JIPDEC セミナー「抜け漏れ再チェック！全⾯施⾏直後、改正個⼈情報保護法の実務対応ポイント」（2022.7.1 開催）【講演レポート】JIPDEC セミナー
「抜け漏れ再チェック！全⾯施⾏直後、改正個⼈情報保護法の実務対応ポイント」
⽜島総合法律事務所

弁護⼠

影島 広泰⽒本年 4 ⽉に全⾯施⾏された改正個⼈情報保護法の実務対応ポイントについて、６つのポイントに絞って解説します。ポイントに沿って、チェックリストを⽤意しましたので併せてご活⽤ください。

01

取得〜利⽤（チェックリスト P.４）第 17 条から第 20 条

情報分析等で利⽤する場合の利⽤⽬的
新法第 17 条で個⼈情報の利⽤⽬的を本⼈が予測や想定できるレベルまで細かく特定しなければならないとされ、21 条で利⽤⽬的を通知、公表しなければならないことに注意が必要です。
利⽤⽬的の⽂⾔のサンプル「ターゲティング広告配信のケース」
例として、ターゲティング広告を配信する場合、従来のような「広告配信のためにデータを利⽤する」といった曖昧な書き⽅では NG です。「取得した閲覧履歴や購買履歴等の情報を分析して、趣味・嗜好に応じた新商品・サービスに関する広告のために利⽤する」等、インプットする情報とアウトプットとを紐付けして特定する必要があります。
改正法施⾏前後で⾒る事業者の対応実例実例（図１）として、利⽤⽬的を追記するパターンと、現⾏の⽂⾔はそのまま追加事項を追記するパターンの２つが多く⾒られます。どちらでも問題はなく、情報を細かく特定することがポイントです。

図 1．利⽤⽬的の⽂⾔サンプル
1

JIPDEC セミナー「抜け漏れ再チェック！全⾯施⾏直後、改正個⼈情報保護法の実務対応ポイント」（2022.7.1 開催）

0２

安全管理措置・漏えい等報告（チェックリスト P.５）第 21 条から第 26 条

外的環境の把握（安全管理措置）
今回の改正で追加された「外的環境の把握」により、個⼈データを取り扱う外国の制度等を調査・把握し安全管理措置を実施しなければならないと規制が強化されています。外国の会社に委託をしている、外国のクラウドサーバーにデータを保存しているといったケースが典型的です。当該外国の法制度等を調査の結果、例えばガバメントアクセスがある国だった場合はそれを把握した上で安全管理措置を実施します。また、データのローカライゼーションが必要な場合等も対応を事前に検討する必要があります。
なお、通則ガイドラインの①から⑥は改正がなかったため、今まで通りの情報管理で問題ありません。
ちなみに、23 条では「き損」が「毀損」に変更になっているので、⾃社規程⾒直しの際に合わせておくとよいと思います。
漏えい等の報告及び本⼈通知の義務化
26 条「漏えい等（滅失⼜は毀損も含む）の報告及び本⼈通知の義務化」については、下記①から④のいずれかに該当するおそれがある場合、速報・確報等を個⼈情報保護委員会に報告し、本⼈にも速やかに通知しなければなりません。本⼈通知に関しては、現場の負担が増えることも想定されますので、社内研修等でもしっかり周知し、情報管理の重要性を説くようにしてください。
①要配慮個⼈情報の漏えい等②経済的な損失を伴うこととなるおそれのあるようなデータの漏えい等（クレジットカード番号等）③不正の⽬的をもって⾏われたおそれがある漏えい等（ハッカーの不正侵⼊、内部データ持ち出し等）④1,000 ⼈分を超える漏えい等●報告（速報）： 知った後「速やかに」（概ね 3〜5 ⽇以内 初⽇算⼊）
報告（確報）： 知った後 30 ⽇以内（③は 60 ⽇以内）

初⽇算⼊

●本⼈通知：状況に応じて速やかに
特に報告に関しては、速報でも初⽇算⼊とされていることに注意が必要です。漏えい等が連休等に発⽣・発覚した場合の対応も考えておくことが重要です。
報告・通知を要しない例外
例外として、個⼈データが第三者に閲覧されないうちに全てを回収した場合は漏えいに該当しないた
め不要、また、⾼度な暗号化その他の個⼈の権利利益を保護するために必要な措置が講じられている場合も不要となります。すぐに取り返すことと、電⼦政府推奨暗号リスト（CRYPTREC）に載っているよ
うな暗号化を実施して保存しておくことが重要です。
委託先から漏えいした場合委託先に預けたデータが漏えい等した場合、委託元、委託先両⽅に個⼈情報保護委員会への報告義務
2JIPDEC セミナー「抜け漏れ再チェック！全⾯施⾏直後、改正個⼈情報保護法の実務対応ポイント」（2022.7.1 開催）

が発⽣しますが、委託先が委託元に通知をした場合には委託先は報告義務を免れる事になります。
委託元は報告や通知内容等をコントロールするためにも「漏えい等が起こった場合の委託元への報告の徹底、およびその後の個⼈情報保護委員会への報告と本⼈への通知については委託元指⽰に従う」旨を委託契約の条項に反映することをおすすめします。

０３

第三者提供 （チェックリスト P.６） 第 27 条、第 28 条

個⼈データ提供の際の同意要否の基準
個⼈データを第三者に提供する際、同意要否の切り分け基準は 2 点あります。
① 個⼈データを「提供」しているか否か。
郵便、倉庫業者のように、通常内容物の詳細に関知しない場合は委託していることにはなりません。
データ関係のサービスでは、データを取り扱わない旨と適切にアクセス制御をしているケースが典型的に委託に当たらない場合となりますので、クラウドの利⽤規約やセキュリティのホワイトペーパー等を確認して判断するようにしてください。
② 第三者提供か委託に伴う提供か。利⽤⽬的の変更はあるか。
提供元が収集した個⼈データを、利⽤⽬的を変えて提供先の利⽤⽬的で利⽤する場合は第三者提供となり同意が必要となります。⼀⽅、利⽤⽬的が変わらず提供元の利⽤⽬的でのみ利⽤するのであれば委託となるため同意は不要です。
委託ではないと評価されるケース
Q&A には下記３点が「委託ではない」と評価されるケースとして例⽰されています。
①複数の委託元から提供を受けた個⼈データを区別せずに混ぜて取り扱っている場合（Q7-37)②複数の委託元から提供を受けた個⼈データを本⼈ごとに突合する場合（Q7-43）③委託先が独⾃に取得した個⼈データ⼜は個⼈関連情報と本⼈ごとに突合する場合（Q7-41）③は今回新たに追加されたケースで、例えば SNS 事業者に個⼈データを提供し、SNS 事業者が独⾃に所有している個⼈データと突合する場合等は委託ではなく、委託元または委託先のどちらかで同意をとる必要が⽣じます。
なお、アンケート等実施後、委託元には統計情報のみが納品され、個⼈データの取り扱いに⼀切関知しない場合には委託には当たりません。例外もありますので⾃社の事業に併せてご判断ください。
委託先での当該個⼈データの加⼯委託内容に個⼈データを統計情報に加⼯する業務がある場合、委託先は加⼯を⾏うことができますが作成された統計情報を⾃社のために⽤いることはできません。ただし今回、委託の範囲内（⾃社の技術3JIPDEC セミナー「抜け漏れ再チェック！全⾯施⾏直後、改正個⼈情報保護法の実務対応ポイント」（2022.7.1 開催）

改善のため）であれば利⽤可能となりましたので、この点を利⽤規約に盛り込むことで実務的にも運⽤しやすくなるかと思います。
外国にある第三者への個⼈データの移転⽅法
外国の会社との共同利⽤、委託は原則できません。ただし例外（図 2―No.2）として、個⼈情報保護委員会が⼗分性認定した国は外国から除かれるため、現状 EU(EEA)とイギリスは国内の第三者と同じ取り扱いができます。
さらに、外国の会社であっても、⽇本の個⼈情報保護法を遵守する内容でデータ移転契約を結ぶ等、外国の会社が相当措置を講じていれば外国にある第三者から除かれ、委託・共同利⽤が使える（図 2‐No.3）ことになります。ただし、定期的（年に 1 回）に移転先の第三者による相当措置の実施状況の確認と、実施に影響を及ぼすおそれのある制度の有無について調査を⾏う必要があり、また、本⼈の求めに応じて情報を提供する義務も発⽣します。本⼈への同意取得の際の情報提供義務（図 2‐No.4）では、①外国の名称、②外国の法制度、③相⼿の会社が講じている措置についてあらかじめ説明をしなければ同意として有効とは判断されません。

図 2．外国にある第三者へ個⼈データを移転する⽅法
同意取得の際の情報提供
外国の名称が特定できない、サーバー設置国やデータセンターの場所が公表されていない場合等は、「特定できない旨及びその理由（公表されていないので特定できない等）」や「外国の名称に代わる本⼈に参考となるべき情報（特定できないが、A 国と B 国と C 国で利⽤）」等と記載する⽅法があります。
外国の法制度調査
個⼈情報保護委員会が外国（現在 40 か国）の法制度調査を⾏い Web サイトで公表しています。本⼈4JIPDEC セミナー「抜け漏れ再チェック！全⾯施⾏直後、改正個⼈情報保護法の実務対応ポイント」（2022.7.1 開催）への同意についても該当サイトのリンクを張ることで対応が可能です。
参考：外国における個⼈情報の保護に関する制度等の調査（個⼈情報保護委員会）
参考：外国の個⼈情報の保護に関する制度調査（⽜島総合法律事務所）
公表・情報提供の同意の要否まとめ
外国への提供の⽅法（図 3）、調査範囲（図 4）については、⾃社の事業内容に照らし合わせて必要に応じてご判断ください。

図 3. 外国にある第三者への提供（公表・情報提供と同意の要否まとめ）

図４. 外国にある第三者への提供（何をどこまで調査するのか？）5

JIPDEC セミナー「抜け漏れ再チェック！全⾯施⾏直後、改正個⼈情報保護法の実務対応ポイント」（2022.7.1 開催）

０４

個⼈関連情報 （チェックリスト P.7） 第 29 条から第 31 条

個⼈関連情報の概要
個⼈関連情報は、「⽣存する個⼈に関する情報であって、個⼈情報、仮名加⼯情報及び匿名加⼯情報のいずれにも該当しないもの」と定義され、改正法で新設された概念です。範囲がとても広く、Cookie 情報のほか、スマホの位置情報や購買履歴、電話番号等個⼈に関連する情報であれば個⼈関連情報に該当します。
提供・取得時の義務
個⼈関連情報を第三者提供した場合、受領者側が個⼈データと紐づけるのであれば、同意を得る必要があるのは受領者側です。提供者側は、受領者側が個⼈データと紐づけることが想定される場合には、受領者側が同意を取っているか否か確認をする義務があります。
外国の会社に提供する場合は、受領者側がユーザー情報（個⼈情報）と紐づけるために同意を取る際、当該外国の法制度を説明する義務があることはご留意ください。
また、提供元は受領者側が個⼈データとして取得されることが伺われる場合は確認し判断する必要がありますが、それが伺われない場合は確認まではしなくてもよいというルールです。提供情報の種類、データ受領の⽅法等各々のケースを鑑み、確認が必要か否か都度判断するようにしてください。
参考：実務対応事例（講演資料：P.35〜P.40）

0５

本⼈の権利（チェックリスト P.8）

第 32 条から第 35 条

保有個⼈データに関する周知事項の追加
今回の改正法では、保有個⼈データに関する周知事項に住所と代表者（法⼈の場合）の⽒名が追加され、また、安全管理措置について本⼈の知り得る状態に置く必要があると記載されました。
つまり、保有個⼈データに関する周知事項をプライバシーポリシーに記載（図５）することで、本⼈の知り得る状態になっていると整理できます。なお、外的環境の把握が安全管理措置に追加になっているので記載については通則ガイドラインの記載例をご参照ください。
参考：個⼈情報の保護に関する法律についてのガイドライン：保有個⼈データに関する事項の公表等（法第 32 条関係（個⼈情報保護委員会）

6

JIPDEC セミナー「抜け漏れ再チェック！全⾯施⾏直後、改正個⼈情報保護法の実務対応ポイント」（2022.7.1 開催）

図５. プライバシーポリシー等の記載事項
プライバシーポリシーに記載する範囲
安全管理措置としての外的環境の把握では、個⼈データを保管している国名を列挙する必要がありま
すが、国名が特定できないケース等列挙が難しい場合も想定できます。よく⾒られる対応としては、Webサイトには国名までは掲載せず、質問があった場合は遅滞なく回答するという⽅法があります。法律では「本⼈の知り得る状態（本⼈の求めに応じて遅滞なく回答する場合も含む。）」と記載があるため、この対応⽅法で問題はなく、その上でどこまでを記載し説明するのかを各社で協議してください。
本⼈の権利に関する改正点
本⼈の権利に関する改正点は、⼤きく下記の 4 点になります。
①6 か⽉以内に消去する短期保有データの除外の廃⽌（6 か⽉以内に消去するデータも開⽰等の対象）②開⽰のデジタル化（データ、書⾯等本⼈が請求した⽅法で開⽰）③第三者提供記録の開⽰④利⽤停⽌・消去請求等の拡充（利⽤する必要がなくなった、26 条の漏えい等が発⽣した場合等）
なお、利⽤者側からクレームととれるレベルの利⽤停⽌・消去請求があった場合は、正当な利益にあたるか否かが法的な基準になりますが、本⼈の権利利益の保護の必要性を上回る特別な事情がない限りは原則応じる必要があります。
補⾜として、多くの企業でプライバシーポリシー内に「個⼈情報に関する開⽰はこちら」という⽂⾔で誘導がされていますが、厳密に⾔うと改正法の下では「個⼈情報と第三者提供記録の開⽰はこちら」と記載するべきですので、未対応の⽅は対応をお願いします。
開⽰等の請求等に応じる⼿続きについて注意点
7

JIPDEC セミナー「抜け漏れ再チェック！全⾯施⾏直後、改正個⼈情報保護法の実務対応ポイント」（2022.7.1 開催）

令和 3 年 8 ⽉ 2 ⽇付けの通則ガイドラインの改正で、本⼈確認⽅法の記載が変更されています。
まず、本⼈確認の概念には⾝元確認（運転免許証等）と当⼈認証（メールアドレスとパスワード等）のふたつがあり、これは全く別の概念であるということをご理解ください。
元々⾝元確認を⾏っていないケースの場合（図６）、⾝元確認書類を提出してもらい認証することには意味がなく、この場合は登録されているメールアドレスにメールを送信できれば当⼈認証ができていることになります。つまり、⾃社がユーザーから収集している情報の種類によっては、⾝元確認が必要なのか、当⼈認証が必要なのか判断が変わってくるため、開⽰請求があった場合はふたつの本⼈確認の概念があることを念頭にご対応ください。
参考：オンラインサービスにおける⾝元確認⼿法の整理に関する検討報告書（経済産業省）

図６. 開⽰等の請求等に応じる⼿続き

０６

仮名加⼯情報（チェックリスト P.9）第 36 条から第 46 条

匿名加⼯情報とは「特定の個⼈を識別できないように加⼯して得られる⽣存する個⼈に関する情報であって、それを復元できないようにしたもの」を匿名加⼯情報と呼びます。
匿名加⼯情報への加⼯⽅法
下記５点全てを満たすことで、本⼈の同意を取らずとも利⽤や第三者提供ができるのが匿名加⼯情報です。
①特定の個⼈を識別することができる記述等の全部⼜は⼀部を削除（⽒名、⽣年⽉⽇等）②個⼈識別符号の全部を削除（マイナンバー等）
8

JIPDEC セミナー「抜け漏れ再チェック！全⾯施⾏直後、改正個⼈情報保護法の実務対応ポイント」（2022.7.1 開催）③連結する符号を削除（お客様 ID 等）④特異な記述等を削除（119 歳等の該当者が少ないと思われる年齢等）⑤個⼈情報データベース等の性質を勘案し、適切な措置を講ずること
ただし、④の“特異”の基準が曖昧であること、また、マーケティング分析等に必要な特異なデータを丸めてしまうことでデータの精度が落ちる等の問題点もありました。
仮名加⼯情報とはそこで新設されたのが、仮名加⼯情報です。他の情報と照合しないかぎり、特定の個⼈を識別することができないように加⼯された個⼈に関する情報のことで、イメージとしては個⼈情報と匿名加⼯情報の間に位置するものです。
仮名加⼯情報への加⼯⽅法とメリット
仮名加⼯情報への加⼯⽅法は下記の３点で、匿名加⼯情報に⽐べて項⽬が少なくなっているのが特徴です。
①個⼈情報に含まれる特定の個⼈を識別することができる記述等の全部⼜は⼀部を削除②個⼈情報に含まれる個⼈識別符号の全部を削除③不正利⽤されることにより、財産的被害が⽣じるおそれのある記述等の削除⼜は置換
図７のデータを上記に沿って加⼯した場合、①⽒名削除、②（個⼈識別符号が）⼊っていない、③（クレジット番号が）⼊っていないため、⽒名を削除した時点で仮名加⼯情報になります。匿名加⼯情報のデメリット（特異の基準があいまい、データの制度が落ちる）が解決されていて、⾮常に使いやすいデータになっていることがわかります。

図７. 仮名加⼯情報
9

加⼯後データの例

JIPDEC セミナー「抜け漏れ再チェック！全⾯施⾏直後、改正個⼈情報保護法の実務対応ポイント」（2022.7.1 開催）

個⼈情報、⾮個⼈情報の仮名加⼯情報
仮名加⼯情報には、個⼈情報の仮名加⼯情報と⾮個⼈情報の仮名加⼯情報がありますが、基本的に容易照合性がある場合は個⼈情報の仮名加⼯情報です。⼀⽅で、⾃社で加⼯した後、元データを削除した場合、また、委託先・共同利⽤先から⾒れば容易照合性はない場合はいずれも⾮個⼈情報の仮名加⼯情報という整理になります。
ただし、仮名加⼯情報は⼤原則として容易照合性があるため個⼈情報として取り扱い、容易照合性がなくなった場合のみ、⾮個⼈情報として扱う事ができると理解してください。
利⽤⽬的の変更
個⼈情報の場合、変更前の利⽤⽬的と関連性がある範囲内でのみ⽬的が変更できましたが、仮名加⼯情報の場合はその規定は適⽤されません。利⽤⽬的が不明な過去の社内データ等も、全く新しい⽬的を設定して利⽤できるため扱いやすくなったことが仮名加⼯情報の最⼤のメリットと⾔えます。
禁⽌事項と適⽤除外
仮名加⼯情報の第三者提供（データ販売等）はできません。また、個⼈情報に復元するような識別⾏為や本⼈への連絡等も禁⽌されています。
なお、共同利⽤は範囲の制限なく可能で、かつ漏えい等の報告・通知義務はなく、開⽰請求等にも応じる必要はないため、安全管理措置を講じた上でグループ会社間が分析等のために共同利⽤するにはとても便利にお使いいただけると思います。他⽅、仮名加⼯情報の状態（図 8）によってかかる規制も違ってくるため、実際のケースに落とし込んだうえで運⽤してください。

図８. 仮名加⼯情報の種類別規制等の⼀覧
以上10

JIPDEC セミナー「抜け漏れ再チェック！全⾯施⾏直後、改正個⼈情報保護法の実務対応ポイント」（2022.7.1 開催）

⽜島総合法律事務所

弁護⼠

影島 広泰⽒⼀橋⼤学法学部卒業、03 年弁護⼠登録、⽜島総合法律事務所⼊所
⾃らアプリ開発を⾏う等 IT に精通し、IT システム・ソフトウェアの開発・運⽤、個⼈情報・プライバシー、ネット上のサービスや紛争に関する案件を中⼼に、企業法務の第⼀線で活躍。
⽇本経済新聞社「企業が選ぶ弁護⼠ランキング」データ関連部⾨ 1 位（2019年 12 ⽉）選出
東洋経済新報社「依頼したい弁護⼠ 分野別 25 ⼈」IT・個⼈情報・ベンチ
ャー部⾨の 5 名に選出
【著作】
「法律家・法務担当者のための IT 技術⽤語辞典＜第 2 版＞」（商事法務）「22 年施⾏ 情報の『利⽤』を重視する個⼈情報保護の規制強化」（週刊東洋経済、2021 年 3 ⽉ 6 ⽇号）ほか多数

本内容は、2022 年 7 ⽉ 1 ⽇に開催された JIPDEC セミナー「抜け漏れ再チェック！全⾯施⾏直後、改正個⼈情報保護法の実務対応ポイント」の講演内容を事務局で取りまとめたレポートです。

11