指定自動車教習所業における個人情報保護指針

目次
1

目的及び適用対象 ...................................................................................... 3
1-1 目的 ..................................................................................................... 4
1-2 適用対象 .............................................................................................. 5
2 定義 ........................................................................................................... 5
2-1 個人情報（法第 2 条第 1 項関係） ....................................................... 5
2-2 個人識別符号（法第 2 条第 2 項関係）................................................. 7
2-3 要配慮個人情報（法第 2 条第 3 項関係） ........................................... 10
2-4 個人情報データベース等（法第 16 条第 1 項関係） ........................... 12
2-5 個人情報取扱事業者（法第 16 条第 2 項関係） .................................. 13
2-6 個人データ（法第 16 条第 3 項関係） ................................................ 14
2-7 保有個人データ（法第 16 条第 4 項関係） ......................................... 15
2-8 個人関連情報（法第 2 条第 7 項関係）............................................... 16
2-9 個人関連情報取扱事業者（法第 16 条第 7 項関係） ........................... 17
2-10 仮名加工情報（法第 2 条第 5 項関係） ............................................. 18
2-11 仮名加工情報取扱事業者（法第 16 条第 5 項関係）.......................... 19
2-12 匿名加工情報（法第 2 条第 6 項関係） ............................................. 20
2-13 匿名加工情報取扱事業者（法第 16 条第 6 項関係）.......................... 21
2-14 「本人に通知」................................................................................ 22
2-15 「公表」 .......................................................................................... 22
2-16 「本人の同意」................................................................................ 22
2-17 「提供」 .......................................................................................... 23
2-18 学術研究機関等（法第 16 条第 8 項関係） ....................................... 23
2-19 「学術研究目的」 ............................................................................ 24
3 個人情報取扱事業者等の義務 ................................................................... 24
3-1 個人情報の利用目的（法第 17 条・第 18 条、第 21 条第 3 項関係）... 24
3-1-1 利用目的の特定（法第 17 条第 1 項関係） ................................... 24
3-1-2 利用目的の変更（法第 17 条第 2 項、第 21 条第 3 項関係） ......... 26
3-1-3 利用目的による制限（法第 18 条第 1 項関係） ............................ 27
3-1-4 事業の承継（法第 18 条第 2 項関係） .......................................... 27
3-1-5 利用目的による制限の例外（法第 18 条第 3 項関係） .................. 28
3-2 不適正利用の禁止（法第 19 条関係） ................................................ 291

3-3 個人情報の取得（法第 20 条・第 21 条関係） .................................... 31
3-3-1 適正取得（法第 20 条第 1 項関係） ............................................. 31
3-3-2 要配慮個人情報の取得（法第 20 条第 2 項関係） ......................... 32
3-3-3 利用目的の通知又は公表（法第 21 条第 1 項関係） ..................... 35
3-3-4 直接書面等による取得（法第 21 条第 2 項関係） ......................... 35
3-3-5 利用目的の通知等をしなくてよい場合（法第 21 条第 4 項関係） . 37
3-4 個人データの管理（法第 22 条～第 25 条関係） ................................ 38
3-4-1 データ内容の正確性の確保等（法第 22 条関係） ......................... 38
3-4-2 安全管理措置（法第 23 条関係） ................................................. 39
3-4-3 従業者の監督（法第 24 条関係） ................................................. 39
3-4-4 委託先の監督（法第 25 条関係） ................................................. 40
3-5 個人データの漏えい等の報告等（法第 26 条関係）............................ 42
3-5-1 「漏えい等」の考え方 ................................................................. 42
3-5-2 漏えい等事案が発覚した場合に講ずべき措置............................... 44
3-5-3 個人情報保護委員会への報告（法第 26 条第 1 項関係） .............. 45
3-5-4 本人への通知（法第 26 条第 2 項関係）....................................... 52
3-6 個人データの第三者への提供（法第 27 条～第 30 条関係） ............... 55
3-6-1 第三者提供の制限の原則（法第 27 条第 1 項関係） ..................... 55
3-6-2 オプトアウトによる第三者提供（法第 27 条第 2 項～第 4 項関係）............................................................................................................ 56
3-6-3 第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係） ....... 61
3-6-4 外国にある第三者への提供の制限（法第 28 条関係） .................. 66
3-6-5 第三者提供に係る記録の作成等（法第 29 条関係）...................... 69
3-6-6 第三者提供を受ける際の確認等（法第 30 条関係）...................... 78
3-7 個人関連情報の第三者提供の制限等（法第 31 条関係） ..................... 83
3-7-1 法第 31 条の適用の有無について ................................................. 85
3-7-2 本人の同意の取得方法 ................................................................. 86
3-7-3 本人の同意等の確認の方法（法第 31 条第 1 項関係） .................. 87
3-7-4 提供元における記録義務（法第 31 条第 3 項、第 30 条第 3 項関係） ..................................................................................................... 88
3-7-5 提供先の第三者における確認義務（法第 30 条第 1 項関係）........ 88
3-7-6 提供先の第三者における記録義務（法第 30 条第 3 項関係）........ 88
3-8 保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止等（法第 32 条～第 39 条関係） ...................................... 88
3-8-1 保有個人データに関する事項の公表等（法第 32 条関係） ........... 88
3-8-2 保有個人データの開示（法第 33 条第 1 項～第 4 項関係） ........... 952

3-8-3

第三者提供記録の開示（法第 33 条第 5 項、第 1 項～第 3 項関係）............................................................................................................ 98
3-8-4 保有個人データの訂正等（法第 34 条関係） .............................. 101
3-8-5 保有個人データの利用停止等（法第 35 条関係） ....................... 102
3-8-6 理由の説明（法第 36 条関係）................................................... 108
3-8-7 開示等の請求等に応じる手続（法第 37 条関係） ....................... 109
3-8-8 手数料（法第 38 条関係） ......................................................... 112
3-8-9 裁判上の訴えの事前請求（法第 39 条関係） .............................. 113
3-9 個人情報の取扱いに関する苦情処理（法第 40 条関係） ................... 114
3-10 仮名加工情報取扱事業者等の義務（法第 41 条・第 42 条関係） .... 115
3-10-1 仮名加工情報を作成する個人情報取扱事業者の義務等 ............. 115
3-10-2 個人情報である仮名加工情報の取扱いに関する義務等 ............. 117
3-10-3 個人情報でない仮名加工情報の取扱いに関する義務等 ............. 125
3-11 匿名加工情報取扱事業者等の義務（法第 43 条～第 46 条関係） .... 126
3-11-1 匿名加工情報の適正な加工（法第 43 条第 1 項関係） .............. 126
3-11-2 匿名加工情報等の安全管理措置等（法第 43 条第 2 項、第 6 項、第 46 条関係） ................................................................................... 128
3-11-3 匿名加工情報の作成時の公表（法第 43 条第 3 項関係）........... 130
3-11-4 匿名加工情報の第三者提供（法第 43 条第 4 項、第 44 条関係）.......................................................................................................... 132
3-11-5 識別行為の禁止（法第 43 条第 5 項、第 45 条関係） ............... 133
4 「勧告」、「命令」、「緊急命令」等についての考え方 ....................... 135
5 適用除外（法第 57 条関係） .................................................................. 138
6 域外適用（法第 166 条関係） ................................................................ 139
7 （別添）講ずべき安全管理措置の内容 ................................................... 139
7-1 基本方針の策定 ............................................................................... 140
7-2 個人データの取扱いに係る規律の整備 ............................................. 140
7-3 組織的安全管理措置......................................................................... 141
7-4 人的安全管理措置 ............................................................................ 143
7-5 物理的安全管理措置......................................................................... 143
7-6
7-7

技術的安全管理措置......................................................................... 145
外的環境の把握 ............................................................................... 147

1 目的及び適用対象

3

1-1

目的

この指針は、次の法令を踏まえ、指定自動車教習所事業者の個人情報等の適正な取扱いの確保のために、個人情報に係る利用目的の特定、安全管理のための措置、開示等の請求等に応じる手続その他の事項又は仮名加工情報・匿名加
工情報に係る作成の方法、その情報の安全管理のための措置その他の事項に関し、制定したものである。
・ 個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「法」という。）
・ 個人情報の保護に関する法律施行令（平成 15 年政令第 507 号。以下「政令」という。）
・ 個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則
第 3 号。以下「規則」という。）
・ 個人情報の保護に関する法律についてのガイドライン（通則編）（平成 28
年個人情報保護委員会告示第 6 号。以下「ガイドライン（通則編）」という。）
・ 個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）（平成 28 年個人情報保護委員会告示第 7 号。以下「ガイドライン（外国にある第三者への提供編）」という。）
・ 個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）（平成 28 年個人情報保護委員会告示第 8 号。以下「ガイドライン（第三者提供時の確認・記録義務編）」という。）
・ 個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）（平成 28 年個人情報保護委員会告示第 9 号。以下「ガイドライン（仮名加工情報・匿名加工情報編）」という。）
・ 個人情報の保護に関する法律についてのガイドライン（認定個人情報保護団体編）（令和 3 年個人情報保護委員会告示第 7 号）
この指針の中で、「しなければならない」及び「してはならない」と記述している事項については、これらに従わなかった場合、法違反と判断される可能性がある。
一方、「努めなければならない」、「望ましい」等と記述している事項については、これらに従わなかったことをもって直ちに法違反と判断されることはないが（4（「勧告」、「命令」、「緊急命令」等についての考え方）参照）、「個人情報は、個人の人格尊重の理念の下に慎重に取り扱われるべきものであることに鑑み、その適正な取扱いが図られなければならない。」とする法の基
本理念（法第 3 条）を踏まえ、事業者の特性や規模に応じ可能な限り対応する
4

ことが望まれるものである。もっとも、法の目的（法第 1 条）の趣旨に照らして、公益上必要な活動や正当な事業活動等までも制限するものではない。
この指針において記述した具体例は、個人情報の保護に関する法律についてのガイドラインに掲載されている典型的なものを示したものであり、全ての事案を網羅したものでなく、記述した内容に限定する趣旨で記述したものでもない。また、記述した具体例においても、個別ケースによっては別途考慮すべき要素もあり得るので注意を要する。
1-2

適用対象

この指針は、指定自動車教習所を営む者（指定講習機関としての事業並びに都道府県公安委員会の委託を受けた講習及び既得運転者の認定教育の事業を含む。以下「教習所事業者」という。）に適用される。
2 定義
2-1

個人情報（法第 2 条第 1 項関係）

法第 2 条（第 1 項）
1

この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
(1) 当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しく
は電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。次項第 2 号において同じ。）で作られる記録をいう。以下同じ。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）(2) 個人識別符号が含まれるもの「個人情報」とは、生存する「個人に関する情報」 （※1）（※2）であって、「当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ（※3）、それにより特定の個人を識別することができるものを含む。）」（法第 2 条第 1 項第 15号）、又は「個人識別符号（※4）が含まれるもの」（同項第 2 号）をいう。
「個人に関する情報」とは、氏名、住所、性別、生年月日、顔画像等個人を識別する情報に限られず、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化等によって秘匿化されているかどうかを問わない。
【個人情報に該当する事例】
事例 1）本人の氏名
事例 2）生年月日、連絡先（住所・居所・電話番号・メールアドレス）、会社
における職位又は所属に関する情報について、それらと本人の氏名を組み合わせた情報
事例 3）防犯カメラに記録された情報等本人が判別できる映像情報
事例 4）本人の氏名が含まれる等の理由により、特定の個人を識別できる音声
録音情報
事例 5）特定の個人を識別できるメールアドレス（メールアドレスだけの情報の場合であっても、会社に所属する特定の個人のメールアドレスであることが分かるような場合等）
事例 6）個人情報を取得後に当該情報に付加された個人に関する情報（取得時に生存する特定の個人を識別することができなかったとしても、取得後、新
たな情報が付加され、又は照合された結果、生存する特定の個人を識別できる場合は、その時点で個人情報に該当する。）
事例 7）官報、電話帳、職員録、法定開示書類（有価証券報告書等）、新聞、
ホームページ、SNS（ソーシャル・ネットワーク・サービス）等で公にされている特定の個人を識別できる情報（※1）死者に関する情報が、同時に、遺族等の生存する個人に関する情報でもある
場合には、当該生存する個人に関する情報に該当する。
（※2）法人その他の団体は「個人」に該当しないため、法人等の団体そのものに関する情報は「個人情報」に該当しない（ただし、役員、従業員等に関する情報は個人情報に該当する。）。なお、「個人」は日本国民に限らず、外国人も含まれる。
（※3）「他の情報と容易に照合することができ」るとは、事業者の実態に即して個々の事例ごとに判断されるべきであるが、通常の業務における一般的な方法で、他の情報と容易に照合することができる状態をいい、例えば、他の事業者への照会を要する場合等であって照合が困難な状態は、一般に、容易に照合することができない状態であると解される。
6

（※4）個人識別符号については、2-2（個人識別符号）を参照のこと。

2-2

個人識別符号（法第 2 条第 2 項関係）

法第 2 条（第 2 項）
2 この法律において「個人識別符号」とは、次の各号のいずれかに該当する文
字、番号、記号その他の符号のうち、政令で定めるものをいう。
(1) 特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの(2) 個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ、又は個人に発行されるカードその他の書類に記載され、若しくは電磁的方式により記録された文字、番号、記号その他の符号であって、その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され、若しくは記録されることにより、特定の利用者若しくは購入者又は発行を受ける者を識別することができる
もの
政令第 1 条
個人情報の保護に関する法律（以下「法」という。）第 2 条第 2 項の政令で定める文字、番号、記号その他の符号は、次に掲げるものとする。
(1) 次に掲げる身体の特徴のいずれかを電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、特定の個人を識別するに足りるものとして個人情報保護委員会規則で定める基準に適合するもの
イ 細胞から採取されたデオキシリボ核酸（別名 DNA）を構成する塩基の配列
ロ 顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状によって定まる容貌
ハ 虹彩の表面の起伏により形成される線状の模様
ニ 発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化
ホヘ

歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様
手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状
ト 指紋又は掌紋(2) 旅券法（昭和 26 年法律第 267 号）第 6 条第 1 項第 1 号の旅券の番号(3) 国民年金法（昭和 34 年法律第 141 号）第 14 条に規定する基礎年金番号7

(4) 道路交通法（昭和 35 年法律第 105 号）第 93 条第 1 項第 1 号の免許証の番号(5) 住民基本台帳法（昭和 42 年法律第 81 号）第 7 条第 13 号に規定する住民票コード(6) 行政手続における特定の個人を識別するための番号の利用等に関する法
律（平成 25 年法律第 27 号）第 2 条第 5 項に規定する個人番号(7) 次に掲げる証明書にその発行を受ける者ごとに異なるものとなるように記載された個人情報保護委員会規則で定める文字、番号、記号その他の符号
国民健康保険法（昭和 33 年法律第 192 号）第 9 条第 2 項の被保険者証
高齢者の医療の確保に関する法律（昭和 57 年法律第 80 号）第 54 条第3 項の被保険者証
ハ 介護保険法（平成 9 年法律第 123 号）第 12 条第 3 項の被保険者証(8) その他前各号に準ずるものとして個人情報保護委員会規則で定める文字、番号、記号その他の符号
イロ

規則第 2 条
個人情報の保護に関する法律施行令（以下「令」という。）第 1 条第 1 号の個人情報保護委員会規則で定める基準は、特定の個人を識別することができる水準が確保されるよう、適切な範囲を適切な手法により電子計算機の用に供するために変換することとする。
規則第 3 条
令第 1 条第 7 号の個人情報保護委員会規則で定める文字、番号、記号その他の符号は、次の各号に掲げる証明書ごとに、それぞれ当該各号に定めるものとする。
(1) 令第 1 条第 7 号イに掲げる証明書 国民健康保険法（昭和 33 年法律第192 号）第 111 条の 2 第 1 項に規定する保険者番号及び被保険者記号・番
号(2) 令第 1 条第 7 号ロに掲げる証明書 高齢者の医療の確保に関する法律（昭和 57 年法律第 80 号）第 161 条の 2 第 1 項に規定する保険者番号及び被保険者番号(3) 令第 1 条第 7 号ハに掲げる証明書 同号ハに掲げる証明書の番号及び保険者番号
規則第 4 条8

令第 1 条第 8 号の個人情報保護委員会規則で定める文字、番号、記号その他の符号は、次に掲げるものとする。
(1) 健康保険法（大正 11 年法律第 70 号）第 3 条第 11 項に規定する保険者番号及び同条第 12 項に規定する被保険者等記号・番号(2) 船員保険法（昭和 14 年法律第 73 号）第 2 条第 10 項に規定する保険者番号及び同条第 11 項に規定する被保険者等記号・番号(3) 出入国管理及び難民認定法（昭和 26 年政令第 319 号）第 2 条第 5 号に規定する旅券（日本国政府の発行したものを除く。）の番号(4) 出入国管理及び難民認定法第 19 条の 4 第 1 項第 5 号の在留カードの番
号(5) 私立学校教職員共済法（昭和 28 年法律第 245 号）第 45 条第 1 項に規定する保険者番号及び加入者等記号・番号(6) 国家公務員共済組合法（昭和 33 年法律第 128 号）第 112 条の 2 第 1 項に規定する保険者番号及び組合員等記号・番号(7) 地方公務員等共済組合法（昭和 37 年法律第 152 号）第 144 条の 24 の 2
第 1 項に規定する保険者番号及び組合員等記号・番号(8) 雇用保険法施行規則（昭和 50 年労働省令第 3 号）第 10 条第 1 項の雇用保険被保険者証の被保険者番号(9) 日本国との平和条約に基づき日本の国籍を離脱した者等の出入国管理に関する特例法（平成 3 年法律第 71 号）第 8 条第 1 項第 3 号の特別永住者証
明書の番号「個人識別符号」とは、当該情報単体から特定の個人を識別できるものとして政令に定められた文字、番号、記号その他の符号をいい、これに該当するものが含まれる情報は個人情報となる（※）。
具体的な内容は、政令第 1 条及び規則第 2 条から第 4 条までに定めるとおりである。
政令第 1 条第 1 号においては、同号イからトまでに掲げる身体の特徴のいず
れかを電子計算機の用に供するために変換した文字、番号、記号その他の符号のうち、「特定の個人を識別するに足りるものとして個人情報保護委員会規則で定める基準に適合するもの」が個人識別符号に該当するとされている。当該基準は規則第 2 条において定められているところ、この基準に適合し、個人識別符号に該当することとなるものについては、ガイドライン（通則編）2-2 を参照のこと。
（※）「その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるよう9

に」（法第 2 条第 2 項第 2 号）とは、文字、番号、記号その他の符号が利用者等によって異なるようにすることをいう。

2-3

要配慮個人情報（法第 2 条第 3 項関係）

法第 2 条（第 3 項）
3 この法律において「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差
別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。
政令第 2 条
法第 2 条第 3 項の政令で定める記述等は、次に掲げる事項のいずれかを内容とする記述等（本人の病歴又は犯罪の経歴に該当するものを除く。）とする。
(1) 身体障害、知的障害、精神障害（発達障害を含む。）その他の個人情報保護委員会規則で定める心身の機能の障害があること。
(2) 本人に対して医師その他医療に関連する職務に従事する者（次号において「医師等」という。）により行われた疾病の予防及び早期発見のための
健康診断その他の検査（同号において「健康診断等」という。）の結果(3) 健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診
療若しくは調剤が行われたこと。
(4) 本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと。
(5) 本人を少年法（昭和 23 年法律第 168 号）第 3 条第 1 項に規定する少年
又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと。
規則第 5 条
令第 2 条第 1 号の個人情報保護委員会規則で定める心身の機能の障害は、次に掲げる障害とする。
(1) 身体障害者福祉法（昭和 24 年法律第 283 号）別表に掲げる身体上の障
害(2) 知的障害者福祉法（昭和 35 年法律第 37 号）にいう知的障害(3) 精神保健及び精神障害者福祉に関する法律（昭和 25 年法律第 123 号）
10

にいう精神障害（発達障害者支援法（平成 16 年法律第 167 号）第 2 条第 1項に規定する発達障害を含み、前号に掲げるものを除く。）(4) 治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生活及び社会生活を総合的に支援するための法律（平成 17 年法律第 123号）第 4 条第 1 項の政令で定めるものによる障害の程度が同項の厚生労働大臣が定める程度であるもの「要配慮個人情報」とは、不当な差別や偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして次の(1)から(6)及び政令第 2 条で定める記述等が含まれる個人情報をいう。
要配慮個人情報の取得や第三者提供には、原則として本人の同意が必要であり、法第 27 条第 2 項の規定による第三者提供（オプトアウトによる第三者提供）は認められていないので、注意が必要である（3-3-2（要配慮個人情報の取得）、
3-6-1（第三者提供の制限の原則）、3-6-2（オプトアウトによる第三者提供）参照）。また、要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態が生じた場合には、個人情報保護委員会に報告しなければならない（3-5-3（個人情報保護委員会への報告）参照）。
なお、次に掲げる情報を推知させる情報にすぎないもの（例：宗教に関する書籍の購買や貸出しに係る情報等）は、要配慮個人情報には含まない。
(1) 人種人種、世系又は民族的若しくは種族的出身を広く意味する。なお、単純な国籍や「外国人」という情報は法的地位であり、それだけでは人種には含まない。
また、肌の色は、人種を推知させる情報にすぎないため、人種には含まない。
(2) 信条個人の基本的なものの見方、考え方を意味し、思想と信仰の双方を含むものである。
(3) 社会的身分ある個人にその境遇として固着していて、一生の間、自らの力によって容易にそれから脱し得ないような地位を意味し、単なる職業的地位や学歴は含まない。
(4) 病歴
病気に罹患した経歴を意味するもので、特定の病歴を示した部分（例：特定の個人ががんに罹患している、統合失調症を患っている等）が該当する。
(5) 犯罪の経歴
前科、すなわち有罪の判決を受けこれが確定した事実が該当する。
(6) 犯罪により害を被った事実
11

身体的被害、精神的被害及び金銭的被害の別を問わず、犯罪の被害を受けた
事実を意味する。具体的には、刑罰法令に規定される構成要件に該当し得る行
為のうち、刑事事件に関する手続に着手されたものが該当する。
その他、政令第 2 条で定める記述等については、ガイドライン（通則編）2-3
を参照のこと。
2-4

個人情報データベース等（法第 16 条第 1 項関係）

法第 16 条（第 1 項）
1

この章及び第 8 章において「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるもの（利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものを除く。）をいう。
(1) 特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの(2) 前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの

政令第 4 条
1 法第 16 条第 1 項の利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものは、次の各号のいずれにも該当するものとする。
(1) 不特定かつ多数の者に販売することを目的として発行されたものであって、かつ、その発行が法又は法に基づく命令の規定に違反して行われたものでないこと。
(2) 不特定かつ多数の者により随時に購入することができ、又はできたものであること。
(3) 生存する個人に関する他の情報を加えることなくその本来の用途に供しているものであること。
2 法第 16 条第 1 項第 2 号の政令で定めるものは、同項に規定する情報の集合物に含まれる個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成したものであって、目次、索引その他検索を容易にするためのものを有するものをいう。
「個人情報データベース等」とは、特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した、個人情報を含む情報の集合物をいう。また、コンピュータを用いていない場合であっても、紙面で処理した
12

個人情報を一定の規則（例えば、五十音順等）に従って整理・分類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当する。
ただし、政令第 4 条第 1 項各号のいずれにも該当するものは、利用方法からみて個人の権利利益を害するおそれが少ないため、個人情報データベース等には該当しない。
【個人情報データベース等に該当する事例】
事例 1）電子メールソフトに保管されているメールアドレス帳（メールアドレ
スと氏名を組み合わせた情報を入力している場合）
事例 2）インターネットサービスにおいて、ユーザーが利用したサービスに係
るログ情報がユーザーID によって整理され保管されている電子ファイル（ユーザーID と個人情報を容易に照合することができる場合）
事例 3）従業者が、名刺の情報を業務用パソコン（所有者を問わない。）の表計算ソフト等を用いて入力・整理している場合
事例 4）人材派遣会社が登録カードを、氏名の五十音順に整理し、五十音順のインデックスを付してファイルしている場合【個人情報データベース等に該当しない事例】
事例 1）従業者が、自己の名刺入れについて他人が自由に閲覧できる状況に置いていても、他人には容易に検索できない独自の分類方法により名刺を分類した状態である場合
事例 2）アンケートの戻りはがきが、氏名、住所等により分類整理されていな
い状態である場合
事例 3）市販の電話帳、住宅地図、職員録、カーナビゲーションシステム等
2-5

個人情報取扱事業者（法第 16 条第 2 項関係）

法第 16 条（第 2 項）
2 この章及び第 6 章から第 8 章までにおいて「個人情報取扱事業者」とは、個
人情報データベース等を事業の用に供している者をいう。ただし、次に掲げる者を除く。
(1) 国の機関(2) 地方公共団体(3) 独立行政法人等(4) 地方独立行政法人
13

「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者のうち、国の機関、地方公共団体、法第 2 条第 9 項に規定する独立行政法人等（別表第 2 に掲げる法人を除く。）及び法第 2 条第 10 項に規定する地方独立行政法人を除いた者をいう。
ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。
また、個人情報データベース等を事業の用に供している者であれば、当該個人情報データベース等を構成する個人情報によって識別される特定の個人の数の多寡にかかわらず、個人情報取扱事業者に該当する。
なお、法人格のない、権利能力のない社団（任意団体）又は個人であっても、個人情報データベース等を事業の用に供している場合は個人情報取扱事業者に
該当する。
2-6

個人データ（法第 16 条第 3 項関係）

法第 16 条（第 3 項）
3 この章において「個人データ」とは、個人情報データベース等を構成する個
人情報をいう。
「個人データ」とは、個人情報取扱事業者が管理する「個人情報データベー
ス等」を構成する個人情報をいう。
なお、法第 16 条第 1 項及び政令第 4 条第 1 項に基づき、利用方法からみて個人の権利利益を害するおそれが少ないため、個人情報データベース等から除かれているもの（例：市販の電話帳・住宅地図等）を構成する個人情報は、個人データに該当しない（2-4（個人情報データベース等）参照）。
【個人データに該当する事例】
事例 1）個人情報データベース等から外部記録媒体に保存された個人情報
事例 2）個人情報データベース等から紙面に出力された帳票等に印字された個
人情報【個人データに該当しない事例】
事例）個人情報データベース等を構成する前の入力用の帳票等に記載されてい
る個人情報
14

2-7

保有個人データ（法第 16 条第 4 項関係）

法第 16 条（第 4 項）
4 この章において「保有個人データ」とは、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの以外のものをいう。
政令第 5 条
法第 16 条第 4 項の政令で定めるものは、次に掲げるものとする。
(1) 当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの(2) 当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの(3) 当該個人データの存否が明らかになることにより、国の安全が害される
おそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの(4) 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの「保有個人データ」とは、個人情報取扱事業者が、本人又はその代理人から請求される開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止の全て（以下「開示等」という。）に応じることができる権限を有する（※）「個人データ」をいう。
ただし、個人データのうち、次に掲げるものは、「保有個人データ」ではない。
(1) 当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの事例） 家庭内暴力、児童虐待の被害者の支援団体が保有している、加害者（配偶者又は親権者）及び被害者（配偶者又は子）を本人とする個人データ(2) 当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの
15

事例 1）暴力団等の反社会的勢力による不当要求の被害等を防止するために事業者が保有している、当該反社会的勢力に該当する人物を本人とする個人データ
事例 2）不審者や悪質なクレーマー等による不当要求の被害等を防止するために事業者が保有している、当該行為を行った者を本人とする個人データ(3) 当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若し
くは国際機関との交渉上不利益を被るおそれがあるもの
事例 1）製造業者、情報サービス事業者等が保有している、防衛に関連する兵器・設備・機器・ソフトウェア等の設計又は開発の担当者名が記録された、当該担当者を本人とする個人データ
事例 2）要人の訪問先やその警備会社が保有している、当該要人を本人とする
行動予定等の個人データ(4) 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの
事例 1）警察から捜査関係事項照会等がなされることにより初めて取得した個人データ
事例 2）警察から契約者情報等について捜査関係事項照会等を受けた事業者が、その対応の過程で作成した照会受理簿・回答発信簿、照会対象者リスト等の個人データ
事例 3）犯罪による収益の移転防止に関する法律（平成 19 年法律第 22 号）第8 条第 1 項に基づく疑わしい取引（以下「疑わしい取引」という。）の届出の有無及び届出に際して新たに作成した個人データ
事例 4）振り込め詐欺に利用された口座に関する情報に含まれる個人データ（※）開示等の具体的な対応が必要となる場合等については、3-8-2（保有個人デー
タの開示）以降を参照のこと。なお、個人データの取扱いについて、委託等により複数の個人情報取扱事業者が関わる場合には、契約等の実態によって、どの個人情報取扱事業者が開示等に応じる権限を有しているのかについて判断することとなる。

2-8

個人関連情報（法第 2 条第 7 項関係）

法第 2 条（第 7 項）
16

7

この法律において「個人関連情報」とは、生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。

個人関連情報とは、生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。
「個人に関する情報」とは、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報である。「個人に関する情報」のうち、氏名、生年月日その他の記述等により特定の個人を識別することができるものは、個人情報に該当するため、個人関連情報には該当しない。
また、統計情報は、特定の個人との対応関係が排斥されている限りにおいて
は、「個人に関する情報」に該当するものではないため、個人関連情報にも該当しない。
【個人関連情報に該当する事例（※）】
事例 1）Cookie 等の端末識別子を通じて収集された、ある個人のウェブサイ
トの閲覧履歴事例 2）メールアドレスに結び付いた、ある個人の年齢・性別・家族構成等
事例 3）ある個人の商品購買履歴・サービス利用履歴
事例 4）ある個人の位置情報
事例 5）ある個人の興味・関心を示す情報（※）個人情報に該当する場合は、個人関連情報に該当しないことになる。例えば、
一般的に、ある個人の位置情報それ自体のみでは個人情報には該当しないものではあるが、個人に関する位置情報が連続的に蓄積される等して特定の個人を識別することができる場合には、個人情報に該当し、個人関連情報には該当しないことになる。

2-9

個人関連情報取扱事業者（法第 16 条第 7 項関係）

法第 16 条（第 7 項）
7 この章、第 6 章及び第 7 章において「個人関連情報取扱事業者」とは、個人関連情報を含む情報の集合物であって、特定の個人関連情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の個人関連情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第 31 条第 1 項において「個人関連情報データベース等」
17という。）を事業の用に供している者をいう。ただし、第 2 項各号に掲げる者を除く。
政令第 8 条
法第 16 条第 7 項の政令で定めるものは、同項に規定する情報の集合物に含まれる個人関連情報を一定の規則に従って整理することにより特定の個人関連情報を容易に検索することができるように体系的に構成したものであって、目次、索引その他検索を容易にするためのものを有するものをいう。
「個人関連情報取扱事業者」とは、個人関連情報データベース等を事業の用に供している者のうち、国の機関、地方公共団体、法第 2 条第 9 項に規定する独立行政法人等（別表第 2 に掲げる法人を除く。）及び法第 2 条第 10 項に規定する地方独立行政法人を除いた者をいう。
「個人関連情報を含む情報の集合物であって、特定の個人関連情報を電子計
算機を用いて検索することができるように体系的に構成したもの」とは、特定の個人関連情報をコンピュータを用いて検索することができるように体系的に構成した、個人関連情報を含む情報の集合物をいう。また、コンピュータを用いていない場合であっても、紙媒体の個人関連情報を一定の規則に従って整理・分類し、特定の個人関連情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当する。
ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。なお、法人格のない、権利能力のない社団（任意団体）又は個人であっても、個人関連情報データベース等を事業の用に供している場合は、個人関連情報取扱事業者に該当する。
2-10

仮名加工情報（法第 2 条第 5 項関係）

法第 2 条（第 5 項）
5

この法律において「仮名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報をいう。
(1) 第 1 項第 1 号に該当する個人情報 当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有18

しない方法により他の記述等に置き換えることを含む。）。
(2) 第 1 項第 2 号に該当する個人情報 当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
「仮名加工情報」とは、個人情報を、その区分に応じて次に掲げる措置を講じて他の情報と照合しない限り特定の個人を識別することができないように加工して得られる個人に関する情報をいう。
(1) 法第 2 条第 1 項第 1 号に該当する「当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別できるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）」である個人情報の場合
当該個人情報に含まれる記述等の一部を削除すること(2) 法第 2 条第 1 項第 2 号に該当する「個人識別符号が含まれる」個人情報の場合
当該個人情報に含まれる個人識別符号の全部を削除すること（この措置を講じた上で、まだなお法第 2 条第 1 項第 1 号に該当する個人情報であった場合には、同号に該当する個人情報としての加工を行う必要がある。）「削除すること」には、「当該一部の記述等」又は「当該個人識別符号」を「復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む」とされている。「復元することのできる規則性を有しない方法」とは、置き換えた記述等から、置き換える前の特定の個人を識別することとな
る記述等又は個人識別符号の内容を復元することができない方法である。
その他、詳細については、ガイドライン（仮名加工情報・匿名加工情報編）
2-1-1 を参照のこと。
2-11

仮名加工情報取扱事業者（法第 16 条第 5 項関係）

法第 16 条（第 5 項）
5 この章、第 6 章及び第 7 章において「仮名加工情報取扱事業者」とは、仮名加工情報を含む情報の集合物であって、特定の仮名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の仮名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第 41 条第 1 項において「仮名加工情報データベース等」という。）を事業の用に供している者をいう。ただし、第 2 項各号に掲げる
者を除く。
19

政令第 6 条
法第 16 条第 5 項の政令で定めるものは、同項に規定する情報の集合物に含まれる仮名加工情報を一定の規則に従って整理することにより特定の仮名加工情報を容易に検索することができるように体系的に構成したものであって、目次、索引その他検索を容易にするためのものを有するものをいう。
「仮名加工情報取扱事業者」とは、仮名加工情報データベース等を事業の用に供している者のうち、国の機関、地方公共団体、法第 2 条第 9 項に規定する独立行政法人等（別表第 2 に掲げる法人を除く。）及び法第 2 条第 10 項に規定する地方独立行政法人を除いた者をいう。
その他、詳細については、ガイドライン（仮名加工情報・匿名加工情報編）
2-1-2 を参照のこと。
2-12

匿名加工情報（法第 2 条第 6 項関係）

法第 2 条（第 6 項）
6 この法律において「匿名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができな
いように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。
(1) 第 1 項第 1 号に該当する個人情報 当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
(2) 第 1 項第 2 号に該当する個人情報 当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
「匿名加工情報」とは、個人情報を個人情報の区分に応じて定められた措置を講じて特定の個人を識別することができないように加工して得られる個人に関する情報であって、当該個人情報を復元して特定の個人を再識別することができないようにしたものをいう。
法第 2 条第 1 項第 1 号に該当する「当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別できるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）」である個人情報の場合には、「特定の個人を識別することができない
20

ように個人情報を加工」とは、特定の個人を識別することができなくなるように当該個人情報に含まれる氏名、生年月日その他の記述等を削除することを意味する。
法第 2 条第 1 項第 2 号に該当する「個人識別符号が含まれる」個人情報の場
合には、「特定の個人を識別することができないように個人情報を加工」とは、当該個人情報に含まれる個人識別符号の全部を特定の個人を識別することができなくなるように削除することを意味する（この措置を講じた上で、まだなお
法第 2 条第 1 項第 1 号に該当する個人情報であった場合には、同号に該当する
個人情報としての加工を行う必要がある。）。
「削除すること」には、「当該一部の記述等」又は「当該個人識別符号」を「復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む」とされている。「復元することのできる規則性を有しない方法」とは置き換えた記述から、置き換える前の特定の個人を識別することとなる記
述等又は個人識別符号の内容を復元することができない方法である。
その他、詳細については、ガイドライン（仮名加工情報・匿名加工情報編）
3-1-1 を参照のこと。
2-13

匿名加工情報取扱事業者（法第 16 条第 6 項関係）

法第 16 条（第 6 項）
6

この章、第 6 章及び第 7 章において「匿名加工情報取扱事業者」とは、匿名加工情報を含む情報の集合物であって、特定の匿名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の匿名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第 43 条第 1 項において「匿名加工情報データベース等」という。）を事業の用に供している者をいう。ただし、第 2 項各号に掲げる者を除く。

政令第 7 条
法第 16 条第 6 項の政令で定めるものは、同項に規定する情報の集合物に含まれる匿名加工情報を一定の規則に従って整理することにより特定の匿名加
工情報を容易に検索することができるように体系的に構成したものであって、目次、索引その他検索を容易にするためのものを有するものをいう。
「匿名加工情報取扱事業者」とは、匿名加工情報データベース等を事業の用に供している者のうち、国の機関、地方公共団体、法第 2 条第 9 項に規定する
21

独立行政法人等（別表第 2 に掲げる法人を除く。）及び法第 2 条第 10 項に規定する地方独立行政法人を除いた者をいう。
その他、詳細については、ガイドライン（仮名加工情報・匿名加工情報編）
3-1-2 を参照のこと。
2-14「本人に通知」「本人に通知」とは、本人に直接知らしめることをいい、事業の性質及び個
人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。
【本人への通知に該当する事例】
事例 1）ちらし等の文書を直接渡すことにより知らせること。
事例 2）口頭又は自動応答装置等で知らせること。
事例 3）電子メール、FAX 等により送信し、又は文書を郵便等で送付することにより知らせること。
2-15

「公表」

「公表」とは、広く一般に自己の意思を知らせること（不特定多数の人々が知ることができるように発表すること）をいい、公表に当たっては、事業の性質及び個人情報の取扱状況に応じ、合理的かつ適切な方法によらなければならない。
【公表に該当する事例】
事例 1）自社のホームページのトップページから 1 回程度の操作で到達できる場所への掲載事例 2）自社の店舗や事務所等、顧客が訪れることが想定される場所におけるポスター等の掲示、パンフレット等の備置き・配布
事例 3）（通信販売の場合）通信販売用のパンフレット・カタログ等への掲載
2-16「本人の同意」「本人の同意」とは、本人の個人情報が、個人情報取扱事業者によって示された取扱方法で取り扱われることを承諾する旨の当該本人の意思表示をいう（当該本人であることを確認できていることが前提となる。）。
22また、「本人の同意を得（る）」とは、本人の承諾する旨の意思表示を当該
個人情報取扱事業者が認識することをいい、事業の性質及び個人情報の取扱状
況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。
なお、個人情報の取扱いに関して同意したことによって生ずる結果について、
未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力を有していないなどの場合は、親権者や法定代理人等から同意を得る必要がある。
【本人の同意を得ている事例】
事例 1）本人からの同意する旨の口頭による意思表示
事例 2）本人からの同意する旨の書面（電磁的記録を含む。）の受領
事例 3）本人からの同意する旨のメールの受信事例 4）本人による同意する旨の確認欄へのチェック
事例 5）本人による同意する旨のホームページ上のボタンのクリック
事例 6）本人による同意する旨の音声入力、タッチパネルへのタッチ、ボタンやスイッチ等による入力
2-17

「提供」

「提供」とは、個人データ、保有個人データ、個人関連情報、仮名加工情報
又は匿名加工情報（以下この項において「個人データ等」という。）を、自己以外の者が利用可能な状態に置くことをいう。個人データ等が、物理的に提供されていない場合であっても、ネットワーク等を利用することにより、個人デー
タ等を利用できる状態にあれば（利用する権限が与えられていれば）、「提供」
に当たる。
2-18

学術研究機関等（法第 16 条第 8 項関係）

法第 16 条（第 8 項）
8 この章において「学術研究機関等」とは、大学その他の学術研究を目的とす
る機関若しくは団体又はそれらに属する者をいう。
「学術研究機関等（※1）」とは、大学その他の学術研究（※2）を目的とする
機関若しくは団体又はそれらに属する者をいう。
「大学その他の学術研究を目的とする機関若しくは団体」とは、国立・私立
大学、公益法人等の研究所等の学術研究を主たる目的として活動する機関や「学23

会」をいい、「それらに属する者」とは、国立・私立大学の教員、公益法人等の研究所の研究員、学会の会員等をいう。
なお、民間団体付属の研究機関等における研究活動についても、当該機関が学術研究を主たる目的とするものである場合には、「学術研究機関等」に該当する。
一方で、当該機関が単に製品開発を目的としている場合は「学術研究を目的とする機関又は団体」には該当しないが、製品開発と学術研究の目的が併存している場合には、主たる目的により判断する。
（※1）国立の大学等、法別表第 2 に掲げる法人のうち、学術研究機関等にも該当す
るものについては、原則として私立の大学、民間の学術研究機関等と同等の規律が適用される。
（※2）「学術研究」については、2－19（学術研究目的）を参照のこと。

2-19「学術研究目的」

法第 18 条（第 3 項第 5 号）
(5) 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下この章において「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
「学術」とは、人文・社会科学及び自然科学並びにそれらの応用の研究であり、あらゆる学問分野における研究活動及びその所産としての知識・方法の体系をいい、具体的活動としての「学術研究」としては、新しい法則や原理の発見、分析や方法論の確立、新しい知識やその応用法の体系化、先端的な学問領域の開拓などをいう。
なお、製品開発を目的として個人情報を取り扱う場合は、当該活動は、学術研究目的とは解されない。
3 個人情報取扱事業者等の義務
3-1

個人情報の利用目的（法第 17 条・第 18 条、第 21 条第 3 項関係）

3-1-1

利用目的の特定（法第 17 条第 1 項関係）24

法第 17 条（第 1 項）
1 個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。
教習所事業者は、個人情報を取り扱うに当たっては、利用目的をできる限り
具体的に特定しなければならないが、利用目的の特定に当たっては、利用目的
を単に抽象的、一般的に特定するのではなく、個人情報が教習所事業者において、最終的にどのような事業の用に供され、どのような目的で個人情報を利用されるのかが、本人にとって一般的かつ合理的に想定できる程度に具体的に特定することが望ましい（※1）（※2）。
なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的の特定に当たっては、その旨が明確に分かるよう特定しなければならない（3-6-1（第三者提供の制限の原則）参照）。
【具体的に利用目的を特定している事例】
事例）事業者が商品の販売に伴い、個人から氏名・住所・メールアドレス等を取得するに当たり、「○○事業における商品の発送、関連するアフターサー
ビス、新商品・サービスに関する情報のお知らせのために利用いたします。」
等の利用目的を明示している場合【具体的に利用目的を特定していない事例】
事例 1）「事業活動に用いるため」
事例 2）「マーケティング活動に用いるため」（※1）「利用目的の特定」の趣旨は、個人情報を取り扱う者が、個人情報がどのような事業の用に供され、どのような目的で利用されるかについて明確な認識を持ち、できるだけ具体的に明確にすることにより、個人情報が取り扱われる範囲を確定するとともに、本人の予測を可能とすることである。
本人が、自らの個人情報がどのように取り扱われることとなるか、利用目的から合理的に予測・想定できないような場合は、この趣旨に沿ってできる限り利用目的を特定したことにはならない。
例えば、本人から得た情報から、本人に関する行動・関心等の情報を分析する
場合、個人情報取扱事業者は、どのような取扱いが行われているかを本人が予測・想定できる程度に利用目的を特定しなければならない。
【本人から得た情報から、行動・関心等の情報を分析する場合に具体的に利用目的を特定している事例】
25

事例 1）「取得した閲覧履歴や購買履歴等の情報を分析して、趣味・嗜好に応じた新商品・サービスに関する広告のために利用いたします。」
事例 2）「取得した行動履歴等の情報を分析し、信用スコアを算出した上で、当該スコアを第三者へ提供いたします。」（※2）（定款等に規定されている事業の内容に照らして、個人情報によって識別される本人からみて、自分の個人情報が利用される範囲が合理的に予想できる程度に特定されている場合や業種を明示することで利用目的の範囲が想定される場合には、これで足りるとされることもあり得るが、多くの場合、業種の明示だけでは利用目的をできる限り具体的に特定したことにはならないと解される。なお、利用目
的の特定に当たり「○○事業」のように事業を明示する場合についても、社会通念
上、本人からみてその特定に資すると認められる範囲に特定することが望ましい。
また、単に「事業活動」、「お客様のサービスの向上」等のように抽象的、一般的な内容を利用目的とすることは、できる限り具体的に特定したことにはならないと解される。

3-1-2

利用目的の変更（法第 17 条第 2 項、第 21 条第 3 項関係）

法第 17 条（第 2 項）
2 個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。
法第 21 条（第 3 項）
3 個人情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
上記 3-1-1（利用目的の特定）により特定した利用目的は、変更前の利用目的と関連性を有すると合理的に認められる範囲、すなわち、変更後の利用目的が変更前の利用目的からみて、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内（※1）で変更することは可能である。変更された利用目的
は、本人に通知（※2）するか、又は公表（※3）しなければならない。
（※1）「本人が通常予期し得る限度と客観的に認められる範囲」とは、本人の主観や事業者の恣意的な判断によるものではなく、一般人の判断において、当初の利用目的と変更後の利用目的を比較して予期できる範囲をいい、当初特定した利用目的とどの程度の関連性を有するかを総合的に勘案して判断される。
（※2）「本人に通知」については、2-14（本人に通知）を参照のこと。
26

（※3）「公表」については、2-15（公表）を参照のこと。

3-1-3

利用目的による制限（法第 18 条第 1 項関係）

法第 18 条（第 1 項）
1 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
教習所事業者は、法第 17 条第 1 項により特定した利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合は、あらかじめ本人の同意（※）を得なけ
ればならない。
ただし、当該同意を得るために個人情報を利用すること（メールの送信や電話をかけること等）は、当初特定した利用目的として記載されていない場合でも、目的外利用には該当しない。
（※）「本人の同意」については、2-16（本人の同意）を参照のこと。

3-1-4

事業の承継（法第 18 条第 2 項関係）

法第 18 条（第 2 項）
2 個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
教習所事業者が、合併、分社化、事業譲渡等により他の個人情報取扱事業者
から事業の承継をすることに伴って個人情報を取得した場合であって、当該個人情報に係る承継前の利用目的の達成に必要な範囲内で取り扱う場合は目的外
利用にはならず、本人の同意（※）を得る必要はない。
なお、事業の承継後に、承継前の利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合は、あらかじめ本人の同意を得る必要があるが、当該同意を得るために個人情報を利用すること（メールの送信や電話をかけること等）
は、承継前の利用目的として記載されていない場合でも、目的外利用には該当
しない。

27

（※）「本人の同意」については、2-16（本人の同意）を参照のこと。

3-1-5

利用目的による制限の例外（法第 18 条第 3 項関係）

次に掲げる場合については、法第 18 条第 1 項及び第 2 項において、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うに当たり本人の同意（※）を得ることが求められる場合であっても、当該同意は不要である。
（※）「本人の同意」については、2-16（本人の同意）を参照のこと。

(1) 法令に基づく場合（法第 18 条第 3 項第 1 号関係）
事例 1）警察の捜査関係事項照会に対応する場合（刑事訴訟法（昭和 23 年法律第 131 号）第 197 条第 2 項）
事例 2）裁判官の発する令状に基づく捜査に対応する場合（刑事訴訟法第 218条）
事例 3）税務署の所得税等に関する調査に対応する場合（国税通則法（昭和37 年法律第 66 号）第 74 条の 2 他）
事例 4）弁護士会からの照会に対応する場合（弁護士法（昭和 24 年法律第 205号）第 23 条の 2）
事例 5）保健所が行う積極的疫学調査に対応する場合（感染症の予防及び感染症の患者に対する医療に関する法律（平成 10 年法律第 114 号）第 15 条第１項）(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（法第 18 条第 3 項第 2 号関係）
事例 1）急病その他の事態が生じたときに、本人について、その血液型や家族の連絡先等を医師や看護師に提供する場合
事例 2）大規模災害や事故等の緊急時に、被災者情報・負傷者情報等を家族、行政機関、地方自治体等に提供する場合
事例 3）事業者間において、暴力団等の反社会的勢力情報、振り込め詐欺に利用された口座に関する情報、意図的に業務妨害を行う者の情報について共有する場合
事例 4）商品に重大な欠陥があり人の生命、身体又は財産の保護が必要となる
ような緊急時に、製造事業者から顧客情報の提供を求められ、これに応じる必要がある場合
事例 5）不正送金等の金融犯罪被害の事実に関する情報を、関連する犯罪被害28

の防止のために、他の事業者に提供する場合(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（法第 18 条第 3 項第 3 号
関係）事例 1）健康保険組合等の保険者等が実施する健康診断の結果等に係る情報を、
健康増進施策の立案、保健事業の効果の向上、疫学調査等に利用する場合
事例 2）児童生徒の不登校や不良行為等について、児童相談所、学校、医療機関等の関係機関が連携して対応するために、当該関係機関等の間で当該児童生徒の情報を交換する場合
事例 3）児童虐待のおそれのある家庭情報を、児童相談所、警察、学校、病院等が共有する必要がある場合(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して、事業者が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（法第 18 条第 3 項第 4 号関係）
事例 1）事業者が税務署又は税関の職員等の任意の求めに応じて個人情報を提出する場合
事例 2）事業者が警察の任意の求めに応じて個人情報を提出する場合
事例 3）一般統計調査や地方公共団体が行う統計調査に回答する場合(5） 学術研究機関等に個人データを提供する場合であって、当該学術研究機関
等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（法第 18 条第 3 項第 6 号
関係）
3-2

不適正利用の禁止（法第 19 条関係）

法第 19 条
個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。
教習所事業者は、違法又は不当な行為（※1）を助長し、又は誘発するおそれ（※2）がある方法により個人情報を利用してはならない。
29

【個人情報取扱事業者が違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例】
事例 1）違法な行為を営むことが疑われる事業者（例：貸金業登録を行っていない貸金業者等）からの突然の接触による本人の平穏な生活を送る権利の侵害等、当該事業者の違法な行為を助長するおそれが想定されるにもかかわらず、当該事業者に当該本人の個人情報を提供する場合
事例 2）裁判所による公告等により散在的に公開されている個人情報（例：官報に掲載される破産者情報）を、当該個人情報に係る本人に対する違法な差別が、不特定多数の者によって誘発されるおそれがあることが予見できるにもかかわらず、それを集約してデータベース化し、インターネット上で公開する場合
事例 3）暴力団員により行われる暴力的要求行為等の不当な行為や総会屋による不当な要求を助長し、又は誘発するおそれが予見できるにもかかわらず、事業者間で共有している暴力団員等に該当する人物を本人とする個人情報や、不当要求による被害を防止するために必要な業務を行う各事業者の責任者の名簿等を、みだりに開示し、又は暴力団等に対しその存在を明らかにする場合
事例 4）個人情報を提供した場合、提供先において法第 27 条第 1 項に違反す
る第三者提供がなされることを予見できるにもかかわらず、当該提供先に対して、個人情報を提供する場合
事例 5）採用選考を通じて個人情報を取得した事業者が、性別、国籍等の特定の属性のみにより、正当な理由なく本人に対する違法な差別的取扱いを行う
ために、個人情報を利用する場合（※1）「違法又は不当な行為」とは、法（個人情報の保護に関する法律）その他の法令に違反する行為、及び直ちに違法とはいえないものの、法（個人情報の保護に関する法律）その他の法令の制度趣旨又は公序良俗に反する等、社会通念上適正とは認められない行為をいう。
（※2 ）「おそれ」の有無は、個人情報取扱事業者による個人情報の利用が、違法又は不当な行為を助長又は誘発することについて、社会通念上蓋然性が認められるか否かにより判断される。この判断に当たっては、個人情報の利用方法等の客観的な事情に加えて、個人情報の利用時点における個人情報取扱事業者の認識及び予見可
能性も踏まえる必要がある。例えば、個人情報取扱事業者が第三者に個人情報を提供した場合において、当該第三者が当該個人情報を違法な行為に用いた場合であっても、当該第三者が当該個人情報の取得目的を偽っていた等、当該個人情報の提供
30

の時点において、提供した個人情報が違法に利用されることについて、当該個人情報取扱事業者が一般的な注意力をもってしても予見できない状況であった場合には、「おそれ」は認められないと解される。

3-3

個人情報の取得（法第 20 条・第 21 条関係）

3-3-1

適正取得（法第 20 条第 1 項関係）

法第 20 条（第 1 項）
1

個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。

教習所事業者は、偽り等の不正の手段により個人情報を取得（※1）してはならない（※2）。
【個人情報取扱事業者が不正の手段により個人情報を取得している事例】

事例 1）十分な判断能力を有していない子供や障害者から、取得状況から考えて関係のない家族の収入事情などの家族の個人情報を、家族の同意なく取得する場合
事例 2）法第 27 条第 1 項に規定する第三者提供制限違反をするよう強要して個人情報を取得する場合
事例 3）個人情報を取得する主体や利用目的等について、意図的に虚偽の情報を示して、本人から個人情報を取得する場合
事例 4）他の事業者に指示して不正の手段で個人情報を取得させ、当該他の事業者から個人情報を取得する場合
事例 5）法第 27 条第 1 項に規定する第三者提供制限違反がされようとしていることを知り、又は容易に知ることができるにもかかわらず、個人情報を取得する場合
事例 6）不正の手段で個人情報が取得されたことを知り、又は容易に知ることができるにもかかわらず、当該個人情報を取得する場合（※1）個人情報を含む情報がインターネット等により公にされている場合であって、単にこれを閲覧するにすぎず、転記等を行わない場合は、個人情報を取得しているとは解されない。
（※2）個人情報取扱事業者若しくはその従業者又はこれらであった者が、その業務に関して取り扱った個人情報データベース等（その全部又は一部を複製し、又は加31工したものを含む。）を自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、法第 174 条により刑事罰（1 年以下の懲役又は 50 万円以下の罰金）が科され得る。

3-3-2

要配慮個人情報の取得（法第 20 条第 2 項関係）

法第 20 条（第 2 項）
2 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
(1) 法令に基づく場合(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場
合であって、本人の同意を得ることが困難であるとき。
(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(5)・(6) （略）(7) 当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関
等、第 57 条第 1 項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合(8) その他前各号に掲げる場合に準ずるものとして政令で定める場合
規則第 6 条
法第 20 条第 2 項第 7 号の個人情報保護委員会規則で定める者は、次の各号のいずれかに該当する者とする。
(1) 外国政府、外国の政府機関、外国の地方公共団体又は国際機関(2) 外国において法第 16 条第 8 項に規定する学術研究機関等に相当する者(3) 外国において法第 57 条第 1 項各号に掲げる者に相当する者
政令第 9 条
法第 20 条第 2 項第 8 号の政令で定める場合は、次に掲げる場合とする。
(1) 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個
人情報を取得する場合(2) 法第 27 条第 5 項各号（法第 41 条第 6 項の規定により読み替えて適用する場合及び法第 42 条第 2 項において読み替えて準用する場合を含む。）
32

に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき。
要配慮個人情報（※1）を取得する場合には、あらかじめ本人の同意（※2）を得なければならない。ただし、次の（1）から（7）までに掲げる場合については、本人の同意を得る必要はない。
(1) 法令に基づく場合（法第 20 条第 2 項第 1 号関係）事例）個人情報取扱事業者が、労働安全衛生法に基づき健康診断を実施し、これにより従業員の身体状況、病状、治療等の情報を健康診断実施機関から取得する場合(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（法第 20 条第 2 項第 2 号関係）
事例 1）急病その他の事態が生じたときに、本人の病歴等を医師や看護師が家族から聴取する場合
事例 2）事業者間において、不正対策等のために、暴力団等の反社会的勢力情報、意図的に業務妨害を行う者の情報のうち、過去に業務妨害罪で逮捕された事実等の情報について共有する場合
事例 3）不正送金等の金融犯罪被害の事実に関する情報を、関連する犯罪被害の防止のために、他の事業者から取得する場合(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（法第 20 条第 2 項第 3 号
関係）事例 1）健康保険組合等の保険者等が実施する健康診断等の結果判明した病名等について、健康増進施策の立案や保健事業の効果の向上を目的として疫学調査等のために提供を受けて取得する場合
事例 2）児童生徒の不登校や不良行為等について、児童相談所、学校、医療機関等の関係機関が連携して対応するために、ある関係機関において、他の関係機関から当該児童生徒の保護事件に関する手続が行われた情報を取得する場合
事例 3）児童虐待のおそれのある家庭情報のうち被害を被った事実に係る情報を、児童相談所、警察、学校、病院等の関係機関が、他の関係機関から取得
する場合

33

(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して、事業者が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（法第 20 条第 2 項第 4 号関係）事例）事業者が警察の任意の求めに応じて要配慮個人情報に該当する個人情報を提出するために、当該個人情報を取得する場合(5) 当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、
法第 57 条第 1 項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合（法第 20 条第 2 項第 7 号、規則第 6 条関係）
(6) 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合（法第 20 条第 2 項第 8 号、政令第 9 条第 1 号関係）事例）身体の不自由な方が店舗に来店し、対応した店員がその旨をお客様対応
録等に記録した場合（目視による取得）や、身体の不自由な方の様子が店舗に設置された防犯カメラに映りこんだ場合（撮影による取得）(7) 法第 27 条第 5 項各号（法第 41 条第 6 項の規定により読み替えて適用する場合及び法第 42 条第 2 項において読み替えて準用する場合を含む。）に掲
げる場合において、個人データである要配慮個人情報の提供を受けるとき（法第 20 条第 2 項第 8 号、政令第 9 条第 2 号関係）
【法第 20 条第 2 項に違反している事例】
本人の同意を得ることなく、法第 20 条第 2 項第 7 号及び規則第 6 条で定める者以外がインターネット上で公開している情報から本人の信条や犯罪歴等に関する情報を取得し、既に保有している当該本人に関する情報の一部として自己のデータベース等に登録すること。
（※1）「要配慮個人情報」については、2-3（要配慮個人情報）を参照のこと。なお、
要配慮個人情報の第三者提供には、原則として本人の同意が必要であり、オプトア
ウトによる第三者提供は認められていないので、注意が必要である（3-6-1（第三者提供の制限の原則）、3-6-2（オプトアウトによる第三者提供）参照）。
（※2）「本人の同意」については、2-16（本人の同意）を参照のこと。なお、個人情報取扱事業者が要配慮個人情報を書面又は口頭等により本人から適正に直接取得する場合は、本人が当該情報を提供したことをもって、当該個人情報取扱事業者
が当該情報を取得することについて本人の同意があったものと解される。
34

また、個人情報取扱事業者が要配慮個人情報を第三者提供の方法により取得した
場合、提供元が法第 20 条第 2 項及び法第 27 条第 1 項に基づいて本人から必要な同意（要配慮個人情報の取得及び第三者提供に関する同意）を取得していることが前提となるため、提供を受けた当該個人情報取扱事業者が、改めて本人から法第20 条第 2 項に基づく同意を得る必要はないものと解される。

3-3-3

利用目的の通知又は公表（法第 21 条第 1 項関係）

法第 21 条（第 1 項）
1

個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

教習所事業者は、個人情報を取得する場合は、あらかじめその利用目的を公表（※1）していることが望ましい。公表していない場合は、取得後速やかに、その利用目的を、本人に通知（※2）するか、又は公表しなければならない。
【本人への通知又は公表が必要な事例】
事例 1）インターネット上で本人が自発的に公にしている個人情報を取得した
場合（単に閲覧しただけの場合を除く。）
事例 2）インターネット、官報、職員録等から個人情報を取得した場合（単に閲覧しただけの場合を除く。）
事例 3）個人情報の第三者提供を受けた場合（※1）「公表」については、2-15（公表）を参照のこと。
（※2）「本人に通知」については、2-14（本人に通知）を参照のこと。

3-3-4

直接書面等による取得（法第 21 条第 2 項関係）

法第 21 条（第 2 項）
2

個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、
本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。
35

教習所事業者は、契約書や懸賞応募はがき等の書面等による記載、ユーザー
入力画面への打ち込み等の電磁的記録により、直接本人から個人情報を取得する場合には、あらかじめ、本人に対し、その利用目的を明示（※）しなければならない。
なお、名刺などは、一般の慣行として、自身の個人情報を、本人の自発的な意思で、任意の簡便な形式により相手に提供するものであり、申込書、アンケー
ト調査票、懸賞応募はがき等のように、個人情報取扱事業者が一定の書式や様式を準備した上で、本人が当該事業者の求めに沿う形で個人情報を提供する場
合とは異なることから、本項の義務を課するものではないが、その場合は法第21 条第 1 項に基づいて、あらかじめ利用目的を公表するか、取得後速やかに、その利用目的を、本人に通知するか、又は公表しなければならない（ただし、3-3-5（利用目的の通知等をしなくてよい場合）参照）。口頭により個人情報を取得する場合についても同様である。
また、人（法人を含む。）の生命、身体又は財産の保護のために緊急に必要がある場合は、あらかじめ、本人に対し、その利用目的を明示する必要はない
が、その場合は法第 21 条第 1 項に基づいて、取得後速やかにその利用目的を、本人に通知し、又は公表しなければならない（3-3-3（利用目的の通知又は公表）
参照）。
【あらかじめ、本人に対し、その利用目的を明示しなければならない事例】
事例 1）本人の個人情報が記載された申込書・契約書等を本人から直接取得する場合
事例 2）アンケートに記載された個人情報を直接本人から取得する場合
事例 3）自社が主催するキャンペーンへの参加希望者が、参加申込みのために
自社のホームページの入力画面に入力した個人情報を直接本人から取得す
る場合【利用目的の明示に該当する事例】
事例 1）利用目的を明記した契約書その他の書面を相手方である本人に手渡し、又は送付する場合
なお、契約約款又は利用条件等の書面（電磁的記録を含む。）中に利用目的条項を記載する場合は、例えば、裏面約款に利用目的が記載されていることを伝える、又は裏面約款等に記載されている利用目的条項を表面にも記載
し、かつ、社会通念上、本人が認識できる場所及び文字の大きさで記載する等、本人が実際に利用目的を確認できるよう留意することが望ましい。
36

事例 2）ネットワーク上において、利用目的を、本人がアクセスした自社のホームページ上に明示し、又は本人の端末装置上に表示する場合
なお、ネットワーク上において個人情報を取得する場合は、本人が送信ボ
タン等をクリックする前等にその利用目的（利用目的の内容が示された画面に 1 回程度の操作でページ遷移するよう設定したリンクやボタンを含む。）
が本人の目に留まるようその配置に留意することが望ましい。
（※）「本人に対し、その利用目的を明示」とは、本人に対し、その利用目的を明確に示すことをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法による必要がある。

3-3-5

利用目的の通知等をしなくてよい場合（法第 21 条第 4 項関係）

次に掲げる場合については、法第 21 条第 1 項から第 3 項までにおいて利用目的の本人への通知（※1）、公表（※2）又は明示（※3）（以下この項において「利用目的の通知等」という。）が求められる場合であっても、当該利用目的の通知等は不要である。
(1) 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（法第 21 条第 4 項第1 号関係）
事例）児童虐待等に対応するために、児童相談所、学校、医療機関等の関係機関において、ネットワークを組んで対応する場合に、加害者である本人に対して当該本人の個人情報の利用目的を通知・公表することにより、虐待を悪化させたり、虐待への対応に支障等が生じたりするおそれがある場合(2) 利用目的を本人に通知し、又は公表することにより事業者の権利又は正当な利益を害するおそれがある場合（法第 21 条第 4 項第 2 号関係）事例）暴力団等の反社会的勢力情報、疑わしい取引の届出の対象情報、業務妨害行為を行う悪質者情報等を、本人又は他の事業者等から取得したことが明らかになることにより、当該情報を取得した企業に害が及ぶ場合(3) 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき（法第 21 条第 4 項
第 3 号関係）
37事例）警察が、公開手配を行わないで、被疑者に関する個人情報を、被疑者の立ち回りが予想される個人情報取扱事業者に限って提供した場合において、警察から当該個人情報を受け取った当該個人情報取扱事業者が、利用目的を本人に通知し、又は公表することにより、捜査活動に支障を及ぼすおそれがある場合(4) 取得の状況からみて利用目的が明らかであると認められる場合（法第 21 条
第 4 項第 4 号関係）
事例 1）商品・サービス等を販売・提供するに当たって住所・電話番号等の個
人情報を取得する場合で、その利用目的が当該商品・サービス等の販売・提供のみを確実に行うためという利用目的であるような場合
事例 2）一般の慣行として名刺を交換する場合、直接本人から、氏名・所属・
肩書・連絡先等の個人情報を取得することとなるが、その利用目的が今後の連絡や、所属する会社の広告宣伝のための冊子や電子メールを送付するという利用目的であるような場合（※1）本人への「通知」については、2-14（本人に通知）を参照のこと。
（※2）「公表」については、2-15（公表）を参照のこと。
（※3）「明示」については、3-3-4（直接書面等による取得）を参照のこと。

3-4

個人データの管理（法第 22 条～第 25 条関係）

3-4-1

データ内容の正確性の確保等（法第 22 条関係）

法第 22 条
個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人デー
タを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、
当該個人データを遅滞なく消去するよう努めなければならない。
教習所事業者は、利用目的の達成に必要な範囲内において、個人情報データ
ベース等への個人情報の入力時の照合・確認の手続の整備、誤り等を発見した
場合の訂正等の手続の整備、記録事項の更新、保存期間の設定等を行うことにより、個人データを正確かつ最新の内容に保つよう努めなければならない。
なお、保有する個人データを一律に又は常に最新化する必要はなく、それぞれの利用目的に応じて、その必要な範囲内で正確性・最新性を確保すれば足りる。
38

また、教習所事業者は、保有する個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等は、当該個人データを遅滞なく消去するよう努めなければならない（※）。なお、法令の定めにより保存期間等が定められている場合は、この限りではない。
【個人データについて利用する必要がなくなったときに該当する事例】
事例）キャンペーンの懸賞品送付のため、当該キャンペーンの応募者の個人データを保有していたところ、懸賞品の発送が終わり、不着対応等のための合理的な期間が経過した場合（※）「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む。

3-4-2

安全管理措置（法第 23 条関係）

法第 23 条
個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
教習所事業者は、その取り扱う個人データの漏えい、滅失又は毀損（以下「漏えい等」という。）の防止その他の個人データの安全管理のため、必要かつ適切な措置を講じなければならないが、当該措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、
個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人デー
タを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容としなければならない。具体的に講じなければならない措置や当該措置を実践す
るための手法の例等については、「7（（別添）講ずべき安全管理措置の内容）」を参照のこと。
3-4-3

従業者の監督（法第 24 条関係）

法第 24 条39

個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要
かつ適切な監督を行わなければならない。
教習所事業者は、その従業者に個人データを取り扱わせるに当たって、法第23 条に基づく安全管理措置を遵守させるよう、当該従業者に対し必要かつ適切な監督をしなければならない。その際、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に起因するリスクに応じて、個人データを取り扱う従業者に対する教育、研修等の内容及び頻度を充実させるなど、必要かつ適切な措置を講ずることが望ましい。
「従業者」とは、教習所事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者等をいい、雇用関係にある従業員（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、取締役、執行役、理事、監査役、監事、派遣社員等も含まれる。
【従業者に対して必要かつ適切な監督を行っていない事例】
事例 1）従業者が、個人データの安全管理措置を定める規程等に従って業務を行っていることを確認しなかった結果、個人データが漏えいした場合
事例 2）内部規程等に違反して個人データが入ったノート型パソコン又は外部記録媒体が繰り返し持ち出されていたにもかかわらず、その行為を放置した
結果、当該パソコン又は当該記録媒体が紛失し、個人データが漏えいした場
合3-4-4

委託先の監督（法第 25 条関係）

法第 25 条
個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場
合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
教習所事業者は、個人データの取扱いの全部又は一部を委託（※1）する場合
は、委託を受けた者（以下「委託先」という。）において当該個人データについて安全管理措置が適切に講じられるよう、委託先に対し必要かつ適切な監督をしなければならない。具体的には、教習所事業者は、法第 23 条に基づき自らが講ずべき安全管理措置と同等の措置が講じられるよう、監督を行うものとす40

る（※2）。
その際、委託する業務内容に対して必要のない個人データを提供しないようにすることは当然のこととして、取扱いを委託する個人データの内容を踏まえ、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質、個人データの取扱状況（取り扱う個人デー
タの性質及び量を含む。）等に起因するリスクに応じて、次の（1）から（3）までに掲げる必要かつ適切な措置を講じなければならない（※3）。
(1) 適切な委託先の選定
委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第 23 条
及びこの指針で委託元に求められるものと同等であることを確認するため、「7（（別添）講ずべき安全管理措置の内容）」に定める各項目が、委託する業務
内容に沿って、確実に実施されることについて、あらかじめ確認しなければならない。
(2) 委託契約の締結
委託契約には、当該個人データの取扱いに関する、必要かつ適切な安全管理措置として、委託元、委託先双方が同意した内容とともに、委託先における委託された個人データの取扱状況を委託元が合理的に把握することを盛り込むことが望ましい。
(3) 委託先における個人データ取扱状況の把握
委託先における委託された個人データの取扱状況を把握するためには、定期的に監査を行う等により、委託契約で盛り込んだ内容の実施の程度を調査した上で、委託の内容等の見直しを検討することを含め、適切に評価することが望ましい。
また、委託先が再委託を行おうとする場合は、委託を行う場合と同様、委託元は、委託先が再委託する相手方、再委託する業務内容、再委託先の個人デー
タの取扱方法等について、委託先から事前報告を受け又は承認を行うこと、及び委託先を通じて又は必要に応じて自らが、定期的に監査を実施すること等により、委託先が再委託先に対して本条の委託先の監督を適切に果たすこと、及び再委託先が法第 23 条に基づく安全管理措置を講ずることを十分に確認することが望ましい（※4）。再委託先が再々委託を行う場合以降も、再委託を行う場
合と同様である。
【委託を受けた者に対して必要かつ適切な監督を行っていない事例】
41

事例 1）個人データの安全管理措置の状況を契約締結時及びそれ以後も適宜把握せず外部の事業者に委託した結果、委託先が個人データを漏えいした場合
事例 2）個人データの取扱いに関して必要な安全管理措置の内容を委託先に指示しなかった結果、委託先が個人データを漏えいした場合
事例 3）再委託の条件に関する指示を委託先に行わず、かつ委託先の個人デー
タの取扱状況の確認を怠り、委託先が個人データの処理を再委託した結果、当該再委託先が個人データを漏えいした場合
事例 4）契約の中に、委託元は委託先による再委託の実施状況を把握することが盛り込まれているにもかかわらず、委託先に対して再委託に関する報告を求めるなどの必要な措置を行わず、委託元の認知しない再委託が行われた結果、当該再委託先が個人データを漏えいした場合（※1）「個人データの取扱いの委託」とは、契約の形態・種類を問わず、個人情報取扱事業者が他の者に個人データの取扱いを行わせることをいう。具体的には、個
人データの入力（本人からの取得を含む。）、編集、分析、出力等の処理を行うことを委託すること等が想定される。
（※2）委託元が法第 23 条が求める水準を超える高い水準の安全管理措置を講じている場合に、委託先に対してもこれと同等の措置を求める趣旨ではなく、法律上は、委託先は、法第 23 条が求める水準の安全管理措置を講じれば足りると解される。
（※3）委託先の選定や委託先における個人データ取扱状況の把握に当たっては、取扱いを委託する個人データの内容や規模に応じて適切な方法をとる必要があるが、例えば、必要に応じて個人データを取り扱う場所に赴く又はこれに代わる合理的な方法（口頭による確認を含む。）により確認することが考えられる。
（※4）委託元が委託先について「必要かつ適切な監督」を行っていない場合で、委託先が再委託をした際に、再委託先が不適切な取扱いを行ったときは、元の委託元による法違反と判断され得るので、再委託をする場合は注意を要する。

3-5

個人データの漏えい等の報告等（法第 26 条関係）

3-5-1

「漏えい等」の考え方

3-5-1-1「漏えい」の考え方

個人データの「漏えい」とは、個人データが外部に流出することをいう。
【個人データの漏えいに該当する事例】
42

事例 1）個人データが記載された書類を第三者に誤送付した場合
事例 2）個人データを含むメールを第三者に誤送信した場合
事例 3）システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となっていた場合
事例 4）個人データが記載又は記録された書類・媒体等が盗難された場合
事例 5）不正アクセス等により第三者に個人データを含む情報が窃取された場
合
なお、個人データを第三者に閲覧されないうちに全てを回収した場合は、漏えいに該当しない。また、個人情報取扱事業者が自らの意図に基づき個人デー
タを第三者に提供する場合（※）は、漏えいに該当しない。
（※）個人情報取扱事業者は、個人データの第三者への提供に当たり、原則としてあらかじめ本人の同意を取得する必要がある。

3-5-1-2「滅失」の考え方

個人データの「滅失」とは、個人データの内容が失われることをいう。
【個人データの滅失に該当する事例】
事例 1）個人情報データベース等から出力された氏名等が記載された帳票等を誤って廃棄した場合（※1）
事例 2）個人データが記載又は記録された書類・媒体等を社内で紛失した場合（※2）

なお、上記の場合であっても、その内容と同じデータが他に保管されている場合は、滅失に該当しない。また、個人情報取扱事業者が合理的な理由により個人データを削除する場合は、滅失に該当しない。
（※1）当該帳票等が適切に廃棄されていない場合には、個人データの漏えいに該当する場合がある。
（※2）社外に流出した場合には、個人データの漏えいに該当する。

3-5-1-3「毀損」の考え方

個人データの「毀損」とは、個人データの内容が意図しない形で変更される
43

ことや、内容を保ちつつも利用不能な状態となることをいう。
【個人データの毀損に該当する事例】
事例 1）個人データの内容が改ざんされた場合
事例 2）暗号化処理された個人データの復元キーを喪失したことにより復元できなくなった場合
事例 3）ランサムウェア等により個人データが暗号化され、復元できなくなった場合（※）
なお、上記事例 2）及び事例 3）の場合であっても、その内容と同じデータが他に保管されている場合は毀損に該当しない。
（※）同時に個人データが窃取された場合には、個人データの漏えいにも該当する。

3-5-2

漏えい等事案が発覚した場合に講ずべき措置

教習所事業者は、漏えい等又はそのおそれのある事案（以下「漏えい等事案」という。）が発覚した場合は、漏えい等事案の内容等に応じて、次の(1)から(5)に掲げる事項について必要な措置を講じなければならない。
(1) 事業者内部における報告及び被害の拡大防止
責任ある立場の者に直ちに報告するとともに、漏えい等事案による被害が発覚時よりも拡大しないよう必要な措置を講ずる。
(2) 事実関係の調査及び原因の究明
漏えい等事案の事実関係の調査及び原因の究明に必要な措置を講ずる。
(3) 影響範囲の特定
上記(2)で把握した事実関係による影響範囲の特定のために必要な措置を講ずる。
(4) 再発防止策の検討及び実施
上記(2)の結果を踏まえ、漏えい等事案の再発防止策の検討及び実施に必要な措置を講ずる。
(5) 個人情報保護委員会への報告及び本人への通知
44

3-5-3（個人情報保護委員会への報告）、3-5-4（本人への通知）を参照のこと。
なお、漏えい等事案の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、事実関係及び再発防止策等について、速やかに公表することが
望ましい。
3-5-3

個人情報保護委員会への報告（法第 26 条第 1 項関係）

3-5-3-1

報告対象となる事態

法第 26 条（第 1 項）
1 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、 毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害する
おそれが大きいものとして個人情報保護委員会規則で定めるものが生じたと
きは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。
規則第 7 条
法第 26 条第 1 項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。
(1) 要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権
利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第 1 項において同じ。）の漏えい、滅失若しくは毀損（以下この条及び次条第 1 項において「漏えい等」という。）が発生し、又は発生したおそれがある事態(2) 不正に利用されることにより財産的被害が生じるおそれがある個人デー
タの漏えい等が発生し、又は発生したおそれがある事態(3) 不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態(4) 個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態

45

教習所事業者は、次の(1)から(4)までに掲げる事態（以下「報告対象事態」という。）を知ったときは、個人情報保護委員会に報告しなければならない（※1）（※2）。
また、法第 47 条第 1 項に規定する認定個人情報保護団体たる一般社団法人全日本指定自動車教習所協会連合会（以下「全指連」という。）の対象事業者である教習所事業者は、法令上の義務である個人情報保護委員会等への報告に加えて、都道府県指定自動車教習所協会を通じて全指連に報告する。
(1)

要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生した

おそれがある事態（規則第 7 条第 1 号関係）【報告を要する事例】
事例）従業員の健康診断等の結果を含む個人データが漏えいした場合(2) 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態（規則第 7 条第 2 号関係）
財産的被害が生じるおそれについては、対象となった個人データの性質・内容等を踏まえ、財産的被害が発生する蓋然性を考慮して判断する。
【報告を要する事例】
事例 1）EC サイトからクレジットカード番号を含む個人データが漏えいした
場合
事例 2）送金や決済機能のあるウェブサービスのログイン ID とパスワードの組み合わせを含む個人データが漏えいした場合(3) 不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態（規則第 7 条第 3 号関係）
「不正の目的をもって」漏えい等を発生させた主体には、第三者のみならず、従業者も含まれる。
【報告を要する事例】
事例 1）不正アクセスにより個人データが漏えいした場合（※3）
事例 2）ランサムウェア等により個人データが暗号化され、復元できなくなった場合
事例 3）個人データが記載又は記録された書類・媒体等が盗難された場合46

事例 4）従業者が顧客の個人データを不正に持ち出して第三者に提供した場合（※4）(4) 個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態（規則第 7 条第 4 号関係）
「個人データに係る本人の数」は、当該個人情報取扱事業者が取り扱う個人
データのうち、漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数をいう。「個人データに係る本人の数」について、事態が発覚した
当初 1,000 人以下であっても、その後 1,000 人を超えた場合には、1,000 人を超えた時点で規則第 7 条第 4 号に該当することになる。本人の数が確定できない
漏えい等において、漏えい等が発生したおそれがある個人データに係る本人の数が最大 1,000 人を超える場合には、規則第 7 条第 4 号に該当する。
事例）システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となり、当該個人データに係る本人の数が 1,000 人を超える場合（※1）報告対象事態に該当しない漏えい等事案であっても、教習所事業者は個人情報保護委員会に任意の報告をすることができる。
（※2）報告対象事態における「おそれ」については、その時点で判明している事実関係に基づいて個別の事案ごとに蓋然性を考慮して判断することになる。漏えい等が発生したおそれについては、その時点で判明している事実関係からして、漏えい等が疑われるものの漏えい等が生じた確証がない場合がこれに該当する。
（※3）サイバー攻撃の事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、次の（ア）から（エ）が考えられる。
（ア）個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において外部からの不正アクセスによりデータが窃取された痕跡が認められた場合（イ）個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において、情報を窃取する振る舞いが判明しているマルウェアの感染が確認された場合（ウ）マルウェアに感染したコンピュータに不正な指令を送り、制御するサーバ（C&C サーバ）が使用しているものとして知られている IP アドレス・FQDN（Fully Qualified Domain Name の略。サブドメイン名及びドメイン名からなる文字列であり、ネットワーク上のコンピュータ（サーバ等）を特定するもの。）
への通信が確認された場合（エ）不正検知を行う公的機関、セキュリティ・サービス・ プロバイダ、専門家
47

等の第三者から、漏えいのおそれについて、一定の根拠に基づく連絡を受けた場
合（※4）従業者による個人データの持ち出しの事案について、「漏えい」が発生した
おそれがある事態に該当し得る事例としては、例えば、個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において、通常の業務で必要としないアクセスによりデータが窃取された痕跡が認められた場合が考えられる。

なお、漏えい等が発生し、又は発生したおそれがある個人データについて、高度な暗号化等の秘匿化がされている場合等、「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられている場合については、報告を要しない。
3-5-3-2

報告義務の主体

漏えい等報告の義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データを取り扱う個人情報取扱事業者である。
個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人データを取り扱っていることになるため、報告対象事態に該当する場合には、原則として委託元と委託先の双方が報告する義務を負う。この場合、委託元及び委託先の連名で報告することができる。なお、委託先が、報告義務を負っている委託元に当該事態が発生したことを通知したときは、委託先は報告義務を免除される（3-5-3-5（委託元への通知による例外）参照）。
また、委託元から委託先にある個人データ（個人データＡ）の取扱いを委託している場合であって、別の個人データ（個人データＢ）の取扱いを委託していないときには、個人データＢについて、委託元において報告対象事態が発生した場合であっても、委託先は報告義務を負わず、委託元のみが報告義務を負うことになる。
3-5-3-3

速報（規則第 8 条第 1 項関係）

規則第 8 条（第 1 項）
1 個人情報取扱事業者は、法第 26 条第 1 項本文の規定による報告をする場合には、前条各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。次条において同じ。）を報告しなければならない。
(1) 概要48

(2) 漏えい等が発生し、又は発生したおそれがある個人データの項目(3) 漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数(4) 原因(5) 二次被害又はそのおそれの有無及びその内容(6) 本人への対応の実施状況(7) 公表の実施状況(8) 再発防止のための措置(9) その他参考となる事項
教習所事業者は、報告対象事態を知ったときは、速やかに、個人情報保護委
員会に報告しなければならない。個人情報保護委員会が法第 147 条第 1 項の規定により報告を受理する権限を事業所管大臣に委任している場合には、当該事業所管大臣に報告する。事業所管大臣に報告する場合、報告期限は個人情報保護委員会に報告する場合と同様である。
報告期限の起算点となる「知った」時点については、個別の事案ごとに判断されるが、教習所事業者が法人である場合には、いずれかの部署が当該事態を知った時点を基準とする。「速やか」の日数の目安については、個別の事案によるものの、教習所事業者が当該事態を知った時点から概ね 3～5 日以内である。
個人情報保護委員会への漏えい等報告については、次の(1)から(9)までに掲げる事項を、原則として、個人情報保護委員会のホームページの報告フォームに入力する方法により行う。速報時点での報告内容については、報告をしようとする時点において把握している内容を報告すれば足りる。
(1) 「概要」
当該事態の概要について、発生日、発覚日、発生事案、発見者、規則第 7 条
各号該当性、委託元及び委託先の有無、事実経過等を報告する。
(2) 「漏えい等が発生し、又は発生したおそれがある個人データの項目」
漏えい等が発生し、又は発生したおそれがある個人データの項目について、媒体や種類（顧客情報、従業員情報の別等）とともに報告する。
(3)「漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数」
漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数に49

ついて報告する。
(4) 「原因」
当該事態が発生した原因について、当該事態が発生した主体（報告者又は委託先）とともに報告する。
(5) 「二次被害又はそのおそれの有無及びその内容」
当該事態に起因して発生する被害又はそのおそれの有無及びその内容について報告する。
(6) 「本人への対応の実施状況」
当該事態を知った後、本人に対して行った措置（通知を含む。）の実施状況について報告する。
(7) 「公表の実施状況」
当該事態に関する公表の実施状況について報告する。
(8) 「再発防止のための措置」
漏えい等事案が再発することを防止するために講ずる措置について、実施済
みの措置と今後実施予定の措置に分けて報告する。
(9) 「その他参考となる事項」
上記の(1)から(8)までの事項を補完するため、個人情報保護委員会が当該事態を把握する上で参考となる事項を報告する。
3-5-3-4

確報（規則第 8 条第 2 項関係）

規則第 8 条第 2 項
前項の場合において、個人情報取扱事業者は、当該事態を知った日から 30
日以内（当該事態が前条第 3 号に定めるものである場合にあっては、60 日以内）に、当該事態に関する前項各号に定める事項を報告しなければならない。
教習所事業者は、報告対象事態を知ったときは、速報に加え（※1）、30 日以内（規則第 7 条第 3 号の事態においては 60 日以内。同号の事態に加え、同条第1 号、第 2 号又は第 4 号の事態にも該当する場合も 60 日以内。）に個人情報保護委員会（個人情報保護委員会が法第 147 条第 1 項の規定により報告を受理す
50

る権限を事業所管大臣に委任している場合には、当該事業所管大臣）に報告しなければならない。30 日以内又は 60 日以内は報告期限であり、可能である場
合には、より早期に報告することが望ましい。
報告期限の起算点となる「知った」時点については、速報と同様に、教習所事業者が法人である場合には、いずれかの部署が当該事態を知った時点を基準とし、確報の報告期限の算定（※2）に当たっては、その時点を 1 日目とする。
確報においては、 3-5-3-3 (1)から(9)までに掲げる事項の全てを報告しなければならない。確報を行う時点（報告対象事態を知った日から 30 日以内又は 60日以内）において、合理的努力を尽くした上で、一部の事項が判明しておらず、全ての事項を報告することができない場合には、その時点で把握している内容を報告し、判明次第、報告を追完するものとする。
（※1）速報の時点で全ての事項を報告できる場合には、1 回の報告で速報と確報を兼ねることができる。
（※2）確報の報告期限（30 日以内又は 60 日以内）の算定に当たっては、土日・祝日も含める。ただし、30 日目又は 60 日目が土日、祝日又は年末年始閉庁日（12月 29 日～1 月 3 日）の場合は、その翌日を報告期限とする（行政機関の休日に関する法律（昭和 63 年法律第 91 号）第 2 条）。

3-5-3-5

委託元への通知による例外（規則第 9 条関係）

規則第 9 条
個人情報取扱事業者は、法第 26 条第 1 項ただし書の規定による通知をする
場合には、第 7 条各号に定める事態を知った後、速やかに、前条第 1 項各号に定める事項を通知しなければならない。
委託先は、個人情報保護委員会（個人情報保護委員会が法第 147 条第 1 項の規定により報告を受理する権限を事業所管大臣に委任している場合には、当該事業所管大臣）への報告義務を負っている委託元に対し、3-5-3-3(1)から(9)までに掲げる事項のうち、その時点で把握しているものを通知したときは、報告義務を免除される。委託元への通知については、速報としての報告と同様に、報告対象事態を知った後、速やかに行わなければならない。「速やか」の日数の目安については、個別の事案によるものの、委託先が当該事態の発生を知った
時点から概ね 3～5 日以内である。
この場合、委託先から通知を受けた委託元が報告をすることになる。委託元
は、通常、遅くとも委託先から通知を受けた時点で、報告対象事態を知ったこ
51

ととなり、速やかに報告を行わなければならない。
なお、通知を行った委託先は、委託元から報告するに当たり、事態の把握を行うとともに、必要に応じて委託元の漏えい等報告に協力することが求められ
る。
3-5-4

本人への通知（法第 26 条第 2 項関係）

法第 26 条（第 2 項）
2 前項に規定する場合には、個人情報取扱事業者（同項ただし書の規定による通知をした者を除く。）は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
規則第 10 条
個人情報取扱事業者は、法第 26 条第 2 項本文の規定による通知をする場合には、第 7 条各号に定める事態を知った後、当該事態の状況に応じて速やかに、当該本人の権利利益を保護するために必要な範囲において、第 8 条第 1
項第 1 号、第 2 号、第 4 号、第 5 号及び第 9 号に定める事項を通知しなければならない。
3-5-4-1

通知対象となる事態及び通知義務の主体

教習所事業者は、報告対象事態を知ったときは、本人への通知を行わなければならない。
通知義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人
データを取り扱う個人情報取扱事業者である。
個人データの取扱いを委託している場合において、委託先が、報告義務を負っている委託元に 3-5-3-3(1)から(9)までに掲げる事項のうち、その時点で把握しているものを通知したときは、委託先は報告義務を免除されるとともに、本人への通知義務も免除される。
3-5-4-2

通知の時間的制限

教習所事業者は、報告対象事態を知ったときは、当該事態の状況に応じて速やかに、本人への通知を行わなければならない。
52

「当該事態の状況に応じて速やかに」とは、速やかに通知を行うことを求めるものであるが、具体的に通知を行う時点は、個別の事案において、その時点で把握している事態の内容、通知を行うことで本人の権利利益が保護される蓋然性、本人への通知を行うことで生じる弊害等を勘案して判断する。
【その時点で通知を行う必要があるとはいえないと考えられる事例 （※）】事例 1）インターネット上の掲示板等に漏えいした複数の個人データがアップロードされており、個人情報取扱事業者において当該掲示板等の管理者に削除を求める等、必要な初期対応が完了しておらず、本人に通知することで、かえって被害が拡大するおそれがある場合
事例 2）漏えい等のおそれが生じたものの、事案がほとんど判明しておらず、その時点で本人に通知したとしても、本人がその権利利益を保護するための措置を講じられる見込みがなく、かえって混乱が生じるおそれがある場合（※）「当該事態の状況に応じて速やかに」本人への通知を行うべきことに変わりはない。

3-5-4-3

通知の内容

本人へ通知すべき事項については、漏えい等報告における報告事項のうち、「概要」（規則第 8 条第 1 項第 1 号）、「漏えい等が発生し、又は発生したおそれがある個人データの項目」（同項第 2 号）、「原因」（同項第 4 号）、「二次被害又はそのおそれの有無及びその内容」（同項第 5 号）及び「その他参考となる事項」（同項第 9 号）（※）に限られている。これらの事項が全て判明するまで本人への通知をする必要がないというものではなく、本人への通知は、「当該事態の状況に応じて速やかに」行う必要がある（3-5-4-2（通知の時間的制限）参照）。
本人への通知については、「本人の権利利益を保護するために必要な範囲において」行うものである。
また、当初報告対象事態に該当すると判断したものの、その後実際には報告対象事態に該当していなかったことが判明した場合には、本人への通知が「本人の権利利益を保護するために必要な範囲において」行うものであることに鑑
み、本人への通知は不要である。
【本人の権利利益を保護するために必要な範囲において通知を行う事例】
事例 1）不正アクセスにより個人データが漏えいした場合において、その原因
53

を本人に通知するに当たり、個人情報保護委員会に報告した詳細な内容ではなく、必要な内容を選択して本人に通知すること。
事例 2）漏えい等が発生した個人データの項目が本人ごとに異なる場合において、当該本人に関係する内容のみを本人に通知すること。
（※）規則第 8 条第 1 項第 1 号、第 2 号、第 4 号、第 5 号及び第 9 号に定める事項については、3-5-3-3（速報）を参照のこと。なお、同項第 9 号に定める事項については、本人への通知を補完するため、本人にとって参考となる事項をいい、例えば、本人が自らの権利利益を保護するために取り得る措置が考えられる。

3-5-4-4

通知の方法「本人への通知」とは、本人に直接知らしめることをいい、事業の性質及び個人データの取扱状況に応じ、通知すべき内容が本人に認識される合理的かつ適切な方法によらなければならない（2-14（本人に通知）参照）。また、漏えい等報告と異なり、本人への通知については、その様式が法令上定められていないが、本人にとって分かりやすい形で通知を行うことが望ましい。
【本人への通知の方法の事例】
事例 1）文書を郵便等で送付することにより知らせること。
事例 2）電子メールを送信することにより知らせること。
3-5-4-5

通知の例外

本人への通知を要する場合であっても、本人への通知が困難である場合は、本人の権利利益を保護するために必要な代替措置（※1）を講ずることによる対応が認められる。
【本人への通知が困難な場合に該当する事例】
事例 1）保有する個人データの中に本人の連絡先が含まれていない場合
事例 2）連絡先が古いために通知を行う時点で本人へ連絡できない場合【代替措置に該当する事例】
事例 1）事案の公表（※2）
事例 2）問合せ窓口を用意してその連絡先を公表し、本人が自らの個人データが対象となっているか否かを確認できるようにすること
54

（※1）代替措置として事案の公表を行わない場合であっても、当該事態の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、公表を行うことが望ましい。
（※2）公表すべき内容は、個別の事案ごとに判断されるが、本人へ通知すべき内容を基本とする。

3-6

個人データの第三者への提供（法第 27 条～第 30 条関係）

3-6-1

第三者提供の制限の原則（法第 27 条第 1 項関係）

法第 27 条（第 1 項）
1 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
(1) 法令に基づく場合(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場
合であって、本人の同意を得ることが困難であるとき。
(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(5)・(6) （略）(7) 当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
教習所事業者は、個人データの第三者への提供に当たり、あらかじめ本人の同意（※1）を得ないで提供してはならない（※2）（※3）。同意の取得に当たっては、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性
質及び量を含む。）等に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示さなければならない。
なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的において、その旨を特定しなければならない（3-1-1（利用目的の特定）参照）。
55

【第三者提供とされる事例】（ただし、法第 27 条第 5 項各号の場合を除く。）
事例 1）親子兄弟会社、グループ会社の間で個人データを交換する場合
事例 2）フランチャイズ組織の本部と加盟店の間で個人データを交換する場合
事例 3）同業者間で、特定の個人データを交換する場合【第三者提供とされない事例】（ただし、利用目的による制限がある。）
事例）同一事業者内で他部門へ個人データを提供する場合
ただし、法第 27 条第 1 項各号に掲げる場合については、第三者への個人デー
タの提供に当たって、本人の同意は不要である。なお、具体的な事例は、3-1-5（利用目的による制限の例外）を参照のこと。
（※1）「本人の同意」については、2-16（本人の同意）を参照のこと。
（※2）ブログやその他の SNS に書き込まれた個人データを含む情報については、当該情報を書き込んだ者の明確な意思で不特定多数又は限定された対象に対して公開されている情報であり、その内容を誰が閲覧できるかについて当該情報を書き込んだ者が指定していることから、その公開範囲について、インターネット回線への接続サービスを提供するプロバイダやブログその他の SNS の運営事業者等に裁量の余地はないため、このような場合は、当該事業者が個人データを第三者に提供しているとは解されない。
（※3）個人情報取扱事業者若しくはその従業者又はこれらであった者が、その業務に関して取り扱った個人情報データベース等（その全部又は一部を複製し、又は加工したものを含む。）を自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、法第 174 条により刑事罰（1 年以下の懲役又は 50 万円以下の罰金）が科され得る。

3-6-2

オプトアウトによる第三者提供（法第 27 条第 2 項～第 4 項関係）

3-6-2-1

オプトアウトに関する原則（法第 27 条第 2 項関係）

法第 27 条（第 2 項）
2 個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、個人情報保護委員会
規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に56

知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。ただし、第三者に提供される個人データが要配慮個人情報又は第 20 条第 1 項の規定に違反して取得されたもの若しくは他の個人情報取扱事業者からこの項
本文の規定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む。）である場合は、この限りでない。
(1) 第三者への提供を行う個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。以下この条、第 30 条第1 項第 1 号及び第 32 条第 1 項第 1 号において同じ。）の氏名(2) 第三者への提供を利用目的とすること。
(3) 第三者に提供される個人データの項目(4) 第三者に提供される個人データの取得の方法(5) 第三者への提供の方法(6) 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
(7) 本人の求めを受け付ける方法(8) その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則で定める事項
規則第 11 条
1 法第 27 条第 2 項又は第 3 項の規定による通知又は容易に知り得る状態に置く措置は、次に掲げるところにより、行うものとする。
(1) 第三者に提供される個人データによって識別される本人（次号において「本人」という。）が当該提供の停止を求めるのに必要な期間をおくこと。
(2) 本人が法第 27 条第 2 項各号に掲げる事項を確実に認識できる適切かつ合理的な方法によること。
2 法第 27 条第 2 項又は第 3 項の規定による届出は、次に掲げる方法のいずれかにより行わなければならない。
(1) 電子情報処理組織（個人情報保護委員会の使用に係る電子計算機と届出を行う者の使用に係る電子計算機とを電気通信回線で接続した電子情報処
理組織をいう。）を使用する方法(2) 別記様式第 2（法第 27 条第 3 項の規定による個人データの提供をやめた
旨の届出を行う場合にあっては、別記様式第 3）による届出書及び当該届出書に記載すべき事項を記録した光ディスク（これに準ずる方法により一定の事項を確実に記録しておくことができる物を含む。以下「光ディスク等」
57

という。）を提出する方法
3 個人情報取扱事業者が、代理人によって法第 27 条第 2 項又は第 3 項の規定による届出を行う場合には、別記様式第 4 によるその権限を証する書面（電磁的記録を含む。第 17 条第 1 項、第 18 条第 2 項、第 30 条、第 47 条第 1 項、第 48 条第 2 項、第 54 条第 2 項、第 6 項及び第 7 項、第 60 条並びに第 66 条
第 2 項を除き、以下同じ。）を個人情報保護委員会に提出しなければならない。
4 法第 27 条第 2 項第 8 号の個人情報保護委員会規則で定める事項は、次に掲げる事項とする。
(1) 第三者に提供される個人データの更新の方法(2) 当該届出に係る個人データの第三者への提供を開始する予定日
規則第 12 条
外国にある個人情報取扱事業者は、法第 27 条第 2 項又は第 3 項の規定による届出を行う場合には、国内に住所を有する者であって、当該届出に関する一切の行為につき、当該個人情報取扱事業者を代理する権限を有するものを定めなければならない。この場合において、当該個人情報取扱事業者は、当該届出と同時に、当該個人情報取扱事業者が国内に住所を有する者に、当該届出に関する一切の行為につき、当該個人情報取扱事業者を代理する権限を付与したことを証する書面（日本語による翻訳文を含む。）を個人情報保護委員会に提出しなければならない。
規則第 14 条
個人情報取扱事業者は、法第 27 条第 4 項の規定による公表がされた後、速やかに、インターネットの利用その他の適切な方法により、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項を公表するものとする。
(1) 法第 27 条第 2 項の規定による届出を行った場合 同項各号に掲げる事項(2) 法第 27 条第 3 項の規定による変更の届出を行った場合 変更後の同条第2 項各号に掲げる事項(3) 法第 27 条第 3 項の規定による個人データの提供をやめた旨の届出を行っ
た場合

その旨

教習所事業者は、個人データの第三者への提供に当たり、法第 27 条第 2 項各号及び規則第 11 条第 4 項各号に掲げる事項をあらかじめ（※1）本人に通知し、又は本人が容易に知り得る状態（※2）に置くとともに、個人情報保護委員会に届け出た場合には（※3）、法第 27 条第 1 項の規定にかかわらず、あらかじめ58

本人の同意（※4）を得ることなく、個人データを第三者に提供することができる（※5）（オプトアウトによる第三者提供）。
また、教習所事業者は、法第 27 条第 2 項に基づき、必要な事項を個人情報保護委員会に届け出たときは、その内容を自らもインターネットの利用その他の
適切な方法により公表（※6）するものとする。
なお、要配慮個人情報をオプトアウトにより第三者に提供することや、オプ
トアウトにより提供を受けた個人データをオプトアウトにより再提供することはできず、第三者に提供するに当たっては、法第 27 条第 1 項各号又は同条第 5項各号に該当する場合以外は、必ずあらかじめ本人の同意を得る必要があるので、注意を要する。また、不正取得された個人データについても、オプトアウ
トにより第三者に提供することはできない。
その他、詳細については、ガイドライン（通則編）3-6-2-1 を参照のこと。
（※1）オプトアウトによる第三者提供を行う際は、法第 27 条第 2 項各号及び規則
第 11 条第 4 項各号に掲げる事項をあらかじめ、第三者に提供される個人データによって識別される本人が当該提供の停止を求めるのに必要な期間をおかなければならない（規則第 11 条第 1 項第 1 号）ため、本人に通知し又は本人が容易に知り得る状態に置いた時点から、極めて短期間の後に、第三者提供を行ったような場合は、「本人が当該提供の停止を求めるのに必要な期間」をおいていないと判断され得る。
具体的な期間については、業種、ビジネスの態様、通知又は容易に知り得る状態の態様、本人と個人情報取扱事業者との近接性、本人から停止の求めを受け付ける
体制、提供される個人データの性質などによっても異なり得るため、個別具体的に判断する必要がある。
また、「本人に通知し、又は本人が容易に知り得る状態に置く」時期と、「個人情報保護委員会に届け出」る時期は、必ずしも同時である必要はないが、本人に通知し、又は本人が容易に知り得る状態に置いた後、速やかに個人情報保護委員会に届け出ることが望ましい。
（※2）「本人に通知」については、2-14（本人に通知）を参照のこと。
「本人が容易に知り得る状態」とは、事業所の窓口等への書面の掲示・備付けやホームページへの掲載その他の継続的方法により、本人が知ろうとすれば、時間的にも、その手段においても、簡単に知ることができる状態をいい、事業の性質及び個人情報の取扱状況に応じ、本人が確実に認識できる適切かつ合理的な方法によらなければならない（規則第 11 条第 1 項第 2 号）。
【本人が容易に知り得る状態に該当する事例】
事例 1）本人が閲覧することが合理的に予測される個人情報取扱事業者のホーム
59ページにおいて、本人が分かりやすい場所（例：ホームページのトップページ
から 1 回程度の操作で到達できる場所等）に法に定められた事項を分かりやす
く継続的に掲載する場合
事例 2）本人が来訪することが合理的に予測される事務所の窓口等への掲示、備付け等が継続的に行われている場合
事例 3）本人に頒布されている定期刊行物への定期的掲載を行っている場合
事例 4）電子商取引において、商品を紹介するホームページにリンク先を継続的に表示する場合（※3）届出の方法は、電子情報処理組織を使用する方法等によって行わなければならない（規則第 11 条第 2 項）。なお、代理人によって届出を行う場合は、個人情報保護委員会が定める様式によるその権限を証する書面を提出しなければならな
い（規則第 11 条第 3 項）。また、外国にある個人情報取扱事業者が、届出を行う
場合には、国内に住所を有する者に、当該届出に関する一切の行為につき当該個人情報取扱事業者を代理する権限を有するものを定めなければならず、当該代理権を証する書面を個人情報保護委員会に提出しなければならない。
（※4）「本人の同意」については、2-16（本人の同意）を参照のこと。
（※5）法第 17 条第 1 項の規定により特定された当初の利用目的に、個人情報の第三者提供に関する事項が含まれていない場合は、第三者提供を行うと目的外利用となるため、オプトアウトによる第三者提供を行うことはできない。
（※6）基本的には「インターネットの方法」による「公表」が望ましいが、個人情報取扱事業者の特性、本人との近接性などにより、当該方法以外の適切な方法による公表も可能である。「公表」については 2-15（公表）を参照のこと。

3-6-2-2 オプトアウトに関する事項の変更及び個人データの提供をやめた場合（法第 27 条第 3 項関係）
法第 27 条（第 3 項）
3 個人情報取扱事業者は、前項第 1 号に掲げる事項に変更があったとき又は同項の規定による個人データの提供をやめたときは遅滞なく、同項第 3 号から
第 5 号まで、第 7 号又は第 8 号に掲げる事項を変更しようとするときはあらかじめ、その旨について、個人情報保護委員会規則で定めるところにより、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
規則第 11 条、第 12 条及び第 14 条
（略）（3-6-2-1（オプトアウトに関する原則）参照）
60

教習所事業者は、法第 27 条第 2 項に基づきオプトアウトにより個人データの第三者提供を行っている場合であって、次の(1)から(3)までのいずれかに該当する場合は、その旨について、本人に通知し、又は本人が容易に知り得る状態（※
1）に置くとともに、個人情報保護委員会に届け出なければならない（※2）。
なお、教習所事業者は、法第 27 条第 3 項に基づき、必要な事項を個人情報保護委員会に届け出たときは、その内容を自らも公表（※3）するものとする。
(1) 届出事項（第三者に提供される個人データの項目等）の変更があった場合(2) 届出事項（氏名又は名称、住所、法人等の代表者の氏名）の変更があった
場合(3) 個人データの提供をやめた場合
その他、詳細については、ガイドライン（通則編）3-6-2-2 を参照のこと。
（※1）「本人に通知」については、2-14（本人に通知）を参照のこと。
「本人が容易に知り得る状態」については、3-6-2-1（オプトアウトに関する原則）
を参照のこと。なお、次のような方法であれば、適切かつ合理的な方法と解される。
・変更する内容を、例えば新旧対照表等により、分かりやすく明示した書面により本人に通知すること。
・本人が閲覧することが合理的に予測される個人情報取扱事業者のホームページにおいて、本人が分かりやすい場所に変更する内容を、例えば新旧対照表等により、分かりやすく明示すること。
（※2）届出の方法等については、3-6-2-1（オプトアウトに関する原則）を参照のこと。
（※3）「公表」については、2-15（公表）を参照のこと。

3-6-3

第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係）

法第 27 条（第 5 項）
5 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。
(1) 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人デー
タの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合(2) 合併その他の事由による事業の承継に伴って個人データが提供される場
合(3) 特定の者との間で共同して利用される個人データが当該特定の者に提供
61

される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。
次の(1)から(3)までの場合については、個人データの提供先は教習所事業者とは別の主体として形式的には第三者に該当するものの、本人との関係において提供主体である教習所事業者と一体のものとして取り扱うことに合理性がある
ため、第三者に該当しないものとする。
このような要件を満たす場合には、教習所事業者は、法第 27 条第 1 項から第3 項までの規定にかかわらず、あらかじめの本人の同意又は第三者提供におけるオプトアウトを行うことなく、個人データを提供することができる。
(1) 委託（法第 27 条第 5 項第 1 号関係）
利用目的の達成に必要な範囲内において、個人データの取扱いに関する業務の全部又は一部を委託することに伴い、当該個人データが提供される場合は、当該提供先は第三者に該当しない。この場合、当該提供先は、委託された業務の範囲内でのみ、本人との関係において提供主体である教習所事業者と一体のものとして取り扱われることに合理性があるため、委託された業務以外に当該個人データを取り扱うことはできない。
なお、教習所事業者には、法第 25 条により、委託先に対する監督責任が課される（3-4-4（委託先の監督）参照）。
事例 1）データの打ち込み等、情報処理を委託するために個人データを提供する場合
事例 2）百貨店が注文を受けた商品の配送のために、宅配業者に個人データを提供する場合(2) 事業の承継（法第 27 条第 5 項第 2 号関係）
合併、分社化、事業譲渡等により事業が承継されることに伴い、当該事業に係る個人データが提供される場合は、当該提供先は第三者に該当しない。
なお、事業の承継後も、個人データが当該事業の承継により提供される前の利用目的の範囲内で利用しなければならない（3-1-4（事業の承継）参照）。
また、事業の承継のための契約を締結するより前の交渉段階で、相手会社から自社の調査を受け、自社の個人データを相手会社へ提供する場合も、本号に該当し、あらかじめ本人の同意を得ることなく又は第三者提供におけるオプト
62

アウト手続を行うことなく、個人データを提供することができるが、当該デー
タの利用目的及び取扱方法、漏えい等が発生した場合の措置、事業承継の交渉が不調となった場合の措置等、相手会社に安全管理措置を遵守させるために必要な契約を締結しなければならない。
事例 1）合併、分社化により、新会社に個人データを提供する場合
事例 2）事業譲渡により、譲渡先企業に個人データを提供する場合(3) 共同利用（法第 27 条第 5 項第 3 号関係）
特定の者との間で共同して利用される個人データを当該特定の者に提供する場合（※1）であって、次の①から⑤までの情報（※2）を、提供に当たりあら
かじめ本人に通知（※3）し、又は本人が容易に知り得る状態（※4）に置いているときには、当該提供先は、本人から見て、当該個人データを当初提供した事業者と一体のものとして取り扱われることに合理性があると考えられることから、第三者に該当しない（※5）。
また、既に特定の事業者が取得している個人データを他の事業者と共同して利用する場合には、当該共同利用は、社会通念上、共同して利用する者の範囲
や利用目的等が当該個人データの本人が通常予期し得ると客観的に認められる範囲内である必要がある。その上で、当該個人データの内容や性質等に応じて共同利用の是非を判断し、既に取得している事業者が法第 17 条第 1 項の規定により特定した利用目的の範囲で共同して利用しなければならない。
① 共同利用をする旨② 共同して利用される個人データの項目
事例 1）氏名、住所、電話番号、年齢
事例 2）氏名、商品購入履歴③ 共同して利用する者の範囲「共同利用の趣旨」は、本人から見て、当該個人データを提供する事業者と一体のものとして取り扱われることに合理性がある範囲で、当該個人データを共同して利用することである。
したがって、共同利用者の範囲については、本人がどの事業者まで将来利用されるか判断できる程度に明確にする必要がある。
なお、当該範囲が明確である限りにおいては、必ずしも事業者の名称等を個別に全て列挙する必要はないが、本人がどの事業者まで利用されるか判断できるようにしなければならない。
④ 利用する者の利用目的
共同して利用する個人データについて、その利用目的を全て、本人に通知し、又は本人が容易に知り得る状態に置いていなければならない。
63

なお、利用目的が個人データの項目によって異なる場合には、当該個人デー
タの項目ごとに利用目的を区別して記載することが望ましい。
⑤ 当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名「個人データの管理について責任を有する者」とは、開示等の請求及び苦情を受け付け、その処理に尽力するとともに、個人データの内容等について、開示、訂正、利用停止等の権限を有し、安全管理等個人データの管理について責任を有する者をいう。
なお、ここでいう「責任を有する者」とは、共同して利用する全ての事業者の中で、第一次的に苦情の受付・処理、開示・訂正等を行う権限を有する者をいい、共同利用者のうち一事業者の内部の担当責任者をいうものではない。
また、個人データの管理について責任を有する者は、利用目的の達成に必要な範囲内において、共同利用者間で利用している個人データを正確かつ最新の内容に保つよう努めなければならない（3-4-1（データ内容の正確性の確保等）
参照）。
【共同利用に該当する事例】
事例 1）グループ企業で総合的なサービスを提供するために取得時の利用目的（法第 17 条第 2 項の規定に従い変更された利用目的を含む。以下同じ。）の範囲内で情報を共同利用する場合
事例 2）親子兄弟会社の間で取得時の利用目的の範囲内で個人データを共同利用する場合
事例 3）使用者と労働組合又は労働者の過半数を代表する者との間で取得時の利用目的の範囲内で従業者の個人データを共同利用する場合（※1）共同利用の対象となる個人データの提供については、必ずしも全ての共同利
用者が双方向で行う必要はなく、一部の共同利用者に対し、一方向で行うこともできる。
（※2）事業者が共同利用を実施する場合には、共同利用者における責任等を明確にし円滑に実施する観点から、上記①から⑤までの情報のほか、例えば、次の（ア）から（カ）までの事項についても、あらかじめ取り決めておくことが望ましい。
（ア）共同利用者の要件（グループ会社であること、特定のキャンペーン事業の一員であること等、共同利用による事業遂行上の一定の枠組み）（イ）各共同利用者の個人情報取扱責任者、問合せ担当者及び連絡先（ウ）共同利用する個人データの取扱いに関する事項
・個人データの漏えい等防止に関する事項
64

・目的外の加工、利用、複写、複製等の禁止
・共同利用終了後のデータの返還、消去、廃棄に関する事項（エ）共同利用する個人データの取扱いに関する取決めが遵守されなかった場合の措置（オ）共同利用する個人データに関する事件・事故が発生した場合の報告・連絡に関する事項（カ）共同利用を終了する際の手続（※3）「本人に通知」については、2-14（本人に通知）を参照のこと。
（※4）「本人が容易に知り得る状態」については、3-6-2（オプトアウトによる第三者提供）を参照のこと。
（※5）共同利用か委託かは、個人データの取扱いの形態によって判断されるものであって、共同利用者の範囲に委託先事業者が含まれる場合であっても、委託先との関係は、共同利用となるわけではなく、委託元は委託先の監督義務を免れるわけではない。

＜共同利用に係る事項の変更（法第 27 条第 6 項関係）＞
法第 27 条（第 6 項）
6 個人情報取扱事業者は、前項第 3 号に規定する個人データの管理について責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったときは遅滞なく、同号に規定する利用する者の利用目的又は当該責任を有する者を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
教習所事業者は、個人データを共同利用する場合において、「個人データの管理について責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名」に変更があったときは遅滞なく、当該変更後の内容について、「共同利用する者の利用目的」又は「当該責任を有する者」を変更しようとするときは変更する前に、変更しようとする内容について、本人に通知（※1）
し、又は本人が容易に知り得る状態（※2）に置かなければならない。
なお、「共同利用する者の利用目的」については、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内（※3）で変更することができる。
「共同して利用される個人データの項目」及び「共同して利用する者の範囲」
について変更することは、原則として認められないが、例えば次のような場合
は、引き続き共同利用を行うことができる。
65

事例 1）共同利用を行う個人データの項目や事業者の変更につき、あらかじめ本人の同意を得た場合
事例 2）共同利用を行う事業者の名称に変更があるが、共同して利用される個
人データの項目には変更がない場合
事例 3）共同利用を行う事業者について事業の承継（※4）が行われた場合（共同利用する個人データの項目等の変更がないことが前提）（※1）「本人に通知」については、2-14（本人に通知）を参照のこと。
（※2）「本人が容易に知り得る状態」については、3-6-2（オプトアウトによる第三者提供）を参照のこと。
（※3）「本人が通常予期し得る限度と客観的に認められる範囲」については、3-1-2（利用目的の変更）を参照のこと。
（※4）「事業の承継」については、3-1-4（事業の承継）を参照のこと。

3-6-4

外国にある第三者への提供の制限（法第 28 条関係）

法第 28 条
個人情報取扱事業者は、外国（本邦の域外にある国又は地域をいう。以下
この条及び第 31 条第 1 項第 2 号において同じ。）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものを除く。以下
この条及び同号において同じ。）にある第三者（個人データの取扱いについてこの節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置（第 3 項において「相当措置」という。）を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この項及び次項並びに同号において同じ。）に個人データを提供する場合には、前条第 1 項各号に掲げる場合を除くほか、
あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は、適用しない。
2

個人情報取扱事業者は、前項の規定により本人の同意を得ようとする場合には、個人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなけ
ればならない。
3 個人情報取扱事業者は、個人データを外国にある第三者（第 1 項に規定する
66

体制を整備している者に限る。）に提供した場合には、個人情報保護委員会
規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。
規則第 16 条
法第 28 条第 1 項の個人情報保護委員会規則で定める基準は、次の各号のいずれかに該当することとする。
(1) 個人情報取扱事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第 4 章第 2 節の規定の趣旨に沿った措置の実施が確保されていること。
(2) 個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。
規則第 17 条
1 法第 28 条第 2 項又は法第 31 条第 1 項第 2 号の規定により情報を提供する
方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。
2 法第 28 条第 2 項又は法第 31 条第 1 項第 2 号の規定による情報の提供は、次に掲げる事項について行うものとする。
(1) 当該外国の名称(2) 適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報(3) 当該第三者が講ずる個人情報の保護のための措置に関する情報
3 前項の規定にかかわらず、個人情報取扱事業者は、法第 28 条第 1 項の規定により本人の同意を得ようとする時点において、前項第 1 号に定める事項が特定できない場合には、同号及び同項第 2 号に定める事項に代えて、次に掲げる事項について情報提供しなければならない。
(1) 前項第 1 号に定める事項が特定できない旨及びその理由(2) 前項第 1 号に定める事項に代わる本人に参考となるべき情報がある場合には、当該情報4 第 2 項の規定にかかわらず、個人情報取扱事業者は、法第 28 条第 1 項の規定により本人の同意を得ようとする時点において、第 2 項第 3 号に定める事項について情報提供できない場合には、同号に定める事項に代えて、その旨及びその理由について情報提供しなければならない。
67

規則第 18 条
1 法第 28 条第 3 項（法第 31 条第 2 項において読み替えて準用する場合を含む。）の規定による外国にある第三者による相当措置の継続的な実施を確保するために必要な措置は、次に掲げる措置とする。
(1) 当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること。
(2) 当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データ（法第 31 条第 2 項において読み替えて準用する場合にあっては、個人関連情報 ）の当該第三者への提供を停止すること。
2 法第 28 条第 3 項の規定により情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。
3 個人情報取扱事業者は、法第 28 条第 3 項の規定による求めを受けたときは、本人に対し、遅滞なく、次に掲げる事項について情報提供しなければならない。ただし、情報提供することにより当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、その全部又は一部を提供しないことができる。
(1) 当該第三者による法第 28 条第 1 項に規定する体制の整備の方法(2) 当該第三者が実施する相当措置の概要(3) 第 1 項第 1 号の規定による確認の頻度及び方法(4) 当該外国の名称(5) 当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要(6) 当該第三者による相当措置の実施に関する支障の有無及びその概要(7) 前号の支障に関して第 1 項第 2 号の規定により当該個人情報取扱事業者が講ずる措置の概要
4 個人情報取扱事業者は、法第 28 条第 3 項の規定による求めに係る情報の全部又は一部について提供しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
5 個人情報取扱事業者は、前項の規定により、本人から求められた情報の全部又は一部について提供しない旨を通知する場合には、本人に対し、その理由を説明するよう努めなければならない。
教習所事業者は、個人データを外国にある第三者に提供するに当たっては、
68

法第 28 条第 1 項に従い、次の(1)から(3)までのいずれかに該当する場合を除き、あらかじめ「外国にある第三者への個人データの提供を認める旨の本人の同意」を得る必要がある（法第 28 条第 1 項）。
(1) 当該第三者が、我が国と同等の水準にあると認められる個人情報保護制度を有している国として規則で定める国にある場合(2) 当該第三者が、個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制として規則で定める基準に適合する体制を整備している場合(3) 法第 27 条第 1 項各号に該当する場合
法第 28 条第 1 項の規定により外国にある第三者への個人データの提供を認める旨の本人の同意を取得しようとする場合には、規則第 17 条第 2 項から第 4 項
までの規定により求められる情報を本人に提供しなければならない（法第 28 条
第 2 項）。
規則第 16 条に定める基準に適合する体制を整備している外国にある第三者に対して個人データを提供した場合には、当該第三者による相当措置（個人デー
タの取扱いについて法第 4 章第 2 節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置をいう。）の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない（法第 28 条第 3 項）。
その他、詳細については、ガイドライン（外国にある第三者への提供編）を参照のこと。
3-6-5

第三者提供に係る記録の作成等（法第 29 条関係）

法第 29 条1 個人情報取扱事業者は、個人データを第三者（第 16 条第 2 項各号に掲げる者を除く。以下この条及び次条（第 31 条第 3 項において読み替えて準用する場合を含む。）において同じ。）に提供したときは、個人情報保護委員会規則で定めるところにより、当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。ただし、当該個人データの提供が第 27 条第 1 項各号又は第 5 項各号のいずれか（前条第 1 項の規定による個人データの提供にあっては、第 27 条第 1 項各号のいずれか）に該当する場合は、この限りでない。
2 個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。
69

規則第 19 条
1 法第 29 条第 1 項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。
2 法第 29 条第 1 項の記録は、個人データを第三者（同項に規定する第三者をいう。以下この条、次条、第 22 条から第 24 条まで、第 27 条及び第 28 条において同じ。）に提供した都度、速やかに作成しなければならない。ただし、当該第三者に対し個人データを継続的に若しくは反復して提供（法第 27 条第2 項の規定による提供を除く。以下この項において同じ。）したとき、又は当該第三者に対し個人データを継続的に若しくは反復して提供することが確実であると見込まれるときの記録は、一括して作成することができる。
3 前項の規定にかかわらず、法第 27 条第 1 項又は法第 28 条第 1 項の規定により、本人に対する物品又は役務の提供に関連して当該本人に係る個人デー
タを第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に次条第 1 項各号に定める事項が記載されているときは、当該書面をもって法第 29 条第 1 項の当該事項に関する記録に代えることができる。
規則第 20 条
1 法第 29 条第 1 項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。
(1) 法第 27 条第 2 項の規定により個人データを第三者に提供した場合 次のイからニまでに掲げる事項
イ 当該個人データを提供した年月日
ロ 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。第 28 条第 1 項第 3 号において同じ。）の氏名（不特定かつ多数の者に対して提供したときは、その旨）
ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
ニ 当該個人データの項目(2) 法第 27 条第 1 項又は法第 28 条第 1 項の規定により個人データを第三者に提供した場合 次のイ及びロに掲げる事項
イ 法第 27 条第 1 項又は法第 28 条条第 1 項の本人の同意を得ている旨
ロ 前号ロからニまでに掲げる事項
2 前項各号に定める事項のうち、既に前条に規定する方法により作成した法第
29 条第 1 項の記録（当該記録を保存している場合におけるものに限る。）に70

記録されている事項と内容が同一であるものについては、法第 29 条第 1 項の当該事項の記録を省略することができる。
規則第 21 条
法第 29 条第 2 項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とする。
(1) 第 19 条第 3 項に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を行った日から起算して 1 年を経過する日までの間(2) 第 19 条第 2 項ただし書に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を行った日から起算して 3 年を経過する日までの間(3) 前二号以外の場合 3 年
この項では、法第 30 条に基づく確認義務並びに法第 29 条及び第 30 条に基づく記録義務（以下「確認・記録義務」という。）に共通する事項も含めて定める。
(1) 確認・記録義務の適用対象
ア 明文により確認・記録義務が適用されない第三者提供
次の類型の第三者提供については、明文上、確認・記録義務が適用されない。
(ｱ) 法第 27 条第 1 項各号に掲げる場合
法第 27 条第 1 項各号に掲げる第三者提供については、個人データが転々流通することは想定されにくいことに鑑み、確認・記録義務は適用されない。
なお、法第 27 条第 1 項各号の詳細については、3-6-1（第三者提供の制限の原則）を参照のこと。
(ｲ) 法第 27 条第 5 項各号に掲げる場合
法第 27 条第 5 項各号に掲げる第三者提供については、法第 27 条第 5 項柱書において「第三者に該当しないものとする」とされていることに鑑み、確認・記録義務は適用されない。
なお、法第 27 条第 5 項各号の詳細については、3-6-3（第三者に該当しない場合）を参照のこと。

71

(ｳ) 第三者が法第 16 条第 2 項各号に掲げる者である場合
本人又は個人情報取扱事業者以外の者である「第三者」のうち、法第 16 条第2 項各号に掲げる者との間で個人データの授受を行う場合は、確認・記録義務は適用されない。
イ 解釈により確認・記録義務が適用されない第三者提供(ｱ) 提供者及び受領者に確認・記録義務が適用されない場合「提供者」とは、個人データを第三者に提供する者（本人を除き、個人情報取扱事業者以外の者を含む。）をいい、「受領者」とは、個人データの提供を第三者から受ける者（本人を除き、個人情報取扱事業者以外の者を含む。）をいう（以下同じ）。
a 「提供者」の考え方
次の「(a)本人による提供」又は「(b)本人に代わって提供」に該当する場合は、実質的に「提供者」による提供ではないものとして、確認・記録義務は適用されない。
(a) 本人による提供
事業者が運営する SNS 等に本人が入力した内容が、自動的に個人データとして不特定多数の第三者が取得できる状態に置かれている場合は、実質的に「本人による提供」をしているものである。
したがって、教習所事業者が SNS 等を通じて本人に係る個人データを取得したときでも、SNS 等の運営事業者及び取得した教習所事業者の双方において、確認・記録義務は適用されない。
なお、閲覧行為と、法第 30 条に基づく義務との関係については、「(ｲ)b（提供を受けるに際して）を参照のこと。
(b) 本人に代わって提供
教習所事業者が本人からの委託等に基づき当該本人の個人データを第三者提供する場合は、当該教習所事業者は「本人に代わって」個人データの提供をしているものである。
したがって、この場合の第三者提供については、提供者・受領者のいずれに対しても確認・記録義務は適用されない。
教習所事業者が本人からの委託等に基づいて個人データを提供しているものと評価し得るか否かは、主に、委託等の内容、提供の客体である個人データの72

内容、提供するとき及び提供先の個人情報取扱事業者等の要素を総合的に考慮して、本人が当該提供を具体的に特定できているか否かの観点から判断することになる。
なお、本人から個人データの提供の委託等を受ける場合において、当該個人データに、「本人」以外の者の個人データが含まれる場合もあり得る。
b 「受領者」の考え方
本人の代理人又は家族等、本人と一体と評価できる関係にある者に提供する
場合、本人側に対する提供とみなし、受領者に対する提供には該当せず、確認・記録義務は適用されない。なお、常に家族であることをもって本人側と評価されるものではなく、個人データの性質、両者の関係等に鑑みて実質的に判断する必要がある。
また、提供者が、最終的に本人に提供することを意図した上で、受領者を介在して第三者提供を行い、本人がそれを明確に認識できる場合は、同じく、本人側に対する提供とみなし、確認・記録義務は適用されない。
c 「提供」行為の考え方
不特定多数の者が取得できる公開情報は、本来であれば受領者も自ら取得できる情報であり、それをあえて提供者から受領者に提供する行為は、受領者による取得行為を提供者が代行しているものであることから、実質的に確認・記録義務を課すべき第三者提供には該当せず、同義務は適用されない。
例えば、ホームページ等で公表されている情報、報道機関により報道されている情報などが該当する。他方、特定の者のみアクセスできる情報、提供者の業務上取得し得た非公開の情報などについては、ここでの整理は当てはまらない。
なお、当初に、個人データを公開に供する行為については、提供者として記録を作成しなければならない（規則第 20 条第 1 項第 1 号ロ括弧書き）。
(ｲ) 受領者に確認・記録義務が適用されない場合
a 法第 30 条の「個人データ」の該当性
法第 30 条は、「個人データ」の提供を受ける際に適用される義務であるところ、「個人情報」には該当するが「個人データ」には該当しない情報の場合、
又は、そもそも「個人情報」に該当しない情報の提供を受けた場合は、同条の義務は適用されない。

73

(a) 受領者にとって「個人データ」に該当しない場合① 判断主体法第 30 条の要件の該当性は、同条の名宛人である受領者を基準に判断する必要があるため、提供者にとって個人データに該当するが受領者にとって個人データに該当しない情報を受領した場合は、同条の確認・記録義務は適用されない。
したがって、例えば、教習所事業者の営業担当者が、取引先を紹介する目的
で、データベースとして管理しているファイルから名刺 1 枚を取り出してそのコピーを他の教習所事業者の営業担当者に渡す場合、受領した側の教習所事業者は確認・記録義務を負わない。
なお、本来であれば個人データに該当するにもかかわらず、確認・記録義務を免れる目的のために、あえて分断して形式的に「個人データには該当しない個人情報」として提供を受ける行為は、法の潜脱であり、確認・記録義務を免れることはできない。
② 判断時点
個人データには該当しない個人情報として提供を受けた場合、仮に、後に当該個人情報を個人情報データベース等に入力する等したときにおいても、法第30 条の確認・記録義務は適用されない。
③ ①②を踏まえ、受領者たる教習所事業者に対しては、提供を受ける時点において、個人データに該当する場合に、確認・記録義務が適用される。
(b) 受領者にとって「個人情報」に該当しない場合
次の事例のように、提供者にとって個人データに該当する場合であっても、受領者にとっては「個人情報」に該当しない（当然に個人データにも該当しな
い。）情報を受領した場合は、法第 30 条の確認・記録義務は適用されない。
【受領者にとって個人情報に該当しない事例】
事例 1）提供者が氏名を削除するなどして個人を特定できないようにしたデー
タの提供を受けた場合
事例 2）提供者で管理している ID 番号のみが付されたデータの提供を受けた場合
b 「提供を受けるに際して」
法第 30 条の確認・記録義務は、受領者にとって、「第三者から個人データの提供を受ける」行為がある場合に適用されるため、単に閲覧する行為について
は、「提供を受ける」行為があるとは言えず、法第 30 条の義務は適用されない。
74なお、提供者たる個人情報取扱事業者が、個人データを第三者が利用可能な状態に置く行為は、提供行為に該当する。
また、口頭、FAX、メール、電話等で、受領者の意思とは関係なく、一方的に個人データを提供された場合において、受領者側に「提供を受ける」行為がないときは、法第 30 条の確認・記録義務は適用されない。
(2) 記録義務（法第 29 条第 1 項、第 30 条第 3 項関係）
ア 記録を作成する方法など(ｱ) 記録を作成する媒体（規則第 19 条第 1 項、第 23 条第 1 項関係）
教習所事業者は、記録を、文書、電磁的記録又はマイクロフィルムを用いて作成しなければならない。
(ｲ) 記録を作成する方法
a 原則（規則第 19 条第 2 項、第 23 条第 2 項関係）
教習所事業者は、原則として、個人データの授受の都度、速やかに、記録を作成しなければならない。
なお、個人データを授受する前に記録を作成することもできる。
本人別に記録を単体で作成する方法のほか、対象となる複数の本人の記録を一体として作成することもできる。
b 一括して記録を作成する方法（規則第 19 条第 2 項、第 23 条第 2 項関係）
一定の期間内に特定の事業者との間で継続的に又は反復して個人データを授受する場合は、個々の授受に係る記録を作成する代わりに、一括して記録を作成することができる。
なお、オプトアウトによる第三者提供については対象外である。
本人別に記録を単体で作成する方法のほか、対象となる複数の本人の記録を一体として作成することもできる。
なお、複数の本人の記録を一体として記録を作成する場合において、継続的に又は反復して個人データを授受する対象期間内に、データ群を構成する本人
が途中で変動するときも、一括して記録を作成することもできる。
「一括して記録を作成する方法」は、例外としての記録作成方法であることに鑑みて、その対象期間、対象範囲等を明確にすることが望ましい。

75

c 契約書等の代替手段による方法（規則第 19 条第 3 項、第 23 条第 3 項関係）
教習所事業者が、本人に対する物品又は役務の提供に係る契約を締結し、かかる契約の履行に伴って、契約の締結の相手方を本人とする個人データを当該教習所事業者から第三者に提供する場合は、当該提供の際に作成した契約書その他の書面をもって個人データの流通を追跡することが可能であることから、
当該契約書その他の書面をもって記録とすることができる。
なお、オプトアウトによる第三者提供については対象外である。
本人別に記録を単体で作成する方法のほか、対象となる複数の本人の記録を一体として作成することもできる。
(ｳ) 代行により記録を作成する方法
提供者・受領者のいずれも記録の作成方法・保存期間は同一であることに鑑
みて、提供者（又は受領者）は受領者（又は提供者）の記録義務の全部又は一部を代替して行うことができる（提供者と受領者の記録事項の相違については留意する必要がある。）。なお、この場合であっても、提供者及び受領者は自己の義務が免責されるわけではないことから、実質的に自らが記録作成義務を果たしているものと同等の体制を構築しなければならない。
また、委託先の個人情報取扱事業者が委託契約の目的の範囲内で第三者との間で個人データの授受を行った場合において、一義的には委託先の個人情報取扱事業者が記録を作成する義務があるが、委託元の個人情報取扱事業者が記録の作成を代行することができる。
イ 記録事項(ｱ) 提供者の記録事項（法第 29 条第 1 項関係）a

オプトアウトによる第三者提供をする場合（規則第 20 条第 1 項第 1 号関係）
教習所事業者が、オプトアウトによる個人データの第三者提供を行う場合は、
規則第 20 条第 1 項第 1 号に定める事項を記録しなければならない。
b 本人の同意による第三者提供をする場合（規則第 20 条第 1 項第 2 号関係）
教習所事業者が、本人の同意に基づき個人データの第三者提供を行う場合は、
規則第 20 条第 1 項第 2 号に定める事項を記録しなければならない。
(ｲ) 受領者の記録事項（法第 30 条第 3 項関係）
76a

オプトアウトによる第三者提供を受ける場合（規則第 24 条第 1 項第 1 号
関係）
教習所事業者が、オプトアウトによる個人データの第三者提供を受ける場合
は、規則第 24 条第 1 項第 1 号に定める事項を記録しなければならない。
b

本人の同意に基づき第三者提供を受ける場合（規則第 24 条第 1 項第 2 号
関係）
教習所事業者が、本人の同意に基づき個人データの第三者提供を受ける場合

は、規則第 24 条第 1 項第 2 号に定める事項を記録しなければならない。
c 私人などから第三者提供を受ける場合（規則第 24 条第 1 項第 4 号関係）
教習所事業者が、他の個人情報取扱事業者又は法第 16 条第 2 項各号に掲げる者（（1）ア（ｳ）（第三者が法第 16 条第 2 項各号に掲げる者である場合）参照）
以外の者から、個人データの提供を受ける場合は、規則第 24 条第 1 項第 4 号に定める事項を記録しなければならない。
(ｳ) 記録事項の省略（規則第 20 条第 2 項、第 24 条第 2 項関係）
複数回にわたって同一「本人」の個人データの授受をする場合において、同一の内容である事項を重複して記録する必要はないことから、既に（2）（記録義務）に規定する方法により作成した記録（現に保存している場合に限る。）に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。
ウ 保存期間（法第 29 条第 2 項、第 30 条第 4 項関係）
教習所事業者は、作成した記録を規則で定める期間保存しなければならない。
保存期間は記録の作成方法によって異なる。具体的には、次の表のとおりである。
なお、対象となる複数の本人の記録を一体として作成した場合には、保存期
間は各記録ごとに異なることがある。
＜保存期間＞
記録の作成方法の別

保存期間(2)ア(ｲ)c（契約書等の代替手段による方 最後に当該記録に係る個人データの提供
法）により記録を作成した場合を行った日から起算して 1 年を経過する日までの間(2)ア(ｲ)b（一括して記録を作成する方法） 最後に当該記録に係る個人データの提供
77

により記録を作成した場合を行った日から起算して 3 年を経過する
日までの間

上記以外の場合

3年

その他、詳細については、ガイドライン（第三者提供時の確認・記録義務編）
を参照のこと。
3-6-6

第三者提供を受ける際の確認等（法第 30 条関係）

【第三者提供を受ける際の確認（法第 30 条第 1 項・第 2 項関係）】
法第 30 条（第 1 項・第 2 項）
1 個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、
個人情報保護委員会規則で定めるところにより、次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供が第 27 条第 1 項各号又は第 5 項各号のいずれかに該当する場合は、この限りでない。
(1) 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名(2) 当該第三者による当該個人データの取得の経緯
2 前項の第三者は、個人情報取扱事業者が同項の規定による確認を行う場合において、当該個人情報取扱事業者に対して、当該確認に係る事項を偽ってはならない。
規則第 22 条
1 法第 30 条第 1 項の規定による同項第 1 号に掲げる事項の確認を行う方法は、
個人データを提供する第三者から申告を受ける方法その他の適切な方法とする。
2 法第 30 条第 1 項の規定による同項第 2 号に掲げる事項の確認を行う方法は、
個人データを提供する第三者から当該第三者による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法とする。
3

前二項の規定にかかわらず、第三者から他の個人データの提供を受けるに際して既に前二項に規定する方法による確認（当該確認について次条に規定する方法による記録の作成及び保存をしている場合におけるものに限る。）を行っている事項の確認を行う方法は、当該事項の内容と当該提供に係る法第30 条第 1 項各号に掲げる事項の内容が同一であることの確認を行う方法とする。
78

【第三者提供を受ける際の記録の作成等（法第 30 条第 3 項・第 4 項関係）】
法第 30 条（第 3 項・第 4 項）
3 個人情報取扱事業者は、第 1 項の規定による確認を行ったときは、個人情報保護委員会規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。
4 個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。
規則第 23 条
1 法第 30 条第 3 項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。
2 法第 30 条第 3 項の記録は、第三者から個人データの提供を受けた都度、速やかに作成しなければならない。ただし、当該第三者から継続的に若しくは
反復して個人データの提供（法第 27 条第 2 項の規定による提供を除く。以下
この条において同じ。）を受けたとき、又は当該第三者から継続的に若しくは反復して個人データの提供を受けることが確実であると見込まれるときの記録は、一括して作成することができる。
3 前項の規定にかかわらず、本人に対する物品又は役務の提供に関連して第三者から当該本人に係る個人データの提供を受けた場合において、当該提供に関して作成された契約書その他の書面に次条第 1 項各号に定める事項が記載されているときは、当該書面をもって法第 30 条第 3 項の当該事項に関する記録に代えることができる。
規則第 24 条
1 法第 30 条第 3 項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。
(1) 個人情報取扱事業者から法第 27 条第 2 項の規定による個人データの提供を受けた場合 次のイからホまでに掲げる事項
イロハ

個人データの提供を受けた年月日
法第 30 条第 1 項各号に掲げる事項
当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
ニ 当該個人データの項目
ホ 法第 27 条第 4 項の規定により公表されている旨
79

(2) 個人情報取扱事業者から法第 27 条第 1 項又は法第 28 条第 1 項の規定による個人データの提供を受けた場合 次のイ及びロに掲げる事項
イ 法第 27 条第 1 項又は法第 28 条第 1 項の本人の同意を得ている旨
ロ 前号ロからニまでに掲げる事項(3) 個人関連情報取扱事業者から法第 31 条第 1 項の規定による個人関連情報の提供を受けて個人データとして取得した場合 次のイからニまでに掲げる事項
イ 法第 31 条第 1 項第 1 号の本人の同意が得られている旨及び外国にある
個人情報取扱事業者にあっては、同項第 2 号の規定による情報の提供が行われている旨ロ 法第 30 条第 1 項第 1 号に掲げる事項
ハ 第 1 号ハに掲げる事項
ニ 当該個人関連情報の項目(4) 第三者（個人情報取扱事業者に該当する者を除く。）から個人データの提供を受けた場合 第 1 号ロからニまでに掲げる事項
2 前項各号に定める事項のうち、既に前条に規定する方法により作成した法第30 条第 3 項の記録（当該記録を保存している場合におけるものに限る。）に記録された事項と内容が同一であるものについては、法第 30 条第 3 項の当該事項の記録を省略することができる。
規則第 25 条
法第 30 条第 4 項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とする。
(1) 第 23 条第 3 項に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を受けた日から起算して 1 年を経過する日までの間(2) 第 23 条第 2 項ただし書に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を受けた日から起算して 3 年を経過する日までの間(3) 前二号以外の場合 3 年(1) 確認義務（法第 30 条第 1 項・第 2 項、規則第 22 条関係）
ア 確認方法（法第 30 条第 1 項、規則第 22 条関係）
教習所事業者は、第三者から個人データの提供を受ける際は、当該第三者に対して、次のとおり確認を行わなければならない。この際、当該第三者は当該80

教習所事業者に対して、当該確認に係る事項を偽ってはならない（法第 30 条第2 項。同項に違反した場合には法第 180 条により 10 万円以下の過料）。
(ｱ) 第三者の氏名及び住所並びに法人にあっては、その代表者の氏名（法第30 条第 1 項第 1 号、規則第 22 条第 1 項関係）
【第三者から申告を受ける方法に該当する事例】
事例 1）口頭で申告を受ける方法
事例 2）所定の申込書等に記載をさせた上で、当該申込書等の提出を受け入れる方法
事例 3）本人確認書類の写しの送付を受け入れる方法【その他の適切な方法に該当する事例】
事例 1）登記されている事項を確認する方法（受領者が自ら登記事項証明書・
登記情報提供サービスで当該第三者の名称・住所・代表者の氏名を確認する
方法）
事例 2）法人番号（行政手続における特定の個人を識別するための番号の利用等に関する法律（平成 25 年法律第 27 号）第 2 条第 15 項に規定する法人番号をいう。）の提示を受けて、当該法人の名称、住所を確認する方法
事例 3）当該第三者が自社のホームページなどで名称、住所、代表者の氏名を公開している場合において、その内容を確認する方法
事例 4）信頼性のおける民間のデータ業者のデータベースを確認する方法
事例 5）上場会社等の有価証券報告書等を確認する方法(ｲ) 第三者による個人データの取得の経緯（法第 30 条第 1 項第 2 号、規則第22 条第 2 項関係）
教習所事業者は、第三者から個人データの提供を受ける際は、当該第三者による当該個人データの「取得の経緯」を確認しなければならない。
「取得の経緯」を確認する趣旨としては、提供を受けようとする個人データ
が適法に入手されたものではないと疑われる場合に、当該個人データの利用・流通を未然に防止する点にある。
仮に、適法に入手されたものではないと疑われるにもかかわらず、あえて個
人データの提供を受けた場合には、法第 20 条第 1 項の規定違反と判断される可能性がある。
「取得の経緯」の具体的な内容は、個人データの内容、第三者提供の態様などにより異なり得るが、基本的には、取得先の別（顧客としての本人、従業員
81

としての本人、他の個人情報取扱事業者、家族・友人等の私人、いわゆる公開
情報等）、取得行為の態様（本人から直接取得したか、有償で取得したか、いわゆる公開情報から取得したか、紹介により取得したか、私人として取得した
ものか等）などを確認しなければならない。
なお、あくまで、個人データを提供した「第三者」による取得の経緯を確認すれば足り、そこから遡って当該「第三者」より前に取得した者の取得の経緯を確認する義務はない。
【適切な方法に該当する事例】
事例 1）提供者が別の者から個人データを買い取っている場合には売買契約書などを確認する方法
事例 2）提供者が本人から書面等で当該個人データを直接取得している場合に当該書面等を確認する方法
事例 3）提供者による取得の経緯が明示的又は黙示的に示されている、提供者と受領者間の契約書面を確認する方法
事例 4）提供者が本人の同意を得ていることを誓約する書面を受け入れる方法
事例 5）提供者のホームページで公表されている利用目的、規約等の中に、取得の経緯が記載されている場合において、その記載内容を確認する方法
事例 6）本人による同意書面を確認する方法(ｳ) 法の遵守状況
受領者は、個人情報取扱事業者から個人データの提供を受ける際には、当該個人情報取扱事業者の法の遵守状況（例えば、利用目的、開示手続、問合せ・苦情の受付窓口の公表など）についても確認することが望ましい。特に、個人情報取扱事業者からオプトアウトによる第三者提供により個人データの提供を受ける際には、受領者は、当該個人情報取扱事業者の届出事項が個人情報保護委員会により公表されている旨を記録しなければならないことに留意する必要がある（3-6-5（第三者提供に係る記録の作成等）(2)イ(ｲ)（受領者の記録事項）参照）。
提供者である個人情報取扱事業者の法の遵守状況を確認した結果、提供される個人データが適法に入手されたものではないと疑われるにもかかわらず、当該個人データの提供を受けた場合には、法第 20 条第 1 項の規定違反と判断されるおそれがある。
イ 既に確認を行った第三者に対する確認方法（規則第 22 条関係）
複数回にわたって同一「本人」の個人データの授受をする場合において、同82

一の内容である事項を重複して確認する合理性はないため、既に規則第 22 条に規定する方法（(1)ア(ｱ)（第三者の氏名及び住所並びに法人にあっては、その代表者の氏名）、(1)ア(ｲ)（当該第三者による当該個人データの取得の経緯））により確認を行い、3-6-5（第三者提供に係る記録の作成等）(2)（記録義務）に規定する方法により作成し、かつ、その時点において保存している記録に記録された事項と内容が同一であるものについては、当該事項の確認を省略することができる。
その他、詳細については、ガイドライン（第三者提供時の確認・記録義務編）
を参照のこと。
3-7

個人関連情報の第三者提供の制限等（法第 31 条関係）

法第 31 条1 個人関連情報取扱事業者は、第三者が個人関連情報（個人関連情報データ
ベース等を構成するものに限る。以下この章及び第 6 章において同じ。）を
個人データとして取得することが想定されるときは、第 27 条第 1 項各号に掲げる場合を除くほか、次に掲げる事項について、あらかじめ個人情報保護委
員会規則で定めるところにより確認することをしないで、当該個人関連情報を当該第三者に提供してはならない。
(1) 当該第三者が個人関連情報取扱事業者から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていること。
(2) 外国にある第三者への提供にあっては、前号の本人の同意を得ようとする場合において、個人情報保護委員会規則で定めるところにより、あらか
じめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報が当該本人に提供されていること。
2 第 28 条第 3 項の規定は、前項の規定により個人関連情報取扱事業者が個人関連情報を提供する場合について準用する。この場合において、同条第 3 項
中「講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供し」とあるのは、「講じ」と読み替えるものとする。
3 前条第 2 項から第 4 項までの規定は、第 1 項の規定により個人関連情報取扱事業者が確認する場合について準用する。この場合において、同条第 3 項中「の提供を受けた」とあるのは、「を提供した」と読み替えるものとする。

83

規則第 26 条
1 法第 31 条第 1 項の規定による同項第 1 号に掲げる事項の確認を行う方法は、
個人関連情報の提供を受ける第三者から申告を受ける方法その他の適切な方法とする。
2 法第 31 条第 1 項の規定による同項第 2 号に掲げる事項の確認を行う方法は、同号の規定による情報の提供が行われていることを示す書面の提示を受ける
方法その他の適切な方法とする。
3 前二項の規定にかかわらず、第三者に個人関連情報の提供を行うに際して既に前二項に規定する方法による確認（当該確認について次条に規定する方法
による記録の作成及び保存をしている場合におけるものに限る。）を行っている事項の確認を行う方法は、当該事項の内容と当該提供に係る法第 31 条第1 項各号に掲げる事項の内容が同一であることの確認を行う方法とする。
規則第 27 条
1 法第 31 条第 3 項において読み替えて準用する法第 30 条第 3 項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。
2 法第 31 条第 3 項において読み替えて準用する法第 30 条第 3 項の記録は、
個人関連情報を第三者に提供した都度、速やかに作成しなければならない。
ただし、当該第三者に対し個人関連情報を継続的に若しくは反復して提供したとき、又は当該第三者に対し個人関連情報を継続的に若しくは反復して提供することが確実であると見込まれるときの記録は、一括して作成することができる。
3 前項の規定にかかわらず、法第 31 条第 1 項の規定により、本人に対する物
品又は役務の提供に関連して当該本人に係る個人関連情報を第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に次条第 1項各号に定める事項が記載されているときは、当該書面をもって法第 31 条第3 項において読み替えて準用する法第 30 条第 3 項の当該事項に関する記録に代えることができる。
規則第 28 条
1 法第 31 条第 3 項において読み替えて準用する法第 30 条第 3 項の個人情報保護委員会規則で定める事項は、次に掲げる事項とする。
(1) 法第 31 条第 1 項第 1 号の本人の同意が得られていることを確認した旨及び外国にある第三者への提供にあっては、同項第 2 号の規定による情報の提供が行われていることを確認した旨
84

(2) 個人関連情報を提供した年月日（前条第 2 項ただし書の規定により、法第 31 条第 3 項において読み替えて準用する法第 30 条第 3 項の記録を一括して作成する場合にあっては、当該提供の期間の初日及び末日）(3) 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名(4) 当該個人関連情報の項目
2 前項各号に定める事項のうち、既に前条に規定する方法により作成した法第
31 条第 3 項において読み替えて準用する法第 30 条第 3 項の記録（当該記録を保存している場合におけるものに限る。）に記録された事項と内容が同一であるものについては、法第 31 条第 3 項において読み替えて準用する法第30 条第 3 項の当該事項の記録を省略することができる。
規則第 29 条
法第 31 条第 3 項において準用する法第 30 条第 4 項の個人情報保護委員会
規則で定める期間は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める期間とする。
(1) 第 27 条第 3 項に規定する方法により記録を作成した場合 最後に当該記録に係る個人関連情報の提供を行った日から起算して 1 年を経過する日までの間(2) 第 27 条第 2 項ただし書に規定する方法により記録を作成した場合 最後に当該記録に係る個人関連情報の提供を行った日から起算して 3 年を経過する日までの間(3) 前二号以外の場合 3 年
3-7-1

法第 31 条の適用の有無について

教習所事業者は、提供先の第三者が個人関連情報（個人関連情報データベー
ス等を構成するものに限る。以下同じ。）を個人データとして取得することが想定されるときは、法第 27 条第 1 項各号に掲げる場合を除き、あらかじめ当該
個人関連情報に係る本人の同意が得られていること等を確認しないで、当該個人関連情報を提供してはならない。
法第 31 条第 1 項は、個人関連情報取扱事業者による個人関連情報の第三者提供一般に適用されるものではなく、提供先の第三者が個人関連情報を「個人デー
タとして取得することが想定されるとき」に適用されるものである。そのため、個人関連情報の提供を行う教習所事業者は、提供先の第三者との間で、提供を行う個人関連情報の項目や、提供先の第三者における個人関連情報の取扱い等
85

を踏まえた上で、それに基づいて法第 31 条第 1 項の適用の有無を判断する。
3-7-2

本人の同意の取得方法

3-7-2-1

本人の同意

法第 31 条第 1 項第 1 号の「本人の同意」とは、個人関連情報取扱事業者が第三者に個人関連情報を提供し、当該第三者が当該個人関連情報を個人データとして取得することを承諾する旨の当該本人の意思表示をいう。同号の同意の取得に当たっては、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示した上で、本人の同意の意思が明確に確認できることが必要である。
また、本人の同意は、必ずしも第三者提供のたびに取得しなければならない
ものではなく、本人が予測できる範囲において、包括的に同意を取得することも可能である。
3-7-2-2

同意を取得する主体

法第 31 条第 1 項第 1 号の「本人の同意」を取得する主体は、本人と接点を持ち、情報を利用する主体となる提供先の第三者であるが、同等の本人の権利利益の保護が図られることを前提に、同意取得を提供元の個人関連情報取扱事業者が代行することも認められる。
提供先の第三者による同意取得の場合であっても、提供元の個人関連情報取扱事業者による同意取得の代行の場合であっても、個人関連情報の提供を受けて個人データとして取得する主体、対象となる個人関連情報の項目、個人関連情報の提供を受けて個人データとして取得した後の利用目的等について、本人が認識できるようにする必要がある。
3-7-2-3

同意取得の方法

同意取得の方法としては、様々な方法があるが、例えば、本人から同意する旨を示した書面や電子メールを受領する方法、確認欄へのチェックを求める方法がある。ウェブサイト上で同意を取得する場合は、単にウェブサイト上に本人に示すべき事項を記載するのみでは足りず、それらの事項を示した上でウェ
ブサイト上のボタンのクリックを求める方法等によらなければならない。
また、同意取得に際しては、本人に必要な情報を分かりやすく示すことが重86

要であり、例えば、図を用いるなどして工夫することが考えられる。
3-7-3

本人の同意等の確認の方法（法第 31 条第 1 項関係）

3-7-3-1 個人データとして取得することを認める旨の本人の同意を得られていること（法第 31 条第 1 項第 1 号、規則第 26 条第 1 項関係）
本人から同意を得る主体は、原則として提供先の第三者となり、教習所事業者は、当該第三者から申告を受ける方法その他の適切な方法によって本人同意が得られていることを確認することになる。提供先の第三者から申告を受ける
場合、教習所事業者は、その申告内容を一般的な注意力をもって確認すれば足りる。
提供先の第三者において、複数の本人から同一の方式で同意を取得している
場合、提供元はそれぞれの本人から同意が取得されていることを確認する必要があるが、同意取得の方法については、本人ごとに個別の申告を受ける必要はなく、複数の本人からどのように同意を取得したか申告を受け、それによって確認を行えば足りる。
3-7-3-2 外国にある第三者への提供にあっては、必要な情報が当該本人に提供されていること（法第 31 条第 1 項第 2 号、規則第 26 条第 2 項関係）
教習所事業者は、個人関連情報の提供先が外国にある第三者である場合には、
法第 31 条第 1 項第 1 号に基づき本人の同意が得られていることを確認するに当たって、当該同意が得られていることに加え、一定の場合を除き、当該同意を得ようとする時点において規則第 17 条第 2 項各号で定める情報が当該本人に提供されていることを確認しなければならない。
3-7-3-3項）

既に確認を行った第三者に対する確認の方法（規則第 26 条第 3

複数回にわたって同一「本人」の個人関連情報を提供する場合において、同一の内容である事項を重複して確認する合理性はないため、既に規則第 26 条に規定する方法により確認を行い、3-7-4（提供元における記録義務）に規定する方法により作成し、かつ、その時点において保存している記録に記録された事項と内容が同一であるものについては、当該事項の確認を省略することができ
87

る。
3-7-4

提供元における記録義務（法第 31 条第 3 項、第 30 条第 3 項関係）

教習所事業者は、法第 31 条第 1 項の規定による確認を行った場合は、規則第27 条で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の規則第 28 条第 1 項で定める事項に関する記録を作成しなければならない（法第 31 条第 3 項において準用される法第 30 条第 3 項）。
3-7-5

提供先の第三者における確認義務（法第 30 条第 1 項）

個人情報取扱事業者である提供先の第三者は、法第 31 条第 1 項の規定による
個人関連情報の提供（法第 27 条第 1 項各号に掲げる場合を除く。）を受けて個
人データとして取得する場合は、法第 30 条第 1 項の確認義務の適用を受ける。
3-7-6

提供先の第三者における記録義務（法第 30 条第 3 項関係）

個人情報取扱事業者である提供先の第三者は、法第 31 条第 1 項の規定による
個人関連情報の提供（法第 27 条第 1 項各号に掲げる場合を除く。）を受けて個
人データとして取得する場合は、法第 30 条第 3 項の記録義務の適用を受ける。
その他、詳細については、ガイドライン（通則編）3-7 を参照のこと。
3-8 保有個人データに関する事項の公表等、保有個人データの開示・訂正等・
利用停止等（法第 32 条～第 39 条関係）
3-8-1

保有個人データに関する事項の公表等（法第 32 条関係）

(1) 保有個人データに関する事項の本人への周知（法第 32 条第 1 項関係）
法第 32 条（第 1 項）
1 個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
(1) 当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
88

(2) 全ての保有個人データの利用目的（第 21 条第 4 項第 1 号から第 3 号までに該当する場合を除く。）(3) 次項の規定による求め又は次条第 1 項（同条第 5 項において準用する場
合を含む。）、第 34 条第 1 項若しくは第 35 条第 1 項、第 3 項若しくは第5 項の規定による請求に応じる手続（第 38 条第 2 項の規定により手数料の額を定めたときは、その手数料の額を含む。）(4) 前三号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの
政令第 10 条
法第 32 条第 1 項第 4 号の政令で定めるものは、次に掲げるものとする。
(1) 法第 23 条の規定により保有個人データの安全管理のために講じた措置（本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。）(2) 当該個人情報取扱事業者が行う保有個人データの取扱いに関する苦情の申出先(3) 当該個人情報取扱事業者が認定個人情報保護団体の対象事業者である場
合にあっては、当該認定個人情報保護団体の名称及び苦情の解決の申出先
教習所事業者は、保有個人データについて、次の①から⑤までの情報を本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。以下同じ。）（※1）に置かなければならない。
① 教習所事業者の氏名又は名称及び住所（※2）並びに法人にあっては、その代表者の氏名② 全ての保有個人データの利用目的（※3（ただし、一定の場合（※4）を除く。）③ 保有個人データの利用目的の通知の求め又は開示等の請求（※5）に応じる
手続及び保有個人データの利用目的の通知の求め又は開示の請求に係る手数料の額（定めた場合に限る。）（※6）④ 保有個人データの安全管理のために講じた措置（ただし、本人の知り得る状態に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。）
教習所事業者は、法第 23 条の規定により保有個人データの安全管理のために講じた措置の内容を本人の知り得る状態に置かなければならない。
ただし、当該保有個人データの安全管理に支障を及ぼすおそれがあるものについては、その必要はない。
89当該安全管理のために講じた措置は、事業の規模及び性質、保有個人データの取扱状況（取り扱う保有個人データの性質及び量を含む。）、保有個人デー
タを記録した媒体等に起因するリスクに応じて、必要かつ適切な内容としなけ
ればならない。このため、当該措置の内容は教習所事業者によって異なり、本人の知り得る状態に置く安全管理のために講じた措置の内容についても教習所事業者によって異なる。
なお、本人の知り得る状態については、本人の求めに応じて遅滞なく回答する場合を含むため、講じた措置の概要や一部をホームページに掲載し、残りを本人の求めに応じて遅滞なく回答を行うといった対応も可能であるが、例えば、「指定自動車教習所業における個人情報保護指針」に沿って安全管理措置を実施しているといった内容の掲載や回答のみでは適切ではない。
【安全管理のために講じた措置として本人の知り得る状態に置く内容の事例】（※7）（基本方針の策定）
事例）個人データの適正な取扱いの確保のため、「関係法令・ガイドライン等の遵守」、「質問及び苦情処理の窓口」等についての基本方針を策定（個人データの取扱いに係る規律の整備）事例）取得、利用、保存、提供、削除・廃棄等の段階ごとに、取扱方法、責任者・担当者及びその任務等について個人データの取扱規程を策定（組織的安全管理措置）
事例 1）個人データの取扱いに関する責任者を設置するとともに、個人データを取り扱う従業者及び当該従業者が取り扱う個人データの範囲を明確化し、法や取扱規程に違反している事実又は兆候を把握した場合の責任者への報告連絡体制を整備
事例 2）個人データの取扱状況について、定期的に自己点検を実施するとともに、他部署や外部の者による監査を実施（人的安全管理措置）
事例 1）個人データの取扱いに関する留意事項について、従業者に定期的な研修を実施
事例 2）個人データについての秘密保持に関する事項を就業規則に記載（物理的安全管理措置）
事例 1）個人データを取り扱う区域において、従業者の入退室管理及び持ち込む機器等の制限を行うとともに、権限を有しない者による個人データの閲覧を防止する措置を実施
事例 2）個人データを取り扱う機器、電子媒体及び書類等の盗難又は紛失等を90防止するための措置を講じるとともに、事業所内の移動を含め、当該機器、電子媒体等を持ち運ぶ場合、容易に個人データが判明しないよう措置を実施（技術的安全管理措置）
事例 1）アクセス制御を実施して、担当者及び取り扱う個人情報データベース
等の範囲を限定事例 2）個人データを取り扱う情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入（外的環境の把握）
事例）個人データを保管している A 国における個人情報の保護に関する制度を把握した上で安全管理措置を実施（※8）
【本人の知り得る状態に置くことにより支障を及ぼすおそれがあるものの事
例】（※9）
事例 1）個人データが記録された機器等の廃棄方法、盗難防止のための管理方
法
事例 2）個人データ管理区域の入退室管理方法
事例 3）アクセス制御の範囲、アクセス者の認証手法等
事例 4）不正アクセス防止措置の内容等【中小規模事業者（※10）における安全管理のために講じた措置として本人の知り得る状態に置く内容の事例】（※11）（基本方針の策定）
事例）個人データの適正な取扱いの確保のため、「関係法令・ガイドライン等の遵守」、「質問及び苦情処理の窓口」等についての基本方針を策定（【安全管理のために講じた措置として本人の知り得る状態に置く内容の事例】と同様）（個人データの取扱いに係る規律の整備）
事例）個人データの取得、利用、保存等を行う場合の基本的な取扱方法を整備（組織的安全管理措置）
事例 1）整備した取扱方法に従って個人データが取り扱われていることを責任者が確認
事例 2）従業者から責任者に対する報告連絡体制を整備（人的安全管理措置）
事例 1）個人データの取扱いに関する留意事項について、従業者に定期的な研修を実施（【安全管理のために講じた措置として本人の知り得る状態に置く
内容の事例】と同様）
91

事例 2）個人データについての秘密保持に関する事項を就業規則に記載（【安全管理のために講じた措置として本人の知り得る状態に置く内容の事例】と同様）（物理的安全管理措置）
事例 1）個人データを取り扱うことのできる従業者及び本人以外が容易に個人データを閲覧できないような措置を実施
事例 2）個人データを取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するための措置を講じるとともに、事業所内の移動を含め、当該機器、電子媒体等を持ち運ぶ場合、容易に個人データが判明しないよう措置を実施（【安全管理のために講じた措置として本人の知り得る状態に置く内容の事例】と同様）（技術的安全管理措置）
事例 1）個人データを取り扱うことのできる機器及び当該機器を取り扱う従業者を明確化し、個人データへの不要なアクセスを防止
事例 2）個人データを取り扱う機器を外部からの不正アクセス又は不正ソフト
ウェアから保護する仕組みを導入（外的環境の把握）
事例）個人データを保管している A 国における個人情報の保護に関する制度を把握した上で安全管理措置を実施（【安全管理のために講じた措置として本人の知り得る状態に置く内容の事例】と同様）⑤ 保有個人データの取扱いに関する苦情の申出先（例）苦情を受け付ける担当窓口名・係名、郵送用住所、受付電話番号その他の苦情申出先（教習所事業者が認定個人情報保護団体たる全指連の対象事業者である場合は、その名称及び苦情解決の申出先を含む。）（※1）
「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」とは、ホームページへの掲載、パンフレットの配布、本人の求めに応じて遅滞なく回答を行うこと等、本人が知ろうとすれば、知ることができる状態に置くことをいい、常にその時点での正確な内容を本人の知り得る状態に置かなければならない。
必ずしもホームページへの掲載、又は事務所等の窓口等へ掲示すること等が継続的に行われることまでを必要とするものではないが、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。
なお、普段から問合せ対応が多い事業者等において、ホームページへ継続的に掲載する方法は、「本人が容易に知り得る状態」（3-6-2（オプトアウトによる第三92者提供）参照）及び「本人の知り得る状態（本人の求めに応じて遅滞なく回答する
場合を含む。）」の両者の趣旨に合致する方法である。
【本人の知り得る状態に該当する事例】
事例 1）問合せ窓口を設け、問合せがあれば、口頭又は文書で回答できるよう体制を構築しておく場合
事例 2）店舗にパンフレットを備え置く場合
事例 3）電子商取引において、商品を紹介するホームページに問合せ先のメール
アドレスを表示する場合（※2）個人情報取扱事業者が外国に所在する場合は、当該外国（本邦の域外にある
国又は地域）の名称を含む。
（※3）利用目的に第三者提供が含まれる場合は、その旨も明らかにしなければならない。
（※4）「一定の場合」とは、法第 21 条第 4 項第 1 号から第 3 号までに掲げる場合をいう（3-3-5（利用目的の通知等をしなくてよい場合）参照）。
（※5）「開示等の請求」とは、保有個人データの開示（3-8-2（保有個人データの開示）参照）、保有個人データの内容の訂正、追加若しくは削除（3-8-4（保有個人データの訂正等）参照）、保有個人データの利用の停止若しくは消去又は保有個人データの第三者への提供の停止（3-8-5（保有個人データの利用停止等）参照）、
第三者提供記録の開示（3-8-3（第三者提供記録の開示）参照）の請求をいう。
（※6）手数料の額を定める場合は、実費を勘案して合理的であると認められる範囲内において、定めなければならない（3-8-8（手数料）参照）。
（※7）法第 32 条第 1 項第 4 号及び政令第 10 条第 1 号の規定により本人の知り得る状態に置く必要があるのは保有個人データの安全管理のために講じた措置であるが、これに代えて、個人データの安全管理のために講じた措置について本人の知り得る状態に置くことは妨げられない。
安全管理措置の事例について、詳細は「7（別添）講ずべき安全管理措置の内容」
を参照のこと。ただし、上記事例も含め、掲げられている事例の内容の全てを本人の知り得る状態に置かなければならないわけではなく、また、本人の知り得る状態に置かなければならないものは事例の内容に限られない。本人の適切な理解と関与を促す観点から、事業の規模及び性質、保有個人データの取扱状況等に応じて、上
記事例以上に詳細な内容の掲載や回答とすることは、より望ましい対応である。
（※8）外国（本邦の域外にある国又は地域）の名称については、必ずしも正式名称を求めるものではないが、本人が合理的に認識できると考えられる形で情報提供を行う必要がある。また、本人の適切な理解と関与を促す観点から、保有個人データを取り扱っている外国の制度についても、本人の知り得る状態に置くといった対応が望ましい。
93

（※9）例えば、【安全管理のために講じた措置として本人の知り得る状態に置く内容の事例】にあるような、「盗難又は紛失等を防止するための措置を講じる」、「外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入」といった内容のみでは、本人の知り得る状態に置くことにより保有個人データの安全管理に支障を及ぼすおそれがあるとはいえないが、その具体的な方法や内容については、本人の知り得る状態に置くことにより保有個人データの安全管理に支障を及ぼす
おそれがあると考えられる。しかしながら、何をもって安全管理に支障を及ぼすおそれがあるかについては、取り扱われる個人情報の内容、個人情報の取扱いの態様等によって様々であり、事業の規模及び性質、保有個人データの取扱状況等に応じて判断される。
（※10）「中小規模事業者」については、「7（別添）講ずべき安全管理措置の内容」
を参照のこと。
（※11）中小規模事業者における安全管理措置の事例についても、詳細は「7（別添）講ずべき安全管理措置の内容」を参照のこと。その他の個人情報取扱事業者と同様に、上記事例も含め、掲げられている事例の内容の全てを本人の知り得る状態に置かなければならないわけではなく、また、本人の知り得る状態に置かなければならないものは事例の内容に限られない。また、中小規模事業者が、その他の個人情報取扱事業者と同様に「7（別添）講ずべき安全管理措置の内容」に掲げる「手法の例示」に記述した手法を採用し、当該手法の内容を本人の知り得る状態に置くことは、より望ましい対応である。

(2) 保有個人データの利用目的の通知（法第 32 条第 2 項、第 3 項関係）
法第 32 条（第 2 項・第 3 項）
2 個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りでない。
(1) 前項の規定により当該本人が識別される保有個人データの利用目的が明
らかな場合(2) 第 21 条第 4 項第 1 号から第 3 号までに該当する場合
3 個人情報取扱事業者は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
教習所事業者は、次の場合を除いて、本人から、当該本人が識別される保有94個人データの利用目的の通知を求められたときは、遅滞なく、本人に通知（※）
しなければならない。
なお、通知しない旨を決定したときは、遅滞なく、その旨を本人に通知しなければならない。
① 上記(1)（法第 32 条第 1 項）の措置により、本人が識別される保有個人デー
タの利用目的が明らかである場合② 法第 21 条第 4 項第 1 号から第 3 号までに該当する場合 （3-3-5（利用目的の通知等をしなくてよい場合）参照）（※）「本人に通知」については、2-14（本人に通知）を参照のこと。

3-8-2

保有個人データの開示（法第 33 条第 1 項～第 4 項関係）

法第 33 条（第 1 項～第 4 項）
1 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの電磁的記録の提供による方法その他の個人情報保護委員会規則で定める方法による開示を請求することができる。
2 個人情報取扱事業者は、前項の規定による請求を受けたときは、本人に対し、同項の規定により当該本人が請求した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
(1) 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合(2) 当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合(3) 他の法令に違反することとなる場合
3 個人情報取扱事業者は、第 1 項の規定による請求に係る保有個人データの全部若しくは一部について開示しない旨の決定をしたとき、当該保有個人デー
タが存在しないとき、又は同項の規定により本人が請求した方法による開示が困難であるときは、本人に対し、遅滞なく、その旨を通知しなければならない。
4 他の法令の規定により、本人に対し第 2 項本文に規定する方法に相当する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている場合には、当該全部又は一部の保有個人データについては、
95

第 1 項及び第 2 項の規定は、適用しない。
規則第 30 条
法第 33 条第 1 項（同条第 5 項において準用する場合を含む。）の個人情報保護委員会規則で定める方法は、電磁的記録の提供による方法、書面の交付による方法その他当該個人情報取扱事業者の定める方法とする。
教習所事業者は、本人から、当該本人が識別される保有個人データの開示（存在しないときにはその旨を知らせることを含む。）の請求を受けたときは、本人に対し、電磁的記録の提供による方法、書面の交付による方法その他当該教習所事業者の定める方法のうち本人が請求した方法（※1）（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法（※2））により、遅滞なく、当該保有個人デー
タを開示しなければならない（※3）。
電磁的記録の提供による方法については、教習所事業者がファイル形式や記録媒体などの具体的な方法を定めることができるが、開示請求等で得た保有個人データの利用等における本人の利便性向上の観点から、可読性・検索性のある形式による提供や、技術的に可能な場合には、他の事業者へ移行可能な形式
による提供を含め、できる限り本人の要望に沿った形で対応することが望ましい。
【電磁的記録の提供による方法の事例】
事例 1）電磁的記録を CD-ROM 等の媒体に保存して、当該媒体を郵送する方
法
事例 2）電磁的記録を電子メールに添付して送信する方法
事例 3）会員専用サイト等のウェブサイト上で電磁的記録をダウンロードしてもらう方法【その他当該個人情報取扱事業者の定める方法の事例】
事例 1）個人情報取扱事業者が指定した場所における音声データの視聴
事例 2）個人情報取扱事業者が指定した場所における文書の閲覧【当該方法による開示が困難である場合の事例】
事例 1）本人が電磁的記録の提供による開示を請求した場合であって、個人情報取扱事業者が当該開示請求に応じるために、大規模なシステム改修を行わなければならないような場合
96

事例 2）本人が電磁的記録の提供による開示を請求した場合であって、書面で個人情報や帳簿等の管理を行っている小規模事業者が、電磁的記録の提供に対応することが困難な場合
ただし、開示することにより次の(1)から(3)までのいずれかに該当する場合は、その全部又は一部を開示しないことができるが、これにより開示しない旨の決定をしたとき又は請求に係る保有個人データが存在しないときは、遅滞なく、その旨を本人に通知（※4）しなければならない。また、本人が請求した方法による開示が困難であるときは、その旨を本人に通知した上で、書面の交付によ
る方法により開示を行わなければならない。
(1) 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合事例）医療機関等において、病名等を患者に開示することにより、患者本人の心身状況を悪化させるおそれがある場合(2) 個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
事例 1）試験実施機関において、採点情報の全てを開示することにより、試験制度の維持に著しい支障を及ぼすおそれがある場合
事例 2）同一の本人から複雑な対応を要する同一内容について繰り返し開示の請求があり、事実上問合せ窓口が占有されることによって他の問合せ対応業
務が立ち行かなくなる等、業務上著しい支障を及ぼすおそれがある場合
事例 3）電磁的記録の提供にふさわしい音声・動画ファイル等のデータを、あえて書面で請求することにより、業務上著しい支障を及ぼすおそれがある場
合(3) 他の法令に違反することとなる場合
事例）刑法（明治 40 年法律第 45 号）第 134 条（秘密漏示罪）や電気通信事業法（昭和 59 年法律第 86 号）第 4 条（通信の秘密の保護）に違反することとなる場合また、他の法令の規定により、法第 33 条第 2 項本文に規定する方法に相当する方法により当該本人が識別される保有個人データを開示することとされている場合には、法第 33 条第 1 項及び第 2 項の規定は適用されず、当該他の法令の規定が適用されることとなる（法第 33 条第 4 項）。
97事例）タクシー業務適正化特別措置法（昭和 45 年法律第 75 号）第 19 条に規定する登録実施機関が、同法第 12 条及び第 19 条の規定に基づき、登録運転者に係る原簿の謄本の交付又は閲覧に係る請求に対応する場合
なお、本人が、裁判上の訴えにより、当該本人が識別される保有個人データの開示を請求する場合と本条との関係については、3-8-9（裁判上の訴えの事前請求）を参照のこと。
（※1）開示の請求を行った者から開示の方法について特に指定がなく、教習所事業者が提示した方法に対して異議を述べなかった場合は、当該教習所事業者が提示した方法で開示することができる。
（※2）本人が請求する方法による開示が困難な場合に、直ちに書面の交付による開示を行うのではなく、教習所事業者が対応できる方法への変更を求めることが望ましい。また、開示の請求に際して提出すべき書面の様式において、教習所事業者が対応できる方法や媒体等をあらかじめ示しておくといった対応も考えられる。
（※3）消費者等、本人の権利利益保護の観点からは、事業活動の特性、規模及び実態を考慮して、個人情報の取得方法（取得源の種類等）を、可能な限り具体的に明記し、本人からの求めに一層対応していくことが望ましい。
（※4）「本人に通知」については、2-14（本人に通知）を参照のこと。

3-8-3

第三者提供記録の開示（法第 33 条第 5 項、第 1 項～第 3 項関係）

3-8-3-1

第三者提供記録の定義

法第 33 条（第 5 項）
5 第 1 項から第 3 項までの規定は、当該本人が識別される個人データに係る第29 条第 1 項及び第 30 条第 3 項の記録（その存否が明らかになることにより
公益その他の利益が害されるものとして政令で定めるものを除く。第 37 条第2 項において「第三者提供記録」という。）について準用する。
法第 33 条（第 1 項～第 3 項）（略）（3-8-2（保有個人データの開示）参照）
政令第 11 条
法第 33 条第 5 項の政令で定めるものは、次に掲げるものとする。
98

(1) 当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの(2) 当該記録の存否が明らかになることにより、違法又は不当な行為を助長
し、又は誘発するおそれがあるもの(3) 当該記録の存否が明らかになることにより、国の安全が害されるおそれ、
他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの(4) 当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの
第三者提供記録とは、法第 29 条第 1 項及び第 30 条第 3 項の記録のうち、次の(1)から(4)までに掲げるものを除いたものをいう。明文又は解釈により法第 29条第 1 項又は第 30 条第 3 項の規定が適用されない場合において、これらの規定に基づくことなく作成された記録は第三者提供記録に含まれない。
(1) 当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの
事例）犯罪被害者支援や児童虐待防止を目的とする団体が、加害者を本人とする個人データの提供を受けた場合に作成された記録(2) 当該記録の存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの
事例）暴力団等の反社会的勢力による不当要求の被害等を防止するために、暴力団等の反社会的勢力に該当する人物を本人とする個人データの提供を受けた場合に作成された記録(3) 当該記録の存否が明らかになることにより、国の安全が害されるおそれ、
他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの
事例）要人の警備のために、要人を本人とする行動記録等に関する個人データの提供を受けた場合に作成された記録(4) 当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの
事例）警察の犯罪捜査の協力のために、事前に取得していた同意に基づき、犯罪者を本人とする個人データの提供を行った場合に作成された記録
99

3-8-3-2

第三者提供記録の開示の方法

教習所事業者は、本人から、当該本人が識別される個人データに係る第三者提供記録の開示（存在しないときにはその旨を知らせることを含む。）の請求を受けたときは、本人に対し、電磁的記録の提供による方法、書面の交付による方法その他当該教習所事業者の定める方法のうち本人が請求した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）により、遅滞なく、当該第三者提供記録を開示しなければならない（3-8-2（保有個人データの開示）参照）。
教習所事業者が第三者提供記録を本人に開示するに当たっては、法において記録事項とされている事項を本人が求める方法により開示すれば足り、それ以外の事項を開示する必要はない。例えば、契約書の代替手段による方法で記録を作成した場合には、当該契約書中、記録事項となっている事項を抽出した上で、本人が求める方法により開示すれば足り、契約書そのものを開示する必要はない。
3-8-3-3

第三者提供記録の不開示事由等

第三者提供記録を開示することにより次の(1)から(3)までのいずれかに該当する場合は、その全部又は一部を開示しないことができるが、これにより開示しない旨の決定をしたとき又は請求に係る第三者提供記録が存在しないときは、遅滞なく、その旨を本人に通知（※）しなければならない。また、本人が請求した方法による開示が困難であるときは、その旨を本人に通知した上で、書面の交付による方法により開示を行わなければならない。
(1) 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
事例 1）第三者提供記録に個人データの項目として本人が難病であることを示す内容が記載されている場合において、当該第三者提供記録を開示することにより、患者本人の心身状況を悪化させるおそれがある場合
事例 2）企業の与信判断等に用いられる企業情報の一部として代表者の氏名等が提供され、第三者提供記録が作成された場合において、当該第三者提供記
録を開示することにより、提供を受けた第三者が与信判断、出資の検討、提携先・取引先の選定等を行っていることを含む秘密情報が漏えいするおそれ
がある場合
100

(2) 個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合事例）同一の本人から複雑な対応を要する同一内容について繰り返し開示の請求があり、事実上問合せ窓口が占有されることによって他の問合せ対応業務が立ち行かなくなる等、業務上著しい支障を及ぼすおそれがある場合(3) 他の法令に違反することとなる場合
事例）刑法（明治 40 年法律第 45 号）第 134 条（秘密漏示罪）に違反することとなる場合（※）「本人に通知」については、2-14（本人に通知）を参照のこと。

3-8-4

保有個人データの訂正等（法第 34 条関係）

法第 34 条1 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの内容が事実でないときは、当該保有個人データの内容の訂正、追加又は削除（以下この条において「訂正等」という。）を請求することができる。
2 個人情報取扱事業者は、前項の規定による請求を受けた場合には、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。
3 個人情報取扱事業者は、第 1 項の規定による請求に係る保有個人データの内
容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない
旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったと
きは、その内容を含む。）を通知しなければならない。
教習所事業者は、本人から、当該本人が識別される保有個人データに誤りがあり、事実でないという理由によって、内容の訂正、追加又は削除 （※1）（以下「訂正等」という。）の請求を受けた場合は、利用目的の達成に必要な範囲
で遅滞なく必要な調査を行い、その結果に基づき、原則として（※2）、訂正等を行わなければならない。
なお、教習所事業者は、法第 34 条第 2 項の規定に基づき請求に係る保有個人
データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を101

行わない旨の決定をしたときは、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を本人に通知（※3）しなければならない。
また、保有個人データの内容の訂正等に関して他の法令の規定により特別の手続が定められている場合には、法第 34 条第 1 項及び第 2 項の規定は適用されず、当該他の法令の規定が適用されることとなる。
なお、本人が、裁判上の訴えにより、当該本人が識別される保有個人データの訂正等を請求する場合と本条との関係については、3-8-9（裁判上の訴えの事前請求）を参照のこと。
（※1）「削除」とは、不要な情報を除くことをいう。
（※2）利用目的からみて訂正等が必要ではない場合、保有個人データが誤りである
旨の指摘が正しくない場合には、訂正等を行う必要はない。ただし、その場合には、遅滞なく、訂正等を行わない旨を本人に通知しなければならない。
（※3）「本人に通知」については、2-14（本人に通知）を参照のこと。

3-8-5

保有個人データの利用停止等（法第 35 条関係）

法第 35 条1 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データ
が第 18 条若しくは第 19 条の規定に違反して取り扱われているとき、又は第20 条の規定に違反して取得されたものであるときは、当該保有個人データの利用の停止又は消去（以下この条において「利用停止等」という。）を請求することができる。
2 個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度
で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。
ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護する
ため必要なこれに代わるべき措置をとるときは、この限りでない。
3 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データ
が第 27 条第 1 項又は第 28 条の規定に違反して第三者に提供されているときは、当該保有個人データの第三者への提供の停止を請求することができる。
4 個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を102

停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
5 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データ
を当該個人情報取扱事業者が利用する必要がなくなった場合、当該本人が識別される保有個人データに係る第 26 条第 1 項本文に規定する事態が生じた場
合その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合には、当該保有個人データの利用停止等又は第三者への提供の停止を請求することができる。
6 個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行わなければならない。ただし、当該保有個人データの利用停止等又は第三者への提供の停止に多額の費用を要する場合その他の利用停止等又は第三者への提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
7 個人情報取扱事業者は、第 1 項若しくは第 5 項の規定による請求に係る保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は第 3 項若しくは第 5 項の規定による請求に係る保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
3-8-5-1

利用停止等の要件

教習所事業者は、次の(1)から(3)までのいずれかに該当する場合については、保有個人データの利用の停止若しくは消去（※1）（以下「利用停止等」という。）
又は第三者提供の停止を行わなければならない。
(1) 法違反の場合の利用停止等
教習所事業者は、本人から、当該本人が識別される保有個人データが、法第18 条の規定に違反して本人の同意なく目的外利用がされている若しくは法第19 条の規定に違反して不適正な利用が行われている、又は法第 20 条の規定に違反して偽りその他不正の手段により個人情報が取得され若しくは本人の同意なく要配慮個人情報が取得されたものであるという理由によって、利用停止等の請求を受けた場合であって、その請求に理由があることが判明したときは、103

原則として（※2）、遅滞なく、利用停止等を行わなければならない。
(2) 法違反の場合の第三者提供の停止
教習所事業者は、本人から、当該本人が識別される保有個人データが、法第27 条第 1 項又は第 28 条の規定に違反して本人の同意なく第三者に提供されているという理由によって、当該保有個人データの第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として（※3）、遅滞なく、第三者提供を停止しなければならない。
(3) 法第 35 条第 5 項の要件を満たす場合の利用停止等又は第三者提供の停止
教習所事業者は、次の①から③までのいずれかに該当する場合については、
原則として、遅滞なく、利用停止等又は第三者提供の停止を行わなければならない。
① 利用する必要がなくなった場合「当該個人情報取扱事業者が利用する必要がなくなった」とは、法第 22 条と同様に、当該保有個人データについて利用する必要がなくなったとき、すなわ
ち、利用目的が達成され当該目的との関係では当該保有個人データを保有する
合理的な理由が存在しなくなった場合や利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等をいう（※4）。
【利用する必要がなくなったとして利用停止等又は第三者提供の停止が認められる事例】
事例 1）ダイレクトメールを送付するために個人情報取扱事業者が保有していた情報について、当該個人情報取扱事業者がダイレクトメールの送付を停止した後、本人が消去を請求した場合
事例 2）電話勧誘のために個人情報取扱事業者が保有していた情報について、
当該個人情報取扱事業者が電話勧誘を停止した後、本人が消去を請求した場
合事例 3）キャンペーンの懸賞品送付のために個人情報取扱事業者が保有していた当該キャンペーンの応募者の情報について、懸賞品の発送が終わり、不着対応等のための合理的な期間が経過した後に、本人が利用停止等を請求した
場合
事例 4）採用応募者のうち、採用に至らなかった応募者の情報について、再応募への対応等のための合理的な期間が経過した後に、本人が利用停止等を請
求した場合
104

② 当該本人が識別される保有個人データに係る法第 26 条第 1 項本文に規定する事態が生じた場合「当該本人が識別される保有個人データに係る法第 26 条第 1 項本文に規定する事態が生じた」とは、法第 26 条第 1 項本文に定める漏えい等事案が生じたことをいう。法第 26 条第 1 項本文に定める漏えい等事案については、3-5-3-1（報告対象となる事態）参照のこと。
③ 当該本人の権利又は正当な利益が害されるおそれがある場合「本人の権利又は正当な利益が害されるおそれがある場合」とは、法目的に照らして保護に値する正当な利益（※5）が存在し、それが侵害されるおそれ（※
6）がある場合をいう。
【本人の権利又は正当な利益が害されるおそれがあるとして利用停止等又は第三者提供の停止が認められると考えられる事例】
事例 1）ダイレクトメールの送付を受けた本人が、送付の停止を求める意思を表示したにもかかわらず、個人情報取扱事業者がダイレクトメールを繰り返し送付していることから、本人が利用停止等を請求する場合
事例 2）電話勧誘を受けた本人が、電話勧誘の停止を求める意思を表示したにもかかわらず、個人情報取扱事業者が本人に対する電話勧誘を繰り返し行っていることから、本人が利用停止等を請求する場合
事例 3）個人情報取扱事業者が、安全管理措置を十分に講じておらず、本人を識別する保有個人データが漏えい等するおそれがあることから、本人が利用停止等を請求する場合
事例 4）個人情報取扱事業者が、法第 27 条第 1 項に違反して第三者提供を行っており、本人を識別する保有個人データについても本人の同意なく提供されるおそれがあることから、本人が利用停止等を請求する場合
事例 5）個人情報取扱事業者が、退職した従業員の情報を現在も自社の従業員であるようにホームページ等に掲載し、これによって本人に不利益が生じる
おそれがあることから、本人が利用停止等を請求する場合【本人の権利又は正当な利益が害されるおそれがないとして利用停止等又は第三者提供の停止が認められないと考えられる事例】
事例 1）電話の加入者が、電話料金の支払いを免れるため、電話会社に対して課金に必要な情報の利用停止等を請求する場合
事例 2）インターネット上で匿名の投稿を行った者が、発信者情報開示請求に105

よる発信者の特定やその後の損害賠償請求を免れるため、プロバイダに対してその保有する接続認証ログ等の利用停止等を請求する場合
事例 3）過去に利用規約に違反したことを理由としてサービスの強制退会処分を受けた者が、再度当該サービスを利用するため、当該サービスを提供する
個人情報取扱事業者に対して強制退会処分を受けたことを含むユーザー情報の利用停止等を請求する場合
事例 4）過去の信用情報に基づく融資審査により新たな融資を受けることが困難になった者が、新規の借入れを受けるため、当該信用情報を保有している
個人情報取扱事業者に対して現に審査に必要な信用情報の利用停止等又は第三者提供の停止を請求する場合（※1）「消去」とは、保有個人データを保有個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できな
いようにすること等を含む（3-4-1（データ内容の正確性の確保等）参照）。
（※2）法違反である旨の指摘が正しくない場合は、利用停止等を行う必要はない。
（※3）法違反である旨の指摘が正しくない場合は、第三者提供を停止する必要はな
い。
（※4）請求の対象となっている保有個人データにつき、複数の利用目的がある場合、全ての利用目的との関係で「利用する必要がなくなった」かどうかを判断する必要がある。
（※5）「正当」かどうかは、相手方である個人情報取扱事業者との関係で決まるものであり、個人情報取扱事業者に本人の権利利益の保護の必要性を上回る特別な事
情がない限りは、個人情報取扱事業者は請求に応じる必要がある。本人の権利利益の保護の必要性を上回る特別な事情があるかどうかを判断するに当たっては、例えば、以下のような事情を考慮することになる。
（ア）本人又は第三者の生命、身体、財産その他の権利利益を保護するために当該保有個人データを取り扱う事情（イ）法令を遵守するために当該保有個人データを取り扱う事情（ウ）契約に係る義務を履行するために当該保有個人データを取り扱う事情（エ）違法又は不当な行為を防止するために当該保有個人データを取り扱う事情（オ）法的主張、権利行使又は防御のために当該保有個人データを取り扱う事情（※6）「おそれ」は、一般人の認識を基準として、客観的に判断する。

3-8-5-2

本人の権利利益の侵害を防止するために必要な限度

3-8-5-1（利用停止等の要件）の(3)に該当する場合、教習所事業者は、本人の106

権利利益の侵害を防止するために必要な限度で、利用停止等又は第三者提供の停止を行わなければならない。
【本人からの請求に対し、本人の権利利益の侵害を防止するために必要な限度での対応として考えられる事例】
事例 1）本人から保有個人データの全てについて、利用停止等が請求された場
合に、一部の保有個人データの利用停止等によって、生じている本人の権利利益の侵害のおそれを防止できるものとして、一部の保有個人データに限定
して対応を行う場合
事例 2）法第 27 条第 1 項に違反して第三者提供が行われているとして保有個人データの消去を請求された場合に、利用停止又は第三者提供の停止による対応によって、生じている本人の権利利益の侵害のおそれを防止できるもの
として、利用停止又は第三者提供の停止による対応を行う場合
3-8-5-3

本人の権利利益を保護するため必要なこれに代わるべき措置

3-8-5-1（利用停止等の要件）の(1)から(3)までのいずれかに該当する場合であっても、利用停止等又は第三者提供の停止を行うことが困難である場合は、本人の権利利益を保護するために必要な代替措置を講ずることによる対応が認められる。
「困難な場合」については、利用停止等又は第三者提供の停止に多額の費用を要する場合のほか、個人情報取扱事業者が正当な事業活動において保有個人データを必要とする場合についても該当し得る。
代替措置については、事案に応じて様々であるが、生じている本人の権利利益の侵害のおそれに対応するものであり、本人の権利利益の保護に資するものである必要がある。
【本人の権利利益を保護するため必要なこれに代わるべき措置として考えられる事例】
事例 1）既に市販されている名簿の刷り直し及び回収作業に多額の費用を要するとして、名簿の増刷時の訂正を約束する場合や必要に応じて金銭の支払いをする場合
事例 2）個人情報保護委員会への報告の対象となる重大な漏えい等が発生した
場合において、当該本人との契約が存続しているため、利用停止等が困難であるとして、以後漏えい等の事態が生じることがないよう、必要かつ適切な再発防止策を講じる場合
107

事例 3）他の法令の規定により保存が義務付けられている保有個人データを遅滞なく消去する代わりに、当該法令の規定による保存期間の終了後に消去することを約束する場合
教習所事業者は、上記により、利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は、第三者提供の停止を行ったとき若しくは第三者提供を停止しない旨の決定をしたときは、遅滞なく、その旨を本人に通知（※）しなければならない。
また、本人が、裁判上の訴えにより、当該本人が識別される保有個人データの利用停止等又は第三者提供の停止を請求する場合と本条との関係については、
3-8-9（裁判上の訴えの事前請求）を参照のこと。
なお、消費者等、本人の権利利益保護の観点からは、事業活動の特性、規模及び実態を考慮して、保有個人データについて本人から求めがあった場合には、自主的に利用停止等又は第三者提供の停止に応じる等、本人からの求めにより一層対応していくことが望ましい。
（※）「本人に通知」については、2-14（本人に通知）を参照のこと。

3-8-6

理由の説明（法第 36 条関係）

法第 36 条
個人情報取扱事業者は、第 32 条第 3 項、第 33 条第 3 項（同条第 5 項において準用する場合を含む。）、第 34 条第 3 項又は前条第 7 項の規定により、本人から求められ、又は請求された措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する
場合には、本人に対し、その理由を説明するよう努めなければならない。
教習所事業者は、保有個人データの利用目的の通知の求め、又は保有個人デー
タの開示、訂正等、利用停止等若しくは第三者提供の停止に関する請求、又は第三者提供記録の開示に関する請求（以下「開示等の請求等」という。）に係る措置の全部又は一部について、その措置をとらない旨又はその措置と異なる措置をとる旨を本人に通知（※）する場合は、併せて、本人に対して、その理由を説明するように努めなければならない。
（※）「本人に通知」については、2-14（本人に通知）を参照のこと。

108

3-8-7

開示等の請求等に応じる手続（法第 37 条関係）

法第 37 条1 個人情報取扱事業者は、第 32 条第 2 項の規定による求め又は第 33 条第 1項（同条第 5 項において準用する場合を含む。次条第 1 項及び第 39 条において同じ。）、第 34 条第 1 項若しくは第 35 条第 1 項、第 3 項若しくは第 5 項の規定による請求（以下この条及び第 54 条第 1 項において「開示等の請求等」という。）に関し、政令で定めるところにより、その求め又は請求を受け付ける方法を定めることができる。この場合において、本人は、当該方法に従って、開示等の請求等を行わなければならない。
2 個人情報取扱事業者は、本人に対し、開示等の請求等に関し、その対象となる保有個人データ又は第三者提供記録を特定するに足りる事項の提示を求めることができる。この場合において、個人情報取扱事業者は、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データ又は第三者提供記録の特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。
3 開示等の請求等は、政令で定めるところにより、代理人によってすることができる。
4 個人情報取扱事業者は、前三項の規定に基づき開示等の請求等に応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮
しなければならない。
政令第 12 条
法第 37 条第 1 項の規定により個人情報取扱事業者が開示等の請求等を受け付ける方法として定めることができる事項は、次に掲げるとおりとする。
(1) 開示等の請求等の申出先(2) 開示等の請求等に際して提出すべき書面（電磁的記録を含む。第 33 条第1 項及び第 38 条第 3 項において同じ。）の様式その他の開示等の請求等の方式(3) 開示等の請求等をする者が本人又は次条に規定する代理人であることの確認の方法(4) 法第 38 条第 1 項の手数料の徴収方法
政令第 13 条
法第 37 条第 3 項の規定により開示等の請求等をすることができる代理人
109

は、次に掲げる代理人とする。
(1) 未成年者又は成年被後見人の法定代理人(2) 開示等の請求等をすることにつき本人が委任した代理人
教習所事業者は、開示等の請求等（※1）において、これを受け付ける方法として次の(1)から(4)までの事項を定めることができる。
(1) 開示等の請求等の申出先（例）担当窓口名・係名、郵送先住所、受付電話番号、受付 FAX 番号、メー
ルアドレス等(2) 開示等の請求等に際して提出すべき書面（電磁的記録を含む。）の様式、その他の開示等の請求等の受付方法（例）郵送、FAX、電子メールやウェブサイト等のオンラインで受け付ける
等(3) 開示等の請求等をする者が本人又はその代理人（①未成年者又は成年被後見人の法定代理人、②開示等の請求等をすることにつき本人が委任した代理人）であることの確認の方法（※2）(4) 保有個人データの利用目的の通知又は保有個人データの開示をする際に徴収する手数料の徴収方法
ただし、開示等の請求等を受け付ける方法を定めるに当たっては、当該手続が、事業の性質、保有個人データの取扱状況、開示等の請求等の受付方法等に応じて適切なものになるよう配慮するとともに、必要以上に煩雑な書類を書かせたり、請求等を受け付ける窓口を他の業務を行う拠点とは別にいたずらに不便な場所に限定したりする等、本人に過重な負担を課するものとならないよう配慮しなければならない。
また、開示等の請求等を受け付ける方法を定めた場合には、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置いておかなけ
ればならない（3-8-1（保有個人データに関する事項の公表等）参照）。「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」とは、本人が知ろうとすれば、知ることができる状態に置くことをいい、事業の性質
及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならないが、開示等の請求等を行おうとする本人がその手続
110

を把握できるようにしておくことが重要であり、例えば、ホームページへの掲
載による場合、本人が簡単な操作によって該当箇所へ到達でき、円滑に請求等を行えるようにしておくことが望ましい。また、「本人の求めに応じて遅滞なく回答する」ことによって対応する場合には、その前提として、少なくとも本人が簡単な操作によって求めを行うことができるようにすることが望ましい。
なお、教習所事業者が、開示等の請求等を受け付ける方法を合理的な範囲で定めたときは、本人は、当該方法に従って開示等の請求等を行わなければならず、当該方法に従わなかった場合は、教習所事業者は当該開示等の請求等を拒否することができる（※3）。
また、法第 37 条第 2 項前段は、本人に対し、開示を請求する保有個人データ
又は第三者提供記録の範囲を一部に限定する義務を課すものではなく、また、
個人情報取扱事業者に対し、本人が開示を請求する範囲を限定させる権利を認めるものでもない。
教習所事業者は、円滑に開示等の手続が行えるよう、本人に対し、開示等の請求等の対象となる当該本人が識別される保有個人データ又は第三者提供記録の特定に必要な事項（住所、ID、パスワード、会員番号等）の提示を求めることができる。なお、その際には、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データ又は第三者提供記録の特定に資する情報を提供するなど、本人の利便性を考慮しなければならない。
（※1）「開示等の請求等」とは、保有個人データの利用目的の通知の求め（3-8-1（保有個人データに関する事項の公表等）参照）、保有個人データの開示（3-8-2（保有個人データの開示）参照）、訂正等（3-8-4（保有個人データの訂正等）参照）、
利用停止等若しくは第三者提供の停止（3-8-5（保有個人データの利用停止等）参照）の請求、又は第三者提供記録の開示に関する請求（3-8-3（第三者提供記録の開示）参照）をいう。
（※2）確認の方法としては、次のような事例が考えられるが、事業の性質、保有個人データの取扱状況、開示等の請求等の受付方法等に応じて、適切なものでなければならず、本人確認のために事業者が保有している個人データに比して必要以上に多くの情報を求めないようにするなど、本人に過重な負担を課するものとならない
よう配慮しなくてはならない。
なお、代理人による来所や送付等の場合にあっては、確認書類として、本人及び代理人についての次の事例に示す書類等のほか、代理人について、代理権を与える
旨の委任状（親権者が未成年者の法定代理人であることを示す場合は、本人及び代理人が共に記載され、その続柄が示された戸籍謄抄本、住民票の写し。また、成年後見人が成年被後見人の法定代理人であることを示す場合は、登記事項証明書）が111

考えられる。
事例 1）来所の場合：運転免許証、健康保険の被保険者証、個人番号カード（マイナンバーカード）表面、旅券（パスポート）、在留カード、特別永住者証明、年金手帳、印鑑証明書と実印
事例 2）オンラインの場合：あらかじめ本人が個人情報取扱事業者に対して登録済
みの ID とパスワード、公的個人認証による電子署名
事例 3）電話の場合：あらかじめ本人が個人情報取扱事業者に対して登録済みの登録情報（生年月日等）、コールバック
事例 4）送付（郵送、FAX 等）の場合：運転免許証や健康保険の被保険者証等の公的証明書のコピーの送付を顧客等から受け、当該公的証明書のコピーに記載された顧客等の住所に宛てて文書を書留郵便により送付（※3）開示等の請求等を受け付ける方法を定めない場合には、自由な申請を認めることとなるので注意が必要である。

3-8-8

手数料（法第 38 条関係）

法第 38 条1 個人情報取扱事業者は、第 32 条第 2 項の規定による利用目的の通知を求められたとき又は第 33 条第 1 項の規定による開示の請求を受けたときは、当該措置の実施に関し、手数料を徴収することができる。
2

個人情報取扱事業者は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。

教習所事業者は、保有個人データの利用目的の通知（法第 32 条第 2 項）を求められ、又は保有個人データの開示の請求（法第 33 条第 1 項）若しくは第三者
提供記録の開示の請求（法第 33 条第 5 項において準用する同条第 1 項）を受けたときは、当該措置の実施に関し、手数料の額を定め、これを徴収することができる。
なお、当該手数料の額を定めた場合には、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）（※）に置いておかなければならない（法第 32 条第 1 項第 3 号）。
また、手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。
（※）「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」
112

については、3-8-1（保有個人データに関する事項の公表等）を参照のこと。

3-8-9

裁判上の訴えの事前請求（法第 39 条関係）

法第 39 条1 本人は、第 33 条第 1 項、第 34 条第 1 項又は第 35 条第 1 項、第 3 項若しくは第 5 項の規定による請求に係る訴えを提起しようとするときは、その訴えの被告となるべき者に対し、あらかじめ、当該請求を行い、かつ、その到達した日から 2 週間を経過した後でなければ、その訴えを提起することができない。ただし、当該訴えの被告となるべき者がその請求を拒んだときは、この限りでない。
2 前項の請求は、その請求が通常到達すべきであった時に、到達したものとみなす。
3 前二項の規定は、第 33 条第 1 項、第 34 条第 1 項又は第 35 条第 1 項、第 3項若しくは第 5 項の規定による請求に係る仮処分命令の申立てについて準用する。
自己が識別される保有個人データの開示（※1）、訂正等（※2）又は利用停止
等（※3）若しくは第三者提供の停止（※4）又は自己が識別される個人データに係る第三者提供記録の開示（※5）の個人情報取扱事業者に対する請求について裁判上の訴えを提起しようとするときは、あらかじめ裁判外において当該請求を個人情報取扱事業者に対して行い、かつ、当該請求が当該個人情報取扱事業者に到達した日から 2 週間を経過した後でなければ、当該訴えを提起することができない（※6）（※7）。
ただし、個人情報取扱事業者が当該裁判外の請求を拒んだとき（※8）は、2週間を経過する前に、当該請求に係る裁判上の訴えを提起することができる。
（※1）保有個人データの開示については、3-8-2（保有個人データの開示）を参照のこと。
（※2）保有個人データの訂正等とは、保有個人データの訂正、追加又は削除のことをいう（3-8-4（保有個人データの訂正等）参照）。
（※3）保有個人データの利用停止等とは、保有個人データの利用の停止又は消去のことをいう（3-8-5（保有個人データの利用停止等）参照）。
（※4）保有個人データの第三者提供の停止については、3-8-5（保有個人データの利用停止等）を参照のこと。
（※5）第三者提供記録の開示については、3-8-3（第三者提供記録の開示）を参照の
113

こと。
（※6）例えば、本人から個人情報取扱事業者に対する保有個人データの開示請求が4 月 1 日に到達した場合には、本人が当該請求に係る裁判上の訴えを提起することができるのは、当該到達日から 2 週間が経過した日（4 月 16 日）以降となる。
（※7）自己が識別される保有個人データの開示、訂正等、利用停止等若しくは第三者提供の停止又は自己が識別される個人データに係る第三者提供記録の開示について仮処分命令を申し立てるときも、同様に、あらかじめ個人情報取扱事業者に対し、これらの請求を行い、かつ、当該請求が当該個人情報取扱事業者に到達した日から 2 週間を経過した後でなければ、当該仮処分命令を申し立てることができない。
（※8）「当該裁判外の請求を拒んだとき」とは、法第 33 条第 3 項（同条第 5 項において準用する場合を含む。）、第 34 条第 3 項、及び第 35 条第 7 項に掲げる場
合のほか、個人情報取扱事業者が当該請求を行った者に対して特に理由を説明することなく単に当該請求を拒む旨を通知した場合等も含まれる。

3-9

個人情報の取扱いに関する苦情処理（法第 40 条関係）

法第 40 条1 個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
2 個人情報取扱事業者は、前項の目的を達成するために必要な体制の整備に努めなければならない。
教習所事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
また、苦情の適切かつ迅速な処理を行うに当たり、苦情処理窓口の設置や苦情処理の手順を定める等必要な体制の整備に努めなければならない（※1）。もっとも、無理な要求にまで応じなければならないものではない。
なお、教習所事業者は、保有個人データの取扱いに関する苦情の申出先（教習所事業者が認定個人情報保護団体たる全指連の対象事業者である場合は、その名称及び苦情解決の申出先を含む。）について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）（※2）に置かなければならな
い（3-8-1（保有個人データに関する事項の公表等）参照）。
（※1）消費者等本人との信頼関係を構築し事業活動に対する社会の信頼を確保する
ためには、「個人情報保護を推進する上での考え方や方針（いわゆる、プライバシー
ポリシー、プライバシーステートメント等）」を策定し、それをホームページへの114

掲載又は店舗の見やすい場所への掲示等により公表し、あらかじめ、対外的に分かりやすく説明することや、委託の有無、委託する事務の内容を明らかにする等、委託処理の透明化を進めることも重要である。
（※2）
「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」
については、3-8-1（保有個人データに関する事項の公表等）を参照のこと。

3-10

仮名加工情報取扱事業者等の義務（法第 41 条・第 42 条関係）

3-10-1

仮名加工情報を作成する個人情報取扱事業者の義務等

3-10-1-1

仮名加工情報の適正な加工（法第 41 条第 1 項関係）

法第 41 条（第 1 項）
1 個人情報取扱事業者は、仮名加工情報（仮名加工情報データベース等を構成するものに限る。以下この章及び第 6 章において同じ。）を作成するときは、他の情報と照合しない限り特定の個人を識別することができないようにする
ために必要なものとして個人情報保護委員会規則で定める基準に従い、個人情報を加工しなければならない。
規則第 31 条
法第 41 条第 1 項の個人情報保護委員会規則で定める基準は、次のとおりとする。
(1) 個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること（当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
(2) 個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
(3) 個人情報に含まれる不正に利用されることにより財産的被害が生じるおそれがある記述等を削除すること（当該記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
教習所事業者は、仮名加工情報（仮名加工情報データベース等を構成するものに限る（※1）。3-10-2-7（その他の義務等）を除き、以下同じ。）を作成するとき（※2）は、他の情報と照合しない限り特定の個人を識別することができないようにするために、規則第 31 条各号に定める基準に従って、個人情報を加115

工しなければならない。なお、「個人情報保護委員会規則で定める基準に従い、個人情報を加工」するためには、加工する情報の性質に応じて、規則第 31 条各号に定める加工基準を満たす必要がある。
その他、規則第 31 条各号については、ガイドライン（仮名加工情報・匿名加工情報編）を参照のこと。
（※1）仮名加工情報の取扱いに係る法第 4 章第 3 節の規律（法第 41 条及び第 42 条）
は、仮名加工情報データベース等を構成する仮名加工情報に適用されるものである。
いわゆる散在情報となる、仮名加工情報データベース等を構成しない仮名加工情報には、法第 4 章第 3 節の規律は適用されない。
（※2）「作成するとき」は、仮名加工情報として取り扱うために、当該仮名加工情報を作成するときのことを指す。したがって、例えば、安全管理措置の一環として
氏名等の一部の個人情報を削除（又は他の記述等に置き換え）した上で引き続き個人情報として取り扱う場合、あるいは匿名加工情報又は統計情報を作成するために個人情報を加工する場合等については、仮名加工情報を「作成するとき」には該当しない。

3-10-1-2

削除情報等の安全管理措置（法第 41 条第 2 項関係）

法第 41 条（第 2 項）
2

個人情報取扱事業者は、仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等（仮名加工情報の作成に用いられた個
人情報から削除された記述等及び個人識別符号並びに前項の規定により行われた加工の方法に関する情報をいう。以下この条及び次条第 3 項において読み替えて準用する第 7 項において同じ。）を取得したときは、削除情報等の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、削除情報等の安全管理のための措置を講じなければならない。

規則第 32 条
法第 41 条第 2 項の個人情報保護委員会規則で定める基準は、次のとおりとする。
(1) 法第 41 条第 2 項に規定する削除情報等（同条第 1 項の規定により行われた加工の方法に関する情報にあっては、その情報を用いて仮名加工情報の作成に用いられた個人情報を復元することができるものに限る。以下この条において同じ。）を取り扱う者の権限及び責任を明確に定めること。
(2) 削除情報等の取扱いに関する規程類を整備し、当該規程類に従って削除116

情報等を適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果に基づき改善を図るために必要な措置を講ずること。
(3) 削除情報等を取り扱う正当な権限を有しない者による削除情報等の取扱いを防止するために必要かつ適切な措置を講ずること。
教習所事業者は、仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等を取得したときは、削除情報等（法第 41 条第 1項の規定により行われた加工の方法に関する情報にあっては、その情報を用いて仮名加工情報の作成に用いられた個人情報を復元することができるものに限る（※1）。以下この項において同じ。）の漏えいを防止するために、規則で定める基準に従い、必要な措置を講じなければならない（※2）。
当該措置の内容は、対象となる削除情報等が漏えいした場合における個人の権利利益の侵害リスクの大きさを考慮し、当該削除情報等の量、性質等に応じた内容としなければならないが、具体的に講じなければならない項目及び具体例については、ガイドライン（仮名加工情報・匿名加工情報編）を参照のこと。
（※1）「その情報を用いて仮名加工情報の作成に用いられた個人情報を復元することができるもの」には、例えば、氏名等を仮 ID に置き換えた場合における置き換
えアルゴリズムに用いられる乱数等のパラメータ又は氏名と仮 ID の対応表等のよ
うな加工の方法に関する情報が該当し、「氏名を削除した」というような復元につながらない情報は該当しない。
（※2）氏名と仮 ID の対応表等のように削除情報等が個人データに該当する場合において、当該削除情報等について漏えい、滅失又は毀損（以下「漏えい等」という。）が発生し、それが法第 26 条の要件を満たす場合には、同条に基づく報告や本人通知が必要となる。
また、個別の事例ごとに判断する必要があるが、例えば、氏名と仮 ID の対応表
等の削除情報等が漏えい等した場合には、削除情報等の安全管理措置を講ずる義務（法第 41 条第 2 項）や仮名加工情報である個人データの安全管理措置を講ずる義
務（法第 23 条）の履行の観点から、原則として、当該仮名加工情報に含まれる仮ID を振り直すこと等により仮名加工情報を新たに作り直す等の措置を講じることが必要となる。

3-10-2

個人情報である仮名加工情報の取扱いに関する義務等

3-10-2-1

利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）

117

3-10-2-1-1

利用目的による制限法第 41 条（第 3 項）
3 仮名加工情報取扱事業者（個人情報取扱事業者である者に限る。以下この条において同じ。）は、第 18 条の規定にかかわらず、法令に基づく場合を除く
ほか、第 17 条第 1 項の規定により特定された利用目的の達成に必要な範囲を超えて、仮名加工情報（個人情報であるものに限る。以下この条において同じ。）を取り扱ってはならない。
仮名加工情報取扱事業者である教習所事業者は、法令に基づく場合（※1）を除くほか、法第 17 条第 1 項の規定により特定された利用目的（※2）の達成に必要な範囲を超えて、個人情報である仮名加工情報を取り扱ってはならない。
「法令に基づく場合」以外の場合において、法第 17 条第 1 項の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報である仮名加工情報を取り扱う場合には、あらかじめ利用目的を変更する必要がある。なお、仮名加工情報については、利用目的の変更の制限に関する法第 17 条第 2 項の規定は適用されないため、変更前の利用目的と関連性を有すると合理的に認められる範囲を超える利用目的の変更も認められる（3-10-2-6（適用除外）参照）。
利用目的を変更した場合には、原則として変更後の利用目的を公表しなければならない（3-10-2-1-2（利用目的の公表）参照）。
（※1）「法令に基づく場合」の具体的な事例については、3-1-5（利用目的による制限の例外）を参照のこと。
（※2）個人情報取扱事業者が仮名加工情報を作成したときは、作成の元となった個
人情報に関して法第 17 条第 1 項の規定により特定された利用目的が、当該仮名加工情報の利用目的として引き継がれる。

3-10-2-1-2

利用目的の公表

法第 41 条（第 4 項）
4 仮名加工情報についての第 21 条の規定の適用については、同条第 1 項及び第 3 項中「、本人に通知し、又は公表し」とあるのは「公表し」と、同条第 4
項第 1 号から第 3 号までの規定中「本人に通知し、又は公表する」とあるのは「公表する」とする。

118

仮名加工情報取扱事業者である教習所事業者は、個人情報である仮名加工情報を取得した場合（※）には、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を公表しなければならない。
また、利用目的の変更を行った場合には、変更後の利用目的を公表しなければならない。
ただし、次の(1)から(4)までの場合については、個人情報である仮名加工情報の取得時、及び個人情報である仮名加工情報の利用目的の変更時における利用目的の公表は不要である。
(1) 利用目的を公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合(2) 利用目的を公表することにより当該教習事業者の権利又は正当な利益を害するおそれがある場合(3) 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき(4) 取得の状況からみて利用目的が明らかであると認められる場合（※）教習所事業者が、自らが保有する個人情報の一部を削除する等の加工を行ったに過ぎない場合は、ここでいう個人情報の「取得」には該当しない。
そのため、教習所事業者が、自らが保有する個人情報を加工して仮名加工情報を作成した場合には、当該仮名加工情報が個人情報に当たる場合でも、ここでいう個人情報である仮名加工情報の「取得」には該当しない。
これに対し、例えば、仮名加工情報を作成した教習所事業者が、当該仮名加工情報及び当該仮名加工情報に係る削除情報等を、事業の承継に伴い他の事業者に提供した場合（3-10-2-3（第三者提供の禁止等）参照）、当該他の事業者にとって、当該仮名加工情報は、通常、当該削除情報等と容易に照合でき、それによって特定の個人を識別できる情報に該当するため、個人情報に該当する。この場合には、当該他の事業者が事業の承継に伴い当該仮名加工情報の提供を受けることは、ここでいう個人情報である仮名加工情報の「取得」に該当する。

3-10-2-2利用する必要がなくなった場合の消去（法第 41 条第 5 項関係）

法第 41 条（第 5 項）
5 仮名加工情報取扱事業者は、仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞
119なく消去するよう努めなければならない。この場合においては、第 22 条の規定は、適用しない。
仮名加工情報取扱事業者である教習所事業者は、保有する仮名加工情報である個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該仮名加工情報である個人データを保有する
合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの
当該目的の前提となる事業自体が中止となり、当該事業の再開の見込みもない
場合等は、当該仮名加工情報である個人データを遅滞なく消去するよう努めなければならない（※1）。
また、保有する削除情報等について利用する必要がなくなったときは、当該削除情報等を遅滞なく消去するように努めなければならない（※2）。
【仮名加工情報である個人データについて利用する必要がなくなったときに該当する事例】
事例）新商品の開発のため、仮名加工情報である個人データを保有していたところ、当該新商品の開発に関する事業が中止となり、当該事業の再開の見込
みもない場合【削除情報等について利用する必要がなくなったときに該当する事例】
事例）仮名加工情報についての取扱いを終了し、新たな仮名加工情報を作成する見込みもない場合（※1）「仮名加工情報である個人データの消去」とは、当該仮名加工情報である個
人データを個人データでなくすることであり、当該仮名加工情報である個人データを削除することのほか、当該仮名加工情報を容易に照合できる他の情報と組み合わせても特定の個人を識別できないようにすること等を含む。
（※2）「削除情報等の消去」とは、当該削除情報等を削除することをいう。

3-10-2-3

第三者提供の禁止等（法第 41 条第 6 項関係）

法第 41 条（第 6 項）
6 仮名加工情報取扱事業者は、第 27 条第 1 項及び第 2 項並びに第 28 条第 1項の規定にかかわらず、法令に基づく場合を除くほか、仮名加工情報である
個人データを第三者に提供してはならない。この場合において、第 27 条第 5
項中「前各項」とあるのは「第 41 条第 6 項」と、同項第 3 号中「、本人に通120

知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、
同条第 6 項中「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と、第 29 条第 1 項ただし書中「第 27条第 1 項各号又は第 5 項各号のいずれか（前条第 1 項の規定による個人デー
タの提供にあっては、第 27 条第 1 項各号のいずれか）」とあり、及び第 30
条第 1 項ただし書中「第 27 条第 1 項各号又は第 5 項各号のいずれか」とあるのは「法令に基づく場合又は第 27 条第 5 項各号のいずれか」とする。
仮名加工情報取扱事業者である教習所事業者は、法令に基づく場合（※）を除
くほか、仮名加工情報である個人データを第三者に提供してはならない。
ただし、次の(1)から(3)までの場合については、仮名加工情報である個人デー
タの提供先は教習所事業者である仮名加工情報取扱事業者とは別の主体として
形式的には第三者に該当するものの、提供主体の教習所事業者である仮名加工
情報取扱事業者と一体のものとして取り扱うことに合理性があるため、第三者には該当しないものとする。そのため、このような要件を満たす場合には、仮名加工情報である個人データを提供することができる。
なお、法令に基づく場合又は次の(1)から(3)までのいずれかの場合における仮名加工情報である個人データの提供については、確認・記録義務は課されない（法第 41 条第 6 項により読み替えて適用される法第 29 条第 1 項ただし書及び第 30 条第 1 項ただし書）。
(1) 委託（法第 41 条第 6 項、第 27 条第 5 項第 1 号関係）
(2) 事業の承継（法第 41 条第 6 項、第 27 条第 5 項第 2 号関係）
(3) 共同利用（法第 41 条第 6 項、第 27 条第 5 項第 3 号関係）（※）「法令に基づく場合」の具体的な事例については、3-1-5（利用目的による制限の例外）を参照のこと。

3-10-2-4

識別行為の禁止（法第 41 条第 7 項関係）

法第 41 条（第 7 項）
7 仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たっては、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該
仮名加工情報を他の情報と照合してはならない。
仮名加工情報取扱事業者である教習所事業者が個人情報である仮名加工情報
121

を取り扱う場合には、当該仮名加工情報の作成の元となった個人情報の本人を識別する目的で、当該仮名加工情報を他の情報（※）と照合してはならない。
【識別行為に当たらない取扱いの事例】
事例 1）複数の仮名加工情報を組み合わせて統計情報を作成すること。
事例 2）仮名加工情報を個人と関係のない情報（例：気象情報、交通情報、金融商品等の取引高）とともに傾向を統計的に分析すること。
【識別行為に当たる取扱いの事例】
事例 1）保有する個人情報と仮名加工情報について、共通する記述等を選別してこれらを照合すること。
事例 2）仮名加工情報を、当該仮名加工情報の作成の元となった個人情報と照合すること。
（※）「他の情報」に限定はなく、本人を識別する目的をもって行う行為であれば、個人情報、個人関連情報、仮名加工情報及び匿名加工情報を含む情報全般と照合する行為が禁止される。また、具体的にどのような技術又は手法を用いて照合するかは問わない。

3-10-2-5

本人への連絡等の禁止（法第 41 条第 8 項関係）

法第 41 条（第 8 項）
8 仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たっては、電話をかけ、郵便若しくは民間事業者による信書の送達に関する法律（平成 14 年法律第 99 号）第 2 条第 6 項に規定する一般信書便事業者若しくは同条第 9 項に規定する特定信書便事業者による同条第 2 項に規定する信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法（電子情報処理組織を使用する方法その他の情報通信の技術を利用する方法であって個人情報保護委員会規則で定めるものをいう。）を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用してはならない。
規則第 33 条
法第 41 条第 8 項に規定する電磁的方法は、次に掲げる方法とする。
(1) 電話番号を送受信のために用いて電磁的記録を相手方の使用に係る携帯して使用する通信端末機器に送信する方法（他人に委託して行う場合を含
122

む。）
(2) 電子メールを送信する方法（他人に委託して行う場合を含む。）(3) 前号に定めるもののほか、その受信をする者を特定して情報を伝達するために用いられる電気通信（電気通信事業法（昭和 59 年法律第 86 号）第 2
条第 1 号に規定する電気通信をいう。）を送信する方法（他人に委託して行う場合を含む。）
仮名加工情報取扱事業者である教習所事業者は、個人情報である仮名加工情報を取り扱う場合には、電話をかけ、郵便若しくは信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報の利用を行ってはならない。
ここでいう「電磁的方法」とは、規則第 33 条に掲げるいずれかの方法をいう。
3-10-2-6

適用除外（法第 41 条第 9 項関係）

法第 41 条（第 9 項）
9 仮名加工情報、仮名加工情報である個人データ及び仮名加工情報である保有
個人データについては、第 17 条第 2 項、第 26 条及び第 32 条から第 39 条までの規定は、適用しない。
仮名加工情報（個人情報であるもの）、仮名加工情報である個人データ及び仮名加工情報である保有個人データの取扱いについては、次の(1)から(3)までの規定が適用されない。
(1) 利用目的の変更（法第 17 条第 2 項関係）
仮名加工情報（個人情報であるもの）については、利用目的の変更の制限に関する法第 17 条第 2 項の規定は適用されないため、変更前の利用目的と関連性を有すると合理的に認められる範囲を超える利用目的の変更も認められる。
(2) 漏えい等の報告等（法第 26 条関係）
仮名加工情報である個人データについては、法第 26 条の規定は適用されない
ため、仮名加工情報である個人データについて漏えい等が発生した場合でも、
法第 26 条に基づく報告や本人通知は不要である（※1）。
(3) 本人からの開示等の請求等（法第 32 条～第 39 条関係）
123

仮名加工情報である保有個人データについては、法第 32 条から第 39 条までの規定は適用されないため、仮名加工情報である保有個人データについては、
これらの規定に基づく本人からの開示等の請求等の対象とならない（※2）。
（※1）仮名加工情報の作成の元となった個人データ又は氏名と仮 ID の対応表のよ
うな削除情報等（個人データであるもの）については、法第 26 条の規定が適用される。そのため、これらについての漏えい等が発生した場合において、当該漏えい等が法第 26 条に定める要件を満たす場合には、同条に基づく報告や本人通知の対象となる。
（※2）仮名加工情報取扱事業者である教習所事業者が仮名加工情報の作成の元となった保有個人データを引き続き保有している場合、当該保有個人データについて
は、法第 32 条から第 39 条までの規定に基づく本人からの開示等の請求等の対象となる。

3-10-2-7

その他の義務等

仮名加工情報取扱事業者である教習所事業者による仮名加工情報（個人情報であるもの）及び仮名加工情報である個人データの取扱いについては、上記
3-10-2-1（利用目的による制限・公表）から 3-10-2-6（適用除外）までに記載の各規律のほか、次の(1)から(6)までの義務等が課される（※）。
(1)
(2)
(3)
(4)
(5)
(6)

不適正利用の禁止（法第 19 条関係）
適正取得（法第 20 条第 1 項関係）
安全管理措置（法第 23 条関係）
従業者の監督（法第 24 条関係）
委託先の監督（法第 25 条関係）
苦情処理（法第 40 条関係）（※）(1)から(6)までの義務等のほか、仮名加工情報（個人情報であるもの）については、要配慮個人情報の取得に関する法第 20 条第 2 項の適用対象となる（仮名加
工情報（個人情報であるもの）の「取得」については、3-10-2-1-2（利用目的の公表）参照）。もっとも、法第 41 条第 6 項により、仮名加工情報である個人データの第三者提供の禁止の例外は、法令に基づく場合又は委託、事業承継若しくは共同利用に伴って提供される場合に限定されているところ、これらの場合により要配慮
個人情報の提供を受けるときは、本人同意は不要とされている（法第 20 条第 2 項
第 1 号並びに同項第 8 号及び政令第 9 条第 2 号）。
124

また、仮名加工情報である個人データについては、確認・記録義務に関する法第29 条及び第 30 条の適用対象となる。もっとも、法第 41 条第 6 項により、仮名加
工情報である個人データの第三者提供の禁止の例外は、法令に基づく場合又は委託、事業承継若しくは共同利用に伴って提供される場合に限定されているところ、これらの場合には、確認・記録義務は課されないこととされている（法第 41 条第 6 項
により読み替えて適用される法第 29 条第 1 項ただし書及び第 30 条第 1 項ただし書）。

3-10-3

個人情報でない仮名加工情報の取扱いに関する義務等

3-10-3-1

第三者提供の禁止等（法第 42 条第 1 項・第 2 項関係）

法第 42 条（第 1 項・第 2 項）
1 仮名加工情報取扱事業者は、法令に基づく場合を除くほか、仮名加工情報（個
人情報であるものを除く。次項及び第 3 項において同じ。）を第三者に提供してはならない。
2 第 27 条第 5 項及び第 6 項の規定は、仮名加工情報の提供を受ける者について準用する。この場合において、同条第 5 項中「前各項」とあるのは「第 42条第 1 項」と、同項第 1 号中「個人情報取扱事業者」とあるのは「仮名加工情報取扱事業者」と、同項第 3 号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第 6 項中「個人情報取扱事業者」とあるのは「仮名加工情報取扱事業者」と、「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と読み替えるものとする。
仮名加工情報取扱事業者である教習所事業者は、法令に基づく場合（※）を除
くほか、仮名加工情報（個人情報であるものを除く。以下この項及び次項において同じ。）を第三者に提供してはならない。
ただし、法第 42 条第 2 項により読み替えて準用される法第 27 条第 5 項各号に定める委託、事業承継又は共同利用により仮名加工情報の提供を受ける者は、提供主体の仮名加工情報取扱事業者である教習所事業者と一体のものとして取り扱うことに合理性があるため、第三者には該当しないものとする。そのため、
法第 42 条第 2 項により読み替えて準用される法第 27 条第 5 項各号に定める委
託、事業承継又は共同利用による場合は、仮名加工情報を提供することができる。

125

（※）「法令に基づく場合」の具体的な事例については、3-1-5（利用目的による制限の例外）を参照のこと。

3-10-3-2

その他の義務等（法第 42 条第 3 項関係）

法第 42 条（第 3 項）
3 第 23 条から第 25 条まで、第 40 条並びに前条第 7 項及び第 8 項の規定は、
仮名加工情報取扱事業者による仮名加工情報の取扱いについて準用する。この場合において、第 23 条中「漏えい、滅失又は毀損」とあるのは「漏えい」と、前条第 7 項中「ために、」とあるのは「ために、削除情報等を取得し、又は」と読み替えるものとする。
仮名加工情報取扱事業者である教習所事業者による仮名加工情報の取扱いについては、上記 3-10-3-1（第三者提供の禁止等）に記載の規律のほか、次の(1)から(6)までの義務等が課される。
(1) 安全管理措置（法第 42 条第 3 項、第 23 条関係）
(2) 従業者の監督（法第 42 条第 3 項、第 24 条関係）
(3) 委託先の監督（法第 42 条第 3 項、第 25 条関係）
(4) 苦情処理（法第 42 条第 3 項、第 40 条関係）
(5) 識別行為の禁止（法第 42 条第 3 項、第 41 条第 7 項関係）
(6) 本人への連絡等の禁止（法第 42 条第 3 項、第 41 条第 8 項関係）
3-11

匿名加工情報取扱事業者等の義務（法第 43 条～第 46 条関係）

3-11-1

匿名加工情報の適正な加工（法第 43 条第 1 項関係）

法第 43 条（第 1 項）
1 個人情報取扱事業者は、匿名加工情報（匿名加工情報データベース等を構成するものに限る。以下この章及び第 6 章において同じ。）を作成するときは、
特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、当該個人情報を加工しなければならない。
規則第 34 条
法第 43 条第 1 項の個人情報保護委員会規則で定める基準は、次のとおりとする。
126

(1) 個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること（当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
(2) 個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
(3) 個人情報と当該個人情報に措置を講じて得られる情報とを連結する符号（現に個人情報取扱事業者において取り扱う情報を相互に連結する符号に限る。）を削除すること（当該符号を復元することのできる規則性を有しない方法により当該個人情報と当該個人情報に措置を講じて得られる情報を連結することができない符号に置き換えることを含む。）。
(4) 特異な記述等を削除すること（当該特異な記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
(5) 前各号に掲げる措置のほか、個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等との差異その他の当該個人情報データベース等の性質を勘案し、その結果を踏まえて適切な措置を講ずること。
教習所事業者は、匿名加工情報（匿名加工情報データベース等を構成するものに限る（※1）。以下同じ。）を作成するとき（※2）は、特定の個人を識別できないように、かつ、その作成に用いる個人情報を復元できないようにするた
めに、規則第 34 条各号に定める基準に従って、当該個人情報を加工しなければならない。なお、「個人情報保護委員会規則で定める基準に従い、当該個人情報を加工」するためには、加工する情報の性質に応じて、規則第 34 条各号に定める加工基準を満たす必要がある。
その他、規則第 34 条各号については、ガイドライン（仮名加工情報・匿名加工情報編）を参照のこと。
（※1）匿名加工情報の取扱いに係る義務（法第 43 条から第 46 条まで）は、匿名加
工情報データベース等を構成する匿名加工情報に課されるものであり、いわゆる散在情報となる、匿名加工情報データベース等を構成しない匿名加工情報の取扱いに係る義務は課されていない。
（※2）「作成するとき」は、匿名加工情報として取り扱うために、当該匿名加工情報を作成するときのことを指す。したがって、例えば、安全管理措置の一環として
氏名等の一部の個人情報を削除（又は他の記述等に置き換え）した上で引き続き個人情報として取り扱う場合、あるいは統計情報を作成するために個人情報を加工す127

る場合等については、匿名加工情報を「作成するとき」には該当しない。

3-11-2 匿名加工情報等の安全管理措置等（法第 43 条第 2 項、第 6 項、第46 条関係）3-11-2-1

加工方法等情報の安全管理措置

法第 43 条（第 2 項）
2 個人情報取扱事業者は、匿名加工情報を作成したときは、その作成に用いた
個人情報から削除した記述等及び個人識別符号並びに前項の規定により行った加工の方法に関する情報の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、これらの情報の安全管理のための措置を講じなければならない。
規則第 35 条
法第 43 条第 2 項の個人情報保護委員会規則で定める基準は、次のとおりとする。
(1) 加工方法等情報（匿名加工情報の作成に用いた個人情報から削除した記述等及び個人識別符号並びに法第 43 条第 1 項の規定により行った加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。）をいう。以下この条において同じ。）を取り扱う者の権限及び責任を明確に定めること。
(2) 加工方法等情報の取扱いに関する規程類を整備し、当該規程類に従って加工方法等情報を適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果に基づき改善を図るために必要な措置を講ずること。
(3) 加工方法等情報を取り扱う正当な権限を有しない者による加工方法等情報の取扱いを防止するために必要かつ適切な措置を講ずること。
教習所事業者は、匿名加工情報を作成したときは、加工方法等情報（その作成に用いた個人情報から削除した記述等及び個人識別符号並びに加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。（※））をいう。以下同じ。）の漏えいを防止するために、規則で定める基準に従い、必要な措置を講じなければならない。
当該措置の内容は、対象となる加工方法等情報が漏えいした場合における復元リスクの大きさを考慮し、当該加工方法等情報の量、性質等に応じた内容としなければならないが、具体的に講じなければならない項目及び具体例につい128

ては、ガイドライン（仮名加工情報・匿名加工情報編）を参照のこと。
（※）
「その情報を用いて当該個人情報を復元することができるもの」には、例えば、氏名等を仮 ID に置き換えた場合における置き換えアルゴリズムに用いられる乱数
等のパラメータ又は氏名と仮 ID の対応表等のような加工の方法に関する情報が該当し、「年齢のデータを 10 歳刻みのデータに置き換えた」というような復元につながらない情報は該当しない。なお、氏名等を仮 ID に置き換えた場合における氏名と仮 ID の対応表は、匿名加工情報と容易に照合することができ、それにより匿名加工情報の作成の元となった個人情報の本人を識別することができるものであることから、匿名加工情報の作成後は破棄しなければならない。また、匿名加工情報を作成した個人情報取扱事業者が、氏名等の仮 ID への置き換えに用いた置き換
えアルゴリズムと乱数等のパラメータの組み合わせを保有している場合には、当該置き換えアルゴリズム及び当該乱数等のパラメータを用いて再度同じ置き換えを行うことによって、匿名加工情報とその作成の元となった個人情報とを容易に照合でき、それにより匿名加工情報の作成の元となった個人情報の本人を識別することができることから、匿名加工情報の作成後は、氏名等の仮 ID への置き換えに用いた乱数等のパラメータを破棄しなければならない。

3-11-2-2

匿名加工情報の安全管理措置等

法第 43 条（第 6 項）
6 個人情報取扱事業者は、匿名加工情報を作成したときは、当該匿名加工情報の安全管理のために必要かつ適切な措置、当該匿名加工情報の作成その他の取扱いに関する苦情の処理その他の当該匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努
めなければならない。
法第 46 条
匿名加工情報取扱事業者は、匿名加工情報の安全管理のために必要かつ適切な措置、匿名加工情報の取扱いに関する苦情の処理その他の匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
個人情報取扱事業者又は匿名加工情報取扱事業者である教習所事業者は、匿名加工情報の安全管理措置、苦情処理等の匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努め
129

なければならない。
当該安全管理等の措置については、個人情報と同様の取扱いを求めるものではないが、例えば、法第 23 条から第 25 条までに定める個人データの安全管理、従業者の監督及び委託先の監督並びに法第 40 条に定める個人情報の取扱いに関する苦情の処理で求められる措置の例（※）を参考にすることも考えられる。具体的には、事業の性質、匿名加工情報の取扱状況、取り扱う匿名加工情報の性
質、量等に応じて、合理的かつ適切な措置を講ずることが望ましい。
なお、匿名加工情報には識別行為の禁止義務が課されていることから、匿名
加工情報を取り扱うに当たっては、それを取り扱う者が不適正な取扱いをすることがないよう、匿名加工情報に該当することを明確に認識できるようにしておくことが重要である。そのため、作成した匿名加工情報について、匿名加工
情報を取り扱う者にとってその情報が匿名加工情報である旨が一見して明らかな状態にしておくことが望ましい。
（※）詳細は、3-4-2（安全管理措置）、3-4-3（従業者の監督）、3-4-4（委託先の監督）、3-9（個人情報の取扱いに関する苦情処理）を参照のこと。

3-11-3

匿名加工情報の作成時の公表（法第 43 条第 3 項関係）

法第 43 条（第 3 項）
3

個人情報取扱事業者は、匿名加工情報を作成したときは、個人情報保護委員会規則で定めるところにより、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない。

規則第 36 条
1 法第 43 条第 3 項の規定による公表は、匿名加工情報を作成した後、遅滞なく、インターネットの利用その他の適切な方法により行うものとする。
2 個人情報取扱事業者が他の個人情報取扱事業者の委託を受けて匿名加工情報を作成した場合は、当該他の個人情報取扱事業者が当該匿名加工情報に含まれる個人に関する情報の項目を前項に規定する方法により公表するものとする。この場合においては、当該公表をもって当該個人情報取扱事業者が当該項目を公表したものとみなす。
教習所事業者は、匿名加工情報を作成したとき（※1）は、匿名加工情報の作成後遅滞なく（※2）、インターネット等を利用し、当該匿名加工情報に含まれる個人に関する情報の項目を公表（※3）しなければならない。
130

また、個人に関する情報の項目が同じである匿名加工情報を同じ手法により反復・継続的に作成する場合には、最初の匿名加工情報を作成して個人に関する項目を公表する際に、作成期間又は継続的な作成を予定している旨を明記するなど継続的に作成されることとなる旨を明らかにしておくことにより、その後に作成される匿名加工情報に係る公表については先の公表により行われたものと解される。
なお、他の個人情報取扱事業者との委託契約により個人データの提供を受けて匿名加工情報を作成する場合など委託により匿名加工情報を作成する場合は、委託元において当該匿名加工情報に含まれる個人に関する情報の項目を公表す
るものとする。
【個人に関する情報の項目の事例】
事例）「氏名・性別・生年月日・購買履歴」のうち、氏名を削除した上で、生年月日の一般化、購買履歴から特異値等を削除する等加工して、「性別・生年・購買履歴」に関する匿名加工情報として作成した場合の公表項目は、「性別」、「生年」、「購買履歴」である。
（※1）ここで「匿名加工情報を作成したとき」とは、匿名加工情報として取り扱う
ために、個人情報を加工する作業が完了した場合のことを意味する。すなわち、あくまで個人情報の安全管理措置の一環として一部の情報を削除しあるいは分割して保存・管理する等の加工をする場合又は個人情報から統計情報を作成するために個人情報を加工する場合等を含むものではない。
また、匿名加工情報を作成するために個人情報の加工をする作業を行っている途
上であるものの作成作業が完了していない場合には、加工が不十分であること等から匿名加工情報として取り扱うことが適切ではない可能性もあるため「匿名加工情報を作成したとき」とは位置付けられない。
（※2）ここでの「遅滞なく」とは、正当かつ合理的な期間であれば公表が匿名加工情報を作成した直後でなくても認められることを意味する。ただし、少なくとも匿名加工情報の利用又は第三者提供をする前に匿名加工情報を作成したことを一般に十分に知らせるに足る期間を確保するものでなければならない。許容される具体的な期間は、業種及びビジネスの態様によっても異なり得るため、個別具体的に判断する必要がある。
（※3）「公表」とは、広く一般に自己の意思を知らせること（不特定多数の人々が知ることができるように発表すること）をいう。詳細は、2-15（公表）を参照のこと。

131

3-11-4

匿名加工情報の第三者提供（法第 43 条第 4 項、第 44 条関係）

法第 43 条（第 4 項）
4 個人情報取扱事業者は、匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは、個人情報保護委員会規則で定めるところにより、あらか
じめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目
及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。
法第 44 条
匿名加工情報取扱事業者は、匿名加工情報（自ら個人情報を加工して作成したものを除く。以下この節において同じ。）を第三者に提供するときは、
個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。
規則第 37 条
1 法第 43 条第 4 項の規定による公表は、インターネットの利用その他の適切な方法により行うものとする。
2 法第 43 条第 4 項の規定による明示は、電子メールを送信する方法又は書面を交付する方法その他の適切な方法により行うものとする。
規則第 38 条
1 前条第 1 項の規定は、法第 44 条の規定による公表について準用する。
2 前条第 2 項の規定は、法第 44 条の規定による明示について準用する。
個人情報取扱事業者又は匿名加工情報取扱事業者である教習所事業者は、匿名加工情報を第三者に提供（※1）するときは、提供に当たりあらかじめ（※2）、インターネット等を利用し、次の(1)及び(2)に掲げる事項を公表（※3）するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を電
子メール又は書面等により明示（※4）しなければならない。
また、個人に関する情報の項目及び加工方法が同じである匿名加工情報を反復・継続的に第三者へ同じ方法により提供する場合には、最初に匿名加工情報
を第三者提供するときに個人に関する項目を公表する際に、提供期間又は継続132

的な提供を予定している旨を明記するなど継続的に提供されることとなる旨を明らかにしておくことにより、その後に第三者に提供される匿名加工情報に係
る公表については先の公表により行われたものと解される。
なお、匿名加工情報をインターネット等で公開する行為についても不特定多数への第三者提供に当たるため、上記義務を履行する必要がある。
(1) 第三者に提供する匿名加工情報に含まれる個人に関する情報の項目事例）「氏名・性別・生年月日・購買履歴」のうち、氏名を削除した上で、生年月日の一般化、購買履歴から特異値等を削除する等加工して、「性別・生年・購買履歴」に関する匿名加工情報として作成して第三者提供する場合の公表項目は、「性別」、「生年」、「購買履歴」である。
(2) 匿名加工情報の提供の方法
事例 1）ハードコピーを郵送
事例 2）第三者が匿名加工情報を利用できるようサーバにアップロード（※1）「提供」とは、匿名加工情報を第三者が利用可能な状態に置くことをいう。
匿名加工情報が物理的に提供されていない場合であっても、ネットワーク等を利用することにより、第三者が匿名加工情報を利用できる状態にあれば（利用する権限が与えられていれば）、「提供」に当たる。
（※2）「あらかじめ」の期間については、匿名加工情報を第三者に提供することを一般に十分に知らせるに足る期間を確保するものでなければならない。具体的な期間については、業種及びビジネスの様態によっても異なり得るため、個別具体的に判断する必要がある。
（※3）「公表」とは、広く一般に自己の意思を知らせること（不特定多数の人々が知ることができるように発表すること）をいう。詳細は、2-15（公表）を参照のこと。
（※4）「明示」とは、第三者に対し、提供する情報が匿名加工情報であることを明確に示すことをいう。明示の方法については、規則第 37 条第 2 項で定められているとおり、事業の性質、匿名加工情報の取扱状況等に応じ、電子メールを送信する
方法又は書面を交付する方法など適切な方法により、その内容が当該第三者に認識されるものである必要がある。

3-11-5

識別行為の禁止（法第 43 条第 5 項、第 45 条関係）

法第 43 条（第 5 項）133

5

個人情報取扱事業者は、匿名加工情報を作成して自ら当該匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該匿名加工情報を他の情報と照合してはならない。

法第 45 条
匿名加工情報取扱事業者は、匿名加工情報を取り扱うに当たっては、当該
匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該個人情報から削除された記述等若しくは個人識別符号若しくは第 43 条第 1項若しくは第 114 条第 1 項（同条第 2 項において準用する場合を含む。）の規定により行われた加工の方法に関する情報を取得し、又は当該匿名加工情
報を他の情報と照合してはならない。
匿名加工情報を取り扱う場合（※1）には、当該匿名加工情報の作成の元となった個人情報の本人を識別する目的で、それぞれ次の行為を行ってはならない。
(1) 個人情報取扱事業者が自ら作成した匿名加工情報を取り扱う場合
・ 自らが作成した匿名加工情報を、本人を識別するために他の情報（※2）と照合すること。
(2) 匿名加工情報取扱事業者が他者の作成した匿名加工情報を取り扱う場合
・ 受領した匿名加工情報又は行政機関等匿名加工情報（※3）の加工方法等
情報を取得すること。
・ 受領した匿名加工情報を、本人を識別するために他の情報（※2）と照合すること。
【識別行為に当たらない取扱いの事例】
事例 1）複数の匿名加工情報を組み合わせて統計情報を作成すること。
事例 2）匿名加工情報を個人と関係のない情報（例：気象情報、交通情報、金融商品等の取引高）とともに傾向を統計的に分析すること。
【識別行為に当たる取扱いの事例】
事例 1）保有する個人情報と匿名加工情報について、共通する記述等を選別してこれらを照合すること。
事例 2）自ら作成した匿名加工情報を、当該匿名加工情報の作成の元となった
個人情報と照合すること。

134

（※1）匿名加工情報については、当該匿名加工情報の作成の元となった個人情報の本人を識別する目的のために他の情報と照合することが禁止されている。一方、個人情報として利用目的の範囲内で取り扱う場合に照合を禁止するものではない。
（※2）「他の情報」に限定はなく、本人を識別する目的をもって行う行為であれば、個人情報、個人関連情報、仮名加工情報及び匿名加工情報を含む情報全般と照合する行為が禁止される。また、具体的にどのような技術又は手法を用いて照合するかは問わない。
（※3）「行政機関等匿名加工情報」とは、法第 60 条第 3 項に定めるものを指す。
なお、この情報は匿名加工情報に包含される概念であることから、この情報を取り扱う事業者は、匿名加工情報取扱事業者に係る規律の対象となるものである。

4 「勧告」、「命令」、「緊急命令」等についての考え方
法第 145 条
1 委員会は、個人情報取扱事業者が第 18 条から第 20 条まで、第 21 条（第 1項、第 3 項及び第 4 項の規定を第 41 条第 4 項の規定により読み替えて適用する場合を含む。）、第 23 条から第 26 条まで、第 27 条（第 4 項を除き、第 5
項及び第 6 項の規定を第 41 条第 6 項の規定により読み替えて適用する場合を含む。）、第 28 条、第 29 条（第 1 項ただし書の規定を第 41 条第 6 項の規定により読み替えて適用する場合を含む。）、第 30 条（第 2 項を除き、第 1
項ただし書の規定を第 41 条第 6 項の規定により読み替えて適用する場合を含
む。）、第 32 条、第 33 条（第 1 項（第 5 項において準用する場合を含む。）
を除く。）、第 34 条第 2 項若しくは第 3 項、第 35 条（第 1 項、第 3 項及び第 5 項を除く。）、第 38 条第 2 項、第 41 条（第 4 項及び第 5 項を除く。）
若しくは第 43 条（第 6 項を除く。）の規定に違反した場合、個人関連情報取扱事業者が第 31 条第 1 項、同条第 2 項において読み替えて準用する第 28 条
第 3 項若しくは第 31 条第 3 項において読み替えて準用する第 30 条第 3 項若
しくは第 4 項の規定に違反した場合、仮名加工情報取扱事業者が第 42 条第 1項、同条第 2 項において読み替えて準用する第 27 条第 5 項若しくは第 6 項若
しくは第 42 条第 3 項において読み替えて準用する第 23 条から第 25 条まで
若しくは第 41 条第 7 項若しくは第 8 項の規定に違反した場合又は匿名加工情報取扱事業者が第 44 条若しくは第 45 条の規定に違反した場合において個人の権利利益を保護するため必要があると認めるときは、当該個人情報取扱事
業者等に対し、当該違反行為の中止その他違反を是正するために必要な措置をとるべき旨を勧告することができる。
2 委員会は、前項の規定による勧告を受けた個人情報取扱事業者等が正当な理135

由がなくてその勧告に係る措置をとらなかった場合において個人の重大な権
利利益の侵害が切迫していると認めるときは、当該個人情報取扱事業者等に対し、その勧告に係る措置をとるべきことを命ずることができる。
3 委員会は、前二項の規定にかかわらず、個人情報取扱事業者が第 18 条から
第 20 条まで、第 23 条から第 26 条まで、第 27 条第 1 項、第 28 条第 1 項若
しくは第 3 項、第 41 条第 1 項から第 3 項まで若しくは第 6 項から第 8 項まで若しくは第 43 条第 1 項、第 2 項若しくは第 5 項の規定に違反した場合、個人関連情報取扱事業者が第 31 条第 1 項若しくは同条第 2 項において読み替えて準用する第 28 条第 3 項の規定に違反した場合、仮名加工情報取扱事業者が第 42 条第 1 項若しくは同条第 3 項において読み替えて準用する第 23 条から
第 25 条まで若しくは第 41 条第 7 項若しくは第 8 項の規定に違反した場合又は匿名加工情報取扱事業者が第 45 条の規定に違反した場合において個人の重大な権利利益を害する事実があるため緊急に措置をとる必要があると認めるときは、当該個人情報取扱事業者等に対し、当該違反行為の中止その他違反を是正するために必要な措置をとるべきことを命ずることができる。
4 委員会は、前二項の規定による命令をした場合において、その命令を受けた
個人情報取扱事業者等がその命令に違反したときは、その旨を公表することができる。
法第 173 条
第 145 条第 2 項又は第 3 項の規定による命令に違反した場合には、当該違反行為をした者は、1 年以下の懲役又は 100 万円以下の罰金に処する。
法第 179 条
1 法人の代表者又は法人若しくは人の代理人、使用人その他の従業者が、その法人又は人の業務に関して、次の各号に掲げる違反行為をしたときは、行為者を罰するほか、その法人に対して当該各号に定める罰金刑を、その人に対して各本条の罰金刑を科する。
(1) 第 173 条及び第 174 条 1 億円以下の罰金刑(2) 第 177 条 同条の罰金刑
2

法人でない団体について前項の規定の適用がある場合には、その代表者又は管理人が、その訴訟行為につき法人でない団体を代表するほか、法人を被告人又は被疑者とする場合の刑事訴訟に関する法律の規定を準用する。

法第 145 条に規定される個人情報保護委員会の「勧告（第 1 項）」、「命令（第 2 項）」及び「緊急命令（第 3 項）」については、個人情報取扱事業者等
136

が個人情報の保護に関する法律についてのガイドライン（以下「ガイドライン」という。）に沿って必要な措置等を講じたか否かにつき判断して行うものとする。
すなわち、本ガイドラインの中で、「しなければならない」及び「してはならない」と記述している事項については、これらに従わなかった場合、個人情報取扱事業者においては法第 18 条から第 20 条まで、第 21 条（第 1 項、第 3項及び第 4 項の規定を第 41 条第 4 項の規定により読み替えて適用する場合を含
む。）、第 23 条から第 26 条まで、第 27 条（第 4 項を除き、第 5 項及び第 6項の規定を第 41 条第 6 項の規定により読み替えて適用する場合を含む。）、第28 条、第 29 条（第 1 項ただし書の規定を第 41 条第 6 項の規定により読み替えて適用する場合を含む。）、第 30 条（第 2 項を除き、第 1 項ただし書の規定を
第 41 条第 6 項の規定により読み替えて適用する場合を含む。）、第 32 条、第33 条（第 1 項（第 5 項において準用する場合を含む。）を除く。）、第 34 条
第 2 項若しくは第 3 項、第 35 条（第 1 項、第 3 項及び第 5 項を除く。）、第38 条第 2 項、第 41 条（第 4 項及び第 5 項を除く。）若しくは第 43 条（第 6 項を除く。）の規定違反、個人関連情報取扱事業者においては法第 31 条第 1 項若しくは同条第 2 項において読み替えて準用する第 28 条第 3 項又は第 31 条第 3項において読み替えて準用する第 30 条第 3 項若しくは第 4 項の規定違反、仮名加工情報取扱事業者においては法第 42 条第 1 項若しくは同条第 2 項において読み替えて準用する第 27 条第 5 項若しくは第 6 項又は第 42 条第 3 項において読み替えて準用する第 23 条から第 25 条まで若しくは第 41 条第 7 項若しくは第 8項の規定違反、匿名加工情報取扱事業者においては法第 44 条又は第 45 条の規定違反と判断される可能性がある。
違反と判断された場合において、実際に個人情報保護委員会が「勧告」を行うこととなるのは、個人の権利利益を保護するため必要があると個人情報保護委員会が認めたときとなる。
一方、ガイドライン中、「努めなければならない」、「望ましい」等と記述している事項については、これに従わなかったことをもって直ちに法違反と判断されることはないが、法の基本理念（法第 3 条）を踏まえ、事業者の特性や規模に応じ可能な限り対応することが望まれるものである。
「命令」は、単に「勧告」に従わないことをもって発せられることはなく、正当な理由なくその勧告に係る措置をとらなかった場合において個人の重大な権利利益の侵害が切迫していると個人情報保護委員会が認めたときに発せられる。
なお、「勧告」に従わなかったか否かを明確にするため、個人情報保護委員
会は、「勧告」に係る措置を講ずべき期間を設定して「勧告」を行うこととす
137

る。
「緊急命令」は、個人情報取扱事業者等が上記各規定に違反した場合において、個人の重大な権利利益を害する事実があるため緊急に措置をとる必要があ
ると個人情報保護委員会が認めたときに、「勧告」を前置せずに行う。
また、「命令」及び「緊急命令」に従わなかったか否かを明確にするため、個人情報保護委員会は、「命令」及び「緊急命令」に係る措置を講ずべき期間を設定して「命令」及び「緊急命令」を行い、当該期間中に措置が講じられない場合は、「公表（法第 145 条第 4 項）」の対象となるほか、「罰則（法第 173
条、第 179 条）」が適用される。
なお、個人情報保護委員会は、事案の性質等に応じ、国民への情報提供等の観点から（法第 9 条）、個人情報保護委員会による権限行使について、公表を行うことがある。
5 適用除外（法第 57 条関係）
法第 57 条1 個人情報取扱事業者等及び個人関連情報取扱事業者のうち次の各号に掲げる者については、その個人情報等及び個人関連情報を取り扱う目的の全部又は一部がそれぞれ当該各号に規定する目的であるときは、この章の規定は、適用しない。
(1) 放送機関、新聞社、通信社その他の報道機関（報道を業として行う個人を含む。） 報道の用に供する目的(2) 著述を業として行う者 著述の用に供する目的(3) 宗教団体 宗教活動（これに付随する活動を含む。）の用に供する目的(4) 政治団体 政治活動（これに付随する活動を含む。）の用に供する目的
2 前項第 1 号に規定する「報道」とは、不特定かつ多数の者に対して客観的事
実を事実として知らせること（これに基づいて意見又は見解を述べることを含む。）をいう。
3 第 1 項各号に掲げる個人情報取扱事業者等は、個人データ、仮名加工情報又は匿名加工情報の安全管理のために必要かつ適切な措置、個人情報等の取扱いに関する苦情の処理その他の個人情報等の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
詳細については、ガイドライン（通則編）5 を参照のこと。

138

6 域外適用（法第 166 条関係）
法第 166 条
この法律は、個人情報取扱事業者、仮名加工情報取扱事業者、匿名加工情報取扱事業者又は個人関連情報取扱事業者が、国内にある者に対する物品又は役務の提供に関連して、国内にある者を本人とする個人情報、当該個人情報として取得されることとなる個人関連情報又は当該個人情報を用いて作成された仮名加工情報若しくは匿名加工情報を、外国において取り扱う場合についても、適用する。
詳細については、ガイドライン（通則編）8 を参照のこと。
7 （別添）講ずべき安全管理措置の内容
法第 23 条に定める安全管理措置として、教習所事業者が具体的に講じなければならない措置や当該措置を実践するための手法の例等を次に示す。
安全管理措置を講ずるための具体的な手法については、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容とすべきものであるため、必ずしも次に掲げる例示の内容の全てを講じなければならないわけではなく、また、適切な手法はこれらの例示の内容に限られない。
なお、中小規模事業者（※1）については、その他の教習所事業者と同様に、
法第 23 条に定める安全管理措置を講じなければならないが、取り扱う個人デー
タの数量及び個人データを取り扱う従業者数が一定程度にとどまること等を踏
まえ、円滑にその義務を履行し得るような手法の例を示すこととする。もっとも、中小規模事業者が、その他の教習所事業者と同様に「手法の例示」に記述した手法も採用することは、より望ましい対応である。
（※1）「中小規模事業者」とは、従業員（※2）の数が 100 人以下の個人情報取扱事業者をいう。ただし、次に掲げる者を除く。
・ その事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数の合計が過去 6 月以内のいずれかの日において 5,000 を
超える者
139

・

委託を受けて個人データを取り扱う者（※2）中小企業基本法（昭和 38 年法律第 154 号）における従業員をいい、労働基準法（昭和 22 年法律第 49 号）
第 20 条の適用を受ける労働者に相当する者をいう。
ただし、同法第 21 条の規定により同法第 20 条の適用が除外されている者は除く。

7-1

基本方針の策定

教習所事業者は、個人データの適正な取扱いの確保について組織として取り組むために、基本方針を策定することが重要である。
具体的に定める項目の例としては、「事業者の名称」、「関係法令・ガイド
ライン等の遵守」、「安全管理措置に関する事項」、「質問及び苦情処理の窓口」等が考えられる。
7-2

個人データの取扱いに係る規律の整備

教習所事業者は、その取り扱う個人データの漏えい等の防止その他の個人
データの安全管理のために、個人データの具体的な取扱いに係る規律を整備しなければならない。
講じなければ

手法の例示ならない措置○

個人デー

中小規模事業者における手法の例示

取得、利用、保存、提供、削除・廃棄等 ・個人データの取得、

タ の 取 扱 い の段階ごとに、取扱方法、責任者・担当者

利用、保存等を行う場に 係 る 規 律 及びその任務等について定める個人デー

合の基本的な取扱方法の整備を整備する。

タの取扱規程を策定することが考えられる。なお、具体的に定める事項については、以降に記述する組織的安全管理措置、人的安全管理措置及び物理的安全管理措置の内容並びに情報システム（パソコン等の機器を含む。）を使用して個人データを取り扱う場合（インターネット等を通じて外部と送受信等する場合を含む。）は技術的安全管理措置の内容を織り込むことが重要
である。

140

7-3

組織的安全管理措置

教習所事業者は、組織的安全管理措置として、次に掲げる措置を講じなければならない。
(1) 組織体制の整備
安全管理措置を講ずるための組織体制を整備しなければならない。
(2) 個人データの取扱いに係る規律に従った運用
あらかじめ整備された個人データの取扱いに係る規律に従って個人データを取り扱わなければならない。
なお、整備された個人データの取扱いに係る規律に従った運用の状況を確認するため、利用状況等を記録することも重要である。
(3) 個人データの取扱状況を確認する手段の整備
個人データの取扱状況を確認するための手段を整備しなければならない。
(4) 漏えい等事案に対応する体制の整備
漏えい等事案の発生又は兆候を把握した場合に適切かつ迅速に対応するための体制を整備しなければならない。
なお、漏えい等事案が発生した場合、二次被害の防止、類似事案の発生防止等の観点から、事案に応じて、事実関係及び再発防止策等を早急に公表することが重要である（※）。
（※）個人情報取扱事業者において、漏えい等事案が発生した場合等の対応の詳細については、3-5（個人データの漏えい等の報告等）参照のこと。

(5) 取扱状況の把握及び安全管理措置の見直し
個人データの取扱状況を把握し、安全管理措置の評価、見直し及び改善に取り組まなければならない。
講じなければならない措置(1)

手法の例示

組織体制 （組織体制として整備する項目の例）の整備

・ 個人データの取扱いに関する責任者の設置及び責任の明確化
・ 個人データを取り扱う従業者及びその役割の明確化

中小規模事業者における手法の例示
・

個人データを取り扱う従業者が複数いる場
合、責任ある立場の者とその他の者を区分する。

・ 上記の従業者が取り扱う個人データの範囲の明確化・ 法や教習所事業者において整備されて141

いる個人データの取扱いに係る規律に違反している事実又は兆候を把握した場合の責任者への報告連絡体制
・ 個人データの漏えい等事案の発生又は兆候を把握した場合の責任者への報告
連絡体制
・ 個人データを複数の部署で取り扱う場
合の各部署の役割分担及び責任の明確
化
(2)

個人デー

個人データの取扱いに係る規律に従っ ・あらかじめ整備され

タ の 取 扱 い た運用を確保するため、例えば次のようなた基本的な取扱方法にに 係 る 規 律 項目に関して、システムログその他の個人

従って個人データが取に 従 っ た 運 データの取扱いに係る記録の整備や業務り扱われていること

用

日誌の作成等を通じて、個人データの取扱を、責任ある立場の者

いの検証を可能とすることが考えられる。

が確認する。

・

個人情報データベース等の利用・出力状況

・

個人データが記載又は記録された書類・媒体等の持ち運び等の状況

・

個人情報データベース等の削除・廃棄の状況（委託した場合の消去・廃棄を証明する記録を含む。）

・ 個人情報データベース等を情報システ
ムで取り扱う場合、担当者の情報システ
ムの利用状況（ログイン実績、アクセス
ログ等）
(3)

個人デー

例えば次のような項目をあらかじめ明 ・あらかじめ整備され

タ の 取 扱 状 確化しておくことにより、個人データの取た基本的な取扱方法に

況 を 確 認 す 扱状況を把握可能とすることが考えられ

従って個人データが取る 手 段 の 整 る。

り扱われていること

備

(4)

漏えい等

・

個人情報データベース等の種類、名称を、責任ある立場の者

・

個人データの項目が確認する。

・

責任者・取扱部署

・

利用目的

・

アクセス権を有する者

等

漏えい等事案の発生時に例えば次のよ ・
142

漏えい等事案の発生

事 案 に 対 応 うな対応を行うための、体制を整備するこ時に備え、従業者からす る 体 制 の とが考えられる。

責任ある立場の者に対整備

事実関係の調査及び原因の究明

する報告連絡体制等を

・ 影響を受ける可能性のある本人への通あらかじめ確認する。

・
知・

個人情報保護委員会等への報告

・再発防止策の検討及び決定・ 事実関係及び再発防止策等の公表 等(5)

取扱状況 ・

個人データの取扱状況について、定期 ・ 責任ある立場の者が、の把握及び的に自ら行う点検又は他部署等による個人データの取扱状況

安全管理措

監査を実施する。

について、定期的に点

置の見直し

・

外部の主体による監査活動と合わせ検を行う。

て、監査を実施する。

7-4

人的安全管理措置教習所事業者は、人的安全管理措置として、次に掲げる措置を講じなければならない。また、教習所事業者は、従業者に個人データを取り扱わせるに当たっては、法第 24 条に基づき従業者に対する監督をしなければならない（3-4-3（従業者の監督）参照）。
○ 従業者の教育
従業者に、個人データの適正な取扱いを周知徹底するとともに適切な教育を行わなければならない。
講じなければ

手法の例示ならない措置○

中小規模事業者における手法の例示

従 業 者 の ・ 個人データの取扱いに関する留意事項 （同左）
教育について、従業者に定期的な研修等を行う。
・ 個人データについての秘密保持に関する事項を就業規則等に盛り込む。

7-5

物理的安全管理措置

教習所事業者は、物理的安全管理措置として、次に掲げる措置を講じなけれ143

ばならない。
(1) 個人データを取り扱う区域の管理
個人情報データベース等を取り扱うサーバやメインコンピュータ等の重要な情報システムを管理する区域（以下「管理区域」という。）及びその他の個人
データを取り扱う事務を実施する区域（以下「取扱区域」という。）について、それぞれ適切な管理を行わなければならない。
(2) 機器及び電子媒体等の盗難等の防止
個人データを取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、適切な管理を行わなければならない。
(3) 電子媒体等を持ち運ぶ場合の漏えい等の防止
個人データが記録された電子媒体又は書類等を持ち運ぶ場合、容易に個人データが判明しないよう、安全な方策を講じなければならない。
なお、「持ち運ぶ」とは、個人データを管理区域又は取扱区域から外へ移動させること又は当該区域の外から当該区域へ移動させることをいい、事業所内の移動等であっても、個人データの紛失・盗難等に留意する必要がある。
(4) 個人データの削除及び機器、電子媒体等の廃棄
個人データを削除し又は個人データが記録された機器、電子媒体等を廃棄する場合は、復元不可能な手段で行わなければならない。
また、個人データを削除した場合、又は、個人データが記録された機器、電子媒体等を廃棄した場合には、削除又は廃棄した記録を保存することや、それらの作業を委託する場合には、委託先が確実に削除又は廃棄したことについて
証明書等により確認することも重要である。
講じなければ

手法の例示ならない措置(1)

個人デー （管理区域の管理手法の例）

タを取り扱 ・
う区域の管理

入退室管理及び持ち込む機器等の制限等

中小規模事業者における手法の例示
・ 個人データを取り扱う
ことのできる従業者及び本人以外が容易に個

なお、入退室管理の方法としては、人データを閲覧等でき

IC カード、ナンバーキー等による入退ないような措置を講ず

室管理システムの設置等が考えられる。

る。
（取扱区域の管理手法の例）
・ 間仕切り等の設置、座席配置の工夫、のぞき込みを防止する措置の実施等による、権限を有しない者による個人
144

データの閲覧等の防止(2)

機器及び ・ 個人データを取り扱う機器、個人デー （同左）

電子媒体等

タが記録された電子媒体又は個人デーの盗難等のタが記載された書類等を、施錠できる防止

キャビネット・書庫等に保管する。
・

個人データを取り扱う情報システム
が機器のみで運用されている場合は、当該機器をセキュリティワイヤー等により固定する。

(3)

電子媒体 ・

持ち運ぶ個人データの暗号化、パス ・ 個人データが記録され等を持ち運ワードによる保護等を行った上で電子た電子媒体又は個人ぶ場合の漏媒体に保存する。

データが記載された書

え い 等 の 防 ・ 封緘、目隠しシールの貼付けを行う。

類等を持ち運ぶ場合、パ止

スワードの設定、封筒に・施錠できる搬送容器を利用する。

封入し鞄に入れて搬送する等、紛失・盗難等を防ぐための安全な方策
を講ずる。
(4)

個人デー （個人データが記載された書類等を廃棄 ・個人データを削除し、

タ の 削 除 及 する方法の例）

又は、個人データが記録

び機器、電子 ・焼却、溶解、適切なシュレッダー処された機器、電子媒体等

理等の復元不可能な手段を採用する。

を廃棄したことを、責任（個人データを削除し、又は、個人デー

ある立場の者が確認すタが記録された機器、電子媒体等を廃棄

る。

媒体等の廃
棄

する方法の例）・

情報システム（パソコン等の機器を含む。）において、個人データを削除する場合、容易に復元できない手段を
採用する。

・

個人データが記録された機器、電子媒体等を廃棄する場合、専用のデータ削除ソフトウェアの利用又は物理的な破壊等の手段を採用する。

7-6

技術的安全管理措置

145

教習所事業者は、情報システム（パソコン等の機器を含む。）を使用して個人データを取り扱う場合（インターネット等を通じて外部と送受信等する場合を含む。）、技術的安全管理措置として、次に掲げる措置を講じなければならない。
(1) アクセス制御担当者及び取り扱う個人情報データベース等の範囲を限定するために、適切なアクセス制御を行わなければならない。
(2) アクセス者の識別と認証
個人データを取り扱う情報システムを使用する従業者が正当なアクセス権を有する者であることを、識別した結果に基づき認証しなければならない。
(3) 外部からの不正アクセス等の防止
個人データを取り扱う情報システムを外部からの不正アクセス又は不正ソフ
トウェアから保護する仕組みを導入し、適切に運用しなければならない。
(4) 情報システムの使用に伴う漏えい等の防止
情報システムの使用に伴う個人データの漏えい等を防止するための措置を講じ、適切に運用しなければならない。
講じなければ

手法の例示ならない措置(1)

中小規模事業者における手法の例示

アクセス ・ 個人情報データベース等を取り扱うこ ・制御

個人データを取り扱とのできる情報システムを限定する。

うことのできる機器及・ 情報システムによってアクセスするこび当該機器を取り扱うとのできる個人情報データベース等を従業者を明確化し、個限定する。

人データへの不要なア・ ユーザーID に付与するアクセス権によ

クセスを防止する。

り、個人情報データベース等を取り扱う
情報システムを使用できる従業者を限
定する。
(2)

アクセス （ 情 報 シ ス テ ム を 使 用 す る 従 業 者 の 識 ・機器に標準装備され者 の 識 別 と 別・認証手法の例）ているユーザー制御機

認証

能（ユーザーアカウン

・

ユーザーID、パスワード、磁気・IC
カード等ト制御）により、個人情報データベース等を取り扱う情報システムを使用する従業者を識別・認証する。
146

(3)外部から ・ 情報システムと外部ネットワークとの ・

個人データを取り扱の不正アク接続箇所にファイアウォール等を設置

う機器等のオペレー

セス等の防し、不正アクセスを遮断する。

ティングシステムを最止・ 情報システム及び機器にセキュリティ対策ソフトウェア等（ウイルス対策ソフ ・新の状態に保持する。
個人データを取り扱

トウェア等）を導入し、不正ソフトウェ

う機器等にセキュリ

アの有無を確認する。

ティ対策ソフトウェア

・ 機器やソフトウェア等に標準装備され等を導入し、自動更新ている自動更新機能等の活用により、ソ機能等の活用により、

フトウェア等を最新状態とする。

これを最新状態とす・

ログ等の定期的な分析により、不正アる。

クセス等を検知する。
(4)

情報シス ・ 情報システムの設計時に安全性を確保 ・

メール等により個人

テムの使用し、継続的に見直す（情報システムのぜ

データの含まれるファに伴う漏えい弱性を突いた攻撃への対策を講ずる

イルを送信する場合

い等の防止ことも含む。）。

に、当該ファイルへの・ 個人データを含む通信の経路又は内容を暗号化する。
・

パスワードを設定する。

移送する個人データについて、パス
ワード等による保護を行う。

7-7

外的環境の把握

教習所事業者が、外国において個人データを取り扱う場合、当該外国の個人情報の保護に関する制度等を把握した上で、個人データの安全管理のために必要かつ適切な措置を講じなければならない。
附 則（施行期日）
第 1 条 この指針は、令和 4 年 6 月 15 日から施行する。

147