Ver4.0.0

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン
一般社団法人LBMA Japan
2020年6月24日策定/2023年8月31日改定

B. 規程
LBMA Japan加盟企業各社に向けて、デバイスロケーションデータおよび特定の個人を識別でき
る位置情報等のデータ（個人情報）の実運用時における利活用規程（ルール）を定める。

■ はじめに(1) LBMA Japan共通ガイドラインが対象とする範囲
本ガイドライン（以下、共通ガイドライン）は、スマートデバイスから取得された位置情報等のデータの取り扱いを規定するものである。
共通ガイドラインにおいては、「個人情報の保護に関する法律についてのガイドライン（通則編）（平成28年個人情報保護委員会告示第6号（令和4年9月一部改正））」における「個人関連情報に該当する事例」として挙げられる「ある個人の位置情報」に該当するデータを「デバイスロケーションデー
タ」と呼称する。
なお、位置情報等のデータを個人情報と関連づける、あるいは連続的に蓄積される等して特定の個人を識別することができる場合*においては、個人情報の保護に関する法律（2003（平成15）年
法律第57号、以下「個人情報保護法」という）に基づき、個人情報として取り扱うものとする。

*「特定の個人を識別することができる」とは、社会通念上、一般人の判断力や理解力をもって、生存する具体的な人物と情報との間に同一性を認めるに至ることができることを示す。(「個人情報の保護に関する法律についてのガイドライン」に関する Q&A/個人情報保護委員会)

なお、一般社団法人LBMA Japanは認定個人情報保護団体として、デバイスロケーションデータ
および位置情報等のデータを扱う事業者に対する、指針の策定と公表、苦情処理への取り組みや問題の解決、必要な指導や勧告等の措置など、各種データの適正な取扱いの確保を目的とした活動を

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 1

Ver4.0.0
行う。また、事業者の実態に応じた法の適切な運用等を推進するために、事業者の運用実態や課題等の情報を収集し、それを個人情報保護委員会と共有するといった役割を担うこととなる。
加盟企業各社においては必ず当該ガイドラインを遵守するとともに、個人情報として位置情報等のデータを取り扱う際に、漏えい等があった場合は、速やかに個人情報保護委員会へ報告する義務が生じる。さらに、LBMA Japanへの共有を行うことが望ましい。
なお、電気通信事業法に規定される通信の秘密に該当する位置情報を取り扱う場合、あるいは加盟企業が電気通信事業者である場合には、「電気通信事業における個人情報等の保護に関するガイ
ドライン」（2023(令和5)年5月18日個人情報保護委員会・総務省告示第4号）に従うこと。

(2) 「B. 規程」を適用する対象
LBMA Japanに加盟する企業とその顧客企業（販売先・委託先）が対象となる。

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 2

Ver4.0.0

もくじ■ はじめに1(1) LBMA Japan共通ガイドラインが対象とする範囲

1(2) 「B. 規程」を適用する対象

2

もくじ

3

■ 定義

6

第1章：デバイスロケーションデータを扱う場合

9

1. データ取得時

9

＜要旨＞

9

＜1st Partyにおける対応＞

101-1. スマートデバイス（アプリ）でデータ取得を行う場合

10(1) 同意取得の画面例（アプリにおけるデバイスロケーションデータ取得開始時） 10(2) 確認機会の付与の画面例（アプリにおけるデバイスロケーションデータ取得開始時）
11(3) データ取得・利活用の許諾方法の明示例

121-2. Webブラウザでデータ取得を行う場合

14

1-3. Wi-Fi経由でデータ取得を行う場合

15(1) 同意取得のプロセス例

15(2) 告知事項の記載例

15＜3rd Partyにおける対応＞

16

2. データ管理時

16

＜要旨＞

16

2-1. 安全管理措置

16

2-2. 従業者の監督

16

2-3. 委託先の監督

16(1) 適切な委託先の選定

17(2) 委託契約の締結

17(3) 委託先におけるデータ取扱状況の把握

17

3. データ利活用時

18

＜要旨＞

18

3-1. 位置情報広告

18(1) 概要18(2) 利活用基準

193-2. 統計･分析

20(1) 概要20(2) 利活用基準

203-3. データ提供

21(1) 概要21

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 3

Ver4.0.0(2) 利活用基準

213-4. その他

22

第2章：個人情報を扱う場合

23＜個人情報として扱う場合の規制＞

23

1. データ取得時

23

1-1. 利用目的の特定

231-2. 通知・公表

241-3. 同意の取得

24

2. データ利用時

242-1. 目的外での利用

25

2-2. 本人同意が不要となるケース

25

3. データ保管時

25

3-1. 安全管理措置

25

3-2. 個人情報の漏えい等が生じた場合の対応

26＜法的義務＞

26■個人情報保護委員会への報告

27■本人への通知27■その他、必要に応じて講じなければならない措置

27＜LBMA Japan加盟企業としての義務＞

28

4. データ提供時

28

4-1. 同意の取得

28

4-2. 同意の取得が不要なケース

28＜例外事由＞

28＜オプトアウトによる第三者提供＞

29

4-3. 第三者提供とみなされないケース

29

＜委託＞

29

＜共同利用＞

29

4-4. 要配慮個人情報と関連づけられたデータの提供

30

4-5. 外国の第三者への提供（越境移転）

30＜越境移転に対する同意の不要となるケース＞

30＜同意取得に先立つ情報提供義務＞

30

4-6. 確認・記録義務31＜提供先における確認・記録義務の課せられる事項＞

31＜提供元における記録義務の課せられる事項＞

31

4-7. 個人関連情報の提供

32＜同意の取得＞

32＜個人データとして取得されるとは？＞32

5. データに関する公表義務・開示等の請求への対応・破棄

33＜公表義務について＞

33＜開示等の請求への対応＞

33

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 4

Ver4.0.0＜データの破棄について＞34

ⅰ. 共通ガイドラインの適用範囲

35

ⅱ. 共通ガイドラインに関する審議

35

ⅲ. 共通ガイドラインの見直し

35

ⅳ. 認定個人情報保護団体として

35（1）苦情の処理

35（2）指導・勧告

36（3）情報の提供

36（4）問い合わせ窓口

36

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 5

Ver4.0.0

■ 定義
文言

定義

デバイスロケーション
データ

スマートデバイスを通して取得される、個人（ユーザ）に関する情報のうち、位置情報（緯度・経度・時間・精度）が含まれるもの。位置情報に関連したモバイル広告
識別子（ADID）やWi-Fi情報（SSID/BSSID）、ビーコン情報などを含む。
デバイスロケーションデータは、特定の個人を識別することができない場合であり、仮名加工情報にも匿名加工情報にも該当しない場合は「個人関連情報」に該当する。
なお、位置情報等のデータを個人情報と関連づける、あるいは連続的に蓄積される等して特定の個人を識別することができる場合は、個人情報として扱わなければならない。

スマートデバイス

スマートフォンやタブレット端末など、情報処理端末の総称。

モバイル広告識別子（ADID）

固有のスマートデバイスを識別するために、端末側で生成される識別子のこと。
iOSの場合はIDFA（IDentifier For Advertising）、Androidの場合はAAID（Google Advertising ID）という。

ユーザ

デバイスロケーションデータの提供者本人（スマートデバイスの保持者）。

データ取得事業者

自らのアプリや他社のアプリ、または通信ネットワークや設備を通じて、個人（ユーザ）からデバイスロケーションデータを取得し、自社で利用、または第三者に提供する事業者を示す。アプリケーションに組み込んで利用される、情報収集
モジュール（一連のプログラムであって、利用者情報を取得するための機能を持つもの）の提供者も含む。

データ活用事業者

デバイスロケーションデータ、または特定の個人を識別することができる位置情報等のデータ、またはその双方をを利活用する事業者を示す。

データ取得・利活用の許諾

個人（ユーザ）本人の求めに応じて、デバイスロケーションデータの取得の可否を決めること（いわゆるオプトイン、オプトアウトのこと）を示す。

セグメント

データから作成された地理的集団、または推定された属性集団のこと。

プライバシー・バイ・デザ
イン

個人に関する情報を使用する段階でプライバシー保護の施策を検討するのではなく、事前の企画・設計の段階から組み込むという考え方。

個人情報（個人情報の保護に関する法律（2003(平成15)年法律第57号。以下「個人情報保護法」）に規定）
生存する個人に関する情報であって、以下の4点を指す。
① 氏名や生年月日等により特定の個人を識別することができるもの② 他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるもの③ 個人識別符号が含まれるもの（総務省「緊急時等における位置情報の取扱いに関する検討会 報告書 位置情報
プライバシーレポート〜位置情報に関するプライバシーの適切な保護と社会的利活用の両立に向けて〜」（2014年）参照）④ 個人情報と関連づける、あるいは連続的に蓄積される等して特定の個人を識別することができる位置情報等のデータ

個人識別符号

その情報だけでも特定の個人を識別できるものとして政令に定められた文字、番号、記号、符号等。
（例）

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 6

Ver4.0.0① 生体情報を変換した符号として、DNA、顔、虹彩、声紋、歩行の態様、手指の静脈、指紋・掌紋② 公的な番号として、パスポート番号、基礎年金番号、免許証番号、住民票コード、マイナンバー、各種保険証番号等
要配慮個人情報

不当な差別、偏見その他の不利益が生じないように取扱いに配慮を要する情報として、法律・政令・規則に定められた情報。
（例）
人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実等のほか、身体障害・知的障害・精神障害等の障害があること、健康診断その他の検査の結果、保健指導、診療・調剤情報、本人を被疑者又は被告人として、逮捕・捜索等の刑事事件に関する手続が行われたこと、本人を非行少年又はその疑いがある者として、保護処分等の少年の保護事件に関する手続が行われたこと

個人関連情報生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。
（例）
・Cookie 等の端末識別子を通じて収集された、ある個人のウェブサイトの閲覧履歴・メールアドレスに結び付いた、ある個人の年齢・性別・家族構成等
・ある個人の商品購買履歴・サービス利用履歴
・ある個人の位置情報
・ある個人の興味・関心を示す情報

電気通信事業者

電気通信事業法においては、電気通信事業を営むことについて、電気通信事業法（昭和59年法律第86号。以下「電気通信事業法」という。）第九条の登録を受けた者及び第十六条第一項（同条第二項の規定により読み替えて適用する場合を含む。）の規定による届出をした者をいう。
本ガイドラインにおいては、当該電気通信事業法上「電気通信事業者」に限らず、電気通信事業法の適用除外とされている同法第164条第1項各号に定める事業を営む者についても、対象とする。
具体的には、オンラインサービスを、他人の需要に応じて、電気通信設備を用いて反復継続して提供することで、利益を得ようとしている者を示す。

通信の秘密に該当する
位置情報

電気通信事業者が保有する位置情報のうち、個々の通信に関係するものを示す。
電気通信事業法や関連法規、2017年総務省告示第152号。最終改正2017年
総務省告示第297号に規定される。

外部送信規律2023年6月施行の「改正電気通信事業法」に新設された規律。ウェブサイトやア
プリケーションを運営している事業者に対して、ユーザのパソコンやスマートデバイス等の端末に記録されたユーザの情報を外部に送信しようとする際に、通知・公表等の確認機会の付与を義務付ける内容となっている。

認定個人情報保護団体

業界・事業分野ごとの民間による個人情報保護の推進を図るために、自主的な取り組みを行うことを目的として、個人情報保護委員会の認定を受けた法人（法人でない団体で代表者又は管理人の定めのあるものを含む）のこと。
認定個人情報保護団体は、個人情報保護法第47条第1項各号で規定される業
務（対象事業者※の個人情報等の取扱いに関する苦情の処理など）を行うほか、業界の特性に応じた自主的なルールである「個人情報保護指針（LBMA Japanにおいては当「共通ガイドライン」を指す）」を作成し、その個人情報保護指針に基づいて対象事業者を指導していくことが求められる。
一般社団法人LBMA Japanは２０２３年４月１２日に認定個人情報保護団体の認定を受けている。

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 7

Ver4.0.0

対象事業者

LBMA Japanの加盟企業のうち、位置情報データを用いた事業を行い、認定業
務の対象となることについて同意した個人情報取扱事業者等のこと。

認定業務の対象範囲

位置情報データを用いた事業のうち、位置情報データを「個人情報」として用いた事業を対象とする。（個人情報ではない位置情報（デバイスロケーションデー
タ）、または位置情報との関連付けを行わない、消費者や顧客の個人情報に関しては、認定個人情報保護団体の指導の対象外となる。）

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 8

Ver4.0.0

第1章：デバイスロケーションデータを扱う場合

1. データ取得時
データ取得事業者はデバイスロケーションデータを取得する際、スマートデバイス利用者に対して、プライバシーポリシーまたは利用規約を通じて、必要な情報を開示すること。また、若年層から高齢者まで、あらゆる人々を対象とすることを前提に、気づきやすさ・理解のしやすさの向上に最大限努めること。特に同意の取得については、技術的に不可能な場合を除き、個別形式での明示的な同意の取得を推進しなければならない。

＜要旨＞
1. データ取得事業者のうち、利用者へ直接アプリやWebサイト等を展開するサービス提供事
業者（いわゆる1st Party）や、サービス提供事業者へのSDKやタグ等の情報送信指令モジュールの提供を通じて、デバイスロケーションデータの取得や利活用を行う事業者（いわゆる3rd Party）において、デバイスロケーションデータの取得や利活用に関する記載を行うページ※1内に以下７点を網羅すること。
① 取得事業者/取得ツール（サービス）名*② データ取得の事実③ 取得しているデバイスロケーションデータの項目**※2④ 利活用目的*⑤ 第三者提供の有無⑥ 利用者関与の仕組み（オプトアウトの方法）⑦ 問い合わせ先（*は、外部送信規律の通知・公表等に準拠して、いわゆる1st Partyが対応する際の必須
記載事項）
2. アプリを通じたデバイスロケーションデータの取得の際は、個別同意の取得画面を通して、利用者（ユーザ）から事前に同意を取ること。なお、個別同意の取得が技術的に困難な場
合、ならびに準備期間においては、外部送信に関する詳細を記載したページ等を通じた包括的な同意の取得を行うこと。
3. ウェブブラウザを通じたデバイスロケーションデータの取得の際は、利用者への確認機会の付与を提供すること。
4. ウェブブラウザやアプリを介さないWi-Fi等を通じたデバイスロケーションデータの取得の際は、同意の取得が技術的・運用的に不可能な場合は、データ取得の事実について、最大限の認知ができるよう努めること。

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 9

Ver4.0.0

5. 取得したデータを第三者に提供し、提供先で個人データとして取得する場合においては、原則として提供先で事前にユーザから同意を取得しなければならない。
6. 外部送信に関する詳細を記載したページ等を、Webページやアプリを通じて、利用者がいつでも確認・閲覧できる状態にすること。
7. 利用者に対する情報開示や許諾取得においては、利用者が抱く不信感や気持ち悪さといった感情面へ配慮し、気づきやすさ、内容の理解のしやすさの向上に、最大限努めること。
8. ユーザがデータの提供や利活用範囲を選択できる状態を、プライバシー・バイ・デザインの概念に基づき、加盟各社のサービスや技術に即して事前に設計すること。
9. 各社にて必ず、ユーザからの相談や問い合わせのための窓口を設けること。なお、LBMA
Japanにおいても窓口を設置し、業界全体への要望や、各社における対応への苦情等を受けることとする。
※1 外部送信ポリシー、プライバシーポリシー、クッキーポリシー、利用規約等が想定される。
※2 「取得しているデバイスロケーションデータの詳細」例・ 位置情報の種類（基地局情報、GPS位置情報、Wi-Fi位置情報等）
・ 精度、取得頻度、追跡期間
・ 保存期間・ 位置情報に関連付けて利用される他の利用者情報

1-1. スマートデバイス（アプリ）でデータ取得を行う場合(1) 同意取得の画面例（アプリにおけるデバイスロケーションデータ取得開始時）
アプリの初回起動時またはデバイスロケーションデータの取得開始時に、利用者が認識しやすい
ポップアップ形式等を用いて、利用者へ通知し、利用規約やプライバシーポリシー等とは別の形式（個別）で、同意取得を得ること。
以下の例示はあくまで参考として掲載しているものであり、加盟各社のホームページ等には、取得するデータの種類や利活用方法に応じて、実態に即した説明を掲載すること。

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 10

Ver4.0.0※表示順･方法･内容はアプリ運営企業によって異なる(2) 確認機会の付与の画面例（アプリにおけるデバイスロケーションデータ取得開始
時）
アプリの起動時だけでなく、通常の利用時において、利用者にとってのアプリの利用体験（ユーザ
ビリティ）の阻害にならない範囲において、ホーム画面から容易に到達できる場所に外部送信に関する詳細を記載したページへのリンクを表示すること。 （「プライバシーポリシー」や「利用規約」などの他の規約類がリンクされている、既存の利用者が所在を想起しやすい場所に設置すること。）

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 11

Ver4.0.0(3) データ取得・利活用の許諾方法の明示例
デバイスロケーションデータの取得・利活用を許諾する方法として、「モバイル広告識別子の取得・利活用の許諾方法」ならびに「位置情報機能の許諾方法」を具体的に明示することが望ましい。

a.) モバイル広告識別子の取得・利活用の許諾方法
・iOSの場合※iOS16の場合（OSのバージョンにより一部表示の異なる場合あり）

・Androidの場合

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 12

Ver4.0.0※Android12の場合（OSのバージョンや端末メーカーにより、一部表示の異なる場合あり）

b.) 位置情報機能の許諾方法
・iOSの場合※iOS16の場合（OSのバージョンにより一部表示の異なる場合あり）

・Androidの場合※Android12の場合（OSのバージョンや端末メーカーにより、一部表示の異なる場合あり）

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 13

Ver4.0.0

1-2. Webブラウザでデータ取得を行う場合
Webブラウザにアクセスした際のIPアドレス等を通じて、デバイスロケーションデータを利用者の端末から送信する場合は、外部送信規律に関する事項を記載しているページ等を通じて、確認機会の付与を提供する必要がある。なお、外部送信規律に該当する事業者においては、外部送信を行っているどのページからも、1クリック（1タップ）程度の操作でアクセスできるようリンクを配置するな
ど、利用者が容易にアクセス（到達）できるようにする対応が法令上求められる。

1-3. Wi-Fi経由でデータ取得を行う場合
ウェブブラウザやアプリを介さないWi-Fi等を通じたデバイスロケーションデータの取得の際は、同意取得が技術的に不可能な場合は、ユーザーが「＜要旨＞１．①〜⑦」に記載する内容を認知ができるよう、公表等の対応を努めること。

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 14

Ver4.0.0(1) 同意取得のプロセス例(2) 告知事項の記載例

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 15

Ver4.0.0＜電気通信事業法 外部送信規律における留意点＞
デバイスロケーションデータの取得において、ユーザー（利用者）に直接サービス提供を行う事業者（いわゆる1st Party）が外部送信規律の対象事業者に該当する場合、ユーザーに対して「確認機会の付与」が義務付けられている。
本ガイドラインにおいては、外部送信規律の対象事業者であるか否かに関わらず、前述の通り、明
示的な同意取得の推進を求めるものであるが、対象事業者、または、対象事業者を通してデバイスロケーションデータを収集する事業者においては、特に留意する必要がある。

i. 対象事業者
電気通信事業者又は第三号事業を営む者（いずれも電気通信事業を営む者）で、「利用者の利益に及ぼす影響が少なくない電気通信役務」を提供している事業者が対象となる。「利用者の利益に及ぼす影響が少なくない電気通信役務」は、以下のいずれかの電気通信役務のうち、ブラウザやアプリケー
ションを通じて提供されているものが該当する（電気通信事業法施行規則第22条の2の27）。
(1)利用者間のメッセージ媒介等（同条第1号）(2)SNS、電子掲示版、動画共有サービス、オンラインショッピングモール等（同条第2号）(3)オンライン検索サービス（同条第3号）(4)ニュース配信、気象情報配信、動画配信、地図等の各種情報のオンライン提供（同条第4号）

ii. 確認機会の付与「確認機会の付与」とは、デバイスロケーションデータ等の利用者に関する情報を、利用者が保有するスマートデバイスなどの端末の外部に送信している事実（送信先・送信情報・送信目的等）を「通知」
または「利用者が用に知り得る状態に置くこと（公表）」である。例外として、一定の要件を満たした「同意取得」「オプトアウト」で代替することが可能である。
また、確認機会の付与にあたっては、専門用語を極力使わず、わかりやすく平易な表現を用いて公表することが求められている。

iii. 具体的な対応① アプリ・Web等のサービス提供事業者（いわゆる1st Party）の対応
ユーザー（利用者）に直接サービス提供を行う事業者（いわゆる1st Party）は、利用者への「確認機会の付与（通知または公表）」が必須である。なお、[本章1-1]で示す「同意取得」は、外部送信規律で規定される「同意取得」の対応として有効である。

② SDKやタグ等の提供事業者（いわゆる3rd Party）の対応
サービス提供事業者（いわゆる1st Party）へSDKやタグ等の情報送信指令モジュールの提供を通じて、デバイスロケーションデータの取得を行う事業者（いわゆる3rd Party）は、サービス提供事業者に対して、外部送信規律への適切な対応を周知することが望ましい。
また、サービス提供事業者が利用者へ開示するための、適切な情報を提供することが有効で
ある。
（参考例）
Google Inc / 電気通信事業法27条の12に基づく通知・公表のための参考情報（事業者向け）
https://business.safety.google/intl/ja/tba-jp/

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 16

Ver4.0.0（参考）外部送信規律に準じた事業者の対応イメージ

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 17

Ver4.0.0

2. データ管理時
データ取得事業者、またはデータ活用事業者がデバイスロケーションデータを取り扱う際は、データが漏えい等した場合のリスクを考慮し、必要かつ適切な措置を行うこと。

＜要旨＞
デバイスロケーションデータは機密性の高いデータであるという認識のもと、適切な管理を講ずること。

2-1. 安全管理措置
データ取得事業者、またはデータ活用事業者が、スマートデバイスから取得されたデバイスロケー
ションデータ、または、デバイスロケーションデータを加工したデータを取り扱う場合、その取り扱う
データの漏洩・滅失または毀損の防止や、他のデータと容易に照合することができ、それにより特定の個人を識別されることがないよう対策をするなど、データの安全管理のために必要かつ適切な措置を講ずること。

2-2. 従業者の監督
データ取得事業者、またはデータ活用事業者が、その従業者にデータを取り扱わせるにあたっては、当該データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行うとともに、定期的な教育を施すこと。

2-3. 委託先の監督
データ取得事業者、またはデータ活用事業者が、デバイスロケーションデータ、あるいはデバイスロケーションデータを加工したデータの全部または一部の取扱いを委託する場合は、その取扱いを委託されたデータの安全管理が図られるよう、委託を受けたものに対する必要かつ適切な監督を行うこと。

(1) 適切な委託先の選定
委託先の選定にあたっては、委託先の安全管理措置、または利活用方針が、共通ガイドラインで委託元に求められるものと同等であることを確認しなければならない。また、委託する業務内容に沿って必要となる共通ガイドラインの項目が確実に実施されるよう、あらかじめ同意を得ること。

(2) 委託契約の締結
委託契約には、当該データの取り扱いに関する必要かつ適切な安全管理措置として、委託元、委託先双方が同意した内容とともに、委託先における委託されたデータの取扱状況を、委託元が合理的に把握する主旨を盛り込むことが望ましい。

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 18

Ver4.0.0(3) 委託先におけるデータ取扱状況の把握
委託先における委託されたデータの取扱状況を把握するためには、委託元が定期的に監査等を行うことにより、業務契約で盛り込んだ内容の実施の程度を調査した上で、委託の内容等の見直しを検討するなどの、適切な対処をすることが望ましい。
また、委託先が再委託を行おうとする場合は、委託を行う場合と同様、委託元は、委託先が再委託する相手方、再委託する業務内容、再委託先のデータの取り扱い方法等について、委託先から事前報告を受けて承認をおこなうこと、及び委託先を通じて、または必要に応じて自らが、適切に監査を実施すること等により、委託先が再委託先に対して本条の委託先管理監督を適切に果たすこと、及び再委託先が安全管理措置を講ずることを十分に確認することが望ましい。再委託先が再々委託を行う場合も同様である。

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 19Ver4.0.0

3. データ利活用時
データ取得事業者、またはデータ活用事業者はデバイスロケーションデータの利活用を行う際、プライバシー侵害、不当な差別、偏見その他の不利益が生じる等の懸念が生じる可能性があるため、利活用には十分な注意を払わなければならない。
なお、個人情報と関連付けられる等した位置情報等のデータ、または、一般的な判断力を前提とす
れば、個人データとして取得することが想定できる場合には、個人情報として扱わなければならない
ため、個人情報保護法を遵守した取扱いを行うこと（第2章を参照のこと）。ただし、データ提供先との契約等において、データ提供先が提供を受けたデバイスロケーションデータ等の個人関連情報を
個人データとして利用しない旨を定めた場合には、原則として、個人関連情報の第三者提供の制限
等において規定される提供先におけるユーザ同意の取得を行う等の措置は不要とする。
また、電気通信事業法に規定される通信の秘密に該当するデータを取り扱う場合、あるいは加盟
企業が電気通信事業者である場合には、「電気通信事業における個人情報等の保護に関するガイド
ライン」に従うこと。

＜要旨＞

1. 個人情報との関連付けを原則として禁止。
2. 他のデータと容易に照合することができ、それにより特定の個人を識別できることとなる状態での利活用を原則として禁止。
3. 特定の個人を識別しようとする行為を原則として禁止。
4. 機微の高いセグメント作成や意味合いを得る利活用の禁止。
5. 通信の秘密に該当する位置情報の取り扱いを禁止。

3-1. 位置情報広告(1) 概要位置情報広告とは、データ取得事業者から提供されたデバイスロケーションデータをもとに、データ活用事業者が作成したセグメントに対して、最適な広告を配信する手法のこと。主に、デバイスロケーションデータの検知場所をもとに配信するエリアターゲティングと、蓄積した検知履歴をもとに趣味嗜好を推定したオーディエンスターゲティングがある。

例）位置情報広告のセグメント
種別

セグメント名称

定義

エリア型

渋谷駅リアルタイム

渋谷駅半径100ｍ以内で「今」検知されている

オーディエンス型

八王子市在住者

直近3ヶ月間、夜間帯に八王子市で最多検知

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 20

Ver4.0.0

渋谷駅通勤者

渋谷駅半径200m以内に平日週3日以上検知

スポーツ好き

直近1ヶ月以内にジムやスポーツ用品店で検知

大学生

直近1ヶ月以内に大学付近で10日以上検知(2) 利活用基準【禁止事項】●●

生存する個人に関する情報であって、当該情報に含まれる記述等により特定の個人を識別することができるもの（個人情報）との関連付けを禁止。
一般社会通念上、倫理面の懸念がありうる以下の目的によるデバイスロケーションデータの活用を禁止。
a. 要配慮個人情報に定められた情報を推定する目的…不当な差別、偏見その他の不利益が生じないように取扱いに配慮を要する情報として、個
人情報保護法、同法施行令、同法施行規則に定められた情報。（人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実、身体障害・知的障害・精神障害等の障害があること、 健康診断その他の検査の結果、保健指導、診療・調剤情報、本人を被疑者又は被告人として、逮捕・捜索等の刑事事件に関する手続が行われたこと、本人を非行少年又はその疑いがある者として、保護処分等の少年の保護事件に関する手続が行われたこと。）
b. 一般社会通念上、他者に知られたくないサービスの利用を推定する目的…健康状態や性的指向、妊娠、中絶、中毒性等を連想させる分析など。
c. 人の生死に関連するサービスの訪問履歴を推定する目的…葬儀社、葬儀場など。

●

通信の秘密に該当する位置情報を取得・利活用することを禁止する。

【注意・遵守事項】●●●

各社において、特定の個人が識別される可能性を排除する基準を設け、その運用を担保すること。
セグメントに対するクリエイティブ（ウェブページやアプリなどのデジタル環境において、画像や動画などの形式でユーザに表示する広告表現のこと）の組み合わせにあたっては、位置情報の利活用に対する個人の感情に配慮をすること。
その他、一般社団法人 日本インタラクティブ広告協会(JIAA)が規定する「行動ターゲティン
グ広告におけるガイドライン」へ準拠すること。

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 21

Ver4.0.0

3-2. 統計･分析(1) 概要統計･分析とは、データ取得事業者から取得したデバイスロケーションデータをもとに、データ活用事業者が作成する統計情報や分析レポートのこと。統計情報のため、提供するレポート内の項目に広告識別子は含まれない。
例）統計･分析のユースケース

ユースケース

内容

商圏分析

指定したエリアに来訪したと思われるユーザを統計的に集計した上で、属性情報（デモグラ・ペルソナなど）や日時などの切り口で分析したレポート

自社店舗来店分析来店したと思われるユーザを統計的に集計した上で、属性情報（デモグラ・
ペルソナなど）や日時などの切り口で分析したレポート

店内行動分析

店舗内のユーザ導線を統計的に集計した上で、属性情報（デモグラ・ペルソ
ナなど）や日時などの切り口で分析したレポート

地点間移動分析

複数地点を移動したと思われるユーザを統計的に集計した上で、属性情報（デモグラ・ペルソナなど）や日時などの切り口で分析したレポート

指定店舗併用分析

自社店舗と指定店舗それぞれ、または両方に来店したと思われるユーザを統計的に集計した上で、属性情報（デモグラ・ペルソナなど）や日時などの切り口で分析したレポート(2) 利活用基準【禁止事項】●●●

デバイスロケーションデータを個人関連情報として取り扱う場合は、特定の個人を識別することができるものと関連付けをしない。
デバイスロケーションデータを第三者に提供する場合において、第三者が個人情報と関連づけるなど個人データとして取得することが想定される場合には、個人情報保護法において規定される提供先におけるユーザ同意の取得を確認する等の措置を講ずること。（「第2章4-7. 個人関連情報の提供」を参照のこと）
一般社会通念上、倫理面の懸念がありうる以下の目的によるデバイスロケーションデータの活用を禁止。
a. 要配慮個人情報等に定められた情報を推定する目的…不当な差別、偏見その他の不利益が生じないように取扱いに配慮を要する情報として、個
人情報保護法、同法施行令、同法施行規則に定められた情報。（人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実、身体障害・知的障害・精神障害等の障害があること、 健康診断その他の検査の結果、保健指導、診療・調剤情報、本人を被疑者又は被告人として、逮捕・捜索等の刑事事件に関する手続が行われたこと、本人を非行少年又はその疑いがある者として、保護処分等の少年の保護事件に関する手続が行われたこと。）

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 22

Ver4.0.0
b. 一般社会通念上、他者に知られたくないサービスの利用を推定する目的…健康状態や性的指向、妊娠、中絶、中毒性等を連想させる分析など。
c. 人の生死に関連するサービスの訪問履歴を推定する目的…葬儀社、葬儀場など。
●

通信の秘密に該当する位置情報を取得・利活用することを禁止する。

【注意・遵守事項】●●

各社において、特定の個人が識別される可能性を排除する基準を設け、その運用を担保すること。
第三者に情報を提供する際は、特定の個人が識別されることのないよう、契約等で制限を課すこと。

3-3. データ提供(1) 概要データ提供とは、データ取得事業者またはデータ活用事業者がデバイスロケーションデータ
や、デバイスロケーションデータを加工したデータを提供すること。
デバイスロケーションデータを個人関連情報として提供する場合は、提供先において個人デー
タとして取り扱わないことを確認すること。
なお、提供先において個人情報と関連づけるなど個人データとして取り扱うことが想定される場合には、個人情報保護法において規定される提供先におけるユーザ同意の取得を確認す
る措置を講ずること。（「第2章 4-7. 個人関連情報の提供」を参照のこと）
ただし、データ提供先との契約において、データ提供先が提供を受けたデバイスロケーション
データ等の個人関連情報を個人データとして利用しない旨を定めた場合には、個人情報保護法に規定される、提供先におけるユーザ同意の取得を行う等の措置は不要である。
例）データ提供におけるユースケース
ユースケース内容

広告配信（リスト配信） データ提供先企業が、各種媒体にモバイル広告識別子を含む配信対象のリストをインポートすることで、ターゲティング広告を配信すること
位置情報定性調査

指定された位置情報をもとに、調査を行うこと

研究開発活用

学術機関や研究機関における研究･開発の推進のために、データを提供すること(2) 利活用基準
データ取得事業者またはデータ活用事業者は、業務委託先またはデータ提供先に 3-1または
3-2と同等の条件を遵守させること。

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 23Ver4.0.0

3-4. その他●●

デバイスロケーションデータを取得した際に副次的に得られる、OS情報等の各種データについても、デバイスロケーションデータに準じた取り扱いを行うよう努めること。
共通ガイドラインに定める以外の目的でデータの利活用を行う場合は、共通ガイドラインに記載の内容だけでなく、関連法規等を遵守したうえで、十分なプロセスを踏襲すること。

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 24Ver4.0.0

第2章：個人情報を扱う場合
位置情報等のデータを個人データベースと連携させることを前提として取得する場合等、特定の個人が識別できる状態で利活用を行う場合においては、いわゆる個人情報（データベース化されたものについては個人データ）と同様の取り扱いが行われなければならない。
本章では、位置情報等のデータを個人情報として取り扱う際の主な留意事項について集約している。なお、個人情報の取扱いについては必ず、各社において法務部門や顧問弁護士等に確認すること。

＜個人情報として扱う場合の規制＞

1. データ取得時
個人情報を取得する、あるいは個人情報との関連づけを前提として位置情報等のデータを取得する際には、利用目的を具体的に特定し、ユーザ本人に対して分かりやすく「通知・公表」を行う義務が課せられる。また、第三者提供を行う場合や、要配慮個人情報を取得する場合等は、「同意取得」が必要になるケースがある。そのため、法令の要件を満たしていることを弁護士へ確認の上、適正な対応を行うこと。

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 25

Ver4.0.0

1-1. 利用目的の特定●●●取得したデータの利用目的をできるだけ、具体的に特定すること。どのような事業において、何を目的として利用されるかが、ユーザ本人に分かるように特定されなければならない。

悪い例「弊社サービスをご利用いただくために必要です」「広告配信に利用します」

良い例「（サービス名）におけるお客さまの本人確認や不正防止のために利用します」「（サービス名）におけるお得なキャンペーン等の情報をお届けするために活用します」

本人の関心や行動を分析する、いわゆるプロファイリングを行う場合は、分析処理を行うことも含めて利用目的を特定すること。

悪い例「広告配信に利用します」

良い例「位置情報を含む取得したデータを分析して、お客さまの興味・関心に応じた広告を配信するために活用します」

利用目的を偽るなどしてデータを取得してはならない。

1-2. 通知・公表●●

利用目的を、情報の取得に際して速やかに本人に通知・公表すること。事前にウェブサイト等
で、プライバシーポリシー等を通じて公表することで代替できる。
ウェブサイトに利用目的を掲載する場合、公表しているとみなされるためには、トップページ
から1回程度の操作で閲覧できる場所に掲載しなければならない。

1-3. 同意の取得
●
●
●

●

データを第三者に提供する際は、原則として第三者への提供前に本人の同意を得ること。
要配慮個人情報を取得する際は、必ずあらかじめ本人の同意を得ること。
同意を取得している目的の達成に必要な範囲を超えて個人情報を取り扱う場合は、変更前の利用目的との関連性が合理的に認められるときを除いて、改めて同意を取得しなければならない。
十分な判断能力を有していない人物（例：十分な判断能力を有していない子ども）から取得
した同意は、同意とみなされない。

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 26

Ver4.0.0

2. データ利用時
データ取得時に通知・公表した利用目的の達成に必要な範囲を超えて、本人の同意なくデータを取り扱ってはならない。

2-1. 目的外での利用●●

データの取得後にその活用方法に変更が生じる場合は、新たな活用方法が、データ取得時にユーザに通知・公表した利用目的の範囲内にあるかを検討すること。
同意を取得している目的の達成に必要な範囲を超えて個人情報を利用する場合は、原則として、改めてユーザからの同意を取得しなければならない。

2-2. 本人同意が不要となるケース●

変更前の利用目的との関連性が合理的に認められる場合には、本人同意を得なくとも、利用目的を変更できることがある。

＜ユーザ同意の必要有無のチェックフロー＞●

利用目的の変更可否については、個別の事例ごとに慎重な判断を行うこと。

3. データ保管時
データを正確かつ最新に保つとともに、漏えい・滅失・毀損（以下、漏えい等）防止のための安全管理措置を講じること。

3-1. 安全管理措置●●

安全管理措置には、データの適正な取り扱いを確保するための基本方針を策定した上で、規律を整備し、組織的・人的・物理的・技術的な安全管理措置を講じるとともに、外的環境を把握することが含まれる。
データの安全管理が図られるように、従業者や委託先を監督すること。

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 27

Ver4.0.0●

安全管理措置は事業規模や事業の性質、保有するデータの性質や量、保存媒体等に起因するリスクに応じて実施されなければならない。

3-2. 個人情報の漏えい等が生じた場合の対応
個人情報、または特定の個人を識別できる位置情報等のデータが漏えい等した際は、以下の対応を取らなければならない。

＜法的義務＞❖ 個人情報保護委員会への報告を行うこと❖ 本人に対して、漏えい等のあったことを通知すること※委員会への報告や本人への通知義務については、以下に記載する①〜④の個人の権利・利益を害するおそれが大きい場合にのみ必要となる。
①要配慮個人情報の漏えい等②財産的被害が発生するおそれのあるデータの漏えい等③不正の目的を持って行われたデータの漏えい等④個人データに係る本人の数が1,000人を超えるデータの漏えい等

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 28Ver4.0.0■個人情報保護委員会への報告
個人情報保護委員会への報告は、速報と確報の２段階に分けて実施すること。速報は、漏えい等を知った時点より概ね３〜５日以内に、当該時点で把握している内容を報告するものである。確報は、漏えい等を知った時点より３０日以内（サイバー攻撃等の不正な行為による場
合は６０日以内）に、以下の９点を報告するものである。
①概要②データの項目③本人の数④原因⑤二次被害またはそのおそれの有無および内容⑥本人への対応の実施状況⑦公表の実施状況⑧再発防止のための措置⑨その他参考となる事項
ただし、合理的努力を尽くしたものの、すべての事項を報告することができない場合は、確報を行った後に追完することも可能である。

■本人への通知
本人への通知は、本人に分かりやすい形式で、状況に応じて速やかに行われなけばならな
い。なお、本人のためにならず、かえって混乱を生じるような場合は、その時点では通知をしなくてもよいものとする。
本人への通知事項は、当該本人の権利利益を保護するために必要な範囲における、以下の5
点である。
①概要
②データの項目③原因④二次被害またはそのおそれの有無および内容⑤その他参考となる事項■その他、必要に応じて講じなければならない措置
●
●
●
●
●

事業者内部における報告および被害の拡大防止
事実関係の調査および原因の究明
影響範囲の特定再発防止策の検討および実施
事実関係および再発防止策の公表

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 29Ver4.0.0※公表については義務ではないが、本人の連絡先が変更されてしまっている等、本人への通知が困難な場合においては、事実の公表と問い合わせ窓口の設置により、本人が自らのデータが対象になっているか否かを確認できるようにすることが、代替措置として認められている。

＜LBMA Japan加盟企業としての義務＞
LBMA Japanにおいても事態の把握および再発防止策の検討等を行うため、加盟企業は
個人情報保護委員会への報告を行った後、当該企業の過度な負担とならない範囲で、
LBMA Japanにも共有を行うこと。

4. データ提供時
データを第三者に提供するにあたっては、原則として提供の前に本人の同意を得ること。データの種類や提供先により、対応すべき事項が異なることに注意しなければならない。

4-1. 同意の取得●●●

データを第三者に提供する際は、「4-2. 同意の取得が不要な場合」ならびに「4-3. 第三者
提供とみなされない場合」に記載のケースを除いては、提供の前に本人の同意を得なければならない。
データを第三者提供する場合、第三者へ提供することが利用目的の範囲内でなければならないため、利用目的の範囲内でない場合は、目的外利用の同意も取得すること。
データの取得時に想定される第三者提供については、第三者提供について記載のあるプラ
イバシーポリシー等を通じて包括的な同意を取得することで、同意を取得したとみなすことができる。

4-2. 同意の取得が不要なケース＜例外事由＞
以下のケースにおいては例外的に、本人の同意の取得が不要となる。
○ 法令に基づく場合○ 人の生命や身体または財産の保護のために必要で、本人の同意を得ることが困難
な場合○ 児童の健全な育成や公衆衛生のために必要で、本人の同意を得ることが困難な場
合○ 国の機関等への協力のために必要で、本人の同意を得ることでその目的の達成に支障を及ぼすおそれのある場合○ 学術研究のために必要で、個人の権利を不当に侵害するおそれのない場合

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 30

Ver4.0.0＜オプトアウトによる第三者提供＞
以下の条件を満たす場合においてのみ、事前の同意の取得が不要となる。
○ 必要事項をあらかじめ本人に通知、あるいは容易に知ることのできる状態においた上で、個人情報保護委員会に届け出を行ったときは、本人の要求で第三者提供を停止することを条件に、本人の事前同意なしの第三者提供が可能となる。
○ 本人への通知・公表ならびに個人情報保護委員会への届け出を行った後、本人が提供の停止を求めるために必要な期間を設定した上で、第三者への提供を開始すること。
○ 本人から第三者提供の停止を求められた場合は、以後の提供を無条件で停止すること。（すでに提供済みのデータについての回収は求められない。）○ 要配慮個人情報や不正取得されたデータについては、オプトアウトによる提供はできない。
※ ただし、たとえばA社→B社→C社の順で個人データが提供される場合、A社→B社間でオプトアウトによる第三者提供の行われた場合には、B社→C社間ではオプトアウトによる第三者提供はできません。

4-3. 第三者提供とみなされないケース
データを提供する事業者と密接な関係を有し、一体と考えられる者は「第三者」には該当しないため、その者へのデータ提供は「第三者提供」には該当しない。
第三者に該当しない例としては、同一法人の本社と支社の他、利用目的の達成に必要な範囲内で、データの取り扱いを委託された委託先、データを共同利用するグループ企業や親子会社などが挙げ
られる。

＜委託＞
○

○

委託とは、本来は自らが行う業務を委託することであり、データの利用目的の範囲内でなければならない。また、委託先は委託された業務以外の目的で、委託された
データを利用することはできない。
データを委託する際は、委託先に対して必要かつ適切な監督を行うこと。適切な委託先を選定し、必要かつ適切な安全管理措置が行われる旨を盛り込んだ委託契約を締結するとともに、定期的な監査等を通じて、委託先におけるデータの取扱状況を把握しなければならない。
委託先が再委託を行う場合、委託元は、委託先が再委託先に対して適切な監督を行っているかを、自ら確認することが望ましい。

○＜共同利用＞○○

データを共同利用する者を、一体の者と合理的に考えられる場合においてのみ、共同利用が認められる。
共同利用を開始するまでに、共同利用するデータの種類や共同利用先等の必要事項
をプライバシーポリシー等を通じて本人に通知、または本人が容易に知ることのできる状態に置いている場合、共同利用先は「第三者」に該当しない。

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 31Ver4.0.0○○

本人に通知、または本人が容易に知ることのできる状態に置いている範囲において、本人の同意なくデータを共同利用先に提供できる。
共同利用先について本人に通知する場合、個々の事業者名までを挙げる必要はな
いものの、本人がどの事業者まで利用されるか判断できるようにしなければならな
い。

4-4. 要配慮個人情報と関連づけられたデータの提供
要配慮個人情報その他の機微性の高い情報（金融機関等の定める「機微情報」等）と関連付けられた
位置情報等のデータについては、取り扱いに一層の注意を払うこと。
● 要配慮個人情報は例外事由となるケースを除いて本人の事前同意なく取得することができないため、ユーザ本人から事前に同意を取得すること。なお、要配慮個人情報を含むデータの取得時における本人同意取得の例外事由については、「4-2. 同意の取得が不要なケース」の＜例外事由＞に記した内容に、以下の3点が追加される。
○ 本人や国の機関、報道機関等により公開されている場合○ 本人を目視・撮影することにより、その外見上明らかな要配慮個人情報を取得する
場合○ 委託や事業継承、共同利用にともなう取得において提供を受けるとき● 要配慮個人情報を含むデータについては、いわゆるオプトアウト方式による第三者提供はできない。
● 要配慮個人情報が含まれるデータに漏えい等、そのおそれが生じた場合は、1人分のデータであっても個人情報保護委員会に報告を行うとともに、本人に通知すること。

4-5. 外国の第三者への提供（越境移転）
データを外国にある第三者に提供（越境移転）する場合は、原則として、第三者提供への同意とともに、越境移転に対する同意を取得しなければならない。また、同意の取得に先立ち、移転先の国におけるデータ保護のための規制等に関する情報を提供すること。

＜越境移転に対する同意の不要となるケース＞
以下のケースにおいては、越境移転に関する同意の取得が不要となる。（オプトアウト、委託、共同利
用の方法をとることで、提供についての本人同意も不要となる。）○ 外国にある第三者が、日本と同水準の個人情報保護制度を有している国（2019年
1月23日時点における欧州経済領域協定に規定された国及び英国）にある場合。
○ 当該第三者との間で、データの取り扱いについて、契約やプライバシーポリシー等を通じて、日本の個人情報保護法に基づき求められる措置の実施が確保されている（相当措置を実施するための体制が整備されている）場合。ただし、提供先が継続的に相当措置を実施できるための対策を取ることや、ユーザ本人の求めに応じて必要な情報を提供する等の義務が生じる。
○ 「4-2. 同意の取得が不要なケース」の＜例外事由＞に記した内容に該当する場合。

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 32Ver4.0.0＜同意取得に先立つ情報提供義務＞
越境移転に対する同意を取得する際は、以下の情報をユーザ本人に提供しなければならない。
○ 移転先の国の名称○ 適切かつ合理的な方法で確認された当該外国の個人情報保護に関する制度に関する情報○ 移転先の第三者が講ずる個人情報の保護のための措置に関する情報※同意取得時に移転先が特定できない場合は、上記の情報に代えて、移転先の特定できない理由や、個人情報の保護に関して参考となる情報を提供しなければならない。

4-6. 確認・記録義務●

データの不正な流通を抑止し、流通経路・過程を把握する「追跡可能性（トレーサビリティ）」の確保を目的として、特定の個人を識別できる位置情報等のデータの第三者提供について、提供先においては確認義務と記録義務、提供元においては記録義務が課せられる。

＜提供先における確認・記録義務の課せられる事項＞
提供を受け
た年月日
本人同意に
よる取得

ー

提供元の
氏名/名称

取得の経緯

◯

◯

本人の
氏名等

データの
項目

個情委に
よる公表

本人の同意

◯

◯

ー

◯

オプトアウトに
よる取得

◯

◯

◯

◯

◯

◯

ー

私人等からの
提供

ー

◯

◯

◯

◯

ー

ー

＜提供元における記録義務の課せられる事項＞
提供した
年月日

提供先の
氏名/名称

本人同意に
よる取得

ー

◯

◯

◯

◯

オプトアウトに
よる取得

◯

◯

◯

◯

ー

●

本人の氏名等

データの項目

本人の同意

記録は、基本的に作成から3年間を保存期間とする。

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 33

Ver4.0.0●●●

第三者提供についての記録は、本人の請求があった場合に開示することを踏まえて作成すること。
提供元・提供先は、互いに相手の記録義務を代行することができる。
提供先が本人の場合や、例外事由に該当する場合においては、確認・記録義務の例外となる。また、提供先が1人分のデータのみを取得して、提供先にとって個人データに該当しないケースや、個人データを閲覧するのみの場合などには、確認・記録義務は課せられない。

※ なお、提供元となる事業者において、本人の氏名等の特定がされていない位置情報等のデータ（個人関連情報）について、提供先の第三者において個人情報と関連付けるなど、個人データに該当する運用を行う場合には、提供元においても記録義務が生じる。（「4-7. 個人関連情報の提供」を参照のこと）ただし、この場合の提供元の記録事項には、本人の氏名等は含まれない。
また、位置情報等のデータに関して、提供元•提供先の双方においてデバイスロケーションデータ
（個人関連情報）として扱う場合には、確認・記録義務の対象にはならない。
参考：個人関連情報が提供先の第三者において個人データ化する際の、提供元における記録義務の課せられる事項
提供した
年月日

提供先の
氏名/名称

◯

◯

個人関連情報の第三者提供時本人の氏名等ー

データの項目

◯

本人の同意

◯

4-7. 個人関連情報の提供
デバイスロケーションデータ等の個人関連情報を第三者に提供し、提供先で個人情報との照合等により個人データとなる場合（想定される場合も含む）においては、特定の個人を識別できる位置情報
等のデータの第三者提供時と同様に、あらかじめユーザ本人の同意を取得しなければならない。

＜同意の取得＞●●●●

ユーザ本人からの同意は、基本はユーサ
゙本人と接点を持ち、データを利用する主体となる提供先で取得することになる。 ただし、提供元が代行することも可能である。
同意を取得する際は、個人データとして取得する主体、対象となるデータの項目、データの利用目的をユーザ本人が認識できるようにすること。
本人が予測できる範囲において包括的な同意を取得することもできるが、クリックする等の行為を通じて、必ず同意を取得しなければならない。
提供先から、ユーザ本人による同意を得ているかについての申告を受ける場合においては、提供元はその申告内容を、一般的な注意力をもって確認すること。

＜個人データとして取得されるとは？＞●

提供先の第三者が位置情報等のデータを個人データとして利用しない場合は、提供先の第三者が保有する個人データとの容易照合性を排除しきれない場合でも、直ちに個人データとして取得することにはならない。

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 34

Ver4.0.0●●

個人データとして取得することが想定される場合というのは、それを現に想定している場
合、または一般人の認識（同種の事業を営む事業者の一般的な判断力・理解力を前提とする認識）を基準として通常想定できる場合を指す。
締結された契約書に、提供先の第三者が個人データとしての利用をしない旨が定められていれば、原則として個人データとして取得することは想定されない。

5. データに関する公表義務・開示等の請求への対応・破棄
事業者は、保有する個人情報、または特定の個人を識別できる位置情報等のデータについて、一定の事項をユーザ本人が知り得る状態におかなければならない。また、ユーザ本人からの求めに応じて、保有する個人情報、または特定の個人を識別できる位置情報等のデータについて速やかに開示等の対応を行うことが義務となるため、各社にて必ず、ユーザからの請求や問い合わせのための窓口を設けること。なお、不要となった個人情報、または特定の個人を識別できる位置情報等のデータ
は、遅滞なく削除するよう努めること。

＜公表義務について＞●●●

事業者は、保有する個人情報、または特定の個人を識別できる位置情報等のデータについて、以下の事項をユーザ本人が知り得る状態におかなければならない。
○ 事業者の氏名または名称および住所（法人の場合は代表者の氏名を追加すること）○ 保有するすべての個人情報、または特定の個人を識別できる位置情報等のデータの利用目的○ 開示等の請求に応じるプロセスや手数料の額○ 保有する個人情報、または特定の個人を識別できる位置情報等のデータの安全管理のために講じた措置○ 苦情の申出先○ 認定個人情報保護団体としてのLBMA Japanの名称ならびに苦情の申出先
ユーザ本人が知り得る状態として、ウェブサイトに設置されたプライバシーポリシー等を通じて公表することが一般的ではあるものの、本人の求めに応じて遅滞なく回答することも含まれる。また、一部の事項については公表し、その他の事項については問い合わせに応じて回答することも可能である。
保有する個人情報、または特定の個人を識別できる位置情報等のデータを外国（外国の支店や営業所、再委託先等を含む第三者、クラウドサービスの利用等を含む）で取り扱っている場合においては、当該外国/地域の名称を公表するとともに、当該データに対する安全管
理措置について公表しなければならない。

＜開示等の請求への対応＞●

ユーザは事業者に対して、自分が識別される個人情報、または特定の個人を識別できる位
置情報等のデータの開示を請求することができる。また、データの内容が事実でないとき
や、本人の同意なく取得・利用・第三者提供等された場合においては、訂正や停止、消去等を

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 35

Ver4.0.0●●●

求めることが可能となる。なお、開示等の請求を行うための具体的な方法は事業者によって定められ、請求者はその方法に従って請求を行うこととなる。
開示請求は法的な請求権であり、事業者が請求を拒否した場合、あるいは開示等の請求が事業者に届いた日から2週間を経過した場合は、訴訟提起の行われることがあるため、速やかに対応すること。
不開示事由（本人や第三者の生命や財産等を害するおそれのある場合や、他の法令に違反することとなる場合等）に該当する、あるいはデータが存在しない等により開示を行わない
場合は、本人に対して遅滞なくその旨を通知すること。
訂正・利用停止・第三者提供の停止等の請求は法的な請求権であるため、請求を受けた場合
においては遅滞なく必要な調査を行うとともに、その結果に基づいて内容の訂正、利用の停止や第三者提供の停止等を行わなければならない。また、内容の訂正、利用の停止や第三者提供の停止等を行ったか否かにかかわらず、遅滞なく本人に通知しなければならない。

＜データの破棄について＞不要となった個人情報、または特定の個人を識別できる位置情報等のデータは、遅滞なく削除するよう努めること。

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 36

Ver4.0.0

ⅰ. 共通ガイドラインの適用範囲
共通ガイドラインは、LBMA Japanの加盟企業、および各加盟企業の従業員が、デバイスロケー
ションデータならびに特定の個人を識別できる位置情報等のデータを取り扱う際の指針を定めたものである。LBMA Japanの加盟企業は、本ガイドラインを指針としつつ、各々の具体的活動に際し、常に、法令や人々の意識、社会の動向に配慮して活動することが望まれる。

ⅱ. 共通ガイドラインに関する審議
共通ガイドラインにて明示されないケースや解釈の難しいケースが発生した際は、LBMA Japan
共通ガイドライン委員会にて審議を行う。

ⅲ. 共通ガイドラインの見直し
位置情報等のデータをとりまく技術の進展や、各国・各地域の法令、人々の生活スタイルや意識の変化を踏まえ、一般消費者、行政、法曹、学術機関等の多様な意見に配慮し、対話・協議を重ねることで共通ガイドラインを不断に見直し、必要に応じて柔軟に改訂する。

ⅳ. 認定個人情報保護団体として
一般社団法人LBMA Japanは認定個人情報保護団体として、スマートデバイスから取得された位
置情報等のデータを取り扱う事業者に対する、指針の策定と公表、苦情処理への取り組みや問題の解決、必要な指導や勧告等の措置、情報の提供など、個人情報等の適正な取扱いの確保を目的とした各種活動を行う。
また、事業者の実態に応じて、法律およびガイドラインに則った事業の運用等を推進するために、事業者の運用実態や課題等の情報を収集し、それを個人情報保護委員会と共有するといった役割を担うこととなる。

（1）苦情の処理「個人情報の保護に関する法律についてのガイドライン（認定個人情報保護団体編）」によれば、「個人情報取扱事業者等の個人情報等の取扱いに関する苦情は、基本的には当事者間で処理すべきものであり、個人情報の取扱いに関する苦情については、法においても個人情報取扱事業者はその処理に努めること」とされているため、ユーザから寄せられた個人情報等の取扱いに関する苦情等については、各社において真摯に向き合い、早期解決に務めること。
一方で、当事者であるがゆえに処理が困難な場合においては、LBMA Japanが認定個人情報保護団体として中立の立場から、苦情申立人と対象事業者の両方に働きかけて、相談への対応や実情の調査、助言等を行うことがある。対象事業者においては、LBMA Japanから説明や資料の提供等を依頼された場合においては、苦情の早期解決を目的として、最大限の協力を行うこと。

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 37

Ver4.0.0（2）指導・勧告
対象事業者が、個人情報として扱われるべき位置情報等のデータの取り扱いにおいて、本共通ガイドラインを遵守しない場合は、LBMA Japanは認定個人情報保護団体として、当該対象事業者に対して指導・勧告を行う。また、度重なる指導・勧告を受けても改善のみられない場合においては、当該対象事業者を加盟から除外することがある。なお、上記の除外等が生じた際には、対象事業者の氏名または名称が公表される。

（3）情報の提供
データの適正な取扱いの確保を実現するためには、データを取り扱う事業者に適切な情報が提供されることが重要であり、特に法やガイドラインのように対象となる事業者が多岐にわたる場合には、民間団体がそれぞれの事業分野に関する専門性を生かして、きめ細かな情報の提供を行っていくことが有効である。
LBMA Japanは、スマートデバイスから取得された位置情報等のデータを取り扱う業界における認定個人情報保護団体として、業界おける各種データの適正な取扱いの確保に寄与するため、加盟企業を中心とした対象事業者に対して、共通ガイドラインや関連する法令の内容、苦情の多いケース
や漏えい等事案の傾向、求められる対策等についての情報提供を行うことを責務ととらえ、セミ
ナーや勉強会、ニュースレター等を通じた情報の提供を行う。
加盟企業においては、LBMA Japanの開催するセミナーや勉強会等に積極的に参加し、社会の動向に配慮するとともに、法やガイドラインの最新の状態を把握することが求められる。また、苦情や漏えい等事案の傾向などの情報については、個人情報保護委員会にも共有し、相互に連携を行うとともに、全体として実効的な個人情報等の適正な取扱いの確保につなげていく。

（4）問い合わせ窓口
苦情の解決や漏えい等、その他LBMA Japanに報告すべきことが生じた場合、および質問や問い合わせ事項に対応するために、LBMA Japanにおいては以下の窓口を設ける。
・問い合わせ窓口：info@lbmajapan.com

一般社団法人LBMA Japan
2020年6月24日 策定･施行
2022年4月1日 改定･施行
2023年5月17日 改定•施行
2023年8月31日 改定•施行

LBMA Japan デバイスロケーションデータ利活用 共通ガイドライン《B. 規程》| 38