個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）（平成 28 年個人情報保護委員会告示第７号）の一部改正の新旧対照表○平成 28 年個人情報保護委員会告示第７号（個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編））
・改正前欄に掲げる規定の傍線を付し又は破線で囲んだ部分をこれに順次対応する改正後欄に掲げる規定の傍線を付し又は破線で囲んだ部分のように改める。
・改正前欄及び改正後欄に対応して掲げるその標記部分に二重傍線を付した規定（以下「対象規定」という。）は、改正前欄に掲げる対象規定を改正後欄に掲げる対象規定として移動する。
・改正前欄に掲げる対象規定で改正後欄にこれに対応するものを掲げていないものは、これを削る。

1

・改正後欄に掲げる対象規定で改正前欄にこれに対応するものを掲げていないものは、これを加える。
改正後

改正前

個人情報の保護に関する法律についてのガイドライン

個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）（外国にある第三者への提供編）

目次

目次[1～3 略][1～3 同左]

44

個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずる

個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準ために必要な体制の基準

4-1

4-1 [同左][略]

4-2 法第 4 章第 1 節の規定の趣旨に沿った措置（規則第 11 条の 2 第 1

4-2 法第 4 章第 1 節の規定の趣旨に沿った措置（規則第 11 条の 2 第 1

号関係）

号関係）

[4-2-1・4-2-2 略][4-2-1・4-2-2 同左]

4-2-3 不適正な利用の禁止（法第 16 条の 2 の趣旨に沿った措置）[新設]

4-2-4 適正な取得（法第 17 条の趣旨に沿った措置）

4-2-3 適正な取得（法第 17 条の趣旨に沿った措置）

4-2-5 取得に際しての利用目的の通知（法第 18 条の趣旨に沿った措

4-2-4 取得に際しての利用目的の通知（法第 18 条の趣旨に沿った措

置）

置）
4-2-5 データ内容の正確性の確保等（法第 19 条の趣旨に沿った措置）

4-2-7 安全管理措置（法第 20 条の趣旨に沿った措置）

4-2-6 安全管理措置（法第 20 条の趣旨に沿った措置）

4-2-8 従業者の監督（法第 21 条の趣旨に沿った措置）

4-2-7 従業者の監督（法第 21 条の趣旨に沿った措置）

4-2-9 委託先の監督（法第 22 条の趣旨に沿った措置）

4-2-8 委託先の監督（法第 22 条の趣旨に沿った措置）

4-2-10 漏えい等の報告等（法第 22 条の 2 の趣旨に沿った措置）[新設]

4-2-11 第三者提供の制限（法第 23 条の趣旨に沿った措置）

4-2-9 第三者提供の制限（法第 23 条の趣旨に沿った措置）

4-2-12 外国にある第三者への提供の制限（法第 24 条の趣旨に沿った

4-2-10 外国にある第三者への提供の制限（法第 24 条の趣旨に沿った

2

4-2-6 データ内容の正確性の確保等（法第 19 条の趣旨に沿った措置）

措置）
4-2-13 保有個人データに関する事項の公表等（法第 27 条の趣旨に沿
った措置）

措置）
4-2-11 保有個人データに関する事項の公表等（法第 27 条の趣旨に沿った措置）

4-2-14 開示（法第 28 条の趣旨に沿った措置）

4-2-12 開示（法第 28 条の趣旨に沿った措置）

4-2-15 訂正等（法第 29 条の趣旨に沿った措置）

4-2-13 訂正等（法第 29 条の趣旨に沿った措置）

4-2-16 利用停止等（法第 30 条の趣旨に沿った措置）

4-2-14 利用停止等（法第 30 条の趣旨に沿った措置）

4-2-17 理由の説明（法第 31 条の趣旨に沿った措置）

4-2-15 理由の説明（法第 31 条の趣旨に沿った措置）

4-2-18 開示等の請求等に応じる手続（法第 32 条の趣旨に沿った措

4-2-16 開示等の請求等に応じる手続（法第 32 条の趣旨に沿った措

置）
4-2-19 手数料（法第 33 条の趣旨に沿った措置）

置）
4-2-17 手数料（法第 33 条の趣旨に沿った措置）4-2-20 個人情報取扱事業者による苦情の処理（法第 35 条の趣旨に沿4-2-18 個人情報取扱事業者による苦情の処理（法第 35 条の趣旨に沿

った措置）
4-3
5

[略]

同意取得時の情報提供

った措置）
4-3 [同左][新設]

5-1 情報提供の方法（規則第 11 条の 3 第 1 項関係）

[新設]

5-2 提供すべき情報（規則第 11 条の 3 第 2 項関係）

[新設]

5-3 同意取得時に移転先が特定できない場合等の取扱い（規則第 11 条

[新設]の 3 第 3 項・第 4 項関係）
5-3-1 提供先の第三者が所在する外国が特定できない場合（規則第 11[新設]

条の 3 第 3 項関係）
5-3-2 提供先の第三者が講ずる個人情報の保護のための措置に関する[新設]
3

情報が提供できない場合（規則第 11 条の 3 第 4 項関係）
6

個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずる[新設]ために必要な体制を整備している者に個人データを提供した場合に講ずべき措置等
6-1 相当措置の継続的な実施を確保するために必要な措置（規則第 11[新設]

条の 4 第 1 項関係）
6-2 相当措置の継続的な実施を確保するために必要な措置に関する情報[新設]提供（規則第 11 条の 4 第 2 項・第 3 項関係）
6-2-1 情報提供の方法（規則第 11 条の 4 第 2 項関係）

[新設]

6-2-2 提供すべき情報（規則第 11 条の 4 第 3 項関係）

[新設]

6-2-3 情報提供しない旨の決定を行った際の通知等（規則第 11 条の 4

[新設]

第 4 項・第 5 項関係）

【付録】 [略]【付録】 [同左]

【凡例】

【凡例】

「法」

個人情報の保護に関する法律（平成 15 年法律第 57 号）「法」

個人情報の保護に関する法律（平成 15 年法律第 57 号）「政令」

個人情報の保護に関する法律施行令（平成 15 年政令第「政令」

個人情報の保護に関する法律施行令（平成 15 年政令第507 号）「規則」

507 号）

個人情報の保護に関する法律施行規則（平成 28 年個人「規則」

情報保護委員会規則第 3 号）
「通則ガイドライン」

情報保護委員会規則第 3 号）

個人情報の保護に関する法律についてのガイ「通則ガイドライン」

個人情報の保護に関する法律についてのガイドライン（通則編）（平成 28 年個人情報保ドライン（通則編）（平成 28 年個人情報保護委員会告示第 6 号）

護委員会告示第 6 号）

個人情報の保護に関する法律及び行政手続に「改正法」

個人情報の保護に関する法律及び行政手続における特定4「平成 27 年改正法」

個人情報の保護に関する法律施行規則（平成 28 年個人

おける特定の個人を識別するための番号の利の個人を識別するための番号の利用等に関する法律の一用等に関する法律の一部を改正する法律（平部を改正する法律（平成 27 年法律第 65 号）

成 27 年法律第 65 号）「令和 2 年改正法」

個人情報の保護に関する法律等の一部を改正する法律（令和 2 年法律第 44 号）

1

本ガイドラインの位置付け[略]1

本ガイドラインの位置付け[同左]

個人情報の保護に関する法律及び行政手続における特定の個人を識別す

改正前の法第 23 条は、第三者に対する個人データの提供に関するルーるための番号の利用等に関する法律の一部を改正する法律（平成 27 年法

ルを定めてはいたが、第三者が国内にあるのか、外国にあるのかの区別を律第 65 号）（以下「平成 27 年改正法」という。）による改正前の法第 23

していなかった。しかし、経済・社会活動のグローバル化及び情報通信技

条は、第三者に対する個人データの提供に関するルールを定めてはいた術の進展に伴い、個人情報を含むデータの国境を越えた流通が増加しておが、第三者が国内にあるのか、外国にあるのかの区別をしていなかった。

り、外国への個人データの移転について一定の規律を設ける必要性が増大

しかし、経済・社会活動のグローバル化及び情報通信技術の進展に伴い、してきたこと、また個人情報の保護に関する国際的な枠組み等との整合を

個人情報を含むデータの国境を越えた流通が増加しており、外国への個人図ることを理由に、改正後の法第 24 条に新たに外国にある第三者に対すデータの移転について一定の規律を設ける必要性が増大してきたこと、まる個人データの提供に関する規定が設けられた。

た個人情報の保護に関する国際的な枠組み等との整合を図ることを理由に、平成 27 年改正法による改正後の法第 24 条に新たに外国にある第三者に対する個人データの提供に関する規定が設けられた。
当該規定は、個人情報の保護に関する法律及び行政手続における特定の5

当該規定は、平成 27 年改正法の国会における審議を踏まえ、事業者に対して新たな規制を課するものではなく、事業者において適切に行われて個人を識別するための番号の利用等に関する法律の一部を改正する法律

いる個人情報の取扱いを追認するものである必要があるとされた。また、（平成 27 年法律第 65 号。以下「改正法」という。）の国会における審議

衆議院内閣委員会における附帯決議（平成 27 年 5 月 20 日）及び参議院内を踏まえ、事業者に対して新たな規制を課するものではなく、事業者にお閣委員会における附帯決議（平成 27 年 8 月 27 日）を踏まえ、海外におけいて現在適切に行われている個人情報の取扱いを追認するものである必要

る個人情報の保護を図りつつ、国境を越えた個人情報の移転を不当に阻害がある。また、衆議院内閣委員会における附帯決議（平成 27 年 5 月 20

しないよう現実的な規制を構築する必要があるとされた。

日）及び参議院内閣委員会における附帯決議（平成 27 年 8 月 27 日）を踏

さらに、海外への業務委託の一般化やビジネスモデルの複雑化が進み、まえ、海外における個人情報の保護を図りつつ、国境を越えた個人情報の

個人情報の越境移転の機会が広がる中、個人データの越境移転に伴うリス移転を不当に阻害しないよう現実的な規制を構築する必要がある。そこ

クも変化しつつある。このようなリスクの変化に対応する観点から、個人

で、本ガイドラインにおいては、外国にある第三者に対する個人データの情報の保護に関する法律等の一部を改正する法律（令和 2 年法律第 44

提供についての考え方、具体例等を示すこととする。

号）（以下「令和 2 年改正法」という。）により、個人データの越境移転

に関する本人への情報提供の充実等が求められることとなった。
本ガイドラインにおいては、外国にある第三者に対する個人データの提供についての考え方、具体例等を示すこととする。

2

総論

法第 24 条（第 1 項）
1

[同左]

2

総論

法第 24 条

個人情報取扱事業者は、外国（本邦の域外にある国又は地域をい

個人情報取扱事業者は、外国（本邦の域外にある国又は地域をいう。以下同じ。）（個人の権利利益を保護する上で我が国と同等の水う。以下同じ。）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国

準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものを除く。以下この条及びとして個人情報保護委員会規則で定めるものを除く。以下この条にお第 26 条の 2 第 1 項第 2 号において同じ。）にある第三者（個人デー

いて同じ。）にある第三者（個人データの取扱いについてこの節の規タの取扱いについてこの節の規定により個人情報取扱事業者が講ずべ定により個人情報取扱事業者が講ずべきこととされている措置に相当きこととされている措置に相当する措置（第 3 項において「相当措する措置を継続的に講ずるために必要なものとして個人情報保護委員置」という。）を継続的に講ずるために必要なものとして個人情報保会規則で定める基準に適合する体制を整備している者を除く。以下こ

護委員会規則で定める基準に適合する体制を整備している者を除く。

の条において同じ。）に個人データを提供する場合には、前条第 1 項

以下この項及び次項並びに同号において同じ。）に個人データを提供

各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供する場合には、前条第 1 項各号に掲げる場合を除くほか、あらかじめを認める旨の本人の同意を得なければならない。この場合において外国にある第三者への提供を認める旨の本人の同意を得なければならは、同条の規定は、適用しない。

ない。この場合においては、同条の規定は、適用しない。

6[略]個人情報取扱事業者は、個人データを外国にある第三者に提供するに当

個人情報取扱事業者は、個人データを外国にある第三者に提供するに当たっては、法第 24 条第 1 項に従い、次の（1）から（3）までのいずれか

たっては、法第 24 条に従い、次の①から③までのいずれかに該当する場に該当する場合を除き、あらかじめ「外国にある第三者への個人データの合を除き、あらかじめ「外国にある第三者への個人データの提供を認める

提供を認める旨の本人の同意」を得る必要がある。

旨の本人の同意」を得る必要がある。

（1）当該第三者が、我が国と同等の水準にあると認められる個人情①当該第三者が、我が国と同等の水準にあると認められる個人情報保報保護制度を有している国として個人情報の保護に関する法律施行

護制度を有している国として個人情報の保護に関する法律施行規則

規則（平成 28 年個人情報保護委員会規則第 3 号。以下「規則」と（平成 28 年個人情報保護委員会規則第 3 号。以下「規則」といいう。）で定める国にある場合（※1）

う。）で定める国にある場合（※1）②当該第三者が、個人情報取扱事業者が講ずべき措置に相当する措置

措置を継続的に講ずるために必要な体制として規則で定める基準にを継続的に講ずるために必要な体制として規則で定める基準に適合適合する体制を整備している場合（※2）

する体制を整備している場合

7（2）当該第三者が、個人情報取扱事業者が講ずべき措置に相当する（3）次の①から④までのいずれかに該当する場合（法第 23 条第 1 項
各号関係）①法令（※3）に基づいて個人データを提供する場合（第 1 号関係）
②人（法人を含む。）の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個人デー
タの提供が必要であり、かつ、本人の同意を得ることが困難である場合（第 2 号関係）（※4）③公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることが困難③法第 23 条第 1 項各号に該当する場合（※2）

である場合（第 3 号関係）
④国の機関等が法令（※3）の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であって、協力する民間企業等が当該国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場
合（第 4 号関係）（※1）[略]（※1）[同左]（※2）個人情報取扱事業者が講ずべき措置に相当する措置を継続（※2）法第 23 条第 1 項

的に講ずるために必要な体制の基準の詳細については、4（個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講号関係）（2）人（法人を含む。）の生命、身体又は財産といった具体
8

ずるために必要な体制の基準）を参照のこと。

（1）法令（※3）に基づいて個人データを提供する場合（第 1

外国にある第三者が当該基準に適合する体制を整備している的な権利利益が侵害されるおそれがあり、これを保護することを根拠として、当該外国にある第三者に対して個人データ

ために個人データの提供が必要であり、かつ、本人の同意の提供を行った場合には、個人情報取扱事業者は、法第 24 条を得ることが困難である場合（第 2 号関係）（※4）

第 3 項に基づき、当該外国にある第三者による相当措置の継続（3）公衆衛生の向上又は心身の発展途上にある児童の健全な的な実施を確保するために必要な措置を講ずるとともに、本人育成のために特に必要な場合であり、かつ、本人の同意をの求めに応じて当該必要な措置に関する情報を当該本人に提供得ることが困難である場合（第 3 号関係）する必要がある。詳細については、6（個人情報取扱事業者が（4）国の機関等が法令（※3）の定める事務を実施する上で、講ずべき措置に相当する措置を継続的に講ずるために必要な体

民間企業等の協力を得る必要がある場合であって、協力す

制を整備している者に個人データを提供した場合に講ずべき措る民間企業等が当該国の機関等に個人データを提供するこ

置等）を参照のこと。

とについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合（第 4 号関係）

[（※3）・（※4） 略]

上記（1）の場合、当該第三者が所在する国は、法第 24 条第 1 項における「外国」に該当しない。また、上記（2）の場合、当該第三者は、法第[（※3）・（※4） 同左]

外国にある第三者に対する個人データの提供が、法第 23 条に規定する方法のいずれにより行われるかによって、法第 24 条の適用が決まる。

24 条第 1 項における「第三者」に該当しない。したがって、これらの場合には、法第 24 条第 1 項の適用がないため、個人情報取扱事業者は、当該第三者への個人データの提供に際して、「外国にある第三者への個人デー
タの提供を認める旨の本人の同意」を得る必要はない。
ただし、当該第三者への個人データの提供に当たっては、法第 23 条の規定による次の（ア）から（エ）のいずれかの方法による必要がある。

9（ア）本人の同意に基づき提供する方法（法第 23 条第 1 項柱書）
（イ）法第 23 条第 1 項各号に掲げる場合により提供する方法（「法第23 条第 1 項各号に掲げる場合」の内容については、上記（3）参照）（ウ）オプトアウトにより提供する方法（法第 23 条第 2 項）（エ）委託、事業承継又は共同利用に伴って提供する方法（法第 23 条
第 5 項各号）[削る]（1） 本人の同意に基づき提供する方法（法第 23 条第 1 項柱書）

当該同意が法第 24 条の「外国にある第三者への提供を認める旨の本人の同意」に該当する場合には、外国にある第三者に提供することができる。他方、当該同意が同条の「同意」に該当しない場合には、上記①又は②に該当するときに、外国にある第三者に提供することができる。

[削る]（2） オプトアウトにより提供する方法（法第 23 条第 2 項）

上記①又は②に該当する場合に、外国にある第三者に提供することがで
きる。

[削る]

（3） 委託、事業承継又は共同利用に伴って提供する方法（法第 23 条第法第 24 条の「外国にある第三者への提供を認める旨の本人の同意」を得た場合、又は、上記①又は②に該当する場合に、外国にある第三者に提供することができる。

[削る]（4） 法第 23 条第 1 項各号に掲げる場合により提供する方法

法第 24 条の「外国にある第三者への提供を認める旨の本人の同意」を得ることなく、上記①又は②に該当しない場合においても、外国にある第三者に提供することができる。

下図は、外国にある第三者に個人データを提供する方法と法第 24 条の適用関係について整理したものである。

10

5 項各号）

図：個人データを提供する方法と法第 24 条の適用関係
法第 24 条 【 外 国 にあ る
第 三 者 への 提 【規則で定める 【 規 則 で 定提供の方法

供 を 認 める 旨 基準に適合する め ら れ た（法第 23 条）の 本 人 の 同 体制を整備】

国】

意】(1)本人の同意（法第 23 条第 1 項柱

Ⅰ

Ⅰ

Ⅰ

Ⅰ

Ⅰ

Ⅰ

Ⅰ

Ⅰ

Ⅱ

Ⅱ

Ⅱ

(2)オプトアウト（法第 23 条第 2 項）―
（注）(3)委託、事業承継、共同利用（法第 23 条第 5 項各号）
(4)法第 23 条第 1 項
各号に掲げる場合（法第 23 条第 1 項各
号）

【凡例】

11

書）

Ⅰ：法第 24 条の該当の措置を講ずる必要がある。
Ⅱ：法第 24 条の該当の措置を講ずる必要はない。

（注）法第 23 条第 2 項に基づくオプトアウトによる個人データの第三者提供は、本人の同意を得ないことを前提としているため、この項目は2-1 外国にある第三者への個人データの提供を認める旨の本人の同意

2-1 外国にある第三者への個人データの提供を認める旨の本人の同意

ここでいう「本人の同意」とは、本人の個人データが、個人情報取扱事「本人の同意」とは、本人の個人データが、個人情報取扱事業者によっ

業者によって外国にある第三者に提供されることを承諾する旨の当該本人て第三者に提供されることを承諾する旨の当該本人の意思表示をいう。

の意思表示をいう。
また、「本人の同意を得（る）」とは、本人の承諾する旨の意思表示を

また、「本人の同意を得（る）」とは、本人の承諾する旨の意思表示を

当該個人情報取扱事業者が認識することをいい、事業の性質及び個人情報

当該個人情報取扱事業者が認識することをいい、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられるの取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる

合理的かつ適切な方法によらなければならない。

合理的かつ適切な方法によらなければならない。

なお、個人情報の取扱いに関して同意したことによって生ずる結果につなお、個人情報の取扱いに関して同意したことによって生ずる結果について、未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力

いて、未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力を有していないなどの場合は、親権者や法定代理人等から同意を得る必要を有していないなどの場合は、親権者や法定代理人等から同意を得る必要

がある。

がある。

法第 24 条第 1 項において求められる本人の同意を得ようとする場合に個々の事例ごとに判断されるべきではあるが、法第 24 条において求め12

該当無しとなる。

は、本人に対し、法第 24 条第 2 項に基づく情報提供を行わなければならられる本人の同意を取得する場合、本人の権利利益保護の観点から、外国ない。同意取得時に本人に提供すべき情報については、5（同意取得時のにある第三者に個人データを提供することを明確にしなければならない。

情報提供）を参照のこと。

なお、平成 27 年改正法の施行日前になされた本人の個人情報の取扱い

なお、改正法の施行日前になされた本人の個人情報の取扱いに関する同

に関する同意がある場合において、その同意が平成 27 年改正法による改意がある場合において、その同意が法第 24 条の規定による個人データの正後の法第 24 条の規定による個人データの外国にある第三者への提供を外国にある第三者への提供を認める旨の同意に相当するものであるとき認める旨の同意に相当するものであるときは、同条の同意があったものとは、同条の同意があったものとみなす（改正法附則第 3 条）。

2-2 外国にある第三者

2-2 外国にある第三者

[略]

[同左]

法人の場合、個人データを提供する個人情報取扱事業者と別の法人格を法人の場合、個人データを提供する個人情報取扱事業者と別の法人格を有するかどうかで「第三者」に該当するかを判断する。

有するかどうかで第三者に該当するかを判断する。

例えば、日本企業が、外国の法人格を取得している当該企業の現地子会

例えば、日本企業が、外国の法人格を取得している当該企業の現地子会

社に個人データを提供する場合には、当該日本企業にとって「外国にある社に個人データを提供する場合には、当該日本企業にとって「外国にある第三者」への個人データの提供に該当するが、現地の事業所、支店など同第三者」への個人データの提供に該当するが、現地の事業所、支店など同

一法人格内での個人データの移動の場合には「外国にある第三者」への個

一法人格内での個人データの移動の場合には「外国にある第三者」への個

人データの提供には該当しない。

人データの提供には該当しない。

13

みなす（平成 27 年改正法附則第 3 条）。

事例） [略]事例） [同左]

また、外国の法令に準拠して設立され外国に住所を有する外国法人であまた、外国の法令に準拠して設立され外国に住所を有する外国法人であっても、例えば、日本国内に事務所を設置している場合、又は、日本国内っても、当該外国法人が法第 2 条第 5 項に規定する「個人情報取扱事業

で事業活動を行っている場合など、日本国内で「個人情報データベース者」（※）に該当する場合には、「外国にある第三者」には該当しない。

等」を事業の用に供していると認められるとき（※1）は、当該外国法人

例えば、外国法人であっても、日本国内に事務所を設置している場合、又は、「外国にある第三者」には該当しない。

は、日本国内で事業活動を行っている場合など、日本国内で「個人情報データベース等」を事業の用に供していると認められるときは、当該外国法人は、「個人情報取扱事業者」に該当するため、「外国にある第三者」に事例）日系企業の東京本店が外資系企業の東京支店に個人データを提供

事例）日系企業の東京本店が外資系企業の東京支店に個人データを提供する場合、当該外資系企業の東京支店は、日本国内で「個人情報する場合、当該外資系企業の東京支店は「個人情報取扱事業者」

データベース等」を事業の用に供している「個人情報取扱事業に該当し、「外国にある第三者」には該当しない。

者」（※2）に該当し、「外国にある第三者」には該当しない。

（※1）ここでいう「事業の用に供している」の「事業」とは、一（※）「個人情報取扱事業者」とは、個人情報データベース等を事

定の目的をもって反復継続して遂行される同種の行為であっ業の用に供している者のうち、国の機関、地方公共団体、独立て、かつ社会通念上事業と認められるものをいい、営利・非営行政法人等の保有する個人情報の保護に関する法律（平成 15

利の別は問わない。

年法律第 59 号）で定める独立行政法人等及び地方独立行政法
人法（平成 15 年法律第 118 号）で定める地方独立行政法人を除いた者をいう。
ここでいう「事業の用に供している」の「事業」とは、一定14は該当しない。

の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。
また、個人情報データベース等を事業の用に供している者であれば、当該個人情報データベース等を構成する個人情報によって識別される特定の個人の数の多寡にかかわらず、個人情報取扱事業者に該当する。
（※2）「個人情報取扱事業者」（法第 2 条第 5 項）とは、個人情[新設]

報データベース等を事業の用に供している者のうち、国の機関、地方公共団体、独立行政法人等の保有する個人情報の保護に関する法律（平成 15 年法律第 59 号）で定める独立行政法人
15

等及び地方独立行政法人法（平成 15 年法律第 118 号）で定める地方独立行政法人を除いた者をいう。
なお、個人情報データベース等を事業の用に供している者であれば、当該個人情報データベース等を構成する個人情報によって識別される特定の個人の数の多寡にかかわらず、個人情報取扱事業者に該当する。

3

個人の権利利益を保護する上で我が国と同等の水準にあると認められ

3

個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国

る個人情報の保護に関する制度を有している外国規則第 11 条

規則第 11 条

1

1

法第 24 条第 1 項の規定による個人情報の保護に関する制度を有し

法第 24 条の規定による個人情報の保護に関する制度を有している

ている外国として個人情報保護委員会規則で定めるものは、次の各号

外国として個人情報保護委員会規則で定めるものは、次の各号のいずのいずれにも該当する外国として個人情報保護委員会が定めるものとれにも該当する外国として個人情報保護委員会が定めるものとする。

する。
[（1）～（4） 略][（1）～（4） 同左]（5） 前四号に定めるもののほか、当該外国を法第 24 条第 1 項の規（5） 前４号に定めるもののほか、当該外国を法第 24 条の規定によ定による外国として定めることが、我が国における新たな産業のる外国として定めることが、我が国における新たな産業の創出並創出並びに活力ある経済社会及び豊かな国民生活の実現に資するびに活力ある経済社会及び豊かな国民生活の実現に資すると認めと認められるものであることられるものであること[2～4 同左]

[略]

[同左]

4

4

16

[2～4 略]

個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準

規則第 11 条の 2
法第 24 条第 1 項の個人情報保護委員会規則で定める基準は、次の個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準

規則第 11 条の 2
法第 24 条の個人情報保護委員会規則で定める基準は、次の各号の各号のいずれかに該当することとする。

いずれかに該当することとする。

[(1)・（2） 略][(1)・（2） 同左]

個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるた

個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準については、規則第 11 条の 2 に規定されている。

めに必要な体制の基準については、規則第 11 条に規定されている。なお、必要な体制が整備されていることについて、個人情報保護委員会に対対する事前の届出等は要しない。

する事前の届出等は要しない。

4-1 適切かつ合理的な方法（規則第 11 条の 2 第 1 号関係）

4-1 適切かつ合理的な方法（規則第 11 条の 2 第 1 号関係）

[略]

[同左]

[事例 1）・事例 2） 略][事例 1）・事例 2） 同左]

また、アジア太平洋経済協力（APEC）の越境プライバシールール

また、アジア太平洋経済協力（APEC）の越境プライバシールール（CBPR）システム（※）の認証を取得している事業者は、その取得要件と（CBPR）システム（※）の認証を取得している事業者は、その取得要件として、当該事業者に代わって第三者に個人情報を取り扱わせる場合においして、当該事業者に代わって第三者に個人情報を取り扱わせる場合においても、当該事業者が本人に対して負う義務が同様に履行されることを確保ても、当該事業者が本人に対して負う義務が同様に履行されることを確保する措置を当該第三者との間で整備している必要があることとされていする措置を当該第三者との間で整備している必要があることとされている。

る。

したがって、提供元の個人情報取扱事業者が CBPR の認証を取得しておしたがって、提供元の個人情報取扱事業者が CBPR の認証を取得しており、提供先の「外国にある第三者」が当該個人情報取扱事業者に代わってり、提供先の「外国にある第三者」が当該個人情報取扱事業者に代わって個人情報を取り扱う者である場合には、当該個人情報取扱事業者が CBPR

個人情報を取り扱う者である場合には、当該個人情報取扱事業者が CBPRの認証の取得要件を充たすことも、「適切かつ合理的な方法」の一つであの認証の取得要件を充たすことも、「適切かつ合理的な方法」の一つであると解される。なお、提供先の「外国にある第三者」が CBPR の認証を取ると解される。なお、提供先の「外国にある第三者」が CBPR の認証を取得している場合については、4-3（個人データの提供を受ける者が、個人得している場合については、本ガイドライン 4-3（個人データの提供を受情報の取扱いに係る国際的な枠組みに基づく認定を受けていること）を参ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けて照のこと。

いること（規則第 11 条の 2 第 2 号関係））を参照のこと。

17

なお、必要な体制が整備されていることについて、個人情報保護委員会に

（※） [略]（※） [同左]

[略]

[同左]

4-2 法第 4 章第 1 節の規定の趣旨に沿った措置（規則第 11 条の 2 第 1

4-2 法第 4 章第 1 節の規定の趣旨に沿った措置（規則第 11 条の 2 第 1号関係）

法第 24 条第 1 項の「この節の規定により個人情報取扱事業者が講ずべ

法第 24 条の「この節の規定により個人情報取扱事業者が講ずべきこと

きこととされている措置に相当する措置」に該当するものとして規則第 11とされている措置に相当する措置」に該当するものとして規則第 11 条の 2

条の 2 第 1 号に「法第 4 章第 1 節の規定の趣旨に沿った措置」と規定され

第 1 号に「法第 4 章第 1 節の規定の趣旨に沿った措置」と規定されてい

ている。

る。

「法第 4 章第 1 節の規定の趣旨に沿った措置」については、外国にある

具体的には、国際的な整合性を勘案して別表 2（※1）のとおりとなる。

第三者により個人データが取り扱われる場合においても、我が国の個人情

なお、国際的な整合性の判断は、経済協力開発機構（OECD）におけるプラ報取扱事業者により個人データが取り扱われる場合に相当する程度の本人

イバシーガイドラインや APEC におけるプライバシーフレームワークといの権利利益の保護を図るという観点に加え、経済協力開発機構（OECD）にった国際的な枠組みの基準に準拠している。

おけるプライバシーガイドラインや APEC におけるプライバシーフレーム
ワークといった国際的な枠組みの基準も踏まえた国際的な整合性も勘案する。
具体的には、「法第 4 章第 1 節の規定の趣旨に沿った措置」として 4-21 から 4-2-20 までに記述する事項について、適切かつ合理的な方法（4-1参照）に記述する方法によって担保されていなければならない（※1）。

18

号関係）

個人情報取扱事業者は、契約等に 4-2-1 から 4-2-20 までに記述する全ての事項を規定しなければならないものではなく、「法第 4 章第 1 節の規定の趣旨」に鑑みて、実質的に適切かつ合理的な方法により、外国にある
第三者に提供された個人データに係る本人の権利利益の保護に必要な範囲で、「措置」の実施が確保されていれば足りる。
次の 4-2-1 から 4-2-20 までにおいては、外国にある第三者への個人データの提供に関する典型的な事例として、【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客データの入力業務を委託する場
合、及び【事例 2】日本にある個人情報取扱事業者が、外国にある親会社に従業員情報を提供する場合を挙げ、外国にある第三者又は提供元である
日本にある個人情報取扱事業者（以下「外国にある第三者等」という。）
19が講ずべき措置の具体例を示すこととする。

（※1）「法第 4 章第 1 節の規定の趣旨に沿った措置」は、次の表

別表 2：国際的な枠組みの基準との整合性を勘案したに記載のとおりとなる（※2）（※3）。

「法第 4 章第 1 節の規定の趣旨に沿った措置」（参考）
法第 4 章第 1 節の規定の趣旨に沿った措置

第 15 条利用目的の特定第 23 条

第三者提供の制限

法第 4 章第 1 節のOECD プライバ

APEC プライバ

規定の趣旨に沿った措置

シー

シー

ガイドライン

フレームワーク

第 15 条利用目的の特定○○第 16 条利用目的による制限○○

第 16 条の2
第 17 条第 18 条

第 19 条利用目的による制限

第 24 条

○

○

○

○

○

○

提供の制限
保有個人データに関す

第 18 条取得 に際しての 利用目

適正な取得

第 28 条開示第 19 条

第 29 条

訂正等

第 20 条

安全管理措置○○

第 21 条

従業者の監督○（※2）

第 22 条

委託先の監督○○第 23 条

第三者提供の制限

○

○

○

○

○

○

取得に際しての利用目的の通知等
データ内容の正確性の確保等

第 30 条
第 31 条

第 21 条

従業者の監督第 32 条2

適正な取得

第 27 条

安全管理措置

第 22 条の第 17 条不適正な利用の禁止

第 20 条

第 22 条外国にある第三者への委託先の監督漏えい等の報告等

第 33 条
第 35 条る事項の公表等

的の通知等
デー タ内容の正 確性の
確保等

利用停止等
理由の説明

20

第 16 条

開示等の請求等に応じる手続

第 24 条手数料
個人情報取扱事業者による苦情の処理第 27 条外国 にある第三 者への提供の制限
保有 個人データ に関する事項の公表等

第 28 条開示○○第 29 条

訂正等○○

第 30 条

利用停止等

○

○

第 31 条

理由の説明

○

○

○

○

第 32 条

開示 等の請求等 に応じる手続

第 33 条
第 35 条（※2）要配慮個人情報の取得に関する規律（法第 17 条第 2 項）、

手数料
個人 情報取扱事 業者による苦情の処理

○

○

○

（※3）

[新設]

オプトアウトによる個人データの第三者提供（法第 23 条第 2項及び第 3 項）、第三者提供時の確認・記録義務（法第 25 条
及び第 26 条）、個人関連情報の第三者提供に関する規律（法第 26 条の 2）、並びに第三者提供記録の開示（法第 28 条第 5項）及びそれに関連するその他の手続等（法第 27 条及び第 3121条から第 33 条までのうち、第三者提供記録の開示に関連する手続等）については、ここでいう「法第 4 章第 1 節の規定の趣旨に沿った措置」として外国にある第三者等が講ずべき措置には含まれない。
（※3）日本にある個人情報取扱事業者から個人データの提供を受けた外国にある第三者が法第 75 条の要件を満たし、域外適用の対象となる場合であっても、これにより直ちに規則第 11 条の 2 の基準を満たすこととなるわけではなく、同条の基準を満たすためには、別途、当該個人データの取扱いについて我が国の個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備することが必要である。
なお、この場合、当該外国にある第三者は、法第 75 条に基づき、「法第 4 章第 1 節の規定の趣旨に沿った措置」として講[新設]

ずべき措置に含まれない規律（上記（※2）参照）も含め、法の規定に従って当該個人データを取り扱う義務を負うことになる。域外適用の詳細については、通則ガイドライン「5－1（域外適用）」を参照のこと。
[削る]（※1）法第 4 章第 1 節の各規定と国際的な枠組みの基準（OECD プ
ライバシーガイドライン及び APEC プライバシーフレームワー
ク）とを対比した上で、当該各規定の趣旨が当該国際的な枠組
みの基準に整合していると解される場合に「○」と記載してい
る。

[削る]

（※2）従業者の監督については、APEC プライバシーフレームワー

あることから、外国にある第三者においても措置を講じなければならない。
[削る]（※3）苦情の処理については、APEC プライバシーフレームワークに規定はないものの、事業者の APEC プライバシーフレームワ
ークへの適合性を国際的に認証する制度である CBPR システムに参加する事業者の参加要件となっていることから、外国にある第三者においても措置を講じなければならない。

上記を踏まえ、「法第 4 章第 1 節の規定の趣旨に沿った措置」として 42-1 から 4-2-18 までに記述する事項について、適切かつ合理的な方法（41 参照）に記述する方法によって担保されていなければならない。
個人情報取扱事業者は、契約等に 4-2-1 から 4-2-18 までに記述する全22

クに規定はないものの、安全管理措置（法第 20 条）の一部で

ての事項を規定しなければならないものではなく、「法第 4 章第 1 節の規定の趣旨」に鑑みて、実質的に適切かつ合理的な方法により、措置の実施が確保されていれば足りる。
次の 4-2-1 から 4-2-18 までにおいては、外国にある第三者への個人データの提供に関する典型的な事例として、【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客データの入力業務を委託する場合
及び【事例 2】日本にある個人情報取扱事業者が、外国にある親会社に従
業員情報を提供する場合を挙げ、外国にある第三者又は提供元である日本にある個人情報取扱事業者（以下「外国にある第三者等」という。）が講

4-2-1 利用目的の特定（法第 15 条の趣旨に沿った措置）[（関係条文） 略]

4-2-1 利用目的の特定（法第 15 条の趣旨に沿った措置）[（関係条文） 同左][【事例 1】・【事例 2】 略][【事例 1】・【事例 2】 同左]

外国にある第三者等は、個人情報を取り扱うに当たっては、利用目的を外国にある第三者等は、個人情報を取り扱うに当たっては、利用目的をできる限り具体的に特定しなければならないが、利用目的の特定に当たっできる限り具体的に特定しなければならないが、利用目的の特定に当たっては、利用目的を単に抽象的、一般的に特定するのではなく、個人情報がては、利用目的を単に抽象的、一般的に特定するのではなく、個人情報が外国にある第三者等において、最終的にどのような事業の用に供され、ど外国にある第三者等において、最終的にどのような事業の用に供され、どのような目的で個人情報を利用されるのかが、本人にとって一般的かつ合のような目的で個人情報を利用されるのかが、本人にとって一般的かつ合理的に想定できる程度に具体的に特定することが望ましい（※1）（※

理的に想定できる程度に具体的に特定することが望ましい（※）。

23

ずべき措置の具体例を示すこととする。

2）。

（※1）「利用目的の特定」の趣旨は、個人情報を取り扱う者が、[新設]

個人情報がどのような事業の用に供され、どのような目的で利用されるかについて明確な認識を持ち、できるだけ具体的に明確にすることにより、個人情報が取り扱われる範囲を確定するとともに、本人の予測を可能とすることである。
本人が、自らの個人情報がどのように取り扱われることとな
るか、利用目的から合理的に予測・想定できないような場合は、この趣旨に沿ってできる限り利用目的を特定したことには
ならない。
24

例えば、本人から得た情報から、本人に関する行動・関心等の情報を分析する場合、外国にある第三者等は、どのような取扱いが行われているかを本人が予測・想定できる程度に利用目的を特定しなければならない。
【本人から得た情報から、行動・関心等の情報を分析する場合に具体的に利用目的を特定している事例】
事例 1）「取得した閲覧履歴や購買履歴等の情報を分析して、趣味・嗜好に応じた新商品・サービスに関する広告のために利用いたします。」
事例 2）「取得した行動履歴等の情報を分析し信用スコアを算出した上で、当該スコアを第三者へ提供いたします。」（※2）[略]（※）[同左][同左]（※） [略]（※） [同左]

4-2-2 [略]4-2-2 [同左]

4-2-3 不適正な利用の禁止（法第 16 条の 2 の趣旨に沿った措置）[新設]

法第 16 条の 2
個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。

【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客
データの入力業務を委託する場合
委託契約により外国にある事業者による違法又は不当な行為を助長し、又は誘発するおそれがある方法による利用を禁止する。

【事例 2】日本にある個人情報取扱事業者が、外国にある親会社に従業員情報を提供する場合
内規等により外国にある親会社による違法又は不当な行為を助

25

[略]

長し、又は誘発するおそれがある方法による利用を禁止する。

外国にある第三者等は、違法又は不当な行為（※1）を助長し、又は誘発するおそれ（※2）がある方法により個人情報を利用してはならない。

（※1）「違法又は不当な行為」とは、法（個人情報の保護に関する法律）その他の法令に違反する行為、及び直ちに違法とはいえないものの、法（個人情報の保護に関する法律）その他の法令の制度趣旨又は公序良俗に反する等、社会通念上適正とは認められない行為をいう。

の利用が、違法又は不当な行為を助長又は誘発することについて、社会通念上蓋然性が認められるか否かにより判断される。
この判断に当たっては、個人情報の利用方法等の客観的な事情に加えて、個人情報の利用時点における外国にある第三者等の認識及び予見可能性も踏まえる必要がある。例えば、外国にある第三者等が他の事業者に個人情報を提供した場合において、
当該他の事業者が当該個人情報を違法な行為に用いた場合であっても、当該他の事業者が当該個人情報の取得目的を偽っていた等、当該個人情報の提供の時点において、提供した個人情報が違法に利用されることについて、当該外国にある第三者等が一般的な注意力をもってしても予見できない状況であった場合には、「おそれ」は認められないと解される。

26（※2）「おそれ」の有無は、外国にある第三者等による個人情報

[（関係条文） 略]

4-2-3 適正な取得（法第 17 条の趣旨に沿った措置）[（関係条文） 同左][【事例 1】・【事例 2】 略][【事例 1】・【事例 2】 同左]

なお、要配慮個人情報に係る規制については、国によっていわゆるセン

なお、要配慮個人情報に係る規制については、国によっていわゆるセン

シティブ情報の対象は異なり得ることから（OECD プライバシーガイドライ

シティブ情報の対象は異なり得ることから（OECD プライバシーガイドラインの説明覚書（1980 年））、国際的な整合性にも鑑みて、「措置」を講ず

ンの説明覚書（1980 年））、国際的な整合性にも鑑みて、「措置」を講ずることは要しない（4-2（法第 4 章第 1 節の規定の趣旨に沿った措置）参ることは要しない。

照）。

4-2-5 取得に際しての利用目的の通知（法第 18 条の趣旨に沿った措

4-2-4 取得に際しての利用目的の通知（法第 18 条の趣旨に沿った措

置）

置）[（関係条文） 略][（関係条文） 同左][略][（※1）・（※2） 略][同左][（※1）・（※2） 同左]

27

4-2-4 適正な取得（法第 17 条の趣旨に沿った措置）そのほか、詳細については、通則ガイドライン「3-3-3（利用目的の通そのほか、詳細については、通則ガイドライン 3-2-3（利用目的の通知

知又は公表）」から「3-3-5（利用目的の通知等をしなくてよい場合）」又は公表）から 3-2-5（利用目的の通知等をしなくてよい場合）までを参までを参照のこと。

照のこと。

[（関係条文） 略]

4-2-5 データ内容の正確性の確保等（法第 19 条の趣旨に沿った措置）[（関係条文） 同左][【事例 1】・【事例 2】 略][【事例 1】・【事例 2】 同左]

[略]

[同左]

[【個人データについて利用する必要がなくなったときに該当する事[【個人データについて利用する必要がなくなったときに該当する事

例】 略]例】 同左]

そのほか、詳細については、通則ガイドライン「3-4-1（データ内容のそのほか、詳細については、通則ガイドライン 3-3-1（データ内容の正

正確性の確保等）」を参照のこと。

確性の確保等）を参照のこと。

4-2-7 安全管理措置（法第 20 条の趣旨に沿った措置）

4-2-6 安全管理措置（法第 20 条の趣旨に沿った措置）法第 20 条

法第 20 条28

4-2-6 データ内容の正確性の確保等（法第 19 条の趣旨に沿った措置）

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切なはき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

措置を講じなければならない。

[【事例 1】・【事例 2】 略][【事例 1】・【事例 2】 同左]

外国にある第三者等は、その取り扱う個人データの漏えい、滅失又は毀外国にある第三者等は、その取り扱う個人データの漏えい、滅失又は毀損（以下「漏えい等」という。）の防止その他の個人データの安全管理の損（以下「漏えい等」という。）の防止その他の個人データの安全管理のため、必要かつ適切な措置を講じなければならないが、当該措置は、個人

ため、必要かつ適切な措置を講じなければならないが、当該措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮

データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データのし、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリ性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリ

スクに応じて、必要かつ適切な内容としなければならない。具体的に講じ

スクに応じて、必要かつ適切な内容としなければならない。具体的に講じなければならない措置や当該措置を実践するための手法の例等についてなければならない措置や当該項目を実践するための手法の例等について

は、通則ガイドラインの「7（別添）講ずべき安全管理措置の内容」を参は、通則ガイドラインの「8（別添）講ずべき安全管理措置の内容」を参

照のこと。

照のこと。

4-2-8 従業者の監督（法第 21 条の趣旨に沿った措置）[略]

4-2-7 従業者の監督（法第 21 条の趣旨に沿った措置）

[同左]

29

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又[（関係条文） 略]

4-2-8 委託先の監督（法第 22 条の趣旨に沿った措置）[（関係条文） 同左][【事例 1】・【事例 2】 略][【事例 1】・【事例 2】 同左]

[略]

[同左]

（1）適切な委託先の選定（1）適切な委託先の選定

委託先の選定に当たっては、委託先の安全管理措置が、少なくとも委託

委託先の選定に当たっては、委託先の安全管理措置が、少なくとも委託

元に求められるものと同等であることを確認するため、通則ガイドライン

元に求められるものと同等であることを確認するため、通則ガイドラインの「7（別添）講ずべき安全管理措置の内容」に定める各項目が、委託すの「8（別添）講ずべき安全管理措置の内容」に定める各項目が、委託する業務内容に沿って、確実に実施されることについて、あらかじめ確認しる業務内容に沿って、確実に実施されることについて、あらかじめ確認しなければならない。

なければならない。

[（2）・（3） 略][（2）・（3） 同左]

なお、再委託については、4-2-12（外国にある第三者への提供の制限）も参照のこと。

なお、再委託については、「4-2-10 外国にある第三者への提供の制限」も参照のこと。

[【委託を受けた者に対して必要かつ適切な監督を行っていない事例】[【委託を受けた者に対して必要かつ適切な監督を行っていない事例】

略]

同左]

30

4-2-9 委託先の監督（法第 22 条の趣旨に沿った措置）

態・種類を問わず、他の者に個人データの取扱いを行わせるこ

わず、個人情報取扱事業者が他の者に個人データの取扱いを行とをいう。具体的には、個人データの入力（本人からの取得をわせることをいう。具体的には、個人データの入力（本人から含む。）、編集、分析、出力等の処理を行うことを委託するこの取得を含む。）、編集、分析、出力等の処理を行うことを委と等が想定される。

託すること等が想定される。

[（※2）～（※4） 略]

4-2-10 漏えい等の報告等（法第 22 条の 2 の趣旨に沿った措置）

法第 22 条の 2
1

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者に通知したときは、この限りでない。

2（※1）「個人データの取扱の委託」とは、契約の形態・種類を問

前項に規定する場合には、個人情報取扱事業者（同項ただし書の規[（※2）～（※4） 同左]

[新設]

31

（※1）ここでいう「個人データの取扱の委託」とは、契約の形

定による通知をした者を除く。）は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客
データの入力業務を委託する場合
委託契約により、外国にある事業者において法第 22 条の 2 第 1項に定める報告義務の対象となる個人データの漏えい、滅失又は象事態」という。）が発生した場合に、日本にある個人情報取扱
事業者が個人情報保護委員会への報告及び本人通知に係る措置を講ずることについて明確にする。

【事例 2】日本にある個人情報取扱事業者が、外国にある親会社に従業員情報を提供する場合
内規等により、外国にある親会社において報告対象事態が発生した場合に、日本にある個人情報取扱事業者が個人情報保護委員会への報告及び本人通知に係る措置を講ずることについて明確にする。

報告対象事態の詳細、及び報告対象事態が発生した場合に外国にある第32

毀損その他の個人データの安全の確保に係る事態（以下「報告対三者等がとるべき措置の詳細については、通則ガイドライン「3-5（個人

4-2-11 第三者提供の制限（法第 23 条の趣旨に沿った措置）

4-2-9 第三者提供の制限（法第 23 条の趣旨に沿った措置）

法第 23 条（第 1 項、第 5 項、第 6 項）

法第 23 条（第 1 項、第 5 項、第 6 項）

1

1

[同左]

5

次に掲げる場合において、当該個人データの提供を受ける者は、前5[略]
次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。

各項の規定の適用については、第三者に該当しないものとする。

[（1）・（2） 略][（1）・（2） 同左]

（3）

（3）

特定の者との間で共同して利用される個人データが当該特定特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用されるの者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用

個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又目的及び当該個人データの管理について責任を有する者の氏名又はは名称及び住所並びに法人にあっては、その代表者の氏名につい

名称について、あらかじめ、本人に通知し、又は本人が容易に知りて、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に得る状態に置いているとき。

置いているとき。
6

個人情報取扱事業者は、前項第 3 号に規定する個人データの管理に

6

個人情報取扱事業者は、前項第 3 号に規定する利用する者の利用目ついて責任を有する者の氏名、名称若しくは住所又は法人にあって的又は個人データの管理について責任を有する者の氏名若しくは名称

は、その代表者の氏名に変更があったときは遅滞なく、同号に規定すを変更する場合は、変更する内容について、あらかじめ、本人に通知る利用する者の利用目的又は当該責任を有する者を変更しようとする

し、又は本人が容易に知り得る状態に置かなければならない。

ときはあらかじめ、その旨について、本人に通知し、又は本人が容易

33

データの漏えい等の報告等）」を参照のこと。

に知り得る状態に置かなければならない。

＜参考＞

＜参考＞

法第23条（第2項・第3項）

法第23条（第2項、第3項）

2

2

個人情報取扱事業者は、第三者に提供される個人データ（要配慮個

本人の求めに応じて当該本人が識別される個人データの第三者への提人情報を除く。以下この項において同じ。）について、本人の求めに供を停止することとしている場合であって、次に掲げる事項につい応じて当該本人が識別される個人データの第三者への提供を停止するて、個人情報保護委員会規則で定めるところにより、あらかじめ、本こととしている場合であって、次に掲げる事項について、個人情報保人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情

護委員会規則で定めるところにより、あらかじめ、本人に通知し、又報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人

は本人が容易に知り得る状態に置くとともに、個人情報保護委員会にデータを第三者に提供することができる。ただし、第三者に提供され届け出たときは、前項の規定にかかわらず、当該個人データを第三者る個人データが要配慮個人情報又は第 17 条第 1 項の規定に違反してに提供することができる。

取得されたもの若しくは他の個人情報取扱事業者からこの項本文の規定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む。）である場合は、この限りでない。
（1）

第三者への提供を行う個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。以下この条、第 26 条第 1 項第 1 号及び第 27 条第 1 項第 1号において同じ。）の氏名（2）

第三者への提供を利用目的とすること。

(1)

第三者への提供を利用目的とすること。

（3）

第三者に提供される個人データの項目(2)

第三者に提供される個人データの項目（4）

第三者に提供される個人データの取得の方法

34

個人情報取扱事業者は、第三者に提供される個人データについて、

（5）

第三者への提供の方法(3)

第三者への提供の方法（6）

本人の求めに応じて当該本人が識別される個人データの第三(4)

本人の求めに応じて当該本人が識別される個人データの第三者者への提供を停止すること。
（7）

本人の求めを受け付ける方法（8）

その他個人の権利利益を保護するために必要なものとして個への提供を停止すること。
(5)

本人の求めを受け付ける方法

人情報保護委員会規則で定める事項
3

個人情報取扱事業者は、前項第 1 号に掲げる事項に変更があったと

3

個人情報取扱事業者は、前項第 2 号、第 3 号又は第 5 号に掲げる事

き又は同項の規定による個人データの提供をやめたときは遅滞なく、項を変更する場合は、変更する内容について、個人情報保護委員会規同項第 3 号から第 5 号まで、第 7 号又は第 8 号に掲げる事項を変更し則で定めるところにより、あらかじめ、本人に通知し、又は本人が容ようとするときはあらかじめ、その旨について、個人情報保護委員会

易に知り得る状態に置くとともに、個人情報保護委員会に届け出なけ

規則で定めるところにより、本人に通知し、又は本人が容易に知り得ればならない。
35

る状態に置くとともに、個人情報保護委員会に届け出なければならない。

【事例 1】 [略]【事例 1】 [同左]

【事例 2】日本にある個人情報取扱事業者が、外国にある親会社に従業【事例 2】日本にある個人情報取扱事業者が、外国にある親会社に従業員情報を提供する場合
内規等により外国にある親会社からの個人データの第三者提供を禁止する。

員情報を提供する場合
内規等により外国にある事業者からの個人データの第三者提供を禁止する。

「外国にある第三者」から、別の「第三者」に提供する際には、法第 23「外国にある第三者」から、別の「第三者」に提供する際には、法第 23条第 1 項、第 5 項、第 6 項の趣旨に沿った措置を講じなければならない。

条第 1 項、第 5 項、第 6 項の趣旨に沿った措置を講じなければならない。

なお、提供先の第三者が「外国にある第三者」（提供元である外国にある

なお、提供先の第三者が「外国にある第三者」（提供元である外国にある

第三者と同一の国内にある第三者を含む。）の場合は、4-2-12（外国にあ第三者と同一の国内にある第三者を含む。）の場合は、「4-2-10 外国にる第三者への提供の制限）を参照のこと。

ある第三者への提供の制限」を参照のこと。

[同左]

なお、オプトアウトによる個人データの第三者提供（法第 23 条第 2 項

なお、オプトアウトによる個人データの第三者提供（法第 23 条第 2 項

及び第 3 項）は、個人情報保護委員会への届出等を定める規定であるたから第 3 項まで）は、個人情報保護委員会への届出等を定める規定である

め、その性質上、外国にある第三者等が講ずべき措置からは除外されるため、その性質上、外国にある第三者等が講ずべき措置からは除外され（4-2（法第 4 章第 1 節の規定の趣旨に沿った措置）参照）。

る。

36

[略]

4-2-12 外国にある第三者への提供の制限（法第 24 条の趣旨に沿った措置）

法第 24 条1

4-2-10 外国にある第三者への提供の制限（法第 24 条の趣旨に沿った措置）

法第 24 条

個人情報取扱事業者は、外国（本邦の域外にある国又は地域をい

個人情報取扱事業者は、外国（本邦の域外にある国又は地域をいう。以下同じ。）（個人の権利利益を保護する上で我が国と同等の水う。以下同じ。）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国

準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものを除く。以下この条及びとして個人情報保護委員会規則で定めるものを除く。以下この条にお第 26 条の 2 第 1 項第 2 号において同じ。）にある第三者（個人デー

いて同じ。）にある第三者（個人データの取扱いについてこの節の規タの取扱いについてこの節の規定により個人情報取扱事業者が講ずべ定により個人情報取扱事業者が講ずべきこととされている措置に相当きこととされている措置に相当する措置（第 3 項において「相当措する措置を継続的に講ずるために必要なものとして個人情報保護委員

置」という。）を継続的に講ずるために必要なものとして個人情報保会規則で定める基準に適合する体制を整備している者を除く。以下こ

護委員会規則で定める基準に適合する体制を整備している者を除く。

の条において同じ。）に個人データを提供する場合には、前条第 1 項

以下この項及び次項並びに同号において同じ。）に個人データを提供

各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供する場合には、前条第 1 項各号に掲げる場合を除くほか、あらかじめを認める旨の本人の同意を得なければならない。この場合において外国にある第三者への提供を認める旨の本人の同意を得なければならは、同条の規定は、適用しない。

ない。この場合においては、同条の規定は、適用しない。
2

個人情報取扱事業者は、前項の規定により本人の同意を得ようとする場合には、個人情報保護委員会規則で定めるところにより、あらか
じめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。
個人情報取扱事業者は、個人データを外国にある第三者（第 1 項に373規定する体制を整備している者に限る。）に提供した場合には、個人情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。

【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客
データの入力業務を委託する場合
委託契約により外国にある事業者からの個人データの第三者提供を禁止する。
外国にある事業者から更に外国にある第三者に個人データの取【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客
データの入力業務を委託する場合
委託契約により外国にある事業者からの個人データの第三者提供を禁止する。
外国にある事業者から更に外国にある第三者に個人データの取扱いを再委託する場合には、法第 22 条の委託先の監督義務（4-扱いを再委託する場合には、法第 22 条の委託先の監督義務（4-2-9）のほか、法第 4 章第 1 節の規定の趣旨に沿った措置の実施

2-8）のほか、法第 4 章第 1 節の規定の趣旨に沿った措置の実施を確保する。

を確保する。

【事例 2】 [略]【事例 2】 [同左]

[略]

[同左]

4-2-13 保有個人データに関する事項の公表等（法第 27 条の趣旨に沿4-2-11 保有個人データに関する事項の公表等（法第 27 条の趣旨に沿
った措置）
38

った措置）

法第 27 条

法第 27 条1

1

個人情報取扱事業者は、保有個人データに関し、次に掲げる事項に

個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する

ついて、本人の知り得る状態（本人の求めに応じて遅滞なく回答する

場合を含む。）に置かなければならない。

場合を含む。）に置かなければならない。

(1)

(1)

当該個人情報取扱事業者の氏名又は名称

当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名

(2)

[略]

(2)

[同左]

(3)

次項の規定による求め又は次条第 1 項（同条第 5 項において準(3)

次項の規定による求め又は次条第 1 項、第 29 条第 1 項若しくは用する場合を含む。）、第 29 条第 1 項若しくは第 30 条第 1 項、第 30 条第 1 項若しくは第 3 項の規定による請求に応じる手続（第第 3 項若しくは第 5 項の規定による請求に応じる手続（第 33 条第

33 条第 2 項の規定により手数料の額を定めたときは、その手数料

2 項の規定により手数料の額を定めたときは、その手数料の額をの額を含む。）

含む。）
[略]

(4)

[同左]

[2・3 略][2・3 同左]【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客

データの入力業務を委託する場合

データの入力業務を委託する場合

提供する個人データが外国にある事業者にとって「保有個人デ提供する個人データが外国にある事業者にとって「保有個人データ」（※）に該当する場合には、委託契約により、日本にあるータ」（※）に該当する場合には、委託契約により、委託元が保個人情報取扱事業者が保有個人データに関する事項の公表等に係有個人データに関する事項の公表等に係る義務を履行することにる義務を履行することについて明確にする。

ついて明確にする。

なお、提供する個人データが外国にある事業者にとって「保有なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」として個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。

の対応は不要である。

【事例 2】 [略]【事例 2】 [同左]（※）「保有個人データ」とは、外国にある第三者等が、本人又は（※）「保有個人データ」とは、外国にある第三者等が、本人又はその代理人から請求される開示、内容の訂正、追加又は削除、その代理人から請求される開示、内容の訂正、追加又は削除、

利用の停止、消去及び第三者への提供の停止の全て（以下「開利用の停止、消去及び第三者への提供の停止の全て（以下「開示等」という。）に応じることができる権限を有する「個人デ示等」という。）に応じることができる権限を有する「個人データ」をいう。

ータ」をいう。

ただし、個人データのうち、次に掲げるものは、「保有個人データ」ではない。

ただし、個人データのうち、次に掲げるもの又は 6 か月以内に消去する（更新することは除く。）こととなるものは、「保

39

(4)

有個人データ」ではない。
[（1）～（3） 略][（1）～（3） 同左]（4）当該個人データの存否が明らかになることにより、犯罪（4）当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持にの予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの。

支障が及ぶおそれがあるもの。

[事例 1）・事例 2） 略][事例 1）・事例 2） 同左]

事例 3）犯罪による収益の移転防止に関する法律（平成 19

事例 3）犯罪による収益の移転防止に関する法律（平成 19年法律第 22 号）第 8 条第 1 項に基づく疑わしい取年法律第 22 号）第 8 条第 1 項に基づく疑わしい取引の届出の有無及び届出に際して新たに作成した個引（以下「疑わしい取引」という。）の届出の有無

人データ

及び届出に際して新たに作成した個人データ
事例 4） [同左]40

事例 4） [略]

提供する個人データが外国にある第三者にとって「保有個人データ」に提供する個人データが外国にある第三者にとって「保有個人データ」

該当する場合、外国にある第三者等がとるべき措置の詳細については、通（※）に該当する場合、外国にある第三者等がとるべき措置の詳細につい則ガイドライン「3-8-1（保有個人データに関する事項の公表等）」を参ては、通則ガイドライン 3-5-1（保有個人データに関する事項の公表等）

照のこと。

を参照のこと。

4-2-14 開示（法第 28 条の趣旨に沿った措置）

4-2-12 開示（法第 28 条の趣旨に沿った措置）

法第 28 条（第 1 項～第 4 項）

法第 28 条1

1

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの電磁的記録の提供による方法その他の個人情報保護委員会

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの開示を請求することができる。

規則で定める方法による開示を請求することができる。
2

2

個人情報取扱事業者は、前項の規定による請求を受けたときは、本

個人情報取扱事業者は、前項の規定による請求を受けたときは、本人に対し、政令で定める方法により、遅滞なく、当該保有個人データ人に対し、同項の規定により当該本人が請求した方法（当該方法によを開示しなければならない。ただし、開示することにより次の各号のる開示に多額の費用を要する場合その他の当該方法による開示が困難

いずれかに該当する場合は、その全部又は一部を開示しないことがでである場合にあっては、書面の交付による方法）により、遅滞なく、きる。

当該保有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。

3

個人情報取扱事業者は、第 1 項の規定による請求に係る保有個人デ[(1)～(3) 同左]
3

個人情報取扱事業者は、第 1 項の規定による請求に係る保有個人データの全部若しくは一部について開示しない旨の決定をしたとき、当ータの全部又は一部について開示しない旨の決定をしたとき又は当該該保有個人データが存在しないとき、又は同項の規定により本人が請

保有個人データが存在しないときは、本人に対し、遅滞なく、その旨求した方法による開示が困難であるときは、本人に対し、遅滞なく、を通知しなければならない。

その旨を通知しなければならない。
4

[略]

＜参考＞
法第 28 条（第 5 項）
5

第 1 項から第 3 項までの規定は、当該本人が識別される個人データに係る第 25 条第 1 項及び第 26 条第 3 項の記録（その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるものを除く。第 32 条第 2 項において「第三者提供記録」という。）
について準用する。

4

[同左]

41

[(1)～(3) 略]【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客
データの入力業務を委託する場合【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客
データの入力業務を委託する場合

提供する個人データが外国にある事業者にとって「保有個人デ提供する個人データが外国にある事業者にとって「保有個人データ」に該当する場合には、委託契約により、日本にある個人情ータ」に該当する場合には、委託契約により、委託元が開示に係報取扱事業者が開示に係る義務を履行することについて明確にする義務を履行することについて明確にする。

なお、提供する個人データが外国にある事業者にとって「保有なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」として個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。

の対応は不要である。

【事例 2】 [略]【事例 2】 [同左]

提供する個人データが外国にある第三者にとって「保有個人データ」に提供する個人データが外国にある第三者にとって「保有個人データ」に該当する場合、外国にある第三者等がとるべき措置の詳細については、通該当する場合、外国にある第三者等がとるべき措置の詳細については、通則ガイドライン「3-8-2（保有個人データの開示）」を参照のこと。

則ガイドライン 3-5-2（保有個人データの開示）を参照のこと。

なお、第三者提供時の確認・記録義務については、「措置」を講ずることは要しないこととしていることから（4-2（法第 4 章第 1 節の規定の趣旨に沿った措置）参照）、第三者提供記録の開示についても、「措置」を講ずることは要しない（これに関連するその他の手続等（※）に関する「措置」も同様である。）。

42

る。

（※）ここでいう「関連するその他の手続等」に関する「措置」と[新設]

は、4-2-13（保有個人データに関する事項の公表等（法第 27条の趣旨に沿った措置））、4-2-17（理由の説明（法第 31 条の趣旨に沿った措置））、4-2-18（開示等の請求等に応じる手続（法第 32 条の趣旨に沿った措置））及び 4-2-19（手数料（法第 33 条の趣旨に沿った措置）のうち、第三者提供記録の開示に関連する手続等に関する措置をいい、外国にある第三者
等は、これらの「措置」を講ずることは要しない。

4-2-13 訂正等（法第 29 条の趣旨に沿った措置）
43

4-2-15 訂正等（法第 29 条の趣旨に沿った措置）[（関係条文） 略]【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客
データの入力業務を委託する場合[（関係条文） 同左]【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客
データの入力業務を委託する場合

提供する個人データが外国にある事業者にとって「保有個人デ提供する個人データが外国にある事業者にとって「保有個人データ」に該当する場合には、委託契約により、日本にある個人情ータ」に該当する場合には、委託契約により、委託元が訂正等に報取扱事業者が訂正等に係る義務を履行することについて明確に係る義務を履行することについて明確にする。

する。
なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。

なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。

【事例 2】 [同左]

提供する個人データが外国にある第三者にとって「保有個人データ」に提供する個人データが外国にある第三者にとって「保有個人データ」に該当する場合、外国にある第三者等がとるべき措置の詳細については、通該当する場合、外国にある第三者等がとるべき措置の詳細については、通則ガイドライン「3-8-4（保有個人データの訂正等）」を参照のこと。

則ガイドライン 3-5-3（保有個人データの訂正等）を参照のこと。

4-2-16 利用停止等（法第 30 条の趣旨に沿った措置）

4-2-14 利用停止等（法第 30 条の趣旨に沿った措置）

法第 30 条

法第 30 条1

1

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第 16 条若しくは第 16 条の 2 の規定に違反して取り扱われ人データが第 16 条の規定に違反して取り扱われているとき又は第 17ているとき、又は第 17 条の規定に違反して取得されたものであると条の規定に違反して取得されたものであるときは、当該保有個人デー

きは、当該保有個人データの利用の停止又は消去（以下この条におい

タの利用の停止又は消去（以下この条において「利用停止等」といて「利用停止等」という。）を請求することができる。

う。）を請求することができる。

[2～4 略]5

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データを当該個人情報取扱事業者が利用する必要がなくなった場
合、当該本人が識別される保有個人データに係る第 22 条の 2 第 1 項
本文に規定する事態が生じた場合その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合には、当該保有個人データの利用停止等又は第三者へ[2～4 同左]

44【事例 2】 [略]の提供の停止を請求することができる。
6

個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行わなければならない。ただし、当該保有個人データの利用停止等又は第三者への提供の停止に
多額の費用を要する場合その他の利用停止等又は第三者への提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
個人情報取扱事業者は、第 1 項若しくは第 5 項の規定による請求に

5

個人情報取扱事業者は、第 1 項の規定による請求に係る保有個人デ係る保有個人データの全部若しくは一部について利用停止等を行った

ータの全部若しくは一部について利用停止等を行ったとき若しくは利とき若しくは利用停止等を行わない旨の決定をしたとき、又は第 3 項

用停止等を行わない旨の決定をしたとき、又は第 3 項の規定による請若しくは第 5 項の規定による請求に係る保有個人データの全部若しく求に係る保有個人データの全部若しくは一部について第三者への提供は一部について第三者への提供を停止したとき若しくは第三者への提を停止したとき若しくは第三者への提供を停止しない旨の決定をした

供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、そのときは、本人に対し、遅滞なく、その旨を通知しなければならない。

旨を通知しなければならない。

【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客
データの入力業務を委託する場合【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客
データの入力業務を委託する場合

提供する個人データが外国にある事業者にとって「保有個人デ提供する個人データが外国にある事業者にとって「保有個人データ」に該当する場合には、委託契約により、日本にある個人情ータ」に該当する場合には、委託契約により、委託元が利用停止

報取扱事業者が利用停止等に係る義務を履行することについて明等に係る義務を履行することについて明確にする。

確にする。

なお、提供する個人データが外国にある事業者にとって「保有45

7

なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」として個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。

の対応は不要である。

【事例 2】 [略]【事例 2】 [同左]

提供する個人データが外国にある第三者にとって「保有個人データ」に提供する個人データが外国にある第三者にとって「保有個人データ」に該当する場合、外国にある第三者等がとるべき措置の詳細については、通該当する場合、外国にある第三者等がとるべき措置の詳細については、通則ガイドライン「3-8-5（保有個人データの利用停止等）」を参照のこ

則ガイドライン 3-5-4（保有個人データの利用停止等）を参照のこと。

46と。

4-2-17 理由の説明（法第 31 条の趣旨に沿った措置）

4-2-15 理由の説明（法第 31 条の趣旨に沿った措置）

法第 31 条

法第 31 条

個人情報取扱事業者は、第 27 条第 3 項、第 28 条第 3 項（同条第 5

個人情報取扱事業者は、第 27 条第 3 項、第 28 条第 3 項、第 29 条

項において準用する場合を含む。）、第 29 条第 3 項又は前条第 7 項

第 3 項又は前条第 5 項の規定により、本人から求められ、又は請求さの規定により、本人から求められ、又は請求された措置の全部又は一れた措置の全部又は一部について、その措置をとらない旨を通知する部について、その措置をとらない旨を通知する場合又はその措置と異場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対なる措置をとる旨を通知する場合には、本人に対し、その理由を説明し、その理由を説明するよう努めなければならない。

するよう努めなければならない。

【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客データの入力業務を委託する場合

データの入力業務を委託する場合

提供する個人データが外国にある事業者にとって「保有個人デ提供する個人データが外国にある事業者にとって「保有個人データ」に該当する場合には、委託契約により、日本にある個人情ータ」に該当する場合には、委託契約により、委託元が理由の説

報取扱事業者が理由の説明に係る義務を履行することについて明

明に係る義務を履行することについて明確にする。

確にする。

なお、提供する個人データが外国にある事業者にとって「保有なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」として個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。

【事例 2】 [略]【事例 2】 [同左]

提供する個人データが外国にある第三者にとって「保有個人データ」に提供する個人データが外国にある第三者にとって「保有個人データ」に該当する場合、外国にある第三者等がとるべき措置の詳細については、通該当する場合、外国にある第三者等がとるべき措置の詳細については、通則ガイドライン「3-8-6（理由の説明）」を参照のこと。

則ガイドライン 3-5-5（理由の説明）を参照のこと。

4-2-18 開示等の請求等に応じる手続（法第 32 条の趣旨に沿った措

4-2-16 開示等の請求等に応じる手続（法第 32 条の趣旨に沿った措

置）

置）法第 32 条

法第 32 条1

1

個人情報取扱事業者は、第 27 条第 2 項の規定による求め又は第 28

個人情報取扱事業者は、第 27 条第 2 項の規定による求め又は第 28条第 1 項（同条第 5 項において準用する場合を含む。次条第 1 項及び条第 1 項、第 29 条第 1 項若しくは第 30 条第 1 項若しくは第 3 項の規第 34 条において同じ。）、第 29 条第 1 項若しくは第 30 条第 1 項、定による請求（以下この条及び第 53 条第 1 項において「開示等の請47の対応は不要である。

第 3 項若しくは第 5 項の規定による請求（以下この条及び第 53 条第 1

求等」という。）に関し、政令で定めるところにより、その求め又は項において「開示等の請求等」という。）に関し、政令で定めるとこ請求を受け付ける方法を定めることができる。この場合において、本ろにより、その求め又は請求を受け付ける方法を定めることができ人は、当該方法に従って、開示等の請求等を行わなければならない。

る。この場合において、本人は、当該方法に従って、開示等の請求等を行わなければならない。
2

個人情報取扱事業者は、本人に対し、開示等の請求等に関し、その2

個人情報取扱事業者は、本人に対し、開示等の請求等に関し、その対象となる保有個人データ又は第三者提供記録を特定するに足りる事対象となる保有個人データを特定するに足りる事項の提示を求めるこ

項の提示を求めることができる。この場合において、個人情報取扱事とができる。この場合において、個人情報取扱事業者は、本人が容易

業者は、本人が容易かつ的確に開示等の請求等をすることができるよ

かつ的確に開示等の請求等をすることができるよう、当該保有個人デう、当該保有個人データ又は当該第三者提供記録の特定に資する情報

ータの特定に資する情報の提供その他本人の利便を考慮した適切な措の提供その他本人の利便を考慮した適切な措置をとらなければならな

置をとらなければならない。
48

い。
3

[略]

3

［同左］

4

個人情報取扱事業者は、前三項の規定に基づき開示等の請求等に応

4

個人情報取扱事業者は、前 3 項の規定に基づき開示等の請求等に応じる手続を定めるに当たっては、本人に過重な負担を課するものとなじる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。

らないよう配慮しなければならない。

【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客

データの入力業務を委託する場合

データの入力業務を委託する場合

提供する個人データが外国にある事業者にとって「保有個人デ提供する個人データが外国にある事業者にとって「保有個人データ」に該当する場合には、委託契約により、日本における個人ータ」に該当する場合には、委託契約により、委託元が開示等の情報取扱事業者が開示等の請求等に応じる手続を履行することに請求等に応じる手続を履行することについて明確にする。

ついて明確にする。

なお、提供する個人データが外国にある事業者にとって「保有なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」として個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。

の対応は不要である。

【事例 2】 [略]【事例 2】 [同左]

提供する個人データが外国にある第三者にとって「保有個人データ」に提供する個人データが外国にある第三者にとって「保有個人データ」に該当する場合、外国にある第三者等がとるべき措置の詳細については、通該当する場合、外国にある第三者等がとるべき措置の詳細については、通則ガイドライン「3-8-7（開示等の請求等に応じる手続）」を参照のこ

則ガイドライン 3-5-6（開示等の請求等に応じる手続）を参照のこと。

49と。

4-2-19 手数料（法第 33 条の趣旨に沿った措置）[（関係条文） 略]【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客
データの入力業務を委託する場合

4-2-17 手数料（法第 33 条の趣旨に沿った措置）[（関係条文） 同左]【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客
データの入力業務を委託する場合

提供する個人データが外国にある事業者にとって「保有個人デ提供する個人データが外国にある事業者にとって「保有個人データ」に該当する場合には、委託契約により、日本にある個人情ータ」に該当する場合には、委託契約により、委託元が手数料に報取扱事業者が手数料に係る措置を履行することについて明確に係る措置を履行することについて明確にする。

する。
なお、提供する個人データが外国にある事業者にとって「保有なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」として

個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。

の対応は不要である。

【事例 2】 [略]【事例 2】 [同左]

提供する個人データが外国にある第三者にとって「保有個人データ」に提供する個人データが外国にある第三者にとって「保有個人データ」に該当する場合、外国にある第三者等がとるべき措置の詳細については、通該当する場合、外国にある第三者等がとるべき措置の詳細については、通則ガイドライン「3-8-8（手数料）」を参照のこと。

則ガイドライン 3-5-7（手数料）を参照のこと。

った措置）[（関係条文） 略]【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客
データの入力業務を委託する場合
提供する個人データが外国にある事業者にとって「保有個人デ4-2-18 個人情報取扱事業者による苦情の処理（法第 35 条の趣旨に沿った措置）[（関係条文） 同左]【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客
データの入力業務を委託する場合
提供する個人データが外国にある事業者にとって「保有個人データ」に該当する場合には、委託契約により、日本にある個人情ータ」に該当する場合には、委託契約により、委託元が法第 35

報取扱事業者が法第 35 条に係る義務を履行することについて明条に係る義務を履行することについて明確にする。

確にする。
なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」としてなお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。

50

4-2-20 個人情報取扱事業者による苦情の処理（法第 35 条の趣旨に沿【事例 2】 [略]【事例 2】 [同左]

提供する個人データが外国にある第三者にとって「保有個人データ」に提供する個人データが外国にある第三者にとって「保有個人データ」に該当する場合、外国にある第三者等がとるべき措置の詳細については、通該当する場合、外国にある第三者等がとるべき措置の詳細については、通則ガイドライン「3-9（個人情報の取扱いに関する苦情処理について）」

則ガイドライン 3-6（個人情報の取扱いに関する苦情処理について）を参を参照のこと。

照のこと。

4-3 個人データの提供を受ける者が、個人情報の取扱いに係る国際的な

4-3 個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること（規則第 11 条の 2 第 2 号関枠組みに基づく認定を受けていること（規則第 11 条の 2 第 2 号関係）

係）

「個人情報の取扱いに係る国際的な枠組みに基づく認定」とは、国際機「個人情報の取扱いに係る国際的な枠組みに基づく認定」とは、国際機関等において合意された規律に基づき権限のある認証機関等が認定するも関等において合意された規律に基づき権限のある認証機関等が認定するものをいい、当該枠組みは、個人情報取扱事業者が講ずべきこととされていのをいい、当該枠組みは、個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずることのできるものである必要があ

る措置に相当する措置を継続的に講ずることのできるものである必要がある。

る。

これには、提供先の外国にある第三者が、APEC の CBPR システムの認証

これには、提供先の外国にある第三者が、APEC の CBPR システムの認証を取得していることが該当する。なお、個人データを提供する者が CBPRを取得していることが該当する。なお、個人データを提供する者が CBPRの認証を取得している場合については、4-1（適切かつ合理的な方法）をの認証を取得している場合については、本ガイドライン 4-1（適切かつ合参照のこと。

理的な方法（規則第 11 条の 2 第 1 号関係））を参照のこと。

51の対応は不要である。

5

同意取得時の情報提供[新設]法第 24 条（第 2 項）
2

個人情報取扱事業者は、前項の規定により本人の同意を得ようとする場合には、個人情報保護委員会規則で定めるところにより、あらか
じめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき

規則第 11 条の 3
1

法第24条第2項又は法第26条の2第1項第2号の規定により情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。

2

法第24条第2項又は法第26条の2第1項第2号の規定による情報の提供
は、次に掲げる事項について行うものとする。
(1)

当該外国の名称(2)

適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報(3)
3

当該第三者が講ずる個人情報の保護のための措置に関する情報

前項の規定にかかわらず、個人情報取扱事業者は、法第24条第1項の規定により本人の同意を得ようとする時点において、前項第1号に52情報を当該本人に提供しなければならない。

定める事項が特定できない場合には、同号及び同項第2号に定める事
項に代えて、次に掲げる事項について情報提供しなければならない。
(1)

前項第 1 号に定める事項が特定できない旨及びその理由(2)

前項第 1 号に定める事項に代わる本人に参考となるべき情報がある場合には、当該情報

4第2項の規定にかかわらず、個人情報取扱事業者は、法第24条第1項の規定により本人の同意を得ようとする時点において、第2項第3号に定める事項について情報提供できない場合には、同号に定める事項に代えて、その旨及びその理由について情報提供しなければならない。

者への個人データの提供を認める旨の本人の同意を取得しようとする場合には、規則第 11 条の 3 第 2 項から第 4 項までの規定により求められる情報を本人に提供しなければならない（法第 24 条第 2 項）（※）。
個人データの越境移転に当たっては、提供元の個人情報取扱事業者において、提供先の第三者が所在する外国に個人データを移転することについてのリスクを評価し、個人データの移転の必要性について吟味した上で、本人に対しても、分かりやすい情報提供を行うことが重要である。

（※）同意取得時の情報提供に関する法第 24 条第 2 項の規定は、
個人情報取扱事業者が令和 2 年改正法の施行日以後に法第 24
条第 1 項の規定により本人の同意を得る場合について適用される（令和 2 年改正法附則第 4 条第 1 項）。

53

個人情報取扱事業者は、法第 24 条第 1 項の規定により外国にある第三5-1 情報提供の方法（規則第 11 条の 3 第 1 項関係）

[新設]

規則第 11 条の 3（第 1 項）
1

法第24条第2項又は法第26条の2第1項第2号の規定により情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。

本人に対する情報提供は、規則第 11 条の 3 第 2 項から第 4 項までの規定により求められる情報を本人が確実に認識できると考えられる適切な方
54

法で行わなければならない。なお、提供する情報は本人にとって分かりやすいものであることが重要である。

【適切な方法に該当する事例】
事例 1）必要な情報を電子メールにより本人に送付する方法
事例 2）必要な情報を記載した書面を本人に直接交付する方法
事例 3）必要な情報を本人に口頭で説明する方法
事例 4）必要な情報をホームページに掲載し、本人に閲覧させる方法

5-2 提供すべき情報（規則第 11 条の 3 第 2 項関係）[新設]

規則第 11 条の 3（第 2 項）
2 法第24条第2項又は法第26条の2第1項第2号の規定による情報の提供
は、次に掲げる事項について行うものとする。
(1)

当該外国の名称(2)

適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報(3)

当該第三者が講ずる個人情報の保護のための措置に関する情報法第 24 条第 1 項の規定により外国にある第三者への個人データの提供を認める旨の本人の同意を取得しようとする場合には、本人に対し、次の55（1）から（3）までの情報を提供しなければならない。

（1）「当該外国の名称」（規則第 11 条の 3 第 2 項第 1 号関係）

提供先の第三者が所在する外国（※1）の名称をいう（※2）。必ずしも正式名称を求めるものではないが、本人が自己の個人データの移転先を合理的に認識できると考えられる名称でなければならない。
外国にある第三者への個人データの提供を認める旨の本人の同意を取得する際に、提供先の第三者が所在する外国を特定できない場合の取扱いについては、5-3-1（提供先の第三者が所在する外国が特定できない場合）
を参照のこと。

（※1）「外国」とは、本邦の域外にある国又は地域をいい、我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として規則で定めるものを除く（法第 24
条第 1 項）。
（※2）ここでいう「外国の名称」の情報提供においては、提供先の第三者が所在する外国の名称が示されていれば足り、それに加えて、当該第三者が所在する州等の名称を示すことまでは求められない。もっとも、個人データの越境移転に伴うリスクについて、本人の予測可能性を高めるという制度趣旨を踏まえると、例えば、州法が主要な規律となっている等、州法に関する情報提供が本人の予測可能性の向上に資する場合には、本人にで、州単位での制度についても情報提供を行うことが望ましい。

（2）「適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報」（規則第 11 条の 3 第 2 項第 2 号
関係）①「適切かつ合理的な方法」「当該外国における個人情報の保護に関する制度に関する情報」
は、一般的な注意力をもって適切かつ合理的な方法により確認したものでなければならない。

56

対して、提供先の外国にある第三者が所在する州を示した上

【適切かつ合理的な方法に該当する事例】
事例 1）提供先の外国にある第三者に対して照会する方法
事例 2）我が国又は外国の行政機関等が公表している情報を確認する方法②「当該外国における個人情報の保護に関する制度に関する情報」
個人データの越境移転に伴うリスクについて、本人の予測可能性を高めるという制度趣旨に鑑み、「当該外国における個人情報の保護に関する制度に関する情報」は、提供先の第三者が所在する外国における個人情報の保護に関する制度と我が国の法（個人情報の保護に関すければならず、具体的には、次の（ア）から（エ）までの観点を踏まえる必要がある。
なお、ここでいう「当該外国における個人情報の保護に関する制度」は、当該外国における制度のうち、提供先の外国にある第三者に適用される制度に限られ、当該第三者に適用されない制度は含まれない。

（ア）当該外国における個人情報の保護に関する制度の有無
提供先の第三者が所在する外国における制度に、当該第三者に適用される個人情報の保護に関する制度が存在しない場合、そのこと自体が個人データの越境移転に伴うリスクの存在を示すものである
ことから、個人情報の保護に関する制度が存在しない旨を本人に対57る法律）との間の本質的な差異を本人が合理的に認識できる情報でなして情報提供しなければならない（※1）。

（イ）当該外国の個人情報の保護に関する制度についての指標となり得る情報の存在
提供先の第三者が所在する外国の個人情報の保護に関する制度について、個人情報の保護の水準等に関する客観的な指標となり得る情報が存在する場合、当該指標となり得る情報が提供されることにより、個人データの越境移転に伴うリスクについての本人の予測可能性は一定程度担保されると考えられる。したがって、この場合には、当該指標となり得る情報を提供すれば足り、次の（ウ）に係るなお、当該指標となり得る情報の提供を行う場合、当該指標となり得る情報が個人データの越境移転に伴うリスクとの関係でどのような意味を持つかについても、本人に対して情報提供を行うことが望ましい。

【当該外国の個人情報の保護に関する制度についての指標となり得る情報に該当する事例】
事例 1）当該第三者が所在する外国が GDPR 第 45 条に基づく十分性認定の取得国であること
事例 2）当該第三者が所在する外国が APEC の CBPR システムの加盟国であること58

情報の提供は求められない。

（ウ）OECD プライバシーガイドライン 8 原則に対応する事業者の義務又は本人の権利の不存在
提供先の第三者が所在する外国の個人情報の保護に関する制度に、OECD プライバシーガイドライン 8 原則（※2）に対応する事業者の義務又は本人の権利が存在しない場合には、当該事業者の義務
又は本人の権利の不存在は、我が国の法（個人情報の保護に関する法律）との本質的な差異を示すものであることから、その内容について本人に情報提供しなければならない。
なお、提供先の第三者が所在する外国の個人情報の保護に関する制度に、OECD プライバシーガイドライン 8 原則に対応する事業者の提供すれば足りる。

【OECD プライバシーガイドライン 8 原則に対応する事業者の義務又は本人の権利の不存在に該当する事例】
事例 1）個人情報について原則としてあらかじめ特定した利用目的の範囲内で利用しなければならない旨の制限の不存在
事例 2）事業者が保有する個人情報の開示の請求に関する本人の権利の不存在（エ）その他本人の権利利益に重大な影響を及ぼす可能性のある制度の存在
提供先の第三者が所在する外国において、我が国の制度と比較し

59

義務及び本人の権利が全て含まれる場合には、その旨を本人に情報て、当該外国への個人データの越境移転に伴い当該個人データに係る本人の権利利益に重大な影響を及ぼす可能性のある制度が存在する場合には、当該制度の存在について本人に情報提供しなければならない。

【本人の権利利益に重大な影響を及ぼす可能性のある制度に該当する事例】
事例 1）事業者に対し政府の情報収集活動への広範な協力義務を課すことにより、事業者が保有する個人情報について政府による広範な情報収集が可能となる制度がある個人情報の国内保存義務に係る制度（※1）提供先の第三者が所在する外国において、個人情報の保護に関する制度が存在する場合には、当該制度に係る法令の個別の名称を本人に情報提供することは求められないが、本人の求めがあった場合に情報提供できるようにしておくことが望ましい。
（※2）OECD プライバシーガイドラインは、①収集制限の原則（Collection Limitation Principle）、②データ内容の原則（Data Quality Principle）、③目的明確化の原則（Purpose
Specification Principle）、④利用制限の原則（UseLimitation Principle）、⑤安全保護措置の原則（Security

60事例 2）事業者が本人からの消去等の請求に対応できないおそれSafeguards Principle）、⑥公開の原則（Openness
Principle）、⑦個人参加の原則（Individual Participation
Principle）、⑧責任の原則（Accountability Principle）の 8
原則を、基本原則として定めている。

（3）「当該第三者が講ずる個人情報の保護のための措置に関する情報」（規則第 11 条の 3 第 2 項第 3 号関係）

個人データの越境移転に伴うリスクについて、本人の予測可能性を高めるという制度趣旨に鑑み、「当該第三者が講ずる個人情報の保護のためのための措置と我が国の法（個人情報の保護に関する法律）により個人デー
タの取扱いについて個人情報取扱事業者に求められる措置との間の本質的な差異を本人が合理的に認識できる情報でなければならない。
具体的には、当該外国にある第三者において、OECD プライバシーガイド
ライン 8 原則に対応する措置（本人の権利に基づく請求への対応に関する措置を含む。）を講じていない場合には、当該講じていない措置の内容について、本人が合理的に認識できる情報が提供されなければならない。
なお、提供先の外国にある第三者が、OECD プライバシーガイドライン 8
原則に対応する措置を全て講じている場合には、その旨を本人に情報提供すれば足りる。
外国にある第三者への個人データの提供を認める旨の本人の同意を取得する際に、提供先の外国にある第三者が講ずる個人情報の保護のための措61

措置に関する情報」は、当該外国にある第三者が講ずる個人情報の保護の置に関する情報が提供できない場合の取扱いについては、5-3-2（提供先の第三者が講ずる個人情報の保護のための措置に関する情報が提供できない場合）を参照のこと。

【提供先の第三者が講ずる個人情報の保護のための措置に関する情報の提供に該当する事例（提供先の第三者が利用目的の通知・公表を行っていない場合）】
事例）「提供先が、概ね個人データの取扱いについて我が国の個人情報取扱事業者に求められる措置と同水準の措置を講じているものの、取得した個人情報についての利用目的の通知・公表を行って62いない」旨の情報提供を行うこと

5-3 同意取得時に移転先が特定できない場合等の取扱い（規則第 11 条

[新設]の 3 第 3 項・第 4 項関係）

5-3-1 提供先の第三者が所在する外国が特定できない場合（規則第 11条の 3 第 3 項関係）

規則第 11 条の 3（第 3 項）
3

前項の規定にかかわらず、個人情報取扱事業者は、法第24条第1項の規定により本人の同意を得ようとする時点において、前項第1号に定める事項が特定できない場合には、同号及び同項第2号に定める事[新設]

項に代えて、次に掲げる事項について情報提供しなければならない。
（1） 前項第 1 号に定める事項が特定できない旨及びその理由（2）

前項第 1 号に定める事項に代わる本人に参考となるべき情報がある場合には、当該情報個人情報取扱事業者は、法第 24 条第 1 項の規定により外国にある第三者への個人データの提供を認める旨の本人の同意を取得しようとする時点
において、提供先の第三者が所在する外国を特定できない場合には、当該外国の名称及び当該外国の個人情報の保護に関する制度に関する情報に代えて、次の（1）及び（2）の情報を本人に提供しなければならない。

本人の求めに応じて情報提供を行うことが望ましい。

【提供先の第三者が所在する外国を特定できない場合に該当する事例】
事例 1）日本にある製薬会社が医薬品等の研究開発を行う場合において、治験責任医師等が被験者への説明及び同意取得を行う時点では、最終的にどの国の審査当局等に承認申請するかが未確定であり、当該被験者の個人データを移転する外国を特定できない場合
事例 2）日本にある保険会社が保険引受リスクの分散等の観点から外国の再保険会社に再保険を行う場合において、日本にある保険会社
による顧客からの保険引受及び同意取得の時点では、最終的にどの再保険会社に再保険を行うかが未確定であり、当該顧客の個人データを移転する外国を特定できない場合

63

なお、事後的に提供先の第三者が所在する外国が特定できた場合には、

（1）特定できない旨及びその理由（規則第 11 条の 3 第 3 項第 1 号関係）

個人情報取扱事業者は、提供先の第三者が所在する外国を特定できない場合であっても、個人データの越境移転に伴うリスクに関する本人の予測可能性の向上という趣旨を踏まえ、提供先の第三者が所在する外国を特定できない旨及びその理由を情報提供しなければならない。
なお、情報提供に際しては、どのような場面で外国にある第三者に個人データの提供を行うかについて、具体的に説明することが望ましい。

き情報（規則第 11 条の 3 第 3 項第 2 号関係）

提供先の第三者が所在する外国が特定できないとしても、提供先の第三者が所在する外国の名称に代わる本人に参考となるべき情報の提供が可能である場合には、当該情報についても本人に提供しなければならない。
「提供先の第三者が所在する外国の名称に代わる本人に参考となるべき情報」の該当性は、本人への情報提供が求められる制度趣旨を踏まえつ
つ、個別に判断する必要があるが、例えば、移転先の外国の範囲が具体的に定まっている場合における当該範囲に関する情報は、ここでいう「提供先の第三者が所在する外国の名称に代わる本人に参考となるべき情報」に
該当する。

64

（2）提供先の第三者が所在する外国の名称に代わる本人に参考となるべ【提供先の第三者が所在する外国の名称に代わる本人に参考となるべき情報に該当する事例】
事例）本人の同意を得ようとする時点において、移転先となる外国の候補が具体的に定まっている場合における当該候補となる外国の名称

5-3-2 提供先の第三者が講ずる個人情報の保護のための措置に関する[新設]

情報が提供できない場合（規則第 11 条の 3 第 4 項関係）

規則第 11 条の 3（第 4 項）
第2項の規定にかかわらず、個人情報取扱事業者は、法第24条第1項の規定により本人の同意を得ようとする時点において、第2項第3号に定める事項について情報提供できない場合には、同号に定める事項に代えて、その旨及びその理由について情報提供しなければならない。

個人情報取扱事業者は、法第 24 条第 1 項の規定により外国にある第三者への個人データの提供を認める旨の本人の同意を取得しようとする時点
において、提供先の外国にある第三者が講ずる個人情報の保護のための措置に関する情報の提供ができない場合には、当該情報に代えて、当該情報を提供できない旨及びその理由について情報提供しなければならない。
なお、情報提供に際しては、どのような場面で外国にある第三者に個人データの提供を行うかについて、具体的に説明することが望ましい。
また、事後的に当該第三者が講ずる個人情報の保護のための措置につい65

4

ての情報提供が可能となった場合には、本人の求めに応じて情報提供を行うことが望ましい。

【提供先の第三者が講ずる個人情報の保護のための措置に関する情報の提供ができない場合に該当する事例】
事例 1）日本にある製薬会社が医薬品等の研究開発を行う場合において、治験責任医師等が被験者への説明及び同意取得を行う時点では、最終的にどの国の審査当局等に承認申請するかが未確定であり、当該被験者の個人データの提供先を特定できない場合
事例 2）日本にある保険会社が保険引受リスクの分散等の観点から外国の再保険会社に再保険を行う場合において、日本にある保険会社
66による顧客からの保険引受及び同意取得の時点では、最終的にどの再保険会社に再保険を行うかが未確定であり、当該顧客の個人データの提供先を特定できない場合

6

個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備している者に個人データを提供した場合に講ずべき措置等法第 24 条（第 3 項）
3

個人情報取扱事業者は、個人データを外国にある第三者（第 1 項に規定する体制を整備している者に限る。）に提供した場合には、個人[新設]

情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。

規則第 11 条の 4
1

法第 24 条第 3 項（法第 26 条の 2 第 2 項において読み替えて準用する場合を含む。）の規定による外国にある第三者による相当措置の継続的な実施を確保するために必要な措置は、次に掲げる措置とする。
(1)

当該第三者による相当措置の実施状況並びに当該相当措置の実容を、適切かつ合理的な方法により、定期的に確認すること。
(2)

当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データ（法第 26 条の 2 第 2 項
において読み替えて準用する場合にあっては、個人関連情報）の当該第三者への提供を停止すること。

2

法第24条第3項の規定により情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。

3

個人情報取扱事業者は、法第24条第3項の規定による求めを受けた
ときは、本人に対し、遅滞なく、次に掲げる事項について情報提供しなければならない。ただし、情報提供することにより当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合

67

施に影響を及ぼすおそれのある当該外国の制度の有無及びその内は、その全部又は一部を提供しないことができる。
(1)

当該第三者による法第 24 条第 1 項に規定する体制の整備の方
法(2)

当該第三者が実施する相当措置の概要(3)

第 1 項第 1 号の規定による確認の頻度及び方法(4)

当該外国の名称(5)

当該第三者による相当措置の実施に影響を及ぼすおそれのある
当該外国の制度の有無及びその概要(6)

当該第三者による相当措置の実施に関する支障の有無及びその概要
前号の支障に関して第 1 項第 2 号の規定により当該個人情報取扱事業者が講ずる措置の概要

4

個人情報取扱事業者は、法第24条第3項の規定による求めに係る情報の全部又は一部について提供しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

5

個人情報取扱事業者は、前項の規定により、本人から求められた情報の全部又は一部について提供しない旨を通知する場合には、本人に対し、その理由を説明するよう努めなければならない。

個人情報取扱事業者は、規則第 11 条の 2 に定める基準に適合する体制（以下「基準適合体制」という。）を整備している外国にある第三者に対して個人データを提供した場合には、当該第三者による相当措置（個人データの取扱いについて法第 4 章第 1 節の規定により個人情報取扱事業者が

68

(7)

講ずべきこととされている措置に相当する措置をいう。以下同じ。）の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない（法第 24 条第 3 項）（※）。
法第 24 条第 3 項は、提供先が基準適合体制を整備していることを根拠として外国にある第三者に個人データを提供した場合、個人情報取扱事業者には、その後も当該第三者による当該個人データの適正な取扱いを継続的に確保する責務があることを明確化するものである。そのため、個人情報取扱事業者は、当該第三者において当該個人データの取扱いが継続する
限り、法第 24 条第 3 項に基づく措置等を講ずる必要がある。
ただし、上記の制度趣旨に鑑み、例えば、個人情報取扱事業者が、本人69の同意を根拠として外国にある第三者に個人データを提供した場合には、当該第三者が基準適合体制を整備していると認められる場合であっても、
法第 24 条第 3 項に基づく措置等は求められない。

（※）法第 24 条第 3 項の規定は、個人情報取扱事業者が令和 2 年
改正法の施行日以後に同項に規定する外国にある第三者に個人データを提供した場合について適用される（令和 2 年改正法附則第 4 条第 2 項）。

6-1 相当措置の継続的な実施を確保するために必要な措置（規則第 11
条の 4 第 1 項関係）[新設]

規則第 11 条の 4（第 1 項）
1

法第 24 条第 3 項（法第 26 条の 2 第 2 項において読み替えて準用する場合を含む。）の規定による外国にある第三者による相当措置の継続的な実施を確保するために必要な措置は、次に掲げる措置とする。
(1)

当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること。

(2)

当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施において読み替えて準用する場合にあっては、個人関連情報）の当該第三者への提供を停止すること。

個人情報取扱事業者は、提供先が基準適合体制を整備していることを根拠として外国にある第三者に個人データを提供した場合、当該第三者による相当措置の継続的な実施を確保するために必要な措置として、次の（1）及び（2）の措置を講じなければならない。

（1）当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること（規則第 11 条の 4
第 1 項第 1 号関係）70の確保が困難となったときは、個人データ（法第 26 条の 2 第 2 項

個人情報取扱事業者は、個人データの提供先である外国にある第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及び内容を、適切かつ合理的な方法により、定期的に確認しなければならない。
ここでいう「定期的に確認」とは、年に 1 回程度又はそれ以上の頻度で確認することをいう。

相当措置の実施状況は、外国にある第三者に提供する個人データの内容や規模に応じて、適切かつ合理的な方法により確認する必要があるが、例

法又はこれらに代わる合理的な方法（口頭による確認を含む。）により確認することが考えられる（※）。

【相当措置の実施状況の確認に該当する事例】
事例 1）外国にある事業者に個人データの取扱いを委託する場合において、提供元及び提供先間の契約を締結することにより、当該提供先の基準適合体制を整備している場合は、当該契約の履行状況を確認すること事例 2）同一の企業グループ内で個人データを移転する場合において、提供元及び提供先に共通して適用されるプライバシーポリシーにより、当該提供先の基準適合体制を整備している場合は、当該プ
ライバシーポリシーの履行状況を確認すること

71

えば、個人データを取り扱う場所に赴く方法、書面により報告を受ける方

また、外国にある第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及び内容は、一般的な注意力をもって適切かつ合理的な方法により確認する必要があるが、例えば、当該第三者に対して照会する方法や、我が国又は外国の行政機関等が公表している情報を確認する方法が考えられる。

【相当措置の実施に影響を及ぼすおそれのある外国の制度に該当する事
例】
事例 1）事業者に対し政府の情報収集活動への広範な協力義務を課すこ

情報収集が可能となる制度
事例 2）事業者が本人からの消去等の請求に対応できないおそれがある
個人情報の国内保存義務に係る制度（※）提供先である外国にある第三者において相当措置を実施すべ
き対象は、個人情報取扱事業者が実際に提供を行った「個人データ」であることから、相当措置の実施状況の確認においても、提供先で取り扱っている他の個人情報の取扱いについてまで確認することが求められているものではない。

（2）当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が72とにより、事業者が保有する個人情報について政府による広範な

困難となったときは、個人データの当該第三者への提供を停止すること（規則第 11 条の 4 第 1 項第 2 号関係）

個人情報取扱事業者は、個人データの提供先である外国にある第三者による相当措置の実施に支障が生じたときは、当該支障の解消又は改善のために必要かつ適切な措置を講じなければならない。

【支障発生時の必要かつ適切な措置に該当する事例】
事例）日本にある個人情報取扱事業者が提供先である外国にある事業者との間で委託契約を締結することにより、当該提供先の基準適合の一部に違反して個人データを取り扱っている場合に、これを是正するよう要請すること

また、外国にある第三者による相当措置の継続的な実施の確保が困難となった場合、当該第三者は、実質的に、基準適合体制を整備しているとはいえないと考えられることから、それ以降、当該第三者への個人データの提供を停止しなければならない。

【相当措置の継続的な実施の確保が困難となった場合に該当する事例】
事例 1）日本にある個人情報取扱事業者が提供先である外国にある事業者との間で委託契約を締結することにより、当該提供先の基準適
合体制を整備している場合で、当該提供先が当該委託契約上の義73体制を整備している場合で、当該提供先が当該委託契約上の義務

務の一部に違反して個人データを取り扱っている場合に、これを是正するよう要請したにもかかわらず、当該提供先が合理的な期間内にこれを是正しない場合
事例 2）外国にある事業者において日本にある個人情報取扱事業者から提供を受けた個人データに係る重大な漏えい等が発生した後、同様の漏えい等の発生を防止するための必要かつ適切な再発防止策が講じられていない場合

6-2 相当措置の継続的な実施を確保するために必要な措置に関する情報

[新設]

74

提供（規則第 11 条の 4 第 2 項・第 3 項関係）

6-2-1 情報提供の方法（規則第 11 条の 4 第 2 項関係）

規則第 11 条の 4（第 2 項）
2

法第24条第3項の規定により情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。

本人に対する情報提供は、規則第 11 条の 4 第 3 項の規定により本人への提供が求められる情報を本人が確実に認識できると考えられる適切な方法で行う必要がある。なお、提供する情報は本人にとって分かりやすいものであることが重要である。

[新設]

【適切な方法に該当する事例】
事例 1）必要な情報を電子メールにより本人に送付する方法
事例 2）必要な情報を記載した書面を本人に直接交付する方法
事例 3）必要な情報を本人に口頭で説明する方法
事例 4）必要な情報をホームページに掲載し、本人に閲覧させる方法

6-2-2 提供すべき情報（規則第 11 条の 4 第 3 項関係）

[新設]

規則第 11 条の 4（第 3 項）

ときは、本人に対し、遅滞なく、次に掲げる事項について情報提供しなければならない。ただし、情報提供することにより当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
は、その全部又は一部を提供しないことができる。
(1)

当該第三者による法第 24 条第 1 項に規定する体制の整備の方
法(2)

当該第三者が実施する相当措置の概要(3)

第 1 項第 1 号の規定による確認の頻度及び方法(4)

当該外国の名称(5)

当該第三者による相当措置の実施に影響を及ぼすおそれのある
当該外国の制度の有無及びその概要(6)

当該第三者による相当措置の実施に関する支障の有無及びその75

3 個人情報取扱事業者は、法第 24 条第 3 項の規定による求めを受けた

概要
(7)

前号の支障に関して第 1 項第 2 号の規定により当該個人情報取扱事業者が講ずる措置の概要

個人情報取扱事業者は、法第 24 条第 3 項の規定による本人の求めを受けた場合には、遅滞なく、次の（1）から（7）までの情報を本人に提供しなければならない。
ただし、情報提供することにより当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、その全部又は一部を提【情報提供することにより当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合に該当する事例】
事例）同一の本人から複雑な対応を要する同一内容について繰り返し情報提供の求めがあり、事実上問合せ窓口が占有されることによって他の問合せ対応業務が立ち行かなくなる等、業務上著しい支障を及ぼすおそれがある場合（1）「当該第三者による法第 24 条第 1 項に規定する体制の整備の方法」（規則第 11 条の 4 第 3 項第 1 号関係）

個人データの提供先である外国にある第三者が基準適合体制を整備する
方法について情報提供しなければならない。

76

供しないことができる。

【基準適合体制を整備する方法についての情報提供に該当する事例】
日本にある個人情報取扱事業者が外国にある事業者に個人データの取扱いを委託する場合において、提供元及び提供先間の契約を締結することにより、当該提供先の基準適合体制を整備している場合事例）「提供先との契約」である旨の情報提供を行うこと（2）「当該第三者が実施する相当措置の概要」（規則第 11 条の 4 第 3 項
第 2 号関係）について情報提供しなければならない。
提供すべき情報は、個々の事例ごとに判断されるべきであるが、当該外国にある第三者において、法第 4 章第 1 節の規定の趣旨に沿った措置がどのように確保されているかが分かるような情報を提供する必要がある。
なお、個人情報取扱事業者が当該外国にある第三者との間で締結している契約等の全ての規定の概要についての情報提供を求めるものではない。

【相当措置の概要についての情報提供に該当する事例】
日本にある個人情報取扱事業者が外国にある事業者に個人データの取扱いを委託する場合において、提供元及び提供先間の契約を締結することにより、当該提供先の基準適合体制を整備している場合事例）「契約において、特定した利用目的の範囲内で個人データを取り77

個人データの提供先である外国にある第三者が実施する相当措置の概要

扱う旨、不適正利用の禁止、必要かつ適切な安全管理措置を講ずる旨、従業者に対する必要かつ適切な監督を行う旨、再委託の禁止、漏えい等が発生した場合には提供元が個人情報保護委員会への報告及び本人通知を行う旨、個人データの第三者提供の禁止等を定めている」旨の情報提供を行うこと（3）「第 1 項第 1 号の規定による確認の頻度及び方法」（規則第 11 条の4 第 3 項第 3 号関係）

個人データの提供先である外国にある第三者による相当措置の実施状況の内容の確認に関して、その方法及び頻度について情報提供しなければならない。
なお、外国にある第三者による相当措置の実施状況の確認の方法及び頻度と、当該相当措置の実施に影響を及ぼすおそれのある制度の有無及びその内容の確認の方法及び頻度が異なる場合には、それぞれについて情報提供する必要がある。

【確認の方法及び頻度についての情報提供に該当する事例】
事例）①外国にある第三者による相当措置の実施状況についての確認の方法及び頻度「毎年、書面による報告を受ける形で確認している」旨の情報提供を行うこと78

並びに当該相当措置の実施に影響を及ぼすおそれのある制度の有無及びそ②当該相当措置の実施に影響を及ぼすおそれのある制度の有無及びその内容の確認の方法及び頻度「毎年、我が国の行政機関等が公表している情報を確認している」旨の情報提供を行うこと（4）「当該外国の名称」（規則第 11 条の 4 第 3 項第 4 号関係）

個人データの提供先の第三者が所在する外国（※1）の名称について情報提供しなければならない（※2）。必ずしも正式名称を求めるものではないが、本人が自己の個人データの移転先を合理的に認識できると考えら79れる形で情報提供を行う必要がある。

（※1）「外国」とは、本邦の域外にある国又は地域をいい、我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として規則で定めるものを除く（法第 24
条第 1 項）。
（※2）ここでいう「外国の名称」の情報提供においては、提供先の第三者が所在する外国の名称が示されていれば足り、それに加えて、当該第三者が所在する州等の名称を示すことまでは求められない。もっとも、本人が外国にある第三者における自己の個人データの取扱状況等について把握できるようにするという制度趣旨を踏まえると、例えば、州法において外国にある第三者による相当措置の実施に影響を及ぼすおそれのある制度が存在する等、州法に関する情報提供が本人による当該第三者における個人データの取扱状況等の把握に資する場合には、当該第三者が所在する州を示した上で、当該制度についても情報提供を行うことが望ましい。

（5）「当該第三者による相当措置の実施に影響を及ぼすおそれのある当
該外国の制度の有無及びその概要」（規則第 11 条の 4 第 3 項第 5 号
関係）

個人データの提供先である外国にある第三者による相当措置の実施に影提供しなければならない。

【相当措置の実施に影響を及ぼすおそれのある外国の制度の概要についての情報提供に該当する事例】
事例 1）「事業者に対し政府の情報収集活動への広範な協力義務を課す
ことにより、事業者が保有する個人情報について政府による広範な情報収集が可能となる制度が存在する」旨の情報提供を行うこと
事例 2）「事業者が本人からの消去等の請求に対応できないおそれがある個人情報の国内保存義務に係る制度が存在する」旨の情報提供
を行うこと

80

響を及ぼすおそれのある当該外国の制度の有無及びその概要について情報（6）「当該第三者による相当措置の実施に関する支障の有無及びその概要」（規則第 11 条の 4 第 3 項第 6 号関係）

個人データの提供先である外国にある第三者による相当措置の実施に関する支障の有無及びその概要について情報提供しなければならない。

【相当措置の実施に関する支障の概要についての情報提供に該当する事例】
日本にある個人情報取扱事業者が外国にある事業者に個人データの取扱いを委託する場合において、提供元及び提供先間の契約を締結することに該契約において特定された利用目的の範囲を超えて、当該個人データを取り扱っていた場合事例）「提供先が契約において特定された利用目的の範囲を超えて個人
データの取扱いを行っていた」旨の情報提供を行うこと（7）「前号の支障に関して第 1 項第 2 号の規定により当該個人情報取扱事業者が講ずる措置の概要」（規則第 11 条の 4 第 3 項第 7 号関係）

個人データの提供先である外国にある第三者による相当措置の実施に支障が生じた場合において、当該支障の解消・改善のために提供元の個人情報取扱事業者が講ずる措置の概要について情報提供しなければならない。

81より、当該提供先の基準適合体制を整備しているものの、当該提供先が当【相当措置の実施に関する支障に関して個人情報取扱事業者が講ずる措置の概要についての情報提供に該当する事例】
日本にある個人情報取扱事業者が外国にある事業者に個人データの取扱いを委託する場合において、提供元及び提供先間の契約を締結することにより、当該提供先の基準適合体制を整備しているものの、当該提供先が当該契約において特定された利用目的の範囲を超えて、当該個人データを取り扱っていた場合
事例 1）「提供先が契約において特定された利用目的の範囲を超えて個
人データの取扱いを行っていたため、速やかに当該取扱いを是正するように要請した」旨の情報提供を行うこと
事例 2）「提供先が契約において特定された利用目的の範囲を超えて個82

人データの取扱いを行っていたため、速やかに当該取扱いを是正するように要請したものの、これが合理的期間内に是正されず、相当措置の継続的な実施の確保が困難であるため、〇年〇月〇日
以降、個人データの提供を停止した上で、既に提供した個人デー
タについて削除を求めている」旨の情報提供を行うこと

6-2-3 情報提供しない旨の決定を行った際の通知等（規則第 11 条の 4
第 4 項・第 5 項関係）

規則第 11 条の 4（第 4 項・第 5 項）
4 個人情報取扱事業者は、法第 24 条第 3 項の規定による求めに係る情[新設]

報の全部又は一部について提供しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
5

個人情報取扱事業者は、前項の規定により、本人から求められた情報の全部又は一部について提供しない旨を通知する場合には、本人に対し、その理由を説明するよう努めなければならない。

個人情報取扱事業者は、法第 24 条第 3 項の規定による本人の求めに係る情報の全部又は一部について情報提供しない旨の決定をしたときは、遅滞なく、その旨を本人に通知（※）しなければならない。
この場合、個人情報取扱事業者は、本人に対し、情報提供をしない理由

83を説明するよう努めなければならない。

（※）「本人に通知」については、通則ガイドライン「2-14（本人に通知）」を参照のこと。

【付録】 [略]備考 表中の[ ]の記載は注記である。

【付録】 [同左]