本資料において、改正前欄には、個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）の一部を改正する告示（令和 3 年個人情報保護委員会告示第 4 号）による改正後の個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）（平成 28 年個人情報保護委員会告示第 7 号）を示す。

個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）（平成 28 年個人情報保護委員会告示第 7 号）の一部改正の新旧対照表○平成 28 年個人情報保護委員会告示第 7 号（個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編））
・改正前欄に掲げる規定の傍線を付し又は破線で囲んだ部分をこれに順次対応する改正後欄に掲げる規定の傍線を付し又は破線で囲んだ部分のように改める。
・改正前欄及び改正後欄に対応して掲げるその標記部分に二重傍線を付した規定（以下「対象規定」という。）は、改正前欄に掲げる対象規定を改正後欄に掲げる対象規定として移動する。
・改正後欄に掲げる対象規定で改正前欄にこれに対応するものを掲げていないものは、これを加える。

改正前

個人情報の保護に関する法律についてのガイドライン

個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）（外国にある第三者への提供編）

目次

目次

1

改正後

[1～3 略][1～3 同左]

44

個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準

個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準

4-1 適切かつ合理的な方法（規則第 16 条第 1 号関係）

4-1 適切かつ合理的な方法（規則第 11 条の 2 第 1 号関係）

4-2 法第 4 章第 2 節の規定の趣旨に沿った措置（規則第 16 条第 1 号関4-2 法第 4 章第 1 節の規定の趣旨に沿った措置（規則第 11 条の 2 第 1

係）

号関係）

4-2-1 利用目的の特定（法第 17 条の趣旨に沿った措置）

4-2-1 利用目的の特定（法第 15 条の趣旨に沿った措置）

4-2-2 利用目的による制限（法第 18 条の趣旨に沿った措置）

4-2-2 利用目的による制限（法第 16 条の趣旨に沿った措置）

4-2-3 不適正な利用の禁止（法第 19 条の趣旨に沿った措置）

4-2-3 不適正な利用の禁止（法第 16 条の 2 の趣旨に沿った措置）4-2-4 適正な取得（法第 20 条の趣旨に沿った措置）

4-2-4 適正な取得（法第 17 条の趣旨に沿った措置）

4-2-5 取得に際しての利用目的の通知（法第 21 条の趣旨に沿った措

4-2-5 取得に際しての利用目的の通知（法第 18 条の趣旨に沿った措

置）

置）

4-2-6 データ内容の正確性の確保等（法第 22 条の趣旨に沿った措置）

4-2-6 データ内容の正確性の確保等（法第 19 条の趣旨に沿った措置）

4-2-7 安全管理措置（法第 23 条の趣旨に沿った措置）

4-2-7 安全管理措置（法第 20 条の趣旨に沿った措置）

4-2-8 従業者の監督（法第 24 条の趣旨に沿った措置）

4-2-8 従業者の監督（法第 21 条の趣旨に沿った措置）

4-2-9 委託先の監督（法第 25 条の趣旨に沿った措置）

4-2-9 委託先の監督（法第 22 条の趣旨に沿った措置）

4-2-10 漏えい等の報告等（法第 26 条の趣旨に沿った措置）

4-2-10 漏えい等の報告等（法第 22 条の 2 の趣旨に沿った措置）

4-2-11 第三者提供の制限（法第 27 条の趣旨に沿った措置）

4-2-11 第三者提供の制限（法第 23 条の趣旨に沿った措置）

4-2-12 外国にある第三者への提供の制限（法第 28 条の趣旨に沿った

4-2-12 外国にある第三者への提供の制限（法第 24 条の趣旨に沿った

措置）

4-2-13 保有個人データに関する事項の公表等（法第 27 条の趣旨に沿
2

4-2-13 保有個人データに関する事項の公表等（法第 32 条の趣旨に沿

措置）

った措置）

った措置）

4-2-14 開示（法第 33 条の趣旨に沿った措置）

4-2-14 開示（法第 28 条の趣旨に沿った措置）

4-2-15 訂正等（法第 34 条の趣旨に沿った措置）

4-2-15 訂正等（法第 29 条の趣旨に沿った措置）

4-2-16 利用停止等（法第 35 条の趣旨に沿った措置）

4-2-16 利用停止等（法第 30 条の趣旨に沿った措置）

4-2-17 理由の説明（法第 36 条の趣旨に沿った措置）

4-2-17 理由の説明（法第 31 条の趣旨に沿った措置）

4-2-18 開示等の請求等に応じる手続（法第 37 条の趣旨に沿った措

4-2-18 開示等の請求等に応じる手続（法第 32 条の趣旨に沿った措

置）

置）

4-2-19 手数料（法第 38 条の趣旨に沿った措置）

4-2-19 手数料（法第 33 条の趣旨に沿った措置）

4-2-20 個人情報取扱事業者による苦情の処理（法第 40 条の趣旨に沿4-2-20 個人情報取扱事業者による苦情の処理（法第 35 条の趣旨に沿った措置）
4-3 個人データの提供を受ける者が、個人情報の取扱いに係る国際的なった措置）
4-3 個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること（規則第 11 条の 2 第 2 号関枠組みに基づく認定を受けていること（規則第 16 条第 2 号関係）係）
5

同意取得時の情報提供

5

同意取得時の情報提供

5-1 情報提供の方法（規則第 17 条第 1 項関係）

5-1 情報提供の方法（規則第 11 条の 3 第 1 項関係）

5-2 提供すべき情報（規則第 17 条第 2 項関係）

5-2 提供すべき情報（規則第 11 条の 3 第 2 項関係）

5-3 同意取得時に移転先が特定できない場合等の取扱い（規則第 17 条

5-3 同意取得時に移転先が特定できない場合等の取扱い（規則第 11 条

第 3 項・第 4 項関係）の 3 第 3 項・第 4 項関係）

5-3-1 提供先の第三者が所在する外国が特定できない場合（規則第 17

5-3-1 提供先の第三者が所在する外国が特定できない場合（規則第 11

条第 3 項関係）
5-3-2 提供先の第三者が講ずる個人情報の保護のための措置に関する

5-3-2 提供先の第三者が講ずる個人情報の保護のための措置に関する情報が提供できない場合（規則第 17 条第 4 項関係）

情報が提供できない場合（規則第 11 条の 3 第 4 項関係）

個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずる

6

個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずる
3

6条の 3 第 3 項関係）ために必要な体制を整備している者に個人データを提供した場合に講ために必要な体制を整備している者に個人データを提供した場合に講ずべき措置等

ずべき措置等

6-1 相当措置の継続的な実施を確保するために必要な措置（規則第 18
条第 1 項関係）
6-2 相当措置の継続的な実施を確保するために必要な措置に関する情報

6-1 相当措置の継続的な実施を確保するために必要な措置（規則第 11
条の 4 第 1 項関係）
6-2 相当措置の継続的な実施を確保するために必要な措置に関する情報提供（規則第 18 条第 2 項・第 3 項関係）

提供（規則第 11 条の 4 第 2 項・第 3 項関係）

6-2-1 情報提供の方法（規則第 18 条第 2 項関係）

6-2-1 情報提供の方法（規則第 11 条の 4 第 2 項関係）

6-2-2 提供すべき情報（規則第 18 条第 3 項関係）

6-2-2 提供すべき情報（規則第 11 条の 4 第 3 項関係）

6-2-3 情報提供しない旨の決定を行った際の通知等（規則第 18 条第 46-2-3 情報提供しない旨の決定を行った際の通知等（規則第 11 条の 4

項・第 5 項関係）
【付録】 [略]第 4 項・第 5 項関係）
【付録】 [同左]

【凡例】

【凡例】

「法」

個人情報の保護に関する法律（平成 15 年法律第 57 号）「法」

個人情報の保護に関する法律（平成 15 年法律第 57 号）「政令」

個人情報の保護に関する法律施行令（平成 15 年政令第「政令」

個人情報の保護に関する法律施行令（平成 15 年政令第507 号）「規則」

507 号）

個人情報の保護に関する法律施行規則（平成 28 年個人「規則」

情報保護委員会規則第 3 号）
「通則ガイドライン」

情報保護委員会規則第 3 号）

個人情報の保護に関する法律についてのガイ「通則ガイドライン」

個人情報の保護に関する法律についてのガイドライン（通則編）（平成 28 年個人情報保ドライン（通則編）（平成 28 年個人情報保護委員会告示第 6 号）

護委員会告示第 6 号）

個人情報の保護に関する法律及び行政手続に「平成 27 年改正法」

個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利おける特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律（平用等に関する法律の一部を改正する法律（平成 27 年法律第 65 号）

成 27 年法律第 65 号）

4「平成 27 年改正法」

個人情報の保護に関する法律施行規則（平成 28 年個人「令和 2 年改正法」

個人情報の保護に関する法律等の一部を改正す「令和 2 年改正法」

る法律（令和 2 年法律第 44 号）「令和 3 年改正法」

個人情報の保護に関する法律等の一部を改正する法律（令和 2 年法律第 44 号）

デジタル社会の形成を図るための関係法律の整備に関する法律（令和 3 年法律第 37 号）（第50 条の規定に限る。）

1

本ガイドラインの位置付け

個人情報保護委員会は、事業者が個人情報の適正な取扱いの確保に関し

1

本ガイドラインの位置付け

個人情報保護委員会は、事業者が個人情報の適正な取扱いの確保に関して行う活動を支援すること、及び当該支援により事業者が講ずる措置が適て行う活動を支援すること、及び当該支援により事業者が講ずる措置が適切かつ有効に実施されることを目的として、個人情報の保護に関する法律

切かつ有効に実施されることを目的として、個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「法」という。）第 4 条、第 9 条及び第（平成 15 年法律第 57 号。以下「法」という。）第 4 条、第 8 条及び第 60128 条に基づき具体的な指針として「個人情報の保護に関する法律につい条に基づき具体的な指針として「個人情報の保護に関する法律についてのてのガイドライン（通則編）」（平成 28 年個人情報保護委員会告示第 6

ガイドライン（通則編）」（平成 28 年個人情報保護委員会告示第 6 号。

号。以下「通則ガイドライン」という。）を定めているが、法が定める事

以下「通則ガイドライン」という。）を定めているが、法が定める事業者

業者の義務のうち外国にある第三者への個人データの提供に関する部分にの義務のうち外国にある第三者への個人データの提供に関する部分に特化

特化して分かりやすく一体的に示す観点から、通則ガイドラインとは別して分かりやすく一体的に示す観点から、通則ガイドラインとは別に、本に、本ガイドラインを定めるものである。

ガイドラインを定めるものである。

[同左]

[略]

[同左]

5

[略]

2

総論

2

総論

法第 28 条（第 1 項）

法第 24 条（第 1 項）

1

1

個人情報取扱事業者は、外国（本邦の域外にある国又は地域をい

個人情報取扱事業者は、外国（本邦の域外にある国又は地域をいう。以下この条及び第 31 条第 1 項第 2 号において同じ。）（個人のう。以下同じ。）（個人の権利利益を保護する上で我が国と同等の水権利利益を保護する上で我が国と同等の水準にあると認められる個人

準にあると認められる個人情報の保護に関する制度を有している外国情報の保護に関する制度を有している外国として個人情報保護委員会

として個人情報保護委員会規則で定めるものを除く。以下この条及び規則で定めるものを除く。以下この条及び同号において同じ。）にあ

第 26 条の 2 第 1 項第 2 号において同じ。）にある第三者（個人デーる第三者（個人データの取扱いについてこの節の規定により個人情報

タの取扱いについてこの節の規定により個人情報取扱事業者が講ずべ取扱事業者が講ずべきこととされている措置に相当する措置（第 3 項

きこととされている措置に相当する措置（第 3 項において「相当措において「相当措置」という。）を継続的に講ずるために必要なもの置」という。）を継続的に講ずるために必要なものとして個人情報保として個人情報保護委員会規則で定める基準に適合する体制を整備し

護委員会規則で定める基準に適合する体制を整備している者を除く。

ている者を除く。以下この項及び次項並びに同号において同じ。）に

以下この項及び次項並びに同号において同じ。）に個人データを提供

個人データを提供する場合には、前条第 1 項各号に掲げる場合を除く

する場合には、前条第 1 項各号に掲げる場合を除くほか、あらかじめほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意外国にある第三者への提供を認める旨の本人の同意を得なければならを得なければならない。この場合においては、同条の規定は、適用しない。この場合においては、同条の規定は、適用しない。

個人情報取扱事業者は、個人データを外国にある第三者に提供するに当

個人情報取扱事業者は、個人データを外国にある第三者に提供するに当たっては、法第 28 条第 1 項に従い、次の（1）から（3）までのいずれか

たっては、法第 24 条第 1 項に従い、次の（1）から（3）までのいずれかに該当する場合を除き、あらかじめ「外国にある第三者への個人データのに該当する場合を除き、あらかじめ「外国にある第三者への個人データの提供を認める旨の本人の同意」を得る必要がある。

提供を認める旨の本人の同意」を得る必要がある。

[（1）・（2）略][（1）・（2）同左]（3）次の①から⑦までのいずれかに該当する場合（法第 27 条第 1 項（3）次の①から④までのいずれかに該当する場合（法第 23 条第 1 項

各号関係）

各号関係）

[①～④略][①～④同左]⑤学術研究機関等が個人データを提供する場合であり、かつ、当該[新設]

個人データの提供が学術研究の成果の公表又は教授のためやむを得ない場合（個人の権利利益を不当に侵害するおそれがある場合を除く。）（第 5 号関係）

6ない。

⑥学術研究機関等が個人データを提供する場合であり、かつ、当該[新設]

学術研究機関等と共同して学術研究を行う第三者（学術研究機関
等であるか否かを問わない）に当該個人データを学術研究目的で提供する必要がある場合（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（第 6 号関係）
⑦学術研究機関等が個人データの第三者提供を受ける場合であり、[新設]かつ、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要がある場合（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害す7

るおそれがある場合を除く。）（第 7 号関係）（※1）[略]（※1）[同左]（※2）個人情報取扱事業者が講ずべき措置に相当する措置を継続（※2）個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準の詳細については、4（個的に講ずるために必要な体制の基準の詳細については、4（個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準）を参照のこと。

ずるために必要な体制の基準）を参照のこと。

外国にある第三者が当該基準に適合する体制を整備している

外国にある第三者が当該基準に適合する体制を整備していることを根拠として、当該外国にある第三者に対して個人データことを根拠として、当該外国にある第三者に対して個人データの提供を行った場合には、個人情報取扱事業者は、法第 28 条の提供を行った場合には、個人情報取扱事業者は、法第 24 条

第 3 項に基づき、当該外国にある第三者による相当措置の継続

第 3 項に基づき、当該外国にある第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供の求めに応じて当該必要な措置に関する情報を当該本人に提供する必要がある。詳細については、6（個人情報取扱事業者がする必要がある。詳細については、6（個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備している者に個人データを提供した場合に講ずべき措制を整備している者に個人データを提供した場合に講ずべき措

置等）を参照のこと。

置等）を参照のこと。

[（※3）・（※4） 略][（※3）・（※4） 同左]

上記（1）の場合、当該第三者が所在する国は、法第 24 条第 1 項における「外国」に該当しない。また、上記（2）の場合、当該第三者は、法第る「外国」に該当しない。また、上記（2）の場合、当該第三者は、法第28 条第 1 項における「第三者」に該当しない。したがって、これらの場合

24 条第 1 項における「第三者」に該当しない。したがって、これらの場合には、法第 28 条第 1 項の適用がないため、個人情報取扱事業者は、当該には、法第 24 条第 1 項の適用がないため、個人情報取扱事業者は、当該第三者への個人データの提供に際して、「外国にある第三者への個人デー

第三者への個人データの提供に際して、「外国にある第三者への個人デー

タの提供を認める旨の本人の同意」を得る必要はない。

タの提供を認める旨の本人の同意」を得る必要はない。
8

上記（1）の場合、当該第三者が所在する国は、法第 28 条第 1 項におけ

ただし、当該第三者への個人データの提供に当たっては、法第 27 条の

ただし、当該第三者への個人データの提供に当たっては、法第 23 条の規定による次の（ア）から（エ）のいずれかの方法による必要がある。

規定による次の（ア）から（エ）のいずれかの方法による必要がある。

（ア）本人の同意に基づき提供する方法（法第 27 条第 1 項柱書）

（ア）本人の同意に基づき提供する方法（法第 23 条第 1 項柱書）

（イ）法第 27 条第 1 項各号に掲げる場合により提供する方法（「法第（イ）法第 23 条第 1 項各号に掲げる場合により提供する方法（「法第27 条第 1 項各号に掲げる場合」の内容については、上記（3）参23 条第 1 項各号に掲げる場合」の内容については、上記（3）参照）照）（ウ）オプトアウトにより提供する方法（法第 27 条第 2 項）（ウ）オプトアウトにより提供する方法（法第 23 条第 2 項）（エ）委託、事業承継又は共同利用に伴って提供する方法（法第 27 条（エ）委託、事業承継又は共同利用に伴って提供する方法（法第 23 条

第 5 項各号）

第 5 項各号）

2-1 外国にある第三者への個人データの提供を認める旨の本人の同意

2-1 外国にある第三者への個人データの提供を認める旨の本人の同意

[略]

[同左]

法第 28 条第 1 項において求められる本人の同意を得ようとする場合に法第 24 条第 1 項において求められる本人の同意を得ようとする場合には、本人に対し、法第 28 条第 2 項に基づく情報提供を行わなければならは、本人に対し、法第 24 条第 2 項に基づく情報提供を行わなければならない。同意取得時に本人に提供すべき情報については、5（同意取得時のない。同意取得時に本人に提供すべき情報については、5（同意取得時の情報提供）を参照のこと。

情報提供）を参照のこと。

なお、平成 27 年改正法の施行日前になされた本人の個人情報の取扱いに

なお、平成 27 年改正法の施行日前になされた本人の個人情報の取扱いに9関する同意がある場合において、その同意が平成 27 年改正法による改正後 関する同意がある場合において、その同意が平成 27 年改正法による改正後の法第 24 条（現行法第 28 条）の規定による個人データの外国にある第三 の法第 24 条の規定による個人データの外国にある第三者への提供を認める者への提供を認める旨の同意に相当するものであるときは、同条の同意が旨の同意に相当するものであるときは、同条の同意があったものとみなすあったものとみなす（平成 27 年改正法附則第 3 条）。

（平成 27 年改正法附則第 3 条）。

また、令和 3 年改正法の施行日前に別表第二法人等（法別表第 2 に掲げる法人、法第 58 条第 2 項の規定により個人情報取扱事業者、仮名加工情報取扱事業者若しくは個人関連情報取扱事業者とみなされる独立行政法人労働者健康安全機構又は学術研究機関等である同個人情報取扱事業者をいう。以下同じ。）に対しされた本人の個人情報の取扱いに関する同意がある場合において、その同意が法第 28 条第 1 項の規定による個人データの外国にある第三者への提供を認める旨の同意に相当するものであるときは、同項の同意があったものとみなす（令和 3 年改正法附則第 7 条第 5 項）。

2-2 外国にある第三者

[略]

[同左]

（※1）[略]（※1）[同左]（※2）「個人情報取扱事業者」（法第 16 条第 2 項）とは、個人情（※2）「個人情報取扱事業者」（法第 2 条第 5 項）とは、個人情報データベース等を事業の用に供している者のうち、国の機報データベース等を事業の用に供している者のうち、国の機関、地方公共団体、法第 2 条第 9 項に規定する独立行政法人等

関、地方公共団体、独立行政法人等の保有する個人情報の保護（別表第 2 に掲げる法人を除く。）及び法第 2 条第 10 項に規に関する法律（平成 15 年法律第 59 号）で定める独立行政法人

定する地方独立行政法人を除いた者をいう。

等及び地方独立行政法人法（平成 15 年法律第 118 号）で定め

なお、個人情報データベース等を事業の用に供している者でる地方独立行政法人を除いた者をいう。

あれば、当該個人情報データベース等を構成する個人情報によ

なお、個人情報データベース等を事業の用に供している者でって識別される特定の個人の数の多寡にかかわらず、個人情報あれば、当該個人情報データベース等を構成する個人情報によ取扱事業者に該当する。

って識別される特定の個人の数の多寡にかかわらず、個人情報取扱事業者に該当する。

3

個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国規則第 15 条

3

個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国規則第 11 条

10

2-2 外国にある第三者

1

4

法第 28 条第 1 項の規定による個人情報の保護に関する制度を有し

1

法第 24 条第 1 項の規定による個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものは、次の各号ている外国として個人情報保護委員会規則で定めるものは、次の各号のいずれにも該当する外国として個人情報保護委員会が定めるものとのいずれにも該当する外国として個人情報保護委員会が定めるものと

する。

する。

[(1)～(4) 略][(1)～(4) 同左]

(5)

(5)

前四号に定めるもののほか、当該外国を法第 28 条第 1 項の規前四号に定めるもののほか、当該外国を法第 24 条第 1 項の規定による外国として定めることが、我が国における新たな産業の定による外国として定めることが、我が国における新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資する創出並びに活力ある経済社会及び豊かな国民生活の実現に資すると認められるものであることと認められるものであること[2～4 同左]

[略]

[同左]

個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準

規則第 16 条
法第 28 条第 1 項の個人情報保護委員会規則で定める基準は、次の4

11[2～4 略]

個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準

規則第 11 条の 2
法第 24 条第 1 項の個人情報保護委員会規則で定める基準は、次の各号のいずれかに該当することとする。

各号のいずれかに該当することとする

(1)

(1)

個人情報取扱事業者と個人データの提供を受ける者との間で、個人情報取扱事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、当該提供を受ける者における当該個人データの取扱いについて、

適切かつ合理的な方法により、法第 4 章第 2 節の規定の趣旨に沿

適切かつ合理的な方法により、法第 4 章第 1 節の規定の趣旨に沿った措置の実施が確保されていること。
[略]

個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるた

(2)

[同左]

個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準については、規則第 16 条に規定されている。なめに必要な体制の基準については、規則第 11 条の 2 に規定されている。

お、必要な体制が整備されていることについて、個人情報保護委員会に対なお、必要な体制が整備されていることについて、個人情報保護委員会にする事前の届出等は要しない。

対する事前の届出等は要しない。

4-1 適切かつ合理的な方法（規則第 16 条第 1 号関係）

4-1 適切かつ合理的な方法（規則第 11 条の 2 第 1 号関係）

[略]

[同左]

4-2 法第 4 章第 2 節の規定の趣旨に沿った措置（規則第 16 条第 1 号関4-2 法第 4 章第 1 節の規定の趣旨に沿った措置（規則第 11 条の 2 第 1

係）

号関係）

法第 28 条第 1 項の「この節の規定により個人情報取扱事業者が講ずべ

法第 24 条第 1 項の「この節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置」に該当するものとして規則第 16

きこととされている措置に相当する措置」に該当するものとして規則第 11

条第 1 号に「法第 4 章第 2 節の規定の趣旨に沿った措置」と規定されてい条の 2 第 1 号に「法第 4 章第 1 節の規定の趣旨に沿った措置」と規定され

る。

ている。

「法第 4 章第 2 節の規定の趣旨に沿った措置」については、外国にある「法第 4 章第 1 節の規定の趣旨に沿った措置」については、外国にある

第三者により個人データが取り扱われる場合においても、我が国の個人情

第三者により個人データが取り扱われる場合においても、我が国の個人情

12

(2)

った措置の実施が確保されていること。

報取扱事業者により個人データが取り扱われる場合に相当する程度の本人の権利利益の保護を図るという観点に加え、経済協力開発機構（OECD）にの権利利益の保護を図るという観点に加え、経済協力開発機構（OECD）におけるプライバシーガイドラインや APEC におけるプライバシーフレーム

おけるプライバシーガイドラインや APEC におけるプライバシーフレーム

ワークといった国際的な枠組みの基準も踏まえた国際的な整合性も勘案す

ワークといった国際的な枠組みの基準も踏まえた国際的な整合性も勘案する。

る。

具体的には、「法第 4 章第 2 節の規定の趣旨に沿った措置」として 4-2-

具体的には、「法第 4 章第 1 節の規定の趣旨に沿った措置」として 4-2-

1 から 4-2-20 までに記述する事項について、適切かつ合理的な方法（4-11 から 4-2-20 までに記述する事項について、適切かつ合理的な方法（4-1参照）に記述する方法によって担保されていなければならない（※1）。

参照）に記述する方法によって担保されていなければならない（※1）。

個人情報取扱事業者は、契約等に 4-2-1 から 4-2-20 までに記述する全

個人情報取扱事業者は、契約等に 4-2-1 から 4-2-20 までに記述する全ての事項を規定しなければならないものではなく、「法第 4 章第 2 節の規ての事項を規定しなければならないものではなく、「法第 4 章第 1 節の規定の趣旨」に鑑みて、実質的に適切かつ合理的な方法により、外国にある定の趣旨」に鑑みて、実質的に適切かつ合理的な方法により、外国にある

第三者に提供された個人データに係る本人の権利利益の保護に必要な範囲

第三者に提供された個人データに係る本人の権利利益の保護に必要な範囲で、「措置」の実施が確保されていれば足りる。

で、「措置」の実施が確保されていれば足りる。

次の 4-2-1 から 4-2-20 までにおいては、外国にある第三者への個人デ

次の 4-2-1 から 4-2-20 までにおいては、外国にある第三者への個人データの提供に関する典型的な事例として、【事例 1】日本にある個人情報ータの提供に関する典型的な事例として、【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客データの入力業務を委託する場

取扱事業者が、外国にある事業者に顧客データの入力業務を委託する場

合、及び【事例 2】日本にある個人情報取扱事業者が、外国にある親会社

合、及び【事例 2】日本にある個人情報取扱事業者が、外国にある親会社に従業員情報を提供する場合を挙げ、外国にある第三者又は提供元であるに従業員情報を提供する場合を挙げ、外国にある第三者又は提供元である

日本にある個人情報取扱事業者（以下「外国にある第三者等」という。）

日本にある個人情報取扱事業者（以下「外国にある第三者等」という。）

が講ずべき措置の具体例を示すこととする。

が講ずべき措置の具体例を示すこととする。

（※1）「法第 4 章第 2 節の規定の趣旨に沿った措置」は、次の表に記載のとおりとなる（※2）（※3）。

（※1）「法第 4 章第 1 節の規定の趣旨に沿った措置」は、次の表に記載のとおりとなる（※2）（※3）。

13報取扱事業者により個人データが取り扱われる場合に相当する程度の本人

法第 4 章第 2 節の法第 4 章第 1 節の規定の趣旨に沿った措置規定の趣旨に沿った措置

利用目的の特定第 27 条第 18 条利用目的による制限

第 28 条

第 19 条不適正な利用の禁止

第 32 条

第 20 条

適正な取得

第 33 条開示第 17 条

第 34 条

訂正等

第 18 条

第 35 条

利用停止等

第 19 条

理由の説明

第 20 条

第 21 条

第 22 条取得に際しての利用目的の通知等
データ内容の正確性の確保等

第 23 条

安全管理措置

第 36 条

第 24 条

従業者の監督第 37 条

第 25 条

委託先の監督第 38 条

第 26 条漏えい等の報告等

第 40 条

第三者提供の制限

第 15 条利用目的の特定第 23 条

第 16 条利用目的による制限

第 24 条不適正な利用の禁止

第 27 条

適正な取得

第 28 条開示第 29 条

訂正等

第 30 条

利用停止等

安全管理措置

第 31 条

理由の説明

第 21 条

従業者の監督第 32 条

手数料

第 22 条

委託先の監督第 33 条

個人情報取扱事業者に

第 22 条の漏えい等の報告等

第 35 条外国にある第三者への提供の制限
保有個人データに関する事項の公表等

開示等の請求等に応じる手続よる苦情の処理（※2）要配慮個人情報の取得に関する規律（法第 20 条第 2 項）、第 16 条の22取得に際しての利用目的の通知等
データ内容の正確性の確保等

第三者提供の制限
外国にある第三者への提供の制限
保有個人データに関する事項の公表等

14

第 17 条

開示等の請求等に応じる手続
手数料
個人情報取扱事業者による苦情の処理（※2）要配慮個人情報の取得に関する規律（法第 17 条第 2 項）、

オプトアウトによる個人データの第三者提供（法第 23 条第 2項及び第 3 項）、第三者提供時の確認・記録義務（法第 29 条

項及び第 3 項）、第三者提供時の確認・記録義務（法第 25 条

及び第 30 条）、個人関連情報の第三者提供に関する規律（法及び第 26 条）、個人関連情報の第三者提供に関する規律（法第 31 条）、並びに第三者提供記録の開示（法第 33 条第 5 項）

第 26 条の 2）、並びに第三者提供記録の開示（法第 28 条第 5

及びそれに関連するその他の手続等（法第 32 条及び第 36 条か項）及びそれに関連するその他の手続等（法第 27 条及び第 31

ら第 38 条までのうち、第三者提供記録の開示に関連する手続

条から第 33 条までのうち、第三者提供記録の開示に関連する等）については、ここでいう「法第 4 章第 2 節の規定の趣旨に手続等）については、ここでいう「法第 4 章第 1 節の規定の趣沿った措置」として外国にある第三者等が講ずべき措置には含旨に沿った措置」として外国にある第三者等が講ずべき措置にまれない。

は含まれない。

（※3）日本にある個人情報取扱事業者から個人データの提供を受（※3）日本にある個人情報取扱事業者から個人データの提供を受けた外国にある第三者が法第 166 条の要件を満たし、域外適用けた外国にある第三者が法第 75 条の要件を満たし、域外適用の対象となる場合であっても、これにより直ちに規則第 16 条の対象となる場合であっても、これにより直ちに規則第 11 条の基準を満たすこととなるわけではなく、同条の基準を満たすの 2 の基準を満たすこととなるわけではなく、同条の基準を満ためには、別途、当該個人データの取扱いについて我が国の個たすためには、別途、当該個人データの取扱いについて我が国

人情報取扱事業者が講ずべき措置に相当する措置を継続的に講の個人情報取扱事業者が講ずべき措置に相当する措置を継続的ずるために必要な体制を整備することが必要である。

に講ずるために必要な体制を整備することが必要である。

なお、この場合、当該外国にある第三者は、法第 166 条に基なお、この場合、当該外国にある第三者は、法第 75 条に基づき、「法第 4 章第 2 節の規定の趣旨に沿った措置」として講づき、「法第 4 章第 1 節の規定の趣旨に沿った措置」として講ずべき措置に含まれない規律（上記（※2）参照）も含め、法ずべき措置に含まれない規律（上記（※2）参照）も含め、法の規定に従って当該個人データを取り扱う義務を負うことになの規定に従って当該個人データを取り扱う義務を負うことになる。域外適用の詳細については、通則ガイドライン「8（域外る。域外適用の詳細については、通則ガイドライン「5－1（域適用）」を参照のこと。

外適用）」を参照のこと。

15

オプトアウトによる個人データの第三者提供（法第 27 条第 2

4-2-1 利用目的の特定（法第 15 条の趣旨に沿った措置）

法第 17 条

法第 15 条

[略]

[同左]

[略]

[同左]

4-2-2 利用目的による制限（法第 18 条の趣旨に沿った措置）

4-2-2 利用目的による制限（法第 16 条の趣旨に沿った措置）

法第 18 条

法第 16 条[1・2 略][1・2 同左]

3

3

前二項の規定は、次に掲げる場合については、適用しない。
[(1)～ (4)(5)

略]

当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下この章において「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含
み、個人の権利利益を不当に侵害するおそれがある場合を除
く。）。

(6)

学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要が

16

4-2-1 利用目的の特定（法第 17 条の趣旨に沿った措置）

前二項の規定は、次に掲げる場合については、適用しない。
[(1)～ (4)同左]

あるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

[略]

[同左]

4-2-3 不適正な利用の禁止（法第 19 条の趣旨に沿った措置）

4-2-3 不適正な利用の禁止（法第 16 条の 2 の趣旨に沿った措置）

法第 19 条

法第 16 条の 2
[同左]
17

[略]

[略]

[同左]

4-2-4 適正な取得（法第 20 条の趣旨に沿った措置）

4-2-4 適正な取得（法第 17 条の趣旨に沿った措置）法第 20 条（第 1 項）

法第 17 条（第 1 項）

[略]

[同左]

＜参考＞

＜参考＞

法第 20 条（第 2 項）

法第 17 条（第 2 項）

2

2

個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本

個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本

人の同意を得ないで、要配慮個人情報を取得してはならない。

人の同意を得ないで、要配慮個人情報を取得してはならない。

[(1)～(4)[(1)～(4)

(5)

略]

同左]

当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

(6)

学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある
18場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。）。
(7)

当該要配慮個人情報が、本人、国の機関、地方公共団体、学術(5)

当該要配慮個人情報が、本人、国の機関、地方公共団体、第 76

研究機関等、第 57 条第 1 項各号に掲げる者その他個人情報保護委

条第 1 項各号に掲げる者その他個人情報保護委員会規則で定める員会規則で定める者により公開されている場合

者により公開されている場合(8)

その他前各号に掲げる場合に準ずるものとして政令で定める場
合(6)

その他前各号に掲げる場合に準ずるものとして政令で定める場
合[【事例 1】・【事例 2】 略][【事例 1】・【事例 2】 同左]

なお、要配慮個人情報に係る規制については、国によっていわゆるセン

なお、要配慮個人情報に係る規制については、国によっていわゆるセン

シティブ情報の対象は異なり得ることから（OECD プライバシーガイドライ

シティブ情報の対象は異なり得ることから（OECD プライバシーガイドライ

ンの説明覚書（1980 年））、国際的な整合性にも鑑みて、「措置」を講ず

ンの説明覚書（1980 年））、国際的な整合性にも鑑みて、「措置」を講ずることは要しない（4-2（法第 4 章第 2 節の規定の趣旨に沿った措置）参ることは要しない（4-2（法第 4 章第 1 節の規定の趣旨に沿った措置）参

照）。

照）。

4-2-5 取得に際しての利用目的の通知（法第 21 条の趣旨に沿った措

4-2-5 取得に際しての利用目的の通知（法第 18 条の趣旨に沿った措

置）

置）法第 18 条

[略]

[同左]

[略]

[同左]

4-2-6 データ内容の正確性の確保等（法第 22 条の趣旨に沿った措置）

4-2-6 データ内容の正確性の確保等（法第 19 条の趣旨に沿った措置）

法第 22 条

法第 19 条

[略]

[同左]

19

法第 21 条[略]

[同左]

4-2-7 安全管理措置（法第 23 条の趣旨に沿った措置）

4-2-7 安全管理措置（法第 20 条の趣旨に沿った措置）

法第 20 条

[略]

[同左]

[略]

[同左]

4-2-8 従業者の監督（法第 24 条の趣旨に沿った措置）

4-2-8 従業者の監督（法第 21 条の趣旨に沿った措置）

法第 24 条

法第 21 条[略]

[同左][【事例 1】・【事例 2】 略][【事例 1】・【事例 2】 同左]

外国にある第三者等は、その従業者に個人データを取り扱わせるに当た外国にある第三者等は、その従業者に個人データを取り扱わせるに当たって、法第 23 条の趣旨に沿った安全管理措置を遵守させるよう、当該従って、法第 20 条の趣旨に沿った安全管理措置を遵守させるよう、当該従業者に対し必要かつ適切な監督をしなければならない。その際、個人デー業者に対し必要かつ適切な監督をしなければならない。その際、個人デー

タが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、タが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質

事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質

及び量を含む。）等に起因するリスクに応じて、個人データを取り扱う従及び量を含む。）等に起因するリスクに応じて、個人データを取り扱う従業者に対する教育、研修等の内容及び頻度を充実させるなど、必要かつ適業者に対する教育、研修等の内容及び頻度を充実させるなど、必要かつ適切な措置を講ずることが望ましい。

切な措置を講ずることが望ましい。

「従業者」とは、外国にある第三者等の組織内にあって直接間接に事業「従業者」とは、外国にある第三者等の組織内にあって直接間接に事業者の指揮監督を受けて当該者の業務に従事している者等をいい、雇用関係者の指揮監督を受けて当該者の業務に従事している者等をいい、雇用関係

20

法第 23 条にある従業員（正社員、契約社員、嘱託社員、パート社員、アルバイト社にある従業員（正社員、契約社員、嘱託社員、パート社員、アルバイト社

員等）のみならず、取締役、執行役、理事、監査役、監事、派遣社員等も員等）のみならず、取締役、執行役、理事、監査役、監事、派遣社員等も

含まれる。

含まれる。

[【従業者に対して必要かつ適切な監督を行っていない事例】 略][【従業者に対して必要かつ適切な監督を行っていない事例】 同左]

4-2-9 委託先の監督（法第 22 条の趣旨に沿った措置）

法第 25 条

法第 22 条

[略]

[同左]
21

4-2-9 委託先の監督（法第 25 条の趣旨に沿った措置）[【事例 1】・【事例 2】 略][【事例 1】・【事例 2】 同左]

外国にある第三者等は、個人データの取扱いの全部又は一部を委託（※

外国にある第三者等は、個人データの取扱いの全部又は一部を委託（※1）する場合は、委託を受けた者（以下「委託先」という。）において当1）する場合は、委託を受けた者（以下「委託先」という。）において当該個人データについて安全管理措置が適切に講じられるよう、委託先に対該個人データについて安全管理措置が適切に講じられるよう、委託先に対し必要かつ適切な監督をしなければならない。具体的には、外国にある第し必要かつ適切な監督をしなければならない。具体的には、外国にある第三者等は、法第 23 条の趣旨に沿って自らが講ずべき安全管理措置と同等

三者等は、法第 20 条の趣旨に沿って自らが講ずべき安全管理措置と同等の措置が講じられるよう、監督を行うものとする（※2）。

の措置が講じられるよう、監督を行うものとする（※2）。

その際、委託する業務内容に対して必要のない個人データを提供しない

その際、委託する業務内容に対して必要のない個人データを提供しないようにすることは当然のこととして、取扱いを委託する個人データの内容ようにすることは当然のこととして、取扱いを委託する個人データの内容を踏まえ、個人データが漏えい等をした場合に本人が被る権利利益の侵害を踏まえ、個人データが漏えい等をした場合に本人が被る権利利益の侵害

の大きさを考慮し、委託する事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に起因するリスクに応じ（取り扱う個人データの性質及び量を含む。）等に起因するリスクに応じて、次の（1）から（3）までに掲げる必要かつ適切な措置を講じなければて、次の（1）から（3）までに掲げる必要かつ適切な措置を講じなければならない（※3）。

ならない（※3）。

（1）適切な委託先の選定（1）適切な委託先の選定

委託先の選定に当たっては、委託先の安全管理措置が、少なくとも委託[委託先の選定に当たっては、委託先の安全管理措置が、少なくとも委元に求められるものと同等であることを確認するため、通則ガイドライン

託元に求められるものと同等であることを確認するため、通則ガイドライの「10（別添）講ずべき安全管理措置の内容」に定める各項目が、委託すンの「7（別添）講ずべき安全管理措置の内容」に定める各項目が、委託る業務内容に沿って、確実に実施されることについて、あらかじめ確認しする業務内容に沿って、確実に実施されることについて、あらかじめ確認

なければならない。

しなければならない。

（2）[略]（2）[同左]（3）委託先における個人データ取扱状況の把握（3）委託先における個人データ取扱状況の把握

委託先における委託された個人データの取扱状況を把握するためには、委託先における委託された個人データの取扱状況を把握するためには、定期的に監査を行う等により、委託契約で盛り込んだ内容の実施の程度を定期的に監査を行う等により、委託契約で盛り込んだ内容の実施の程度を調査した上で、委託の内容等の見直しを検討することを含め、適切に評価調査した上で、委託の内容等の見直しを検討することを含め、適切に評価することが望ましい。

することが望ましい。

また、委託先が再委託を行おうとする場合は、委託を行う場合と同様、

また、委託先が再委託を行おうとする場合は、委託を行う場合と同様、委託元は、委託先が再委託する相手方、再委託する業務内容及び再委託先

委託元は、委託先が再委託する相手方、再委託する業務内容及び再委託先

22の大きさを考慮し、委託する事業の規模及び性質、個人データの取扱状況

の個人データの取扱方法等について、委託先から事前報告又は承認を求めの個人データの取扱方法等について、委託先から事前報告又は承認を求める、及び委託先を通じて又は必要に応じて自らが、定期的に監査を実施す

る、及び委託先を通じて又は必要に応じて自らが、定期的に監査を実施する等により、委託先が再委託先に対して本条の委託先の監督を適切に果たる等により、委託先が再委託先に対して本条の委託先の監督を適切に果たすこと、及び再委託先が法第 23 条の趣旨に沿った安全管理措置を講ずる

すこと、及び再委託先が法第 20 条の趣旨に沿った安全管理措置を講ずることを十分に確認することが望ましい（※4）。再委託先が再々委託を行ことを十分に確認することが望ましい（※4）。再委託先が再々委託を行う場合以降も、再委託を行う場合と同様である。

う場合以降も、再委託を行う場合と同様である。

[略]

[同左]

[【委託を受けた者に対して必要かつ適切な監督を行っていない事例】

略]

同左]
23

[【委託を受けた者に対して必要かつ適切な監督を行っていない事例】（※1）[略]（※1）[同左]（※2）委託元が法第 23 条が求める水準を超える高い水準の安全管（※2）委託元が法第 20 条が求める水準を超える高い水準の安全管理措置を講じている場合に、委託先に対してもこれと同等の措理措置を講じている場合に、委託先に対してもこれと同等の措置を求める趣旨ではなく、法律上は、委託先は、法第 23 条が置を求める趣旨ではなく、法律上は、委託先は、法第 20 条が求める水準の安全管理措置を講じれば足りると解される。

求める水準の安全管理措置を講じれば足りると解される。

[（※3）・（※4） 略][（※3）・（※4） 同左]

4-2-10 漏えい等の報告等（法第 26 条の趣旨に沿った措置）

4-2-10 漏えい等の報告等（法第 22 条の 2 の趣旨に沿った措置）

法第 26 条

法第 22 条の 2

11

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにめるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければな

より、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業らない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託者から当該個人データの取扱いの全部又は一部の委託を受けた場合でを受けた場合であって、個人情報保護委員会規則で定めるところによあって、個人情報保護委員会規則で定めるところにより、当該事態がり、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関生じた旨を当該他の個人情報取扱事業者に通知したときは、この限り等に通知したときは、この限りでない。

でない。

[略]

2

[同左]
24

2

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客
データの入力業務を委託する場合【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客
データの入力業務を委託する場合

委託契約により、外国にある事業者において法第 26 条第 1 項

委託契約により、外国にある事業者において法第 22 条の 2 第 1に定める報告義務の対象となる個人データの漏えい、滅失又は毀項に定める報告義務の対象となる個人データの漏えい、滅失又は損その他の個人データの安全の確保に係る事態（以下「報告対象

毀損その他の個人データの安全の確保に係る事態（以下「報告対事態」という。）が発生した場合に、日本にある個人情報取扱事

象事態」という。）が発生した場合に、日本にある個人情報取扱業者が個人情報保護委員会への報告及び本人通知に係る措置を講

事業者が個人情報保護委員会への報告及び本人通知に係る措置をずることについて明確にする。

講ずることについて明確にする。

【事例 2】[略]【事例 2】[同左]

[略]

[同左]

4-2-11 第三者提供の制限（法第 27 条の趣旨に沿った措置）

4-2-11 第三者提供の制限（法第 23 条の趣旨に沿った措置）

法第 27 条（第 1 項、第 5 項、第 6 項）

法第 23 条（第 1 項、第 5 項、第 6 項）

1

1

個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本

個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本

人の同意を得ないで、個人データを第三者に提供してはならない。

人の同意を得ないで、個人データを第三者に提供してはならない。

[(1)～(4)[(1)～(4)

(5)

略]

同左]

当該個人情報取扱事業者が学術研究機関等である場合であっめやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）。
(6)

当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。）。

(7)

当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除

25て、当該個人データの提供が学術研究の成果の公表又は教授のた

く。）。
略]

[5・6

同左]

＜参考＞

＜参考＞

法第27条（第2項・第3項）

法第23条（第2項・第3項）

2

2

個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項につい供を停止することとしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本て、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。ただし、第三者に提供されデータを第三者に提供することができる。ただし、第三者に提供される個人データが要配慮個人情報又は第 20 条第 1 項の規定に違反してる個人データが要配慮個人情報又は第 17 条第 1 項の規定に違反して取得されたもの若しくは他の個人情報取扱事業者からこの項本文の規取得されたもの若しくは他の個人情報取扱事業者からこの項本文の規定により提供されたもの（その全部又は一部を複製し、又は加工した定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む。）である場合は、この限りでない。

ものを含む。）である場合は、この限りでない。

(1)

(1)

第三者への提供を行う個人情報取扱事業者の氏名又は名称及び第三者への提供を行う個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表

住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理者又は管理人の定めのあるものにあっては、その代表者又は管理人。以下この条、第 30 条第 1 項第 1 号及び第 32 条第 1 項第 1 号

人。以下この条、第 26 条第 1 項第 1 号及び第 27 条第 1 項第 1 号

において同じ。）の氏名において同じ。）の氏名[(2)～(8)3

個人情報取扱事業者は、第三者に提供される個人データについて、

[略]

略]

[(2)～(8)
3

[同左]

同左]

26

[5・6

[【事例 1】・【事例 2】 同左]「外国にある第三者」から、別の「第三者」に提供する際には、法第 27「外国にある第三者」から、別の「第三者」に提供する際には、法第 23条第 1 項、第 5 項、第 6 項の趣旨に沿った措置を講じなければならない。

条第 1 項、第 5 項、第 6 項の趣旨に沿った措置を講じなければならない。

なお、提供先の第三者が「外国にある第三者」（提供元である外国にある

なお、提供先の第三者が「外国にある第三者」（提供元である外国にある

第三者と同一の国内にある第三者を含む。）の場合は、4-2-12（外国にあ第三者と同一の国内にある第三者を含む。）の場合は、4-2-12（外国にある第三者への提供の制限）を参照のこと。

る第三者への提供の制限）を参照のこと。

[略]

[同左]

なお、オプトアウトによる個人データの第三者提供（法第 27 条第 2 項

なお、オプトアウトによる個人データの第三者提供（法第 23 条第 2 項

及び第 3 項）は、個人情報保護委員会への届出等を定める規定であるた及び第 3 項）は、個人情報保護委員会への届出等を定める規定であるため、その性質上、外国にある第三者等が講ずべき措置からは除外される

め、その性質上、外国にある第三者等が講ずべき措置からは除外される（4-2（法第 4 章第 2 節の規定の趣旨に沿った措置）参照）。

（4-2（法第 4 章第 1 節の規定の趣旨に沿った措置）参照）。

4-2-12 外国にある第三者への提供の制限（法第 28 条の趣旨に沿った

4-2-12 外国にある第三者への提供の制限（法第 24 条の趣旨に沿った

措置）

措置）

法第 28 条

法第 24 条1

1

個人情報取扱事業者は、外国（本邦の域外にある国又は地域をいう。以下この条及び第 31 条第 1 項第 2 号において同じ。）（個人の個人情報取扱事業者は、外国（本邦の域外にある国又は地域をいう。以下同じ。）（個人の権利利益を保護する上で我が国と同等の水27[【事例 1】・【事例 2】 略]

権利利益を保護する上で我が国と同等の水準にあると認められる個人

準にあると認められる個人情報の保護に関する制度を有している外国情報の保護に関する制度を有している外国として個人情報保護委員会

として個人情報保護委員会規則で定めるものを除く。以下この条及び規則で定めるものを除く。以下この条及び同号において同じ。）にあ

第 26 条の 2 第 1 項第 2 号において同じ。）にある第三者（個人デー

る第三者（個人データの取扱いについてこの節の規定により個人情報

タの取扱いについてこの節の規定により個人情報取扱事業者が講ずべ取扱事業者が講ずべきこととされている措置に相当する措置（第 3 項

きこととされている措置に相当する措置（第 3 項において「相当措において「相当措置」という。）を継続的に講ずるために必要なもの置」という。）を継続的に講ずるために必要なものとして個人情報保として個人情報保護委員会規則で定める基準に適合する体制を整備し

護委員会規則で定める基準に適合する体制を整備している者を除く。

ている者を除く。以下この項及び次項並びに同号において同じ。）に

以下この項及び次項並びに同号において同じ。）に個人データを提供

個人データを提供する場合には、前条第 1 項各号に掲げる場合を除く

する場合には、前条第 1 項各号に掲げる場合を除くほか、あらかじめほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意外国にある第三者への提供を認める旨の本人の同意を得なければならを得なければならない。この場合においては、同条の規定は、適用しない。この場合においては、同条の規定は、適用しない。

[2・3

28

ない。
略]

【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客
データの入力業務を委託する場合
委託契約により外国にある事業者からの個人データの第三者提供を禁止する。

[2・3

同左]【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客
データの入力業務を委託する場合
委託契約により外国にある事業者からの個人データの第三者提供を禁止する。

外国にある事業者から更に外国にある第三者に個人データの取外国にある事業者から更に外国にある第三者に個人データの取扱いを再委託する場合には、法第 25 条の委託先の監督義務（4-扱いを再委託する場合には、法第 22 条の委託先の監督義務（4-2-9）のほか、法第 4 章第 2 節の規定の趣旨に沿った措置の実施

2-9）のほか、法第 4 章第 1 節の規定の趣旨に沿った措置の実施を確保する。

を確保する。

【事例 2】日本にある個人情報取扱事業者が、外国にある親会社に従業員情報を提供する場合

員情報を提供する場合

内規等により外国にある親会社からの個人データの第三者提供

内規等により外国にある親会社からの個人データの第三者提供を禁止する。

を禁止する。
外国にある親会社から更に他の国にある子会社等に個人データ

外国にある親会社から更に他の国にある子会社等に個人データを移転する場合にも、内規等により法第 4 章第 2 節の規定の趣旨を移転する場合にも、内規等により法第 4 章第 1 節の規定の趣旨に沿った措置の実施を確保する。

に沿った措置の実施を確保する。

[略]

[同左]

4-2-13 保有個人データに関する事項の公表等（法第 32 条の趣旨に沿4-2-13 保有個人データに関する事項の公表等（法第 27 条の趣旨に沿

った措置）

った措置）

法第 32 条

法第 27 条1

1

個人情報取扱事業者は、保有個人データに関し、次に掲げる事項に

個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する

ついて、本人の知り得る状態（本人の求めに応じて遅滞なく回答する

場合を含む。）に置かなければならない。

場合を含む。）に置かなければならない。

(1)

[略]

(1)

[同左]

(2)

全ての保有個人データの利用目的（第 21 条第 4 項第 1 号から第(2)

全ての保有個人データの利用目的（第 18 条第 4 項第 1 号から第3 号までに該当する場合を除く。）(3)

次項の規定による求め又は次条第 1 項（同条第 5 項において準用する場合を含む。）、第 34 条第 1 項若しくは第 35 条第 1 項、3 号までに該当する場合を除く。）(3)

次項の規定による求め又は次条第 1 項（同条第 5 項において準用する場合を含む。）、第 29 条第 1 項若しくは第 30 条第 1 項、

29

【事例 2】日本にある個人情報取扱事業者が、外国にある親会社に従業第 3 項若しくは第 5 項の規定による請求に応じる手続（第 38 条第第 3 項若しくは第 5 項の規定による請求に応じる手続（第 33 条第2 項の規定により手数料の額を定めたときは、その手数料の額を2 項の規定により手数料の額を定めたときは、その手数料の額を

含む。）

含む。）

(4)
2

[略]

個人情報取扱事業者は、本人から、当該本人が識別される保有個人

(4)
2

[同左]

個人情報取扱事業者は、本人から、当該本人が識別される保有個人

データの利用目的の通知を求められたときは、本人に対し、遅滞なデータの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、次の各号のいずれかにく、これを通知しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りでない。

該当する場合は、この限りでない。

(1)

[略]

(1)

[同左]

(2)

第 21 条第 4 項第 1 号から第 3 号までに該当する場合(2)

第 18 条第 4 項第 1 号から第 3 号までに該当する場合

[略]

3

[同左]
30

3

[略]

[同左]

4-2-14 開示（法第 33 条の趣旨に沿った措置）

4-2-14 開示（法第 28 条の趣旨に沿った措置）

法第 33 条（第 1 項～第 4 項）

法第 28 条（第 1 項～第 4 項）

[略]

[同左]

＜参考＞

＜参考＞

法第 33 条（第 5 項）

法第 28 条（第 5 項）

5

5

第 1 項から第 3 項までの規定は、当該本人が識別される個人データ

第 1 項から第 3 項までの規定は、当該本人が識別される個人データ

に係る第 25 条第 1 項及び第 26 条第 3 項の記録（その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるなることにより公益その他の利益が害されるものとして政令で定めるものを除く。第 37 条第 2 項において「第三者提供記録」という。）

ものを除く。第 32 条第 2 項において「第三者提供記録」という。）

について準用する。

について準用する。

[【事例 1】・【事例 2】 略][【事例 1】・【事例 2】 同左]

[略]

[同左]

なお、第三者提供時の確認・記録義務については、「措置」を講ずるこ

なお、第三者提供時の確認・記録義務については、「措置」を講ずることは要しないこととしていることから（4-2（法第 4 章第 2 節の規定の趣とは要しないこととしていることから（4-2（法第 4 章第 1 節の規定の趣旨に沿った措置）参照）、第三者提供記録の開示についても、「措置」を旨に沿った措置）参照）、第三者提供記録の開示についても、「措置」を講ずることは要しない（これに関連するその他の手続等（※）に関する講ずることは要しない（これに関連するその他の手続等（※）に関する「措置」も同様である。）。

「措置」も同様である。）。

（※）ここでいう「関連するその他の手続等」に関する「措置」と（※）ここでいう「関連するその他の手続等」に関する「措置」とは、4-2-13（保有個人データに関する事項の公表等（法第 32

は、4-2-13（保有個人データに関する事項の公表等（法第 27条の趣旨に沿った措置））、4-2-17（理由の説明（法第 36 条

条の趣旨に沿った措置））、4-2-17（理由の説明（法第 31 条の趣旨に沿った措置））、4-2-18（開示等の請求等に応じる手の趣旨に沿った措置））、4-2-18（開示等の請求等に応じる手続（法第 37 条の趣旨に沿った措置））及び 4-2-19（手数料

続（法第 32 条の趣旨に沿った措置））及び 4-2-19（手数料（法第 38 条の趣旨に沿った措置）のうち、第三者提供記録の（法第 33 条の趣旨に沿った措置）のうち、第三者提供記録の開示に関連する手続等に関する措置をいい、外国にある第三者開示に関連する手続等に関する措置をいい、外国にある第三者

等は、これらの「措置」を講ずることは要しない。

等は、これらの「措置」を講ずることは要しない。

31に係る第 29 条第 1 項及び第 30 条第 3 項の記録（その存否が明らかに

4-2-15 訂正等（法第 29 条の趣旨に沿った措置）

法第 34 条

法第 29 条

[略]

[同左]

[略]

[同左]

4-2-16 利用停止等（法第 35 条の趣旨に沿った措置）

4-2-16 利用停止等（法第 30 条の趣旨に沿った措置）

法第 35 条

法第 30 条1

1

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第 18 条若しくは第 19 条の規定に違反して取り扱われてい人データが第 16 条若しくは第 16 条の 2 の規定に違反して取り扱われるとき、又は第 20 条の規定に違反して取得されたものであるときているとき、又は第 17 条の規定に違反して取得されたものであるとは、当該保有個人データの利用の停止又は消去（以下この条においてきは、当該保有個人データの利用の停止又は消去（以下この条におい「利用停止等」という。）を請求することができる。

て「利用停止等」という。）を請求することができる。

2

[略]

2

[同左]

3

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個

3

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第 27 条第 1 項又は第 28 条の規定に違反して第三者に提供

人データが第 23 条第 1 項又は第 24 条の規定に違反して第三者に提供されているときは、当該保有個人データの第三者への提供の停止を請されているときは、当該保有個人データの第三者への提供の停止を請

32

4-2-15 訂正等（法第 34 条の趣旨に沿った措置）求することができる。

4

[略]

4

[同左]

5

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個

5

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データを当該個人情報取扱事業者が利用する必要がなくなった場

人データを当該個人情報取扱事業者が利用する必要がなくなった場

合、当該本人が識別される保有個人データに係る第 26 条第 1 項本文

合、当該本人が識別される保有個人データに係る第 22 条の 2 第 1 項に規定する事態が生じた場合その他当該本人が識別される保有個人デ本文に規定する事態が生じた場合その他当該本人が識別される保有個ータの取扱いにより当該本人の権利又は正当な利益が害されるおそれ

人データの取扱いにより当該本人の権利又は正当な利益が害されるおがある場合には、当該保有個人データの利用停止等又は第三者への提それがある場合には、当該保有個人データの利用停止等又は第三者へ供の停止を請求することができる。

の提供の停止を請求することができる。

[6・7

略]

[6・7

同左]

[略]

[同左]

4-2-17 理由の説明（法第 36 条の趣旨に沿った措置）

4-2-17 理由の説明（法第 31 条の趣旨に沿った措置）

法第 36 条

法第 31 条

個人情報取扱事業者は、第 32 条第 3 項、第 33 条第 3 項（同条第 5

個人情報取扱事業者は、第 27 条第 3 項、第 28 条第 3 項（同条第 5項において準用する場合を含む。）、第 34 条第 3 項又は前条第 7 項

項において準用する場合を含む。）、第 29 条第 3 項又は前条第 7 項の規定により、本人から求められ、又は請求された措置の全部又は一の規定により、本人から求められ、又は請求された措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合には、本人に対し、その理由を説明なる措置をとる旨を通知する場合には、本人に対し、その理由を説明するよう努めなければならない。

するよう努めなければならない。

33

求することができる。

[略]

[同左]

4-2-18 開示等の請求等に応じる手続（法第 37 条の趣旨に沿った措

4-2-18 開示等の請求等に応じる手続（法第 32 条の趣旨に沿った措

置）

置）法第 37 条

法第 32 条1

1

個人情報取扱事業者は、第 27 条第 2 項の規定による求め又は第 28条第 1 項（同条第 5 項において準用する場合を含む。次条第 1 項及び条第 1 項（同条第 5 項において準用する場合を含む。次条第 1 項及び第 39 条において同じ。）、第 34 条第 1 項若しくは第 35 条第 1 項、第 34 条において同じ。）、第 29 条第 1 項若しくは第 30 条第 1 項、第 3 項若しくは第 5 項の規定による請求（以下この条及び第 54 条第 1

第 3 項若しくは第 5 項の規定による請求（以下この条及び第 53 条第 1項において「開示等の請求等」という。）に関し、政令で定めるとこ項において「開示等の請求等」という。）に関し、政令で定めるところにより、その求め又は請求を受け付ける方法を定めることができろにより、その求め又は請求を受け付ける方法を定めることができる。この場合において、本人は、当該方法に従って、開示等の請求等る。この場合において、本人は、当該方法に従って、開示等の請求等を行わなければならない。

を行わなければならない。

[2～4

略]

[2～4

同左]

[略]

[同左]

4-2-19 手数料（法第 38 条の趣旨に沿った措置）

4-2-19 手数料（法第 33 条の趣旨に沿った措置）

34

個人情報取扱事業者は、第 32 条第 2 項の規定による求め又は第 33

法第 38 条

法第 33 条1

1

個人情報取扱事業者は、第 27 条第 2 項の規定による利用目的の通知を求められたとき又は第 33 条第 1 項の規定による開示の請求を受知を求められたとき又は第 28 条第 1 項の規定による開示の請求を受けたときは、当該措置の実施に関し、手数料を徴収することができけたときは、当該措置の実施に関し、手数料を徴収することができ

る。

る。

2

[略]

2

[同左]

[略]

[同左]

4-2-20 個人情報取扱事業者による苦情の処理（法第 40 条の趣旨に沿4-2-20 個人情報取扱事業者による苦情の処理（法第 35 条の趣旨に沿

った措置）

った措置）

法第 40 条

法第 35 条[略]

[同左]

【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客

データの入力業務を委託する場合

データの入力業務を委託する場合

提供する個人データが外国にある事業者にとって「保有個人デ提供する個人データが外国にある事業者にとって「保有個人データ」に該当する場合には、委託契約により、日本にある個人情ータ」に該当する場合には、委託契約により、日本にある個人情報取扱事業者が法第 40 条に係る義務を履行することについて明報取扱事業者が法第 35 条に係る義務を履行することについて明

確にする。

確にする。

なお、提供する個人データが外国にある事業者にとって「保有なお、提供する個人データが外国にある事業者にとって「保有35

個人情報取扱事業者は、第 32 条第 2 項の規定による利用目的の通個人データ」に該当しない場合には、結果として「措置」として個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。

の対応は不要である。

【事例 2】日本にある個人情報取扱事業者が、外国にある親会社に従業員【事例 2】日本にある個人情報取扱事業者が、外国にある親会社に従業員情報を提供する場合

情報を提供する場合

内規等により、日本にある個人情報取扱事業者が法第 35 条に係

内規等により、日本にある個人情報取扱事業者が法第 40 条に係る義務を履行することについて明確にする。

[略]

[同左]

4-3 個人データの提供を受ける者が、個人情報の取扱いに係る国際的な

4-3 個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること（規則第 16 条第 2 号関係）

枠組みに基づく認定を受けていること（規則第 11 条の 2 第 2 号関
係）

[略]

5

同意取得時の情報提供

[同左]

5

同意取得時の情報提供

法第 28 条（第 2 項）

法第 24 条（第 2 項）

[略]

[同左]

36

る義務を履行することについて明確にする。

規則第 17 条

規則第 11 条の 3

1

1

3

4

法第24条第2項又は法第26条の2第1項第2号の規定により情報を提供る方法は、電磁的記録の提供による方法、書面の交付による方法そのする方法は、電磁的記録の提供による方法、書面の交付による方法そ

他の適切な方法とする。

の他の適切な方法とする。

法第28条第2項又は法第31条第1項第2号の規定による情報の提供

2

法第24条第2項又は法第26条の2第1項第2号の規定による情報の提供

は、次に掲げる事項について行うものとする。

は、次に掲げる事項について行うものとする。

[(1) ～(3)[(1) ～(3)略]前項の規定にかかわらず、個人情報取扱事業者は、法第28条第1項

3

同左]

前項の規定にかかわらず、個人情報取扱事業者は、法第24条第1項の規定により本人の同意を得ようとする時点において、前項第1号にの規定により本人の同意を得ようとする時点において、前項第1号に定める事項が特定できない場合には、同号及び同項第2号に定める事

定める事項が特定できない場合には、同号及び同項第2号に定める事

項に代えて、次に掲げる事項について情報提供しなければならない。

項に代えて、次に掲げる事項について情報提供しなければならない。

[(1)・(2)[(1)・(2)略]第2項の規定にかかわらず、個人情報取扱事業者は、法第28条第1項

4

同左]第2項の規定にかかわらず、個人情報取扱事業者は、法第24条第1項の規定により本人の同意を得ようとする時点において、第2項第3号にの規定により本人の同意を得ようとする時点において、第2項第3号に定める事項について情報提供できない場合には、同号に定める事項に定める事項について情報提供できない場合には、同号に定める事項に代えて、その旨及びその理由について情報提供しなければならない。

代えて、その旨及びその理由について情報提供しなければならない。

個人情報取扱事業者は、法第 28 条第 1 項の規定により外国にある第三個人情報取扱事業者は、法第 24 条第 1 項の規定により外国にある第三者への個人データの提供を認める旨の本人の同意を取得しようとする場合

者への個人データの提供を認める旨の本人の同意を取得しようとする場合には、規則第 17 条第 2 項から第 4 項までの規定により求められる情報をには、規則第 11 条の 3 第 2 項から第 4 項までの規定により求められる情

本人に提供しなければならない（法第 28 条第 2 項）（※1）（※2）。

報を本人に提供しなければならない（法第 24 条第 2 項）（※）。

個人データの越境移転に当たっては、提供元の個人情報取扱事業者にお個人データの越境移転に当たっては、提供元の個人情報取扱事業者におい372

法第28条第2項又は法第31条第1項第2号の規定により情報を提供すいて、提供先の第三者が所在する外国に個人データを移転することについて、提供先の第三者が所在する外国に個人データを移転することについててのリスクを評価し、個人データの移転の必要性について吟味した上で、のリスクを評価し、個人データの移転の必要性について吟味した上で、本本人に対しても、分かりやすい情報提供を行うことが重要である。

人に対しても、分かりやすい情報提供を行うことが重要である。

（※1）同意取得時の情報提供に関する法第 24 条第 2 項（現行法第（※）同意取得時の情報提供に関する法第 24 条第 2 項の規定は、

28 条第 2 項）の規定は、個人情報取扱事業者が令和 2 年改正法

個人情報取扱事業者が令和 2 年改正法の施行日以後に法第 24の施行日以後に法第 24 条第 1 項（現行法第 28 条第 1 項）の規条第 1 項の規定により本人の同意を得る場合について適用され定により本人の同意を得る場合について適用される（令和 2 年

る（令和 2 年改正法附則第 4 条第 1 項）。

改正法附則第 4 条第 1 項）。
[新設]（※2）同意取得時の情報提供に関する法第 28 条第 2 項の規定は、別表第二法人等（2-1（外国にある第三者への個人データの提38供を認める旨の本人の同意）参照）が令和 3 年改正法の施行日以後に法第 28 条第 1 項の規定により本人の同意を得る場合について適用される（令和 3 年改正法附則第 7 条第 6 項）。

5-1 情報提供の方法（規則第 17 条第 1 項関係）

5-1 情報提供の方法（規則第 11 条の 3 第 1 項関係）

規則第 17 条（第 1 項）

規則第 11 条の 3（第 1 項）

1

1

法第28条第2項又は法第31条第1項第2号の規定により情報を提供す

法第24条第2項又は法第26条の2第1項第2号の規定により情報を提供る方法は、電磁的記録の提供による方法、書面の交付による方法そのする方法は、電磁的記録の提供による方法、書面の交付による方法そ

他の適切な方法とする。

の他の適切な方法とする。

本人に対する情報提供は、規則第 11 条の 3 第 2 項から第 4 項までの規より求められる情報を本人が確実に認識できると考えられる適切な方法で定により求められる情報を本人が確実に認識できると考えられる適切な方行わなければならない。なお、提供する情報は本人にとって分かりやすい法で行わなければならない。なお、提供する情報は本人にとって分かりやものであることが重要である。

すいものであることが重要である。

[【適切な方法に該当する事例】 略][【適切な方法に該当する事例】 同左]

5-2 提供すべき情報（規則第 17 条第 2 項関係）

5-2 提供すべき情報（規則第 11 条の 3 第 2 項関係）

規則第 17 条（第 2 項）

規則第 11 条の 3（第 2 項）

2

2

法第28条第2項又は法第31条第1項第2号の規定による情報の提供は、法第24条第2項又は法第26条の2第1項第2号の規定による情報の提供

次に掲げる事項について行うものとする。

は、次に掲げる事項について行うものとする。

[(1)～(3)[(1)～(3)略]

同左]法第 28 条第 1 項の規定により外国にある第三者への個人データの提供

法第 24 条第 1 項の規定により外国にある第三者への個人データの提供を認める旨の本人の同意を取得しようとする場合には、本人に対し、次のを認める旨の本人の同意を取得しようとする場合には、本人に対し、次の（1）から（3）までの情報を提供しなければならない。

（1）から（3）までの情報を提供しなければならない。

（1）「当該外国の名称」（規則第 17 条第 2 項第 1 号関係）

（1）「当該外国の名称」（規則第 11 条の 3 第 2 項第 1 号関係）

[略]

[同左]

39

本人に対する情報提供は、規則第 17 条第 2 項から第 4 項までの規定に

（※1）「外国」とは、本邦の域外にある国又は地域をいい、我が（※1）「外国」とは、本邦の域外にある国又は地域をいい、我が国と同等の水準にあると認められる個人情報の保護に関する制

国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として規則で定めるものを除く（法第 28度を有している外国として規則で定めるものを除く（法第 24

条第 1 項）。

条第 1 項）。

（※2）[略]（※2）[同左]（2）「適切かつ合理的な方法により得られた当該外国における個人情報 （2）「適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報」（規則第 17 条第 2 項第 2 号関係）の保護に関する制度に関する情報」（規則第 11 条の 3 第 2 項第 2 号
関係）[①・②同左]40[①・②略]（3）「当該第三者が講ずる個人情報の保護のための措置に関する情報」 （3）「当該第三者が講ずる個人情報の保護のための措置に関する情報」（規則第 17 条第 2 項第 3 号関係）

（規則第 11 条の 3 第 2 項第 3 号関係）

[略]

[同左]

5-3 同意取得時に移転先が特定できない場合等の取扱い（規則第 17 条

5-3 同意取得時に移転先が特定できない場合等の取扱い（規則第 11 条

第 3 項・第 4 項関係）

5-3-1 提供先の第三者が所在する外国が特定できない場合（規則第 17条第 3 項関係）の 3 第 3 項・第 4 項関係）

5-3-1 提供先の第三者が所在する外国が特定できない場合（規則第 11条の 3 第 3 項関係）

規則第 17 条（第 3 項）

規則第 11 条の 3（第 3 項）

33

前項の規定にかかわらず、個人情報取扱事業者は、法第24条第1項の規定により本人の同意を得ようとする時点において、前項第1号にの規定により本人の同意を得ようとする時点において、前項第1号に定める事項が特定できない場合には、同号及び同項第2号に定める事

定める事項が特定できない場合には、同号及び同項第2号に定める事

項に代えて、次に掲げる事項について情報提供しなければならない。

項に代えて、次に掲げる事項について情報提供しなければならない。

[(1)・(2)[(1)・(2)略]同左]

個人情報取扱事業者は、法第 28 条第 1 項の規定により外国にある第三個人情報取扱事業者は、法第 24 条第 1 項の規定により外国にある第三者への個人データの提供を認める旨の本人の同意を取得しようとする時点

者への個人データの提供を認める旨の本人の同意を取得しようとする時点

において、提供先の第三者が所在する外国を特定できない場合には、当該において、提供先の第三者が所在する外国を特定できない場合には、当該外国の名称及び当該外国の個人情報の保護に関する制度に関する情報に代

外国の名称及び当該外国の個人情報の保護に関する制度に関する情報に代えて、次の（1）及び（2）の情報を本人に提供しなければならない。

えて、次の（1）及び（2）の情報を本人に提供しなければならない。

なお、事後的に提供先の第三者が所在する外国が特定できた場合には、本人の求めに応じて情報提供を行うことが望ましい。

[【提供先の第三者が所在する外国を特定できない場合に該当する事
例】 略]（1）特定できない旨及びその理由（規則第 17 条第 3 項第 1 号関係）[略]

なお、事後的に提供先の第三者が所在する外国が特定できた場合には、本人の求めに応じて情報提供を行うことが望ましい。

[【提供先の第三者が所在する外国を特定できない場合に該当する事
例】 同左]（1）特定できない旨及びその理由（規則第 11 条の 3 第 3 項第 1 号関係）

[同左]

41

前項の規定にかかわらず、個人情報取扱事業者は、法第28条第1項

（2）提供先の第三者が所在する外国の名称に代わる本人に参考となるべ （2）提供先の第三者が所在する外国の名称に代わる本人に参考となるべ
き情報（規則第 17 条第 3 項第 2 号関係）

き情報（規則第 11 条の 3 第 3 項第 2 号関係）

[略]

[同左]

5-3-2 提供先の第三者が講ずる個人情報の保護のための措置に関する情5-3-2 提供先の第三者が講ずる個人情報の保護のための措置に関する情報が提供できない場合（規則第 11 条の 3 第 4 項関係）

規則第 17 条（第 4 項）

規則第 11 条の 3（第 4 項）

4

4

第2項の規定にかかわらず、個人情報取扱事業者は、法第28条第1項第2項の規定にかかわらず、個人情報取扱事業者は、法第24条第1項の規定により本人の同意を得ようとする時点において、第2項第3号にの規定により本人の同意を得ようとする時点において、第2項第3号に定める事項について情報提供できない場合には、同号に定める事項に定める事項について情報提供できない場合には、同号に定める事項に代えて、その旨及びその理由について情報提供しなければならない。

代えて、その旨及びその理由について情報提供しなければならない。

個人情報取扱事業者は、法第 28 条第 1 項の規定により外国にある第三個人情報取扱事業者は、法第 24 条第 1 項の規定により外国にある第三者への個人データの提供を認める旨の本人の同意を取得しようとする時点

者への個人データの提供を認める旨の本人の同意を取得しようとする時点

において、提供先の外国にある第三者が講ずる個人情報の保護のための措において、提供先の外国にある第三者が講ずる個人情報の保護のための措置に関する情報の提供ができない場合には、当該情報に代えて、当該情報置に関する情報の提供ができない場合には、当該情報に代えて、当該情報を提供できない旨及びその理由について情報提供しなければならない。

を提供できない旨及びその理由について情報提供しなければならない。

なお、情報提供に際しては、どのような場面で外国にある第三者に個人データの提供を行うかについて、具体的に説明することが望ましい。
また、事後的に当該第三者が講ずる個人情報の保護のための措置につい

なお、情報提供に際しては、どのような場面で外国にある第三者に個人データの提供を行うかについて、具体的に説明することが望ましい。
また、事後的に当該第三者が講ずる個人情報の保護のための措置につい42

報が提供できない場合（規則第 17 条第 4 項関係）

ての情報提供が可能となった場合には、本人の求めに応じて情報提供を行ての情報提供が可能となった場合には、本人の求めに応じて情報提供を行うことが望ましい。

うことが望ましい。

6[【提供先の第三者が講ずる個人情報の保護のための措置に関する情報のの提供ができない場合に該当する事例】 略]

提供ができない場合に該当する事例】 同左]

個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずる

6

個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備している者に個人データを提供した場合に講ために必要な体制を整備している者に個人データを提供した場合に講ずべき措置等

ずべき措置等法第 28 条（第 3 項）

法第 24 条（第 3 項）

[略]

[同左]

規則第 18 条

規則第 11 条の 4

11

法第 28 条第 3 項（法第 31 条第 2 項において読み替えて準用する場

法第 24 条第 3 項（法第 26 条の 2 第 2 項において読み替えて準用す合を含む。）の規定による外国にある第三者による相当措置の継続的る場合を含む。）の規定による外国にある第三者による相当措置の継な実施を確保するために必要な措置は、次に掲げる措置とする。

続的な実施を確保するために必要な措置は、次に掲げる措置とする。

(1)

[略]

(1)

[同左]

(2)

当該第三者による相当措置の実施に支障が生じたときは、必要(2)

当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施

かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データ（法第 31 条第 2 項にの確保が困難となったときは、個人データ（法第 26 条の 2 第 2 項

おいて読み替えて準用する場合にあっては、個人関連情報）の当において読み替えて準用する場合にあっては、個人関連情報）の43[【提供先の第三者が講ずる個人情報の保護のための措置に関する情報

該第三者への提供を停止すること。
法第28条第3項の規定により情報を提供する方法は、電磁的記録の2提供による方法、書面の交付による方法その他の適切な方法とする。
3

個人情報取扱事業者は、法第28条第3項の規定による求めを受けた提供による方法、書面の交付による方法その他の適切な方法とする。
3

ときは、本人に対し、遅滞なく、次に掲げる事項について情報提供しなければならない。ただし、情報提供することにより当該個人情報取なければならない。ただし、情報提供することにより当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合

扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合

は、その全部又は一部を提供しないことができる。

は、その全部又は一部を提供しないことができる。

(1)

(1)

当該第三者による法第 28 条第 1 項に規定する体制の整備の方

個人情報取扱事業者は、法第28条第3項の規定による求めに係る情当該第三者による法第 24 条第 1 項に規定する体制の整備の方
法[(2)～(7) 略]

5

個人情報取扱事業者は、法第24条第3項の規定による求めを受けた

ときは、本人に対し、遅滞なく、次に掲げる事項について情報提供し法

4

法第24条第3項の規定により情報を提供する方法は、電磁的記録の[(2)～(7) 同左]
4

個人情報取扱事業者は、法第24条第3項の規定による求めに係る情報の全部又は一部について提供しない旨の決定をしたときは、本人に報の全部又は一部について提供しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

対し、遅滞なく、その旨を通知しなければならない。

[略]

5

[同左]

個人情報取扱事業者は、規則第 16 条に定める基準に適合する体制（以個人情報取扱事業者は、規則第 11 条の 2 に定める基準に適合する体制

下「基準適合体制」という。）を整備している外国にある第三者に対して（以下「基準適合体制」という。）を整備している外国にある第三者に対

個人データを提供した場合には、当該第三者による相当措置（個人データ

して個人データを提供した場合には、当該第三者による相当措置（個人デの取扱いについて法第 4 章第 2 節の規定により個人情報取扱事業者が講ずータの取扱いについて法第 4 章第 1 節の規定により個人情報取扱事業者がべきこととされている措置に相当する措置をいう。以下同じ。）の継続的講ずべきこととされている措置に相当する措置をいう。以下同じ。）の継な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じ続的な実施を確保するために必要な措置を講ずるとともに、本人の求めにて当該必要な措置に関する情報を当該本人に提供しなければならない（法応じて当該必要な措置に関する情報を当該本人に提供しなければならない

442

当該第三者への提供を停止すること。

第 28 条第 3 項）（※1）（※2）。

（法第 24 条第 3 項）（※）。

法第 28 条第 3 項は、提供先が基準適合体制を整備していることを根拠

法第 24 条第 3 項は、提供先が基準適合体制を整備していることを根拠として外国にある第三者に個人データを提供した場合、個人情報取扱事業として外国にある第三者に個人データを提供した場合、個人情報取扱事業者には、その後も当該第三者による当該個人データの適正な取扱いを継続

者には、その後も当該第三者による当該個人データの適正な取扱いを継続的に確保する責務があることを明確化するものである。そのため、個人情的に確保する責務があることを明確化するものである。そのため、個人情報取扱事業者は、当該第三者において当該個人データの取扱いが継続する

報取扱事業者は、当該第三者において当該個人データの取扱いが継続する

限り、法第 28 条第 3 項に基づく措置等を講ずる必要がある。

限り、法第 24 条第 3 項に基づく措置等を講ずる必要がある。
ただし、上記の制度趣旨に鑑み、例えば、個人情報取扱事業者が、本人の同意を根拠として外国にある第三者に個人データを提供した場合には、の同意を根拠として外国にある第三者に個人データを提供した場合には、当該第三者が基準適合体制を整備していると認められる場合であっても、当該第三者が基準適合体制を整備していると認められる場合であっても、

法第 28 条第 3 項に基づく措置等は求められない。

法第 24 条第 3 項に基づく措置等は求められない。
45

ただし、上記の制度趣旨に鑑み、例えば、個人情報取扱事業者が、本人（※1）法第 24 条第 3 項（現行法第 28 条第 3 項）の規定は、個人（※）法第 24 条第 3 項の規定は、個人情報取扱事業者が令和 2 年

情報取扱事業者が令和 2 年改正法の施行日以後に同項に規定す改正法の施行日以後に同項に規定する外国にある第三者に個人る外国にある第三者に個人データを提供した場合について適用

データを提供した場合について適用される（令和 2 年改正法附される（令和 2 年改正法附則第 4 条第 2 項）。

則第 4 条第 2 項）。

（※2）法第 28 条第 3 項の規定は、別表第二法人等（2-1（外国にある第三者への個人データの提供を認める旨の本人の同意）参照）が令和 3 年改正法の施行日以後に同項に規定する外国にある第三者に個人データを提供した場合について適用される（令和 3 年改正法附則第 7 条第 7 項）。

[新設]

6-1 相当措置の継続的な実施を確保するために必要な措置（規則第 11

条第 1 項関係）条の 4 第 1 項関係）

規則第 18 条（第 1 項）

規則第 11 条の 4（第 1 項）

1

1

法第 28 条第 3 項（法第 31 条第 2 項において読み替えて準用する場

法第 24 条第 3 項（法第 26 条の 2 第 2 項において読み替えて準用す合を含む。）の規定による外国にある第三者による相当措置の継続的る場合を含む。）の規定による外国にある第三者による相当措置の継な実施を確保するために必要な措置は、次に掲げる措置とする。

続的な実施を確保するために必要な措置は、次に掲げる措置とする。

(1)

[略]

(1)

[同左]

(2)

当該第三者による相当措置の実施に支障が生じたときは、必要(2)

当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施

かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データ（法第 31 条第 2 項にの確保が困難となったときは、個人データ（法第 26 条の 2 第 2 項

おいて読み替えて準用する場合にあっては、個人関連情報）の当において読み替えて準用する場合にあっては、個人関連情報）の該第三者への提供を停止すること。

当該第三者への提供を停止すること。

[略]

[同左]

（1）当該第三者による相当措置の実施状況並びに当該相当措置の実施に （1）当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、

適切かつ合理的な方法により、定期的に確認すること（規則第 18 条

適切かつ合理的な方法により、定期的に確認すること（規則第 11 条

第 1 項第 1 号関係）の 4 第 1 項第 1 号関係）

[略]

[同左]

46

6-1 相当措置の継続的な実施を確保するために必要な措置（規則第 18

（2）当該第三者による相当措置の実施に支障が生じたときは、必要かつ （2）当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保

適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データの当該第三者への提供を停止すが困難となったときは、個人データの当該第三者への提供を停止すること（規則第 18 条第 1 項第 2 号関係）ること（規則第 11 条の 4 第 1 項第 2 号関係）

[略]

[同左]

6-2 相当措置の継続的な実施を確保するために必要な措置に関する情報

6-2 相当措置の継続的な実施を確保するために必要な措置に関する情報提供（規則第 11 条の 4 第 2 項・第 3 項関係）

6-2-1 情報提供の方法（規則第 18 条第 2 項関係）

6-2-1 情報提供の方法（規則第 11 条の 4 第 2 項関係）

規則第 18 条（第 2 項）

規則第 11 条の 4（第 2 項）

2

2

法第28条第3項の規定により情報を提供する方法は、電磁的記録の法第24条第3項の規定により情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。

提供による方法、書面の交付による方法その他の適切な方法とする。

本人に対する情報提供は、規則第18条第3項の規定により本人への提供

本人に対する情報提供は、規則第11条の4第3項の規定により本人への提が求められる情報を本人が確実に認識できると考えられる適切な方法で行供が求められる情報を本人が確実に認識できると考えられる適切な方法でう必要がある。なお、提供する情報は本人にとって分かりやすいものであ行う必要がある。なお、提供する情報は本人にとって分かりやすいものでることが重要である。

あることが重要である。

[【適切な方法に該当する事例】 略][【適切な方法に該当する事例】 同左]

47

提供（規則第 18 条第 2 項・第 3 項関係）

6-2-2 提供すべき情報（規則第 18 条第 3 項関係）

6-2-2 提供すべき情報（規則第 11 条の 4 第 3 項関係）

規則第 18 条（第 3 項）

規則第 11 条の 4（第 3 項）

33

個人情報取扱事業者は、法第 24 条第 3 項の規定による求めを受けた

ときは、本人に対し、遅滞なく、次に掲げる事項について情報提供しときは、本人に対し、遅滞なく、次に掲げる事項について情報提供しなければならない。ただし、情報提供することにより当該個人情報取なければならない。ただし、情報提供することにより当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合

扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合

は、その全部又は一部を提供しないことができる。

は、その全部又は一部を提供しないことができる。

(1)

(1)

当該第三者による法第 28 条第 1 項に規定する体制の整備の方
法当該第三者による法第 24 条第 1 項に規定する体制の整備の方
法[(2)～ (7) 略][(2)～ (7) 同左]

個人情報取扱事業者は、法第 28 条第 3 項の規定による本人の求めを受

個人情報取扱事業者は、法第 24 条第 3 項の規定による本人の求めを受けた場合には、遅滞なく、次の（1）から（7）までの情報を本人に提供しけた場合には、遅滞なく、次の（1）から（7）までの情報を本人に提供しなければならない。

なければならない。

ただし、情報提供することにより当該個人情報取扱事業者の業務の適正ただし、情報提供することにより当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、その全部又は一部を提な実施に著しい支障を及ぼすおそれがある場合は、その全部又は一部を提供しないことができる。

供しないことができる。

[【情報提供することにより当該個人情報取扱事業者の業務の適正な実施[【情報提供することにより当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合に該当する事例】 略]に著しい支障を及ぼすおそれがある場合に該当する事例】 同左]

48

個人情報取扱事業者は、法第 28 条第 3 項の規定による求めを受けた（規則第 18 条第 3 項第 1 号関係）

[略]（2）「当該第三者が実施する相当措置の概要」（規則第 18 条第 3 項第 2号関係）

個人データの提供先である外国にある第三者が実施する相当措置の概要について情報提供しなければならない。

（1）「当該第三者による法第 24 条第 1 項に規定する体制の整備の方法」（規則第 11 条の 4 第 3 項第 1 号関係）

[同左]

（2）「当該第三者が実施する相当措置の概要」（規則第 11 条の 4 第 3 項
第 2 号関係）

個人データの提供先である外国にある第三者が実施する相当措置の概要について情報提供しなければならない。

提供すべき情報は、個々の事例ごとに判断されるべきであるが、当該外提供すべき情報は、個々の事例ごとに判断されるべきであるが、当該外国にある第三者において、法第 4 章第 2 節の規定の趣旨に沿った措置がど国にある第三者において、法第 4 章第 1 節の規定の趣旨に沿った措置がどのように確保されているかが分かるような情報を提供する必要がある。

のように確保されているかが分かるような情報を提供する必要がある。

なお、個人情報取扱事業者が当該外国にある第三者との間で締結していなお、個人情報取扱事業者が当該外国にある第三者との間で締結している契約等の全ての規定の概要についての情報提供を求めるものではない。

る契約等の全ての規定の概要についての情報提供を求めるものではない。

[【相当措置の概要についての情報提供に該当する事例】 略][【相当措置の概要についての情報提供に該当する事例】 同左]（3）「第 1 項第 1 号の規定による確認の頻度及び方法」（規則第 18 条第（3）「第 1 項第 1 号の規定による確認の頻度及び方法」（規則第 11 条の3 項第 3 号関係）[略]

4 第 3 項第 3 号関係）

[同左]

49

（1）「当該第三者による法第 28 条第 1 項に規定する体制の整備の方法」

（4）「当該外国の名称」（規則第 18 条第 3 項第 4 号関係）

[同左]（※1）「外国」とは、本邦の域外にある国又は地域をいい、我が（※1）「外国」とは、本邦の域外にある国又は地域をいい、我が国と同等の水準にあると認められる個人情報の保護に関する制

国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として規則で定めるものを除く（法第 28度を有している外国として規則で定めるものを除く（法第 24

条第 1 項）。

条第 1 項）。

（※2）[略]（※2）[同左]（5）「当該第三者による相当措置の実施に影響を及ぼすおそれのある当 （5）「当該第三者による相当措置の実施に影響を及ぼすおそれのある当
該外国の制度の有無及びその概要」（規則第 18 条第 3 項第 5 号関係）

該外国の制度の有無及びその概要」（規則第 11 条の 4 第 3 項第 5 号
関係）

[略]

[同左]

（6）「当該第三者による相当措置の実施に関する支障の有無及びその概 （6）「当該第三者による相当措置の実施に関する支障の有無及びその概要」（規則第 18 条第 3 項第 6 号関係）[略]要」（規則第 11 条の 4 第 3 項第 6 号関係）

[同左]

（7）「前号の支障に関して第 1 項第 2 号の規定により当該個人情報取扱事 （7）「前号の支障に関して第 1 項第 2 号の規定により当該個人情報取扱事

50

[略]

（4）「当該外国の名称」（規則第 11 条の 4 第 3 項第 4 号関係）

業者が講ずる措置の概要」（規則第 11 条の 4 第 3 項第 7 号関係）

[略]

[同左]

6-2-3 情報提供しない旨の決定を行った際の通知等（規則第 18 条第 46-2-3 情報提供しない旨の決定を行った際の通知等（規則第 11 条の 4

項・第 5 項関係）

第 4 項・第 5 項関係）

規則第 18 条（第 4 項・第 5 項）

規則第 11 条の 4（第 4 項・第 5 項）

4

4

5

個人情報取扱事業者は、法第 28 条第 3 項の規定による求めに係る個人情報取扱事業者は、法第 24 条第 3 項の規定による求めに係る情報の全部又は一部について提供しない旨の決定をしたときは、本人

情報の全部又は一部について提供しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

に対し、遅滞なく、その旨を通知しなければならない。

[略]

5

[同左]

個人情報取扱事業者は、法第 28 条第 3 項の規定による本人の求めに係

個人情報取扱事業者は、法第 24 条第 3 項の規定による本人の求めに係る情報の全部又は一部について情報提供しない旨の決定をしたときは、遅る情報の全部又は一部について情報提供しない旨の決定をしたときは、遅滞なく、その旨を本人に通知（※）しなければならない。

滞なく、その旨を本人に通知（※）しなければならない。

この場合、個人情報取扱事業者は、本人に対し、情報提供をしない理由を説明するよう努めなければならない。

（※）[略]

この場合、個人情報取扱事業者は、本人に対し、情報提供をしない理由を説明するよう努めなければならない。

（※）[同左]51

業者が講ずる措置の概要」（規則第 18 条第 3 項第 7 号関係）

【付録】 [略]【付録】 [同左]52

備考 表中の[ ]の記載は注記である。