全国こころの会における個人情報保護のための取扱い指針

平成１７年４月１日施行
改定：平成１８年３月２２日
改定：平成２９年１０月２５日
改定：令和４年７月１日

全国こころの会葬祭事業協同組合
全国こころの会個人情報保護委員会

目次
指針項目
１．目的及び適用対象頁
６

１－１ 目的６

１－２ 適用対象

６

２．定義

６

２－１ 個人情報 （法第２条第１項関係）

６

２－２ 個人識別符号 （法第２条第２項関係）

７

２－３ 要配慮個人情報 （法第２条第３項関係）

８

２－４ 個人情報データベース等 （法第１６条第１項関係）

９

２－５ 個人情報取扱事業者 （法第１６条第２項・法第２条第９項、第１０項、第１１項・法別表第２関係）

１０

２－６ 個人データ （法第１６条第３項関係）

１０

２－７ 保有個人データ （法第１６条第４項関係）

１０

２－８ 個人関連情報 （法第２条第７項関係）

１１

２－９ 個人関連情報取扱事業者 （法第１６条第７項関係）

１１

２－１０ 仮名加工情報 （法第２条第５項関係）

１２

２－１１ 仮名加工情報取扱事業者 （法第１６条第５項関係）

１２

２－１２ 匿名加工情報 （法第２条第６項関係）

１２

２－１３ 匿名加工情報取扱事業者 （法第１６条第６項関係）

１２

２－１４ 本人に通知

１２

２－１５ 公表

１３

２－１６ 本人の同意

１３

２－１７ 提供

１３

２－１８ 学術研究機関等 （法第１６条第８項関係）

１３

３．個人情報取扱事業者等の義務

１４３－１ 個人情報の利用目的 （法第１７条、第１８条、第２１条第３項関係）

１４

３－１－１ 利用目的の特定 （法第１７条第１項関係）

１４

３－１－２ 利用目的の変更 （法第１７条第２項、第２１条第３項関係）

１４

３－１－３ 利用目的による制限 （法第１８条第１項関係）

１５

３－１－４ 事業の承継 （法第１８条第２項関係）

１５

３－１－５ 利用目的による制限の例外 （法第１８条第３項関係）

１５

３－２ 不適正利用の禁止 （法第１９条関係）

１７３－３ 個人情報の取得 （法第２０条・第２１条関係）

１７３－３－１ 適正取得 （法第２０条第１項関係）

１７３－３－２ 要配慮個人情報の取得 （法第２０条第２項関係）

１８３－３－３ 利用目的の通知又は公表 （法第２１条第１項関係）

２０

３－３－４ 直接書面等による取得 （法第２１条第２項関係）

２０

３－３－５ 利用目的の通知等をしなくてよい場合 （法第２１条第４項関係）

２１

３－４ 個人データの管理 （法第２２条～第２５条関係）

２２

３－４－１ データ内容の正確性の確保等 （法第２２条関係）

２２

３－４－２ 安全管理措置 (法第２３条関係)

２２-2-

３－４－３ 従業者の監督 (法第２４条関係)

２２

３－４－４ 委託先の監督 (法第２５条関係)

２３３－５ 個人データの漏えい等の報告等 （法第２６条関係）

２４３－５－１ 「漏えい等」の考え方

２４

３－５－１－１ 「漏えい」の考え方

２４

３－５－１－２ 「滅失」の考え方

２４

３－５－１－３ 「毀損」の考え方

２４

３－５－２ 漏えい等事案が発覚した場合に講ずべき措置

２５

３－５－３ 個人情報保護委員会への報告 （法第２６条第１項関係）

２５３－５－３－１ 報告対象となる事態

２５

３－５－３－２ 報告義務の主体

２７

３－５－３－３ 速報 （規則第８条第１項関係）

２７

３－５－３－４ 確報 （規則第８条第２項関係）

２８３－５－３－５ 委託元への通知による例外 （規則第９条関係）

２８３－５－４ 本人への通知 （法第２６条第２項関係）

２８

３－５－４－１ 通知対象となる事態及び通知義務の主体

２８

３－５－４－２ 通知の時間的制限

２９３－５－４－３ 通知の内容

２９３－５－４－４ 通知の方法

２９３－５－４－５ 通知の例外

２９３－６ 個人データの第三者への提供 （法第２７条～第３０条関係）

３０３－６－１ 第三者提供の制限の原則 （法第２７条第１項関係）

３０

３－６－２ オプトアウトによる第三者提供 （法第２７条第２項～第４項関係）

３１

３－６－２－１ オプトアウトに関する原則 （法第２７条第２項関係）

３１

３－６－２－２ オプトアウトに関する事項の変更及び個人データの提供をやめた場合 （法第２７条第３
項関係）

３３

３－６－３ 第三者に該当しない場合 （法第２７条第５項・第６項関係）

３３

３－６－４ 外国にある第三者への提供の制限 （法第２８条関係）

３６３－６－５ 第三者提供に係る記録の作成等 （法第２９条関係）

３７

３－６－６ 第三者提供を受ける際の確認等 （法第３０条関係）

３７

３－７ 個人関連情報の第三者提供の制限等 （法第３１条関係）

３９３－７－１ 法第３１条の適用の有無について

３９

３－７－１－１ 「個人データとして取得する」について

３９

３－７－１－２ 「想定される」について

３９

３－７－１－３ 契約等による対応について

３９

３－７－２ 本人の同意の取得方法

４０

３－７－２－１ 本人の同意

４０

３－７－２－２ 同意を取得する主体

４０

３－７－２－３ 同意取得の方法

４０

３－７－３ 本人の同意等の確認の方法 （法第３１条第１項関係）

４１

３－７－３－１ 個人データとして取得することを認める旨の本人の同意を得られていること （法第３１条
第１項第１号、規則第２６条第１項関係）

４１

-3-

３－７－３－２ 外国にある第三者への提供にあっては、必要な情報が当該本人に提供されていること（法第３１条第１項第２号、規則第２６条第２項関係）

４１

３－７－３－３ 既に確認を行った第三者に対する確認の方法 （規則第２６条第３項）

４２

３－７－４ 提供元における記録義務 （法第３１条第３項、第３０条第３項関係）

４２

３－７－４－１ 記録を作成する媒体 （規則第２７条第１項関係）

４３

３－７－４－２ 記録を作成する方法

４３

３－７－４－２－１ 原則 （規則第２７条第２項関係）

４３

３－７－４－２－２ 一括して記録を作成する方法 （規則第２７条第２項関係）

４３

３－７－４－２－３ 契約書等の代替手段による方法 （規則第２７条第３項関係）

４３

３－７－４－２－４ 代行により記録を作成する方法

４４

３－７－４－３ 提供元における記録事項 （規則第２８条関係）

４４

３－７－４－３－１ 提供元における記録事項 （規則第２８条第１項関係）

４４

３－７－４－３－２ 記録事項の省略 （規則第２８条第２項関係）

４４

３－７－４－４ 保存期間 （法第３１条第３項、第３０条第４項関係）

４５

３－７－５ 提供先の第三者における確認義務 （法第３０条第１項）

４５

３－７－５－１ 確認方法 （法第３０条第１項、規則第２２条関係）

４５

３－７－５－２ 既に確認を行った第三者に対する確認方法 （規則第２２条関係）

４５

３－７－５－３ 提供先の第三者による適正取得

４６

３－７－６ 提供先の第三者における記録義務 （法第３０条第３項関係）

４６

３－７－６－１ 記録を作成する媒体 （規則第２３条第１項関係）

４６

３－７－６－２ 記録を作成する方法

４６

３－７－６－２－１ 原則 （規則第２３条第２項関係）

４６

３－７－６－２－２ 一括して記録を作成する方法 （規則第２３条第２項関係）

４６

３－７－６－２－３ 契約書等の代替手段による方法 （規則第２３条第３項関係）

４６

３－７－６－３ 提供先の第三者における記録事項 （規則第２４条関係）

４６

３－７－６－３－１ 提供先の第三者における記録事項 （規則第２４条第１項関係）

４６

３－７－６－３－２ 記録事項の省略 （規則第２４条第２項関係）

４７

３－７－６－４ 保存期間 （法第３０条第４項、規則第２５条関係）

４７

３－８ 保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止等 （法第３２条～第３９条関係）

４８３－８－１ 保有個人データに関する事項の公表等 （法第３２条関係）

４８３－８－１－１ 保有個人データに関する事項の本人への周知 （法第３２条第１項関係）

４８

３－８－１－２ 保有個人データの利用目的の通知 （法第３２条第２項・第３項関係）

５０

３－８－２ 保有個人データの開示 （法第３３条第１項～第４項関係）

５０

３－８－３ 第三者提供記録の開示 （法第３３条第５項、第１項～第３項関係）

５１

３－８－３－１ 第三者提供記録の定義

５１

３－８－３－２ 第三者提供記録の開示の方法

５２

３－８－３－３ 第三者提供記録の不開示事由等

５２

３－８－４ 保有個人データの訂正等 （法第３４条関係）

５３

３－８－５ 保有個人データの利用停止等 （法第３５条関係）

５３

３－８－５－１ 利用停止等の要件

５３

３－８－５－２ 本人の権利利益の侵害を防止するために必要な限度

５５

-4-

３－８－５－３ 本人の権利利益を保護するため必要なこれに代わるべき措置

５５

３－８－６ 理由の説明 （法第３６条関係）

５６

３－８－７ 開示等の請求等に応じる手続 （法第３７条関係）

５６

３－８－８ 手数料 （法第３８条関係）

５７

３－８－９ 裁判上の訴えの事前請求 （法第３９条関係）

５７

３－９ 個人情報の取扱いに関する苦情処理 （法第４０条関係）

５８

４．「勧告」、「命令」、「緊急命令」等についての考え方

５８

４－１ 「勧告」、「命令」、「緊急命令」等についての考え方

５８

４－２ 罰則について

５９

５．講ずべき安全管理措置の内容

５９

５－１ 基本方針の策定

５９５－２ 個人データの取扱いに係る規律の整備

５９

５－３ 組織的安全管理措置

６０

５－４ 人的安全管理措置

６０

５－５ 物理的安全管理措置

６０

５－６ 技術的安全管理措置

６１

５－７ 外的環境の把握

６１

５－８ 講じなければならない措置及び中小規模事業者における手法の例示

６１（指針の改廃）６３-5-

全国こころの会における個人情報保護のための取扱い指針
１．目的及び適用対象
１－１ 目的全国こころの会における個人情報保護のための取扱い指針（以下、「指針」という。）は、「個人情報の保護に関する法律」（以下、「法」という。）及び個人情報保護委員会が個人情報の適正な取扱いの確保のために定めた「個人情報の保護に関する法律についてのガイドライン（通則編）」（以下、「委員会ガイドライン」という。）を踏まえて、全国こころの会葬
祭事業協同組合（以下、「本会」という。）が個人情報保護に関する業務を推進する部門として全国こころの会個人情報保護委員会（以下、「当委員会」という。）を設置し、葬祭業を営む加盟社及び賛助会員（以下、「事業者」という。）を対象に、事業者の個人情報の適正な取扱いの確保に関して行う活動を支援すること、及び事業者が講ずる措置が適切かつ有効に実施されることを目的として定めたものである。
（１） 事業者は、こころの会の会員募集及び葬祭業務を取扱う上で知り得た個人情報の保護の重要性を深く理解して、指針に準拠した調和のとれた適正な体制を構築し、適切な保護に努めるとともに実施体制の維持と継続的な改善を図り、こころの会会員及び顧客、消費者（以下、「会員等」という。）の信頼をより一層高める活動を行うことによって、健全な業界の進展に寄与することとする。
（２） 当委員会は、事業者の①個人情報の適切な取扱いの確保に関する活動、②個人情報に関する苦情の処理、③
個人情報保護指針の作成・公表、情報提供、及び個人情報保護に関連する業務の支援を行うこととする。
（３） 本会は、事業者が個人情報の安全管理と保護を図るため、この指針及び関連する規程を適用し、全組織的な個
人情報保護の体制をとることとする。
（４） 当委員会は、事業者の保有する個人情報等に関して情報主体（以下、「本人」という。）からの苦情申し出を受けた
場合は、解決するにあたって事業者及び本人に対して平等な姿勢で苦情の処理にあたることとする。また、他の事業者の保有する個人情報等に関する本人からの申し出についても同様の対応を行うこととする。
（５） 事業者の個人データの漏えい等の事案が発生した場合の報告、第三者提供時の確認・記録義務等の対応については、委員会ガイドラインを準用することとする。
１－２ 適用対象
この指針は、こころの会の会員募集、会員等への葬祭サービス及び日常サービス等の提供、並びに、それらに係わる事業を行うに際し、個人情報を取得して利用する事業者に適用し、事業者は、指針を用いて次の事項を行うこととする。
当委員会は個人情報保護に関する事業を推進するにあたっては、指針に沿った対応を行うこととする。また、事業の実態を踏まえ、指針を策定又は改正することがある。
（１） 個人情報の取扱いが適切に行われていることを確認すること。
（２） 個人情報保護推進体制を構築すること。
（３） 個人情報保護推進体制が適合しているかを確認し、適合していることを HP、機関紙、パンフレット等により社内外に公表すること。
（４） この指針は法的な拘束性を持つものではないが事業者は、こころの会システムを共有する全国組織の一員としての自覚を持ち遵守することとする。
２．定義
この指針における用語の定義は各号に定める。
２－１ 個人情報 （法第２条第１項関係）「個人情報」（※１）とは、生存する「個人に関する情報」（※２）（※３）であって、「当該情報に含まれる氏名、生年月日
その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ（※４）、それにより特定の個人を識別することができるものを含む。）」、又は「個人識別符号（※５）が含まれるもの」をいう。
（１） 「個人に関する情報」とは、氏名、住所、性別、生年月日、顔画像等、個人を識別する情報に限られず、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報であり、公刊物、評価情報等によって公にされている情報や、映像、音声による情報も含まれ、暗号化等によって秘匿化されているかどうかを問わない。
（２） 事業者は、会員等から取得した個人に関する情報が死者に関する情報であっても、同時に、遺族等の生存する個-6-

人に関する情報でもあり、かつ、生存する特定の個人を識別できる情報である場合は、法に定める個人に関する情報に該当することを認識しなければならない。
（３） 生存する個人には日本国民及び外国人も含まれるが、法人その他の団体は｢個人｣に該当しないため、法人等の団体そのものに関する情報は含まれない。
【個人情報に該当する事例】
事例１） 本人の氏名
事例２） 生年月日、連絡先(住所・居所・電話番号・メールアドレス)、会社における職位又は所属に関する情報について、それらと本人の氏名を組み合わせた情報
事例３） 防犯カメラに記録された情報等本人が判別できる映像情報
事例４） 本人の氏名が含まれる等の理由により、特定の個人を識別できる音声録音情報
事例５） 特定の個人を識別できるメールアドレス(kokoro-taro@kokoro-net.co.jp 等のようにメールアドレスだけの情報の場合であっても、こころの会に所属するココロタロウのメールアドレスであることがわかるような場合等)
事例６） 個人情報を取得後に当該情報に付加された個人に関する情報（取得時に生存する特定の個人を識別することができなかったとしても、取得後、新たな情報が付加され、又は照合された結果、生存する特定の個人を識別できる場合は、その時点で個人情報に該当する。）
事例７） 氏名を含む雇用管理情報や特定の個人を識別できる雇用管理情報（会社が従業者を評価した情報、また役員、従業者、パート、アルバイト等に関する情報は個人情報に該当する。）
事例８） 官報、電話帳、職員録、法定開示書類（有価証券報告書等）、新聞、ホームページ、SNS（ソーシャル・ネッ
トワーク・サービス）等で公にされている特定の個人を識別できる情報
事例９） 葬儀施行時に盛花、花環などの供物を受注した際の特定の個人を識別できる情報【個人情報に該当しない事例】
事例１） 企業の財務情報等、法人等の団体そのものに関する情報（団体情報）
事例２） 記号や数字等の文字列だけから特定個人の情報であるか否かの区別がつかないメールアドレス情報(例えば、ko1234@kokoro-net.co.jp。ただし、他の情報と容易に照合することによって特定の個人を識別できる
場合は、個人情報となる。)
事例３） 特定の個人を識別することができない統計情報（※１） 法は、「個人情報」、「要配慮個人情報」（２－３要配慮個人情報 参照）、「個人データ」（２－６個人データ参照）、「保有個人データ」（２－７保有個人データ 参照）、「個人関連情報」（２－８個人関連情報 参照）、
「仮名加工情報」（２－１０仮名加工情報 参照）、「匿名加工情報」（２－１２匿名加工情報 参照）等の語を使い分けており、事業者に課される義務はそれぞれ異なるので、注意を要する。
（※２） 死者に関する情報が、同時に、遺族等の生存する個人に関する情報でもある場合には、当該生存する特定する個人に関する情報に該当する。
（※３） 法人その他の団体は「個人」に該当しないため、法人等の団体そのものに関する情報は「個人情報」に該当しない（ただし、役員、従業員等に関する情報は個人情報に該当する。）。なお、「個人」は日本国民に限らず、外国人も含まれる。
（※４） 「他の情報と容易に照合することができ」とは、事業者の実態に即して個々の事例ごとに判断されるべきであるが、通常の業務における一般的な方法で、他の情報と容易に照合することができる状態をいい、例えば、他の事業者への照会を要する場合等であって照合が困難な状態は、一般に、容易に照合することができない状態であると解される。
（※５） 個人識別符号については、「２－２個人識別符号」を参照。
２－２ 個人識別符号 （法第２条第２項関係）
個人識別符号とは、当該情報単体から特定の個人を識別できるものとして個人情報の保護に関する法律施行令（以下、「政令」という。）に定められた文字、番号、記号その他の符号をいい、これに該当するものが含まれる情報は個人情報となる。（２－１個人情報 参照）（１） 具体的な内容は、政令及び、個人情報の保護に関する法律施行規則（以下、「規則」という。）に定めるとおり。
（２） 政令に定める身体の特徴のいずれかを電子計算機の用に供するために変換した文字、番号、記号その他の符号のうち、「特定の個人を識別するに足りるものとして個人情報保護委員会規則で定める基準に適合するもの」が個-7-

人識別符号に該当する。
（３） 当該基準は、政令及び規則において定められており、この基準に適合し、個人識別符号に該当することとなるものは次のとおりである。
イ） 細胞から採取されたデオキシリボ核酸（別名 DNA）を構成する塩基の配列ロ） 顔の骨格及び皮膚の色並びに目、鼻、口、その他の顔の部位の位置及び形状によって定まる容貌
ハ） 虹彩の表面の起状により形成される線状の模様
二） 発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化によって定まる声の質ホ） 歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様
へ） 手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状
ト ） 指紋又は掌紋
チ） 組合せ（政令に定めるイからトまでに掲げるものから抽出した特徴情報を、組合せ、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの）
２－３ 要配慮個人情報 （法第２条第３項関係）
要配慮個人情報とは、不当な差別や偏見その他の不利益が生じないように、その取扱いに特に配慮を要するものとして次の１）から１１）までの記述等が含まれる個人情報をいう。 なお、これらの情報を推測させるにすぎないもの（宗教に関する書籍の購買や貸出しに係る情報等）は、要配慮個人情報には含まない。
（１） 要配慮個人情報の取得や第三者提供には、原則として本人の同意が必要であり、第三者提供（オプトアウトによる第三者提供）は認められていないので、注意が必要である。（３－３－２要配慮個人情報の取得、３－６－１第三者提供の制限の原則、３－６－２オプトアウトによる第三者提供 参照）（２） 要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態が生じた場合には、個人情報保護委員会に報告しなければならない（３－５－３個人情報保護委員会への報告 参照）。
【要配慮個人情報】
１） 人種
・ 人種、世系（代々の血統、系統）又は民族的、種族的出身を広く意味する。
・ なお、単純な国籍や「外国人」という情報は法的地位であり、それだけでは人種には含まない。また、肌の色は、人種を推測させる情報にすぎないため、人種には含まない。
２） 信条
・ 個人の基本的なものの見方、考え方を意味し、思想と信仰の双方を含むもの。
３） 社会的身分
・ ある個人にその境遇として定着していて、一生の間、自らの力によって容易にそれから脱し得ないような地位を意味し、単なる職業的地位や学歴は含まない。
４） 病歴
・ 病気に罹患した経歴を意味するもので、特定の病歴を示した部分（特定の個人が癌に罹患している、統合失調症を患っている等）が該当する。
５） 犯罪の経歴
・ 前科、すなわち有罪の判決を受けこれが確定した事実が該当する。
６） 犯罪により害を被った事実
・ 身体的被害、精神的被害及び金銭的被害を問わず、犯罪の被害を受けた事実を意味する。具体的には、刑罰法令に規定されるうち、刑事事件に関する手続に着手されたものが該当する。
７） 身体障害、知的障害、精神障害（発達障害を含む。）その他の個人情報保護委員会規則で定める心身の機能の障害があること・ この他、当該障害があること又は過去にあったことを特定させる情報も該当する。
８） 本人に対して医師その他医療に関連する職務に従事する者（以下、「医師等」という。）により行われた疾病の予防及び早期発見のための健康診断その他の検査（以下、「健康診断等」という。）の結果
・ 労働安全衛生法に基づいて行われた健康診断、ストレスチェックの結果、高齢者の医療の確保に関する法律に基づいて行われた特定健康検診の結果等が該当する。また、法律に定められた健康診査の結果等に限定されるものではなく、人間ドック等、保険者や事業主が任意で実施又は助成する検査の結果も該当する。さらに、医療機関を介さないで行われた遺伝子検査により得られた本人の遺伝型とその遺伝型の疾患へのかかりやすさに-8-該当する結果等も含まれる。
・ なお、健康診断等を受診したという事実は該当しない。また、身長、体重、血圧、脈拍、体温等の個人の健康に関する情報を、健康診断、診療等の事業及びそれに関する業務とは関係のない方法により知り得た場合は該当しない。
９） 健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療もしくは調剤が行われたこと
・ 労働安全衛生法に基づき医師又は保健師により行われた保健指導の内容、医師により行われた面接指導の内
容、高齢者の医療の確保に関する法律に基づき医師、保健師、管理栄養士により行われた特定保健指導の内容等が該当する。また、法律に定められた保健指導の内容に限定されるものではなく、保険者や事業主が任意で実施又は助成により受診した保健指導の内容も該当する。なお、保健指導等を受けたという事実も該当する。
・ 病院、診療所、その他の医療を提供する施設において診療の過程で、患者の身体の状況、病状、治療状況等について、医師、歯科医師、薬剤師、看護師、その他の医療従事者が知り得た情報（診療記録等）全てが該当する。また、病院等を受診したという事実も該当する。
・ 病院、診療所、薬局、その他の医療を提供する施設において調剤の過程で、患者の身体の状況、病状、治療状
況等について、薬剤師（医師又は歯科医師が自己の処方箋により自ら調剤する場合を含む。）が知り得た情報（調剤録、薬剤服用歴、お薬手帳に記載された情報等）全てが該当する。また、薬局等で調剤を受けたという事実も該当する。
・ なお、身長、体重、血圧、脈拍、体温等の個人の健康に関する情報を、健康診断、診療等の事業及びそれに関する業務とは関係のない方法により知り得た場合は該当しない。
１０） 本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと（犯罪の経歴を除く。）
・ 本人を被疑者又は被告人として刑事事件に関する手続が行われたという事実が該当する。
・ 他人を被疑者とする犯罪捜査のために取調べを受けた事実や、証人として尋問を受けた事実に関する情報は、本人を被疑者又は被告人としていないことから、これには該当しない。
１１） 本人を少年法に規定する少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと
・ 本人を非行少年又はその疑いのある者として、保護処分等の少年の保護事件に関する手続が行われたという事実が該当する。
２－４ 個人情報データベース等 （法第１６条第１項関係）
個人情報データベース等とは、特定の個人情報を、コンピューターを用いて検索することができるように体系的に構成した、個人情報を含む情報の集合物をいう。
（１） コンピューターを用いていない場合であっても、紙面で処理した個人情報を一定の規則（五十音順等）に従って整理・分類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付して、他人によっても容易に検索が可能な状態に置いているものも該当する。
（２） 次の１）から３）までのいずれにも該当するものは、利用方法からみて個人の権利利益を害するおそれが少ないため、個人情報データベース等には該当しない。
１） 不特定かつ多数の者に販売することを目的として発行されたものであって、かつ、その発行が法又は法に基づく命令の規定に違反して行われたものでないこと。
２） 不特定かつ多数の者により容易に購入することができ、又はできたものであること。
３） 生存する個人に関する他の情報を加えることなく、その本来の用途に供しているものであること。
【個人情報データベース等に該当する事例】
事例１） 電子メールソフトに保管されているメールアドレス帳（メールアドレスと氏名を組み合わせた情報を入力している場合）
事例２） インターネットサービスにおいて、ユーザーが利用したサービスに係るログ情報がユーザーID によって整理され保管されている電子ファイル（ユーザーID と個人情報を容易に照合することができる場合）
事例３） 会員等が利用した葬儀等の取引についての情報が保管されている電子ファイル（個人情報と関連付けて管理している場合）
事例４） 従業者が名刺の情報を業務用パソコン（所有者を問わない。）の表計算ソフト等を用いて入力・整理している場合-9-事例５） こころの会入会申込用紙を、氏名の五十音順に整理し、五十音順のインデックスを付してファイルしている
場合【個人情報データベース等に該当しない事例】
事例１) 従業者が自己の名刺入れについて他人が自由に閲覧できる状況に置いていても、他人には容易に検索できない独自の分類方法により名刺を分類した状態である場合
事例２) アンケート、懸賞等の回答ハガキが、氏名、住所等で分類整理されていない状態である場合
事例３) 市販の電話帳、住宅地図、職員録、カーナビゲーションシステム等
２－５ 個人情報取扱事業者 （法第１６条第２項・法第２条第９項、第１０項、第１１項・法別表第２関係）
個人情報取扱事業者とは、個人情報データベース等を事業の用に供している者のうち、国の機関、地方公共団体、法に規定する独立行政法人等（法に定めた者を除く。）及び法に規定する地方独立行政法人を除いた者をいう。
（１） 「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。
（２） 個人情報データベース等を事業の用に供している者であれば、当該個人情報データベース等を構成する個人情報によって識別される特定の個人の数の多寡にかかわらず、個人情報取扱事業者に該当する。
（３） 法人格のない、権利能力のない社団（任意団体）又は個人であっても、個人情報データベース等を事業の用に供している場合は個人情報取扱事業者に該当する。
（４） 事業者は、こころの会会員募集を営業戦略の基本に置き事業を展開していることから、個人情報取扱事業者として
個人情報保護の適正な取扱いの推進をすることとする。
２－６ 個人データ （法第１６条第３項関係）
個人データとは、個人情報取扱事業者が管理する｢個人情報データベース等｣を構成する個人情報をいう。なお、利用方法からみて個人の権利・利益を害する恐れが少ないため、個人情報データベース等から除かれているもの（市販の電話帳・住宅地図等）を構成する個人情報は個人データに該当しない（２－４個人情報データベース等 参照）。
【個人データに該当する事例】
事例１) 個人情報データベース等から外部の記録媒体に保存したバックアップ用の個人情報
事例２) 個人情報データベース等から紙面に出力された帳票等に印字された個人情報【個人データに該当しない事例】
事例１) 個人情報データベース等を構成する前の入力帳簿に記載されている、体系化されていない個人情報
事例２） 市販の電話帳、住宅地図、カーナビゲーション等を構成する個人情報
２－７ 保有個人データ （法第１６条第４項関係）
保有個人データ（※１）とは、個人情報取扱事業者が本人又はその代理人から請求される開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止の全て（以下、「開示等」という。）に応じることのできる権限を有する個人データ（※２）をいう。ただし、個人データのうち、次の１）から４）に掲げるものは、「保有個人データ」に該当しない。
１） 当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの。
【具体的な事例】
事例） 家庭内暴力、児童虐待の被害者の支援団体が保有している、加害者（配偶者又は親権者）及び被害者（配偶者又は子）を本人とする個人データ
２） 当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれあるもの。
【具体的な事例】
事例１） 暴力団等の反社会的勢力による不当要求の被害等を防止するために事業者が保有している、当該反社会的勢力に該当する人物を本人とする個人データ
事例２） 不審者や悪質なクレーマー等による不当要求の被害等を防止するために事業者が保有している、当該行為を行った者を本人とする個人データ
３） 当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国もしくは国際機関との信頼関係が損なわれるおそれ又は他国もしくは国際機関との交渉上不利益を被るおそれがあるもの。
- 10 -

【具体的な事例】
事例１） 製造業者、情報サービス事業者等が保有している、防衛に関連する兵器・設備・機器・ソフトウェア等の設計又は開発の担当者名が記録された、当該担当者を本人とする個人データ
事例２） 要人の訪問先やその警備会社が保有している、当該要人を本人とする行動予定等の個人データ
４） 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの。
【具体的な事例】
事例１） 警察から捜査関係事項照会等がなされることにより初めて取得した個人データ
事例２） 警察からこころの会会員情報等について捜査関係事項の照会等を受けた事業者が、その対応の過程で作成した照会受理簿・回答発信簿、照会対象者リスト等の個人データ（当該こころの会会員情報自体は「保有個人データ」に該当する。）
事例３） 犯罪による収益の移転防止に関する法律に基づく疑わしい取引の届出の有無
事例４） 振り込め詐欺に利用された口座に関する情報に含まれる個人データ（※１） 法は、「個人情報」、「要配慮個人情報」、「個人データ」、「保有個人データ」、「個人関連情報」、「仮名加工情報」、「匿名加工情報」等の語を使い分けており、事業者等に課される義務はそれぞれ異なるので、注意を要する。
（※２） 開示等の具体的な対応が必要となる場合等については、「３－８－２保有個人データの開示」以降を参照。
なお、個人データの取扱いについて、委託等により複数の個人情報取扱事業者が関わる場合には、契約等の実態によって、どの事業者が開示等に応じる権限を有しているかを判断することとなる。
２－８ 個人関連情報 （法第２条第７項関係）
個人関連情報とは、生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。「個人に関する情報」とは、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報である。
【個人関連情報に該当する事例】
事例１） Cookie 等の端末識別子を通じて収集された、ある個人のウェブサイトの閲覧履歴
事例２） メールアドレスに結び付いた、ある個人の年齢・性別・家族構成等
事例３） 事業者の管理する会員等の氏名等顧客情報と関連しないある個人の仏壇、供花等の購買履歴及び事前相談等の葬祭サービス利用履歴
事例４） ある個人の位置情報
事例５） ある個人の事前相談に興味・関心を示す情報【個人関連情報に該当しない事例】
事例１） 「個人に関する情報」のうち、氏名、生年月日その他の記述等により特定の個人を識別することができるものは、個人情報に該当するため、個人関連情報には該当しない
事例２） 統計情報は、特定の個人との対応関係が排斥されている限りにおいては、個人に関する情報に該当する
ものではないため、個人関連情報にも該当しない
事例３） 一般的に、ある個人の位置情報それ自体のみでは個人情報には該当しないが、個人に関する位置情報が連続的に蓄積されるなどして特定の個人を識別することができる場合には、個人情報に該当し、個人関連情報には該当しないことになる
２－９ 個人関連情報取扱事業者 （法第１６条第７項関係）
個人関連情報取扱事業者とは、個人関連情報データベース等（※１）を事業の用に供している（※２）者のうち、国の機関、地方公共団体、法に規定する独立行政法人等（法に定めた者を除く。）及び法に規定する地方独立行政法人を除いた者をいう。
（※１） 「個人関連情報データベース等」とは、個人関連情報を含む情報の集合物であって、特定の個人関連情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の個人関連情報を容易に検索することができるように体系的に構成したものとして政令で定めるものをいう。また、紙媒体の個人関連- 11 -

情報を一定の規則に従って整理・分類し、特定の個人関連情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当する。
（※２） 「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。なお、法人格のない、権利能力のない社団（任意団体）又は個人であっても、個人関連情報データベース等を事業の用に供している場
合は、個人関連情報取扱事業者に該当する。
２－１０ 仮名加工情報 （法第２条第５項関係）
仮名加工情報とは、法に定める措置を講じて他の情報と照合しない限り特定の個人を識別することができないように
個人情報を加工して得られる個人に関する情報をいう。（詳細については、個人情報保護委員会「仮名加工情報・匿名加工情報ガイドライン」を参照。）
２－１１ 仮名加工情報取扱事業者 （法第１６条第５項関係）
仮名加工情報取扱事業者とは、仮名加工情報を含む情報の集合物であって、特定の仮名加工情報を電子計算機を用いて検索が可能にできるよう体系的に構成したものその他特定の仮名加工情報を容易に検索が可能にできるように体系的に構成したものとして政令で定めるもの（以下、「仮名加工情報データベース等」という。）を事業の用に供している者のうち、国の機関、地方公共団体、法に規定する独立行政法人等（法に定めた者を除く。）及び法に規定する地方独立行政法人を除いた者をいう。（詳細については、個人情報保護委員会「仮名加工情報・匿名加工情報ガイドライン」
を参照。）（１） 仮名加工情報の取扱いについては、法令を遵守することとする。
（２） 当委員会は、事業者が仮名加工情報データベース等を事業の用に供する場合にあたっては、仮名加工情報の取扱う場合等に遵守すべき義務等を別途定めることとする。
２－１２ 匿名加工情報 （法第２条第６項関係）
匿名加工情報とは、法に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。（詳細については、個人情報保護員会「仮名加工情報・匿名加工情報ガイドライン」を参照。）
２－１３ 匿名加工情報取扱事業者 （法第１６条第６項関係）
匿名加工情報取扱事業者とは、匿名加工情報を含む情報の集合物であって、特定の匿名加工情報を電子計算機を用いて検索が可能にできるよう体系的に構成したものその他特定の匿名加工情報を容易に検索が可能にできるように体系的に構成したものとして政令で定めるもの（以下、「匿名加工情報データベース等」という。）を事業の用に供している者のうち、国の機関、地方公共団体、法に規定する独立行政法人等（法に定めた者を除く。）及び法に規定する地方独立行政法人を除いた者をいう。（詳細については、個人情報保護委員会「仮名加工情報・匿名加工情報ガイドライン」
を参照。）（１） 匿名加工情報の取扱いについては、法令を遵守することとする。
（２） 当委員会は、事業者が匿名加工情報データベース等を事業の用に供する場合にあたっては、匿名加工情報の取扱う場合等に遵守すべき義務等を別途定めることとする。
２－１４ 本人に通知
本人に通知とは、本人に直接知らしめることをいい、事業の性質及び個人情報の取扱い状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。
【本人への通知に該当する事例】
事例１） こころの会入会申込用紙の記入前に口頭等により説明すること
事例２） 事前相談等の際に来館した会員等にチラシ等の文書を直接渡すことにより知らせて説明すること
事例３） 口頭又は、自動応答装置等で知らせること
事例４） 電子メール、ＦＡＸ等により送信、又は文書を郵便等で送付することにより知らせること
事例５） 電子商取引において、取引の確認を行うための自動応答の電子メールに記載して送信し知らせること- 12 -

２－１５ 公表
公表とは、広く一般に自己の意思を知らせること（不特定多数の人々が知ることができるように発表すること）をいい、公表にあたっては、事業の性質及び個人情報の取扱状況に応じ、合理的かつ適切な方法によらなければならない。
【公表に該当する事例】
事例１） 自社のＨＰのトップページに１回程度の操作で到達できる場所への掲載
事例２） 自社の会館や事務所等、会員等が訪れることが想定される場所におけるポスター等の掲示、パンフレット
等の備置き・配布
事例３） 通信販売の場合は通信販売用のパンフレット・カタログ等への掲載
事例４） こころの会入会説明用のパンフレットや入会申込用紙に掲載
２－１６ 本人の同意
本人の同意とは、本人の個人情報が、個人情報取扱事業者によって示された取扱い方法で取扱われることを承諾する旨の当該本人の意思表示をいう（当該本人であることを確認できていることが前提。)。
（１） ｢本人の同意を得る｣とは、本人の承諾する旨の意思表示を事業者が認識することをいい、事業の性質及び個人情報の取扱い状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。
（２） 未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力を有していないなどの場合は、親権者や法定代理人等から同意を得る必要がある。
【本人の同意を得ている事例】
事例１） 同意する旨を本人から口頭又は書面（電磁的方式を含む。） での意思表示
事例２） 本人からの同意する旨を含めたこころの会入会申込用紙への署名又は記名押印
事例３） 本人からの同意する旨のメールの受信
事例４） 本人による同意する旨の確認欄へのチェック
事例５） 本人による同意する旨のウェブ画面上のボタンのクリック
事例６） 本人による同意する旨の音声入力、タッチパネルへのタッチ、ボタンやスイッチ等による入力
２－１７ 提供
提供とは、個人データ、保有個人データ、個人関連情報、仮名加工情報又は匿名加工情報（以下、「個人データ等」という。）を、自己以外の者が利用可能な状態に置くことをいう。
（１） 個人データ等が、物理的に提供されていない場合であっても、ネットワーク等を利用することにより、個人データ等を利用できる状態、利用する権限が与えられていれば提供にあたる。
２－１８ 学術研究機関等 （法第１６条第８項関係）
学術研究機関等（※１）（※２）とは、大学その他の学術研究を目的とする機関もしくは団体又はそれらに属する者をいう。
（１） 「大学その他の学術研究を目的とする機関若しくは団体」とは、国立・私立大学、公益法人等の研究所等の学術研究を主たる目的として活動する機関や「学会」をいい、「それらに属する者」とは、国立・私立大学の教員、公益法人
等の研究所の研究員、学会の会員等をいう。
（２） 民間団体付属の研究機関等における研究活動についても学術研究を主たる目的とするものである場合には、「学術研究機関等」に該当する。
（３） 当該機関が単に製品開発を目的としている場合は「学術研究を目的とする機関又は団体」には該当しないが、製品開発と学術研究の目的が併存している場合には、主たる目的により判断する。
（※１） 国立の大学等、法に定める法人のうち、学術研究機関等にも該当するものについては、原則として私立の大学、民間の学術研究機関等と同等の規律が適用される。
（※２） 「学術」とは、人文・社会科学及び自然科学並びにそれらの応用の研究であり、あらゆる学問分野における研究活動及びその所産としての知識・方法の体系をいい、「学術研究」とは、新しい法則や原理の発見、分析や方法論の確立、新しい知識やその応用法の体系化、先端的な学問領域の開拓等をいう。
- 13 -

３．個人情報取扱事業者等の義務
３－１ 個人情報の利用目的 （法第１７条、第１８条、第２１条第３項関係）
３－１－１ 利用目的の特定 （法第１７条第１項関係）
事業者は、個人情報を取扱うにあたっては、利用目的をできる限り具体的に特定しなければならない。
（１） 利用目的の特定にあたっては、利用目的を単に抽象的、一般的に特定するのではなく、個人情報が個人情報取扱事業者において最終的にどのような事業の用に供され、どのような目的で個人情報を利用されるのかが、本人
にとって一般的かつ合理的に想定できる程度に具体的に特定することが望ましい。（※１）（※２）（２） あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的の特定にあたっては、その旨が明確に分かるよう特定しなければならない（３－６－１第三者提供の制限の原則 参照）。
【具体的に利用目的を特定している事例】
事例１） ｢こころの会入会申込用紙にご記入いただく個人情報は、葬祭サービスの提供及び葬祭関連商品の発送、アフターサービス、新商品・その他サービスに関する情報のお知らせのために利用いたします。｣
事例２） 「葬儀打合せにおいてご提供いただいた氏名・住所・電話番号等は、ご依頼を受けた葬儀を滞りなく執り行うために利用いたします。その他の目的で利用する場合は事前にご了解を得た場合のみ利用いたします。」
事例３） 「葬儀において当社が知り得た個人情報は、葬儀を滞りなく執り行うために利用するほか、法事など関連した当社グループの各種サービスのご案内等に利用させていただきます。」
事例４） 「ご記入いただいた、氏名、住所、電話番号は、当社の取引先である仏壇仏具店、生花店、料理店及び返礼ギフト販売会社に提供することがあります。」【具体的に利用目的を特定していない事例】
事例１） ｢当社の事業活動に使用するため｣
事例２） ｢当社の提供するサービスの向上のため｣
事例３） ｢当社のマーケティング活動に使用するため｣（※１） 本人が、自らの個人情報がどのように取扱われることとなるか、利用目的から合理的に予測・想定できない
ような場合は、この趣旨に沿ってできる限り利用目的を特定したことにはならない。
（※２） 定款等に規定されている事業の内容に照らして、個人情報によって識別される本人からみて、自分の個人情報が利用される範囲が合理的に予想できる程度に特定されている場合や、業種を明示することで利用目的の範囲が想定される場合には、これで足りるとされることもあるが、多くの場合、業種の明示だけでは利用目的をできる限り具体的に特定したことにはならない。なお、利用目的の特定に当たり「葬祭事業」のように事業を明示する場合についても、社会通念上、本人からみて特定ができると認められる範囲に特定することが望ましい。また、単に「事業活動」、「お客様のサービスの向上」等のように抽象的、一般的な内容を利用目的とすることは、できる限り具体的に特定したことにはならない。
３－１－２ 利用目的の変更 （法第１７条第２項、第２１条第３項関係）
特定した利用目的は、変更前の利用目的と関連性を有すると合理的に認められる範囲で、変更後の利用目的が変更
前の利用目的からみて社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内（※１）で変更することは可能である。変更された利用目的は、本人に通知するか、又は公表しなければならない（２－１４本人に通知、２－１５公表 参照）。
（１） 特定された利用目的の達成に必要な範囲を超えて個人情報を取扱う場合は、あらかじめ本人の同意を得なければならない。
（２） 本人の身体等の保護のために必要があり、かつ本人の同意を得ることが困難である場合等、法に定めてある場合には、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱うことができる（３－１－５利用目的による制限の例外 参照）。
（３） 当初の利用目的として記載されていない場合でも、本人の同意を得るためにメールの送信や電話をかけること等
は、目的外利用には該当しない。
（４） ｢当社の行う葬祭事業における新商品・サービスに関する情報を電子メールにより送信することがあります。｣とした
利用目的において、｢郵便及び FAX によりお知らせすることがある｣旨を追加することは許容される。
【同意が必要な事例】- 14 -

事例１） 就職のための履歴書情報をもとに、自社取扱商品のカタログ等を送る場合
事例２） 事前相談で収集された情報をもとに、自社商品、法事等のパンフレットを送る場合
事例３） 電話で供物の受注を受けた際に取得した個人情報を自社の商品案内等に利用する場合（※1） 「本人が通常予期し得る限度と客観的に認められる範囲」とは、本人の主観や事業者の恣意的な判断によるものではなく、一般人の判断において、当初の利用目的と変更後の利用目的を比較して予期できる範囲をいい、当初特定した利用目的とどの程度の関連性を有するかを総合的に勘案して判断される。
３－１－３ 利用目的による制限 （法第１８条第１項関係）
事業者は、特定した利用目的の達成に必要な範囲を超えて、個人情報を取扱う場合は、あらかじめ本人の同意を得なければならない。ただし、当該同意を得るために、個人情報を利用すること（メールの送信や電話をかけること等）は、当初特定した利用目的として記載されていない場合でも、目的外利用には該当しない。
（１） 法に定めてある場合については、特定された利用目的の達成に必要な範囲を超えて個人情報を取扱うにあたり本人の同意を得ることが求められる場合であっても、当該同意は不要である（３－１－５利用目的による制限の例外
参照）。
（２） 令和３年改正法の施行日前に、法別表第２に掲げる法人、法第５８条第２項の規定により個人情報取扱事業者、仮名加工情報取扱事業者もしくは個人関連情報取扱事業者とみなされる独立行政法人労働者健康安全機構又は学術研究機関等である個人情報取扱事業者（以下、「別表第二法人等」という。）に対して、本人から個人情報の取扱
いに関する同意がある場合において、その同意が法第１７条第１項の規定により特定される利用目的以外の目的
で個人情報を取扱うことを認める旨の同意に相当するものであるときは、令和３年改正法の施行日において法第１８条第１項の同意があったものとみなされる。
３－１－４ 事業の承継 （法第１８条第２項関係）事業者が、合併、分社化、事業譲渡等により他の個人情報取扱事業者から事業の承継をすることに伴って個人情報を取得した場合であって、当該個人情報に係る承継前の利用目的の達成に必要な範囲内で取り扱う場合は目的外利用にはならず、本人の同意を得る必要はない。
（１） 事業の承継後に、承継前の利用目的の達成に必要な範囲を超えて、個人情報を取扱う場合は、あらかじめ本人の同意を得る必要があるが、当該同意を得るために個人情報を利用すること（メールの送信や電話をかけること等）は、承継前の利用目的として記載されていない場合でも、目的外利用には該当しない。
（２） 事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合には、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない。
（３） 令和３年改正法の施行日前に、別表第二法人等に対して、本人から個人情報の取扱いに関する同意がある場合
において、その同意が法第１７条第１項の規定により特定される利用目的以外の目的で個人情報を取扱うことを認める旨の同意に相当するものであるときは、令和３年改正法の施行日において法第１８条第２項の同意があったものとみなされる。
３－１－５ 利用目的による制限の例外 （法第１８条第３項関係）
次に掲げる１）から６）の場合については、特定された利用目的の達成に必要な範囲を超えて個人情報を取扱うにあたり本人の同意を得ることが求められる場合であっても、当該同意は不要である。
１） 法令に基づく場合
・ 法令に基づく場合は、法の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取扱うことができる。
【具体的な事例】
事例１） 警察の捜査関係事項照会に対応する場合
事例２） 裁判官の発する令状に基づく捜査に対応する場合
事例３） 税務署の所得税等に関する調査に対応する場合
事例４） 弁護士会からの照会に対応する場合
事例５） 保健所が行う積極的疫学調査に対応する場合- 15 -

事例６） 災害発生時の停電復旧対応の迅速化等のため、経済産業大臣の求めに応じて、一般送配電事業者が関係行政機関又は地方公共団体の長に対して必要な情報を提供する場合
２） 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき・ 人（法人を含む。）の生命、身体又は財産等、具体的な権利利益の保護が必要であり、かつ、本人の同意を得ることが困難である場合は、法の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取扱うことができる。
【具体的な事例】
事例１） 急病その他の事態が生じたときに、本人について、その血液型や家族の連絡先等を医師や看護師に提供する場合
事例２） 大規模災害や事故等の緊急時に、被災者・負傷者の情報等を家族、行政機関、地方自治体等に提供する場合
事例３） 事業者間において、暴力団等の反社会的勢力情報、振り込め詐欺に利用された口座に関する情報、意図的に業務妨害を行う者の情報について共有する場合
事例４） 製造した商品に関連して事故が生じたため、又はそのおそれがあり、人の生命もしくは身体に危害を及ぼす急迫した危険が存在するため、製造事業者等が当該商品をリコールする場合で、販売事業者、修理事業者又は設置工事事業者等が製造事業者等に対して、当該商品の購入者等の情報を提供する場合
事例５） 上記、事例４）のほか、商品に重大な欠陥があり人命、身体又は財産の保護が必要となるような緊急時に、製造事業者から顧客情報の提供を求められ、これに応じる必要がある場合
事例６） 不正送金等の金融犯罪被害の事実に関する情報を、関連する犯罪被害の防止のために他の事業者に提供する場合
３） 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき・ 公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要があり、かつ、本人の同意を得ることが困難である場合は、法の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取扱うことができる。
【具体的な事例】
事例１） 健康保険組合等の保険者等が実施する健康診断の結果等に係る情報を、健康増進施策の立案、保健事
業の効果の向上、疫学調査等に利用する場合
事例２） 児童生徒の不登校や不良行為等について、児童相談所、学校、医療機関等の関係機関が連携して対応するために、当該関係機関等の間で当該児童生徒の情報を交換する場合
事例３） 児童虐待のおそれのある家庭情報を、児童相談所、警察、学校、病院等が共有する必要がある場合
４） 国の機関もしくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して、民間企業等が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき・ 国の機関等（地方公共団体又はその委託を受けた者を含む。）が政令の定める事務を実施する上で、事業者の協力を得る必要があり、かつ、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがあると認められる場合は、当該事業者は、法の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取扱うことができる。
【具体的な事例】
事例１） 事業者が税務署又は税関の職員等の任意の求めに応じて個人情報を提出する場合
事例２） 事業者が警察の任意の求めに応じて個人情報を提出する場合
事例３） 一般統計調査や地方公共団体が行う統計調査に回答する場合
５） 当該個人情報取扱事業者が学術研究機関等（※１）である場合であって、当該個人情報を学術研究の用に供する目的（以下、「学術研究目的」という。）で取扱う必要があるとき（当該個人情報を取扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）
・ 学術研究機関等が個人情報を学術研究目的で取扱う必要がある場合（当該個人情報を取扱う目的の一部が学術研究目的である場合を含む。）であって、個人の権利利益を不当に侵害するおそれがない場合は、法の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取扱うことができる。
- 16 -

６） 学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取扱う必要があるとき（当該個人データを取扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）
・ 事業者が、学術研究機関等に個人データを提供し、かつ、当該学術研究機関等が当該個人データを学術研究目的で取扱う必要がある場合（当該個人データを取扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。（※２））は、法の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取扱うことができる。
（※１） 学術研究機関等については、「２－１８学術研究機関等」を参照。
（※２） 「個人の権利利益を不当に侵害するおそれがある場合」には、学術研究機関等に個人情報を提供することはできない。この場合、個人の権利利益を不当に侵害しないような措置を講ずる等適切に処理する必要がある。この点、学術研究目的で個人データを取扱う必要があって、学術研究機関等に個人データを提供する場合であっても、提供する個人データの範囲を限定する等、学術研究の目的に照らして可能な措置を講ずることが望ましい。
３－２ 不適正利用の禁止 （法第１９条関係）
事業者は、違法又は不当な行為（※１）を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。
（１） 「おそれ」の有無は、事業者による個人情報の利用が、違法又は不当な行為を助長又は誘発することについて、
社会通念上蓋然性が認められるか否かにより判断される。
（２） この判断にあたっては、個人情報の利用方法等の客観的な事情に加えて、個人情報の利用時点における事業者の認識及び予見可能性も踏まえる必要がある。
（３） 事業者が第三者に個人情報を提供した場合において、当該第三者が違法な行為に用いた場合であっても、取得目的を偽っていた等、提供の時点において、提供した個人情報が違法に利用されることについて、当該事業者が一般的な注意力をもってしても予見できない状況であった場合には、「おそれ」は認められないと解される。
【事業者が違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例】
事例１） 個人情報を提供した場合、提供先において法に違反する第三者提供がなされることを予見できるにもかかわらず、個人情報を提供する場合
事例２） 採用選考を通じて個人情報を取得した事業者が、正当な理由なく本人に対する違法な差別的取扱いを行うために、個人情報を利用する場合
事例３） 広告配信を行っている事業者が、第三者から広告配信依頼を受けた商品が違法な商品であることが予見できるにもかかわらず、広告配信のために、自社で取得した個人情報を利用する場合
事例４） 違法な行為を営むことが疑われる事業者（貸金業登録を行っていない貸金業者等）により本人の平穏な生活を送る権利の侵害等、違法な行為が想定されるにもかかわらず、個人情報を提供する場合
事例５） 裁判所の公告等により公開されている個人情報（官報掲載の破産者情報等）を、当該個人情報に係る本人に対する違法な差別が、不特定多数の者によって誘発されるおそれがあることを予見できるにもかかわらず、データベース化し、インターネット上で公開する場合
事例６） 暴力団員や総会屋による不当要求による被害を防止するために必要な業務を行う各事業者の責任者の名
簿等を、みだりに開示し、又は暴力団等に対しその存在を明らかにする場合（※１） 「違法又は不当な行為」とは、法その他の法令に違反する行為、及び直ちに違法とはいえないものの、法その他の法令の制度趣旨又は公序良俗に反する等、社会通念上適正とは認められない行為をいう。
３－３ 個人情報の取得 （法第２０条・第２１条関係）
３－３－１ 適正取得 （法第２０条第１項関係）
事業者は、偽り等の不正の手段により個人情報を取得（※１）してはならない。（※２）
【事業者が不正の手段により個人情報を取得している事例】
事例１） 十分な判断能力を有していない子供や障害者から、取得状況から考えて関係のない家族の収入事情等の家族の個人情報を、家族の同意なく取得する場合- 17 -

事例２） 個人情報を取得する主体や利用目的等について、意図的に虚偽の情報を示して、本人から個人情報を取得する場合
事例３） 他の事業者に指示して不正の手段で個人情報を取得させ、当該他の事業者から個人情報を取得する場
合事例４） 不正の手段で個人情報が取得されたことを知り、又は容易に知ることができるにもかかわらず、当該個人情報を取得する場合
事例５） 法に規定する第三者提供制限違反をするよう強要して個人情報を取得する場合
事例６） 法に規定する第三者提供制限違反がされようとしていることを知り、又は容易に知ることができるにもかかわらず、個人情報を取得する場合（※１） 個人情報を含む情報がインターネット等により公にされている場合であって、単にこれを閲覧するにすぎず、転記等を行わない場合は、個人情報を取得しているとは解されない。
（※２） 事業者もしくはその従業者又はこれらであった者が、その業務に関して取扱った個人情報データベース等（その全部又は一部を複製し、又は加工したものを含む。）を自己もしくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、法により刑事罰（１年以下の懲役又は５０万円以下の罰金）が科され得る。
３－３－２ 要配慮個人情報の取得 （法第２０条第２項関係）
事業者は、要配慮個人情報（※１）を取得する場合には、あらかじめ本人の同意を得なければならない。
（１） 事業者が要配慮個人情報を書面又は口頭等により本人から適正に直接取得する場合は、本人が当該情報を提供したことをもって、当該事業者が当該情報を取得することについて本人の同意があったものと解される。
（２） 事業者が要配慮個人情報を第三者提供の方法により取得した場合、提供元が法に基づいて本人から必要な同意（要配慮個人情報の取得及び第三者提供に関する同意）を取得していることが前提となるため、提供を受けた当該事業者が、改めて本人から同意を得る必要はないものと解される。
（３） 次の１）から９）までに掲げる場合については、本人の同意を得る必要はない。
（※１） 「要配慮個人情報」については、「２－３要配慮個人情報」を参照。なお、要配慮個人情報の第三者提供には、原則として本人の同意が必要であり、オプトアウトによる第三者提供は認められていないので、注意が必要である（３－６－１第三者提供の制限の原則、３－６－２オプトアウトによる第三者提供 参照）。
１） 法令に基づく場合
・ 法令に基づく場合は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。なお、具体的な事例は、「３－１－５利用目的による制限の例外」に示すもののほか、次の事例も該当する。
【具体的な事例】
事例） 事業者が、労働安全衛生法に基づき健康診断を実施し、これにより従業員の身体状況、病状、治療等の情報を健康診断実施機関から取得する場合
２） 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき・ 人（法人を含む。）の生命、身体又は財産等、具体的な権利利益の保護が必要であり、かつ、本人の同意を得ることが困難である場合は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。
【具体的な事例】
事例１） 急病その他の事態が生じたときに、本人の病歴等を医師や看護師が家族から聴取する場合
事例２） 事業者間において、不正対策等のために、暴力団等の反社会的勢力情報、意図的に業務妨害を行う者の情報のうち、過去に業務妨害罪で逮捕された事実等の情報について共有する場合
事例３） 不正送金等の金融犯罪被害の事実に関する情報を、関連する犯罪被害の防止のために、他の事業者から取得する場合
３） 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき・ 公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要があり、かつ、本人の同意を得ることが困難である場合は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。
【具体的な事例】- 18 -

事例１） 保険者等が実施する健康診断等の結果、判明した病名等について、健康増進施策の立案や保健事業の効果の向上を目的として疫学調査等のために提供を受けて取得する場合
事例２） 児童生徒の不登校や不良行為等について、児童相談所、学校、医療機関等の関係機関が連携して対応するために、他の関係機関から当該児童生徒の保護事件に関する手続が行われた情報を取得する場合
事例３） 児童虐待のおそれのある家庭情報のうち、被害を被った事実に係る情報を、児童相談所、警察、学校、病院等の関係機関が、他の関係機関から取得する場合
４） 国の機関もしくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して、民間企業等が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき・ 国の機関等（地方公共団体又はその委託を受けた者を含む。）が政令の定める事務を実施する上で、事業者の協力を得る必要があり、かつ、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがあると認められる場合は、当該事業者は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。
【具体的な事例】
事例） 事業者が警察の任意の求めに応じて要配慮個人情報に該当する個人情報を提出するために、当該個人情報を取得する場合
５） 当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取扱う必要があるとき（当該要配慮個人情報を取扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）
・ 学術研究機関等が要配慮個人情報を学術研究目的で取扱う必要がある場合（当該要配慮個人情報を取扱う目的の一部が学術研究目的である場合を含む。）であって、個人の権利利益を不当に侵害するおそれがない場合
は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。
６） 学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権
利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。）
・ 事業者が、要配慮個人情報を学術研究目的で取得する必要があり、かつ当該事業者と共同して学術研究を行う
学術研究機関等から当該要配慮個人情報を取得する場合（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。（※１））は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。
（※１） 「個人の権利利益を不当に侵害するおそれがある場合」には、要配慮個人情報を取得することはできない。
この場合、個人の権利利益を不当に侵害しないような措置を講ずる等適切に処理する必要がある。この点、学術研究目的で要配慮個人情報を取扱う必要がある場合であっても、本人又は第三者の権利利益の保護の観点から取得する要配慮個人情報の範囲を限定する等、学術研究の目的に照らして可能な措置を講ずることが望ましい。
７） 当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、法に定める者その他個人情報保護委員会規則で定める者により公開されている場合
・ 要配慮個人情報が、次に掲げる者により公開されている場合は、あらかじめ本人の同意を得ることなく、当該公開されている要配慮個人情報を取得することができる。
① 本人② 国の機関③ 地方公共団体④ 学術研究機関等⑤ 放送機関・新聞社・通信社その他の報道機関（報道を業として行う個人を含む。）⑥ 著述を業として行う者⑦ 宗教団体
⑧ 政治団体
⑨ 外国政府、外国の政府機関、外国の地方公共団体又は国際機関- 19 -

⑩ 外国において法に掲げる者に相当する者
８） 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合
・ 本人の意思にかかわらず、本人の外形上の特徴により、要配慮個人情報に含まれる事項（身体障害等）が明らかであるときは、あらかじめ本人の同意を得ることなく、当該要配慮個人情報を取得することができる。
【具体的な事例】
事例） 身体の不自由な方が会館に来館し、対応したスタッフがその旨をお客様対応録等に記録した場合（目視による取得）や、身体の不自由な方の様子が会館に設置された防犯カメラに映りこんだ場合（撮影による取得）
９） 法第２７条第５項各号に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき
・ 要配慮個人情報を、法に定める委託、事業承継又は共同利用により取得する場合は、あらかじめ本人の同意を得る必要はない。
【法第２０条第２項に違反している事例】
本人の同意を得ることなく、法第２０条第２項第７号及び規則第６条で定める者以外がインターネット上で公開している情報から本人の信条や犯罪歴等に関する情報を取得し、既に保有している当該本人に関する情報の一部として自己のデータベース等に登録すること。
３－３－３ 利用目的の通知又は公表 （法第２１条第１項関係）
事業者は、個人情報を取得する場合は、あらかじめその利用目的を公表しなくてはならない。公表していない場合は、取得後速やかに、その利用目的を、本人に通知するか、又は公表しなければならない（２－１４本人に通知、２－１５公表 参照）。また、事業者は、本人以外から間接的に取得する場合を含めて、法に準じ、原則的に本人に対し利用目的を通知または公表しなくてはならない。
【本人への通知又は公表が必要な事例】
事例１） インターネット上で本人が自発的に公にしている個人情報を取得する場合（単に閲覧するだけの場合を除く。）
事例２） インターネット、官報、職員録、同窓会名簿等から個人情報を取得する場合（単に閲覧するだけの場合を除く。）
事例３） 個人情報の第三者提供を受けた場合
３－３－４ 直接書面等による取得 （法第２１条第２項関係）
事業者は、契約書や懸賞応募ハガキ等の書面等による記載、ユーザー入力画面への打ち込み等の電磁的記録により、直接本人から個人情報を取得する場合には、あらかじめ、本人に対し、その利用目的を明示（※１）しなければならない。
（１） 申込書、アンケート調査票、懸賞応募ハガキ等のように、事業者が一定の書式や様式を準備した上で、記載された本人の個人情報を取得する場合には、あらかじめ、本人に対し、その利用目的を明示しなければならない。
（２） 名刺等は、自身の個人情報を本人の自発的な意思で相手に任意の簡便な形式により相手に提供するものであり、本人が当該事業者の求めに沿う形で個人情報を提供する場合とは異なることから、義務を課するものではないが、その場合は、あらかじめ利用目的を公表するか、取得後速やかに、その利用目的を、本人に通知するか、又は公表しなければならない（通知等をしなくてよい場合を除く（３－３－５利用目的の通知等をしなくてよい場合 参照）。）。口頭により個人情報を取得する場合についても同様である。
（３） 人（法人を含む。）の生命、身体又は財産の保護のために緊急に必要がある場合は、あらかじめ、本人に対し、その利用目的を明示する必要はないが、その場合は取得後速やかにその利用目的を、本人に通知し、又は公表しなければならない（３－３－３利用目的の通知又は公表 参照）。
【あらかじめ、本人に対し、その利用目的を明示しなければならない事例】
事例１） 本人の個人情報が記載された、こころの会入会申込用紙・契約書等を本人から直接取得する場合
事例２） お客様アンケートに記載された個人情報を直接本人から取得する場合
事例３） 会報誌、小冊子等の懸賞の応募ハガキに記載された個人情報を直接本人から取得する場合
事例４） 自社が主催する終活セミナーへの参加希望者が、参加申込みのために自社のホームページの入力画面に入力した個人情報を直接本人から取得する場合【利用目的の明示に該当する事例】
事例１） 利用目的を明記した契約書その他の書面を相手方である本人に手渡し、又は送付する場合- 20 -

・ 契約約款又は利用条件等の書面（電磁的記録を含む。）中に利用目的条項を記載する場合は、裏面約款に利用目的が記載されていることを伝える、又は、裏面約款等に記載されている利用目的条項を表面にも記載し、
かつ、社会通念上、本人が認識できる場所及び文字の大きさで記載する等、本人が実際に利用目的を確認できるよう留意することが望ましい。
事例２） ネットワーク上において、利用目的を、本人がアクセスした自社のホームページ上に明示し、又は本人の端末装置上に表示する場合
・ ネットワーク上において個人情報を取得する場合は、本人が送信ボタン等をクリックする前等にその利用目的（利用目的の内容が示された画面に１回程度の操作でページ遷移するよう設定したリンクやボタンを含む。）が本人の目に留まるようその配置に留意することが望ましい。
（※１） 「本人に対し、その利用目的を明示」とは、本人に対し、その利用目的を明確に示すことをいい、事業の性質及び個人情報の取扱い状況に応じ、内容が本人に認識される合理的かつ適切な方法による必要がある。
３－３－５ 利用目的の通知等をしなくてよい場合 （法第２１条第４項関係）
次に掲げる１）から４）の場合については、利用目的の本人への通知、公表又は明示（以下、「利用目的の通知等」という。）が求められる場合であっても、当該利用目的の通知等は不要である（２－１４本人に通知、２－１５公表、３－３－
４直接書面等による取得 参照）。
１） 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
・ 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合は、当該利用目的の通知等は不要である。
【具体的な事例】
事例） 児童虐待等に対応するために、児童相談所、学校、医療機関等の関係機関において、ネットワークを組んで対応する場合に、加害者である本人に対して当該本人の個人情報の利用目的を通知・公表することにより、虐待を悪化させたり、虐待への対応に支障等が生じたりするおそれがある場合
２） 利用目的を本人に通知し、又は公表することにより事業者の権利又は正当な利益を害するおそれがある場合
・ 利用目的を本人に通知し、又は公表することにより事業者の権利又は正当な利益を害するおそれがある場合は、当該利用目的の通知等は不要である。
【具体的な事例】
事例） 暴力団等の反社会的勢力情報、疑わしい取引の届出の対象情報、業務妨害行為を行う悪質者情報等を、本人又は他の事業者等から取得したことが明らかになることにより、当該情報を取得した企業に害が及ぶ場合
３） 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき・ 国の機関等（地方公共団体又はその委託を受けた者を含む。）が法令の定める事務を実施する上で、民間企業等の協力を得る必要があり、かつ、本人に対する利用目的の通知等により当該事務の遂行に支障を及ぼすおそれがあると認められる場合は、当該民間企業等は、当該利用目的の通知等は不要である。
【具体的な事例】
事例） 警察が、公開手配を行わないで、被疑者に関する個人情報を、被疑者の立ち回りが予想される事業者に限って提供した場合において、警察から当該個人情報を受け取った当該事業者が、利用目的を本人に通知し、又は公表することにより、捜査活動に支障を及ぼすおそれがある場合
４） 取得の状況からみて利用目的が明らかであると認められる場合
・ 取得の状況からみて利用目的が明らかであると認められる場合は、当該利用目的の通知等は不要である。
【具体的な事例】
事例１） 商品・サービス等を販売・提供するにあたって住所・電話番号等の個人情報を取得する場合で、その利用目的が当該商品・サービス等の販売・提供のみを確実に行うためという利用目的であるような場合
事例２） 名刺を交換して、直接本人から、氏名・所属・肩書・連絡先等の個人情報を取得する場合で、その利用目的が今後の連絡や、電子メールを送付するという利用目的であるような場合- 21 -

３－４ 個人データの管理 （法第２２条～第２５条関係）
３－４－１ データ内容の正確性の確保等 （法第２２条関係）
事業者は、利用目的の達成に必要な範囲内において、個人情報データベース等への個人情報の入力時の照合・確認の手続の整備、誤り等を発見した場合の訂正等の手続の整備、記録事項の更新、保存期間の設定等を行うことにより、個人データを正確かつ最新の内容に保つよう努めなければならない。
（１） 保有する個人データを一律に又は常に最新化する必要はなく、それぞれの利用目的に応じて、その必要な範囲内で正確性・最新性を確保すればよい。
（２） 事業者は、保有する個人データについて、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等、利用する必要がなくなったときは、当該個人データを遅滞なく消去（※１）するよう努めなけ
ればならない。（法令の定めにより保存期間等が定められている場合を除く。）【個人データについて利用する必要がなくなったときに該当する事例】
事例１） 会報誌、小冊子等の懸賞品送付のため、応募者の個人データを保有していたところ、懸賞品の発送が終わり、不着対応等のための合理的な期間が経過した場合
事例２） 会員等が葬儀を終えた後、再入会等がなく、法事等の通知を発送したところ、宛名に住んでいないことが判明した場合（※１） 「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む。
３－４－２ 安全管理措置 (法第２３条関係)
事業者は、その取扱う個人データの漏えい、滅失又は、毀損（以下、「漏えい等」という。）の防止その他の個人データの安全管理のため、必要かつ適切な措置を講じなければならない。
（１） 当該措置は、個人データが漏えい等した場合に､本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱い状況（取扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容としなければならない。
（２） 具体的に講じなければならない措置や当該措置を実践するための手法の例等については、「５．講ずべき安全管
理措置の内容」を参照。
【必要かつ適切な安全管理措置を講じているとはいえない場合の事例】
事例１） 公開されることを前提としていない個人データ（購買履歴、会員等の曙好・属性情報、決済関連情報等）が事業者のウェブ画面上で不特定多数に公開されている状態を事業者が放置している場合
事例２） 組織変更が行われ、個人データにアクセスする必要がなくなった従業者が個人データにアクセスできる状
態を事業者が放置していた場合で、当該従業者が個人データを漏えいした場合
事例３） 会員等が継続的にサービスを受けるために登録していた個人データが、システム障害により破損したが、採取したつもりのバックアップも破損しており、個人データを復旧できずに滅失又は、毀損し、会員等がサービスの提供を受けられなくなった場合
事例４） 個人データに対してアクセス制御が実施されておらず、アクセスを許可されていない従業者がそこから個人データを入手して漏えいした場合
事例５） 個人データをバックアップした媒体が、持ち出しを許可されていない者により持ち出し可能な状態になっており、その媒体が持ち出されてしまった場合
事例６） 情報システム更新時に実データをシステム・テストに利用し、その後のデータ回収・管理を怠った場合
３－４－３ 従業者の監督 (法第２４条関係)
事業者は、従業者に個人データを取扱わせるにあたって、安全管理措置を遵守させるよう、当該従業者に対し必要かつ適切な監督をしなければならない。
（１） 個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人
データの取扱い状況（取扱う個人データの性質及び量を含む。）等に起因するリスクに応じて、個人データを取扱う従業者に対する教育、研修等の内容及び頻度を充実させる等、必要かつ適切な措置を講じなくてならない。
（２） 従業者とは、事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者等- 22 -

をいい、雇用関係にある従業員（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、取締役、執行役、理事、監査役、監事、派遣社員等も含まれる。
【従業者に対して必要かつ適切な監督を行っていない事例】
事例１） 従業者が、個人データの安全管理措置を定める規程等に従って業務を行っていることを確認しなかった
結果、個人データが漏えいした場合
事例２） 内部規程等に違反して、個人データの入ったノート型パソコン又は USB が繰り返し持ち出されていれていたにもかかわらず、その行為を放置した結果、当該パソコン又は USB が紛失し、個人データが漏えいした場
合３－４－４ 委託先の監督 (法第２５条関係)
事業者は、個人データの取扱いの全部又は一部を委託（※１）する場合は、委託を受けた者（以下、「委託先」という。）
において当該個人データについて安全管理措置が適切に講じられるよう、委託先に対し必要かつ適切な監督をしなけ
ればならない。
（１） 事業者は、自らが講ずべき安全管理措置と同等の措置が講じられるよう、監督を行うものとする。（※２）（２） 委託する業務内容に対して必要のない個人データは提供しないようにするとともに、取扱いを委託する個人デー
タの内容を踏まえ、個人データが漏えい等をした場合に、本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質、個人データの取扱い状況（取扱う個人データの性質及び量を含む。）等に起因するリスクに応じて、次の１）から３）までに掲げる必要かつ適切な措置を講じなければならない。（※３）１） 適切な委託先の選定
・ 委託先の選定にあたっては、委託先の安全管理措置が、少なくとも法及び委員会ガイドラインで事業者（委託元）に求められるものと同等であることを確認するため、「５．講ずべき安全管理措置の内容」に定める各項目が、委託する業務内容に沿って、確実に実施されることについて、あらかじめ確認しなければならない。
２） 委託契約の締結
・ 委託契約には、当該個人データの取扱いに関する、必要かつ適切な安全管理措置として、事業者（委託元）、
委託先双方が同意した内容とともに、委託先における委託された個人データの取扱い状況を事業者（委託元）が合理的に把握することを盛り込むこととする。
３） 委託先における個人データ取扱い状況の把握
・ 委託先における委託された個人データの取扱状況を把握するためには、定期的に監査を行う等により、委託契
約で盛り込んだ内容の実施の程度を調査した上で、委託の内容等の見直しを検討することを含め、適切に評価することが望ましい。
① 委託先が再委託を行おうとする場合は、委託を行う場合と同様、事業者（委託元）は、委託先が再委託する相手方、再委託する業務内容、再委託先の個人データの取扱い方法等について、委託先から事前報告を受け又は承認を行うこと② 委託先を通じて又は必要に応じて自らが、定期的に監査を実施すること等により、委託先が再委託先に対して監督を適切に果たすこと③ 再委託先が安全管理措置を講ずることを十分に確認すること（※４）④ 再委託先が再々委託を行う場合以降も、再委託を行う場合と同様【委託を受けた者に対して必要かつ適切な監督を行っていない事例】
事例１） 個人データの安全管理措置の状況を契約締結時及びそれ以後も適宜把握せず外部の事業者に委託した
結果、委託先が個人データを漏えいした場合
事例２） 個人データの取扱いに関して必要な安全管理措置の内容を委託先に指示しなかった結果、委託先が個
人データを漏えいした場合
事例３） 再委託の条件に関する指示を委託先に行わず、かつ委託先の個人データの取扱い状況の確認を怠り、委託先が個人データの処理を再委託した結果、当該再委託先が個人データを漏えいした場合
事例４） 契約の中に、委託元は委託先による再委託の実施状況を把握することが盛り込まれているにもかかわらず、委託先に対して再委託に関する報告を求める等の必要な措置を行わず、委託元の認知しない再委託が行われた結果、当該再委託先が個人データを漏えいした場合【個人データの取扱いを委託する場合に契約に盛り込むことが望まれる事項】① 委託元および委託先の責任の明確化- 23 -

② 個人データの安全管理に関する事項
・ 個人データの漏えい防止、盗用禁止に関する事項
・ 委託契約範囲外の加工、利用の禁止
・ 委託契約範囲外の複写、複製の禁止
・ 委託契約期間
・ 委託契約終了後の個人データの返還・消去・廃棄に関する事項③ 再委託に関する事項
・ 再委託を行うに当たっての委託元への文書による報告④ 個人データの取扱状況に関する委託元への報告の内容および頻度⑤ 契約内容が遵守されていることの確認（情報セキュリティ監査なども含まれる。)⑥ 契約内容が遵守されなかった場合の措置⑦ セキュリティ上の事件・事故が発生した場合の報告・連絡に関する事項（※１） 「個人データの取扱いの委託」とは、契約の形態・種類を問わず、事業者が他の者に個人データの取扱いを行わせることをいう。具体的には、個人データの入力（本人からの取得を含む。）、編集、分析、出力等の処理を行うことを委託すること等が想定される。
（※２） 事業者（委託元）が、法が求める水準を超える高い水準の安全管理措置を講じている場合に、委託先に対してもこれと同等の措置を求める趣旨ではなく、委託先は、法が求める水準の安全管理措置を講じれば足りると解される。
（※３） 委託先の選定や委託先における個人データ取扱い状況の把握にあたっては、委託する個人データの内容や規模に応じて適切な方法をとる必要があるが、必要に応じて個人データを取扱う場所に赴く又はこれに代わる合理的な方法（口頭による確認を含む。）により確認することが考えられる。
（※４） 事業者（委託元）が委託先について「必要かつ適切な監督」を行っていない場合で、委託先が再委託をした
際に、再委託先が不適切な取扱いを行ったときは、元の事業者（委託元）による法違反と判断され得るので、再委託をする場合は注意を要する。
３－５ 個人データの漏えい等の報告等 （法第２６条関係）
３－５－１ 「漏えい等」の考え方
３－５－１－１ 「漏えい」の考え方
個人データの「漏えい」とは、個人データが外部に流出することをいう。
（１） 個人データを第三者に閲覧されないうちに全てを回収した場合は、漏えいに該当しない。
（２） 事業者が自らの意図に基づき個人データを第三者に提供する場合は、漏えいに該当しない。ただし、個人データの第三者への提供に当たり、事業者は原則としてあらかじめ本人の同意を取得する必要がある。
【個人データの漏えいに該当する事例】
事例１） 個人データが記載された書類を第三者に誤送付した場合
事例２） 個人データを含むメールを第三者に誤送信した場合
事例３） システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となっていた場合
事例４） 個人データが記載又は記録された書類・媒体等が盗難された場合
事例５） 不正アクセス等により第三者に個人データを含む情報が窃取された場合
３－５－１－２ 「滅失」の考え方
個人データの「滅失」とは、個人データの内容が失われることをいう。
（１） 滅失の場合であっても、その内容と同じデータが他に保管されている場合は、滅失に該当しない。
（２） 事業者が合理的な理由により個人データを削除する場合は、滅失に該当しない。
【個人データの滅失に該当する事例】
事例１） 個人情報データベース等から出力された氏名等が記載された帳票等を誤って廃棄した場合（※1）
事例２） 個人データが記載又は記録された書類・媒体等を社内で紛失した場合（※２）- 24 -

（※１） 当該帳票等が適切に廃棄されていない場合には、個人データの漏えいに該当する場合がある。
（※２） 社外に流出した場合には、個人データの漏えいに該当する。
３－５－１－３ 「毀損」の考え方
個人データの「毀損」とは、個人データの内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となることをいう。
（１） 次の事例２）及び事例３）の場合であっても、その内容と同じデータが他に保管されている場合は毀損に該当しない。
【個人データの毀損に該当する事例】
事例１） 個人データの内容が改ざんされた場合
事例２） 暗号化処理された個人データの復元キーを喪失したことにより復元できなくなった場合
事例３） ランサムウェア等により個人データが暗号化され、復元できなくなった場合（※１）（※１） 同時に個人データが窃取された場合には、個人データの漏えいにも該当する。
３－５－２ 漏えい等事案が発覚した場合に講ずべき措置
事業者は、漏えい等又はそのおそれのある事案（以下、「漏えい等事案」という。）が発覚した場合は、漏えい等事案の内容等に応じて、次の１）から５）に掲げる事項について必要な措置を講じなければならない。
１） 事業者内部における報告及び被害の拡大防止
・ 責任ある立場の者に直ちに報告するとともに、漏えい等事案による被害が発覚時よりも拡大しないよう必要な措置を講ずる。
２） 事実関係の調査及び原因の究明
・ 漏えい等事案の事実関係の調査及び原因の究明に必要な措置を講ずる。
３） 影響範囲の特定
・ 上記２）の調査及び原因の究明で把握した事実関係による影響範囲の特定のために必要な措置を講ずる。
４） 再発防止策の検討及び実施
・ 上記２）の調査及び原因の究明の結果を踏まえ、漏えい等事案の再発防止策の検討及び実施に必要な措置を講ずる。
５） 個人情報保護委員会への報告及び本人への通知
・ 漏えい等事案の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、事実関係及び再発防止策等について、速やかに公表することが望ましい（３－５－３個人情報保護委員会への報告、３－５－４本人への通知 参照）。
３－５－３ 個人情報保護委員会への報告 （法第２６条第１項関係）
３－５－３－１ 報告対象となる事態
事業者は、その取扱う個人データの漏えい等その他個人データの安全の確保に係る事態であって、個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、当該事態が生じた旨を個
人情報保護委員会に報告しなければならない。
（１） 当該事業者が、他の事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、規則で定めるところにより、当該事態が生じた旨を当該他の業者又は行政機関等に通知したときは、個
人情報保護委員会への報告を要しない。
（２） 漏えい等が発生し、又は発生したおそれがある個人データについて、高度な暗号化等の秘匿化がされている場
合等、 「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられている場合については、報告を要しない。
（３） 事業者は、次の１）から４）までに掲げる事態（以下、「報告対象事態」という。）を知ったときは、個人情報保護委員会に報告しなければならない（※１）（※２）。
１） 要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態（規則第７条第１号関係）【報告を要する事例】- 25 -

事例１） 病院における患者の診療情報や調剤情報を含む個人データを記録した USB メモリーを紛失した場合
事例２） 従業員の健康診断等の結果を含む個人データが漏えいした場合
２） 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態（規則第７条第２号関係）
・ 財産的被害が生じるおそれについては、対象となった個人データの性質・内容等を踏まえ、財産的被害が発生する確率性を考慮して判断する。
【報告を要する事例】
事例１） 電子商取引からクレジットカード番号を含む個人データが漏えいした場合
事例２） 送金や決済機能のあるウェブサービスのログイン ID とパスワードの組み合わせを含む個人データが漏えいした場合
３） 不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態（規則第７条第３号関係）
・ 「不正の目的をもって」漏えい等を発生させた主体には、第三者のみならず、従業者も含まれる。
【報告を要する事例】
事例１） 不正アクセスにより個人データが漏えいした場合（※３）
事例２） ランサムウェア等により個人データが暗号化され、復元できなくなった場合
事例３） 個人データが記載又は記録された書類・媒体等が盗難された場合
事例４） 従業者が会員等の個人データを不正に持ち出して第三者に提供した場合（※４）４） 個人データに係る本人の数が１,０００人を超える漏えい等が発生し、又は発生したおそれがある事態（規則第７条
第４号関係）① 「個人データに係る本人の数」は、当該事業者が取扱う個人データのうち、漏えい等が発生し、又は発生した
おそれがある個人データに係る本人の数をいう。
② 「個人データに係る本人の数」について、事態が発覚した当初１,０００人以下であっても、その後１,０００人を超えた場合には、１,０００人を超えた時点で規則第７条第４号に該当することになる。
③ 本人の数が確定できない漏えい等において、漏えい等が発生したおそれがある個人データに係る本人の数が最大１,０００人を超える場合には、規則第７条第４号に該当する。
【報告を要する事例】
事例） システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となり、当該個人データに係る本人の数が１,０００人を超える場合（※１） 報告対象事態に該当しない漏えい等事案であっても、事業者は個人情報保護委員会に任意の報告をすることができる。
（※２） 報告対象事態における「おそれ」については、その時点で判明している事実関係に基づいて個別の事案ごとに確率性を考慮して判断することになる。漏えい等が発生したおそれについては、その時点で判明している事実関係からして、漏えい等が疑われるものの漏えい等が生じた確証がない場合がこれに該当する。
（※３） サイバー攻撃の事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば次の（ア）から（エ）が考えられる。
（ア） 個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において外部からの不正アクセスによりデータが窃取された痕跡が認められた場合（イ） 個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において、情報を窃取す
る振る舞いが判明しているマルウェアの感染が確認された場合（ウ） マルウェアに感染したコンピューターに不正な指令を送り、制御するサーバ（C＆C サーバ）が使用しているものとして知られている IP アドレス・FQDN（サブドメイン名及びドメイン名からなる文字列であり、ネットワ
ーク上のコンピューター（サーバ等）を特定するもの。）への通信が確認された場合（エ） 不正検知を行う公的機関、セキュリティ・サービス・プロバイダ、専門家等の第三者から、漏えいのおそれについて、一定の根拠に基づく連絡を受けた場合（※４） 従業者による個人データの持ち出しの事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において、通常の業務で必要としないアクセスによりデータが窃取された痕跡が認められた場合が考えられる。
- 26 -

３－５－３－２ 報告義務の主体
漏えい等報告の義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データを取扱う事業者である。
（１） 個人データの取扱いを委託している場合においては、事業者（委託元）と委託先の双方が個人データを取扱っていることになるため、報告対象事態に該当する場合には、原則として事業者（委託元）と委託先の双方が報告する義務を負う。この場合、事業者（委託元）及び委託先の連名で報告することができる。
（２） 委託先が、報告義務を負っている事業者（委託元）に当該事態が発生したことを通知したときは、委託先は報告義務を免除される（３－５－３－５委託元への通知による例外 参照）。
（３） 事業者（委託元）から委託先にある個人データ（個人データＡ）の取扱いを委託している場合であって、別の個人
データ（個人データＢ）の取扱いを委託していないときには、個人データＢについて、事業者（委託元）において報告対象事態が発生した場合であっても、委託先は報告義務を負わず、事業者（委託元）のみが報告義務を負うことになる。
３－５－３－３ 速報 （規則第８条第１項関係）
事業者は、報告対象事態を知ったときは、速やかに、個人情報保護委員会に報告しなければならない。
（１） 個人情報保護委員会が、報告を受理する権限を事業所管大臣に委任している場合には、当該事業所管大臣に報告する。
（２） 報告期限の起算点となる「知った」時点については、個別の事案ごとに判断されるが、事業者においては、いずれかの部署が当該事態を知った時点を基準とする。
（３） 「速やか」の日数の目安については、個別の事案によるものの、事業者が当該事態を知った時点から概ね３～５日以内とする。
（４） 事業所管大臣に報告する場合の報告期限は、個人情報保護委員会に報告する場合と同様である。
（５） 個人情報保護委員会への漏えい等報告については、次の１）から９）までに掲げる事項を、原則として、個人情報保護委員会のホームページの報告フォームに入力する方法により行う。速報時点での報告内容については、報告をしようとする時点において把握している内容を報告する。
１） 「概要」・ 当該事態の概要について、発生日、発覚日、発生事案、発見者、規則第７条各号該当性、委託元及び委託先の有無、事実経過等を報告する。
２） 「漏えい等が発生し、又は発生したおそれがある個人データの項目」
・ 漏えい等が発生し、又は発生したおそれがある個人データの項目について、媒体や種類（顧客情報、従業員情報の別等）とともに報告する。
３） 「漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数」・ 漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数について報告する。
４） 「原因」
・ 当該事態が発生した原因について、当該事態が発生した主体（報告者又は委託先）とともに報告する。
５） 「二次被害又はそのおそれの有無及びその内容」
・ 当該事態に起因して発生する被害又はそのおそれの有無及びその内容について報告する。
６） 「本人への対応の実施状況」
・ 当該事態を知った後、本人に対して行った措置（通知を含む。）の実施状況について報告する。
７） 「公表の実施状況」
・ 当該事態に関する公表の実施状況について報告する。
８） 「再発防止のための措置」
・ 漏えい等事案が再発することを防止するために講ずる措置について、実施済みの措置と今後実施予定の措置に分けて報告する。
９） 「その他参考となる事項」
・ 上記の１）から８）までの事項を補完するため、個人情報保護委員会が当該事態を把握する上で参考となる事項を報告する。

- 27 -

３－５－３－４ 確報 （規則第８条第２項関係）
事業者は、報告対象事態を知ったときは、速報に加え（※１）、３０日以内（規則第７条第３号の事態においては６０日以内。同号の事態に加え、同条第１号、第２号又は第４号の事態にも該当する場合も６０日以内。）に個人情報保護委員
会（個人情報保護委員会が報告を受理する権限を事業所管大臣に委任している場合には、当該事業所管大臣）に報告しなければならない。
（１） ３０日以内又は６０日以内は報告期限であり、可能である場合には、より早期に報告することが望ましい。
（２） 報告期限の起算点となる「知った」時点については、速報と同様に、事業者において、いずれかの部署が当該事態を知った時点を基準とし、確報の報告期限の算定（※２）にあたっては、その時点を１日目とする。
（３） 確報においては、「３－５－３－３速報」１）から９）までに掲げる事項の全てを報告しなければならない。
（４） 確報を行う時点（報告対象事態を知った日から３０日以内又は６０日以内）において、合理的努力を尽くした上で、一部の事項が判明しておらず、全ての事項を報告することができない場合には、その時点で把握している内容を報告し、判明次第、報告を追完するものとする。
（※１） 速報の時点で全ての事項を報告できる場合には、１回の報告で速報と確報を兼ねることができる。
（※２） 確報の報告期限（３０日以内又は６０日以内）の算定にあたっては、土日・祝日も含める。ただし、３０日目又は６０日目が土日、祝日又は年末年始閉庁日（１２月２９日～１月３日）の場合は、その翌日を報告期限とする。
３－５－３－５ 委託元への通知による例外 （規則第９条関係）
委託先（事業者が個人データの取扱いを委託している場合）は、個人情報保護委員会（個人情報保護委員会が報告を受理する権限を事業所管大臣に委任している場合には、当該事業所管大臣）への報告義務を負っている事業者（委託元）に対し、「３－５－３－３速報」１）から９）までに掲げる事項のうち、その時点で把握しているものを通知したときは、報告義務を免除される。
（１） 事業者（委託元）への通知については、速報としての報告と同様に、報告対象事態を知った後、速やかに行わなければならない。
（２） 「速やか」の日数の目安については、個別の事案によるものの、委託先が当該事態の発生を知った時点から概ね３～５日以内とする。
（３） この場合、委託先から通知を受けた事業者（委託元）が報告をすることになる。
（４） 事業者（委託元）は、通常、遅くとも委託先から通知を受けた時点で、報告対象事態を知ったこととなり、速やかに報告を行わなければならない。
（５） 通知を行った委託先は、事業者（委託元）から報告するにあたり、事態の把握を行うとともに、必要に応じて事業者（委託元）の漏えい等報告に協力することが求められる。
３－５－４ 本人への通知 （法第２６条第２項関係）事業者（規定による通知をした者を除く。）は、その取扱う個人データの漏えい等その他個人データの安全の確保に係る事態であって、個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、本人に対し、当該事態が生じた旨を通知しなければならない。
（１） 本人への通知が困難な場合であって、本人の権利利益を保護するため必要な場合は、これに代わるべき措置をとることができる。
（２） 事業者は、通知をする場合には、法に定める事態を知った後、当該事態の状況に応じて速やかに、当該本人の権利利益を保護するために必要な範囲において、法に定める事項を通知しなければならない。
３－５－４－１ 通知対象となる事態及び通知義務の主体
事業者は、報告対象事態を知ったときは、本人への通知を行わなければならない。
（１） 通知義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データを取扱う事業者である。
（２） 個人データの取扱いを委託している場合において、委託先が、報告義務を負っている事業者（委託元）に「３－５－３－３速報」１）から９）までに掲げる事項のうち、その時点で把握しているものを通知したときは、委託先は報告義務を免除されるとともに、本人への通知義務も免除される。

- 28 -

３－５－４－２ 通知の時間的制限
事業者は、報告対象事態を知ったときは、当該事態の状況に応じて速やかに、本人への通知を行わなければならない。
（１） 「当該事態の状況に応じて速やかに」とは、速やかに通知を行うことを求めるものであるが、具体的に通知を行う時
点は、個別の事案において、その時点で把握している事態の内容、通知を行うことで本人の権利利益が保護される確率性、本人への通知を行うことで生じる弊害等を勘案して判断する。
（２） 次の事例１）及び事例２）の場合であっても、「当該事態の状況に応じて速やかに」本人への通知を行うべきことに変わりはない。
【その時点で通知を行う必要があるとはいえないと考えられる事例】
事例１） インターネット上の掲示板等に漏えいした複数の個人データがアップロードされており、事業者において当該掲示板等の管理者に削除を求める等、必要な初期対応が完了しておらず、本人に通知することで、かえって被害が拡大するおそれがある場合
事例２） 漏えい等のおそれが生じたものの、事案がほとんど判明しておらず、その時点で本人に通知したとしても、本人がその権利利益を保護するための措置を講じられる見込みがなく、かえって混乱が生じるおそれがある場合
３－５－４－３ 通知の内容
本人へ通知すべき事項については、漏えい等報告における報告事項のうち、「概要」、「漏えい等が発生し、又は発生したおそれがある個人データの項目」、「原因」、「二次被害又はそのおそれの有無及びその内容」及び「その他参考となる事項」（３－５－３－３速報 参照）（※１）に限られている。
（１） 報告事項が全て判明するまで本人への通知をする必要がないというものではなく、本人への通知は、「当該事態の状況に応じて速やかに」行う必要がある（３－５－４－２通知の時間的制限 参照）。
（２） 本人への通知については、「本人の権利利益を保護するために必要な範囲において」行うものである。
（３） 本人への通知が「本人の権利利益を保護するために必要な範囲において」行うものであることに鑑み、当初報告対象事態に該当すると判断したものの、その後実際には報告対象事態に該当していなかったことが判明した場合には、本人への通知は不要である。
【本人の権利利益を保護するために必要な範囲において通知を行う事例】
事例１） 不正アクセスにより個人データが漏えいした場合において、その原因を本人に通知するにあたり、個人情報保護委員会に報告した詳細な内容ではなく、必要な内容を選択して本人に通知すること
事例２） 漏えい等が発生した個人データの項目が本人ごとに異なる場合において、当該本人に関係する内容のみを本人に通知すること（※１） 規則に定める事項については、本人への通知を補完するため、本人にとって参考となる事項をいい、例えば、本人が自らの権利利益を保護するために取り得る措置が考えられる。
３－５－４－４ 通知の方法「本人への通知」とは、本人に直接知らしめることをいい、事業の性質及び個人データの取扱い状況に応じ、通知すべき内容が本人に認識される合理的かつ適切な方法によらなければならない（２－１４本人に通知 参照）。また、漏えい等報告と異なり、本人への通知については、その様式が法令上定められていないが、本人にとって分かりやすい形
で通知を行うことが望ましい。
【本人への通知の方法の事例】
事例１） 文書を郵便等で送付することにより知らせること
事例２） 電子メールを送信することにより知らせること
３－５－４－５ 通知の例外
本人への通知を要する場合であっても、本人への通知が困難である場合は、本人の権利利益を保護するために必要な代替措置を講ずることによる対応が認められる。
（１） 代替措置として事案の公表を行わない場合であっても、当該事態の内容等に応じて、二次被害の防止、類似事案- 29 -

の発生防止等の観点から、公表を行うことが望ましい。
（２） 公表すべき内容は、個別の事案ごとに判断されるが、本人へ通知すべき内容を基本とする。
【本人への通知が困難な場合に該当する事例】
事例１） 保有する個人データの中に本人の連絡先が含まれていない場合
事例２） 連絡先が古いために通知を行う時点で本人へ連絡できない場合【代替措置に該当する事例】
事例１） 事案の公表
事例２） 問合せ窓口を用意してその連絡先を公表し、本人が自らの個人データが対象となっているか否かを確認できるようにすること
３－６ 個人データの第三者への提供 （法第２７条～第３０条関係）
３－６－１ 第三者提供の制限の原則 （法第２７条第１項関係）
事業者は、個人データの第三者への提供にあたり、あらかじめ本人の同意を得ないで提供してはならない（※１）（※２）。
（１） 同意の取得にあたっては、事業の規模及び性質、個人データの取扱い状況（取扱う個人データの性質及び量を含む。）等に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示さなければならない。
（２） あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的において、その旨を特定しなければならない（３－１－１利用目的の特定 参照）。
（３） 令和３年改正法の施行日前に、別表第二法人等に対して、本人から個人情報の取扱いに関する同意がある場合
において、その同意が法第２７条第１項の規定による個人データの第三者への提供を認める旨の同意に相当するものであるときは、令和３年改正法の施行日において同項の同意があったものとみなされる。
【第三者提供とされる事例】（ただし、法第２７条第５項各号の場合を除く。）
事例１） 親子兄弟会社、グループ会社の間で個人データを交換する場合
事例２） フランチャイズ組織の本部と加盟店の間で個人データを交換する場合
事例３） 事業者間で、特定の個人データを交換する場合【第三者提供とされない事例】（ただし、利用目的による制限がある。）
事例） 同一事業者内で他部門へ個人データを提供する場合（４） 次の１）から７）までに掲げる場合については、第三者への個人データの提供にあたって、本人の同意は不要である。なお、１）から４）までの具体的な事例は、「３－１－５利用目的による制限の例外」を参照。
１） 法令に基づいて個人データを提供する場合
２） 人（法人を含む。）の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得ることが困難である場合
３） 公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることが困難である場合
４） 国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であって、協力する
民間企業等が当該国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合
５） 学術研究機関等が個人データを提供する場合であり、かつ、当該個人データの提供が学術研究の成果の公表
又は教授のためやむを得ない場合（個人の権利利益を不当に侵害するおそれがある場合を除く。）【具体的な事例】
事例１） 顔面の皮膚病に関する医学論文において、症例に言及する場合であって、写真全体にモザイク処理を施す等の対応をすることにより当該論文による研究成果の公表の目的が達せられなくなるとき
事例２） 実名で活動する特定の作家の作風を論ずる文学の講義において、当該作家の実名を含む出版履歴に言及する場合であって、作家の実名を伏せることにより当該講義による教授の目的が達せられなくなるとき
６） 学術研究機関等が個人データを提供する場合であり、かつ、当該学術研究機関等と共同して学術研究を行う第三者（学術研究機関等であるか否かを問わない。）に当該個人データを学術研究目的で提供する必要がある場合（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）- 30 -

７） 学術研究機関等が個人データの第三者提供を受ける場合であり、かつ、当該学術研究機関等が当該個人デー
タを学術研究目的で取扱う必要がある場合（当該個人データを取扱う目的の一部が学術研究目的である場合を含
み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（※１） ブログやその他の SNS に書き込まれた個人データを含む情報については、当該情報を書き込んだ者の明確な意思で不特定多数又は限定された対象に対して公開されている情報であり、その内容を誰が閲覧でき
るかについて当該情報を書き込んだ者が指定していることから、その公開範囲について、インターネット回
線への接続サービスを提供するプロバイダやブログその他の SNS の運営事業者等に裁量の余地はない
ため、このような場合は、当該事業者が個人データを第三者に提供しているとは解されない。
（※２） 事業者もしくはその従業者又はこれらであった者が、その業務に関して取扱った個人情報データベース等（その全部又は一部を複製し、又は加工したものを含む。）を自己もしくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、刑事罰（１年以下の懲役又は５０万円以下の罰金）が科され得る。
３－６－２ オプトアウトによる第三者提供 （法第２７条第２項～第４項関係）
３－６－２－１ オプトアウトに関する原則 （法第２７条第２項関係）
事業者は、個人データの第三者への提供にあたり、次の１）から１０）までに掲げる事項をあらかじめ（※１）本人に通知し、又は本人が容易に知り得る状態（※２）に置くとともに、個人情報保護委員会に届け出た場合には（※３）、あらかじめ本人の同意を得ることなく、個人データを第三者に提供することができる（※４）（オプトアウトによる第三者提供）。
（１） 個人データを第三者に提供しようとする別表第二法人等は、令和３年改正法の施行日前においても、法に定める事項に相当する事項について、本人に通知するとともに、個人情報保護委員会に届け出ることができる。この場合において、当該通知及び届出は、令和３年改正法の施行日以後は、法の規定による通知及び届出とみなされる。
（２） 事業者は、必要な事項を個人情報保護委員会に届け出たときは、その内容を自らもインターネットの利用その他の適切な方法により公表（※５）することとする。
（３） 要配慮個人情報をオプトアウトにより第三者に提供することや、オプトアウトにより提供を受けた個人データをオプ
トアウトにより再提供することはできない。
（４） 第三者に提供するにあたっては、法第２７条第１項各号又は同条第５項各号に該当する場合以外は、必ずあらか
じめ本人の同意を得る必要があるので、注意を要する。
（５） 不正取得された個人データについても、オプトアウトにより第三者に提供することはできない（※６）。
（※１） オプトアウトによる第三者提供を行う際は、次の１）から１０）までに掲げる事項をあらかじめ、第三者に提供される個人データによって識別される本人が当該提供の停止を求めるのに必要な期間をおかなければならない。
① 本人に通知し、又は本人が容易に知り得る状態に置いた時点から、極めて短期間の後に、第三者提供を行ったような場合は、「本人が当該提供の停止を求めるのに必要な期間」をおいていないと判断され得る。
② 具体的な期間については、業種、ビジネスの態様、通知又は容易に知り得る状態の態様、本人と事業者との近接性、本人から停止の求めを受け付ける体制、提供される個人データの性質等によっても異なり得るため、個別具体的に判断する必要がある。
③ 「本人に通知し、又は本人が容易に知り得る状態に置く」時期と、「個人情報保護委員会に届け出る」時期は、必ずしも同時である必要はないが、本人に通知し、又は本人が容易に知り得る状態に置いた後、速やかに個
人情報保護委員会に届け出ることが望ましい。
（※２） 「本人が容易に知り得る状態」とは、事業所の窓口等への書面の掲示・備付けやホームページへの掲載その他の継続的方法により、本人が知ろうとすれば、時間的にも、その手段においても、簡単に知ることができる状態をいい、事業の性質及び個人情報の取扱い状況に応じ、本人が確実に認識できる適切かつ合理的な方法によらなければならない。「本人に通知」については、「２－１４本人に通知」を参照。
【本人が容易に知り得る状態に該当する事例】
事例１） 会員等が閲覧することが合理的に予測される事業者のホームページにおいて、トップページから１回程
度の操作で到達できる場所等に法に定められた事項を分かりやすく継続的に掲載する場合
事例２） 会員等が来館することが予測される事前相談窓口等への掲示、備付け等が継続的に行われている場
合- 31 -

事例３） 会員等に頒布されている定期刊行物への定期的掲載を行っている場合
事例４） 電子商取引において、商品を紹介するホームページにリンク先を継続的に表示する場合（※３） 届出の方法は、電子情報処理組織を使用する方法等によって行わなければならない。
① 代理人によって届出を行う場合は、個人情報保護委員会が定める様式によるその権限を証する書面を提出しなければならない。
② 事業者が外国にあり、当該事業者が届出を行う場合には、国内に住所を有する者に、当該届出に関する一
切の行為につき当該事業者を代理する権限を有するものを定めなければならず、当該代理権を証する書面を個人情報保護委員会に提出しなければならない。
（※４） 法第１７条第１項の規定により特定された当初の利用目的に、個人情報の第三者提供に関する事項が含まれていない場合は、第三者提供を行うと目的外利用となるため、オプトアウトによる第三者提供を行うことはできない。
（※５） 基本的には「インターネットの方法」による「公表」が望ましいが、事業者の特性、本人との近接性等により、当該方法以外の適切な方法による公表も可能である。「公表」については、「２－１５公表」を参照。
（※６） オプトアウトにより提供を受けた個人データのオプトアウトによる再提供の禁止や、不正取得された個人データのオプトアウトによる提供の禁止については、当該個人データの全部又は一部を複製・加工したものについても適用があるため、注意を要する。
１） 事業者の氏名又は名称及び住所並びに法人等の代表者の氏名
２） 第三者への提供を利用目的とすること
・ 利用目的が具体的に分かる内容とすること。「等」や「その他」等のあいまいな表現の記入は望ましくない。
【具体的な事例】
事例１） 住宅地図帳、住宅地図データベース及び住宅地図関連商品（配信サービスを含む。）を制作し、販売することで、個人データを第三者に提供すること。
事例２） 年齢別、資産家、健康食品購入者、同窓会、弁護士、不動産投資者及びマンションオーナーの名簿を制作し、販売することで、個人データを第三者に提供すること。
３） 第三者に提供される個人データの項目
・ オプトアウトにより第三者に提供される個人データの項目を網羅的に示す必要がある。提示されていない個人
データの項目を、オプトアウトにより第三者に提供することはできないことに、注意を要する。
【具体的な事例】
事例１） 氏名、住所、電話番号、年齢
事例２） 氏名、商品購入履歴
４） 第三者に提供される個人データの取得の方法
・ オプトアウトにより第三者に提供される個人データについて、取得元（取得源）と取得の方法を示す必要がある。
【具体的な事例】
事例１） 新聞・雑誌・書籍・ウェブサイトの閲覧による取得
事例２） 官公庁による公開情報からの取得
５） 第三者への提供の方法【具体的な事例】
事例１） 書籍（電子書籍を含む。）として出版
事例２） インターネットに掲載
事例３） プリントアウトして交付
事例４） 各種通信手段による配信
事例５） その他外部記録媒体の形式での交付
６） 本人の求めに応じて第三者への提供を停止すること
７） 本人の求めを受け付ける方法（※７）
【具体的な事例】
事例１） 郵送
事例２） メール送信
事例３） ホームページ上の指定フォームへの入力- 32 -

事例４） 事業所の窓口での受付
事例５） 電話（※７） 「本人の求めを受け付ける方法」には、本人が求めを行う連絡先（事業者名、窓口名、郵送先住所又は送信
先メールアドレス等。事業者が外国に本拠地を置く場合においては国内代理人の氏名、連絡先等。）が含まれる。
８） 第三者に提供される個人データの更新の方法
・ 第三者に提供される個人データをどのように更新しているかを記入する。
９） 当該届出に係る個人データの第三者への提供を開始する予定日
・ 新規の届出の場合には、オプトアウトによる第三者提供を開始する予定日を記入する。変更届の場合には、変更届に基づいて第三者提供を開始する予定日を記入する。
１０） その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則で定める事項【オプトアウトによる第三者提供の事例】
事例１） 住宅地図業者（表札や郵便受けを調べて住宅地図を作成・販売）やデータベース事業者（ダイレクトメール
用の名簿等を作成・販売）が、あらかじめ上記１）から１０）までに掲げる事項を自社のホームページに常時掲載し、本人からの停止の求めを受け付けられる状態にし、個人情報保護委員会に必要な届出を行った上で、販売等を行う場合
３－６－２－２ オプトアウトに関する事項の変更及び個人データの提供をやめた場合 （法第２７条第３項関係）
事業者は、オプトアウトにより個人データの第三者提供を行っている場合であって、次の１）から３）までのいずれかに該当する場合は、その旨について、本人に通知（※１）し、又は本人が容易に知り得る状態（※２）に置くとともに、個人情報保護委員会に届け出なければならない（※３）。なお、事業者は、必要な事項を個人情報保護委員会に届け出たときは、その内容を自らも公表（※４）することとする。
１） 届出事項（第三者に提供される個人データの項目等）の変更があった場合
・ 第三者に提供される個人データの項目、第三者に提供される個人データの取得の方法、第三者への提供の方
法、第三者への提供を停止すべきとの本人の求めを受け付ける方法、個人データの更新の方法又は第三者への提供を開始する予定日を変更する場合は、変更する内容について、あらかじめ（※５）、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
２） 届出事項（氏名又は名称、住所、法人等の代表者の氏名）の変更があった場合
・ 第三者への提供を行う事業者の氏名又は名称、住所、法人等の代表者の氏名に変更があったときは、遅滞なく、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
３） 個人データの提供をやめた場合
・ 個人データの第三者提供をやめたときは、遅滞なく、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
（※１） 「本人に通知」については、「２－１４本人に通知」を参照（※２） 「本人が容易に知り得る状態」については、「３－６－２－１オプトアウトに関する原則」を参照。なお、次のよ
うな方法であれば、適切かつ合理的な方法と解される。
① 変更する内容を、例えば新旧対照表等により、分かりやすく明示した書面により本人に通知すること。
② 本人が閲覧することが合理的に予測される事業者のホームページにおいて、本人が分かりやすい場所に変更する内容を、例えば新旧対照表等により、分かりやすく明示すること。
（※３） 届出の方法等については、「３－６－２－１オプトアウトに関する原則」を参照。
（※４） 「公表」については、「２－１５公表」を参照。
（※５） 「あらかじめ」の具体的な期間については「３－６－２－１ オプトアウトに関する原則」を参照。
３－６－３ 第三者に該当しない場合 （法第２７条第５項・第６項関係）
次の１）委託、２）事業の承継、３）共同利用の場合については、第三者に該当しないものとする。
- 33 -

（１） 提供元（Ａ）が個人データを提供先（Ｂ）に提供する場合、提供元（Ａ）と提供先（Ｂ）は別の主体となるため、提供先（Ｂ）は形式的には第三者に該当するものの、本人との関係において提供元（Ａ）と提供先（Ｂ）は一体のものとして取扱うことに合理性があるため、第三者に該当しないものとする。
（２） このような要件を満たす場合には、あらかじめの本人の同意又は第三者提供におけるオプトアウトを行うことなく、
個人データを提供することができる。
１） 委託 （法第２７条第５項第１号関係）
・ 利用目的の達成に必要な範囲内において、個人データの取扱いに関する業務の全部又は一部を委託することに伴い、当該個人データが提供される場合は、当該提供先（Ｂ）は第三者に該当しない。
・ この場合、当該提供先（Ｂ）は、委託された業務の範囲内でのみ、本人との関係において提供元（Ａ）と一体のものとして取扱われることに合理性があるため、委託された業務以外に当該個人データを取扱うことはできない。
・ なお、個人データを提供する提供元（Ａ）は、提供先（Ｂ）（委託先）に対する監督責任が課される（３－４－４委託
先の監督 参照）。
【委託に該当する事例】
事例１） データの打ち込み等、情報処理を委託するために個人データを提供する場合
事例２） 事業者が注文を受けた商品の配送のために、取引業者に個人データを提供する場合
２） 事業の承継 （法第２７条第５項第２号関係）
・ 合併、分社化、事業譲渡等により事業が承継されることに伴い、当該事業に係る個人データが提供される場合
は、当該提供先（Ｂ）は第三者に該当しない。
・ なお、事業の承継後も、個人データが当該事業の承継により提供される前の利用目的の範囲内で利用しなければならない（３－１－４事業の承継 参照）。
・ また、事業の承継のための契約を締結するより前の交渉段階で、提供元（Ａ）の個人データを提供先（Ｂ）へ提供する場合も、あらかじめ本人の同意を得ることなく又は第三者提供におけるオプトアウト手続を行うことなく、提供先（Ｂ）に個人データを提供することができる。
・ この場合、提供元（Ａ）は、当該データの利用目的及び取扱い方法、漏えい等が発生した場合の措置、事業承継の交渉が不調となった場合の措置等、提供先（Ｂ）に安全管理措置を遵守させるために必要な契約を締結しなければならない。
【事業の承継に該当する事例】
事例１） 合併、分社化により、新会社に個人データを提供する場合
事例２） 事業譲渡により、譲渡先企業に個人データを提供する場合
３） 共同利用 （法第２７条第５項第３号関係）
・ 特定の者との間で共同して利用される個人データを当該特定の者に提供する場合（※１）であって、次の①から⑤までの情報（※２）を、提供にあたりあらかじめ本人に通知（※３）し、又は本人が容易に知り得る状態（※４）に置いているときには、当該提供先（Ｂ）は、本人から見て、当該個人データを当初提供した提供元（Ａ）と一体のものとして取り扱われることに合理性があると考えられることから、第三者に該当しない（※５）。
・ なお、法第２７条第５項第３号の規定により本人に通知し、又は本人が容易に知り得る状態に置かなければならない事項に相当する事項について、令和３年改正法の施行日前に別表第二法人等により本人に通知されているときは、当該通知は、令和３年改正法の施行日以後は、同号の規定による通知とみなされる。
・ また、既に特定の事業者が取得している個人データを他の事業者と共同して利用する場合には、当該共同利用
は、社会通念上、共同して利用する者の範囲や利用目的等が当該個人データの本人が通常予期し得ると客観的に認められる範囲である必要がある。
・ その上で、当該個人データの内容や性質等に応じて共同利用の是非を判断し、既に取得している事業者が特定した利用目的の範囲で共同して利用しなければならない。
① 共同利用をする旨② 共同して利用される個人データの項目【具体的な事例】
事例１） 氏名、住所、電話番号、年齢
事例２） 氏名、商品購入履歴③ 共同して利用する者の範囲- 34 -

「共同利用の趣旨」は、本人から見て、当該個人データを提供する事業者と一体のものとして取扱われることに合理性がある範囲で、当該個人データを共同して利用することである。したがって、共同利用者の範囲については、本人がどの事業者まで将来利用されるか判断できる程度に明確にする必要がある。なお、当該範囲が明確である限りにおいては、必ずしも事業者の名称等を個別に全て列挙する必要はないが、本人がどの事業者まで利用されるか判断できるようにしなければならない。
④ 利用する者の利用目的
共同して利用する個人データについて、その利用目的を全て、本人に通知し、又は本人が容易に知り得る状
態に置いていなければならない。なお、利用目的が個人データの項目によって異なる場合には、当該個人デー
タの項目ごとに利用目的を区別して記載することが望ましい。
⑤ 当該個人データの管理について責任を有する者の氏名、又は名称及び住所並びに代表者の氏名「個人データの管理について責任を有する者」とは、開示等の請求及び苦情を受け付け、その処理に尽力す
るとともに、個人データの内容等について、開示、訂正、利用停止等の権限を有し、安全管理等個人データの管理について責任を有する者をいう。なお、「責任を有する者」とは、共同して利用する全ての事業者の中で、第一次的に苦情の受付・処理、開示・訂正等を行う権限を有する者をいい、共同利用者のうち一事業者の内部の担当責任者をいうものではない。また、個人データの管理について責任を有する者は、利用目的の達成に必要な範囲内において、共同利用者間で利用している個人データを正確かつ最新の内容に保つよう努めなければならない（３－４－１データ内容の正確性の確保等 参照）。
【共同利用に該当する事例】
事例１） グループ企業で総合的な葬祭サービスを提供するために取得時の利用目的の範囲内で情報を共同利用する場合
事例２） 親子兄弟会社の間で取得時の利用目的の範囲内で個人データを共同利用する場合
事例３） 使用者と労働組合又は労働者の過半数を代表する者との間で取得時の利用目的の範囲内で従業者の個人データを共同利用する場合（※１） 共同利用の対象となる個人データの提供については、必ずしも全ての共同利用者が双方向で行う必要はなく、一部の共同利用者に対し、一方向で行うこともできる。
（※２） 事業者が共同利用を実施する場合には、共同利用者における責任等を明確にして円滑に実施する観点か
ら、上記①から⑤までの情報のほか、例えば、次の（ア）から（カ）までの事項についても、あらかじめ取り決
めておくことが望ましい。
（ア） 共同利用者の要件（グループ会社であること、特定のキャンペーン事業の一員であること等、共同利用による事業遂行上の一定の枠組み）（イ） 各共同利用者の個人情報取扱責任者、問合せ担当者及び連絡先（ウ） 共同利用する個人データの取扱いに関する事項
・ 個人データの漏えい等防止に関する事項
・ 目的外の加工、利用、複写、複製等の禁止
・ 共同利用終了後のデータの返還、消去、廃棄に関する事項（エ） 共同利用する個人データの取扱いに関する取り決めが遵守されなかった場合の措置（オ） 共同利用する個人データに関する事件・事故が発生した場合の報告・連絡に関する事項（カ） 共同利用を終了する際の手続（※３） 「本人に通知」については、「２－１４本人に通知」を参照。
（※４） 「本人が容易に知り得る状態」については、「３－６－２オプトアウトによる第三者提供」を参照。
（※５） 共同利用か委託かは、個人データの取扱いの形態によって判断されるものであって、共同利用者の範囲に
委託先事業者が含まれる場合であっても、委託先（B）との関係は、共同利用となるわけではなく、委託元（A）
は委託先（B）の監督義務を免れるわけではない。
＜共同利用に係る事項の変更 （法第２７条第６項関係）＞
事業者は、個人データを共同利用する場合において、「個人データの管理について責任を有する者の氏名、名称もしくは住所又は代表者の氏名」に変更があったときは、当該変更後の内容を遅滞なく、「共同利用する者の利用- 35 -

目的」又は「当該責任を有する者」を変更しようとするときは、当該変更しようとする内容をあらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
（１） 「共同利用する者の利用目的」については、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内で変更することができる。
（２） 原則として、「共同して利用される個人データの項目」及び「共同して利用する者の範囲」について変更することは認められないが、例えば次のような場合は、引き続き共同利用を行うことができる。
【具体的な事例】
事例１） 共同利用を行う個人データの項目や事業者の変更につき、あらかじめ本人の同意を得た場合
事例２） 共同利用を行う事業者の名称に変更があるが、共同して利用される個人データの項目には変更がない場合
事例３） 共同利用を行う事業者について、事業の承継が行われた場合（共同利用する個人データの項目等の変更がないことが前提）

３－６－４ 外国にある第三者への提供の制限 （法第２８条関係）
事業者は、外国（本邦の域外にある国又は地域）（個人の権利利益を保護する上で、我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものを除く。）にある第三者（個人データの取扱いについて規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置（以下、「相当措置」という。）を継続的に講ずるために必要なものとして規則で定める基準に適合する体制を整備しているものを除く。）に個人データを提供する場合には、第２７条第１項各号に掲げる場合を除き、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。（詳細については、個人情報保護委員会「外国第三者提供ガイドライン」を参照。）（１） 事業者は、本人の同意を得ようとする場合には、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。
１） 情報の提供は、次に掲げる事項について行うものとし、情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。
① 当該外国の名称② 適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報③ 当該第三者が講ずる個人情報の保護のための措置に関する情報
２） 本人の同意を得ようとする時点において、事項が特定できない場合には、次に掲げる事項について情報提供をしなければならない。なお、次に掲げる事項についても情報提供できない場合は、当該事項に代えて、その旨及びその理由について情報提供しなければならない。
① 事項が特定できない旨及びその理由② 事項に代わる本人に参考となるべき情報がある場合には、当該情報（２） 事業者は、個人データを外国にある第三者（体制を整備しているものに限る。）に提供した場合には、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。
１） 外国にある第三者による相当措置の継続的な実施を確保するために必要な措置は、次に掲げる措置とし、情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。
① 当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること。
② 当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データの当該第三者への提供を停止すること。
２） 求めを受けたときは、本人に対し、遅滞なく、次に掲げる事項について情報提供をしなければならない。ただし、情報提供することにより当該事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、その全部又は一部を提供しないことができる。
① 当該第三者による法第２８条第１項に規定する体制の整備の方法② 当該第三者が実施する相当措置の概要- 36 -

③ 上記１）①の規定による確認の頻度及び方法④ 当該外国の名称⑤ 当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要⑥ 当該第三者による相当措置の実施に関する支障の有無及びその概要⑦ 上記⑥の支障に関して上記１）②の規定により当該事業者が講ずる措置の概要
３） 求めに係る情報の全部又は一部について提供しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。また、この場合には、本人に対し、その理由を説明するよう努めなければならない。
３－６－５ 第三者提供に係る記録の作成等 （法第２９条関係）
事業者は、個人データを第三者（法に定めた者を除く。）に提供したときは、当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。ただし、当該個人データの提供が法第２７条第１項各号又は第５項各号のいずれか（前条第１項の規定による個人データの提供にあたっては、第２７条第１項各号のいずれか）に該当する場合は、不要である。（詳細については、個人情報保護委員会「確認・記録義務ガイドライン」を参照。）① 記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。
② 記録は、個人データを第三者に提供した都度、速やかに作成しなければならない。
③ 当該第三者に対し個人データを継続的にもしくは反復して提供（法第２７条第２項の規定による提供を除く。）したとき、又は当該第三者に対し個人データを継続的にもしくは反復して提供することが確実であると見込まれるときの記録は、一括して作成することができる。
④ 本人に対する物品又は役務の提供に関連して当該本人に係る個人データを第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に法に定める事項が記載されているときは、当該書面をもって当該事項に関する記録に代えることができる。
（１） 事業者は、次に掲げる場合の区分に応じて、それぞれ個人情報保護委員会規則に定める事項を記録することとする。なお、次の事項のうち、既に法に規定する方法により作成した記録（当該記録を保存している場合におけるものに限る。）に記録されている事項と内容が同一であるものについては、当該事項の記録を省略することができる。
１） 事業者が法第２７条第２項（３－６－２－１オプトアウトに関する原則 参照）の規定により個人データを第三者に提供した場合、次のイからニまでに掲げる事項
イ 当該個人データを提供した年月日
ロ 当該第三者の氏名又は名称及び住所並びに代表者の氏名（不特定かつ多数の者に対して提供したときは、その旨）
ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
ニ 当該個人データの項目
２） 事業者が法第２７条第１項（３－６－１第三者提供の制限の原則 参照）又は法第２８条第１項（３－６－４外国にある第三者への提供の制限 参照）の規定により個人データを第三者に提供した場合、次のイ及びロに掲げる事項
イ 法第２７条第１項又は法第２８条第１項の本人の同意を得ている旨
ロ 上記１）ロからニまでに掲げる事項（２） 事業者は、当該記録を個人情報保護委員会規則で定める期間保存しなければならない。期間は、次に掲げる場
合の区分に応じて、それぞれ規則に定める期間とする。
１） 規則第１９条第３項に規定する方法により記録を作成した場合
・ 最後に当該記録に係る個人データの提供を行った日から起算して１年を経過する日までの間
２） 規則第１９条第２項ただし書に規定する方法により記録を作成した場合
・ 最後に当該記録に係る個人データの提供を行った日から起算して３年を経過する日までの間
３） 上記１）、２）以外の場合
・ ３年
３－６－６ 第三者提供を受ける際の確認等 （法第３０条関係）
事業者は、第三者から個人データの提供を受けるに際しては、次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供が法第２７条第１項各号又は第５項各号のいずれかに該当する場合は、不要である。なお、
当該第三者となる者は、提供元の事業者が次に掲げる事項の確認を行う場合において、提供元の事業者に対して、当該確認に係る事項を偽ってはならない。（詳細については、個人情報保護委員会「確認・記録義務ガイドライン」を参- 37 -照。）
１） 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
２） 当該第三者による当該個人データの取得の経緯（１） 当該事項の確認を行う方法は、次に掲げる方法とする。
① 上記１）の事項の確認を行う方法は、個人データを提供する第三者から申告を受ける方法その他の適切な方法とする。
② 上記２）の事項の確認を行う方法は、個人データを提供する第三者から当該第三者による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法とする。
③ 事業者は、第三者から他の個人データの提供を受けるに際して既に法に規定する方法による確認（当該確認について法に規定する方法による記録の作成及び保存をしている場合におけるものに限る。）を行っている事
項の確認を行う方法は、当該事項の内容と当該提供に係る法第３０条第１項各号に掲げる事項の内容が同一であることの確認を行う方法とする。
（２） 事業者は、当該確認を行ったときは、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個
人情報保護委員会規則で定める事項に関する記録を作成しなければならない。
① 記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。
② 記録は、第三者から個人データの提供を受けた都度、速やかに作成しなければならない。
③ 当該第三者から継続的にもしくは反復して個人データの提供（法第２７条第２項の規定による提供を除く。）を受けたとき、又は当該第三者から継続的にもしくは反復して個人データの提供を受けることが確実であると見込まれるときの記録は、一括して作成することができる。
④ 本人に対する物品又は役務の提供に関連して第三者から当該本人に係る個人データの提供を受けた場合において、当該提供に関して作成された契約書その他の書面に法に定める事項が記載されているときは、当該書面をもって当該事項に関する記録に代えることができる。
（３） 事業者は、次に掲げる場合の区分に応じて、それぞれ個人情報保護委員会規則に定める事項を記録することとする。なお、次の事項のうち、既に法に規定する方法により作成した記録（当該記録を保存している場合におけるものに限る。）に記録されている事項と内容が同一であるものについては、当該事項の記録を省略することができる。
１） 事業者が個人情報取扱事業者から法第２７条第２項（３－６－２－１オプトアウトに関する原則 参照）の規定による個人データの提供を受けた場合、次のイからホまでに掲げる事項
イ 当該個人データの提供を受けた年月日
ロ 法第３０条第１項各号に掲げる事項
ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
ニ 当該個人データの項目
ホ 法第２７条第４項の規定により公表されている旨
２） 事業者が個人情報取扱事業者から法第２７条第１項（３－６－１第三者提供の制限の原則 参照）又は法第２８条
第１項（３－６－４外国にある第三者への提供の制限 参照）の規定による個人データの提供を受けた場合、次のイ及びロに掲げる事項
イ 法第２７条第１項又は法第２８条第１項の本人の同意を得ている旨
ロ 上記１）ロからニまでに掲げる事項
３） 事業者が個人関連情報取扱事業者から法第３１条第１項（３－７個人関連情報の第三者提供の制限等 参照）の規定による個人関連情報の提供を受けて個人データとして取得した場合、次のイからニまでに掲げる事項
イ 法第３１条第１項第１号の本人の同意が得られている旨及び外国にある個人情報取扱事業者にあっては、同項第２号の規定による情報の提供が行われている旨
ロ 法第３０条第１項第１号に掲げる事項
ハ 上記１）ハに掲げる事項
ニ 当該個人関連情報の項目
４） 事業者が第三者（個人情報取扱事業者に該当する者を除く。）から個人データの提供を受けた場合、次のイに掲
げる事項
イ 上記１）ロからニまでに掲げる事項（４） 事業者は、当該記録を個人情報保護委員会規則で定める期間保存しなければならない。期間は、次に掲げる場
合の区分に応じて、それぞれ規則に定める期間とする。
１） 規則第２３条第３項に規定する方法により記録を作成した場合- 38 -

・ 最後に当該記録に係る個人データの提供を受けた日から起算して１年を経過する日までの間
２） 規則第２３条第２項ただし書に規定する方法により記録を作成した場合
・ 最後に当該記録に係る個人データの提供を受けた日から起算して３年を経過する日までの間
３） 上記１）、２）以外の場合
・ ３年
３－７ 個人関連情報の第三者提供の制限等 （法第３１条関係）
個人関連情報の定義については、「２－８個人関連情報」を参照。
個人関連情報取扱事業者の定義については、「２－９個人関連情報取扱事業者」を参照。
３－７－１ 法第３１条の適用の有無について事業者は、第三者に個人関連情報の提供を行う場合において、提供先の第三者が個人関連情報（個人関連情報データベース等を構成するものに限る。）を個人データとして取得することが想定されるときは、法に定める場合（３－６－
１第三者提供の制限の原則 参照）を除き、あらかじめ当該個人関連情報に係る本人の同意が得られていること等を確認しないで、当該個人関連情報を提供してはならない。
（１） 第三者に個人関連情報の提供を行う場合であっても、全てに適用されるものではなく、提供先の第三者が個人関連情報を「個人データとして取得することが想定されるとき」に適用されるものである。
（２） 事業者は、第三者に個人関連情報の提供を行う場合にあたっては、提供先の第三者との間で、提供を行う個人関連情報の項目や、提供先の第三者における個人関連情報の取扱い等を踏まえた上で、それに基づいて法の適用の有無を判断する必要がある。
３－７－１－１ 「個人データとして取得する」について「個人データとして取得する」とは、提供先の第三者において、個人データに個人関連情報を付加する等、当該第三者が個人データとして利用しようとする場合をいう。
（１） 提供先の第三者が、提供を受けた個人関連情報を、ID 等を介して提供先が保有する他の個人データに付加する
場合には、「個人データとして取得する」場合に該当する。
（２） 提供先の第三者が、提供を受けた個人関連情報を直接個人データに紐付けて利用しない場合は、別途、提供先の第三者が保有する個人データとの容易照合性が排除しきれないとしても、ここでいう「個人データとして取得する」
場合に直ちには該当しない。
３－７－１－２ 「想定される」について「想定される」とは、提供元の事業者において、提供先の第三者が「個人データとして取得する」ことを現に想定している場合、又は一般人の認識（※１）を基準として「個人データとして取得する」ことを通常想定できる場合をいう。
（１） 「個人データとして取得する」ことを現に想定している場合とは、提供元の事業者が、提供先の第三者において個
人データとして取得することを現に認識している場合をいう。
【現に想定している場合に該当する例】
事例１） 提供元の事業者が、顧客情報等の個人データを保有する提供先の第三者に対し、ID 等を用いることで個
人関連情報を個人データと紐付けて取得することが可能であることを説明している場合
事例２） 提供元の事業者が、提供先の第三者から、個人関連情報を受領した後に個人データと紐付けて取得することを告げられている場合（２） 「個人データとして取得する」ことを通常想定できる場合とは、提供元の事業者において現に想定していない場合であっても、提供先の第三者との取引状況等の客観的事情に照らし、一般人の認識を基準に通常想定できる場合をいう。
【通常想定できる場合】事例） 個人関連情報を提供する際、提供先の第三者において当該個人関連情報を氏名等と紐付けて利用することを念頭に、そのために用いる ID 等も併せて提供する場合（※１） 「一般人の認識」とは、同種の事業を営む事業者の一般的な判断力・理解力を前提とする認識をいう。

- 39 -

３－７－１－３ 契約等による対応について提供元の事業者において、「個人データとして取得する」ことを想定していない場合であっても、提供先の第三者が実際には個人関連情報を個人データとして利用することがうかがわれる場合には、契約等によって、提供先の第三者において、提供を受けた個人関連情報を個人データとして利用しない旨を定めることにより、通常、「個人テータとして取得する」ことが想定されず、法は適用されない。
（１） この場合、提供元の事業者は、提供先の第三者における個人関連情報の取扱いの確認まで行わなくとも、通常、「個人データとして取得する」ことが想定されない。
（２） 提供元の事業者は、個人関連情報の提供を行う場合にあたって、提供先の第三者における個人関連情報の取扱
いも確認した上で「個人データとして取得する」ことが想定されるかどうか判断する必要がある。
３－７－２ 本人の同意の取得方法
３－７－２－１ 本人の同意「本人の同意」とは、事業者が第三者に個人関連情報を提供し、当該第三者が当該個人関連情報を個人データとして取得することを承諾する旨の当該本人の意思表示をいう。
（１） 同意の取得にあたっては、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示した上で、本人の同意の意思が明確に確認できることが必要である。
（２） 本人の同意は、必ずしも第三者提供のたびに取得しなければならないものではなく、本人が予測できる範囲において、包括的に同意を取得することも可能である。
（３） 令和２年改正法の施行日前に、本人から個人関連情報の取扱いに関する同意がある場合において、その同意が法第３１条第１項の規定による個人関連情報の第三者への提供を認める旨の同意に相当するものであるときは、同項第１号の同意があったものとみなされる。
（４） 令和３年改正法の施行日前に、別表第二法人等に対して、本人から個人関連情報の取扱いに関する同意がある場合において、その同意が法第３１条第１項第１号の規定による個人関連情報の第三者への提供を認める旨の同意に相当するものであるときは、令和３年改正法の施行日において同号の同意があったものとみなされる。
３－７－２－２ 同意を取得する主体「本人の同意」を取得する主体は、本人と接点を持ち、情報を利用する主体となる提供先の第三者であるが、同等の本人の権利利益の保護が図られることを前提に、同意取得を提供元の事業者が代行することも認められる。ただし、提供先の第三者による同意取得の場合（※１）であっても、提供元の事業者による同意取得の代行の場合（※２）であっても、個人関連情報の提供を受けて個人データとして取得する主体、対象となる個人関連情報の項目、個人関連情報の提供を受けて個人データとして取得した後の利用目的等について、本人が認識できるようにする必要がある。
（※１） 提供先の第三者による同意取得の場合① 提供先の第三者が同意取得する場合、提供先の第三者は、個人関連情報の提供を受けて個人データとして取得する主体として、本人に対して、対象となる個人関連情報を特定できるように示した上で同意を取得しなけ
ればならない。
② 個人関連情報を個人データとして取得した後の利用目的については、提供先の第三者において法第２１条により通知又は公表を行う必要があるが、提供先において同意を取得する際には、同時に当該利用目的についても本人に示すことが望ましい。
（※２） 提供元の事業者による同意取得の代行の場合① 提供元の事業者が同意取得を代行する場合、本人は利用の主体を認識できないことから、提供元の事業者
において、個人関連情報の提供を受けて個人データとして取得する提供先の第三者を個別に明示し、また、対象となる個人関連情報を特定できるように示さなければならない。
② 提供先の第三者が個人関連情報を個人データとして取得した後の利用目的については、提供先の第三者において法第２１条により通知又は公表を行わなければならない。
③ 提供元の事業者が同意取得を代行する場合であっても、提供先の第三者が同意取得の主体であることに変わりはないことから、提供先の第三者は提供元の事業者に適切に同意取得させなければならない。
３－７－２－３ 同意取得の方法
同意取得の方法としては、様々な方法があるが、本人から同意する旨を示した書面や電子メールを受領する方法、- 40 -

確認欄へのチェックを求める方法等がある。
（１） ウェブサイト上で同意を取得する場合は、ウェブサイト上に本人に示すべき事項を記載するとともに、それらの事項を示した上でウェブサイト上のボタンのクリックを求める方法等によらなければならない。
（２） 同意取得に際しては、本人に必要な情報を分かりやすく示すことが重要であり、図を用いる等して工夫することが考えられる。
３－７－３ 本人の同意等の確認の方法 （法第３１条第１項関係）
３－７－３－１ 個人データとして取得することを認める旨の本人の同意を得られていること （法第３１条第１項第１号、
規則第２６条第１項関係）
事業者は、第三者に個人関連情報の提供を行う場合において、提供先の第三者が個人関連情報を個人データとして取得することが想定されるときは、原則として、あらかじめ当該個人関連情報に係る本人の同意が得られていることを確認しないで当該個人関連情報を提供してはならない。
（１） 本人から同意を得る主体は、原則として提供先の第三者となり、提供元の事業者は、当該第三者から申告を受ける方法その他の適切な方法によって本人同意が得られていることを確認することになる。提供先の第三者から申告を受ける場合、提供元の事業者は、その申告内容を一般的な注意力をもって確認すれば足りる。
（２） 提供先の第三者において、複数の本人から同一の方式で同意を取得している場合、提供元の事業者は、それぞれの本人から同意が取得されていることを確認する必要があるが、同意取得の方法については、本人ごとに個別の申告を受ける必要はなく、複数の本人からどのように同意を取得したか申告を受け、それによって確認を行えば足りる。
（３） 提供先の第三者から提供元の事業者に対する申告に際し、提供先の第三者が同意を取得済みの ID 等を提供する行為は、個人データの第三者提供に該当する場合があるが、確認行為において必要となる情報のみを提供する
場合は、法令に基づく場合（法第２７条第１項第１号）に該当する。
（４） 提供元の事業者において、同意取得を代行する場合、当該同意を自ら確認する方法も「その他の適切な方法」による確認に該当する。
【第三者から申告を受ける方法に該当する事例】
事例１） 提供先の第三者から口頭で申告を受ける方法
事例２） 提供先の第三者が本人の同意を得ていることを誓約する書面を受け入れる方法【その他の適切な方法に該当する事例】
事例１） 提供先の第三者が取得した本人の同意を示す書面等を確認する方法
事例２） 提供元の事業者において同意取得を代行して、当該同意を自ら確認する方法
３－７－３－２ 外国にある第三者への提供にあっては、必要な情報が当該本人に提供されていること （法第３１条第１項第２号、規則第２６条第２項関係）
事業者は、第三者に個人関連情報の提供を行う場合において、個人関連情報の提供先が外国にある第三者である
場合には、本人の同意が得られていることを確認するにあたって、当該同意が得られていることに加え、当該同意を得ようとする時点において次に掲げる１）から３）までの情報が当該本人に提供されていることを確認しなければならない。
ただし、次の①又は②のいずれかに該当する場合には、本人同意の取得時に次の１）から３）までの情報が提供されていることを確認する必要はない。（詳細については、個人情報保護委員会「外国第三者提供ガイドライン」を参照。）
１） 当該外国の名称（規則第１７条第２項第１号関係）
２） 適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報（規則第１７条第２項第２号関係）
３） 当該第三者が講ずる個人情報の保護のための措置に関する情報（規則第１７条第２項第３号関係）【次の①又は②のいずれかに該当する場合には、上記１）から３）までの情報が提供されていることを確認する必要はな
い】① 当該第三者が個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報保護制度を有している国にある場合
・ 個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報保護制度を有している外国として規則で定める国（※１）は、法に定める「外国」には該当しない。
・ そのため、個人関連情報の提供先が、当該国にある第三者である場合には、法は適用されない。
- 41 -

② 当該第三者が、個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備している場合
・ 個人関連情報の提供先である外国にある第三者が、個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制として規則で定める基準に適合する体制を整備している場合には、当該第三者は、法に定める「第三者」に該当しない。
・ そのため、当該体制を整備している外国にある第三者への個人関連情報の提供については、法は適用されない。
・ ただし、規則で定める基準に適合する体制を整備している外国にある第三者に個人関連情報の提供を行った
場合には、個人関連情報取扱事業者は、法第３１条第２項により読み替えて準用される法第２８条第３項に基づき、次の（ア）及び（イ）の措置を講じなければならない。（※２）（※３）（ア） 当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること（規則第１８条第１項第１号関係）（イ） 当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人関連情報の当該第三者への提供を停止すること（規則第１８条第１項第２号）（※１） 規則で定める国とは、平成３１年個人情報保護委員会告示第１号に定める国を指す。
（※２） 法第２６条の２第２項（現行法第３１条第２項）において読み替えて準用される法第２４条第３項（現行法第２８条第３項）の規定は、個人関連情報取扱事業者が令和２年改正法の施行日以後に同項に規定する外国にある第三者に個人関連情報を提供した場合について適用される。
（※３） 法第３１条第２項において読み替えて準用される法第２８条第３項の規定は、別表第二法人等が令和３年改正法の施行日以後に同項に規定する外国にある第三者に個人関連情報を提供した場合について適用される。
＜確認の方法 （規則第２６条第２項関係）＞
本人から同意を得る主体は、原則として提供先の第三者となり、個人関連情報取扱事業者は、書面の提示を受ける方法その他の適切な方法によって必要な情報の提供が行われていることを確認しなければならない。
【書面の提示を受ける方法に該当する事例】
事例１） 提供先の第三者が本人に対して法第３１条第１項第２号の規定による情報の提供を行う際に使用している書面の提示を受ける方法
事例２） 提供先の第三者が本人に対してホームページ上で法第３１条第１項第２号の規定による情報の提供を行っている場合において、当該ホームページの写しの提示を受ける方法
事例３） 提供先の第三者が本人に対して法第３１条第１項第２号の規定による情報の提供を行っていることを誓約する書面を受け入れる方法【その他の適切な方法に該当する事例】
事例１） 提供先の第三者が本人に対してホームページ上で法第３１条第１項第２号の規定による情報の提供を行っている場合において、当該ホームページの記載内容を確認する方法
事例２） 提供元の個人関連情報取扱事業者が同意取得を代行している場合において、同意取得にあたって必要な情報が提供されていることを自ら確認する方法

３－７－３－３ 既に確認を行った第三者に対する確認の方法 （規則第２６条第３項）
複数回にわたって同一「本人」の個人関連情報を提供する場合において、同一の内容である事項を重複して確認す
る合理性はないため、「３－７－３－１個人データとして取得することを認める旨の本人の同意を得られていること」、「３－７－３－２外国にある第三者への提供にあっては、必要な情報が当該本人に提供されていること」の方法により確認を行い、「３－７－４提供元における記録義務」の方法により作成し、かつ、その時点において保存している記録に記録された事項と内容が同一であるものについては、事項の確認を省略することができる。
（１） 令和２年改正法の施行日の前に上記の方法に相当する方法で作成した記録についても同様とする。
- 42 -

（２） 事業者が、同じ提供先に対して、既に確認・記録義務を履行した本人に係る個人関連情報であることを認識しながら、個人関連情報の提供を行う場合であれば、「同一であることの確認」が行われているものとなる。
３－７－４ 提供元における記録義務 （法第３１条第３項、第３０条第３項関係）
事業者は、確認（３－７－３本人の同意等の確認の方法 参照）を行った場合は、その記録を作成しなければならない。
（１） 「第三者」のうち、次の１）から４）までに掲げる者に個人関連情報の提供を行う場合は、記録義務は適用されない。
１） 国の機関
２） 地方公共団体
３） 独立行政法人等（別表第二法人を除く。）
４） 地方独立行政法人
３－７－４－１ 記録を作成する媒体 （規則第２７条第１項関係）
事業者は、文書、電磁的記録（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られる記録をいう。）又はマイクロフィルムを用いて、記録を作成しなければならない。
３－７－４－２ 記録を作成する方法
３－７－４－２－１ 原則 （規則第２７条第２項関係）
事業者は、記録を作成する場合、原則として、個人関連情報の提供の都度、速やかに、記録を作成しなければならない。なお、個人関連情報を提供する前に記録を作成することもできる。
３－７－４－２－２ 一括して記録を作成する方法 （規則第２７条第２項関係）
一定の期間内に特定の提供先に対して継続的にもしくは反復して個人関連情報を提供する場合、又は継続的にもしくは反復して提供することが確実であると見込まれるとき（※１）は、個々の提供に係る記録を作成する代わりに、一括して記録を作成することができる（※２）。
【一括して記録を作成する方法に該当する事例】
事例１） 最初の提供の際に一旦記録を作成した上で、継続的に又は反復して個人関連情報を提供する対象期間
内に、随時、追加の記録事項を作成する方法
事例２） 継続的に又は反復して個人関連情報を提供する対象期間内に、月ごとに記録を作成する方法
事例３） 継続的に又は反復して個人関連情報を提供する対象期間の終了後、速やかに記録を作成する方法（※１） 「確実であると見込まれるとき」の例としては、継続的に又は反復して個人関連情報を提供することを内容とする基本契約を締結することで、以後、継続的に又は反復して個人関連情報を提供することが確実であると見込まれる場合等が該当する。この場合は、当該基本契約に係る契約書をもって記録とすることができる。
（※２） 「一括して記録を作成することができる」は、例外としての記録作成方法であることに鑑みて、その対象期間、対象範囲等を明確にすることが望ましい。
３－７－４－２－３ 契約書等の代替手段による方法 （規則第２７条第３項関係）事業者が、本人に対する物品又は役務の提供（※１）に係る契約を締結し、その契約の履行に伴って、当該本人に係る個人関連情報を第三者に提供する場合は、当該提供に関して作成された（※２）契約書その他の書面（※３）をもって記録とすることができる。（※４）
【契約書等の代替手段による方法の事例】
事例） 提供元の事業者が提供先の第三者との間で、個人関連情報の提供に関して「契約書その他の書面」を交わしている場合であって、当該書面に規則第２８条第１項各号（３－７－４－３－１提供元における記録事項 参照）に掲げる事項が記載されている場合（※１） 「本人に対する物品又は役務の提供」は、提供元の事業者もしくは提供先の第三者又はその双方が「本人に対する物品又は役務の提供」の主体となる場合も含む。
（※２） 「当該提供に関して作成された（契約書その他の書面）」は、複数の書面を合わせて一つの記録とすることは妨げられない。
- 43 -

（※３） 「契約書その他の書面」は、本人と提供元の事業者との間で作成した契約書のみならず、提供元の事業者と提供先の第三者との間で作成した契約書も、含まれる。
① 「契約書」のほかにも、「その他の書面」には、提供元の事業者又は提供先の第三者の内部で作成された帳票、記録簿等も含まれる。
② 「契約書その他の書面」は、電磁的記録を含むため、システム上の記録等も「契約書その他の書面」に該当する。
（※４） 仮に、要件を満たさない書面であっても、記録事項が記載されていれば記録として認められるが、保存期間の違いに留意する必要がある（３－７－４－４保存期間 参照）。
３－７－４－２－４ 代行により記録を作成する方法
記録の作成にあたっては、提供先の事業者が、提供元の事業者の記録義務の全部又は一部を代替して行うことができる。なお、この場合であっても、提供元の事業者は自己の義務が免責されるわけではないことから、実質的に自らが記録作成義務を果たしているものと同等の体制を構築しなければならない。
３－７－４－３ 提供元における記録事項 （規則第２８条関係）
３－７－４－３－１ 提供元における記録事項 （規則第２８条第１項関係）
事業者は、確認（３－７－３本人の同意等の確認の方法 参照）を行ったときは、次に掲げる項目を記録しなければならない。
１） 「法第３１条第１項第１号の本人の同意が得られていることを確認した旨及び外国にある第三者への提供にあっては、同項第２号の規定による情報の提供が行われていることを確認した旨」
・ 確認した旨をその方法も含めて記載する。
・ 提供元の事業者が同意取得を代行している場合においては、それぞれの事項を提供元の事業者が自ら確認した旨も記載する。
２） 「個人関連情報を提供した年月日」
・ 個人関連情報を継続的にもしくは反復して提供した場合又は提供することが確実であると見込まれる場合において、記録を一括して作成する場合は、個人関連情報の提供の初日と末日を記載する。
３） 「当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名」
４） 「当該個人関連情報の項目」
・ 当該記載から、どのような個人関連情報が提供されているか分かる程度に具体的な記載をする必要がある。
・ 「当社が有するいずれかの情報」等の記載では、「当該個人関連情報の項目」には該当しないものと解される。
・ 記録・保存が求められているのは「個人関連情報の項目」であって、個人関連情報そのものを保存する必要はない。
【当該個人関連情報の項目の事例】
事例１） ウェブサイトの閲覧履歴
事例２） 商品購入履歴
事例３） 年齢、性別＜提供元の記録事項＞

個人関連情報の
第三者提供

提供年月日

第三者の氏名等○○

本人の同意による第三者提供
オプトアウトによる第三者提供○本人の氏名等

個人データ（個人関連情報）の項目

本人の同意等
（※１）

○

○
○

○

○

○

○

○

○

（※１） 個人関連情報の第三者提供について、外国にある第三者への提供にあっては、法第３１条第１項第２号の規定による情報の提供についても記録する。
- 44 -

３－７－４－３－２ 記録事項の省略 （規則第２８条第２項関係）
複数回にわたって同一「本人」の個人関連情報の提供をする場合において、既に「３－７－４提供元における記録義務」の方法により作成した記録（現に保存している場合に限る。）に記録された事項と内容が同一であるものについては、
当該事項の記録を省略することができる。
（１） 令和２年改正法の施行日の前に上記の方法に相当する方法で作成した記録についても同様とする。
（２） 記録を省略することができる場合において、記録事項のうち、一部の事項の記録の作成を省略し、残りの事項の記録のみを作成した場合、記録全体としての保存期間（３－７－４－４保存期間 参照）の起算点は、残りの事項を作成した時点とする。
３－７－４－４ 保存期間 （法第３１条第３項、第３０条第４項関係）
事業者は、作成した記録を個人情報保護委員会規則で定める期間保存しなければならない。期間は、次に掲げる場
合の区分に応じて、それぞれ規則に定める期間とする。
１） 「３－７－４－２－３契約書等の代替手段による方法」により記録を作成した場合
・ 最後に当該記録に係る個人関連情報の提供を行った日から起算して１年を経過する日までの間
２） 「３－７－４－２－２一括して記録を作成する方法」により記録を作成した場合
・ 最後に当該記録に係る個人関連情報の提供を行った日から起算して３年を経過する日までの間
３） 上記１）、２）以外の場合
・ ３年
３－７－５ 提供先の第三者における確認義務 （法第３０条第１項）
提供先の第三者となる個人情報取扱事業者は、個人関連情報の提供（法第２７条第１項各号に掲げる場合を除く。）を受けて個人データとして取得する場合は、法第３０条第１項の確認義務の適用を受ける。
３－７－５－１ 確認方法 （法第３０条第１項、規則第２２条関係）提供先の第三者となる個人情報取扱事業者（提供先 A）は、提供元の第三者となる個人関連情報取扱事業者（提供元B）から個人関連情報の提供を受けて個人データとして取得する際は、当該第三者（提供元 B）について、次に掲げる事項の確認を行わなければならない（３－６－６第三者提供を受ける際の確認等 参照）。（詳細については、個人情報保護委員会「確認・記録義務ガイドライン」を参照。）
１） 当該第三者（提供元 B）の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
２） 当該第三者（提供元 B）による当該個人データの取得の経緯（※１）（１） 当該事項の確認を行う方法は、次に掲げる方法とする。
① 上記１）の事項の確認を行う方法は、当該第三者（提供元 B）から申告を受ける方法その他の適切な方法とする。
② 上記２）の事項の確認を行う方法は、当該第三者（提供元 B）から当該第三者（提供元 B）による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法とする。
③ 提供先の第三者（提供先 A）は、当該第三者（提供元 B）から他の個人データの提供を受けるに際して既に法に規定する方法による確認（当該確認について法に規定する方法による記録の作成及び保存をしている場合におけるものに限る。）を行っている事項の確認を行う方法は、当該事項の内容と当該提供に係る法第３０条第１項各号に掲げる事項の内容が同一であることの確認を行う方法とする。
（※１） 「当該第三者による当該個人データの取得の経緯」については、提供元の事業者（提供元B）の場合において、提供する個人関連情報を個人データとして取得していないことから、提供先の事業者（提供先 A）における確認の対象とならない。
３－７－５－２ 既に確認を行った第三者に対する確認方法 （規則第２２条関係）
複数回にわたって同一「本人」の個人関連情報の提供を受けて個人データとして取得する場合において、同一の内容である事項を重複して確認する合理性はないため、既に「３－７－５－１確認方法」の方法により確認を行い、「３－７－４提供元における記録義務」の方法により作成し、かつ、その時点において保存している記録に記録された事項と内容が同一であるものについては、当該事項の確認を省略することができる。
- 45 -

【同一であることの確認が行われている事例】
事例） 事業者が、同じ提供元から、既に確認・記録義務を履行した本人に係る個人関連情報であることを認識しながら、個人関連情報の提供を受けて個人データとして取得する場合
３－７－５－３ 提供先の第三者による適正取得
提供先の第三者となる個人情報取扱事業者は、偽りその他不正の手段により、個人関連情報を個人データとして取得してはならない。
【提供先の事業者が偽りその他不正の手段により個人関連情報を個人データとして取得している事例】
事例１） 提供先の事業者が、提供元の事業者に個人データとして利用する意図を秘して、本人同意を得ずに個人
関連情報を個人データとして取得した場合
事例２） 提供先の事業者が、本人同意を取得していないにもかかわらず、同意取得していると提供元の事業者に虚偽の申告をして、個人関連情報を個人データとして取得した場合
事例３） 提供元の事業者が同意取得を代行することを念頭に、実際には提供元の事業者が適切に同意取得していない場合において、提供先の事業者がこれを知り、又は容易に知ることができるにもかかわらず、当該個人関連情報を個人データとして取得した場合
３－７－６ 提供先の第三者における記録義務 （法第３０条第３項関係）
提供先の第三者となる個人情報取扱事業者は、個人関連情報の提供（法第２７条第１項各号に掲げる場合を除く。）を受けて個人データとして取得する場合は、法第３０条第３項の記録義務の適用を受ける。
３－７－６－１ 記録を作成する媒体 （規則第２３条第１項関係）
提供先の第三者となる個人情報取扱事業者は、記録を、文書、電磁的記録又はマイクロフィルムを用いて作成しなければならない。
３－７－６－２ 記録を作成する方法
３－７－６－２－１ 原則 （規則第２３条第２項関係）
提供先の第三者となる個人情報取扱事業者は、記録を作成する場合、原則として、個人関連情報の提供を受けて個
人データとして取得する都度、速やかに、記録を作成しなければならない。なお、個人関連情報の提供を受けて個人データとして取得する前に記録を作成することもできる。
３－７－６－２－２ 一括して記録を作成する方法 （規則第２３条第２項関係）
提供先の第三者となる個人情報取扱事業者は、一定の期間内に特定の提供元から継続的に又は反復して個人関連情報の提供を受けて個人データとして取得する場合は、個々の提供に係る記録を作成する代わりに、一括して記録を作成することができる。「３－７－４－２－２一括して記録を作成する方法」も参照。
３－７－６－２－３ 契約書等の代替手段による方法 （規則第２３条第３項関係）
提供先の第三者となる個人情報取扱事業者が、本人に対する物品又は役務の提供に係る契約を締結し、その契約の履行に伴って、当該本人に係る個人関連情報の提供を受けて個人データとして取得する場合は、当該契約書その他の書面をもって記録とすることができる。仮に、要件を満たさない書面であっても、記録事項が記載されていれば記録として認められるが、保存期間の違いに留意する必要がある（３－７－６－４保存期間 参照）。「３－７－４－２－３契約書等の代替手段による方法」も参照。
３－７－６－３ 提供先の第三者における記録事項 （規則第２４条関係）
３－７－６－３－１ 提供先の第三者における記録事項 （規則第２４条第１項関係）
提供先の第三者となる個人情報取扱事業者は、個人関連情報の提供を受けて個人データとして取得した場合は、次に掲げる項目を記録しなければならない。
１） 「法第３１条第１項第１号の本人の同意が得られている旨及び外国にある個人情報取扱事業者にあっては、同項第２号の規定による情報の提供が行われている旨」
・ 同意の取得や情報提供について、これを行ったことを示す証跡等がある場合には、当該証跡等をもって記録と- 46 -

することもできる。
２） 「法第３０条第１項第１号に掲げる事項」
・ 提供元の個人関連情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名を記録しなければならない。
３） 「第 1 号ハに掲げる事項」
・ 「当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項」を記録しなければならない。
・ 「当社が有する全ての個人情報に係る本人」等の記載では、「当該本人を特定するに足りる」ものではないと解される。
【その他の当該本人を特定するに足りる事項に該当する事例】
事例） こころの会会員ごとに番号・ID 等を付して個人データの管理をしている場合において、当該番号・ID 等により本人を特定できるときの当該番号・ID
４） 「当該個人関連情報の項目」
・ 「３－７－４－３－１提供元における記録事項」を参照。
＜提供先の記録事項＞
提供を
受けた
年月日

第三者の
氏名等

取得の経緯

本人の
氏名等

個人データ
（個人関連
情報）
の項目

○

○

○

○

個人関連
情報の提供
を受けて
個人データ
として取得
した場合

○

本人の同意
による
第三者提供

○

○

○

○

○

○

○

○

○

○

○

○

オプトアウト
による
第三者提供
私人等
からの
第三者提供

○

個人情報
保護委員会
による公表

本人の同意
等（※１）

○

（※１） 個人関連情報の第三者提供について、外国にある第三者への提供にあっては、法第３１条第１項第２号の規定による情報の提供についても記録する。
３－７－６－３－２ 記録事項の省略 （規則第２４条第２項関係）
複数回にわたって同一「本人」の個人関連情報の提供を受けて個人データとして取得する場合において、既に「３－７－６提供先の第三者における記録義務」の方法により作成した記録（現に保存している場合に限る。）に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。
（１） 令和２年改正法の施行日の前に上記の方法に相当する方法で作成した記録についても同様とする。
（２） 記録を省略することができる場合において、記録事項のうち、一部の事項の記録の作成を省略し、残りの事項の記録のみを作成した場合、記録全体としての保存期間（３－７－６－４保存期間 参照）の起算点は、残りの事項を作成した時点とする。
３－７－６－４ 保存期間 （法第３０条第４項、規則第２５条関係）- 47 -

提供先の第三者となる個人情報取扱事業者は、作成した記録を個人情報保護委員会規則で定める期間保存しなけ
ればならない。期間は、次に掲げる場合の区分に応じて、それぞれ規則に定める期間とする。
１） 「３－７－６－２－３契約書等の代替手段による方法」により記録を作成した場合
・ 最後に当該記録に係る提供を受けて個人データとして取得した日から起算して１年を経過する日までの間
２） 「３－７－６－２－２一括して記録を作成する方法」により記録を作成した場合
・ 最後に当該記録に係る提供を受けて個人データとして取得した日から起算して３年を経過する日までの間
３） 上記１）、２）以外の場合
・ ３年
３－８ 保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止等 （法第３２条～第３９条
関係）
３－８－１ 保有個人データに関する事項の公表等 （法第３２条関係）
３－８－１－１ 保有個人データに関する事項の本人への周知 （法第３２条第１項関係）
事業者は、保有個人データについて、次の１）から６）までに掲げる情報を本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）（※１）に置かなければならない。
１） 事業者の氏名又は名称及び住所（※２）並びに代表者の氏名
２） 全ての保有個人データの利用目的（※３）（ただし、一定の場合（※４）を除く。）
３） 保有個人データの利用目的の通知の求め又は開示等の請求（※５）に応じる手続及び保有個人データの利用目的の通知の求め又は開示の請求に係る手数料の額（定めた場合に限る。）（※６）４） 保有個人データの安全管理のために講じた措置（ただし、本人の知り得る状態に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。）
・ 事業者は、保有個人データの安全管理のために講じた措置の内容を本人の知り得る状態に置かなければならない。（ただし、当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。）
・ 当該安全管理のために講じた措置は、事業の規模及び性質、保有個人データの取扱い状況（取扱う保有個人
データの性質及び量を含む。）、保有個人データを記録した媒体等に起因するリスクに応じて、必要かつ適切な内容としなければならない。
・ 本人の知り得る状態については、本人の求めに応じて遅滞なく回答する場合を含むため、講じた措置の概要や一部をホームページに掲載し、残りを本人の求めに応じて遅滞なく回答を行うといった対応も可能である。
・ ただし、個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」に沿って安全管理措置を実施しているといった内容の掲載や回答のみでは、適切ではない。
５） 保有個人データの取扱いに関する苦情の申出先
６） 認定個人情報保護団体の名称及び苦情の解決の申出先（※１） 「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」とは、本人が知ろうとすれば、知ることができる状態に置くことをいい、常にその時点での正確な内容を本人の知り得る状態に置かなければならない。
【本人の知り得る状態に該当する事例】
事例１） 問合せ窓口を設け、問合せがあれば、口頭又は文書で回答できるよう体制を構築しておく場合
事例２） 会館にパンフレットを備え置く場合
事例３） 電子商取引において、商品を紹介するホームページに問合せ先のメールアドレスを表示する場合① 必ずしもホームページへの掲載、又は事務所等の窓口等へ掲示すること等が継続的に行われることまでを必要とするものではないが、事業の性質及び個人情報の取扱い状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。
② 普段から問合せ対応が多い事業者等において、ホームページへ継続的に掲載する方法は、「本人が容易に知り得る状態」（３－６－２オプトアウトによる第三者提供 参照）及び「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」の両者の趣旨に合致する方法とする。
（※２） 事業者が外国に所在する場合は、当該外国（本邦の域外にある国又は地域）の名称を含む。
（※３） 利用目的に第三者提供が含まれる場合は、その旨も明らかにしなければならない。
（※４） 「一定の場合」とは、次の掲げる場合をいう（３－３－５利用目的の通知等をしなくてよい場合 参照）。
- 48 -ア） 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
イ） 利用目的を本人に通知し、又は公表することにより事業者の権利又は利益が侵害されるおそれがある場合
ウ） 国の機関等が法令の定める事務を実施する上で、事業者の協力を得る必要がある場合であり、協力する事
業者が国の機関等から受け取った個人情報の利用目的を本人に通知し、又は公表することにより、当該事務の遂行に支障を及ぼすおそれがある場合（※５） 「開示等の請求」とは、保有個人データの開示、保有個人データの内容の訂正、追加もしくは削除、保有個人データの利用の停止もしくは消去、又は保有個人データの第三者への提供の停止、第三者提供記録の開示の請求をいう（３－８－２保有個人データの開示、３－８－４保有個人データの訂正等、３－８－５保有個人データの利用停止等、３－８－３第三者提供記録の開示 参照）。
（※６） 手数料の額を定める場合は、実費を勘案して合理的であると認められる範囲内において、定めなければならない（３－８－８手数料 参照）。
【中小規模事業者（※７）における安全管理のために講じた措置として本人の知り得る状態に置く内容の事例】（※
８）＜基本方針の策定＞
事例） 個人データの適正な取扱いの確保のため、「関係法令・ガイドライン・指針等の遵守」、「質問及び苦情処理の窓口」等についての基本方針を策定＜個人データの取扱いに係る規律の整備＞
事例） 個人データの取得、利用、保存等を行う場合の基本的な取扱い方法を整備＜組織的安全管理措置＞
事例１） 整備した取扱い方法に従って個人データが取扱われていることを責任者が確認
事例２） 従業者から責任者に対する報告連絡体制を整備＜人的安全管理措置＞
事例１） 個人データの取扱いに関する留意事項について、従業者に定期的な研修を実施
事例２） 個人データについての秘密保持に関する事項を就業規則に記載＜物理的安全管理措置＞
事例１） 個人データを取扱うことのできる従業者及び本人以外が容易に個人データを閲覧できないような措置を実
施事例２） 個人データを取扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するための措置を講じるとともに、事業所内の移動を含め、当該機器、電子媒体等を持ち運ぶ場合、容易に個人データが判明しないよう措置を実施＜技術的安全管理措置＞
事例１） 個人データを取扱うことのできる機器及び当該機器を取扱う従業者を明確化し、個人データへの不要なア
クセスを防止事例２） 個人データを取扱う機器を外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入＜外的環境の把握＞
事例） 個人データを保管している A 国における個人情報の保護に関する制度を把握した上で安全管理措置を実施（※９）
【本人の知り得る状態に置くことにより支障を及ぼすおそれがあるものの事例】（※１０）
事例１） 個人データが記録された機器等の具体的な廃棄方法、盗難防止のための具体的な管理方法
事例２） アクセス者の具体的な認証手法等
事例３） 不正アクセス防止措置の具体的な内容等（※７） 「中小規模事業者」については、「５．講ずべき安全管理措置の内容」を参照。
（※８） 安全管理措置の事例については、「５．講ずべき安全管理措置の内容」も参照。
① 上記事例も含め、掲げられている事例の内容の全てを本人の知り得る状態に置かなければならないわけではなく、また、本人の知り得る状態に置かなければならないものは事例の内容に限られない。
② 中小規模事業者が、その他の個人情報取扱事業者と同様に委員会ガイドラインに記述してある手法を採用- 49 -

し、当該手法の内容を本人の知り得る状態に置くことは、より望ましい対応である。
（※９） 外国（本邦の域外にある国又は地域）の名称については、必ずしも正式名称である必要はないが、本人が合理的に認識できると考えられる形で情報提供を行う必要がある。また、本人の適切な理解と関与を促す観点から、保有個人データを取扱っている外国の制度についても、本人の知り得る状態に置くといった対応が望ましい。
（※１０） 「本人に知り得る状態に置くことにより支障を及ぼすおそれがあるものの事例」等は、その具体的な方法や内容を本人の知り得る状態に置くことにより保有個人データの安全管理に支障を及ぼすおそれがあると考えられる。そのため、何をもって安全管理に支障を及ぼすおそれがあるかについては、取扱われる個人情報の内容、個人情報の取扱いの態様等によって様々であり、事業の規模及び性質、保有個人データの取扱い状況等に応じて判断される。
３－８－１－２ 保有個人データの利用目的の通知 （法第３２条第２項・第３項関係）
事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、遅滞なく、本人に通知（２－１４本人に通知 参照）しなければならない。
（１） 次の１）から４）までに掲げる場合については、当該利用目的の本人への通知は不要である。
（２） 通知しない旨を決定したときは、遅滞なく、その旨を本人に通知しなければならない。
１） 上記「３－８－１－１保有個人データに関する事項の本人への周知」の措置により、本人が識別される保有個人
データの利用目的が明らかである場合
２） 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（３－３－５利用目的の通知等をしなくてよい場合 参照）
３） 利用目的を本人に通知し、又は公表することにより事業者の権利又は利益が侵害されるおそれがある場合（３－３－５利用目的の通知等をしなくてよい場合 参照）
４） 国の機関等が法令の定める事務を実施する上で、事業者の協力を得る必要がある場合であり、協力する事業者
が国の機関等から受け取った保有個人データの利用目的を本人に通知し、又は公表することにより、当該事務の遂行に支障を及ぼすおそれがある場合（３－３－５利用目的の通知等をしなくてよい場合 参照）
３－８－２ 保有個人データの開示 （法第３３条第１項～第４項関係）
事業者は、本人から、当該本人が識別される保有個人データの開示（存在しないときにはその旨を知らせることを含む。）の請求を受けたときは、本人に対し、電磁的記録の提供による方法、書面の交付による方法その他当該事業者の定める方法のうち本人が請求した方法（※1）（当該方法による開示に多額の費用を要する場合、その他の当該方法による開示が困難である場合にあっては、書面の交付による方法（※２））により、遅滞なく、当該保有個人データを開示しなければならない（※３）。
（※１） 開示の請求を行った者から開示の方法について特に指定がなく、事業者が提示した方法に対して異議を述べなかった場合は、当該事業者が提示した方法で開示することができる。
（※２） 事業者は、本人が請求する方法による開示が困難な場合に、直ちに書面の交付による開示を行うのではな
く、対応できる方法への変更を求めることが望ましい。また、開示の請求に際して提出すべき書面の様式において、対応できる方法や媒体等をあらかじめ示しておくといった対応も考えられる。
（※３） 会員等、本人の権利利益保護の観点からは、事業活動の特性、規模及び実態を考慮して、個人情報の取得方法（取得源の種類等）を、可能な限り具体的に明記し、本人からの求めに一層対応していくことが望ましい。
（１） 電磁的記録の提供による方法については、事業者がファイル形式や記録媒体等の具体的な方法を定めることができるが、開示請求等で得た保有個人データの利用等における本人の利便性向上の観点から、可読性・検索性のある形式による提供や、技術的に可能な場合には、他の事業者へ移行可能な形式による提供を含め、できる限り
本人の要望に沿った形で対応することが望ましい。
【電磁的記録の提供による方法の事例】
事例１） 電磁的記録を CD-ROM 等の媒体に保存して、当該媒体を郵送する方法
事例２） 電磁的記録を電子メールに添付して送信する方法- 50 -

事例３） 会員専用サイト等のウェブサイト上で電磁的記録をダウンロードしてもらう方法【その他当該事業者の定める方法の事例】
事例１） 事業者が指定した場所における音声データの視聴
事例２） 事業者が指定した場所における文書の閲覧【当該方法による開示が困難である場合の事例】
事例１） 本人から電磁的記録の提供による開示を請求された場合であって、事業者が当該開示請求に応じるために、大規模なシステム改修を行わなければならないような場合
事例２） 本人から電磁的記録の提供による開示を請求された場合であって、書面で個人情報や帳簿等の管理を行っている事業者が、電磁的記録の提供に対応することが困難な場合（２） 開示することにより次の１）から３）までのいずれかに該当する場合は、その全部又は一部を開示しないことができるが、これにより開示しない旨の決定をしたとき又は請求に係る保有個人データが存在しないときは、遅滞なく、その旨を本人に通知（２－１４本人に通知 参照）しなければならない。また、本人が請求した方法による開示が困難であるときは、その旨を本人に通知した上で、書面の交付による方法により開示を行わなければならない。
１） 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
・ 保有個人データを本人に開示することにより、本人又は第三者の生命、身体、財産その他の権利利益を害する
おそれがある場合は、当該保有個人データの全部又は一部を開示しないことができる。
【具体的な事例】
事例） 医療機関等において、病名等を患者に開示することにより、患者本人の心身状況を悪化させるおそれがある場合
２） 事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
・ 保有個人データを本人に開示することにより、事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、当該保有個人データの全部又は一部を開示しないことができる。
・ なお、「著しい支障を及ぼすおそれ」に該当する場合とは、事業者の業務の実施に単なる支障ではなく、より重い支障を及ぼすおそれが存在するような例外的なときに限定され、単に開示すべき保有個人データの量が多いという理由のみでは、一般には、これに該当しない。
【具体的な事例】
事例１） 検定事業において、採点情報の全てを開示することにより、検定制度の維持に著しい支障を及ぼすおそれがある場合事例２） 同一の本人から複雑な対応を要する同一内容について繰り返し開示の請求があり、事実上問合せ窓口が占有されることによって他の問合せ対応業務が立ち行かなくなる等、業務上著しい支障を及ぼすおそれがある場合
事例３） 電磁的記録の提供にふさわしい音声・動画ファイル等のデータを、あえて書面で請求することにより、業務上著しい支障を及ぼすおそれがある場合
３） 他の法令に違反することとなる場合
・ 保有個人データを本人に開示することにより、他の法令に違反することとなる場合は、当該保有個人データの全部又は一部を開示しないことができる。
【具体的な事例】
事例） 刑法（秘密漏示罪）や電気通信事業法（通信の秘密の保護）に違反することとなる場合
・ また、他の法令の規定により、法に相当する方法により当該本人が識別される保有個人データを開示することとされている場合には、当該他の法令の規定が適用されることとなる。
・ なお、本人が、裁判上の訴えにより、当該本人が識別される保有個人データの開示を請求する場合については、「３－８－９裁判上の訴えの事前請求」を参照。
３－８－３ 第三者提供記録の開示 （法第３３条第５項、第１項～第３項関係）
３－８－３－１ 第三者提供記録の定義
第三者提供記録とは、法第２９条第１項及び第３０条第３項の記録のうち、次の１）から４）までに掲げるものを除いたものをいう。明文又は解釈により法第２９条第１項又は第３０条第３項の規定が適用されない場合において、これらの規定に基づくことなく作成された記録は第三者提供記録に含まれない（３－６－５第三者提供に係る記録の作成等、３－７－- 51 -

６提供先の第三者における記録義務 参照）。
１） 当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの【具体的な事例】
事例） 犯罪被害者支援や児童虐待防止を目的とする団体が、加害者を本人とする個人データの提供を受けた場
合に作成された記録
２） 当該記録の存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの【具体的な事例】
事例） 暴力団等の反社会的勢力による不当要求の被害等を防止するために、暴力団等の反社会的勢力に該当する人物を本人とする個人データの提供を受けた場合に作成された記録
３） 当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国もしくは国際機関との信頼関係が損なわれるおそれ又は他国もしくは国際機関との交渉上不利益を被るおそれがあるもの【具体的な事例】
事例） 要人の警備のために、要人を本人とする行動記録等に関する個人データの提供を受けた場合に作成された記録
４） 当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの【具体的な事例】
事例） 警察の犯罪捜査の協力のために、事前に取得していた同意に基づき、犯罪者を本人とする個人データの提供を行った場合に作成された記録
３－８－３－２ 第三者提供記録の開示の方法
事業者は、本人から、当該本人が識別される個人データに係る第三者提供記録の開示（存在しないときにはその旨を知らせることを含む。）の請求を受けたときは、本人に対し、電磁的記録の提供による方法、書面の交付による方法、
その他当該事業者の定める方法のうち本人が請求した方法（当該方法による開示に多額の費用を要する場合、その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）により、遅滞なく、当該第三者提供記録を開示しなければならない（３－８－２保有個人データの開示 参照）。
（１） 事業者が第三者提供記録を本人に開示するにあたっては、法において記録事項とされている事項を本人が求める方法により開示すれば足り、それ以外の事項を開示する必要はない。
（２） 第三者提供記録を作成した場合、それが契約書の代替手段による方法で作成した場合であれば、当該契約書中、
記録事項となっている事項を抽出した上で、本人が求める方法により開示すれば足り、契約書そのものを開示する必要はない。
３－８－３－３ 第三者提供記録の不開示事由等
第三者提供記録を開示することにより次の１）から３）までのいずれかに該当する場合は、その全部又は一部を開示しないことができるが、これにより開示しない旨の決定をしたとき又は請求に係る第三者提供記録が存在しないときは、遅滞なく、その旨を本人に通知（２－１４本人に通知 参照）しなければならない。また、本人が請求した方法による開示が困難であるときは、その旨を本人に通知した上で、書面の交付による方法により開示を行わなければならない。
１） 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
・ 第三者提供記録を本人に開示することにより、本人又は第三者の生命、身体、財産その他の権利利益を害する
おそれがある場合は、当該第三者提供記録の全部又は一部を開示しないことができる。
【具体的な事例】
事例１） 第三者提供記録に個人データの項目として本人が難病であることを示す内容が記載されている場合において、当該第三者提供記録を開示することにより、患者本人の心身状況を悪化させるおそれがある場合
事例２） 企業の与信判断等に用いられる企業情報の一部として代表者の氏名等が提供され、第三者提供記録が作成された場合において、当該第三者提供記録を開示することにより、提供を受けた第三者の秘密情報が漏えいするおそれがある場合
２） 事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
・ 第三者提供記録を本人に開示することにより、事業者の業務の適正な実施に著しい支障を及ぼすおそれがある- 52 -

場合は、当該第三者提供記録の全部又は一部を開示しないことができる。
・ 他の事業者と取引関係にあることが契約上秘密情報とされている場合であっても、記録事項そのものを開示す
ることについては、直ちにこれに該当するものではなく、個別具体的に判断する必要がある。
【具体的な事例】
事例） 同一の本人から複雑な対応を要する同一内容について繰り返し開示の請求があり、事実上問合せ窓口が占有されることによって他の問合せ対応業務が立ち行かなくなる等、業務上著しい支障を及ぼすおそれがある場合
３） 他の法令に違反することとなる場合
・ 第三者提供記録を本人に開示することにより、他の法令に違反することとなる場合は、当該第三者提供記録の全部又は一部を開示しないことができる。
【具体的な事例】
事例） 刑法（秘密漏示罪）に違反することとなる場合
３－８－４ 保有個人データの訂正等 （法第３４条関係）
事業者は、本人から、当該本人が識別される保有個人データに誤りがあり、事実でないという理由によって、内容の訂正、追加又は削除（※１）（以下、「訂正等」という。）の請求を受けた場合は、利用目的の達成に必要な範囲で遅滞なく必要な調査を行い、その結果に基づき、原則として（※２）、訂正等を行わなければならない。
（１） 事業者は、請求に係る保有個人データの内容の全部もしくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を本人に通知（２－１４
本人に通知 参照）しなければならない。
（２） 保有個人データの内容の訂正等に関して他の法令の規定により特別の手続が定められている場合には、当該他の法令の規定が適用されることとなる。
（３） 本人が、裁判上の訴えにより、当該本人が識別される保有個人データの訂正等を請求する場合については、「３－８－９裁判上の訴えの事前請求」を参照。
（※１） 「削除」とは、不要な情報を除くことをいう。
（※２） 利用目的からみて訂正等が必要ではない場合、保有個人データが誤りである旨の指摘が正しくない場合には、訂正等を行う必要はない。ただし、その場合には、遅滞なく、訂正等を行わない旨を本人に通知しなければならない。
３－８－５ 保有個人データの利用停止等 （法第３５条関係）
３－８－５－１ 利用停止等の要件
事業者は、次の１）から３）までのいずれかに該当する場合については、保有個人データの利用の停止もしくは消去（※１）（以下、「利用停止等」という。）又は第三者提供の停止を行わなければならない。
１） 法違反の場合の利用停止等
・ 事業者は、本人から、当該本人が識別される保有個人データについて、次の①から③までのいずれかのときを理由に、当該保有個人データの利用停止等の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として、遅滞なく、利用停止等を行わなければならない。
・ 法違反である旨の指摘が正しくない場合は、利用停止等を行う必要はない。
① 法第１８条の規定に違反して、本人の同意なく目的外利用がされているとき② 法第１９条の規定に違反して、不適正な利用が行われているとき③ 法第２０条の規定に違反して、偽りその他不正の手段により個人情報が取得されもしくは本人の同意なく要配慮個人情報が取得されたとき
２） 法違反の場合の第三者提供の停止
・ 事業者は、本人から、当該本人が識別される保有個人データについて、次の①のときを理由に、当該保有個人データの第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として、遅滞なく、第三者提供の停止を行わなければならない。
・ 法違反である旨の指摘が正しくない場合は、第三者提供を停止する必要はない。
① 法第２７条第１項又は第２８条の規定に違反して、本人の同意なく第三者に提供されているとき- 53 -

３） 法第３５条第５項の要件を満たす場合の利用停止等又は第三者提供の停止
・ 事業者は、本人から、当該本人が識別される保有個人データについて、次の①から③までのいずれかの場合を理由に、当該保有個人データの利用停止等又は第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として、遅滞なく、利用停止等又は第三者提供の停止を行わなければならない。
① 当該事業者が利用する必要がなくなった場合（※２）
【利用する必要がなくなったとして利用停止等又は第三者提供の停止が認められる事例】
事例１） ダイレクトメールを送付するために事業者が保有していた情報について、当該事業者がダイレクトメールの送付を停止した後、本人が消去を請求した場合
事例２） 電話勧誘のために事業者が保有していた情報について、当該事業者が電話勧誘を停止した後、本人が消去を請求した場合
事例３） 会報誌、小冊子等の懸賞品送付のために事業者が保有していた応募者の情報について、懸賞品の発送が終わり、不着対応等のための合理的な期間が経過した後に、本人が利用停止等を請求した場合
事例４） 採用応募者のうち、採用に至らなかった応募者の情報について、再応募への対応等のための合理的な期間が経過した後に、本人が利用停止等を請求した場合② 当該本人が識別される保有個人データに係る法第２６条第１項に規定する事態（漏えい等事案）が生じた場合（※３）③ 当該本人の権利又は正当な利益が害されるおそれがある場合（※４）
【本人の権利又は正当な利益が害されるおそれがあるとして利用停止等又は第三者提供の停止が認められると考えられる事例】
事例１） ダイレクトメールの送付を受けた本人が、送付の停止を求める意思を表示したにもかかわらず、事業者がダイレクトメールを繰り返し送付していることから、本人が利用停止等を請求する場合
事例２） 電話勧誘を受けた本人が、電話勧誘の停止を求める意思を表示したにもかかわらず、事業者が本人に対する電話勧誘を繰り返し行っていることから、本人が利用停止等を請求する場合
事例３） 事業者が、安全管理措置を十分に講じておらず、本人を識別する保有個人データが漏えい等するおそれがあることから、本人が利用停止等を請求する場合
事例４） 事業者が、法に違反して第三者提供を行っており、本人を識別する保有個人データについても本人の同意なく提供されるおそれがあることから、本人が利用停止等を請求する場合
事例５） 事業者が、退職した従業員の情報を現在も自社の従業員であるようにホームページ等に掲載し、これによって本人に不利益が生じるおそれがあることから、本人が利用停止等を請求する場合【本人の権利又は正当な利益が害されるおそれがないとして利用停止等又は第三者提供の停止が認められないと考えられる事例】
事例１） 会員等が、葬祭サービスの料金の支払いを免れるため、事業者に対して課金に必要な情報の利用停止等を請求する場合
事例２） インターネット上で匿名の投稿を行った者が、発信者情報開示請求による発信者の特定やその後の損害賠償請求を免れるため、プロバイダに対してその保有する接続認証ログ等の利用停止等を請求する場合
事例３） 過去に利用規約に違反したことを理由としてこころの会入会拒否の処分を受けた者が、再度葬祭サービスを利用するため、当該サービスを提供する事業者に対して入会拒否の処分を受けたことを含むユーザー情報の利用停止等を請求する場合
事例４） 過去の信用情報に基づく融資審査により新たな融資を受けることが困難になった者が、新規の借入れを受けるため、当該信用情報を保有している事業者に対して現に審査に必要な信用情報の利用停止等又は第三者提供の停止を請求する場合（※１） 「消去」とは、保有個人データを保有個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む（３－４－１データ内容の正確性の確保等 参照）。
（※２） 「当該事業者が利用する必要がなくなった」とは、利用目的が達成され当該目的との関係では当該保有個人データを保有する合理的な理由が存在しなくなった場合や利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等、当該保有個人データについて利用する必要がなくなったとき- 54 -

をいう（３－４－１データ内容の正確性の確保等 参照）。請求の対象となっている保有個人データにつき、複数の利用目的がある場合、全ての利用目的との関係で「利用する必要がなくなった」かどうかを判断する必要がある。
（※３） 「当該本人が識別される保有個人データに係る法第２６条第１項に規定する事態が生じた」とは、法第２６条第１項に定める漏えい等事案が生じたことをいう（３－５－３－１報告対象となる事態 参照）。
（※４） 「本人の権利又は正当な利益が害されるおそれがある場合」とは、法目的に照らして保護に値する正当な利益（※５）が存在し、それが侵害されるおそれ（※６）がある場合をいう。
（※５） 「正当」かどうかは、相手方である事業者との関係で決まるものであり、事業者に本人の権利利益の保護の必要性を上回る特別な事情がない限りは、事業者は請求に応じる必要がある。本人の権利利益の保護の必要性を上回る特別な事情があるかどうかを判断するにあたっては、例えば、次の（ア）から（オ）のような事情を考慮することになる。
（ア） 本人又は第三者の生命、身体、財産その他の権利利益を保護するために当該保有個人データを取扱う事
情（イ） 法令を遵守するために当該保有個人データを取扱う事情（ウ） 契約に係る義務を履行するために当該保有個人データを取扱う事情（エ） 違法又は不当な行為を防止するために当該保有個人データを取扱う事情（オ） 法的主張、権利行使又は防御のために当該保有個人データを取扱う事情（※６） 「おそれ」は、一般人の認識を基準として、客観的に判断する。
３－８－５－２ 本人の権利利益の侵害を防止するために必要な限度「３－８－５－１利用停止等の要件」の３）に該当する場合、事業者は、本人の権利利益の侵害を防止するために必要な限度で、利用停止等又は第三者提供の停止を行わなければならない。
【本人からの請求に対し、本人の権利利益の侵害を防止するために必要な限度での対応として考えられる事例】
事例１） 本人から保有個人データの全てについて、利用停止等が請求された場合に、一部の保有個人データの利用停止等によって、生じている本人の権利利益の侵害のおそれを防止できるものとして、一部の保有個人データに限定して対応を行う場合
事例２） 法に違反して第三者提供が行われているとして保有個人データの消去を請求された場合に、利用停止又は第三者提供の停止による対応によって、生じている本人の権利利益の侵害のおそれを防止できるものとして、利用停止又は第三者提供の停止による対応を行う場合
３－８－５－３ 本人の権利利益を保護するため必要なこれに代わるべき措置「３－８－５－１利用停止等の要件」の１）から３）までのいずれかに該当する場合であっても、利用停止等又は第三者提供の停止を行うことが困難である場合は、本人の権利利益を保護するために必要な代替措置を講ずることによる対応が認められる。
（１） 「困難な場合」については、利用停止等又は第三者提供の停止に多額の費用を要する場合のほか、事業者が正
当な事業活動において保有個人データを必要とする場合についても該当し得る。
（２） 「代替措置」については、事案に応じて様々であるが、生じている本人の権利利益の侵害のおそれに対応するものであり、本人の権利利益の保護に資するものである必要がある。
【本人の権利利益を保護するため必要なこれに代わるべき措置として考えられる事例】
事例１） 既に市販されている名簿の刷り直し及び回収作業に多額の費用を要するとして、名簿の増刷時の訂正を約束する場合や必要に応じて金銭の支払いをする場合
事例２） 個人情報保護委員会への報告の対象となる重大な漏えい等が発生した場合において、当該本人との契約が存続しているため、利用停止等が困難であるとして、以後漏えい等の事態が生じることがないよう、必要かつ適切な再発防止策を講じる場合
事例３） 他の法令の規定により保存が義務付けられている保有個人データを遅滞なく消去する代わりに、当該法令の規定による保存期間の終了後に消去することを約束する場合（３） 事業者は、上記により、利用停止等を行ったときもしくは利用停止等を行わない旨の決定をしたとき、又は、第三者提供の停止を行ったときもしくは第三者提供を停止しない旨の決定をしたときは、遅滞なく、その旨を本人に通知（２－１４本人に通知 参照）しなければならない。
- 55 -

（４） 本人が、裁判上の訴えにより、当該本人が識別される保有個人データの利用停止等又は第三者提供の停止を請求する場合については、「３－８－９裁判上の訴えの事前請求」を参照。
（５） 会員等、本人の権利利益保護の観点からは、事業活動の特性、規模及び実態を考慮して、保有個人データについて本人から求めがあった場合には、自主的に利用停止等又は第三者提供の停止に応じる等、本人からの求めにより一層対応していくことが望ましい。
３－８－６ 理由の説明 （法第３６条関係）
事業者は、保有個人データの利用目的の通知の求め、保有個人データの開示、訂正等、利用停止等もしくは第三者提供の停止に関する請求、又は第三者提供記録の開示に関する請求（以下、「開示等の請求等」という。）に係る措置の全部又は一部について、その措置をとらない旨又はその措置と異なる措置をとる旨を本人に通知（２－１４本人に通知参照）する場合は、併せて、本人に対して、その理由を説明するように努めなければならない。
３－８－７ 開示等の請求等に応じる手続 （法第３７条関係）
事業者は、開示等の請求等（※１）において、これを受け付ける方法として次の１）から４）までに掲げる事項を定めることができる。
１） 開示等の請求等の申出先【具体的な事例】
事例） 担当窓口名・係名、郵送先住所、受付電話番号、受付 FAX 番号、メールアドレス等
２） 開示等の請求等に際して提出すべき書面（電磁的記録を含む。）の様式、その他の開示等の請求等の受付方法【具体的な事例】
事例） 郵送、FAX、電子メールやウェブサイト等のオンラインで受け付ける等
３） 開示等の請求等をする者が本人又はその代理人（①未成年者又は成年被後見人の法定代理人、②開示等の請求等をすることにつき本人が委任した代理人）であることの確認の方法（※２）４） 保有個人データの利用目的の通知又は保有個人データの開示をする際に徴収する手数料の徴収方法（１） 開示等の請求等を受け付ける方法を定めるにあたっては、当該手続が、事業の性質、保有個人データの取扱い
状況、開示等の請求等の受付方法等に応じて適切なものになるよう配慮するとともに、必要以上に煩雑な書類を書かせたり、請求等を受け付ける窓口を他の業務を行う拠点とは別にいたずらに不便な場所に限定したりする等、本人に過重な負担を課するものとならないよう配慮しなければならない。
（２） 開示等の請求等を受け付ける方法を定めた場合には、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置いておかなければならない（３－８－１保有個人データに関する事項の公表等 参照）。
① 「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」とは、本人が知ろうとすれば、知ることができる状態に置くことをいい、事業の性質及び個人情報の取扱い状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならないが、開示等の請求等を行おうとする本人がその手続きを把握できるようにしておくことが重要である。
② 「本人の求めに応じて遅滞なく回答する」ことによって対応する場合には、その前提として、少なくとも本人が簡単な操作によって求めを行うことができるようにすることが望ましい。
【具体的な事例】
事例） ホームページへの掲載による場合、本人が簡単な操作によって当該箇所へ到達でき、円滑に請求等を行えるようにしておく（３） 事業者が、開示等の請求等を受け付ける方法を合理的な範囲で定めたときは、本人は、当該方法に従って開示等の請求等を行わなければならず、当該方法に従わなかった場合は、事業者は、当該開示等の請求等を拒否することができる（※３）。
（４） 事業者は、円滑に開示等の手続が行えるよう、本人に対し、開示等の請求等の対象となる当該本人が識別される
保有個人データ又は第三者提供記録の特定に必要な事項（住所、ID、パスワード、会員番号等）の提示を求めることができる。なお、その際には、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データ又は第三者提供記録の特定に資する情報を提供する等、本人の利便性を考慮しなければならない。
（※１） 「開示等の請求等」とは、保有個人データの利用目的の通知の求め、保有個人データの開示、訂正等、利用停止等もしくは第三者提供の停止の請求、又は第三者提供記録の開示に関する請求をいう（３－８－１保- 56 -

有個人データに関する事項の公表等、３－８－２保有個人データの開示、３－８－４保有個人データの訂正
等、３－８－５保有個人データの利用停止等、３－８－３第三者提供記録の開示 参照）。
（※２） 確認の方法としては、次のような事例が考えられるが、事業の性質、保有個人データの取扱い状況、開示等の請求等の受付方法等に応じて、適切なものでなければならない。
① 本人確認のために事業者が保有している個人データに比して必要以上に多くの情報を求めないようにする
等、本人に過重な負担を課するものとならないよう配慮しなくてはならない。
② 代理人による来所や送付等の場合にあっては、確認書類として、本人及び代理人についての次の事例に示す書類等のほか、代理人について、代理権を与える旨の委任状（親権者が未成年者の法定代理人であることを示す場合は、本人及び代理人が共に記載され、その続柄が示された戸籍謄抄本、住民票の写し。また、成年後見人が成年被後見人の法定代理人であることを示す場合は、登記事項証明書）が考えられる。
【開示等の請求等をする者が本人又はその代理人であることの確認の方法の事例】
事例１） 来所の場合：運転免許証、健康保険の被保険者証、個人番号カード（マイナンバーカード）表面、旅券（パスポート）、在留カード、特別永住者証明、年金手帳、印鑑証明書と実印
事例２） オンラインの場合：あらかじめ本人が個人情報取扱事業者に対して登録済みの ID とパスワード、公的個
人認証による電子署名
事例３） 電話の場合：あらかじめ本人が事業者に対して登録済みの登録情報（生年月日等）、コールバック
事例４） 送付（郵送、FAX 等）の場合：運転免許証や健康保険の被保険者証等の公的証明書のコピーの送付を会員等から受け、当該公的証明書のコピーに記載された会員等の住所に宛てて文書を書留郵便により送付（※３） 開示等の請求等を受け付ける方法を定めない場合には、自由な申請を認めることとなるので注意が必要である。
３－８―８ 手数料 （法第３８条関係）
事業者は、保有個人データの利用目的の通知（３－８－１保有個人データに関する事項の公表等 参照）を求められ、又は保有個人データの開示の請求（３－８－２保有個人データの開示 参照）もしくは第三者提供記録の開示の請求（３－８－３第三者提供記録の開示 参照）を受けたときは、当該措置の実施に関し、手数料の額を定め、これを徴収することができる。
（１） 当該手数料の額を定めた場合には、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）（３－８－１保有個人データに関する事項の公表等 参照）に置いておかなければならない。
（２） 手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。
３－８－９ 裁判上の訴えの事前請求 （法第３９条関係）
本人が、自己が識別される保有個人データの開示（※１）、訂正等（※２）、利用停止等（※３）もしくは第三者提供の停止（※４）又は自己が識別される個人データに係る第三者提供記録の開示（※５）の請求について裁判上の訴えを提起しようとするときは、事業者に対して、あらかじめ裁判外において当該請求を行い、かつ、当該請求が当該事業者に到達した日から２週間を経過した後でなければ、当該訴えを提起することができない（※６）。
（１） 本人が、自己が識別される保有個人データの開示、訂正等、利用停止等もしくは第三者提供の停止又は自己が識別される個人データに係る第三者提供記録の開示の請求について仮処分命令を申し立てるときも、同様に、事業者に対して、あらかじめ当該請求を行い、かつ、当該請求が当該事業者に到達した日から２週間を経過した後でなければ、当該訴えを提起することができない。
（２） 事業者が当該裁判外の請求を拒んだとき（※７）は、２週間を経過する前に、当該請求に係る裁判上の訴えを提起することができる。
（※１） 保有個人データの開示については、「３－８－２保有個人データの開示」を参照。
（※２） 保有個人データの訂正等とは、保有個人データの訂正、追加又は削除のことをいう（３－８－４保有個人データの訂正等 参照）。
（※３） 保有個人データの利用停止等とは、保有個人データの利用の停止又は消去のことをいう（３－８－５保有個人データの利用停止等 参照）。
- 57 -

（※４） 保有個人データの第三者提供の停止については、「３－８－５保有個人データの利用停止等」を参照。
（※５） 第三者提供記録の開示については、「３－８－３第三者提供記録の開示」を参照のこと。
（※６） 例えば、本人から事業者に対する保有個人データの開示請求が４月１日に到達した場合には、本人が当該請求に係る裁判上の訴えを提起することができるのは、当該到達日から２週間が経過した日（４月１６日）以降となる。
（※７） 「当該裁判外の請求を拒んだとき」とは、法第３３条第３項（同条第５項において準用する場合を含む。）、第３４条第３項、及び第３５条第７項の通知の場合のほか、事業者が当該請求を行った者に対して特に理由を説明することなく単に当該請求を拒む旨を通知した場合等も含まれる。
３－９ 個人情報の取扱いに関する苦情処理 （法第４０条関係）
事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない（※１）。
（１） 苦情の適切かつ迅速な処理を行うにあたり、苦情処理窓口の設置や苦情処理の手順を定める等必要な体制の整備に努めなければならない（※２）。
（２） 保有個人データの取扱いに関する苦情の申出先について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない（３－８－１保有個人データに関する事項の公表等 参照）。
（３） 認定個人情報保護団体の名称及び苦情解決の申出先について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない（３－８－１保有個人データに関する事項の公表等 参照）。
（※１） 無理な要求にまで応じなければならないものではない。
（※２） 事業者が会員等本人との信頼関係を構築し事業活動に対する社会の信頼を確保するためには、「個人情報保護を推進する上での考え方や方針（プライバシーポリシー、プライバシーステートメント等）」を策定し、それをホームページへの掲載又は会館の見やすい場所への掲示等により公表し、あらかじめ、対外的に分かりやすく説明することや、委託の有無、委託する事務の内容を明らかにする等、委託処理の透明化を進めることも重要である。
４．「勧告」、「命令」、「緊急命令」等についての考え方
４－１ 「勧告」、「命令」、「緊急命令」等についての考え方
委員会ガイドライン及びこの指針の中で、「しなければならない」及び「してはならない」と記述している事項については、これらに従わなかった場合、法違反と判断される可能性がある（※１）。一方、「努めなければならない」、「望ましい」等と記述している事項については、これらに従わなかったことをもって直ちに法違反と判断されることはないが、法の基本理念（法第３条）を踏まえ、事業者の特性や規模に応じ可能な限り対応することが望まれる。もっとも、法の目的（法第１条）の趣旨に照らして、公益上必要な活動や正当な事業活動等までも制限するものではない。
（１） 法第１４５条に規定される個人情報保護委員会の「勧告（第１項）」、「命令（第２項）」及び「緊急命令（第３項）」については、個人情報保護委員会は、事業者が委員会ガイドライン及びこの指針に沿って必要な措置等を講じたか否かにつき判断して行うこととなる。
（２） 「勧告」は、違反と判断された場合において、個人の権利利益を保護するため必要があると個人情報保護委員会
が認めたときに行われる。
（３） 「命令」は、単に「勧告」に従わないことをもって発せられることはなく、正当な理由なくその勧告に係る措置をとらな
かった場合において、個人の重大な権利利益の侵害が切迫していると個人情報保護委員会が認めたときに発せられる。
（４） 「緊急命令」は、事業者が各規定に違反した場合において、個人の重大な権利利益を害する事実があるため緊急に措置をとる必要があると個人情報保護委員会が認めたときに、「勧告」を前置せずに行われる。
（５） 「勧告」、「命令」及び「緊急命令」に従わなかったか否かを明確にするため、個人情報保護委員会は、「勧告」、「命令」及び「緊急命令」に係る措置を講ずべき期間を設定して「勧告」、「命令」及び「緊急命令」を行い、「命令」及び「緊急命令」については、当該期間中に措置が講じられない場合は、「公表（第４項）」の対象となるほか、「罰則（法第１７３条、第１７９条）」が適用される。
（６） 個人情報保護委員会は、事案の性質等に応じ、国民への情報提供等の観点から（法第９条）、個人情報保護委員会による権限行使について、公表を行うことがある。

- 58 -

（※１） 個人情報取扱事業者においては、法第１８条から第２０条まで、第２１条（第１項、第３項及び第４項の規定を第４１条第４項の規定により読み替えて適用する場合を含む。）、第２３条から第２６条まで、第２７条（第４項を除き、第５項及び第６項の規定を第４１条第６項の規定により読み替えて適用する場合を含む。）、第２８条、第２９条（第１項ただし書の規定を第４１条第６項の規定により読み替えて適用する場合を含む。）、第３０条（第２項を除き、第１項ただし書の規定を第４１条第６項の規定により読み替えて適用する場合を含む。）、第３
２条、第３３条（第１項（第５項において準用する場合を含む。）を除く。）、第３４条第２項もしくは第３項、第３５条（第１項、第３項及び第５項を除く。）、第３８条第２項、第４１条（第４項及び第５項を除く。）又は第４３条（第６項を除く。）の規定違反、個人関連情報取扱事業者においては、法第３１条第１項もしくは同条第２項において読み替えて準用する第２８条第３項又は第３１条第３項において読み替えて準用する第３０条第３項もしくは第４項の規定違反と判断される可能性がある。
４－２ 罰則について
内容

対象
行為者
法人等
行為者
法人等
行為者
法人等

（１） 個人情報保護委員会からの命令への違反（２） 個人情報データベース等の不正提供等（３） 個人情報保護委員会への虚偽報告等

懲役刑
１年以下
１年以下

罰金刑
１００万円以下１億円以下５０万円以下
１億円以下５０万円以下５０万円以下５．講ずべき安全管理措置の内容
安全管理措置（法第２３条）を講ずるための具体的な手法については、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱い状況（取扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容とすべきものである
ため、必ずしも委員会ガイドライン及びこの指針に掲げる例示の内容の全てを講じなければならないわけではなく、また、適切な手法はこれらの例示の内容に限られない。
（１） この指針においては、中小規模事業者（※１）が具体的に講じなければならない措置や当該措置を実践するための手法の例等を示すこととする。
（２） 中小規模事業者については、取扱う個人データの数量及び個人データを取扱う従業者数が一定程度にとどまること等を踏まえ、円滑にその義務を履行し得るような手法の例を示すが、その他の個人情報取扱事業者と同様に、法第２３条に定める安全管理措置を講じなければならない。
（３） 中小規模事業者が、その他の個人情報取扱事業者と同様に委員会ガイドラインに記述してある手法も採用することは、より望ましい対応である。
（４） その他の個人情報取扱事業者の手法の例示については、委員会ガイドライン「１０（別添）講ずべき安全管理措置の内容」を参照。
（※１） 「中小規模事業者」とは、従業員（※２）の数が１００人以下の個人情報取扱事業者をいう。ただし、次に掲げる者を除く。
１） その事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数の合計が過去６月以内のいずれかの日において５，０００を超える者
２） 委託を受けて個人データを取扱う者（※２） 中小企業基本法における従業員をいい、労働基準法第２０条の適用を受ける労働者に相当する者をいう。
ただし、同法第２１条の規定により同法第２０条の適用が除外されている者は除く。
５－１ 基本方針の策定
事業者は、個人データの適正な取扱いの確保について組織として取り組むために、基本方針を策定することが重要である。具体的に定める項目の例としては、「事業者の名称」、「関係法令・ガイドライン・指針等の遵守」、「安全管理措置に関する事項」、「質問及び苦情処理の窓口」等が考えられる。

- 59 -

５－２ 個人データの取扱いに係る規律の整備
事業者は、その取扱う個人データの漏えい等の防止その他の個人データの安全管理のために、個人データの具体的な取扱いに係る規律を整備しなければならない。
５－３ 組織的安全管理措置
事業者は、組織的安全管理措置として、次に掲げる措置を講じなければならない。
１） 組織体制の整備
・ 安全管理措置を講ずるための組織体制を整備しなければならない。
２） 個人データの取扱いに係る規律に従った運用
・ あらかじめ整備された個人データの取扱いに係る規律に従って個人データを取扱わなければならない。
・ なお、整備された個人データの取扱いに係る規律に従った運用の状況を確認するため、利用状況等を記録することも重要である。
３） 個人データの取扱い状況を確認する手段の整備
・ 個人データの取扱い状況を確認するための手段を整備しなければならない。
４） 漏えい等事案に対応する体制の整備
・ 漏えい等事案の発生又は兆候を把握した場合に適切かつ迅速に対応するための体制を整備しなければならない。
・ なお、漏えい等事案が発生した場合、二次被害の防止、類似事案の発生防止等の観点から、事案に応じて、事実関係及び再発防止策等を早急に公表することが重要である。
・ 事業者において、漏えい等事案が発生した場合等の対応の詳細については、「３－５個人データの漏えい等の報告等」を参照。
５） 取扱い状況の把握及び安全管理措置の見直し
・ 個人データの取扱い状況を把握し、安全管理措置の評価、見直し及び改善に取り組まなければならない。
５－４ 人的安全管理措置
事業者は、人的安全管理措置として、次に掲げる措置を講じなければならない。また、事業者は、従業者に個人デー
タを取扱わせるにあたっては、法第２４条に基づき従業者に対する監督をしなければならない（３－４－３従業者の監督
参照）。
１） 従業者の教育
・ 従業者に、個人データの適正な取扱いを周知徹底するとともに適切な教育を行わなければならない。
５－５ 物理的安全管理措置
事業者は、物理的安全管理措置として、次に掲げる措置を講じなければならない。
１） 個人データを取扱う区域の管理
・ 個人情報データベース等を取扱うサーバやメインコンピューター等の重要な情報システムを管理する区域（以下、「管理区域」という。）及びその他の個人データを取扱う事務を実施する区域（以下、「取扱区域」という。）について、それぞれ適切な管理を行わなければならない。
２） 機器及び電子媒体等の盗難等の防止
・ 個人データを取扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、適切な管理を行わなければならない。
３） 電子媒体等を持ち運ぶ場合の漏えい等の防止・ 個人データが記録された電子媒体又は書類等を持ち運ぶ場合、容易に個人データが判明しないよう、安全な方策を講じなければならない。
・ なお、「持ち運ぶ」とは、個人データを管理区域又は取扱区域から外へ移動させること又は当該区域の外から当該区域へ移動させることをいい、事業所内の移動等であっても、個人データの紛失・盗難等に留意する必要がある。
４） 個人データの削除及び機器、電子媒体等の廃棄
・ 個人データを削除し又は個人データが記録された機器、電子媒体等を廃棄する場合は、復元不可能な手段で行わなければならない。
・ また、個人データを削除した場合、又は、個人データが記録された機器、電子媒体等を廃棄した場合には、削- 60 -

除又は廃棄した記録を保存することや、それらの作業を委託する場合には、委託先が確実に削除又は廃棄したことについて証明書等により確認することも重要である。

５－６ 技術的安全管理措置
事業者は、情報システム（パソコン等の機器を含む。）を使用して個人データを取扱う場合（インターネット等を通じて外部と送受信等する場合を含む。）、技術的安全管理措置として、次に掲げる措置を講じなければならない。
１） アクセス制御・ 担当者及び取扱う個人情報データベース等の範囲を限定するために、適切なアクセス制御を行わなければならない。
２） アクセス者の識別と認証
・ 個人データを取扱う情報システムを使用する従業者が正当なアクセス権を有する者であることを、識別した結果に基づき認証しなければならない。
３） 外部からの不正アクセス等の防止・ 個人データを取扱う情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入し、適切に運用しなければならない。
４） 情報システムの使用に伴う漏えい等の防止
・ 情報システムの使用に伴う個人データの漏えい等を防止するための措置を講じ、適切に運用しなければならない。
５－７ 外的環境の把握
事業者が、外国において個人データを取扱う場合、当該外国の個人情報の保護に関する制度等を把握した上で、個人データの安全管理のために必要かつ適切な措置を講じなければならない。
５－８ 講じなければならない措置及び中小規模事業者における手法の例示
講じなければならない措置
中小規模事業者における手法の例示
５－２ 個人データの取扱いに係る規律の整備
１） 個人データの取扱いに係る規律の整備 ○個人データの取得、利用、保存等を行う場合の基本的な取扱方法を整備する。
○取得、利用、保存、提供、削除・廃棄等の段階ごとに、取扱方法、責任者・担当者及びその任務等について定める個人データの取扱規定を策定することが考えられる。
５－３ 組織的安全管理措置
１） 組織体制の整備○個人データを取扱う従業者が複数いる場合、責任ある立場の者とその他の者を区分する。
【組織体制として整備する項目の例】
・ 個人データの取扱いに関する責任者の設置及び責任の明確化
・ 個人データを取扱う従業者及びその役割の明確化
・ 上記の従業者が取扱う個人データの範囲の明確化
・ 法や事業者において整備されている個人データの取扱いに係る規律に違反している事実又は兆候を把握した場合の責任者への報告連絡体制・ 個人データの漏えい等事案の発生又は兆候を把握した場合の責任者への報告連絡体制
・ 個人データを複数の部署で取扱う場合の各部署の役割分担及
び責任の明確化
２） 個人データの取扱いに係る規律に従っ ○あらかじめ整備された基本的な取扱方法に従って個人データがた運用取扱われていることを、責任ある立場の者が確認する。
【個人データの取扱いに係る規律に従った運用を確保するため、例- 61 -

えば次のような項目に関して、システムログその他の個人データの取扱いに係る記録の整備や業務日誌の作成等を通じて、個人デー
タの取扱いの検証を可能とすることが考えられる。】
・ 個人情報データベース等の利用・出力状況
・ 個人データが記載又は記録された書類・媒体等の持ち運び等の状況
・ 個人情報データベース等の削除・廃棄の状況（委託した場合の消去・廃棄を証明する記録を含む。）
・ 個人情報データベース等を情報システムで取扱う場合、担当者の情報システムの利用状況（ログイン実績、アクセスログ等）
３） 個人データの取扱状況を確認する手段 ○あらかじめ整備された基本的な取扱方法に従って個人データがの整備取扱われていることを、責任ある立場の者が確認する。
【例えば次のような項目をあらかじめ明確化しておくことにより、個人データの取扱状況を把握可能とすることが考えられる。】
・ 個人情報データベース等の種類、名称
・ 個人データの項目
・ 責任者・取扱部署
・ 利用目的・ アクセス権を有する者 等
４） 漏えい等事案に対応する体制の整備○漏えい等事案の発生時に備え、従業者から責任ある立場の者に対する報告連絡体制等をあらかじめ確認する。
【漏えい等事案の発生時に例えば次のような対応を行うための、体制を整備することが考えられる。】
・ 事実関係の調査及び原因の究明
・ 影響を受ける可能性のある本人への通知
・ 個人情報保護委員会等への報告
・ 再発防止策の検討及び決定・ 事実関係及び再発防止策等の発表 等
５） 取扱状況の把握及び安全管理措置の ○責任ある立場の者が、個人データの取扱状況について、定期的見直しに点検を行う。
５－４ 人的安全管理措置
１） 従業者の教育○個人データの取扱いに関する留意事項について、従業者に定期的な研修等を行う。
○個人データについての秘密保持に関する事項を就業規則等に盛り込む。
５－５ 物理的安全管理措置
１） 個人データを取扱う区域の管理○個人データを取扱うことのできる従業者及び本人以外が容易に
個人データを閲覧等できないような措置を講ずる。
【管理区域の管理手法の例】
・ 入退室管理及び持ち込む機器等の制限等
・ ＩＣカード、ナンバーキー等による入退室管理システムの設置等【取扱区域の管理手法の例】
・ 間仕切り等の設置、座席配置の工夫、のぞき込みを防止する措置の実施等による、権限を有しない者による個人データの閲覧等の防止
２） 機器及び電子媒体等の盗難等の防止○個人データを取扱う機器、個人データが記録された電子媒体又は個人データが記載された書類等を、施錠できるキャビネット・書庫等に保管する。
○個人データを取扱う情報システムが機器のみで運用されている- 62 -

場合は、当該機器をセキュリティワイヤー等により固定する。
３） 電子媒体等を持ち運ぶ場合の漏えい等 ○個人データが記録された電子媒体又は個人データが記載されたの防止書類等を持ち運ぶ場合、パスワードの設定、封筒に封入しカバンに入れて搬送する等、紛失・盗難等を防ぐための安全な方策を講ずる。
４） 個人データの削除及び機器、電子媒体 ○個人データを削除し、又は、個人データが記録された機器、電子等の廃棄
媒体等を廃棄したことを、責任ある立場の者が確認する。
【個人データが記載された書類等を廃棄する方法の例】
・ 焼却、溶解、適切なシュレッダー処理等の復元不可能な手段を採用する。
【個人データを削除し、又は、個人データが記録された機器、電子媒体等を廃棄する方法の例】
・ 情報システム（パソコン等の機器を含む。）において、個人データを削除する場合、容易に復元できない手段を採用する。
・ 個人データが記録された機器、電子媒体等を廃棄する場合、専用のデータ削除ソフトウェアの利用又は物理的な破壊等の手段を採用する。
５－６ 技術的安全管理措置
１） アクセス制御○個人データを取扱うことのできる機器及び当該機器を取扱う従業者を明確化し、個人データへの不要なアクセスを防止する。
２） アクセス者の識別と認証○機器に標準装備されているユーザー制御機能（ユーザーアカウ
ント制御）により、個人情報データベース等を取扱う情報システムを使用する従業者を識別・認証する。
【情報システムを使用する従業者の識別・認証手法の例】
・ ユーザーＩＤ、パスワード、磁気、ＩＣカード等
３） 外部からの不正アクセス等の防止○個人データを取扱う機器等のオペレーティングシステムを最新の状態に保持する。
○個人データを取扱う機器等にセキュリティ対策ソフトウェア等を導入し、自動更新機能等の活用により、これを最新状態とする。
４） 情報システムの使用に伴う漏えい等の ○メール等により個人データの含まれるファイルを送信する場合
防止に、当該ファイルへのパスワードを設定する。
（指針の改廃）（１） 個人情報の保護についての考え方は、社会情勢の変化、国民の認識の変化、技術の進歩、国際的動向等に応じて変わり得るものであり、指針は、法の施行後の状況等諸環境の変化を踏まえて必要に応じ見直しを行うものとする。
（２） 指針の改訂にあたり、加盟社拠点の消費者団体、有識者等との意見交換を行い、推進することとする。
（３） このガイドラインの見直し及び改廃は理事会の承認をもって行うこととする。
（施行期日）
この指針は、平成１７年４月１日から施行する。
（改定）（１） 平成１８年３月２２日改定する。
（２） 平成２９年１０月２５日改定する。
（３） 令和４年７月１日改定する。

- 63 -