信書便事業分野における個人情報保護に関するガイドライン（令和４年個人情報保護委員会・総務省告示第３号（最終改正令和６年個人情報保護委員会・総務省告示第３号））の解説の一部改正の新旧対照表○ 信書便事業分野における個人情報保護に関するガイドライン（令和４年個人情報保護委員会・総務省告示第３号（最終改正令和６年個人情報保護委
員会・総務省告示第３号））の解説
・改正前欄に掲げる規定の傍線を付し又は破線で囲んだ部分をこれに順次対応する改正後欄に掲げる規定の傍線を付し又は破線で囲んだ部分のように改める。
・改正前欄及び改正後欄に対応して掲げるその標記部分に二重傍線を付した規定（以下「対象規定」という。）は、改正前欄に掲げる対象規定を改正後欄に掲げる対象規定として移動し、改正後欄に掲げる対象規定で改正前欄にこれに対応するものを掲げていないものは、これを加える。

改正後

改正前

信書便事業分野における個人情報保護に関するガイドライン

信書便事業分野における個人情報保護に関するガイドライン（令和４年個人情報保護委員会・総務省告示第３号（最終改正令和６年個（令和４年個人情報保護委員会・総務省告示第３号（最終改正令和５年個

人情報保護委員会・総務省告示第３号））の解説

人情報保護委員会・総務省告示第３号））の解説

令和４年３月

令和４年３月

個人情報保護委員会

個人情報保護委員会

総務省

総務省

（令和６年３月更新）（令和５年３月更新）

信書便事業分野における個人情報保護に関するガイドラインの解説

信書便事業分野における個人情報保護に関するガイドラインの解説

目次

目次

［略］
3-6-1 「個人データ」の「漏えい等」の考え方
［略］

［同左］
3-6-1 「漏えい等」の考え方［同左］

［【凡例】 略］［【凡例】 同左］※※

なお、特に断りのない限り、本ガイドラインの解説において示す法令等の内容は令和 6 年 3 月 12 日時点とする。

なお、特に断りのない限り、本ガイドラインの解説において示す個人情報の保護に関する法律の条番号は、令和 3 年改正法による改正後の条番号を示すものとする。
その他の法令に係る条文は、本ガイドラインの解説の公表日（令和 5 年
4 月 1 日）時点の条番号を示すものとする。

［1

略］

［1

同左］

2

定義

2

定義

［2-1～2-3 略］［2-1～2-3 同左］

2-4

2-4

要配慮個人情報（法第 2 条第 3 項関係）

要配慮個人情報（法第 2 条第 3 項関係）

［略］

［同左］

［（1）～（6） 略］［（1）～（6） 同左］

（7）

（7）

身体障害、知的障害、精神障害（発達障害を含む。）その他の個

身体障害、知的障害、精神障害（発達障害を含む。）その他の個

人情報保護委員会規則で定める心身の機能の障害があること（政人情報保護委員会規則で定める心身の機能の障害があること（政令第 2 条第 1 号関係）

令第 2 条第 1 号関係）

［略］

［同左］

［①～③ 略］［①～③ 同左］④④「治療方法が確立していない疾病その他の特殊の疾病であって障害者「治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生活及び社会生活を総合的に支援するための法律第 4 条第 1の日常生活及び社会生活を総合的に支援するための法律第 4 条第 1項の政令で定めるものによる障害の程度が同項の主務大臣が定める程項の政令で定めるものによる障害の程度が同項の厚生労働大臣が定め度であるもの」があることを特定させる情報る程度であるもの」があることを特定させる情報

・医師により、主務大臣が定める特殊の疾病による障害により継続的・医師により、厚生労働大臣が定める特殊の疾病による障害により継2

に日常生活又は社会生活に相当な制限を受けていると診断されたこ

続的に日常生活又は社会生活に相当な制限を受けていると診断されと（疾病の名称や程度に関する情報を含む。）

たこと（疾病の名称や程度に関する情報を含む。）［（8）～（11） 略］［（8）～（11） 同左］

[略]

[同左]

（参考）

（参考）

［略］

［同左］

規則第 5 条

規則第 5 条

令第 2 条第 1 号の個人情報保護委員会規則で定める心身の機能の障害

令第 2 条第 1 号の個人情報保護委員会規則で定める心身の機能の障害は、次に掲げる障害とする。

は、次に掲げる障害とする。

（1） 身体障害者福祉法（昭和 24 年法律第 283 号）別表に掲げる身体上（1） 身体障害者福祉法（昭和 24 年法律第 283 号）別表に掲げる身体上

の障害

の障害

（2） 知的障害者福祉法（昭和 35 年法律第 37 号）にいう知的障害（2） 知的障害者福祉法（昭和 35 年法律第 37 号）にいう知的障害（3） 精神保健及び精神障害者福祉に関する法律（昭和 25 年法律第 123（3） 精神保健及び精神障害者福祉に関する法律（昭和 25 年法律第 123号）にいう精神障害（発達障害者支援法（平成 16 年法律第 167 号）第 2号）にいう精神障害（発達障害者支援法（平成 16 年法律第 167 号）第 2

条第 1 項に規定する発達障害を含み、前号に掲げるものを除く。）

条第 1 項に規定する発達障害を含み、前号に掲げるものを除く。）（4） 治療方法が確立していない疾病その他の特殊の疾病であって障害者（4） 治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生活及び社会生活を総合的に支援するための法律（平成 17 年法律の日常生活及び社会生活を総合的に支援するための法律（平成 17 年法律第 123 号）第 4 条第 1 項の政令で定めるものによる障害の程度が同項の第 123 号）第 4 条第 1 項の政令で定めるものによる障害の程度が同項の主務大臣が定める程度であるもの

厚生労働大臣が定める程度であるもの［2-5～2-20 略］［2-5～2-20 同左］

3

3

信書便事業者の義務

3

信書便事業者の義務［3-1～3-3 略］［3-1～3-3 同左］

3-4

3-4

個人データ等の管理（第 9 条～第 12 条関係）

個人データ等の管理（第 9 条～第 12 条関係）

［3-4-1 略］［3-4-1 同左］

3-4-2

3-4-2

安全管理措置（第 10 条関係）

［略］

安全管理措置（第 10 条関係）

［同左］

信書便事業者は、その取り扱う個人データの漏えい、滅失又は毀損（以信書便事業者は、その取り扱う個人データの漏えい、滅失又は毀損（以下「漏えい等」という。）の防止その他の個人データの安全管理のため、

下「漏えい等」という。）の防止その他の個人データの安全管理のため、

組織的、人的、物理的及び技術的安全管理措置並びに外的環境の把握とし組織的、人的、物理的及び技術的安全管理措置を講じなければならないて、必要かつ適切な措置を講じなければならないが、当該措置は、個人デが、当該措置は、個人データが漏えい等をした場合に本人が被る権利利益ータが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況

し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリ体の性質等に起因するリスクに応じて、必要かつ適切な内容としなければスクに応じて、必要かつ適切な内容としなければならない。

ならない。具体的に講じなければならない措置や当該措置を実践するため

なお、「その他の個人データの安全管理のために必要かつ適切な措置」の手法の例等については、「6（別添）講ずべき安全管理措置の内容」を参には、信書便事業者が取得し、又は取得しようとしている個人情報であっ照のこと。

て、当該信書便事業者が個人データとして取り扱うことを予定しているものの漏えい等を防止するために必要かつ適切な措置も含まれる。具体的に講じなければならない措置や当該措置を実践するための手法の例等については、「7（別添）講ずべき安全管理措置の内容」を参照のこと。
また、個人情報保護措置の実施に関する責任の所在を明確にし、第 10 条

また、個人情報保護措置の実施に関する責任の所在を明確にし、第 10 条

第 1 項の安全管理措置の実施その他の個人情報の適正な取扱いについて信第 1 項の安全管理措置の実施その他の個人情報の適正な取扱いについて信書便事業者の内部における責任体制を確保するため、信書便事業者は、当書便事業者の内部における責任体制を確保するため、信書便事業者は、当

該信書便事業者の個人情報の適正な取扱いの確保について必要な権限を有

該信書便事業者の個人情報の適正な取扱いの確保について必要な権限を有4する役員などの組織横断的に監督することのできる者（個人情報保護管理する役員などの組織横断的に監督することのできる者（個人情報保護管理者）（※）を置いて、個人情報保護管理者において責任をもって必要な個者）（※）を置いて、個人情報保護管理者において責任をもって必要な個

人情報保護の取扱いの監督等を行わせるよう努めなければならない。

人情報保護の取扱いの監督等を行わせるよう努めなければならない。

なお、個人情報保護管理者の設置は、特に、信書便事業者の内部又は外

なお、個人情報保護管理者の設置は、特に、信書便事業者の内部又は外部からの不正行為による個人情報の漏えい等を防止するため、責任の所在

部からの不正行為による個人情報の漏えい等を防止するため、責任の所在を明確化する上でも、重要である。また、個人情報保護管理者は、内部規を明確化する上でも、重要である。また、個人情報保護管理者は、内部規程の策定や監査体制の整備に当たっては、7（別添）（講ずべき安全管理措程の策定や監査体制の整備に当たっては、6（別添）（講ずべき安全管理措置の内容）に規定された措置を盛り込むことが望ましい。

置の内容）に規定された措置を盛り込むことが望ましい。

［略］

［同左］

［3-4-3・3-4-4 略］［3-4-3・3-4-4 同左］

3-4-5

3-4-5

委託先の監督（第 12 条第 1 項～第 3 項関係）

委託先の監督（第 12 条第 1 項～第 3 項関係）

［略］

［同左］

（1）適切な委託先の選定（1）適切な委託先の選定

委託先の選定に当たっては、委託先の安全管理措置が、少なくとも第 10

委託先の選定に当たっては、委託先の安全管理措置が、少なくとも第 10条に基づく安全管理措置であること又は法第 23 条及び本ガイドラインで委条に基づく安全管理措置であること又は法第 23 条及び本ガイドラインで委託元に求められるものと同等であることを確認するため、「7（別添）講ず

託元に求められるものと同等であることを確認するため、「6（（別添）講べき安全管理措置の内容」に定める各項目が、委託する業務内容に沿っずべき安全管理措置の内容）」に定める各項目が、委託する業務内容に沿て、確実に実施されることについて、あらかじめ確認しなければならなって、確実に実施されることについて、あらかじめ確認しなければならな

い。

い。

[略]

[略]

［（2）・（3） 略］［（2）・（3） 同左］

［略］

［同左］

［3-4-6 略］［3-4-6 同左］

5

［3-5

略］

［3-5

同左］

3-6

個人データの漏えい等の報告等（第 14 条関係）

3-6

個人データの漏えい等の報告等（第 14 条関係）

3-6-1

「個人データ」の 「漏えい等」の考え方

3-6-1「漏えい等」の考え方

3-6-1-1 第 14 条第 1 項各号の「個人データ」の考え方［新設］

第 14 条第 1 項各号は、法第 26 条第 1 項に基づく漏えい等の報告の対象となる事態について定めているところ、第 14 条第 1 項各号に規定する「個人データ」とは、信書便事業者が取り扱う個人データをいう。
ただし、第 14 条第 1 項第 3 号に規定する「個人データ」には、「当該信書便事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているもの」が含まれる。
そのため、同号に定める事態との関係では、3-6-1-2（「漏えい」の考え方）から 3-6-1-4（「毀損」の考え方）までにおける「個人データ」は、信書便事業者が取り扱う個人データに加え、「当該信書便事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているもの」を含む。
同号に定める事態について、詳細は 3-6-3-1（報告対象となる事態）を参照のこと。

3-6-1-2 「漏えい」の考え方

3-6-1-1 「漏えい」の考え方

［略］

［同左］

［事例 1）～事例 5） 略］［事例 1）～事例 5）

事例 6）信書便事業者のウェブサイトの入力ページが第三者に改ざんされ、［新設］

ユーザーが当該ページに入力した個人情報が、当該第三者に送信され6同左］

た場合であり、かつ、当該信書便事業者が、当該ページに入力される
個人情報を個人情報データベース等へ入力することを予定していたと
き
［略］

［同左］

3-6-1-3 「滅失」の考え方

3-6-1-2 「滅失」の考え方

［略］

［同左］

3-6-1-4 「毀損」の考え方

3-6-1-3 「毀損」の考え方

［略］

［同左］

［3-6-2 略］［3-6-2 同左］

3-6-3

3-6-3

個人情報保護委員会・総務大臣への報告（第 14 条第 1 項関係）

個人情報保護委員会・総務大臣への報告（第 14 条第 1 項関係）

3-6-3-1 報告対象となる事態

3-6-3-1 報告対象となる事態

第 14 条（第 1 項）

第 14 条（第 1 項）

1

1

信書便事業者は、その取り扱う個人データの漏えい、滅失、毀損その信書便事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害す

他の個人データの安全の確保に係る事態であって個人の権利利益を害す

るおそれが大きいものとして次の各号のいずれかに該当するものが生じるおそれが大きいものとして次の各号のいずれかに該当するものが生じたときは、次項から第 4 項までの規定で定めるところにより、当該事態がたときは、次項から第 4 項までの規定で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該信書便事業者が、他の個人情報取扱事業者又は行政機関等から当該個

該信書便事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、第 5 項に人データの取扱いの全部又は一部の委託を受けた場合であって、第 5 項に定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業

定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業

7

者又は行政機関等に通知したときは、この限りでない。

者又は行政機関等に通知したときは、この限りでない。

一

一

二

要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下の権利利益を保護するために必要な措置を講じたものを除く。以下

この項及び次項において同じ。）の漏えい等が発生し、又は発生しこの項及び次項において同じ。）の漏えい等が発生し、又は発生したおそれがある事態

たおそれがある事態

不正に利用されることにより財産的被害が生じるおそれがある個人

二

データの漏えい等が発生し、又は発生したおそれがある事態
三

要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人

不正に利用されることにより財産的被害が生じるおそれがある個人
データの漏えい等が発生し、又は発生したおそれがある事態

不正の目的をもって行われたおそれがある当該信書便事業者に対す三る行為による個人データ（当該信書便事業者が取得し、又は取得し不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態ようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、又は発生したおそれがある事態
四

個人データに係る本人の数が千人を超える漏えい等が発生し、又は四発生したおそれがある事態

個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態

［略］

［同左］

［略］

［同左］

［（1）・（2） 略］［（1）・（2） 同左］（3）不正の目的をもって行われたおそれがある当該信書便事業者に対する（3）不正の目的をもって行われたおそれがある個人データの漏えい等が発行為による個人データ（当該信書便事業者が取得し、又は取得しよう

生し、又は発生したおそれがある事態（第 14 条第１項第３号関係）としている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、又は発生したおそれがある事態（第 14 条第１項第 3 号関係）

8

「不正の目的をもって行われたおそれがある当該信書便事業者に対する「不正の目的をもって」漏えい等を発生させた主体には、第三者のみな行為」（以下「不正行為」という。）の主体には、第三者のみならず、従らず、従業者も含まれる。

業者も含まれる。また、不正行為の相手方である「当該信書便事業者」には、当該信書便事業者が第三者に個人データの取扱いを委託している場合（※3）における当該第三者（委託先）及び当該信書便事業者が個人データを取り扱うに当たって第三者の提供するサービスを利用している場合における当該第三者も含まれる。
当該信書便事業者が「取得しようとしている個人情報」に該当するかど
うかは、当該信書便事業者が用いている個人情報の取得手段等を考慮して客観的に判断する。
個人情報データベース等へ入力すること等を予定していれば、最終的に個人情報に該当しない統計情報への加工を行うことを予定している場合等
であっても、「個人データとして取り扱われることが予定されている」に該当する。

【報告を要する事例】（※4）

【報告を要する事例】

事例 1）不正アクセスにより個人データ（個人情報データベース等へ入事例 1）不正アクセスにより個人データが漏えいした場合（※3）

力する予定の個人情報を含む。以下、事例 5）まで同じ。）が漏えいした場合
事例 2）ランサムウェア等により個人データが暗号化され、復元できな事例 2）ランサムウェア等により個人データが暗号化され、復元できなくなった場合くなった場合事例 3）個人データが記載又は記録された書類・媒体等が盗難された場

事例 3）個人データが記載又は記録された書類・媒体等が盗難された場

合

合

9

事例 4）従業者が顧客の個人データを不正に持ち出して第三者に提供した場合（※5）

事例 4）従業者が顧客の個人データを不正に持ち出して第三者に提供した場合（※4）事例 5）従業者の私用の端末又は取引先の端末が情報を窃取するマルウ［新設］

ェアに感染し、その後、当該端末と信書便事業者のサーバとの電気通信に起因して、当該サーバも当該マルウェアに感染し、個人デー
タが漏えいした場合
事例 6）信書便事業者のウェブサイトの入力ページが第三者に改ざんさ［新設］れ、ユーザーが当該ページに入力した個人情報が当該第三者に送信された場合であり、かつ、当該信書便事業者が、当該ページに入力される個人情報を個人情報データベース等へ入力することを予定していたとき
事例 7）信書便事業者のウェブサイト上に設置された、入力ページに遷［新設］移するためのリンクやボタンが第三者に改ざんされ、当該リンクやボタンをユーザーがクリックした結果、偽の入力ページに遷移し、当該ユーザーが当該偽の入力ページに入力した個人情報が当該第三者に送信された場合であり、かつ、当該信書便事業者が、当該信書便事業者の入力ページに入力される個人情報を個人情報データベー
ス等へ入力することを予定していたとき
事例 8）信書便事業者が、第三者により宛先の改ざんされた返信用封筒を顧客に送付した結果、当該返信用封筒により返信されたアンケー
ト用紙に記入された個人情報が当該第三者に送付された場合であり、かつ、当該信書便事業者が、当該個人情報を個人情報データベース等へ入力することを予定していたとき

10

［新設］

（4）個人データに係る本人の数が千人を超える漏えい等が発生し、又は発 （4）個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態（第 14 条第 1 項第 4 号関係）
［略］

生したおそれがある事態（第 14 条第 1 項第 4 号関係）
［同左］［（※1）・（※2） 略］［（※1）・（※2） 同左］（※3）信書便事業者が、個人データとして取り扱うことを予定し［新設］ている個人情報の取扱いを第三者に委託する場合であって、当該第三者（委託先）が当該個人情報を個人データとして取り扱う予定はないときも、ここにいう「信書便事業者が第三者に個人データの取扱いを委託している場合」に該当する。
（※4）サイバー攻撃の事案について、「漏えい」が発生したおそ（※3）サイバー攻撃の事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、次のれがある事態に該当し得る事例としては、例えば、次の（ア）から（オ）までが考えられる。

（ア）から（エ）が考えられる。

（ア）個人データ（個人情報データベース等へ入力する予定（ア）個人データを格納しているサーバや、当該サーバにアの個人情報を含む。（イ）において同じ。）を格納していクセス権限を有する端末において外部からの不正アクセスるサーバや、当該サーバにアクセス権限を有する端末におによりデータが窃取された痕跡が認められた場合

いて外部からの不正アクセスによりデータが窃取された痕跡が認められた場合（イ）個人データを格納しているサーバや、当該サーバにア（イ）個人データを格納しているサーバや、当該サーバにア

クセス権限を有する端末において、情報を窃取する振る舞

クセス権限を有する端末において、情報を窃取する振る舞いが判明しているマルウェアの感染が確認された場合いが判明しているマルウェアの感染が確認された場合（ウ）マルウェアに感染したコンピュータに不正な指令を送（ウ）マルウェアに感染したコンピュータに不正な指令を送り、制御するサーバ（C&C サーバ）が使用しているものとり、制御するサーバ（C&C サーバ）が使用しているものとして知られている IP アドレス・FQDN（Fully Qualified Do

11

して知られている IP アドレス・FQDN（Fully Qualified Do

main Name の略。サブドメイン名及びドメイン名からなる

main Name の略。サブドメイン名及びドメイン名からなる文字列であり、ネットワーク上のコンピュータ（サーバ

文字列であり、ネットワーク上のコンピュータ（サーバ等）を特定するもの。）への通信が確認された場合等）を特定するもの。）への通信が確認された場合［新設］（エ）個人情報の取得手段であるウェブページを構成するファイルを保存しているサーバや、当該サーバにアクセス権限を有する端末において、外部からの不正アクセスにより、当該ファイルに、当該ウェブページに入力された情報を窃取するような改ざんがされた痕跡が確認された場合（エ）不正検知を行う公的機関、セキュリティ・サービス・（オ）不正検知を行う公的機関、セキュリティ・サービス・

プロバイダ、専門家等の第三者から、漏えいのおそれにつプロバイダ、専門家等の第三者から、漏えいのおそれについて、一定の根拠に基づく連絡を受けた場合

いて、一定の根拠に基づく連絡を受けた場合（※4）従業者による個人データの持ち出しの事案について、「漏（※5）従業者による個人データ又は個人情報の持ち出しの事案にえい」が発生したおそれがある事態に該当し得る事例としてついて、「漏えい」が発生したおそれがある事態に該当し得は、例えば、個人データを格納しているサーバや、当該サーる事例としては、例えば、個人データ又は個人情報を格納しバにアクセス権限を有する端末において、通常の業務で必要ているサーバや、当該サーバにアクセス権限を有する端末にとしないアクセスによりデータが窃取された痕跡が認められおいて、通常の業務で必要としないアクセスによりデータがた場合が考えられる。

窃取された痕跡が認められた場合が考えられる。

なお、漏えい等が発生し、又は発生したおそれがある個人データ又は個

なお、漏えい等が発生し、又は発生したおそれがある個人データについ人情報について、高度な暗号化等の秘匿化がされている場合等、「高度なて、高度な暗号化等の秘匿化がされている場合等、「高度な暗号化その他

暗号化その他の個人の権利利益を保護するために必要な措置」が講じられの個人の権利利益を保護するために必要な措置」が講じられている場合にている場合については、報告を要しない。

ついては、報告を要しない。

12

（参考）

（参考）

［略］

［同左］

規則第 7 条

規則第 7 条

法第 26 条第 1 項本文の個人の権利利益を害するおそれが大きいものと法第 26 条第 1 項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当

して個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。

するものとする。

（1）（1）

要配慮個人情報が含まれる個人データ（高度な暗号化その他の要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。

個人の権利利益を保護するために必要な措置を講じたものを除く。

以下この条及び次条第 1 項において同じ。）の漏えい、滅失若しく

以下この条及び次条第 1 項において同じ。）の漏えい、滅失若しくは毀損（以下この条及び次条第 1 項において「漏えい等」といは毀損（以下この条及び次条第 1 項において「漏えい等」という。）が発生し、又は発生したおそれがある事態

う。）が発生し、又は発生したおそれがある事態（2）

不正に利用されることにより財産的被害が生じるおそれがある（2）

個人データの漏えい等が発生し、又は発生したおそれがある事態（3）

不正に利用されることにより財産的被害が生じるおそれがある

個人データの漏えい等が発生し、又は発生したおそれがある事態

不正の目的をもって行われたおそれがある当該個人情報取扱事（3）

業者に対する行為による個人データ（当該個人情報取扱事業者が取不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態

得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、又は発生したおそれがある事態（4）

個人データに係る本人の数が千人を超える漏えい等が発生し、（4）又は発生したおそれがある事態

個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態

［略］

［同左］

3-6-3-2 報告義務の主体

3-6-3-2 報告義務の主体

13

漏えい等報告の義務を負う主体は、原則として、漏えい等が発生し、又は発生したおそれがある個人データを取り扱う信書便事業者である。ただ

漏えい等報告の義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データを取り扱う信書便事業者である。

し、第 14 条第 1 項第 3 号に定める事態について漏えい等報告の義務を負う
主体は、漏えい等が発生し、又は発生したおそれがある個人データ又は個
人情報を取り扱い、又は取得しようとしている信書便事業者である（3-6-1-1（第 14 条第 1 項各号の「個人データ」の考え方）参照）。
個人データの取扱いを委託している場合においては、委託元と委託先の個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人データ又は個人情報を取り扱っており、又は取得しようとして双方が個人データを取り扱っていることになるため、報告対象事態に該当いることになるため、報告対象事態に該当する場合には、原則として委託する場合には、原則として委託元と委託先の双方が報告する義務を負う。

元と委託先の双方が報告する義務を負う。この場合、委託元及び委託先のこの場合、委託元及び委託先の連名で報告することができる。なお、委託連名で報告することができる。なお、委託先が、報告義務を負っている委先が、報告義務を負っている委託元に当該事態が発生したことを通知した

託元に当該事態が発生したことを通知したときは、委託先は報告義務を免ときは、委託先は報告義務を免除される（3-6-3-5（委託元への通知による除される（3-6-3-5（委託元への通知による例外）参照）。

例外）参照）。

［略］［同左］

3-6-3-3 速報（第 14 条第 2 項関係）

3-6-3-3 速報（第 14 条第 2 項関係）第14条（第2項）

第14条（第2項）

2

2

信書便事業者は、前項本文の規定による報告をする場合には、同項各

信書便事業者は、前項本文の規定による報告をする場合には、同項各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。第5項に項（報告をしようとする時点において把握しているものに限る。第5項において同じ。）を報告しなければならない。

おいて同じ。）を報告しなければならない。

一

概要

一

概要

二

漏えい等が発生し、又は発生したおそれがある個人データ（前項第3二漏えい等が発生し、又は発生したおそれがある個人データの項目

14

号に定める事態については、同号に規定する個人情報を含む。次号において同じ。）の項目
三

漏えい等が発生し、又は発生したおそれがある個人データに係る本三人の数

漏えい等が発生し、又は発生したおそれがある個人データに係る本
人の数

四

原因

四

原因

五

二次被害又はそのおそれの有無及びその内容

五

二次被害又はそのおそれの有無及びその内容

六

本人への対応の実施状況

六

本人への対応の実施状況

七

公表の実施状況

七

公表の実施状況

八

再発防止のための措置

八

再発防止のための措置

九

その他参考となる事項

九

その他参考となる事項

［略］

［同左］

（1）［略］（1）［同左］（2）「漏えい等が発生し、又は発生したおそれがある個人データ（前項第（2）「漏えい等が発生し、又は発生したおそれがある個人データの項目」

3 号に定める事態については、同号に規定する個人情報を含む。次号において同じ。）の項目」
漏えい等が発生し、又は発生したおそれがある個人データ（第 14 条第 1
項第 3 号に定める事態については、同号に規定する個人情報を含む。）の項

漏えい等が発生し、又は発生したおそれがある個人データの項目について、媒体や種類（顧客情報、従業員情報の別等）とともに報告する。

目について、媒体や種類（顧客情報、従業員情報の別等）とともに報告する。

（3）「漏えい等が発生し、又は発生したおそれがある個人データに係る本 （3）「漏えい等が発生し、又は発生したおそれがある個人データに係る本
人の数」

人の数」

15

漏えい等が発生し、又は発生したおそれがある個人データ（第 14 条第 1
項第 3 号に定める事態については、同号に規定する個人情報を含む。）に係漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数について報告する。

る本人の数について報告する。

［（4）～（9） 略］［（4）～（9） 同左］

（参考）

（参考）

規則第 8 条（第 1 項）

規則第 8 条（第 1 項）

1 個人情報取扱事業者は、法第 26 条第 1 項本文の規定による報告をする場

1

個人情報取扱事業者は、法第 26 条第 1 項本文の規定による報告をする場

合には、前条各号に定める事態を知った後、速やかに、当該事態に関す

合には、前条各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているもの

る次に掲げる事項（報告をしようとする時点において把握しているものに限る。次条において同じ。）を報告しなければならない。

に限る。次条において同じ。）を報告しなければならない。

（1） 概要（1） 概要（2） 漏えい等が発生し、又は発生したおそれがある個人データ（前条（2） 漏えい等が発生し、又は発生したおそれがある個人データの項目

第 3 号に定める事態については、同号に規定する個人情報を含む。
次号において同じ。）の項目（3） 漏えい等が発生し、又は発生したおそれがある個人データに係る（3） 漏えい等が発生し、又は発生したおそれがある個人データに係る

本人の数

本人の数

（4） 原因（4） 原因（5） 二次被害又はそのおそれの有無及びその内容（5） 二次被害又はそのおそれの有無及びその内容（6） 本人への対応の実施状況（6） 本人への対応の実施状況（7） 公表の実施状況（7） 公表の実施状況（8） 再発防止のための措置（8） 再発防止のための措置

16

（9） その他参考となる事項（9） その他参考となる事項［3-6-3-4・3-6-3-5 略］［3-6-3-4・3-6-3-5 同左］

3-6-4

3-6-4

本人への通知（第 14 条第 6 項関係）

本人への通知（第 14 条第 6 項関係）

[略]

[同左]

3-6-4-1 通知対象となる事態及び通知義務の主体

3-6-4-1 通知対象となる事態及び通知義務の主体

信書便事業者は、報告対象事態を知ったときは、本人への通知を行わなければならない。

信書便事業者は、報告対象事態を知ったときは、本人への通知を行わなければならない。

通知義務を負う主体は、原則として、漏えい等が発生し、又は発生した
おそれがある個人データを取り扱う信書便事業者である。ただし、第 14 条

通知義務を負う主体は、漏えい等が発生し、又は発生したおそれがある
個人データを取り扱う信書便事業者である。

第 1 項第 3 号に定める事態について本人への通知の義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データ又は個人情報を取り扱い、又は取得しようとしている信書便事業者である（3-6-1-1（第 14 条第1 項各号の「個人データ」の考え方）参照）。
個人データの取扱いを委託している場合においては、委託元と委託先の個人データの取扱いを委託している場合において委託先が、報告義務を双方が個人データ又は個人情報を取り扱い、又は取得しようとしているこ負っている委託元に 3-6-3-3（1）から（9）までに掲げる事項のうち、そのとになるため、報告対象事態に該当する場合には、原則として委託元と委時点で把握しているものを通知したときは、委託先は報告義務を免除され託先の双方が本人への通知を行う義務を負う。委託先が、報告義務を負っるとともに、本人への通知義務も免除される。なお、委託元への通知を行ている委託元に 3-6-3-3（1）から（9）までに掲げる事項のうち、その時点った委託先は、必要に応じて委託元による本人への通知に協力することがで把握しているものを通知したときは、委託先は報告義務を免除されると求められる。

ともに、本人への通知義務も免除される。なお、委託元への通知を行った
委託先は、必要に応じて委託元による本人への通知に協力することが求め
られる。

17

［略］

［同左］

［3-6-4-2 略］［3-6-4-2 同左］

3-6-4-3 通知の内容

3-6-4-3 通知の内容

本人へ通知すべき事項については、漏えい等報告における報告事項のう本人へ通知すべき事項については、漏えい等報告における報告事項のうち、「概要」（第 14 条第 2 項第 1 号）、「漏えい等が発生し、又は発生しち、「概要」（第 14 条第 2 項第 1 号）、「漏えい等が発生し、又は発生したおそれがある個人データ（前項第 3 号に定める事態については、同号に規たおそれがある個人データの項目」（同項第 2 号）、「原因」（同項第 4定する個人情報を含む。次号において同じ。）の項目」（同項第 2 号）、号、「二次被害又はそのおそれの有無及びその内容」（同項第 5 号）及び「原因」（同項第 4 号）、「二次被害又はそのおそれの有無及びその内容」「その他参考となる事項」（同項第 9 号）（※）に限られている。これらの（同項第 5 号）及び「その他参考となる事項」（同項第 9 号）（※）に限ら事項が全て判明するまで本人への通知をする必要がないというものではなれている。これらの事項が全て判明するまで本人への通知をする必要がな

く、本人への通知は、「当該事態の状況に応じて速やかに」行う必要があいというものではなく、本人への通知は、「当該事態の状況に応じて速やる（3-6-4-2（通知の時間的制限）参照）。

かに」行う必要がある（3-6-4-2（通知の時間的制限）参照）。
［略］

［同左］

[3-6-4-4・3-6-4-5 略][3-6-4-4・3-6-4-5 同左]［3-7・3-8 略］［3-7・3-8 同左］

3-9

3-9

保有個人データに関する事項の公表等、保有個人データの開示・訂

保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止等について（第 20 条～第 27 条関係）

正等・利用停止等について（第 20 条～第 27 条関係）

3-9-1 保有個人データに関する事項の公表等（第 20 条関係）

3-9-1 保有個人データに関する事項の公表等（第 20 条関係）

（1）保有個人データに関する事項の本人への周知（第 20 条第 1 項関係）

（1）保有個人データに関する事項の本人への周知（第 20 条第 1 項関係）

［略］

［同左］

［①～③ 略］［①～③ 同左］④保有個人データの安全管理のために講じた措置（ただし、本人の知り得④保有個人データの安全管理のために講じた措置（ただし、本人の知り得18

る状態に置くことにより当該保有個人データの安全管理に支障を及ぼする状態に置くことにより当該保有個人データの安全管理に支障を及ぼす

おそれがあるものを除く。）

おそれがあるものを除く。）

［略］

［同左］

当該安全管理のために講じた措置は、事業の規模及び性質、保有個人

当該安全管理のために講じた措置は、事業の規模及び性質、保有個人

データの取扱状況（取り扱う保有個人データの性質及び量を含む。）、

データの取扱状況（取り扱う保有個人データの性質及び量を含む。）、保有個人データを記録した媒体等に起因するリスクに応じて、必要かつ保有個人データを記録した媒体等に起因するリスクに応じて、必要かつ適切な内容としなければならない。このため、当該措置の内容は信書便

適切な内容としなければならない。このため、当該措置の内容は信書便

事業者によって異なり、本人の知り得る状態に置く安全管理のために講事業者によって異なり、本人の知り得る状態に置く安全管理のために講じた措置の内容についても信書便事業者によって異なる。

じた措置の内容についても信書便事業者によって異なる。

なお、当該安全管理のために講じた措置には、信書便事業者が取得

なお、本人の知り得る状態については、本人の求めに応じて遅滞なくし、又は取得しようとしている個人情報であって、当該信書便事業者が回答する場合を含むため、講じた措置の概要や一部をホームページに掲

保有個人データとして取り扱うことを予定しているものの漏えい等を防載し、残りを本人の求めに応じて遅滞なく回答を行うといった対応も可止するために講じた措置も含まれる。

能であるが、例えば、「個人情報の保護に関する法律についてのガイド

本人の知り得る状態については、本人の求めに応じて遅滞なく回答すライン（通則編）」に沿って安全管理措置を実施しているといった内容る場合を含むため、講じた措置の概要や一部をホームページに掲載し、の掲載や回答のみでは適切ではない。

残りを本人の求めに応じて遅滞なく回答を行うといった対応も可能であるが、例えば、「個人情報の保護に関する法律についてのガイドライン（通則編）」に沿って安全管理措置を実施しているといった内容の掲載や回答のみでは適切ではない。
［略］

［同左］

⑤保有個人データの取扱いに関する苦情の申出先⑤保有個人データの取扱いに関する苦情の申出先

［略］

［同左］

［（※1）～（※6） 略］［（※1）～（※6） 同左］

19

（※7）第 20 条第 1 項第 4 号の規定により本人の知り得る状態に置く必（※7）第 20 条第 1 項第 4 号の規定により本人の知り得る状態に置く必要があるのは保有個人データの安全管理のために講じた措置であ要があるのは保有個人データの安全管理のために講じた措置であるが、これに代えて、個人データの安全管理のために講じた措置

るが、これに代えて、個人データの安全管理のために講じた措置について本人の知り得る状態に置くことは妨げられない。なお、について本人の知り得る状態に置くことは妨げられない。なお、

本ガイドラインでは、個人データの安全管理のために講じた措置

本ガイドラインでは、個人データの安全管理のために講じた措置についての事例を記載している。

についての事例を記載している。

安全管理措置の事例について、詳細は「7（別添）講ずべき安全

安全管理措置の事例について、詳細は「6（別添）講ずべき安全管理措置の内容」を参照のこと。ただし、上記事例も含め、掲げ管理措置の内容」を参照のこと。ただし、上記事例も含め、掲げられている事例の内容の全てを本人の知り得る状態に置かなけれられている事例の内容の全てを本人の知り得る状態に置かなければならないわけではなく、また、本人の知り得る状態に置かなけばならないわけではなく、また、本人の知り得る状態に置かなければならないものは事例の内容に限られない。本人の適切な理解ればならないものは事例の内容に限られない。本人の適切な理解と関与を促す観点から、事業の規模及び性質、保有個人データのと関与を促す観点から、事業の規模及び性質、保有個人データの取扱状況等に応じて、上記事例以上に詳細な内容の掲載や回答と取扱状況等に応じて、上記事例以上に詳細な内容の掲載や回答とすることは、より望ましい対応である。

することは、より望ましい対応である。

［（※8）・（※9） 略］［（※8）・（※9） 同左］（※10）「中小規模事業者」については、「7（別添）講ずべき安全管理（※10）「中小規模事業者」については、「6（別添）講ずべき安全管理措置の内容」を参照のこと。

措置の内容」を参照のこと。

（※11）中小規模事業者における安全管理措置の事例についても、詳細（※11）中小規模事業者における安全管理措置の事例についても、詳細は「7（別添）講ずべき安全管理措置の内容」を参照のこと。そは「6（別添）講ずべき安全管理措置の内容」を参照のこと。その他の個人情報取扱事業者と同様に、上記事例も含め、掲げられの他の個人情報取扱事業者と同様に、上記事例も含め、掲げられている事例の内容の全てを本人の知り得る状態に置かなければなている事例の内容の全てを本人の知り得る状態に置かなければならないわけではなく、また、本人の知り得る状態に置かなければらないわけではなく、また、本人の知り得る状態に置かなければならないものは事例の内容に限られない。また、中小規模事業者

ならないものは事例の内容に限られない。また、中小規模事業者

20

が、その他の個人情報取扱事業者と同様に「7（別添）講ずべきが、その他の個人情報取扱事業者と同様に「6（別添）講ずべき

安全管理措置の内容」に掲げる「手法の例示」に記述した手法を安全管理措置の内容」に掲げる「手法の例示」に記述した手法を採用し、当該手法の内容を本人の知り得る状態に置くことは、よ採用し、当該手法の内容を本人の知り得る状態に置くことは、より望ましい対応である。

り望ましい対応である。

［略］

［同左］

［（2）略］［（2）同左］［3-9-2～3-9-9 略］［3-9-2～3-9-9 同左］［3-10～3-12 略］［3-10～3-12 同左］

4

学術研究機関等の責務（第 35 条関係）

4

学術研究機関等の責務（第 35 条関係）

4-1

学術研究機関等の責務（第 35 条関係）

4-1

学術研究機関等の責務（第 35 条関係）

［略］

［同左］
［（※1）・（※2） 略］［（※1）・（※2） 略］（※3）各規定に関する例外規定については、3-1-5（利用目的によ（※3）各規定に関する例外規定については、3-1-5（利用目的による制限の例外）、3-3-2（要配慮個人情報の取得）及び 3-7-1（第三る制限の例外）、3-3-2（要配慮個人情報の取得）及び 3-6-1（第三者提供の制限の原則）を参照のこと。

者提供の制限の原則）を参照のこと。

[略]

[同左]

［4-2 略］［4-2 同左］［5・6 略］［5・6 同左］

77（別添）講ずべき安全管理措置の内容
第 10 条第 1 項に定める安全管理措置として、具体的に講じなければなら（別添）講ずべき安全管理措置の内容
第 10 条第 1 項に定める安全管理措置として、具体的に講じなければなら

21

ない措置や当該措置を実践するための手法の例等を次に示す（※1）。

ない措置や当該措置を実践するための手法の例等を次に示す。

安全管理措置を講ずるための具体的な手法については、個人データが漏安全管理措置を講ずるための具体的な手法については、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業のえい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量

規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリスクに応じを含む。）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容とすべきものであるため、必ずしも次に掲げる例て、必要かつ適切な内容とすべきものであるため、必ずしも次に掲げる例

示の内容の全てを講じなければならないわけではなく、また、適切な手法

示の内容の全てを講じなければならないわけではなく、また、適切な手法はこれらの例示の内容に限られない。

はこれらの例示の内容に限られない。

なお、中小規模事業者（※2）である信書便事業者については、その他の

なお、中小規模事業者（※1）である信書便事業者については、その他の信書便事業者と同様に、第 10 条第 1 項に定める安全管理措置を講じなけれ

信書便事業者と同様に、第 10 条第 1 項に定める安全管理措置を講じなければならないが、取り扱う個人データの数量及び個人データを取り扱う従業ばならないが、取り扱う個人データの数量及び個人データを取り扱う従業者数が一定程度にとどまること等を踏まえ、円滑にその義務を履行し得る者数が一定程度にとどまること等を踏まえ、円滑にその義務を履行し得るような手法の例を示すこととする。もっとも、中小規模事業者である信書ような手法の例を示すこととする。もっとも、中小規模事業者である信書便事業者が、その他の信書便事業者と同様に「手法の例示」に記述した手便事業者が、その他の信書便事業者と同様に「手法の例示」に記述した手法も採用することは、より望ましい対応である。

法も採用することは、より望ましい対応である。

（※１）第 10 条第 1 項に定める「その他の個人データの安全管理のために［新設］

必要かつ適切な措置」には、信書便事業者が取得し、又は取得しようとしている個人情報であって、当該信書便事業者が個人デー
タとして取り扱うことを予定しているものの漏えい等を防止するために必要かつ適切な措置も含まれる。そのため、次に掲げる措置及び例示における「個人データ」には、当該個人情報も含まれる。

22

（※2）「中小規模事業者」とは、従業員（※3）の数が 100 人以下の事業（※1）「中小規模事業者」とは、従業員（※2）の数が 100 人以下の事業者であって、次に掲げる事業者を除く事業者をいう。

者であって、次に掲げる事業者を除く事業者をいう。

・その事業の用に供する個人情報データベース等を構成する個人

・その事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数の合計が過去 6 月以内の情報によって識別される特定の個人の数の合計が過去 6 月以内のいずれかの日において 5,000 を超える事業者

いずれかの日において 5,000 を超える事業者

・委託に基づいて個人データの提供を受け、個人情報データベー・委託に基づいて個人データの提供を受け、個人情報データベース等を事業の用に供する事業者

ス等を事業の用に供する事業者（※3） 中小企業基本法における従業員をいい、労働基準法第 20 条の適用（※2） 中小企業基本法における従業員をいい、労働基準法第 20 条の適用を受ける労働者に相当する者をいう。ただし、同法第 21 条の規定を受ける労働者に相当する者をいう。ただし、同法第 21 条の規定

により第 20 条の適用が除外されている者は除く。

により第 20 条の適用が除外されている者は除く。

［7-1～7-7 略］［7-1～7-7 同左］［【付録】 略］［【付録】 同左］

備考 表中の[ ]の記載は注記である。

23