個人情報保護に関する社内整備と関連規程の見直し

講師略歴
弁護士

水町雅子 （みずまちまさこ）
http://www.miyauchi-law.com

メール→osg@miyauchi-law.com◆

東京大学教養学部相関社会科学卒業◆

現、みずほ情報総研入社
ITシステム設計・開発・運用、事業企画等業務に従事◆

東京大学大学院法学政治学研究科法曹養成専攻（法科大学院）修了◆

司法試験合格、法曹資格取得、第二東京弁護士会に弁護士登録◆

内閣官房社会保障改革担当室参事官補佐
マイナンバー制度立案（特にマイナンバー法立法作業、情報保護評価立案）に従事◆

現、個人情報保護委員会上席政策調査員
マイナンバー制度における個人情報保護業務（特にガイドライン、特定情報保護評価）に従事◆

首相官邸IT総合戦略本部「パーソナルデータに関する検討会」参考人
個人情報保護改正検討◆

宮内・水町IT法律事務所（五番町法律事務所から名称変更）共同設立、現在にいたる

その他、地方公共団体の情報公開・個人情報保護審査会委員（東京都港区、東京都杉並区、茨木県つくば市）等を務める。
マイナンバー・個人情報に関する著書・論文・講演・TV出演・新聞取材等多数。
金融法務事情Ｎｏ.２０４６「改正個人情報保護法と金融機関の実務対応」、労政時報３９１５号「実務に役立つ法律講座（２３）個人情報」
ＮＢＬＮｏ.９４７「ライフログにおける法的問題」等多数

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

2

改正個人情報保護法
背景と概要

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

3背景には、生活上、個人情報の提供を免れられない時代が もはや書面で個人情報を提供するだけではない PC、スマホ、カード、ゲーム機などを利用すると、その履歴が残るとともに、通信
ネットライフ◆ ネット検索◆ ネット閲覧◆ ネットショッピング

◆ SNSへのログイン（頻度・時間帯）◆ SNS内での行動◆ アプリインストール・アプリ起動

リアルライフ◆ PASMO,SUICAでの移動・ショッピング
◆ コンビニ等でのＰＯＳデータ◆ GPS◆ ポイントカード
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）など様々
4

背景には、生活上、個人情報の提供を免れられない時代が個人情報の保護ビッグデータの活用環境整備COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

5

改正概要（１）

個人情報保護法に従わなければならない対象者が大幅に拡大
POINT

改正前は5,000人以下の個人情報を取り扱う者は、個人情報保護法義務の対象外だった。
改正法下では、このような例外はなく、5,000人以下の個人情報を取り扱う者も、個人情報保護法が求めるさまざまな義務を果たさなければならない。

CHECK

自社が個人情報保護法の対象かどうか

改正前

改正後

事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数の合計が過去6月以内のいずれの日においても5,000を超えない者は、「個人情報取扱事業者」には該当せず（旧法2条3項5号、旧施行令2条）、個人情報保護法が求める義務に服することはなかった。

上記のような例外は撤廃された。

解説
改正前と同様、個人情報データベース等を事業の用に供している者が「個人情報取扱事業者」であるため、散在する個人情報を保有している場合等
は、改正法下でも依然として、個人情報保護法の義務に服することはない。ただ、改正前と同様、「事業の用」とは営利に限らないため、町内会、同窓会等も、「個人情報取扱事業者」に該当しうる。
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

6改正概要（２）

個人情報の定義の明確化
POINT「何が個人情報なのか」という個人情報の定義が明確化。
誰の情報かわかるものは、氏名などが記載されていなくても個人情報に該当することが明確に。

CHECK

自社で考えていた個人情報の範囲に漏れがないか※実質的改正箇所は下線部参照

改正前

改正後

「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう（旧２条１項）「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。（２条１項・２項）

解説

追って詳細を解説キーワード「容易照合性」「個人識別符号」



首相官邸パーソナルデータに関する検討会（第３回）にて筆者
指摘

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）①当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。）で作られる記録をいう。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）②個人識別符号が含まれるもの※個人識別符号とは、指紋、掌紋、パスポート番号、健康保険証番号等
7

改正概要（３）

個人情報 新ガイドラインの公表
POINT

個人情報保護法に関しては、各主務大臣（経済産業大臣、厚生労働大臣等）がガイドラインをそれぞれ策定し、３８本のガイドラインが公表されていた。今般、個人情報保護委員会が原則としてこれらのガイドラインを統一。

CHECK

自社の個人情報対応が新ガイドラインに合致するかどうか

改正前分野
医療（一般）
医療（研究）
金融
信用
電気通信（電気通信）
電気通信（放送）
電気通信（郵便）電気通信（信書便）
経済産業
雇用管理（一般）
雇用管理（船員）
警察
法務
外務
財務
文部科学
福祉
職業紹介等（一般）
職業紹介等（船員）
労働者派遣（一般）
労働者派遣（船員）
労働組合
企業年金
農林水産
国土交通
環境
防衛

本数
５本
３本
２本
１本
１本
１本
１本
１本
３本
２本
１本
１本
２本
１本
１本
１本
１本
１本
１本
１本
１本
１本
１本
１本
１本
１本
１本

所管府省
厚生労働省
厚生労働省、文部科学省、経済産業省
金融庁
経済産業省
総務省
総務省
総務省
総務省
経済産業省
厚生労働省
国土交通省
国家公安委員会
法務省
外務省
財務省
文部科学省
厚生労働省
厚生労働省
国土交通省
厚生労働省
国土交通省
厚生労働省
厚生労働省
農林水産省
国土交通省
環境省
防衛省

改正後

ガイドラインがようやく統一化！

分野

集約！

ガイドライン

全分野共通
特別分野

個人情報保護委員会ガイドライン
金融・電気通信・医療

解説
ガイドラインの種類が分かれすぎており、企業にとってはどのガイド
ラインに準拠すればよいのかや、それぞれのガイドラインの差異などがわかりづらい状況にあった。



首相官邸パーソナルデータに関する検討会（第３回）にて筆者指摘
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

8個人情報保護法の新ガイドライン
個
人
情
報
保
護
委
員
会
医療

情報
通信
金融

１
２

ガイドライン通則編
ガイドライン外国提供編

３

ガイドライン確認・記録編

４
参考個人情報保護法全般に関するガイドライン
外国にある第三者に個人データを提供することに関するガイドライン（法24条関係）

個人データの第三者提供を受ける/行う際の確認・記録義務に関するガイドライン（法25・26条関係）
ガイドライン匿名加工情報編 匿名加工情報に関するガイドライン（法第4章第2節関係）
Ｑ＆Ａ
ガイドラインに関するＱ＆Ａ「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」

医療・介護関係事業者の個人情報保護法全般に関するガイドライン「健康保険組合等における個人情報の適切な取扱いのためのガイダンス」「国民健康保険組合における個人情報の適切な取扱いのためのガイダンス」「国民健康保険団体連合会等における個人情報の適切な取扱いのためのガイダンス」
電気通信事業における個人情報保護に関するガイドライン

医療保険者等の個人情報保護法全般に関するガイドライン

金融分野における個人情報保護に関するガイドライン

金融ガイドライン

金融分野における個人情報保護に関するガイドラインの安全管理措置等についての実務指針

金融分野の安全管理措置等に関するガイドライン（法20条
関係）
9
信用分野の個人情報保護法全般に関するガイドライン

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

信用分野における個人情報保護に関するガイドライン

電気通信分野の個人情報保護法全般に関するガイドライン

改正概要（４）

個人情報保護委員会による監督（命令等）
POINT

個人情報保護法の施行に関し、内閣府の外局である個人情報保護委員会が、報告徴収、立入検査、助言、指導、勧告、命令を行う。個人情報保護委員会は、公正取引委員会並の組織。

CHECK

対・個人情報保護委員会を意識

改正前

改正後

※実質的改正箇所は下線部参照

主務大臣（内閣総理大臣、経済産業大臣等）が個人情報保護について監督

公正取引委員会並の独立性等を備えた、個人情報保護委員会が個人情報保護について監督

報告徴収、助言、勧告、命令

報告徴収、立入検査、助言、指導、勧告、命令

解説

これまでは、法解釈権限庁と法執行権限庁が異なっていた。前者は消費者庁、後者は金融庁・経済産業省等。



改正に伴い、法解釈権限庁と法執行権限庁を一元化し、プライバシー・コミッショナーたる個人情報保護委員会にて、統一的・迅速に個人情報保護法制を取り仕切ることに。
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

10

改正概要（５）

要配慮個人情報
POINT

差別や偏見の恐れのある個人情報について、「要配慮個人情報」（法2条3項）という類型が新設され、要配慮個人情報は原則として本人の同意を得て取得することが必要に。

CHECK

自社で要配慮個人情報を取得する場合があるか

改正前

改正後

一部の条例やガイドラインで要配慮個人情報に相当する類型が設けられていたのみ

この法律において「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。

※がんに罹患している、窃盗の前科がある、強盗被害にあった等

解説

改正前は、「センシティブデータ」「機微情報」等とも呼ばれていたが、一部の条例やガイドラインによって、その範囲がバラバラだった。



これに対し、ＥＵでは法令で一定の個人情報（人種、政治的信条、信教等）について取扱いが原則禁止とされている。
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

11

改正概要（６）

第三者提供時の記録
POINT

個人データを第三者提供した際は、原則としてその記録を作成・保存しなければならない（25条1項・2項）。

CHECK

個人データを第三者提供しているか確認し、対応

改正前

改正後

記録の作成・保存義務はない① 個人情報取扱事業者は、個人データを第三者（第2条第5項各号に掲げる者を除く。）に提供したときは、（略）当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない（法25条1項）。
② 個人情報取扱事業者は、（略）記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない（法25条2項）。

解説

※ 国、地方公共団体、委託先への提供、法令に基づく提供等の場合は、不要。

個人情報保護法の改正が検討されている最中、大手企業から大量の個人情報が流出する事件が発生したこと等もあり、改正個人情報保護法では、いわゆる名簿屋問題対策として、個人情報の流通経路を辿ることができるようなトレーサビリティの確保のための改正がなされた。
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

12

改正概要（７）

第三者提供を受けた時の確認と記録
POINT

第三者から個人データの提供を受けた際は、原則として取得の経緯などを確認し、その記録を作成・保存しなければならない（26条1項・3項・4項）。

CHECK

個人データについて第三者提供を受けているか確認し、対応

改正前記録の作成・保存義務はない

改正後① 個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、（略）次に掲げる事項の確認を行わなければならない（26条1項）。（略）一 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（略）の氏名

解説

二 当該第三者による当該個人データの取得の経緯

第三者提供時の記録と同様に、個人情報の流通経路を辿ることができるようなトレーサビ
リティの確保のための改正に基づくもの。

② 個人情報取扱事業者は、（略）確認を行ったときは、（略）当該個人データの提供を受けた年月日、
当該確認に係る事項その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない（26条3項）。
③ 個人情報取扱事業者は、（略）記録を、当該記録を作成した日から個人情報保護委員会規則で定める
期間保存しなければならない（26条4項）。
※ 国、地方公共団体、委託先への提供、法令に基づく提供等の場合は、不要。

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

13

改正概要（８）

外国への第三者提供時の同意取得
POINT

外国へ個人データを第三者提供する場合は、原則本人の同意を得なければならない（24条）。

CHECK

外国へ第三者提供しているか、どの国かを確認し、対応

改正前

改正後

第三者提供に関する規制に関し、国内提供と国外提供の差はない

以下の場合を除き、個人情報取扱事業者は、外国（略）にある第三者に個人データを提供する場合には、（略）あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。

① 個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定める国への提供

解説※ 平成28年末時点で①に該当する国はなし

企業活動のグローバル化に伴い、外国への個人データの移転について新たに規制がされた。

②

また、EU相当の個人情報保護にかかる規律を整備するための改正でもある。

個人データの取扱いについて個人情報保護法第４条第１節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者への提供③

個人情報保護法２３条１項各号に掲げる場合

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

14

改正概要（９）オプトアウトによる第三者提供に伴う届出義務
POINT

個人データをオプトアウト（*）により第三者提供している場合は、個人情報保護委員会に届出する必要がある（23条2項～4項）。

CHECK

オプトアウトによる第三者提供を行っているか確認し、対応
改正後

改正前
オプトアウトにかかる届出義務はない

解説* オプトアウトとは、一定事項を本人が知り得る状
態に置くことによって、本人の同意なく個人データを第三者に提供し、本人の求めがあれば第三者への提供を停止するという仕組みをいう（改正法・現行法23条2項）。
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

以下を個人情報保護委員会に届け出なければならない（23条2項）①

第三者への提供を利用目的とすること。

②

第三者に提供される個人データの項目③

第三者への提供の方法④

本人の求めに応じて当該本人が識別される個人デー
タの第三者への提供を停止すること。

⑤

本人の求めを受け付ける方法

変更時も届出（23条３項）
15

改正概要（１０）

消去の努力義務POINT

不要な個人データの消去に努める義務が新設された（19条）。

CHECK

消去ルールの再検討
改正後

改正前



マイナンバーについては、必要のないマイナンバーの廃棄がガイドライン上求められている

マイナンバー以外の個人データについては、消去・廃棄について特段の求めはなかった。

マイナンバーについては、引き続き、必要のないマイナンバーの廃棄がガイドライン上求められている

マイナンバー以外の個人データについても、必要がなくなった
時は遅滞なく消去するよう努めなければならない（19条）



利用目的に応じ保存期間を定め消去する（金融庁ガイドライン
Ｐ5・7条）

解説
安価で大量の情報を保管し続けられる時代において、不要な個人データが大量かつ半永久的に保管される危険性を踏まえた改正。

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

16改正概要（１１）

個人情報データベース等の不正提供・盗用罪
POINT

新たな罰則規定が設けられた（83条）。個人情報取扱事業者やその従業者等が、業務に関して取り扱った個人情報データベース等を不正な利益を図る目的で提供又は盗用した場合に、1年以下の懲役又は50万円以下の罰金。
一般的な業務を行っている限り、罰則を適用される場合はほぼ考えにくいが、これまで以上に、従業者教育・監督等を行う必要がある。

CHECK

従業者教育・監督・点検方法等を見直す。
改正後

改正前


違法行為に対して個人情報保護法では直接の罰則はなし（認定個
人情報保護団体を除く）。



違法行為は主務大臣の命令が発出。その命令に違反した場合に個
人情報保護法で罰則。



例えば、違法な第三者提供をした場合しても、個人情報保護法では直接の罰則はなし。違法な第三者提供を中止等するよう、主務大臣（経済産業大臣等）の命令が発出された後、命令に違反した
場合に初めて個人情報保護法の罰則が科される。

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

個人情報データベース等の不正提供・盗用については、個人情報保護委員会の命令を経ずに、すぐに個人情報保護法で罰則に科される（83条）。



それ以外の違法行為については、個人情報保護委員会の命令が発出され、その命令に違反した場合に個人情報保護法で罰則。

17

改正概要（１２）

法の目的の明確化
POINT

個人情報保護法は個人の権利利益を保護するための法律だが、保護絶対主義ではなく、「個人情報の活用や有用性を配慮したうえでの保護」を目的とすることを明確化

改正前

改正後

この法律は、高度情報通信社会の進展に伴い個人情報の利用が著しく拡大していることにかんがみ、個人情報の適正な取扱いに関し（中略）個人情報を取り扱う事業者の遵守すべき義務等を定めることにより、個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする。（旧１条）※実質的改正箇所は下線部参照

この法律は、高度情報通信社会の進展に伴い個人情報の利用が著しく拡大していることに鑑み、個人情報の適正な取扱いに関し（中略）個
人情報を取り扱う事業者の遵守すべき義務等を定めることにより、個
人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであることその他の個
人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする。（１条）

解説
改正前より、個人情報保護法は、個人情報の有用性に配慮しつつ保護を目的としていたため、改正により、目的が変化・転換するものではない。
但し、ビッグデータやIoT時代を受けて、さまざまな個人情報の活用によるプラスの側面を、「個人情報の有用性」の例として挙げ、個人情報保護法が保護絶対主義ではないことを明確化した。
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

18

改正概要（１３）規制緩和

利用目的の変更基準の緩和
POINT

改正前は極めて厳格であった個人情報の利用目的の変更基準が緩和。
改正前は変更前後の利用目的に「相当の関連性」が必要だったが、改正後は、単純な「関連性」が必要に。
改正前は変更できなかった利用目的でも、改正法下では変更できる場合も。

CHECK

利用目的の変更ルールを見直すことも考えられる。

改正前

改正後

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲
を超えて行ってはならない（15条2項）。

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲
を超えて行ってはならない（15条2項）。

解説
個人情報というと、「本人同意」のイメージが強いが、それよりも個人情報保護法では、個人情報の「利用目的」を規律の要としている。
この「利用目的」をあらかじめ特定した後は、実務上、その変更が困難であり、個人情報について必要な利活用ができないという課題も指摘されていた。
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

19

改正概要（１４）規制緩和

匿名加工情報POINT「匿名加工情報」（2条9項）という類型が新たに設けられた。特定の個人を識別することができる記述や個人識別符号等を削除するなどして、誰に関する情報であるかをわからなく加工した情報をいい、利用目的の特定や本人の同意なく自由に利活用することができる。
匿名加工情報を利活用する義務があるわけではなく、利活用できるという一種の規制緩和である。

CHECK

匿名加工情報を利活用するかどうかを検討してもよい。

改正前

改正後

匿名加工等について特に規制なし。

この法律において「匿名加工情報」とは、（略）特定の個人を識別することができないように個
人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう（2条9項）。
①

解説
ビッグデータの活用に対する法基準を明確化し、ビッグデータの活用に対する事業者の躊躇を緩和するための改正。

COPYRIGHT Ⓒ

通常の個人情報は、記述等の一部を削除したり、規則性を有しない方法により他の記述
等に置き換えたりして、匿名加工できる② 個人識別符号を含む個人情報は、個人識別符号全部を削除したり、規則性を有しない方法により個人識別符号を他の記述等に置き換えたりして、匿名加工できる

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

20個人情報とは何か

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

21

個人情報の定義
定義「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう（２条１項・２項） 。
① 当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他
人の知覚によっては認識することができない方式をいう。）で作られる記録をいう。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）②

個人識別符号が含まれるもの※個人識別符号とは、指紋、掌紋、パスポート番号、健康保険証番号等、特定の個人を識別することができるもの

生きている人の情報

誰の情報かわかるもの

POINT


個人情報保護法の細かい論点に入り込むと、本質が見えにくくなる傾向も。



定義について細かい点を抑えるのは後回しにして、まずは①生きている人の情報、②誰の情報かわかるものという２つの要件を満たせば個人情報であると理解しよう。

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）22個人情報の定義：生存者
個人情報であるためには、生存者の情報であることが必要

民間企業等の法人の情報は、個人情報に当たらない
「株式会社はろうの平成２８年売上高は、〇円」

個人情報に該当しない∵生きている人の情報ではない「株式会社はろうの代表取締役社長は、情報太郎である」

個人情報に該当する∵生きている人の情報である

もっとも、法人の役員や従業者の情報は、生存している者の情報であり、個人情報に当たる。

Cf. プライバシー情報と個人情報は異なる。重要情報・秘密情報でなくても、個人情報に該当する。

死者の情報は、原則として個人情報に当たらない


COPYRIGHT Ⓒ

もっとも、それが生存者の情報にも該当するような情報、例えば「故情報太郎氏の財産は100億円であり、相続人である情報
23
花子氏が単独で相続する」ことは、個人情報に該当する。
弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）個人情報の定義：特定の個人を識別できる
 誰の情報かわからなければ個人情報には該当しない。
したがって、「東京都民の平均年収は〇百万円である」といった情報は、個人情報に該当しない。

 一方で、誰の情報かわかれば個人情報に該当するため、「氏名が記載されていなければ個人情報に当たらない」という理解は、誤りである。
「うちの会社の社長は四国出身だ」「今の東の横綱は…」「今の阪神の監督は…」「昭和最後の内閣総理大臣は…」



氏名が含まれていなくても、顔写真や指紋があれば、一般に誰の情報かがわかるといえ、個人情報に該当する。



また、ユーザIDとだけ結びついている購買履歴であったり、特定のブラウザ情報とだけ結びついているWeb閲覧履歴であったり、匿名のブログに記載された内容であっても、ものによっては、誰の情報かがわかる場合があるので、その場合は個人情報に該当する。いわゆる「特定」。



氏名が記載されていなくても、誰の情報かわかる場合は意外と多い。

誰のことかわかった
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）24個人情報の定義：特定の個人を識別できる
 さらに、誰の情報かは、その情報単体でわからなくてもよい。


例えば、表1には仮名とだけ結びついているデータがあり、表2には仮名と実名の結びつきのデータがあったとして、表1と表2を困難なく組み合わせることができれば（→容易照合性）、個人情報に該当する。
仮名
A1

B2

COPYRIGHT Ⓒ

乗降履歴
2016年6月20日7時32分 千葉駅
2016年6月20日8時38分 市ケ谷駅
2016年6月20日19時55分 市ケ谷駅
2016年6月20日21時3分 千葉駅
2016年6月20日8時35分 新宿御苑前駅
2016年6月20日8時58分 四ツ谷駅
2016年6月20日18時3分 四ツ谷駅
2016年6月20日18時25分 銀座駅
2016年6月20日23時35分 銀座駅
2016年6月20日23時53分 新宿御苑前駅

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

仮名
A1

実名
情報太郎

キーワード
B2

難波舞

容易照合性

25

個人情報の定義の改正
改正後

改正前

※実質的改正箇所は下線部参照「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当す「個人情報」とは、生存する個人に関する情報でるものをいう。（２条１項・２項）
あって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することがで①当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記
きるもの（他の情報と容易に照合することができ、録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することがそれにより特定の個人を識別することができるこ
できない方式をいう。）で作られる記録をいう。）に記載され、若しくは記録され、ととなるものを含む。）をいう（旧２条１項）
又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）
をいう。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）②個人識別符号が含まれるもの

POINT


最初の（）の追加については、記述等は、文書だけに限定されず、幅広い一切の事項をいうという改正で、これまでの明確化



２条１項２号の「個人識別符号」は、次のスライドにて詳解

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

26

個人識別符号
個人識別符号
身体特徴系符号（法２条２項１号符号）

番号系符号（法２条２項２号符号）イ）ゲノムデータ
ロ）容貌
ハ）虹彩
ニ）声
ホ）歩行の態様ヘ）静脈ト）指紋又は掌紋イ）パスポート番号等ロ）基礎年金番号ハ）免許証番号二）住民票コードホ）個人番号（マイナンバー）へ）保険証等の記号、番号及び保険者番号等ト）雇用保険証番号※これらの組み合わせも含む※ガイドライン通則編９~１１ページ
本人を認証することができるようにしたもの※旧法でも個人情報として扱ってきたもの
実務上も、「容易照合性」等その他から、個人情報として取り扱ってきたものと思われる
27

個人識別符号（条文）
個人識別符号
この法律において「個人識別符号」とは、次の各号のいずれかに該当する文字、番号、記号その他の符号のうち、政令で定めるものをいう（法２条２項）※規則２条も参照
一

特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの（以下、政令１条１号）
一

次に掲げる身体の特徴のいずれかを電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、特定の個人を識別するに足りるものとして個人情報保護委員会規則で定める基準に適合するもの
イ

細胞から採取されたデオキシリボ核酸（別名ＤＮＡ）を構成する塩基の配列

ロ

顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状によって定まる容貌

ハ

虹彩の表面の起伏により形成される線状の模様

ニ

発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化

ホ

歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様

ヘ

手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状

ト

指紋又は掌紋※ガイドライン通則編９~１１ページ
本人を認証することができるようにしたもの※旧法でも個人情報として扱ってきたもの
実務上も、「容易照合性」等その他から、個人情報として取り扱ってきたものと思われる
28

個人識別符号（条文）
個人識別符号
この法律において「個人識別符号」とは、次の各号のいずれかに該当する文字、番号、記号その他の符号のうち、政令で定めるものをいう（法２条２項）※規則３・４条も参照
二

個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ、又は個人に発行されるカードその他の書類に記載され、若しくは電磁的方式により記録された文字、番号、記号その他の符号であって、その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され、若しくは記録されることにより、特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの（以下、政令１条２号）
二旅券法（昭和二十六年法律第二百六十七号）第六条第一項第一号の旅券の番号

三

国民年金法（昭和三十四年法律第百四十一号）第十四条に規定する基礎年金番号

四 道路交通法（昭和三十五年法律第百五号）第九十三条第一項第一号の免許証の番号
五

住民基本台帳法（昭和四十二年法律第八十一号）第七条第十三号に規定する住民票コード六

行政手続における特定の個人を識別するための番号の利用等に関する法律（平成二十五年法律第二十七号）第二条第五項に規定する個人
番号七

次に掲げる証明書にその発行を受ける者ごとに異なるものとなるように記載された個人情報保護委員会規則で定める文字、番号、記号その他の符号

イ 国民健康保険法（昭和三十三年法律第百九十二号）第九条第二項の被保険者証
ロ 高齢者の医療の確保に関する法律（昭和五十七年法律第八十号）第五十四条第三項の被保険者証
ハ 介護保険法（平成九年法律第百二十三号）第十二条第三項の被保険者証
八

その他前各号に準ずるものとして個人情報保護委員会規則で定める文字、番号、記号その他の符号※健康保険証、雇用保険被保険者証、特別永住者証明書

29

個人情報の定義が広いからこそ、規制対象が異なる
 「個人情報の範囲があまりに広すぎるのでは…」という不安→個人情報保護法遵守が大変であるとの心配

この問題に対応するため、個人情報保護法では、「個人情報」のほかに、「個人データ」「保有個人データ」「個人情報データ
ベース等」「要配慮個人情報」という定義を設けている。



個人情報保護法が求める規制について、その対象をすべて「個人情報」という広い範囲にするのではなく、一部の規制についてのみ対象を「個人情報」とし、多くの規制については対象を、「個人情報」よりも狭い概念である「個人データ」に。

また、個人情報保護法というと、企業は、すべて本人の同意を取って行動しなければならないという誤解もあるが、実際は異なる。個
人情報保護法は、対象の範囲を広く取りつつも、比較的緩やかな行為規制を設けるという法律です。過度に不安に思うことなく、個人情報保護法を正しく理解する。

COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）30

個人情報の定義が広いからこそ、規制対象が異なる


個人データ




この法律において「個人データ」とは、個人情報データベース等を構成する個人情報をいう。

個人情報データベース等


この法律において「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるもの（利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものを除く。）をいう。
一

特定の個人情報を電子計算機を用いて検索することができる
ように体系的に構成したもの

二

前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定め
るもの

POINT

⇒

検索性

COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

体系的構成

31

個人情報の定義が広いからこそ、規制対象が異なる


保有個人データ

この法律において「保有個人データ」とは、個人情報取扱事業者
が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの又は一年以内の政令で定める期間（六月）以内に消去することとなるもの以外のものをい
う。

POINT

⇒

開示等の権限６月超え

個人情報 ＞ 個人データ ＞ 保有個人データ
32

COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

要配慮個人情報とは何か

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）33

個人情報の保護の観点
 情報は、その内容や性質によって、一概に悪い、良いと決められるものではない
•

内容

•
•

•

文脈

検索性
COPYRIGHT Ⓒ

どういう内容かに着目する。例えば、名刺１枚とカルテ情報が同様の取扱いでよいのか。
要配慮個人情報、センシティブ情報、機微情報の議論につながる。
しかし、病歴（要配慮個人情報）であっても、医療に必要であれば私たちは開示するし、医療従事者の間の共有や、医学研究者による活用も許容。ブログやＳＮＳなどで病状を公開する人も。

•

どういう文脈で個人情報が取り扱われるかに着目する。例えば、治療なのか、興味本位なのか。
利用目的の議論につながる。
名刺情報であっても、挨拶なのか、必要な情報の送付のためなのか、不要な勧誘電話のためなのか。
江沢民事件

•
•

利活用の程度、被害のおそれの程度に着目する。
個人データ、個人情報データベース等、マイナンバーの議論につながる。

••

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）34

要配慮個人情報
要配慮個人情報人種

本人の人種（法2条3項）

例）アイヌ

信条

信条（法2条3項）

例）政治的思想

社会的身分

社会的身分（法2条3項）

障害・健康等障害（法2条3項、政令2条1号）

例）療育手帳を交付され所
身体障害、知的障害、精神障害（発達障害を含む。）その他の規則で定める心身の機能の障害* 持しているがあること例）ガンにり患
病歴（法2条3項）

診療等（法2条3項、政令2条3号）
健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと

例）インフルエンザのため、2月11日にA病院内科を受診した

健康診断等の結果（法2条3項、政令2条2号）

例）健康診断の結果、ストレ本人に対して医師その他医療に関連する職務に従事する者（「医師等」）により行われた スチェックの結果、特定健康診査の結果疾病の予防及び早期発見のための健康診断その他の検査（「健康診断等」）の結果

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）35

要配慮個人情報
要配慮個人情報
犯罪等

犯罪の経歴（法2条3項）

例）強盗の前科２犯刑事事件（法2条3項、政令2条4号）

例）窃盗を被疑事実として逮捕された

本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと

少年事件（法2条3項、政令2条5号）
本人を少年法3条1項に規定する少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと

犯罪被害

犯罪により害を被った事実（法2条3項）

例）少年時代に傷害で審判を受けた例）空き巣に入られた

法律による規制•

原則として本人の同意を得て取得・提供•

実務的には、オプトアウトによる第三者提供・取得の禁止（２３条２項・１７条２項）

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）36

要配慮個人情報を取得・提供できる場合
類型
法２３条１項類型

非第三者（法２３条５項類型）

法１７条２項類型

場合

取得

提供

同意

〇（法１７条２項柱書）〇（法２３条１項柱書）

法令に基づく場合〇（法１７条２項１号）〇（法２３条１項１号）

人の生命・身体・財産の保護のために必要で、同意を得ることが困難〇（法１７条２項２号）〇（法２３条１項２号）

公衆衛生の向上・児童の健全な育成推進のために特に必要で、同意を得ることが困難〇（法１７条２項３号）〇（法２３条１項３号）

国・自治体・受託者に協力する必要があり、同意を得ると支障のおそれ〇（法１７条２項４号）〇（法２３条１項４号）

オプトアウト×（法１７条２項になし）

×（法２３条２項）

委託〇（法１７条２項６号・政令７条２号）〇（法２３条５項１号）

事業承継〇（法１７条２項６号・政令７条２号）〇（法２３条５項２号）

共同利用〇（法１７条２項６号・政令７条２号）〇（法２３条５項３号）

公開（by本人・国・自治体・規則）〇（法１７条２項５号）―

本人を目視又は撮影して、外形上明らかな要配慮個人情報を取得する場合（政令７条１号）〇（法１７条２項６号・政令７条１号）―

COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

37

提供規制

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）38

第三者提供を受けた/行った時の確認と記録
取得時

第三者から個人データの提供を受けた際は、原則として取得の経緯などを確認し、その記録を作成・保存しなければならない（26条1項・3項・4項）。

①

個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、（略）次に掲げる事項の確認を行わなければならない（26条1項）。（略）②

個人情報取扱事業者は、（略）確認を行ったときは、（略）当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない（26条3項）。

③

個人情報取扱事業者は、（略）記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない（26条4項）。

提供時

個人データを第三者提供した際は、原則としてその記録を作成・保存しなければならない（25条1項・2項）。

① 個人情報取扱事業者は、個人データを第三者（第2条第5項各号に掲げる者を除く。）に提供したときは、（略）当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない（法25条1項）。

② 個人情報取扱事業者は、（略）記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない（法25条2項）。
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

39

第三者提供を受けた/行った時の記録事項の比較
取得時（規則17条1項）
相手方の氏名・住所など

提供時（規則13条1項）
相手方の氏名など

当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名

当該第三者の氏名又は名称その他の当該第三者を特定するに足りる事項（不特定かつ多数の者に対して提供したときは、その旨）

取得経緯
当該第三者による当該個人データの取得の経緯

本人の氏名など
当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項

内容

当該個人データの項目

本人の同意を得ている旨

本人の同意を得ている旨※同意の場合（法23条1項/24条）※非個人情報取扱事業者からの取得を除く（規則17条1項3号）

年月日※同意の場合（法23条1項/24条）

年月日

個人データの提供を受けた年月日※オプトアウトの時のみ

当該個人データを提供した年月日※オプトアウトの時のみ

オプトアウトの届出が委員会に公表されている旨※オプトアウトの時のみ
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

40

個人データの第三者提供時の記録様式（法25条・施行規則13条1項参照）
相手方の氏名※提供する相手方

例１）五番町コーポレーション
例２）インターネットで公開
例３）会員サイトで会員向けに公開

本人の氏名

例１）難波舞、難波太郎
例２）別添１の通り※人数が多い場合等は、別添した方が記録しやすい※氏名を記録せずに、内部ＩＤ等を記録しておいて、必要になった時に、その内部ＩＤが誰を指すか確認できるようにすることも考えられる

内容（項目）

氏名、住所、電話番号、メールアドレス、購入商品年月日※オプトアウトの時のみで可

平成29年10月3日

同意※同意の時のみで可

例１）本人の同意を得た
例２）平成29年10月3日に電話で本人の同意を確認
例３）別添のとおり、本人の同意を得た※同意書を添付すること等も考えられる
41

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

http://d.hatena.ne.jp/cyberlawissues/20170228/1488270455

個人データの第三者提供を受ける時の記録様式（法26条・施行規則17条1項参照）
相手方の氏名※提供する相手方
氏名
住所
法人の場合は代表者氏名
本人の氏名

五番町コーポレーション
千代田区五番町2
水町雅子
例１）難波舞、難波太郎
例２）別添１の通り※人数が多い場合等は、別添した方が記録しやすい※氏名を記録せずに、内部ＩＤ等を記録しておいて、必要になった時に、その内部ＩＤが誰を指すか確認できるようにすることも考えられる
内容（項目）
氏名、住所、電話番号、メールアドレス、購入商品
五番町コーポレーションは本人の同意を得て個人データを取得したとのこと、平成29年10月3日に電子メー
取得経緯
ルで別添の誓約書を受領済
オプトアウト ※オプトアウトの時のみで可
平成29年10月3日
取得年月日
オプトアウトの公表
個人情報保護委員会Ｗｅｂサイトで公表されていることを確認済
同意※同意の時のみで可COPYRIGHT Ⓒ

例１）本人の同意を得た
例２）平成29年10月3日に電話で本人の同意を確認
例３）別添のとおり、本人の同意を得た※同意書を添付すること等も考えられる

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

http://d.hatena.ne.jp/cyberlawissues/20170228/1488270455

42

第三者提供を受けた/行った時の確認と記録
確認方法①

氏名等の確認方法◼

②③

例）口頭/書面で申告を受ける、登記/ＨＰを確認、法人番号から名称・住所を確認、信用ＤＢ、有報等を確認（記録ＧＬＰ12）

取得の経緯：取得先の別（顧客としての本人、従業員としての本人、他の個人情報取扱事業者、家族・友人等の私
人、公開情報等）、取得行為の態様（本人から直接取得、有償取得、公開情報、紹介、私人として取得）◼

例）契約書を確認、本人の同意を得ていることを誓約する書面の取得、ＨＰ、同意書面を確認◼

適法に入手されたものではないと疑われるのに提供を受けた場合、法17条1項違反のおそれ◼

あくまで提供者の取得経緯を確認すれば足り、それより前に取得した者の取得経緯を確認する必要はない

提供者が法を遵守していることについても確認することが望ましい◼ オプトアウトの場合は、オプトアウト届出が公表されていることを確認し記録しなければならない※

COPYRIGHT Ⓒ

すでに確認・記録した事項と同一の場合は省略可

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

43

第三者提供を受けた/行った時の記録作成方法
授受前に記録作成（３年保存）

提供ガイドラインＰ16、規則14・18条

授受の都度、速やかに記録作成（原則）（３年保存）規則12条2項本文、16条2項本文、規則14・18条

一括記録（３年保存）規則12条2項但書、16条2項但書、規則14・18条

◼
◼
◼
◼

継続的にか反復するか、それが確実であると見込まれる時に可データ群を構成する本人が変動するときも可
例外なので、対象期間、対象範囲等を明確にした方がよい
オプトアウト不可

契約書等（１年保存）規則12条3項、16条3項、規則14・18条◼ 本人に対する物品又は役務の提供に関連して本人の個人データを第三者に提供する場合に、提供に関して作成された契約書その他の書面に次の事項が記録されているとき
イ 同意を得ている旨
ロ 氏名又は名称その他の当該第三者を特定するに足りる事項（不特定かつ多数の者に提供したときはその旨）
ハ 氏名その他の本人を特定するに足りる事項
ニ 当該個人データの項目◼ 複数の書面を合わせて一つの記録としても可、オプトアウト不可

代行

提供ガイドラインＰ19、規則14・18条◼ 提供者又は受領者どちらかに代行してもらう◼ 委託 など

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

44

確認・記録義務が適用されない場合※法２３条５項類型は外国提供は不可という解釈もあり得る
https://cyberlawissues.hatenablog.com/entry/2020/04/07/172907※解釈類型についてオプトアウトは不可
提供・受領時とも提供・受領時とも
類型
法２３条１項類型

場合
法令に基づく場合

国・自治体・受託者に協力する必要があり、同意を得ると支障のおそれ

共同利用
法２条５項
類型

国の機関

「受領者」
解釈類型

本人と一体と評価 例）家族、代理人、振込

「提供」
解釈類型

不特定多数の者が取得できる公開情報 例）報道

地方独立行政法人
弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

本人に代わって提供 例）振込、修理等の仲介、ＩＤ連携、担当者名の連絡

受領時
類型

場合

「個人データ」
非該当類型

受領者にとって「個人データ」でない※受領時点で判断。後に個人データ化しても義務は及ばない「個人情報」
非該当類型

受領者にとって「個人情報」でない例）氏名削除データ「提供」解釈類型

受領者に「提供を受ける」行為がない例）閲覧、一方的に提供された地方公共団体独立行政法人等

COPYRIGHT Ⓒ

本人による提供者 例）本人がＳＮＳで入力

委託
事業承継

場合

「提供者」
解釈類型

人（法人含む。）の生命・身体・財産の保護のために必要で、同意を得ることが困難
公衆衛生の向上・児童の健全な育成推進のために特に必要で、同意を得ることが困難

非第三者
（法２３条
５項類型）

類型

45

外国への第三者提供
POINT

外国へ個人データを第三者提供する場合は、原則本人の同意を得なければならない（24条）。

個人情報取扱事業者が外国（略）にある第三者に個人データを提供できる場合①

あらかじめ外国にある第三者への提供を認める旨の本人の同意を得た場合②

個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として
個人情報保護委員会規則で定める国への提供※ 平成28年末時点で①に該当する国はなし③

個人データの取扱いについて個人情報保護法第４条第１節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者への提供④

個人情報保護法２３条１項各号に掲げる場合

 法23条1項各号以外の場合は、①同意を得るか、③体制整備が必要に 法23条5項（委託・事業承継・共同利用）でも同様に、①同意を得るか、③体制整備が必要に

COPYRIGHT Ⓒ



外国政府なども法24条の「第三者」に当たる



提供元と提供先の法人格が同一の場合は第三者ではない



外国法人でも、日本国内で個人情報データベース等を事業の用に供していて個人情報取扱事業者に該当すれば、法24条上は第三者ではない（外国ＧＬＰ5）

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）例）同一法人格の海外支社

46

外国への第三者提供
①

本人の同意


④

外国にある第三者への提供を認める旨の同意である必要

単なる法23条1項柱書同意とは異なり、外国にある第三者に個人データを提供することを明確にしなければならない



改正法の施行日前になされた同意も可（改正附則3条）



未成年者、成年被後見人、被保佐人、被補助人などは代理人から同意を取得

法23条1項各号


法令に基づく場合


外国の法令は含まれない

人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。



公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。



国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）47外国への第三者提供③

規則で定める基準に適合する体制を整備している者への提供


一 個人情報取扱事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、
適切かつ合理的な方法により、法第四章第一節の規定の趣旨に沿った措置の実施が確保されていること。


契約書、内規、プライバシーポリシー等



ＡＰＥＣの越境プライバシールール（ＣＢＰＲ）システムの認証を取得している事業者が提供元で、提供先が当該事業者に代わって個人情報を取り扱う者である場合もこれを満たす（外国ＧＬＰ7）

提供を行ったデータについてこれを満たしていればよく、そのほかの個人情報に対してまで及ぶものではない（外国ＧＬＰ7）

契約書等に法15から35条すべてに相当する内容が規定されている必要はない（外国ＧＬＰ7）



又は



二

個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。



ＡＰＥＣの越境プライバシールール（ＣＢＰＲ）システムの認証を取得している事業者が提供先の場合。

実務対応としては、


ＣＢＰＲ認証取得者かどうかの確認

契約書の精査※これまでの取扱いを違法とするＧＬではないが、個人情報保護に対する国民意識なども踏まえて慎重に対応
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

48

利用目的による規制
利用目的とは何か、利用目的による規制とはどのようなものがあるのか

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

49

利用目的の意義
個人情報を何のために聞かれているのか
何に使われるのかわからない
怖いかも・・・

個人情報を
このために使いますよ「私の個人情報を何に使うのだろうか」「こんなつもりで使われるとは思わなかった」

「こんなつもりで提供したわけではなかった」

といった、誤解をなくす。本人がわかるようにする。
COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

50

利用目的に基づく規律
利用目的を
特定する

やるべきこと• 本人が自分の個人情報を何に使われるかわかるようにする• 何のために使うのか、本人がわかるレベルで特定する

やるべきこと• 本人が自分の個人情報を何に使われるかわかるようにする• Ｗｅｂ公表、ポスター掲示、本人に書面交付等

やるべきこと• あらかじめ決めた利用目的の範囲内で取り扱う
例外）同意、法令、生命・身体・財産の保護、公衆衛生の向上又は児童の健全な育成の推進、国・自治体・受託者への協力の必要例外）第三者提供規制は、利用目的の範囲内か問わない（１５条１項）

利用目的を
公表等する
（１８条１・２項）

利用目的の範囲内で取り扱う（１６条）

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

51

利用目的の変更


一度利用目的を特定しても、その後、別の目的のために利用する必要性が生じる場合も

再度利用目的を特定しなおして、個人情報を取得しなおすのは、事業者にとっても本人にとっても負担になる場合も◼ そこで個人情報保護法では利用目的の変更を認めている◼ もっとも無制約に変更できてしまっては、利用目的の意味がなくなる

COPYRIGHT Ⓒ

改正前

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲
を超えて行ってはならない（15条2項）。

改正後

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲
を超えて行ってはならない（15条2項）。

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

52

利用目的の変更例
 電力会社が、顧客に省エネを促す目的で、家庭内の機器ごとの電気使用状況を収集して、その使用量等を分析して顧客に提示をしていた場合、あるいは、同じ情報を用いて家電制御技術の研究開発とか、その顧客の安否確認のサービスを行うということができる


山口国務大臣発言 第189回国会

内閣委員会

第4号（平成27年5月8日（金曜日））

電気使用状況を見える化

省エネを促す目的

家電制御技術の研究開発

顧客の安否確認サービス

53

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

匿名加工情報COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

54

匿名加工情報

新設の背景

背景



ビッグデータ利活用

匿名加工情報

この法律において「匿名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。

一 第一項第一号に該当する個人情報 当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含
む。）。
二

◼

COPYRIGHT Ⓒ

第一項第二号に該当する個人情報 当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

認定個人情報保護団体のルールに従う

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）55

匿名加工情報とは＜匿名加工前のデータ＞
氏名

住所

水町雅子

難波舞

年齢

＜匿名加工後のデータ＞
家族
人数

購入商品

購入日時

購入店

千代田区五 32才
番町2
3ヶ月

2

2016/4/1

九段下
店

千代田区霞 18才8
が関3-1
か月

3

『マイナン
バーの実務入門』『Ｑ＆Ａ番号法』

2015/10/8

新宿店

仮
番
号
1

年齢

家族
人数

購入商品

購入日時

購入店

31-40才

2

九段下
店

2

11-20才3

2016/4/1『マイナン
バーの実務入門』『Ｑ＆Ａ番号 2015/10/8
法』

新宿店

個人情報でなくする！
◼ 氏名を削除◼ 住所を削除◼ 年齢を丸める◼ 場合によっては購入商品等の抽象化、家族人数の丸め等も
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

56

匿名加工情報にかかる規律
加工（３６条１項）◼ 規則で定める基準（住所の市町村以下を削除、特殊な情報の削除、ノイズ付加等）・認定個人情報保
護団体による自主ルールに従って加工要配慮個人情報も匿名加工情報にできる
安全管理措置（３６条２項）
規制総論◼ 削除した情報や加工方法に関する情報の漏えいを防止するために安全管理公表（３６条３・６項・３９条）◼ 情報項目を公表。匿名加工情報には開示等請求が認められていないため、公表によって、本人が関与
識別禁止（３６条５項・３８条）◼ 本人を識別するための行為をしない◼ 自ら匿名加工情報を利活用することは可
公表（３６条４項・３７条）

提供規制◼ 情報の項目と提供方法を公表◼ 本人への通知や同意取得は不要
提供先に明示（３６条４項・３７条）◼ 提供先である第三者に、提供情報が匿名加工情報であることを明示

57

安全管理措置COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

58

安全管理措置
規程類
①
②

基本方針

個人データの取扱い に係る規律の整備

組織的安全管理措置（１）組織体制の整備（２）個人データの取扱いに係る規律に従った運用

例 ログ（３）個人データの取扱状況を確認する手段の整備
例 台帳（４）漏えい等の事案に対応する体制の整備（５）取扱状況の把握及び安全管理措置の見直し
例 監査

人的安全管理措置（１）従業者の監督（２）従業者の教育

物理的安全管理措置（１）個人データを取り扱う区域の管理（２）機器及び電子媒体等の盗難等の防止（３）電子媒体等を持ち運ぶ場合の漏えい等の防止（４）個人データの削除及び機器、電子媒体等の廃棄

技術的安全管理措置（１）アクセス制御（２）アクセス者の識別と認証（３）外部からの不正アクセス等の防止（４）情報システムの使用に伴う漏えい等の 防止
例 パスワードCOPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止） 59

実務対応・社内規程等重要となる実務対応、必要となる社内規程の整備は何か

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）60必要となる社内規程の整備
規程等

整備内容

必要度

基本方針の見直し

基本方針について改正法を踏まえて見直す★★★

取扱規程の見直し

取扱規程について改正法を踏まえて見直す★★★

委託契約書の見直し
匿名加工情報取得/提供記録の様式

委託契約書ひな形について改正法を踏まえて見直す
特にＣＢＰＲ未取得の外国従業者教育・監督の見直し

従業員教育・監督について改正法を踏まえて就業規則その他の関連規定を見直す

第三者提供を受けた/行った際の記録様式を検討

★★★
★★★★★

★★★
★

取得/提供記録の様式→http://d.hatena.ne.jp/cyberlawissues/20170228/1488270455

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

61

改正ポイントと実務対応
改正ポイント

実務対応

想定負荷

個人情報保護法に従わなければならない対象者が大幅に拡大

個人情報保護法に従わなければならないのかを確認し、個人情報保護法全般について対応★★★★★

個人情報の定義の明確化

各種規程・マニュアル・契約・実務対応について改正法を踏まえて見直す★★★

法の目的の明確化

特に影響なし―個人情報保護委員会による監督（命令・立入検査等）

対個人情報保護委員会を意識★

新ガイドラインの公表

各種規程・マニュアル・契約・実務対応について改正法を踏まえて見直す★

要配慮個人情報

各種規程・マニュアル・契約・実務対応について改正法を踏まえて見直す★★

第三者提供時の記録

第三者提供を行った際の記録対応を行い、従業者教育す
る

★★★★★

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

62

改正ポイントと実務対応
改正ポイント

実務対応

想定負荷

第三者提供を受けた時の確認と記録

第三者提供を受けた際の確認・記録対応を行い、従業者
教育する

★★★★★

外国への第三者提供時の同意取得

外国への第三者提供対応として、ＣＢＰＲ確認、契約書
精査、同意取得等の対応を行う★★★★★

オプトアウトによる第三者提供を行っているか確認し、個人情報保護委員会に届け出る★★★

消去の努力義務

消去について検討する★★

利用目的の変更基準の緩和

活用するか検討する―

匿名加工情報自社で匿名加工情報を取り扱うか★

個人情報データベース等の不正提供・盗用罪

従業者教育・監督を見直すか検討する★

匿名加工情報オプトアウトによる第三者提供に伴う届出義務COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）63番号法と個人情報保護法の関係

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）64番号法による保護◆ 番号法は通常の個人情報保護法よりも一段高い保護措置を規定する◆ 個人番号の悪用の危険性に鑑み、個人情報保護法令の特則を定める◆ 番号法と個人情報保護法の関係は？
◆ 番号が入っていなければ、番号法の対象外となり、これまで通り個人情報保護法が適用◆ 番号が入っていれば、番号法＋個人情報保護法が適用• 例）個人番号単体、
個人番号＋所得額、
個人番号＋保険料額

番号法
個人情報保護法65

番号法による保護◆ マイナンバーに関する規制は、番号法＋個人情報保護法◆ 一般法たる個人情報保護法が改正された◆ もっとも、マイナンバーに関しては、改正個人情報保護法の影響は小さい◆ 新ガイドラインが公表◆ もっとも、マイナンバーに関しては、新ガイドラインの影響は小さい
法
ガイドライン

マイナンバー法

マイナンバーに関する特別法

個人情報保護法

マイナンバーに関する一般法

特定個人情報の適正な取扱いに関するガイドライン（事業者編）（本文及び（別添）特定個人情報に関する安全管理措置）

マイナンバーに関するガイドライン（別冊）金融業務における特定個人情報 の適正な取扱いに関するガイドライン「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」及び「（別冊）金融業務における特定個人情報の適正な取扱いに関するガイドライン」に関するＱ＆Ａ

金融分野のマイナンバーに関するガ
イドライン
ガイドラインに関するＱ＆Ａ
66

マイナンバー関係規程と改正法関連規程との関係◼ マイナンバーは、個人情報の一種◼ したがって、マイナンバー規程とその他の個人情報規程を一つにまとめることも両方可◼ もっともマイナンバーは、通常の個人情報よりも規制が強化＆企業における取扱いも社会保障・税の行
政手続と限定◼ そこで若干特殊な取扱いが求められるマイナンバーについては、その他の個人情報とは別個に規程を整備し、マイナンバー以外の個人情報についてもまた別途規程を整備している企業も多い◼ 個人情報保護法が改正されたからといって、これに変更はない。マイナンバー規程とその他の個人情報規程をまとめてもよいし、分割しても良い。

◼ 重要なことは、マイナンバーはマイナンバーに関するルールに沿って取り扱うこと、その他の個人情報
も個人情報に関するルールに沿って取り扱うこと。それが対外的にも、対内的にも認知できるようであれば、規程の形式は問われない。
67

時代にふさわしい個人情報保護

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）68個人情報に関する問題事例◆ このように、個人情報保護法は細かい議論、サイバー攻撃も怖い◆ しかし、まずは本質を見ていこう◆ 問題となった事例◆ 従業者によるSNSでの個人情報漏えい Ex.銀行、ホテル◆ タクシーによるドライブレコーダー動画のTV局への提供◆ タクシー会社のグループ企業代表取締役社長が謝罪し、国土交通省も遺憾の意を表明した上で、映像の適切な管理の徹底について関係団体宛てに通知を発出◆ 委託先による大規模な個人情報漏えい◆ パーソナルデータの利活用

Ex.教育企業◆ Ex. 大阪駅での監視カメラ映像の解析（NICT）、Suica69

自社特性に応じたメリハリのある対応を◆ まず何よりも、以下を踏まえる
自社の業種
社会からの信頼持っている個人情報◆ 絶対に守るべきところを従業者・委託先に徹底◆ パーソナルデータの利活用を行う場合は、事前に入念な検討を70

参考◆ 個人情報「１冊でわかる！改正早わかりシリーズ

個人情報保護法」(労務行政、２０１７年）◆ マイナンバー入門「Q&A番号法」（有斐閣、２０１４年）

要点◆「担当者の不安解消! マイナンバーの実務入門」（労務行政、２０１６年）

簡単

非法律家の実務担当者向けにかなり平易にマイナンバーを解説。

「やさしいマイナンバー法入門」（商事法務、２０１４年初版、２０１６年改訂版）

詳し目
◆
◆

「マイナンバーから病歴・犯罪歴がわかってしまうの？」「国が情報を一元管理していいの？」という疑問から、番号法の解釈要点まで、番号制度のポイントを１問１答形式で解説。上中級者向けにも。

71

制度・法律を網羅的に解説。入門書として最も詳し目。

ＩＴをめぐる法律問題について考えるブログ

http://d.hatena.ne.jp/cyberlawissues/

参考情報を掲載中

参考◆

ＩＴをめぐる法律問題について考えるブログ
https://cyberlawissues.hatenablog.com/◆

各種参考資料を事務所Webにて公表中


個人情報保護法2020年改正前に押さえておくべき重要ポイント20と法改正の見通し
http://www.miyauchi-law.com/f/200325pii2020kaiseigaiyou.pdf
http://www.miyauchi-law.com/f/200114pii2020.pdf



個人情報保護に関する社内整備と 関連規程の見直し
http://www.miyauchi-law.com/f/170313piikaiseigaiyou.pdf



安全管理措置の比較
http://www.miyauchi-law.com/f/170906anzenkanrisochi_comparison.pdf



個人データの取得/提供時の記録様式
http://www.miyauchi-law.com/f/teikyoutoukiroku.pdfマイナンバー制度の改善のために必要なことは何か
http://www.miyauchi-law.com/f/171115mynumber_kadai.pdf

マイナンバー
http://www.miyauchi-law.com/f/mynumber_kigyou.pdf

72

個人情報、マイナンバー、医療情報、医療ビッグデータ法（次世代医療基盤法）、
行政ビッグデータ、 DPIA、IT/ICT、契約書・規程策定、国との交渉、企業法務全般、条例策定支援その他に関するお問い合わせ、ご相談がありましたら、お気軽にどうぞ

http://www.miyauchi-law.com
宮内・水町IT法律事務所
弁護士 水町 雅子
電話 → 03-5761-4600
メール→ osg@miyauchi-law.com
73※本資料はあくまで当職の意見にすぎず、当局見解と異なる場合があり得ます。また誤記・漏れ・ミス等あり得ますので、個人情報保護法やガイドライン原典に当たるようお願いします。