個人情報保護指針

個⼈情報保護指針

⼀般社団法⼈ ⽇本個⼈情報管理協会

２０２２年９⽉１⽇制定
Ver5.001
一般社団法人日本個人情報管理協会

個人情報保護指針

目次
1.

個⼈情報保護指針の⽬的 .....................................................................................................................52.

適⽤範囲 ..............................................................................................................................................53.

対象事業者の責務 ...............................................................................................................................54.

本指針で⽤いる⽤語の定義 .................................................................................................................55.

個⼈情報取扱事業者等の義務等 ........................................................................................................10

5.1.

個⼈情報の取扱義務 ......................................................................................................................10

5.1.1.

利⽤⽬的の特定 ......................................................................................................................10

5.1.1.1.

利⽤⽬的の特定 ...............................................................................................................10

5.1.1.2.

利⽤⽬的の変更 ...............................................................................................................10

5.1.2.

利⽤⽬的による制限 ...............................................................................................................10

5.1.2.1.

利⽤⽬的による制限 ........................................................................................................10

5.1.2.2.

事業承継 .......................................................................................................................... 11

5.1.2.3.

適⽤除外 .......................................................................................................................... 11

5.1.3.

不適正利⽤の禁⽌ ................................................................................................................... 11

5.1.4.

適正な取得 .............................................................................................................................125.1.4.2.
5.1.5.

5.2.

要配慮個⼈情報の取得 ....................................................................................................12取得に際しての利⽤⽬的の通知等 ..........................................................................................135.1.5.1.

取得に際しての利⽤⽬的の通知等...................................................................................135.1.5.2.

直接書⾯等による取得 ....................................................................................................135.1.5.3.

変更した利⽤⽬的の通知等 .............................................................................................135.1.5.4.

利⽤⽬的の通知等をしなくてよい場合 ...........................................................................14個⼈データの取扱いと安全管理 ....................................................................................................15

5.2.1.

データ内容の正確性の確保等 .................................................................................................15

5.2.2.

安全管理措置 ..........................................................................................................................16

5.2.2.1.

個⼈データの取扱いに係る規律の整備 ...........................................................................16

5.2.2.2.

組織的安全管理措置 ........................................................................................................16

5.2.2.3.

⼈的安全管理措置............................................................................................................18

5.2.2.4.

物理的安全管理措置 ........................................................................................................18

5.2.2.5.

技術的安全管理措置 ........................................................................................................195.2.2.6.

外的環境の把握 ...............................................................................................................20

5.2.3.

従業者の監督 ..........................................................................................................................20

5.2.4.

委託先の監督 ..........................................................................................................................215.2.5.

個⼈データの漏えい等の報告等 .............................................................................................225.2.5.1.

漏えい等 ..........................................................................................................................225.2.5.2.

漏えい等事案が発覚した場合に講ずべき措置 .................................................................225.2.5.3.

漏えい等の報告 ...............................................................................................................225.2.5.4.

本⼈への通知 ...................................................................................................................242
一般社団法人日本個人情報管理協会

個人情報保護指針
5.2.6.

個⼈データの第三者への提供 .................................................................................................26

5.2.6.1.

個⼈データの第三者提供の制限（原則） ........................................................................26

5.2.6.3.

第三者に該当しない場合 .................................................................................................29

5.2.7.

外国にある第三者への提供の制限（第 28 条） ......................................................................33

5.2.7.1.

外国にある第三者への個⼈データの提供 ........................................................................33

5.2.7.2.

同意取得時の情報提供 ....................................................................................................34

5.2.7.3.

個⼈情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備している者に個⼈データを提供した場合に講ずべき措置等 ..................................................36
5.2.8.

5.2.8.1.

確認・記録義務の適⽤対象 .............................................................................................38

5.2.8.2.

第三者提供の状況により確認・記録義務が適⽤されない第三者提供 .............................39

5.2.8.3.

確認義務 ..........................................................................................................................40

5.2.8.4.

記録義務 ..........................................................................................................................41

5.2.8.5.

保存期間 ..........................................................................................................................43

5.2.9.

5.3.

第三者提供に係る記録の作成等（第 29 条、第 30 条） .........................................................38

個⼈関連情報の第三者提供の制限等 ......................................................................................44

5.2.9.1.

個⼈関連情報の第三者制限等の適⽤ ...............................................................................44

5.2.9.2.

本⼈の同意の取得⽅法 ....................................................................................................46

5.2.9.3.

本⼈の同意等の確認の⽅法 .............................................................................................47

5.2.9.4.

提供元における記録義務 .................................................................................................49

5.2.9.5.

提供元における記録事項 .................................................................................................50

5.2.9.6.

提供先の第三者における確認義務...................................................................................51

5.2.9.7.

提供先の第三者における記録事項...................................................................................52

保有個⼈データの取扱義務等 ........................................................................................................54

5.3.1.

保有個⼈データに関する事項の公表等...................................................................................54

5.3.1.1.

保有個⼈データに関する事項の公表 ...............................................................................54

5.3.1.2.

保有個⼈データの利⽤⽬的の通知...................................................................................55

5.3.2.

保有個⼈データの開⽰............................................................................................................56

5.3.3.

第三者提供記録の開⽰............................................................................................................57

5.3.3.1.

第三者提供記録の定義 ....................................................................................................57

5.3.3.2.

第三者提供記録の開⽰の⽅法 ..........................................................................................57

5.3.3.3.

第三者提供記録の不開⽰事由等 ......................................................................................58

5.3.4.

保有個⼈データの訂正等 ........................................................................................................58

5.3.5.

保有個⼈データの利⽤停⽌等 .................................................................................................59

5.3.5.1.

利⽤停⽌等の要件............................................................................................................60

5.3.5.2.

本⼈の権利利益の侵害を防⽌するために必要な限度 ......................................................61

5.3.5.3.

本⼈の権利利益を保護するため必要なこれに代わるべき措置 ........................................61

5.3.5.4.

請求に対する通知義務 ....................................................................................................61

5.3.6.

理由の説明 .............................................................................................................................62

5.3.7.

開⽰等の請求等に応じる⼿続 .................................................................................................623
一般社団法人日本個人情報管理協会

個人情報保護指針
5.3.8.

⼿数料.....................................................................................................................................64

5.3.9.

裁判上の訴えの事前請求 ........................................................................................................64

5.4.

個⼈情報の取扱いに関する苦情処理 .............................................................................................654
一般社団法人日本個人情報管理協会

個人情報保護指針
1.

個⼈情報保護指針の⽬的
本指針は、個⼈情報の保護に関する法律（以下、「個⼈情報保護法」という）、関連する政令及び個⼈情報保護委員会規則、並びに個⼈情報の保護に関する法律についてのガイドライン（通則編）（以下、「ガイ
ドライン（通則編）」という。）、個⼈情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）（以下、「ガイドライン（外国にある第三者への提供編）」という。）、個⼈情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）（以下、「ガイドライン（第三者提供時の確認・記録義務編）」という。）、個⼈情報の保護に関する法律についてのガイドライン（仮名加⼯
情報・匿名加⼯情報編）（以下、「ガイドライン（仮名加⼯情報・匿名加⼯情報編）」という。）、「個⼈情報の保護に関する法律に係るＥＵ域内から⼗分性認定により移転を受けた個⼈データの取扱いに関する補
完的ルール」（以下、「GDRP ルール」という。）及びその他特定の分野に関するガイドライン（以下、これらのガイドライン全てを総称して、「ガイドライン」という。）に基づき、認定個⼈情報保護団体である
⼀般社団法⼈⽇本個⼈情報管理協会（以下「当協会」という）の対象事業者であることの同意書を交わした正会員である事業者（以下、「対象事業者」という）が、事業活動を⾏う上で、個⼈の⼈格尊重の下で、事業規模と事業の性質に応じ、お客様、従業者及び関係者等の個⼈情報を適正に取扱い、適切な安全管理を実施することにより、調和のとれた本⼈の権利利益の保護と個⼈情報の利活⽤が達成できるようにすることを⽬的とする。当協会は対象事業者が、本指針を遵守するよう、周知徹底し、指導、勧告その他必要な措置を講じる。
対象事業者が、仮名加⼯情報及び匿名加⼯情報を利活⽤する場合は、別途定める「仮名加⼯情報及び匿名加⼯情報についての個⼈情報保護指針」を遵守し、適切に作成及び利⽤を図るものとする。
2.

適⽤範囲
本指針は、当協会の全ての事業者に適⽤する。

3.

対象事業者の責務
対象事業者は、個⼈情報を取り扱うにあたり、個⼈情報保護法及び関連する法令並びに保護法ガイドラ

イン（以下、「法令等」という。）を遵守し、個⼈情報の適正な取扱いと、適切な安全管理を⾏うこととし、本指針を遵守しなければならない。また、当協会より JIS Q 15001 個⼈情報保護マネジメントシステムの第三者認証を受けている対象事業者は、法令等及び本指針に加え、JIS Q 15001 規格の要求事項を満たさなければならない。
個⼈情報保護法第 53 条第 2 項及び第３項に従い、対象事業者の個⼈情報等の取扱いに関する苦情について解決のために必要がある場合、当協会は、⽂書若しくは⼝頭による説明を求め、⼜は資料の提出を求めることができ、対象事業者は正当な理由なくこれを拒んではならない。
当協会は、個⼈情報保護法第 54 条第 4 項に従い、対象事業者に対し、本指針を遵守させるため必要な指導、勧告その他の措置を⾏うが、対象事業者が、当該措置をとったにもかかわらず本指針を遵守しない
ときは、対象事業者から除外することができる。
4.

本指針で⽤いる⽤語の定義
本指針における⽤語の定義は、個⼈情報保護法の⽤語の定義に従うものとする。主な⽤語は以下のとおり。
5
一般社団法人日本個人情報管理協会

個人情報保護指針
１） 個⼈情報
⽣存する個⼈に関する情報であって、以下の①、②のいずれかに該当するもの。
① 当該情報に含まれる⽒名、⽣年⽉⽇その他の記述等（⽂書、図画若しくは電磁的記録に記載され、若しくは記録され、⼜は⾳声、動作その他の⽅法を⽤いて表された⼀切の事項（個⼈識別符号を除く。）をいう。以下同じ。
）により特定の個⼈を識別することができるもの。」（他の情報と容易に照合することで特定の個⼈を識別できることとなるものを含む）② 個⼈識別符号を含むもの。
２） 個⼈識別符号
次の①、②のいずれかに該当する⽂字、番号、記号その他の符号のうち、政令で定めるもの① 特定の個⼈の⾝体の⼀部の特徴を電⼦計算機の⽤に供するために変換した⽂字、番号、記号その他の符号であって、当該特定の個⼈を識別することができる以下もの。
(ア) 細胞から採取されたデオキシリボ核酸（別名 DNA）を構成する塩基の配列（⼈の DNA 情報）(イ) 顔の⾻格及び⽪膚の⾊並びに⽬、⿐、⼝その他の顔の部位の位置及び形状によって定まる容貌（顔認証）(ウ) 虹彩の表⾯の起伏により形成される線状の模様（虹彩認証）(エ) 発声の際の声帯の振動、声⾨の開閉並びに声道の形状及びその変化によって定まる声の質（声紋認証）(オ) 歩⾏の際の姿勢及び両腕の動作、歩幅その他の歩⾏の態様（歩容認証）(カ) ⼿のひら⼜は⼿の甲若しくは指の⽪下の静脈の分岐及び端点によって定まるその静脈の形状（⼿の静脈認証）(キ) 指紋⼜は掌紋(ク) 上記を組み合わせたもの② 個⼈に提供される役務の利⽤若しくは個⼈に販売される商品の購⼊に関し割り当てられ、⼜は個⼈に発⾏されるカードその他の書類に記載され、若しくは電磁的⽅式により記録された⽂字、番号、記号その他の符号であって、その利⽤者若しくは購⼊者⼜は発⾏を受ける者ごとに異なるものとなるように割り当てられ、⼜は記載され、若しくは記録されることにより、特定の利⽤者若しくは購⼊者⼜は発⾏を受ける者を識別することができる以下のもの。
(ア) 旅券番号(イ) 基礎年⾦番号(ウ) 免許証の番号(エ) 住⺠票コード(オ) 個⼈番号(カ) 公的保険の被保険者証の記号(キ) 番号及び保険者番号(ク) 特別永住者証明書の番号等
３） 要配慮個⼈情報
本⼈の⼈種、信条、社会的⾝分、病歴、犯罪の経歴、犯罪により害を被った事実その他本⼈に対する不当な差別、偏⾒その他の不利益が⽣じないようにその取扱いに特に配慮を要するものとして政令で定
6一般社団法人日本個人情報管理協会

個人情報保護指針
める記述等が含まれる個⼈情報。
① ⼈種
② 信条
③ 社会的⾝分④ 病歴⑤ 犯罪の経歴⑥ 犯罪により害を被った事実⑦ ⾝体障害、知的障害、精神障害（発達障害を含む。）その他の個⼈情報保護委員会規則で定める⼼⾝の機能の障害があること⑧ 本⼈に対して医師その他医療に関連する職務に従事する者により⾏われた疾病の予防及び早期発⾒のための健康診断その他の検査の結果⑨ 健康診断等の結果に基づき、⼜は疾病、負傷その他の⼼⾝の変化を理由として、本⼈に対して医師等により⼼⾝の状態の改善のための指導⼜は診療若しくは調剤が⾏われたこと(ア)

本⼈を被疑者⼜は被告⼈として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する⼿続が⾏われたこと（犯罪の経歴を除く。）(イ)

本⼈を少年法に基づく少年⼜はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する⼿続が⾏われたこと

４） 本⼈
個⼈情報によって識別される特定の個⼈。
５） 個⼈情報データベース等
個⼈情報を含む情報を集めたもの（集合物）であって、次の①及び②に掲げるもの（利⽤⽅法からみて個⼈の権利利益を害するおそれが少ないものとして政令で定めるものを除く。 ）① 特定の個⼈情報を、電⼦計算機を⽤いて検索することができるように体系的に構成したもの。
② 特定の個⼈情報を容易に検索することができるように索引等を付加し体系的に構成したもの。
③ 政令で定める個⼈情報データベース等から除くもの。
(ア)

不特定かつ多数の者に販売することを⽬的として発⾏されたもので、かつ、その発⾏が法⼜は法に基づく命令の規定に違反して⾏われたものでないこと(イ)

不特定かつ多数の者により随時に購⼊することができ、⼜はできたものであること(ウ)

⽣存する個⼈に関する他の情報を加えることなくその本来の⽤途に供しているものであること

注1） 個⼈情報データベース等から除外されるものであっても、それらに含まれる個⼈情報の⼀部を抜き出し、事業を⾏うために新たな個⼈情報のリスト等を作成した場合は、本来の⽤途とはことなるものとなるため、個⼈情報データベース等に該当することになるため注意しなければならない。
６） 個⼈データ
個⼈情報データベース等を構成している個⼈情報。
７） 保有個⼈データ
以下の①〜➂に該当するもの① 個⼈データであること
7
一般社団法人日本個人情報管理協会

個人情報保護指針② 個⼈情報取扱事業者が⾃らの権限で、個⼈データの内容を訂正、追加、削除、開⽰（内容を本⼈に知らせること）、利⽤停⽌、消去、第三者提供の停⽌を⾏うことができること
注1） 内容の削除とは、該当する保有個⼈データに含まれる項⽬の⼀部を取り除くことを意味する。
注2） 消去とは、該当する本⼈の保有個⼈データの全ての項⽬を取り除くことを意味する。
③ 以下の（ア）〜（エ）に当てはまる個⼈データは、保有個⼈データにはならない。
(ア)

その個⼈データの有無が分かると、本⼈⼜は第三者の⽣命、⾝体⼜は財産に危害が及ぶおそれがあるもの(イ)

その個⼈データの有無が分かると、違法⼜は不当な⾏為を助⻑し、⼜は誘発するおそれが
あるもの

(ウ)

その個⼈データの有無が分かると、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ⼜は他国若しくは国際機関との交渉上不利益を被るおそれ
があるもの

(エ)

その個⼈データの有無が分かると、犯罪の予防、鎮圧⼜は捜査その他の公共の安全と秩序の維持に⽀障が及ぶおそれがあるもの

８） 個⼈情報取扱事業者
個⼈情報データベース等を事業の⽤に供している事業者をいう。ただし、次の①〜④に掲げる者を除く。
① 国の機関② 地⽅公共団体③ 独⽴⾏政法⼈等（独⽴⾏政法⼈等の保有する個⼈情報の保護に関する法律（平成 15 年法律第 59号）第２条１項に規定する独⽴⾏政法⼈等をいう。以下同じ。）④ 地⽅独⽴⾏政法⼈（地⽅独⽴⾏政法⼈法（平成 15 年法律第 118 号）第２条第１項に規定する地⽅
独⽴⾏政法⼈をいう。以下同じ。）
注1） 「事業の⽤に供している」とは、事業を⾏うために利⽤することを意味する。
注2） 「事業」とは、⼀定の⽬的を達成するために継続的かつ繰り返し⾏われる活動を意味し、営利⽬的であるか⾮営利⽬的であるかは問わない。
９） 従業者
対象事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者等をいい、雇⽤関係にある従業員（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみ
ならず、取締役、執⾏役、理事、監査役、監事、派遣社員等も含まれる。
１０） 個⼈関連情報
⽣存する個⼈に関する情報であって、個⼈情報、仮名加⼯情報及び匿名加⼯情報のいずれにも該当しないものをいう。
１１） 仮名加⼯情報
次の➀〜②に掲げる個⼈情報の区分に応じて当該各号に定める措置を講じて他の情報と照合しない限
り特定の個⼈を識別することができないように個⼈情報を加⼯して得られる個⼈に関する情報をいう。
① 第 1 項第 1 号に該当する個⼈情報 当該個⼈情報に含まれる記述等の⼀部を削除すること（当該⼀部の記述等を復元することのできる規則性を有しない⽅法により他の記述等に置き換えることを
8
一般社団法人日本個人情報管理協会

個人情報保護指針含む。）。
② 第 1 項第 2 号に該当する個⼈情報 当該個⼈情報に含まれる個⼈識別符号の全部を削除すること（当該個⼈識別符号を復元することのできる規則性を有しない⽅法により他の記述等に置き換えることを含む。）。
１２） 匿名加⼯情報
次の➀〜②に掲げる個⼈情報の区分に応じて当該各号に定める措置を講じて特定の個⼈を識別することができないように個⼈情報を加⼯して得られる個⼈に関する情報であって、当該個⼈情報を復元することができないようにしたものをいう。
① 個⼈情報に含まれる記述等の⼀部を削除すること（当該⼀部の記述等を復元することのできる規則性を有しない⽅法により他の記述等に置き換えることを含む。）。
② 個⼈情報に含まれる個⼈識別符号の全部を削除すること（当該個⼈識別符号を復元することのできる規則性を有しない⽅法により他の記述等に置き換えることを含む。）。
１３） 認定個⼈情報保護団体
個⼈情報保護法第 47 条の規定により、対象事業者による個⼈情報の適正な取扱いの確保を⽬的として
個⼈情報保護委員会の認定を受けた者① 対象事業者の個⼈情報の取扱いに関する苦情の処理② 個⼈情報の適正な取扱いの確保に寄与する事項についての情報の提供③ 対象事業者の個⼈情報の適正な取扱いの確保に関し必要な業務
１４） 学術研究機関等
⼤学その他の学術研究を⽬的とする機関若しくは団体⼜はそれらに属する者をいう。
１５） 学術研究⽬的
当該個⼈情報取扱事業者が学術研究機関等である場合であって、当該個⼈情報を学術研究の⽤に供する⽬的で取り扱う必要があるとき

9一般社団法人日本個人情報管理協会

個人情報保護指針
5.

個⼈情報取扱事業者等の義務等

5.1.

個⼈情報の取扱義務

5.1.1. 利⽤⽬的の特定
5.1.1.1. 利⽤⽬的の特定
第 17 条（第 1 項）
個⼈情報取扱事業者は、個⼈情報を取り扱うに当たっては、その利⽤の⽬的（以下「利⽤⽬的」という。）をできる限り特定しなければならない。
１）対象事業者は、個⼈情報を取り扱うに当たっては、利⽤⽬的をできる限り具体的に特定しなければならない。
２）あらかじめ、個⼈情報を第三者に提供することを想定している場合には、利⽤⽬的の特定に当たっては、その旨が明確に分かるよう特定しなければならない。
３）利⽤⽬的の特定に当たっては、個⼈情報が対象事業者において、個⼈情報が、最終的にどのような事業で、どのような⽬的で利⽤されるのかが、本⼈にとって具体的で分かり易いものであることが望ましい。
5.1.1.2. 利⽤⽬的の変更
第 17 条（第 2 項）
個⼈情報取扱事業者は、利⽤⽬的を変更する場合には、変更前の利⽤⽬的と関連性を有すると合理的に認められる範囲を超えて⾏ってはならない。
１）特定した利⽤⽬的は、変更後の利⽤⽬的が変更前の利⽤⽬的からみて、社会通念上、本⼈が通常予期し得る限度と客観的に認められる範囲内で変更することができる。
２）本⼈の主観や対象事業者による恣意的な判断によるものではなく、⼀般⼈の判断において予期できる範囲をいい、当初特定した利⽤⽬的との関連性を総合的に勘案して判断される。
5.1.2. 利⽤⽬的による制限
5.1.2.1. 利⽤⽬的による制限
第 18 条（第 1 項）
個⼈情報取扱事業者は、あらかじめ本⼈の同意を得ないで、前条の規定により特定された利⽤⽬的の達成に必要な範囲を超えて、個⼈情報を取り扱ってはならない。
１）対象事業者は、法第１７条第１項により特定した利⽤⽬的の達成に必要な範囲を超えて、個⼈情報を取り扱う場合は、あらかじめ本⼈の同意を得なければならない。
２）当該同意を得るために個⼈情報を利⽤すること（メールの送信や電話をかけること等）は、⽬的外利⽤には該当しない。
３）明確な同意とは、本⼈が明確な同意することの意思表⽰を⾏うことを指し、みなし同意は認められない（以降においても同じ）。

10
一般社団法人日本個人情報管理協会

個人情報保護指針
5.1.2.2. 事業承継
第 18 条（第 2 項）
個⼈情報取扱事業者は、合併その他の事由により他の個⼈情報取扱事業者から事業を承継することに伴って個⼈情報を取得した場合は、あらかじめ本⼈の同意を得ないで、承継前における当該個⼈情報の利⽤⽬的の達成に必要な範囲を超えて、当該個⼈情報を取り扱ってはならない。
１）対象事業者は、合併、分社化、事業譲渡等により他の個⼈情報取扱事業者から事業承継に伴って個⼈情報を取得した場合は、承継前の利⽤⽬的の達成に必要な範囲内で取り扱わなければならない。
２）事業の承継後に、承継前の利⽤⽬的の達成に必要な範囲を超えて、個⼈情報を取り扱う場合は、あらかじめ本⼈の同意を得なければならない。
３）当該同意を得るために個⼈情報を利⽤すること（メールの送信や電話をかけること等）は、⽬的外利⽤には該当しない。
5.1.2.3. 適⽤除外
第 18 条（第 3 項）
前⼆項の規定は、次に掲げる場合については、適⽤しない。
(1) 法令に基づく場合(2) ⼈の⽣命、⾝体⼜は財産の保護のために必要がある場合であって、本⼈の同意を得ることが困難であるとき。
(3) 公衆衛⽣の向上⼜は児童の健全な育成の推進のために特に必要がある場合であって、本⼈の同意を得ることが困難であるとき。
(4) 国の機関若しくは地⽅公共団体⼜はその委託を受けた者が法令の定める事務を遂⾏することに対して協⼒する必要がある場合であって、本⼈の同意を得ることにより当該事務の遂⾏に⽀障を及ぼすおそれがあるとき。
(5) 当該個⼈情報取扱事業者が学術研究機関等である場合であって、当該個⼈情報を学術研究の⽤に供する⽬的（以下この章において「学術研究⽬的」という。）で取り扱う必要があるとき（当該個⼈情報を取り扱う⽬的の⼀部が学術研究⽬的である場合を含み、個⼈の権利利益を不当に侵害するおそれがある場合を除く。）。
(6) 学術研究機関等に個⼈データを提供する場合であって、当該学術研究機関等が当該個⼈デー
タを学術研究⽬的で取り扱う必要があるとき（当該個⼈データを取り扱う⽬的の⼀部が学術研究⽬的である場合を含み、個⼈の権利利益を不当に侵害するおそれがある場合を除く。）。
１）法第 18 条第 3 項第 1 項〜第 6 号に該当する場合は、特定された利⽤⽬的の達成に必要な範囲を超えて個⼈情報を取り扱うことについて、あらかじめ本⼈の同意を得る必要はない。
２）学術研究機関による学術研究⽬的での利⽤については、個⼈の権利利益を侵害する恐れがある場合には適⽤除外とはならないため、利⽤⽬的について確認することが望ましい。
5.1.3. 不適正利⽤の禁⽌第 19 条個⼈情報取扱事業者は、違法⼜は不当な⾏為を助⻑し、⼜は誘発するおそれがある⽅法により個⼈情報を利⽤してはならない。一般社団法人

日本個人情報管理協会

11個人情報保護指針
１）対象事業者は、違法⼜は不当な⾏為を助⻑し、⼜は誘発するおそれがある⽅法により個⼈情報を利⽤してはならない。
２）「違法⼜は不当な⾏為」とは、以下のとおり。
① 法律及びその他の法令に違反する⾏為② 直ちに違法とはいえないものの、法律及びその他の法令の制度の趣旨に反する⾏為③ 公序良俗に反する等、社会通念上適正とは認められない⾏為
３）「おそれ」とは対象事業者による個⼈情報の利⽤が、違法⼜は不当な⾏為を助⻑⼜は誘発することについて、社会通念上発⽣する可能性があると判断できる場合。
5.1.4. 適正な取得
5.1.4.1. 適正な取得
第 20 条（第 1 項）
個⼈情報取扱事業者は、偽りその他不正の⼿段により個⼈情報を取得してはならない。
１）対象事業者は、偽り等の不正の⼿段により個⼈情報を取得してはならない。
２）個⼈情報を含む情報がインターネット等により公開されている場合、単にその情報を閲覧するだけ
で転記等を⾏わなければ個⼈情報を取得したことにはならない。
5.1.4.2. 要配慮個⼈情報の取得
第 20 条（第 2 項）
個⼈情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本⼈の同意を得ないで、要配慮個
⼈情報を取得してはならない。
(1) 法令に基づく場合(2) ⼈の⽣命、⾝体⼜は財産の保護のために必要がある場合であって、本⼈の同意を得ることが困難であるとき。
(3) 公衆衛⽣の向上⼜は児童の健全な育成の推進のために特に必要がある場合であって、本⼈の同意を得ることが困難であるとき。
(4) 国の機関若しくは地⽅公共団体⼜はその委託を受けた者が法令の定める事務を遂⾏することに対して協⼒する必要がある場合であって、本⼈の同意を得ることにより当該事務の遂⾏に⽀障を及ぼすおそれがあるとき。
(5) 当該個⼈情報取扱事業者が学術研究機関等である場合であって、当該要配慮個⼈情報を学術研究⽬的で取り扱う必要があるとき（当該要配慮個⼈情報を取り扱う⽬的の⼀部が学術研究⽬的である場合を含み、個⼈の権利利益を不当に侵害するおそれがある場合を除く。
）。
(6) 学術研究機関等から当該要配慮個⼈情報を取得する場合であって、当該要配慮個⼈情報を学術研究⽬的で取得する必要があるとき（当該要配慮個⼈情報を取得する⽬的の⼀部が学術研究⽬的である場合を含み、個⼈の権利利益を不当に侵害するおそれがある場合を除く。）（当該個⼈情報取扱事業者と当該学術研究機関等が共同して学術研究を⾏う場合に限る。）。
(7) 当該要配慮個⼈情報が、本⼈、国の機関、地⽅公共団体、学術研究機関等、第 57 条第 1 項各号に掲げる者その他個⼈情報保護委員会規則で定める者により公開されている場合(8) その他前各号に掲げる場合に準ずるものとして政令で定める場合
一般社団法人日本個人情報管理協会

12個人情報保護指針

１）対象事業者は、要配慮個⼈情報を取得する場合には、あらかじめ本⼈の同意を得なければならない。
ただし、第 20 条第 2 項第 1 項〜第 8 号の適⽤が除外される場合については、その必要はない。
5.1.5. 取得に際しての利⽤⽬的の通知等
5.1.5.1. 取得に際しての利⽤⽬的の通知等
第 21 条（第 1 項）
個⼈情報取扱事業者は、個⼈情報を取得した場合は、あらかじめその利⽤⽬的を公表している場
合を除き、速やかに、その利⽤⽬的を、本⼈に通知し、⼜は公表しなければならない。
１）対象事業者は、個⼈情報を取得する場合は、あらかじめその利⽤⽬的を公表していることが望ましい。
２）対象事業者は、個⼈情報の利⽤⽬的を公表していない場合は、取得後速やかに、その利⽤⽬的を、本⼈に通知するか、⼜は公表しなければならない。
5.1.5.2. 直接書⾯等による取得
第 21 条（第 2 項）
個⼈情報取扱事業者は、前項の規定にかかわらず、本⼈との間で契約を締結することに伴って契約書その他の書⾯（電磁的記録を含む。以下この項において同じ。）に記載された当該本⼈の個⼈情報を取得する場合その他本⼈から直接書⾯に記載された当該本⼈の個⼈情報を取得する場合は、あらかじめ、本⼈に対し、その利⽤⽬的を明⽰しなければならない。ただし、⼈の⽣命、⾝体⼜は財産の保護のために緊急に必要がある場合は、この限りでない。
１）対象事業者は、契約書や懸賞応募はがき等の書⾯等への記⼊、申込画⾯等へのディジタル⼊⼒などにより、本⼈から個⼈情報を直接取得する場合には、あらかじめ、本⼈に対し、その利⽤⽬的を明⽰しなければならない。
２）名刺などは、⼀般の慣⾏として、⾃⾝の個⼈情報を、本⼈の⾃発的な意思で、任意の簡便な形式により相⼿に提供するものであり、本項の義務を課するものではないが、あらかじめ利⽤⽬的を公表する
か、取得後速やかに、その利⽤⽬的を、本⼈に通知するか、⼜は公表しなければならない。ただし、「利⽤⽬的の通知等をしなくてよい場合」に該当する場合は、この限りでない。
３）⼝頭により個⼈情報を取得する場合についても同様。
４）⼈（法⼈を含む。）の⽣命、⾝体⼜は財産の保護のために緊急に必要がある場合は、あらかじめ、本⼈に対し、その利⽤⽬的を明⽰する必要はないが、取得後速やかにその利⽤⽬的を、本⼈に通知し、⼜は公表しなければならない。
5.1.5.3. 変更した利⽤⽬的の通知等
第 21 条（第 3 項）
個⼈情報取扱事業者は、利⽤⽬的を変更した場合は、変更された利⽤⽬的について、本⼈に通知し、⼜は公表しなければならない。
13
一般社団法人日本個人情報管理協会

個人情報保護指針
１）特定した利⽤⽬的は、変更前の利⽤⽬的と関連性を有すると合理的に認められる範囲内であれば変更可能であるが、変更された利⽤⽬的は、本⼈に通知しなければならない。
5.1.5.4. 利⽤⽬的の通知等をしなくてよい場合
第 21 条（第 4 項）
前三項の規定は、次に掲げる場合については、適⽤しない。
(1) 利⽤⽬的を本⼈に通知し、⼜は公表することにより本⼈⼜は第三者の⽣命、⾝体、財産その他の権利利益を害するおそれがある場合(2) 利⽤⽬的を本⼈に通知し、⼜は公表することにより当該個⼈情報取扱事業者の権利⼜は正当な利益を害するおそれがある場合(3) 国の機関⼜は地⽅公共団体が法令の定める事務を遂⾏することに対して協⼒する必要がある場合であって、利⽤⽬的を本⼈に通知し、⼜は公表することにより当該事務の遂⾏に⽀障を及ぼすおそれがあるとき。
(4) 取得の状況からみて利⽤⽬的が明らかであると認められる場合
１）第 21 条第 3 項第 1 号〜第 4 号に該当する場合は、利⽤⽬的の通知等を⾏う必要はない。

14
一般社団法人日本個人情報管理協会

個人情報保護指針
5.2.

個⼈データの取扱いと安全管理

5.2.1. データ内容の正確性の確保等
第 22 条（第 1 項）
個⼈情報取扱事業者は、利⽤⽬的の達成に必要な範囲内において、個⼈データを正確かつ最新の内容に保つとともに、利⽤する必要がなくなったときは、当該個⼈データを遅滞なく消去するよう努め
なければならない。
１）対象事業者は、利⽤⽬的の達成に必要な範囲内において、個⼈情報データベース等への個⼈情報の⼊⼒時の照合・確認の⼿続の整備、誤り等を発⾒した場合の訂正等の⼿続の整備、記録事項の更新、保存期間の設定等を⾏うことにより、個⼈データを正確かつ最新の内容に保つよう努めなければならない。
２）保有する個⼈データを⼀律に⼜は常に最新化する必要はなく、それぞれの利⽤⽬的に応じて、その必要な範囲内で正確性・最新性を確保すればよい。
３）個⼈情報取扱事業者は、保有する個⼈データについて利⽤する必要がなくなったとき、すなわち、利⽤⽬的が達成され当該⽬的との関係では当該個⼈データを保有する合理的な理由が存在しなくなった場合や、利⽤⽬的が達成されなかったものの当該⽬的の前提となる事業⾃体が中⽌となった場合
等は、当該個⼈データを遅滞なく消去するよう努めなければならない。
４）但し、法令の定めにより保存期間等が定められている場合は、この限りではない。

15
一般社団法人日本個人情報管理協会

個人情報保護指針
5.2.2. 安全管理措置
第 23 条個⼈情報取扱事業者は、その取り扱う個⼈データの漏えい、滅失⼜は毀損の防⽌その他の個⼈デー
タの安全管理のために必要かつ適切な措置を講じなければならない。
１）対象事業者は、その取り扱う個⼈データの漏えい、滅失⼜は毀損（以下「漏えい等」という。）の防⽌その他の個⼈データの安全管理のため、必要かつ適切な措置を講じなければならない。
２）当該措置は、個⼈データが漏えい等をした場合に本⼈が被る権利利益の侵害の⼤きさを考慮し、事業の規模及び性質、個⼈データの取扱状況（取り扱う個⼈データの性質及び量を含む。
）、個⼈データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容としなければならない。
5.2.2.1. 個⼈データの取扱いに係る規律の整備
個⼈データの漏えい等の防⽌その他の個⼈データの安全管理のために、具体的な取扱いに係る規律を整備しなければならない。
安全管理措置実施すべき措置の例

個⼈データの取扱い① 取得、利⽤、保存、提供、削除・廃棄等の段階ごとの、個⼈データの取扱⽅法に係る規律の整備② 個⼈データ管理について責任者を設置することを定め、役割、責任及び権限の明確化③ 個⼈データを利⽤する者についての、役割、責任、権限の明確化④ 組織的安全管理措置、⼈的安全管理措置、物理的安全管理措置及び技術的安全管理措置において実施すべき事項

5.2.2.2. 組織的安全管理措置
対象事業者は、組織的安全管理措置として、次に掲げる措置を講じなければならない。
① 組織体制の整備
安全管理措置を講ずるための組織体制を整備しなければならない。
組織体制の整備の例①

個⼈データの取扱いに関する責任者の設置と責任の明確化
個⼈情報保護管理者（個⼈情報責任者、CPO 等名称は任意）を任命②

個⼈データを取り扱う従業者及びその役割の明確化③

従業者が取り扱う個⼈データの範囲の明確化④

個⼈データを複数の部署で取り扱う場合の各部署の役割分担及び責任の明確化⑤

法や対象事業者において整備されている個⼈データの取扱いに係る規律に違反している事実⼜は兆候を把握した場合の責任者への報告連絡体制⑥

個⼈データの漏えい等事案の発⽣⼜は兆候を把握した場合の責任者への報告連絡体制⑦

個⼈データを複数の部署で取り扱う場合の各部署の役割分担及び責任の明確化② 個⼈データの取扱いに係る規律に従った運⽤
あらかじめ整備された個⼈データの取扱いに係る規律に従って個⼈データを取り扱わなければなら16
一般社団法人日本個人情報管理協会

個人情報保護指針ない。
個⼈データの取扱いに係る規律に従った運⽤の例
個⼈データの取扱いに係る規律に従った運⽤を確保するため次のような項⽬に関して、システムログその他の個⼈データの取扱いに係る記録の整備や業務⽇誌の作成等を通じて、個⼈データの取扱いの検証を可能とすることが考えられる①

個⼈情報データベース等の利⽤・出⼒状況②

個⼈データが記載⼜は記録された書類・媒体等の持ち運び等の状況③

個⼈情報データベース等の削除・廃棄の状況（委託した場合の消去・廃棄を証明する記録を含む。）④

個⼈情報データベース等を情報システムで取り扱う場合、担当者の情報システムの利⽤状況（ログイン実績、アクセスログ等）③ 個⼈データの取扱状況を確認する⼿段の整備
個⼈データの取扱状況を確認するための⼿段を整備しなければならない。
個⼈データの取扱状況を確認する⼿段の整備の例①

個⼈情報データベース等の種類、名称②

個⼈データの項⽬③

責任者・取扱部署

④

利⽤⽬的

⑤

アクセス権を有する者 等④ 漏えい等事案に対応する体制の整備
漏えい等事案の発⽣⼜は兆候を把握した場合に適切かつ迅速に対応するための体制を整備しなければならない。
漏えい等事案に対応する体制の整備の例
漏えい等事案の発⽣時に次のような対応を⾏うための、体制を整備することが考えられる。
①

事実関係の調査及び原因の究明②

影響を受ける可能性のある本⼈への通知③

個⼈情報保護委員会等への報告④

再発防⽌策の検討及び決定⑤

事実関係及び再発防⽌策等の公表 等⑤ 取扱状況の把握及び安全管理措置の⾒直し個⼈データの取扱状況を把握し、安全管理措置の評価、⾒直し及び改善に取り組まなければならない。
取扱状況の把握及び安全管理措置の⾒直しの例①

個⼈データの取扱状況について、定期的に⾃ら⾏う点検⼜は他部署等による監査を実施する②

外部の主体による監査活動と合わせて、監査を実施する

17
一般社団法人日本個人情報管理協会

個人情報保護指針
5.2.2.3. ⼈的安全管理措置
対象事業者は、⼈的安全管理措置として、次に掲げる措置を講じなければならない。また、対象事業者
は、従業者に個⼈データを取り扱わせるに当たっては、法第 24 条に基づき従業者に対する監督をしなけ
ればならない① 従業者の教育
従業者に、個⼈データの適正な取扱いを周知徹底するとともに適切な教育を⾏わなければならない。
従業者の教育の例①

個⼈データの取扱いに関する留意事項について、従業者に定期的な研修等を⾏う②

個⼈データについての秘密保持に関する事項を就業規則等に盛り込む

5.2.2.4. 物理的安全管理措置
対象事業者は、物理的安全管理措置として、次に掲げる措置を講じなければならない。
① 個⼈データを取り扱う区域の管理
個⼈情報データベース等を取り扱うサーバーやメインコンピュータ等の重要な情報システムを管理する区域（以下「管理区域」という。）及びその他の個⼈データを取り扱う事務を実施する区域（以下「取扱区域」という。
）について、それぞれ適切な管理を⾏わなければならない。
個⼈データを取り扱う区域の管理の例①

管理区域においては、⼊退室管理及び持ち込む機器等の制限等
⼊退室管理の⽅法としては、IC カード、ナンバーキー等による⼊退室管理システムの設置等が考えられる②

取扱区域においては、間仕切り等の設置、座席配置の⼯夫、のぞき込みを防⽌する措置の実施等による、権限を有しない者による個⼈データの閲覧等の防⽌② 機器及び電⼦媒体等の盗難等の防⽌個⼈データを取り扱う機器、電⼦媒体及び書類等の盗難⼜は紛失等を防⽌するために、適切な管理を⾏わなければならない。
機器及び電⼦媒体等の盗難等の防⽌の例①

個⼈データを取り扱う機器、個⼈データが記録された電⼦媒体⼜は個⼈データが記載された書類等を、施錠できるキャビネット・書庫等に保管する②

個⼈データを取り扱う情報システムが機器のみで運⽤されている場合は、当該機器をセキュリティ
ワイヤー等により固定する③ 電⼦媒体等を持ち運ぶ場合の漏えい等の防⽌個⼈データが記録された電⼦媒体⼜は書類等を持ち運ぶ場合、容易に個⼈データが判明しないよう、
安全な⽅策を講じなければならない。
「持ち運ぶ」とは、個⼈データを管理区域⼜は取扱区域から外へ移動させること⼜は当該区域の外から当該区域へ移動させることをいう。
18
一般社団法人日本個人情報管理協会

個人情報保護指針
電⼦媒体等を持ち運ぶ場合の漏えい等の防⽌の例①

持ち運ぶ個⼈データの暗号化、パスワードによる保護等を⾏った上で電⼦媒体に保存する②

封緘、⽬隠しシールの貼付けを⾏う③

施錠できる搬送容器を利⽤する④ 個⼈データの削除及び機器、電⼦媒体等の廃棄個⼈データを削除し⼜は個⼈データが記録された機器、電⼦媒体等を廃棄する場合は、復元不可能な⼿段で⾏わなければならない。
個⼈データの削除及び機器、電⼦媒体等の廃棄の例①

個⼈データが記載された書類等を廃棄する場合
焼却、溶解、適切なシュレッダー処理等の復元不可能な⼿段を採⽤する②

個⼈データを削除し、⼜は、個⼈データが記録された機器、電⼦媒体等を廃棄する場合
情報システム（パソコン等の機器を含む。）において、個⼈データを削除する場合、容易に復元できない⼿段を採⽤する個⼈データが記録された機器、電⼦媒体等を廃棄する場合、専⽤のデータ削除ソフトウエアの利⽤
⼜は物理的な破壊等の⼿段を採⽤する

5.2.2.5. 技術的安全管理措置
対象事業者は、情報システム（パソコン等の機器を含む。）を使⽤して個⼈データを取り扱う場合（インターネット等を通じて外部と送受信等する場合を含む。
）、技術的安全管理措置として、次に掲げる措置を講じなければならない。
① アクセス制御担当者及び取り扱う個⼈情報データベース等の範囲を限定するために、適切なアクセス制御を⾏わ
なければならない。
アクセス制御の例①

個⼈情報データベース等を取り扱うことのできる情報システムを限定する②

情報システムによってアクセスすることのできる個⼈情報データベース等を限定する③

ユーザーID に付与するアクセス権により、個⼈情報データベース等を取り扱う情報システムを使⽤できる従業者を限定する② アクセス者の識別と認証
個⼈データを取り扱う情報システムを使⽤する従業者が正当なアクセス権を有する者であることを、識別した結果に基づき認証しなければならない。
アクセス者の識別と認証の例①

情報システムを使⽤する従業者の識別・認証として、ユーザーID、パスワード、磁気・IC カード、⽣体認証等個⼈情報データベース等を取り扱うことのできる情報システムを限定する②

安全性を⾼めるために、管理者権限などの重要性の⾼いアクセスについては、2 要素認証の導⼊等を⾏う③ 外部からの不正アクセス等の防⽌19
一般社団法人日本個人情報管理協会

個人情報保護指針
個⼈データを取り扱う情報システムを外部からの不正アクセス⼜は不正ソフトウエアから保護する
仕組みを導⼊し、適切に運⽤しなければならない。
外部からの不正アクセス等の防⽌①

情報システムと外部ネットワークとの接続箇所にファイアウォール、UTM、IDS、IPS、WAF 等を適切に設置し、不正アクセスを遮断する②

情報システム及び機器にセキュリティ対策ソフトウエア等（ウイルス対策ソフトウエア等）を導⼊し、不正ソフトウエアの有無を確認し、削除する（最新のバージョン⽤いること）③

機器やソフトウエア等に標準装備されている⾃動更新機能等の活⽤により、ソフトウエア等を最新状態とし、脆弱性を排除する④

ログ等を取得し、定期的な分析により不正アクセス等を検知する④ 情報システムの使⽤に伴う漏えい等の防⽌情報システムの使⽤に伴う個⼈データの漏えい等を防⽌するための措置を講じ、適切に運⽤しなけ
ればならない。
情報システムの使⽤に伴う漏えい等の防の例①

情報システムの設計時に安全性を確保し、継続的に⾒直す（情報システムのぜい弱性を突いた攻撃への対策を講ずることも含む。）。

②

個⼈データを含む通信の経路⼜は内容を暗号化する③

移送する個⼈データについて、パスワード等による保護を⾏う④

システムテストの実⾏時には、ダミーデータを作成し使⽤すること、適切なアクセス管理と監視を⾏い、個⼈データの漏えい等が発⽣しないよう対処する

5.2.2.6. 外的環境の把握
対象事業者が、外国において個⼈データを取り扱う場合、当該外国の個⼈情報の保護に関する制度等を把握した上で、個⼈データの安全管理のために必要かつ適切な措置を講じなければならない。
5.2.3. 従業者の監督
第 24 条個⼈情報取扱事業者は、その従業者に個⼈データを取り扱わせるに当たっては、当該個⼈データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を⾏わなければならない。
１）対象事業者は、その従業者に個⼈データを取り扱わせるに当たって、法第 23 条に基づく安全管理措置を遵守させるよう、当該従業者に対し必要かつ適切な監督をしなければならない。
２）その際、個⼈データが漏えい等をした場合に本⼈が被る権利利益の侵害の⼤きさを考慮し、事業の規模及び性質、個⼈データの取扱状況（取り扱う個⼈データの性質及び量を含む。
）等に起因するリス
クに応じて、個⼈データを取り扱う従業者に対する教育、研修等の内容及び頻度を充実させるなど、必要かつ適切な措置を講ずることが望ましい。

20
一般社団法人日本個人情報管理協会

個人情報保護指針
5.2.4. 委託先の監督
第 25 条個⼈情報取扱事業者は、個⼈データの取扱いの全部⼜は⼀部を委託する場合は、その取扱いを委託された個⼈データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を⾏わなければならない。
１）対象事業者は、個⼈データの取扱いの全部⼜は⼀部を委託する場合は、委託を受けた者（以下「委託先」という。）において当該個⼈データについて安全管理措置が適切に講じられるよう、委託先に対し必要かつ適切な監督をしなければならない。
２）対象事業者は、委託先において⾃らが講ずべき安全管理措置と同等の措置が講じられるよう、監督を⾏うものとする。
３）委託する業務内容を遂⾏するために必要のない個⼈データは、委託先に提供しないようにすること。
４）取扱いを委託する個⼈データの内容を踏まえ、個⼈データが漏えい等をした場合に本⼈が被る権利利益の侵害の⼤きさを考慮し、委託する事業の規模及び性質、個⼈データの取扱状況（取り扱う個⼈
データの性質及び量を含む。）等に起因するリスクに応じて、次の①から③までに掲げる必要かつ適切な措置を講じなければならない。
① 適切な委託先の選定
委託先の選定に当たっては、委託先における安全管理措置が委託元に求められるものと同等であり、委託する業務内容に沿って、確実に実施されることについて、あらかじめ確認しなければならない。
② 委託契約の締結
委託契約には、当該個⼈データの取扱いに関する、必要かつ適切な安全管理措置として、委託元、委託先双⽅が同意した内容とともに、委託先における委託された個⼈データの取扱状況を委託元が合理的に把握することを盛り込むことが望ましい。
③ 委託先における個⼈データ取扱状況の把握
委託先における委託された個⼈データの取扱状況を把握するためには、定期的に監査を⾏う等により、委託契約で盛り込んだ内容の実施の程度を調査した上で、委託の内容等の⾒直しを検討する
ことを含め、適切に評価することが望ましい。
また、委託先が再委託を⾏おうとする場合は、委託を⾏う場合と同様、委託元は、委託先が再委託する相⼿⽅、再委託する業務内容、再委託先の個⼈データの取扱⽅法等について、委託先から事前報告を受け⼜は承認を⾏うこと、及び委託先を通じて⼜は必要に応じて⾃らが、定期的に監査を実施すること等により、委託先が再委託先に対して本条の委託先の監督を適切に果たすこと、及び再委託先が安全管理措置を講ずることを⼗分に確認することが望ましい。
再委託先が再々委託を⾏う場合以降も、再委託を⾏う場合と同様。

21
一般社団法人日本個人情報管理協会

個人情報保護指針
5.2.5. 個⼈データの漏えい等の報告等
5.2.5.1. 漏えい等
１）漏えい等には、個⼈データの漏えい、滅失⼜は毀損が含まれる。
２）「漏えい」とは、個⼈データが外部に流出することをいう。
３）「滅失」とは、個⼈データの内容が失われることをいう。
４）「毀損」とは、個⼈データの内容が意図しない形で変更されることや、内容を保ちつつも利⽤不能な状態となることをいう。
5.2.5.2. 漏えい等事案が発覚した場合に講ずべき措置
対象事業者は、漏えい等⼜はそのおそれのある事案（以下「漏えい等事案」という。）が発覚した場合
は、漏えい等事案の内容等に応じて、次の➀〜⑤に掲げる事項について必要な措置を講じなければならない。
①

事業者内部における報告及び被害の拡⼤防⽌②

事実関係の調査及び原因の究明③

影響範囲の特定④

再発防⽌策の検討及び実施⑤

個⼈情報保護委員会への報告及び本⼈への通知

5.2.5.3. 漏えい等の報告
5.2.5.3.1. 報告対象事態
第 26 条（第 1 項）
個⼈情報取扱事業者は、その取り扱う個⼈データの漏えい、滅失、毀損その他の個⼈データの安全の確保に係る事態であって個⼈の権利利益を害するおそれが⼤きいものとして個⼈情報保護委員会規則で定めるものが⽣じたときは、個⼈情報保護委員会規則で定めるところにより、当該事態が⽣じた
旨を個⼈情報保護委員会に報告しなければならない。ただし、当該個⼈情報取扱事業者が、他の個⼈
情報取扱事業者⼜は⾏政機関等から当該個⼈データの取扱いの全部⼜は⼀部の委託を受けた場合であって、個⼈情報保護委員会規則で定めるところにより、当該事態が⽣じた旨を当該他の個⼈情報取扱２）対象事業者は、次の①から④までに掲げる事態（以下「報告対象事態」という。）を知ったときは、事業者⼜は⾏政機関等に通知したときは、この限りでない。
個⼈情報保護委員会に報告しなければならない。個⼈情報保護委員会が権限を委任している事業分
個⼈情報保護委員会の権限が事務所管⼤⾂に委任されている分野において事業を⾏っている対象事
業者は、権限を委任している当該府省庁に対して報告しなければならない。
①

要配慮個⼈情報が含まれる個⼈データの漏えい等が発⽣し、⼜は発⽣したおそれがある事態②

不正に利⽤されることにより財産的被害が⽣じるおそれがある個⼈データの漏えい等が発⽣し、⼜は発⽣したおそれがある事態③

不正の⽬的をもって⾏われたおそれがある個⼈データの漏えい等が発⽣し、⼜は発⽣したおそれがある事態（「不正の⽬的をもって」漏えい等を発⽣させた主体には、第三者のみならず、従業者も含まれる。
）④

個⼈データに係る本⼈の数が千⼈を超える漏えい等が発⽣し、⼜は発⽣したおそれがある事態

22
一般社団法人日本個人情報管理協会

個人情報保護指針注１） 「漏えい等」には、「漏えい」、「滅失」及び「毀損」が含まれる。
注２） 漏えい等が発⽣し、⼜は発⽣したおそれがある個⼈データについて、⾼度な暗号化等の秘匿化がされている場合等、「⾼度な暗号化その他の個⼈の権利利益を保護するために必要な措置」が講じられている場合については、報告を要しない。
5.2.5.3.2. 報告義務を負う事業者
１）漏えい等報告の義務を負う事業者は、漏えい等が発⽣し、⼜は発⽣したおそれがある個⼈データを取り扱う対象事業者となる。
２）個⼈データの取扱いを委託している場合においては、委託元と委託先の双⽅が個⼈データを取り扱っていることになるため、報告対象事態に該当する場合には、原則として委託元と委託先の双⽅が報告する義務を負うが、連名で報告することもできる。
３）委託先が、報告義務を負っている委託元に当該事態が発⽣したことを通知したときは、委託先は報告義務を免除される。
４）委託元で報告対象事態が発⽣したが、委託先においては報告対象事態が発⽣していない場合については、委託先の事業者は報告義務を負わない。
5.2.5.3.3. 速報
対象事業者は、報告対象事態を知ったときは、速やかに、個⼈情報保護委員会に報告しなければならない。
１）報告期限の起算点となる「知った」時点については、対象事業者が法⼈である場合には、いずれかの部署が当該事態を知った時点を基準とする。
２）「速やか」の⽇数の⽬安については、対象事業者が当該事態を知った時点から概ね 3〜5 ⽇以内とする。
３）個⼈情報保護委員会への漏えい等報告については、次の➀〜⑨までに掲げる事項を、原則として個⼈
情報保護委員会のホームページの報告フォームに⼊⼒する⽅法により⾏う。但し、個⼈情報保護委員
会から権限が委任されている事業分野においては、当該委任を受けた府省庁により別途定めがある
場合は、その⽅法に従わなければならない。
４）速報時点での報告内容については、報告をしようとする時点において把握している内容を報告する。
５）個⼈データの取扱いを委託しており、委託先において報告対象事態が発⽣した場合、委託先となる対象事業者は、委託先に通知を⾏うことにより報告義務を負わないが、この場合の通知の期限は概ね３〜5 ⽇以内とする。
６）報告フォームの項⽬は以下の➀〜⑧① 「概要」
当該事態の概要について、発⽣⽇、発覚⽇、発⽣事案、発⾒者、規則第 7 条各号該当性、委託元及び委託先の有無、事実経過等を報告する。
② 「漏えい等が発⽣し、⼜は発⽣したおそれがある個⼈データの項⽬」
漏えい等が発⽣し、⼜は発⽣したおそれがある個⼈データの項⽬について、媒体や種類（顧客情報、従業員情報の別等）とともに報告する。
③ 「漏えい等が発⽣し、⼜は発⽣したおそれがある個⼈データに係る本⼈の数」
23
一般社団法人日本個人情報管理協会

個人情報保護指針
漏えい等が発⽣し、⼜は発⽣したおそれがある個⼈データに係る本⼈の数について報告する。
④ 「原因」
当該事態が発⽣した原因について、当該事態が発⽣した主体（報告者⼜は委託先）とともに報告する。
⑤ 「⼆次被害⼜はそのおそれの有無及びその内容」
当該事態に起因して発⽣する被害⼜はそのおそれの有無及びその内容について報告する。
⑥ 「本⼈への対応の実施状況」
当該事態を知った後、本⼈に対して⾏った措置（通知を含む。）の実施状況について報告する。
⑦ 「公表の実施状況」
当該事態に関する公表の実施状況について報告する。
⑧ 「再発防⽌のための措置」
漏えい等事案が再発することを防⽌するために講ずる措置について、実施済みの措置と今後実施予定の措置に分けて報告する。
⑨ 「その他参考となる事項」
上記の➀〜⑧までの事項を補完するため、個⼈情報保護委員会が当該事態を把握する上で参考となる事項を報告する。
5.2.5.3.4. 確報
１）対象事業者は、報告対象事態を知ったときは、速報に加え、30 ⽇以内（不正の⽬的をもって⾏われたおそれがある個⼈データの漏えい等が事態に含まれている場合は、60 ⽇以内。）に個⼈情報保護委
員会（権限を事業所管⼤⾂に委任している場合には、当該事業所管⼤⾂）に報告しなければならない。
２）30 ⽇以内⼜は 60 ⽇以内は報告期限であり、可能である場合には、より早期に報告することが望ましい。
３）報告期限の起算点となる「知った」時点については、速報と同様に、個⼈情報取扱事業者が法⼈である場合には、いずれかの部署が当該事態を知った時点を基準とし、確報の報告期限の算定に当たっては、その時点を 1 ⽇⽬とする。
４）確報においては、5.2.5.3.3 の➀から⑨までに掲げる事項の全てを報告しなければならない。
５）確報を⾏う時点（報告対象事態を知った⽇から 30 ⽇以内⼜は 60 ⽇以内）において、合理的努⼒を尽くした上で、⼀部の事項が判明しておらず、全ての事項を報告することができない場合には、その時点で把握している内容を報告し、判明次第、報告を追完するものとする。
5.2.5.4. 本⼈への通知
第 26 条（第 2 項）
前項に規定する場合には、個⼈情報取扱事業者（同項ただし書の規定による通知をした者を除く。）は、本⼈に対し、個⼈情報保護委員会規則で定めるところにより、当該事態が⽣じた旨を通知しなければならない。ただし、本⼈への通知が困難な場合であって、本⼈の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
5.2.5.4.1. 通知対象となる事態及び通知義務を負う者
24
一般社団法人日本個人情報管理協会

個人情報保護指針
１）対象事業者は、報告対象事態を知ったときは、本⼈への通知を⾏わなければならない。
２）通知義務を負う事業者は、漏えい等が発⽣し、⼜は発⽣したおそれがある個⼈データを取り扱う個⼈
情報取扱事業者となる。
３）委託先で個⼈データの漏えい等が発⽣した場合は、委員会への報告と同様の取扱いとする。
5.2.5.4.2. 通知の時間的制限
１）対象事業者は、報告対象事態を知ったときは、当該事態の状況に応じて速やかに、本⼈への通知を⾏わなければならない。
２）「当該事態の状況に応じて速やかに」とは、速やかに通知を⾏うことを求めるものであるが、具体的に通知を⾏う時点は、個別の事案において、その時点で把握している事態の内容、通知を⾏うことで本⼈の権利利益が保護される蓋然性、本⼈への通知を⾏うことで⽣じる弊害等を勘案して判断する。
5.2.5.4.3. 通知の内容
１）本⼈へ通知すべき事項については、漏えい等報告における報告事項のうち、以下のとおりとする。
①

概要

②

漏えい等が発⽣し、⼜は発⽣したおそれがある個⼈データの項⽬

③

原因

④

⼆次被害⼜はそのおそれの有無及びその内容⑤

その他参考となる事項

２）本⼈への通知は「当該事態の状況に応じて速やかに」⾏う必要があり、通知事項の全てが判明することを待つものではない。
３）当初報告対象事態に該当すると判断したものの、その後実際には報告対象事態に該当していなかったことが判明した場合には、本⼈への通知は不要である。
5.2.5.4.4. 通知の⽅法１）「本⼈への通知」とは、本⼈に直接知らしめることをいい、事業の性質及び個⼈データの取扱状況に応じ、通知すべき内容が本⼈に認識される合理的かつ適切な⽅法によらなければならない。

25
一般社団法人日本個人情報管理協会

個人情報保護指針
5.2.6. 個⼈データの第三者への提供
5.2.6.1. 個⼈データの第三者提供の制限（原則）第 27 条（第 1 項）
個⼈情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本⼈の同意を得ないで、個⼈デー
タを第三者に提供してはならない。
(1) 法令に基づく場合(2) ⼈の⽣命、⾝体⼜は財産の保護のために必要がある場合であって、本⼈の同意を得ることが困難であるとき。
(3) 公衆衛⽣の向上⼜は児童の健全な育成の推進のために特に必要がある場合であって、本⼈の同意を得ることが困難であるとき。
(4) 国の機関若しくは地⽅公共団体⼜はその委託を受けた者が法令の定める事務を遂⾏することに対して協⼒する必要がある場合であって、本⼈の同意を得ることにより当該事務の遂⾏に⽀障を及ぼすおそれがあるとき。
(5) 当該個⼈情報取扱事業者が学術研究機関等である場合であって、当該個⼈データの提供が学術研究の成果の公表⼜は教授のためやむを得ないとき（個⼈の権利利益を不当に侵害するおそれがある場合を除く。）。
(6) 当該個⼈情報取扱事業者が学術研究機関等である場合であって、当該個⼈データを学術研究⽬的で提供する必要があるとき（当該個⼈データを提供する⽬的の⼀部が学術研究⽬的である場合を含み、個⼈の権利利益を不当に侵害するおそれがある場合を除く。）（当該個⼈情報取扱事業者と当該第三者が共同して学術研究を⾏う場合に限る。
）。
(7) 当該第三者が学術研究機関等である場合であって、当該第三者が当該個⼈データを学術研究⽬
的で取り扱う必要があるとき（当該個⼈データを取り扱う⽬的の⼀部が学術研究⽬的である場合を含み、個⼈の権利利益を不当に侵害するおそれがある場合を除く。）。
１）対象事業者は、個⼈データの第三者への提供に当たり、あらかじめ本⼈の同意を得ないで提供してはならない。
２）同意の取得に当たっては、事業の規模及び性質、個⼈データの取扱状況（取り扱う個⼈データの性質
及び量を含む。）等に応じ、本⼈が同意に係る判断を⾏うために必要と考えられる合理的かつ適切な範囲の内容を明確に⽰さなければならない。
３）あらかじめ、個⼈情報を第三者に提供することを想定している場合には、利⽤⽬的において、その旨を特定しなければならない。
４）第 27 条第 1 項の第 1 号〜第 7 号に該当する場合は、本⼈の事前同意を得る必要はない。

26
一般社団法人日本個人情報管理協会

個人情報保護指針
5.2.6.2. オプトアウトによる第三者提供
5.2.6.2.1. オプトアウトによる第三者提供
第 27 条（第 2 項）
個⼈情報取扱事業者は、第三者に提供される個⼈データについて、本⼈の求めに応じて当該本⼈がオプトアウトによる第三者提供識別される個⼈データの第三者への提供を停⽌することとしている場合であって、次に掲げる事項について、個⼈情報保護委員会規則で定めるところにより、あらかじめ、本⼈に通知し、⼜は本⼈が容易に知り得る状態に置くとともに、個⼈情報保護委員会に届け出たときは、前項の規定にかかわら第三者提供に該当しない場合
ず、当該個⼈データを第三者に提供することができる。ただし、第三者に提供される個⼈データが要
配慮個⼈情報⼜は第 20 条第 1 項の規定に違反して取得されたもの若しくは他の個⼈情報取扱事業者
からこの項本⽂の規定により提供されたもの（その全部⼜は⼀部を複製し、⼜は加⼯したものを含
外国にある第三者への提供
む。）である場合は、この限りでない。
(1) 第三者への提供を⾏う個⼈情報取扱事業者の⽒名⼜は名称及び住所並びに法⼈にあっては、その代表者（法⼈でない団体で代表者⼜は管理⼈の定めのあるものにあっては、その代表者⼜は第三者提供の記録管理⼈。以下この条、第 30 条第 1 項第 1 号及び第 32 条第 1 項第 1 号において同じ。）の⽒名(2) 第三者への提供を利⽤⽬的とすること。
(3) 第三者に提供される個⼈データの項⽬
個⼈関連情報の提供制限(4) 第三者に提供される個⼈データの取得の⽅法(5) 第三者への提供の⽅法
保有個⼈データ(6) 本⼈の求めに応じて当該本⼈が識別される個⼈データの第三者への提供を停⽌すること。
(7) 本⼈の求めを受け付ける⽅法
必要事項の公表(8) その他個⼈の権利利益を保護するために必要なものとして個⼈情報保護委員会規則で定める事
項法令に基づく場合（以下の➀、②）①

第三者に提供される個⼈データの更新の⽅法②

当該届出に係る個⼈データの第三者への提供を開始する予定⽇規則

以上１）対象事業者は、個⼈データの第三者への提供に当たり、第 27 条第 2 項第 1 号〜第 8 号までに掲げる事項をあらかじめ本⼈に通知し、⼜は本⼈が容易に知り得る状態に置くとともに、個⼈情報保護委員会に届け出た場合には、法第 27 条第 1 項の規定にかかわらず、あらかじめ本⼈の同意を得ることなく、個⼈データを第三者に提供することができる（オプトアウトによる第三者提供）。
２）対象事業者は、法第 27 条第 2 項に基づき、必要な事項を個⼈情報保護委員会に届け出たときは、その内容を⾃らもインターネットの利⽤その他の適切な⽅法により公表するものとする。
３）対象事業者は、要配慮個⼈情報、オプトアウトにより提供を受けた個⼈データ及び不正取得された個⼈データを、オプトアウトにより第三者に提供することはできない。
４）対象事業者は、オプトアウトによる第三者提供を⾏う際は、第 27 条第 2 項第 1 号〜第 8 号までに掲げる事項をあらかじめ、第三者に提供される個⼈データによって識別される本⼈が当該提供の停⽌を求めるのに必要な期間をおかなければならない。
５）本⼈に通知し⼜は本⼈が容易に知り得る状態に置いた時点から、極めて短期間の後に、第三者提供を⾏ったような場合は、「本⼈が当該提供の停⽌を求めるのに必要な期間」をおいていないと判断され得る。
27
一般社団法人日本個人情報管理協会

個人情報保護指針
６）具体的な期間については、業種、ビジネスの態様、通知⼜は容易に知り得る状態の態様、本⼈と対象事業者との近接性、本⼈から停⽌の求めを受け付ける体制、提供される個⼈データの性質などによっても異なり得るため、個別具体的に判断する必要がある。
７）「本⼈に通知し、⼜は本⼈が容易に知り得る状態に置く」時期と、「個⼈情報保護委員会に届け出る」時期は、必ずしも同時である必要はないが、本⼈に通知し、⼜は本⼈が容易に知り得る状態に置いた後、速やかに個⼈情報保護委員会に届け出ることが望ましい。
８）「本⼈が容易に知り得る状態」とは、事業所の窓⼝等への書⾯の掲⽰・備付けやホームページへの掲載その他の継続的⽅法により、本⼈が知ろうとすれば、時間的にも、その⼿段においても、簡単に知ることができる状態をいい、事業の性質及び個⼈情報の取扱状況に応じ、本⼈が確実に認識できる適切かつ合理的な⽅法によらなければならない。
９）届出の⽅法は、電⼦情報処理組織を使⽤する⽅法等によって⾏わなければならない。
１０）

代理⼈によって届出を⾏う場合は、個⼈情報保護委員会が定める様式によるその権限を証する書⾯を提出しなければならない。
１１）

外国にある対象事業者が、届出を⾏う場合には、国内に住所を有する者に、当該届出に関する⼀切の⾏為につき当該個⼈情報取扱事業者を代理する権限を有するものを定めなければならず、当該代理権を証する書⾯を個⼈情報保護委員会に提出しなければならない。
１２）

第 17 条第 1 項の規定により特定された当初の利⽤⽬的に、個⼈情報の第三者提供に関する事項が含まれていない場合は、第三者提供を⾏うと⽬的外利⽤となるため、オプトアウトによる第三者提供を⾏うことはできない。
１３）

オプトアウトにより提供を受けた個⼈データのオプトアウトによる再提供の禁⽌や、不正取得された個⼈データのオプトアウトによる提供の禁⽌については、当該個⼈データの全部⼜は⼀部を複製・加⼯したものについても適⽤される。
１４）「本⼈の求めを受け付ける⽅法」には、本⼈が求めを⾏う連絡先（事業者名、窓⼝名、郵送先

住所⼜は送信先メールアドレス等。当該個⼈情報取扱事業者が外国に本拠地を置く場合においては国内代理⼈の⽒名、連絡先等。）が含まれる。
5.2.6.2.2. オプトアウトに関する事項の変更及び個⼈データの提供をやめた場合
第 27 条（第 3 項）
個⼈情報取扱事業者は、前項第 1 号に掲げる事項に変更があったとき⼜は同項の規定による個⼈
データの提供をやめたときは遅滞なく、同項第 3 号から第 5 号まで、第 7 号⼜は第 8 号に掲げる事
項を変更しようとするときはあらかじめ、その旨について、個⼈情報保護委員会規則で定めるところ
により、本⼈に通知し、⼜は本⼈が容易に知り得る状態に置くとともに、個⼈情報保護委員会に届け出なければならない。
１）対象事業者は、法第 27 条第 2 項に基づきオプトアウトにより個⼈データの第三者提供を⾏っている場合であって、次の➀から③までのいずれかに該当する場合は、その旨について、本⼈に通知し、⼜は本⼈が容易に知り得る状態に置くとともに、個⼈情報保護委員会に届け出なければならない。
①

届出事項（第三者に提供される個⼈データの項⽬等）の以下の項⽬に変更があった場合
28
一般社団法人日本個人情報管理協会

個人情報保護指針②(ア)

届出事項（⽒名⼜は名称、住所、法⼈等の代表者の⽒名）の変更があった場合(イ)

第三者に提供される個⼈データの取得の⽅法(ウ)

第三者への提供の⽅法(エ)

第三者への提供を停⽌すべきとの本⼈の求めを受け付ける⽅法(オ)

個⼈データの更新の⽅法⼜は第三者への提供を開始する予定⽇を変更する場合

届出事項（⽒名⼜は名称、住所、法⼈等の代表者の⽒名）の変更があった場合
第三者への提供を⾏う個⼈情報取扱事業者の⽒名⼜は名称、住所、法⼈等の代表者の⽒名に変更があったときは、遅滞なく、本⼈に通知し、⼜は本⼈が容易に知り得る状態に置くとともに、個⼈情報保護委員会に届けなければならない。

③

個⼈データの提供をやめた場合
オプトアウトによる個⼈データの第三者提供をやめたときは、遅滞なく、本⼈に通知し、⼜は本⼈が容易に知り得る状態に置くとともに、個⼈情報保護委員会に届け出なければならない

２）対象事業者は、法第 27 条第 3 項に基づき、必要な事項を個⼈情報保護委員会に届け出たときは、その内容を⾃らも公表するものとする。
5.2.6.3. 第三者に該当しない場合
第 27 条（第 5 項）
次に掲げる場合において、当該個⼈データの提供を受ける者は、前各項の規定の適⽤については、第三者に該当しないものとする。
(1) 個⼈情報取扱事業者が利⽤⽬的の達成に必要な範囲内において個⼈データの取扱いの全部⼜は⼀部を委託することに伴って当該個⼈データが提供される場合(2) 合併その他の事由による事業の承継に伴って個⼈データが提供される場合(3) 特定の者との間で共同して利⽤される個⼈データが当該特定の者に提供される場合であって、その旨並びに共同して利⽤される個⼈データの項⽬、共同して利⽤する者の範囲、利⽤する者の利⽤⽬的並びに当該個⼈データの管理について責任を有する者の⽒名⼜は名称及び住所並びに法⼈にあっては、その代表者の⽒名について、あらかじめ、本⼈に通知し、⼜は本⼈が容易に知り得る状態に置いているとき。
１）第 27 条第 5 項第 1 号〜第 3 号までの場合については、個⼈データの提供先は対象事業者とは別の事業者であるため形式的には第三者に該当するもが、本⼈との関係において提供する事業者である対象事業者と⼀体のものとして取り扱うことに合理性があるため、第三者に該当しないものとする。
２）第 27 条第 5 項第 1 号〜第 3 号までに該当する次３）〜５）の場合は、対象事業者は、あらかじめの本⼈の同意⼜は第三者提供におけるオプトアウトを⾏うことなく、個⼈データを提供することが
できる。
３）委託
①

利⽤⽬的の達成に必要な範囲内において、個⼈データの取扱いに関する業務の全部⼜は⼀部を委託することに伴い、当該個⼈データが提供される場合は、当該提供先は第三者に該当しない。

②

この場合、当該提供先は、委託された業務の範囲内でのみ、本⼈との関係において提供主体である
29
一般社団法人日本個人情報管理協会

個人情報保護指針
個⼈情報取扱事業者と⼀体のものとして取り扱われることに合理性があるため、委託された業務以外に当該個⼈データを取り扱うことはできない。
４）事業の承継①

合併、分社化、事業譲渡等により事業が承継されることに伴い、当該事業に係る個⼈データが提供される場合は、当該提供先は第三者に該当しない。

②

事業の承継後も、個⼈データが当該事業の承継により提供される前の利⽤⽬的の範囲内で利⽤しなければならない。

③

事業の承継のための契約を締結するより前の交渉段階で、相⼿会社から⾃社の調査を受け、⾃社の個⼈データを相⼿会社へ提供する場合も、本号に該当し、あらかじめ本⼈の同意を得ることなく⼜は第三者提供におけるオプトアウト⼿続を⾏うことなく、個⼈データを提供することができる。

④

当該データの利⽤⽬的及び取扱⽅法、漏えい等が発⽣した場合の措置、事業承継の交渉が不調となった場合の措置等、相⼿会社に安全管理措置を遵守させるために必要な契約を締結しなければならない。

５）共同利⽤①

特定の者との間で共同して利⽤される個⼈データを当該特定の者に提供する場合であって、次の（ア）〜（オ）までの情報を、提供に当たりあらかじめ本⼈に通知し、⼜は本⼈が容易に知り得る状態に置いているときには、当該提供先は、本⼈から⾒て、当該個⼈データを当初提供した事業者と⼀体のものとして取り扱われることに合理性があると考えられることから、第三者に該当しない。
(ア)

共同利⽤をする旨(イ)

共同して利⽤される個⼈データの項⽬(ウ)

共同して利⽤する者の範囲(エ)

利⽤する者の利⽤⽬的(オ)

当該個⼈データの管理について責任を有する者の⽒名⼜は名称及び住所並びに法⼈にあっては、その代表者の⽒名②

第 27 条第 5 項第 3 号の規定により本⼈に通知し、⼜は本⼈が容易に知り得る状態に置かなければならない事項に相当する事項について、令和 3 年改正法の施⾏⽇前に、別表第⼆法⼈等により本⼈に通知されているときは、当該通知は、令和 3 年改正法の施⾏⽇以後は、同号の規定による通知とみなす。

③

既に特定の事業者が取得している個⼈データを他の事業者と共同して利⽤する場合には、当該共同利⽤は、社会通念上、共同して利⽤する者の範囲や利⽤⽬的等が当該個⼈データの本⼈が通常予期し得ると客観的に認められる範囲内である必要がある。

④

その上で、当該個⼈データの内容や性質等に応じて共同利⽤の是⾮を判断し、既に取得している事
業者が特定した利⽤⽬的の範囲で共同して利⽤しなければならない。

⑤

共同利⽤とは、本⼈から⾒て、当該個⼈データを提供する事業者と⼀体のものとして取り扱われることに合理性がある範囲で、当該個⼈データを共同して利⽤することであり、共同利⽤者の範囲については、本⼈がどの事業者まで将来利⽤されるか判断できる程度に明確にする必要がある。

⑥

当該範囲が明確である限りにおいては、必ずしも事業者の名称等を個別に全て列挙する必要はな
いが、本⼈がどの事業者まで利⽤されるか判断できるようにしなければならない。
30
一般社団法人日本個人情報管理協会

個人情報保護指針⑦

共同して利⽤する個⼈データについて、その利⽤⽬的を全て、本⼈に通知し、⼜は本⼈が容易に知り得る状態に置いていなければならない。

⑧

利⽤⽬的が個⼈データの項⽬によって異なる場合には、当該個⼈データの項⽬ごとに利⽤⽬的を区別して記載することが望ましい。

⑨

個⼈データの管理について責任を有する者とは、開⽰等の請求及び苦情を受け付け、その処理に尽⼒するとともに、個⼈データの内容等について、開⽰、訂正、利⽤停⽌等の権限を有し、安全管理
等個⼈データの管理について責任を有する者をいう。

⑩

責任を有する者は、共同して利⽤する全ての事業者の中で、第⼀次的に苦情の受付・処理、開⽰・訂正等を⾏う権限を有する者をいい、共同利⽤者のうち⼀事業者の内部の担当責任者をいうもの
ではない。

⑪

個⼈データの管理について責任を有する者は、利⽤⽬的の達成に必要な範囲内において、共同利⽤
者間で利⽤している個⼈データを正確かつ最新の内容に保つよう努めなければならない。

⑫

共同利⽤の対象となる個⼈データの提供については、必ずしも全ての共同利⽤者が双⽅向で⾏う
必要はなく、⼀部の共同利⽤者に対し、⼀⽅向で⾏うこともできる。

⑬

対象事業者が共同利⽤を実施する場合には、共同利⽤者における責任等を明確にし、円滑に実施する観点から、上記①から⑤までの情報のほか、例えば、次の（ア）から（カ）までの事項について
も、あらかじめ取り決めておくことが望ましい。
(ア)

共同利⽤者の要件（グループ会社であること、特定のキャンペーン事業の⼀員であること
等、共同利⽤による事業遂⾏上の⼀定の枠組み）⑭(イ)

各共同利⽤者の個⼈情報取扱責任者、問合せ担当者及び連絡先(ウ)

共同利⽤する個⼈データの取扱いに関する事項
個⼈データの漏えい等防⽌に関する事項



⽬的外の加⼯、利⽤、複写、複製等の禁⽌

共同利⽤終了後のデータの返還、消去、廃棄に関する事項(エ)

共同利⽤する個⼈データの取扱いに関する取決めが遵守されなかった場合の措置(オ)

共同利⽤する個⼈データに関する事件・事故が発⽣した場合の報告・連絡に関する事項(カ)

共同利⽤を終了する際の⼿続

共同利⽤か委託かは、個⼈データの取扱いの形態によって判断されるものであって、共同利⽤者の範囲に委託先事業者が含まれる場合であっても、委託先との関係は、共同利⽤となるわけではな
く、委託元は委託先の監督義務を免れるわけではない。

６）共同利⽤に係る事項の変更
第 27 条（第 6 項）
個⼈情報取扱事業者は、前項第 3 号に規定する個⼈データの管理について責任を有する者の⽒名、
名称若しくは住所⼜は法⼈にあっては、その代表者の⽒名に変更があったときは遅滞なく、同号に規定する利⽤する者の利⽤⽬的⼜は当該責任を有する者を変更しようとするときはあらかじめ、その旨について、本⼈に通知し、⼜は本⼈が容易に知り得る状態に置かなければならない。
①

対象事業者は、個⼈データを共同利⽤する場合、以下の事項に変更があった場合は、遅滞なく本⼈に通知し、⼜は本⼈が容易に知り得る状態に置かなければならない。
31
一般社団法人日本個人情報管理協会

個人情報保護指針②(ア)

個⼈データの管理について責任を有する者の⽒名(イ)

名称若しくは住所⼜は法⼈にあっては、その代表者の⽒名

対象事業者は、個⼈データを共同利⽤する場合、以下の事項に変更があった場合は、あらかじめ本⼈に通知し、⼜は本⼈が容易に知り得る状態に置かなければならない。

③(ア)

共同利⽤する者の利⽤⽬的(イ)

当該責任を有する者

共同利⽤する者の利⽤⽬的は、社会通念上、本⼈が通常予期し得る限度と客観的に認められる範囲内で変更することができる。

④⑤

対象事業者は、以下の事項ついて変更することは、原則として認められない。
(ア)

共同して利⽤される個⼈データの項⽬(イ)

共同して利⽤する者の範囲

但し、次のような場合は、引き続き共同利⽤を⾏うことができる。
(ア)

共同利⽤を⾏う個⼈データの項⽬や事業者の変更について、あらかじめ本⼈の同意を得た
場合(イ)

共同利⽤を⾏う事業者の名称に変更があるが、共同して利⽤される個⼈データの項⽬には変更がない場合(ウ)

共同利⽤を⾏う事業者について事業の承継が⾏われた場合（共同利⽤する個⼈データの項
⽬等の変更がないことが前提）

32
一般社団法人日本個人情報管理協会

個人情報保護指針
5.2.7. 外国にある第三者への提供の制限（第 28 条）
対象事業者は、外国にある第三者に個⼈データを提供する場合は、ガイドライン（外国にある第三者への個⼈データの提供編）に従い、適正に対応しなければならない。また、外国にある事業者において個⼈
データの取扱いを⾏う場合は、第 23 条安全管理措置の義務事項である「外的要因の把握」を適切に⾏わなければならない。
5.2.7.1. 外国にある第三者への個⼈データの提供
第 28 条（第 1 項）
個⼈情報取扱事業者は、外国（本邦の域外にある国⼜は地域をいう。以下この条及び第 31 条第 1
項第 2 号において同じ。
）（個⼈の権利利益を保護する上で我が国と同等の⽔準にあると認められる個
⼈情報の保護に関する制度を有している外国として個⼈情報保護委員会規則で定めるものを除く。以下この条及び同号において同じ。）にある第三者（個⼈データの取扱いについてこの節の規定により
個⼈情報取扱事業者が講ずべきこととされている措置に相当する措置（第 3 項において「相当措置」という。）を継続的に講ずるために必要なものとして個⼈情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この項及び次項並びに同号において同じ。
）に個⼈データを提供する場合には、前条第 1 項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本⼈の同意を得なければならない。この場合においては、同条の規定は、適⽤しない。
１）対象事業者は、個⼈データを外国にある第三者に提供するに当たっては、法第 28 条第 1 項に従い、次の➀〜➂までのいずれかに該当する場合を除き、あらかじめ「外国にある第三者への個⼈データの提供を認める旨の本⼈の同意」を得なければならない。
①

当該第三者が、我が国と同等の⽔準にあると認められる個⼈情報保護制度を有している国として
個⼈情報の保護に関する法律施⾏規則（平成 28 年個⼈情報保護委員会規則第 3 号。以下「規則」という。）で定める国（以下、「⼗分性認定の対象国」という。）。にある場合。

②

当該第三者が、個⼈情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制として規則で定める基準に適合する体制を整備している（以下、「基準適合体制」という。）
場合。

③

次の（ア）〜（キ）までのいずれかに該当する場合。
(ア)

法令に基づいて個⼈データを提供する場合。

(イ)

⼈（法⼈を含む。）の⽣命、⾝体⼜は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個⼈データの提供が必要であり、かつ、本⼈の同意を得ることが困難である場合。

(ウ)

公衆衛⽣の向上⼜は⼼⾝の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本⼈の同意を得ることが困難である場合。

(エ)

国の機関等が法令の定める事務を実施する上で、⺠間企業等の協⼒を得る必要がある場合であって、協⼒する⺠間企業等が当該国の機関等に個⼈データを提供することについて、本⼈の同意を得ることが当該事務の遂⾏に⽀障を及ぼすおそれがある場合。

(オ)

学術研究機関等が個⼈データを提供する場合であり、かつ、当該個⼈データの提供が学術研究の成果の公表⼜は教授のためやむを得ない場合（個⼈の権利利益を不当に侵害するお33
一般社団法人日本個人情報管理協会

個人情報保護指針
それがある場合を除く。
）。
(カ)

学術研究機関等が個⼈データを提供する場合であり、かつ、当該学術研究機関等と共同して学術研究を⾏う第三者（学術研究機関等であるか否かを問わない）に当該個⼈データを学術研究⽬的で提供する必要がある場合（当該個⼈データを提供する⽬的の⼀部が学術研究⽬的である場合を含み、個⼈の権利利益を不当に侵害するおそれがある場合を除く。）。

(キ)

学術研究機関等が個⼈データの第三者提供を受ける場合であり、かつ、当該学術研究機関
等が当該個⼈データを学術研究⽬的で取り扱う必要がある場合（当該個⼈データを取り扱う⽬的の⼀部が学術研究⽬的である場合を含み、個⼈の権利利益を不当に侵害するおそれがある場合を除く。）。

２）⼗分性認定の対象国は、アイスランド、アイルランド、イタリア、英国、エストニア、オーストリア、
オランダ、キプロス、ギリシャ、クロアチア、スウェーデン、スペイン、スロバキア、スロベニア、
チェコ、デンマーク、ドイツ、ノルウェー、ハンガリー、フィンランド、フランス、ブルガリア、ベルギー、ポーランド、ポルトガル、マルタ、ラトビア、リトアニア、リヒテンシュタイン、ルーマニ
ア及びルクセンブルク（EU 加盟国及び英国、アイスランド、リヒテンシュタイン、ノルウェー）。
３）⼗分性認定の対象国は、第 28 条第 1 項における外国とはならない。
４）基準適合体制とは、次の➀、②の双⽅⼜は何れかに該当している場合をいう。
①

個⼈情報取扱事業者と個⼈データの提供を受ける者との間で、当該提供を受ける者における当該個⼈データの取扱いについて、適切かつ合理的な⽅法により、個⼈情報保護法第 17 条〜第 28 条、第 32 条〜第 38 条及び第 40 条の規定を遵守し、継続的に適正な運⽤が確保されている場合。

②

個⼈データの提供を受ける者が、個⼈情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。
（経済協⼒開発機構（OECD）におけるプライバシーガイドライン、APEC における CBPR
（Cross Border Privacy Rules）といった国際的な枠組み）

５）基準適合体制が整備されている外国にある事業者は、第 28 条第 1 項でいう外国にある第三者とはならない。
5.2.7.2. 同意取得時の情報提供
第 28 条（第 2 項）
個⼈情報取扱事業者は、前項の規定により本⼈の同意を得ようとする場合には、個⼈情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個⼈情報の保護に関する制度、当該第三者が講ずる個⼈情報の保護のための措置その他当該本⼈に参考となるべき情報を当該本⼈に提供しなければならない。
対象事業者は、外国にある第三者への個⼈データの提供を認める旨の本⼈の同意を取得しようとする
場合には、委員会規則に定められた情報を本⼈に提供しなければならない。
5.2.7.2.1. 情報提供の⽅法
１）本⼈が確実に認識できると考えられる適切な⽅法で⾏わなければならない。
２）提供する情報は本⼈にとって分かりやすいものであることが重要となる。

34
一般社団法人日本個人情報管理協会

個人情報保護指針
5.2.7.2.2. 提供すべき情報
外国にある第三者への個⼈データの提供を認める旨の本⼈の同意を取得しようとする場合には、本⼈に対し、次の➀〜➂までの情報を提供しなければならない。
①

当該外国の名称②

適切かつ合理的な⽅法により得られた当該外国における個⼈情報の保護に関する制度に関する情報適切かつ合理的な⽅法とは、⼀般的な注意⼒をもって適切かつ合理的な⽅法により確認したものでなければならない。



当該外国における個⼈情報の保護に関する制度に関する情報」は、提供先の第三者が所在する外国における個⼈情報の保護に関する制度と個⼈情報保護法との間の本質的な差異を本⼈が合理的に認識できる情報でなければならず、具体的には、次の（ア）から（エ）までの観点を踏まえる必要がある。

「当該外国における個⼈情報の保護に関する制度」は、当該外国における制度のうち、提供先の外国にある第三者に適⽤される制度に限られ、当該第三者に適⽤されない制度は含まれ
ない。

(ア)

当該外国における個⼈情報の保護に関する制度の有無


当該第三者に適⽤される個⼈情報の保護に関する制度が存在しない場合、個⼈情報の保護に関する制度が存在しない旨を本⼈に対して情報提供しなければならない。

(イ)

当該外国の個⼈情報の保護に関する制度についての指標となり得る情報の存在OECD プライバシーガイドライン 8 原則に対応する事業者の義務⼜は本⼈の権利の不存 OECD プライバシーガイドライン 8 原則に対応する事業者の義務⼜は本⼈の権利が存在しない場合には、その旨について本⼈に情報提供しなければならない。

(ウ)

その他本⼈の権利利益に重⼤な影響を及ぼす可能性のある制度の存在


提供先の第三者が所在する外国において、当該外国への個⼈データの越境移転に伴い当該個⼈データに係る本⼈の権利利益に重⼤な影響を及ぼす可能性のある制度が存在する
場合には、その旨を本⼈に情報提供しなければならない。

③

当該第三者が講ずる個⼈情報の保護のための措置に関する情報

当該外国にある第三者が講ずる個⼈情報の保護のための措置と個⼈データの取扱いについて
個⼈情報取扱事業者に求められる措置との間の本質的な差異を本⼈が合理的に認識できる情報でなければならない。

5.2.7.2.3. 同意取得時に移転先が特定できない場合等の取扱い
１）対象事業者は、本⼈の同意を取得しようとする時点において、提供先の第三者が所在する外国を特定できない場合には、当該外国の名称及び当該外国の個⼈情報の保護に関する制度に関する情報に代えて、次の➀及び②の情報を本⼈に提供しなければならない。
①

特定できない旨及びその理由

対象事業者は、提供先の第三者が所在する外国を特定できない旨及びその理由を情報提供しなければならない。



情報提供に際しては、どのような場⾯で外国にある第三者に個⼈データの提供を⾏うかにつ35
一般社団法人日本個人情報管理協会

個人情報保護指針
いて、具体的に説明することが望ましい。
②

提供先の第三者が所在する外国の名称に代わる本⼈に参考となるべき情報

提供先の第三者が所在する外国の名称に代わる本⼈に参考となるべき情報の提供が可能である場合には、当該情報についても本⼈に提供しなければならない。

２）事後的に提供先の第三者が所在する外国が特定できた場合には、本⼈の求めに応じて情報提供を⾏うことが望ましい。
5.2.7.2.4. 提供先の第三者が講ずる個⼈情報の保護のための措置に関する情報が提供できない場合
１）対象事業者は、本⼈の同意を取得しようとする時点において、提供先の外国にある第三者が講ずる個
⼈情報の保護のための措置に関する情報の提供ができない場合には、当該情報に代えて、当該情報を提供できない旨及びその理由について情報提供しなければならない。
２）情報提供に際しては、どのような場⾯で外国にある第三者に個⼈データの提供を⾏うかについて、具体的に説明することが望ましい。
３）事後的に当該第三者が講ずる個⼈情報の保護のための措置についての情報提供が可能となった場合には、本⼈の求めに応じて情報提供を⾏うことが望ましい。
5.2.7.3. 個⼈情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備している者に個⼈データを提供した場合に講ずべき措置等
第 28 条（第 3 項）
個⼈情報取扱事業者は、個⼈データを外国にある第三者（第 1 項に規定する体制を整備している者に限る。）に提供した場合には、個⼈情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本⼈の求めに応じて当該必要な措置に関する情報を当該本⼈に提供しなければならない。
１）対象事業者は、基準適合体制を整備している外国にある第三者に対して個⼈データを提供した場合には、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本⼈の求めに応じて当該必要な措置に関する情報を当該本⼈に提供しなければならない。
２）提供先が基準適合体制を整備していることにより外国にある第三者に個⼈データを提供した場合、対象事業者は、その後も当該第三者による当該個⼈データの適正な取扱いを継続的に確保する責務があるため、当該第三者において当該個⼈データの取扱いが継続する限り、法第 28 条第 3 項に基づく措置等を講じなければならない。
３）本⼈の同意を根拠として外国にある第三者に個⼈データを提供した場合には、当該第三者が基準適
合体制を整備していると認められる場合であっても、法第 28 条第 3 項に基づく措置等は求められない。
5.2.7.3.1. 相当措置の継続的な実施を確保するために必要な措置
１）対象事業者は、基準適合体制により外国にある第三者に個⼈データを提供した場合、当該第三者による相当措置の継続的な実施を確保するために必要な措置として、次の➀及び②の措置を講じなければならない。
36
一般社団法人日本個人情報管理協会

個人情報保護指針①

当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当
該外国の制度の有無及びその内容を、適切かつ合理的な⽅法により、定期的に確認すること。


個⼈情報取扱事業者は、個⼈データの提供先である外国にある第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及び内容を、適切かつ合理的な⽅法により、定期的に確認しなければならない。

②

定期的に確認とは、年に 1 回程度⼜はそれ以上の頻度で確認することをいう。

当該第三者による相当措置の実施に⽀障が⽣じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個⼈データの当該第三者への提供を停⽌すること。


対象事業者は、個⼈データの提供先である外国にある第三者による相当措置の実施に⽀障が⽣じたときは、当該⽀障の解消⼜は改善のために必要かつ適切な措置を講じなければならない。



外国にある第三者による相当措置の継続的な実施の確保が困難となった場合、当該第三者は、実質的に、基準適合体制を整備しているとはいえないと考えられることから、それ以降、当該第三者への個⼈データの提供を停⽌しなければならない。

5.2.7.3.2. 相当措置の継続的な実施を確保するために必要な措置に関する情報提供
１）情報提供の⽅法
本⼈への提供が求められる情報を本⼈が確実に認識できると考えられる適切な⽅法で⾏う必要がある。
２）提供すべき情報対象事業者は、本⼈の求めを受けた場合には、遅滞なく、次の➀〜⑦までの情報を本⼈に提供しなけ
ればならない。
①

当該第三者による基準適合体制の整備⽅法②

当該第三者が実施する相当措置の概要③

基準適合体制の確認頻度及び⽅法④

当該外国の名称⑤

当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要⑥

当該第三者による相当措置の実施に関する⽀障の有無及びその概要⑦

前号の⽀障に関して当該個⼈情報取扱事業者が講ずる措置の概要

３）情報提供しない旨の決定を⾏った際の通知等①

個⼈情報取扱事業者は、本⼈の求めに係る情報の全部⼜は⼀部について情報提供しない旨の決定をしたときは、遅滞なく、その旨を本⼈に通知しなければならない。

②

この場合、個⼈情報取扱事業者は、本⼈に対し、情報提供をしない理由を説明するよう努めなければならない。

37
一般社団法人日本個人情報管理協会

個人情報保護指針
5.2.8. 第三者提供に係る記録の作成等（第 29 条、第 30 条）
対象事業者は、第三者に個⼈データを提供する場合及び第三者から個⼈データを受領する場合は、ガイドライン（第三者提供時の確認・記録義務編）に従い、適正に対応しなければならない。
（第三者提供に係る記録の作成等）
第 29 条（第 1 項）
個⼈情報取扱事業者は、個⼈データを第三者（第 16 条第 2 項各号に掲げる者を除く。以下この条及び次条（第 31 条第 3 項において読み替えて準⽤する場合を含む。）において同じ。）に提供したときは、個⼈情報保護委員会規則で定めるところにより、当該個⼈データを提供した年⽉⽇、当該第三者の⽒名⼜は名称その他の個⼈情報保護委員会規則で定める事項に関する記録を作成しなければならない。ただし、当該個⼈データの提供が第 27 条第 1 項各号⼜は第 5 項各号のいずれか（前条第 1 項の規定による個⼈データの提供にあっては、第 27 条第 1 項各号のいずれか）に該当する場合は、この限りでない。
第 29 条（第 2 項）
個⼈情報取扱事業者は、前項の記録を、当該記録を作成した⽇から個⼈情報保護委員会規則で定める期間保存しなければならない。
（第三者提供を受ける際の確認等）
第 30 条（第 1 項）
個⼈情報取扱事業者は、第三者から個⼈データの提供を受けるに際しては、個⼈情報保護委員会規則で定めるところにより、次に掲げる事項の確認を⾏わなければならない。ただし、当該個⼈データの提供が第 27 条第 1 項各号⼜は第 5 項各号のいずれかに該当する場合は、この限りでない。
(1) 当該第三者の⽒名⼜は名称及び住所並びに法⼈にあっては、その代表者の⽒名(2) 当該第三者による当該個⼈データの取得の経緯
第 30 条（第 2 項）
前項の第三者は、個⼈情報取扱事業者が同項の規定による確認を⾏う場合において、当該個⼈情報取扱事業者に対して、当該確認に係る事項を偽ってはならない。
第 30 条（第 3 項）
個⼈情報取扱事業者は、第 1 項の規定による確認を⾏ったときは、個⼈情報保護委員会規則で定めるところにより、当該個⼈データの提供を受けた年⽉⽇、当該確認に係る事項その他の個⼈情報保護委員会規則で定める事項に関する記録を作成しなければならない。
第 30 条（第 4 項）
個⼈情報取扱事業者は、前項の記録を、当該記録を作成した⽇から個⼈情報保護委員会規則で定める期間保存しなければならない。

5.2.8.1. 確認・記録義務の適⽤対象
5.2.8.1.1. 個⼈情報保護法の条⽂に明記されていることにより確認・記録義務が適⽤されない第三者提供
次の１）〜３）の第三者提供については、確認・記録義務が適⽤されない。
１）第 27 条第 1 項第 1 号〜第 7 号により第三者提供の制限が適⽤除外となる場合
38
一般社団法人日本個人情報管理協会

個人情報保護指針
２）法第 27 条第 5 項第１号〜第 3 号により第三者提供に該当しない場合（委託、事業承継、共同利⽤）
但し、外国にある第三者については、⼗分性認定及び基準適合体制による提供による場合に限る。
３）第三者が法第 16 条第 2 項各号に掲げる者である場合（国の機関、地⽅公共団体、独⽴⾏政法⼈等、
地⽅独⽴⾏政法⼈）
5.2.8.2. 第三者提供の状況により確認・記録義務が適⽤されない第三者提供
5.2.8.2.1. 提供者及び受領者に確認・記録義務が適⽤されない場合
１）個⼈データの第三者提供に該当する場合でも、確認・記録義務の趣旨から、確認・記録義務を課する
必要性が乏しい第三者提供については、第三者提供の確認・記録義務の対象となる第三者提供には該当しない。
２）第三者提供、すなわち、「提供者」から「受領者」に対する「提供」⾏為については、確認・記録義
務の趣旨に鑑みて、各要素の該当性を判断する。
３）いずれの場合においても、実質的に本⼈同意があることが前提であり、オプトアウトによる第三者提供については適⽤されない。
①「提供者」の考え⽅「（ア）本⼈による提供」⼜は「（イ）本⼈に代わって提供」に該当する場合は、実質的に「提供者」
による提供ではないものとして、提供者・受領者双⽅に対して確認・記録義務は適⽤されない。
(ア)

本⼈による提供
SNS 等で本⼈の⾃発的意思により個⼈データが第三者に開⽰（提供）されている場合。

(イ)

本⼈に代わって提供
個⼈情報取扱事業者が本⼈からの委託等に基づき当該本⼈の個⼈データを第三者提供する
場合。

②「受領者」の考え⽅(ア)

本⼈の代理⼈⼜は家族等、本⼈と⼀体と評価できる関係にある者に提供
本⼈側に対する提供とみなし、受領者に対する提供には該当せず、確認・記録義務は適⽤されない。
但し、常に家族であることをもって本⼈側と評価されるものではなく、個⼈データの性質、両者の関係等に鑑みて実質的に判断する必要がある。

(イ)

提供者が、最終的に本⼈に提供することを意図した上で、受領者を介在して第三者提供を⾏
い、本⼈がそれを明確に認識できる場合は、同じく、本⼈側に対する提供とみなし、確認・記録義務は適⽤されない。

③「提供」⾏為の考え⽅(ア)

不特定多数の者が取得できる公開情報の授受受領者も⾃ら取得できる情報であり、それをあえて提供者から受領者に提供する⾏為は、受領者による取得⾏為を提供者が代⾏しているものであることから、実質的に確認・記録義務を課すべき第三者提供には該当せず、同義務は適⽤されない。

(イ)

但し、個⼈データを公開に供する⾏為については、提供者として記録を作成しなければならない。

39
一般社団法人日本個人情報管理協会

個人情報保護指針
5.2.8.2.2. 受領者に確認・記録義務が適⽤されない場合①

個⼈データに該当しない提供を受けた場合
受領者において「個⼈情報」には該当するが「個⼈データ」には該当しない情報の場合、⼜は、そもそも「個⼈情報」に該当しない情報の提供を受けた場合は、受領者に義務は適⽤されない。
(ア)

受領者にとって「個⼈データ」に該当しない場合
提供者にとって個⼈データに該当するが受領者にとって個⼈データに該当しない情報を受領した場合は、同条の確認・記録義務は適⽤されない。
（個⼈情報データベース等
から 1 件のみの個⼈データを抽出し、提供した場合）



本来であれば個⼈データに該当するにもかかわらず、意図的に分割して個⼈情報として提供を受ける⾏為は、確認・記録義務を免れることはできない。

個⼈データには該当しない個⼈情報として提供を受けた場合、後に当該個⼈情報を個
⼈情報データベース等に⼊⼒する等したときにおいても、受領者に対して確認・記録義
務は適⽤されない。

(イ)

受領者にとって「個⼈情報」に該当しない場合
提供者にとって個⼈データに該当する場合であっても、受領者にとっては「個⼈情報」に該当しない（特定の個⼈を識別するための情報を含まない場合など）情報を受領した
場合は、確認・記録義務は適⽤されない。

②

提供を受けることに該当しない場合(ア)

単に閲覧する⾏為
個⼈データの提供を受けることには該当しないため、確認・記録義務は適⽤されない。

(イ)

提供者たる個⼈情報取扱事業者が、個⼈データを第三者が利⽤可能な状態に置く⾏為
提供⾏為に該当するため、確認・記録義務が適⽤される。

(ウ)

⼀⽅的に個⼈データを提供された場合
⼝頭、FAX、メール、電話等で、受領者の意思とは関係なく、⼀⽅的に個⼈データを提供された場合おいて、受領者側に「提供を受ける」⾏為がないときは、確認・記録義務は適⽤されない。

5.2.8.3. 確認義務
5.2.8.3.1. 確認⽅法
１）対象事業者は、第三者から個⼈データの提供を受ける際は、当該第三者に対して、次➀及び➂について確認を⾏わなければならない。
①

第三者の⽒名及び住所並びに法⼈にあっては、その代表者の⽒名②

第三者による個⼈データの取得の経緯③

法の遵守状況
(ア)

個⼈情報取扱事業者から個⼈データの提供を受ける場合
受領者は、当該個⼈情報取扱事業者の法の遵守状況（例えば、利⽤⽬的、開⽰⼿続、問合せ・苦情の受付窓⼝の公表など）についても確認することが望ましい。

(イ)

オプトアウトによる第三者提供により個⼈データの提供を受ける場合
受領者は、当該個⼈情報取扱事業者の届出事項が個⼈情報保護委員会により公表されてい40
一般社団法人日本個人情報管理協会

個人情報保護指針る旨を記録しなければならない。
２）当該第三者は当該個⼈情報取扱事業者に対して、当該確認に係る事項を偽ってはならない。
5.2.8.3.2. 既に確認を⾏った第三者に対する確認⽅法
１）複数回にわたって同⼀「本⼈」の個⼈データの授受をする場合において、必要事項の記録を作成し、その時点において保存している記録と内容が同⼀であるものについては、当該事項の確認を省略することができる。
２）平成 27 年改正法の施⾏⽇の前に上記に規定する⽅法に相当する⽅法で作成した記録及び令和 3 年改正法の施⾏⽇の前に別表第⼆法⼈等が上記に規定する⽅法に相当する⽅法で作成した記録についても同様とする。
5.2.8.4. 記録義務
5.2.8.4.1. 記録を作成する⽅法
１）記録を作成する媒体
対象事業者は、記録を、⽂書、電磁的記録⼜はマイクロフィルムを⽤いて作成しなければならない。
２）記録を作成する⽅法
①

原則
(ア)

対象事業者は、原則として、個⼈データの授受の都度、速やかに、記録を作成しなければな
らない。

(イ)

記録は、個⼈データを授受する前に作成することもできる。

(ウ)

本⼈別に記録を単体で作成する⽅法のほか、対象となる複数の本⼈の記録を⼀体として作成することもできる。

(エ)

オプトアウトによる第三者提供については、⼀括して記録を作成する⽅法、契約書等の代替⼿段による⽅法は適⽤されないため、常に原則に従い記録を作成しなければならない。

②

⼀括して記録を作成する⽅法(ア)

⼀定の期間内に特定の事業者との間で継続的に⼜は反復して個⼈データを授受する場合は、個々の授受に係る記録を作成する代わりに、⼀括して記録を作成することができる。

(イ)

本⼈別に記録を単体で作成する⽅法のほか、対象となる複数の本⼈の記録を⼀体として作成することもできる。

(ウ)

複数の本⼈の記録を⼀体として記録を作成する場合において、継続的に⼜は反復して個⼈
データを授受する対象期間内に、データ群を構成する本⼈が途中で変動するときも、⼀括して記録を作成することもできる。

③

契約書等の代替⼿段による⽅法(ア)

対象事業者が、本⼈に対する物品⼜は役務の提供に係る契約を締結し、かかる契約の履⾏に伴って、契約の締結の相⼿⽅を本⼈とする個⼈データを第三者に提供する場合は、当該契約書その他の書⾯をもって記録とすることができる。

(イ)

本⼈別に記録を単体で作成する⽅法のほか、対象となる複数の本⼈の記録を⼀体として作成することもできる。

(ウ)

仮に、本⼈に対する物品⼜は役務の提供に係る契約書のならない書⾯、⼜はオプトアウトに
41
一般社団法人日本個人情報管理協会

個人情報保護指針
よる第三者提供の際に作成された書⾯等も、記録事項が記載されていれば記録として認められるが、保存期間の違いに留意する必要がある。
④

代⾏により記録を作成する⽅法(ア)

提供者・受領者のいずれも記録の作成⽅法・保存期間は同⼀であることから、提供者（⼜は受領者）は、受領者（⼜は提供者）の記録義務の全部⼜は⼀部を代替して⾏うことができる（提供者と受領者の記録事項の相違については留意する必要がある。
）。

(イ)

この場合においても、提供者及び受領者は⾃⼰の義務が免責されるわけではないことから、実質的に⾃らが記録作成義務を果たしているものと同等の体制を構築しなければならない。

(ウ)

委託先の個⼈情報取扱事業者が委託契約の⽬的の範囲内で第三者との間で個⼈データの授受を⾏った場合において、⼀義的には委託先の個⼈情報取扱事業者が記録を作成する義務があるが、委託元の個⼈情報取扱事業者が記録の作成を代⾏することができる。

３）提供者の記録事項①

オプトアウトによる第三者提供をする場合
対象事業者が、オプトアウトによる個⼈データの第三者提供を⾏う場合は、次の（ア）〜（エ）の項⽬を記録しなければならない。
(ア)

当該個⼈データを提供した年⽉⽇(イ)

当該第三者の⽒名⼜は名称及び住所並びに法⼈にあっては、その代表者（法⼈でない団体で代表者⼜は管理⼈の定めのあるものにあっては、その代表者⼜は管理⼈の⽒名（不特定かつ多数の者に対して提供したときは、その旨）②(ウ)

当該個⼈データによって識別される本⼈の⽒名その他の当該本⼈を特定するに⾜りる事項(エ)

当該個⼈データの項⽬

本⼈の同意による第三者提供をする場合
対象事業者が、本⼈の同意に基づき個⼈データの第三者提供を⾏う場合は、次の（ア）〜（エ）の項
⽬を記録しなければならない。
(ア)

本⼈の同意を得ている旨

契約書その他の書⾯に本⼈の同意が記載されている場合



対象事業者の事業の内容、第三者提供の⽅法等により、同意の存在を明⽰的に⼜は黙⽰
的に⽰す証跡等がある場合には、当該証跡等をもって「同意を得ている旨」の記録とすることもできる。

(イ)

当該第三者の⽒名⼜は名称その他の当該第三者を特定するに⾜りる事項（不特定かつ多数の者に対して提供したときは、その旨）(ウ)

当該個⼈データによって識別される本⼈の⽒名その他の当該本⼈を特定するに⾜りる事項(エ)

当該個⼈データの項⽬

４）受領者の記録事項①

オプトアウトによる第三者提供を受ける場合
対象事業者は、オプトアウトによる個⼈データの第三者提供を受ける場合は、次の項⽬を記録しなければならない。
(ア)

当該個⼈データを受けた年⽉⽇(イ)

当該第三者の⽒名⼜は名称及び住所並びに法⼈にあっては、その代表者の⽒名
42
一般社団法人日本個人情報管理協会

個人情報保護指針②(ウ)

当該第三者による当該個⼈データの取得の経緯(エ)

当該個⼈データによって識別される本⼈の⽒名その他の当該本⼈を特定するに⾜りる事項(オ)

当該個⼈データの項⽬(カ)

個⼈情報保護委員会により公表されている旨

本⼈の同意に基づき第三者提供を受ける場合
対象事業者は、本⼈の同意に基づき個⼈データの第三者提供を受ける場合は、次の項⽬を記録しなければならない。
(ア)

本⼈の同意を得ている旨

契約書その他の書⾯に本⼈の同意が記載されている場合



対象事業者の事業の内容、第三者提供の⽅法等により、同意の存在を明⽰的に⼜は黙⽰
的に⽰す証跡等がある場合には、当該証跡等をもって「同意を得ている旨」の記録とすることもできる。

③(イ)

当該第三者の⽒名⼜は名称及び住所並びに法⼈にあっては、その代表者の⽒名(ウ)

当該第三者による当該個⼈データの取得の経緯(エ)

当該個⼈データによって識別される本⼈の⽒名その他の当該本⼈を特定するに⾜りる事項(オ)

当該個⼈データの項⽬

私⼈などから第三者提供を受ける場合
対象事業者は、他の個⼈情報取扱事業者⼜は法第 16 条第 2 項各号に掲げる者以外の者から、個⼈
データの提供を受ける場合は、次の項⽬を記録しなければならない。
(ア)

当該第三者の⽒名⼜は名称及び住所並びに法⼈にあっては、その代表者の⽒名(イ)

当該第三者による当該個⼈データの取得の経緯(ウ)

当該個⼈データによって識別される本⼈の⽒名その他の当該本⼈を特定するに⾜りる事項(エ)

当該個⼈データの項⽬５）記録事項の省略①

複数回にわたって同⼀「本⼈」の個⼈データの授受をする場合
記録義務に規定する⽅法により記録を作成し、かつ、その時点において保存している記録に記録された事項と内容が同⼀であるものについては、当該事項の記録を省略することができる。

5.2.8.5. 保存期間
１）対象事業者は、作成した記録を規則で定める期間保存しなければならない。
２）保存期間は記録の作成⽅法によって異なり、次の表のとおりとなる。
記録の作成⽅法

保存期間「契約書等の代替⼿段による⽅法」により記録を最後に当該記録に係る個⼈データの提供を⾏った

作成した場合⽇から起算して 1 年を経過する⽇までの間「⼀括して記録を作成する⽅法」により記録を作最後に当該記録に係る個⼈データの提供を⾏った

成した場合

⽇から起算して 3 年を経過する⽇までの間

上述以外の場合

3年43
一般社団法人日本個人情報管理協会

個人情報保護指針
5.2.9. 個⼈関連情報の第三者提供の制限等
第 31 条（第 1 項）
個⼈関連情報取扱事業者は、第三者が個⼈関連情報（個⼈関連情報データベース等を構成するものに限る。以下この章及び第 6 章において同じ。
）を個⼈データとして取得することが想定されるときは、第 27 条第 1 項各号に掲げる場合を除くほか、次に掲げる事項について、あらかじめ個⼈情報保護委員会規則で定めるところにより確認することをしないで、当該個⼈関連情報を当該第三者に提供してはならない。
（1） 当該第三者が個⼈関連情報取扱事業者から個⼈関連情報の提供を受けて本⼈が識別される個
⼈データとして取得することを認める旨の当該本⼈の同意が得られていること。
（2） 外国にある第三者への提供にあっては、前号の本⼈の同意を得ようとする場合において、個⼈情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個⼈情報の保護に関する制度、当該第三者が講ずる個⼈情報の保護のための措置その他当該本⼈に参考となるべき情報が当該本⼈に提供されていること。
第 31 条（第 2 項）
第 28 条第 3 項の規定は、前項の規定により個⼈関連情報取扱事業者が個⼈関連情報を提供する場合について準⽤する。この場合において、同条第 3 項中「講ずるとともに、本⼈の求めに応じて当該必要な措置に関する情報を当該本⼈に提供し」とあるのは、「講じ」と読み替えるものとする。
対象事業者が、個⼈関連情報取扱事業者となる場合及び個⼈情報取扱事業者として個⼈関連情報を第三者から提供を受けし個⼈データとする場合は、個⼈関連情報の第三者提供の制限等の規定を遵守しなければならない。
5.2.9.1. 個⼈関連情報の第三者制限等の適⽤
１）個⼈関連情報取扱事業者は、提供先の第三者が個⼈関連情報（個⼈関連情報データベース等を構成するものに限る。）を個⼈データとして取得することが想定されるときは、個⼈データの第三者提供の制限法が適⽤除外となる場合（第 27 条第 1 項各号）を除き、提供先の事業者が個⼈関連情報
を個⼈データとして取得することについて、あらかじめ本⼈より同意が得られていること等を確認
しないで、個⼈関連情報を提供してはならない。
２）法第 31 条第 1 項は、対象事業者による個⼈関連情報の第三者提供の全てに適⽤されるものではな
く、提供先の第三者が個⼈関連情報を「個⼈データとして取得することが想定されるとき」に適⽤される。
３）個⼈関連情報の提供を⾏う対象事業者は、提供先の第三者との間で、提供を⾏う個⼈関連情報の項
⽬や、提供先の第三者における個⼈関連情報の取扱い等を踏まえた上で、それに基づいて法第 31条第 1 項の適⽤の有無を判断する。
5.2.9.1.1. 個⼈データとしての取得
１）「個⼈データとして取得する」とは、提供先の第三者において、個⼈データに個⼈関連情報を付加する等、個⼈データとして利⽤しようとする場合をいう。
44
一般社団法人日本個人情報管理協会

個人情報保護指針
２）提供先の第三者が、提供を受けた個⼈関連情報を、ID 等を介して提供先が保有する他の個⼈データに付加する場合には、「個⼈データとして取得する」場合に該当する。
３）提供先の第三者が、提供を受けた個⼈関連情報を直接個⼈データに紐付けて利⽤しない場合は、別
途、提供先の第三者が保有する個⼈データとの容易照合性が排除しきれないとしても、ここでいう「個⼈データとして取得する」場合には直ちに該当しない。
5.2.9.1.2. 個⼈データとして取得されることが「想定される」場合
１）「想定される」とは、提供元である対象事業者において、提供先の第三者が「個⼈データとして取得する」ことを現に想定している場合⼜は⼀般⼈の認識を基準として「個⼈データとして取得する」ことを通常想定できる場合をいう。
２）現に想定している場合
提供元の個⼈関連情報取扱事業者が、提供先の第三者において個⼈データとして取得することを現に認識している場合をいう。
３）個⼈データとして取得する」ことを通常想定できる場合
提供元である対象事業者において現に想定していない場合であっても、提供先の第三者との取引状況等の客観的事情に照らし、⼀般⼈の認識を基準に通常想定できる場合には、「想定される」に該当する。
5.2.9.1.3. 契約等による対応について
１）提供元である個⼈関連情報取扱事業者及び提供先の第三者間の契約等において、提供先の第三者において、提供を受けた個⼈関連情報を個⼈データとして利⽤しない旨が定められている場合には、
通常、「個⼈データとして取得する」ことが想定されず、法第 31 条は適⽤されない。
２）この場合、提供元である個⼈関連情報取扱事業者は、提供先の第三者における個⼈関連情報の取扱
いの確認まで⾏わなくとも、通常、「個⼈データとして取得する」ことが想定されない。
３）提供先の第三者が実際には個⼈関連情報を個⼈データとして利⽤すること可能性があると考えられる場合には、当該事情に応じ、別途、提供先の第三者における個⼈関連情報の取扱いも確認した上で「個⼈データとして取得する」ことが想定されるかどうか判断する必要がある。

45
一般社団法人日本個人情報管理協会

個人情報保護指針
5.2.9.2. 本⼈の同意の取得⽅法
5.2.9.2.1. 本⼈の同意
１）「本⼈の同意」とは、個⼈関連情報取扱事業者が第三者に個⼈関連情報を提供し、当該第三者が当
該個⼈関連情報を個⼈データとして取得することを承諾する旨の当該本⼈の意思表⽰をいう。
２）同号の同意の取得に当たっては、本⼈が同意に係る判断を⾏うために必要と考えられる合理的かつ適切な範囲の内容を明確に⽰した上で、本⼈の同意の意思が明確に確認できることが必要となる。
３）本⼈の同意は、必ずしも第三者提供のたびに取得しなければならないものではなく、本⼈が予測できる範囲において、包括的に同意を取得することも可能となる。
４）令和 2 年（2020 年）改正法の施⾏⽇前になされた本⼈の個⼈関連情報の取扱いに関する同意がある場合において、その同意が法第 31 条第 1 項の規定による個⼈関連情報の第三者への提供を認める旨の同意に相当するものであるときは、同項第 1 号の同意があったものとみなす。
５）令和 3 年（2021 年）改正法の施⾏⽇前に別表第⼆法⼈等（3-1-3（利⽤⽬的による制限）参照）に対しされた本⼈の個⼈関連情報の取扱いに関する同意がある場合において、その同意が法第 31 条
第 1 項第 1 号の規定による個⼈関連情報の第三者への提供を認める旨の同意に相当するものである
ときは、令和 3 年改正法の施⾏⽇において同号の同意があったものとみなす。
5.2.9.2.2. 同意を取得する主体（事業者）
１）法第 31 条第 1 項第 1 号の「本⼈の同意」を取得する事業者は、本⼈と接点を持ち、情報を利⽤する事業者である提供先の第三者であるが、同等の本⼈の権利利益の保護が図られることを前提に、同意取得を提供元の個⼈関連情報取扱事業者が代⾏することも認められる。
２）提供先の第三者による同意取得の場合であっても、提供元の対象事業者による同意取得の代⾏の場
合であっても、個⼈関連情報の提供を受けて個⼈データとして取得する主体、対象となる個⼈関連
情報の項⽬、個⼈関連情報の提供を受けて個⼈データとして取得した後の利⽤⽬的等について、本⼈が認識できるようにする必要がある。
３）提供先の第三者による同意取得の場合①

提供先の第三者が、個⼈関連情報の提供を受けて個⼈データとして取得する主体として、本⼈に対して、対象となる個⼈関連情報を特定できるように⽰した上で同意を取得しなければならない。

②

個⼈関連情報を個⼈データとして取得した後の利⽤⽬的については、提供先の第三者において法第 21 条により通知⼜は公表を⾏う必要があるが、提供先において同意を取得する際には同時に当該利⽤⽬的についても本⼈に⽰すことが望ましい。

４）提供元の個⼈関連情報取扱事業者による同意取得の代⾏の場合①

提供元である個⼈関連情報取扱事業者が同意取得を代⾏する場合、本⼈は利⽤の主体を認識できないことから、提供元である個⼈関連情報取扱事業者において、個⼈関連情報の提供を受けて個
⼈データとして取得する提供先の第三者を個別に明⽰し、また、対象となる個⼈関連情報を特定できるように⽰さなければならない。

②

提供先の第三者が個⼈関連情報を個⼈データとして取得した後の利⽤⽬的については、提供先の第三者において法第 21 条により通知⼜は公表を⾏わなければならない。

③

提供元である個⼈関連情報取扱事業者が同意取得を代⾏する場合であっても、提供先の第三者が46
一般社団法人日本個人情報管理協会

個人情報保護指針
同意取得の主体であることに変わりはないことから、提供先の第三者は提供元である個⼈関連情報取扱事業者に適切に同意取得させなければならない。
5.2.9.2.3. 同意取得の⽅法
１）同意取得の⽅法としては、本⼈から同意する旨を⽰した書⾯や電⼦メールを受領する⽅法、確認欄
へのチェックを求める⽅法等がある。
２）ウェブサイト上で同意を取得する場合は、単にウェブサイト上に本⼈に⽰すべき事項を記載するのみでは⾜りず、それらの事項を⽰した上でウェブサイト上のボタンのクリックを求める⽅法等によらなければならない。
３）同意取得に際しては、本⼈に必要な情報を分かりやすく⽰すことが重要である。
5.2.9.3. 本⼈の同意等の確認の⽅法
5.2.9.3.1. 個⼈データとして取得することを認める旨の本⼈の同意を得られていること
１）個⼈関連情報取扱事業者は、提供先の第三者が個⼈関連情報を個⼈データとして取得することが想定されるときは、原則として、あらかじめ当該個⼈関連情報に係る本⼈の同意が得られていることを確認しないで個⼈関連情報を提供してはならない。
２）本⼈から同意を得る主体は、原則として提供先の第三者となり、個⼈関連情報取扱事業者は、当該第三者から申告を受ける⽅法その他の適切な⽅法によって本⼈同意が得られていることを確認することになる。
３）提供先の第三者から申告を受ける場合、個⼈関連情報取扱事業者は、その申告内容を⼀般的な注意⼒をもって確認すればよい。
４）提供先の第三者において、複数の本⼈から同⼀の⽅式で同意を取得している場合、提供元はそれぞれの本⼈から同意が取得されていることを確認する必要があるが、同意取得の⽅法については、本⼈ごとに個別の申告を受ける必要はなく、複数の本⼈からどのように同意を取得したか申告を受け、それによって確認を⾏えばよい。
５）提供先の第三者から提供元の個⼈関連情報取扱事業者に対する申告に際し、提供先の第三者が法第31 条第 1 項第 1 号の同意を取得済みの ID 等を提供する⾏為は、個⼈データの第三者提供に該当する場合があるが、法第 31 条第 1 項の確認⾏為において必要となる情報のみを提供する場合は、法令に基づく場合（法第 27 条第 1 項第 1 号）に該当する。
６）提供元の個⼈関連情報取扱事業者において、同意取得を代⾏する場合、当該同意を⾃ら確認する⽅法
も「その他の適切な⽅法」による確認に該当する。
5.2.9.3.2. 外国にある第三者への提供にあっては、必要な情報が当該本⼈に提供されていること
１）個⼈関連情報取扱事業者は、個⼈関連情報の提供先が外国にある第三者である場合には、個⼈関連情報についての本⼈同意が得られていることを確認するに当たって、当該同意が得られていることに加え、当該同意を得ようとする時点において次の➀〜➂までの情報が当該本⼈に提供されていることを確認しなければならない。
２）情報提供の⽅法及び提供すべき情報の内容の考え⽅等については、外国第三者提供ガイドライン「51（情報提供の⽅法）」及び「5-2（提供すべき情報）」を参照のこと。
47
一般社団法人日本個人情報管理協会

個人情報保護指針①

当該外国の名称②

適切かつ合理的な⽅法により得られた当該外国における個⼈情報の保護に関する制度に関する情報③

当該第三者が講ずる個⼈情報の保護のための措置に関する情報

３）次の①⼜は②のいずれかに該当する場合には、本⼈同意の取得時に上記の（1）から（3）までの情報が提供されていることを確認する必要はない。
①

当該第三者が個⼈の権利利益を保護する上で我が国と同等の⽔準にあると認められる個⼈情報保護制度を有している国にある場合②

当該第三者が個⼈情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備している場合（基準適合体制）

４）基準適合体制による個⼈関連情報の提供である場合は、以下の➀及び②の措置をとななければならない。
①

当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当
該外国の制度の有無及びその内容を、適切かつ合理的な⽅法により、定期的に確認すること②

当該第三者による相当措置の実施に⽀障が⽣じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個⼈関連情報の当該第三者への提供を停⽌すること

５）本⼈から同意を得る主体は、原則として提供先の第三者となり、個⼈関連情報取扱事業者は、書⾯の提⽰を受ける⽅法その他の適切な⽅法によって必要な情報の提供が⾏われていることを確認しなけ
ればならない。
5.2.9.3.3. 既に確認を⾏った第三者に対する確認の⽅法
１）複数回にわたって同⼀「本⼈」の個⼈関連情報を提供する場合において、既に適切に確認を⾏い、提供元における記録義務に規定する⽅法により記録を作成し、かつ、その時点において保存している記録に記録された事項と内容が同⼀であるものについては、当該事項の確認を省略することができる。
２）令和 2 年改正法の施⾏⽇の前に上記に規定する⽅法に相当する⽅法で作成した記録についても同様とする。
３）個⼈関連情報取扱事業者が、同じ提供先に対して、既に確認・記録義務を履⾏した本⼈に係る個⼈関連情報であることを認識しながら、個⼈関連情報の提供を⾏う場合は、「同⼀であることの確認」が⾏われていることとなる。

48
一般社団法人日本個人情報管理協会

個人情報保護指針
5.2.9.4. 提供元における記録義務
第 31 条（第 3 項）
前条第 2 項から第 4 項までの規定は、第 1 項の規定により個⼈関連情報取扱事業者が確認する場合について準⽤する。この場合において、同条第 3 項中「の提供を受けた」とあるのは、「を提供した」と読み替えるものとする。
１）個⼈関連情報取扱事業者は、第 31 条第１項の規定による確認を⾏ったときは、個⼈情報保護委員会
規則で定めるところにより、個⼈関連情報を提供した年⽉⽇、当該確認に係る事項その他の個⼈情報保護委員会規則で定める事項に関する記録を作成しなければならない。
２）但し、「第三者」のうち、次の➀〜④までに掲げる者に個⼈関連情報の提供を⾏う場合は、記録義務は適⽤されない。
① 国の機関② 地⽅公共団体③ 独⽴⾏政法⼈等④ 地⽅独⽴⾏政法⼈
5.2.9.4.1. 記録を作成する媒体
１）個⼈関連情報取扱事業者は、記録を、⽂書、電磁的記録）⼜はマイクロフィルムを⽤いて作成しなければならない。
5.2.9.4.2. 記録を作成する⽅法
１）原則①

個⼈関連情報取扱事業者は、記録を作成する場合、原則として、個⼈関連情報の提供の都度、速やかに、記録を作成しなければならない。

②

個⼈関連情報を提供する前に記録を作成することもできる。

２）⼀括して記録を作成する⽅法①

⼀定の期間内に特定の事業者に対して継続的に⼜は反復して個⼈関連情報を提供する場合、若しくは提供することが確実である場合は、個々の提供に係る記録を作成する代わりに、⼀括して記録を作成することができる。

②「確実であると⾒込まれ場合」とは、基本契約の内容に継続的に⼜は反復して個⼈関連情報を提供することが含まれており、これに従い提供が⾏われる場合などが該当する。

③

この場合は、当該基本契約に係る契約書をもって記録とすることができる。

④「⼀括して記録を作成する⽅法」は、例外としての記録作成⽅法であることに鑑みて、その対象期間、対象範囲等を明確にすることが望ましい。

49
一般社団法人日本個人情報管理協会

個人情報保護指針
３）契約書等の代替⼿段による⽅法①

個⼈関連情報取扱事業者が、本⼈に対する物品⼜は役務の提供に係る契約を締結し、その契約に従い個⼈関連情報を当該個⼈関連情報取扱事業者から第三者に提供する場合は、当該契約書その他の書⾯をもって記録とすることができる。

②

本⼈に対する物品⼜は役務の提供に係る契約書でないその他書⾯についても、規則で定められた記録事項が記載されていれば記録として認められるが、保存期間の違いに留意する必要がある。

③

その他の書⾯としては、提供元⼜は提供先で作成された記録簿、帳票類及びシステム上の記録などが該当する。

④

複数の書⾯等を合わせて⼀つの記録とすることも認められる。

5.2.9.4.3. 代⾏により記録を作成する⽅法
１）提供先の第三者は提供元の個⼈関連情報取扱事業者の記録義務の全部⼜は⼀部を代替して⾏うことができる。
２）但し、提供元の個⼈関連情報取扱事業者は、記録義務が免責されるわけではないことから、実質的に⾃らが記録作成義務を果たしているものと同等の体制を構築しなければならない。
5.2.9.5. 提供元における記録事項
5.2.9.5.1. 提供元における記録事項
１）提供元の個⼈関連情報取扱事業者は、法第 31 条第 1 項の規定による確認を⾏ったときは、次の➀〜④について記録しなければならない。
①

本⼈の同意が得られていることを確認した旨及び外国にある第三者への提供にあっては、同意取得に際して必要となる情報の提供が⾏われていることを確認した旨（提供元の個⼈関連情報取扱事業者が同意取得を代⾏している場合においては、それぞれの事項を提供元の個⼈関連情報取扱事業者が⾃ら確認した旨）②

個⼈関連情報を提供した年⽉⽇（記録を⼀括して作成する場合は、当該提供の期間の初⽇及び末
⽇）③

提供先の第三者の⽒名⼜は名称及び住所並びに法⼈にあっては、その代表者の⽒名④

提供した個⼈関連情報の項⽬

5.2.9.5.2. 記録事項の省略
１）複数回にわたって同⼀「本⼈」の個⼈関連情報の提供をする場合は、既に記録義務に従い作成し、保存されている記録と内容が同⼀であるものについては、当該事項の記録を省略することができる。
２）令和 2 年改正法の施⾏⽇の前に上記に規定する⽅法に相当する⽅法で作成した記録についても同様とする。
３）記録事項のうち、⼀部の事項の記録の作成を省略し、残りの事項の記録のみを作成した場合、記録全体としての保存期間の起算点は、残りの事項を作成した時点とする。

50
一般社団法人日本個人情報管理協会

個人情報保護指針
5.2.9.5.3. 保存期間
１）個⼈関連情報取扱事業者は、作成した記録を規則で定める期間保存しなければならない。
２）保存期間は記録の作成⽅法によって異なり、次の表のとおりとする。
記録の作成⽅法

保存期間「契約書等の代替⼿段による⽅法」により記録を最後に当該記録に係る個⼈関連情報の提供を⾏っ作成した場合た⽇から起算して 1 年を経過する⽇までの間「⼀括して記録を作成する⽅法」により記録を作最後に当該記録に係る個⼈関連情報の提供を⾏っ成した場合た⽇から起算して 3 年を経過する⽇までの間

上述以外の場合3年

5.2.9.6. 提供先の第三者における確認義務
5.2.9.6.1. 確認⽅法
１）個⼈情報取扱事業者である提供先の第三者は、個⼈関連情報の提供を受けて個⼈データとして取得する場合は、次の事項について確認しなければならない。
①

提供元の第三者の⽒名⼜は名称及び住所並びに法⼈にあっては、その代表者の⽒名

２）「当該第三者による当該個⼈データの取得の経緯」については、提供元の個⼈関連情報取扱事業者において個⼈データとして取得していないことから、提供先における確認の対象とならない。
5.2.9.6.2. 既に確認を⾏った第三者に対する確認⽅法
１）複数回にわたって同⼀「本⼈」の個⼈関連情報の提供を受けて個⼈データとして取得する場合は、規則に従い確認及び記録の作成を⾏い、その時点において保存している記録と内容が同⼀であるものについては、当該事項の確認を省略することができる。
２）提供先の第三者が、同じ提供元から、既に確認・記録義務を⾏った本⼈についての個⼈関連情報であることを認識しながら提供を受け、個⼈データとして取得する場合は、「同⼀であることの確認」が⾏われていることとなる。
5.2.9.6.3. 提供先の第三者による適正取得
１）個⼈情報取扱事業者である提供先の第三者は、偽りその他不正の⼿段により、個⼈関連情報を個⼈データとして取得してはならない。
5.2.9.6.4. 提供先の第三者における記録義務
個⼈情報取扱事業者である提供先の第三者は、個⼈関連情報の提供を受けて個⼈データとして取得する場合は、必要事項の記録を作成しなければならない。
5.2.9.6.5. 記録を作成する媒体
１）個⼈情報取扱事業者である提供先の第三者は、記録を、⽂書、電磁的記録⼜はマイクロフィルムを⽤いて作成しなければならない。

51
一般社団法人日本個人情報管理協会

個人情報保護指針
5.2.9.6.6. 記録を作成する⽅法（原則）１）個⼈情報取扱事業者である提供先の第三者は、記録を作成する場合、原則として、個⼈関連情報の提供を受けて個⼈データとして取得する都度、速やかに、記録を作成しなければならない。
２）個⼈関連情報の提供を受けて個⼈データとして取得する前に記録を作成することもできる。
１）⼀括して記録を作成する⽅法①

個⼈情報取扱事業者である提供先の第三者は、⼀定の期間内に特定の事業者から継続的に⼜は反復して個⼈関連情報の提供を受けて個⼈データとして取得する場合は、個々の提供に係る記録を作成する代わりに、⼀括して記録を作成することができる。

２）契約書等の代替⼿段による⽅法①

個⼈情報取扱事業者である提供先の第三者は、本⼈に対する物品⼜は役務の提供に係る契約を締結し、その契約に従い個⼈関連情報の提供を受ける場合は、当該契約書その他の書⾯をもって記録とすることができる。

②

本⼈に対する物品⼜は役務の提供に係る契約書でないその他書⾯についても、規則で定められた記録事項が記載されていれば記録として認められるが、保存期間の違いに留意する必要がある。

③

その他の書⾯としては、提供元⼜は提供先で作成された記録簿、帳票類及びシステム上の記録などが該当する。

④

複数の書⾯等を合わせて⼀つの記録とすることも認められる。

5.2.9.7. 提供先の第三者における記録事項
5.2.9.7.1. 提供先の第三者における記録事項
１）個⼈情報取扱事業者である提供先の第三者は、個⼈関連情報の提供を受けて個⼈データとして取得した場合は、次の➀〜項⽬を記録しなければならない。
①

本⼈の同意が得られていること旨及び外国にある第三者への提供にあっては、同意取得に際して必要となる情報の提供が⾏われている旨（同意の取得や情報提供について、これを⾏ったことを⽰す証跡等がある場合には、当該証跡等をもって記録とすることもできる。）②

提供元の個⼈関連情報取扱事業者の⽒名⼜は名称及び住所並びに法⼈にあっては、その代表者の⽒名③

当該個⼈データによって識別される本⼈の⽒名その他の当該本⼈を特定するに⾜りる事項（具体的に本⼈を特定できること）④

提供を受けた個⼈関連情報の項⽬

5.2.9.7.2. 記録事項の省略
１）複数回にわたって同⼀本⼈の個⼈関連情報の提供を受けて個⼈データとして取得する場合は、において、既に提供先の第三者における記録義務に従いを作成し、保存している記録内容と同⼀であるものについては、当該事項の記録を省略することができる。
２）令和２年改正法の施⾏⽇の前に上記に規定する⽅法に相当する⽅法で作成した記録についても同様とする。
52
一般社団法人日本個人情報管理協会

個人情報保護指針
３）記録事項のうち、⼀部の事項の記録の作成を省略し、残りの事項の記録のみを作成した場合、記録全体としての保存期間の起算点は、残りの事項を作成した時点とする。
5.2.9.7.3. 保存期間
１）個⼈情報取扱事業者である提供先の第三者は、作成した記録を規則で定める期間保存しなければならない。
２）存期間は記録の作成⽅法によって異なり、次の表のとおりとする。
記録の作成⽅法

保存期間「契約書等の代替⼿段による⽅法」により記録を最後に当該記録に係る提供を受けて個⼈データと作成した場合して取得した⽇から起算して 1 年を経過する⽇までの間「⼀括して記録を作成する⽅法」により記録を作最後に当該記録に係る提供を受けて個⼈データと成した場合して取得した⽇から起算して 3 年を経過する⽇までの間

上述以外の場合

3年53
一般社団法人日本個人情報管理協会

個人情報保護指針
5.3.

保有個⼈データの取扱義務等

5.3.1. 保有個⼈データに関する事項の公表等
5.3.1.1. 保有個⼈データに関する事項の公表
第 32 条（第 1 項）
個⼈情報取扱事業者は、保有個⼈データに関し、次に掲げる事項について、本⼈の知り得る状態（本⼈の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
（1） 当該個⼈情報取扱事業者の⽒名⼜は名称及び住所並びに法⼈にあっては、その代表者の⽒名（2） 全ての保有個⼈データの利⽤⽬的（第 21 条第 4 項第 1 号から第 3 号までに該当する場合を除く。）（3） 次項の規定による求め⼜は次条第 1 項（同条第 5 項において準⽤する場合を含む。）、第 34条第 1 項若しくは第 35 条第 1 項、第 3 項若しくは第 5 項の規定による請求に応じる⼿続（第38 条第 2 項の規定により⼿数料の額を定めたときは、その⼿数料の額を含む。）（4）

前三号に掲げるもののほか、保有個⼈データの適正な取扱いの確保に関し必要な事項として政令で定めるもの
１）対象事業者は、保有個⼈データについて、次の①〜④までの情報を本⼈の知り得る状態（本⼈の求めに応じて遅滞なく回答する場合を含む。以下同じ。）に置かなければならない。


本⼈の知り得る状態に置くとは、ホームページ等に掲載する他、問い合わせ窓⼝を設け公表し、当該窓⼝において遅滞なく回答する⽅法も可能。



事業の性質及び個⼈情報の取扱状況に応じ、内容が本⼈に認識される合理的かつ適切な⽅法によらなければならない。

①

対象事業者の⽒名⼜は名称及び住所並びに法⼈にあっては、その代表者の⽒名②

全ての保有個⼈データの利⽤⽬的③



利⽤⽬的に第三者提供が含まれる場合は、その旨も明らかにしなければならない。



利⽤⽬的の通知等をしなくてよい場合に該当する利⽤⽬的は除外される。

保有個⼈データの利⽤⽬的の通知の求め⼜は開⽰等の請求に応じる⼿続及び保有個⼈データの利⽤⽬的の通知の求め⼜は開⽰の請求に係る⼿数料の額（定めた場合に限る。）④

保有個⼈データの適正な取扱いの確保に関し必要な事項として政令で定めるもの(ア)

保有個⼈データの安全管理のために講じた措置


本⼈の知り得る状態に置くことにより当該保有個⼈データの安全管理に⽀障を及ぼす
おそれがあるものを除く。



安全管理措置を実施しているといった内容の掲載や回答のみでは適切ではない。



規律の整備、組織的・⼈的・物理的・技術的安全管理措置、外的要因の把握の各安全管理措置の義務項⽬について、具体的実施状況が把握できるようにする。

(イ)

⼀部をホームページに掲載し、残りを遅滞なく回答することも可能。

保有個⼈データの取扱いに関する苦情の申出先

苦情を受け付ける担当窓⼝名・係名、郵送⽤住所、受付電話番号その他の苦情申出先

個⼈情報取扱事業者が認定個⼈情報保護団体の対象事業者である場合は、その団体の名称及び苦情解決の申出先を含む。
54
一般社団法人日本個人情報管理協会

個人情報保護指針
5.3.1.2. 保有個⼈データの利⽤⽬的の通知
第 32 条（第 2 項）
個⼈情報取扱事業者は、本⼈から、当該本⼈が識別される保有個⼈データの利⽤⽬的の通知を求められたときは、本⼈に対し、遅滞なく、これを通知しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りでない。
（1） 前項の規定により当該本⼈が識別される保有個⼈データの利⽤⽬的が明らかな場合当（2） 第 21 条第 4 項第 1 号から第 3 号までに該当する場合
第 32 条（第 3 項）
個⼈情報取扱事業者は、前項の規定に基づき求められた保有個⼈データの利⽤⽬的を通知しない旨の決定をしたときは、本⼈に対し、遅滞なく、その旨を通知しなければならない。
１）対象事業者は、次の①〜④までの場合を除いて、本⼈から、当該本⼈が識別される保有個⼈データの利⽤⽬的の通知を求められたときは、遅滞なく、本⼈に通知しなければならない。
① 保有個⼈データに関する事項の公表により、本⼈が識別される保有個⼈データの利⽤⽬的が明らかである場合。
② 利⽤⽬的を本⼈に通知し、⼜は公表することにより本⼈⼜は第三者の⽣命、⾝体、財産その他の権
利利益を害するおそれがある場合。
③ 利⽤⽬的を本⼈に通知し、⼜は公表することにより当該対象事業者の権利⼜は利益が侵害される
おそれがある場合。
④ 国の機関等が法令の定める事務を実施する上で、⺠間企業等の協⼒を得る必要がある場合であり、協⼒する⺠間企業等が国の機関等から受け取った保有個⼈データの利⽤⽬的を本⼈に通知し、⼜は公表することにより、本⼈の同意を得ることが当該事務の遂⾏に⽀障を及ぼすおそれがある場
合。
２）通知しない旨を決定したときは、遅滞なく、その旨を本⼈に通知しなければならない。

55
一般社団法人日本個人情報管理協会

個人情報保護指針

5.3.2. 保有個⼈データの開⽰
第 33 条（第 1 項）
本⼈は、個⼈情報取扱事業者に対し、当該本⼈が識別される保有個⼈データの電磁的記録の提供による⽅法その他の個⼈情報保護委員会規則で定める⽅法による開⽰を請求することができる。
第 33 条（第 2 項）
個⼈情報取扱事業者は、個⼈情報取扱事業者は、前項の規定による請求を受けたときは、本⼈に対し、同項の規定により当該本⼈が請求した⽅法（当該⽅法による開⽰に多額の費⽤を要する場合その他の当該⽅法による開⽰が困難である場合にあっては、書⾯の交付による⽅法）により、遅滞なく、
当該保有個⼈データを開⽰しなければならない。ただし、開⽰することにより次の各号のいずれかに該当する場合は、その全部⼜は⼀部を開⽰しないことができる。
（1） 本⼈⼜は第三者の⽣命、⾝体、財産その他の権利利益を害するおそれがある場合（2） 当該個⼈情報取扱事業者の業務の適正な実施に著しい⽀障を及ぼすおそれがある場合（3） 他の法令に違反することとなる場合
第 33 条（第 3 項）
個⼈情報取扱事業者は、第 1 項の規定による請求に係る保有個⼈データの全部若しくは⼀部について開⽰しない旨の決定をしたとき、当該保有個⼈データが存在しないとき、⼜は同項の規定により本⼈が請求した⽅法による開⽰が困難であるときは、本⼈に対し、遅滞なく、その旨を通知しなければならない。
第 33 条（第 4 項）
他の法令の規定により、本⼈に対し第 2 項本⽂に規定する⽅法に相当する⽅法により当該本⼈が識別される保有個⼈データの全部⼜は⼀部を開⽰することとされている場合には、当該全部⼜は⼀部の保有個⼈データについては、第 1 項及び第 2 項の規定は、適⽤しない。
１）対象事業者は、本⼈から、当該本⼈が識別される保有個⼈データの開⽰（存在しないときにはその旨を知らせることを含む。
）の請求を受けたときは、本⼈に対し、次の➀〜➂の⽅法のうち本⼈が請求した⽅法より、遅滞なく、当該保有個⼈データを開⽰しなければならない①

電磁的記録の提供による⽅法②

書⾯の交付による⽅法③

その他当該個⼈情報取扱事業者の定める⽅法

２）当該⽅法による開⽰に多額の費⽤を要する場合その他の当該⽅法による開⽰が困難である場合は、その旨を本⼈に通知した上で、書⾯の交付による⽅法により、遅滞なく、当該保有個⼈データを開⽰しなければならない
３）電磁的記録の提供による⽅法については、対象事業者がファイル形式や記録媒体などの具体的な⽅法を定めることができる。
４）開⽰請求等で得た保有個⼈データの利⽤等における本⼈の利便性向上の観点から、可読性・検索性のある形式による提供や、技術的に可能な場合には、他の事業者へ移⾏可能な形式による提供を含め、できる限り本⼈の要望に沿った形で対応することが望ましい。
５）開⽰することにより次の➀〜➂までのいずれかに該当する場合は、その全部⼜は⼀部を開⽰しない
56
一般社団法人日本個人情報管理協会

個人情報保護指針
ことができる。
①

本⼈⼜は第三者の⽣命、⾝体、財産その他の権利利益を害するおそれがある場合②

対象事業者の業務の適正な実施に著しい⽀障を及ぼすおそれがある場合③

他の法令に違反することとなる場合

６）上記➀〜➂により開⽰しない旨の決定をしたとき⼜は請求に係る保有個⼈データが存在しないときは、遅滞なく、その旨を本⼈に通知しなければならない。
７）他の法令の規定により、当該本⼈が識別される保有個⼈データを開⽰することとされている場合には、当該他の法令の規定が適⽤される。
5.3.3. 第三者提供記録の開⽰
5.3.3.1. 第三者提供記録の定義
第 33 条（第 5 項）
第 1 項から第 3 項までの規定は、当該本⼈が識別される個⼈データに係る第 29 条第 1 項及び第 30条第 3 項の記録（その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるものを除く。第 37 条第 2 項において「第三者提供記録」という。）について準⽤する。
１）第三者提供記録とは、個⼈データの第三者提供時の確認・記録義務（法第 29 条第 1 項及び第 30 条
第 3 項）による記録のうち、次の➀〜④に該当するものを除いたものをいう。
①

当該記録の存否が明らかになることにより、本⼈⼜は第三者の⽣命、⾝体⼜は財産に危害が及ぶおそれがあるもの②

当該記録の存否が明らかになることにより、違法⼜は不当な⾏為を助⻑し、⼜は誘発するおそれがあるもの③

当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ⼜は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの④

当該記録の存否が明らかになることにより、犯罪の予防、鎮圧⼜は捜査その他の公共の安全と秩序の維持に⽀障が及ぶおそれがあるもの

２）法律に明記された場合及び個⼈データの第三者提供の状況により、第三者提供時の確認・記録が適⽤されない場合において作成された記録は、第三者提供記録に含まれない。
5.3.3.2. 第三者提供記録の開⽰の⽅法
１）対象事業者は、本⼈から、当該本⼈が識別される個⼈データに係る第三者提供記録の開⽰（存在しな
いときにはその旨を知らせることを含む。）の請求を受けたときは、本⼈に対し、次の➀〜➂の⽅法のうち本⼈が請求した⽅法より遅滞なく、当該第三者提供記録を開⽰しなければならない。
①

電磁的記録の提供による⽅法②

書⾯の交付による⽅法③

その他当該個⼈情報取扱事業者の定める⽅法

２）当該⽅法による開⽰に多額の費⽤を要する場合その他の当該⽅法による開⽰が困難である場合にあっては、その旨を本⼈に通知し、書⾯の交付による⽅法により、遅滞なく、当該第三者提供記録を開57
一般社団法人日本個人情報管理協会

個人情報保護指針
⽰しなければならない。
３）対象事業者が第三者提供記録を本⼈に開⽰するに当たっては、法において記録事項とされている事項を本⼈が求める⽅法により開⽰すればよく、それ以外の事項を開⽰する必要はない。
４）契約書の代替⼿段による⽅法で記録を作成した場合には、当該契約書中、記録事項となっている事項を抽出した上で、本⼈が求める⽅法により開⽰すればよく、契約書そのものを開⽰する必要はない。
5.3.3.3. 第三者提供記録の不開⽰事由等
１）対象事業者は、第三者提供記録を開⽰することにより次の➀〜➂までのいずれかに該当する場合は、その全部⼜は⼀部を開⽰しないことができる。
①

本⼈⼜は第三者の⽣命、⾝体、財産その他の権利利益を害するおそれがある場合②

対象事業者の業務の適正な実施に著しい⽀障を及ぼすおそれがある場合③

他の法令に違反することとなる場合

２）上記➀〜➂により開⽰しない旨の決定をしたとき⼜は請求に係る第三者提供記録が存在しないときは、遅滞なく、その旨を本⼈に通知しなければならない。
5.3.4. 保有個⼈データの訂正等
第 34 条（第 1 項）
本⼈は、個⼈情報取扱事業者に対し、当該本⼈が識別される保有個⼈データの内容が事実でないときは、当該保有個⼈データの内容の訂正、追加⼜は削除（以下この条において「訂正等」という。）
を請求することができる。
第 34 条（第 2 項）
個⼈情報取扱事業者は、前項の規定による請求を受けた場合には、その内容の訂正等に関して他の法令の規定により特別の⼿続が定められている場合を除き、利⽤⽬的の達成に必要な範囲内において、遅滞なく必要な調査を⾏い、その結果に基づき、当該保有個⼈データの内容の訂正等を⾏わなければならない。
第 34 条（第 3 項）
個⼈情報取扱事業者は、第 1 項の規定による請求に係る保有個⼈データの内容の全部若しくは⼀部について訂正等を⾏ったとき、⼜は訂正等を⾏わない旨の決定をしたときは、本⼈に対し、遅滞なく、その旨（訂正等を⾏ったときは、その内容を含む。）を通知しなければならない。
１）対象事業者は、本⼈から、当該本⼈が識別される保有個⼈データに誤りがあり、事実でないという理由によって、内容の訂正、追加⼜は削除（以下「訂正等」という。）の請求を受けた場合は、利⽤⽬的の達成に必要な範囲で遅滞なく必要な調査を⾏い、その結果に基づき、原則として訂正等を⾏わなければならない。
２）対象事業者は、保有個⼈データの内容の全部若しくは⼀部について訂正等を⾏ったとき、⼜は訂正等を⾏わない旨の決定をしたときは、遅滞なく、その旨（訂正等を⾏ったときは、その内容を含む。）
を本⼈に通知しなければならない。
３）保有個⼈データの内容の訂正等に関して他の法令の規定により特別の⼿続が定められている場合には、当該他の法令の規定が適⽤される。
58
一般社団法人日本個人情報管理協会

個人情報保護指針

5.3.5. 保有個⼈データの利⽤停⽌等
第 35 条（第 1 項）
本⼈は、個⼈情報取扱事業者に対し、当該本⼈が識別される保有個⼈データが第 18 条若しくは第19 条の規定に違反して取り扱われているとき、⼜は第 20 条の規定に違反して取得されたものである
ときは、当該保有個⼈データの利⽤の停⽌⼜は消去（以下この条において「利⽤停⽌等」という。）
を請求することができる。
第 35 条（第 2 項）
個⼈情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個⼈データの利⽤停⽌
等を⾏わなければならない。ただし、当該保有個⼈データの利⽤停⽌等に多額の費⽤を要する場合その他の利⽤停⽌等を⾏うことが困難な場合であって、本⼈の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
第 35 条（第 3 項）
個⼈情報取扱事業者は、本⼈は、個⼈情報取扱事業者に対し、当該本⼈が識別される保有個⼈デー
タが第 27 条第 1 項⼜は第 28 条の規定に違反して第三者に提供されているときは、当該保有個⼈データの第三者への提供の停⽌を請求することができる。
第 35 条（第 4 項）
個⼈情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該保有個⼈データの第三者への提供を停⽌しなければならない。ただし、当該保有個⼈データの第三者への提供の停⽌に多額の費⽤を要する場合その他の第三者への提供を停⽌することが困難な場合であって、本⼈の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
第 35 条（第 5 項）
本⼈は、個⼈情報取扱事業者に対し、当該本⼈が識別される保有個⼈データを当該個⼈情報取扱事
業者が利⽤する必要がなくなった場合、当該本⼈が識別される保有個⼈データに係る第 26 条第 1 項
本⽂に規定する事態が⽣じた場合その他当該本⼈が識別される保有個⼈データの取扱いにより当該本
⼈の権利⼜は正当な利益が害されるおそれがある場合には、当該保有個⼈データの利⽤停⽌等⼜は第三者への提供の停⽌を請求することができる。
第 35 条（第 6 項）
個⼈情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、本⼈の権利利益の侵害を防⽌するために必要な限度で、遅滞なく、当該保有個⼈
データの利⽤停⽌等⼜は第三者への提供の停⽌を⾏わなければならない。ただし、当該保有個⼈デー
タの利⽤停⽌等⼜は第三者への提供の停⽌に多額の費⽤を要する場合その他の利⽤停⽌等⼜は第三者への提供の停⽌を⾏うことが困難な場合であって、本⼈の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

59
一般社団法人日本個人情報管理協会

個人情報保護指針
第 35 条（第 7 項）
個⼈情報取扱事業者は、第 1 項若しくは第 5 項の規定による請求に係る保有個⼈データの全部若し
くは⼀部について利⽤停⽌等を⾏ったとき若しくは利⽤停⽌等を⾏わない旨の決定をしたとき、⼜は第 3 項若しくは第 5 項の規定による請求に係る保有個⼈データの全部若しくは⼀部について第三者への提供を停⽌したとき若しくは第三者への提供を停⽌しない旨の決定をしたときは、本⼈に対し、遅滞なく、その旨を通知しなければならない。

5.3.5.1. 利⽤停⽌等の要件
１）対象事業者は、次の➀〜➂までのいずれかに該当する場合については、保有個⼈データの利⽤の停⽌若しくは消去（以下「利⽤停⽌等」という。）⼜は第三者提供の停⽌を⾏わなければならない。
①

法違反の場合の利⽤停⽌等対象事業者は、本⼈から、当該本⼈が識別される保有個⼈データが、次の（ア）〜（ウ）の理由により、利⽤停⽌等の請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、利⽤停⽌等を⾏わなければならない。
（「消去」とは、保有個⼈データを保有個⼈データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個⼈を識別できないようにすること等を含む。）(ア)

第 18 条の規定に違反して本⼈の事前同意なく⽬的外利⽤されている場合(イ)

第 19 条の規定に違反して不適正な利⽤が⾏われている場合(ウ)

第 20 条の規定に違反して偽りその他不正の⼿段により個⼈情報が取得され若しくは本⼈の同意なく要配慮個⼈情報が取得された場合②

法違反の場合の第三者提供の停⽌
対象事業者は、本⼈から、当該本⼈が識別される保有個⼈データが、次の（ア）、（イ）の理由によって、当該保有個⼈データの第三者提供の停⽌の請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、第三者提供の停⽌を⾏わなければならない。
(ア)

第 27 条第 1 項、第三者提供の制限に違反して、本⼈の事前同意を得ないで第三者に提供されている場合(イ)

第 28 条、外国にある第三者への提供の制限に違反して、本⼈の事前同意を得ないで外国にある第三者に提供されている場合③

当該本⼈の権利⼜は正当な利益が害されるおそれがある場合
対象事業者は、本⼈から、次の（ア）〜（ウ）の理由によって、当該本⼈が識別される保有個⼈データの取扱いにより当該本⼈の権利⼜は正当な利益が害されるおそれがあるとして当該保有個⼈
データの利⽤停⽌等⼜は第三者提供の停⽌の請求を受けた場合は、その請求に理由があることが判明したときは、遅滞なく、利⽤停⽌等⼜は第三者への提供の停⽌を⾏わなければならない。
(ア)

利⽤する必要がなくなった場合「対象事業者が利⽤する必要がなくなった」とは、当該保有個⼈データについて利⽤する必要がなくなったときで、利⽤⽬的が達成され当該⽬的との関係では当該保有個⼈データを保有する合理的な理由が存在しなくなった場合や利⽤⽬的が達成されなかったものの当該⽬的の前提となる事業⾃体が中⽌となった場合等をいう。
60
一般社団法人日本個人情報管理協会

個人情報保護指針(イ)

当該本⼈が識別される保有個⼈データに係る報告対象事態（第 26 条第 1 項）が⽣じた場合(ウ)

当該本⼈の権利⼜は正当な利益が害されるおそれがある場合
本⼈の権利⼜は正当な利益が害されるおそれがある場合」とは、法⽬的に照らして保護に値する正当な利益（※5）が存在し、それが侵害されるおそれがある場合をいう。
「正当」であるか否かは、相⼿⽅である対象事業者との関係で決まるものであり、対象事業者に本⼈の権利利益の保護の必要性を上回る特別な事情がない限りは、対象事業者は請求に応じる必要がある。
本⼈の権利利益の保護の必要性を上回る特別な事情があるかどうかを判断するに当たっては、以下のような事情を考慮する。


本⼈⼜は第三者の⽣命、⾝体、財産その他の権利利益を保護するために当該保有個⼈データを取り扱う事情



法令を遵守するために当該保有個⼈データを取り扱う事情

契約に係る義務を履⾏するために当該保有個⼈データを取り扱う事情

違法⼜は不当な⾏為を防⽌するために当該保有個⼈データを取り扱う事情

法的主張、権利⾏使⼜は防御のために当該保有個⼈データを取り扱う事

２）「本⼈の権利⼜は正当な利益が害されるおそれがある場合」とは、法⽬的に照らして保護に値する正当な利益が存在し、それが侵害されるおそれがある場合をいう。
5.3.5.2. 本⼈の権利利益の侵害を防⽌するために必要な限度
１）利⽤停⽌等の要件、「当該本⼈の権利⼜は正当な利益が害されるおそれがある場合」に該当する場合、対象事業者は、本⼈の権利利益の侵害を防⽌するために必要な限度で、利⽤停⽌等⼜は第三者提供の停⽌を⾏わなければならない。
5.3.5.3. 本⼈の権利利益を保護するため必要なこれに代わるべき措置
１）利⽤停⽌等の要件、5.3.5.1、１）の➀から③までのいずれかに該当していても、利⽤停⽌等⼜は第三者提供の停⽌に多額の費⽤を要する場合その他の利⽤停⽌等⼜は第三者への提供の停⽌を⾏うことが困難である場合は、本⼈の権利利益を保護するために必要な代替措置を講ずることが認められる。
２）「困難な場合」については、利⽤停⽌等⼜は第三者提供の停⽌に多額の費⽤を要する場合のほか、個⼈情報取扱事業者が正当な事業活動において保有個⼈データを必要とする場合についても該当し得る。
３）代替措置については、事案に応じて本⼈の権利利益の侵害のおそれに適切に対応できるものであり、本⼈の権利利益の保護に資する必要がある。
5.3.5.4. 請求に対する通知義務１）対象事業者は、利⽤停⽌等を⾏ったとき若しくは利⽤停⽌等を⾏わない旨の決定をしたときは、遅滞なく、その旨を本⼈に通知しなければならない。
２）第対象事業者は、三者提供の停⽌を⾏ったとき若しくは第三者提供を停⽌しない旨の決定をしたと
きは、遅滞なく、その旨を本⼈に通知しなければならない。
３）消費者等、本⼈の権利利益保護の観点からは、事業活動の特性、規模及び実態を考慮して、保有個⼈
61
一般社団法人日本個人情報管理協会

個人情報保護指針
データについて本⼈から求めがあった場合には、対象事業者は、⾃主的に利⽤停⽌等⼜は第三者提供の停⽌に応じる等、本⼈からの求めにより⼀層対応していくことが望ましい。
5.3.6. 理由の説明
第 36 条個⼈情報取扱事業者は、個⼈情報取扱事業者は、第 32 条第 3 項、第 33 条第 3 項（同条第 5 項において準⽤する場合を含む。）、第 34 条第 3 項⼜は前条第 7 項の規定により、本⼈から求められ、⼜は請求された措置の全部⼜は⼀部について、その措置をとらない旨を通知する場合⼜はその措置と異なる措置をとる旨を通知する場合には、本⼈に対し、その理由を説明するよう努めなければならない。
１）対象事業者は、保有個⼈データの利⽤⽬的の通知の求め、保有個⼈データの開⽰、訂正等、利⽤停⽌
等若しくは第三者提供の停⽌に関する請求、⼜は第三者提供記録の開⽰に関する請求（以下「開⽰等の請求等」という。）に係る措置の全部⼜は⼀部について、その措置をとらない旨⼜はその措置と異なる措置をとる旨を本⼈に通知する場合は、併せて、本⼈に対して、その理由を説明するように努めなければならない。
5.3.7. 開⽰等の請求等に応じる⼿続
第 37 条（第 1 項）
個⼈情報取扱事業者は、個⼈情報取扱事業者は、第 32 条第 2 項の規定による求め⼜は第 33 条第 1項（同条第 5 項において準⽤する場合を含む。次条第 1 項及び第 39 条において同じ。）、第 34 条第 1項若しくは第 35 条第 1 項、第 3 項若しくは第 5 項の規定による請求（以下この条及び第 54 条第 1項において「開⽰等の請求等」という。）に関し、政令で定めるところにより、その求め⼜は請求を受け付ける⽅法を定めることができる。この場合において、本⼈は、当該⽅法に従って、開⽰等の請求等を⾏わなければならない。
第 37 条（第 2 項）
個⼈情報取扱事業者は、本⼈に対し、開⽰等の請求等に関し、その対象となる保有個⼈データ⼜は第三者提供記録を特定するに⾜りる事項の提⽰を求めることができる。この場合において、個⼈情報取扱事業者は、本⼈が容易かつ的確に開⽰等の請求等をすることができるよう、当該保有個⼈データ
⼜は当該第三者提供記録の特定に資する情報の提供その他本⼈の利便を考慮した適切な措置をとらなければならない。
第 37 条（第 3 項）
開⽰等の請求等は、政令で定めるところにより、代理⼈によってすることができる。
第 37 条（第 4 項）
個⼈情報取扱事業者は、前三項の規定に基づき開⽰等の請求等に応じる⼿続を定めるに当たっては、本⼈に過重な負担を課するものとならないよう配慮しなければならない。
１）個⼈情報取扱事業者は、開⽰等の請求等において、これを受け付ける⽅法として次の➀から④までの事項を定めることができる。
62
一般社団法人日本個人情報管理協会

個人情報保護指針①

開⽰等の請求等の申出先。

②

開⽰等の請求等に際して提出すべき書⾯（電磁的記録を含む。）の様式、その他の開⽰等の請求等の受付⽅法。

③

開⽰等の請求等をする者が本⼈⼜はその代理⼈（①未成年者⼜は成年被後⾒⼈の法定代理⼈、②開⽰等の請求等をすることにつき本⼈が委任した代理⼈）であることの確認の⽅法。

④

保有個⼈データの利⽤⽬的の通知⼜は保有個⼈データの開⽰をする際に徴収する⼿数料の徴収⽅
法２）対象事業者は、開⽰等の請求等を受け付ける⽅法を定めるに当たっては、当該⼿続が、事業の性質、保有個⼈データの取扱状況、開⽰等の請求等の受付⽅法等に応じて適切なものでなければならない。
３）対象事業者は、必要以上に煩雑な書類を書かせたり、請求等を受け付ける窓⼝を他の業務を⾏う拠点とは別にいたずらに不便な場所に限定したりする等、本⼈に過重な負担を課するものとならないよ
う配慮しなければならない。
４）対象事業者は、本⼈確認のために事業者が保有している個⼈データに⽐して必要以上に多くの情報を求めないようにするなど、本⼈に過重な負担を課するものとならないよう配慮しなくてはならない。
５）開⽰等の請求等は、代理⼈により⾏うことが可能だが、本⼈及び代理⼈についての適切な確認書類等のほか、代理⼈について、代理権を与える旨の委任状（親権者が未成年者の法定代理⼈であることを⽰す場合は、本⼈及び代理⼈が共に記載され、その続柄が⽰された⼾籍謄抄本、住⺠票の写し。また、
成年後⾒⼈が成年被後⾒⼈の法定代理⼈であることを⽰す場合は、登記事項証明書）が考えられる。
６）対象事業者は、開⽰等の請求等を受け付ける⼿続き定めた場合には、当該⼿続きを本⼈の知り得る状態（本⼈の求めに応じて遅滞なく回答する場合を含む。）に置いておかなければならない。
７）開⽰等の請求等を⾏おうとする本⼈がその⼿続を把握できるようにしておくことが重要であり、ホームページへの掲載による場合では、本⼈が簡単な操作によって該当箇所へ到達でき、円滑に請求等が⾏えることが望ましい。
８）「本⼈の求めに応じて遅滞なく回答する」ことによって対応する場合には、少なくとも本⼈が簡単な操作によって求めを⾏えることが望ましい。
９）対象事業者が、開⽰等の請求等を受け付ける⽅法を合理的な範囲で定めたときは、本⼈は、当該⽅法に従って開⽰等の請求等を⾏わなければならず、当該⽅法に従わなかった場合は、個⼈情報取扱事業者は当該開⽰等の請求等を拒否することができる。
１０）

法第 37 条第 2 項により、対象事業者は、本⼈に対し、開⽰等の請求等に関し、その対象となる

保有個⼈データ⼜は第三者提供記録を特定するに⾜りる事項の提⽰を求めることができるが、本⼈に対し、開⽰を請求する保有個⼈データ⼜は第三者提供記録の範囲を⼀部に限定する義務を課すものではなく、また、対象事業者に対し、本⼈が開⽰を請求する範囲を限定させる権利を認めるもので
もない。
１１）

対象事業者は、円滑に開⽰等の⼿続が⾏えるよう、本⼈に対し、開⽰等の請求等の対象となる当該本⼈が識別される保有個⼈データ⼜は第三者提供記録の特定に必要な事項（住所、ID、パスワー
ド、会員番号等）の提⽰を求めることができる。
１２）

対象事業者は、本⼈が容易かつ的確に開⽰等の請求等をすることができるよう、保有個⼈データ

⼜は第三者提供記録の特定に資する情報を提供するなど、本⼈の利便性を考慮しなければならない。
63
一般社団法人日本個人情報管理協会

個人情報保護指針

5.3.8. ⼿数料
第 38 条（第 1 項）
個⼈情報取扱事業者は、第 32 条第 2 項の規定による利⽤⽬的の通知を求められたとき⼜は第 33
条第 1 項の規定による開⽰の請求を受けたときは、当該措置の実施に関し、⼿数料を徴収することができる。
第 38 条（第 2 項）
個⼈情報取扱事業者は、前項の規定により⼿数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その⼿数料の額を定めなければならない。
１）対象事業者は、保有個⼈データの利⽤⽬的の通知の求め、保有個⼈データの開⽰請求、⼜は第三者提供記録の開⽰請求を受けたときは、当該措置の実施に関し、⼿数料の額を定め、これを徴収することができる。
２）対象事業者は、当該⼿数料の額を定めた場合には、本⼈の知り得る状態（本⼈の求めに応じて遅滞なく回答する場合を含む。
）に置いておかなければならない。
３）対象事業者は、⼿数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その⼿数料の額を定めなければならない。
5.3.9. 裁判上の訴えの事前請求
第 39 条（第 1 項）
本⼈は、第 33 条第 1 項、第 34 条第 1 項⼜は第 35 条第 1 項、第 3 項若しくは第 5 項の規定による請求に係る訴えを提起しようとするときは、その訴えの被告となるべき者に対し、あらかじめ、当該請求を⾏い、かつ、その到達した⽇から 2 週間を経過した後でなければ、その訴えを提起することができない。ただし、当該訴えの被告となるべき者がその請求を拒んだときは、この限りでない。
第 39 条（第 2 項）
前項の請求は、その請求が通常到達すべきであった時に、到達したものとみなす。
第 39 条（第 3 項）
前⼆項の規定は、第 33 条第 1 項、第 34 条第 1 項⼜は第 35 条第 1 項、第 3 項若しくは第 5 項の規定による請求に係る仮処分命令の申⽴てについて準⽤する。
１）本⼈は、当該本⼈が識別される保有個⼈データの開⽰、訂正等、利⽤停⽌等若しくは第三者提供の停⽌⼜は⾃⼰が識別される個⼈データに係る第三者提供記録の開⽰の個⼈情報取扱事業者に対する請求について裁判上の訴えを提起しようとするときは、あらかじめ裁判外において当該請求を対象事業者に対して⾏い、かつ、当該請求が当該個⼈情報取扱事業者に到達した⽇から 2 週間を経過した後でなければ、当該訴えを提起することができない。
２）対象事業者が当該裁判外の請求を拒んだときは、2 週間を経過する前に、当該請求に係る裁判上の訴えを提起することができる。

64
一般社団法人日本個人情報管理協会

個人情報保護指針
5.4.

個⼈情報の取扱いに関する苦情処理

第 40 条（第 1 項）
個⼈情報取扱事業者は、個⼈情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
第 40 条（第 2 項）
個⼈情報取扱事業者は、前項の⽬的を達成するために必要な体制の整備に努めなければならない。
１）対象事業者は、個⼈情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
２）対象事業者は、苦情の適切かつ迅速な処理を⾏うに当たり、苦情処理窓⼝の設置や苦情処理の⼿順を定める等必要な体制の整備に努めなければならない。
３）苦情の中には、過度な要求を⾏う等、迅速な処理が困難な場合があるため、奏した要求にまで応じなければならないものではない。
４）対象事業者は、保有個⼈データの取扱いに関する苦情の申出先（個⼈情報取扱事業者が認定個⼈情報保護団体の対象事業者である場合は、その団体の名称及び苦情解決の申出先を含む。）について、本⼈の知り得る状態（本⼈の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
５）消費者等本⼈との信頼関係を構築し事業活動に対する社会の信頼を確保するために、「個⼈情報保護を推進する上での考え⽅や⽅針（いわゆる、プライバシーポリシー、プライバシーステートメント等）」を策定し、それをホームページへの掲載⼜は店舗の⾒やすい場所への掲⽰等により公表し、また、委託の有無、委託する事務の内容を明らかにする等、委託処理の透明化を進めることなど、あらかじめ対外的に分かりやすく説明することが重要となる。

65
一般社団法人日本個人情報管理協会