個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）（平成 28 年個人情報保護委員会告示第 8 号）の一部改正の新旧対照表○平成 28 年個人情報保護委員会告示第 8 号（個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編））
・改正前欄に掲げる規定の傍線を付し又は破線で囲んだ部分をこれに順次対応する改正後欄に掲げる規定の傍線を付し又は破線で囲んだ部分のように改める。

改正前

個人情報の保護に関する法律についてのガイドライン

個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）（第三者提供時の確認・記録義務編）

目次

目次

[略]

[同左]

【凡例】

【凡例】

「法」

個人情報の保護に関する法律（平成 15 年法律第 57「法」

個人情報の保護に関する法律施行令（平成 15 年政令第「政令」

個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第 3 号）

「通則ガイドライン」

個人情報の保護に関する法律施行令（平成 15 年政令第507 号）

507 号）「規則」

個人情報の保護に関する法律（平成 15 年法律第 57号）号）
「政令」

1

改正後

個人情報の保護に関する法律についてのガ「規則」

個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第 3 号）

「通則ガイドライン」

個人情報の保護に関する法律についてのガイドライン（通則編）（平成 28 年個人情報イドライン（通則編）（平成 28 年個人情報保護委員会告示第 6 号）

保護委員会告示第 6 号）

「平成 27 年改正法」「令和 2 年改正法」

個人情報の保護に関する法律及び行政手続「平成 27 年改正法」における特定の個人を識別するための番号における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法の利用等に関する法律の一部を改正する法律（平成 27 年法律第 65 号）

律（平成 27 年法律第 65 号）

個人情報の保護に関する法律等の一部を改「令和 2 年改正法」

正する法律（令和 2 年法律第 44 号）

個人情報の保護に関する法律等の一部を改正する法律（令和 2 年法律第 44 号）

デジタル社会の形成を図るための関係法律「令和 3 年改正法」

デジタル社会の形成を図るための関係法律の整備に関する法律（令和 3 年法律第 37の整備に関する法律（令和 3 年法律第 37号）号）（第 50 条の規定に限る。）

2「令和 3 年改正法」

個人情報の保護に関する法律及び行政手続1

本ガイドラインの位置付け

1

本ガイドラインの位置付け

個人情報保護委員会は、事業者が個人情報の適正な取扱いの確保に関

個人情報保護委員会は、事業者が個人情報の適正な取扱いの確保に関して行う活動を支援すること、及び当該支援により事業者が講ずる措置して行う活動を支援すること、及び当該支援により事業者が講ずる措置が適切かつ有効に実施されることを目的として、法第 4 条、第 9 条及びが適切かつ有効に実施されることを目的として、個人情報の保護に関す

第 131 条に基づき具体的な指針として通則ガイドラインを定めているる法律（平成 15 年法律第 57 号。以下「法」という。）第 4 条、第 9 条が、法が定める事業者の義務のうち第三者提供における確認・記録義務及び第 128 条に基づき具体的な指針として「個人情報の保護に関する法に関する部分に特化して分かりやすく一体的に示す観点から、通則ガイ律についてのガイドライン（通則編）」（平成 28 年個人情報保護委員会

ドラインとは別に、本ガイドラインを定めるものである。

告示第 6 号。以下「通則ガイドライン」という。）を定めているが、法が定める事業者の義務のうち第三者提供における確認・記録義務に関する部分に特化して分かりやすく一体的に示す観点から、通則ガイドラインとは別に、本ガイドラインを定めるものである。

平成 26 年に発生した民間企業における大規模漏えい事案を契機とし

平成 26 年に発生した民間企業における大規模漏えい事案を契機として、いわゆる名簿業者を介在し、違法に入手された個人データが社会にて、いわゆる名簿業者を介在し、違法に入手された個人データが社会に流通している実態が社会に認識された。これを受けて、平成 27 年改正法 流通している実態が社会に認識された。これを受けて、個人情報の保護により、法に、個人データの適正な第三者提供を確保するための規定がに関する法律及び行政手続における特定の個人を識別するための番号の設けられた。

利用等に関する法律の一部を改正する法律（平成 27 年法律第 65 号）（以下「平成 27 年改正法」という。）により、法に、個人データの適正な第三者提供を確保するための規定が設けられた。

まず、個人情報取扱事業者が第三者から個人データの提供を受ける場

合には、違法に入手された個人データが流通することを抑止するため、合には、違法に入手された個人データが流通することを抑止するため、当該第三者が当該個人データを取得した経緯等を確認する義務を課して当該第三者が当該個人データを取得した経緯等を確認する義務を課している（法第 30 条）。

いる（法第 30 条）。

3

まず、個人情報取扱事業者が第三者から個人データの提供を受ける場

また、仮に個人データが不正に流通した場合でも、個人情報保護委員

また、仮に個人データが不正に流通した場合でも、個人情報保護委員会が個人情報取扱事業者に対して報告徴収・立入検査を行い（法第 146

会が個人情報取扱事業者に対して報告徴収・立入検査を行い（法第 143条）、記録を検査することによって、個人データの流通経路を事後的に条）、記録を検査することによって、個人データの流通経路を事後的に特定することができるようにする必要がある。したがって、個人情報取特定することができるようにする必要がある。したがって、個人情報取扱事業者が第三者に個人データを提供する場合又は第三者から個人デー扱事業者が第三者に個人データを提供する場合又は第三者から個人デー

タの提供を受ける場合には、当該第三者の氏名等の記録を作成・保存しタの提供を受ける場合には、当該第三者の氏名等の記録を作成・保存しなければならない（法第 29 条、第 30 条）。

なければならない（法第 29 条、第 30 条）。

以上に加えて、オプトアウトを利用する個人情報取扱事業者の個人情以上に加えて、オプトアウトを利用する個人情報取扱事業者の個人情報保護委員会への届出義務及び個人情報保護委員会による公表の規定も報保護委員会への届出義務及び個人情報保護委員会による公表の規定も新設され（法第 27 条第 2 項から第 4 項まで）、これらの制度があいまっ新設され（法第 27 条第 2 項から第 4 項まで）、これらの制度があいまって、違法に入手された個人データの流通を抑止しようとするものであて、違法に入手された個人データの流通を抑止しようとするものである。

る。

[○確認・記録義務の規定を新設 略][○確認・記録義務の規定を新設 同左]

さらに、令和 2 年改正法により、本人が事業者間での個人データの流さらに、個人情報の保護に関する法律等の一部を改正する法律（令和 2

通を把握し、事業者に対する権利行使を容易にすべく、第三者提供記録年法律第 44 号）（以下「令和 2 年改正法」という。）により、本人が事の開示の請求ができることとなった（法第 33 条第 5 項）。

業者間での個人データの流通を把握し、事業者に対する権利行使を容易にすべく、第三者提供記録の開示の請求ができることとなった（法第 334条第 5 項）。

[略]

2

確認・記録義務の適用対象

2-1 明文により確認・記録義務が適用されない第三者提供
次の類型の第三者提供については、明文上、確認・記録義務が適用

[同左]

2

確認・記録義務の適用対象

2-1 明文により確認・記録義務が適用されない第三者提供
次の類型の第三者提供については、明文上、確認・記録義務が適用されない。

されない。

2-1-1 [略]2-1-1 [同左]

2-1-2 法第 27 条第 5 項各号に掲げる場合[（関係条文） 略][略]

2-1-2 法第 27 条第 5 項各号に掲げる場合[（関係条文） 同左][同左][（1）～(3) 略]【外国にある第三者に個人データを提供する場合の記録義務の適用】[（1）～(3) 同左]【外国にある第三者に個人データを提供する場合の記録義務の適用】[同左]

類型Ⅰ [略]類型Ⅰ [同左]

類型Ⅱ：当該第三者が、我が国と同等の水準にあると認められる個人

類型Ⅱ：当該第三者が、我が国と同等の水準にあると認められる個人情報保護制度を有している国として規則で定められた国にあ情報保護制度を有している国として個人情報の保護に関するる場合

法律施行規則（平成 28 年個人情報保護委員会規則第 3 号。以5[略]下「規則」という。）で定められた国にある場合[類型Ⅲ・類型Ⅳ 略][類型Ⅲ・類型Ⅳ 同左]

＜適用表＞

＜適用表＞

[略]

[同左]

2-1-3 第三者が法第 16 条第 2 項各号に掲げる者である場合

2-1-3 第三者が法第 16 条第 2 項各号に掲げる者である場合

[（関係条文） 略][（関係条文） 同左]

[略]

[同左]

[（1）～（3） 略][（1）～（3） 同左]（4）地方独立行政法人（地方独立行政法人法（平成 15 年法律第 118（4）地方独立行政法人（地方独立行政法人法（平成 15 年法律第 118号）第 2 条第 1 項に規定する地方独立行政法人をいう。同法第 21 条号）第 2 条第 1 項に規定する地方独立行政法人をいう。）（法第 16第 1 号に掲げる業務を主たる目的とするもの又は同条第 2 号若しく

条第 2 項第 4 号関係）

は第 3 号（チに係る部分に限る。）に掲げる業務を目的とするもの

6を除く。）（法第 16 条第 2 項第 4 号関係）

2-2

3[略]

確認義務（法第 30 条第 1 項・第 2 項、規則第 22 条関係）

3-1

[略]

2-2

3[同左]

確認義務（法第 30 条第 1 項・第 2 項、規則第 22 条関係）

3-1

[同左]

3-2 既に確認を行った第三者に対する確認方法（規則第 22 条関係）

3-2 既に確認を行った第三者に対する確認方法（規則第 22 条関係）

[規則第 22 条（第 3 項）・平成 27 年改正法規則附則第 4 条 略]

[規則第 22 条（第 3 項）・平成 27 年改正法規則附則第 4 条 同左]

令和 3 年改正法規則（第 50 条改正関係）附則第 5 条

令和 3 年改正法規則附則第 5 条

別表第二法人等において、法第 30 条第 1 項各号に規定する事項の別表第二法人等において、法第 30 条第 1 項各号に規定する事項のうち、施行日前に新規則第 22 条に規定する方法に相当する方法で確

うち、施行日前に新規則第 22 条に規定する方法に相当する方法で確認（当該確認について新規則第 23 条に規定する方法に相当する方法

認（当該確認について新規則第 23 条に規定する方法に相当する方法により記録を作成し、かつ、保存している場合におけるものに限により記録を作成し、かつ、保存している場合におけるものに限る。）を行っているものについては、新規則第 22 条第 3 項を適用する。）を行っているものについては、新規則第 22 条第 3 項を適用することができる。この場合において、同項中「前二項に規定する方ることができる。この場合において、同項中「前二項に規定する方法」とあるのは「前二項に規定する方法に相当する方法」と読み替え法」とあるのは「前二項に規定する方法に相当する方法」と読み替えるものとする。

るものとする。

令和 3 年改正法規則（第 51 条改正関係）附則第 5 条
7

特定地方独立行政法人等において、新個人情報保護法第 30 条第 1 項各号に規定する事項のうち、施行日前に新規則第 22 条に規定する方法に相当する方法で確認（当該確認について新規則第 23 条に規定する方法に相当する方法により記録を作成し、かつ、保存している場合におけるものに限る。）を行っているものについては、新規則第 22条第 3 項を適用することができる。この場合において、同項中「前二項に規定する方法」とあるのは「前二項に規定する方法に相当する方法」と読み替えるものとする。

複数回にわたって同一「本人」の個人データの授受をする場合におい複数回にわたって同一「本人」の個人データの授受をする場合において、同一の内容である事項を重複して確認する合理性はないため、既にて、同一の内容である事項を重複して確認する合理性はないため、既に規則第 22 条に規定する方法（「3-1-1 第三者の氏名及び住所並びに法人規則第 22 条に規定する方法（「3-1-1 第三者の氏名及び住所並びに法人にあっては、その代表者の氏名」「3-1-2にあっては、その代表者の氏名」「3-1-2当該第三者による当該個人データの取得の経緯」）により確認を行い、「4記録義務」に規定する方当該第三者による当該個人データの取得の経緯」）により確認を行い、「4記録義務」に規定する方法により作成し、かつ、その時点において保存している記録に記録され法により作成し、かつ、その時点において保存している記録に記録された事項と内容が同一であるものについては、当該事項の確認を省略する

た事項と内容が同一であるものについては、当該事項の確認を省略することができる。

ことができる。

平成 27 年改正法の施行日（平成 29 年 5 月 30 日）の前に上記に規定す平成 27 年改正法の施行日の前に上記に規定する方法に相当する方法でる方法に相当する方法で作成した記録、令和 3 年改正法第 50 条の規定の作成した記録及び令和 3 年改正法の施行日の前に別表第二法人等（法別表施行日（令和 4 年 4 月 1 日）の前に別表第二法人等（法別表第 2 に掲げる 第 2 に掲げる法人、法第 58 条第 2 項の規定により個人情報取扱事業者、法人、法第 58 条第 2 項の規定により個人情報取扱事業者、仮名加工情報 仮名加工情報取扱事業者若しくは個人関連情報取扱事業者とみなされる独立行政法人労働者健康安全機構又は学術研究機関等である個人情報取労働者健康安全機構又は学術研究機関等である個人情報取扱事業者をい扱事業者をいう。以下同じ。）が上記に規定する方法に相当する方法でう。以下同じ。）及び令和 3 年改正法第 51 条の規定の施行日（令和 5 年作成した記録についても同様とする。

8取扱事業者若しくは個人関連情報取扱事業者とみなされる独立行政法人

4 月 1 日）前に特定地方独立行政法人等（法第 58 条第 1 項第 2 号に掲げる例えば、個人情報取扱事業者が、同じ提供者から、既に確認・記録義者又は同条第 2 項の規定により個人情報取扱事業者、仮名加工情報取扱事 務を履行した、特定の事業活動であることを認識しながら、個人データ業者若しくは個人関連情報取扱事業者とみなされる法第 58 条第 2 項第 1 の提供を受ける場合は、提供者の名称、当該個人データの取得の経緯に号に掲げる者をいう。以下同じ。）が上記に規定する方法に相当する方法で作成した記録についても同様とする。
例えば、個人情報取扱事業者が、同じ提供者から、既に確認・記録義務を履行した、特定の事業活動であることを認識しながら、個人データの提供を受ける場合は、提供者の名称、当該個人データの取得の経緯について「同一であることの確認」が行われているものである。

ついて「同一であることの確認」が行われているものである。

記録義務（法第 29 条第 1 項、第 30 条第 3 項関係）

4-1

[略]

4

記録義務（法第 29 条第 1 項、第 30 条第 3 項関係）

4-1[同左]4-2 記録事項

4-2 記録事項[4-2-1・4-2-2 略][4-2-1・4-2-2 同左]

4-2-3 記録事項の省略（規則第 20 条第 2 項、第 24 条第 2 項関係）

4-2-3 記録事項の省略（規則第 20 条第 2 項、第 24 条第 2 項関係）

規則第 20 条（第 2 項）

規則第 20 条（第 2 項）

2

2

前項各号に定める事項のうち、既に前条に規定する方法により作成前項各号に定める事項のうち、既に前条に規定する方法により作成した法第 29 条第 1 項の記録（当該記録を保存している場合におけるした法第 29 条第 1 項の記録（当該記録を保存している場合におけるものに限る。）に記録されている事項と内容が同一であるものについものに限る。）に記録されている事項と内容が同一であるものについては、同項の当該事項の記録を省略することができる。ては、法第 29 条第 1 項の当該事項の記録を省略することができる。

規則第 24 条（第 2 項）

規則第 24 条（第 2 項）

2

2

前項各号に定める事項のうち、既に前条に規定する方法により作成前項各号に定める事項のうち、既に前条に規定する方法により作成した法第 30 条第 3 項の記録（当該記録を保存している場合におけるした法第 30 条第 3 項の記録（当該記録を保存している場合におけるものに限る。）に記録された事項と内容が同一であるものについてものに限る。）に記録された事項と内容が同一であるものについては、同項の当該事項の記録を省略することができる。

は、法第 30 条第 3 項の当該事項の記録を省略することができる。

94

[略]

平成 27 年改正法規則附則第 5 条[略]

令和 3 年改正法規則（第 50 条改正関係）附則第 4 条

平成 27 年改正法規則附則第 3 条[同左]

平成 27 年改正法規則附則第 5 条[同左]

令和 3 年改正法規則附則第 4 条

別表第二法人等（法別表第 2 に掲げる法人、法第 58 条第 2 項の規別表第二法人等（法別表第 2 に掲げる法人、法第 58 条第 2 項の規定により法第 16 条第 2 項に規定する個人情報取扱事業者、同条第 5 項定により法第 16 条第 2 項に規定する個人情報取扱事業者、同条第 5 項に規定する仮名加工情報取扱事業者若しくは同条第 7 項に規定する個に規定する仮名加工情報取扱事業者若しくは同条第 7 項に規定する個人関連情報取扱事業者とみなされる独立行政法人労働者健康安全機構

人関連情報取扱事業者とみなされる独立行政法人労働者健康安全機構

又は同条第 8 項に規定する学術研究機関等である同条第 2 項に規定す又は同条第 8 項に規定する学術研究機関等である同条第 2 項に規定する個人情報取扱事業者をいう。以下同じ。）において、新規則第 20

る個人情報取扱事業者をいう。以下同じ。）において、新規則第 20条第 1 項に規定する事項のうち、施行日前に新規則第 19 条に規定す条第 1 項に規定する事項のうち、施行日前に新規則第 19 条に規定する方法に相当する方法で記録（当該記録を保存している場合におけるる方法に相当する方法で記録（当該記録を保存している場合におけるものに限る。）を作成しているものについては、新規則第 20 条第 2 項ものに限る。）を作成しているものについては、新規則第 20 条第 2 項の規定を適用することができる。この場合において、同項中「前条にの規定を適用することができる。この場合において、同項中「前条に規定する方法」とあるのは「前条に規定する方法に相当する方法」と規定する方法」とあるのは「前条に規定する方法に相当する方法」と読み替えるものとする。

読み替えるものとする。

令和 3 年改正法規則（第 50 条改正関係）附則第 6 条

令和 3 年改正法規則附則第 6 条

別表第二法人等において、新規則第 24 条第 1 項（同項第 3 号を除

別表第二法人等において、新規則第 24 条第 1 項（同項第 3 号を除く。）に規定する事項のうち、施行日前に新規則第 23 条に規定するく。）に規定する事項のうち、施行日前に新規則第 23 条に規定する

10

平成 27 年改正法規則附則第 3 条

方法に相当する方法で記録（当該記録を保存している場合におけるも方法に相当する方法で記録（当該記録を保存している場合におけるものに限る。）を作成しているものについては、新規則第 24 条第 2 項のに限る。）を作成しているものについては、新規則第 24 条第 2 項を適用することができる。この場合において、同項中「前条に規定すを適用することができる。この場合において、同項中「前条に規定する方法」とあるのは「前条に規定する方法に相当する方法」と読み替る方法」とあるのは「前条に規定する方法に相当する方法」と読み替えるものとする。

えるものとする。

令和 3 年改正法規則（第 51 条改正関係）附則第 4 条
特定地方独立行政法人等（整備法第 51 条の規定による改正後の個人情報の保護に関する法律（以下「新個人情報保護法」という。）第58 条第 1 項第 2 号に掲げる者又は同条第 2 項の規定により新個人情報規定する仮名加工情報取扱事業者若しくは同条第 7 項に規定する個人関連情報取扱事業者とみなされる新個人情報保護法第 58 条第 2 項第 1号に掲げる者をいう。以下同じ。）において、新規則第 20 条第 1 項に規定する事項のうち、施行日前に新規則第 19 条に規定する方法に相当する方法で記録（当該記録を保存している場合におけるものに限る。）を作成しているものについては、新規則第 20 条第 2 項の規定を適用することができる。この場合において、同項中「前条に規定する方法」とあるのは「前条に規定する方法に相当する方法」と読み替えるものとする。

令和 3 年改正法規則（第 51 条改正関係）附則第 6 条
特定地方独立行政法人等において、新規則第 24 条第 1 項に規定す

11

保護法第 16 条第 2 項に規定する個人情報取扱事業者、同条第 5 項にる事項のうち、施行日前に新規則第 23 条に規定する方法に相当する方法で記録（当該記録を保存している場合におけるものに限る。）を作成しているものについては、新規則第 24 条第 2 項を適用することができる。この場合において、同項中「前条に規定する方法」とあるのは「前条に規定する方法に相当する方法」と読み替えるものとする。

複数回にわたって同一「本人」の個人データの授受をする場合におい複数回にわたって同一「本人」の個人データの授受をする場合において、同一の内容である事項を重複して記録する必要はないことから、そて、同一の内容である事項を重複して記録する必要はないことから、その旨を明確にするものである。すなわち、既に「4の旨を明確にするものである。すなわち、既に「4記録義務」に規定する方法により作成した記録（現に保存している場合に限る。）に記録さる方法により作成した記録（現に保存している場合に限る。）に記録された事項と内容が同一であるものについては、当該事項の記録を省略すれた事項と内容が同一であるものについては、当該事項の記録を省略することができる。

ることができる。

平成 27 年改正法の施行日（平成 29 年 5 月 30 日）の前に上記に規定す平成 27 年改正法の施行日の前に上記に規定する方法に相当する方法でる方法に相当する方法で作成した記録、令和 3 年改正法第 50 条の規定の作成した記録及び令和 3 年改正法の施行日の前に別表第二法人等（3-2施行日（令和 4 年 4 月 1 日）の前に別表第二法人等（3-2（既に確認を行 （既に確認を行った第三者に対する確認方法）参照）が上記に規定するった第三者に対する確認方法）参照）が上記に規定する方法に相当する方法に相当する方法で作成した記録についても同様とする。

方法で作成した記録及び令和 3 年改正法第 51 条の規定の施行日（令和 5

記録事項の内容は同一でなければならないため、例えば、同一法人で年 4 月 1 日）前に特定地方独立行政法人等（3-2（既に確認を行った第三あっても、代表者が交代し、その後に記録を作成する場面では、改め者に対する確認方法）参照）が上記に規定する方法に相当する方法で作て、新代表者の氏名について記録をしなければならない。

成した記録についても同様とする。

なお、記録事項のうち、一部の事項の記録の作成を規則第 20 条第 2 項

記録事項の内容は同一でなければならないため、例えば、同一法人で 又は規則第 24 条第 2 項に基づき省略し、残りの事項の記録のみを作成しあっても、代表者が交代し、その後に記録を作成する場面では、改め た場合、記録全体としての保存期間の起算点は、残りの事項を作成した12記録義務」に規定す

て、新代表者の氏名について記録をしなければならない。

時点とする。保存期間については、「4-3 保存期間」を参照のこと。

なお、記録事項のうち、一部の事項の記録の作成を規則第 20 条第 2 項
又は規則第 24 条第 2 項に基づき省略し、残りの事項の記録のみを作成した場合、記録全体としての保存期間の起算点は、残りの事項を作成した時点とする。保存期間については、「4-3 保存期間」を参照のこと。

4-35[略]

[略]

5[同左]

[同左]

【付録】 [同左]13【付録】 [略]4-3

備考 表中の[ ]の記載は注記である。