本資料において、改正前欄には、個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）の一部を改正する告示（令和 3 年個人情報保護委員会告示第 5 号）による改正後の個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）（平成 28 年個人情報保護委員会告示第 8 号）を示す。

個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）（平成 28 年個人情報保護委員会告示第 8 号）の一部改正の新旧対照表○平成 28 年個人情報保護委員会告示第 8 号（個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編））
・改正前欄に掲げる規定の傍線を付し又は破線で囲んだ部分をこれに順次対応する改正後欄に掲げる規定の傍線を付し又は破線で囲んだ部分のように改める。

改正後

改正前

個人情報の保護に関する法律についてのガイドライン

個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）（第三者提供時の確認・記録義務編）

目次

目次

1

[略]

1

[同左]

2

確認・記録義務の適用対象

2

確認・記録義務の適用対象

2-1 明文により確認・記録義務が適用されない第三者提供

2-1 明文により確認・記録義務が適用されない第三者提供

2-1-1 法第 27 条第 1 項各号に掲げる場合

2-1-1 法第 23 条第 1 項各号に掲げる場合

2-1-2 法第 27 条第 5 項各号に掲げる場合

2-1-2 法第 23 条第 5 項各号に掲げる場合

2-1-3 第三者が法第 16 条第 2 項各号に掲げる者である場合

2-1-3 第三者が法第 2 条第 5 項各号に掲げる者である場合

2-2 解釈により確認・記録義務が適用されない第三者提供

2-2 解釈により確認・記録義務が適用されない第三者提供

2-2-1 [略]2-2-1 [同左]

2-2-2 受領者に確認・記録義務が適用されない場合

2-2-2 受領者に確認・記録義務が適用されない場合

2-2-2-1 法第 30 条の「個人データ」の該当性

2-2-2-1 法第 26 条の「個人データ」の該当性

1

・改正後欄に掲げるその標記部分に二重傍線を付した規定で改正前欄にこれに対応するものを掲げていないものは、これを加える。

2-2-2-2 [略]2-2-2-2 [同左]

3 確認義務（法第 30 条第 1 項・第 2 項、規則第 22 条関係）

3

確認義務（法第 26 条第 1 項・第 2 項、規則第 15 条関係）

3-1 確認方法（法第 30 条第 1 項、規則第 22 条関係）

3-1 確認方法（法第 26 条第 1 項、規則第 15 条関係）

3-1-1 第三者の氏名及び住所並びに法人にあっては、その代表者の氏

3-1-1 第三者の氏名及び住所並びに法人にあっては、その代表者の氏名（法第 30 条第 1 項第 1 号、規則第 22 条第 1 項関係）

名（法第 26 条第 1 項第 1 号、規則第 15 条第 1 項関係）

3-1-2 第三者による個人データの取得の経緯（法第 30 条第 1 項第 2

3-1-2 第三者による個人データの取得の経緯（法第 26 条第 1 項第 2号、規則第 22 条第 2 項関係）

4号、規則第 15 条第 2 項関係）

3-1-3 [略]3-1-3 [同左]

3-2 既に確認を行った第三者に対する確認方法（規則第 22 条関係）

3-2 既に確認を行った第三者に対する確認方法（規則第 15 条関係）

記録義務（法第 29 条第 1 項、第 30 条第 3 項関係）
4-1 [略]4

記録義務（法第 25 条第 1 項、第 26 条第 3 項関係）

4-1

4-1-1 記録を作成する媒体（規則第 12 条第 1 項、第 16 条第 1 項関
2

4-1-1 記録を作成する媒体（規則第 19 条第 1 項、第 23 条第 1 項関

[同左]

係）
4-1-2

[略]

係）
4-1-2

[同左]

4-1-2-1 原則（規則第 19 条第 2 項、第 23 条第 2 項関係）

4-1-2-1 原則（規則第 12 条第 2 項、第 16 条第 2 項関係）

4-1-2-2 一括して記録を作成する方法（規則第 19 条第 2 項、第 23

4-1-2-2 一括して記録を作成する方法（規則第 12 条第 2 項、第 16条第 2 項関係）
4-1-2-3 契約書等の代替手段による方法（規則第 19 条第 3 項、第条第 2 項関係）
4-1-2-3 契約書等の代替手段による方法（規則第 12 条第 3 項、第23 条第 3 項関係）
4-1-3

[略]

16 条第 3 項関係）
4-1-3

[同左]

4-2 記録事項

4-2 記録事項

4-2-1 提供者の記録事項（法第 29 条第 1 項関係）

4-2-1 提供者の記録事項（法第 25 条第 1 項関係）

4-2-1-1 オプトアウトによる第三者提供をする場合（規則第 20 条

4-2-1-1 オプトアウトによる第三者提供をする場合（規則第 13 条

第 1 項第 1 号関係）

第 1 項第 1 号関係）

4-2-1-2 本人の同意による第三者提供をする場合（規則第 13 条第 1

4-2-1-2 本人の同意による第三者提供をする場合（規則第 20 条第 1
項第 2 号関係）

項第 2 号関係）

4-2-2 受領者の記録事項（法第 30 条第 3 項関係）

4-2-2 受領者の記録事項（法第 26 条第 3 項関係）

4-2-2-1 オプトアウトによる第三者提供を受ける場合（規則第 24

4-2-2-1 オプトアウトによる第三者提供を受ける場合（規則第 17条第 1 項第 1 号関係）条第 1 項第 1 号関係）

4-2-2-2 本人の同意に基づき第三者提供を受ける場合（規則第 24

4-2-2-2 本人の同意に基づき第三者提供を受ける場合（規則第 17条第 1 項第 2 号関係）条第 1 項第 2 号関係）

4-2-2-3 私人などから第三者提供を受ける場合（規則第 24 条第 1

4-2-2-3 私人などから第三者提供を受ける場合（規則第 17 条第 1

項第 4 号関係）

項第 4 号関係）
4-2-3 記録事項の省略（規則第 13 条第 2 項、第 17 条第 2 項関係）

4-3 保存期間（法第 29 条第 2 項、第 30 条第 4 項関係）

4-3 保存期間（法第 25 条第 2 項、第 26 条第 4 項関係）

5

5

3

4-2-3 記録事項の省略（規則第 20 条第 2 項、第 24 条第 2 項関係）

法第 31 条第 1 項の規定による個人関連情報の提供を受けて個人デー
タとして取得する場合

法第 26 条の 2 第 1 項の規定による個人関連情報の提供を受けて個人データとして取得する場合【付録】[略]【付録】[同左]

【凡例】

【凡例】

「法」

個人情報の保護に関する法律（平成 15 年法律第 57

「法」

号）

号）
「政令」

個人情報の保護に関する法律施行令（平成 15 年政令第「政令」

個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第 3 号）

個人情報の保護に関する法律施行令（平成 15 年政令第507 号）

507 号）「規則」

個人情報の保護に関する法律（平成 15 年法律第 57「規則」

個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第 3 号）

「通則ガイドライン」「平成 27 年改正法」「令和 2 年改正法」

個人情報の保護に関する法律についてのガ「通則ガイドライン」

イドライン（通則編）（平成 28 年個人情報

イドライン（通則編）（平成 28 年個人情報保護委員会告示第 6 号）

保護委員会告示第 6 号）

個人情報の保護に関する法律及び行政手続「平成 27 年改正法」

個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法の利用等に関する法律の一部を改正する法律（平成 27 年法律第 65 号）

律（平成 27 年法律第 65 号）

個人情報の保護に関する法律等の一部を改「令和 2 年改正法」

正する法律（令和 2 年法律第 44 号）「令和 3 年改正法」

個人情報の保護に関する法律についてのガ

個人情報の保護に関する法律等の一部を改正する法律（令和 2 年法律第 44 号）

デジタル社会の形成を図るための関係法律の整備に関する法律（令和 3 年法律第 374号）（第 50 条の規定に限る。）

1

本ガイドラインの位置付け

1

本ガイドラインの位置付け

個人情報保護委員会は、事業者が個人情報の適正な取扱いの確保に関

個人情報保護委員会は、事業者が個人情報の適正な取扱いの確保に関して行う活動を支援すること、及び当該支援により事業者が講ずる措置

して行う活動を支援すること、及び当該支援により事業者が講ずる措置が適切かつ有効に実施されることを目的として、個人情報の保護に関すが適切かつ有効に実施されることを目的として、個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「法」という。）第 4 条、第 9 条る法律（平成 15 年法律第 57 号。以下「法」という。）第 4 条、第 8 条

及び第 128 条に基づき具体的な指針として「個人情報の保護に関する法及び第 60 条に基づき具体的な指針として「個人情報の保護に関する法律律についてのガイドライン（通則編）」（平成 28 年個人情報保護委員会についてのガイドライン（通則編）」（平成 28 年個人情報保護委員会告告示第 6 号。以下「通則ガイドライン」という。）を定めているが、法示第 6 号。以下「通則ガイドライン」という。）を定めているが、法がが定める事業者の義務のうち第三者提供における確認・記録義務に関す定める事業者の義務のうち第三者提供における確認・記録義務に関するる部分に特化して分かりやすく一体的に示す観点から、通則ガイドライ部分に特化して分かりやすく一体的に示す観点から、通則ガイドライン

ンとは別に、本ガイドラインを定めるものである。

とは別に、本ガイドラインを定めるものである。

[略]

[同左]

まず、個人情報取扱事業者が第三者から個人データの提供を受ける場

まず、個人情報取扱事業者が第三者から個人データの提供を受ける場

合には、違法に入手された個人データが流通することを抑止するため、合には、違法に入手された個人データが流通することを抑止するため、当該第三者が当該個人データを取得した経緯等を確認する義務を課して当該第三者が当該個人データを取得した経緯等を確認する義務を課している（法第 30 条）。

いる（法第 26 条）。

また、仮に個人データが不正に流通した場合でも、個人情報保護委員

また、仮に個人データが不正に流通した場合でも、個人情報保護委員
会が個人情報取扱事業者に対して報告徴収・立入検査を行い（法第 40条）、記録を検査することによって、個人データの流通経路を事後的に条）、記録を検査することによって、個人データの流通経路を事後的に特定することができるようにする必要がある。したがって、個人情報取特定することができるようにする必要がある。したがって、個人情報取扱事業者が第三者に個人データを提供する場合又は第三者から個人デー

扱事業者が第三者に個人データを提供する場合又は第三者から個人デー

タの提供を受ける場合には、当該第三者の氏名等の記録を作成・保存しタの提供を受ける場合には、当該第三者の氏名等の記録を作成・保存しなければならない（法第 29 条、第 30 条）。

なければならない（法第 25 条、第 26 条）。

5

会が個人情報取扱事業者に対して報告徴収・立入検査を行い（法第 143以上に加えて、オプトアウトを利用する個人情報取扱事業者の個人情

以上に加えて、オプトアウトを利用する個人情報取扱事業者の個人情報保護委員会への届出義務及び個人情報保護委員会による公表の規定も

報保護委員会への届出義務及び個人情報保護委員会による公表の規定も新設され（法第 27 条第 2 項から第 4 項まで）、これらの制度があいまっ

新設され（法第 23 条第 2 項から第 4 項まで）、これらの制度があいまって、違法に入手された個人データの流通を抑止しようとするものであて、違法に入手された個人データの流通を抑止しようとするものである。

る。

[○確認・記録義務の規定を新設 略][○確認・記録義務の規定を新設 同左]

さらに、個人情報の保護に関する法律等の一部を改正する法律（令和 2

さらに、個人情報の保護に関する法律等の一部を改正する法律（令和 2年法律第 44 号）（以下「令和 2 年改正法」という。）により、本人が事年法律第 44 号）（以下「令和 2 年改正法」という。）により、本人が事業者間での個人データの流通を把握し、事業者に対する権利行使を容易

業者間での個人データの流通を把握し、事業者に対する権利行使を容易にすべく、第三者提供記録の開示の請求ができることとなった（法第 33にすべく、第三者提供記録の開示の請求ができることとなった（法第 28

条第 5 項）。

条第 5 項）。

[同左]

本ガイドラインの中で、「しなければならない」及び「してはならな

本ガイドラインの中で、「しなければならない」及び「してはならな

い」と記述している事項については、これらに従わなかった場合、法違い」と記述している事項については、これらに従わなかった場合、法違反と判断される可能性がある。一方、「努めなければならない」、「望反と判断される可能性がある。一方、「努めなければならない」、「望ましい」等と記述している事項については、これらに従わなかったことましい」等と記述している事項については、これらに従わなかったことをもって直ちに法違反と判断されることはないが、法の趣旨を踏まえ、をもって直ちに法違反と判断されることはないが、法の趣旨を踏まえ、事業者の特性や規模に応じ可能な限り対応することが望まれるものであ

事業者の特性や規模に応じ可能な限り対応することが望まれるものであ

る。

る。

6

[略]

なお、本ガイドラインにおいて使用する用語は、特に断りのない限

なお、本ガイドラインにおいて使用する用語は、特に断りのない限

り、通則ガイドラインにおいて使用する用語の例によるほか、次の例にり、通則ガイドラインにおいて使用する用語の例によるほか、次の例に

よる。

よる。

「確認・記録義務」：法第 30 条に基づく確認義務並びに法第 29 条及び「確認・記録義務」：法第 26 条に基づく確認義務並びに法第 25 条及び第 30 条に基づく記録義務「提供者」：個人データを第三者に提供する者（本人を除き、個人情報

第 26 条に基づく記録義務「提供者」：個人データを第三者に提供する者（本人を除き、個人情報取扱事業者以外の者を含む。）

取扱事業者以外の者を含む。）「受領者」：個人データの提供を第三者から受ける者（本人を除き、個「受領者」：個人データの提供を第三者から受ける者（本人を除き、個人情報取扱事業者以外の者を含む。）

人情報取扱事業者以外の者を含む。）

2

確認・記録義務の適用対象

2-1 明文により確認・記録義務が適用されない第三者提供

2

確認・記録義務の適用対象

2-1 明文により確認・記録義務が適用されない第三者提供
次の類型の第三者提供については、明文上、確認・記録義務が適用

次の類型の第三者提供については、明文上、確認・記録義務が適用されない。

2-1-1 法第 27 条第 1 項各号に掲げる場合

2-1-1 法第 23 条第 1 項各号に掲げる場合

法第 29 条（第 1 項）

法第 25 条（第 1 項）

1

1

7

されない。

個人情報取扱事業者は、個人データを第三者（略）に提供したとき

個人情報取扱事業者は、個人データを第三者（略）に提供したときは（略）記録を作成しなければならない。ただし、当該個人データのは（略）記録を作成しなければならない。ただし、当該個人データの提供が第 27 条第 1 項各号（略）に該当する場合は、この限りでない。

提供が第 23 条第 1 項各号（略）に該当する場合は、この限りでない。

法第 30 条（第 1 項）

法第 26 条（第 1 項）

1

1

個人情報取扱事業者は、第三者から個人データの提供を受けるに際個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては（略）次に掲げる事項の確認を行わなければならない。ただしては（略）次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供が第 27 条第 1 項各号（略）に該当する場

し、当該個人データの提供が第 23 条第 1 項各号（略）に該当する場

合は、この限りでない。

合は、この限りでない。

＜参考＞

法第 28 条（第 1 項）

法第 24 条第 1 項

[略]

[同左]

次の（1）から（7）までに掲げる第三者提供については、個人データ

次の（1）から（4）までに掲げる第三者提供については、個人データ

が転々流通することは想定されにくいことに鑑み、確認・記録義務は適が転々流通することは想定されにくいことに鑑み、確認・記録義務は適用されない。

用されない。

また、外国にある第三者に対して個人データを提供する際も、次のまた、外国にある第三者に対して個人データを提供する際も、次の（1）から（7）までに掲げる第三者提供については、記録義務は適用さ（1）から（4）までに掲げる第三者提供については、記録義務は適用されない（法第 28 条第 1 項、【外国にある第三者に個人データを提供するれない（法第 24 条第 1 項、【外国にある第三者に個人データを提供する

場合の確認・記録義務の適用】参照）。

場合の確認・記録義務の適用】参照）。

なお、（1）から（7）までの詳細については、通則ガイドライン「36-1 第三者提供の制限の原則」を参照のこと。

なお、（1）から（4）までの詳細については、通則ガイドライン「36-1 第三者提供の制限の原則」を参照のこと。

（1）法令に基づく場合（法第 27 条第 1 項第 1 号関係）

（1）法令に基づく場合（法第 23 条第 1 項第 1 号関係）

（2）人（法人を含む。）の生命、身体又は財産の保護のために必要が（2）人（法人を含む。）の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（法ある場合であって、本人の同意を得ることが困難であるとき（法第 27 条第 1 項第 2 号関係）

第 23 条第 1 項第 2 号関係）

（3）公衆衛生の向上又は児童の健全な育成の推進のために特に必要が（3）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（法ある場合であって、本人の同意を得ることが困難であるとき（法

8

＜参考＞

第 27 条第 1 項第 3 号関係）

第 23 条第 1 項第 3 号関係）

（4）国の機関若しくは地方公共団体又はその委託を受けた者が法令の（4）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であ定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（法第 27 条第 1 項第 4 号関係）

すおそれがあるとき（法第 23 条第 1 項第 4 号関係）

（5）当該個人情報取扱事業者が学術研究機関等である場合であって、[新設]

当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある

9場合を除く。）（法第 27 条第 1 項第 5 号関係）

（6）当該個人情報取扱事業者が学術研究機関等である場合であって、[新設]

当該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含
み 、個人 の権利 利益を不 当に侵 害する おそれが ある場 合を除く。）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。）（法第 27 条第 1 項第 6 号関係）

（7）当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含
み 、個人 の権利 利益を不 当に侵 害する おそれが ある場 合を除[新設]く。）（法第 27 条第 1 項第 7 号関係）

2-1-2 法第 27 条第 5 項各号に掲げる場合

2-1-2 法第 23 条第 5 項各号に掲げる場合

法第 29 条（第 1 項）

法第 25 条（第 1 項）

1

1

個人情報取扱事業者は、個人データを第三者（略）に提供したときは（略）記録を作成しなければならない。ただし、当該個人データのは（略）記録を作成しなければならない。ただし、当該個人データの提供が第 27 条第 1 項各号（略）に該当する場合は、この限りでない。

提供が第 23 条第 1 項各号（略）に該当する場合は、この限りでない。

法第 30 条（第 1 項）

法第 26 条（第 1 項）

1

1

個人情報取扱事業者は、第三者から個人データの提供を受けるに際個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては（略）次に掲げる事項の確認を行わなければならない。ただしては（略）次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供が第 27 条第 1 項各号（略）に該当する場

し、当該個人データの提供が第 23 条第 1 項各号（略）に該当する場

合は、この限りでない。

合は、この限りでない。

次の（1）から（3）までに掲げる第三者提供については、法第 27 条第次の（1）から（3）までに掲げる第三者提供については、法第 23 条第5 項柱書において「第三者に該当しないものとする」とされていることに5 項柱書において「第三者に該当しないものとする」とされていることに鑑み、確認・記録義務は適用されない。

鑑み、確認・記録義務は適用されない。

他方、外国にある第三者に対して、次の（1）から（3）までの類型に他方、外国にある第三者に対して、次の（1）から（3）までの類型により、個人データを提供する際の記録義務の適用関係は、【外国にあるより、個人データを提供する際の記録義務の適用関係は、【外国にある

第三者に個人データを提供する場合の記録義務の適用】のとおりとな

第三者に個人データを提供する場合の記録義務の適用】のとおりとな

る。

る。

10

個人情報取扱事業者は、個人データを第三者（略）に提供したとき

6-3 第三者に該当しない場合」を参照のこと。

なお、（1）から（3）までの詳細については、通則ガイドライン「36-3 第三者に該当しない場合」を参照のこと。

（1）個人情報取扱事業者が利用目的の達成に必要な範囲内におい（1）個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合（法第 27 条第 5 項第 1 号て当該個人データが提供される場合（法第 23 条第 5 項第 1 号

関係）

関係）

（2）合併その他の事由による事業の承継に伴って個人データが提供される場合（法第 27 条第 5 項第 2 号関係）

（2）合併その他の事由による事業の承継に伴って個人データが提供される場合（法第 23 条第 5 項第 2 号関係）

（3）特定の者との間で共同して利用される個人データが当該特定（3）特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき（法第 27 条第は本人が容易に知り得る状態に置いているとき（法第 23 条第5 項第 3 号関係）

5 項第 3 号関係）

【外国にある第三者に個人データを提供する場合の記録義務の適用】【外国にある第三者に個人データを提供する場合の記録義務の適用】外国にある第三者に対する個人データの提供は、次の類型ⅠからⅣま

外国にある第三者に対する個人データの提供は、次の類型ⅠからⅣまでに分けられる。各類型と記録義務の適用関係は次の＜適用表＞のとおでに分けられる。各類型と記録義務の適用関係は次の＜適用表＞のとお11

なお、（1）から（3）までの詳細については、通則ガイドライン「3-りとなる。

りとなる。

類型Ⅰ：本人の「同意」（法第 28 条第 1 項）を得ている場合

類型Ⅰ：本人の「同意」（法第 24 条第 1 項）を得ている場合[類型Ⅱ・類型Ⅲ 略][類型Ⅱ・類型Ⅲ 同左]

類型Ⅳ：「2-1-1 法第 27 条第 1 項各号に掲げる場合」に該当する場合

類型Ⅳ：「2-1-1 法第 23 条第 1 項各号に掲げる場合」に該当する場合

＜適用表＞

＜適用表＞
類型の別

記録義務の

類型の別

適用の有無

適用の有無

類型Ⅰ
「2-1-2 法第 27 条第 5 項各号に

類型Ⅰ
有（*1）

「2-1-2 法第 23 条第 5 項各号に掲げる場合」に該当しない場合

類型Ⅱ掲げる場合」に該当しない場合

又は類型Ⅲ

（*2）

又は類型Ⅲ

（*2）

「2-1-2 法第 27 条第 5 項各号に

有（*1）

12

類型Ⅱ

掲げる場合」に該当する場合

記録義務の「2-1-2 法第 23 条第 5 項各号に無類型Ⅳ（*1）記録義務が適用される場合の記録の作成方法、記録事項などについては、国内の第三者に個人データを提供する場合と同様に、「4 記録義務」に従うこととなる。
（*2）具体的には、法第 27 条第 1 項柱書（「本人の同意」）又は法第 27 条第 2 項（オプトアウト）に基づき、第三者提供を行う場合である。

2-1-3 第三者が法第 16 条第 2 項各号に掲げる者である場合

掲げる場合」に該当する場合

無類型Ⅳ（*1）記録義務が適用される場合の記録の作成方法、記録事項などについては、国内の第三者に個人データを提供する場合と同様に、「4 記録義務」に従うこととなる。
（*2）具体的には、法第 23 条第 1 項柱書（「本人の同意」）又は法第 23 条第 2 項（オプトアウト）に基づき、第三者提供を行う場合である。

2-1-3 第三者が法第 2 条第 5 項各号に掲げる者である場合

法第 29 条（第 1 項）

法第 25 条（第 1 項）

1

1

個人情報取扱事業者は、個人データを第三者（第 2 条第 5 項各号にに掲げる者を除く。以下この条及び次条（略）において同じ。）に提掲げる者を除く。以下この条及び次条において同じ。）に提供したと供したときは、（略）記録を作成しなければならない。

きは、（略）記録を作成しなければならない。

[略]

[同左]

（1）国の機関（法第 16 条第 2 項第 1 号関係）

（1）国の機関（法第 2 条第 5 項第 1 号関係）

（2）地方公共団体（法第 16 条第 2 項第 2 号関係）

（2）地方公共団体（法第 2 条第 5 項第 2 号関係）

（3）独立行政法人等（独立行政法人通則法（平成 11 年法律第 103 号）（3）独立行政法人等（独立行政法人等の保有する個人情報の保護に関

第 2 条第 1 項に規定する独立行政法人及び法別表第 1 に掲げる法人する法律 （平成 15 年法律第 59 号）第 2 条第 1 項 に規定する独立（法別表第 2 に掲げる法人を除く。）をいう。）（法第 16 条第 2 項

行政法人等をいう。）（法第 2 条第 5 項第 3 号関係）

第 3 号関係）（4）地方独立行政法人（地方独立行政法人法（平成 15 年法律第 118（4）地方独立行政法人（地方独立行政法人法（平成 15 年法律第 118号）第 2 条第 1 項に規定する地方独立行政法人をいう。）（法第 16号）第 2 条第 1 項に規定する地方独立行政法人をいう。）（法第 2条第 2 項第 4 号関係）条第 5 項第 4 号関係）

2-2 解釈により確認・記録義務が適用されない第三者提供

2-2 解釈により確認・記録義務が適用されない第三者提供

2-2-1 提供者及び受領者に確認・記録義務が適用されない場合

2-2-1 提供者及び受領者に確認・記録義務が適用されない場合

形式的には第三者提供の外形を有する場合であっても、確認・記録

形式的には第三者提供の外形を有する場合であっても、確認・記録

13

個人情報取扱事業者は、個人データを第三者（第 16 条第 2 項各号

義務の趣旨に鑑みて、実質的に確認・記録義務を課する必要性に乏し義務の趣旨に鑑みて、実質的に確認・記録義務を課する必要性に乏しい第三者提供については、同義務の対象たる第三者提供には該当しない第三者提供については、同義務の対象たる第三者提供には該当しない。

い。

第三者提供、すなわち、「提供者」から「受領者」に対する「提第三者提供、すなわち、「提供者」から「受領者」に対する「提供」行為については、確認・記録義務の趣旨に鑑みて、各要素の該当供」行為については、確認・記録義務の趣旨に鑑みて、各要素の該当性を判断する。

性を判断する。
『提供者』の考え方」から「2-2-1-3

具体的には、次の「2-2-1-1『提供者』の考え方」から「2-2-1-3『提供』行為の考え方」までに掲げる考え方があり得るが、各類型は『提供』行為の考え方」までに掲げる考え方があり得るが、各類型は互いに相反するものではなく、重複することもあり得る。また、確

互いに相反するものではなく、重複することもあり得る。また、確認・記録義務の趣旨に鑑みて、その他にも、実質的に同義務が適用さ

認・記録義務の趣旨に鑑みて、その他にも、実質的に同義務が適用されない類型があることを排除するものではない。

れない類型があることを排除するものではない。

なお、次のいずれの類型においても、実質的に本人同意があること

なお、次のいずれの類型においても、実質的に本人同意があることが前提であり、オプトアウトによる第三者提供（法第 27 条第 2 項）にが前提であり、オプトアウトによる第三者提供（法第 23 条第 2 項）には、基本的には、次の考え方は当てはまらない。

は、基本的には、次の考え方は当てはまらない。

2-2-1-1 「提供者」の考え方

2-2-1-1 「提供者」の考え方

[略]

[同左]

（1）本人による提供（1）本人による提供

事業者が運営する SNS 等に本人が入力した内容が、自動的に事業者が運営する SNS 等に本人が入力した内容が、自動的に個人データとして不特定多数の第三者が取得できる状態に置か個人データとして不特定多数の第三者が取得できる状態に置か

14

具体的には、次の「2-2-1-1

れている場合は、実質的に「本人による提供」をしているもの

れている場合は、実質的に「本人による提供」をしているもの

である。

である。

したがって、個人情報取扱事業者が SNS 等を通じて本人に係したがって、個人情報取扱事業者が SNS 等を通じて本人に係る個人データを取得したときでも、SNS 等の運営事業者及び取る個人データを取得したときでも、SNS 等の運営事業者及び取得した個人情報取扱事業者の双方において、確認・記録義務は得した個人情報取扱事業者の双方において、確認・記録義務は適用されない。

適用されない。
なお、閲覧行為と、法第 26 条に基づく義務との関係についなお、閲覧行為と、法第 30 条に基づく義務との関係については、「2-2-2-2『提供を受けるに際して』」を参照のこては、「2-2-2-2 『提供を受けるに際して』」を参照のこと。

[【本人による提供に該当する事例】 略][【本人による提供に該当する事例】 同左]
15と。

（2）[略]

2-2-1-2[略]

2-2-1-3 「提供」行為の考え方（2）[同左]2-2-1-2[同左]

2-2-1-3 「提供」行為の考え方

不特定多数の者が取得できる公開情報は、本来であれば受領者も自不特定多数の者が取得できる公開情報は、本来であれば受領者も自ら取得できる情報であり、それをあえて提供者から受領者に提供するら取得できる情報であり、それをあえて提供者から受領者に提供する行為は、受領者による取得行為を提供者が代行しているものであるこ

行為は、受領者による取得行為を提供者が代行しているものであることから、実質的に確認・記録義務を課すべき第三者提供には該当せず、同義務は適用されない。

ず、同義務は適用されない。

例えば、ホームページ等で公表されている情報、報道機関により報

例えば、ホームページ等で公表されている情報、報道機関により報道されている情報などが該当する。他方、特定の者のみアクセスでき

道されている情報などが該当する。他方、特定の者のみアクセスできる情報、提供者の業務上取得し得た非公開の情報などについては、こる情報、提供者の業務上取得し得た非公開の情報などについては、こ

こでの整理は当てはまらない。

こでの整理は当てはまらない。

なお、当初に、個人データを公開に供する行為については、提供者

なお、当初に、個人データを公開に供する行為については、提供者として記録を作成しなければならない（規則第 20 条第 1 項第 1 号ロ括として記録を作成しなければならない（規則第 13 条第 1 項第 1 号ロ括

弧書き）。

弧書き）。

また、いわゆる公開情報であっても、「個人情報」（法第 2 条第 1

また、いわゆる公開情報であっても、「個人情報」（法第 2 条第 1項）に該当するため、法第 4 章第 2 節のうち、確認・記録義務以外の項）に該当するため、法第 4 章第 1 節のうち、確認・記録義務以外の規定は適用されることには留意する必要がある（通則ガイドライン

規定は適用されることには留意する必要がある（通則ガイドライン「2-1 個人情報」参照）。

「2-1 個人情報」参照）。

2-2-2 受領者に確認・記録義務が適用されない場合

2-2-2 受領者に確認・記録義務が適用されない場合

2-2-2-1 法第 30 条の「個人データ」の該当性

2-2-2-1 法第 26 条の「個人データ」の該当性

法第 30 条は、「個人データ」の提供を受ける際に適用される義務で

法第 26 条は、「個人データ」の提供を受ける際に適用される義務であるところ、「個人情報」には該当するが「個人データ」には該当しあるところ、「個人情報」には該当するが「個人データ」には該当しない情報の場合、又は、そもそも「個人情報」に該当しない情報の提ない情報の場合、又は、そもそも「個人情報」に該当しない情報の提供を受けた場合は、同条の義務は適用されない。

供を受けた場合は、同条の義務は適用されない。

16とから、実質的に確認・記録義務を課すべき第三者提供には該当せ

①

判断主体

（1）受領者にとって「個人データ」に該当しない場合① 判断主体法第 30 条の要件の該当性は、同条の名宛人である受領者を基法第 26 条の要件の該当性は、同条の名宛人である受領者を基準に判断する必要があるため、提供者にとって個人データに該準に判断する必要があるため、提供者にとって個人データに該当するが受領者にとって個人データに該当しない情報を受領し当するが受領者にとって個人データに該当しない情報を受領した場合は、同条の確認・記録義務は適用されない。

た場合は、同条の確認・記録義務は適用されない。

したがって、例えば、個人情報取扱事業者の営業担当者が、したがって、例えば、個人情報取扱事業者の営業担当者が、取引先を紹介する目的で、データベースとして管理しているフ

取引先を紹介する目的で、データベースとして管理しているファイルから名刺 1 枚を取り出してそのコピーを他の個人情報取扱

ァイルから名刺 1 枚を取り出してそのコピーを他の個人情報取扱事業者の営業担当者に渡す場合、受領した側の個人情報取扱事

事業者の営業担当者に渡す場合、受領した側の個人情報取扱事

業者は確認・記録義務を負わない。

業者は確認・記録義務を負わない。

なお、本来であれば個人データに該当するにもかかわらず、

なお、本来であれば個人データに該当するにもかかわらず、

確認・記録義務を免れる目的のために、あえて分断して形式的確認・記録義務を免れる目的のために、あえて分断して形式的に「個人データには該当しない個人情報」として提供を受けるに「個人データには該当しない個人情報」として提供を受ける行為は、法の潜脱であり、確認・記録義務を免れることはでき

行為は、法の潜脱であり、確認・記録義務を免れることはでき

ない。

ない。

②

判断時点

②

判断時点

個人データには該当しない個人情報として提供を受けた場

個人データには該当しない個人情報として提供を受けた場

合、仮に、後に当該個人情報を個人情報データベース等に入力

合、仮に、後に当該個人情報を個人情報データベース等に入力する等したときにおいても、法第 30 条の確認・記録義務は適用する等したときにおいても、法第 26 条の確認・記録義務は適用

17（1）受領者にとって「個人データ」に該当しない場合

されない。

なお、受領後、受領者が当該個人情報を自己のデータベース

なお、受領後、受領者が当該個人情報を自己のデータベースに入力した場合には、入力時点から個人情報データベース等をに入力した場合には、入力時点から個人情報データベース等を構成する個人データに該当することとなり、法第 22 条から法第構成する個人データに該当することとなり、法第 19 条から法第39 条までの規定（法第 30 条及び第 31 条（※）を除く。）が適用

34 条までの規定（法第 26 条及び第 26 条の 2（※）を除く。）がされることに留意する必要がある。

適用されることに留意する必要がある。

（※）法第 31 条は、個人関連情報の第三者提供に関する規定であ（※）法第 26 条の 2 は、個人関連情報の第三者提供に関する規定

るため、個人データに該当することとなった場合でも適用さであるため、個人データに該当することとなった場合でも適れない。

用されない。

③[略]（2）受領者にとって「個人情報」に該当しない場合

③

[同左]

（2）受領者にとって「個人情報」に該当しない場合

次の事例のように、提供者にとって個人データに該当する場合

次の事例のように、提供者にとって個人データに該当する場合であっても、受領者にとっては「個人情報」に該当しない（当然であっても、受領者にとっては「個人情報」に該当しない（当然に個人データにも該当しない。）情報を受領した場合は、法第 30に個人データにも該当しない。）情報を受領した場合は、法第 26条の確認・記録義務は適用されない。

条の確認・記録義務は適用されない。

[【受領者にとって個人情報に該当しない事例】 略][【受領者にとって個人情報に該当しない事例】 同左]

18

されない。

2-2-2-2 「提供を受けるに際して」

2-2-2-2 「提供を受けるに際して」

法第 30 条の確認・記録義務は、受領者にとって、「第三者から個人法第 26 条の確認・記録義務は、受領者にとって、「第三者から個人データの提供を受ける」行為がある場合に適用されるため、単に閲覧

データの提供を受ける」行為がある場合に適用されるため、単に閲覧する行為については、「提供を受ける」行為があるとは言えず、法第する行為については、「提供を受ける」行為があるとは言えず、法第30 条の義務は適用されない。

26 条の義務は適用されない。

なお、提供者たる個人情報取扱事業者が、個人データを第三者が利

なお、提供者たる個人情報取扱事業者が、個人データを第三者が利3用可能な状態に置く行為は、提供行為に該当する。

また、口頭、FAX、メール、電話等で、受領者の意思とは関係なく、

また、口頭、FAX、メール、電話等で、受領者の意思とは関係なく、一方的に個人データを提供された場合において、受領者側に「提供を一方的に個人データを提供された場合において、受領者側に「提供を受ける」行為がないときは、法第 30 条の確認・記録義務は適用されな受ける」行為がないときは、法第 26 条の確認・記録義務は適用されない。

い。

確認義務（法第 30 条第 1 項・第 2 項、規則第 22 条関係）

3-1 確認方法（法第 30 条第 1 項、規則第 22 条関係）

3

確認義務（法第 26 条第 1 項・第 2 項、規則第 15 条関係）

3-1 確認方法（法第 26 条第 1 項、規則第 15 条関係）

個人情報取扱事業者は、第三者から個人データの提供を受ける際は、

個人情報取扱事業者は、第三者から個人データの提供を受ける際は、当該第三者に対して、次のとおり確認を行わなければならない。この

当該第三者に対して、次のとおり確認を行わなければならない。この際、当該第三者は当該個人情報取扱事業者に対して、当該確認に係る事際、当該第三者は当該個人情報取扱事業者に対して、当該確認に係る事項を偽ってはならない（法第 30 条第 2 項。同項に違反した場合には法第項を偽ってはならない（法第 26 条第 2 項。同項に違反した場合には法第180 条により 10 万円以下の過料）。

88 条により 10 万円以下の過料）。

19

用可能な状態に置く行為は、提供行為に該当する。

3-1-1 第三者の氏名及び住所並びに法人にあっては、その代表者の氏

3-1-1 第三者の氏名及び住所並びに法人にあっては、その代表者の氏名（法第 30 条第 1 項第 1 号、規則第 22 条第 1 項関係）

名（法第 26 条第 1 項第 1 号、規則第 15 条第 1 項関係）

法第 30 条（第 1 項）

法第 26 条（第 1 項）

[略]

[同左]

規則第 22 条（第 1 項）

規則第 15 条（第 1 項）

1

1

法第 30 条第 1 項の規定による同項第 1 号に掲げる事項の確認を行

法第 26 条第 1 項の規定による同項第 1 号に掲げる事項の確認を行う方法は、個人データを提供する第三者から申告を受ける方法その他の適切な方法とする。

の適切な方法とする。
20

う方法は、個人データを提供する第三者から申告を受ける方法その他[【第三者から申告を受ける方法に該当する事例】・【その他の適切な方[【第三者から申告を受ける方法に該当する事例】・【その他の適切な方法に該当する事例】 略]法に該当する事例】 同左]

3-1-2 第三者による個人データの取得の経緯（法第 30 条第 1 項第 2

3-1-2 第三者による個人データの取得の経緯（法第 26 条第 1 項第 2号、規則第 22 条第 2 項関係）号、規則第 15 条第 2 項関係）

法第 30 条（第 1 項）

法第 26 条（第 1 項）

[略]

[同左]

規則第 22 条（第 2 項）

規則第 15 条（第 2 項）

法第 30 条第 1 項の規定による同項第 2 号に掲げる事項の確認を行

2

法第 26 条第 1 項の規定による同項第 2 号に掲げる事項の確認を行う方法は、個人データを提供する第三者から当該第三者による当該個

う方法は、個人データを提供する第三者から当該第三者による当該個

人データの取得の経緯を示す契約書その他の書面の提示を受ける方法

人データの取得の経緯を示す契約書その他の書面の提示を受ける方法

その他の適切な方法とする。

その他の適切な方法とする。

個人情報取扱事業者は、第三者から個人データの提供を受ける際は、

個人情報取扱事業者は、第三者から個人データの提供を受ける際は、当該第三者による当該個人データの「取得の経緯」を確認しなければな

当該第三者による当該個人データの「取得の経緯」を確認しなければな

らない。

らない。

「取得の経緯」を確認する趣旨としては、提供を受けようとする個人「取得の経緯」を確認する趣旨としては、提供を受けようとする個人データが適法に入手されたものではないと疑われる場合に、当該個人デデータが適法に入手されたものではないと疑われる場合に、当該個人データの利用・流通を未然に防止する点にある。

ータの利用・流通を未然に防止する点にある。

仮に、適法に入手されたものではないと疑われるにもかかわらず、あ仮に、適法に入手されたものではないと疑われるにもかかわらず、あ

えて個人データの提供を受けた場合には、法第 20 条第 1 項の規定違反と えて個人データの提供を受けた場合には、法第 17 条第 1 項の規定違反と判断される可能性がある。

判断される可能性がある。

「取得の経緯」の具体的な内容は、個人データの内容、第三者提供の「取得の経緯」の具体的な内容は、個人データの内容、第三者提供の態様などにより異なり得るが、基本的には、取得先の別（顧客としての態様などにより異なり得るが、基本的には、取得先の別（顧客としての本人、従業員としての本人、他の個人情報取扱事業者、家族・友人等の本人、従業員としての本人、他の個人情報取扱事業者、家族・友人等の私人、いわゆる公開情報等）、取得行為の態様（本人から直接取得した

私人、いわゆる公開情報等）、取得行為の態様（本人から直接取得したか、有償で取得したか、いわゆる公開情報から取得したか、紹介によりか、有償で取得したか、いわゆる公開情報から取得したか、紹介により取得したか、私人として取得したものか等）などを確認しなければなら取得したか、私人として取得したものか等）などを確認しなければなら

ない。

ない。

なお、あくまで、個人データを提供した「第三者」による取得の経緯

なお、あくまで、個人データを提供した「第三者」による取得の経緯を確認すれば足り、そこから遡って当該「第三者」より前に取得した者を確認すれば足り、そこから遡って当該「第三者」より前に取得した者

21

2

の取得の経緯を確認する義務はない。

の取得の経緯を確認する義務はない。

[【適切な方法に該当する事例】 略][【適切な方法に該当する事例】 同左]

3-1-3 法の遵守状況

受領者は、個人情報取扱事業者から個人データの提供を受ける際に受領者は、個人情報取扱事業者から個人データの提供を受ける際には、当該個人情報取扱事業者の法の遵守状況（例えば、利用目的、開は、当該個人情報取扱事業者の法の遵守状況（例えば、利用目的、開示手続、問合せ・苦情の受付窓口の公表など）についても確認するこ

示手続、問合せ・苦情の受付窓口の公表など）についても確認することが望ましい。特に、個人情報取扱事業者からオプトアウトによる第とが望ましい。特に、個人情報取扱事業者からオプトアウトによる第三者提供により個人データの提供を受ける際には、受領者は、当該個三者提供により個人データの提供を受ける際には、受領者は、当該個人情報取扱事業者の届出事項が個人情報保護委員会により公表されて人情報取扱事業者の届出事項が個人情報保護委員会により公表されている旨を記録しなければならないことに留意する必要がある（「4-2-2いる旨を記録しなければならないことに留意する必要がある（「4-2-2

受領者の記録事項」参照）。

受領者の記録事項」参照）。

提供者である個人情報取扱事業者の法の遵守状況を確認した結果、提供者である個人情報取扱事業者の法の遵守状況を確認した結果、提供される個人データが適法に入手されたものではないと疑われるに提供される個人データが適法に入手されたものではないと疑われるにもかかわらず、当該個人データの提供を受けた場合には、法第 20 条第もかかわらず、当該個人データの提供を受けた場合には、法第 17 条第1 項の規定違反と判断されるおそれがある。

1 項の規定違反と判断されるおそれがある。

3-2 既に確認を行った第三者に対する確認方法（規則第 22 条関係）

3-2 既に確認を行った第三者に対する確認方法（規則第 15 条関係）

223-1-3 法の遵守状況

規則第 22 条（第 3 項）

規則第 15 条（第 3 項）

3

3

前二項の規定にかかわらず、第三者から他の個人データの提供を受前二項の規定にかかわらず、第三者から他の個人データの提供を受けるに際して既に前二項に規定する方法による確認（当該確認についけるに際して既に前二項に規定する方法による確認（当該確認について次条に規定する方法による記録の作成及び保存をしている場合におて次条に規定する方法による記録の作成及び保存をしている場合におけるものに限る。）を行っている事項の確認を行う方法は、当該事項けるものに限る。）を行っている事項の確認を行う方法は、当該事項の内容と当該提供に係る法第 30 条第 1 項各号に掲げる事項の内容がの内容と当該提供に係る法第 26 条第 1 項各号に掲げる事項の内容が同一であることの確認を行う方法とする。

同一であることの確認を行う方法とする。

平成 27 年改正法規則附則第 4 条[略]

平成 27 年改正法規則附則第 4 条
[同左]

23

令和 3 年改正法規則附則第 5 条
別表第二法人等において、法第 30 条第 1 項各号に規定する事項のうち、施行日前に新規則第 22 条に規定する方法に相当する方法で確認（当該確認について新規則第 23 条に規定する方法に相当する方法
により記録を作成し、かつ、保存している場合におけるものに限る。）を行っているものについては、新規則第 22 条第 3 項を適用することができる。この場合において、同項中「前二項に規定する方法」とあるのは「前二項に規定する方法に相当する方法」と読み替えるものとする。

複数回にわたって同一「本人」の個人データの授受をする場合におい複数回にわたって同一「本人」の個人データの授受をする場合において、同一の内容である事項を重複して確認する合理性はないため、既にて、同一の内容である事項を重複して確認する合理性はないため、既に

規則第 22 条に規定する方法（「3-1-1 第三者の氏名及び住所並びに法人規則第 15 条に規定する方法（「3-1-1 第三者の氏名及び住所並びに法人にあっては、その代表者の氏名」「3-1-2にあっては、その代表者の氏名」「3-1-2

当該第三者による当該個人データの取得の経緯」）により確認を行い、「4記録義務」に規定する方

当該第三者による当該個人データの取得の経緯」）により確認を行い、「4記録義務」に規定する方法により作成し、かつ、その時点において保存している記録に記録され法により作成し、かつ、その時点において保存している記録に記録された事項と内容が同一であるものについては、当該事項の確認を省略する

た事項と内容が同一であるものについては、当該事項の確認を省略することができる。

ことができる。

平成 27 年改正法の施行日の前に上記に規定する方法に相当する方法で

平成 27 年改正法の施行日の前に上記に規定する方法に相当する方法で第 2 に掲げる法人、法第 58 条第 2 項の規定により個人情報取扱事業者、

例えば、個人情報取扱事業者が、同じ提供者から、既に確認・記録義仮名加工情報取扱事業者若しくは個人関連情報取扱事業者とみなされる務を履行した、特定の事業活動であることを認識しながら、個人データ

独立行政法人労働者健康安全機構又は学術研究機関等である個人情報取の提供を受ける場合は、提供者の名称、当該個人データの取得の経緯に扱事業者をいう。以下同じ。）が上記に規定する方法に相当する方法でついて「同一であることの確認」が行われているものである。

作成した記録についても同様とする。
例えば、個人情報取扱事業者が、同じ提供者から、既に確認・記録義
務を履行した、特定の事業活動であることを認識しながら、個人データの提供を受ける場合は、提供者の名称、当該個人データの取得の経緯について「同一であることの確認」が行われているものである。

4

記録義務（法第 29 条第 1 項、第 30 条第 3 項関係）

4-1 記録を作成する方法など

4

記録義務（法第 25 条第 1 項、第 26 条第 3 項関係）

4-1 記録を作成する方法など

24

作成した記録及び令和 3 年改正法の施行日の前に別表第二法人等（法別表 作成した記録についても同様とする。

法第 25 条（第 1 項）

[略]

[同左]

法第 30 条（第 3 項）

法第 26 条（第 3 項）

[略]

[同左]

4-1-1 記録を作成する媒体（規則第 19 条第 1 項、第 23 条第 1 項関4-1-1 記録を作成する媒体（規則第 12 条第 1 項、第 16 条第 1 項関係）

係）

規則第 19 条（第 1 項）

規則第 12 条（第 1 項）

1

1

法第 29 条第 1 項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。

法第 25 条第 1 項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。

規則第 23 条（第 1 項）

規則第 16 条（第 1 項）

1

1

法第 30 条第 3 項の規定による同項の記録を作成する方法は、文書、法第 26 条第 3 項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。

電磁的記録又はマイクロフィルムを用いて作成する方法とする。

[略]

[同左]

4-1-2 記録を作成する方法

4-1-2 記録を作成する方法

25

法第 29 条（第 1 項）

4-1-2-1 原則（規則第 19 条第 2 項、第 23 条第 2 項関係）

4-1-2-1 原則（規則第 12 条第 2 項、第 16 条第 2 項関係）

規則第 19 条（第 2 項）

規則第 12 条（第 2 項）

2

2

法第 29 条第 1 項の記録は、個人データを第三者（略）に提供した
都度、速やかに作成しなければならない。（略）法第 25 条第 1 項の記録は、個人データを第三者（略）に提供した
都度、速やかに作成しなければならない。（略）規則第 23 条（第 2 項）

規則第 16 条（第 2 項）

2

2

法第 30 条第 3 項の記録は、第三者から個人データの提供を受けた

法第 26 条第 3 項の記録は、第三者から個人データの提供を受けた
都度、速やかに作成しなければならない。（略）

[略]

[同左]

4-1-2-2 一括して記録を作成する方法（規則第 19 条第 2 項、第 23

4-1-2-2 一括して記録を作成する方法（規則第 12 条第 2 項、第 1626

都度、速やかに作成しなければならない。（略）条第 2 項関係）条第 2 項関係）

規則第 19 条（第 2 項）

規則第 12 条（第 2 項）

22（略）当該第三者に対し個人データを継続的に若しくは反復して提（略）当該第三者に対し個人データを継続的に若しくは反復して提供（法第 27 条第 2 項の規定による提供を除く。以下この項において供（法第 23 条第 2 項の規定による提供を除く。以下この項において同じ。）したとき、又は当該第三者に対し個人データを継続的に若し同じ。）したとき、又は当該第三者に対し個人データを継続的に若し

くは反復して提供することが確実であると見込まれるときの記録は、

くは反復して提供することが確実であると見込まれるときの記録は、一括して作成することができる。

一括して作成することができる。

規則第 23 条（第 2 項）

規則第 16 条（第 2 項）

22（略）当該第三者から継続的に若しくは反復して個人データの提供（法第 27 条第 2 項の規定による提供を除く。以下この条において同（法第 23 条第 2 項の規定による提供を除く。以下この条において同じ。）を受けたとき、又は当該第三者から継続的に若しくは反復してじ。）を受けたとき、又は当該第三者から継続的に若しくは反復して個人データの提供を受けることが確実であると見込まれるときの記録

個人データの提供を受けることが確実であると見込まれるときの記録

は、一括して作成することができる。

は、一括して作成することができる。

[略]

[同左]

4-1-2-3 契約書等の代替手段による方法（規則第 19 条第 3 項、第 23

4-1-2-3 契約書等の代替手段による方法（規則第 12 条第 3 項、第 16条第 3 項関係）条第 3 項関係）

規則第 19 条（第 3 項）

規則第 12 条（第 3 項）

33

前項の規定にかかわらず、法第 27 条第 1 項又は法第 28 条第 1 項の前項の規定にかかわらず、法第 23 条第 1 項又は法第 24 条第 1 項の規定により、本人に対する物品又は役務の提供に関連して当該本人に規定により、本人に対する物品又は役務の提供に関連して当該本人に係る個人データを第三者に提供した場合において、当該提供に関して

係る個人データを第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に次条第 1 項各号に定める事項が記載作成された契約書その他の書面に次条第 1 項各号に定める事項が記載されているときは、当該書面をもって法第 29 条第 1 項の当該事項にされているときは、当該書面をもって法第 25 条第 1 項の当該事項に関する記録に代えることができる。

関する記録に代えることができる。

規則第 23 条（第 3 項）

規則第 16 条（第 3 項）

33

前項の規定にかかわらず、本人に対する物品又は役務の提供に関連

前項の規定にかかわらず、本人に対する物品又は役務の提供に関連

27（略）当該第三者から継続的に若しくは反復して個人データの提供

して第三者から当該本人に係る個人データの提供を受けた場合において、当該提供に関して作成された契約書その他の書面に次条第 1 項各て、当該提供に関して作成された契約書その他の書面に次条第 1 項各号に定める事項が記載されているときは、当該書面をもって法第 30号に定める事項が記載されているときは、当該書面をもって法第 26条第 3 項の当該事項に関する記録に代えることができる。

条第 3 項の当該事項に関する記録に代えることができる。

個人情報取扱事業者が、本人に対する物品又は役務の提供に係る契約

個人情報取扱事業者が、本人に対する物品又は役務の提供に係る契約を締結し、かかる契約の履行に伴って、契約の締結の相手方を本人とすを締結し、かかる契約の履行に伴って、契約の締結の相手方を本人とする個人データを当該個人情報取扱事業者から第三者に提供する場合は、

る個人データを当該個人情報取扱事業者から第三者に提供する場合は、当該提供の際に作成した契約書その他の書面をもって個人データの流通

当該提供の際に作成した契約書その他の書面をもって個人データの流通を追跡することが可能であることから、当該契約書その他の書面をもっを追跡することが可能であることから、当該契約書その他の書面をもって記録とすることができる。

て記録とすることができる。

なお、オプトアウトによる第三者提供については対象外である。

なお、オプトアウトによる第三者提供については対象外である。

本人別に記録を単体で作成する方法のほか、対象となる複数の本人の本人別に記録を単体で作成する方法のほか、対象となる複数の本人の記録を一体として作成することもできる。

記録を一体として作成することもできる。

仮に、規則第 19 条第 3 項又は規則第 23 条第 3 項の要件を充たさない

仮に、規則第 12 条第 3 項又は規則第 16 条第 3 項の要件を充たさない

書面、又はオプトアウトによる第三者提供の際に作成された書面等も、書面、又はオプトアウトによる第三者提供の際に作成された書面等も、記録事項が記載されていれば記録として認められるが、保存期間の違い

記録事項が記載されていれば記録として認められるが、保存期間の違いに留意する必要がある（「4-3 保存期間」参照）。

に留意する必要がある（「4-3 保存期間」参照）。

[（1）・（2）略][（1）・（2）同左]（3）「契約書その他の書面」（3）「契約書その他の書面」

本人と提供者との間で作成した契約書のみならず、提供者

本人と提供者との間で作成した契約書のみならず、提供者

28

して第三者から当該本人に係る個人データの提供を受けた場合においと受領者との間で作成した契約書も、含まれる。

と受領者との間で作成した契約書も、含まれる。

「契約書」の他にも、「その他の書面」には、個人情報取「契約書」の他にも、「その他の書面」には、個人情報取扱事業者の内部で作成された帳票、記録簿等も含まれる。
また、「契約書その他の書面」は電磁的記録を含むため

また、「契約書その他の書面」は電磁的記録を含むため（規則第 11 条第 3 項参照）、システム上の記録等も「契約書（規則第 7 条第 3 項参照）、システム上の記録等も「契約書その他の書面」に該当する。

その他の書面」に該当する。

4-1-3 [略]4-1-3 [同左]

4-2 記録事項

4-2 記録事項

4-2-1 提供者の記録事項（法第 29 条第 1 項関係）

4-2-1 提供者の記録事項（法第 25 条第 1 項関係）

法第 29 条（第 1 項）

法第 25 条（第 1 項）

[略]

[同左]

4-2-1-1 オプトアウトによる第三者提供をする場合（規則第 20 条第1 項第 1 号関係）

規則第 20 条（第 1 項）

4-2-1-1 オプトアウトによる第三者提供をする場合（規則第 13 条第1 項第 1 号関係）

規則第 13 条（第 1 項）

29

扱事業者の内部で作成された帳票、記録簿等も含まれる。

法第 29 条第 1 項の個人情報保護委員会規則で定める事項は、次の1

法第 25 条第 1 項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とす

各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とす

る。

る。

(1)

法第 27 条第 2 項の規定により個人データを第三者に提供した
場合 次のイからニまでに掲げる事項(1)

法第 23 条第 2 項の規定により個人データを第三者に提供した
場合 次のイからニまでに掲げる事項

イ [略]

イ

[同左]

ロ 当該第三者の氏名又は名称及び住所並びに法人にあっては、そロ

当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものの代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。第 28 条第 1 項第 3 号におにあっては、その代表者又は管理人。第 18 条の 4 第 1 項第 3 号

いて同じ。）の氏名（不特定かつ多数の者に対して提供したときにおいて同じ。）の氏名（不特定かつ多数の者に対して提供したは、その旨）

ときは、その旨）[ハ・二 略]

個人情報取扱事業者が、オプトアウトによる個人データの第三者提供[ハ・二 同左]

個人情報取扱事業者が、オプトアウトによる個人データの第三者提供を行う場合は、次の項目を記録しなければならない。

を行う場合は、次の項目を記録しなければならない。

（1）[略]（1）[同左]（2）「当該第三者の氏名又は名称及び住所並びに法人にあっては、その（2）「当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあ

代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。第 28 条第 1 項第 3 号において同っては、その代表者又は管理人。第 18 条の 4 第 1 項第 3 号においてじ。）の氏名（不特定かつ多数の者に対して提供したときは、その同じ。）の氏名（不特定かつ多数の者に対して提供したときは、そ

旨）」

の旨）」

30

1

[【不特定かつ多数の者に対して提供している事例】 略]

4-2-1-2 本人の同意による第三者提供をする場合（規則第 20 条第 1[（3）・（4）同左]

4-2-1-2 本人の同意による第三者提供をする場合（規則第 13 条第 1

項第 2 号関係）

項第 2 号関係）

規則第 20 条（第 1 項）

規則第 13 条（第 1 項）

1

1

法第 29 条第 1 項の個人情報保護委員会規則で定める事項は、次の法第 25 条第 1 項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とす

各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とす

る。

る。

(1)

[略]

(1)

[同左]

(2)

法第 27 条第 1 項又は法第 28 条第 1 項の規定により個人データ(2)

法第 23 条第 1 項又は法第 24 条第 1 項の規定により個人データを第三者に提供した場合 次のイ及びロに掲げる事項
イ

法第 27 条第 1 項又は法第 28 条第 1 項の本人の同意を得ているを第三者に提供した場合 次のイ及びロに掲げる事項
イ

旨ロ

法第 23 条第 1 項又は法第 24 条第 1 項の本人の同意を得ている

旨
[略]

[略]

（1）「法第 27 条第 1 項又は法第 28 条第 1 項の本人の同意を得ている

ロ

[同左]

[同左]

（1）「法第 23 条第 1 項又は法第 24 条第 1 項の本人の同意を得ている

31[（3）・（4）略][【不特定かつ多数の者に対して提供している事例】 同左]

旨」

旨」
[同左]

[（2）～（4）略］[（2）～（4）同左］［＜提供者の記録事項＞ 略］［＜提供者の記録事項＞ 同左］

4-2-2 受領者の記録事項（法第 30 条第 3 項関係）

4-2-2 受領者の記録事項（法第 26 条第 3 項関係）

法第 30 条（第 3 項）

法第 26 条（第 3 項）

[略]

[同左]

4-2-2-1 オプトアウトによる第三者提供を受ける場合（規則第 24 条

4-2-2-1 オプトアウトによる第三者提供を受ける場合（規則第 17 条

第 1 項第 1 号関係）

第 1 項第 1 号関係）

規則第 24 条（第 1 項）

規則第 17 条（第 1 項）

1

1

法第 30 条第 3 項の個人情報保護委員会規則で定める事項は、次の法第 26 条第 3 項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とす

各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とす

る。

る。

(1)

個人情報取扱事業者から法第 27 条第 2 項の規定による個人データの提供を受けた場合 次のイからホまでに掲げる事項(1)

個人情報取扱事業者から法第 23 条第 2 項の規定による個人データの提供を受けた場合 次のイからホまでに掲げる事項

32

[略]

イ

[略]

イ

[同左]

ロ

法第 30 条第 1 項各号に掲げる事項

ロ

法第 26 条第 1 項各号に掲げる事項[ハ・ニ 略][ハ・ニ 同左]

ホ

ホ

法第 27 条第 4 項の規定により公表されている旨

法第 23 条第 4 項の規定により公表されている旨

[略]

[同左]

（1）[略]（1）[同左]（2）「当該第三者の氏名又は名称及び住所並びに法人にあっては、その（2）「当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名」「法第 30 条第 1 項各号に掲げる事項」として、同項第 1 号の「法第 26 条第 1 項各号に掲げる事項」として、同項第 1 号の「当該第三者の氏名又は名称及び住所並びに法人にあっては、そ「当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名」を記録しなければならない。

の代表者の氏名」を記録しなければならない。

（3）「当該第三者による当該個人データの取得の経緯」（3）「当該第三者による当該個人データの取得の経緯」「法第 30 条第 1 項各号に掲げる事項」として、同項第 2 号の「当「法第 26 条第 1 項各号に掲げる事項」として、同項第 2 号の「当該第三者による当該個人データの取得の経緯」を記録しなければ該第三者による当該個人データの取得の経緯」を記録しなければ

ならない。

ならない。

「取得の経緯」の詳細については、「3-1-2

第三者による個人

データの取得の経緯」を参照のこと。

「取得の経緯」の詳細については、「3-1-2

第三者による個人

データの取得の経緯」を参照のこと。

具体的には、法第 30 条第 1 項に基づき確認した取得の経緯の具

具体的には、法第 26 条第 1 項に基づき確認した取得の経緯の体的内容を記録する方法のほか、確認を行った取得の経緯を示す

具体的内容を記録する方法のほか、確認を行った取得の経緯を示

33

代表者の氏名」す契約書その他の書面自体を保存するする方法等がある。

[（4）・（5）略］[（4）・（5）同左］（6）「個人情報保護委員会により公表されている旨」（6）「個人情報保護委員会により公表されている旨」

個人情報保護委員会により公表されていない個人情報取扱事業

個人情報保護委員会により公表されていない個人情報取扱事業者からオプトアウトにより個人データの提供を受けた場合は、不者からオプトアウトにより個人データの提供を受けた場合は、不正の手段による取得（法第 20 条第 1 項）に該当するおそれがあ正の手段による取得（法第 17 条第 1 項）に該当するおそれがある。

る。

4-2-2-2 本人の同意に基づき第三者提供を受ける場合（規則第 24 条

4-2-2-2 本人の同意に基づき第三者提供を受ける場合（規則第 17 条

第 1 項第 2 号関係）

第 1 項第 2 号関係）

規則第 24 条（第 1 項）

規則第 17 条（第 1 項）

1

1

法第 30 条第 3 項の個人情報保護委員会規則で定める事項は、次の法第 26 条第 3 項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とす

各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とす

る。

る。

(1)

[略]

(1)

[同左]

(2)

個人情報取扱事業者から法第 27 条第 1 項又は法第 28 条第 1 項(2)

個人情報取扱事業者から法第 23 条第 1 項又は法第 24 条第 1 項の規定による個人データの提供を受けた場合

次のイ及びロに掲の規定による個人データの提供を受けた場合げる事項
イ 法第 27 条第 1 項又は法第 28 条第 1 項の本人の同意を得ている

次のイ及びロに掲げる事項
イ

法第 23 条第 1 項又は法第 24 条第 1 項の本人の同意を得ている

34

契約書その他の書面自体を保存する方法等がある。

旨

旨

ロ

[略]

ロ

[同左]

(3)

[略]

(3)

[同左]

[略]

[同左]

（1）「法第 27 条第 1 項又は法第 28 条第 1 項の本人の同意を得ている（1）「法第 23 条第 1 項又は法第 24 条第 1 項の本人の同意を得ている

旨」

旨」
[同左]

[（2）～（5）略］[（2）～（5）同左］
35[略]

4-2-2-3 私人などから第三者提供を受ける場合（規則第 24 条第 1 項

4-2-2-3 私人などから第三者提供を受ける場合（規則第 17 条第 1 項

第 4 号関係）

第 3 号関係）

規則第 24 条（第 1 項）

規則第 17 条（第 1 項）

1

1

法第 30 条第 3 項の個人情報保護委員会規則で定める事項は、次の法第 26 条第 3 項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とす

各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。

る。

[(1)～(4)略］

個人情報取扱事業者が、他の個人情報取扱事業者又は法第 16 条第 2[(1)～(4)同左］

個人情報取扱事業者が、他の個人情報取扱事業者又は法第 2 条第 5 項

第三者が法第 16 条第 2 項各号に掲げる者

各号に掲げる者（「2-1-3 第三者が法第 2 条第 5 項各号に掲げる者でである場合」参照）以外の者から、個人データの提供を受ける場合ある場合」参照）以外の者から、個人データの提供を受ける場合は、は、次の項目を記録しなければならない。

次の項目を記録しなければならない。

[（1）～（4）略］[（1）～（4）同左］[＜受領者の記録事項＞ 略］[＜受領者の記録事項＞ 同左］

4-2-3 記録事項の省略（規則第 20 条第 2 項、第 24 条第 2 項関係）

4-2-3 記録事項の省略（規則第 13 条第 2 項、第 17 条第 2 項関係）

規則第 20 条（第 2 項）

規則第 13 条（第 2 項）

2

2

前項各号に定める事項のうち、既に前条に規定する方法により作成

前項各号に定める事項のうち、既に前条に規定する方法により作成した法第 29 条第 1 項の記録（当該記録を保存している場合におけるした法第 25 条第 1 項の記録（当該記録を保存している場合におけるものに限る。）に記録されている事項と内容が同一であるものについものに限る。）に記録されている事項と内容が同一であるものについては、法第 29 条第 1 項の当該事項の記録を省略することができる。

ては、法第 25 条第 1 項の当該事項の記録を省略することができる。

規則第 24 条（第 2 項）

規則第 17 条（第 2 項）

2

2

前項各号に定める事項のうち、既に前条に規定する方法により作成

前項各号に定める事項のうち、既に前条に規定する方法により作成した法第 30 条第 3 項の記録（当該記録を保存している場合におけるした法第 26 条第 3 項の記録（当該記録を保存している場合におけるものに限る。）に記録された事項と内容が同一であるものについてものに限る。）に記録された事項と内容が同一であるものについて

は、法第 30 条第 3 項の当該事項の記録を省略することができる。

は、法第 26 条第 3 項の当該事項の記録を省略することができる。

36

項各号に掲げる者（「2-1-3

平成 27 年改正法規則附則第 3 条[略]

平成 27 年改正法規則附則第 5 条[略]

平成 27 年改正法規則附則第 3 条[同左]

平成 27 年改正法規則附則第 5 条[同左]

令和 3 年改正法規則附則第 4 条
別表第二法人等（法別表第 2 に掲げる法人、法第 58 条第 2 項の規定により法第 16 条第 2 項に規定する個人情報取扱事業者、同条第 5 項に規定する仮名加工情報取扱事業者若しくは同条第 7 項に規定する個又は同条第 8 項に規定する学術研究機関等である同条第 2 項に規定する個人情報取扱事業者をいう。以下同じ。）において、新規則第 20
条第 1 項に規定する事項のうち、施行日前に新規則第 19 条に規定する方法に相当する方法で記録（当該記録を保存している場合におけるものに限る。）を作成しているものについては、新規則第 20 条第 2 項の規定を適用することができる。この場合において、同項中「前条に規定する方法」とあるのは「前条に規定する方法に相当する方法」と読み替えるものとする。

令和 3 年改正法規則附則第 6 条
別表第二法人等において、新規則第 24 条第 1 項（同項第 3 号を除く。）に規定する事項のうち、施行日前に新規則第 23 条に規定する

37

人関連情報取扱事業者とみなされる独立行政法人労働者健康安全機構

方法に相当する方法で記録（当該記録を保存している場合におけるものに限る。）を作成しているものについては、新規則第 24 条第 2 項を適用することができる。この場合において、同項中「前条に規定する方法」とあるのは「前条に規定する方法に相当する方法」と読み替えるものとする。

複数回にわたって同一「本人」の個人データの授受をする場合におい複数回にわたって同一「本人」の個人データの授受をする場合において、同一の内容である事項を重複して記録する必要はないことから、そて、同一の内容である事項を重複して記録する必要はないことから、その旨を明確にするものである。すなわち、既に「4の旨を明確にするものである。すなわち、既に「4記録義務」に規定する方法により作成した記録（現に保存している場合に限る。）に記録さる方法により作成した記録（現に保存している場合に限る。）に記録された事項と内容が同一であるものについては、当該事項の記録を省略すれた事項と内容が同一であるものについては、当該事項の記録を省略することができる。

ることができる。

平成 27 年改正法の施行日の前に上記に規定する方法に相当する方法で作成した記録及び令和 3 年改正法の施行日の前に別表第二法人等（3-2（既に確認を行った第三者に対する確認方法）参照）が上記に規定する方法に相当する方法で作成した記録についても同様とする。

平成 27 年改正法の施行日の前に上記に規定する方法に相当する方法で作成した記録についても同様とする。
記録事項の内容は同一でなければならないため、例えば、同一法人であっても、代表者が交代し、その後に記録を作成する場面では、改め

記録事項の内容は同一でなければならないため、例えば、同一法人で て、新代表者の氏名について記録をしなければならない。
あっても、代表者が交代し、その後に記録を作成する場面では、改めて、新代表者の氏名について記録をしなければならない。

なお、記録事項のうち、一部の事項の記録の作成を規則第 13 条第 2 項
又は規則第 17 条第 2 項に基づき省略し、残りの事項の記録のみを作成しなお、記録事項のうち、一部の事項の記録の作成を規則第 20 条第 2 項た場合、記録全体としての保存期間の起算点は、残りの事項を作成した

又は規則第 24 条第 2 項に基づき省略し、残りの事項の記録のみを作成し時点とする。保存期間については、「4-3 保存期間」を参照のこと。

た場合、記録全体としての保存期間の起算点は、残りの事項を作成した時点とする。保存期間については、「4-3 保存期間」を参照のこと。

38

記録義務」に規定す4-3 保存期間（法第 25 条第 2 項、第 26 条第 4 項関係）

法第 29 条（第 2 項）

法第 25 条（第 2 項）

[略]

[同左]

規則第 21 条

規則第 14 条

法第 29 条第 2 項の個人情報保護委員会規則で定める期間は、次の法第 25 条第 2 項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間と各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間と

する。

する。

(1)

(2)

第 19 条第 3 項に規定する方法により記録を作成した場合 最(1)後に当該記録に係る個人データの提供を行った日から起算して 1

後に当該記録に係る個人データの提供を行った日から起算して 1

年を経過する日までの間年を経過する日までの間

第 19 条第 2 項ただし書に規定する方法により記録を作成した
場合(2)

最後に当該記録に係る個人データの提供を行った日から起[略]

第 12 条第 2 項ただし書に規定する方法により記録を作成した
場合

算して 3 年を経過する日までの間(3)

第 12 条第 3 項に規定する方法により記録を作成した場合 最最後に当該記録に係る個人データの提供を行った日から起算して 3 年を経過する日までの間
(3)

[同左]

法第 30 条（第 4 項）

法第 26 条（第 4 項）

[略]

[同左]

規則第 25 条

規則第 18 条

39

4-3 保存期間（法第 29 条第 2 項、第 30 条第 4 項関係）

法第 30 条第 4 項の個人情報保護委員会規則で定める期間は、次の法第 26 条第 4 項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間と各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間と

する。

する。
第 23 条第 3 項に規定する方法により記録を作成した場合 最(1)後に当該記録に係る個人データの提供を受けた日から起算して 1

後に当該記録に係る個人データの提供を受けた日から起算して 1

年を経過する日までの間年を経過する日までの間(2)

第 23 条第 2 項ただし書に規定する方法により記録を作成した
場合(2)

最後に当該記録に係る個人データの提供を受けた日から起(3)

第 16 条第 2 項ただし書に規定する方法により記録を作成した
場合

算して 3 年を経過する日までの間最後に当該記録に係る個人データの提供を受けた日から起算して 3 年を経過する日までの間

[略]

(3)

[略]

5

第 16 条第 3 項に規定する方法により記録を作成した場合 最

[同左]

[同左]

法第 31 条第 1 項の規定による個人関連情報の提供を受けて個人デー

5

法第 26 条の 2 第 1 項の規定による個人関連情報の提供を受けて個人タとして取得する場合

データとして取得する場合

個人情報取扱事業者は、法第 31 条第 1 項の規定による個人関連情報の個人情報取扱事業者は、法第 26 条の 2 第 1 項の規定による個人関連情提供を受けて個人データとして取得する場合（法第 27 条第 1 項各号に掲 報の提供を受けて個人データとして取得する場合（法第 23 条第 1 項各号
げる場合を除く。）は、法第 30 条第 1 項及び第 3 項の確認・記録義務のに掲げる場合を除く。）は、法第 26 条第 1 項及び第 3 項の確認・記録義適用を受ける。かかる確認・記録義務については、通則ガイドライン 務の適用を受ける。かかる確認・記録義務については、通則ガイドライ「3-7-5

提供先の第三者における確認義務」「3-7-6

における記録義務」を参照のこと。

提供先の第三者 ン「3-7-6 提供先の第三者における確認義務」「3-7-7 提供先の第三者における記録義務」を参照のこと。

40

(1)

【付録】

[○衆議院内閣委員会における附帯決議（平成 27 年 5 月 20 日）・○参議[○衆議院内閣委員会における附帯決議（平成 27 年 5 月 20 日）・○参議

院内閣委員会における附帯決議（平成 27 年 8 月 27 日） 略]

院内閣委員会における附帯決議（平成 27 年 8 月 27 日） 同左]＜確認・記録義務の全体図＞＜確認・記録義務の全体図＞

41

【付録】

際して』
」
）

際して』
」
）

（「4-1-2-3

契約書等の代替手段による方法」）

代替手段による

契約書等の本人が関与した契約等に基づく第三者提供か。
（「4-1-2-3

契約書等の代替手段による方法」）

代替手段による

記録の作成

反復継続した第三者提供か。
（「4-1-2-2「4-2-1-2「4-2-2-2

本人の同意による第三者提供をする場合」
本人の同意に基づき第三者提供を受ける場合」

反復継続した第三者提供か。

一括した

一括して記録を作成する方法」）

本人同意に基づく第三者提供か。

記録の作成

記録の作成

（「4-1-2-2

本人の同意に基づく第三者提供の場合は、簡易な記録事項

本人同意に基づく第三者提供か。
「4-2-1-2

本人の同意による第三者提供をする場合」「4-2-2-2

本人の同意に基づき第三者提供を受ける場合」

YES
原則どおりの確認・記録義務が適用。

記録の作成

本人の同意に基づく第三者提供の場合は、簡易な記録事項

YES
原則どおりの確認・記録義務が適用。

NO

備考 表中の[ ]の記載は注記である。

一括した

一括して記録を作成する方法」
）

NO

42

契約書等の

本人が関与した契約等に基づく第三者提供か。