抜け漏れ再チェック︕
全⾯施⾏直後、
改正個⼈情報保護法の実務対応ポイント
⽜島総合法律事務所
弁護⼠ 影島広泰
hiroyasu.kageshima@ushijima-law.gr.jp
03-5511-3233

2022年 7⽉ 1⽇

Ushijima & Partners

01

02

03

取得〜利⽤
チェクリストP.4

安全管理措置・漏えい報告
チェックリストP.5

第三者提供
チェックリストP.6

1. 情報分析等で利⽤する
場合の利⽤⽬的

1. 外的環境の把握（安全管理措置）
2. 漏えい等発⽣時の報
告・通知

1. 個⼈データ提供の際の同意の要否
2. 外国にある第三者への
提供

04

05

06

個⼈関連情報チェックリストP.7

本⼈の権利
チェックリストP.8

1. 「個⼈関連情報」の概要2. 個⼈関連情報の提供・取得時の義務
3. 実務対応

1. 保有個⼈データに関する周知事項の追加
2. 改正のポイント

1. 匿名加⼯情報

3. 開⽰等の請求等に応じる⼿続

3. まとめ4. Cookie以外の場⾯での個⼈関連情報
July 1, 2022

Ushijima & Partners

仮名加⼯情報チェックリストP.9
2. 仮名加⼯情報2

取得〜利⽤（チェックリストP.4）
17条（利⽤⽬的の特定）
情報分析など本⼈が想定できない利⽤をする場合

通則ガイドライン「本⼈が、⾃らの個⼈情報がどのように取り扱われることとなるか、利⽤⽬的から合理的に予測・想定できないような場合は、この趣旨に沿ってできる限り利⽤⽬的を特定したことにはならない」

18条（利⽤⽬的による制限）
以下が⽬的外利⽤の禁⽌の例外に追加①学術研究機関等である場合②学術研究機関に提供する場合

令和3年改正法による追加

19条（不適正な利⽤の禁⽌）
違法⼜は不当な⾏為を助⻑し、誘発するおそれがある⽅法による利⽤が禁⽌された

令和2年改正法による新設
今後、新しい利⽤をする際の社内承認フローに組み込むとよい

20条（適正な取得）
以下が要配慮個⼈情報の取得の際の同意取得義務の例外に追加①学術研究機関等である場合②学術研究機関から取得する場合July 1, 2022

令和3年改正法による追加

Ushijima & Partners

3

3

01
利⽤⽬的

1. 情報分析等で利⽤する場合の利⽤⽬的(1) 法律の規定

 利⽤⽬的の特定と通知等（利用目的の特定）第17条［旧15条］ 個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。[2項略]

第21条［旧18条］ 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
２ 個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本
人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合
は、この限りでない。［3項以下略］

July 1, 2022

Ushijima & Partners

4

01
利⽤⽬的

1. 情報分析等で利⽤する場合の利⽤⽬的(2) 改正法のガイドライン

 個⼈データの処理の⽅法等の特定（通則ガイドライン）「個⼈情報取扱事業者は、個⼈情報を取り扱うに当たっては、利⽤⽬的をできる限り具体的に特定しなければならないが、利⽤⽬的の特定に当たっては、利⽤⽬的を単に抽象的、⼀般的に特定するのではなく、個⼈情報が
個⼈情報取扱事業者において、最終的にどのような事業の⽤に供され、どのような⽬的で個⼈情報を利⽤されるのかが、本⼈にとって⼀般的かつ合理的に想定できる程度に具体的に特定することが望ましい（※1）[略]（※1）「利⽤⽬的の特定」の趣旨は、個⼈情報を取り扱う者が、個⼈情報がどのような事業の⽤に供され、どのような⽬的で利⽤されるかについて明確な認識を持ち、できるだけ具体的に明確にすることにより、個⼈情報が取り扱われる範囲を確定するとともに、本⼈の予測を可能とすることである。
本⼈が、⾃らの個⼈情報がどのように取り扱われることとなるか、利⽤⽬的から合理的に予測・想定できないような場合は、この趣旨に沿ってできる限り利⽤⽬的を特定したことにはならない。
例えば、本⼈から得た情報から、本⼈に関する⾏動・関⼼等の情報を分析する場合、個⼈情報取扱事業者は、どのような取扱いが⾏われているかを本⼈が予測・想定できる程度に利⽤⽬的を特定しなければならない。」

July 1, 2022

Ushijima & Partners

5

01
利⽤⽬的

1. 情報分析等で利⽤する場合の利⽤⽬的(3) 利⽤⽬的の⽂⾔のサンプル

 本⼈から得た情報から、⾏動、関⼼等の情報を分析する場合の利⽤⽬的の例（通則ガイドライン＋2020/10/14委員会資料）•

閲覧履歴や購買履歴等の情報を分析することによって、本⼈の趣味・嗜好に応じた広告を配信するケース
× 広告配信のために利⽤いたします。
○ 取得した閲覧履歴や購買履歴等の情報を分析して、趣味・嗜好に応じた新商品・サービスに関する広告のために利⽤いたします。

•

履歴書や⾯接で得た情報のみならず、（本⼈が分析されることを想定していない）⾏動履歴等の情報を分析し、⼈事採⽤に活⽤するケース
× 取得した情報を採否の検討・決定のために利⽤いたします。
○ 履歴書や⾯接で得た情報に加え、⾏動履歴等の情報を分析して、当該分析結果を採否の検討・決定のために利⽤いたします。

•

⾏動履歴等の情報を分析の上、結果をスコア化した上で、当該スコア（⾃体を提供することを本⼈に通知等することなく）を第三者へ提供するケース
× 取得した情報を第三者へ提供いたします。
○取得した⾏動履歴等の情報を分析し、信⽤スコアを算出した上で、当該スコアを第三者へ提供いたします。

July 1, 2022

Ushijima & Partners

6

01
利⽤⽬的

＜旧＞

1. 情報分析等で利⽤する場合の利⽤⽬的(3) 利⽤⽬的の⽂⾔のサンプル

当社はお客様の個⼈情報を以下の⽬的で利⽤します。
(1) 商品発送のため(2) お客様に最適な商品をご提案するため(3) 当社及び当社の提携先の商品・サービスのご案内のため＜修正案＞情報分析等の場合に利⽤する項⽬を特定
当社はお客様の個⼈情報を以下の⽬的で利⽤します。
(1) ご購⼊いただいた商品の発送、アフターサービスの提供のため(2)取得した閲覧履歴や購買履歴等の情報を分析して、以下の⽬的で利⽤します。
・趣味・嗜好に応じた商品・サービスに関する広告の表⽰のため・趣味・嗜好に応じた当社及び提携先のサービスのご案内のため
当社はお客様の個⼈情報を以下の⽬的で利⽤します。
(1) 商品発送のため(2) お客様に最適な商品をご提案するため（※）(3) 当社及び当社の提携先の商品・サービスのご案内のため（※）※お客様の購買履歴やウェブサイトの閲覧履歴等を分析して利⽤することを含みます。
July 1, 2022

Ushijima & Partners

7安全管理措置・漏えい等報告（チェックリストP.5）
21条（取得に際しての利⽤⽬的の通知等）
22条（データの内容の正確性の確保等）
23条（安全管理措置）「き損」が「毀損」になった「外的環境の把握」が追加に

通則ガイドラインが定める安全管理措置に「10-7 外的環境の把握」として、「個⼈情報取扱事業者が、外国において個⼈データを取り扱う場合、当該外国の個⼈情報の保護に関する制度等を把握した上で、個⼈データの安全管理のために必要かつ適切な措置を講じなければならない。」が追加された。法制度調査が必要に。

24条（従業者の監督）25条（委託先の監督）26条（漏えい等の報告等）
個⼈情報保護委員会への報告
・速報
・確報（30⽇/60⽇以内）
本⼈への通知社内の報告連絡ルールの策定

July 1, 2022

①要配慮個⼈情報の漏えい等②経済的な損失を伴うこととなるおそれのあるようなデータの漏えい等③不正の⽬的をもって⾏われたおそれがある漏えい等④1,000⼈分を超える漏えい等
なお、委託先は委託元に通知をすれば免れる
委託契約に盛り込むとよい
Ushijima & Partners

8

8

02

1. 外的環境の把握（安全管理措置）

安全管理措置通則ガイドラインの記載（概要）

実務的な対応（例）①基本⽅針の策定

基本⽅針の策定が重要

プライバシーポリシーを策定②「規律」の整備

基本的な取扱い⽅法を整備す
る「個⼈情報取扱規程」を策定（中⼩規模事業者︓個⼈データの取扱い⽅法や管理⽅法をルールとして決めておく）③組織的安全管理措置（1）組織体制の整備責任者を置く（2）個⼈データの取扱いに係る規律に従った運⽤「個⼈データ取扱台帳」を整備（中⼩規模事業者︓ルールに従って取り扱われていることを責任者が確認）（3）個⼈データの取扱状況を確認する⼿段の整備④⼈的安全管理措置July 1, 2022

（4）漏えい等の事案に対応する体制の整備漏えい等発⽣時の報告先を決める（例︓「内線○○、夜間はメール○○@○○」）（5）取扱状況の把握及び安全管理措置の⾒直し責任者が年に1回に点検

適正な取扱いを周知徹底するとともに適切な教育

役員・従業員に個⼈情報の取扱いルールを徹底Ushijima & Partners

9

02

安全管理措置

1. 外的環境の把握（安全管理措置）

通則ガイドラインの記載（概要）⑤物理的安全管理措置

実務的な対応（例）（1）個⼈データを取り扱う区
域の管理

離席時にパスワード付きスクリーンセー
バー
机の上に放置して帰宅しない（2）機器及び電⼦媒体等の盗難等の防⽌鍵のかかるキャビネット等に保管（3）電⼦媒体等を持ち運ぶ場
合の漏えい等の防⽌

持ち運ぶ際には封筒やフォルダに⼊れる
スマホは起動時のパスワード設定（4）個⼈データの削除及び機器、電⼦媒体等の廃棄

書類はシュレッダー
データは完全消去（1）アクセス制御

個⼈データを保存するPCを決める（2）アクセス者の識別と認証

PC起動時のID/パスワードの設定（3）外部からの不正アクセス等の防⽌OSの⾃動更新機能をオンにウィルス対策ソフトをインストール

改正で追加（4）情報システムの使⽤に伴う漏えい等の防⽌

メールで送信する際には暗号化・パスワー
ド⑦外的環境の把握

個⼈データを取り扱う外国の制度等を把握して措置を実施

個⼈情報保護委員会のウェブサイトを確認（40か国）⑥技術的
安全管理措置July 1, 2022

Ushijima & Partners

10

02

安全管理措置２. 漏えい等発⽣時の報告・通知(1) 総論 漏えい等報告及び本⼈通知の義務化（26条）
漏えい等＝漏えい、滅失⼜は毀損 旧法（通則ガイドライン＋委員会告⽰）

 個⼈情報保護委員会に報告するよう「努める」
本⼈に通知することが「望ましい」

 改正法（26条）

 「個⼈の権利利益を害するおそれが⼤きいものとして個⼈情報保護委員会規則で定めるものが⽣じたとき」
個⼈情報保護委員会に報告「しなければならない」
本⼈に通知「しなければならない」（規則7条）① 要配慮個⼈情報の漏えい等② 経済的な損失を伴うこととなるおそれのあるようなデータの漏えい等③ 不正の⽬的をもって⾏われたおそれがある漏えい等④ 1,000⼈分を超える漏えい等 報告（速報）︓ 知った後「速やかに」（概ね3〜5⽇以内 初⽇算⼊）
報告（確報）︓ 知った後30⽇以内（③は60⽇以内） 初⽇算⼊
 本⼈通知︓状況に応じて速やかにJuly 1, 2022

Ushijima & Partners

11

02

漏えい等報告２. 漏えい等発⽣時の報告・通知(2) 報告・通知を要しない場合

 通則ガイドライン

 個⼈データを第三者に閲覧されないうちに全てを回収した場合は、漏えいに該当しない。
 個⼈情報取扱事業者が⾃らの意図に基づき個⼈データを第三者に提供する場合は、漏えいに該当しない。

 規則7条要配慮個⼈情報が含まれる個⼈データ（⾼度な暗号化その他の個⼈の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第1項において同じ。）の漏えい、滅失若しくは毀損（以下この条及び次条第1項
において「漏えい等」という。）が発⽣し、⼜は発⽣したおそれがある事態

漏えい等が発⽣し、⼜は発⽣したおそれがある個⼈データについて、⾼度な暗号化等の秘匿化がされている場合等、「⾼度な暗号化その他の個⼈の権利利益を保護するために必要な措置」が講じられている場
合については、報告を要しない。
July 1, 2022

Ushijima & Partners

12

02

漏えい等報告２. 漏えい等発⽣時の報告・通知(2) 報告・通知を要しない場合

Q&A「Q6-16」

報告を要しない「漏えい等が発⽣し、⼜は発⽣したおそれがある個⼈データについて、⾼度な暗号化等の秘匿化がされている場合」に該当するためには、当該漏えい等事案が⽣じた時点の技術⽔準に照らして、漏えい等が発⽣し、⼜は発⽣したおそれがある個⼈データについて、これを第三者が⾒読可能な状態にすることが困難となるような暗号化等の技術的措置が講じられるとともに、そのような暗号化等の技術的措置が講じられた情報を⾒読可能な状態にするための⼿段が適切に管理されていることが必要と解されます。
第三者が⾒読可能な状態にすることが困難となるような暗号化等の技術的措置としては、適切な評価機関等により安全性が確認されている電⼦政府推奨暗号リストやISO/IEC 18033等に掲載されている暗号技術が⽤いられ、それが適切に実装されていることが考えられます。
また、暗号化等の技術的措置が講じられた情報を⾒読可能な状態にするための⼿段が適切に管理されているといえるためには、①暗号化した情報と復号鍵を分離するとともに復号鍵⾃体の漏えいを防⽌する適切な措置を講じていること、②遠隔操作により暗号化された情報若しくは復号鍵を削除する機能を備えていること、⼜は③第三者が復号鍵を⾏使できないように設計されていることのいずれかの要件を満たすことが必要と解されます。
July 1, 2022

Ushijima & Partners

13

02

漏えい等報告２. 漏えい等発⽣時の報告・通知(3) 委託先から漏えいした場合

 委託先は委託元に通知すればよい（委託契約への反映を）
法第26条
1 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者に通知したときは、この限りでない。

個⼈情報保護委員会
報告義務
委託元
July 1, 2022

通知
Ushijima & Partners

報告義務
免除
委託先
14

第三者提供（チェックリストP.6）
27条（第三者提供の制限）
以下が同意取得の例外に追加①学術研究機関等である場合②学術研究機関に提供する場合

令和3年改正法による追加

オプトアウトの通知事項の追加
委託と第三者提供の切り分け

以下の場合は第三者提供となる（ガイドラインQ&A）• 複数の委託元の個⼈データを区別せずに混ぜて取り扱う• 複数の委託元の個⼈データを本⼈ごとに突合する• 委託元の個⼈データと、委託先が独⾃に取得した個⼈
データ⼜は個⼈関連情報と突合する各種識別⼦やオーディエンス情報のやりとり等で要注意

共同利⽤の通知事項の追加

当該個⼈データの管理について責任を有する者の⽒名⼜は名称及び住所並びに法⼈にあっては、その代表者の⽒名

28条（外国にある第三者への提供の制限）
以下が同意取得の例外に追加①学術研究機関等である場合②学術研究機関に提供する場合

令和3年改正法による追加同意の際の事前の情報提供①外国の名称、②当該外国における個⼈情報の保護に関する制度、③当該第三者が講ずる個⼈情報の保護のための措置

相当措置の年に1回の確認、
本⼈への情報提供①年1回確認（相当措置の実施状況＆法制度）＋⽀障時の提供停⽌②本⼈の求めに応じた情報提供

July 1, 2022

Ushijima & Partners

15

03
提供

1. 個⼈データ提供の際の同意の要否 切り分け基準①︓個⼈データを「提供」しているか否か

郵便、通信事業者、倉庫業者のように、通常、内容物の詳細を感知しない場合、内容物にある個⼈データの取り扱いを委託していることにはならない。

個⼈情報保護法ガイドラインQ&A「A7-53」
クラウドサービスには多種多様な形態がありますが、クラウドサービスの利⽤が、本⼈の同意が必要な第三者提供（法第27条第１項）⼜は委託（法第27条第５項第１号）に該当するかどうかは、保存している電⼦データに個⼈データが含まれているかどうかではなく、クラウドサービスを提供する事業者において個⼈データを取り扱うこととなっているのかどうかが判断の基準となります。
当該クラウドサービス提供事業者が、当該個⼈データを取り扱わないこととなっている場合には、当該個⼈情報取扱事業者は個⼈データを提供したことにはならないため、「本⼈の同意」を得る必要はありません。
また、上述の場合は、個⼈データを提供したことにならないため、「個⼈デー
タの取扱いの全部⼜は⼀部を委託することに伴って・・・提供される場合」（法第27条第５項第１号）にも該当せず、法第25条に基づきクラウドサービス
事業者を監督する義務はありません。 ［中略］当該クラウドサービス提供事業者が、当該個⼈データを取り扱わないこととなっている場合とは、契約条項によって当該外部事業者がサーバに保存された個⼈データを取り扱わない旨が定められており、適切にアクセス制御を⾏っている場合等が考えられます。
July 1, 2022

Ushijima & Partners

16

03

1. 個⼈データ提供の際の同意の要否

提供 切り分け基準②︓第三者提供か委託に伴う提供か提供元の利⽤⽬的の達成に必要な範囲内での利⽤か否か
提供元の事業者の利⽤⽬的の範囲内で利⽤するのであれば、委託に当たる。
これに対し、提供先の会社の独⾃の利⽤⽬的で利⽤するのであれば、委託ではなく第三者提供に当たる。
提供先の利⽤⽬的で利⽤するなら第三者提供。提供元の利⽤⽬的だけなら委託「A」を通知等

第三者提供

⼄社の利⽤⽬的

甲社の利⽤⽬的

例︓顧客からアン
B︓お知らせA︓新商品開発 ⼄社独⾃の利⽤⽬的
ケート
A=「新商品開発のため」
で利⽤＝第三者提供
B=「新商品のお知らせのため」＝同意が必要「A」を通知等委託

甲社としての取扱いの⼀部を取り出して「委託」
甲社の利⽤⽬的 （全部の委託も可）A

July 1, 2022

Ushijima & Partners

A
17

03
提供

1. 個⼈データ提供の際の同意の要否 委託ではないと評価されるケース① 複数の個⼈情報取扱事業者から個⼈データの取扱いの委託を受けている者が、各個⼈情報取扱事業者から提供された個⼈データを区別せずに混ぜて取り扱っている場合（Q7-37)② 複数の委託を受ける委託先は、各委託元から委託に伴って提供を受けた個⼈データを本⼈ごとに突合する場合（Q7-43）③ 委託に伴って委託元から提供された個⼈データを、独⾃に取得した個⼈データ⼜は個⼈関連情報と本⼈ごとに突合する場合（Q741）

A) 外部事業者に対する個⼈データの第三者提供と整理した上で、原則本⼈の同意を得て提供し、提供先である当該外部事業者の利⽤⽬的の範囲内で取り扱うB) 外部事業者に対する委託と整理した上で、委託先である当該外部事業者において本⼈の同意を取得する 等
独⾃に取得した個⼈データ⼜は個⼈関連情報と本⼈ごとに突合することはできず、委託先で新たな項⽬を付加して⼜は内容を修正して委託元に戻すこともできない（Q7-42）

July 1, 2022

Ushijima & Partners

18

03
提供

1. 個⼈データ提供の際の同意の要否 業務委託先の個⼈データの取扱い⼀切関知しない場合は、個⼈データの取扱いの「委託」に当たらない（Q7-36）
アンケート業者

記名式アンケート（個⼈情報）【委託に当たる場合の例】
 調査を依頼した事業者が当該個⼈データの内容を確認できる場合
 契約上、調査を依頼した事業者に個⼈データの取扱いに関する権限が付与されている場合
 外部事業者における個⼈データの取扱いについて制限が設けられている場合
July 1, 2022

個⼈データ

甲野太郎
⼄⼭次郎
S50.1.1⽣
丙川⽵夫
61.2.1⽣趣味○○
H02.10.21⽣
趣味△△
趣味□□
○○○○○○○○○○○○○○○○

個⼈データの取扱いに⼀切関知しない
統計情報のみ提供を受ける

趣味○○︓3⼈
趣味△△︓150⼈
趣味□□︓44⼈

アンケート発注企業
Ushijima & Partners

19

03
提供

1. 個⼈データ提供の際の同意の要否 委託内容に含まれていれば、技術改善等のために利⽤可個⼈情報保護法ガイドラインQ&A
Q7-38
委託に伴って提供された個⼈データを、委託先が⾃社のために統計情報に加⼯した上で利⽤することはできますか。
Ａ7-38
委託先は、委託（法第27条第５項第１号）に伴って委託元から提供された個⼈データを、委託された業務の範囲内でのみ取り扱わなければなりません。委託先が当該個⼈データを統計情報に加⼯することが委託された業務の範囲内である場合には、委託先は当該加⼯を⾏うことができますが、委託された業務の範囲外で委託先が当該加⼯を⾏い、作成された統計情報を⾃社のために⽤いることはできません。
Ｑ7-39
委託に伴って提供された個⼈データを、委託業務を処理するための⼀環として、委託先が⾃社の分析技術の改善のために利⽤することはできますか。
Ａ7-39
個別の事例ごとに判断することになりますが、委託先は、委託元の利⽤⽬的の達成に必要な範囲内である限りにおいて、委託元から提供された個⼈データを、⾃社の分析技術の改善のために利⽤することができます。

July 1, 2022

Ushijima & Partners

20

03
外国移転

2. 外国にある第三者への提供(1) 28条1項の構造（第三者提供の制限）
第27条（旧23条） 個⼈情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本⼈の同意を得ないで、個⼈データを第三者に提供してはならない。［中略］５ 次に掲げる場合において、当該個⼈データの提供を受ける者は、前各項の規定の適⽤については、第三者に該当しないものとする。
⼀ 個⼈情報取扱事業者が利⽤⽬的の達成に必要な範囲内において個⼈データの取扱いの全部⼜は⼀部を委託することに伴って当該個⼈データが提供される場合
⼆ 合併その他の事由による事業の承継に伴って個⼈データが提供される場合
三 特定の者との間で共同して利⽤される個⼈データが当該特定の者に提供される場合であって、その旨並びに共同して利⽤される個⼈データの項⽬、共同して利⽤する者の範囲、利⽤する者の利⽤⽬的並びに当該個⼈データの管理について責任を有する者の⽒名⼜は名称及び住所並びに法⼈にあっては、その代表者の⽒名について、あらかじめ、本⼈に通知し、⼜は本⼈が容易に知り得る状態に置いているとき。［以下略］（外国にある第三者への提供の制限）
第28条（旧24条） 個⼈情報取扱事業者は、外国（本邦の域外にある国⼜は地域をいう。以下この条及び第31条第1項第2号において同じ。）（個⼈の権利利益を保護する上で我が国と同等の⽔準にあると認められる個⼈情報の保護に関する制度を有している外国として個⼈情報保護委員会
規則で定めるものを除く。以下この条及び同号において同じ。）にある第三者（個⼈データの取扱いについてこの節の規定により個⼈情報取扱事業者が講ずべきこととされている措置に相当する措置（第3項において「相当措置」という。）を継続的に講ずるために必要なものとして個⼈
情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この項及び次項並びに同号において同じ。）に個⼈データを提供する場合には、前条第１項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本⼈の同意を得なければならない。
この場合においては、同条の規定は、適⽤しない。
July 1, 2022

Ushijima & Partners

21

03
外国移転

 28条

2. 外国にある第三者への提供(1) 28条1項の構造「この場合においては、同条の規定は、適⽤しない」
「同条」とは「前条」すなわち27条のこと。
「外国にある第三者」に提供する際には、27条は適⽤しない。

 27条5項

委託、事業承継、共同利⽤は、第三者提供に当たらない

 28条「外国」（個⼈情報保護委員会規則で定めるものを除く）「第三者」（体制を整備している者を除く）
規則で定める国は「外国」ではない。
体制を整備している者は「外国にある第三者」ではない。
28条の適⽤がなくなる（⽇本国内と同じになる）。
27条の適⽤がある（委託、事業承継、共同利⽤が使える）。

July 1, 2022

Ushijima & Partners

22

03
外国移転

2. 外国にある第三者への提供(2) 外国にある第三者への提供の⽅法

 外国にある第三者へ個⼈データを移転する⽅法
No.1 個⼈データを「提供」していない場合

契約＋アクセス制御等で取り扱わせない場合（IaaS等）

No.2 個⼈情報保護委員会が認定した国EU（EEA）・英国

No.3 個⼈情報保護委員会が定める体制を整備している者①契約で⽇本の個⼈情報保護法を遵守するようになっている企業
「DTA︓Data Transfer Agreement」の締結②APECのCBPR認証を受けている企業

No.4 本⼈の同意がある場合
July 1, 2022

Ushijima & Partners

23

03
外国移転

2. 外国にある第三者への提供(3) 体制整備による移転の場合の対応

 No.3: 体制整備による移転の場合(1)継続的な実施を確保するために「必要な措置」(規則18条1項)
A) 定期的な確認（年に1回）

1. 移転先の第三者による相当措置の実施状況
2. 移転先の第三者の所在する外国における相当措置の実施に影響を及
ぼすおそれのある制度の有無【相当措置の実施に影響を及ぼすおそれのある外国の制度に該当する事例】
事例 1）事業者に対し政府の情報収集活動への広範な協⼒義務を課すことにより、事業者が保有する個⼈情報について政府による広範な情報収集が可能となる制度
事例 2）事業者が本⼈からの消去等の請求に対応できないおそれがある個⼈
情報の国内保存義務に係る制度

B) ⽀障時の対応

移転先の第三者による相当措置の実施に⽀障が⽣じた場合には、当該⽀障の解消のために必要かつ適切な措置を講ずることとともに、当該第三者による相当措置の継続的な実施の確保が困難になった場合は、当該第三者に対する個⼈データの提供を停⽌すること

July 1, 2022

Ushijima & Partners

24

03

2. 外国にある第三者への提供(3) 体制整備による移転の場合の対応

外国移転(2) 本⼈の求めに応じて提供すべき情報（規則18条3項）
1.
2.
3.
4.
5.

当該第三者による法第28条1項に規定する体制の整備の⽅法
当該第三者が実施する相当措置の概要
前ページA）による確認の頻度及び⽅法
当該外国の名称
当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要
6. 当該第三者による相当措置の実施に関する⽀障の有無及びその概要
7. 前号の⽀障に関して、前ページB）により当該個⼈情報取扱事業者が講ずる措置の概要

July 1, 2022

Ushijima & Partners

25

03
外国移転

2. 外国にある第三者への提供(4) 同意取得の際の情報提供

 No.4:同意取得の際の情報提供義務（規則17条2項）① 外国の名称② 当該外国における個⼈情報の保護に関する制度（ア）当該外国における個⼈情報の保護に関する制度の有無（イ）当該外国の個⼈情報の保護に関する制度についての指標となり得る情報の存在
事例 1）当該第三者が所在する外国が GDPR 第 45 条に基づく⼗分性認定の取得国であること
事例 2）当該第三者が所在する外国が APEC の CBPR システムの加盟国であること（ウ）OECD プライバシーガイドライン 8 原則に対応する事業者の義務⼜は本⼈の権利の不存在（エ）その他本⼈の権利利益に重⼤な影響を及ぼす可能性のある制度の存在
事例 1）事業者に対し政府の情報収集活動への広範な協⼒義務を課すことにより、事業者が保有する個⼈情報について政府による広範な情報収集が可能となる制度
事例 2）事業者が本⼈からの消去等の請求に対応できないおそれがある個⼈情報の国内保存義務に係る制度③ 当該第三者が講ずる個⼈情報の保護のための措置

当該外国にある第三者において、OECDプライバシーガイドライン8原則に対応する措置(本⼈の権利に基づく請求への対応に関する措置を含む。)を講じていない場合には、当該講じていない措置の内容について、本⼈が合理的に認識できる情報が提供されなければならない
July 1, 2022

Ushijima & Partners

26

03

2. 外国にある第三者への提供(4) 同意取得の際の情報提供

外国移転

 「①外国の名称」が特定できない場合

以下の情報を提供（規則17条3項）
「外的環境の把握」においても同様（Q&A「Q10-25」）（1）特定できない旨及びその理由「なお、情報提供に際しては、どのような場⾯で外国にある第三者に個⼈データの提供を⾏うかについて、具体的に説明することが望ましい。」（2）提供先の第三者が所在する外国の名称に代わる本⼈に参考となるべき情報「提供先の第三者が所在する外国が特定できないとしても、提供先の第三者が所在する外国の名称に代わる本⼈に参考となるべき情報の提供が可能である場合には、当該情報についても本⼈に提供しなければならない。」「例えば、移転先の外国の範囲が具体的に定まっている場合における当該範囲に関する情報は、…「参考となるべき情報」に該当する。」

 「③当該第三者が講ずる…措置」が特定できない場合

例）顧客からの保険引受及び同意取得の時点では、最終的にどの再保険会社に再保険を⾏うかが未確定である場合

 特定できない旨及びその理由を情報提供「情報提供に際しては、どのような場⾯で外国にある第三者に個⼈データの提供を⾏うかについて、具体的に説明することが望ましい。」

July 1, 2022

Ushijima & Partners

27

03
外国移転

2. 外国にある第三者への提供(5) 個⼈情報保護委員会による情報提供 以下の国については、個⼈情報保護委員会が制度をウェブで公開 該当ページにリンクを張ればよい。

□アラブ⾸⻑国連邦（連邦）□アラブ⾸⻑国連邦（ADGM）□アラブ⾸⻑国連邦（DHC）□ アラブ⾸⻑国連邦（DIFC）□インド □インドネシア □ウクライナ □オーストラリア □カナダ
□韓国 □カンボジア □シンガポール □スイス □タイ □台湾□中国 □トルコ □ニュージーランド □フィリピン □ブラジル□⽶国（連邦）□⽶国（イリノイ州）□⽶国（カリフォルニア州）□⽶国（ニューヨーク州） □ベトナム □⾹港 □マレーシア□ミャンマー □メキシコ □ラオス □ロシア 以下の国も追加予定□イスラエル、□カタール、□コスタリカ、□チュニジア、□パナマ、□ペルー、□南アフリカ、□モロッコ、□モンゴル その他の国について、当事務所ウェブサイトで公開中

https://www.ushijima-law.gr.jp/topics/foreign_pi_legislation/

July 1, 2022

Ushijima & Partners

28

03
外国移転

2. 外国にある第三者への提供(6) 公表・情報提供と同意の要否まとめ

外国への提供の⽅法

No.1 提供していな
い
No.2
認定
国
（EU
/英
国）

27条
第三者提供*

No.3
体制
整備

27条
第三者提供*

27条
委託

27条
委託

No.4 同意

事前の公表・情報提供

求めに応じた情報提供

国名

個⼈情報保護
の制度

⽀障
を及
ぼす
制度

必須

望ましい

（32Ⅰ④、令10①）受領者が講ずる措置
不要（通則GL）

不要

必須（32Ⅰ④、令10①、パブコメ
460）

必要

（27Ⅰ）

望ましい

（通則GL、
パブコメ460）

望ましい（通則GL、パブ
コメ460）

不要

必須

必須

必須

（28Ⅱ、規17Ⅱ②）（28Ⅱ、規17Ⅱ③）

Ushijima & Partners

不要

（28Ⅰ
27Ⅴ①）

必須

（32Ⅰ④、令10①、パブコメ
460）（28Ⅱ、規
17Ⅱ①）

不要

不要

不要（パブコメ462）
必須

同意の
要否

不要

不要（パブコメ462）*共同利⽤も同様であると考えられる
July 1, 2022

国名

確認の
頻度、
措置、
その他

(28
Ⅲ、
規18
Ⅲ④)

必須

(28
Ⅲ、
規18
Ⅲ⑤)

不要

必須

(28Ⅲ、
規18Ⅲ
①②③
⑥⑦)

必要

（27Ⅰ）

不要

（28Ⅰ
27Ⅴ①）

必要

（28Ⅰ）

29

03
外国移転

2. 外国にある第三者への提供(7) 何をどこまで調査するのか︖
移転先提供していない
同⼀法⼈内の⽀店・営業所・従業者
28条︓認定国（EU/英国）

28条︓相当措置

委託
共同利⽤・第三者提供

28条︓同意法⼈格保存・取扱国法⼈格保存・取扱国○（Q10-25）○（Q10-25）○（Q10-25）○（Q10-25）○ー（⽇本法⼈）

委託

共同利⽤・第三者提供

共同利⽤・第三者提供

再移転先（外的環境(Q1022,Q10-23)）○（外的環境(Q1024、Q10-25)）○（28条は法⼈格(GL2-2)）－（28条は法⼈格（GL2－2））

ただし、直接提供する場合には提供先の国（パブコメ
No.47）○○*（Q12-7参照,外的環境(Q1024)）

－

（パブコメ
No.48）○*（外的環境(Q1024、Q10-25)）（相当措置(Q127),外的環境の把握(Q10-24)）－－（28条は法⼈格（GL2－2））（パブコメ
No.48）－－（28条は法⼈格（GL2－2））（パブコメ
No.48）○（外的環境(Q1024、Q10-25)）－○（外的環境(Q1024、Q10-25）－－*委託先が⽇本の場合の再委託の場合28条の義務は委託先が負う（パブコメNo.4）
July 1, 2022

Ushijima & Partners

30

個⼈関連情報（チェックリストP.7）
29条（第三者提供に係る記録の作成等）
30条（第三者提供を受ける際の確認等）
31条（個⼈関連情報の第三者提供の制限等）＜受領側＞
個⼈データと紐付けする場合には、情報提供＋同意取得

情報提供①個⼈関連情報取扱事業者から個⼈関連情報の提供を受けること②本⼈が識別される個⼈データとして取得すること③対象となる個⼈関連情報④提供先の利⽤⽬的（望ましい）（外国の場合）⑤国名、法制度、提供先が講じる措置（提供元が代⾏して同意を取得する場合）⑥提供先の個社名＜提供側＞
受領者が個⼈データとして取得することが「想定」されるときには同意を確認

受領者が外国法⼈であるケースで、上記⑤の情報提供が⾏われているかが実務上の問題点

記録義務

＜受領側＞
提供者の名称等、本⼈の⽒名等、個⼈関連情報の項⽬、本⼈の同意、（外国の場合）情報提供＜提供側＞
提供年⽉⽇、第三者の名称、住所、代表者、個⼈関連情報の項⽬、
個⼈関連情報の項⽬、（外国の場合）情報提供

July 1, 2022

Ushijima & Partners

31
31

04

個⼈関連情報1.「個⼈関連情報」の概要

 改正法︓ 「個⼈関連情報」の新設

 「⽣存する個⼈に関する情報であって、個⼈情報、仮名加⼯情報及び匿名加⼯情報のいずれにも該当しないもの」
事例 1）Cookie 等の端末識別⼦を通じて収集された、ある個⼈のウェブサイトの閲覧履歴
事例 2）メールアドレスに結び付いた、ある個⼈の年齢・性別・家族構成等
事例 3）ある個⼈の商品購買履歴・サービス利⽤履歴
事例 4）ある個⼈の位置情報
事例 5）ある個⼈の興味・関⼼を⽰す情報 「個⼈関連情報」を第三者提供し、提供先が「個⼈データとして取得することが想定されるとき※」は、提供先が本⼈から「個⼈関連情報の提供を受けて本⼈が識別される個⼈データとして取得することを認める」旨の同意を得ていることを確認する義務がある。

※パブコメNo.347「提供先が、個⼈関連情報を個⼈データとして利⽤しない場合には、その保有する個⼈データとの容易照合性を排除しきれないとしても、改正後の法第26条の２［31条］は適⽤されないと考えられます。」

July 1, 2022

Ushijima & Partners

32

04

2.個⼈関連情報の提供・取得時の義務

個⼈関連情報 個⼈関連情報の規制
受領者

個⼈関連情報の第三者提供

July 1, 2022

Ushijima & Partners

法制度等の情報提供

外○ ○ ○ ○ 〇 ※確認の⽅法も記録する
国

本⼈の同意

（法令）
・個⼈関連情報の提供を受けて本⼈が識別される個⼈データとして取得することを認める旨の同意を得ていること
・外国にある第三者である
場合には、情報提供義務を果たしていること

個⼈関連情報の項⽬

提供者による確認義務

記録義務
本⼈の⽒名等

確認義務

提供者の名称等

国○○○○
内

法制度等の情報提供

本⼈の同意︵ ︶※個⼈関連情報の項⽬

第三者の名称等

提供年⽉⽇

記録義務

個⼈データ
として取得

同意

国
○○○○
内
外
○○○○○
国

本⼈
33

04

個⼈関連情報2.個⼈関連情報の提供・取得時の義務

 「想定される」とは︖

○

想定さ
れる

提供元の個⼈関連情報取扱事業者が、顧客情報等の個⼈データを保有する提供先の第三者に対し、ID 等を⽤いることで個⼈関連情報を個⼈データと紐付けて取得することが可能であることを説明している場合
提供元の個⼈関連情報取扱事業者が、提供先の第三者から、個⼈関連情報を受領した後に個⼈データと紐付けて取得することを告げられている場合
個⼈関連情報を提供する際、提供先の第三者において当該個⼈関連情報を⽒名等と紐付けて利⽤することを念頭に、そのために⽤いる ID 等も併せて提供する場合

パブコメNo. 355
改正後の法第 26 条の２［31条］第１項の「想定される」について、⼀般⼈の認識を基準に、提供先の第三者が個⼈関連情報を個⼈データとして取得することが通常想定できる場合には、「想定される」に該当することとなりますが、ここでの「⼀般⼈の認識」とは、同種の事業を営む事業者の⼀般的な判断⼒・理解⼒を前提とする認識をいいます。
Q&A「A8-5」
個⼈関連情報取扱事業者は、⼀般に、提供先の第三者における個⼈関連情報の取扱いを確認する義務を負うものではありません。しかし、提供先の第三者の事業内容、提供先の第三者との取引状況、提供する個⼈関連情報の項⽬、提供先の第三者における個⼈データの利⽤状
況等の客観的事情に照らし、提供先の第三者が個⼈関連情報を個⼈データとして利⽤することが窺われる場合には、提供先の第三者における個⼈関連情報の取扱いを確認した上で、「個⼈データとして取得する」ことが想定されるかどうかを判断する必要があります。
July 1, 2022

Ushijima & Partners

34

04

個⼈関連情報3. 実務対応 Case 1: 個⼈関連情報の提供〜確認義務 ⾃社において個⼈データに当たらない場合

会員情報等と紐付いていないなど、提供元において容易照合性がないのであれば、「ある個⼈がこのページを⾒た」という情報だけであるから、個⼈情報ではなく個⼈関連情報に当たる
 ベンダ側が個⼈データとして取得することが想定されないとき
法的には、特段の対応は必要ない（世論や透明性の問題後述）
提供元_utma=abcdefg123

提供先
個⼈関連情報_utma=abcdefg123/index.html/htdoc/article.html

⾮個⼈情報
として利⽤

/recruit/top.html

 ベンダ側が個⼈データとして取得することが想定されるとき
ベンダ側が同意を得ていることを確認する必要がある
abcdefg123
40代

July 1, 2022

個⼈関連情報abcdefg123
40代

男性

男性

自動車に興味自動車に興味Ushijima & Partners

abcdefg123

個⼈データ 甲野太郎
として取得 1991.10.3 生

t.kono@hogehoge.com

同意
35

04

個⼈関連情報3. 実務対応 Case 2: 個⼈データの提供(1) 同意の要否の判断

 ⾃社において個⼈データに当たる場合

提供する際に、そのクッキー等の情報が、会員情報等と紐付いているのであれば、「提供元基準」により個⼈データの提供となる
 ベンダ側が、①ベンダ側の利⽤⽬的で利⽤する②他の委託元のデータと区別せずに混ぜて取り扱う③他の委託元の⼜はベンダ独⾃取得の個⼈データ・個⼈関連情報と本⼈ごとに突合する
等のいずれかを⾏う（ベンダ側で個⼈データの場合（パブコメNo.353参照））
第三者提供提供元の⾃社において本⼈の同意を得る必要あり 上記①〜③のいずれも⾏わない委託であり、同意は不要

July 1, 2022

Ushijima & Partners

36

04

個⼈関連情報3. 実務対応(2)まとめCase 2: 個⼈データの提供

 委託に該当するケース
提供元

abcdefg123
甲野太郎
1991.10.3 生
t.kono@hogehoge.com

提供先

個⼈データ

abcdefg123

提供元の利⽤⽬的達成のための利⽤委託に伴う提供

 第三者提供に該当するケース（固有情報と突合）
e2eaf256fb87608e…
甲野太郎

同意

1991.10.3 生

甲野太郎
1991.10.3 生
t.kono@hogehoge.com

e2eaf256fb87608e…

突合 甲野太郎

www.hogehoge.com

t.kono@hogehoge.com

e2eaf256fb87608e…

July 1, 2022

個⼈データ
第三者提供

e2eaf256fb87608e…

www.ushijima-law.gr.jp

個⼈データ
委託

e2eaf256fb87608e…

e2eaf256fb87608e…

Ushijima & Partners

突合 甲野太郎

www.hogehoge.com

第三者提供

www.ushijima-law.gr.jp

同意

37

04

個⼈関連情報3. 実務対応 Case 2: 個⼈データの提供(3) メールアドレスのハッシュ値を提供

Q&A「Q7－41」
既存顧客のメールアドレスを含む個⼈データを委託に伴って SNS 運営事
業者に提供し、当該 SNS 運営事業者において提供を受けたメールアドレ
スを当該 SNS 運営事業者が保有するユーザーのメールアドレスと突合し、両者が⼀致した場合に当該ユーザーに対し当該 SNS 上で広告を表⽰する
こと
提供元（A社）
提供先（SNS B社）
ハッシュ値

ハッシュ値

e2eaf256fb87608e7ba7896831cde5ce815295504c0ed1fedeb3a28021ae395c

e2eaf256fb87608e7ba7896831cde5ce815295504c0ed1fedeb3a28021ae395c

容易照合性

abcdefg123
甲野太郎

個⼈データ

ハッシュ化

1991.10.3 生

突合t.kono@hogehoge.com

ハッシュ値
e2eaf256fb87608e7ba7896831cde5ce815295504c0ed1fedeb3a28021ae395c

ID=224415234

ハッシュ化

t.kono@hogehoge.com

A社の広告表⽰

July 1, 2022

Ushijima & Partners

38

04

個⼈関連情報3. 実務対応 Case 2: 個⼈データの提供(4) 提供先の説明

 個⼈データの第三者提供の際に提供先を特定するか︖

通則ガイドラインQ&A「Q5-9」「提供先を個別に明⽰することまでが求められるわけではありません。もっとも、想定される提供先の範囲や属性を⽰すことは望ましい」⾦融分野ガイドライン12条1項「⾦融分野における個⼈情報取扱事業者は、法第27条に従い、個⼈データの第三者提供についての同意を得る際には、原則として、書⾯によることとし、当該書⾯における記載を通じて、①個⼈データの提供先の第三者②提供先の第三者における利⽤⽬的③第三者に提供される個⼈データの項⽬を本⼈に認識させた上で同意を得ることとする。
本⼈の同意を得ようとする時点において、①に掲げる事項が特定できない
場合には、①に掲げる事項に代わる本⼈に参考となるべき情報を本⼈に認識させた上で同意を得ることとする。当該情報としては、次に掲げる例が考えられる。
（例）・ 提供先の第三者の範囲や属性に関する情報

July 1, 2022

Ushijima & Partners

39

04

個⼈関連情報3. 実務対応 Case 3︓データ受領(1) 同意の要否の判断

 提供元において個⼈データである場合

 個⼈データの第三者提供
提供元において同意を取得しなければならない

 提供元において個⼈データでない場合

 個⼈データの提供ではなく、個⼈関連情報の提供受領側（⾃社）が個⼈データとして取り扱うならば、同意が必要（提供元に同意の取得を代⾏してもらうことは可能）⾃社において個⼈情報として取り扱う場合には、提供元において同意を得ていなければ、適正取得違反になる
提供元（X社）
DMP_ID=1234
40代

提供先（B社）

個⼈関連情報DMP_ID=1234
40代

男性

男性

自動車に興味自動車に興味July 1, 2022

Ushijima & Partners

突合

DMP_ID=1234
当社ID＝abcd
氏名＝甲野太郎

B社顧客DB
40

04

個⼈関連情報3. 実務対応 Case 3︓データ受領(2) 利⽤⽬的の特定と通知等

 個⼈情報として利⽤するときの利⽤⽬的の特定
 広告事業者・パブリックDMP等から情報の提供を受けて利⽤するにせよ、プライベートDMPで分析して利⽤するにせよ、個⼈情報については利⽤⽬的を特定して通知等しなければならないことに要注意。
例）プライバシーポリシーに、他のソース（DMP等）から⼊⼿した個⼈
情報の利⽤⽬的が特定されているか︖

 インプットの特定が義務化されることにも注意

July 1, 2022

Ushijima & Partners

41

04

個⼈関連情報3. 実務対応 Case 3︓データ受領(3) 個⼈関連情報の同意の取得⽅法

 個⼈関連情報を受領する場合＜通則ガイドライン（個⼈関連情報）＞① 「同意の取得に当たっては、本⼈が同意に係る判断を⾏うために必要と考えられる合理的かつ適切な範囲の内容を明確に⽰した上で、本⼈の同意の意思が明確に確認できることが必要である。」② 「本⼈の同意は、必ずしも第三者提供のたびに取得しなければな
らないものではなく、本⼈が予測できる範囲において、包括的に同意を取得することも可能である。」③ 「同意取得の⽅法としては、様々な⽅法があるが、例えば、本⼈から同意する旨を⽰した書⾯や電⼦メールを受領する⽅法、確認欄へのチェックを求める⽅法がある。ウェブサイト上で同意を取得する場合は、単にウェブサイト上に本⼈に⽰すべき事項を記載するのみでは⾜りず、それらの事項を⽰した上でウェブサイト上のボタンのクリックを求める⽅法等によらなければならない。
また、同意取得に際しては、本⼈に必要な情報を分かりやすく⽰
すことが重要であり、例えば、図を⽤いるなどして⼯夫することが考えられる。」

July 1, 2022

Ushijima & Partners

42

04

個⼈関連情報3. 実務対応 Case 3︓データ受領(3) 個⼈関連情報の同意の取得⽅法

 説明に関する要件の整理①
個⼈関連情報取扱事業者か
ら個⼈関連情報の提供を受けること

通則ガイドライン
提供元が同意取得を代⾏する場
必須
合（通則GL）(法31Ⅰ①)
⾦融分野ガイドライン
提供元が同意取得を代⾏する場合（⾦融GL）②③④⑤⑥
本⼈が識別さ 提 供 先 の 個 対 象 と な る 提 供 先 の 利 （外国提供）
れる個⼈デー 社名
個 ⼈ 関 連 情 ⽤⽬的(1)国名タとして取得報(2) 個 ⼈ 情 報
すること
保護の制度
(3) 提 供 先 が講ずる措置
必須
望 ま し い（ 通 則 3-7- （ 通 則 3-7－
2-2）
2-2）
必須
必須
望 ま し い（ 通 則 3-7- （ 通 則 3-7- （ 通 則 3-7- 必須
必須（法31Ⅰ②・
2-2）
2-2）
2-2）
(法31Ⅰ①)必 須 （ ⾦ 融 必 須 （ ⾦ 融 則17Ⅱ各号）－
GL14Ⅰ）
GL14Ⅰ）
必須（通則 必須（⾦融 必須（⾦融
3-7-2-2） GL14Ⅰ）
GL14Ⅰ）(③)当社は、①第三者が運営するデータ・マネジメント・プラットフォームから④Cookieにより収集されたウェブの閲覧履歴及びその分析結果を①取得し、②これをお客様の個⼈データと結びつけた上で、⑤広告配信等の⽬的で利⽤いたします。
July 1, 2022

Ushijima & Partners

43

04

個⼈関連情報3. 実務対応
Case 4︓データを提供していない場合

 タグの設置等によりユーザから直接提供させる場合

通則ガイドラインQ＆A
Ｑ８－10 A社が⾃社のウェブサイトにB社のタグを設置し、B社が当該タグを通じてA社
ウェブサイトを閲覧したユーザーの閲覧履歴を取得している場合、A社はB社にユーザーの閲覧履歴を提供したことになりますか。
Ａ８－10 個別の事案ごとに判断することとなりますが、A社がB社のタグにより収集される閲覧履歴を取り扱っていないのであれば、A社がB社に閲覧履歴を「提供」したことにはならず、B社が直接にユーザーから閲覧履歴を取得したこととなると考えられます。
このため、B社がそのタグを通じて閲覧履歴を取得することについて、法第31条第１項
は適⽤されないと考えられます。
なお、個⼈情報取扱事業者であるB社は、閲覧履歴を個⼈情報として取得する場合には、偽りその他不正の⼿段によりこれを取得してはならず（法第20条第１項）、また、
個⼈情報の利⽤⽬的を通知⼜は公表する必要があります（法第21条第１項）。

July 1, 2022

Ushijima & Partners

44

04

個⼈関連情報3. 実務対応
Case 4︓データを提供していない場合

 サイトからはデータ提供せずユーザが直接提供するケース
ユーザのブラウザ

SNS社

サイト

①index.htmlをダウンロード②https://connect.●●.net/ja_JP/sdk.jsを要求④sdk.jsを実行（ログインしていれば）以下の
情報を送信
•
•
•
•

ユーザーID
アクセスしているウェブサイト
日付、時間
ブラウザーに関連する情報 等③ sdk.jsを返す④情報を送信【JavaScript】<div id="fb-root"></div><script async defer crossorigin=“anonymous”
src=“https://connect.●●.net/ja_JP/sdk.js#xfbml=1&version=v12.0"
nonce="XpBd****"></script>【HTML】<div class=“fb-like” data-href=“https://developers.●●.com/docs/plugins/" datawidth="" data-layout="standard" data-action="like" data-size="small" datashare="true"></div>
July 1, 2022

Ushijima & Partners

45

04

個⼈関連情報4. Cookie以外の場⾯での個⼈関連情報

 不正契約防⽌等のための情報の提供等
通則ガイドライン令和2年改正パブコメ「御意⾒」No. 307
なりすまし等の判定を⽬的として、電話番号の使⽤履歴データを購⼊している。かかる
データは、固定電話番号、携帯電話番号が実在する番号であるか否か、その履歴がデータベース化されているものであり、申込顧客の電話番号であるか否かを問わず、電話番号の使⽤履歴データを購⼊している。［中略］かかるデータは個⼈関連情報には該当しないと考えているが、この理解で良いか。（⽇本貸⾦業協会）「御意⾒に対する考え⽅」
個別の事案ごとに判断することとなりますが、個⼈情報に該当しない電話番号の使⽤履歴についても、個⼈に関する情報である限り、個⼈関連情報に該当し得ることとなります。
（個人関連情報の第三者提供の制限等）
第31条
個人関連情報取扱事業者は、第三者が個人関連情報（個人関連情報データベース等を「23条1項各号に掲げる場合を除くほか」
構成するものに限る。以下この章及び第六章において同じ。）を個人データとして取得することが想定されるときは、第27条第1項各号に掲げる場合を除くほか、次に掲げる事項について、あらかじめ個人情報保護委員会規則で定めるところにより確認することをしないで、当該個人関連情報を当該第三者に提供してはならない。［略］

 27条1項2号「⼈の⽣命、⾝体⼜は財産の保護のために必要がある場合であって、本⼈の同意を得ることが困難であるとき」

July 1, 2022

Ushijima & Partners

46

本⼈の権利（チェックリストP.8）
32条（保有個⼈データに関する事項の公表等）①事業者の⽒名⼜は名称、住所、 ••代表者の⽒名⑤個⼈情報の取扱体制や講じて •いる措置の内容

左記下線部の追加
外的環境の把握では「A国」と特定する（通則ガイドライン）「本⼈の知り得る状態（本⼈の求めに応じて遅滞なく回答する
場合を含む。）」でよい

33条（開⽰）
開⽰のデジタル化①電磁的記録の提供による⽅法②書⾯の交付による⽅法③その他当該個⼈情報取扱事業者の定める⽅法（もしあれば）第三者提供記録の開⽰

プライバシーポリシー等の開⽰の⼿続での記載漏れに注意
例︓「個⼈データ及び第三者提供記録の開⽰については…」

34条（訂正等）
35条（利⽤停⽌等）①19条違反（不適正利⽤）②利⽤する必要がなくなった場
合③26条の漏えい等が発⽣した
場合④その他本⼈の権利⼜は正当な利益が害されるおそれがある場
合July 1, 2022

ガイドライン上、「個⼈情報取扱事業者に本⼈の権利利益の保護の必要性を上回る特別な事情がない限りは、個⼈情報取扱事業者は請求に応じる必要がある」とされている

Ushijima & Partners

47

05
公表事項

1. 保有個⼈データに関する周知事項の追加(1) 総論 改正法（⾚字部分の追加）（保有個人データに関する事項の公表等）
第32条［改正前27条］ 個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。

一 当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
二 全ての保有個人データの利用目的（第21条第４項第１号から第３号までに該当する場合を除く。）
三 次項の規定による求め又は次条第１項、第34条第１項若しくは第35条第１項若しくは第３項の規定による請求に応じる手続（第38条第２項の規定により手数料の額を定めたときは、その手数料の額を含む。）
四 前三号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの ［2項以下略］
施行令10条［改正前8条］
法第32条［改正前27条］第1項第4号の政令で定めるものは、次に掲げるものとする。

一法第23条の規定により保有個人データの安全管理のために講じた措置（本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。)
二 当該個人情報取扱事業者が行う保有個人データの取扱いに関する苦情の申出先
三 当該個人情報取扱事業者が認定個人情報保護団体の対象事業者である場合にあっては、当該認定個人情報保護団体の名称及び苦情の解決の申出先July 1, 2022

Ushijima & Partners

48

05
公表事項

1. 保有個⼈データに関する周知事項の追加(2) プライバシーポリシー等の記載事項

 「本⼈の知り得る状態（本⼈の求めに応じて遅滞なく回答する
場合を含む。）」に置くもの＜個⼈情報＞
・利⽤⽬的

旧法

改正法

＜個⼈情報＞
・利⽤⽬的（利⽤する項⽬等の特定）＜保有個⼈データ＞
・事業者の⽒名⼜は名称、住所、代表者
の⽒名
・利⽤⽬的
・利⽤⽬的
・開⽰等の請求に応じる⼿続・開⽰等の請求に応じる⼿続
・苦情の申出先
・苦情の申出先・認定個⼈情報保護団体の名称及び苦情 ・認定個⼈情報保護団体の名称及び苦情の解決の申出先の解決の申出先
・安全管理のために講じている措置＜保有個⼈データ＞
・事業者の⽒名⼜は名称

July 1, 2022

Ushijima & Partners

49

05
公表事項

1. 保有個⼈データに関する周知事項の追加(3) 「取扱い体制や講じている措置」

 「個⼈情報の取扱体制や講じている措置」

 安全管理のために講じた措置（通則ガイドライン）（基本⽅針の策定）
事例）個⼈データの適正な取扱いの確保のため、「関係法令・ガイドラ
イン等の遵守」、「質問及び苦情処理の窓⼝」等についての基本⽅針
を策定（個⼈データの取扱いに係る規律の整備）事例）取得、利⽤、保存、提供、削除・廃棄等の段階ごとに、取扱⽅法、責任者・担当者及びその任務等について個⼈データの取扱規程を策定（組織的安全管理措置）
事例1）個⼈データの取扱いに関する責任者を設置するとともに、個⼈
データを取り扱う従業者及び当該従業者が取り扱う個⼈データの範囲を明確化し、法や取扱規程に違反している事実⼜は兆候を把握した場合の責任者への報告連絡体制を整備
事例2）個⼈データの取扱状況について、定期的に⾃⼰点検を実施するとともに、他部署や外部の者による監査を実施（⼈的安全管理措置）
事例1）個⼈データの取扱いに関する留意事項について、従業者に定期的な研修を実施事例2）個⼈データについての秘密保持に関する事項を就業規則に記載

July 1, 2022

Ushijima & Partners

50

05
公表事項

1. 保有個⼈データに関する周知事項の追加(3) 「取扱い体制や講じている措置」（物理的安全管理措置）
事例1）個⼈データを取り扱う区域において、従業者の⼊退室管理及び持ち込む機器等の制限を⾏うとともに、権限を有しない者による個⼈データの閲覧を防⽌する措置を実施
事例2）個⼈データを取り扱う機器、電⼦媒体及び書類等の盗難⼜は紛
失等を防⽌するための措置を講じるとともに、事業所内の移動を含め、当該機器、電⼦媒体等を持ち運ぶ場合、容易に個⼈データが判明しないよう措置を実施（技術的安全管理措置）
事例1）アクセス制御を実施して、担当者及び取り扱う個⼈情報データ
ベース等の範囲を限定
事例2）個⼈データを取り扱う情報システムを外部からの不正アクセス
⼜は不正ソフトウェアから保護する仕組みを導⼊（外的環境の把握）
事例）個⼈データを保管しているA 国における個⼈情報の保護に関する制度を把握した上で安全管理措置を実施

July 1, 2022

Ushijima & Partners

51

05

1. 保有個⼈データに関する周知事項の追加(4)どこまでをプライバシーに記載するか︖

公表事項

 「本⼈の知り得る状態（本⼈の求めに応じて遅滞なく回答する場合を含む。）」
 通則ガイドライン

ホームページへの掲載、パンフレットの配布、本⼈の求めに応じて遅滞なく回答を⾏うこと等、本⼈が知ろうとすれば、知ることができる状態に置くことをいい、常にその時点での正確な内容を本⼈の知り得る状態に置かなければならない。必ずしもホームページへの掲載、⼜は事務所等の窓⼝等へ掲⽰すること等が継続的に⾏われることまでを必要とするものではな
いが、事業の性質及び個⼈情報の取扱状況に応じ、内容が本⼈に認識される合理的かつ適切な⽅法によらなければならない。
【本⼈の知り得る状態に該当する事例】
事例 1）問合せ窓⼝を設け、問合せがあれば、⼝頭⼜は⽂書で回答できるよう体制を構築しておく場合
事例 2）店舗にパンフレットを備え置く場合
事例 3）電⼦商取引において、商品を紹介するホームページに問合せ先のメールア
ドレスを表⽰する場合

 通則ガイドラインのパブコメNo.456

⼀般的に、保有個⼈データの安全管理のために講じた措置の概要をホームページに掲載し、その具体的な内容については、本⼈の求めに応じて遅滞なく回答するといった対応も可能と考えられます。

July 1, 2022

Ushijima & Partners

52

05

本⼈の権利

2. 改正のポイント(1) 短期保有データ、開⽰のデジタル化等①6か⽉以内に消去する短期保有データの除外の廃⽌
改正前︓6か⽉以内に消去するデータ開⽰等の対象外
改正後︓6か⽉以内に消去するデータ開⽰等の対象②開⽰のデジタル化
改正前︓書⾯で開⽰するのが原則
改正後︓本⼈が請求した⽅法で開⽰(i)データで開⽰(ii)書⾯で開⽰(iii)事業者が定めた⽅法があれば、その⽅法で開⽰③第三者提供記録の開⽰

July 1, 2022

Ushijima & Partners

53

05

本⼈の権利

2. 改正のポイント(2) 利⽤停⽌等④利⽤停⽌・消去請求等の拡充（⾚字部分が追加された）18条（16条）違反（⽬的外利⽤）
19条違反（不適正利⽤）20条（17条）違反（不適正取得）27条（23条）1項違反（同意なしの第三者提供）
28条（24条）違反（同意なしの外国第三者提供）

利⽤停⽌・消去

利⽤する必要がなくなった場合
26条の漏えい等が発⽣した場合
その他本⼈の権利⼜は正当な利益が害されるおそれがある場合○○○

第三者への提供の停⽌

○
○

○
○

○
○

○

○

 情報漏えいが発⽣した場合の対応事項が1つ増える∵本⼈から個⼈データの利⽤停⽌・消去の請求に対応しなければな
らない
July 1, 2022

Ushijima & Partners

54

05

利⽤停⽌等

2. 改正のポイント(2) 利⽤停⽌等

 「正当」とは

 「正当」かどうかは、相⼿⽅である個⼈情報取扱事業者との関係で決まるものであり、個⼈情報取扱事業者に本⼈の権利利益の保護の必要性を上回る特別な事情がない限りは、個⼈情報取扱事業者は請求に応じる必要がある。
本⼈の権利利益の保護の必要性を上回る特別な事情があるかどうかを判断するに当たっては、例えば、以下のような事情を考慮することになる。
（ア）本⼈⼜は第三者の⽣命、⾝体、財産その他の権利利益を保護するために当該保有個⼈データを取り扱う事情（イ）法令を遵守するために当該保有個⼈データを取り扱う事情（ウ）契約に係る義務を履⾏するために当該保有個⼈データを取り扱う事情（エ）違法⼜は不当な⾏為を防⽌するために当該保有個⼈データを取り扱う事情（オ）法的主張、権利⾏使⼜は防御のために当該保有個⼈データを取り扱
う事情

July 1, 2022

Ushijima & Partners

55

05

利⽤停⽌等

3. 開⽰等の請求等に応じる⼿続

 開⽰等の請求等に応じる⼿続（通則GL令和3年8⽉2⽇）
改訂後

改訂前

（※2）確認の方法としては、次のような事例が考えられるが、事業の性質、保有個人データの取扱状況、開示等の請求等の受付方法
等に応じて、適切なものでなければならず、本人確認のために事業者が保有している個人データに比して必要以上に多くの情報を求めないようにするなど、本人に過重な負担を課するものとならない
よう配慮しなくてはならない。
なお、代理人による来所や送付等の場合にあっては、確認書類として、本人及び代理人についての次の事例に示す書類等のほか、代理人について、代理権を与える旨の委任状（親権者が未成年者の法定代理人であることを示す場合は、本人及び代理人が共に記載され、その続柄が示された戸籍謄抄本、住民票の写し。また、成年後見人が成年被後見人の法定代理人であることを示す場合は、登記事項証明書）が考えられる。
事例1）来所の場合：運転免許証、健康保険の被保険者証、個人番号カード（マイナンバーカード）表面、旅券（パスポート）、在留カード、特別永住者証明、年金手帳、印鑑証明書と実印
事例2）オンラインの場合：あらかじめ本人が個人情報取扱事業者に対して登録済みの ID とパスワード、公的個人認証による電子署名
事例3）電話の場合：あらかじめ本人が個人情報取扱事業者に対して登録済みの登録情報（生年月日等）、コールバック
事例 4）送付（郵送、FAX 等）の場合：運転免許証や健康保険の被保険者証等の公的証明書のコピーの送付を顧客等から受け、当該公的証明書のコピーに記載された顧客等の住所に宛てて文書を書留郵便により送付（※5）確認の方法は、事業の性質、保有個人データの取扱状況、開示等の請求等の受付方法等に応じて、適切なものでなければならず、本人確認のために事業者が保有している個人データに比して必要以上に多くの情報を求めないようにするなど、本人に過重な負担を課するものとならないよう配慮しなくてはならな
い。

July 1, 2022

事例1）本人の場合：運転免許証、健康保険の被保険者証、個人番号カード（マイナンバーカード）表面、旅券（パスポート）、在留カード、特別永住者証明、年金手帳、印鑑証明書と実印
事例 2）代理人の場合：本人及び代理人について、運転
免許証、健康保険の被保険者証、個人番号カード（マイナンバーカード）表面、旅券（パスポート）、在留カード、特別永住者証明、年金手帳等。このほか、代理人については、代理を示す旨の委任状（親権者が未成年者の法定代理人であることを示す場合
は、本人及び代理人が共に記載され、その続柄が示された戸籍謄抄本、住民票の写し）

Ushijima & Partners

56

05

利⽤停⽌等

3. 開⽰等の請求等に応じる⼿続

 ⾝元確認＝ユーザ当⼈の実在性を確認すること
 当⼈認証＝利⽤しているのが登録されたユーザであることを
経済産業省「オンラインサービスにおける⾝元確認⼿法の整理に関する検討報告書」
確認することabc@hogehoge.com
パスワード************

開⽰請求「甲野太郎です」
⾝元確認
運転免許証

当⼈確認

 オンラインで開⽰メールアドレスとパスワードで認証すれば、「当⼈」への開⽰
 運転免許証の住所に書留郵便で開⽰
⾝元確認した⼈への開⽰にはなるが、その⼈物がユーザ当⼈かは不明
July 1, 2022

Ushijima & Partners

57仮名加⼯情報（チェックリストP.9）
36条（理由の説明）
37条（開⽰等の請求等に応じる⼿続）
本⼈確認のプロセスに注意

ガイドラインが改正されているので注意

38条（⼿数料）
39条（事前の請求）40条（個⼈情報取扱事業者による苦情の処理）
41条（仮名加⼯情報の作成等）
仮名加⼯情報「作成するとき」は、仮名加⼯情報として取り扱うために、当該仮名加⼯情報を作成するときのことを指す。

42条（仮名加⼯情報の第三者提供の制限等）
第三者提供は禁⽌委託・共同利⽤はOK43条（匿名加⼯情報の作成等）
44条（匿名加⼯情報の提供）
45条（識別⾏為の禁⽌）46条（安全管理措置等）
July 1, 2022

Ushijima & Partners

58
58

06

匿名加⼯情報1. 「匿名加⼯情報」

 匿名加⼯情報とは

 個⼈情報＝「特定の個⼈を識別することができる」情報
個人情報保護法２条（抜粋）
この法律において「個人情報」とは、生存する個人に関する情報であって、次の①②のいずれかに該当するものをいう①当該情報に含まれる氏名、生年月日その他の記述等･･･により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）②個人識別符号が含まれるもの

識別可能性＝「社会通念上、⼀般⼈の判断⼒や理解⼒をもって、⽣存す
る具体的な⼈物と情報との間に同⼀性を認めるに⾄ることができること」

 匿名加⼯情報＝「特定の個⼈を識別することができないように」加⼯して得られる個⼈に関する情報であって、当該個⼈情報を復元することができないようにしたもの
個人情報保護法２条
6 この法律において「匿名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう
July 1, 2022

Ushijima & Partners

59

06

匿名加⼯情報1. 匿名加⼯情報

 加⼯⽅法

法43条 個人情報取扱事業者は、匿名加工情報（匿名加工情報データベース等を構成するものに限る。以下同じ。）を作成するときは、特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、当該個人情報を加工しなければならない。

施行規則34条① 個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること（当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
② 個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元する
ことのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
③ 個人情報と当該個人情報に措置を講じて得られる情報とを連結する符号（現に個人情報取扱事業者において取り扱う情報を相互に連結する符号に限る。）を削除すること（当該符号を復元することのできる規則性を有しない方法により当該個人情報と当該個人情報に措置を講じて得られる情報を連結することができない符号に置き換えることを含む。）。
④ 特異な記述等を削除すること（当該特異な記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
⑤ 前各号に掲げる措置のほか、個人情報に含まれる記述等と当該個人情報を含む個人情報
データベース等を構成する他の個人情報に含まれる記述等との差異その他の当該個人情報
データベース等の性質を勘案し、その結果を踏まえて適切な措置を講ずること。

 これらの「全て」を満たす必要がある
July 1, 2022

Ushijima & Partners

60

06

1. 匿名加⼯情報

匿名加⼯情報 個⼈情報取引ID 会員ID
氏名10032 224523 田中一郎
10033 224523 田中一郎
10034 225412 佐藤幸子
10035 231622 鈴木博
10036 231622 鈴木博
10037 231622 鈴木博
10038 231622 鈴木博
10039 225412 佐藤幸子
10040 224523 田中一郎
10041 122214 甲野太郎
10042 231622 鈴木博
10043 225412 佐藤幸子

日時
店舗ID
店舗名
担当者ID 商品ID
商品名
2016/8/2 18:25KN013 みなとみらい店
101
151王様のカフェラテ
2016/8/2 18:25KN013 みなとみらい店
101
22タマゴサンド2016/10/4 7:13CB002 西船橋駅前店
305
288近江屋チョコレート（ホワイト）
2016/11/30 11:59TK101 錦糸町店
211
793バンドウクジラぬいぐるみ（大）2016/11/30 11:59TK101 錦糸町店
211
151王様のカフェラテ
2016/11/30 11:59TK101 錦糸町店
211
22タマゴサンド2016/11/30 11:59TK101 錦糸町店
211287近江屋チョコレート（ビター）2016/12/10 1:58MI301 溜池山王店
112
793王様のカフェラテ
2016/12/10 5:55KY023 横浜駅前店
104
151王様のカフェラテ
2016/12/10 5:55KY023 みなとみらい店
102
22タマゴサンド2016/12/11 17:13CB002 西船橋駅前店
305
287近江屋チョコレート（ビター）2016/12/12 13:33TK101 錦糸町店
204
23ミックスサンド 匿名加⼯情報（例）

取引ID 会員ID 氏名
10032 ******* *******
10033 ******* *******
10034 ******* *******
10036
10037
10038
10039
10040
10041
10042
10043

****************************************************************************************************************

日時
店舗ID
店舗名
担当者ID 商品ID
商品名101
151 王様のカフェラテ
2016/8/2 18時 KN013 みなとみらい店
101
22 タマゴサンド
2016/8/2 18時 KN013 みなとみらい店
305
288 近江屋チョコレート（ホワイト）
2016/10/4 7時 CB002 西船橋駅前店

2016/11/30 11時 TK101 錦糸町店
2016/11/30 11時 TK101 錦糸町店
2016/11/30 11時 TK101 錦糸町店
2016/12/10 1時 MI301 溜池山王店
2016/12/10 5時 KY023 横浜駅前店
2016/12/10 5時 KY023 みなとみらい店
2016/12/11 17時 CB002 西船橋駅前店
2016/12/12 13時 TK101 錦糸町店

211
211
211
112
104
102
305
204

151 王様のカフェラテ
22 タマゴサンド
287 近江屋チョコレート（ビター）793 王様のカフェラテ
151 王様のカフェラテ
22 タマゴサンド
287 近江屋チョコレート（ビター）
23 ミックスサンド

数量 価格 年齢1
132 46
1
286 464
209 46
1 16500 461
132 46
1
286 464
209 461
132 461
132 461
286 1194
209 46
1
298 46

数量 価格
1
132
1
286
4
209
1
1
4
1
1
1
4
1

年齢
46
46
46

132
46
286
46
209
46
132
46
132
46
286 80歳以上
209
46
298
46

特定の個⼈を識別することができないように加⼯し、当該個⼈情報を復元することができないようにしたもの
July 1, 2022

Ushijima & Partners

61

06

匿名加⼯情報1. 匿名加⼯情報 匿名加⼯情報 利⽤や第三者提供に本⼈の同意が必要ないのがポイント①作成したとき• 規則で定める基準に従い、加⼯の⽅法等に関する情報等の安全管理措置を講じる• 規則で定めるところにより、個⼈に関する情報の項⽬を公表• 匿名加⼯情報の安全管理措置等を講じ、かつ当該措置の内容を公表するよう努める②⾃ら取り扱う際• 本⼈を識別するために、当該匿名加⼯情報を他の情報と照合してはならない③第三者に提供するとき• 規則で定めるところにより、あらかじめ、第三者に提供される匿名加⼯情報に含まれる個⼈に関する情報の項⽬及びその提供の⽅法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加⼯情報である旨を明⽰④第三者から提供を受けた匿名加⼯情報を取り扱う際• 本⼈を識別するために、削除された記述等、加⼯の⽅法の情報を取得し、⼜は当該匿
名加⼯情報を他の情報と照合してはならない• 匿名加⼯情報の安全管理措置等を講じ、かつ当該措置の内容を公表するよう努める

July 1, 2022

Ushijima & Partners

62

06

仮名加⼯情報2. 仮名加⼯情報(1) 仮名加⼯情報とは

 改正法（新設）︓仮名（かめい）加⼯情報

個人情報保護法２条
5 この法律において「仮名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報をいう。
一 第1項第1号に該当する個人情報 当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述
等に置き換えることを含む。）。
二 第１項第2号に該当する個人情報 当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

＜イメージ＞
個⼈情報

新設
仮名加⼯情報匿名加⼯情報⾮個⼈情報等仮名加⼯情報＝他の情報と照合しない限り特定の個⼈を識別することができないように加⼯された個⼈に関する情報
July 1, 2022

Ushijima & Partners

63

06

仮名加⼯情報2. 仮名加⼯情報(2) 加⼯⽅法

匿名加⼯情報（法2条6項、法43条、規則34条）

仮名加⼯情報（法2条5項、法41条、規則31条）①個⼈情報に含まれる特定の個⼈を識別することができる記述等の全部⼜は⼀部を削除①個⼈情報に含まれる特定の個⼈を識別することができる記述等の全部⼜は⼀部を削除②個⼈情報に含まれる個⼈識別符号の全部を削除②個⼈情報に含まれる個⼈識別符号の全部を削除③個⼈情報と当該個⼈情報に措置を講じて得られる情報とを連結する符号を削除④特異な記述等を削除⑤前各号に掲げる措置のほか、個⼈情報に含まれる記述等と当該個⼈情報を含む個⼈情報データベース等を構成する他の個⼈情報に含まれる記述等との差異その他の当該個⼈情報データベース等の性質を勘案し、その結果を踏まえて適切な措置を講ずるー※クレジットカード番号は、通常、１号⼜は５号の基準に基づき削除されると考えられる。

⑥不正利⽤されることにより、財産的被害が⽣じるおそれのある記述等の削除⼜は置換

匿名加⼯情報では、対応表は削除しなければならない（新ガイドライン）
July 1, 2022

Ushijima & Partners

64

06

仮名加⼯情報2. 仮名加⼯情報(2) 加⼯⽅法

 規則31条（＋ガイドライン）① 個⼈情報に含まれる特定の個⼈を識別することができる記述等の全部⼜は⼀部を削除⼜は置換

事例 1）会員 ID、⽒名、年齢、性別、サービス利⽤履歴が含まれる個⼈情報を加⼯する場合に次の措置を講ずる。
1）⽒名を削除する。
事例 2）⽒名、住所、⽣年⽉⽇が含まれる個⼈情報を加⼯する場合に次の 1 から3 までの措置を講ずる。
1）⽒名を削除する。
2）住所を削除する。⼜は、○○県△△市に置き換える。
3）⽣年⽉⽇を削除する。⼜は、⽇を削除し、⽣年⽉に置き換える。
※⽒名の削除後、当該個⼈情報に含まれる他の記述等により、なお特定の個⼈を識別することができる場合には、当該記述等によって特定の個⼈を識別することができなくなるよう加⼯する必要がある。

② 個⼈情報に含まれる個⼈識別符号の全部を削除⼜は置換⑥ 個⼈情報に含まれる記述等のうち、当該記述等が不正に利⽤されることにより、財産的被害が発⽣するおそれがあるものを削除⼜は置換（例︓クレジットカード番号、送⾦や決済機能があるウェ
ブサービスのID・パスワード等）
July 1, 2022

Ushijima & Partners

65

06

仮名加⼯情報2. 仮名加⼯情報(2) 加⼯⽅法

 個⼈情報取引ID 会員ID
氏名10032 224523 田中一郎
10033 224523 田中一郎
10034 225412 佐藤幸子
10035 231622 鈴木博
10036 231622 鈴木博
10037 231622 鈴木博
10038 231622 鈴木博
10039 225412 佐藤幸子
10040 224523 田中一郎
10041 122214 甲野太郎
10042 231622 鈴木博
10043 225412 佐藤幸子

日時
店舗ID
店舗名
担当者ID 商品ID
商品名
2016/8/2 18:25KN013 みなとみらい店
101
151王様のカフェラテ
2016/8/2 18:25KN013 みなとみらい店
101
22タマゴサンド2016/10/4 7:13CB002 西船橋駅前店
305
288近江屋チョコレート（ホワイト）
2016/11/30 11:59TK101 錦糸町店
211
793バンドウクジラぬいぐるみ（大）2016/11/30 11:59TK101 錦糸町店
211
151王様のカフェラテ
2016/11/30 11:59TK101 錦糸町店
211
22タマゴサンド2016/11/30 11:59TK101 錦糸町店
211287近江屋チョコレート（ビター）2016/12/10 1:58MI301 溜池山王店
112
793王様のカフェラテ
2016/12/10 5:55KY023 横浜駅前店
104
151王様のカフェラテ
2016/12/10 5:55KY023 みなとみらい店
102
22タマゴサンド2016/12/11 17:13CB002 西船橋駅前店
305
287近江屋チョコレート（ビター）2016/12/12 13:33TK101 錦糸町店
204
23ミックスサンド 仮名加⼯情報

取引ID 会員ID
10032 224523
10033 224523
10034 225412
10035 231622
10036 231622
10037 231622
10038 231622
10039 225412
10040 224523
10041 122214
10042 231622
10043 225412

氏名
ABC
ABC
DEF
GHI
GHI
GHI
GHI
DEF
ABC
JKL
GHI
DEF

日時
店舗ID
店舗名
担当者ID 商品ID
商品名
2016/8/2 18:25KN013 みなとみらい店
101
151王様のカフェラテ
2016/8/2 18:25KN013 みなとみらい店
101
22タマゴサンド2016/10/4 7:13CB002 西船橋駅前店
305
288近江屋チョコレート（ホワイト）
2016/11/30 11:59TK101 錦糸町店
211
793バンドウクジラぬいぐるみ（大）2016/11/30 11:59TK101 錦糸町店
211
151王様のカフェラテ
2016/11/30 11:59TK101 錦糸町店
211
22タマゴサンド2016/11/30 11:59TK101 錦糸町店
211287近江屋チョコレート（ビター）2016/12/10 1:58MI301 溜池山王店
112
793王様のカフェラテ
2016/12/10 5:55KY023 横浜駅前店
104
151王様のカフェラテ
2016/12/10 5:55KY023 みなとみらい店
102
22タマゴサンド2016/12/11 17:13CB002 西船橋駅前店
305
287近江屋チョコレート（ビター）2016/12/12 13:33TK101 錦糸町店
204
23ミックスサンド

数量 価格 年齢1
132 46
1
286 464
209 46
1 16500 461
132 46
1
286 464
209 461
132 461
132 461
286 1194
209 46
1
298 46

数量 価格 年齢1
132 46
1
286 464
209 46
1 16500 461
132 46
1
286 464
209 461
132 461
132 461
286 1194
209 46
1
298 46

他の情報と照合しない限り特定の個⼈を識別できないように加⼯July 1, 2022

Ushijima & Partners

66

06

仮名加⼯情報2. 仮名加⼯情報(3) 取扱いのルール
個⼈情報等
個⼈情報

仮名加⼯情報（個⼈情報）

仮名加⼯情報（⾮個⼈情報）匿名加⼯情報⾮個⼈情報等（統計情報等）利⽤⽬的の特定通知・公表等○（規制対象）△※（規制対象）

×（規制なし）

×（規制なし）

×（規制なし）

その他の公表・
通知義務

×

×

×

〇
（作成時・提供時）

×（規制なし）

安全管理措置（データ等）○（規制対象）○（規制対象）○（規制対象）○（規制対象）

×（規制なし）

消去の努⼒義務○（努⼒義務）○（努⼒義務）

×（規制なし）

×（規制なし）

×（規制なし）

第三者提供の規制○（同意）（提供禁⽌）
委託・共同利⽤はOK（提供禁⽌）
委託・共同利⽤はOK△（同意は不要）×（規制なし）

再識別の禁⽌

－

○
（禁⽌）

○
（禁⽌）

○
（禁⽌）

×
（規制なし）

本⼈への連絡等の禁⽌×（規制なし）

○
（禁⽌）

○
（禁⽌）

－
（不可能）

－
（不可能）

漏えい等の報告

△○
（義務化）

×
（対象外）

×
（対象外）

×
（対象外）

×
（対象外）

開⽰請求・利⽤
停⽌請求等△○（範囲拡⼤）

×
（対象外）

×
（対象外）

×
（対象外）

×
（規制なし）※ 利⽤⽬的の変更が「関連性」ある範囲に限られる、という個⼈情報の規制が適⽤されない。
利⽤⽬的を⾃由に変更でき、変更の後の利⽤⽬的を「公表」すればよい。
July 1, 2022

Ushijima & Partners

67

06

仮名加⼯情報2. 仮名加⼯情報(3) 取扱いのルール

 個⼈情報と仮名加⼯情報の関係
 個⼈情報である仮名加⼯情報

 ⾃社で仮名加⼯情報を作成した事業者
通常、個⼈情報である仮名加⼯情報∵容易照合性 個⼈情報ではない仮名加⼯情報

 ⾃社で仮名加⼯情報を作成したケースで、元データを削除した場合
 委託先・共同利⽤先︓
個⼈情報ではない仮名加⼯情報 仮名加⼯情報を作成する「意図」（ガイドライン）

 「作成するとき」は、仮名加⼯情報として取り扱うために、当該仮名加⼯情報を作成するときのことを指す。したがって、例えば、安全管理措置の⼀環として⽒名等の⼀部の個⼈情報を削除（⼜は他の記述等に置き換え）した上で引き続き個⼈情報として取り扱う場合、あるいは匿名加⼯情報⼜は統計情報を作成するために個⼈情報を加⼯する場合等については、仮名加⼯情報を「作成するとき」には該当しない。
匿名加⼯情報でも同じ

July 1, 2022

Ushijima & Partners

68

06

仮名加⼯情報2. 仮名加⼯情報(3) 取扱いのルール
⽣存する個⼈に関する情報
個⼈情報

要配慮個⼈情報

特定個⼈情報個⼈情報保護法の適⽤がある

個⼈関連情報（マイナンバー）

仮名加⼯情報匿名加⼯情報マイナンバー法の適⽤がある

統計情報などJuly 1, 2022

Ushijima & Partners

69

06

仮名加⼯情報2. 仮名加⼯情報(3) 取扱いのルール

 利⽤⽬的の変更

 個⼈情報についての利⽤⽬的の変更（利用目的の特定）
第17条
２ 個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。

 改正法の仮名加⼯情報（仮名加工情報の作成等）
第41条
９ 仮名加工情報、仮名加工情報である個人データ及び仮名加工情報である保有個人データ
については、第17条第2項、第26条及び第32条から第39条までの規定は、適用しない。

「関連性」を超えて、利⽤⽬的を変更できる 利⽤⽬的の公表は必要（仮名加工情報の作成等）
第41条
4 仮名加工情報についての第21条の規定の適用については、同条第1項及び第3項中「、本人に通知し、又は公表し」とあるのは「公表し」と、同条第4項第1号から第3号までの規定中「本人に通知し、又は公表する」とあるのは「公表する」とする。
July 1, 2022

Ushijima & Partners

70

06

仮名加⼯情報2. 仮名加⼯情報(3) 取扱いのルール

 第三者提供と共同利⽤

 第三者提供は不可（＝個⼈データとして提供する）
 委託・共同利⽤は可能

 共同利⽤について「利⽤する者の範囲や利⽤⽬的等は、作成の元となった個⼈情報の取得の時点において通知⼜は公表されていた利⽤⽬的の内
容や取得の経緯等にかかわらず、設定可能である」（通則GL）（参考︓個⼈データの場合）
既に特定の事業者が取得している個⼈データを他の事業者と共同して利⽤する場合には、当該共同利⽤は、社会通念上、共同して利⽤する者の範囲や利⽤⽬的等が当該個⼈データの本⼈が通常予期し得ると客観的に認められる範囲内である必要がある。その上で、当該個⼈デー
タの内容や性質等に応じて共同利⽤の是⾮を判断し、既に取得している事業者が法第17条第1項の規定により特定した利⽤⽬的の範囲で共同して利⽤しなければならない。

July 1, 2022

Ushijima & Partners

71

06

仮名加⼯情報2. 仮名加⼯情報(3) 取扱いのルール

 識別⾏為の禁⽌第41条
7 仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たっては、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該仮名加工情報を他の情報と照合してはならない。

 本⼈への連絡等の禁⽌第41条
8 仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たっては、電話をかけ、郵便若
しくは民間事業者による信書の送達に関する法律（平成 14 年法律第 99 号）第 2 条第 6項に規定する一般信書便事業者若しくは同条第 9 項に規定する特定信書便事業者による同条第 2 項に規定する信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法（電子情報処理組織を使用する方法その他の情報通信の技術を利用する方法であって個人情報保護委員会規則で定めるものをいう。）を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用してはならない。

July 1, 2022

Ushijima & Partners

72

06

仮名加⼯情報2. 仮名加⼯情報(3) 取扱いのルール

 適⽤除外法第41条（第9項）
９ 仮名加工情報、仮名加工情報である個人データ及び仮名加工情報である保有個人データ
については、第17条第2項、第26条及び第32条から第39条までの規定は、適用しない。

 漏えい等の報告・通知（26条）

仮名加⼯情報である個⼈データについて漏えい等が発⽣した場合でも、法第26条に基づく報告や本⼈通知は不要– 仮名加⼯情報の作成の元となった個⼈データ⼜は⽒名と仮IDの対応表のよ
うな削除情報等（個⼈データであるもの）については、26条が適⽤される

 本⼈からの開⽰等の請求等（32条〜39条）

仮名加⼯情報である保有個⼈データについては、32条〜39条に基づく本⼈からの開⽰等の請求等の対象とならない– 仮名加⼯情報の作成の元となった保有個⼈データを引き続き保有している
場合、当該保有個⼈データについては、開⽰等の請求等の対象となる

July 1, 2022

Ushijima & Partners

73

06

仮名加⼯情報2. 仮名加⼯情報(3) 取扱いのルール

 削除情報等の安全管理措置

 41条2項、42条3項
仮名加⼯情報に係る削除情報等*の漏えいを防⽌するための安全管
理措置を講じなければならない*「仮名加⼯情報の作成に⽤いられた個⼈情報から削除された記述等及び個⼈識別符号並びに前項の規定により⾏われた加⼯の⽅法に関する情報」
その情報を⽤いて仮名加⼯情報の作成に⽤いられた個⼈情報を復元することができるものに限る（41条2項）
その情報を⽤いて仮名加⼯情報の作成に⽤いられた個⼈情報を復元することができるもの」には、例えば、⽒名等を仮 ID に置き換えた場合における置き換えアルゴリズムに⽤いられる乱数等のパラメータ⼜は⽒名と仮ID の対応表等のような加⼯の⽅法に関する情報が該当し、「⽒名を削除した」というような復元につながらない情報は該当しない。（GL）

 2020年11⽉27⽇個⼈情報保護委員会「匿名加⼯情報に係る加⼯⽅法等情報と同程度の安全管理措置を求めるべき」
施⾏規則32条（次ページ）
July 1, 2022

Ushijima & Partners

74

06

仮名加⼯情報2. 仮名加⼯情報(3) 取扱いのルール

 削除情報等の安全管理で求められる措置（規則32条）の具体例

講じなければならない措置

具体例①削除情報等を取り扱う者の権限及び責任の明確化•削除情報等の安全管理措置を講ずるための組織体制の整備②(ア)削除情報等の取扱いに関する規程類の整備(イ)当該規程類に従った適切な取扱い(ウ)削除情報等の取扱状況の評価
及びその結果に基づき改善を図るために必要な措置の実施•削除情報等の取扱いに係る規程等の整備とこれに従った運⽤• 従業員の教育• 削除情報等の取扱状況を確認する⼿段の整備• 削除情報等の取扱状況の把握、安全管理措置の評価、⾒直し及び改善③削除情報等を取り扱う正当な権限を有しない者による削除情報等の取扱いを防⽌するために必要かつ適切な措置•削除情報等を取り扱う権限を有しない者による閲覧等の防⽌• 機器、電⼦媒体等の盗難等の防⽌• 電⼦媒体等を持ち運ぶ場合の漏えい等の防⽌• 削除情報等の削除並びに機器、電⼦媒体等の廃棄• 削除情報等へのアクセス制御• 削除情報等へのアクセス者の識別と認証• 外部からの不正アクセス等の防⽌• 情報システムの使⽤に伴う削除情報等の漏えい等の防⽌

July 1, 2022

Ushijima & Partners

75

06

仮名加⼯情報3. まとめ 仮名加⼯情報 加⼯基準が明確で簡単
 当初の利⽤⽬的と離れた利⽤⽬的でもOK 開⽰等の請求や漏えい等の報告の対象外
分析⽬的であれば、仮名加⼯情報として保存しておくとよい 第三者提供はできない（委託・共同利⽤は可） 公表は必要 匿名加⼯情報 加⼯基準が難しい
 利⽤⽬的は無限定
 開⽰等の請求や漏えい等の報告の対象外
 第三者提供も可能 公表は必要

July 1, 2022

Ushijima & Partners

76

06

仮名加⼯情報3. まとめ甲野販売（株）

会員ID
氏名
性別
生年月日

仮名加
⼯情報
に加⼯

会員ID

甲野グループ
データ分析基盤

－
性別
生年月

購入日時

購入日時

会員ID

商品名

商品名

性別
生年月

共同利⽤ 購入日時

甲野カード（株）

商品名

分析

知⾒

例）東京圏の年収800万円以上の層には○○が売れる

住所地域
年収区分
会員ID
氏名
性別
住所
年収

July 1, 2022

仮名加
⼯情報
に加⼯

会員ID

会員ID

－

氏名

性別

性別

 個⼈情報との突合等（識別⾏為）は不可 本⼈への連絡等も不可

住所地域
年収区分

Ushijima & Partners

生年月日
購入日時
商品名

77

06

3. まとめ41条Ⅱ削除情報等の安全管理措置

個⼈情報

③

仮名加⼯情報仮名加⼯情報17条利⽤⽬的特定⑥・変更
18条⽬的外利⽤禁⽌・例外
19条不適正利⽤禁⽌⑥
Ⅰ加⼯⽅法
20条適正取得⑥
Ⅲ⽬的外利⽤禁⽌(18)21条利⽤⽬的通知等
Ⅳ利⽤⽬的公表(21)40条苦情の処理⑥⑦
Ⅶ再識別禁⽌Ⅷ連絡禁⽌
22条正確性・消去
Ⅸ適⽤除外
23条安全管理措置⑤⑦-利⽤⽬的変更(17Ⅱ)
24条従業者監督⑤⑦
25条委託先監督⑤⑦
26条漏えい等27条第三者提供
Ⅴ消去(22)28条外国提供Ⅵ提供禁⽌(27・28)
29条提供記録
委託・共同利⽤
30条受領記録
Ⅸ適⽤除外
31条個⼈関連情報-漏えい等報告(26)⑥個⼈データ ②⑤

保有個⼈ ①32条公表
33条開⽰
34条訂正等データ
35条利⽤停⽌等
36条理由の説明
37条⼿続
38条⼿数料
39条事前の請求①~③:4章2節
July 1, 2022

④

Ⅸ適⽤除外
-32~39条

仮名加⼯情報データベース
等を構成する
仮名加⼯情報⑦

Ⅰ提供禁⽌
Ⅱ委託・共同利⽤
Ⅲ準⽤
23~25条安全管理（23条漏えいのみ）
40条苦情処理
41条Ⅶ再識別禁⽌41条Ⅷ連絡禁⽌⑧④~⑥:41条各項＋①②③の⾚字
Ushijima & Partners⑦42条各項⑧規制なし
78

お問い合わせ先
⽜島総合法律事務所 弁護⼠
03-5511-3233

影島広泰

hiroyasu.kageshima@ushijima-law.gr.jp
東京都千代⽥区永⽥町2-11-1
⼭王パークタワー14階

2003.102013.1
2015.52015.7

弁護⼠登録（第56期）⽜島総合法律事務所⼊所
⽜島総合法律事務所パートナー
情報化推進国⺠会議 本委員（〜2017.3）
情報化推進国⺠会議 マイナンバー検討特別委員会委員（〜2015.12）【個人情報の取扱い・情報管理に関する案件】


パーソナルデータを利用したビジネス構築のための法的スキームの助言
内外企業がクロスボーダーにデータを移転する際の法的助言（GDPR・アジア各国法）【システム・ソフトウェア開発に関する案件】


金融機関、流通、サービス業の各システム開発の中止に伴う訴訟・紛争システム開発プロジェクト遂行中のコスト増、品質問題、プロジェクト中断に関する交渉のアドバイス

【著作等】




「法律家・法務担当者のためのIT技術用語辞典＜第2版＞」（商事法務）「座談会 システム開発取引はなぜ紛争が絶えないのか」（NBL 1115号～1117号）「個人情報保護法と企業実務」（清文社）ほか多数

【その他】




Legal 500 TMT (Technology Media and Telecommunications) Asia 2022のLeading Individual に選出
Thomson Reuters 2021年「ALB Asia Super 50 TMT Lawyers」に選出
日本経済新聞社「企業法務・弁護士調査」2019年データ関連「企業が選ぶランキング」第1位

July 1, 2022

Ushijima & Partners

79