的に想定できる程度に具体的に特定することが望ましい。
なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的の特定に当たっては、その旨が明確に分かるよう特定しなければならない。
【具体的に利用目的を特定している事例】
事例） 事業者が商品の販売に伴い、個人から氏名・住所・メールアドレス等を取得するに当たり、「○○事業における商品の発送、関連するアフターサービス、新商品・サービ

11

スに関する情報のお知らせのために利用いたします。」等の利用目的を明示している場合【具体的に利用目的を特定していない事例】
事例 1）「事業活動に用いるため」
事例 2）「マーケティング活動に用いるため」
2）利用目的の特定（第 17 条 2 項）
個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。
特定した利用目的は、変更前の利用目的と関連性を有すると合理的に認められる範囲、
すなわち、変更後の利用目的が変更前の利用目的からみて、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内で変更することは可能である。変更された利用目
的は、本人に通知するか、又は公表しなければならない。
なお、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱う場合は、法第 18 条第 1 項に従って本人の同意を得なければならない。ただし、本人の身体等の保護のために必要があり、かつ本人の同意を得ることが困難である場合等、法第 18 条第 3 項各号に掲げる場合には、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱うことができる。
3）利用目的による制限（第 18 条１項）
個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
個人情報取扱事業者は、法第 17 条第 1 項により特定した利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合は、あらかじめ本人の同意（※）を得なければならない。
ただし、当該同意を得るために個人情報を利用すること（メールの送信や電話をかけること等）は、当初特定した利用目的として記載されていない場合でも、目的外利用には該当しない。
※「本人の同意」とは、本人の個人情報が、個人情報取扱事業者によって示された取扱方
法で取り扱われることを承諾する旨の当該本人の意思表示をいう。
また、「本人の同意を得（る）」とは、本人の承諾する旨の意思表示を当該個人情報取扱事業者が認識することをいい、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。
なお、個人情報の取扱いに関して同意したことによって生ずる結果について、未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力を有していないなどの場合は、親権者や法定代理人等から同意を得る必要がある。
12

【本人の同意を得ている事例】
事例 1）本人からの同意する旨の口頭による意思表示
事例 2）本人からの同意する旨の書面（電磁的記録を含む。
）の受領事例 3）本人からの同意する旨のメールの受信事例 4）本人による同意する旨の確認欄へのチェック
事例 5）本人による同意する旨のホームページ上のボタンのクリック
事例 6）本人による同意する旨の音声入力、タッチパネルへのタッチ、ボタンやスイッチ等による入力4）利用目的による制限（第 18 条 2 項）
個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
個人情報取扱事業者が、合併、分社化、事業譲渡等により他の個人情報取扱事業者から事業の承継をすることに伴って個人情報を取得した場合であって、当該個人情報に係る承継前の利用目的の達成に必要な範囲内で取り扱う場合は目的外利用にはならず、本人の同意を得る必要はない。
なお、事業の承継後に、承継前の利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合は、あらかじめ本人の同意を得る必要があるが、当該同意を得るために個人情報を利用すること（メールの送信や電話をかけること等）は、承継前の利用目的として記載されていない場合でも、目的外利用には該当しない。
5）利用目的による制限（第 18 条 3 項）
前二項の規定は、次に掲げる場合については、適用しない。
一

法令に基づく場合

二人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

三

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

四国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得る
ことにより当該事務の遂行に支障を及ぼすおそれがあるとき。

（1）法令に基づく場合（法第 18 条第 3 項第 1 号関係）
法令に基づく場合は、法第 18 条第 1 項又は第 2 項の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り13

扱うことができる。
事例 1）警察の捜査関係事項照会に対応する場合
事例 2）裁判官の発する令状に基づく捜査に対応する場合
事例 3）税務署の所得税等に関する調査に対応する場合
事例 4）製造・輸入事業者が消費生活用製品安全法の規定による命令（危害防止命令）を受けて製品の回収等の措置をとる際に、販売事業者が、製品の購入者等の情報を当該製造・輸入事業者に提供する場合
事例 5）弁護士会からの照会に対応する場合
事例 6）保健所が行う積極的疫学調査に対応する場合
事例 7）災害発生時の停電復旧対応の迅速化等のため、経済産業大臣の求めに応じて、
一般送配電事業者が、関係行政機関又は地方公共団体の長に対して必要な情報を提供する場合（2）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（法第 18 条第 3 項第 2 号関係）
人（法人を含む。
）の生命、身体又は財産といった具体的な権利利益の保護が必要であり、かつ、本人の同意を得ることが困難である場合は、法第 18 条第 1 項又は第 2 項の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。
事例 1）急病その他の事態が生じたときに、本人について、その血液型や家族の連絡先等を医師や看護師に提供する場合
事例 2）大規模災害や事故等の緊急時に、被災者情報・負傷者情報等を家族、行政機関、地方自治体等に提供する場合
事例 3）事業者間において、暴力団等の反社会的勢力情報、振り込め詐欺に利用された口座に関する情報、意図的に業務妨害を行う者の情報について共有する場合
事例 4）製造した商品に関連して事故が生じたため、又は、事故は生じていないが、人の生命若しくは身体に危害を及ぼす急迫した危険が存在するため、当該商品の製造事業者等が当該商品をリコールする場合で、販売事業者、修理事業者又は設置工事事業者等が当該製造事業者等に対して、当該商品の購入者等の情報を提供する場合
事例 5）上記事例 4 のほか、商品に重大な欠陥があり人の生命、身体又は財産の保護が必要となるような緊急時に、製造事業者から顧客情報の提供を求められ、これに応じる必要がある場合
事例 6）不正送金等の金融犯罪被害の事実に関する情報を、関連する犯罪被害の防止のために、他の事業者に提供する場合（3）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（法第 18 条第 3 項第 3 号関係）
公衆衛生の向上又は心身の発達途上にある児童の健全な育成のために特に必要があり、かつ、本人の同意を得ることが困難である場合は、法第 18 条第 1 項又は第 2 項の適用
14

を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。
事例 1）健康保険組合等の保険者等が実施する健康診断の結果等に係る情報を、健康増進施策の立案、保健事業の効果の向上、疫学調査等に利用する場合
事例 2）児童生徒の不登校や不良行為等について、児童相談所、学校、医療機関等の関係機関が連携して対応するために、当該関係機関等の間で当該児童生徒の情報を交 換する場合
事例 3）児童虐待のおそれのある家庭情報を、児童相談所、警察、学校、病院等が共有する必要がある場合（4）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して、事業者が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（法第 18 条第 3 項第 4 号関係）
国の機関等（地方公共団体又はその委託を受けた者を含む。
）が法令の定める事務を実施する上で、民間企業等の協力を得る必要があり、かつ、本人の同意を得ることが当
該事務の遂行に支障を及ぼすおそれがあると認められる場合は、当該民間企業等は、法第 18 条第 1 項又は第 2 項の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。
事例 1）事業者が税務署又は税関の職員等の任意の求めに応じて個人情報を提出する
場合
事例 2）事業者が警察の任意の求めに応じて個人情報を提出する場合
事例 3）一般統計調査や地方公共団体が行う統計調査に回答する場合
6）不適正な利用の禁止（第 19 条第 1 項）
個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法
により個人情報を利用してはならない。
【個人情報取扱事業者が違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例】
事例 1）違法な行為を営むことが疑われる事業者（例：貸金業登録を行っていない貸金業者等）からの突然の接触による本人の平穏な生活を送る権利の侵害等、当該事業者の違法な行為を助長するおそれが想定されるにもかかわらず、当該事業者に当該本
人の個人情報を提供する場合
事例 2）裁判所による公告等により散在的に公開されている個人情報（例：官報に掲載される破産者情報）を、当該個人情報に係る本人に対する違法な差別が、不特定多数の者によって誘発されるおそれがあることが予見できるにもかかわらず、それを集約してデータベース化し、インターネット上で公開する場合
事例 3）暴力団員により行われる暴力的要求行為等の不当な行為や総会屋による不当な要求を助長し、又は誘発するおそれが予見できるにもかかわらず、事業者間で共有している暴力団員等に該当する人物を本人とする個人情報や、不当要求による被害を15

防止するために必要な業務を行う各事業者の責任者の名簿等を、みだりに開示し、又は暴力団等に対しその存在を明らかにする場合
事例 4）個人情報を提供した場合、提供先において法第 27 条第 1 項に違反する第三者提供がなされることを予見できるにもかかわらず、当該提供先に対して、個人情報を提供する場合事例 5）採用選考を通じて個人情報を取得した事業者が、性別、国籍等の特定の属性のみ
により、正当な理由なく本人に対する違法な差別的取扱いを行うために、個人情報を利用する場合
事例 6）広告配信を行っている事業者が、第三者から広告配信依頼を受けた商品が違法薬物等の違法な商品であることが予見できるにもかかわらず、当該商品の広告配信のために、自社で取得した個人情報を利用する場合
7）適正な取得（第 20 条第 1 項）
個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。
【個人情報取扱事業者が不正の手段により個人情報を取得している事例】
事例 1）十分な判断能力を有していない子供や障害者から、取得状況から考えて関係のな
い家族の収入事情などの家族の個人情報を、家族の同意なく取得する場合
事例 2）法第 27 条第 1 項に規定する第三者提供制限違反をするよう強要して個人情報を取得する場合事例 3）個人情報を取得する主体や利用目的等について、意図的に虚偽の情報を示して、本人から個人情報を取得する場合
事例 4）他の事業者に指示して不正の手段で個人情報を取得させ、当該他の事業者から個人情報を取得する場合
事例 5）法第 27 条第 1 項に規定する第三者提供制限違反がされようとしていることを知り、又は容易に知ることができるにもかかわらず、個人情報を取得する場合
事例 6）不正の手段で個人情報が取得されたことを知り、又は容易に知ることができるにもかかわらず、当該個人情報を取得する場合●個人情報を含む情報がインターネット等により公にされている場合であって、単にこれを閲覧するにすぎず、転記等を行わない場合は、個人情報を取得しているとは解されない。
●個人情報取扱事業者若しくはその従業者又はこれらであった者が、その業務に関して取り扱った個人情報データベース等（その全部又は一部を複製し、又は加工したものを含む。
）を自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、
法第 174 条により刑事罰（1 年以下の懲役又は 50 万円以下の罰金）が科され得る。

8）適正な取得（第 20 条第 2 項）

16

個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
一

法令に基づく場合

二人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

三

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

四国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

1.法令に基づく場合は、法第 18 条第 3 項の説明文を参照。
なお、具体的な事例は、次の事例も該当する。
事例） 個人情報取扱事業者が、労働安全衛生法に基づき健康診断を実施し、これにより従業員の身体状況、病状、治療等の情報を健康診断実施機関から取得する
場合
2.人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（法第 20 条第 2 項第 2 号関係）
事例 1）急病その他の事態が生じたときに、本人の病歴等を医師や看護師が家族から聴取する場合事例 2）事業者間において、不正対策等のために、暴力団等の反社会的勢力情報、意図的に業務妨害を行う者の情報のうち、過去に業務妨害罪で逮捕された事実等の情報について共有する場合
事例 3）不正送金等の金融犯罪被害の事実に関する情報を、関連する犯罪被害の防止のために、他の事業者から取得する場合
3.公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（法第 20 条第 2 項第 3 号関係）
事例 1）健康保険組合等の保険者等が実施する健康診断等の結果判明した病名等について、健康増進施策の立案や保健事業の効果の向上を目的として疫学調査等のために提供を受けて取得する場合
事例 2）児童生徒の不登校や不良行為等について、児童相談所、学校、医療機関等の関係機関が連携して対応するために、ある関係機関において、他の関係機関から当該児童生徒の保護事件に関する手続が行われた情報を取得する場合
事例 3）児童虐待のおそれのある家庭情報のうち被害を被った事実に係る情報を、児童相談所、警察、学校、病院等の関係機関が、他の関係機関から取得する場合
4.国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して、事業者が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（法第 20 条第 2 項第 4 号関係）
事例） 事業者が警察の任意の求めに応じて要配慮個人情報に該当する個人情報を17

提出するために、当該個人情報を取得する場合
9）取得に際しての利用目的の通知等（第 21 条第 1 項）
個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
個人情報取扱事業者は、個人情報を取得する場合は、あらかじめその利用目的を公表していることが望ましい。公表していない場合は、取得後速やかに、その利用目的を、本人に通知するか、又は公表しなければならない。
【本人への通知又は公表が必要な事例】
事例 1）インターネット上で本人が自発的に公にしている個人情報を取得した場合（単に閲覧しただけの場合を除く。）
事例 2）インターネット、官報、職員録等から個人情報を取得した場合（単に閲覧しただ
けの場合を除く。
）
事例 3）個人情報の第三者提供を受けた場合
10）取得に際しての利用目的の通知等（第 21 条第 2 項）
個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場
合は、この限りでない。
個人情報取扱事業者は、契約書や懸賞応募はがき等の書面等による記載、ユーザー入力
画面への打ち込み等の電磁的記録により、直接本人から個人情報を取得する場合には、あらかじめ、本人に対し、その利用目的を明示（※）しなければならない。
なお、名刺などは、一般の慣行として、自身の個人情報を、本人の自発的な意思で、任意の簡便な形式により相手に提供するものであり、申込書、アンケート調査票、懸賞応募
はがき等のように、個人情報取扱事業者が一定の書式や様式を準備した上で、本人が当該事業者の求めに沿う形で個人情報を提供する場合とは異なることから、本項の義務を課するものではないが、その場合は法第 21 条第 1 項に基づいて、あらかじめ利用目的を公表するか、取得後速やかに、その利用目的を、本人に通知するか、又は公表しなければならない。口頭により個人情報を取得する場合についても同様である。
また、人（法人を含む。
）の生命、身体又は財産の保護のために緊急に必要がある場合
は、あらかじめ、本人に対し、その利用目的を明示する必要はないが、その場合は法第21 条第 1 項に基づいて、取得後速やかにその利用目的を、本人に通知し、又は公表しな

18

ければならない。
【あらかじめ、本人に対し、その利用目的を明示しなければならない事例】
事例 1）本人の個人情報が記載された申込書・契約書等を本人から直接取得する場合
事例 2）アンケートに記載された個人情報を直接本人から取得する場合
事例 3）自社が主催するキャンペーンへの参加希望者が、参加申込みのために自社のホームページの入力画面に入力した個人情報を直接本人から取得する場合【利用目的の明示に該当する事例】
事例 1）利用目的を明記した契約書その他の書面を相手方である本人に手渡し、又は送付する場合
なお、契約約款又は利用条件等の書面（電磁的記録を含む。
）中に利用目的条項を記載する場合は、例えば、裏面約款に利用目的が記載されていることを伝える、又は裏面
約款等に記載されている利用目的条項を表面にも記載し、かつ、社会通念上、本人が認識できる場所及び文字の大きさで記載する等、本人が実際に利用目的を確認できるよう留意することが望ましい。
事例 2）ネットワーク上において、利用目的を、本人がアクセスした自社のホームページ
上に明示し、又は本人の端末装置上に表示する場合
なお、ネットワーク上において個人情報を取得する場合は、本人が送信ボタン等をクリックする前等にその利用目的（利用目的の内容が示された画面に 1 回程度の操作でページ遷移するよう設定したリンクやボタンを含む。
）が本人の目に留まるようその配置に留意することが望ましい。
（※）
「本人に対し、その利用目的を明示」とは、本人に対し、その利用目的を明確に示すことをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法による必要がある。
11）取得に際しての利用目的の通知等（第 21 条第 3 項）
個人情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
【本人への通知に該当する事例】
事例 1）ちらし等の文書を直接渡すことにより知らせること。
事例 2）口頭又は自動応答装置等で知らせること。
事例 3）電子メール、FAX 等により送信し、又は文書を郵便等で送付することにより知らせること。
【公表に該当する事例】
事例 1）自社のホームページのトップページから 1 回程度の操作で到達できる場所への掲載
事例 2）自社の店舗や事務所等、顧客が訪れることが想定される場所におけるポスター等

19

の掲示、パンフレット等の備置き・配布
事例 3）（通信販売の場合）通信販売用のパンフレット・カタログ等への掲載
12）取得に際しての利用目的の通知等（第 21 条第 4 項）
前三項の規定は、次に掲げる場合については、適用しない。
一

利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

二

利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合

三国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。

四取得の状況からみて利用目的が明らかであると認められる場合

次に掲げる場合については、法第 21 条第 1 項から第 3 項までにおいて利用目的の本人への通知、公表又は明示（以下「利用目的の通知等」という。
）が求められる場合であっても、当該利用目的の通知等は不要である。
1.利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（法第 21 条第 4 項第 1 号関係）事例） 児童虐待等に対応するために、児童相談所、学校、医療機関等の関係機関において、ネットワークを組んで対応する場合に、加害者である本人に対して当該本
人の個人情報の利用目的を通知・公表することにより、虐待を悪化させたり、虐待への対応に支障等が生じたりするおそれがある場合
2）利用目的を本人に通知し、又は公表することにより事業者の権利又は正当な利益を害す
るおそれがある場合（法第 21 条第 4 項第 2 号関係）事例） 暴力団等の反社会的勢力情報、疑わしい取引の届出の対象情報、業務妨害行為を行う悪質者情報等を、本人又は他の事業者等から取得したことが明らかになることにより、当該情報を取得した企業に害が及ぶ場合
3） 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき（法第 21 条第 4 項第 3 号関係）事例） 警察が、公開手配を行わないで、被疑者に関する個人情報を、被疑者の立ち回りが予想される個人情報取扱事業者に限って提供した場合において、警察から当該個人情報を受け取った当該個人情報取扱事業者が、利用目的を本人に通知し、又は公表することにより、捜査活動に支障を及ぼすおそれがある場合
4）取得の状況からみて利用目的が明らかであると認められる場合（法第 21 条第 4 項第 4号関係）
事例 1）商品・サービス等を販売・提供するに当たって住所・電話番号等の個人情報を20取得する場合で、その利用目的が当該商品・サービス等の販売・提供のみを確実に行うためという利用目的であるような場合
事例 2）一般の慣行として名刺を交換する場合、直接本人から、氏名・所属・肩書・連絡先等の個人情報を取得することとなるが、その利用目的が今後の連絡や、所属する会社の広告宣伝のための冊子や電子メールを送付するという利用目的であるような場合13）データ内容の正確性の確保等（第 22 条）
個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。
個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人情報データベー
ス等への個人情報の入力時の照合・確認の手続の整備、誤り等を発見した場合の訂正等の手続の整備、記録事項の更新、保存期間の設定等を行うことにより、個人データを正確かつ最新の内容に保つよう努めなければならない。
なお、保有する個人データを一律に又は常に最新化する必要はなく、それぞれの利用目的に応じて、その必要な範囲内で正確性・最新性を確保すれば足りる。
また、個人情報取扱事業者は、保有する個人データについて利用する必要がなくなった
とき、すなわち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等は、当該個人データを遅滞なく消去するよう努め
なければならない（※）
。なお、法令の定めにより保存期間等が定められている場合は、
この限りではない。
【個人データについて利用する必要がなくなったときに該当する事例】
事例） キャンペーンの懸賞品送付のため、当該キャンペーンの応募者の個人データを保有していたところ、懸賞品の発送が終わり、不着対応等のための合理的な期間が経
過した場合
（※）
「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないよ
うにすること等を含む。

21

14）安全管理措置（第 23 条）
個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
法第 23 条に定める安全管理措置として、個人情報取扱事業者が具体的に講じなければならない措置や当該措置を実践するための手法の例等を次に示す。
安全管理措置を講ずるための具体的な手法については、個人データが漏えい等をした場
合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。
）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容とすべきものであるため、必ずしも次に掲げる例示の内容の全てを講じなければならないわけではなく、また、適切な手法はこれ
らの例示の内容に限られない。
1

基本方針の策定
個人情報取扱事業者は、個人データの適正な取扱いの確保について組織として取り組む
ために、基本方針を策定することが重要である。
具体的に定める項目の例としては、「事業者の名称」、「関係法令・ガイドライン等の遵守」、「安全管理措置に関する事項」、「質問及び苦情処理の窓口」等が考えられる。

2

個人データの取扱いに係る規律の整備
個人情報取扱事業者は、その取り扱う個人データの漏えい等の防止その他の個人データの安全管理のために、個人データの具体的な取扱いに係る規律を整備しなければならな
い。
取得、利用、保存、提供、削除・廃棄等の段階ごとに、取扱方法、責任者・担当者及 び
その任務等について定める個人データの取扱規程を策定することが考えられる。なお、
具体的に定める事項については、以降に記述する組織的安全管理措置、人的安全管理措
置及び物理的安全管理措置の内容並びに情報システム（パソコン等の機器を含む。）を使用して個人データを取り扱う場合（インターネット等を通じて外部と送受信等する場合を含む。
）は技術的安全管理措置の内容を織り込むことが重要である。

3

組織的安全管理措置
個人情報取扱事業者は、組織的安全管理措置として、次に掲げる措置を講じなければならない。
（1）組織体制の整備（組織体制として整備する項目の例）
・個人データの取扱いに関する責任者の設置及び責任の明確化
・個人データを取り扱う従業者及びその役割の明確化
・上記の従業者が取り扱う個人データの範囲の明確化
・法や個人情報取扱事業者において整備されている個人データの取扱いに係る規律22に違反している事実又は兆候を把握した場合の責任者への報告連絡体制
・個人データの漏えい等事案の発生又は兆候を把握した場合の責任者への報告連絡体制
・個人データを複数の部署で取り扱う場合の各部署の役割分担及び責任の明確化
・個人データを取り扱う従業者が複数いる場合、責任ある立場の者とその他の者を区分する。
（2）個人データの取扱いに係る規律に従った運用
個人データの取扱いに係る規律に従った運用を確保するため、例えば次のような項目に関して、システムログその他の個人データの取扱いに係る記録の整備や業務日誌の作成等を通じて、個人データの取扱いの検証を可能とすることが考えられる。
・個人情報データベース等の利用・出力状況
・個人データが記載又は記録された書類・媒体等の持ち運び等の状況
・個人情報データベース等の削除・廃棄の状況（委託した場合の消去・廃棄を証明する記録を含む。
）
・個人情報データベース等を情報システムで取り扱う場合、担当者の情報システムの利用状況（ログイン実績、アクセスログ等）（3）個人データの取扱状況を確認する手段の整備
例えば次のような項目をあらかじめ明確化しておくことにより、個人データの取扱状況を把握可能とすることが考えられる。
・個人情報データベース等の種類、名称
・個人データの項目
・責任者・取扱部署
・利用目的
・アクセス権を有する者 等（4）漏えい等事案に対応する体制の整備
漏えい等事案の発生時に例えば次のような対応を行うための、体制を整備することが考えられる。
・事実関係の調査及び原因の究明
・影響を受ける可能性のある本人への通知
・個人情報保護委員会等への報告・再発防止策の検討及び決定・事実関係及び再発防止策等の公表 等（5）取扱状況の把握及び安全管理措置の見直し
・個人データの取扱状況について、定期的に自ら行う点検又は他部署等による監査を実施する。
・外部の主体による監査活動と合わせて、監査を実施する。
・責任ある立場の者が、個人データの取扱状況について、定期的に点検を行う。

23

4人的安全管理措置
個人情報取扱事業者は、人的安全管理措置として、次に掲げる措置を講じなければならない。また、個人情報取扱事業者は、従業者に個人データを取り扱わせるに当たっては、法第 24 条に基づき従業者に対する監督をしなければならない。
○従業者の教育・個人データの取扱いに関する留意事項について、従業者に定期的な研修等を行う。
・個人データについての秘密保持に関する事項を就業規則等に盛り込む。

5

物理的安全管理措置
個人情報取扱事業者は、物理的安全管理措置として、次に掲げる措置を講じなければならない。

（1）個人データを取り扱う区域の管理（管理区域の管理手法の例）
・入退室管理及び持ち込む機器等の制限等
なお、入退室管理の方法としては、IC カード、ナンバーキー等による入退室管理システムの設置等が考えられる。
・間仕切り等の設置、座席配置の工夫、のぞき込みを防止する措置の実施等による、権限を有しない者による個人データの閲覧等の防止（2）機器及び電子媒体等の盗難等の防止
・個人データを取り扱う機器、個人データが記録された電子媒体又は個人データが記載された書類等を、施錠できるキャビネット・書庫等に保管する。
・個人データを取り扱う情報システムが機器のみで運用されている場合は、当該機器をセキュリティワイヤー等により固定する。
（3）電子媒体等を持ち運ぶ場合の漏えい等の防止
・持ち運ぶ個人データの暗号化、パスワードによる保護等を行った上で電子媒体に保存する。
・封緘、目隠しシールの貼付けを行う。
・施錠できる搬送容器を利用する。
（4）個人データの削除及び機器、電子媒体等の廃棄（個人データが記載された書類等を廃棄する方法の例）
・焼却、溶解、適切なシュレッダー処理等の復元不可能な手段を採用する。
・情報システム（パソコン等の機器を含む。）において、個人データを削除する場
合、容易に復元できない手段を採用する。
また、個人データを削除した場合、又は、個人データが記録された機器、電子媒体等を廃棄した場合には、削除又は廃棄した記録を保存することや、それらの作業を委託する場合には、委託先が確実に削除又は廃棄したことについて証明書等
により確認することも重要である。

24

6

技術的安全管理措置
個人情報取扱事業者は、情報システム（パソコン等の機器を含む。
）を使用して個
人データを取り扱う場合（インターネット等を通じて外部と送受信等する場合を含む。
）、技術的安全管理措置として、次に掲げる措置を講じなければならない。

（1）アクセス制御
・個人情報データベース等を取り扱うことのできる情報システムを限定する。
情報システムによってアクセスすることのできる個人情報データベース等を限定する。
・ユーザーID に付与するアクセス権により、個人情報データベース等を取り扱う
情報システムを使用できる従業者を限定する。
・個人データを取り扱うことのできる機器及び当該機器を取り扱う従業者を明確化
し、個人データへの不要なアクセスを防止する。
（2）アクセス者の識別と認証（情報システムを使用する従業者の識別・認証手法の例）
・ユーザーID、パスワード、磁気・IC カード等
・機器に標準装備されているユーザー制御機能（ユーザーアカウント制御）により、個人情報データベース等を取り扱う情報システムを使用する従業者を識別・認証する。
（3）外部からの不正アクセス等の防止・情報システムと外部ネットワークとの接続箇所にファイアウォール等を設置し、不正アクセスを遮断する。
・情報システム及び機器にセキュリティ対策ソフトウェア等（ウイルス対策ソフト
ウェア等）を導入し、不正ソフトウェアの有無を確認する。
・機器やソフトウェア等に標準装備されている自動更新機能等の活用により、ソフトウェア等を最新状態とする。
・ログ等の定期的な分析により、不正アクセス等を検知する。
・個人データを取り扱う機器等のオペレーティングシステムを最新の状態に保持する。
・個人データを取り扱う機器等にセキュリティ対策ソフトウェア等を導入し、自動更新機能等の活用により、これを最新状態とする。
（4）情報システムの使用に伴う漏えい等の防止・情報システムの設計時に安全性を確保し、継続的に見直す（情報システムのぜい
弱性を突いた攻撃への対策を講ずることも含む。）。
・個人データを含む通信の経路又は内容を暗号化する。
・移送する個人データについて、パスワード等による保護を行う。
・メール等により個人データの含まれるファイルを送信する場合に、当該ファイル
へのパスワードを設定する。

25

7

外的環境の把握
個人情報取扱事業者が、外国において個人データを取り扱う場合、当該外国の個人情報の保護に関する制度等を把握した上で、個人データの安全管理のために必要か
つ適切な措置を講じなければならない。

15）従業者の監督（第 24 条）
個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たって、法第 23条に基づく安全管理措置を遵守させるよう、当該従業者に対し必要かつ適切な監督をしなければならない。その際、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。
）等に起因するリスクに応じて、個人データを取り扱う従業者に対する教育、研修等の内容及び頻度を充実させるなど、必要かつ適切な措置を講ずることが望ましい。
「従業者」とは、個人情報取扱事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者等をいい、雇用関係にある従業員（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、取締役、執行役、理事、監査役、監事、派遣社員等も含まれる。
【従業者に対して必要かつ適切な監督を行っていない事例】
事例 1）従業者が、個人データの安全管理措置を定める規程等に従って業務を行っていることを確認しなかった結果、個人データが漏えいした場合
事例 2）内部規程等に違反して個人データが入ったノート型パソコン又は外部記録媒体が繰り返し持ち出されていたにもかかわらず、その行為を放置した結果、当該パソコン又は当該記録媒体が紛失し、個人データが漏えいした場合
16）委託先の監督（第 25 条）
個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
具体的には、個人情報取扱事業者は、法第 23 条に基づき自らが講ずべき安全管理措置と同等の措置が講じられるよう、監督を行うものとする。

26

その際、委託する業務内容に対して必要のない個人データを提供しないようにすることは当然のこととして、取扱いを委託する個人データの内容を踏まえ、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に起因するリ
スクに応じて、次の（1）から（3）までに掲げる必要かつ適切な措置を講じなければならない。
（1）適切な委託先の選定
委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第 23 条及び本
ガイドラインで委託元に求められるものと同等であることを確認するため、「講ずべ
き安全管理措置の内容」に定める各項目が、委託する業務内容に沿って、確実に実施されることについて、あらかじめ確認しなければならない。
（2）委託契約の締結
委託契約には、当該個人データの取扱いに関する、必要かつ適切な安全管理措置として、委託元、委託先双方が同意した内容とともに、委託先における委託された個人データの取扱状況を委託元が合理的に把握することを盛り込むことが望ましい。
（3）委託先における個人データ取扱状況の把握
委託先における委託された個人データの取扱状況を把握するためには、定期的に監査を行う等により、委託契約で盛り込んだ内容の実施の程度を調査した上で、委託の内容等の見直しを検討することを含め、適切に評価することが望ましい。
また、委託先が再委託を行おうとする場合は、委託を行う場合と同様、委託元は、委託先が再委託する相手方、再委託する業務内容、再委託先の個人データの取扱方法等について、委託先から事前報告を受け又は承認を行うこと、及び委託先を通じて又は必要に応じて自らが、定期的に監査を実施すること等により、委託先が再委託先に対して本条の委託先の監督を適切に果たすこと、及び再委託先が法第 23 条に基づく
安全管理措置を講ずることを十分に確認することが望ましい。
【委託を受けた者に対して必要かつ適切な監督を行っていない事例】
事例 1）個人データの安全管理措置の状況を契約締結時及びそれ以後も適宜把握せず外部の事業者に委託した結果、委託先が個人データを漏えいした場合
事例 2）個人データの取扱いに関して必要な安全管理措置の内容を委託先に指示しなかった結果、委託先が個人データを漏えいした場合
事例 3）再委託の条件に関する指示を委託先に行わず、かつ委託先の個人データの取扱状
況の確認を怠り、委託先が個人データの処理を再委託した結果、当該再委託先が個
人データを漏えいした場合
事例 4）契約の中に、委託元は委託先による再委託の実施状況を把握することが盛り込まれているにもかかわらず、委託先に対して再委託に関する報告を求めるなどの必要な措置を行わず、委託元の認知しない再委託が行われた結果、当該再委託先が個人データを漏えいした場合
2717）漏えい等の報告等（第 26 条 1 項）
個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人
データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。
・個人データの「漏えい」とは、個人データが外部に流出することをいう。
【個人データの漏えいに該当する事例】
事例 1）個人データが記載された書類を第三者に誤送付した場合
事例 2）個人データを含むメールを第三者に誤送信した場合
事例 3）システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となっていた場合
事例 4）個人データが記載又は記録された書類・媒体等が盗難された場合
事例 5）不正アクセス等により第三者に個人データを含む情報が窃取された場合
なお、個人データを第三者に閲覧されないうちに全てを回収した場合は、漏えいに該当しない。また、個人情報取扱事業者が自らの意図に基づき個人データを第三者に提供する場合は、漏えいに該当しない。
・個人データの「滅失」とは、個人データの内容が失われることをいう。
【個人データの滅失に該当する事例】
事例 1）個人情報データベース等から出力された氏名等が記載された帳票等を誤って廃棄した場合
事例 2）個人データが記載又は記録された書類・媒体等を社内で紛失した場合
なお、上記の場合であっても、その内容と同じデータが他に保管されている場合は、滅失に該当しない。また、個人情報取扱事業者が合理的な理由により個人データを削除する場
合は、滅失に該当しない。
・個人データの「毀損」とは、個人データの内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となることをいう。
【個人データの毀損に該当する事例】
事例 1）個人データの内容が改ざんされた場合
事例 2）暗号化処理された個人データの復元キーを喪失したことにより復元できなくなった場合
事例 3）ランサムウェア等により個人データが暗号化され、復元できなくなった場合
なお、上記事例 2）及び事例 3）の場合であっても、その内容と同じデータが他に保管されている場合は毀損に該当しない。

28

●個人情報取扱事業者は、次の（1）から（4）までに掲げる事態（以下「報告対象事態」という。
）を知ったときは、個人情報保護委員会に報告しなければならない。
（1）要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態【報告を要する事例】
事例 1）従業員の健康診断等の結果を含む個人データが漏えいした場合（2）不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態【報告を要する事例】
事例 1）EC サイトからクレジットカード番号を含む個人データが漏えいした場合
事例 2）送金や決済機能のあるウェブサービスのログイン ID とパスワードの組み合
わせを含む個人データが漏えいした場合（3）不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態【報告を要する事例】
事例 1）不正アクセスにより個人データが漏えいした場合
事例 2）ランサムウェア等により個人データが暗号化され、復元できなくなった場合事例 3）個人データが記載又は記録された書類・媒体等が盗難された場合
事例 4）従業者が顧客の個人データを不正に持ち出して第三者に提供した場合（4）個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態「個人データに係る本人の数」は、当該個人情報取扱事業者が取り扱う個人データのうち、漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数をいう。
事例）システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となり、当該個人データに係る本人の数が 1,000 人を超える場合※「サイバー攻撃の事案」について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、次の（ア）から（エ）が考えられる。
（ア）個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において外部からの不正アクセスによりデータが窃取された痕跡が認められた場合（イ）個人データを格納しているサーバや、当該サーバにアクセス権限を有す
る端末において、情報を窃取する振る舞いが判明しているマルウェアの感染が確認された場合（ウ）マルウェアに感染したコンピュータに不正な指令を送り、制御するサーバ（C&C サーバ）が使用しているものとして知られている IP アドレス・FQDN（Fully Qualified Domain Name の略。サブドメイン名及びドメイン名から29なる文字列であり、ネットワーク上のコンピュータ（サーバ等）を特定するもの。
）への通信が確認された場合（エ）不正検知を行う公的機関、セキュリティ・サービス・プロバイダ、専門家
等の第三者から、漏えいのおそれについて、一定の根拠に基づく連絡を受けた場合
なお、漏えい等が発生し、又は発生したおそれがある個人データについて、高度な暗号化等の秘匿化がされている場合等、「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられている場合については、報告を要しない。
18）漏えい等の報告等（第 26 条 2 項）
前項に規定する場合には、個人情報取扱事業者は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
本人へ通知すべき事項については、漏えい等報告における報告事項のうち、「概要」、「漏
えい等が発生し、又は発生したおそれがある個人データの項目」、「原因」、「二次被害又はそのおそれの有無及びその内容」及び「その他参考となる事項」に限られている。これらの事項が全て判明するまで本人への通知をする必要がないというものではなく、本人への通知は、「当該事態の状況に応じて速やかに」行う必要がある。
本人への通知については、「本人の権利利益を保護するために必要な範囲において」行
うものである。
また、当初報告対象事態に該当すると判断したものの、その後実際には報告対象事態に該当していなかったことが判明した場合には、本人への通知が「本人の権利利益を保護するために必要な範囲において」行うものであることに鑑み、本人への通知は不要である。
【本人の権利利益を保護するために必要な範囲において通知を行う事例】
事例 1）不正アクセスにより個人データが漏えいした場合において、その原因を本人に通知するに当たり、個人情報保護委員会に報告した詳細な内容ではなく、必要な内容を選択して本人に通知すること。
事例 2）漏えい等が発生した個人データの項目が本人ごとに異なる場合において、当該本人に関係する内容のみを本人に通知すること。
・通知の方法「本人への通知」とは、本人に直接知らしめることをいい、事業の性質及び個人データの取扱状況に応じ、通知すべき内容が本人に認識される合理的かつ適切な方法によらなければならない。また、漏えい等報告と異なり、本人への通知については、その様式が法令上定められていないが、本人にとって分かりやすい形で通知を行うことが望ましい。
30

【本人への通知の方法の事例】
事例 1）文書を郵便等で送付することにより知らせること。
事例 2）電子メールを送信することにより知らせること。
【本人への通知が困難な場合に該当する事例】
事例 1）保有する個人データの中に本人の連絡先が含まれていない場合
事例 2）連絡先が古いために通知を行う時点で本人へ連絡できない場合【代替措置に該当する事例】
事例 1）事案の公表（※）
事例 2）問合せ窓口を用意してその連絡先を公表し、本人が自らの個人データが対象となっているか否かを確認できるようにすること（※）公表すべき内容は、個別の事案ごとに判断されるが、本人へ通知すべき内容を基本とする。
19）第三者提供の制限（第 27 条１項）
個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
一

法令に基づく場合

二人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

三

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

四国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

【第三者提供とされる事例】
事例 1）親子兄弟会社、グループ会社の間で個人データを交換する場合
事例 2）フランチャイズ組織の本部と加盟店の間で個人データを交換する場合
事例 3）同業者間で、特定の個人データを交換する場合【第三者提供とされない事例】（ただし、利用目的による制限がある。
）
事例） 同一事業者内で他部門へ個人データを提供する場合
ただし、次に掲げる場合については、第三者への個人データの提供に当たって、本人の同意は不要である。
・法令に基づいて個人データを提供する場合
・人（法人を含む。
）の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得ることが困難である場合
・公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることが困難である場合
31

・国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場
合であって、協力する民間企業等が当該国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合
20）第三者提供の制限（第 27 条第 2 項）
個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらか
じめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。
一

第三者への提供を行う個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名

二

第三者への提供を利用目的とすること

三

第三者に提供される個人データの項目

四第三者に提供される個人データの取得の方法

五

第三者への提供の方法

六

本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。

七

本人の求めを受け付ける方法

八その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則で定める事項【オプトアウトによる第三者提供の事例】
事例） 住宅地図業者（表札や郵便受けを調べて住宅地図を作成・販売）やデータベース
事業者（ダイレクトメール用の名簿等を作成・販売）が、あらかじめ下記（1）から（9）までに掲げる事項を自社のホームページに常時掲載し、本人からの停止の求めを受け付けられる状態にし、個人情報保護委員会に必要な届出を行った上で、販売等を行う場合（1）個人情報取扱事業者の氏名又は名称及び住所並びに法人等の代表者の氏名（2）第三者への提供を利用目的とすること。
（3）第三者に提供される個人データの項目（4）第三者に提供される個人データの取得の方法（5）第三者への提供の方法（6）本人の求めに応じて第三者への提供を停止すること。
（7）本人の求めを受け付ける方法（8）第三者に提供される個人データの更新の方法（9）当該届出に係る個人データの第三者への提供を開始する予定日

3221）第三者提供の制限（第 27 条第 5 項）
次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。
一

個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合

二

合併その他の事由による事業の承継に伴って個人データが提供される場合

三

特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いて
いるとき。

・
「委託」
利用目的の達成に必要な範囲内において、個人データの取扱いに関する業務の全部又は一部を委託することに伴い、当該個人データが提供される場合は、当該提供先は第三者に該当しない。この場合、当該提供先は、委託された業務の範囲内でのみ、本人との関係において提供主体である個人情報取扱事業者と一体のものとして取り扱われることに合理性があるため、委託された業務以外に当該個人データを取り扱うことはできない。
事例 1）データの打ち込み等、情報処理を委託するために個人データを提供する場合
事例 2）百貨店が注文を受けた商品の配送のために、宅配業者に個人データを提供す
る場合
・「事業の承継」合併、分社化、事業譲渡等により事業が承継されることに伴い、当該事業に係る個人データが提供される場合は、当該提供先は第三者に該当しない。
事例 1）合併、分社化により、新会社に個人データを提供する場合
事例 2）事業譲渡により、譲渡先企業に個人データを提供する場合
・「共同利用」
特定の者との間で共同して利用される個人データを当該特定の者に提供する場合であって、次の①から⑤までの情報を、提供に当たりあらかじめ本人に通知し、又は本人が容易に知り得る状態に置いているときには、当該提供先は、本人から見て、当該個人データを当初提供した事業者と一体のものとして取り扱われることに合理性があると考えられることから、第三者に該当しない。
①共同利用をする旨②共同して利用される個人データの項目
事例 1）氏名、住所、電話番号、年齢
事例 2）氏名、商品購入履歴③共同して利用する者の範囲
33

④利用する者の利用目的⑤当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名【共同利用に該当する事例】
事例 1）グループ企業で総合的なサービスを提供するために取得時の利用目的の範囲
内で情報を共同利用する場合
事例 2）親子兄弟会社の間で取得時の利用目的の範囲内で個人データを共同利用する場合
事例 3）使用者と労働組合又は労働者の過半数を代表する者との間で取得時の利用目的の範囲内で従業者の個人データを共同利用する場合
22）外国にある第三者への提供の制限（第 28 条第１項）
個人情報取扱事業者は、外国（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委
員会規則で定めるものを除く）にある第三者に個人データを提供する場合には、あらか
じめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。
個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国は、EU 及び英国が該当する。
23）外国にある第三者への提供の制限（第 28 条第 2 項）
個人情報取扱事業者は、前項の規定により本人の同意を得ようとする場合には、個人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。
1.法第 28 条第 2 項又は法第 31 条第 1 項第 2 号の規定により情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。
2.法第 28 条第 2 項又は法第 31 条第 1 項第 2 号の規定による情報の提供は、次に掲げる事項について行うものとする。
・当該外国の名称・適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報・当該第三者が講ずる個人情報の保護のための措置に関する情報
3.前項の規定にかかわらず、個人情報取扱事業者は、法第 28 条第 1 項の規定により本人の同意を得ようとする時点において、前項第 1 号に定める事項が特定できない場合には、同号及び同項第 2 号に定める事項に代えて、次に掲げる事項について情報提供しなければならない。
・前項第 1 号に定める事項が特定できない旨及びその理由34

・前項第 1 号に定める事項に代わる本人に参考となるべき情報がある場合には、当該情報
4.第 2 項の規定にかかわらず、個人情報取扱事業者は、法第 28 条第 1 項の規定により本人の同意を得ようとする時点において、第 2 項第 3 号に定める事項について情報提供できない場合には、同号に定める事項に代えて、その旨及びその理由について情報提供しなければならない。
24））外国にある第三者への提供の制限（第 28 条第 3 項）
個人情報取扱事業者は、個人データを外国にある第三者（第一項に規定する体制を整備している者に限る。
）に提供した場合には、個人情報保護委員会規則で定めるところにより、
当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。
【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客データの入力業務を委託する場合【事例 2】日本にある個人情報取扱事業者が、外国にある親会社に従業員情報を提供する
場合
1.外国にある第三者による相当措置の継続的な実施を確保するために必要な措置は、次に掲げる措置とする。
（1）当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼす
おそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認（＊）すること。
（2）当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人
データ（法第 31 条第 2 項において読み替えて準用する場合にあっては、個人関連情報）の当該第三者への提供を停止すること。
2.情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。
3.個人情報取扱事業者は、法第 28 条第 3 項の規定による求めを受けたときは、本人に対し、遅滞なく、次に掲げる事項について情報提供しなければならない。ただし、情報提供することにより当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼす
おそれがある場合は、その全部又は一部を提供しないことができる。
（1）当該第三者による法第 28 条第 1 項に規定する体制の整備の方法（2）当該第三者が実施する相当措置の概要（3）第 1 項第 1 号の規定による確認の頻度及び方法（＊）（4）当該外国の名称（5）当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要（6）当該第三者による相当措置の実施に関する支障の有無及びその概要（7）前号の支障に関して第 1 項第 2 号の規定により当該個人情報取扱事業者が講ずる35

措置の概要4.個人情報取扱事業者は、法第 28 条第 3 項の規定による求めに係る情報の全部又は一部について提供しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
5.個人情報取扱事業者は、前項の規定により、本人から求められた情報の全部又は一部について提供しない旨を通知する場合には、本人に対し、その理由を説明するよう努めなければならない。
25）第三者提供に係る記録の作成等（第 29 条第１項）
個人情報取扱事業者は、個人データを第三者に提供したときは、個人情報保護委員会規則で定めるところにより、当該個人データを提供した年月日、当該第三者の氏名又は名称
その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。
＜個人情報保護委員会規則で定める事項＞
イ

当該個人データを提供した年月日

ロ

当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名

ハ

当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項

ニ

当該個人データの項目

・法第 27 条第 1 項又は法第 28 条第 1 項の規定により個人データを第三者に提供した場合 次のイ及びロに掲げる事項
イ

法第 27 条第 1 項又は法第 28 条第 1 項の本人の同意を得ている旨

ロ

前号ロからニまでに掲げる事項

26）第三者提供に係る記録の作成等（第 29 条第 2 項）
個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会
規則で定める期間保存しなければならない。
※原則として、３年間。
27）第三者提供を受ける際の確認等（第 30 条第 1 項）
個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、個人情報保護委員会規則で定めるところにより、次に掲げる事項の確認を行わなければならない。
一

当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名

二

当該第三者による当該個人データの取得の経緯

・法第 30 条第 1 項の規定による同項第 1 号に掲げる事項の確認を行う方法は、個人デー
タを提供する第三者から申告を受ける方法その他の適切な方法とする。
・法第 30 条第 1 項の規定による同項第 2 号に掲げる事項の確認を行う方法は、個人デー
タを提供する第三者から当該第三者による当該個人データの取得の経緯を示す契約書36

その他の書面の提示を受ける方法その他の適切な方法とする。
28）第三者提供を受ける際の確認等（第 30 条第 3 項）
個人情報取扱事業者は、第一項の規定による確認を行ったときは、個人情報保護委員会規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。
1.法第 30 条第 3 項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマ
イクロフィルムを用いて作成する方法とする。
2.法第 30 条第 3 項の記録は、第三者から個人データの提供を受けた都度、速やかに作成しなければならない。ただし、当該第三者から継続的に若しくは反復して個人データの提供（法第 27 条第 2 項の規定による提供を除く。以下この条において同じ。
）を受けたとき、又は当該第三者から継続的に若しくは反復して個人データの提供を受けることが確実であると見込まれるときの記録は、一括して作成することができる。
3.前項の規定にかかわらず、本人に対する物品又は役務の提供に関連して第三者から当該本人に係る個人データの提供を受けた場合において、当該提供に関して作成された契約書その他の書面に次条第 1 項各号に定める事項が記載されているときは、当該書面をもって法第 30 条第 3 項の当該事項に関する記録に代えることができる。
※法第 30 条第 3 項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。
（1）個人情報取扱事業者から法第 27 条第 2 項の規定による個人データの提供を受けた場
合次のイからホまでに掲げる事項
イ

個人データの提供を受けた年月日

ロ

法第 30 条第 1 項各号に掲げる事項

ハ

当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項ニ

当該個人データの項目

ホ

法第 27 条第 4 項の規定により公表されている旨（2）個人情報取扱事業者から法第 27 条第 1 項又は法第 28 条第 1 項の規定による個人データの提供を受けた場合 次のイ及びロに掲げる事項
イ

法第 27 条第 1 項又は法第 28 条第 1 項の本人の同意を得ている旨

ロ

前号ロからニまでに掲げる事項（3）個人関連情報取扱事業者から法第 31 条第 1 項の規定による個人関連情報の提供を受けて個人データとして取得した場合 次のイからニまでに掲げる事項
イ

法第 31 条第 1 項第 1 号の本人の同意が得られている旨及び外国にある個人情報取扱事業者にあっては、同項第 2 号の規定による情報の提供が行われている旨
ロ

法第 30 条第 1 項第 1 号に掲げる事項

ハ 第 1 号ハに掲げる事項
37

ニ当該個人関連情報の項目（4）第三者（個人情報取扱事業者に該当する者を除く。
）から個人データの提供を受けた
場合 （1）ロからニまでに掲げる事項
29））第三者提供を受ける際の確認等（第 30 条第 4 項）
個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会
規則で定める期間保存しなければならない。
※原則として、３年間。
30）個人関連情報の第三者提供の制限等（再 31 条 1 項）
個人関連情報取扱事業者は、第三者が個人関連情報を個人データとして取得することが想定されるときは、次に掲げる事項について、あらかじめ個人情報保護委員会規則で定めるところにより確認することをしないで、当該個人関連情報を当該第三者に提供してはならない。
一

当該第三者が個人関連情報取扱事業者から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られて
いること。

二

外国にある第三者への提供にあっては、前号の本人の同意を得ようとする場合において、個人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報が当該本人に提供されていること。

・本人から同意を得る主体は、原則として提供先の第三者となり、個人関連情報取扱事業者
は、当該第三者から申告を受ける方法その他の適切な方法によって本人同意が得られていることを確認することになる。提供先の第三者から申告を受ける場合、個人関連情報取扱事業者は、その申告内容を一般的な注意力をもって確認すれば足りる。
・提供先の第三者において、複数の本人から同一の方式で同意を取得している場合、提供元
はそれぞれの本人から同意が取得されていることを確認する必要があるが、同意取得の方法については、本人ごとに個別の申告を受ける必要はなく、複数の本人からどのように同意を取得したか申告を受け、それによって確認を行えば足りる。
・なお、提供先の第三者から提供元の個人関連情報取扱事業者に対する申告に際し、提供先の第三者が法第 31 条第 1 項第 1 号の同意を取得済みの ID 等を提供する行為は、個人データの第三者提供に該当する場合があるが、法第 31 条第 1 項の確認行為において必要となる情報のみを提供する場合は、法令に基づく場合（法第 27 条第 1 項第 1 号）に該当する。
・また、提供元の個人関連情報取扱事業者において、同意取得を代行する場合、当該同意を38

自ら確認する方法も「その他の適切な方法」による確認に該当する。
【第三者から申告を受ける方法に該当する事例】
事例 1）提供先の第三者から口頭で申告を受ける方法
事例 2）提供先の第三者が本人の同意を得ていることを誓約する書面を受け入れる方法【その他の適切な方法に該当する事例】
事例 1）提供先の第三者が取得した本人の同意を示す書面等を確認する方法
事例 2）提供元の個人関連情報取扱事業者において同意取得を代行して、当該同意を自ら確認する方法・ 外国にある第三者への提供にあっては、必要な情報が当該本人に提供されていること（法第 31 条第 1 項第 2 号）
31）保有個人データに関する事項の公表等（第 32 条第１項）
個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
一

当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名

二全ての保有個人データの利用目的

三

次項の規定による求め（保有個人データの利用目的の通知）又は「本人からの開示
請求、本人からの訂正、追加、削除請求」、「本人からの利用の停止、消去の請求」、「本人からの第三者への提供の停止」（請求に応じる手続により手数料の額を定めたときは、その手数料の額を含む。
）

四前三号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの

個人情報取扱事業者は、保有個人データについて、次の①から⑤までの情報を本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む）に置かなければならない。
①個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名②全ての保有個人データの利用目的③保有個人データの利用目的の通知の求め又は開示等の請求に応じる手続及び保有個人データの利用目的の通知の求め又は開示の請求に係る手数料の額（定めた場合に限る。
）④保有個人データの安全管理のために講じた措置（ただし、本人の知り得る状態に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。
）⑤保有個人データの取扱いに関する苦情の申出先【④安全管理のために講じた措置として本人の知り得る状態に置く内容の事例】
1.基本方針の策定）
事例）個人データの適正な取扱いの確保のため、「関係法令・ガイドライン等の遵守」、
39

「質問及び苦情処理の窓口」等についての基本方針を策定
2.個人データの取扱いに係る規律の整備
事例）取得、利用、保存、提供、削除・廃棄等の段階ごとに、取扱方法、責任者・担当者及びその任務等について個人データの取扱規程を策定
3.組織的安全管理措置）
事例 1）個人データの取扱いに関する責任者を設置するとともに、個人データを取り扱う従業者及び当該従業者が取り扱う個人データの範囲を明確化し、法や取扱規程に違反している事実又は兆候を把握した場合の責任者への報告連絡体制を整備
事例 2）個人データの取扱状況について、定期的に自己点検を実施するとともに、他部署や外部の者による監査を実施
4.人的安全管理措置
事例 1）個人データの取扱いに関する留意事項について、従業者に定期的な研修を実
施事例 2）個人データについての秘密保持に関する事項を就業規則に記載
5.物理的安全管理措置）
事例 1）個人データを取り扱う区域において、従業者の入退室管理及び持ち込む機器等の制限を行うとともに、権限を有しない者による個人データの閲覧を防止す
る措置を実施事例 2）個人データを取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するための措置を講じるとともに、事業所内の移動を含め、当該機器、電子媒体等を持ち運ぶ場合、容易に個人データが判明しないよう措置を実施
6.技術的安全管理措置
事例 1）アクセス制御を実施して、担当者及び取り扱う個人情報データベース等の範囲を限定
事例 2）個人データを取り扱う情報システムを外部からの不正アクセス又は不正ソフ
トウェアから保護する仕組みを導入
7.外的環境の把握
事例）個人データを保管している A 国における個人情報の保護に関する制度を把握した上で安全管理措置を実施【本人の知り得る状態に置くことにより支障を及ぼすおそれがあるものの事例】
事例 1）個人データが記録された機器等の廃棄方法、盗難防止のための管理方法
事例 2）個人データ管理区域の入退室管理方法
事例 3）アクセス制御の範囲、アクセス者の認証手法等
事例 4）不正アクセス防止措置の内容等

40

32）保有個人データに関する事項の公表等（第 32 条第 2 項、3 項）
２

個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りでない。
一

前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合

二３

第二十一条第四項第一号から第三号までに該当する場合

個人情報取扱事業者は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

＜法第 21 条第 4 項第 1 号から 3 号＞
・利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（法第 21 条第 4 項第 1 号）
・利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は利益が侵害されるおそれがある場合（法第 21 条第 4 項第 2 号）
・国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であり、協力する民間企業等が国の機関等から受け取った保有個人データの利用目的を本人に通知し、又は公表することにより、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合（法第 21 条第 4 項第 3 号）
33）開示（第 33 条第 1 項、2 項、3 項）
１ 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの電磁的記録の提供による方法その他の個人情報保護委員会規則で定める方法による開示を請求することができる。
２ 個人情報取扱事業者は、前項の規定による請求を受けたときは、本人に対し、同項の規定により当該本人が請求した方法（当該方法による開示に多額の費用を要する
場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
一

本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

二

当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合

三

他の法令に違反することとなる場合

３ 個人情報取扱事業者は、第一項の規定による請求に係る保有個人データの全部若し

41

くは一部について開示しない旨の決定をしたとき、当該保有個人データが存在しな
いとき、又は同項の規定により本人が請求した方法による開示が困難であるときは、本人に対し、遅滞なく、その旨を通知しなければならない。
個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの開示（存在しないときにはその旨を知らせることを含む。）の請求を受けたときは、本人に対し、電磁的記録の提供による方法、書面の交付による方法その他当該個人情報取扱事業者の定める方法のうち本人が請求した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法により、遅滞なく、当該保有個人データを開示しなければならない。
【電磁的記録の提供による方法の事例】
事例 1)電磁的記録を CD-ROM 等の媒体に保存して、当該媒体を郵送する方法
事例 2)電磁的記録を電子メールに添付して送信する方法
事例 3)会員専用サイト等のウェブサイト上で電磁的記録をダウンロードしてもらう方法【その他当該個人情報取扱事業者の定める方法の事例】
事例 1)個人情報取扱事業者が指定した場所における音声データの視聴
事例 2)個人情報取扱事業者が指定した場所における文書の閲覧【当該方法による開示が困難である場合の事例】
事例 1)本人が電磁的記録の提供による開示を請求した場合であって、個人情報取扱事業者が当該開示請求に応じるために、大規模なシステム改修を行わなければならない
ような場合
事例 2)本人が電磁的記録の提供による開示を請求した場合であって、書面で個人情報や帳簿等の管理を行っている小規模事業者が、電磁的記録の提供に対応することが困難な場合
ただし、開示することにより次の（1）から（3）までのいずれかに該当する場合は、その全部又は一部を開示しないことができるが、これにより開示しない旨の決定をしたとき又は請求に係る保有個人データが存在しないときは、遅滞なく、その旨を本人に通知しなけ
ればならない。また、本人が請求した方法による開示が困難であるときは、その旨を本人に通知した上で、書面の交付による方法により開示を行わなければならない。
（1）本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
保有個人データを本人に開示することにより、本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合は、当該保有個人データの全部又は一部を開示しないことができる。
事例） 医療機関等において、病名等を患者に開示することにより、患者本人の心
身状況を悪化させるおそれがある場合（2）個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合「著しい支障を及ぼすおそれ」に該当する場合とは、個人情報取扱事業者の業務の実42

施に単なる支障ではなく、より重い支障を及ぼすおそれが存在するような例外的なときに限定され、単に開示すべき保有個人データの量が多いという理由のみでは、一般には、これに該当しない。
事例 1）試験実施機関において、採点情報の全てを開示することにより、試験制度の維持に著しい支障を及ぼすおそれがある場合
事例 2）同一の本人から複雑な対応を要する同一内容について繰り返し開示の請求があり、事実上問合せ窓口が占有されることによって他の問合せ対応業務が立ち行かなくなる等、業務上著しい支障を及ぼすおそれがある場合
事例 3）電磁的記録の提供にふさわしい音声・動画ファイル等のデータを、あえて書面で請求することにより、業務上著しい支障を及ぼすおそれがある場合（3）他の法令に違反することとなる場合
事例 ）刑法（明治 40 年法律第 45 号）第 134 条（秘密漏示罪）や電気通信事業法（昭和 59 年法律第 86 号）第 4 条（通信の秘密の保護）に違反することとなる
場合
34）訂正等（第 34 条第 1 項、2 項、3 項）
１

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの内容が事実でないときは、当該保有個人データの内容の訂正、追加又は削除（以下この条において「訂正等」という。
）を請求することができる。
２

個人情報取扱事業者は、前項の規定による請求を受けた場合には、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。
３

個人情報取扱事業者は、第一項の規定による請求に係る保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。
）を通知しなければならない。
個人情報取扱事業者は、本人から、当該本人が識別される保有個人データに誤りがあり、事実でないという理由によって、内容の訂正、追加又は削除の請求を受けた場合は、利用目的の達成に必要な範囲で遅滞なく必要な調査を行い、その結果に基づき、原則として、訂正等を行わなければならない。
なお、個人情報取扱事業者は、法第 34 条第 2 項の規定に基づき請求に係る保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を本人に通知しなければならない。

4335）訂正等（第 35 条第 1 項、2 項、3 項、4 項、5 項、6 項、7 項）
１

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第十八条若しくは第十九条の規定に違反して取り扱われているとき、又は第二十条の規定に違反して取得されたものであるときは、当該保有個人データの利用の停止又は消去（以下この条において「利用停止等」という。
）を請求することができる。
２

個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
３

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第二十七条第一項又は第二十八条の規定に違反して第三者に提供されているときは、当該保有個人データの第三者への提供の停止を請求することができる。
４

個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
５

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データを当該個

人情報取扱事業者が利用する必要がなくなった場合、当該本人が識別される保有個人データに係る第二十六条第一項本文に規定する事態が生じた場合その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合には、当該保有個人データの利用停止等又は第三者への提供の停止を請求することができる。
６

個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度
で、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行わなければならない。ただし、当該保有個人データの利用停止等又は第三者への提供の停止に
多額の費用を要する場合その他の利用停止等又は第三者への提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
７

個人情報取扱事業者は、第一項若しくは第五項の規定による請求に係る保有個人デー

タの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は第三項若しくは第五項の規定による請求に係る保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への44

提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなけ
ればならない。
【利用する必要がなくなったとして利用停止等又は第三者提供の停止が認められる事例】
事例 1）ダイレクトメールを送付するために個人情報取扱事業者が保有していた情報について、当該個人情報取扱事業者がダイレクトメールの送付を停止した後、本人が消去を請求した場合
事例 2）電話勧誘のために個人情報取扱事業者が保有していた情報について、当該個人情報取扱事業者が電話勧誘を停止した後、本人が消去を請求した場合
事例 3）キャンペーンの懸賞品送付のために個人情報取扱事業者が保有していた当該キャンペーンの応募者の情報について、懸賞品の発送が終わり、不着対応等のための合理的な期間が経過した後に、本人が利用停止等を請求した場合
事例 4）採用応募者のうち、採用に至らなかった応募者の情報について、再応募への対応等のための合理的な期間が経過した後に、本人が利用停止等を請求した場合【本人の権利又は正当な利益が害されるおそれがあるとして利用停止等又は第三者提供の停止が認められると考えられる事例】
事例 1）ダイレクトメールの送付を受けた本人が、送付の停止を求める意思を表示したにもかかわらず、個人情報取扱事業者がダイレクトメールを繰り返し送付していることから、本人が利用停止等を請求する場合
事例 2）電話勧誘を受けた本人が、電話勧誘の停止を求める意思を表示したにもかかわらず、個人情報取扱事業者が本人に対する電話勧誘を繰り返し行っていることから、本人が利用停止等を請求する場合
事例 3）個人情報取扱事業者が、安全管理措置を十分に講じておらず、本人を識別する保有個人データが漏えい等するおそれがあることから、本人が利用停止等を請求する
場合
事例 4）個人情報取扱事業者が、法第 27 条第 1 項に違反して第三者提供を行っており、本人を識別する保有個人データについても本人の同意なく提供されるおそれがあることから、本人が利用停止等を請求する場合
事例 5）個人情報取扱事業者が、退職した従業員の情報を現在も自社の従業員であるようにホームページ等に掲載し、これによって本人に不利益が生じるおそれがあることから、本人が利用停止等を請求する場合【本人の権利又は正当な利益が害されるおそれがないとして利用停止等又は第三者提供の停止が認められないと考えられる事例】
事例 1）電話の加入者が、電話料金の支払いを免れるため、電話会社に対して課金に必要な情報の利用停止等を請求する場合
事例 2）インターネット上で匿名の投稿を行った者が、発信者情報開示請求による発信者
45

の特定やその後の損害賠償請求を免れるため、プロバイダに対してその保有する接続認証ログ等の利用停止等を請求する場合
事例 3）過去に利用規約に違反したことを理由としてサービスの強制退会処分を受けた者
が、再度当該サービスを利用するため、当該サービスを提供する個人情報取扱事業者に対して強制退会処分を受けたことを含むユーザー情報の利用停止等を請求する場合
事例 4）過去の信用情報に基づく融資審査により新たな融資を受けることが困難になった者が、新規の借入れを受けるため、当該信用情報を保有している個人情報取扱事業者に対して現に審査に必要な信用情報の利用停止等又は第三者提供の停止を請求する場合【本人からの請求に対し、本人の権利利益の侵害を防止するために必要な限度での対応として考えられる事例】
事例 1）本人から保有個人データの全てについて、利用停止等が請求された場合に、一部の保有個人データの利用停止等によって、生じている本人の権利利益の侵害のおそれを防止できるものとして、一部の保有個人データに限定して対応を行う場合
事例 2）法第 27 条第 1 項に違反して第三者提供が行われているとして保有個人データの消去を請求された場合に、利用停止又は第三者提供の停止による対応によって、生じている本人の権利利益の侵害のおそれを防止できるものとして、利用停止又は第三者提供の停止による対応を行う場合【本人の権利利益を保護するため必要なこれに代わるべき措置として考えられる事例】
事例 1）既に市販されている名簿の刷り直し及び回収作業に多額の費用を要するとして、名簿の増刷時の訂正を約束する場合や必要に応じて金銭の支払いをする場合
事例 2）個人情報保護委員会への報告の対象となる重大な漏えい等が発生した場合において、当該本人との契約が存続しているため、利用停止等が困難であるとして、以後漏えい等の事態が生じることがないよう、必要かつ適切な再発防止策を講じる場合
事例 3）他の法令の規定により保存が義務付けられている保有個人データを遅滞なく消去
する代わりに、当該法令の規定による保存期間の終了後に消去することを約束する
場合36）理由の説明（第 36 条）
個人情報取扱事業者は、本人から求められ、又は請求された措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合には、本人に対し、その理由を説明するよう努めなければならない。
37）手数料（第 38 条第 1 項、2 項）
１

個人情報取扱事業者は、利用目的の通知を求められたとき又は開示の請求を受けた
ときは、当該措置の実施に関し、手数料を徴収することができる。

46

２

個人情報取扱事業者は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。
当該手数料の額を定めた場合には、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）に置いておかなければならない（法第 32 条第 1 項第 3 号）。
また、手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。
38）個人情報取扱事業者による苦情の処理（第 40 条第 1 項、2 項）
１

個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
２

個人情報取扱事業者は、前項の目的を達成するために必要な体制の整備に努めなければならない。
個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。また、苦情の適切かつ迅速な処理を行うに当たり、苦情処理窓口の設置や苦情処理の手順を定める等必要な体制の整備に努めなければならない（※1）。もっとも、無理な要求にまで応じなければならないものではない。
なお、個人情報取扱事業者は、保有個人データの取扱いに関する苦情の申出先（個人情報取扱事業者が認定個人情報保護団体の対象事業者である場合は、その団体の名称及び苦情解決の申出先を含む。
）について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）（※2）に置かなければならない。
(※1）消費者等本人との信頼関係を構築し事業活動に対する社会の信頼を確保するためには、「個人情報保護を推進する上での考え方や方針（いわゆる、プライバシーポリシー、
プライバシーステートメント等）」を策定し、それをホームページへの掲載又は店舗の見やすい場所への掲示等により公表し、あらかじめ、対外的に分かりやすく説明することや、委託の有無、委託する事務の内容を明らかにする等、委託処理の透明化を進めることも重要である。
(※2）
「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」については、「第 32 条 1 項」の説明文を参照のこと。

47

２．仮名加工情報取扱事業者の義務
1）仮名加工情報の作成等（第 41 条第 1 項）
個人情報取扱事業者は、仮名加工情報（仮名加工情報データベース等を構成するものに限る）を作成するときは、他の情報と照合しない限り特定の個人を識別することができな
いようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、個人情報を加工しなければならない。
「個人情報保護委員会規則で定める基準に従い、個人情報を加工」するためには、加工する
情報の性質に応じて、規則第 31 条各号に定める加工基準を満たす必要がある。
・規則第 31 条（第 1 号）
個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること（当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
事例 1）会員 ID、氏名、年齢、性別、サービス利用履歴が含まれる個人情報を加工する
場合に次の措置を講ずる。
1）氏名を削除する。
事例 2）氏名、住所、生年月日が含まれる個人情報を加工する場合に次の 1 から 3 までの措置を講ずる。
1）氏名を削除する。
2）住所を削除する。又は、○○県△△市に置き換える。
3）生年月日を削除する。又は、日を削除し、生年月に置き換える。
・規則第 31 条（第 2 号）
個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
（参考）個人識別符号の概要
個人識別符号とは、その情報単体から特定の個人を識別することができるものとして個人情報の保護に関する法律施行令で定めるものをいい、次のいずれかに該当するものである。
・特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した符号
・生体情報（DNA、顔、虹彩、声紋、歩行の態様、手指の静脈、指紋・掌紋）をデジ
タルデータに変換したもののうち、特定の個人を識別するに足りるものとして規則で定める基準に適合するもの
・対象者ごとに異なるものとなるように役務の利用、商品の購入又は書類に付される符号・旅券番号、基礎年金番号、免許証番号、住民票コード、マイナンバー、各種保険証の番号等の公的機関が割り振る番号
・規則第 31 条（第 3 号）
個人情報に含まれる不正に利用されることにより財産的被害が生じるおそれがあ48

る記述等を削除すること（当該記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
【想定される加工の事例】
事例 1）クレジットカード番号を削除する。
事例 2）送金や決済機能のあるウェブサービスのログイン ID・パスワードを削除する。
2）仮名加工情報の作成等（第 41 条第 2 項）
個人情報取扱事業者は、仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等を取得したときは、削除情報等の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、削除情報等の安全管理のための措置を講じなければならない。
【削除情報等の安全管理で求められる措置の具体例】① 削除情報等を取り扱う者の権限及び責任の明確化
・削除情報等の安全管理措置を講ずるための組織体制の整備② 削除情報等の取扱いに関する規程類の整備 及び当該規程類に従った削除情報等の適切な取扱い 並びに削除情報等の取扱状況の評価及びその結果に基づき改善を図る
ために必要な措置の実施
・削除情報等の取扱いに係る規程等の整備とこれに従った運用
・従業者の教育・削除情報等の取扱状況を確認する手段の整備
・削除情報等の取扱状況の把握、安全管理措置の評価、見直し及び改善③ 削除情報等を取り扱う正当な権限を有しない者による削除情報等の取扱いを防止するために必要かつ適切な措置の実施
・削除情報等を取り扱う権限を有しない者による閲覧等の防止
・機器、電子媒体等の盗難等の防止
・電子媒体等を持ち運ぶ場合の漏えいの防止・削除情報等の削除並びに機器、電子媒体等の廃棄・削除情報等へのアクセス制御
・削除情報等へのアクセス者の識別と認証
・外部からの不正アクセス等の防止・情報システムの使用に伴う削除情報等の漏えいの防止
3）仮名加工情報の作成等（第 41 条第 6 項）
仮名加工情報取扱事業者は、第二十七条第一項及び第二項並びに第二十八条第一項の規定にかかわらず、法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはならない。

49ただし、次の（1）から（3）までの場合については、仮名加工情報である個人データの提供先は個人情報取扱事業者である仮名加工情報取扱事業者とは別の主体として形式的には第三者に該当するものの、提供主体の個人情報取扱事業者である仮名加工情報取扱事
業者と一体のものとして取り扱うことに合理性があるため、第三者には該当しないものとする。そのため、このような要件を満たす場合には、仮名加工情報である個人データを提供することができる。
（1）委託（法第 27 条第 5 項第 1 号関係）
（2）事業の承継（法第 27 条第 5 項第 2 号関係）
（3）共同利用（法第 27 条第 5 項第 3 号関係）
4）仮名加工情報の作成等（第 41 条第 7 項）
仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たっては、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該仮名加工情報を他の情報と照合してはならない。
【識別行為に当たらない取扱いの事例】
事例 1）複数の仮名加工情報を組み合わせて統計情報を作成すること。
事例 2）仮名加工情報を個人と関係のない情報（例：気象情報、交通情報、金融商品等の取引高）とともに傾向を統計的に分析すること。
【識別行為に当たる取扱いの事例】
事例 1）保有する個人情報と仮名加工情報について、共通する記述等を選別してこれらを照合すること。
事例 2）仮名加工情報を、当該仮名加工情報の作成の元となった個人情報と照合すること。
5）仮名加工情報の第三者提供の制限等（第 42 条第 1 項）
仮名加工情報取扱事業者は、法令に基づく場合を除くほか、仮名加工情報（個人情報であるものを除く。
）を第三者に提供してはならない。
・「法令に基づく場合」の具体的な事例については、法第 18 条第 3 項「利用目的による制限」の説明文を参照のこと。
・委託、事業承継及び共同利用については、法第 41 条第 6 項「仮名加工情報の作成等」の説明文を参照のこと。

50

３．匿名加工情報取扱事業者の義務
1）匿名加工情報の作成等（第 43 条第 1 項）
個人情報取扱事業者は、匿名加工情報（匿名加工情報データベース等を構成するものに限る）を作成するときは、特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、当該個人情報を加工しなければならない。
個人情報保護委員会規則で定める基準は、次のとおりとする。
（1）個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること（当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
【想定される加工の事例】
事例 1）氏名、住所、生年月日が含まれる個人情報を加工する場合に次の 1 から3 までの措置を講ずる。
1.氏名を削除する。
2.住所を削除する。又は、○○県△△市に置き換える。
3.生年月日を削除する。又は、日を削除し、生年月に置き換える。
事例 2）会員 ID、氏名、住所、電話番号が含まれる個人情報を加工する場合に次の 1、2 の措置を講ずる。
1.会員 ID、氏名、電話番号を削除する。
2.住所を削除する。又は、○○県△△市に置き換える。
（2）個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）。
（3）個人情報と当該個人情報に措置を講じて得られる情報とを連結する符号（現に個人情報取扱事業者において取り扱う情報を相互に連結する符号に限る。）を削除すること（当該符号を復元することのできる規則性を有しない方法により当該個人情報と当該個人情報に措置を講じて得られる情報を連結することができない符号に置き換えることを含む。
）。
【想定される加工の事例】
事例 1）サービス会員の情報について、氏名等の基本的な情報と購買履歴を分散管理し、それらを管理用 ID を付すことにより連結している場合、その管理用
ID を削除する。
事例 2）委託先へ個人情報の一部を提供する際に利用するために、管理用 ID を付すことにより元の個人情報と提供用に作成した情報を連結している場合、当該管理用 ID を仮 ID に置き換える。
（4）特異な記述等を削除すること（当該特異な記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

51

【想定される加工の事例】
事例 1）症例数の極めて少ない病歴を削除する。
事例 2）年齢が「116 歳」という情報を「90 歳以上」に置き換える。
※前各号に掲げる措置のほか、個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等との差異その他の当該個人情報データベース等の性質を勘案し、その結果を踏まえて適切な措置を講ずること。
【想定される加工の事例】
事例 1）移動履歴を含む個人情報データベース等を加工の対象とする場合において、自宅や職場などの所在が推定できる位置情報（経度・緯度情報）が含まれており、特定の個人の識別又は元の個人情報の復元につながるおそれがある場
合に、推定につながり得る所定範囲の位置情報を削除する。
（項目削除／レ
コード削除／セル削除）
事例 2）ある小売店の購買履歴を含む個人情報データベース等を加工の対象とする
場合において、当該小売店での購入者が極めて限定されている商品の購買履歴が含まれており、特定の個人の識別又は元の個人情報の復元につながるおそれがある場合に、具体的な商品情報（品番・色）を一般的な商品カテゴリ
ーに置き換える。
（一般化）
事例 3）小学校の身体検査の情報を含む個人情報データベース等を加工の対象とする場合において、ある児童の身長が 170 ㎝という他の児童と比べて差異が大
きい情報があり、特定の個人の識別又は元の個人情報の復元につながるおそれがある場合に、身長が 150cm 以上の情報について「150 ㎝以上」という情報に置き換える。
（トップコーディング）
2）匿名加工情報の作成等（第 43 条第 2 項）
個人情報取扱事業者は、匿名加工情報を作成したときは、その作成に用いた個人情報から削除した記述等及び個人識別符号並びに前項の規定により行った加工の方法に関する情報の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、これらの情報の安全管理のための措置を講じなければならない。
個人情報保護委員会規則で定める基準は、次のとおりとする。
（1）加工方法等情報（匿名加工情報の作成に用いた個人情報から削除した記述等及び個人識別符号並びに法第 43 条第 1 項の規定により行った加工の方法に関する情報）を取り扱う者の権限及び責任を明確に定めること。
・加工方法等情報の安全管理措置を講ずるための組織体制の整備（2）加工方法等情報の取扱いに関する規程類を整備し、当該規程類に従って加工方法等情報を適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果に基づき改善を図るために必要な措置を講ずること。
・加工方法等情報の取扱いに係る規程等の整備とこれに従った運用
52

・従業者の教育
・加工方法等情報の取扱状況を確認する手段の整備
・加工方法等情報の取扱状況の把握、安全管理措置の評価、見直し及び改善（3）加工方法等情報を取り扱う正当な権限を有しない者による加工方法等情報の取扱いを防止するために必要かつ適切な措置を講ずること。
・加工方法等情報を取り扱う権限を有しない者による閲覧等の防止
・機器、電子媒体等の盗難等の防止
・電子媒体等を持ち運ぶ場合の漏えいの防止
・加工方法等情報の削除並びに機器、電子媒体等の廃棄・加工方法等情報へのアクセス制御
・加工方法等情報へのアクセス者の識別と認証
・外部からの不正アクセス等の防止・情報システムの使用に伴う加工方法等情報の漏えいの防止
3）匿名加工情報の作成等（第 43 条第 3 項）
個人情報取扱事業者は、匿名加工情報を作成したときは、個人情報保護委員会規則で定めるところにより、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない。
個人情報取扱事業者は、匿名加工情報を作成したときは、匿名加工情報の作成後遅滞なく、インターネット等を利用し、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない。
また、個人に関する情報の項目が同じである匿名加工情報を同じ手法により反復・継続的に作成する場合には、最初の匿名加工情報を作成して個人に関する項目を公表する際に、作成期間又は継続的な作成を予定している旨を明記するなど継続的に作成されることとなる旨を明らかにしておくことにより、その後に作成される匿名加工情報に係る公表については先の公表により行われたものと解される。
【個人に関する情報の項目の事例】
事例）「氏名・性別・生年月日・購買履歴」のうち、氏名を削除した上で、生年月日の一般化、購買履歴から特異値等を削除する等加工して、「性別・生年・購買履歴」に関する匿名加工情報として作成した場合の公表項目は、「性別」、「生年」、「購買履歴」である。

53

4）匿名加工情報の作成等（第 43 条第 4 項）
個人情報取扱事業者は、匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは、個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。
個人情報取扱事業者又は匿名加工情報取扱事業者は、匿名加工情報を第三者に提供 するときは、提供に当たりあらかじめ、インターネット等を利用し、次の（1）及び（2）に掲げる事項を公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を電子メール又は書面等により明示しなければならない。
また、個人に関する情報の項目及び加工方法が同じである匿名加工情報を反復・継続的に第三者へ同じ方法により提供する場合には、最初に匿名加工情報を第三者提供するときに個人に関する項目を公表する際に、提供期間又は継続的な提供を予定している旨を明記するなど継続的に提供されることとなる旨を明らかにしておくことにより、その後に第三者に提供される匿名加工情報に係る公表については先の公表により行われたものと解される。
なお、匿名加工情報をインターネット等で公開する行為についても不特定多数への第三者提供に当たるため、上記義務を履行する必要がある。
(1)第三者に提供する匿名加工情報に含まれる個人に関する情報の項目
事例）「氏名・性別・生年月日・購買履歴」のうち、氏名を削除した上で、生年月日の一般化、購買履歴から特異値等を削除する等加工して、「性別・生年・購買履歴」
に関する匿名加工情報として作成して第三者提供する場合の公表項目は、
「性別」、
「生年」
、
「購買履歴」である。
(2)匿名加工情報の提供の方法
事例 1）ハードコピーを郵送
事例 2）第三者が匿名加工情報を利用できるようサーバにアップロード
5）匿名加工情報の作成等（第 43 条第 5 項）
個人情報取扱事業者は、匿名加工情報を作成して自ら当該匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該匿名加工情報を他の情報と照合してはならない。
匿名加工情報を取り扱う場合には、当該匿名加工情報の作成の元となった個人情報の本
人を識別する目的で、それぞれ次の行為を行ってはならない。
（1）個人情報取扱事業者が自ら作成した匿名加工情報を取り扱う場合
・自らが作成した匿名加工情報を、本人を識別するために他の情報と照合すること。

54

（2）匿名加工情報取扱事業者が他者の作成した匿名加工情報を取り扱う場合・受領した匿名加工情報又は行政機関等匿名加工情報の加工方法等情報を取得すること。
・受領した匿名加工情報を、本人を識別するために他の情報と照合すること。
【識別行為に当たらない取扱いの事例】
事例 1）複数の匿名加工情報を組み合わせて統計情報を作成すること。
事例 2）匿名加工情報を個人と関係のない情報（例：気象情報、交通情報、金融商品等の取引高）とともに傾向を統計的に分析すること。
【識別行為に当たる取扱いの事例】
事例 1）保有する個人情報と匿名加工情報について、共通する記述等を選別してこれらを照合すること。
事例 2）自ら作成した匿名加工情報を、当該匿名加工情報の作成の元となった個人情報と照合すること。
6）匿名加工情報の作成等（第 43 条第 6 項）
個人情報取扱事業者は、匿名加工情報を作成したときは、当該匿名加工情報の安全管理のために必要かつ適切な措置、当該匿名加工情報の作成その他の取扱いに関する苦情の処
理その他の当該匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
※詳細は、第 23 条「安全管理措置」、第 24 条「従業者の監督」、第 25 条「委託先の監督」、
第 40 条「個人情報取扱事業者による苦情の処理」参照。
7）匿名加工情報の提供（第 44 条）
匿名加工情報取扱事業者は、匿名加工情報を第三者に提供するときは、個人情報保護委
員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。
匿名加工情報取扱事業者は、匿名加工情報を第三者に提供するときは、提供に当たりあらかじめ、インターネット等を利用し、次の（1）及び（2）に掲げる事項を公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を電子メール又は書面等により明示しなければならない。
また、個人に関する情報の項目及び加工方法が同じである匿名加工情報を反復・継続的に第三者へ同じ方法により提供する場合には、最初に匿名加工情報を第三者提供するときに個人に関する項目を公表する際に、提供期間又は継続的な提供を予定している旨を明記するなど継続的に提供されることとなる旨を明らかにしておくことにより、その後に第三者に提供される匿名加工情報に係る公表については先の公表により行われたものと解される。

55

なお、匿名加工情報をインターネット等で公開する行為についても不特定多数への第三者提供に当たるため、上記義務を履行する必要がある。
(1)第三者に提供する匿名加工情報に含まれる個人に関する情報の項目
事例）「氏名・性別・生年月日・購買履歴」のうち、氏名を削除した上で、生年月日の一般化、購買履歴から特異値等を削除する等加工して、「性別・生年・購買履歴」に関する匿名加工情報として作成して第三者提供する場合の公表項目は、
「性別」
、
「生年」
、
「購買履歴」である。
(2)匿名加工情報の提供の方法
事例 1）ハードコピーを郵送
事例 2）第三者が匿名加工情報を利用できるようサーバにアップロード
8）匿名加工情報の提供（第 45 条）
匿名加工情報取扱事業者は、匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該個人情報から削除された
記述等若しくは個人識別符号若しくは第四十三条第一項の規定により行われた加工の方法に関する情報を取得し、又は当該匿名加工情報を他の情報と照合してはならない。
匿名加工情報を取り扱う場合には、当該匿名加工情報の作成の元となった個人情報の本
人を識別する目的で、それぞれ次の行為を行ってはならない。
（1）個人情報取扱事業者が自ら作成した匿名加工情報を取り扱う場合
・自らが作成した匿名加工情報を、本人を識別するために他の情報と照合すること。
（2）匿名加工情報取扱事業者が他者の作成した匿名加工情報を取り扱う場合・受領した匿名加工情報又は行政機関等匿名加工情報の加工方法等情報を取得すること。
・受領した匿名加工情報を、本人を識別するために他の情報と照合すること。
【識別行為に当たらない取扱いの事例】
事例 1）複数の匿名加工情報を組み合わせて統計情報を作成すること。
事例 2）匿名加工情報を個人と関係のない情報（例：気象情報、交通情報、金融商品等の取引高）とともに傾向を統計的に分析すること。
【識別行為に当たる取扱いの事例】
事例 1）保有する個人情報と匿名加工情報について、共通する記述等を選別してこれらを照合すること。
事例 2）自ら作成した匿名加工情報を、当該匿名加工情報の作成の元となった個人情報と照合すること。

569）安全管理措置等（第 46 条）
匿名加工情報取扱事業者は、匿名加工情報の安全管理のために必要かつ適切な措置、
匿名加工情報の取扱いに関する苦情の処理その他の匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
※詳細は、第 23 条「安全管理措置」、第 24 条「従業者の監督」、第 25 条「委託先の監督」、
第 40 条「個人情報取扱事業者による苦情の処理」参照。

Ⅳ．その他 1
1）適用範囲（第 166 条）
この法律は、個人情報取扱事業者、仮名加工情報取扱事業者、匿名加工情報取扱事業者
又は個人関連情報取扱事業者が、国内にある者に対する物品又は役務の提供に関連して、国内にある者を本人とする個人情報、当該個人情報として取得されることとなる個人関連情報又は当該個人情報を用いて作成された仮名加工情報若しくは匿名加工情報を、外国において取り扱う場合についても、適用する。
外国にある個人情報取扱事業者等が、日本の居住者等国内にある者に対する物品又は役務の提供に関連して、国内にある者を本人とする個人情報、当該個人情報として取得されることとなる個人関連情報又は当該個人情報を用いて作成された仮名加工情報若しくは
匿名加工情報を、外国において取り扱う場合には、法が適用される。なお、域外適用の対象となる場合は、外国にある個人情報取扱事業者等がこれらの情報を本人から直接取得して取り扱う場合に限られず、本人以外の第三者から提供を受けて取り扱う場合も含まれる。
【域外適用の対象となる事例】
事例 1）外国のインターネット通信販売事業者が、日本の消費者に対する商品の販売・配送に関連して、日本の消費者の個人情報を取り扱う場合
事例 2）外国のメールサービス提供事業者が、日本の消費者に対するメールサービスの提供に関連して、日本の消費者の個人情報を取り扱う場合
事例 3）外国のホテル事業者が、日本の消費者に対する現地の観光地やイベント等に関する情報の配信等のサービスの提供に関連して、日本にある旅行会社等から提供を受けた日本の消費者の個人情報を取り扱う場合
事例 4）外国の広告関連事業者が、日本のインターネット通信販売事業者に対し、当該イ
ンターネット通信販売事業者による日本の消費者に対するキャンペーン情報の配
信等のサービスの提供に関連して、当該インターネット通信販売事業者が保有する
日本の消費者の個人データと結び付けることが想定される個人関連情報を提供する場合
事例 5）外国のアプリ提供事業者が、日本の消費者に対するサービスの提供に関連して、
新サービスの開発のために、日本の消費者の個人情報を用いて作成された仮名加工

57

情報を取り扱う場合
事例 6）外国のインターネット通信販売事業者が、日本の消費者に対する商品の販売又はサービスの提供に関連して、傾向分析等を行うために、日本の消費者の個人情報を用いて作成された匿名加工情報を取り扱う場合【域外適用の対象とならない事例】
事例）外国にある親会社が、グループ会社の従業員情報の管理のため、日本にある子会社の従業員の個人情報を取り扱う場合
2）罰則（第 173 条）
第百四十五条第二項又は第三項の規定による命令に違反した場合には、当該違反行為をした者は、一年以下の懲役又は百万円以下の罰金に処する。
※個人情報保護委員会からの勧告・命令に違反した場合。
3）罰則（第 174 条）
個人情報取扱事業者（その者が法人である場合にあっては、その役員、代表者又は管理人）若しくはその従業者又はこれらであった者が、その業務に関して取り扱った個人情報
データベース等（その全部又は一部を複製し、又は加工したものを含む。）を自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、一年以下の懲役又は五十万円以下の罰金に処する。
4）罰則（第 179 条）
法人の代表者又は法人若しくは人の代理人、使用人その他の従業者が、その法人又は人の業務に関して、次の各号に掲げる違反行為をしたときは、行為者を罰するほか、その法人に対して罰金刑を科する。
一

第百七十三条及び第百七十四条 一億円以下の罰金刑

Ⅴ．その他２
1）個人情報漏洩発生の場合の対応について事業所内での対応（拡大防止、原因究明、再発防止策等）を 行うと同時に二次被害の防止、類似事案の発生防止等の観点から、事実関係及び再発防止策について速やかに公表することが必要です。
また、同時に当協会に報告を行い、原則として、①

個人情報保護委員会への報告（第 26 条第 1 項）

② 本人への通知 を行わなければなりません。
（第 26 条第 2 項）
＜報告を要しない場合＞① 実質的に個人データ又は加工方法等情報が、外部に漏洩していないと判断される場合。
② ＦＡＸもしくはメールの誤送信、又は荷物の誤配等のうち、軽微なもの。
58

2）個人情報保護委員会について
個人情報保護に関しては、個人情報取扱事業者及び認定個人情報保護団体（当協会）は、内閣府の外局である個人情報保護委員会の管轄下にあります。
個人情報保護委員会の権限としては、個人情報取扱事業者に対して、報告徴収・立入検査
・指導／助言・勧告・命令ができます。
3）連絡・報告・相談
一般社団法人全日本ギフト用品協会〒111-0042
東京都台東区寿 3-15-10 ペンギンビル 3Ｆ
Tel 03-3847-0691

fax 03-3847-0694 info@all-japan-gift.or.jp

個人情報保護委員会〒100-0013 東京都千代田区霞が関 3-2-1 霞が関コモンゲート西館 32 階
電話:03-6457-9680（代表）4）個人情報保護法に違反？
個人情報取扱事業者が義務規定に違反し、不適切な個人情報の取扱いを行っている場合には、個人情報保護委員会が、必要に応じて事業者に対して勧告、命令等の措置をとることができる。事業者が命令に従わなかった場合には、罰則（その行為者は、１年以下の懲役、または 100 万円以下の罰金）の対象となる。また、法人については、１億円以下の罰金の対象となる。
5）ガイドラインの見直し
個人情報の保護についての考え方は、社会情勢の変化、国民の認識の変化、技術の進歩等に応じて変わり得るものであり、本ガイドラインは、法の施行後の状況等諸環境の変化を踏まえて毎年見直しを行うよう努めるものとする。
6）認定個人情報保護団体とは「認定個人情報保護団体」とは、苦情処理業務、個人情報の適正な取扱いの確保を目的として業務を行う民間団体に対し、個人情報保護委員会（平成 29 年の改正法施行前は主務大臣）が認定する制度をいう。
日本におけるギフト業界において、一般社団法人全日本ギフト用品協会は、平成 17 年 5月 13 日付けで経済産業省より認定個人情報保護団体として認可された。
一般社団法人全日本ギフト用品協会の会員社が認定個人情報保護団体の対象事業者となる。個人情報の取扱いに関する苦情の対応・処理、ガイドライン、マニュアル等の作成、公表、対象事業者への情報提供などの業務を行う。このことにより、ギフト業界、産業の健全なる発展に寄与するものである。
59

以上＜付記事項＞
・平成 29 年 6 月１日付 改訂
・令和 4 年 4 月 1 日付 改訂60