モバイルコンテンツ関連事業における個人情報保護指針

一般社団法人モバイル・コンテンツ・フォーラム

目次
はじめに................................................................................................................ 6
総則（目的及び適用範囲（対象））................................................................................ 7
１. 個人情報の利用目的関係 .................................................................................... 9（１） 利用目的の特定 ........................................................................................... 9（２） 利用目的の変更 ......................................................................................... 10（３） 利用目的による制限 .................................................................................... 11（４） 事業の承継................................................................................................ 11（５） 利用目的による制限の例外........................................................................... 12
２. 個人情報の取得関係 ........................................................................................ 13（１） 適正取得................................................................................................... 13（２） 要配慮個人情報の取得 ................................................................................ 13（３） 利用目的の通知又は公表............................................................................. 14（４） 直接書面等による取得 ................................................................................. 14（５） 利用目的の通知等をしなくてよい場合.............................................................. 15
３. 個人データの管理 ............................................................................................ 18（１） データ内容の正確性の確保等........................................................................ 18（２） 安全管理措置 ............................................................................................ 18（３） 従業者の監督 ............................................................................................ 20（４） 委託先の監督 ............................................................................................ 20
４. 個人データの第三者への提供............................................................................. 23（１） 第三者提供の制限の原則............................................................................. 23（２） オプトアウトに関する原則.............................................................................. 24（３） オプトアウトに関する事項の変更 .................................................................... 25（４） 第三者に該当しない場合 .............................................................................. 26（５） 外国にある第三者への提供の制限 ................................................................. 29（６） 第三者提供に係る記録の作成等 .................................................................... 31（７） 第三者提供を受ける際の確認等..................................................................... 33
５. 保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止等..... 38（１） 保有個人データに関する事項の本人への周知 .................................................. 38（２） 保有個人データの利用目的の通知 ................................................................. 38（３） 保有個人データの開示 ................................................................................. 39（４） 保有個人データの訂正、追加または削除.......................................................... 40（５） 保有個人データの利用停止等........................................................................ 41（６） 理由の説明................................................................................................ 422

（７） 開示等の請求等に応じる手続 ........................................................................ 43（８） 手数料...................................................................................................... 44
６. 苦情の処理 ..................................................................................................... 46
７. 匿名加工情報取扱事業者等の義務...................................................................... 47（１） 対象事業者の匿名加工情報の取扱い ............................................................. 47（２） 匿名加工情報の適切な加工 .......................................................................... 48（３） 匿名加工情報の作成時の公表....................................................................... 48（４） 匿名加工情報の安全管理措置等 ................................................................... 48（５） 識別行為の禁止 ......................................................................................... 49（６） 匿名加工情報の第三者提供.......................................................................... 49
８. 個人情報の取扱いにおける事故等の報告について.................................................. 51
９. 個人情報保護を推進する上での考え方や方針の策定.............................................. 52（１） 個人情報保護を推進する上での考え方や方針の公表 ......................................... 52（２） アプリケーションソフトウェアに係るプライバシーポリシーの公表............................. 52
１０. ガイドライン等................................................................................................ 54
１１. 指導、勧告その他の措置について...................................................................... 55（１） 指導 ......................................................................................................... 55（２） 勧告 ......................................................................................................... 55（３） その他の措置............................................................................................. 55
１２. 指針の見直し ................................................................................................ 56
１３. モバイルコンテンツ関連事業におけるその他の事項............................................... 57（１） スマートフォン等の利用者情報の取扱い........................................................... 57

3

【凡例】
「法」 個人情報の保護に関する法律（平成 15 年 5 月 30 日法律第 57 号）
最終改正：平成 28 年 5 月 27 日法律第 51 号
「政令」 個人情報の保護に関する法律施行令（平成 15 年 12 月 10 日政令第 507 号）
最終改正：平成 28 年 10 月 5 日政令第 324 号「基本方針」 個人情報の保護に関する基本方針（平成 16 年 4 月 2 日閣議決定）
平成 28 年 10 月 28 日一部変更「規則」 個人情報の保護に関する法律施行規則（平成 28 年 10 月 5 日個人情報保護委員会規則第 3 号）「ガイドライン」個人情報の保護に関する法律についてのガイドライン（通則編）（平成 28 年 11 月
30 日個人情報保護委員会告示第 6 号）
個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供
編）（平成 28 年 11 月 30 日個人情報保護委員会告示第 7 号）
個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録
義務編）（平成 28 年 11 月 30 日個人情報保護委員会告示第 8 号）
個人情報の保護に関する法律についてのガイドライン（匿名加工情報編）（平成 28
年 11 月 30 日個人情報保護委員会告示第 9 号）※（）表記は以下の通り
ガイドライン（通） 通則編
ガイドライン（外） 外国にある第三者への提供編
ガイドライン（記） 第三者提供時の確認・記録義務編
ガイドライン（匿） 匿名加工情報編

4

改正履歴

制定・改定日

改定箇所・理由施行日

平成 29 年 5 月 26 日

制定

平成 29 年 5 月 26 日

平成 29 年 9 月 5 日

個人情報保護に関する法律の改訂に伴う
改定

5

はじめに
健全なコミュニティ社会の醸成及び高度 IT 社会の実現における産業の発展と利用者保護のため、個人情報取扱事業者における個人情報の利活用の促進と適正な取扱いの確保を目的として、一般社団法人モバイル・コンテンツ・フォーラムは平成 29 年 5 月 26 日、個人情報の保護に関する法律（以下「法」という）法第３７条第１項に基づき、総務大臣及び経済産業大臣から認定個人
情報保護団体の認定を受けました。また、情報通信技術の発展や事業活動のグローバル化等の急速な環境変化に対応するため、改正法が平成 29 年 5 月 30 日に全面施行となりました。（平成２７年９月公布）
法では、新たに匿名加工情報や第三者提供に係る記録の作成、外国にある第三者への提供の制限などが追加され、認定個人情報保護団体に対しても、対象事業者の個人情報等の適正な取扱いの確保のために、個人情報に係る利用目的の特定、安全管理のための措置、開示等の請
求等に応じる手続その他の事項又は匿名加工情報に係る作成の方法、その情報の安全管理のための措置その他の事項に関し、消費者の意見を代表する者その他の関係者の意見を聴いて、この法律の規定の趣旨に沿った「個人情報保護指針」を作成するよう努めなければならないことから、当団体では、「認定個人情報保護団体運営規程」に基づき、本指針を定めました。
また、法第 53 条第 4 項では、認定個人情報保護団体に対して、対象事業者に個人情報保護
指針を遵守させるため必要な指導、勧告その他の措置をとることを求めています。当団体においては、対象事業者がこの指針を遵守しなければならないことを、対象事業者の義務として規定しています。また、対象事業者となっていない個人情報取扱事業者であっても、法令等に基づく対応をするにあたり、この指針を参考にしていただくことを期待します。
モバイルコンテンツ関連事業分野においては技術革新が急速に進んでいることに鑑み、対象事業者が行なう施策等においては、本指針に例示として明記されている手法に過度に拘らず、最新の手法を積極的に採用することを期待します。

6

総則（目的及び適用範囲（対象））＜目的＞
本指針は、法第 53 条の定めに従い当団体の対象事業者が遵守・励行する事項を定めるとともに、当団体が認定個人情報保護団体として実施すべき責務と役割を推進するための事項を定めたものになります。
＜法の理念と考え方＞
法第 3 条においては、個人情報が個人の人格尊重の理念と密接な関連を有するものであり、その適正な取扱いを図らなければならないとの基本理念を示しています。当団体をはじめ、当団体の対象事業者におかれましては、この基本理念を十分に踏まえ、法の目的を実現するため、個人情報の保護及び適正な取扱いをする必要があります。
＜国際的な協調＞
経済・社会活動のグローバル化及び情報通信技術の進展に伴い、個人情報を含むデータの国境を越えた取り扱いが増加しており、このような状況の変化に対応するため、経済協力開発機構（OECD）、アジア太平洋経済協力（APEC）等において、個人情報の保護に関する情報交換や越境執行協力等を目的とした国際的な枠組みが構築されています。当団体の対象事業者におかれましては、このような取組を踏まえ、国際的な協調を図っていく事が望まれます。
＜適用範囲（対象）＞対象事業者とは、個人情報取扱事業者のうち次に掲げるいずれかの事業者であって、本指針及び当団体の対象事業者となることについて同意した事業者（個人情報取扱事業者、匿名加工情報取扱事業者）をいいます。
（１） 当団体の会員（２） 関連団体の会員
当団体の理事会で関連団体となることを承認された団体の会員を指す。
（３） 一般登録会員
一般登録会員とは、（１）当団体又は（２）関連団体に属さない認定個人情報保護団体の対象事業者となることに同意した会員を指す。
なお、「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ一般社会通念上事業と認められるものをいい、必ずしも営利事業のみを対象とするものではありません。

7

＜用語の定義＞
本指針において用いる用語の定義は、特段の定めが無い限り、法、個人情報保護に関する基本方針、個人情報の保護に関する法律施行令、個人情報に関する法律施行規則（以下、総称して「関係法令等」といいます。）の定めによるものとします。
＜個人情報保護方針＞
対象事業者の代表者は、「個人情報保護に関する基本方針」に基づき、事業者が個人情報保護を推進する上での考え方や方針を策定し公表しなければなりません。

8

１. 個人情報の利用目的関係（１） 利用目的の特定対象事業者は、個人情報を取り扱うに当たっては、利用目的をできる限り特定しなければならない。
法 第 15 条 1 項
ガイドライン（通） 3-1-1
対象事業者は、個人情報を取り扱う場合に、利用目的をできる限り具体的に特定しなければならない。
利用目的の特定に当たっては、利用目的を単に抽象的、一般的に特定するのではなく、個人情報が対象事業者において、最終的にどのような事業の用に供され、どのような目的で個人情報を利用されるのかが、本人にとって一般的かつ合理的に想定できる程度に具体的に特定する必要がある。また、業務ごとに取り扱う個人情報の項目を列挙し、それぞれについて記載することが適当である。
対象事業者は、特定された利用目的を管理しなければならない。管理の方法としては、例えば、
個人情報管理台帳等に記録すること等が考えられる。
なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的の特定に当たっては、その旨が明確に分かるよう特定しなければならない。
利用目的の特定の程度としては、例えば、対象事業者の定款等に規定されている事業の内容に照らして、本人からみて自分の個人情報が利用される範囲が合理的に予想できる程度に特定されている場合や、業種を明示することで利用の範囲が想定される場合には、これで足りるとされることもあり得る。しかし、多くの場合、業種の明示だけでは利用目的をできる限り特定したことにはならない。例えば、利用目的の特定に当たり「○○事業」のように事業を明示する場合についても、
社会通念上、本人からみて利用目的が特定できると認められる範囲に特定する必要がある。他方で、単に「事業活動」、「お客様のサービスの向上」等のように抽象的、一般的な内容を利用目的とすることは、できる限り具体的に特定したことにはならない。
統計データ等の個人情報に該当しない情報を取り扱う場合には、本項の定めは適用されない。また、統計データへの加工を行うこと自体を利用目的とする必要はない。
9

利用目的は、対象事業者の事業の目的の達成に必要な限度で特定する必要がある。対象事業者が現に事業を行っておらず、かつ、将来行うことが合理的に予測されない事業を、個人情報の利用目的としてはならない。
（２） 利用目的の変更
1 対象事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。
2 対象事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
法 第 15 条 2 項 第 18 条 3 項
ガイドライン（通） 3-1-2
対象事業者が特定した利用目的は、社会通念上、「本人が通常予期し得る限度と客観的に認められる範囲」内で変更することは可能である。変更された利用目的は、本人に通知するか、又は公表しなければならない。
「本人が通常予期し得る限度と客観的に認められる範囲」とは、本人の主観や対象事業者の恣意的な判断によるものではなく、一般人の判断において、当初の利用目的と変更後の利用目的を比較して合理的に関連性がある範囲をいう。
特定された利用目的の達成に必要な範囲を越えて個人情報を取り扱う場合は、本人の同意を得なければならない。

10

《参考》利用目的の変更のフロー（３） 利用目的による制限
対象事業者は、あらかじめ本人の同意を得ないで、１（１）により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
法 第 16 条 1 項
ガイドライン（通） 3-1-3
対象事業者は、利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合は、あらかじめ本人の同意を得なければならない。
ただし、当該同意を得るために個人情報を利用すること（メールの送信や電話をかけること等）は、当初特定した利用目的として記載されていない場合でも、目的外利用には該当しない。
（４） 事業の承継
対象事業者は、合併その他の事由により他の事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
法 第 16 条 2 項
11

ガイドライン（通） 3-1-4
対象事業者が、事業の承継をすることに伴って個人情報を取得した場合であって、当該個人情報に係る承継前の利用目的の達成に必要な範囲内で取り扱う場合、又は承継前の利用目的と関連性を有すると合理的に認められる場合には、対象事業者は、本人の同意を得ることなく、個人情報を利用することができる。事業の承継とは、株式譲渡、合併、会社分割、株式交換、株式移転等により事業の承継を受ける場合のことをいう。
なお、事業の承継後に、承継前の利用目的の達成に必要な範囲を超えて、個人情報を取り扱う
場合は、あらかじめ本人の同意を得る必要がある。ただし、当該同意を得るために個人情報を利用すること（メールの送信や電話をかけること等）は、承継前の利用目的として記載されていない場合でも、目的外利用には該当しない。
（５） 利用目的による制限の例外
１（３）及び１（４）の規定は、次に掲げる場合については、適用しない。
1 法令に基づく場合
2 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
3 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
4 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
法 第 16 条 3 項
ガイドライン（通） 3-1-5

12

２. 個人情報の取得関係（１） 適正取得
対象事業者は、偽りその他不正の手段により個人情報を取得してはならない。
法 第 17 条 1 項
ガイドライン（通） 3-2-1
対象事業者は、偽り等の不正の手段により個人情報を取得してはならない。
なお、対象事業者若しくはその従業者又はこれらであった者が、その業務に関して取り扱った個
人情報データベース等（その全部又は一部を複製し、又は加工したものを含む。）を自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、法第 83 条により刑事罰（1 年以下の懲役又は 50 万円以下の罰金）が科され得る。
（２） 要配慮個人情報の取得
対象事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
1 法令に基づく場合
2 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
3 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
4 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
5 当該要配慮個人情報が、本人、国の機関、地方公共団体、法第 76 条第 1 項各号に掲げる者
その他個人情報保護委員会規則で定める者により公開されている場合
6 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合
7 法第 23 条第 5 項各号に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき
法 第 17 条 2 項、第 23 条 5 項、第 76 条 1 項、
政令 第 7 条
規則 第 6 条
13ガイドライン（通） 3-2-2
要配慮個人情報を取得する場合には、あらかじめ本人の同意を得なければならない。
なお、要配慮個人情報の第三者提供には、原則として本人の同意が必要であり、オプトアウトによる第三者提供は認められていないので、注意が必要である。
対象事業者が要配慮個人情報を書面又は口頭等により本人から適正に直接取得する場合は、本人が当該情報を提供したことをもって、当該対象事業者が当該情報を取得することについて本人の同意があったものと解される。
また、対象事業者が要配慮個人情報を第三者提供の方法により取得した場合、提供元が本人から必要な同意（要配慮個人情報の取得及び第三者提供に関する同意）を取得していることが前提となるため、提供を受けた当該対象事業者が、改めて本人から本項に基づく同意を得る必要はない。
（３） 利用目的の通知又は公表
対象事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
法 第 18 条 1 項
ガイドライン（通） 3-2-3
対象事業者は、個人情報を取得する場合は、あらかじめ利用目的を公表し、又は取得後速やかに、その利用目的を、本人に通知し、若しくは公表しなければならない。利用目的の本人への通知または公表が必要な場合には、例えば、対象事業者が、インターネット等で本人が自発的に公にしている個人情報を取得する場合、個人情報の第三者提供を受けた場合、個人情報の取扱いの委託を受けて個人情報を取得する場合等が含まれる。
また、対象事業者は、個人情報を取得する場合は、個人情報を取得する主体について、あらかじめ公表し、又は取得後速やかに、本人に通知若しくは公表することが望ましい。
（４） 直接書面等による取得
対象事業者は、２（３）の規定にかかわらず、本人との間で契約を締結することに伴って、契約書
その他の書面（電磁的記録を含む。以下、本文において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合
14

は、あらかじめ、本人に対し、その利用目的を明示しなければならない。
ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合はこの限りではない。
法 第 18 条 2 項
ガイドライン（通） 3-2-4
対象事業者は、契約書等の書面（電磁的記録を含む。）により、直接本人から個人情報を取得する場合には、あらかじめ、本人に対し、その利用目的を明示しなければならない。
「本人に対し、その利用目的を明示」とは、本人に対し、その利用目的を明確に示すことをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法による必要がある。
「利用目的を明示」したと言えるためには、利用目的を本人が明確に認識できるよう示されている必要がある。例えば、会員規約や契約約款等の書面を消費者等本人に手渡しまたは送付する場
合において、消費者等本人が容易に利用目的を確認できないような位置や文字の大きさで利用目的が記載されている場合や、インターネット上から取得する場合、小さなボックス内をスクロー
ルしなければ消費者本人が利用目的を確認できない場合には、利用目的が明示されたものとはいえない。
また、対象事業者は、契約書等の書面により、直接本人から個人情報を取得する場合には、あらかじめ、本人に対し、当該個人情報を取得する主体について明示することが望ましい。
なお、口頭により個人情報を取得する場合にまで、本項の義務を課するものではないが、その場
合は、あらかじめ利用目的を公表するか、取得後速やかに、その利用目的を本人に通知するか、又は公表しなければならない。
（５） 利用目的の通知等をしなくてよい場合
次に掲げる場合については、本人による同意を求められる場合であっても、２（３）及び２（４）の適用を受けない。
1 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
2 利用目的を本人に通知し、又は公表することにより当該対象事業者の権利又は正当な利益を侵害するおそれがある場合
3 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及
15

ぼすおそれがあるとき。
4 取得の状況からみて利用目的が明らかであると認められる場合
法 第 18 条 4 項
ガイドライン（通） 3-2-5（参考）利用目的に関する例外一覧
取得時に利⽤⽬的の通知⼜は公表をしなくて良い場合
法令に基づく場合

利⽤⽬的による制限の例外（同意取得不要で利⽤⽬的外の利⽤が可能な場合）○※5

人の生命、身体又は財産の保護のため○※1

公衆衛生の向上又は児童の健全な育成の

○※5

○※5

推進のため
国の機関若しくは地⽅公共団体⼜はその委託を受けた者が法令の定める事務を遂○※1⾏することに対して協⼒する場合
当該個⼈情報取扱事業者の権利⼜は正当○※1な利益を害するおそれがある場合
取得状況から⾒て利⽤⽬的が明らかであ

○※1

る場合
あらかじめ利⽤⽬的を公表している場合○※2（参考）個人データの第三者提供に当たらない場合
委託を受ける場合○※3

事業の承継を⾏う場合○※3

共同利⽤をする場合〇※4※1 法第 18 条 4 項各号 本人同意が困難な場合
16○※5

※2 法第 18 条 1 項※3 法第 23 条 5 項一～二号※4 法第 23 条 5 項三号 あらかじめ共同利用について必要な事項を本人に通知し、又は本人が容易に知り得る状態に置いているとき。（必要な事項を変更する場合も同様（法第 23 条 6項））※5 法第 16 条 3 項各号 本人又は第三者の権利利益を害する場合※法第 18 条 3 項（利用目的変更の通知、公表）については、１個人情報の利用目的関係（２）利用目的の変更を参照

17

３. 個人データの管理（１） データ内容の正確性の確保等対象事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するようしなければならない。
法 第 19 条
ガイドライン（通） 3-3-1
対象事業者は、利用目的の達成に必要な範囲内において、以下に例示するような方法で個人データを正確かつ最新の内容に保たなければならない。
・個人情報データベース等への個人情報の入力時の照合・確認の手続の整備・誤り等を発見した場合の訂正等の手続の整備
・記録事項の更新
・保存期間の設定等を行うこと 等
なお、保有する個人データを一律に又は常に最新化する必要はなく、それぞれの利用目的に応じて、その必要な範囲内で正確性・最新性を確保すれば足りる。
また、対象事業者は、保有する個人データについて利用する必要がなくなったときは、当該個人データを遅滞なく消去しなければならない。「利用する必要がなくなったとき」とは、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合
や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等のことをいう。ただし、法令の定めにより保存期間等が定められている場合は、この限りではない。
（２） 安全管理措置
対象事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
法 第 20 条
ガイドライン（通） 3-3-2、8（別添）講ずべき安全管理措置の内容
対象事業者は、その取り扱う個人データの漏えい、滅失又はき損（以下「漏えい等」という。）の防止その他の個人データの安全管理のため、組織的、人的、物理的及び技術的に必要かつ適切な
18

措置を講じなければならない。このような安全管理措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリ
スクに応じて、必要かつ適切な内容としなければならない。なお、データベース化に用いられる入力帳票の個人情報についても、同様の措置を講じることが望ましい。
（参考）安全管理措置の構造

19

（３） 従業者の監督対象事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
法 第 21 条
ガイドライン（通） 3-3-3
対象事業者は、その従業者に個人データを取り扱わせるに当たって、３（２）の安全管理措置を遵守させるよう、当該従業者に対し必要かつ適切な監督をしなければならない。なお、データベース化に用いられる入力帳票の個人情報についても、同様の措置を講じることが望ましい。
「従業者」とは、対象事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者等をいい、雇用関係にある従業員（正社員、契約社員、嘱託社員、パート
社員、アルバイト社員等）のみならず、取締役、執行役、理事、監査役、監事、派遣社員等も含まれる。
個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模
及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に起因するリス
クに応じて、必要かつ適切な措置を講ずることが必要である。適切な事例としては、従業者に対する教育、研修等の内容及び頻度を充実したり、ビデオやオンライン等によるモニタリングを実施す
ることが考えられる。
（４） 委託先の監督
対象事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
法 第 22 条
ガイドライン（通） 3-3-4
対象事業者は、個人データの取扱いの全部又は一部を委託する場合は、委託を受けた者において当該個人データについて安全管理措置が適切に講じられるよう、委託先に対し必要かつ適切な監督をしなければならない。個人データの取扱いの委託とは、契約の形態・種類を問わず、対象事業者が他の者に個人データの取扱いを行わせることをいう。
対象事業者は、個人データの取扱いの委託をする場合において、委託業務の内容に必要のない
個人データを提供してはならない。
20

対象事業者は、自らが講ずべき安全管理措置と同等の措置が講じられるように、監督を行わなければならない。また、取扱いを委託する個人データの内容を踏まえ、個人データが漏えい等をした
場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質、個人デー
タの取扱状況（取り扱う個人データの性質及び量を含む。）等に起因するリスクに応じて、次の①～③のそれぞれについて、措置を講じなければならない。なお、データベース化に用いられる入力帳票の個人情報についても、同様の措置を講じることが望ましい。
①適切な委託先の選定
委託先の選定に当たっては、対象事業者が、委託先の社内体制、規程等を確認し、必要に応じて実地検査等を行うこと等により、委託先の安全管理措置が、少なくとも対象事業者に求められるものと同等であり、かつ、委託する業務内容に沿って、確実に実施されることについて、あらかじめ確認しなければならない。
②委託契約の締結
対象事業者は、個人データの取扱いの全部又は一部を委託する場合には、委託先との間で書面による委託契約を締結しなければならない。その際、委託契約には、当該個人データの取扱いに関する、必要かつ適切な安全管理措置として、委託元、委託先双方が同意した内容や、委託先における委託された個人データの取扱状況を委託元が合理的に把握する方法等必要かつ適切な条項を定めることが望ましい。
③委託先における個人データ取扱状況の把握
委託先における委託された個人データの取扱状況を把握するためには、定期的に監査を行う等
により、委託契約で定められた内容の実施の程度を調査した上で、委託の内容等の見直しを検討することを含め、適切に評価することが望ましい。
委託先が再委託を行おうとする場合は、対象事業者は、委託先が再委託する相手方、再委託する業務内容、再委託先の個人データの取扱方法等について、委託先から事前報告を受け又は承認を行うこととしなければならない。また、対象事業者は、委託先を通じて又は必要に応じて自ら、再委託先が少なくとも対象事業者に求められるものと同等の安全管理措置を講ずることを十分に確認しなければならない。加えて、対象事業者は、委託先を通じて又は必要に応じて自らが、定期的に監査を実施すること等により、委託先が再委託先に対する監督を適切に果たしているかを確認することが望ましい。再委託先が再々委託を行う場合以降も、再委託を行う場合と同様である。
なお、委託元が委託先について「必要かつ適切な監督」を行っていない場合で、委託先が再委託をした際に、再委託先が不適切な取扱いを行ったときは、元の委託元による法違反と判断され得21

るので、再委託をする場合は注意をする必要がある。
（委託先の監督）

22

４. 個人データの第三者への提供（１） 第三者提供の制限の原則
対象事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
1 法令に基づく場合
2 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
3 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
4 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
法 第 23 条 1 項
ガイドライン（通） 3-4-1
対象事業者は、個人データの第三者への提供に当たり、あらかじめ本人の同意を得ないで提供してはならない。第三者に提供するものが個人データにあたるかは、個人データの提供元において判断される。
同意の取得に当たっては、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示さなければならない。
なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的において、その旨を特定しなければならない。
ブログやその他の SNS に書き込まれた個人データを含む情報については、当該情報を書き込んだ者の明確な意思で不特定多数又は限定された対象に対して公開されている情報であり、その内容を誰が閲覧できるかについて当該情報を書き込んだ者が指定していることから、その公開範囲について、インターネット回線への接続サービスを提供するプロバイダやブログその他のSNS の運営事業者等に裁量の余地はないため、このような場合は、当該事業者が個人データを第三者に提供しているとは解されない。

23

なお、ブログやその他の SNS において不特定多数を対象として書き込まれた個人情報を、当該事業者以外の者が取得する場合、利用目的についてあらかじめ公表するか、本人に対して通知若
しくは公表が必要となるので注意が必要である。
対象事業者若しくはその従業者又はこれらであった者が、その業務に関して取り扱った個人情報
データベース等（その全部又は一部を複製し、又は加工したものを含む。）を自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、法第 83 条により刑事罰（1 年以下の懲役又は 50 万円以下の罰金）が科され得る。
（２） オプトアウトに関する原則
対象事業者は、第三者に提供される個人データ（要配慮個人情報を除く。以下本文において同じ。）について、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、４（１）の規定にかかわらず、当該個人データを第三者に提供することができる。
1 第三者への提供を利用目的とすること
2 第三者に提供される個人データの項目
3 第三者への提供の方法
4 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること
5 本人の求めを受け付ける方法
法第 23 条 2 項、3 項
政令 第 7 条、第 8 条
ガイドライン（通） 3-4-2
対象事業者は、個人データの第三者への提供に当たり、次の①から⑤までに掲げる事項をあらかじめ本人に通知し、又は本人が容易に知り得る状態（※）に置くとともに、個人情報保護委員会に届け出た場合には、４（１）（第三者提供の制限の原則：法第 23 条第 1 項）の規定にかかわらず、あらかじめ本人の同意を得ることなく、個人データを第三者に提供することができる（オプト
アウトによる第三者提供）。
また、対象事業者は、４（２）（オプトアウトに関する原則：法第 23 条第 2 項）に基づき、必要な事項を個人情報保護委員会に届け出たときは、その内容を自らもインターネットの利用その他の
適切な方法により公表するものとする。
24

なお、要配慮個人情報は、オプトアウトにより第三者に提供することはできず、第三者に提供するに当たっては、４（１）（第三者提供の制限の原則）①～④：法第 23 条第 1 項各号）又は４（２）オプトアウトに関する原則各号：同条第 5 項各号）に該当する場合以外は必ずあらかじめ本人の同意を得る必要があるので、注意を要する。
さらに、対象事業者が特定した取得時当初の利用目的に、個人情報の第三者提供に関する事項が含まれていない場合は、第三者提供を行うと目的外利用となるため、オプトアウトによる第三者提供を行うことはできない。
①第三者への提供を利用目的とすること②第三者に提供される個人データの項目③第三者への提供の方法④本人の求めに応じて第三者への提供を停止すること⑤本人の求めを受け付ける方法
外国にある個人情報取扱事業者が、届出を行う場合には、国内に住所を有する者に、当該届出に関する一切の行為につき当該個人情報取扱事業者を代理する権限を有するものを定めなければならず、当該代理権を証する書面を個人情報保護委員会に提出しなければならない。
（※）
４（２）（オプトアウトに関する原則：法第 23 条第 2 項）又は４（３）（オプトアウトに関する事項の変
更：同条第 3 項）による本人への通知又は容易に知り得る状態に置く措置は、次に掲げるところ
により、行うものとする。
1) 第三者に提供される個人データによって識別される本人が当該提供の停止を求めるのに必要な期間をおくこと。
2 ) 本人が法第 23 条第 2 項各号に掲げる事項を確実に認識できる適切かつ合理的な方法によること。
（３） オプトアウトに関する事項の変更
対象事業者は、第三者に提供される項目、提供の方法又は本人の求めを受け付ける方法を変更する場合は、変更する内容について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
法 第 23 条 3 項、4 項
委員会規則 第 7 条、第 8 条、9 条、10 条
25ガイドライン（通） 3-4-2
対象事業者は、４（２）（オプトアウトに関する原則：法第 23 条第 2 項）に基づきオプトアウトにより個人データの第三者提供を行っている場合であって、提供される個人データの項目、提供の方法
又は第三者への提供を停止すべきとの本人の求めを受け付ける方法を変更する場合は、変更する内容について、変更に当たってあらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。なお、対象事業者は、４（３）（オプ
トアウトに関する事項の変更：法第 23 条第 3 項）に基づき、必要な事項を個人情報保護委員会に届け出たときは、その内容を自らも公表するものとする。
（４） 第三者に該当しない場合
次に掲げる場合において、当該個人データの提供を受ける者は、第三者提供の制限の原則の規定の適用については、第三者に該当しないものとする。
1 対象事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合
2 合併その他の事由による事業の承継に伴って個人データが提供される場合
3 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。
法 第 23 条 5 項
ガイドライン（通） 3-4-3
上記 1 から 3 までの場合については、個人データの提供先は対象事業者とは別の主体として
形式的には第三者に該当するものの、本人との関係において提供主体である対象事業者と一体のものとして取り扱うことに合理性があるため、第三者に該当しないものとする。
①委託
利用目的の達成に必要な範囲内において、個人データの取扱いに関する業務の全部又は一部を委託する場合。
法 第 23 条 5 項一号
ガイドライン（通） 3-4-3
個人データの取扱いに関する業務の全部又は一部を委託する場合は第三者に該当しない。対象事業者には、委託先に対する監督責任が課される。
26

②事業の承継
合併その他の事由による事業の承継に伴って個人データが提供される場合。
法 第 23 条 5 項二号
ガイドライン（通） 3-4-3
合併、会社分割、事業譲渡等、事業が承継されることに伴い、当該事業に係る個人データが提供される場合は、当該提供先は第三者に該当しない。
事業の承継後も、個人データが当該事業の承継により提供される前の利用目的の範囲内で利用しなければならない。
事業の承継のための契約を締結するより前の交渉段階で、相手会社から自社の調査を受け、自社の個人データを相手会社へ提供する場合は、当該データの利用目的及び取扱方法、漏えい等が発生した場合の措置、事業承継の交渉が不調となった場合の措置等、相手会社に安全管理措置を遵守させるために必要な契約を締結しなければならない。
③共同利用
特定の者との間で共同して利用される個人データを当該特定の者に提供する場合であって、その旨及びに共同して利用されるデータの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名または名称について、あらかじめ、
本人に通知し、又は本人が容易に知り得る状態に置いているとき。
法 第 23 条 5 項三号、6 項
ガイドライン（通） 3-4-3
特定の者との間で共同して利用する場合であって、次の（Ⅰ）から（Ⅴ）までの情報を、提供に当た
りあらかじめ本人に通知し、又は本人が容易に知り得る状態に置いているときには、当該提供先
は、本人から見て、当該個人データを当初提供した事業者と一体のものとして取り扱われることに合理性があると考えられることから、第三者に該当しない。
また、既に対象事業者が取得している個人データを他の事業者と共同して利用する場合には、対象事業者が特定した利用目的の範囲で共同して利用しなければならない。
共同利用の対象となる個人データの提供については、必ずしも全ての共同利用者が双方向で行27

う必要はなく、一部の共同利用者に対し、一方向で行うこともできる。
なお、共同利用か委託かは、個人データの取り扱いの形態によって判断されるものであって、共同利用の範囲に委託先事業者が含まれる場合であっても委託先との関係は、共同利用となるわ
けではなく、委託先の監督責任を免れるわけでもない。
（I） 共同利用をする旨（II）共同して利用される個人データの項目
事例１）氏名、住所、電話番号
事例２）氏名、商品購入履歴（III） 共同して利用する者の範囲
共同利用の趣旨は、本人から見て、当該個人データを提供する事業者と一体のものとして取り扱われることに合理性がある範囲で当該個人データを共同して利用することである。したがって、
共同利用者の範囲については、本人がどの事業者まで将来利用されるか判断できる程度に明確にする必要がある。
なお、当該範囲が明確である限りにおいては、事業者の名称等を個別にすべて列挙する必要がない場合もある。
（IV）利用する者の利用目的
共同利用は、個人データを共同して利用しようとする全ての事業者が、共同して利用する個人
データについて、あらかじめ、利用目的を本人に通知し、又は本人が容易に知り得る状態に置いている場合に限って行うことができる。
したがって、対象事業者は、個人データを共同利用する場合には、個人情報の取得時に、共同して利用する個人データについて、その利用目的を全て、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いていなければならない。
利用目的が個人データの項目によって異なる場合には区別して記載することが望ましい。
（V） 当該個人データの管理について責任を有する者の氏名又は名称対象事業者は、本人から開示等の求め及び苦情を受け付けた場合には、その処理に尽力するとともに、個人データの内容等について、開示、訂正、利用停止等の権限を有し、安全管理等
個人データの管理について責任を有する者の氏名又は名称について、本人に通知し、又は本人が容易に知り得る状態に置いていなければならない。
ここでいう「責任を有する者」とは、共同して利用するすべての事業者の中で、第一次的に苦情の受付・処理、開示・訂正等を行う権限を有する事業者をいい、共同利用者のうち一事業者の28

内部の担当責任者をいうものではない。
また、個人データの管理について責任を有する者は、利用目的の達成に必要な範囲内において、共同利用者間で利用している個人データを正確かつ最新の内容に保つよう努めなければならない（I）から（V）までの情報のほか、例えば、次の（ア）から（カ）までの事項についても、あらかじめ取
り決めておくことが望ましい。
（ア）共同利用者の要件（グループ会社であること、特定のキャンペーン事業の一員であること等、共同利用による事業遂行上の一定の枠組み）（イ）各共同利用者の個人情報取扱責任者、問合せ担当者及び連絡先（ウ）共同利用する個人データの取扱いに関する事項（α）個人データの漏えい等防止に関する事項（β）目的外の加工、利用、複写、複製等の禁止（γ）共同利用終了後のデータの返還、消去、廃棄に関する事項（エ）共同利用する個人データの取扱いに関する取決めが遵守されなかった場合の措置（オ）共同利用する個人データに関する事件・事故が発生した場合の報告・連絡に関する事項（カ）共同利用を終了する際の手続対象事業者は、個人データを共同利用する場合において「共同利用する者の利用目的」について
は、社会通念上、本人が通常予期し得る限度と客観的に範囲内で変更することができ、「個人データの管理について責任を有する者の氏名又は名称」についても変更することができるが、いずれも変更する前に、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
（５） 外国にある第三者への提供の制限
対象事業者は、外国（本邦の域外にある国又は地域をいう。以下同じ。）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものを除く。以下、本文において同じ。）にある第三者（個人データの取扱いについてこの節の規定により対象事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下、本文において同じ。）に個人データを提供する
29

場合には、４（１）に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、４（１）の規定は、適用しない。
法 第 24 条
規則 第 11 条
ガイドライン（外）対象事業者は、外国にある第三者に個人データを提供する場合にあたっては、以下のいずれかに該当する場合を除き、あらかじめ本人の同意を得る必要がある。
①当該第三者が、我が国と同等の水準にあると認められる個人情報制度を有しており、国として、
個人情報保護委員会規則で定める国にある場合。
※ただし、本指針の施行日時点において、定められている国はない。
②当該第三者が、個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制として以下の基準に適合する体制を整備している場合（I）個人情報取扱事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第４章第１節の規定の趣旨に沿った措置の実施が確保されていること。
（II）個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。
③４（１）（第三者提供の制限の原則）に該当する場合本人の同意とは、本人の個人データが、対象事業者によって第三者に提供されることを承諾する旨の当該本人の意思表示をいう。本人の同意を取得する場合には、事業の性質及び個人データの取扱状況に応じ、当該本人が当該同意に係る判断を行うために必要と考えられる方法によらなければならない。具体的には、提供先の国又は地域名を個別に示す方法、実質的に本人からみて提供先の国名等を特定できる方法、国名等を特定する代わり外国にある第三者に提供する場
面を具体的に特定する方法などが考えられる。
対象事業者は、個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制として、上記（I）（II）の基準に適合する体制を整備している場合には、外国にある第三者に個人データを提供することができる。

30

②(1)の「適切かつ合理的な方法」とは、個人データの提供先である外国にある第三者が、我が国の個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずることを担保することができる方法である必要がある。
CBPR 認証取得事業者は、その取得要件として、第三者に個人情報を取り扱わせる場合においても、CBPR 認証取得事業者が本人に対して負う義務が同様に履行されることを確保する措置を当該第三者との間で整備する必要があるとされていることから、提供先の「外国にある第三者」が対象事業者に代わって個人情報を取り扱う者である場合には、CBPR 認証取得事業者であることは、（I）「適切かつ合理的な方法」に該当する。
また、提供先の第三者が、APEC の CBPR 認証取得事業者である場合には、（II）「個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること」に該当する。
（６） 第三者提供に係る記録の作成等
1 対象事業者は、個人データを第三者（ただし、法第 2 条第 5 項に掲げる者を除く。以下本 1 及び次の 2 において同じ。）に提供したときは、以下の事項に関する記録を作成しなければならない。ただし、当該個人データの提供が４（１） （第三者提供の制限の原則）又は４（４）（第三者に該当しない場合）いずれか４（５）（外国にある第三者への提供の制限）の規定による個人デー
タの提供にあっては、４（１）のいずれかに該当する場合は、この限りでない。
1) 当該個人データを提供した年月日。ただし、４（１）又は４（５）の本人の同意を得ている場合はその旨
2) 当該第三者の氏名又は名称その他の当該第三者を特定するに足りる事項（不特定かつ多数の者に対して提供したときは、その旨）
3) 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
4) 当該個人データの項目
2 対象事業者は、1 の記録を、当該記録を作成した日から以下の期間保存しなければならい。
1) 本人に対する物品又は役務の提供に関連して当該本人に係る個人データを第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に記録を行わなければならない事項が記載されているときは、当該書面をもって当該事項に関する記録に代える場合は、最後に当該記録に係る個人データの提供を行った日から起算して１年を経過する日までの間
2) 当該第三者に対し個人データを継続的に若しくは反復して提供したとき、又は当該第三者
31

に対し個人データを継続的に若しくは反復して提供することが確実であると見込まれる場合
は、最後に当該記録に係る個人データの提供を行った日から起算して 3 年を経過する日までの間
3) 1)2)以外の場合 3 年
3 対象事業者は、個人データの第三者への提供にあたって、第三者から個人データによる確認が行われた場合には、当該第三者に対して、当該確認に係る事項を偽ってはならない。
法 第 25 条
規則 第 12 条、第 13 条、第 14 条
ガイドライン（記）対象事業者は、 個人データを第三者に提供したときは、個人データの提供に関する記録を作成しなければならない。
記録の作成は、個人データを第三者に提供した都度、速やかに作成しなければならない。対象事
業者は、当該記録を、記録を作成した日から 3 年間保存しなければならない。
ただし、対象事業者は、当該第三者に対し個人データを継続的に若しくは反復して提供したとき、又は当該第三者に対し個人データを継続的に若しくは反復して提供することが確実であると見込まれるときの記録は、一括して作成することができる。この場合に、対象事業者は、最後に当該記録に係る個人データの提供を行った日から起算して 3 年を経過する日までの間、当該記録を保存しなければならない。
また、対象事業者が、本人に対する物品又は役務の提供に関連して当該本人に係る個人データを第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に記録を行わなければならない事項が記載されているときは、当該書面をもって当該事項に関する記録に代えることができる。この場合に、対象事業者は、最後に当該記録に係る個人データの提供を行った日から起算して 1 年を経過する日までの間、当該記録を保存しなければならない。
対象事業者が記録を行わなければならない事項は以下のとおりである。
① ４（１）（第三者提供の制限の原則）又は４（３）（オプトアウトに関する事項の変更）の本人の同意を得ている旨
オプトアウトによる第三者提供の場合は当該個人データを提供した年月日② 当該第三者の氏名又は名称その他の当該第三者を特定するに足りる事項（不特定かつ多数の者に対して提供したときは、その旨）
32

③当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項④当該個人データの項目※当該参考図は、基本的な考え方を表したものであり、形式的には第三者提供の外形を有する場合であっても、解釈により記録義務が課されない場合がある。ガイドライン（記）２－２を参照。
（７） 第三者提供を受ける際の確認等
1 対象事業者は、第三者（ただし、法第 2 条第 5 項に掲げる者を除く。以下本文において同じ。）
33

から個人データの提供を受けるに際しては、個人情報保護委員会規則で定めるところにより、次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供が４（１）又は４（４）のいずれかに該当する場合は、この限りでない。
1) 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団
体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名
2) 当該第三者による当該個人データの取得の経緯
2 1 の第三者は、対象事業者が 1 の規定による確認を行う場合において、当該対象事業者に対して、当該確認に係る事項を偽ってはならない。
3 対象事業者は、1 の規定による確認を行ったときは、個人情報保護委員会規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保
護委員会規則で定める事項に関する記録を作成しなければならない。
1) ４（１）又は４（５）の本人の同意を得ている旨
オプトアウトによる第三者提供を受ける場合は個人データの提供を受けた年月日
2) 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団
体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名
3) 当該第三者による当該個人データの取得の経緯
4) 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
5) 当該個人データの項目
6) 法第 23 条第 4 項の規定により公表されている旨（オプトアウトによる第三者提供を受ける
場合に限る。）
4 対象事業者は、3 の定めによる記録を、当該記録を作成した日から以下に定める期間保存しなければならない。
1) 本人に対する物品又は役務の提供に関連して当該本人に係る個人データを第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に記録を行わなければならない事項が記載されているときは、当該書面をもって当該事項に関する記録に代えるとき最後に当該記録に係る個人データの提供を受けた日から起算して１年を経過する日までの間
2) 当該第三者に対し個人データを継続的に若しくは反復して提供したとき、又は当該第三者に対し個人データを継続的に若しくは反復して提供することが確実であると見込まれるとき
最後に当該記録に係る個人データの提供を受けた日から起算して 3 年を経過する日まで
34

の間
3) 1）2）以外の場合 3 年
法 第 26 条
規則 第 15 条、第 16 条、第 17 条、第 18 条
ガイドライン（記）対象事業者は、第三者から個人データの提供を受けるにあたっては、確認を行わなければならない。具体的には①当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名を個人デー
タを提供する第三者から申告を受ける方法その他の適切な方法により、確認をする必要がある。
②当該第三者による当該個人データの取得の経緯個人データを提供する第三者から当該第三者による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法により、確認をする必要がある。
ただし、対象事業者が、第三者から他の個人データの提供を受けるに際して既に４（７）（第三者提供を受ける際の確認）1 及び（第三者提供を受ける際の確認等）2 の方法による確認（ただし、記録の作成及び保存をしている場合におけるものに限る。）を行っている事項の確認については、
当該事項の内容と当該提供に係る本４（７）1-1)及び 1-2）に掲げる事項の内容が同一であることの確認を行う方法とする。
対象事業者は、第三者から個人データの提供を受けるときには、個人データの提供に関する記録を作成しなければならない。記録の作成は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法による。
対象事業者は、記録の作成は、個人データを第三者に提供した都度、速やかに作成しなければならない。対象事業者は、当該記録を、記録を作成した日から 3 年間保存をしなければならない。
ただし、当該第三者から継続的に若しくは反復して個人データの提供を受けたとき、又は当該第三者から個人データを継続的に若しくは反復して提供を受けることが確実であると見込まれるときの記録は、一括して作成することができる。この場合に、対象事業者は、当該記録を、記録を作成した日から 3 年間保存をしなければならない。
対象事業者が記録を行わなければならない事項は以下のとおりである。
35

（I） ４（１）又は４（５）の本人の同意を得ている旨
オプトアウトの場合は当該個人データを提供した年月日（II） 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団
体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名（III） 当該第三者による当該個人データの取得の経緯（IV） 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項（V） 当該個人データの項目（VI） 法第 23 条第 4 項の規定により公表されている旨（オプトアウトによる第三者提供を受ける場合に限る。）
ただし、本人に対する物品又は役務の提供に関連して第三者から当該本人に係る個人データの提供を受けた場合において、当該提供に関して作成された契約書その他の書面に記録を行わなければならない事項が記載されているときは、当該書面をもって当該事項に関する記録に代えることができる。この場合に、対象事業者は、最後に当該記録に係る個人データの提供を受けた日から起算して 1 年を経過する日までの間、保存しなければならない。

36

※当該参考図は、基本的な考え方を表したものであり、形式的には第三者提供の外形を有する場合であっても、解釈により記録義務が課されない場合がある。ガイドライン（記）２－２を参照。

37

５. 保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止等（１） 保有個人データに関する事項の本人への周知対象事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
1 当該対象事業者の氏名又は名称
2 全ての保有個人データの利用目的（ただし、２（５）1〜3 の場合を除く。）
3 ５（２）（保有個人データの利用目的の通知）、５（３）（保有個人データの開示）、５（４）（保有個人データの訂正等）、又は５（５）（保有個人データの利用停止等）の規定による請求に応じる手続（５（８）（手数料）の規定により手数料の額を定めたときは、その手数料の額を含む。）
4 当該対象事業者が行う保有個人データの取扱いに関する苦情の申出先
5 認定個人情報保護団体である当団体の対象事業者は、当団体の名称及び苦情の解決の申出
先法 第 27 条 1 項
政令 第 8 条
ガイドライン 3-5-1(1)（２） 保有個人データの利用目的の通知
1 対象事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。
ただし、次のいずれかに該当する場合は、この限りでない。
1) ５（１）の規定により当該本人が識別される保有個人データの利用目的が明らかな場合
2) ２（５）（利用目的の通知等をしなくてよい場合）に該当する場合
2 対象事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときに、通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
法 第 27 条 2 項、3 項
ガイドライン 3-5-1(2)38

（３） 保有個人データの開示
1 本人は、対象事業者に対し、当該本人が識別される保有個人データの開示を請求することができる。
2 対象事業者は、1 の規定による請求を受けたときは、本人に対し、政令で定める方法により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
1) 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
2) 当該対象事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
3) 他の法令に違反することとなる場合
3 対象事業者は、1 の規定による請求に係る保有個人データの全部又は一部について開示しない旨の決定をしたとき又は当該保有個人データが存在しないときは、本人に対し、遅滞なく、その旨を通知しなければならない。
4 他の法令の規定により、本人に対し 2 に規定する方法に相当する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている場合には、当該全部又は一部の保有個人データについては、1 及び 2 の規定は、適用しない。
法 第 28 条
政令 第 9 条
ガイドライン 3-5-2
対象事業者は、本人から、当該本人が識別される保有個人データの開示（存在しないときにはその旨を知らせることを含む。）の請求を受けたときは、本人に対し、書面の交付による方法により、遅滞なく、当該保有個人データを開示しなければならない。
ただし、開示することにより次の 1)から 3)までのいずれかに該当する場合は、その全部又は一部を開示しないことができるが、これにより開示しない旨の決定をしたとき又は請求に係る保有個人データが存在しないときは、遅滞なく、その旨を本人に通知しなければならない。
1) 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
2) 対象事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
3) 他の法令に違反することとなる場合
開示の請求を行った者が同意した方法があるときはその方法により開示をすることも認められる。
具体的には、電子メール、電話等の方法によることが考えられる。
他の法令の規定により、別途開示の手続きが定められている場合には、当該別途の開示手続き
39

が優先されることとなる。
なお、雇用管理情報の開示の求めに応じる手続については、対象事業者は、あらかじめ、労働組合等と必要に応じ協議した上で、本人から開示を求められた保有個人データについて、その全部又は一部を開示することによりその業務の適正な実施に著しい支障を及ぼすおそれがある場合に該当するとして非開示とすることが想定される保有個人データの開示に関する事項を定め、労働者等に周知させるための措置を講ずるよう努めなければならない。
（４） 保有個人データの訂正、追加または削除
1 本人は、対象事業者に対し、当該本人が識別される保有個人データの内容が事実でないときは、当該保有個人データの内容の訂正、追加又は削除（以下「訂正等」という。）を請求することができる。
2 対象事業者は、1 の規定による請求を受けた場合には、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。
3 対象事業者は、1 の規定による請求に係る保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を通知しなければならない。
法 第 29 条
ガイドライン 3-5-3
対象事業者は、本人から、当該本人が識別される保有個人データに誤りがあり、事実でないという理由によって、内容の訂正、追加又は削除の請求を受けた場合は、利用目的の達成に必要な範囲で遅滞なく必要な調査を行い、その結果に基づき、訂正等を行わなければならない。保有個
人データの削除とは、不要な情報を除くことをいう。
利用目的からみて訂正等が必要ではない場合、又は保有個人データが誤りである旨の指摘が正しくない場合には、訂正等を行う必要はない。
対象事業者は、本項の規定に基づき請求に係る保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を本人に通知しなければならない。
なお、保有個人データの内容の訂正等に関して他の法令の規定により特別の手続が定められて40

いる場合には、本項の規定は適用されず、当該他の法令の規定が適用されることとなる。
（５） 保有個人データの利用停止等
1 本人は、対象事業者に対し、当該本人が識別される保有個人データが１（３）利用目的による制限の規定に違反して取り扱われているとき又は２（１）適正取得の規定に違反して取得されたものであるときは、当該保有個人データの利用の停止又は消去（以下「利用停止等」という。）を請求することができる。
2 対象事業者は、1 の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護する
ため必要なこれに代わるべき措置をとるときは、この限りでない。
3 本人は、対象事業者に対し、当該本人が識別される保有個人データが４（１）（第三者提供の制
限の原則）又は４（５）（外国にある第三者への提供の制限）の規定に違反して第三者に提供されているときは、当該保有個人データの第三者への提供の停止を請求することができる。
4 対象事業者は、3 の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
5 対象事業者は、１の規定による請求に係る保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は 3 の規定による請求に係る保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
法 第 30 条
ガイドライン 3-5-4
対象事業者は、本人から、当該本人が識別される保有個人データが、１（３）（利用目的による制限）又は１（４）（事業の承継）、１（５）（利用目的による制限の例外）の規定に違反して本人の同意なく目的外利用がされている、又は２（１）（適正取得）、２（２）（要配慮個人情報の取得）の規定に違反して偽りその他不正の手段により個人情報が取得され若しくは本人の同意なく要配慮個人情報が取得されたものであるという理由によって、当該保有個人データの利用の停止又は消去（以下「利用停止等」という。）の請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、利用停止等を行わなければならない。保有個人データの消去とは、保有個人
41データを保有個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む。
また、対象事業者は、本人から、当該本人が識別される保有個人データが、４（１）（第三者提供の制限の原則）又は４（５）（外国にある第三者への提供の制限）の規定に違反して本人の同意なく第三者に提供されているという理由によって、当該保有個人データの第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、第三者提供を停止しなければならない。
ただし、本人からの手続違反である旨の指摘が正しくない場合は、利用停止等又は第三者提供を停止する必要はない。
対象事業者は、上記により、利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は、第三者提供の停止を行ったとき若しくは第三者提供を停止しない旨の決定をした
ときは、遅滞なく、その旨を本人に通知しなければならない。
対象事業者は、本項の定めにかかわらず、事業活動の特性、規模及び実態を考慮して、保有個人データについて本人から求めがあった場合には、ダイレクトメールの発送停止等、自主的に利用停止に応じる等、本人からの求めにより一層対応していくことが望ましい。
（６） 理由の説明
対象事業者は、次に掲げる事項について、本人から求められ、又は請求された措置の全部又は一部について、その措置を取らない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、その理由を説明しなければならない。
1 保有個人データの利用目的を通知しない旨の決定をしたとき
2 保有個人データの全部又は一部について、開示しない旨の決定をしたとき
3 保有個人データの全部又は一部について、訂正等を行わない旨の決定をしたとき
4 保有個人データの全部又は一部について、利用停止等を行ったとき、若しくは利用停止等を行わない旨の決定をしたとき、又は第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたとき
法 第 31 条
ガイドライン 3-5-5
対象事業者は、1 から 4 において、本人から求められ又は請求された措置の全部又は一部につ42

いて、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合
は、本人に対して、その理由を説明しなければならない。
（７） 開示等の請求等に応じる手続
1 対象事業者は、次に掲げる本指針の規定による請求（以下「開示等の請求等」という。）に関し、その求め又は請求を受け付ける方法を定めることができる。
1) ５（２）（保有個人データの利用目的の通知）
2) ５（３）（保有個人データの開示）
3) ５（４）（保有個人データの訂正、追加または削除）
4) ５（５）（保有個人データの利用停止等）
2 対象事業者は、本人に対し、開示等の請求等に関し、その対象となる保有個人データを特定するに足りる事項の提示を求めることができる。この場合において、対象事業者は、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。
3 対象事業者は、代理人からの開示等の請求等に応じなければならない。
4 対象事業者は、1 から 3 までに基づき開示等の請求等に応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。
5 1 の規定により対象事業者が開示等の請求等を受け付ける方法として定めることができる事項
は、次に掲げるとおりとする。
1) 開示等の請求等の申出先
2) 開示等の請求等に際して提出すべき書面の様式その他の開示等の請求等の方式
3) 開示等の請求等をする者が本人又は次条に規定する代理人であることの確認の方法
4) 手数料の徴収方法
6 3 の規定により開示等の請求等をすることができる代理人は、次に掲げる者とする。
1) 未成年者又は成年被後見人の法定代理人
2) 開示等の請求等をすることにつき本人が委任した代理人
法 第 32 条
政令 第 10 条、11 条
ガイドライン 3-5-643

対象事業者は、開示等の請求等を求め又は受け付ける方法として次の①から④までの事項を定めることができる。
① 開示等の請求等の申出先② 開示等の請求等に際して提出すべき書面（電磁的記録を含む。）の様式、その他の開示等の請求等の受付方法③ 開示等の請求等をする者が本人又はその代理人（未成年者又は成年被後見人の法定代理人である場合、又は開示等の請求等をすることにつき本人が委任した代理人）であることの確認の方法
④ 保有個人データの利用目的の通知又は保有個人データの開示をする際に徴収する手数料の徴収方法
開示等の請求等を受け付ける方法を定めた場合には、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置いておかなければならない。
対象事業者が、開示等の請求等を受け付ける方法を合理的な範囲で定めたときは、本人は、当該方法に従って開示等の請求等を行わなければならず、当該方法に従わなかった場合は、対象事業者は当該開示等の請求等を拒否することができる。
対象事業者は、円滑に開示等の手続が行えるよう、本人に対し、開示等の請求等の対象となる
当該本人が識別される保有個人データの特定に必要な事項（住所、ID、パスワード、会員番号等）の提示を求めることができる。なお、その際には、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データの特定に資する情報を提供するなど、本人の利便性を考慮しなければならない。
また、上記③本人又はその代理人であることの確認の方法については、事業の性質、保有個人
データの取扱状況、開示等の請求等の受付方法等に応じて、適切なものでなければならず、本人確認のために事業者が保有している個人データに比して必要以上に多くの情報を求めないようにするなど、本人に過重な負担を課するものとならないよう配慮しなくてはならない。
なお、開示等の請求が到達した日から２週間を経過するまでに対象事業者が適切に対応しなかった場合、又は請求を拒否した場合には、請求を行った者は裁判に訴えることができるようになる。
（８） 手数料
1 対象事業者は、利用目的の通知を求められたとき又は開示の請求を受けたときは、当該措置の実施に関し、手数料を徴収することができる。
44

2 対象事業者は、 1 により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。
法 第 33 条
ガイドライン 3-5-7
対象事業者は、保有個人データの利用目的の通知を求められ、又は保有個人データの開示の請求を受けたときは、当該措置の実施に関し、手数料の額を定め、これを徴収することができる。
当該手数料の額を定めた場合には、本人の知り得る状態に置いておかなければならない。
また、手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。

45

６. 苦情の処理
1 対象事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理を行わなければならない。
2 対象事業者は、匿名加工情報を作成した場合又は匿名加工情報を取り扱う場合には、匿名加
工情報の取扱いに関する苦情の適切かつ迅速な処理を行わなければならない。
3 対象事業者は、1 及び 2 の目的を達成するために必要な体制の整備を行わなければならない。
4 対象事業者は、苦情の申出先に、対象事業者の苦情の申出先及び当団体の名称及び苦情解決の申出先を本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置
かなければならない。
法 第 35 条
ガイドライン 3-5-8
対象事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理を行わなければならない。
対象事業者は、匿名加工情報を作成した場合又は匿名加工情報を取り扱う場合には、匿名加工
情報の取扱いに関する苦情の適切かつ迅速な処理を行わなければならない。
また、苦情の適切かつ迅速な処理を行うに当たり、必要な体制の整備を行わなければならない。
具体的には、苦情処理窓口の設置、苦情処理担当者の任命や苦情処理の手順を定めること等が考えられる。
なお、対象事業者は、個人情報及び匿名加工情報の取扱いに関する苦情の申出先及び当団体の名称及び苦情解決の申出先について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。

46

７. 匿名加工情報取扱事業者等の義務（１） 対象事業者の匿名加工情報の取扱い
１．対象事業者は、匿名加工情報の加工、安全管理措置等、公表、第三者提供、識別行為の禁止その他匿名加工情報の取扱いに関する法律上の義務を遵守しなければならない。
２．対象事業者が、匿名加工情報を作成した場合又は匿名加工情報を取り扱う場合には、匿名加
工情報の安全管理のために必要かつ適切な措置、及び苦情処理等の匿名加工情報の適正な取扱いを確保するために必要な措置を講じなければならない。

対象事業者は、匿名加工情報（匿名加工情報データベース等を構成するものに限る。以下、同様とする。）を取り扱う場合には、法律上の義務を遵守しなければならない。
対象事業者が、匿名加工情報を作成する個人情報取扱事業者である場合には、匿名加工情報の適切な加工、匿名加工情報の加工方法等の安全管理措置の構築、匿名加工情報の作成時の公表、匿名加工情報を第三者提供するときの公表及び明示並びに匿名加工情報を他の情報と照合する行為の禁止等の義務を負う。
また、対象事業者が匿名加工情報取扱事業者である場合には、匿名加工情報を第三者提供する
ときの公表及び明示並びに匿名加工情報の加工方法等の情報の取得及び他の情報と照合する行為の禁止等の義務を負う。
上記に加え、当団体の対象事業者は、対象事業者が、匿名加工情報を作成し、又は匿名加工情報を取り扱う場合には、匿名加工情報の安全管理措置及び苦情処理等の匿名加工情報の適正な取扱いを確保するために必要な措置を講じなければならない。なお、対象事業者は、上記の苦情の申出先に、対象事業者の苦情の申出先のほか、当団体の名称及び苦情解決の申出先を本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
（6.参照）
当団体は、対象事業者による匿名加工情報に関する具体的な実態や要望を踏まえ、関係者と議論を通じて、対象事業者の匿名加工情報の適切な加工方法について検討を行っていくものとする。
なお、当団体において議論がなされた匿名加工情報の取扱いを公表することは、対象事業者の匿名加工情報の適切な取扱いに資するものと考えられる。そこで、当団体においては、参考となり得る匿名加工情報の加工等の取扱いに関する事例とともにリスクレベルにあった多様な保護手段の事例を公表する等の必要な措置を講ずるものとする。

47

（２） 匿名加工情報の適切な加工対象事業者は、匿名加工情報を作成するときは、特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにするために必要なものとして、個人情報保護委員会規則の定める基準に従い、当該個人情報を加工しなければならない。
なお、対象事業者は、匿名加工情報の作成に当たっては、個人の識別に係るリスクを分析した上で適切な加工を行うよう努めなければならない。
（３） 匿名加工情報の作成時の公表① 対象事業者は、匿名加工情報を作成したときは、匿名加工情報を作成した後、遅滞なく、インターネットの利用その他の適切な方法により、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない。
② 対象事業者が他の個人情報取扱事業者の委託を受けて匿名加工情報を作成した場合は、当該他の個人情報取扱事業者が当該匿名加工情報に含まれる個人に関する情報の項目を
上記①に規定する方法により公表するものとする。この場合においては、当該公表をもって当該個人情報取扱事業者が当該項目を公表したものとみなす。
（４） 匿名加工情報の安全管理措置等① 対象事業者は、匿名加工情報を作成したときは、その作成に用いた個人情報から削除した記述等及び個人識別符号並びに個人情報保護委員会規則の定める基準に従い行った加工の方法（以下「加工方法等」という。）に関する情報の漏えいを防止するために必要なものとして、以下の基準に従い、これらの情報の安全管理のための措置を講じなければならない（I） 加工方法等情報（匿名加工情報の作成に用いた個人情報から削除した記述等及び個人識別符号並びに個人情報保護委員会規則の定める基準に従い行った加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。）をいう。以下、同様とする。）を取り扱う者の権限及び責任を明確に定めること（II） 加工方法等情報の取扱いに関する規程類を整備し、当該規程類に従って加工方法等情報を適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果に基づき改善を図るために必要な措置を講ずること（III） 加工方法等情報を取り扱う正当な権限を有しない者による加工方法等情報の取扱いを防止するために必要かつ適切な措置を講ずること

48

② 対象事業者は、匿名加工情報を作成したときは、当該匿名加工情報の安全管理のために必要かつ適切な措置、当該匿名加工情報の作成その他の取扱いに関する苦情の処理その他の当該匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じなければならない。また、対象事業者は、当該措置の内容を公表するよう努めなければならない。
③ 対象事業者が匿名加工情報取扱事業者である場合には、匿名加工情報（自ら個人情報を加工して作成したものを除く。）の安全管理のために必要かつ適切な措置、匿名加工情報の取扱いに関する苦情の処理その他の匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じなければならない。また、対象事業者は、当該措置の内容を公表するよう努めなければならない。
④ 対象事業者は、匿名加工情報を作成し第三者に提供する場合には、提供先事業者と利用目的の適正性の確保、提供範囲の制限等を定める契約を締結する等により当該匿名加工情報の適正な取り扱いを確保するために必要な措置を講ずること。
（５） 識別行為の禁止① 対象事業者は、匿名加工情報を作成して自ら当該匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該匿名加工
情報を他の情報と照合してはならない。
② 対象事業者が匿名加工情報取扱事業者である場合において、匿名加工情報（自ら個人情報を加工して作成したものを除く。）を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該個人情報から削除された記述等若しくは個
人識別符号若しくは７（１）（対象事業者の匿名加工情報の取扱）等の規定により行われた加工の方法に関する情報を取得し、又は当該匿名加工情報を他の情報と照合してはならない。
（６） 匿名加工情報の第三者提供① 対象事業者が、匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは、インターネットの利用その他の適切な方法により、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を、電子メールを送信する方法
又は書面を交付する方法その他の適切な方法により明示しなければならない。
② 対象事業者が匿名加工取扱事業者である場合に、匿名加工情報（自ら個人情報を加工して49

作成したものを除く。以下同じ。）を第三者に提供するときは、インターネットの利用その他の
適切な方法により、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を、電子メールを送信する方法又は書面を交付する方法その他の適切な方法により明示しなければならない。
（参考）匿名加工情報取扱事業者等の義務50

８. 個人情報の取扱いにおける事故等の報告について
１．対象事業者は、その保有する個人情報について、外部への漏えいその他本人の権利利益の侵害（以下「事故等」という。）が発生した場合又はそのおそれが生じた場合には、速やかに当団体に報告しなければならない。
２．対象事業者は、その保有する加工方法等情報について、事故等が発生した場合又はそのおそれが生じた場合には、速やかに当団体に報告しなければならない。

対象事業者は、その保有する個人情報又は加工方法等情報について事故等が発生した場合又はそのおそれが生じた場合には、速やかに当団体に報告しなければならない。
対象事業者は、その保有する個人情報又は加工方法等情報について事故等が発生した場合又はそのおそれが生じた場合には、当団体に報告をするとともに、必要な場合には関係機関にも適切に報告を行わなければならない。
事故等とは、個人情報又は加工方法等情報の外部への漏えいその他本人の権利利益の侵害のことをいい、具体的には、個人情報（個人情報又は加工方法等情報が記録された媒体を含む。）の漏えい、紛失、滅失・き損、改ざん、正確性の未確保、不正・不適正取得、目的外利用・提供、
不正利用、開示等の求め等の拒否を含む。
当団体への報告は、当団体が定める所定の様式により行うものとする。
また、上記にかかわらず、対象事業者は、事故の規模や二次被害発生の可能性などの状況により必要と判断される場合には、事故等の発生後又は事故等の発生の恐れが生じた後、当団体に対し、速やかに連絡を行わなければならない。

51

９. 個人情報保護を推進する上での考え方や方針の策定（１） 個人情報保護を推進する上での考え方や方針の公表
対象事業者は、個人情報保護を推進する上での考え方や方針を策定し、公表をしなければならない。

対象事業者は、個人情報保護を推進する上での考え方や方針（いわゆる、プライバシーポリシ
ー、プライバシーステートメント等）を策定し、あらかじめ公表しなければならない。対象事業者が策定する個人情報保護を推進する上での考え方や方針には、以下の事項が含まれていなければならない。
（１） 事業者の名称（２） 関係法令の遵守（３） 個人情報の利用目的（４） 安全管理措置に関する事項（５） 個人データの第三者提供、共同利用、委託の有無及び必要な事項（６） 保有個人データの開示等に関する手続（７） 問合せ先及び苦情処理の受付窓口
また、本人の権利利益の保護の観点からは、上記のほか、取得をする個人情報の項目や個人情報を取得する方法について、あらかじめ公表をすることが望ましい。
（２） アプリケーションソフトウェアに係るプライバシーポリシーの公表
対象事業者は、アプリケーションソフトウェア（以下「アプリケーション」という。）を提供する場合
は、当該アプリケーションによる情報の取得等について明確かつ適切に定めたプライバシーポリシーを公表することに努めるものとする。また、アプリケーションを提供するサイトを運営する場合
は、当該サイトにおいてアプリケーションを提供する者に対して、当該アプリケーションによる情報の取得等について明確かつ適切に定めたプライバシーポリシーを公表するよう促すことに努めるものとする。
電気通信事業における個人情報保護に関するガイドライン（総務省） 第 14 条第 2 項、第 3 項
対象事業者は、スマートフォンやタブレットをはじめとするモバイル情報機器において、アプリケー
ションを提供する場合には、事業者としてのプライバシーポリシーとは別に、それぞれのアプリケーション毎にプライバシーポリシーを策定し、あらかじめ公表することに努めなければならない。ま52

た、対象事業者は、アプリケーションを提供するサイトを運営する場合は、アプリケーションを提供する者に対して、当該アプリケーションのプライバシーポリシーを公表するよう促すことに努めなければならない。
アプリケーションのプライバシーポリシーに記載すべき事項は、次の 8 項目である。
（１）情報を取得するアプリケーション提供者等の氏名又は名称（２）取得される情報の項目（３）取得方法（４）利用目的の特定・明示（５）通知・公表又は同意取得の方法、利用者関与の方法（６）外部送信・第三者提供・情報収集モジュールの有無（７）問合せ窓口（８）プライバシーポリシーの変更を行う場合の手続
また、対象事業者は、当該プライバシーポリシーの内容が当該アプリケーションの情報取得等について適切に記載したものであることを確保するため、第三者による検証等を利用しその適切性を検証することが望ましい。

※アプリケーションソフトウェアに係るプライバシーポリシーについては、１３．モバイルコンテンツ関連事業における注意事項 （１）スマートフォン等の利用者情報の取扱いを参照のこと。

53

１０. ガイドライン等

対象事業者は、当団体の指針を遵守するとともに、個人情報保護委員会等の作成するガイドラインを参照するものとする。
対象事業者は、本指針及び法律上の義務を遵守するために、関連する規格等を参照することが考えられる。

54

１１. 指導、勧告その他の措置について
当団体は、対象事業者が本指針の遵守すべき事項を満たしていないこと（以下「違反行為」という。）が認められるときは、対象事業者に対し、本指針を遵守させるため必要な指導、勧告その他の措置をとることとする。

（１） 指導
当団体は、当該対象事業者に対し、違反行為の中止その他違反を是正するために、必要な措置を行うよう、口頭又は文書により指導するものとする。
（２） 勧告当団体、指導を受けた対象事業者が、正当な理由なくその指導に従わなかった場合において、個人の権利利益を保護するため必要があると認められるときに、当該対象事業者に対し、その指導に係る措置をとるべきことを文書により勧告するものとする。
（３） その他の措置
当団体は、勧告を受けた対象事業者が、正当な理由なくその勧告に係る措置を取らなかった場合には、別に定めるところにより、必要な処置をとるものとする。

55

１２. 指針の見直し

本指針は、社会情勢の変化、個人情報保護に関する国民の認識の変化、技術の発展及び実務の状況並びに、個人情報の取扱いに係る事故等の発生状況等に応じて、適宜見直しを行うことが必要である。
したがって、本指針策定後も、随時関係者の意見を求めながら見直しに努めるものとする。

56

１３. モバイルコンテンツ関連事業におけるその他の事項（１） スマートフォン等の利用者情報の取扱い
スマートフォン等におけるアプリケーション配信事業を行う場合は、以下のように利用者情報の取扱いを推奨する。
スマートフォン等の利用者情報への対応については、関係省庁含め関係機関において普及が進展中であることを考慮して、本指針においても積極的に情報提供を行い周知していくことを推進する。
（１）参照する指針・ガイドライン等
総務省「スマートフォン プライバシー イニシアティブ －利用者情報の適正な取扱いとリテラシー向上による新時代イノベーション－」
http://www.soumu.go.jp/menu_news/s-news/01kiban08_02000087.html
上記は、「利用者視点を踏まえた ICT サービスに係る諸問題に関する研究会 スマートフォンを経由した利用者情報の取扱いに関するＷＧ」の 最終取りまとめとして発表されておりスマートフォンにおける利用者情報が安心・安全な形で活用され、利便性の高いサービス提供につながるよう、諸外国の動向を含む現状と課題を把握し、利用者情報の取扱いに関して必要な対応等について取りまとめたものである。
特に、第５章 スマートフォンにおける利用者情報の取扱いの在り方では、「スマートフォン利用者
情報取扱指針」としてアプリケーション配信事業者が対応すべき事項が示されている。
一般社団法人モバイル・コンテンツ・フォーラム「スマートフォンのアプリケーション・プライバシーポ
リシーに関するガイドライン」
http://www.mcf.or.jp/temp/sppv/mcf_spappp_guidline.pdf
以下の内容は、前記、総務省が示した「スマートフォン利用者情報取扱指針」に沿って「アプリケー
ション・プライバシーポリシー」の記載方法について推奨事項とモデル案を取りまとめている。

（２）スマートフォン等の利用者情報とは57スマートフォンは、携帯電話端末として常に電源を入れてネットワークに接続した状態で使用する
ため、PC に比べて利用者との結びつきが強い。利用者の行動履歴や通信履歴等の多数の情報の取得・蓄積が可能であり、個人を識別できる可能性があるプライバシーに関する情報（以下「利用者情報」）が、非常に詳細なレベルで大量に保存されており、これらがアプリケーションを通じて自動的に取得され外部に送信され得るという、スマートフォンならではのリスク特性がある。
利用者情報は個人情報に該当する情報も含まれるが、具体的に例示すると、個人を識別するための情報として、契約者・端末固有 ID（OS が生成する ID（Android ID）、独自端末識別番号（UDID）、加入者識別 ID（IMSI）、端末識別 ID（IMEI）、MAC アドレス等）が挙げられる。また、ス
マートフォンが電話や通信端末として利用されることによる電話番号や電話帳データ（氏名、電話番号、メールアドレス）も該当する。
さらに、通信サービス上の行動履歴や利用者の状態に関する情報として、GPS 機器等が標準的に搭載されていることから精度の高い位置情報が存在し、通話履歴（通話内容・履歴、メール内
容・送受信内容等）、Web ページ上の行動履歴等も存在する。加えて、解像度の高いカメラにより撮影される写真やビデオ、アプリケーションの利用により蓄積される情報やアプリケーションの利
用ログ、システムの利用に関するログ等もこの区分に該当する。

図 1 スマートフォンに蓄積される主な利用者情報
出典：総務省「スマートフォン プライバシー イニシアティブ」
58

（３）事業における関係者
スマートフォン等関連事業における関係者は多岐にわたるが、アプリケーション等を開発・提供している事業者のうち本規定の対象となる事業者は、「アプリケーション提供（配信）事業者」と「情報収集モジュール提供事業者」となる。
アプリケーション提供（配信）事業者は、アプリケーションを開発事業者に委託して開発する場合もあり、広告モデルの場合は情報収集モジュール提供事業者（広告配信事業者等）が提供する情報収集モジュールをアプリケーションに組み込んで、マーケット運営事業者が提供する【アプリ・マ
ーケット】（App Store、Google Play 等）から利用者に対してアプリケーションを配信する。
アプリケーションを受託開発しているだけでアプリケーションを配信していないアプリケーション開
発事業者は、利用者情報を取得しないため、本指針の対象外である。

図 2 スマートフォン等関連事業における関係者（４）個人情報の取得・利用・提供・保管①利用者情報等の取り扱い
59

取得時の措置情報の種類

法による措置

アプリケーション・プライバシーポリシー

個人情報に該当する利用者

明示、通知または公表等が情報(注 1)

必要通知または公表が必要

個人情報に該当しないが個
人情報と同等に扱う利用者情通知または公表が必要

報(注 2)
通信事業者等から取得した通知または公表等が決済に関する個人情報(注 3)

必要(注 1) 電話帳、入力フォームから取得する氏名、写真・動画など、特定の個人が識別できる情報をいう。
(注 2) 契約者・端末固有 ID、位置情報、通信履歴、アプリケーション利用履歴（個人情報に該当しないものに限る。）などをいう。なお、電気通信事業者の取扱中に係る通信の履歴は、電気通信事業法第 4 条第 1 項が規定する通信の秘密に該当する場合が通常であるが、その場合は原則として、本人からあらかじめ情報の取得・利用についての個別かつ明確な同意を得る必要がある。
(注 3) 通信事業者や OS 事業者から、未収債権の回収等のため取得する氏名、住所、電話番
号、メールアドレス、決済金額などをいう。
個人情報に該当する利用者情報に関しては、法が要求している措置（取得、利用、提供、委託など）の履行とアプリケーション・プライバシーポリシーを通知または公表することが必要となる。また、通信事業者や OS 事業者から、未収債権の回収等のため個人情報（氏名、住所、電話番号、
メールアドレス、決済金額等）を取得する場合は、法の措置（あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表すること。）が必要である。
個人情報以外の利用者情報（個人情報と同等に扱うもの）に関しては、法では要求していないが、アプリケーション・プライバシーポリシーを通知または公表することを推奨する。
②アプリケーション・プライバシーポリシーについて
一般的に「個人情報保護方針」は、その事業者が個人情報保護に取り組む姿勢や基本的考え方
等の個人情報保護の理念を明らかにするものである。一方で「アプリケーション・プライバシーポリシー」は、事業者が透明性の確保を目的として、取得する情報の項目や目的等の事実関係を明らかにするものである。
個人情報保護方針は、原則として 1 社に一つ作成され、「プライバシーポリシー」という名称が用いられ広く普及している。しかしながら、既に作成・公表されている「個人情報保護方針」と、アプリ
60

ケーションごとのプライバシーポリシーは記載内容や位置づけが異なるため、実装にあたっては「個人情報保護方針」と混同されないように、「アプリケーション・プライバシーポリシー」という表記を業界団体では推奨している。なお、表示にあたっては、「個人情報保護方針」と「アプリケーショ
ン・プライバシーポリシー」とを分けて表示することが望ましいが、プライバシーポリシーとして一体で表示することも許容される。
記載内容については、アプリケーションが取得する情報や目的に沿って、事業者が判断するものとする。
●「アプリケーション・プライバシーポリシー」に掲載する基本事項としての８項目①情報を取得するアプリケーション提供者等の氏名又は名称⇒アプリケーション提供者等の名称、連絡先等を記載する。
②取得される情報の項目⇒取得される利用者情報の項目・内容を列挙する。
③取得方法⇒利用者の入力によるものか、アプリケーションがスマートフォン内部の情報を自動取得するものなのか等を示す。
④利用目的の特定・明示⇒利用者情報の利用目的を記載する。
⑤通知・公表又は同意取得の方法、利用者関与の方法⇒通知・公表の方法、同意取得の方法：プライバシーポリシー等の掲示場所や掲示方法、同意取得の対象、タイミング等について記載する。
⇒利用者関与の方法：利用者情報の利用を中止する方法等を記載する。
⑥外部送信・第三者提供・情報収集モジュールの有無⇒外部送信・第三者提供・情報収集モジュールの組込みの有無を記載する。
⇒広告等のために情報収集モジュールを組込んでいる場合は、情報収集モジュール提供事業者のプライバシーポリシーへのリンクを掲載する。
⑦問合せ窓口
⇒問合せ窓口の連絡先等を記載する。
⑧プライバシーポリシーの変更を行う場合の手続⇒プライバシーポリシーの変更を行った場合の通知方法等を記載する。
アプリケーション提供（配信）事業者は、「アプリケーション・プライバシーポリシー」を掲載する場所
は、アプリケーション・マーケット（Google Play、AppStore 等）やダウンロードページのアプリケーションを紹介するスペースに掲載するものとする。
プリインストールアプリケーションやその他の事情により、上記のような掲載場所がない場合や掲示できない事情がある場合等には、インストールの際や初回起動時に、アプリケーションのプログ
61

ラムでポップアップやページ遷移の工夫を行い、容易に閲覧できるようにする。また、アプリケーシ
ョンに情報収集モジュールを組み込んでいる場合は、各情報収集モジュール提供者のプライバシ
ーポリシーにリンクを張るなどして容易に見られるようにする。
情報収集モジュール事業者は、アプリケーション提供（配信）事業者が容易に対応できるようにプ
ライバシーポリシーの内容とリンク先を通知するものとする。

●アプリマーケットの掲載場所（例：Google Play）

62