資料２

個人情報保護法 いわゆる３年ごと見直し規定に基づく検討（個人の権利利益のより実質的な保護の在り方③）

令和６年4月24日
個人情報保護委員会事務局

オプトアウト届出事業者に係る規律の在り方①
１．オプトアウト制度に関連する現行法の規律①（提供時の規律）（第三者提供の制限）
第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
一～七 （略）２ 個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらか
じめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。ただし、第三者に提供される個人データが要配慮個人情報又は第二十条第一項の規定に違反して取得されたもの若しくは他の個人情報取扱事業者からこの項本文の規定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む。）である場合は、この限りでない。
一～八 （略）

個人情報取扱事業者は、個人データの第三者への提供に当たり、原則として、あらかじめ本人の同意を得ないで提供してはならない。
ただし、第三者に提供される個人データについて、本人の求めに応じて提供を停止することとしている場合であって、一定の事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、本人の同意を得ることなく第三者に提供することができる。
個人情報を含むデータベースを販売する事業者や、住宅地図等で個人情報を提供している事業者等を念頭に置いて設けられた規定であり、個人情報取扱事業者に対し一定の義務を加重することにより、個人データの積極的な流通を認め、保護と利用のバランスを図ろうとするもの。

1

オプトアウト届出事業者に係る規律の在り方②
１．オプトアウト制度に関連する現行法の規律②（提供時の規律）（第三者提供の制限）
第二十七条 （略）２ 個人情報取扱事業者は、（略）次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。（略）一～八 （略）※個人情報の保護に関する法律施行規則（第三者提供に係る事前の通知等）
第十一条 法第二十七条第二項又は第三項の規定による通知又は容易に知り得る状態に置く措置は、次に掲げるところにより、行
うものとする。
一 第三者に提供される個人データによって識別される本人（次号において「本人」という。）が当該提供の停止を求めるのに必要な期間をおくこと。
二 本人が法第二十七条第二項各号に掲げる事項を確実に認識できる適切かつ合理的な方法によること。

オプトアウト届出事業者は、その名称や住所、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること、本人の求めを受け付ける方法等を、本人が確実に認識できる適切かつ合理的な方法によって、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
「本人が容易に知り得る状態」とは、継続的方法により、本人が知ろうとすれば、時間的にも、その手段においても、簡単に知ることができる状態をいい、例えば、以下の事例がこれに該当する。
本人が閲覧することが合理的に予測される個人情報取扱事業者のホームページにおいて、本人が分かりやすい
場所に分かりやすく継続的に掲載する場合本人が来訪することが合理的に予測される事務所の窓口等への掲示、備付け等が継続的に行われている場合
本人に頒布されている定期刊行物への定期的掲載を行っている場合
2
電子商取引において、商品を紹介するホームページにリンク先を継続的に表示する場合

オプトアウト届出事業者に係る規律の在り方③
１．オプトアウト制度に関連する現行法の規律③（提供時の規律）（不適正な利用の禁止）
第十九条 個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。
（第三者提供に係る記録の作成等）
第二十九条 個人情報取扱事業者は、個人データを第三者（略）に提供したときは、個人情報保護委員会規則で定めるところにより、当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。（略）※個人情報の保護に関する法律施行規則（第三者提供に係る記録事項）
第二十条 法第二十九条第一項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。
一 法第二十七条第二項の規定により個人データを第三者に提供した場合 次のイからニまでに掲げる事項（略）

提供先の事業者による違法又は不当な行為を助長するおそれが想定されるにもかかわらず、当該事業者に個人情報を提供する場合、不適正利用に該当する。
提供先の第三者が当該個人情報の取得目的を偽っていた等、当該個人情報の提供の時点において、提供した個人情報が違法に利用されることについて、提供元が一般的な注意力をもってしても予見できない状況であった場合には、「おそれ」は認められない。
現行法上、提供先の利用目的や提供先に対する身元確認方法等は、記録義務の対象に含まれていない。
3オプトアウト届出事業者に係る規律の在り方④
１．オプトアウト制度に関連する現行法の規律④（取得時の規律）（適正な取得）第二十条 個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。
（第三者提供を受ける際の確認等）
第三十条 個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、個人情報保護委員会規則で定めるところにより、次に掲げる事項の確認を行わなければならない。（略）一 （略）二 当該第三者による当該個人データの取得の経緯

不正の手段で個人情報が取得されたことを知り、又は容易に知ることができるにもかかわらず、当該個人情報を取得する場合は、法第20条第1項の規定違反となる。
個人情報取扱事業者は、第三者から個人データの提供を受ける際は、当該第三者に対して、当該第三者による当該個人データの取得の経緯※を確認しなければならない。
もっとも、受領者にとって「個人データ」には該当しない個人情報として提供を受けた場合、後に当該個人情報を個人情報データベース等に入力したとしても、確認義務は適用されない。

※「取得の経緯」の具体的な内容は、個人データの内容、第三者提供の態様などにより異なり得るが、基本的には、取得先の別（顧客としての本人、従業員としての本人、他の個人情報取扱事業者、家族・友人等の私人、いわゆる公開情報等）、取得行為の態様（本人から直接取得したか、有償で取得したか、いわゆる公開情報から取得したか、紹介により取得したか、私人として取得したものか等）などを確認しなければならない。

4

オプトアウト届出事業者に係る規律の在り方⑤
２．オプトアウト制度に関連する改正の経緯【平成27年改正】
平成26年に、大手通信教育会社から委託を受けてその顧客情報等を管理していた会社の従業員が、当該顧客情報等を持ち出した上、これを名簿業者に売却し、多額の金を入手するという事案が発生した。
また、同事案においては、名簿業者が個人データをさらに販売し別の名簿業者にも拡散していたところ、実際にはこのような状況を本人が十分に認識できていなかったことが明らかとなった。
そこで、不正に取得された個人情報が、名簿業者等に転売されることを防止するため、第三者から個人データの提供を受ける際には、取得の経緯を確認することとされた。
また、委員会による監督を強化するとともに、（現行）法第27条第2項所定の事項を事前に本人が容易に知り得る状態を確保するため、オプトアウト届出事業者は一定の事項を個人情報保護委員会に届け出ることとし、個人情報保護委員会がこれを公表することとされた。
【令和2年改正】
オプトアウト届出事業者のうち、大半が業として名簿の販売を行う者（いわゆる「名簿屋」）であり、名簿屋が販売する名簿を構成する個人情報の大半が一般の第三者又は他のオプトアウト届出事業者からの提供を受けて取得されていること、また、一部の届出事業者において、第三者提供を受ける際の確認義務が履行されていなかったことから、不正に持ち出された名簿等が取得されている実態がうかがわれた。
そこで、不正取得された個人データをオプトアウト規定によって提供することが禁止された。
また、違法又は不当な行為を助長し、又は誘発するおそれがある方法による個人情報の利用が禁止された。

5

オプトアウト届出事業者に係る規律の在り方⑥
３．「SNSで実行犯を募集する手口による強盗や特殊詐欺事案に関する緊急対策プラン」
令和５年３月17日に、犯罪対策閣僚会議において「ＳＮＳで実行犯を募集する手口による強盗や特殊詐欺事案に関する緊急対策プラン」（緊急対策プラン）が策定され、政府は同プランに基づく施策を強力に推進することとされた。
特殊詐欺の認知件数は、令和３年以降、増加しており、また、その被害額は、令和４年に８年ぶりに増加に転じている。検挙件数・人員も、令和４年に増加に転じている。
犯罪者グループ等が高齢者等の資力等に関する個人情報等を用いて犯行に及んでいる実態等に鑑み、「実行を容易にするツールを根絶する」ための対策を講じることとされ、当該対策の一環として、個人情報保護法の的確な運用等による名簿流出の防止等の「闇名簿」対策の強化が求められた。
個人情報を悪用した犯罪被害を防止するため、犯罪者グループ等にこうした名簿を提供する悪質な「名簿屋」、
さらに個人情報を不正な手段により取得して第三者に提供する者に対し、あらゆる法令を駆使した取締り等を推進することとされた。
また、電話や自宅訪問等により、真の目的を偽装して、個人の資産や貴金属の所有状況、家族構成等を聞き出して犯罪に利用するケースもみられることから、このような不当な個人情報の収集活動に対する注意を一層喚起することとされた。

6

オプトアウト届出事業者に係る規律の在り方⑦
４．オプトアウト届出事業者に対する実態調査①
個人情報保護委員会は、緊急対策プランが策定されたことを踏まえ、オプトアウトの届出を行った事業者を対象に、個
人情報の適正な取扱いがなされているのかについて把握するための調査（実態調査）を行った。
【届出事項を本人が容易に知り得る状態に置くことについて】
以下のような回答があった。
自社コーポレートサイトに掲載している。
ホームページで公表している。
社内の壁面に掲示している。
検索出来るようにしている。
【取得について】
提供しようとするデータが、法第20条第1項（適正な取得）に違反して取得されたものでないことの確認方
法について具体的な内容が不明確な回答が約２割。
個人データの第三者提供を受けているオプトアウト届出事業者のうち、提供元の事業者が法第20条第１項の「偽りその他不正の手段」に該当しない手段により個人情報を取得していることの確認方法について、回答に具体性がない又は無回答となっている事業者が約２割。

7

オプトアウト届出事業者に係る規律の在り方⑧
４．オプトアウト届出事業者に対する実態調査②【提供について】
オプトアウトにより個人データを提供するにあたって、提供先が提供を受けたデータを「違法又は不当な行為を助長し、又は誘発するおそれがある方法」で利用しないことを確認していないとの回答が約３割。

オプトアウトによる個人データを提供するに当たり、提供先に対して、本人確認手続等を実施していないとの回答が約３割。

8

オプトアウト届出事業者に係る規律の在り方⑨
５．実態調査によって明らかになった取得や提供に際して不適切な対応があった事例
企業・団体名有限会社ビジネスプランニング

指導等を行った日

令和６年１月17日

問題となった取扱い• 販売先が、法に違反するような行為を行う者にも名簿を転売する転売屋（ブローカー）だと認識していたにもかかわらず、意図的に販売先での名簿の用途を詳しく確認せず、転売屋に名簿を販売した。
• 個人データを第三者に提供したときに、当該個人データを提供した年月日並びに当該第三者の氏名又は名称及び住所について、記録を作成しなかった。
• 違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用しないよう、定期的に監査を行う等して個人情報の取扱状況を適切に把握するとともに、定期的な研修及び教育の実施を通じて、代表取締役を含む役員及び従業者に、個人情報の適正な取扱いを周知徹底すること。

行政指導の内容• 個人データを第三者に提供したときは、個人情報保護法第29条、個人情報保護法施行規則及び個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）（以下「確認・記録義務ガイドライン」という。）に従い、個人データを提供した年月日、当該第三者の氏名又は名称及び住所等の記録が必要な事項について、適切に記録を作成し保存すること。

企業・団体名株式会社中央ビジネスサービス

指導等を行った日

令和６年１月17日

問題となった取扱い• 個人データを第三者に提供したときに、当該第三者の氏名又は名称及び住所について、記録を作成しなかった。

行政指導の内容• 個人データを第三者に提供したときは、個人情報保護法第29条、個人情報保護法施行規則及び確認・記録義務ガイドラインに従い、当該第三者の氏名又は名称及び住所等の記録が必要な事項について、適切に記録を作成し保存すること。

企業・団体名株式会社フリービジネス

指導等を行った日

令和６年１月17日• 第三者から個人データの提供を受けるに際し、当該第三者の住所について、確認を行わなかった。

問題となった取扱い

行政指導の内容• 第三者から個人データの提供を受ける際の確認を行ったときに、当該第三者の住所及び当該第三者による当該個人データの取得の経緯について、記録を作成しなかった。
• 第三者から個人データの提供を受けるに際しては、個人情報保護法第30条第１項、第３項及び第４項、個人情報保護法施行規則及び確認・記録
義務ガイドラインに従い、当該第三者の住所及び当該第三者による当該個人データの取得の経緯等の所定の事項について、適切に確認して記録を作成し保存すること。

9

オプトアウト届出事業者に係る規律の在り方⑩
６．その他不正に持ち出された個人情報を名簿業者が買い取ったとされる事例
事例A

事例B

• 多数の民間事業者及び地方 • 通信教育等を業とするA社か公共団体等から委託を受けA ら委託を受けてＢ社が行って社が行っていたコールセンター いたＡ社の情報システムの開事業に関し、コールセンター業 発等の業務に従事していたX
務で用いるシステムの保守運 が、Ａ社の顧客情報を、２回用を同社から委託されたB社に にわたり、合計約2989万件を所属し、システム保守運用業 不正に持ち出した事案。
務に従事していたXが、およそ • Xは、経済的困窮から、持ち10年の期間、委託元の顧客 出 し た 顧 客 情 報 の う ち 約
又は住民等に関する個人デー 1000 万 件 を 名 簿 業 者 に 売
タ等合計約928万人分を不 却し、得た利益の相当部分を正に持ち出した事案。
競艇等に費消した。
• A社の親会社であるC社の調査によれば、Xにより持ち出された情報の少なくとも一部は、名簿業者に売却されており、その動機には売却による利益を得る目的があったとされる。

事例C

事例D

• A社の情報システムの開発、運用、一般ユーザーの支援等の業務を担当していたXが、A社が保有する顧客情報を不正に取得し売却しようと企て、
顧 客 情 報 （ 掲 載 数 148 万
6651 件 ） が 書 き 込 ま れ た
CD-R１枚を持ち出し、名簿業者に売却した事案。

• A自治体が、その管理に係る住民基本台帳のデータを使用
して乳幼児検診システムを開発することを企図し、その開発業務をB社に委託したところ、再々委託先の従業員であるX
が上記データを不正にコピーして名簿業者に販売した事案。

（個人情報保護委員会事務局調べ）

10オプトアウト届出事業者に係る規律の在り方⑪
７．個人情報保護法相談ダイヤルにおけるオプトアウト届出事業者に係る質問・相談（例）【頻度の多い質問・相談】
質問・相談例A 個人情報保護法上、名簿の販売が許容されていること自体、問題ではないか。
名簿業者に名簿の入手先・取得元を問い合わせたり、第三者提供記録の開示を求めたりしても、拒否された。
質問・相談例B 名簿業者から名簿の入手先・取得元を把握していないと回答された。
名簿業者が届出書記載の取得方法では取得できない情報を保有していた。
提供停止を求めるための連絡先が不明であったり、連絡しても繋がらなかった。
質問・相談例C 提供停止を求めても、電話を切られたり、直ちに停止してもらえなかった。
提供停止を求めたところ、一旦は停止してもらえたが、その後提供が再開されていた。
質問・相談例Ⅾ

提供停止や削除を求めたところ、応じる条件として他の個人情報の提供、他のサービスへの登録、手数料の支払いを求められた。

11