スマートフォンのアプリケーション・プライバシーポリシー
に関するガイドライン

2023 年 9 月 12 日

一般社団法人モバイル･コンテンツ･フォーラム履歴2012 年 11 月 13 日

1.0 版

2023 年 9 月 12 日

2.0 版

個人情報保護法改正（2023 年 4 月施行）
電気通信事業法改正（2023 年 6 月施行）
に伴う改定

目次
はじめに ........................................................................ 3
背景 ............................................................................................................................................ 3
目的 ............................................................................................................................................ 4
対象範囲 .................................................................................................................................... 4
本ガイドラインの構成 ............................................................................................................... 5
第1部

充足すべき必要要件 ....................................................... 6

概要 ............................................................................................................................................ 6
個人情報の保護に関する法律についてのガイドライン ............................................................ 8
通則編......................................................................... 8
外国にある第三者への提供編 .................................................... 26
仮名加工情報・匿名加工情報編 .................................................. 40
電気通信事業における個人情報保護に関するガイドラインの解説 ........................................ 45
プライバシーポリシー .......................................................... 45
位置情報...................................................................... 49
外部送信に係る利用者に関する情報の取扱い ...................................... 52（参考）スマートフォン プライバシー イニシアティブⅢ ................................................... 73
1. スマートフォン利用者情報取扱指針 ........................................... 73
1.1 総則 ...................................................................... 74
1.2 アプリケーション提供者等における取組 ...................................... 83
第2部

実装にあたっての推奨要件 ................................................ 95

１．同意を必要とするものについて ....................................................................................... 95
２．アプリケーション・プライバシーポリシーの変更について ........................................... 95
３．同意が得られなかった場合、オプトアウトした場合に制限される事項について ........... 95
４．取得した利用者情報の取扱いについて ............................................................................ 96
５．必要要件以外の同意取得について ................................................................................... 96
６．本人の知り得る状態について........................................................................................... 97
７．日本語以外での説明に対する対応ついて ........................................................................ 97
８．既存のアプリケーションの本ガイドラインへの対応について ........................................ 97
3部

アプリケーション・プライバシーポリシーのモデル案 ........................... 98（参考）

アプリケーション・プライバシーポリシー（参考）チェックシート ....................................................... 112

1

概要案........................ 111

2

はじめに
背景
我が国のモバイル産業は、スマートフォンの普及に伴い、端末だけではなく、コンテンツ
やサービス、さらにはビジネス・モデルまで大きく変化しました。
特に、自由にダウンロードして導入できるアプリケーションを中心とするコンテンツやサービスの普及は、以前の通信事業者を基点とした垂直型モデルによるガバナンスの効いた垂直の産業構造から、PC インターネットと同様に自由な水平型構造へと、大きく環境を変化させています。それだけに留まらず、スマートフォンは常に身に着ける情報端末として、GPS や様々なセンサーを搭載し、電子マネー、クレジットカードなどお財布代わりともな
り、しかも常時通信が可能であるなど PC 以上の機能を次々と実現しています。これらは、利用者と事業者の両方にとって、セキュリティやプライバシーに関する様々な課題を突きつけることになりました。
欧米でも同様の課題が顕在化し、対策に向けた動きが官民を挙げて、また国境を越えて進められており、多数の法令、ガイドライン、レポートが提出されています。これらの多くは、モバイル・ビジネスを取り巻く様々な領域の関係者が、自主的ガイドラインを策定すること
等により問題解決に取り組むことを支持すると同時に、これらの動きを支援する法的な根拠の確立をも目指しています。
基本的な方向性は、利用者を保護しつつイノベーションの推進とマーケットの健全な拡大を図ること、利用者の不安・不信を解消すること、消費者と事業者双方への啓発を推進することを目的としています。
我が国においても、スマートフォンのセキュリティ対策、プライバシー保護、競争政策について多くの法律改正があり、専門家や関係者の議論が続いています。これに対して、一般社団法人モバイル・コンテンツ・フォーラム（以下、MCF）は、モバイル業界としての取り組みを進めてきました。
MCF は、日本最大のモバイル業界団体として、この社会的要請に応えるべく行政、業界
各社および関連団体等との連携を進め、2012 年 8 月に総務省の「利用者視点を踏まえた ICT
サービスに係る諸問題に関する研究会」が発表した「スマートフォン プライバシー イニ
シアティブ」の策定にも参加し、利用者保護とモバイル業界発展の両方の視点から、同年 11
月に「スマートフォンのアプリケーション・プライバシーポリシーに関するガイドライン（以下、本ガイドライン）」の第 1 版を発行しました。

3

本ガイドラインは、モバイルの中でも取り分け重要とされる、スマートフォンのアプリケーションによる利用者情報の取り扱いについて、「アプリケーション・プライバシーポリシー」を作成するために重要な考え方を取りまとめたものです。
2023 年 4 月施行の改正された個人情報保護委員会「個人情報の保護に関する法律（以下、
個人情報保護法）」、2023 年 6 月施行の改正された総務省「電気通信事業法」に伴い、今般、本ガイドラインも改訂することとしました。関係者が、改めて利用者保護の視点を再確認し、モバイルのさらなる進化、発展に有効利用されることを期待しています。
MCF では、本ガイドラインについて、モバイル産業の健全な発展に寄与できるよう、今後も不断の議論と努力を続け、常に継続的な更新に取り組むとともに、実効性の確保、普及・啓発や国際的な協調体制の構築についても、行政、業界各社および関連団体と協力していく
所存です。

目的
本ガイドラインは、主にスマートフォンのアプリケーションを開発もしくは提供する事
業者、個人等が、利用者の端末内情報の取り扱いに関して、利用者にわかりやすく適切に「アプリケーション・プライバシーポリシー」を作成し、掲示できるようにとりまとめたものです。
また、開発者や提供者だけではなく、アプリケーション・マーケット事業者やセキュリティ・ソフトの提供者をはじめ、関係する事業者、団体、個人がアプリケーションを取り扱う
際に、対象アプリケーションの安心・安全への配慮を判断する際の参考となり、関係者が一致協力して、モバイル産業の環境を整備するための支援となることを目指しています。

対象範囲
本ガイドラインは、アプリケーションを通じたスマートフォン上の利用者情報の取扱いを対象範囲としています。
また、汎用的なタブレット端末、電子書籍リーダー、スマートウォッチ、ゲーム機、カー
ナビゲーション、TV 等のスマート･デバイスと総称されるものにおいても、通信を通じてア
プリケーションを自由に選択、導入できる環境にあって、アプリケーションを通じて端末内の情報を取得する場合には、本ガイドラインが重要な示唆を与えるものと考えています。

4

本ガイドラインの構成
本ガイドラインでは、スマートフォンにおける利用者情報を活用する事業者等が、利用者に対して分かりやすく透明性が高い説明を行い、その理解と有効な選択を促すための方策について、以下のように充足すべき要件を求めています。
第１部では、必要要件として「個人情報の保護に関する法律についてのガイドライン」、
並びに総務省「電気通信事業における個人情報保護等に関するガイドラインの解説」「スマートフォン プライバシー イニシアティブⅲ」における該当箇所を提示します。
個人情報を取扱うアプリケーションでは、第 1 部の必要要件すべてを遵守することが求められます。個人情報を取扱わない（特定の個人を識別できない情報のみを扱う）場合には、第 1 部の「電気通信事業における個人情報等の保護に関するガイドラインの解説」「ス
マートフォン プライバシー

イニシアティブⅲ」への準拠が求められます。

第２部では、「アプリケーション・プライバシーポリシー」の実装にあったって推奨される要件を提示します。
第３部では、実装にあたってのモデル案を提示しています。

5

第 1 部 充足すべき必要要件
概要
2020 年の個人情報保護法の改正では、個人情報取扱事業者が公表すべき事項が拡充されただけではなく、外国にある第三者への提供に際して当該外国の個人情報保護に関する情報の提供が求められるなど、新たに公表または通知が必要とされる事項が増えている。最初の本ガイドライン策定以降でも、匿名加工情報を作成した場合の公表または通知などが追加されており、必要要件が多岐に渡って増えており、参照すべき条文、ガイドラインは散在している。
また、電気通信事業における個人情報保護に関するガイドラインも改訂が繰り返され、
2022 年 4 月の改定では「プライバシーポリシー」の中にアプリケーションソフトウェアに係るプライバシーポリシーという項目が追加され、解説において詳細が記載されている。当解説において、アプリケーションのプライバシーポリシーに関する詳細は、スマートフォン
プライバシー イニシアティブ等によるとされている。その他、位置情報や携帯電話事業者
特有の発信者情報など通信の秘密に関するものも規定されている。
さらに、2022 年 6 月の電気通信事業法の改正により、端末内に記録された利用者に関する情報を端末から外部送信させる場合の規律が定められた。
これら、各所に分散して記載されているものをまとめると、通知または本人が知り得る状
態に置くべき事項が記載されているのは以下となる。
＜個人情報保護法＞
保有個人データに関して本人が知り得る状態に置くべき事項
オプトアウトに関する原則
外国にある第三者に提供する場合
仮名加工情報を取得した場合
匿名加工情報を作成、提供した場合共同利用を行う場合＜電気通信事業における個人情報等の保護に関するガイドライン＞
プライバシーポリシー（アプリケーションソフトウェアに係るプライバシーポリシー）
位置情報
利用者に関する情報の外部送信

6＜スマートフォン プライバシー イニシアティブⅲ＞
スマートフォン利用者情報取扱指針

その他、金融、医療やヘルスケアなど分野ごとの事業法やガイドライン、業界団体にて記載を求められているものがあるが、それらは各アプリケーションが該当する場合に、別途参照していただきたい。ここでは、全てのアプリケーションに対応が求められるものを列挙している。
また、ガイドラインやその解説においては、元となる法令の条文も記載されているため、ここでは煩雑さを避ける目的から、重複する条文については省略し、ガイドラインまたはその解説のみを掲載している。

＜注意＞
正確性を期すため、法令、ガイドライン等については 2023 年 8 月末時点での原典をそのまま掲載いたしております。参照ページ等につきましては、原典をご参照ください。

7

個人情報の保護に関する法律についてのガイドライン
通則編
3-3-3 利用目的の通知又は公表（法第 21 条第 1 項関係）

法第 21 条（第 1 項）
1

個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

個人情報取扱事業者は、個人情報を取得する場合は、あらかじめその利用目的を公表（※
1）していることが望ましい。公表していない場合は、取得後速やかに、その利用目的を、本人に通知（※2）するか、又は公表しなければならない。
【本人への通知又は公表が必要な事例】
事例 1）インターネット上で本人が自発的に公にしている個人情報を取得した場合（単に閲覧しただけの場合を除く。）
事例 2）インターネット、官報、職員録等から個人情報を取得した場合（単に閲覧しただ
けの場合を除く。
）
事例 3）個人情報の第三者提供を受けた場合（※1）
「公表」については、2-15（公表）を参照のこと。
（※2）
「本人に通知」については、2-14（本人に通知）を参照のこと。
（参考）3-1-1 利用目的の特定（法第 17 条第 1 項関係）

法第 17 条（第 1 項）
1

個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。
）をできる限り特定しなければならない。

個人情報取扱事業者は、個人情報を取り扱うに当たっては、利用目的をできる限り具体的に特定しなければならないが、利用目的の特定に当たっては、利用目的を単に抽象的、一般的に特定するのではなく、個人情報が個人情報取扱事業者において、最終的にどのような事
業の用に供され、どのような目的で個人情報を利用されるのかが、本人にとって一般的かつ合理的に想定できる程度に具体的に特定することが望ましい（※1）
（※2）
。

8

なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的の特定に当たっては、その旨が明確に分かるよう特定しなければならない（3-6-1（第三者提供の制限の原則）参照）。
【具体的に利用目的を特定している事例】
事例） 事業者が商品の販売に伴い、個人から氏名・住所・メールアドレス等を取得するに当たり、「○○事業における商品の発送、関連するアフターサービス、新商品・サービスに関する情報のお知らせのために利用いたします。
」等の利用目的を明示している場合【具体的に利用目的を特定していない事例】
事例 1）「事業活動に用いるため」
事例 2）「マーケティング活動に用いるため」（※1） 「利用目的の特定」の趣旨は、個人情報を取り扱う者が、個人情報がどのような事業の用に供され、どのような目的で利用されるかについて明確な認識を持ち、できるだけ具体的に明確にすることにより、個人情報が取り扱われる範囲を確定するとともに、本人の予測を可能とすることである。
本人が、自らの個人情報がどのように取り扱われることとなるか、利用目的から合理的に予測・想定できないような場合は、この趣旨に沿ってできる限り利用目的を特定したことにはならない。
例えば、本人から得た情報から、本人に関する行動・関心等の情報を分析する場
合、個人情報取扱事業者は、どのような取扱いが行われているかを本人が予測・想定できる程度に利用目的を特定しなければならない。
【本人から得た情報から、行動・関心等の情報を分析する場合に具体的に利用目的を特定している事例】
事例 1）「取得した閲覧履歴や購買履歴等の情報を分析して、趣味・嗜好に応じた新商品・サービスに関する広告のために利用いたします。」
事例 2）「取得した行動履歴等の情報を分析し、信用スコアを算出した上で、当該スコアを第三者へ提供いたします。
」（※2） 定款等に規定されている事業の内容に照らして、個人情報によって識別される本人からみて、自分の個人情報が利用される範囲が合理的に予想できる程度に特定されている場合や業種を明示することで利用目的の範囲が想定される場合には、これで足りるとされることもあり得るが、多くの場合、業種の明示だけでは利用目的をでき

9る限り具体的に特定したことにはならないと解される。なお、利用目的の特定に当たり「○○事業」のように事業を明示する場合についても、社会通念上、本人からみてその特定に資すると認められる範囲に特定することが望ましい。
また、単に「事業活動」、「お客様のサービスの向上」等のように抽象的、一般的な内容を利用目的とすることは、できる限り具体的に特定したことにはならないと解される。
（参考）3-3-5 利用目的の通知等をしなくてよい場合（法第 21 条第 4 項関係）
法第 21 条（第 4 項）
4

前三項の規定は、次に掲げる場合については、適用しない。
(1) 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合(2) 利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権
利又は正当な利益を害するおそれがある場合(3) 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(4) 取得の状況からみて利用目的が明らかであると認められる場合

次に掲げる場合については、法第 21 条第 1 項から第 3 項までにおいて利用目的の本人への通知（※1）、公表（※2）又は明示（※3）（以下この項において「利用目的の通知等」という。
）が求められる場合であっても、当該利用目的の通知等は不要である。
(1)

利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（法第 21 条第 4 項第 1 号関係）
利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合は、法第 21 条第 1 項から第 3 項までの適用を受けず、当該利用目的の通知等は不要である。
事例） 児童虐待等に対応するために、児童相談所、学校、医療機関等の関係機関において、ネットワークを組んで対応する場合に、加害者である本人に対して当該本人の個人情報の利用目的を通知・公表することにより、虐待を悪化させた
り、虐待への対応に支障等が生じたりするおそれがある場合(2)

利用目的を本人に通知し、又は公表することにより事業者の権利又は正当な利益を害するおそれがある場合（法第 21 条第 4 項第 2 号関係）

10

利用目的を本人に通知し、又は公表することにより事業者の権利又は正当な利益を害するおそれがある場合は、法第 21 条第 1 項から第 3 項までの適用を受けず、当該利用目的の通知等は不要である。
事例） 暴力団等の反社会的勢力情報、疑わしい取引の届出の対象情報、業務妨害行為を行う悪質者情報等を、本人又は他の事業者等から取得したことが明らかになることにより、当該情報を取得した企業に害が及ぶ場合(3)

国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき（法第 21 条第 4 項第 3 号関係）
国の機関等（地方公共団体又はその委託を受けた者を含む。
）が法令の定める事務を実施する上で、民間企業等の協力を得る必要があり、かつ、本人に対する利用目的の通知等により当該事務の遂行に支障を及ぼすおそれがあると認められる場合は、
当該民間企業等は、法第 21 条第 1 項から第 3 項までの適用を受けず、当該利用目的の通知等は不要である。
事例） 警察が、公開手配を行わないで、被疑者に関する個人情報を、被疑者の立ち回りが予想される個人情報取扱事業者に限って提供した場合において、警察から当該個人情報を受け取った当該個人情報取扱事業者が、利用目的を本人に通知し、又は公表することにより、捜査活動に支障を及ぼすおそれがある場合(4) 取得の状況からみて利用目的が明らかであると認められる場合（法第 21 条第 4 項第4 号関係）
取得の状況からみて利用目的が明らかであると認められる場合は、法第 21 条第 1 項から第 3 項までの適用を受けず、当該利用目的の通知等は不要である。
事例 1）商品・サービス等を販売・提供するに当たって住所・電話番号等の個人情報を取得する場合で、その利用目的が当該商品・サービス等の販売・提供のみを確実に行うためという利用目的であるような場合
事例 2）一般の慣行として名刺を交換する場合、直接本人から、氏名・所属・肩書・連絡先等の個人情報を取得することとなるが、その利用目的が今後の連絡や、所属する会社の広告宣伝のための冊子や電子メールを送付するという利用目的であるような場合

11

（※1）本人への「通知」については、2-14（本人に通知）を参照のこと。
（※2）
「公表」については、2-15（公表）を参照のこと。
（※3）
「明示」については、3-3-4（直接書面等による取得）を参照のこと。
3-8-1 保有個人データに関する事項の公表等（法第 32 条関係）
法第 32 条（第 1 項）
1

個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）に置かなければならない。
(1) 当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名(2) 全ての保有個人データの利用目的（第 21 条第 4 項第 1 号から第 3 号までに該当する場合を除く。
）(3) 次項の規定による求め又は次条第 1 項（同条第 5 項において準用する場合を含む。）、
第 34 条第 1 項若しくは第 35 条第 1 項、第 3 項若しくは第 5 項の規定による請求に応じる手続（第 38 条第 2 項の規定により手数料の額を定めたときは、その手数料の額を含む。
）(4) 前三号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの

政令第 10 条
法第 32 条第 1 項第 4 号の政令で定めるものは、次に掲げるものとする。
(1) 法第 23 条の規定により保有個人データの安全管理のために講じた措置（本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。
）(2) 当該個人情報取扱事業者が行う保有個人データの取扱いに関する苦情の申出先(3) 当該個人情報取扱事業者が認定個人情報保護団体の対象事業者である場合にあっては、当該認定個人情報保護団体の名称及び苦情の解決の申出先

個人情報取扱事業者は、保有個人データについて、次の①から⑤までの情報を本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。以下同じ。
）（※1）に置
かなければならない。
①個人情報取扱事業者の氏名又は名称及び住所（※2）並びに法人にあっては、その代表
者の氏名

12

②全ての保有個人データの利用目的（※3）（ただし、一定の場合（※4）を除く。
）③保有個人データの利用目的の通知の求め又は開示等の請求（※5）に応じる手続及び保有個人データの利用目的の通知の求め又は開示の請求に係る手数料の額（定めた場合
に限る。
）
（※6）
④保有個人データの安全管理のために講じた措置（ただし、本人の知り得る状態に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。）
個人情報取扱事業者は、法第 23 条の規定により保有個人データの安全管理のために講じた措置の内容を本人の知り得る状態に置かなければならない。
ただし、当該保有個人データの安全管理に支障を及ぼすおそれがあるものについては、その必要はない。
当該安全管理のために講じた措置は、事業の規模及び性質、保有個人データの取扱状
況（取り扱う保有個人データの性質及び量を含む。
）、保有個人データを記録した媒体等に起因するリスクに応じて、必要かつ適切な内容としなければならない。このため、当該措置の内容は個人情報取扱事業者によって異なり、本人の知り得る状態に置く安全管理のために講じた措置の内容についても個人情報取扱事業者によって異なる。
なお、本人の知り得る状態については、本人の求めに応じて遅滞なく回答する場合を含むため、講じた措置の概要や一部をホームページに掲載し、残りを本人の求めに応じて遅滞なく回答を行うといった対応も可能であるが、例えば、「個人情報の保護に関する法律についてのガイドライン（通則編）」に沿って安全管理措置を実施しているといった内容の掲載や回答のみでは適切ではない。
【安全管理のために講じた措置として本人の知り得る状態に置く内容の事例】（※7）（基本方針の策定）
事例）個人データの適正な取扱いの確保のため、「関係法令・ガイドライン等の遵守」、「質問及び苦情処理の窓口」等についての基本方針を策定（個人データの取扱いに係る規律の整備）事例）取得、利用、保存、提供、削除・廃棄等の段階ごとに、取扱方法、責任者・担当者及びその任務等について個人データの取扱規程を策定（組織的安全管理措置）
事例 1）個人データの取扱いに関する責任者を設置するとともに、個人データを取り扱う従業者及び当該従業者が取り扱う個人データの範囲を明確化し、法や取扱規13程に違反している事実又は兆候を把握した場合の責任者への報告連絡体制を整備事例 2）個人データの取扱状況について、定期的に自己点検を実施するとともに、他部
署や外部の者による監査を実施（人的安全管理措置）
事例 1）個人データの取扱いに関する留意事項について、従業者に定期的な研修を実施
事例 2）個人データについての秘密保持に関する事項を就業規則に記載（物理的安全管理措置）
事例 1）個人データを取り扱う区域において、従業者の入退室管理及び持ち込む機器等の制限を行うとともに、権限を有しない者による個人データの閲覧を防止する措置を実施
事例 2）個人データを取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するための措置を講じるとともに、事業所内の移動を含め、当該機器、電子媒体等を持ち運ぶ場合、容易に個人データが判明しないよう措置を実施（技術的安全管理措置）
事例 1）アクセス制御を実施して、担当者及び取り扱う個人情報データベース等の範囲を限定
事例 2）個人データを取り扱う情報システムを外部からの不正アクセス又は不正ソフト
ウェアから保護する仕組みを導入（外的環境の把握）
事例）個人データを保管している A 国における個人情報の保護に関する制度を把握した上で安全管理措置を実施（※8）
【本人の知り得る状態に置くことにより支障を及ぼすおそれがあるものの事例】（※9）
事例 1）個人データが記録された機器等の廃棄方法、盗難防止のための管理方法
事例 2）個人データ管理区域の入退室管理方法
事例 3）アクセス制御の範囲、アクセス者の認証手法等
事例 4）不正アクセス防止措置の内容等【中小規模事業者（※10）における安全管理のために講じた措置として本人の知り得る状
態に置く内容の事例】
（※11）

14

（基本方針の策定）
事例）個人データの適正な取扱いの確保のため、「関係法令・ガイドライン等の遵守」、「質問及び苦情処理の窓口」等についての基本方針を策定（【安全管理のために講じた措置として本人の知り得る状態に置く内容の事例】と同様）（個人データの取扱いに係る規律の整備）
事例）個人データの取得、利用、保存等を行う場合の基本的な取扱方法を整備（組織的安全管理措置）
事例 1）整備した取扱方法に従って個人データが取り扱われていることを責任者が確認
事例 2）従業者から責任者に対する報告連絡体制を整備（人的安全管理措置）
事例 1）個人データの取扱いに関する留意事項について、従業者に定期的な研修を実施（【安全管理のために講じた措置として本人の知り得る状態に置く内容の事例】と同様）事例 2）個人データについての秘密保持に関する事項を就業規則に記載（【安全管理のために講じた措置として本人の知り得る状態に置く内容の事例】と同様）（物理的安全管理措置）
事例 1）個人データを取り扱うことのできる従業者及び本人以外が容易に個人データを閲覧できないような措置を実施
事例 2）個人データを取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するための措置を講じるとともに、事業所内の移動を含め、当該機器、電子媒体等を持ち運ぶ場合、容易に個人データが判明しないよう措置を実施（【安全管理のために講じた措置として本人の知り得る状態に置く内容の事例】と同様）（技術的安全管理措置）
事例 1）個人データを取り扱うことのできる機器及び当該機器を取り扱う従業者を明確化し、個人データへの不要なアクセスを防止
事例 2）個人データを取り扱う機器を外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入（外的環境の把握）
事例）個人データを保管している A 国における個人情報の保護に関する制度を把握し15た上で安全管理措置を実施（【安全管理のために講じた措置として本人の知り得る状態に置く内容の事例】と同様）⑤保有個人データの取扱いに関する苦情の申出先（例）苦情を受け付ける担当窓口名・係名、郵送用住所、受付電話番号その他の苦情申出先（個人情報取扱事業者が認定個人情報保護団体の対象事業者である場合は、その団体の名称及び苦情解決の申出先を含む。）(※1）
「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」とは、
ホームページへの掲載、パンフレットの配布、本人の求めに応じて遅滞なく回答を行うこと等、本人が知ろうとすれば、知ることができる状態に置くことをいい、常にその時点での正確な内容を本人の知り得る状態に置かなければならない。必ずしもホームページへの掲載、又は事務所等の窓口等へ掲示すること等が継続的に行われることまでを必要とするものではないが、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。
なお、普段から問合せ対応が多い事業者等において、ホームページへ継続的に掲載する
方法は、「本人が容易に知り得る状態」（3-6-2（オプトアウトによる第三者提供）参照）
及び「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」の両者の趣旨に合致する方法である。
【本人の知り得る状態に該当する事例】
事例 1）問合せ窓口を設け、問合せがあれば、口頭又は文書で回答できるよう体制を構築しておく場合
事例 2）店舗にパンフレットを備え置く場合
事例 3）電子商取引において、商品を紹介するホームページに問合せ先のメールアドレ
スを表示する場合(※2）個人情報取扱事業者が外国に所在する場合は、当該外国（本邦の域外にある国又は地域）の名称を含む。
(※3)利用目的に第三者提供が含まれる場合は、その旨も明らかにしなければならない。
(※4)「一定の場合」とは、法第 21 条第 4 項第 1 号から第 3 号までに掲げる次の場合をいう（3-3-5（利用目的の通知等をしなくてよい場合）参照）。
ア）利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

16イ）利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は利益が侵害されるおそれがある場合
ウ）国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要があ
る場合であり、協力する民間企業等が国の機関等から受け取った個人情報の利用
目的を本人に通知し、又は公表することにより、当該事務の遂行に支障を及ぼすおそれがある場合(※5)「開示等の請求」とは、保有個人データの開示（3-8-2（保有個人データの開示）参照）、保有個人データの内容の訂正、追加若しくは削除（3-8-4（保有個人データの訂正等）参照）、保有個人データの利用の停止若しくは消去又は保有個人データの第三者への提供の停止（3-8-5（保有個人データの利用停止等）参照）、第三者提供記録の開示（38-3（第三者提供記録の開示））の請求をいう。
(※6)手数料の額を定める場合は、実費を勘案して合理的であると認められる範囲内において、定めなければならない（3-8-8（手数料）参照）。
(※7)法第 32 条第 1 項第 4 号及び政令第 10 条第 1 号の規定により本人の知り得る状態に置く必要があるのは保有個人データの安全管理のために講じた措置であるが、これに代えて、個人データの安全管理のために講じた措置について本人の知り得る状態に置くことは妨げられない。なお、本ガイドラインでは、個人データの安全管理のために講じた措置についての事例を記載している。
安全管理措置の事例について、詳細は「10（別添）講ずべき安全管理措置の内容」を参照のこと。ただし、上記事例も含め、掲げられている事例の内容の全てを本人の知り得る状態に置かなければならないわけではなく、また、本人の知り得る状態に置かなければならないものは事例の内容に限られない。本人の適切な理解と関与を促す観点から、事業の規模及び性質、保有個人データの取扱状況等に応じて、上記事例以上に詳細な内容の掲載や回答とすることは、より望ましい対応である。
(※8)外国（本邦の域外にある国又は地域）の名称については、必ずしも正式名称を求めるものではないが、本人が合理的に認識できると考えられる形で情報提供を行う必要がある。また、本人の適切な理解と関与を促す観点から、保有個人データを取り扱っている外国の制度についても、本人の知り得る状態に置くといった対応が望ましい。
(※9)例えば、【安全管理のために講じた措置として本人の知り得る状態に置く内容の事例】にあるような、「盗難又は紛失等を防止するための措置を講じる」、「外部からの不正ア
クセス又は不正ソフトウェアから保護する仕組みを導入」といった内容のみでは、本人

17

の知り得る状態に置くことにより保有個人データの安全管理に支障を及ぼすおそれがあるとはいえないが、その具体的な方法や内容については、本人の知り得る状態に置くことにより保有個人データの安全管理に支障を及ぼすおそれがあると考えられる。しかしながら、何をもって安全管理に支障を及ぼすおそれがあるかについては、取り扱われる個人情報の内容、個人情報の取扱いの態様等によって様々であり、事業の規模及び性質、保有個人データの取扱状況等に応じて判断される。
(※10)「中小規模事業者」については、「10（別添）講ずべき安全管理措置の内容」を参照のこと。
(※11)中小規模事業者における安全管理措置の事例についても、詳細は「10（別添）講ずべき安全管理措置の内容」を参照のこと。その他の個人情報取扱事業者と同様に、上記事例も含め、掲げられている事例の内容の全てを本人の知り得る状態に置かなければならないわけではなく、また、本人の知り得る状態に置かなければならないものは事例の内容に限られない。また、中小規模事業者が、その他の個人情報取扱事業者と同様に「10（別添）講ずべき安全管理措置の内容」に掲げる「手法の例示」に記述した手法を採用し、当該手法の内容を本人の知り得る状態に置くことは、より望ましい対応である。
3-6-2-1 オプトアウトに関する原則（法第 27 条第 2 項関係）

法第 27 条（第 2 項）
2

個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。ただし、第三者に提供される個人データが要配慮個人情報又は第 20 条第 1 項の規定に違反して取得されたもの若しくは他の個人情報取扱事業者
からこの項本文の規定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む。
）である場合は、この限りでない。
(1) 第三者への提供を行う個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。以下この条、第 30 条第 1 項第 1 号及び第 32
条第 1 項第 1 号において同じ。
）の氏名(2) 第三者への提供を利用目的とすること。
(3) 第三者に提供される個人データの項目

18

(4) 第三者に提供される個人データの取得の方法(5) 第三者への提供の方法(6) 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
(7) 本人の求めを受け付ける方法(8) その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則で定める事項
規則第 11 条
1

法第 27 条第 2 項又は第 3 項の規定による通知又は容易に知り得る状態に置く措置
は、次に掲げるところにより、行うものとする。
(1) 第三者に提供される個人データによって識別される本人（次号において「本人」という。
）が当該提供の停止を求めるのに必要な期間をおくこと。
(2) 本人が法第 27 条第 2 項各号に掲げる事項を確実に認識できる適切かつ合理的な方法によること。

2

法第 27 条第 2 項又は第 3 項の規定による届出は、次に掲げる方法のいずれかにより行
わなければならない。
(1) 電子情報処理組織（個人情報保護委員会の使用に係る電子計算機と届出を行う者の使用に係る電子計算機とを電気通信回線で接続した電子情報処理組織をいう。
）を使用する方法(2) 別記様式第 2（法第 27 条第 3 項の規定による個人データの提供をやめた旨の届出を行う場合にあっては、別記様式第 3）による届出書及び当該届出書に記載すべき事項を記録した光ディスク（これに準ずる方法により一定の事項を確実に記録しておくことができる物を含む。以下「光ディスク等」という。）を提出する方法
3

個人情報取扱事業者が、代理人によって法第 27 条第 2 項又は第 3 項の規定による届出を行う場合には、別記様式第 4 によるその権限を証する書面（電磁的記録を含む。
第 17 条第 1 項、第 18 条第 2 項、第 30 条、第 47 条第 1 項、第 48 条第 2 項、第 54条第 2 項、第 6 項及び第 7 項、第 60 条並びに第 66 条第 2 項を除き、以下同じ。
）を個
人情報保護委員会に提出しなければならない。

4

法第 27 条第 2 項第 8 号の個人情報保護委員会規則で定める事項は、次に掲げる事項とする。
(1) 第三者に提供される個人データの更新の方法(2) 当該届出に係る個人データの第三者への提供を開始する予定日

規則第 12 条
外国にある個人情報取扱事業者は、法第 27 条第 2 項又は第 3 項の規定による届出を行う

19

場合には、国内に住所を有する者であって、当該届出に関する一切の行為につき、当該個人情報取扱事業者を代理する権限を有するものを定めなければならない。この場合において、当該個人情報取扱事業者は、当該届出と同時に、当該個人情報取扱事業者が国内に住所を有する者に、当該届出に関する一切の行為につき、当該個人情報取扱事業者を代理する権限を付与したことを証する書面（日本語による翻訳文を含む。）を個人情報保護委員会に提出しなければならない。
規則第 14 条
個人情報取扱事業者は、法第 27 条第 4 項の規定による公表がされた後、速やかに、インターネットの利用その他の適切な方法により、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項を公表するものとする。
(1) 法第 27 条第 2 項の規定による届出を行った場合 同項各号に掲げる事項(2) 法第 27 条第 3 項の規定による変更の届出を行った場合 変更後の同条第 2 項各号に掲げる事項(3) 法第 27 条第 3 項の規定による個人データの提供をやめた旨の届出を行った場合その旨

個人情報取扱事業者は、個人データの第三者への提供に当たり、次の（1）から（9）までに掲げる事項をあらかじめ（※1）本人に通知し、又は本人が容易に知り得る状態（※2）に置くとともに、個人情報保護委員会に届け出た場合には（※3）、法第 27 条第 1 項の規定にかかわらず、あらかじめ本人の同意（※4）を得ることなく、個人データを第三者に提供することができる（※5）（オプトアウトによる第三者提供）。
なお、法第 27 条第 2 項の規定により個人データを第三者に提供しようとする別表第二法人等（3-1-3（利用目的による制限）参照）は、令和 3 年改正法の施行日前においても、令和 3 年改正法規則附則第 3 条で準用する規則第 11 条及び第 12 条の規定により、同項各号に掲げる事項に相当する事項について、本人に通知するとともに、個人情報保護委員会に届け出ることができる。この場合において、当該通知及び届出は、令和 3 年改正法の施行日以後は、同項の規定による通知及び届出とみなす（令和 3 年改正法附則第 7 条第 3 項）。
また、個人情報取扱事業者は、法第 27 条第 2 項に基づき、必要な事項を個人情報保護委
員会に届け出たときは、その内容を自らもインターネットの利用その他の適切な方法により公表（※6）するものとする。
なお、要配慮個人情報をオプトアウトにより第三者に提供することや、オプトアウトにより提供を受けた個人データをオプトアウトにより再提供することはできず、第三者に提供するに当たっては、法第 27 条第 1 項各号又は同条第 5 項各号に該当する場合以外は、必ずあらかじめ本人の同意を得る必要があるので、注意を要する。また、不正取得された個人データについても、オプトアウトにより第三者に提供することはできない（※7）
。

20

(1) 個人情報取扱事業者の氏名又は名称及び住所並びに法人等の代表者の氏名(2) 第三者への提供を利用目的とすること。
利用目的が具体的に分かる内容とすること。
「等」や「その他」等のあいまいな表現の記入は望ましくない。
事例 1）住宅地図帳、住宅地図データベース及び住宅地図関連商品（配信サービスを含む）を制作し、販売することで、個人データを第三者に提供すること。
事例 2）年齢別、資産家、健康食品購入者、同窓会、弁護士、不動産投資者及びマンションオーナーの名簿を制作し、販売することで、個人データを第三者に提供すること。
(3) 第三者に提供される個人データの項目
オプトアウトにより第三者に提供される個人データの項目を網羅的に示す必要がある。提示されていない個人データの項目を、オプトアウトにより第三者に提供することはできないことに、注意を要する。
事例 1）氏名、住所、電話番号、年齢
事例 2）氏名、商品購入履歴(4) 第三者に提供される個人データの取得の方法
オプトアウトにより第三者に提供される個人データについて、取得元（取得源）と取得の方法を示す必要がある。
事例 1）新聞・雑誌・書籍・ウェブサイトの閲覧による取得
事例 2）官公庁による公開情報からの取得(5) 第三者への提供の方法
事例 1）書籍（電子書籍を含む。）として出版
事例 2）インターネットに掲載
事例 3）プリントアウトして交付
事例 4）各種通信手段による配信
事例 5）その他外部記録媒体の形式での交付(6) 本人の求めに応じて第三者への提供を停止すること。
(7) 本人の求めを受け付ける方法（※8）
事例 1）郵送
事例 2）メール送信
事例 3）ホームページ上の指定フォームへの入力
事例 4）事業所の窓口での受付
事例 5）電話(8) 第三者に提供される個人データの更新の方法
第三者に提供される個人データをどのように更新しているかを記入する。

21

(9) 当該届出に係る個人データの第三者への提供を開始する予定日
新規の届出の場合には、オプトアウトによる第三者提供を開始する予定日を記入する。変更届の場合には、変更届に基づいて第三者提供を開始する予定日を記入する。
【オプトアウトによる第三者提供の事例】
事例） 住宅地図業者（表札や郵便受けを調べて住宅地図を作成・販売）やデータベース
事業者（ダイレクトメール用の名簿等を作成・販売）が、あらかじめ上記（1）から（9）までに掲げる事項を自社のホームページに常時掲載し、本人からの停止の求めを受け付けられる状態にし、個人情報保護委員会に必要な届出を行った上で、販売等を行う場合（※1）オプトアウトによる第三者提供を行う際は、上記の（1）から（9）までに掲げる事項をあらかじめ、第三者に提供される個人データによって識別される本人が当該提供の停止を求めるのに必要な期間をおかなければならない（規則第 11 条第 1
項第 1 号）ため、本人に通知し又は本人が容易に知り得る状態に置いた時点から、
極めて短期間の後に、第三者提供を行ったような場合は、「本人が当該提供の停止を求めるのに必要な期間」をおいていないと判断され得る。
具体的な期間については、業種、ビジネスの態様、通知又は容易に知り得る状態の態様、本人と個人情報取扱事業者との近接性、本人から停止の求めを受け付ける体
制、提供される個人データの性質などによっても異なり得るため、個別具体的に判断する必要がある。
また、「本人に通知し、又は本人が容易に知り得る状態に置く」時期と、「個人情報保護委員会に届け出」る時期は、必ずしも同時である必要はないが、本人に通知し、又は本人が容易に知り得る状態に置いた後、速やかに個人情報保護委員会に届け出ることが望ましい。
（※2）
「本人に通知」については、2-14（本人に通知）を参照のこと。
「本人が容易に知り得る状態」とは、事業所の窓口等への書面の掲示・備付けやホームページへの掲載その他の継続的方法により、本人が知ろうとすれば、時間的にも、その手段においても、簡単に知ることができる状態をいい、事業の性質及び個
人情報の取扱状況に応じ、本人が確実に認識できる適切かつ合理的な方法によらなければならない（規則第 11 条第 1 項第 2 号）。
【本人が容易に知り得る状態に該当する事例】
事例 1）本人が閲覧することが合理的に予測される個人情報取扱事業者のホームページにおいて、本人が分かりやすい場所（例：ホームページのトップページから 1 回程度の操作で到達できる場所等）に法に定められた事項を分かりやすく継続的に掲載
する場合

22

事例 2）本人が来訪することが合理的に予測される事務所の窓口等への掲示、備付け等が継続的に行われている場合
事例 3）本人に頒布されている定期刊行物への定期的掲載を行っている場合
事例 4）電子商取引において、商品を紹介するホームページにリンク先を継続的に表示する場合（※3）届出の方法は、電子情報処理組織を使用する方法等によって行わなければならない（規則第 11 条第 2 項）。なお、代理人によって届出を行う場合は、個人情報保護委員会が定める様式によるその権限を証する書面を提出しなければならな
い（規則第 11 条第 3 項）
。また、外国にある個人情報取扱事業者が、届出を行う
場合には、国内に住所を有する者に、当該届出に関する一切の行為につき当該個
人情報取扱事業者を代理する権限を有するものを定めなければならず、当該代理権を証する書面を個人情報保護委員会に提出しなければならない。
（※4）
「本人の同意」については、2-16（本人の同意）を参照のこと。
（※5）法第 17 条第 1 項の規定により特定された当初の利用目的に、個人情報の第三者提供に関する事項が含まれていない場合は、第三者提供を行うと目的外利用となるため、オプトアウトによる第三者提供を行うことはできない。
（※6）基本的には「インターネットの方法」による「公表」が望ましいが、個人情報取扱事業者の特性、本人との近接性などにより、当該方法以外の適切な方法による公表も可能である。
「公表」については 2-15（公表）を参照のこと。
（※7）オプトアウトにより提供を受けた個人データのオプトアウトによる再提供の禁止や、不正取得された個人データのオプトアウトによる提供の禁止については、
当該個人データの全部又は一部を複製・加工したものについても適用があるた
め、注意を要する。
（※8）
「本人の求めを受け付ける方法」には、本人が求めを行う連絡先（事業者名、窓口名、郵送先住所又は送信先メールアドレス等。当該個人情報取扱事業者が外国に本拠地を置く場合においては国内代理人の氏名、連絡先等。）が含まれる。
3-6-3 第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係）

法第 27 条（第 5 項）
5

次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。
(1) 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合(2) 合併その他の事由による事業の承継に伴って個人データが提供される場合(3) 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合

23

であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、
あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

次の（1）から（3）までの場合については、個人データの提供先は個人情報取扱事業者とは別の主体として形式的には第三者に該当するものの、本人との関係において提供主体である個人情報取扱事業者と一体のものとして取り扱うことに合理性があるため、第三者に該当しないものとする。
このような要件を満たす場合には、個人情報取扱事業者は、法第 27 条第 1 項から第 3項までの規定にかかわらず、あらかじめの本人の同意又は第三者提供におけるオプトア
ウトを行うことなく、個人データを提供することができる。
＜＜＜＜＜＜＜＜ 以下(1)、(2)省略 ＞＞＞＞＞＞＞＞(3) 共同利用（法第 27 条第 5 項第 3 号関係）
特定の者との間で共同して利用される個人データを当該特定の者に提供する場合（※1）であって、次の①から⑤までの情報（※2）を、提供に当たりあらかじめ本人に通知（※3）し、又は本人が容易に知り得る状態（※4）に置いているときには、当該提供先は、本人から見て、当該個人データを当初提供した事業者と一体のものとして取り扱われることに合理性があると考えられることから、第三者に該当しない（※5）
。
なお、法第 27 条第 5 項第 3 号の規定により本人に通知し、又は本人が容易に知り得る状態に置かなければならない事項に相当する事項について、令和 3 年改正法の施行日前に、別表第二法人等（3-1-3（利用目的による制限）参照）により本人に通知されているときは、当該通知は、令和 3 年改正法の施行日以後は、同号の規定による通知とみなす（令和 3 年改正法附則第 7 条第 4 項）。
また、既に特定の事業者が取得している個人データを他の事業者と共同して利用する場合には、当該共同利用は、社会通念上、共同して利用する者の範囲や利用目的等が当該個人データの本人が通常予期し得ると客観的に認められる範囲内である必要がある。その上で、当該個人データの内容や性質等に応じて共同利用の是非を判断し、既に取得している事業者が法第 17 条第 1 項の規定により特定した利用目的の範囲で共同して利用しなければならない。
①共同利用をする旨②共同して利用される個人データの項目
事例 1）氏名、住所、電話番号、年齢24

事例 2）氏名、商品購入履歴③共同して利用する者の範囲「共同利用の趣旨」は、本人から見て、当該個人データを提供する事業者と一体のものとして取り扱われることに合理性がある範囲で、当該個人データを共同して利用することである。
したがって、共同利用者の範囲については、本人がどの事業者まで将来利用されるか判断できる程度に明確にする必要がある。
なお、当該範囲が明確である限りにおいては、必ずしも事業者の名称等を個別に全て列挙する必要はないが、本人がどの事業者まで利用されるか判断できるようにしなければならない。
④利用する者の利用目的
共同して利用する個人データについて、その利用目的を全て、本人に通知し、又は本人が容易に知り得る状態に置いていなければならない。
なお、利用目的が個人データの項目によって異なる場合には、当該個人データの項
目ごとに利用目的を区別して記載することが望ましい。
⑤当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名「個人データの管理について責任を有する者」とは、開示等の請求及び苦情を受け付け、その処理に尽力するとともに、個人データの内容等について、開示、訂正、利用停止等の権限を有し、安全管理等個人データの管理について責任を有する者をいう。
なお、ここでいう「責任を有する者」とは、共同して利用する全ての事業者の中で、第一次的に苦情の受付・処理、開示・訂正等を行う権限を有する者をいい、共同利用者のうち一事業者の内部の担当責任者をいうものではない。
また、個人データの管理について責任を有する者は、利用目的の達成に必要な範囲内において、共同利用者間で利用している個人データを正確かつ最新の内容に保つよう努めなければならない（3-4-1（データ内容の正確性の確保等）参照）。
【共同利用に該当する事例】
事例 1）グループ企業で総合的なサービスを提供するために取得時の利用目的（法第17 条第 2 項の規定に従い変更された利用目的を含む。以下同じ。）の範囲内で情報を共同利用する場合
事例 2）親子兄弟会社の間で取得時の利用目的の範囲内で個人データを共同利用する場合
事例 3）使用者と労働組合又は労働者の過半数を代表する者との間で取得時の利用目的の範囲内で従業者の個人データを共同利用する場合

25

（※1）共同利用の対象となる個人データの提供については、必ずしも全ての共同利用
者が双方向で行う必要はなく、一部の共同利用者に対し、一方向で行うこともできる。
（※2）事業者が共同利用を実施する場合には、共同利用者における責任等を明確にし円滑に実施する観点から、上記①から⑤までの情報のほか、例えば、次の（ア）から（カ）までの事項についても、あらかじめ取り決めておくことが望ましい。
（ア）共同利用者の要件（グループ会社であること、特定のキャンペーン事業の一員でいること等、共同利用による事業遂行上の一定の枠組み）（イ）各共同利用者の個人情報取扱責任者、問合せ担当者及び連絡先（ウ）共同利用する個人データの取扱いに関する事項
・個人データの漏えい等防止に関する事項
・目的外の加工、利用、複写、複製等の禁止
・共同利用終了後のデータの返還、消去、廃棄に関する事項（エ）共同利用する個人データの取扱いに関する取決めが遵守されなかった場合の措置（オ）共同利用する個人データに関する事件・事故が発生した場合の報告・連絡に関する事項（カ）共同利用を終了する際の手続（※3）
「本人に通知」については、2-14（本人に通知）を参照のこと。
（※4）
「本人が容易に知り得る状態」については、3-6-2（オプトアウトによる第三者
提供）を参照のこと。
（※5）共同利用か委託かは、個人データの取扱いの形態によって判断されるものであって、共同利用者の範囲に委託先事業者が含まれる場合であっても、委託先との関係は、共同利用となるわけではなく、委託元は委託先の監督義務を免れるわけではない。

外国にある第三者への提供編★MCF 注釈 ： 個人データの第三者提供は原則として本人の同意が必要であるが、外国にある第三者への提供の場合には、① 個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるもの② 個人データの取扱いについて個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者 ③ ①

26

②以外のそれぞれにおいて本人に提供すべき情報は異なる。それぞれにおいて提供すべき情報は以下である。
①第三者提供先が個人情報保護委員会規則第 15 条で定められているものであること。
②第三者提供先が個人情報保護委員会規則第 16 条で定める基準に適合する体制を整備していること。
③個人情報保護委員会規則第 17 条による。
（当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報。
）

法第 28 条1

個人情報取扱事業者は、外国（本邦の域外にある国又は地域をいう。以下この条及び第 31 条第 1 項第 2 号において同じ。）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものを除く。以下この条及び同号において同じ。）にある第三者（個人データの取扱いについてこの節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置（第 3 項において「相当措置」という。
）を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この項及び次項並びに同号において同じ。）に
個人データを提供する場合には、前条第 1 項各号に掲げる場合を除くほか、あらかじ
め外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は、適用しない。

2

個人情報取扱事業者は、前項の規定により本人の同意を得ようとする場合には、個
人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。

3

個人情報取扱事業者は、個人データを外国にある第三者（第 1 項に規定する体制を整備している者に限る。
）に提供した場合には、個人情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。

規則第 15 条
1

法第 28 条第 1 項の規定による個人情報の保護に関する制度を有している外国として
個人情報保護委員会規則で定めるものは、次の各号のいずれにも該当する外国として
個人情報保護委員会が定めるものとする。

27

(1) 法における個人情報取扱事業者に関する規定に相当する法令その他の定めがあり、その履行が当該外国内において確保されていると認めるに足りる状況にあること(2) 個人情報保護委員会に相当する独立した外国執行当局が存在しており、かつ、当該外国執行当局において必要かつ適切な監督を行うための体制が確保されていること(3) 我が国との間において、個人情報の適正かつ効果的な活用と個人の権利利益の保護に関する相互理解に基づく連携及び協力が可能であると認められるものであること(4) 個人情報の保護のために必要な範囲を超えて国際的な個人データの移転を制限す
ることなく、かつ、我が国との間において、個人情報の保護を図りつつ、相互に円
滑な個人データの移転を図ることが可能であると認められるものであること(5) 前四号に定めるもののほか、当該外国を法第 28 条第 1 項の規定による外国として定めることが、我が国における新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資すると認められるものであること
2

個人情報保護委員会は、前項の規定による外国を定める場合において、我が国における個人の権利利益を保護するために必要があると認めるときは、当該外国にある第三者への提供を認める旨の本人の同意を得ることなく提供できる個人データの範囲を制限することその他の必要な条件を付することができる。

3

個人情報保護委員会は、第１項の規定による外国を定めた場合において、当該外国が第１項各号に該当していること又は当該外国について前項の規定により付された条件が満たされていることを確認するため必要があると認めるときは、当該外国における個人情報の保護に関する制度又は当該条件に係る対応の状況に関し必要な調査を行う
ものとする。

4

個人情報保護委員会は、第１項の規定による外国を定めた場合において、前項の調査の結果その他の状況を踏まえ、当該外国が第１項各号に該当しなくなったと認めるとき又は当該外国について第２項の規定により付された条件が満たされなくなったと認めるときは、第１項の規定による定めを取り消すものとする。

規則第 16 条
法第 28 条第 1 項の個人情報保護委員会規則で定める基準は、次の各号のいずれかに該当することとする。
(1) 個人情報取扱事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第 4 章第 2節の規定の趣旨に沿った措置の実施が確保されていること。
(2) 個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。
規則第 17 条28

1

法第 28 条第 2 項又は法第 31 条第 1 項第 2 号の規定により情報を提供する方法は、
電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。

2

法第 28 条第 2 項又は法第 31 条第 1 項第 2 号の規定による情報の提供は、次に掲げる事項について行うものとする。
(1) 当該外国の名称(2) 適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報(3) 当該第三者が講ずる個人情報の保護のための措置に関する情報

3

前項の規定にかかわらず、個人情報取扱事業者は、法第 28 条第 1 項の規定により本人の同意を得ようとする時点において、前項第 1 号に定める事項が特定できない場合には、同号及び同項第 2 号に定める事項に代えて、次に掲げる事項について情報提供しなければならない。
(1) 前項第 1 号に定める事項が特定できない旨及びその理由(2) 前項第 1 号に定める事項に代わる本人に参考となるべき情報がある場合には、当該
情報

4

第 2 項の規定にかかわらず、個人情報取扱事業者は、法第 28 条第 1 項の規定により本人の同意を得ようとする時点において、第 2 項第 3 号に定める事項について情報提供できない場合には、同号に定める事項に代えて、その旨及びその理由について情報提供しなければならない。

規則第 18 条
1

法第 28 条第 3 項（法第 31 条第 2 項において読み替えて準用する場合を含む。
）の規定による外国にある第三者による相当措置の継続的な実施を確保するために必要な措置は、次に掲げる措置とする。
(1) 当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼす
おそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること。
(2) 当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データ（法第 31 条第 2 項において読み替えて準用する場合にあっては、個人関連情報）の当該第三者への提供を停止すること。

2

法第 28 条第 3 項の規定により情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。

3

個人情報取扱事業者は、法第 28 条第 3 項の規定による求めを受けたときは、本人に対し、遅滞なく、次に掲げる事項について情報提供しなければならない。ただし、情報提供することにより当該個人情報取扱事業者の業務の適正な実施に著しい支障を及29

ぼすおそれがある場合は、その全部又は一部を提供しないことができる。
(1) 当該第三者による法第 28 条第 1 項に規定する体制の整備の方法(2) 当該第三者が実施する相当措置の概要(3) 第 1 項第 1 号の規定による確認の頻度及び方法(4) 当該外国の名称(5) 当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要(6) 当該第三者による相当措置の実施に関する支障の有無及びその概要(7) 前号の支障に関して第 1 項第 2 号の規定により当該個人情報取扱事業者が講ずる措置の概要
3

個人情報取扱事業者は、法第 28 条第 3 項の規定による求めに係る情報の全部又は一部について提供しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

4

個人情報取扱事業者は、前項の規定により、本人から求められた情報の全部又は一部について提供しない旨を通知する場合には、本人に対し、その理由を説明するよう努
めなければならない。

4-2-13 保有個人データに関する事項の公表等（法第 32 条の趣旨に沿った措置）【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客データの入力業務を委託する場合
提供する個人データが外国にある事業者にとって「保有個人データ」（※）に該当する場合には、委託契約により、日本にある個人情報取扱事業者が保有個人データに関する事項の公表等に係る義務を履行することについて明確にする。
なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。
【事例 2】日本にある個人情報取扱事業者が、外国にある親会社に従業員情報を提供する
場合
内規等により、日本にある個人情報取扱事業者が保有個人データに関する事項の公表等に係る義務を履行することについて明確にする。
（※）
「保有個人データ」とは、外国にある第三者等が、本人又はその代理人から請求される開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止の全て（以下「開示等」という。
）に応じることができる権限を有する「個人データ」をいう。

30ただし、個人データのうち、次に掲げるものは、「保有個人データ」ではない。
（1）当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの。
事例）家庭内暴力、児童虐待の被害者の支援団体が保有している、加害者（配偶者又は親権者）及び被害者（配偶者又は子）を本人とする個人データ（2）当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの。
事例 1）暴力団等の反社会的勢力による不当要求の被害等を防止するために事業者が保有している、当該反社会的勢力に該当する人物を本人とする個人データ
事例 2）不審者や悪質なクレーマー等による不当要求の被害等を防止するために事業者が保有している、当該行為を行った者を本人とする個人データ（3）当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの。
事例 1）製造業者、情報サービス事業者等が保有している、防衛に関連する兵器・設備・機器・ソフトウェア等の設計又は開発の担当者名が記録された、当該担当者を本人とする個人データ
事例 2）要人の訪問先やその警備会社が保有している、当該要人を本人とする行動予定
等の個人データ（4）当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの。
事例 1）警察から捜査関係事項照会等がなされることにより初めて取得した個人データ
事例 2）警察から契約者情報等について捜査関係事項照会等を受けた事業者が、その対応の過程で作成した照会受理簿・回答発信簿、照会対象者リスト等の個人データ（※なお、当該契約者情報自体は「保有個人データ」に該当する。）
事例 3）犯罪による収益の移転防止に関する法律（平成 19 年法律第 22 号）第 8 条第 1項に基づく疑わしい取引の届出の有無及び届出に際して新たに作成した個人データ
事例 4）振り込め詐欺に利用された口座に関する情報に含まれる個人データ提供する個人データが外国にある第三者にとって「保有個人データ」に該当する場合、外国にある第三者等がとるべき措置の詳細については、通則ガイドライン「3-8-1（保有個人
データに関する事項の公表等）」を参照のこと。

31

５同意取得時の情報提供

法第 28 条（第 2 項）
2

個人情報取扱事業者は、前項の規定により本人の同意を得ようとする場合には、個人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本
人に参考となるべき情報を当該本人に提供しなければならない。

規則第 17 条
1

法第 28 条第 2 項又は法第 31 条第 1 項第 2 号の規定により情報を提供する方法は、
電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。

2

法第 28 条第 2 項又は法第 31 条第 1 項第 2 号の規定による情報の提供は、次に掲げる事項について行うものとする。
(1) 当該外国の名称(2) 適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報(3) 当該第三者が講ずる個人情報の保護のための措置に関する情報

3

前項の規定にかかわらず、個人情報取扱事業者は、法第 28 条第 1 項の規定により本人の同意を得ようとする時点において、前項第 1 号に定める事項が特定できない場合には、同号及び同項第 2 号に定める事項に代えて、次に掲げる事項について情報提供しなければならない。
(1) 前項第 1 号に定める事項が特定できない旨及びその理由(2) 前項第 1 号に定める事項に代わる本人に参考となるべき情報がある場合には、当該情報

4第 2 項の規定にかかわらず、個人情報取扱事業者は、法第 28 条第 1 項の規定により本人の同意を得ようとする時点において、第 2 項第 3 号に定める事項について情報提供できない場合には、同号に定める事項に代えて、その旨及びその理由について情報提供しなければならない。

個人情報取扱事業者は、法第 28 条第 1 項の規定により外国にある第三者への個人データの提供を認める旨の本人の同意を取得しようとする場合には、規則第 17 条第 2 項から第 4項までの規定により求められる情報を本人に提供しなければならない（法第 28 条第 2 項）
（※1）
（※2）
。
個人データの越境移転に当たっては、提供元の個人情報取扱事業者において、提供先の第三者が所在する外国に個人データを移転することについてのリスクを評価し、個人データの移転の必要性について吟味した上で、本人に対しても、分かりやすい情報提供を行うこと

32

が重要である。
（※1）同意取得時の情報提供に関する法第 24 条第 2 項（現行法第 28 条第 2 項）の規定
は、個人情報取扱事業者が令和 2 年改正法の施行日以後に法第 24 条第 1 項（現行法第 28 条第 1 項）の規定により本人の同意を得る場合について適用される（令和 2 年
改正法附則第 4 条第 1 項）。
（※2）同意取得時の情報提供に関する法第 28 条第 2 項の規定は、別表第二法人等（2-1（外国にある第三者への個人データの提供を認める旨の本人の同意）参照）が令和 3 年
改正法の施行日以後に法第 28 条第 1 項の規定により本人の同意を得る場合について適用される（令和 3 年改正法附則第 7 条第 6 項）。
5-1 情報提供の方法（規則第 17 条第 1 項関係）

規則第 17 条（第 1 項）
1

法第 28 条第 2 項又は法第 31 条第 1 項第 2 号の規定により情報を提供する方法は、
電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。

本人に対する情報提供は、規則第 17 条第 2 項から第 4 項までの規定により求められる情報を本人が確実に認識できると考えられる適切な方法で行わなければならない。なお、提供する情報は本人にとって分かりやすいものであることが重要である。
【適切な方法に該当する事例】
事例 1）必要な情報を電子メールにより本人に送付する方法
事例 2）必要な情報を記載した書面を本人に直接交付する方法
事例 3）必要な情報を本人に口頭で説明する方法
事例 4）必要な情報をホームページに掲載し、本人に閲覧させる方法
5-2 提供すべき情報（規則第 17 条第 2 項関係）
規則第 17 条（第 2 項）
法第 28 条第 2 項又は法第 31 条第 1 項第 2 号の規定による情報の提供は、次に掲げる事項について行うものとする。
(1) 当該外国の名称(2) 適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報(3) 当該第三者が講ずる個人情報の保護のための措置に関する情報33

法第 28 条第 1 項の規定により外国にある第三者への個人データの提供を認める旨の本人の同意を取得しようとする場合には、本人に対し、次の(1)から(3)までの情報を提供しなけ
ればならない。
(1) 「当該外国の名称」（規則第 17 条第 2 項第 1 号関係）
提供先の第三者が所在する外国（※1）の名称をいう（※2）。必ずしも正式名称を求めるものではないが、本人が自己の個人データの移転先を合理的に認識できると考えられる名称でなければならない。
外国にある第三者への個人データの提供を認める旨の本人の同意を取得する際に、提供先の第三者が所在する外国を特定できない場合の取扱いについては、5-3-1（提供先の第三者が所在する外国が特定できない場合）を参照のこと。
（※1）
「外国」とは、本邦の域外にある国又は地域をいい、我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として規則で定めるものを除く（法第 28 条第 1 項）。
（※2）ここでいう「外国の名称」の情報提供においては、提供先の第三者が所在する
外国の名称が示されていれば足り、それに加えて、当該第三者が所在する州等の名称を示すことまでは求められない。もっとも、個人データの越境移転に伴うリスクについて、本人の予測可能性を高めるという制度趣旨を踏まえると、例えば、州法が主要な規律となっている等、州法に関する情報提供が本人の予測可能性の向上に資する場合には、本人に対して、提供先の外国にある第三者が所在する州を示した上で、州単位での制度についても情報提供を行うことが望ましい。
(2)「適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報」（規則第 17 条第 2 項第 2 号関係）①「適切かつ合理的な方法」「当該外国における個人情報の保護に関する制度に関する情報」は、一般的な注
意力をもって適切かつ合理的な方法により確認したものでなければならない。
【適切かつ合理的な方法に該当する事例】
事例 1）提供先の外国にある第三者に対して照会する方法
事例 2）我が国又は外国の行政機関等が公表している情報を確認する方法②「当該外国における個人情報の保護に関する制度に関する情報」
個人データの越境移転に伴うリスクについて、本人の予測可能性を高めるという

34

制度趣旨に鑑み、「当該外国における個人情報の保護に関する制度に関する情報」は、提供先の第三者が所在する外国における個人情報の保護に関する制度と我が国の法（個人情報の保護に関する法律）との間の本質的な差異を本人が合理的に認識できる情報でなければならず、具体的には、次の（ア）から（エ）までの観点を踏まえる必要がある。
なお、ここでいう「当該外国における個人情報の保護に関する制度」は、当該外国における制度のうち、提供先の外国にある第三者に適用される制度に限られ、当該第三者に適用されない制度は含まれない。
（ア）当該外国における個人情報の保護に関する制度の有無
提供先の第三者が所在する外国における制度に、当該第三者に適用される個人情報の保護に関する制度が存在しない場合、そのこと自体が個人データの越境移転に伴うリスクの存在を示すものであることから、個人情報の保護に関する制度が存在しない旨を本人に対して情報提供しなければならない（※1）
。
（イ）当該外国の個人情報の保護に関する制度についての指標となり得る情報の存在
提供先の第三者が所在する外国の個人情報の保護に関する制度について、個人情報の保護の水準等に関する客観的な指標となり得る情報が存在する場合、当該指標となる情報が提供されることにより、個人データの越境移転に伴うリスクについての本人の予測可能性は一定程度担保されると考えられる。したがって、この場合には、当該指標となり得る情報を提供すれば足り、次の（ウ）に係る情報の提供は求められない。
なお、当該指標となり得る情報の提供を行う場合、当該指標となり得る情報が個
人データの越境移転に伴うリスクとの関係でどのような意味を持つかについても、本人に対して情報提供を行うことが望ましい。
【当該外国の個人情報の保護に関する制度についての指標となり得る情報に該当する事例】
事例 1）当該第三者が所在する外国が GDPR 第 45 条に基づく十分性認定の取得国であること
事例 2 当該第三者が所在する外国が APEC の CBPR システムの加盟国であること（ウ）OECD プライバシーガイドライン 8 原則に対応する事業者の義務又は本人の権利の不存在
提供先の第三者が所在する外国の個人情報の保護に関する制度に、OECD プラ
イバシーガイドライン 8 原則（※2）に対応する事業者の義務又は本人の権利が存35

在しない場合には、当該事業者の義務又は本人の権利の不存在は、我が国の法（個人情報の保護に関する法律）との本質的な差異を示すものであることから、その内容について本人に情報提供しなければならない。
なお、提供先の第三者が所在する外国の個人情報の保護に関する制度に、OECD
プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利が全て含まれる場合には、その旨を本人に情報提供すれば足りる。
【OECD プライバシーガイドライン 8 原則に対応する事業者の義務又は本人の権利の不存在に該当する事例】
事例 1）個人情報について原則としてあらかじめ特定した利用目的の範囲内で利用しなければならない旨の制限の不存在
事例 2）事業者が保有する個人情報の開示の請求に関する本人の権利の不存在（エ）その他本人の権利利益に重大な影響を及ぼす可能性のある制度の存在
提供先の第三者が所在する外国において、我が国の制度と比較して、当該外国への個人データの越境移転に伴い当該個人データに係る本人の権利利益に重大な影響を及ぼす可能性のある制度が存在する場合には、当該制度の存在について本人に情報提供しなければならない。
【本人の権利利益に重大な影響を及ぼす可能性のある制度に該当する事例】
事例 1）事業者に対し政府の情報収集活動への広範な協力義務を課すことにより、事業者が保有する個人情報について政府による広範な情報収集が可能となる制度
事例 2）事業者が本人からの消去等の請求に対応できないおそれがある個人情報の国内保存義務に係る制度（※1）提供先の第三者が所在する外国において、個人情報の保護に関する制度が存在する場合には、当該制度に係る法令の個別の名称を本人に情報提供することは求められないが、本人の求めがあった場合に情報提供できるようにしておくことが望ましい。
（※2）OECD プライバシーガイドラインは、①収集制限の原則（Collection
Limitation Principle）、②データ内容の原則（Data Quality Principle）、③目的
明確化の原則（Purpose Specification Principle）、④利用制限の原則（UseLimitation Principle）、⑤安全保護措置の原則（Security Safeguards Principle）、⑥ 公 開 の 原 則 （ Openness Principle ）、 ⑦ 個 人 参 加 の 原 則 （ Individual
Participation Principle）、⑧責任の原則（Accountability Principle）の 8 原則

36

を、基本原則として定めている。
(3) 「当該第三者が講ずる個人情報の保護のための措置に関する情報」（規則第 17 条第 2 項第 3 号関係）個人データの越境移転に伴うリスクについて、本人の予測可能性を高めるという制度趣旨に鑑み、「当該第三者が講ずる個人情報の保護のための措置に関する情報」は、当該外国にある第三者が講ずる個人情報の保護のための措置と我が国の法（個人情報の保護に関する法律により個人データの取扱いについて個人情報取扱事業者に求められる措置との間の本質的な差異を本人が合理的に認識できる情報でなければならない。
具体的には、当該外国にある第三者において、OECD プライバシーガイドライン 8
原則に対応する措置（本人の権利に基づく請求への対応に関する措置を含む。）を講じていない場合には、当該講じていない措置の内容について、本人が合理的に認識できる情報が提供されなければならない。
なお、提供先の外国にある第三者が、OECD プライバシーガイドライン 8 原則に対応する措置を全て講じている場合には、その旨を本人に情報提供すれば足りる。
外国にある第三者への個人データの提供を認める旨の本人の同意を取得する際に、提供先の外国にある第三者が講ずる個人情報の保護のための措置に関する情報が提供
できない場合の取扱いについては、5-3-2（提供先の第三者が講ずる個人情報の保護のための措置に関する情報が提供できない場合）を参照のこと。
【提供先の第三者が講ずる個人情報の保護のための措置に関する情報の提供に該当する事例（提供先の第三者が利用目的の通知・公表を行っていない場合）】
事例）「提供先が、概ね個人データの取扱いについて我が国の個人情報取扱事業者に求められる措置と同水準の措置を講じているものの、取得した個人情報についての利用目的の通知・公表を行っていない」旨の情報提供を行うこと
5-3-1 提供先の第三者が所在する外国が特定できない場合（規則第 17 条第 3 項関係）

規則第 17 条（第 3 項）
3

前項の規定にかかわらず、個人情報取扱事業者は、法第 28 条第 1 項の規定により本人の同意を得ようとする時点において、前項第 1 号に定める事項が特定できない場合には、同号及び同項第 2 号に定める事項に代えて、次に掲げる事項について情報提供しなければならない。
(1) 前項第 1 号に定める事項が特定できない旨及びその理由(2) 前項第 1 号に定める事項に代わる本人に参考となるべき情報がある場合には、当該情報

37個人情報取扱事業者は、法第 28 条第 1 項の規定により外国にある第三者への個人データの提供を認める旨の本人の同意を取得しようとする時点において、提供先の第三者が所在する外国を特定できない場合には、当該外国の名称及び当該外国の個人情報の保護に関する制度に関する情報に代えて、次の 1 及び 2 の情報を本人に提供しなければならない。
なお、事後的に提供先の第三者が所在する外国が特定できた場合には、本人の求めに応じて情報提供を行うことが望ましい。
【提供先の第三者が所在する外国を特定できない場合に該当する事例】
事例 1）日本にある製薬会社が医薬品等の研究開発を行う場合において、治験責任医師等が被験者への説明及び同意取得を行う時点では、最終的にどの国の審査当局等に承認申請するかが未確定であり、当該被験者の個人データを移転する外国を特定できない場合
事例 2）日本にある保険会社が保険引受リスクの分散等の観点から外国の再保険会社に再保険を行う場合において、日本にある保険会社による顧客からの保険引受及び同意取得の時点では、最終的にどの再保険会社に再保険を行うかが未確定であり、当該顧客の個人データを移転する外国を特定できない場合(1) 特定できない旨及びその理由（規則第 17 条第 3 項第 1 号関係）
個人情報取扱事業者は、提供先の第三者が所在する外国を特定できない場合であっても、個人データの越境移転に伴うリスクに関する本人の予測可能性の向上という趣旨を踏まえ、提供先の第三者が所在する外国を特定できない旨及びその理由を情報提供しなければならない。
なお、情報提供に際しては、どのような場面で外国にある第三者に個人データの提供を行うかについて、具体的に説明することが望ましい。
(2) 提供先の第三者が所在する外国の名称に代わる本人に参考となるべき情報（規則第 17条第 3 項第 2 号関係）
提供先の第三者が所在する外国が特定できないとしても、提供先の第三者が所在する外国の名称に代わる本人に参考となるべき情報の提供が可能である場合には、当該情報についても本人に提供しなければならない。
「提供先の第三者が所在する外国の名称に代わる本人に参考となるべき情報」の該当性は、本人への情報提供が求められる制度趣旨を踏まえつつ、個別に判断する必要があるが、例えば、移転先の外国の範囲が具体的に定まっている場合における当該範囲に関する情報は、ここでいう「提供先の第三者が所在する外国の名称に代わる本
人に参考となるべき情報」に該当する。

38

【提供先の第三者が所在する外国の名称に代わる本人に参考となるべき情報に該当する事例】
事例）本人の同意を得ようとする時点において、移転先となる外国の候補が具体的に定まっている場合における当該候補となる外国の名称
5-3-2 提供先の第三者が講ずる個人情報の保護のための措置に関する情報が提供できない
場合（規則第 17 条第 4 項関係）

規則第 17 条（第 4 項）
4

第 2 項の規定にかかわらず、個人情報取扱事業者は、法第 28 条第 1 項の規定により本人の同意を得ようとする時点において、第 2 項第 3 号に定める事項について情報提供できない場合には、同号に定める事項に代えて、その旨及びその理由について情報提供しなければならない。
個人情報取扱事業者は、法第 28 条第 1 項の規定により外国にある第三者への個人データの提供を認める旨の本人の同意を取得しようとする時点において、提供先の外国にある第三者が講ずる個人情報の保護のための措置に関する情報の提供ができない場合には、当該情報に代えて、当該情報を提供できない旨及びその理由について情報提供しなければならない。
なお、情報提供に際しては、どのような場面で外国にある第三者に個人データの提供を行
うかについて、具体的に説明することが望ましい。
また、事後的に当該第三者が講ずる個人情報の保護のための措置についての情報提供が可能となった場合には、本人の求めに応じて情報提供を行うことが望ましい。
【提供先の第三者が講ずる個人情報の保護のための措置に関する情報の提供ができない場合に該当する事例】
事例 1）日本にある製薬会社が医薬品等の研究開発を行う場合において、治験責任医
師等が被験者への説明及び同意取得を行う時点では、最終的にどの国の審査当局等に承認申請するかが未確定であり、当該被験者の個人データの提供先を特定できない場合
事例 2）日本にある保険会社が保険引受リスクの分散等の観点から外国の再保険会社に再保険を行う場合において、日本にある保険会社による顧客からの保険引受及び同意取得の時点では、最終的にどの再保険会社に再保険を行うかが未確定であり、当該顧客の個人データの提供先を特定できない場合

39

仮名加工情報・匿名加工情報編
2-2-3-1-2

利用目的の公表

法第 41 条（第 4 項）
仮名加工情報についての第 21 条の規定の適用については、同条第 1 項及び第 3 項中「、本人に通知し、又は公表し」とあるのは「公表し」と、同条第 4 項第 1 号から第 3 号までの規定中「本人に通知し、又は公表する」とあるのは「公表する」とする。

個人情報取扱事業者である仮名加工情報取扱事業者は、個人情報である仮名加工情報を取得した場合（※）には、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を公表しなければならない。
また、利用目的の変更を行った場合には、変更後の利用目的を公表しなければならない。
ただし、次の（1）から（4）までの場合については、個人情報である仮名加工情報の取得
時、及び個人情報である仮名加工情報の利用目的の変更時における利用目的の公表は不要
である。
(1)

利用目的を公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合(2)

利用目的を公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合(3)

国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき(4) 取得の状況からみて利用目的が明らかであると認められる場合（※）個人情報取扱事業者が、自らが保有する個人情報の一部を削除する等の加工を行ったに過ぎない場合は、ここでいう個人情報の「取得」には該当しない。
そのため、個人情報取扱事業者が、自らが保有する個人情報を加工して仮名加工情報を作成した場合には、当該仮名加工情報が個人情報に当たる場合でも、ここでいう個人情報である仮名加工情報の「取得」には該当しない。
これに対し、例えば、仮名加工情報を作成した個人情報取扱事業者が、当該仮名加工情報及び当該仮名加工情報に係る削除情報等を、事業の承継に伴い他の事業者に提供した場合（2-2-3-3（第三者提供の禁止等）参照）、当該他の事業者にとって、当該仮名加工情報は、通常、当該削除情報等と容易に照合でき、それによって特定の個人を識別できる情報に該当するため、個人情報に該当する。この場合には、当該他の事業者が事40

業の承継に伴い当該仮名加工情報の提供を受けることは、ここでいう個人情報である
仮名加工情報の「取得」に該当する。
3-2-4

匿名加工情報の作成時の公表（法第 43 条第 3 項関係）

法第 43 条（第 3 項）
3

個人情報取扱事業者は、匿名加工情報を作成したときは、個人情報保護委員会規則で定めるところにより、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない。

規則第 36 条
1

法第 43 条第 3 項の規定による公表は、匿名加工情報を作成した後、遅滞なく、インターネットの利用その他の適切な方法により行うものとする。

2

個人情報取扱事業者が他の個人情報取扱事業者の委託を受けて匿名加工情報を作成した場合は、当該他の個人情報取扱事業者が当該匿名加工情報に含まれる個人に関する情報の項目を前項に規定する方法により公表するものとする。この場合においては、
当該公表をもって当該個人情報取扱事業者が当該項目を公表したものとみなす。

個人情報取扱事業者は、匿名加工情報を作成したとき（※1）は、匿名加工情報の作成後遅滞なく（※2）、インターネット等を利用し、当該匿名加工情報に含まれる個人に関する情報の項目を公表（※3）しなければならない。
また、個人に関する情報の項目が同じである匿名加工情報を同じ手法により反復・継続的に作成する場合には、最初の匿名加工情報を作成して個人に関する項目を公表する際に、作成期間又は継続的な作成を予定している旨を明記するなど継続的に作成されることとなる旨を明らかにしておくことにより、その後に作成される匿名加工情報に係る公表について
は先の公表により行われたものと解される。
なお、他の個人情報取扱事業者との委託契約により個人データの提供を受けて匿名加工
情報を作成する場合など委託により匿名加工情報を作成する場合は、委託元において当該
匿名加工情報に含まれる個人に関する情報の項目を公表するものとする。
【個人に関する情報の項目の事例】
事例）「氏名・性別・生年月日・購買履歴」のうち、氏名を削除した上で、生年月日の一
般化、購買履歴から特異値等を削除する等加工して、「性別・生年・購買履歴」に関する匿名加工情報として作成した場合の公表項目は、
「性別」、
「生年」、
「購買履
歴」である。
（※1）ここで「匿名加工情報を作成したとき」とは、匿名加工情報として取り扱うため

41

に、個人情報を加工する作業が完了した場合のことを意味する。すなわち、あくま
で個人情報の安全管理措置の一環として一部の情報を削除しあるいは分割して保存・管理する等の加工をする場合又は個人情報から統計情報を作成するために個人情報を加工する場合等を含むものではない。 また、匿名加工情報を作成するために個人情報の加工をする作業を行っている途上であるものの作成作業が完了していない場合には、加工が不十分であること等から匿名加工情報として取り扱うことが適切ではない可能性もあるため「匿名加工情報を作成したとき」とは位置付けられない。
（※2）ここでの「遅滞なく」とは、正当かつ合理的な期間であれば公表が匿名加工情報を作成した直後でなくても認められることを意味する。ただし、少なくとも匿名加
工情報の利用又は第三者提供をする前に匿名加工情報を作成したことを一般に十分に知らせるに足る期間を確保するものでなければならない。許容される具体的な期間は、業種及びビジネスの態様によっても異なり得るため、個別具体的に判断する必要がある。
（※3）
「公表」とは、広く一般に自己の意思を知らせること（不特定多数の人々が知ることができるように発表すること）をいう。詳細は、通則ガイドライン「2-15（公表）」を参照のこと。
3-2-5

匿名加工情報の第三者提供（法第 43 条第 4 項、第 44 条関係）

法第 43 条（第 4 項）
4

個人情報取扱事業者は、匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは、個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。

法第 44 条
匿名加工情報取扱事業者は、匿名加工情報（自ら個人情報を加工して作成したものを除く。以下この節について同じ。
）を第三者に提供するときは、個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。
規則第 37 条
1

法第 43 条第 4 項の規定による公表は、インターネットの利用その他の適切な方法に42

より行うものとする。
2

法第 43 条第 4 項の規定による明示は、電子メールを送信する方法又は書面を交付する方法その他の適切な方法により行うものとする。

規則第 38 条
1

前条第 1 項の規定は、法第 44 条の規定による公表について準用する。

2

前条第 2 項の規定は、法第 44 条の規定による明示について準用する。

個人情報取扱事業者又は匿名加工情報取扱事業者は、匿名加工情報を第三者に提供（※1）
するときは、提供に当たりあらかじめ（※2）、インターネット等を利用し、次の（1）及び（2）に掲げる事項を公表（※3）するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を電子メール又は書面等により明示（※4）しなければならない。
また、個人に関する情報の項目及び加工方法が同じである匿名加工情報を反復・継続的に第三者へ同じ方法により提供する場合には、最初に匿名加工情報を第三者提供するときに個人に関する項目を公表する際に、提供期間又は継続的な提供を予定している旨を明記するなど継続的に提供されることとなる旨を明らかにしておくことにより、その後に第三者に提供される匿名加工情報に係る公表については先の公表により行われたものと解される。
なお、匿名加工情報をインターネット等で公開する行為についても不特定多数への第三者提供に当たるため、上記義務を履行する必要がある。
(1) 第三者に提供する匿名加工情報に含まれる個人に関する情報の項目
事例）「氏名・性別・生年月日・購買履歴」のうち、氏名を削除した上で、生年月日の一般化、購買履歴から特異値等を削除する等加工して、「性別・生年・購買履歴」
に関する匿名加工情報として作成して第三者提供する場合の公表項目は、「性
別」
、
「生年」
、
「購買履歴」である。
(2)匿名加工情報の提供の方法
事例 1）ハードコピーを郵送
事例 2）第三者が匿名加工情報を利用できるようサーバにアップロード（※1）
「提供」とは、匿名加工情報を第三者が利用可能な状態に置くことをいう。匿名加工情報が物理的に提供されていない場合であっても、ネットワーク等を利用する
ことにより、第三者が匿名加工情報を利用できる状態にあれば（利用する権限が与えられていれば）、「提供」に当たる。
（※2）
「あらかじめ」の期間については、匿名加工情報を第三者に提供することを一般に十分に知らせるに足る期間を確保するものでなければならない。具体的な期間については、業種及びビジネスの様態によっても異なり得るため、個別具体的に判断する必要がある。

43

（※3）
「公表」とは、広く一般に自己の意思を知らせること（不特定多数の人々が知ることができるように発表すること）をいう。詳細は、通則ガイドライン「2-15（公表）」を参照のこと。
（※4）
「明示」とは、第三者に対し、提供する情報が匿名加工情報であることを明確に示すことをいう。
明示の方法については、規則第 37 条第 2 項で定められているとおり、事業の性質、匿名加工情報の取扱状況等に応じ、電子メールを送信する方法又は書面を交付する方法など適切な方法により、その内容が当該第三者に認識されるものである必要がある。

44

電気通信事業における個人情報保護に関するガイドラインの解説
プライバシーポリシー
個人データ等を取得する電気通信事業者は、自らが取得する個人データ等について十分把握することが望ましい。その上で、取得する個人データ等の種類や利用目的、第三者に提供する個人データ等の種類などに応じて、利用者が電気通信事業者による個人データ等の取扱いを理解できるよう、分かりやすい通知・公表や、必要に応じた同意取得を行うことが重要である。
3-5-1

プライバシーポリシーの策定・公表（第 15 条第 1 項、第 2 項関係）

第 15 条（第 1 項、第 2 項）
1 電気通信事業者は、プライバシーポリシー（当該電気通信事業者が個人データ等の適切な取扱いを確保する上での考え方や方針をいう。）を定め、公表することが適切である。
2 前項に定めるプライバシーポリシーにおいて、次に掲げる事項について定め、利用者にとって分かりやすく示すことが適切である。
(1) 電気通信事業者の氏名又は名称(2) 取得される情報の項目(3) 取得方法(4) 利用目的の特定・明示(5) 通知・公表又は同意取得の方法及び利用者関与の方法(6) 第三者提供の有無(7) 問合せ窓口・苦情の申出先(8) プライバシーポリシーの変更を行う場合の手続(9) 利用者の選択の機会の内容、データポータビリティに係る事項(10) 委託に係る事項
電気通信事業者の個人データ等の適切な取扱いについての社会的信頼を確保するため、電気通信事業者は自らの個人データ等の適切な取扱いを確保する上での考え方や方針についての宣言をプライバシーポリシーとして定め、公表することが適切である。
【プライバシーポリシーに示すことが適切である項目】
プライバシーポリシーは、それぞれの電気通信事業者が、当該電気通信事業者の利用者において、当該電気通信事業者による個人データ等の取扱いを理解できるように、分かりやす45

い表現で記載すべきものであるが、プライバシーポリシーに記載すべき事項としては、次のようなものが考えられる。
① 法及び通信の秘密に係る電気通信事業法の規定その他の関係法令の遵守② 本ガイドラインの遵守③ 第 15 条に定める事項（ⅰ）電気通信事業者の氏名又は名称（ⅱ）取得される情報の項目（ⅲ）取得方法（ⅳ）利用目的の特定・明示（ⅴ）通知・公表又は同意取得の方法及び利用者関与の方法
利用目的の通知又は開示若しくは訂正等の本人からの請求に応じる手続（ⅵ）第三者提供の有無（ⅶ）問合せ窓口・苦情の申出先
認定個人情報保護団体の名称及び苦情の解決の申出先を含む。
（ⅷ）プライバシーポリシーの変更を行う場合の手続（ⅸ）利用者の選択の機会の内容（※）
、データポータビリティに係る事項（ⅹ）委託に関する事項
委託の有無、委託する事務の内容を明らかにするなど、委託処理の透明化を進めること。
④ 第 12 条の安全管理措置に関する方針⑤ その他利用者の権利利益の保護に関する事項（ⅰ）保有個人データについて本人から求めがあった場合には、ダイレクトメールの発送停止など、自主的に利用停止等に応じること（ⅱ）電気通信事業者がその事業内容を勘案して利用者の種類ごとに利用目的を限定して示したり、電気通信事業者が本人の選択による利用目的の限定に自主的に取り組むなど、本人にとって利用目的がより明確になるようにすること（ⅲ）個人情報の取得方法（取得元の種類等）を、可能な限り具体的に明記すること（※）(ア)電気通信事業者が（任意の取組として）利用者の求めに応じて自主的に個人デー
タ等の取得・利用を停止しているか（利用者はこれを求めることができるか）、(イ)利用者
において個人データ等の取得・利用の停止を求めることができる場合には、利用者がこれを求める方法、及び、利用者がこれを求めた場合にも電気通信サービスが利用可能か等
なお、取得に際しての利用目的（第 9 条第 1 項、第 3 項）、オプトアウトによる個人デー
タの第三者提供を行う場合の個人データの項目等（第 17 条第 2 項、第 3 項、第 9 項）
、共同利用における共同利用される個人データの項目等（第 17 条第 10 項第 3 号、第 11 項）、

46

匿名加工情報に含まれる情報の項目等（第 33 条第 3 項、第 4 項、第 5 項、第 7 項、第 34条）、保有個人データに関する公表すべき事項（第 19 条第 1 項）
、匿名加工情報取扱事業者
における匿名加工情報の安全管理措置等（第 36 条）については、通知し、又はプライバシ
ーポリシー等において公表し若しくは本人が容易に知り得る状態に置かなければならない
ことに留意する必要がある。
【利用者に分かりやすい示し方】
電気通信事業者は、当該電気通信事業者が提供する電気通信役務の利用者の性質・状況、
当該電気通信事業者の業種・事業規模等の諸般の事情を踏まえた上で、第 15 条第 1 項に基づき、個人データ等の取扱いに関するプライバシーポリシーを策定・公表することが望まし
く、また、利用者が電気通信事業者における個人データ等の取扱いを理解した上で自らの判断により選択の機会を行使することができるよう、プライバシーポリシーを分かりやすく示す（※1）（※2）ことが望ましい。
（※1）当該電気通信事業者が提供する電気通信役務の利用者の性質・状況や、当該電気通信事業者の業種・事業規模・事業内容などに応じ、分かりやすい表示のための工夫等を検討することが望ましい。例えば、階層構造（要点を複数の短い項目にまとめ、各項目を選択すると詳細な内容を見ることができるといった構造）を用いること、アイコン・イラス
ト・動画等の視覚的ツールを用いること、利用者が認識しやすいようにジャストインタイ
ムの通知を行うこと、要点を分かりやすく解説した簡略版やユーザーガイドを併せて作成することなどが表示に関する具体的な工夫として考えられる。
また、利用者が認識しやすいようにポップアップによる同意取得を行うこと、ダッシュ
ボードや、個人データ等の取得・利用の停止の機会の提供、Consent Record や CMP 等
により利用者が何に同意したかを後から一覧性をもって把握できる仕組みの提供などについても、利用者が自ら内容を理解し選択する上で有用な工夫と考えられる。
なお、分かりやすい通知・公表及び同意取得の方法を検討する際には、当該電気通信事業者が提供する電気通信役務の利用者の性質・状況を踏まえることが望ましいと考えられるため、必要に応じて、ユーザーテストを実施しその結果を分析・参照したり、第三者的な立場の外部の有識者からなるプライバシー保護に関するアドバイザリーボードや諮問委員会等を設置しステークホルダーの意見等を踏まえつつ継続的に取り組んでいくこと等が考えられる。
（※2）なお、「DX 時代における企業のプライバシーガバナンスガイドブック ver1.2」（2022
年 2 月総務省・経済産業省）（http://www.iotac.jp/wg/data/govenance/）においても、プライバシーガバナンスに係る姿勢の明文化の必要性について言及されている。
（参考）

47

個人情報保護に関する基本方針（平成 16 年 4 月 2 日閣議決定）
6 個人情報取扱事業者等が講ずべき個人情報の保護のための措置に関する基本的な事項（１）個人情報取扱事業者が取り扱う個人情報に関する事項個人情報取扱事業者は、法の規定に従うほか、２の(2)の①の個人情報保護委員会のガイドライン、認定個人情報保護団体の個人情報保護指針等に則し、例えば、消費者の権利利益を一層保護する観点から、個人情報保護を推進する上での考え方や方針（いわゆる、プライバシ
ーポリシー、プライバシーステートメント等）を対外的に明確化するなど、個人情報の保護及び適正かつ効果的な活用について主体的に取り組むことが期待されているところであり、体制の整備等に積極的に取り組んでいくことが求められている。
その際、事業の規模及び性質、個人データの取扱状況等に応じて、各事業者において適切な取組が実施されることが重要である。
3-5-2

アプリケーションソフトウェアに係るプライバシーポリシー（第 15 条第 3 項、第4 項関係）

第 15 条（第 3 項、第 4 項）
3 電気通信事業者は、アプリケーションソフトウェア（以下「アプリケーション」という。
）を提供する場合において、当該アプリケーションによる情報の取得等について明
確かつ適切に定めたプライバシーポリシーを公表することが適切である。
4 電気通信事業者は、アプリケーションを提供するサイトを運営する場合において、当該サイトにおいてアプリケーションを提供する者に対して、当該アプリケーションによる情報の取得等について明確かつ適切に定めたプライバシーポリシーを公表するよう促すことが適切である。

アプリケーションソフトウェア（以下「アプリケーション」という。
）とは、通話やコミュニケーションなどのコミュニケーションツールや写真・ゲームなどの様々な機能を実行するためのソフトウェアをいう。スマートフォンなどのスマートデバイスでは、アプリケー
ションをインストールすることで、機能を拡張・カスタマイズすることが可能となる。
アプリケーションの中には、様々な情報を取得し、外部に送信するものがあることから、透明性や利用者が関与する機会等を確保することで利用者のプライバシーを保護する観点
から、電気通信事業者がアプリケーションを提供する場合においては、当該アプリケーショ
ンによる情報の取得等について明確かつ適切に定めたプライバシーポリシーを公表することが適切である（第 15 条第 3 項関係）。
また、電気通信事業者がアプリケーションを提供するサイトを運営する場合においては、
当該サイトを利用してアプリケーションを提供する者（自己を除く。
）に対して、当該アプ
リケーションによる情報の取得等について明確かつ適切に定めたプライバシーポリシーを48

公表するよう促すことが適切である（第 15 条第 4 項関係）。
アプリケーションのプライバシーポリシーに記載すべき事項としては、次の事項が考えられる。
①情報を取得するアプリケーション提供者等の氏名又は名称②取得される情報の項目③取得方法④利用目的の特定・明示⑤通知・公表又は同意取得の方法、利用者関与の方法⑥外部送信・第三者提供・情報収集モジュールの有無⑦問合せ窓口・苦情の申出先⑧プライバシーポリシーの変更を行う場合の手続⑨利用者の選択の機会の内容、データポータビリティに係る事項⑩委託に関する事項
また、電気通信事業者は、当該プライバシーポリシーの内容が当該アプリケーションの情報取得等について適切に記載したものであることを確保するため、第三者による検証等を利用しその適切性を検証することが望ましい。
その他、アプリケーションのプライバシーポリシーに関する詳細は、スマートフォン プ
ライバシー イニシアティブ（平成 24 年 8 月 利用者視点を踏まえたＩＣＴサービスに係る諸問題に関する研究会）等によるものとする。
なお、本ガイドラインは、電気通信事業者を対象とするものであるため、電気通信事業者の取組について記載しているが、アプリケーションによる情報収集等について明確かつ適切に定めたプライバシーポリシーを公表する等の取組は、アプリケーション提供事業者、情報収集モジュール提供者、アプリケーション提供サイト運営事業者、 OS 提供事業者等の各関係者においても求められるものである。電気通信事業者における本条で示す取組が、各関係者の取組の促進に資することが期待される。

位置情報
5-4-1

位置情報の取得（第 41 条第 1 項関係）

第 41 条（第 1 項）
1

電気通信事業者は、あらかじめ利用者の同意を得ている場合、電気通信役務の提供に係る正当業務行為その他の違法性阻却事由がある場合に限り、位置情報（移動体端末を所持する者の位置を示す情報であって、発信者情報でないものをいう。以下同じ。
）
を取得することができる。

49

本条でいう「移動体端末」とは、移動電話端末（端末設備等規則（昭和 60 年郵政省令第31 号）第 2 条第 2 項第 5 号）及び無線呼出端末（同規則第 2 条第 2 項第 11 号）のほか、
広く電波等を用いて通信を行うために用いられる端末をいう。また、本条にいう「位置情報」とは、移動体端末の所持者の所在を表す場所を示す情報（基地局エリア若しくは位置登録エ
リア程度又はそれらより狭い範囲を示すものをいい、利用明細に記載される着信地域（単位料金区域等）のようなものは含まない。
）をいい、端末設備等規則第 22 条にいう位置情報よりも広い概念である（なお、発信者の位置を示す情報については、前条にその取扱いが規定されているため、位置情報の定義からは除いている。）。
これら位置情報については、個人データ等に該当するものは、その適切な取扱いを確保する観点から、個人情報保護管理者を置くとともに、プライバシーポリシーを定め、公表する
ことが適切である。
電気通信事業者が保有する位置情報は、個々の通信に関係する場合は通信の構成要素であるから、通信の秘密として保護され、あらかじめ利用者（移動体端末の所持者）の同意を得ている場合又は電気通信役務の提供に係る正当業務行為その他の違法性阻却事由に該当する場合以外に取得することは許されない。なお、「正当業務行為」とは、電気通信役務を提供する観点から、業務の目的が正当であり、当該目的を達成するための行為の必要性及び手段の相当性が認められる行為をいう。例えば、携帯電話で通信を行うために基地局等において位置登録情報等の位置情報を取得する行為がこれに該当する。
これに対し、個々の通信時以外に移動体端末の所持者がエリアを移動するごとに基地局に送られる位置登録情報は個々の通信を成立させる前提として電気通信事業者に機械的に送られる情報に過ぎないことから、サービス制御局に蓄積されたこれらの情報は通信の秘密ではなく、プライバシーとして保護されるべき事項と考えられる。もっとも、通信の秘密に該当しない位置情報の場合であっても、ある人がどこに所在するかということはプライ
バシーの中でも特に保護の必要性が高い上に、通信とも密接に関係する事項であるから、強く保護することが適当である。そのため、通信の秘密に該当しない位置情報の場合においても、利用者の同意がある場合又は電気通信役務の提供に係る正当業務行為その他の違法性阻却事由に該当する場合に限り取得することが強く求められる。
なお、第 4 項及び第 5 項は、あらかじめ利用者の同意を得ている場合又は電気通信役務の提供に係る正当業務行為に該当する場合以外において、位置情報を取得することができる例を示したものである。
5-4-2

位置情報の利用（第 41 条第 2 項関係）

第 41 条（第 2 項）
2 電気通信事業者は、あらかじめ利用者の同意を得ている場合、裁判官の発付した令状

50

に従う場合その他の違法性阻却事由がある場合に限り、位置情報について、他人への提供その他の利用をすることができる。

通信の秘密に該当する情報については、通信当事者の同意を得ている場合、裁判官の発付した令状に従う場合その他の違法性阻却事由がある場合を除いては、他人への提供その他の利用をしてはならない。
そのため、通信の秘密に該当する位置情報について、匿名化して他人への提供その他の利用を行う場合には、通信の秘密の保護の観点から、当該位置情報と個別の通信とを紐付けることができないよう十分な匿名化を行わなければならず、かつ匿名化して他人への提供その他の利用を行うことについてあらかじめ利用者の同意を得る必要がある。この場合、原則として個別具体的かつ明確な同意がなければ有効な同意があるとはいえないが、契約約款の内容等が利用者に対して十分に周知され、事後的にも利用者が随時に不利益なく同意内
容を変更し、以後は位置情報を匿名化して利用しないよう求めることができることから利用者が不測の不利益を被る危険を回避できるといえる場合であって、①匿名化の対象とされる情報の範囲、②加工の手法・管理運用体制の適切さなどを考慮すると通常の利用者であれば匿名化しての利用等を許諾すると想定できるときは、契約約款等に基づく事前の包括同意であっても有効な同意があると考えられる。
通信の秘密に該当しない位置情報についても、ある人がどこに所在するかということはプライバシーの中でも特に保護の必要性が高い上に、通信とも密接に関係する事項であるから、強く保護することが適当である。そのため、他人への提供その他の利用においては、
利用者の同意を得る場合又は違法性阻却事由がある場合に限定することが強く求められる。
なお、位置情報に係る匿名加工情報を作成する場合は、3-12（匿名加工情報取扱事業者等の義務）を参照のこと。
5-4-3

不当な権利侵害を防止するために必要な措置（第 41 条第 3 項関係）

第 41 条（第 3 項）
3

電気通信事業者が、位置情報を加入者若しくはその指示する者に通知するサービスを提供し、又は第三者に提供させる場合には、利用者の権利が不当に侵害されることを防止するため必要な措置を講ずることが適切である。

位置情報サービスを自ら提供し、又は第三者と提携の上で提供するに当たっては、その社会的有用性と通信の秘密又はプライバシー保護とのバランスを考慮して、電気通信事業者
は、利用者の権利が不当に侵害されないよう必要な措置を講ずることが適当である。
「必要な措置」の具体的内容としては、①利用者の意思に基づいて位置情報の提供を行う
こと、②位置情報の提供について利用者の認識・予見可能性を確保すること、③位置情報に51

ついて適切な取扱いを行うこと、④第三者と提携の上でサービスを提供する場合は、提携に関する契約に係る約款等の記載により利用者のプライバシー保護に配慮をすることなどが考えられる。
①の利用者の意思に基づく位置情報の提供に関し、利用者からの同意取得は、個々の位置情報の提供ごとのほか、サービス提供開始時などに事前に行うことも可能である。もっとも、同意取得は移動体端末の操作や書面による確認などの方法により明確に行うべきであるほか、通信の秘密に該当しない位置情報であっても全ての包括的な内容の同意を得ることは適当でなく、位置情報を提供する者の範囲を特定しておくなどすることが望ましい。また、事前の同意は原則として撤回できるものとする。
②の利用者の認識・予見可能性の確保については、画面表示や移動体端末の鳴動等の方法
により、位置情報が提供されることを認識できるようにすることなどが考えられる。また、合理的な期間、利用者が履歴を確認できるようにすることや、利用者が誤って位置情報を送出することを防止するため、提供されるサービスや移動体端末の機能等について、十分な周知・注意喚起を行うことが望ましい。
③の位置情報の取扱いについては、権限を有しない者が移動体端末の位置情報の確認ができないよう、暗証番号の設定、アクセス端末の限定等の措置が考えられるほか、他の電気通信事業者等が位置情報サービスを提供する場合等において、自社の管理する基地局情報
が他者に不当に利用されることのないよう、基地局情報の管理について規程を設けるなどが考えられる。
④の第三者と提携の上でのサービス提供については、提携に関する契約に係る約款等において、第三者において上記のようなプライバシー保護措置が確保されることを担保することや、利用者のプライバシーが不当に侵害されていると判断される場合には、位置情報の提供を停止できるようにしておくことなどが考えられる。
なお、移動体端末を物体に設置して、その物体の所在地の情報を把握するような場合であっても、物体を通してその所持者の権利が不当に侵害されるおそれがあることから、上記に準じた必要な措置を講ずることが適当であると考えられる。
＜＜＜＜＜＜＜＜ 以下 5-4-3 ～ 5-4-5 省略＞＞＞＞＞＞＞＞

外部送信に係る利用者に関する情報の取扱い
7-1 規律の概要（第 51 条第 1 項関係）

第 51 条（第 1 項）
1 ブラウザその他のソフトウェア（利用者が使用するパーソナルコンピュータ、携帯
電話端末又はこれらに類する端末機器においてオペレーティングシステムを通じて実52

行されるものに限る。第 4 項において同じ。
）により、次の各号のいずれかに該当す
る電気通信役務を提供する電気通信事業者は、その利用者に対し電気通信役務を提供する際に、当該利用者の電気通信設備を送信先とする情報送信指令通信（利用者の電気通信設備が有する情報送信機能（利用者の電気通信設備に記録された当該利用者に関する情報を当該利用者以外の者の電気通信設備に送信する機能をいう。以下この条において同じ。
）を起動する指令を与える電気通信の送信をいう。以下この条において同じ。
）を行おうとするときは、あらかじめ、第 5 項各号に掲げる事項を当該利用者に通知し、又は当該利用者が容易に知り得る状態に置かなければならない。
(1) 他人の通信を媒介する電気通信役務(2) その記録媒体に情報を記録し、又はその送信装置に情報を入力する電気通信を利用者から受信し、これにより当該記録媒体に記録され、又は当該送信装置に入力された情報を不特定の利用者の求めに応じて送信する機能を有する電気通信設備を他人の通信の用に供する電気通信役務(3) 入力された検索情報（検索により求める情報をいう。以下この号において同じ。
）に対応して、当該検索情報が記録された全てのウェブページ（通常の方法により閲覧ができるものに限る。第 4 項において同じ。）のドメイン名その他の所在に関する情報を出力する機能を有する電気通信設備を他人の通信の用に供する電気通信役
務(4) 前号に掲げるもののほか、不特定の利用者の求めに応じて情報を送信する機能を有する電気通信設備を他人の通信の用に供する電気通信役務であって、不特定の利用者による情報の閲覧に供することを目的とするもの
電気通信事業法第 27 条の 12 に基づき、同法施行規則第 22 条の 2 の 27 各号の電気通信役務であって、ブラウザやアプリケーション（利用者のパーソナルコンピュータ、携帯電話、
スマートフォン、タブレット等で起動するものに限る。以下この章において同じ。）を通じて提供されるもの（以下この章において「対象役務」という。）を提供する電気通信事業者
は、利用者に対し対象役務を提供する際に、当該利用者の電気通信設備（端末設備）を送信先とする情報送信指令通信を行おうとするときは、原則として、情報送信指令通信によって送信される情報の内容や送信先となる電気通信設備等について、当該利用者に確認の機会を付与しなければならない（以下この章において「本規律」という。）。
ここでいう確認の機会の付与とは、原則として、当該利用者に通知し、又は当該利用者が容易に知り得る状態に置くこと（以下この章において「通知等」という。
）であるが、利用者が同意をしている情報（※1）
、及び電気通信事業者がオプトアウト措置（※2）を講じている場合に、利用者がオプトアウト措置の適用を求めていない情報については、これらの手法により当該利用者に確認の機会が付与されていると考えられるため、通知等を要しないこととしている。

53

また、電気通信役務において送信する符号等を利用者の電気通信設備（端末設備）に適正に表示するために必要な情報その他の利用者が電気通信役務を利用する際に送信をすることが必要なものとして電気通信事業法施行規則第 22 条の 2 の 20 で定める情報及び電気通信事業者が利用者を識別するために自身に送信させる識別符号は、その送信について利用者の判断を経る必要性が低いと考えられるため、確認の機会の付与は不要である。
なお、対象役務を提供する電気通信事業者の委託先である第三者に対して利用者に関する情報が送信される場合であっても、委託元である当該電気通信事業者において、本規律に従い、確認の機会を付与する必要がある（※3）
。
（※1）この章における「同意」は、法における同意（2-17（本人の同意）参照）ではなく、電気通信事業法第 27 条の 12 第 3 号における「同意」をいう。
（※2）この章における「オプトアウト」は、法におけるオプトアウト（3-7-2（オプト
アウトによる第三者提供）参照）ではなく、電気通信事業法第 27 条の 12 第 4 号にいう、利用者の求めに応じて、利用者に関する情報の送信又は利用者に関する情報の利用を停止する措置のことをいう。
（※3）電気通信事業法第 27 条の 12 について、法第 27 条第 5 項各号に相当する例外規定（3-7-4（第三者に該当しない場合）参照）はないため、取扱いの委託に伴って委託先の第三者に対して利用者に関する情報が送信される場合であっても、本規律に従い、確認の機会を付与する必要がある。
7-1-1 用語の説明（1）情報送信指令通信
利用者の電気通信設備（端末設備）が有する情報送信機能（利用者の電気通信設備（端末設備）に記録された当該利用者に関する情報を当該利用者以外の者の電気通信設備に送信する機能）を起動する指令となるプログラム等の送信であり、具体的には、利用者に関する情報を利用者の電気通信設備（端末設備）から外部（※1）に送信させ収集するための仕組みを実現するコード等の情報の送信（※2）（※3）が含まれる。
（※1）(4)にあるとおり、「外部」とは利用者以外のことであり、第三者に限られない。すなわち、当該電気通信役務を提供する電気通信事業者（ウェブサイトの運営者やアプリケーションの提供者）及び第三者が該当する。
（※2）ウェブサイトの場合については、HTML、CSS、JavaScript 等の言語で記述

54

されたウェブサイトを構成するソースコードのうち上記仕組みを実現する部分（上記仕組みを実現する HTML 要素を DOM の中に生成する JavaScript コード等を含む。
）などが考えられるが、これらに限らない。
（※3）アプリケーションの場合については、アプリケーションに埋め込まれている情報収集モジュール等の情報送信機能の起動の契機となるプログラム等の送信が含まれる。
（2）利用者の電気通信設備（端末設備）
利用者が電気通信役務を利用するために使用している電気通信設備であり、パーソナル
コンピュータ、携帯電話、スマートフォン、タブレット等の電気通信設備（端末設備）が含まれる。
（3）利用者に関する情報
利用者の電気通信設備（端末設備）に記録されている情報であり、Cookie に保存された
ID や広告 ID 等の識別符号、利用者が閲覧したウェブページの URL 等の利用者の行動に関する情報、利用者の氏名等、利用者以外の者の連絡先情報等が含まれる。
（4）利用者以外の者の電気通信設備
利用者が電気通信役務を利用する際に通信の相手方となっている者の電気通信設備であり、利用者がウェブサイトの閲覧やアプリケーションの利用を行う際に（利用者が認識しているかを問わず）通信の相手方となっている第三者のサーバだけでなく、当該電気通信役務を提供する電気通信事業者（ウェブサイトの運営者やアプリケーションの提供者）のサーバも含まれる。
7-1-2 対象役務（第 51 条第 1 項第 1 号～第 4 号関係）
電気通信事業法第 27 条の 12 に基づく確認の機会の付与の義務を課される電気通信事業者は、内容、利用者の範囲及び利用状況を勘案して利用者の利益に及ぼす影響が少なくないものとして電気通信事業法施行規則第 22 条の 2 の 27 各号で定められた「対象役務」を提供する者に限られる。対象役務となり得る具体的な電気通信役務は次の(1)～(4)のとおりであるが、これらの電気通信役務であっても、ブラウザやアプリケーションを通じて提供されるものでなければ、対象役務とはならない。各電気通信役務の詳細については、「電気通信事 業 参 入 マ ニ ュ ア ル ［ 追 補 版 ］」（ 平 成 17 年 8 月 18 日 策 定 ）55

（https://www.soumu.go.jp/main_content/000477428.pdf）及び「電気通信事業参入マニュ
ア ル （ 追 補 版 ） ガ イ ド ブ ッ ク 」（ 令 和

4 年 4 月 14 日 策 定 ）（ https://www.soumu.go.jp/main_content/000799137.pdf）も併せて参照のこと。
（1）他人の通信を媒介する電気通信役務（第 51 条第 1 項第 1 号関係）
「他人の通信を媒介する」とは、他人の依頼を受けて、情報をその内容を変更することな
く、伝送・交換し、隔地者間の通信を取次、又は仲介してそれを完成させることをいう。本
規律が対象とするオンラインサービスについては、情報の加工・編集を行わず、かつ、送信時の通信の宛先として受信者を指定する場合に該当する。具体的には、メールサービス、ダイレクトメッセージサービス、参加者を限定した（宛先を指定した）会議が可能なウェブ会議システム等が想定される。
（2）その記録媒体に情報を記録し、又はその送信装置に情報を入力する電気通信を利用者から受信し、これにより当該記録媒体に記録され、又は当該送信装置に入力された情報を不特定の利用者の求めに応じて送信する機能を有する電気通信設備を他人の通信の用に供する電気通信役務（第 51 条第 1 項第 2 号関係）
具体的には、利用者（特定の利用者も含む）が情報を入力（書き込み、投稿、出品、募集などを含む）し、当該情報を不特定の利用者が受信（閲覧）できるもののことをいう。
なお、アカウント登録や利用料の支払をすれば誰でも受信（閲覧）できる場合も、「不特定の利用者」に含まれる。他方、閉域網で提供される社内システムなどは、審査等により利用者が限定されており、「不特定の利用者」ではなく、「特定の利用者」となるため、該当し
ない。
このうち、
「その記録媒体に情報を記録し…これにより当該記録媒体に記録され…た情報を不特定の利用者の求めに応じて送信する機能を有する電気通信設備を他人の通信の用に供する電気通信役務」とは、利用者から受信した情報を、電気通信事業者の電気通信設備（ウェブサーバ等）の記録媒体（ハードディスク等）において記録して蓄積しておき、不特定の利用者の求めに応じて送信するサービスのことであり、具体的には、SNS、電子掲示板、動画共有サービス、オンラインショッピングモール（※）
、シェアリングサービス、マッチン
グサービス等が該当する。
他方、「その送信装置に情報を入力する電気通信を利用者から受信し、これにより…当該送信装置に入力された情報を不特定の利用者の求めに応じて送信する機能を有する電気通信設備を他人の用に供する電気通信役務」とは、利用者から受信した情報を、電気通信事業者の送信装置（ストリーミングサーバ等）から即時に（リアルタイムで）不特定の利用者の求めに応じて送信するサービスのことであり、具体的には、ライブストリーミングサービス

56

やオンラインゲーム等が該当する。
（※）インターネット経由で複数の店舗でネットショッピングを行うことができる又は複数の出品者の商品等を購入できる「場」を提供するものをいう。他方、小売事業者がモノ・商品をオンライン販売したり、メーカーが製造した商品をオンライン販売したり（ネット販売のみを行う場合を含む。）、同様に問合せ等に対応することなどについては、自己の需要（3）入力された検索情報に対応して、当該検索情報が記録された全てのウェブページのドメイン名その他の所在に関する情報を出力する機能を有する電気通信設備を他人の通信の用に供する電気通信役務（第 51 条第 1 項第 3 号関係）検索したい単語等の検索情報を入力すると、インターネット上における、当該検索情報が記録された全てのウェブページの所在に関する情報を検索して表示する、いわゆるオンラ
イン検索サービスが該当し、その他の特定分野に限った検索サービスは(4)の対象となる。
なお、ここでいう「全てのウェブページ」は、通常の方法により閲覧ができるものに限られ、例えば違法性ゆえに閲覧が制限されているウェブページや特殊なソフト等を使用しないとアクセスできないようなウェブページなどは含まれない。
（4）不特定の利用者の求めに応じて情報を送信する機能を有する電気通信設備を他人の通信の用に供する電気通信役務であって、不特定の利用者による情報の閲覧に供することを目的とするもの（第 51 条第 1 項第 4 号関係）
不特定の利用者の求めに応じて情報を送信し、情報の閲覧に供する、各種情報のオンライ
ン提供サービスであり、具体的には、ニュースや気象情報等の配信を行うウェブサイトやア
プリケーション、動画配信サービス、オンライン地図サービス等が該当する。
なお、情報発信を行う企業・個人・自治会等のホームページについて、自己の情報発信のために運営している場合は、自己の需要のために電気通信役務を提供しているのであって、「他人の需要に応ずるために提供」（電気通信事業法第 2 条第 4 号）しているものではないから、同号の定義する「電気通信事業」に該当せず、電気通信事業法の規律の適用対象とならない。また、金融事業者による証券・金融商品等についてのオンライン販売、小売事業者
によるモノ・商品についてのオンライン販売、メーカーによる製造した商品についてのオンライン販売などについても、電気通信役務の提供を必ずしも前提としない、別の自らの本来業務の遂行手段としてオンラインを活用している場合（ネット専業銀行など、実店舗を有していない場合を含む。
）は、自己の需要のために電気通信役務を提供しているため、同様に「電気通信事業」に該当せず、電気通信事業法の規律の適用対象とならない。他方で、本来

57

業務の遂行手段としての範囲を超えて、独立した事業としてオンラインサービスを提供している場合には、当該オンラインサービスは「電気通信事業」に該当する可能性もある。例
えば、金融事業者によるオンライン取引等及び当該取引等に必要な株価等のオンライン情報提供は「電気通信事業」に該当しないが、当該金融事業者が証券・金融商品等についてのオンライン販売のウェブサイトにおいて、オンライン取引等とは独立した金融情報のニュース配信を行っている場合には、当該ニュース配信は情報の送信（電気通信役務の提供）の事業として独立していると考えられ、「電気通信事業」に該当する。
7-2 通知又は容易に知り得る状態に置く方法（第 51 条第 2 項～第 4 項関係）

第 51 条（第 2 項、第 3 項、第 4 項）
2 前項の規定により利用者の電気通信設備を送信先とする情報送信指令通信を行おうとするときは、次の各号のいずれにも該当する方法により、第 5 項各号に掲げる事項を当該利用者に通知し、又は当該利用者が容易に知り得る状態に置かなければならない。
(1) 日本語を用い、専門用語を避け、及び平易な表現を用いること。
(2) 操作を行うことなく文字が適切な大きさで利用者の電気通信設備の映像面に表示されるようにすること。
(3) 前二号に掲げるもののほか、利用者が第 5 項各号に掲げる事項について容易に確認できるようにすること。
3 前項の利用者に通知する場合には、同項各号に掲げるもののほか、次の各号のいずれかに該当する方法により行わなければならない。
(1) 第 5 項各号に掲げる事項又は当該事項を掲載した画面の所在に関する情報を当該利用者の電気通信設備の映像面に即時に表示すること（当該事項の一部のみを表示する場合には、利用者がその残部を掲載した画面に容易に到達できるようにすること。
）。
(2) 前号に掲げる方法と同等以上に利用者が容易に認識できるようにすること。
4 第 2 項の利用者が容易に知り得る状態に置く場合には、同項各号に掲げるもののほ
か、次の各号のいずれかに該当する方法により行わなければならない。
(1) 情報送信指令通信を行うウェブページ又は当該ウェブページから容易に到達できるウェブページにおいて、次項各号に掲げる事項を表示すること。
(2) 情報送信指令通信を行うソフトウェアを利用する際に、利用者の電気通信設備の映像面に最初に表示される画面又は当該画面から容易に到達できる画面において、次項各号に掲げる事項を表示すること。
(3) 前二号に掲げる方法と同等以上に利用者が容易に到達できるようにすること。

58

情報送信指令通信が起動させることとなる情報送信機能により送信されることとなる情報について利用者に対し通知等を行うに当たっては、電気通信事業法第 27 条の 12 が利用者に対し情報送信指令通信によって送信される情報の内容や送信先となる電気通信設備等の通知等を行うべき事項について確認の機会を付与することを求めるものであることに鑑み、同法施行規則第 22 条の 2 の 29 に規定する事項について当該利用者が容易に確認できるようにすることが求められる。
7-2-1 通知又は容易に知り得る状態に置く際に共通して求められる事項（第 51 条第 2 項関係）
通知等を行う場合には、次の(1)から(3)までの全てを満たす方法により、情報送信指令通信を行おうとするときに継続的に行うことが必要である。
（1）日本語を用い、専門用語を避け、及び平易な表現を用いること。
（第 51 条第 2 項第 1号関係）
情報送信指令通信について通知等を行う場合には、日本語を用いること、専門用語を避けること及び平易な表現を用いることが必要である。情報送信指令通信に関する通知等が外
国語や専門用語で表示されている場合、利用者は通知等を行うべき事項について容易に理解できるとは考えられず、適切に確認の機会を付与しているとは言い難い。そのため、こうした言語や専門用語が利用者の確認の機会の妨げとならないようにすることが必要となる
（※1）
（※2）
。
（※1）ただし、訪日旅行者や、我が国に在住する外国人向けのウェブサイトやアプ
リケーションにおいて通知等を行う場合には、日本語だけでなく英語等も併記することが望ましい場合もある。
（※2）専門用語か否か、及び平易な表現か否かは、当該電気通信役務で想定される一般的な利用者の知識や理解力等を基準として判断すべきである。その際、ユー
ザーアンケートを行ったり、外部の有識者の意見を踏まえたりすること等が考えられる。
（2）操作を行うことなく文字が適切な大きさで利用者の電気通信設備の映像面に表示されるようにすること。
（第 51 条第 2 項第 2 号関係）
画面の拡大・縮小等の追加的な操作を行うことなく文字が適切な大きさで表示されるよ
うにすることが必要である。情報送信指令通信に関する通知等が非常に小さな文字や極端

59

に大きな文字で表示されている場合、通知等を行うべき事項について利用者が容易に確認できるとは考えられず、利用者に対し適切に確認の機会を付与しているとは言い難い。そのため、画面の拡大・縮小を行わずとも利用者が容易に読むことができる文字のサイズ（例えば、当該ウェブサイトやアプリで使用している標準的な文字サイズと同等文字サイズとすることが考えられる。
）にし、通知等を行うべき事項について利用者が容易に確認できるよ
うにすることが必要となる。
（3）(1)及び(2)のほか、利用者が通知等すべき事項について容易に確認できるようにすること。
（第 51 条第 2 項第 3 号関係）
(1)及び(2)を満たした上で、通知等を行うべき事項について、利用者が容易に理解できるようにすることが必要であり、ウェブサイトやアプリケーションの背景色との関係で視認性の高い文字色を採用すること等が望ましい。また、量が多い場合にはウェブページの階層化等の方法によりスクロールを行うことなく端末の画面に全体が表示されるようにすることも考えられる。
今後の技術の進展等も踏まえ、利用者の利便性を著しく損なわない範囲で、利用者による確認をより容易にするための電気通信事業者による創意工夫が求められる。
なお、プライバシーポリシーやクッキーポリシー等が既にあり、その中に通知等を行うべき事項を記載する際には、3-5（プライバシーポリシー）に留意しながら、本規律に関する内容が含まれること等をタイトルや見出し等に明記しておくとともに、一括して確認できるように工夫することが望ましい。
7-2-2 通知の場合に特に求められる事項（第 51 条第 3 項関係）通知の場合には、7-2-1（通知又は容易に知り得る状態に置く際に共通して求められる事項）に加え、次の(1)又は(2)のいずれかに該当する方法を取ることが必要である（※）
。
（1）通知等すべき事項又は当該事項を掲載した画面の所在に関する情報を当該利用者の電気通信設備の映像面に即時に表示すること（当該事項の一部のみを表示する場合には、利用者がその残部を掲載した画面に容易に到達できるようにすること。
）。（第 51 条第3 項第 1 号関係）
具体的にはウェブサイトやアプリケーションの画面上で、ポップアップ形式によって即時通知を行うこと等が考えられる。

60

当該事項の一部のみを表示する場合において、「利用者がその残部を掲載した画面に容易に到達できるようにすること」については、即時通知等の画面から 1 回程度の操作で到達できる遷移先の画面に当該事項が表示されており、かつ、即時通知等の画面において、当該遷移先の画面に当該残部の表示があることが利用者にとって理解できる形になっていれば良いと考えられる。
（2）(1)と同等以上に利用者が容易に認識できるようにすること。（第 51 条第 3 項第 2 号
関係）
新たな技術やユーザーインターフェースの開発・進展を見据えるとともに、電気通信事業者による創意工夫等を尊重するため、(1)の方法に限らず、同等以上に利用者が容易に認識できるようにする方法を採用することを可能としている。
（※）
「JIS X 9252 情報技術オンラインにおけるプライバシーに関する通知及び同意」（令和 5 年 1 月 20 日）において、オンラインにおけるプライバシーに関する通知の内容及び構成並びに同意を求めるプロセスを方向付ける管理策について、国際標準規格が JIS 化されている。同規格は、PII（個人識別可能情報）の収集及び利用に関して、PII が収集される個人に対し明確で理解しやすい情報を提示するため、及び、公正で、認証可能で透明性があり、曖昧でなく、かつ、取消し可能（撤回可能）な方法で PII 主体から同意を得るための管理策等について規定しており、本規律への対応に当たっても参考となり得る。
7-2-3 容易に知り得る状態に置く場合に特に求められる事項（第 51 条第 4 項関係）
容易に知り得る状態に置く措置の場合には、7-2-1（通知又は容易に知り得る状態に置く
際に共通して求められる事項）に加え、次の(1)から(3)までのいずれかに該当する方法を取ることが必要である。
（1）情報送信指令通信を行うウェブページ又は当該ウェブページから容易に到達できるウェブページにおいて、通知等すべき事項を表示すること。
（第 51 条第 4 項第 1 号関係）
利用者がウェブサイトを閲覧する際に情報送信指令通信が行われる場合を想定した方法である。
この方法により利用者が容易に知り得る状態に置く場合は、情報送信指令通信を行うウェブページ又は当該ウェブページから容易に到達できるウェブページにおいて利用者が容易に知り得る状態に置くべき事項についての表示を行う必要がある。

61

「容易に到達できるウェブページ」については、情報送信指令通信を行うウェブページから 1 回程度の操作で到達できる遷移先のウェブページに当該事項が表示されており、
かつ、
情報送信指令通信を行うウェブページにおいて、当該遷移先のウェブページに当該事項の表示があることが利用者にとって理解できる形でリンクが配置されていれば、当該遷移先のウェブページは、「容易に到達できるウェブページ」に該当すると考えられる。
（2）情報送信指令通信を行うソフトウェアを利用する際に、利用者の電気通信設備の映像
面に最初に表示される画面又は当該画面から容易に到達できる画面において、通知等すべき事項を表示すること。
（第 51 条第 4 項第 2 号関係）
利用者がアプリケーションを利用する際に情報送信指令通信が行われる場合を想定した方法である。
この方法により利用者が容易に知り得る状態に置く場合は、アプリケーションを利用する際に、利用者の電気通信設備（端末設備）の映像面に最初に表示される画面又は当該画面から容易に到達できる画面において、利用者が容易に知り得る状態に置くべき事項について表示を行う必要がある。
「容易に到達できる画面」において通知等すべき事項を表示する場合については、アプリ
ケーションの起動後最初に表示される画面において、当該事項を表示する画面へのリンクを記載する方法により行うことが考えられる。
（3）(1)及び(2)と同等以上に利用者が容易に到達できるようにすること。
（第 51 条第 4 項
第 3 号関係）
新たな技術やユーザーインターフェースの開発・進展を見据えるとともに、電気通信事業者による創意工夫等を尊重するため、(1)又は(2)の方法に限らず、同等以上に利用者が容易に認識できるようにする方法を採用することを可能としている。例えば、(1)においては、
情報送信指令通信を行うウェブページやそこから容易に到達できるウェブページにおいて、通知等すべき事項を表示することとしているが、それ以外に、ウェブサイトのトップページに表示すること等も考えられる。
7-3 通知又は容易に知り得る状態に置くべき事項（第 51 条第 5 項関係）

第 51 条（第 5 項）
5 第 1 項の規定により当該利用者に通知し、又は当該利用者が容易に知り得る状態に置かなければならない事項は、情報送信指令通信ごとに、次に掲げる事項とする。
(1) 当該情報送信指令通信が起動させる情報送信機能により送信されることとなる利62

用者に関する情報の内容(2) 前号に規定する情報の送信先となる電気通信設備を用いて当該情報を取り扱うこととなる者の氏名又は名称(3) 第 1 号に規定する情報の利用目的
7-3-1 通知等を行うべき事項（第 51 条第 5 項関係）
（1）送信されることとなる利用者に関する情報の内容（第 51 条第 5 項第 1 号関係）
利用者に対し通知等を行うべき事項について確認の機会を付与するという立法趣旨を踏
まえ、送信される情報がどのような情報であるか、利用者が適切に認識できるように記載する必要がある。送信される情報を具体的に列挙することなく、「等」や「その他」等のあい
まいな表現を安易に使用することは避けるなど、利用実態及び利用者の利便に合わせて適切に記載されるのが望ましい。
（2）(1)の利用者に関する情報を取り扱うこととなる者の氏名又は名称（第 51 条第 5 項第2 号関係）
上記(1)の情報の送信先として、当該情報を取り扱う者の氏名又は名称を記載することが必要である。
なお、例えば、当該者の氏名又は名称よりもサービス名の方が認知されやすい、といった
場合は、サービス名等も併記することが望ましい。
（3）(1)の情報の利用目的（第 51 条第 5 項第 3 号関係）
情報送信指令通信を行う電気通信事業者の利用目的（すなわち、当該電気通信事業者が情報送信指令通信を行う目的）、及び情報送信指令通信に基づく利用者に関する情報の送信先となる者の利用目的（すなわち、上記(2)に該当する者が利用者に関する情報を取り扱う目的）のいずれも記載する必要がある。
「情報送信指令通信ごとに」としているとおり、(1)から(3)までは、ウェブページやアプ
リケーションに埋め込まれたタグや情報収集モジュールごとに記載する必要がある（情報
送信指令通信が行われるたびに通知等する必要はなく、ウェブサイト単位で（ウェブページ
ごとではない）まとめて表示すること等も考えられる。）。
なお、送信先に送信された後、送信先から送信元に提供する場合や、送信先からさらに別の者に提供される場合等も考えられるが、それらはいずれも送信先が当該情報を取得した後に第三者（送信元も含む。
）に提供するものであり、本規律の対象外となるものである。

63

また、例えば、通知等すべき事項が記載された送信先のウェブページへのリンクを示す場
合や、既にプライバシーポリシーに通知等すべき事項が記載されているときに当該プライ
バシーポリシーへのリンクを示す場合は、当該リンクを単に表示するだけではなく、リンク先で表示される通知等すべき事項の概略を併せて示すことが望ましい。なお、通知等すべき事項の記載は、通知又は容易に知り得る状態に置く際に共通して求められる事項の(1)にある「日本語を用い、専門用語を避け、及び平易な表現を用いること」等を満たしておくことが必要であり、英語等日本語以外で記載されているリンクの表示のみで対応することは認められない。
なお、各記載事項については、送信先において記載例などが示されている場合は、それを本規律を満たす範囲において参考にすることが望ましい。
7-3-2 通知等を行うことが望ましい事項
7-3-1（通知等を行うべき事項）に示した通知等を行うべき事項に加え、これら以外にも、
次のような事項については、利用者への適切な確認の機会を付与するという観点からは、利用者に通知等を行うことが望ましい（※）。
・オプトアウト措置の有無
・送信される情報の送信先における保存期間
・情報送信指令通信に係る送信元における問合せ先 等（※）そのほか、次のような事項の通知等を行うことも考えられる。
・利用者に関する情報がどの国・地域に送信されることとなるか 等
7-4 適用除外（第 51 条第 6 項関係）
7-4-1 利用者に通知等を行う必要まではないと考えられる情報（第 51 条第 6 項第 1 号、第2 号関係）

第 51 条（第 6 項）
6 第 1 項の規定は、次に掲げる情報に係る情報送信指令通信については、適用しない。
(1) 当該利用者が当該電気通信役務を利用する際に送信をすることが必要なものとして次に掲げる情報であって、その必要の範囲内において送信されるもの
イ 当該電気通信役務において送信する符号、音響又は影像を当該利用者の電気通信設備の映像面に適正に表示するために必要な情報その他当該電気通信役務の提供

64

のために真に必要な情報
ロ 当該利用者が当該電気通信役務を利用する際に入力した情報を当該利用者の電気通信設備の映像面に再表示するために必要な情報
ハ 当該利用者が当該電気通信役務を利用する際に入力した認証に関する情報を当該利用者の電気通信設備の映像面に再表示するために必要な情報
ニ 当該電気通信役務に対する不正な行為の検知等を行い、又は当該不正な行為による被害の軽減等を図るために必要な情報
ホ 当該電気通信役務の提供に係る電気通信設備の負荷を軽減させるために必要な情報その他の当該電気通信設備の適切な運用のために必要な情報(2) 当該電気通信事業者が当該利用者に対し当該電気通信役務を提供した際に当該利用者の電気通信設備に送信した識別符号（電気通信事業者が、電気通信役務の提供に際し、利用者を他の者と区別して識別するために用いる文字、番号、記号その他の符号をいう。
）であって、当該情報送信指令通信が起動させる情報送信機能により当該電気通信事業者の電気通信設備を送信先として送信されることとなるもの

情報送信指令通信が起動させる情報送信機能によって送信される情報には、利用者が電気通信役務を利用する上で当該電気通信役務を提供するために必要な情報等が含まれる。
このような情報については、利用者が当該電気通信役務を利用している以上、その送信が一般的な利用者にとって想定できるものであり、利用者の判断を経る必要性が低いと考えられるため、本規律の適用除外として確認の機会の付与を義務付けないこととしている。適用除外となる情報の詳細は次のとおりである。
7-4-1-1 電気通信役務を適正に表示するために必要な情報その他の電気通信役務を利用するために送信することが必要な情報（第 51 条第 6 項第 1 号関係）
次の(1)から(5)までの情報については、利用者が電気通信役務を利用する際に送信をすることが必要なものであるため、確認の機会の付与の義務付けの対象外である。
なお、当該情報が次の(1)から(5)までのいずれかに該当する場合であっても、送信先が(1)から(5)までの目的以外の目的のためにも利用するときには、確認の機会の付与の義務付けの対象となることに留意する必要がある。
（1）当該電気通信役務において送信する符号、音響又は影像を当該利用者の電気通信設備の映像面に適正に表示するために必要な情報その他当該電気通信役務の提供のために真に必要な情報（第 51 条第 6 項第 1 号イ関係）
電気通信事業者が電気通信役務を提供するに当たっては、利用者の電気通信設備（端末設

65

備）に対して送信する符号（文字や記号等）、音響（音楽、音声や効果音等）、影像（画像や動画等）を、利用者の電気通信設備（端末設備）の映像面（ディスプレイ等）に適正に表示する必要がある。そのためには、利用者の電気通信設備（端末設備）の OS 情報、画面設定
情報、言語設定情報、ブラウザ情報といった利用者の電気通信設備（端末設備）に関する一定の情報を必要とする。したがって、これらの情報の送信については確認の機会の付与を義務付けないこととしている。
そのほかにも、電気通信役務の提供に当たって必要不可欠な情報（「真に必要な情報」）の送信があり得ると考えられるため、同様に確認の機会の付与を義務付けないこととしている。具体的には、利用者が利用を希望している電気通信役務を提供するに当たり、当該電気通信役務を提供する電気通信事業者に送信される情報は、基本的には当該電気通信役務の提供に必要なものであると考えられるため、原則として「真に必要な情報」に該当すると考えられる。ただし、利用者が当該電気通信役務を利用する際に必ずしも必要がなく、一般の利用者から見て送信されることが通常想定できない情報や、通常想定できない利用目的で利用される情報については、「真に必要な情報」には該当しないと考えられる。
一方、当該電気通信事業者以外に送信される情報については、必ずしも当該電気通信役務の提供のために必要とは考えられないため、原則として「真に必要な情報」には該当しないと考えられる。ただし、利用者が利用を希望している電気通信役務を提供するに当たり、送信することが必要不可欠な情報については、この限りではない。
（2）当該利用者が当該電気通信役務を利用する際に入力した情報を当該利用者の電気通信設備の映像面に再表示するために必要な情報（第 51 条第 6 項第 1 号ロ関係）
利用者が電気通信役務を利用する際に入力した情報を、再度当該電気通信役務を利用する際に利用者の電気通信設備（端末設備）に再表示することが利用者の便宜に資する場合があるため、このような再表示を行うために必要な情報の送信については、確認の機会の付与を義務付けないこととしている。
例えば、利用者がオンラインショッピングモールにアクセスして特定の品物を買い物かごに入れた後、時間を置いて再度アクセスした際に、当該品物を買い物かごに入った状態で再表示するために必要な情報などが考えられる。
（3）当該利用者が当該電気通信役務を利用する際に入力した認証に関する情報を当該利用者の電気通信設備の映像面に再表示するために必要な情報（第 51 条第 6 項第 1 号ハ関係）
利用者が電気通信役務を利用する際に入力した、当該利用者の認証に関する情報を、再度
当該電気通信役務を利用する際に利用者の映像面に再表示することが利用者の便宜に資す66

る場合があるため、このような再表示を行うために必要な情報の送信については、確認の機会の付与を義務付けないこととしている。
（4）当該電気通信役務に対する不正な行為の検知等を行い、又は当該不正な行為による被害の軽減等を図るために必要な情報（第 51 条第 6 項第 1 号ニ関係）
電気通信事業者が電気通信役務を提供する際には、セキュリティ対策を講じ、不正アクセスやサイバー攻撃等によって、当該電気通信事業者や、当該電気通信役務の利用者に被害が生じることを防ぎ、また、被害を軽減する必要がある。したがって、このようなセキュリテ
ィ対策（当該電気通信役務のセキュリティ対策に限られる。
）に必要な情報の送信については、確認の機会の付与を義務付けないこととしている。
（5）当該電気通信役務の提供に係る電気通信設備の負荷を軽減させるために必要な情報その他の当該電気通信設備の適切な運用のために必要な情報（第 51 条第 6 項第 1 号ホ関係）
電気通信事業者が電気通信役務を提供するに当たっては、当該電気通信役務を提供する
電気通信設備を適切に運用する必要がある。例えば、オンラインゲーム等、利用者が多く多数のアクセスが集中する電気通信役務を提供する際には、特定のサーバ等に過剰な負担がかかることを防ぐため、負荷分散（ロードバランシング）等の措置が必要な場合がある。したがって、このような負荷分散など、電気通信設備の適切な運用のための措置に当たり必要な情報の送信については、確認の機会の付与を義務付けないこととしている。
7-4-1-2 電気通信役務を提供する者が利用者に送信した識別符号であって、当該電気通信事
業者に送信されるもの（第 51 条第 6 項第 2 号関係）
電気通信事業者は、その利用者に対し電気通信役務を提供する際に、当該利用者を識別するために、文字列で構成された識別符号（First Party Cookie に保存された ID（※1）等）を当該利用者に送信して、これを当該利用者の電気通信設備（端末設備）に記録させることがある。当該識別符号は当該電気通信事業者が生成するものであり、当該電気通信事業者が当該識別符号を当該利用者から当該電気通信事業者自身に送信させてこれを取得しても、当該利用者に自らが付した識別符号を回収しているに過ぎず、その使途も ID・パスワードの入力の省略等と限定的であることが想定される。この点に鑑みると、当該識別符号の送信については、利用者の判断を経る必要性が低いため、送信される情報の内容等を当該利用者に通知等を行うことを要しないものである（※2）
。

67

（※1）First Party Cookie に保存された ID 以外の、当該電気通信事業者への利用者に関する情報の送信に関しては、本規律の原則どおり、利用者に通知等を行うことを要するが、原則として 7-4-1-1 の真に必要な情報に該当すると考えられる。
（※2）First Party Cookie に保存された ID を利用して当該電気通信役務を提供する電気通信事業者以外の第三者に利用者に関する情報を送信することもあり得るが、このような利用者に関する情報の第三者への送信に関しては、利用者が利用を希望している電気通信役務の提供に当たり、送信することが必要不可欠な情報でない限り、利用者に通知等を行うことを要する。
7-4-2 利用者が同意している情報（第 51 条第 6 項第 3 号関係）

第 51 条（第 6 項）
6 第 1 項の規定は、次に掲げる情報に係る情報送信指令通信については、適用しない。
(3) 当該情報送信指令通信が起動させる情報送信機能により送信先の電気通信設備に送信されることについて当該利用者が同意している情報

情報送信指令通信が起動させる情報送信機能により、送信先の電気通信設備に情報が送信されることについて、利用者が同意をしている場合、電気通信事業者は当該利用者に対し、同意の取得を通じて、当該情報の送信を認識し、及び選択する機会を付与しており、これにより確認の機会を付与していることとなるため、当該利用者に対し別途通知等を行う必要はない。
ただし、このような規律の趣旨からして、当該同意の取得は、適切な確認の機会の付与といえるものでなければならないため、同意取得にあたっては、次のとおり、利用者に適切な通知等を行い、かつ適切な方法により同意を取得することが必要である（※1）（※2）
。
（※1）当該同意取得が適切な確認の機会の付与といえるか否かについては、当該電気通信事業者の取組や当該電気通信役務の利用者の知識や理解力等によっても変わり得るため、ユーザーアンケートを行ったり、外部の有識者の意見を踏まえたりすること等が考えられる。
（※2）
「JIS X 9252 情報技術オンラインにおけるプライバシーに関する通知及び同意」（令和 5 年 1 月 20 日）において、オンラインにおけるプライバシーに関する通知の内容及び構成並びに同意を求めるプロセスを方向付ける管理策について、国際標準規格が JIS 化されている。同規格は、PII（個人識別可能情報）の収集及び利用に関して、PII が収集される個人に対し明確で理解しやすい情報を提示するため、及び、公正で、認証可能で透明性があり、曖昧でなく、かつ、取消し可能（撤回可能）な方法で PII 主体から同意を得るための管理策等について68規定しており、本規律への対応に当たっても参考となり得る。
7-4-2-1 同意取得にあたっての利用者への通知等
同意の取得により適切な確認の機会を付与したというためには、同意の対象となる情報の内容及び情報の送信先等について、当該利用者が容易かつ適時に確認できることが必要である。したがって、利用者の同意を取得するにあたっては、あらかじめ、利用者に対し、7-2（通知又は容易に知り得る状態に置く方法）に記載する通知等を行うべき方法により、7-3（通知等を行うべき事項）に記載する通知等を行うべき事項について、通知等を行うことが望ましい。
7-4-2-2 望ましい同意取得の方法
同意の取得により適切な確認の機会を付与したというためには、利用者の具体的かつ能動的な同意を取得することが必要である。したがって、利用者の利便性を損なわないようにしつつ、利用者の過度な負担とならない範囲で、情報送信指令通信ごと（ウェブページやア
プリケーションに埋め込まれたタグや情報収集モジュールごとに）に同意を取得することが望ましい。また、同意するためのチェックボックス等にあらかじめチェックを付しておく
方法（デフォルト・オン）等、利用者が能動的に同意を行ったとはいえないような方法は避けるべきである。
7-4-3 送信又は利用の停止を求めていない情報（第 51 条第 6 項第 4 号関係）

第 51 条（第 6 項）
6 第 1 項の規定は、次に掲げる情報に係る情報送信指令通信については、適用しない。
(4) 当該情報送信指令通信が次のいずれにも該当する場合には、当該利用者がイに規定する措置の適用を求めていない情報
イ 利用者の求めに応じて次のいずれかに掲げる行為を停止する措置（以下この号において「オプトアウト措置」という。
）を講じていること。
① 当該情報送信指令通信が起動させる情報送信機能により行われる利用者に関する情報の送信② 当該情報送信指令通信が起動させる情報送信機能により送信された利用者に関する情報の利用
ロ 次に掲げる事項について利用者が容易に知り得る状態に置いていること。
① オプトアウト措置を講じている場合にあっては、その旨② オプトアウト措置がイ①又は②のいずれの行為を停止するものであるかの69

別③ オプトアウト措置に係る利用者の求めを受け付ける方法④ 利用者がオプトアウト措置の適用を求めた場合において、当該電気通信役務の利用が制限されることとなるときは、その内容⑤ 情報送信指令通信が起動させる情報送信機能により送信されることとなる利用者に関する情報（第 1 号及び第 2 号に掲げるものを除く。
）の内容⑥ ⑤に規定する情報の送信先となる電気通信設備を用いて当該情報を取り扱うこととなる者の氏名又は名称⑦ ⑤に規定する情報の利用目的

利用者に対し、情報の送信又は利用を停止する措置を講ずること、つまりオプトアウト措
置を講ずることは、利用者に対して、自身に関する情報の送信を選択する機会を与えるものであって、確認の機会を付与するものといえる。そのため、電気通信事業者により適切にオ
プトアウト措置が講じられた情報であって、利用者が当該措置の適用を求めていない場合は、当該利用者に対して別途通知等を行う必要はない。
なお、電気通信事業者がオプトアウト措置を講じていたとしても、7-4-3-2（オプトアウ
ト措置に関して利用者が容易に知り得る状態に置く方法）にあるように、電気通信事業法施行規則第 22 条の 2 の 30 に規定する事項を利用者が容易に知り得る状態に置いていない場
合には、本規律の適用対象となり、通知等を要する。
7-4-3-1 オプトアウト措置に関して利用者が容易に知り得る状態に置くべき事項（第 51 条
第 6 項第 4 号ロ関係）
電気通信事業者は、オプトアウト措置を講ずるときは、次の(1)から(7)までに掲げる事項
を、利用者が容易に知り得る状態に置かなければならない。
（1）オプトアウト措置を講じている旨（第 51 条第 6 項第 4 号ロ①関係）
オプトアウト措置を講じている場合は、その旨を利用者が容易に知り得る状態に置かなければならない。
（2）オプトアウト措置が、情報の送信又は情報の利用の停止のいずれの行為を停止するものであるかの別（第 51 条第 6 項第 4 号ロ②関係）
オプトアウト措置について、利用者の求めに応じて利用者に関する情報の送信が停止されるのか、あるいは送信された利用者に関する情報の利用が停止されるのかを、明記しなけ

70

ればならない。
（3）オプトアウト措置に係る利用者の求めを受け付ける方法（オプトアウト措置の申込み
方法）（※1）（第 51 条第 6 項第 4 号ロ③関係）
事例 1) ボタンのクリックやタップ
事例 2) ホームページ上の指定フォームへの入力
事例 3) ダッシュボードでの操作（※2）
事例 4) リンクの表示（※3）（※1）
「利用者の求めを受け付ける方法」には、利用者が求めを行う連絡先（事業者名、
送信先メールアドレス等。当該電気通信事業者が外国に本拠地を置く場合においては国内代理人の氏名、連絡先等。
）が含まれる。
（※2）当該ダッシュボードにおける操作方法が明らかではない場合、具体的な操作方法を示すことが必要である。
（※3）他の事業者のウェブサイト等においてオプトアウト措置を設けている場合には、
当該ウェブサイト等へのリンクを表示することも可能である（当該事業者がオプ
トアウト措置を設けていたとしても、それだけでは本規律におけるオプトアウト措置を設けたことにはならず、当該電気通信事業者においてリンクを表示する等の対応を要する。
）。この場合、当該送信先の該当ページが英語等の場合は、当該リンクを単に表示するだけではなく、リンク先での具体的な操作方法を併せて日本語で表示することが必要である。
（4）利用者がオプトアウト措置の適用を求めた場合において、当該電気通信役務の利用が制限されることとなるときは、その内容（第 51 条第 6 項第 4 号ロ④関係）
利用者がオプトアウト措置の適用を求めた場合に、利用者がその提供を受ける電気通信
役務の利用が制限されることになる場合は、その内容を明記しなければならない。電気通信役務の利用制限としては、具体的には、当該ウェブサイトの特定の機能を利用できなくなるといったことが想定される。
（5）送信されることとなる利用者に関する情報の内容（第 51 条第 6 項第 4 号ロ⑤関係）（6）(5)の利用者に関する情報を取り扱うこととなる者の氏名又は名称（第 51 条第 6 項第4 号ロ⑥関係）71

（7）(5)の情報の利用目的（第 51 条第 6 項第 4 号ロ⑦関係）
7-4-3-2 オプトアウト措置に関して利用者が容易に知り得る状態に置く方法
オプトアウト措置の提供についても、利用者が容易に知り得る状態に置くべきであり、その方法は 7-2（通知又は容易に知り得る状態に置く方法）に記載の方法に準じるのが望ましい。
その際、オプトアウト措置の申込みについて、利用者において誤解、不安感、恐怖等を生じさせることのないように留意する必要がある。また、オプトアウト措置を新しく設定したり、既存のオプトアウト措置に変更が生じたりした場合には、最新の内容について利用者に十分に周知することが望ましい。

72

（参考）スマートフォン プライバシー イニシアティブⅲ
MCF 注釈スマートフォン プライバシー イニシアティブⅲは平成 29 年 7 月に策定されたものであり、2023 年 6 月時点での個人情報保護法、電気通信事業における個人情報保護等に関するガイドラインの一部を満たしていないことに留意してください。
一方で、上記ガイドラインの解説において「アプリケーションのプライバシーポリシーに関する詳細は、スマートフォン プライバシー イニシアティブ（平成 24 年 8 月 利用者視点を踏まえたＩＣＴサービスに係る諸問題に関する研究会）等によるものとする。」とある
ため、ここに最新版であるスマートフォン プライバシー イニシアティブⅲを要求事項として掲載しています。特に、情報収集モジュールやターゲティング広告等、法令やガイドラ
インにて言及されていない事項についても具体的に記載されており、準拠することが求められています。

1. スマートフォン利用者情報取扱指針（前文）
平成 28 年度に出荷された携帯電話の８割以上をスマートフォンが占める（株式会社ＭＭ
総研調べ）など情報通信インフラとしてスマートフォンが急速に普及しつつある中で、スマートフォン利用者のリテラシーのレベルの多様化が進んでいる。利用者に一定の自己責任が求められるとしても、利用者の不安を解消し、利用者が安全にスマートフォンを利用できるようにするためには、スマートフォンにおける利用者情報を利活用する関係事業者等が責任を持って、利用者情報の適切な取扱いに努める必要がある。具体的には、当該関係事業者等が個人情報保護やプライバシー保護の観点から利用者情報を適切に取り扱うとともに、利用者に分かりやすい説明を行い、利用者の理解及びそれを踏まえた選択を促すことが求められる。
スマートフォン プライバシー イニシアティブでは、①透明性の確保、②利用者関与の機会の確保、③適正な手段による取得の確保、④適切な安全管理の確保、⑤苦情相談への対応体制の確保、⑥プライバシー・バイ・デザインの６つの基本原則をはじめとする指針（以下「現行指針」という。
）が示された。現行指針が対象とする利用者情報は、個人情報のみではなく、いわゆるプライバシーに関する情報も含んでおり、スマートフォン上のアプリケー
ションの特性を反映した原則となっていることから、関係事業者が当該現行指針を参照し、「プライバシー・バイ・デザイン」の視点を取り入れつつ、柔軟に必要な対応を行っていくことが望まれているものとなっていた。

73

本指針は、上述の現行指針策定後のスマートフォンの利用者情報に関する環境の変化（個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律（平成 27 年法律第 65 号）の施行等）や関係事業者
等に対する責務に係る更なる考察等を踏まえて、関係事業者等に望まれる対応を示すものである。
なお、スマートフォンのサービス構造において、多様な関係事業者等がサービス提供や利用者情報の取扱いに係わっており、本指針の目的を達成する上で、利用者情報を取得する事業者等のみでは対応できる範囲が限られる場合があるため、アプリケーション提供サイト
運営者・OS 提供事業者などの関係事業者等も連携し対応していくことが重要である。

1.1 総則1.1.1 目的
● 本指針は、スマートフォンアプリケーションの利用者情報の適正な取扱いに関し、個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「個人情報保護法」という。）、
プライバシーに関する判決、電気通信事業法（昭和 59 年法律第 86 号）、その他の関係法
令等の趣旨を取り入れつつ、スマートフォンアプリケーションに係わる関係事業者等が取り組むことが望ましい基本的事項を定めたものである。それにより、次に掲げる事項を達成し、もって、スマートフォンにおけるイノベーションの継続的な創出や市場の中長期的な成長を促進し、利用者がスマートフォンやそれを通じて提供される利便性の高いサービスを安全・安心に利用できる環境を整備することを目的とする。
① 関係事業者等による関係法令等の遵守に資すること② 利用者が自らの利用者情報の取扱いに関する情報を十分に得て、アプリケーションの利用に関し適切に判断し、行動することを支援すること
1.1.2 定義
① 利用者情報● 利用者の識別に係る情報、利用者の通信サービス上の行動履歴に関する情報、利用者の状態に関する情報など、スマートフォンにおいてスマートフォンの利用者の情報と結びついた形で生成、利用又は蓄積されている情報（電話帳等の第三者に関する情報を含む。）
の総称。
② OS
● コンピュータシステム全体を管理するソフトウェアで、基本的な機能を提供するもの。
③ アプリケーション74

● 通話やＥメールなどのコミュニケーションツール、写真・ゲームなどの様々な機能をス
マートフォンで実行するための利用者向けソフトウェア（OS を除く）。
④ アプリケーション提供者● アプリケーションを提供する事業者又は個人。
⑤ アプリケーション提供サイト● アプリケーションを提供するウェブサイトのことで、利用者はこのサイトからアプリケーションをダウンロードする。
⑥ 情報収集モジュール● アプリケーションに組み込んで利用される一連のプログラムであって、利用者情報を取得するための機能を持つものをいう。
⑦ 情報収集モジュール提供者● アプリケーション提供者に対し、情報収集モジュールを提供する事業者（当該事業者がアプリケーション提供者に当たる場合を除く。）。
⑧ アプリケーション提供者等● アプリケーション提供者及び情報収集モジュール提供者の総称。
⑨ 関係事業者等● スマートフォンをめぐるサービス提供に関係している事業者等。具体的には、アプリケ
ーション提供者、情報収集モジュール提供者、アプリケーション提供サイト運営事業者・OS 提供事業者、移動体通信事業者、端末製造事業者、その他関係しうる事業者等（アプリケーション紹介サイト運営者、広告関係事業者等）のこと。
【補足】
１．利用者情報の取得の有無による区別について
本指針の適用対象たるアプリケーション提供者及び情報収集モジュール提供者には、スマートフォンから利用者情報を自ら取得しない者も含まれる。これは、例えば、アプリケーシ
ョン提供者がプライバシーポリシーを掲示等していない場合、アプリケーション提供者が利用者情報を取得していないためプライバシーポリシーを掲示等していないのか、利用者情報を取得しているにもかかわらずプライバシーポリシーを掲示等していないのかが不明
であること、及び、アプリケーション提供者が利用者情報を取得しない場合であっても、情報収集モジュールにより利用者情報がスマートフォン外部に送信され情報収集モジュール75

提供者による取得となる場合があることなどに鑑み、利用者が自らの利用者情報の取扱いに関する情報を十分に得て、アプリケーションの利用に関し適切に判断し、行動することを支援するという本指針の趣旨に鑑みたためである。ただし、スマートフォンから利用者情報を自ら取得しない場合には、本指針の取得を前提とした箇所は、適用されない。
２．
「取得」についてこの指針の適用については、アプリケーション上において利用者本人が自ら利用者情報を登録するか、利用者情報が自動的にアプリケーションの外部に送信されるかにかかわらず、
スマートフォン外部へのアプリケーション提供者等に対する利用者情報の送信があれば、通常、当該アプリケーション提供者等による取得があったといえる 1。
３．広告関係事業者について
広告関係事業者は、その事業形態にもよるが、アプリケーション提供者又は情報収集モジュール提供者に当たる場合が多いと考えられる。

⑩ プライバシーポリシー● 関係事業者等が個人情報保護又はプライバシー保護を推進する上での考え方や方針を明らかにする文書。本指針においては、スマートフォンにおいて提供されるアプリケーシ
ョンや情報収集モジュールについて、具体的な取得情報の項目、利用目的等を記載したものを想定している。
⑪ 通知又は公表● 「通知」は、書面（郵送等）、電子メール、ファクシミリ、口頭（電話等）等のいずれかの方法で個別に伝えること。
「公表」は、官報・公報・新聞紙等への掲載、インターネッ
ト上での公表、パンフレットの配布、窓口等への書面の掲示・備付等のいずれかの方法により公にしておくこと（スマートフォンの場合、通知は書面、電子メールやアプリによるポップアップ等、公表はアプリケーション上又はウェブサイト等へのリンクを張ること
等により行うことが想定される。
）。
⑫ 個別の情報に関する同意取得 2● アプリケーション（組み込まれた情報収集モジュールを含む。以下同じ。
）により取得される個別の情報（電話帳、位置情報等）について、取得や取扱いについて独立した形で同意を取得すること。3
1.1.3 本指針の対象者● 本指針は、アプリケーション提供者等を中心として、スマートフォン上の利用者情報の76

取扱いに係るあらゆる関係事業者等において、それぞれの役割に応じた形で適用されることを想定している。なお、アプリケーション提供サイト運営事業者・OS 提供事業者、移動体通信事業者、端末製造事業者、その他関係しうる事業者等がアプリケーション又は情報収集モジュールを提供し、利用者情報を直接取得する場合、当該事業者等は、アプリ
ケーション提供者又は情報収集モジュール提供者に該当し、それぞれの取組みを行うものとする。
1.1.4 基本原則
● スマートフォンにおける利用者情報の取扱いについて、アプリケーション提供者等は、次に掲げる基本原則に従うことが望ましい。
① 透明性の確保● 利用者情報の取得・保存・利活用及び利用者関与の手段の詳細について利用者に通知し、又は容易に知りうる状態に置く。利用者に通知又は公表あるいは利用者の同意を取得す
る場合、その方法は利用者が容易に認識かつ理解できるものとする。
② 利用者関与の機会の確保● その事業の特性に応じ、その取得する情報や利用目的、第三者提供の範囲等必要な事項につき、利用者に対し通知又は公表あるいは同意取得を行う。また、利用者情報の取得停
止や利用停止等の利用者関与の手段を提供するものとする。
③ 適正な手段による取得の確保● 利用者情報を適正な手段により取得するものとする。
④ 適切な安全管理の確保● 取り扱う利用者情報の漏えい、滅失又はき損の防止その他の利用者情報の安全管理のために必要・適切な措置を講じるものとする。
⑤ 苦情相談への対応体制の確保● 利用者情報の取扱いに関する苦情相談に対し適切かつ迅速に対応するものとする。
⑥ プライバシー・バイ・デザイン● 開発時から、利用者の個人情報やプライバシーが尊重され保護されるようにあらかじめ設計するものとする。利用者の個人情報やプライバシーに関する権利や期待を十分認識
し、利用者の視点から、利用者が理解しやすいアプリケーションやサービス等の設計・開発を行うものとする。

77

【補足】
個人情報保護法における個人情報への該当性について
個人情報保護法において「個人情報」とは、「生存する個人に関する情報（※）であって」、「当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。
）」と定義されており、同法第２条第１項第２号も含めて特定の個人の識別性（以下「個人識別性」という。
）の有無が「個人情報」該当性の要件となる。
※本欄では生存する利用者に関する情報を想定する。
【個人識別性がある場合】
スマートフォンからアプリケーション提供者等が取得する利用者情報に個人識別性がある場合、個人情報となる。例えば、電話帳においては、一般的には氏名、電話番号、メール
アドレス等の連絡先が結びつけられ個人識別可能な形で登録される場合が多く、一般的にこれを取得すると個人情報を含む内容を取得することになると考えられる。契約者情報も、一般的に、氏名、住所等を含み個人の識別が可能であるためこれを取得すると個人情報として取り扱う必要があると考えられる。
【他の情報と容易に照合し個人識別性を獲得する場合】
また、スマートフォンからアプリケーション提供者等が取得する利用者情報単体でみた
場合に個人識別性がない場合であっても、取得した者が有している情報等、他の情報と容易に照合し個人識別性を獲得する場合などには個人情報となる場合がある。例えば、電話番
号、メールアドレス、契約者・端末固有 ID、ログイン ID などが情報単体では個人識別性がない場合でも、契約者の氏名等個人情報と容易に結びつく場合には個人識別性を獲得する。
スマートフォンの契約者・端末固有 ID は通常、契約や端末によって一義的に決まり、利用者側が変更することが困難である（不変性がある）上、様々なアプリケーション提供者等により取得される可能性（共用性）がある。このことから、多くの関係事業者等が特定のス
マートフォンの契約者・端末固有 ID を用いて各々個人情報やプライバシー情報を蓄積する可能性が指摘されている。不変性、共用性のある契約者・端末固有 ID については、個人識別性を獲得する可能性もある。
なお、クッキー技術を用いて生成された識別符号については、ウェブサイトは自ら保存したクッキーのみを読み出す設計となっている。利用者側で容易に変更可能であること、一定の期間のみの利用であることから、契約者・端末固有 ID に比べると、個人識別性を取得す

78

る蓋然性は低いと考えられている。
また、ログインのための識別情報は、通常、単なる数字や記号等、それ単体では個人識別性を有しない。
上記の各 ID のいずれについても、それ自体にアルファベットの氏名を含むような場合には、個人識別性を有することがある。
【行動履歴や利用履歴に関する情報】
行動履歴や利用履歴に関する情報としては、GPS や基地局・Wi-Fi アクセスポイント情報に基づく位置情報、通信履歴（通話内容・履歴、メール内容・送受信内容等）、ウェブペ
ージ上の行動履歴などが蓄積される場合がある。また、アプリケーションの利用により蓄積される情報やアプリケーションの利用ログ、システムの利用に関するログなどが蓄積されることもある。これらは、それ自体で一般には個人識別性を有しないことが多いと考えられるが、長期間網羅的に蓄積した場合等において、態様によって個人が推定可能となる場合もある。移動履歴は、短期間のものでも、自宅、職場等の情報と等価になる場合がある。また、
大量かつ多様なこれらの履歴の集積については、個人の人格と密接に関係する可能性が指摘される。

【図表 1：スマートフォンにおける利用者情報の性質と種類】
区分

情報の

情報の種類

種類

利用者

個人識別性等

による変更
可能性

第三者に

電話帳

氏名、電話番号、メールアドレ

×～△

電話帳には一般に

関す

で管理

ス等

る情報

される

が登録されること

データが多く、個人識別氏名、電話番号等性を有している場
合が多い。
利用者の

氏名、住

氏名、生年月日、住所、年齢、 ×～△

契約者情報には一

識別に係

所等の

性別、電話番号等の情報や、ク

般に氏名、住所等

る情報

契約者

レジットカード番号等の個人が含まれており、

情報

信用情報等

個人識別性を有している場合が多
い。

79

ログイ

各種サービスをネット上で提△～○・ログインのためンに必供するサイトにおいて、利用利用者が必の識別情報は変更

要な識者を特定するためにログイン

要に応じて可能な場合も有別情報させる際に利用される識別情

変更・修正

り。

報

を行うこと

・ログインのためが可能の識別情報は、氏名等個人識別性を有する場合もあり、単なる数字や記号等で単体では個
人識別性を有さな
い場合もある。

クッキ

ウェブサイト訪問時、ウェブ○・利用者がウェブー技術

ブラウザを通じ一時的に PC

利用者が必

ブラウザ上で削除を用いに書込み記録されたデータ等

要に応じてやオプトアウトを

て生成

削除するこ

行うことが可能。

された

とが可能

・単体では個人識識別情別性を有しない報

が、発行元等において他情報と照合し個人識別性を有する場合がある。

契約者・ OS が生成する ID（Android

×・スマートフォン

端末固ID ）、 独 自 端 末 識 別 番 号

端末交換や

の OS

有 ID

（ UDID ）、 加 入 者 識 別 ID

契約変更を

ムプログラム、（IMSI）、IC カード識別番号

しない限り

SIM カード、端末（ ICCID ）、 端 末 識 別 ID

変更が困難

そのもの等に割り（IMEI）、MAC アドレス等

やシステ

振られ管理される。利用者は端末交換や契約変更をしない限り変更困難。
・単体では個人識別性を有しない。
他の情報と容易に80照合できる場合、
個人識別性を獲得する。
・同一 ID に紐付けて行動履歴や位
置情報を集積する
場合、プライバシ
ー上の懸念が指摘
される。
広告 ID

IDFA （ Identification For○

・単体では個人識

Advertisers

利用者が必別性を有しない。

要に応じて他の情報と容易に変更・修正照合できる場合、を行うこと

個人識別性を獲得が可能する可能性があ） 、

AdID（Advertising ID）

る。
・利用者が OS の設定でオプトアウ
トを行うことが可
能。
通信サー

通信履

通話内容・履歴、メール内容・ ×～△・通信相手、記録の

ビス上の

歴

送受信履歴

端末や電気

性質等により個人

行動履歴

通信事業者

識別性を有する場

や利用者

のサーバー

合がある。

の状態に

において管

・電気通信事業者

関する情理の取扱い中のもの

報

は通信の秘密の保護の対象。
・通信履歴はプラ
イバシー上の懸念が指摘される。
ウェブ

利用者のウェブページ上にお×～△

・利用者の行動履

ページ

ける閲覧履歴、購買履歴、検索

端末やウェ

歴や状態に関する

上の履歴等の行動履歴

ブページ管情報については、

行動履

理者、アプ

内容・利用目的等

歴

リケーショ

によりプライバシ

81

アプリ

アプリケーションの利用履

ン提供者等

ー上の懸念が指摘

ケーシ

歴・記録されたデータ等、シス

のサーバー

される。

ョンの

テムの利用履歴等

において管・相当程度長期間

理にわたり時系列に利用履
歴等蓄積された場合

位置情

GPS 機器によって計測され等、態様によって

報

る位置情報、基地局に送信さ個人が推定可能にれる位置登録情報なる可能性がある。

写真・動スマートフォン等で撮影され・内容、利用目的等

画等

た写真、動画によりプライバシ
ー上の懸念がある。
・個人が判別できる写真・動画等は、
個人情報に該当する。

外国事業者について 近年は外国事業者によるアプリケーションや情報収集モジュールの提供が多く行われている。この点について、個人情報保護法第 75 条においては、外国にある個人情報取扱事業者のうち、日本の居住者等国内にある者に対して物品やサービス提供を行い、これに関連してその者を本人とする個人情報を取得した者が、外国においてその個人情報を取り扱う場合には、個人情報保護法における利用目的の特定や通知等（第 15 条、第 16 条、第 18 条（第２項を除く。
））、安全管理措置に係る規定（第 20 条～第 22 条）、第三者提供の制限（第 23 条）、保有個人データに関する事項の公表等（第 27 条）、開示・訂
正・利用停止等（第 28 条～第 33 条）等が適用されることとなっている。
また、利用規約等において、専属的合意管轄裁判所を外国裁判所とし、準拠法を外国法としている場合においても、消費者である利用者からの訴訟提起の際や、不法行為に基づく請求の際には、日本の裁判所に国際裁判管轄が認められ、準拠法を日本国法とされる可能性がある。
したがって、外国事業者であっても、我が国においてサービスを提供する場合には、本指針を参照すべきである。

82

1.2 アプリケーション提供者等における取組（アプリケーション提供者及び情報収集モジュール提供者）
1.2.1 アプリケーション提供者の取組≪期待される役割≫● アプリケーション提供者は、利用者情報を取得する場合、自身の利用者情報の取扱いに責任を負っていると考えられる。
● 加えて、アプリケーション提供者は、アプリケーションが取得可能な情報についてコントロールできる立場にあり、また、アプリケーションのダウンロード時や起動時に利用者に対して情報提供・周知啓発を行う機会を有するため、自身が提供するアプリケーション
が取得・利用する利用者情報を理解し、透明性の確保を行うことが期待される。
● アプリケーションに組み込む情報収集モジュールに関しても、自己の意思で組み込み、情報収集モジュールから利益を得ている場合もあることから、情報収集モジュールの組
み込みにあたって上記の点に十分に配慮するとともに、情報収集モジュールの透明性の確保や利用者関与の機会を確保することができるよう、情報収集モジュール提供者と協力することが期待される。
● なお、利用者情報を取得しないアプリケーション提供者においても、利用者に対し、利用者情報を取得していない旨等を、あらかじめ通知又は公表することが適切であり、また、
そのアプリケーションに組み込まれた情報収集モジュールにより利用者情報の取得が行われる場合は、その旨をあらかじめ通知又は公表することが適切である。
≪具体的な取組内容≫
1.2.1.1 プライバシーポリシーの作成● アプリケーション提供者は、個別のアプリケーションや情報収集モジュールについて、
以下の①から⑧までの事項について明示するプライバシーポリシーをあらかじめ作成し、利用者が容易に参照できる場所に掲示又はリンクを張る。
① アプリケーション提供者の氏名、名称、連絡先等● アプリケーション提供者の氏名、名称、連絡先等を記載する。
② アプリケーション提供者が取得する利用者情報の項目等● アプリケーション提供者が利用者情報を取得する場合に、スマートフォン外部への送信等により取得する旨を記載するとともに、その取得する利用者情報の項目・内容を列挙する。アプリケーション提供者が利用者情報を取得しない場合は、その旨を記載する。

83

③ アプリケーション提供者による取得方法● アプリケーション提供者が利用者情報を取得する場合に、利用者の入力によるものか、
アプリケーションがスマートフォン内部の情報を自動取得するものなのか等を示す。
④ 利用目的の特定・明示● アプリケーション提供者が利用者情報を取得する場合に、利用者情報を、アプリケーシ
ョン自体の利用者に対するサービス提供（提供するサービス概要を簡単に記載する等）のために用いるのか、広告配信・表示やマーケティング目的のために取得するのか、それら以外の目的のために用いるのかを明確に記載する。
➢ アプリケーション自体が利用者に提供するサービス以外の目的のために利用する場
合については、利用者が利用目的や利用方法を容易に想定できないことから、利用目的と取得する利用者情報の項目の関係について丁寧な説明を行うこととする。
➢ 広告配信・表示やマーケティング目的のために利用者情報の取得を行う場合には、適
正にその目的を明示する。利用者に対してターゲティング広告等の配信を行う場合にはその旨記載する。
➢ 現段階では利用目的が明確ではなく、将来的な活用を見込んで利用目的の範囲を定めず様々な利用者情報を取得することは、利用目的が特定されているとはいえないため、
適切ではない。想定される利用目的の範囲をできるだけ特定し利用者に通知又は公表
あるいは同意取得をした上で、その範囲で情報を取得し取り扱う。
⑤ 第三者提供、外国の第三者に対する提供、共同利用及び情報収集モジュールに関する記載事項［第三者提供に関する記載事項］4● アプリケーション提供者が取得した利用者情報を第三者提供する場合、第三者への提供を利用目的とすること及び第三者に提供される利用者情報の項目等を明確にプライバシ
ーポリシーに記載する。
［外国の第三者に提供する場合の記載事項］5● 外国にある第三者に利用者情報を提供する場合（第三者提供のほか、委託先や共同利用
相手へ提供する場合を含む。
）には、外国にある第三者に提供する旨をプライバシーポリ
シーに記載する 6。
［共同利用する場合の記載事項］● アプリケーション提供者が、特定の者と利用者情報を共同利用する場合には、①共同利用をする旨、②共同利用される利用者情報の項目、③共同して利用する者の範囲 7、④利
用する者の利用目的 8、及び⑤当該利用者情報の管理について責任を有する者の氏名又は84

名称 9 を明確にプライバシーポリシーに記載する。
［情報収集モジュールに関する記載事項］● 情報収集モジュール提供者の提供する情報収集モジュール（以下単に「情報収集モジュール」という。
）が組み込まれていない場合は、アプリケーション提供者以外の第三者が情報収集モジュールを用いて利用者情報を取得しない旨を記載する。
● アプリケーション提供者が情報収集モジュールを組み込む場合、アプリケーションを通じた情報収集の実態について明らかにする上で、アプリケーション提供者は、自らが組み込んでいる情報収集モジュールを用いたサービスの名称、提供者等の基本的な情報について、利用者に対して説明する。
● 具体的には、アプリケーション提供者は、アプリケーションに情報収集モジュールを組
み込んでいる場合、アプリケーションのプライバシーポリシーにおいても、①組み込んでいる情報収集モジュールを用いたサービスの名称、②情報収集モジュール提供者の名称、③取得される利用者情報の項目、④利用目的、⑤第三者提供・共同利用の有無等 10 について情報収集モジュールごとに記載するとともに、各情報収集モジュール提供者のプラ
イバシーポリシーにリンクを張るなどして容易に見られるようにする。なお、その際、情報収集モジュールによりスマートフォン外部に利用者情報が送信される旨が分かるように記載する。
⑥ 同意取得の方法及び利用者関与の方法● 同意取得の方法：同意取得の対象となる利用者情報の範囲・取扱方法等について記載する。
● 利用者関与の方法：利用者情報の利用を中止する方法等を記載する。
➢ アプリケーション提供者による利用者情報の利用を中止してほしい場合に、アプリケ
ーションそのものをアンインストールする以外に方法がないときは、その旨記載する。
➢ アプリケーションを使用しながら、アプリケーション提供者による利用者情報の取得が中止される方法がある場合、又は利用者情報の取得は継続されるがその利用が中止
される方法がある場合には、そのいずれであるかが分かるようにして記載するものとする。
⑦ 問合せ窓口● アプリケーション提供者が利用者情報を取得する場合に、利用者情報の取扱いに関する問合せ窓口の連絡先等（電話番号、メールアドレス等）を記載する。
⑧ プライバシーポリシーの変更を行う場合の手続● プライバシーポリシーの変更を行った場合の通知方法等を記載する。

85

【補足】
プライバシーポリシーは、基本原則に定められた「透明性の確保」や「利用者関与の機会の確保」等を実現するための中核となる手段である。そのため、アプリケーション提供者の取組として、まずプライバシーポリシーの具体的な作成項目を示している。
様々な利用者情報が大規模に蓄積されるスマートフォンにおいては、アプリケーションのプライバシーポリシーについては原則として企業全体のプライバシーポリシーやアプリ
ケーションの利用規約と別に策定されることが望ましい。また、アプリケーションのプライ
バシーポリシーを策定する際には、企業全体のプライバシーポリシーや当該アプリケーシ
ョンの利用規約との整合性について確認し、必要に応じて調整を行うことが期待される。
なお、利用者から観た際に、利用者情報の取得がされないためプライバシーポリシーを作成・公表していないのか、取得がされているにもかかわらず作成・公表していないのか不明
確であると利用者が不安になる可能性があるため、利用者が自らの利用者情報の取扱いに関する情報を十分に得て、アプリケーションの利用に関し適切に判断し、行動することを支援するという本指針の趣旨に鑑み、利用者情報をアプリケーション提供者が取得していな
い場合においてもプライバシーポリシーを通知又は公表することが望ましい。具体的には、
アプリケーション提供者が利用者情報を取得していない場合には、①、②、④（情報収集モジュールに関する部分に限る。）及び⑦を記載したプライバシーポリシーへのリンクを張る、又はアプリケーション提供サイトのアプリケーション紹介文において記載するなどして公表することが考えられる。
1.2.1.2 プライバシーポリシー等の運用（1）通知・公表又は同意取得の方法[一般的な取扱い]● アプリケーション提供者は、プライバシーポリシーを定め公表するとともに、アプリケ
ーションをダウンロードしようとする者が容易に参照できる場所に掲示又はリンクを張る。11● アプリケーションをダウンロードしようとする者がスマートフォンの画面上で容易に理解できるように、プライバシーポリシーの分かりやすい概要を作成して利用者が容易に参照できる場所に掲示又はリンクを張ることが望ましい（概要から詳細なプライバシ
ーポリシーへリンクを張る方法なども有用である）。
● プライバシーポリシーによる通知又は公表あるいは同意取得は、原則として利用者がア
プリケーションをダウンロードあるいはインストールしようとする前に行うこととする。
それらの時点で行うことが難しい場合には、初回起動時に処理が実行される前に行うも
のとする。

86

● 特に同意取得を要する利用者情報 12 については、アプリケーションをダウンロードある
いはインストールする前、初回起動時に処理が実行される前など、当該情報を取得するための処理が実行されうる前に同意取得が行われるように設計する。
● アプリケーションに関する OS によるパーミッションは一般にアプリケーションがどのような情報にアクセスするかを示しているが、利用目的やスマートフォン外部への送信・第三者提供・共同利用の有無等の項目の記載がない場合には、OS によるパーミッション
のみでは本項に示す通知又は公表あるいは同意取得として十分ではない 13。OS によるパーミッションが表示される際に別途 14 アプリケーション提供者が作成したプライバシー
ポリシーのリンク先を示すなどの方法により通知又は公表を行うか、必要に応じて個別の情報に関する同意取得等を行うことが適切である。
[同意取得等を要する利用者情報の取扱い]● アプリケーション提供者が取得する利用者情報であって、プライバシー性が高いと考えられる情報のうち、現状の利用実態を踏まえ代表的なものの取扱いについて、以下のとおり個別に対応する。
① 個人情報を含む電話帳 目的に応じ必要とされる範囲（フィールド）を限定するとともに、プライバシー侵害を回避する観点から、個別の情報に関する同意取得を行う 15。
② アプリケーションが提供するサービス 16 への利用以外の目的で、個人と結びつきうる
形で GPS の位置情報 17 などを取得する場合 プライバシー侵害を回避する観点から、個別の情報に関する同意取得を行う。
③ 通信内容・履歴、メール内容・送受信履歴等の通信履歴の取得 通信相手等の個人識別性を有する場合があること、及び通信の内容を含むプライバシー侵害を回避する観点か
ら、個別の情報に関する同意取得を行う。18④ スマートフォンのアプリケーションの利用履歴 19 やスマートフォンに保存された写真・動画 アプリケーションによるサービス提供のために必要な範囲で用いられる場合を除き、プライバシー侵害を回避する観点から、個別の情報に関する同意取得を行う。
⑤ 契約者・端末固有 ID など、契約や端末に対して一義的に指定・作成され、利用者側で変更が困難であるが、幅広い主体により利用される可能性があるものが ID などの情報を取得するアプリケーション提供者等において個人識別性を有する情報と結びつきうる
形で利用される場合 同一 ID の上に様々な情報が時系列的に蓄積し得ること、当該アプ
リケーション提供者等又は第三者において個人識別性を有する可能性があることから、

87個人情報保護法への抵触やプライバシー侵害の可能性を考慮し、個人情報に準じた形で取り扱うことが適切と考えられる。具体的には、取得される項目及び利用目的を明確に記載し、その目的の範囲内で適正に扱うこととする。

【補足】
1. プライバシーポリシー等の運用
プライバシーポリシーにより、利用者に対し、利用者情報の取得等に関して説明することは、アプリケーション提供者が社会の信頼を確保するために重要である。
個人情報の保護に関する基本方針では、プライバシーポリシー等を策定・公表することにより、「個人情報を目的外に利用しないことや苦情処理に適切に取り組む等を宣言するとともに、事業者が関係法令等を遵守し、利用目的の通知・公表、開示等の個人情報の取扱いに関する諸手続について、あらかじめ、対外的に分かりやすく説明することが、事業活動に対する社会の信頼を確保するために重要である」ことが示されている。
さらに、電気通信事業における個人情報の保護に関するガイドラインにおいては、「電気通信事業者は、アプリケーションソフトウェア（以下「アプリケーション」という。
）を提供する場合において、当該アプリケーションによる情報の取得等について明確かつ適切に定めたプライバシーポリシーを公表することが適切である」ことが定められており、事業者
単位でのプライバシーポリシーではなく、アプリケーション単位でプライバシーポリシー
を定め、公表することが示されている。
こうした観点により、1.2.1.1.プライバシーポリシーの作成において、具体的なプライバ
シーポリシーの項目を示しているが、プライバシーポリシーは、あくまでも手段であり、適切に運用されて初めて、利用者の信頼を得ることができるとともに、アプリケーション提供者の関係法令等の遵守に資するものである。そこで本節では、プライバシーポリシー等の運用に係わる具体的な取組を示した。
2. プライバシーポリシーの掲示場所等
プライバシーポリシー等を適切に運用し、透明性を高めるためには、利用者が容易にプラ
イバシーポリシーを確認できることが重要である。そのような観点から、容易に参照できる
場所に掲示又はリンクを張ることを求めている。
3. 通知・公表又は同意取得のタイミング
まず、アプリケーションをダウンロードした後にプライバシーポリシーを確認した場合、既に利用者情報が取得されている可能性があるため、利用者がアプリケーションをダウンロードする前に通知又は公表することが望ましい。なお、原則としてアプリケーション提供
サイト（Google Play など）のアプリケーション紹介ページにプライバシーポリシーへのリンクを張ることが望ましいが、一方で、アプリケーションの利用開始後に利用者がプライバ

88シーポリシーを容易に確認することを可能とするため、アプリケーション内にもプライバ
シーポリシーが掲示されていることが望ましい。
4. 同意取得等を要する利用者情報の取扱い「プライバシー情報の収集について、本人の同意がある場合や、収集方法等に照らして定型的に推定的同意があると認められる場合には、人格的自律ないし私生活上の平穏を害する態様で収集されたということはできない」（東京地判平成 22 年 10 月 28 日 客室乗務員
DB 事件）といった裁判例など、プライバシー性の高い情報を取得・利用・提供する場合、本人の同意があればプライバシー権侵害に当たらない場合がある。そのような観点から、ア
プリケーション提供者等がプライバシー性の高い利用者情報を取得する場合には、個別の利用者情報に関する同意を取得することによりプライバシー侵害を回避しうる。
有効な同意と認められるかは、事案に応じて検討が必要である。例えば、アプリケーショ
ンに関する OS によるパーミッションにより「アプリケーションが当該情報にアクセスする権限」に対する許諾を得たとしても、「利用目的」、「利用者情報の外部送信」及び「第三者提供」について説明がない場合には、単体では第三者提供に係る同意取得の条件を満たしているとはいえないとの指摘がある。

（２）利用者関与の方法● 利用者情報が、プライバシーポリシーに反して、取得され又は取り扱われていることが明確である場合などについては、利用者からの申出を受け利用の停止又は消去を行うものとする。
● 利用者が利用者情報の範囲・取扱方法について同意した場合であっても、その同意の後に当該同意の撤回などができる機会を提供するよう努める。
（３）アプリケーションの更新等によるプライバシーポリシーの変更● アプリケーションの更新等によりプライバシーポリシーを変更する場合は、利用者に対し、通知することが適切である。
● アプリケーションの更新等によりプライバシーポリシーに定めた利用目的から関連性を有する範囲を超えて利用目的が変更となる場合には、利用者から同意を取得するものとする。
● なお、アプリケーションの更新等により、当初の同意取得の対象であった利用者情報の範囲・取扱方法が変更される場合には、利用者から同意を取得するものとする。
1.2.1.3.苦情相談への対応体制の確保● 利用者情報を取得するアプリケーション提供者は、利用者情報の取扱いに関する苦情や89

相談の適切かつ迅速な処理に努める。具体的には、苦情相談の窓口・連絡先を設置するなど必要な体制の整備に努める。
［情報収集モジュールを組み込む場合の取扱い］● アプリケーション提供者は、利用者から、情報収集モジュール提供者による利用者情報の取扱いに関する苦情相談があった場合であって、自らその苦情相談を処理することができないときは、情報収集モジュール提供者の相談窓口・連絡先に利用者を誘導することが望ましい。
1.2.1.4.適切な安全管理措置● 取り扱う利用者情報が漏えい、滅失又はき損の危険にさらされることがないように、利用者情報の安全管理のために必要かつ適切な措置を講じるものとする。
● 利用目的に必要な期間に限り保存し、目的達成等により不要となった際には、適切に消去するものとする。
● 利用者がアプリケーションをアンインストール等したことが判明した後のデータの保存期間、その後の処理等についてあらかじめ定めておくものとする。
● 利用者情報を取得するアプリケーション提供者が、利用目的の達成に必要な範囲において、利用者情報の取扱いの全部又は一部を外部委託する場合は、委託先における利用者情報の取扱いの安全管理についても監督するものとする。
1.2.1.5 アプリケーションの開発時における留意事項● アプリケーション提供者は、利用者の個人情報やプライバシーが尊重され保護されるよ
うに、アプリケーションの企画及び設計の段階から、当該アプリケーションにおける利用者情報の取り扱われ方について検討し、適切な仕組みをアプリケーションに組み込むことが望ましい。
● アプリケーション提供者がアプリケーションの開発を委託する場合、委託先とともに利用者情報取扱いに関する要求事項を整理し、当該要求事項がアプリケーションに組み込まれるよう指示し、監督することが望ましい。加えて、アプリケーション提供者は、あらかじめプライバシーポリシーを作成するとともに、委託先からのアプリケーションの納品を受ける際に、プライバシーポリシーの記載事項とアプリケーションの挙動が一致するかを検証することが望ましい。
1.2.2.情報収集モジュール提供者の取組≪期待される役割≫● 情報収集モジュール提供者は、利用者情報を取得する場合、自身の利用者情報の取扱いに責任を負っていると考えられる。

90

● 加えて、情報収集モジュール提供者は、情報収集モジュールの挙動や取得した情報の利用に一義的に関与していることから、情報収集モジュールの利用者情報の取扱いに関する透明性等が確保されるようアプリケーション提供者を支援することが期待される。
≪具体的な取組み内容≫
1.2.2.1.プライバシーポリシーの作成● スマートフォンから利用者情報を収集する情報収集モジュール提供者は、1.2.1.1 を踏まえ、プライバシーポリシーを作成するものとする。その際、1.2.1.1 の適用に当たっては、
適宜、「アプリケーション提供者」を「情報収集モジュール提供者」と、「アプリケーション」を「情報収集モジュール」と読み替えるものとする。
1.2.2.2.プライバシーポリシーの運用等● 1.2.1.2 を踏まえて、プライバシーポリシーの運用等を実施することが望ましい。その際、1.2.1.2 の適用に当たっては、適宜、「アプリケーション提供者」を「情報収集モジュール提供者」と読み替えるものとする。
● ただし、アプリケーションの利用者に対する通知又は公表あるいは同意取得に関しては
情報収集モジュール提供者自身が実施することは困難だと考えられ、アプリケーション
提供者を介して行われることが想定されるため、情報収集モジュール提供者は、関連する内容を含むプライバシーポリシーを公表し、アプリケーション提供者へ通知するものとする。
● アプリケーションの利用者から、情報収集モジュール提供者に対し、取得した利用者情報に関する問合せ又は取得した利用者情報の削除等の申出があった場合、必要に応じてアプリケーション提供者と協力し、これに応じるものとする 20。
● プライバシーポリシーの内容について変更があった場合は、プライバシーポリシーを更新するものとする。プライバシーポリシーの内容について重要な変更があった場合には、プライバシーポリシーを更新し、公表するとともに、アプリケーション提供者へ通知する
ものとする。
1.2.2.3.苦情相談への対応体制の確保及び適切な安全管理措置● 苦情相談への対応体制の確保及び安全管理措置については、1.2.1.3 及び 1.2.1.4 を踏まえて取り組むものとする。
1.3.行動ターゲティング広告に関する特記事項● 広告関係事業者が行動ターゲティング広告を配信する場合は、行動履歴や利用履歴等の利用者情報を取得し、利用者の嗜好等を詳細に分析することがあり、利用者情報の蓄積期
間や転々流通する範囲など利用者情報の取扱いの態様によっては、プライバシー侵害の91

リスクが高まることが、「利用者視点を踏まえた ICT サービスに係る諸問題に関する研究会」の第二次提言（平成 22 年５月 26 日公表）において指摘されている。そのため、行
動ターゲティング広告を配信する広告関係事業者は、利用者情報の取扱いに関して、より一層配慮することが期待され、当該提言において示された「配慮原則」を踏まえて作成された自主的なガイドラインを本指針を踏まえて見直したもの等に基づき取り組むものとする。
＜＜＜＜＜＜＜＜ 以下 1.4.以降

省略＞＞＞＞＞＞＞＞（脚注）
1 スマートフォン外部へのアプリケーション提供者等に対する利用者情報の送信があれば、通常、当該アプリ提供者等は当該利用者情報を利用可能となる。個人情報保護法において、「提供」とは、「個人データ、保有個人データ又は匿名加工情報を、自己以外の者が利用可能な状態に置くこと」とされており（個人情報の保護に関する法律についてのガイドラ
イン（通則編）（平成 28 年 11 月策定。平成 29 年３月一部改正 個人情報保護委員会）（以下「個人情報保護委員会ガイドライン」という。）、個人情報が利用可能な状態となる場合には、その個人情報を取得したものと考えられる。
2 同意取得の方法について、個人情報保護法においては、「事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなくてはならない」とされており（個人情報保護委員会ガイドライン参照）、事
案に応じて適切な同意取得の方法を検討する必要がある。プライバシー上の懸念が生じうる情報に係る同意取得においても、同様に、情報の性質等に鑑み事案に応じた検討が必要となる。
3 アプリケーションに係るプライバシーポリシー等に基づき、アプリケーションの利用者
情報の取得や取扱いについて一括して同意を取得するアプリケーションに関する同意取得とは異なることに留意。
4 アプリケーション提供者が取得した利用者情報を第三者提供する場合、あらかじめ本人の同意を取得することが適切である。ただし、本指針では具体的には取り扱わないが、オプ
トアウトによる第三者提供を否定するものではない。
5 個人データに該当する利用者情報を外国（個人情報の保護に関する法律施行規則（平成 28
年個人情報保護委員会規則第 3 号。以下「個人情報保護委員会規則」という。
）で定める外国を除く。
）にある第三者（同規則で定める基準に適合する体制を整備している者を除く。
）に提供する場合、個人情報保護法により、原則として、外国にある第三者への提供を認める旨の同意の取得があらかじめ必要になることに留意。
6 次の場合に該当するときは、記載不要。
①当該外国が、日本と同等水準の個人情報保護の制度を有している外国として個人情報92

保護委員会規則で定めるものである場合（※ 現時点では不存在）②当該第三者が次のいずれかの基準を満たす場合
i)当該外国の第三者における利用者情報の取扱いについて、適切かつ合理的な方法（契約等）により、個人情報保護法第４章第１節（第１５条ないし第３５条の個人情報取扱事業者の義務）の趣旨に沿った措置の実施が確保されていること。
ii)当該外国の第三者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること（※ APEC の越境プライバシールール（CBPR）システムの認証を取得していること）。
③個人情報保護法第２３条第１項各号のいずれかに該当する場合
7 共同利用する者の範囲には、必ずしも共同利用者の名称等を個別に全て列挙する必要はないが、本人がどの事業者まで将来利用されるか判断できる程度に明確にする必要がある。
8 利用目的は、全て記載する必要がある。利用者情報の項目によって利用目的が異なる場合
は、項目ごとに利用目的を区別して記載することが望ましい。
9 全共同利用者の中で、第一次的に苦情の受付・処理、開示・訂正等を行う権限を有する者の氏名又は名称を記載する。
10 情報収集モジュールにより③取得される情報の項目、④利用目的、⑤第三者提供・共同利用の有無等について、情報収集モジュールのプライバシーポリシーやウェブサイト等に明示されている場合、そのリンクを張る等により代えることも可能。
11 アプリケーションをダウンロードした後に利用者がプライバシーポリシーを確認した
場合、既に利用者情報が取得されている可能性があるため、利用者がアプリをダウンロー
ドする前に通知又は公表することが望ましい。なお、原則としてアプリケーション提供サイト（Google Play など）のアプリケーション紹介ページにプライバシーポリシーへのリンクを張ることが望ましい。ただし、アプリケーションの利用開始後に利用者がプライバ
シーポリシーを容易に確認することを可能とするため、アプリケーション内にもプライ
バシーポリシーが掲示されていることが望ましい。
12 病歴、健康診断等の要配慮個人情報に該当する利用者情報を取得する場合、個人情報保護法により原則として同意の取得が必要になることに留意。
13 OS のパーミッション等において、実際に取得される情報の項目及び利用目的等が具体的に記載されるような形式がとられた場合等には、当該パーミッションにより通知・同意を行う可能性もある。
14 OS のパーミッションを表示する際に合わせて表示される自由記入欄にプライバシーポ
リシーを表示することも一案と考えられる。
15 その場合であってもこれらの情報は第三者に関する個人情報を含むにもかかわらず、一方当事者である利用者の同意のみしか得られていないため、利用者の一定の責任を免れない場合もあると考えられる。

93

16 原則として位置連動型の広告はアプリケーションが提供するサービスとは別と認識される。
一方、例外的に、位置連動によるクーポン等を取得することそのものを目的としている
アプリケーションであって、利用者が位置情報を提供することによりクーポンを付与されることを理解しそのサービスを利用している場合には、アプリケーションが提供するサービスと考えられる可能性がある。
17 位置情報の同意取得については、例えば、総務省の「位置情報プライバシーレポート～
位置情報に関するプライバシーの適切な保護と社会的利活用の両立に向けて～」（平成２６年７月）も参考となり得る。また、電気通信事業者においては、電気通信事業における個人情報保護に関するガイドライン第 35 条も合わせて参照されたい。
18 通信の相手方や内容に含まれる第三者の同意を得ない場合に、アプリケーション提供者
等や利用者が一定の責任を免れないこともあると考えられる。
19 アプリケーションの品質向上等のために当該アプリケーションの利用履歴等を活用することは、アプリケーションにより提供されるサービス提供の一環と考えられるため、プ
ライバシーポリシー等に明示しアプリケーションに関する通知又は公表あるいは同意取得を行うことで可能である。一方、他アプリケーションの利用履歴等については、個別の情報に関する同意取得を行うことが望ましい。
20 本人確認が不可能な場合など適切かつ合理的な方法により当該申出に応じることが出来ない場合は、利用者に対し、その理由とともに応じることが出来ない旨を説明する。

94

第 2 部 実装にあたっての推奨要件
１．同意を必要とするものについて
個人情報保護法では、要配慮個人情報の取得、個人データの第三者提供の場合には、あらかじめ本人の同意を得なければならないとされています。したがって「アプリケーション・
プライバシーポリシー」へ記載し公表しただけでは同意を取得したことにはならないことに注意してください。
一方で、別途、同意を取得することで「アプリケーション・プライバシーポリシー」への記載が不要となるわけではありません。要配慮個人情報も個人情報であり、また保有個人データに関する事項の公表の義務も課されています。さらに第三者提供についても、電気通信事業の個人情報保護等に関するガイドラインにおいてアプリケーションのプライバシーポ
リシーに記載すべき事項として考えられるものとされています。
同意を必要とするものについては、同意の取得の際だけではなく、透明性の確保、説明責任の観点からも、アプリケーション・プライバシーポリシーに記載することを推奨します。

２．アプリケーション・プライバシーポリシーの変更について
プライバシーに関わる情報取得や利用に関して、変更や追加をする場合は、変更前の利用
目的と関連性を有すると認められる範囲で行い、必要に応じて変更箇所や追加内容が理解できるように、通知又は公表することを推奨します。
なお、個人情報においては、目的の変更を本人が想定することが困難であると認められる変更を行う場合などは、改めて本人の同意を得なければなりません。利用者情報においても、利用者が想定することが困難であると認められる利用目的の変更を行う場合には、改めて本人の同意を得ることを推奨します。
また、新たに同意取得を要するとされている情報を取得する場合には、変更や追加時に個別に同意取得することが必要です。
アプリケーション・プライバシーポリシーを変更した場合に、履歴を掲示すると同時に過去のアプリケーション・プライバシーポリシーを閲覧できるようすることも有用です。

３．同意が得られなかった場合、オプトアウトした場合に制限される事項

95

について
情報の取得について同意を得られなかった場合、オプトアウトした場合にアプリケーシ
ョンやサービスの利用が制限される場合は、その旨を説明することを推奨します。

４．取得した利用者情報の取扱いについて
アプリケーションをアンインストールせずに端末の買い替えをした場合、退会手続きを経ずにアプリケーションを削除した場合、あるいは当初利用したものの長期間利用せずに放置した等で利用者の明確な意思表示がなかった場合であっても、利用者は自らの情報についての権利を放棄したわけではありません。一定期間、利用が無い場合には、利用者へ注意喚起し意志確認をすることが最も良い方法です。
しかし、端末を買い換えた場合等には不可能になります。こういった場合のことを考慮して、「アプリケーション・プライバシーポリシー」に、取得した利用者情報の保存期間や削除の方針を記載しておくことが有用です。
一般的な考え方として、一定の保存期間を設定し、その期間を超えて利用が無かった場合には利用者情報を削除することを明記し、利用者にあらかじめ通知又は公表することを推奨します。
また、退会手続きを行った場合、OS によるアンインストール（削除）を行った場合、端末の買い替えをした場合など、状況別に利用者の情報がどのように扱われるかを記載することは、利用者の理解を得る上で有用です。

５．必要要件以外の同意取得について
本ガイドラインの必要要件として、「アプリケーション・プライバシーポリシー」は、利用者が容易に参照できる場所に掲示またはリンクを掲載することが求められています。また契約者・端末固有 ID 等は個人情報に準じた形で取り扱うことが求められており、代替手段の検討が有用な方策として推奨されています。
このような前提の中で、アプリケーションの提供者は、利用者に対して分かりやすく透明性が高い説明を行うだけでなく有効な選択肢を提供することが、安定的な事業展開を担保することになると考えられるため、「アプリケーション･プライバシーポリシー」および「契約者・端末固有 ID 等の取得」については同意を取得することを推奨します。

96

６．本人の知り得る状態について本人の知り得る状態に置くとされるものは、本人の求めに応じて遅滞なく回答する場合を含むため、概要や一部をプライバシーポリシーに掲載し、残りを本人の求めに応じて遅滞なく回答を行うといった対応も可能ですが、可能な限り具体的な内容をプライバシーポリ
シーに記載することを推奨します。

７．日本語以外での説明に対する対応ついてアプリケーション提供者が情報収集モジュールを組み込む場合、グローバルなサービスであるスマートフォンにおいては、海外事業者が提供する情報収集モジュールを利用する場合が考えられます。情報収集モジュール提供者からアプリケーション・プライバシーポリ
シー等が日本語で提供されていない場合は、情報収集モジュール提供者に日本語での提供を求めることを推奨します。
一方で、アプリケーション提供者が利用者のために用語等の最低限の事項を日本語に翻訳して提供することも考えられます。ただし、この場合、法的な問題が発生することもありますので、利用者に提供する場合は、その旨注意事項を明記して提供することを推奨いたします。

８．既存のアプリケーションの本ガイドラインへの対応について既に提供されているアプリケーションにおいても、本ガイドラインへ可能な限り早く準拠することが求められます。
アプリケーションの改修が必要な場合は、改修計画を策定し、できるだけ迅速に対応することを推奨します。また、改修計画の策定・実行にあたっては、社内で適切な PDCA
（Plan,Do,Check,Action）サイクルが履行されるように、バージョンアップやサービス内容の変更時等のメルクマークを設定して、改修計画が着実に実行される体制を整備することを推奨します。そのような場合に、策定、掲示されたアプリケーション・プライバシーポリ
シーと実際の運用との間に矛盾が起こらないように注意してください。

97

3 部 アプリケーション・プライバシーポリシーのモデル案
本サンプルは、スマートフォンのアプリケーションにおいて利用者情報を利用する際に、ダウンロード前、インストール前もしくは初回起動時に表示する当該アプリケーションの「アプリケーション・プライバシーポリシー」の一例です。実際のアプリケーションやサービスの実態に合わせて、本サンプルを参考として検討してください。
当該アプリケーションの「アプリケーション・プライバシーポリシー」以外に、事業者としての「個人情報保護方針（プライバシーポリシー）」等の別の定めがある場合には、それぞれの関係性を明示して、通知又は公表する必要があります。
また、実際に「アプリケーション・プライバシーポリシー」を策定する場合には、本サン
プルだけに頼るのではなく、専門家や弁護士に必ず相談し、確認を取るようにしてください。

※①～⑩は、「電気通信事業における個人情報保護等に関するガイドライン」において記載することが適切であるとされた事項①情報を取得するアプリケーション提供者等の氏名又は名称②取得される情報の項目③取得方法④利用目的の特定・明示⑤通知・公表又は同意取得の方法、利用者関与の方法⑥外部送信・第三者提供・情報収集モジュールの有無⑦問合せ窓口・苦情の申出先⑧プライバシーポリシーの変更を行う場合の手続⑨利用者の選択の機会の内容、データポータビリティに係る事項⑩委託に関する事項【要注意】
スマートフォンのアプリケーションにおいて外部に送信される利用者に関する情報とは、
スマートフォンから外部に送信される個人情報を含むすべての情報です。
個人情報を取得しない場合の利用者に関する情報は、個人情報保護法における「生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないもの」とされている個人関連情報に該当すると考えられますが、電気通信事業法
では個人情報だけではなく個人関連情報を含めた利用者に関する情報が規制の対象となっ98

ていることに留意する必要があります。
したがって、個人情報を取得しない利用者に関する情報の取得であっても、個人情報の取扱いと同様に考える必要があります。

第１条（定義）
このアプリケーション・プライバシーポリシー（以下、本プライバシーポリシーといいます）は、（アプリケーション提供者名）が提供するスマートフォン用アプリケーション（アプリケーション名）（以下、本アプリケーションといいます）および本アプリケーシ
ョンに関するサービス（以下、本サービスといいます）が取得する情報の取扱いを定めたものです。
①情報を取得するアプリケーション提供者等の氏名又は名称※個人情報を取扱う場合には、当該個人情報取扱事業者の氏名又は名称に追加して、住所並びに法人にあっては、その代表者の氏名が公表事項として求められています。事業がアプリケーション中心の場合は企業のプライバシーポリシー閲覧までの導線が遠くなるため、アプリケーションのプライバシーポリシーに記載しておくことも有用と考えられます。

第２条（法令等の遵守）
本アプリケーションおよび本サービスは、情報の取得、利用その他の情報の取り扱いについて、個人情報の保護に関する法律（個人情報を取扱う場合）、電気通信事業法、関連法令、ガイドライン及びこのプライバシーポリシーを順守します。
※【MCF 推奨】本条は、保有個人データの取扱いに関する公表事項として求められている事項ですが、保有個人データ以外の情報の取扱いも同様であるべきと考えられます。事業がアプリケーション中心の場合は企業のプライバシーポリシー閲覧までの導線が遠くなるため、アプリケーションのプライバシーポリシーに記載しておくことも有用と考えられます。

第３条（安全管理措置）
本アプリケーションおよび本サービスにより取り扱われる情報は、正確かつ最新の内容に保つよう努めるとともに、不正なアクセス、改ざん、漏洩、滅失及び毀損から保護するため、必要かつ適切な以下の安全管理措置を講じます。

99

講ずる措置：入退室管理、持ち込み機器の制限、情報へのアクセス制限、盗難防止措置、
不正アクセス防止措置（※必要に応じてその他の措置を記載）※【MCF 推奨】本条は、保有個人データの取扱いに関する公表事項として求められている事項ですが、保有個人データ以外の情報の取扱いも同様であるべきと考えられます。事業がアプリケーション中心の場合は企業のプライバシーポリシー閲覧までの導線が遠くなるため、アプリケーションのプライバシーポリシーに記載しておくことも有用と考えられます。

第４－１条（取得される情報の項目、利用目的、取得方法）
本アプリケーションおよび本サービスのご利用に際して、以下の情報を以下の利用目的のためにアプリケーション経由で自動的に取得いたします。
（パターン例１）（利用目的 ※１）のため、（取得される情報の項目※２）を取得します。

（※以下、利用目的の数だけ繰り返し）
なお、以下の情報については、個別の情報の取得について同意された場合に限り、取得いたします。同意をいただけない場合には、情報は取得されない代わりに、○○の機能はご利用いただけません。
（又は：同意いただけない場合には、本アプリの使用はできません。
）（利用目的 ※１）のため、（取得される情報の項目 ※２）を取得します。
（※以下、利用目的の数だけ繰り返し）（パターン例２）
利用目的 ※１

取得される情報の項目 ※２○○（具体的なサービス内

ＧＰＳ（衛星測位システム）による端末の位置情報、

容）の提供のため電話帳の情報（電話番号）○○（具体的な内容）の性

アプリ使用履歴

能向上のため広告表示のため

広告ＩＤ、閲覧履歴

なお、下線を付した情報については、個別の情報の取得について同意された場合に限り100

取得いたします。同意をいただけない場合には、情報は取得されない代わりに、○○の機能はご利用いただけません。
（又は、同意をいただけない場合には、本アプリの使用はできません）
第４－２条（お客様ご自身によりご登録いただく情報）（※利用者に登録いただく情報がある場合のみ記載）
本アプリケーションの初回起動時に、（取得される情報の項目 ※２）を登録していただきます。また、任意にご提供いただける場合、（取得される情報の項目 ※２）について登録いただく場合があります。ご登録いただいた情報については、（利用目的 ※１）のために利用させていただき、第三者へ提供することはありません。
※１ 利用目的は可能な限り具体的に記載※２ 利用目的を満たすために必要な情報の項目すべてを列挙②取得される情報の項目③取得方法④利用目的の特定・明示取得される情報が多い場合には、利用者へのわかりやすい説明とするために、個別の条項として列挙するのではなく、利用目的別に取得される情報と取得方法をまとめて記載することを推奨します。
個人情報保護法のガイドラインでは、行動・関心等の情報を分析（プロファイリン
グ）する場合等では、どのような取扱いが行われているかを本人が予測・想定できる程度に利用目的を特定しなければならないとされており、以下が例示されています。
【本人から得た情報から、行動・関心等の情報を分析する場合に具体的に利用目的を特定している事例】
事例 1）「取得した閲覧履歴や購買履歴等の情報を分析して、趣味・嗜好に応じた新商品・サービスに関する広告のために利用いたします。」
事例 2）「取得した行動履歴等の情報を分析し、信用スコアを算出した上で、当該スコアを第三者へ提供いたします。」※【MCF 推奨】制限事項について追加説明します。情報の取得について同意を得られなかった場合にアプリケーションやサービスの制限事項についても説明することが望ましいと考えられます。

101

※【MCF 推奨】取得する情報については、利用者にとって重要と考えられるものから順に記載することを推奨します。

第５条（同意に関する公表事項）
１．
本アプリケーションおよび本サービスは、本プライバシーポリシーをご確認いただき、内容をご理解したうえでご利用ください。本プライバシーポリシーは○○の場所に掲示されており、この掲示をもって公表したものとします。ご利用者は本アプリケーショ
ンをインストールする際に、本プライバシーポリシーをご確認ください。
２．
（利用目的）のために（取得される情報の項目）の情報を取得する場合には、個別の情報の取得について同意を取得いたします。同意をいただけない場合には、○○の機能はご利用いただけません。
（又は、同意をいただけない場合には、本アプリの使用はできません）
３．情報の第三者提供を行う場合、○○により事前に同意を取得いたします。
⑤通知・公表又は同意取得の方法、利用者関与の方法のうち、同意取得の対象、タイ
ミング等について記載します。ここでは、アプリケーションおよびサービス全体に係わる同意と、個別に必要な同意とをわけて記載します。
※【MCF 推奨】本人の同意が必要となる要配慮個人情報についても、あらかじめ同意が必要となることを公表しておくことが望ましいと考えられます。

第６条（第三者提供）※第三者提供がある場合
第４－１条及び第４－２条に基づき取得された情報のうち、○○については、お客様の同意を取得した上で第三者へ提供される場合があります。
⑥第三者提供の有無を記載し、該当する場合には必要な情報を明示します。
※海外の事業者へ個人データの第三者提供を行う場合には「個人データの外国にある
第三者への提供について」を参照してください。

第７条（情報収集モジュール/SDK）※情報収集モジュール/SDK が組み込まれている場合
本サービスを無料で提供させていただくために、広告配信を目的として、当社のアプリ
ケーション・プライバシーポリシーに適合することを確認した以下の広告配信事業者が、ご利用者の情報を自動取得します。

102

１． 株式会社 AAA

aaa アドネットワーク

取得する情報の項目：○○、△△、××
利用目的：広告配信
同社からの第三者提供の有無：無アプリケーション・プライバシーポリシー （※リンク先を表示）
２． 株式会社 BBB

bbb アドネットワーク

取得する情報の項目：○○、△△、××
利用目的：広告配信、市場調査
同社からの第三者提供の有無：有（※）（※お客様の同意を取得した上で第三者提供／又は個人識別性を獲得し得ない匿名化された情報を統計処理した結果などを第三者提供 等）
アプリケーション・プライバシーポリシー （※リンク先を表示）⑥情報収集モジュール/SDK の有無を記載し、該当する場合には必要な情報を明示します。

第８条（利用者関与の方法）
本サービスでは、ご利用者の操作やお申し出により、ご利用者の情報の全部もしくは一部の取得停止、変更、削除、利用の停止をすることができます。
（例）
１． ご利用者が登録された情報のうち氏名、E メールアドレス、ユーザー・ネーム、
パスワード、居住地につきましては、本アプリケーションのご利用者情報の確認、変更画面より変更が可能です。
２． ご利用者が端末の GPS 機能を OFF にすることで、詳細な位置情報の取得が停止されます。この場合も、通信事業者の基地局によるおおまかな位置情報の取得による地図の表示およびナビゲーションはご利用できます。
３．

本アプリケーションおよび本サービスにて自動取得したご利用者の友達や知人の情報は、本アプリケーションの友達リストの設定より削除、変更が可能です。削除した場合には、本サービスのサーバーからも適切な管理のもと定期メンテナンス時に消去いたします。

４． 広告を目的とするご利用者の情報の取得停止等の取扱いにつきましては、第 5条に記載されている各社のアプリケーション・プライバシーポリシーよりご確認ください。

103

⑤通知・公表又は同意取得の方法、利用者関与の方法のうち、利用者関与の方法について明示します。
⑨利用者の選択機会の内容、データポータビリティに係る事項のうち、利用者の選
択機会の内容第９条（サービスの終了と情報の取扱い）
本アプリケーションおよび本サービスは、ご利用者が本アプリケーションの削除（アンインストール）もしくは○年(○ヶ月)以上ご利用されなかった場合には、ご利用を終了されたものとします。
※【MCF 推奨】アプリをアンインストールする場合、アプリを使用しながら情報の取得を中止する方法、情報の取得は継続されるがその利用が中止される場合などを
分けて記載
（例）
１． ご利用者が、本アプリケーションの削除（アンインストール）機能を利用して端末より削除（アンインストール）された場合、ご利用者より取得、保存したご利用者の情報は全て端末より直ちに削除され、本サービス上のサーバーからは適切な管理のもと定期的なメンテナンス時に廃棄されます。
２． ご利用者が、本アプリケーションを本アプリケーションの削除（アンインストール）機能を利用せずに端末より削除された場合や端末を交換もしくは廃棄された場合、サーバーではご利用者の情報は削除されませんのでご注意ください。
３． ご利用者が、本アプリケーションおよび本サービスを２年以上ご利用されなかった場合、当社はご利用を終了されたものとして、ご利用者から取得、保存した情報を本サービスのサーバー上から適切な管理のもと廃棄いたします。この場合も本アプリケーションおよび端末で保存しているご利用者の情報は削除されません。

⑤通知・公表又は同意取得の方法、利用者関与の方法のうち、利用者関与の方法について明示します。ここでは、アプリケーションの削除（アンインストール）や利用しなくなった場合等について説明します。
※【MCF 推奨】情報の保存期間についても説明することが望ましいと考えられます。

104

第 10 条（個人情報保護方針（プライバシーポリシー）等へのリンク）
当社の個人情報保護方針（プライバシーポリシー）および本プライバシーポリシーの最新のものは、下記のリンクよりご確認ください。個人情報保護方針（プライバシーポリシー）と本プライバシーポリシーが異なる場合には、本プライバシーポリシーが優先するものとします。
■当社の個人情報保護方針（プライバシーポリシー）
本アプリケーションの設定→当社プライバシーポリシー
htpp://www.xxxx.xxxx.co.jp/xxxx/xxxx/ （※リンク先を表示）■本アプリケーションおよび本サービスの利用規約
本アプリケーションの設定→アプリケーション利用規約
http://www.xxxx.xxxx.co.jp/xxxx/xxxx/ （※リンク先を表示）■本アプリケーションのアプリケーション・プライバシーポリシー
本アプリケーションの設定→アプリケーション・プライバシーポリシー
http://www.xxxx.xxxx.co.jp/xxxx/xxxx/ （※リンク先を表示）⑤通知・公表又は同意取得の方法、利用者関与の方法のうち、アプリケーション・プ
ライバシーポリシー等の掲示場所や掲示方法を説明します。

第 11 条（情報の開示、提供）
当社は、ご利用者の同意を得ることなく、本アプリケーションおよび本サービスにてご利用者より取得、保存した情報を、本プライバシーポリシーに明示している第三者以外に開示または提供することはありません。ただし、以下の場合は除きます。
１．法令に基づく場合。
２．人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難である場合。
３．国の機関もしくは地方公共団体またはその委託を受けたものが、法令の定めにより遂行することに協力する必要がある場合であって、本人の同意を得ることによりその遂行に支障を及ぼすおそれがある場合。
４．その他、社会通念上、当社が必要と判断した場合であって、本人の同意を得ることが困難である場合。

105

⑤通知・公表又は同意取得の方法、利用者関与の方法のうち、同意取得について、例
外の規定を明示します。

第 12 条（取得された情報の公開、共有）
利用者が本サービスを通じて友達や知人と通信による連絡および情報を共有する機能を利用した場合には、本アプリケーションにて取得したご利用者の位置情報（位置情報の機能を有効にしている場合）、メッセージに含まれるテキスト、写真、動画、音声、URLのリンクが連絡や情報の共有をしている友達や知人に通知または共有される場合があります。
また、これらの機能を全て公開する設定としていると、本サービスを利用している全ての利用者が閲覧することができます。公開範囲は、本アプリケーションの設定機能から変更することができます。
※その他、事前に通知が必要あるいは望ましいものについて記載します。また、利用者が誤解や勘違いしやすいものについても補足します。

第 13 条（問い合わせ窓口）
本アプリケーションおよび本サービスにおけるご利用者情報の取扱いに関するお問い
合わせ、ご相談は以下の窓口でお受けいたします。
■窓口名称： ○○○ お客様係

■お問い合わせ方法： 下記の問い合わせフォームより■お問い合わせフォーム ： htpp://www.xxxx.xxxx.co.jp/xxxx/xxxx/ （※リンク先を表示）⑦問い合わせ窓口の連絡先を記載します。
※お問合わせフォーム、電話、メール等連絡先の種類は問いませんが、顧客からの問い合わせに対応しうる方法を記載してください。
※認定個人情報保護団体の対象事業者の場合は、所属する認定個人情報保護団体の名称、対応窓口の連絡先を記載します（必須）第 14 条（変更）
本プライバシーポリシーは改定されることがあります。

106

１．本アプリケーションのバージョンアップに伴って、情報の取得項目の変更や追加、利用目的の変更、第三者提供等について変更がある場合には、ダウンロード前に通知し、重要なものについてはインストール（更新）前もしくはインストール（更新）時にあらためて同意を取得させていただきます。
２．その他、情報の取得項目の変更や追加、利用目的の変更、第三者提供等について変更がある場合には、メッセージ機能およびご登録いただいた E メールを通じてお知らせすると同時に、重要なものについてはあらためて同意を取得させていただきます。
⑧アプリケーション・プライバシーポリシーの変更を行う場合の手続きについて記載しています。

107【以下は該当する場合】第〇〇条（データポータビリティ）
本アプリケーションおよび本サービスにおけるご利用者情報のうち、以下の事項については、ダウンロードすることが可能です。詳細は下記の URL よりご確認ください。
■ダウンロード可能データ： 購買履歴、投稿内容、訪問先位置情報。。。
■ダウンロード方法： htpp://www.xxxx.xxxx.co.jp/xxxx/xxxx/ （※リンク先を表示）⑨利用者の選択の機会の内容、データポータビリティに係る事項のうちデータポー
タビリティに係る事項※データポータビリティについては、利用者へのデータ提供（ダウンロード、メール
によるファイル送信、物理的記憶装置による提供等）以外に、直接他のサービスへ
データを移動できる場合など、様々な方法が検討されています。このような方法がある場合にはアプリケーション・プライバシーポリシーに記載します。

第〇〇条（委託について）
本アプリケーションは、個人情報の取り扱いの全部又は一部を利用目的の範囲内で委託します。委託先は、個人情報を適正に取り扱うと認められるものを選定し、委託契約において、安全管理、秘密保持その他の個人情報の取り扱いに関する事項について適正に定め、必要かつ適切な監督を行います。
■委託先：ABC 株式会社
委託内容：アプリのエラー、不具合の検知■委託先：DEF（xxx 国）
委託内容：お問い合わせ対応⑩委託に関する事項※海外の事業者に業務委託する場合には「個人データの外国にある第三者への提供について」を参照してください。

第〇〇条（個人データの外国にある第三者への提供）
本アプリケーションのサービスでは、第〇〇条における第三者提供、第〇〇条における業務委託において個人データを外国にある第三者へ提供いたします。提供先の国における個人情報保護に関する制度は以下の通りです。

108

（例）
■第三者提供先：ドイツ
当該国は個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定められた国です。詳細は下記ホームページをご覧ください。
詳細情報：（個人情報保護委員会の情報提供 URL）
※海外の事業者に個人データを提供する場合には、提供先についての情報提供が個
人情報保護法によって定められています。
※【要注意】電気通信事業法では、委託先への情報の提供は、第三者への提供に該当します。

第〇〇条（匿名加工情報）
本アプリケーションのサービスでは、取得した個人情報を匿名加工情報として第三者に提供します。匿名加工情報の作成においては個人情報保護委員会の基準を順守し、認定
個人情報保護団体の加工方法に従うものとします。また、匿名加工情報の作成及び取り扱いについて安全管理措置を行い、必要かつ適切な監督を実施します。当社が提供する匿名
加工情報における個人に関する情報の項目、および安全管理措置は以下です。
情報の項目：性別、生年、購買履歴講ずる措置：入退室管理、持ち込み機器の制限、情報へのアクセス制限、盗難防止措置、
不正アクセス防止措置（※必要に応じてその他の措置を記載）
苦情の窓口：第〇〇条の問い合わせ窓口※匿名加工情報を作成した場合には、遅滞なく、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければなりません。
また、講じた安全管理措置、苦情の処理等についても公表することが努力義務とされています。

第〇〇条（仮名加工情報）
本アプリケーションのサービスでは、取得した個人情報を以下の利用目的で仮名加工情報として社内および委託先で利用します。仮名加工情報の作成においては個人情報保109

護委員会の基準、加工方法に従うものとします。また、仮名加工情報の作成及び取り扱いについて安全管理措置を行い、必要かつ適切な監督を実施します。
利用目的：新たなサービスの開発※個人情報である仮名加工情報をあらかじめ公表した利用目的を変更して利用する
場合には、変更後の利用目的を公表しなければなりません。
※【MCF 推奨】仮名加工情報については講じた安全管理措置等についての公表は定められていませんが、適切に取り扱っていることを宣言することが望ましいと考えます。

第〇〇条（共同利用）
本アプリケーションで取得した情報は、第〇〇条の利用目的の達成のため、次の範囲内で共同利用いたします。
共同して利用される個人データの項目：氏名、住所、性別、年齢・・・
共同して利用する者の範囲：当社およびその国内子会社
共同して利用する者の利用目的：第〇〇条に同じ
当該個人データの管理について責任を有する者：当社（株式会社〇〇、住所、代表者名）※取得した個人データを共同利用する場合は、その旨並びに共同して利用される個
人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに情報の管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければなりません。
※【MCF 推奨】義務化されているのは個人データですが、利用者に関する情報すべてについて同様に公表することが望ましいと考えます。

110

（参考） アプリケーション・プライバシーポリシー 概要案
アプリケーションの「アプリケーション・プライバシーポリシー」を、ダウンロード前もしくはインストー
ル前にスペースの関係上全てを表示できない場合には、下記のような概要を用意し、詳細についてはリンク等で表示できるようにしてください。
（例）○○○（アプリケーション提供者名）の本アプリケーションおよび本サービスにおける情報の取扱いの概要は以下の通りです。詳細につきましては、アプリケーション・プライバシーポ
リシー（※リンク先を表示）より必ずご確認いただき、内容をご理解の上、ご利用ください。
１．本アプリケーションで取得する情報と目的は以下の通りです。
①アプリケーションによるサービス（地図情報）：

GPS による位置情報②広告表示： GPS による位置情報、広告 ID
２．当社のアプリケーション・プライバシーポリシーに適合することを確認した広告会社
が、広告を目的として情報収集モジュールを通じて○○の利用者情報を取得します。
３．本サービスは、ご利用者が本アプリケーションの削除（アンインストール）もしくは○年以上ご利用されなかった場合に終了するものとし、適正な管理のもとお客様に提供いただいた情報を廃棄します。
４．本サービスでは、ご利用者の操作やお申し出により、ご利用者の情報の全部もしくは一部の取得停止、変更、削除、利用の停止をすることができます。
５．本アプリケーションおよび本サービスにおける利用者情報の取扱いに関するお問い合
わせ、ご相談は以下の窓口でお受けいたします。
■窓口名称

：

株式会社○○○ お客様係

■お問い合わせ方法：

下記の問い合わせフォームより■お問い合わせフォーム： htpp://www.xxxx.xxxx.co.jp/xxxx/xxxx/ （※リンク先を表示）

詳細は以下よりご確認ください。
アプリケーション・プライバシーポリシー（※リンク先を再表示）

111

（参考） チェックシート【個人情報保護法】※印は努力義務分類
個人情報の取
得

第三者提供

確認事項
個人情報

利用目的をあらかじめ公表しているか
もしくは取得後速やかに本人に通知又は公表しているか

要配慮個人情報

あらかじめ同意を取得しているか（要配慮個人情報は同意取得が必須）

原則

あらかじめ本人の同意を取得しているか

オプトアウト手続 あらかじめ第三者提供を利用目的とす
き（同意取得の例 ることを本人に通知または公表してい外）
るか
以下の事項についてあらかじめ本人に通知または容易に知り得る状態に置いているか
１．第三者への提供を利用目的としていること
２．第三者に提供される個人データの項目
３．第三者への提供方法
４．本人の求めに応じて第三者への提供を停止すること
５．本人の求めを受け付ける方法
要配慮個人情報

あらかじめ同意を取得しているか（要配慮個人情報はオプトアウト手続
きによる第三者提供は認められていな
い）

112

共同利用

以下についてあらかじめ本人に通知または容易に知り得る状態に置いているか
１．共同利用する旨
２．共同利用される個人データの項
目
３．共同利用する者の範囲
４．利用する者の利用目的
５．管理について責任を有する者の氏名又は名称

保有個人デー
タの公表

全体

以下の事項について本人の知り得る状
態に置いているか
１．当該個人情報取扱事業者の氏名
又は名称、住所、法人等においては代表者名２．すべての保有個人データの利用
目的
３．利用目的の通知の求め又は開示等の請求に応じる手続き及び手数料の額（定めた場合）
４．苦情の申出先
５．認定個人情報保護団体の対象事業者である場合はその団体の名称及び苦情解決の申出先６．安全管理のために講じた措置
７．プロファイリング等の場合、本人が予測できる程度に利用目的を特定できているか

匿名加工情報委託※委託の有無、委託する事務の内容を本人の知り得る状態に置いているか

作成

加工した情報の項目を公表しているか

第三者提供

提供する情報の項目を公表しているか全体※安全管理措置、苦情の処理などの措置を講じてその内容を公表しているか113

仮名加工情報作成

取得時の利用目的を越える場合に仮名加工情報の利用目的を公表しているか外国にある第三者への提供原則

本人の同意を取得したか

移転先外国の制度 本人からの同意取得時に以下の情報を確認と公表
提供しているか
１．移転先の外国の名称
２．当該外国における個人情報の保護に関する制度
３．移転先が講ずる個人情報の保護のための措置変更

利用目的

変更前の利用目的と関連性を有すると認められる範囲を超えた場合に通知または公表しているか

オプトアウト手続 以下の事項についてあらかじめ本人にき通知または容易に知り得る状態に置いているか
１．第三者に提供される個人データの項目
２．第三者への提供方法
３．本人の求めを受け付ける方法
共同利用

変更する内容についてあらかじめ本人に通知または容易に知り得る状態に置いているか（個人データの項目又は共同利用者が変更になる場合についてはあらかじめ本人の同意が必要）

114