平成 28 年 11 月２日
個人情報保護委員会事務局

御中
一般社団法人全国銀行協会「個人情報の保護に関する法律についてのガイドライン（通則編、外国にある
第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）（案）」
に対する意見等について
平成 28 年 10 月４日付で意見募集のあった標記の件に対する意見等を別紙のとおり取りまとめましたので、何卒ご高配賜りますようお願い申しあげます。
以

上

別紙

平成 28 年 11 ⽉ 2 ⽇「個⼈情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編
及び匿名加⼯情報編）（案）」に対する意⾒等
１．標記ガイドライン案に対する意⾒等の提出に併せて改めて要望する事項
No.

意⾒

1

銀⾏は、改正個⼈情報保護法の全⾯施⾏⽇までに必要に応じて態勢整備（実務態勢の構築、従業員研修、システム改修・帳票改訂等）を⾏うこととなる。
特にシステム改修・帳票改訂等の対応は、施⾏令・施⾏規則、ガイドライン、Ｑ＆Ａ等の内容を踏まえ、その要否を判定したうえで、改修等が必要な場合には当該対応に係る作業を相当の⽇数をかけて⾏うこととなる。さらに、全事業者が法令等の対象となることから、システム改修の作業が施⾏直前の⼀定の時期に集中することが予想される。
このため、改正個⼈情報保護法の全⾯施⾏⽇の検討に当たっては、銀⾏を含む事業者において発⽣する作業の⾒通し等を踏まえ、改正法対応のための準備期間を⼗分に確保できるように配慮いただきたい。
併せて、個⼈識別符号、要配慮個⼈情報、匿名加⼯情報に係る規定等が新設されたことに鑑み、全⾯施⾏に向け、過剰な反応が⽣じないよう、国⺠・事業者等に対して制度の全容を⼗分に周知いただきたい。

1２．個⼈情報の保護に関する法律についてのガイドライン（通則編）（案）に対する意⾒等
No.

⾴

1

5

意⾒等
「『⾦融分野における個⼈情報保護に関するガイドライン』の改正案についてのご意⾒等及びご意⾒等に対する考え⽅」（平成 21 年 11 ⽉ 20 ⽇付公表）の項番 2 において、以下の解釈が⽰されているが、改正法施⾏後も当然ながら同解釈に変更はないとの理解でよいか。
【意⾒】「⽒名」は同姓同名の別⼈の可能性があるため、必ずしも単独では個⼈を特定できるものではないことから、他の情報と照合し特定の個⼈を識別することができた場合、個⼈情報に当たるという理解でよいか。また、住所、電話番号について、住所または電話番号の表⽰のみで、かつ、特定の個⼈を識別することができなければ、個⼈情報に該当しないという理解でよいか。
【回答】「個⼈情報」は、「⽣存する個⼈に関する情報であって、当該情報に含まれる⽒名、⽣年⽉⽇その他の記述により特定の個⼈を識別することができるもの」（個⼈情報保護法第２条１項）とされており、特定の個⼈を識別できない場合には個⼈情報に当たりません。ただし、「⽒名」はもともと特定の個⼈を識別するものとして⽤いられており、実際に最も特定の個⼈を識別しやすい情報であると考えられます。したがって、その「⽒名」が扱われる環境、他の個⼈の「⽒名」との関連、⽂脈によって容易に特定の個⼈が識別される場合が多いことに留意が必要です。

2

６

注記「(※4)」において、「『他の情報と容易に照合することができ』るとは、事業者の実態に即して個々の事例ごとに判断されるべきであるが、通常の業務における⼀般的な⽅法で、他の情報と容易に照合することができる状態をいい、例えば、他の事業者への照会を要する場合等であって照合が困難な状態は、⼀般に、容易に照合することができない状態であると解される」とあるが、「例えば、他の事業者への照会を要する場合であって、照合が困難な場合」とは、同情報の提供先等が独⼒で特定の個⼈を識別することができず、情報の所有先や他の第三者たる事業者への照会で初めて特定の個⼈を識別することできる場合を指すとの理解でよいか。

3

6

死者に関する情報が、同時に、遺族等の⽣存する個⼈に関する情報となる場合とは、具体的にはどのような場合を⽰すか明⽰していただきたい。

4

11「『個⼈情報の保護に関する法律施⾏令の⼀部を改正する政令（案）』及び『個⼈情報の保護に関する法律施⾏規則（案）』に関する意⾒募集結果」の項番 189 において、「本籍地は、⼀般的に差別の要因になるものといえず、それだけでは要配慮個⼈情報に該当しないと考えております。ただし、御指摘のように特定の地域の出⾝者であることを調査するために本籍地を取得するような場合に要配慮個⼈情報の取得になり、法の適⽤を受けると考えております」とあるが、⾦融機関が相続⼿続等の業務遂⾏上必要な範囲で「本籍地」を取得する場合には、当該「本籍地」情報は、要配慮個
⼈情報ではないとの理解でよいか。

2

No.

⾴

意⾒等

5

12

「『個⼈情報の保護に関する法律施⾏令の⼀部を改正する政令（案）』及び『個⼈情報の保護に関する法律施⾏規則（案）』に関する意⾒募集結果」の項番 156 において、「病歴に対する認識や関⼼度は、その⼈の境遇やこれまでの経緯によって様々であり、⾵邪などの⼀般的かつ軽微な疾患に関する情報が、不当な差別や偏⾒その他の不利益を⽣じさせない情報であるとは⼀概に⾔えず、⼀律に判断することは困難であり、不適当であると考えられます。このため、患者個⼈が⾃分の病歴を、他⼈に取得され、第三者に提供される際に、どのような⽬的で取得され、利活⽤されるのか等を⾒極めた上で、その適否について個々⼈で判断、選択できることが必要かつ重要であり、その点で⾵邪などの⼀般的かつ軽微な疾患に関する情報も含
め、要配慮個⼈情報とすることが適切と考えられます」とされているが、⼀般的かつ軽微な疾患に関する情報（⾵邪など）までもが、⼀律要配慮個⼈情報となることは、病歴の解釈の幅を⼤きく広げることになり実務上⾮常に⼤きな負担となる。例えば、当該情報の取得の経緯等（本⼈との会話など）を総合的に勘案して、明らかに不当な差別等に発展しないと判断される場合は、当該情報は要配慮個⼈情報に該当しないと整理していただきたい。
また、そもそも、「病歴」とは、医師等から診断を受けた結果、病名が告げられるものを指し、医師等の診断を受けていない場合であれば、⾝体不調を表す際の「⾵邪」等の情報は、要配慮個⼈情報に該当しないとの理解でよいか。
さらに、「⾵邪」、「花粉症」、「捻挫」等の情報は、病名の俗称であり、正式な病名は、「アレルギー性○○炎（花粉症）」、「靭帯損傷（捻挫）」等
であると考えるが、「病歴」はそのような医者等から診断された正式な病名をいうのか、それとも俗称も含めるものなのか。
加えて、本⼈などから上記のような病名・症状等を伝えられ、それを業務上の必要があって、業務⽇誌等に記録する際には、具体的な病名・症状等ではなく、「病気を患っている」、「⾝体が痛む」、「具合が悪い」等と抽象的に記録すれば、「要配慮個⼈情報」の取得には当たらないとの理解でよいか。

612

施⾏令・施⾏規則（案）のパブリックコメントの結果の項番 189 において、本籍地については⼀般的に差別の要因になるものとはいえず、それだけでは要配慮個⼈情報に該当しないものの、特定の地域の出⾝者であることを調査するために本籍地を取得するような場合は要配慮個⼈情報の取得になり、法の適⽤を受けると考えているとの旨の⾒解が出されている。
本⾒解と同様に、病歴についても⼀律に「要配慮個⼈情報」と定義するのではなく、内容に応じて判断すべきではないか。

712「推知させる情報にすぎないものは要配慮個⼈情報には含まない」とあるが、①勤務先が特定の宗教団体や政治団体である場合に、勤務先情報としての宗教団体名等の記載、②特定の政治団体等に寄付をしたというような情報、③宗教団体を設⽴⺟体とする学校や病院に勤務している情報は、推知させる情報にすぎないとの理解でよいか。

8

12「社会的⾝分」の具体例を⽰していただきたい。

3

No.

⾴

意⾒等

9

13

⾝体障害、知的障害、精神障害等の情報が要配慮個⼈情報に含まれるとしているが、具体的な障害名を含まない情報（例えば「⽬が不⾃由」、「⼿が不⾃由」と記録すること）についても要配慮個⼈情報の対象となるか。実務上、⽬の不⾃由な顧客に対して代筆対応するケースがあり、その際、代筆の理由として「⽬が不⾃由」、「⼿が不⾃由」と⾏内的に記録を残しておくことがあるため確認したい。

1013「(7)⾝体障害、知的障害、精神障害（発達障害を含む。）その他の個⼈情報保護委員会規則で定める⼼⾝の機能の障害があること」において、
例えば、「①『⾝体障害者福祉法（昭和 24 年法律第 283 号）別表に掲げる⾝体上の障害』があることを特定させる情報」として「都道府県知事、指定都市の⻑⼜は中核市の⻑から⾝体障害者⼿帳の交付を受け並びに所持していることが⼜は過去に所持していたこと」との記載があるが、犯罪収益移転防⽌法等で求められる本⼈確認資料で同⼿帳の写しを取り扱う場⾯において、同⼿帳の障害名や⾝体障害者等級表による級別などの情報をマスキング等すれば、具体的な障害内容が特定されないことから、要配慮個⼈情報の取得には該当しないと整理いただきたい。

4

No.

⾴

意⾒等

11

13、

ADR 機関等は、顧客等である申出⼈からの苦情等を受け付け、必要に応じて事業者への取次ぎをしている。

33

こうした業務において、直接本⼈から苦情等が寄せられるのではなく、第三者が介在したかたちで苦情等の受付を⾏う場合があり、要配慮個⼈情報の取得にかかる本⼈同意を得るという作業は極めて困難であり、顧客利便性が低下するおそれがある。
したがって、例えば以下の事例が要配慮個⼈情報の取得に該当する場合に、同取得は、法第 17 条第２項第２号の「⼈の⽣命、⾝体⼜は財産の保護のために必要がある場合であって、本⼈の同意を得ることが困難であるとき」に該当し、本⼈同意を不要とする取扱いでよいか。
【問題となる事例】①「⺟親 A が病気で寝込んでおり、医者から安静にと⾔われているため、私（⼦息）が銀⾏窓⼝で親の預⾦⼝座から⼊院費⽤を引き出したいと思うが、可能か」（Ａの⼦息からの相談）②「⺟親 A は、医者からアルツハイマーと⾔われており、まともに話ができる状態ではないため、代わりに相談を申し出た。」（Ａの親族等からの相談）③「本⽇、相談室に来所する予定だったが、⺟親 A が転倒し、負傷した。医者からもらった湿布薬で状態は落ち着いているが、念のため、来所⽇時を変更してもらえないか。」（Ａの⼦息からの相談）④「⺟親 A が振り込め詐欺に遭ったため、⼝座を凍結してほしい。」（Ａの⼦息からの相談）⑤「両親で息⼦Ａの銀⾏⼝座を管理していたが、過去に、⺟親（妻）が息⼦Ａの銀⾏⼝座を売却してしまったため、息⼦Ａの銀⾏⼝座が開設できなくなってしまった。どうすればよいか。」（A の⽗親からの相談）
なお、「法２条３項の「犯罪の経歴」の「犯罪」とは、本⼈が有罪判決を受けこれが確定した事実を意味すると理解している。法第２条３項の「犯罪により害を被った事実」の「犯罪」も、これと同義との理解でよいか。この理解でよい場合、例えば、上記④の「⺟親 A が振り込め詐欺に遭ったため、⼝座を凍結してほしい。」（Ａの⼦息からの相談）について、⺟親Ａの振り込め詐欺被害の情報は、そもそも要配慮個⼈情報には当たらないとの理解でよいか。ADR 機関等においては、預⾦者等から「何者かによって預⾦通帳・キャッシュカードが盗まれた」等のこの種の申出を多数受けており、これらの情報
は、いずれも「犯罪により害を被った事実」を推知させる情報にすぎず、「要配慮個⼈情報」に当たらないことを確認したい。

5

No.

⾴

意⾒等

12

14

政令で⽰された要配慮個⼈情報における「健康診断その他の検査の結果に基づき、⼜は疾病、負傷その他の⼼⾝の変化を理由として、本⼈に対して医師その他医療に関連する職務に従事する者により⼼⾝の状態の改善のための指導⼜は診療若しくは調剤が⾏われたこと。」、「本⼈を被疑者⼜は被告⼈として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する⼿続が⾏われたこと。」、「本⼈を⾮⾏少年⼜はその疑いのある者
として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する⼿続が⾏われたこと。」について、それぞれ確証ある事実にもとづいた情報である場合を対象とするものであり、例えば第三者から伝え聞いた噂話程度の裏付けのない推知情報は要配慮個⼈情報に該当しないとの理解でよ
いか。

13

14

施⾏令・施⾏規則（案）のパブリックコメントの結果の項番 213 において、例えば健康診断の結果のうち「異常」のみを要配慮個⼈情報とした場合、異常か否かの確認負担が⼤きいため、「異常がない」検査結果もあえて要配慮個⼈情報として取り扱うとされているが、健康診断結果をすべて要配慮
個⼈情報とすることにも事業者に相応の負担がある。
また、全く異常が認められない結果や、⾝⻑、体重、⾎圧、脈拍、体温等それのみで病気の診断が困難な個⼈の健康に関する情報を、健康診断、診療等の事業およびそれに関する業務により知り得た場合は、要配慮個⼈情報に該当するとのことであるが、かかる情報は不当な差別や偏⾒その他の不利益の要因とはなり得ない。
運⽤⾯において、健康診断結果は要配慮個⼈情報に該当する場合もあるとの認識のもと慎重に取り扱うものの、「異常なし」の結果は要配慮個⼈情報に該当しないとしていただきたい。

14

15、

従業員が被疑者または被告⼈として刑事事件に関する⼿続きが⾏われたとの要配慮個⼈情報が、当該従業員の家族等の第三者から従業員の勤務

33

先に寄せられた場合、勤務先はレピュテーション管理の観点から、当該情報を取得する必要があると考えられる。このような場合には、法第 17 条第 2
項第 2 号における「（勤務先の）財産の保護のために必要がある場合であって、本⼈の同意を得ることが困難であるとき」に該当し、本⼈の同意なく当該要配慮個⼈情報を取得できるとの理解でよいか。

15

17「個⼈情報データベース等」に該当しない事例として、「アンケートの戻りはがきが、⽒名、住所等により分類整理されていない状態である場合」が挙げられているところ、「住所等」に関連して、個⼈情報群を「郵便番号」順や「市町村」順で分類整理した場合には、当該個⼈情報群が「個⼈情報データベース等」に該当するか確認したい。

16

23、

2-11「公表」において、「公表に該当する事例」として、「事例１ ⾃社のホームページのトップページから 1 回程度の操作で到達できる場所への掲載」と38あるが、「1 回『程度』の操作」という表現が曖昧である。ウェブサイトの閲覧者に対して分かりにくい場所への掲載を防ぐことを⽬的とした例⽰であれば、「ウェブサイトのトップページから容易に公表事項へ到達できる場所への掲載」という記載にするべきである(通則編 38 ⾴の同趣旨の記載についても同
様)。

6

No.

⾴

意⾒等

17

24

2-12「本⼈の同意」において、「本⼈の同意」とは、「本⼈の個⼈情報が、個⼈情報取扱事業者によって⽰された取扱⽅法で取り扱われることを承諾する旨の当該本⼈の意思表⽰」としているが、本⼈が黙⽰的に同意したことが明らかである場合も事例として追加すべきである。

18

29、

「⾦融機関における個⼈情報保護に関するＱ＆Ａ」の「問Ⅵ-7」において、弁護⼠法第 23 条の 2 にもとづいてなされる報告の請求を弁護⼠会から受45けた場合であっても、「具体的な報告内容によっては、プライバシー権の侵害等を理由に損害賠償請求が認容されるおそれがあることから、報告を⾏う
際には予め本⼈からの同意を得ることが望ましいですし、仮に同意が得られない場合に報告に応じるか否かは、その照会の理由や当該個⼈情報の性質等に鑑み、個別の事案ごとに慎重に判断をする必要があると考えられます」とされており、⾦融機関は、弁護⼠会からの報告の請求について「個別の事案ごとに慎重に判断」を⾏っているが、同解釈に変更はないとの理解でよいか。

19

33

⾼齢顧客に対するアフターフォローや継続的な適合性確認に際し、家族から⾼齢顧客本⼈の健康状態や理解度の情報（例：認知症など）を得る
場合がある。本⼈とは⾯談できず同意を得ることができないものの、業務上の必要性から記録を残す必要があると考えるが、この場合「⼈の⽣命、⾝体
⼜は財産の保護のために必要がある場合であって、本⼈の同意を得ることが困難なとき」に該当し、認知症等の情報を本⼈の同意を得ずに取得できるとの理解でよいか。

20

35「本⼈を⽬視し、⼜は撮影することにより、その外⾒上明らかな要配慮個⼈情報を取得する場合」には本⼈同意が不要とされているが、知的障害または精神障害は、⽬視ではなく本⼈との会話におけるその様⼦等で取得することもあり、こうした場合も政令第 7 条第 1 号で本⼈の同意が不要となるか。
該当しないのであれば、そうした取得も、本⼈の同意なく当該要配慮個⼈情報を取得できる場合として⽰していただきたい。

21

40

⾦融分野における個⼈情報保護に関するガイドラインの第９条（データ内容の正確性の確保）において、「事業者は、預⾦者⼜は保険契約者等の個⼈データの保存期間については契約終了後⼀定期間内とする等、保有する個⼈データの利⽤⽬的に応じ保存期間を定め、当該期間を経過した個⼈データを消去することとする」とあるが、法 19 条の個⼈データを「利⽤する必要がなくなったときは、当該個⼈データを遅滞なく消去するよう努めなけ
ればならない」との努⼒義務は、⾦融分野における個⼈情報保護に関するガイドラインの規定以上の対応を求める趣旨ではないとの理解でよいか。
また、上記に関連して、「『⾦融分野における個⼈情報保護に関するガイドライン』（案）への意⾒⼀覧」（平成 16 年 12 ⽉ 28 ⽇公表）において、保存期間については、「保有する個⼈データごとに各事業者が利⽤⽬的に応じて保存期間を定めることが求められるものです」（項番 201）との回答があり、「ガイドライン第 9 条の適⽤に際しては、特定の利⽤⽬的に基づく保持の要件だけを配慮するのでなく、将来の妥当な必要性についても配慮すべきである」との意⾒に対しては、「保有する個⼈データの利⽤⽬的において、将来の必要性が認められる場合においては、対応した保存期間を定めることとなるものと考えられます」（項番 209）との回答がなされているが、改正法施⾏後も同解釈に変更はないとの理解でよいか。

7

No.

⾴

意⾒等

22

44

「（※1）「個⼈データの取扱いの委託」とは、契約の形態・種類を問わず、個⼈情報取扱事業者が他の者に個⼈データの取扱いを⾏わせることをいう。具体的には、個⼈データの⼊⼒、編集、分析、出⼒等の処理を⾏うことを委託すること等が想定される」との記載があるが、委託契約の条項等によって受託者が個⼈データを取り扱わない旨が定められており、適切なアクセス制御が⾏われている場合には、「保管・管理」、「配送・移送」、「廃棄・消去」の業務委託を⾏った場合でも、個⼈情報保護法上の委託には該当しない（個⼈データの取扱いの委託はしていない）との理解でよいか。
また、（上記の例に限らないが）個⼈情報保護法上の委託に該当する場合であっても、「取扱いを委託する個⼈データの内容を踏まえ、個⼈データが漏えい等をした場合に本⼈が被る権利利益の侵害の⼤きさを考慮し、委託する事業の規模及び性質、個⼈データの取扱状況（取り扱う個⼈データの性質及び量を含む。）等に起因するリスク」を委託元において勘案した結果、「3-3-4 委託先の監督」の「（１）適切な委託先の選定」、「（２）委託契約の締結」、「（３）委託先における個⼈データ取扱状況の把握」で⽰されている具体例よりも、簡易な措置を⾏うことも認められるとの理解で
よいか。

23

44

郵便・宅配業者（以下「郵便等業者」という。）を利⽤して、顧客等に個⼈データを含んだ書類を送付することは、郵便等業者への個⼈データの取扱
いの委託に該当するか。
仮に、個⼈データの取扱いの委託に該当するのであれば、以下の点を踏まえ、例えば、委託契約等ではなく、郵便法等の法令および内国郵便約款等により、郵便物等が適切に取り扱われることが確認できるのであれば、委託元として、法第 22 条の委託先の監督に係る必要かつ適切な措置がなされていると整理していただきたい。
・本ガイドライン案の「3-3-4 委託先の監督」において、「（１）適切な委託先の選定」、「（２）委託契約の締結」、「（３）委託先における個⼈データ取扱状況の把握」が求められているが、そのうち「（２）」および「（３）」の実施は現実的に困難。
・郵便等業者は、その郵送物の取扱いを鉄道業者等に再委託等を⾏う場合があるが、当該再委託等について、その都度、再委託先の個⼈データの取扱状況等を委託先が報告または委託元が直接確認することは現実的に困難。

24

55「『個⼈情報の保護に関する法律についての経済産業分野を対象とするガイドライン』等に関するＱ＆Ａ」の「項番 113」において、「共同利⽤開始
後、途中から新たな事業者が共同利⽤に参⼊することはできますか」との質問に対し、「共同利⽤開始後に新たな事業者が共同利⽤に参⼊しようとする場合には、原則として、共同して利⽤する者の範囲を変更することができず、改めて共同利⽤⼿続を採る必要があります。ただし、本⼈がどの事業者まで利⽤されるか判断できる程度に共同利⽤者の範囲が明確にされている場合には、個別列挙が必要でない場合もあると考えられますので、その場合には、引き続き共同利⽤を⾏うことができるものと考えます」と回答がなされているところ、改正法施⾏後も同解釈に変更はないとの理解でよいか。

25

86「8（別添）講ずべき安全管理措置の内容」については、法第 20 条、第 21 条、および第 22 条が、今回の改正前後で異なるところはないことからす
れば、現⾏法において適切とされていた安全管理措置を講じることで、改正法下における 20〜22 条の義務を果たしているとの理解でよいか。

8

No.

⾴

意⾒等

26

93

物理的安全管理措置の「管理区域」、「取扱区域」の措置は、「特定個⼈情報扱に関するガイドライン（事業者編）」の（別添）で⽰されている「管理区域」、「取扱区域」と同様の措置（各区域の明⽰等）まで求められていないとの理解でよいか。

9

３．個⼈情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）（案）に対する意⾒等
No.

⾴

意⾒等

1

5

「2-2 外国にある第三者」において、「外国の法令に準拠して設⽴され外国に住所を有する外国法⼈であっても、当該外国法⼈が法第 2 条第 5 項に規定する「個⼈情報取扱事業者」に該当する場合には、「外国にある第三者」には該当しない。例えば、外国法⼈であっても、⽇本国内に事務所を設置している場合、⼜は、⽇本国内で事業活動を⾏っている場合など、⽇本国内で「個⼈情報データベース等」を事業の⽤に供していると認められるときは、当該外国法⼈は、「個⼈情報取扱事業者」に該当するため、「外国にある第三者」には該当しない（事例）⽇系企業の東京本店が外資系企業の東京⽀店に個⼈データを提供する場合、当該外資系企業の東京⽀店は「個⼈情報取扱事業者」に該当し、「外国にある第三者」には該当しない。）」とされている。
ここで、「事例」のとおり、外資系企業の東京⽀店に個⼈データを提供（本⼈同意を得たもののほか、委託・事業承継・共同利⽤も含む）した後、当該東京⽀店から、外国の本店に個⼈データが送られた場合であっても、当該外国の本店は、法 75 条により法の域外適⽤を受けること、および同⼀法⼈内での個⼈データ授受であることから、法第 24 条にもとづく本⼈同意を改めて取得する必要はないとの理解でよいか（外国の「本店」に提供されることについて改めて同意を取得する必要はないか）。

2

5

外国にある「第三者」のうち、規則第 11 条に該当するものについては、法第 24 条の対象から除外されると理解しているが、次に掲げる者がそもそも「外国にある第三者」に該当するのか確認したい。また、今後策定されるガイドライン等でどのような者が外国にある第三者に該当するか明⽰いただきたい。
①ある⽇本企業が個⼈データの保管等を外国企業に委託する場合であって、保管場所（保管するサーバー等も含む）が⽇本にある場合の当該外国企業②ある⽇本企業が個⼈データの保管等を⽇本企業に委託する場合であって、保管場所（保管するサーバー等も含む）が外国にある場合の当該⽇本
企業

10

４．個⼈情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）（案）に対する意⾒等
No.

⾴

意⾒等

1

3

犯罪収益移転防⽌法にもとづく取引時確認⼿続を履⾏するために、法⼈顧客から実質的⽀配者（個⼈である場合を前提とする。以下同じ。）の個
⼈データを受領する場合は、法第 23 条第 1 項第 1 号に定める「法令に基づく場合」に該当し、確認・記録義務が適⽤されないとの理解でよいか。
また、銀⾏がアレンジャー／エージェントに就任するシンジケーション取引において、参加確定⾦融機関から、犯罪収益移転防⽌法にもとづく取引時確認事務を受託する場合に、銀⾏が法⼈顧客から実質的⽀配者の情報を受領するときは、法第 23 条第 1 項第 1 号に定める「法令に基づく場合」に該当
し、確認・記録義務が適⽤されないと解してよいか。
上段の例において、銀⾏も当該シンジケーションに貸付⼈として参加する（銀⾏も特定取引を⾏う当事者として取引時確認を⾏う）場合と、銀⾏は参加せずエージェントのみ務める（銀⾏との関係では特定取引が発⽣しない）場合とで、解釈に差異が⽣じ得るか。

2

3、

銀⾏がアレンジャー／エージェントに就任するシンジケーション取引において、参加確定⾦融機関から取引時確認事務を受託する場合に、犯罪収益移転

6

防⽌法にもとづき法⼈顧客から受領した実質的⽀配者の個⼈データを、当該参加確定⾦融機関に提供する。これは、本来であれば、法⼈顧客から各参加確定⾦融機関が実質的⽀配者の個⼈データを受領すべきところ、各参加確定⾦融機関の委任（準委任）を受け、アレンジャー／エージェントに就任した銀⾏が各参加確定⾦融機関に代わって受領し、それを各参加確定⾦融機関に提供しているものであり、法⼈顧客からすれば、実質的に各参加⾦融機関に提供しているとみなすことができることから、確認・記録義務が適⽤されないと解してよいか。
また、借⼊⼈の実質的⽀配者以外の個⼈データ（例えば借⼊に係る保証⼈の個⼈データ）について、当該保証⼈本⼈から直接アレンジャーに対して提供があり、他の⾦融機関への伝達を依頼された場合には、「本⼈に代わって提供」しており、確認・記録義務が適⽤されないと解してよいか。

3

6「2-2-1 提供者及び受領者に確認・記録義務が適⽤されない場合」において、「また、確認・記録義務の趣旨に鑑みて、その他にも、実質的に同義務が適⽤されない類型があることを排除するものではない」とあるが、現時点で他の類型があるのであれば明⽰いただきたい。また、今後、そうした類型をどのような⼿段で提⽰いただけるのか明⽰いただきたい。
加えて、ガイドライン案で記載された類型に、具体的な取引が該当するかどうかについては、個⼈情報取扱事業者で判断することが許容されているのか確
認したい。

4

6

外国送⾦は、「形式的には第三者提供の外形を有する場合であっても、確認・記録義務の趣旨に鑑みて、実質的に確認・記録義務を課する必要性に乏しい第三者提供」に該当すると考えられるが、その理解でよいか。

5

6

⼿形・⼩切⼿取引は、「形式的には第三者提供の外形を有する場合であっても、確認・記録義務の趣旨に鑑みて、実質的に確認・記録義務を課する
必要性に乏しい第三者提供」に該当すると考えられるが、その理解でよいか。

11

No.

⾴

意⾒等

6

6

電⼦記録債権取引は、「形式的には第三者提供の外形を有する場合であっても、確認・記録義務の趣旨に鑑みて、実質的に確認・記録義務を課する
必要性に乏しい第三者提供」に該当すると考えられるが、その理解でよいか。

7

6ATM のオンライン連携において、例えば、Ａ銀⾏のキャッシュカード所有者が、Ｂ銀⾏の ATM で出⾦を⾏う場合には、Ａ銀⾏とＢ銀⾏との間で当該カード所有者の個⼈データを授受することとなる。Ｂ銀⾏からＡ銀⾏に対する個⼈データの提供（⽀払要求の電⽂送信）は、「本⼈に代わって提供」されるものであり、Ａ銀⾏からＢ銀⾏に対する個⼈データの提供（⽀払許可電⽂）は、「提供者が、最終的に本⼈に提供することを意図した上で、受領者を介在して第三者提供を⾏う事例」であり、「形式的には第三者提供の外形を有する場合であっても、確認・記録義務の趣旨に鑑みて、実質的に確認・記録義務を課する必要性に乏しい第三者提供」に該当すると考えられるが、その理解でよいか。

86

従業員持株信託（従業員の依頼にもとづき雇⽤主である事業者と信託が個⼈データの授受をするもの）は、「形式的には第三者提供の外形を有する場合であっても、確認・記録義務の趣旨に鑑みて、実質的に確認・記録義務を課する必要性に乏しい第三者提供」に該当すると考えられるが、その理解でよいか。

96

財形貯蓄制度における⾦融機関および事業者間の勤労者にかかる個⼈データの授受は、以下の点から、「形式的には第三者提供の外形を有する場
合であっても、確認・記録義務の趣旨に鑑みて、実質的に確認・記録義務を課する必要性に乏しい第三者提供」に該当すると考えられるが、その理解で
よいか。
【説明】
財形貯蓄契約⾃体は、勤労者と⾦融機関の個別の貯蓄契約であるが、事業者と労働組合との間で締結される協定書において、「事業者が、給与から控除した⾦額を勤労者に代わって銀⾏等へ預⼊する等この貯蓄に必要な⼿続を⾏うものとする」等の⽂⾔が記されているようなケースは、勤労者が、貯蓄に関する⼿続き全般に関する代理権を事業者に付与しているものと考えることができる。また、事業者と労働組合との間で締結される協定書において、そのような記載がない場合においても、勤労者が事業主に対して天引依頼書を提出することからも、勤労者は、財形貯蓄制度のスキーム上、事業者が勤労者に代わって⾦融機関への預⼊⼿続きを⾏うなど、事業者が個⼈の取引に深く関与することを承知の上で、⾦融機関との間で貯蓄契約を締結しているものと考えることができる。したがって、事業者から⾦融機関への勤労者の個⼈データの提供は、「本⼈に代わって」提供を⾏っていると考えられる。
さらに、⾦融機関から事業者に対する勤労者の個⼈データの提供は、事業者を通じて勤労者に情報を伝えるために⾏われるものであり、「提供者が、最終的に本⼈に提供することを意図した上で、受領者を介在して第三者提供を⾏う事例」と考えられる。

12

No.

⾴

意⾒等

10

6

以下の取引は、顧客の依頼にもとづき個⼈データの授受を⾏うものであり、「形式的には第三者提供の外形を有する場合であっても、確認・記録義務の趣旨に鑑みて、実質的に確認・記録義務を課する必要性に乏しい第三者提供」に該当すると考えられるが、その理解でよいか。
・銀⾏のローンに関する信⽤保証会社と銀⾏間の情報授受・提携ローンにおける銀⾏と提携先（職域提携ローンにおける提携企業や、業者提携ローンにおける不動産業者等）間の情報授受

117「2-2-1-1 「提供者」の考え⽅（２）」において、「なお、本⼈から個⼈データの提供の委託等を受ける場合において、当該個⼈データに、「本⼈」以外の者の個⼈データが含まれる場合もあり得る」とある。その趣旨は、本⼈から個⼈データの提供の委託等を受けた場合において、当該個⼈データに「本⼈」
以外の者の個⼈データが含まれる場合があり、そうした場合においても確認義務・記録義務はないとの理解でよいか。

127

銀⾏が、本⼈からグループ会社等（証券会社・信託銀⾏・不動産会社等）の紹介を求められ、本⼈の「⽒名・住所等の連絡先・ニーズ（資産運⽤ニーズ等の単なるニーズ。具体的な⾦額等は含まない）」の情報を提供する場合は、本⼈に代わって個⼈データを提供している事例に当てはまるか。

138「2-2-1-1 『提供者』の考え⽅」の「（２）本⼈に代わって提供」において、「取引先・契約者から、専⾨業者・弁護⼠等の紹介を求められ、専⾨業者・弁護⼠等のリストから紹介を⾏う場合」は、提供者・受領者のいずれに対しても確認・記録義務は適⽤されないとされている。
これは、例えば、銀⾏が、取引先Ａ社からの依頼にもとづき、取引先Ｂ社の窓⼝担当者の⽒名・連絡先等を、同窓⼝担当者の同意を得て、Ａ社に伝達する場合にも該当するとの理解でよいか。

14

11「3-1-1 第三者の⽒名及び住所並びに法⼈にあっては、その代表者の⽒名」において、代表者の⽒名ではなく、当該代表者から権限委譲されている役
員等を確認・記録することで確認・記録義務が果たされていると整理していただきたい。

15

11

与信判断等のために、取引先から送付されるデータ（本⼈同意あり）に、「個⼈データ」が含まれるケースがある。⾦融機関として当該個⼈データの提供までは要求していない場合に、そうした望まない個⼈データの受領にまで確認・記録義務を課すことは、正常な事業活動を⾏う事業者に対し過度な負担を負わせることとなり妥当でない。このような場合には、「形式的には第三者提供の外形を有する場合であっても、確認・記録義務の趣旨に鑑みて、実質的に確認・記録義務を課する必要性に乏しい第三者提供」の類型とし、少なくとも受領者については確認・記録義務が課されないと整理いただきたい。

16

11

受領者に「提供を受ける」⾏為がないときは、確認・記録義務は適⽤されないとのことであるが、この提供が定期的・反復的に⾏われるものであっても、同様に記録・確認義務は適⽤されないという理解でよいか。

13

No.

⾴

意⾒等

17

12

規則第 15 条第２項においては、個⼈データ取得の経緯の確認を⾏う⽅法として、書⾯の提⽰を受ける⽅法に加え「その他の適切な⽅法」が認められているところ、例えば、「提供者に対し、個⼈データを適法に⼊⼿したことを対⾯もしくは電話等で⼝頭確認する⽅法」も許容されるとの理解でよいか。また、こうした書⾯によらない確認⽅法もガイドラインで例⽰いただきたい。
【理由】「適切な⽅法に該当する事例」として、事例１から事例 6 が掲げられているが、経緯の確認⽅法が、書⾯のみでは実務上の負荷が⾼いことから、業務円滑化、顧客への速やかなサービス提供の観点からも、書⾯以外の簡便な⽅法をガイドラインに例⽰頂きたいもの。

1814

既存取引先から、改正法施⾏後に、個⼈データの第三者提供を受けた場合には、既存取引先に関する確認を改めて⾏う必要はなく、既存取引先の同⼀性の確認を⾏えばよいとの理解でよいか。

19

27「記録事項の内容は同⼀でなければならないため、例えば、同⼀法⼈であっても、代表者が交代し、その後に記録を作成する場⾯では、改めて、新代表者の⽒名について記録しなければならない」とあるが、同⼀法⼈であれば、仮に代表者の⽒名がなくてもトレーサビリティの確保が可能であることから、当該部分を削除いただきたい。

14

５．個⼈情報の保護に関する法律についてのガイドライン（匿名加⼯情報編）（案）に対する意⾒等
No.

⾴

意⾒等

1

4

個⼈情報等と匿名加⼯情報の考え⽅について以下の理解をしているが、念のため以下のとおりでよいか確認したい。また、個⼈情報、個⼈データ、保有個⼈データ、匿名加⼯情報等の考え⽅を整理し、ガイドラインやＱ＆Ａ等で詳細に⽰していただきたい。
①個⼈情報（個⼈データ）について
・「個⼈情報」とは、⽣存する「個⼈に関する情報」であって、「当該情報に含まれる⽒名、⽣年⽉⽇その他の記述等により特定の個⼈を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個⼈を識別することができるものを含む。）」（法第 2 条第 1 項第 1 号）、⼜は「個⼈識別符号が含まれるもの」（同項第 2 号）をいい、「他の情報と容易に照合することができ」るとは、「通常の業務における⼀般的な⽅法で、他の情報と容易に照合することができる状態をいい、例えば、他の事業者への照会を要する場合等であって照合が困難な状態は、⼀般に、容易に照合することができない状態であると解される」とされている。
・ここで、仮に、個⼈情報取扱事業者Ａにおいて、ある個⼈の情報について、このような容易照合性が認められれば、当該情報について、個⼈情報取扱
事業者Ａ以外の第三者が「⼀般⼈の判断⼒⼜は理解⼒をもって⽣存する具体的な⼈物と情報の間に同⼀性を認めるに⾄ることができ」ない場合であっても、個⼈情報取扱事業者Ａにとって、当該情報が「個⼈情報」となるとの理解でよいか。
・上記の事例の場合、個⼈情報取扱事業者Ａにとっては「個⼈情報」であるが、第三者にとっては個⼈情報ではないとの理解でよいか。
・上記の事例の場合、個⼈情報取扱事業者Ａにとっては、「個⼈情報」（または個⼈データ）であることから、当該情報の取扱い等に当たっては、法第４章等の規制を受けることになるとの理解でよいか。
②匿名加⼯情報について
・「匿名加⼯情報」とは、「個⼈情報を個⼈情報の区分に応じて定められた措置を講じて特定の個⼈を識別することができないように加⼯して得られる個⼈に関する情報であって、当該個⼈情報を復元して特定の個⼈を再識別することができないようにしたもの」とされている。
・ここで、ガイドライン案（匿名加⼯情報編）における「特定の個⼈を識別することができないように加⼯」するとの趣旨は、「少なくとも、⼀般⼈及び⼀般的な事業者の能⼒、⼿法等を基準として当該情報を個⼈情報取扱事業者⼜は匿名加⼯情報取扱事業者が通常の⽅法により特定できないような状態にすることを求めるものである」とされているとおり、匿名加⼯情報は、匿名加⼯情報を作成しようとする主体にとっては、「通常の⽅法により特定できないような状態」にすることが求められており、かつ、匿名加⼯情報を受領する主体にとっては、「⼀般⼈の判断⼒⼜は理解⼒をもって⽣存する具体的な⼈物と情報の間に同⼀性を認め」ることができない状態になっていなければならないとの理解でよいか（⾮復元性についても同様）。

以 上

15