放送受信者等の個人情報保護に関するガイドライン（令和４年個人情報保護委員会・総務省告示第１号（最終改正令和６年個人情報保護委員会・総務省
告示第１号））の解説の一部改正の新旧対照表○ 放送受信者等の個人情報保護に関するガイドライン（令和４年個人情報保護委員会・総務省告示第１号（最終改正令和６年個人情報保護委員会・総
務省告示第１号））の解説
・改正前欄に掲げる規定の傍線を付し又は破線で囲んだ部分をこれに順次対応する改正後欄に掲げる規定の傍線を付し又は破線で囲んだ部分のように改める。
・改正前欄及び改正後欄に対応して掲げるその標記部分に二重傍線を付した規定（以下「対象規定」という。）は、改正前欄に掲げる対象規定を改正後欄に掲げる対象規定として移動する。
・改正後欄に掲げる対象規定で改正前欄にこれに対応するものを掲げていないものは、これを加える。

改正後

改正前

放送受信者等の個人情報保護に関するガイドライン

放送受信者等の個人情報保護に関するガイドライン（令和４年個人情報保護委員会・総務省告示第１号（最終改正令和６年個（令和４年個人情報保護委員会・総務省告示第１号（最終改正令和５年個

人情報保護委員会・総務省告示第１号））の解説

人情報保護委員会・総務省告示第２号））の解説

令和４年４月（令和６年３月更新）

令和４年４月（令和５年４月更新）

個人情報保護委員会

個人情報保護委員会

総務省

総務省

目次

目次

［略］
3-6-1 「個人データ」の「漏えい等」の考え方［同左］
3-6-1 「漏えい等」の考え方

［略］

［同左］

［【凡例】 略］［【凡例】 同左］

※

なお、特に断りのない限り、本ガイドラインの解説において示す法令※

なお、特に断りのない限り、本ガイドラインの解説において示す法令等の内容は令和６年３月 12 日時点とする。

等の内容は令和５年４月１日時点とする。

［1

略］

［1

同左］

2

定義

2

定義

［2-1～2-3 略］［2-1～2-3 同左］

2-4

2-4

要配慮個人情報（法第２条第３項関係）

要配慮個人情報（法第２条第３項関係）

［略］

［同左］

［（1）～（6） 略］［（1）～（6） 同左］

（7）

（7）

身体障害、知的障害、精神障害（発達障害を含む。）その他の個

身体障害、知的障害、精神障害（発達障害を含む。）その他の個

人情報保護委員会規則で定める心身の機能の障害があること（政人情報保護委員会規則で定める心身の機能の障害があること（政令第２条第１号関係）令第２条第１号関係）

［略］

［同左］

［①～③ 略］［①～③ 同左］④④「治療方法が確立していない疾病その他の特殊の疾病であって障害者「治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生活及び社会生活を総合的に支援するための法律第４条第１項のの日常生活及び社会生活を総合的に支援するための法律第４条第１項の政令で定めるものによる障害の程度が同項の主務大臣が定める程度であ

政令で定めるものによる障害の程度が同項の厚生労働大臣が定める程度るもの」があることを特定させる情報であるもの」があることを特定させる情報・医師により、主務大臣が定める特殊の疾病による障害により継続的・ 医師により、厚生労働大臣が定める特殊の疾病による障害により継に日常生活又は社会生活に相当な制限を受けていると診断されたこと

続的に日常生活又は社会生活に相当な制限を受けていると診断された（疾病の名称や程度に関する情報を含む。）

こと（疾病の名称や程度に関する情報を含む。）［（8）～（11） 略］［（8）～（11） 同左］

（参考）

（参考）

2

［略］

［同左］

規則第５条

規則第５条

令第２条第１号の個人情報保護委員会規則で定める心身の機能の障害

令第２条第１号の個人情報保護委員会規則で定める心身の機能の障害は、次に掲げる障害とする。

は、次に掲げる障害とする。

一

一

身体障害者福祉法（昭和 24 年法律第 283 号）別表に掲げる身体上の障害

身体障害者福祉法（昭和 24 年法律第 283 号）別表に掲げる身体上の障害

二知的障害者福祉法（昭和 35 年法律第 37 号）にいう知的障害

二知的障害者福祉法（昭和 35 年法律第 37 号）にいう知的障害

三

精神保健及び精神障害者福祉に関する法律（昭和 25 年法律第 123

三

精神保健及び精神障害者福祉に関する法律（昭和 25 年法律第 123号）にいう精神障害（発達障害者支援法（平成 16 年法律第 167 号）第２号）にいう精神障害（発達障害者支援法（平成 16 年法律第 167 号）第２条第１項に規定する発達障害を含み、前号に掲げるものを除く。）

条第１項に規定する発達障害を含み、前号に掲げるものを除く。）

四

治療方法が確立していない疾病その他の特殊の疾病であって障害者の四治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生活及び社会生活を総合的に支援するための法律（平成 17 年法律第日常生活及び社会生活を総合的に支援するための法律（平成 17 年法律第123 号）第４条第１項の政令で定めるものによる障害の程度が同項の主務

123 号）第４条第１項の政令で定めるものによる障害の程度が同項の厚生大臣が定める程度であるもの

労働大臣が定める程度であるもの［2-5～2-20 略］［2-5～2-20 同左］

33

受信者情報取扱事業者の義務

受信者情報取扱事業者の義務［3-1～3-3 略］［3-1～3-3 同左］

3-4

3-4

個人データ等の管理（第 10 条～第 14 条関係）

個人データ等の管理（第 10 条～第 14 条関係）

［3-4-1・3-4-2 略］［3-4-1・3-4-2 同左］

3-4-3

3-4-3

安全管理措置（第 12 条関係）

［略］

安全管理措置（第 12 条関係）

［同左］

3

受信者情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は受信者情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損（以下「漏えい等」という。）の防止その他の個人データの安全管理

毀損（以下「漏えい等」という。）の防止その他の個人データの安全管理のため、必要かつ適切な措置（以下「安全管理措置」という。）を講じなのため、必要かつ適切な措置（以下「安全管理措置」という。）を講じなければならないが、当該措置は、個人データが漏えい等をした場合に本人ければならないが、当該措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人デーが被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人デー

タの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データ

タの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容を記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容としなければならない。

としなければならない。具体的に講じなければならない措置や当該措置を

なお、「その他の放送受信者等の個人データの安全管理のために必要か実践するための手法の例等については、「10（別添）講ずべき安全管理措

つ適切な措置」には、受信者情報取扱事業者が取得し、又は取得しようと置の内容」を参照のこと。

している個人情報であって、当該受信者情報取扱事業者が個人データとして取り扱うことを予定しているものの漏えい等を防止するために必要かつ適切な措置も含まれる。
具体的に講じなければならない措置や当該措置を実践するための手法の例等については、「10（別添）講ずべき安全管理措置の内容」を参照のこ
と。
［略］

［同左］

［3-4-4～3-4-6 略］［3-4-4～3-4-6 同左］

［3-5

略］

［3-5

同左］

3-6

個人データの漏えい等の報告等（第 16 条関係）

3-6

個人データの漏えい等の報告等（第 16 条関係）

3-6-1

「個人データ」の 「漏えい等」の考え方

3-6-1「漏えい等」の考え方

3-6-1-1 第 16 条第１項各号の「個人データ」の考え方

［新設］

4

第 16 条第１項各号は、法第 26 条第１項に基づく漏えい等の報告の対象となる事態について定めているところ、第 16 条第１項各号に規定する「個人データ」とは、受信者情報取扱事業者が取り扱う個人データをいう。
ただし、第 16 条第１項第３号に規定する「個人データ」には、「当該受信者情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているもの」が含まれる。
そのため、同号に定める事態との関係では、3-6-1-2（「漏えい」の考え方）から 3-6-1-4（「毀損」の考え方）までにおける「個人データ」は、受信者情報取扱事業者が取り扱う個人データに加え、「当該受信者情報取扱
事業者が取得し、又は取得しようとしている個人情報であって、個人デー
タとして取り扱われることが予定されているもの」を含む。
同号に定める事態について、詳細は 3-6-3-1（報告対象となる事態）を参照のこと。

3-6-1-2 「漏えい」の考え方

3-6-1-1 「漏えい」の考え方

［略］

［同左］

［事例１）～事例５） 略］［事例１）～事例５）

事例６）受信者情報取扱事業者のウェブサイトの入力ページが第三者に改［新設］

ざんされ、ユーザーが当該ページに入力した個人情報が、当該第三者に送信された場合であり、かつ、当該受信者情報取扱事業者が、当該ページに入力される個人情報を個人情報データベース等へ入力することを予定していたとき

5

同左］

［略］

［同左］

3-6-1-3 「滅失」の考え方

3-6-1-2 「滅失」の考え方

［略］

［同左］

3-6-1-4 「毀損」の考え方

3-6-1-3 「毀損」の考え方

［略］

［同左］

［3-6-2 略］［3-6-2 同左］

3-6-3

3-6-3

個人情報保護委員会又は委任を受けた総務大臣等への報告（第 16条第１項、第４項関係）

個人情報保護委員会又は委任を受けた総務大臣等への報告（第 16条第１項、第４項関係）

3-6-3-1 報告対象となる事態

3-6-3-1 報告対象となる事態

第 16 条（第１項）

第 16 条（第１項）

1

1

受信者情報取扱事業者は、その取り扱う個人データの漏えい、滅失、受信者情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして次の各号のいずれかに該当するも益を害するおそれが大きいものとして次の各号のいずれかに該当するものが生じたときは、次項から第４項までの規定で定めるところにより、のが生じたときは、次項から第４項までの規定で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。

当該事態が生じた旨を個人情報保護委員会に報告しなければならない。

ただし、当該受信者情報取扱事業者が、他の個人情報取扱事業者又は行

ただし、当該受信者情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場

政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、第５項に定めるところにより、当該事態が生じた旨を当該合であって、第５項に定めるところにより、当該事態が生じた旨を当該

他の個人情報取扱事業者又は行政機関等に通知したときは、この限りで他の個人情報取扱事業者又は行政機関等に通知したときは、この限りで

ない。

ない。

6

一

要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人

一要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この権利利益を保護するために必要な措置を講じたものを除く。以下この項及び次項において同じ。）の漏えい、滅失若しくは毀損（以下この項及び次項において同じ。）の漏えい、滅失若しくは毀損（以下この項及び次項において「漏えい等」という。）が発生し、又は発生しの項及び次項において「漏えい等」という。）が発生し、又は発生したおそれがある事態

たおそれがある事態

二

不正に利用されることにより財産的被害が生じるおそれがある個人

二

データの漏えい等が発生し、又は発生したおそれがある事態

不正に利用されることにより財産的被害が生じるおそれがある個人

三

データの漏えい等が発生し、又は発生したおそれがある事態

不正の目的をもって行われたおそれがある当該受信者情報取扱事業三者に対する行為による個人データ（当該受信者情報取扱事業者が取得

不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、又は発生したおそれがある事態
四

個人データに係る本人の数が千人を超える漏えい等が発生し、又は四発生したおそれがある事態

個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態

［略］

［同左］

［略］

［同左］

［（1）・（2） 略］［（1）・（2） 同左］（3）不正の目的をもって行われたおそれがある当該受信者情報取扱事業者（3）不正の目的をもって行われたおそれがある個人データの漏えい等が発に対する行為による個人データ（当該受信者情報取扱事業者が取得生し、又は発生したおそれがある事態（第 16 条第１項第３号関係）し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、又は発生したおそれがある事態（第 16 条第１項第３号関係）

7

「不正の目的をもって行われたおそれがある当該受信者情報取扱事業者「不正の目的をもって」漏えい等を発生させた主体には、第三者のみなに対する行為」（以下「不正行為」という。）の主体には、第三者のみならず、従業者も含まれる。

らず、従業者も含まれる。また、不正行為の相手方である「当該受信者情報取扱事業者」には、当該受信者情報取扱事業者が第三者に個人データの取扱いを委託している場合（※３）における当該第三者（委託先）及び当該受信者情報取扱事業者が個人データを取り扱うに当たって第三者の提供するサービスを利用している場合における当該第三者も含まれる。
当該受信者情報取扱事業者が「取得しようとしている個人情報」に該当するかどうかは、当該受信者情報取扱事業者が用いている個人情報の取得手段等を考慮して客観的に判断する。
個人情報データベース等へ入力すること等を予定していれば、最終的に個人情報に該当しない統計情報への加工を行うことを予定している場合等
であっても、「個人データとして取り扱われることが予定されている」に該当する。

【報告を要する事例】（※４）

【報告を要する事例】

事例１）不正アクセスにより個人データ（個人情報データベース等へ

事例１）不正アクセスにより個人データが漏えいした場合（※３）

入 力する 予定の 個人情報 を含む 。以下 、事例５ ）まで 同
じ。）が漏えいした場合
事例２）ランサムウェア等により個人データが暗号化され、復元でき

事例２）ランサムウェア等により個人データが暗号化され、復元できなくなった場合なくなった場合

事例３）個人データが記載又は記録された書類・媒体等が盗難された

事例３）個人データが記載又は記録された書類・媒体等が盗難された

場合

場合

8

事例４）従業者が顧客の個人データを不正に持ち出して第三者に提供

事例４）従業者が顧客の個人データを不正に持ち出して第三者に提供した場合（※５）した場合（※４）

事例５）従業者の私用の端末又は取引先の端末が情報を窃取するマル［新設］

ウェアに感染し、その後、当該端末と受信者情報取扱事業者のサーバとの電気通信に起因して、当該サーバも当該マルウ
ェアに感染し、個人データが漏えいした場合
事例６）受信者情報取扱事業者のウェブサイトの入力ページが第三者［新設］に改ざんされ、ユーザーが当該ページに入力した個人情報が当該第三者に送信された場合であり、かつ、当該受信者情報
取扱事業者が、当該ページに入力される個人情報を個人情報
データベース等へ入力することを予定していたとき
事例７）受信者情報取扱事業者のウェブサイト上に設置された、入力［新設］

ページに遷移するためのリンクやボタンが第三者に改ざんされ、当該リンクやボタンをユーザーがクリックした結果、偽の入力ページに遷移し、当該ユーザーが当該偽の入力ページに入力した個人情報が当該第三者に送信された場合であり、かつ、当該受信者情報取扱事業者が、当該受信者情報取扱事
業者の入力ページに入力される個人情報を個人情報データベース等へ入力することを予定していたとき
事例８）受信者情報取扱事業者が、第三者により宛先の改ざんされた［新設］

返信用封筒を顧客に送付した結果、当該返信用封筒により返信されたアンケート用紙に記入された個人情報が当該第三者に送付された場合であり、かつ、当該受信者情報取扱事業者

9

が、当該個人情報を個人情報データベース等へ入力することを予定していたとき（４）個人データに係る本人の数が千人を超える漏えい等が発生し、又は（４）個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態（第 16 条第１項第４号関係）［略］

発生したおそれがある事態（第 16 条第１項第４号関係）［同左］［※１・※２ 略］［※１・※２ 同左］

※３

［新設］

受信者情報取扱事業者が、個人データとして取り扱うことを予定している個人情報の取扱いを第三者に委託する場合であって、当該第三者（委託先）が当該個人情報を個人データとして取り扱う予定はないときも、ここにいう「受信者情報
取扱事業者が第三者に個人データの取扱いを委託している場合」に該当する。
※４

サイバー攻撃の事案について、「漏えい」が発生したおそ※３

サイバー攻撃の事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、次のれがある事態に該当し得る事例としては、例えば、次の（ア）から（オ）が考えられる。

（ア）から（エ）が考えられる。

（ア）個人データ（個人情報データベース等へ入力する予定（ア）個人データを格納しているサーバや、当該サーバにアの個人情報を含む。（イ）において同じ。）を格納していクセス権限を有する端末において外部からの不正アクセスるサーバや、当該サーバにアクセス権限を有する端末におによりデータが窃取された痕跡が認められた場合

いて外部からの不正アクセスによりデータが窃取された痕跡が認められた場合（イ）個人データを格納しているサーバや、当該サーバにア（イ）個人データを格納しているサーバや、当該サーバにア

クセス権限を有する端末において、情報を窃取する振る舞

クセス権限を有する端末において、情報を窃取する振る舞10

いが判明しているマルウェアの感染が確認された場合いが判明しているマルウェアの感染が確認された場合（ウ）マルウェアに感染したコンピュータに不正な指令を送（ウ）マルウェアに感染したコンピュータに不正な指令を送り、制御するサーバ（C&C サーバ）が使用しているものとり、制御するサーバ（C&C サーバ）が使用しているものとして知られている IP アドレス・FQDN（Fully Qualified Do

して知られている IP アドレス・FQDN（Fully Qualified Do

main Name の略。サブドメイン名及びドメイン名からなる

main Name の略。サブドメイン名及びドメイン名からなる文字列であり、ネットワーク上のコンピュータ（サーバ

文字列であり、ネットワーク上のコンピュータ（サーバ等）を特定するもの。）への通信が確認された場合等）を特定するもの。）への通信が確認された場合（エ）個人情報の取得手段であるウェブページを構成するフ［新設］ァイルを保存しているサーバや、当該サーバにアクセス権限を有する端末において、外部からの不正アクセスにより、当該ファイルに、当該ウェブページに入力された情報を窃取するような改ざんがされた痕跡が確認された場合（エ）不正検知を行う公的機関、セキュリティ・サービス・

プロバイダ、専門家等の第三者から、漏えいのおそれにつプロバイダ、専門家等の第三者から、漏えいのおそれについて、一定の根拠に基づく連絡を受けた場合

いて、一定の根拠に基づく連絡を受けた場合※５（オ）不正検知を行う公的機関、セキュリティ・サービス・

従業者による個人データ又は個人情報の持ち出しの事案に※４

従業者による個人データの持ち出しの事案について、「漏ついて、「漏えい」が発生したおそれがある事態に該当し得えい」が発生したおそれがある事態に該当し得る事例としてる事例としては、例えば、個人データ又は個人情報を格納しは、例えば、個人データを格納しているサーバや、当該サーているサーバや、当該サーバにアクセス権限を有する端末にバにアクセス権限を有する端末において、通常の業務で必要おいて、通常の業務で必要としないアクセスによりデータがとしないアクセスによりデータが窃取された痕跡が認められ窃取された痕跡が認められた場合が考えられる。

た場合が考えられる。

11なお、漏えい等が発生し、又は発生したおそれがある個人データ又は個

なお、漏えい等が発生し、又は発生したおそれがある個人データについ人情報について、高度な暗号化等の秘匿化がされている場合等、「高度なて、高度な暗号化等の秘匿化がされている場合等、「高度な暗号化その他

暗号化その他の個人の権利利益を保護するために必要な措置」が講じられの個人の権利利益を保護するために必要な措置」が講じられている場合にている場合については、報告を要しない。

ついては、報告を要しない。

（参考）

（参考）

［略］

［同左］

規則第７条

規則第７条

法第 26 条第１項本文の個人の権利利益を害するおそれが大きいものと法第 26 条第１項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当

して個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。

するものとする。

一

一二

要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下の権利利益を保護するために必要な措置を講じたものを除く。以下

この条及び次条第 １ 項において同じ。）の漏えい、滅失若しくはこの条及び次条第 １ 項において同じ。）の漏えい、滅失若しくは毀損（以下この条及び次条第１項において「漏えい等」という。）

毀損（以下この条及び次条第１項において「漏えい等」という。）が発生し、又は発生したおそれがある事態が発生し、又は発生したおそれがある事態

不正に利用されることにより財産的被害が生じるおそれがある個人

二

データの漏えい等が発生し、又は発生したおそれがある事態
三

要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人

不正に利用されることにより財産的被害が生じるおそれがある個人
データの漏えい等が発生し、又は発生したおそれがある事態

不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による個人データ（当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、又は発生したおそれがある事態

12

三

不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態

四

個人データに係る本人の数が千人を超える漏えい等が発生し、又は四発生したおそれがある事態

個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態

［略］

［同左］

3-6-3-2 報告義務の主体

3-6-3-2 報告義務の主体

漏えい等報告の義務を負う主体は、原則として、漏えい等が発生し、又は発生したおそれがある個人データを取り扱う受信者情報取扱事業者であ漏えい等報告の義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データを取り扱う受信者情報取扱事業者である。

る。ただし、第 16 条第１項第３号に定める事態について漏えい等報告の義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人デー
タ又は個人情報を取り扱い、又は取得しようとしている受信者情報取扱事業者である（3-6-1-1（第 16 条第１項各号の「個人データ」の考え方）参照）。
個人データの取扱いを委託している場合においては、委託元と委託先の個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人データ又は個人情報を取り扱っており、又は取得しようとして双方が個人データを取り扱っていることになるため、報告対象事態に該当いることになるため、報告対象事態に該当する場合には、原則として委託する場合には、原則として委託元と委託先の双方が報告する義務を負う。

元と委託先の双方が報告する義務を負う。この場合、委託元及び委託先のこの場合、委託元及び委託先の連名で報告することができる。なお、委託連名で報告することができる。なお、委託先が、報告義務を負っている委先が、報告義務を負っている委託元に当該事態が発生したことを通知した

託元に当該事態が発生したことを通知したときは、委託先は報告義務を免ときは、委託先は報告義務を免除される（3-6-3-5（委託元への通知による除される（3-6-3-5（委託元への通知による例外）参照）。

例外）参照）。

［略］［同左］

3-6-3-3 速報（第 16 条第２項関係）

3-6-3-3 速報（第 16 条第２項関係）第16条（第２項）

第16条（第２項）

13

２

受信者情報取扱事業者は、前項本文の規定による報告をする場合に

２

受信者情報取扱事業者は、前項本文の規定による報告をする場合には、同項各号に定める事態を知った後、速やかに、当該事態に関する次は、同項各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限に掲げる事項（報告をしようとする時点において把握しているものに限る。第５項において同じ。）を報告しなければならない。

る。第５項において同じ。）を報告しなければならない。

一

概要

一

概要

二

漏えい等が発生し、又は発生したおそれがある個人データ（前項第二漏えい等が発生し、又は発生したおそれがある個人データの項目

三

漏えい等が発生し、又は発生したおそれがある個人データに係る本３号に定める事態については、同号に規定する個人情報を含む。次号において同じ。）の項目
三

漏えい等が発生し、又は発生したおそれがある個人データに係る本
人の数

人の数

四

原因

四

原因

五

二次被害又はそのおそれの有無及びその内容

五

二次被害又はそのおそれの有無及びその内容

六

本人への対応の実施状況

六

本人への対応の実施状況

七

公表の実施状況

七

公表の実施状況

八

再発防止のための措置

八

再発防止のための措置

九

その他参考となる事項

九

その他参考となる事項

［略］

［同左］

［（1） 略］［（1） 同左］（2）「漏えい等が発生し、又は発生したおそれがある個人データ（前項第（2）「漏えい等が発生し、又は発生したおそれがある個人データの項目」

３号に定める事態については、同号に規定する個人情報を含む。次号において同じ。）の項目」
漏えい等が発生し、又は発生したおそれがある個人データ（第 16 条

14

漏えい等が発生し、又は発生したおそれがある個人データの項目に

第１項第３号に定める事態については、同号に規定する個人情報を含

ついて、媒体や種類（顧客情報、従業員情報の別等）とともに報告す

む。）の項目について、媒体や種類（顧客情報、従業員情報の別等）る。

とともに報告する。

（3）「漏えい等が発生し、又は発生したおそれがある個人データに係る本 （3）「漏えい等が発生し、又は発生したおそれがある個人データに係る本
人の数」

人の数」

漏えい等が発生し、又は発生したおそれがある個人データ（第 16 条

漏えい等が発生し、又は発生したおそれがある個人データに係る本第１項第３号に定める事態については、同号に規定する個人情報を含

人の数について報告する。

む。）に係る本人の数について報告する。

［（4）～（9） 略］［（4）～（9） 同左］

（参考）

（参考）

規則第８条（第１項）

規則第８条（第１項）

個人情報取扱事業者は、法第 26 条第１項本文の規定による報告をする

個人情報取扱事業者は、法第 26 条第１項本文の規定による報告をする

場合には、前条各号に定める事態を知った後、速やかに、当該事態に関場合には、前条各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているもする次に掲げる事項（報告をしようとする時点において把握しているものに限る。次条において同じ。）を報告しなければならない。

のに限る。次条において同じ。）を報告しなければならない。

一

概要

一

概要

二

漏えい等が発生し、又は発生したおそれがある個人データ（前条第二

漏えい等が発生し、又は発生したおそれがある個人データの項目

三

漏えい等が発生し、又は発生したおそれがある個人データに係る本３号に定める事態については、同号に規定する個人情報を含む。次号において同じ。）の項目
三

漏えい等が発生し、又は発生したおそれがある個人データに係る本

15

人の数

人の数

四

原因

四

原因

五

二次被害又はそのおそれの有無及びその内容

五

二次被害又はそのおそれの有無及びその内容

六

本人への対応の実施状況

六

本人への対応の実施状況

七

公表の実施状況

七

公表の実施状況

八

再発防止のための措置

八

再発防止のための措置

九

その他参考となる事項

九

その他参考となる事項［3-6-3-4・3-6-3-5 略］［3-6-3-4・3-6-3-5 同左］

3-6-4

3-6-4

本人への通知（第 16 条第６項関係）

本人への通知（第 16 条第６項関係）

［略］

［同左］

3-6-4-1 通知対象となる事態及び通知義務の主体

3-6-4-1 通知対象となる事態及び通知義務の主体

受信者情報取扱事業者は、報告対象事態を知ったときは、本人への通知を行わなければならない。

受信者情報取扱事業者は、報告対象事態を知ったときは、本人への通知を行わなければならない。

通知義務を負う主体は、原則として、漏えい等が発生し、又は発生した
おそれがある個人データを取り扱う受信者情報取扱事業者である。ただ通知義務を負う主体は、漏えい等が発生し、又は発生したおそれがある
個人データを取り扱う受信者情報取扱事業者である。

し、第 16 条第１項第３号に定める事態について本人への通知の義務を負う
主体は、漏えい等が発生し、又は発生したおそれがある個人データ又は個
人情報を取り扱い、又は取得しようとしている受信者情報取扱事業者である（3-6-1-1（第 16 条第１項各号の「個人データ」の考え方）参照）。
個人データの取扱いを委託している場合においては、委託元と委託先の個人データの取扱いを委託している場合において委託先が、報告義務を双方が個人データ又は個人情報を取り扱い、又は取得しようとしているこ負っている委託元に 3-6-3-3（1）から（9）までに掲げる事項のうち、そのとになるため、報告対象事態に該当する場合には、原則として委託元と委時点で把握しているものを通知したときは、委託先は報告義務を免除され

16

託先の双方が本人への通知を行う義務を負う。委託先が、報告義務を負っるとともに、本人への通知義務も免除される。

ている委託元に 3-6-3-3（1）から（9）までに掲げる事項のうち、その時点で把握しているものを通知したときは、委託先は報告義務を免除されるとともに、本人への通知義務も免除される。なお、委託元への通知を行った
委託先は、必要に応じて委託元による本人への通知に協力することが求められる。

［3-6-4-2 略］［3-6-4-2 同左］

3-6-4-3 通知の内容

3-6-4-3 通知の内容

本人へ通知すべき事項については、漏えい等報告における報告事項のう本人へ通知すべき事項については、漏えい等報告における報告事項のうち、「概要」（第 16 条第２項第１号）、「漏えい等が発生し、又は発生しち、「概要」（第 16 条第２項第１号）、「漏えい等が発生し、又は発生したおそれがある個人データ（前項第３号に定める事態については、同号にたおそれがある個人データの項目」（同項第２号）、「原因」（同項第４規定する個人情報を含む。次号において同じ。）の項目」（同項第２号、「二次被害又はそのおそれの有無及びその内容」（同項第５号）及び号）、「原因」（同項第４号）、「二次被害又はそのおそれの有無及びそ「その他参考となる事項」（同項第９号）（※）に限られている。これらの内容」（同項第５号）及び「その他参考となる事項」（同項第９号）の事項が全て判明するまで本人への通知をする必要がないというものでは（※）に限られている。これらの事項が全て判明するまで本人への通知をなく、本人への通知は、「当該事態の状況に応じて速やかに」行う必要がする必要がないというものではなく、本人への通知は、「当該事態の状況ある（3-6-4-2（通知の時間的制限）参照）。

に応じて速やかに」行う必要がある（3-6-4-2（通知の時間的制限）参
照）。
［略］

［同左］

［3-6-4-4・3-6-4-5 略］［3-6-4-4・3-6-4-5 同左］［3-7・3-8 略］［3-7・3-8 同左］

17

3-9 保有個人データに関する事項の公表等、保有個人データの開示・訂正

3-9 保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止等について（第 22 条～第 29 条関係）
3-9-1

保有個人データに関する事項の公表等（第 22 条関係）等・利用停止等について（第 22 条～第 29 条関係）
3-9-1

保有個人データに関する事項の公表等（第 22 条関係）

（1）保有個人データに関する事項の本人への周知（第 22 条第１項関係）（1）保有個人データに関する事項の本人への周知（第 22 条第１項関係）

［略］

［同左］

［①～③ 略］［①～③ 同左］④④

保有個人データの安全管理のために講じた措置（ただし、本人の知り保有個人データの安全管理のために講じた措置（ただし、本人の知り得る状態に置くことにより当該保有個人データの安全管理に支障を及ぼ得る状態に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。）

すおそれがあるものを除く。）

［略］

［同左］

当該安全管理のために講じた措置は、事業の規模及び性質、保有個人

当該安全管理のために講じた措置は、事業の規模及び性質、保有個人

データの取扱状況（取り扱う保有個人データの性質及び量を含む。）、

データの取扱状況（取り扱う保有個人データの性質及び量を含む。）、保有個人データを記録した媒体等に起因するリスクに応じて、必要かつ保有個人データを記録した媒体等に起因するリスクに応じて、必要かつ適切な内容としなければならない。このため、当該措置の内容は受信者

適切な内容としなければならない。このため、当該措置の内容は受信者

情報取扱事業者によって異なり、本人の知り得る状態に置く安全管理の情報取扱事業者によって異なり、本人の知り得る状態に置く安全管理のために講じた措置の内容についても受信者情報取扱事業者によって異なために講じた措置の内容についても受信者情報取扱事業者によって異なる。

る。

なお、当該安全管理のために講じた措置には、受信者情報取扱事業者

なお、本人の知り得る状態については、本人の求めに応じて遅滞なくが取得し、又は取得しようとしている個人情報であって、当該受信者情回答する場合を含むため、講じた措置の概要や一部をホームページに掲

報取扱事業者が保有個人データとして取り扱うことを予定しているもの

載し、残りを本人の求めに応じて遅滞なく回答を行うといった対応も可の漏えい等を防止するために講じた措置も含まれる。

能であるが、例えば、本ガイドラインに沿って安全管理措置を実施しているといった内容の掲載や回答のみでは適切ではない。

本人の知り得る状態については、本人の求めに応じて遅滞なく回答す18

る場合を含むため、講じた措置の概要や一部をホームページに掲載し、残りを本人の求めに応じて遅滞なく回答を行うといった対応も可能であるが、例えば、本ガイドラインに沿って安全管理措置を実施しているといった内容の掲載や回答のみでは適切ではない。
［略］

［同左］

［⑤ 略］

［⑤ 同左］［（2） 略］［（2） 同左］［3-9-2～3-9-9 略］［3-9-2～3-9-9 同左］［3-10～3-12 略］［3-10～3-12 同左］［4～6 略］［4～6 同左］

7

各種情報の取扱い7

各種情報の取扱い

［7-1

略］

［7-1

同左］

7-2

受信機に記録された個人情報（第 41 条関係）

7-2

受信機に記録された個人情報（第 41 条関係）

［略］

［同左］

本規定は、第 12 条に基づき講じなければならない措置に加えて、個人情

本規定は、個人情報を取得して取り扱う前の準備段階における安全管理報を取得して取り扱う前の準備段階における安全管理のため、各号で規定のための措置であり（個人データとなる前段ではあるが）、これに準じしている措置を講ずるよう努めるべき旨を規定するものである。

て、第 12 条の規定に対応するものである。

［7-3

［7-3

略］

同左］

［8・9 略］［8・9 同左］

1010（別添）講ずべき安全管理措置の内容

19（別添）講ずべき安全管理措置の内容

第 12 条に定める安全管理措置として、受信者情報取扱事業者が具体的に第 12 条に定める安全管理措置として、受信者情報取扱事業者が具体的に講じなければならない措置や当該措置を実践するための手法の例等を次に講じなければならない措置や当該措置を実践するための手法の例等を次に示す。（※１）示す。

安全管理措置を講ずるための具体的な手法については、個人データ等が安全管理措置を講ずるための具体的な手法については、個人データ等が漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データ等の取扱状況（取り扱う個人データ等の性質の規模及び性質、個人データ等の取扱状況（取り扱う個人データ等の性質

及び量を含む。）、個人データ等を記録した媒体の性質等に起因するリス及び量を含む。）、個人データ等を記録した媒体の性質等に起因するリス

クに応じて、必要かつ適切な内容とすべきものであるため、必ずしも次にクに応じて、必要かつ適切な内容とすべきものであるため、必ずしも次に掲げる例示の内容の全てを講じなければならないわけではなく、また、適掲げる例示の内容の全てを講じなければならないわけではなく、また、適切な手法はこれらの例示の内容に限られない。

切な手法はこれらの例示の内容に限られない。

※１ 第 12 条に定める「その他の放送受信者等の個人データの安全管理［新設］のために必要かつ適切な措置」には、受信者情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該受信者情報
取扱事業者が個人データとして取り扱うことを予定しているものの漏えい等を防止するために必要かつ適切な措置も含まれる。そのため、次に掲げる措置及び例示における「個人データ等」には、当該個人情報も含まれる。
［10-1～10-7 略］［10-1～10-7 同左］［【付録】 略］［【付録】 同左］

備考 表中の[ ]の記載は注記である。

20