個人情報の保護に関する法律についてのガイドライン（通則編）（平成 28 年個人情報保護委員会告示第 6 号）の一部改正の新旧対照表○平成 28 年個人情報保護委員会告示第 6 号（個人情報の保護に関する法律についてのガイドライン（通則編））
・改正前欄に掲げる規定の傍線を付し又は破線で囲んだ部分をこれに順次対応する改正後欄に掲げる規定の傍線を付し又は破線で囲んだ部分のように改める。
・改正後欄に掲げる対象規定で改正前欄にこれに対応するものを掲げていないものは、これを加える。

改正後

改正前

個人情報の保護に関する法律についてのガイドライン

個人情報の保護に関する法律についてのガイドライン

（通則編）

（通則編）

目次

目次

[1～5 同左]

6

適用の特例（法第 58 条・第 125 条関係）

6

適用の特例（法第 58 条・第 123 条関係）

7

[略]

7

[同左]

8

域外適用（法第 171 条関係）

8

域外適用（法第 166 条関係）

1

[1～5 略][9・10 及び【付録】 略][9・10 及び【付録】 同左]

【凡例】

【凡例】

「法」

個人情報の保護に関する法律（平成 15 年法律第 57 号）「法」

個人情報の保護に関する法律（平成 15 年法律第 57 号）「政令」

個人情報の保護に関する法律施行令（平成 15 年政令第「政令」

個人情報の保護に関する法律施行令（平成 15 年政令第507 号）

507 号）「規則」

個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第 3 号）

「規則」

個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第 3 号）

「平成 27 年改正法」「令和 2 年改正法」

個人情報の保護に関する法律及び行政手続にお「平成 27 年改正法」

ける特定の個人を識別するための番号の利用等

ける特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律（平成 27 年に関する法律の一部を改正する法律（平成 27 年

法律第 65 号）

法律第 65 号）

個人情報の保護に関する法律等の一部を改正す「令和 2 年改正法」

る法律（令和 2 年法律第 44 号）「令和 3 年改正法」

個人情報の保護に関する法律及び行政手続にお個人情報の保護に関する法律等の一部を改正する法律（令和 2 年法律第 44 号）

デジタル社会の形成を図るための関係法律の整「令和 3 年改正法」

備に関する法律（令和 3 年法律第 37 号）

デジタル社会の形成を図るための関係法律の整備に関する法律（令和 3 年法律第 37 号）（第50 条の規定に限る。）※ なお、特に断りのない限り、本ガイドラインにおいて示す個人情報の保護に関する法律の条番号は、令和 3 年改正法による改正後の条番の保護に関する法律の条番号は、令和 3 年改正法による改正後の条番

号を示すものとする。

号を示すものとする。

2※ なお、特に断りのない限り、本ガイドラインにおいて示す個人情報その他の法令に係る条文は、本ガイドラインの公表日（令和 4 年

その他の法令に係る条文は、本ガイドラインの公表日（令和 3 年

9 月 8 日）時点の条番号を示すものとする。

1

目的及び適用対象

10 月 29 日）時点の条番号を示すものとする。

1

目的及び適用対象

1-1 目的1-1 目的本ガイドラインは、事業者が個人情報の適正な取扱いの確保に関して行

本ガイドラインは、事業者が個人情報の適正な取扱いの確保に関して行う活動を支援すること、及び当該支援により事業者が講ずる措置が適切かう活動を支援すること、及び当該支援により事業者が講ずる措置が適切かつ有効に実施されることを目的として、法第 4 条、第 9 条及び第 131 条に つ有効に実施されることを目的として、個人情報の保護に関する法律（平基づき具体的な指針として定めるものである。

成 15 年法律第 57 号。以下「法」という。）第 4 条、第 9 条及び第 128 条

[略]

[同左]

（参考）

（参考）

[法第 1 条・法第 3 条 略]

[法第 1 条・法第 3 条 同左]

法第 4 条

法第 4 条国は、この法律の趣旨にのっとり、国の機関、地方公共団体の機国は、この法律の趣旨にのっとり、国の機関、独立行政法人等及び関、独立行政法人等、地方独立行政法人及び事業者等による個人情報

事業者等による個人情報の適正な取扱いを確保するために必要な施策の適正な取扱いを確保するために必要な施策を総合的に策定し、及びを総合的に策定し、及びこれを実施する責務を有する。

これを実施する責務を有する。

法第 9 条

法第 9 条国は、地方公共団体が策定し、又は実施する個人情報の保護に関す国は、地方公共団体が策定し、又は実施する個人情報の保護に関する施策及び国民又は事業者等が個人情報の適正な取扱いの確保に関しる施策及び国民又は事業者等が個人情報の適正な取扱いの確保に関して行う活動を支援するため、情報の提供、地方公共団体又は事業者等て行う活動を支援するため、情報の提供、事業者等が講ずべき措置のが講ずべき措置の適切かつ有効な実施を図るための指針の策定その他

適切かつ有効な実施を図るための指針の策定その他の必要な措置を講の必要な措置を講ずるものとする。

ずるものとする。

[法第 47 条・法第 54 条（第 4 項） 略][法第 47 条・法第 54 条（第 4 項） 同左]

3に基づき具体的な指針として定めるものである。

委員会は、行政機関等の事務及び事業の適正かつ円滑な運営を図委員会は、行政機関等の事務及び事業の適正かつ円滑な運営を図り、並びに個人情報の適正かつ効果的な活用が新たな産業の創出並びり、並びに個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであるこに活力ある経済社会及び豊かな国民生活の実現に資するものであることその他の個人情報の有用性に配慮しつつ、個人の権利利益を保護すとその他の個人情報の有用性に配慮しつつ、個人の権利利益を保護するため、個人情報の適正な取扱いの確保を図ること（個人番号利用事るため、個人情報の適正な取扱いの確保を図ること（個人番号利用事

務等実施者（行政手続における特定の個人を識別するための番号の利

務等実施者（行政手続における特定の個人を識別するための番号の利用等に関する法律（平成 25 年法律第 27 号。以下「番号利用法」とい用等に関する法律（平成 25 年法律第 27 号。以下「番号利用法」という。）第 12 条に規定する個人番号利用事務等実施者をいう。）に対すう。）第 12 条に規定する個人番号利用事務等実施者をいう。）に対する指導及び助言その他の措置を講ずることを含む。）を任務とする。

る指導及び助言その他の措置を講ずることを含む。）を任務とする。

1-2

2

法第 128 条

[略]

定義

2-1

[略]

1-2

2

[同左]

定義

2-1

[同左]

2-2 個人識別符号（法第 2 条第 2 項関係）

2-2 個人識別符号（法第 2 条第 2 項関係）[（関係条文） 略][（関係条文） 同左]「個人識別符号」とは、当該情報単体から特定の個人を識別できるもの「個人識別符号」とは、当該情報単体から特定の個人を識別できるもの

として政令に定められた文字、番号、記号その他の符号をいい、これに該として個人情報の保護に関する法律施行令（平成 15 年政令第 507 号。以下

4

法第 131 条

当するものが含まれる情報は個人情報となる（2-1（個人情報）参照）「政令」という。） に定められた文字、番号、記号その他の符号をいい、（※）。

これに該当するものが含まれる情報は個人情報となる（2-1（個人情報）参照）（※）。

具体的な内容は、政令第 1 条及び規則第 2 条から第 4 条までに定めるとおりである。

具体的な内容は、政令第 1 条及び個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第 3 号。以下「規則」という。）第 2条から第 4 条までに定めるとおりである。

政令第 1 条第 1 号においては、同号イからトまでに掲げる身体の特徴の

政令第 1 条第 1 号においては、同号イからトまでに掲げる身体の特徴のいずれかを電子計算機の用に供するために変換した文字、番号、記号そのいずれかを電子計算機の用に供するために変換した文字、番号、記号その他の符号のうち、「特定の個人を識別するに足りるものとして個人情報保他の符号のうち、「特定の個人を識別するに足りるものとして個人情報保

護委員会規則で定める基準に適合するもの」が個人識別符号に該当すると

護委員会規則で定める基準に適合するもの」が個人識別符号に該当するとされている。当該基準は規則第 2 条において定められているところ、この されている。当該基準は規則第 2 条において定められているところ、この基準に適合し、個人識別符号に該当することとなるものは次のとおりであ

る。

る。

5

基準に適合し、個人識別符号に該当することとなるものは次のとおりであ[イ～チ 略]（※）[略][イ～チ 同左]（※）[同左][2-3・2-4 略][2-3・2-4 同左]

2-5 個人情報取扱事業者（法第 16 条第 2 項・法第 2 条第 9 項、第 10 項、

2-5 個人情報取扱事業者（法第 16 条第 2 項・法第 2 条第 9 項、第 10 項、第 11 項・法別表第 2 関係）

第 11 項・法別表第 2 関係）

[法第 16 条（第 2 項）・法第 2 条（第 9 項）・法第 2 条（第 10 項） 略][法第 16 条（第 2 項）・法第 2 条（第 9 項）・法第 2 条（第 10 項） 同
左]法第 2 条（第 11 項）

法第 2 条（第 11 項）

1111

この法律において「行政機関等」とは、次に掲げる機関をいう。

この法律において「行政機関等」とは、次に掲げる機関をいう。

(1)

行政機関

(1)

行政機関

(2)

地方公共団体の機関（議会を除く。次章、第 3 章及び第 69 条第(2)

独立行政法人等（別表第 2 に掲げる法人を除く。第 16 条第 2 項

2 項第 3 号を除き、以下同じ。）(3)

第 3 号、第 63 条、第 78 条第 7 号イ及びロ、第 89 条第 3 項から第独立行政法人等（別表第 2 に掲げる法人を除く。第 16 条第 2 項
第 3 号、第 63 条、第 78 条第 1 項第 7 号イ及びロ、第 89 条第 4 項

5 項まで、第 117 条第 3 項から第 5 項まで並びに第 123 条第 2 項において同じ。）

から第 6 項まで、第 119 条第 5 項から第 7 項まで並びに第 125 条(4)6

第 2 項において同じ。）
地方独立行政法人（地方独立行政法人法第 21 条第 1 号に掲げる業務を主たる目的とするもの又は同条第 2 号若しくは第 3 号（チに係る部分に限る。）に掲げる業務を目的とするものを除く。第16 条第 2 項第 4 号、第 63 条、第 78 条第 1 項第 7 号イ及びロ、第89 条第 7 項から第 9 項まで、第 119 条第 8 項から第 10 項まで並びに第 125 条第 2 項において同じ。）

法別表第 2
名

法別表第 2
称

根

拠 法

名

称

根

拠 法

沖縄科学技術大学院大学学園

沖縄科学技術大学院大学学園法

沖縄科学技術大学院大学学園

沖縄科学技術大学院大学学園法

国立研究開発法人

独立行政法人通則法

国立研究開発法人

独立行政法人通則法

国立大学法人

国立大学法人法

国立大学法人

国立大学法人法

大学共同利用機関法人

国立大学法人法

大学共同利用機関法人

国立大学法人法

独立行政法人国立病院機構

独立行政法人国立病院機構法（平成 14独立行政法人国立病院機構

独立行政法人国立病院機構法（平成 14年法律第 191 号）

年法律第 191 号）

独立行政法人地域医療機能推独立行政法人地域医療機能推進機構法

独立行政法人地域医療機能推独立行政法人地域医療機能推進機構法進機構（平成 17 年法律第 71 号）

進機構（平成 17 年法律第 71 号）

福島国際研究教育機構

福島復興再生特別措置法

放送大学学園放送大学学園法

放送大学学園放送大学学園法「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供独立行政法人等（別表第 2 に掲げる法人を除く。）及び法第 2 条第 10 項に 独立行政法人等（別表第 2 に掲げる法人を除く。）及び法第 2 条第 10 項に規定する地方独立行政法人（地方独立行政法人法第 21 条第 1 号に掲げる業 規定する地方独立行政法人を除いた者をいう。
務を主たる目的とするもの又は同条第 2 号若しくは第 3 号（チに係る部分

ここでいう「事業の用に供している」の「事業」とは、一定の目的をもに限る。）に掲げる業務を目的とするものを除く。）を除いた者をいう。

って反復継続して遂行される同種の行為であって、かつ社会通念上事業とここでいう「事業の用に供している」の「事業」とは、一定の目的をも 認められるものをいい、営利・非営利の別は問わない。
って反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。

また、個人情報データベース等を事業の用に供している者であれば、当該個人情報データベース等を構成する個人情報によって識別される特定のまた、個人情報データベース等を事業の用に供している者であれば、当 個人の数の多寡にかかわらず、個人情報取扱事業者に該当する。
該個人情報データベース等を構成する個人情報によって識別される特定の個人の数の多寡にかかわらず、個人情報取扱事業者に該当する。

なお、法人格のない、権利能力のない社団（任意団体）又は個人であっても、個人情報データベース等を事業の用に供している場合は個人情報取なお、法人格のない、権利能力のない社団（任意団体）又は個人であっ 扱事業者に該当する。
ても、個人情報データベース等を事業の用に供している場合は個人情報取7

している者のうち、国の機関、地方公共団体、法第 2 条第 9 項に規定する している者のうち、国の機関、地方公共団体、法第 2 条第 9 項に規定する

扱事業者に該当する。

[2-6～2-8 略][2-6～2-8 同左]

2-9 個人関連情報取扱事業者（法第 16 条第 7 項関係）

2-9 個人関連情報取扱事業者（法第 16 条第 7 項関係）[（関係条文） 略][（関係条文） 同左]「個人関連情報取扱事業者」とは、個人関連情報データベース等を事業の用に供している者のうち、国の機関、地方公共団体、法第 2 条第 9 項にの用に供している者のうち、国の機関、地方公共団体、法第 2 条第 9 項に規定する独立行政法人等（別表第 2 に掲げる法人を除く。）及び法第 2 条

規定する独立行政法人等（別表第 2 に掲げる法人を除く。）及び法第 2 条

第 10 項に規定する地方独立行政法人（地方独立行政法人法第 21 条第 1 号

第 10 項に規定する地方独立行政法人を除いた者をいう。
8「個人関連情報取扱事業者」とは、個人関連情報データベース等を事業に掲げる業務を主たる目的とするもの又は同条第 2 号若しくは第 3 号（チに係る部分に限る。）に掲げる業務を目的とするものを除く。）を除いた
者をいう。

[略]

[同左]

[2-10～2-17 略][2-10～2-17 同左]

2-18 学術研究機関等（法第 16 条第 8 項関係）

2-18 学術研究機関等（法第 16 条第 8 項関係）[（関係条文） 略][（関係条文） 同左]

「学術研究機関等（※1）」とは、大学その他の学術研究（※2）を目的とする機関若しくは団体又はそれらに属する者をいう。

「学術研究機関等（※1）」とは、大学その他の学術研究（※2）を目的とする機関若しくは団体又はそれらに属する者をいう。

「大学その他の学術研究を目的とする機関若しくは団体」とは、国公「大学その他の学術研究を目的とする機関若しくは団体」とは、国立・立・私立大学、公益法人等の研究所等の学術研究を主たる目的として活動

私立大学、公益法人等の研究所等の学術研究を主たる目的として活動するする機関や「学会」をいい、「それらに属する者」とは、国公立・私立大機関や「学会」をいい、「それらに属する者」とは、国立・私立大学の教学の教員、公益法人等の研究所の研究員、学会の会員等をいう。

員、公益法人等の研究所の研究員、学会の会員等をいう。

なお、民間団体付属の研究機関等における研究活動についても、当該機

なお、民間団体付属の研究機関等における研究活動についても、当該機関が学術研究を主たる目的とするものである場合には、「学術研究機関 関が学術研究を主たる目的とするものである場合には、「学術研究機関等」に該当する。

等」に該当する。
一方で、当該機関が単に製品開発を目的としている場合は「学術研究を目的とする機関又は団体」には該当しないが、製品開発と学術研究の目的目的とする機関又は団体」には該当しないが、製品開発と学術研究の目的が併存している場合には、主たる目的により判断する。

が併存している場合には、主たる目的により判断する。

9

一方で、当該機関が単に製品開発を目的としている場合は「学術研究を（※1）国公立の大学等、法別表第 2 に掲げる法人又は地方独立行政（※1）国立の大学等、法別表第 2 に掲げる法人のうち、学術研究機法人のうち地方独立行政法人法第 21 条第 1 号に掲げる業務を主関等にも該当するものについては、原則として私立の大学、民たる目的とするもの若しくは同条第 2 号若しくは第 3 号（チに間の学術研究機関等と同等の規律が適用される。

係る部分に限る。）に掲げる業務を目的とするもののうち、学術研究機関等にも該当するものについては、原則として私立の大学、民間の学術研究機関等と同等の規律が適用される。
（※2）[略]2-19 [略]（※2）[同左]

2-19 [同左]個人情報取扱事業者等の義務

3

個人情報取扱事業者等の義務

3-1 個人情報の利用目的（法第 17 条・第 18 条、第 21 条第 3 項関係）

3-1 個人情報の利用目的（法第 17 条・第 18 条、第 21 条第 3 項関係）

[3-1-1・3-1-2 略][3-1-1・3-1-2 同左]

3-1-3 利用目的による制限（法第 18 条第 1 項関係）

3-1-3 利用目的による制限（法第 18 条第 1 項関係）[（関係条文） 略][（関係条文） 同左]

個人情報取扱事業者は、法第 17 条第 1 項により特定した利用目的の達成

個人情報取扱事業者は、法第 17 条第 1 項により特定した利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合は、あらかじめ本人の同に必要な範囲を超えて、個人情報を取り扱う場合は、あらかじめ本人の同意（※）を得なければならない。

意（※）を得なければならない。

ただし、当該同意を得るために個人情報を利用すること（メールの送信

ただし、当該同意を得るために個人情報を利用すること（メールの送信や電話をかけること等）は、当初特定した利用目的として記載されていなや電話をかけること等）は、当初特定した利用目的として記載されていない場合でも、目的外利用には該当しない。

い場合でも、目的外利用には該当しない。

なお、令和 3 年改正法第 50 条の規定の施行日（令和 4 年 4 月 1 日）前に

なお、令和 3 年改正法の施行日前に別表第二法人等（法別表第 2 に掲げ

別表第二法人等（法別表第 2 に掲げる法人、法第 58 条第 2 項の規定により る法人、法第 58 条第 2 項の規定により個人情報取扱事業者、仮名加工情報
個人情報取扱事業者、仮名加工情報取扱事業者若しくは個人関連情報取扱取扱事業者若しくは個人関連情報取扱事業者とみなされる独立行政法人労事業者とみなされる独立行政法人労働者健康安全機構又は学術研究機関等

働者健康安全機構又は学術研究機関等である個人情報取扱事業者をいう。

である個人情報取扱事業者をいう。以下同じ。）に対しされた本人の個人

以下同じ。）に対しされた本人の個人情報の取扱いに関する同意がある場

10

3

情報の取扱いに関する同意がある場合において、その同意が法第 17 条第 1 合において、その同意が法第 17 条第 1 項の規定により特定される利用目的
項の規定により特定される利用目的以外の目的で個人情報を取り扱うこと以外の目的で個人情報を取り扱うことを認める旨の同意に相当するものでを認める旨の同意に相当するものであるときは、令和 3 年改正法第 50 条の あるときは、令和 3 年改正法の施行日において法第 18 条第 1 項の同意があ
規定の施行日（令和 4 年 4 月 1 日）において法第 18 条第 1 項の同意があっったものとみなす（令和 3 年改正法附則第 7 条第 1 項）。

たものとみなす（令和 3 年改正法附則第 7 条第 1 項）。
また、令和 3 年改正法第 51 条の規定の施行日（令和 5 年 4 月 1 日）前に
特定地方独立行政法人等（法第 58 条第 1 項第 2 号に掲げる者又は同条第 2項の規定により個人情報取扱事業者、仮名加工情報取扱事業者若しくは個
人関連情報取扱事業者とみなされる法第 58 条第 2 項第 1 号に掲げる者をいう。以下同じ。）に対しされた本人の個人情報の取扱いに関する同意がある場合において、その同意が法第 17 条第 1 項の規定により特定される利用
11

目的以外の目的で個人情報を取り扱うことを認める旨の同意に相当するものであるときは、令和 3 年改正法第 51 条の規定の施行日（令和 5 年 4 月 1日）において法第 18 条第 1 項の同意があったものとみなす（令和 3 年改正
法附則第 9 条第 1 項）。

（※）[略]

3-1-4 事業の承継（法第 18 条第 2 項関係）[（関係条文） 略]

個人情報取扱事業者が、合併、分社化、事業譲渡等により他の個人情報（※）[同左]3-1-4 事業の承継（法第 18 条第 2 項関係）[（関係条文） 同左]

個人情報取扱事業者が、合併、分社化、事業譲渡等により他の個人情報

取扱事業者から事業の承継をすることに伴って個人情報を取得した場合で取扱事業者から事業の承継をすることに伴って個人情報を取得した場合であって、当該個人情報に係る承継前の利用目的の達成に必要な範囲内で取あって、当該個人情報に係る承継前の利用目的の達成に必要な範囲内で取り扱う場合は目的外利用にはならず、本人の同意（※）を得る必要はな り扱う場合は目的外利用にはならず、本人の同意（※）を得る必要はな
い。

い。

なお、事業の承継後に、承継前の利用目的の達成に必要な範囲を超え

なお、事業の承継後に、承継前の利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合は、あらかじめ本人の同意を得る必要があるて、個人情報を取り扱う場合は、あらかじめ本人の同意を得る必要があるが、当該同意を得るために個人情報を利用すること（メールの送信や電話が、当該同意を得るために個人情報を利用すること（メールの送信や電話をかけること等）は、承継前の利用目的として記載されていない場合で をかけること等）は、承継前の利用目的として記載されていない場合でなお、令和 3 年改正法第 50 条の規定の施行日（令和 4 年 4 月 1 日）前にも、目的外利用には該当しない。

なお、令和 3 年改正法の施行日前に別表第二法人等（3-1-3（利用目的に

別表第二法人等（3-1-3（利用目的による制限）参照）に対しされた本人の よる制限）参照）に対しされた本人の個人情報の取扱いに関する同意があ
個人情報の取扱いに関する同意がある場合において、その同意が法第 17 条 る場合において、その同意が法第 17 条第 1 項の規定により特定される利用
第 1 項の規定により特定される利用目的以外の目的で個人情報を取り扱う

目的以外の目的で個人情報を取り扱うことを認める旨の同意に相当するもことを認める旨の同意に相当するものであるときは、令和 3 年改正法第 50 のであるときは、令和 3 年改正法の施行日において法第 18 条第 2 項の同意条の規定の施行日（令和 4 年 4 月 1 日）において法第 18 条第 2 項の同意が があったものとみなす（令和 3 年改正法附則第 7 条第 1 項）。
あったものとみなす（令和 3 年改正法附則第 7 条第 1 項）。
また、令和 3 年改正法第 51 条の規定の施行日（令和 5 年 4 月 1 日）前に
特定地方独立行政法人等（3-1-3（利用目的による制限）参照）に対しされた本人の個人情報の取扱いに関する同意がある場合において、その同意が
法第 17 条第 1 項の規定により特定される利用目的以外の目的で個人情報を取り扱うことを認める旨の同意に相当するものであるときは、令和 3 年改正法第 51 条の規定の施行日（令和 5 年 4 月 1 日）において法第 18 条第 2 項

12も、目的外利用には該当しない。

の同意があったものとみなす（令和 3 年改正法附則第 9 条第 1 項）。

（※）[略]（※）[同左]3-1-5 利用目的による制限の例外（法第 18 条第 3 項関係）

3-1-5 利用目的による制限の例外（法第 18 条第 3 項関係）

法第 18 条（第 3 項）

法第 18 条（第 3 項）

3

3

前二項の規定は、次に掲げる場合については、適用しない。
(1)

法令（条例を含む。以下この章において同じ。）に基づく場合

前二項の規定は、次に掲げる場合については、適用しない。
(1)

法令に基づく場合[(2)～(6) 同左]

[略]

[同左]

3-2

3-2

13

[(2)～(6) 略]

[略]

[同左]

3-3 個人情報の取得（法第 20 条・第 21 条関係）

3-3 個人情報の取得（法第 20 条・第 21 条関係）

3-3-1 適正取得（法第 20 条第 1 項関係）

3-3-1 適正取得（法第 20 条第 1 項関係）[（関係条文） 略][略]【個人情報取扱事業者が不正の手段により個人情報を取得している事例】[（関係条文） 同左][同左]【個人情報取扱事業者が不正の手段により個人情報を取得している事例】

[事例 1）～事例 6） 同左]（※1）[略]（※1）[同左]（※2）個人情報取扱事業者若しくはその従業者又はこれらであった（※2）個人情報取扱事業者若しくはその従業者又はこれらであった者が、その業務に関して取り扱った個人情報データベース等者が、その業務に関して取り扱った個人情報データベース等（その全部又は一部を複製し、又は加工したものを含む。）を（その全部又は一部を複製し、又は加工したものを含む。）を

自己若しくは第三者の不正な利益を図る目的で提供し、又は盗自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、法第 179 条により刑事罰（1 年以下の懲役又は 50

用したときは、法第 174 条により刑事罰（1 年以下の懲役又は 50万円以下の罰金）が科され得る。

万円以下の罰金）が科され得る。

[3-3-2～3-3-5 略][3-3-2～3-3-5 同左]

3-4

3-4

[略]

[同左]

3-5 個人データの漏えい等の報告等（法第 26 条関係）

3-5 個人データの漏えい等の報告等（法第 26 条関係）

[3-5-1 ・3-5-2 略][3-5-1 ・3-5-2 同左]

3-5-3 個人情報保護委員会への報告（法第 26 条第 1 項関係）

3-5-3 個人情報保護委員会への報告（法第 26 条第 1 項関係）

[3-5-3-1・3-5-3-2 略][3-5-3-1・3-5-3-2 同左]

14[事例 1）～事例 6） 略]

3-5-3-3 速報（規則第 8 条第 1 項関係）[（関係条文） 略]

個人情報取扱事業者は、報告対象事態を知ったときは、速やかに、個人

3-5-3-3 速報（規則第 8 条第 1 項関係）[（関係条文） 同左]

個人情報取扱事業者は、報告対象事態を知ったときは、速やかに、個人

条第 1 項の規定により報告を受理する権限を事業所管大臣に委任している条第 1 項の規定により報告を受理する権限を事業所管大臣に委任している場合には、当該事業所管大臣に報告する。事業所管大臣に報告する場合、場合には、当該事業所管大臣に報告する。事業所管大臣に報告する場合、報告期限は個人情報保護委員会に報告する場合と同様である。

報告期限は個人情報保護委員会に報告する場合と同様である。

報告期限の起算点となる「知った」時点については、個別の事案ごとに報告期限の起算点となる「知った」時点については、個別の事案ごとに判断されるが、個人情報取扱事業者が法人である場合には、いずれかの部判断されるが、個人情報取扱事業者が法人である場合には、いずれかの部

署が当該事態を知った時点を基準とする。「速やか」の日数の目安につい署が当該事態を知った時点を基準とする。「速やか」の日数の目安については、個別の事案によるものの、個人情報取扱事業者が当該事態を知ったては、個別の事案によるものの、個人情報取扱事業者が当該事態を知った

時点から概ね 3～5 日以内である。

時点から概ね 3～5 日以内である。

個人情報保護委員会への漏えい等報告については、次の（1）から（9）個人情報保護委員会への漏えい等報告については、次の（1）から（9）までに掲げる事項を、原則として、個人情報保護委員会のホームページのまでに掲げる事項を、原則として、個人情報保護委員会のホームページの報告フォームに入力する方法により行う。速報時点での報告内容について報告フォームに入力する方法により行う。速報時点での報告内容について

は、報告をしようとする時点において把握している内容を報告すれば足りは、報告をしようとする時点において把握している内容を報告すれば足りる。

る。

[(1)～(9) 略][(1)～(9) 同左]

3-5-3-4 確報（規則第 8 条第 2 項関係）

3-5-3-4 確報（規則第 8 条第 2 項関係）

15

情報保護委員会に報告しなければならない。個人情報保護委員会が法第 150 情報保護委員会に報告しなければならない。個人情報保護委員会が法第 147

[（関係条文） 略][（関係条文） 同左]

個人情報取扱事業者は、報告対象事態を知ったときは、速報に加え（※

個人情報取扱事業者は、報告対象事態を知ったときは、速報に加え（※1）、30 日以内（規則第 7 条第 3 号の事態においては 60 日以内。同号の事

1）、30 日以内（規則第 7 条第 3 号の事態においては 60 日以内。同号の事態に加え、同条第 1 号、第 2 号又は第 4 号の事態にも該当する場合も 60 日

態に加え、同条第 1 号、第 2 号又は第 4 号の事態にも該当する場合も 60 日以内。）に個人情報保護委員会（個人情報保護委員会が法第 150 条第 1 項 以内。）に個人情報保護委員会（個人情報保護委員会が法第 147 条第 1 項の規定により報告を受理する権限を事業所管大臣に委任している場合にの規定により報告を受理する権限を事業所管大臣に委任している場合に内は報告期限であり、可能である場合には、より早期に報告することが望内は報告期限であり、可能である場合には、より早期に報告することが望

ましい。

ましい。

報告期限の起算点となる「知った」時点については、速報と同様に、個報告期限の起算点となる「知った」時点については、速報と同様に、個人情報取扱事業者が法人である場合には、いずれかの部署が当該事態を知人情報取扱事業者が法人である場合には、いずれかの部署が当該事態を知った時点を基準とし、確報の報告期限の算定（※2）に当たっては、その時った時点を基準とし、確報の報告期限の算定（※2）に当たっては、その時点を 1 日目とする。

点を 1 日目とする。

確報においては、3-5-3-3（1）から（9）までに掲げる事項の全てを報告

確報においては、3-5-3-3（1）から（9）までに掲げる事項の全てを報告しなければならない。確報を行う時点（報告対象事態を知った日から 30 日 しなければならない。確報を行う時点（報告対象事態を知った日から 30 日以内又は 60 日以内）において、合理的努力を尽くした上で、一部の事項が 以内又は 60 日以内）において、合理的努力を尽くした上で、一部の事項が判明しておらず、全ての事項を報告することができない場合には、その時判明しておらず、全ての事項を報告することができない場合には、その時点で把握している内容を報告し、判明次第、報告を追完するものとする。

点で把握している内容を報告し、判明次第、報告を追完するものとする。

[（※1）・（※2） 略][（※1）・（※2） 同左]

16

は、当該事業所管大臣）に報告しなければならない。30 日以内又は 60 日以 は、当該事業所管大臣）に報告しなければならない。30 日以内又は 60 日以

3-5-3-5 委託元への通知による例外（規則第 9 条関係）[（関係条文） 略]

3-5-3-5 委託元への通知による例外（規則第 9 条関係）[（関係条文） 同左]

委託先は、個人情報保護委員会（個人情報保護委員会が法第 150 条第 1 項

委託先は、個人情報保護委員会（個人情報保護委員会が法第 147 条第 1 項の規定により報告を受理する権限を事業所管大臣に委任している場合にの規定により報告を受理する権限を事業所管大臣に委任している場合に（1）から（9）までに掲げる事項のうち、その時点で把握しているものを（1）から（9）までに掲げる事項のうち、その時点で把握しているものを通知したときは、報告義務を免除される。委託元への通知については、速通知したときは、報告義務を免除される。委託元への通知については、速報としての報告と同様に、報告対象事態を知った後、速やかに行わなけれ報としての報告と同様に、報告対象事態を知った後、速やかに行わなければならない。「速やか」の日数の目安については、個別の事案によるもの

ばならない。「速やか」の日数の目安については、個別の事案によるものの、委託先が当該事態の発生を知った時点から概ね 3～5 日以内である。

の、委託先が当該事態の発生を知った時点から概ね 3～5 日以内である。

この場合、委託先から通知を受けた委託元が報告をすることになる。委

この場合、委託先から通知を受けた委託元が報告をすることになる。委託元は、通常、遅くとも委託先から通知を受けた時点で、報告対象事態を託元は、通常、遅くとも委託先から通知を受けた時点で、報告対象事態を知ったこととなり、速やかに報告を行わなければならない。

知ったこととなり、速やかに報告を行わなければならない。

なお、通知を行った委託先は、委託元から報告するに当たり、事態の把なお、通知を行った委託先は、委託元から報告するに当たり、事態の把握を行うとともに、必要に応じて委託元の漏えい等報告に協力することが握を行うとともに、必要に応じて委託元の漏えい等報告に協力することが求められる。

求められる。

3-5-4 [略]3-5-4 [同左]

3-6 個人データの第三者への提供（法第 27 条～第 30 条関係）

3-6 個人データの第三者への提供（法第 27 条～第 30 条関係）

17

は、当該事業所管大臣）への報告義務を負っている委託元に対し、3-5-3-3 は、当該事業所管大臣）への報告義務を負っている委託元に対し、3-5-3-3

3-6-1 第三者提供の制限の原則（法第 27 条第 1 項関係）[（関係条文） 略]

個人情報取扱事業者は、個人データの第三者への提供に当たり、あらか

3-6-1 第三者提供の制限の原則（法第 27 条第 1 項関係）[（関係条文） 同左]

個人情報取扱事業者は、個人データの第三者への提供に当たり、あらか

じめ本人の同意（※1）を得ないで提供してはならない（※2）（※3）。同 じめ本人の同意（※1）を得ないで提供してはならない（※2）（※3）。同意の取得に当たっては、事業の規模及び性質、個人データの取扱状況（取意の取得に当たっては、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に応じ、本人が同意に係る判り扱う個人データの性質及び量を含む。）等に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示さなければならない。

さなければならない。
なお、あらかじめ、個人情報を第三者に提供することを想定している場

合には、利用目的において、その旨を特定しなければならない（3-1-1（利 合には、利用目的において、その旨を特定しなければならない（3-1-1（利用目的の特定）参照）。
また、令和 3 年改正法第 50 条の規定の施行日（令和 4 年 4 月 1 日）前に用目的の特定）参照）。
また、令和 3 年改正法の施行日前に別表第二法人等（3-1-3（利用目的に

別表第二法人等（3-1-3（利用目的による制限）参照）に対しされた本人の よる制限）参照）に対しされた本人の個人情報の取扱いに関する同意があ
個人情報の取扱いに関する同意がある場合において、その同意が法第 27 条 る場合において、その同意が法第 27 条第 1 項の規定による個人データの第第 1 項の規定による個人データの第三者への提供を認める旨の同意に相当

三者への提供を認める旨の同意に相当するものであるときは、令和 3 年改するものであるときは、令和 3 年改正法第 50 条の規定の施行日（令和 4 年 正法の施行日において同項の同意があったものとみなす。（令和 3 年改正
4 月 1 日）において同項の同意があったものとみなす。（令和 3 年改正法附 法附則第 7 条第 2 項）。
則第 7 条第 2 項）。
さらに、令和 3 年改正法第 51 条の規定の施行日（令和 5 年 4 月 1 日）前に特定地方独立行政法人等（3-1-3（利用目的による制限）参照）に対しされた本人の個人情報の取扱いに関する同意がある場合において、その同意

18

なお、あらかじめ、個人情報を第三者に提供することを想定している場

が法第 27 条第 1 項の規定による個人データの第三者への提供を認める旨の同意に相当するものであるときは、令和 3 年改正法第 51 条の規定の施行日（令和 5 年 4 月 1 日）において同項の同意があったものとみなす（令和 3 年[（※1）・（※2） 略][（※1）・（※2） 同左]（※3）個人情報取扱事業者若しくはその従業者又はこれらであった（※3）個人情報取扱事業者若しくはその従業者又はこれらであった者が、その業務に関して取り扱った個人情報データベース等者が、その業務に関して取り扱った個人情報データベース等（その全部又は一部を複製し、又は加工したものを含む。）を（その全部又は一部を複製し、又は加工したものを含む。）を

自己若しくは第三者の不正な利益を図る目的で提供し、又は盗自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、法第 179 条 により刑事罰（1 年以下の懲役又は用したときは、法第 174 条 により刑事罰（1 年以下の懲役又は50 万円以下の罰金）が科され得る。

50 万円以下の罰金）が科され得る。

[略]

[同左]

[（1）～（6） 略][（1）～（6） 同左]（7）学術研究機関等（※1）が個人データの第三者提供を受ける場合であ（7）学術研究機関等（※1）が個人データの第三者提供を受ける場合であり、かつ、当該学術研究機関等が当該個人データを学術研究目的（※

り、かつ、当該学術研究機関等が当該個人データを学術研究目的（※

2）で取り扱う必要がある場合（当該個人データを取り扱う目的の一部

2）で取り扱う必要がある場合（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するが学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く（※3）。）（法第 27 条第 1 項第 7 号関係）

おそれがある場合を除く（※3）。）（法第 27 条第 1 項第 7 号関係）

19

改正法附則第 9 条第 2 項）。

[（※1）・（※2） 略][（※1）・（※2） 同左]（※3）「個人の権利利益を不当に侵害するおそれがある場合」には、個（※3）「個人の権利利益を不当に侵害するおそれがある場合」には、個

人データを第三者に提供することはできない。この場合、個人の権人データを第三者に提供することはできない。この場合、当該個人

利利益を不当に侵害しないような形で当該個人データを加工するな

データを不当に侵害しないような形で加工するなど適切に処理する

ど適切に処理する必要がある。この点、学術研究目的で個人データ必要がある。この点、学術研究目的で個人データの提供を受ける必の提供を受ける必要がある場合であっても、本人又は第三者の権利要がある場合であっても、本人又は第三者の権利利益の保護の観点

利益の保護の観点から、提供する個人データの範囲を限定するな

から、提供する個人データの範囲を限定するなど、学術研究の目的

ど、学術研究の目的に照らして可能な措置を講ずることが望ましに照らして可能な措置を講ずることが望ましい。

3-6-2 オプトアウトによる第三者提供

3-6-2 オプトアウトによる第三者提供

3-6-2-1 オプトアウトに関する原則（法第 27 条第 2 項関係）

3-6-2-1 オプトアウトに関する原則（法第 27 条第 2 項関係）[（関係条文） 略][（関係条文） 同左]

個人情報取扱事業者は、個人データの第三者への提供に当たり、次の個人情報取扱事業者は、個人データの第三者への提供に当たり、次の（1）から（9）までに掲げる事項をあらかじめ（※1）本人に通知し、又は（1）から（9）までに掲げる事項をあらかじめ（※1）本人に通知し、又は本人が容易に知り得る状態（※2）に置くとともに、個人情報保護委員会に 本人が容易に知り得る状態（※2）に置くとともに、個人情報保護委員会に届け出た場合には（※3）、法第 27 条第 1 項の規定にかかわらず、あらか

届け出た場合には（※3）、法第 27 条第 1 項の規定にかかわらず、あらか

じめ本人の同意（※4）を得ることなく、個人データを第三者に提供するこじめ本人の同意（※4）を得ることなく、個人データを第三者に提供することができる（※5）（オプトアウトによる第三者提供）。

とができる（※5）（オプトアウトによる第三者提供）。

20い。

なお、法第 27 条第 2 項の規定により個人データを第三者に提供しようと

なお、法第 27 条第 2 項の規定により個人データを第三者に提供しようとする別表第二法人等（3-1-3（利用目的による制限）参照）は、令和 3 年改 する別表第二法人等（3-1-3（利用目的による制限）参照）は、令和 3 年改正法第 50 条の規定の施行日（令和 4 年 4 月 1 日）前においても、令和 3 年 正法の施行日前においても、令和 3 年改正法規則附則第 3 条で準用する規改正法規則（第 50 条改正関係）附則第 3 条で準用する規則第 11 条及び第 則第 11 条及び第 12 条の規定により、同項各号に掲げる事項に相当する事
12 条の規定により、同項各号に掲げる事項に相当する事項について、本人項について、本人に通知するとともに、個人情報保護委員会に届け出るこに通知するとともに、個人情報保護委員会に届け出ることができる。このとができる。この場合において、当該通知及び届出は、令和 3 年改正法の場合において、当該通知及び届出は、令和 3 年改正法第 50 条の規定の施行 施行日以後は、同項の規定による通知及び届出とみなす（令和 3 年改正法日（令和 4 年 4 月 1 日）以後は、同項の規定による通知及び届出とみなす 附則第 7 条第 3 項）。
（令和 3 年改正法附則第 7 条第 3 項）。
また、法第 27 条第 2 項の規定により個人データを第三者に提供しようとする特定地方独立行政法人等（3-1-3（利用目的による制限）参照）は、令21

和 3 年改正法第 51 条の規定の施行日（令和 5 年 4 月 1 日）前においても、
令和 3 年改正法規則（第 51 条改正関係）附則第 3 条で準用する規則第 11 条
及び第 12 条の規定により、同項各号に掲げる事項に相当する事項について、本人に通知するとともに、個人情報保護委員会に届け出ることができる。この場合において、当該通知及び届出は、令和 3 年改正法第 51 条の規定の施行日（令和 5 年 4 月 1 日）以後は、同項の規定による通知及び届出とみなす（令和 3 年改正法附則第 9 条第 3 項）。
さらに、個人情報取扱事業者は、法第 27 条第 2 項に基づき、必要な事項

また、個人情報取扱事業者は、法第 27 条第 2 項に基づき、必要な事項をを個人情報保護委員会に届け出たときは、その内容を自らもインターネッ

個人情報保護委員会に届け出たときは、その内容を自らもインターネット

トの利用その他の適切な方法により公表（※6）するものとする。

の利用その他の適切な方法により公表（※6）するものとする。

なお、要配慮個人情報をオプトアウトにより第三者に提供することや、

なお、要配慮個人情報をオプトアウトにより第三者に提供することや、

オプトアウトにより提供を受けた個人データをオプトアウトにより再提供

オプトアウトにより提供を受けた個人データをオプトアウトにより再提供

することはできず、第三者に提供するに当たっては、法第 27 条第 1 項各号 することはできず、第三者に提供するに当たっては、法第 27 条第 1 項各号又は同条第 5 項各号に該当する場合以外は、必ずあらかじめ本人の同意を又は同条第 5 項各号に該当する場合以外は、必ずあらかじめ本人の同意を得る必要があるので、注意を要する。また、不正取得された個人データに得る必要があるので、注意を要する。また、不正取得された個人データについても、オプトアウトにより第三者に提供することはできない（※7）。

ついても、オプトアウトにより第三者に提供することはできない（※7）。

【オプトアウトによる第三者提供の事例】
事例）[略][（※1）～（※8）略][（1）～（9） 同左]【オプトアウトによる第三者提供の事例】
事例）[同左][（※1）～（※8）同左]

3-6-2-2 [略]3-6-2-2 [同左]

3-6-3 第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係）

3-6-3 第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係）[（関係条文） 略][（関係条文） 同左]

[略]

[同左]

[(1)・(2) 略][(1)・(2) 同左]（3）共同利用（法第 27 条第 5 項第 3 号関係）

（3）共同利用（法第 27 条第 5 項第 3 号関係）

22[（1）～（9） 略]特定の者との間で共同して利用される個人データを当該特定の者に提供

特定の者との間で共同して利用される個人データを当該特定の者に提供する場合（※1）であって、次の①から⑤までの情報（※2）を、提供に当する場合（※1）であって、次の①から⑤までの情報（※2）を、提供に当たりあらかじめ本人に通知（※3）し、又は本人が容易に知り得る状態（※ たりあらかじめ本人に通知（※3）し、又は本人が容易に知り得る状態（※
4）に置いているときには、当該提供先は、本人から見て、当該個人データ

4）に置いているときには、当該提供先は、本人から見て、当該個人データを当初提供した事業者と一体のものとして取り扱われることに合理性があを当初提供した事業者と一体のものとして取り扱われることに合理性があると考えられることから、第三者に該当しない（※5）。

ると考えられることから、第三者に該当しない（※5）。

なお、法第 27 条第 5 項第 3 号の規定により本人に通知し、又は本人が容

なお、法第 27 条第 5 項第 3 号の規定により本人に通知し、又は本人が容易に知り得る状態に置かなければならない事項に相当する事項について、易に知り得る状態に置かなければならない事項に相当する事項について、

令和 3 年改正法第 50 条の規定の施行日（令和 4 年 4 月 1 日）前に、別表第

令和 3 年改正法の施行日前に、別表第二法人等（3-1-3（利用目的による制

二法人等（3-1-3（利用目的による制限）参照）により本人に通知されてい限）参照）により本人に通知されているときは、当該通知は、令和 3 年改

4 月 1 日）以後は、同号の規定による通知とみなす（令和 3 年改正法附則第 則第 7 条第 4 項）。
7 条第 4 項）。
また、法第 27 条第 5 項第 3 号の規定により本人に通知し、又は本人が容易に知り得る状態に置かなければならない事項に相当する事項について、
令和 3 年改正法第 51 条の規定の施行日（令和 5 年 4 月 1 日）前に、特定地
方独立行政法人等（3-1-3（利用目的による制限）参照）により本人に通知されているときは、当該通知は、令和 3 年改正法第 51 条の規定の施行日（令和 5 年 4 月 1 日）以後は、同号の規定による通知とみなす（令和 3 年
改正法附則第 9 条第 4 項）。
さらに、既に特定の事業者が取得している個人データを他の事業者と共

また、既に特定の事業者が取得している個人データを他の事業者と共同同して利用する場合には、当該共同利用は、社会通念上、共同して利用す

して利用する場合には、当該共同利用は、社会通念上、共同して利用するる者の範囲や利用目的等が当該個人データの本人が通常予期し得ると客観者の範囲や利用目的等が当該個人データの本人が通常予期し得ると客観的23

るときは、当該通知は、令和 3 年改正法第 50 条の規定の施行日（令和 4 年 正法の施行日以後は、同号の規定による通知とみなす（令和 3 年改正法附的に認められる範囲内である必要がある。その上で、当該個人データの内に認められる範囲内である必要がある。その上で、当該個人データの内容

容や性質等に応じて共同利用の是非を判断し、既に取得している事業者がや性質等に応じて共同利用の是非を判断し、既に取得している事業者が法法第 17 条第 1 項の規定により特定した利用目的の範囲で共同して利用しな 第 17 条第 1 項の規定により特定した利用目的の範囲で共同して利用しなければならない。

[略][同左]

3-6-4 [略]3-6-4 [同左]

3-6-5 第三者提供に係る記録の作成等（法第 29 条関係）

3-6-5 第三者提供に係る記録の作成等（法第 29 条関係）

[略]

[同左]

（参考）

（参考）

[法第 29 条・規則第 19 条 略]

[法第 29 条・規則第 19 条 同左]

規則第 20 条

規則第 20 条

1

[略]

1

[同左]

2

前項各号に定める事項のうち、既に前条に規定する方法により作成

2

前項各号に定める事項のうち、既に前条に規定する方法により作成した法第 29 条第 1 項の記録（当該記録を保存している場合におけるもした法第 29 条第 1 項の記録（当該記録を保存している場合におけるものに限る。）に記録されている事項と内容が同一であるものについてのに限る。）に記録されている事項と内容が同一であるものについては、同項の当該事項の記録を省略することができる。

は、法第 29 条第 1 項の当該事項の記録を省略することができる。

24

ければならない。

規則第 21 条

規則第 21 条

[略]

[同左]

3-6-6 第三者提供を受ける際の確認等（法第 30 条関係）

[略]

[同左]

（参考）

（参考）

【第三者提供を受ける際の確認（法第 30 条第 1 項・第 2 項関係）】【第三者提供を受ける際の確認（法第 30 条第 1 項・第 2 項関係）】[法第 30 条（第 1 項・第 2 項）・規則第 22 条 略]

[法第 30 条（第 1 項・第 2 項）・規則第 22 条 同左]【第三者提供を受ける際の記録の作成等（法第 30 条第 3 項・第 4 項関

【第三者提供を受ける際の記録の作成等（法第 30 条第 3 項・第 4 項関

係）】

係）】

[法第 30 条（第 3 項・第 4 項）・規則第 23 条 略]

[法第 30 条（第 3 項・第 4 項）・規則第 23 条 同左]

規則第 24 条

規則第 24 条

1

[略]

1

[同左]

2

前項各号に定める事項のうち、既に前条に規定する方法により作成

2

前項各号に定める事項のうち、既に前条に規定する方法により作成

25

3-6-6 第三者提供を受ける際の確認等（法第 30 条関係）した法第 30 条第 3 項の記録（当該記録を保存している場合におけるもした法第 30 条第 3 項の記録（当該記録を保存している場合におけるものに限る。）に記録された事項と内容が同一であるものについては、のに限る。）に記録された事項と内容が同一であるものについては、同項の当該事項の記録を省略することができる。

法第 30 条第 3 項の当該事項の記録を省略することができる。

[略]規則第 25 条[同左]

3-7 個人関連情報の第三者提供の制限等（法第 31 条関係）

3-7 個人関連情報の第三者提供の制限等（法第 31 条関係）

[略]

[同左]

3-7-1 [略]3-7-1 [同左]

3-7-2 本人の同意の取得方法

3-7-2 本人の同意の取得方法

3-7-2-1 本人の同意

3-7-2-1 本人の同意

[略]

[同左]

なお、令和 2 年改正法の施行日（令和 4 年 4 月 1 日）前になされた本人

なお、令和 2 年改正法の施行日前になされた本人の個人関連情報の取扱の個人関連情報の取扱いに関する同意がある場合において、その同意が法いに関する同意がある場合において、その同意が法第 31 条第 1 項の規定に

第 31 条第 1 項の規定による個人関連情報の第三者への提供を認める旨の同 よる個人関連情報の第三者への提供を認める旨の同意に相当するものであ意に相当するものであるときは、同項第 1 号の同意があったものとみなす

るときは、同項第 1 号の同意があったものとみなす（令和 2 年改正法附則（令和 2 年改正法附則第 5 条第 1 号）。

第 5 条第 1 号）。

また、令和 3 年改正法第 50 条の規定の施行日（令和 4 年 4 月 1 日）前にまた、令和 3 年改正法の施行日前に別表第二法人等（3-1-3（利用目的に

別表第二法人等（3-1-3（利用目的による制限）参照）に対しされた本人の よる制限）参照）に対しされた本人の個人関連情報の取扱いに関する同意26

規則第 25 条

個人関連情報の取扱いに関する同意がある場合において、その同意が法第がある場合において、その同意が法第 31 条第 1 項第 1 号の規定による個人

31 条第 1 項第 1 号の規定による個人関連情報の第三者への提供を認める旨 関連情報の第三者への提供を認める旨の同意に相当するものであるときの同意に相当するものであるときは、令和 3 年改正法第 50 条の規定の施行 は、令和 3 年改正法の施行日において同号の同意があったものとみなす
日（令和 4 年 4 月 1 日）において同号の同意があったものとみなす（令和 3（令和 3 年改正法附則第 7 条第 8 項）。

年改正法附則第 7 条第 8 項）。
さらに、令和 3 年改正法第 51 条の規定の施行日（令和 5 年 4 月 1 日）前に特定地方独立行政法人等（3-1-3（利用目的による制限）参照）に対しされた本人の個人関連情報の取扱いに関する同意がある場合において、その同意が法第 31 条第 1 項第 1 号の規定による個人関連情報の第三者への提供を認める旨の同意に相当するものであるときは、令和 3 年改正法第 51 条の規定の施行日（令和 5 年 4 月 1 日）において同号の同意があったものとみ
27

なす（令和 3 年改正法附則第 9 条第 8 項）。

[3-7-2-2・3-7-2-3 略][3-7-2-2・3-7-2-3 同左]

3-7-3 本人の同意等の確認の方法（法第 31 条第 1 項関係）

3-7-3 本人の同意等の確認の方法（法第 31 条第 1 項関係）

3-7-3-1 [略]3-7-3-1 [同左]

3-7-3-2 外国にある第三者への提供にあっては、必要な情報が当該本人

3-7-3-2 外国にある第三者への提供にあっては、必要な情報が当該本人に提供されていること（法第 31 条第 1 項第 2 号、規則第 26 条第 2に提供されていること（法第 31 条第 1 項第 2 号、規則第 26 条第 2

項関係）

項関係）

[（関係条文） 略][略][（関係条文） 同左][同左][（※1）～（※3） 略][（※1）～（※3） 同左]（※4）法第 31 条第 2 項において読み替えて準用される法第 28 条第（※4）法第 31 条第 2 項において読み替えて準用される法第 28 条第3 項の規定は、別表第二法人等（3-1-3（利用目的による制限）

3 項の規定は、別表第二法人等（3-1-3（利用目的による制限）

参照）が令和 3 年改正法第 50 条の規定の施行日（令和 4 年 4 月

参照）が令和 3 年改正法の施行日以後に同項に規定する外国に1 日）以後に同項に規定する外国にある第三者に個人関連情報をある第三者に個人関連情報を提供した場合について適用される

提供した場合について適用される（令和 3 年改正法附則第 7 条（令和 3 年改正法附則第 7 条第 9 項）。

（※5）法第 31 条第 2 項において読み替えて準用される法第 28 条第[新設]

3 項の規定は、特定地方独立行政法人等（3-1-3（利用目的による制限）参照）が令和 3 年改正法第 51 条の規定の施行日（令和5 年 4 月 1 日）以後に同項に規定する外国にある第三者に個人関連情報を提供した場合について適用される（令和 3 年改正法附則第 9 条第 9 項）。

[略]

[同左]

3-7-3-3 既に確認を行った第三者に対する確認の方法（規則第 26 条第3 項）

3-7-3-3 既に確認を行った第三者に対する確認の方法（規則第 26 条第
3 項）

28

第 9 項）。

[（関係条文） 略][（関係条文） 同左]

複数回にわたって同一「本人」の個人関連情報を提供する場合におい複数回にわたって同一「本人」の個人関連情報を提供する場合において、同一の内容である事項を重複して確認する合理性はないため、既に規て、同一の内容である事項を重複して確認する合理性はないため、既に規則第 26 条に規定する方法（3-7-3-1（個人データとして取得することを認

則第 26 条に規定する方法（3-7-3-1（個人データとして取得することを認める旨の本人の同意を得られていること）、3-7-3-2（外国にある第三者へ める旨の本人の同意を得られていること）、3-7-3-2（外国にある第三者への提供にあっては、参考となるべき情報が当該本人に提供されているこ の提供にあっては、参考となるべき情報が当該本人に提供されているこ法により作成し、かつ、その時点において保存している記録に記録された法により作成し、かつ、その時点において保存している記録に記録された事項と内容が同一であるものについては、当該事項の確認を省略すること

事項と内容が同一であるものについては、当該事項の確認を省略すること

ができる。

ができる。

令和 2 年改正法の施行日（令和 4 年 4 月 1 日）の前に上記に規定する方法に相当する方法で作成した記録についても同様とする。

令和 2 年改正法の施行日の前に上記に規定する方法に相当する方法で作成した記録についても同様とする。

例えば、個人関連情報取扱事業者が、同じ提供先に対して、既に確認・

例えば、個人関連情報取扱事業者が、同じ提供先に対して、既に確認・記録義務を履行した本人に係る個人関連情報であることを認識しながら、記録義務を履行した本人に係る個人関連情報であることを認識しながら、

個人関連情報の提供を行う場合は、「同一であることの確認」が行われて

個人関連情報の提供を行う場合は、「同一であることの確認」が行われているものである。

いるものである。

3-7-4 提供元における記録義務（法第 31 条第 3 項、第 30 条第 3 項関係）[（関係条文） 略]

3-7-4 提供元における記録義務（法第 31 条第 3 項、第 30 条第 3 項関係）[（関係条文） 同左]

29と））により確認を行い、3-7-4（提供元における記録義務）に規定する方 と））により確認を行い、3-7-4（提供元における記録義務）に規定する方

個人関連情報取扱事業者は、法第 31 条第 1 項の規定による確認を行った

個人関連情報取扱事業者は、法第 31 条第 1 項の規定による確認を行った

場合は、その記録を作成しなければならない（法第 31 条第 3 項において準 場合は、その記録を作成しなければならない（法第 31 条第 3 項において準用される法第 30 条第 3 項）。なお、「第三者」のうち、次の（1）から用される法第 30 条第 3 項）。なお、「第三者」のうち、次の（1）から（4）までに掲げる者に個人関連情報の提供を行う場合は、記録義務は適用（4）までに掲げる者に個人関連情報の提供を行う場合は、記録義務は適用されない（法第 31 条第 3 項において読み替えて準用する法第 30 条第 3 項、 されない（法第 31 条第 3 項において読み替えて準用する法第 30 条第 3 項、第 29 条第 1 項）。

第 29 条第 1 項）。

[（1）～（3） 略][（1）～（3） 同左]（4）地方独立行政法人（地方独立行政法人法第 2 条第 1 項に規定する地（4）地方独立行政法人（地方独立行政法人法第 2 条第 1 項に規定する地

方独立行政法人をいう。同法第 21 条第 1 号に掲げる業務を主たる目

方独立行政法人をいう。）（法第 16 条第 2 項第 4 号関係）的とするもの又は同条第 2 号若しくは第 3 号（チに係る部分に限30る。）に掲げる業務を目的とするものを除く。）（法第 16 条第 2 項
第 4 号関係）[3-7-4-1・3-7-4-2 略][3-7-4-1・3-7-4-2 同左]

3-7-4-3 提供元における記録事項（規則第 28 条関係）

3-7-4-3 提供元における記録事項（規則第 28 条関係）

3-7-4-3-1 [略]3-7-4-3-1 [同左]

3-7-4-3-2 記録事項の省略（規則第 28 条第 2 項関係）

3-7-4-3-2 記録事項の省略（規則第 28 条第 2 項関係）[（関係条文） 略][（関係条文） 同左]

複数回にわたって同一「本人」の個人関連情報の提供をする場合におい複数回にわたって同一「本人」の個人関連情報の提供をする場合において、同一の内容である事項を重複して記録する必要はないことから、そのて、同一の内容である事項を重複して記録する必要はないことから、その旨を明確にするものである。すなわち、既に 3-7-4（提供元における記録義 旨を明確にするものである。すなわち、既に 3-7-4（提供元における記録義務）に規定する方法により作成した記録（現に保存している場合に限務）に規定する方法により作成した記録（現に保存している場合に限る。）に記録された事項と内容が同一であるものについては、当該事項のる。）に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。

記録を省略することができる。

法に相当する方法で作成した記録についても同様とする。

令和 2 年改正法の施行日の前に上記に規定する方法に相当する方法で作成した記録についても同様とする。

なお、記録事項のうち、一部の事項の記録の作成を規則第 28 条第 2 項に

なお、記録事項のうち、一部の事項の記録の作成を規則第 28 条第 2 項に基づき省略し、残りの事項の記録のみを作成した場合、記録全体としての基づき省略し、残りの事項の記録のみを作成した場合、記録全体としての保存期間の起算点は、残りの事項を作成した時点とする。保存期間につい

保存期間の起算点は、残りの事項を作成した時点とする。保存期間については、3-7-4-4（保存期間）を参照のこと。

ては、3-7-4-4（保存期間）を参照のこと。

3-7-4-4 [略]3-7-4-4 [同左]

3-7-5 提供先の第三者における確認義務（法第 30 条第 1 項）

3-7-5 提供先の第三者における確認義務（法第 30 条第 1 項）

[略]

[同左]

3-7-5-1 [略]3-7-5-1 [同左]

3-7-5-2 既に確認を行った第三者に対する確認方法（規則第 22 条関3-7-5-2 既に確認を行った第三者に対する確認方法（規則第 22 条関

31

令和 2 年改正法の施行日（令和 4 年 4 月 1 日）の前に上記に規定する方

係）

係）

規則第 22 条（第 3 項）

規則第 22 条（第 3 項）

[略]

[同左]

平成 27 年改正法規則附則第 4 条

平成 27 年改正法規則附則第 4 条[略]

令和 3 年改正法規則（第 50 条改正関係）附則第 5 条
[略]

[同左]

令和 3 年改正法規則附則第 5 条
[同左]

32

令和 3 年改正法規則（第 51 条改正関係）附則 第 5 条
特定地方独立行政法人等において、新個人情報保護法第 30 条第 1 項
各号に規定する事項のうち、施行日前に新規則第 22 条に規定する方法に相当する方法で確認（当該確認について新規則第 23 条に規定する方法に相当する方法により記録を作成し、かつ、保存している場合におけるものに限る。）を行っているものについては、新規則第 22 条第 3項を適用することができる。この場合において、同項中「前二項に規定する方法」とあるのは「前二項に規定する方法に相当する方法」と読み替えるものとする。

[略]

[同左]

3-7-5-3 [略]3-7-5-3 [同左]

3-7-6 提供先の第三者における記録義務（法第 30 条第 3 項関係）

3-7-6 提供先の第三者における記録義務（法第 30 条第 3 項関係）

[略]

[同左]

[3-7-6-1・3-7-6-2 同左]

3-7-6-3 提供先の第三者における記録事項（規則第 24 条関係）

3-7-6-3 提供先の第三者における記録事項（規則第 24 条関係）

3-7-6-3-1 [略]3-7-6-3-1 [同左]

3-7-6-3-2 記録事項の省略（規則第 24 条第 2 項関係）

3-7-6-3-2 記録事項の省略（規則第 24 条第 2 項関係）

33[3-7-6-1・3-7-6-2 略]

規則第 24 条（第 2 項）

規則第 24 条（第 2 項）

2

2

前項各号に定める事項のうち、既に前条に規定する方法により作成

前項各号に定める事項のうち、既に前条に規定する方法により作成した法第 30 条第 3 項の記録（当該記録を保存している場合におけるもした法第 30 条第 3 項の記録（当該記録を保存している場合におけるものに限る。）に記録された事項と内容が同一であるものについては、のに限る。）に記録された事項と内容が同一であるものについては、同項の当該事項の記録を省略することができる。

法第 30 条第 3 項の当該事項の記録を省略することができる。

令和 2 年改正法規則附則第 3 条[略]

令和 2 年改正法規則附則第 3 条[同左]複数回にわたって同一「本人」の個人関連情報の提供を受けて個人デー

複数回にわたって同一「本人」の個人関連情報の提供を受けて個人デー

タとして取得する場合において、同一の内容である事項を重複して記録す

タとして取得する場合において、同一の内容である事項を重複して記録する必要はないことから、その旨を明確にするものである。すなわち、既にる必要はないことから、その旨を明確にするものである。すなわち、既に

3-7-6（提供先の第三者における記録義務）に規定する方法により作成した

3-7-6（提供先の第三者における記録義務）に規定する方法により作成した記録（現に保存している場合に限る。）に記録された事項と内容が同一で記録（現に保存している場合に限る。）に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。

あるものについては、当該事項の記録を省略することができる。

法に相当する方法で作成した記録についても同様とする。

令和 2 年改正法の施行日の前に上記に規定する方法に相当する方法で作成した記録についても同様とする。

なお、記録事項のうち、一部の事項の記録の作成を規則第 24 条第 2 項に

なお、記録事項のうち、一部の事項の記録の作成を規則第 24 条第 2 項に基づき省略し、残りの事項の記録のみを作成した場合、記録全体としての基づき省略し、残りの事項の記録のみを作成した場合、記録全体としての保存期間の起算点は、残りの事項を作成した時点とする。保存期間につい

保存期間の起算点は、残りの事項を作成した時点とする。保存期間については、3-7-6-4（保存期間）を参照のこと。

ては、3-7-6-4（保存期間）を参照のこと。

3-7-6-4 [略]3-8 保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止等（法第 32 条～第 39 条関係）

3-7-6-4 [同左]

3-8 保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止等（法第 32 条～第 39 条関係）

[3-8-1～3-8-4 略][3-8-1～3-8-4 同左]

3-8-5 保有個人データの利用停止等（法第 35 条関係）

3-8-5 保有個人データの利用停止等（法第 35 条関係）[（関係条文） 略][（関係条文） 同左]

34

令和 2 年改正法の施行日（令和 4 年 4 月 1 日）の前に上記に規定する方

3-8-5-1 利用停止等の要件

3-8-5-1 利用停止等の要件

[略]

[同左]

[（1）・（2） 略][（1）・（2） 同左]（3）法第 35 条第 5 項の要件を満たす場合の利用停止等又は第三者提供の （3）法第 35 条第 5 項の要件を満たす場合の利用停止等又は第三者提供の
停止

停止

[同左]

①[略]

①[同左]

②当該本人が識別される保有個人データに係る法第 26 条第 1 項本文に規②当該本人が識別される保有個人データに係る法第 26 条第 1 項本文に規

35

[略]

定する事態が生じた場合

個人情報取扱事業者は、本人から、当該本人が識別される保有個人デー

定する事態が生じた場合

個人情報取扱事業者は、本人から、当該本人が識別される保有個人デー

タに係る法第 26 条第 1 項本文に規定する事態が生じたという理由によっ タに係る法第 26 条第 1 項本文に規定する事態が生じたという理由によって、当該保有個人データの利用停止等又は第三者提供の停止の請求を受けて、当該保有個人データの利用停止等又は第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、原則とした場合であって、その請求に理由があることが判明したときは、原則として、遅滞なく、利用停止等又は第三者への提供の停止を行わなければならて、遅滞なく、利用停止等又は第三者への提供の停止を行わなければなら

ない。

ない。

「当該本人が識別される保有個人データに係る法第 26 条第 1 項本文に規「当該本人が識別される保有個人データに係る法第 26 条第 1 項本文に規定する事態が生じた」とは、法第 26 条第 1 項本文に定める漏えい等事案が 定する事態が生じた」とは、法第 26 条第 1 項本文に定める漏えい等事案が生じたことをいう。法第 26 条第 1 項本文に定める漏えい等事案について 生じたことをいう。法第 26 条第 1 項本文に定める漏えい等事案について
は、3-5-3-1（対象となる事態）参照のこと。

③[略]

③[同左]

[3-8-5-2・3-8-5-3 略][3-8-5-2・3-8-5-3 同左]

3-8-6 [略]3-8-6 [同左]

3-8-7 開示等の請求等に応じる手続（法第 37 条関係）

3-8-7 開示等の請求等に応じる手続（法第 37 条関係）

法第 37 条

法第 37 条[略]

[同左]

政令第 12 条

政令第 12 条

法第 37 条第 1 項の規定により個人情報取扱事業者が開示等の請求等法第 37 条第 1 項の規定により個人情報取扱事業者が開示等の請求等を受け付ける方法として定めることができる事項は、次に掲げるとおを受け付ける方法として定めることができる事項は、次に掲げるとお

りとする。

りとする。

(1)

[略]

(1)

[同左]

(2)

開示等の請求等に際して提出すべき書面（電磁的記録を含む。

(2)

開示等の請求等に際して提出すべき書面（電磁的記録を含む。

第 35 条第 1 項及び第 40 条第 3 項において同じ。）の様式その他の第 33 条第 1 項及び第 38 条第 3 項において同じ。）の様式その他の36

は、3-5-3-1（報告対象となる事態）参照のこと。

開示等の請求等の方式[(3)・(4) 略]

政令第 13 条[略]

開示等の請求等の方式[(3)・(4) 同左]

政令第 13 条
[同左]

[略]

[同左]

[（1）～（4） 略]

[同左]
37

[略]

[（1）～（4） 同左]（※1）「開示等の請求等」とは、保有個人データの利用目的の通知（※1）「開示等の請求等」とは、保有個人データの利用目的の通知の求め（3-8-1（保有個人データに関する事項の公表等）参の求め（3-8-1（保有個人データに関する事項の公表等）参照）、保有個人データの開示（3-8-2（保有個人データの開示）照）、保有個人データの開示（3-8-2（保有個人データの開示）参照）、訂正等（3-8-4（保有個人データの訂正等）参照）、利参照）、訂正等（3-8-4（保有個人データの訂正等）参照）、利用停止等若しくは第三者提供の停止（3-8-5（保有個人データの用停止等若しくは第三者提供の停止（3-8-5（保有個人データの利用停止等）参照）、又は第三者提供記録の開示（3-8-3（第三利用停止等）参照）、又は第三者提供記録の開示に関する請求者提供記録の開示）参照）の請求をいう。

（3-8-3（第三者提供記録の開示）参照）の請求をいう。

[（※2）・（※3） 略][3-8-8・3-8-9 略][（※2）・（※3） 同左][3-8-8・3-8-9 同左]

[3-9・3-10 同左]

3-11 匿名加工情報取扱事業者等の義務（法第 43 条～第 46 条関係）

3-11 匿名加工情報取扱事業者等の義務（法第 43 条～第 46 条関係）

[略]

[同左]

（参考）

（参考）

【匿名加工情報の作成等（法第 43 条第 1 項関係）】【匿名加工情報の作成等（法第 43 条第 1 項関係）】

[略]

[同左]

【匿名加工情報の安全管理措置等（法第 43 条第 2 項・第 3 項、第 6 項、

【匿名加工情報の安全管理措置等（法第 43 条第 2 項・第 3 項、第 6 項、第 46 条関係）】

第 46 条関係）】

[略]

[同左]

【匿名加工情報の第三者提供（法第 43 条第 4 項、第 44 条関係）】【匿名加工情報の第三者提供（法第 43 条第 4 項、第 44 条関係）】

[略]

[同左]

【識別行為の禁止（法第 43 条第 5 項、第 45 条関係）】【識別行為の禁止（法第 43 条第 5 項、第 45 条関係）】

法第 43 条（第 5 項）

法第 43 条（第 5 項）

[略]

[同左]

法第 45 条

法第 45 条38

[3-9・3-10 略]匿名加工情報取扱事業者は、匿名加工情報を取り扱うに当たっては、

当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するた

当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該個人情報から削除された記述等若しくは個人識別符号若しく

めに、当該個人情報から削除された記述等若しくは個人識別符号若しく

は第 43 条第 1 項若しくは第 116 条第 1 項（同条第 2 項において準用するは第 43 条第 1 項若しくは第 114 条第 1 項（同条第 2 項において準用する場合を含む。）の規定により行われた加工の方法に関する情報を取得場合を含む。）の規定により行われた加工の方法に関する情報を取得

し、又は当該匿名加工情報を他の情報と照合してはならない。

し、又は当該匿名加工情報を他の情報と照合してはならない。

4 「勧告」、「命令」、「緊急命令」等についての考え方

4 「勧告」、「命令」、「緊急命令」等についての考え方

法第 148 条

法第 145 条

[略]

[同左]

法第 178 条

法第 173 条39

匿名加工情報取扱事業者は、匿名加工情報を取り扱うに当たっては、

第 148 条第 2 項又は第 3 項の規定による命令に違反した場合には、当第 145 条第 2 項又は第 3 項の規定による命令に違反した場合には、当該違反行為をした者は、1 年以下の懲役又は 100 万円以下の罰金に処す

該違反行為をした者は、1 年以下の懲役又は 100 万円以下の罰金に処する。

る。

法第 184 条

法第 179 条

11

法人の代表者又は法人若しくは人の代理人、使用人その他の従業者

法人の代表者又は法人若しくは人の代理人、使用人その他の従業者が、その法人又は人の業務に関して、次の各号に掲げる違反行為をしが、その法人又は人の業務に関して、次の各号に掲げる違反行為をしたときは、行為者を罰するほか、その法人に対して当該各号に定めるたときは、行為者を罰するほか、その法人に対して当該各号に定める罰金刑を、その人に対して各本条の罰金刑を科する。

罰金刑を、その人に対して各本条の罰金刑を科する。

(1)

(1)

第 178 条及び第 179 条 1 億円以下の罰金刑

第 173 条及び第 174 条 1 億円以下の罰金刑

(2)2

第 182 条 同条の罰金刑[略]法第 148 条に規定される個人情報保護委員会の「勧告（第 1 項）」、「命(2)2

第 177 条 同条の罰金刑[同左]法第 145 条に規定される個人情報保護委員会の「勧告（第 1 項）」、「命業者等が本ガイドラインに沿って必要な措置等を講じたか否かにつき判断業者等が本ガイドラインに沿って必要な措置等を講じたか否かにつき判断して行うものとする。

して行うものとする。

[略]

[同左]

また、「命令」及び「緊急命令」に従わなかったか否かを明確にするた

また、「命令」及び「緊急命令」に従わなかったか否かを明確にするため、個人情報保護委員会は、「命令」及び「緊急命令」に係る措置を講ず

め、個人情報保護委員会は、「命令」及び「緊急命令」に係る措置を講ずべき期間を設定して「命令」及び「緊急命令」を行い、当該期間中に措置べき期間を設定して「命令」及び「緊急命令」を行い、当該期間中に措置が講じられない場合は、「公表（法第 148 条第 4 項）」の対象となるほか、 が講じられない場合は、「公表（法第 145 条第 4 項）」の対象となるほか、「罰則（法第 178 条、第 184 条）」が適用される。

「罰則（法第 173 条、第 179 条）」が適用される。

なお、個人情報保護委員会は、事案の性質等に応じ、国民への情報提供

なお、個人情報保護委員会は、事案の性質等に応じ、国民への情報提供等の観点から（法第 9 条）、個人情報保護委員会による権限行使につい等の観点から（法第 9 条）、個人情報保護委員会による権限行使について、公表を行うことがある。

て、公表を行うことがある。

5 適用除外（法第 57 条関係）

5 適用除外（法第 57 条関係）[（関係条文） 略][（関係条文） 同左]

[略]

[同左]

40

令（第 2 項）」及び「緊急命令（第 3 項）」については、個人情報取扱事 令（第 2 項）」及び「緊急命令（第 3 項）」については、個人情報取扱事

[（※1）～（※4） 同左]（※5）ただし、法第 57 条第 1 項各号に定める者についても、法第（※5）ただし、法第 57 条第 1 項各号に定める者についても、法第179 条（個人情報データベース等不正提供罪）は適用される点に

174 条（個人情報データベース等不正提供罪）は適用される点について留意が必要である。

ついて留意が必要である。

適用の特例（法第 58 条・第 125 条関係）

6

適用の特例（法第 58 条・第 123 条関係）

法第 58 条

法第 58 条1

1

個人情報取扱事業者又は匿名加工情報取扱事業者のうち次に掲げる

個人情報取扱事業者又は匿名加工情報取扱事業者のうち別表第 2 に者については、第 32 条から第 39 条まで及び第 4 節の規定は、適用しな掲げる法人については、第 32 条から第 39 条まで及び第 4 節の規定は、い。

適用しない。

(1)

別表第 2 に掲げる法人(2)

地方独立行政法人のうち地方独立行政法人法第 21 条第 1 号に掲げる業務を主たる目的とするもの又は同条第 2 号若しくは第 3 号（チに係る部分に限る。）に掲げる業務を目的とするもの

2

次の各号に掲げる者が行う当該各号に定める業務における個人情

2

独立行政法人労働者健康安全機構が行う病院（医療法（昭和 23 年法報、仮名加工情報又は個人関連情報の取扱いについては、個人情報取律第 205 号）第 1 条の 5 第 1 項に規定する病院をいう。第 66 条第 2 項

扱事業者、仮名加工情報取扱事業者又は個人関連情報取扱事業者によ第 3 号並びに第 123 条第 1 項及び第 3 項において同じ。）の運営の業務

る個人情報、仮名加工情報又は個人関連情報の取扱いとみなして、こにおける個人情報、仮名加工情報又は個人関連情報の取扱いについての章（第 32 条から第 39 条まで及び第 4 節を除く。）及び第 6 章から第は、個人情報取扱事業者、仮名加工情報取扱事業者又は個人関連情報

8 章までの規定を適用する。

取扱事業者による個人情報、仮名加工情報又は個人関連情報の取扱いとみなして、この章（第 32 条から第 39 条まで及び第 4 節を除く。）及41

6[（※1）～（※4） 略]

び第 6 章から第 8 章までの規定を適用する。
(1)

地方公共団体の機関 医療法（昭和 23 年法律第 205 号）第 1 条の 5 第 1 項に規定する病院（次号において「病院」という。）及び同条第 2 項に規定する診療所並びに学校教育法（昭和 22 年法律第 26 号）第 1 条に規定する大学の運営
独立行政法人労働者健康安全機構 病院の運営

法第 125 条

法第 123 条

1

1

2

3

第 58 条第 2 項各号に掲げる者が行う当該各号に定める業務における独立行政法人労働者健康安全機構が行う病院の運営の業務における個人情報、仮名加工情報又は個人関連情報の取扱いについては、この

個人情報、仮名加工情報又は個人関連情報の取扱いについては、この章（第 1 節、第 66 条第 2 項（第 4 号及び第 5 号（同項第 4 号に係る部章（第 1 節、第 66 条第 2 項（第 3 号及び第 4 号（同項第 3 号に係る部分に限る。）に係る部分に限る。）において準用する同条第 1 項、第分に限る。）に係る部分に限る。）において準用する同条第 1 項、第75 条、前二節、前条第 2 項及び第 127 条を除く。）の規定、第 176 条

75 条、前二節、前条第 2 項及び第 125 条を除く。）の規定、第 171 条

及び第 180 条の規定（これらの規定のうち第 66 条第 2 項第 4 号及び第及び第 175 条の規定（これらの規定のうち第 66 条第 2 項第 3 号及び第5 号（同項第 4 号に係る部分に限る。）に定める業務に係る部分を除

4 号（同項第 3 号に係る部分に限る。）に定める業務に係る部分を除く。）並びに第 181 条の規定は、適用しない。

く。）並びに第 176 条の規定は、適用しない。

第 58 条第 1 項各号に掲げる者による個人情報又は匿名加工情報の取2

別表第 2 に掲げる法人による個人情報又は匿名加工情報の取扱いに扱いについては、同項第 1 号に掲げる者を独立行政法人等と、同項第 2

ついては、独立行政法人等による個人情報又は匿名加工情報の取扱い

号に掲げる者を地方独立行政法人と、それぞれみなして、第 1 節、第とみなして、第 1 節、第 75 条、前二節、前条第 2 項、第 125 条及び次75 条、前二節、前条第 2 項、第 127 条及び次章から第 8 章まで（第 176章から第 8 章まで（第 171 条、第 175 条及び第 176 条を除く。）の規定

条、第 180 条及び第 181 条を除く。）の規定を適用する。

を適用する。

第 58 条第 1 項各号及び第 2 項各号に掲げる者（同項各号に定める業
務を行う場合に限る。）についての第 98 条の規定の適用については、

3

別表第 2 に掲げる法人及び独立行政法人労働者健康安全機構（病院の運営の業務を行う場合に限る。）についての第 98 条の規定の適用に

42

(2)

ついては、同条第 1 項第 1 号中「第 61 条第 2 項の規定に違反して保有とき、第 63 条の規定に違反して取り扱われているとき、第 64 条の規されているとき、第 63 条の規定に違反して取り扱われているとき、第定に違反して取得されたものであるとき、又は第 69 条第 1 項及び第 264 条の規定に違反して取得されたものであるとき、又は第 69 条第 1 項

項の規定に違反して利用されているとき」とあるのは「第 18 条若しく及び第 2 項の規定に違反して利用されているとき」とあるのは「第 18は第 19 条の規定に違反して取り扱われているとき、又は第 20 条の規条若しくは第 19 条の規定に違反して取り扱われているとき、又は第 20定に違反して取得されたものであるとき」と、同項第 2 号中「第 69 条

条の規定に違反して取得されたものであるとき」と、同項第 2 号中

第 1 項及び第 2 項又は第 71 条第 1 項」とあるのは「第 27 条第 1 項又は「第 69 条第 1 項及び第 2 項又は第 71 条第 1 項」とあるのは「第 27 条

第 28 条」とする。

第 1 項又は第 28 条」とする。

国立大学法人及び医療事業を行う独立行政法人等（※）における個人情

国の機関である国立大学法人及び医療事業を行う独立行政法人等（※）

報の取扱い並びに独立行政法人労働者健康安全機構の行う病院の運営の業

における個人情報の取扱い並びに独立行政法人労働者健康安全機構の行う務に係る個人情報の取扱いについては、学術研究機関、医療機関等として病院の運営の業務に係る個人情報の取扱いについては、学術研究機関、医の特性を踏まえ、基本的に民間の学術研究機関、医療機関等と同様、民間療機関等としての特性を踏まえ、基本的に民間の学術研究機関、医療機関部門における個人情報の取扱いに係る規律が適用される。

等と同様、民間部門における個人情報の取扱いに係る規律が適用される。

（※）国立大学法人、医療事業を行う独立行政法人等とは、法別表（※）国立大学法人、医療事業を行う独立行政法人等とは、法別表第 2 に掲げる次の法人等をいう。

第 2 に掲げる次の法人等をいう。

沖縄科学技術大学院大学学園

沖縄科学技術大学院大学学園

国立研究開発法人

国立研究開発法人

国立大学法人

国立大学法人大学共同利用機関法人

大学共同利用機関法人

独立行政法人国立病院機構

独立行政法人国立病院機構

独立行政法人地域医療機能推進機構

独立行政法人地域医療機能推進機構

福島国際研究教育機構

43

同条第 1 項第 1 号中「第 61 条第 2 項の規定に違反して保有されている

放送大学学園

放送大学学園他方、政府の一部を構成するとみられる独立行政法人等としての特性を

他方、政府の一部を構成するとみられる独立行政法人等としての特性を踏まえ、開示請求等に係る制度、行政機関等匿名加工情報の提供等につい踏まえ、開示請求等に係る制度、行政機関等匿名加工情報の提供等については、現行の取扱いを維持し、公的部門における規律（法第 5 章第 1 節、 ては、現行の取扱いを維持し、公的部門における規律（法第 5 章第 1 節、第 75 条、第 5 章第 4 節及び第 5 節、第 124 条第 2 項、第 127 条並びに第 6

第 75 条、第 5 章第 4 節及び第 5 節、第 122 条第 2 項、第 125 条並びに第 6章から第 8 章まで（第 176 条、第 180 条及び第 181 条を除く。））が適用 章から第 8 章まで（第 171 条、第 175 条及び第 176 条を除く。））が適用
される。

される。

また、地方独立行政法人のうち試験研究等を主たる目的とするもの又は大学等の設置及び管理若しくは病院事業の経営の業務を目的とするもの（※）における個人情報の取扱い並びに地方公共団体の機関の行う病院及術研究機関、医療機関等としての特性を踏まえ、基本的に民間の学術研究機関、医療機関等と同様、民間部門における個人情報の取扱いに係る規律が適用されるが、開示請求等に係る制度、行政機関等匿名加工情報の提供等については、上記の法別表第 2 に掲げる法人や独立行政法人労働者健康安全機構の行う病院の運営の業務と同様に、公的部門における規律（法第 5章第 1 節、第 75 条、第 5 章第 4 節及び第 5 節、第 124 条第 2 項、第 127 条
並びに第 6 章から第 8 章まで（第 176 条、第 180 条及び第 181 条を除く。））が適用される。
（※）地方独立行政法人のうち、地方独立行政法人法第 21 条第 1 号に掲げる業務を主たる目的とするもの又は同条第 2 号若しくは
第 3 号（チに係る部分に限る。）に掲げる業務を目的とするも
のをいう。

44

び診療所並びに大学の運営の業務に係る個人情報の取扱いについては、学（参考）公的部門の機関、法人等の種別と法第 4 章及び第 5 章の主な適用 （参考）公的部門の機関、法人等の種別と法第 4 章及び第 5 章の主な適用
関係

45

関係

（※1）[略]（※1）[同左]

（※2）これらが行う業務のうち政令で定めるものについては、安全（※2）これらが行う業務のうち政令で定めるものについては、安全管理措置義務（法第 66 条）、従事者の義務（法第 67 条）及び管理措置義務（法第 66 条）、従業者の義務（法第 67 条）及び一定の罰則（法第 176 条及び第 180 条）について、この表にか一定の罰則（法第 171 条及び第 175 条）について、この表にかかわらず、行政機関等に準じた扱いがなされる。（政令第 19 条

かわらず、行政機関等に準じた扱いがなされる。（令第 18 条関

関係）

係）

7

学術研究機関等の責務（法第 59 条関係）（※3）[同左]

7

学術研究機関等の責務（法第 59 条関係）

7-1 [略]

7-1 [同左]

7-2 学術研究機関等による自主規範の策定・公表

7-2 学術研究機関等による自主規範の策定・公表

大学の自治を始めとする学術研究機関等の自律性に鑑みれば、学術研究

大学の自治を始めとする学術研究機関等の自律性に鑑みれば、学術研究機関等の自律的な判断を原則として尊重する必要があると考えられる。こ

機関等の自律的な判断を原則として尊重する必要があると考えられる。このため、学術研究機関等が、個人情報を利用した研究の適正な実施のためのため、学術研究機関等が、個人情報を利用した研究の適正な実施のための自主規範を単独又は共同して策定・公表した場合であって、当該自主規の自主規範を単独又は共同して策定・公表した場合であって、当該自主規範の内容が個人の権利利益の保護の観点から適切であり、その取扱いが当範の内容が個人の権利利益の保護の観点から適切であり、その取扱いが当

該自主規範にのっとっているときは、法第 149 条第 1 項の趣旨を踏まえ、 該自主規範にのっとっているときは、法第 146 条第 1 項の趣旨を踏まえ、個人情報保護委員会は、これを尊重する。

個人情報保護委員会は、これを尊重する。

ただし、自主規範にのっとった個人情報の取扱いであっても、本人の権

ただし、自主規範にのっとった個人情報の取扱いであっても、本人の権

利利益を不当に侵害するおそれがある場合には、原則として、個人情報保利利益を不当に侵害するおそれがある場合には、原則として、個人情報保護委員会は、その監督権限を行使する。

護委員会は、その監督権限を行使する。

46（※3）[略]

（参考）

（参考）

法第 149 条（第 1 項）

法第 146 条（第 1 項）

[略]

[同左]

8 域外適用（法第 171 条関係）

8 域外適用（法第 166 条関係）

法第 171 条

法第 166 条

[略]

[同左]

[同左]
47

[略]

[【域外適用の対象となる事例】・【域外適用の対象とならない事例】[【域外適用の対象となる事例】・【域外適用の対象とならない事例】 同略]左][（※1）～（※3） 略][（※1）～（※3） 同左]（※4）法第 171 条により法の適用を受ける外国事業者が、法に違反（※4）法第 166 条により法の適用を受ける外国事業者が、法に違反した場合には、個人情報保護委員会が指導、助言、勧告又は命した場合には、個人情報保護委員会が指導、助言、勧告又は命令等を行うことができる。

令等を行うことができる。

（※5）[略]9[略]（※5）[同左]

9[同左]

10 （別添）講ずべき安全管理措置の内容

10 （別添）講ずべき安全管理措置の内容[同左]

10-1 [略]10-1 [同左]

10-2 個人データの取扱いに係る規律の整備

10-2 個人データの取扱いに係る規律の整備

個人情報取扱事業者は、その取り扱う個人データの漏えい等の防止その

個人情報取扱事業者は、その取り扱う個人データの漏えい等の防止その

他の個人データの安全管理のために、個人データの具体的な取扱いに係る他の個人データの安全管理のために、個人データの具体的な取扱いに係る規律を整備しなければならない。

規律を整備しなければならない。

[略]

[同左]

[10-3～10-7 略][10-3～10-7 同左][【付録】 略][【付録】 同左]

48

[略]

備考 表中の[ ]の記載は注記である。