個⼈情報保護法の現在
ー令和３年改正法 2倍速徹底解説
弁護⼠・ひかり総合法律事務所
情報法制研究所（JILIS）理事板倉陽⼀郎

2021/9/29『情報法制レポート』創刊記念セミナー

1

⾃⼰紹介
•

2002年慶應義塾⼤学総合政策学部卒，2004年京都⼤学⼤学院情報学研究科社会情報学専攻修⼠課程修了，2007年慶應義塾⼤学法務研究科（法科⼤学院）修了。2008年
弁護⼠（ひかり総合法律事務所）。2016年4⽉よりパートナー弁護⼠。

•

2010年4⽉より2012年12⽉まで消費者庁に出向（消費者制度課個⼈情報保護推進室（現・個⼈情報保護委員会事務局）政策企画専⾨官）。2017年4⽉より理化学研究所
⾰新知能統合研究センター社会における⼈⼯知能研究グループ客員主管研究員，2018年5⽉より国⽴情報学研究所客員教授。2020年5⽉より⼤阪⼤学社会技術共創研究センター招へい教授。2021年4⽉より国⽴がん研究センター研究所医療AI研究開発
分野客員研究員。

2021/9/29•

消費者庁・デジタル・プラットフォーム企業が介在する消費者取引における環境整備等に関する検討会委員、総務省・情報通信法学研究会構成員、IoT推進コンソーシ
アム・データ流通促進ＷＧ委員等。

•

法とコンピュータ学会理事、⽇本メディカルＡＩ学会監事、⼀般社団法⼈データ社
会推進協議会監事等。

『情報法制レポート』創刊記念セミナー

2

近著

2021/9/29『情報法制レポート』創刊記念セミナー

32021/9/29『情報法制レポート』創刊記念セミナー

42020年改正の施⾏⽇：2021年4⽉1⽇
2021年改正（50条）の施⾏⽇：2021年4⽉1⽇（想定）2021年改正（51条）の施⾏⽇：2022年4⽉1⽇？
⇒事業者は2020年改正と2021年改正（50条）に同時に対応

2021/9/29『情報法制レポート』創刊記念セミナー

52021/9/29『情報法制レポート』創刊記念セミナー

62020年改正法法概要資料

1-1

4-1

1-2

4-2

1-3
1-4

5-1

1-5

5-2

2-1
6-1
2-2

2021/9/29

3-1

6-2

7-1
（略）

『情報法制レポート』創刊記念セミナー

7https://getnews.jp/archives/2905021/hirai_dg_01
より引⽤

2021/9/29『情報法制レポート』創刊記念セミナー

82021/9/29『情報法制レポート』創刊記念セミナー

9第174回個⼈情報保護委員会[資料1]「個⼈情報の保護に関する法律の改正等を伴うデジタル社会の形成を図る
ための関係法律の整備に関する法律の成⽴を受けた個⼈情報保護委員会の今後の取組（案）について 」

2021/9/29『情報法制レポート』創刊記念セミナー

10第174回個⼈情報保護委員会[資料1]「個⼈情報の保護に関する法律の改正等を伴うデジタル社会の形成を図るための関係法律の整備に関する法律の成⽴を受けた個⼈情報保護委員会の今後の取組（案）について 」

2021/9/29『情報法制レポート』創刊記念セミナー

11

第174回個⼈情報保護委員会[資料1]「個⼈情報の保護に関する法律の改正等を伴うデジタル社会の形成を図るための関係法律の整備に関する法律の成⽴を受けた個⼈情報保護委員会の今後の取組（案）について 」

2021/9/29『情報法制レポート』創刊記念セミナー

12

第174回個⼈情報保護委員会[資料1]「個⼈情報の保護に関する法律の改正等を伴うデジタル社会の形成を図るための関係法律の整備に関する法律の成⽴を受けた個⼈情報保護委員会の今後の取組（案）について 」

2021/9/29『情報法制レポート』創刊記念セミナー

13

第174回個⼈情報保護委員会[資料1]「個⼈情報の保護に関する法律の改正等を伴うデジタル社会の形成を図るための関係法律の整備に関する法律の成⽴を受けた個⼈情報保護委員会の今後の取組（案）について 」

2021/9/29『情報法制レポート』創刊記念セミナー

14

第181回個⼈情報保護委員会[資料1-1]「令和３年改正個⼈情報保護法 政令・規則・⺠間部⾨ガイドライン案について」

2021/9/29『情報法制レポート』創刊記念セミナー

15

第181回個⼈情報保護委員会[資料1-1]「令和３年改正個⼈情報保護法 政令・規則・⺠間部⾨ガイドライン案について」

2021/9/29『情報法制レポート』創刊記念セミナー

16

第181回個⼈情報保護委員会[資料1-1]「令和３年改正個⼈情報保護法 政令・規則・⺠間部⾨ガイドライン案について」

2021/9/29『情報法制レポート』創刊記念セミナー

17

第181回個⼈情報保護委員会[資料1-1]「令和３年改正個⼈情報保護法 政令・規則・⺠間部⾨ガイドライン案について」

2021/9/29『情報法制レポート』創刊記念セミナー

18

第185回個⼈情報保護委員会[資料3]「公的部⾨ガイドラ
イン等の作成について（令和３年個⼈情報保護法改正関係） 」

2021/9/29『情報法制レポート』創刊記念セミナー

19

第185回個⼈情報保護委員会[資料3]「公的部⾨ガイドラ
イン等の作成について（令和３年個⼈情報保護法改正関係） 」

2021/9/29『情報法制レポート』創刊記念セミナー

20

第185回個⼈情報保護委員会[資料3]「公的部⾨ガイドラ
イン等の作成について（令和３年個⼈情報保護法改正関係） 」

2021/9/29『情報法制レポート』創刊記念セミナー

21

第185回個⼈情報保護委員会[資料3]「公的部⾨ガイドラ
イン等の作成について（令和３年個⼈情報保護法改正関係） 」

2021/9/29『情報法制レポート』創刊記念セミナー

22

第185回個⼈情報保護委員会[資料3]「公的部⾨ガイドラ
イン等の作成について（令和３年個⼈情報保護法改正関係） 」

2021/9/29『情報法制レポート』創刊記念セミナー

23定義の場所の変更
・⺠間部⾨・公的部⾨共通の定義は2条に残る・⺠間部⾨のみの概念は16条へ
・公的部⾨のみの概念は60条へ
個⼈情報保護法（2020年改正後）

独法等個⼈情報保護法

50条・51条改正後

2条1項〜3項

2条2項〜4項

2条1項〜3項

2条1項

2条8項〜11項

2条4項〜7項
2条8項〜9項

16条1項〜4項
2条7項

2条4項〜5項

2条10項
2条11項

16条5項
2条8項（⾮識別加⼯情報）

2条6項

2条12項

16条6項

26条の2第1項柱書（個⼈関連情報）

2条7項

26条の2第1項柱書（個⼈関連情報取扱事業
者）

16条7項

2021/9/29

2条5項〜6項（保有個⼈情報，個⼈情報
ファイル）『情報法制レポート』創刊記念セミナー

60条1項〜2項
24

2021/9/29『情報法制レポート』創刊記念セミナー

25

第174回個⼈情報保護委員会[資料1]「個⼈情報の保護に関する法律の改正等を伴うデジタル社会の形成を図るための関係法律の整備に関する法律の成⽴を受けた個⼈情報保護委員会の今後の取組（案）について 」

2021/9/29『情報法制レポート』創刊記念セミナー

26

2021/9/29『情報法制レポート』創刊記念セミナー

27

2021/9/29『情報法制レポート』創刊記念セミナー

28

2021/9/29『情報法制レポート』創刊記念セミナー

29

主体

適⽤法令

個⼈情報取扱事業者（⺠間事業者）

適⽤除外なし適⽤除外あり国の⾏政機関

独⽴⾏政法⼈等個⼈情報保護法

個⼈情報保護法（第4章（義務規定）適⽤なし）⾏政機関個⼈情報保護法

独⽴⾏政法⼈等個⼈情報保護法

例

主体

適⽤法令

例

個⼈情報取扱事業者

個⼈情報保護法（第4章）

⺠間企業（外国の企業
を含む），私⽴⼤学

国の⾏政機関個⼈情報保護法（第5章）

国の⾏政機関

別表第2に掲げる法⼈以外

個⼈情報保護法（第5
章）

⽇本銀⾏

別表第2に掲げる法⼈

個⼈情報保護法（第4章）（⼀部第5章）

国⽴⼤学法⼈，国⽴研
究開発法⼈

病院及び⼤学の運営以外

個⼈情報保護法（第5章）

都道府県，市区町村の⾸⻑部局

病院及び⼤学の運営

個⼈情報保護法（第4章）（⼀部第5章）

市⽴病院，茨城県⽴医療⼤学

適⽤除外されたもの以外

個⼈情報保護法（第5章）

秋⽥県⽴療育機構

適⽤除外されたもの

個⼈情報保護法（第4章）（⼀部第5章）

横浜市⽴⼤学⺠間企業（外国の企業を含む）

私⽴⼤学（学術
研究⽬的），報道機関（報道⽬的）等

国の⾏政機関

独⽴⾏政法⼈等

地⽅公共団体の機関

国⽴⼤学法⼈，国⽴研究開発法⼈
地⽅独⽴⾏政法⼈

地⽅公共団体の機関

2021/9/29

個⼈情報保護条例

都道府県・市区町村の機関，公⽴⼤学法⼈『情報法制レポート』創刊記念セミナー

30

規律移⾏法⼈の⼀部第5章適⽤：58条1項• 個⼈情報取扱事業者⼜は匿名加⼯情報取扱事業者のうち次に掲
げる者については、第三⼗⼆条から第三⼗九条まで及び第四節の規定は、適⽤しない。
• ⼀ 別表第⼆に掲げる法⼈• ⼆ 地⽅独⽴⾏政法⼈のうち地⽅独⽴⾏政法⼈法第⼆⼗⼀条第⼀号に掲げる業務を主たる⽬的とするもの⼜は同条第⼆号若しくは第三号（チに係る部分に限る。）に掲げる業務を⽬的とするもの※32条から29条まで＝開⽰等の請求等
第4章第4節＝匿名加⼯情報取扱事業者等の義務

2021/9/29『情報法制レポート』創刊記念セミナー

31

独⽴⾏政法⼈等：別表第２
名

称

根拠法

沖縄科学技術⼤学院⼤学学園

沖縄科学技術⼤学院⼤学学園法

国⽴研究開発法⼈

独⽴⾏政法⼈通則法

国⽴⼤学法⼈

国⽴⼤学法⼈法

⼤学共同利⽤機関法⼈

国⽴⼤学法⼈法

独⽴⾏政法⼈国⽴病院機構

独⽴⾏政法⼈国⽴病院機構法（平成⼗四年法律第百九⼗⼀号）

独⽴⾏政法⼈地域医療機
能推進機構

独⽴⾏政法⼈地域医療機能推進機構法（平成⼗七年法律第七⼗⼀号）

放送⼤学学園放送⼤学学園法2021/9/29『情報法制レポート』創刊記念セミナー

32

地⽅公共団体の機関：58条2項• 次の各号に掲げる者が⾏う当該各号に定める業務における個⼈情報、
仮名加⼯情報⼜は個⼈関連情報の取扱いについては、個⼈情報取扱
事業者、仮名加⼯情報取扱事業者⼜は個⼈関連情報取扱事業者による個⼈情報、仮名加⼯情報⼜は個⼈関連情報の取扱いとみなして、
この章（第三⼗⼆条から第三⼗九条まで及び第四節を除く。）及び第六章から第⼋章までの規定を適⽤する。
• ⼀ 地⽅公共団体の機関• 医療法（昭和⼆⼗三年法律第⼆百五号）第⼀条の五第⼀項に規定する病院（次号において「病院」という。）及び同条第⼆項に規定する診療所並びに• 学校教育法（昭和⼆⼗⼆年法律第⼆⼗六号）第⼀条に規定する⼤学の運営• ⼆ 独⽴⾏政法⼈労働者健康安全機構 病院の運営
2021/9/29『情報法制レポート』創刊記念セミナー

33

地⽅独⽴⾏政法⼈：2条11項4号• 地⽅独⽴⾏政法⼈（地⽅独⽴⾏政法⼈法第⼆⼗⼀条第⼀号に掲げる業務を主たる⽬的とするもの⼜は同条第⼆号若しくは第三号（チに係る部分に限る。）に掲げる業務を⽬的とするものを除く。第⼗六条第⼆項第四号、第六⼗三条、第七⼗⼋条第⼀項
第七号イ及びロ、第⼋⼗九条第七項から第九項まで、第百⼗九条第⼋項から第⼗項まで並びに第百⼆⼗五条第⼆項において同じ。）

2021/9/29『情報法制レポート』創刊記念セミナー

34

地⽅独⽴⾏政法⼈法
地⽅独⽴⾏政法⼈法21条1項

2条11項4号での除外対象

⼀ 試験研究を⾏うこと及び当該試験研究の成果を活 主たる⽬的とするもの
⽤する事業であって政令で定めるもの⼜は当該試験研究の成果の活⽤を促進する事業であって政令で定めるものを実施する者に対し、出資を⾏うこと。
⼆ ⼤学⼜は⼤学及び⾼等専⾨学校の設置及び管理を ⽬的とするもの
⾏うこと並びに当該⼤学⼜は⼤学及び⾼等専⾨学校における技術に関する研究の成果の活⽤を促進する事業であって政令で定めるものを実施する者に対し、出資を⾏うこと。
三 主として事業の経費を当該事業の経営に伴う収⼊ ⽬的とするもの
をもって充てる事業で、次に掲げるものを経営すること。
イ〜ト （略）
チ 病院事業リ （略）2021/9/29
四〜七（略）『情報法制レポート』創刊記念セミナー

35

個⼈情報保護委員会「公的部⾨（国の⾏政機関等・地⽅
公共団体等）における個⼈情報保護の規律の考え⽅（令和３年個⼈情報保護法改正関係）」

2021/9/29『情報法制レポート』創刊記念セミナー

36

個⼈情報保護委員会「公的部⾨（国の⾏政機関等・地⽅
公共団体等）における個⼈情報保護の規律の考え⽅（令和３年個⼈情報保護法改正関係）」

2021/9/29『情報法制レポート』創刊記念セミナー

37

不適正利⽤禁⽌（参考）
17条1項（改正なし）
個⼈情報取扱事業者は、偽りその他不正の⼿段により個⼈情報を取得してはならない。

（参考）施⾏令第4条
法第2条第7項の政令で定めるものは、次に掲げるものとする。
⼀ （略）⼆ 当該個⼈データの存否が明らかになることにより、違法⼜は不当な⾏為を助⻑し、⼜は誘発するおそれがあるもの
三・四 （略）新63条
⾏政機関の⻑（第⼆条第⼋項第四号及び第五号の政令で定める機関にあって は、その機関ごとに政令で定める者をいう。以下この章及び第百七⼗四条において同じ。）、地⽅公共団体の機関、独⽴⾏政法⼈等及び地⽅独⽴⾏政法⼈（以下この章及び次章におい て「⾏政機関の⻑等」という。）は、違法⼜は不当な⾏為を助⻑し、⼜は誘発するおそれ がある⽅法により個⼈情報を利⽤してはならない。

GL通則編2-7(2) 当該個⼈データの存否が明らかになることにより、違法⼜は不当な⾏為を助⻑し、⼜は誘発するおそれがあるもの。
事例 1）暴⼒団等の反社会的勢⼒による不当要求の被害等を防⽌するために事業者が保有している、当該反社会的勢⼒に該当する⼈物を本⼈とする個⼈データ
事例 2）不審者や悪質なクレーマー等による不当要求の被害等を防⽌するために事業者が保有している、当該⾏為を⾏った者を本⼈とする
個⼈データ

2021/9/29『情報法制レポート』創刊記念セミナー

38参考：第16条の2（令和3年改正後19条）関係

GL通則編

GL通則編3-2 不適正利⽤の禁⽌（法第 16 条の 2 関係）
個⼈情報取扱事業者は、違法⼜は不当な⾏為（※1）を助⻑し、⼜は誘発するおそれ（※2）がある⽅法により個⼈情報を利⽤してはならない。
【個⼈情報取扱事業者が違法⼜は不当な⾏為を助⻑し、⼜は誘発するおそれがある⽅法により個⼈情報を利⽤している事例】
事例1）違法な⾏為を営むことが疑われる事業者（例：貸⾦業登録を⾏っていない貸⾦業者等）からの突然の接触による本⼈の平穏な⽣活を送る権利の侵害等、当該事業者の違法な⾏為を助⻑するおそれが想定されるにもかかわらず、当該事業者に当該本⼈の個⼈情報を提供する場合
事例 2）裁判所による公告等により散在的に公開されている個⼈情報（例：官報に掲載される破産者情報）を、当該個⼈情報に係る本⼈に対する違法な差別が、不特定多数の者によって誘発されるおそれがあることが予⾒できるにもかかわらず、それを集約してデータベース化し、インターネット上で公開する場合
事例3）暴⼒団員により⾏われる暴⼒的要求⾏為等の不当な⾏為や総会屋による不当な要求を助⻑し、⼜は誘発するおそれが予⾒できるにもかかわらず、事業者間で共有している暴⼒団員等に該当する⼈物を本⼈とする個⼈情報や、不当要求による被害を防⽌するために必要な業務を⾏う各事業者の責任者の名簿等を、みだりに開⽰し、⼜は暴⼒団等に対しその存在を明らかにする場
合事例 4）個⼈情報を提供した場合、提供先において法第 23 条第 1 項に違反する第三者提供がなされることを予⾒できるにもかかわらず、当該提供先に対して、個⼈情報を提供する場合⇒「・個⼈情報の第三者提供の場⾯において、提供元に対して提供先の利⽤⽬的等の確認を求める趣旨ではありません。
・もっとも、例えば、提供の時点において、提供先が個⼈情報を違法に利⽤していることを疑わせる事情があり、提供元が⾃⼰の提供した個⼈情報も違法に利⽤されることを⼀般的な注意⼒をもって予⾒できるにもかかわらず、個⼈情報を提供した場合には、提供元の不適正利⽤に該当する可能性があると考えられますので、この観点から、提供に先⽴って提供先の利⽤⽬的等を確認することは望ましいと考えられます。」（パブコメ回答概要2）
事例5）採⽤選考を通じて個⼈情報を取得した事業者が、性別、国籍等の特定の属性のみにより、正当な理由なく本⼈に対する違法な差別的取扱いを⾏うために、個⼈情報を利⽤する場合
事例6）広告配信を⾏っている事業者が、第三者から広告配信依頼を受けた商品が違法薬物等の違法な商品であることが予⾒できるにもかかわらず、当該商品の広告配信のために、⾃社で取得した個⼈情報を利⽤する場合（※1）「違法⼜は不当な⾏為」とは、法（個⼈情報の保護に関する法律）その他の法令に違反する⾏為、及び直ちに違法とはいえないものの、法（個⼈情報の保護に関する法律）その他の法令の制度趣旨⼜は公序良俗に反する等、社会通念上適正とは認められない⾏為をいう。
（※2）「おそれ」の有無は、個⼈情報取扱事業者による個⼈情報の利⽤が、違法⼜は不当な⾏為を助⻑⼜は誘発することについて、社会通念上蓋然性が認められるか否かにより判断される。
この判断に当たっては、個⼈情報の利⽤⽅法等の客観的な事情に加えて、個⼈情報の利⽤時点における個⼈情報取扱事業者の認識及び予⾒可能性も踏まえる必要がある。例えば、個⼈情報取扱事業者が第三者に個⼈情報を提供した場合において、当該第三者が当該個⼈情報を違法な⾏為に⽤いた場合であっても、当該第三者が当該個⼈情報の取得⽬的を偽っていた等、当該個⼈情報の提供の時点において、提供した個⼈情報が違法に利⽤されることについて、当該個⼈情報取扱事業者が⼀般的な注意⼒をもってしても予⾒できない状況であった場合には、「おそれ」は認められないと解される。

2021/9/29『情報法制レポート』創刊記念セミナー

39

適正取得

（参考）
東京都個⼈情報の保護に関する条例第4条
実施機関は、個⼈情報を収集するときは、個⼈情報を取り扱う事務の⽬的を明確にし、当該事務の⽬的を達成するために必要な範囲内で、適法かつ公正な⼿段により収集しなければならない。
2 実施機関は、思想、信教及び信条に関する個⼈情報並びに社会的差別の原因となる個⼈情報については、収集してはならない。ただし、法令⼜は条例(以下「法令等」という。)に定めがある場合及び個⼈情報を取り扱う事務の⽬的を達成するために当該個⼈情報が必要かつ⽋くことができない場合は、この限りでない。
3 実施機関は、個⼈情報を収集するときは、本⼈からこれを収集しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りでない。
⼀ 本⼈の同意があるとき。
⼆ 法令等に定めがあるとき。
三 出版、報道等により公にされているとき。
四 個⼈の⽣命、⾝体⼜は財産の安全を守るため、緊急かつやむを得ないと認められるとき。
五 所在不明、精神上の障害による事理を弁識する能⼒の⽋如等の事由により、本⼈から収集することができないとき。
六 争訟、選考、指導、相談等の事務で本⼈から収集したのではその⽬的を達成し得ないと認められるとき、⼜は事務の性質上本⼈から収集したのでは事務の適正な執⾏に⽀障が⽣ずると認められるとき。
七 国、独⽴⾏政法⼈等、他の地⽅公共団体若しくは地⽅独⽴⾏政法⼈(都が設⽴した地⽅独⽴⾏政法⼈を除く。第⼗条第⼆項第六号において同じ。)から収集することが事務の執⾏上やむを得ないと認められる場合⼜は第⼗条第⼀項各号のいずれかに該当する利⽤若しくは同条第⼆項各号のいずれかに該当する提供により収集する場
合で、本⼈の権利利益を不当に侵害するおそれがないと認められるとき。
4 前⼆項の規定は、犯罪の予防、鎮圧⼜は捜査、被疑者の逮捕、交通の取締りその他の公共の安全と秩序の維持に係る事務については、適⽤しない。

2021/9/29

新64条
⾏政機関の⻑等は、偽りその他不正の⼿段により個⼈情報を取得してはならない。

『情報法制レポート』創刊記念セミナー

40

漏えい報告・通知等の義務化

参考：個⼈データの漏えい等の事案が発⽣した場合等の対応について（平成 29 年個⼈情報保護委員会告⽰第１号）（⺠間部⾨）
１．対象とする事案
本告⽰は、次の（1）から（3）までのいずれかに該当する事案（以下「漏えい等事案」と いう。）を対象とする。
（1）個⼈情報取扱事業者が保有する個⼈データ（特定個⼈情報に係るものを除く。）の漏 えい、滅失⼜は毀損（2）個⼈情報取扱事業者が保有する加⼯⽅法等情報（個⼈情報の保護に関する法律施⾏規 則（平成 28 年 10 ⽉５⽇個⼈情報保護委員会
規則第３号）第 20 条第１号に規定する加⼯⽅法等情報をいい、特定個⼈情報に係るものを除く。）の漏えい（3）上記（1）⼜は（2）のおそれ
２．漏えい等事案が発覚した場合に講ずべき措置
個⼈情報取扱事業者は、漏えい等事案が発覚した場合は、次の（1）から（6）に掲げる事 項について必要な措置を講ずることが望ましい。
（1）事業者内部における報告及び被害の拡⼤防⽌責任ある⽴場の者に直ちに報告するとともに、漏えい等事案による被害が発覚時より も拡⼤しないよう必要な措置を講ずる。
（2）事実関係の調査及び原因の究明
漏えい等事案の事実関係の調査及び原因の究明に必要な措置を講ずる。
（3）影響範囲の特定
上記(2)で把握した事実関係による影響の範囲を特定する。
（4）再発防⽌策の検討及び実施
上記（2）の結果を踏まえ、漏えい等事案の再発防⽌策の検討及び実施に必要な措置を 速やかに講ずる。
（5）影響を受ける可能性のある本⼈への連絡等
漏えい等事案の内容等に応じて、⼆次被害の防⽌、類似事案の発⽣防⽌等の観点から、 事実関係等について、速やかに本⼈へ連絡し、⼜は本⼈が容易に知り得る状態に置く。
（6）事実関係及び再発防⽌策等の公表
漏えい等事案の内容等に応じて、⼆次被害の防⽌、類似事案の発⽣防⽌等の観点から、 事実関係及び再発防⽌策等について、速やかに公表する。
３．個⼈情報保護委員会等への報告
個⼈情報取扱事業者は、漏えい等事案が発覚した場合は、その事実関係及び再発防⽌策等 について、個⼈情報保護委員会等に対し、次のとおり速やかに報告するよう努める。
（1）報告の⽅法
原則として、個⼈情報保護委員会に対して報告する。ただし、法第 47 条第１項に規定する認定個⼈情報保護団体の対象事業者である個⼈
情報取扱事業者は、当該認定個⼈情報保 護団体に報告する。
上記にかかわらず、法第 44 条第１項に基づき法第 40 条第１項に規定する個⼈情報保護委員会の権限（報告徴収及び⽴⼊検査）が事業所
管⼤⾂に委任されている分野における個⼈情報取扱事業者の報告先については、別途公表するところによる（※1）。
（※1） 法第 44 条第１項に基づき法第 40 条第１項に規定する個⼈情報保護委員会の権限が事業所管⼤⾂に委任されている分野の詳細についても、別途公表す るところによる。
（2）報告を要しない場合
次の①⼜は②のいずれかに該当する場合は、報告を要しない（※2）。
（※2） この場合も、事実関係の調査及び原因の究明並びに再発防⽌策の検討及び実施をはじめとする上記 2.の各対応を実施することが、同様に望ましい。

新68条
⾏政機関の⻑等は、保有個⼈情報の漏えい、滅失、毀損その他の保有個⼈情報の安全の確保に係る事態であって個⼈の権利利益を害する
おそれが⼤きいものとして個⼈情報保護委員会規則で定めるものが⽣じたときは、個⼈情報保護委員会規則で定めるところにより、当該事態が⽣じた旨を個⼈情報保護委員会に報告しなければならない。
２ 前項に規定する場合には、⾏政機関の⻑等は、本⼈に対し、個⼈情報保護委員会規則で定めるところにより、当該事態が⽣じた旨を通知しなければならない。ただし、次の各号のいずれかに該当するときは、
この限りでない。
⼀ 本⼈への通知が困難な場合であって、本⼈の権利利益を保護するた
め必要なこれに代わるべき措置をとるとき。
⼆ 当該保有個⼈情報に第七⼗⼋条第⼀項各号に掲げる情報のいずれかが含まれるとき。

①実質的に個⼈データ⼜は加⼯⽅法等情報が外部に漏えいしていないと判断される場合（※3）（※3） なお、「実質的に個⼈データ⼜は加⼯⽅法等情報が外部に漏えいしていないと判断される場合」には、例えば、次のような場合が該当する。
・漏えい等事案に係る個⼈データ⼜は加⼯⽅法等情報について⾼度な暗号化 等の秘匿化がされている場合
・漏えい等事案に係る個⼈データ⼜は加⼯⽅法等情報を第三者に閲覧されな いうちに全てを回収した場合・漏えい等事案に係る個⼈データ⼜は加⼯⽅法等情報によって特定の個⼈を 識別することが漏えい等事案を⽣じた事業者以外ではできない場合（ただ し、漏えい等事案に係る個⼈データ⼜は加⼯⽅法等情報のみで、本⼈に被害 が⽣じるおそれのある情報が漏えい等した場合を除く。）
・個⼈データ⼜は加⼯⽅法等情報の滅失⼜は毀損にとどまり、第三者が漏えい 等事案に係る個⼈データ⼜は加⼯⽅法等情報を閲覧することが合理的に予 測できない場合②FAX 若しくはメールの誤送信、⼜は荷物の誤配等のうち軽微なものの場合（※4）（※4） なお、「軽微なもの」には、例えば、次のような場合が該当する。
・FAX 若しくはメールの誤送信、⼜は荷物の誤配等のうち、宛名及び送信者名以外に個⼈データ⼜は加⼯⽅法等情報が含まれていない場
合2021/9/29『情報法制レポート』創刊記念セミナー

41

漏えい報告・通知等の義務化（個⼈の権利利益を害するおそれが⼤きいもの）
新規則案43条
法第68条第1項の個⼈の権利利益を害するおそれが⼤きいものとして個⼈情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。
⼀ 要配慮個⼈情報が含まれる保有個⼈情報（⾼度な暗号化その他の個⼈の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第⼀項において同じ。）の漏えい、滅失若しくは毀損（以下「漏えい等」という。）が発⽣し、⼜は発⽣したおそれがある事態
⼆ 不正に利⽤されることにより財産的被害が⽣じるおそれがある保有個⼈情報の漏えい等が発⽣し、⼜は発⽣したおそれがある事態
三 不正の⽬的をもって⾏われたおそれがある保有個⼈情報の漏えい等が発⽣し、⼜は発⽣したおそれがある事態
四 保有個⼈情報に係る本⼈の数が百⼈を超える漏えい等が発⽣し、⼜は発⽣したおそれがある事態（個⼈情報保護委員会への報告）
新規則案44条
個⼈情報取扱事業者は、法第68条第1項の規定による報告をする場合には、前条各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時
点において把握しているものに限る。）を報告しなければならない。
⼀ 概要
⼆ 漏えい等が発⽣し、⼜は発⽣したおそれがある保有個⼈情報の項⽬
三 漏えい等が発⽣し、⼜は発⽣したおそれがある保有個⼈情報に係る本⼈の数
四 原因
五 ⼆次被害⼜はそのおそれの有無及びその内容
六 本⼈への対応の実施状況
七 公表の実施状況
⼋ 再発防⽌のための措置
九 その他参考となる事項
２ 前項の場合において、個⼈情報取扱事業者は、当該事態を知った⽇から三⼗⽇以内（当該事態が前条第三号に定めるものである場合にあっては、六⼗⽇以内）に、当該事態に関する前項各号に定める事項を報告しなければならない。
３ 法第68条第1項の規定による報告は、電⼦情報処理組織（個⼈情報保護委員会の使⽤に係る電⼦計算機と報告をする者の使⽤に係る電⼦計算機とを電気通信回線で接続した電⼦情報処理組織をいう。以下この項において同じ。）を使⽤する⽅法（電気通信回線の故障、災害その他の理由により電⼦情報処理組織を使⽤することが困難であると認められる場合にあっては、別記様式第六による報告書を提出する⽅法）により⾏うものとする。

2021/9/29『情報法制レポート』創刊記念セミナー

42

漏えい報告・通知等の義務化（本⼈に対する通知）
新規則案第45条
⾏政機関の⻑等は、法第68条第2項本⽂の規定による通知をする場合には、第43条各号に定める事態を知った後、当該事態の状況に応じて速やかに、当該本⼈の権利利益を保護するために必要な範囲において、前条第1項第1号、第2号、第4号、第5号及び第9号に定める事項を通知しなければならない。
［新設］（個

2021/9/29

個⼈情報保護委員会への速報（44条第1項）

個⼈情報保護委員会への確報（44条第2項）

本⼈に対する通知
（45条）

通知事項

44条第1項各号（その時点で把握しているもの）

44条第1項各号

6条の3第1項1号，2号，4号，5号及び9号

期限

事態を知った後速や30⽇以内（3号事態
かに（通則GLでは概 の場合60⽇以内）
ね3〜5⽇）『情報法制レポート』創刊記念セミナー

事態を知った後事態の状況に応じて速やかに43

外国にある第三者への提供制限

参考：新第24条（令和3年改正後28条）
個⼈情報取扱事業者は、外国（本邦の域外にある国⼜は地域をいう。以下同じ。）（個⼈の権利利益を保護する上で我が国と同等の⽔準にあると認められる個⼈情報の保護に関する制度を有している外国として個⼈情報保護委員会規則で定めるものを除く。以下この条及び第26条の2第1項第2号において同じ。）にある第三者（個⼈デー
タの取扱いについてこの節の規定により個⼈情報取扱事業者が講ずべきこととされている措置に相当する措置（第三項において「相当措置」という。）を継続的に講ずるために必要なものとして個⼈情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この項及び次項並びに同号において同じ。）に個⼈データを提供する場合には、前条第1項各号に掲げる場合を除くほか、あらかじめ外国にある
第三者への提供を認める旨の本⼈の同意を得なければならない。この場合においては、同条の規定は、適⽤しない。
２ 個⼈情報取扱事業者は、前項の規定により本⼈の同意を得ようとする場合には、
個⼈情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個⼈情報の保護に関する制度、当該第三者が講ずる個⼈情報の保護のための措置
その他当該本⼈に参考となるべき情報を当該本⼈に提供しなければならない。
３ 個⼈情報取扱事業者は、個⼈データを外国にある第三者（第⼀項に規定する体制を整備している者に限る。）に提供した場合には、個⼈情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本⼈の求めに応じて当該必要な措置に関する情報を当該本⼈に提供しなければならない。

2021/9/29

新第71条
⾏政機関の⻑等は、外国（本邦の域外にある国⼜は地域をいう。以下この条において同じ。）（個⼈の権利利益を保護する上で我が国と同等の⽔準にあると認められる
個⼈情報の保護に関する制度を有している外国として個⼈情報保護委員会規則で定めるものを除く。以下この条において同じ。）にある第三者（第16条第3項に規定する個⼈データの取扱いについて前章第⼆節の規定により同条第2項に規定する個⼈情報取扱事業者が講ずべきこととされている措置に相当する措置（第三項において「相当措置」という。）を継続的に講ずるために必要なものとして個⼈情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この項及び次項において同じ。）に利⽤⽬的以外の⽬的のために保有個⼈情報を提供する場合には、法令に基づく場合及び第69条第2項第4号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本⼈の同意を得なければならない。
２ ⾏政機関の⻑等は、前項の規定により本⼈の同意を得ようとする場合には、個⼈
情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個⼈情報の保護に関する制度、当該第三者が講ずる個⼈情報の保護のための措置その他当該本
⼈に参考となるべき情報を当該本⼈に提供しなければならない。
３ ⾏政機関の⻑等は、保有個⼈情報を外国にある第三者（第⼀項に規定する体制を整備している者に限る。）に利⽤⽬的以外の⽬的のために提供した場合には、法令に基づく場合及び第69条第2項第4号に掲げる場合を除くほか、個⼈情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本⼈の求めに応じて当該必要な措置に関する情報を当該本⼈に提供しなければならない。
新第69条2項4号
前三号に掲げる場合のほか、専ら統計の作成⼜は学術研究の⽬的のために保有個⼈情報を提供するとき、本⼈以外の者に提供することが明らかに本⼈の利益になるとき、その他保有個⼈情報を提供することについて特別の理由があるとき。

『情報法制レポート』創刊記念セミナー

44

71条の⾏為規制
本⼈

外国にある
第三者

⾏政機関の⻑等

「同等の⽔準」EU/EEA・UK

当該外国における個⼈情報の保護に関する制度、当該第三者が講ずる個⼈情報の保護のための措置その他当該本⼈に参考とな
るべき情報

本⼈

「必要な措置」に関する情報
本⼈

2021/9/29

外国にある
第三者

71条1項の同意 ⾏政機関の⻑等求め

個⼈情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置

⾏政機関の⻑等

『情報法制レポート』創刊記念セミナー

外国にある
第三者
相当措置
外国第三者GLでは①契約等
45
or➁APEC-CBPR

外国にある第三者への提供制限（個⼈情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要な体制の基準）
新規則案第46条
法第71条第1項の個⼈情報保護委員会規則で定める基準は、次の各号のいずれかに該当することとする。
⼀ ⾏政機関の⻑等と保有個⼈情報の提供を受ける者との間で、当該提供を受ける者における当該保有個⼈情報の取扱いについて、適切かつ合理的な⽅法により、法第四章第⼆節の規定の趣旨に沿った措置の実施が確保されていること。
⼆ 保有個⼈情報の提供を受ける者が、個⼈情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。
（外国にある第三者への提供に係る同意取得時の情報提供）
新規則案第47条
第71条第2項の規定により情報を提供する⽅法は、電磁的記録の提供による⽅法、書⾯の交付による⽅法その他の適切な⽅法とする。
２
法第71条第2項の規定による情報の提供は、次に掲げる事項について⾏うものとする。
⼀
当該外国の名称
⼆ 適切かつ合理的な⽅法により得られた当該外国における個⼈情報の保護に関する制度に関する情報
三当該第三者が講ずる個⼈情報の保護のための措置に関する情報
３
前項の規定にかかわらず、⾏政機関の⻑等は、法第71条第1項の規定により本⼈の同意を得ようとする時点において、前項第1号に定める事項が特定できない場合には、同号及び同項第2号に定める事項に代えて、次に掲げる事項について情報提供しなければならない。
⼀
前項第⼀号に定める事項が特定できない旨及びその理由⼆
前項第⼀号に定める事項に代わる本⼈に参考となるべき情報がある場合には、当該情報
４第2項の規定にかかわらず、個⼈情報取扱事業者は、法第71条第1項の規定により本⼈の同意を得ようとする時点において、第2項第3号に定める事項について情報提供できない場合には、同号に定める事項に代えて、その旨及びその理由について情報提供しなければならない。
（外国にある第三者による相当措置の継続的な実施を確保するために必要な措置等）
新規則案第48条
法第71条第3項の規定による外国にある第三者による相当措置の継続的な実施を確保するために必要な措置は、次に掲げる措置とする。
⼀ 当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な⽅法により、定期的に確認すること。
⼆ 当該第三者による相当措置の実施に⽀障が⽣じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個⼈データ（第⼆⼗六条の⼆第⼆項において読み替えて準⽤する場合にあっては、個⼈関連情報）の当該第三者への提供を停⽌すること。
２
法第71条第3項の規定により情報を提供する⽅法は、電磁的記録の提供による⽅法、書⾯の交付による⽅法その他の適切な⽅法とする。
３
⾏政機関の⻑等は、法第71条第3項の規定による求めを受けたときは、本⼈に対し、遅滞なく、次に掲げる事項について情報提供しなければならない。ただし、情報提供することにより当該該⾏
政機関の⻑等の属する⾏政機関等が⾏う事務⼜は事業の適正な遂⾏に⽀障を及ぼすおそれがある場合は、その全部⼜は⼀部を提供しないことができる。
⼀
当該第三者による法第71条第1項に規定する体制の整備の⽅法
⼆
当該第三者が実施する相当措置の概要
三第1項第1号の規定による確認の頻度及び⽅法
四
当該外国の名称五
当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要
六
当該第三者による相当措置の実施に関する⽀障の有無及びその概要
七
前号の⽀障に関して第1項第2号の規定により当該個⼈情報取扱事業者が講ずる措置の概要
４
⾏政機関の⻑等は、法第71条第3項の規定による求めに係る情報の全部⼜は⼀部について提供しない旨の決定をしたときは、本⼈に対し、遅滞なく、その旨を通知しなければならない。
５
⾏政貴下の⻑等は、前項の規定により、本⼈から求められた情報の全部⼜は⼀部について提供しない旨を通知する場合には、本⼈に対し、その理由を説明するよう努めなければならない。

2021/9/29『情報法制レポート』創刊記念セミナー

46参考：第24条（令和3年改正後28条）関係

GL外国第三者
提供編

GL外国第三者提供編編4個⼈情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準
4-2法第 4 章第 1 節の規定の趣旨に沿った措置（規則第 11 条の 2 第 1 号関係）
法第 24 条第 1 項の「この節の規定により個⼈情報取扱事業者が講ずべきこととされている措置に相当する措置」に該当するものとして規則第 11条の 2 第 1 号に「法第 4 章第 1 節の規定の趣旨に沿った措置」と規定されている。「法第 4 章第 1 節の規定の趣旨に沿った措置」については、外国にある第三者により個⼈データが取り扱われる場合においても、我が国の個⼈情報取扱事業者により個⼈データが取り扱われる場合に相当する程度の本⼈の権利利益の保護を図るという観点に加え、経済協⼒開発機構（OECD）におけるプライバシーガイドラインや
APEC におけるプライバシーフレームワークといった国際的な枠組みの基準も踏まえた国際的な整合性も勘案する。
具体的には、「法第 4 章第 1 節の規定の趣旨に沿った措置」として 4-2- 1 から 4-2-20 までに記述する事項について、適切かつ合理的な⽅法（4-1参照）に記述する⽅法によって担保されていなければならない（※1）。
（※2）要配慮個⼈情報の取得に関する規律（法第 17 条第 2 項）、 オプトアウトによる個⼈データの第三者提供（法第 23 条第 2項及び第 3 項）、第三者提供時の確認・記録義務（法第 25 条
及び第 26 条）、個⼈関連情報の第三者提供に関する規律（法第 26 条の 2）、並びに第三者提供記録の開⽰（法第 28 条第 5項）及びそれに関連するその他の⼿続等（法第 27 条及び第 31条から第 33 条までのうち、第三者提供記録の開⽰に関連する⼿続等）については、ここでいう「法第 4 章第 1 節の規定の趣旨に沿った措置」として外国にある第三者等が講ずべき措置には含まれない。
（※3）⽇本にある個⼈情報取扱事業者から個⼈データの提供を受けた外国にある第三者が法第 75 条の要件を満たし、域外適⽤の対象となる場合であっても、これにより直ちに規則第 11 条の 2 の基準を満たすこととなるわけではなく、同条の基準を満たすためには、別途、当該個⼈データの取扱いについて我が国の個⼈情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備することが必要である。
なお、この場合、当該外国にある第三者は、法第 75 条に基づき、「法第 4 章第 1 節の規定の趣旨に沿った措置」として講ずべき措置に含まれない規律（上記（※2）参照）も含め、法の規定に従って当該個⼈データを取り扱う義務を負うことになる。域外適⽤の詳細については、通則ガイドライン「5−1（域外適⽤）」を参照のこと。

2021/9/29『情報法制レポート』創刊記念セミナー

47

参考：第24条（令和3年改正後28条）関係

GL外国第三者
提供編

GL外国第三者提供編編5同意取得時の情報提供
個⼈情報取扱事業者は、法第 24 条第 1 項の規定により外国にある第三者への個⼈データの提供を認める旨の本⼈の同意を取得しようとする場合には、規則第 11 条の 3 第 2 項から第 4 項までの規定により求められる情報を本⼈に提供しなければならない（法第 24 条第 2 項）（※）。
個⼈データの越境移転に当たっては、提供元の個⼈情報取扱事業者において、提供先の第三者が所在する外国に個⼈データを移転することについてのリスクを評価し、個⼈データの移転の必要性について吟味した上で、本⼈に対しても、分かりやすい情報提供を⾏うことが重要である。
（※）同意取得時の情報提供に関する法第 24 条第 2 項の規定は、個⼈情報取扱事業者が令和 2 年改正法の施⾏⽇以後に法第 24条第 1 項の規定により本⼈の同意を得る場合について適⽤される（令和 2 年改正法附則第 4 条第 1 項）。
5-1 情報提供の⽅法（規則第 11 条の 3 第 1 項関係）
本⼈に対する情報提供は、規則第 11 条の 3 第 2 項から第 4 項までの規定により求められる情報を本⼈が確実に認識できると考えられる適切な⽅法で⾏わなければならない。なお、提供する情報は本⼈にとって分かりやすいものであることが重要である。
【適切な⽅法に該当する事例】
事例 1）必要な情報を電⼦メールにより本⼈に送付する⽅法
事例 2）必要な情報を記載した書⾯を本⼈に直接交付する⽅法
事例 3）必要な情報を本⼈に⼝頭で説明する⽅法
事例 4）必要な情報をホームページに掲載し、本⼈に閲覧させる⽅法⇒「・同意取得時の情報提供により、個⼈データの越境移転に係るリスクについての本⼈の予測可能性を向上させ、本⼈が同意の可否を適切に判断できるようにするという改正後の法第 24 条第２項の趣旨を踏まえると、本⼈に対する情報提供は、改正後の施⾏規則第 11 条の３第２項から第４項までの規定により求められる情報を本⼈が確実に認識できると考えられる適切な⽅法で⾏う必要があります。
・個別の事案ごとに判断されますが、改正後の施⾏規則第 11 条の３第２項から第４項までの規定により求められる情報が掲載されたＷｅｂページが存在する場合に、当該Ｗｅｂ ページのＵＲＬを⾃社のホームページに掲載し、当該ＵＲ Ｌに掲載された情報を本⼈に閲覧させる⽅法も、改正後の施⾏規則第 11 条の３第１項における「適切な⽅法」に該当すると考えられます。
・なお、この場合であっても、例えば、当該ＵＲＬを本⼈にとって分かりやすい場所に掲載した上で、同意の可否の判断の前提として、本⼈に対して当該情報の確認を明⽰的に求めるなど、本⼈が当該ＵＲＬに掲載された情報を閲覧すると合理的に考えられる形で、情報提供を⾏う必要があると考えられます。」（パブコメ回答概要46）5-2 提供すべき情報（規則第 11 条の 3 第 2 項関係）
法第 24 条第 1 項の規定により外国にある第三者への個⼈データの提供を認める旨の本⼈の同意を取得しようとする場合には、本⼈に対し、次の（1）から（3）までの情報を提供しなければならない。
（1）「当該外国の名称」（規則第 11 条の 3 第 2 項第 1 号関係）
提供先の第三者が所在する外国（※1）の名称をいう（※2）。必ずしも正式名称を求めるものではないが、本⼈が⾃⼰の個⼈データの移転先を合理的に認識できると考えられる名称でなければならない。
外国にある第三者への個⼈データの提供を認める旨の本⼈の同意を取得する際に、提供先の第三者が所在する外国を特定できない場合の取扱いについては、5-3-1（提供先の第三者が所在する
外国が特定できない場合） を参照のこと。
（※1）「外国」とは、本邦の域外にある国⼜は地域をいい、我が国と同等の⽔準にあると認められる個⼈情報の保護に関する制度を有している外国として規則で定めるものを除く（法第 24
条第 1 項）。
（※2）ここでいう「外国の名称」の情報提供においては、提供先の第三者が所在する外国の名称が⽰されていれば⾜り、それに加えて、当該第三者が所在する州等の名称を⽰すことまでは求められない。もっとも、個⼈データの越境移転に伴うリスクについて、本⼈の予測可能性を⾼めるという制度趣旨を踏まえると、例えば、州法が主要な規律となっている等、州法に関する情報
提供が本⼈の予測可能性の向上に資する場合には、本⼈に対して、提供先の外国にある第三者が所在する州を⽰した上 で、州単位での制度についても情報提供を⾏うことが望まし い。

2021/9/29『情報法制レポート』創刊記念セミナー

48

参考：第24条（令和3年改正後28条）関係

GL外国第三者
提供編

GL外国第三者提供編編5同意取得時の情報提供（続）5-2 提供すべき情報（規則第 11 条の 3 第 2 項関係）
（2）「適切かつ合理的な⽅法により得られた当該外国における個⼈情報の保護に関する制度に関する情報」（規則第 11 条の 3 第 2 項第 2 号関係）①「適切かつ合理的な⽅法」「当該外国における個⼈情報の保護に関する制度に関する情報」は、⼀般的な注意⼒をもって適切かつ合理的な⽅法により確認したものでなければならない。
【適切かつ合理的な⽅法に該当する事例】
事例 1）提供先の外国にある第三者に対して照会する⽅法
事例 2）我が国⼜は外国の⾏政機関等が公表している情報を確認する⽅法②「当該外国における個⼈情報の保護に関する制度に関する情報」
個⼈データの越境移転に伴うリスクについて、本⼈の予測可能性を⾼めるという制度趣旨に鑑み、「当該外国における個⼈情報の保護に関する制度に関する情報」は、提供先の第三者が所在する外国における個⼈情報の保護に関する制度と我が国の法（個⼈情報の保護に関する法律）との間の本質的な差異を本⼈が合理的に認識できる情報でなければならず、具体的には、次の（ア）から（エ）までの観点を踏まえる必要がある。
なお、ここでいう「当該外国における個⼈情報の保護に関する制 度」は、当該外国における制度のうち、提供先の外国にある第三者に適⽤される制度に限られ、当該第三者に適⽤されない制度は含まれない。
（ア）当該外国における個⼈情報の保護に関する制度の有無
提供先の第三者が所在する外国における制度に、当該第三者に適⽤される個⼈情報の保護に関する制度が存在しない場合、そのこと⾃体が個⼈データの越境移転に伴うリスクの存在を⽰すものであることから、個⼈情報の保護に関する制度が存在しない旨を本⼈に対して情報提供しなければならない（※1）。
（イ）当該外国の個⼈情報の保護に関する制度についての指標となり得る情報の存在
提供先の第三者が所在する外国の個⼈情報の保護に関する制度について、個⼈情報の保護の⽔準等に関する客観的な指標となり得る情報が存在する場合、当該指標となり得る情報が提供されることにより、個⼈データの越境移転に伴うリスクについての本⼈の予測可能性は⼀定程度担保されると考えられる。したがって、この場合には、当該指標となり得る情報を提供すれば⾜り、次の（ウ）に係る情報の提供は求められない。
なお、当該指標となり得る情報の提供を⾏う場合、当該指標となり得る情報が個⼈データの越境移転に伴うリスクとの関係でどのような意味を持つかについても、本⼈に対して情報提供を⾏う
ことが望ましい。
【当該外国の個⼈情報の保護に関する制度についての指標となり得る情報に該当する事例】
事例 1）当該第三者が所在する外国が GDPR 第 45 条に基づく⼗分性認定の取得国であること
事例 2）当該第三者が所在する外国が APEC の CBPR システムの加盟国であること（ウ）OECD プライバシーガイドライン 8 原則に対応する事業者の義務⼜は本⼈の権利の不存在
提供先の第三者が所在する外国の個⼈情報の保護に関する制度 に、OECD プライバシーガイドライン 8 原則（※2）に対応する事業者の義務⼜は本⼈の権利が存在しない場合には、当該事業者の義務⼜は本⼈の権利の不存在は、我が国の法（個⼈情報の保護に関する法律）との本質的な差異を⽰すものであることから、その内容について本⼈に情報提供しなければならない。
なお、提供先の第三者が所在する外国の個⼈情報の保護に関する制度に、OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本⼈の権利が全て含まれる場合には、その旨を本⼈に情報提供すれば⾜りる。
【OECD プライバシーガイドライン 8 原則に対応する事業者の義務⼜は本⼈の権利の不存在に該当する事例】
事例 1）個⼈情報について原則としてあらかじめ特定した利⽤⽬的の範囲内で利⽤しなければならない旨の制限の不存在
事例 2）事業者が保有する個⼈情報の開⽰の請求に関する本⼈の権利の不存在

2021/9/29『情報法制レポート』創刊記念セミナー

49

参考：第24条（令和3年改正後28条）関係

GL外国第三者
提供編

GL外国第三者提供編編5同意取得時の情報提供（続）5-2 提供すべき情報（規則第 11 条の 3 第 2 項関係）
（2）「適切かつ合理的な⽅法により得られた当該外国における個⼈情報の保護に関する制度に関する情報」（規則第 11 条の 3 第 2 項第 2 号関係）②「当該外国における個⼈情報の保護に関する制度に関する情報」（エ）その他本⼈の権利利益に重⼤な影響を及ぼす可能性のある制度の存在
提供先の第三者が所在する外国において、我が国の制度と⽐較して、当該外国への個⼈データの越境移転に伴い当該個⼈データに係る本⼈の権利利益に重⼤な影響を及ぼす可能性のある制度が存在する場合には、当該制度の存在について本⼈に情報提供しなければならない。
【本⼈の権利利益に重⼤な影響を及ぼす可能性のある制度に該当する事例】
事例 1）事業者に対し政府の情報収集活動への広範な協⼒義務を課すことにより、事業者が保有する個⼈情報について政府による広範な情報収集が可能となる制度
事例 2）事業者が本⼈からの消去等の請求に対応できないおそれがある個⼈情報の国内保存義務に係る制度（※1）提供先の第三者が所在する外国において、個⼈情報の保護に関する制度が存在する場合には、当該制度に係る法令の個別の名称を本⼈に情報提供することは求められないが、本⼈の求めがあった場合に情報提供できるようにしておくことが望ましい。
（※2）OECD プライバシーガイドラインは、①収集制限の原則（Collection Limitation Principle）、②データ内容の原則（Data Quality Principle）、③⽬的明確化の原則（Purpose Specification Principle）、④
利⽤制限の原則（Use Limitation Principle）、⑤安全保護措置の原則（Security Safeguards Principle） 、 ⑥ 公 開 の 原 則 （Openness Principle）、⑦個⼈参加の原則（Individual Participation Principle）、⑧責任の原則（Accountability Principle）の 8 原則を、基本原則として定めている。

（3）「当該第三者が講ずる個⼈情報の保護のための措置に関する情報」（規則第 11 条の 3 第 2 項第 3 号関係）
個⼈データの越境移転に伴うリスクについて、本⼈の予測可能性を⾼めるという制度趣旨に鑑み、「当該第三者が講ずる個⼈情報の保護のための措置に関する情報」は、当該外国にある第三者が講ずる個⼈情報の保護のための措置と我が国の法（個⼈情報の保護に関する法律）により個⼈データの取扱いについて個⼈情報取扱事業者に求められる措置との間の本質的な差異を本⼈が合理的に認識できる情報でなければならない。
具体的には、当該外国にある第三者において、OECD プライバシーガイドライン 8 原則に対応する措置（本⼈の権利に基づく請求への対応に関する措置を含む。）を講じていない場合には、
当該講じていない措置の内容について、本⼈が合理的に認識できる情報が提供されなければならない。
なお、提供先の外国にある第三者が、OECD プライバシーガイドライン 8 原則に対応する措置を全て講じている場合には、その旨を本⼈に情報提供すれば⾜りる。
外国にある第三者への個⼈データの提供を認める旨の本⼈の同意を取得する際に、提供先の外国にある第三者が講ずる個⼈情報の保護のための措置に関する情報が提供できない場合の取扱いについては、5-3-2（提供先の第三者が講ずる個⼈情報の保護のための措置に関する情報が提供できない場合）を参照のこと。
【提供先の第三者が講ずる個⼈情報の保護のための措置に関する情報の提供に該当する事例（提供先の第三者が利⽤⽬的の通知・公表を⾏っていない場合）】事例）「提供先が、概ね個⼈データの取扱いについて我が国の個⼈情報取扱事業者に求められる措置と同⽔準の措置を講じているもの の、取得した個⼈情報についての利⽤⽬的の通知・公表を⾏っていない」旨の情報提供を⾏うこと「⇒・改正後の法第 24 条第２項の趣旨には、個⼈データの越境移転を⾏う事業者においても、従前以上に、提供先の外国にある第三者における事業環境等を認識することを促すという点もありますので、当該外国における個⼈情報の保護に関する制度についての確認は、提供元の事業者の責任において⾏っていただくべきものであると考えております。
・また、改正後の法第 24 条第３項は、本⼈の権利利益の保護の観点から、個⼈データの越境移転後においても、提供元の事業者に、提供先の外国にある第三者による個⼈データの適正な取扱いを継続的に確保する責務があることを明確化するものです。そのため、かかる責務を果たす観点か ら、提供先の第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度についての確認も、提供元の事業者の責任において⾏っていただくべきものであると考えております。
・もっとも、当委員会においても、外国の個⼈情報の保護に関する制度について、事業者の参考となる⼀定の情報をとりまとめて公表する予定です。対象予定国や公表に向けたスケジュール等については、本年の秋頃を⽬途にお⽰しすることを検討してまいります。」（パブコメ回答概要44）2021/9/29『情報法制レポート』創刊記念セミナー

50

参考：第24条（令和3年改正後28条）関係

GL外国第三者
提供編

GL外国第三者提供編編5同意取得時の情報提供（続）5-3
同意取得時に移転先が特定できない場合等の取扱い（規則第 11 条の 3 第 3 項・第 4 項関係）
5-3-1
提供先の第三者が所在する外国が特定できない場合（規則第 11条の 3 第 3 項関係）
個⼈情報取扱事業者は、法第 24 条第 1 項の規定により外国にある第三者への個⼈データの提供を認める旨の本⼈の同意を取得しようとする時点において、提供先の第三者が所在する外国を特定できない場合には、当該外国の名称及び当該外国の個⼈情報の保護に関する制度に関する情報に代えて、次の（1）及び（2）の情報を本⼈に提供しなければならない。
なお、事後的に提供先の第三者が所在する外国が特定できた場合には、本⼈の求めに応じて情報提供を⾏うことが望ましい。
【提供先の第三者が所在する外国を特定できない場合に該当する事例】
事例 1）⽇本にある製薬会社が医薬品等の研究開発を⾏う場合において、治験責任医師等が被験者への説明及び同意取得を⾏う時点では、最終的にどの国の審査当局等に承認申請するかが未確定であり、当該被験者の個⼈データを移転する外国を特定できない場合
事例 2）⽇本にある保険会社が保険引受リスクの分散等の観点から外国の再保険会社に再保険を⾏う場合において、⽇本にある保険会社による顧客からの保険引受及び同意取得の時点では、最終的にどの再保険会社に再保険を⾏うかが未確定であり、当該顧客の個⼈データを移転する外国を特定できない場合⇒「・改正後の法第 24 条第２項の趣旨は、外国にある第三者への個⼈データの提供がなされる場合に、当該外国における制度や、当該第三者による個⼈データの取扱いに関する相違に起因するリスクについて、本⼈の予測可能性を⾼める
点にありますので、提供先の第三者が所在する外国を特定した上で、本⼈に対する情報提供を⾏うことが原則であると考えます。
・その上で、「提供先の第三者が所在する外国を特定できない場合」の該当性は、上記の情報提供義務の趣旨を踏まえつつ、個別の事案ごとに判断する必要がありますが、例え ば、⼀定の⽬的で個⼈データの取扱いを外国にある第三者に委託する予定であるものの、本⼈の同意を得ようとする時点において、委託先の候補が具体的に定まっていない等により、提供先の第三者が所在する外国が特定できない場合は、ここでいう「提供先の第三者が所在する外国を特定できない場合」に該当し得ると考えられます。
・ただし、この場合であっても、特定できない旨及びその理由を情報提供するとともに、提供先の第三者が所在する外国の範囲を特定できる場合の当該範囲に関する情報など、外国の名称に代わる本⼈に参考となるべき情報の提供が可能である場合には、当該情報を提供する必要があります。
・「提供先の第三者が所在する外国を特定できない場合」の具体例等については、Ｑ＆Ａでお⽰しすることを検討してまいります。」（パブコメ回答概要48）（1）特定できない旨及びその理由（規則第 11 条の 3 第 3 項第 1 号関係）
個⼈情報取扱事業者は、提供先の第三者が所在する外国を特定できない場合であっても、個⼈データの越境移転に伴うリスクに関する本⼈の予測可能性の向上という趣旨を踏まえ、提供先の第三者が所在する外国を特定できない旨及びその理由を情報提供しなければならない。
なお、情報提供に際しては、どのような場⾯で外国にある第三者に個⼈データの提供を⾏うかについて、具体的に説明することが望ましい。
（2）提供先の第三者が所在する外国の名称に代わる本⼈に参考となるべき情報（規則第 11 条の 3 第 3 項第 2 号関係）
提供先の第三者が所在する外国が特定できないとしても、提供先の第三者が所在する外国の名称に代わる本⼈に参考となるべき情報の提供が可能である場合には、当該情報についても本⼈に提供しなければならない。
「提供先の第三者が所在する外国の名称に代わる本⼈に参考となるべき情報」の該当性は、本⼈への情報提供が求められる制度趣旨を踏まえつ つ、個別に判断する必要があるが、例えば、移転先の外国の範囲が具体的に定まっている場合における当該範囲に関する情報は、ここでいう「提供先の第三者が所在する外国の名称に代わる本⼈に参考となるべき情報」に該当する。
【提供先の第三者が所在する外国の名称に代わる本⼈に参考となるべき情報に該当する事例】
事例）本⼈の同意を得ようとする時点において、移転先となる外国の候補が具体的に定まっている場合における当該候補となる外国の名称

2021/9/29『情報法制レポート』創刊記念セミナー

51参考：第24条（令和3年改正後28条）関係

GL外国第三者
提供編

GL外国第三者提供編編5同意取得時の情報提供（続）5-3
同意取得時に移転先が特定できない場合等の取扱い（規則第 11 条の 3 第 3 項・第 4 項関係）
5-3-2
提供先の第三者が講ずる個⼈情報の保護のための措置に関する情報が提供できない場合（規則第 11 条の 3 第 4 項関係）
個⼈情報取扱事業者は、法第 24 条第 1 項の規定により外国にある第三者への個⼈データの提供を認める旨の本⼈の同意を取得しようとする時点において、提供先の外国にある第三者が講ずる個⼈情報の保護のための措置に関する情報の提供ができない場合には、当該情報に代えて、当該情報を提供できない旨及びその理由について情報提供しなければならない。
なお、情報提供に際しては、どのような場⾯で外国にある第三者に個⼈データの提供を⾏うかについて、具体的に説明することが望ましい。
また、事後的に当該第三者が講ずる個⼈情報の保護のための措置についての情報提供が可能となった場合には、本⼈の求めに応じて情報提供を⾏うことが望ましい。
【提供先の第三者が講ずる個⼈情報の保護のための措置に関する情報の提供ができない場合に該当する事例】
事例 1）⽇本にある製薬会社が医薬品等の研究開発を⾏う場合において、治験責任医師等が被験者への説明及び同意取得を⾏う時点では、最終的にどの国の審査当局等に承認申請するかが未確定であり、当該被験者の個⼈データの提供先を特定できない場合
事例 2）⽇本にある保険会社が保険引受リスクの分散等の観点から外国の再保険会社に再保険を⾏う場合において、⽇本にある保険会社による顧客からの保険引受及び同意取得の時点では、最終的にどの再保険会社に再保険を⾏うかが未確定であり、当該顧客の個⼈データの提供先を特定できない場合

2021/9/29『情報法制レポート』創刊記念セミナー

52参考：第24条（令和3年改正後28条）関係

GL外国第三者
提供編

GL外国第三者提供編編6 個⼈情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備している者に個⼈データを提供した場合に講ずべき措置等
個⼈情報取扱事業者は、規則第 11 条の 2 に定める基準に適合する体制（以下「基準適合体制」という。）を整備している外国にある第三者に対して個⼈データを提供した場合には、当該第三者による相当措置（個⼈データの取扱いについて法第 4 章第 1 節の規定により個⼈情報取扱事業者が講ずべきこととされている措置に相当する措置をいう。以下同じ。）の継続的な実施を確保するために必要な措置を講ずるとともに、本⼈の求めに応じて当該必要な措置に関する情報を当該本⼈に提供しなければならない（法第 24 条第 3 項）（※）。
法第 24 条第 3 項は、提供先が基準適合体制を整備していることを根拠として外国にある第三者に個⼈データを提供した場合、個⼈情報取扱事業者には、その後も当該第三者による当該個⼈
データの適正な取扱いを継続的に確保する責務があることを明確化するものである。そのため、個⼈情報取扱事業者は、当該第三者において当該個⼈データの取扱いが継続する限り、法第 24
条第 3 項に基づく措置等を講ずる必要がある。
ただし、上記の制度趣旨に鑑み、例えば、個⼈情報取扱事業者が、本⼈の同意を根拠として外国にある第三者に個⼈データを提供した場合には、当該第三者が基準適合体制を整備していると認められる場合であっても、法第 24 条第 3 項に基づく措置等は求められない。
（※）法第 24 条第 3 項の規定は、個⼈情報取扱事業者が令和 2 年改正法の施⾏⽇以後に同項に規定する外国にある第三者に個⼈データを提供した場合について適⽤される（令和 2 年改正法附則第 4 条第 2 項）。
6-1
相当措置の継続的な実施を確保するために必要な措置（規則第 11条の 4 第 1 項関係）
個⼈情報取扱事業者は、提供先が基準適合体制を整備していることを根拠として外国にある第三者に個⼈データを提供した場合、当該第三者による相当措置の継続的な実施を確保するために必要な措置として、次の（1）及び（2）の措置を講じなければならない。
（1）当該第三者による相当措置の実施状況並びに当該相当措置の実施に 影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な⽅法により、定期的に確認すること（規則第 11 条の 4第 1 項第 1 号関係）
個⼈情報取扱事業者は、個⼈データの提供先である外国にある第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及び内容を、適切かつ合理的な⽅法により、定期的に確認しなければならない。ここでいう「定期的に確認」とは、年に 1 回程度⼜はそれ以上の頻度で確認することをいう。
相当措置の実施状況は、外国にある第三者に提供する個⼈データの内容や規模に応じて、適切かつ合理的な⽅法により確認する必要があるが、例えば、個⼈データを取り扱う場所に赴く⽅法、書⾯により報告を受ける⽅法⼜はこれらに代わる合理的な⽅法（⼝頭による確認を含む。）により確認することが考えられる（※）。
【相当措置の実施状況の確認に該当する事例】
事例 1）外国にある事業者に個⼈データの取扱いを委託する場合において、提供元及び提供先間の契約を締結することにより、当該提供先の基準適合体制を整備している場合は、当該契約の履⾏状況を確認すること
事例 2）同⼀の企業グループ内で個⼈データを移転する場合において、提供元及び提供先に共通して適⽤されるプライバシーポリシーにより、当該提供先の基準適合体制を整備している場合は、当該プライバシー
ポリシーの履⾏状況を確認すること

また、外国にある第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及び内容は、⼀般的な注意⼒をもって適切かつ合理的な⽅法により確認する必要があるが、例
えば、当該第三者に対して照会する⽅法や、我が国⼜は外国の⾏政機関等が公表している情報を確認する⽅法が考えられる。
【相当措置の実施に影響を及ぼすおそれのある外国の制度に該当する事例】
事例 1）事業者に対し政府の情報収集活動への広範な協⼒義務を課すことにより、事業者が保有する個⼈情報について政府による広範な情報収集が可能となる制度
事例 2）事業者が本⼈からの消去等の請求に対応できないおそれがある個⼈情報の国内保存義務に係る制度（※）提供先である外国にある第三者において相当措置を実施すべき対象は、個⼈情報取扱事業者が実際に提供を⾏った「個⼈データ」であることから、相当措置の実施状況の確認においても、提供先で取り扱っている他の個⼈情報の取扱いについてまで確認することが求められているものではない。

2021/9/29『情報法制レポート』創刊記念セミナー

53参考：第24条（令和3年改正後28条）関係

GL外国第三者
提供編

GL外国第三者提供編編6 個⼈情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備している者に個⼈データを提供した場合に講ずべき措置等（続）6-1
相当措置の継続的な実施を確保するために必要な措置（規則第 11条の 4 第 1 項関係）
（2）当該第三者による相当措置の実施に⽀障が⽣じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個⼈データの当該第三者への提供を停⽌すること（規則第 11 条の 4 第 1 項第 2 号関係）
個⼈情報取扱事業者は、個⼈データの提供先である外国にある第三者による相当措置の実施に⽀障が⽣じたときは、当該⽀障の解消⼜は改善のために必要かつ適切な措置を講じなければならない。
【⽀障発⽣時の必要かつ適切な措置に該当する事例】
事例）⽇本にある個⼈情報取扱事業者が提供先である外国にある事業者との間で委託契約を締結することにより、当該提供先の基準適合体制を整備している場合で、当該提供先が当該委託契約上の義務の⼀部に違反して個⼈データを取り扱っている場合に、これを是正するよう要請すること
また、外国にある第三者による相当措置の継続的な実施の確保が困難となった場合、当該第三者は、実質的に、基準適合体制を整備しているとはいえないと考えられることから、それ以降、当該第三者への個⼈データの提供を停⽌しなければならない。
【相当措置の継続的な実施の確保が困難となった場合に該当する事例】
事例 1）⽇本にある個⼈情報取扱事業者が提供先である外国にある事業者との間で委託契約を締結することにより、当該提供先の基準適合体制を整備している場合で、当該提供先が当該委託契約上の義務の⼀部に違反して個⼈データを取り扱っている場合に、これを是正するよう要請したにもかかわらず、当該提供先が合理的な期間内にこれを是正しない場合
事例 2）外国にある事業者において⽇本にある個⼈情報取扱事業者から提供を受けた個⼈データに係る重⼤な漏えい等が発⽣した後、同様の漏えい等の発⽣を防⽌するための必要かつ適切な再発防⽌策が講じられていない場合⇒・「外国にある第三者への個⼈データの提供を認める」旨の本⼈の同意を得て、個⼈データの提供を⾏う場合には、本⼈が事前に個⼈データの越境移転に伴うリスクを認識できるよう、当該外国の個⼈情報の保護に関する制度について、我が国の法との本質的な差異を合理的に認識できる情報の提供が求められます（改正後の法第 24 条第２項、改正後の施⾏規則第 11 条の３参照）。そのため、かかる情報提供が適切に⾏われていない場合には情報提供義務違反となる可能性があります。もっとも、適切な情報提供を⾏った上で改正後の法第 24 条第１項に基づく本⼈の同意を取得して外国にある第三者に個⼈データを提供した後については、当該提供先による個⼈データの取扱いを確認する義務はありません。
そのため、当該提供先が、当該外国の政府による個⼈データの提供の要請に対応したことのみをもって提供元の事業者の法違反となるものではありません。
・また、提供先の外国にある第三者が基準適合体制（法第４ 章第１節の規定により個⼈情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして個⼈情報保護委員会規則で定める基準に適合する体制）を整備していることを根拠として、本⼈の同意を得ずに当該提供先に対して個⼈データを提供した場合、その後も当該提供先による個⼈データの適正な取扱いが確保されるよう、当該提供先による相当措置の実施状況等の定期的な確認等が求められます（改正後の法第 24 条第３項、改正後の施⾏規則第 11 条の４）。この場合、当該提供先において、当該外国の政府による要請に対応した個⼈データの提供が認められるか否かは、個⼈データの性質や提供の必要性（外国政府からの要請が外国の法令の要件を満たす適法なものかの確認を含む。）等を踏まえた個別の事案ごとの判断が必要であり、例えば、提供の必要性が認められないにもかかわらず、当該提供先が漫然と個⼈データの提供を⾏っている場合には、当該提供先による相当措置の実施に⽀障が⽣じていると評価される可能性があります。なお、提供元の事業者が、当該提供先に対して法第 23 条第５項第１号に基づいて個⼈データの提供を⾏っている場合、当該提供先に対する監督義務を負いますので（法第22 条）、上記のように、当該提供先が提供の必要性が認められないにもかかわらず、漫然と個⼈データの提供を⾏っている等の場合には、提供元の事業者の監督義務違反となる可能性があります。」（パブコメ回答概要45）6-2
相当措置の継続的な実施を確保するために必要な措置に関する情報提供（規則第 11 条の 4 第 2 項・第 3 項関係）
6-2-1
情報提供の⽅法（規則第 11 条の 4 第 2 項関係）
本⼈に対する情報提供は、規則第 11 条の 4 第 3 項の規定により本⼈への提供が求められる情報を本⼈が確実に認識できると考えられる適切な⽅法で⾏う必要がある。なお、提供する情報は本⼈にとって分かりやすいものであることが重要である。
【適切な⽅法に該当する事例】
事例 1）必要な情報を電⼦メールにより本⼈に送付する⽅法
事例 2）必要な情報を記載した書⾯を本⼈に直接交付する⽅法
事例 3）必要な情報を本⼈に⼝頭で説明する⽅法
事例 4）必要な情報をホームページに掲載し、本⼈に閲覧させる⽅法

2021/9/29『情報法制レポート』創刊記念セミナー

54参考：第24条（令和3年改正後28条）関係

GL外国第三者
提供編

GL外国第三者提供編編6 個⼈情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備している者に個⼈データを提供した場合に講ずべき措置等（続）6-2相当措置の継続的な実施を確保するために必要な措置に関する情報提供（規則第 11 条の 4 第 2 項・第 3 項関係）
6-2-2
提供すべき情報（規則第 11 条の 4 第 3 項関係）
個⼈情報取扱事業者は、法第 24 条第 3 項の規定による本⼈の求めを受けた場合には、遅滞なく、次の（1）から（7）までの情報を本⼈に提供しなければならない。
ただし、情報提供することにより当該個⼈情報取扱事業者の業務の適正な実施に著しい⽀障を及ぼすおそれがある場合は、その全部⼜は⼀部を提供しないことができる。
【情報提供することにより当該個⼈情報取扱事業者の業務の適正な実施に著しい⽀障を及ぼすおそれがある場合に該当する事例】
事例）同⼀の本⼈から複雑な対応を要する同⼀内容について繰り返し情報提供の求めがあり、事実上問合せ窓⼝が占有されることによって他の問合せ対応業務が⽴ち⾏かなくなる等、業務上著しい⽀障を及ぼすおそれがある場合（1）「当該第三者による法第 24 条第 1 項に規定する体制の整備の⽅法」（規則第 11 条の 4 第 3 項第 1 号関係）
個⼈データの提供先である外国にある第三者が基準適合体制を整備する⽅法について情報提供しなければならない。【基準適合体制を整備する⽅法についての情報提供に該当する事例】
⽇本にある個⼈情報取扱事業者が外国にある事業者に個⼈データの取扱いを委託する場合において、提供元及び提供先間の契約を締結することにより、当該提供先の基準適合体制を整備している場合事例）「提供先との契約」である旨の情報提供を⾏うこと（2）「当該第三者が実施する相当措置の概要」（規則第 11 条の 4 第 3 項第 2 号関係）
個⼈データの提供先である外国にある第三者が実施する相当措置の概要について情報提供しなければならない。
提供すべき情報は、個々の事例ごとに判断されるべきであるが、当該外国にある第三者において、法第 4 章第 1 節の規定の趣旨に沿った措置がどのように確保されているかが分かるような情報を提供する必要がある。
なお、個⼈情報取扱事業者が当該外国にある第三者との間で締結している契約等の全ての規定の概要についての情報提供を求めるものではない。
【相当措置の概要についての情報提供に該当する事例】
⽇本にある個⼈情報取扱事業者が外国にある事業者に個⼈データの取扱いを委託する場合において、提供元及び提供先間の契約を締結することにより、当該提供先の基準適合体制を整備している場合事例）「契約において、特定した利⽤⽬的の範囲内で個⼈データを取り扱う旨、不適正利⽤の禁⽌、必要かつ適切な安全管理措置を講ずる旨、従業者に対する必要かつ適切な監督を⾏う旨、再委託の禁⽌、漏えい等が発⽣した場合には提供元が個⼈情報保護委員会への報告及び本⼈通知を⾏う旨、個⼈データの第三者提供の禁⽌等を定めている」旨の情報提供を⾏うこと（3）「第 1 項第 1 号の規定による確認の頻度及び⽅法」（規則第 11 条の4 第 3 項第 3 号関係）
個⼈データの提供先である外国にある第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある制度の有無及びその内容の確認に関して、その⽅法及び頻度について情報提供しなければならない。
なお、外国にある第三者による相当措置の実施状況の確認の⽅法及び頻度と、当該相当措置の実施に影響を及ぼすおそれのある制度の有無及びその内容の確認の⽅法及び頻度が異なる場合には、それぞれについて情報提供する必要がある。
【確認の⽅法及び頻度についての情報提供に該当する事例】
事例）①外国にある第三者による相当措置の実施状況についての確認の⽅法及び頻度「毎年、書⾯による報告を受ける形で確認している」旨の情報提供を⾏うこと②当該相当措置の実施に影響を及ぼすおそれのある制度の有無及びその内容の確認の⽅法及び頻度「毎年、我が国の⾏政機関等が公表している情報を確認している」旨の情報提供を⾏うこと

2021/9/29『情報法制レポート』創刊記念セミナー

55

参考：第24条（令和3年改正後28条）関係

GL外国第三者
提供編

GL外国第三者提供編編6 個⼈情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備している者に個⼈データを提供した場合に講ずべき措置等（続）6-2相当措置の継続的な実施を確保するために必要な措置に関する情報提供（規則第 11 条の 4 第 2 項・第 3 項関係）
6-2-2
提供すべき情報（規則第 11 条の 4 第 3 項関係）
（4）「当該外国の名称」（規則第 11 条の 4 第 3 項第 4 号関係）
個⼈データの提供先の第三者が所在する外国（※1）の名称について情報提供しなければならない（※2）。必ずしも正式名称を求めるものではないが、本⼈が⾃⼰の個⼈データの移転先を合理的に認識できると考えられる形で情報提供を⾏う必要がある。
（※1）「外国」とは、本邦の域外にある国⼜は地域をいい、我が国と同等の⽔準にあると認められる個⼈情報の保護に関する制度を有している外国として規則で定めるものを除く（法第 24
条第 1 項）。
（※2）ここでいう「外国の名称」の情報提供においては、提供先の第三者が所在する外国の名称が⽰されていれば⾜り、それに加えて、当該第三者が所在する州等の名称を⽰すことまでは求められない。もっとも、本⼈が外国にある第三者における⾃⼰の個⼈データの取扱状況等について把握できるようにするという制度趣旨を踏まえると、例えば、州法において外国にある第三者による相当措置の実施に影響を及ぼすおそれのある制度が存在する等、州法に関する情報提供が本⼈による当該第三者における個⼈データの取扱状況等の把握に資する場合には、当該第三者が所在する州を⽰した上で、当該制度についても情報提供を⾏うことが望ましい。
（5）「当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要」（規則第 11 条の 4 第 3 項第 5 号関係）
個⼈データの提供先である外国にある第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要について情報提供しなければならない。
【相当措置の実施に影響を及ぼすおそれのある外国の制度の概要についての情報提供に該当する事例】
事例 1）「事業者に対し政府の情報収集活動への広範な協⼒義務を課すことにより、事業者が保有する個⼈情報について政府による広範な情報収集が可能となる制度が存在する」旨の情報提供
を⾏うこと
事例 2）「事業者が本⼈からの消去等の請求に対応できないおそれがある個⼈情報の国内保存義務に係る制度が存在する」旨の情報提供を⾏うこと（6）「当該第三者による相当措置の実施に関する⽀障の有無及びその概要」（規則第 11 条の 4 第 3 項第 6 号関係）
個⼈データの提供先である外国にある第三者による相当措置の実施に関する⽀障の有無及びその概要について情報提供しなければならない。
【相当措置の実施に関する⽀障の概要についての情報提供に該当する事例】
⽇本にある個⼈情報取扱事業者が外国にある事業者に個⼈データの取扱いを委託する場合において、提供元及び提供先間の契約を締結することにより、当該提供先の基準適合体制を整備しているものの、当該提供先が当該契約において特定された利⽤⽬的の範囲を超えて、当該個⼈データを取り扱っていた場合事例）「提供先が契約において特定された利⽤⽬的の範囲を超えて個⼈データの取扱いを⾏っていた」旨の情報提供を⾏うこと

2021/9/29『情報法制レポート』創刊記念セミナー

56

参考：第24条（令和3年改正後28条）関係

GL外国第三者
提供編

GL外国第三者提供編編6 個⼈情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備している者に個⼈データを提供した場合に講ずべき措置等（続）6-2相当措置の継続的な実施を確保するために必要な措置に関する情報提供（規則第 11 条の 4 第 2 項・第 3 項関係）
6-2-2
提供すべき情報（規則第 11 条の 4 第 3 項関係）
（7）「前号の⽀障に関して第 1 項第 2 号の規定により当該個⼈情報取扱事業者が講ずる措置の概要」（規則第 11 条の 4 第 3 項第 7 号関係）
個⼈データの提供先である外国にある第三者による相当措置の実施に⽀障が⽣じた場合において、当該⽀障の解消・改善のために提供元の個⼈情報取扱事業者が講ずる措置の概要について情報提供しなければならない。
【相当措置の実施に関する⽀障に関して個⼈情報取扱事業者が講ずる措置の概要についての情報提供に該当する事例】
⽇本にある個⼈情報取扱事業者が外国にある事業者に個⼈データの取扱いを委託する場合において、提供元及び提供先間の契約を締結することにより、当該提供先の基準適合体制を整備しているものの、当該提供先が当該契約において特定された利⽤⽬的の範囲を超えて、当該個⼈データを取り扱っていた場合
事例 1）「提供先が契約において特定された利⽤⽬的の範囲を超えて個⼈データの取扱いを⾏っていたため、速やかに当該取扱いを是正するように要請した」旨の情報提供を⾏うこと
事例 2）「提供先が契約において特定された利⽤⽬的の範囲を超えて個⼈データの取扱いを⾏っていたため、速やかに当該取扱いを是正するように要請したものの、これが合理的期間内に是正されず、相当措置の継続的な実施の確保が困難であるため、〇年〇⽉〇⽇以降、個⼈データの提供を停⽌した上で、既に提供した個⼈データについて削除を求めている」旨の情報提供を⾏うこと
6-2-3
情報提供しない旨の決定を⾏った際の通知等（規則第 11 条の 4第 4 項・第 5 項関係）
個⼈情報取扱事業者は、法第 24 条第 3 項の規定による本⼈の求めに係る情報の全部⼜は⼀部について情報提供しない旨の決定をしたときは、遅滞なく、その旨を本⼈に通知（※）しなければならない。
この場合、個⼈情報取扱事業者は、本⼈に対し、情報提供をしない理由を説明するよう努めなければならない。
（※）「本⼈に通知」については、通則ガイドライン「2-14（本⼈に通知）」を参照のこと。

2021/9/29『情報法制レポート』創刊記念セミナー

57

個⼈関連情報新第26条の2（令和3年改正後31条）
個⼈関連情報取扱事業者（個⼈関連情報データベース等（個⼈関連情報（⽣存する個⼈に関する情報であって、個⼈情報、仮名加⼯情報及び匿名加⼯情報のいずれにも該当しないものをいう。以下同じ。）を含む情報の集合物であって、特定の個⼈関連情報を電⼦計算機を⽤いて検索することができるように体系的に構成したものその他特定の個⼈関連情報を容易に検索することができるように体系的に構成したものとして政令で定めるものをいう。以下この項において同じ。）を事業の⽤に供している者であって、第2条第5項各号に掲げる者を除いたものをいう。以下同じ。）は、第三者が個⼈関連情報（個⼈関連情報データ
ベース等を構成するものに限る。以下同じ。）を個⼈データとして取得することが想定されるときは、第23条第1項各号に掲げる場合を除くほか、次に掲げる事項について、あらかじめ個⼈情報保護委員会規則で定めるところにより確認することをしないで、当該個⼈関連情報を当該第三者に提供してはならない。
⼀ 当該第三者が個⼈関連情報取扱事業者から個⼈関連情報の提供を受けて本⼈が識別される個⼈データとして取得することを認める旨の当該本⼈の同意が得られていること。
⼆ 外国にある第三者への提供にあっては、前号の本⼈の同意を得ようとする場合において、個⼈情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個⼈情報の保護に関する制度、当該第三者が講ずる個⼈情報の保護のための措置その他当該本⼈に参考となるべき情報が当該本⼈に提供されていること。
２ 第24条第3項の規定は、前項の規定により個⼈関連情報取扱事業者が個⼈関連情報を提供する場合について準⽤する。この場合において、同条第3項中「講ずるとともに、本⼈の求めに応じて当該必要な措置に関する情報を当該本⼈に提供し」とあるのは、「講じ」と読み替えるものとする。
３ 前条第2項から第4項までの規定は、第1項の規定により個⼈関連情報取扱事業者が確認する場合について準⽤する。この場合において、同条第三項中「の提供を受けた」とあるのは、「を提供した」と読み替えるものとする。
（個⼈関連情報の提供を受ける者に対する措置要求）
第72条 ⾏政機関の⻑等は、第三者に個⼈関連情報を提供する場合（当該第三者が当該個⼈関連情報を個⼈情報として取得することが想定される場合に限る。）
において、必要があると認めるときは、当該第三者に対し、提供に係る個⼈関連情報について、その利⽤の⽬的若しくは⽅法の制限その他必要な制限を付し、⼜はその漏えいの防⽌その他の個⼈関連情報の適切な管理のために必要な措置を講ずることを求めるものとする。

新政令第7条の2
法第⼆⼗六条の⼆第⼀項の政令で定めるものは、これに含まれる個⼈関連情報を⼀定の規則に従って整理することにより特定の個⼈関連情報を容易に検索することができるように体系的に構成した情報の集合物であって、⽬次、索引その他検索を容易にするためのものを有するものをいう。
2021/9/29『情報法制レポート』創刊記念セミナー

58

個⼈関連情報の定義
個⼈に関する情報

個⼈関連情報

個⼈情報

匿名加⼯情報仮名加⼯情報2021/9/29『情報法制レポート』創刊記念セミナー

59個⼈関連情報取扱事業者の⾏為規制
個⼈関連情報取扱事業者

第三者が個⼈関連情報取扱事業者から個⼈関連情報の提供を受けて本⼈が識別される個⼈データとして取得することを認める旨の同意

確認

2021/9/29

第三者（個⼈データとして取得することが想定される）

本⼈

個⼈関連情報
取扱事業者

本⼈

確認

個⼈情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個⼈情報の保護に関する制度、当該第三者が講ずる個
⼈情報の保護のための措置その他当該本⼈に参考となるべき情報の当該本⼈への提供

第三者が個⼈関連情報取扱事業者から個⼈関連情報の提供を受けて本⼈が識別される個⼈データとして取得することを認める旨の同意『情報法制レポート』創刊記念セミナー

外国にある
第三者
（個⼈データとして取得することが想定され
る）

60

⾏政機関の⻑等の⾏為規制

⾏政機関の⻑等

2021/9/29

第三者提供に係る個⼈関連情報について、その利⽤の⽬的若しくは⽅法の制限その他必要な制限を付し、⼜はその漏えいの防⽌その他の個⼈
関連情報の適切な管理のために必要な措置『情報法制レポート』創刊記念セミナー（個⼈情報として取得することが想定される）

61

仮名加⼯情報新第2条9項（令和3年改正後2条5項）
この法律において「仮名加⼯情報」とは、次の各号に掲げる個⼈情報の区分に応じて当該各号に定める措置を講じて他の情報と照合しない限り特定の個⼈を識別することができないように個⼈情報を加⼯して得られる個⼈に関する情報をいう。
⼀ 第⼀項第⼀号に該当する個⼈情報 当該個⼈情報に含まれる記述等の⼀部を削除すること（当該⼀部の記述等を復元することのできる規則性を有しない⽅法により他の記述等に置き換えることを含む。）。
⼆ 第⼀項第⼆号に該当する個⼈情報 当該個⼈情報に含まれる個⼈識別符号の全部を削除すること（当該個⼈識別符号を復元することのできる規則性を有しない⽅法により他の記述等に置き換えることを含む。）。
新第2条10項（令和3年改正後16条5項）
この法律において「仮名加⼯情報取扱事業者」とは、仮名加⼯情報を含む情報の集合物であって、特定の仮名加⼯情報を電⼦計算機を⽤いて検索することができるように体系的に構成したものその他特定の仮名加⼯情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第35条の2第1項
において「仮名加⼯情報データベース等」という。）を事業の⽤に供している者をいう。ただし、第5項各号に掲げる者を除く。

新政令第5条
法第2条第10項の政令で定めるものは、これに含まれる仮名加⼯情報を⼀定の規則に従って整理することにより特定の仮名加⼯情報を容易に検索することができる
ように体系的に構成した情報の集合物であって、⽬次、索引その他検索を容易にするためのものを有するものをいう。

2021/9/29『情報法制レポート』創刊記念セミナー

62

仮名加⼯情報新第35条の2 （令和3年改正後41条）
個⼈情報取扱事業者は、仮名加⼯情報（仮名加⼯情報データベース等を構成するものに限る。以下同じ。）を作成するときは、他の情報と照合しない限り特定の個⼈を識別することができないようにするために必要なものとして個⼈情報保護委員会規則で定める基準に従い、個⼈情報を加⼯しなければならない。
２

個⼈情報取扱事業者は、仮名加⼯情報を作成したとき、⼜は仮名加⼯情報及び当該仮名加⼯情報に係る削除情報等（仮名加⼯情報の作成に⽤いられた個⼈情報から削除された記述等及び個⼈識別符号並びに前項の規定により⾏われた
加⼯の⽅法に関する情報をいう。以下この条及び次条第3項において読み替えて準⽤する第7項において同じ。）を取得したときは、削除情報等の漏えいを防⽌するために必要なものとして個⼈情報保護委員会規則で定める基準に従い、削除情報等の安全管理のための措置を講じなければならない。

３

仮名加⼯情報取扱事業者（個⼈情報取扱事業者である者に限る。以下この条において同じ。）は、第16条の規定にかかわらず、法令に基づく場合を除くほか、第15条第1項の規定により特定された利⽤⽬的の達成に必要な範囲を超えて、仮名加⼯情報（個⼈情報であるものに限る。以下この条において同じ。）を取り扱ってはならない。

４

仮名加⼯情報についての第18条の規定の適⽤については、同条第1項及び第3項中「、本⼈に通知し、⼜は公表し」とあるのは「公表し」と、同条第4項第1号から第3号までの規定中「本⼈に通知し、⼜は公表する」とあるのは「公表する」とする。

５

仮名加⼯情報取扱事業者は、仮名加⼯情報である個⼈データ及び削除情報等を利⽤する必要がなくなったときは、当該個⼈データ及び削除情報等を遅滞なく消去するよう努めなければならない。この場合においては、第19条の規定は、適⽤しない。

６

仮名加⼯情報取扱事業者は、第23条第1項及び第2項並びに第24条第1項の規定にかかわらず、法令に基づく場合を除くほか、仮名加⼯情報である個⼈データを第三者に提供してはならない。この場合において、第23条第5項中「前各項」とあるのは「第35条の2第6項」と、同項第3号中「、本⼈に通知し、⼜は本⼈が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第6項中「、本⼈に通知し、⼜は本⼈が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と、第25条第1項ただし書中「第23条第1項各号⼜は第5項各号のいずれか（前条第1項の規定による個⼈データの提供にあっては、第23条第1項各号のいずれか）」とあり、及び第26条第1項ただし書中「第23条第1項各号⼜は第5項各号のいずれか」とあるのは「法令に基づく場合⼜は第23条第5項各号のいずれか」とする。

７

仮名加⼯情報取扱事業者は、仮名加⼯情報を取り扱うに当たっては、当該仮名加⼯情報の作成に⽤いられた個⼈情報に係る本⼈を識別するために、当該仮名加⼯情報を他の情報と照合してはならない。

８

仮名加⼯情報取扱事業者は、仮名加⼯情報を取り扱うに当たっては、電話をかけ、郵便若しくは⺠間事業者による信書の送達に関する法律（平成14年法律第99号）第2条第6項に規定する⼀般信書便事業者若しくは同条第9項に規定する特定信書便事業者による同条第2項に規定する信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的⽅法（電⼦情報処理組織を使⽤する⽅法その他の情報通信の技術を利⽤する⽅法であって個⼈情報保護委員会規則で定めるものをいう。）を⽤いて送信し、⼜は住居を訪問するために、当該仮名加⼯情報に含まれる連絡先その他の情報を利⽤してはならない。

９

仮名加⼯情報、仮名加⼯情報である個⼈データ及び仮名加⼯情報である保有個⼈データについては、第15条第2項、第22条の2及び第27条から第34条までの規定は、適⽤しない。

第35条の3 （令和3年改正後42条）
仮名加⼯情報取扱事業者は、法令に基づく場合を除くほか、仮名加⼯情報（個⼈情報であるものを除く。次項及び第3項において同じ。）を第三者に提供してはならない。
２ 第23条第5項及び第6項の規定は、仮名加⼯情報の提供を受ける者について準⽤する。この場合において、同条第5項中「前各項」とあるのは「第35条の3第1項」と、同項第1号中「個⼈情報取扱事業者」とあるのは「仮名加⼯情報取扱事業者」と、同項第3号中「、本⼈に通知し、⼜は本⼈が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第六項中「個⼈情報取扱事業者」とあるのは「仮名加⼯情報取扱事業者」と、「、本⼈に通知し、⼜は本⼈が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と読み替えるものとする。
３ 第20条から第22条まで、第35条並びに前条第7項及び第8項の規定は、仮名加⼯情報取扱事業者による仮名加⼯情報の取扱いについて準⽤する。この場合において、第20条中「漏えい、滅失⼜は毀損」とあるのは「漏えい」と、前条第7項中「ために、」とあるのは「ために、削除情報等を取得し、⼜は」と読み替えるものとする。

2021/9/29『情報法制レポート』創刊記念セミナー63仮名加⼯情報（仮名加⼯情報の取扱いに係る義務）第73条 ⾏政機関の⻑等は、法令に基づく場合を除くほか、仮名加⼯情報（個⼈情報であるものを除く。以下この条及び第128条において同じ。）を第三者（当該
仮名加⼯情報の取扱いの委託を受けた者を除く。）に提供してはならない。
２ ⾏政機関の⻑等は、その取り扱う仮名加⼯情報の漏えいの防⽌その他仮名加⼯情報の安全管理のために必要かつ適切な措置を講じなければならない。
３ ⾏政機関の⻑等は、仮名加⼯情報を取り扱うに当たっては、法令に基づく場合を除き、当該仮名加⼯情報の作成に⽤いられた個⼈情報に係る本⼈を識別するた
めに、削除情報等（仮名加⼯情報の作成に⽤いられた個⼈情報から削除された記述等及び個⼈識別符号並びに第41条第1項の規定により⾏われた加⼯の⽅法に関する情報をいう。）を取得し、⼜は当該仮名加⼯情報を他の情報と照合してはならない。
４ ⾏政機関の⻑等は、仮名加⼯情報を取り扱うに当たっては、法令に基づく場合を除き、電話をかけ、郵便若しくは⺠間事業者による信書の送達に関する法律第2条第6項に規定する⼀般信書便事業者若しくは同条第9項に規定する特定信書便事業者による同条第2項に規定する信書便により送付し、電報を送達し、ファクシ
ミリ装置若しくは電磁的⽅法（電⼦情報処理組織を使⽤する⽅法その他の情報通信の技術を利⽤する⽅法であって個⼈情報保護委員会規則で定めるものをいう。）を⽤いて送信し、⼜は住居を訪問するために、当該仮名加⼯情報に含まれる連絡先その他の情報を利⽤してはならない。
５ 前各項の規定は、⾏政機関の⻑等から仮名加⼯情報の取扱いの委託（⼆以上の段階にわたる委託を含む。）を受けた者が受託した業務を⾏う場合について準⽤する。

⾏政機関の⻑等が⾃ら作成することは想定されていない？

2021/9/29『情報法制レポート』創刊記念セミナー

64

安全管理措置，従業者の義務，措置要求

⾏政機関個⼈情報保護法（安全確保の措置）
第6条 ⾏政機関の⻑は、保有個⼈情報の漏えい、滅失⼜は毀損の防⽌その他の保有個⼈情報の適切な管理のために必要な措置を講じなければならない。
２ 前項の規定は、⾏政機関から個⼈情報（⾏政機関⾮識別加⼯情報及び削除情報に該当するものを除く。次条、第三⼗⼋条、第四⼗⼋条、第五⼗条及び第五⼗⼀条
において同じ。）の取扱いの委託を受けた者が受託した業務を⾏う場合について準⽤する。
（従事者の義務）
第7条 個⼈情報の取扱いに従事する⾏政機関の職員若しくは職員であった者⼜は前条第⼆項の受託業務に従事している者若しくは従事していた者は、その業務に関して知り得た個⼈情報の内容をみだりに他⼈に知らせ、⼜は不当な⽬的に利⽤してはならない。
（保有個⼈情報の提供を受ける者に対する措置要求）
第9条 ⾏政機関の⻑は、前条第⼆項第三号⼜は第四号の規定に基づき、保有個⼈情報を提供する場合において、必要があると認めるときは、保有個⼈情報の提供を受ける者に対し、提供に係る個⼈情報について、その利⽤の⽬的若しくは⽅法の制
限その他必要な制限を付し、⼜はその漏えいの防⽌その他の個⼈情報の適切な管理のために必要な措置を講ずることを求めるものとする。

2021/9/29（安全管理措置）第六⼗六条
⾏政機関の⻑等は、保有個⼈情報の漏えい、滅失⼜は毀損の防⽌その他の保有個⼈情報の安全管理のために必要かつ適切な措置を講じなければならない。
２
前項の規定は、次の各号に掲げる者が当該各号に定める業務を⾏う場合における個⼈情報の取扱いについて準⽤する。
⼀ ⾏政機関等から個⼈情報の取扱いの委託を受けた者 当該委託を受けた業務
⼆ 指定管理者（地⽅⾃治法（昭和⼆⼗⼆年法律第六⼗七号）第⼆百四⼗四条の⼆第三項に規定する指定管理者をいう。） 公の施設（同法第⼆百四⼗四条第⼀項に規定する公の施設をいう。）の管理の業務
三 第五⼗⼋条第⼀項各号に掲げる者 法令に基づき⾏う業務であって政令で定める
もの四 第五⼗⼋条第⼆項各号に掲げる者 同項各号に定める業務のうち法令に基づき⾏う業務であって政令で定めるもの
五 前各号に掲げる者から当該各号に定める業務の委託（⼆以上の段階にわたる委託を含む。）を受けた者 当該委託を受けた業務（従事者の義務）
第六⼗七条 個⼈情報の取扱いに従事する⾏政機関等の職員若しくは職員であった者、前条第⼆項各号に定める業務に従事している者若しくは従事していた者⼜は⾏政機関等において個⼈情報の取扱いに従事している派遣労働者（労働者派遣事業の適正な運営の確保及び派遣労働者の保護等に関する法律（昭和六⼗年法律第⼋⼗⼋号）第⼆条
第⼆号に規定する派遣労働者をいう。以下この章及び第百七⼗六条において同じ。）
若しくは従事していた派遣労働者は、その業務に関して知り得た個⼈情報の内容をみだりに他⼈に知らせ、⼜は不当な⽬的に利⽤してはならない。
（保有個⼈情報の提供を受ける者に対する措置要求）第七⼗条 ⾏政機関の⻑等は、利⽤⽬的のために⼜は前条第⼆項第三号若しくは第四号の規定に基づき、保有個⼈情報を提供する場合において、必要があると認めるときは、保有個⼈情報の提供を受ける者に対し、提供に係る個⼈情報について、その利⽤の⽬的若しくは⽅法の制限その他必要な制限を付し、⼜はその漏えいの防⽌その他の個⼈情報の適切な管理のために必要な措置を講ずることを求めるものとする。

『情報法制レポート』創刊記念セミナー

65

個⼈情報保護委員会「公的部⾨（国の⾏政機関等・地⽅
公共団体等）における個⼈情報保護の規律の考え⽅（令和３年個⼈情報保護法改正関係）」

2021/9/29『情報法制レポート』創刊記念セミナー

66

個⼈情報データベース等，個⼈情報ファ
イル，個⼈情報取扱事務登録簿の併存
（定義）
第16条
この章及び第⼋章において「個⼈情報データベース等」とは、個⼈情報を含む情報の集合物であって、次に掲げるもの（利⽤⽅法からみて個⼈の権利利益を害するおそれが少ないものとして政令で定めるものを除く。）をいう。
⼀ 特定の個⼈情報を電⼦計算機を⽤いて検索することができるように体系的に構成したもの
⼆ 前号に掲げるもののほか、特定の個⼈情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（定義）
第60条第2項
この章及び第⼋章において「個⼈情報ファイル」とは、保有個⼈情報を含む情報の集合物であって、次に掲げるものをいう。
⼀ ⼀定の事務の⽬的を達成するために特定の保有個⼈情報を電⼦計算機を⽤いて検索することができるように体系的に構成したもの
⼆ 前号に掲げるもののほか、⼀定の事務の⽬的を達成するために⽒名、⽣年⽉⽇、その他の記述等により特定の保有個⼈情報を容易に検索することができるように体系的に構成したもの（個⼈情報ファイル簿の作成及び公表）
第75条5項
前各項の規定は、地⽅公共団体の機関⼜は地⽅独⽴⾏政法⼈が、条例で定めるところにより、個⼈情報ファイル簿とは別の個⼈情報の保有の状況に関する事項を記載した帳簿を作成し、公表することを妨げるものではない。

2021/9/29『情報法制レポート』創刊記念セミナー

67

個⼈情報保護委員会「公的部⾨（国の⾏政機関等・地⽅
公共団体等）における個⼈情報保護の規律の考え⽅（令和３年個⼈情報保護法改正関係）」

2021/9/29『情報法制レポート』創刊記念セミナー

68

個⼈情報保護委員会「公的部⾨（国の⾏政機関等・地⽅
公共団体等）における個⼈情報保護の規律の考え⽅（令和３年個⼈情報保護法改正関係）」

2021/9/29『情報法制レポート』創刊記念セミナー

692021/9/29『情報法制レポート』創刊記念セミナー

702021/9/29『情報法制レポート』創刊記念セミナー

712021/9/29『情報法制レポート』創刊記念セミナー

72

個⼈情報保護委員会「学術研究分野における個⼈情報保護の規律の考え⽅（令和３年個⼈情報保護法改正関係））」

2021/9/29『情報法制レポート』創刊記念セミナー

73

個⼈情報保護委員会「学術研究分野における個⼈情報保護の規律の考え⽅（令和３年個⼈情報保護法改正関係））」

2021/9/29『情報法制レポート』創刊記念セミナー

74

個⼈情報保護委員会「学術研究分野における個⼈情報保護の規律の考え⽅（令和３年個⼈情報保護法改正関係））」

2021/9/29『情報法制レポート』創刊記念セミナー

75

個⼈情報保護委員会「学術研究分野における個⼈情報保護の規律の考え⽅（令和３年個⼈情報保護法改正関係））」

2021/9/29『情報法制レポート』創刊記念セミナー

76

個⼈情報保護委員会「学術研究分野における個⼈情報保護の規律の考え⽅（令和３年個⼈情報保護法改正関係））」

2021/9/29『情報法制レポート』創刊記念セミナー

77

個⼈情報保護委員会「学術研究分野における個⼈情報保護の規律の考え⽅（令和３年個⼈情報保護法改正関係））」

2021/9/29『情報法制レポート』創刊記念セミナー

78

個⼈情報保護委員会「学術研究分野における個⼈情報保護の規律の考え⽅（令和３年個⼈情報保護法改正関係））」

2021/9/29『情報法制レポート』創刊記念セミナー

79

個⼈情報保護委員会「学術研究分野における個⼈情報保護の規律の考え⽅（令和３年個⼈情報保護法改正関係））」

2021/9/29『情報法制レポート』創刊記念セミナー

80

個⼈情報保護委員会「学術研究分野における個⼈情報保護の規律の考え⽅（令和３年個⼈情報保護法改正関係））」

2021/9/29『情報法制レポート』創刊記念セミナー

81

個⼈情報保護委員会「学術研究分野における個⼈情報保護の規律の考え⽅（令和３年個⼈情報保護法改正関係））」

2021/9/29『情報法制レポート』創刊記念セミナー

82

個⼈情報保護委員会「学術研究分野における個⼈情報保護の規律の考え⽅（令和３年個⼈情報保護法改正関係））」

2021/9/29『情報法制レポート』創刊記念セミナー

83

個⼈情報保護委員会「学術研究分野における個⼈情報保護の規律の考え⽅（令和３年個⼈情報保護法改正関係））」

2021/9/29『情報法制レポート』創刊記念セミナー

84

個⼈情報保護委員会「学術研究分野における個⼈情報保護の規律の考え⽅（令和３年個⼈情報保護法改正関係））」

2021/9/29『情報法制レポート』創刊記念セミナー

85

個⼈情報保護委員会「学術研究分野における個⼈情報保護の規律の考え⽅（令和３年個⼈情報保護法改正関係））」

2021/9/29『情報法制レポート』創刊記念セミナー

86

個⼈情報保護委員会「学術研究分野における個⼈情報保護の規律の考え⽅（令和３年個⼈情報保護法改正関係））」

2021/9/29『情報法制レポート』創刊記念セミナー

87

GDPRにおける越境移転制限• 欧州⼀般データ保護規則（GDPR）上，欧州（EU/EEA）域外への移転は原則禁⽌されており，GDPR44条以下の要件を満たした場合にのみ許される．
• GDPR45条（⼗分性認定）は，最も原則的な移転⼿段であり，国⼜は地域が，個⼈データの保護について⼗分なレベルの保護措置を確保している場合に⼗分性について，欧州委員会が決定を下すのが基本である• 例えば，⽇本について”Commission Implementing Decision (EU)2019/419 of 23 January 2019 pursuant to Regulation (EU) 2016/679
of the European Parliament and of the Council on the adequate
protection of personal data by Japan under the Act on the Protectionof Personal Information (Text with EEA relevance) C/2019/304/”
2021/9/29『情報法制レポート』創刊記念セミナー

88

GDPRにおける⼗分性認定• ⼗分性認定とは，欧州⼀般データ保護規則（GDPR）において，個⼈データの欧州（EU加盟国及びEEA3カ国）からの移転が原則禁⽌されているところ，⼗分なデータ保護の制度を備えている国⼜は地域として認定されることで，移転が可能となる制度である（ただし，GDPRは個⼈データの処理も原則禁⽌しており，処理の適法化事由が不要となるわけではないことに注意が必要である）。具体的には，
GDPR第44条及び45条がこれを定める）。
• ⼗分性判定がなされたのは，• アンドラ，アルゼンチン，カナダ（⺠間部⾨），フェロー諸島，ガーンジー
島，イスラエル，マン島，ジャージー島，ニュージーランド，スイス，ウルグアイ（7カ国4地域），⽇本• EU-USプライバシーシールドスキーム

2021/9/29『情報法制レポート』創刊記念セミナー

89

⽇本の⼗分性認定
Commission Implementing Decision (EU) 2019/419 of 23 January 2019 pursuant toRegulation (EU) 2016/679 of the European Parliament and of the Council on theadequate protection of personal data by Japan under the Act on the Protection of
Personal Information (Text with EEA relevance) C/2019/304/

管理者・処理者

欧州

⽇本

管理者・処理者（個⼈情報保護法の範囲内）
⽇本法＋補完的ルールを遵守

2021/9/29『情報法制レポート』創刊記念セミナー

90

⽇EU間の相互の円滑な個⼈データ移転を図る枠組み発効（2019年1⽉23⽇）• ⽇EU間の相互の円滑な個⼈データ移転を図る枠組みが、平成
31年１⽉23⽇に発効しました。
• 本枠組みの構築に関しては、⽇EU双⽅の経済界の要望等も受け
個⼈情報保護委員会と欧州委員会との間で交渉を重ね、平成30
年７⽉、個⼈情報保護委員会が個⼈情報保護法第24条に基づく指定をEUに対して⾏い、欧州委員会がGDPR第45条に基づく⼗分性認定を我が国に対して⾏う⽅針について合意に⾄りました。
この合意を踏まえて、我が国においては、第85回個⼈情報保護委員会において、上記のEU指定を１⽉23⽇付けにて⾏うことを決定しました（※）。また、欧州委員会においても、上記の我が国の⼗分性認定を同23⽇付けにて⾏うことを決定しました。
2021/9/29『情報法制レポート』創刊記念セミナー

91熊澤春陽個⼈情報保護委員会委員、ベラ・ヨウロバー欧州委員会委員（司法・消費者・男⼥平等担当）による共同プレス・ステートメント（2019 年
1 ⽉ 23 ⽇ ）• 熊澤春陽委員とベラ・ヨウロバー委員は、本⽇、個⼈情報保護委員会と欧州委員会による、お互いの個⼈データの保護レベルが同等だとする決定の採択を歓迎する。
• 相互に⼗分性を⾒出すことを通じて、データが安全に流通する世界最⼤の地域が創出される。これは、特に包括的なプライバシーの法律、中核となる⼀連の個⼈の権利の核⼼、及び独⽴したデータ保護機関による執⾏に⽀えられる、両国の制度の⾼いレベルの類似性に基づくものである。データ・プライバシー及びセキュリティが消費者の信頼の中⼼的要素となった今、このような強い法律と確固たる執⾏に基づく類似性こそが、ますます増⼤するデータ駆動型経済の持続可能性を確保し、通商の流れを促進することができる。
• ⽇ EU の市⺠は、個⼈データの移転における強固な保護を享受する⼀⽅、⽇ EU の全ての企業は、お互いの経済圏への⾃由なデータ移転による便益を享受する。このように、本⽇の決定は、⽇ EU 経済連携協定から得られる利益を補完し拡⼤することとなり、⽇EU 間の戦略的なパートナーシップにも寄与する。
• 相互に⼗分性を⾒出すことによって、⽇ EU は、プライバシーに関する価値観の共有及び⾼いレベルの個⼈データの保護に基づく世界標準の形成に向けた協⼒の強化へのコ
ミットメントを再確認する。

2021/9/29『情報法制レポート』創刊記念セミナー

92

⼗分性認定のポイント• あくまで個⼈情報保護法の対象範囲に限ったものである。
• ①個⼈情報保護法部分の評価，②刑事的なアクセスについての評価，③安全保障⽬的でのアクセスについての評価，からなる。単に個⼈情報保護法だけで維持できるものではない（例えば，②には捜査事項照会制度についての評価も含まれる）• EDPB，欧州議会がそれぞれコメントを発している。EDPBは2
年毎のレビューを主張。その他重⼤な指摘が多々。
• セーフハーバー（SchremsI），プライバシーシールド（SchremsII）が無効となったように，欧州司法裁判所における司法審査の対象となり得る。不適切な運⽤が続けば無効となる可能性も否定できない。
2021/9/29『情報法制レポート』創刊記念セミナー

93

⼗分性認定リサイタル10項• ”The two latter acts (amended in 2016) contain provisions
applicable to the protection of personal information by public
sector entities. Data processing falling within the scope of
application of those acts is not the object of the adequacy
finding contained in this Decision, which is limited to theprotection of personal information by "Personal Information
Handling Business Operators" (PIHBOs) within the meaningof the APPI.
• ⾏政機関個⼈情報保護法，独⽴⾏政法⼈等個⼈情報保護法は⼗分性認定の適⽤範囲ではなく，個⼈情報保護法上の個⼈情報取
扱事業者における個⼈情報の保護に限定される
2021/9/29『情報法制レポート』創刊記念セミナー

94

EDPB意⾒46項• ”The adequacy finding of this draft adequacy decision is limited tothe protection of personal information by PIHBOs within themeaning of the APPL This means that the adequacy is sectorial
as it only applies to the private sector, excluding from its scopetransfers of personal data between public authorities and bodies.
Currently, the European Commission briefly mentions thisspecificity of the scope of the adequacy in recital 10 of the draft
adequacy decision.”• 本⼗分性認定案の⼗分である，という結論は個⼈情報保護法における個⼈情報取扱事業者による個⼈情報の保護に限られている．これは，公的機関及び組織間の個⼈データの移転は適⽤範囲から除かれ，
⼗分性が⺠間分野にのみ適⽤される，分野的なものであることを意味している．現在のところ，欧州委員会は⼗分性の適⽤範囲のこの特異性について⼗分性認定案のリサイタル10で簡単に触れている
2021/9/29『情報法制レポート』創刊記念セミナー

95

同47項
• ”The EDPB invites the European Commission to explicitly
mention the sectorial nature of this adequacy finding in thetitle of the implementing decision as well as in its Article 1 inaccordance with Article 45 (3) GDPR.”• EDPBは欧州委員会に対し，GDPR45条3項に従って，その第1条と同様，実施決定のタイトルで，この⼗分性認定の分野別の性質について明⽰的に述べるよう求める。

2021/9/29『情報法制レポート』創刊記念セミナー

96

⼗分性認定の題名には”under the Act on the Protection of Personal Information”（個⼈情報保護法の適⽤範囲）が明記され，⽇本の⼗分性認定は分野別の認定である（「特定の部⾨」，
GDPR45条1項及び3項）ことが明らかとなった• ⽇本語の⽂書ではあまり触れられていないので，注意が必要• 理論的帰結• ⼗分性認定やEDPB意⾒から明らかなように，公的機関の保有する個⼈情報については⼗分性認定が得られていない• 個⼈情報保護法上の適⽤除外に該当する場合にはやはり⼗分性認定の埒外であるということ• 具体例• 個⼈情報保護法76条1項柱書• 「個⼈情報取扱事業者等のうち次の各号に掲げる者については，その個⼈情報等を取り扱う⽬的の全部⼜は⼀部がそれぞれ当該各号に規定する⽬的であるときは，第四章の規定は，適⽤しない．」• 3号• 「⼤学その他の学術研究を⽬的とする機関若しくは団体⼜はそれらに属する者」• 「学術研究の⽤に供する⽬的」• 学術研究機関（私⽴⼤学等）が個⼈情報を学術研究の⽤に供する場合，個⼈情報保護法上の，個⼈
情報取扱事業者の義務規定が適⽤されないことと表裏⼀体として，⼗分性認定の対象にならない• これらの事実から，⼤学（国⽴⼤学法⼈であるにせよ，私⽴⼤学であるにせよ，公⽴⼤学であるにせよ）が欧州の研究機関と共同研究する場合，欧州からの移転に際して，⼗分性認定に頼ることはできないということ

2021/9/29『情報法制レポート』創刊記念セミナー

97

学術研究例外の整理
⽬的外利⽤

要配慮個⼈情報取得

研究発
表・教授

事業者内
取扱い

当該個⼈情報取扱事業者が学術研究機関等である
場合であって、当該個⼈データの提供が学術研究の成果の公表⼜は教授のためやむを得ないとき（個⼈の権利利益を不当に侵害するおそれがある場合を除く。）。（27条1項5号）
当該個⼈情報取扱事業者が学術研究機関等である場合であって、当該個⼈情報を学術研究の⽤に供する⽬的（以下この章において「学術研究⽬的」という。）で取り扱う必要があるとき（当該個⼈情報を取り扱う⽬的の⼀部が学術研究⽬的である場合を含み、個⼈の権利利益を不当に侵害するおそれがある場合を除く。）。
（18条3項5号）

学術研究
機関等か
らの提供

学術研究
機関等へ
の提供

第三者提供

学術研究機関等に個⼈データを提供する場合であって、当該学術研究機関等が当該個⼈データを学術研究⽬的で取り扱う必要があるとき（当該個⼈データを取り扱う⽬的の⼀部が学術研究⽬的である場合を含み、個⼈の権利利益を不当に侵害するおそれがある場合を除く。）。（18条3項6号）
2021/9/29

当該個⼈情報取扱事業者が学術研究機関等である場
合であって、当該要配慮個⼈情報を学術研究⽬的で取り扱う必要があるとき（当該要配慮個⼈情報を取り扱う⽬的の⼀部が学術研究⽬的である場合を含み、個⼈の権利利益を不当に侵害するおそれがある場合を除く。）。（20条2項5号）

学術研究機関等から当該要配慮個⼈情報を取得する場合であって、当該要配慮個⼈情報を学術研究⽬的で取得する必要があるとき（当該要配慮個⼈情報を取得する⽬的の⼀部が学術研究⽬的である場合を含
み、個⼈の権利利益を不当に侵害するおそれがある場合を除く。）（当該個⼈情報取扱事業者と当該学術研究機関等が共同して学術研究を⾏う場合に限る。）。（20条2項6号）

当該個⼈情報取扱事業者が学術研究機関等である
場合であって、当該個⼈データを学術研究⽬的で提供する必要があるとき（当該個⼈データを提供する⽬的の⼀部が学術研究⽬的である場合を含み、個⼈の権利利益を不当に侵害するおそれがある場
合を除く。）（当該個⼈情報取扱事業者と当該第三者が共同して学術研究を⾏う場合に限る。）。
（27条1項6号）『情報法制レポート』創刊記念セミナー

当該第三者が学術研究機関等である場合であって、当該第三者が当該個⼈データを学術研究⽬的で取り扱う必要があるとき（当該個⼈データを取り扱う⽬的の⼀部が学術研究⽬的である場合を含み、個⼈の権利利益を不当に侵害するおそれがある場
合を除く。）。（27条1項7号）
98

※「「学術研究機関等」とは、⼤学その他の学術研究を⽬的とする機関若しくは団体⼜はそれらに属する者をいう。」（新16条8項）

適⽤除外
適⽤除 適⽤しない
外（76条1項3
号）

⺠間事業者

独法等

適⽤しない
（76条1項3号）

適⽤しない（76条1項3号）

⺠間事 権限を⾏使業者
しない（43条2項）

独法等 ⽬的内外部提供（9条1項）
特別の理由（9条2項4号）

2021/9/29[国の機関等の事務への協⼒（23条1項4号）]
⽬的内外部提供（9条1項）
特別の理由（9条2項4号）

⽬的内外部提供（9条1項）
相当の理由（9条2項3号）

学術研究機関等
学術研 成果の公表⼜は教授
究機関 （新27条1項5号）
等
学術研究⽬的共同研
究（新27条1項6号）
学術研究⽬的提供（新27条1項7号）

それ以外
成果の公表⼜は教授（新27条1項5号）
学術研究⽬的共同研究（新27条1項6号）

それ以 学術研究⽬的提供外（新27条1項7号）『情報法制レポート』創刊記念セミナー

992021/9/29『情報法制レポート』創刊記念セミナー

100

個⼈情報保護委員会「公的部⾨（国の⾏政機関等・地⽅
公共団体等）における個⼈情報保護の規律の考え⽅（令和３年個⼈情報保護法改正関係）」

2021/9/29『情報法制レポート』創刊記念セミナー

1012021/9/29『情報法制レポート』創刊記念セミナー

1022021/9/29『情報法制レポート』創刊記念セミナー

103

個⼈情報保護委員会「公的部⾨（国の⾏政機関等・地⽅
公共団体等）における個⼈情報保護の規律の考え⽅（令和３年個⼈情報保護法改正関係）」

2021/9/29『情報法制レポート』創刊記念セミナー

104