放 送受 信者 等の 個人 情報 保護 に関 する ガイ ドラ イン（令和４年個人情報保護委員会・総務省告示第１号（最終改正令和６年個人情報保護委員会・総務省告示第１号））

の

解

説

令和４年４月（令和６年３月更新）
個人情報保護委員会
総務省

1

目次

放送受信者等の個人情報保護に関するガイドラインの解説
目次
1

目的及び適用対象........................................................... 6

2

定義 ..................................................................... 113

受信者情報取扱事業者の義務................................................ 42
利用目的の特定（第４条第１項関係） ................................ 42
利用目的の変更（第４条第２項、第９条第３項関係） .................. 43
利用目的による制限（第５条第１項関係） ............................ 44
事業の承継（第５条第２項関係） .................................... 452

目次
利用目的による制限の例外（第５条第３項関係） ...................... 46

取得の制限（第７条関係） .......................................... 53
適正な取得（第８条第１項関係） .................................... 53
要配慮個人情報の取得（第８条第２項関係） .......................... 54
利用目的の通知又は公表（第９条第１項関係） ........................ 60
直接書面等による取得（第９条第２項関係） .......................... 61
利用目的の通知等をしなくてよい場合（第９条第４項関係） ............ 63
データ内容の正確性の確保等（第 10 条関係） ......................... 65
保存期間等（第 11 条関係） ......................................... 65
安全管理措置（第 12 条関係） ....................................... 67
従業者の監督（第 13 条第１項、第２項関係） ......................... 67
委託先の監督（第 13 条第３項関係） ................................. 68
個人情報保護管理者（第 14 条関係） ................................. 71「個人データ」の「漏えい等」の考え方 .............................. 73
漏えい等事案が発覚した場合に講ずべき措置 .......................... 75
個人情報保護委員会又は委任を受けた総務大臣等への報告（第 16 条第１項、第４項関係） ..................................................... 76
本人への通知（第 16 条第６項関係） ................................. 87
第三者提供の制限の原則（第 17 条第１項関係） ....................... 90
オプトアウトによる第三者提供（第 17 条第２項～第８項関係） ......... 95
第三者に該当しない場合（第 17 条第９項関係） ...................... 104
外国にある第三者への提供の制限（第 18 条関係） .................... 110
第三者提供に係る記録の作成等（第 19 条関係） ...................... 115
第三者提供を受ける際の確認等（第 20 条関係） ...................... 118
第 21 条の適用の有無について ...................................... 125
本人の同意の取得方法............................................. 127
本人の同意等の確認の方法（第 21 条第１項、第２項関係） ............ 129
提供元における記録義務（第 21 条第５項関係） ...................... 138
提供先の第三者における確認義務（第 20 条第１項） .................. 147

3

目次
提供先の第三者における記録義務（第 20 条第３項関係） .............. 151

保有個人データに関する事項の公表等（第 22 条関係） ................ 159
保有個人データの開示（第 23 条第１項～第４項関係） ................ 166
第三者提供記録の開示（第 23 条第５項、第１項～第３項関係） ........ 170
保有個人データの訂正等（第 24 条関係） ............................ 176
保有個人データの利用停止等（第 25 条関係） ........................ 177
理由の説明（第 26 条関係） ........................................ 185
開示等の請求等に応じる手続（第 27 条関係） ........................ 185
手数料（第 28 条関係）............................................ 189
裁判上の訴えの事前請求（第 29 条関係） ............................ 190

4

適用除外（第 37 条関係）.................................................. 207

5適用の特例（第 38 条関係）................................................ 208

6

学術研究機関等の責務（第 39 条関係） ...................................... 210

7

各種情報の取扱い......................................................... 212
氏名又は名称の明示等（第 40 条第１項～第３項関係） ................ 212
保存期間の通知又は公表（第 40 条第４項関係） ...................... 213

視聴者特定視聴履歴の取扱い上の注意（第 42 条第１項関係） .......... 215
視聴者特定視聴履歴に係る同意（第 42 条第２項～第４項関係） ........ 217
8

域外適用（第 43 条関係）.................................................. 221

9

ガイドラインの見直し（第 44 条関係） ...................................... 223

10 （別添）講ずべき安全管理措置の内容 ....................................... 224

4

目次【付録】 .................................................................... 235

【凡例】
「法」

個人情報の保護に関する法律（平成 15 年法律第 57 号）「政令」

個人情報の保護に関する法律施行令（平成 15 年政令第 507 号）「規則」

個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第３号）「平成 27 年改正法」

個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律（平成 27 年法律第 65 号）「令和２年改正法」

個人情報の保護に関する法律等の一部を改正する法律（令和２年法律第 44 号）「令和３年改正法」

デジタル社会の形成を図るための関係法律の整備に関する法律（令和３年法律第 37 号）※ なお、特に断りのない限り、本ガイドラインの解説において示す法令等の内容は、令和６年３月 12 日時点とする。

5

１ 目的及び適用対象

1

目的及び適用対象
目的（第１条関係）第１条
本ガイドラインは、放送の公共性及びデジタル社会の進展に伴い個人情報の利用が著しく拡大していることに鑑み、視聴者特定視聴履歴その他の放送受信者等の個人情報の適正な取扱いに関し、受信者情報取扱事業者の遵守すべき義務等の内容を明らかにすることにより、放送受信者等の個人情報の有用性に配慮しつつ、放送受信者等の権
利利益を保護するとともに、放送の健全な発達に寄与することを目的とする。
放送法（昭和25年法律第132号）は、その目的において、①放送が国民に最大限に普及されて、その効用をもたらすことを保障すること、②放送の不偏不党、真実及び自律を保障することによって、放送による表現の自由を確保すること、③放送に携わる者の職責を明らかにすることによって、放送が健全な民主主義の発達に資するようにすることという３原則
に従い、放送を公共の福祉に適合するように規律し、その健全な発達を図ることとしている。
このような放送の果たすべき役割を踏まえ、本ガイドラインは、個人情報の保護に関する法律（平成15年法律第57号。以下「法」という。
）及び法第７条第１項の規定に基づく「個人情報の保護に関する基本方針」（平成16年４月閣議決定。令和４年４月１日一部変更。）並
びに放送法を踏まえ、視聴者特定視聴履歴その他の放送受信者等の個人情報の適正な取扱
いに関し、放送分野特有の事情に即して、できるだけ具体的な指針を示すことにより、その範囲での個人情報の自由な流通を確保して放送受信者等の利益の向上を図りつつ、放送受信者等の権利利益を保護するとともに、放送の健全な発達に寄与することを目的として、法第６条及び法第９条に基づき定めるものである。
本ガイドラインの中で、「しなければならない」及び「してはならない」と記述している事項については、これらに従わなかった場合、法に違反すると判断される可能性がある。
一方、「努めなければならない」、「望ましい」等と記述している事項については、これらに従わなかったことをもって直ちに法に違反すると判断されることはないが、「個人情報は、個人の人格尊重の理念の下に慎重に取り扱われるべきものであることに鑑み、その適正な取扱いが図られなければならない。
」とする法の基本理念（法第３条）を踏まえ、受信者情報取扱事業者（第３条第３号）の特性や規模に応じ可能な限り対応することが望まれるものである。もっとも、法の目的（法第１条）の趣旨に照らして、公益上必要な活動や正当な事
業活動等までも制限するものではない。
本ガイドラインにおいて記述した具体例は、受信者情報取扱事業者の理解を助けることを目的として典型的なものを示したものであり、全ての事案を網羅したものでなく、記述し6

１ 目的及び適用対象た内容に限定する趣旨で記述したものでもない。また、記述した具体例においても、個別ケ
ースによっては別途考慮すべき要素もあり得るので注意を要する。
なお、認定個人情報保護団体（※）が個人情報保護指針を作成又は変更し、また、事業者団体等が事業の実態及び特性を踏まえ、当該事業者団体等の会員企業等を対象とした自主的ルール（事業者団体ガイドライン等）を作成又は変更することもあり得るが、その場合は、認定個人情報保護団体の対象事業者や事業者団体等の会員企業等は、個人情報の取扱いに当たり、法及び本ガイドラインに加えて、当該指針又は事業者団体ガイドライン等に沿った対応を行う必要がある。特に、認定個人情報保護団体においては、認定個人情報保護団体が対象事業者に対し個人情報保護指針を遵守させるために必要な措置をとらなければならないこととされていることを踏まえることも重要である（法第 54 条第４項参照）。
※

認定個人情報保護団体制度については、個人情報保護委員会が定める「個人情報の保護に関する法律についてのガイドライン（認定個人情報保護団体編）」（令和３
年個人情報保護委員会告示第７号）を参照のこと。

（参考）
法第１条
この法律は、デジタル社会の進展に伴い個人情報の利用が著しく拡大していることに鑑み、個人情報の適正な取扱いに関し、基本理念及び政府による基本方針の作成その他の個人情報の保護に関する施策の基本となる事項を定め、国及び地方公共団体の責務等を明らかにし、個人情報を取り扱う事業者及び行政機関等についてこれらの特性に応じて遵守すべき義務等を定めるとともに、個人情報保護委員会を設置することにより、行政機関等の事務及び事業の適正かつ円滑な運営を図り、並びに個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであることその他の個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする。
法第３条
個人情報は、個人の人格尊重の理念の下に慎重に取り扱われるべきものであることに鑑み、その適正な取扱いが図られなければならない。
法第６条
政府は、個人情報の性質及び利用方法に鑑み、個人の権利利益の一層の保護を図る
ため特にその適正な取扱いの厳格な実施を確保する必要がある個人情報について、保護のための格別の措置が講じられるよう必要な法制上の措置その他の措置を講ずると

7

１ 目的及び適用対象

ともに、国際機関その他の国際的な枠組みへの協力を通じて、各国政府と共同して国際的に整合のとれた個人情報に係る制度を構築するために必要な措置を講ずるものとする。
法第９条
国は、地方公共団体が策定し、又は実施する個人情報の保護に関する施策及び国民又は事業者等が個人情報の適正な取扱いの確保に関して行う活動を支援するため、情報の提供、地方公共団体又は事業者等が講ずべき措置の適切かつ有効な実施を図るための指針の策定その他の必要な措置を講ずるものとする。
法第 47 条１

個人情報取扱事業者、仮名加工情報取扱事業者又は匿名加工情報取扱事業者（以下この章において「個人情報取扱事業者等」という。
）の個人情報、仮名加工情報又は匿名加工情報（以下この章において「個人情報等」という。
）の適正な取扱いの確保を目的として次に掲げる業務を行おうとする法人（法人でない団体で代表者又は管理人の定めのあるものを含む。次条第３号ロにおいて同じ。
）は、個人情報保護委員会の認定を受けることができる。
一

業務の対象となる個人情報取扱事業者等（以下この節において「対象事業者」という。
）の個人情報等の取扱いに関する第 53 条の規定による苦情の処理
二

個人情報等の適正な取扱いの確保に寄与する事項についての対象事業者に対する

情報の提供
三

前二号に掲げるもののほか、対象事業者の個人情報等の適正な取扱いの確保に関し必要な業務２

前項の認定は、対象とする個人情報取扱事業者等の事業の種類その他の業務の範囲を限定して行うことができる。

３

第１項の認定を受けようとする者は、政令で定めるところにより、個人情報保護委員会に申請しなければならない。

４

個人情報保護委員会は、第１項の認定をしたときは、その旨（第２項の規定により業務の範囲を限定する認定にあっては、その認定に係る業務の範囲を含む。
）を公示しな
ければならない。

法第 54 条（第４項）
４

認定個人情報保護団体は、前項の規定により個人情報保護指針が公表されたときは、対象事業者に対し、当該個人情報保護指針を遵守させるため必要な指導、勧告その他の措置をとらなければならない。

8

１ 目的及び適用対象

適用対象（第２条第１項関係）第２条（第１項）
１

本ガイドラインの規定は、放送受信者等の個人情報の適正な取扱いに関し、受信者情報取扱事業者の遵守すべき基本的事項を定めるものとして、解釈され、及び運用される。

本ガイドラインは、業種・規模等を問わず、法の適用対象である受信者情報取扱事業者に該当する事業者に適用される。
なお、放送事業者等が行うインターネットを通じた動画配信サービス等であって電気通信事業法（昭和 59 年法律第 86 号）第２条第４号の電気通信事業を行う者が提供する同法
同条第３号の電気通信役務に該当するものについては、電気通信事業における個人情報保護に関するガイドライン（令和４年個人情報保護委員会・総務省告示第４号）が適用される。
ただし、当該サービスにおいて放送受信者等の個人情報も利用する場合、受信者情報取扱事業者となるため、本ガイドラインも適用される。
※

受信者情報取扱事業者が、電気通信事業等において取得し、放送受信者等の個人情報として取得した情報ではない個人情報であって、放送受信者等の個人情報と同じＩＤ等で紐付けを行わないものについては、本ガイドラインの対象にならない。

適用関係（第２条第２項、第３項関係）第２条（第２項、第３項）
２

受信者情報取扱事業者は、個人情報の保護に関する法律（平成15年法律第57号。以下「法」という。）の規定及び本ガイドラインに従い個人情報を適正に取り扱わなければ
ならない。

３

受信者情報取扱事業者は、第３章に規定する各種情報については、第２章に規定する
個人情報の取扱いに関する共通原則を遵守するほか、第３章の規定に従い適正に取り扱わなければならない。

本ガイドラインは、受信者情報取扱事業者に対する法の適用の基準を明らかにするとともに、個人情報の取扱いに当たり遵守すべき基本的事項を明らかにするものである。
放送は、一度に大量の情報を不特定多数の者に同時に送信でき、安価かつ簡便な手段
で安心・安全に受信できるという特徴から、大きな社会的影響力を有してきたこと、また、無線によるものについては、有限希少な周波数を占有するものであることから、放送法による規律を受けている。よって、本ガイドラインは、「個人情報の保護に関する法律についてのガイドライン」（平成28年個人情報保護委員会告示第６号から第９号ま9１ 目的及び適用対象

で及び令和３年個人情報保護委員会告示第７号）で定める規定に準拠しつつ、放送が国民に最大限に普及され、その効用をもたらすことを保障し、我が国における表現の自由や民主主義の発展を確保するという放送法の原則をはじめとする放送に特有の事情等に鑑みて必要となる規定を併せて規定したものとなっている。
本ガイドラインにおいて特に定めのない部分については、「個人情報の保護に関する法律についてのガイドライン」（平成 28 年個人情報保護委員会告示第６号から第９号まで及び令和３年個人情報保護委員会告示第７号）が適用される。
なお、EU及び英国域内から十分性認定（EUにあってはGDPR（※）第45条に基づき、欧州委員会が、国又は地域等を個人データについて十分な保護水準を確保していると認める決定をいい、英国にあってはこれに相当する決定をいう。）により移転を受けた個人
データを取り扱う場合には、「個人情報の保護に関する法律に係るEU及び英国域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール」（平成30年
個人情報保護委員会告示第４号）を参照のこと。
また、第３章（第40条から第42条まで）の規定は、第２章（第４条から第36条まで）の規定の特則的な規定であり、第３章（第40条から第42条まで）に特に規定されていな
い事項については、第２章（第４条から第36条まで）の規定によることとする。
※

個人データの取扱いに係る自然人の保護及び当該データの自由な移転並びに
指令 95/46/EC の廃止に関する欧州議会及び欧州理事会規則（一般データ保護規則）（REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL on theprotection of natural persons with regard to the processing of personal
data and on the free movement of such data, and repealing Directive
95/46/EC（General Data Protection Regulation）
）

10

２ 定義

2

定義
受信者情報取扱事業者等（第３条関係）第３条
本ガイドラインにおいて使用する用語は、法第２条及び法第 16 条において使用する用語の例によるほか、次の各号に掲げる用語の意義は、当該各号に定めるところによる。
一

放送 放送法（昭和 25 年法律第 132 号）第２条第１号に規定する放送をいう。

二

放送受信者等 次に掲げる者をいう。

イ

放送の受信に関する契約を締結する者

ロ

放送番組（放送法第２条第 28 号に規定する放送番組をいう。以下同じ。
）を視聴
する者

ハ

放送番組の視聴に伴い行われる情報の電磁的方式による発信又は受信を行う者

ニ

放送の受信、放送番組の視聴又はハの発信若しくは受信に関し料金（放送法第 64条第２項に規定する受信料を含む。以下同じ。）又は代金を支払う者

ホ

放送の受信、放送番組の視聴又はハの発信若しくは受信に係る勧誘（当該勧誘に必要な準備行為を含む。
）の対象となる者

三

受信者情報取扱事業者

イ

次に掲げる者をいう。

放送受信者等の個人情報データベース等を事業の用に供している個人情報取扱事業者

ロ

放送受信者等の個人関連情報データベース等を事業の用に供している個人関連
情報取扱事業者

ハ

放送受信者等の仮名加工情報データベース等を事業の用に供している仮名加工
情報取扱事業者

ニ

放送受信者等の匿名加工情報データベース等を事業の用に供している匿名加工
情報取扱事業者

四

視聴者個人情報

視聴に伴って取得される個人に関する情報であって、個人情報であるものをいう。
五

視聴者特定視聴履歴

視聴者個人情報であって、特定の日時において視聴する放

送番組を特定することができるものをいう。ただし、当該特定の日時の一ごとに個人情報を提供する本人の意図が明らかなものを除く。
本条では、法第２条及び法第 16 条で定める用語を除く本ガイドラインで使用する用語について、各号において定義している。
(1) 放送「放送」とは、「放送法（昭和 25 年法律第 132 号）第２条第１号に規定する放送」をいう。

11

２ 定義

(2) 放送受信者等「放送受信者等」とは、次の５類型のいずれかに属する者をいう。
①

放送の受信に関する契約を締結する者「放送の受信に関する契約」とは、放送法第 64 条に規定する日本放送協会（ＮＨＫ）との受信契約、同法第 147 条に規定する有料基幹放送に係る契約等であり、これを締結する者であれば、その者が当該契約に基づき放送番組を実際に視聴しているか否か、
当該契約に基づいて受信料や有料放送サービスの料金の支払をしているか否かを問わず、この類型に属することになる。

②

放送番組（放送法第２条第 28 号に規定する放送番組をいう。以下同じ。
）を視聴する者
放送番組を実際に視聴する者であれば、放送の受信に関する契約を締結しているか否かを問わず、この類型に属することになる。
③

放送番組の視聴に伴い行われる情報の電磁的方式による発信又は受信を行う者
放送番組の視聴に伴い、例えば、電話やインターネット接続サービスを利用する等により、放送局等との間で様々な情報のやりとりを行う者がこの類型に属することになる。また、テレビ受信機に内蔵された情報入力・通信機能を使って情報を入力・送信することで提供を受けることが可能となるいわゆる双方向サービス（以下「双方向サービス」という。
）や、放送番組の視聴に伴う商品の販売等を行ういわゆるテレビショッピ
ングサービス（以下「テレビショッピングサービス」という。
）の利用者もこの類型に属することになる。

④

放送の受信、放送番組の視聴又はハの発信若しくは受信に関し料金（放送法第 64 条
第２項に規定する受信料を含む。以下同じ。
）又は代金を支払う者
例えば、ＮＨＫの受信料、有料放送サービスの料金、双方向サービスやテレビショッ
ピングサービスにおいて支払が求められる代金のような、放送の受信、放送番組の視聴、双方向サービス、テレビショッピングサービス等に関して金銭の支払を求められ、その支払を行う者がこの類型に属することになる。

⑤

放送の受信、放送番組の視聴又はハの発信若しくは受信に係る勧誘（当該勧誘に必要な準備行為を含む。
）の対象となる者
例えば、放送事業者、放送事業者から顧客対応等を受託して行ういわゆるプラットフ
ォーム事業（以下「プラットフォーム事業」という。
）を行う者、双方向サービス提供

12

２ 定義

事業者、テレビショッピングサービスの提供事業者などの事業者が、放送の受信・視聴の提供、それに関する契約の締結、サービス提供のための登録を行わせるために、勧誘
自体や勧誘の対象となるか否かの調査等を行う際には、それら行為の対象となる者は、実際に放送の受信・視聴を行うか、又は実際に上記の契約を締結するか否かを問わず、この類型に属することになる。
(3) 受信者情報取扱事業者「受信者情報取扱事業者」とは、次に掲げる者をいう。
①

放送受信者等の個人情報データベース等を事業の用に供している個人情報取扱事業者②

放送受信者等の個人関連情報データベース等を事業の用に供している個人関連情報
取扱事業者

③

放送受信者等の仮名加工情報データベース等を事業の用に供している仮名加工情報
取扱事業者

④

放送受信者等の匿名加工情報データベース等を事業の用に供している匿名加工情報
取扱事業者

ここで、放送受信者等の個人情報データベース等、放送受信者等の個人関連情報データ
ベース等、放送受信者等の仮名加工情報データベース等又は放送受信者等の匿名加工情報データベース等を「事業の用に供している」とする趣旨は、放送受信者等の個人情報データベース等、放送受信者等の個人関連情報データベース等、放送受信者等の仮名加工情報データベース等又は放送受信者等の匿名加工情報データベース等を、何らかの事業性のある活動の用に供しているのであれば、その者は、基本的には「受信者情報取扱事業者」に該当し得るということであり、自らの放送サービスの契約締結等に直接的に供しているものではなくても、例えば、プラットフォーム事業、多数のケーブルテレビ事業者を統括するいわゆるＭＳＯ（Multiple Systems Operator）などが各ケーブルテレビ事業者との契約に基づいて行う顧客管理事業、双方向サービス会員向けの各種事業、放送事業者やその親会社の行うテレビショッピングサービス事業、調査会社が行う視聴率等の調査の事業などの用に供しているのであれば、「受信者情報取扱事業者」に該当し得る。
(4) 視聴者特定視聴履歴「視聴者特定視聴履歴」とは、「視聴者個人情報であって、特定の日時において視聴する放送番組を特定することができるもの」をいう。ここで、「視聴者個人情報」とは、「視聴に伴って取得される個人に関する情報であって、個人情報であるもの」をいうことから、何チャンネルの放送番組を視聴したという情報だけでは「視聴者特定視聴履歴」には当たらないが、特定の日時において具体的な個別の視聴の対象が特定できる情報は、

13

２ 定義

「視聴者特定視聴履歴」に当たることになる。
放送は、教養番組、教育番組、報道番組、娯楽番組等の多様な番組を提供していることから、放送受信者等の日常の視聴者特定視聴履歴を蓄積することにより取得する個人
情報は、多様かつ膨大になり得るものである。したがって、このような視聴者特定視聴履歴の分析により、放送受信者等の幅広い趣味・嗜好等について高い確度で推知することが可能となると考えられる。その結果、放送受信者等に対してその趣味・嗜好等を踏
まえたより利便性の高いサービスを提供し得る一方、分析の方法によってはプライバシ
ー権を侵害する可能性や、ひいては要配慮個人情報の取得につながるおそれも否定できないことから、放送の視聴者特定視聴履歴は非常にプライバシー性が高い個人情報となり得るものとして扱う必要がある。したがって、本ガイドラインでは、視聴者特定視聴履歴について一定の規律を設けることとした。
この点、「ただし、当該特定の日時の一ごとに個人情報を提供する本人の意図が明らかなものを除く」としているのは、技術進歩の結果により、受信機等に視聴者の視聴の記録が自動的に蓄積され、視聴者が発信した覚えのないうちに、また発信される情報の内容を個別に確認することができない状態で、本人が認識することなく放送事業者等がその情報を取得することが可能となっており、こうした形で視聴者特定視聴履歴が広く流通することによりきわめて深刻な問題が生ずるおそれが考えられるためである。
他方、放送番組の視聴に伴う双方向機能を活用した視聴者から放送事業者への応答の場合のように、「懸賞への応募」や「クイズへの回答」といった個人情報を提供する目的
や提供する情報の内容が客観的に明らかな状況において、視聴者自らがボタンの操作等
により一つ一つ内容や発信の意図を確認できる場合は、その後の取扱いにおいて本人の権利利益の保護が十分に図られれば、その有効な活用によって視聴者へのサービス向上等も可能となると考えられるため、本ガイドラインにおいて特に慎重な取扱いを要する「視聴者特定視聴履歴」の定義に含めないこととしているものである。
なお、ペイパービューの視聴に伴い事業者が取得する放送受信者等の個人情報についても、受信者情報取扱事業者が放送受信者等の同意を得ることなく個人情報を取得することが可能であり、視聴の開始の日時及び終了の日時に関する情報と照合することによって、具体的な個別の視聴の対象が特定できるときには、視聴者特定視聴履歴に当たることとなる。
また、特にテレビ受信機を家庭に設置して行う視聴の場合、世帯の複数の構成員の視聴履歴が混在し、必ずしも特定の構成員の視聴者特定視聴履歴ではない可能性があるが、このような場合でも、全て第３条第２号イからホまでのいずれかに紐付いている個
人情報であることから、保護の対象となることに留意が必要である。

14

２ 定義

個人情報（法第２条第１項関係）「個人情報」（※１）とは、生存する「個人に関する情報」（※２）（※３）であって、「当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ（※４）、それにより特定の個人を識別することができるものを含む。
）」（法第２条第１項第１号）、又は「個人識別符号（※５）が含まれるもの」（同項第２号）をいう。
「個人に関する情報」とは、氏名、住所、性別、生年月日、顔画像等個人を識別する情報に限られず、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化等によって秘匿化されているかどうかを問わない。
【個人情報に該当する事例】
事例１） 本人の氏名
事例２） 生年月日、連絡先（住所・居所・電話番号・電子メールアドレス）、会社における職位又は所属に関する情報について、それらと本人の氏名を組み合わせた情報
事例３） 防犯カメラに記録された情報等本人が判別できる映像情報
事例４） 本人の氏名が含まれる等の理由により、特定の個人を識別できる音声録音情報
事例５） 特定の個人を識別できる電子メールアドレス（kojin_ichiro@example.com 等のように電子メールアドレスだけの情報の場合であっても、example 社に所属するコジンイチロウの電子メールアドレスであることが分かるような場合等）
事例６） 個人情報を取得後に当該情報に付加された個人に関する情報（取得時に生存す
る特定の個人を識別することができなかったとしても、取得後、新たな情報が付加され、又は照合された結果、生存する特定の個人を識別できる場合は、その時点で個人情報に該当する。
）
事例７） 官報、電話帳、職員録、法定開示書類（有価証券報告書等）、新聞、Ｗｅｂサ
イト、ＳＮＳ（ソーシャル・ネットワーク・サービス）等で公にされている特定の個人を識別できる情報※１ 法は、「個人情報」、「要配慮個人情報」（2-4（要配慮個人情報）参照）
、
「個人
データ」
（2-7（個人データ）参照）、「保有個人データ」（2-8（保有個人データ）参照）、「個人関連情報」（2-9（個人関連情報）参照）、「仮名加工情報」（2-11（仮名加工情報）参照）、「匿名加工情報」（2-13（匿名加工情報）参照）等の語を使い分けており、受信者情報取扱事業者に課される義務はそれぞれ異なるので、注意を要する。
※２

死者に関する情報が、同時に、遺族等の生存する個人に関する情報でもある

15

２ 定義

場合には、当該生存する個人に関する情報に該当する。
※３

法人その他の団体は「個人」に該当しないため、法人等の団体そのものに関する情報は「個人情報」に該当しない（ただし、役員、従業員等に関する情報
は個人情報に該当する。）。なお、「個人」は日本国民に限らず、外国人も含まれる。

※４「他の情報と容易に照合することができ」るとは、受信者情報取扱事業者の実態に即して個々の事例ごとに判断されるべきであるが、通常の業務における一般的な方法で、他の情報と容易に照合することができる状態をいい、例えば、他の事業者への照会を要する場合等であって照合が困難な状態は、一般に、容易に照合することができない状態であると解される。

※５ 個人識別符号については、2-3（個人識別符号）を参照のこと。
（参考）
法第２条（第１項）
1

この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
一

当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。次項第２号において同じ。）で作られる記録をいう。以下同じ。
）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。
）
二

個人識別符号が含まれるもの

個人識別符号（法第２条第２項関係）「個人識別符号」とは、当該情報単体から特定の個人を識別できるものとして政令に定められた文字、番号、記号その他の符号をいい、これに該当するものが含まれる情報
は個人情報となる。
（2-2（個人情報）参照）（※）
具体的な内容は、政令第１条及び規則第２条から第４条までに定めるとおりである。
政令第１条第１号においては、同号イからトまでに掲げる身体の特徴のいずれかを電子計算機の用に供するために変換した文字、番号、記号その他の符号のうち、「特定の個人を識別するに足りるものとして個人情報保護委員会規則で定める基準に適合するもの」
が個人識別符号に該当するとされている。当該基準は規則第２条において定められているところ、この基準に適合し、個人識別符号に該当することとなるものは次のとおりで

16

２ 定義

ある。
イ

細胞から採取されたデオキシリボ核酸（別名ＤＮＡ）を構成する塩基の配列
ゲノムデータ（細胞から採取されたデオキシリボ核酸（別名ＤＮＡ）を構成する
塩基の配列を文字列で表記したもの）のうち、全核ゲノムシークエンスデータ、全エ ク ソ ー ム シ ー ク エ ン ス デ ー タ 、 全 ゲ ノ ム 一 塩 基 多 型 （ single nucleotide
polymorphism：ＳＮＰ）データ、互いに独立な 40 箇所以上のＳＮＰから構成される
シークエンスデータ、９座位以上の４塩基単位の繰り返し配列（short tandem
repeat：ＳＴＲ）等の遺伝型情報により本人を認証することができるようにしたものロ

顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状によって定まる容貌
顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状から抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの

ハ

虹彩の表面の起伏により形成される線状の模様
虹彩の表面の起伏により形成される線状の模様から、赤外光や可視光等を用い、抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの

ニ

発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化によって定まる声の質
音声から抽出した発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化に関する特徴情報を、話者認識システム等本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの

ホ

歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様
歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様から抽出した特徴情報
を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの

ヘ

手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状
手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその

17

２ 定義

静脈の形状等から、赤外光や可視光等を用い抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの
ト

指紋又は掌紋（指紋） 指の表面の隆線等で形成された指紋から抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの（掌紋） 手のひらの表面の隆線や皺等で形成された掌紋から抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの

チ

組合せ
政令第１条第１号イからトまでに掲げるものから抽出した特徴情報を、組み合わ
せ、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの※「その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなる
ように」（法第２条第２項第２号）とは、文字、番号、記号その他の符号が利用者等によって異なるようにすることをいう。

（参考）
法第２条（第２項）
２

この法律において「個人識別符号」とは、次の各号のいずれかに該当する文字、番号、記号その他の符号のうち、政令で定めるものをいう。
一

特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、

番号、記号その他の符号であって、当該特定の個人を識別することができるもの
二

個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当

てられ、又は個人に発行されるカードその他の書類に記載され、若しくは電磁的方式
により記録された文字、番号、記号その他の符号であって、その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され、若しくは記録されることにより、特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの
政令第１条
個人情報の保護に関する法律（以下「法」という。
）第２条第２項の政令で定める文

18

２ 定義

字、番号、記号その他の符号は、次に掲げるものとする。
一

次に掲げる身体の特徴のいずれかを電子計算機の用に供するために変換した文

字、番号、記号その他の符号であって、特定の個人を識別するに足りるものとして個
人情報保護委員会規則で定める基準に適合するもの
イ

細胞から採取されたデオキシリボ核酸（別名 DNA）を構成する塩基の配列

ロ

顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状によって定まる容貌

ハ

虹彩の表面の起伏により形成される線状の模様

ニ

発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化

ホ

歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様

ヘ

手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状ト

指紋又は掌紋二

旅券法（昭和 26 年法律第 267 号）第６条第１項第１号の旅券の番号

三

国民年金法（昭和 34 年法律第 141 号）第 14 条に規定する基礎年金番号四

道路交通法（昭和 35 年法律第 105 号）第 93 条第１項第１号の免許証の番号

五

住民基本台帳法（昭和 42 年法律第 81 号）第７条第 13 号に規定する住民票コード六

行政手続における特定の個人を識別するための番号の利用等に関する法律（平成25 年法律第 27 号）第２条第５項に規定する個人番号七

次に掲げる証明書にその発行を受ける者ごとに異なるものとなるように記載された個人情報保護委員会規則で定める文字、番号、記号その他の符号
イ

国民健康保険法（昭和 33 年法律第 192 号）第９条第２項の被保険者証

ロ

高齢者の医療の確保に関する法律（昭和 57 年法律第 80 号）第 54 条第３項の被保
険者証

ハ
八

介護保険法（平成９年法律第 123 号）第 12 条第３項の被保険者証
その他前各号に準ずるものとして個人情報保護委員会規則で定める文字、番号、記号その他の符号規則第２条
個人情報の保護に関する法律施行令（以下「令」という。
）第１条第１号の個人情報保護委員会規則で定める基準は、特定の個人を識別することができる水準が確保されるよう、適切な範囲を適切な手法により電子計算機の用に供するために変換すること
とする。
規則第３条
令第１条第７号の個人情報保護委員会規則で定める文字、番号、記号その他の符号は

19

２ 定義

、次の各号に掲げる証明書ごとに、それぞれ当該各号に定めるものとする。
一

令第１条第７号イに掲げる証明書 国民健康保険法（昭和 33 年法律第 192 号）第111 条の２第１項に規定する保険者番号及び被保険者記号・番号
二

令第１条第７号ロに掲げる証明書 高齢者の医療の確保に関する法律（昭和 57 年

法律第 80 号）第 161 条の２第１項に規定する保険者番号及び被保険者番号
三

令第１条第７号ハに掲げる証明書 同号ハに掲げる証明書の番号及び保険者番号

規則第４条
令第１条第８号の個人情報保護委員会規則で定める文字、番号、記号その他の符号は、次に掲げるものとする。
一

健康保険法（大正 11 年法律第 70 号）第３条第 11 項に規定する保険者番号及び同条第 12 項に規定する被保険者等記号・番号
二

船員保険法（昭和 14 年法律第 73 号）第２条第 10 項に規定する保険者番号及び同条第 11 項に規定する被保険者等記号・番号
三

出入国管理及び難民認定法（昭和 26 年政令第 319 号）第２条第５号に規定する旅券（日本国政府の発行したものを除く。
）の番号
四

出入国管理及び難民認定法第 19 条の４第１項第５号の在留カードの番号五

私立学校教職員共済法（昭和 28 年法律第 245 号）第 45 条第１項に規定する保険者番号及び加入者等記号・番号
六

国家公務員共済組合法（昭和 33 年法律第 128 号）第 112 条の２第１項に規定する保険者番号及び組合員等記号・番号
七

地方公務員等共済組合法（昭和 37 年法律第 152 号）第 144 条の 24 の２第１項に規定する保険者番号及び組合員等記号・番号
八

雇用保険法施行規則（昭和 50 年労働省令第３号）第 10 条第１項の雇用保険被保険者証の被保険者番号九

日本国との平和条約に基づき日本の国籍を離脱した者等の出入国管理に関する特例法（平成３年法律第 71 号）第８条第１項第３号の特別永住者証明書の番号

要配慮個人情報（法第２条第３項関係）「要配慮個人情報」とは、不当な差別や偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして次の（1）から（11）までの記述等が含まれる個人情報をいう。
要配慮個人情報の取得や第三者提供には、原則として本人の同意が必要であり、第 17条第２項の規定による第三者提供（オプトアウトによる第三者提供）は認められていないので、注意が必要である（3-3-3（要配慮個人情報の取得）、3-7-1（第三者提供の制限

20

２ 定義

の原則）
、3-7-2（オプトアウトによる第三者提供）参照）。また、要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態が生じた場合には、個人情報保護委員会に報告しなければならない（3-6-3（個人情報保護委員会又は委任を受けた総務大臣等への報告）参照）。
なお、次に掲げる情報を推知させる情報にすぎないもの（例：宗教に関する書籍の購買や貸出しに係る情報等）は、要配慮個人情報には含まない。
（1） 人種人種、世系又は民族的若しくは種族的出身を広く意味する。なお、単純な国籍や「外国人」という情報は法的地位であり、それだけでは人種には含まない。また、肌の色は、人種を推知させる情報にすぎないため、人種には含まない。
（2） 信条個人の基本的なものの見方、考え方を意味し、思想と信仰の双方を含むものである。
（3） 社会的身分ある個人にその境遇として固着していて、一生の間、自らの力によって容易にそれから脱し得ないような地位を意味し、単なる職業的地位や学歴は含まない。
（4） 病歴
病気に罹患した経歴を意味するもので、特定の病歴を示した部分（例：特定の個人ががんに罹患している、統合失調症を患っている等）が該当する。
（5） 犯罪の経歴
前科、すなわち有罪の判決を受けこれが確定した事実が該当する。
（6） 犯罪により害を被った事実
身体的被害、精神的被害及び金銭的被害の別を問わず、犯罪の被害を受けた事実を意味する。具体的には、刑罰法令に規定される構成要件に該当し得る行為のうち、刑事事件に関する手続に着手されたものが該当する。
（7） 身体障害、知的障害、精神障害（発達障害を含む。）その他の個人情報保護委員会
規則で定める心身の機能の障害があること（政令第２条第１号関係）
次の①から④までに掲げる情報をいう。この他、当該障害があること又は過去にあったことを特定させる情報（例：障害者の日常生活及び社会生活を総合的に支援するための法律（平成 17 年法律第 123 号）に基づく障害福祉サービスを受けている

21

２ 定義

こと又は過去に受けていたこと）も該当する。
① 「身体障害者福祉法（昭和 24 年法律第 283 号）別表に掲げる身体上の障害」があることを特定させる情報
・ 医師又は身体障害者更生相談所により、別表に掲げる身体上の障害があることを診断又は判定されたこと（別表上の障害の名称や程度に関する情報を含む。
）
・ 都道府県知事、指定都市の長又は中核市の長から身体障害者手帳の交付を受け、これを所持していること又は過去に所持していたこと（別表上の障害の名称や程度に関する情報を含む。
）
・

本人の外見上明らかに別表に掲げる身体上の障害があること② 「知的障害者福祉法（昭和 35 年法律第 37 号）にいう知的障害」があることを特定させる情報・ 医師、児童相談所、知的障害者更生相談所、精神保健福祉センター、障害者
職業センターにより、知的障害があると診断又は判定されたこと（障害の程度に関する情報を含む。
）
・ 都道府県知事又は指定都市の長から療育手帳の交付を受け、これを所持していること又は過去に所持していたこと（障害の程度に関する情報を含む。
）③ 「精神保健及び精神障害者福祉に関する法律（昭和 25 年法律第 123 号）にいう精神障害（発達障害者支援法（平成 16 年法律第 167 号）第２条第１項に規定する発達障害を含み、知的障害者福祉法にいう知的障害を除く。
）」があることを特定させる情報
・

医師又は精神保健福祉センターにより精神障害や発達障害があると診断又は判定されたこと（障害の程度に関する情報を含む。
）
・ 都道府県知事又は指定都市の長から精神障害者保健福祉手帳の交付を受け、これを所持していること又は過去に所持していたこと（障害の程度に関する情報を含む。
）④ 「治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生
活及び社会生活を総合的に支援するための法律第４条第１項の政令で定めるものによる障害の程度が同項の主務大臣が定める程度であるもの」があることを特定させる情報・ 医師により、主務大臣が定める特殊の疾病による障害により継続的に日常生
活又は社会生活に相当な制限を受けていると診断されたこと（疾病の名称や程度に関する情報を含む。
）

22

２ 定義

（8） 本人に対して医師その他医療に関連する職務に従事する者（次号において「医師等」という。
）により行われた疾病の予防及び早期発見のための健康診断その他の検査（同号において「健康診断等」という。
）の結果（政令第２条第２号関係）（※）
疾病の予防や早期発見を目的として行われた健康診査、健康診断、特定健康診査、健康測定、ストレスチェック、遺伝子検査（診療の過程で行われたものを除く。
）等、受診者本人の健康状態が判明する検査の結果が該当する。
具体的な事例としては、労働安全衛生法（昭和 47 年法律第 57 号）に基づいて行
われた健康診断の結果、同法に基づいて行われたストレスチェックの結果、高齢者の医療の確保に関する法律（昭和 57 年法律第 80 号）に基づいて行われた特定健康診査の結果などが該当する。また、法律に定められた健康診査の結果等に限定されるものではなく、人間ドックなど保険者や事業主が任意で実施又は助成する検査の結果も該当する。さらに、医療機関を介さないで行われた遺伝子検査により得られた本人の遺伝型とその遺伝型の疾患へのかかりやすさに該当する結果等も含まれる。なお、健康診断等を受診したという事実は該当しない。
なお、身長、体重、血圧、脈拍、体温等の個人の健康に関する情報を、健康診断、診療等の事業及びそれに関する業務とは関係ない方法により知り得た場合は該当
しない。
（9）

健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと（政令第２条第３号関係）（※）
「健康診断等の結果に基づき、本人に対して医師等により心身の状態の改善のための指導が行われたこと」とは、健康診断等の結果、特に健康の保持に努める必要がある者に対し、医師又は保健師が行う保健指導等の内容が該当する。
指導が行われたことの具体的な事例としては、労働安全衛生法に基づき医師又は保健師により行われた保健指導の内容、同法に基づき医師により行われた面接指導の内容、高齢者の医療の確保に関する法律に基づき医師、保健師、管理栄養士により行われた特定保健指導の内容等が該当する。また、法律に定められた保健指導の内容に限定されるものではなく、保険者や事業主が任意で実施又は助成により受診した保健指導の内容も該当する。なお、保健指導等を受けたという事実も該当する。
「健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により診療が行われたこと」とは、病院、診療所、その他の医療を提供する施設において診療の過程で、患者の身体の状況、病状、治療状況等について、医師、歯科医師、薬剤師、看護師その他の医療従事者が知り得た情報全てを指し、例えば診療記録等がこれに該当する。また、病院等を受診したという事実

23

２ 定義

も該当する。
「健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により調剤が行われたこと」とは、病院、診療所、薬局、その他の医療を提供する施設において調剤の過程で患者の身体の状況、病状、治療状況等について、薬剤師（医師又は歯科医師が自己の処方箋により自ら調剤する場合を含む。
）が知り得た情報全てを指し、調剤録、薬剤服用歴、お薬手帳に記載された情報等が該当する。また、薬局等で調剤を受けたという事実も該当する。
なお、身長、体重、血圧、脈拍、体温等の個人の健康に関する情報を、健康診断、診療等の事業及びそれに関する業務とは関係のない方法により知り得た場合は該当しない。
（10） 本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと（犯罪の経歴を除く。
）（政令第２条第４号
関係）本人を被疑者又は被告人として刑事事件に関する手続が行われたという事実が該当する。他人を被疑者とする犯罪捜査のために取調べを受けた事実や、証人として尋問を受けた事実に関する情報は、本人を被疑者又は被告人としていないことから、これには該当しない。
（11） 本人を少年法（昭和 23 年法律第 168 号）第３条第１項に規定する少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと（政令第２条第５号関係）
本人を非行少年又はその疑いのある者として、保護処分等の少年の保護事件に関する手続が行われたという事実が該当する。
※

遺伝子検査により判明する情報の中には、差別、偏見につながり得るもの（例：

将来発症し得る可能性のある病気、治療薬の選択に関する情報等）が含まれ得るが、当該情報は、「本人に対して医師その他医療に関連する職務に従事する者により行われた疾病の予防及び早期発見のための健康診断その他の検査の結果」（政令第２条第２号関係）又は「健康診断等の結果に基づき、又は疾病、負傷
その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと」（政令第２条第３号関係）に該当し得る。
（参考）
法第２条（第３項）

24

２ 定義

３

この法律において「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。

政令第２条
法第２条第３項の政令で定める記述等は、次に掲げる事項のいずれかを内容とする
記述等（本人の病歴又は犯罪の経歴に該当するものを除く。
）とする。
一

身体障害、知的障害、精神障害（発達障害を含む。）その他の個人情報保護委員会

規則で定める心身の機能の障害があること。
二

本人に対して医師その他医療に関連する職務に従事する者（次号において「医師等」という。
）により行われた疾病の予防及び早期発見のための健康診断その他の検査（同号において「健康診断等」という。
）の結果
三

健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと。
四本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと。
五

本人を少年法（昭和 23 年法律第 168 号）第３条第１項に規定する少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと。
規則第５条
令第２条第１号の個人情報保護委員会規則で定める心身の機能の障害は、次に掲げる障害とする。
一

身体障害者福祉法（昭和 24 年法律第 283 号）別表に掲げる身体上の障害

二知的障害者福祉法（昭和 35 年法律第 37 号）にいう知的障害

三

精神保健及び精神障害者福祉に関する法律（昭和 25 年法律第 123 号）にいう精神障害（発達障害者支援法（平成 16 年法律第 167 号）第２条第１項に規定する発達障害を含み、前号に掲げるものを除く。
）
四

治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生活及び社会生活を総合的に支援するための法律（平成 17 年法律第 123 号）第４条第１項の政令で定めるものによる障害の程度が同項の主務大臣が定める程度であるもの

25

２ 定義

個人情報データベース等（法第 16 条第１項関係）「個人情報データベース等」とは、特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した、個人情報を含む情報の集合物をいう。また、コンピ
ュータを用いていない場合であっても、紙面で処理した個人情報を一定の規則（例えば、五十音順等）に従って整理・分類し、特定の個人情報を容易に検索することができるよう、
目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当する。
ただし、次の（1）から（3）までのいずれにも該当するものは、利用方法からみて個人の権利利益を害するおそれが少ないため、個人情報データベース等には該当しない。
（1） 不特定かつ多数の者に販売することを目的として発行されたものであって、かつ、
その発行が法又は法に基づく命令の規定に違反して行われたものでないこと。
（2） 不特定かつ多数の者により随時に購入することができ、又はできたものであること。
（3） 生存する個人に関する他の情報を加えることなくその本来の用途に供しているものであること。
【個人情報データベース等に該当する事例】
事例１） 電子メールソフトに保管されている電子メールアドレス帳（電子メールアドレ
スと氏名を組み合わせた情報を入力している場合）
事例２） インターネットサービスにおいて、ユーザーが利用したサービスに係るログ情報がユーザーＩＤによって整理され保管されている電子ファイル（ユーザー
ＩＤと個人情報を容易に照合することができる場合）
事例３） 従業者が、名刺の情報を業務用パソコン（所有者を問わない。
）の表計算ソフト等
を用いて入力・整理している場合
事例４） 人材派遣会社が登録カードを、氏名の五十音順に整理し、五十音順のインデックスを付してファイルしている場合【個人情報データベース等に該当しない事例】
事例１） 従業者が、自己の名刺入れについて他人が自由に閲覧できる状況に置いていても、他人には容易に検索できない独自の分類方法により名刺を分類した状態である場合
事例２） アンケートの戻りはがきが、氏名、住所等により分類整理されていない状態である場合
事例３） 市販の電話帳、住宅地図、職員録、カーナビゲーションシステム等

26

２ 定義

（参考）
法第 16 条（第１項）
１

この章及び第８章において「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるもの（利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものを除く。
）をいう。
一

特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの
二

前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの
政令第４条
１

法第 16 条第１項の利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものは、次の各号のいずれにも該当するものとする。
一

不特定かつ多数の者に販売することを目的として発行されたものであって、かつ、

その発行が法又は法に基づく命令の規定に違反して行われたものでないこと。
二

不特定かつ多数の者により随時に購入することができ、又はできたものであること。
三生存する個人に関する他の情報を加えることなくその本来の用途に供しているものであること。
２

法第 16 条第１項第２号の政令で定めるものは、同項に規定する情報の集合物に含まれる個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成したものであって、目次、索引その他検索を容易にするためのものを有するものをいう。

個人情報取扱事業者（法第 16 条第２項・法第２条第９項、第 10 項、第 11 項・法別
表第２関係）「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者のう
ち、国の機関、地方公共団体、法第２条第９項に規定する独立行政法人等（法別表第２に掲げる法人を除く。
）及び法第２条第 10 項に規定する地方独立行政法人（地方独立行政法
人法（平成 15 年法律第 118 号）第 21 条第１号に掲げる業務を主たる目的とするもの又は同条第２号若しくは第３号（チに係る部分に限る。）に掲げる業務を目的とするものを除く。
）を除いた者をいう。ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。

27

２ 定義

また、個人情報データベース等を事業の用に供している者であれば、当該個人情報デー
タベース等を構成する個人情報によって識別される特定の個人の数の多寡にかかわらず、
個人情報取扱事業者に該当する。
なお、法人格のない、権利能力のない社団（任意団体）又は個人であっても、個人情報
データベース等を事業の用に供している場合は個人情報取扱事業者に該当する。
（参考）
法第 16 条（第２項）
２

この章及び第６章から第８章までにおいて「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者をいう。ただし、次に掲げる者を除く。
一

国の機関

二

地方公共団体三独立行政法人等

四

地方独立行政法人法第２条（第９項）
９

この法律において「独立行政法人等」とは、独立行政法人通則法（平成 11 年法律第103 号）第２条第１項に規定する独立行政法人及び別表第１に掲げる法人をいう。

法第２条（第 10 項）
10

この法律において「地方独立行政法人」とは、地方独立行政法人法（平成 15 年法律第 118 号）第２条第１項に規定する地方独立行政法人をいう。

法第２条（第 11 項）
11

この法律において「行政機関等」とは、次に掲げる機関をいう。
一

行政機関

二

地方公共団体の機関（議会を除く。次章、第３章及び第 69 条第２項第３号を除き、

以下同じ。
）
三

独立行政法人等（別表第２に掲げる法人を除く。第 16 条第２項第３号、第 63 条、第 78 条第１項第７号イ及びロ、第 89 条第４項から第６項まで、第 119 条第５項から第７項まで並びに第 125 条第２項において同じ。
）
四地方独立行政法人（地方独立行政法人法第 21 条第１号に掲げる業務を主たる目的とするもの又は同条第２号若しくは第３号（チに係る部分に限る。）に掲げる業務を目的とするものを除く。第 16 条第２項第４号、第 63 条、第 78 条第１項第７号イ及びロ、第 89 第７項から第９項まで、第 119 条第８項から第 10 項まで並びに第 125 条
第２項において同じ。
）

28

２ 定義

法別表第２
名

称

根

拠 法

沖縄科学技術大学院大学学園

沖縄科学技術大学院大学学園法

国立研究開発法人

独立行政法人通則法

国立大学法人

国立大学法人法

大学共同利用機関法人

国立大学法人法

独立行政法人国立病院機構

独立行政法人国立病院機構法（平成 14 年
法律第 191 号）

独立行政法人地域医療機能推進機構

独立行政法人地域医療機能推進機構法（平成 17 年法律第 71 号）

福島国際研究教育機構

福島復興再生特別措置法

放送大学学園放送大学学園法

個人データ（法第 16 条第３項関係）「個人データ」とは、受信者情報取扱事業者が管理する「個人情報データベース等」を構成する個人情報をいう。
なお、法第 16 条第１項及び政令第４条第１項に基づき、利用方法からみて個人の権利利益を害するおそれが少ないため、個人情報データベース等から除かれているもの（例：
市販の電話帳・住宅地図等）を構成する個人情報は、個人データに該当しない（2-5（個人情報データベース等）参照）。
【個人データに該当する事例】
事例１） 個人情報データベース等から外部記録媒体に保存された個人情報
事例２） 個人情報データベース等から紙面に出力された帳票等に印字された個人情報【個人データに該当しない事例】
事例） 個人情報データベース等を構成する前の入力用の帳票等に記載されている個人情報（参考）法第 16 条（第３項）
３

この章において「個人データ」とは、個人情報データベース等を構成する個人情報を
いう。

29

２ 定義

保有個人データ（法第 16 条第４項関係）「保有個人データ」（※１）とは、受信者情報取扱事業者が、本人又はその代理人から請求される開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止の全て（以下「開示等」という。）に応じることができる権限を有する（※２）
「個人デー
タ」をいう。
ただし、個人データのうち、次に掲げるものは、「保有個人データ」ではない。
（1） 当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの事例） 家庭内暴力、児童虐待の被害者の支援団体が保有している、加害者（配偶者又は親権者）及び被害者（配偶者又は子）を本人とする個人データ（2） 当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの
事例１） 暴力団等の反社会的勢力による不当要求の被害等を防止するために事業者が保有している、当該反社会的勢力に該当する人物を本人とする個人データ
事例２） 不審者や悪質なクレーマー等による不当要求の被害を防止するために事業者が保有している、当該行為を行った者を本人とする個人データ（3）

当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、

他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機
関との交渉上不利益を被るおそれがあるもの
事例１） 受信者情報取扱事業者である製造業者、情報サービス事業者等が保有している、防衛に関連する兵器・設備・機器・ソフトウェア等の設計又は開発の担当者名が記録された、当該担当者を本人とする個人データ
事例２） 要人の訪問先やその警備会社が保有している、当該要人を本人とする行
動予定等の個人データ（4） 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの
事例 1） 警察から捜査関係事項照会等がなされることにより初めて取得した個人
データ
事例２） 警察から契約者情報等について捜査関係事項照会等を受けた受信者情報
取扱事業者が、その対応の過程で作成した照会受理簿・回答発信簿、照会対象者リスト等の個人データ（※なお、当該契約者情報自体は「保有個人データ」に該当する。）

30

２ 定義

事例３） 犯罪による収益の移転防止に関する法律（平成 19 年法律第 22 号）第８条第１項に基づく疑わしい取引（以下「疑わしい取引」という。
）の届出の有無及び届出に際して新たに作成した個人データ
事例４） 振り込め詐欺に利用された口座に関する情報に含まれる個人データ※１ 法は、「個人情報」（2-2（個人情報）参照）、「要配慮個人情報」（2-4（要配慮個人情報）参照）、「個人データ」（2-7（個人データ）参照）、「保有個人データ」、「個人関連情報」（2-9（個人関連情報）参照）、「仮名加工情報」（2-11（仮名加工情報）参照）、「匿名加工情報」（2-13（匿名加工情報）参照）等の語を使い分けており、受信者情報取扱事業者に課される義務はそれぞれ異なるので、注意を要する。
※２

開示等の具体的な対応が必要となる場合等については、3-9-2（保有個人データの開示）以降を参照のこと。なお、個人データの取扱いについて、委託等
により複数の受信者情報取扱事業者が関わる場合には、契約等の実態によって、どの受信者情報取扱事業者が開示等に応じる権限を有しているのかについて判断することとなる。
（参考）
法第 16 条（第４項）
４

この章において「保有個人データ」とは、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの以外のものをいう。

政令第５条
法第 16 条第４項の政令で定めるものは、次に掲げるものとする。
一

当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの
二

当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの
三

当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの
四

当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの

31

２ 定義

個人関連情報（法第２条第７項関係）
個人関連情報とは、生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。
「個人に関する情報」とは、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報である。
「個人に関する情報」のうち、氏名、生年月日その他の記述等により特定の個人を識別することができるものは、個人情報に該当するため、個人関連情報には該当しない。
また、統計情報は、特定の個人との対応関係が排斥されている限りにおいては、「個人に関する情報」に該当するものではないため、個人関連情報にも該当しない。
【個人関連情報に該当する事例（※）】
事例１） Cookie 等の端末識別子を通じて収集された、ある個人のＷｅｂサイトの閲覧履歴事例２） 電子メールアドレスに結び付いた、ある個人の年齢・性別・家族構成等
事例３） ある個人の商品購買履歴・サービス利用履歴
事例４） ある個人の位置情報
事例５） ある個人の興味・関心を示す情報※

個人情報に該当する場合は、個人関連情報に該当しないことになる。例えば、
一般的に、ある個人の位置情報それ自体のみでは個人情報には該当しないものではあるが、個人に関する位置情報が連続的に蓄積される等して特定の個人を識別することができる場合には、個人情報に該当し、個人関連情報には該当しないことになる。

（参考）
法第２条（第７項）
７

この法律において「個人関連情報」とは、生存する個人に関する情報であって、個人
情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。

個人関連情報取扱事業者（法第 16 条第７項関係）「個人関連情報取扱事業者」とは、個人関連情報データベース等を事業の用に供している者のうち、国の機関、地方公共団体、法第２条第９項に規定する独立行政法人等（法別表第２に掲げる法人を除く。
）及び法第２条第 10 項に規定する地方独立行政法人（地方独立行政法人法第 21 条第１号に掲げる業務を主たる目的とするもの又は同条第２号

32

２ 定義

若しくは第３号（チに係る部分に限る。
）に掲げる業務を目的とするものを除く。
）を除いた者をいう。
「個人関連情報を含む情報の集合物であって、特定の個人関連情報を電子計算機を用いて検索することができるように体系的に構成したもの」とは、特定の個人関連情報をコンピュータを用いて検索することができるように体系的に構成した、個人関連情報を含む情報の集合物をいう。また、コンピュータを用いていない場合であっても、紙媒体の個人関連情報を一定の規則に従って整理・分類し、特定の個人関連情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当する。
ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。なお、法人格のない、権利能力のない社団（任意団体）又は個人であっても、個人関連情報データベース等を事業の用に供している場合は、個人
関連情報取扱事業者に該当する。
（参考）
法第 16 条（第７項）
７

この章、第６章及び第７章において「個人関連情報取扱事業者」とは、個人関連情報を含む情報の集合物であって、特定の個人関連情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の個人関連情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第 31 条第１項において「個人関連情報データベース等」という。
）を事業の用に供している者をいう。
ただし、第２項に掲げる者を除く。

政令第８条
法第 16 条第７項の政令で定めるものは、同項に規定する情報の集合物に含まれる個
人関連情報を一定の規則に従って整理することにより特定の個人関連情報を容易に検索することができるように体系的に構成したものであって、目次、索引その他検索を容易にするためのものを有するものをいう。

仮名加工情報（法第２条第５項関係）
仮名加工情報の定義については、個人情報保護委員会が定める「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」（平成 28 年個人情報保護委員会告示第９号）を参照のこと。

33

２ 定義

（参考）
法第２条（第５項）
５

この法律において「仮名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報をいう。
一第１項第１号に該当する個人情報

当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
二

第１項第２号に該当する個人情報

当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法
により他の記述等に置き換えることを含む。）。

仮名加工情報取扱事業者（法第 16 条第５項関係）
仮名加工情報取扱事業者の定義については、個人情報保護委員会が定める「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」（平成28 年個人情報保護委員会告示第９号）を参照のこと。
（参考）
法第 16 条（第５項）
５

この章、第６章及び第７章において「仮名加工情報取扱事業者」とは、仮名加工情報
を含む情報の集合物であって、特定の仮名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の仮名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第 41 条第１項において「仮名加工情報データベース等」という。
）を事業の用に供している者をいう。
ただし、第２項各号に掲げる者を除く。

政令第６条
法第 16 条第５項の政令で定めるものは、同項に規定する情報の集合物に含まれる仮名加工情報を一定の規則に従って整理することにより特定の仮名加工情報を容易に検索することができるように体系的に構成したものであって、目次、索引その他検索を容易にするためのものを有するものをいう。

34

２ 定義

匿名加工情報（法第２条第６項関係）
匿名加工情報の定義については、個人情報保護委員会が定める「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」（平成 28 年個人情報保護委員会告示第９号）を参照のこと。
（参考）
法第２条（第６項）
６

この法律において「匿名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。
一第１項第１号に該当する個人情報

当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
二

第１項第２号に該当する個人情報

当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法
により他の記述等に置き換えることを含む。）。

匿名加工情報取扱事業者（法第 16 条第６項関係）
匿名加工情報取扱事業者の定義については、個人情報保護委員会が定める「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」（平成28 年個人情報保護委員会告示第９号）を参照のこと。
（参考）
法第 16 条（第６項）
６

この章、第６章及び第７章において「匿名加工情報取扱事業者」とは、匿名加工情報
を含む情報の集合物であって、特定の匿名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の匿名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第 43 条第１項において「匿名加工情報データベース等」という。
）を事業の用に供している者をいう。
ただし、第２項各号に掲げる者を除く。

政令第７条
法第 16 条第６項の政令で定めるものは、同項に規定する情報の集合物に含まれる匿名加工情報を一定の規則に従って整理することにより特定の匿名加工情報を容易に検

35

２ 定義

索することができるように体系的に構成したものであって、目次、索引その他検索を容易にするためのものを有するものをいう。

「本人に通知」
第９条（第１項）
１

受信者情報取扱事業者は、放送受信者等の個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

※（参考）上記のほか、「本人に通知」に関する主な条文①

利用目的に関するもの
第９条第３項及び第４項（3-1-2（利用目的の変更）、3-3-6（利用目的の通知等をしなくてよい場合）参照）②

漏えい等に関するもの
第 16 条第６項（3-6-4（本人への通知）参照）③

個人データの第三者提供に関するもの
第 17 条第２項及び第３項、並びに第９項第３号及び第 10 項（3-7-2（オプトアウ

トによる第三者提供）、3-7-3（第三者に該当しない場合）参照）④

外国にある第三者への提供における情報提供に関するもの
第 18 条第６項、第８項及び第９項（3-7-4（外国にある第三者への提供の制限）参照）⑤

開示等の請求等に関するもの
第 22 条第２項及び第３項、第 23 条第３項（同条第５項において準用する場合を含む。）、第 24 条第３項並びに第 25 条第７項（3-9-1（保有個人データに関する事項の公表等）、3-9-2（保有個人データの開示）、3-9-3（第三者提供記録の開示）、3-94（保有個人データの訂正等）、3-9-5（保有個人データの利用停止等）参照）「本人に通知」とは、本人に直接知らしめることをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。
【本人への通知に該当する事例】
事例１） ちらし等の文書を直接渡すことにより知らせること。
事例２） 口頭又は自動応答装置等で知らせること。
事例３）

電子メール、ＦＡＸ等により送信し、又は文書を郵便等で送付することにより知らせること。

36

２ 定義

「公表」
第９条（第１項）
１

受信者情報取扱事業者は、放送受信者等の個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

※（参考）上記のほか、受信者情報取扱事業者による「公表」に関する主な条文①

利用目的に関するもの
第９条第３項（3-1-2（利用目的の変更）参照）②

仮名加工情報に関するもの
第 31 条第４項及び第６項並びに第 32 条第２項（3-11（仮名加工情報取扱事業者等の義務）参照）③

匿名加工情報に関するもの
第 33 条第３項、第４項、第５項及び第７項、第 34 条、並びに第 36 条（3-12（匿名加工情報取扱事業者等の義務）参照）「公表」とは、広く一般に自己の意思を知らせること（不特定多数の人々が知ることができるように発表すること）をいい、公表に当たっては、事業の性質及び個人情報の取扱状況に応じ、合理的かつ適切な方法によらなければならない。
【公表に該当する事例】
事例１）

自社のＷｅｂサイトのトップページから１回程度の操作で到達できる場所へ

の掲載
事例２）

自社の店舗や事務所等、顧客が訪れることが想定される場所におけるポスター

等の掲示、パンフレット等の備置き・配布
事例３） （通信販売の場合）通信販売用のパンフレット・カタログ等への掲載「本人の同意」
第５条（第１項）
１

受信者情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、放送受信者等の個人情報を取り扱ってはならない。

37２ 定義※（参考）上記のほか、「本人の同意」に関する主な条文①

利用目的に関するもの
第５条第２項及び第３項第２号から第４号まで（3-1-4（事業の承継）、3-1-5（利用目的による制限の例外）参照）②

要配慮個人情報の取得に関するもの
第８条第２項（3-3-3（要配慮個人情報の取得）参照）③

個人データの第三者提供に関するもの
第 17 条第１項及び第 18 条第１項（3-7-1（第三者提供の制限の原則）、3-7-4（外国にある第三者への提供の制限）参照）④

個人関連情報の第三者提供に関するもの
第 21 条第１項（3-8（個人関連情報の第三者提供の制限等）参照）「本人の同意」とは、本人の個人情報が、受信者情報取扱事業者によって示された取扱方法で取り扱われることを承諾する旨の当該本人の意思表示をいう（当該本人であることを確認できていることが前提となる。
）。
また、「本人の同意を得（る）」とは、本人の承諾する旨の意思表示を当該受信者情報
取扱事業者が認識することをいい、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。
なお、個人情報の取扱いに関して同意したことによって生ずる結果について、未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力を有していないなどの場合
は、親権者や法定代理人等から同意を得る必要がある。
【本人の同意を得ている事例】
事例１） 本人（契約者）からの同意する旨の口頭による意思表示
事例２） 本人（契約者）からの同意する旨の書面（電磁的記録を含む。
）の受領事例３） 本人（契約者）からの同意する旨の電子メールの受信
事例４） 本人（契約者）による同意する旨の確認欄へのチェック
事例５） 本人（契約者）による同意する旨のＷｅｂサイト上のボタンのクリック
事例６） 本人（契約者）による同意する旨の音声入力、タッチパネルへのタッチ、ボタ
ンやスイッチ等による入力※

視聴者特定視聴履歴の取得等に係る同意については、7-3-2（視聴者特定視聴履歴取得等に係る同意）を参照のこと。

38

２ 定義

「提供」
第 17 条（第１項）
１

受信者情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得な
いで、放送受信者等の個人データを第三者に提供してはならない。
一～七 （略）※（参考）上記のほか、「提供」に関する主な条文①

個人データの第三者提供に関するもの
第 17 条第２項、第９項、第 18 条第１項、第 19 条第１項及び第 20 条第１項（3-7-2（オプトアウトによる第三者提供）、3-7-3（第三者に該当しない場合）、3-7-4（外国にある第三者への提供の制限）、3-7-5（第三者提供に係る記録の作成等）、3-7-6（第三者提供を受ける際の確認等）参照）②

個人関連情報の第三者提供に関するもの
第 21 条第１項（3-8（個人関連情報の第三者提供の制限等）参照）③

保有個人データの第三者提供の停止に係る請求に関するもの
第 25 条第３項、第４項、第５項、第６項及び第７項（3-9-5（保有個人データの利用停止等）参照）④

仮名加工情報に関するもの
第 31 条第６項並びに第 32 条第１項及び第２項（3-11（仮名加工情報取扱事業者等の義務）参照）⑤

匿名加工情報に関するもの
第 33 条第５項及び第 34 条（3-12（匿名加工情報取扱事業者等の義務）参照）「提供」とは、個人データ、保有個人データ、個人関連情報、仮名加工情報又は匿名加工情報（以下この項において「個人データ等」という。）を、自己以外の者が利用可能な状態に置くことをいう。個人データ等が、物理的に提供されていない場合であっても、ネットワーク等を利用することにより、個人データ等を利用できる状態にあれば（利用する権限が与えられていれば）、「提供」に当たる。

学術研究機関等（法第 16 条第８項関係）「学術研究機関等（※１）
」とは、大学その他の学術研究（※２）を目的とする機関若
しくは団体又はそれらに属する者をいう。
「大学その他の学術研究を目的とする機関若しくは団体」とは、国公立・私立大学、公益法人等の研究所等の学術研究を主たる目的として活動する機関や「学会」をいい、「それらに属する者」とは、国公立・私立大学の教員、公益法人等の研究所の研究員、

39

２ 定義

学会の会員等をいう。
なお、民間団体付属の研究機関等における研究活動についても、当該機関が学術研究を主たる目的とするものである場合には、「学術研究機関等」に該当する。
一方で、当該機関が単に製品開発を目的としている場合は「学術研究を目的とする機関又は団体」には該当しないが、製品開発と学術研究の目的が併存している場合には、主たる目的により判断する。
※１

国公立の大学等、法別表第２に掲げる法人又は地方独立行政法人のうち地方独立行政法人法第 21 条第１号に掲げる業務を主たる目的とするもの若しくは同条第２号若しくは第３号（チに係る部分に限る。
）に掲げる業務を目的とするもののうち、学術研究機関等にも該当するものについては、原則として私立の大学、民間の学術研究機関等と同等の規律が適用される。

※２ 「学術研究」については、2-20（学術研究目的）を参照のこと。
（参考）
法第 16 条（第８項）
８

この章において「学術研究機関等」とは、大学その他の学術研究を目的とする機関若
しくは団体又はそれらに属する者をいう。

「学術研究目的」「学術」とは、人文・社会科学及び自然科学並びにそれらに応用の研究であり、あらゆる学問分野における研究活動及びその所産としての知識・方法の体系をいい、具体的活動としての「学術研究」としては、新しい法則や原理の発見、分析や方法論の確立、
新しい知識やその応用法の体系化、先端的な学問領域の開拓などをいう。
なお、製品開発を目的として個人情報を取り扱う場合は、当該活動は、学術研究目的とは解されない。
※「学術研究機関等」については、2-19（学術研究機関等）を参照のこと。

（参考）法第 18 条（第３項第５号）
五

当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下この章において「学術研究目的」という。
）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）

40

２ 定義

※（参考）上記のほか、「学術研究目的」に関する主な条文①

利用目的変更の制限の例外に関するもの

法第 18 条第３項第６号（3-1-5（利用目的による制限の例外）参照）②

要配慮個人情報の取得の制限の例外に関するもの

法第 20 条第２項第５号及び第６号（3-3-3（要配慮個人情報の取得）参照）③

個人データの第三者提供の制限の例外に関するもの

法第 27 条第１項第５号から第７号まで（3-7-1（第三者提供の制限の原則）参照）④

学術研究機関等の責務に関するもの

法第 59 条（６（学術研究機関等の責務）参照）

41

３

3

受信者情報取扱事業者の義務

受信者情報取扱事業者の義務
個人情報の利用目的（第４条、第５条、第９条第３項関係）
利用目的の特定（第４条第１項関係）第４条（第１項）
１

受信者情報取扱事業者は、放送受信者等の個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。

受信者情報取扱事業者は、個人情報を取り扱うに当たっては、利用目的をできる限り具体的に特定しなければならないが、利用目的の特定に当たっては、利用目的を単に抽象的、一般的に特定するのではなく、個人情報が受信者情報取扱事業者において、最終的にどのような事業の用に供され、どのような目的で個人情報を利用されるのかが、本人にとって一般的かつ合理的に想定できる程度に具体的に特定することが望ましい（※１）（※２）
。
なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的の特定に当たっては、その旨が明確に分かるよう特定しなければならない（3-7-1（第三者提供の制限の原則）参照）。
【具体的に利用目的を特定している事例】
事例） 受信者情報取扱事業者が有料放送の役務の提供に関する契約の締結に伴い、個人
から氏名・住所・電子メールアドレス等を取得するに当たり、「○○事業における料金の請求、関連するアフターサービス、新サービスに関する情報のお知らせのために利用いたします。」等の利用目的を明示している場合【具体的に利用目的を特定していない事例】
事例１） 「事業活動に用いるため」
事例２） 「マーケティング活動に用いるため」※１ 「利用目的の特定」の趣旨は、個人情報を取り扱う者が、個人情報がどのような事業の用に供され、どのような目的で利用されるかについて明確な認識を持ち、できるだけ具体的に明確にすることにより、個人情報が取り扱われる範囲を確定するとともに、本人の予測を可能とすることである。
本人が、自らの個人情報がどのように取り扱われることとなるか、利用目的から合理的に予測・想定できないような場合は、この趣旨に沿ってできる限り利用目的を特定したことにはならない。
例えば、本人から得た情報から、本人に関する行動・関心等の情報を分析する場合、

42

３

受信者情報取扱事業者の義務

受信者情報取扱事業者は、どのような取扱いが行われているかを本人が予測・想定できる程度に利用目的を特定しなければならない。
【本人から得た情報から、行動・関心等の情報を分析する場合に具体的に利用目的を特定している事例】
事例１） 「取得した閲覧履歴や購買履歴等の情報を分析して、趣味・嗜好に応じた新商品・サービスに関する広告のために利用いたします。」
事例２） 「取得した行動履歴等の情報を分析し、信用スコアを算出した上で、当該スコアを第三者へ提供いたします。」※２

定款等に規定されている事業の内容に照らして、個人情報によって識別される本人からみて、自分の個人情報が利用される範囲が合理的に予想できる程度に特定されている場合や業種を明示することで利用目的の範囲が想定される場合には、これで足りるとされることもあり得るが、多くの場合、業種の明示だけでは利用目的をできる限り具体的に特定したことにはならないと解される。なお、利用目的の特定に当たり「○○事業」のように事業を明示する場合についても、社会通念上、本人からみてその特定に資すると認められる範囲に特定することが望ましい。
また、単に「事業活動」、「お客様のサービスの向上」等のように抽象的、一般的な内容を利用目的とすることは、できる限り具体的に特定したことにはならないと解される。
（参考）
法第 17 条（第１項）
１

個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。

利用目的の変更（第４条第２項、第９条第３項関係）第４条（第２項）
２

受信者情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。

第９条（第３項）
３

受信者情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。

上記 3-1-1（利用目的の特定）により特定した利用目的は、変更前の利用目的と関連性を有すると合理的に認められる範囲、すなわち、変更後の利用目的が変更前の利用目的からみ43

３

受信者情報取扱事業者の義務て、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内（※１）で変更することは可能である。変更された利用目的は、本人に通知（※２）するか、又は公表（※３）
しなければならない。
なお、特定された利用目的（第４条第２項に定める範囲で変更された利用目的を含む。）の達成に必要な範囲を超えて個人情報を取り扱う場合は、第５条第１項に従って本人の同意を得なければならない。ただし、本人の身体等の保護のために必要があり、かつ本人の同意を得ることが困難である場合等、第５条第３項各号に掲げる場合には、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱うことができる（3-1-5（利用目的による制限の例外）参照）。
※１「本人が通常予期し得る限度と客観的に認められる範囲」とは、本人の主観や受信者情報取扱事業者の恣意的な判断によるものではなく、一般人の判断において、当初の利用目的と変更後の利用目的を比較して予期できる範囲をいい、当初特定した利用目的とどの程度の関連性を有するかを総合的に勘案して判断される。
※２ 「本人に通知」については、2-15（本人に通知）を参照のこと。
※３ 「公表」については、2-16（公表）を参照のこと。
（参考）
法第 17 条（第２項）
２

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。

法第 21 条（第３項）
３

個人情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。

利用目的による制限（第５条第１項関係）第５条（第１項）
１

受信者情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、放送受信者等の個人情報を取り扱ってはならない。

受信者情報取扱事業者は、第４条第１項により特定した利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合は、あらかじめ本人の同意（※）を得なければならない。
ただし、当該同意を得るために個人情報を利用すること（電子メールの送信や電話をかけ

44

３

受信者情報取扱事業者の義務ること等）は、当初特定した利用目的として記載されていない場合でも、目的外利用には該当しない。
なお、令和３年改正法第 50 条の規定の施行日（令和４年４月１日）前に別表第二法人等（法別表第２に掲げる法人、法第 58 条第２項の規定により個人情報取扱事業者、仮名加工
情報取扱事業者若しくは個人関連情報取扱事業者とみなされる独立行政法人労働者健康安
全機構又は学術研究機関等である個人情報取扱事業者をいう。以下同じ。
）である受信者情報取扱事業者に対しされた本人の個人情報の取扱いに関する同意がある場合において、その同意が法第 17 条第１項の規定により特定される利用目的以外の目的で個人情報を取り扱うことを認める旨の同意に相当するものであるときは、令和３年改正法第 50 条の規定の施行日（令和４年４月１日）において法第 18 条第１項の同意があったものとみなす（令和３年改正法附則第７条第１項）。
また、令和３年改正法第 51 条の規定の施行日（令和５年４月１日）前に特定地方独立行
政法人等（法第 58 条第１項第２号に掲げる者又は同条第２項の規定により個人情報取扱事業者、仮名加工情報取扱事業者若しくは個人関連情報取扱事業者とみなされる法第 58 条第２項第１号に掲げる者をいう。以下同じ。
）に対しされた本人の個人情報の取扱いに関する同意がある場合において、その同意が法第 17 条第１項の規定により特定される利用目的以外の目的で個人情報を取り扱うことを認める旨の同意に相当するものであるときは、令和３年改正法第 51 条の規定の施行日（令和５年４月１日）において法第 18 条第１項の同意があったものとみなす（令和３年改正法附則第９条第１項）。
※「本人の同意」については、2-17（本人の同意）を参照のこと。

（参考）法第 18 条（第１項）
１

個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。

事業の承継（第５条第２項関係）第５条（第２項）
２

受信者情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って放送受信者等の個人情報を取得した場合は、あらかじめ本
人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。

45

３

受信者情報取扱事業者の義務

受信者情報取扱事業者が、合併、分社化、事業譲渡等により他の個人情報取扱事業者から事業の承継をすることに伴って個人情報を取得した場合であって、当該個人情報に係る承継前の利用目的の達成に必要な範囲内で取り扱う場合は目的外利用にはならず、本人の同意（※）を得る必要はない。
なお、事業の承継後に、承継前の利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合は、あらかじめ本人の同意を得る必要があるが、当該同意を得るために個人情報を利用すること（電子メールの送信や電話をかけること等）は、承継前の利用目的として記載
されていない場合でも、目的外利用には該当しない。
なお、令和３年改正法第 50 条の規定の施行日（令和４年４月１日）前に別表第二法人等（3-1-3（利用目的による制限）参照）に対しされた本人の個人情報の取扱いに関する同意がある場合において、その同意が法第 17 条第１項の規定により特定される利用目的以外の目的で個人情報を取り扱うことを認める旨の同意に相当するものであるときは、令和３年
改正法第 50 条の規定の施行日（令和４年４月１日）において法第 18 条第２項の同意があったものとみなす（令和３年改正法附則第７条第１項）。
また、令和３年改正法第 51 条の規定の施行日（令和５年４月１日）前に特定地方独立行
政法人等（3-1-3（利用目的による制限）参照）に対しされた本人の個人情報の取扱いに関する同意がある場合において、その同意が法第 17 条第１項の規定により特定される利用目
的以外の目的で個人情報を取り扱うことを認める旨の同意に相当するものであるときは、
令和３年改正法第 51 条の規定の施行日（令和５年４月１日）において法第 18 条第２項の同意があったものとみなす（令和３年改正法附則第９条第１項）。
※「本人の同意」については、2-17（本人の同意）を参照のこと。

（参考）法第 18 条（第２項）
２

個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。

利用目的による制限の例外（第５条第３項関係）第５条（第３項）
３

前二項の規定は、次に掲げる場合については、適用しない。
一

法令（条例を含む。以下この章において同じ。
）に基づく場合

46

３

二

受信者情報取扱事業者の義務

人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
五

当該受信者情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下この章において「学術研究目的」という。
）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）。
六

学術研究機関等に放送受信者等の個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）。
次に掲げる場合については、第５条第１項及び第２項において、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うに当たり本人の同意（※）を得ることが求められる場合であっても、当該同意は不要である。
※「本人の同意」については、2-17（本人の同意）を参照のこと。

（1） 法令に基づく場合（第５条第３項第１号関係）
法令に基づく場合は、第５条第１項又は第２項の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。
事例１） 警察の捜査関係事項照会に対応する場合（刑事訴訟法（昭和 23 年法律第131 号）第 197 条第２項）
事例２） 裁判官の発する令状に基づく捜査に対応する場合（刑事訴訟法第 218 条）
事例３） 税務署の所得税等に関する調査に対応する場合（国税通則法（昭和 37 年法律第 66 号）第 74 条の２ほか）
事例４） 製造・輸入事業者が消費生活用製品安全法（昭和 48 年法律第 31 号）第 39条第１項の規定による命令（危害防止命令）を受けて製品の回収等の措置をとる際に、受信者情報取扱事業者である販売事業者が、同法第 38 条第３項の47

３

受信者情報取扱事業者の義務規定に基づき製品の購入者等の情報を当該製造・輸入事業者に提供する場合
事例５） 弁護士会からの照会に対応する場合（弁護士法（昭和 24 年法律第 205 号）
第 23 条の２）
事例６） 保健所が行う積極的疫学調査に対応する場合（感染症の予防及び感染症の患者に対する医療に関する法律（平成 10 年法律第 114 号）第 15 条第１項）（2） 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（第５条第３項第２号関係）
人（法人を含む。
）の生命、身体又は財産といった具体的な権利利益の保護が必要であり、かつ、本人の同意を得ることが困難である場合は、第５条第１項又は第２項の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。
事例１） 急病その他の事態が生じたときに、本人について、その血液型や家族の連
絡先等を医師や看護師に提供する場合
事例２） 大規模災害や事故等の緊急時に、被災者情報・負傷者情報等を家族、行政機関、地方自治体等に提供する場合
事例３） 受信者情報取扱事業者と他の個人情報取扱事業者との間において、暴力団等の反社会的勢力情報、振り込め詐欺に利用された口座に関する情報、意図的に業務妨害を行う者の情報について共有する場合
事例４） 製造した商品に関連して事故が生じたため、又は、事故は生じていないが、人の生命若しくは身体に危害を及ぼす急迫した危険が存在するため、当該商品の製造事業者等が当該商品をリコールする場合で、受信者情報取扱事業者
である販売事業者、修理事業者又は設置工事事業者等が当該製造事業者等に対して、当該商品の購入者等の情報を提供する場合
事例５） 上記事例４のほか、商品に重大な欠陥があり人の生命、身体又は財産の保護が必要となるような緊急時に、製造事業者から顧客情報の提供を求められ、これに応じる必要がある場合
事例６） 不正送金等の金融犯罪被害の事実に関する情報を、関連する犯罪被害の防止のために、他の事業者に提供する場合（3） 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（第５条第３項第３号関係）
公衆衛生の向上又は心身の発達途上にある児童の健全な育成のために特に必要があ48

３

受信者情報取扱事業者の義務

り、かつ、本人の同意を得ることが困難である場合は、第５条第１項又は第２項の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。
事例） 健康保険組合等の保険者等が実施する健康診断の結果等に係る情報を、健康増進施策の立案、保健事業の効果の向上、疫学調査等に利用する場合（4） 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して、受信者情報取扱事業者が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（第５条第３項第４号関係）国の機関等（地方公共団体又はその委託を受けた者を含む。
）が法令の定める事務を実施する上で、受信者情報取扱事業者の協力を得る必要があり、かつ、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがあると認められる場合は、当該受信者情報取扱事業者は、第５条第１項又は第２項の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。
事例１） 受信者情報取扱事業者が税務署又は税関の職員等の任意の求めに応じて個人情報を提出する場合
事例２） 受信者情報取扱事業者が警察の任意の求めに応じて個人情報を提出する場合
事例３） 受信者情報取扱事業者が一般統計調査や地方公共団体が行う統計調査に回答する場合（5） 当該受信者情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下この章において「学術研究目的」という。
）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）（第５条第３項第５号関係）
学術研究機関等（※１）が個人情報を学術研究目的（※２）で取り扱う必要がある場
合（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含む。
）であって、
個人の権利利益を不当に侵害するおそれがない場合は、当該学術研究機関等は、第５条第１項又は第２項（利用目的による制限）の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うこ49

３

受信者情報取扱事業者の義務とができる（※３）
。
※１ 「学術研究機関等」については、2-19（学術研究機関等）を参照のこと。
※２ 「学術研究目的」については、2-20（学術研究目的）を参照のこと。
※３ 「個人の権利利益を不当に侵害するおそれがある場合」には、個人情報の目的外利用をすることはできない。この場合、個人の権利利益を不当に侵害しないような措置を講ずるなど適切に処理する必要がある。この点、学術研究目的で個人情報を取り扱う必要があって、目的外利用をする場合であっても、本人又は第三者の権利利益の保護の観点から、特定の個人を識別することができないよう個人情報を加工するな
ど、学術研究の目的に照らして可能な措置を講ずることが望ましい。
（6） 学術研究機関に放送受信者等の個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（第５条第３項第６号関係）
受信者情報取扱事業者が、学術研究機関等（※１）に個人データを提供し、かつ、当該学術研究機関等が当該個人データを学術研究目的（※２）で取り扱う必要がある場合（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権
利利益を不当に侵害するおそれがある場合を除く（※３）。
）は、第５条第１項又は第２項（利用目的による制限）の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。
※１ 「学術研究機関等」については、2-19（学術研究機関等）を参照のこと。
※２ 「学術研究目的」については、2-20（学術研究目的）を参照のこと。
※３ 「個人の権利利益を不当に侵害するおそれがある場合」には、学術研究機関等に個人情報を提供することはできない。この場合、個人の権利利益を不当に侵害しないよ
うな措置を講ずるなど適切に処理する必要がある。この点、学術研究目的で個人情報を取り扱う必要があって、学術研究機関等に個人データを提供する場合であっても、提供する個人データの範囲を限定するなど、学術研究の目的に照らして可能な措置を講ずることが望ましい。
（参考）
法第 18 条（第３項）
３

前二項の規定は、次に掲げる場合については、適用しない。
一

法令（条例を含む。以下この章において同じ。
）に基づく場合

50

３

二

受信者情報取扱事業者の義務

人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
五

当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下この章において「学術研究目的」という。
）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
六

学術研究機関に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う
目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

不適正利用の禁止（第６条関係）
第６条
受信者情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により放送受信者等の個人情報を利用してはならない。
受信者情報取扱事業者は、違法又は不当な行為（※１）を助長し、又は誘発するおそれ（※
２）がある方法により個人情報を利用してはならない。
【受信者情報取扱事業者が違法又は不当な行為を助長し、又は誘発するおそれがある方法
により個人情報を利用している事例】
事例１） 違法な行為を営むことが疑われる事業者（例：貸金業登録を行っていない貸金業者等）からの突然の接触による本人の平穏な生活を送る権利の侵害等、当該事業者の違法な行為を助長するおそれが想定されるにもかかわらず、当該事業者に当該本人の個人情報を提供する場合
事例２） 裁判所による公告等により散在的に公開されている個人情報（例：官報に掲載される破産者情報）を、当該個人情報に係る本人に対する違法な差別が、不特定多数の者によって誘発されるおそれがあることが予見できるにもかかわらず、それを集約してデータベース化し、インターネット上で公開する場合
事例３）

暴力団員により行われる暴力的要求行為等の不当な行為や総会屋による不当

51

３

受信者情報取扱事業者の義務な要求を助長し、又は誘発するおそれが予見できるにもかかわらず、事業者間で共有している暴力団員等に該当する人物を本人とする個人情報や、不当要求による被害を防止するために必要な業務を行う各事業者の責任者の名簿等を、みだりに開示し、又は暴力団等に対しその存在を明らかにする場合
事例４） 個人情報を提供した場合、提供先において第 17 条第 1 項に違反する第三者提供がなされることを予見できるにもかかわらず、当該提供先に対して、個人情報を提供する場合
事例５） 採用選考を通じて個人情報を取得した事業者が、性別、国籍等の特定の属性のみにより、正当な理由なく本人に対する違法な差別的取扱いを行うために、個人情報を利用する場合
事例６） 広告配信を行っている事業者が、第三者から広告配信依頼を受けた商品が違法薬物等の違法な商品であることが予見できるにもかかわらず、当該商品の広告配信のために、自社で取得した個人情報を利用する場合※１「違法又は不当な行為」とは、法（個人情報の保護に関する法律）その他の法令に違反する行為、及び直ちに違法とはいえないものの、法（個人情報の保護に関する法律）その他の法令の制度趣旨又は公序良俗に反する等、社会通念上適正とは認められない行為をいう。
※２「おそれ」の有無は、受信者情報取扱事業者による個人情報の利用が、違法又は不当な行為を助長又は誘発することについて、社会通念上蓋然性が認められるか否かにより判断される。この判断に当たっては、個人情報の利用方法等の客観的な事情に加えて、個人情報の利用時点における受信者情報取扱事業者の認識及び予見可能性も踏まえる必要がある。例えば、受信者情報取扱事業者が第三者に個人情報を提供した場合において、当該第三者が当該個人情報を違法な行為に用いた場合であっても、当該第三者が当該個人情報の取得目的を偽っていた等、
当該個人情報の提供の時点において、提供した個人情報が違法に利用されることについて、当該受信者情報取扱事業者が一般的な注意力をもってしても予見できない状況であった場合には、「おそれ」は認められないと解される。
（参考）
法第 19 条
個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。

52

３

受信者情報取扱事業者の義務

個人情報の取得（第７条～第９条関係）
取得の制限（第７条関係）
第７条
受信者情報取扱事業者は、放送受信者等の個人情報の取得について、その事業に必要な場合に限るよう努めなければならない。
不必要な個人情報の取得を防ぐため、受信者情報取扱事業者は、その事業に必要な場合に限り、個人情報を取得するよう努めなければならない。ただし、「その事業に必要な場合」には、現在実施している事業に直接必要な場合に限られず、それと関連性を有するもの（例
えば、新事業のためのアンケート調査等）も含まれる。

適正な取得（第８条第１項関係）第８条（第１項）
１

受信者情報取扱事業者は、偽りその他不正の手段により放送受信者等の個人情報を取得してはならない。

受信者情報取扱事業者は、偽り等の不正の手段により個人情報を取得（※１）してはならない（※２）。
【受信者情報取扱事業者が不正の手段により個人情報を取得している事例】
事例１） 十分な判断能力を有していない子供や障害者から、取得状況から考えて関係のない家族の収入事情などの家族の個人情報を、家族の同意なく取得する場合
事例２） 第 17 条第１項に規定する第三者提供制限違反をするよう強要して個人情報を取得する場合
事例３） 個人情報を取得する主体や利用目的等について、意図的に虚偽の情報を示して、本人から個人情報を取得する場合
事例４） 他の事業者に指示して不正の手段で個人情報を取得させ、当該他の事業者から個人情報を取得する場合
事例５） 第 17 条第１項に規定する第三者提供制限違反がされようとしていることを知り、又は容易に知ることができるにもかかわらず、個人情報を取得する場合
事例６） 不正の手段で個人情報が取得されたことを知り、又は容易に知ることができるにもかかわらず、当該個人情報を取得する場合※１

個人情報を含む情報がインターネット等により公にされている場合であって、単にこれを閲覧するにすぎず、転記等を行わない場合は、個人情報を取得してい53

３

受信者情報取扱事業者の義務るとは解されない。
※２

受信者情報取扱事業者若しくはその従業者又はこれらであった者が、その業務に関して取り扱った個人情報データベース等（その全部又は一部を複製し、又は加工したものを含む。）を自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、法第 179 条により刑事罰（１年以下の懲役又は 50 万円以下の罰金）が科され得る。
（参考）法第 20 条（第１項）
１

個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。

要配慮個人情報の取得（第８条第２項関係）第８条（第２項）
２

受信者情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得な
いで、放送受信者等の要配慮個人情報を取得してはならない。
一

法令に基づく場合

二人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
五

当該受信者情報取扱事業者が学術研究機関等である場合であって、当該要配慮個

人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う
目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
六

学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個

人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する
目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該受信者情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。）。
七

当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、法第 57

条第１項各号に掲げる者、外国政府、外国（本邦の域外にある国又は地域をいう。以54

３

受信者情報取扱事業者の義務下同じ。
）の政府機関、外国の地方公共団体、国際機関、外国において学術研究機関
等に相当する者又は外国において法第 57 条第１項各号に掲げる者に相当する者により公開されている場合
八

本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取

得する場合
九

第 17 条第９項各号（第 31 条第６項の規定により読み替えて適用する場合及び第32 条第２項において読み替えて準用する場合を含む。
）に掲げる場合において、個人
データである要配慮個人情報の提供を受けるとき。
要配慮個人情報（※１）を取得する場合には、あらかじめ本人の同意（※２）を得なければならない。ただし、次の（1）から(9)までに掲げる場合については、本人の同意を得る必要はない。
※１ 「要配慮個人情報」については 2-4（要配慮個人情報）参照。なお、要配慮個人情報の第三者提供には、原則として本人の同意が必要であり、オプトアウトによる第三者提供は認められていないので、注意が必要である（3-7-1（第三者提供の制限の原則）、3-7-2（オプトアウトによる第三者提供）参照）。
※２ 「本人の同意」については、2-17（本人の同意）を参照のこと。なお、受信者情報取扱事業者が要配慮個人情報を書面又は口頭等により本人から適正に直接取得する場合は、本人が当該情報を提供したことをもって、当該受信者情報取扱事業者が当該情報を取得することについて本人の同意があったものと解される。
また、受信者情報取扱事業者が要配慮個人情報を第三者提供の方法により取得した場合、提供元が第８条第２項及び第 17 条第１項に基づいて本人から必要な同意（要配慮個人情報の取得及び第三者提供に関する同意）を取得していることが前提となるため、提供を受けた当該個人情報取扱事業者が、改めて本人から第７条第２項に基づく同意を得る必要はないものと解される。
（1） 法令に基づく場合（第８条第２項第１号関係）
法令に基づく場合は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。なお、具体的な事例は、3-1-5（利用目的による制限の例外）に示すもののほか、次の事例も該当する。
事例） 受信者情報取扱事業者が、労働安全衛生法に基づき健康診断を実施し、これにより従業員の身体状況、病状、治療等の情報を健康診断実施機関から取得する場
合

55

３

受信者情報取扱事業者の義務（2） 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（第８条第２項第２号関係）
人（法人を含む。
）の生命、身体又は財産といった具体的な権利利益の保護が必要であり、かつ、本人の同意を得ることが困難である場合は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。
事例１） 急病その他の事態が生じたときに、本人の病歴等を医師や看護師が家族から聴取する場合事例２） 受信者情報取扱事業者と他の個人情報取扱事業者との間において、不正対策等のために、暴力団等の反社会的勢力情報、意図的に業務妨害を行う者の情報のうち、過去に業務妨害罪で逮捕された事実等の情報について共有する場合
事例３） 不正送金等の金融犯罪被害の事実に関する情報を、関連する犯罪被害の防止のために、他の事業者から取得する場合（3） 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（第８条第２項第３号関係）
公衆衛生の向上又は心身の発達途上にある児童の健全な育成のために特に必要があ
り、かつ、本人の同意を得ることが困難である場合は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。
事例）

健康保険組合等の保険者等が実施する健康診断等の結果判明した病名等について、健康増進施策の立案や保健事業の効果の向上を目的として疫学調査等のために提供を受けて取得する場合（4） 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（第８条第２項第４号関係）
国の機関等（地方公共団体又はその委託を受けた者を含む。
）が法令の定める事務を実施する上で、民間企業等の協力を得る必要があり、かつ、本人の同意を得ることが当
該事務の遂行に支障を及ぼすおそれがあると認められる場合は、当該民間企業等は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。

56

３

事例）

受信者情報取扱事業者の義務

事業者が警察の任意の求めに応じて要配慮個人情報に該当する個人情報を提出するために、当該個人情報を取得する場合（5） 当該受信者情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）（第８条第２項第５号関係）
学術研究機関等（※１）が要配慮個人情報を学術研究目的（※２）で取り扱う必要がある場合（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含む。
）であって、個人の権利利益を不当に侵害するおそれがない場合は、当該学術研究機関等は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる（※３）。
※１ 「学術研究機関等」については、2-19（学術研究機関等）を参照のこと。
※２ 「学術研究目的」については、2-20（学術研究目的）を参照のこと。
※３「個人の権利利益を不当に侵害するおそれがある場合」には、要配慮個人情報を取得することはできない。この場合、個人の権利利益を不当に侵害しない
ような措置を講ずるなど適切に処理する必要がある。この点、学術研究目的で
要配慮個人情報を取り扱う必要がある場合であっても、本人又は第三者の権利利益の保護の観点から、取得する要配慮個人情報の範囲を限定するなど、学術研究の目的に照らして可能な措置を講ずることが望ましい。
（6）学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該受信者情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。
）（第８条第２項第６号関係）
受信者情報取扱事業者が要配慮個人情報を学術研究目的（※１）で取得する必要があり、かつ、当該受信者情報取扱事業者と共同して学術研究を行う学術研究機関等（※２）
から当該要配慮個人情報を取得する場合（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場
合を除く（※３）。
）は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。

57

３

受信者情報取扱事業者の義務※１ 「学術研究機関等」については、2-19（学術研究機関等）を参照のこと。
※２ 「学術研究目的」については、2-20（学術研究目的）を参照のこと。
※３「個人の権利利益を不当に侵害するおそれがある場合」には、要配慮個人情報を取得することはできない。この場合、個人の権利利益を不当に侵害しない
ような措置を講ずるなど適切に処理する必要がある。この点、学術研究目的で
要配慮個人情報を取得する必要があっても、本人又は第三者の権利利益の保護の観点から、取得する個人データの範囲を限定するなど、学術研究の目的に照らして可能な措置を講ずることが望ましい。
（7） 当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、法第 57
条第１項各号に掲げる者、外国政府、外国（本邦の域外にある国又は地域をいう。以下同じ。
）の政府機関、外国の地方公共団体、国際機関、外国において学術研究機関等に相当する者又は外国において法第 57 条第１項各号に掲げる者に相当する者により公開されている場合（第８条第２項第７号関係）
要配慮個人情報が、次に掲げる者により公開されている場合は、あらかじめ本人の同意を得ることなく、当該公開されている要配慮個人情報を取得することができる。
①本人
②国の機関
③地方公共団体④学術研究機関等⑤放送機関・新聞社・通信社その他の報道機関（報道を業として行う個人を含む。
）⑥著述を業として行う者
⑦宗教団体
⑧政治団体
⑨外国政府、外国の政府機関、外国の地方公共団体又は国際機関⑩外国において法第 16 条第８項に規定する学術研究機関等に相当する者⑪外国において法第 57 条第１項各号に掲げる者に相当する者（8） 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合（第８条第２項第８号関係）
本人の意思にかかわらず、本人の外形上の特徴により、要配慮個人情報に含まれる事項（例：身体障害等）が明らかであるときは、あらかじめ本人の同意を得ることなく、
当該要配慮個人情報を取得することができる。

58

３

受信者情報取扱事業者の義務事例） 身体の不自由な方が事業所に来訪し、対応した従業員がその旨をお客様対応録等に記録した場合（目視による取得）や、身体の不自由な方の様子が事業所に設置された防犯カメラに映りこんだ場合（撮影による取得）（9） 第 17 条第９項各号（第 31 条第６項の規定により読み替えて適用する場合及び第 32条第２項において読み替えて準用する場合を含む。
）に掲げる場合において、個人デー
タである要配慮個人情報の提供を受けるとき（第８条第２項第９号関係）
要配慮個人情報を、第 17 条第９項各号（第 31 条第６項の規定により読み替えて適用する場合及び第 32 条第２項において読み替えて準用する場合を含む。
）に定める委託、事業承継又は共同利用により取得する場合は、あらかじめ本人の同意を得る必要はない。
【第８条第２項に違反している事例】
本人の同意を得ることなく、第８条第２項第７号で定める者以外がインターネット
上で公開している情報から本人の信条や犯罪歴等に関する情報を取得し、既に保有している当該本人に関する情報の一部として自己のデータベース等に登録すること。
（参考）
法第 20 条（第２項）
２

個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
一

法令に基づく場合

二人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
五

当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人

情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）。
六

学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個

59

３

受信者情報取扱事業者の義務

人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する
目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。）。
七

当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、第 57条第１項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合
八その他前各号に掲げる場合に準ずるものとして政令で定める場合

規則第６条
法第 20 条第２項第７号の個人情報保護委員会規則で定める者は、次の各号のいずれかに該当する者とする。
一

外国政府、外国の政府機関、外国の地方公共団体又は国際機関

二外国において法第 16 条第８項に規定する学術研究機関等に相当する者

三

外国において法第 57 条第１項各号に掲げる者に相当する者

政令第９条
法第 20 条第２項第８号の政令で定める場合は、次に掲げる場合とする。
一

本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取

得する場合
二

法第 27 条第５項各号（法第 41 条第６項の規定により読み替えて適用する場合及び法第 42 条第２項において読み替えて準用する場合を含む。）に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき。

利用目的の通知又は公表（第９条第１項関係）第９条（第１項）
１

受信者情報取扱事業者は、放送受信者等の個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

受信者情報取扱事業者は、個人情報を取得する場合は、あらかじめその利用目的を公表（※１）していることが望ましい。公表していない場合は、取得後速やかに、その利用目的を、本人に通知（※２）するか、又は公表しなければならない。
【本人への通知又は公表が必要な事例】

60

３

受信者情報取扱事業者の義務

事例１） インターネット上で本人が自発的に公にしている個人情報を取得した場合（単に閲覧しただけの場合を除く。
）
事例２） インターネット、官報、職員録等から個人情報を取得した場合（単に閲覧しただけの場合を除く。
）
事例３） 個人情報の第三者提供を受けた場合※１ 「公表」については、2-16（公表）を参照のこと。
※２ 「本人に通知」については、2-15（本人に通知）を参照のこと。
（参考）
法第 21 条（第１項）
１

個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

直接書面等による取得（第９条第２項関係）第９条（第２項）
２

受信者情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ。
）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある
場合は、この限りでない。

受信者情報取扱事業者は、契約書や懸賞応募はがき等の書面等による記載、ユーザー入力
画面への打ち込み等の電磁的記録により、直接本人から個人情報を取得する場合には、あらかじめ、本人に対し、その利用目的を明示（※）しなければならない。
なお、口頭により個人情報を取得する場合にまで、本項の義務を課するものではないが、その場合は第９条第１項に基づいて、あらかじめ利用目的を公表するか、取得後速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
また、人（法人を含む。
）の生命、身体又は財産の保護のために緊急に必要がある場合は、
あらかじめ、本人に対し、その利用目的を明示する必要はないが、その場合は第９条第１項に基づいて、取得後速やかにその利用目的を、本人に通知し、又は公表しなければならない（3-3-4（利用目的の通知又は公表）参照）。

61

３

受信者情報取扱事業者の義務【あらかじめ、本人に対し、その利用目的を明示しなければならない事例】
事例１） 本人の個人情報が記載された申込書・契約書等を本人から直接取得する場合
事例２） アンケートに記載された個人情報を直接本人から取得する場合
事例３） 自社が主催するキャンペーンへの参加希望者が、参加申込みのために自社のＷｅｂサイト上の入力画面に入力した個人情報を直接本人から取得する場合【利用目的の明示に該当する事例】
事例１） 利用目的を明記した契約書その他の書面を相手方である本人に手渡し、又は送付する場合
なお、契約約款又は利用条件等の書面（電磁的記録を含む。
）中に利用目的条
項を記載する場合は、例えば、裏面約款に利用目的が記載されていることを伝える、又は裏面約款等に記載されている利用目的条項を表面にも記載し、かつ、社
会通念上、本人が認識できる場所及び文字の大きさで記載する等、本人が実際に利用目的を確認できるよう留意することが望ましい。
事例２） ネットワーク上において、利用目的を、本人がアクセスした自社のＷｅｂサイ
ト上に明示し、又は本人の端末装置上に表示する場合。
なお、ネットワーク上において個人情報を取得する場合は、本人が送信ボタン
等を押下する前等にその利用目的（利用目的の内容が示された画面に 1 回程度の操作でページ遷移するよう設定したリンクやボタンを含む。
）が本人の目に留まるようその配置に留意することが望ましい。
※「本人に対し、その利用目的を明示」とは、本人に対し、その利用目的を明確に示すことをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法による必要がある。
（参考）
法第 21 条（第２項）
２

個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ。
）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場
合は、この限りでない。

62

３

受信者情報取扱事業者の義務

利用目的の通知等をしなくてよい場合（第９条第４項関係）第９条（第４項）
４

前三項の規定は、次に掲げる場合については、適用しない。
一

利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
二

利用目的を本人に通知し、又は公表することにより当該受信者情報取扱事業者の権利又は正当な利益を害するおそれがある場合
三国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
四取得の状況からみて利用目的が明らかであると認められる場合

次に掲げる場合については、第９条第１項から第３項までにおいて利用目的の本人への通知（※１）、公表（※２）又は明示（※３）（以下この項において「利用目的の通知等」という。
）が求められる場合であっても、当該利用目的の通知等は不要である。
（1）

利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（第９条第４項第１号関係）
利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合は、第９条第１項から第３項までの適用を受けず、当該利用目的の通知等は不要である。
（2） 利用目的を本人に通知し、又は公表することにより当該受信者情報取扱事業者の権
利又は正当な利益を害するおそれがある場合（第９条第４項第２号関係）
利用目的を本人に通知し、又は公表することにより当該受信者情報取扱事業者の権
利又は正当な利益を害するおそれがある場合は、第９条第１項から第３項までの適用を受けず、当該利用目的の通知等は不要である。
事例） 暴力団等の反社会的勢力情報、疑わしい取引の届出の対象情報、業務妨害行為を行う悪質者情報等を、本人又は他の事業者等から取得したことが明らかになることにより、当該情報を取得した企業に害が及ぶ場合（3） 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務

63

３

受信者情報取扱事業者の義務の遂行に支障を及ぼすおそれがあるとき（第９条第４項第３号関係）
国の機関等（地方公共団体又はその委託を受けた者を含む。
）が法令の定める事務を実施する上で、民間企業等の協力を得る必要があり、かつ、本人に対する利用目的の通知等により当該事務の遂行に支障を及ぼすおそれがあると認められる場合は、当該民間企業等は、第９条第１項から第３項までの適用を受けず、当該利用目的の通知等は不要である。
事例） 警察が、公開手配を行わないで、被疑者に関する個人情報を、被疑者の立ち回りが予想される受信者情報取扱事業者に限って提供した場合において、警察から当該個人情報を受け取った当該受信者情報取扱事業者が、利用目的を本人に通知し、又は公表することにより、捜査活動に支障を及ぼすおそれがある場
合（4） 取得の状況からみて利用目的が明らかであると認められる場合（第９条第４項第４号関係）取得の状況からみて利用目的が明らかであると認められる場合は、第９条第１項から第３項までの適用を受けず、当該利用目的の通知等は不要である。
事例１） 商品・サービス等を販売・提供するに当たって住所・電話番号等の個人情報を取得する場合で、その利用目的が当該商品・サービス等の販売・提供のみを確実に行うためという利用目的であるような場合
事例２） 一般の慣行として名刺を交換する場合、書面により、直接本人から、氏名・所属・肩書・連絡先等の個人情報を取得することとなるが、その利用目的が今後の連絡のためという利用目的であるような場合（ただし、ダイレクトメ
ール等の目的に名刺を用いることは自明の利用目的に該当しない場合があるので注意を要する。
）※１ 本人への「通知」については、2-15（本人に通知）を参照のこと。
※２ 「公表」については、2-16（公表）参照のこと。
※３ 「明示」については、3-3-5（直接書面等による取得）参照のこと。
（参考）
法第 21 条（第４項）
４

前三項の規定は、次に掲げる場合については、適用しない。

64

３

一

受信者情報取扱事業者の義務

利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
二

利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権

利又は正当な利益を害するおそれがある場合
三国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
四取得の状況からみて利用目的が明らかであると認められる場合

個人データの管理（第 10 条～第 14 条関係）
データ内容の正確性の確保等（第 10 条関係）
第 10 条
受信者情報取扱事業者は、利用目的の達成に必要な範囲内において、放送受信者等の個人データを正確かつ最新の内容に保つよう努めなければならない。
受信者情報取扱事業者は、利用目的の達成に必要な範囲内において、個人情報データベー
ス等への個人情報の入力時の照合・確認の手続の整備、誤り等を発見した場合の訂正等の手続の整備、記録事項の更新、保存期間の設定等を行うことにより、個人データを正確かつ最新の内容に保つよう努めなければならない。
なお、保有する個人データを一律に又は常に最新化する必要はなく、それぞれの利用目的に応じて、その必要な範囲内で正確性・最新性を確保すれば足りる。
（参考）
法第 22 条
個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。

保存期間等（第 11 条関係）
第 11 条
受信者情報取扱事業者は、放送受信者等の個人データを取り扱うに当たっては、利用目的に必要な範囲内で保存期間を定め、当該保存期間経過後又は利用する必要がなくなった後は、当該個人データを遅滞なく消去するよう努めなければならない。

65

３

受信者情報取扱事業者の義務保有する個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場
合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった
場合等は、当該個人データを遅滞なく消去することが適切であり（※）
、その趣旨を徹底する観点から、受信者情報取扱事業者は、利用目的に応じ保存期間を定めるよう努めなければならない。また、保存期間内であっても利用する必要がなくなった後は消去するよう努めなければならない。
特に視聴者特定視聴履歴については、長期間蓄積することにより、プロファイリングのリ
スクが高まること、視聴者特定視聴履歴の取得に対して同意をするに当たってどの程度蓄積されるのかについて予見可能性を確保することが放送受信者等の利益に資することから、利用目的に応じた合理的な保存期間を定めるとともに、利用する必要がなくなった後は消去するよう努めなければならない。この際、放送受信者等が当該利用目的となるサービスを解約したり、オプトアウトにより視聴者特定視聴履歴の取得を停止した場合には、事務処理等のために必要な期間の経過後は利用する必要がなくなったものとして消去することが適当である。
ただし、個人データによっては、一律に保存期間を定めることが難しい場合もあることか
ら、全ての個人データについて保存期間を定めることまでは要求しない。しかし、この場合であっても、利用目的を達成すれば遅滞なく消去するよう努めなければならない。
【個人データについて利用する必要がなくなったときに該当する事例】
事例１） キャンペーンの懸賞品送付のため、当該キャンペーンの応募者の個人データを保有していたところ、懸賞品の発送が終わり、不着対応等のための合理的な期間が経過した場合
事例２） 有料放送を契約し、視聴履歴の提供に同意した上でコンテンツのリコメンドサービスを受けていたが、当該有料放送契約を解約し、料金の精算等のための合理的な期間が経過した場合※「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該個人データを削除することのほか、当該個人データから特定の個人を識別できないようにすること等を含む。
（参考）
法第 22 条
個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。

66

３

受信者情報取扱事業者の義務

安全管理措置（第 12 条関係）
第 12 条
受信者情報取扱事業者は、その取り扱う放送受信者等の個人データの漏えい、滅失又は毀損の防止その他の放送受信者等の個人データの安全管理のために必要かつ適切な措置（以下「安全管理措置」という。）を講じなければならない。
受信者情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損（以下「漏えい等」という。
）の防止その他の個人データの安全管理のため、必要かつ適切な措置（以下「安全管理措置」という。
）を講じなければならないが、当該措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容としなければならない。
なお、「その他の放送受信者等の個人データの安全管理のために必要かつ適切な措置」に
は、受信者情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該受信者情報取扱事業者が個人データとして取り扱うことを予定しているものの漏えい等を防止するために必要かつ適切な措置も含まれる。
具体的に講じなければならない措置や当該措置を実践するための手法の例等については、「10（別添）講ずべき安全管理措置の内容」を参照のこと。また、視聴者特定視聴履歴の取扱いに係る安全管理措置については、7-3-1（視聴者特定視聴履歴の取扱い上の注意）を参
照のこと。
（参考）
法第 23 条
個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その
他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

従業者の監督（第 13 条第１項、第２項関係）
第 13 条（第１項、第２項）
１

受信者情報取扱事業者は、その従業者に放送受信者等の個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

２

受信者情報取扱事業者は、安全管理措置の実施その他の放送受信者等の個人データの適正な取扱いの確保のため、その従業者に対し、必要な教育研修を実施するよう努め

67

３

受信者情報取扱事業者の義務

なければならない。
受信者情報取扱事業者は、その従業者に個人データを取り扱わせるに当たって、第 12 条に基づく安全管理措置を遵守させるよう、当該従業者に対し必要かつ適切な監督をしなけ
ればならない。その際、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に起因するリスクに応じて、個人データを取り扱う従業者に対する教育研
修等の内容及び頻度を充実させるなど、必要かつ適切な措置を講ずることが望ましい。教育
研修の内容としては、安全管理に関する内部規定・マニュアルの周知等が考えられる。
「従業者」とは、受信者情報取扱事業者の組織内にあって直接間接に受信者情報取扱事業者の指揮監督を受けて受信者情報取扱事業者の業務に従事している者等をいい、雇用関係にある従業員（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、
取締役、執行役、理事、監査役、監事、派遣社員等も含まれる。
【従業者に対して必要かつ適切な監督を行っていない事例】
事例１） 従業者が、個人データの安全管理措置を定める規程等に従って業務を行っていることを確認しなかった結果、個人データが漏えいした場合
事例２）

内部規程等に違反して個人データが入ったノート型パソコン又は外部記録媒体が繰り返し持ち出されていたにもかかわらず、その行為を放置した結果、当該パソコン又は当該記録媒体が紛失し、個人データが漏えいした場合（参考）
法第 24 条
個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

委託先の監督（第 13 条第３項関係）
第 13 条（第３項）
３

受信者情報取扱事業者は、放送受信者等の個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

受信者情報取扱事業者は、個人データの取扱いの全部又は一部を委託（※１）する場合は、委託を受けた者（以下「委託先」という。）において当該個人データについて安全管理措置

68

３

受信者情報取扱事業者の義務が適切に講ぜられるよう、委託先に対し必要かつ適切な監督をしなければならない。具体的には、受信者情報取扱事業者は、第 12 条に基づき自らが講ずべき安全管理措置と同等の措置が講ぜられるよう、監督を行うものとする（※２）。
その際、委託する業務内容に対して必要のない個人データを提供しないようにすることは当然のこととして、取扱いを委託する個人データの内容を踏まえ、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質、
個人データの取扱状況（取り扱う個人データの性質及び量を含む。
）等に起因するリスクに応じて、次の（1）から（3）までに掲げる必要かつ適切な措置を講じなければならない（※
３）
。
なお、特に視聴者特定視聴履歴の取扱いについては、第 42 条第１項において、要配慮個
人情報を推知し、あるいは、第三者による推知が可能となることがないように注意すべきとされているところであり、当該規定は、委託先においても適用されることに留意が必要である。
（1） 適切な委託先の選定
委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第 23 条及び本
ガイドラインで委託元に求められるものと同等であることを確認するため、「10（別添）
講ずべき安全管理措置の内容」に定める各項目が、委託する業務内容に沿って、確実に実施されることについて、委託先の体制や規定等の確認に加え、必要に応じて個人情報保護を取り扱う場所に赴く又はこれに代わる合理的な方法による確認を行う等により、あらかじめ確認しなければならない。
（2） 委託契約の締結
委託契約には、安全管理措置（委託先において個人情報を取り扱う者（委託先の作業者以外の者を含む。
）を明確にすること、委託先において講ずべき安全管理措置の内
容等）、秘密保持、再委託の条件（再委託を許すかどうか並びに再委託先を許す場合

は再委託先に個人情報を適正に取り扱っていると認められる者を選定すること、再委託を行うに当たっての受信者情報取扱事業者への文書による事前報告又は承認及び再委託先の監督に関する事項等。なお、二段階以上の委託を許す場合は同様に再々委託先等の選定、監督に関する事項を定める必要がある。）、委託契約終了時の個人情報の取扱い（個人情報の返却、消去等）、契約内容が遵守されなかった場合の措置（例えば、安全管理に関する事項が遵守されずに個人情報が漏えいした場合の損害賠償に関する事項、安全管理措置の不備が発見された場合の解約等）等その他の個人情報の取扱いに関する事項を適正に定めることが適当である。

69

３

受信者情報取扱事業者の義務

また、委託先における委託された個人データの取扱状況を委託元が合理的に把握することを盛り込むことが望ましい。
（3） 委託先における個人データ取扱状況の把握
委託先における委託された個人データの取扱状況を把握するためには、定期的に監査を行う等により、委託契約で盛り込んだ内容の実施の程度を調査した上で、委託の内容等の見直しを検討することを含め、適切に評価することが望ましい。
また、委託先が再委託を行おうとする場合は、委託を行う場合と同様、委託元は、委
託先が再委託する相手方、再委託する業務内容、再委託先の個人データの取扱方法等について、委託先から事前報告を受け又は承認を行うこと、及び委託先を通じて又は必要に応じて自らが、定期的に監査を実施すること等により、委託先が再委託先に対して本条の委託先の監督を適切に果たすこと、及び再委託先が第 12 条に基づく安全管
理措置を講ずることを十分に確認することが望ましい（※４）
。再委託先が再々委託を行う場合以降も、再委託を行う場合と同様である。
【委託を受けた者に対して必要かつ適切な監督を行っていない事例】
事例１）

個人データの安全管理措置の状況を契約締結時及びそれ以後も適宜把握せず外部の事業者に委託した結果、委託先が個人データを漏えいした場合
事例２）

個人データの取扱いに関して必要な安全管理措置の内容を委託先に指示しなかった結果、委託先が個人データを漏えいした場合
事例３） 再委託の条件に関する指示を委託先に行わず、かつ委託先の個人データの取扱状況の確認を怠り、委託先が個人データの処理を再委託した結果、当該再委託先が個人データを漏えいした場合
事例４） 契約の中に、委託元は委託先による再委託の実施状況を把握することが盛り込まれているにもかかわらず、委託先に対して再委託に関する報告を求めるなどの必要な措置を行わず、委託元の認知しない再委託が行われた結果、当該再委託先が個人データを漏えいした場合※１「個人データの取扱いの委託」とは、契約の形態・種類を問わず、受信者情報
取扱事業者が他の者に個人データの取扱いを行わせることをいう。具体的には、
個人データの入力（本人からの取得を含む。）、編集、分析、出力等の処理を行うことを委託すること等が想定される。

※２

委託元が第 12 条の求める水準を超える高い水準の安全管理措置を講じている
場合に、委託先に対してもこれと同等の措置を求める趣旨ではなく、委託先は、第12 条が求める水準の安全管理措置を講ずれば足りると解される。

70

３

※３

受信者情報取扱事業者の義務

委託先の選定や委託先における個人データ取扱状況の把握に当たっては、取扱いを委託する個人データの内容や規模に応じて適切な方法をとる必要があるが、例えば、必要に応じて個人データを取り扱う場所に赴く又はこれに代わる合理的な方法（口頭による確認を含む。）により確認することが考えられる。

※４

委託元が委託先について「必要かつ適切な監督」を行っていない場合で、委託先が再委託をした際に、再委託先が不適切な取扱いを行ったときは、元の委託元による法違反と判断され得るので、再委託をする場合は注意を要する。

（参考）
法第 25 条
個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

個人情報保護管理者（第 14 条関係）
第 14 条
受信者情報取扱事業者は、個人情報保護管理者（当該受信者情報取扱事業者の個人情報の取扱いに関する責任者をいう。）を置き、本ガイドラインを遵守するための内部規程の策定、監査体制の整備及び当該受信者情報取扱事業者の個人情報の取扱いの監督を行わせるよう努めなければならない。
個人情報保護措置の実施に関する責任の所在を明確にし、第12条の安全管理措置の実施
その他の個人情報の適正な取扱いについて、受信者情報取扱事業者の内部における責任体制を確保するため、受信者情報取扱事業者は、当該受信者情報取扱事業者の個人情報の適正な取扱いの確保について必要な権限を有する役員などの組織横断的に監督することのできる者（個人情報保護管理者）を置いて、個人情報保護管理者において責任をもって必要な個
人情報保護の取扱いの監督等を行わせるよう努めなければならない。
なお、個人情報保護管理者の設置は、特に、受信者情報取扱事業者の内部又は外部からの不正行為による個人情報の漏えい等を防止するため、責任の所在を明確化する上でも、重要である。また、個人情報保護管理者は、内部規程の策定や監査体制の整備に当たっては、「10（別添）講ずべき安全管理措置の内容」に規定された措置を盛り込むことが望ましい。
（参考）
個人情報保護に関する基本方針（平成 16 年４月２日閣議決定、令和４年４月１日一部変
更）

71

３

６

受信者情報取扱事業者の義務

個人情報取扱事業者等が講ずべき個人情報の保護のための措置に関する基本的な事
項（１）個人情報取扱事業者等が取り扱う個人情報等に関する事項
個人情報取扱事業者は、法の規定に従うほか、２の（２）の①の民間部門ガイドラ
イン及び認定個人情報保護団体の個人情報保護指針等に則し、例えば、プライバシーを含む個人の権利利益を一層保護する観点から、個人情報保護を推進する上での考え方や方針（いわゆる、プライバシーポリシー、プライバシーステートメント等）を対外的に明確化するなど、個人情報の保護及び適正かつ効果的な活用について自主的に取り組むことが期待されているところであり、体制の整備等に積極的に取り組んでいくことが求められている。その際、事業の規模及び性質、個人データの取扱状
況等に応じて、各個人情報取扱事業者等において適切な取組が実施されることが重要である。

プライバシーポリシーの公表（第 15 条関係）
第 15 条
受信者情報取扱事業者は、プライバシーポリシー（当該受信者情報取扱事業者が放送受信者等の個人情報保護を推進する上での考え方や方針をいう。）を公表し、これを遵守するよう努めなければならない。
事業者の個人情報保護についての社会的信頼を確保するため、受信者情報取扱事業者は自らの個人情報保護を推進する上での考え方や方針についての宣言をプライバシーポリシ
ーとして公表することが適切である。
プライバシーポリシーは、それぞれの受信者情報取扱事業者が、分かりやすい表現で記載すべきものであるが、プライバシーポリシーに記載すべき事項としては、次のようなものが考えられる。
① 法その他の関係法令の遵守② 本ガイドラインの遵守③

個人情報の取扱い等に関して周知すべき事項（ⅰ） 受信者情報取扱事業者の名称（ⅱ） 個人情報の利用目的（ⅲ） 利用目的の通知又は開示若しくは訂正等の本人からの求めに応じる手続（ⅳ） 苦情の申出先（ⅴ） 認定個人情報保護団体の名称及び苦情の解決の申出先④ 第12条の安全管理措置に関する方針

72

３

⑤

受信者情報取扱事業者の義務

利用者の権利利益の保護に関する事項（ⅰ） 保有個人データについて本人から求めがあった場合には、ダイレクトメールの発送停止など、自主的に利用停止等に応じること（ⅱ） 委託の有無、委託する事務の内容を明らかにする等、委託処理の透明化を進めること（ⅲ）

受信者情報取扱事業者がその事業内容を勘案して利用者の種類ごとに利用目的を限定して示す、受信者情報取扱事業者が本人の選択による利用目的の限定に自主的に取り組むなどにより、本人にとって利用目的がより明確になるようにすること（ⅳ） 個人情報の取得方法（取得源の種類等）を、可能な限り具体的に明記すること（参考）
個人情報保護に関する基本方針（平成 16 年４月２日閣議決定、令和４年４月１日一部変更）６

個人情報取扱事業者等が講ずべき個人情報の保護のための措置に関する基本的な事
項（１）個人情報取扱事業者等が取り扱う個人情報等に関する事項
個人情報取扱事業者は、法の規定に従うほか、２の（２）の①の民間部門ガイドラ
イン及び認定個人情報保護団体の個人情報保護指針等に則し、例えば、プライバシーを含む個人の権利利益を一層保護する観点から、個人情報保護を推進する上での考え方や方針（いわゆる、プライバシーポリシー、プライバシーステートメント等）を対外的に明確化するなど、個人情報の保護及び適正かつ効果的な活用について自主的に取り組むことが期待されているところであり、体制の整備等に積極的に取り組んでいくことが求められている。その際、事業の規模及び性質、個人データの取扱状
況等に応じて、各個人情報取扱事業者等において適切な取組が実施されることが重要である。

個人データの漏えい等の報告等（第 16 条関係）
「個人データ」の「漏えい等」の考え方
3-6-1-1 第 16 条第１項各号の「個人データ」の考え方
第 16 条第１項各号は、法第 26 条第１項に基づく漏えい等の報告の対象となる事態について定めているところ、第 16 条第１項各号に規定する「個人データ」とは、受信者情報

73

３

受信者情報取扱事業者の義務取扱事業者が取り扱う個人データをいう。
ただし、第 16 条第１項第３号に規定する「個人データ」には、「当該受信者情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているもの」が含まれる。
そのため、同号に定める事態との関係では、3-6-1-2（「漏えい」の考え方）から 3-6-1-4（「毀損」の考え方）までにおける「個人データ」は、受信者情報取扱事業者が取り扱う個
人データに加え、「当該受信者情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているもの」を含む。
同号に定める事態について、詳細は 3-6-3-1（報告対象となる事態）を参照のこと。
3-6-1-2 「漏えい」の考え方
個人データの「漏えい」とは、個人データが外部に流出することをいう。
【個人データの漏えいに該当する事例】
事例１）個人データが記載された書類を第三者に誤送付した場合
事例２）個人データを含むメールを第三者に誤送信した場合
事例３）システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となっていた場合
事例４）個人データが記載又は記録された書類・媒体等が盗難された場合
事例５）不正アクセス等により第三者に個人データを含む情報が窃取された場合
事例６）受信者情報取扱事業者のウェブサイトの入力ページが第三者に改ざんされ、ユーザーが当該ページに入力した個人情報が、当該第三者に送信された場合であり、かつ、当該受信者情報取扱事業者が、当該ページに入力される個人情報を個人情
報データベース等へ入力することを予定していたとき
なお、個人データを第三者に閲覧されないうちに全てを回収した場合は、漏えいに該当しない。また、受信者情報取扱事業者が自らの意図に基づき個人データを第三者に提供する場
合（※）は、漏えいに該当しない。
※

受信者情報取扱事業者は、個人データの第三者への提供に当たり、原則としてあらかじめ本人の同意を取得する必要がある。

3-6-1-3 「滅失」の考え方
個人データの「滅失」とは、個人データの内容が失われることをいう。

74

３

受信者情報取扱事業者の義務【個人データの滅失に該当する事例】
事例１）個人情報データベース等から出力された氏名等が記載された帳票等を誤って廃棄した場合（※１）
事例２）個人データが記載又は記録された書類・媒体等を社内で紛失した場合（※２）
なお、上記の場合であっても、その内容と同じデータが他に保管されている場合は、滅失に該当しない。また、受信者情報取扱事業者が合理的な理由により個人データを削除する場
合は、滅失に該当しない。
※１

当該帳票等が適切に廃棄されていない場合には、個人データの漏えいに該当する場合がある。
※２ 社外に流出した場合には、個人データの漏えいに該当する。
3-6-1-4 「毀損」の考え方
個人データの「毀損」とは、個人データの内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となることをいう。
【個人データの毀損に該当する事例】
事例１）個人データの内容が改ざんされた場合
事例２）暗号化処理された個人データの復元キーを喪失したことにより復元できなくなった場合
事例３）ランサムウェア等により個人データが暗号化され、復元できなくなった場合（※）
なお、上記事例２）及び事例３）の場合であっても、その内容と同じデータが他に保管されている場合は毀損に該当しない。
※

同時に個人データが窃取された場合には、個人データの漏えいにも該当する。

漏えい等事案が発覚した場合に講ずべき措置
受信者情報取扱事業者は、漏えい等又はそのおそれのある事案（以下「漏えい等事案」という。
）が発覚した場合は、漏えい等事案の内容等に応じて、次の（1）から（5）に掲げる事項について必要な措置を講じなければならない。

75

３

受信者情報取扱事業者の義務（1）事業者内部における報告及び被害の拡大防止
責任ある立場の者に直ちに報告するとともに、漏えい等事案による被害が発覚時よりも拡大しないよう必要な措置を講ずる。
（2）事実関係の調査及び原因の究明
漏えい等事案の事実関係の調査及び原因の究明に必要な措置を講ずる。
（3）影響範囲の特定
上記（2）で把握した事実関係による影響範囲の特定のために必要な措置を講ずる。
（4）再発防止策の検討及び実施
上記（2）の結果を踏まえ、漏えい等事案の再発防止策の検討及び実施に必要な措置を講ずる。
（5）個人情報保護委員会又は委任を受けた総務大臣等への報告及び本人への通知
3-6-3（個人情報保護委員会又は委任を受けた総務大臣等への報告）、3-6-4（本人への通知）を参照のこと。なお、漏えい等事案の内容等に応じて、二次被害の防止、類似事
案の発生防止等の観点から、事実関係及び再発防止策等について、速やかに公表することが望ましい。

個人情報保護委員会又は委任を受けた総務大臣等への報告（第 16 条第１項、第４項関係）
3-6-3-1 報告対象となる事態
第 16 条（第１項）
１

受信者情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個
人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして次の各号のいずれかに該当するものが生じたときは、次項から第４項までに定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければな

76

３

受信者情報取扱事業者の義務らない。ただし、当該受信者情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、第５項に定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。
一

要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この項及び次項において同じ。
）の漏えい、滅失若しくは毀損（以下この項及び次項において「漏えい等」という。
）が発生し、又は発生したおそれがある事態
二

不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
三

不正の目的をもって行われたおそれがある当該受信者情報取扱事業者に対する行

為による個人データ（当該受信者情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。
）の漏えい等が発生し、又は発生したおそれがある事態
四

個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態
第 16 条（第４項）
４

第１項本文の規定による報告は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める方法により行うものとする。
一

個人情報保護委員会に報告する場合

電子情報処理組織（個人情報保護委員会の使用に係る電子計算機と報告をする者の使用に係る電子計算機とを電気通信回線で接続した電子情報処理組織をいう。以下この項において同じ。
）を使用する方法（電気通信回線の故障、災害その他の理由により電子情報処理組織を使用することが困難であると認められる場合にあっては、個人情報の保護に関する法律施行規則（平成28 年個人情報保護委員会規則第３号。以下「規則」という。
）別記様式第一による報告書を提出する方法）
二法第 150 条第１項の規定により、法第 26 条第１項の規定による権限の委任を受けた総務大臣に報告する場合

規則別記様式第一による報告書を提出する方法（総務大臣が別に定める場合にあっては、その方法）
受信者情報取扱事業者は、次の（1）から（4）までに掲げる事態（以下「報告対象事態」という。
）を知ったときは、個人情報保護委員会（法第 150 条第１項の規定により総務大臣等が報告を受理する権限の委任を受けている場合にあっては、総務大臣等）に報告しなければならない（※１）
（※２）。

77

３

受信者情報取扱事業者の義務（1）要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態（第 16 条第１項第１号関係）【報告を要する事例】
事例１）放送受信者等の診療情報や調剤情報を含む個人データを記録した USB メモリ
ーを紛失した場合
事例２）従業員の健康診断等の結果を含む個人データが漏えいした場合（2）不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態（第 16 条第１項第２号関係）
財産的被害が生じるおそれについては、対象となった個人データの性質・内容等を踏
まえ、財産的被害が発生する蓋然性を考慮して判断する。
【報告を要する事例】
事例１）EC サイトからクレジットカード番号を含む個人データが漏えいした場合
事例２）送金や決済機能のあるウェブサービスのログイン ID とパスワードの組み合
わせを含む個人データが漏えいした場合（3）不正の目的をもって行われたおそれがある当該受信者情報取扱事業者に対する行為による個人データ（当該受信者情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。
）の漏えい等が発生し、又は発生したおそれがある事態（第 16 条第１項第３号関係）「不正の目的をもって行われたおそれがある当該受信者情報取扱事業者に対する行
為」（以下「不正行為」という。）の主体には、第三者のみならず、従業者も含まれる。
また、不正行為の相手方である「当該受信者情報取扱事業者」には、当該受信者情報取扱事業者が第三者に個人データの取扱いを委託している場合（※３）における当該第三者（委託先）及び当該受信者情報取扱事業者が個人データを取り扱うに当たって第三者の提供するサービスを利用している場合における当該第三者も含まれる。
当該受信者情報取扱事業者が「取得しようとしている個人情報」に該当するかどうかは、当該受信者情報取扱事業者が用いている個人情報の取得手段等を考慮して客観的に判断する。
個人情報データベース等へ入力すること等を予定していれば、最終的に個人情報に該当しない統計情報への加工を行うことを予定している場合等であっても、「個人データとして取り扱われることが予定されている」に該当する。

78

３

受信者情報取扱事業者の義務【報告を要する事例】（※４）
事例１）不正アクセスにより個人データ（個人情報データベース等へ入力する予定の個人情報を含む。以下、事例５）まで同じ。
）が漏えいした場合
事例２）ランサムウェア等により個人データが暗号化され、復元できなくなった場合
事例３）個人データが記載又は記録された書類・媒体等が盗難された場合
事例４）従業者が顧客の個人データを不正に持ち出して第三者に提供した場合（※５）
事例５）従業者の私用の端末又は取引先の端末が情報を窃取するマルウェアに感染し、その後、当該端末と受信者情報取扱事業者のサーバとの電気通信に起因して、当該サーバも当該マルウェアに感染し、個人データが漏えいした
場合
事例６）受信者情報取扱事業者のウェブサイトの入力ページが第三者に改ざんされ、
ユーザーが当該ページに入力した個人情報が当該第三者に送信された場合であり、かつ、当該受信者情報取扱事業者が、当該ページに入力される個
人情報を個人情報データベース等へ入力することを予定していたとき
事例７）受信者情報取扱事業者のウェブサイト上に設置された、入力ページに遷移するためのリンクやボタンが第三者に改ざんされ、当該リンクやボタンをユーザーがクリックした結果、偽の入力ページに遷移し、当該ユーザーが当該偽の入力ページに入力した個人情報が当該第三者に送信された場合であり、かつ、当該受信者情報取扱事業者が、当該受信者情報取扱事業者の入力ページに入力される個人情報を個人情報データベース等へ入力することを予定していたとき
事例８）受信者情報取扱事業者が、第三者により宛先の改ざんされた返信用封筒を顧客に送付した結果、当該返信用封筒により返信されたアンケート用紙に記入された個人情報が当該第三者に送付された場合であり、かつ、当該受信者情報取扱事業者が、当該個人情報を個人情報データベース等へ入力することを予定していたとき（4）個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態（第 16 条第１項第４号関係）「個人データに係る本人の数」は、当該受信者情報取扱事業者が取り扱う個人データのうち、漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数をいう。
「個人データに係る本人の数」について、事態が発覚した当初 1,000 人以下であっても、その後 1,000 人を超えた場合には、1,000 人を超えた時点で第 16 条第１項第４号に該当することになる。本人の数が確定できない漏えい等において、漏えい等が発生した

79

３

受信者情報取扱事業者の義務

おそれがある個人データに係る本人の数が最大 1,000 人を超える場合には、第 16 条第１項第４号に該当する。
【報告を要する事例】
事例）システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となり、当該個人データに係る本人の数が 1,000 人を超える場合※１

報告対象事態に該当しない漏えい等事案であっても、受信者情報取扱事業者

は個人情報保護委員会に任意の報告をすることができる。
※２

報告対象事態における「おそれ」については、その時点で判明している事実関係に基づいて個別の事案ごとに蓋然性を考慮して判断することになる。漏えい等が発生したおそれについては、その時点で判明している事実関係からして、漏えい等が疑われるものの漏えい等が生じた確証がない場合がこれに該当する。
※３

受信者情報取扱事業者が、個人データとして取り扱うことを予定している個

人情報の取扱いを第三者に委託する場合であって、当該第三者（委託先）が当
該個人情報を個人データとして取り扱う予定はないときも、ここにいう「受信者情報取扱事業者が第三者に個人データの取扱いを委託している場合」に該当する。
※４ サイバー攻撃の事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、次の（ア）から（オ）が考えられる。
（ア）個人データ（個人情報データベース等へ入力する予定の個人情報を含む。
（イ）において同じ。
）を格納しているサーバや、当該サーバにアクセス権限を有する端末において外部からの不正アクセスによりデータが窃取された痕跡が認められた場合（イ）個人データを格納しているサーバや、当該サーバにアクセス権限を有す
る端末において、情報を窃取する振る舞いが判明しているマルウェアの感染が確認された場合（ウ）マルウェアに感染したコンピュータに不正な指令を送り、制御するサーバ（C&C サーバ）が使用しているものとして知られている IP アドレス・
FQDN（Fully Qualified Domain Name の略。サブドメイン名及びドメイ
ン名からなる文字列であり、ネットワーク上のコンピュータ（サーバ等）を特定するもの。
）への通信が確認された場合（エ）個人情報の取得手段であるウェブページを構成するファイルを保存しているサーバや、当該サーバにアクセス権限を有する端末において、外部からの不正アクセスにより、当該ファイルに、当該ウェブページに入力された情報を窃取するような改ざんがされた痕跡が確認された場合

80

３

受信者情報取扱事業者の義務（オ）不正検知を行う公的機関、セキュリティ・サービス・プロバイダ、専門家等の第三者から、漏えいのおそれについて、一定の根拠に基づく連絡を受けた場合※５

従業者による個人データ又は個人情報の持ち出しの事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、個人データ
又は個人情報を格納しているサーバや、当該サーバにアクセス権限を有する端末において、通常の業務で必要としないアクセスによりデータが窃取された痕跡が認められた場合が考えられる。
なお、漏えい等が発生し、又は発生したおそれがある個人データ又は個人情報について、高度な暗号化等の秘匿化がされている場合等、「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられている場合については、報告を要しない。
（参考）
法第 26 条（第１項）
１

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人
データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいもの
として個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。

規則第７条
法第 26 条第１項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。
一

要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第１項において同じ。
）の漏えい、滅失若しくは毀損（以下この条及び次条第１項において「漏えい等」という。
）が発生し、又は発生したおそれがある事態
二

不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
三

不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為

による個人データ（当該個人情報取扱事業者が取得し、又は取得しようとしている個
人情報であって、個人データとして取り扱われることが予定されているものを含

81

３

受信者情報取扱事業者の義務む。
）の漏えい等が発生し、又は発生したおそれがある事態
四

個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態規則第８条（第３項）
３

法第 26 条第１項本文の規定による報告は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める方法により行うものとする。
一

個人情報保護委員会に報告する場合

電子情報処理組織(個人情報保護委員会の使用に係る電子計算機と報告をする者の使用に係る電子計算機とを電気通信回線で接続した電子情報処理組織をいう。以下この項において同じ。
）を使用する方法（電気通信回線の故障、災害その他の理由により電子情報処理組織を使用することが困難であると認められる場合にあっては、別記様式第一による報告書を提出する方法）
二法第 150 条第１項の規定により、法第 26 条第１項の規定による権限の委任を受けた事業所管大臣に報告する場合

別記様式第一による報告書を提出する方法（当該事業所管大臣が別に定める場合にあっては、その方法）
法第 150 条（第１項）
１

委員会は、緊急かつ重点的に個人情報等の適正な取扱いの確保を図る必要があることその他の政令で定める事情があるため、個人情報取扱事業者等に対し、第 148 条第１項の規定による勧告又は同条第２項若しくは第３項の規定による命令を効果的に行う上で必要があると認めるときは、政令で定めるところにより、第 26 条第１項、第 146条第１項、第 162 条において読み替えて準用する民事訴訟法（平成８年法律第 109 号）
第 99 条、第 101 条、第 103 条、第 105 条、第 106 条、第 108 条及び第 109 条、第 163条並びに第 164 条の規定による権限を事業所管大臣に委任することができる。

3-6-3-2 報告義務の主体
漏えい等報告の義務を負う主体は、原則として、漏えい等が発生し、又は発生したおそれがある個人データを取り扱う受信者情報取扱事業者である。ただし、第 16 条第１項第３号に定める事態について漏えい等報告の義務を負う主体は、漏えい等が発生し、又は発生した
おそれがある個人データ又は個人情報を取り扱い、又は取得しようとしている受信者情報
取扱事業者である（3-6-1-1（第 16 条第１項各号の「個人データ」の考え方）参照）。
個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人デー
タ又は個人情報を取り扱っており、又は取得しようとしていることになるため、報告対象事態に該当する場合には、原則として委託元と委託先の双方が報告する義務を負う。この場合、委託元及び委託先の連名で報告することができる。なお、委託先が、報告義務を負っている

82

３

受信者情報取扱事業者の義務委託元に当該事態が発生したことを通知したときは、委託先は報告義務を免除される（3-63-5（委託元への通知による例外）参照）。
また、委託元から委託先にある個人データ（個人データＡ）の取扱いを委託している場合であって、別の個人データ（個人データＢ）の取扱いを委託していないときには、個人デー
タＢについて、委託元において報告対象事態が発生した場合であっても、委託先は報告義務を負わず、委託元のみが報告義務を負うことになる。
3-6-3-3 速報（第 16 条第２項関係）
第 16 条（第２項）
２

受信者情報取扱事業者は、前項本文の規定による報告をする場合には、同項各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。第５項において同じ。
）を報告しなければな
らない。
一

概要

二

漏えい等が発生し、又は発生したおそれがある個人データ（前項第３号に定める事態については、同号に規定する個人情報を含む。次号において同じ。
）の項目
三

漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数

四

原因

五

二次被害又はそのおそれの有無及びその内容

六

本人への対応の実施状況

七

公表の実施状況

八

再発防止のための措置

九

その他参考となる事項

受信者情報取扱事業者は、報告対象事態を知ったときは、速やかに、個人情報保護委員会（法第 150 条第１項の規定により総務大臣等が報告を受理する権限の委任を受けている場
合にあっては、総務大臣等）に報告しなければならない。総務大臣等に報告する場合、報告
期限は個人情報保護委員会に報告する場合と同様である。
報告期限の起算点となる「知った」時点については、個別の事案ごとに判断されるが、受信者情報取扱事業者が法人である場合には、いずれかの部署が当該事態を知った時点を基準とする。
「速やか」の日数の目安については、個別の事案によるものの、受信者情報取扱
事業者が当該事態を知った時点から概ね３～５日以内である。
個人情報保護委員会又は委任を受けた総務大臣等への漏えい等報告については、次の（1）から（9）までに掲げる事項を、個人情報保護委員会又は委任を受けた総務大臣等に対して行う。速報時点での報告内容については、報告をしようとする時点において把握している内容を報告すれば足りる。

83

３

受信者情報取扱事業者の義務

（1）
「概要」
当該事態の概要について、発生日、発覚日、発生事案、発見者、第 16 条第１項各号該
当性、委託元及び委託先の有無、事実経過等を報告する。
（2）「漏えい等が発生し、又は発生したおそれがある個人データ（前項第３号に定める事態については、同号に規定する個人情報を含む。次号において同じ。）の項目」
漏えい等が発生し、又は発生したおそれがある個人データ（第 16 条第１項第３号に定める事態については、同号に規定する個人情報を含む。）の項目について、媒体や種類（顧客情報、従業員情報の別等）とともに報告する。
（3）「漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数」
漏えい等が発生し、又は発生したおそれがある個人データ（第 16 条第１項第３号に定める事態については、同号に規定する個人情報を含む。
）に係る本人の数について報告す
る。
（4）
「原因」
当該事態が発生した原因について、当該事態が発生した主体（報告者又は委託先）とともに報告する。
（5）「二次被害又はそのおそれの有無及びその内容」
当該事態に起因して発生する被害又はそのおそれの有無及びその内容について報告する。
（6）「本人への対応の実施状況」
当該事態を知った後、本人に対して行った措置（通知を含む。
）の実施状況について報告する。
（7）「公表の実施状況」

84

３

受信者情報取扱事業者の義務

当該事態に関する公表の実施状況について報告する。
（8）「再発防止のための措置」
漏えい等事案が再発することを防止するために講ずる措置について、実施済みの措置と今後実施予定の措置に分けて報告する。
（9）「その他参考となる事項」
上記の（1）から（8）までの事項を補完するため、個人情報保護委員会又は委任を受けた総務大臣等が当該事態を把握する上で参考となる事項を報告する。
（参考）
規則第８条（第１項）
個人情報取扱事業者は、法第 26 条第１項本文の規定による報告をする場合には、前条各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。次条において同じ。
）を報告しな
ければならない。
一

概要

二

漏えい等が発生し、又は発生したおそれがある個人データ（前条第３号に定める事態については、同号に規定する個人情報を含む。次号において同じ。
）の項目
三

漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数

四

原因

五

二次被害又はそのおそれの有無及びその内容

六

本人への対応の実施状況

七

公表の実施状況

八

再発防止のための措置

九

その他参考となる事項

3-6-3-4 確報（第 16 条第３項関係）
第 16 条（第３項）
３

前項の場合において、受信者情報取扱事業者は、当該事態を知った日から 30 日以内（当該事態が第１項第３号に定めるものである場合にあっては、60 日以内）に、当該事態に関する前項各号に定める事項を報告しなければならない。

受信者情報取扱事業者は、報告対象事態を知ったときは、速報に加え（※１）、30 日以内

85

３

受信者情報取扱事業者の義務（第 16 条第１項第３号の事態においては 60 日以内。同号の事態に加え、同項第１号、第２号又は第４号の事態にも該当する場合も 60 日以内。
）に個人情報保護委員会（法第 150 条
第１項の規定により総務大臣等が報告を受理する権限の委任を受けている場合にあっては、
総務大臣等）に報告しなければならない。30 日以内又は 60 日以内は報告期限であり、可能である場合には、より早期に報告することが望ましい。
報告期限の起算点となる「知った」時点については、速報と同様に、受信者情報取扱事業者が法人である場合には、いずれかの部署が当該事態を知った時点を基準とし、確報の報告
期限の算定（※２）に当たっては、その時点を１日目とする。
確報においては、3-6-3-3（1）から（9）までに掲げる事項の全てを報告しなければならない。確報を行う時点（報告対象事態を知った日から 30 日以内又は 60 日以内）において、合理的努力を尽くした上で、一部の事項が判明しておらず、全ての事項を報告することができない場合には、その時点で把握している内容を報告し、判明次第、報告を追完するものとする。
※１ 速報の時点で全ての事項を報告できる場合には、１回の報告で速報と確報を兼ねることができる。
※２ 確報の報告期限（30 日以内又は 60 日以内）の算定に当たっては、土日・祝日も含める。ただし、30 日目又は 60 日目が土日、祝日又は年末年始閉庁日（12 月 29
日～１月３日）の場合は、その翌日を報告期限とする（行政機関の休日に関する法律（昭和 63 年法律第 91 号）第２条）。
（参考）
規則第８条（第２項）
前項の場合において、個人情報取扱事業者は、当該事態を知った日から 30 日以内（当該事態が前条第３号に定めるものである場合にあっては、60 日以内）に、当該事態に関する前項各号に定める事項を報告しなければならない。
3-6-3-5 委託元への通知による例外（第 16 条第５項関係）
第 16 条（第５項）
５

受信者情報取扱事業者は、第１項ただし書の規定による通知をする場合には、同項各号に定める事態を知った後、速やかに、第２項各号に定める事項を通知しなければならない。

委託先は、個人情報保護委員会（法第 150 条第１項の規定により総務大臣等が報告を受理する権限の委任を受けている場合にあっては、総務大臣等）への報告義務を負っている委託元に対し、3-6-3-3（1）から（9）までに掲げる事項のうち、その時点で把握しているもの

86

３

受信者情報取扱事業者の義務を通知したときは、報告義務を免除される。委託元への通知については、速報としての報告と同様に、報告対象事態を知った後、速やかに行わなければならない。「速やか」の日数の目安については、個別の事案によるものの、委託先が当該事態の発生を知った時点から概ね３～５日以内である。
この場合、委託先から通知を受けた委託元が報告をすることになる。委託元は、通常、遅くとも委託先から通知を受けた時点で、報告対象事態を知ったこととなり、速やかに報告を行わなければならない。
なお、通知を行った委託先は、委託元から報告するに当たり、事態の把握を行うとともに、必要に応じて委託元の漏えい等報告に協力することが求められる。
（参考）
規則第９条
個人情報取扱事業者は、
法第 26 条第１項ただし書の規定による通知をする場合には、
第７条各号に定める事態を知った後、速やかに、前条第１項各号に定める事項を通知しなければならない。

本人への通知（第 16 条第６項関係）
第 16 条（第６項）
６

第１項に規定する場合には、受信者情報取扱事業者（同項ただし書の規定による通知をした者を除く。）は、本人に対し、同項各号に定める事態を知った後、当該事態の状況に応じて速やかに、当該本人の権利利益を保護するために必要な範囲において、第２項第１号、第２号、第４号、第５号及び第９号に定める事項とともに、当該事態が生じた旨を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

（参考）
法第 26 条（第２項）
２

前項に規定する場合には、個人情報取扱事業者（同項ただし書の規定による通知をした者を除く。）は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

規則第 10 条
個人情報取扱事業者は、法第 26 条第２項本文の規定による通知をする場合には、第87

３

受信者情報取扱事業者の義務

７条各号に定める事態を知った後、当該事態の状況に応じて速やかに、当該本人の権利利益を保護するために必要な範囲において、第８条第１項第１号、第２号、第４号、第５号及び第９号に定める事項を通知しなければならない。
3-6-4-1 通知対象となる事態及び通知義務の主体
受信者情報取扱事業者は、報告対象事態を知ったときは、本人への通知を行わなければならない。
通知義務を負う主体は、原則として、漏えい等が発生し、又は発生したおそれがある個人
データを取り扱う受信者情報取扱事業者である。ただし、第 16 条第１項第３号に定める事態について本人への通知の義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データ又は個人情報を取り扱い、又は取得しようとしている受信者情報取扱事業者である（3-6-1-1（第 16 条第１項各号の「個人データ」の考え方）参照）。
個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人デー
タ又は個人情報を取り扱い、又は取得しようとしていることになるため、報告対象事態に該当する場合には、原則として委託元と委託先の双方が本人への通知を行う義務を負う。委託先が、報告義務を負っている委託元に 3-6-3-3（1）から（9）までに掲げる事項のうち、その時点で把握しているものを通知したときは、委託先は報告義務を免除されるとともに、本人への通知義務も免除される。なお、委託元への通知を行った委託先は、必要に応じて委託元による本人への通知に協力することが求められる。
3-6-4-2 通知の時間的制限
受信者情報取扱事業者は、報告対象事態を知ったときは、当該事態の状況に応じて速やかに、本人への通知を行わなければならない。
「当該事態の状況に応じて速やかに」とは、速やかに通知を行うことを求めるものであるが、具体的に通知を行う時点は、個別の事案において、その時点で把握している事態の内容、通知を行うことで本人の権利利益が保護される蓋然性、本人への通知を行うことで生じる弊害等を勘案して判断する。
【その時点で通知を行う必要があるとはいえないと考えられる事例（※）
】
事例１）インターネット上の掲示板等に漏えいした複数の個人データがアップロードされており、個人情報取扱事業者において当該掲示板等の管理者に削除を求める
等、必要な初期対応が完了しておらず、本人に通知することで、かえって被害が拡大するおそれがある場合
事例２）漏えい等のおそれが生じたものの、事案がほとんど判明しておらず、その時点で88

３

受信者情報取扱事業者の義務

本人に通知したとしても、本人がその権利利益を保護するための措置を講じられる見込みがなく、かえって混乱が生じるおそれがある場合※「当該事態の状況に応じて速やかに」本人への通知を行うべきことに変わりはない。

3-6-4-3 通知の内容
本人へ通知すべき事項については、漏えい等報告における報告事項のうち、
「概要」
（第 16
条第２項第１号）、「漏えい等が発生し、又は発生したおそれがある個人データ（前項第３号に定める事態については、同号に規定する個人情報を含む。次号において同じ。）の項目」（同項第２号）、「原因」（同項第４号）、「二次被害又はそのおそれの有無及びその内容」（同項第５号）及び「その他参考となる事項」（同項第９号）（※）に限られている。これらの事項が全て判明するまで本人への通知をする必要がないというものではなく、本人への通知
は、「当該事態の状況に応じて速やかに」行う必要がある（3-6-4-2（通知の時間的制限）参照）。
本人への通知については、「本人の権利利益を保護するために必要な範囲において」行うものである。
また、当初報告対象事態に該当すると判断したものの、その後実際には報告対象事態に該当していなかったことが判明した場合には、本人への通知が「本人の権利利益を保護するために必要な範囲において」行うものであることに鑑み、本人への通知は不要である。
【本人の権利利益を保護するために必要な範囲において通知を行う事例】
事例１）不正アクセスにより個人データが漏えいした場合において、その原因を本人に通知するに当たり、個人情報保護委員会に報告した詳細な内容ではなく、必要な内容を選択して本人に通知すること。
事例２）漏えい等が発生した個人データの項目が本人ごとに異なる場合において、当該本人に関係する内容のみを本人に通知すること。
※ 第 16 条第２項第１号、第２号、第４号、第５号及び第９号に定める事項については、3-6-3-3（速報）を参照のこと。なお、同項第９号に定める事項については、本人への通知を補完するため、本人にとって参考となる事項をいい、例えば、本人が自らの権利利益を保護するために取り得る措置が考えられる。
3-6-4-4 通知の方法

89

３

受信者情報取扱事業者の義務「本人への通知」とは、本人に直接知らしめることをいい、事業の性質及び個人データの取扱状況に応じ、通知すべき内容が本人に認識される合理的かつ適切な方法によらなければならない（2-15（本人に通知）参照）。また、漏えい等報告と異なり、本人への通知については、その様式が法令上定められていないが、本人にとって分かりやすい形で通知を行う
ことが望ましい。
【本人への通知の方法の事例】
事例１）文書を郵便等で送付することにより知らせること。
事例２）電子メールを送信することにより知らせること。
3-6-4-5 通知の例外
本人への通知を要する場合であっても、本人への通知が困難である場合は、本人の権利利益を保護するために必要な代替措置（※１）を講ずることによる対応が認められる。
【本人への通知が困難な場合に該当する事例】
事例１）保有する個人データの中に本人の連絡先が含まれていない場合
事例２）連絡先が古いために通知を行う時点で本人へ連絡できない場合【代替措置に該当する事例】
事例１）事案の公表（※２）
事例２）問合せ窓口を用意してその連絡先を公表し、本人が自らの個人データが対象となっているか否かを確認できるようにすること※１

代替措置として事案の公表を行わない場合であっても、当該事態の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、公表を行うことが望ましい。
※２

公表すべき内容は、個別の事案ごとに判断されるが、本人へ通知すべき内容を基本とする。

個人データの第三者への提供（第 17 条～第 20 条関係）
第三者提供の制限の原則（第 17 条第１項関係）
第 17 条（第 1 項）
１

受信者情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得な
いで、放送受信者等の個人データを第三者に提供してはならない。

90

３

受信者情報取扱事業者の義務

一

法令に基づく場合

二人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
五

当該受信者情報取扱事業者が学術研究機関等である場合であって、当該個人デー

タの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。
）。
六

当該受信者情報取扱事業者が学術研究機関等である場合であって、当該個人デー

タを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）（当該受信者情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。
）。
七

当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）。
受信者情報取扱事業者は、個人データの第三者への提供に当たり、あらかじめ本人の同意（※１）を得ないで提供してはならない（※２）（※３）
。同意の取得に当たっては、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示さなければならない。
なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的
において、その旨を特定しなければならない（3-1-1（利用目的の特定）参照）。
また、令和３年改正法第 50 条の規定の施行日（令和４年４月１日）前に別表第二法人等（3-1-3（利用目的による制限）参照）に対しされた本人の個人情報の取扱いに関する同意がある場合において、その同意が法第 27 条第１項の規定による個人データの第三者への提供を認める旨の同意に相当するものであるときは、令和３年改正法第 50 条の規定の施行日（令和４年４月１日）において同項の同意があったものとみなす（令和３年改正法附則第７条第２項）。
さらに、令和３年改正法第 51 条の規定の施行日（令和５年４月１日）前に特定地方独立行政法人等（3-1-3（利用目的による制限）参照）に対しされた本人の個人情報の取扱いに

91

３

受信者情報取扱事業者の義務

関する同意がある場合において、その同意が法第 27 条第１項の規定による個人データの第三者への提供を認める旨の同意に相当するものであるときは、令和３年改正法第 51 条の規定の施行日（令和５年４月１日）において同項の同意があったものとみなす（令和３年
改正法附則第９条第２項）。
※１ 「本人の同意」については、2-17（本人の同意）を参照のこと。
※２ ブログやその他のＳＮＳに書き込まれた個人データを含む情報については、当該情報を書き込んだ者の明確な意思で不特定多数又は限定された対象に対して公開されている情報であり、その内容を誰が閲覧できるかについて当該情報を書き込んだ者が指定していることから、その公開範囲について、インターネット回線への接続サービスを提供するプロバイダやブログその他のＳＮＳの運営事業者等に裁量の余地はないため、このような場合は、当該事業者が個人データを第三者に提供しているとは解されない。
※３ 受信者情報取扱事業者若しくはその従業者又はこれらであった者が、その業務に関して取り扱った個人情報データベース等（その全部又は一部を複製し、又は加工したものを含む。）を自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、法第 179 条により刑事罰（１年以下の懲役又は 50 万円以下の罰金）が科され得る。
【第三者提供とされる事例】（ただし、第 17 条第９項各号の場合を除く。
）
事例１） 親子兄弟会社、グループ会社の間で個人データを交換する場合
事例２） フランチャイズ組織の本部と加盟店の間で個人データを交換する場合
事例３） 受信者情報取扱事業者間で、特定の個人データを交換する場合【第三者提供とされない事例】（ただし、利用目的による制限がある。
）
事例） 同一受信者情報取扱事業者内で他部門へ個人データを提供する場合
ただし、次の（1）から（7）までに掲げる場合については、第三者への個人データの提供に当たって、本人の同意は不要である。なお、（1）から（4）までの具体的な事例は、3-15（利用目的による制限の例外）を参照のこと。
（1） 法令に基づいて個人データを提供する場合（第 17 条第１項第１号関係）（2） 人（法人を含む。
）の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得ることが困難である場合（第 17 条第１項第２号関係）

92

３

受信者情報取扱事業者の義務（3） 公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることが困難である場合（第 17 条第１項第３号関係）（4） 国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要があ
る場合であって、協力する民間企業等が当該国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合（第 17 条第１項第４号関係）（5） 学術研究機関等（※１）である受信者情報取扱事業者が個人データを提供する場合
であり、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ない
場合（個人の権利利益を不当に侵害するおそれがある場合を除く（※２）
。
）（第 17 条
第１項第５号関係）
事例１）顔面の皮膚病に関する医学論文において、症例に言及する場合であって、目線を隠す等の対応をすることにより当該論文による研究成果の公表の目的が達せられなくなるとき
事例２）実名で活動する特定の作家の作風を論ずる文学の講義において、当該作家の実名を含む出版履歴に言及する場合であって、作家の実名を伏せることにより当該講義による教授の目的が達せられなくなるとき※１ 「学術研究機関等」については、2-19（学術研究機関等）を参照のこと。
※２「個人の権利利益を不当に侵害するおそれがある場合」には、個人データを第三者に提供することはできない。この場合、個人の権利利益を不当に侵害しないような措置を講ずるなど適切に処理する必要がある。この点、学術研究の成果の公表又は教授のためやむを得ず、個人データを提供する場合であっても、本人又は第三者の権利利益の保護の観点から、提供する個人デー
タの範囲を限定するなど、学術研究の目的に照らして可能な措置を講ずることが望ましい。
（6） 学術研究機関等（※１）である受信者情報取扱事業者が個人データを提供する場合
であり、かつ、当該受信者情報取扱事業者と共同して学術研究を行う第三者（学術研究機関等であるか否かを問わない。
）に当該個人データを学術研究目的（※２）で提供する必要がある場合（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く（※３）。
）
（第 17

93

３

受信者情報取扱事業者の義務

条第１項第６号関係）※１ 「学術研究機関等」については、2-19（学術研究機関等）を参照のこと。
※２ 「学術研究目的」については、2-20（学術研究目的）を参照のこと。
※３「個人の権利利益を不当に侵害するおそれがある場合」には、個人データを第三者に提供することはできない。この場合、個人の権利利益を不当に侵害しないような措置を講ずるなど適切に処理する必要がある。この点、学術研究目的で個人データを提供する必要があって、学術研究機関等と共同して学術研究を行う場合であっても、本人又は第三者の権利利益の保護の観点から、提供する個人データの範囲を限定するなど、学術研究の目的に照らして可能な措置を講ずることが望ましい。
（7） 学術研究機関等（※１）である受信者情報取扱事業者が個人データの第三者提供を受ける場合であり、かつ、当該受信者情報取扱事業者が当該個人データを学術研究目
的（※２）で取り扱う必要がある場合（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除
く（※３）
。
）
（第 17 条第１項第７号関係）※１ 「学術研究機関等」については、2-19（学術研究機関等）を参照のこと。
※２ 「学術研究目的」については、2-20（学術研究目的）を参照のこと。
※３「個人の権利利益を不当に侵害するおそれがある場合」には、個人データを第三者に提供することはできない。この場合、個人の権利利益を不当に侵害しないような形で当該個人データを加工するなど適切に処理する必要がある。この点、学術研究目的で個人データの提供を受ける必要がある場合であっても、本人又は第三者の権利利益の保護の観点から、提供する個人データの範囲を限定するなど、学術研究の目的に照らして可能な措置を講ずることが望ましい。
（参考）
法第 27 条（第１項）
１

個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
一

法令に基づく場合

二人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であっ94

３

受信者情報取扱事業者の義務て、本人の同意を得ることが困難であるとき。
四国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
五

当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）。
六

当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場
合に限る。）。
七

当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

オプトアウトによる第三者提供（第 17 条第２項～第８項関係）
3-7-2-1 オプトアウトに関する原則（第 17 条第２項、第４項～第８項関係）
第 17 条（第２項、第４項～第８項）
２

受信者情報取扱事業者は、第三者に提供される放送受信者等の個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、
前項の規定にかかわらず、当該個人データを第三者に提供することができる。ただし、第三者に提供される放送受信者等の個人データが要配慮個人情報、視聴者特定視聴履歴又は第８条第１項の規定に違反して取得されたもの若しくは他の個人情報取扱事業者からこの項本文の規定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む。）である場合は、この限りでない。
一

第三者への提供を行う受信者情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。以下この条、第 19 条第１項第１号、第 20 条第１項
第１号、第 21 条第５項第３号及び第 22 条第１項第１号において同じ。
）の氏名
二

第三者への提供を利用目的とすること。

95

３

受信者情報取扱事業者の義務

三

第三者に提供される個人データの項目

四第三者に提供される個人データの取得の方法

五

第三者への提供の方法

六

本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
七

本人の求めを受け付ける方法

八

第三者に提供される個人データの更新の方法

九

当該届出に係る個人データの第三者への提供を開始する予定日

４

前二項の規定による通知又は容易に知り得る状態に置く措置は、次に掲げるところ
により、行うものとする。
一

第三者に提供される個人データによって識別される本人（次号において「本人」という。
）が当該提供の停止を求めるのに必要な期間をおくこと。
二

本人が第２項各号に掲げる事項を確実に認識できる適切かつ合理的な方法によること。
５

第２項又は第３項の規定による届出は、次に掲げる方法のいずれかにより行わなけ
ればならない。
一

電子情報処理組織（個人情報保護委員会の使用に係る電子計算機と届出を行う者の使用に係る電子計算機とを電気通信回線で接続した電子情報処理組織をいう。
）を使用する方法二

規則別記様式第２（第３項の規定による個人データの提供をやめた旨の届出を行う場合にあっては、規則別記様式第３）による届出書及び当該届出書に記載すべき事項を記録した光ディスク（これに準ずる方法により一定の事項を確実に記録しておくことができる物を含む。
）を提出する方法
６

受信者情報取扱事業者が、代理人によって第２項又は第３項の規定による届出を行う場合には、規則別記様式第４によるその権限を証する書面（電磁的記録を含む。次条
第３項及び第６項並びに第 23 条第１項を除き、以下同じ。
）を個人情報保護委員会に提出しなければならない。

７

外国にある受信者情報取扱事業者は、第２項又は第３項の規定による届出を行う場
合には、国内に住所を有する者であって、当該届出に関する一切の行為につき、当該受信者情報取扱事業者を代理する権限を有するものを定めなければならない。この場合において、当該受信者情報取扱事業者は、当該届出と同時に、当該受信者情報取扱事業者が国内に住所を有する者に、当該届出に関する一切の行為につき、当該受信者情報取扱事業者を代理する権限を付与したことを証する書面（日本語による翻訳文を含む。
）
を個人情報保護委員会に提出しなければならない。

８

受信者情報取扱事業者は、法第 27 条第４項の規定による公表がされた後、速やかに、
インターネットの利用その他の適切な方法により、次の各号に掲げる場合の区分に応

96

３

受信者情報取扱事業者の義務

じ、それぞれ当該各号に定める事項を公表するものとする。
一第２項の規定による届出を行った場合 同項各号に掲げる事項

二第３項の規定による変更の届出を行った場合 変更後の第２項各号に掲げる事項

三第３項の規定による個人データの提供をやめた旨の届出を行った場合 その旨

受信者情報取扱事業者は、個人データの第三者への提供に当たり、次の（1）から（9）までに掲げる事項をあらかじめ（※１）本人に通知し、又は本人が容易に知り得る状態（※２）に置くとともに、法第 27 条第２項の規定により個人情報保護委員会に届け出た場合には（※３）
、第 17 条第１項の規定にかかわらず、あらかじめ本人の同意（※４）を得ることなく、
個人データを第三者に提供することができる（※５）（オプトアウトによる第三者提供）。
なお、法第 27 条第２項の規定により個人データを第三者に提供しようとする別表第二法人等（3-1-3（利用目的による制限）参照）は、令和３年改正法第 50 条の規定の施行日（令和４年４月１日）前においても、令和３年改正法規則（第 50 条改正関係）附則第３条で準用する規則第 11 条及び第 12 条の規定により、同項各号に掲げる事項に相当する事項について、本人に通知するとともに、個人情報保護委員会に届け出ることができる。この場合において、当該通知及び届出は、令和３年改正法第 50 条の規定の施行日（令和４年４月１日）
以後は、同項の規定による通知及び届出とみなす（令和３年改正法附則第７条第３項）。
また、法第 27 条第２項の規定により個人データを第三者に提供しようとする特定地方独立行政法人等（3-1-3（利用目的による制限）参照）は、令和３年改正法第 51 条の規定の施行日（令和５年４月１日）前においても、令和３年改正法規則（第 51 条改正関係）附則第３条で準用する規則第 11 条及び第 12 条の規定により、同項各号に掲げる事項に相当する事項について、本人に通知するとともに、個人情報保護委員会に届け出ることができる。この場合において、当該通知及び届出は、令和３年改正法第 51 条の規定の施行日（令和５年４月１日）以後は、同項の規定による通知及び届出とみなす（令和３年改正法附則第９条第３項）。
さらに、受信者情報取扱事業者は、第 17 条第２項に基づき、必要な事項を個人情報保護委員会に届け出たときは、その内容を自らもインターネットの利用その他の適切な方法により公表（※６）するものとする。
なお、要配慮個人情報及び視聴者特定視聴履歴を、オプトアウトにより第三者に提供することや、オプトアウトにより提供を受けた個人データをオプトアウトにより再提供することはできず、第三者に提供するに当たっては、第 17 条第１項各号又は同条第９項各号に該当する場合以外は、必ずあらかじめ本人の同意を得る必要があるので、注意を要する。また、不正取得された個人データについても、オプトアウトにより第三者に提供することはできない（※７）。
(1) 受信者情報取扱事業者の氏名又は名称及び住所並びに法人等の代表者の氏名

97

３

受信者情報取扱事業者の義務(2) 第三者への提供を利用目的とすること。
(3) 第三者に提供される個人データの項目
事例１） 氏名、住所、電話番号、年齢
事例２） 氏名、商品購入履歴(4) 第三者に提供される個人データの取得の方法
オプトアウトにより第三者に提供される個人データについて、取得元（取得源）と取得の方法を示す必要がある。
事例１）新聞・雑誌・書籍・Ｗｅｂサイトの閲覧による取得
事例２）官公庁による公開情報からの取得(5) 第三者への提供の方法
事例１） 書籍（電子書籍を含む。
）として出版
事例２） インターネットに掲載
事例３） プリントアウトして交付
事例４） 各種通信手段による配信
事例５） その他外部記録媒体の形式での交付(6) 本人の求めに応じて第三者への提供を停止すること。
(7) 本人の求めを受け付ける方法（※８）
事例１） 郵送
事例２） 電子メールの送信
事例３） Ｗｅｂサイト上の指定フォームへの入力
事例４） 事業所の窓口での受付
事例５） 電話(8) 第三者に提供される個人データの更新の方法
第三者に提供される個人データをどのように更新しているかを記入する。
(9) 当該届出に係る個人データの第三者への提供を開始する予定日
新規の届出の場合には、オプトアウトによる第三者提供を開始する予定日を記入する。変更届の場合には、変更届に基づいて第三者提供を開始する予定日を記入する。

98

３

受信者情報取扱事業者の義務【オプトアウトによる第三者提供の事例】
事例） 受信者情報取扱事業者であるデータベース事業者（ダイレクトメール用の名簿等を作成・販売）が、あらかじめ上記（1）から（9）までに掲げる事項を自社のＷｅ
ｂサイトに常時掲載し、本人からの停止の求めを受け付けられる状態にし、個人情報保護委員会に必要な届出を行った上で、販売等を行う場合※１ オプトアウトによる第三者提供を行う際は、第三者に提供される個人データによって識別される本人が当該提供の停止を求めるのに必要な期間をおかなければならない（第 17 条第４項第１号）ため、本人に通知し又は本人が容易に知り得る状態に置いた時点から、極めて短期間の後に、第三者提供を行ったような場合は、「本人が当該提供の停止を求めるのに必要な期間」をおいていないと判断され得る。
具体的な期間については、業種、ビジネスの態様、通知又は容易に知り得る状態の態様、本人と受信者情報取扱事業者との近接性、本人から停止の求めを受け付ける体制、提供される個人データの性質などによっても異なり得るため、個別具体的に判断する必要がある。
また、「本人に通知し、又は本人が容易に知り得る状態に置く」時期と、「個人情報保護委員会に届け出」る時期は、必ずしも同時である必要はないが、本人に通知し、又は本人が容易に知り得る状態に置いた後、速やかに個人情報保護委員会に届け出ることが望ましい。
※２ 「本人に通知」については、2-15（本人に通知）を参照のこと。
「本人が容易に知り得る状態」とは、事業所の窓口等への書面の掲示・備付け
やＷｅｂサイトへの掲載その他の継続的方法により、本人が知ろうとすれば、時間的にも、その手段においても、簡単に知ることができる状態をいい、事業の性質及び個人情報の取扱状況に応じ、本人が確実に認識できる適切かつ合理的な方法によらなければならない（第 17 条第４項第２号）。
【本人が容易に知り得る状態に該当する事例】
事例１）

本人が閲覧することが合理的に予測される、受信者情報取扱事業者のＷｅｂサイト上において、本人が分かりやすい場所（例：Ｗｅｂサ
イトのトップページから１回程度の操作で到達できる場所等）に法に定められた事項を分かりやすく継続的に掲載する場合
事例２） 本人が来訪することが合理的に予測される事務所の窓口等への掲示、備付け等が継続的に行われている場合
事例３） 本人に頒布されている定期刊行物への定期的掲載を行っている場合
事例４）

電子商取引において、商品を紹介するＷｅｂサイトにリンク先を継99

３

受信者情報取扱事業者の義務続的に表示する場合※３

届出の方法は、電子情報処理組織を使用する方法等によって行わなければならない（第 17 条第５項）。なお、代理人によって届出を行う場合は、個人情報保護委員会が定める様式によるその権限を証する書面を提出しなければならな
い（第 17 条第６項）。また、外国にある受信者情報取扱事業者が、届出を行う
場合には、国内に住所を有する者に、当該届出に関する一切の行為につき当該受信者情報取扱事業者を代理する権限を有するものを定めなければならず、当該代理権を証する書面を個人情報保護委員会に提出しなければならない（第 17条第７項）。
※４ 「本人の同意」については、2-17（本人の同意）を参照のこと。
※５

第４条第１項の規定により特定された当初の利用目的に、個人情報の第三者提供に関する事項が含まれていない場合は、第三者提供を行うと目的外利用となるため、オプトアウトによる第三者提供を行うことはできない。
※６

基本的には「インターネットの方法」による「公表」が望ましいが、受信者情報取扱事業者の特性、本人との近接性などにより、当該方法以外の適切な方法による公表も可能である。「公表」については 2-16（公表）を参照のこと。
※７

オプトアウトにより提供を受けた個人データのオプトアウトによる再提供の禁止や、不正取得された個人データのオプトアウトによる提供の禁止について
は、当該個人データの全部又は一部を複製・加工したものについても適用があるため、注意を要する。
※８ 「本人の求めを受け付ける方法」には、本人が求めを行う連絡先（事業者名、窓口名、郵送先住所又は送信先の電子メールアドレス等。当該受信者情報取扱
事業者が外国に本拠地を置く場合においては国内代理人の氏名、連絡先等。
）が
含まれる。
（参考）
法第 27 条（第２項）
２

個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。ただし、第三者に提供される個人データが要配慮個人情報又は第20 条第１項の規定に違反して取得されたもの若しくは他の個人情報取扱事業者からこの項本文の規定により提供されたもの（その全部又は一部を複製し、又は加工したもの

100

３

受信者情報取扱事業者の義務を含む。
）である場合は、この限りでない。
一

第三者への提供を行う個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。以下この条、第 30 条第１項第１号及び第 32 条第１項第１号において同じ。
）の氏名
二

第三者への提供を利用目的とすること。

三

第三者に提供される個人データの項目

四第三者に提供される個人データの取得の方法

五

第三者への提供の方法

六

本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
七

本人の求めを受け付ける方法

八その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則で定める事項
規則第 11 条
１

法第 27 条第２項又は第３項の規定による通知又は容易に知り得る状態に置く措置

は、次に掲げるところにより、行うものとする。
一

第三者に提供される個人データによって識別される本人（次号において「本人」という。
）が当該提供の停止を求めるのに必要な期間をおくこと。
二

本人が法第 27 条第２項各号に掲げる事項を確実に認識できる適切かつ合理的な方法によること。
２

法第 27 条第２項又は第３項の規定による届出は、次に掲げる方法のいずれかにより行わなければならない。
一

電子情報処理組織（個人情報保護委員会の使用に係る電子計算機と届出を行う者の使用に係る電子計算機とを電気通信回線で接続した電子情報処理組織をいう。
）を使用する方法二

別記様式第２（法第 27 条第３項の規定による個人データの提供をやめた旨の届出を行う場合にあっては、別記様式第３）による届出書及び当該届出書に記載すべき事項を記録した光ディスク（これに準ずる方法により一定の事項を確実に記録しておくことができる物を含む。以下「光ディスク等」という。
）を提出する方法
３

個人情報取扱事業者が、代理人によって法第 27 条第２項又は第３項の規定による届出を行う場合には、別記様式第４によるその権限を証する書面（電磁的記録を含む。第17 条第１項、第 18 条第２項、第 30 条、第 47 条第１項、第 48 条第２項、第 54 条第２項、第６項及び第７項、第 60 条並びに第 66 条第２項を除き、以下同じ。）を個人情報保護委員会に提出しなければならない。

101

３

４

受信者情報取扱事業者の義務法第 27 条第２項第８号の個人情報保護委員会規則で定める事項は、次に掲げる事項とする。
一

第三者に提供される個人データの更新の方法

二

当該届出に係る個人データの第三者への提供を開始する予定日

規則第 12 条
外国にある個人情報取扱事業者は、法第 27 条第２項又は第３項の規定による届出を行う場合には、国内に住所を有する者であって、当該届出に関する一切の行為につき、当該個人情報取扱事業者を代理する権限を有するものを定めなければならない。この場合において、当該個人情報取扱事業者は、当該届出と同時に、当該個人情報取扱事業者が国内に住所を有する者に、当該届出に関する一切の行為につき、当該個人情報取扱
事業者を代理する権限を付与したことを証する書面（日本語による翻訳文を含む。
）を
個人情報保護委員会に提出しなければならない。
規則第 14 条
個人情報取扱事業者は、法第 27 条第４項の規定による公表がされた後、速やかに、インターネットの利用その他の適切な方法により、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項を公表するものとする。
一 法第 27 条第２項の規定による届出を行った場合 同項各号に掲げる事項
二 法第 27 条第３項の規定による変更の届出を行った場合 変更後の同条第２項各号に掲げる事項
三 法第 27 条第３項の規定による個人データの提供をやめた旨の届出を行った場合 その旨
3-7-2-2 オプトアウトに関する事項の変更及び個人データの提供をやめた場合（第 17 条第３項関係）
第 17 条（第３項）
３

受信者情報取扱事業者は、前項第１号に掲げる事項に変更があったとき又は同項の規定による個人データの提供をやめたときは遅滞なく、同項第３号から第５号まで、第７号又は第８号若しくは第９号に掲げる事項を変更しようとするときはあらかじめ、
その旨について、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。

受信者情報取扱事業者は、第 17 条第２項に基づき、オプトアウトにより個人データの第三者提供を行っている場合であって、次の（1）から（3）までのいずれかに該当する場合は、その旨について、本人に通知し、又は本人が容易に知り得る状態（※１）に置くとともに、

102

３

受信者情報取扱事業者の義務

個人情報保護委員会に届け出なければならない（※２）
。
なお、受信者情報取扱事業者は、第 17 条第３項に基づき、必要な事項を個人情報保護委
員会に届け出たときは、その内容を自らも公表（※３）するものとする。
（1）届出事項（第三者に提供される個人データの項目等）の変更があった場合第三者に提供される個人データの項目、第三者に提供される個人データの取得の方法、第三者への提供の方法、第三者への提供を停止すべきとの本人の求めを受け付ける方法、
個人データの更新の方法又は第三者への提供を開始する予定日を変更する場合は、変更する内容について、あらかじめ（※４）
、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
（2）届出事項（氏名又は名称、住所、法人等の代表者の氏名）の変更があった場合
第三者への提供を行う受信者情報取扱事業者の氏名又は名称、住所、法人等の代表者の氏名に変更があったときは、遅滞なく、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
（3）個人データの提供をやめた場合
第 17 条第２項に基づく個人データの第三者提供をやめたときは、遅滞なく、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
※１ 「本人に通知」については、2-15（本人に通知）を参照のこと。
「本人が容易に知り得る状態」については、3-7-2-1（オプトアウトに関する原則）を参照のこと。なお、次のような方法であれば、適切かつ合理的な方法と解される。
・ 変更する内容を、例えば新旧対照表等により、分かりやすく明示した書面により本人に通知すること。
・

本人が閲覧することが合理的に予測される個人情報取扱事業者のＷｅｂサ
イトにおいて、本人が分かりやすい場所に変更する内容を、例えば新旧対照表
等により、分かりやすく明示すること※２

届出の方法等については、3-7-2-1（オプトアウトに関する原則）を参照のこと。
※３ 「公表」については、2-16（公表）を参照のこと。

103

３

※４

受信者情報取扱事業者の義務「あらかじめ」の具体的な期間については、3-7-2-1（オプトアウトに関する原則）を参照のこと。
（参考）
法第 27 条（第３項）
３

個人情報取扱事業者は、前項第１号に掲げる事項に変更があったとき又は同項の規定による個人データの提供をやめたときは遅滞なく、同項第３号から第５号まで、第７号又は第８号に掲げる事項を変更しようとするときはあらかじめ、その旨について、個
人情報保護委員会規則で定めるところにより、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。

規則第 11 条、第 12 条及び第 14 条
（略）（3-7-2-1（オプトアウトに関する原則）参照）

第三者に該当しない場合（第 17 条第９項関係）
第 17 条（第９項）
９

次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。
一

受信者情報取扱事業者が利用目的の達成に必要な範囲内において放送受信者等の個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合
二

合併その他の事由による事業の承継に伴って放送受信者等の個人データが提供される場合
三

特定の者との間で共同して利用される放送受信者等の個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される放送受信者等の個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。
次の（1）から（3）までの場合については、個人データの提供先は受信者情報取扱信事業者とは別の主体として形式的には第三者に該当するものの、本人との関係において提供主体である受信者情報取扱事業者と一体のものとして取り扱うことに合理性があるため、第三者に該当しないものとする。
このような要件を満たす場合には、受信者情報取扱事業者は、第 17 条第１項から第３項

104

３

受信者情報取扱事業者の義務までの規定にかかわらず、あらかじめの本人の同意又は第三者提供におけるオプトアウトを行うことなく、個人データを提供することができる。
（1） 委託（第 17 条第９項第１号関係）
利用目的の達成に必要な範囲内において、個人データの取扱いに関する業務の全部又は一部を委託することに伴い、当該個人データが提供される場合は、当該提供先は第三者に該当しない。
なお、受信者情報取扱事業者には、第 13 条第３項により、委託先に対する監督責任が課される（3-4-5（委託先の監督）参照）。
事例１） データの打ち込み等、情報処理を委託するために個人データを提供する場合
事例２） 注文を受けた商品の配送のために、宅配業者に個人データを提供する場合（2） 事業の承継（第 17 条第９項第２号関係）
合併、分社化、事業譲渡等により事業が承継されることに伴い、当該事業に係る個人データが提供される場合は、当該提供先は第三者に該当しない。
なお、事業の承継後も、個人データが当該事業の承継により提供される前の利用目的の範囲内で利用しなければならない（3-1-4（事業の承継）参照）。
また、事業の承継のための契約を締結するより前の交渉段階で、相手会社から自社の調査を受け、自社の個人データを相手会社へ提供する場合も、本号に該当し、あらかじめ本人の同意を得ることなく又は第三者提供におけるオプトアウト手続を行うことなく、個人データを提供することができるが、当該データの利用目的及び取扱方法、漏えい等が発生した場合の措置、事業承継の交渉が不調となった場合の措置等、相手会社に安全管理措置を遵守させるために必要な契約を締結しなければならない。
事例１） 合併、分社化により、新会社に個人データを提供する場合
事例２） 事業譲渡により、譲渡先企業に個人データを提供する場合（3） 共同利用（第 17 条第９項第３号関係）
特定の者との間で共同して利用される個人データを当該特定の者に提供する場合（※１）であって、次の①から⑤までの情報（※２）を、提供に当たりあらかじめ本
人に通知（※３）し、又は本人が容易に知り得る状態（※４）に置いているときには、当該提供先は、本人から見て、当該個人データを当初提供した事業者と一体のものと

105

３

受信者情報取扱事業者の義務して取り扱われることに合理性があると考えられることから、第三者に該当しない（※５）。他方、受信者情報取扱事業者が放送の受信に関する契約を締結する者の個人情報を共同利用する場合は、契約約款により本人の同意を得て行うことが一般的に可能であり、基本的には本人の同意を得て行うこととすることが望ましい。ただし、契約約款により本人の同意を得て行う場合でも、不払い者等情報の交換の場合のように、本人の権利利益に重大な影響を及ぼす可能性がある情報を交換する場合などには、第
17 条第９項第３号に掲げられている情報をあらかじめ本人に通知又は本人が容易に知り得る状態に置くなどの措置をとり、本人の権利利益を不当に侵害することのないようにすることが適当である。
なお、法第 27 条第５項第３号の規定により本人に通知し、又は本人が容易に知り得る状態に置かなければならない事項に相当する事項について、
令和３年改正法第 50 条の規定の施行日（令和４年４月１日）前に、別表第二法人等（3-1-3（利用目的による制限）参照）により本人に通知されているときは、当該通知は、令和３年改正法第 50条の規定の施行日（令和４年４月１日）以後は、同号の規定による通知とみなす（令和３年改正法附則第７条第４項）。
また、法第 27 条第５項第３号の規定により本人に通知し、又は本人が容易に知り得る状態に置かなければならない事項に相当する事項について、
令和３年改正法第 51 条の規定の施行日（令和５年４月１日）前に、特定地方独立行政法人等（3-1-3（利用目
的による制限）参照）により本人に通知されているときは、当該通知は、令和３年改
正法第 51 条の規定の施行日（令和５年４月１日）以後は、同号の規定による通知とみなす（令和３年改正法附則第９条第４項）。
さらに、既に特定の事業者が取得している個人データを他の事業者と共同して利用する場合には、既に取得している事業者が第４条第１項の規定により特定した利用目的の範囲で共同して利用しなければならない。
① 共同利用をする旨② 共同して利用される個人データの項目
事例１） 氏名、住所、電話番号、年齢
事例２） 氏名、商品購入履歴③

共同して利用する者の範囲「共同利用の趣旨」は、本人から見て、当該個人データを提供する事業者と一体のものとして取り扱われることに合理性がある範囲で、当該個人データを共同して利用することである。
したがって、共同利用者の範囲については、本人がどの事業者まで将来利用される

106

３

受信者情報取扱事業者の義務か判断できる程度に明確にする必要がある。
なお、当該範囲が明確である限りにおいては、必ずしも事業者の名称等を個別に全て列挙する必要はないが、本人がどの事業者まで利用されるか判断できるようにしなければならない。
④

利用する者の利用目的
共同して利用する個人データについて、その利用目的を全て、本人に通知し、又は本人が容易に知り得る状態に置いていなければならない。
なお、利用目的が個人データの項目によって異なる場合には、当該個人データの項
目ごとに利用目的を区別して記載することが望ましい。

⑤

当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名「個人データの管理について責任を有する者」とは、開示等の請求及び苦情を受け付け、その処理に尽力するとともに、個人データの内容等について、開示、訂正、利用停止等の権限を有し、安全管理等個人データの管理について責任を有する者をいう。
なお、ここでいう「責任を有する者」とは、共同して利用する全ての事業者の中で、第一次的に苦情の受付・処理、開示・訂正等を行う権限を有する者をいい、共同利用者のうち一事業者の内部の担当責任者をいうものではない。
また、個人データの管理について責任を有する者は、利用目的の達成に必要な範囲内において、共同利用者間で利用している個人データを正確かつ最新の内容に保つよう努めなければならない（3-4-1（データ内容の正確性の確保等）参照）。

【共同利用に該当する事例】
事例１） グループ企業で総合的なサービスを提供するために取得時の利用目的（第４条第２項の規定に従い変更された利用目的を含む。以下同じ。
）の範囲内
で情報を共同利用する場合
事例２）

親子兄弟会社の間で取得時の利用目的の範囲内で個人データを共同利用

する場合
事例３）

使用者と労働組合又は労働者の過半数を代表する者との間で取得時の利用目的の範囲内で従業者の個人データを共同利用する場合※１

共同利用の対象となる個人データの提供については、必ずしも全ての共同利

用者が双方向で行う必要はなく、一部の共同利用者に対し、一方向で行うこともできる。
※２

受信者情報取扱事業者が共同利用を実施する場合には、共同利用者におけ

107

３

受信者情報取扱事業者の義務る責任等を明確にし円滑に実施する観点から、上記①から⑤までの情報のほか、次の（ア）から（カ）までの事項についても、あらかじめ取り決めておくことが望ましい。
（ア）共同利用者の要件（グループ会社であること、特定のキャンペーン

事業の一員であること等、共同利用による事業遂行上の一定の枠組み）（イ） 各共同利用者の個人情報取扱責任者、問合せ担当者及び連絡先（ウ） 共同利用する個人データの取扱いに関する事項
・ 個人データの漏えい等防止に関する事項
・ 目的外の加工、利用、複写、複製等の禁止
・ 共同利用終了後のデータの返還、消去、廃棄に関する事項（エ）

共同利用する個人データの取扱いに関する取決めが遵守されなかった場合の措置（オ） 共同利用する個人データに関する事件・事故が発生した場合の報告・連絡に関する事項（カ） 共同利用を終了する際の手続※３ 「本人に通知」については、2-15（本人に通知）を参照のこと。
※４ 「本人が容易に知り得る状態」については、3-7-2（オプトアウトによる第三者提供）を参照のこと。
※５ 共同利用か委託かは、個人データの取扱いの形態によって判断されるものであって、共同利用者の範囲に委託先事業者が含まれる場合であっても、委託先との関係は、共同利用となるわけではなく、委託元は委託先の監督義務を免れるわけではない。
（参考）
法第 27 条（第５項）
５

次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。
一

個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱

いの全部又は一部を委託することに伴って当該個人データが提供される場合
二

合併その他の事由による事業の承継に伴って個人データが提供される場合

三

特定の者との間で共同して利用される個人データが当該特定の者に提供される場

合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

108

３

受信者情報取扱事業者の義務＜共同利用に係る事項の変更（第 17 条第 10 項関係）＞
第 17 条（第 10 項）
10

受信者情報取扱事業者は、前項第３号に規定する個人データの管理について責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったときは遅滞なく、同号に規定する利用する者の利用目的又は当該責任を有する者
を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

受信者情報取扱事業者は、個人データを共同利用する場合において、「個人データの管理について責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名」に変更があったときは遅滞なく、当該変更後の内容について、「共同利用する者の利用目的」
又は「当該責任を有する者」を変更しようとするときは変更する前に、変更しようとする内容について、本人に通知（※１）し、又は本人が容易に知り得る状態（※２）に置かなければならない。
なお、「共同利用する者の利用目的」については、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内（※３）で変更することができる。
「共同して利用される個人データの項目」及び「共同して利用する者の範囲」について変更することは、原則として認められないが、例えば次のような場合は、引き続き共同利用を行うことができる。
事例１） 共同利用を行う個人データの項目や事業者の変更につき、あらかじめ本人の同意を得た場合事例２） 共同利用を行う事業者の名称に変更があるが、共同して利用される個人データの項目には変更がない場合
事例３） 共同利用を行う事業者について事業の承継（※４）が行われた場合（共同利用する個人データの項目等の変更がないことが前提）※１ 「本人に通知」については、2-15（本人に通知）を参照のこと。
※２ 「本人が容易に知り得る状態」については、3-7-2（オプトアウトによる第三者提供）を参照のこと。
※３ 「本人が通常予期し得る限度と客観的に認められる範囲」については、3-1-2（利用目的の変更）を参照のこと。
※４ 「事業の承継」については、3-1-4（事業の承継）を参照のこと。
（参考）
法第 27 条（第６項）

109

３

６

受信者情報取扱事業者の義務

個人情報取扱事業者は、前項第３号に規定する個人データの管理について責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったときは遅滞なく、同号に規定する利用する者の利用目的又は当該責任を有する者を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

外国にある第三者への提供の制限（第 18 条関係）
第 18 条１

受信者情報取扱事業者は、外国（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として規則第 15条に定めるものを除く。以下この条、第 20 条第３項第３号及び第 21 条において同じ。）にある第三者（個人データの取扱いについて法第４章第２節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置（次項、第６項及び第７項において「相当措置」という。
）を継続的に講ずるために必要なものとして次項に定める基準に適合する体制を整備している者を除く。以下この項及び第３項並びに第 21 条第１項第２号において同じ。
）に放送受信者等の個人データを提供する場合には、前条第１項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は、適用しない。

２

個人データの取扱いについて相当措置を継続的に講ずるために必要な措置として定める基準は、次の各号のいずれかに該当することとする。
一

受信者情報取扱事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第４章第２節の規定の趣旨に沿った措置の実施が確保されていること。
二

個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。
３

受信者情報取扱事業者は、第１項の規定により本人の同意を得ようとする場合には、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法により、あらかじめ、次に掲げる事項を当該本人に提供しなければならない。
一

当該外国の名称二

適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報
三４

当該第三者が講ずる個人情報の保護のための措置に関する情報
前項の規定にかかわらず、受信者情報取扱事業者は、第１項の規定により本人の同意を得ようとする時点において、前項第１号に定める事項が特定できない場合には、同号

110

３

受信者情報取扱事業者の義務及び同項第２号に定める事項に代えて、次に掲げる事項について情報提供しなければならない。
一

前項第１号に定める事項が特定できない旨及びその理由

二

前項第１号に定める事項に代わる本人に参考となるべき情報がある場合には、当該情報
５第３項の規定にかかわらず、受信者情報取扱事業者は、第１項の規定により本人の同意を得ようとする時点において、第３項第３号に定める事項について情報提供できな
い場合には、同号に定める事項に代えて、その旨及びその理由について情報提供しなけ
ればならない。

６

受信者情報取扱事業者は、放送受信者等の個人データを外国にある第三者（第１項に規定する体制を整備している者に限る。
）に提供した場合には、当該第三者による相当措置の継続的な実施を確保するために必要な措置として次に掲げる措置を講ずるとともに、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法により、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。
一

当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼす

おそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること。
二

当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データの当該第三者への提供を停止すること。
７

受信者情報取扱事業者は、前項の規定による求めを受けたときは、本人に対し、遅滞なく、次に掲げる事項について情報提供しなければならない。ただし、情報提供することにより当該受信者情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、その全部又は一部を提供しないことができる。
一

当該第三者による第１項に規定する体制の整備の方法

二

当該第三者が実施する相当措置の概要

三

前項第１号の規定による確認の頻度及び方法

四

当該外国の名称五

当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要
六

当該第三者による相当措置の実施に関する支障の有無及びその概要

七

前号の支障に関して前項第２号の規定により当該受信者情報取扱事業者が講ずる

措置の概要
８

受信者情報取扱事業者は、第６項の規定による求めに係る情報の全部又は一部について提供しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなけれ

111

３

受信者情報取扱事業者の義務ばならない。
９

受信者情報取扱事業者は、前項の規定により、本人から求められた情報の全部又は一部について提供しない旨を通知する場合には、本人に対し、その理由を説明するよう努
めなければならない。

外国にある第三者への提供の制限については、個人情報保護委員会が定める「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」（平成 28 年個人情報保護委員会告示第７号）に準ずることとする。
（参考）
法第 28 条１

個人情報取扱事業者は、外国（本邦の域外にある国又は地域をいう。以下この条及び第 31 条第１項第２号において同じ。
）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものを除く。以下この条及び同号において同じ。
）にある第三者（個人データの取扱いについてこの節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置（第３項において「相当措置」という。
）を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この項及び次項並びに同号において同じ。）に個
人データを提供する場合には、前条第１項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は、適用しない。

２

個人情報取扱事業者は、前項の規定により本人の同意を得ようとする場合には、個人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。

３

個人情報取扱事業者は、個人データを外国にある第三者（第１項に規定する体制を整備している者に限る。
）に提供した場合には、個人情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。

規則第 15 条
１

法第 28 条の規定による個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものは、次の各号のいずれにも該当する外国として個人情報保護委員会が定めるものとする。

112

３

一

受信者情報取扱事業者の義務法における個人情報取扱事業者に関する規定に相当する法令その他の定めがあり、その履行が当該外国内において確保されていると認めるに足りる状況にあること。
二

個人情報保護委員会に相当する独立した外国執行当局が存在しており、かつ、当該外国執行当局において必要かつ適切な監督を行うための体制が確保されていること。
三

我が国との間において、個人情報の適正かつ効果的な活用と個人の権利利益の保護に関する相互理解に基づく連携及び協力が可能であると認められるものであること。
四個人情報の保護のために必要な範囲を超えて国際的な個人データの移転を制限す

ることなく、かつ、我が国との間において、個人情報の保護を図りつつ、相互に円滑な個人データの移転を図ることが可能であると認められるものであること。
五

前四号に定めるもののほか、当該外国を法第 28 条第１項の規定による外国として定めることが、我が国における新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資すると認められるものであること。
２

個人情報保護委員会は、前項の規定による外国を定める場合において、我が国における個人の権利利益を保護するために必要があると認めるときは、当該外国にある第三者への提供を認める旨の本人の同意を得ることなく提供できる個人データの範囲を制限することその他の必要な条件を付することができる。

３

個人情報保護委員会は、第１項の規定による外国を定めた場合において、当該外国が第１項各号に該当していること又は当該外国について前項の規定により付された条件が満たされていることを確認するため必要があると認めるときは、当該外国における個人情報の保護に関する制度又は当該条件に係る対応の状況に関し必要な調査を行う
ものとする。

４

個人情報保護委員会は、第１項の規定による外国を定めた場合において、前項の調査の結果その他の状況を踏まえ、当該外国が第１項各号に該当しなくなったと認めるとき又は当該外国について第２項の規定により付された条件が満たされなくなったと認めるときは、第１項の規定による定めを取り消すものとする。

規則第 16 条
法第 28 条第１項の個人情報保護委員会規則で定める基準は、次の各号のいずれかに該当することとする。
一

個人情報取扱事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第４章第２節の規定の趣旨に沿った措置の実施が確保されていること。
二

個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づ

113

３

受信者情報取扱事業者の義務

く認定を受けていること。
規則第 17 条
１

法第 28 条第２項又は法第 31 条第１項第２号の規定により情報を提供する方法は、
電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。

２

法第 28 条第２項又は法第 31 条第１項第２号の規定による情報の提供は、次に掲げる事項について行うものとする。
一

当該外国の名称二

適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報
三３

当該第三者が講ずる個人情報の保護のための措置に関する情報
前項の規定にかかわらず、個人情報取扱事業者は、法第 28 条第１項の規定により本人の同意を得ようとする時点において、前項第１号に定める事項が特定できない場合には、同号及び同項第２号に定める事項に代えて、次に掲げる事項について情報提供しなければならない。
一

前項第１号に定める事項が特定できない旨及びその理由

二

前項第１号に定める事項に代わる本人に参考となるべき情報がある場合には、当該情報
４第２項の規定にかかわらず、個人情報取扱事業者は、法第 28 条第１項の規定により本人の同意を得ようとする時点において、第２項第３号に定める事項について情報提供できない場合には、同号に定める事項に代えて、その旨及びその理由について情報提供しなければならない。

規則第 18 条
１

法第 28 条第３項（法第 31 条第２項において読み替えて準用する場合を含む。
）の規定による外国にある第三者による相当措置の継続的な実施を確保するために必要な措置は、次に掲げる措置とする。
一

当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼす

おそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること。
二

当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データ（法第 31 条第２項において読み替えて準用する場合にあっては、個人関連情報）の当該第三者への提供を停止すること。
２

法第 28 条第３項の規定により情報を提供する方法は、
電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。

114

３

３

受信者情報取扱事業者の義務

個人情報取扱事業者は、法第 28 条第３項の規定による求めを受けたときは、本人に対し、遅滞なく、次に掲げる事項について情報提供しなければならない。ただし、情報提供することにより当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、その全部又は一部を提供しないことができる。
一

当該第三者による法第 28 条第１項に規定する体制の整備の方法

二

当該第三者が実施する相当措置の概要

三第１項第１号の規定による確認の頻度及び方法

四

当該外国の名称五

当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要
六

当該第三者による相当措置の実施に関する支障の有無及びその概要

七

前号の支障に関して第１項第２号の規定により当該個人情報取扱事業者が講ずる

措置の概要
４

個人情報取扱事業者は、法第 28 条第３項の規定による求めに係る情報の全部又は一部について提供しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

５

個人情報取扱事業者は、前項の規定により、本人から求められた情報の全部又は一部について提供しない旨を通知する場合には、本人に対し、その理由を説明するよう努め
なければならない。

第三者提供に係る記録の作成等（第 19 条関係）
第 19 条１

受信者情報取扱事業者は、放送受信者等の個人データを第三者（法第 16 条第２項各号に掲げる者を除く。以下この条、次条（第 21 条第４項において準用する場合を含む。
）
並びに第 21 条第５項、第７項及び第８項において同じ。）に提供したときは、文書、電磁的記録又はマイクロフィルムを用いて作成する方法により、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項に関する記録を作成しなければならない。ただし、当該個人データの提供が第 17 条第１項各号又は第９項各号のいずれか（前条第１項の規定による個人データの提供にあっては、第 17 条第１項各号のいずれか）に該当する場合は、この限りでない。
一第 17 条第２項の規定により放送受信者等の個人データを第三者に提供した場合

次のイからニまでに掲げる事項
イ

当該個人データを提供した年月日

ロ

当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名（不特定かつ多数の者に対して提供したときは、その旨）

115

３

ハ

受信者情報取扱事業者の義務

当該個人データによって識別される本人の氏名その他の当該本人を特定するに
足りる事項

ニ
二

当該個人データの項目
第 17 条第１項又は前条第１項の規定により放送受信者等の個人データを第三者に提供した場合 次のイ及びロに掲げる事項
イ

第 17 条第１項又は前条第１項の本人の同意を得ている旨

ロ

前号ロからニまでに掲げる事項

２

前項各号に定める事項のうち、既に同項、次項及び第４項に規定する方法により作成した前項の記録（当該記録を保存している場合におけるものに限る。
）に記録されている事項と内容が同一であるものについては、同項の当該事項の記録を省略することができる。

３

第１項の記録は、個人データを第三者に提供した都度、速やかに作成しなければならない。ただし、当該第三者に対し個人データを継続的に若しくは反復して提供（第 17条第２項の規定による提供を除く。以下この項において同じ。
）したとき、又は当該第三者に対し個人データを継続的に若しくは反復して提供することが確実であると見込まれるときの記録は、一括して作成することができる。

４

前項の規定にかかわらず、第 17 条第１項又は前条第１項の規定により、本人に対する物品又は役務の提供に関連して当該本人に係る個人データを第三者に提供した場合
において、当該提供に関して作成された契約書その他の書面に第１項各号に定める事
項が記載されているときは、当該書面をもって第１項の当該事項に関する記録に代えることができる。

５

受信者情報取扱事業者は、第１項の記録を、当該記録を作成した日から次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間保存しなければならない。
一

前項に規定する方法により記録を作成した場合

最後に当該記録に係る個人デー

タの提供を行った日から起算して１年を経過する日までの間
二第３項ただし書に規定する方法により記録を作成した場合

最後に当該記録に係る個人データの提供を行った日から起算して３年を経過する日までの間
三

前二号以外の場合 ３年

第三者提供に係る記録の作成等については、個人情報保護委員会が定める「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」（平成 28 年
個人情報保護委員会告示第８号）に準ずることとする。
（参考）
法第 29 条１

個人情報取扱事業者は、個人データを第三者（第 16 条第２項各号に掲げる者を除く。

116

３

受信者情報取扱事業者の義務

以下この条及び次条（第 31 条第３項において読み替えて準用する場合を含む。
）にお
いて同じ。
）に提供したときは、個人情報保護委員会規則で定めるところにより、当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。ただし、当該個人データの提供が第 27 条第１項各号又は第５項各号のいずれか（前条第１項の規定による個人データの提供にあっては、第 27 条第１項各号のいずれか）に該当する場合は、この限りでない。
２

個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。

規則第 19 条
１

法第 29 条第１項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。

２

法第 29 条第１項の記録は、個人データを第三者（同項に規定する第三者をいう。以下この条、次条、第 22 条から第 24 条まで、第 27 条及び第 28 条において同じ。
）に提供した都度、速やかに作成しなければならない。ただし、当該第三者に対し個人データを継続的に若しくは反復して提供（法第 27 条第２項の規定による提供を除く。以下この項において同じ。
）したとき、又は当該第三者に対し個人データを継続的に若しくは
反復して提供することが確実であると見込まれるときの記録は、一括して作成することができる。

３

前項の規定にかかわらず、法第 27 条第１項又は法第 28 条第１項の規定により、本人に対する物品又は役務の提供に関連して当該本人に係る個人データを第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に次条第１項各号に定める事項が記載されているときは、当該書面をもって法第 29 条第１項の当該事項に関する記録に代えることができる。

規則第 20 条
１

法第 29 条第１項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。
一

法第 27 条第２項の規定により個人データを第三者に提供した場合 次のイからニまでに掲げる事項
イ

当該個人データを提供した年月日

ロ

当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。第 28 条第１項第３号において同じ。
）の氏名（不特定かつ多数の者に対して提供したときは、その旨）

117

３

ハ

受信者情報取扱事業者の義務

当該個人データによって識別される本人の氏名その他の当該本人を特定するに
足りる事項

ニ
二

当該個人データの項目
法第 27 条第１項又は法第 28 条第１項の規定により個人データを第三者に提供した場合 次のイ及びロに掲げる事項
イ

法第 27 条第１項又は法第 28 条第１項の本人の同意を得ている旨

ロ

前号ロからニまでに掲げる事項

２

前項各号に定める事項のうち、既に前条に規定する方法により作成した法第 29 条第１項の記録（当該記録を保存している場合におけるものに限る。）に記録されている事項と内容が同一であるものについては、同項の当該事項の記録を省略することができる。

規則第 21 条
法第 29 条第２項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とする。
一第 19 条第３項に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を行った日から起算して１年を経過する日までの間
二第 19 条第２項ただし書に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を行った日から起算して３年を経過する日までの間
三

前二号以外の場合 ３年

第三者提供を受ける際の確認等（第 20 条関係）
【第三者提供を受ける際の確認（第 20 条第１項、第２項関係）】
第 20 条（第１項、第２項）
１

受信者情報取扱事業者は、第三者から放送受信者等の個人データの提供を受けるに際しては、次の各号に掲げる事項に応じ、それぞれ当該各号に定める方法による確認を行わなければならない。ただし、当該個人データの提供が第 17 条第１項各号又は第９項各号のいずれかに該当する場合は、この限りでない。
一

当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名（第３号に掲げる事項に該当するものを除く。） 当該個人データを提供する当該第三者から申告を受ける方法その他の適切な方法
二

当該第三者による当該個人データの取得の経緯（次号に掲げる事項に該当するものを除く。
） 当該個人データを提供する当該第三者から当該第三者による当該個人
データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な
方法

118

３

三

受信者情報取扱事業者の義務

当該第三者から他の個人データの提供を受けるに際して既に前二号で規定する方法による確認（当該確認について第３項、第５項及び第６項に規定する方法による記録の作成及び保存をしている場合におけるものに限る。
）を行っている事項
当該事項の内容と当該提供に係る前二号に掲げる事項の内容が同一であることの確認を行う方法２

前項の第三者は、受信者情報取扱事業者が同項の規定による確認を行う場合において、当該受信者情報取扱事業者に対して、当該確認に係る事項を偽ってはならない。

【第三者提供を受ける際の記録の作成等（第 20 条第３項～第７項関係）】
第 20 条（第３項～第７項）
３

受信者情報取扱事業者は、第１項の規定による確認を行ったときは、文書、電磁的記録又はマイクロフィルムを用いて作成する方法により、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項に関する記録を作成しなければならない。
一

受信者情報取扱事業者から第 17 条第２項の規定による放送受信者等の個人データの提供を受けた場合 次のイからホまでに掲げる事項
イ 個人データの提供を受けた年月日
ロ 第１項各号に掲げる事項
ハ

当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項

ニ 当該個人データの項目
ホ 法第 27 条第４項の規定により公表されている旨
二

受信者情報取扱事業者から第 17 条第１項又は第 18 条第１項の規定による放送受信者等の個人データの提供を受けた場合 次のイ及びロに掲げる事項
イ 第 17 条第１項又は第 18 条第１項の本人の同意を得ている旨
ロ 前号ロからニまでに掲げる事項
三

個人関連情報取扱事業者である受信者情報取扱事業者から次条第１項の規定による放送受信者等の個人関連情報の提供を受けて放送受信者等の個人データとして取得した場合 次のイからニまでに掲げる事項
イ

次条第１項第１号の本人の同意が得られている旨及び外国にある受信者情報取扱事業者にあっては、同項第二号の規定による情報の提供が行われている旨

ロ

第１項第１号に掲げる事項

ハ第１号ハに掲げる事項

ニ当該個人関連情報の項目

四

第三者（受信者情報取扱事業者に該当する者を除く。）から放送受信者等の個人データの提供を受けた場合 第１号ロからニまでに掲げる事項
４

前項各号に定める事項のうち、既に同項、次項及び第６項に規定する方法により作成

119

３

受信者情報取扱事業者の義務した前項の記録（当該記録を保存している場合におけるものに限る。
）に記録された事項と内容が同一であるものについては、同項の当該事項の記録を省略することができる。
５

第３項の記録は、第三者から個人データの提供を受けた都度、速やかに作成しなければならない。ただし、当該第三者から継続的に若しくは反復して個人データの提供（第17 条第２項の規定による提供を除く。以下この条において同じ。
）を受けたとき、又は当該第三者から継続的に若しくは反復して個人データの提供を受けることが確実であると見込まれるときの記録は、一括して作成することができる。

６

前項の規定にかかわらず、本人に対する物品又は役務の提供に関連して第三者から当該本人に係る個人データの提供を受けた場合において、当該提供に関して作成された契約書その他の書面に第３項各号に定める事項が記載されているときは、当該書面をもって同項の当該事項に関する記録に代えることができる。

７

受信者情報取扱事業者は、第３項の記録を、当該記録を作成した日から次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間保存しなければならない。
一

前項に規定する方法により記録を作成した場合

最後に当該記録に係る個人デー

タの提供を受けた日から起算して１年を経過する日までの間
二第５項ただし書に規定する方法により記録を作成した場合

最後に当該記録に係る個人データの提供を受けた日から起算して３年を経過する日までの間
三

前二号以外の場合 ３年

受信者情報取扱事業者において放送受信者等の個人データの第三者提供を受ける際（提供者において放送受信者等の個人データではない場合を含む。
）の確認等については、個人情報保護委員会が定める「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」（平成 28 年個人情報保護委員会告示第８号）に準ずることとする。
（参考）【第三者提供を受ける際の確認（法第 30 条第１項・第２項関係）】法第 30 条（第１項・第２項）
１

個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、個人情報保護委員会規則で定めるところにより、次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供が第 27 条第１項各号又は第５項各号のいずれかに該当する場合は、この限りでない。
当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名

二

当該第三者による当該個人データの取得の経緯

２

一

前項の第三者は、個人情報取扱事業者が同項の規定による確認を行う場合において、

120

３

受信者情報取扱事業者の義務

当該個人情報取扱事業者に対して、当該確認に係る事項を偽ってはならない。
規則第 22 条
１

法第 30 条第１項の規定による同項第１号に掲げる事項の確認を行う方法は、個人データを提供する第三者から申告を受ける方法その他の適切な方法とする。

２

法第 30 条第１項の規定による同項第２号に掲げる事項の確認を行う方法は、個人データを提供する第三者から当該第三者による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法とする。

３

前二項の規定にかかわらず、第三者から他の個人データの提供を受けるに際して既に前二項で規定する方法による確認（当該確認について次条に規定する方法による記録の作成及び保存をしている場合におけるものに限る。
）を行っている事項の確認を行う方法は、当該事項の内容と当該提供に係る法第 30 条第１項各号に掲げる事項の内容が同一であることの確認を行う方法とする。

【第三者提供を受ける際の記録の作成等（法第 30 条第３項・第４項関係）】法第 30 条（第３項・第４項）
３

個人情報取扱事業者は、第１項の規定による確認を行ったときは、個人情報保護委員会規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。

４

個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。

規則第 23 条
１

法第 30 条第３項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。

２

法第 30 条第３項の記録は、第三者から個人データの提供を受けた都度、速やかに作成しなければならない。ただし、当該第三者から継続的に若しくは反復して個人データの提供（法第 27 条第２項の規定による提供を除く。以下この条において同じ。
）を受けたとき、又は当該第三者から継続的に若しくは反復して個人データの提供を受けることが確実であると見込まれるときの記録は、一括して作成することができる。

３

前項の規定にかかわらず、本人に対する物品又は役務の提供に関連して第三者から当該本人に係る個人データの提供を受けた場合において、当該提供に関して作成された契約書その他の書面に次条第１項各号に定める事項が記載されているときは、当該書面をもって法第 30 条第３項の当該事項に関する記録に代えることができる。

121

３

受信者情報取扱事業者の義務

規則第 24 条
１

法第 30 条第３項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。
一

個人情報取扱事業者から法第 27 条第２項の規定による個人データの提供を受けた

場合 次のイからホまでに掲げる事項
イ

個人データの提供を受けた年月日

ロ

法第 30 条第１項各号に掲げる事項

ハ

当該個人データによって識別される本人の氏名その他の当該本人を特定するに
足りる事項

ニ

当該個人データの項目

ホ

法第 27 条第４項の規定により公表されている旨

二

個人情報取扱事業者から法第 27 条第１項又は法第 28 条第１項の規定による個人データの提供を受けた場合

次のイ及びロに掲げる事項

イ

法第 27 条第１項又は法第 28 条第１項の本人の同意を得ている旨

ロ

前号ロからニまでに掲げる事項

三

個人関連情報取扱事業者から法第 31 条第１項の規定による個人関連情報の提供を受けて個人データとして取得した場合 次のイからニまでに掲げる事項
イ

法第 31 条第１項第１号の本人の同意が得られている旨及び外国にある個人情報取扱事業者にあっては、同項第２号の規定による情報の提供が行われている旨

ロ

法第 30 条第１項第１号に掲げる事項

ハ第１号ハに掲げる事項

ニ当該個人関連情報の項目

四

第三者（個人情報取扱事業者に該当する者を除く。）から個人データの提供を受けた場合 第１号ロからニまでに掲げる事項
２

前項各号に定める事項のうち、既に前条に規定する方法により作成した法第 30 条第３項の記録（当該記録を保存している場合におけるものに限る。
）に記録された事項と内容が同一であるものについては、同項の当該事項の記録を省略することができる。

規則第 25 条
法第 30 条第４項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とする。
一第 23 条第３項に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を受けた日から起算して１年を経過する日までの間
二第 23 条第２項ただし書に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を受けた日から起算して３年を経過する日までの間
三

前二号以外の場合 ３年

122

３

受信者情報取扱事業者の義務

個人関連情報の第三者提供の制限等（第 21 条関係）
第 21 条１

個人関連情報取扱事業者である受信者情報取扱事業者は、第三者が放送受信者等の個人関連情報（個人関連情報データベース等を構成するものに限る。以下同じ。
）を放送受信者等の個人データとして取得することが想定されるときは、第 17 条第１項各号に掲げる場合を除くほか、次に掲げる事項について、あらかじめ次項に定めるところにより確認することをしないで、当該個人関連情報を当該第三者に提供してはならない。
一

当該第三者が個人関連情報取扱事業者である受信者情報取扱事業者から放送受信者等の個人関連情報の提供を受けて本人が識別される放送受信者等の個人データとして取得することを認める旨の当該本人の同意が得られていること。
二

外国にある第三者への提供にあっては、前号の本人の同意を得ようとする場合において、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法により、あらかじめ、次に掲げる事項が当該本人に提供されていること。
イ

当該外国の名称ロ

適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報

ハ２

当該第三者が講ずる個人情報の保護のための措置に関する情報

前項の規定による確認は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める方法により行うこととする。
一

前項第１号に掲げる事項の確認を行う場合（第３号に掲げる場合に該当するものを除く。） 放送受信者等の個人関連情報の提供を受ける第三者から申告を受ける方法その他の適切な方法
二

前項第２号に掲げる事項の確認を行う場合（次号に掲げる場合に該当するものを除く。
） 同項第２号の規定による情報の提供が行われていることを示す書面の提示を受ける方法その他の適切な方法
三

第三者に放送受信者等の個人関連情報の提供を行うに際して既に前二号に規定する方法による確認を行っている事項の確認（当該確認について記録の作成及び保存をしている場合におけるものに限る。）を行う場合 当該事項の内容と当該提供に係る前項各号に掲げる事項の内容が同一であることの確認を行う方法
３ 第 18 条第６項の規定は、第１項の規定により個人関連情報取扱事業者である受信者
情報取扱事業者が放送受信者等の個人関連情報を提供する場合について準用する。この場合において、同条第６項中「講ずるとともに、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法により、本人の求めに応じて当該必要な措置に

123

３

受信者情報取扱事業者の義務関する情報を当該本人に提供し」とあるのは、「講じ」と読み替えるものとする。
４

前条第２項の規定は、第１項の規定により個人関連情報取扱事業者である受信者情報取扱事業者が確認する場合について準用する。

５

個人関連情報取扱事業者である受信者情報取扱事業者は、第１項の規定による確認を行ったときは、文書、電磁的記録又はマイクロフィルムを用いて作成する方法により、次に掲げる事項に関する記録を作成しなければならない。
一第１項第１号の本人の同意が得られていることを確認した旨及び外国にある第三者への提供にあっては、同項第２号の規定による情報の提供が行われていることを確認した旨
二

放送受信者等の個人関連情報を提供した年月日（第７項ただし書に規定する方法

により記録を作成した場合にあっては、当該提供の期間の初日及び末日）三当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名

四

当該個人関連情報の項目

６

前項各号に定める事項のうち、既に同項、次項及び第８項に規定する方法により作成した前項の記録（当該記録を保存している場合におけるものに限る。
）に記録された事項と内容が同一であるものについては、同項の当該事項の記録を省略することができる。

７第５項の記録は、放送受信者等の個人関連情報を第三者に提供した都度、速やかに作成しなければならない。ただし、当該第三者に対し放送受信者等の個人関連情報を継続的に若しくは反復して提供したとき、又は当該第三者に対し放送受信者等の個人関連情報を継続的に若しくは反復して提供することが確実であると見込まれるときの記録
は、一括して作成することができる。

８

前項の規定にかかわらず、本人に対する物品又は役務の提供に関連して当該本人に係る放送受信者等の個人関連情報を第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に第５項各号に定める事項が記載されているときは、当該書面をもって同項の当該事項に関する記録に代えることができる。

９

個人関連情報取扱事業者である受信者情報取扱事業者は、第５項の記録を、当該記録を作成した日から次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間保存しなければならない。
一

前項に規定する方法により記録を作成した場合

最後に当該記録に係る放送受信者等の個人関連情報の提供を行った日から起算して１年を経過する日までの間
二第７項ただし書に規定する方法により記録を作成した場合

最後に当該記録に係る放送受信者等の個人関連情報の提供を行った日から起算して３年を経過する日までの間
三

前二号以外の場合 ３年

124

３

受信者情報取扱事業者の義務

個人関連情報の定義については、2-9（個人関連情報）を参照のこと。
（参考）
法第２条（第７項）
７

この法律において「個人関連情報」とは、生存する個人に関する情報であって、個人
情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。

個人関連情報取扱事業者の定義については、2-10（個人関連情報取扱事業者）を参照のこと。
（参考）法第 16 条（第７項）
７

この章、第６章及び第７章において「個人関連情報取扱事業者」とは、個人関連情報を含む情報の集合物であって、特定の個人関連情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の個人関連情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第 31 条第１項において「個人関連情報データベース等」という。
）を事業の用に供している者をいう。
ただし、第２項各号に掲げる者を除く。

政令第８条
法第 16 条第７項の政令で定めるものは、同項に規定する情報の集合物に含まれる個
人関連情報を一定の規則に従って整理することにより特定の個人関連情報を容易に検索することができるように体系的に構成したものであって、目次、索引その他検索を容易にするためのものを有するものをいう。

第 21 条の適用の有無について
個人関連情報取扱事業者である受信者情報取扱事業者は、提供先の第三者が放送受信者
等の個人関連情報（個人関連情報データベース等を構成するものに限る。以下同じ。
）を個
放送受信者等の個人データとして取得することが想定されるときは、第 17 条第１項各号に掲げる場合を除き、あらかじめ当該個人関連情報に係る本人の同意が得られていること等を確認しないで、当該個人関連情報を提供してはならない。
第 21 条第１項は、個人関連情報取扱事業者である受信者情報取扱事業者による放送受信者等の個人関連情報の第三者提供一般に適用されるものではなく、提供先の第三者が放送受信者等の個人関連情報を「放送受信者等の個人データとして取得することが想定される

125

３

受信者情報取扱事業者の義務とき」に適用されるものである。そのため、放送受信者等の個人関連情報の提供を行う個人
関連情報取扱事業者である受信者情報取扱事業者は、提供先の第三者との間で、提供を行う
放送受信者等の個人関連情報の項目や、提供先の第三者における放送受信者等の個人関連情報の取扱い等を踏まえた上で、それに基づいて第 21 条第１項の適用の有無を判断する。
3-8-1-1 「個人データとして取得する」について
第 21 条第１項の「個人データとして取得する」とは、提供先の第三者において、個人データに個人関連情報を付加する等、個人データとして利用しようとする場合をいう。
提供先の第三者が、提供を受けた個人関連情報を、ID 等を介して提供先が保有する他の個人データに付加する場合には、「個人データとして取得する」場合に該当する。
提供先の第三者が、提供を受けた個人関連情報を直接個人データに紐付けて利用しない
場合は、別途、提供先の第三者が保有する個人データとの容易照合性が排除しきれないとしても、ここでいう「個人データとして取得する」場合には直ちに該当しない。
3-8-1-2 「想定される」について「想定される」とは、提供元の個人関連情報取扱事業者である受信者情報取扱事業者において、提供先の第三者が「個人データとして取得する」（3-8-1-1（「個人データとして取得する」について））ことを現に想定している場合、又は一般人の認識（※）を基準として「個人データとして取得する」ことを通常想定できる場合をいう。
（1）「個人データとして取得する」ことを現に想定している場合
提供元の個人関連情報取扱事業者である受信者情報取扱事業者が、提供先の第三者において個人データとして取得することを現に認識している場合をいう。
【現に想定している場合に該当する例】
事例１）提供元の個人関連情報取扱事業者である受信者情報取扱事業者が、顧客情報等の個人データを保有する提供先の第三者に対し、ID 等を用いることで個人関連情報を個人データと紐付けて取得することが可能であることを説明している場合
事例２）提供元の個人関連情報取扱事業者である受信者情報取扱事業者が、提供先の第三者から、個人関連情報を受領した後に個人データと紐付けて取得することを告げられている場合

126

３

受信者情報取扱事業者の義務（2）「個人データとして取得する」ことを通常想定できる場合
提供元の個人関連情報取扱事業者である受信者情報取扱事業者において現に想定していない場合であっても、提供先の第三者との取引状況等の客観的事情に照らし、一般
人の認識を基準に通常想定できる場合には、「想定される」に該当する。
【通常想定できる場合】
事例）個人関連情報を提供する際、提供先の第三者において当該個人関連情報を氏名等と紐付けて利用することを念頭に、そのために用いる ID 等も併せて提供する場合※ここでいう「一般人の認識」とは、同種の事業を営む事業者の一般的な判断力・理解力を前提とする認識をいう。

3-8-1-3 契約等による対応について
提供元の個人関連情報取扱事業者である受信者情報取扱事業者及び提供先の第三者間の契約等において、提供先の第三者において、提供を受けた個人関連情報を個人データとして利用しない旨が定められている場合には、通常、「個人データとして取得する」ことが想定されず、第 21 条は適用されない。この場合、提供元の個人関連情報取扱事業者である受信者情報取扱事業者は、提供先の第三者における個人関連情報の取扱いの確認まで行わなくとも、通常、「個人データとして取得する」ことが想定されない。もっとも、提供先の第三者が実際には個人関連情報を個人データとして利用することが窺われる事情がある場合には、当該事情に応じ、別途、提供先の第三者における個人関連情報の取扱いも確認した上で「個人データとして取得する」ことが想定されるかどうか判断する必要がある。

本人の同意の取得方法
3-8-2-1 本人の同意
第 21 条第１項第１号の「本人の同意」とは、個人関連情報取扱事業者である受信者情報
取扱事業者が第三者に個人関連情報を提供し、当該第三者が当該個人関連情報を個人デー
タとして取得することを承諾する旨の当該本人の意思表示をいう。同号の同意の取得に当たっては、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示した上で、本人の同意の意思が明確に確認できることが必要である。

127

３

受信者情報取扱事業者の義務

また、本人の同意は、必ずしも第三者提供のたびに取得しなければならないものではなく、本人が予測できる範囲において、包括的に同意を取得することも可能である。
なお、令和２年改正法の施行日（令和４年４月１日）前になされた本人の個人関連情報の取扱いに関する同意がある場合において、その同意が法第 31 条第１項の規定による個人関連情報の第三者への提供を認める旨の同意に相当するものであるときは、同項第１号の同意があったものとみなす（令和２年改正法附則第５条第１号）。
また、令和３年改正法第 50 条の規定の施行日（令和４年４月１日）前に別表第二法人等（3-1-3（利用目的による制限）参照）に対しされた本人の個人関連情報の取扱いに関する同意がある場合において、その同意が法第 31 条第１項第１号の規定による個人関連情報の第三者への提供を認める旨の同意に相当するものであるときは、令和３年改正法第 50 条の規定の施行日（令和４年４月１日）において同号の同意があったものとみなす（令和３年改正法附則第７条第８項）。
さらに、令和３年改正法第 51 条の規定の施行日（令和５年４月１日）前に特定地方独立行政法人等（3-1-3（利用目的による制限）参照）に対しされた本人の個人関連情報の取扱
いに関する同意がある場合において、その同意が法第 31 条第１項第１号の規定による個人
関連情報の第三者への提供を認める旨の同意に相当するものであるときは、令和３年改正
法第 51 条の規定の施行日（令和５年４月１日）において同号の同意があったものとみなす（令和３年改正法附則第９条第８項）。
3-8-2-2 同意を取得する主体
第 21 条第１項第１号の「本人の同意」を取得する主体は、本人と接点を持ち、情報を利用する主体となる提供先の第三者であるが、同等の本人の権利利益の保護が図られることを前提に、同意取得を提供元の個人関連情報取扱事業者である受信者情報取扱事業者が代行することも認められる。
提供先の第三者による同意取得の場合であっても、提供元の個人関連情報取扱事業者である受信者情報取扱事業者による同意取得の代行の場合であっても、個人関連情報の提供を受けて個人データとして取得する主体、対象となる個人関連情報の項目、個人関連情報の提供を受けて個人データとして取得した後の利用目的等について、本人が認識できるようにする必要がある。
（1）提供先の第三者による同意取得の場合
提供先の第三者が、個人関連情報の提供を受けて個人データとして取得する主体として、本人に対して、対象となる個人関連情報を特定できるように示した上で同意を取得

128

３

受信者情報取扱事業者の義務しなければならない。
個人関連情報を個人データとして取得した後の利用目的については、提供先の第三者において第９条により通知又は公表を行う必要があるが、提供先において同意を取得する際には同時に当該利用目的についても本人に示すことが望ましい。
（2）提供元の個人関連情報取扱事業者である受信者情報取扱事業者による同意取得の代行の場合
提供元の個人関連情報取扱事業者である受信者情報取扱事業者が同意取得を代行する場合、本人は利用の主体を認識できないことから、提供元の個人関連情報取扱事業者である受信者情報取扱事業者において、個人関連情報の提供を受けて個人データとして取得する提供先の第三者を個別に明示し、また、対象となる個人関連情報を特定できるように示さなければならない。
提供先の第三者が個人関連情報を個人データとして取得した後の利用目的について
は、提供先の第三者において第９条により通知又は公表を行わなければならない。
また、提供元の個人関連情報取扱事業者である受信者情報取扱事業者が同意取得を代行する場合であっても、提供先の第三者が同意取得の主体であることに変わりはないことから、提供先の第三者は提供元の個人関連情報取扱事業者である受信者情報取扱事業者に適切に同意取得させなければならない。
3-8-2-3 同意取得の方法
同意取得の方法としては、様々な方法があるが、例えば、本人から同意する旨を示した書面や電子メールを受領する方法、確認欄へのチェックを求める方法がある。Ｗｅｂサイト上
で同意を取得する場合は、単にＷｅｂサイト上に本人に示すべき事項を記載するのみでは足りず、それらの事項を示した上でＷｅｂサイト上のボタンのクリックを求める方法等によらなければならない。
また、同意取得に際しては、本人に必要な情報を分かりやすく示すことが重要であり、例
えば、図を用いるなどして工夫することが考えられる。
なお、個人関連情報の第三者提供につき、同意取得の一般的なフローについては、本ガイ
ドライン末尾の【付録】を参照のこと。

本人の同意等の確認の方法（第 21 条第１項、第２項関係）
3-8-3-1 個人データとして取得することを認める旨の本人の同意を得られていること（第

129

３

受信者情報取扱事業者の義務

21 条第１項第１号、第２項第１号関係）
第 21 条（第１項・第２項）
１

個人関連情報取扱事業者である受信者情報取扱事業者は、第三者が放送受信者等の個人関連情報（個人関連情報データベース等を構成するものに限る。以下同じ。
）を放送受信者等の個人データとして取得することが想定されるときは、第 17 条第１項各号に掲げる場合を除くほか、次に掲げる事項について、あらかじめ次項に定めるところにより確認することをしないで、当該個人関連情報を当該第三者に提供してはならない。
一

当該第三者が個人関連情報取扱事業者である受信者情報取扱事業者から放送受信者等の個人関連情報の提供を受けて本人が識別される放送受信者等の個人データとして取得することを認める旨の当該本人の同意が得られていること。
二２（略）
前項の規定による確認は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める方法により行うこととする。
一

前項第１号に掲げる事項の確認を行う場合（第３号に掲げる場合に該当するものを除く。
） 放送受信者等の個人関連情報の提供を受ける第三者から申告を受ける方法その他の適切な方法
二・三 （略）
個人関連情報取扱事業者である受信者情報取扱事業者は、提供先の第三者が個人関連情報を個人データとして取得することが想定されるときは、原則として、あらかじめ当該個人関連情報に係る本人の同意が得られていることを確認しないで個人関連情報を提供してはならない。
本人から同意を得る主体は、原則として提供先の第三者となり、個人関連情報取扱事業者である受信者情報取扱事業者は、当該第三者から申告を受ける方法その他の適切な方法によって本人同意が得られていることを確認することになる。提供先の第三者から申告を受ける場合、個人関連情報取扱事業者である受信者情報取扱事業者は、その申告内容を一般的な注意力をもって確認すれば足りる。
提供先の第三者において、複数の本人から同一の方式で同意を取得している場合、提供元
はそれぞれの本人から同意が取得されていることを確認する必要があるが、同意取得の方法については、本人ごとに個別の申告を受ける必要はなく、複数の本人からどのように同意を取得したか申告を受け、それによって確認を行えば足りる。
なお、提供先の第三者から提供元の個人関連情報取扱事業者である受信者情報取扱事業者に対する申告に際し、提供先の第三者が第 21 条第１項第１号の同意を取得済みの ID 等を提供する行為は、個人データの第三者提供に該当する場合があるが、第 21 条第１項の確認行為において必要となる情報のみを提供する場合は、法令に基づく場合（第 17 条第１項第１号）に該当する。

130

３

受信者情報取扱事業者の義務

また、提供元の個人関連情報取扱事業者である受信者情報取扱事業者において、同意取得を代行する場合、当該同意を自ら確認する方法も「その他の適切な方法」による確認に該当する。
【第三者から申告を受ける方法に該当する事例】
事例１）提供先の第三者から口頭で申告を受ける方法
事例２）提供先の第三者が本人の同意を得ていることを誓約する書面を受け入れる方法【その他の適切な方法に該当する事例】
事例１）提供先の第三者が取得した本人の同意を示す書面等を確認する方法
事例２）提供元の個人関連情報取扱事業者である受信者情報取扱事業者において同意取得を代行して、当該同意を自ら確認する方法（参考）法第 31 条（第１項）
１

個人関連情報取扱事業者は、第三者が個人関連情報（個人関連情報データベース等を構成するものに限る。以下この章及び第６章において同じ。
）を個人データとして取得することが想定されるときは、第 27 条第１項各号に掲げる場合を除くほか、次に掲げる事項について、あらかじめ個人情報保護委員会規則で定めるところにより確認する
ことをしないで、当該個人関連情報を当該第三者に提供してはならない。
一

当該第三者が個人関連情報取扱事業者から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られてい
ること。
二

（略）

規則第 26 条（第１項）
１

法第 31 条第１項の規定による同項第１号に掲げる事項の確認を行う方法は、個人関連情報の提供を受ける第三者から申告を受ける方法その他の適切な方法とする。

3-8-3-2 外国にある第三者への提供にあっては、必要な情報が当該本人に提供されていること（第 21 条第１項第２号、第２項第２号関係）
第 21 条（第１項・第２項）
１

個人関連情報取扱事業者である受信者情報取扱事業者は、第三者が放送受信者等の個人関連情報（個人関連情報データベース等を構成するものに限る。以下同じ。
）を放送受信者等の個人データとして取得することが想定されるときは、第 17 条第１項各号に掲げる場合を除くほか、次に掲げる事項について、あらかじめ次項に定めるところに

131

３

受信者情報取扱事業者の義務より確認することをしないで、当該個人関連情報を当該第三者に提供してはならない。
一

（略）

二

外国にある第三者への提供にあっては、前号の本人の同意を得ようとする場合において、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法により、あらかじめ、次に掲げる事項が当該本人に提供されていること。
イ

当該外国の名称ロ

適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報

ハ２

当該第三者が講ずる個人情報の保護のための措置に関する情報

前項の規定による確認は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める方法により行うこととする。
一

（略）

二

前項第２号に掲げる事項の確認を行う場合（次号に掲げる場合に該当するものを除く。
） 同項第２号の規定による情報の提供が行われていることを示す書面の提示を受ける方法その他の適切な方法
三（略）

３ 第 18 条第６項の規定は、第１項の規定により個人関連情報取扱事業者である受信者
情報取扱事業者が放送受信者等の個人関連情報を提供する場合について準用する。この場合において、同条第６項中「講ずるとともに、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法により、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供し」とあるのは、「講じ」と読み替えるものとする。
第 18 条（第６項）
６

受信者情報取扱事業者は、放送受信者等の個人データを外国にある第三者（第１項に規定する体制を整備している者に限る。
）に提供した場合には、当該第三者による相当措置の継続的な実施を確保するために必要な措置として次に掲げる措置を講ずるとともに、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法により、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。
一

当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼす

おそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること。
二

当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データの当該第三者への提供を停止すること。

132

３

受信者情報取扱事業者の義務

個人関連情報取扱事業者である受信者情報取扱事業者は、個人関連情報の提供先が外国にある第三者である場合には、第 21 条第１項第１号に基づき本人の同意が得られていることを確認するに当たって、当該同意が得られていることに加え、当該同意を得ようとする時
点において次の（1）から（3）までの情報が当該本人に提供されていることを確認しなければならない。
情報提供の方法及び提供すべき情報の内容の考え方等については、個人情報保護委員会
が定める「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」（平成 28 年個人情報保護委員会告示第７号）「5-1（情報提供の方法）」及び「5-2（提供すべき情報）」を参照のこと。
（1）当該外国の名称（2）適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報（3）当該第三者が講ずる個人情報の保護のための措置に関する情報
ただし、次の①又は②のいずれかに該当する場合には、本人同意の取得時に上記の（1）から（3）までの情報が提供されていることを確認する必要はない。
①当該第三者が個人の権利利益を保護する上で我が国と同等の水準にあると認められる個
人情報保護制度を有している国にある場合
個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報保護制度を有している外国として規則で定める国（※１）は、第 21 条第１項第２号の「外国」には該当しない。そのため、個人関連情報の提供先が、当該国にある第三者である場合には、第 21 条第１項第２号は適用されない。
②当該第三者が個人情報取扱事業者である受信者情報取扱事業者が講ずべき措置に相当す
る措置を継続的に講ずるために必要な体制を整備している場合
個人関連情報の提供先である外国にある第三者が、個人情報取扱事業者である受信者情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制として第
18 条第２項に定める基準に適合する体制を整備している場合（※２）には、当該第三者は、
第 21 条第１項第２号における「第三者」に該当しない。そのため、当該体制を整備している外国にある第三者への個人関連情報の提供については、第 21 条第１項第２号は適用されない。
ただし、第 18 条第２項で定める基準に適合する体制を整備している外国にある第三者に

133

３

受信者情報取扱事業者の義務

個人関連情報の提供を行った場合には、個人関連情報取扱事業者である受信者情報取扱事
業者は、第 21 条第３項により読み替えて準用される第 18 条第６項に基づき、次の（ア）及び（イ）の措置を講じなければならない（※３）（※４）
。
講ずべき措置の考え方等については、個人情報保護委員会が定める「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」（平成 28 年個人情報保護委員会告示第７号）「6-1（相当措置の継続的な実施を確保するために必要な措置）
」を参
照のこと。
（ア）当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼす
おそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること（第 18 条第６項第１号関係）（イ）当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人関連情報の当該第三者への提供を停止すること（第 18 条第６項第２号関係）※１ 規則で定める国とは、平成 31 年個人情報保護委員会告示第１号に定める国を指す。詳細については、個人情報保護委員会が定める「個人情報の保護に関する法
律についてのガイドライン（外国にある第三者への提供編）」（平成 28 年個人情報保護委員会告示第７号）「３（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国）」を参照のこと。
※２ 個人情報取扱事業者である受信者情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準の詳細については、個人情報保護委
員会が定める「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」（平成 28 年個人情報保護委員会告示第７号）「４（個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準）」を参照のこと。
※３ 法第 31 条第２項において読み替えて準用される法第 28 条第３項の規定は、個人関連情報取扱事業者が令和２年改正法の施行日以後に同項に規定する外国にある第三者に個人関連情報を提供した場合について適用される（令和２年改正法附則第５条第２項）。
※４ 法第 31 条第２項において読み替えて準用される法第 28 条第３項の規定は、別表第二法人等（3-1-3（利用目的による制限）参照）が令和３年改正法第 50 条の規定の施行日（令和４年４月１日）以後に同項に規定する外国にある第三者に個
人関連情報を提供した場合について適用される（令和３年改正法附則第７条第９
項）
。

134

３

受信者情報取扱事業者の義務※５ 法第 31 条第２項において読み替えて準用される法第 28 条第３項の規定は、特定地方独立行政法人等（3-1-3（利用目的による制限）参照）が令和３年改正法第51 条の規定の施行日（令和５年４月１日）以後に同項に規定する外国にある第三者に個人関連情報を提供した場合について適用される（令和３年改正法附則第９
条第９項）
。
（参考）
法第 31 条（第１項・第２項）
１

個人関連情報取扱事業者は、第三者が個人関連情報（個人関連情報データベース等を構成するものに限る。以下この章及び第６章において同じ。
）を個人データとして取得することが想定されるときは、第 27 条第１項各号に掲げる場合を除くほか、次に掲げる事項について、あらかじめ個人情報保護委員会規則で定めるところにより確認する
ことをしないで、当該個人関連情報を当該第三者に提供してはならない。
一（略）二

外国にある第三者への提供にあっては、前号の本人の同意を得ようとする場合において、個人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報が当該本人に提供されていること。
２ 第 28 条第３項の規定は、前項の規定により個人関連情報取扱事業者が個人関連情報を提供する場合について準用する。この場合において、同条第３項中「講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供し」とあるのは、「講じ」と読み替えるものとする。
規則第 17 条（第１項・第２項）
１

法第 28 条第２項又は法第 31 条第１項第２号の規定により情報を提供する方法は、
電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。

２

法第 28 条第２項又は法第 31 条第 1 項第２号の規定による情報の提供は、次に掲げる事項について行うものとする。
一

当該外国の名称二

適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報
三

当該第三者が講ずる個人情報の保護のための措置に関する情報

規則第 18 条（第１項）
１

法第 28 条第３項（法第 31 条第２項において読み替えて準用する場合を含む。
）の規定による外国にある第三者による相当措置の継続的な実施を確保するために必要な措

135

３

受信者情報取扱事業者の義務

置は、次に掲げる措置とする。
一

当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼす

おそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること。
二

当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データ（法第 31 条第２項において読み替えて準用する場合にあっては、個人関連情報）の当該第三者への提供を停止すること。
＜確認の方法（第 21 条第２項第２号）＞
第 21 条（第２項）
２

前項の規定による確認は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める方法により行うこととする。
一

（略）

二

前項第２号に掲げる事項の確認を行う場合（次号に掲げる場合に該当するものを除く。
） 同項第２号の規定による情報の提供が行われていることを示す書面の提示を受ける方法その他の適切な方法
三（略）

本人から同意を得る主体は、原則として提供先の第三者となり、個人関連情報取扱事業者である受信者情報取扱事業者は、書面の提示を受ける方法その他の適切な方法によって必要な情報の提供が行われていることを確認しなければならない。
【書面の提示を受ける方法に該当する事例】
事例１）提供先の第三者が本人に対して第 21 条第１項第２号の規定による情報の提供を行う際に使用している書面の提示を受ける方法
事例２）提供先の第三者が本人に対してＷｅｂサイト上で第 21 条第１項第２号の規定による情報の提供を行っている場合において、当該Ｗｅｂサイトの写しの提示を受ける方法
事例３）提供先の第三者が本人に対して第 21 条第１項第２号の規定による情報の提供を行っていることを誓約する書面を受け入れる方法【その他の適切な方法に該当する事例】
事例１）提供先の第三者が本人に対してＷｅｂサイト上で第 21 条第１項第２号の規定による情報の提供を行っている場合において、当該Ｗｅｂサイトの記載内容を確

136

３

受信者情報取扱事業者の義務認する方法
事例２）提供元の個人関連情報取扱事業者である受信者情報取扱事業者において同意取得を代行している場合において、同意取得に当たって必要な情報が提供されていることを自ら確認する方法（参考）規則第 26 条（第２項）
２

法第 31 条第１項の規定による同項第２号に掲げる事項の確認を行う方法は、同号の規定による情報の提供が行われていることを示す書面の提示を受ける方法その他の適切な方法とする。

3-8-3-3 既に確認を行った第三者に対する確認の方法（第 21 条第２項第３号関係）
第 21 条（第２項）
２

前項の規定による確認は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める方法により行うこととする。
一・二 （略）三

第三者に放送受信者等の個人関連情報の提供を行うに際して既に前二号に規定する方法による確認を行っている事項の確認（当該確認について記録の作成及び保存をしている場合におけるものに限る。
）を行う場合 当該事項の内容と当該提供に係る前項各号に掲げる事項の内容が同一であることの確認を行う方法
複数回にわたって同一「本人」の個人関連情報を提供する場合において、同一の内容である事項を重複して確認する合理性はないため、既に第 21 条第２項に規定する方法（3-8-31（個人データとして取得することを認める旨の本人の同意を得られていること）、3-8-3-2（外国にある第三者への提供にあっては、参考となるべき情報が当該本人に提供されていること））により確認を行い、3-8-4（提供元における記録義務）に規定する方法により作成
し、かつ、その時点において保存している記録に記録された事項と内容が同一であるものについては、当該事項の確認を省略することができる。
令和２年改正法の施行日（令和４年４月１日）の前に上記に規定する方法に相当する方法で作成した記録についても同様とする。
例えば、個人関連情報取扱事業者である受信者情報取扱事業者が、同じ提供先に対して、既に確認・記録義務を履行した本人に係る個人関連情報であることを認識しながら、個人関連情報の提供を行う場合は、「同一であることの確認」が行われているものである。
（参考）

137

３

受信者情報取扱事業者の義務

規則第 26 条（第３項）
３

前二項の規定にかかわらず、第三者に個人関連情報の提供を行うに際して既に前二項に規定する方法による確認（当該確認について次条に規定する方法による記録の作
成及び保存をしている場合におけるものに限る。
）を行っている事項の確認を行う方法
は、当該事項の内容と当該提供に係る法第 31 条第１項各号に掲げる事項の内容が同一であることの確認を行う方法とする。

令和２年改正法規則附則第４条
法第 31 条第１項第１号に規定する事項のうち、施行日前に第 26 条に規定する方法に相当する方法で確認（当該確認について第 27 条に規定する方法に相当する方法で記録を作成し、かつ、保存している場合におけるものに限る。
）を行っているものについては、第 26 条第３項の規定を適用することができる。この場合において、同項中「前二項に規定する方法」とあるのは「前二項に規定する方法に相当する方法」と読み替えるものとする。

提供元における記録義務（第 21 条第５項関係）
第 21 条（第５項）
５

個人関連情報取扱事業者である受信者情報取扱事業者は、第１項の規定による確認を行ったときは、文書、電磁的記録又はマイクロフィルムを用いて作成する方法により、次に掲げる事項に関する記録を作成しなければならない。
一第１項第１号の本人の同意が得られていることを確認した旨及び外国にある第三者への提供にあっては、同項第２号の規定による情報の提供が行われていることを確認した旨
二

放送受信者等の個人関連情報を提供した年月日（第７項ただし書に規定する方法

により記録を作成した場合にあっては、当該提供の期間の初日及び末日）三当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名

四

当該個人関連情報の項目

個人関連情報取扱事業者である受信者情報取扱事業者は、第 21 条第１項の規定による確認を行った場合は、その記録を作成しなければならない（第 21 条第５項）
。なお、
「第三者」
のうち、次の（1）から（4）までに掲げる者に個人関連情報の提供を行う場合は、記録義務は適用されない（第 19 条第１項）。
（1）国の機関（法第 16 条第２項第１号関係）（2）地方公共団体（法第 16 条第２項第２号関係）

138

３

受信者情報取扱事業者の義務（3）独立行政法人等（独立行政法人通則法第２条第１項に規定する独立行政法人及び法別表第１に掲げる法人をいう。法別表第２に掲げる法人を除く。
）（法第 16 条第２項
第３号関係）（4）地方独立行政法人（地方独立行政法人法第２条第１項に規定する地方独立行政法人をいう。同法第 21 条第１号に掲げる業務を主たる目的とするもの又は同条第２号若しくは第３号（チに係る部分に限る。）に掲げる業務を目的とするものを除く。
）（法
第 16 条第２項第４号関係）（参考）
法第 31 条（第３項）
３

前条第２項から第４項までの規定は、第１項の規定により個人関連情報取扱事業者が確認する場合について準用する。この場合において、同条第３項中「の提供を受けた」とあるのは、「を提供した」と読み替えるものとする。

法第 30 条（第３項）
３

個人情報取扱事業者は、第１項の規定による確認を行ったときは、個人情報保護委員会規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。

3-8-4-1 記録を作成する媒体
個人関連情報取扱事業者である受信者情報取扱事業者は、記録を、文書、電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。
）で作られる記録をいう。以下同じ。法第２条第１項第１号参照）又はマイクロフ
ィルムを用いて作成しなければならない。
（参考）
規則第 27 条（第１項）
１

法第 31 条第３項において読み替えて準用する法第 30 条第３項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。

3-8-4-2 記録を作成する方法
3-8-4-2-1

原則（第 21 条第７項関係）

139

３

受信者情報取扱事業者の義務

第 21 条（第７項）
７

第５項の記録は、放送受信者等の個人関連情報を第三者に提供した都度、速やかに作成しなければならない。
（略）

個人関連情報取扱事業者である受信者情報取扱事業者は、記録を作成する場合、原則として、個人関連情報の提供の都度、速やかに、記録を作成しなければならない。
なお、個人関連情報を提供する前に記録を作成することもできる。
（参考）
規則第 27 条（第２項）
２

法第 31 条第３項において読み替えて準用する法第 30 条第３項の記録は、個人関連情報を第三者に提供した都度、速やかに作成しなければならない。
（略）

3-8-4-2-2

一括して記録を作成する方法（第 21 条第７項関係）

第 21 条（第７項）
７ （略）当該第三者に対し放送受信者等の個人関連情報を継続的に若しくは反復して提供したとき、又は当該第三者に対し放送受信者等の個人関連情報を継続的に若しくは
反復して提供することが確実であると見込まれるときの記録は、一括して作成することができる。
一定の期間内に特定の事業者に対して継続的に又は反復して個人関連情報を提供する場
合は、個々の提供に係る記録を作成する代わりに、一括して記録を作成することができる。
【一括して記録を作成する方法に該当する事例】
事例１）最初の提供の際に一旦記録を作成した上で、継続的に又は反復して個人関連情報を提供する対象期間内に、随時、追加の記録事項を作成する方法
事例２）継続的に又は反復して個人関連情報を提供する対象期間内に、月ごとに記録を作成する方法
事例３）継続的に又は反復して個人関連情報を提供する対象期間の終了後、速やかに記録を作成する方法「確実であると見込まれるとき」の例としては、継続的に又は反復して個人関連情報を提供することを内容とする基本契約を締結することで、以後、継続的に又は反復して個人関連情報を提供することが確実であると見込まれる場合などが該当する。この場合は、当該基本

140

３

受信者情報取扱事業者の義務契約に係る契約書をもって記録とすることができる。
「一括して記録を作成する方法」は、例外としての記録作成方法であることに鑑みて、その対象期間、対象範囲等を明確にすることが望ましい。
（参考）
規則第 27 条（第２項）
２ （略）当該第三者に対し個人関連情報を継続的に若しくは反復して提供したとき、又は当該第三者に対し個人関連情報を継続的に若しくは反復して提供することが確実であると見込まれるときの記録は、一括して作成することができる。
3-8-4-2-3

契約書等の代替手段による方法（第 21 条第８項関係）

第 21 条（第８項）
８

前項の規定にかかわらず、本人に対する物品又は役務の提供に関連して当該本人に係る放送受信者等の個人関連情報を第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に第５項各号に定める事項が記載されているときは、当該書面をもって同項の当該事項に関する記録に代えることができる。

個人関連情報取扱事業者である受信者情報取扱事業者が、本人に対する物品又は役務の提供に係る契約を締結し、かかる契約の履行に伴って、当該本人に係る個人関連情報を当該
個人関連情報取扱事業者から第三者に提供する場合は、当該契約書その他の書面をもって記録とすることができる。
仮に、第 21 条第８項の要件を満たさない書面も、記録事項が記載されていれば記録として認められるが、保存期間の違いに留意する必要がある（3-8-4-4（保存期間）参照）。
（1）「本人に対する物品又は役務の提供」
提供元の個人関連情報取扱事業者である受信者情報取扱事業者若しくは提供先の第三者又はその双方が「本人に対する物品又は役務の提供」の主体となる場合も含む。
（2）「当該提供に関して作成された（契約書その他の書面）」
複数の書面を合わせて一つの記録とすることは妨げられない。
（3）「契約書その他の書面」

141

３

受信者情報取扱事業者の義務

本人と提供元の個人関連情報取扱事業者である受信者情報取扱事業者との間で作成した契約書のみならず、提供元の個人関連情報取扱事業者である受信者情報取扱事業者と提供先の第三者との間で作成した契約書も、含まれる。
「契約書」の他にも、「その他の書面」には、個人関連情報取扱事業者である受信者情報取扱事業者又は提供先の第三者の内部で作成された帳票、記録簿等も含まれる。
また、「契約書その他の書面」は電磁的記録を含むため（第 17 条第６項参照）、システ
ム上の記録等も「契約書その他の書面」に該当する。
【契約書等の代替手段による方法の例】
事例）提供元の個人関連情報取扱事業者である受信者情報取扱事業者が提供先の第三者との間で、個人関連情報の提供に関して「契約書その他の書面」を交わしている場合であって、当該書面に第 21 条第５項各号に掲げる事項が記載されて
いる場合
（参考）
規則第 27 条（第３項）
３

前項の規定にかかわらず、法第 31 条第１項の規定により、本人に対する物品又は役務の提供に関連して当該本人に係る個人関連情報を第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に次条第１項各号に定める事項が記載されているときは、当該書面をもって法第 31 条第３項において読み替えて準用する
法第 30 条第３項の当該事項に関する記録に代えることができる。

3-8-4-2-4

代行により記録を作成する方法

提供先の第三者は提供元の個人関連情報取扱事業者である受信者情報取扱事業者の記録義務の全部又は一部を代替して行うことができる。なお、この場合であっても、提供元の個
人関連情報取扱事業者である受信者情報取扱事業者は自己の義務が免責されるわけではないことから、実質的に自らが記録作成義務を果たしているものと同等の体制を構築しなけ
ればならない。
3-8-4-3 提供元における記録事項（第 21 条第５項、第６項関係）
3-8-4-3-1

提供元における記録事項（第 21 条第５項関係）

第 21 条（第５項）
５

個人関連情報取扱事業者である受信者情報取扱事業者は、第１項の規定による確認を行ったときは、文書、電磁的記録又はマイクロフィルムを用いて作成する方法によ

142

３

受信者情報取扱事業者の義務

り、次に掲げる事項に関する記録を作成しなければならない。
一第１項第１号の本人の同意が得られていることを確認した旨及び外国にある第三者への提供にあっては、同項第２号の規定による情報の提供が行われていることを確認した旨
二

放送受信者等の個人関連情報を提供した年月日（第７項ただし書に規定する方法

により記録を作成した場合にあっては、当該提供の期間の初日及び末日）三当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名

四

当該個人関連情報の項目

提供元の個人関連情報取扱事業者である受信者情報取扱事業者は、第 21 条第１項の規定による確認を行ったときは、次の項目を記録しなければならない。
（1）「第１項第１号の本人の同意が得られていることを確認した旨及び外国にある第三者への提供にあっては、同項第２号の規定による情報の提供が行われていることを確認した旨」
第１項第１号の本人の同意が得られていること及び外国にある第三者への提供にあっては、同項第２号の規定による情報の提供が行われていることについて確認した旨をその方法を含めて記載する。
提供元の個人関連情報取扱事業者である受信者情報取扱事業者が同意取得を代行している場合においては、それぞれの事項を提供元の個人関連情報取扱事業者が自ら確認した旨を記載する。
（2）「放送受信者等の個人関連情報を提供した年月日（第７項ただし書に規定する方法により記録を作成した場合にあっては、当該提供の期間の初日及び末日）」
個人関連情報を継続的に若しくは反復して提供した場合又は個人関連情報を継続的に若しくは反復して提供することが確実であると見込まれる場合、記録を一括して作成することができるが、この場合、個人関連情報の提供の初日と末日を記載する。
（3）「当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名」（4）「当該個人関連情報の項目」
事例１）Ｗｅｂサイトの閲覧履歴
事例２）商品購入履歴
事例３）年齢、性別

143

３

受信者情報取扱事業者の義務

当該記載から、どのような個人関連情報が提供されているか分かる程度に具体的な記載をする必要がある。
「当社が有するいずれかの情報」等の記載では、「当該個人関連情報の項目」には該当しないものと解される。
また、記録・保存が求められているのは「個人関連情報の項目」であって、個人関連
情報そのものを保存する必要はない。
＜提供元の記録事項＞
提供年月日

第三者の氏

本人の氏名

個人データ

本人の同意

名等

等

（個人関連

等（※）

情報）の項目
個人関連情
報の第三者

○

○

○

○

○

提供
（参考）本人
の同意によ
る第三者提

○

○

○

○

○

○

供
（参考）オプ
トアウトに
よる第三者

○

提供
※

個人関連情報の第三者提供について、外国にある第三者への提供にあっては、第21 第１項第２号の規定による情報の提供についても記録する。

（参考）
法第 31 条（第３項）
３

前条第２項から第４項までの規定は、第１項の規定により個人関連情報取扱事業者が確認する場合について準用する。この場合において、同条第３項中「の提供を受けた」とあるのは、「を提供した」と読み替えるものとする。

法第 30 条（第３項）
３

個人情報取扱事業者は、第１項の規定による確認を行ったときは、個人情報保護委員会規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければな

144

３

受信者情報取扱事業者の義務らない。
規則第 28 条（第１項）
１

法第 31 条第３項において準用する法第 30 条第３項の個人情報保護委員会規則で定める事項は、次に掲げるものとする。
一

法第 31 条第１項第１号の本人の同意が得られていることを確認した旨及び外国にある第三者への提供にあっては、同項第２号の規定による情報の提供が行われていることを確認した旨
二

個人関連情報を提供した年月日（前条第２項ただし書の規定により、法第 31 条第３項において読み替えて準用する法第 30 条第３項の記録を一括して作成する場合にあっては、当該提供の期間の初日及び末日）三当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名

四

当該個人関連情報の項目

3-8-4-3-2

記録事項の省略（第 21 条第６項関係）

第 21 条（第６項）
６

前項各号に定める事項のうち、既に同項、次項及び第８項に規定する方法により作成した前項の記録（当該記録を保存している場合におけるものに限る。
）に記録された事項と内容が同一であるものについては、同項の当該事項の記録を省略することができる。

複数回にわたって同一「本人」の個人関連情報の提供をする場合において、同一の内容である事項を重複して記録する必要はないことから、その旨を明確にするものである。すなわ
ち、既に 3-8-4（提供元における記録義務）に規定する方法により作成した記録（現に保存している場合に限る。）に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。
令和２年改正法の施行日（令和４年４月１日）の前に上記に規定する方法に相当する方法で作成した記録についても同様とする。
なお、記録事項のうち、一部の事項の記録の作成を第 21 条第６項に基づき省略し、残りの事項の記録のみを作成した場合、記録全体としての保存期間の起算点は、残りの事項を作成した時点とする。保存期間については、3-8-4-4（保存期間）を参照のこと。
（参考）
規則第 28 条（第２項）
２

前項各号に定める事項のうち、既に前条に規定する方法により作成した法第 31 条第

145

３

受信者情報取扱事業者の義務

３項において読み替えて準用する法第 30 条第３項の記録（当該記録を保存している場
合におけるものに限る。
）に記録された事項と内容が同一であるものについては、法第31 条第３項において読み替えて準用する法第 30 条第３項の当該事項の記録を省略することができる。
令和２年改正法規則附則第５条
第 28 条第１項に規定する事項のうち、施行日前に第 27 条に規定する方法に相当する方法で記録（当該記録を保存している場合におけるものに限る。
）を作成しているものについては、第 28 条第２項の規定を適用することができる。この場合において、同項中「前条に規定する方法」とあるのは「前条に規定する方法に相当する方法」と読み替えるものとする。
3-8-4-4 保存期間（第 21 条第９項）
第 21 条（第９項）
９

個人関連情報取扱事業者である受信者情報取扱事業者は、第５項の記録を、当該記録を作成した日から次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間保存しなければならない。
一

前項に規定する方法により記録を作成した場合

最後に当該記録に係る放送受信者等の個人関連情報の提供を行った日から起算して１年を経過する日までの間
二第７項ただし書に規定する方法により記録を作成した場合

最後に当該記録に係る放送受信者等の個人関連情報の提供を行った日から起算して３年を経過する日までの間
三

前二号以外の場合 ３年

個人関連情報取扱事業者である受信者情報取扱事業者は、作成した記録を第 21 条第９項
で定める期間保存しなければならない。保存期間は記録の作成方法によって異なる。具体的には、次の表のとおりである。
＜保存期間＞
記録の作成方法の別「3-8-4-2-3

保存期間

契約書等の代替手段による方法」により記録を作成した場合

最後に当該記録に係る放送受信者等の個人関連情報の提供を行った日から起算して１年を経過する日までの間「3-8-4-2-2

一括して記録を作成する方法」により記録を作成した場合

最後に当該記録に係る放送受信者等の個人関連情報の提供を行った日から起算して３

146

３

受信者情報取扱事業者の義務年を経過する日までの間
上述以外の場合３年（参考）
法第 31 条（第３項）
３

前条第２項から第４項までの規定は、第１項の規定により個人関連情報取扱事業者が確認する場合について準用する。この場合において、同条第３項中「の提供を受けた」とあるのは、「を提供した」と読み替えるものとする。

法第 30 条（第４項）
４

個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。

規則第 29 条
法第 31 条第３項において準用する法第 30 条第４項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める期間とする。
一第 27 条第３項に規定する方法により記録を作成した場合 最後に当該記録に係る個人関連情報の提供を行った日から起算して１年を経過する日までの間
二第 27 条第２項ただし書に規定する方法により記録を作成した場合 最後に当該記録に係る個人関連情報の提供を行った日から起算して３年を経過する日までの間
三

前二号以外の場合 ３年

提供先の第三者における確認義務（第 20 条第１項）
第 20 条（第１項）
１

受信者情報取扱事業者は、第三者から放送受信者等の個人データの提供を受けるに際しては、次の各号に掲げる事項に応じ、それぞれ当該各号に定める方法による確認を行わなければならない。
（略）

受信者情報取扱事業者である提供先の第三者は、第 20 条第１項の規定による放送受信者
等の個人関連情報の提供（第 17 条第１項各号に掲げる場合を除く。）を受けて放送受信者等の個人データとして取得する場合は、第 20 条第１項の確認義務の適用を受ける。
（参考）
法第 30 条（第１項）

147

３

１

受信者情報取扱事業者の義務

個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、個人情報保護委員会規則で定めるところにより、次に掲げる事項の確認を行わなければならない。
（略）

3-8-5-1 確認方法（第 20 条第 1 項第 1 号・第 2 号関係）
第 20 条（第１項）
１

受信者情報取扱事業者は、第三者から放送受信者等の個人データの提供を受けるに際しては、次の各号に掲げる事項に応じ、それぞれ当該各号に定める方法による確認を行わなければならない。ただし、当該個人データの提供が第 17 条第１項各号又は第９項各号のいずれかに該当する場合は、この限りでない。
一

当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名（第３号に掲げる事項に該当するものを除く。
） 当該個人データを提供する当該第三者から申告を受ける方法その他の適切な方法
二

当該第三者による当該個人データの取得の経緯（次号に掲げる事項に該当するものを除く。
） 当該個人データを提供する当該第三者から当該第三者による当該個人
データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な
方法
三

（略）

受信者情報取扱事業者である提供先の第三者は、第三者から第 21 条第１項の規定による放送受信者等の個人関連情報の提供を受けて放送受信者等の個人データとして取得する際は、当該第三者（提供元の個人関連情報取扱事業者である受信者情報取扱事業者）の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名を確認しなければならない。
なお、「当該第三者による当該個人データの取得の経緯」（第 20 条第１項第２号）については、提供元の個人関連情報取扱事業者である受信者情報取扱事業者において、提供する放送受信者等の個人関連情報を個人データとして取得していないことから、提供先の受信者
情報取扱事業者における確認の対象とならない。
（参考）
法第 30 条（第１項）
１

個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、個人情報保護委員会規則で定めるところにより、次に掲げる事項の確認を行わなければならな
い。
（略）
一

当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名

二

当該第三者による当該個人データの取得の経緯

148

３

受信者情報取扱事業者の義務

規則第 22 条（第１項）
１

法第 30 条第１項の規定による同項第１号に掲げる事項の確認を行う方法は、個人データを提供する第三者から申告を受ける方法その他の適切な方法とする。

3-8-5-2 既に確認を行った第三者に対する確認方法（第 20 条第１項第３号関係）
第 20 条（第１項）
１

受信者情報取扱事業者は、第三者から放送受信者等の個人データの提供を受けるに際しては、次の各号に掲げる事項に応じ、それぞれ当該各号に定める方法による確認を行わなければならない。ただし、当該個人データの提供が第 17 条第１項各号又は第９項各号のいずれかに該当する場合は、この限りでない。
一

（略）

二

（略）

三

当該第三者から他の個人データの提供を受けるに際して既に前二号で規定する方法による確認（当該確認について第３項、第５項及び第６項に規定する方法による記録の作成及び保存をしている場合におけるものに限る。
）を行っている事項 当該事
項の内容と当該提供に係る前二号に掲げる事項の内容が同一であることの確認を行う方法
複数回にわたって同一「本人」の個人関連情報の提供を受けて個人データとして取得する
場合において、同一の内容である事項を重複して確認する合理性はないため、既に第 20 条
第１項に規定する方法（3-8-5-1（確認方法））により確認を行い、3-8-4（提供元における記録義務）に規定する方法により作成し、かつ、その時点において保存している記録に記録された事項と内容が同一であるものについては、当該事項の確認を省略することができる。
例えば、受信者情報取扱事業者である提供先の第三者が、同じ提供元の個人関連情報取扱事業者から、既に確認・記録義務を履行した本人に係る個人関連情報であることを認識しながら、放送受信者等の個人関連情報の提供を受けて個人データとして取得する場合は、「同一であることの確認」が行われているものである。
（参考）
規則第 22 条（第３項）
３

前二項の規定にかかわらず、第三者から他の個人データの提供を受けるに際して既に前二項に規定する方法による確認（当該確認について次条に規定する方法による記録の作成及び保存をしている場合におけるものに限る。
）を行っている事項の確認を行う方法は、当該事項の内容と当該提供に係る法第 30 条第１項各号に掲げる事項の内容が同一であることの確認を行う方法とする。

149

３

受信者情報取扱事業者の義務

平成 27 年改正法規則附則第４条
法第 26 条第１項各号に規定する事項のうち、施行日前に第 15 条に規定する方法に相当する方法で確認（当該確認について第 16 条に規定する方法に相当する方法により記録を作成し、かつ、保存している場合におけるものに限る。
）を行っているものについては、第 15 条第３項を適用することができる。この場合において、同項中「前二項に規定する方法」とあるのは「前二項に規定する方法に相当する方法」と読み替えるものとする。
令和３年改正法規則（第 50 条改正関係）附則第５条
別表第二法人等において、法第 30 条第１項各号に規定する事項のうち、施行日前に
新規則第 22 条に規定する方法に相当する方法で確認（当該確認について新規則第 23条に規定する方法に相当する方法により記録を作成し、かつ、保存している場合におけるものに限る。
）を行っているものについては、新規則第 22 条第３項を適用することができる。この場合において、同項中「前二項に規定する方法」とあるのは「前二項に規定する方法に相当する方法」と読み替えるものとする。
令和３年改正法規則（第 51 条改正関係）附則第５条
特定地方独立行政法人等において、新個人情報保護法第 30 条第１項各号に規定する事項のうち、施行日前に新規則第 22 条に規定する方法に相当する方法で確認（当該確認について新規則第 23 条に規定する方法に相当する方法により記録を作成し、かつ、保存している場合におけるものに限る。
）を行っているものについては、新規則第 22 条
第３項を適用することができる。この場合において、同項中「前二項に規定する方法」とあるのは「前二項に規定する方法に相当する方法」と読み替えるものとする。
3-8-5-3 提供先の第三者による適正取得
受信者情報取扱事業者である提供先の第三者は、偽りその他不正の手段により、放送受信者等の個人関連情報を個人データとして取得してはならない（第８条第１項）。
【提供先の受信者情報取扱事業者が偽りその他不正の手段により放送受信者等の個人関連
情報を個人データとして取得している事例】
事例１）提供先の受信者情報取扱事業者が、提供元の個人関連情報取扱事業者である受信者情報取扱事業者に放送受信者等の個人データとして利用する意図を秘して、本人同意を得ずに放送受信者等の個人関連情報を放送受信者等の個人データとして取得した場合

150

３

受信者情報取扱事業者の義務

事例２）提供先の受信者情報取扱事業者が、本人同意を取得していないにもかかわらず、同意取得していると提供元の個人関連情報取扱事業者である受信者情報取扱事業者に虚偽の申告をして、放送受信者等の個人関連情報を放送受信者等の個人データとして取得した場合
事例３）提供元の個人関連情報取扱事業者である受信者情報取扱事業者が同意取得を代行することを念頭に、実際には提供元の個人関連情報取扱事業者である受信者
情報取扱事業者が適切に同意取得していない場合において、提供先の受信者情報取扱事業者がこれを知り、又は容易に知ることができるにもかかわらず、放送
受信者等の個人関連情報を放送受信者等の個人データとして取得した場合

提供先の第三者における記録義務（第 20 条第３項関係）
第 20 条（第３項）
３

受信者情報取扱事業者は、第１項の規定による確認を行ったときは、文書、電磁的記録又はマイクロフィルムを用いて作成する方法により、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項に関する記録を作成しなければならない。
一

受信者情報取扱事業者から第 17 条第２項の規定による放送受信者等の個人データの提供を受けた場合 次のイからホまでに掲げる事項
イ

個人データの提供を受けた年月日

ロ

第１項各号に掲げる事項

ハ

当該個人データによって識別される本人の氏名その他の当該本人を特定するに
足りる事項

ニ

当該個人データの項目

ホ

法第 27 条第４項の規定により公表されている旨

二

受信者情報取扱事業者から第 17 条第１項又は第 18 条第１項の規定による放送受信者等の個人データの提供を受けた場合 次のイ及びロに掲げる事項
イ 第 17 条第１項又は第 18 条第１項の本人の同意を得ている旨
ロ
三前号ロからニまでに掲げる事項
個人関連情報取扱事業者である受信者情報取扱事業者から次条第１項の規定による放送受信者等の個人関連情報の提供を受けて放送受信者等の個人データとして取得した場合 次のイからニまでに掲げる事項
イ

次条第１項第１号の本人の同意が得られている旨及び外国にある受信者情報取扱事業者にあっては、同項第２号の規定による情報の提供が行われている旨

ロ

第１項第１号に掲げる事項

ハ第１号ハに掲げる事項

ニ当該個人関連情報の項目

151

３

四

受信者情報取扱事業者の義務

第三者（受信者情報取扱事業者に該当する者を除く。
）から放送受信者等の個人データの提供を受けた場合 第１号ロからニまでに掲げる事項
受信者情報取扱事業者である提供先の第三者は、第 21 条第１項の規定による放送受信者
等の個人関連情報の提供（第 17 条第１項各号に掲げる場合を除く。）を受けて個人データとして取得する場合は、第 20 条第３項の記録義務の適用を受ける。
（参考）
法第 30 条（第３項）
３

個人情報取扱事業者は、第１項の規定による確認を行ったときは、個人情報保護委員会規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。

3-8-6-1 記録を作成する媒体（第 20 条第３項関係）
受信者情報取扱事業者である提供先の第三者は、記録を、文書、電磁的記録又はマイクロフィルムを用いて作成しなければならない。
（参考）
規則第 23 条（第１項）
1

法第 30 条第３項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。

3-8-6-2 記録を作成する方法
3-8-6-2-1

原則（第 20 条第５項関係）

第 20 条（第５項）
５

第３項の記録は、第三者から個人データの提供を受けた都度、速やかに作成しなければならない。
（略）

受信者情報取扱事業者である提供先の第三者は、記録を作成する場合、原則として、放送受信者等の個人関連情報の提供を受けて放送受信者等の個人データとして取得する都度、速やかに、記録を作成しなければならない。
なお、放送受信者等の個人関連情報の提供を受けて放送受信者等の個人データとして取

152

３

受信者情報取扱事業者の義務得する前に記録を作成することもできる。
（参考）
規則第 23 条（第２項）
２

法第 30 条第３項の記録は、第三者から個人データの提供を受けた都度、速やかに作成しなければならない。
（略）

3-8-6-2-2

一括して記録を作成する方法（第 20 条第５項関係）

第 20 条（第５項）
５ （略）当該第三者から継続的に若しくは反復して個人データの提供（第 17 条第２項の規定による提供を除く。以下この条において同じ。
）を受けたとき、又は当該第三者から継続的に若しくは反復して個人データの提供を受けることが確実であると見込まれるときの記録は、一括して作成することができる。
受信者情報取扱事業者である提供先の第三者は、一定の期間内に特定の事業者から継続的に又は反復して放送受信者等の個人関連情報の提供を受けて個人データとして取得する
場合は、個々の提供に係る記録を作成する代わりに、一括して記録を作成することができる。
3-8-4-2-2（一括して記録を作成する方法）も参照のこと。
（参考）
規則第 23 条（第２項）
２ （略）当該第三者から継続的に若しくは反復して個人データの提供（法第 27 条第２項の規定による提供を除く。以下この条において同じ。
）を受けたとき、又は当該第三者から継続的に若しくは反復して個人データの提供を受けることが確実であると見込まれるときの記録は、一括して作成することができる。
3-8-6-2-3

契約書等の代替手段による方法（第 20 条第６項関係）

第 20 条（第６項）
６

前項の規定にかかわらず、本人に対する物品又は役務の提供に関連して第三者から当該本人に係る個人データの提供を受けた場合において、当該提供に関して作成された契約書その他の書面に第３項各号に定める事項が記載されているときは、当該書面をもって同項の当該事項に関する記録に代えることができる。

受信者情報取扱事業者である提供先の第三者が、本人に対する物品又は役務の提供に係

153

３

受信者情報取扱事業者の義務る契約を締結し、かかる契約の履行に伴って、当該本人に係る放送受信者等の個人関連情報の提供を受けて放送受信者等の個人データとして取得する場合は、当該契約書その他の書面をもって記録とすることができる。
仮に、第 20 条第６項の要件を満たさない書面も、記録事項が記載されていれば記録として認められるが、保存期間の違いに留意する必要がある（3-8-6-4（保存期間）参照）。
3-8-4-2-3（契約書等の代替手段による方法）も参照のこと。
（参考）
規則第 23 条（第３項）
３

前項の規定にかかわらず、本人に対する物品又は役務の提供に関連して第三者から当該本人に係る個人データの提供を受けた場合において、当該提供に関して作成された契約書その他の書面に次条第１項各号に定める事項が記載されているときは、当該書面をもって法第 30 条第３項の当該事項に関する記録に代えることができる。

3-8-6-3 提供先の第三者における記録事項（第 20 条第３項関係）
3-8-6-3-1

提供先の第三者における記録事項（第 20 条第３項関係）

第 20 条（第３項）
３

受信者情報取扱事業者は、第１項の規定による確認を行ったときは、文書、電磁的記録又はマイクロフィルムを用いて作成する方法により、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項に関する記録を作成しなければならない。
一

（略）

二

（略）

三

個人関連情報取扱事業者である受信者情報取扱事業者から次条第１項の規定による放送受信者等の個人関連情報の提供を受けて放送受信者等の個人データとして取得した場合 次のイからニまでに掲げる事項
イ

次条第１項第１号の本人の同意が得られている旨及び外国にある受信者情報取扱事業者にあっては、同項第２号の規定による情報の提供が行われている旨

ロ

第１項第１号に掲げる事項

ハ第１号ハに掲げる事項

ニ当該個人関連情報の項目

四（略）

受信者情報取扱事業者である提供先の第三者は、放送受信者等の個人関連情報の提供を受けて放送受信者等の個人データとして取得した場合は、次の項目を記録しなければなら

154

３

受信者情報取扱事業者の義務ない。
（1）「次条第１項第１号の本人の同意が得られている旨及び外国にある受信者情報取扱事業者にあっては、同項第２号の規定による情報の提供が行われている旨」
第 21 条第１項第１号の本人の同意が得られている旨及び外国にある第三者への提供にあっては、同項第２号の規定による情報の提供が行われている旨を記載する。
同意の取得や情報提供について、これを行ったことを示す証跡等がある場合には、当該証跡等をもって記録とすることもできる。
（2）「第１項第１号に掲げる事項」
提供元の個人関連情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名を記録しなければならない。
（3）「第 1 号ハに掲げる事項」「当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項」を記録しなければならない。
なお、例えば「当社が有する全ての個人情報に係る本人」等の記載では、「当該本人を特定するに足りる」ものではないと解される。
【その他の当該本人を特定するに足りる事項に該当する事例】
事例）本人ごとに番号・ID などを付して個人データの管理をしている場合において、
当該番号・ID などにより本人を特定できるときの当該番号・ID（4）「当該個人関連情報の項目」
3-8-4-3-1（提供元における記録事項）を参照のこと。
＜提供先の記録事項＞
提供を受第三者の 取得の経

本人の氏

個人デー

個人情報

本人の同

けた年月

氏名等

名等

タ（個人

保護委員

意等（※）

関 連 情

会による

報）の項

公表

緯

日

目

155

３

受信者情報取扱事業者の義務

放送受信
者等の個
人関連情
報の提供
を受けて

○

放送受信

○

○

○

○

者等の個
人データ
として取
得した場
合
（参考）
本人の同
意による

○

○

○

○

○

○

○

○

○

○

○

○

第三者提
供
（参考）
オプトア
ウトによ

○

○

る第三者
提供
（参考）
私人など
からの第
三者提供
※

放送受信者等の個人関連情報の第三者提供について、外国にある第三者への提供にあっては、第 21 条第１項第２号の規定による情報の提供についても記録する。

（参考）
規則第 24 条（第１項）
１

法第 30 条第３項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。
一・二 （略）三

個人関連情報取扱事業者から法第 31 条第１項の規定による個人関連情報の提供を受けて個人データとして取得した場合 次のイからニまでに掲げる事項

156

３

イ

受信者情報取扱事業者の義務法第 31 条第１項第１号の本人の同意が得られている旨及び外国にある個人情報取扱事業者にあっては、同項第２号の規定による情報の提供が行われている旨

ロ

法第 30 条第１項第１号に掲げる事項

ハ第１号ハに掲げる事項

ニ当該個人関連情報の項目

3-8-6-3-2

記録事項の省略（第 20 条第４項関係）

第 20 条（第４項）
４

前項各号に定める事項のうち、既に同項、次項及び第６項に規定する方法により作成した前項の記録（当該記録を保存している場合におけるものに限る。
）に記録された事項と内容が同一であるものについては、同項の当該事項の記録を省略することができる。

複数回にわたって同一「本人」の放送受信者等の個人関連情報の提供を受けて放送受信者
等の個人データとして取得する場合において、同一の内容である事項を重複して記録する必要はないことから、その旨を明確にするものである。すなわち、既に 3-8-6（提供先の第三者における記録義務）に規定する方法により作成した記録（現に保存している場合に限る。
）に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。
令和２年改正法の施行日（令和４年４月１日）の前に上記に規定する方法に相当する方法で作成した記録についても同様とする。
なお、記録事項のうち、一部の事項の記録の作成を第 20 条第４項に基づき省略し、残りの事項の記録のみを作成した場合、記録全体としての保存期間の起算点は、残りの事項を作成した時点とする。保存期間については、3-8-6-4（保存期間）を参照のこと。
（参考）
規則第 24 条（第２項）
２

前項各号に定める事項のうち、既に前条に規定する方法により作成した法第 30 条第３項の記録（当該記録を保存している場合におけるものに限る。
）に記録された事項と内容が同一であるものについては、同項の当該事項の記録を省略することができる。

令和２年改正法規則附則第３条
第 24 条第１項第３号に規定する事項のうち、施行日前に第 23 条に規定する方法に相当する方法で記録（当該記録を保存している場合におけるものに限る。
）を作成しているものについては、第 24 条第２項を適用することができる。この場合において、同

157

３

受信者情報取扱事業者の義務

項中「前条に規定する方法」とあるのは「前条に規定する方法に相当する方法」と読み替えるものとする。
3-8-6-4 保存期間（第 20 条第７項）
第 20 条（第７項）
７

受信者情報取扱事業者は、第３項の記録を、当該記録を作成した日から次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間保存しなければならない。
一

前項に規定する方法により記録を作成した場合

最後に当該記録に係る個人デー

タの提供を受けた日から起算して１年を経過する日までの間
二第５項ただし書に規定する方法により記録を作成した場合

最後に当該記録に係る個人データの提供を受けた日から起算して３年を経過する日までの間
三

前二号以外の場合 ３年

受信者情報取扱事業者である提供先の第三者は、作成した記録を規則で定める期間保存
しなければならない。保存期間は記録の作成方法によって異なる。具体的には、次の表のとおりである。
＜保存期間＞
記録の作成方法の別「3-8-6-2-3

保存期間

契約書等の代替手段による方法」により記録を作成した場合

最後に当該記録に係る提供を受けて個人データとして取得した日から起算して１年を経過する日までの間「3-8-6-2-2

一括して記録を作成する方法」により記録を作成した場合

最後に当該記録に係る提供を受けて個人データとして取得した日から起算して３年を経過する日までの間

上述以外の場合３年（参考）
法第 30 条（第４項）
４

個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。

規則第 25 条
法第 30 条第４項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とする。

158

３

一

受信者情報取扱事業者の義務

第 23 条第３項に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を受けた日から起算して１年を経過する日までの間
二第 23 条第２項ただし書に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を受けた日から起算して３年を経過する日までの間
三

前二号以外の場合 ３年

保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止等（第 22 条～第 29 条関係）
保有個人データに関する事項の公表等（第 22 条関係）
（1）保有個人データに関する事項の本人への周知（第 22 条第１項関係）
第 22 条（第１項）
１

受信者情報取扱事業者は、放送受信者等の保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）に置かなければならない。
一

当該受信者情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名二

全ての放送受信者等の保有個人データの利用目的（第９条第４項第１号から第３号までに該当する場合を除く。
）
三

次項の規定による求め又は次条第１項（同条第５項において準用する場合を含

む。）、第 24 条第１項若しくは第 25 条第１項、第３項若しくは第５項の規定による請求に応じる手続（第 28 条第２項の規定により手数料の額を定めたときは、その手数料の額を含む。）
四 第 12 条の規定により保有個人データの安全管理のために講じた措置（本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。）
五

当該受信者情報取扱事業者が行う放送受信者等の保有個人データの取扱いに関す

る苦情の申出先六

当該受信者情報取扱事業者が認定個人情報保護団体の対象事業者である場合にあっては、当該認定個人情報保護団体の名称及び苦情の解決の申出先
受信者情報取扱事業者は、保有個人データについて、次の①から⑤までの情報を本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。以下同じ。
）（※１）に置かなければならない。

159

３

①

受信者情報取扱事業者の義務

受信者情報取扱事業者の氏名又は名称及び住所（※２）並びに法人にあっては、その代表者の氏名②

全ての保有個人データの利用目的（※３）（ただし、一定の場合（※４）を除く。
）③

保有個人データの利用目的の通知の求め又は開示等の請求（※５）に応じる手続及び保有個人データの利用目的の通知の求め又は開示の請求に係る手数料の額（定めた場合に限る。）（※６）④

保有個人データの安全管理のために講じた措置（ただし、本人の知り得る状態に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。）
受信者情報取扱事業者は、第 12 条の規定により保有個人データの安全管理のために講じた措置の内容を本人の知り得る状態に置かなければならない。
ただし、当該保有個人データの安全管理に支障を及ぼすおそれがあるものについては、その必要はない。
当該安全管理のために講じた措置は、事業の規模及び性質、保有個人データの取扱状
況（取り扱う保有個人データの性質及び量を含む。
）、保有個人データを記録した媒体等に起因するリスクに応じて、必要かつ適切な内容としなければならない。このため、当該措置の内容は受信者情報取扱事業者によって異なり、本人の知り得る状態に置く安全管理のために講じた措置の内容についても受信者情報取扱事業者によって異なる。
なお、当該安全管理のために講じた措置には、受信者情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該受信者情報取扱事業者が保有個人デー
タとして取り扱うことを予定しているものの漏えい等を防止するために講じた措置も含まれる。
本人の知り得る状態については、本人の求めに応じて遅滞なく回答する場合を含む
ため、講じた措置の概要や一部をＷｅｂサイトに掲載し、残りを本人の求めに応じて遅滞なく回答を行うといった対応も可能であるが、例えば、本ガイドラインに沿って安全管理措置を実施しているといった内容の掲載や回答のみでは適切ではない。
【安全管理のために講じた措置として本人の知り得る状態に置く内容の事例】（※７）（基本方針の策定）
事例）個人データの適正な取扱いの確保のため、「関係法令・ガイドライン等の遵守」、「質問及び苦情処理の窓口」等についての基本方針を策定（個人データの取扱いに係る規律の整備）事例）取得、利用、保存、提供、削除・廃棄等の段階ごとに、取扱方法、責任者・担当者及びその任務等について個人データの取扱規程を策定

160

３

受信者情報取扱事業者の義務（組織的安全管理措置）
事例１）個人データの取扱いに関する責任者を設置するとともに、個人データを取り扱う従業者及び当該従業者が取り扱う個人データの範囲を明確化し、法や取扱規程に違反している事実又は兆候を把握した場合の責任者への報告連
絡体制を整備
事例２）個人データの取扱状況について、定期的に自己点検を実施するとともに、他部署や外部の者による監査を実施（人的安全管理措置）
事例１）個人データの取扱いに関する留意事項について、従業者に定期的な研修を実
施
事例２）個人データについての秘密保持に関する事項を就業規則に記載（物理的安全管理措置）
事例１）個人データを取り扱う区域において、従業者の入退室管理及び持ち込む機器等の制限を行うとともに、権限を有しない者による個人データの閲覧を防止する措置を実施
事例２）個人データを取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するための措置を講じるとともに、事業所内の移動を含め、当該機器、電子媒体等を持ち運ぶ場合、容易に個人データが判明しないよう措置を実施（技術的安全管理措置）
事例１）アクセス制御を実施して、担当者及び取り扱う個人情報データベース等の範囲を限定
事例２）個人データを取り扱う情報システムを外部からの不正アクセス又は不正ソ
フトウェアから保護する仕組みを導入（外的環境の把握）
事例）個人データを保管しているＡ国における個人情報の保護に関する制度を把握した上で安全管理措置を実施（※８）
【本人の知り得る状態に置くことにより支障を及ぼすおそれがあるものの事例】（※９）
事例１）個人データが記録された機器等の廃棄方法、盗難防止のための管理方法
事例２）個人データ管理区域の入退室管理方法
事例３）アクセス制御の範囲、アクセス者の認証手法等
事例４）不正アクセス防止措置の内容等⑤

保有個人データの取扱いに関する苦情の申出先（例） 苦情を受け付ける担当窓口名・係名、郵送用住所、受付電話番号その他の苦情申出先（受信者情報取扱事業者が認定個人情報保護団体の対象事業者である

161

３

受信者情報取扱事業者の義務場合は、その団体の名称及び苦情解決の申出先を含む。
）※１「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）」とは、Ｗｅｂサイトへの掲載、パンフレットの配布、本人の求めに応じて遅滞なく回答を行うこと等、本人が知ろうとすれば、知ることができる状態に置くことをいい、常にその時点での正確な内容を本人の知り得る状態に置かなければならない。必ずしもＷｅｂサイトへの掲載、又は事務所等の窓口等へ掲示すること等が継続的に行われることまでを必要とするものではないが、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。
なお、普段から問合せ対応が多い受信者情報取扱事業者において、

Ｗ

ｅｂサイトへ継続的に掲載する方法は、「本人が容易に知り得る状態」（37-2（オプトアウトによる第三者提供）参照）及び「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）」の両者の趣旨に合致する方法である。
【本人の知り得る状態に該当する事例】
事例１）

問合せ窓口を設け、問合せがあれば、口頭又は文書で回答できるよう体制を構築しておく場合
事例２） 店舗にパンフレットを備え置く場合
事例３）

電子商取引において、商品を紹介するＷｅｂサイトに問合せ

先の電子メールアドレスを表示する場合※２

受信者情報取扱事業者が外国に所在する場合は、当該外国（本邦の域外にある国又は地域）の名称を含む。
※３

利用目的に第三者提供が含まれる場合は、その旨も明らかにしなければならない。
※４ 「一定の場合」とは、第９条第 4 項第１号から第３号までに掲げる次の場合をいう（3-3-6（利用目的の通知等をしなくてよい場合）参照）。
ア）

利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
イ）

利用目的を本人に通知し、又は公表することにより当該受信者情報取扱事業者の権利又は利益が侵害されるおそれがある場合
ウ）

国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であり、協力する民間企業等が国の機関等から受け取った個人情報の利用目的を本人に通知し、又は公表することにより、当該事務の遂行に支障を及ぼすおそれがある場合

162

３

受信者情報取扱事業者の義務※５ 「開示等の請求」とは、保有個人データの開示（3-9-2（保有個人データの開示）参照）、保有個人データの内容の訂正、追加若しくは削除（3-9-4（保有個人データの訂正等）参照）、保有個人データの利用の停止若しくは消去又は保有個人データの第三者への提供の停止（3-9-5（保有個人データの利用停止等）参照）、第三者提供記録の開示（3-9-3（第三者提供記録の開示））の請求をいう。
※６

手数料の額を定める場合は、実費を勘案して合理的であると認められる範囲内において、定めなければならない（3-9-8（手数料）参照）。
※７

第 22 条第１項第４号の規定により本人の知り得る状態に置く必要があるのは保有個人データの安全管理のために講じた措置であるが、これに代えて、個人データの安全管理のために講じた措置について本人の知り得る状態に置くことは妨げられない。なお、本ガイドラインでは、個人データの安全管理のために講じた措置についての事例を記載している。
安全管理措置の事例について、詳細は「10（別添）講ずべき安全管理措置の内容」を参照のこと。ただし、上記事例も含め、掲げられている事例の内容の全てを本人の知り得る状態に置かなければならないわけではなく、また、本人の知り得る状態に置かなければならないものは事例の内容に限られない。本人の適切な理解と関与を促す観点から、事業の規模及び性質、保有個人データの取扱状況等に応じて、上記事例以上に詳細な内容の掲載や回答とすることは、より望ましい対応である。
※８

外国（本邦の域外にある国又は地域）の名称については、必ずしも正式名称を求めるものではないが、本人が合理的に認識できると考えられる形で情報提供を行う必要がある。また、本人の適切な理解と関与を促す観点から、保有個人データを取り扱っている外国の制度についても、本人の知り得る状態に置くといった対応が望ましい。
※９ 例えば、【安全管理のために講じた措置として本人の知り得る状態に置く
内容の事例】にあるような、「盗難又は紛失等を防止するための措置を講じる」、「外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入」といった内容のみでは、本人の知り得る状態に置くことにより保
有個人データの安全管理に支障を及ぼすおそれがあるとはいえないが、その具体的な方法や内容については、本人の知り得る状態に置くことにより保有個人データの安全管理に支障を及ぼすおそれがあると考えられる。しかしながら、何をもって安全管理に支障を及ぼすおそれがあるかについて
は、取り扱われる個人情報の内容、個人情報の取扱いの態様等によって様々であり、事業の規模及び性質、保有個人データの取扱状況等に応じて判断
される。

163

３

受信者情報取扱事業者の義務（参考）
法第 32 条（第１項～第３項）
１

個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）に置かなければならない。
一

当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代

表者の氏名
二

全ての保有個人データの利用目的（第 21 条第４項第１号から第３号までに該当する場合を除く。
）
三

次項の規定による求め又は次条第１項（同条第５項において準用する場合を含む。
）、第 34 条第１項若しくは第 35 条第１項、第３項若しくは第５項の規定による請求に応じる手続（第 38 条第２項の規定により手数料の額を定めたときは、その手数料の額を含む。
）
四前三号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの
２

個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。
ただし、次の各号のいずれかに該当する場合は、この限りでない。
一

前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場

合二 第 21 条第４項第１号から第３号までに該当する場合
３

個人情報取扱事業者は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

政令第 10 条
法第 32 条第１項第４号の政令で定めるものは、次に掲げるものとする。
一法第 23 条の規定により保有個人データの安全管理のために講じた措置（本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。
）
二

当該個人情報取扱事業者が行う保有個人データの取扱いに関する苦情の申出先

三

当該個人情報取扱事業者が認定個人情報保護団体の対象事業者である場合にあっては、当該認定個人情報保護団体の名称及び苦情の解決の申出先（2）保有個人データの利用目的の通知（第 22 条第２項、第３項関係）

164

３

受信者情報取扱事業者の義務

第 22 条（第２項、第３項）
２ 受信者情報取扱事業者は、本人から、当該本人が識別される放送受信者等の保有個人
データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りでない。
一

前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場

合二３

第９条第４項第１号から第３号までに該当する場合
受信者情報取扱事業者は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
受信者情報取扱事業者は、次の①から④までの場合を除いて、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、遅滞なく、本人に通知（※）
しなければならない。
なお、通知しない旨を決定したときは、遅滞なく、その旨を本人に通知しなければならな
い。
①

上記（1）
（第 22 条第１項）の措置により、本人が識別される保有個人データの利用目的が明らかである場合②

利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（第９条第４項第１号）（3-3-6（利用目的の通知等をしなくてよい場合）参照）③

利用目的を本人に通知し、又は公表することにより当該受信者情報取扱事業者の権

利又は利益が侵害されるおそれがある場合（第９条第４項第２号）（3-3-6（利用目的の通知等をしなくてよい場合）参照）④

国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要があ

る場合であり、協力する民間企業等が国の機関等から受け取った保有個人データの利用目的を本人に通知し、又は公表することにより、当該事務の遂行に支障を及ぼすおそれがある場合（第９条第４項第３号）（3-3-6（利用目的の通知等をしなくてよい場合）
参照）※「本人に通知」については、2-15（本人に通知）を参照のこと。

165

３

受信者情報取扱事業者の義務（参考）
法第 32 条（第２項・第３項）
２

個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。
ただし、次の各号のいずれかに該当する場合は、この限りでない。
一

前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場

合二 第 21 条第４項第１号から第３号までに該当する場合
３

個人情報取扱事業者は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

保有個人データの開示（第 23 条第１項～第４項関係）
第 23 条１

本人は、受信者情報取扱事業者に対し、当該本人が識別される保有個人データの電磁的記録の提供による方法、書面の交付による方法その他当該受信者情報取扱事業者の定める方法による開示を請求することができる。

２

受信者情報取扱事業者は、前項の規定による請求を受けたときは、本人に対し、同項の規定により当該本人が請求した方法（当該方法による開示に多額の費用を要する場
合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）
により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
一

本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

二当該受信者情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
三

法令（法、個人情報の保護に関する法律施行令（平成 15 年政令第 507 号）及び規則を除く。第４項及び次条第２項において同じ。
）に違反することとなる場合
３

受信者情報取扱事業者は、第１項の規定による請求に係る保有個人データの全部若
しくは一部について開示しない旨の決定をしたとき、当該保有個人データが存在しな
いとき、又は同項の規定により本人が請求した方法による開示が困難であるときは、本人に対し、遅滞なく、その旨を通知しなければならない。

４

法令の規定により、本人に対し第２項本文に規定する方法に相当する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている場合には、当該全部又は一部の保有個人データについては、第１項及び第２項の規定は、適

166

３

受信者情報取扱事業者の義務用しない。
受信者情報取扱事業者は、本人から、当該本人が識別される保有個人データの開示（存在しないときにはその旨を知らせることを含む。
）の請求を受けたときは、本人に対し、電磁的記録の提供による方法、書面の交付による方法その他当該受信者情報取扱事業者の定める方法のうち本人が請求した方法（※１）（当該方法による開示に多額の費用を要する場合
その他の当該方法による開示が困難である場合にあっては、書面の交付による方法（※２））
により、遅滞なく、当該保有個人データを開示しなければならない（※３）
。
電磁的記録の提供による方法については、受信者情報取扱事業者がファイル形式や記録媒体などの具体的な方法を定めることができるが、開示請求等で得た保有個人データの利用等における本人の利便性向上の観点から、可読性・検索性のある形式による提供や、技術的に可能な場合には、他の事業者へ移行可能な形式による提供を含め、できる限り本人の要望に沿った形で対応することが望ましい。
【電磁的記録の提供による方法の事例】
事例１）電磁的記録を CD-ROM 等の媒体に保存して、当該媒体を郵送する方法
事例２）電磁的記録を電子メールに添付して送信する方法
事例３）会員専用サイト等のＷｅｂサイト上で電磁的記録をダウンロードしてもらう方
法【その他当該受信者情報取扱事業者の定める方法の事例】
事例１）受信者情報取扱事業者が指定した場所における音声データの視聴
事例２）受信者情報取扱事業者が指定した場所における文書の閲覧【当該方法による開示が困難である場合の事例】
事例１）本人が電磁的記録の提供による開示を請求した場合であって、受信者情報取扱事業者が当該開示請求に応じるために、大規模なシステム改修を行わなければならないような場合
事例２）本人が電磁的記録の提供による開示を請求した場合であって、書面で個人情報や帳簿等の管理を行っている小規模事業者が、電磁的記録の提供に対応することが困難な場合ただし、開示することにより次の（1）から（3）までのいずれかに該当する場合は、その全部又は一部を開示しないことができるが、これにより開示しない旨の決定をしたとき又は請求に係る保有個人データが存在しないときは、遅滞なく、その旨を本人に通知（※４）
しなければならない。また、本人が請求した方法による開示が困難であるときは、その旨を

167

３

受信者情報取扱事業者の義務

本人に通知した上で、書面の交付による方法により開示を行わなければならない。
（1） 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
保有個人データを本人に開示することにより、本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合は、当該保有個人データの全部又は一部を開示しないことができる。
（2） 受信者情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
保有個人データを本人に開示することにより、受信者情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、当該保有個人データの全部又は一部を開示しないことができる。
事例１） 同一の本人から複雑な対応を要する同一内容について繰り返し開示の請求があり、事実上問合せ窓口が占有されることによって他の問合せ対応業務が立ち行かなくなる等、業務上著しい支障を及ぼすおそれがある場合
事例２） 受信者情報取扱事業者において独自に付加した不払者情報等の開示を求められる等、業務上著しい支障を及ぼすおそれがある場合
事例３） 電磁的記録の提供にふさわしい音声・動画ファイル等のデータを、あえて書面で請求することにより、業務上著しい支障を及ぼすおそれがある場合（3） 法令（法、政令及び規則を除く。第４項及び次条第２項において同じ。）に違反することとなる場合
保有個人データを本人に開示することにより、法令（法、政令及び規則を除く。
）に違反することとなる場合は、当該保有個人データの全部又は一部を開示しないことができる。
事例） 刑法（明治 40 年法律第 45 号）第 134 条（秘密漏示罪）に違反することとなる場合
また、法令（法、政令及び規則を除く。
）の規定により、第 23 条第２項に規定する方法に相当する方法により当該本人が識別される保有個人データを開示することとされている場
合には、第 23 条第１項及び第２項の規定は適用されず、当該法令の規定が適用されることとなる（第 23 条第４項）。
なお、本人が、裁判上の訴えにより、当該本人が識別される保有個人データの開示を請求

168

３

受信者情報取扱事業者の義務する場合と本条との関係については、3-9-9（裁判上の訴えの事前請求）を参照のこと。
※１ 開示の請求を行った者から開示の方法について特に指定がなく、受信者情報取扱事業者が提示した方法に対して異議を述べなかった場合は、当該受信者情報取扱事業者が提示した方法で開示することができる。
※２ 本人が請求する方法による開示が困難な場合に、直ちに書面の交付による開示を行うのではなく、受信者情報取扱事業者が対応できる方法への変更を求めることが望ましい。また、開示の請求に際して提出すべき書面の様式において、受信者情報取扱事業者が対応できる方法や媒体等をあらかじめ示しておくといった対応も考えられる。
※３ 消費者等、本人の権利利益保護の観点からは、事業活動の特性、規模及び実態を考慮して、個人情報取得方法（取得源の種類等）を、可能な限り具体的に明記
し、本人からの求めに一層対応していくことが望ましい。
※４ 「本人に通知」については、2-15（本人に通知）を参照のこと。
（参考）
法第 33 条１

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの電磁的記録の提供による方法その他の個人情報保護委員会規則で定める方法による開示を請求することができる。

２

個人情報取扱事業者は、前項の規定による請求を受けたときは、本人に対し、同項の規定により当該本人が請求した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示すること
により次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
一

本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

二

当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場

合三３

他の法令に違反することとなる場合
個人情報取扱事業者は、第１項の規定による請求に係る保有個人データの全部又は一部について開示しない旨の決定をしたとき、当該保有個人データが存在しないとき、又は同項の規定により本人が請求した方法による開示が困難であるときは、本人に対し、遅滞なく、その旨を通知しなければならない。
４

他の法令の規定により、本人に対し第２項本文に規定する方法に相当する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている

169

３

受信者情報取扱事業者の義務場合には、当該全部又は一部の保有個人データについては、第１項及び第２項の規定は、適用しない。
規則第 30 条
法第 33 条第１項（同条第５項において準用する場合を含む。）の個人情報保護委員会規則で定める方法は、電磁的記録の提供による方法、書面の交付による方法その他当該個人情報取扱事業者の定める方法とする。

第三者提供記録の開示（第 23 条第５項、第１項～第３項関係）
3-9-3-1 第三者提供記録の定義
第 23 条（第５項）
５

第１項から第３項までの規定は、当該本人が識別される個人データに係る第 19 条第１項及び第 20 条第３項の記録（その存否が明らかになることにより公益その他の利益が害されるものとして次に掲げるものを除く。第 27 条第２項において「第三者提供記録」という。）について準用する。
一

当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの
二

当該記録の存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの
三

当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国若し

くは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉
上不利益を被るおそれがあるもの
四

当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの
第 23 条（第１項～第３項）（3-9-2（保有個人データの開示）参照）
第三者提供記録とは、第 19 条第１項及び第 20 条第３項の記録のうち、次の（1）から（4）までに掲げるものを除いたものをいう。明文又は解釈により第 19 条第１項又は第 20 条第３項の規定が適用されない場合において、これらの規定に基づくことなく作成された記録
は第三者提供記録に含まれない。
（1）当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に

170

３

受信者情報取扱事業者の義務

危害が及ぶおそれがあるもの
事例）犯罪被害者支援や児童虐待防止を目的とする団体が、加害者を本人とする個人データの提供を受けた場合に作成された記録（2）当該記録の存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの
事例）暴力団等の反社会的勢力による不当要求の被害等を防止するために、暴力団等の反社会的勢力に該当する人物を本人とする個人データの提供を受けた場合に作成された記録（3）当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国若しく
は国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの
事例）要人の警備のために、要人を本人とする行動記録等に関する個人データの提供を受けた場合に作成された記録（4）当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの
事例）警察の犯罪捜査の協力のために、事前に取得していた同意に基づき、犯罪者を本人とする個人データの提供を行った場合に作成された記録（参考）
法第 33 条（第５項）
５

第１項から第３項までの規定は、当該本人が識別される個人データに係る第 29 条第１項及び第 30 条第３項の記録（その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるものを除く。第 37 条第２項において「第三者提供記録」という。
）について準用する。

法第 33 条（第１項～第３項）（略）（3-9-2（保有個人データの開示）参照）
政令第 11 条

171３

受信者情報取扱事業者の義務法第 33 条第５項の政令で定めるものは、次に掲げるものとする。
一

当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの
二

当該記録の存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの
三

当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国若し

くは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉
上不利益を被るおそれがあるもの
四

当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの
3-9-3-2 第三者提供記録の開示の方法
第 23 条（第５項）
５

第１項から第３項までの規定は、当該本人が識別される個人データに係る第 19 条第１項及び第 20 条第３項の記録（その存否が明らかになることにより公益その他の利益が害されるものとして次に掲げるものを除く。第 27 条第２項において「第三者提供記録」という。
）について準用する。
一～四 （略）第 23 条（第１項）
１

本人は、受信者情報取扱事業者に対し、当該本人が識別される保有個人データの電磁的記録の提供による方法、書面の交付による方法その他当該受信者情報取扱事業者の定める方法による開示を請求することができる。

受信者情報取扱事業者は、本人から、当該本人が識別される個人データに係る第三者提供記録の開示（存在しないときにはその旨を知らせることを含む。）の請求を受けたときは、本人に対し、電磁的記録の提供による方法、書面の交付による方法その他当該受信者情報取扱事業者の定める方法のうち本人が請求した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）により、遅滞なく、当該第三者提供記録を開示しなければならない（3-9-2（保有個人データの開示）参照）。
受信者情報取扱事業者が第三者提供記録を本人に開示するに当たっては、法において記録事項とされている事項を本人が求める方法により開示すれば足り、それ以外の事項を開示する必要はない。例えば、契約書の代替手段による方法で記録を作成した場合には、当該契約書中、記録事項となっている事項を抽出した上で、本人が求める方法により開示すれば足り、契約書そのものを開示する必要はない。

172

３

受信者情報取扱事業者の義務（参考）
法第 33 条（第５項）
５

第１項から第３項までの規定は、当該本人が識別される個人データに係る第 29 条第１項及び第 30 条第３項の記録（その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるものを除く。第 37 条第２項において「第三者提供記録」という。
）について準用する。

法第 33 条（第１項）
１

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの電磁的記録の提供による方法その他の個人情報保護委員会規則で定める方法による開示を請求することができる。

規則第 30 条
法第 33 条第１項（同条第５項において準用する場合を含む。
）の個人情報保護委員会規則で定める方法は、電磁的記録の提供による方法、書面の交付による方法その他当該個人情報取扱事業者の定める方法とする。
3-9-3-3 第三者提供記録の不開示事由等
第 23 条（第５項）
５

第１項から第３項までの規定は、当該本人が識別される個人データに係る第 19 条第１項及び第 20 条第３項の記録（その存否が明らかになることにより公益その他の利益が害されるものとして次に掲げるものを除く。第 27 条第２項において「第三者提供記録」という。
）について準用する。
一～四 （略）第 23 条（第２項・第３項）
２

受信者情報取扱事業者は、前項の規定による請求を受けたときは、本人に対し、同項の規定により当該本人が請求した方法（当該方法による開示に多額の費用を要する場
合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）
により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
一

本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

二当該受信者情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがあ

る場合

173

３

三

受信者情報取扱事業者の義務

法令（法、個人情報の保護に関する法律施行令（平成 15 年政令第 507 号）及び規則を除く。第４項及び次条第２項において同じ。
）に違反することとなる場合
３

受信者情報取扱事業者は、第１項の規定による請求に係る保有個人データの全部若
しくは一部について開示しない旨の決定をしたとき、当該保有個人データが存在しな
いとき、又は同項の規定により本人が請求した方法による開示が困難であるときは、本人に対し、遅滞なく、その旨を通知しなければならない。

第三者提供記録を開示することにより次の（1）から（3）までのいずれかに該当する場合
は、その全部又は一部を開示しないことができるが、これにより開示しない旨の決定をしたとき又は請求に係る第三者提供記録が存在しないときは、遅滞なく、その旨を本人に通知（※）しなければならない。また、本人が請求した方法による開示が困難であるときは、その旨を本人に通知した上で、書面の交付による方法により開示を行わなければならない。
（1）本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
第三者提供記録を本人に開示することにより、本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合は、当該第三者提供記録の全部又は一部を開示しないことができる。
事例１）第三者提供記録に個人データの項目として本人が難病であることを示す内容が記載されている場合において、当該第三者提供記録を開示することにより、患者本人の心身状況を悪化させるおそれがある場合
事例２）企業の与信判断等に用いられる企業情報の一部として代表者の氏名等が提供
され、第三者提供記録が作成された場合において、当該第三者提供記録を開示することにより、提供を受けた第三者が与信判断、出資の検討、提携先・取引先の選定等を行っていることを含む秘密情報が漏えいするおそれがある場合（2）受信者情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
第三者提供記録を本人に開示することにより、受信者情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、当該第三者提供記録の全部又は一部を開示しないことができる。他の事業者と取引関係にあることが契約上秘密情報とされている場合であっても、記録事項そのものを開示することについては、直ちにこれに該当するものではなく、個別具体的に判断する必要がある。

174

３

受信者情報取扱事業者の義務事例）同一の本人から複雑な対応を要する同一内容について繰り返し開示の請求があり、事実上問合せ窓口が占有されることによって他の問合せ対応業務が立ち行かなくなる等、業務上著しい支障を及ぼすおそれがある場合（3）他の法令に違反することとなる場合
第三者提供記録を本人に開示することにより、他の法令に違反することとなる場合は、当該第三者提供記録の全部又は一部を開示しないことができる。
事例）刑法（明治 40 年法律第 45 号）第 134 条（秘密漏示罪）に違反することとなる
場合※「本人に通知」については、2-15（本人に通知）を参照のこと。

（参考）
法第 33 条（第５項）
５

第１項から第３項までの規定は、当該本人が識別される個人データに係る第 29 条第１項及び第 30 条第３項の記録（その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるものを除く。第 37 条第２項において「第三者提供記録」という。
）について準用する。

法第 33 条（第２項・第３項）
２

個人情報取扱事業者は、前項の規定による請求を受けたときは、本人に対し、同項の規定により当該本人が請求した方法（当該方法による開示に多額の費用を要する場合
その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
一

本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

二

当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある

場合
三３

他の法令に違反することとなる場合
個人情報取扱事業者は、第１項の規定による請求に係る保有個人データの全部若し

くは一部について開示しない旨の決定をしたとき、当該保有個人データが存在しない
とき、又は同項の規定により本人が請求した方法による開示が困難であるときは、本人に対し、遅滞なく、その旨を通知しなければならない。

175

３

受信者情報取扱事業者の義務

保有個人データの訂正等（第 24 条関係）
第 24 条１

本人は、受信者情報取扱事業者に対し、当該本人が識別される保有個人データの内容が事実でないときは、当該保有個人データの内容の訂正、追加又は削除（以下この条において「訂正等」という。）を請求することができる。

２

受信者情報取扱事業者は、前項の規定による請求を受けた場合には、その内容の訂正等に関して法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。

３

受信者情報取扱事業者は、第１項の規定による請求に係る保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）
を通知しなければならない。

受信者情報取扱事業者は、本人から、当該本人が識別される保有個人データに誤りがあり、事実でないという理由によって、内容の訂正、追加又は削除（※１）（以下「訂正等」という。）の請求を受けた場合は、利用目的の達成に必要な範囲で遅滞なく必要な調査を行い、その結果に基づき、原則として（※２）
、訂正等を行わなければならない。
なお、受信者情報取扱事業者は、第 24 条第２項の規定に基づき請求に係る保有個人デー
タの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。
）を本人に通知（※３）しなければならない。
また、保有個人データの内容の訂正等に関して法令（法、政令及び規則を除く。
）の規定
により特別の手続が定められている場合には、第 24 条第１項及び第２項の規定は適用されず、当該法令の規定が適用されることとなる。
なお、本人が、裁判上の訴えにより、当該本人が識別される保有個人データの訂正等を請求する場合と本条との関係については、3-9-9（裁判上の訴えの事前請求）を参照のこと。
【訂正を行う必要がない事例】
事例） 訂正等の対象が事実でなく評価に関する情報である場合※１ 「削除」とは、不要な情報を除くことをいう。
※２

利用目的からみて訂正等が必要ではない場合、保有個人データが誤りである旨の指摘が正しくない場合には、訂正等を行う必要はない。ただし、その場合には、

176

３

受信者情報取扱事業者の義務

遅滞なく、訂正等を行わない旨を本人に通知しなければならない。
※３ 「本人に通知」については、2-15（本人に通知）を参照のこと。
（参考）
法第 34 条１

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの内容が事実でないときは、当該保有個人データの内容の訂正、追加又は削除（以下この条において「訂正等」という。
）を請求することができる。

２

個人情報取扱事業者は、前項の規定による請求を受けた場合には、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。

３

個人情報取扱事業者は、第１項の規定による請求に係る保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をした
ときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。
）
を通知しなければならない。

保有個人データの利用停止等（第 25 条関係）
第 25 条１

本人は、受信者情報取扱事業者に対し、当該本人が識別される保有個人データが第５条若しくは第６条の規定に違反して取り扱われているとき、又は第８条の規定に違反して取得されたものであるときは、当該保有個人データの利用の停止又は消去（以下この条において「利用停止等」という。）を請求することができる。

２

受信者情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、
この限りでない。

３

本人は、受信者情報取扱事業者に対し、当該本人が識別される保有個人データが第17 条第１項又は第 18 条の規定に違反して第三者に提供されているときは、当該保有個人データの第三者への提供の停止を請求することができる。

４

受信者情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額

177

３

受信者情報取扱事業者の義務の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
５

本人は、受信者情報取扱事業者に対し、当該本人が識別される保有個人データを当該
受信者情報取扱事業者が利用する必要がなくなった場合、当該本人が識別される保有個人データに係る第 16 条第１項本文に規定する事態が生じた場合その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合には、当該保有個人データの利用停止等又は第三者への提供の停止を請求することができる。

６

受信者情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行わなければならない。ただし、当該保有個人データの利用停止等又は第三者への提供の停止に多額の費用を要する場合その他の利用停止等又は第三者への提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

７

受信者情報取扱事業者は、第１項若しくは第５項の規定による請求に係る保有個人
データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は第３項若しくは第５項の規定による請求に係る保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

3-9-5-1 利用停止等の要件
受信者情報取扱事業者は、次の（1）から（3）までのいずれかに該当する場合については、保有個人データの利用の停止若しくは消去（※１）（以下「利用停止等」という。
）又は第三者提供の停止を行わなければならない。
（1）法違反の場合の利用停止等
受信者情報取扱事業者は、本人から、当該本人が識別される保有個人データが、第５条の規定に違反して本人の同意なく目的外利用がされている若しくは第６条の規定に違反して不適正な利用が行われている、又は第８条の規定に違反して偽りその他不正の手段により個人情報が取得され若しくは本人の同意なく要配慮個人情報が取得されたものであるという理由によって、利用停止等の請求を受けた場合であって、その請求に

178

３

受信者情報取扱事業者の義務理由があることが判明したときは、原則として（※２）
、遅滞なく、利用停止等を行わなければならない。
（2）法違反の場合の第三者提供の停止
受信者情報取扱事業者は、本人から、当該本人が識別される保有個人データが、第 17条第１項又は第 18 条の規定に違反して本人の同意なく第三者に提供されているという理由によって、当該保有個人データの第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として（※３）、遅滞なく、第三者提供の停止を行わなければならない。
（3）第 25 条第５項の要件を満たす場合の利用停止等又は第三者提供の停止
受信者情報取扱事業者は、次の①から③までのいずれかに該当する場合については、
原則として、遅滞なく、利用停止等又は第三者提供の停止を行わなければならない。
①利用する必要がなくなった場合
受信者情報取扱事業者は、本人から、当該本人が識別される保有個人データを当該
受信者情報取扱事業者が利用する必要がなくなったという理由によって、当該保有個人データの利用停止等又は第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として、遅滞なく、利用停止等又は第三者提供の停止を行わなければならない。
「当該受信者情報取扱事業者が利用する必要がなくなった」とは、第 11 条と同様に、当該保有個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該保有個人データを保有する合理的な理由が存在しなくなった場合や利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等をいう（※４）。
【利用する必要がなくなったとして利用停止等又は第三者提供の停止が認められる
事例】
事例１）ダイレクトメールを送付するために受信者情報取扱事業者が保有していた情報について、当該受信者情報取扱事業者がダイレクトメールの送付を停止した後、本人が消去を請求した場合
事例２）電話勧誘のために受信者情報取扱事業者が保有していた情報について、当該受信者情報取扱事業者が電話勧誘を停止した後、本人が消去を請求した

179

３

受信者情報取扱事業者の義務場合
事例３）キャンペーンの懸賞品送付のために受信者情報取扱事業者が保有していた
当該キャンペーンの応募者の情報について、懸賞品の発送が終わり、不着対応等のための合理的な期間が経過した後に、本人が利用停止等を請求した場合
事例４）採用応募者のうち、採用に至らなかった応募者の情報について、再応募への対応等のための合理的な期間が経過した後に、本人が利用停止等を請求した場合②当該本人が識別される保有個人データに係る第 16 条第１項本文に規定する事態が生じた場合
受信者情報取扱事業者は、本人から、当該本人が識別される保有個人データに係る第 16 条第１項本文に規定する事態が生じたという理由によって、当該保有個人デー
タの利用停止等又は第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として、遅滞なく、利用停止等又は第三者への提供の停止を行わなければならない。
「当該本人が識別される保有個人データに係る第 16 条第１項本文に規定する事態が生じた」とは、第 16 条第１項本文に定める漏えい等事案が生じたことをいう。第 16条第１項本文に定める漏えい等事案については、3-6-3-1（報告対象となる事態）参照のこと。
③当該本人の権利又は正当な利益が害されるおそれがある場合
受信者情報取扱事業者は、本人から、当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがあるという理由によって、当該保有個人データの利用停止等又は第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として、遅滞なく、利用停止等又は第三者への提供の停止を行わなければならない。
「本人の権利又は正当な利益が害されるおそれがある場合」とは、法目的に照らして保護に値する正当な利益（※５）が存在し、それが侵害されるおそれ（※６）がある場合をいう。
【本人の権利又は正当な利益が害されるおそれがあるとして利用停止等又は第三者提供の停止が認められると考えられる事例】
事例１）ダイレクトメールの送付を受けた本人が、送付の停止を求める意思を表示

180

３

受信者情報取扱事業者の義務したにもかかわらず、受信者情報取扱事業者がダイレクトメールを繰り返し送付していることから、本人が利用停止等を請求する場合
事例２）電話勧誘を受けた本人が、電話勧誘の停止を求める意思を表示したにもかかわらず、受信者情報取扱事業者が本人に対する電話勧誘を繰り返し行っていることから、本人が利用停止等を請求する場合
事例３）受信者情報取扱事業者が、安全管理措置を十分に講じておらず、本人を識別する保有個人データが漏えい等するおそれがあることから、本人が利用停止等を請求する場合
事例４）受信者情報取扱事業者が、第 17 条第１項に違反して第三者提供を行っており、本人を識別する保有個人データについても本人の同意なく提供される
おそれがあることから、本人が利用停止等を請求する場合
事例５）受信者情報取扱事業者が、退職した従業員の情報を現在も自社の従業員であるようにＷｅｂサイト等に掲載し、これによって本人に不利益が生じる
おそれがあることから、本人が利用停止等を請求する場合【本人の権利又は正当な利益が害されるおそれがないとして利用停止等又は第三者提供の停止が認められないと考えられる事例】
事例１）電話の加入者が、電話料金の支払いを免れるため、電話会社に対して課金に必要な情報の利用停止等を請求する場合
事例２）インターネット上で匿名の投稿を行った者が、発信者情報開示請求による発信者の特定やその後の損害賠償請求を免れるため、プロバイダに対してその保有する接続認証ログ等の利用停止等を請求する場合
事例３）過去に利用規約に違反したことを理由としてサービスの強制退会処分を受けた者が、再度当該サービスを利用するため、当該サービスを提供する受信者情報取扱事業者に対して強制退会処分を受けたことを含むユーザー
情報の利用停止等を請求する場合
事例４）過去の信用情報に基づく融資審査により新たな融資を受けることが困難になった者が、新規の借入れを受けるため、当該信用情報を保有している受信者情報取扱事業者に対して現に審査に必要な信用情報の利用停止等又は第三者提供の停止を請求する場合※１ 「消去」とは、保有個人データを保有個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む（3-4-1（データ内容の正確性の確保等）参照）。
※２ 法違反である旨の指摘が正しくない場合は、利用停止等を行う必要はない。

181

３

※３

受信者情報取扱事業者の義務法違反である旨の指摘が正しくない場合は、第三者提供を停止する必要はない。
※４

請求の対象となっている保有個人データにつき、複数の利用目的がある場

合、全ての利用目的との関係で「利用する必要がなくなった」かどうかを判断する必要がある。
※５ 「正当」かどうかは、相手方である受信者情報取扱事業者との関係で決まるものであり、受信者情報取扱事業者に本人の権利利益の保護の必要性を上回る
特別な事情がない限りは、受信者情報取扱事業者は請求に応じる必要がある。
本人の権利利益の保護の必要性を上回る特別な事情があるかどうかを判断するに当たっては、例えば、以下のような事情を考慮することになる。
（ア）本人又は第三者の生命、身体、財産その他の権利利益を保護するために当該保有個人データを取り扱う事情（イ）法令を遵守するために当該保有個人データを取り扱う事情（ウ）契約に係る義務を履行するために当該保有個人データを取り扱う事情（エ）違法又は不当な行為を防止するために当該保有個人データを取り扱う事
情（オ）法的主張、権利行使又は防御のために当該保有個人データを取り扱う事
情※６ 「おそれ」は、一般人の認識を基準として、客観的に判断する。

3-9-5-2 本人の権利利益の侵害を防止するために必要な限度
3-9-5-1（利用停止等の要件）の（3）に該当する場合、受信者情報取扱事業者は、本人の権利利益の侵害を防止するために必要な限度で、利用停止等又は第三者提供の停止を行わなければならない。
【本人からの請求に対し、本人の権利利益の侵害を防止するために必要な限度での対応として考えられる事例】
事例１）本人から保有個人データの全てについて、利用停止等が請求された場合に、一部の保有個人データの利用停止等によって、生じている本人の権利利益の侵害のおそれを防止できるものとして、一部の保有個人データに限定して対応を行う
場合
事例２）第 17 条第１項に違反して第三者提供が行われているとして保有個人データの消去を請求された場合に、利用停止又は第三者提供の停止による対応によって、生じている本人の権利利益の侵害のおそれを防止できるものとして、利用停止又

182

３

受信者情報取扱事業者の義務は第三者提供の停止による対応を行う場合
3-9-5-3 本人の権利利益を保護するため必要なこれに代わるべき措置
3-9-5-1（利用停止等の要件）の（1）から（3）までのいずれかに該当する場合であっても、利用停止等又は第三者提供の停止を行うことが困難である場合は、本人の権利利益を保護するために必要な代替措置を講ずることによる対応が認められる。
「困難な場合」については、利用停止等又は第三者提供の停止に多額の費用を要する場合のほか、受信者情報取扱事業者が正当な事業活動において保有個人データを必要とする場
合についても該当し得る。
代替措置については、事案に応じて様々であるが、生じている本人の権利利益の侵害のおそれに対応するものであり、本人の権利利益の保護に資するものである必要がある。
【本人の権利利益を保護するため必要なこれに代わるべき措置として考えられる事例】
事例１）既に市販されている名簿の刷り直し及び回収作業に多額の費用を要するとして、名簿の増刷時の訂正を約束する場合や必要に応じて金銭の支払いをする場合
事例２）個人情報保護委員会への報告の対象となる重大な漏えい等が発生した場合において、当該本人との契約が存続しているため、利用停止等が困難であるとして、以後漏えい等の事態が生じることがないよう、必要かつ適切な再発防止策を講じる場合
事例３）他の法令の規定により保存が義務付けられている保有個人データを遅滞なく消去する代わりに、当該法令の規定による保存期間の終了後に消去することを約
束する場合
受信者情報取扱事業者は、上記により、利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は、第三者提供の停止を行ったとき若しくは第三者提供を停止しない旨の決定をしたときは、遅滞なく、その旨を本人に通知（※）しなければならない。
また、本人が、裁判上の訴えにより、当該本人が識別される保有個人データの利用停止等
又は第三者提供の停止を請求する場合と本条との関係については、3-9-9（裁判上の訴えの事前請求）を参照のこと。
なお、消費者等、本人の権利利益保護の観点からは、事業活動の特性、規模及び実態を考慮して、保有個人データについて本人から求めがあった場合には、自主的に利用停止等又は第三者提供の停止に応じる等、本人からの求めにより一層対応していくことが望ましい。
※「本人に通知」については、2-15（本人に通知）を参照のこと。

183

３

受信者情報取扱事業者の義務（参考）
法第 35 条１

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第 18条若しくは第 19 条の規定に違反して取り扱われているとき、又は第 20 条の規定に違反して取得されたものであるときは、当該保有個人データの利用の停止又は消去（以下この条において「利用停止等」という。
）を請求することができる。

２

個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

３

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第 27条第１項又は第 28 条の規定に違反して第三者に提供されているときは、当該保有個人データの第三者への提供の停止を請求することができる。

４

個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

５

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データを当該個
人情報取扱事業者が利用する必要がなくなった場合、当該本人が識別される保有個人
データに係る第 26 条第１項本文に規定する事態が生じた場合その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合には、当該保有個人データの利用停止等又は第三者への提供の停止を請求することができる。

６

個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度
で、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行わなければならない。ただし、当該保有個人データの利用停止等又は第三者への提供の停止に
多額の費用を要する場合その他の利用停止等又は第三者への提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

７

個人情報取扱事業者は、第１項若しくは第５項の規定による請求に係る保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わ

184

３

受信者情報取扱事業者の義務ない旨の決定をしたとき、又は第３項若しくは第５項の規定による請求に係る保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

理由の説明（第 26 条関係）
第 26 条
受信者情報取扱事業者は、第 22 条第３項、第 23 条第３項（同条第５項において準用する場合を含む。）、第 24 条第３項又は前条第７項の規定により、本人から求められ、又は請求された措置の全部又は一部について、その措置をとらない旨を通知する場合
又はその措置と異なる措置をとる旨を通知する場合には、本人に対し、その理由を説明するよう努めなければならない。
受信者情報取扱事業者は、保有個人データの利用目的の通知の求め、保有個人データの開示、訂正等、利用停止等若しくは第三者提供の停止に関する請求、又は第三者提供記録の開示に関する請求（以下「開示等の請求等」という。）に係る措置の全部又は一部について、その措置をとらない旨又はその措置と異なる措置をとる旨を本人に通知（※）する場合は、併せて、本人に対して、その理由を説明するように努めなければならない。
※「本人に通知」については、2-15（本人に通知）を参照のこと。

（参考）
法第 36 条
個人情報取扱事業者は、第 32 条第３項、第 33 条第３項（同条第５項において準用する場合を含む。）、第 34 条第３項又は前条第７項の規定により、本人から求められ、又は請求された措置の全部又は一部について、その措置をとらない旨を通知する場合
又はその措置と異なる措置をとる旨を通知する場合には、本人に対し、その理由を説明するよう努めなければならない。

開示等の請求等に応じる手続（第 27 条関係）
第 27 条１

受信者情報取扱事業者は、第 22 条第２項の規定による求め又は第 23 条第１項（同条第５項において準用する場合を含む。次条第１項及び第 29 条において同じ。）、第 24条第１項若しくは第 25 条第１項、第３項若しくは第５項の規定による請求（以下この

185

３

受信者情報取扱事業者の義務条において「開示等の請求等」という。
）に関し、その求め又は請求を受け付ける方法
として次の各号に掲げるものを定めることができる。この場合において、本人は、当該方法に従って、開示等の請求等を行わなければならない。
一

開示等の請求等の申出先

二

開示等の請求等に際して提出すべき書面（電磁的記録を含む。
）の様式その他の開示等の請求等の方式
三

開示等の請求等をする者が本人又は第３項に規定する代理人であることの確認の方法
四２

次条第１項の手数料の徴収方法
受信者情報取扱事業者は、本人に対し、開示等の請求等に関し、その対象となる保有個人データ又は第三者提供記録を特定するに足りる事項の提示を求めることができる。この場合において、受信者情報取扱事業者は、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データ又は当該第三者提供記録の特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。
３

開示等の請求等は、次に掲げる代理人によってすることができる。
未成年者又は成年被後見人の法定代理人

二

開示等の請求等をすることにつき本人が委任した代理人

４

一

受信者情報取扱事業者は、前三項の規定に基づき開示等の請求等に応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。

受信者情報取扱事業者は、開示等の請求等（※１）において、これを受け付ける方法として次の（1）から（4）までの事項を定めることができる。
（1）開示等の請求等の申出先（例）担当窓口名・係名、郵送先住所、受付電話番号、受付 FAX 番号、電子メールアドレ
ス等（2）開示等の請求等に際して提出すべき書面（電磁的記録を含む。
）の様式、その他の開示等の請求等の受付方法（例）郵送、FAX、電子メールやＷｅｂサイト等のオンラインで受け付ける等（3）開示等の請求等をする者が本人又はその代理人（①未成年者又は成年被後見人の法定代理人、②開示等の請求等をすることにつき本人が委任した代理人）であることの確認の方法（※２）

186

３

受信者情報取扱事業者の義務（4）保有個人データの利用目的の通知又は保有個人データの開示をする際に徴収する手数料の徴収方法ただし、開示等の請求等を受け付ける方法を定めるに当たっては、当該手続が、事業の性質、保有個人データの取扱状況、開示等の請求等の受付方法等に応じて適切なものになるよ
う配慮するとともに、必要以上に煩雑な書類を書かせたり、請求等を受け付ける窓口を他の業務を行う拠点とは別にいたずらに不便な場所に限定したりする等、本人に過重な負担を課するものとならないよう配慮しなければならない。
また、開示等の請求等を受け付ける方法を定めた場合には、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）に置いておかなければならない（3-9-1（保有個人データに関する事項の公表等）参照）。
「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）」とは、本人が知ろうとすれば、知ることができる状態に置くことをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならないが、開示等の請求等を行おうとする本人がその手続を把握できるようにしておくことが重要であり、例えば、Ｗｅｂサイトへの掲載による場合、本人が簡単な操作によって該当箇所へ到達でき、円滑に請求等を行えるようにしておくことが望ましい。また、「本人の求めに応じて遅滞なく回答する」ことによって対応する場合には、その前提として、少なくとも本人が簡単な操作によって求めを行うことができるようにすることが望ましい。
なお、受信者情報取扱事業者が、開示等の請求等を受け付ける方法を合理的な範囲で定めたときは、本人は、当該方法に従って開示等の請求等を行わなければならず、当該方法に従わなかった場合は、受信者情報取扱事業者は当該開示等の請求等を拒否することができる（※３）
。
また、第 27 条第２項前段は、本人に対し、開示を請求する保有個人データ又は第三者提供記録の範囲の一部に限定する義務を課すものではなく、また、受信者情報取扱事業者に対し、本人が開示を請求する範囲を限定させる権利を認めるものでもない。
受信者情報取扱事業者は、円滑に開示等の手続が行えるよう、本人に対し、開示等の請求等の対象となる当該本人が識別される保有個人データ又は第三者提供記録の特定に必要な事項（住所、ＩＤ、パスワード、会員番号等）の提示を求めることができる。なお、その際には、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データ
又は第三者提供記録の特定に資する情報を提供するなど、本人の利便性を考慮しなければならない。
※１ 「開示等の請求等」とは、保有個人データの利用目的の通知の求め（3-9-1（保有個人データに関する事項の公表等）参照）、保有個人データの開示（3-9-2（保有個人データの開示）参照）、訂正等（3-9-4（保有個人データの訂正等）参照）、

187

３

受信者情報取扱事業者の義務

利用停止等若しくは第三者提供の停止（3-9-5（保有個人データの利用停止等）参照）、又は第三者提供記録の開示（3-9-3（第三者提供記録の開示）参照）の請求をいう。
※２ 確認の方法は、次のような事例が考えられるが、事業の性質、保有個人データの取扱状況、開示等の請求等の受付方法等に応じて、適切なものでなければならず、本人確認のために事業者が保有している個人データに比して必要以上に多くの情報を求めないようにするなど、本人に過重な負担を課するものとならないよ
う配慮しなくてはならない。
なお、代理人による来所や送付等の場合にあっては、確認書類として、本人及び代理人についての次の事例に示す書類等のほか、代理人について、代理権を与える旨の委任状（親権者が未成年者の法定代理人であることを示す場合は、本人及び代理人が共に記載され、その続柄が示された戸籍謄抄本、住民票の写し。また、成年後見人が成年被後見人の法定代理人であることを示す場合は、登記事項証明書）が考えられる。
事例１）来所の場合：運転免許証、健康保険の被保険者証、個人番号カード（マイナンバーカード）表面、旅券（パスポート）、在留カード、特別永住者証明、年金手帳、印鑑証明書と実印
事例２）オンラインの場合：あらかじめ本人が受信者情報取扱事業者に対して登録済みの ID とパスワード、公的個人認証による電子署名
事例３）電話の場合：あらかじめ本人が受信者情報取扱事業者に対して登録済
みの登録情報（生年月日等）、コールバック
事例４）送付（郵送、FAX 等）の場合：運転免許証や健康保険の被保険者証等の公的証明書のコピーの送付を顧客等から受け、当該公的証明書のコピーに記載された顧客等の住所に宛てて文書を書留郵便により送付※３ 開示等の請求等を受け付ける方法を定めない場合には、自由な申請を認めることとなるので注意が必要である。
（参考）
法第 37 条１

個人情報取扱事業者は、第 32 条第２項の規定による求め又は第 33 条第１項（同条第５項において準用する場合を含む。次条第１項及び第 39 条において同じ。
）、第 34 条
第１項若しくは第 35 条第１項、第３項若しくは第５項の規定による請求（以下この条及び第 54 条第１項において「開示等の請求等」という。）に関し、政令で定めるところ
により、その求め又は請求を受け付ける方法を定めることができる。この場合において、本人は、当該方法に従って、開示等の請求等を行わなければならない。

２

個人情報取扱事業者は、本人に対し、開示等の請求等に関し、その対象となる保有個

188

３

受信者情報取扱事業者の義務

人データ又は第三者提供記録を特定するに足りる事項の提示を求めることができる。
この場合において、個人情報取扱事業者は、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データ又は当該第三者提供記録の特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。
３

開示等の請求等は、政令で定めるところにより、代理人によってすることができる。

４

個人情報取扱事業者は、前三項の規定に基づき開示等の請求等に応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。

政令第 12 条
法第 37 条第１項の規定により個人情報取扱事業者が開示等の請求等を受け付ける方法として定めることができる事項は、次に掲げるとおりとする。
一

開示等の請求等の申出先

二

開示等の請求等に際して提出すべき書面（電磁的記録を含む。第 35 条第 1 項及び第 40 条第３項において同じ。）の様式その他の開示等の請求等の方式
三

開示等の請求等をする者が本人又は次条に規定する代理人であることの確認の方法
四法第 38 条第１項の手数料の徴収方法

政令第 13 条
法第 37 条第３項の規定により開示等の請求等をすることができる代理人は、次に掲
げる代理人とする。
一

未成年者又は成年被後見人の法定代理人

二

開示等の請求等をすることにつき本人が委任した代理人

手数料（第 28 条関係）
第 28 条１

受信者情報取扱事業者は、第 22 条第２項の規定による利用目的の通知を求められたとき又は第 23 条第１項の規定による開示の請求を受けたときは、当該措置の実施に関し、手数料を徴収することができる。

２

受信者情報取扱事業者は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならな
い。

受信者情報取扱事業者は、保有個人データの利用目的の通知（第 22 条第２項）を求めら

189

３

受信者情報取扱事業者の義務れ、又は保有個人データの開示の請求（第 23 条第１項）若しくは第三者提供記録の開示の請求（第 23 条第５項において準用する同条第１項）を受けたときは、当該措置の実施に関し、手数料の額を定め、これを徴収することができる。
なお、当該手数料の額を定めた場合には、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）（※）に置いておかなければならない（第 22 条第１項第３号）。
また、手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。
※「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」については、3-9-1（保有個人データに関する事項の公表等）を参照のこと。
（参考）
法第 38 条１

個人情報取扱事業者は、第 32 条第２項の規定による利用目的の通知を求められたとき又は第 33 条第１項の規定による開示の請求を受けたときは、当該措置の実施に関し、手数料を徴収することができる。

２

個人情報取扱事業者は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。

裁判上の訴えの事前請求（第 29 条関係）
第 29 条１

本人は、第 23 条第１項、第 24 条第１項又は第 25 条第１項、第３項若しくは第５項の規定による請求に係る訴えを提起しようとするときは、その訴えの被告となるべき者に対し、あらかじめ、当該請求を行い、かつ、その到達した日から２週間を経過した後でなければ、その訴えを提起することができない。ただし、当該訴えの被告となるべき者がその請求を拒んだときは、この限りでない。

２

前項の請求は、その請求が通常到達すべきであった時に、到達したものとみなす。

３

前二項の規定は、第 23 条第１項、第 24 条第１項又は第 25 条第１項、第３項若しくは第５項の規定による請求に係る仮処分命令の申立てについて準用する。

自己が識別される保有個人データの開示（※１）
、訂正等（※２）、利用停止等（※３）若しくは第三者提供の停止（※４）又は自己が識別される個人データに係る第三者提供記録の開示（※５）の受信者情報取扱事業者に対する請求について裁判上の訴えを提起しようとするときは、あらかじめ裁判外において当該請求を受信者情報取扱事業者に対して行い、かつ、
当該請求が当該受信者情報取扱事業者に到達した日から２週間を経過した後でなければ、

190

３

受信者情報取扱事業者の義務

当該訴えを提起することができない（※６、※７）。
ただし、受信者情報取扱事業者が当該裁判外の請求を拒んだとき（※８）は、２週間を経過する前に、当該請求に係る裁判上の訴えを提起することができる。
※１ 保有個人データの開示については、3-9-2（保有個人データの開示）を参照のこと。
※２ 保有個人データの訂正等とは、保有個人データの訂正、追加又は削除のことをいう（3-9-4（保有個人データの訂正等）参照）。
※３ 保有個人データの利用停止等とは、保有個人データの利用の停止又は消去のことをいう（3-9-5（保有個人データの利用停止等）参照）。
※４ 保有個人データの第三者提供の停止については、3-9-5（保有個人データの利用停止等）を参照のこと。
※５ 第三者提供記録の開示については、3-9-3（第三者提供記録の開示）を参照のこと。
※６ 例えば、本人から受信者情報取扱事業者に対する保有個人データの開示請求が４月１日に到達した場合には、本人が当該請求に係る裁判上の訴えを提起することができるのは、当該到達日から２週間が経過した日（４月 16 日）以降となる。
※７ 自己が識別される保有個人データの開示、訂正等、利用停止等若しくは第三者提供の停止又は自己が識別される個人データに係る第三者提供記録の開示について仮処分命令を申し立てるときも、同様に、あらかじめ受信者情報取扱事業者に対し、これらの請求を行い、かつ、当該請求が当該受信者情報取扱事業者に到達した日から２週間を経過した後でなければ、当該仮処分命令を申し立てることができない。
※８ 「当該裁判外の請求を拒んだとき」とは、第 23 条第３項（同条第５項において準用する場合を含む。）、第 24 条第３項及び第 25 条第７項に掲げる場合のほか、
受信者情報取扱事業者が当該請求を行った者に対して特に理由を説明することな
く単に当該請求を拒む旨を通知した場合等も含まれる。
（参考）
法第 39 条１

本人は、第 33 条第１項、第 34 条第１項又は第 35 条第１項、第３項若しくは第５項の規定による請求に係る訴えを提起しようとするときは、その訴えの被告となるべき者に対し、あらかじめ、当該請求を行い、かつ、その到達した日から２週間を経過した後でなければ、その訴えを提起することができない。ただし、当該訴えの被告となるべき者がその請求を拒んだときは、この限りでない。

２

前項の請求は、その請求が通常到達すべきであった時に、到達したものとみなす。

191

３

３

受信者情報取扱事業者の義務

前二項の規定は、第 33 条第１項、第 34 条第１項又は第 35 条第１項、第３項若しくは第５項の規定による請求に係る仮処分命令の申立てについて準用する。

個人情報の取扱いに関する苦情処理（第 30 条関係）
第 30 条１

受信者情報取扱事業者は、放送受信者等の個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。

２

受信者情報取扱事業者は、前項の目的を達成するために必要な体制の整備に努めなければならない。

受信者情報取扱事業者は、個人情報の利用、提供、開示又は訂正等に関する苦情その他の
個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
また、苦情の適切かつ迅速な処理を行うに当たり、苦情処理窓口の設置や苦情処理の手順を定める等必要な体制の整備に努めなければならない（※１）
。
「適切かつ迅速な処理」の具体的な内容を全ての受信者情報取扱事業者について一律に定めることは困難であり、個別具体的に判断する必要があるが、少なくとも、以下の場合には、適切かつ迅速に措置を行っているとはいえないと考えられる。

①

苦情に対する対応窓口を設けていない場合②

苦情に対する対応窓口が設けられていても、その連絡先や受付時間等を一般に明らかにしていない場合③

苦情に対する対応窓口の連絡先や受付時間等が一般に明らかにされていても、実際にはその対応窓口がほとんど利用できないような場合（例えば、電話窓口に頻繁に電話しても繋がらない場合や電子メールによる相談窓口に電子メールで繰り返し相談しても連絡がない場合）
もっとも、無理な要求にまで応じなければならないものではない。
なお、受信者情報取扱事業者は、保有個人データの取扱いに関する苦情の申出先（受信者
情報取扱事業者が認定個人情報保護団体の対象事業者である場合は、その団体の名称及び苦情解決の申出先を含む。
）について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）（※２）に置かなければならない（3-9-1（保有個人データに関する事項の公表等）参照）。
なお、受信者情報取扱事業者のうち、放送法第 27 条は、日本放送協会に対し、その業務に関して申出のあった苦情その他の意見について、同法第 151 条は、有料放送事業者等に対し、有料放送の役務の提供に関する業務の方法又は料金その他の提供条件についての国内受信者からの苦情及び問い合わせについて、適切かつ迅速にこれを処理しなければならないことを定めている。

192

３

※１

受信者情報取扱事業者の義務

消費者等本人との信頼関係を構築し事業活動に対する社会の信頼を確保するた

めには、「個人情報保護を推進する上での考え方や方針（いわゆる、プライバシー
ポリシー、プライバシーステートメント等）」を策定し、それをＷｅｂサイトへの掲載又は店舗の見やすい場所への掲示等により公表し、あらかじめ、対外的に分かりやすく説明することや、委託の有無、委託する事務の内容を明らかにする等、委託処理の透明化を進めることも重要である。
※２「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」

については、3-9-1（保有個人データに関する事項の公表等）を参照のこと。
（参考）
法第 40 条１

個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。

２

個人情報取扱事業者は、前項の目的を達成するために必要な体制の整備に努めなければならない。

仮名加工情報取扱事業者等の義務（第 31 条・第 32 条関係）
【仮名加工情報の作成等（第 31 条第１項関係）】
第 31 条（第１項）
１

受信者情報取扱事業者は、仮名加工情報（仮名加工情報データベース等を構成するものに限る。以下この章において同じ。
）を作成するときは、他の情報と照合しない限り
特定の個人を識別することができないようにするために必要なものとして次に定める基準に従い、個人情報を加工しなければならない。
一

個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること（当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）。
二

個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
三

個人情報に含まれる不正に利用されることにより財産的被害が生じるおそれがある記述等を削除すること（当該記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
【仮名加工情報の安全管理措置等（第 31 条第２項、第 32 条第３項関係）】

193

３

受信者情報取扱事業者の義務

第 31 条（第２項）
２

受信者情報取扱事業者は、仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等（仮名加工情報の作成に用いられた個人情報から削除された記述等及び個人識別符号並びに前項の規定により行われた加工の方法に関する情報をいう。以下この条及び次条第３項において読み替えて準用する第７項において同じ。
）を取得したときは、削除情報等の漏えいを防止するために必要なものとして次に定める基準に従い、削除情報等の安全管理のための措置を講じなければならない。
一

削除情報等（前項の規定により行われた加工の方法に関する情報にあっては、その情報を用いて仮名加工情報の作成に用いられた個人情報を復元することができるものに限る。以下この項において同じ。
）を取り扱う者の権限及び責任を明確に定めること。
二

削除情報等の取扱いに関する規程類を整備し、当該規程類に従って削除情報等を適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果に基づき改善を図るために必要な措置を講ずること。
三

削除情報等を取り扱う正当な権限を有しない者による削除情報等の取扱いを防止するために必要かつ適切な措置を講ずること。
第 32 条（第３項）
３ 第 12 条、第 13 条、第 30 条並びに前条第７項及び第８項の規定は、仮名加工情報取扱事業者である受信者情報取扱事業者による仮名加工情報の取扱いについて準用する。この場合において、第 12 条中「漏えい、滅失又は毀損」とあるのは「漏えい」と、前条第７項中「ために、」とあるのは「ために、削除情報等を取得し、又は」と読み替えるものとする。
【利用目的の制限・公表等（第 31 条第３項・第４項関係）】
第 31 条（第３項・第４項）
３

仮名加工情報取扱事業者である受信者情報取扱事業者（個人情報取扱事業者である
受信者情報取扱事業者に限る。以下この条において同じ。
）は、第５条の規定にかかわらず、法令に基づく場合を除くほか、第４条第１項の規定により特定された利用目的の達成に必要な範囲を超えて、仮名加工情報（個人情報であるものに限る。以下この条において同じ。
）を取り扱ってはならない。

４

仮名加工情報についての第９条の規定の適用については、同条第１項及び第３項中「、本人に通知し、又は公表し」とあるのは「公表し」と、同条第４項第１号から第３号までの規定中「本人に通知し、又は公表する」とあるのは「公表する」とする。

【利用する必要がなくなった場合の消去（第 31 条第５項関係）】

194

３

受信者情報取扱事業者の義務

第 31 条（第５項）
５

仮名加工情報取扱事業者である受信者情報取扱事業者は、仮名加工情報である個人
データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除
情報等を遅滞なく消去するよう努めなければならない。この場合においては、第 10 条
及び第 11 条の規定は、適用しない。

【第三者提供の禁止等（第 31 条第６項、第 32 条第１項・第２項関係）】
第 31 条（第６項）
６

仮名加工情報取扱事業者である受信者情報取扱事業者は、第 17 条第１項及び第２項
並びに第 18 条第１項の規定にかかわらず、法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはならない。この場合において、第 17 条第９項中「前各項」とあるのは「第 31 条第６項」と、同項第３号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第 10 項中「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と、第 19 条第１項ただし書中「第 17 条第１項各号又は第９項各号のいずれか（前条第１項の規定による個人データの提供にあっては、第 17 条第１項各号のいずれか）」とあり、及び第 20 条第１項ただし書中「第 17 条第１項各号又は第９項各号のいずれか」とあるのは「法令に基づく場合又は第 17 条第９項各号のいずれか」とする。

第 32 条（第１項・第２項）
１

仮名加工情報取扱事業者である受信者情報取扱事業者は、法令に基づく場合を除く
ほか、仮名加工情報（個人情報であるものを除く。次項及び第３項において同じ。
）を第三者に提供してはならない。

２

第 17 条第９項及び第 10 項の規定は、仮名加工情報の提供を受ける者について準用する。この場合において、同条第９項中「前各項」とあるのは「第 32 条第１項」と、同項第１号中「受信者情報取扱事業者」とあるのは「仮名加工情報取扱事業者である受信者情報取扱事業者」と、同項第３号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第 10 項中「受信者情報取扱事業者」とあるのは「仮名加工情報取扱事業者である受信者情報取扱事業者」と、「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と読み替えるものとする。

【識別行為の禁止（第 31 条第７項、第 32 条第３項関係）】
第 31 条（第７項）
７

仮名加工情報取扱事業者である受信者情報取扱事業者は、仮名加工情報を取り扱うに当たっては、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別する

195

３

受信者情報取扱事業者の義務ために、当該仮名加工情報を他の情報と照合してはならない。
第 32 条（第３項）
３ 第 12 条、第 13 条、第 30 条並びに前条第７項及び第８項の規定は、仮名加工情報取扱事業者である受信者情報取扱事業者による仮名加工情報の取扱いについて準用する。この場合において、第 12 条中「漏えい、滅失又は毀損」とあるのは「漏えい」と、前条第７項中「ために、」とあるのは「ために、削除情報等を取得し、又は」と読み替えるものとする。
【本人への連絡等の禁止（第 31 条第８項、第 32 条第３項）】
第 31 条（第８項）
８

仮名加工情報取扱事業者である受信者情報取扱事業者は、仮名加工情報を取り扱うに当たっては、電話をかけ、郵便若しくは民間事業者による信書の送達に関する法律（平成 14 年法律第 99 号）第２条第６項に規定する一般信書便事業者若しくは同条第９項に規定する特定信書便事業者による同条第２項に規定する信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法（電子情報処理組織を使用する方法その他の情報通信の技術を利用する方法であって次に掲げるものをいう。
）を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用してはならない。
一

電話番号を送受信のために用いて電磁的記録を相手方の使用に係る携帯して使用する通信端末機器に送信する方法（他人に委託して行う場合を含む。
）
二

電子メールを送信する方法（他人に委託して行う場合を含む。
）

三前号に定めるもののほか、その受信をする者を特定して情報を伝達するために用いられる電気通信（電気通信事業法（昭和 59 年法律第 86 号）第２条第１号に規定する電気通信をいう。
）を送信する方法（他人に委託して行う場合を含む。
）
第 32 条（第３項）
３ 第 12 条、第 13 条、第 30 条並びに前条第７項及び第８項の規定は、仮名加工情報取扱事業者である受信者情報取扱事業者による仮名加工情報の取扱いについて準用する。この場合において、第 12 条中「漏えい、滅失又は毀損」とあるのは「漏えい」と、前条第７項中「ために、」とあるのは「ために、削除情報等を取得し、又は」と読み替えるものとする。
【適用除外（第 31 条第９項）】
第 31 条（第９項）
９

仮名加工情報、仮名加工情報である個人データ及び仮名加工情報である保有個人デ

196

３

受信者情報取扱事業者の義務

ータについては、第４条第２項、第 16 条及び第 22 条から第 29 条までの規定は、適用しない。
仮名加工情報取扱事業者等の義務については、個人情報保護委員会が定める「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」（平成 28 年
個人情報保護委員会告示第９号）に準ずることとする。
（参考）【仮名加工情報の作成等（法第 41 条第１項関係）】法第 41 条（第１項）
１

個人情報取扱事業者は、仮名加工情報（仮名加工情報データベース等を構成するものに限る。以下この章及び第６章において同じ。
）を作成するときは、他の情報と照合しない限り特定の個人を識別することができないようにするために必要なものとして個
人情報保護委員会規則で定める基準に従い、個人情報を加工しなければならない。

規則第 31 条
法第 41 条第１項の個人情報保護委員会規則で定める基準は、次のとおりとする。
一

個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること（当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）。
二

個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含
む。
）
。
三

個人情報に含まれる不正に利用されることにより財産的被害が生じるおそれがある記述等を削除すること（当該記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）。
【仮名加工情報の安全管理措置等（法第 41 条第２項、第 42 条第３項関係）】法第 41 条（第２項）
２

個人情報取扱事業者は、仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等（仮名加工情報の作成に用いられた個人情報から削除された記述等及び個人識別符号並びに前項の規定により行われた加工の方法に関する情報をいう。以下この条及び次条第３項において読み替えて準用する第７項において同じ。
）を取得したときは、削除情報等の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、削除情報等の安全管理のための措置を講じなければならない。

197

３

受信者情報取扱事業者の義務法第 42 条（第３項）
３ 第 23 条から第 25 条まで、第 40 条並びに前条第７項及び第８項の規定は、仮名加工
情報取扱事業者による仮名加工情報の取扱いについて準用する。この場合において、第23 条中「漏えい、滅失又は毀損」とあるのは「漏えい」と、前条第７項中「ために、」とあるのは「ために、削除情報等を取得し、又は」と読み替えるものとする。
規則第 32 条
法第 41 条第２項の個人情報保護委員会規則で定める基準は、次のとおりとする。
一法第 41 条第２項に規定する削除情報等（同条第１項の規定により行われた加工の方法に関する情報にあっては、その情報を用いて仮名加工情報の作成に用いられた
個人情報を復元することができるものに限る。以下この条において同じ。
）を取り扱う者の権限及び責任を明確に定めること。
二

削除情報等の取扱いに関する規程類を整備し、当該規程類に従って削除情報等を適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果に基づき改善を図るために必要な措置を講ずること。
三

削除情報等を取り扱う正当な権限を有しない者による削除情報等の取扱いを防止するために必要かつ適切な措置を講ずること。
【利用目的の制限・公表等（法第 41 条第３項・第４項関係）】法第 41 条（第３項・第４項）
３

仮名加工情報取扱事業者（個人情報取扱事業者である者に限る。以下この条において同じ。
）は、第 18 条の規定にかかわらず、法令に基づく場合を除くほか、第 17 条第１項の規定により特定された利用目的の達成に必要な範囲を超えて、仮名加工情報（個人情報であるものに限る。以下この条において同じ。
）を取り扱ってはならない。

４

仮名加工情報についての第 21 条の規定の適用については、同条第１項及び第３項中「、本人に通知し、又は公表し」とあるのは「公表し」と、同条第４項第１号から第３号までの規定中「本人に通知し、又は公表する」とあるのは「公表する」とする。

【利用する必要がなくなった場合の消去（法第 41 条第 5 項関係）】
法第 41 条（第５項）
５

仮名加工情報取扱事業者は、仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞なく消去するよう努めなければならない。この場合においては、第 22 条の規定は、適用しない。

【第三者提供の禁止等（法第 41 条第６項、第 42 条第１項・第２項関係）
】

198

３

受信者情報取扱事業者の義務法第 41 条（第６項）
６

仮名加工情報取扱事業者は、第 27 条第１項及び第２項並びに第 28 条第１項の規定にかかわらず、法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはならない。この場合において、第 27 条第５項中「前各項」とあるのは「第41 条第６項」と、同項第３号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第６項中「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と、第 29 条第１項ただし書中「第 27 条第１項各号又は第５項各号のいずれか（前条第１項の規定による個
人データの提供にあっては、第 27 条第１項各号のいずれか）」とあり、及び第 30 条第１項ただし書中「第 27 条第１項各号又は第５項各号のいずれか」とあるのは「法令に基づく場合又は第 27 条第５項各号のいずれか」とする。

法第 42 条（第１項・第２項）
１

仮名加工情報取扱事業者は、法令に基づく場合を除くほか、仮名加工情報（個人情報であるものを除く。次項及び第３項において同じ。
）を第三者に提供してはならない。

２ 第 27 条第５項及び第６項の規定は、仮名加工情報の提供を受ける者について準用する。この場合において、同条第５項中「前各項」とあるのは「第 42 条第１項」と、同項第１号中「個人情報取扱事業者」とあるのは「仮名加工情報取扱事業者」と、同項第３号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第６項中「個人情報取扱事業者」とあるのは「仮名加工情報取扱事業者」と、「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と読み替えるものとする。
【識別行為の禁止（法第 41 条第７項、第 42 条第３項関係）】法第 41 条（第７項）
７

仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たっては、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該仮名加工情報を他の情報と照合してはならない。

法第 42 条（第３項）
３ 第 23 条から第 25 条まで、第 40 条並びに前条第７項及び第８項の規定は、仮名加工
情報取扱事業者による仮名加工情報の取扱いについて準用する。この場合において、第23 条中「漏えい、滅失又は毀損」とあるのは「漏えい」と、前条第７項中「ために、」とあるのは「ために、削除情報等を取得し、又は」と読み替えるものとする。
【本人への連絡等の禁止（法第 41 条第８項、第 42 条第３項）
】

199

３

受信者情報取扱事業者の義務法第 41 条（第８項）
８

仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たっては、電話をかけ、郵便若しくは民間事業者による信書の送達に関する法律（平成 14 年法律第 99 号）第２条第６項に規定する一般信書便事業者若しくは同条第９項に規定する特定信書便事業者による同条第２項に規定する信書便により送付し、電報を送達し、ファクシミリ装置
若しくは電磁的方法（電子情報処理組織を使用する方法その他の情報通信の技術を利用する方法であって個人情報保護委員会規則で定めるものをいう。）を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用してはならない。

法第 42 条（第３項）
３ 第 23 条から第 25 条まで、第 40 条並びに前条第７項及び第８項の規定は、仮名加工
情報取扱事業者による仮名加工情報の取扱いについて準用する。この場合において、第23 条中「漏えい、滅失又は毀損」とあるのは「漏えい」と、前条第７項中「ために、」とあるのは「ために、削除情報等を取得し、又は」と読み替えるものとする。
規則第 33 条
法第 41 条第８項に規定する電磁的方法は、次に掲げる方法とする。
一

電話番号を送受信のために用いて電磁的記録を相手方の使用に係る携帯して使用する通信端末機器に送信する方法（他人に委託して行う場合を含む。
）
二

電子メールを送信する方法（他人に委託して行う場合を含む。）

三前号に定めるもののほか、その受信をする者を特定して情報を伝達するために用いられる電気通信（電気通信事業法（昭和 59 年法律第 86 号）第２条第１号に規定する電気通信をいう。）を送信する方法（他人に委託して行う場合を含む。
）【適用除外（法第 41 条第９項）】
法第 41 条（第９項）
９

仮名加工情報、仮名加工情報である個人データ及び仮名加工情報である保有個人データについては、第 17 条第２項、第 26 条及び第 32 条から第 39 条までの規定は、適用しない。

匿名加工情報取扱事業者等の義務（第 33 条～第 36 条関係）
【匿名加工情報の作成等（第 33 条第１項関係）】
第 33 条（第１項）
１

受信者情報取扱事業者は、匿名加工情報（匿名加工情報データベース等を構成するも

200

３

受信者情報取扱事業者の義務のに限る。以下この章において同じ。
）を作成するときは、特定の個人を識別すること
及びその作成に用いる個人情報を復元することができないようにするために必要なものとして次に定める基準に従い、当該個人情報を加工しなければならない。
一

個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること（当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）。
二

個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含
む。
）
。
三

個人情報と当該個人情報に措置を講じて得られる情報とを連結する符号（現に受信者情報取扱事業者において取り扱う情報を相互に連結する符号に限る。
）を削除すること（当該符号を復元することのできる規則性を有しない方法により当該個人情報と当該個人情報に措置を講じて得られる情報を連結することができない符号に置き換えることを含む。
）。
四

特異な記述等を削除すること（当該特異な記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）。
五前各号に掲げる措置のほか、個人情報に含まれる記述等と当該個人情報を含む個

人情報データベース等を構成する他の個人情報に含まれる記述等との差異その他の
当該個人情報データベース等の性質を勘案し、その結果を踏まえて適切な措置を講ずること。
【匿名加工情報の安全管理措置等（第 33 条第２項～第４項、同条第７項、第 36 条関係）】
第 33 条（第２項～第４項・第７項）
２

受信者情報取扱事業者は、匿名加工情報を作成したときは、その作成に用いた個人情報から削除した記述等及び個人識別符号並びに前項の規定により行った加工の方法に関する情報の漏えいを防止するために必要なものとして次に定める基準に従い、これらの情報の安全管理のための措置を講じなければならない。
一

加工方法等情報（匿名加工情報の作成に用いた個人情報から削除した記述等及び個人識別符号並びに前項の規定により行った加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。
）をいう。以下この条において同じ。
）を取り扱う者の権限及び責任を明確に定めること。
二

加工方法等情報の取扱いに関する規程類を整備し、当該規程類に従って加工方法等情報を適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果に基づき改善を図るために必要な措置を講ずること。
三

加工方法等情報を取り扱う正当な権限を有しない者による加工方法等情報の取扱いを防止するために必要かつ適切な措置を講ずること。

201

３

３

受信者情報取扱事業者の義務

受信者情報取扱事業者は、匿名加工情報を作成したときは、遅滞なく、インターネッ
トの利用その他の適切な方法により、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない。

４

受信者情報取扱事業者が他の個人情報取扱事業者の委託を受けて匿名加工情報を作成した場合は、当該他の個人情報取扱事業者が当該匿名加工情報に含まれる個人に関する情報の項目を前項に規定する方法により公表するものとする。この場合においては、当該公表をもって当該受信者情報取扱事業者が当該項目を公表したものとみなす。

７

受信者情報取扱事業者は、匿名加工情報を作成したときは、当該匿名加工情報の安全管理のために必要かつ適切な措置、当該匿名加工情報の作成その他の取扱いに関する苦情の処理その他の当該匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。

第 36 条
匿名加工情報取扱事業者である受信者情報取扱事業者は、匿名加工情報の安全管理のために必要かつ適切な措置、匿名加工情報の取扱いに関する苦情の処理その他の匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
【匿名加工情報の第三者提供（第 33 条第５項、第 34 条関係）】
第 33 条（第５項）
５

受信者情報取扱事業者は、匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは、インターネットの利用その他の適切な方法により、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を電子メールを送信する方法又は書面を交付する方法その他の適切な方法により明示しなければならない。

第 34 条
匿名加工情報取扱事業者である受信者情報取扱事業者は、匿名加工情報（自ら個人情報を加工して作成したものを除く。以下この章において同じ。）を第三者に提供するときは、インターネットの利用その他の適切な方法により、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を電子メールを送信する方法又は書面を交付する方法その他の適切な方法により明示しなければならない。

202

３

受信者情報取扱事業者の義務【識別行為の禁止（第 33 条第６項、第 35 条関係）】
第 33 条（第６項）
６

受信者情報取扱事業者は、匿名加工情報を作成して自ら当該匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該匿名加工情報を他の情報と照合してはならない。

第 35 条
匿名加工情報取扱事業者である受信者情報取扱事業者は、匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該個人情報から削除された記述等若しくは個人識別符号若しくは第 33 条第１項
若しくは法第 116 条第１項（同条第２項において準用する場合を含む。
）の規定により行
われた加工の方法に関する情報を取得し、又は当該匿名加工情報を他の情報と照合してはならない。
匿名加工情報取扱事業者等の義務については、個人情報保護委員会が定める「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」に準ずることとする。
なお、視聴者特定視聴履歴については、放送受信者等の趣味・嗜好等を個別的に推知させるプライバシー性の高い個人情報であり、分析の手法によっては要配慮個人情報を推知させるおそれも生じ得る。そのため、視聴者特定視聴履歴を匿名加工する場合には、適切な加工手法及び運用管理体制が求められる。具体的な加工方法等については、取扱いの実態等に応じて定められることが望ましいことから、認定個人情報保護団体が作成する個人情報保護指針や、業界団体の自主ルール等に委ねられる。
（参考）【匿名加工情報の作成等（法第 43 条第 1 項関係）】
法第 43 条（第１項）
１

個人情報取扱事業者は、匿名加工情報（匿名加工情報データベース等を構成するものに限る。以下この章及び第６章において同じ。
）を作成するときは、特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、当該個人情報を加工しなければならない。

規則第 34 条
法第 43 条第１項の個人情報保護委員会規則で定める基準は、次のとおりとする。
一

個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を

203

３

受信者情報取扱事業者の義務削除すること（当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）。
二

個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含
む。
）
。
三

個人情報と当該個人情報に措置を講じて得られる情報とを連結する符号（現に個人情報取扱事業者において取り扱う情報を相互に連結する符号に限る。
）を削除すること（当該符号を復元することのできる規則性を有しない方法により当該個人情報と当該個人情報に措置を講じて得られる情報を連結することができない符号に置き換えるこ
とを含む。
）
。
四

特異な記述等を削除すること（当該特異な記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）。
五前各号に掲げる措置のほか、個人情報に含まれる記述等と当該個人情報を含む個人

情報データベース等を構成する他の個人情報に含まれる記述等との差異その他の当該個人情報データベース等の性質を勘案し、その結果を踏まえて適切な措置を講ずること。
【匿名加工情報の安全管理措置等（法第 43 条第２項、同条第３項、同条第６項、第 46 条
関係）】法第 43 条（第２項・第３項・第６項）
２

個人情報取扱事業者は、匿名加工情報を作成したときは、その作成に用いた個人情報から削除した記述等及び個人識別符号並びに前項の規定により行った加工の方法に関する情報の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、これらの情報の安全管理のための措置を講じなければならない。

３

個人情報取扱事業者は、匿名加工情報を作成したときは、個人情報保護委員会規則で定めるところにより、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない。

６

個人情報取扱事業者は、匿名加工情報を作成したときは、当該匿名加工情報の安全管理のために必要かつ適切な措置、当該匿名加工情報の作成その他の取扱いに関する苦情の処理その他の当該匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。

法第 46 条
匿名加工情報取扱事業者は、匿名加工情報の安全管理のために必要かつ適切な措置、
匿名加工情報の取扱いに関する苦情の処理その他の匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなけれ

204

３

受信者情報取扱事業者の義務ばならない。
規則第 35 条
法第 43 条第２項の個人情報保護委員会規則で定める基準は、次のとおりとする。
一

加工方法等情報（匿名加工情報の作成に用いた個人情報から削除した記述等及び個人識別符号並びに法第 43 条第１項の規定により行った加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。
）をいう。以下この条において同じ。
）を取り扱う者の権限及び責任を明確に定めること。
二

加工方法等情報の取扱いに関する規程類を整備し、当該規程類に従って加工方法等情報を適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果に基づき改善を図るために必要な措置を講ずること。
三

加工方法等情報を取り扱う正当な権限を有しない者による加工方法等情報の取扱いを防止するために必要かつ適切な措置を講ずること。
規則第 36 条
１

法第 43 条第３項の規定による公表は、匿名加工情報を作成した後、遅滞なく、インターネットの利用その他の適切な方法により行うものとする。

２

個人情報取扱事業者が他の個人情報取扱事業者の委託を受けて匿名加工情報を作成した場合は、当該他の個人情報取扱事業者が当該匿名加工情報に含まれる個人に関する情報の項目を前項に規定する方法により公表するものとする。この場合においては、
当該公表をもって当該個人情報取扱事業者が当該項目を公表したものとみなす。

【匿名加工情報の第三者提供（法第 43 条第４項、法第 44 条関係）】
法第 43 条（第４項）
４

個人情報取扱事業者は、匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは、個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である
旨を明示しなければならない。

法第 44 条
匿名加工情報取扱事業者は、匿名加工情報（自ら個人情報を加工して作成したものを除く。以下この節において同じ。
）を第三者に提供するときは、個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個
人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。

205

３

受信者情報取扱事業者の義務

規則第 37 条
１

法第 43 条第４項の規定による公表は、インターネットの利用その他の適切な方法により行うものとする。

２

法第 43 条第４項の規定による明示は、電子メールを送信する方法又は書面を交付する方法その他の適切な方法により行うものとする。

規則第 38 条
１

前条第１項の規定は、法第 44 条の規定による公表について準用する。

２

前条第２項の規定は、法第 44 条の規定による明示について準用する。

【識別行為の禁止（法第 43 条第５項、第 45 条関係）】
法第 43 条（第５項）
５

個人情報取扱事業者は、匿名加工情報を作成して自ら当該匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該匿名加工情報を他の情報と照合してはならない。

法第 45 条
匿名加工情報取扱事業者は、匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該個人情報から削除された記述等若しくは個人識別符号若しくは第 43 条第１項若しくは第 116 条第１項
（同条第２項において準用する場合を含む。
）の規定により行われた加工の方法に関する情報を取得し、又は当該匿名加工情報を他の情報と照合してはならない。

206

４

4

適用除外

適用除外（第 37 条関係）

第 37 条
法第 57 条第１項各号に掲げる者については、その個人情報を取り扱う目的の全部又は一部がそれぞれ当該各号に規定する目的であるときは、本ガイドラインの規定は、適用しない。
報道機関（※１）が報道の用に供する目的で個人情報等を取り扱う場合など、法第 57 条
第１項各号に掲げる者が、それぞれ当該各号に規定する目的で個人情報等を取り扱う場合
は、憲法が保障する基本的人権への配慮から、本ガイドラインに定める受信者情報取扱事業者の義務等に係る規定は適用されない（※２）
。
※１ 「報道」とは、新聞、ラジオ、テレビ等を通じて社会の出来事などを広く知らせる
ことをいい、「報道機関」とは、報道を目的とする施設、組織体をいう。なお、「報道機関」の概念には、報道を業とするフリージャーナリストのような個人も含まれる。
※２ ただし、法第 57 条第１項各号に定める者についても、法第 179 条（個人情報デー
タベース等不正提供罪）は適用される点について留意が必要である。
（参考）
法第 57 条１

個人情報取扱事業者等及び個人関連情報取扱事業者のうち次の各号に掲げる者については、その個人情報等及び個人関連情報を取り扱う目的の全部又は一部がそれぞれ当該各号に規定する目的であるときは、この章の規定は、適用しない。
一

放送機関、新聞社、通信社その他の報道機関（報道を業として行う個人を含む。
）

報道の用に供する目的
著述を業として行う者

三

宗教団体 宗教活動（これに付随する活動を含む。
）の用に供する目的

四政治団体 政治活動（これに付随する活動を含む。
）の用に供する目的

２

二

著述の用に供する目的

前項第１号に規定する「報道」とは、不特定かつ多数の者に対して客観的事実を事実として知らせること（これに基づいて意見又は見解を述べることを含む。
）をいう。

３

第１項各号に掲げる個人情報取扱事業者等は、個人データ、仮名加工情報又は匿名加
工情報の安全管理のために必要かつ適切な措置、個人情報等の取扱いに関する苦情の処理その他の個人情報等の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。

207

５

5

適用の特例

適用の特例（第 38 条関係）

第 38 条
受信者情報取扱事業者である次に掲げる者については、第 22 条から第 29 条まで及び第 33 条から第 36 条までの規定は、適用しない。
一

法別表第２に掲げる法人

二

地方独立行政法人のうち地方独立行政法人法第 21 条第１号に掲げる業務を主たる目的とするもの又は同条第２号若しくは第３号（チに係る部分に限る。）に掲げる業
務を目的とするもの
法別表第２に掲げる法人等（※）における個人情報の取扱いについては、学術研究機関等としての特性を踏まえ、基本的に民間の学術研究機関等と同様、民間部門における個人情報の取扱いに係る規律が適用される。
※

法別表第２に掲げる法人等とは、次の法人等をいう。

沖縄科学技術大学院大学学園
国立研究開発法人
国立大学法人大学共同利用機関法人
独立行政法人国立病院機構
独立行政法人地域医療機能推進機構
福島国際研究教育機関
放送大学学園他方、政府の一部を構成するとみられる独立行政法人等としての特性を踏まえ、開示請求等に係る制度、行政機関等匿名加工情報の提供等については、公的部門における規律（法第５章第１節、第 75 条、第５章第４節及び第５節、第 124 条第２項、第 127 条並びに第６章から第８章まで（第 176 条、第 180 条及び第 181 条を除く。））が適用される。
また、地方独立行政法人のうち試験研究等を主たる目的とするもの等（※）における個人情報の取扱いについては、学術研究機関等としての特性を踏まえ、基本的に民間の学術研究機関等と同様、民間部門における個人情報の取扱いに係る規律が適用されるが、開示請求等に係る制度、行政機関等匿名加工情報の提供等については、上記の法別表第２に掲げる法人の業務と同様に、公的部門における規律（法第５章第１節、第 75 条、第５章第４節及び第５節、第 124 条第２項、第 127 条並びに第６章から第８章まで（第 176 条、第 180 条及び第181 条を除く。
））が適用される。
※

地方独立行政法人のうち、地方独立行政法人法第 21 条第１号に掲げる業務を主たる目的とするもの又は同条第２号若しくは第３号（チに係る部分に限る。
）に掲げる業務を目的とするものをいう。

208

５

適用の特例

（参考）
法第 58 条
個人情報取扱事業者又は匿名加工情報取扱事業者のうち次に掲げる者については、
第 32 条から第 39 条まで及び第４節の規定は、適用しない。
一

別表第２に掲げる法人

二

地方独立行政法人のうち地方独立行政法人法第 21 条第１号に掲げる業務を主たる目的とするもの又は同条第２号若しくは第３号（チに係る部分に限る。
）に掲げる業務を目的とするもの

209

６

6

学術研究機関等の責務

学術研究機関等の責務（第 39 条関係）
学術研究機関等の責務（第 39 条関係）

第 39 条
受信者情報取扱事業者である学術研究機関等は、学術研究目的で行う放送受信者等の個人情報の取扱いについて、本ガイドラインの規定を遵守するとともに、その適正を確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなけ
ればならない。
学術研究機関等（※１）が学術研究目的（※２）で個人情報を取り扱う場合には、当該個人情報の取扱いについて、この法律を遵守するとともに、学術研究機関等について法律の特例が設けられているものも含め、安全管理措置、苦情処理等、個人情報等の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
この点、個人情報の利用、取得及び提供に係る規律のうち、個人情報の目的外利用の制限（第５条）、要配慮個人情報の取得（第８条第２項）及び第三者提供の制限（第 17 条）に関しては、学術研究機関等が学術研究目的で取り扱う必要がある場合について、本人又は第三者の権利利益を不当に侵害するおそれがない場合に限って、事前の本人同意を要しない等の特例が設けられている（※３）。
一方で、個人情報の利用、取得及び提供に係る規律であっても、利用目的の特定（第４条）、
不適正利用の禁止（第６条）、適正な取得（第８条第１項）、利用目的の通知（第９条）及びデータ内容の正確性の確保（第 10 条）については、他の個人情報取扱事業者である受信者
情報取扱事業者と同様の規律が受信者情報取扱事業者である学術研究機関等にも適用されることになる。
また、個人データの安全管理措置に係る規律（第 12 条から第 16 条まで）
、保有個人デー
タの開示、訂正等及び利用停止等の請求に係る規律（第 23 条から第 30 条まで）
、仮名加工
情報取扱事業者等の義務（第 31 条及び第 32 条）、匿名加工情報取扱事業者等の義務（第 33条から第 36 条まで）及び民間団体による個人情報の保護の推進に係る規定（法第４章第５節）についても、他の個人情報取扱事業者である受信者情報取扱事業者と同様の規律が受信者情報取扱事業者である学術研究機関等にも適用されることになる。
※１ 「学術研究機関等」については、2-19（学術研究機関等）を参照のこと。
※２ 「学術研究目的」については、2-20（学術研究目的）を参照のこと。
※３

各規定に関する例外規定については、3-1-5（利用目的による制限の例外）、3-3-3（要配慮個人情報の取得）及び 3-7-1（第三者提供の制限の原則）を参照のこ
と。

210

６

学術研究機関等の責務（参考）
法第 59 条
個人情報取扱事業者である学術研究機関等は、学術研究目的で行う個人情報の取扱いについて、この法律の規定を遵守するとともに、その適正を確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。

学術研究機関等による自主規範の策定・公表
大学の自治を始めとする学術研究機関等の自律性に鑑みれば、学術研究機関等の自律的な判断を原則として尊重する必要があると考えられる。このため、学術研究機関等が、個人情報を利用した研究の適正な実施のための自主規範を単独又は共同して策定・公表した場合であって、当該自主規範の内容が個人の権利利益の保護の観点から適切であり、その取扱いが当該自主規範にのっとっているときは、法第 149 条第１項の趣旨を踏まえ、個人情報保護委員会は、これを尊重する。
ただし、自主規範にのっとった個人情報の取扱いであっても、本人の権利利益を不当に侵害するおそれがある場合には、原則として、個人情報保護委員会は、その監督権限を行使する。
（参考）
法第 149 条（第１項）
１

委員会は、前三条の規定により個人情報取扱事業者等に対し報告若しくは資料の提出の要求、立入検査、指導、助言、勧告又は命令を行うに当たっては、表現の自由、学問の自由、信教の自由及び政治活動の自由を妨げてはならない。

211

７

7

各種情報の取扱い

各種情報の取扱い
放送受信者等の個人情報（第 40 条関係）
氏名又は名称の明示等（第 40 条第１項～第３項関係）

第 40 条（第１項～第３項）
１

受信者情報取扱事業者は、第三者への提供を利用目的とする場合には、当該利用目的において、当該第三者の範囲を、当該第三者の全ての氏名又は名称の表示その他の客観的に当該第三者を特定できる方法による表示をすることにより、できる限り具体的に明らかにしなければならない。

２

受信者情報取扱事業者は、放送受信者等の個人情報を直接本人から取得するときは、
当該放送受信者等が誤って認識することを防止するために、当該放送受信者等に対し、自らの氏名又は名称を明示しなければならない。

３

放送事業者（放送法第２条第 26 号に規定する放送事業者をいう。次条において同じ。）は、その放送番組の視聴に伴い放送受信者等による発信が行われる個人情報を受
信者情報取扱事業者に取得させるときは、当該放送番組において、当該放送受信者等に当該受信者情報取扱事業者の氏名又は名称を了知させるために必要な措置を講ずるよう努めなければならない。

受信者情報取扱事業者は、個人情報の提供先である第三者の範囲をできる限り明らかにしなければならない旨を第１項において規定している。その方法については、その第三者の氏名又は名称を個別列挙する方法のほか、例えば、「全ての衛星基幹放送事業者」といったような、客観的にその第三者の範囲の外延が、可能な限り具体的・個別的に特定できる方法
である必要がある。第三者への提供を利用目的とする場合には、その第三者の範囲が分からなければ結局のところ利用目的が十分具体的に特定されたことにはならないため、確認的に規定している。
【具体的に提供先の第三者を特定している事例】
事例） 全ての衛星基幹放送事業者【具体的に提供先の第三者を特定していない事例】
事例） ○○事業で提携する事業者
放送受信者等の個人情報の取得については、直接個人情報を取得する受信者情報取扱事業者が視聴された放送番組に係る放送事業者である場合のみならず、スポンサー等の放送事業者以外の者である場合もある。このため、受信者情報取扱事業者が自らの氏名又は名称を明

212

７

各種情報の取扱い

らかにすべき旨を第２項において規定している。
また、放送事業者が放送番組の視聴に伴い受信者情報取扱事業者に個人情報を取得させる
場合には、最終的な放送番組の編集責任を有する放送事業者に対して、適切な方法によって誰が個人情報を取り扱うのかを了知させるために必要な措置を講ずるよう努めるべきことを第３項において規定している。

保存期間の通知又は公表（第 40 条第４項関係）
第 40 条（第４項）
４

受信者情報取扱事業者は、放送受信者等の個人データを取得した場合は、あらかじめその保存期間を公表している場合を除き、速やかに、その保存期間を、本人に通知し、又は公表するよう努めなければならない。

放送受信者等の個人データを取得した場合、特に視聴者特定視聴履歴については、長期間蓄積することにより、プロファイリングのリスクが高まること、視聴者特定視聴履歴の取得に対して同意をするに当たってどの程度蓄積されるのかについて予見可能性を確保することが放送受信者等の利益に資することなどから、第11条に、利用目的に応じた合理的な保存期間を定める旨を規定しているとともに、第40条第４項において、あらかじめその保存期間を公表している場合を除き、速やかに、その保存期間を、本人に通知し、又は公表するよう努めるべき旨を規定している。

受信機に記録された個人情報（第 41 条関係）
第 41 条
放送事業者は、放送受信者等が使用する記憶装置を有する放送受信用の受信機に記録された個人情報が、当該受信機と接続された電気通信回線設備を用いて、当該放送事業者が放送する放送番組の放送受信者等による視聴に伴い発信されることが可能なときは、当該個人情報の漏えい、滅失又は毀損を防止するために、次に掲げる措置を講ずるよう努めなければならない。
一

暗号を用いた方法その他の通信の当事者以外の者がその内容を復元できないようにする方法により、発信された当該個人情報を取得することとされている者以外の者が当該個人情報を取得することを防止するために必要な措置
二

当該個人情報が発信されるようにするために当該放送番組において送信される情報の検証その他の当該放送受信者等の意思に反して当該個人情報が発信されることを防止するために必要な措置

213

７

各種情報の取扱い

受信機に記録された放送受信者等の個人情報が、放送番組の視聴に伴って受信機と接続された電気通信回線設備を通じて発信可能な場合について、放送事業者が必要な安全管理措置を講ずるよう努めるべき旨を規定する。
放送のデジタル化に伴い、デジタル受信機を活用した双方向サービス等が始まるなど、様々なサービスが提供されるようになり、その仕組みも複雑化している。
受信機の記憶装置に記録される個人情報の発信については、テレビ受信機では、一般社団
法人電波産業会（ＡＲＩＢ）の標準規格や一般社団法人ＩＰＴＶフォーラムが規定する仕様に沿った運用が、またケーブルテレビのＳＴＢ（Set Top Box）については、一般社団法人
日本ケーブルラボが規定する仕様に沿った運用等が行われている実態にある。
しかし、放送事業者がその放送番組等において送信する情報に対応し、受信機から個人情報が発信される段階については、不測の事態により、放送受信者等の意に反した発信が行われたり、伝送路における安全性が確保されず、漏えいしたりする事態もあり得ることから、
そのような事態を防止するため、放送事業者において必要な措置を講ずるよう努めるべき旨を規定する。
なお、「放送受信者等による視聴に伴い発信されること」については、「受信機と接続された電気通信回線設備を用いて」行われる場合に限られており、例えば、放送を視聴する受信機以外のコンピュータ等を用いて発信するような場合などは含まれない。
講ずるべき具体的な措置については、各号で規定している。
(1) 第１号は、放送用の受信機に接続された電気通信回線設備を用いて個人情報が発信される際の伝送路の安全性を確保し、通信の当事者以外の者による不正な取扱いを防止するため、ＡＲＩＢの標準規格等において伝送路におけるセキュリティ措置として規定されるＴＬＳ（Transport Layer Security）の使用その他の「暗号」を用いること等の措置を規定する。
なお、具体的な措置としては、その時点で安全性を確保できるものであることが必要
であり、技術の進展等に伴い、安全性が確保できる方法は変わってくるものである。例
えば、現時点では、「暗号」以外の方法は想定されていないが、将来的には、他の方法が出てくることも考えられる。
(2) 第２号は、その放送番組において受信機に対して送信する情報について誤りがないかを検証すること等の本人の意思に反して個人情報が発信されることを防止するために必要な措置を規定する。
受信者情報取扱事業者については、第８条で、不正な手段による個人情報を取得してはならないこととされており、放送事業者も、受信者情報取扱事業者になる場合には、

214

７

各種情報の取扱い

同条の対象となる。しかし、サービスの多様化や高度化に伴って放送番組において送信する情報（スクリプトやアプリケーション）も複雑化する傾向にあること等から、放送事業者自身に不正の意図はないにもかかわらず、その情報に、放送受信者等が気付かぬ
うちに個人情報を第三者に送信するなど受信機に予期しない動作をさせる情報が紛れ込むことも考えられる。このため、講ずるべき具体的な措置として、個人情報が発信されるようにするために放送事業者がその放送番組の中で送信する情報の検証等の放送受信者等の意思に反して個人情報が発信されることを防止するために必要な措置を規定する。
具体的な措置としては、スクリプトを含むデータ放送コンテンツやアプリケーションの制作段階における管理を徹底したり、送信前に動作確認をしたりすること等により、受信機に予期しない動作をさせるような不正な情報の放送番組における送信を防止すること等が考えられる。
本規定は、第 12 条に基づき講じなければならない措置に加えて、個人情報を取得して取り扱う前の準備段階における安全管理のため、各号で規定している措置を講ずるよう努めるべき旨を規定するものである。

視聴者特定視聴履歴（第 42 条関係）
視聴者特定視聴履歴の取扱い上の注意（第 42 条第１項関係）
第 42 条（第１項）
１

受信者情報取扱事業者は、視聴者特定視聴履歴を取り扱うに当たっては、要配慮個人情報を推知し、又は第三者に推知させることのないよう注意しなければならない。

受信者情報取扱事業者が放送受信者等の日常の視聴者特定視聴履歴を蓄積することにより取得する個人情報は、多様かつ膨大になり得るものであり、その分析により、放送受信者等の趣味・嗜好等について、高い確度で推知することが可能となると考えられる。
このように推知した趣味・嗜好等に基づき、放送受信者等に利便性の高いサービスの提供が可能となる一方、分析の方法によっては、趣味・嗜好等にとどまらず、放送受信者等の信条等の要配慮個人情報まで、推知することが可能となるおそれが指摘されているところである。
法においては、一般に要配慮個人情報を推知させる情報に過ぎないものは、要配慮個
人情報に当たらないと解されているところであるが、放送受信者等の同意の範囲を超え、膨大なデータに基づく分析により、要配慮個人情報を推知する行為は、「真実らしく受

215

７

各種情報の取扱いけ取られる情報」の取得としてプライバシー権を侵害する可能性や、ひいては、要配慮
個人情報の取得につながるおそれも否定できないと考えられる。
国民が放送の視聴を躊躇することなく、従来どおり安心・安全に視聴できる環境を確保することは、放送が国民に最大限に普及し、我が国における放送による表現の自由の確保
や放送が健全な民主主義の発達に資するようにするという放送法の原則に適合し、放送の健全な発達を図るという目的の達成の観点から不可欠である。このため本ガイドラインにおいて、受信者情報取扱事業者が視聴者特定視聴履歴を取り扱うに当たっては、放送受信者等の要配慮個人情報を推知し、あるいは第三者による推知が可能となることがないよう、注意すべきことを定めるものである。
例えば、受信者情報取扱事業者が、特定の健康情報をテーマとする番組の視聴者特定視
聴履歴に基づき、別の日時に放送される同じ番組や、同じ健康情報をテーマとする番組をレコメンドする行為は、ただちに問題となるものではない。ただし、当該視聴者特定視聴履歴の分析結果に基づいて、放送受信者等又はその世帯の構成員の病歴や障害の有無等自体を推知する行為は認められない。
なお、本人の同意を得て要配慮個人情報を取得することは可能である（法第 20 条第２項）。
【要配慮個人情報を推知し、又は第三者に推知させることに該当しない事例】
事例１） 受信者情報取扱事業者が、本人の視聴者特定視聴履歴の分析結果に基づき、本人に対して、特定のドラマ、映画、スポーツ、音楽や旅番組等のレコメンドサー
ビスを提供すること（レコメンド等を行う場合）。
事例２） 受信者情報取扱事業者が、本人の視聴者特定視聴履歴の分析結果に基づき、本人に対して、番組に関連する音楽、ＤＶＤ、特産品、旅行等の商品の販売やサービスの提供を行うこと（商品・サービスの販売・提供を行う場合）。
事例３）

本人の視聴者特定視聴履歴の分析結果のほか、他の消費行動に関する情報等（本人の個人データを含む）と組み合わせて、本人に対して、家電製品、日用品、スポーツ用品等の商品の販売やサービスの提供を行おうとする者に対して、受信者情報取扱事業者が視聴者特定視聴履歴を提供すること（他の個人データ等と連携を行う場合）。
【注意義務違反に該当する事例】
事例１） 視聴者特定視聴履歴の取扱いに関して、要配慮個人情報の推知を禁じる規律の整備等の安全管理措置を講じないこと。
事例２）

要配慮個人情報の把握を目的としている第三者に対して視聴者特定視聴履歴の提供を行うこと。
事例３） 第三者に対して視聴者特定視聴履歴を提供するに当たり、その契約の条件とし

216

７

各種情報の取扱いて、当該第三者が契約時の目的外の利用を禁じること及び安全管理措置を講じることに係る規定を整備しないこと。

視聴者特定視聴履歴に係る同意（第 42 条第２項～第４項関係）
7-3-2-1 視聴者特定視聴履歴に係る利用目的の制限（第 42 条第２項）
第 42 条（第２項）
２

受信者情報取扱事業者は、あらかじめ本人の同意を得ないで、次の各号に掲げる目的のために必要な範囲を超えて、視聴者特定視聴履歴を取り扱ってはならない。
一放送の受信、放送番組の視聴又は放送番組の視聴に伴い行われる情報の電磁的方式による発信若しくは受信に関し料金又は代金の支払を求める目的
二統計の作成の目的

三

匿名加工情報の作成の目的

平成 27 年改正法の全面施行前は、第１号又は第２号の目的のために必要な範囲を超えて取扱い（取得、保有、利用）をしないよう、求めてきたところである。平成 27 年改正法の全面施行に伴い、個人情報の保護を図りつつ、パーソナルデータの利活用を認め、新たな放送サービスの提供等を通じて、放送受信者等の利便性の向上に資するよう取得の範囲の制限を緩和する一方、視聴者特定視聴履歴には高いプライバシー性があり放送受信者等の視聴の躊躇にもつながり得ることに鑑み、放送特有の事情として他の個人情報とは異なる取扱いを定めることとした。すなわち、従来認められていた２つの目的に加え、匿名加工情報を作成する目的のために必要な範囲を超えて視聴者特定視聴履歴を取り扱う場合は、あらかじめ本人の同意を得ることを要件とすることとしたものである。
なお、匿名加工情報の作成、すなわち特定の個人を識別することができないよう加工し、また当該個人情報を復元して特定の個人を再識別できないような情報を作成することを目的とする場合には、特定の個人の趣味・嗜好等を推知するという視聴者特定視聴履歴に特有のプライバシー侵害の懸念は相当程度低下すると考えられることから、従来認められてきた２つの目的と併せて、一般的な個人情報と同様の取扱いとするものである。
また、これまで放送については、視聴に伴いその履歴を取得されることが必ずしも一般的とはいえず、取得可能である事実そのものや、取得される情報の内容等について、放送受信者等によっては必ずしも十分な認識がされていない可能性が指摘されている。このような視聴習慣や放送受信者等の認識といった放送の視聴に関する実情に鑑み、本人の同意を得る際に、本人が同意に係る判断を行うために必要と考えられる情報（どのような視聴者特定
視聴履歴がどのように取り扱われるかについての情報）を本人に提供しなければ、本条の「同意」を取得したことにはならない。

217

７

各種情報の取扱い

視聴者特定視聴履歴の取扱いに関する同意の取得に係る具体的な手法については、認定
個人情報保護団体が作成する個人情報保護指針や業界団体の自主ルールなど下位のルール
における詳細な検討に委ねるが、放送特有の事情を踏まえて検討することが求められる。
この視聴者特定視聴履歴の取扱いに関する同意については、視聴者特定視聴履歴がその特性上、継続的に蓄積される常態にあることから、放送受信者等が同意についての意思を事後的に変更する可能性があることを考慮する必要がある。
さらに、テレビ受信機を家庭に設置して行う視聴の場合、世帯の複数の構成員の視聴者特定視聴履歴が混在することが想定されるため、同意を求めるべき相手方の特定、世帯の他の構成員の意思の取扱いについての配慮も必要となる。
すなわち、放送の視聴が、個人ごとのテレビ受信機ではなく、世帯において共有されるテレビ受信機を用いて行われることも多いことから、視聴者特定視聴履歴の取扱いに対して、放送受信者等が同意した場合であっても、実際には、世帯の他の構成員の意思に反する状況が生じ得ることを考慮する必要がある。
これらの事情を踏まえ、視聴者特定視聴履歴の取扱いに対する同意について、事後にオプ
トアウトすることができるようにする旨を、第 42 条第４項において規定している。
なお、特定の日時において視聴する放送番組を特定することができる情報であっても、視聴者非特定視聴履歴（視聴者個人関連情報（視聴に伴って取得される個人に関する情報であって、個人関連情報であるものをいう。
）であって、特定の日時において視聴する放送番組を特定することができるものをいう。以下同じ。
）は、個人情報に該当しないため、本ガイドラインにおける視聴者特定視聴履歴には該当せず、第 42 条第２項の適用対象とはならな
い（ただし、特定の個人に紐付かない情報であっても、例えば同じ社内の別のデータベースに保存される特定の個人を識別することができる情報と容易に紐付けることが可能である（容易照合性がある）場合には、個人情報として取り扱われる）。しかしながら、視聴する放送番組を特定することができる情報のプライバシー性に配慮する観点からは、このような視聴者非特定視聴履歴についても、その取得の前に、同意を得る、又は取得に関する告知を徹底するなどの取扱いについて、認定個人情報保護団体が作成する個人情報保護指針等の業界団体等の自主ルールとして定めることにより、プライバシーに配慮した自主的な取組がなされることが望ましい。
7-3-2-2 不同意者に対する受信の拒否等の禁止（第 42 条第３項）
第 42 条（第３項）
３

受信者情報取扱事業者は、放送受信者等が前項の規定による同意の求めに対して、同意しなかったことを理由として、放送受信者等による放送の受信を拒み、又は妨げては
ならない。

218

７

各種情報の取扱い

受信者情報取扱事業者は、視聴者特定視聴履歴について第２項各号において定める目的の範囲を超える取扱いをする場合には、あらかじめ放送受信者等の同意が必要となる。本規定
は、視聴者特定視聴履歴を取り扱うことについて、放送受信者等にあらかじめ同意を求め、これに対して放送受信者等が同意しなかった場合であっても、放送を視聴できることを担保するものである。
この規定は、放送が国民に最大限普及されることをその目的とする放送法の趣旨を踏まえ、視聴者特定視聴履歴の取扱いに関する同意が、事実上、放送の受信の要件とされる事態を回避する必要があることを踏まえている。
なお、サービス提供契約の締結時において放送受信者等の視聴者特定視聴履歴の取扱いに関する同意を求める場合、放送受信者等がこれに同意しなくても放送の受信は可能であることとすることの認識を得た上で、「同意する」又は「同意しない」の選択が可能である
ことが求められる。
7-3-2-3 視聴者特定視聴履歴取得等のオプトアウト（第 42 条第４項）
第 42 条（第４項）
４

受信者情報取扱事業者は、第２項の規定による同意を得た場合であっても、視聴者特定視聴履歴について、本人の求めに応じてその取得を停止することとし、次に掲げる事項について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
一

本人の求めに応じて当該本人の視聴者特定視聴履歴の取得を停止すること。

二

本人の求めを受け付ける方法

視聴者特定視聴履歴はその特性上、一回のみの取得ではなく、継続的な取得が行われることで、データが蓄積される個人情報である。このため、放送受信者等が、一度は視聴者特定
視聴履歴の取扱いに同意したとしても、事後的にその意思を変更し、将来の取得の停止を希望するに至ることも想定される。特に世帯で共有されるテレビ受信機により視聴されることが多い放送サービスにおいては、本人が同意しても、世帯の他の構成員の意向により、同意の意思が変更される可能性もあり、視聴者特定視聴履歴の取得の停止の求めを受け付けるオプトアウトを導入することが世帯構成員のプライバシー保護の観点からも望ましい。
このような視聴者特定視聴履歴の特性や世帯による視聴といった事情を勘案し、放送受信者等が一度は視聴者特定視聴履歴の取扱いに関して同意した後であっても、まだ取得されていない将来の視聴者特定視聴履歴については、取得の停止を求めることを可能とすべきことを規定したものである。
なお、この場合であっても、第２項各号に定める目的に限定して取り扱う場合は、第９条第１項に基づき利用目的を通知又は公表することにより視聴者特定視聴履歴を取り扱うことが可能である。
また、放送受信者等及びその世帯構成員のプライバシー保護の観点からは、本規定の適用

219

７

各種情報の取扱い

対象とならない視聴者非特定視聴履歴についても、その取得を停止できることが望ましく、
個人情報保護指針等の業界団体等の自主ルールによる取組が期待される。

220

８

8

域外適用

域外適用（第 43 条関係）

第 43 条本ガイドラインは、受信者情報取扱事業者が、国内にある者に対する物品又は役務の提供に関連して、国内にある者を本人とする放送受信者等の個人情報、当該個人情報として取得されることとなる放送受信者等の個人関連情報又は当該個人情報を用いて作成された仮名加工情報若しくは匿名加工情報を、外国において取り扱う場合についても、適用する。
外国にある受信者情報取扱事業者（※１）が、日本の居住者等国内にある者（※２）に対する物品又は役務の提供（※３）に関連して、国内にある者を本人とする放送受信者等の個
人情報、当該個人情報として取得されることとなる放送受信者等の個人関連情報又は当該個人情報を用いて作成された仮名加工情報若しくは匿名加工情報を、外国において取り扱う場合には、本ガイドラインが適用される（※４）
。
なお、域外適用の対象となる場合は、外国にある受信者情報取扱事業者がこれらの情報を本人から直接取得して取り扱う場合に限られず、本人以外の第三者から提供を受けて取り扱う場合も含まれる。
【域外適用の対象となる事例】
事例１）外国のインターネット通信販売事業者が、日本の消費者に対する商品の販売・配送に関連して、日本の消費者の個人情報を取り扱う場合
事例２）外国のメールサービス提供事業者が、日本の消費者に対するメールサービスの提供に関連して、日本の消費者の個人情報を取り扱う場合
事例３）外国のホテル事業者が、日本の消費者に対する現地の観光地やイベント等に関する情報の配信等のサービスの提供に関連して、日本にある旅行会社等から提供を受けた日本の消費者の個人情報を取り扱う場合
事例４）外国の広告関連事業者が、日本のインターネット通信販売事業者に対し、当該イ
ンターネット通信販売事業者による日本の消費者に対するキャンペーン情報の配信等のサービスの提供に関連して、当該インターネット通信販売事業者が保有する日本の消費者の個人データと結び付けることが想定される個人関連情報を提供する場合
事例５）外国のアプリ提供事業者が、日本の消費者に対するサービスの提供に関連して、
新サービスの開発のために、日本の消費者の個人情報を用いて作成された仮名加工情報を取り扱う場合
事例６）外国のインターネット通信販売事業者が、日本の消費者に対する商品の販売又はサービスの提供に関連して、傾向分析等を行うために、日本の消費者の個人情報を用いて作成された匿名加工情報を取り扱う場合

221

８

域外適用

【域外適用の対象とならない事例】
事例）外国にある親会社が、グループ会社の従業員情報の管理のため、日本にある子会社の従業員の個人情報を取り扱う場合（※５）※１ 外国にのみ活動拠点を有する受信者情報取扱事業者（日本から海外に活動拠点を移転した受信者情報取扱事業者を含む。
）に限られず、例えば、日本に支店や営業所等を有する受信者情報取扱事業者の外国にある本店、日本に本店を有する受信者情報取扱事業者の外国にある支店や営業所等も含まれる。
※２ 「物品又は役務の提供」の対象となる「国内にある者」と「個人情報」の本人である「国内にある者」については、必ずしも同一である必要はない。例えば、外国にある受信者情報取扱事業者が、国内にある者Ａを本人とする個人情報が記載された名簿を国内にある者Ｂに販売することに関連して、当該個人情報を取り扱う場合、域外適用の対象となる。
※３ 「物品又は役務の提供」に対して、本人から対価が支払われるか否かは問わない。
※４ 第 43 条により法の適用を受ける外国事業者が、法に違反した場合には、個人情報保護委員会が指導、助言、勧告又は命令等を行うことができる。
※５ 日本にある子会社が外国にある親会社に対して従業員の個人データを提供する
ためには、法第 28 条に従い、本人の同意を取得するなど外国にある第三者に個人データを提供するための措置を講ずる必要がある。詳細については、「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」（平
成 28 年個人情報保護委員会告示第７号）を参照のこと。
（参考）
法第 171 条
この法律は、個人情報取扱事業者、仮名加工情報取扱事業者、匿名加工情報取扱事業者又は個人関連情報取扱事業者が、国内にある者に対する物品又は役務の提供に関連して、国内にある者を本人とする個人情報、当該個人情報として取得されることとなる
個人関連情報又は当該個人情報を用いて作成された仮名加工情報若しくは匿名加工情報を、外国において取り扱う場合についても、適用する。

222

９

9

ガイドラインの見直し

ガイドラインの見直し（第 44 条関係）

第 44 条本ガイドラインについては、社会情勢の変化、国民の意識の変化、技術動向の変化等
諸環境の変化を踏まえ、必要に応じ見直しを行う。
個人情報の保護についての考え方は、社会情勢の変化、国民の認識の変化、技術の進歩、
国際的動向等に応じて変わり得るものであり、本ガイドラインは、法の施行後の状況等諸
環境の変化を踏まえて、必要に応じ見直しを行うものとする。

223

10（別添）講ずべき安全管理措置の内容

10 （別添）講ずべき安全管理措置の内容
第 12 条に定める安全管理措置として、受信者情報取扱事業者が具体的に講じなければならない措置や当該措置を実践するための手法の例等を次に示す。（※１）
安全管理措置を講ずるための具体的な手法については、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容とすべきものであるため、必ずしも次に掲げる例示の内容の全てを講じなければならないわけではなく、また、
適切な手法はこれらの例示の内容に限られない。
※１ 第 12 条に定める「その他の放送受信者等の個人データの安全管理のために必要かつ適切な措置」には、受信者情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該受信者情報取扱事業者が個人データとして取り扱うことを予定しているものの漏えい等を防止するために必要かつ適切な措置も含まれる。そのため、次に掲げる措置及び例示における「個人データ」には、当該個人情報も含まれる。

224

10（別添）講ずべき安全管理措置の内容

基本方針の策定
受信者情報取扱事業者は、個人データの適正な取扱いの確保について組織として取り組むために、基本方針を策定することが重要である。
具体的に定める項目の例としては、「事業者の名称」、「関係法令・ガイドライン等の遵守」、「安全管理措置に関する事項」、「質問及び苦情処
理の窓口」等が考えられる。

個人データの取扱いに係る規律の整備
受信者情報取扱事業者は、その取り扱う個人データの漏えい等の防止その他の個人データの安全管理のために、個人データの具体的な取扱いに係る規律を整備しなければならない。
講じなければ

手法の例示ならない措置○個人データの取扱い

取得、利用、保存、提供、削除・廃棄等の段階ごとに、取扱方法、責任者・担当者及びその任務等について定めるに係る規律の整備

個人データの取扱規程を策定することが考えられる。なお、具体的に定める事項については、以降に記述する組織的安全管理措置、人的安全管理措置及び物理的安全管理措置の内容並びに情報システム（パソコン等の機器を含む。
）
を使用して個人データを取り扱う場合（インターネット等を通じて外部と送受信等する場合を含む。
）は技術的安全管理措置の内容を織り込むことが重要である。

225

10（別添）講ずべき安全管理措置の内容

組織的安全管理措置
受信者情報取扱事業者は、組織的安全管理措置として、次に掲げる措置を講じなければならない。
（1） 組織体制の整備
安全管理措置を講ずるための組織体制を整備しなければならない。
（2） 個人データの取扱いに係る規律に従った運用
あらかじめ整備された個人データの取扱いに係る規律に従って個人データを取り扱わなければならない。
なお、整備された個人データの取扱いに係る規律に従った運用の状況を確認するため、利用状況等を記録することも重要である。
（3） 個人データの取扱状況を確認する手段の整備
個人データの取扱状況を確認するための手段を整備しなければならない。
（4） 漏えい等事案に対応する体制の整備
漏えい等事案の発生又は兆候を把握した場合に適切かつ迅速に対応するための体制を整備しなければならない。
なお、漏えい等事案が発生した場合、二次被害の防止、類似事案の発生防止等の観点から、事案に応じて、事実関係及び再発防止策等を早急に公表することが重要である（※）。
※

受信者情報取扱事業者において、漏えい等の事案が発生した場合等の対応の詳細については、3-6（個人データの漏えい等の報告等）

を参照のこと。
（5） 取扱状況の把握及び安全管理措置の見直し
個人データの取扱状況を把握し、安全管理措置の評価、見直し及び改善に取り組まなければならない。

226

10（別添）講ずべき安全管理措置の内容講じなければ

手法の例示ならない措置（1）組織体制の整備（組織体制として整備する項目の例）
・ 個人情報の取扱いに関する責任者（個人情報保護管理者）の設置及び責任の明確化・個人データを取り扱う従業者及びその役割の明確化
・

上記の従業者が取り扱う個人データの範囲の明確化

・法や受信者情報取扱事業者において整備されている個人データの取扱いに係る規律に違反している事実又は兆候を把握した場合の責任者への報告連絡体制
・

個人データの漏えい等の事案の発生又は兆候を把握した場合の責任者への報告連絡体制

・

個人データを複数の部署で取り扱う場合の各部署の役割分担及び責任の明確化（2）個人データの取扱

個人データの取扱いに係る規律に従った運用を確保するため、例えば次のような項目に関して、システムログそのいに係る規律に従他の個人データの取扱いに係る記録の整備や業務日誌の作成等を通じて、個人データの取扱いの検証を可能とするった運用ことが考えられる。
・

個人データの利用状況

・

個人データが記載又は記録された書類・媒体等の持ち運び等の状況

・

個人データの削除・廃棄の状況（委託した場合の消去・廃棄を証明する記録を含む。
）

・

個人データを情報システムで取り扱う場合、担当者の情報システムの利用状況（ログイン実績、アクセスログ等）（3）個人データの取扱

例えば次のような項目をあらかじめ明確化しておくことにより、個人データの取扱状況を把握可能とすることが状況を確認する手考えられる。

段の整備

・

個人データの項目

・

責任者・取扱部署

・

利用目的

・

アクセス権を有する者

等227

10（別添）講ずべき安全管理措置の内容講じなければ

手法の例示ならない措置（4）漏えい等事案に対応する体制の整備

漏えい等事案の発生時に例えば次のような対応を行うための、体制を整備することが考えられる。
・

事実関係の調査及び原因の究明

・影響を受ける可能性のある本人への通知

・

個人情報保護委員会等への報告

・再発防止策の検討及び決定・事実関係及び再発防止策等の公表 等（5）取扱状況の把握及・

個人データの取扱状況について、定期的に自ら行う点検又は他部署等による監査を実施する。

び安全管理措置の・

外部の主体による監査活動と合わせて、監査を実施する。

見直し

228

10（別添）講ずべき安全管理措置の内容

人的安全管理措置
受信者情報取扱事業者は、人的安全管理措置として、次に掲げる措置を講じなければならない。また、受信者情報取扱事業者は、従業者に個
人データを取り扱わせるに当たっては、第 13 条第１項及び第２項に基づき従業者に対する監督をしなければならない（3-4-4（従業者の監督）参照）。また、個人データの取扱いを委託する場合においては、受信者情報取扱事業者は、第 13 条第 3 項に基づき委託先に対する監督を行わなければならない（3-4-5（委託先の監督）参照）。
○ 従業者の教育
従業者に、個人データの適正な取扱いを周知徹底するとともに適切な教育を行わなければならない。
講じなければ

手法の例示ならない措置○従業者の教育・ 個人データの取扱いに関する留意事項について、従業者に定期的な研修等を行う。
・ 個人データについての秘密保持に関する事項を就業規則等に盛り込む。

229

10（別添）講ずべき安全管理措置の内容

物理的安全管理措置
受信者情報取扱事業者は、物理的安全管理措置として、次に掲げる措置を講じなければならない。
（1） 個人データを取り扱う区域の管理
個人情報を取り扱うサーバやメインコンピュータ等の重要な情報システムを管理する区域（以下「管理区域」という。
）及びその他の個
人データを取り扱う事務を実施する区域（以下「取扱区域」という。
）について、それぞれ適切な管理を行わなければならない。
（2） 機器及び電子媒体等の盗難等の防止
個人データを取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、適切な管理を行わなければならない。
（3） 電子媒体等を持ち運ぶ場合の漏えい等の防止
個人データが記録された電子媒体又は書類等を持ち運ぶ場合、容易に個人データが判明しないよう、安全な方策を講じなければならない。
なお、「持ち運ぶ」とは、個人データを管理区域又は取扱区域から外へ移動させること又は当該区域の外から当該区域へ移動させることをいい、事業所内の移動等であっても、個人データの紛失・盗難等に留意する必要がある。
（4） 個人データの削除及び機器、電子媒体等の廃棄
個人データを削除し又は個人データが記録された機器、電子媒体等を廃棄する場合は、復元不可能な手段で行わなければならない。
また、個人データを削除した場合、又は、個人データが記録された機器、電子媒体等を廃棄した場合には、削除又は廃棄した記録を保存することや、それらの作業を委託する場合には、委託先が確実に削除又は廃棄したことについて証明書等により確認することも重要である。

230

10（別添）講ずべき安全管理措置の内容講じなければ

手法の例示ならない措置（1）個人データを取り （管理区域の管理手法の例）
扱う区域の管理

・

入退室管理及び持ち込む機器等の制限等
なお、入退室管理の方法としては、IC カード、ナンバーキー等による入退室管理システムの設置等が考えられる。
（取扱区域の管理手法の例）
・ 間仕切り等の設置、座席配置の工夫、のぞき込みを防止する措置の実施等による、権限を有しない者による個
人データの閲覧等の防止（2）機器及び電子媒体等の盗難等の防止

・ 個人データを取り扱う機器、個人データが記録された電子媒体又は個人データが記載された書類等を、施錠できるキャビネット・書庫等に保管する。
・

個人データを取り扱う情報システムが機器のみで運用されている場合は、当該機器をセキュリティワイヤー

等により固定する。
（3）電子媒体等を持ち・個人情報持ち出し時に想定される具体的なリスクを網羅的に評価し、リスクに対応するために必要とされる

運ぶ場合の漏えい措置（パーソナルコンピュータの起動時等での個人認証、外部媒体の接続制限、ウイルス侵入による情報漏等の防止

えいに備えた最新のセキュリティ水準維持、高度な暗号化措置及び適切な復号鍵の管理、通信経路の暗号化、社内サーバにおける端末認証等）を検討・決定し、決定した措置の適切な運用を行う。
・

持ち運ぶ個人データの暗号化、パスワードによる保護等を行った上で電子媒体に保存する。

・封緘、目隠しシールの貼付けを行う。

・

施錠できる搬送容器を利用する。

231

10（別添）講ずべき安全管理措置の内容講じなければ

手法の例示ならない措置（4）個人データの削除 （個人データが記載された書類等を廃棄する方法の例）
及び機器、電子媒体等の廃棄・焼却、溶解、適切なシュレッダー処理等の復元不可能な手段を採用する。

（個人データを削除し、又は、個人データが記録された機器、電子媒体等を廃棄する方法の例）
・ 情報システム（パソコン等の機器を含む。）において、個人データを削除する場合、容易に復元できない手段を採用する。
・ 個人データが記録された機器、電子媒体等を廃棄する場合、専用のデータ削除ソフトウェアの利用又は物理的な破壊等の手段を採用する。

232

10（別添）講ずべき安全管理措置の内容

技術的安全管理措置
受信者情報取扱事業者は、情報システム（パソコン等の機器を含む。
）を使用して個人データを取り扱う場合（インターネット等を通じて外部と送受信等する場合を含む。
）、技術的安全管理措置として、次に掲げる措置を講じなければならない。
（1）アクセス制御担当者及び取り扱う個人情報の範囲を限定するために、適切なアクセス制御を行わなければならない。
（2）アクセス者の識別と認証
個人データを取り扱う情報システムを使用する従業者が正当なアクセス権を有する者であることを、識別した結果に基づき認証しなければならない。
（3）外部からの不正アクセス等の防止
個人データを取り扱う情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入し、適切に運用しなければならない。
（4）情報漏えい等の防止
情報システムの使用に伴う個人データの漏えい等を防止するための措置を講じ、適切に運用しなければならない。
講じなければ

手法の例示ならない措置（1）アクセス制御

・ 個人データを取り扱うことのできる情報システムを限定する。
・ 情報システムによってアクセスすることのできる個人データを限定する。
・ ユーザーＩＤに付与するアクセス権により、個人データを取り扱う情報システムを使用できる従業者を限定する。

233

10（別添）講ずべき安全管理措置の内容講じなければ

手法の例示ならない措置（2）アクセス者の識別 （情報システムを使用する従業者の識別・認証手法の例）と認証

・ ユーザーＩＤ、パスワード、磁気・ＩＣカード等（3）外部からの不正ア

・ 情報システムと外部ネットワークとの接続箇所にファイアウォール等を設置し、不正アクセスを遮断する。

クセス等の防止・ 情報システム及び機器にセキュリティ対策ソフトウェア等（ウイルス対策ソフトウェア等）を導入し、不正ソ
フトウェアの有無を確認する。
・

機器やソフトウェア等に標準装備されている自動更新機能等の活用により、ソフトウェア等を最新状態とする。
・ ログ等の定期的な分析により、不正アクセス等を検知する。
（4）情報システムの使用に伴う漏えい等の防止

・ 情報システムの設計時に安全性を確保し、継続的に見直す（情報システムのぜい弱性を突いた攻撃への対策を講ずることも含む。
）。
・ 個人データを含む通信の経路又は内容を暗号化する。
・ 移送する個人データについて、パスワード等による保護を行う。

外的環境の把握
受信者情報取扱事業者が、外国において個人データを取り扱う場合、当該外国の個人情報の保護に関する制度等を把握した上で、個人データの安全管理のために必要かつ適切な措置を講じなければならない。

234

【付録】

【付録】

個人関連情報の第三者提供につき、提供先で同意取得する場合の一般的なフロー
提供元：A 社

1. 本人の同意の取得

2. 個人関連情報の取扱いに関する確認

個人関連情報を取得し個人デー
タに紐付けることを利用目的等とともに本人に説明

同意

本人の同意を得ている ID 等を
A 社へ伝える
同意を得ている ID 等の
個人関連情報を B 社に提供

の提供
※

本人

以下の事項を両者間で確認し、「個人データとして取得することが想定される」場合に該当するか A 社
が判断提供を行う個人関連情報の項目
B 社で、顧客情報等の個人データと紐付ける予定があるかどうか 等
該当する場合、以下の事項も確認
A 社が提供する個人関連情報は、B 社が本人から同意を得ているものに限られること

3. 本人同意の有無の確認と個人関連情報

提供先：B 社

個人関連情報を A 社から取得

外国にある第三者への提供の場
合、情報提供についても確認

4. 記録

記録

記録

※ 上記フロー図は一例であり、1.と 2.が前後する場合等もある。

235

【付録】

個人関連情報の第三者提供につき、提供元で同意取得を代行する場合の一般的なフロー

提供元：A 社

1. 個人関連情報の取扱いに関する確認

提供先：B 社

本人

以下の事項を両者間で確認し、「個人データとして取得することが想定される」場合に該当するか A 社
が判断提供を行う個人関連情報の項目
B 社で、顧客情報等の個人データと紐付ける予定があるかどうか 等
提供元において、適切に同意取得させる

2. 本人の同意の取得

提供先において、
個人関連情報を個人データに紐付けることを本人に説明

同意
同意取得に当たっては、
提供先を個別に明示する

3. 本人同意の有無の確認と個人関連情報の提供※

外国にある第三者への提供の同意を得ている ID 等を確認
し、個人関連情報を B 社に提供

個人関連情報を A 社から取得

記録

記録

場合、情報提供についても確認

4. 記録

236