個人情報保護法の基本
令和４年８月1-1．個人情報保護委員会とは○ 個人情報保護委員会は、個人情報の保護に関する法律（平成１５年法律第５７号）に基づき、個人情報の有用性に配慮しつつ、個人の権利利益を保護するため、個人情報の適正な取扱いの確保を図ることを任務として設立された合議制の独立機関。
○

いわゆる３条委員会であり、権限の行使に当たっては、高い独立性と政治的中立性が担保されている。

【個人情報保護法関係】【マイナンバー法関係】

個人情報保護委員会

個人情報保護法は
個人情報保護委員会が所管

個人情報保護に関する基本方針の策定・推進

民間事業者（令和４年４月～）

監視・監督等

国 際 協 力行政機関

苦情あっせん
独立行政法人等

広報啓発

地方公共団体等（令和５年４月～）

民間事業者

監視・監督

独立行政法人等

監視・監督

行政機関

（令和４年４月～）

マイナンバー法はデジタル庁が所管

地方公共団体等※令和３年改正法により、公的部門と民間部門の法制を一元化。

1

1-2．個人情報保護法の目的・構成
 「個人情報」の適正な取扱いに関し、個人情報の有用性に配慮しつつ、「プライバシー」の保護を含む個人の権利利益を保護することを目的とする法律。
 我が国の個人情報保護制度の「基本法」として基本理念、基本方針の策定や国等の責務等を定めるほか、民間事業者や行政機関等の個人情報の取扱いに関する「一般法」として
民間部門及び公的部門における必要最小限の規律を定める。
 また、個人情報保護委員会の設置根拠や民間部門及び公的部門に対する監視・監督権限についても定める。
（目的）
第１条 この法律は、デジタル社会の進展に伴い個人情報の利用が著しく拡大していることに鑑み、個人情報の適正な取扱いに関し、基本理念及び政府による基本方針の作成その他の個人情報の保護に関する施策の基本となる事項を定め、国及び地方公共団体の責務等を明らかにし、個人情報を取り扱う事業者及び行政機関等についてこれらの特性に応じて遵守すべき義務等を定めるとともに、個人情報保護委員会を設置することにより、行政機関等の事務及び事業の適正かつ円滑な運営を図り、並びに個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであることその他の個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする。

構成

第１章 総則第２章 国及び地方公共団体の責務等
第３章 個人情報の保護に関する施策等
第４章 個人情報取扱事業者等の義務等

第５章 行政機関等の義務等
第６章 個人情報保護委員会
第７章 雑則第８章 罰則2

1-3．個人情報保護法の成立と改正経緯
1970年代～ 公的部門におけるコンピュータによる情報化の進展、欧米におけるプライバシー保護やデータ保護に関する立法の導入※ 制定
1975年（昭和50年）～地方公共団体における個人情報保護条例※※ 電子計算機処理：東京都国立市（1975年）、岩手県紫波町・東京都世田谷区（1976年）など※ 個人情報一般：福岡県春日市（1984年）、政令都市として川崎市（1985年）、都道府県として神奈川県（1990年）など

昭和63年制定法

1988年（昭和63年） 行政機関電算機個人情報保護法※成立 1990年（平成2年）10月全面施行※ 行政機関の保有する電子計算機処理に係る個人情報の保護に関する法律（昭和63年法律第95号）

官民通ずるIT社会の急速な進展、国際的な情報流通の拡大、プライバシー等の個人の権利利益侵害の危険性・不安感増大

2003年（平成15年） 個人情報保護法等 ※ 成立 2005年（平成17年）4月全面施行※ その他、行政機関の保有する個人情報の保護に関する法律（平成15年法律第58号。行個法）、独立行政法人等の保有する個人情報の保護に関する法律（同第59号。独個法）、情報公開・個人情報保護審査会設置法（同第60号）、行政機関の保有する個人情報の保護に関する法律等の施行に伴う関係法律の整備等に関する法律（同第61号）

2014年（平成26年）

特定個人情報保護委員会 設置

平成15年改正法

法施行後約10年が経過。情報通信技術の発展により、制定
当時には想定されなかったパーソナルデータの利活用が可能に

2015年（平成27年） 個人情報保護法 改正 2017年（平成29年）5月全面施行
2016年（平成28年）

平成15年制定法

個人情報保護委員会 設置（民間部門の一元化）

平成27年改正法

2016年（平成28年） 行政機関個人情報保護法等 改正※ 2017年（平成29年）5月全面施行※ 行政機関等の保有する個人情報の適正かつ効果的な活用による新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するための関係法律の整備に関する法律（平成28年法律第51号）による行個法及び独個法の改正

平成28年改正法

３年ごと見直し規定に基づき、国際的動向、情報通信技術の進展、新産業の創出・発展の状況等を勘案して検討・措置

2020年（令和２年） 個人情報保護法 改正※３年ごと見直し規定に基づく初の改正2022年（令和4年）4月全面施行

令和2年改正法

2021年（令和３年） 個人情報保護制度の官民一元化※ 2022年（令和4年）4月一部施行
2023年（令和5年）4月全面施行※ デジタル社会の形成を図るための関係法律の整備に関する法律（令和3年法律第37号）による個人情報保護法の改正、行個法及び独個法の廃止等

令和3年改正法 3

1-4．令和２年改正法と令和３年改正法
いわゆる３年ごと見直し規定に基づく改正

令和2年改正法
令和4年4月全面施行

個人の権利利益の保護と活用の強化、 越境データの流通増大に伴う新たなリスクへの対応、 ＡＩ・ビッグデータ時代への対応等
 利用停止・消去等の拡充、漏えい等の報告・本人通知
 不適正利用の禁止
 仮名加工情報の創設、個人関連情報の第三者提供制限
 越境移転に係る情報提供の充実 等

デジタル社会形成整備法に基づく改正

令和3年改正法
令和４年４月一部施行（地方部分は令和５年4月施行）

官民を通じた個人情報保護制度の見直し（官民一元化）
 官民通じた個人情報の保護と活用の強化
 医療分野・学術分野における規制の統一 学術研究に係る適用除外規定の見直し 等

41-4-1．令和２年改正法の概要
１．個人の権利の在り方

３．事業者による自主的な取組を促す仕組みの在り方① 利用停止・消去等の個人の請求権について、一部の法違反の場合に加えて、個人の権利又は正当な利益が害されるおそれがある場合や重大な漏えい等が発生した場合等にも拡充する。

① 認定個人情報保護団体制度につき、従来の対象 ※ に加え、企業の特定分野(部門)を対象とする団体も認定可能にする。

② 保有個人データの開示方法（改正前は、原則、書面交付）について、電磁的記録の提供を含め、本人が指示できるようにする。
③ 個人データの授受に関する第三者提供記録について、本人が開示請求できるようにする。
④ ６ヶ月以内に消去する短期保存データについて、保有個人データに含めることとし、開示、利用停止等の対象とする。
⑤ オプトアウト規定※により第三者に提供できる個人データの範囲を限定し、①不正取得された個人データ、②オプトアウト規定により提供された個人データについても対象外とする。
（※）本人の求めがあれば事後的に停止することを前提に、提供する個人
データの項目等を公表等した上で、本人の同意なく第三者に個人データを提供できる制度。

２．事業者の守るべき責務の在り方① 漏えい等が発生し、個人の権利利益を害するおそれが大きい
場合※に、委員会への報告及び本人への通知を義務化する。
（※）一定の類型（要配慮個人情報、不正目的、財産的被害）、一定数以上の個人データの漏えい等② 違法又は不当な行為を助長する等の不適正な方法により個人情報を利用してはならない旨を明確化する。
※「７．その他」として、①利用目的の特定（プロファイリング関係）、②個人
データの取扱いの委託（混ぜるな危険関係）、③保有個人データに関する公表等事項（安全管理措置関係）につき、政令改正・Q&A追加等。

（※）事業者単位の事業者団体を対象とし、対象事業者内の全分野（部門）における個人情報の取扱いが対象で、令和4年6月時点で41団体が認定。

４．データ利活用の在り方① 氏名等を削除した「仮名加工情報」を創設し、内部分析に限定する等を条件に、開示・利用停止請求への対応等の義務を緩和する。
② 提供元では個人データに該当しないものの、提供先において個人
データとなることが想定される「個人関連情報」の第三者提供について、 本人同意が得られていること等の確認を義務付ける。

５．ペナルティの在り方① 委員会による命令違反・委員会に対する虚偽報告等の法定刑を引き上げる。
② 命令違反等の罰金につき、法人と個人の資力格差等を勘案し、法人に対し行為者よりも罰金刑の最高額を引上げ(法人重科)。

６．法の域外適用・越境移転の在り方① 日本国内にある者に係る個人情報等を取り扱う外国事業者を、罰則によって担保された報告徴収・命令の対象とする。
② 外国にある第三者への個人データの提供時に、移転先事業者における個人情報の取扱いに関する本人への情報提供の充実等
を求める。

5

1-4-2．令和３年改正法の概要①：背景
１．今般、新たに「デジタル庁」を創設し、国や地方のデジタル業務改革を強力に推進していく方針。これに伴い、公的部門で取り扱うデータの質的・量的な増大が不可避。
⇒ 個人情報等の適正な取扱いに万全を期すため、独立規制機関である個人情報保護委員会が、公的部門を含め、一元的に監視監督する体制の確立が必要。
２．デジタル社会の進展や個人情報の有用性の高まりを背景として、官民や地域の枠を超えたデータ利活用が活発化。
⇒ データ利活用の支障となり得る現行法制の不均衡・不整合を是正する必要。
＜不均衡・不整合の例＞
・民間部門と公的部門で「個人情報」の定義が異なる。
・国立病院、民間病院、公立病院で、データ流通に関する法律上のルールが異なる。
・国立大学と私立大学で学術研究に係る例外規定のあり方が異なる。
・地方公共団体間で個人情報保護条例の規定やその運用が異なる（いわゆる「2000個問題」）

３．国境を超えたデータ流通の増加を踏まえ、GDPR十分性認定への対応を始めとする
国際的な制度調和を図る必要性が一層向上。
6

1-4-3．令和３年改正法の概要②：全体像① 個人情報保護法、行政機関個人情報保護法、独立行政法人等個人情報保護法の3本の法律を1本の法律に統合するとともに、地方公共団体の個人情報保護制度についても統合後の法律において全国的な共通ルールを規定し、全体の所管を個人情報保護委員会に一元化。
② 医療分野・学術分野の規制を統一するため、国公立の病院、大学等には原則として民間の病院、大学等と同等の規律を適用。
③ 学術研究分野を含めたGDPRの十分性認定への対応を目指し、学術研究に係る適用除外規定について、一律の適用
除外ではなく、統合後の法律を適用し、義務ごとの例外規定として精緻化。
④ 個人情報の定義等を国・民間・地方で統一するとともに、行政機関等での匿名加工情報の取扱いに関する規律を明確化。
所管

個人情報保護法

各地方公共団体

独立行政法人等
個人情報保護法

対象

個人情報
保護委員会

行政機関
個人情報保護法

法令

総務省

【改正後】

個人情報
保護条例

【改正前】

国の
行政機関

独立
行政
法人等

民間
事業者

地方公共
団体等

①

個人情報保護委員会（統合後の）新個人情報保護法

国の行政機関
地方公共団体※ 等

・国立病院
・公立病院
・国立大学
・公立大学
・国立研究開発法人

民間
事業者

等

学術研究

個人情報
の定義等

②

適用除外

対象を拡大し、規律を精緻化

照合可能性

容易照合
可能性

団体により
異なる

容易照合可能性（個情法の定義に統一）

非識別加工情報

匿名加工
情報

規定なし

匿名加工情報（個情法の名称に統一し、規律を明確化）（一部団体を除く）③④※ 条例による必要最小限の独自の保護措置を許容

7

1-4-4．令和３年改正法の概要③：地方部分＜地方公共団体の個人情報保護制度に求められるもの＞＜改正の方向性＞

1. 社会全体のデジタル化に対応した「個人情報保護」と「データ流通」の両立

1.

「個人情報保護」と「データ流通」の両立に必要な全国的な共通ルールを法律で設定

2.

法律の的確な運用を確保するため、国がガイド
ライン等を策定

3.

その上で、法律の範囲内で、必要最小限の独自の保護措置を許容 ⇒条例を個人情報保護委員会に届出※ いわゆる「２０００個問題」①団体ごとの規定・運用の相違が、データ流通の支障となりうること②条例がないなど、求められる保護水準を満たさない団体があること等への問題提起がなされている

2. 個人情報保護に関する国際的な制度調和と我が国の成長戦略への整合例）・「条例要配慮個人情報」として保護する情報を規定
・個人情報の適切な取扱いを確保するため、特に必要な場合に限り審議会等からの意見聴取手続を規定

例）・EUにおけるGDPR（一般データ保護規則）十分性認定
・G20大阪首脳宣言におけるDFFT（信頼ある自由なデータ流通）○ 地方公共団体の現状
国の規律の対象

Ａ市(国と同じ規律)例）条例を制定していない

Ｂ組合（規律なし）

例）一部の規定がない

Ｃ市（規律の対象が国より少ない）共通ルールの設定※○ 共通ルール化後
共通ルール

Ａ市

Ｂ組合

共通ルールの設定により国と異なる規定ぶりは解消

例）・独自情報を追加
・国と異なる規定ぶり

Ｄ市（規律の対象が国より多い）

例）審議会等からの意見聴取

Ｅ市（手続を付加）必要最小限の独自の保護措置
意見聴取手続の必要性を精査

Ｃ市

D市

Ｄ
市

E市
Ｅ市

※医療・学術分野については、国の組織同様、民間規律を適用する。
※審議会等の役割は、個別事案に関する審議から、定型事例についての事前ルールの設定や、制度の在り方に関する調査審議に主な役割が移行。

8

1-5-1．個人情報の保護に関する基本方針（平成16年4月閣議決定、令和4年4月1日一部変更）

 政府は、個人情報の保護に関する法律第７条の規定に基づき、「個人情報の保護に関する基本方針」を策定（個人情報保護委員会で案を作成の上、閣議決定）。
 政府として、官民の幅広い主体が、基本方針に則して、個人情報の保護及び適正かつ効果的な活用の促進のための具体的な実践に取り組むことを要請。平成16年4月の策定以降、これまで累次の一部変更が実施。
 令和2年改正法及び令和3年改正法の施行等に伴い、第196回個人情報保護委員会（令和4年1月）で決定
した「見直しの方針」に関するパブリックコメントも踏まえ、新たな基本方針について、令和4年4月に閣議決定。
第７条 政府は、個人情報の保護に関する施策の総合的かつ一体的な推進を図るため、個人情報の保護に関する基本方針（以下「基本方針」という。）を定めなければならない。
２ 基本方針は、次に掲げる事項について定めるものとする.
一 個人情報の保護に関する施策の推進に関する基本的な方向
二 国が講ずべき個人情報の保護のための措置に関する事項
三 地方公共団体が講ずべき個人情報の保護のための措置に関する基本的な事項
四 独立行政法人等が講ずべき個人情報の保護のための措置に関する基本的な事項
五 地方独立行政法人が講ずべき個人情報の保護のための措置に関する基本的な事項
六 第16条第2項に規定する個人情報取扱事業者、同条第5項に規定する仮名加工情報取扱事業者及び同条第6項に規定する
匿名加工情報取扱事業者並びに第51条第1項に規定する認定個人情報保護団体が講ずべき個人情報の保護のための措置に関する基本的な事項
七 個人情報の取扱いに関する苦情の円滑な処理に関する事項
八 その他個人情報の保護に関する施策の推進に関する重要事項
３ 内閣総理大臣は、個人情報保護委員会が作成した基本方針の案について閣議の決定を求めなければならない。
４ 内閣総理大臣は、前項の規定による閣議の決定があったときは、遅滞なく、基本方針を公表しなければならない。
５ 前二項の規定は、基本方針の変更について準用する。

9

1-5-2．新たな基本方針の概要【出典】 個人情報保護委員会ウェブページ（https://www.ppc.go.jp/personalinfo/legal/fundamental_policy/）

１ 個人情報の保護に関する施策の推進に関する基本的な方向（1）個人情報等をめぐる状況（2）法の基本理念と制度の考え方① 個人情報の保護と有用性への配慮② 法の正しい理解を促進するための取組（3）国際的な制度調和と連携・協調（4）サイバーセキュリティ対策の取組③ 各主体の自律的な取組と連携・協力④ データガバナンス体制の構築

２ 国が講ずべき個人情報の保護のための措置に関する事項（1）各主体における個人情報の保護等個人情報等の適正な取扱いの推進① 各行政機関における個人情報の保護等個人情報等の適正な取扱いの推進② 個人情報取扱事業者等が取扱う個人情報の保護等個人情報等の適正な取扱いの推進③ 官民や地域の枠を越えて各主体が連携して取扱う個人情報の保護等
個人情報等の適正な取扱いの推進（2）個人情報の保護及び安全・円滑な流通を確保するための国際的な取組① 国際的に整合のとれた個人情報に係る制度の構築② DFFTの推進の観点から個人情報が安全・円滑に越境移転できる国際環境の構築③ 国際動向の把握④ 国境を越えた執行協力体制の強化（3）個別の事案等への対応① 個別の事案への対応② サイバーセキュリティ対策や経済安全保障の観点等からの対応（4）広報・啓発、情報提供等に関する方針（5）個人情報保護委員会の活動状況等の公表

７ 個人情報の取扱いに関する苦情の円滑な処理に関する事項（1）各主体自らによる取組の在り方（2）認定個人情報保護団体の取組の在り方（3）地方公共団体における取組の在り方（4）個人情報保護委員会における取組（5）経済安全保障の観点からの対応⑤ 個人におけるデータリテラシーの向上

３ 地方公共団体が講ずべき個人情報の保護のための措置に関する基本的な事項（1）地方公共団体が保有する個人情報の保護等個人情報等の適正な取扱いの推進（2）広報・啓発等住民・事業者等への支援① 広報・啓発等住民・事業者等への支援の在り方② 地方公共団体の部局間の相互連携（3）国・地方公共団体の連携・協力の在り方

４ 独立行政法人等が講ずべき個人情報の保護のための措置に関する基本的な事項
５ 地方独立行政法人が講ずべき個人情報の保護のための措置に関する基本的な事項
６ 個人情報取扱事業者等が講ずべき個人情報の保護のための措置に関する基本的な事項（1）個人情報取扱事業者等が取り扱う個人情報等に関する事項（2）仮名加工情報取扱事業者が取り扱う仮名加工情報及び匿名
加工情報取扱事業者が取り扱う匿名加工情報に関する事項（3）認定個人情報保護団体に関する事項① 認定個人情報保護団体に期待される役割② 個人情報保護指針等の策定・見直し等

８ その他個人情報の保護に関する施策の推進に関する重要事項（1）個人情報保護委員会の体制強化（2）いわゆる３年ごと見直し規定による検討

10

1-6．個人情報等の適正な取扱いに関係する政策の基本原則（令和４年５月25日個人情報保護委員会）

 「個人情報の保護に関する基本方針」も踏まえ、プライバシーを含む個人の権利利益を保護するための個人情報等の適正な取扱いに関する基本法たる個人情報保護法において、同法第4条及び第129条第１号等の規定に基づき、各府省等の国の行政機関が、公的部門（行政機関、独立行政法人等、地方公共団体の機関及び地方独立行政法人）及び民間部門（個人情報取扱事業者、仮名加工情報取扱事業者、匿名加工情報取扱事業者、個人関連情報取扱事業者及び学術研究機関等）の各主体による個人情報等の取扱いに関係する政策（法令等による制度、実証事業や補助金等の予算関係施策、税制措置、システム整備等）を企画立案・実施するに当たり、当該政策目的の実現と、個人情報等の適正な取扱いによる個人の権利利益の保護との整合性を確保しつつ取り組むための基本的な視座を示すもの。
 「プライバシー保護と個人データの国際流通についてのガイドラインに関するOECD理事会勧告」 等を踏まえたものであり、今後、
個人情報保護法の施行状況等を踏まえ、適宜更新される場合がある。
 各府省等の国の行政機関においては、次の7つから構成される本原則との整合性を図りつつ、個人情報等の取扱いに関係する政策の企画立案・実施に取り組むことが期待。

1.個人情報等の取扱いの必要性・相当性• 政策目的を明確にした上で、政策目的の実現のために個人情報等の取扱いが必要か否かを検討した上で取り組むことが重要。
• その上で、個人情報等の取扱いが必要となる場合は、政策目的に照らし、個人情報等の取扱いが必要最小限の範囲内で相当であるか否かを検討した上で取り組むことが重要である。特に、要配慮個人情報等の機微性の高い情報の取扱いが必要となる場合は、より慎重に取り組むことが重要。

2.個人情報等の取扱いに関する適法性• 上記１の政策目的を実現するため、個人情報等の取扱いに関し、各主体を広く対象とし、共通する必要最小限のルールを定める一般法たる個人情報保護法による規律で対応可能であるか否か、十分であるか否かを検討した上で取り組むことが重要。
• その上で、個人情報等の取扱いに関し、政策分野に特有の事情（取り扱う個人情報等の性質及び利用方法等。以下同じ。）に照らして、個人情報保護法上の規律に抵触し当該規律による対応で不可能である場合又は当該規律による対応で可能であるものの不十分である場合には、新規立法含め
他の法令等による根拠（適法性）に基づき取り組むことが重要。
• なお、既存の法令等を根拠とする場合については、当該法令等の制定当時における経緯等の背景、目的及び規定等を踏まえ、個人情報等の取扱いが当該法令等の想定している範囲内であるか否かを検討した上で取り組むことが重要。
• いずれにしても、基本法たる個人情報保護法に照らし、政策の企画立案・実施に当たり、取り扱われる個人情報等に係る本人のプライバシーを含む
権利利益の保護が確保されることが重要。

【出典】 個人情報保護委員会ウェブページ（https://www.ppc.go.jp/files/pdf/kihongensoku.pdf） 11

3.個人情報等の利用目的との関連性・利用の適正性• 個人情報等の利用目的は、個人情報等の取扱いに関する規律の要となるものであり、できる限り特定することが必要。
• 個人情報等の取扱いに関係する政策の企画立案・実施に当たっては、政策目的の実現のために取扱いが必要となる個人情報等について、利用目的
が政策目的と関連するものであるか否かを検討した上で取り組むことが重要。
• 個人情報等について、違法又は不当な行為の助長又は誘発のおそれがある方法により利用されないよう、政策を企画立案・実施することが必要。

4.個人情報等の取扱いに関する外延の明確性• 一般法たる個人情報保護法による規律の適用範囲を確定し、個人情報等の取扱いが本人の権利利益に与えるリスクに応じた必要かつ適切な安全管理措置を講ずるためには、取り扱われる個人情報等、個人情報等を取り扱う主体や場所等に関する外延を特定し、同法に規定する用語及びその定義に則り、これを明確化することが重要。
• 以上に当たっては、政策分野に特有の事情に照らし、新規立法含め他法令等による規律の適用が必要であるか否かを検討しつつ取り組むことが重要。

5.個人情報等の取扱いの安全性• 上記４を踏まえ、個人情報等が漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、各主体の事業、事務又は業務の規模及び性質、個人情報等の取扱状況（取り扱う個人情報等の性質及び量を含む。）、個人情報等を記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な安全管理措置（組織的・人的・物理的・技術的な措置及び外的環境の把握、サイバーセキュリティ対策等）を検討した上で取り組むことが重要。
• 以上に当たっては、政策分野に特有の事情に照らし、漏えい等の報告等に関する事業所管大臣等に対する個人情報保護委員会から権限の委任や、新規立法含め他法令等に基づく措置が必要であるか否かを検討しつつ取り組むことが重要。

6.個人情報等に係る本人関与の実効性• 上記取組の実効性を高めつつ、個人情報等のデータに関するリテラシーを向上するため、個人情報等に係る本人が自らの意思に基づいてコントロー
ルするという意識を涵養するという観点から、個人に寄り添った取組が重要。
• 以上に当たっては、政策分野に特有の事情に照らし、新規立法含め他法令等による対応が必要であるか否かを検討しつつ取り組むことが重要。

7.個人情報等の取扱いに関する透明性と信頼性• 事後における対処療法的な対応ではなく、プライバシーを含む個人の権利利益の保護を事業等の設計段階で組み込み、事後の改修等費用の増嵩や信用毀損等の事態を事前に予防する観点から、全体を通じて計画的にプライバシー保護を実施する「プライバシー・バイ・デザイン」の考え方が重要。
• 透明性と信頼性を確保する観点から、個人情報等に係る本人の権利利益に対するリスク、本人や社会等にとって期待される利益等を明確にし、本人を含むマルチステークホルダーへの説明責任を果たすため、プライバシー・バイ・デザインの考え方を踏まえたデータガバナンス体制の構築が重要。
• 以上に当たっては、政策分野に特有の事情に照らし、認定個人情報保護団体制度の活用や、新規立法含め他法令等による体制が必要であるか否かを検討した上で取り組むことが重要。
【出典】 個人情報保護委員会ウェブページ（https://www.ppc.go.jp/files/pdf/kihongensoku.pdf） 12

1-7．個人情報保護法の全体像
憲法・判例（第13条：個人の尊重等、第21条：通信の秘密等、第35条：住居の不可侵）

個人情報保護法・政令・規則［基本法］（１～３章：基本理念、国及び地方公共団体の責務等・個人情報保護施策等）

個人情報の保護に関する基本方針（個人情報保護施策の総合的かつ一体的な推進を図るため、官民の幅広い主体に対し、具体的な実践に取り組むことを要請）

個人情報保護法・政令・規則（４・８章ほか：個人情報取扱事業者等の義務等、罰則 等）【対象】民間事業者※一部の独立行政法人等を含む。

ガイドライン
Q&A

民間部門［一般法］

個人情報保護法・政令・規則（５・８章ほか：
行政機関等の義務等、罰則 等）【対象】行政機関（国）・独立行政法人等

ガイドライン・事務対応ガイド
Q&A

個人情報
保護条例
地方公共団体の機関
地方独立行政法人

令和3年改正法（令和5年4月施行）

公的部門［一般法］

注１ 個人番号（マイナンバー）や医療分野等においては、上記一般法に優先して適用される特別法も遵守する必要。
注２ 金融関連分野、医療関連分野や情報通信分野等の特定分野においては、上記ガイドライン等のほか、当該分野ごとのガイドライン等も遵守する必要。
注３ 民間部門においては、対象事業者に対する苦情処理、情報提供や指導等を行う認定個人情報保護団体に対し、対象事業者における個人情報等の適正な取扱いに関する自主的なルール（個人情報保護指針）を作成する努力義務があり、対象事業者は当該指針も遵守する必要。
注４ EU及び英国域内から十分性認定により移転を受けた個人データについては、上記法令及びガイドライン等のほか、補完的ルールも遵守する必要。

13

1-8．個人情報保護制度の官民一元化
 平成26年1月より、特定個人情報保護委員会として、マイナンバー制度における公的部門及び民間部門の監視・監督等を実施。
 平成27年改正法（2017年5月全面施行）により、個人情報保護委員会へ発展的に改組し、個人情報保護制度における民間部門について、主務大臣による事業者の監督権限等が一元化。
 令和3年改正法（2022年4月一部施行、2023年4月全面施行）により、個人情報保護制度における公的部門について、総務省及び各地方公共団体から個人情報保護委員会へ一元化。
平成27年改正法前

現在

A大臣

B大臣

？大臣

個人情報保護委員会

ａ事業者

ｂ事業者

ｃ事業者

※民間部門においては、各事業分野毎の主務大臣制により、複数事業を行う
一事業者に対する重畳的監督、新たな事業の所管省庁が不明確といった課題。

ｙｚ
機構 都道府県
市町村等（行政機関（独法等）
）

ｘ
ａ
ｂ
ｃ
事業者 事業者 事業者 省庁等※民間部門は2017年5月より一元化。漏えい等報
告・立入検査等の権限を事業所管大臣に委任可能。
※公的部門は行政機関及び独法等は2022年4月より、地方公共団体等は2023年4月より一元化。

令和3年改正法前（個人情報保護に関する各法律・条例）
総務大臣（各所管大臣）公的部門の一元化（官民一元化）

民間部門の一元化（主務大臣制）ｙｘ
機構
省庁等（行政機関） （独法等）

首長

ｚ
都道府県
市町村等

※行政機関は行政機関個人情報保護法、独立行政法人等は独法等個人情報保護法、地方公共団体等は 各条例でそれぞれ規律。

14

【参考】 個人情報保護制度（2003年）の全体像※2 行政機関の保有する
個人情報の保護に関する法律≪基本法制≫
基本理念
国及び地方公共団体の責務・施策
基本方針の策定 等（第１章～第３章 ）※1※1 個人情報の保護に関する法律(個人情報保護法）※3 独立行政法人等の保有する
個人情報の保護に関する法律

個人情報取扱事業者の義務等(第４章～第６章)

事業等を所管する各省庁において、審議会の議論等を経て、27分野について40のガイドラインを策定

主務大臣制
※2

≪民間部門≫
分野※4 各地方公共団体において制定される個人情報保護条例

※1

所管省庁

※
3

※4

≪公的部門≫

分野

所管省庁

医療（一般）

厚生労働省

放送

総務省

雇用管理（一般）

厚生労働省

福祉

厚生労働省

医療（研究）

文部科学省
厚生労働省
経済産業省

郵便

総務省

雇用管理（船員）

国土交通省

国土交通

国土交通省

信書便

総務省

職業紹介等（一般）

厚生労働省

環境

環境省

経済産業

経済産業省

職業紹介等（船員）

国土交通省

防衛

防衛省

警察

国家公安委員会

労働者派遣（一般）

厚生労働省

厚生労働省

法務

法務省

労働者派遣（船員）

国土交通省

金融

金融庁

外務

外務省

労働組合

厚生労働省

信用

経済産業省

財務

財務省

企業年金

厚生労働省

電気通信

総務省

文部科学

文部科学省

農林水産

農林水産省

文部科学省
厚生労働省

分野

所管省庁

分野

所管省庁

15

2-1．「個人情報」 （法第2条第1項関係）○「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
一 当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しく
は電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。次項第二号において同じ。）で作られる記録をいう。第十八条第二項において同じ。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人
識別符号を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）
二 個人識別符号が含まれるもの

（例）

氏名
山田 太郎

顔写真

住所

生年月日

（氏名と組み合わせた場合）（氏名と組み合わせた場合）

東京都●●区▲▲町

1980年●月▲日

山田太郎

山田太郎

16

2-2．「個人識別符号」（法第2条第２項関係）◯「個人識別符号」は以下①②のいずれかに該当するものであり、政令・規則で個別に指定される。
① 身体的特徴等を電子計算機の用に供するために変換した符号② 対象者ごとに異なるものとなるように役務の利用、商品の購入又は書類に付される符号○「個人識別符号」に該当するものは、その情報単体でも個人情報に該当する。
（参考）個人識別符号に関する政令・規則の内容① 身体の一部の特徴を電子計算機のために変換した符号
 ＤＮＡ、顔、虹彩、声紋、歩行の態様、手指の静脈、指紋・掌紋② サービス利用や書類において対象者ごとに割り振られる符号 ⇒公的な番号
 旅券番号、基礎年金番号、免許証番号、住民票コード、マイナンバー、
各種保険者・被保険者番号等（例）
顔認識データ

指紋認識
データ

旅券番号

運転免許証
番号

マイナンバー（個人番号）など

17

2-3．「要配慮個人情報」 （法第2条第３項関係）○「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。
1. 人種： 人種、世系又は民族的若しくは種族的出身を広く意味する。
2. 信条： 個人の基本的なものの見方、考え方を意味し、思想と信仰の双方を含む。
3. 社会的身分: ある個人にその境遇として固着していて、一生の間、自らの力によって容易にそれから脱し得ないような地位
4. 病歴： 病気に罹患した経歴
5. 犯罪の経歴： 前科、すなわち有罪の判決を受けこれが確定した事実
6. 犯罪により害を被った事実： 犯罪の被害を受けた事実
7. その他政令で定めるもの： 施行令・施行令に委任された施行規則で規定• 身体障害、知的障害、精神障害（発達障害を含む。）その他の個人情報保護委員会規則で定める心身の機能の障害があること• 本人に対して医師その他医療に関連する職務に従事する者（以下「医師等」という。）により行われた疾病の予防及び早期発見のための健康診断その他の検査（以下「健康診断等」という。）の結果• 健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと• 本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと• 本人を少年法第3条第1項に規定する少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと18

2-4．「仮名加工情報」 （法第2条第５項関係）○次に掲げる個人情報の区分に応じて当該各号に定める措置を講じて他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報をいう。
 法第２条第１項第１号に該当する個人情報
 当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
 個人識別符号を含む個人情報
 当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

個人情報

氏名／年齢／年月日／時刻／金額／店舗

他の情報と照合しない限り
特定の個人を識別できないように加工

仮名加工情報仮ＩＤ／年齢／年月日／時刻／金額／店舗

19

2-5．「匿名加工情報」 （法第2条第６項関係）○次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。
 法第２条第１項第１号に該当する個人情報
 当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
 個人識別符号を含む個人情報
 当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

特異な記述等の削除等も必要

20

2-6．「個人関連情報」 （法第2条第７項関係）○「個人関連情報」とは、生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。
 「個人に関する情報」とは、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報である。
 「個人に関する情報」のうち、氏名、生年月日その他の記述等により特定の個人を識別することができるものは、個人情報に該当するため、個人関連情報には該当しない。
 また、統計情報は、特定の個人との対応関係が排斥されている限りにおいては、「個人に関する情報」に該当するものではないため、個人関連情報にも該当しない。
【個人関連情報に該当する事例（※）】
事例1）Cookie等の端末識別子を通じて収集された、ある個人のウェブサイトの閲覧履歴
事例2）メールアドレスに結び付いた、ある個人の年齢・性別・家族構成等
事例3）ある個人の商品購買履歴・サービス利用履歴
事例4）ある個人の位置情報
事例5）ある個人の興味・関心を示す情報（※）個人情報に該当する場合は、個人関連情報に該当しないことになる。例えば、一般的に、ある個人の位置
情報それ自体のみでは個人情報には該当しないものではあるが、個人に関する位置情報が連続的に蓄積される等して特定の個人を識別することができる場合には、個人情報に該当し、個人関連情報には該当しないことになる。 21

民間部門に適用される規律

22

3-1．「個人情報取扱事業者」（法第16条第２項関係）◯個人情報データベース等を事業の用に供している者をいう。
※ 「事業の用に供している」とは一定の目的をもって反復継続して遂行される同種の行為、社会通念上事業と認められるもの。
営利、非営利を問わない。

•

ガイドラインでは、事業者の義務のうち、安全管理措置について、一般的な義務・手法例とは別に、中小規模の事業者における手法の例を示している。
※ガイドラインにおける「中小規模事業者」とは、○従業員の数が100人以下の事業者であって、次に掲げる事業者を除く事業者①取り扱う個人情報の数(*)が5,000人分超の事業者* 識別される特定の個人の数の合計が過去６月以内のいずれかの日において②委託に基づいて個人データを取り扱う事業者•

行政機関（国）及び独立行政法人等（法別表第２に掲げる法人を除く。）については、
公的部門に係る規律（法第５章）が適用される。

•

地方公共団体及び地方独立行政法人については、条例の規律が適用される。 【R5 ３.31まで】
23

3-2．「個人データ」「保有個人データ」（法第16条第３・４項関係）○「個人データ」 とは、個人情報データベース等 を構成する個人情報を言う。
※ 「個人情報データベース等」 とは
____
____
____
____
_________________________________________________________________________________________________________________（特定の個人情報を検索できるように体系的に構成したもの）

名刺

パソコンの管理ソフト、台帳など○「保有個人データ」 とは、その事業者に開示等の権限のある個人データを言う。
令和２年改正法により、６ヶ月以内に消去するデータ（短期保存データ）も、
保有個人データに含まれる。

自分の個人情報を開示してほしい

顧客情報、従業員情報など

事業者※ 他の事業者からデータ編集作業のみ委託されて渡された個人データなどは、保有個人データには該当しない

24

3-3．民間部門に適用される主な規律について【個人情報】
生存する個人に関する情報で、特定の個人を識別することができるもの（例：１枚の名刺）【個人データ】
個人情報データベース等を構成する
個人情報→体系的に構成（分類・整理等）され、容易に検索できる個人情報（例：名刺管理ソフト内の１枚の名刺）① 取得・利用に関するルール
利用目的を特定して、その範囲内で利用する
利用目的を通知または公表する。
偽りその他不正の手段により個人情報を取得しない。
要配慮個人情報の取得は、原則として、あらかじめ本人
から同意を得る。
• 違法又は不当な行為を助長し、又は誘発するおそれがある方法により利用しない。
• 苦情等に適切・迅速に対応する。
••••② 保管・管理に関するルール• データ内容を正確かつ最新の内容に保つとともに、利用する必要がなくなったときは消去するように努める。
• 漏えい等が生じないよう、安全に管理する。
• 従業者・委託先にも安全管理を徹底する。
• 委員会規則で定める漏えい等が生じたときには、委員会に対して報告を行うとともに、本人への通知を行う。

③ 第三者提供に関するルール• 第三者に提供する場合は、あらかじめ本人から同意を得る。
• 外国にある第三者に提供する場合は、当該提供について、参考情報を提供した上で、あらかじめ本人から同意を得る。
• 第三者に提供した場合・第三者から提供を受けた場合は、一定事項を記録する。

【保有個人データ】
開示、訂正、利用停止、消去等の権限を有する個人データ④公表事項・開示請求等への対応に関するルール• 事業者の名称や利用目的、開示等手続などについて事項を公表する。
• 本人から開示等の請求があった場合はこれに対応する。

25

3-4-1．事業者が守るべきルール① - 取得・利用【個人情報を取得する前】
１．個人情報の利用目的をできる限り特定する。（17条①）
２．利用目的をあらかじめ公表しておく。（21条①）【個人情報を取得するとき】
１．利用目的をあらかじめ公表していない場合は、本人に通知または公表する。（21条①）
書面での取得の場合は、利用目的を本人に明示する。
２．要配慮個人情報を取得する場合は、原則本人の同意を得る。（20条②）
３．偽りその他の不正の手段による取得はしない。（20条①）【個人情報を利用するとき】
１．利用目的の範囲内で利用する。（18条①）
２．利用目的の範囲を超える場合は、本人の同意を得る。（18条②）
３．利用目的を変更することもできる。（関連性があると合理的に認められる場合に限る）（17条②）
その際は変更された利用目的を本人に通知または公表する。（21条③）
４．違法又は不正な行為を助長・誘発するおそれがある方法による利用はしない。（19条）【個人情報の取扱いに関する苦情を受けたとき】
１．適切かつ迅速な処理に努める。（40条①）R2改正法で追加
26

3-4-2．事業者が守るべきルール② - 保管・管理【個人データを保管・管理するとき】
１．正確で最新の内容に保ち、必要がなくなったときはデータを消去するよう努める。（22条）
２．漏えい、滅失又は毀損の防止その他の安全管理措置を講ずる。（23条）
３．従業員に対して、必要かつ適切な監督を行う。（24条）

R2改正法に合わせたGL改正で「外的環境の把握」が追加。

４．委託する場合、委託先に対して必要かつ適切な監督を行う。（25条）
５．委員会規則で定める漏えい等が生じたときには、委員会に対して報告を行う。（26条①）
６．委員会規則で定める漏えい等が生じたときには、本人への通知を行う。（26条②）
R2改正法で義務化
27

3-4-3．事業者が守るべきルール③ - 漏えい等報告等の義務化
R2改正法で新設

 漏えい等が発生し、個人の権利利益を害するおそれが大きい場合における、
個人情報保護委員会への報告及び本人への通知が、法律上の義務に。
（法第26条①②） 従前は、委員会公示に基づく、努力義務とされていた。
個人情報取扱事業者

個人情報保護委員会
報 告

漏えい等事案
が発生

!





漏えい等報告の義務化の対象事案（委員会規則で定める要件）

要配慮個人情報の漏えい等
財産的被害のおそれがある漏えい等
不正の目的によるおそれがある漏えい等
1,000件を超える漏えい等

これらの
類型は
件数に
関わりなく
対象

本 人
通 知

※各類型につき、漏えい等の「おそれ」がある事案も対象。
28

3-4-4．事業者が守るべきルール④ - 第三者提供（１）【個人データを第三者に提供するとき】
以下のいずれかの場合に、個人データを第三者に提供できる。（27条）
１．本人の同意を得る。
２．本人の同意を得ない場合で、以下ⅰ～ⅲのいずれかに該当する。
ⅰ.以下の①～⑦のいずれかの場合① 法令に基づく場合② 人の生命、身体又は財産の保護のため（かつ本人の同意を得ることが困難）③ 公衆衛生・児童の健全な育成のため（かつ本人の同意を得ることが困難）④ 国や地方公共団体等への協力（かつ本人の同意を得ることにより事務遂行に支障のおそれがあるとき）⑤ 学術研究機関等による学術研究の成果の公表又は教示のためやむを得ないとき ※1⑥ 学術研究機関等が学術研究目的で共同研究先である第三者に提供する必要があるとき ※1⑦ 学術研究目的で学術研究機関等である第三者に提供する必要があるとき ※1※1 個人の権利利益を不当に侵害するおそれがある場合を除く。

ⅱ.以下３点すべてを行う（いわゆるオプトアウト手続）◯本人の求めに応じて、その本人のデータの提供を停止することとしている。
◯以下の①～⑧をHPに掲載するなど、本人が容易に知ることができる状態にしておく。

※2 要配慮個人情報の提供は不可等の制約有。

①事業者の氏名又は名称、住所、法人の代表者名②第三者提供を利用目的としていること③提供される個人データの項目④提供される個人データの取得の方法⑤提供の方法⑥本人の求めに応じて提供を停止すること⑦本人の求めを受け付ける方法⑧個人情報保護委員会規則で定める事項◯本人に通知した事項を個人情報保護委員会に届け出る（個人情報保護委員会はこれを公表）。

ⅲ.委託、事業の承継、共同利用を行う
共同利用：以下の①～⑤をHPに掲載するなど、本人が容易に知ることができる状態にしておくことが必要。
①共同利用されること ②データ項目 ③利用される範囲 ④利用目的 ⑤責任を有する者

29

3-4-5．事業者が守るべきルール④ - 第三者提供（２）○個人データの提供・受領の際の記録

１．第三者へ提供した時は、受領者の氏名等を記録し、一定期間保存する。（29条）
２．第三者から個人データを受け取るときは、提供者の氏名等、取得経緯を確認し、受領年月日、確認した事項等を記録し、一定期間保存する。（30条）○基本的な記録事項は、以下のとおり（保管期間は原則3年）。
（提供した場合） 「いつ・誰の・どんな情報を・誰に」提供したか？
（提供を受けた場合）「いつ・誰の・どんな情報を・誰から」提供されたか？
＋「相手方の取得経緯」○ただし、本規定は個人データの不正な流通の防止が目的であるため、一般的なビジネスの実態に配慮して、以下の通り例外規定がある。
本人との契約等に基づいて提供した場合は、記録は契約書で代替ＯＫ
反復継続して提供する場合は、包括的な記録でＯＫ例外として、以下の場合は記録義務はかからない。
・本人による提供と整理できる場合（例：SNSでの個人の投稿）
・本人に代わって提供していると整理できる場合（例：銀行振込）
・本人側への提供と整理できる場合（例：同席している家族への提供）
・「個人データ」に該当しないと整理できる場合（例：名刺1枚のコピー） 等
30

3-4-6．事業者が守るべきルール④ - 第三者提供（３） 個人データの外国にある第三者への提供
 以下①～③のいずれかの場合に、個人データを外国にある第三者に提供できる。（28条①）① 外国にある第三者へ提供することについて、本人の同意を得る。
② 外国にある第三者が個人情報取扱事業者が講ずべきこととされている措置に相当する措置（以下「相当措置」という。）を継続的に講ずるために必要なものとして委員会規則で定める基準に適合する体制を整備している。
③ 外国にある第三者が我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している国（EU（EEA加盟国を指す。）及び英国）に所在する。
 ①の本人同意を得ようとする場合には本人に参考となるべき情報を提供する。（28条②）
 ②により提供した場合には、提供先の外国にある第三者による相当措置の継続的な実施を確保する為に必要な措置を講ずるとともに、本人の求めに応じて、当該措置に関する情報を当該本人に提供する。 （28条③）
 個人情報保護法の趣旨に沿った措置の実施を確保するための「適切かつ合理的な方法」は、以下のとおり。
• 外国の第三者において、個人情報保護法の趣旨に沿った措置を実施することが、委託契約・共通の内規・個人データの提供元がAPEC越境プライバシールール（CBPR）システムの認証を受ける等によって担保されていること※②と③の場合は、日本の事業者への提供と同等の取扱いが認められるため、本人の同意を得ない
提供（オプトアウト手続、委託、事業の承継、共同利用）も例外的に行うことができる。

31

3-4-7．事業者が守るべきルール⑤ - 公表事項・開示等請求１．以下の①～⑤について、HPに公表するなど本人の知り得る状態に置く。（32条）
①
②
③
④
⑤
⑥

当該事業者の氏名又は名称、住所、法人の代表者名
全ての保有個人データの利用目的
R2改正法で追加請求手続の方法
安全管理のために講じた措置（公表等により支障を及ぼすおそれがあるものを除く。）
苦情の申出先認定個人情報保護団体に加入している場合、当該団体の名称及び苦情申出先

２．本人から開示を請求された場合、原則本人に開示する。（33条）
 個人データの授受に関する第三者提供記録についても、開示請求対象に追加。
 開示方法について、電磁的記録の提供を含め、本人が指示できるように。
３．本人からの請求に応じて、その保有個人データについて、

R2改正法で拡充① 内容に誤りがある場合には、訂正・追加・削除をする。（34条）② 利用目的の範囲を超えて利用されている場合、不適正な利用がされている場合、又は不正の手段で取得されている場合には、利用停止又は消去をする。 （35条①②）③ 同意なく第三者に提供されている場合等には、第三者提供を停止する。（35条③④）④ 利用する必要がなくなった場合、一定の漏えい等事案が生じた場合、又は本人の権利若しくは正当な利益が害されるおそれがある場合には、本人の権利利益の侵害を防止するために必要な限度で、利用停止若しくは消去又は第三者提供の停止をする。
（35条⑤⑥）

R2改正法で拡充32

3-5-1．仮名加工情報に係る規律R2改正法で新設

 イノベーションを促進する観点から、氏名等を削除した「仮名加工情報」を創設し、内部分析に限定する等を条件に、開示・利用停止請求への対応等の義務を緩和する。
改正前
•

現行

「個人情報」に該当するものは一律に個人情報の取扱いに係る規律の対象
•
•
•
•
•

•

利用目的の制限
利用目的の通知・公表
安全管理措置第三者提供の制限
開示・利用停止等の請求対応 等「仮名加工情報」として加工すれば、個人情報に該当しても、以下の義務は適用除外① 利用目的の変更の制限（§17②）⇒ 新たな目的で利用可能※ 本人を識別しない、内部での分析・利用であることが条件（§41⑥～⑧）② 漏えい等の報告等（§26）③ 開示・利用停止等の請求対応（§32～§39）※ 個人データ、保有個人データに係る規律を含む•

作成元の「個人情報」は残したまま、これまで通り利用可能※（仮名加工情報ではない）通常の個人データとして取り扱う限り、
当該「個人情報」に一定の加工が施された情報も含め、本人同意の下で第三者への提供が可能

個人情報

氏名／年齢／年月日／時刻／金額／店舗

他の情報と照合しない限り
特定の個人を識別できないように加工

仮名加工情報仮ＩＤ／年齢／年月日／時刻／金額／店舗33

3-5-2．仮名加工情報の加工基準（イメージ）
仮名加工情報の加工基準：（ 法第41条①、施行規則第31条）① 個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること⇒ 氏名、住所等の削除② 個人情報に含まれる個人識別符号の全部を削除
すること

個人情報
氏名

年齢 年月日時刻

山田一郎

55歳 2020-01-28 16:40

940円 02012

霞が関店

食品

佐藤二郎

97歳 2020-01-27 20:25 1,320円 98560

新橋店

日用品

佐藤二郎

97歳 2020-01-28 08:50

250円 12560

銀座店

飲料

鈴木三郎

48歳 2020-01-28 07:45

484円 34142

豊洲店

飲料

鈴木三郎

48歳 2020-01-28 09:55

560円 56142

霞が関店

食品

高橋四郎

33歳 2020-01-27 22:30 9,550円 98887

銀座店

日用品

⇒ クレジットカード番号等を削除※ 「削除すること」には「復元することのできる規則性を有しない方法により他の記述等に置き換えること」が含まれる。
※ 「仮名加工情報として取り扱う」意図を有さず、個人情報に係る義務が全面的に課されるものとして取り扱う場合には、「仮名加工情報の作成」には該当し
ない。

購入品目

・・・

⇒ 旅券番号、マイナンバー等の削除③ 不正に利用されることにより、財産的被害が生じる
おそれのある記述等を削除すること

金額 クレカ番号 店舗① 氏名を仮IDに置換③ クレジット番号を削除※ その他の項目はそのまま

仮名加工情報X0125

55歳 2020-01-28 16:40

Y7569

940円

霞が関店

食品

97歳 2020-01-27 20:25 1,320円

新橋店

日用品

Y7569

97歳 2020-01-28 08:50

250円

銀座店

飲料

Z9213

48歳 2020-01-28 07:45

484円

豊洲店

飲料

Z9213

48歳 2020-01-28 09:55

560円

霞が関店

食品

銀座店

日用品

W8712 33歳 2020-01-27 22:30 9,550円
・・・

34

3-5-3．匿名加工情報に係る規律
 匿名加工情報とは、特定の個人を識別することができないように個人情報を加工し、当該個人情報を復元できないようにした情報。
 個人情報の取扱いよりも緩やかな規律の下、自由な流通・利活用を促進することを目的に、平成27年
改正により制度が導入された。
匿名加工情報の作成基準
 匿名加工情報の作成に当たっては、委員会規則で定める基準に従うことが必要。（法第43条①）

安全管理措置等 匿名加工情報を作成する際に加工の対象となった個人情報から削除した記述等及び個人識別符号並びに加工の方法に関する情報について、漏えい等を防止するための安全管理措置を講ずることが必要。（法第43条②）
 安全管理のために必要かつ適切な措置、苦情の処理その他の匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、当該措置の内容を公表するよう努めなければならない。（法第43条⑥・46条）

作成・提供時の公表・明示 匿名加工情報を作成した際には、匿名加工情報に含まれる個人に関する情報項目の公表が必要。（法第43条③）
 匿名加工情報を第三者に提供する際には、匿名加工情報に含まれる個人に関する情報項目及び提供の方法についての公表と、当該第三者に対する提供する情報が匿名加工情報である旨の明示が必要。（法第43条④・第44条）

識別行為の禁止 匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、匿名加工情報と他の情報との照合等をしてはならない。（法第43条⑤・法第45条）
35

3-5-4．匿名加工情報の加工基準（イメージ）
顧客属性データ
ID

氏名

性別

生年月

郵便番号

住所

234
899

田中
一郎

男

1972年
4月

231-0037① 特定の個人を識別することができる
記述等（例:氏名）の全部又は一部を削除すること

234
900

佐藤
幸子

女

1993年
12月

234
901

鈴木
博

男

1963年
8月

② 個人識別符号の全部を削除すること

ICカード利用データ

匿名加工情報の加工基準：（法第 43条①、施行規則第34条）③ 個人情報と他の情報とを連結する符号（例:委託先に渡すために分割した
データとひも付けるID）を削除すること④ 特異な記述等（例：年齢116歳）
を削除すること⑤ 上記のほか、個人情報とデータベース
内の他の個人情報との差異等の性質を勘案した適切な措置を講ずること※ 「削除すること」には「復元することのできる規則性を有しない方法により他の記述等に置き換えること」が含まれる。
※ 「匿名加工情報として取り扱う」意図を有さず、個人情報に係る義務が全面的に課されるものとして取り扱う場合には、「匿名加工情報の作成」には該当しない。

定期情報
定期券開始日

定期券終了日

定期発駅

定期着駅

神奈川県
横浜市

2016年12月
1日

2017年5月30日

関内

みなとみらい

273-0031

千葉県
船橋市

2017年1月4日

2017年4月3日

西船橋

東京

131-0045

東京都
墨田区

―

―

―

―

利用駅種別
利用駅種別
利用駅種別

改札口 入場駅
入場駅 出場駅
出場駅 利用額
利用額
改札口
改札口
入場駅
出場駅
利用額

IDID
ID

処理名称
処理名称
処理名称

年月日
年月日
年月日

234899234899234899出場
出場
出場

2016/12/17
2016/12/17
2016/12/17

9:30
SF入場SF出場
9:30
SF入場SF出場
9:30
SF入場SF出場

A6A6
A6

関内
関内
関内

鎌倉
鎌倉
鎌倉

780
780
780

25,00025,00025,000234899234899234899出場
出場出場

2016/12/17
14:20
SF入場SF出場
2016/12/17 14:20
14:20 SF入場SF出場
SF入場SF出場
2016/12/17

A5
A5 A5

鎌倉
鎌倉鎌倉

江の島
江の島
江の島

300
30030024,70024,70024,700234899234899234899入場
入場入場

2016/12/18
15:00
SF入場SF出場
2016/12/18
2016/12/18 15:00
15:00 SF入場SF出場
SF入場SF出場

B3
B3 B3

江の島
江の島
江の島

関内
関内関内

900
90090023,80023,80023,800

C4
C4 C4

みなと
元町・
みなと
みなと 元町・
元町・
みらい
中華街
みらい
みらい 中華街
中華街

15015015023,65023,65023,650234899234899234899

入場
入場入場

時間
時間
時間

2016/12/20
17:45
SF入場SF出場
2016/12/20
2016/12/20 17:45
17:45 SF入場SF出場
SF入場SF出場

残額
残額
残額

顧客属性データ
仮ID

性別

年代

居住エリア

6c622db

男

40代

f5df429女

a77dc8f

男

定期情報
定期発駅

定期着駅

神奈川県横浜市

関内

みなとみらい20代

千葉県船橋市

西船橋

東京

60代

東京都墨田区――

ICカード利用データ
仮ID
処理名称
仮ID
処理名称
仮ID
処理名称
6c622db
出場
6c622db
出場
6c622db
出場
6c622db
入場6c622db
入場6c622db
入場6c622db
出場
6c622db
出場
6c622db
出場
6c622db
入場6c622db
入場6c622db
入場

年月日
時間
入場駅
出場駅
年月日
時間
入場駅
出場駅
年月日
時間
入場駅
出場駅
2016/12/17
9時30分～9:59分
関内
鎌倉
2016/12/17
9時30分～9:59分
関内
鎌倉
2016/12/17
9時30分～9:59分
関内
鎌倉
2016/12/17
14時00分～14時29分
鎌倉ー
2016/12/17
14時00分～14時29分
鎌倉ー
2016/12/17
14時00分～14時29分
鎌倉ー
2016/12/17
15時00分～15時29分
鎌倉
江の島
2016/12/17
15時00分～15時29分
鎌倉
江の島
2016/12/17
15時00分～15時29分
鎌倉
江の島
2016/12/18
8時30分～8時59分
江の島ー
2016/12/18
8時30分～8時59分
江の島ー
2016/12/18
8時30分～8時59分
江の島
ー

36

3-5-5．個人情報・仮名加工情報・匿名加工情報の対比（イメージ）
適正な加工（必要な加工のレベル）

利用目的の制限等
利用目的の特定、制限、
通知・公表等利用する必要がなくなったときの消去
安全管理措置
漏えい等報告等

個人情報※１

仮名加工情報※２

匿名加工情報※２ー• 他の情報と照合しない限り特定の個人を識別することができない• 特定の個人を識別することができず、復元することができない• 対照表と照合すれば本人が分かる程度まで加工• 本人か一切分からない程度まで
加工

〇

〇

×

〇

• 利用目的の変更は可能• 本人を識別しない、内部での分析・利用であることが条件〇（規制なし）

×（努力義務）（努力義務）（規制なし）

〇

〇

〇

〇

×

（努力義務）

×（改正法で義務化）

（対象外）

（対象外）

第三者提供時の
同意取得

〇

ー

×

開示・利用停止等の請求対応〇

識別行為の禁止ー（原則第三者提供禁止）（同意不要）

×

×

（対象外）

（対象外）

〇

〇

※１：個人データ、保有個人データに係る規定を含む。 ※２：仮名加工情報データベース等、匿名加工情報データベース等を構成するものに限る。

37

3-6．個人関連情報の第三者提供規制

R2改正法で新設

 提供元（A社）では個人データに該当しないが、提供先（B社）において個人データとなることが想定される情報の第三者提供について、本人同意が得られていること等の確認を義務付ける。
（§31）

B社

A社
 A社では、誰の個人データか分からない

 B社は、A社とID等を共有。
 B社では、ID等に紐づいた個人データを保有。
個人データ

?

氏名
山田一子
佐藤二郎
鈴木三郎
高橋四郎

B社において個人データとなることが想定される場合は
原則本人の同意が必要
個人関連情報ID等 購買履歴1
ミルクティー、おにぎり、アンパン・・・
2
紅茶、サンドイッチ、アイス・・・
3
スーツ、ネクタイ、シャツ、お茶・・・
4
時刻表、デジカメ、書籍・・・

氏名
山田一子
佐藤二郎
鈴木三郎
高橋四郎

年齢 ID等
55歳 1
37歳 2
48歳 3
33歳 4

個人データ
ID
等
購買履歴
年齢 ID等
ID等
55歳 11 ミルクティー、おにぎり、アンパン・・・
37歳 22 紅茶、サンドイッチ、アイス・・・
48歳 33 スーツ、ネクタイ、シャツ、お茶・・・
33歳 44 時刻表、デジカメ、書籍・・・

A社から提供されたデータをID等を使って自社内の個人データと結合
38

3-7．域外適用○平成27年改正個人情報保護法（平成29年5月全面施行）では、域外適用の規定が新たに導入されるとともに、外国執行当局への必要な情報提供に関する規定も整備された。
○個人情報保護委員会は、これらの規定に基づき、外国執行当局とも連携しつつ、日本にある者に対してサービス等を提供する外国事業者に対しても、必要な対応を行っているところ。
○令和2年改正個人情報保護法（令和4年4月施行）により、外国事業者に対する罰則担保のある報告
徴収・命令も可能になった。
① 域外適用に関する規定
 日本にある者に対する物品、サービスの提供に関連して、日本にある者を本人とする個人情報等を取得した外国にある
個人情報取扱事業者等にも個人情報保護法が適用される（法第166条）② 外国執行当局への必要な情報提供に関する規定
 外国の事業者が日本にある者の個人情報を不適切に取り扱った場合に、外国の執行当局が外国の法令に基づく執行をすることができるよう、必要な情報提供を行うことができる（法第167条）
 国際的な執行協力の枠組みであるGPEN（グローバルプライバシー執行ネットワーク）に正式メンバーとして参加。
 外国の執行当局との情報提供に向けた体制づくりを実施。

日本

利用者

②連携・協力
個人情報保護
委員会

外国執行当局

外国

①域外適用
データ収集

外国事業者

39

3-8．適用除外○個人情報取扱事業者のうち、次に掲げる者が、それぞれ定められた目的で、個人情報等を取り扱う場合は、法第４章の適用除外とされている。（57条）
放送機関、新聞社、通信社その他の報道機関⇒報道の用に供する目的
著述を業として行う者⇒著述の用に供する目的
宗教団体⇒宗教活動の用に供する目的
政治団体⇒政治活動の用に供する目的【以下は、令和３年改正法により、法第４章が適用されつつ、義務ごとの例外規定として精緻化】
大学その他の学術研究を目的とする機関若しくは団体又はそれに属する者（学術研究機関等）⇒学術研究の用に供する目的

40

3-9-1．学術研究例外と学術研究機関等の責務① R3改正法で新設
 学術研究機関等（法第16条第８項・ガイドライン（通則編）2-18）
 「学術研究機関等」とは、大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者をいう。
 「大学その他の学術研究を目的とする機関若しくは団体」とは、国立・私立大学、公益法人
等の 研究所等の学術研究を主たる目的として活動する機関や「学会」をいい、「それらに属する者」とは、国立・私立大学の教員、公益法人等の研究所の研究員、学会の会員等をいう。
 なお、民間団体付属の研究機関等における研究活動についても、当該機関が学術研究を主たる目的とするものである場合には、「学術研究機関等」に該当する。
 一方で、当該機関が単に製品開発を目的としている場合は「学術研究を目的とする機関
又は団体」には該当しないが、製品開発と学術研究の目的が併存している場合には、主たる目的により判断する。
 「学術研究目的」 （ガイドライン（通則編）2-19）
 「学術」とは、人文・社会科学及び自然科学並びにそれらの応用の研究であり、あらゆる学問分野
における研究活動及びその所産としての知識・方法の体系をいい、具体的活動としての「学術研究」としては、新しい法則や原理の発見、分析や方法論の確立、新しい知識やその応用法の体系化、先端的な学問領域の開拓などをいう。
 なお、製品開発を目的として個人情報を取り扱う場合は、当該活動は、学術研究目的とは解されない。
41

3-9-2．学術研究例外と学術研究機関等の責務②
学術研究例外 学術研究機関等による学術研究目的の個人情報等の取扱いは、安全管理措置等の義務を課すが、一般の個人情報取扱事業者が遵守する以下の規制については、例外規定が適用される。
 利用目的変更の制限（法第18条第3項第5号及び第6号・ガイドライン（通則編）3-1-5）
 要配慮個人情報の取得の制限（法第20条第2項第5号及び第6号・ガイドライン（通則編）3-3-2）
 個人データの第三者提供の制限（法第27条第1項第5号、第6号及び第7号・ガイドライン（通則編）3-6-1）
 外国第三者への提供制限（法第28条・ガイドライン（外国第三者提供編））
 第三者提供時の確認・記録義務（法第29条及び第30条・ガイドライン（第三者提供時の確認・記録義務編））
 これらの規制が例外的に除外されるためには、「学術研究目的で取り扱う必要がある」場合であって、「個人の権利利益を不当に侵害するおそれがある場合」に当たらないことが必要。

42

3-9-3．学術研究例外と学術研究機関等の責務③
学術研究機関等の責務
 個人情報取扱事業者である学術研究機関等は、学術研究目的で行う個人情報の取扱いについて、この法律の規定を遵守するとともに、その適正を確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。（法第59条・ガイドライン（通則編）7）
 大学の自治を始めとする学術研究機関等の自律性に鑑みれば、学術研究機関等の自律的な判断を原則として尊重する必要があると考えられる。このため、学術研究機関等が、個人情報を利用した研究の適正な実施のための自主規範を単独又は共同して策定・公表した場合であって、当該自主規範の内容が個人の権利利益の保護の観点から適切であり、その取扱いが当該自主規範にのっとっているときは、法第 146 条第 1 項の趣旨を踏まえ、個人情報保護委員会は、これを尊重する。
 ただし、自主規範にのっとった個人情報の取扱いであっても、本人の権利利益を不当に侵害するおそれがある場合には、原則として、個人情報保護委員会は、その監督権限を行使する。

43

公的部門に適用される規律

44

4-1．規律対象となる行政機関等「行政機関等」の定義（法第２条第11項関係）◯次に掲げる機関をいう。
1. 行政機関（法第２条第８項）
 内閣官房、内閣法制局、内閣府、○○省、○○庁、○○委員会、○○会議、○○本部、人事院、会計検査院

2. 独立行政法人等（法別表第２に掲げる法人を除く。） （法第２条第９項・第11項第2号）※令和３年改正法の全面施行（令和５年４月１日）以降は、以下も含まれる。

 地方公共団体の機関（議会を除く。）
 地方独立行政法人（法第２条第10項・第11項第4号）
 試験研究等を主たる目的とするもの又は大学等の設置及び管理若しくは病院事業の経営を目的とするものを除く。

45

4-2．規律の適用の特例を受ける法人・機関・業務
個人情報等の取扱い等に関する規律

個人情報ファイル簿に関する規律国の行政機関公的部門の規律（第5章第2節）

公的部門の規律（第5章第3節）

独立行政法人等

公的部門の規律（第5章第2節）

別表第二に掲げる法人及び（独）労働者
健康安全機構 ※1
地方公共団体の機関
病 院、診療 所、及び大学の運営の業務
地方独立行政法人試験研究等を主たる目的とするもの、大学等の設置・管理及び病院事業の経営を目的とするもの

民間部門の規律（第4章）※2
公的部門の規律（第5章第2節）
民間部門の規律（第4章）※2
公的部門の規律（第5章第2節）
民間部門の規律（第4章）※2

公的部門の規律（第5章第3節）

開示・訂正・利用停止等に関する規律

匿名加工情報に関する規律公的部門の規律（第5章第4節）

公的部門の規律（第5章第5節）

公的部門の規律（第5章第4節）

公的部門の規律（第5章第5節）※第75条のみ

公的部門の規律（第5章第3節）※第75条のみ

赤破線囲み部分は、
R3改正法の全面施行後に法の適用対象になる。

※1 独立行政法人労働者健康安全機構については、病院の運営の業務に限る。
※2 保有個人データに関する事項の公表等（第32条）並びに開示、訂正等及び利用停止等（第33条～第39条）に関する規定及び民間の事業者である匿名加工情報取扱事業者等の義務（第4節）に関する規定は適用されない。また、法令に基づき行う業務であって政令で定めるものを行う場合における個人情報の取扱いについては、民間部門の規律に加えて、s行政機関等に対する規律が準用される。 46

4-3．行政機関等に適用される規律について（対象情報）「保有個人情報」「個人情報ファイル」の定義（法第60条第１・２項関係）
 「保有個人情報」とは、行政機関等及び法別表第2に掲げる法人の役職員が職務上作成し、又は取得した個人情報であって、当該行政機関等及び法別表第2に掲げる法人の役職員が組織的に利用するものとして、当該行政機関等及び法別表第2に掲げる法人が保有しているもののうち、次の文書に記録されているものをいう（法第60条第1項）。
① 行政文書（行政機関情報公開法第2条第2項）② 法人文書（独立行政法人等情報公開法第2条第2項）（同項第4号に掲げるものを含む。）③ 地方公共団体等行政文書（法第60条第1項）※令和3年改正法の全面施行後
 「個人情報ファイル」とは、保有個人情報を含む情報の集合体であって、①一定の事務の目的を達成するために特定の保有個人情報を電子計算機を用いて検索することができるように体系的に構成したもの（電子計算機処理に係る個人情報ファイル）又は②
一定の事務の目的を達成するために氏名、生年月日、その他の記述等により特定の保有個人情報を容易に検索することができるように体系的に構成したもの（いわゆるマニュ
アル（手作業）処理に係る個人情報ファイル）をいう（法第60条第2項）。
47

4-4．公的部門に適用される主な規律について【個人情報】
生存する個人に関する情報で、特定の個人を識別することができるもの（例：１枚の名刺）【保有個人情報】
役職員が職務上作成・取得し、役職員が組織的に利用するものとして保有する、行政文書又は法人文書に記録されるもの→体系的に構成（分類・整理等）され、容易に検索できる個人情報のみならず、
いわゆる散在情報も含む① 保有・取得に関するルール• 法令の定めに従い適法に行う事務又は業務を遂行するため必要な場合に限り、保有する。
• 利用目的について、具体的かつ個別的に特定する。
• 利用目的の達成に必要な範囲を超えて保有できない。
• 直接書面に記録された個人情報を取得するときは、本人に利用目的をあらかじめ明示する。
• 偽りその他不正の手段により個人情報を取得しない。
• 違法又は不当な行為を助長し、又は誘発するおそれがある方法により利用しない。
• 苦情等に適切・迅速に対応する。

② 保管・管理に関するルール••••

過去又は現在の事実と合致するよう努める。
漏えい等が生じないよう、安全に管理する。
従業者・委託先にも安全管理を徹底する。
委員会規則で定める漏えい等が生じたときには、委員会に対して報告を行うとともに、本人への通知を行う。

③ 利用・提供に関するルール• 利用目的以外のために自ら利用又は提供してはならない。
• 外国にある第三者に提供する場合は、当該提供について、参考情報を提供した上で、あらかじめ本人から同意を得る。

④ 開示請求等への対応に関するルール• 本人から開示等の請求があった場合はこれに対応する。

【個人情報ファイル】

容易に検索できるよう体系的に構成したもの（電算機又はマニュアル処理）⑤ 通知・公表等に関するルール• 個人情報ファイルを保有する場合に委員会へ通知する。
• 個人情報ファイル簿を作成・公表する。

48

5．個人情報保護委員会へのご相談●PPC質問チャット
個人情報保護法等に関する皆様からの 質問に対して 24 時間
回答できるチャットボットサービス
https://2020chat.ppc.go.jp/●個人情報保護法相談ダイヤル
個人情報保護法の解釈や個人情報保護制度についての一般的な質問にお答えしたり、個人情報の取扱いに関する苦情の申出についてのあっせんを行うための相談ダイヤル
https://www.ppc.go.jp/personalinfo/pipldial/
電話番号：03-6457-9849

受付時間 9:30～17:30（土日祝日及び年末年始を除く）●PPCビジネスサポートデスク（要予約）
事業者における個人情報の保護及び適正かつ効果的な活用についての啓発の一環として、新技術を用いた新たなビジネスモデル等における個人情報保護法上の留意事項等に関する相談を受付け
https://www.ppc.go.jp/personalinfo/business_support/
電話番号：03-6457-9771

受付時間 9:30～17:30（土日祝日及び年末年始を除く）
49