医療機器取扱い企業における個人情報の適正な取扱いのためのガイドライン

平成１７年３月

制定

平成２３年３月３１日

改定

日 本 医 療 機 器 産 業 連 合 会

はじめに
近年、経済・社会のＩＴ化の進展に伴い、個人情報があらゆる分野においてコン
ピュータやネットワークを活用して大量かつ多様に利用されています。今後個人情報の取扱いは、ますます拡大されていくと予想されますが、一方で企業からの個人情報の流出・漏洩が多発しており、社会問題化しております。
政府は、平成１５年（２００３年）５月に「個人情報の保護に関する法律」（個人情報保護法）を公布し、平成１７年（２００５年）４月１日から全面施行されています。
個人情報保護法は、個人情報の適正な取扱いに関する基本理念、政府による基本方針・施策の基本となる事項、国･地方公共団体の責務、個人情報を取扱う事業者の遵守すべき義務などについて定めています。
事業者が個人情報を取扱う遵守すべき義務として、利用目的の特定・公表、利用目的範囲逸脱の禁止、適正な取得、正確性の確保、安全管理者、第三者提供の制限等を規定しており、特に適正な取扱いの厳格な実施で遵法体制を確保する個別分野
として、医療分野が指定されています。
このたび、日本医療機器産業連合会では、加盟団体の会員会社の個人情報の適正な取扱いの確保に関する活動を支援するための指針として、「医療機器取扱い企業における個人情報の適正な取扱いのためのガイドライン」を策定いたしました。個人情報保護対策は、専門の担当部署だけが対応すればよいというものでなく、会員企業の全社員一人ひとりが取組まなければいけない課題です。
加盟団体の会員企業が、本ガイドラインにより個人情報保護法を正しく理解され、個人情報の適正な取扱いについて、社内管理体制の整備（責任体制の明確化、安全管理の措置、従業員・委託先の監督、保有する個人データの漏洩防止等）、社員への啓発活動の実施、個人情報の適正な取得等への取組み対策の強化と推進を講じていただくことをお願い申し上げる次第です。
末筆ながら、本ガイドラインの作成にあたりまして、厚生労働省のご指導・ご協力をいただきましたこと、また、日本製薬団体連合会から多大なご協力をいただきましたことに対し、衷心よりお礼申し上げます。
平成１７年３月
日本医療機器関係団体協議会
会

長

和地

孝

改定にあたって
平成１７年４月１日からの「個人情報の保護に関する法律」（個人情報保護法）の民間事業者への適用に対応すべく医機連（当時の日本医療機器関係団体協議会）
では平成１７年３月『医療機器取扱企業における個人情報の適正な取扱いのためのガイドライン』（以下、医機連個人情報ガイドライン）を公表し加盟団体の会員である事業者に対して、個人情報の適正な取扱いの確保に関する活動を支援するための指針を定めました。以来、既に５年の年月が経過し、医機連の会員企業におかれましてはこの間、個人情報保護法、個人情報ガイドライン、その他関連法規に則り、社内体制の整備、役員･従業員等の教育、情報の安全管理の実施などを通じて個人情報の適正な取扱いの確保に努められてきたことと存じます。
また、医機連も研修会等による周知活動、情報の提供などを通じ会員企業における個人情報の適正な取扱いを確保すべく取組んで参りました。
個人情報保護法は、平成１７年４月１日の施行後も、平成２０年度には、内閣府の「個人情報の保護に関する基本方針」の一部変更や各省庁において事業分野毎にガイドラインの改正が行われています。
そこで、医機連としては、そのような状況に鑑み、医機連個人情報ガイドラインの初版発行(平成１７年３月)から現在に至るまでの間に制定または改正された関係
省庁ガイドライン等の内容を踏まえ、内容を見直し、この度、ここに改定を行いました。
各会員企業におかれましては、本改定ガイドラインを基に、個人情報保護に関する社内体制の更なる強化に努めるようお願い申し上げます。
平成２３年３月
日本医療機器産業連合会
会長

荻野

和郎

目次
Ⅰ．本ガイドラインの趣旨、目的、基本的考え方 ...................................................1
１．本ガイドラインの趣旨 ....................................................................................................1
２．本ガイドラインの構成及び基本的考え方........................................................................1
３．医機連による個人情報保護への取組み ...........................................................................1
４．本ガイドラインの対象とする「事業者」の範囲 .............................................................1
５．本ガイドラインの対象となる「個人情報」の範囲 .........................................................2
６．責任体制の明確化と相談窓口の設置等 ...........................................................................2
７．様々な情報とその取扱い.................................................................................................2（１）診療情報その他の患者情報 ......................................................................................2（２）臨床試験における被験者の情報 ...............................................................................2（３）市販後調査における患者の情報 ...............................................................................2（４）特定医療機器に関する利用者の情報........................................................................3（５）医療関係者の個人情報 .............................................................................................3（６）家庭用医療機器等の事業者の顧客リストの情報......................................................3（７）顧客担当部門、広報部門等の企業窓口利用者の個人情報........................................3（８）従業者の個人情報 ....................................................................................................3

Ⅱ．用語の定義等 ......................................................................................................3
１．個人情報（本法第 2 条第 1 項） ......................................................................................3
２．個人情報の匿名化............................................................................................................4
３．個人情報データベース等(本法第 2 条第 2 項) 個人データ(本法第 2 条第 4 項)...........4
４．保有個人データ（本法第 2 条第 5 項） ...........................................................................4
５．本人の同意 ......................................................................................................................5

Ⅲ．事業者の義務等 ..................................................................................................6
1，利用目的の特定等（本法第 15 条、第 16 条） ..................................................................6（１）利用目的の特定及び制限..........................................................................................6（２）利用目的による制限の例外 ......................................................................................7
２．利用目的の通知等（本法第 18 条）.................................................................................9
３．個人情報の適正な取得、個人データ内容の正確性の確保（本法第 17 条、第 19 条）..10
４．安全管理措置、従業者の監督及び委託先の監督（本法第 20 条～第 22 条） ................11（１）事業者が講ずるべき安全管理措置 .........................................................................11（２）安全管理措置として考えられる事項......................................................................11（３）業務を委託する場合の取扱い.................................................................................14（４）個人データの漏えい等の問題が発生した場合における二次被害の防止等 ............15
５．個人データの第三者提供（本法第 23 条） ....................................................................16（１）第三者提供の取扱い...............................................................................................16（２）第三者提供の例外 ..................................................................................................17（３）本人の同意が得られていると考えられる場合 .......................................................17（４）「第三者」に該当しない場合.................................................................................17
６．保有個人データに関する事項の公表等（本法第 24 条） ..............................................20

７．本人からの求めによる保有個人データの開示...............................................................21（１）開示の原則 （平成 21 年改定） .............................................................................21（２）開示の例外 .............................................................................................................21
８．訂正及び利用停止（本法第 26 条、第 27 条）...............................................................22
９．開示等の求めに応じる手続及び手数料（本法第 29 条、第 30 条） ..............................24（１）開示等を行う情報の特定........................................................................................24（２）代理人による開示等の求め ....................................................................................25
１０．理由の説明、苦情処理（本法第 28 条、第 31 条）....................................................26

Ⅳ．本ガイドラインの見直し ..................................................................................27
Ⅴ．本ガイドラインの発効 .....................................................................................27【別表１】

個人情報の保護に関する法令、基本方針、指針及び通知 ..................28【別表２】利用目的の例..........................................................................................29【参考資料】............................................................................................................30
個人情報の保護に関する法律...................................................................................30
個人情報の保護に関する法律施行令........................................................................45
個人情報の保護に関する基本方針 ...........................................................................50

Ⅰ．本ガイドラインの趣旨、目的、基本的考え方
１．本ガイドラインの趣旨
本ガイドライン（「本ＧＬ」）は、「個人情報の保護に関する法律」（平成 15 年法律第57 号、以下「本法」という。）に基づき、日本医療機器産業連合会（「医機連」）として、加盟団体の会員企業たる事業者が行う個人情報の適正な取扱いの確保に関する活動を支援するための指針として定めるものである。

２．本ガイドラインの構成及び基本的考え方
個人情報の取扱いについては、本法第３条において、「個人情報は、個人の人格尊重の理念の下に慎重に取り扱われるべきものである」とされていることを踏まえ、個人情報を取扱うすべての者は、その目的や態様を問わず、個人情報の性質と重要性を十分認識し、その適正な取扱いを図らなければならない。
特に、医療分野は、「個人情報の保護に関する基本方針」（平成１６年４月２日閣議決定。以下「基本方針」という。）及び国会における附帯決議において、個人情報の性質や利用方法等から、特に適正な取扱いの厳格な実施を確保する必要がある分野の一つであると指摘されており、医療機器取扱い業者等における積極的な取組が求められている。
本ＧＬでは、本法の趣旨を踏まえ、医療機器を取扱う事業者における個人情報の適正な取扱いが確保されるよう、遵守すべき事項及び遵守することが望ましい事項をできる限り具体的に示しており、各事業者においては、本法、個人情報の保護に関する基本方
針（平成 16 年４月２日閣議決定、平成 20 年４月 25 日一部変更）、関係省庁のガイドラ
イン及び本ＧＬの趣旨を踏まえ、個人情報の適正な取扱いに取組む必要がある（【別表１】を参照）。

３．医機連による個人情報保護への取組み
医機連は、「医療機器産業の健全なる発達並びに国民生活の向上に寄与する」ことを目的として、医療機器製造・販売業者等を会員企業とする事業者団体より構成する連合会である。これまで、個人情報の適切な管理の徹底に関し、厚生労働省及び経済産業省
より連絡を受け、加盟各団体を通じ、会員企業に文書を発信している。

４．本ガイドラインの対象とする「事業者」の範囲
医機連は、医療機器を取扱う企業を会員とする事業者団体により構成する連合会であり、本ＧＬが対象としている事業者の範囲は、医機連を構成する事業者団体及びその会
員企業とする。
なお、本法において、事業者のうち、識別される特定の個人の数の合計が過去６ヶ月以内のいずれの日においても、5,000 人を超えない事業者（小規模事業者）は「個人情報取扱事業者」としての義務等を負う者から、除くものとされている。
しかし、ステークホルダーの期待に応え、コンプライアンスを推進していくことは、すべての企業が取組むべきものであること等に鑑みれば、小規模事業者も、本ＧＬを遵守する努力をし、個人情報を適切に取扱い、安全管理措置をとることが望まれる。
また、医機連を構成する事業者団体の会員企業においては、その子会社等のグループ会社に対し、個人情報保護体制の構築等を支援するよう努めることが望まれる。
1

５．本ガイドラインの対象となる「個人情報」の範囲本法において、「個人情報」とは、生存する個人に関する情報であり、個人情報取扱い事業者の義務等の対象となるのは、生存する個人に関する情報に限定されている。本
ＧＬは、事業者が保有する生存する個人に関する情報を対象とする。
なお、該当者が死亡した後においても、事業者が該当者の情報を保存している場合は、漏えい、滅失又はき損等の防止のため、個人情報と同様の安全処置を講ずるものとする。

６．責任体制の明確化と相談窓口の設置等
事業者は、個人情報の適正な取扱いを推進し、漏えい等の問題に対処する体制を整備する必要がある。このため、個人情報の取扱いに関し、専門性と指導性を有し、事業者の全体を統括する組織体制・責任体制を構築し、規則の策定や安全管理措置の計画立案
等を効果的に実施するものとする。
また、本人に対しては、取得時、利用開始時に個人情報の利用目的を説明するなど、必要に応じて分かりやすい説明を行う必要があるが、加えて、本人が疑問を感じた内容を問合わせできる相談窓口等を確保することが重要である。

７．様々な情報とその取扱い（１） 診療情報その他の患者情報
事業者は、医療機器情報活動や症例報告の確認等、業務上の必要のため、医療関係者より、診療情報その他の患者情報を入手する場合、医療機関において患者の氏名の削除、コード化、イニシャル化する等、匿名化されて入手するのであれば、通常、これら情報は個人情報に該当しない。しかし、特定の患者個人が識別可能な状況になった場合には、当該患者の情報は個人情報として適正に取扱わなければならない。
厚生労働省による「医療・介護関係事業者における個人情報の適切な取扱いのためのガイドライン」（平成 16 年 12 月 24 日通達、平成 18 年４月 21 日改正及び平成 22
年 9 月 17 日改正）においては、医療機器の事例として「個人データの第三者提供」の項で、「医師及び薬剤師が医療機器企業の医療機器情報担当者、医療機器卸業者の医療機器販売担当者等との間で医療機器の使用効果などについて情報交換を行う場合に、必要でない氏名等の情報を削除せずに提供すること」が「適切でない例」として挙げられている。
（２） 臨床試験における被験者の情報
臨床試験は、薬事法、関係政省令(｢医療機器の臨床試験の実施の基準に関する省令｣(平成 17 年 3 月 23 日厚生労働省令第 36 号、最終改正平成 21 年 3 月 31 日厚生労働省令第 68 号)、関係指針、関係通知等に従って実施されている。この中で被験者の情報の取扱いにあたり、医師は、臨床試験に参加する被験者の識別をコード化して行うことを求められており、このため臨床試験の依頼者に提供される被験者の情報は、匿名化されている。従って、通常、これらの情報は個人情報に該当しない。しかし、特定の被験者個人が識別可能な状況になった場合には、当該被験者の情報は個人情報として適正に取扱わなければならない。
（３） 市販後調査における患者の情報
市販後調査は、薬事法、関係省令(｢医療機器の製造販売後の調査及び試験の実施の基準に関する省令｣(平成 17 年 3 月 23 日厚生労働省令第 38 号)、関係通知等に従って
2

実施されている。市販後調査依頼者は、患者情報を入手する必要がある場合、医療機関において患者氏名をイニシャル化する等、匿名化されたものを入手しており、その場合、通常これらの情報は個人情報に該当しない。しかし、特定の患者個人が識別可
能な状況になった場合には、当該患者の情報は個人情報として適正に取扱わなければならない。
（４） 特定医療機器に関する利用者の情報
特定医療機器に関する記録に記載された当該医療機器の利用者の氏名・住所・生年
月日・性別は個人情報として、適正に取扱わなければならない。（薬事法第 77 条の5）（５） 医療関係者の個人情報
医師、歯科医師、看護師、診療放射線技師、臨床検査技師、臨床工学技士等医療関係者の個人情報は、本法の対象であり、本法に則し、適正に取得し、適正に取扱わなければならない。
（６） 家庭用医療機器等の事業者の顧客リストの情報
家庭用医療機器等の事業者の顧客リストは、「個人情報データベース等」であり、訪問先の個人情報が含まれる。本法に則し、適正に取得し、適正に取扱わなければならない。
（７） 顧客担当部門、広報部門等の企業窓口利用者の個人情報
顧客担当部門、広報部門等の企業窓口へ寄せられる情報の中には、個人情報が含まれることが考えられる。企業窓口担当者及び連絡を受けた部門の担当者は、本法に十分留意することが必要である。本法に則し、適正に取得し、適正に取扱わなければならない。
（８） 従業者の個人情報事業者は、従業者の個人情報として、住所、生年月日、学歴、人事評価情報、健康診断情報、年金・保険情報、家族情報などの情報を有する。これらの取扱いについては、「雇用管理に関する個人情報の適正な取扱いを確保するために事業者が講ずべき措置に関する指針」（平成 16 年７月１日厚生労働省告示第 259 号）等を遵守しなけ
ればならない。

Ⅱ．用語の定義等
１．個人情報（本法第 2 条第 1 項）
「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日、その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう。
「個人情報」は、氏名、性別、生年月日等個人を識別する情報に限られず、個人の身体、財産、職種、肩書き等の属性に関して、事実、判断、評価を表すすべての情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含ま3

れ、暗号化されているか否かを問わない。
【「個人情報」とされる情報又はその可能性のある情報の例】
・ 医師、歯科医師、薬剤師、看護師、診療放射線技師、臨床検査技師、臨床工学技士
等医療関係者に関する情報
・ 経営者、従業員に関する情報
・ 医療関係者向け又は一般消費者向けのウェブサイトにおける登録者情報
・ 個人株主に関する情報・ キャンペーン応募者、アンケート回答者の情報
・ 相談窓口への相談者の情報
・ 従業員、採用応募者、退職者、派遣社員等に関する情報
・ 官報、電話帳、職員録等に公表された個人の情報

２．個人情報の匿名化
当該個人情報から、当該情報に含まれる氏名、生年月日、住所の記述等、個人を識別する情報を取り除くことで、特定の個人を識別できないようにすることをいう。必要な場合には、その人と関わりのない符号又は番号を付すこともある。
このような処理を行っても、事業者内で当該情報を利用する場合は、事業者内で得られる他の情報や匿名化に際して付された符号又は番号と個人情報との対応表等と照合することで特定の個人が識別されることも考えられる。本法においては、「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるもの」についても個人情報に含まれるものとされている。匿名化に当たっては、当該情報の利用目的や利用者等を勘案した処理を行う必要がある。

３．個人情報データベース等(本法第 2 条第 2 項)
項)

個人データ(本法第 2 条第 4

「個人情報データベース等」とは、特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した個人情報を含む情報の集合体、又はコンピュータを用いていない場合であって、紙面で処理した個人情報を一定の規則（例えば、五十音順、生年月日順など）に従って整理・分類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態においているものをいう。「個人データ」とは、「個人情報データベース等」を構成する個人情報をいう。

４．保有個人データ（本法第 2 条第 5 項）
「保有個人データ」とは、個人データのうち、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことができる
権限を有するものをいい、本法第24条～第27条の本人の関与にかかる義務規定の対象となっている。
ただし、個人情報保護法施行令第３条に定める次の情報は、保有個人データから除外される。
一． 当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの
二． 当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの
4

三． 当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの
四． 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの
また、６ヶ月より短期間のみ保有するにすぎない個人データも除外される。

５．本人の同意「本人の同意」とは、本人の個人情報が、個人情報取扱事業者によって示された取扱い方法で取り扱われることを承諾する旨の当該本人の意思表示をいう。
法は、個人情報の目的外利用や個人データの第三者提供の場合には、原則として本人の同意を得ることを求めている。これは、法の基本となるＯＥＣＤ８原則 *1 のうち、利用制限の原則の考え方の現れである。
本人の意思を明確に確認できない状態の場合については、意識の回復にあわせて、速やかに本人への説明を行い本人の同意を得るものとする。
なお、これらの場合において理解力、判断力などに応じて、可能な限り当事者に通知
し、同意を得るよう努めることが重要である。
「本人の同意を得ている事例」としては、同意する旨を本人から口頭又は書面（電子的方法、磁気的方法その他人の知覚によっては認識することができない方式で作られる記録を含む。）で確認することなどが考えられる。
*1：ＯＥＣＤ８原則
１９８０年９月２３日にＯＥＣＤ (経済協力開発機構)で採択された「プライバシー保護と個
人データの国際流通についての勧告」にある８つの原則。世界各国の個人情報保護の考え方の基礎となっている。

（1） 収集制限の原則：個人データは、適法・公正な手段により、かつ情報主体に通知または同意を得て収集されるべきである。

（2） データ内容の原則：収集するデータは、利用目的に沿ったもので、かつ、正確・完全・最新であるべきである。

（3） 目的明確化の原則：収集目的を明確にし、データ利用は収集目的に合致するべきである。
（4） 利用制限の原則：データ主体の同意がある場合や法律の規定による場合を除いて、収集したデータを目的以外に利用してはならない。

（5） 安全保護の原則：合理的安全保護措置により、紛失・破壊・使用・修正・開示等から保護すべきである。

（6） 公開の原則：データ収集の実施方針等を公開し、データの存在、利用目的、管理者等を明示するべきである。

（7） 個人参加の原則：データ主体に対して、自己に関するデータの所在及び内容を確認させ、または異議申立を保証するべきである。

（8） 責任の原則：データの管理者は諸原則実施の責任を有する。

5

Ⅲ．事業者の義務等
1，利用目的の特定等（本法第 15 条、第 16 条）（利用目的の特定）法第十五条
個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。
２ 個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。
（利用目的による制限）
法第十六条
個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
２ 個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
３ 前二項の規定は、次に掲げる場合については、適用しない。
一 法令に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
（１） 利用目的の特定及び制限
利用目的の特定にあたっては、利用目的を単に抽象的、一般的に特定するのではな
く、事業者において最終的にどのような目的で個人情報を利用するかをできる限り具体的に特定する必要がある。
なお、利用目的の特定の際に、利用する個人情報の項目及び入手先の事業者名等を特定することまで求められるわけではない。
例えば、「医療機器情報の提供」等を利用目的とすることが挙げられるが、定款等に想定されている事業の内容に照らして、個人情報によって識別される本人からみて、
自分の個人情報が利用される範囲が合理的に予想できる程度に特定している場合や業種を明示することで利用目的の範囲が想定される場合には、これで足りるとされることもあり得る。
しかし、多くの場合、業種の明示だけでは利用目的を具体的に特定したことにはならない。
また、単に「事業活動」、「お客様のサービスの向上」等のように抽象的、一般的な内容を利用目的とすることも具体的に特定したことにはならない。 なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的において、
6

その旨特定しなければならない。
雇用管理情報の利用目的の特定にあたっても、単に抽象的、一般的に特定するのではなく、従業員等（現に使用されている従業員、採用応募者、採用応募者であった者
及び退職者）本人が、取得された当該本人の個人情報が利用された結果が合理的に想定できる程度に、具体的、個別的に特定しなければならない。
利用目的の例を【別表２】に挙げるが、これは例にすぎず、各事業者は、実際の利用目的、そして、自らの事業形態や製商品等に照らして必要とされるものを検討・特定し、通知又は公表することになる。
なお、利用目的については、本法第 15 条第 2 項の定めに従い、社会通念上、本人が想定することが困難でないと認められる範囲内で変更することが可能である。ただし、変更された利用目的については、本人へ通知するか又は公表しなければならない。
（２） 利用目的による制限の例外
本法第 16 条第 3 項に掲げる場合については、本人の同意を得る必要はない。具体的な例としては以下のとおりである。なお、薬事法第 80 条の 2 第 10 項の治験依頼者の秘密漏示の禁止等、他の法令による規制には、注意を要する。
① 法令に基づく場合根拠となる法令としては、刑事訴訟法第 197 条第 2 項に基づく照会、地方税法第 72
条の 63（個人の事業税に係る質問検査権、各種税法に類似の規定あり）等がある。
警察や検察等の捜査機関の行う刑事訴訟法第 197 条第 2 項に基づく照会（同法第507 条に基づく照会も同様）は、相手方に報告すべき義務を課すものと解されている
上、警察や検察等の捜査機関の行う任意捜査も、これへの協力は任意であるものの、法令上の具体的な根拠に基づいて行われるものであり、いずれも「法令に基づく場合」に該当すると解されている。
また、弁護士法第 23 条の 2 第 2 項（弁護士会からの照会）の場合も、同様に、対象となると考えられるが、提供に当たっては同照会制度の目的に則した必要性と合理性が認められるかを考慮する必要がある。
② 人類の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき【例】
・ 意識不明で身元不明の患者について、関係機関へ照会、家族又は関係者等からの安否確認に対して必要な情報提供を行う場合
・ 大規模災害等で医療機関に非常に多数の傷病者が一時に搬送され、家族等からの問い合わせに迅速に対応するためには、本人の同意を得るための作業を行うことが著し
く不合理である場合
・ 私企業間において、意図的に業務妨害を行う者の情報について情報交換される場合
・ 製品事故が生じたため、又は、製品事故は生じていないが、人の生命若しくは身体に危害を及ぼす急迫した危険が存在するため、製造事業者等が消費生活用製品をリコールする場合で、販売事業者、修理事業者又は設置工事事業者等が当該製造事業者等に対して、当該製品の購入者等の情報を提供する場合③ 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、
7

本人の同意を得ることが困難であるとき【例】
・ 健康増進法に基づく地域がん登録事業による国又は地方公共団体への情報提供
・ がん検診の精度管理のための地方公共団体又は地方公共団体から委託を受けた検診機関に対する精密検査結果の情報提供
・ 児童虐待事例についての関係機関との情報交換
・ 医療安全の向上のため、院内で発生した医療事故等に関する国、地方公共団体又は第三者機関等への情報提供のうち、氏名等の情報が含まれる場合④ 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める義務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき【例】
・ 統計法第2条第7項の規定に定める一般統計調査に協力する場合
・ 災害発生時に警察が負傷者の住所、氏名や傷の程度等を照会する場合等、公共の安全と秩序の維持の観点から照会する場合【本法の規定により遵守すべき事項等】• 事業者は、個人情報を取扱うに当たって、その利用目的をできる限り特定しなければならない。
・ 事業者は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。
・ 事業者は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取扱ってはならない。なお、本人の同意を得るために個人情報を利用すること（同意を得るために本人の連絡先を利用して電話をかける場
合など）、個人情報を匿名化するために個人情報に加工を加えることは差し支えない。
・ 事業者は、合併その他の事由により他の事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取扱ってはならない。
・ 利用目的の制限の例外（本法第16条第3項）に該当する場合は、本人の同意を得ずに個人情報を取扱うことができる。
（利用目的を変更する場合の取扱いについてはⅢ２．を参照）【その他の事項】
・ 利用目的の制限の例外に該当する「法令に基づく場合」であっても、利用目的以外の目的で個人情報を取扱う場合は、当該法令の趣旨をふまえ、その取扱う範囲を真に必要な範囲に限定することが求められる。
・ 本人が未成年者の場合、法定代理人の同意を得ることで足りるが、一定の判断能力を有する未成年者については、法定代理人の同意にあわせて、本人の同意を得る。
・ 意識不明の患者や重度の認知症の高齢者などで法定代理人がいない場合で、緊急に診療が必要な場合については、上記（２）②に該当し、当該本人の個人情報を取扱うことができる。
8

２．利用目的の通知等（本法第 18 条）（取得に際しての利用目的の通知等）
法第十八条
個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
２ 個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結する
ことに伴って契約書その他の書面（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られる記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。
３ 個人情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
４ 前三項の規定は、次に掲げる場合については、適用しない。
一 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
二 利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合
三 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
取得の状況からみて利用目的が明らかであると認められる場合【法の規定により遵守すべき事項等】
事業者は、個人情報を取得するに当たって、あらかじめその利用目的を公表しておく
か、個人情報を取得した場合速やかに、その利用目的を本人に通知するか又は公表しなければならない。
・ 利用目的の公表方法としては、事業所内等に掲示するとともに、可能な場合にはホームページへの掲載等の方法により、なるべく広く公表する必要がある。
・ 事業者は、本人から直接書面に記載された当該本人の個人情報を取得する場合は、
あらかじめ、本人に対し、その利用目的を掲示等により明示しなければならない。
ただし、緊急の処置が必要な場合等は、この限りでない。
・ 事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
・ 取得の状況からみて利用目的が明らかであると認められる場合など利用目的の通知等の例外に該当する場合は、上記内容は適用しない。（「利用目的が明らか」な場合についてはⅢ１（１）を参照）【その他の事項】
・ 利用目的が、本規定の例外である「取得の状況からみて利用目的が明らかであると認められる場合」に該当する場合であっても、利用者等に利用目的をわかりやすく示
9

す観点から、利用目的の公表に当たっては、当該利用目的についても併せて記載する。
・ 事業所内等への掲示に当たっては、受付の近くに当該内容を説明した表示を行い、初回の利用者等に対しては、受付時や利用開始時において当該掲示についての注意を促す。
・ 事業所内等における説明だけでは、個人情報について十分な理解ができない利用者も想定されることから、利用者が落ち着いた時期に改めて説明を行い、計画書等のサービス提供に係る計画等に個人情報に関する取扱いを記載するなど、利用者が個人情報の利用目的を理解できるよう配慮する。
・ 利用者等の希望がある場合、詳細の説明や当該内容を記載した書面の交付を行う。

３．個人情報の適正な取得、個人データ内容の正確性の確保（本法第 17 条、第19 条）（適正な取得）法第十七条
個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。
（データ内容の正確性の確保）
法第十九条
個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めなければならない。
【本法の規定により遵守すべき事項等】
・ 事業者は、偽りその他の不正の手段により個人情報を取得してはならない。
・ 必要な過去の履歴等については、真に必要な範囲について、本人から直接取得するほか、第三者提供について本人の同意を得た者（Ⅲ５．（３）により本人の黙示の同意が得られていると考えられる者を含む）から取得することを原則とする。ただし、本人以外の家族等から取得することが適切なサービスの提供上やむを得ない場
合はこの限りでない。
・ 親の同意なく、十分な判断能力を有していない子どもから家族の個人情報を取得してはならない。ただし、当該子どものサービス上、家族等の個人情報の取得が必要な場合で、当該家族等から個人情報を取得することが困難な場合はこの限りではない。
・ 事業者は、適正なサービスを提供するという利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めなければならない。
【その他の事項】
・ 第三者提供により他の事業者から個人情報を取得したとき、当該個人情報の内容に疑義が生じた場合には、記載内容の事実に関して本人又は情報の提供を行った者に確認をとる。
・ 事業者は、個人データの内容の正確性、最新性を確保するため、Ⅲ4.(2)②に示す
社内委員会等において、具体的なルール等を策定し、技術水準向上のための研修の開催等を行うことが望ましい。

10４．安全管理措置、従業者の監督及び委託先の監督（本法第 20 条～第 22 条）（安全管理措置）法第二十条
個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止
その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
（従業者の監督）法第二十一条
個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、
当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
（委託先の監督）
法第二十二条
個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
（１） 事業者が講ずるべき安全管理措置① 安全管理措置事業者は、その取扱う個人データの漏えい、滅失又はき損の防止その他の個人デー
タの安全管理のため、組織的、人的、物理的及び技術的な安全管理措置を講じなければならない。その際、本人の個人データが漏えい、滅失又はき損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、また事業の性質及び個人データの取扱い状況等に起因するリスクに応じ、必要かつ適切な措置を講ずるものとする。 なお、その際には、個人データを記録した媒体の性質に応じた安全管理措置を講ずる。
② 従業者の監督

事業者は、①の安全管理措置を遵守させるよう、従業者に対し必要かつ適切な監督をしなければならない。なお、「従業者」とは、当該事業者の組織内にあって直接間接に指揮監督を受けて業務に従事している者をいい、雇用関係にある者（正社員、契約社員、嘱託社員、パート社員、アルバイト社員、試用期間中の者等）のみならず、
取締役、監査役、執行役、派遣労働者等を含むものである。
（２） 安全管理措置として考えられる事項
事業者は、その取扱う個人データの重要性に鑑み、個人データの漏えい、滅失又はき損の防止その他の安全管理のため、その規模、従業者の様態等を勘案し、以下に示
すような取組みを参考に、必要な措置を行うものとする。
医療業界では、業務用パソコンの盗難・紛失、私用パソコン内の情報交換ファイル等を介した情報漏えい、委託先からの情報漏えいが、個人データの漏えい等の主な原因になっている。この点、厚生労働省からも業界に対し、個人情報保護のための必要な措置構築に関する周知徹底と業務パソコンの盗難・紛失に対する注意喚起について要請がなされており（厚生労働省医政局経済課長・医薬食品局総務課長通知「個人情報保護の徹底について」平成 17 年 7 月 14 日〔医政経発第 0714001 号、薬食総発第0714001 号〕）、医療業界として、かかる事実を踏まえた個人データの安全管理措置
11

の徹底が求められる。
また、同一事業者が複数の部門や事業所を有する場合には、当該部門や事業所間の情報交換については本法第 23 条が禁止する第三者提供に該当しないが、各当該部門
や事業所ごとに、安全管理措置を講ずるなど、個人情報の利用目的を踏まえた個人データの安全管理を行う。
さらに、「個人情報の保護に関する法律についての経済産業分野を対象とするガイ
ドライン」の本法第 20 条の箇所の、組織的、人的、物理的及び技術的安全管理措置の解説も参照されたい。
① 個人情報保護に関する規程の整備、公表

・ 事業者は、保有個人データの開示手順を含めた規定その他個人情報保護に関する規程等を整備し、苦情への対応を行う相談窓口体制も含めて、ホームページへの掲載を行うなど、本人に対して周知を図る。
・ また、個人データを取り扱う情報システムの安全管理措置に関する規程等についても同様に整備すること。
② 個人情報保護推進のための組織体制等の整備

・ 従業者の責任体制の明確化を図り、具体的な取組みを進めるため、個人情報保護
管理者、監督者等を定め、個人情報保護の推進を図るための委員会等を設置する。
・ 各部門や各事業所で行っている個人データの安全管理措置について定期的に自己評価を行い、見直しや改善を行うべき事項について適切な改善を行う。
③ 個人データの漏えい等の問題が発生した場合等における報告連絡体制の整備
・ 1）個人データの漏えい等の事故が発生した場合、又は発生の可能性が高いと判断した場合、2）個人データの取扱いに関する規程等に違反している事実が生じた場合、又は兆候が高いと判断した場合における社長、管理者等への報告連絡体制の整備を行う。
・ 個人データの漏えい等の情報は、苦情等の一環として、外部から報告される場合も想定されることから、相談窓口体制との連携も図る。（Ⅲ10．参照）④ 雇用契約時における個人情報保護に関する規定の整備
・ 雇用契約や就業規則において、在職期間中はもとより離職後も含めた守秘義務を課すなど従業者の個人情報保護に関する規定を整備し、徹底を図る。また、保守義
務規定に伴い、業務上取扱うこととなる個人データの保護を図る。
⑤ 従業者に対する教育研修の実施
・ 取扱う個人データの適切な保護が確保されるよう、従業者に対する教育研修の実施等により、個人データを実際の業務で取扱うこととなる従業者の啓発を図り、従業者の個人情報保護意識を徹底する。
・ この際、派遣労働者についても「派遣先が講ずべき処置に関する指針」（平成11年労働者告示第138号）において「必要に応じた教育訓練に係わる便宜を図るよう努
めねばならない」とされていることを踏まえ、個人情報の取扱いに係る教育研修の実施に配慮する必要がある。
・ 特に、業務用パソコンの営業車内への放置や飲食店等への置き忘れ、若しくは可12

搬性に優れた高容量記憶装置（USBメモリ等）によるデータ持ち出し、又はファイル交換ソフトがインストールされた私用パソコン等へのデータ移送など、個人データの漏えい等につながる行為につき、徹底した注意喚起を行う。
⑥ 物理的安全管理措置
・ 個人データの盗難・紛失等を防止するため、以下のような物理的安全管理措置を行う。
○ 入退館（室）管理の実施○ 盗難等に対する予防対策の実施○ 機器、装置等の物理的な保護⑦ 技術的安全管理措置
・ 個人データの盗難・紛失等を防止するため、個人データを取扱う情報システムについて以下のような技術的安全管理措置を行う。
○ 個人データに対するアクセス管理（IDやパスワード等による認証、各職員の業務内容に応じて業務上必要な範囲にのみアクセスできるようなシステム構成の採用
等）○ 個人データに対するアクセスの記録の保存○ 個人データに対するファイアウォールの設置⑧ 個人データの保存
・ 個人データを長期にわたって保存する場合には、保存媒体の劣化防止など個人データが消失しないよう適切に保存する。
・ 個人データの保存にあたっては、本人からの照会等に対応する場合など必要なときに迅速に対応できるよう、インデックスの整備など検索可能な状態で保存しておく。
⑨ 不要となった個人データの廃棄、消去
・ 不要となった個人データを廃棄する場合には、焼却や溶解など、個人データを復元不可能な形にして廃棄する。
・ 個人データを取扱った情報機器を廃棄する場合は、記憶装置内の個人データを復元不可能な形に消去して廃棄する。
・ これらの廃棄業務を委託する場合には、個人データの取扱いについても委託契約において明確に定める。
⑩ 個人データ漏えい等の問題が発生した場合等における措置
・個人データの漏えい等の事故が発生した場合、必要に応じて、以下のような対応を迅速かつ適切に行う。
○ 事実調査、原因の究明○ 影響範囲の特定○ 再発防止策の検討・実施○ 影響を受ける可能性のある本人への連絡○ 厚生労働大臣への報告○ 事実関係、再発防止策等の公表
13

（３） 業務を委託する場合の取扱い① 委託先の監督
事業者は、個人データの取扱いの全部又は一部を委託する場合、本法第 20 条に基づく安全管理措置を遵守させるよう委託先に対し、必要かつ適切な監督をしなければならない。
「必要かつ適切な監督」には、委託先を適切に選定すること、委託先に本法第 20条に基づく安全管理措置を遵守させるために必要な事項が規定された契約を締結する
こと、委託先における委託された個人データの取扱い状況を把握することなどが含まれる。
なお、事業者が委託先への必要かつ適切な監督を行っていないなか、業務が再委託された場合で、再委託先が個人データについて不適切な取扱いを行ったことにより、問題が生じた場合は、事業者が責めを負うこともあり得るので、委託先における再委
託先への監督についても、一定の注意が必要である。
「必要かつ適切な監督」には、委託契約において委託者である事業者が定める安全管理措置の内容を契約に盛り込み受託者の義務とするほか、業務が適切に行われていることを定期的に確認することなども含まれる。
また、業務が再委託された場合で、再委託先が不適切な取扱いを行ったことにより、問題が生じた場合は、事業者や再委託した事業者が責めを負うこともあり得る。
② 業務を委託する場合の留意事項
事業者は、個人データの取扱いの全部又は一部を委託する場合、以下の事項に留意すべきである。
・ 個人情報を適切に取扱っている事業者を委託先（受託者）として選定する。
・ 委託する業務内容に照らして必要のない個人データを委託先に提供しない。
・ 委託する業務内容に応じてレベルは異なるが、少なくとも本法第 20 条により求められる安全管理措置と同等の安全管理措置をとっている事業者を委託先として選定する。このため、委託候補先の安全管理措置を合理的に確認することが望ましい。
— 委託先検討の段階での確認であるため、方法について一定の限界があるが、委託候補先における安全管理措置について委託候補先にヒアリングを行う、若しくは報告書を提出させる、また委託候補先の個人情報の取扱いに関する規程の閲覧を求めるといったことが考えられる。
・ 委託契約には、個人データの取扱いに関する内容を盛り込む(委託中のほか、委託終了後の個人データの取扱いも含む)。必要かつ適切な安全管理措置として、双方が同意した内容を盛り込む。
— 委託先における個人データの取扱い状況を合理的に把握するための方法を盛り込
むことが望ましい。
— 委託契約終了後の個人データの取扱いについても盛り込む。
・ 委託先が委託を受けた業務の一部を再委託する場合は、再委託先の選定において、再委託される業務の内容に応じて、少なくとも本法第 20 条で求められる安全管理措置と同等の安全管理措置をとっている事業者が選定されるとともに、委託先において再委託先に対して必要かつ適切な監督が行われるよう委託契約において配慮する。
・ 委託期間中においては、委託先における個人データの取扱い状況を相互に確認する。なお、再委託先における個人データの取扱いについても、委託先から報告を求
14

めるなどの方法により確認する。
・ 委託先における個人データの取扱いに疑義が生じた場合（本人からの申出があり、確認の必要があると考えられる場合を含む。）には、委託先に対し、説明を求め、必要に応じ改善を求める等適切な措置をとる。
・ 受託者が、委託を受けた業務の一部を再委託することを予定している場合は、再委託を受ける事業者の選定において個人情報を適切に取扱っている事業者が選定されるとともに、再委託先事業者が個人情報を適切に取扱っていることが確認できる
よう契約において配慮する
・ 受託者が個人情報を適切に取扱っていることを定期的に確認する
・ 受託者における個人情報の取扱いに疑義が生じた場合（患者・利用者等からの申出があり、確認の必要があると考えられる場合を含む。）には、受託者に対し、説明を求め、必要に応じ改善を求める等適切な措置をとる＊医療機関等における業者委託に関する関連通知等
上記の留意事項のほか、委託する業務に応じ、関連する通知等を遵守する。
・ 「医療法の一部を改正する法律の一部の施行について」（平成 5 年 2 月 15 日健政
発第 98 号）の「第 3 業務委託に関する事項」
・ 「病院、診療所等の業務委託について」（平成 5 年 2 月 15 日指第 14 号）（４） 個人データの漏えい等の問題が発生した場合における二次被害の防止等
個人データの漏えい等の問題が発生した場合には、二次被害の防止、類似事案の発生回避等の観点から、個人情報の保護に配慮しつつ、可能な限り事実関係を公表するとともに、都道府県の所管課等に速やかに報告する。
・ 影響を受ける可能性のある本人を特定し、かかる事故の発生について謝罪するとともに、二次被害等への注意を呼びかける。
・ 本人が特定できない場合、又は漏えい件数が多く本人への連絡に日数を要する場
合等は、マスコミに公表することで本人の注意を呼びかけるといった方法等を検討する。
・ 本人からの照会等に応じるための相談窓口を必要に応じて開設する。
【法の規定により遵守すべき事項等】
・ 事業者は、その取扱う個人データの漏えい、滅失又はき損の防止その他個人デー
タの安全管理のために必要かつ適切な措置を講じなければならない。
・ 事業者は、その従業者に個人データを取扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
・ 事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
【その他の事項】
・ 事業者は、安全管理措置に関する取組みを一層推進するため、安全管理措置が適切であるかどうかを一定期間ごとに検証するほか、必要に応じて外部機関による検証を受けることで、改善を図ることが望ましい。
15

５．個人データの第三者提供（本法第 23 条）（第三者提供の制限）
法第二十三条
個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
一 法令に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
２ 個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。
一 第三者への提供を利用目的とすること。
二 第三者に提供される個人データの項目
三 第三者への提供の手段又は方法
四 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
３ 個人情報取扱事業者は、前項第二号又は第三号に掲げる事項を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状
態に置かなければならない。
４ 次に掲げる場合において、当該個人データの提供を受ける者は、前三項の規定の適用については、第三者に該当しないものとする。
一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱
いの全部又は一部を委託する場合
二 合併その他の事由による事業の承継に伴って個人データが提供される場合
三 個人データを特定の者との間で共同して利用する場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。
５ 個人情報取扱事業者は、前項第三号に規定する利用する者の利用目的又は個人データの管理について責任を有する者の氏名若しくは名称を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
（１） 第三者提供の取扱い
事業者は、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならな
16

いとされており、次のような場合には、本人の同意を得る必要がある。親子兄弟会社・グループ会社の間で個人データを交換する場合、同業者間で特定の個人データを交換する場
合や外国の会社に国内に居住している個人の個人データを提供する場合なども、本法により例外と認められる場合を除き、第三者提供とされるので、注意を要する。

【例】
・ 民間保険会社からの照会
患者が民間の生命保険に加入しようとする場合、生命保険会社から患者の健康状
態等について照会があった場合、患者の同意を得ずに患者の現在の健康状態や既往等を回答してはならない。
交通事故によるけがの治療を行っている患者に関して、保険会社から損害保険金の支払い審査のために必要であるとして症状に関する照会があった場合、患者の同意を得ずに患者の症状等を回答してはならない。
・ 職場からの照会
職場の上司等から、社員の病状に関する問合わせや、休職中の社員の職場復帰の見込みに関する問合わせがあった場合、患者の同意を得ずに患者の症状等を回答してはならない。
・ 学校からの照会
学校等の教職員等から、児童・生徒の健康状態に関する問合わせや、休学中の児童・生徒の復学の見込みに関する問合わせがあった場合、患者の同意を得ずに患者の症状等を回答してはならない。
・ マーケティング等を目的とする会社等からの照会
健康食品の販売を目的とする会社から、高血圧の患者の存在の有無について照会された場合や要件に該当する患者を紹介して欲しい旨の依頼があった場合、患者の同意を得ずに患者の有無や該当する患者の氏名・住所等を回答してはならない。
（２） 第三者提供の例外
ただし、次に掲げる場合については、本人の同意を得る必要はない。
① 法例に基づく場合② 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき③ 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき④ 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
（３） 本人の同意が得られていると考えられる場合
個人データを第三者提供する場合は、あらかじめ本人の明確な同意を得るよう求めがある。
その場合、本人の意思に応じた対応を行う必要がある。
（４） 「第三者」に該当しない場合① 他の事業者等への情報提供であるが、「第三者」に該当しない場合
法第 23 条第４項の各号に掲げる場合の当該個人データの提供を受ける者について
17

は、第三者に該当せず、本人の同意を得ずに情報の提供を行うことができる。関係事業者における具体的事例は以下のとおりである。
・ 検査等の業務を委託する場合
・ 個人データを特定の者との間で共同して利用するとして、あらかじめ本人に通知等している場合【個人データの共同での利用における留意事項】
あらかじめ個人データを特定の者との間で共同して利用することが予定されている場合、(ｱ)共同して利用される個人データの項目、(ｲ)共同利用者の範囲（個別列挙されているか、本人から見てその範囲が明確となるように特定されている必要がある）、(ｳ)利用する者の利用目的、(ｴ)当該個人データの管理について責任を有する者の氏名又は名称、をあらかじめ本人に通知し、又は本人が容易に知り得る状態
においておくとともに、共同して利用することを明らかにしている場合には、当該共同利用者は第三者に該当しない。
この場合、(ｱ)、(ｲ)については変更することができず、(ｳ)、(ｴ)については、本人が想定することが困難でない範囲内で変更することができ、変更する場合は、本人に通知又は本人の容易に知り得る状態におかなければならない。
② 同一事業者内における情報提供であり、第三者に該当しない場合

同一事業者で情報提供する場合は、当該個人データを第三者に提供したことにはならないので、本人の同意を得ずに情報の提供を行うことができる。
・ 当該事業者の職員を対象とした研修での利用（特定し、公表した利用目的との関係で、目的外利用として所要の措置を行う必要があり得る。）
・ 当該事業者内で経営分析を行うための情報の交換
具体的な利用方法を含め、あらためて本人の同意を得るか、個人が特定されない
ように匿名化する。
（５） その他の留意事項
・ 他の事業者への情報提供に関する留意事項
第三者提供を行う場合のほか、他の事象者への情報提供であっても、①法令に基づく場合など第三者提供の例外に該当する場合、②「第三者」に該当しない場合、③個人が特定されないように匿名化して情報提供する場合などにおいては、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないようにすべきである。
特に、医療事故等に関する情報提供に当たっては、患者・利用者及び家族等の意
思を踏まえ、報告において氏名等が必要とされる場合を除き匿名化（Ⅱ２．参照）を行う。また、医療事故発生直後にマスコミへの公表を行う場合等については、匿名化する場合であっても本人又は家族等の同意を得るよう努めるものとする。
（適切ではない例）
・ 医師及び医療機器情報担当者、医療機器販売担当者等との間で医療機器の治療効
果などについて情報交換を行う場合に、必要でない氏名等の情報を削除せずに提供
すること。

18

【法の規定により遵守すべき事項等】
・ 事業者においては、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。なお、（２）の本人の同意を得る必要がない場合に該当する場
合には、本人の同意を得る必要はない。
・ 個人データの第三者提供について本人の同意があった場合で、その後、本人から第三者提供の範囲の一部についての同意を取り消す旨の申し出があった場合は、その後の個人データの取扱いについては、本人の同意のあった範囲に限定して取扱うものとする。
【その他の事項】
・ 第三者提供に該当しない情報提供が行われる場合であっても、関係者等への通知、
ホームページ等により情報提供先をできるだけ明らかにするとともに、患者・利用者等からの問い合わせがあった場合に回答できる体制を確保する。
・ 例えば、業務委託の場合、当該事業者において委託している業務の内容、委託先
事業者、委託先事業者との間での個人情報の取扱いに関する取り決めの内容等について公開することが考えられる。

19

６．保有個人データに関する事項の公表等（本法第 24 条）（保有個人データに関する事項の公表等）
法第二十四条
個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
一 当該個人情報取扱事業者の氏名又は名称
二 すべての保有個人データの利用目的（第十八条第四項第一号から第三号までに該当する場合を除く。）
三 次項、次条第一項、第二十六条第一項又は第二十七条第一項若しくは第二項の規定による求めに応じる手続（第三十条第二項の規定により手数料の額を定めたときは、その手数料の額を含む。）
四 前三号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの
２ 個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りでない。
一 前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場
合二 第十八条第四項第一号から第三号までに該当する場合
３ 個人情報取扱事業者は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
（保有個人データの適正な取扱いの確保に関し必要な事項）
令第五条
法第二十四条第一項第四号の政令で定めるものは、次に掲げるものとする。
一 当該個人情報取扱事業者が行う保有個人データの取扱いに関する苦情の申出先
二 当該個人情報取扱事業者が認定個人情報保護団体の対象事業者である場合にあっては、当該認定個人情報保護団体の名称及び苦情の解決の申出先【本法の規定により遵守すべき事項等】
・ 事業者は、保有個人データに関し、(ア)当該個人情報取扱事業者の氏名又は名称、(イ)すべての保有個人データの利用目的（本法第18条第4項第1号から第3号までに規定された例外の場合を除く）、(ウ)保有個人データの利用目的の通知、開示、訂正、利用停止等の手続の方法、及び保有個人データの利用目的の通知又は開示に係る手数料の額、(エ)苦情処理の申出先等について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む）に置かなければならない。
・ 事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、上記の措置により利用目的が明らかになっている場合及び本法第18条第4項第1号から第3号までの例外に相当する場合を除き、遅滞なく通知しなけ
ればならない。
・ 事業者は、法定の例外事由に当たる等して、利用目的の通知をしないときは、本人に対し、遅滞なく、その旨を通知しなければならない。
20

・ 本法施行前から保有している個人情報についても同様の取扱いを行う。

７．本人からの求めによる保有個人データの開示（本法第 25 条）（開示）
法第二十五条
個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの開示（当該本人が識別される保有個人データが存在しないときにその旨を知らせることを含む。以下同じ。）を求められたときは、本人に対し、政令で定める方法により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
一 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
二 当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
三 他の法令に違反することとなる場合
２ 個人情報取扱事業者は、前項の規定に基づき求められた保有個人データの全部又は一部について開示しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
３ 他の法令の規定により、本人に対し第一項本文に規定する方法に相当する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている場合には、当該全部又は一部の保有個人データについては、同項の規定は、適用しない。
（個人情報取扱事業者が保有個人データを開示する方法）
令第六条
法第二十五条第一項の政令で定める方法は、書面の交付による方法（開示の求めを行った者が同意した方法があるときは、当該方法）とする。
（１） 開示の原則 （平成 21 年改定）
事業者は、本人から、当該本人が識別される保有個人データの開示を求められたときは、本人に対し、書面の交付による方法等により、遅滞なく、当該保有個人データを開示しなければならない。
（２） 開示の例外
開示することで、本法第25条第１項の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。具体的事例は以下のとおりである。
個々の事例への適用については個別具体的に慎重に判断することが必要である。
【本法の規定により遵守すべき事項等】
・ 事業者は、本人から、当該本人が識別される保有個人データの開示を求められたときは、本人に対し、遅滞なく、当該保有個人データを開示しなければならない。
また、当該本人が識別される保有個人データが存在しないときにその旨知らせることとする。ただし、開示することにより、本法第25条第１項の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
21

・ 開示の方法は、書面の交付又は求めを行った者が同意した方法による。
・ 事業者は、求められた保有個人データの全部又は一部について開示しない旨を決定したときは、本人に対し、遅滞なく、その旨を通知しなければならない。また、本人に通知する場合には、本人に対してその理由を説明するよう努めなければならない（Ⅲ10．参照）
・ 他の法令の規定により、保有個人データの開示について定めがある場合には、当該法令の規定によるものとする。
【その他の事項】
・ 法定代理人等、開示の求めを行い係る者から開示の求めがあった場合、原則として当事者・利用者本人に対し保有個人データの開示を行う旨の説明を行った後、法定代理人等に対して開示を行うものとする。
・ 事業者は、保有個人データの全部又は一部について開示しない旨決定した場合、本人に対するその理由の説明に当たっては、文書により示すことを基本とする。また、苦情への対応を行う体制についても併せて説明することが望ましい。

８．訂正及び利用停止（本法第 26 条、第 27 条）（訂正等）
法第二十六条
個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの内容が事実でないという理由によって当該保有個人データの内容の訂正、追加又は削除（以下この条において「訂正等」という。）を求められた場合には、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。
２ 個人情報取扱事業者は、前項の規定に基づき求められた保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をした
ときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を通知しなければならない。
（利用停止等）法第二十七条
個人情報取扱事業者は、本人から、当該本人が識別される保有個人データが第十六条の規定に違反して取り扱われているという理由又は第十七条の規定に違反して取得されたものであるという理由によって、当該保有個人データの利用の停止又は消去（以下この条において「利用停止等」という。）を求められた場合であって、その求めに理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
２ 個人情報取扱事業者は、本人から、当該本人が識別される保有個人データが第二十三条第一項の規定に違反して第三者に提供されているという理由によって、当該保有個人データの第三者への提供の停止を求められた場合であって、その求めに理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費
22

用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
３ 個人情報取扱事業者は、第一項の規定に基づき求められた保有個人データの全部若
しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は前項の規定に基づき求められた保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
【本法の規定により遵守すべき事項等】
・ 事業者は、本法第26条、第27条第1項又は第2項の規定に基づき、本人から、保有個人データの訂正等、利用停止等、第三者への提供の停止を求められた場合で、それらの求めが適正であると認められるときは、これらの措置を行わなければならない。
・ ただし、利用停止等及び第三者への提供の停止については、利用停止等に多額の費用を要する場合など当該措置を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
・ なお、以下の場合については、これらの措置を行う必要はない。
① 訂正等の求めがあった場合であっても、（ア）利用目的から見て訂正等が必要でない場合、（イ）誤りである指摘が正しくない場合又は（ウ）訂正等の対象が事実でなく評価に関する情報である場合② 利用停止等、第三者への提供の停止の求めがあった場合であっても、手続違反等の指摘が正しくない場合
・ 事業者は、上記の措置を行ったとき、又は行わない旨を決定したときは、本人に対し、遅滞なく、その旨を通知しなければならない。また、本人に通知する場合には、本人に対してその理由を説明するよう努めなければならない（Ⅲ10．参照）。
【その他の事項】
・ 事業者は、訂正等、利用停止等又は第三者への提供の停止が求められた保有個人
データの全部又は一部について、これらの措置を行わない旨決定した場合、本人に対するその理由の説明に当たっては、文書により示すことを基本とする。その際は、苦情への対応を行う体制についても併せて説明することが望ましい。
・ 保有個人データの訂正等にあたっては、訂正した者、内容、日時等が分かるように行われなければならない。
・ 保有個人データの字句などを不当に変える改ざんは、行ってはならない。

23９．開示等の求めに応じる手続及び手数料（本法第 29 条、第 30 条）（開示等の求めに応じる手続）
法第二十九条
個人情報取扱事業者は、第二十四条第二項、第二十五条第一項、第二十六条第一項
又は第二十七条第一項若しくは第二項の規定による求め（以下この条において「開示等の求め」という。）に関し、政令で定めるところにより、その求めを受け付ける方法を定めることができる。この場合において、本人は、当該方法に従って、開示等の求めを行わなければならない。
２ 個人情報取扱事業者は、本人に対し、開示等の求めに関し、その対象となる保有個人データを特定するに足りる事項の提示を求めることができる。この場合において、個人情報取扱事業者は、本人が容易かつ的確に開示等の求めをすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。
３ 開示等の求めは、政令で定めるところにより、代理人によってすることができる。
４ 個人情報取扱事業者は、前三項の規定に基づき開示等の求めに応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならな
い。
（手数料）
法第三十条
個人情報取扱事業者は、第二十四条第二項の規定による利用目的の通知又は第二十五条第一項の規定による開示を求められたときは、当該措置の実施に関し、手数料を徴収することができる。
２ 個人情報取扱事業者は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。
（開示等の求めを受け付ける方法）
令第七条
法第二十九条第一項の規定により個人情報取扱事業者が開示等の求めを受け付ける方法として定めることができる事項は、次に掲げるとおりとする。
一 開示等の求めの申出先
二 開示等の求めに際して提出すべき書面（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られる記録を含む。）の様式その他の開示等の求めの方式
三 開示等の求めをする者が本人又は次条に規定する代理人であることの確認の方法
法第三十条第一項の手数料の徴収方法（１） 開示等を行う情報の特定事業者は、本人に対し、開示等の対象となる保有個人データを特定するに足りる事
項の提示を求めることができるが、この場合には、本人が容易かつ的確に開示等の求めをすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した措置をとらなければならない。
また、保有個人データの開示等については、本人の求めにより、保有個人データの全体又は一部が対象となるが、当該本人の保有個人データが多岐にわたる、データ量が膨大であるなど、全体の開示等が困難又は非効率な場合は、事業者は、本人が開示
24

等の求めを行う情報の範囲を特定するのに参考となる情報を提供するなど、本人の利便を考慮した支援を行うものとする。
（２） 代理人による開示等の求め
保有個人データの開示等については、本人のほか、①未成年者又は成年被後見人の法定代理人、②開示等の求めをすることにつき本人が委任した代理人により行うことができる。
【本法の規定により遵守すべき事項等】
・ 事業者は、保有個人データの開示等の求めに関し、本人に過重な負担を課すものとならない範囲において、以下の事項について、その求めを受け付ける方法を定めることができる。
（ア） 開示等の求めの受付先（イ） 開示等の求めに際して提出すべき書面の様式、その他の開示等の求めの受付方法（ウ） 開示等の求めをする者が本人又はその代理人であることの確認の方法（エ） 保有個人データの利用方法の通知、又は保有個人データの開示をする際に徴収する手数料の徴収方法
・ 事業者は、本人に対し、開示等の求めに関して、その対象となる保有個人データを特定するに足りる事項（住所、ID、パスワード、会員番号等）の開示を求めることができる。なお、本人が容易に自己のデータを特定できるよう、自己の保有個人
データの特定に資する情報の提供その他本人の利便を考慮した措置をとらなければならない。
・ 保有個人データの開示の求めは、本人の他、未成年者又は成年被後見人の法定代理人、当該求めをすることにつき本人が委任した代理人によってすることができる。
本人又はその代理人であることの確認の方法は、事業の性質、保有個人データの取扱い状況、開示等の求めの受付方法等に応じ、適切なものでなければならず、本人確認のために事業者が保有している個人データに比して必要以上に多くの情報を求めないようにするなど、本人に過重な負担を課すものとならないよう配慮しなければならない。
・ 事業者は、保有個人データの開示等の利用目的の通知、又は保有個人データの開示を求められたときは、当該措置の実施に関し、手数料を徴収することができ、その際には実費を勘案して合理的と認められる範囲内において、手数料の額を定めなければならない。
・ 事業者は、開示等の求めを受け付ける方法を定めた場合には本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む）に置いておかなければならない。（Ⅲ６．参照）【その他の事項】
・ 事業者は、以下の点に留意しつつ、保有個人データの開示等の手続きを定めることが望ましい。
‒ 開示等の求めは書面によることが望ましいが、利用者等の自由な求めを阻害しな
いため、開示等の理由を求めてはならない。
‒ 開示等を求める本人（又は代理人）であることを確認する。
‒ 開示等の求めがあった場合、速やかに保有個人データの開示等をするか否か等を決定し、これを開示等の求めを行った者に通知する。
‒ 保有個人データの開示等の求めに応じる手続き定める場合には、本人に過重な負25

担を課すものとならない範囲で、方法等を指定することができる。
‒ 保有個人データについての開示の可否については、事業者の内部に設置する委員会等において検討した上で速やかに決定することが望ましい。

１０．理由の説明、苦情処理（本法第 28 条、第 31 条）（理由の説明）
法第二十八条
個人情報取扱事業者は、第二十四条第三項、第二十五条第二項、第二十六条第二項又は前条第三項の規定により、本人から求められた措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、その理由を説明するよう努めなければならない。
（個人情報取扱事業者による苦情の処理）
法第三十一条
個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
２ 個人情報取扱事業者は、前項の目的を達成するために必要な体制の整備に努めなければならない。

【本法の規定により遵守すべき事項等】
・ 事業者は、本人から求められた保有個人データの利用目的の通知、開示、訂正等、
利用停止等において、その措置をとらない旨又はその措置と異なる措置をとる旨本人に通知する場合は、本人に対して、その理由を説明するよう努めなければならない。
・ 事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。また、事業者は、苦情の適切かつ迅速な処理を行うにあたり、相談窓口
機能等の整備や苦情への対応の手順を定めるなど必要な体制の整備に努めなければならない。しかしながら、無理な要求にまで応じなければならないものではない。
【その他の事項】
・ 事業者は、本人に対して理由を説明する際には、文書により示すことを基本とする。その際は、苦情への対応を行う体制についても併せて説明することが望ましい。
・ 事業者は、当事者・利用者本人等からの苦情対応にあたり、専用の窓口の設置や関係部署等の担当スタッフ以外の職員による相談体制を確保するなど、当事者・利用者本人等が相談を行いやすい環境の整備に努める。
・ 事業者は、当該施設における当事者・利用者本人等からの苦情への対応を行う体
制等についてホームページへの掲載等を行うことで当事者・利用者本人等に対して周知を図る。

26

Ⅳ．本ガイドラインの見直し
個人情報の保護に関する考え方は、社会情勢や国民の意識の変化に対応して変化していくものと考えられる。本ガイドラインについても、必要に応じ、検討及び見直しを行うものとする。

Ⅴ．本ガイドラインの発効
本ガイドラインは、平成 17 年４月 1 日に発効する。
本ガイドラインは、平成 23 年 3 月 31 日に改定し、同日より発行とする。

27

【別表１】

個人情報の保護に関する法令、基本方針、指針及び通知

法令○ 個人情報の保護に関する法律（平成 15 年 5 月 30 日法律第 57 号）（平成 21 年 6 月 5 日
一部改正法律第 49 号）○ 個人情報の保護に関する法律施行令（平成 15 年 12 月 10 日政令第 507 号）（平成 20 年
5 月 1 日一部改正政令第 166 号）
基本方針、指針及び通知○ 個人情報の保護に関する基本方針（平成 16 年 4 月 2 日閣議決定）（平成 21 年 9 月 1 日
一部改正）○ 医療・介護関係事業者における個人情報の適切な取扱いのためのガイドライン（平成16 年 12 月 24 日厚生労働省医政局長・医薬食品局長・老健局長通達、平成 18 年 4 月 21日）
○ 労働者の個人情報保護に関する行動指針（平成 12 年 12 月 20 日）○ 雇用管理に関する個人情報の適正な取扱いを確保するために事業者が講ずべき措置に関する指平成 16 年 7 月 1 日厚生労働省告示第 259 号）○ 雇用管理に関する個人情報のうち健康情報を取り扱うに当たっての留意事項について（平成 16 年 10 月 29 日厚生労働省労働基準局長通知）○ 健康保険組合等における個人情報の適切な取扱いのためのガイドライン（平成 16 年
12 月 27 日厚生労働省保険局長通知）○ ヒトゲノム・遺伝子解析研究に関する倫理指針（平成 16 年 12 月 28 日文部科学省・厚生労働省・経済産業省告示第 1 号）（平成 16 年 12 月 28 日告示改正）○ 遺伝子治療臨床研究に関する指針（平成 14 年文部科学省・厚生労働省告示第 1 号）
（平成 16 年 12 月 28 日改正）
○ 疫学研究に関する倫理指針（平成 14 年文部科学省・厚生労働省告示第 2 号）
（平成 16
年 12 月 28 日告示改正）（平成 20 年 12 月 1 日一部改正）○ 臨床研究に関する倫理指針（平成 16 年 12 月 28 日厚生労働省告示第 459 号）（平成 20年厚生労働省告示第 415 号）○ ヒト幹細胞を用いる臨床研究に関する指針（平成 18 年 7 月 3 日厚生労働省告示）28

【別表２】利用目的の例
次の利用目的など、当社の医療機器製造及び販売の事業のために個人情報を利用する。
１ 医師、歯科医師、薬剤師、看護師、診療放射線技師、臨床検査技師、臨床工学技士その他の医療関係者の方に関する個人情報の利用目的
・ 医療機器の適正使用に関する情報の提供・収集
・ 医療機器の品質、安全性又は有効性に関する情報の提供・収集・ 医学・医療機器分野における調査・研究
・ 医療情報・学術情報の提供・収集
・ 医療関係者のためのインターネット・サイトの会員認証及び会員への連絡・ 治験、市販後調査等の依頼及び実施
・ 官公庁への届出・報告
２ 顧客担当部門、広報部、その他の会社窓口のご利用者の方に関する個人情報の利用目
的・ ご相談、ご連絡等の内容の検討、調査及び対応
・ 製品の製造者、販売者、医療関係者等への連絡・提供
・ 官公庁への届出・報告
３ 株主の方に関する個人情報の利用目的・ 商法に定められた義務の履行及び株主権利のご行使への対応
・ 事業報告書その他の配布物の送付
４ 採用応募者の方に関する個人情報の利用目的
・ 採否の検討及び決定
５ 従業員に関する個人情報の利用目的
・ 勤務、給与の支払い、人事、評価、能力開発、福利、安全衛生などの管理
・ 労働組合、共済会、健康保険組合、子会社及び関係会社への連絡・提供
・ 官公庁への届出・報告※ 上記は例にすぎず、各事業者は、実際の利用目的、そして、自らの事業形態や製商品等に照らして必要とされるものを検討・特定し、通知又は公表することになる。

29

【参考資料】

個人情報の保護に関する法律（平成一五年五月三十日法律第五十七号）
最終改正：平成二十一年六月五日法律第四十九号
目次
第一章 総則（第一条－第三条）
第二章国及び地方公共団体の責務等（第四条－第六条）
第三章個人情報の保護に関する施策等
第一節 個人情報の保護に関する基本方針（第七条）
第二節 国の施策（第八条－第十条）
第三節 地方公共団体の施策（第十一条－第十三条）
第四節 国及び地方公共団体の協力（第十四条）
第四章 個人情報取扱事業者の義務等
第一節 個人情報取扱事業者の義務（第十五条－第三十六条）
第二節 民間団体による個人情報の保護の推進（第三十七条－第四十九条）
第五章 雑則（第五十条－第五十五条）
第六章 罰則（第五十六条－第五十九条）
附則
第一章 総則第一条（目的）
この法律は、高度情報通信社会の進展に伴い個人情報の利用が著しく拡大していることにかんがみ、個人情報の適正な取扱いに関し、基本理念及び政府による基本方針の作成その他の個人情報の保護に関する施策の基本となる事項を定め、国及び地方公共団体の責務等を明らかにするとともに、個人情報を取り扱う事業者の遵守すべき義務等を定めることにより、個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする。

第二条（定義）
この法律において「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう。
２ この法律において「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるものをいう。
一 特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの
二 前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの
３ この法律において「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者をいう。ただし、次に掲げる者を除く。
30

国の機関
二 地方公共団体
三 独立行政法人等（独立行政法人等の保有する個人情報の保護に関する法律（平成十五年法律第五十四 九号）第二条第一項に規定する独立行政法人等をいう。以下同じ。
）
五 四 地方独立行政法人（地方独立行政法人法（平成十五年法律第百十八号）第二条
第一項に規定する地
六 方独立行政法人をいう。以下同じ。
）
七 五その取り扱う個人情報の量及び利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定める者
４ この法律において「個人データ」とは、個人情報データベース等を構成する個人情報をいう。
５ この法律において「保有個人データ」とは、個人情報取扱事業者が、開示、内容の訂
正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの又は一年以内の政令で定める期間以内に消去す
ることとなるもの以外のものをいう。
６ この法律において個人情報について「本人」とは、個人情報によって識別される特定の個人をいう。
一

第三条（基本理念）
個人情報は、個人の人格尊重の理念の下に慎重に取り扱われるべきものであることにかんがみ、その適正な取扱いが図られなければならない。

第二章

国及び地方公共団体の責務等

第四条（国の責務）
国は、この法律の趣旨にのっとり、個人情報の適正な取扱いを確保するために必要な施策を総合的に策定し、及びこれを実施する責務を有する。
第五条（地方公共団体の責務）
地方公共団体は、この法律の趣旨にのっとり、その地方公共団体の区域の特性に応じて、個人情報の適正な取扱いを確保するために必要な施策を策定し、及びこれを実施する責務を有する。
第六条（法制上の措置等）
政府は、個人情報の性質及び利用方法にかんがみ、個人の権利利益の一層の保護を図るため特にその適正な取扱いの厳格な実施を確保する必要がある個人情報について、保護のための格別の措置が講じられるよう必要な法制上の措置その他の措置を講ずるもの
とする。

第三章

個人情報の保護に関する施策等

第一節 個人情報の保護に関する基本方針
第七条
政府は、個人情報の保護に関する施策の総合的かつ一体的な推進を図るため、個人情
31

報の保護に関する基本方針（以下「基本方針」という。）を定めなければならない。
２ 基本方針は、次に掲げる事項について定めるものとする。
一 個人情報の保護に関する施策の推進に関する基本的な方向
二 国が講ずべき個人情報の保護のための措置に関する事項
三 地方公共団体が講ずべき個人情報の保護のための措置に関する基本的な事項
四 独立行政法人等が講ずべき個人情報の保護のための措置に関する基本的な事項
五 地方独立行政法人が講ずべき個人情報の保護のための措置に関する基本的な事項
六 個人情報取扱事業者及び第四十条第一項に規定する認定個人情報保護団体が講ずべき個人情報の保護のための措置に関する基本的な事項
七 個人情報の取扱いに関する苦情の円滑な処理に関する事項
八 その他個人情報の保護に関する施策の推進に関する重要事項
３ 内閣総理大臣は、消費者委員会の意見を聴いて、基本方針の案を作成し、閣議の決定を求めなければならない。
４ 内閣総理大臣は、前項の規定による閣議の決定があったときは、遅滞なく、基本方針を公表しなければならない。
５ 前二項の規定は、基本方針の変更について準用する。
第二節 国の施策（地方公共団体等への支援）
第八条
国は、地方公共団体が策定し、又は実施する個人情報の保護に関する施策及び国民又は事業者等が個人情報の適正な取扱いの確保に関して行う活動を支援するため、情報の提供、事業者等が講ずべき措置の適切かつ有効な実施を図るための指針の策定その他の必要な措置を講ずるものとする。
第九条（苦情処理のための措置）
国は、個人情報の取扱いに関し事業者と本人との間に生じた苦情の適切かつ迅速な処理を図るために必要な措置を講ずるものとする。
第十条（個人情報の適正な取扱いを確保するための措置）
国は、地方公共団体との適切な役割分担を通じ、次章に規定する個人情報取扱事業者
による個人情報の適正な取扱いを確保するために必要な措置を講ずるものとする。
第三節 地方公共団体の施策（地方公共団体等が保有する個人情報の保護）
第十一条
地方公共団体は、その保有する個人情報の性質、当該個人情報を保有する目的等を勘案し、その保有する個人情報の適正な取扱いが確保されるよう必要な措置を講ずることに努めなければならない。
２ 地方公共団体は、その設立に係る地方独立行政法人について、その性格及び業務内容に応じ、その保有する個人情報の適正な取扱いが確保されるよう必要な措置を講ずることに努めなければならない。
第十二条（区域内の事業者等への支援）
地方公共団体は、個人情報の適正な取扱いを確保するため、その区域内の事業者及び住民に対する支援に必要な措置を講ずるよう努めなければならない。
32

第十三条（苦情の処理のあっせん等）
地方公共団体は、個人情報の取扱いに関し事業者と本人との間に生じた苦情が適切かつ迅速に処理されるようにするため、苦情の処理のあっせんその他必要な措置を講ずるよう努めなければならない。
第四節 国及び地方公共団体の協力
第十四条
国及び地方公共団体は、個人情報の保護に関する施策を講ずるにつき、相協力するも
のとする。

第四章

個人情報取扱事業者の義務等

第一節 個人情報取扱事業者の義務第十五条（利用目的の特定）
個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。
２ 個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。
第十六条（利用目的による制限）
個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
２ 個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
３ 前二項の規定は、次に掲げる場合については、適用しない。
一 法令に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
第十七条（適正な取得）
個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。
第十八条（取得に際しての利用目的の通知等）
個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければ
ならない。
33

２ 個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られる記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、
この限りでない。
３ 個人情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
４ 前三項の規定は、次に掲げる場合については、適用しない。
一 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
二 利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合
三 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
四 取得の状況からみて利用目的が明らかであると認められる場合第十九条（データ内容の正確性の確保）
個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めなければならない。
第二十条（安全管理措置）
個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その
他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
第二十一条（従業者の監督）
個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
第二十二条（委託先の監督）
個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
第二十三条（第三者提供の制限）
個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
一 法令に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
34

三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
２ 個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。
一 第三者への提供を利用目的とすること。
二 第三者に提供される個人データの項目
三 第三者への提供の手段又は方法
四 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
３ 個人情報取扱事業者は、前項第二号又は第三号に掲げる事項を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
４ 次に掲げる場合において、当該個人データの提供を受ける者は、前三項の規定の適用については、第三者に該当しないものとする。
一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託する場合
二 合併その他の事由による事業の承継に伴って個人データが提供される場合
三 個人データを特定の者との間で共同して利用する場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。
５ 個人情報取扱事業者は、前項第三号に規定する利用する者の利用目的又は個人データの管理について責任を有する者の氏名若しくは名称を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
第二十四条（保有個人データに関する事項の公表等）
個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
一 当該個人情報取扱事業者の氏名又は名称
二 すべての保有個人データの利用目的(第十八条第四項第一号から第三号までに該当する場合を除く。)
三 次項、次条第一項、第二十六条第一項又は第二十七条第一項若しくは第二項の規定による求めに応じる手続（第三十条第二項の規定により手数料の額を定めたときは、その手数料の額を含む。）
四 前三号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの
35

２ 個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。
ただし、次の各号のいずれかに該当する場合は、この限りでない。
一 前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合
二 第十八条第四項第一号から第三号までに該当する場合
３
個人情報取扱事業者は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
第二十五条（開示）
個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの開示（当該本人が識別される保有個人データが存在しないときにその旨を知らせることを含む。
以下同じ。）を求められたときは、本人に対し、政令で定める方法により、遅滞なく、
当該保有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
一 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
二 当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場
合三 他の法令に違反することとなる場合
２ 個人情報取扱事業者は、前項の規定に基づき求められた保有個人データの全部又は一部について開示しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
３ 他の法令の規定により、本人に対し第一項本文に規定する方法に相当する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている場合には、当該全部又は一部の保有個人データについては、同項の規定は、適用しない。
第二十六条（訂正等）
個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの内容が事実でないという理由によって当該保有個人データの内容の訂正、追加又は削除（以下この条において「訂正等」という。）を求められた場合には、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人デー
タの内容の訂正等を行わなければならない。
２ 個人情報取扱事業者は、前項の規定に基づき求められた保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を通知しなければならない。
第二十七条（利用停止等）
個人情報取扱事業者は、本人から、当該本人が識別される保有個人データが第十六条の規定に違反して取り扱われているという理由又は第十七条の規定に違反して取得されたものであるという理由によって、当該保有個人データの利用の停止又は消去（以下この条において「利用停止等」という。）を求められた場合であって、その求めに理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有36個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
２ 個人情報取扱事業者は、本人から、当該本人が識別される保有個人データが第二十三条第一項の規定に違反して第三者に提供されているという理由によって、当該保有個人データの第三者への提供の停止を求められた場合であって、その求めに理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する
場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
３ 個人情報取扱事業者は、第一項の規定に基づき求められた保有個人データの全部若し
くは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は前項の規定に基づき求められた保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をした
ときは、本人に対し、遅滞なく、その旨を通知しなければならない。
第二十八条（理由の説明）
個人情報取扱事業者は、第二十四条第三項、第二十五条第二項、第二十六条第二項又は前条第三項の規定により、本人から求められた措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、その理由を説明するよう努めなければならない。
第二十九条（開示等の求めに応じる手続）
個人情報取扱事業者は、第二十四条第二項、第二十五条第一項、第二十六条第一項又は第二十七条第一項若しくは第二項の規定による求め（以下この条において「開示等の求め」という。）に関し、政令で定めるところにより、その求めを受け付ける方法を定めることができる。この場合において、本人は、当該方法に従って、開示等の求めを行わなければならない。
２ 個人情報取扱事業者は、本人に対し、開示等の求めに関し、その対象となる保有個人
データを特定するに足りる事項の提示を求めることができる。この場合において、個人情報取扱事業者は、本人が容易かつ的確に開示等の求めをすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。
３ 開示等の求めは、政令で定めるところにより、代理人によってすることができる。
４ 個人情報取扱事業者は、前三項の規定に基づき開示等の求めに応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。
第三十条（手数料）
個人情報取扱事業者は、第二十四条第二項の規定による利用目的の通知又は第二十五条第一項の規定による開示を求められたときは、当該措置の実施に関し、手数料を徴収することができる。
２ 個人情報取扱事業者は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。
37

第三十一条（個人情報取扱事業者による苦情の処理）
個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
２
個人情報取扱事業者は、前項の目的を達成するために必要な体制の整備に努めなければならない。
第三十二条（報告の徴収）
主務大臣は、この節の規定の施行に必要な限度において、個人情報取扱事業者に対し、個人情報の取扱いに関し報告をさせることができる。
第三十三条（助言）
主務大臣は、この節の規定の施行に必要な限度において、個人情報取扱事業者に対し、個人情報の取扱いに関し必要な助言をすることができる。
第三十四条（勧告及び命令）
主務大臣は、個人情報取扱事業者が第十六条から第十八条まで、第二十条から第二十七条まで又は第三十条第二項の規定に違反した場合において個人の権利利益を保護するため必要があると認めるときは、当該個人情報取扱事業者に対し、当該違反行為の中止
その他違反を是正するために必要な措置をとるべき旨を勧告することができる。
２ 主務大臣は、前項の規定による勧告を受けた個人情報取扱事業者が正当な理由がなくてその勧告に係る措置をとらなかった場合において個人の重大な権利利益の侵害が切迫していると認めるときは、当該個人情報取扱事業者に対し、その勧告に係る措置をとるべきことを命ずることができる。
３ 主務大臣は、前二項の規定にかかわらず、個人情報取扱事業者が第十六条、第十七条、第二十条から第二十二条まで又は第二十三条第一項の規定に違反した場合において個人の重大な権利利益を害する事実があるため緊急に措置をとる必要があると認めるときは、
当該個人情報取扱事業者に対し、当該違反行為の中止その他違反を是正するために必要な措置をとるべきことを命ずることができる。
第三十五条（主務大臣の権限の行使の制限）
主務大臣は、前三条の規定により個人情報取扱事業者に対し報告の徴収、助言、勧告
又は命令を行うに当たっては、表現の自由、学問の自由、信教の自由及び政治活動の自由を妨げてはならない。
２ 前項の規定の趣旨に照らし、主務大臣は、個人情報取扱事業者が第五十条第一項各号に掲げる者（それぞれ当該各号に定める目的で個人情報を取り扱う場合に限る。）に対して個人情報を提供する行為については、その権限を行使しないものとする。
第三十六条（主務大臣）
この節の規定における主務大臣は、次のとおりとする。ただし、内閣総理大臣は、この節の規定の円滑な実施のため必要があると認める場合は、個人情報取扱事業者が行う個人情報の取扱いのうち特定のものについて、特定の大臣又は国家公安委員会（以下「大臣等」という。）を主務大臣に指定することができる。
一 個人情報取扱事業者が行う個人情報の取扱いのうち雇用管理に関するものについて
38

は、厚生労働大臣（船員の雇用管理に関するものについては、国土交通大臣）及び当該個人情報取扱事業者が行う事業を所管する大臣等
二 個人情報取扱事業者が行う個人情報の取扱いのうち前号に掲げるもの以外のものについては、当該個人情報取扱事業者が行う事業を所管する大臣等
２ 内閣総理大臣は、前項ただし書の規定により主務大臣を指定したときは、その旨を公示しなければならない。
３ 各主務大臣は、この節の規定の施行に当たっては、相互に緊密に連絡し、及び協力しなければならない。
第二節 民間団体による個人情報の保護の推進
第三十七条（認定）
個人情報取扱事業者の個人情報の適正な取扱いの確保を目的として次に掲げる業務を行おうとする法人(法人でない団体で代表者又は管理人の定めのあるものを含む。次条
第三号ロにおいて同じ。）は、主務大臣の認定を受けることができる。
一 業務の対象となる個人情報取扱事業者（以下「対象事業者」という。
）の個人情報の取扱いに関する第四十二条の規定による苦情の処理
二 個人情報の適正な取扱いの確保に寄与する事項についての対象事業者に対する情報の提供
三 前二号に掲げるもののほか、対象事業者の個人情報の適正な取扱いの確保に関し必要な業務
２ 前項の認定を受けようとする者は、政令で定めるところにより、主務大臣に申請しなければならない。
３ 主務大臣は、第一項の認定をしたときは、その旨を公示しなければならない。
第三十八条（欠格条項）
次の各号のいずれかに該当する者は、前条第一項の認定を受けることができない。
一 この法律の規定により刑に処せられ、その執行を終わり、又は執行を受けることがなくなった日から二年を経過しない者
二 第四十八条第一項の規定により認定を取り消され、その取消しの日から二年を経過しない者
三 その業務を行う役員（法人でない団体で代表者又は管理人の定めのあるものの代表者又は管理人を含む。以下この条において同じ。）のうちに、次のいずれかに該当する者があるものイ） 禁錮以上の刑に処せられ、又はこの法律の規定により刑に処せられ、その執行を終わり、又は執行を受けることがなくなった日から二年を経過しない者ロ） 第四十八条第一項の規定により認定を取り消された法人において、その取消しの日前三十日以内にその役員であった者でその取消しの日から二年を経過しない者
第三十九条（認定の基準）
主務大臣は、第三十七条第一項の認定の申請が次の各号のいずれにも適合していると認めるときでなければ、その認定をしてはならない。
一 第三十七条第一項各号に掲げる業務を適正かつ確実に行うに必要な業務の実施の方法が定められているものであること。
二 第三十七条第一項各号に掲げる業務を適正かつ確実に行うに足りる知識及び能力並
39

びに経理的基礎を有するものであること。
三 第三十七条第一項各号に掲げる業務以外の業務を行っている場合には、その業務を行うことによって同項各号に掲げる業務が不公正になるおそれがないものであること。
第四十条（廃止の届出）
第三十七条第一項の認定を受けた者（以下「認定個人情報保護団体」という。）は、その認定に係る業務（以下「認定業務」という。）を廃止しようとするときは、政令で定めるところにより、あらかじめ、その旨を主務大臣に届け出なければならない。
２ 主務大臣は、前項の規定による届出があったときは、その旨を公示しなければならない。
第四十一条（対象事業者）
認定個人情報保護団体は、当該認定個人情報保護団体の構成員である個人情報取扱事業者又は認定業務の対象となることについて同意を得た個人情報取扱事業者を対象事業者としなければならない。
２ 認定個人情報保護団体は、対象事業者の氏名又は名称を公表しなければならない。
第四十二条（苦情の処理）
認定個人情報保護団体は、本人等から対象事業者の個人情報の取扱いに関する苦情について解決の申出があったときは、その相談に応じ、申出人に必要な助言をし、その苦情に係る事情を調査するとともに、当該対象事業者に対し、その苦情の内容を通知してその迅速な解決を求めなければならない。
２ 認定個人情報保護団体は、前項の申出に係る苦情の解決について必要があると認める
ときは、当該対象事業者に対し、文書若しくは口頭による説明を求め、又は資料の提出を求めることができる。
３ 対象事業者は、認定個人情報保護団体から前項の規定による求めがあったときは、正当な理由がないのに、これを拒んではならない。
第四十三条（個人情報保護指針）
認定個人情報保護団体は、対象事業者の個人情報の適正な取扱いの確保のために、利用目的の特定、安全管理のための措置、本人の求めに応じる手続その他の事項に関し、この法律の規定の趣旨に沿った指針（以下「個人情報保護指針」という。）を作成し、公表するよう努めなければならない。
２ 認定個人情報保護団体は、前項の規定により個人情報保護指針を公表したときは、対象事業者に対し、当該個人情報保護指針を遵守させるため必要な指導、勧告その他の措置をとるよう努めなければならない。
第四十四条（目的外利用の禁止)
認定個人情報保護団体は、認定業務の実施に際して知り得た情報を認定業務の用に供する目的以外に利用してはならない。
第四十五条（名称の使用制限）
認定個人情報保護団体でない者は、認定個人情報保護団体という名称又はこれに紛らわしい名称を用いてはならない。
40

第四十六条（報告の徴収）
主務大臣は、この節の規定の施行に必要な限度において、認定個人情報保護団体に対し、認定業務に関し報告をさせることができる。
第四十七条（命令）主務大臣は、この節の規定の施行に必要な限度において、認定個人情報保護団体に対し、認定業務の実施の方法の改善、個人情報保護指針の変更その他の必要な措置をとるべき旨を命ずることができる。
第四十八条（認定の取消し）
主務大臣は、認定個人情報保護団体が次の各号のいずれかに該当するときは、その認定を取り消すことができる。
一 第三十八条第一号又は第三号に該当するに至ったとき。
二 第三十九条各号のいずれかに適合しなくなったとき。
三 第四十四条の規定に違反したとき。
四 前条の命令に従わないとき。
五 不正の手段により第三十七条第一項の認定を受けたとき。
２ 主務大臣は、前項の規定により認定を取り消したときは、その旨を公示しなければならない。
第四十九条（主務大臣）
この節の規定における主務大臣は、次のとおりとする。ただし、内閣総理大臣は、この節の規定の円滑な実施のため必要があると認める場合は、第三十七条第一項の認定を受けようとする者のうち特定のものについて、特定の大臣等を主務大臣に指定することができる。
一 設立について許可又は認可を受けている認定個人情報保護団体（第三十七条第一項の認定を受けようとする者を含む。次号において同じ。）については、その設立の許
可又は認可をした大臣等
二 前号に掲げるもの以外の認定個人情報保護団体については、当該認定個人情報保護団体の対象事業者が行う事業を所管する大臣等
２ 内閣総理大臣は、前項ただし書の規定により主務大臣を指定したときは、その旨を公示しなければなない。

第五章

雑則

第五十条（適用除外）
個人情報取扱事業者のうち次の各号に掲げる者については、その個人情報を取り扱う
目的の全部又は一部がそれぞれ当該各号に規定する目的であるときは、前章の規定は、適用しない。
一 放送機関、新聞社、通信社その他の報道機関（報道を業として行う個人を含む。）
報道の用に供する目的
二 著述を業として行う者 著述の用に供する目的
三 大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者 学術研究の用に供する目的
41

四 宗教団体

宗教活動（これに付随する活動を含む。）の用に供する目的
五 政治団体 政治活動（これに付随する活動を含む。
）の用に供する目的
２ 前項第一号に規定する「報道」とは、不特定かつ多数の者に対して客観的事実を事実として知らせること（これに基づいて意見又は見解を述べることを含む。）をいう。
３ 第一項各号に掲げる個人情報取扱事業者は、個人データの安全管理のために必要かつ適切な措置、個人情報の取扱いに関する苦情の処理その他の個人情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなけ
ればならない。
第五十一条（地方公共団体が処理する事務）
この法律に規定する主務大臣の権限に属する事務は、政令で定めるところにより、地方公共団体の長その他の執行機関が行うこととすることができる。
第五十二条（権限又は事務の委任）
この法律により主務大臣の権限又は事務に属する事項は、政令で定めるところにより、その所属の職員に委任することができる。
第五十三条（施行の状況の公表）
内閣総理大臣は、関係する行政機関（法律の規定に基づき内閣に置かれる機関（内閣府を除く。）及び内閣の所轄の下に置かれる機関、内閣府、宮内庁、内閣府設置法（平成十一年法律第八十九号）第四十九条第一項及び第二項に規定する機関並びに国家行政組織法（昭和二十三年法律第百二十号）第三条第二項に規定する機関をいう。次条において同じ。）の長に対し、この法律の施行の状況について報告を求めることができる。
２ 内閣総理大臣は、毎年度、前項の報告を取りまとめ、その概要を公表するものとする。
第五十四条（連絡及び協力）
内閣総理大臣及びこの法律の施行に関係する行政機関の長は、相互に緊密に連絡し、及び協力しなければならない。
第五十五条（政令への委任）
この法律に定めるもののほか、この法律の実施のため必要な事項は、政令で定める。

第六章

罰則

第五十六条
第三十四条第二項又は第三項の規定による命令に違反した者は、六月以下の懲役又は三十万円以下の罰金に処する。
第五十七条
第三十二条又は第四十六条の規定による報告をせず、又は虚偽の報告をした者は、三十万円以下の罰金に処する。
第五十八条
法人（法人でない団体で代表者又は管理人の定めのあるものを含む。以下この項において同じ。）の代表者又は法人若しくは人の代理人、使用人その他の従業者が、その法42

人又は人の業務に関して、前二条の違反行為をしたときは、行為者を罰するほか、その法人又は人に対しても、各本条の罰金刑を科する。
２ 法人でない団体について前項の規定の適用がある場合には、その代表者又は管理人が、その訴訟行為につき法人でない団体を代表するほか、法人を被告人又は被疑者とする場
合の刑事訴訟に関する法律の規定を準用する。
第五十九条
次の各号のいずれかに該当する者は、十万円以下の過料に処する。
一 第四十条第一項の規定による届出をせず、又は虚偽の届出をした者
二 第四十五条の規定に違反した者
附 則 抄
第一条（施行期日）
この法律は、公布の日から施行する。ただし、第四章から第六章まで及び附則第二条から第六条までの規定は、公布の日から起算して二年を超えない範囲内において政令で定める日から施行する。
第二条（本人の同意に関する経過措置）
この法律の施行前になされた本人の個人情報の取扱いに関する同意がある場合において、その同意が第十五条第一項の規定により特定される利用目的以外の目的で個人情報を取り扱うことを認める旨の同意に相当するものであるときは、第十六条第一項又は第二項の同意があったものとみなす。
第三条
この法律の施行前になされた本人の個人情報の取扱いに関する同意がある場合において、その同意が第二十三条第一項の規定による個人データの第三者への提供を認める旨の同意に相当するものであるときは、同項の同意があったものとみなす。
第四条（通知に関する経過措置）
第二十三条第二項の規定により本人に通知し、又は本人が容易に知り得る状態に置かなければならない事項に相当する事項について、この法律の施行前に、本人に通知されているときは、当該通知は、同項の規定により行われたものとみなす。
第五条
第二十三条第四項第三号の規定により本人に通知し、又は本人が容易に知り得る状態に置かなければならない事項に相当する事項について、この法律の施行前に、本人に通知されているときは、当該通知は、同号の規定により行われたものとみなす。
第六条（名称の使用制限に関する経過措置）
この法律の施行の際現に認定個人情報保護団体という名称又はこれに紛らわしい名称を用いている者については、第四十五条の規定は、同条の規定の施行後六月間は、適用しない。
附則（平成十五年法律第六十一号）抄
43

第一条（施行期日）
この法律は、行政機関の保有する個人情報の保護に関する法律の施行の日から施行する。
第四条（その他の経過措置の政令への委任）
前二条に定めるもののほか、この法律の施行に関し必要な経過措置は、政令で定める。
附 則（平成十五年法律第百十九号）抄
第一条（施行期日）
この法律は、地方独立行政法人法（平成十五年法律第百十八号）の施行の日から施行する。ただし、次の各号に掲げる規定は、当該各号に定める日から施行する。
一 第六条の規定 個人情報の保護に関する法律の施行の日又はこの法律の施行の日のいずれか遅い日（その他の経過措置の政令への委任）
第六条
この附則に規定するもののほか、この法律の施行に伴い必要な経過措置は、政令で定める。

44

【参考資料】

個人情報の保護に関する法律施行令（平成 15 年 12 月 10 日政令第 507 号）
最終改正：平成 20 年 5 月 1 日政令第 166 号
内閣は、個人情報の保護に関する法律（平成十五年法律第五十七号）第二条第二項第二号、第三項第四号及び第五項、第二十四条第一項第四号、第二十五条第一項、第二十九条
第一項及び第三項、第三十七条第二項、第四十条第一項、第五十一条、第五十二条並びに第五十五条の規定に基づき、この政令を制定する。
（個人情報データベース等）
第一条
個人情報の保護に関する法律（以下「法」という。）第二条第二項第二号の政令で定めるものは 、これに含まれる個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索する ことができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするため のものを有するものをいう。
（個人情報取扱事業者から除外される者）
第二条
法第二条第三項第五号の政令で定める者は、その事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数（当該個人情報データベース等の全部又は一部が他人の作成に係る個人情報データベース等であって、次の各号のいずれかに該当するものを編集し、又は加工することなくその事業の用に供するときは、当該個人情報データベース等の全部又は一部を構成する個人情報によって識別される特定の個人の数を除く。）の合計が過去六月以内のいずれの日においても五千を超えない者とする。
一 個人情報として次に掲げるもののみが含まれるもの
イ 氏名
ロ 住所又は居所（地図上又は電子計算機の映像面上において住所又は居所の所在の場所を示す表示を含む。）
ハ 電話番号
二 不特定かつ多数の者に販売することを目的として発行され、かつ、不特定かつ多数の者により随時に購入することができるもの又はできたもの（保有個人データから除外されるもの）
第三条
法第二条第五項の政令で定めるものは、次に掲げるものとする。
一 当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの
二 当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの
三 当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との45

交渉上不利益を被るおそれがあるもの
四 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの（保有個人データから除外されるものの消去までの期間）
第四条 法第二条第五項の政令で定める期間は、六月とする。
（保有個人データの適正な取扱いの確保に関し必要な事項）
第五条
法第二十四条第一項第四号の政令で定めるものは、次に掲げるものとする。
一 当該個人情報取扱事業者が行う保有個人データの取扱いに関する苦情の申出先
二 当該個人情報取扱事業者が認定個人情報保護団体の対象事業者である場合にあっては、当該認定個人情報保護団体の名称及び苦情の解決の申出先（個人情報取扱事業者が保有個人データを開示する方法）
第六条
法第二十五条第一項の政令で定める方法は、書面の交付による方法（開示の求めを行った者が同意した方法があるときは、当該方法）とする。
（開示等の求めを受け付ける方法）
第七条
法第二十九条第一項の規定により個人情報取扱事業者が開示等の求めを受け付ける方法として定めることができる事項は、次に掲げるとおりとする。
一 開示等の求めの申出先
二 開示等の求めに際して提出すべき書面（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られる記録を含む。）の様式その他の開示等の求めの方式
三 開示等の求めをする者が本人又は次条に規定する代理人であることの確認の方法
四 法第三十条第一項の手数料の徴収方法（開示等の求めをすることができる代理人）
第八条
法第二十九条第三項の規定により開示等の求めをすることができる代理人は、次に掲
げる代理人とする。
一 未成年者又は成年被後見人の法定代理人
二 開示等の求めをすることにつき本人が委任した代理人（認定個人情報保護団体の認定の申請）
第九条
法第三十七条第二項の規定による申請は、次に掲げる事項を記載した申請書を主務大臣に提出してしなければならない。
一 名称及び住所並びに代表者又は管理人の氏名二 認定の申請に係る業務を行おうとする事務所の所在地
三 認定の申請に係る業務の概要
46

２ 前項の申請書には、次に掲げる書類を添付しなければならない。
一 定款、寄附行為その他の基本約款
二 認定を受けようとする者が法第三十八条各号の規定に該当しないことを誓約する書
面
三 認定の申請に係る業務の実施の方法を記載した書類
四 認定の申請に係る業務を適正かつ確実に行うに足りる知識及び能力を有することを明らかにする書類
五 最近の事業年度における事業報告書、貸借対照表、収支決算書、財産目録その他の経理的基礎を有することを明らかにする書類（申請の日の属する事業年度に設立された法人にあっては、その設立時における財産目録）
六 役員の氏名、住所及び略歴を記載した書類
七 対象事業者の氏名又は名称を記載した書類及び当該対象事業者が認定を受けようとする者の構成員であること又は認定の申請に係る業務の対象となることについて同意した者であることを証する書類
八 認定の申請に係る業務以外の業務を行っている場合は、その業務の種類及び概要を記載した書類
九 その他参考となる事項を記載した書類
３ 認定個人情報保護団体は、第一項第一号若しくは第二号に掲げる事項又は前項第二号から第四号まで、第六号若しくは第八号に掲げる書類に記載した事項に変更があったと
きは、遅滞なく、その旨（同項第三号に掲げる書類に記載した事項に変更があったときは、その理由を含む。）を記載した届出書を主務大臣に提出しなければならない。
（認定業務の廃止の届出）
第十条
認定個人情報保護団体は、認定業務を廃止しようとするときは、廃止しようとする日の三月前までに、次に掲げる事項を記載した届出書を主務大臣に提出しなければならない。
一 名称及び住所並びに代表者又は管理人の氏名
二 法第四十二条第一項の申出の受付を終了しようとする日
三 認定業務を廃止しようとする日
四 認定業務を廃止する理由（地方公共団体の長等が処理する事務）第十一条
法第三十二条から第三十四条までに規定する主務大臣の権限に属する事務は、個人情報取扱事業者が行う事業であって当該主務大臣が所管するものについての報告の徴収、検査、勧告その他の監督に係る権限に属する事務の全部又は一部が他の法令の規定により地方公共団体の長その他の執行機関（以下この条において「地方公共団体の長等」という。）が行うこととされているときは、当該地方公共団体の長等が行う。この場合において、当該事務を行うこととなる地方公共団体の長等が二以上あるときは、法第三十二条及び第三十三条に規定する主務大臣の権限に属する事務は、各地方公共団体の長等がそれぞれ単独に行うことを妨げない。
47

２ 法第三十七条、第四十条及び第四十六条から第四十八条までに規定する主務大臣の権限に属する事務は、認定個人情報保護団体（法第三十七条第一項の認定を受けようとする者を含む。）であってその設立の許可又は認可に係る主務大臣の権限に属する事務が他の法令の規定により地方公共団体の長等が行うこととされているときは、当該地方公共団体の長等が行う。
３ 第一項の規定は、主務大臣が自ら同項に規定する事務を行うことを妨げない。
４ 第一項の規定により同項に規定する主務大臣の権限に属する事務を行った地方公共団
体の長等は、速やかに、その結果を主務大臣に報告しなければならない。
５ 第一項及び第二項に規定する場合においては、法及びこの政令中これらの規定に規定する事務に係る主務大臣に関する規定は、地方公共団体の長等に関する規定として地方公共団体の長等に適用があるものとする。
（権限又は事務の委任）
第十二条
主務大臣は、法第五十二条の規定により、内閣府設置法（平成十一年法律第八十九号）第四十九条第一項の庁の長、国家行政組織法（昭和二十三年法律第百二十号）第三条第二項の庁の長又は警察庁長官に法第三十二条から第三十四条まで、第三十七条、第三十九条、第四十条及び第四十六条から第四十八条までに規定する権限又は事務のうち
その所掌に係るものを委任することができる。
２ 主務大臣（前項の規定によりその権限又は事務が内閣府設置法第四十九条第一項の庁の長又は国家行 政組織法第三条第二項の庁の長に委任された場合にあっては、その庁の長）は、法第五十二条の規定により、内閣府設置法第十七条若しくは第五十三条の官房、局若しくは部の長、同法第十七条第一項若しくは第六十二条第一項若しくは第二項の職、同法第四十三条若しくは第五十七条の地方支分部局の長又は国家行政組織法第七条の官房、局若しくは部の長、同法第九条の地方支分部局の長若しくは同法第二十条第一項若しくは第二項の職に法第三十二条から第三十四条まで、第三十七条、第三十九条、第四十条及び第四十六条から第四十八条までに規定する権限又は事務のうちその所掌に係るものを委任することができる。
３ 警察庁長官は、法第五十二条の規定により、警察法（昭和二十九年法律第百六十二号）第十九条第一項の長官官房若しくは局、同条第二項の部又は同法第三十条第一項の地方機関の長に第一項の規定により委任された権限又は事務を委任することができる。
４ 主務大臣、内閣府設置法第四十九条第一項の庁の長、国家行政組織法第三条第二項の庁の長又は警察庁長官は、前三項の規定により権限又は事務を委任しようとするときは、委任を受ける職員の官職、委任する権限又は事務及び委任の効力の発生する日を公示しなければならない。
（主務大臣による権限の行使）
第十三条48

個人情報取扱事業者が行う個人情報の取扱いについて、法第三十六条第一項の規定による主務大臣が二以上あるときは、法第三十二条及び第三十三条に規定する主務大臣の権限は、各主務大臣がそれぞれ単独に行使することを妨げない。
２ 前項の規定によりその権限を単独に行使した主務大臣は、速やかに、その結果を他の主務大臣に通知するものとする。
附則
この政令は、公布の日から施行する。ただし、第五条から第十三条までの規定は、平
成十七年四月一日から施行する。

附

則（平成一六年一二月一〇日政令第三八九号）
この政令は、公布の日から施行し、この政令による改正後の個人情報の保護に関する法
律施行令第二条の規定は、平成十六年十月一日から適用する。
附 則（平成二〇年五月一日政令第一六六号）（施行期日）① この政令は、公布の日から施行する。
（経過措置）② この政令の施行前に個人情報の保護に関する法律第三十二条の規定により報告を求められ、又は同法第三十四条第二項若しくは第三項の規定による命令を受けた個人情報取扱事業者で、この政令による改正後の第二条第二号の規定の適用により個人情報取扱事業者に該当しなくなったものに係る当該報告の求め又は命令及びこれらに係る同法第五十七条又は第五十六条の違反行為に対する罰則の適用については、その個人情報取扱事業者に該当しなくなった後も、なお従前の例による。

49

【参考資料】

個人情報の保護に関する基本方針
平 成 １ ６ 年 ４ 月 ２ 日
閣
議決定
平成２０年４月２５日
一部変
更平 成 ２ １ 年 ９ 月 １ 日
一部変
更政府は、個人情報の保護に関する法律（平成１５ 年法律第５７ 号。以下「法」という。）第７条第１項の規定に基づき、「個人情報の保護に関する基本方針」（以下「基本方針」という。）を策定する。基本方針は、個人情報の保護に万全を期すため、個人情報の保護に関する施策の推進の基本的な方向及び国が講ずべき措置を定めるとともに、地方公
共団体、個人情報取扱事業者が講ずべき措置の方向性を示すものであり、政府として、官民の幅広い主体が、この基本方針に則して、個人情報の保護のための具体的な実践に取り組むことを要請するものである。

１ 個人情報の保護に関する施策の推進に関する基本的な方向（１）法制定の背景
近年、経済・社会の情報化の進展に伴い、官民を通じて、コンピュータやネットワークを利用して、大量の個人情報が処理されている。こうした個人情報の取扱いは、今後益々拡大していくものと予想されるが、個人情報は、その性質上いったん誤った取扱いをされると、個人に取り返しのつかない被害を及ぼすおそれがある。実際、事業者からの顧客情報等の大規模な流出や、個人情報の売買事件が多発し、社会問題化している。それに伴い、国民のプ
ライバシーに関する不安も高まっており、また、安全管理をはじめとする企業の個人情報保護の取組への要請も高まっている。
国際的には、１９７０年代から、欧米諸国において、個人情報保護に関する法制の整備が進められ、１９８０年には、各国の規制の内容の調和を図る観点から、経済協力開発機構（ＯＥＣＤ）理事会勧告において、「プライバシー保護と個人データの国際流通についてのガイドライン」が示された。以降、各国で急速に個人情報保護法制の整備が進められ、既にＯＥＣＤ加盟国の大多数が公的部門及び民間部門の双方を対象に個人情報保護法制を有するに至っている。企業活動等のグローバル化が進む中、我が国としても国際的に整合性を保った法制の整備と運用が求められている。
このような状況の下、個人情報の保護のあり方と報道の自由をはじめとする憲法上の諸要
請との調和に関する様々な国民的な議論を経て、誰もが安心して高度情報通信社会の便益を享受するための制度的基盤として、官民を通じた個人情報保護の基本理念等を定めた基本法に相当する部分と民間事業者の遵守すべき義務等を定めた一般法に相当する部分から構成される法が平成１５年５月に成立し、公布され、平成１７年４月１日に全面施行された。また、法の趣旨を踏まえ、公的部門に相応しい個人情報保護の規律を定めた行政機関の保有する個
人情報の保護に関する法律（平成１５年法律第５８号。以下「行政機関個人情報保護法」という。）、独立行政法人等の保有する個人情報の保護に関する法律（平成１５年法律第５９号。
50

以下「独立行政法人等個人情報保護法」という。）等関連４ 法が法と併せて、成立し、公布
され、平成１７年４月１日に施行された。

（２）法の理念と制度の考え方
法第３ 条は、個人情報が個人の人格と密接な関連を有するものであり、個人が「個人として尊重される」ことを定めた憲法第１３条の下、慎重に取り扱われるべきことを示すとともに、個人情報を取り扱う者は、その目的や態様を問わず、このような個人情報の性格と重要性を十分認識し、その適正な取扱いを図らなければならないとの基本理念を示している。関係の各主体においては、この基本理念を十分に踏まえるとともに、以下に掲げる制度の考え方を基に、個人情報の保護に取り組む必要がある。
①

個人情報の保護と有用性への配慮
法は、経済・社会の情報化の進展に伴い個人情報の利用が拡大している中で、法第３条の基本理念に則し、プライバシーの保護を含めた個人の権利利益を保護することを目的としており、他方、情報通信技術の活用による個人情報の多様な利用が、個人のニーズの事
業への的確な反映や迅速なサービス等の提供を実現し、事業活動等の面でも、国民生活の面でも欠かせないものとなっていることに配慮しているところである。 個人情報の保護と有用性に関するこの法の考え方は、実際の個人情報の取扱いにおいても、十分に踏まえる必要があり、個人情報の保護に万全を期すことこそが、個人情報の利用に関する社会の信頼を高め、ひいては、国民一人一人がその便益を享受できる健全な高度情報通信社会の実現を可能とするものである。

②

いわゆる「過剰反応」を踏まえた取組
昨今、プライバシー意識の高まりや個人情報を取り扱う上での戸惑い等の様々な要因から、社会的な必要性があるにもかかわらず、法の定め以上に個人情報の提供を控
えたり、運用上作成可能な名簿の作成を取り止めたりするなど、いわゆる「過剰反応」が生じている。
国民生活審議会は、「個人情報保護に関する取りまとめ（意見）」（平成１９年６月２９日）において、法の具体的な内容の広報・啓発等、いわゆる「過剰反応」対策に
万2全を期することを求め、政府も、個人情報保護関係省庁連絡会議（別紙参考）を開催し、今後の対策を決定（「個人情報保護施策の今後の推進について」（平成１９年
６月２９日決定））し、実施している。
国は、２の(4)にあるように、事業者及び国民に対する広報・啓発に積極的に取り組むものとする。また、各地方公共団体においては、３の(2)の①にあるように、住民等 へ周知するための積極的な広報活動に取り組むことが求められる。
また、いわゆる「過剰反応」が生じる背景には、個人情報によって識別される特定の個人（以下「本人」という。）が自らの個人情報の取扱いに不安を感じていることも一因としてあると考えられることから、法の適切な運用等により、個人情報の適切な取扱いを図っていく必要がある。

③

各事業者の自律的な取組と各主体の連携
高度情報通信社会においては、業態業種を問わず、あらゆる分野において、情報通信技術を活用した大量かつ多様な個人情報が広く利用されるようになっている。このため、法は、個人情報を事業の用に供する者を広く対象として、個人情報の取扱いに51

関して共通する必要最小限のルールを定めるとともに、個人情報を取り扱う者において、それぞれの事業等の分野の実情に応じて、自律的に個人情報の保護に万全が期されることを期待している。また、こうした事業者の自律的な取組に関しては、国の行政機関等の支援が重要であり、法は、国が事業者等への支援、苦情処理のための措置を講ずべきことを定めるとともに、事業等を所管する省庁（以下「各省庁」という。）が、各事業等分野における個人情報の取扱いについて権限と責任を有する仕組みを採っているが、こうした複層的な個人情報の保護のための措置が整合的に実効性を上げていくためには、事業者、地方公共団体、国の行政機関等が相協力し、連携を確保していくことが重要である。
（３）国際的な協調
個人情報保護における国際的な取組としては、１９８０年のＯＥＣＤプライバシーガ
イドラインにおいて、いわゆる８原則 ※ が示されており、その原則が以降の国際的な取組や各国における取組の基本となっている。ＯＥＣＤ プライバシーガイドラインにおいては、８ 原則の各国国内での実施に当たっての詳細は各国に委ねられているが、個人情報取扱事業者の義務に関する法第４ 章の規定は、我が国の実情に照らして８ 原則を具体化したものであり、今後、法及び基本方針に基づく取組により、その実効性が確保されることが重要である。
また、法のルール及び基本方針に基づいて個人情報保護の取組を推進するに当たっては、ＯＥＣＤ をはじめとして、アジア太平洋経済協力（ＡＰＥＣ）、欧州連合（ＥＵ）
等様々な場で進められている国際的な取組を踏まえ、プライバシー保護に関する越境執
行協力等、国際的な協調を図っていくとともに、併せて我が国の法制度についても国際的な理解を求めていくことが重要である。
※ ８ 原 則 ：「 プ ラ イ バ シ ー 保 護 と 個 人 デ ー タ の 国 際 流 通 に つ い て の ガ イ ド ラ イ ン（ Guidelines governingthe Protection of Privacy and Transborder Flows of
Personal Data）」における、①収集制限の原則(Collection Limitation Principle)、② デ ー タ 内 容 の 原 則 (Data Quality Principle) 、 ③ 目 的 明 確 化 の 原 則 (Purpose
Specification Principle)、④利用制限の原則(Use Limitation Principle)、⑤安全保護の原則(Security Safeguards Principle)、⑥公開の原則(Openness Principle)、⑦個 人 参 加 の 原 則 (Individual Participation Principle) 、 ⑧ 責 任 の 原 則(Accountability Principle)を指す。

２ 国が講ずべき個人情報の保護のための措置に関する事項（１）各行政機関の保有する個人情報の保護の推進
国の行政機関が保有する個人情報の保護については、行政機関個人情報保護法を適切に運用するため、同法の運用の統一性、法適合性を確保する立場にある総務省は、「行政機関の保有する個人情報の適切な管理のための措置に関する指針」（平成１６年９月
１４日総務省行政管理局長通知）を策定し、個人情報の適切な管理を徹底してきたところであり、引き続き、各行政機関及び国民に対して、パンフレットの配布や説明会の実施等を行い同法の周知を図るとともに、施行状況の概要の公表等国民に対する情報提供を行い制度の運用の透明性を確保する。
また、各行政機関は、総務省が策定する指針等を参考に、その保有する個人情報の取扱いの実情に則した個人情報の適切な管理に関する定め等の整備を行っているところであるが、引き続き、①職員への教育研修、②適切な情報セキュリティシステムの整備、
52

③管理体制や国民に対する相談等窓口の整備、④個人情報の適切な管理を図るために講じる措置等に関する情報の提供を行う。
なお、国の行政機関における個人情報の提供については、行政機関個人情報保護法上、必要性が認められる場合は、個人情報の公表等は可能となっており、情報提供の意義を踏まえた上で、同法の適切な運用を図るものとする。
（２）政府全体としての制度の統一的な運用を図るための指針① 個別の事案が生じた場合の消費者庁と各省庁の連携
大規模な個人情報の漏えい等個別の事案が発生した場合、各省庁は、各事業等分野
における個人情報の適正な取扱いを確保するため、必要な情報の収集に努めるとともに、当該個別の事案の被害の広がりや社会的な影響を踏まえ、迅速に法第４ 章の規定に基づく措置等の検討を行う。
また、消費者庁は、個人情報保護関係省庁連絡会議も活用しつつ、情報提供等の各省庁の協力を得て、個別の事案について、対応事例の蓄積・整理を行うとともに、必要な情報を各省庁に提供し、個人情報の保護のための施策の充実に資するものとする。
② 共管の場合の主務大臣の連携のあり方
個人情報取扱事業者が多角的に事業を行っている場合や、その取り扱う個人情報に
雇用管理に関するものを含んでいる場合等において、特定の事案について複数の主務4大臣が共管する場合が考えられる。このような事案については、事業者の負担軽減
及び各省庁間における整合的な制度の運用の確保の観点から、共管となる各省庁間で、十分な連携を図り、権限を行使することを基本とする。
なお、情報漏えい被害の拡大を防止するために緊急を要する場合等、権限を共同で行使することが、法制度の実効を損なうこととなる場合においては、各省庁は、個人情報の保護に関する法律施行令（平成１５年政令第５０７号。以下「令」という。）
第１３ 条の規定により、それぞれ単独で、迅速、機動的な対応を行うものとする。
③ 所管が明らかでない場合の主務大臣の指定
複合的な事業の創出等により、個人情報取扱事業者が行う事業を所管する大臣等が直ちに明らかでない場合も生じ得るものと考えられるため、法第３６ 条は、内閣総理大臣が、主務大臣を指定することができることとしている。この場合、消費者庁は、各省庁の所掌事務に照らして、関係の深い省庁に照会の上特定し、又は、必要な場合には関係省庁連絡会議を活用することにより、指定を行うものとする。
④ 各省庁における窓口の明確化・職員への教育研修
各省庁は、他省庁、地方公共団体との連絡・調整を強化するとともに、苦情相談機
関から情報を収集し、相談等に応ずるため、法に関する窓口を明確化する。当該窓口
は、省庁内の事業等所管部局からの相談に応じるとともに、研修等によりこれらの職員への知識の普及を図る。
⑤ 法の施行の状況の消費者庁への報告と公表
関係行政機関は、法第５３条第１項の規定に基づき、毎年度の法の施行状況として、
法第４ 章に基づく報告の徴収、助言等の規定の実施の状況のほか、事業等分野におけるガイドライン等の策定及び実施の状況、認定個人情報保護団体における苦情の処
53

理等の取組状況、個人情報取扱事業者からの個人情報漏えい等事案の状況等について消費者庁に報告するものとする。
消費者庁は、関係行政機関からの報告を取りまとめ、その概要を公表するとともに、消費者委員会に報告するものとする。
（３）分野ごとの個人情報の保護の推進に関する方針① 各省庁が所管する分野において講ずべき施策
個人情報の保護については、法の施行前も、事業者の取り扱う個人情報の性質や利用方法等の実態を踏まえつつ、事業等分野ごとのガイドライン等に基づく自主的な取組が進められてきたところである。
このような自主的な取組は、法の施行後においても、法の定めるルールの遵守と相まって、個人情報保護の実効を上げる上で、引き続き期待されるところであり、尊重され、また、促進される必要がある。このため、各省庁は、法の個人情報の取扱いに5関するルールが各分野に共通する必要最小限のものであること等を踏まえ、それぞれの事業等の分野の実情に応じたガイドライン等の策定・見直しを検討するとともに、事業者団体等が主体的に行うガイドラインの策定等に対しても、情報の提供、助言等の支援を行うものとする。
また、悪質な事業者の監督のため、個人情報取扱事業者に対する報告の徴収等の主
務大臣の権限等について、これを適切に行使するなど、法等の厳格な適用を図るものとする。
② 特に適正な取扱いを確保すべき個別分野において講ずべき施策
個人情報の性質や利用方法等から特に適正な取扱いの厳格な実施を確保する必要がある分野については、各省庁において、個人情報を保護するための格別の措置を各分
野（医療、金融・信用、情報通信等）ごとに講じるものとする。
（４）広報・啓発、情報提供等に関する方針
法は、個人情報を利用する事業者に対して事業の分野、利用の目的を問わず幅広く個情報の取扱いに関する義務を課すとともに、本人が、個人情報取扱事業者に対して自ら開示、訂正、利用停止の求めを行う等、事業者の個人情報の取扱いに関与していく仕組みを採っていることから、個人情報の保護の実効を期すためには、事業者及び国民に対して法制度の周知を徹底することがきわめて重要である。
このため、消費者庁及び各省庁は、引き続き、事業者及び国民に十分な情報提供が行われるよう、インターネットの活用、ポスターの掲示、パンフレットの配布、説明会の実施等多様な媒体を用いて、広報・啓発に積極的に取り組むものとする。その際、個人情報の取扱いへの関心等について、世代間、事業分野間等に差異があることを踏まえ、媒体の選定等にも配慮してきめ細かに対応するとともに、「個人情報の有用性に配慮しつつ、個人の権利利益を保護すること」（法第１ 条）を目的とする法の考え方が、各主体による実際の個人情報の取扱いにおいても、十分反映されるようにするものとする。
特に、いわゆる「過剰反応」を踏まえた取組の一環として、「個人情報保護施策の今後の推進について」（１の(2)の②参照）に基づく広報・啓発等を一層積極的に行うものとする。
（５）個人情報の保護に関する国際的な取組への対応
54

ＯＥＣＤでは、プライバシー法執行の越境的な課題が検討され、ＡＰＥＣ では、越境的なプライバシー規則の構築や、情報共有、調査・執行の越境協力の課題が検討されている。こうしたＯＥＣＤ 、ＡＰＥＣ における取組やＥＵ 等で進められている取組を踏まえ、事業者の自律的な取組を尊重する我が国の法制度（１の(2)の③参照）との整合性に留意しつつ、１の(3)に基づく国際的な協調の観点から、我が国として必要な対応を検討していくものとする。また、「プライバシー保護法の執行に係る越境協力に関するＯＥＣＤ勧告」（平成１９年６月１２日採択）に基づき、消費者庁は、各省庁と協力し、必要な6対応・措置を検討する。

３ 地方公共団体が講ずべき個人情報の保護のための措置に関する基本的な事項（１）地方公共団体の保有する個人情報の保護の推進
地方公共団体の保有する個人情報の保護対策については、法第１１条第１項の趣旨を踏まえ、個人情報の保護に関する条例の制定に取り組む必要がある。また、既に条例を制定している団体にあっても所要の見直しを行うことが求められる。
条例の制定又は見直しに当たっては、法及び行政機関個人情報保護法等の内容を踏まえるとともに、特に、いわゆるマニュアル処理に係る個人情報を保護対象とすること、行政機関個人情報保護法を参考としつつ、事務の特性に配慮した対象機関のあり方、自己情報の開示・訂正・利用停止等の本人関与の仕組みの充実、適切な苦情処理や不服申立て制度等の救済措置の整備、外部委託に係る個人情報の保護措置の整備、個人情報の漏えい等に対する罰則の検討、いわゆる「オンライン禁止規定」の見直し等の事項について留意することが求められる。
また、いわゆる「過剰反応」が一部に見られることを踏まえ、地方公共団体においても、法の趣旨にのっとり、条例の適切な解釈・運用を行うことが求められる。
（２）広報・啓発等住民・事業者等への支援① 広報・啓発等住民・事業者等への支援のあり方
個人情報保護の推進において、住民・事業者に身近な行政を担う地方公共団体の役割は重要であり、法では、区域内の実情に応じて、住民・事業者への支援や苦情の処理のあっせん等に対して必要な措置を講じるよう努めなければならないものとされている。
特に、法の適切な定着に向け、各地方公共団体においては、個人情報保護の理念や具体的な仕組み等を住民等へ周知するための積極的な広報活動に取り組むとともに、区域内の事業者等の主体的な取組を促進するため、事業者からの相談等に適切に対応することが求められる。
また、個人情報の取扱いに係る事業者と本人の間のルールについては、国の立法と並行し、あるいは先行して、地方公共団体において検討され、一部では、既に条例の制定等により、実施されているところである。こうした地方公共団体の取組は、区域の特性に応じた措置として重要であるが、その運用は、法及び各省庁のガイドライン
等との整合性に配慮する必要がある。また、地方公共団体がその実情に応じて講じようとする措置については、事業者等の活動が、全国等の広域にわたることがあり得る
ことを考慮し、他の地方公共団体との連携に留意するとともに、特に、事業者等に新たな義務を課すこととなる場合には、当該地方公共団体の区域の特性と条例・規則の内容等を十分説明し、理解を求めていくことが重要である。
55

② 地方公共団体の部局間の相互連携
地方公共団体は、法の施行に関し、自ら保有する個人情報の保護、その区域内の事業者等への支援、苦情の処理のあっせん等、さらには、法第５１条及び令第１１条の規定により主務大臣の権限を行使することまで、広範で多様な施策の実施が求められている。地方公共団体においては、こうした多様な施策は、個人情報の保護に関する条例の所管部局、住民からの苦情の相談を担う部局、各事業・事業者の振興・支援を担う部局等相当数の部局にまたがるものと見込まれるが、個人情報に関する住民の権
利利益の保護の実効性を確保するためには、広範な施策が一体的・総合的に講じられるよう、関係部局が相互に十分な連携を図る必要がある。
また、事業者からの相談や住民からの苦情等の相談の利便性の観点から、連携体制の確保に併せて、関係部局間の役割分担と窓口を明らかにして、これを公表する
こと等により周知することが望まれる。
（３）国・地方公共団体の連携のあり方
個人情報取扱事業者に対する報告の徴収等の主務大臣の権限については、法第５１条
及び令第１１ 条第１ 項の定めるところにより、地方公共団体がその事務を処理することとされるものがあるが、他方、地方公共団体の区域をまたがって事業者が活動している場合等においては、地方公共団体が十分に事業者の事業活動を把握することが難しい
ことも考えられる。このため、地方公共団体と各省庁は、基本方針に基づく各窓口を活用し、十分な連携を図ることとし、地方公共団体は、各省庁に必要な情報の提供等の協力を求めるとともに、各省庁は、必要な場合には、令第１１ 条第３ 項に基づき自ら権限を行使するものとする。
また、法制度についての広報・啓発、苦情の相談等の業務についても、住民や事業者等に混乱を生じさせないよう、国と地方公共団体が相協力することが重要であり、このため、消費者庁、各省庁及び独立行政法人国民生活センターは、広報資料や苦情処理マ
ニュアル等の情報の提供を図るとともに、各窓口の活用により個別の相談事例から得られる知見を蓄積し、その共有を図るものとする。

４ 独立行政法人等が講ずべき個人情報の保護のための措置に関する基本的な事項
独立行政法人等が保有する個人情報の保護については、独立行政法人等個人情報保護法を適切に運用するため、同法の運用の統一性、法適合性を確保する立場にある総務省
は、「独立行政法人等の保有する個人情報の適切な管理のための措置に関する指針」（平成１６年９月１４日総務省行政管理局長通知）を策定し、個人情報の適切な管理を徹底してきたところであり、引き続き、各行政機関、独立行政法人等及び国民に対して、パンフレットの配布や説明会の実施等を行い同法の周知を図るとともに、施行状況の概要
公表等国民に対する情報提供を行い制度の運用の透明性を確保する。
また、各行政機関は、所管する独立行政法人等に対して、その業務運営における自主性に十分配慮しながら、必要な指導、助言、監督を行う。
独立行政法人等は、総務省が策定する指針等を参考に、その保有する個人情報の取扱いの実情に則した個人情報の適切な管理に関する定め等の整備を行っているところであるが、引き続き、①職員への教育研修、②適切な情報セキュリティシステムの整備、③管理体制や国民に対する相談等窓口の整備、④個人情報の適切な管理を図るために講じる措置等に関する情報の提供を行う。
なお、独立行政法人等における個人情報の提供については、独立行政法人等個人情報56

保護法上、必要性が認められる場合は、個人情報の公表等は可能となっており、情報提供の意義を踏まえた上で、同法の適切な運用を図るものとする。

５ 地方独立行政法人が講ずべき個人情報の保護のための措置に関する基本的な事
項
地方独立行政法人における個人情報の保護について、地方公共団体は、法第１１条第２項において、必要な措置をとることが求められている。これを踏まえ、各地方公共団
体は、その設立に係る地方独立行政法人の性格及び業務内容に応じ、各団体が制定する
個人情報保護条例において所要の規定を整備する等、適切な個人情報の保護措置が講じられるように取り組むことが求められる。

６ 個人情報取扱事業者等が講ずべき個人情報の保護のための措置に関する基本的な事項（１）個人情報取扱事業者に関する事項
個人情報取扱事業者は、法の規定に従うほか、２の(3)の①の各省庁のガイドライン
等に則し、個人情報の保護について主体的に取り組むことが期待されているところであり、事業者は、引き続き体制の整備等に積極的に取り組んでいくことが求められている。
各省庁等におけるガイドライン等の検討及び各事業者の取組に当たっては、特に以下の点が重要であると考えられる。
① 事業者が行う措置の対外的明確化
事業者が個人情報保護を推進する上での考え方や方針（いわゆる、プライバシーポリ
シー、プライバシーステートメント等）を策定・公表することにより、個人情報を目的外に利用しないことや苦情処理に適切に取り組むこと等を宣言するとともに、事業者が関係法令等を遵守し、利用目的の通知・公表、開示等の個人情報の取扱いに関する諸手続について、あらかじめ、対外的に分かりやすく説明することが、事業活動に対する社会の信頼を確保するために重要である。
② 消費者等の権利利益の一層の保護
上記①で示した、事業者の個人情報保護を推進する上での考え方や方針には、消費者等、本人の権利利益保護の観点から、以下に掲げる点を考慮した記述を盛り込み、本人からの求めに一層対応していくことも重要である。
・保有個人データについて本人から求めがあった場合には、ダイレクトメールの発送停止など、自主的に利用停止等に応じること。
・委託の有無、委託する事務の内容を明らかにする等、委託処理の透明化を進めること。
・事業者がその事業内容を勘案して顧客の種類ごとに利用目的を限定して示したり、事業者が本人の選択による利用目的の限定に自主的に取り組んだりするなど、本人にとって利用目的がより明確になるようにすること。
・個人情報の取得元又はその取得方法（取得源の種類等）を、可能な限り具体的に明記すること。
また、事業者において、個人情報の漏えい等の事案が発生した場合は、二次被害の防止、類似事案の発生回避等の観点から、可能な限り事実関係等を公表することが重
要である。
57

③ 責任体制の確保
事業運営において個人情報の保護を適切に位置づける観点から、外部からの不正ア
クセスの防御対策のほか、個人情報保護管理者の設置、内部関係者のアクセス管理や持ち出し防止策等、個人情報の安全管理について、事業者の内部における責任体制を確保するための仕組みを整備することが重要である。
また、個人情報の取扱いを外部に委託することとなる際には、委託契約の中で、個人情報の流出防止をはじめとする保護のための措置が委託先において確保されるよう、委託元と委託先のそれぞれの責任等を明確に定めることにより、再委託される場合も含めて実効的な監督体制を確保することが重要である。
④ 従業者の啓発
事業者において、個人情報の漏えい等の防止等、その取り扱う個人情報の適切な保護が確保されるためには、教育研修の実施等を通じて、個人情報を実際に業務で取り扱うこととなる従業者の啓発を図ることにより、従業者の個人情報保護意識を徹底することが重要である。
⑤ 安全管理措置の程度
事業者において、その取り扱う個人情報の適切な保護が確保されるためには、漏えい、滅失又はき損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人データの取扱状況等に起因するリスクに応じ、必要かつ適切な措置を講じることが重要である。
その際には、個人データを記録した媒体の性質に応じた安全管理措置を講じることが重要である。例えば、不特定多数者が書店で随時に購入可能な名簿で、事業者において全く加工をしていないものについては、個人の権利利益を侵害するおそれは低いと考えられることから、それを処分するために文書細断機等による処理を行わずに廃棄し、又は廃品回収に出したとしても、事業者の安全管理措置の義務違反にはならないものとして取り扱うことができるものとする。
（２）認定個人情報保護団体に関する事項① 各省庁における認定の促進
認定個人情報保護団体は、苦情処理において、個人情報取扱事業者自身による取組を補完し、問題の自主的、実際的な解決を図るとともに、各事業等分野におけるガイドライン等の策定等を通じて事業者の個人情報保護の取組を支援する等、民間部門
における主体的な取組に、きわめて重要な役割が期待されており、その仕組みが十分に活用されることが必要である。
こうした中、各認定個人情報保護団体の活動の程度には差異が見られるとの指摘があることから、活動が十分に行われていない団体においては、積極的に苦情処理や情報提供等に取り組んでいくことが望まれる。
また、事業分野によっては、認定個人情報保護団体の認定が十分に行われていな
いものもあることから、このような分野を所管する各省庁においては、更なる認定の促進に取り組むことが必要である。
② ガイドライン（個人情報保護指針）等の策定・見直し
個人情報の保護に関する事業分野別の取組においては、従来から、各省庁の策定す58

るガイドラインと併せて、事業者団体等が策定するガイドラインが、各事業者の取組を促進する上で、重要な役割を果たしてきている。このため、事業者団体等においては、引き続き、事業分野の実情に応じ、ガイドライン（個人情報保護指針）等の策
定・見直しとその公表を行うとともに、事業者に対する必要な指導等に努めていくことが望まれる。その際、事業者団体等のニーズに応じて、各省庁は、２の(3)の①により必要な支援を行うものとする。

７ 個人情報の取扱いに関する苦情の円滑な処理に関する事項
個人情報の利用・提供あるいは開示・不開示に関する本人の不平や不満は、訴訟等によるのではなく、事案の性質により、迅速性・経済性等の観点から、むしろ苦情処理の制度によって解決することが適当なものが多いと考えられる。法は、苦情処理による国民の権利利益の保護の実効を期すため、個人情報取扱事業者自身の取組により苦情を解決することを基本としつつ、認定個人情報保護団体、地方公共団体等が苦情の処理に関わる複層的な仕組みを採っている。この仕組みが円滑に機能するためには、これらの関係機関がそれぞれの役割分担に応じて適切に取り組むとともに、緊密な連携を確保することが必要である。
（１）事業者自身による取組のあり方
法は、苦情処理について、まず、第一に個人情報取扱事業者の責任において適切かつ迅速な処理に努めるべきことを明らかにしている。こうした責務を全うするため、事業者には、必要な体制整備として苦情受付窓口の設置、苦情処理手順の策定等が求められる。
（２）認定個人情報保護団体の取組のあり方
認定個人情報保護団体の苦情処理は、各事業者が行う取組を補完し、国民の利益を効率的・効果的に実現する重要な役割が期待される。
このため、認定個人情報保護団体は、本人からの様々な苦情に簡易・迅速に対応し、公正な第三者としての立場から国民の期待に応えられるよう、人材の養成・確保を含む体制を整備することが求められる。
（３）地方公共団体における取組のあり方
地方公共団体の担う苦情の処理のあっせん等は、当事者間で問題が解決されない場合
等において、事業分野を問わない苦情処理の仕組みとして、苦情の処理のあっせん、助言、指導、情報提供等の役割が求められている。
地方公共団体が苦情の処理のあっせん等に取り組むに当たっては、広く住民一般に分かりやすく、なじみやすい対応が求められる。その際、個人情報に関する苦情の相当部
分は、事業者が消費者の個人情報を利用した結果として起こる消費生活上の苦情であると考えられること、相談者の立場からは、消費生活に関する苦情から個人情報の問題だ
けを取り出して相談することは容易でなくまた不便であることから、既存の消費生活セ
ンターや消費者相談窓口等を個人情報に関する苦情の窓口とし、これを軸に各事業・事業者の振興・支援を担う部局等の関係部局が実効のある連携を確保する仕組みが、相談者の利便性等の観点から望まれる。
なお、地方公共団体において、条例等に基づき別の苦情窓口を定めている場合等、直ちに上記の仕組みにより難い場合においては、特に、窓口と関係部局の役割分担を明確化し、周知を図るとともに、消費生活センター等に寄せられる苦情の移送等の仕組みを
59

十分に確保する必要がある。
（４）国民生活センター及び各省庁における取組① 国民生活センターの取組
各地方公共団体や認定個人情報保護団体に寄せられる苦情が住民・事業者の混乱を招かず円滑に処理されるためには、消費生活センター等の相談員の個人情報保護に関する専門知識の習得を早急に進めるとともに、各相談機関における知見の蓄積とその活用が重要である。
このため、国民生活センターは、自ら個人情報に関する苦情相談に取り組むほか、
消費生活センター等の各種相談機関と連携を図りつつ、研修等の実施による専門知識を有する相談員の育成、苦情処理に関するマニュアルの作成・配布等により、窓口対応の強化を支援する。また、こうした取組に当たっては、必要に応じて、認定個人情報保護団体等の協力を得ながら実施するとともに、認定個人情報保護団体へのマニュ
アルの配布やその職員の研修等への参加を図るものとする。
また、国民生活センターは、個人情報に関する苦情相談の事例を集約・分析し、対応事例集等の資料を作成すること等により、各種相談機関における個別の相談事例から得られる知見を蓄積し、その共有を図るものとする。
② 各省庁における取組
消費者庁及び各省庁においては、地方公共団体、国民生活センター、認定個人情報保護団体等と連携して所管分野における個人情報の適正な取扱いを確保する観点から、
２ の(2)の④による窓口において、苦情相談機関等から悪質な事業者に関する情報を受け、その収集を行うとともに、必要に応じて、各省庁の対応等について情報を提供するものとする。
また、消費者庁においては、各省庁及び地方公共団体の苦情相談機関等の窓口等に関する情報を収集・整理し、インターネットの活用等により提供する。

８ その他個人情報の保護に関する施策の推進に関する重要事項（１）情報収集・調査研究の推進
個人情報の収集、利用等その取扱いの態様は、情報通信技術の発展、新分野における事業の創出等により、大きな変化が有り得るものであり、基本方針とこれに基づく措置についてもこうした変化や国際的な個人情報保護制度の動向等に応じて見直すことが必要である。このため、消費者庁及び国民生活センターは、各省庁との連携の下、新技術や個人情報の利用の動向、諸外国における制度の運用の動向等に関する情報収集、調査研究を行うものとする。
（２）消費者委員会の役割
消費者庁は、経済・社会事情の変化に応じた基本方針の見直しに当たり、消費者委員
会の意見を聴くほか、２の(2)の⑤に基づき、法の施行状況について消費者委員会に報告を行うとともに、同委員会は、法の施行状況のフォローアップを行う。

60