【ホワイトペーパー】
契約に基づくデータ取引の履行と検証を行うための要件と支援技術の解説

2022 年 8 月 4 日

一般社団法人データ社会推進協議会
技術基準検討委員会

目次
Executive Summary ..................................................................................3
第1章

はじめに ........................................................................................4

1.1 背景 ................................................................................................................... 4
1.2 目的 ................................................................................................................... 5
1.3 本書の検討対象 ..................................................................................................... 5
1.4 本書の構成 ........................................................................................................... 6
第2章

ステークホルダーの懸念・不安及び要件 ...................................................7

2.1 ステークホルダー ....................................................................................................... 7
2.2 ステークホルダーの懸念・不安 ....................................................................................... 8
2.3 要件 ................................................................................................................. 10
2.3.1

要件の検討方法 .......................................................................................... 122.3.2

要件の検討結果 .......................................................................................... 12

2.3.3

法令遵守について ......................................................................................... 18

2.3.4

プライバシー侵害とプライバシーガバナンスについて....................................................... 18

2.3.5

データ品質について ........................................................................................ 19第3章

要件を実現する機能 .......................................................................20

3.1 IT の機能 ........................................................................................................... 20
3.1.1

制御機能 .................................................................................................. 20

3.1.1.1

ステークホルダーの特定 ............................................................................... 20

3.1.1.2

データへのアクセス制御 ............................................................................... 20

3.1.1.3

データの秘匿制御 .................................................................................... 21

3.1.1.4

データの改変制御 .................................................................................... 21

3.1.1.5

データの操作制御 .................................................................................... 22

3.1.1.6

その他の考慮すべき事柄 ............................................................................ 22

3.1.2

トレース機能 ............................................................................................... 22

3.1.2.1

ログの記録・蓄積 ..................................................................................... 23

3.1.2.2

ログの解析・レポーティング ............................................................................ 23

3.1.2.3

データ来歴管理機能 ................................................................................. 24

3.1.2.4

その他の考慮すべき事柄 ............................................................................ 24

3.2 要件とのマッピング .................................................................................................. 24
3.2.1

要件カテゴリ<1>: 契約した相手とのデータ取引 ...................................................... 25

3.2.2

要件カテゴリ<2>: データ収集・加工 ................................................................... 25

3.2.3

要件カテゴリ<3>: 利用目的 ............................................................................ 26

3.2.4

要件カテゴリ<4>: 第三者提供 ......................................................................... 26

3.2.5

要件カテゴリ<5>: 開示 ................................................................................. 26

3.2.6

要件カテゴリ<6>: 期限管理、削除 .................................................................... 26

3.2.7

要件カテゴリ<7>: 情報セキュリティ管理・秘密保持義務 ............................................ 27

第4章

おわりに .......................................................................................28©2022 Data Society Alliance1

第5章

付録 ..........................................................................................29

5.1 要件の検討詳細（懸念・不安の通番１～21） .............................................................. 29
5.2 本書に使われている用語 .......................................................................................... 50
5.3 参考資料 ........................................................................................................... 51
この文書について .......................................................................................53©2022 Data Society Alliance2

Executive Summary
デジタル化が進む社会において、データは価値の源泉である。データは単独で活用するよりも、組み合わせにより高い価値をもたらすことができる。そのため、安心・安全なデータ流通の実現は喫緊の課題であり、一般社団法人データ社会推進協議会(以下 DSA と表記)の使命である。データの提供者および利用者が互いに安全で信頼性の高いデータ流
通・活用を行うためには、データの提供や利用に関係する正当なステークホルダーが契約を行い、その契約を正しく履行することが必要である。
本書の目的は、組織間において契約に基づいてデータの取引を正しく履行するために必要な要件を整理し、要件を実現するための現在利用可能な支援技術についてまとめることである。本書により、データ取引の履行において、関係者がどのような要件を持ち、その要件を満たすために採用できる技術に何があるかを明確にする。
本書の執筆段階においてデジタル庁および内閣府知財戦略推進事務局から「プラットフォームにおけるデータ取扱い
ルールの実装ガイダンス ver1.0」が公表された。そこで、本書ではそのガイダンスが解説しているステークホルダーおよびその関心事を参照し、要件抽出に利用した。また要件の整理に当たっては、本ガイダンスのほか、経済産業省「AI・データの利用に関する契約ガイドライン」および個人情報保護法に関連するガイドライン等も参照している。
本書の結論として、利用目的など 7 種類のカテゴリごとにデータ提供者、データ利用者それぞれに対する要件を抽出した。また、それぞれの要件の設定には、以下の項目を考慮することが必要となる。
⚫

履行、すなわち契約に従った取引になっていることを確実にする⚫

検証、すなわちデータの提供契約中や契約後に、データ取引が契約条件に合致しているか確認できる要件を満たす技術については、「制御技術」および「トレース技術」に区分して整理した。制御技術は、主に契約の履行において、データの不正な利用や許可されていない者からのアクセスを拒否するため、データ転送時に介入する技術である。トレース技術は、主にデータ転送後の検証において、データの利用が正当なものであったかを検証するため、不正と思われる利用を発見し通知する技術である。現状でも様々な支援技術が利用可能だが、必ずしも技術によって要件が完全に満たせるとは限らない。そのため、要件ごとに、その要件を技術で充足させる際に制約となる事項や必要な前提
条件についても付記した。
本書の公開によって、データ取引の履行と検証における技術的な対応への関心が、関係者の間で高まっていくことを期待している。

©2022 Data Society Alliance3

第1章 はじめに
1.1

背景

デジタル化が進む社会において、データは価値の源泉である。データは単独で活用するよりも、組み合わせにより高い価値をもたらすことができる。そのため、安心・安全なデータ流通の実現は喫緊の課題であり、一般社団法人データ社会推進協議会(以下 DSA と表記)の使命である。いっぽう、日本は 2019 年に開催された G20 大阪サミットで DFFT
(Data Free Flow with Trust)を提唱し、各国の賛同を得ているが、その具体化は未だ道半ばである。この点からも、データ流通環境の整備は急務となっている。
データは、提供者から利用者に渡されることで流通される。データの提供者および利用者が互いに安全で信頼性の高いデータ流通・活用を行うためには、データの提供や利用に関係する正当なステークホルダーが契約を行い、その契約を正しく履行することが必要である。
このような状況において、2021 年 8 月より、デジタル庁および内閣府知財戦略推進事務局においてプラットフォーム
におけるデータ取扱いルールの実装に関する検討会が開かれ、「プラットフォームにおけるデータ取扱いルールの実装ガイダ
ンス ver1.0」が発行された[1] (以降ガイダンスと表記)。同ガイダンスでは対象となるプラットフォームのひとつとして、DSA が取り組む、分野を超えたデータ連携を目指すプラットフォーム DATA-EX を想定している。
類似の関心や要件を扱うため、国際的にいくつかの標準・規定が作られている。2018 年 12 月に発行された
ISO/IEC TR 23186:2018 では、複数のソースから得られるデータを扱う際に必要となるトラストのフレームワークを示している[2] 。この中で、データ提供者、データ利用者、そしてデータを提供する個人の関心を分析している。たとえば、データ提供を行う組織にとっては、データ提供先のデータ処理を行う組織が許可されたとおりにデータを使用しているか、データを提供する個人にとっては、個人情報が同意を得られた目的のためだけに使われるか、などの関心がある。これらの関心を満たすため、データ利用の義務・コントロール、データの起源記録、品質、整合性、セキュリティとプライバシーなどについての要件を記載している。
欧州では 2020 年に欧州委員会が公表した「欧州データ戦略」に基づき、2022 年 2 月に Data Act が公表された[3] 。Data Act では、さまざまな環境において取得、生成されるデータをデータ利用者が利用可能にすることや、事業者間のデータへのアクセスに関する不公平な条件、特に中小零細企業に一方的に課される不当な契約条件を禁止
すること、公益性の高いデータを公共セクターが利用できるようにするためのルールなどが規定されている。
さらに、欧州においては、ドイツ政府とフランス政府の主導でデータ流通のためのインフラである GAIA-X が立ち上がっている。GAIA-X ではデータ主権という考え方が提示され、契約に基づいてデータへのアクセスのみならず利用も制御するためのルールづくりが行われている。GAIA-X を技術的に下支えする IDS (International Data Spaces)という基盤も開発されている。IDS においては Usage Control という概念が定義されており、これは従来のアクセス制御の概念を拡張し、単なるアクセス許可に留まらない利用時の制限を行うことを目指している。その中には、データ転送後に「デー
タ利用者は契約が終了したときにデータを削除する」など、データを相手に渡したあとの取り扱いに関してのポリシーも規定されている。
健全なデータ流通には、データの提供者や利用者が正当であることも重要である。トラストサービスはデータ取引の信頼性を高めるために、電子署名、e シール、タイムスタンプなど包括的な電子認証サービスを提供することで、改ざんやな
りすましを防ぐ仕組みである。欧州では eIDAS 規則により、これらのトラストサービスの統一基準が定まっている。トラスト
サービスでは事前に身元確認などを実施することで、なりすましなどを防ぐことができるが、相手がデータ削除をしたかどうかなどを確認することは難しい。日本では、Trusted Web 推進協議会においてこの正当性の概念をさらに拡張し「相手が期待したとおりに振る舞うと信じる度合」をトラストと定義し、双方の意思を反映した動的な合意形成(Dynamic©2022 Data Society Alliance4Consent 機能)やそのプロセスやその後の履行状況を検証できる(Trace 機能)など 4 つの主要な機能とマルチステーク
ホルダーでのガバナンスをもとに、具体化のための検討を行っている[4] 。
1.2

目的

本書の目的は、組織間において契約に基づいてデータ取引を正しく履行するために必要な要件を整理し、要件を実現するための現在利用可能な支援技術についてまとめることである。データ取引契約の類型は相対取引、取引所取引など取引形態により様々な形式が考えられ、DSA において別途全体像の取りまとめを行っている。そのため、本書では契約の内容やその類型には踏み込まず、契約がある前提でその履行を確実に行うための要件を整理し、要件を満足するために必要となる支援技術について説明する。まとめると、本書により、データ取引の履行において、関係者にとって重要な要件は何か、そしてその要件を満たすためにどのような技術があるのかを示すことを目的としている。
また、本書ではこのガイダンスの内容を参照しつつ、より具体的にデータ取引関係者に求められる要件と、要件を満たすために必要な支援技術について説明することで、ガイダンスを補足する。具体的には、ガイダンスのうちデータ取引の部分の要件を明確化する。
なお、現在の技術のみでデータ取引に関係する要件を完全に満たすことは不可能である。たとえば、「データ利用者は契約が終了したときにデータを削除する」という要件があったとき、利用者がデータを削除し、削除したことをデータ提供者に対して完全に証明する無前提な技術的手段は残念ながら存在しない。現実には、技術の利用には関係者全員が導入しなければならない技術的な前提条件があったり、人が行うプロセスの支援が必要だったりする。そのため、これら技術的な前提や、技術で充足できない部分におけるプロセス上の考慮事項などについても補足する。
1.3

本書の検討対象

本書で対象としているデータ流通の大まかな流れは、次の段階から成り立つ。
1.

発見
データはデータカタログなどの形式で広告されることで利用可能になる。このデータカタログをデータカタログサイトの検索やマッチングサービスなどで発見することにより対象のデータを特定する

2.

契約
対象データについて、提供者と利用希望者の間でデータの利用契約を結ぶ

3.

履行
提供者と利用者の間でデータの取引を行う。データの取引にかかわる方法、データの利用期間、利用者、利用範囲などは、締結した契約条件に定められた通りとなっている必要がある。

4.

検証
データの提供契約中、または契約後においても、データ取引の履行が契約条件に合致しているか確認できる必要がある

これらを図 1 に示す。流通の各段階においては、技術によって発見、契約、履行、検証の各段階が支援できるものがあり、これらは技術、具体的にはソフトウェアによって実現される。たとえば、検証を行うために、様々なソフトウェアの実行履歴を記録することで材料収集を行うことができる。いっぽう、技術によって履行のすべてが担保できるわけではなく、法やルール、ガイドラインといった非技術要素も必要である。たとえば、実行履歴を収集しただけでは検証したことにならず、契約条件およびルールに照らし合わせてはじめて検証ができる。

©2022 Data Society Alliance5図 1 データ流通の大まかな流れ
前節で述べたように、本書では契約の履行を対象とする。そのため契約締結方法など、契約そのものについては対象とせず、契約がある上でのその履行となる実際のデータ取引、および、取引後に正しくデータ取引が行われたかどうかの検証を行う際のステークホルダーの関心や要件を対象とする。
1.4

本書の構成

第 1 章では、背景、目的、本書の位置付けを記載する。第 2 章では、本書で想定するユースケースと、ステークホルダ
ーの関心及び要件を整理する。第 3 章では、要件を実現するための機能について説明する。第 4 章で全体をまとめ、第 5 章は付録として本書に使われている用語、参考資料、補足資料についての情報を記す。

©2022 Data Society Alliance6

第2章 ステークホルダーの懸念・不安及び要件
2.1

ステークホルダー

本節では、データ取引に関するユースケースの例を通して、取引に関わるステークホルダーとその役割について検討する。
ガイダンスではデータ提供者、データ利用者のほかにいくつか役割が定義されている。データは「データ提供者」と「データ利用者」の間で受け渡されるため、データ取引の最小の当事者はこの 2 者である。しかし、データ提供者の上流に、デー
タ提供者に元となるデータを提供する上流関与者がおり、データ利用者の下流にも提供されたデータをもとに生み出した価値を利用する下流関与者がいる。また、プラットフォーム(PF)のステークホルダーが創出した価値を享受するエンドユー
ザーが存在する。注意すべきは、これらのステークホルダーの名前は役割を表しており、場面に応じて変わりうるということである。たとえば、あるとき「データ利用者」であったステークホルダーは、別の場面では当該データや派生データの「データ提供者」となることもあり得る。
本書で取り扱うステークホルダーを、DSA の前身であるデータ流通推進協議会(以下 DTA と表記)より継続して策定を行っている「データ取引市場運営事業者認定基準」[5]および「データ取引市場運営事業者認定基準の説明」[6] (以下本節中では「説明」と表記)のデータ取引市場の全体像に登場するステークホルダーと対比させて以下に列挙する。
⚫

データ生成者(ガイダンスにおける「上流関与者」)
ガイダンスでは被観測者または PF の上流にいるデータ提供者に相当し、PF ユーザーであるデータ提供者にデータを提供する者とされている。被観測者の場合、自らデータ生成や提供をしない場合がある。PF の上流にいる
データ提供者は自ら計測や観測を行う場合と、他者が持つデータを入手し提供する場合がある。
「説明」においてはデータ提供者、その中でも特にデータ生成者に相当する。

⚫

データ提供者
ガイダンスでは PF ユーザーとしてのデータ提供者と、PF 運営者のうち自らデータを取得したりデータ提供者からデータを受け取ったりして蓄積し、統合・加工、分析・価値創出のいずれかを実施して結果をデータ利用者に提供するデータ提供者が存在する。本ホワイトペーパーにおいては、これらはいずれもデータ提供者として扱う。「説明」においてはデータ提供者に相当し、同様にデータ生成者である場合もデータ流通支援事業者である場合もある。

⚫

データ利用者
ガイダンスでは被観測者やデータ提供者の立場で PF に参加する PF ユーザーとの関係でデータ利用者になる
場合と、PF からソリューション(価値)を享受するエンドユーザー や PF に参加してデータを受け取るデータ利用者が存在する。これらはいずれもデータ利用者として扱う。「説明」においては、データ提供者、特にデータ流通支援
事業者に相当するほか、提供されたデータをサービスや製品に活用するデータ提供先のこともある。

⚫

二次データ利用者(ガイダンスにおける「下流関与者」)
ガイダンスでは PF におけるデータ利用者からデータや創出されるソリューション(価値)を受け取る第三者提供
先やエンドユーザーが該当する。「説明」ではデータ提供者からデータの提供を受けてサービス・製品に活用するデータ提供先に相当する。

本書では要件や機能実装を行うべき主体をデータ提供者およびデータ利用者としている。それ以外のステークホルダ
ー、例えば二次データ利用者に対する要件は、前述のようにデータ流通が進むとデータ利用者がデータ提供者に、二次データ利用者がデータ利用者になることにより発生する可能性がある。
©2022 Data Society Alliance7

以上の関係をまとめると、図 2 のようになる。同じ色であらわされる部分が対応している。白色は対応関係がないことを示す。

図 2 ステークホルダーの対応関係

2.2

ステークホルダーの懸念・不安

本節では、次節にて要件を検討するために必要な各ステークホルダーの懸念・不安について、ガイダンスに記載される「懸念・不安」をもとに整理しながら説明する。
本書の目的の一つは、組織間において契約に基づいてデータ取引を正しく履行するために必要な要件を明らかにすることにあるため、データ社会推進協議会が考えるデータ取引と契約について、改めて整理する。

図 3 データ取引における契約とデータ利用
図 3 は、「データ取引市場運営事業者認定基準」[5] および「データ取引市場運営事業者認定基準の説明」[6]から、データ取引市場運営事業者が運営するデータ取引市場において、データ提供者がデータ提供先へデータ（商©2022 Data Society Alliance8品）を提供して、データ提供先がその対価を支払い、データ提供先が利用契約にしたがってデータ利用する様子を図示している。まず、データ取引市場運営事業者から延びる矢印で運営されているデータ取引市場(点線)において、データ提供者からデータ提供先へ右向きの矢印でデータ(商品)が提供され、データ提供先からデータ提供者へ左向きの矢印
でその対価を支払われる。このデータ取引(対価とデータ(商品)を囲む青枠)は、青字で示している標準約款にしたがって行われる。図 3 に(*)で示している標準約款とは、データ取引市場を運営するにあたってデータ取引市場運営事業者によって作成・公表されるもので、データ取引市場運営事業者とデータ提供者、データ取引市場運営事業者とデータ提供先との間で締結されるデータの取引方法及び安全対策等について定型化された契約を指す。提供されたデータはデータ
提供先が持つアプリ等によってデータ利用されるが、取引時や取引後に、緑字で示している利用契約を満たして取扱われる必要がある。図 3 では、緑色の矢印で利用契約を満たしているか確認していることを示している。確認が行われるタイミングは、1.3 節に示したデータ流通の大まかな流れのうち、現にデータ取引を行っている「履行」の段階、または取引後に利用契約を満たすデータ利用が行われているかを「検証」する段階である。
いっぽう、ガイダンスでは、「プラットフォームを介してデータ流通を促進し新たな価値の創出へとつなげるためには、1.2(2)及び(3)に記載したデータ流通を推進するに当たっての課題に対応し、価値創出プロセスの関与者を始めとするステークホルダーの懸念・不安を払拭するためのデータ取扱いルールの実装が必要となる。」としている。ステークホルダーの懸念・不安を払拭するためのデータ取扱いルールの実装は、プラットフォームのみならず、データ取引を正しく履行するために必要なことである。つまり、本書で明らかにする「組織間において契約に基づいてデータ取引を正しく履行するために必要な要件」は、それらの懸念・不安を払拭することが求められる。
そのため、本節では、次節で要件を検討するにあたって必要となる懸念・不安を、ガイダンスの記載から挙げる。
ガイダンスに記載された上記「1.2(2)及び(3)に記載したデータ流通を推進するにあたっての課題」と各課題に対応する具体的な「懸念・不安」をガイダンスの記載を元に表 1 に示す。表 1 では、課題１～９にカッコ付けをし、各懸念・不安を抱くステークホルダーに〇、及び通番 1～14 を付している。
表 1 データ流通を推進するにあたっての課題と懸念・不安
懸念・不安を抱く者
通懸念・不安（カッコ内の１～９は課題）
被観 データデータ
番
測者 提供者 利用者（1. 提供先での目的外利用（流用））1〇〇
自身が了承したデータ利用目的以外の目的でデータ提供先にデータが流用されてしまうのではないか（2. 知見等の競合への横展開）
2〇〇
データから獲得可能な知見がデータ提供先を介して競合に横展開されてしまうのではないか（3. 提供データについての関係者の利害・関心が不明）
3〇
提供されるデータについて、関係者の権利や利害・関心の処理・対応が適切になされているか（4. 対価還元機会への関与の難しさ）4〇〇創出されるソリューション（価値）に対するデータの貢献度合いが事後的に判明することが多いため、適正な利益配分を受けることが難しいのではないか（5. データ提供先のデータ・ガバナンスへの不安）
5〇〇
データ提供先における情報セキュリティ対策や他者知財（ノウハウ・著作物等）の尊重が不十分なのではないか
6〇〇
データ提供先においてデータ利用条件が遵守されないのではないか（6. 公正な取引市場の不足）©2022 Data Society Alliance
9

7

〇

〇

8

〇

〇

9
10
11

〇
〇
〇

12

〇

〇

13

〇

14

〇

公正な取引が第三者によって担保される場が不足しており、公正なデー
タ取引が困難なのではないか（7. 自身のデータが囲い込まれることによる悪影響）
自身を観測対象にしたデータや自身が提供したデータへの自身のアクセスや第三者へのアクセス許諾がデータ提供先によって制限されたり、データ
提供先にロックインされたりするのではないか（8. プライバシー侵害に対する懸念）
自身のパーソナルデータが勝手に収集されて利用されているのではないか
意図しない目的で利用されるのではないか
創出されるソリューション（価値）によって不当な差別的取扱いを受けるのではないか上記３項目の結果自身のプライバシーが侵害されるのではないか（9. 取引の相手方のプライバシーガバナンスへの不安）
データ提供先のプライバシーガバナンスが不十分で、パーソナルデータの第三者提供によって炎上が生じるのではないか
データ提供元のプライバシーガバナンスが不十分で、提供されるパーソナル
データの生成・収集や提供にプライバシー侵害リスクが潜んでいるのではな
いか（ガイダンスの 1.2(2)及び(3)に記載された「データ流通を推進するにあたっての課題」をもとに作成）
さらにガイダンスには、プラットフォーム上でノンパーソナルデータとパーソナルデータが流通する際の懸念・不安について具体例を示している（ガイダンス 図 14 および図 16 参照）。ガイダンスに示されたそれらの具体例のうち、表 1 と重複しないものを表 2 に示す。表 2 は表 1 と同様に、各懸念・不安を抱くステークホルダーに〇、及び表 1 からの通番 15～21 を付している。
表 2 懸念・不安の具体例
懸念・不安を抱く者
通懸念・不安
被観 データデータ
番
測者 提供者 利用者
15〇
データ提供者は適法な手段でデータを入手しているか
16〇
データ提供者は、上流関与者から課されたデータ処理条件を遵守し、これを踏まえた利用条件を課してデータ利用者にデータ提供しているか
17〇
データ提供者は、上流関与者との関係で利用条件の変更が必要になった際は速やかにデータ利用者へ通知しているか
18 〇〇〇
被観測者又はデータ提供者とデータ利用者はデータ取引契約を交わした
者か
19 〇
〇
データ利用者は、被観測者又はデータ提供者が同意した利用条件でデータを利用しているか
20 〇〇
利用後は法定保存期間及び契約に基づきデータ消去等の措置を講じて
いるか
21 〇
〇
第三者提供先は被観測者又はデータ提供者が同意した範囲の相手か（ガイダンスの図 14・図 16 に記載された懸念・不安の「具体例」をもとに作成）
以上の表 1・表 2 を参照しながら、次節にて要件の検討を行う。
2.3

要件

本節では、組織間において契約に基づいてデータ取引を正しく履行するために必要な要件について説明する。
©2022 Data Society Alliance10上記の「契約」について、ガイダンスでは、データ取引契約を定めるにあたって「AI・データの利用に関する契約ガイドラ
イン 1.1 版」[7] （以降契約ガイドラインと表記）を参照することを推奨している。本書では、契約ガイドラインの「データ提供型契約のモデル契約書案」を参照しながら要件の検討を行う。具体的な検討方法は 2.3.1 節に示す。
契約ガイドラインにある「データ提供型契約のモデル契約書案」を以下に示す。

第１条 （定義）

第８条 （提供データの管理）

・ 「提供データ」を定義する。

・ データ受領者の提供データの区分管理と善管注意義務

・ 提供データの対象、項目、件数等の提供データの詳細の特定が必要である。提供データの詳細等は別紙を用いて特定する。

・ 提供データの管理状況についての報告要求および提供データの管理方法の是正要求

・ 契約目的（データを提供する目的）を特定する。

第９条 （損害軽減義務）

・ 「派生データ」等解釈に幅のある概念を定義する。

・ データ受領者が提供データの漏えい等を発見した際の通知義務

第２条 （提供データの提供方法）

・ 提供データの漏えい等が生じた場合のデータ受領者の再発防止策等の検討・報告義務

・ 提供データの提供形式（紙、電子ファイル、電子ファイルのときはファイル形式）

第１０条 （秘密保持義務）

・ 提供データの提供手段（電子メールで送付、サーバからのダウンロード、サーバへのアクセス権の付与、記録媒体にデータを記録させ・ 秘密情報の定義
・ 秘密保持義務の内容とその例外て返送）
・ 提供データの提供頻度

・ 秘密保持義務が契約終了後も存続すること第３条 （提供データの利用許諾）

第１１条 （派生データ等の取扱い）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

・ 派生データの利用権限の有無

・ 第三者提供等の禁止

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権の帰属

・ 目的外利用の禁止

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権についての、データ提供者の利用権限

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止

・ 派生データのデータ受領者の利用に基づいて生じた知的財産権を利用して得られた利益の分配

・ 提供データに関する知的財産権の帰属第１２条 （有効期間）第４条 （対価・支払条件）（※従量課金の場合）

第１３条 （不可抗力免責）

・ 提供データの対価の金額あるいはその算定方法

・ 停電、通信設備の事故、クラウドサービス等の外部サービスの提供の停止または緊急メンテナンスも不可抗力として定める。

・ 提供データの対価の支払方法

第１４条 （解除）第５条 （提供データの非保証）第１５条 （契約終了後の措置）

・ 提供データに関する第三者の権利の非侵害の保証／非保証

・ 契約終了後の提供データの廃棄・消去

・ 提供データの正確性・完全性についての保証／非保証

・ 提供データの廃棄・消去証明書の提出

・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証

第１６条 （反社会的勢力の排除）

・ 提供データの有効性（本目的への適合性）についての保証／非保証

第１７条 （残存条項）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証

第１８条 （権利義務の譲渡禁止）第６条 （責任の制限等）

第１９条 （完全合意）

・ 提供データに関連して生じた紛争等の対応責任

第２０条 （準拠法）

第７条 （利用状況）

第２１条 （紛争解決)

・ 提供データの利用条件の遵守についての報告および監査契約ガイドラインは、データ提供型・データ創出型・データ共用型という３つの類型を提示している。３つの類型はステークホルダーの関係性が異なる。まず、データ提供型はデータ提供者とデータ利用者の役割が固定されている。いっぽう、データ創出型・データ共用型はステークホルダーがデータ提供者にもデータ利用者にもなる可能性があり、役割が固定されない。そのため、後者の契約項目は、データ提供型の契約項目に加え、両者が入れ替わることも視野に入れてデータ
利用権限の設定や収益の分配などについても定めることが必要となる。
ただし３類型とも、ある瞬間をとらえるとステークホルダーの誰かがデータ提供者かデータ利用者であると考えられる点は共通している。また、もしステークホルダーが３者以上で取引を行う場合、各人の役割がわかりにくくなるように思われるが、個別のデータに着目していくことで、誰がデータ提供者で、誰がデータ利用者であるか特定できると考えられる。つまり、３類型ともデータ取引のステークホルダーはデータ提供者とデータ利用者であると考えられる点は共通していることを踏
まえ、本書ではガイダンスが推奨するとおり、データ提供型を参照する。
さらにガイダンスでは、プライバシー侵害やプライバシーガバナンスに対する配慮を必要としている。本人（被観測者）のプライバシー侵害に対する懸念・不安は、パーソナルデータが誰にどのように収集されるのか、収集されたパーソナルデー
タが誰に渡されてどのように利用されるのか、その結果どのようなソリューション（価値）が創出されて誰がこれを享受するのか等によっても異なる。
この対応には個人情報保護法の遵守に加えて、本人（被観測者）のプライバシー侵害に対する懸念・不安も踏まえる必要がある。詳細については 2.3.4 節に後述するが、本書では個人情報保護法の規定を起点に要件を整理する。要件整理の起点とする個人情報保護法の関連文書を以下に示す。
「個人情報の保護に関する法律についてのガイドライン（通則編）」[8]

「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」[9]

「個人情報の保護に関する法律（2021 年改正）」[11]©2022 Data Society Alliance11

2.3.1 要件の検討方法
2.2 節で要件は懸念・不安を払拭することが求められると述べたが、本節では以下のステップで要件の検討を行う。
ステップ 1 懸念・不安の払拭につながる契約項目を特定する。
契約項目として、本書では前述のとおり「AI・データの利用に関する契約ガイドライン 1.1 版」[4] の「データ提供型契約のモデル契約書案」を参照する。
ステップ 2 ステップ 1 で特定した項目について、履行・検証を実施する主体ごとに要件として整理する。
ステップ 3 懸念・不安の払拭につながる個人情報保護法関連文書[8] [9] [10] [11] の条項を特定する。
ステップ 4 ステップ 3 で特定した条項について、履行や検証を実施する主体ごとに要件として整理し、ステップ 2 で得られた要件と統合・整理する。
ステップ 1・２は契約の観点、ステップ３・４は個人情報保護法の観点で、それぞれ独立して要件を検討し、ステップ
４の最後に両者を統合・整理する。
ガイダンスによると、法令遵守やプライバシー侵害・プライバシーガバナンスについても考慮が必要であり、また一般論として、データ品質についても要件として考えられるが、本書では 2.3.3 節～2.3.5 節のとおり言及するにとどめる。また前提として、日本国内を対象とする。欧州など他の国・地域とのデータ流通が必要となった場合や、AI など新たな要件を考慮する必要が出た場合などは、相手国の法令あるいは準拠ルール等を参照し対応する必要がある。
2.3.2 要件の検討結果
本項では、前項で示した要件の検討方法に従って、2.2 の表 1 に示した通番１の懸念・不安について要件を検討していく様子を一例として示すとともに、すべての懸念・不安について要件を検討した結果を示す。
(2.2 の表 1 に示した通番 1 の懸念・不安)
自身が了承したデータ利用目的以外の目的でデータ提供先にデータが流用されてしまうのではないか
この懸念・不安の中で最も強く意識されるのは「自身が了承したデータ利用目的」であり、その利用目的から外れた流用に対する懸念・不安を払拭することが必要である。

©2022 Data Society Alliance12

ステップ 1 懸念・不安の払拭につながる契約項目を特定する。
まず、契約ガイドラインの「データ提供型契約のモデル契約書案」のうち、上記通番１の懸念・不安の払拭につながる契約項目を特定した結果を以下に示す。
第１条 （定義）
・ 契約目的（データを提供する目的）を特定する。
第３条 （提供データの利用許諾）
・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。
・ 第三者提供等の禁止
・ 目的外利用の禁止
・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止
・ 提供データに関する知的財産権の帰属第５条 （提供データの非保証）
・ 提供データに関する第三者の権利の非侵害の保証／非保証
・ 提供データの正確性・完全性についての保証／非保証
・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証
・ 提供データの有効性（本目的への適合性）についての保証／非保証
・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証
第９条 （損害軽減義務）
・ データ受領者が提供データの漏えい等を発見した際の通知義務
・ 提供データの漏えい等が生じた場合のデータ受領者の再発防止策等の検討・報告義務
第１０条 （秘密保持義務）
・ 秘密情報の定義
・ 秘密保持義務の内容とその例外
・ 秘密保持義務が契約終了後も存続すること第１１条 （派生データ等の取扱い）
・ 派生データの利用権限の有無
・ 提供データのデータ受領者の利用に基づいて生じた知的財産権の帰属
・ 提供データのデータ受領者の利用に基づいて生じた知的財産権についての、データ提供者の利用権限
・ 派生データのデータ受領者の利用に基づいて生じた知的財産権を利用して得られた利益の分配
第１３条 （不可抗力免責）
・ 停電、通信設備の事故、クラウドサービス等の外部サービスの提供の停止または緊急メンテナンスも不可抗力として定める。

ステップ 2 ステップ 1 で特定した項目について、履行・検証を実施する主体ごとに要件として整理する。
求める要件は、契約に基づいてデータ取引を正しく履行するために必要な事柄であるため、契約を締結する「データ提供者」と「データ利用者」が要件の実施主体となる。つづいて以下に例示するように、契約項目ごと・実施主体ごとに要件となる事柄を整理した。
第７条 （利用状況）
・ 提供データの利用条件の遵守についての報告および監査第８条 （提供データの管理）
・ データ受領者の提供データの区分管理と善管注意義務
・ 提供データの管理状況についての報告要求および提供データの管理方法の是正要求

例えば、上記第３条の「第三者提供等の禁止」について、第 7 条「利用状況」と第８条「提供データの管理」を組み合わせると、データ提供者が主体となる要件は「データ提供者がデータ利用者における第三者提供履行状況を検証できること」となる。同様に、データ利用者が主体となる要件は「データ利用者がデータ提供者の定めた第三者提供条件に沿って第三者提供していることを履行・検証できること」となる。
このように、ステップ１の契約項目（第 1 条、第 3 条、第 10 条）について、実施主体をデータ提供者・データ利用者ごとにステップ２の契約項目（第 7 条、第８条）に沿ってまとめていった要件を表 3 に示す。
表 3 では要件の概要を理解しやすくするために、最左列に「要件カテゴリ」として要件の概要を記載した。
©2022 Data Society Alliance13表 3 通番 1 から整理した、契約に基づいてデータ取引を正しく履行するために必要な要件（ステップ２）
要件
要件カテゴリ
利用目的

第三者提供
情報セキュリテ
ィ管理・秘密保持義務

データ提供者が実施すること

データ利用者が実施すること

データ提供者がデータ利用者において利用目的にデータ利用者がデータ提供者に対して利用目的に沿った利用を検証できること

沿って利用していることを履行・検証できること

データ提供者がデータ利用者における第三者提供履行状況を検証できること

データ利用者がデータ提供者の定めた第三者提供条件に沿って第三者提供していることを履行・検証できること

データ提供者がデータ利用者における情報セキュリ
ティ管理状況を検証できること

データ利用者がデータ提供者の定めた情報セキュリ
ティ管理条件に沿っていることを履行・検証できること契約項目のうち、第１６条 （反社会的勢力の排除）、第１７条 （残存条項）、第１８条 （権利義務の譲渡禁止）、第１９条 （完全合意）、第２０条 （準拠法）、第２１条 （紛争解決）は、契約自体に関わる合意項目であるため、履行・検証の要件からは除外する。
ステップ 3 懸念・不安の払拭につながる個人情報保護法関連文書[8] [9] [10] [11] の条項を特定する。
次に、個人情報保護法関連文書のガイドライン[8] [9] を用いて、個人情報にかかる通番１の懸念・不安の払拭につながる条項を特定した結果を以下に示す。

©2022 Data Society Alliance14

■個人情報取扱事業者等の義務
・個人情報の利用目的（法第 17 条・第 18 条、第 21 条第 3 項関係）
利用目的の特定（法第 17 条第 1 項関係）
利用目的の変更（法第 17 条第 2 項、第 21 条第 3 項関係）
利用目的による制限（法第 18 条第 1 項関係）
事業の承継（法第 18 条第 2 項関係）
利用目的による制限の例外（法第 18 条第 3 項関係
・不適正利用の禁止（法第 19 条関係）
・個人情報の取得（法第 20 条・第 21 条関係）
適正取得（法第 20 条第 1 項関係）
要配慮個人情報の取得（法第 20 条第 2 項関係）
利用目的の通知又は公表（法第 21 条第 1 項関係）
直接書面等による取得（法第 21 条第 2 項関係）
利用目的の通知等をしなくてよい場合（法第 21 条第 4 項関係）
・個人データの管理（法第 22 条～第 25 条関係）
データ内容の正確性の確保等（法第 22 条関係）
安全管理措置（法第 23 条関係）
従業者の監督（法第 24 条関係）
委託先の監督（法第 25 条関係）
・個人データの第三者への提供（法第 27 条～第 30 条関係）
第三者提供の制限の原則（法第 27 条第 1 項関係）
オプトアウトによる第三者提供（法第 27 条第 2 項～第 4 項関係）
第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係）
外国にある第三者への提供の制限（法第 28 条関係）
第三者提供に係る記録の作成等（法第 29 条関係）
第三者提供を受ける際の確認等（法第 30 条関係）
・個人関連情報の第三者提供の制限等（法第 31 条関係）
本人の同意等の確認の方法（法第 31 条第 1 項関係）
提供元における記録義務（法第 31 条第 3 項、第 30 条第 3 項関係）
提供先の第三者における確認義務（法第 30 条第 1 項）
提供先の第三者における記録義務（法第 30 条第 3 項関係）
■保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止等（法第 32 条～第 39 条関係）
保有個人データに関する事項の公表等（法第 32 条関係）
保有個人データの開示（法第 33 条第 1 項～第 4 項関係）
第三者提供記録の開示（法第 33 条第 5 項、第 1 項～第 3 項関係
保有個人データの訂正等（法第 34 条関係）
保有個人データの利用停止等（法第 35 条関係）
理由の説明（法第 36 条関係）
開示等の請求等に応じる手続（法第 37 条関係）
■仮名加工情報取扱事業者等の義務
利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
第三者提供の禁止等（法第 41 条第 6 項関係）
本人への連絡等の禁止（法第 41 条第 8 項関係）
適用除外（法第 41 条第 9 項関係）
その他の義務等
不適正利用の禁止（法第 19 条関係）
適正取得（法第 20 条第 1 項関係）
安全管理措置（法第 23 条関係）
従業者の監督（法第 24 条関係）
委託先の監督（法第 25 条関係）
苦情処理（法第 40 条関係）
■個人情報でない仮名加工情報の取扱いに関する義務等
第三者提供の禁止等（法第 42 条第 1 項・第 2 項関係）
その他の義務等（法第 42 条第 3 項関係）
安全管理措置（法第 42 条第 3 項、第 23 条関係）
従業者の監督（法第 42 条第 3 項、第 24 条関係）
委託先の監督（法第 42 条第 3 項、第 25 条関係）
識別行為の禁止（法第 42 条第 3 項、第 41 条第 7 項関係）
本人への連絡等の禁止（法第 42 条第 3 項、第 41 条第 8 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の適正な加工（法第 43 条第 1 項関係）
匿名加工情報等の安全管理措置等（法第 43 条第 2 項、第 6 項、第 46 条関係）
（加工方法等情報の安全管理措置、匿名加工情報の安全管理措置等）
匿名加工情報の作成時の公表（法第 43 条第 3 項関係）
匿名加工情報の第三者提供（法第 43 条第 4 項、第 44 条関係）
識別行為の禁止（法第 43 条第 5 項、第 45 条関係）

ステップ 4 ステップ 3 で特定した条項について、履行や検証を実施する主体ごとに要件として整理し、ステップ 2 で得られた要件と統合・整理する。
上記の条項についてもステップ２と同様に要件を整理した結果、表 3 と重複しない要件として新たにデータの「開示」に関する要件が抽出された。要件カテゴリ「開示」として表 3 に要件を追加した表 4 を以下に示す。

©2022 Data Society Alliance15表 4 通番 1 から整理した、契約・個人情報保護法に基づいてデータ取引を正しく履行するために必要な要件（ステップ４）
要件
要件カテゴリ
利用目的

第三者提供

開示
情報セキュリテ
ィ管理・秘密保持義務

データ提供者が実施すること

データ利用者が実施すること

データ提供者がデータ利用者において利用目的にデータ利用者がデータ提供者に対して利用目的に沿った利用を検証できること

沿って利用していることを履行・検証できること

データ提供者がデータ利用者における第三者提供履行状況を検証できること

データ利用者がデータ提供者の定めた第三者提供条件に沿って第三者提供していることを履行・検証できること

データ提供者がデータ利用者における開示履行状

データ利用者がデータ提供者の定めた開示条件に況を検証できること沿って開示していることを履行・検証できること

データ提供者がデータ利用者における情報セキュリ
ティ管理状況を検証できること

データ利用者がデータ提供者の定めた情報セキュリ
ティ管理条件に沿っていることを履行・検証できること

表 4 と通番１「自身が了承したデータ利用目的以外の目的でデータ提供先にデータが流用されてしまうのではないか」という懸念・不安に対して強く対応している要件カテゴリは「利用目的」であり、流用に対する懸念・不安を解消する要件として、「第三者提供」、「開示」、「情報セキュリティ・秘密保持義務」と整理できる。
以降同様にして、通番 2～21 について要件を検討した結果（要件①～⑭）を表 5 に示す。次節以降で説明しやすくするため、要件カテゴリに＜1＞～＜7＞の番号を付記した。
なお、各懸念・不安(通番１～21)と、懸念・不安の払拭につながる契約項目(ステップ 1)、懸念・不安の払拭につながる個人情報保護法の条項(ステップ 3)、それらの項目から整理される要件カテゴリ(ステップ 2・ステップ 4)の対応関係については、本書末尾の第 5 章付録の 5.1 に示す。
表 5 組織間において契約に基づいてデータ取引を正しく履行するための要件
要件
要件カテゴリ<1>契約した相手とのデータ取引<2>収集・加工<3>利用目的<4>第三者提供

データ提供者が実施すること

データ利用者が実施すること①データ提供者がデータ利用者および対象デー②データ利用者がデータ提供者および対象デー

タを特定し、契約したデータ取引を履行・検証

タを特定し、契約したデータ取引履行・検証で

できること

きること

③データ提供者がデータ利用者に対し契約や④データ利用者がデータ提供者から提供された

規律に沿って収集・加工したデータであることをデータが契約や規律に沿って収集・加工したデ履行・検証できることータであることを検証できること⑤データ提供者がデータ利用者において利用
目的に沿った利用を検証できること⑥データ利用者がデータ提供者に対して利用目的に沿って利用していることを履行・検証できること⑦データ提供者がデータ利用者における第三者提供履行状況を検証できること⑧データ利用者がデータ提供者の定めた第三者提供条件に沿って第三者提供していることを履行・検証できること©2022 Data Society Alliance16

<5>開示<6>期限管理、削除⑨データ提供者がデータ利用者における開⑩データ利用者がデータ提供者の定めた開示条

示履行状況を検証できること

件に沿って開示していることを履行・検証できること⑪データ提供者がデータ利用者における期⑫データ利用者がデータ提供者の定めた期限管

限管理、削除履行状況を検証できること

理および削除を履行・検証できること<7>情報セキュリティ⑬データ提供者がデータ利用者における情管理・秘密保持義務

報セキュリティ管理状況を検証できること⑭データ利用者がデータ提供者の定めた情報セキ
ュリティ管理条件に沿っていることを履行・検証できること

また、懸念・不安と要件の対応関係について、要件カテゴリ（<1>～<7>）ごとに強く対応している懸念・不安（複数の対応も可）に絞って表 6 に示す。
表 6 要件カテゴリに強く関連する懸念・不安
要件カテゴリ<1>契約した相手とのデータ取引

懸念・不安

懸念・不安
被観測者又はデータ提供者とデータ利用者はデータ取引契約を交わした者か
通番 18<2>収集・加工

懸念・不安 提供されるデータについて、関係者の権利や利害・関心の処理・対応が適切
通番 3 になされているか
懸念・不安 創出されるソリューション（価値）に対するデータの貢献度合いが事後的に判通番 4 明することが多いため、適正な利益配分を受けることが難しいのではないか
懸念・不安
自身のパーソナルデータが勝手に収集されて利用されているのではないか
通番 9
懸念・不安 データ提供元のプライバシーガバナンスが不十分で、提供されるパーソナルデー
通番 14 タの生成・収集や提供にプライバシー侵害リスクが潜んでいるのではないか
懸念・不安
データ提供者は適法な手段でデータを入手しているか
通番 15<3>利用目的

懸念・不安 自身が了承したデータ利用目的以外の目的でデータ提供先にデータが流用さ
通番１ れてしまうのではないか
懸念・不安 提供されるデータについて、関係者の権利や利害・関心の処理・対応が適切
通番 3 になされているか
懸念・不安 創出されるソリューション（価値）に対するデータの貢献度合いが事後的に判通番 4 明することが多いため、適正な利益配分を受けることが難しいのではないか
懸念・不安
データ提供先においてデータ利用条件が遵守されないのではないか
通番 6
懸念・不安
意図しない目的で利用されるのではないか
通番 10
懸念・不安 創出されるソリューション（価値）によって不当な差別的取扱いを受けるので通番 11 はないか
懸念・不安
通番 9～11 の結果自身のプライバシーが侵害されるのではないか
通番 12
懸念・不安 データ提供者は、上流関与者から課されたデータ処理条件を遵守し、これを踏通番 16 まえた利用条件を課してデータ利用者にデータ提供しているか
懸念・不安 データ提供者は、上流関与者との関係で利用条件の変更が必要になった際
通番 17 は速やかにデータ利用者へ通知しているか
懸念・不安 データ利用者は、被観測者又はデータ提供者が同意した利用条件でデータを
通番 19 利用しているか©2022 Data Society Alliance17

<4>第三者提供

懸念・不安 データから獲得可能な知見がデータ提供先を介して競合に横展開されてしまう
通番 2 のではないか
懸念・不安 データ提供先のプライバシーガバナンスが不十分で、パーソナルデータの第三者
通番 13 提供によって炎上が生じるのではないか
懸念・不安 データ提供元のプライバシーガバナンスが不十分で、提供されるパーソナルデー
通番 14 タの生成・収集や提供にプライバシー侵害リスクが潜んでいるのではないか
懸念・不安
第三者提供先は被観測者又はデータ提供者が同意した範囲の相手か
通番 21

<5>開示

懸念・不安 データから獲得可能な知見がデータ提供先を介して競合に横展開されてしまう
通番 2 のではないか
懸念・不安 提供されるデータについて、関係者の権利や利害・関心の処理・対応が適切
通番 3 になされているか
自身を観測対象にしたデータや自身が提供したデータへの自身のアクセスや第懸念・不安三者へのアクセス許諾がデータ提供先によって制限されたり、データ提供先にロ
通番 8
ックインされたりするのではないか<6>期限管理、削除

懸念・不安 利用後は法定保存期間及び契約に基づきデータ消去等の措置を講じている
通番 20 か<7>情報セキュリティ
管理・秘密保持義務

懸念・不安 データ提供先における情報セキュリティ対策や他者知財（ノウハウ・著作物
通番 5 等）の尊重が不十分なのではないか

ただし、表 6 には通番７を記載していない。その理由は、通番７（公正な取引が担保される場の不足）は本書でまとめようとしている契約に基づいてデータ取引を正しく履行するために必要な要件や、その要件を実現するための支援技術とは別の問題であると解釈したためである。また、通番７で述べられている「公正な取引」についてはガイダンスにも言及されており、「公正な取引の実施」を担保するために、「PF 上で不当な目的のためのデータ流通や不当な条件でのデータ流通が生じないよう、リスクの影響度と頻度に応じて PF の利用規約に防止策を盛り込むことが重要」と指摘している。
2.3.3 法令遵守について
データに対するコントローラビリティの確保は、プライバシーの尊重のほか知的財産や経営上の機微情報の尊重のためにも必要となる。したがって、データ取扱いルールを実装する際、法令遵守は最低限の要件となる。データを取扱う際に関係する法令については契約ガイドラインに記載されている。したがって、本書では本節での言及にとどめ、要件としては取扱わないこととする。
2.3.4 プライバシー侵害とプライバシーガバナンスについて
データ取引において、本人（被観測者）は、パーソナルデータの取扱いやプライバシー尊重のための対応について十分な情報が得られない場合、自身のパーソナルデータの取扱いについて漠然とした懸念・不安を抱くこともある。したがって、プラットフォーム上で本人（被観測者）からパーソナルデータを取得してこれを利用するデータ利用者や、本人（被観測者）から受領したパーソナルデータをプラットフォーム上で第三者に提供するデータ提供者は、パーソナルデータの取扱いやプライバシー尊重のための対応について十分に説明し、本人（被観測者）とのコミュニケーションを積極的に図るなど、より能動的にプライバシー問題へ対応することが求められる。
ガイダンスではプライバシー保護に立脚した議論がなされているが、プライバシーは主観に依存する部分が大きいため、本書では直接取り扱うことは困難である。
いっぽう、プライバシーと関わりの深い個人情報の取扱いについて定めた法律として個人情報保護法がある。
©2022 Data Society Alliance18個人情報保護法は、個人の権利利益を保護することを目的として、予防的に個人情報の取扱いに関する義務の遵守を求める法律で、個人の権利利益には「プライバシー」、「名誉」、「生活の平穏を乱されないこと」、「不当な差別を受けないこと」などを含むとされている。本書では、この個人情報保護法の規定を起点に要件を整理した。
2.3.5 データ品質について
DSA ではデータ品質に関連する技術基準についても検討を行っており、直近ではセンシングデータのデータ品質モデルと評価方法をまとめたホワイトペーパー[12] を公開した。今後も多岐に渡るデータ品質に係る論点を整理する予定である。データ品質に関する考え方については、ホワイトペーパー[12] の「ANNEX-2 データ品質に関する基本的な考え方の整理」などを参考にされたい。
「データ品質」はデータを利用する際に検証されるべき要件として考えられるが、前記のとおり DSA にてデータ品質に関連する技術基準の検討を行っている段階のため、本書では本節での言及にとどめ、要件としては取扱わないこととする。

©2022 Data Society Alliance19第3章 要件を実現する機能
3.1

IT の機能

前項までで説明した要件を満たすための機能は，大きく二つに分類することができる。一つが組織間における契約に基づくデータ取引において、契約の範囲で利用することを確実にし、逸脱するデータ提供やデータ利用を防止する各種の制御機能である。もう一つは、データの操作が行われた後にそのログを精査し、来歴管理し、データ流通が正当に行われていることを確認するとともに、不正な利用を発見・通知するのを目的としたトレース機能である。これは主に制御機能ではカバーできない範囲を補完し、正当性の確認が可能な範囲を増やすために用いられる。以降はこの二つに分けて、それぞれの機能と技術の一例を解説する。
3.1.1 制御機能
この項目では、データの契約を行う際、そして契約をもとにデータをやり取りする際、データ利用者が契約を逸脱したデータ利用を行うことを防止するための機能と技術の例を記載する。なお、データ流通の特性上悪意ある不正のすべてを防止できるわけではなく、またコストも生じるため、実際に運用するためには次項で述べるトレース機能、または法やルールによる規制と罰則を併用する必要があることには留意すべきである。
3.1.1.1

ステークホルダーの特定(1) 契約の改竄防止・双方の真正性の保証（要件カテゴリ<1>に対応）
契約の改竄防止・双方の真正性の保証という機能は、一度発行した契約情報の修正を不可能にしたり、また、ステークホルダーの身元を証明したりすることができるものである。データ流通の契約はこれにより、契約者同士の真正性が保証され、なりすましが行われていないことを証明したうえで実施することができる。これはデータ生成者とデータ提供者の間、あるいはデータ提供者とデータ利用者の間、データ利用者と二次データ利用者の間で確認されるべきである。以下にこれらを実現する技術の一例を示す。
•

電子署名：あらかじめ公開鍵を持つ相手に対し、秘密鍵で署名したデータを送信することで、データ改ざん検知と証明元の真正性保証を行うことができる技術。公開鍵の受け渡しは次項の公開鍵基盤を使って行う。

•

公開鍵基盤：認証局が公開鍵と公開鍵の持ち主の対応関係を保証し、公開鍵のすり替えなどによるなりすま
しを防止する技術。
o•例）X.509

Decentralized Identifiers (DIDs)：認証の情報を含む分散型 ID。中央集権的な認証の仕組みを持たず、それぞれの DID が認証情報を含む。この認証情報を用いて、送信元について確認・検証することが可能
である。
o

•

例）Azure AD Verifiable Credentials

e シール：電子文書の発信元の組織を示す暗号化等の措置で、企業の角印の役割を果たす。これによりその電子文書の発行元を保証することができる。

3.1.1.2

データへのアクセス制御(1) データへのアクセスコントロール（要件カテゴリ<1><7>に対応）
データのアクセスコントロール機能は、データの一部または全体に対して、許可されたユーザーのみがアクセスできるようにするものであり、データ流通の際はこの機能を用いて契約で定められた者のアクセスのみを許可するべきである。これは技©2022 Data Society Alliance20

術を用いて、ネットワーク、ストレージ、アプリケーション等、様々な観点で実行することができる。以下に技術の一例を示す。なお、データの流通制御・複製制御を実現する技術にもアクセス制御の仕組みを有するものがあり、用途や特長に応じて選択していくことが望ましい。
•

ディレクトリサービス：ネットワーク上に存在するコンピューター、ファイル、プリンターなど各種リソースを管理する技術。多くがアクセスコントロールの機能を持ち、限られたユーザーにのみにのみ各種リソースへのアクセス権を付与することができる。
o•例）Active Directory

ファイアウォール：インターネットと組織のネットワーク境界に設置され、情報の出入りをコントロールする技術。IP
アドレスやポート番号に対するすべての通信を対象とするファイアウォールのほか、Web アプリケーションを防御の対象とする Web Application Firewall や不正通信を監視・検知して侵入を防止する Intrusion
Prevention System がある。

3.1.1.3

データの秘匿制御(1) 匿名加工情報の匿名化（要件カテゴリ<2><3>に対応）
匿名化機能とは、データにある種の加工を加えることで、そのデータから個人が特定できないようにするものである。匿
名加工情報を流通させる場合には、適切な匿名化が行われている必要がある。この匿名化は政府の定める匿名加工
情報の適正な加工のガイドライン[9] に基づくものでなければならない。以下に使える可能性のある技術の一例を示す。
•

差分プライバシー：データに対して解析に大きな影響を与えない範囲でノイズを加えることでプライバシーを保護する技術。これにより、統計処理の結果を維持しつつも、攻撃から一定の防御をすることができる。

•

k-匿名化：秘匿したいある属性について、同じ値を持つデータが k 個以上になるように匿名化を施す匿名化方法。これにより、事前情報を多く持たない攻撃者からは個人の特定が困難になる。

(2) 盗聴による悪意のある介入の防止（要件カテゴリ<1><3>に対応）
盗聴防止の機能とは、データを送受信するネットワークについて、悪意ある他者からこれを傍受され、悪用されることがないよう防御するものである。これも前項同様、どのステークホルダーであるかに関わらず、全てのデータのやり取りに適用されるべきである。以下にこれらを実現する技術の一例を示す。
•

専用回線：物理的な専用回線を敷き、安全にデータをやり取りする技術。

•

VPN：暗号化によって仮想的な専用回線を作成し、安全にデータをやり取りする技術。

3.1.1.4

データの改変制御(1) データに行われた改変・改竄の検知（要件カテゴリ<2>に対応）
改変・改竄の検知機能とは、送信したデータがオリジナルデータと同じものであるかどうかを判定する機能である。オリジ
ナルデータを改変しないことが契約に含まれる場合、この機能によって改変が行われたことを検知して即座に発見し、処理を止められるようにするべきである。以下に技術の一例を示す。
•

電子署名：あらかじめ公開鍵を持つ相手に対し、秘密鍵で署名したデータを送信することで、データ改ざん検知と証明元の真正性保証を行うことができる技術。公開鍵の受け渡しは公開鍵基盤を使って行う。

•

タイムスタンプ：時刻認証業務認定事業者によって付与され、ある時刻にデータが存在していること、それ以降改変されていないことを証明することができる。

©2022 Data Society Alliance21

3.1.1.5

データの操作制御(1) データ操作のコントロール（要件カテゴリ<3><4><6><7>に対応）
データ操作のコントロール機能とは、データに対して可能な操作（読み込み、書き込み、etc.…）を制限するものである。データ利用者がデータを操作する際には、処理はできる限り利用目的に沿ったものに制限されるべきであり、バックアップやレプリケーションなどに代表される正当な利用目的に反する複製はこの機能によって拒否されることが望ましい。ただしデータの画面写真を撮るなどと言った方法による複製・それに伴う悪意ある使用用途の逸脱を防ぐことは難しいため、法による罰則と併せて運用する必要がある。これを部分的に実現する技術の一例を示す。
•

Digital Rights Management：主に一部の拡張子のファイルに対して、専用のクライアントアプリを介し強力な複製・流通制御を実現する技術。それ以外の一般的なファイルについてはファイルの開閉権限のみをサポートする。これにより、一部の拡張子ファイルについてはコピー＆ペーストといった操作まで検知して防止することが
可能。
o

•

例）Azure Rights Management

データのアプリ単位のアクセス制御：データへのアクセスをアクセス元プログラム単位で制限することで、利用目的に沿わない処理が行われる可能性を軽減する。
o•例）data sharing controllers on Kubernetes[16] [17]Usage Control：データアクセスが許可された後にそれに対して使用制限を適用する。データの処理、集約、転送を継続的にコントロールすることで、データの不正使用を防止する。
o3.1.1.6例）Usage Control in the International Data Spaces[18]その他の考慮すべき事柄

ここでは上記技術に含まれず、技術で解決する必要がないもの、あるいは現在の技術では解決が難しいものでありな
がら、前節で紹介した要件を満たすうえで必要となるであろう事柄について述べる。
(1) 契約内容や契約に対する同意の参照（要件カテゴリ<1>に対応）
データ提供者とデータ生成者との間、および、データ提供者とデータ利用者との間で適切な契約がなされていることは、
いつでも開示可能であるべきである。また、データ生成者の求めに応じて契約内容を平易に参照できるべきである。これらを実現するユーザビリティおよび仕組みが整備されていることが望ましい。
(2) 適法性の検証可能性（要件カテゴリ<2><7>に対応）
情報収集およびその管理方法が適法であるかどうかを検証できるよう、データ利用用途や第三者提供の有無などの契約情報は、データ生成者または監査を行う第三者機関の求めに応じて開示すべきであり、また、変更があった場合にはデータ生成者に対して速やかに通知されるべきである。
3.1.2 トレース機能
トレース機能は、データ流通が契約や規約に基づいて正しく行われたことを確認し、データ流通の透明性を高めることを目的とする機能である。
3.1.1 節で説明した制御機能は、あらかじめ設計された範囲・制限内でのみ有効であり、悪意のある利用者や第三者による攻撃・ソフトウェアの不具合・人的ミスによる事故を完全に防ぐものではない。そこで、データの取り扱いに関する事象（ログ）を記録し、万一の場合に影響あるデータの範囲を迅速に把握し対応する機能が求められる。
また、利用契約通りにデータが取り扱われていることを検証するためには「どのデータからどのデータが生成・複製されたのか」などのデータの来歴や派生データを管理する機能が必要となる。
©2022 Data Society Alliance22さらに、上記のログ・来歴情報をプラットフォーム参加者と紐付けて蓄積することで、参加者がデータ流通に関する契約を正しく履行したという実績を積むことができ、参加者同士での信頼構築に役立つと期待される。
3.1.2.1

ログの記録・蓄積

契約通りにデータ流通が行われていることを当事者間で表明・確認するために、データへのアクセスログやデータの操作
ログの蓄積が不可欠である。このようなログはサイバー攻撃・犯罪捜査・障害対応の備えとして求められるだけでなく、例
えばデータの使用量に対する課金を行う場合のように、様々な用途で重要なデータとなる。
「コンピュータセキュリティログ管理ガイド」[13] には、コンピューターのセキュリティログ管理の効率と効果を高めるために、次の推奨事項が挙げられている：•

ログ管理に関するポリシーおよび手順を確立する。

•

組織全体のログ管理に適切な優先順位付けを行う。

•

ログ管理インフラストラクチャを構築および維持する。

•

ログ管理の各種責任を担うスタッフに対して適切な支援を提供する。

•

ログ管理に関する標準的な運用プロセスを確立する。

•

また、ログに機密情報を含む場合ログ自体の漏洩対策も必要である。

ログを記録・蓄積する技術として次が挙げられる。
•

セキュリティソフトウェア
マルウェア対策ソフトウェア、侵入検知および防止システム、Web プロキシ、認証サーバ、ファイアウォールなど。ア
クセスログや重要なイベントなどを記録する。

•

オペレーティング・システム (OS)
システムイベントログや監査記録を自動的に記録する。

•

アプリケーション
一般に、クライアントからの要求・サーバからの応答、認証結果、重要なアクションをログに記録する。

•

クラウド環境でのログ管理サービス
クラウド環境特有の大量・高スループットのログを記録・蓄積する。

3.1.2.2

ログの解析・レポーティング

契約通りにデータ流通が行われていることを膨大なログから判断するのは人手では不可能なためログ解析・レポーティ
ング機能が必要となる。これにより、これまで示した機能に何らかの脆弱性があった場合や、制御機能の管理を逸脱した部分における事故や不正利用があった場合に迅速に気付くことができるようになる。技術の例として次が挙げられる。
•

Intrusion Detection System (不正侵入検出システム)：システムに対する侵入／侵害を検出・通知するシステムのこと。システムを監視し、セキュリティポリシーを侵害するような行為を検出した場合に、その行為を可能な限り早く管理者に伝えるとともに、調査分析の作業を支援するために必要な情報を保存・提供することが目的である。（出典：独立行政法人情報処理推進機構. 用語集 技術コース標準編／専門編 [14] ）•ログ管理サービス：複数種のログを一元管理することで、ログからシステムの不正な振る舞いや外部からの攻撃の予兆を分析・可視化したり、データ漏洩を検知したりできるサービス。AWS CloudWatch, Datadog など。
©2022 Data Society Alliance23

3.1.2.3

データ来歴管理機能

流通するデータの来歴に関する情報（データの出処・加工処理の内容、責任の所在、ライセンスなど）が管理され利用できることが望ましい。来歴情報を利用することで次の事柄が実現できる。
•

影響範囲のトレース：流通データを更新・削除する場合や、データ漏洩のような事故が生じた場合に、影響範
囲を迅速に把握する。

•

データ品質の表明・確認：提供者が提供データの品質を表明したり、利用者がその品質を確認したりすることもできる。

技術の例として次が挙げられる。
•

Chain Data Lineage：使いたいデータが「どこで発生して、どのように加工されて現在の状態になったのか」という過去の経緯を明確に示すことができる。来歴情報はブロックチェーンに書き込むことで耐改ざん性を有する。

•

Apache Atlas：Hadoop エコシステムにおいてメタデータ管理およびガバナンス機能を提供するソフトウェアであり、来歴を含むメタデータを管理する。

•

PROV-DM：汎用のデータ来歴のデータモデルであり、W3C により策定・勧告されている。

3.1.2.4

その他の考慮すべき事柄

ここでは 3.1.1.6 と同様に、技術の適用範囲外の事柄についてまとめる。
(1) 通知・開示の実施・補償（要件カテゴリ<5>に対応）
予期せぬ事故・データの不正利用などが発見された場合に備えて法に照らした対応（例：ステークホルダーへの通知）や補償内容を策定しておくこと。
(2) データ消去証明（要件カテゴリ<6>に対応）
特にデータを消去したという事実を信頼できる第三者に証明してもらう方法として、認定事業者によるデータ消去サー
ビスがある。詳しくはデータ消去技術 ガイドブック[15] を参照のこと。
3.2

要件とのマッピング

本節では、前節で述べた機能が各要件をどの程度充足するかをまとめ、それぞれの技術的な前提条件や制約について考察する。
表 7 に要件と機能の簡単な対応関係を示す。チェックマークは関係があることを示すものであり、その機能一つで要件を満たすこと、および、要件を満たすために必ず使用しなければいけないこと、を示すものではない。要件に対応した機能の中から要件やデータの重要性に合わせて選択し、組み合わせて用いることが望ましい。

©2022 Data Society Alliance24

表 7 要件と機能の対応
制御機能要件カテゴリ（§
2.3.2）<1>契約した相手とのデータ取引トレース機能

ステーク

データへの

ホルダー

アクセス制

の特定

御

✔

✔

データ

データ

の秘

の改

匿制

変制

御

御

データの複 ログの記録／解製・流通

析・レポーティン制御

グ✔

<2>収集・加工✔

<3>利用目的✔

<4>第三者提供✔

データ来歴管理

✔
✔

✔

✔
✔

✔

✔

✔

<5>開示

✔

✔

<6>期限管理、削
除

✔

✔

✔

✔

✔

<7>情報セキュリティ
管理・秘密保持義✔

務

3.2.1 要件カテゴリ<1>: 契約した相手とのデータ取引
制御機能
前節で述べたように、認証局や公開鍵基盤を仲立ちとする認証技術（3.1.1.1）や、アクセスコントロール技術（3.1.1.2）が既に普及している。 悪意ある第三者のなりすましを防ぐ技術も存在する（3.1.1.3）。
トレース機能アクセスログや監査記録を分析することで、なりすましの有無の検証や影響範囲の特定が事後的に可能である。
考察
制御機能、トレース機能を組み合わせることで、本要件は充足できると考えられる。ただし、証明書やログの改ざん・偽造・否認が行われないようなプロセスや体制を前提とする。
3.2.2 要件カテゴリ<2>: データ収集・加工
制御機能
匿名加工を行わなければならないデータに関しては、提供者が匿名化技術（3.1.1.3）を用いて適切にこれを匿名化することが求められる。また、そうでない場合でも改変・改ざん検知技術（3.1.1.4）を用いることで、提供者または利用者が契約で認められていないデータの改変・改ざんを行うことを防止することができる。
トレース機能
データ来歴管理機能 (3.1.2.3) によりデータの出処や加工処理の内容などに関して透明性を高めることができる。
考察
ログの運用体制については<1>と同じ。
©2022 Data Society Alliance25

3.2.3 要件カテゴリ<3>: 利用目的
制御機能
プライバシーを含む情報の匿名化や、盗聴防止（3.1.1.3）などを用い、できるだけセンシティブな情報を含まないデータを正規の取引相手にのみ渡すことで、悪質な目的外利用を抑止することが可能であると考えられる。また、データ操
作のコントロール技術（3.1.1.5）を用い、提供先のデータを扱うアプリケーションなどに制約をかけることが可能である。
トレース機能
必要なログをデータ利用者が記録することで、データ提供者・データ利用者は目的外利用の有無を検証可能である。
考察
検証のためにログの粒度を細かくする必要があるいっぽう、プライバシー権や企業秘密侵害に留意する必要がある。
また、データ操作の制御技術（3.1.1.5）はコピー＆ペーストや画面の撮影などの方法で別の目的に流用されることすべてを防ぐものではないことは留意する必要がある。
3.2.4 要件カテゴリ<4>: 第三者提供
制御機能
複製制御や流通（再頒布）制御に特化した支援技術（3.1.1.5）の使用を利用者に義務づけることで可能である。
デジタルコンテンツ保護目的の DRM (Digital Rights Management)、企業が従業員に貸与する端末を管理する目的の DLP (Data Loss Prevention)などが普及している。
データの改変が制限されている場合は、改変制御機能（3.1.1.4）を用いることができる。また、プライバシーを含む
情報は個人の特定目的に使われないようにするため、適切に匿名加工（3.1.1.3）することが望まれる。
トレース機能複製・流通をログとして記録することで、適切な第三者提供がなされていることを事後的に検証可能である。
考察
複製や流通を完璧に禁止するソフトウェア技術は存在しえない。例えば利用者が DRM・DLP など複製や流通を制御するソフトウェアを迂回しないことを前提とする。
支援技術やログの運用体制については<1>と同じ。
3.2.5 要件カテゴリ<5>: 開示
制御機能
制御機能には開示を検証するための技術はない。
トレース機能開示をログとして記録することで、適切な開示がなされていることを事後的に検証可能である。

3.2.6 要件カテゴリ<6>: 期限管理、削除
制御機能
データの複製・流通制御に特化した支援技術（3.1.1.5）の使用を利用者に義務づけることで一部制御が可能である。
©2022 Data Society Alliance26トレース機能
期限切れリソースへのアクセスや削除イベントをログとして記録することで事後的に検証可能である。
考察
支援技術やログの運用体制については<1><3>と同じ。
3.2.7 要件カテゴリ<7>: 情報セキュリティ管理・秘密保持義務
制御機能定められた情報セキュリティを履行するための技術として、アクセスコントロール（3.1.1.1）、データの複製・流通制御（3.1.1.5）を用いることが可能である。
トレース機能
上述の制御機能の動作ログを記録することで事後的に検証可能である。
ログの保持期間がデータの類型や用途によって法令・規則で定められている場合があるため留意する。

©2022 Data Society Alliance27

第4章 おわりに本書では、組織間の契約に基づくデータ取引に関する各ステークホルダーの関心および要件を整理し、各要件を実現するための支援技術についてまとめた。
1.1 節で紹介したように、本書で扱った関心や要件に関係する標準や規則が欧州や国際機関等で作られ始めている。これらの標準や規則で扱う内容との比較や互換性については今後の課題としたい。
本書で言及した支援技術のなかには、健全なデータ取引のために不可欠であり既に普及しているものもあるいっぽう、これらの技術のみで要件が完全に満たされるわけではない。悪意のある不正の全てを防止・監査できるわけでなく、ルールや法規制などとの併用が必要である。
今後は、特にパーソナルデータ流通やデータの越境流通に関して、法律や制度面での位置づけ・技術的課題などが明らかになると予想される。本委員会としても、DSA 内外の組織と連携し、あらゆる分野におけるデータ流通・利活用の課題を解決する取組みを推進する予定である。

©2022 Data Society Alliance28

第5章 付録
5.1

要件の検討詳細（懸念・不安の通番１～21）

本節では、懸念・不安(通番１～21)ごとに、懸念・不安の払拭につながる契約項目(ステップ 1)、懸念・不安の払拭につながる個人情報保護法の条項(ステップ 3)、それらの項目から整理される要件カテゴリ(ステップ 2・ステップ 4)を 1
つの表にまとめたものを通番順に示す。
以降の表では、懸念・不安に対応する項目や要件カテゴリを太い黒字で、対応しないものは薄いグレーで示している。
また、各表には「関連の強さ」列として、各要件カテゴリに対応している懸念・不安に〇、強く対応しているものに◎を示している。
次ページ以降の整理にあたっては、まず各懸念・不安を太字で示し、つづいて表(表 8～表 28)を示す形式とする
が、懸念・不安の中でも特に主眼とする部分については下線付きの太字で示す。

©2022 Data Society Alliance29

(2.2 節の表 1 に示した通番 1 の懸念・不安)
自身が了承したデータ利用目的以外の目的でデータ提供先にデータが流用されてしまうのではないか
表 8 懸念・不安の通番 1 に対応する契約項目・個人情報保護法の条項・要件カテゴリ
要件カテゴリ

契約ガイドライン

個人情報保護法関連の強さ

第１条 （定義）・ 「提供データ」を定義する。
・ 提供データの対象、項目、件数等の提供データの詳細の特定が必要である。提供データの詳細等は<1>契約した相手とのデータ取引

別紙を用いて特定する。
・ 契約目的（データを提供する目的）を特定する。
・ 「派生データ」等解釈に幅のある概念を定義する。
第４条 （対価・支払条件）（※従量課金の場合）
・ 提供データの対価の金額あるいはその算定方法
・ 提供データの対価の支払方法
第２条 （提供データの提供方法）■個人情報取扱事業者等の義務

・ 提供データの提供形式（紙、電子ファイル、電子ファイルのときはファイル形式）
・ 提供データの提供手段（電子メールで送付、サーバからのダウンロード、サーバへのアクセス権の付
与、記録媒体にデータを記録させて返送）■仮名加工情報取扱事業者等の義務第５条 （提供データの非保証）

仮名加工情報の適正な加工（法第 41 条第 1 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証

不適正利用の禁止（法第 19 条関係）

・ 提供データの正確性・完全性についての保証／非保証
・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証
・ 提供データの有効性（本目的への適合性）についての保証／非保証
・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証第６条 （責任の制限等）

適正取得（法第 20 条第 1 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の適正な加工（法第 43 条第 1 項関係）
匿名加工情報の作成時の公表（法第 43 条第 3 項関係）
■個人情報取扱事業者等の義務第１条 （定義）

・個人情報の利用目的（法第 17 条・第 18 条、第 21 条第 3 項関係）

・ 契約目的（データを提供する目的）を特定する。

利用目的の特定（法第 17 条第 1 項関係）第３条 （提供データの利用許諾）<3>利用目的・個人情報の取得（法第 20 条・第 21 条関係）
適正取得（法第 20 条第 1 項関係）

・ 提供データの提供頻度<2>収集・加工・不適正利用の禁止（法第 19 条関係）

利用目的の変更（法第 17 条第 2 項、第 21 条第 3 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

利用目的による制限（法第 18 条第 1 項関係）

・ 第三者提供等の禁止

事業の承継（法第 18 条第 2 項関係）

・ 目的外利用の禁止◎

利用目的による制限の例外（法第 18 条第 3 項関係

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止■仮名加工情報取扱事業者等の義務

・ 提供データに関する知的財産権の帰属

利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■個人情報取扱事業者等の義務
・個人データの第三者への提供（法第 27 条～第 30 条関係）
第三者提供の制限の原則（法第 27 条第 1 項関係）
オプトアウトによる第三者提供（法第 27 条第 2 項～第 4 項関係）第３条 （提供データの利用許諾）

第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

外国にある第三者への提供の制限（法第 28 条関係）・ 第三者提供等の禁止

第三者提供に係る記録の作成等（法第 29 条関係）・ 目的外利用の禁止

第三者提供を受ける際の確認等（法第 30 条関係）

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止<4>第三者提供

・個人関連情報の第三者提供の制限等（法第 31 条関係）

・ 提供データに関する知的財産権の帰属

本人の同意等の確認の方法（法第 31 条第 1 項関係）第５条 （提供データの非保証）

提供元における記録義務（法第 31 条第 3 項、第 30 条第 3 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証〇

提供先の第三者における確認義務（法第 30 条第 1 項）

・ 提供データの正確性・完全性についての保証／非保証
・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証
・ 提供データの有効性（本目的への適合性）についての保証／非保証

提供先の第三者における記録義務（法第 30 条第 3 項関係）
■仮名加工情報取扱事業者等の義務
第三者提供の禁止等（法第 41 条第 6 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証■個人情報でない仮名加工情報の取扱いに関する義務等
第三者提供の禁止等（法第 42 条第 1 項・第 2 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の第三者提供（法第 43 条第 4 項、第 44 条関係）
■個人情報取扱事業者等の義務
保有個人データに関する事項の公表等（法第 32 条関係）
保有個人データの開示（法第 33 条第 1 項～第 4 項関係）
第三者提供記録の開示（法第 33 条第 5 項、第 1 項～第 3 項関係<5>開示

第１０条 （秘密保持義務）

保有個人データの訂正等（法第 34 条関係）

・ 秘密情報の定義

保有個人データの利用停止等（法第 35 条関係）

・ 秘密保持義務の内容とその例外

理由の説明（法第 36 条関係）

・ 秘密保持義務が契約終了後も存続すること

開示等の請求等に応じる手続（法第 37 条関係）〇

■仮名加工情報取扱事業者等の義務
利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の作成時の公表（法第 43 条第 3 項関係）

<6>期限管理、削除

第１２条 （有効期間）■個人情報取扱事業者等の義務

第１４条 （解除）・個人データの管理（法第 22 条～第 25 条関係）第１５条 （契約終了後の措置）

データ内容の正確性の確保等（法第 22 条関係）

・ 契約終了後の提供データの廃棄・消去■仮名加工情報取扱事業者等の義務

・ 提供データの廃棄・消去証明書の提出利用する必要がなくなった場合の消去（法第 41 条第 5 項関係）
■個人情報取扱事業者等の義務
・個人データの管理（法第 22 条～第 25 条関係）
データ内容の正確性の確保等（法第 22 条関係）

<7>情報セキュリティ管理・秘密保持義務

第９条 （損害軽減義務）

安全管理措置（法第 23 条関係）

・ データ受領者が提供データの漏えい等を発見した際の通知義務

従業者の監督（法第 24 条関係）

・ 提供データの漏えい等が生じた場合のデータ受領者の再発防止策等の検討・報告義務

委託先の監督（法第 25 条関係）第１０条 （秘密保持義務）■仮名加工情報取扱事業者等の義務

・ 秘密情報の定義

識別行為の禁止（法第 41 条第 7 項関係）

・ 秘密保持義務の内容とその例外

本人への連絡等の禁止（法第 41 条第 8 項関係）

・ 秘密保持義務が契約終了後も存続すること

安全管理措置（法第 23 条関係）第１１条 （派生データ等の取扱い）

従業者の監督（法第 24 条関係）

・ 派生データの利用権限の有無

委託先の監督（法第 25 条関係）

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権の帰属■個人情報でない仮名加工情報の取扱いに関する義務等

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権についての、データ提供者の利用

安全管理措置（法第 42 条第 3 項、第 23 条関係）

権限

従業者の監督（法第 42 条第 3 項、第 24 条関係）

・ 派生データのデータ受領者の利用に基づいて生じた知的財産権を利用して得られた利益の分配

委託先の監督（法第 42 条第 3 項、第１３条 （不可抗力免責）■匿名加工情報取扱事業者等の義務

・ 停電、通信設備の事故、クラウドサービス等の外部サービスの提供の停止または緊急メンテナンス

匿名加工情報等の安全管理措置等（法第 43 条第 2 項、第 6 項、第 46 条関も不可抗力として定める。

係）
識別行為の禁止（法第 43 条第 5 項、第 45 条関係）第 25 条関係）
識別行為の禁止（法第 42 条第 3 項、第 41 条第 7 項関係）
本人への連絡等の禁止（法第 42 条第 3 項、第 41 条第 8 項関係）

(2.2 節の表 1 に示した通番２の懸念・不安)©2022 Data Society Alliance30〇データから獲得可能な知見がデータ提供先を介して競合に横展開されてしまうのではないか
表 9 懸念・不安の通番 2 に対応する契約項目・個人情報保護法の条項・要件カテゴリ
要件カテゴリ

契約ガイドライン

個人情報保護法関連の強さ

第１条 （定義）・ 「提供データ」を定義する。
・ 提供データの対象、項目、件数等の提供データの詳細の特定が必要である。提供データの詳細等は別紙を用いて特定する。

<1>契約した相手とのデータ取引

・ 契約目的（データを提供する目的）を特定する。
・ 「派生データ」等解釈に幅のある概念を定義する。
第４条 （対価・支払条件）（※従量課金の場合）
・ 提供データの対価の金額あるいはその算定方法
・ 提供データの対価の支払方法
第２条 （提供データの提供方法）■個人情報取扱事業者等の義務

・ 提供データの提供形式（紙、電子ファイル、電子ファイルのときはファイル形式）
・ 提供データの提供手段（電子メールで送付、サーバからのダウンロード、サーバへのアクセス権の付
与、記録媒体にデータを記録させて返送）<2>収集・加工

・個人情報の取得（法第 20 条・第 21 条関係）
■仮名加工情報取扱事業者等の義務第５条 （提供データの非保証）

仮名加工情報の適正な加工（法第 41 条第 1 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証

不適正利用の禁止（法第 19 条関係）

・ 提供データの正確性・完全性についての保証／非保証
・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証
・ 提供データの有効性（本目的への適合性）についての保証／非保証
・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証第６条 （責任の制限等）

適正取得（法第 20 条第 1 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の適正な加工（法第 43 条第 1 項関係）
匿名加工情報の作成時の公表（法第 43 条第 3 項関係）
■個人情報取扱事業者等の義務第１条 （定義）

・個人情報の利用目的（法第 17 条・第 18 条、第 21 条第 3 項関係）

・ 契約目的（データを提供する目的）を特定する。

利用目的の特定（法第 17 条第 1 項関係）第３条 （提供データの利用許諾）<3>利用目的・不適正利用の禁止（法第 19 条関係）
適正取得（法第 20 条第 1 項関係）

・ 提供データの提供頻度

利用目的の変更（法第 17 条第 2 項、第 21 条第 3 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

利用目的による制限（法第 18 条第 1 項関係）

・ 第三者提供等の禁止

事業の承継（法第 18 条第 2 項関係）

・ 目的外利用の禁止

利用目的による制限の例外（法第 18 条第 3 項関係

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止■仮名加工情報取扱事業者等の義務

・ 提供データに関する知的財産権の帰属

利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■個人情報取扱事業者等の義務
・個人データの第三者への提供（法第 27 条～第 30 条関係）
第三者提供の制限の原則（法第 27 条第 1 項関係）
オプトアウトによる第三者提供（法第 27 条第 2 項～第 4 項関係）第３条 （提供データの利用許諾）

第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

外国にある第三者への提供の制限（法第 28 条関係）・ 第三者提供等の禁止

第三者提供に係る記録の作成等（法第 29 条関係）・ 目的外利用の禁止

第三者提供を受ける際の確認等（法第 30 条関係）

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止<4>第三者提供

・個人関連情報の第三者提供の制限等（法第 31 条関係）

・ 提供データに関する知的財産権の帰属

本人の同意等の確認の方法（法第 31 条第 1 項関係）第５条 （提供データの非保証）

提供元における記録義務（法第 31 条第 3 項、第 30 条第 3 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証◎

提供先の第三者における確認義務（法第 30 条第 1 項）

・ 提供データの正確性・完全性についての保証／非保証
・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証
・ 提供データの有効性（本目的への適合性）についての保証／非保証

提供先の第三者における記録義務（法第 30 条第 3 項関係）
■仮名加工情報取扱事業者等の義務
第三者提供の禁止等（法第 41 条第 6 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証■個人情報でない仮名加工情報の取扱いに関する義務等
第三者提供の禁止等（法第 42 条第 1 項・第 2 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の第三者提供（法第 43 条第 4 項、第 44 条関係）
■個人情報取扱事業者等の義務
保有個人データに関する事項の公表等（法第 32 条関係）
保有個人データの開示（法第 33 条第 1 項～第 4 項関係）
第三者提供記録の開示（法第 33 条第 5 項、第 1 項～第 3 項関係<5>開示

第１０条 （秘密保持義務）

保有個人データの訂正等（法第 34 条関係）

・ 秘密情報の定義

保有個人データの利用停止等（法第 35 条関係）

・ 秘密保持義務の内容とその例外

理由の説明（法第 36 条関係）

・ 秘密保持義務が契約終了後も存続すること

開示等の請求等に応じる手続（法第 37 条関係）◎

■仮名加工情報取扱事業者等の義務
利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の作成時の公表（法第 43 条第 3 項関係）

<6>期限管理、削除

第１２条 （有効期間）■個人情報取扱事業者等の義務

第１４条 （解除）・個人データの管理（法第 22 条～第 25 条関係）第１５条 （契約終了後の措置）

データ内容の正確性の確保等（法第 22 条関係）

・ 契約終了後の提供データの廃棄・消去■仮名加工情報取扱事業者等の義務

・ 提供データの廃棄・消去証明書の提出利用する必要がなくなった場合の消去（法第 41 条第 5 項関係）〇

■個人情報取扱事業者等の義務
・個人データの管理（法第 22 条～第 25 条関係）
データ内容の正確性の確保等（法第 22 条関係）

<7>情報セキュリティ管理・秘密保持義務

第９条 （損害軽減義務）

安全管理措置（法第 23 条関係）

・ データ受領者が提供データの漏えい等を発見した際の通知義務

従業者の監督（法第 24 条関係）

・ 提供データの漏えい等が生じた場合のデータ受領者の再発防止策等の検討・報告義務

委託先の監督（法第 25 条関係）第１０条 （秘密保持義務）■仮名加工情報取扱事業者等の義務

・ 秘密情報の定義

識別行為の禁止（法第 41 条第 7 項関係）

・ 秘密保持義務の内容とその例外

本人への連絡等の禁止（法第 41 条第 8 項関係）

・ 秘密保持義務が契約終了後も存続すること

安全管理措置（法第 23 条関係）第１１条 （派生データ等の取扱い）

従業者の監督（法第 24 条関係）

・ 派生データの利用権限の有無

委託先の監督（法第 25 条関係）

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権の帰属■個人情報でない仮名加工情報の取扱いに関する義務等

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権についての、データ提供者の利用

安全管理措置（法第 42 条第 3 項、第 23 条関係）

権限

従業者の監督（法第 42 条第 3 項、第 24 条関係）

・ 派生データのデータ受領者の利用に基づいて生じた知的財産権を利用して得られた利益の分配

委託先の監督（法第 42 条第 3 項、第１３条 （不可抗力免責）■匿名加工情報取扱事業者等の義務

・ 停電、通信設備の事故、クラウドサービス等の外部サービスの提供の停止または緊急メンテナンス

匿名加工情報等の安全管理措置等（法第 43 条第 2 項、第 6 項、第 46 条関も不可抗力として定める。

係）
識別行為の禁止（法第 43 条第 5 項、第 45 条関係）第 25 条関係）
識別行為の禁止（法第 42 条第 3 項、第 41 条第 7 項関係）
本人への連絡等の禁止（法第 42 条第 3 項、第 41 条第 8 項関係）

(2.2 節の表 1 に示した通番 3 の懸念・不安)
提供されるデータについて、関係者の権利や利害・関心の処理・対応が適切になされているか©2022 Data Society Alliance31〇

表 10 懸念・不安の通番 3 に対応する契約項目・個人情報保護法の条項・要件カテゴリ
要件カテゴリ

契約ガイドライン

個人情報保護法関連の強さ

第１条 （定義）・ 「提供データ」を定義する。
・ 提供データの対象、項目、件数等の提供データの詳細の特定が必要である。提供データの詳細等は別紙を用いて特定する。

<1>契約した相手とのデータ取引

・ 契約目的（データを提供する目的）を特定する。
・ 「派生データ」等解釈に幅のある概念を定義する。
第４条 （対価・支払条件）（※従量課金の場合）
・ 提供データの対価の金額あるいはその算定方法
・ 提供データの対価の支払方法<2>収集・加工第２条 （提供データの提供方法）■個人情報取扱事業者等の義務

・ 提供データの提供形式（紙、電子ファイル、電子ファイルのときはファイル形式）

・不適正利用の禁止（法第 19 条関係）

・ 提供データの提供手段（電子メールで送付、サーバからのダウンロード、サーバへのアクセス権の付・個人情報の取得（法第 20 条・第 21 条関係）

与、記録媒体にデータを記録させて返送）

適正取得（法第 20 条第 1 項関係）

・ 提供データの提供頻度■仮名加工情報取扱事業者等の義務第５条 （提供データの非保証）

仮名加工情報の適正な加工（法第 41 条第 1 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証

不適正利用の禁止（法第 19 条関係）

・ 提供データの正確性・完全性についての保証／非保証

適正取得（法第 20 条第 1 項関係）

・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証■匿名加工情報取扱事業者等の義務

・ 提供データの有効性（本目的への適合性）についての保証／非保証

匿名加工情報の適正な加工（法第 43 条第 1 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証第６条 （責任の制限等）

匿名加工情報の作成時の公表（法第 43 条第 3 項関係）
■個人情報取扱事業者等の義務第１条 （定義）

・個人情報の利用目的（法第 17 条・第 18 条、第 21 条第 3 項関係）

・ 契約目的（データを提供する目的）を特定する。

利用目的の特定（法第 17 条第 1 項関係）第３条 （提供データの利用許諾）<3>利用目的◎

利用目的の変更（法第 17 条第 2 項、第 21 条第 3 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

利用目的による制限（法第 18 条第 1 項関係）

・ 第三者提供等の禁止

事業の承継（法第 18 条第 2 項関係）

・ 目的外利用の禁止◎

利用目的による制限の例外（法第 18 条第 3 項関係

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止■仮名加工情報取扱事業者等の義務

・ 提供データに関する知的財産権の帰属

利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■個人情報取扱事業者等の義務
・個人データの第三者への提供（法第 27 条～第 30 条関係）
第三者提供の制限の原則（法第 27 条第 1 項関係）
オプトアウトによる第三者提供（法第 27 条第 2 項～第 4 項関係）第３条 （提供データの利用許諾）

第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

外国にある第三者への提供の制限（法第 28 条関係）・ 第三者提供等の禁止

第三者提供に係る記録の作成等（法第 29 条関係）・ 目的外利用の禁止

第三者提供を受ける際の確認等（法第 30 条関係）

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止<4>第三者提供

・個人関連情報の第三者提供の制限等（法第 31 条関係）

・ 提供データに関する知的財産権の帰属

本人の同意等の確認の方法（法第 31 条第 1 項関係）第５条 （提供データの非保証）

提供元における記録義務（法第 31 条第 3 項、第 30 条第 3 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証〇

提供先の第三者における確認義務（法第 30 条第 1 項）

・ 提供データの正確性・完全性についての保証／非保証
・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証
・ 提供データの有効性（本目的への適合性）についての保証／非保証

提供先の第三者における記録義務（法第 30 条第 3 項関係）
■仮名加工情報取扱事業者等の義務
第三者提供の禁止等（法第 41 条第 6 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証■個人情報でない仮名加工情報の取扱いに関する義務等
第三者提供の禁止等（法第 42 条第 1 項・第 2 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の第三者提供（法第 43 条第 4 項、第 44 条関係）
■個人情報取扱事業者等の義務
保有個人データに関する事項の公表等（法第 32 条関係）
保有個人データの開示（法第 33 条第 1 項～第 4 項関係）
第三者提供記録の開示（法第 33 条第 5 項、第 1 項～第 3 項関係<5>開示

第１０条 （秘密保持義務）

保有個人データの訂正等（法第 34 条関係）

・ 秘密情報の定義

保有個人データの利用停止等（法第 35 条関係）

・ 秘密保持義務の内容とその例外

理由の説明（法第 36 条関係）

・ 秘密保持義務が契約終了後も存続すること

開示等の請求等に応じる手続（法第 37 条関係）◎

■仮名加工情報取扱事業者等の義務
利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の作成時の公表（法第 43 条第 3 項関係）

<6>期限管理、削除

第１２条 （有効期間）■個人情報取扱事業者等の義務

第１４条 （解除）・個人データの管理（法第 22 条～第 25 条関係）第１５条 （契約終了後の措置）

データ内容の正確性の確保等（法第 22 条関係）

・ 契約終了後の提供データの廃棄・消去■仮名加工情報取扱事業者等の義務

・ 提供データの廃棄・消去証明書の提出利用する必要がなくなった場合の消去（法第 41 条第 5 項関係）〇

■個人情報取扱事業者等の義務
・個人データの管理（法第 22 条～第 25 条関係）
データ内容の正確性の確保等（法第 22 条関係）

<7>情報セキュリティ管理・秘密保持義務

第９条 （損害軽減義務）

安全管理措置（法第 23 条関係）

・ データ受領者が提供データの漏えい等を発見した際の通知義務

従業者の監督（法第 24 条関係）

・ 提供データの漏えい等が生じた場合のデータ受領者の再発防止策等の検討・報告義務

委託先の監督（法第 25 条関係）第１０条 （秘密保持義務）■仮名加工情報取扱事業者等の義務

・ 秘密情報の定義

識別行為の禁止（法第 41 条第 7 項関係）

・ 秘密保持義務の内容とその例外

本人への連絡等の禁止（法第 41 条第 8 項関係）

・ 秘密保持義務が契約終了後も存続すること

安全管理措置（法第 23 条関係）第１１条 （派生データ等の取扱い）

従業者の監督（法第 24 条関係）

・ 派生データの利用権限の有無

委託先の監督（法第 25 条関係）

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権の帰属■個人情報でない仮名加工情報の取扱いに関する義務等

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権についての、データ提供者の利用権

安全管理措置（法第 42 条第 3 項、第 23 条関係）

限従業者の監督（法第 42 条第 3 項、第 24 条関係）

・ 派生データのデータ受領者の利用に基づいて生じた知的財産権を利用して得られた利益の分配

委託先の監督（法第 42 条第 3 項、第１３条 （不可抗力免責）■匿名加工情報取扱事業者等の義務

・ 停電、通信設備の事故、クラウドサービス等の外部サービスの提供の停止または緊急メンテナンスも不匿名加工情報等の安全管理措置等（法第 43 条第 2 項、第 6 項、第 46 条関可抗力として定める。

係）〇

識別行為の禁止（法第 43 条第 5 項、第 45 条関係）第 25 条関係）
識別行為の禁止（法第 42 条第 3 項、第 41 条第 7 項関係）
本人への連絡等の禁止（法第 42 条第 3 項、第 41 条第 8 項関係）

(2.2 節の表 1 に示した通番 4 の懸念・不安)創出されるソリューション（価値）に対するデータの貢献度合いが事後的に判明することが多いため、適正な利益配分を受けることが難しいのではないか©2022 Data Society Alliance32

表 11 懸念・不安の通番 4 に対応する契約項目・個人情報保護法の条項・要件カテゴリ
要件カテゴリ

契約ガイドライン

個人情報保護法関連の強さ

第１条 （定義）・ 「提供データ」を定義する。
・ 提供データの対象、項目、件数等の提供データの詳細の特定が必要である。提供データの詳細等は<1>契約した相手とのデータ取別紙を用いて特定する。

引・ 「派生データ」等解釈に幅のある概念を定義する。

〇

・ 契約目的（データを提供する目的）を特定する。
第４条 （対価・支払条件）（※従量課金の場合）
・ 提供データの対価の金額あるいはその算定方法
・ 提供データの対価の支払方法<2>収集・加工第２条 （提供データの提供方法）■個人情報取扱事業者等の義務

・ 提供データの提供形式（紙、電子ファイル、電子ファイルのときはファイル形式）

・不適正利用の禁止（法第 19 条関係）

・ 提供データの提供手段（電子メールで送付、サーバからのダウンロード、サーバへのアクセス権の付・個人情報の取得（法第 20 条・第 21 条関係）

与、記録媒体にデータを記録させて返送）

適正取得（法第 20 条第 1 項関係）

・ 提供データの提供頻度■仮名加工情報取扱事業者等の義務第５条 （提供データの非保証）

仮名加工情報の適正な加工（法第 41 条第 1 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証

不適正利用の禁止（法第 19 条関係）

・ 提供データの正確性・完全性についての保証／非保証

適正取得（法第 20 条第 1 項関係）

・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証■匿名加工情報取扱事業者等の義務

・ 提供データの有効性（本目的への適合性）についての保証／非保証

匿名加工情報の適正な加工（法第 43 条第 1 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証第６条 （責任の制限等）

匿名加工情報の作成時の公表（法第 43 条第 3 項関係）
■個人情報取扱事業者等の義務第１条 （定義）

・個人情報の利用目的（法第 17 条・第 18 条、第 21 条第 3 項関係）

・ 契約目的（データを提供する目的）を特定する。

利用目的の特定（法第 17 条第 1 項関係）第３条 （提供データの利用許諾）<3>利用目的◎

利用目的の変更（法第 17 条第 2 項、第 21 条第 3 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

利用目的による制限（法第 18 条第 1 項関係）

・ 第三者提供等の禁止

事業の承継（法第 18 条第 2 項関係）

・ 目的外利用の禁止◎

利用目的による制限の例外（法第 18 条第 3 項関係

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止■仮名加工情報取扱事業者等の義務

・ 提供データに関する知的財産権の帰属

利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■個人情報取扱事業者等の義務
・個人データの第三者への提供（法第 27 条～第 30 条関係）
第三者提供の制限の原則（法第 27 条第 1 項関係）
オプトアウトによる第三者提供（法第 27 条第 2 項～第 4 項関係）第３条 （提供データの利用許諾）

第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

外国にある第三者への提供の制限（法第 28 条関係）・ 第三者提供等の禁止

第三者提供に係る記録の作成等（法第 29 条関係）・ 目的外利用の禁止

第三者提供を受ける際の確認等（法第 30 条関係）

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止<4>第三者提供

・個人関連情報の第三者提供の制限等（法第 31 条関係）

・ 提供データに関する知的財産権の帰属

本人の同意等の確認の方法（法第 31 条第 1 項関係）第５条 （提供データの非保証）

提供元における記録義務（法第 31 条第 3 項、第 30 条第 3 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証〇

提供先の第三者における確認義務（法第 30 条第 1 項）

・ 提供データの正確性・完全性についての保証／非保証
・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証
・ 提供データの有効性（本目的への適合性）についての保証／非保証

提供先の第三者における記録義務（法第 30 条第 3 項関係）
■仮名加工情報取扱事業者等の義務
第三者提供の禁止等（法第 41 条第 6 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証■個人情報でない仮名加工情報の取扱いに関する義務等
第三者提供の禁止等（法第 42 条第 1 項・第 2 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の第三者提供（法第 43 条第 4 項、第 44 条関係）
■個人情報取扱事業者等の義務
保有個人データに関する事項の公表等（法第 32 条関係）
保有個人データの開示（法第 33 条第 1 項～第 4 項関係）
第三者提供記録の開示（法第 33 条第 5 項、第 1 項～第 3 項関係<5>開示

第１０条 （秘密保持義務）

保有個人データの訂正等（法第 34 条関係）

・ 秘密情報の定義

保有個人データの利用停止等（法第 35 条関係）

・ 秘密保持義務の内容とその例外

理由の説明（法第 36 条関係）

・ 秘密保持義務が契約終了後も存続すること

開示等の請求等に応じる手続（法第 37 条関係）〇

■仮名加工情報取扱事業者等の義務
利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の作成時の公表（法第 43 条第 3 項関係）

<6>期限管理、削除

第１２条 （有効期間）■個人情報取扱事業者等の義務

第１４条 （解除）・個人データの管理（法第 22 条～第 25 条関係）第１５条 （契約終了後の措置）

データ内容の正確性の確保等（法第 22 条関係）

・ 契約終了後の提供データの廃棄・消去■仮名加工情報取扱事業者等の義務

・ 提供データの廃棄・消去証明書の提出利用する必要がなくなった場合の消去（法第 41 条第 5 項関係）
■個人情報取扱事業者等の義務
・個人データの管理（法第 22 条～第 25 条関係）
データ内容の正確性の確保等（法第 22 条関係）第９条 （損害軽減義務）

安全管理措置（法第 23 条関係）

・ データ受領者が提供データの漏えい等を発見した際の通知義務

従業者の監督（法第 24 条関係）

・ 提供データの漏えい等が生じた場合のデータ受領者の再発防止策等の検討・報告義務

委託先の監督（法第 25 条関係）第１０条 （秘密保持義務）■仮名加工情報取扱事業者等の義務

・ 秘密情報の定義

識別行為の禁止（法第 41 条第 7 項関係）

・ 秘密保持義務の内容とその例外

本人への連絡等の禁止（法第 41 条第 8 項関係）

<7>情報セキュリティ管理・秘密・ 秘密保持義務が契約終了後も存続すること

安全管理措置（法第 23 条関係）保持義務第１１条 （派生データ等の取扱い）

従業者の監督（法第 24 条関係）

・ 派生データの利用権限の有無

委託先の監督（法第 25 条関係）

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権の帰属■個人情報でない仮名加工情報の取扱いに関する義務等

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権についての、データ提供者の利用権限

安全管理措置（法第 42 条第 3 項、第 23 条関係）

・ 派生データのデータ受領者の利用に基づいて生じた知的財産権を利用して得られた利益の分配

従業者の監督（法第 42 条第 3 項、第 24 条関係）第１３条 （不可抗力免責）

委託先の監督（法第 42 条第 3 項、・ 停電、通信設備の事故、クラウドサービス等の外部サービスの提供の停止または緊急メンテナンスも不可■匿名加工情報取扱事業者等の義務抗力として定める。

匿名加工情報等の安全管理措置等（法第 43 条第 2 項、第 6 項、第 46 条関係）
識別行為の禁止（法第 43 条第 5 項、第 45 条関係）第 25 条関係）
識別行為の禁止（法第 42 条第 3 項、第 41 条第 7 項関係）
本人への連絡等の禁止（法第 42 条第 3 項、第 41 条第 8 項関係）

(2.2 節の表 1 に示した通番 5 の懸念・不安)
データ提供先における情報セキュリティ対策や他者知財（ノウハウ・著作物等）の尊重が不十分なのではないか
表 12 懸念・不安の通番 5 に対応する契約項目・個人情報保護法の条項・要件カテゴリ
要件カテゴリ

契約ガイドライン

個人情報保護法©2022 Data Society Alliance
33

関連の強さ

第１条 （定義）・ 「提供データ」を定義する。
・ 提供データの対象、項目、件数等の提供データの詳細の特定が必要である。提供データの詳細等は別紙を用いて特定する。

<1>契約した相手とのデータ取引

・ 契約目的（データを提供する目的）を特定する。
・ 「派生データ」等解釈に幅のある概念を定義する。
第４条 （対価・支払条件）（※従量課金の場合）
・ 提供データの対価の金額あるいはその算定方法
・ 提供データの対価の支払方法<2>収集・加工第２条 （提供データの提供方法）■個人情報取扱事業者等の義務

・ 提供データの提供形式（紙、電子ファイル、電子ファイルのときはファイル形式）

・不適正利用の禁止（法第 19 条関係）

・ 提供データの提供手段（電子メールで送付、サーバからのダウンロード、サーバへのアクセス権の付・個人情報の取得（法第 20 条・第 21 条関係）

与、記録媒体にデータを記録させて返送）

適正取得（法第 20 条第 1 項関係）

・ 提供データの提供頻度■仮名加工情報取扱事業者等の義務第５条 （提供データの非保証）

仮名加工情報の適正な加工（法第 41 条第 1 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証

不適正利用の禁止（法第 19 条関係）

・ 提供データの正確性・完全性についての保証／非保証

適正取得（法第 20 条第 1 項関係）

・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証■匿名加工情報取扱事業者等の義務

・ 提供データの有効性（本目的への適合性）についての保証／非保証

匿名加工情報の適正な加工（法第 43 条第 1 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証第６条 （責任の制限等）

匿名加工情報の作成時の公表（法第 43 条第 3 項関係）
■個人情報取扱事業者等の義務第１条 （定義）

・個人情報の利用目的（法第 17 条・第 18 条、第 21 条第 3 項関係）

・ 契約目的（データを提供する目的）を特定する。

利用目的の特定（法第 17 条第 1 項関係）第３条 （提供データの利用許諾）<3>利用目的〇

利用目的の変更（法第 17 条第 2 項、第 21 条第 3 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

利用目的による制限（法第 18 条第 1 項関係）

・ 第三者提供等の禁止

事業の承継（法第 18 条第 2 項関係）

・ 目的外利用の禁止

利用目的による制限の例外（法第 18 条第 3 項関係

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止■仮名加工情報取扱事業者等の義務

・ 提供データに関する知的財産権の帰属

利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■個人情報取扱事業者等の義務
・個人データの第三者への提供（法第 27 条～第 30 条関係）
第三者提供の制限の原則（法第 27 条第 1 項関係）
オプトアウトによる第三者提供（法第 27 条第 2 項～第 4 項関係）第３条 （提供データの利用許諾）

第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

外国にある第三者への提供の制限（法第 28 条関係）・ 第三者提供等の禁止

第三者提供に係る記録の作成等（法第 29 条関係）・ 目的外利用の禁止

第三者提供を受ける際の確認等（法第 30 条関係）

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止<4>第三者提供

・個人関連情報の第三者提供の制限等（法第 31 条関係）

・ 提供データに関する知的財産権の帰属

本人の同意等の確認の方法（法第 31 条第 1 項関係）第５条 （提供データの非保証）

提供元における記録義務（法第 31 条第 3 項、第 30 条第 3 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証〇

提供先の第三者における確認義務（法第 30 条第 1 項）

・ 提供データの正確性・完全性についての保証／非保証
・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証
・ 提供データの有効性（本目的への適合性）についての保証／非保証

提供先の第三者における記録義務（法第 30 条第 3 項関係）
■仮名加工情報取扱事業者等の義務
第三者提供の禁止等（法第 41 条第 6 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証■個人情報でない仮名加工情報の取扱いに関する義務等
第三者提供の禁止等（法第 42 条第 1 項・第 2 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の第三者提供（法第 43 条第 4 項、第 44 条関係）
■個人情報取扱事業者等の義務
保有個人データに関する事項の公表等（法第 32 条関係）
保有個人データの開示（法第 33 条第 1 項～第 4 項関係）
第三者提供記録の開示（法第 33 条第 5 項、第 1 項～第 3 項関係<5>開示

第１０条 （秘密保持義務）

保有個人データの訂正等（法第 34 条関係）

・ 秘密情報の定義

保有個人データの利用停止等（法第 35 条関係）

・ 秘密保持義務の内容とその例外

理由の説明（法第 36 条関係）

・ 秘密保持義務が契約終了後も存続すること

開示等の請求等に応じる手続（法第 37 条関係）〇

■仮名加工情報取扱事業者等の義務
利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の作成時の公表（法第 43 条第 3 項関係）

<6>期限管理、削除

第１２条 （有効期間）■個人情報取扱事業者等の義務

第１４条 （解除）・個人データの管理（法第 22 条～第 25 条関係）第１５条 （契約終了後の措置）

データ内容の正確性の確保等（法第 22 条関係）

・ 契約終了後の提供データの廃棄・消去■仮名加工情報取扱事業者等の義務

・ 提供データの廃棄・消去証明書の提出利用する必要がなくなった場合の消去（法第 41 条第 5 項関係）〇

■個人情報取扱事業者等の義務
・個人データの管理（法第 22 条～第 25 条関係）
データ内容の正確性の確保等（法第 22 条関係）

<7>情報セキュリティ管理・秘密保持義務

第９条 （損害軽減義務）

安全管理措置（法第 23 条関係）

・ データ受領者が提供データの漏えい等を発見した際の通知義務

従業者の監督（法第 24 条関係）

・ 提供データの漏えい等が生じた場合のデータ受領者の再発防止策等の検討・報告義務

委託先の監督（法第 25 条関係）第１０条 （秘密保持義務）■仮名加工情報取扱事業者等の義務

・ 秘密情報の定義

識別行為の禁止（法第 41 条第 7 項関係）

・ 秘密保持義務の内容とその例外

本人への連絡等の禁止（法第 41 条第 8 項関係）

・ 秘密保持義務が契約終了後も存続すること

安全管理措置（法第 23 条関係）第１１条 （派生データ等の取扱い）

従業者の監督（法第 24 条関係）

・ 派生データの利用権限の有無

委託先の監督（法第 25 条関係）

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権の帰属■個人情報でない仮名加工情報の取扱いに関する義務等

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権についての、データ提供者の利用権

安全管理措置（法第 42 条第 3 項、第 23 条関係）

限従業者の監督（法第 42 条第 3 項、第 24 条関係）

・ 派生データのデータ受領者の利用に基づいて生じた知的財産権を利用して得られた利益の分配

委託先の監督（法第 42 条第 3 項、第１３条 （不可抗力免責）■匿名加工情報取扱事業者等の義務

・ 停電、通信設備の事故、クラウドサービス等の外部サービスの提供の停止または緊急メンテナンスも不匿名加工情報等の安全管理措置等（法第 43 条第 2 項、第 6 項、第 46 条関可抗力として定める。

係）◎

識別行為の禁止（法第 43 条第 5 項、第 45 条関係）第 25 条関係）
識別行為の禁止（法第 42 条第 3 項、第 41 条第 7 項関係）
本人への連絡等の禁止（法第 42 条第 3 項、第 41 条第 8 項関係）

(2.2 節の表 1 に示した通番 6 の懸念・不安)
データ提供先においてデータ利用条件が遵守されないのではないか
表 13 懸念・不安の通番 6 に対応する契約項目・個人情報保護法の条項・要件カテゴリ
要件カテゴリ

契約ガイドライン<1>契約した相手とのデータ取引第１条 （定義）

個人情報保護法・ 「提供データ」を定義する。

©2022 Data Society Alliance
34

関連の強さ

・ 提供データの対象、項目、件数等の提供データの詳細の特定が必要である。提供データの詳細等は別紙を用いて特定する。
・ 契約目的（データを提供する目的）を特定する。
・ 「派生データ」等解釈に幅のある概念を定義する。
第４条 （対価・支払条件）（※従量課金の場合）
・ 提供データの対価の金額あるいはその算定方法
・ 提供データの対価の支払方法<2>収集・加工第２条 （提供データの提供方法）■個人情報取扱事業者等の義務

・ 提供データの提供形式（紙、電子ファイル、電子ファイルのときはファイル形式）

・不適正利用の禁止（法第 19 条関係）

・ 提供データの提供手段（電子メールで送付、サーバからのダウンロード、サーバへのアクセス権の付・個人情報の取得（法第 20 条・第 21 条関係）

与、記録媒体にデータを記録させて返送）

適正取得（法第 20 条第 1 項関係）

・ 提供データの提供頻度■仮名加工情報取扱事業者等の義務第５条 （提供データの非保証）

仮名加工情報の適正な加工（法第 41 条第 1 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証

不適正利用の禁止（法第 19 条関係）

・ 提供データの正確性・完全性についての保証／非保証

適正取得（法第 20 条第 1 項関係）

・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証■匿名加工情報取扱事業者等の義務

・ 提供データの有効性（本目的への適合性）についての保証／非保証

匿名加工情報の適正な加工（法第 43 条第 1 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証第６条 （責任の制限等）

匿名加工情報の作成時の公表（法第 43 条第 3 項関係）
■個人情報取扱事業者等の義務第１条 （定義）

・個人情報の利用目的（法第 17 条・第 18 条、第 21 条第 3 項関係）

・ 契約目的（データを提供する目的）を特定する。

利用目的の特定（法第 17 条第 1 項関係）第３条 （提供データの利用許諾）<3>利用目的〇

利用目的の変更（法第 17 条第 2 項、第 21 条第 3 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

利用目的による制限（法第 18 条第 1 項関係）

・ 第三者提供等の禁止

事業の承継（法第 18 条第 2 項関係）

・ 目的外利用の禁止◎

利用目的による制限の例外（法第 18 条第 3 項関係

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止■仮名加工情報取扱事業者等の義務

・ 提供データに関する知的財産権の帰属

利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■個人情報取扱事業者等の義務
・個人データの第三者への提供（法第 27 条～第 30 条関係）
第三者提供の制限の原則（法第 27 条第 1 項関係）
オプトアウトによる第三者提供（法第 27 条第 2 項～第 4 項関係）第３条 （提供データの利用許諾）

第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

外国にある第三者への提供の制限（法第 28 条関係）・ 第三者提供等の禁止

第三者提供に係る記録の作成等（法第 29 条関係）・ 目的外利用の禁止

第三者提供を受ける際の確認等（法第 30 条関係）

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止<4>第三者提供

・個人関連情報の第三者提供の制限等（法第 31 条関係）

・ 提供データに関する知的財産権の帰属

本人の同意等の確認の方法（法第 31 条第 1 項関係）第５条 （提供データの非保証）

提供元における記録義務（法第 31 条第 3 項、第 30 条第 3 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証〇

提供先の第三者における確認義務（法第 30 条第 1 項）

・ 提供データの正確性・完全性についての保証／非保証
・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証
・ 提供データの有効性（本目的への適合性）についての保証／非保証

提供先の第三者における記録義務（法第 30 条第 3 項関係）
■仮名加工情報取扱事業者等の義務
第三者提供の禁止等（法第 41 条第 6 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証■個人情報でない仮名加工情報の取扱いに関する義務等
第三者提供の禁止等（法第 42 条第 1 項・第 2 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の第三者提供（法第 43 条第 4 項、第 44 条関係）
■個人情報取扱事業者等の義務
保有個人データに関する事項の公表等（法第 32 条関係）
保有個人データの開示（法第 33 条第 1 項～第 4 項関係）
第三者提供記録の開示（法第 33 条第 5 項、第 1 項～第 3 項関係<5>開示

第１０条 （秘密保持義務）

保有個人データの訂正等（法第 34 条関係）

・ 秘密情報の定義

保有個人データの利用停止等（法第 35 条関係）

・ 秘密保持義務の内容とその例外

理由の説明（法第 36 条関係）

・ 秘密保持義務が契約終了後も存続すること

開示等の請求等に応じる手続（法第 37 条関係）〇

■仮名加工情報取扱事業者等の義務
利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の作成時の公表（法第 43 条第 3 項関係）

<6>期限管理、削除

第１２条 （有効期間）■個人情報取扱事業者等の義務

第１４条 （解除）・個人データの管理（法第 22 条～第 25 条関係）第１５条 （契約終了後の措置）

データ内容の正確性の確保等（法第 22 条関係）

・ 契約終了後の提供データの廃棄・消去■仮名加工情報取扱事業者等の義務

・ 提供データの廃棄・消去証明書の提出利用する必要がなくなった場合の消去（法第 41 条第 5 項関係）〇

■個人情報取扱事業者等の義務
・個人データの管理（法第 22 条～第 25 条関係）
データ内容の正確性の確保等（法第 22 条関係）

<7>情報セキュリティ管理・秘密保持義務

第９条 （損害軽減義務）

安全管理措置（法第 23 条関係）

・ データ受領者が提供データの漏えい等を発見した際の通知義務

従業者の監督（法第 24 条関係）

・ 提供データの漏えい等が生じた場合のデータ受領者の再発防止策等の検討・報告義務

委託先の監督（法第 25 条関係）第１０条 （秘密保持義務）■仮名加工情報取扱事業者等の義務

・ 秘密情報の定義

識別行為の禁止（法第 41 条第 7 項関係）

・ 秘密保持義務の内容とその例外

本人への連絡等の禁止（法第 41 条第 8 項関係）

・ 秘密保持義務が契約終了後も存続すること

安全管理措置（法第 23 条関係）第１１条 （派生データ等の取扱い）

従業者の監督（法第 24 条関係）

・ 派生データの利用権限の有無

委託先の監督（法第 25 条関係）

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権の帰属■個人情報でない仮名加工情報の取扱いに関する義務等

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権についての、データ提供者の利用権

安全管理措置（法第 42 条第 3 項、第 23 条関係）

限従業者の監督（法第 42 条第 3 項、第 24 条関係）

・ 派生データのデータ受領者の利用に基づいて生じた知的財産権を利用して得られた利益の分配

委託先の監督（法第 42 条第 3 項、第１３条 （不可抗力免責）■匿名加工情報取扱事業者等の義務

・ 停電、通信設備の事故、クラウドサービス等の外部サービスの提供の停止または緊急メンテナンスも不匿名加工情報等の安全管理措置等（法第 43 条第 2 項、第 6 項、第 46 条関可抗力として定める。

係）〇

識別行為の禁止（法第 43 条第 5 項、第 45 条関係）第 25 条関係）
識別行為の禁止（法第 42 条第 3 項、第 41 条第 7 項関係）
本人への連絡等の禁止（法第 42 条第 3 項、第 41 条第 8 項関係）

(2.2 節の表 1 に示した通番 7 の懸念・不安)
公正な取引が第三者によって担保される場が不足しており、公正なデータ取引が困難なのではないか
表 14 懸念・不安の通番 7 に対応する契約項目・個人情報保護法の条項・要件カテゴリ
要件カテゴリ

契約ガイドライン

個人情報保護法第１条 （定義）・ 「提供データ」を定義する。

<1>契約した相手とのデータ取引

・ 提供データの対象、項目、件数等の提供データの詳細の特定が必要である。提供データの詳細等は別紙を用いて特定する。
・ 契約目的（データを提供する目的）を特定する。

©2022 Data Society Alliance
35

関連の強さ

・ 「派生データ」等解釈に幅のある概念を定義する。
第４条 （対価・支払条件）（※従量課金の場合）
・ 提供データの対価の金額あるいはその算定方法
・ 提供データの対価の支払方法<2>収集・加工第２条 （提供データの提供方法）■個人情報取扱事業者等の義務

・ 提供データの提供形式（紙、電子ファイル、電子ファイルのときはファイル形式）

・不適正利用の禁止（法第 19 条関係）

・ 提供データの提供手段（電子メールで送付、サーバからのダウンロード、サーバへのアクセス権の付・個人情報の取得（法第 20 条・第 21 条関係）

与、記録媒体にデータを記録させて返送）

適正取得（法第 20 条第 1 項関係）

・ 提供データの提供頻度■仮名加工情報取扱事業者等の義務第５条 （提供データの非保証）

仮名加工情報の適正な加工（法第 41 条第 1 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証

不適正利用の禁止（法第 19 条関係）

・ 提供データの正確性・完全性についての保証／非保証

適正取得（法第 20 条第 1 項関係）

・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証■匿名加工情報取扱事業者等の義務

・ 提供データの有効性（本目的への適合性）についての保証／非保証

匿名加工情報の適正な加工（法第 43 条第 1 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証第６条 （責任の制限等）

匿名加工情報の作成時の公表（法第 43 条第 3 項関係）
■個人情報取扱事業者等の義務第１条 （定義）

・個人情報の利用目的（法第 17 条・第 18 条、第 21 条第 3 項関係）

・ 契約目的（データを提供する目的）を特定する。

利用目的の特定（法第 17 条第 1 項関係）第３条 （提供データの利用許諾）<3>利用目的〇

利用目的の変更（法第 17 条第 2 項、第 21 条第 3 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

利用目的による制限（法第 18 条第 1 項関係）

・ 第三者提供等の禁止

事業の承継（法第 18 条第 2 項関係）

・ 目的外利用の禁止〇

利用目的による制限の例外（法第 18 条第 3 項関係

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止■仮名加工情報取扱事業者等の義務

・ 提供データに関する知的財産権の帰属

利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■個人情報取扱事業者等の義務
・個人データの第三者への提供（法第 27 条～第 30 条関係）
第三者提供の制限の原則（法第 27 条第 1 項関係）
オプトアウトによる第三者提供（法第 27 条第 2 項～第 4 項関係）第３条 （提供データの利用許諾）

第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

外国にある第三者への提供の制限（法第 28 条関係）・ 第三者提供等の禁止

第三者提供に係る記録の作成等（法第 29 条関係）・ 目的外利用の禁止

第三者提供を受ける際の確認等（法第 30 条関係）

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止<4>第三者提供

・個人関連情報の第三者提供の制限等（法第 31 条関係）

・ 提供データに関する知的財産権の帰属

本人の同意等の確認の方法（法第 31 条第 1 項関係）第５条 （提供データの非保証）

提供元における記録義務（法第 31 条第 3 項、第 30 条第 3 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証〇

提供先の第三者における確認義務（法第 30 条第 1 項）

・ 提供データの正確性・完全性についての保証／非保証
・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証
・ 提供データの有効性（本目的への適合性）についての保証／非保証

提供先の第三者における記録義務（法第 30 条第 3 項関係）
■仮名加工情報取扱事業者等の義務
第三者提供の禁止等（法第 41 条第 6 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証■個人情報でない仮名加工情報の取扱いに関する義務等
第三者提供の禁止等（法第 42 条第 1 項・第 2 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の第三者提供（法第 43 条第 4 項、第 44 条関係）
■個人情報取扱事業者等の義務
保有個人データに関する事項の公表等（法第 32 条関係）
保有個人データの開示（法第 33 条第 1 項～第 4 項関係）
第三者提供記録の開示（法第 33 条第 5 項、第 1 項～第 3 項関係<5>開示

第１０条 （秘密保持義務）

保有個人データの訂正等（法第 34 条関係）

・ 秘密情報の定義

保有個人データの利用停止等（法第 35 条関係）

・ 秘密保持義務の内容とその例外

理由の説明（法第 36 条関係）

・ 秘密保持義務が契約終了後も存続すること

開示等の請求等に応じる手続（法第 37 条関係）〇

■仮名加工情報取扱事業者等の義務
利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の作成時の公表（法第 43 条第 3 項関係）

<6>期限管理、削除

第１２条 （有効期間）■個人情報取扱事業者等の義務

第１４条 （解除）・個人データの管理（法第 22 条～第 25 条関係）第１５条 （契約終了後の措置）

データ内容の正確性の確保等（法第 22 条関係）

・ 契約終了後の提供データの廃棄・消去■仮名加工情報取扱事業者等の義務

・ 提供データの廃棄・消去証明書の提出利用する必要がなくなった場合の消去（法第 41 条第 5 項関係）〇

■個人情報取扱事業者等の義務
・個人データの管理（法第 22 条～第 25 条関係）
データ内容の正確性の確保等（法第 22 条関係）第９条 （損害軽減義務）

安全管理措置（法第 23 条関係）

・ データ受領者が提供データの漏えい等を発見した際の通知義務

従業者の監督（法第 24 条関係）

・ 提供データの漏えい等が生じた場合のデータ受領者の再発防止策等の検討・報告義務

委託先の監督（法第 25 条関係）第１０条 （秘密保持義務）■仮名加工情報取扱事業者等の義務

・ 秘密情報の定義

識別行為の禁止（法第 41 条第 7 項関係）

・ 秘密保持義務の内容とその例外

本人への連絡等の禁止（法第 41 条第 8 項関係）

<7>情報セキュリティ管理・秘密・ 秘密保持義務が契約終了後も存続すること

安全管理措置（法第 23 条関係）保持義務第１１条 （派生データ等の取扱い）

従業者の監督（法第 24 条関係）

・ 派生データの利用権限の有無

委託先の監督（法第 25 条関係）

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権の帰属■個人情報でない仮名加工情報の取扱いに関する義務等

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権についての、データ提供者の利用権限

安全管理措置（法第 42 条第 3 項、第 23 条関係）

・ 派生データのデータ受領者の利用に基づいて生じた知的財産権を利用して得られた利益の分配

従業者の監督（法第 42 条第 3 項、第 24 条関係）第１３条 （不可抗力免責）

委託先の監督（法第 42 条第 3 項、・ 停電、通信設備の事故、クラウドサービス等の外部サービスの提供の停止または緊急メンテナンスも不可■匿名加工情報取扱事業者等の義務抗力として定める。

匿名加工情報等の安全管理措置等（法第 43 条第 2 項、第 6 項、第 46 条関係）
識別行為の禁止（法第 43 条第 5 項、第 45 条関係）第 25 条関係）
識別行為の禁止（法第 42 条第 3 項、第 41 条第 7 項関係）
本人への連絡等の禁止（法第 42 条第 3 項、第 41 条第 8 項関係）

(2.2 節の表 1 に示した通番 8 の懸念・不安)
自身を観測対象にしたデータや自身が提供したデータへの自身のアクセスや第三者へのアクセス許諾がデータ提供先によって制限されたり、データ提供先にロックインされたりするのではないか
表 15 懸念・不安の通番 8 に対応する契約項目・個人情報保護法の条項・要件カテゴリ
要件カテゴリ

契約ガイドライン

個人情報保護法第１条 （定義）・ 「提供データ」を定義する。

<1>契約した相手とのデータ取引

・ 提供データの対象、項目、件数等の提供データの詳細の特定が必要である。提供データの詳細等は別紙を用いて特定する。
・ 契約目的（データを提供する目的）を特定する。
・ 「派生データ」等解釈に幅のある概念を定義する。

©2022 Data Society Alliance
36

関連の強さ

第４条 （対価・支払条件）（※従量課金の場合）
・ 提供データの対価の金額あるいはその算定方法
・ 提供データの対価の支払方法<2>収集・加工第２条 （提供データの提供方法）■個人情報取扱事業者等の義務

・ 提供データの提供形式（紙、電子ファイル、電子ファイルのときはファイル形式）

・不適正利用の禁止（法第 19 条関係）

・ 提供データの提供手段（電子メールで送付、サーバからのダウンロード、サーバへのアクセス権の付与、記・個人情報の取得（法第 20 条・第 21 条関係）

録媒体にデータを記録させて返送）

適正取得（法第 20 条第 1 項関係）

・ 提供データの提供頻度■仮名加工情報取扱事業者等の義務第５条 （提供データの非保証）

仮名加工情報の適正な加工（法第 41 条第 1 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証

不適正利用の禁止（法第 19 条関係）

・ 提供データの正確性・完全性についての保証／非保証

適正取得（法第 20 条第 1 項関係）

・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証■匿名加工情報取扱事業者等の義務

・ 提供データの有効性（本目的への適合性）についての保証／非保証

匿名加工情報の適正な加工（法第 43 条第 1 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証第６条 （責任の制限等）

匿名加工情報の作成時の公表（法第 43 条第 3 項関係）
■個人情報取扱事業者等の義務第１条 （定義）

・個人情報の利用目的（法第 17 条・第 18 条、第 21 条第 3 項関係）

・ 契約目的（データを提供する目的）を特定する。

利用目的の特定（法第 17 条第 1 項関係）第３条 （提供データの利用許諾）<3>利用目的

利用目的の変更（法第 17 条第 2 項、第 21 条第 3 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

利用目的による制限（法第 18 条第 1 項関係）

・ 第三者提供等の禁止

事業の承継（法第 18 条第 2 項関係）

・ 目的外利用の禁止

利用目的による制限の例外（法第 18 条第 3 項関係

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止■仮名加工情報取扱事業者等の義務

・ 提供データに関する知的財産権の帰属

利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■個人情報取扱事業者等の義務
・個人データの第三者への提供（法第 27 条～第 30 条関係）
第三者提供の制限の原則（法第 27 条第 1 項関係）
オプトアウトによる第三者提供（法第 27 条第 2 項～第 4 項関係）第３条 （提供データの利用許諾）

第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

外国にある第三者への提供の制限（法第 28 条関係）・ 第三者提供等の禁止

第三者提供に係る記録の作成等（法第 29 条関係）・ 目的外利用の禁止

第三者提供を受ける際の確認等（法第 30 条関係）

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止<4>第三者提供

・個人関連情報の第三者提供の制限等（法第 31 条関係）

・ 提供データに関する知的財産権の帰属

本人の同意等の確認の方法（法第 31 条第 1 項関係）第５条 （提供データの非保証）

提供元における記録義務（法第 31 条第 3 項、第 30 条第 3 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証

提供先の第三者における確認義務（法第 30 条第 1 項）

・ 提供データの正確性・完全性についての保証／非保証
・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証
・ 提供データの有効性（本目的への適合性）についての保証／非保証

提供先の第三者における記録義務（法第 30 条第 3 項関係）
■仮名加工情報取扱事業者等の義務
第三者提供の禁止等（法第 41 条第 6 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証■個人情報でない仮名加工情報の取扱いに関する義務等
第三者提供の禁止等（法第 42 条第 1 項・第 2 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の第三者提供（法第 43 条第 4 項、第 44 条関係）
■個人情報取扱事業者等の義務
保有個人データに関する事項の公表等（法第 32 条関係）
保有個人データの開示（法第 33 条第 1 項～第 4 項関係）
第三者提供記録の開示（法第 33 条第 5 項、第 1 項～第 3 項関係<5>開示

第１０条 （秘密保持義務）

保有個人データの訂正等（法第 34 条関係）

・ 秘密情報の定義

保有個人データの利用停止等（法第 35 条関係）

・ 秘密保持義務の内容とその例外

理由の説明（法第 36 条関係）

・ 秘密保持義務が契約終了後も存続すること

開示等の請求等に応じる手続（法第 37 条関係）◎

■仮名加工情報取扱事業者等の義務
利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の作成時の公表（法第 43 条第 3 項関係）

<6>期限管理、削除

第１２条 （有効期間）■個人情報取扱事業者等の義務

第１４条 （解除）・個人データの管理（法第 22 条～第 25 条関係）第１５条 （契約終了後の措置）

データ内容の正確性の確保等（法第 22 条関係）

・ 契約終了後の提供データの廃棄・消去■仮名加工情報取扱事業者等の義務

・ 提供データの廃棄・消去証明書の提出利用する必要がなくなった場合の消去（法第 41 条第 5 項関係）
■個人情報取扱事業者等の義務
・個人データの管理（法第 22 条～第 25 条関係）
データ内容の正確性の確保等（法第 22 条関係）第９条 （損害軽減義務）

安全管理措置（法第 23 条関係）

・ データ受領者が提供データの漏えい等を発見した際の通知義務

従業者の監督（法第 24 条関係）

・ 提供データの漏えい等が生じた場合のデータ受領者の再発防止策等の検討・報告義務

委託先の監督（法第 25 条関係）第１０条 （秘密保持義務）■仮名加工情報取扱事業者等の義務

・ 秘密情報の定義

識別行為の禁止（法第 41 条第 7 項関係）

・ 秘密保持義務の内容とその例外

本人への連絡等の禁止（法第 41 条第 8 項関係）

<7>情報セキュリティ管理・秘密・ 秘密保持義務が契約終了後も存続すること

安全管理措置（法第 23 条関係）保持義務第１１条 （派生データ等の取扱い）

従業者の監督（法第 24 条関係）

・ 派生データの利用権限の有無

委託先の監督（法第 25 条関係）

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権の帰属■個人情報でない仮名加工情報の取扱いに関する義務等

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権についての、データ提供者の利用権限

安全管理措置（法第 42 条第 3 項、第 23 条関係）

・ 派生データのデータ受領者の利用に基づいて生じた知的財産権を利用して得られた利益の分配

従業者の監督（法第 42 条第 3 項、第 24 条関係）第１３条 （不可抗力免責）

委託先の監督（法第 42 条第 3 項、・ 停電、通信設備の事故、クラウドサービス等の外部サービスの提供の停止または緊急メンテナンスも不可■匿名加工情報取扱事業者等の義務抗力として定める。

匿名加工情報等の安全管理措置等（法第 43 条第 2 項、第 6 項、第 46 条関係）
識別行為の禁止（法第 43 条第 5 項、第 45 条関係）第 25 条関係）
識別行為の禁止（法第 42 条第 3 項、第 41 条第 7 項関係）
本人への連絡等の禁止（法第 42 条第 3 項、第 41 条第 8 項関係）

(2.2 節の表 1 に示した通番 9 の懸念・不安)
自身のパーソナルデータが勝手に収集されて利用されているのではないか
表 16 懸念・不安の通番 9 に対応する契約項目・個人情報保護法の条項・要件カテゴリ
要件カテゴリ

契約ガイドライン

個人情報保護法関連の強さ

第１条 （定義）・ 「提供データ」を定義する。
・ 提供データの対象、項目、件数等の提供データの詳細の特定が必要である。提供データの詳細等は<1>契約した相手とのデータ取別紙を用いて特定する。

引・ 「派生データ」等解釈に幅のある概念を定義する。

〇

・ 契約目的（データを提供する目的）を特定する。
第４条 （対価・支払条件）（※従量課金の場合）
・ 提供データの対価の金額あるいはその算定方法
・ 提供データの対価の支払方法<2>収集・加工第２条 （提供データの提供方法）■個人情報取扱事業者等の義務

・ 提供データの提供形式（紙、電子ファイル、電子ファイルのときはファイル形式）

・不適正利用の禁止（法第 19 条関係）

・ 提供データの提供手段（電子メールで送付、サーバからのダウンロード、サーバへのアクセス権の付・個人情報の取得（法第 20 条・第 21 条関係）

与、記録媒体にデータを記録させて返送）

適正取得（法第 20 条第 1 項関係）

©2022 Data Society Alliance37◎

・ 提供データの提供頻度■仮名加工情報取扱事業者等の義務第５条 （提供データの非保証）

仮名加工情報の適正な加工（法第 41 条第 1 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証

不適正利用の禁止（法第 19 条関係）

・ 提供データの正確性・完全性についての保証／非保証

適正取得（法第 20 条第 1 項関係）

・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証■匿名加工情報取扱事業者等の義務

・ 提供データの有効性（本目的への適合性）についての保証／非保証

匿名加工情報の適正な加工（法第 43 条第 1 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証第６条 （責任の制限等）

匿名加工情報の作成時の公表（法第 43 条第 3 項関係）
■個人情報取扱事業者等の義務第１条 （定義）

・個人情報の利用目的（法第 17 条・第 18 条、第 21 条第 3 項関係）

・ 契約目的（データを提供する目的）を特定する。

利用目的の特定（法第 17 条第 1 項関係）第３条 （提供データの利用許諾）<3>利用目的

利用目的の変更（法第 17 条第 2 項、第 21 条第 3 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

利用目的による制限（法第 18 条第 1 項関係）

・ 第三者提供等の禁止

事業の承継（法第 18 条第 2 項関係）

・ 目的外利用の禁止〇

利用目的による制限の例外（法第 18 条第 3 項関係

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止■仮名加工情報取扱事業者等の義務

・ 提供データに関する知的財産権の帰属

利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■個人情報取扱事業者等の義務
・個人データの第三者への提供（法第 27 条～第 30 条関係）
第三者提供の制限の原則（法第 27 条第 1 項関係）
オプトアウトによる第三者提供（法第 27 条第 2 項～第 4 項関係）第３条 （提供データの利用許諾）

第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

外国にある第三者への提供の制限（法第 28 条関係）・ 第三者提供等の禁止

第三者提供に係る記録の作成等（法第 29 条関係）・ 目的外利用の禁止

第三者提供を受ける際の確認等（法第 30 条関係）

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止<4>第三者提供

・個人関連情報の第三者提供の制限等（法第 31 条関係）

・ 提供データに関する知的財産権の帰属

本人の同意等の確認の方法（法第 31 条第 1 項関係）第５条 （提供データの非保証）

提供元における記録義務（法第 31 条第 3 項、第 30 条第 3 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証〇

提供先の第三者における確認義務（法第 30 条第 1 項）

・ 提供データの正確性・完全性についての保証／非保証
・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証
・ 提供データの有効性（本目的への適合性）についての保証／非保証

提供先の第三者における記録義務（法第 30 条第 3 項関係）
■仮名加工情報取扱事業者等の義務
第三者提供の禁止等（法第 41 条第 6 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証■個人情報でない仮名加工情報の取扱いに関する義務等
第三者提供の禁止等（法第 42 条第 1 項・第 2 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の第三者提供（法第 43 条第 4 項、第 44 条関係）
■個人情報取扱事業者等の義務
保有個人データに関する事項の公表等（法第 32 条関係）
保有個人データの開示（法第 33 条第 1 項～第 4 項関係）
第三者提供記録の開示（法第 33 条第 5 項、第 1 項～第 3 項関係<5>開示

第１０条 （秘密保持義務）

保有個人データの訂正等（法第 34 条関係）

・ 秘密情報の定義

保有個人データの利用停止等（法第 35 条関係）

・ 秘密保持義務の内容とその例外

理由の説明（法第 36 条関係）

・ 秘密保持義務が契約終了後も存続すること

開示等の請求等に応じる手続（法第 37 条関係）〇

■仮名加工情報取扱事業者等の義務
利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の作成時の公表（法第 43 条第 3 項関係）

<6>期限管理、削除

第１２条 （有効期間）■個人情報取扱事業者等の義務

第１４条 （解除）・個人データの管理（法第 22 条～第 25 条関係）第１５条 （契約終了後の措置）

データ内容の正確性の確保等（法第 22 条関係）

・ 契約終了後の提供データの廃棄・消去■仮名加工情報取扱事業者等の義務

・ 提供データの廃棄・消去証明書の提出利用する必要がなくなった場合の消去（法第 41 条第 5 項関係）〇

■個人情報取扱事業者等の義務
・個人データの管理（法第 22 条～第 25 条関係）
データ内容の正確性の確保等（法第 22 条関係）

<7>情報セキュリティ管理・秘密保持義務

第９条 （損害軽減義務）

安全管理措置（法第 23 条関係）

・ データ受領者が提供データの漏えい等を発見した際の通知義務

従業者の監督（法第 24 条関係）

・ 提供データの漏えい等が生じた場合のデータ受領者の再発防止策等の検討・報告義務

委託先の監督（法第 25 条関係）第１０条 （秘密保持義務）■仮名加工情報取扱事業者等の義務

・ 秘密情報の定義

識別行為の禁止（法第 41 条第 7 項関係）

・ 秘密保持義務の内容とその例外

本人への連絡等の禁止（法第 41 条第 8 項関係）

・ 秘密保持義務が契約終了後も存続すること

安全管理措置（法第 23 条関係）第１１条 （派生データ等の取扱い）

従業者の監督（法第 24 条関係）

・ 派生データの利用権限の有無

委託先の監督（法第 25 条関係）

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権の帰属■個人情報でない仮名加工情報の取扱いに関する義務等

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権についての、データ提供者の利用権

安全管理措置（法第 42 条第 3 項、第 23 条関係）

限従業者の監督（法第 42 条第 3 項、第 24 条関係）

・ 派生データのデータ受領者の利用に基づいて生じた知的財産権を利用して得られた利益の分配

委託先の監督（法第 42 条第 3 項、第１３条 （不可抗力免責）■匿名加工情報取扱事業者等の義務

・ 停電、通信設備の事故、クラウドサービス等の外部サービスの提供の停止または緊急メンテナンスも不匿名加工情報等の安全管理措置等（法第 43 条第 2 項、第 6 項、第 46 条関可抗力として定める。

係）〇

識別行為の禁止（法第 43 条第 5 項、第 45 条関係）第 25 条関係）
識別行為の禁止（法第 42 条第 3 項、第 41 条第 7 項関係）
本人への連絡等の禁止（法第 42 条第 3 項、第 41 条第 8 項関係）

(2.2 節の表 1 に示した通番 10 の懸念・不安)
意図しない目的で利用されるのではないか
表 17 懸念・不安の通番 10 に対応する契約項目・個人情報保護法の条項・要件カテゴリ
要件カテゴリ

契約ガイドライン

個人情報保護法関連の強さ

第１条 （定義）・ 「提供データ」を定義する。
・ 提供データの対象、項目、件数等の提供データの詳細の特定が必要である。提供データの詳細等は別紙を用いて特定する。

<1>契約した相手とのデータ取引

・ 契約目的（データを提供する目的）を特定する。
・ 「派生データ」等解釈に幅のある概念を定義する。
第４条 （対価・支払条件）（※従量課金の場合）
・ 提供データの対価の金額あるいはその算定方法
・ 提供データの対価の支払方法<2>収集・加工第２条 （提供データの提供方法）■個人情報取扱事業者等の義務

・ 提供データの提供形式（紙、電子ファイル、電子ファイルのときはファイル形式）

・不適正利用の禁止（法第 19 条関係）

・ 提供データの提供手段（電子メールで送付、サーバからのダウンロード、サーバへのアクセス権の付・個人情報の取得（法第 20 条・第 21 条関係）

与、記録媒体にデータを記録させて返送）

適正取得（法第 20 条第 1 項関係）

・ 提供データの提供頻度■仮名加工情報取扱事業者等の義務第５条 （提供データの非保証）

仮名加工情報の適正な加工（法第 41 条第 1 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証

不適正利用の禁止（法第 19 条関係）

©2022 Data Society Alliance38〇

・ 提供データの正確性・完全性についての保証／非保証

適正取得（法第 20 条第 1 項関係）

・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証■匿名加工情報取扱事業者等の義務

・ 提供データの有効性（本目的への適合性）についての保証／非保証

匿名加工情報の適正な加工（法第 43 条第 1 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証第６条 （責任の制限等）

匿名加工情報の作成時の公表（法第 43 条第 3 項関係）
■個人情報取扱事業者等の義務第１条 （定義）

・個人情報の利用目的（法第 17 条・第 18 条、第 21 条第 3 項関係）

・ 契約目的（データを提供する目的）を特定する。

利用目的の特定（法第 17 条第 1 項関係）第３条 （提供データの利用許諾）<3>利用目的

利用目的の変更（法第 17 条第 2 項、第 21 条第 3 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

利用目的による制限（法第 18 条第 1 項関係）

・ 第三者提供等の禁止

事業の承継（法第 18 条第 2 項関係）

・ 目的外利用の禁止◎

利用目的による制限の例外（法第 18 条第 3 項関係

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止■仮名加工情報取扱事業者等の義務

・ 提供データに関する知的財産権の帰属

利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■個人情報取扱事業者等の義務
・個人データの第三者への提供（法第 27 条～第 30 条関係）
第三者提供の制限の原則（法第 27 条第 1 項関係）
オプトアウトによる第三者提供（法第 27 条第 2 項～第 4 項関係）第３条 （提供データの利用許諾）

第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

外国にある第三者への提供の制限（法第 28 条関係）・ 第三者提供等の禁止

第三者提供に係る記録の作成等（法第 29 条関係）・ 目的外利用の禁止

第三者提供を受ける際の確認等（法第 30 条関係）

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止<4>第三者提供

・個人関連情報の第三者提供の制限等（法第 31 条関係）

・ 提供データに関する知的財産権の帰属

本人の同意等の確認の方法（法第 31 条第 1 項関係）第５条 （提供データの非保証）

提供元における記録義務（法第 31 条第 3 項、第 30 条第 3 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証

提供先の第三者における確認義務（法第 30 条第 1 項）

・ 提供データの正確性・完全性についての保証／非保証
・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証
・ 提供データの有効性（本目的への適合性）についての保証／非保証

提供先の第三者における記録義務（法第 30 条第 3 項関係）
■仮名加工情報取扱事業者等の義務
第三者提供の禁止等（法第 41 条第 6 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証■個人情報でない仮名加工情報の取扱いに関する義務等
第三者提供の禁止等（法第 42 条第 1 項・第 2 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の第三者提供（法第 43 条第 4 項、第 44 条関係）
■個人情報取扱事業者等の義務
保有個人データに関する事項の公表等（法第 32 条関係）
保有個人データの開示（法第 33 条第 1 項～第 4 項関係）
第三者提供記録の開示（法第 33 条第 5 項、第 1 項～第 3 項関係<5>開示

第１０条 （秘密保持義務）

保有個人データの訂正等（法第 34 条関係）

・ 秘密情報の定義

保有個人データの利用停止等（法第 35 条関係）

・ 秘密保持義務の内容とその例外

理由の説明（法第 36 条関係）

・ 秘密保持義務が契約終了後も存続すること

開示等の請求等に応じる手続（法第 37 条関係）
■仮名加工情報取扱事業者等の義務
利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の作成時の公表（法第 43 条第 3 項関係）

<6>期限管理、削除

第１２条 （有効期間）■個人情報取扱事業者等の義務

第１４条 （解除）・個人データの管理（法第 22 条～第 25 条関係）第１５条 （契約終了後の措置）

データ内容の正確性の確保等（法第 22 条関係）

・ 契約終了後の提供データの廃棄・消去■仮名加工情報取扱事業者等の義務

・ 提供データの廃棄・消去証明書の提出利用する必要がなくなった場合の消去（法第 41 条第 5 項関係）
■個人情報取扱事業者等の義務
・個人データの管理（法第 22 条～第 25 条関係）
データ内容の正確性の確保等（法第 22 条関係）第９条 （損害軽減義務）

安全管理措置（法第 23 条関係）

・ データ受領者が提供データの漏えい等を発見した際の通知義務

従業者の監督（法第 24 条関係）

・ 提供データの漏えい等が生じた場合のデータ受領者の再発防止策等の検討・報告義務

委託先の監督（法第 25 条関係）第１０条 （秘密保持義務）■仮名加工情報取扱事業者等の義務

・ 秘密情報の定義

識別行為の禁止（法第 41 条第 7 項関係）

・ 秘密保持義務の内容とその例外

本人への連絡等の禁止（法第 41 条第 8 項関係）

<7>情報セキュリティ管理・秘密・ 秘密保持義務が契約終了後も存続すること

安全管理措置（法第 23 条関係）保持義務第１１条 （派生データ等の取扱い）

従業者の監督（法第 24 条関係）

・ 派生データの利用権限の有無

委託先の監督（法第 25 条関係）

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権の帰属■個人情報でない仮名加工情報の取扱いに関する義務等

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権についての、データ提供者の利用権限

安全管理措置（法第 42 条第 3 項、第 23 条関係）

・ 派生データのデータ受領者の利用に基づいて生じた知的財産権を利用して得られた利益の分配

従業者の監督（法第 42 条第 3 項、第 24 条関係）第１３条 （不可抗力免責）

委託先の監督（法第 42 条第 3 項、・ 停電、通信設備の事故、クラウドサービス等の外部サービスの提供の停止または緊急メンテナンスも不可■匿名加工情報取扱事業者等の義務抗力として定める。

匿名加工情報等の安全管理措置等（法第 43 条第 2 項、第 6 項、第 46 条関係）
識別行為の禁止（法第 43 条第 5 項、第 45 条関係）第 25 条関係）
識別行為の禁止（法第 42 条第 3 項、第 41 条第 7 項関係）
本人への連絡等の禁止（法第 42 条第 3 項、第 41 条第 8 項関係）

(2.2 節の表 1 に示した通番 11 の懸念・不安)創出されるソリューション（価値）によって不当な差別的取扱いを受けるのではないか
表 18 懸念・不安の通番 11 に対応する契約項目・個人情報保護法の条項・要件カテゴリ
要件カテゴリ

契約ガイドライン

個人情報保護法関連の強さ

第１条 （定義）・ 「提供データ」を定義する。
・ 提供データの対象、項目、件数等の提供データの詳細の特定が必要である。提供データの詳細等は別紙を用いて特定する。

<1>契約した相手とのデータ取引

・ 契約目的（データを提供する目的）を特定する。
・ 「派生データ」等解釈に幅のある概念を定義する。
第４条 （対価・支払条件）（※従量課金の場合）
・ 提供データの対価の金額あるいはその算定方法
・ 提供データの対価の支払方法<2>収集・加工第２条 （提供データの提供方法）■個人情報取扱事業者等の義務

・ 提供データの提供形式（紙、電子ファイル、電子ファイルのときはファイル形式）

・不適正利用の禁止（法第 19 条関係）

・ 提供データの提供手段（電子メールで送付、サーバからのダウンロード、サーバへのアクセス権の付・個人情報の取得（法第 20 条・第 21 条関係）

与、記録媒体にデータを記録させて返送）

適正取得（法第 20 条第 1 項関係）

・ 提供データの提供頻度■仮名加工情報取扱事業者等の義務第５条 （提供データの非保証）

仮名加工情報の適正な加工（法第 41 条第 1 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証

不適正利用の禁止（法第 19 条関係）

・ 提供データの正確性・完全性についての保証／非保証

適正取得（法第 20 条第 1 項関係）

・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証■匿名加工情報取扱事業者等の義務

・ 提供データの有効性（本目的への適合性）についての保証／非保証

匿名加工情報の適正な加工（法第 43 条第 1 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証第６条 （責任の制限等）

匿名加工情報の作成時の公表（法第 43 条第 3 項関係）

©2022 Data Society Alliance39〇

■個人情報取扱事業者等の義務第１条 （定義）

・個人情報の利用目的（法第 17 条・第 18 条、第 21 条第 3 項関係）

・ 契約目的（データを提供する目的）を特定する。

利用目的の特定（法第 17 条第 1 項関係）第３条 （提供データの利用許諾）<3>利用目的

利用目的の変更（法第 17 条第 2 項、第 21 条第 3 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

利用目的による制限（法第 18 条第 1 項関係）

・ 第三者提供等の禁止

事業の承継（法第 18 条第 2 項関係）

・ 目的外利用の禁止◎

利用目的による制限の例外（法第 18 条第 3 項関係

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止■仮名加工情報取扱事業者等の義務

・ 提供データに関する知的財産権の帰属

利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■個人情報取扱事業者等の義務
・個人データの第三者への提供（法第 27 条～第 30 条関係）
第三者提供の制限の原則（法第 27 条第 1 項関係）
オプトアウトによる第三者提供（法第 27 条第 2 項～第 4 項関係）第３条 （提供データの利用許諾）

第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

外国にある第三者への提供の制限（法第 28 条関係）・ 第三者提供等の禁止

第三者提供に係る記録の作成等（法第 29 条関係）・ 目的外利用の禁止

第三者提供を受ける際の確認等（法第 30 条関係）

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止<4>第三者提供

・個人関連情報の第三者提供の制限等（法第 31 条関係）

・ 提供データに関する知的財産権の帰属

本人の同意等の確認の方法（法第 31 条第 1 項関係）第５条 （提供データの非保証）

提供元における記録義務（法第 31 条第 3 項、第 30 条第 3 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証

提供先の第三者における確認義務（法第 30 条第 1 項）

・ 提供データの正確性・完全性についての保証／非保証
・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証
・ 提供データの有効性（本目的への適合性）についての保証／非保証

提供先の第三者における記録義務（法第 30 条第 3 項関係）
■仮名加工情報取扱事業者等の義務
第三者提供の禁止等（法第 41 条第 6 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証■個人情報でない仮名加工情報の取扱いに関する義務等
第三者提供の禁止等（法第 42 条第 1 項・第 2 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の第三者提供（法第 43 条第 4 項、第 44 条関係）
■個人情報取扱事業者等の義務
保有個人データに関する事項の公表等（法第 32 条関係）
保有個人データの開示（法第 33 条第 1 項～第 4 項関係）
第三者提供記録の開示（法第 33 条第 5 項、第 1 項～第 3 項関係<5>開示

第１０条 （秘密保持義務）

保有個人データの訂正等（法第 34 条関係）

・ 秘密情報の定義

保有個人データの利用停止等（法第 35 条関係）

・ 秘密保持義務の内容とその例外

理由の説明（法第 36 条関係）

・ 秘密保持義務が契約終了後も存続すること

開示等の請求等に応じる手続（法第 37 条関係）
■仮名加工情報取扱事業者等の義務
利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の作成時の公表（法第 43 条第 3 項関係）

<6>期限管理、削除

第１２条 （有効期間）■個人情報取扱事業者等の義務

第１４条 （解除）・個人データの管理（法第 22 条～第 25 条関係）第１５条 （契約終了後の措置）

データ内容の正確性の確保等（法第 22 条関係）

・ 契約終了後の提供データの廃棄・消去■仮名加工情報取扱事業者等の義務

・ 提供データの廃棄・消去証明書の提出利用する必要がなくなった場合の消去（法第 41 条第 5 項関係）
■個人情報取扱事業者等の義務
・個人データの管理（法第 22 条～第 25 条関係）
データ内容の正確性の確保等（法第 22 条関係）第９条 （損害軽減義務）

安全管理措置（法第 23 条関係）

・ データ受領者が提供データの漏えい等を発見した際の通知義務

従業者の監督（法第 24 条関係）

・ 提供データの漏えい等が生じた場合のデータ受領者の再発防止策等の検討・報告義務

委託先の監督（法第 25 条関係）第１０条 （秘密保持義務）■仮名加工情報取扱事業者等の義務

・ 秘密情報の定義

識別行為の禁止（法第 41 条第 7 項関係）

・ 秘密保持義務の内容とその例外

本人への連絡等の禁止（法第 41 条第 8 項関係）

<7>情報セキュリティ管理・秘密・ 秘密保持義務が契約終了後も存続すること

安全管理措置（法第 23 条関係）保持義務第１１条 （派生データ等の取扱い）

従業者の監督（法第 24 条関係）

・ 派生データの利用権限の有無

委託先の監督（法第 25 条関係）

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権の帰属■個人情報でない仮名加工情報の取扱いに関する義務等

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権についての、データ提供者の利用権限

安全管理措置（法第 42 条第 3 項、第 23 条関係）

・ 派生データのデータ受領者の利用に基づいて生じた知的財産権を利用して得られた利益の分配

従業者の監督（法第 42 条第 3 項、第 24 条関係）第１３条 （不可抗力免責）

委託先の監督（法第 42 条第 3 項、・ 停電、通信設備の事故、クラウドサービス等の外部サービスの提供の停止または緊急メンテナンスも不可■匿名加工情報取扱事業者等の義務抗力として定める。

匿名加工情報等の安全管理措置等（法第 43 条第 2 項、第 6 項、第 46 条関係）
識別行為の禁止（法第 43 条第 5 項、第 45 条関係）第 25 条関係）
識別行為の禁止（法第 42 条第 3 項、第 41 条第 7 項関係）
本人への連絡等の禁止（法第 42 条第 3 項、第 41 条第 8 項関係）

(2.2 節の表 1 に示した通番 12 の懸念・不安)
通番 9～11 の懸念・不安の結果自身のプライバシーが侵害されるのではないか
表 19 懸念・不安の通番 12 に対応する契約項目・個人情報保護法の条項・要件カテゴリ
要件カテゴリ

契約ガイドライン

個人情報保護法関連の強さ

第１条 （定義）・ 「提供データ」を定義する。
・ 提供データの対象、項目、件数等の提供データの詳細の特定が必要である。提供データの詳細等は<1>契約した相手とのデータ取別紙を用いて特定する。

引・ 「派生データ」等解釈に幅のある概念を定義する。

〇

・ 契約目的（データを提供する目的）を特定する。
第４条 （対価・支払条件）（※従量課金の場合）
・ 提供データの対価の金額あるいはその算定方法
・ 提供データの対価の支払方法<2>収集・加工<3>利用目的第２条 （提供データの提供方法）■個人情報取扱事業者等の義務

・ 提供データの提供形式（紙、電子ファイル、電子ファイルのときはファイル形式）

・不適正利用の禁止（法第 19 条関係）

・ 提供データの提供手段（電子メールで送付、サーバからのダウンロード、サーバへのアクセス権の付・個人情報の取得（法第 20 条・第 21 条関係）

与、記録媒体にデータを記録させて返送）

適正取得（法第 20 条第 1 項関係）

・ 提供データの提供頻度■仮名加工情報取扱事業者等の義務第５条 （提供データの非保証）

仮名加工情報の適正な加工（法第 41 条第 1 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証

不適正利用の禁止（法第 19 条関係）

・ 提供データの正確性・完全性についての保証／非保証

適正取得（法第 20 条第 1 項関係）

・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証■匿名加工情報取扱事業者等の義務

・ 提供データの有効性（本目的への適合性）についての保証／非保証

匿名加工情報の適正な加工（法第 43 条第 1 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証第６条 （責任の制限等）

匿名加工情報の作成時の公表（法第 43 条第 3 項関係）第１条 （定義）■個人情報取扱事業者等の義務

・ 契約目的（データを提供する目的）を特定する。

・個人情報の利用目的（法第 17 条・第 18 条、第 21 条第 3 項関係）第３条 （提供データの利用許諾）

利用目的の特定（法第 17 条第 1 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

利用目的の変更（法第 17 条第 2 項、第 21 条第 3 項関係）

©2022 Data Society Alliance
40

◎

◎

・ 第三者提供等の禁止

利用目的による制限（法第 18 条第 1 項関係）

・ 目的外利用の禁止

事業の承継（法第 18 条第 2 項関係）

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止

利用目的による制限の例外（法第 18 条第 3 項関係

・ 提供データに関する知的財産権の帰属■仮名加工情報取扱事業者等の義務
利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■個人情報取扱事業者等の義務
・個人データの第三者への提供（法第 27 条～第 30 条関係）
第三者提供の制限の原則（法第 27 条第 1 項関係）
オプトアウトによる第三者提供（法第 27 条第 2 項～第 4 項関係）第３条 （提供データの利用許諾）

第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

外国にある第三者への提供の制限（法第 28 条関係）・ 第三者提供等の禁止

第三者提供に係る記録の作成等（法第 29 条関係）・ 目的外利用の禁止

第三者提供を受ける際の確認等（法第 30 条関係）

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止<4>第三者提供

・個人関連情報の第三者提供の制限等（法第 31 条関係）

・ 提供データに関する知的財産権の帰属

本人の同意等の確認の方法（法第 31 条第 1 項関係）第５条 （提供データの非保証）

提供元における記録義務（法第 31 条第 3 項、第 30 条第 3 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証〇

提供先の第三者における確認義務（法第 30 条第 1 項）

・ 提供データの正確性・完全性についての保証／非保証
・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証
・ 提供データの有効性（本目的への適合性）についての保証／非保証

提供先の第三者における記録義務（法第 30 条第 3 項関係）
■仮名加工情報取扱事業者等の義務
第三者提供の禁止等（法第 41 条第 6 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証■個人情報でない仮名加工情報の取扱いに関する義務等
第三者提供の禁止等（法第 42 条第 1 項・第 2 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の第三者提供（法第 43 条第 4 項、第 44 条関係）
■個人情報取扱事業者等の義務
保有個人データに関する事項の公表等（法第 32 条関係）
保有個人データの開示（法第 33 条第 1 項～第 4 項関係）
第三者提供記録の開示（法第 33 条第 5 項、第 1 項～第 3 項関係<5>開示

第１０条 （秘密保持義務）

保有個人データの訂正等（法第 34 条関係）

・ 秘密情報の定義

保有個人データの利用停止等（法第 35 条関係）

・ 秘密保持義務の内容とその例外

理由の説明（法第 36 条関係）

・ 秘密保持義務が契約終了後も存続すること

開示等の請求等に応じる手続（法第 37 条関係）〇

■仮名加工情報取扱事業者等の義務
利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の作成時の公表（法第 43 条第 3 項関係）

<6>期限管理、削除

第１２条 （有効期間）■個人情報取扱事業者等の義務

第１４条 （解除）・個人データの管理（法第 22 条～第 25 条関係）第１５条 （契約終了後の措置）

データ内容の正確性の確保等（法第 22 条関係）

・ 契約終了後の提供データの廃棄・消去■仮名加工情報取扱事業者等の義務

・ 提供データの廃棄・消去証明書の提出利用する必要がなくなった場合の消去（法第 41 条第 5 項関係）〇

■個人情報取扱事業者等の義務
・個人データの管理（法第 22 条～第 25 条関係）
データ内容の正確性の確保等（法第 22 条関係）

<7>情報セキュリティ管理・秘密保持義務

第９条 （損害軽減義務）

安全管理措置（法第 23 条関係）

・ データ受領者が提供データの漏えい等を発見した際の通知義務

従業者の監督（法第 24 条関係）

・ 提供データの漏えい等が生じた場合のデータ受領者の再発防止策等の検討・報告義務

委託先の監督（法第 25 条関係）第１０条 （秘密保持義務）■仮名加工情報取扱事業者等の義務

・ 秘密情報の定義

識別行為の禁止（法第 41 条第 7 項関係）

・ 秘密保持義務の内容とその例外

本人への連絡等の禁止（法第 41 条第 8 項関係）

・ 秘密保持義務が契約終了後も存続すること

安全管理措置（法第 23 条関係）第１１条 （派生データ等の取扱い）

従業者の監督（法第 24 条関係）

・ 派生データの利用権限の有無

委託先の監督（法第 25 条関係）

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権の帰属■個人情報でない仮名加工情報の取扱いに関する義務等

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権についての、データ提供者の利用権

安全管理措置（法第 42 条第 3 項、第 23 条関係）

限従業者の監督（法第 42 条第 3 項、第 24 条関係）

・ 派生データのデータ受領者の利用に基づいて生じた知的財産権を利用して得られた利益の分配

委託先の監督（法第 42 条第 3 項、第１３条 （不可抗力免責）■匿名加工情報取扱事業者等の義務

・ 停電、通信設備の事故、クラウドサービス等の外部サービスの提供の停止または緊急メンテナンスも不匿名加工情報等の安全管理措置等（法第 43 条第 2 項、第 6 項、第 46 条関可抗力として定める。

係）〇

識別行為の禁止（法第 43 条第 5 項、第 45 条関係）第 25 条関係）
識別行為の禁止（法第 42 条第 3 項、第 41 条第 7 項関係）
本人への連絡等の禁止（法第 42 条第 3 項、第 41 条第 8 項関係）

(2.2 節の表 1 に示した通番 13 の懸念・不安)
データ提供先のプライバシーガバナンスが不十分で、パーソナルデータの第三者提供によって炎上が生じるのではないか
表 20 懸念・不安の通番 13 に対応する契約項目・個人情報保護法の条項・要件カテゴリ
要件カテゴリ

契約ガイドライン

個人情報保護法第１条 （定義）・ 「提供データ」を定義する。
・ 提供データの対象、項目、件数等の提供データの詳細の特定が必要である。提供データの詳細等は別紙を用いて特定する。

<1>契約した相手とのデータ取引

・ 契約目的（データを提供する目的）を特定する。
・ 「派生データ」等解釈に幅のある概念を定義する。
第４条 （対価・支払条件）（※従量課金の場合）
・ 提供データの対価の金額あるいはその算定方法
・ 提供データの対価の支払方法<2>収集・加工<3>利用目的第２条 （提供データの提供方法）■個人情報取扱事業者等の義務

・ 提供データの提供形式（紙、電子ファイル、電子ファイルのときはファイル形式）

・不適正利用の禁止（法第 19 条関係）

・ 提供データの提供手段（電子メールで送付、サーバからのダウンロード、サーバへのアクセス権の付与、記・個人情報の取得（法第 20 条・第 21 条関係）

録媒体にデータを記録させて返送）

適正取得（法第 20 条第 1 項関係）

・ 提供データの提供頻度■仮名加工情報取扱事業者等の義務第５条 （提供データの非保証）

仮名加工情報の適正な加工（法第 41 条第 1 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証

不適正利用の禁止（法第 19 条関係）

・ 提供データの正確性・完全性についての保証／非保証

適正取得（法第 20 条第 1 項関係）

・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証■匿名加工情報取扱事業者等の義務

・ 提供データの有効性（本目的への適合性）についての保証／非保証

匿名加工情報の適正な加工（法第 43 条第 1 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証第６条 （責任の制限等）

匿名加工情報の作成時の公表（法第 43 条第 3 項関係）第１条 （定義）■個人情報取扱事業者等の義務

・ 契約目的（データを提供する目的）を特定する。

・個人情報の利用目的（法第 17 条・第 18 条、第 21 条第 3 項関係）第３条 （提供データの利用許諾）

利用目的の特定（法第 17 条第 1 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

利用目的の変更（法第 17 条第 2 項、第 21 条第 3 項関係）

©2022 Data Society Alliance
41

関連の強さ

・ 第三者提供等の禁止

利用目的による制限（法第 18 条第 1 項関係）

・ 目的外利用の禁止

事業の承継（法第 18 条第 2 項関係）

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止

利用目的による制限の例外（法第 18 条第 3 項関係

・ 提供データに関する知的財産権の帰属■仮名加工情報取扱事業者等の義務
利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■個人情報取扱事業者等の義務
・個人データの第三者への提供（法第 27 条～第 30 条関係）
第三者提供の制限の原則（法第 27 条第 1 項関係）
オプトアウトによる第三者提供（法第 27 条第 2 項～第 4 項関係）第３条 （提供データの利用許諾）

第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

外国にある第三者への提供の制限（法第 28 条関係）・ 第三者提供等の禁止

第三者提供に係る記録の作成等（法第 29 条関係）・ 目的外利用の禁止

第三者提供を受ける際の確認等（法第 30 条関係）

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止<4>第三者提供

・個人関連情報の第三者提供の制限等（法第 31 条関係）

・ 提供データに関する知的財産権の帰属

本人の同意等の確認の方法（法第 31 条第 1 項関係）第５条 （提供データの非保証）

提供元における記録義務（法第 31 条第 3 項、第 30 条第 3 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証◎

提供先の第三者における確認義務（法第 30 条第 1 項）

・ 提供データの正確性・完全性についての保証／非保証
・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証
・ 提供データの有効性（本目的への適合性）についての保証／非保証

提供先の第三者における記録義務（法第 30 条第 3 項関係）
■仮名加工情報取扱事業者等の義務
第三者提供の禁止等（法第 41 条第 6 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証■個人情報でない仮名加工情報の取扱いに関する義務等
第三者提供の禁止等（法第 42 条第 1 項・第 2 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の第三者提供（法第 43 条第 4 項、第 44 条関係）
■個人情報取扱事業者等の義務
保有個人データに関する事項の公表等（法第 32 条関係）
保有個人データの開示（法第 33 条第 1 項～第 4 項関係）
第三者提供記録の開示（法第 33 条第 5 項、第 1 項～第 3 項関係<5>開示

第１０条 （秘密保持義務）

保有個人データの訂正等（法第 34 条関係）

・ 秘密情報の定義

保有個人データの利用停止等（法第 35 条関係）

・ 秘密保持義務の内容とその例外

理由の説明（法第 36 条関係）

・ 秘密保持義務が契約終了後も存続すること

開示等の請求等に応じる手続（法第 37 条関係）
■仮名加工情報取扱事業者等の義務
利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の作成時の公表（法第 43 条第 3 項関係）

<6>期限管理、削除

第１２条 （有効期間）■個人情報取扱事業者等の義務

第１４条 （解除）・個人データの管理（法第 22 条～第 25 条関係）第１５条 （契約終了後の措置）

データ内容の正確性の確保等（法第 22 条関係）

・ 契約終了後の提供データの廃棄・消去■仮名加工情報取扱事業者等の義務

・ 提供データの廃棄・消去証明書の提出利用する必要がなくなった場合の消去（法第 41 条第 5 項関係）
■個人情報取扱事業者等の義務
・個人データの管理（法第 22 条～第 25 条関係）
データ内容の正確性の確保等（法第 22 条関係）第９条 （損害軽減義務）

安全管理措置（法第 23 条関係）

・ データ受領者が提供データの漏えい等を発見した際の通知義務

従業者の監督（法第 24 条関係）

・ 提供データの漏えい等が生じた場合のデータ受領者の再発防止策等の検討・報告義務

委託先の監督（法第 25 条関係）第１０条 （秘密保持義務）■仮名加工情報取扱事業者等の義務

・ 秘密情報の定義

識別行為の禁止（法第 41 条第 7 項関係）

・ 秘密保持義務の内容とその例外

本人への連絡等の禁止（法第 41 条第 8 項関係）

<7>情報セキュリティ管理・秘密・ 秘密保持義務が契約終了後も存続すること

安全管理措置（法第 23 条関係）保持義務第１１条 （派生データ等の取扱い）

従業者の監督（法第 24 条関係）

・ 派生データの利用権限の有無

委託先の監督（法第 25 条関係）

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権の帰属■個人情報でない仮名加工情報の取扱いに関する義務等

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権についての、データ提供者の利用権限

安全管理措置（法第 42 条第 3 項、第 23 条関係）

・ 派生データのデータ受領者の利用に基づいて生じた知的財産権を利用して得られた利益の分配

従業者の監督（法第 42 条第 3 項、第 24 条関係）第１３条 （不可抗力免責）

委託先の監督（法第 42 条第 3 項、・ 停電、通信設備の事故、クラウドサービス等の外部サービスの提供の停止または緊急メンテナンスも不可■匿名加工情報取扱事業者等の義務抗力として定める。

匿名加工情報等の安全管理措置等（法第 43 条第 2 項、第 6 項、第 46 条関係）
識別行為の禁止（法第 43 条第 5 項、第 45 条関係）第 25 条関係）
識別行為の禁止（法第 42 条第 3 項、第 41 条第 7 項関係）
本人への連絡等の禁止（法第 42 条第 3 項、第 41 条第 8 項関係）

(2.2 節の表 1 に示した通番 14 の懸念・不安)
データ提供元のプライバシーガバナンスが不十分で、提供されるパーソナルデータの生成・収集や提供にプライバ
シー侵害リスクが潜んでいるのではないか
表 21 懸念・不安の通番 14 に対応する契約項目・個人情報保護法の条項・要件カテゴリ
要件カテゴリ

契約ガイドライン

個人情報保護法関連の強さ

第１条 （定義）・ 「提供データ」を定義する。
・ 提供データの対象、項目、件数等の提供データの詳細の特定が必要である。提供データの詳細等は別紙を用いて特定する。

<1>契約した相手とのデータ取引

・ 契約目的（データを提供する目的）を特定する。
・ 「派生データ」等解釈に幅のある概念を定義する。
第４条 （対価・支払条件）（※従量課金の場合）
・ 提供データの対価の金額あるいはその算定方法
・ 提供データの対価の支払方法<2>収集・加工<3>利用目的第２条 （提供データの提供方法）■個人情報取扱事業者等の義務

・ 提供データの提供形式（紙、電子ファイル、電子ファイルのときはファイル形式）

・不適正利用の禁止（法第 19 条関係）

・ 提供データの提供手段（電子メールで送付、サーバからのダウンロード、サーバへのアクセス権の付・個人情報の取得（法第 20 条・第 21 条関係）

与、記録媒体にデータを記録させて返送）

適正取得（法第 20 条第 1 項関係）

・ 提供データの提供頻度■仮名加工情報取扱事業者等の義務第５条 （提供データの非保証）

仮名加工情報の適正な加工（法第 41 条第 1 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証

不適正利用の禁止（法第 19 条関係）

・ 提供データの正確性・完全性についての保証／非保証

適正取得（法第 20 条第 1 項関係）

・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証■匿名加工情報取扱事業者等の義務

・ 提供データの有効性（本目的への適合性）についての保証／非保証

匿名加工情報の適正な加工（法第 43 条第 1 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証第６条 （責任の制限等）

匿名加工情報の作成時の公表（法第 43 条第 3 項関係）第１条 （定義）■個人情報取扱事業者等の義務

・ 契約目的（データを提供する目的）を特定する。

・個人情報の利用目的（法第 17 条・第 18 条、第 21 条第 3 項関係）第３条 （提供データの利用許諾）

利用目的の特定（法第 17 条第 1 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

利用目的の変更（法第 17 条第 2 項、第 21 条第 3 項関係）

・ 第三者提供等の禁止

利用目的による制限（法第 18 条第 1 項関係）

・ 目的外利用の禁止

事業の承継（法第 18 条第 2 項関係）

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止

利用目的による制限の例外（法第 18 条第 3 項関係

・ 提供データに関する知的財産権の帰属■仮名加工情報取扱事業者等の義務©2022 Data Society Alliance
42◎利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■個人情報取扱事業者等の義務
・個人データの第三者への提供（法第 27 条～第 30 条関係）
第三者提供の制限の原則（法第 27 条第 1 項関係）
オプトアウトによる第三者提供（法第 27 条第 2 項～第 4 項関係）第３条 （提供データの利用許諾）

第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

外国にある第三者への提供の制限（法第 28 条関係）・ 第三者提供等の禁止

第三者提供に係る記録の作成等（法第 29 条関係）・ 目的外利用の禁止

第三者提供を受ける際の確認等（法第 30 条関係）

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止<4>第三者提供

・個人関連情報の第三者提供の制限等（法第 31 条関係）

・ 提供データに関する知的財産権の帰属

本人の同意等の確認の方法（法第 31 条第 1 項関係）第５条 （提供データの非保証）

提供元における記録義務（法第 31 条第 3 項、第 30 条第 3 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証◎

提供先の第三者における確認義務（法第 30 条第 1 項）

・ 提供データの正確性・完全性についての保証／非保証
・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証
・ 提供データの有効性（本目的への適合性）についての保証／非保証

提供先の第三者における記録義務（法第 30 条第 3 項関係）
■仮名加工情報取扱事業者等の義務
第三者提供の禁止等（法第 41 条第 6 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証■個人情報でない仮名加工情報の取扱いに関する義務等
第三者提供の禁止等（法第 42 条第 1 項・第 2 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の第三者提供（法第 43 条第 4 項、第 44 条関係）
■個人情報取扱事業者等の義務
保有個人データに関する事項の公表等（法第 32 条関係）
保有個人データの開示（法第 33 条第 1 項～第 4 項関係）
第三者提供記録の開示（法第 33 条第 5 項、第 1 項～第 3 項関係<5>開示

第１０条 （秘密保持義務）

保有個人データの訂正等（法第 34 条関係）

・ 秘密情報の定義

保有個人データの利用停止等（法第 35 条関係）

・ 秘密保持義務の内容とその例外

理由の説明（法第 36 条関係）

・ 秘密保持義務が契約終了後も存続すること

開示等の請求等に応じる手続（法第 37 条関係）〇

■仮名加工情報取扱事業者等の義務
利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の作成時の公表（法第 43 条第 3 項関係）

<6>期限管理、削除

第１２条 （有効期間）■個人情報取扱事業者等の義務

第１４条 （解除）・個人データの管理（法第 22 条～第 25 条関係）第１５条 （契約終了後の措置）

データ内容の正確性の確保等（法第 22 条関係）

・ 契約終了後の提供データの廃棄・消去■仮名加工情報取扱事業者等の義務

・ 提供データの廃棄・消去証明書の提出利用する必要がなくなった場合の消去（法第 41 条第 5 項関係）
■個人情報取扱事業者等の義務
・個人データの管理（法第 22 条～第 25 条関係）
データ内容の正確性の確保等（法第 22 条関係）第９条 （損害軽減義務）

安全管理措置（法第 23 条関係）

・ データ受領者が提供データの漏えい等を発見した際の通知義務

従業者の監督（法第 24 条関係）

・ 提供データの漏えい等が生じた場合のデータ受領者の再発防止策等の検討・報告義務

委託先の監督（法第 25 条関係）第１０条 （秘密保持義務）■仮名加工情報取扱事業者等の義務

・ 秘密情報の定義

識別行為の禁止（法第 41 条第 7 項関係）

・ 秘密保持義務の内容とその例外

本人への連絡等の禁止（法第 41 条第 8 項関係）

<7>情報セキュリティ管理・秘密・ 秘密保持義務が契約終了後も存続すること

安全管理措置（法第 23 条関係）保持義務第１１条 （派生データ等の取扱い）

従業者の監督（法第 24 条関係）

・ 派生データの利用権限の有無

委託先の監督（法第 25 条関係）

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権の帰属■個人情報でない仮名加工情報の取扱いに関する義務等

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権についての、データ提供者の利用権限

安全管理措置（法第 42 条第 3 項、第 23 条関係）

・ 派生データのデータ受領者の利用に基づいて生じた知的財産権を利用して得られた利益の分配

従業者の監督（法第 42 条第 3 項、第 24 条関係）第１３条 （不可抗力免責）

委託先の監督（法第 42 条第 3 項、・ 停電、通信設備の事故、クラウドサービス等の外部サービスの提供の停止または緊急メンテナンスも不可■匿名加工情報取扱事業者等の義務抗力として定める。

匿名加工情報等の安全管理措置等（法第 43 条第 2 項、第 6 項、第 46 条関係）
識別行為の禁止（法第 43 条第 5 項、第 45 条関係）第 25 条関係）
識別行為の禁止（法第 42 条第 3 項、第 41 条第 7 項関係）
本人への連絡等の禁止（法第 42 条第 3 項、第 41 条第 8 項関係）

(2.2 節の表 1 に示した通番 15 の懸念・不安)
データ提供者は適法な手段でデータを入手しているか
表 22 懸念・不安の通番 15 に対応する契約項目・個人情報保護法の条項・要件カテゴリ
要件カテゴリ

契約ガイドライン

個人情報保護法関連の強さ

第１条 （定義）・ 「提供データ」を定義する。
・ 提供データの対象、項目、件数等の提供データの詳細の特定が必要である。提供データの詳細等は別紙を用いて特定する。

<1>契約した相手とのデータ取引

・ 契約目的（データを提供する目的）を特定する。
・ 「派生データ」等解釈に幅のある概念を定義する。
第４条 （対価・支払条件）（※従量課金の場合）
・ 提供データの対価の金額あるいはその算定方法
・ 提供データの対価の支払方法<2>収集・加工第２条 （提供データの提供方法）■個人情報取扱事業者等の義務

・ 提供データの提供形式（紙、電子ファイル、電子ファイルのときはファイル形式）

・不適正利用の禁止（法第 19 条関係）

・ 提供データの提供手段（電子メールで送付、サーバからのダウンロード、サーバへのアクセス権の付・個人情報の取得（法第 20 条・第 21 条関係）

与、記録媒体にデータを記録させて返送）

適正取得（法第 20 条第 1 項関係）

・ 提供データの提供頻度■仮名加工情報取扱事業者等の義務第５条 （提供データの非保証）

仮名加工情報の適正な加工（法第 41 条第 1 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証

不適正利用の禁止（法第 19 条関係）

・ 提供データの正確性・完全性についての保証／非保証

適正取得（法第 20 条第 1 項関係）

・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証■匿名加工情報取扱事業者等の義務

・ 提供データの有効性（本目的への適合性）についての保証／非保証

匿名加工情報の適正な加工（法第 43 条第 1 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証第６条 （責任の制限等）

匿名加工情報の作成時の公表（法第 43 条第 3 項関係）
■個人情報取扱事業者等の義務第１条 （定義）

・個人情報の利用目的（法第 17 条・第 18 条、第 21 条第 3 項関係）

・ 契約目的（データを提供する目的）を特定する。

利用目的の特定（法第 17 条第 1 項関係）第３条 （提供データの利用許諾）<3>利用目的

利用目的の変更（法第 17 条第 2 項、第 21 条第 3 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

利用目的による制限（法第 18 条第 1 項関係）

・ 第三者提供等の禁止

事業の承継（法第 18 条第 2 項関係）

・ 目的外利用の禁止

利用目的による制限の例外（法第 18 条第 3 項関係

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止■仮名加工情報取扱事業者等の義務

・ 提供データに関する知的財産権の帰属<4>第三者提供

利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）第３条 （提供データの利用許諾）■個人情報取扱事業者等の義務

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

・個人データの第三者への提供（法第 27 条～第 30 条関係）・ 第三者提供等の禁止

第三者提供の制限の原則（法第 27 条第 1 項関係）

・ 目的外利用の禁止

オプトアウトによる第三者提供（法第 27 条第 2 項～第 4 項関係）

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止

第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係）

・ 提供データに関する知的財産権の帰属外国にある第三者への提供の制限（法第 28 条関係）

©2022 Data Society Alliance43◎

第５条 （提供データの非保証）

第三者提供に係る記録の作成等（法第 29 条関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証

第三者提供を受ける際の確認等（法第 30 条関係）

・ 提供データの正確性・完全性についての保証／非保証

・個人関連情報の第三者提供の制限等（法第 31 条関係）

・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証

本人の同意等の確認の方法（法第 31 条第 1 項関係）

・ 提供データの有効性（本目的への適合性）についての保証／非保証

提供元における記録義務（法第 31 条第 3 項、第 30 条第 3 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証

提供先の第三者における確認義務（法第 30 条第 1 項）
提供先の第三者における記録義務（法第 30 条第 3 項関係）
■仮名加工情報取扱事業者等の義務
第三者提供の禁止等（法第 41 条第 6 項関係）
■個人情報でない仮名加工情報の取扱いに関する義務等
第三者提供の禁止等（法第 42 条第 1 項・第 2 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の第三者提供（法第 43 条第 4 項、第 44 条関係）
■個人情報取扱事業者等の義務
保有個人データに関する事項の公表等（法第 32 条関係）
保有個人データの開示（法第 33 条第 1 項～第 4 項関係）
第三者提供記録の開示（法第 33 条第 5 項、第 1 項～第 3 項関係<5>開示

第１０条 （秘密保持義務）

保有個人データの訂正等（法第 34 条関係）

・ 秘密情報の定義

保有個人データの利用停止等（法第 35 条関係）

・ 秘密保持義務の内容とその例外

理由の説明（法第 36 条関係）

・ 秘密保持義務が契約終了後も存続すること

開示等の請求等に応じる手続（法第 37 条関係）
■仮名加工情報取扱事業者等の義務
利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の作成時の公表（法第 43 条第 3 項関係）

<6>期限管理、削除

第１２条 （有効期間）■個人情報取扱事業者等の義務

第１４条 （解除）・個人データの管理（法第 22 条～第 25 条関係）第１５条 （契約終了後の措置）

データ内容の正確性の確保等（法第 22 条関係）

・ 契約終了後の提供データの廃棄・消去■仮名加工情報取扱事業者等の義務

・ 提供データの廃棄・消去証明書の提出利用する必要がなくなった場合の消去（法第 41 条第 5 項関係）
■個人情報取扱事業者等の義務
・個人データの管理（法第 22 条～第 25 条関係）
データ内容の正確性の確保等（法第 22 条関係）第９条 （損害軽減義務）

安全管理措置（法第 23 条関係）

・ データ受領者が提供データの漏えい等を発見した際の通知義務

従業者の監督（法第 24 条関係）

・ 提供データの漏えい等が生じた場合のデータ受領者の再発防止策等の検討・報告義務

委託先の監督（法第 25 条関係）第１０条 （秘密保持義務）■仮名加工情報取扱事業者等の義務

・ 秘密情報の定義

識別行為の禁止（法第 41 条第 7 項関係）

・ 秘密保持義務の内容とその例外

本人への連絡等の禁止（法第 41 条第 8 項関係）

<7>情報セキュリティ管理・秘密・ 秘密保持義務が契約終了後も存続すること

安全管理措置（法第 23 条関係）保持義務第１１条 （派生データ等の取扱い）

従業者の監督（法第 24 条関係）

・ 派生データの利用権限の有無

委託先の監督（法第 25 条関係）

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権の帰属■個人情報でない仮名加工情報の取扱いに関する義務等

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権についての、データ提供者の利用権限

安全管理措置（法第 42 条第 3 項、第 23 条関係）

・ 派生データのデータ受領者の利用に基づいて生じた知的財産権を利用して得られた利益の分配

従業者の監督（法第 42 条第 3 項、第 24 条関係）第１３条 （不可抗力免責）

委託先の監督（法第 42 条第 3 項、・ 停電、通信設備の事故、クラウドサービス等の外部サービスの提供の停止または緊急メンテナンスも不可■匿名加工情報取扱事業者等の義務抗力として定める。

匿名加工情報等の安全管理措置等（法第 43 条第 2 項、第 6 項、第 46 条関係）
識別行為の禁止（法第 43 条第 5 項、第 45 条関係）第 25 条関係）
識別行為の禁止（法第 42 条第 3 項、第 41 条第 7 項関係）
本人への連絡等の禁止（法第 42 条第 3 項、第 41 条第 8 項関係）

(2.2 節の表 1 に示した通番 16 の懸念・不安)
データ提供者は、上流関与者から課されたデータ処理条件を遵守し、これを踏まえた利用条件を課してデータ利用者にデータ提供しているか
表 23 懸念・不安の通番 16 に対応する契約項目・個人情報保護法の条項・要件カテゴリ
要件カテゴリ

契約ガイドライン

個人情報保護法関連の強さ

第１条 （定義）・ 「提供データ」を定義する。
・ 提供データの対象、項目、件数等の提供データの詳細の特定が必要である。提供データの詳細等は別紙を用いて特定する。

<1>契約した相手とのデータ取引

・ 契約目的（データを提供する目的）を特定する。
・ 「派生データ」等解釈に幅のある概念を定義する。
第４条 （対価・支払条件）（※従量課金の場合）
・ 提供データの対価の金額あるいはその算定方法
・ 提供データの対価の支払方法<2>収集・加工第２条 （提供データの提供方法）■個人情報取扱事業者等の義務

・ 提供データの提供形式（紙、電子ファイル、電子ファイルのときはファイル形式）

・不適正利用の禁止（法第 19 条関係）

・ 提供データの提供手段（電子メールで送付、サーバからのダウンロード、サーバへのアクセス権の付・個人情報の取得（法第 20 条・第 21 条関係）

与、記録媒体にデータを記録させて返送）

適正取得（法第 20 条第 1 項関係）

・ 提供データの提供頻度■仮名加工情報取扱事業者等の義務第５条 （提供データの非保証）

仮名加工情報の適正な加工（法第 41 条第 1 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証

不適正利用の禁止（法第 19 条関係）

・ 提供データの正確性・完全性についての保証／非保証

適正取得（法第 20 条第 1 項関係）

・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証■匿名加工情報取扱事業者等の義務

・ 提供データの有効性（本目的への適合性）についての保証／非保証

匿名加工情報の適正な加工（法第 43 条第 1 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証第６条 （責任の制限等）

匿名加工情報の作成時の公表（法第 43 条第 3 項関係）
■個人情報取扱事業者等の義務第１条 （定義）

・個人情報の利用目的（法第 17 条・第 18 条、第 21 条第 3 項関係）

・ 契約目的（データを提供する目的）を特定する。

利用目的の特定（法第 17 条第 1 項関係）第３条 （提供データの利用許諾）<3>利用目的

利用目的の変更（法第 17 条第 2 項、第 21 条第 3 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

利用目的による制限（法第 18 条第 1 項関係）

・ 第三者提供等の禁止

事業の承継（法第 18 条第 2 項関係）

・ 目的外利用の禁止◎

利用目的による制限の例外（法第 18 条第 3 項関係

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止■仮名加工情報取扱事業者等の義務

・ 提供データに関する知的財産権の帰属<4>第三者提供〇

利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）第３条 （提供データの利用許諾）■個人情報取扱事業者等の義務

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

・個人データの第三者への提供（法第 27 条～第 30 条関係）・ 第三者提供等の禁止

第三者提供の制限の原則（法第 27 条第 1 項関係）

・ 目的外利用の禁止

オプトアウトによる第三者提供（法第 27 条第 2 項～第 4 項関係）

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止

第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係）

・ 提供データに関する知的財産権の帰属外国にある第三者への提供の制限（法第 28 条関係）第５条 （提供データの非保証）

第三者提供に係る記録の作成等（法第 29 条関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証

第三者提供を受ける際の確認等（法第 30 条関係）

・ 提供データの正確性・完全性についての保証／非保証

・個人関連情報の第三者提供の制限等（法第 31 条関係）

・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証

本人の同意等の確認の方法（法第 31 条第 1 項関係）

©2022 Data Society Alliance44〇

・ 提供データの有効性（本目的への適合性）についての保証／非保証

提供元における記録義務（法第 31 条第 3 項、第 30 条第 3 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証

提供先の第三者における確認義務（法第 30 条第 1 項）
提供先の第三者における記録義務（法第 30 条第 3 項関係）
■仮名加工情報取扱事業者等の義務
第三者提供の禁止等（法第 41 条第 6 項関係）
■個人情報でない仮名加工情報の取扱いに関する義務等
第三者提供の禁止等（法第 42 条第 1 項・第 2 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の第三者提供（法第 43 条第 4 項、第 44 条関係）
■個人情報取扱事業者等の義務
保有個人データに関する事項の公表等（法第 32 条関係）
保有個人データの開示（法第 33 条第 1 項～第 4 項関係）
第三者提供記録の開示（法第 33 条第 5 項、第 1 項～第 3 項関係<5>開示

第１０条 （秘密保持義務）

保有個人データの訂正等（法第 34 条関係）

・ 秘密情報の定義

保有個人データの利用停止等（法第 35 条関係）

・ 秘密保持義務の内容とその例外

理由の説明（法第 36 条関係）

・ 秘密保持義務が契約終了後も存続すること

開示等の請求等に応じる手続（法第 37 条関係）〇

■仮名加工情報取扱事業者等の義務
利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の作成時の公表（法第 43 条第 3 項関係）

<6>期限管理、削除

第１２条 （有効期間）■個人情報取扱事業者等の義務

第１４条 （解除）・個人データの管理（法第 22 条～第 25 条関係）第１５条 （契約終了後の措置）

データ内容の正確性の確保等（法第 22 条関係）

・ 契約終了後の提供データの廃棄・消去■仮名加工情報取扱事業者等の義務

・ 提供データの廃棄・消去証明書の提出利用する必要がなくなった場合の消去（法第 41 条第 5 項関係）〇

■個人情報取扱事業者等の義務
・個人データの管理（法第 22 条～第 25 条関係）
データ内容の正確性の確保等（法第 22 条関係）

<7>情報セキュリティ管理・秘密保持義務

第９条 （損害軽減義務）

安全管理措置（法第 23 条関係）

・ データ受領者が提供データの漏えい等を発見した際の通知義務

従業者の監督（法第 24 条関係）

・ 提供データの漏えい等が生じた場合のデータ受領者の再発防止策等の検討・報告義務

委託先の監督（法第 25 条関係）第１０条 （秘密保持義務）■仮名加工情報取扱事業者等の義務

・ 秘密情報の定義

識別行為の禁止（法第 41 条第 7 項関係）

・ 秘密保持義務の内容とその例外

本人への連絡等の禁止（法第 41 条第 8 項関係）

・ 秘密保持義務が契約終了後も存続すること

安全管理措置（法第 23 条関係）第１１条 （派生データ等の取扱い）

従業者の監督（法第 24 条関係）

・ 派生データの利用権限の有無

委託先の監督（法第 25 条関係）

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権の帰属■個人情報でない仮名加工情報の取扱いに関する義務等

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権についての、データ提供者の利用権

安全管理措置（法第 42 条第 3 項、第 23 条関係）

限従業者の監督（法第 42 条第 3 項、第 24 条関係）

・ 派生データのデータ受領者の利用に基づいて生じた知的財産権を利用して得られた利益の分配

委託先の監督（法第 42 条第 3 項、第１３条 （不可抗力免責）■匿名加工情報取扱事業者等の義務

・ 停電、通信設備の事故、クラウドサービス等の外部サービスの提供の停止または緊急メンテナンスも不匿名加工情報等の安全管理措置等（法第 43 条第 2 項、第 6 項、第 46 条関可抗力として定める。

係）〇

識別行為の禁止（法第 43 条第 5 項、第 45 条関係）第 25 条関係）
識別行為の禁止（法第 42 条第 3 項、第 41 条第 7 項関係）
本人への連絡等の禁止（法第 42 条第 3 項、第 41 条第 8 項関係）

(2.2 節の表 1 に示した通番 17 の懸念・不安)
データ提供者は、上流関与者との関係で利用条件の変更が必要になった際は速やかにデータ利用者へ通知しているか
表 24 懸念・不安の通番 17 に対応する契約項目・個人情報保護法の条項・要件カテゴリ
要件カテゴリ

契約ガイドライン

個人情報保護法関連の強さ

第１条 （定義）・ 「提供データ」を定義する。
・ 提供データの対象、項目、件数等の提供データの詳細の特定が必要である。提供データの詳細等は別紙を用いて特定する。

<1>契約した相手とのデータ取引

・ 契約目的（データを提供する目的）を特定する。
・ 「派生データ」等解釈に幅のある概念を定義する。
第４条 （対価・支払条件）（※従量課金の場合）
・ 提供データの対価の金額あるいはその算定方法
・ 提供データの対価の支払方法<2>収集・加工第２条 （提供データの提供方法）■個人情報取扱事業者等の義務

・ 提供データの提供形式（紙、電子ファイル、電子ファイルのときはファイル形式）

・不適正利用の禁止（法第 19 条関係）

・ 提供データの提供手段（電子メールで送付、サーバからのダウンロード、サーバへのアクセス権の付・個人情報の取得（法第 20 条・第 21 条関係）

与、記録媒体にデータを記録させて返送）

適正取得（法第 20 条第 1 項関係）

・ 提供データの提供頻度■仮名加工情報取扱事業者等の義務第５条 （提供データの非保証）

仮名加工情報の適正な加工（法第 41 条第 1 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証

不適正利用の禁止（法第 19 条関係）

・ 提供データの正確性・完全性についての保証／非保証

適正取得（法第 20 条第 1 項関係）

・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証■匿名加工情報取扱事業者等の義務

・ 提供データの有効性（本目的への適合性）についての保証／非保証

匿名加工情報の適正な加工（法第 43 条第 1 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証第６条 （責任の制限等）

匿名加工情報の作成時の公表（法第 43 条第 3 項関係）
■個人情報取扱事業者等の義務第１条 （定義）

・個人情報の利用目的（法第 17 条・第 18 条、第 21 条第 3 項関係）

・ 契約目的（データを提供する目的）を特定する。

利用目的の特定（法第 17 条第 1 項関係）第３条 （提供データの利用許諾）<3>利用目的

利用目的の変更（法第 17 条第 2 項、第 21 条第 3 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

利用目的による制限（法第 18 条第 1 項関係）

・ 第三者提供等の禁止

事業の承継（法第 18 条第 2 項関係）

・ 目的外利用の禁止◎

利用目的による制限の例外（法第 18 条第 3 項関係

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止■仮名加工情報取扱事業者等の義務

・ 提供データに関する知的財産権の帰属

利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■個人情報取扱事業者等の義務第３条 （提供データの利用許諾）

・個人データの第三者への提供（法第 27 条～第 30 条関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

第三者提供の制限の原則（法第 27 条第 1 項関係）

・ 第三者提供等の禁止

オプトアウトによる第三者提供（法第 27 条第 2 項～第 4 項関係）

・ 目的外利用の禁止

第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係）

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止<4>第三者提供〇

外国にある第三者への提供の制限（法第 28 条関係）

・ 提供データに関する知的財産権の帰属

第三者提供に係る記録の作成等（法第 29 条関係）第５条 （提供データの非保証）

第三者提供を受ける際の確認等（法第 30 条関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証

・個人関連情報の第三者提供の制限等（法第 31 条関係）

・ 提供データの正確性・完全性についての保証／非保証
・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証
・ 提供データの有効性（本目的への適合性）についての保証／非保証

本人の同意等の確認の方法（法第 31 条第 1 項関係）
提供元における記録義務（法第 31 条第 3 項、第 30 条第 3 項関係）
提供先の第三者における確認義務（法第 30 条第 1 項）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証

提供先の第三者における記録義務（法第 30 条第 3 項関係）

©2022 Data Society Alliance45〇

■仮名加工情報取扱事業者等の義務
第三者提供の禁止等（法第 41 条第 6 項関係）
■個人情報でない仮名加工情報の取扱いに関する義務等
第三者提供の禁止等（法第 42 条第 1 項・第 2 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の第三者提供（法第 43 条第 4 項、第 44 条関係）
■個人情報取扱事業者等の義務
保有個人データに関する事項の公表等（法第 32 条関係）
保有個人データの開示（法第 33 条第 1 項～第 4 項関係）
第三者提供記録の開示（法第 33 条第 5 項、第 1 項～第 3 項関係<5>開示

第１０条 （秘密保持義務）

保有個人データの訂正等（法第 34 条関係）

・ 秘密情報の定義

保有個人データの利用停止等（法第 35 条関係）

・ 秘密保持義務の内容とその例外

理由の説明（法第 36 条関係）

・ 秘密保持義務が契約終了後も存続すること

開示等の請求等に応じる手続（法第 37 条関係）〇

■仮名加工情報取扱事業者等の義務
利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の作成時の公表（法第 43 条第 3 項関係）

<6>期限管理、削除

第１２条 （有効期間）■個人情報取扱事業者等の義務

第１４条 （解除）・個人データの管理（法第 22 条～第 25 条関係）第１５条 （契約終了後の措置）

データ内容の正確性の確保等（法第 22 条関係）

・ 契約終了後の提供データの廃棄・消去■仮名加工情報取扱事業者等の義務

・ 提供データの廃棄・消去証明書の提出利用する必要がなくなった場合の消去（法第 41 条第 5 項関係）〇

■個人情報取扱事業者等の義務
・個人データの管理（法第 22 条～第 25 条関係）
データ内容の正確性の確保等（法第 22 条関係）

<7>情報セキュリティ管理・秘密保持義務

第９条 （損害軽減義務）

安全管理措置（法第 23 条関係）

・ データ受領者が提供データの漏えい等を発見した際の通知義務

従業者の監督（法第 24 条関係）

・ 提供データの漏えい等が生じた場合のデータ受領者の再発防止策等の検討・報告義務

委託先の監督（法第 25 条関係）第１０条 （秘密保持義務）■仮名加工情報取扱事業者等の義務

・ 秘密情報の定義

識別行為の禁止（法第 41 条第 7 項関係）

・ 秘密保持義務の内容とその例外

本人への連絡等の禁止（法第 41 条第 8 項関係）

・ 秘密保持義務が契約終了後も存続すること

安全管理措置（法第 23 条関係）第１１条 （派生データ等の取扱い）

従業者の監督（法第 24 条関係）

・ 派生データの利用権限の有無

委託先の監督（法第 25 条関係）

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権の帰属■個人情報でない仮名加工情報の取扱いに関する義務等

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権についての、データ提供者の利用権

安全管理措置（法第 42 条第 3 項、第 23 条関係）

限従業者の監督（法第 42 条第 3 項、第 24 条関係）

・ 派生データのデータ受領者の利用に基づいて生じた知的財産権を利用して得られた利益の分配

委託先の監督（法第 42 条第 3 項、第１３条 （不可抗力免責）■匿名加工情報取扱事業者等の義務

・ 停電、通信設備の事故、クラウドサービス等の外部サービスの提供の停止または緊急メンテナンスも不匿名加工情報等の安全管理措置等（法第 43 条第 2 項、第 6 項、第 46 条関可抗力として定める。

係）〇

識別行為の禁止（法第 43 条第 5 項、第 45 条関係）第 25 条関係）
識別行為の禁止（法第 42 条第 3 項、第 41 条第 7 項関係）
本人への連絡等の禁止（法第 42 条第 3 項、第 41 条第 8 項関係）

(2.2 節の表 1 に示した通番 18 の懸念・不安)
被観測者又はデータ提供者とデータ利用者はデータ取引契約を交わした者か
表 25 懸念・不安の通番 18 に対応する契約項目・個人情報保護法の条項・要件カテゴリ
要件カテゴリ

契約ガイドライン

個人情報保護法関連の強さ

第１条 （定義）・ 「提供データ」を定義する。
・ 提供データの対象、項目、件数等の提供データの詳細の特定が必要である。提供データの詳細等は<1>契約した相手とのデータ取別紙を用いて特定する。

引・ 「派生データ」等解釈に幅のある概念を定義する。

◎

・ 契約目的（データを提供する目的）を特定する。
第４条 （対価・支払条件）（※従量課金の場合）
・ 提供データの対価の金額あるいはその算定方法
・ 提供データの対価の支払方法<2>収集・加工第２条 （提供データの提供方法）■個人情報取扱事業者等の義務

・ 提供データの提供形式（紙、電子ファイル、電子ファイルのときはファイル形式）

・不適正利用の禁止（法第 19 条関係）

・ 提供データの提供手段（電子メールで送付、サーバからのダウンロード、サーバへのアクセス権の付与、記・個人情報の取得（法第 20 条・第 21 条関係）

録媒体にデータを記録させて返送）

適正取得（法第 20 条第 1 項関係）

・ 提供データの提供頻度■仮名加工情報取扱事業者等の義務第５条 （提供データの非保証）

仮名加工情報の適正な加工（法第 41 条第 1 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証

不適正利用の禁止（法第 19 条関係）

・ 提供データの正確性・完全性についての保証／非保証

適正取得（法第 20 条第 1 項関係）

・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証■匿名加工情報取扱事業者等の義務

・ 提供データの有効性（本目的への適合性）についての保証／非保証

匿名加工情報の適正な加工（法第 43 条第 1 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証第６条 （責任の制限等）

匿名加工情報の作成時の公表（法第 43 条第 3 項関係）
■個人情報取扱事業者等の義務第１条 （定義）

・個人情報の利用目的（法第 17 条・第 18 条、第 21 条第 3 項関係）

・ 契約目的（データを提供する目的）を特定する。

利用目的の特定（法第 17 条第 1 項関係）第３条 （提供データの利用許諾）<3>利用目的

利用目的の変更（法第 17 条第 2 項、第 21 条第 3 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

利用目的による制限（法第 18 条第 1 項関係）

・ 第三者提供等の禁止

事業の承継（法第 18 条第 2 項関係）

・ 目的外利用の禁止

利用目的による制限の例外（法第 18 条第 3 項関係

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止■仮名加工情報取扱事業者等の義務

・ 提供データに関する知的財産権の帰属

利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■個人情報取扱事業者等の義務
・個人データの第三者への提供（法第 27 条～第 30 条関係）

<4>第三者提供

第３条 （提供データの利用許諾）

第三者提供の制限の原則（法第 27 条第 1 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

オプトアウトによる第三者提供（法第 27 条第 2 項～第 4 項関係）

・ 第三者提供等の禁止

第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係）

・ 目的外利用の禁止

外国にある第三者への提供の制限（法第 28 条関係）

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止

第三者提供に係る記録の作成等（法第 29 条関係）

・ 提供データに関する知的財産権の帰属

第三者提供を受ける際の確認等（法第 30 条関係）第５条 （提供データの非保証）

・個人関連情報の第三者提供の制限等（法第 31 条関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証

本人の同意等の確認の方法（法第 31 条第 1 項関係）

・ 提供データの正確性・完全性についての保証／非保証

提供元における記録義務（法第 31 条第 3 項、第 30 条第 3 項関係）

・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証

提供先の第三者における確認義務（法第 30 条第 1 項）

・ 提供データの有効性（本目的への適合性）についての保証／非保証

提供先の第三者における記録義務（法第 30 条第 3 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証■仮名加工情報取扱事業者等の義務
第三者提供の禁止等（法第 41 条第 6 項関係）
■個人情報でない仮名加工情報の取扱いに関する義務等©2022 Data Society Alliance46

第三者提供の禁止等（法第 42 条第 1 項・第 2 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の第三者提供（法第 43 条第 4 項、第 44 条関係）
■個人情報取扱事業者等の義務
保有個人データに関する事項の公表等（法第 32 条関係）
保有個人データの開示（法第 33 条第 1 項～第 4 項関係）
第三者提供記録の開示（法第 33 条第 5 項、第 1 項～第 3 項関係<5>開示

第１０条 （秘密保持義務）

保有個人データの訂正等（法第 34 条関係）

・ 秘密情報の定義

保有個人データの利用停止等（法第 35 条関係）

・ 秘密保持義務の内容とその例外

理由の説明（法第 36 条関係）

・ 秘密保持義務が契約終了後も存続すること

開示等の請求等に応じる手続（法第 37 条関係）
■仮名加工情報取扱事業者等の義務
利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の作成時の公表（法第 43 条第 3 項関係）

<6>期限管理、削除

第１２条 （有効期間）■個人情報取扱事業者等の義務

第１４条 （解除）・個人データの管理（法第 22 条～第 25 条関係）第１５条 （契約終了後の措置）

データ内容の正確性の確保等（法第 22 条関係）

・ 契約終了後の提供データの廃棄・消去■仮名加工情報取扱事業者等の義務

・ 提供データの廃棄・消去証明書の提出利用する必要がなくなった場合の消去（法第 41 条第 5 項関係）
■個人情報取扱事業者等の義務
・個人データの管理（法第 22 条～第 25 条関係）
データ内容の正確性の確保等（法第 22 条関係）第９条 （損害軽減義務）

安全管理措置（法第 23 条関係）

・ データ受領者が提供データの漏えい等を発見した際の通知義務

従業者の監督（法第 24 条関係）

・ 提供データの漏えい等が生じた場合のデータ受領者の再発防止策等の検討・報告義務

委託先の監督（法第 25 条関係）第１０条 （秘密保持義務）■仮名加工情報取扱事業者等の義務

・ 秘密情報の定義

識別行為の禁止（法第 41 条第 7 項関係）

・ 秘密保持義務の内容とその例外

本人への連絡等の禁止（法第 41 条第 8 項関係）

<7>情報セキュリティ管理・秘密・ 秘密保持義務が契約終了後も存続すること

安全管理措置（法第 23 条関係）保持義務第１１条 （派生データ等の取扱い）

従業者の監督（法第 24 条関係）

・ 派生データの利用権限の有無

委託先の監督（法第 25 条関係）

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権の帰属■個人情報でない仮名加工情報の取扱いに関する義務等

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権についての、データ提供者の利用権限

安全管理措置（法第 42 条第 3 項、第 23 条関係）

・ 派生データのデータ受領者の利用に基づいて生じた知的財産権を利用して得られた利益の分配

従業者の監督（法第 42 条第 3 項、第 24 条関係）第１３条 （不可抗力免責）

委託先の監督（法第 42 条第 3 項、・ 停電、通信設備の事故、クラウドサービス等の外部サービスの提供の停止または緊急メンテナンスも不可■匿名加工情報取扱事業者等の義務抗力として定める。

匿名加工情報等の安全管理措置等（法第 43 条第 2 項、第 6 項、第 46 条関係）
識別行為の禁止（法第 43 条第 5 項、第 45 条関係）第 25 条関係）
識別行為の禁止（法第 42 条第 3 項、第 41 条第 7 項関係）
本人への連絡等の禁止（法第 42 条第 3 項、第 41 条第 8 項関係）

(2.2 節の表 1 に示した通番 19 の懸念・不安)
データ利用者は、被観測者又はデータ提供者が同意した利用条件でデータを利用しているか
表 26 懸念・不安の通番 19 に対応する契約項目・個人情報保護法の条項・要件カテゴリ
要件カテゴリ

契約ガイドライン

個人情報保護法関連の強さ

第１条 （定義）・ 「提供データ」を定義する。
・ 提供データの対象、項目、件数等の提供データの詳細の特定が必要である。提供データの詳細等は別紙を用いて特定する。

<1>契約した相手とのデータ取引

・ 契約目的（データを提供する目的）を特定する。
・ 「派生データ」等解釈に幅のある概念を定義する。
第４条 （対価・支払条件）（※従量課金の場合）
・ 提供データの対価の金額あるいはその算定方法
・ 提供データの対価の支払方法<2>収集・加工第２条 （提供データの提供方法）■個人情報取扱事業者等の義務

・ 提供データの提供形式（紙、電子ファイル、電子ファイルのときはファイル形式）

・不適正利用の禁止（法第 19 条関係）

・ 提供データの提供手段（電子メールで送付、サーバからのダウンロード、サーバへのアクセス権の付・個人情報の取得（法第 20 条・第 21 条関係）

与、記録媒体にデータを記録させて返送）

適正取得（法第 20 条第 1 項関係）

・ 提供データの提供頻度■仮名加工情報取扱事業者等の義務第５条 （提供データの非保証）

仮名加工情報の適正な加工（法第 41 条第 1 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証

不適正利用の禁止（法第 19 条関係）

・ 提供データの正確性・完全性についての保証／非保証

適正取得（法第 20 条第 1 項関係）

・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証■匿名加工情報取扱事業者等の義務

・ 提供データの有効性（本目的への適合性）についての保証／非保証

匿名加工情報の適正な加工（法第 43 条第 1 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証第６条 （責任の制限等）

匿名加工情報の作成時の公表（法第 43 条第 3 項関係）
■個人情報取扱事業者等の義務第１条 （定義）

・個人情報の利用目的（法第 17 条・第 18 条、第 21 条第 3 項関係）

・ 契約目的（データを提供する目的）を特定する。

利用目的の特定（法第 17 条第 1 項関係）第３条 （提供データの利用許諾）<3>利用目的〇

利用目的の変更（法第 17 条第 2 項、第 21 条第 3 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

利用目的による制限（法第 18 条第 1 項関係）

・ 第三者提供等の禁止

事業の承継（法第 18 条第 2 項関係）

・ 目的外利用の禁止◎

利用目的による制限の例外（法第 18 条第 3 項関係

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止■仮名加工情報取扱事業者等の義務

・ 提供データに関する知的財産権の帰属

利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■個人情報取扱事業者等の義務
・個人データの第三者への提供（法第 27 条～第 30 条関係）
第三者提供の制限の原則（法第 27 条第 1 項関係）
オプトアウトによる第三者提供（法第 27 条第 2 項～第 4 項関係）第３条 （提供データの利用許諾）

第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

外国にある第三者への提供の制限（法第 28 条関係）・ 第三者提供等の禁止

第三者提供に係る記録の作成等（法第 29 条関係）・ 目的外利用の禁止

第三者提供を受ける際の確認等（法第 30 条関係）

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止<4>第三者提供

・個人関連情報の第三者提供の制限等（法第 31 条関係）

・ 提供データに関する知的財産権の帰属

本人の同意等の確認の方法（法第 31 条第 1 項関係）第５条 （提供データの非保証）

提供元における記録義務（法第 31 条第 3 項、第 30 条第 3 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証

提供先の第三者における確認義務（法第 30 条第 1 項）

・ 提供データの正確性・完全性についての保証／非保証
・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証
・ 提供データの有効性（本目的への適合性）についての保証／非保証

提供先の第三者における記録義務（法第 30 条第 3 項関係）
■仮名加工情報取扱事業者等の義務
第三者提供の禁止等（法第 41 条第 6 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証■個人情報でない仮名加工情報の取扱いに関する義務等
第三者提供の禁止等（法第 42 条第 1 項・第 2 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の第三者提供（法第 43 条第 4 項、第 44 条関係）

©2022 Data Society Alliance47〇

■個人情報取扱事業者等の義務
保有個人データに関する事項の公表等（法第 32 条関係）
保有個人データの開示（法第 33 条第 1 項～第 4 項関係）
第三者提供記録の開示（法第 33 条第 5 項、第 1 項～第 3 項関係<5>開示

第１０条 （秘密保持義務）

保有個人データの訂正等（法第 34 条関係）

・ 秘密情報の定義

保有個人データの利用停止等（法第 35 条関係）

・ 秘密保持義務の内容とその例外

理由の説明（法第 36 条関係）

・ 秘密保持義務が契約終了後も存続すること

開示等の請求等に応じる手続（法第 37 条関係）〇

■仮名加工情報取扱事業者等の義務
利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の作成時の公表（法第 43 条第 3 項関係）

<6>期限管理、削除

第１２条 （有効期間）■個人情報取扱事業者等の義務

第１４条 （解除）・個人データの管理（法第 22 条～第 25 条関係）第１５条 （契約終了後の措置）

データ内容の正確性の確保等（法第 22 条関係）

・ 契約終了後の提供データの廃棄・消去■仮名加工情報取扱事業者等の義務

・ 提供データの廃棄・消去証明書の提出利用する必要がなくなった場合の消去（法第 41 条第 5 項関係）〇

■個人情報取扱事業者等の義務
・個人データの管理（法第 22 条～第 25 条関係）
データ内容の正確性の確保等（法第 22 条関係）

<7>情報セキュリティ管理・秘密保持義務

第９条 （損害軽減義務）

安全管理措置（法第 23 条関係）

・ データ受領者が提供データの漏えい等を発見した際の通知義務

従業者の監督（法第 24 条関係）

・ 提供データの漏えい等が生じた場合のデータ受領者の再発防止策等の検討・報告義務

委託先の監督（法第 25 条関係）第１０条 （秘密保持義務）■仮名加工情報取扱事業者等の義務

・ 秘密情報の定義

識別行為の禁止（法第 41 条第 7 項関係）

・ 秘密保持義務の内容とその例外

本人への連絡等の禁止（法第 41 条第 8 項関係）

・ 秘密保持義務が契約終了後も存続すること

安全管理措置（法第 23 条関係）第１１条 （派生データ等の取扱い）

従業者の監督（法第 24 条関係）

・ 派生データの利用権限の有無

委託先の監督（法第 25 条関係）

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権の帰属■個人情報でない仮名加工情報の取扱いに関する義務等

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権についての、データ提供者の利用権

安全管理措置（法第 42 条第 3 項、第 23 条関係）

限従業者の監督（法第 42 条第 3 項、第 24 条関係）

・ 派生データのデータ受領者の利用に基づいて生じた知的財産権を利用して得られた利益の分配

委託先の監督（法第 42 条第 3 項、第１３条 （不可抗力免責）■匿名加工情報取扱事業者等の義務

・ 停電、通信設備の事故、クラウドサービス等の外部サービスの提供の停止または緊急メンテナンスも不匿名加工情報等の安全管理措置等（法第 43 条第 2 項、第 6 項、第 46 条関可抗力として定める。

係）〇

識別行為の禁止（法第 43 条第 5 項、第 45 条関係）第 25 条関係）
識別行為の禁止（法第 42 条第 3 項、第 41 条第 7 項関係）
本人への連絡等の禁止（法第 42 条第 3 項、第 41 条第 8 項関係）

(2.2 節の表 1 に示した通番 20 の懸念・不安)
利用後は法定保存期間及び契約に基づきデータ消去等の措置を講じているか
表 27 懸念・不安の通番 20 に対応する契約項目・個人情報保護法の条項・要件カテゴリ
要件カテゴリ

契約ガイドライン

個人情報保護法第１条 （定義）・ 「提供データ」を定義する。
・ 提供データの対象、項目、件数等の提供データの詳細の特定が必要である。提供データの詳細等は別<1>契約した相手とのデータ取引

紙を用いて特定する。
・ 契約目的（データを提供する目的）を特定する。
・ 「派生データ」等解釈に幅のある概念を定義する。
第４条 （対価・支払条件）（※従量課金の場合）
・ 提供データの対価の金額あるいはその算定方法
・ 提供データの対価の支払方法<2>収集・加工第２条 （提供データの提供方法）■個人情報取扱事業者等の義務

・ 提供データの提供形式（紙、電子ファイル、電子ファイルのときはファイル形式）

・不適正利用の禁止（法第 19 条関係）

・ 提供データの提供手段（電子メールで送付、サーバからのダウンロード、サーバへのアクセス権の付与、記・個人情報の取得（法第 20 条・第 21 条関係）

録媒体にデータを記録させて返送）

適正取得（法第 20 条第 1 項関係）

・ 提供データの提供頻度■仮名加工情報取扱事業者等の義務第５条 （提供データの非保証）

仮名加工情報の適正な加工（法第 41 条第 1 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証

不適正利用の禁止（法第 19 条関係）

・ 提供データの正確性・完全性についての保証／非保証

適正取得（法第 20 条第 1 項関係）

・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証■匿名加工情報取扱事業者等の義務

・ 提供データの有効性（本目的への適合性）についての保証／非保証

匿名加工情報の適正な加工（法第 43 条第 1 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証第６条 （責任の制限等）

匿名加工情報の作成時の公表（法第 43 条第 3 項関係）
■個人情報取扱事業者等の義務第１条 （定義）

・個人情報の利用目的（法第 17 条・第 18 条、第 21 条第 3 項関係）

・ 契約目的（データを提供する目的）を特定する。

利用目的の特定（法第 17 条第 1 項関係）第３条 （提供データの利用許諾）<3>利用目的

利用目的の変更（法第 17 条第 2 項、第 21 条第 3 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

利用目的による制限（法第 18 条第 1 項関係）

・ 第三者提供等の禁止

事業の承継（法第 18 条第 2 項関係）

・ 目的外利用の禁止

利用目的による制限の例外（法第 18 条第 3 項関係

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止■仮名加工情報取扱事業者等の義務

・ 提供データに関する知的財産権の帰属

利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■個人情報取扱事業者等の義務
・個人データの第三者への提供（法第 27 条～第 30 条関係）
第三者提供の制限の原則（法第 27 条第 1 項関係）
オプトアウトによる第三者提供（法第 27 条第 2 項～第 4 項関係）第３条 （提供データの利用許諾）

第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

外国にある第三者への提供の制限（法第 28 条関係）・ 第三者提供等の禁止

第三者提供に係る記録の作成等（法第 29 条関係）・ 目的外利用の禁止

第三者提供を受ける際の確認等（法第 30 条関係）

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止<4>第三者提供

・個人関連情報の第三者提供の制限等（法第 31 条関係）

・ 提供データに関する知的財産権の帰属

本人の同意等の確認の方法（法第 31 条第 1 項関係）第５条 （提供データの非保証）

提供元における記録義務（法第 31 条第 3 項、第 30 条第 3 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証

提供先の第三者における確認義務（法第 30 条第 1 項）

・ 提供データの正確性・完全性についての保証／非保証
・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証
・ 提供データの有効性（本目的への適合性）についての保証／非保証

提供先の第三者における記録義務（法第 30 条第 3 項関係）
■仮名加工情報取扱事業者等の義務
第三者提供の禁止等（法第 41 条第 6 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証■個人情報でない仮名加工情報の取扱いに関する義務等
第三者提供の禁止等（法第 42 条第 1 項・第 2 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の第三者提供（法第 43 条第 4 項、第 44 条関係）

<5>開示

第１０条 （秘密保持義務）■個人情報取扱事業者等の義務

・ 秘密情報の定義

保有個人データに関する事項の公表等（法第 32 条関係）

・ 秘密保持義務の内容とその例外

保有個人データの開示（法第 33 条第 1 項～第 4 項関係）

©2022 Data Society Alliance
48

関連の強さ

・ 秘密保持義務が契約終了後も存続すること

第三者提供記録の開示（法第 33 条第 5 項、第 1 項～第 3 項関係
保有個人データの訂正等（法第 34 条関係）
保有個人データの利用停止等（法第 35 条関係）
理由の説明（法第 36 条関係）
開示等の請求等に応じる手続（法第 37 条関係）
■仮名加工情報取扱事業者等の義務
利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の作成時の公表（法第 43 条第 3 項関係）

<6>期限管理、削除

第１２条 （有効期間）■個人情報取扱事業者等の義務

第１４条 （解除）・個人データの管理（法第 22 条～第 25 条関係）第１５条 （契約終了後の措置）

データ内容の正確性の確保等（法第 22 条関係）

・ 契約終了後の提供データの廃棄・消去■仮名加工情報取扱事業者等の義務

・ 提供データの廃棄・消去証明書の提出利用する必要がなくなった場合の消去（法第 41 条第 5 項関係）◎

■個人情報取扱事業者等の義務
・個人データの管理（法第 22 条～第 25 条関係）
データ内容の正確性の確保等（法第 22 条関係）第９条 （損害軽減義務）

安全管理措置（法第 23 条関係）

・ データ受領者が提供データの漏えい等を発見した際の通知義務

従業者の監督（法第 24 条関係）

・ 提供データの漏えい等が生じた場合のデータ受領者の再発防止策等の検討・報告義務

委託先の監督（法第 25 条関係）第１０条 （秘密保持義務）■仮名加工情報取扱事業者等の義務

・ 秘密情報の定義

識別行為の禁止（法第 41 条第 7 項関係）

・ 秘密保持義務の内容とその例外

本人への連絡等の禁止（法第 41 条第 8 項関係）

<7>情報セキュリティ管理・秘密・ 秘密保持義務が契約終了後も存続すること

安全管理措置（法第 23 条関係）保持義務第１１条 （派生データ等の取扱い）

従業者の監督（法第 24 条関係）

・ 派生データの利用権限の有無

委託先の監督（法第 25 条関係）

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権の帰属■個人情報でない仮名加工情報の取扱いに関する義務等

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権についての、データ提供者の利用権限

安全管理措置（法第 42 条第 3 項、第 23 条関係）

・ 派生データのデータ受領者の利用に基づいて生じた知的財産権を利用して得られた利益の分配

従業者の監督（法第 42 条第 3 項、第 24 条関係）第１３条 （不可抗力免責）

委託先の監督（法第 42 条第 3 項、・ 停電、通信設備の事故、クラウドサービス等の外部サービスの提供の停止または緊急メンテナンスも不可■匿名加工情報取扱事業者等の義務抗力として定める。

匿名加工情報等の安全管理措置等（法第 43 条第 2 項、第 6 項、第 46 条関係）
識別行為の禁止（法第 43 条第 5 項、第 45 条関係）第 25 条関係）
識別行為の禁止（法第 42 条第 3 項、第 41 条第 7 項関係）
本人への連絡等の禁止（法第 42 条第 3 項、第 41 条第 8 項関係）

(2.2 節の表 1 に示した通番 21 の懸念・不安)
第三者提供先は被観測者又はデータ提供者が同意した範囲の相手か
表 28 懸念・不安の通番 21 に対応する契約項目・個人情報保護法の条項・要件カテゴリ
要件カテゴリ

契約ガイドライン

個人情報保護法関連の強さ

第１条 （定義）・ 「提供データ」を定義する。
・ 提供データの対象、項目、件数等の提供データの詳細の特定が必要である。提供データの詳細等は別<1>契約した相手とのデータ取引

紙を用いて特定する。
・ 契約目的（データを提供する目的）を特定する。
・ 「派生データ」等解釈に幅のある概念を定義する。
第４条 （対価・支払条件）（※従量課金の場合）
・ 提供データの対価の金額あるいはその算定方法
・ 提供データの対価の支払方法<2>収集・加工第２条 （提供データの提供方法）■個人情報取扱事業者等の義務

・ 提供データの提供形式（紙、電子ファイル、電子ファイルのときはファイル形式）

・不適正利用の禁止（法第 19 条関係）

・ 提供データの提供手段（電子メールで送付、サーバからのダウンロード、サーバへのアクセス権の付与、記・個人情報の取得（法第 20 条・第 21 条関係）

録媒体にデータを記録させて返送）

適正取得（法第 20 条第 1 項関係）

・ 提供データの提供頻度■仮名加工情報取扱事業者等の義務第５条 （提供データの非保証）

仮名加工情報の適正な加工（法第 41 条第 1 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証

不適正利用の禁止（法第 19 条関係）

・ 提供データの正確性・完全性についての保証／非保証

適正取得（法第 20 条第 1 項関係）

・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証■匿名加工情報取扱事業者等の義務

・ 提供データの有効性（本目的への適合性）についての保証／非保証

匿名加工情報の適正な加工（法第 43 条第 1 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証第６条 （責任の制限等）

匿名加工情報の作成時の公表（法第 43 条第 3 項関係）
■個人情報取扱事業者等の義務第１条 （定義）

・個人情報の利用目的（法第 17 条・第 18 条、第 21 条第 3 項関係）

・ 契約目的（データを提供する目的）を特定する。

利用目的の特定（法第 17 条第 1 項関係）第３条 （提供データの利用許諾）<3>利用目的

利用目的の変更（法第 17 条第 2 項、第 21 条第 3 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

利用目的による制限（法第 18 条第 1 項関係）

・ 第三者提供等の禁止

事業の承継（法第 18 条第 2 項関係）

・ 目的外利用の禁止

利用目的による制限の例外（法第 18 条第 3 項関係

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止■仮名加工情報取扱事業者等の義務

・ 提供データに関する知的財産権の帰属

利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■個人情報取扱事業者等の義務
・個人データの第三者への提供（法第 27 条～第 30 条関係）
第三者提供の制限の原則（法第 27 条第 1 項関係）
オプトアウトによる第三者提供（法第 27 条第 2 項～第 4 項関係）第３条 （提供データの利用許諾）

第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係）

・ データ提供型契約の類型（利用許諾、譲渡、共同利用）を定める。

外国にある第三者への提供の制限（法第 28 条関係）・ 第三者提供等の禁止

第三者提供に係る記録の作成等（法第 29 条関係）・ 目的外利用の禁止

第三者提供を受ける際の確認等（法第 30 条関係）

・ 提供データの本目的以外の目的での加工、分析、編集、統合等の禁止<4>第三者提供

・個人関連情報の第三者提供の制限等（法第 31 条関係）

・ 提供データに関する知的財産権の帰属

本人の同意等の確認の方法（法第 31 条第 1 項関係）第５条 （提供データの非保証）

提供元における記録義務（法第 31 条第 3 項、第 30 条第 3 項関係）

・ 提供データに関する第三者の権利の非侵害の保証／非保証

提供先の第三者における確認義務（法第 30 条第 1 項）

・ 提供データの正確性・完全性についての保証／非保証
・ 提供データの安全性（提供データがウイルスに感染していないか等）についての保証／非保証
・ 提供データの有効性（本目的への適合性）についての保証／非保証

提供先の第三者における記録義務（法第 30 条第 3 項関係）
■仮名加工情報取扱事業者等の義務
第三者提供の禁止等（法第 41 条第 6 項関係）

・ 提供データに関する第三者の知的財産権等の非侵害の保証／非保証■個人情報でない仮名加工情報の取扱いに関する義務等
第三者提供の禁止等（法第 42 条第 1 項・第 2 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の第三者提供（法第 43 条第 4 項、第 44 条関係）
■個人情報取扱事業者等の義務
保有個人データに関する事項の公表等（法第 32 条関係）第１０条 （秘密保持義務）<5>開示

保有個人データの開示（法第 33 条第 1 項～第 4 項関係）

・ 秘密情報の定義

第三者提供記録の開示（法第 33 条第 5 項、第 1 項～第 3 項関係

・ 秘密保持義務の内容とその例外

保有個人データの訂正等（法第 34 条関係）

・ 秘密保持義務が契約終了後も存続すること

保有個人データの利用停止等（法第 35 条関係）
理由の説明（法第 36 条関係）

©2022 Data Society Alliance49◎開示等の請求等に応じる手続（法第 37 条関係）
■仮名加工情報取扱事業者等の義務
利用目的による制限・公表（法第 41 条第 3 項・第 4 項関係）
■匿名加工情報取扱事業者等の義務
匿名加工情報の作成時の公表（法第 43 条第 3 項関係）

<6>期限管理、削除

第１２条 （有効期間）■個人情報取扱事業者等の義務

第１４条 （解除）・個人データの管理（法第 22 条～第 25 条関係）第１５条 （契約終了後の措置）

データ内容の正確性の確保等（法第 22 条関係）

・ 契約終了後の提供データの廃棄・消去■仮名加工情報取扱事業者等の義務

・ 提供データの廃棄・消去証明書の提出利用する必要がなくなった場合の消去（法第 41 条第 5 項関係）
■個人情報取扱事業者等の義務
・個人データの管理（法第 22 条～第 25 条関係）
データ内容の正確性の確保等（法第 22 条関係）第９条 （損害軽減義務）

安全管理措置（法第 23 条関係）

・ データ受領者が提供データの漏えい等を発見した際の通知義務

従業者の監督（法第 24 条関係）

・ 提供データの漏えい等が生じた場合のデータ受領者の再発防止策等の検討・報告義務

委託先の監督（法第 25 条関係）第１０条 （秘密保持義務）■仮名加工情報取扱事業者等の義務

・ 秘密情報の定義

識別行為の禁止（法第 41 条第 7 項関係）

・ 秘密保持義務の内容とその例外

本人への連絡等の禁止（法第 41 条第 8 項関係）

<7>情報セキュリティ管理・秘密・ 秘密保持義務が契約終了後も存続すること

安全管理措置（法第 23 条関係）保持義務第１１条 （派生データ等の取扱い）

従業者の監督（法第 24 条関係）

・ 派生データの利用権限の有無

委託先の監督（法第 25 条関係）

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権の帰属■個人情報でない仮名加工情報の取扱いに関する義務等

・ 提供データのデータ受領者の利用に基づいて生じた知的財産権についての、データ提供者の利用権限

安全管理措置（法第 42 条第 3 項、第 23 条関係）

・ 派生データのデータ受領者の利用に基づいて生じた知的財産権を利用して得られた利益の分配

従業者の監督（法第 42 条第 3 項、第 24 条関係）第１３条 （不可抗力免責）

委託先の監督（法第 42 条第 3 項、・ 停電、通信設備の事故、クラウドサービス等の外部サービスの提供の停止または緊急メンテナンスも不可■匿名加工情報取扱事業者等の義務抗力として定める。

匿名加工情報等の安全管理措置等（法第 43 条第 2 項、第 6 項、第 46 条関係）
識別行為の禁止（法第 43 条第 5 項、第 45 条関係）第 25 条関係）
識別行為の禁止（法第 42 条第 3 項、第 41 条第 7 項関係）
本人への連絡等の禁止（法第 42 条第 3 項、第 41 条第 8 項関係）

5.2

本書に使われている用語

データ
情報の表現であって、伝達、解釈又は処理に適するように形式化され、再度情報として解釈できるもの。
出典 ISO/IEC 2382-1:1993,JIS X0001-1994. 情報処理用語-基本用語.
パーソナルデータ
個人に関するデータ。個人情報保護法に規定する「個人情報」に限らず、かつ個人識別性の有無に関わらず、位置情報や購買履歴など広く個人に関する 情報を構成しうるデータ
出典 一般社団法人 データ流通推進協議会. DFFT(DATA FREE FLOW WITH TRUST) 実現のためのアーキテクチャ設計と国際標準化推進の研究開発.
データカタログ
流通対象となるデータセットの概要(データの所在や内容等)を示す情報で、 データセットの理解や発見を容易化するもの
出典 一般社団法人 データ社会推進協議会. データカタログ作成ガイドライン V2.1.
データセット
Identifiable collection of data (識別可能なデータの集合体)
出典 ISO 19115-1:2014, 4.3
データ生成
自然や自然人、組織などの状況や活動を、観測または計測し、これを通信、解釈、処理に適した再解釈可能な形式化のこと
出典 眞野 浩. 日本が取り組むべきデータ流通の制度化と標準化(第 1 回). アイソス = ISOS : マネジメ
ントシステム規格の専門月刊誌 26(10), 14-19, 2021-10.
データ品質
指定された状況で使用するとき、明示されたニーズ及び暗黙のニーズをデータの特性が満足する度合い。
出典 JIS X 25012:2013
本文書では、流通データの正当な利用を実現するために、特にデータが追跡可能性・正確性および信ぴょう性をもつ度合いを指す。
©2022 Data Society Alliance50

公開鍵
エンティティが所有する非対称鍵ペアの鍵で、公開できるもの。非対称署名システムの場合、公開鍵は検証変換を定義する。非対称暗号化システムの場合、公開鍵は暗号化変換を定義する。“公知”の鍵は、全世界的に利用可能である必要はない。鍵は、既定のグループの全メンバーに利用可能であるだけでもよい。
出典：JIS X 19790:2007
秘密鍵
一つ以上のエンティティに対して一意に対応し、公開されてはならない、秘密鍵暗号アルゴリズムにおいて使用される暗号鍵。
出典 JIS X 19790:2007
ログ
組織のシステムおよびネットワーク内で発生するイベント（事象）の記録である
出典 米国国立標準技術研究所. コンピュータセキュリティログ管理ガイド. IPA 翻訳監修

5.3

参考資料

[1]

デジタル庁 内閣府知的財産戦略推進事務局. プラットフォームにおけるデータ取扱いルールの実装ガイダンス

ver1.0（案）. 2022 年 3 月.
https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/810b4b434b96-4081-8e35-27c61401ff15/20220304_meeting_data_strategy_outline_01.pdf[2]

ISO/IEC TR 23186:2018. Information technology — Cloud computing — Framework oftrust for processing of multi-sourced data. December 2018.
https://www.iso.org/standard/74844.html[3]European Commission. Data Act: Proposal for a Regulation on harmonised rules on fair

access to and use of data. February 2022. https://digitalstrategy.ec.europa.eu/en/library/data-act-proposal-regulation-harmonised-rules-fair-accessand-use-data[4]

Trusted Web 推進協議会. Trusted Web ホワイトペーパー. 2021 年 3 月.

https://www.kantei.go.jp/jp/singi/digitalmarket/trusted_web/pdf/documents_210331-2.pdf[5]

データ流通推進協議会. データ取引市場運営事業者認定基準. 2018 年 8 月. https://data-

trading.org/wp-content/uploads/2020/11/Cert_DataTradingMarketRev20.pdf[6]

データ流通推進協議会. データ取引市場運営事業者認定基準の説明. 2020 年 11 月. https://data-

trading.org/wp-content/uploads/2020/11/CertDesc_DataTradingMarketRev11.pdf[7]

経済産業省. AI・データの利用に関する契約ガイドライン 1.1 版. 2019 年 12 月.

https://www.meti.go.jp/press/2019/12/20191209001/20191209001-1.pdf[8]

個人情報保護委員会. 個人情報の保護に関する法律についてのガイドライン（通則編）. 2021 年 1 月.

https://www.ppc.go.jp/personalinfo/legal/2009_guidelines_tsusoku/[9]

個人情報保護委員会. 個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）. 2016 年 11 月 (2021 年 10 月一部改正).
https://www.ppc.go.jp/files/pdf/211029_guidelines04.pdf©2022 Data Society Alliance
51

[10]

個人情報保護委員会. 個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編） . 2016 年 11 月 (2021 年 10 月一部改正).
https://www.ppc.go.jp/personalinfo/legal/guidelines_anonymous/[11]

個人情報の保護に関する法律（2021 年改正、2023 年 4 月 1 日施行予定）.

https://www.ppc.go.jp/files/pdf/hogohou_51joukaisei.pdf[12]

データ社会推進協議会. センシングデータのデータ品質評価基準策定に向けた提案（ホワイトペーパー）.

2022 年 1 月.
https://data-society-alliance.org/wp-content/uploads/2022/01/220118-D69-sensing-dataquality-evaluation-standards-wp-tecst.pdf[13]

NIST (独立行政法人 情報処理推進機構訳). SP 800-92 コンピュータセキュリティログ管理ガイド. 2006

年 9 月. https://www.ipa.go.jp/files/000025363.pdf[14]

独立行政法人情報処理推進機構. 用語集 技術コース標準編／専門編. 2010 年 2 月.

https://www.ipa.go.jp/files/000013473.pdf[15]

ADEC データ適正消去実行証明協議会. データ消去技術 ガイドブック 第 2.3 版. 2020 年 11 月.

https://adec-cert.jp/guidebook/index.html[16]

尾上浩一, 加藤千裕, 野間唯. コンテナ基盤を用いたデータライフサイクル管理. 情報処理学会研究報告,

システムソフトウェアとオペレーティング・システム, 2021 年 7 月. http://id.nii.ac.jp/1001/00211760/[17]

GitHub. Data sharing controllers on Kubernetes. 2022 年 5 月閲覧.

https://github.com/FujitsuResearch/data-sharing-controllers-on-k8s[18]Internal Data Spaces Association. Usage Control in the International Data Spaces.

March 2021. https://internationaldataspaces.org/wp-content/uploads/dlm_uploads/IDSAPosition-Paper-Usage-Control-in-the-IDS-V3..pdf©2022 Data Society Alliance52この文書について
名称

契約に基づくデータ取引の履行と検証を行うための要件と支援技術の解説

ファイル名

20220902-D83-inter-organisational-data-governance-wp-tecst.pdf

掲載 URLhttps://data-society-alliance.org/survey-research/inter-organisational-data-go
vernance/⚫

概要

本書の目的は、組織間において契約に基づいてデータの取引を正しく履行するために必要な要件を整理し、要件を実現するための現在利用可能な支援技術についてまとめることです。本書により、データ取引の履行において、関係者がどのような要件を持ち、その要件を満たすために採用できる技術に何があるかを明確にします。
⚫

⚫

基本情報
-

DSA 基準文書区分 ホワイトペーパー-

作成者

一般社団法人データ社会推進協議会 4011005007414-

公開者

一般社団法人データ社会推進協議会 4011005007414

-

著作権者

一般社団法人データ社会推進協議会 4011005007414-

発行日2022 年 8 月 4 日-

公開日

2022 年 9 月 2 日-

作成アプリケーション

Microsoft Word

-

公開形式

PDF

-

公開ファイル容量

2,385KB-

ページ数

54 ページ

利用条件-

本書を利用したこと、利用しなかったことにより直接または間接に生じた損害に対して、DSA は一切の責任を負いません。

-

本書を組織や団体として活用される際は、DSA へご一報いただければ幸いです。
本書に関するお問い合わせ

一般社団法人データ社会推進協議会(DSA) 4011005007414
E-mailinfo@data-society-alliance.org

ホームページ

https://data-society-alliance.org/contact/©2022 Data Society Alliance53