郵便事業分野における個人情報保護に関するガイドライン（令和４年個人情報保護委員会・総務省告示第２号（最終改正令和６年個人情報保護委員会・
総務省告示第２号））の解説の一部改正の新旧対照表○ 郵便事業分野における個人情報保護に関するガイドライン（令和４年個人情報保護委員会・総務省告示第２号（最終改正令和６年個人情報保護委員会・総務省告示第２号））の解説
・改正前欄に掲げる規定の傍線を付し又は破線で囲んだ部分をこれに順次対応する改正後欄に掲げる規定の傍線を付し又は破線で囲んだ部分のように改める。
・改正前欄及び改正後欄に対応して掲げるその標記部分に二重傍線を付した規定（以下「対象規定」という。）は、改正前欄に掲げる対象規定を改正後欄に掲げる対象規定として移動し、改正後欄に掲げる対象規定で改正前欄にこれに対応するものを掲げていないものは、これを加える。

改正後

改正前

郵便事業分野における個人情報保護に関するガイドライン

郵便事業分野における個人情報保護に関するガイドライン（令和４年個人情報保護委員会・総務省告示第２号（最終改正令和６年個（令和４年個人情報保護委員会・総務省告示第２号（最終改正令和５年個

人情報保護委員会・総務省告示第２号））の解説

人情報保護委員会・総務省告示第３号））の解説

令和４年３月

令和４年３月

個人情報保護委員会

個人情報保護委員会

総務省

総務省

（令和６年３月更新）（令和５年３月更新）

郵便事業分野における個人情報保護に関するガイドラインの解説

郵便事業分野における個人情報保護に関するガイドラインの解説

目次

目次

［略］
3-6-1 「個人データ」の「漏えい等」の考え方
［略］

［同左］
3-6-1 「漏えい等」の考え方［同左］

［【凡例】 略］［【凡例】 同左］※※

なお、特に断りのない限り、本ガイドラインの解説において示す法令等の内容は令和 6 年 3 月 12 日時点とする。

なお、特に断りのない限り、本ガイドラインの解説において示す法令等の内容は令和 5 年 4 月 1 日時点とする。

［1

略］

［1

同左］

2

定義

2

定義

［2-1～2-3 略］［2-1～2-3 同左］

2-4

2-4

要配慮個人情報（法第 2 条第 3 項関係）

要配慮個人情報（法第 2 条第 3 項関係）

［略］

［同左］

［（1）～（6） 略］［（1）～（6） 同左］

（7）

（7）

身体障害、知的障害、精神障害（発達障害を含む。）その他の個

身体障害、知的障害、精神障害（発達障害を含む。）その他の個

人情報保護委員会規則で定める心身の機能の障害があること（政人情報保護委員会規則で定める心身の機能の障害があること（政令第 2 条第 1 号関係）

令第 2 条第 1 号関係）

［略］

［同左］

［①～③ 略］［①～③ 同左］④④「治療方法が確立していない疾病その他の特殊の疾病であって障害者「治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生活及び社会生活を総合的に支援するための法律第 4 条第 1の日常生活及び社会生活を総合的に支援するための法律第 4 条第 1項の政令で定めるものによる障害の程度が同項の主務大臣が定める程項の政令で定めるものによる障害の程度が同項の厚生労働大臣が定め度であるもの」があることを特定させる情報る程度であるもの」があることを特定させる情報

・医師により、主務大臣が定める特殊の疾病による障害により継続的・医師により、厚生労働大臣が定める特殊の疾病による障害により継に日常生活又は社会生活に相当な制限を受けていると診断されたこ

続的に日常生活又は社会生活に相当な制限を受けていると診断されと（疾病の名称や程度に関する情報を含む。）

たこと（疾病の名称や程度に関する情報を含む。）［（8）～（11） 略］［（8）～（11） 同左］

2

[略]

[同左]

（参考）

（参考）

［略］

［同左］

規則第 5 条

規則第 5 条

令第 2 条第 1 号の個人情報保護委員会規則で定める心身の機能の障害

令第 2 条第 1 号の個人情報保護委員会規則で定める心身の機能の障害は、次に掲げる障害とする。

は、次に掲げる障害とする。

（1） 身体障害者福祉法（昭和 24 年法律第 283 号）別表に掲げる身体上（1） 身体障害者福祉法（昭和 24 年法律第 283 号）別表に掲げる身体上

の障害

の障害

（2） 知的障害者福祉法（昭和 35 年法律第 37 号）にいう知的障害（2） 知的障害者福祉法（昭和 35 年法律第 37 号）にいう知的障害（3） 精神保健及び精神障害者福祉に関する法律（昭和 25 年法律第 123（3） 精神保健及び精神障害者福祉に関する法律（昭和 25 年法律第 123号）にいう精神障害（発達障害者支援法（平成 16 年法律第 167 号）第 2号）にいう精神障害（発達障害者支援法（平成 16 年法律第 167 号）第 2

条第 1 項に規定する発達障害を含み、前号に掲げるものを除く。）

条第 1 項に規定する発達障害を含み、前号に掲げるものを除く。）（4） 治療方法が確立していない疾病その他の特殊の疾病であって障害者（4） 治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生活及び社会生活を総合的に支援するための法律（平成 17 年法律の日常生活及び社会生活を総合的に支援するための法律（平成 17 年法律第 123 号）第 4 条第 1 項の政令で定めるものによる障害の程度が同項の第 123 号）第 4 条第 1 項の政令で定めるものによる障害の程度が同項の主務大臣が定める程度であるもの

厚生労働大臣が定める程度であるもの［2-5～2-20 略］［2-5～2-20 同左］

3

3

事業者の義務事業者の義務

［3-1～3-3 略］［3-1～3-3 同左］

3-4

3-4

個人データの管理（第 9 条～第 12 条関係）

個人データの管理（第 9 条～第 12 条関係）

［3-4-1 略］［3-4-1 同左］

3-4-2

3-4-2

安全管理措置（第 10 条関係）3

安全管理措置（第 10 条関係）

［略］

［同左］

事業者は、その取り扱う個人データの漏えい、滅失又は毀損（以下「漏事業者は、その取り扱う個人データの漏えい、滅失又は毀損（以下「漏えい等」という。）の防止その他の個人データの安全管理のため、組織

えい等」という。）の防止その他の個人データの安全管理のため、組織的、人的、物理的及び技術的安全管理措置並びに外的環境の把握として、的、人的、物理的及び技術的安全管理措置を講じなければならないが、当必要かつ適切な措置を講じなければならないが、当該措置は、個人データ

該措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害が漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及う個人データの性質及び量を含む。）、個人データを記録した媒体の性質

び量を含む。）、個人データを記録した媒体の性質等に起因するリスクに等に起因するリスクに応じて、必要かつ適切な内容としなければならな

応じて、必要かつ適切な内容としなければならない。

い。具体的に講じなければならない措置や当該措置を実践するための手法

なお、「その他の個人データの安全管理のために必要かつ適切な措置」の例等については、「7（別添）講ずべき安全管理措置の内容」を参照のこには、事業者が取得し、又は取得しようとしている個人情報であって、当と。

該事業者が個人データとして取り扱うことを予定しているものの漏えい等を防止するために必要かつ適切な措置も含まれる。具体的に講じなければならない措置や当該措置を実践するための手法の例等については、「8（別添）講ずべき安全管理措置の内容」を参照のこと。
また、個人情報保護措置の実施に関する責任の所在を明確にし、第 10 条

また、個人情報保護措置の実施に関する責任の所在を明確にし、第 10 条

第 1 項の安全管理措置の実施その他の個人情報の適正な取扱いについて事

第 1 項の安全管理措置の実施その他の個人情報の適正な取扱いについて事

業者の内部における責任体制を確保するため、事業者は、当該事業者の個業者の内部における責任体制を確保するため、事業者は、当該事業者の個

人情報の適正な取扱いの確保について必要な権限を有する役員などの組織

人情報の適正な取扱いの確保について必要な権限を有する役員などの組織

横断的に監督することのできる者（個人情報保護管理者）を置いて、個人横断的に監督することのできる者（個人情報保護管理者）を置いて、個人情報保護管理者において責任をもって必要な個人情報保護の取扱いの監督

情報保護管理者において責任をもって必要な個人情報保護の取扱いの監督等を行わせるよう努めなければならない。

等を行わせるよう努めなければならない。

なお、個人情報保護管理者の設置は、特に、事業者の内部又は外部から

なお、個人情報保護管理者の設置は、特に、事業者の内部又は外部から4

の不正行為による個人情報の漏えい等を防止するため、責任の所在を明確の不正行為による個人情報の漏えい等を防止するため、責任の所在を明確化する上でも、重要である。また、個人情報保護管理者は、内部規程の策化する上でも、重要である。また、個人情報保護管理者は、内部規程の策定や監査体制の整備に当たっては、8（別添）（講ずべき安全管理措置の内定や監査体制の整備に当たっては、7（別添）（講ずべき安全管理措置の内容）に規定された措置を盛り込むことが望ましい。

容）に規定された措置を盛り込むことが望ましい。

［略］

［同左］

［3-4-3・3-4-4 略］［3-4-3・3-4-4 同左］

3-4-5

3-4-5

委託先の監督（第 12 条第 1 項～第 3 項関係）

委託先の監督（第 12 条第 1 項～第 3 項関係）

［略］

［同左］

（1）適切な委託先の選定（1）適切な委託先の選定

委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第 2

委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第 23 条及び本ガイドラインで委託元である事業者に求められるものと同等であ

3 条及び本ガイドラインで委託元である事業者に求められるものと同等であることを確認するため、「8（別添）講ずべき安全管理措置の内容」に定めることを確認するため、「7（（別添）講ずべき安全管理措置の内容）」にる各項目が、委託する業務内容に沿って、確実に実施されることについ定める各項目が、委託する業務内容に沿って、確実に実施されることにつて、あらかじめ確認しなければならない。

いて、あらかじめ確認しなければならない。

［略］

［同左］

［（2）・（3） 略］［（2）・（3） 同左］

［略］

［同左］

［3-4-6 略］［3-4-6 同左］

［3-5

略］

［3-5

同左］

3-6

個人データの漏えい等の報告等（第 14 条関係）

3-6

個人データの漏えい等の報告等（第 14 条関係）

3-6-1

「個人データ」の 「漏えい等」の考え方

3-6-1「漏えい等」の考え方

5

3-6-1-1 第 14 条第 1 項各号の「個人データ」の考え方［新設］

第 14 条第 1 項各号は、法第 26 条第 1 項に基づく漏えい等の報告の対象となる事態について定めているところ、第 14 条第 1 項各号に規定する「個人データ」とは、事業者が取り扱う個人データをいう。
ただし、第 14 条第 1 項第 3 号に規定する「個人データ」には、「当該事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているもの」が含まれる。
そのため、同号に定める事態との関係では、3-6-1-2（「漏えい」の考え方）から 3-6-1-4（「毀損」の考え方）までにおける「個人データ」は、事業者が取り扱う個人データに加え、「当該事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているもの」を含む。
同号に定める事態について、詳細は 3-6-3-1（報告対象となる事態）を参照のこと。

3-6-1-2 「漏えい」の考え方

3-6-1-1 「漏えい」の考え方

［略］

［同左］

［事例 1）～事例 5） 略］［事例 1）～事例 5）

事例 6）事業者のウェブサイトの入力ページが第三者に改ざんされ、ユーザ［新設］

ーが当該ページに入力した個人情報が、当該第三者に送信された場合であり、かつ、当該事業者が、当該ページに入力される個人情報を個
人情報データベース等へ入力することを予定していたとき
［略］

［同左］

6

同左］

3-6-1-3 「滅失」の考え方

3-6-1-2 「滅失」の考え方

［略］

［同左］

3-6-1-4 「毀損」の考え方

3-6-1-3 「毀損」の考え方

［略］

［同左］

［3-6-2 略］［3-6-2 同左］

3-6-3

3-6-3

個人情報保護委員会・総務大臣への報告（第 14 条第 1 項関係）

個人情報保護委員会・総務大臣への報告（第 14 条第 1 項関係）

3-6-3-1 報告対象となる事態

3-6-3-1 報告対象となる事態

第 14 条（第 1 項）

第 14 条（第 1 項）

1

1

事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個

人データの安全の確保に係る事態であって個人の権利利益を害するおそ人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして次の各号のいずれかに該当するものが生じたときれが大きいものとして次の各号のいずれかに該当するものが生じたときは、次項から第 4 項までの規定で定めるところにより、当該事態が生じたは、次項から第 4 項までの規定で定めるところにより、当該事態が生じ旨を個人情報保護委員会に報告しなければならない。ただし、当該事業た旨を個人情報保護委員会に報告しなければならない。ただし、当該事者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの扱いの全部又は一部の委託を受けた場合であって、第 5 項に定めるところ

取扱いの全部又は一部の委託を受けた場合であって、第 5 項に定めるとにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機ころにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行関等に通知したときは、この限りでない。

政機関等に通知したときは、この限りでない。

一一

要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人

要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下の権利利益を保護するために必要な措置を講じたものを除く。以下

この項及び次項において同じ。）の漏えい等が発生し、又は発生しこの項及び次項において同じ。）の漏えい等が発生し、又は発生し7

たおそれがある事態
二

たおそれがある事態

不正に利用されることにより財産的被害が生じるおそれがある個人

二

データの漏えい等が発生し、又は発生したおそれがある事態
三

不正に利用されることにより財産的被害が生じるおそれがある個人
データの漏えい等が発生し、又は発生したおそれがある事態

不正の目的をもって行われたおそれがある当該事業者に対する行為

三による個人データ（当該事業者が取得し、又は取得しようとしてい不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態

る個人情報であって、個人データとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、又は発生したおそれがある事態
四

個人データに係る本人の数が千人を超える漏えい等が発生し、又は四発生したおそれがある事態

個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態

［略］

［同左］

［略］

［同左］

［（1）・（2） 略］［（1）・（2） 同左］（3）不正の目的をもって行われたおそれがある当該事業者に対する行為に（3）不正の目的をもって行われたおそれがある個人データの漏えい等が発よる個人データ（当該事業者が取得し、又は取得しようとしている個生し、又は発生したおそれがある事態（第 14 条第１項第 3 号関係）

人情報であって、個人データとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、又は発生したおそれがある事
態（第 14 条第１項第 3 号関係）

「不正の目的をもって行われたおそれがある当該事業者に対する行為」「不正の目的をもって」漏えい等を発生させた主体には、第三者のみな

8

（以下「不正行為」という。）の主体には、第三者のみならず、従業者もらず、従業者も含まれる。

含まれる。また、不正行為の相手方である「当該事業者」には、当該事業者が第三者に個人データの取扱いを委託している場合（※3）における当該第三者（委託先）及び当該事業者が個人データを取り扱うに当たって第三者の提供するサービスを利用している場合における当該第三者も含まれる。
当該事業者が「取得しようとしている個人情報」に該当するかどうか
は、当該事業者が用いている個人情報の取得手段等を考慮して客観的に判断する。
個人情報データベース等へ入力すること等を予定していれば、最終的に個人情報に該当しない統計情報への加工を行うことを予定している場合等
であっても、「個人データとして取り扱われることが予定されている」に該当する。

【報告を要する事例】（※4）

【報告を要する事例】

事例 1）不正アクセスにより個人データ（個人情報データベース等へ入事例 1）不正アクセスにより個人データが漏えいした場合（※3）

力する予定の個人情報を含む。以下、事例 5）まで同じ。）が漏えいした場合事例 2）ランサムウェア等により個人データが暗号化され、復元できな事例 2）ランサムウェア等により個人データが暗号化され、復元できくなった場合なくなった場合

事例 3）個人データが記載又は記録された書類・媒体等が盗難された場

事例 3）個人データが記載又は記録された書類・媒体等が盗難された合場合

事例 4）従業者が顧客の個人データを不正に持ち出して第三者に提供し事例 4）従業者が顧客の個人データを不正に持ち出して第三者に提供9た場合（※5）した場合（※4）事例 5）従業者の私用の端末又は取引先の端末が情報を窃取するマルウ［新設］

ェアに感染し、その後、当該端末と事業者のサーバとの電気通信に起因して、当該サーバも当該マルウェアに感染し、個人データが漏えいした場合
事例 6）事業者のウェブサイトの入力ページが第三者に改ざんされ、ユ［新設］

ーザーが当該ページに入力した個人情報が当該第三者に送信された場合であり、かつ、当該事業者が、当該ページに入力される個
人情報を個人情報データベース等へ入力することを予定していた
とき
事例 7）事業者のウェブサイト上に設置された、入力ページに遷移する［新設］

ためのリンクやボタンが第三者に改ざんされ、当該リンクやボタ
ンをユーザーがクリックした結果、偽の入力ページに遷移し、当該ユーザーが当該偽の入力ページに入力した個人情報が当該第三者に送信された場合であり、かつ、当該事業者が、当該事業者の入力ページに入力される個人情報を個人情報データベース等へ入力することを予定していたとき
事例 8）事業者が、第三者により宛先の改ざんされた返信用封筒を顧客に送付した結果、当該返信用封筒により返信されたアンケート用紙に記入された個人情報が当該第三者に送付された場合であり、かつ、当該事業者が、当該個人情報を個人情報データベース等へ入力することを予定していたとき

10

［新設］

（4）個人データに係る本人の数が千人を超える漏えい等が発生し、又は発 （4）個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態（第 15 条第 1 項第 4 号関係）
［略］

生したおそれがある事態（第 15 条第 1 項第 4 号関係）
［同左］［（※1）・（※2） 略］［（※1）・（※2） 同左］（※3）事業者が、個人データとして取り扱うことを予定している［新設］

個人情報の取扱いを第三者に委託する場合であって、当該第三者（委託先）が当該個人情報を個人データとして取り扱う
予定はないときも、ここにいう「事業者が第三者に個人デー
タの取扱いを委託している場合」に該当する。
（※4）サイバー攻撃の事案について、「漏えい」が発生したおそ（※3）サイバー攻撃の事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、次のれがある事態に該当し得る事例としては、例えば、次の（ア）から（オ）までが考えられる。

（ア）から（エ）が考えられる。

（ア）個人データ（個人情報データベース等へ入力する予定（ア）個人データを格納しているサーバや、当該サーバにアの個人情報を含む。（イ）において同じ。）を格納していクセス権限を有する端末において外部からの不正アクセスるサーバや、当該サーバにアクセス権限を有する端末におによりデータが窃取された痕跡が認められた場合

いて外部からの不正アクセスによりデータが窃取された痕跡が認められた場合（イ）個人データを格納しているサーバや、当該サーバにア（イ）個人データを格納しているサーバや、当該サーバにア

クセス権限を有する端末において、情報を窃取する振る舞

クセス権限を有する端末において、情報を窃取する振る舞いが判明しているマルウェアの感染が確認された場合いが判明しているマルウェアの感染が確認された場合（ウ）マルウェアに感染したコンピュータに不正な指令を送（ウ）マルウェアに感染したコンピュータに不正な指令を送り、制御するサーバ（C&C サーバ）が使用しているものとり、制御するサーバ（C&C サーバ）が使用しているものと11

して知られている IP アドレス・FQDN（Fully Qualified Do

して知られている IP アドレス・FQDN（Fully Qualified Do

main Name の略。サブドメイン名及びドメイン名からなる

main Name の略。サブドメイン名及びドメイン名からなる文字列であり、ネットワーク上のコンピュータ（サーバ

文字列であり、ネットワーク上のコンピュータ（サーバ等）を特定するもの。）への通信が確認された場合等）を特定するもの。）への通信が確認された場合（エ）個人情報の取得手段であるウェブページを構成するフ［新設］ァイルを保存しているサーバや、当該サーバにアクセス権限を有する端末において、外部からの不正アクセスにより、当該ファイルに、当該ウェブページに入力された情報を窃取するような改ざんがされた痕跡が確認された場合（オ）不正検知を行う公的機関、セキュリティ・サービス・（エ）不正検知を行う公的機関、セキュリティ・サービス・

プロバイダ、専門家等の第三者から、漏えいのおそれにつプロバイダ、専門家等の第三者から、漏えいのおそれについて、一定の根拠に基づく連絡を受けた場合

いて、一定の根拠に基づく連絡を受けた場合（※5）従業者による個人データ又は個人情報の持ち出しの事案に（※4）従業者による個人データの持ち出しの事案について、「漏ついて、「漏えい」が発生したおそれがある事態に該当し得えい」が発生したおそれがある事態に該当し得る事例としてる事例としては、例えば、個人データ又は個人情報を格納しは、例えば、個人データを格納しているサーバや、当該サーているサーバや、当該サーバにアクセス権限を有する端末にバにアクセス権限を有する端末において、通常の業務で必要おいて、通常の業務で必要としないアクセスによりデータがとしないアクセスによりデータが窃取された痕跡が認められ窃取された痕跡が認められた場合が考えられる。

た場合が考えられる。

なお、漏えい等が発生し、又は発生したおそれがある個人データ又は個

なお、漏えい等が発生し、又は発生したおそれがある個人データについ人情報について、高度な暗号化等の秘匿化がされている場合等、「高度なて、高度な暗号化等の秘匿化がされている場合等、「高度な暗号化その他

暗号化その他の個人の権利利益を保護するために必要な措置」が講じられの個人の権利利益を保護するために必要な措置」が講じられている場合にている場合については、報告を要しない。

ついては、報告を要しない。

12

（参考）

（参考）

［略］

［同左］

規則第 7 条

規則第 7 条

法第 26 条第 1 項本文の個人の権利利益を害するおそれが大きいものと法第 26 条第 1 項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当

して個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。

するものとする。

一

一二

要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下の権利利益を保護するために必要な措置を講じたものを除く。以下

この条及び次条第 1 項において同じ。）の漏えい、滅失若しくは毀この条及び次条第 1 項において同じ。）の漏えい、滅失若しくは毀損（以下この条及び次条第 1 項において「漏えい等」という。）が損（以下この条及び次条第 1 項において「漏えい等」という。）が発生し、又は発生したおそれがある事態発生し、又は発生したおそれがある事態

不正に利用されることにより財産的被害が生じるおそれがある個人

二

データの漏えい等が発生し、又は発生したおそれがある事態
三

要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人

不正に利用されることにより財産的被害が生じるおそれがある個人
データの漏えい等が発生し、又は発生したおそれがある事態

不正の目的をもって行われたおそれがある当該個人情報取扱事業者

三に対する行為による個人データ（当該個人情報取扱事業者が取得

不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、又は発生したおそれがある事態
四

個人データに係る本人の数が千人を超える漏えい等が発生し、又は四発生したおそれがある事態［略］

個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態

［同左］

13

3-6-3-2 報告義務の主体

3-6-3-2 報告義務の主体

漏えい等報告の義務を負う主体は、原則として、漏えい等が発生し、又は発生したおそれがある個人データを取り扱う事業者である。ただし、第 1

漏えい等報告の義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データを取り扱う事業者である。

4 条第 1 項第 3 号に定める事態について漏えい等報告の義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データ又は個人情報を取り扱い、又は取得しようとしている事業者である（3-6-1-1（第 14 条第 1
項各号の「個人データ」の考え方）参照）。
事業者が個人データの取扱いを委託している場合においては、委託元で事業者が個人データの取扱いを委託している場合においては、委託元である事業者と委託先の双方が個人データ又は個人情報を取り扱っており、ある事業者と委託先の双方が個人データを取り扱っていることになるた又は取得しようとしていることになるため、報告対象事態に該当する場合

め、報告対象事態に該当する場合には、原則として委託元である事業者とには、原則として委託元である事業者と委託先の双方が報告する義務を負

委託先の双方が報告する義務を負う（※）。この場合、委託元である事業

う（※）。この場合、委託元である事業者及び委託先の連名で報告するこ者及び委託先の連名で報告することができる。なお、委託先が、報告義務とができる。なお、委託先が、報告義務を負っている委託元である事業者を負っている委託元である事業者に当該事態が発生したことを通知したとに当該事態が発生したことを通知したときは、委託先は報告義務を免除さ

きは、委託先は報告義務を免除される（3-6-3-5（委託元への通知による例

れる（3-6-3-5（委託元への通知による例外）参照）。

外）参照）。

［略］［同左］

3-6-3-3 速報（第 14 条第 2 項関係）

3-6-3-3 速報（第 14 条第 2 項関係）第14条（第2項）

第14条（第2項）

2

2

事業者は、前項本文の規定による報告をする場合には、同項各号に定事業者は、前項本文の規定による報告をする場合には、同項各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。第5項において告をしようとする時点において把握しているものに限る。第5項において同じ。）を報告しなければならない。

同じ。）を報告しなければならない。

14

一

概要

一

概要

二

漏えい等が発生し、又は発生したおそれがある個人データ（前項第3二漏えい等が発生し、又は発生したおそれがある個人データの項目

三

漏えい等が発生し、又は発生したおそれがある個人データに係る本号に定める事態については、同号に規定する個人情報を含む。次号において同じ。）の項目
三

漏えい等が発生し、又は発生したおそれがある個人データに係る本
人の数

人の数

四

原因

四

原因

五

二次被害又はそのおそれの有無及びその内容

五

二次被害又はそのおそれの有無及びその内容

六

本人への対応の実施状況

六

本人への対応の実施状況

七

公表の実施状況

七

公表の実施状況

八

再発防止のための措置

八

再発防止のための措置

九

その他参考となる事項

九

その他参考となる事項

［略］

［同左］

［（1）略］［（1）同左］（2）「漏えい等が発生し、又は発生したおそれがある個人データ（前項第（2）「漏えい等が発生し、又は発生したおそれがある個人データの項目」

3 号に定める事態については、同号に規定する個人情報を含む。次号において同じ。）の項目」
漏えい等が発生し、又は発生したおそれがある個人データ（第 14 条

漏えい等が発生し、又は発生したおそれがある個人データの項目に

第 1 項第 3 号に定める事態については、同号に規定する個人情報を含

ついて、媒体や種類（顧客情報、従業員情報の別等）とともに報告す

む。）の項目について、媒体や種類（顧客情報、従業員情報の別等）る。

とともに報告する。
（3）「漏えい等が発生し、又は発生したおそれがある個人データに係る本 （3）「漏えい等が発生し、又は発生したおそれがある個人データに係る本

15

人の数」

人の数」

漏えい等が発生し、又は発生したおそれがある個人データ（第 14 条

漏えい等が発生し、又は発生したおそれがある個人データに係る本

第 1 項第 3 号に定める事態については、同号に規定する個人情報を含

人の数について報告する。

む。）に係る本人の数について報告する。
［（4）～（9） 略］［（4）～（9） 同左］

（参考）

（参考）

規則第 8 条（第 1 項）

規則第 8 条（第 1 項）

1 個人情報取扱事業者は、法第 26 条第 1 項本文の規定による報告をする場

1

個人情報取扱事業者は、法第 26 条第 1 項本文の規定による報告をする場

合には、前条各号に定める事態を知った後、速やかに、当該事態に関す

合には、前条各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているもの

る次に掲げる事項（報告をしようとする時点において把握しているものに限る。次条において同じ。）を報告しなければならない。

に限る。次条において同じ。）を報告しなければならない。

（1） 概要（1） 概要（2） 漏えい等が発生し、又は発生したおそれがある個人データ（前条（2） 漏えい等が発生し、又は発生したおそれがある個人データの項目

第 3 号に定める事態については、同号に規定する個人情報を含む。
次号において同じ。）の項目（3） 漏えい等が発生し、又は発生したおそれがある個人データに係る（3） 漏えい等が発生し、又は発生したおそれがある個人データに係る

本人の数

本人の数

（4） 原因（4） 原因（5） 二次被害又はそのおそれの有無及びその内容（5） 二次被害又はそのおそれの有無及びその内容（6） 本人への対応の実施状況（6） 本人への対応の実施状況（7） 公表の実施状況（7） 公表の実施状況（8） 再発防止のための措置（8） 再発防止のための措置

16

（9） その他参考となる事項（9） その他参考となる事項［3-6-3-4・3-6-3-5 略］［3-6-3-4・3-6-3-5 同左］

3-6-4

3-6-4

本人への通知（第 14 条第 6 項関係）

本人への通知（第 14 条第 6 項関係）

[略]

[同左]

3-6-4-1 通知対象となる事態及び通知義務の主体

3-6-4-1 通知対象となる事態及び通知義務の主体

事業者は、報告対象事態を知ったときは、本人への通知を行わなければならない。

事業者は、報告対象事態を知ったときは、本人への通知を行わなければならない。

通知義務を負う主体は、原則として、漏えい等が発生し、又は発生した
おそれがある個人データを取り扱う事業者である。ただし、第 14 条第 1 項

通知義務を負う主体は、漏えい等が発生し、又は発生したおそれがある
個人データを取り扱う事業者である。

第 3 号に定める事態について本人への通知の義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データ又は個人情報を取り扱い、又は取得しようとしている事業者である（3-6-1-1（第 14 条第 1 項各号の「個人データ」の考え方）参照）。
事業者が個人データの取扱いを委託している場合においては、委託元と事業者が個人データの取扱いを委託している場合において委託先が、報委託先の双方が個人データ又は個人情報を取り扱い、又は取得しようとし告義務を負っている委託元である事業者に 3-6-3-3（1）から（9）までに掲ていることになるため、報告対象事態に該当する場合には、原則として委げる事項のうち、その時点で把握しているものを通知したときは、委託先託元と委託先の双方が本人への通知を行う義務を負う。委託先が、報告義は法第 26 条第 1 項に基づく報告義務を免除されるとともに、法第 26 条第 2

務を負っている委託元である事業者に 3-6-3-3（1）から（9）までに掲げる項に基づく本人への通知義務も免除される。

事項のうち、その時点で把握しているものを通知したときは、委託先は法第 26 条第 1 項に基づく報告義務を免除されるとともに、法第 26 条第 2 項に基づく本人への通知義務も免除される。なお、委託元への通知を行った委
託先は、必要に応じて委託元による本人への通知に協力することが求めら

17

れる。
［略］

［同左］

［3-6-4-2 略］［3-6-4-2 同左］

3-6-4-3 通知の内容

3-6-4-3 通知の内容

本人へ通知すべき事項については、漏えい等報告における報告事項のう本人へ通知すべき事項については、漏えい等報告における報告事項のうち、「概要」（第 14 条第 2 項第 1 号）、「漏えい等が発生し、又は発生しち、「概要」（第 14 条第 2 項第 1 号、「漏えい等が発生し、又は発生した

たおそれがある個人データ（前項第 3 号に定める事態については、同号に規

おそれがある個人データの項目」同項第 2 号、「原因」（同項第 4 号、「二定する個人情報を含む。次号において同じ。）の項目」（同項第 2 号）、

次被害又はそのおそれの有無及びその内容」（同項第 5 号及び「その他参考「原因」（同項第 4 号）、「二次被害又はそのおそれの有無及びその内容」となる事項」（同項第 9 号（※）に限られている。これらの事項が全て判明（同項第 5 号）及び「その他参考となる事項」（同項第 9 号）（※）に限らするまで本人への通知をする必要がないというものではなく、本人への通れている。これらの事項が全て判明するまで本人への通知をする必要がな

知は、「当該事態の状況に応じて速やかに」行う必要がある（3-6-4-2（通いというものではなく、本人への通知は、「当該事態の状況に応じて速や知の時間的制限）参照）。

かに」行う必要がある（3-6-4-2（通知の時間的制限）参照）。
［略］

［同左］

[3-6-4-4・3-6-4-5 略][3-6-4-4・3-6-4-5 同左]［3-7・3-8 略］［3-7・3-8 同左］

3-9

3-9

保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止等について（第 20 条～第 27 条関係）

3-9-1

保有個人データに関する事項の公表等（第 20 条関係）

保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止等について（第 20 条～第 27 条関係）

3-9-1

保有個人データに関する事項の公表等（第 20 条関係）

（1）保有個人データに関する事項の本人への周知（第 20 条第 1 項関係）

（1）保有個人データに関する事項の本人への周知（第 20 条第 1 項関係）

［略］

［同左］

［①～③ 略］［①～③ 同左］

18

④保有個人データの安全管理のために講じた措置（ただし、本人の知り得④保有個人データの安全管理のために講じた措置（ただし、本人の知り得る状態に置くことにより当該保有個人データの安全管理に支障を及ぼする状態に置くことにより当該保有個人データの安全管理に支障を及ぼす

おそれがあるものを除く。）

おそれがあるものを除く。）

［略］

［同左］

当該安全管理のために講じた措置は、事業の規模及び性質、保有個人

当該安全管理のために講じた措置は、事業の規模及び性質、保有個人

データの取扱状況（取り扱う保有個人データの性質及び量を含む。）、

データの取扱状況（取り扱う保有個人データの性質及び量を含む。）、保有個人データを記録した媒体等に起因するリスクに応じて、必要かつ保有個人データを記録した媒体等に起因するリスクに応じて、必要かつ適切な内容としなければならない。このため、当該措置の内容は事業者

適切な内容としなければならない。このため、当該措置の内容は事業者によって異なり、本人の知り得る状態に置く安全管理のために講じた措によって異なり、本人の知り得る状態に置く安全管理のために講じた措

置の内容についても事業者によって異なる。

置の内容についても事業者によって異なる。

なお、当該安全管理のために講じた措置には、事業者が取得し、又はなお、本人の知り得る状態については、本人の求めに応じて遅滞なく取得しようとしている個人情報であって、当該事業者が保有個人データ

回答する場合を含むため、講じた措置の概要や一部をホームページに掲として取り扱うことを予定しているものの漏えい等を防止するために講載し、残りを本人の求めに応じて遅滞なく回答を行うといった対応も可

じた措置も含まれる。

能であるが、例えば、「個人情報の保護に関する法律についてのガイド

本人の知り得る状態については、本人の求めに応じて遅滞なく回答すライン（通則編）」に沿って安全管理措置を実施しているといった内容る場合を含むため、講じた措置の概要や一部をホームページに掲載し、の掲載や回答のみでは適切ではない。

残りを本人の求めに応じて遅滞なく回答を行うといった対応も可能であるが、例えば、「個人情報の保護に関する法律についてのガイドライン（通則編）」に沿って安全管理措置を実施しているといった内容の掲載や回答のみでは適切ではない。
[略]

[同左]

⑤保有個人データの取扱いに関する苦情の申出先⑤保有個人データの取扱いに関する苦情の申出先

［略］

［同左］

19

［（※1）～（※6） 略］［（※1）～（※6） 同左］（※7）第 20 条第 1 項第 4 号の規定により本人の知り得る状態に置く必要（※7）第 20 条第 1 項第 4 号の規定により本人の知り得る状態に置く必要があるのは保有個人データの安全管理のために講じた措置であるが、があるのは保有個人データの安全管理のために講じた措置であるが、これに代えて、個人データの安全管理のために講じた措置について本

これに代えて、個人データの安全管理のために講じた措置について本人の知り得る状態に置くことは妨げられない。なお、本ガイドライン

人の知り得る状態に置くことは妨げられない。なお、本ガイドライン

では、個人データの安全管理のために講じた措置についての事例を記

では、個人データの安全管理のために講じた措置についての事例を記載している。

載している。

安全管理措置の事例について、詳細は「8（別添）講ずべき安全管理

安全管理措置の事例について、詳細は「7（別添）講ずべき安全管理措置の内容」を参照のこと。ただし、上記事例も含め、掲げられてい措置の内容」を参照のこと。ただし、上記事例も含め、掲げられている事例の内容の全てを本人の知り得る状態に置かなければならないわ

る事例の内容の全てを本人の知り得る状態に置かなければならないわ

けではなく、また、本人の知り得る状態に置かなければならないもの

けではなく、また、本人の知り得る状態に置かなければならないもの

は事例の内容に限られない。本人の適切な理解と関与を促す観点か

は事例の内容に限られない。本人の適切な理解と関与を促す観点から、事業の規模及び性質、保有個人データの取扱状況等に応じて、上ら、事業の規模及び性質、保有個人データの取扱状況等に応じて、上

記事例以上に詳細な内容の掲載や回答とすることは、より望ましい対

記事例以上に詳細な内容の掲載や回答とすることは、より望ましい対

応である。

応である。

［（※8）・（※9） 略］［（※8）・（※9） 同左］

［略］

［同左］

［（2）略］［（2）同左］［3-9-2～3-9-9 略］［3-9-2～3-9-9 同左］［3-10～3-12 略］［3-10～3-12 同左］

4

学術研究機関等の責務（第 35 条関係）

4

学術研究機関等の責務（第 35 条関係）

4-1

学術研究機関等の責務（第 35 条関係）

4-1

学術研究機関等の責務（第 35 条関係）

20

［略］

［同左］
［（※1）・（※2） 略］［（※1）・（※2） 同左］（※3）各規定に関する例外規定については、3-1-5（利用目的によ（※3）各規定に関する例外規定については、3-1-5（利用目的による制限の例外）、3-3-2（要配慮個人情報の取得）及び 3-7-1（第三る制限の例外）、3-3-2（要配慮個人情報の取得）及び 3-6-1（第三者提供の制限の原則）を参照のこと。

者提供の制限の原則）を参照のこと。

［略］

［同左］

［4-2 略］［4-2 同左］［5～7 略］［5～7 同左］

88（別添）講ずべき安全管理措置の内容
第 10 条第 1 項に定める安全管理措置として、事業者が具体的に講じなければならない措置や当該措置を実践するための手法の例等を次に示す。

（別添）講ずべき安全管理措置の内容
第 10 条第 1 項に定める安全管理措置として、事業者が具体的に講じなければならない措置や当該措置を実践するための手法の例等を次に示す。

（※）

安全管理措置を講ずるための具体的な手法については、個人データが漏安全管理措置を講ずるための具体的な手法については、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業のえい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量

規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリスクに応じを含む。）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容とすべきものであるため、必ずしも次に掲げる例て、必要かつ適切な内容とすべきものであるため、必ずしも次に掲げる例

示の内容の全てを講じなければならないわけではなく、また、適切な手法

示の内容の全てを講じなければならないわけではなく、また、適切な手法はこれらの例示の内容に限られない。

はこれらの例示の内容に限られない。

21

（※）第 10 条第 1 項に定める「その他の個人データの安全管理のために［新設］

必要かつ適切な措置」には、事業者が取得し、又は取得しようとしている
個人情報であって、当該事業者が個人データとして取り扱うことを予定しているものの漏えい等を防止するために必要かつ適切な措置も含まれる。
そのため、次に掲げる措置及び例示における「個人データ」には、当該個人情報も含まれる。
［8-1～8-7 略］［8-1～8-7 同左］［【付録】 略］［【付録】 同左］

備考 表中の[ ]の記載は注記である。

22