個人情報の保護に関する法律に係るＥＵ及び英国域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール

ＥＵ及び英国域内から十分性認定により移転を受けた個人データの取扱いに関して、個人情報保護に関する法令及びガイドラインに加えて、最低限遵守すべき規律を示すものである。

平成 31 年１月
（令和５年 12 月一部改正）

個人情報保護委員会

個人情報の保護に関する法律に係るＥＵ及び英国域内から十分性認定により移転を受けた
個人データの取扱いに関する補完的ルール
目次(1) 要配慮個人情報（法第 2 条第 3 項関係） ..................................... 3(2) 利用目的の特定、利用目的による制限（法第 17 条第 1 項、法第 18 条第 1 項、
法第 30 条第 1 項・第 3 項関係）............................................ 5(3) 外国にある第三者への提供の制限（法第 28 条、規則第 16 条関係） ............. 7(4) 仮名加工情報（法第 2 条第 5 項、法第 16 条第 5 項、法第 41 条関係） ........... 9(5) 匿名加工情報（法第 2 条第 6 項、法第 43 条第 1 項・第 2 項関係） ............. 12

【凡例】
「法」

個人情報の保護に関する法律（平成 15 年法律第 57 号）「政令」

個人情報の保護に関する法律施行令（平成 15 年政令第 507 号）「規則」

個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第 3 号）

「通則ガイドライン」

個人情報の保護に関する法律についてのガイドライン（通則編）（平成 28 年個人情報保護委員会告示第 6 号）

「ＥＵ」

欧州連合加盟国及び欧州経済領域（EEA: European Economic Area）協定に基づきアイスランド、リヒテンシュタイン及びノルウェーを含む、欧州連合（European Union）「ＧＤＰＲ」 個人データの取扱いに係る自然人の保護及び当該データの自由な移転並びに指令 95/46/EC の廃止に関する欧州議会及び欧州理事会規則（一般データ保護規則）（REGULATION OF THE EUROPEAN PARLIAMENT AND OF
THE COUNCIL on the protection of natural persons with regard tothe processing of personal data and on the free movement of suchdata, and repealing Directive 95/46/EC（General Data ProtectionRegulation））「英国ＧＤＰＲ」

個人データの取扱いに係る自然人の保護及び当該データの自由な移転に関する 2016 年４月 27 日欧州議会及び欧州理事会規則（英国一般データ保護規則）（REGULATION OF THE EUROPEAN PARLIAMENT AND
OF THE COUNCIL on the protection of natural persons withregard to the processing of personal data and on the freemovement of such data（United Kingdom General DataProtection Regulation））「十分性認定」ＧＤＰＲ第 45 条に基づき、欧州委員会が、国又は地域等を個人データについて十分な保護水準を確保していると認める決定及び英国においてこれに相当する決定

個人情報保護委員会は、日ＥＵ間で相互の円滑な個人データ移転を図るため、法第 28 条に基づき、個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国としてＥＵを指定し、これにあわせて、欧州委員会は、ＧＤＰＲ第 45 条に基づき、日本が個人データについて十分な保護水準を確保していると決定した。
これにより、日ＥＵ間で、個人の権利利益を高い水準で保護した上で相互の円滑な個人データ移転が図られることとなる。日ＥＵ双方の制度は極めて類似しているものの、いくつかの関連する相違点が存在するという事実に照らして、個人情報の保護に関する基本方針を踏まえ、ＥＵ域内から十分性認定により移転を受けた個人情報について高い水準の保護を確保するために、個人情報取扱事業者によるＥＵ域内から十分性認定により移転を受けた個人情報の適切な取扱い及び適切かつ有効な義務の履行を確保する観点から、各国政府との協力の実施等に関する法の規定（※１）に基づき個人情報保護委員会は補完的ルール（以下「本ルール」という。
）を策定した。
特に法第６条は、個人情報に関する一層の保護を図り国際的に整合のとれた個人情報に係る制度を構築する観点から、法令で定める内容を補完し上回る、より厳格な規律を設けられるよう必要な法制上の措置その他の措置を講ずる権限を規定している。したがって、個人情報保護委員会は、個人情報保護法を所管する機関として、法第６条に従い、法第２条第３項に定める要配慮個人情報に関する定義を含め、ＥＵ域内から十分性認定により移転を受けた個人データの取扱いについて、個人の権利利益のより高い水準の保護を規定した補完的ルールを策定することにより、より厳しい規律を策定する権限を有している。
これに基づき、本ルールは、ＥＵ域内から十分性認定により移転される個人データを受領する個人情報取扱事業者を拘束し、個人情報取扱事業者はこれを遵守する必要がある。本ルールは法的拘束力を有する規律であり、本ルールに基づく権利及び義務は、本ルールがより厳格でより詳細な規律により補完する法の規定と同様に個人情報保護委員会の執行対象となる。本ルールに定める権利及び義務に対する侵害があった場合は、本ルールがより厳格でより詳細な規律により補完する法の規定と同様に、本人は裁判所からも救済を得ることができる。
個人情報保護委員会による執行に関しては、個人情報取扱事業者が本ルールに定める一つ以上の義務を遵守しない場合、個人情報保護委員会は法第 148 条に基づく措置を講ずる権限を有する。一般的に、ＥＵ域内から十分性認定により移転を受けた個人情報について、法第 148 条第１項の規定による勧告を受けた個人情報取扱事業者が正当な理由（※２）がなくその勧告に係る措置をとらなかった場合は、同条第２項に定める「個人の重大な権利利益の侵害が切迫している」と認められる。
なお、本ルールは、ＥＵから英国が離脱した後、英国域内から十分性認定により移転を受けた個人データの取扱いについても同様に対象とする。

1

（※１）法第４条、第６条、第９条、第 28 条、第 131 条及び第 172 条、並びに規則第 15 条（※２）正当な理由とは、個人情報取扱事業者にとって合理的に予測できない不可抗力のできごと（たとえば自然災害）による場合や、個人情報取扱事業者が違反を完全に是正する代替的措置をとったことにより法第 148 条第１項に基づく個人情報保護委員会による勧告に係る措置を講じる必要性が失われた場合が考えられる。

2

(1) 要配慮個人情報（法第 2 条第 3 項関係）
法第 2 条（第 3 項）
3

この法律において「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。

政令第 2 条
法第 2 条第 3 項の政令で定める記述等は、次に掲げる事項のいずれかを内容とする記述等（本人の病歴又は犯罪の経歴に該当するものを除く。
）とする。
(1)

身体障害、知的障害、精神障害（発達障害を含む。
）その他の個人情報保護委員会規則で定める心身の機能の障害があること。

(2)

本人に対して医師その他医療に関連する職務に従事する者（次号において「医師等」という。
）により行われた疾病の予防及び早期発見のための健康診断その他の検査（同号において「健康診断等」という。）の結果(3)

健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと。

(4)

本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと。

(5)

本人を少年法（昭和 23 年法律第 168 号）第 3 条第 1 項に規定する少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと。

規則第 5 条
令第 2 条第 1 号の個人情報保護委員会規則で定める心身の機能の障害は、次に掲げる障害とする。
(1)

身体障害者福祉法（昭和 24 年法律第 283 号）別表に掲げる身体上の障害(2)

知的障害者福祉法（昭和 35 年法律第 37 号）にいう知的障害(3)

精神保健及び精神障害者福祉に関する法律（昭和 25 年法律第 123 号）にいう精神障害（発達障害者支援法（平成 16 年法律第 167 号）第 2 条第 1 項に規定する発達障害を含み、前号に掲げるものを除く。）(4)

治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生活及び社会生活を総合的に支援するための法律（平成 17 年法律第 123 号）第 4 条第1 項の政令で定めるものによる障害の程度が同項の主務大臣が定める程度である
もの

3

ＥＵ又は英国域内から十分性認定に基づき提供を受けた個人データに、ＧＤＰＲ及び英国ＧＤＰＲそれぞれにおいて特別な種類の個人データと定義されている性生活、性的指向又は労働組合に関する情報が含まれる場合には、個人情報取扱事業者は、当該情報について
法第 2 条第 3 項における要配慮個人情報と同様に取り扱うこととする。

4

(2) 利用目的の特定、利用目的による制限（法第 17 条第 1 項、法第 18 条第 1 項、法第 30条第 1 項・第 3 項関係）
法第 17 条（第 1 項）
1

個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。
）をできる限り特定しなければならない。
法第 18 条（第 1 項）
1

個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。

法第 30 条（第 1 項・第 3 項）
1

個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、個人情報保護委員会規則で定めるところにより、次に掲げる事項の確認を行わなければならない。
（略）

3

(1)

（略）

(2)

当該第三者による当該個人データの取得の経緯

個人情報取扱事業者は、第 1 項の規定による確認を行ったときは、個人情報保護委員会規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。

個人情報取扱事業者は、法第 17 条第 1 項により特定した利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合は、あらかじめ本人の同意を得なければならず（法第 18条第 1 項）
、また、第三者から個人データの提供を受ける際は、規則で定めるところにより、当該第三者による当該個人データの取得の経緯等を確認し、記録しなければならないこととなっている（法第 30 条第 1 項・第 3 項）。
個人情報取扱事業者が、ＥＵ又は英国域内から十分性認定に基づき個人データの提供を受ける場合、法第 30 条第 1 項及び第 3 項の規定に基づき、ＥＵ又は英国域内から当該個人データの提供を受ける際に特定された利用目的を含め、その取得の経緯を確認し、記録することとする。
同様に、個人情報取扱事業者が、ＥＵ又は英国域内から十分性認定に基づき移転された個人データの提供を受けた他の個人情報取扱事業者から、当該個人データの提供を受ける場
合、法第 30 条第 1 項及び第 3 項の規定に基づき、当該個人データの提供を受ける際に特定された利用目的を含め、その取得の経緯を確認し、記録することとする。
上記のいずれの場合においても、個人情報取扱事業者は、法第 30 条第 1 項及び第 3 項の5規定に基づき確認し、記録した当該個人データを当初又はその後提供を受ける際に特定された利用目的の範囲内で利用目的を特定し、その範囲内で当該個人データを利用することとする（法第 17 条第 1 項、法第 18 条第 1 項）。

6

(3) 外国にある第三者への提供の制限（法第 28 条、規則第 16 条関係）
法第 28 条1

個人情報取扱事業者は、外国（本邦の域外にある国又は地域をいう。以下この条及び第 31 条第 1 項第 2 号において同じ。
）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものを除く。以下この条及び同号において同じ。
）にある第三者（個人データの取扱いについてこの節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置（第 3 項において「相当措置」という。）を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この項及び次項並びに同号において同じ。）に個人データを提供する場合には、前条第 1 項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は、適用しない。

2

個人情報取扱事業者は、前項の規定により本人の同意を得ようとする場合には、個人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。

3

個人情報取扱事業者は、個人データを外国にある第三者（第 1 項に規定する体制を整備している者に限る。
）に提供した場合には、個人情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。

規則第 16 条
法第 28 条第 1 項の個人情報保護委員会規則で定める基準は、次の各号のいずれかに該当することとする。
(1)

個人情報取扱事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第 4 章第 2 節の規定の趣旨に沿った措置の実施が確保されていること。

(2)

個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。

個人情報取扱事業者は、ＥＵ又は英国域内から十分性認定に基づき提供を受けた個人データを外国にある第三者へ提供するに当たっては、法第 28 条に従い、次の①から③までのいずれかに該当する場合を除き、あらかじめ外国にある第三者への個人データの提供を認7

める旨の本人の同意を得ることとする。
① 当該第三者が、個人の権利利益の保護に関して、我が国と同等の水準にあると認められる個人情報保護制度を有している国として規則で定める国にある場合② 個人情報取扱事業者と個人データの提供を受ける第三者との間で、当該第三者による個人データの取扱いについて、適切かつ合理的な方法（契約、その他の形式の拘束力のある取決め又は企業グループにおける拘束力のある取扱い）により、本ルールを含め法と同等水準の個人情報の保護に関する措置を連携して実施している場合③ 法第 27 条第 1 項各号に該当する場合

8

(4) 仮名加工情報（法第 2 条第 5 項、法第 16 条第 5 項、法第 41 条関係）
法第 2 条（第 5 項）
5

この法律において「仮名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報をいう。
(1) 第 1 項第 1 号に該当する個人情報 当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）。
(2) 第 1 項第 2 号に該当する個人情報 当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）。

法第 16 条（第 5 項）
5

この章、第 6 章及び第 7 章において「仮名加工情報取扱事業者」とは、仮名加工情報を含む情報の集合物であって、特定の仮名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の仮名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第 41 条第1 項において「仮名加工情報データベース等」という。
）を事業の用に供している者をいう。ただし、第 2 項各号に掲げる者を除く。

法第 41 条1

個人情報取扱事業者は、仮名加工情報（仮名加工情報データベース等を構成するものに限る。以下この章及び第 6 章において同じ。
）を作成するときは、他の情報と照合しない限り特定の個人を識別することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、個人情報を加工しなければならない。

2

個人情報取扱事業者は、仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等（仮名加工情報の作成に用いられた個人情報から削除された記述等及び個人識別符号並びに前項の規定により行われた加工の方法に関する情報をいう。以下この条及び次条第 3 項において読み替えて準用する第 7 項において同じ。
）を取得したときは、削除情報等の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、削除情報等の安全管理のための措置を講じなければならない。

3

仮名加工情報取扱事業者（個人情報取扱事業者である者に限る。以下この条において同じ。
）は、第 18 条の規定にかかわらず、法令に基づく場合を除くほか、第 17 条

9

第 1 項の規定により特定された利用目的の達成に必要な範囲を超えて、仮名加工情報（個人情報であるものに限る。以下この条において同じ。
）を取り扱ってはならない。
4

仮名加工情報についての第 21 条の規定の適用については、同条第 1 項及び第 3 項
中「、本人に通知し、又は公表し」とあるのは「公表し」と、同条第 4 項第 1 号から第 3 号までの規定中「本人に通知し、又は公表する」とあるのは「公表する」とする。

5

仮名加工情報取扱事業者は、仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞なく消去するよう努めなければならない。この場合においては、第 22 条の規定は、適用しない。

6

仮名加工情報取扱事業者は、第 27 条第 1 項及び第 2 項並びに第 28 条第 1 項の規定にかかわらず、法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはならない。この場合において、第 27 条第 5 項中「前各項」とあるのは「第 41 条第 6 項」と、同項第 3 号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第 6 項中「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と、第 29条第 1 項ただし書中「第 27 条第 1 項各号又は第 5 項各号のいずれか（前条第 1 項の規定による個人データの提供にあっては、第 27 条第 1 項各号のいずれか）」とあり、及び第 30 条第 1 項ただし書中「第 27 条第 1 項各号又は第 5 項各号のいずれか」とあるのは「法令に基づく場合又は第 27 条第 5 項各号のいずれか」とする。

7

仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たっては、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該仮名加工情報を他の情報と照合してはならない。

8

仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たっては、電話をかけ、郵便若しくは民間事業者による信書の送達に関する法律（平成 14 年法律第 99 号）第2 条第 6 項に規定する一般信書便事業者若しくは同条第 9 項に規定する特定信書便事業者による同条第 2 項に規定する信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法（電子情報処理組織を使用する方法その他の情報通信の技術を利用する方法であって個人情報保護委員会規則で定めるものをいう。
）を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用してはならない。

9仮名加工情報、仮名加工情報である個人データ及び仮名加工情報である保有個人データについては、第 17 条第 2 項、第 26 条及び第 32 条から第 39 条までの規定は、適用しない。

ＥＵ又は英国域内から十分性認定に基づき提供を受けた個人情報を加工して得られた仮名加工情報は、法第 41 条に基づき取り扱われることとする。加えて、当該仮名加工情報は統計目的のためにのみ取り扱われることとする。この場合、統計目的とは、統計調査のため10

又はその他の統計結果を作成するためのあらゆる処理を意味し、それにより作成された統計結果は集計データであり、特定の個人に関する措置又は決定を裏付けるために利用してはならない。

11

(5) 匿名加工情報（法第 2 条第 6 項、法第 43 条第 1 項・第 2 項関係）
法第 2 条（第 6 項）
6

この法律において「匿名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。
(1)

第 1 項第 1 号に該当する個人情報 当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

(2)

第 1 項第 2 号に該当する個人情報 当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）。

法第 43 条（第 1 項）
1

個人情報取扱事業者は、匿名加工情報（匿名加工情報データベース等を構成するものに限る。以下この章及び第 6 章において同じ。
）を作成するときは、特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、当該個人情報を加工しなければならない。

規則第 34 条
法第 43 条第 1 項の個人情報保護委員会規則で定める基準は、次のとおりとする。
(1)

個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること（当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）
。

(2)

個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）
。

(3)

個人情報と当該個人情報に措置を講じて得られる情報とを連結する符号（現に個人情報取扱事業者において取り扱う情報を相互に連結する符号に限る。
）を削除すること（当該符号を復元することのできる規則性を有しない方法により当該個人情報と当該個人情報に措置を講じて得られる情報を連結することができない符号に置き換えることを含む。）。

(4)

特異な記述等を削除すること（当該特異な記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）
。

12

(5)

前各号に掲げる措置のほか、個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等との差異その他の当該個人情報データベース等の性質を勘案し、その結果を踏まえて適切な措置を講ずること。

法第 43 条（第 2 項）
2

個人情報取扱事業者は、匿名加工情報を作成したときは、その作成に用いた個人情報から削除した記述等及び個人識別符号並びに前項の規定により行った加工の方法に関する情報の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、これらの情報の安全管理のための措置を講じなければならない。

規則第 35 条
法第 43 条第 2 項の個人情報保護委員会規則で定める基準は、次のとおりとする。
(1)

加工方法等情報（匿名加工情報の作成に用いた個人情報から削除した記述等及び個人識別符号並びに法第 43 条第 1 項の規定により行った加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。
）をいう。
以下この条において同じ。
）を取り扱う者の権限及び責任を明確に定めること。

(2)

加工方法等情報の取扱いに関する規程類を整備し、当該規程類に従って加工方法等情報を適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果に基づき改善を図るために必要な措置を講ずること。

(3)

加工方法等情報を取り扱う正当な権限を有しない者による加工方法等情報の取扱いを防止するために必要かつ適切な措置を講ずること。

ＥＵ又は英国域内から十分性認定に基づき提供を受けた個人情報については、個人情報取扱事業者が、加工方法等情報（匿名加工情報の作成に用いた個人情報から削除した記述等及び個人識別符号並びに法第 43 条第 1 項の規定により行った加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。
）をいう。
）を削除することにより、匿名化された個人を再識別することを何人にとっても不可能とした場合に限り、法第 2 条第 6 項に定める匿名加工情報とみなすこととする。

13