金融機関における個人情報保護法の実務対応

講師略歴
弁護士

水町雅子

（みずまちまさこ）

http://www.miyauchi-law.com


東京大学教養学部相関社会科学卒業



現、みずほ情報総研入社

メール→osg@miyauchi-law.com

ITシステム設計・開発・運用、事業企画等業務に従事

東京大学大学院法学政治学研究科法曹養成専攻（法科大学院）修了



司法試験合格、法曹資格取得、第二東京弁護士会に弁護士登録

内閣官房社会保障改革担当室参事官補佐
マイナンバー制度立案（特にマイナンバー法立法作業、情報保護評価立案）に従事



現、個人情報保護委員会上席政策調査員
マイナンバー制度における個人情報保護業務（特にガイドライン、特定情報保護評価）に従事



首相官邸IT総合戦略本部「パーソナルデータに関する検討会」参考人
個人情報保護改正検討



五番町法律事務所共同設立、現在にいたる

その他、地方公共団体の情報公開・個人情報保護審査会委員等を務める。
マイナンバー・個人情報に関する著書・論文・講演・TV出演・新聞取材等多数。『１冊でわかる！個人情報保護法』（労務行政、２０１７年）
金融法務事情Ｎｏ.２０４６「改正個人情報保護法と金融機関の実務対応」、労政時報３９１５号「実務に役立つ法律講座（２３）個人情報」
ＮＢＬＮｏ.９４７「ライフログにおける法的問題」等多数

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

2

AGENDA
 改正個人情報保護法の背景
 各種問題事例から見る個人情報保護への対応
 他社で発生したトラブル事例から学ぶ

 個人情報／要配慮個人情報／プライバシー権とは何か
 個人情報、個人データ、保有個人データ、要配慮個人情報、プライバシー権の共通点と相違点を理解する
 技術的な定義よりも、様々な観点から様々なデータが保護されていることを理解する

 個人情報保護法のルール
 個人情報をめぐる最新動向
 ビッグデータ（匿名加工情報、非識別加工情報、匿名加工医療情報）等への対応

 個人情報保護法の改正概要
 どのような改正か、改正ポイント・実務への影響を掴む
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

3

金融機関の個人情報保護のポイント

個人情報保護上、事業会社と区別される金融機関とは
 金融庁が所管する分野が対象（金融ガイドライン１ページ）
 銀行、保険会社、証券会社等

参考→https://www.fsa.go.jp/common/law/hourei.pdf

高い意識が必要 取扱情報のプライバシー性の高さ（資産、損益、医療、事故情報等）
 社会一般から求められる事業会社とガイドラインが異なる
 機微情報等の制限あり
 安全管理措置等でもガイドラインが異なる

高い清潔性・信頼性
4

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

改正個人情報保護法の背景
個人情報の保護と利活用、時代の背景を感じる

COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

5

改正個人情報保護法の背景
 ビッグデータによる産業振興とともに、個人の権利利益の一層の保護を図るため、平成27年9月に改正

個人情報保護法が公布された。全面施行は平成29年5月30日。
 旧個人情報保護法は、直接的には住民基本台帳ネットワークシステムの導入に伴う住民基本台帳法改正を受けて、平成15年5月に公布、平成17年4月に全面施行された。
 その後、情報通信技術の発展や事業活動のグローバル化等の急速な環境変化により、個人情報保護法が制定された当初は想定されなかったようなパーソナルデータの利活用が可能となった。

方向性

背景

現状

個人情報の利活用の容易化

 ビッグデータ時代の到来 経済活性化 企業の個人情報への萎縮

個人情報の保護強化

 国民の不安 名簿屋
 情報流出・漏洩

個人情報保護法改正により、規制強化への対応は一定程度完了
しているが、利活用はまだ対応していないという企業が多い

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

6

背景には、生活上、個人情報の提供を免れられない時代が もはや書面で個人情報を提供するだけではない PC、スマホ、カード、ゲーム機などを利用すると、その履歴が残るとともに、通信
ネットライフ ネット検索 ネット閲覧 ネットショッピング

 SNSへのログイン（頻度・時間帯）
 SNS内での行動
 アプリインストール・アプリ起動

リアルライフ PASMO,SUICAでの移動・ショッピング
 コンビニ等でのＰＯＳデータ
 GPS
 ポイントカード
COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）など様々
7

背景には、生活上、個人情報の提供を免れられない時代が 個人にとっては大量の個人情報の提供• 不安感も

 企業にとっては大量の個人情報の取得・管理• セキュリティ対策• 法令遵守• 大変な管理に見合う程、利活用できているのか 従業者にとっては、日常的にITデバイス（PC、スマホ、
その他端末）を使用• 個人情報を不適正に取り扱うリスクも
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

8各種問題事例から見る個人情報保護への対応
問題事例から、個人情報の取扱いのポイントを考える

COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

9個人情報に関する問題事例
従業員等が有名人の来店情報等をSNSに書き込んでしまった
 有名ホテル、銀行、不動産等
 ネットで拡散されさらに批判が高まる
 公式Webサイトで謝罪等の対応も芸能人〇〇が来店△と一緒だったよ^^

芸能人〇〇に接客
かわいかった！

従業員等がSNS等に不適切な書き込み等をしまった 社外秘資料が写りこんだ写真を投稿
 従業員等の家族がSNSに投稿
 勤務時間中に社用パソコンから不適切な書き込み
10

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）個人情報に関する問題事例
タクシーが有名人のドライブレコーダー映像をTV局に提供
 有名人が逮捕される直前の映像
 タクシー会社のグループ企業代表取締役社長が謝罪し、国土交通省も遺憾の意を表明した
上で、映像の適切な管理の徹底について関係団体宛てに通知を発出

従業員等が個人情報を悪用
 自治体職員が個人情報を不正閲覧しストーカー行為を行う
 退職した従業員・委託先等が顧客名簿を売却
11

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）個人情報に関する問題事例
個人情報が漏えい
 標的型攻撃等を受けて個人情報が漏えい Ex,日本年金機構
 従業員等が個人情報の入ったパソコン・鞄等を置き忘れたり紛失する

パーソナルデータの利活用について国民の理解を得られなかった例
 大阪駅での監視カメラ映像の解析（NICT）
 Suica
12

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

自社特性に応じたメリハリのある対応を まず何よりも、以下を踏まえる

自社の業種
社会からの信頼持っている個人情報

 絶対に守るべきところを従業者・委託先に徹底 個人情報保護の議論は細かい点も多いので、細かい点から先に入ってしまうと、絶対に守るべきところが従業者・委託先に伝わらないことも。
 パーソナルデータの利活用を行う場合は、事前に入念な検討を

13

個人情報保護とは何か 個人情報保護とは、簡単にいえば、•人を保護するために、個人情報を取り扱う際にきちんとルールを守ること

 例えば、•×

有名人、有名人の家族などが来所したことを、他人に言う•〇誰が利用者で、連絡先はどこか、既往歴は何かを、業務のために把握する ある意味、常識的なルール•

しかし、時代の変化とともに、常識の変化も•

電話帳（ハローぺージ）への個人自宅電話番号の非搭載など

14

個人情報とは何か

COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

15

個人情報とは何か（１）個人情報とプライバシー権

COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

16個人情報とプライバシー権の比較「個人情報」「個人データ」「保有個人データ」「要配慮個人情報」といろいろ種類がある。
さらには、「匿名加工情報」「非識別加工情報」「匿名加工医療情報」という種類も。
でも、そもそも「個人情報」と「プライバシー」って違うの？同じなの？
種類

特徴

個人情報
 意外と範囲が広い
例）名刺、企業の役員情報、  内容の重要性・秘匿性は問わない
公開情報
要配慮個人情報例）カルテ情報、検査結果

 意外と範囲が狭い
 金融の場合は、さらに「機微情報」概念が加わる

プライバシー権 「個人情報」とは違う
例）購買歴、政治思想、不倫  一般的な「個人情報」のイメージ
は、実は「プライバシー」

規制
 規制は比較的弱め
 「個人情報」より「個人デー
タ」「保有個人データ」に規制を強化
 オプトアウトしていなければ、通常の個人情報と基本的には差異なし
 個人情報保護法（行政による指導等）ではなく、民法（裁判による解決）
17

個人情報とプライバシー権の比較（制裁）種類

制裁

個人情報保護法違反例）不適正取得、第三者提供規制違反、目的外利用規制違反

 行政（個人情報保護委員会）による助言・指導・勧告・命令
 基本的には行政指導、命令違反に対して罰則
 一定の悪質行為には、命令を経ずに罰則（直罰） 個人情報保護法に基づく直接的な賠償責任はない
 要配慮個人情報も個人情報も個人データも保有個人データも、個人情報保護法に違反していれば、同様

プライバシー権侵害例）ネットに他人の私生活上の問題を書
き込む、特定商品の購買者情報を売却

 基本的に罰則はない（脅迫罪等を構成する場合は別） 謝罪広告や賠償責任を負う（裁判、和解）

 個人情報保護法対応：「個人情報」「個人データ」「保有個人データ」の範囲を正しく理解することが重要。個人情報保護法違反は行政による指導がメイン（罰則もある）。
 プライバシー権保護：個人情報保護法だけを遵守すればよいというものではなく、一般に不法行為を行えば、裁判で敗訴する可能性（賠償責任を負う）

18

個人情報とは何か（２）個人情報の定義

COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

19個人情報の定義
定義「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう（２条１項・２項） 。
① 当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他
人の知覚によっては認識することができない方式をいう。）で作られる記録をいう。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）②

個人識別符号が含まれるもの※個人識別符号とは、指紋、掌紋、パスポート番号、健康保険証番号等、特定の個人を識別することができるもの

生きている人の情報

誰の情報かわかるもの

POINT


個人情報保護法の細かい論点に入り込むと、本質が見えにくくなる傾向も。



定義について細かい点を抑えるのは後回しにして、まずは①生きている人の情報、②誰の情報かわかるものという２つの要件を満たせば個人情報であると理解しよう。

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

20個人情報の定義：生存者
個人情報であるためには、生存者の情報であることが必要

民間企業等の法人の情報は、個人情報に当たらない
「株式会社はろうの平成２８年売上高は、〇円」

個人情報に該当しない∵生きている人の情報ではない「株式会社はろうの代表取締役社長は、情報太郎である」

個人情報に該当する∵生きている人の情報である

もっとも、法人の役員や従業者の情報は、生存している者の情報であり、個人情報に当たる。

Cf. プライバシー情報と個人情報は異なる。重要情報・秘密情報でなくても、個人情報に該当する。

死者の情報は、原則として個人情報に当たらない


COPYRIGHT Ⓒ

もっとも、それが生存者の情報にも該当するような情報、例えば「故情報太郎氏の財産は100億円であり、相続人である情報
21
花子氏が単独で相続する」ことは、個人情報に該当する。
弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）個人情報の定義：特定の個人を識別できる
 誰の情報かわからなければ個人情報には該当しない。
したがって、「東京都民の平均年収は〇百万円である」といった情報は、個人情報に該当しない。

 一方で、誰の情報かわかれば個人情報に該当するため、「氏名が記載されていなければ個人情報に当たらない」という理解は、誤りである。
「うちの会社の社長は四国出身だ」「今の東の関脇は…」「今の阪神の監督は…」「昭和最後の内閣総理大臣は…」



氏名が含まれていなくても、顔写真や指紋があれば、一般に誰の情報かがわかるといえ、個人情報に該当する。



また、ユーザIDとだけ結びついている購買履歴であったり、特定のブラウザ情報とだけ結びついているWeb閲覧履歴であったり、匿名のブログに記載された内容であっても、ものによっては、誰の情報かがわかる場合があるので、その場合は個人情報に該当する。いわゆる「特定」。



氏名が記載されていなくても、誰の情報かわかる場合は意外と多い。

誰のことかわかった
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）22個人情報の定義：特定の個人を識別できる
 さらに、誰の情報かは、その情報単体でわからなくてもよい。


例えば、表1には仮名とだけ結びついているデータがあり、表2には仮名と実名の結びつきのデータがあったとして、表1と表2を困難なく組み合わせることができれば（→容易照合性）、個人情報に該当する。
仮名
A1

B2

COPYRIGHT Ⓒ

乗降履歴
2016年6月20日7時32分 千葉駅
2016年6月20日8時38分 市ケ谷駅
2016年6月20日19時55分 市ケ谷駅
2016年6月20日21時3分 千葉駅
2016年6月20日8時35分 新宿御苑前駅
2016年6月20日8時58分 四ツ谷駅
2016年6月20日18時3分 四ツ谷駅
2016年6月20日18時25分 銀座駅
2016年6月20日23時35分 銀座駅
2016年6月20日23時53分 新宿御苑前駅

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

仮名
A1

実名
情報太郎

キーワード
B2

難波舞

容易照合性

23

個人情報の定義の改正
改正後

改正前

※実質的改正箇所は下線部参照「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当す「個人情報」とは、生存する個人に関する情報でるものをいう。（２条１項・２項）
あって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することがで①当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記
きるもの（他の情報と容易に照合することができ、録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することがそれにより特定の個人を識別することができるこ
できない方式をいう。）で作られる記録をいう。）に記載され、若しくは記録され、ととなるものを含む。）をいう（旧２条１項）
又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）
をいう。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）②個人識別符号が含まれるもの

POINT


最初の（）の追加については、記述等は、文書だけに限定されず、幅広い一切の事項をいうという改正で、これまでの明確化



２条１項２号の「個人識別符号」は、次のスライドにて詳解

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

24

個人識別符号
個人識別符号
身体特徴系符号（法２条２項１号符号）

番号系符号（法２条２項２号符号）イ）ゲノムデータ
ロ）容貌
ハ）虹彩
ニ）声
ホ）歩行の態様ヘ）静脈ト）指紋又は掌紋イ）パスポート番号等ロ）基礎年金番号ハ）免許証番号二）住民票コードホ）個人番号（マイナンバー）へ）保険証等の記号、番号及び保険者番号等ト）雇用保険証番号※これらの組み合わせも含む※ガイドライン通則編９~１１ページ
本人を認証することができるようにしたもの※旧法でも個人情報として扱ってきたもの
実務上も、「容易照合性」等その他から、個人情報として取り扱ってきたものと思われる
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

25

個人情報とは何か（３）個人データ／保有個人データ

COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）26

個人情報の定義が広いからこそ、規制対象が異なる
 個人データ

この法律において「個人データ」とは、個人情報データベース等を構成する個人情報をいう。

個人情報データベース等


この法律において「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるもの（利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものを除く。）をいう。

一

特定の個人情報を電子計算機を用いて検索することができる
ように体系的に構成したもの

二

前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定め
るもの

POINT

⇒

検索性

COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

体系的構成

27

個人情報の定義が広いからこそ、規制対象が異なる
 保有個人データ


この法律において「保有個人データ」とは、個人情報取扱事業者
が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの又は一年以内の政令で定める期間（六月）以内に消去することとなるもの以外のものをい
う。

POINT

⇒

個人情報

開示等の権限

＞

個人データ

６月超え

＞

保有個人データ
28

COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）個人情報とは何か（４）プライバシー権／営業秘密

COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

29

プライバシー権（判例）
プライバシー権① 私生活上の事実又は私生活上の事実らしく受け取られる恐れ（私生活性）② 一般人の感受性を基準にして当該私人の立場に立った場合公開を欲しないであろうと認められること、換言すれば一般人の感覚を基準として公開されることによって心理的な負担、不安を覚えるであろうと認められること（非公開の期待）③ 一般の人々に未だ知られていないこと（非公知性）④ （本人との同定可能性）
宴のあと事件(東京地判昭和39年9月28日判時385号12頁)、防衛庁リスト事件(新潟地判平成18年5月11日判時1955号88頁)、石に泳ぐ魚事件
一審判決(東京地判平成11年6月22日判タ1014号280頁) 二審判決(東京高判平成13年2月15日判タ1061号289頁)等

POINT


個人情報よりも狭い。非公開の期待＋非公知性が求められる。



特殊な個人の感受性ではなく一般人の感受性が基準。もっとも、特殊な情報であっても、一般人がその人の立場に立ったならば非公開を欲する場合は、保護対象となる点に十分留意が必要。

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）30

営業秘密（不正競争防止法）
営業秘密① 秘密として管理されている（秘密管理性）② 生産方法、販売方法その他の事業活動に有用な技術上又は営業上の情報であって（有用性）③ 公然と知られていないもの（非公知性）
不正競争防止法２条６項

POINT


個人情報以外も含む概念だが、個人情報に当たって、かつ営業秘密に当たるものも多数ある



顧客名簿の売却などは、不正競争防止法の罰則で処罰されることもある

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）31具体例で考える個人情報／個人データ／保有個人データ
例

個人情報か

個人データか

保有個人データか

注文書・注文請書・契約書

〇

△

△

→担当者名、社長名等でも個人情報→一枚でただ紙としてあるだけなら、個人情報ではあるが個人データではないが、顧客別にバインダで綴ったりすれば個人データかつ保有個人データ。

監視カメラの映像〇

××→映りこんでいる人の氏名がわからなくても基本的には個人情報→通常は特定の個人が検索できるようになっていないので、基本的には個人データではない。

社員情報・社員家族情報

〇

△

△

〇

△

△

→外部情報に限らず社員情報であっても個人情報

社員の健康診断の結果→要配慮個人情報に該当。
→一枚でただ紙としてあるだけなら、個人情報ではあるが個人データではないが、対象者別にバインダで綴ったり、
32
データ管理すれば個人データかつ保有個人データ。
※プライバシー権で保護されるかは、内容・文脈等による
COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）※営業秘密の場合は、不正競争防止法による保護も及ぶ

個人情報とは何か（５）要配慮個人情報

COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）33

個人情報の保護の観点
 情報は、その内容や性質によって、一概に悪い、良いと決められるものではない
•

内容

•
•

•

文脈

検索性
COPYRIGHT Ⓒ

どういう内容かに着目する。例えば、名刺１枚とカルテ情報が同様の取扱いでよいのか。
要配慮個人情報、センシティブ情報、機微情報の議論につながる。
しかし、病歴（要配慮個人情報）であっても、医療に必要であれば私たちは開示するし、医療従事者の間の共有や、医学研究者による活用も許容。ブログやＳＮＳなどで病状を公開する人も。

•

どういう文脈で個人情報が取り扱われるかに着目する。例えば、治療なのか、興味本位なのか。
利用目的の議論につながる。
名刺情報であっても、挨拶なのか、必要な情報の送付のためなのか、不要な勧誘電話のためなのか。
江沢民事件

•
•

利活用の程度、被害のおそれの程度に着目する。
個人データ、個人情報データベース等、マイナンバーの議論につながる。

••

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）34

要配慮個人情報
要配慮個人情報人種

本人の人種（法2条3項）

例）アイヌ

信条

信条（法2条3項）

例）政治的思想

社会的身分

社会的身分（法2条3項）

障害・健康等障害（法2条3項、政令2条1号）

例）療育手帳を交付され所
身体障害、知的障害、精神障害（発達障害を含む。）その他の規則で定める心身の機能の障害* 持しているがあること例）ガンにり患
病歴（法2条3項）

診療等（法2条3項、政令2条3号）
健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと

例）インフルエンザのため、2月11日にA病院内科を受診した

健康診断等の結果（法2条3項、政令2条2号）

例）健康診断の結果、ストレ本人に対して医師その他医療に関連する職務に従事する者（「医師等」）により行われた スチェックの結果、特定健康診査の結果疾病の予防及び早期発見のための健康診断その他の検査（「健康診断等」）の結果

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）35

要配慮個人情報
要配慮個人情報
犯罪等

犯罪の経歴（法2条3項）

例）強盗の前科２犯刑事事件（法2条3項、政令2条4号）

例）窃盗を被疑事実として逮捕された

本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと

少年事件（法2条3項、政令2条5号）
本人を少年法3条1項に規定する少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと

犯罪被害

犯罪により害を被った事実（法2条3項）

例）少年時代に傷害で審判を受けた例）空き巣に入られた

法律による規制•

原則として本人の同意を得て取得・提供•

オプトアウトによる第三者提供・取得の禁止（２３条２項・１７条２項）

実務的には、

但し、金融ガイドラインに注意！
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）36

要配慮個人情報を取得・提供できる場合
類型
法２３条１項類型

非第三者（法２３条５項類型）

法１７条２項類型

COPYRIGHT Ⓒ

場合

取得

提供

同意

〇（法１７条２項柱書）〇（法２３条１項柱書）

法令に基づく場合〇（法１７条２項１号）〇（法２３条１項１号）

人の生命・身体・財産の保護のために必要で、同意を得ることが困難〇（法１７条２項２号）〇（法２３条１項２号）

公衆衛生の向上・児童の健全な育成推進のために特に必要で、同意を得ることが困難〇（法１７条２項３号）〇（法２３条１項３号）

国・自治体・受託者に協力する必要があり、同意を得ると支障のおそれ〇（法１７条２項４号）〇（法２３条１項４号）

オプトアウト×（法１７条２項になし）

×（法２３条２項）

委託〇（法１７条２項６号・政令７条２号）〇（法２３条５項１号）

事業承継〇（法１７条２項６号・政令７条２号）〇（法２３条５項２号）

共同利用〇（法１７条２項６号・政令７条２号）〇（法２３条５項３号）

公開（by本人・国・自治体・規則）〇（法１７条２項５号）―

本人を目視又は撮影して、外形上明らかな要配慮個人情報を取得する場合（政令７条１号）〇（法１７条２項６号・政令７条１号）―

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）37具体例で考える要配慮個人情報例

履歴書の賞罰欄に記載された前科

個人情報か

〇

個人識別符号か

要配慮個人情報か×〇→本人の意思で記載しているのであれば、会社は、本人同意に基づき取得できる。
保険証の情報〇〇△→法律上は要配慮個人情報ではないが、マル障受給者証などは要配慮個人情報。
ガン治療中の情報

〇

×

〇

〇

×

〇

→要配慮個人情報
風邪やものもらいで受診した→特に知られたくない傷病名でなくとも、要配慮個人情報• 要配慮個人情報に該当しない機微情報の例としては、薬局で自分で購入した薬の情報など（保健医療）
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）38具体例で考える要配慮個人情報例

健康診断を受けた

個人情報か

個人識別符号か

要配慮個人情報か

〇

×

×

〇

×

〇

〇

×

△

→受けた事実だけでは、要配慮個人情報ではない
健康診断の結果→健康診断の結果になると、要配慮個人情報
身長、体重、体温データ→健康診断、 診療等の事業及びそれに関する業務とは関係ない方法により知り得た場合は、要配慮個人
情報ではない• 要配慮個人情報に該当したとしても、オプトアウトしていなければ、改正法による影響は基本的には受けない• 本人から問診票や口頭で聞き取った場合、同意があると考えられる。
緊急時に親族から病歴を聞き取ることも可（法１７条２項１号）
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）39

法律とガイドラインの対比
法律（要配慮個人情報）
人種
信条
社会的身分
病歴

ガイドライン（機微情報）
要配慮個人情報にプラスして労働組合への加盟に関する情報

門地に関する情報
本籍地に関する情報

犯罪の経歴

犯罪により害を被った事実
身体障害、知的障害、精神障害（発達障害を含む。）その他の個人情報保
護委員会規則で定める心身の機能の障害があること

本人に対して医師その他医療に関連する職務に従事する者（「医師等」）
により行われた疾病の予防及び早期発見のための健康診断その他の検査（「健康診断等」）の結果
健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療
若しくは調剤が行われたこと

本人を被疑者又は被告人、少年等として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件、少年の保護事件に関する手続が行われたこと

保健医療に関する情報
性生活に関する情報
但し、以下を除く
・本人、国、自治体、法76条1項各号（報道機関等）、
規則6条各号に掲げる者（外国政府等）により公開されているもの・目視・撮影することにより取得する外形上明らかなものを除く

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）40

法律とガイドラインの対比※

差異は青下線部

法律（取得・提供できる）

ガイドライン（取得・利用・第三者提供できる）

法令に基づく場合

法令等に基づく場合

人の生命・身体・財産の保護のために必要で、同意を得ることが困難

人の生命、身体、財産の保護のために必要がある場合

公衆衛生の向上・児童の健全な育成推進のために特に必要で、同意を得ることが困難

公衆衛生の向上・児童の健全な育成の推進のために特に必要

国・自治体・受託者に協力する必要があり、同意を得ると支障のおそれ

国・自治体・受託者に協力する必要がある場合

オプトアウトはできない
委託

事業承継
共同利用
公開（by本人・国・自治体・規則）
本人を目視又は撮影して、外形上明らかな要配慮個人情報を取得する場合
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

機微情報はさらに以下も可能
・源泉徴収事務等の遂行上必要な範囲での従業員等の情報・相続手続による権利義務の移転等の遂行に必要な限り・保険業その他金融分野の事業の適切な業
務運営を確保する必要性から、本人の同意
機微情報に該当せず に基づき業務遂行上必要な範囲
機微情報に該当せず ・生体認証情報を本人の同意に基づき、本人確認に用いる41

参考）要配慮個人情報・機微情報
金融ガイドラインによる規制••

規制対象（金融庁ガイドラインＰ4・第5条）•

要配慮個人情報•労働組合への加盟、門地、本籍地、保険医療及び性生活に関する情報•

但し、本人、国、自治体、法76条1項各号（報道機関等）、規則6条各号に掲げる者（外国政府等）により公開されているもの、目視・撮影することにより取得する外形上明らかなものを除く

規制行為（金融庁ガイドラインＰ4・第5条）••

取得したり、利用したり、第三者提供できるのは、次に掲げる場合に限る。逸脱しないよう特に慎重に取り扱う。
•

法令等に基づく場合•

人の生命、身体、財産の保護のために必要がある場合•

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合•

国の機関・地方公共団体・受託者が法令の定める事務を遂行することに協力する必要がある場合•

源泉徴収事務等の遂行上必要な範囲において、政治・宗教等の団体、労働組合への所属・加盟に関する従業員等の情報を取得・利用・第三者提供する場合•

相続手続による権利義務の移転等の遂行に必要な限りにおいて、取得・利用・第三者提供する場合•

保険業その他金融分野の事業の適切な業務運営を確保する必要性から、本人の同意に基づき業務遂行上必要な範囲で取得・利用・第三者提供する場合•

生体認証情報を本人の同意に基づき、本人確認に用いる場合

オプトアウトの禁止
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

42

細かい定義よりも、まずは様々なデータ保護があることを理解 このように、定義は細かく技術的事項
個人情報／個人データ／保有個人データ
プライバシー

営業秘密
要配慮個人情報／機微情報• 個人情報は広い• 個人データは検索性• 個人データ等に非該当でも、プライバシー権として保護される！
• 個人情報を盗み出したりすると、
不正競争防止法で処罰されることもある• 要配慮個人情報は意外と狭い。
• 機微情報を忘れないように。

 技術的な定義よりも、まず一番大事なのは、様々な観点から様々なデータが保護されていることを理解する
43

個人情報保護法のルール

COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

44

個人情報の取扱いルール
入手時のルール 利用目的の特定（１５条１項）

何に使うかを明らかにします 利用目的の変更制限（１５条２項）

利用目的はむやみには変更できません 利用目的の通知等（１８条）

何に使うか本人がわかるようにします 適正取得（１７条１項）

不正に取得してはいけません 要配慮個人情報の取得制限（１７条２項）

取得できる場合に制限があります 取得時の確認・記録義務（２６条）

適正な取得であることを確認し記録します

利用時のルール
 目的外利用の制限（１６条）

利用目的を超えた利用は制限されます

提供時のルール 提供の制限（２３条・２４条）

提供できる場合に制限があります 提供時の記録義務（２５条）

提供の記録をとり保存します45個人情報の取扱いルール
管理時のルール
 安全管理措置（２０条）

安全に管理します 従業者の監督（２１条）

従業者を監督します 委託先の監督（２２条）

委託先を監督します 正確性確保の努力義務（１９条）

個人データの正確性確保に努めます 消去の努力義務（１９条）

個人データの遅滞ない消去に努めます

本人からのアクセスの保障
 開示・訂正・利用停止請求（２８~３４条）

本人から請求があって法律の要件を満たせば開示・訂正・利用停止します 保有個人データに関する事項の公表等（２７条）

本人がアクセスできるよう公表等します 苦情処理の努力義務（３５条）

苦情処理に努めます※このほかに、匿名加工情報のルールもあります（３６~３９条）

46

個人情報を取得するに当たって個人情報を何のために聞かれているのか
何に使われるのかわからない
怖いかも・・・

個人情報を
このために使いますよ 何に使うか（利用目的）をまず特定する
 例えば、商品や案内の送付、マーケティング、人事管理など
 個人情報保護法第１５条第１項
47

個人情報を取得するに当たって個人情報を何のために聞かれているのか
何に使われるのかわからない
怖いかも・・・
個人情報を
このために使いますよ 何に使うか（利用目的）が相手にわかるようにする


例えば、書面に記載して渡す、Webサイトで公表するなど

本人から直接取得する場合は、あらかじめ、本人に示す



それ以外は、あらかじめ公表するか、取得後速やかに通知するか、取得後速やかに公表する



利用目的が明らか、本人・第三者の権利利益を害する恐れがある場合などは、通知・公表等不要（個人情報保護法第１８条第４項各号）



個人情報保護法第１８条

48

利用目的の考え方
 個人情報保護法というと、本人同意を取得しなければならない規制との誤解もあるが、個人情報保護法の規律の要は「利用目的」
 情報は、その内容や性質によって、一概に悪い、良いと決められるものではない

内容

文脈

検索性
COPYRIGHT Ⓒ•••

どういう内容かに着目する。例えば、名刺１枚とカルテ情報が同様の取扱いでよいのか。
要配慮個人情報、センシティブ情報、機微情報の議論につながる。
しかし、病歴（要配慮個人情報）であっても、医療に必要であれば私たちは開示するし、
医療従事者の間の共有や、医学研究者による活用も許容。ブログやＳＮＳなどで病状を公開する人も。

••

どういう文脈で個人情報が取り扱われるかに着目する。例えば、治療なのか、興味本位なのか。
利用目的の議論につながる。
名刺情報であっても、挨拶なのか、必要な情報の送付のためなのか、不要な勧誘電話のた
めなのか。
江沢民事件

•
•

利活用の程度、被害のおそれの程度に着目する。
個人データ、個人情報データベース等、マイナンバーの議論につながる。

••

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

49

利用目的の意義
個人情報を何のために聞かれているのか
何に使われるのかわからない
怖いかも・・・

個人情報を
このために使いますよ「私の個人情報を何に使うのだろうか」「こんなつもりで使われるとは思わなかった」

「こんなつもりで提供したわけではなかった」

といった、誤解をなくす。本人がわかるようにする。
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）50

個人情報を取得するに当たって個人情報を勝手に取られないか
怖いかも・・・

個人情報はきちんとした形で取得しますよ 不正の手段で取得しない〇 相手に説明してから取得する

× だまし討ちで取得する



個人情報保護法第１７条第１項

51

COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）個人情報を取得するに当たって個人情報を勝手に取られないか
怖いかも・・・

要配慮個人情報は必ず本人の同意を得た上で取得しますよ 要配慮個人情報は、原則として、本人の同意を得る
※改正個人情報保護法施行後（法第１７条第２項）



要配慮個人情報とは、病歴など（法第２条第３項）



同意を得ない取得とは、例えばオプトアウト（個人情報保護法第２３条第２項）



同意がなくても取得できる場合もある（前述）COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）52個人情報を利用するに当たって約束した範囲外には、ご本人の同意があるか、法令で認められた場合以外、個人情報を使いませんよ 本人の同意なく、利用目的の範囲を超えて、個人情報を取り扱わない〇× 新しい事業を始めたので、取得していた個人情報を使って、宣伝の電話をかける、手紙を送る

〇

誰が利用者で、連絡先はどこか、既往歴は何かを、〇〇サービスの実施のために把握・管理する

→もっとも、利用目的として、これを特定すれば、利用可

→本人の同意をとれば、利用目的として特定していなくても、利用可

急病のため、把握していた病歴・連絡先を利用する


→利用目的として特定していなくても、生命・身体・財産の保護のために必要があって、同意を得ることが困難な場合は、利用目的の範囲外でも取り扱える

個人情報保護法第１６条第１項・第３項

COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）53

個人情報利用の検討フロー
利用目的の範囲内か※但し機微情報に注意！
YES

NO

利用目的の変更が可能かNO

本人の同意があるか
NO

目的内利用
⇒利活用可

YES
※前の利用目的と「関連性」が合理的に認められれば、変更前から取得している個人情報も、変更後の目的のために利用することができる（目的内利用となる）
YES

認められる目的外利用⇒利活用可※目的内利用の場合は、本人同意不要。
もっとも、目的内利用でさらに本人同意を取ることも、より良い措置として可能。

以下に当たるか（１）法令に基づく
YES（２）生命・身体又は財産保護のために必要で同意困難（３）公衆衛生・児童健全育成のために特に必要で同意困難
新しい利用目的で 54（４）国・自治体等に協力する必要で同意支障
NO
COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）
新規取得（５）事業承継（合併等）

目的内利用の解説※但し機微情報に注意！

利用目的の範囲内か

YES

目的内利用
⇒利活用可

NO

利用目的の変更が可能か

 法律上、「利用目的の特定」「通知又は公表」義務がある。
 通常は、プライバシー・ポリシーなどで公表しているので、プライバシー・ポリシー等に記載している利用目的を確認する。
 今、行いたい利用が、既存の利用目的に含まれるかを検討する。

YES

 先の通り既存の利用目的を確認する。
 既存の利用目的と今、行いたい利用の目的との間に「関連性」が合理的に認められるかを検討する。
 改正法で、利用目的変更の範囲が拡大された
ものの、厳しい判断に変わりはないので、変更できる場合は限定される 利用目的の変更ができれば、変更前から取得している個人情報も、変更後の目的のために利用することができる（目的内利用となる）
COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

55

目的内利用の解説：利用目的の変更


一度利用目的を特定しても、その後、別の目的のために利用する必要性が生じる場合も

再度利用目的を特定しなおして、個人情報を取得しなおすのは、事業者にとっても本人にとっても負担になる場合も そこで個人情報保護法では利用目的の変更を認めている もっとも無制約に変更できてしまっては、利用目的の意味がなくなる

COPYRIGHT Ⓒ

改正前

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲
を超えて行ってはならない（15条2項）。

改正後

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲
を超えて行ってはならない（15条2項）。

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

56

目的内利用の解説：利用目的の変更例
 電力会社が、顧客に省エネを促す目的で、家庭内の機器ごとの電気使用状況を収集して、その使用量等を分析して顧客に提示をしていた場合、あるいは、同じ情報を用いて家電制御技術の研究開発とか、その顧客の安否確認のサービスを行うということができる


山口国務大臣発言 第189回国会 内閣委員会 第4号（平成27年5月8日（金曜日））

電気使用状況を見える化

省エネを促す目的

家電制御技術の研究開発

顧客の安否確認サービス

57

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

目的外利用の解説※但し機微情報に注意！
YES

本人の同意があるか※目的内利用の場合は、本人同意不要。
NO認められる目的外利用⇒利活用可

もっとも、目的内利用でさらに本人同意を取ることも、より良い措置として可能。

以下に当たるか（１）法令に基づく
YES（２）生命・身体又は財産保護のために必要で同意困難（３）公衆衛生・児童健全育成のために特に必要で同意困難（４）国・自治体等に協力する必要で同意支障（５）事業承継（合併等）
 目的内利用の場合は、本人同意不要
 本人が真に同意しているかがポイント 書面（契約書、同意書等）でサインしてもらう必要はない、Webで同意ボタンクリックでもよい 口頭同意でもよいが、記録に残せる形が望ましい 明示の同意／ 黙示の同意という概念もある

YES
NO

新しい利用目的で新規取得

 目的外利用でも、個人情報保護法１６条２項に定める場合は、本人同意なく利用可能。
 提供規制とほぼパラレルなので、詳細は提供規制をご参照。
58

COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）個人情報を提供するに当たって個人情報を勝手に提供されないか
怖いかも・・・

個人情報は法律上認められた範囲でしか提供しません 個人情報を提供できる場合
 後述

 改正法で、提供記録、外国への規制等

59個人データを提供できる場合
ルール

第三者に個人データを提供できる場合は、法律上限定されている（23条）。

ポイント①

対象は「個人情報」ではなく「個人データ」

ポイント②

本人同意を得なくても、提供できることが法律上認められている提供できる場合① 本人の同意がある場合（法23条1項柱書）• 書面でなくてもよい• Webサイトでチェックボックスにチェックしてもらうなどの方法も可• 口頭でもよいが、重要度によって、原則として記録が残せる形が良い② 法令に基づく場合（法23条1項1号）

例）令状に基づき裁判所に提出③ 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（法23条1項2号）

例）災害時、意識不明時、重度の認知症の高齢者の状
況を家族等に説明する等

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

60

個人データを提供できる場合提供できる場合④

公衆衛生の向上又は児童の健全な育成の推進のため 例）健康増進法に基づく地域がん登録事業による国又は地に特に必要がある場合であって、 本人の同意を得る 方公共団体への情報提供 、児童虐待の情報提供
ことが困難であるとき（法23条1項3号）⑤

国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行 することに対して協力する必要がある場合であって、本人の同意を得る
ことにより 当該事務の遂行に支障を及ぼすおそれがあるとき（法23条1項4号）

例）統計法に定める一般統計調査に協力する⑥

オプトアウト（法23条2項）

例）一定事項を通知等要。本人に求められれば提供を止める⑦

委託（法23条5項1号）

例）データ入力業者への委託、印刷業務の委託⑧

事業の承継（法23条5項2号）

例）合併先の会社⑨ 共同利用（法23条5項3号）
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

例）一定事項を通知等必要。病院と訪問看護ステーション
61個人情報を管理するに当たって職員・委託先が個人情報をきちんと取り扱ってくれるのか
怖いかも・・・

従業者・委託先の監督をしますよ

従業者の監督

委託先の監督

個人情報保護法第２１条

個人情報保護法第２２条

正確性の確保（努力義務）

個人情報保護法第１９条

62

個人情報をめぐる本人救済
自分でできることはあるの？

開示・訂正・利用停止に対応します
個人情報保護委員会があります 開示・訂正・利用停止
 求めに応じる手続、利用目的等を公表したり、遅滞なく回答する（個人情報保護法第２４条第１項）
 個人情報保護委員会

 認定個人情報保護団体（苦情処理・情報提供など）
 http://www.ppc.go.jp/files/pdf/personal_ninteidantai.pdf
 訴訟も

63

具体例で考える個人情報保護法のルール
自社で保有する顧客情報（個人データ）の例
 顧客から氏名・住所・病歴などの情報を取得して、管理しています。システム保管。
 保険契約や顧客への契約上必要な連絡に利用します。
 そのほかの利用はできるのでしょうか。
入手時
ルール

利用時
ルール
COPYRIGHT Ⓒ

利用目的の特定（１５条１項）「保険契約の引受、継続、管理、保険金・給付金等の支払い」「商品案内・情報提供」「商品開発」等と利用目的を決める

利用目的の通知等（１８条）

利用目的をWeb等で公表。さらに保険契約申込時等に書面で示す

適正取得（１７条１項）

だまして入手するなどはダメ

要配慮個人情報の取得制限（１７条２項）

本人から正当に取得していれば、本人の同意ありと考えられ
る

取得時の確認・記録義務（２６条）

第三者から取得するわけではないので、不要

目的外利用の制限（１６条）

利用目的の範囲内なら可。利用目的の範囲外でも、裁判所から令状で求められた場合等に顧客情報を検索するなどの目的
外利用は適法。

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）64具体例で考える個人情報保護法のルール
自社で保有する顧客情報（個人データ）の例
 顧客から氏名・住所・病歴などの情報を取得して、管理しています。システム保管。
 保険契約や顧客への契約上必要な連絡に利用します。
 そのほかの利用はできるのでしょうか。
提供時
ルール

提供の制限（２３条・２４条）

データ入力や管理をシステム会社等に委託できる。国外の委託先の場合は、契約書精査等が重要。
令状に基づき裁判所・警察などにも提供できる。週刊誌の問い合わせ対応などは、本人同意なければダメなのが基本。

提供時の記録義務（２５条）

誰にいつ提供したか等を記録する。

管理時
ルール

正確性確保の努力義務（１９条）

内容に不正確がないよう努力する。

消去の努力義務（１９条）

不要な情報は速やかに消去するようにする。契約終了時にすぐに消去しなければならないというものではない。

本人

開示・訂正・利用停止請求（２８~３４条）
保有個人データに関する事項の公表等

本人から見せてくれと言われれば、基本的には開示要。法
律の定める要件を満たす場合は、開示しなくてよい場合も。
訂正は、データが事実でなく利用目的達成に必要な範囲内で訂正する。利用停止は一定の不正があった場合のみ。

アクセス

（２７条）
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）65具体例で考える個人情報保護法のルール
応募者から履歴書等を取得して、人事部で管理する例（個人データ）
 採用応募者から履歴書などの情報を取得して、採用選考に利用します。個人ごとに綴って保管。
 不採用になった方の履歴書なども返却しません。
 採用者は、入社後も引き続き、履歴書などの情報を人事管理に利用します。
入手時
ルール

利用時
ルール
COPYRIGHT Ⓒ

利用目的の特定（１５条１項）「採用・人事管理」等と利用目的を決める

利用目的の通知等（１８条）

採用フォームなどに利用目的を示して、情報取得前に本人に利用目的を明示する。又は利用目的が明らかであり通知等は不要とも解釈可能か（１８条４項４号）。

適正取得（１７条１項）

だまして入手するなどはダメ

要配慮個人情報の取得制限（１７条２項）

本人から正当に取得していれば、本人の同意ありと考えられ
る

取得時の確認・記録義務（２６条）

第三者から取得するわけではないので、不要

目的外利用の制限（１６条）「採用・人事管理」等の利用目的以外の利用（例、DMの送付）は制限されるが、災害・急な重病時に家族に連絡するための目的外利用等は法律上適法。

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）66

具体例で考える個人情報保護法のルール
応募者から履歴書等を取得して、人事部で管理する例（個人データ）
 採用応募者から履歴書などの情報を取得して、採用選考に利用。個人ごとに綴って保管。
 不採用になった方の履歴書なども返却しない。
 採用者は、入社後も引き続き、履歴書などの情報を人事管理に利用。
提供時
ルール

提供の制限（２３条・２４条）

データ入力や管理をシステム会社等に委託できる。国外の委託先の場合は、契約書精査等が重要。
令状に基づき裁判所・警察などにも提供できる。週刊誌の問い合わせ対応などは、本人同意なければダメなのが基本。

提供時の記録義務（２５条）

誰にいつ提供したか等を記録する。

管理時
ルール

正確性確保の努力義務（１９条）

内容に不正確がないよう努力する。

消去の努力義務（１９条）

不採用者の情報は速やかに消去するようにする。

本人

開示・訂正・利用停止請求（２８~３４条）
保有個人データに関する事項の公表等

本人から見せてくれと言われれば、基本的には開示要。法
律の定める要件を満たす場合は、開示しなくてよい場合も。
訂正は、データが事実でなく利用目的達成に必要な範囲内で訂正する。利用停止は一定の不正があった場合のみ。

アクセス

（２７条）

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

67具体例で考える個人情報保護法のルール
お客様からのご意見を取得する例（個人データではない） お客さまから苦情などのご意見が郵送されてきた。
 郵便物の書類のままの状態で対応した後は、「〇月苦情〇件。苦情概要△。」などと、個人が特定できない形にして記録して、書類の実物自体はシュレッダー廃棄。 →個人データではない
入手時
ルール

利用時
ルール

COPYRIGHT Ⓒ

利用目的の特定（１５条１項）「苦情処理、サービス向上」等と利用目的を決める

利用目的の通知等（１８条）

利用目的が明らかであり通知等は不要とも解釈可能（１８条４項４号）。

適正取得（１７条１項）

本人が郵送してきたので特に問題とならない

要配慮個人情報の取得制限（１７条２項）

要配慮個人情報に当たらない

取得時の確認・記録義務（２６条）―（非個人データには義務付けされない）

目的外利用の制限（１６条）「苦情処理、サービス向上」等の利用目的以外の利用（例、DMの送付）は制限される。

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）68具体例で考える個人情報保護法のルール
応募者から履歴書等を取得して、人事部で管理する例
 採用応募者から履歴書、成績書などの情報を取得して、採用選考に利用します。
 不採用になった方の履歴書なども返却しません。
 採用者は、入社後も引き続き、履歴書などの情報を人事管理に利用します。
提供時
ルール

提供の制限（２３条・２４条）

管理時
ルール

安全管理措置（２０条）

提供時の記録義務（２５条）

従業者・委託先の監督（２１・２２条）
正確性確保の努力義務（１９条）―（非個人データには義務付けされない）※もっともプライバシーに配慮

消去の努力義務（１９条）
本人
アクセス開示・訂正・利用停止請求（２８~３４条）
保有個人データに関する事項の公表等（２７条）

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）69個人情報を管理するに当たって個人情報が漏えいしたり改変されたりしないか
怖いかも・・・

個人情報は安全管理しますよ 安全管理措置 後述
70

安全管理措置（一般）
プライバシー・ポリシー等
https://www.ppc.go.jp/files/pdf/guidelines01.pdfを整備すると望ましい。
取扱規程の作成、取扱方法
規律の整備
の周知等
物理的安全管理措置
組織的安全管理措置
区域の管理
間仕切り、入退室管理等
組織体制の整備責任者・担当者等を決定等
機器及び電子媒体等の施錠、セキュリティワイヤー等
盗難等の防止個人データの取扱いに
ログ等係る規律に従った運用
電子媒体等を持ち運ぶ場合
パスワード、封緘等の漏えい等の防止
取扱状況を確認する手
台帳等
段の整備
削除、廃棄
復元不可能な方法で漏えい等の事案に対応
技術的安全管理措置
連絡体制の決定等する体制の整備
アクセス制御権限管理等取扱状況の把握及びアクセス者の識別と認証
ID/PWD、カード等
点検、監査等
安全管理措置の見直し
外部からの不正アクセス等
FW、セキュリティ対策ソフト等
人的安全管理措置の防止
従業者の教育研修、守秘義務
情報システムの使用に伴うパスワード等
従業者の監督（法21条）
漏えい等の防止基本方針

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止） 71

安全管理措置（金融）
人的安全管理措置

規程等
①
②
③
④

個人データの安全管理に係る基本方針の整備
個人データの安全管理に係る取扱規程の整備
個人データの取扱状況の点検及び監査に係る規程の整備
外部委託に係る規程の整備

①
②
③
④

技術的安全管理措置

組織的安全管理措置
①
②
③
④
⑤
⑥

個人データの管理責任者等の設置就業規則等における安全管理措置の整備
個人データの安全管理に係る取扱規程に従った運用
個人データの取扱状況を確認できる手段の整備
個人データの取扱状況の点検及び監査体制の整備と実施
漏えい事案等に対応する体制の整備

従業者との個人データの非開示契約等の締結
従業者の役割・責任等の明確化
従業者への安全管理措置の周知徹底、教育及び訓練従業者による個人データ管理手続の遵守状況の確認

①
②
③
④
⑤
⑥
⑦

個人データの利用者の識別及び認証
個人データの管理区分の設定及びアクセス制御
個人データへのアクセス権限の管理
個人データの漏えい・毀損等防止策
個人データへのアクセスの記録及び分析
個人データを取り扱う情報システムの稼働状況の記録及び分析
個人データを取り扱う情報システムの監視及び監査
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止） 72

個人情報をめぐる最新動向
データ利活用の流れも加速

COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）73

個人情報利活用の流れ 個人情報というと「保護」のイメージ
 しかし、数年前より、個人情報やデータの「利活用」の流れが加速化
パーソナル
データ

IoT

AI

技術・
トレンド等

ビッグデータ

ライフログ

スマホ普及

法制度等

匿名加工情報• 誰の情報かわからなくしたデータを利活用する• 個人情報より簡単にデータ利活用・外部提供が可能

ICカード
普及

非識別加工情報 • 官の持つデータの価値を民間に還元／情報公開• 誰の情報かわからなくしたデータを民間提供し、データ利活用
オープンデータ • 官民データの公開・活用
官民データ活用 • 官民データの適正かつ効果的な活用の推進
推進基本法

医療
• 医療研究のためにより容易に医療データを取得できるように
ビッグデータ法 • もっとも医療データを収集・加工する大臣認定事業者への規制厳格• 「匿名加工医療情報」
COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）74個人情報保護法の改正


旧個人情報保護法は、直接的には住民基本台帳ネットワークシステムの導入に伴う住民基本台帳
法改正を受けて、平成15年5月に公布、平成17年4月に全面施行された。



その後、情報通信技術の発展や事業活動のグローバル化等の急速な環境変化により、個人情報保護法が制定された当初は想定されなかったようなパーソナルデータの利活用が可能となった。



ビッグデータによる産業振興とともに、個人の権利利益の一層の保護を図るため、平成27年9月に改正個人情報保護法が公布された。全面施行は平成29年5月30日。
個人情報保護法制改正•••

個人情報保護法
行政機関
個人情報保護法
独立行政法人等
個人情報保護法

方向性

趣旨・目的

例

規制強化

個人情報の保護強化 •••••外国への提供制限授受記録の確認
違法行為への制裁強化
オプトアウト届出義務化
要配慮個人情報

規制緩和

個人情報の利活用• 匿名加工情報• 非識別加工情報75

個人情報保護法制の改正


匿名加工情報と非識別加工情報で、個人（消費者等）を保護しつつ、ビジネスのためにデータを利活用できるように

個人情報よりも制約が少ないので、簡単な手続で利活用や外部提供が可能に
種類

メリット

利活用例

匿名加工情報• 個人情報ではないので、目的外利用や外部提供が容易• 自社で持っている顧客購買履歴を分析• 他社で持っている顧客属性情報と自社データを組み合わせて分析

非識別加工情報 • 国や自治体からデータを入手できる• 国や自治体の持つ新鮮で正確なデータを入手できる

•
•
•
•

日本に出入国する外国人の情報を分析
古物商、風営法許可等の状況を分析
国家資格合格者の情報を分析
住民データを分析
76

匿名加工情報／非識別加工情報とは＜加工前のデータ＞
氏名

住所

水町雅子

難波舞

年齢

＜加工後のデータ＞
家族
人数

購入商品

購入日時

購入店

千代田区五 32才
番町2
3ヶ月

2

2016/4/1

九段下
店

千代田区霞 18才8
が関3-1
か月

3

『マイナン
バーの実務入門』『Ｑ＆Ａ番号法』

2015/10/8 新宿店

仮
番
号
1

年齢

家族
人数

購入商品

購入日時

購入店

31-40才2

2

11-20才3

2016/4/1 九段下『マイナン
バーの実務入店
門』『Ｑ＆Ａ番号 2015/10/8 新宿店
法』

平たく言うと、個人情報でなくする！
 氏名を削除
 住所を削除 年齢を丸める 場合によっては購入商品等の抽象化、家族人数の丸め等も
COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）77個人情報と匿名加工情報
 自社が保有する顧客情報について、顧客の属性ごとに購買履歴を分析したい場合

種類

個人情報

匿名加工情報データの状態

易難• 誰の情報かがわかる状態でOK• 生データの状態でよい
ルール
難（目的外利用） • 利用目的を確認する• 利用目的に「顧客動向分析」などとあれば、利用目的の範囲内で、分析
可• 利用目的の範囲外なら、本人の同意等、個人情報保護法１６条に定める要件が必要• 利用目的の事後変更もできるが、規制あり（関連性要）• 誰の情報かがわからないように加工することが必要易• 利用目的の範囲内でも範囲外でも78個人情報と匿名加工情報
 自社が保有する顧客情報について、顧客の属性ごとに購買履歴を分析したい場合

種類

個人情報

匿名加工情報ルール（安全管理）

難

普通

ルール
（開示等）

• 義務（個人情報保護法２０条）• 加工方法等については義務（個人情報保護法３６条２項）• 匿名加工情報自体については努力義務（個人情報保護法３６条６項・３９条）

難易• 本人から求めがあれば、保有個人
データは原則開示が義務（個人情報保護法２８条）• 訂正・利用停止請求も• 開示不要（反対に、誰の情報かわからないので、本人特定ができず、開示できない）

79個人情報と匿名加工情報
 他社が保有する顧客属性情報と自社が保有するデータを組み合わせて分析したいので、他社から情報を入手したい場合
種類

個人情報

匿名加工情報前のスライドのルールに加えて………
ルール
（提供）

難

易

• グループ会社等で共同利用の要件を満たす •場合は、個人情報保護法２３条５項３号で •可• オプトアウト（拒否されたらやめる）でも、 •個人情報保護法２３条２・３項で可能だが、社会的非難を浴びる可能性もある。また要
配慮個人情報（健康診断結果、病院受診、病歴、犯罪歴等）はオプトアウト不可• 本人同意が必要な場合も多い

以下の簡易な手続で可
提供時に情報項目＆提供方法の公表
提供先に対し匿名加工情報であることの明示80

非識別加工情報
店舗を新設したい。高収入の大人女性向けの店舗にしたい。
ターゲット層が近くに居住しつつも、類似店舗が少ない地域はどこだろうか。

国・自治体が持っているデータを利活用してはどうだろう。住所、生年月日、性別、世帯
年収、子の有無などが国・自治体に情報としてあるはず。

個人情報だから取得できないのでは。

ビッグデータ等の利活用のために、「非識別加工情報／匿名加工情報」ができたはず。
個人情報ではなく（注）データを丸めて加工した情報を国・自治体から民間が取得できる。
（注）もっとも、法律上、民間にとっては個人情報ではないデータだが、国・自治体にとっては個人情報である。

非識別加工情報概要

官の持つデータを民間が利活用するためのしくみ
官が豊富かつ新鮮な大量のデータを保有するのは、公の利益のため。
官の持つデータ価値を民間に還元する。いわゆる「ビッグデータ等」の利活用のため。
提供を受ける民間においては、誰の情報かわからなくさせることで、個人（消費者等）を保護

利点

一般に広く公開情報とはなっていない情報を入手できる！
行政機関等が業務遂行の目的で保有する個人情報をもとに加工を行うため・情報が悉皆的であり個人の漏れがないこと
・個人に対する情報の種類や蓄積量が多いこと
・行政情報であるため情報が新鮮かつ正確であること

注意点




自分の欲しいデータが非識別加工情報の対象かどうか確認要。
行政機関個人情報保護法や独立行政法人等個人情報保護法に従った手続（提案書の作成、審査、契約）が必要となる。手数料も必要で無料ではない。
自治体が豊富なデータを保有するが、現段階では、鳥取県以外、条例化されていないと思われる。もっとも今後は、「非識別加工情報」か「官民データ」か「オープンデータ」か、名称や形態は別として、官の持つデータ価値を民間に還元する流れが強化される見込み。

82

非識別加工情報入手の流れ
手続概要１）データの調査

入手したいデータがあるかe-Gov等で調べる

２）国への提案

提案書を作成し国に提出する

３）国での審査

提案書が審査される

４）国との契約

適当と認められると契約できる

５）データの入手

契約に基づきデータを入手する

６）データの利活用

法規制等に従ってデータを利活用する②提案③審査
最初の提案者

非識別加工情報→匿名加工情報

④契約

⑤提供

国

非識別加工
情報

作成済の非識別加工情報を取得すると効率的な場合も83以降の提案者

非識別加工情報と匿名加工情報官（行政機関・独立行政法人等・地方公共団体等）

民（企業等）
パターン①自社で匿名加工情報を作成

個人情報
個人情報
個人情報
個人情報

わが社
加
工

非識別加工情報

匿名加工情報

加
工

個人情報
個人情報

パターン②他社から匿名加工情報を入手
パターン③官から入手※非識別加工情報は民の手に渡った瞬間、「匿名加工情報」になる※その他、他社から生の個人情報を入手し、自社で匿名加工情報化すること等もできるが、割愛

他社
匿名加工情報84医療ビッグデータ法（次世代医療基盤法）
患者
匿名加工医療情報
提供の停止を求められる（オプトアウト）

受診等

医療
情報

匿名加工

法１８Ⅰ

情報

法３０

•
•

認定匿名加工医療情報作成事業者（収集・加工者） 医療

病院等（医療情報取扱事業者）

情報を利活用する者（認定なし）（匿名加工医療情報取扱事業者）
例）研究所••

他の認定匿名加工
医療情報作成事業者（収集・加工者）法２５Ⅰ

認定医療情報等取扱受託事業者（受託者）

第三者（法令に基づくか、
緊急時、事業承継のみ）

情報を利活用する者（認定なし）（匿名加工医療情報取扱事業者）
例）製薬会社

•

治療の効果や効率性の研究
患者の状態に応じたより適切な医療の提案
医薬品等の副作用の早期発
見、安全性の比較などが容易に
糖尿病と歯周病のように異なる医療機関や診療領域の情報を統合した治療成績の評価
医師の診断から治療までを包括的に支援する最先端の診療支援ソフトの開発などが可能になる

法２６

生データ（医療情報）を扱う

匿名データ（匿名加工医療情報）を扱う
85

医療ビッグデータ法関連業者等の義務の比較※利活用者は、個情法の義務に注意※８条３項２号「提供能力」で利活用者との契約基準等をチェックされる可能性も認定匿名加工医療情報作成事業者（収集・加工者）

認定医療情報等取扱
受託事業者（受託者）

匿名加工医療情報取扱事業者（利活用者)※

大臣認定

〇（８条）

〇（２９条、８条）

×

帳簿〇（１３条）〇（２９条、１３条）

×

目的外利用の厳格化〇（１７条）〇（２９条、１７条）

×

主務省令基準に従った医療情報の加工〇（１８条１項）〇（２９条、１８条１項）

×

識別禁止

〇（１８条２項・３項）〇（２９条、１８条２項）〇（１８条３項）

消去義務（努力義務ではない）〇（１９条）〇（２９条、１９条）

×

安全管理措置〇（２０条）〇（２９条、２０条）

×

従業者の監督〇（２１条）〇（２９条、２１条）

×

従業者等の秘密保持義務〇（２２条）〇（２９条、２２条）

×

委託先の監督〇（２４条）〇（２９条、２４条）

×

第三者提供制限の厳格化〇（２６条）〇（２９条、２６条）

×

苦情処理（努力義務ではない）〇（２９条）〇（２９条、２７条）

×86個人情報保護法の改正概要
改正ポイントCOPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

87

改正概要（１）

個人情報の定義の明確化
POINT「何が個人情報なのか」という個人情報の定義が明確化。
誰の情報かわかるものは、氏名などが記載されていなくても個人情報に該当することが明確に。

CHECK

自社で考えていた個人情報の範囲に漏れがないか※実質的改正箇所は下線部参照

改正前

改正後

「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう（旧２条１項）「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。（２条１項・２項）

解説

追って詳細を解説キーワード「容易照合性」「個人識別符号」



首相官邸パーソナルデータに関する検討会（第３回）にて筆者
指摘

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）①当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。）で作られる記録をいう。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）②個人識別符号が含まれるもの※個人識別符号とは、指紋、掌紋、パスポート番号、健康保険証番号等
88改正概要（2）

新ガイドラインの公表
POINT

個人情報保護法に関しては、各主務大臣（経済産業大臣、厚生労働大臣等）がガイドラインをそれぞれ策定し、３８本のガイドラインが公表されていた。今般、個人情報保護委員会が原則としてこれらのガイドラインを統一。

CHECK

自社の個人情報対応が新ガイドラインに合致するかどうか

改正前分野
医療（一般）
医療（研究）
金融
信用
電気通信（電気通信）
電気通信（放送）
電気通信（郵便）電気通信（信書便）
経済産業
雇用管理（一般）
雇用管理（船員）
警察
法務
外務
財務
文部科学
福祉
職業紹介等（一般）
職業紹介等（船員）
労働者派遣（一般）
労働者派遣（船員）
労働組合
企業年金
農林水産
国土交通
環境
防衛

本数
５本
３本
２本
１本
１本
１本
１本
１本
３本
２本
１本
１本
２本
１本
１本
１本
１本
１本
１本
１本
１本
１本
１本
１本
１本
１本
１本

所管府省
厚生労働省
厚生労働省、文部科学省、経済産業省
金融庁
経済産業省
総務省
総務省
総務省
総務省
経済産業省
厚生労働省
国土交通省
国家公安委員会
法務省
外務省
財務省
文部科学省
厚生労働省
厚生労働省
国土交通省
厚生労働省
国土交通省
厚生労働省
厚生労働省
農林水産省
国土交通省
環境省
防衛省

改正後

ガイドラインがようやく統一化！

分野

集約！

所管府省

全分野共通
特別分野

個人情報保護委員会
金融・電気通信・医療

解説
ガイドラインの種類が分かれすぎており、企業にとってはどのガイド
ラインに準拠すればよいのかや、それぞれのガイドラインの差異などがわかりづらい状況にあった。



首相官邸パーソナルデータに関する検討会（第３回）にて筆者指摘
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）89見るべきガイドライン
１

２

３

４

「金融分野における個人情報保護に関するガイドライン」「金融分野における個人情報保護に関するガイドラインの 安全管理措置等についての実務指針」「金融機関における個人情報保護に関するＱ＆Ａ」
ガイドライン通則編

金融分野のためのガイドライン
https://www.ppc.go.jp/files/pdf/kinyubunya_GL.pdf
金融分野の安全管理措置等のための指針
https://www.ppc.go.jp/files/pdf/zitsumushishin.pdf
金融分野向けのQ&A
https://www.ppc.go.jp/files/pdf/kinyukikan_QA_170331.pdf

個人情報保護法全般に関するガイドライン
https://www.ppc.go.jp/files/pdf/guidelines01.pdf

５

ガイドライン確認・記録編

６

ガイドライン外国提供編

７

Ｑ＆Ａ

個人データの第三者提供を受ける/行う際の確認・記録義務に関するガイドライン（法25・26条関係）
https://www.ppc.go.jp/files/pdf/guidelines03.pdf
外国にある第三者に個人データを提供することに関するガイドライン（法24条関係）
https://www.ppc.go.jp/files/pdf/guidelines02.pdf

ガイドラインに関するＱ＆Ａ
https://www.ppc.go.jp/files/pdf/kojouhouQA.pdf

参考

ガイドライン匿名加工情報編

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

匿名加工情報に関するガイドライン（法第4章第2節関係）https://www.ppc.go.jp/files/pdf/guidelines04.pdf

90改正概要（3）

個人情報保護委員会による監督（命令等）
POINT

個人情報保護法の施行に関し、内閣府の外局である個人情報保護委員会が、報告徴収、立入検査、助言、指導、勧告、命令を行う。個人情報保護委員会は、公正取引委員会並の組織。

CHECK

対・個人情報保護委員会を意識

改正前

改正後

※実質的改正箇所は下線部参照

主務大臣（内閣総理大臣、経済産業大臣等）が個人情報保護について監督

公正取引委員会並の独立性等を備えた、個人情報保護委員会が個人情報保護について監督

報告徴収、助言、勧告、命令

報告徴収、立入検査、助言、指導、勧告、命令解説

漏えい時等は、個人情報保護委員会に届け出るよう努める（認定個人情報保護団体にも届け出るよう努める）


生命保険協会、日本損害保険協会、外国損害保険協会など。 https://www.ppc.go.jp/personal/nintei/list/

これまでは、法解釈権限庁と法執行権限庁が異なっていた。前者は消費者庁、後者は金融庁・経済産業省等。



改正に伴い、法解釈権限庁と法執行権限庁を一元化し、プライバシー・コミッショナーたる個人情報保護委員会にて、統一的・迅速に個人情報保護法制を取り仕切ることに。
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

91

改正概要（4）

要配慮個人情報
POINT

差別や偏見の恐れのある個人情報について、「要配慮個人情報」（法2条3項）という類型が新設され、要配慮個人情報は原則として本人の同意を得て取得することが必要に。

CHECK

自社で要配慮個人情報を取得する場合があるか

改正前

改正後

一部の条例やガイドラインで要配慮個人情報に相当する類型が設けられていたのみ

この法律において「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。
※アイヌである、がんに罹患している、窃盗の前科がある、強盗被害にあった等

解説

改正前は、「センシティブデータ」「機微情報」等とも呼ばれていたが、一部の条例やガイドラインによって、その範囲がバラバラだった。



これに対し、ＥＵでは法令で一定の個人情報（人種、政治的信条、信教等）について取扱いが原則禁止とされている。
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

92

改正概要（5）

第三者提供時の記録
POINT

個人データを第三者提供した際は、原則としてその記録を作成・保存しなければならない（25条1項・2項）。

CHECK

個人データを第三者提供しているか確認し、対応

改正前

改正後

記録の作成・保存義務はない① 個人情報取扱事業者は、個人データを第三者（第2条第5項各号に掲げる者を除く。）に提供したときは、（略）当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない（法25条1項）。
② 個人情報取扱事業者は、（略）記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない（法25条2項）。

解説

※ 国、地方公共団体、委託先への提供、法令に基づく提供等の場合は、不要。

個人情報保護法の改正が検討されている最中、大手企業から大量の個人情報が流出する事件が発生したこと等もあり、改正個人情報保護法では、いわゆる名簿屋問題対策として、個人情報の流通経路を辿ることができるようなトレーサビリティの確保のための改正がなされた。
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

93改正概要（６）

第三者提供を受けた時の確認と記録
POINT

第三者から個人データの提供を受けた際は、原則として取得の経緯などを確認し、その記録を作成・保存しなければならない（26条1項・3項・4項）。

CHECK

個人データについて第三者提供を受けているか確認し、対応

改正前記録の作成・保存義務はない

改正後①

個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、（略）次に掲げる事項の確認を行わなければならない（26条1項）。（略）一 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（略）の氏名

解説

二 当該第三者による当該個人データの取得の経緯

第三者提供時の記録と同様に、個人情報の流通経路を辿ることができるようなトレーサビ
リティの確保のための改正に基づくもの。
COPYRIGHT Ⓒ②

個人情報取扱事業者は、（略）確認を行ったときは、（略）当該個人データの提供を受けた年月日、
当該確認に係る事項その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない（26条3項）。

③

個人情報取扱事業者は、（略）記録を、当該記録を作成した日から個人情報保護委員会規則で定める
期間保存しなければならない（26条4項）。

※

国、地方公共団体、委託先への提供、法令に基づく提供等の場合は、不要。

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

94

改正概要（７）

外国への第三者提供時の同意取得
POINT

外国へ個人データを第三者提供する場合は、原則本人の同意を得なければならない（24条）。

CHECK

外国へ第三者提供しているか、どの国かを確認し、対応

改正前

改正後

第三者提供に関する規制に関し、国内提供と国外提供の差はない

以下の場合を除き、個人情報取扱事業者は、外国（略）にある第三者に個人データを提供する場合には、（略）あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。

① 個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定める国への提供

解説※ 平成28年末時点で①に該当する国はなし

企業活動のグローバル化に伴い、外国への個人データの移転について新たに規制がされた。

②

また、EU相当の個人情報保護にかかる規律を整備するための改正でもある。

個人データの取扱いについて個人情報保護法第４条第１節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者への提供③

個人情報保護法２３条１項各号に掲げる場合

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

95改正概要（８）オプトアウトによる第三者提供に伴う届出義務
POINT

個人データをオプトアウト（*）により第三者提供している場合は、個人情報保護委員会に届出する必要がある（23条2項～4項）。

CHECK

オプトアウトによる第三者提供を行っているか確認し、対応
改正後

改正前
オプトアウトにかかる届出義務はない*



以下を個人情報保護委員会に届け出なければならない（23
条2項）

解説

①

第三者への提供を利用目的とすること。

オプトアウトとは、一定事項を本人が知り得る状
態に置くことによって、本人の同意なく個人データを第三者に提供し、本人の求めがあれば第三者への提供を停止するという仕組みをいう（改正法・現行法23条2項）。

②

第三者に提供される個人データの項目③

第三者への提供の方法④

本人の求めに応じて当該本人が識別される個人デー
タの第三者への提供を停止すること。

⑤

本人の求めを受け付ける方法

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）



変更時も届出（23条３項）
96改正概要（９）消去の努力義務POINT

不要な個人データの消去に努める義務が新設された（19条）。

CHECK

消去ルールの再検討
改正後

改正前




マイナンバーについては、必要のないマイナンバーの廃棄がガイドライン上求められている

マイナンバー以外の個人データについては、消去・廃棄について特段の求めはなかった。

マイナンバーについては、引き続き、必要のないマイナンバーの廃棄がガイドライン上求められている

マイナンバー以外の個人データについても、必要がなくなった
時は遅滞なく消去するよう努めなければならない（19条）



利用目的に応じ保存期間を定め消去する（金融庁ガイドライン
Ｐ5・7条）

解説
安価で大量の情報を保管し続けられる時代において、不要な個人データが大量かつ半永久的に保管される危険性を踏まえた改正。

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

97

改正概要（１０）

個人情報データベース等の不正提供・盗用罪
POINT

新たな罰則規定が設けられた（83条）。個人情報取扱事業者やその従業者等が、業務に関して取り扱った個人情報データベース等を不正な利益を図る目的で提供又は盗用した場合に、1年以下の懲役又は50万円以下の罰金。
一般的な業務を行っている限り、罰則を適用される場合はほぼ考えにくいが、これまで以上に、従業者教育・監督等を行う必要がある。

CHECK

従業者教育・監督・点検方法等を見直す。
改正後

改正前


違法行為に対して個人情報保護法では直接の罰則はなし（認定個
人情報保護団体を除く）。



違法行為は主務大臣の命令が発出。その命令に違反した場合に個
人情報保護法で罰則。



例えば、違法な第三者提供をした場合しても、個人情報保護法では直接の罰則はなし。違法な第三者提供を中止等するよう、主務大臣（経済産業大臣等）の命令が発出された後、命令に違反した
場合に初めて個人情報保護法の罰則が科される。

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

個人情報データベース等の不正提供・盗用については、個人情報保護委員会の命令を経ずに、すぐに個人情報保護法で罰則に科される（83条）。



それ以外の違法行為については、個人情報保護委員会の命令が発出され、その命令に違反した場合に個人情報保護法で罰則。

98

改正概要（１１）

個人情報保護法に従わなければならない対象者が大幅に拡大
POINT

改正前は5,000人以下の個人情報を取り扱う者は、個人情報保護法義務の対象外だった。
改正法下では、このような例外はなく、5,000人以下の個人情報を取り扱う者も、個人情報保護法が求めるさまざまな義務を果たさなければならない。

CHECK

自社が個人情報保護法の対象かどうか

改正前

改正後

事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数の合計が過去6月以内のいずれの日においても5,000を超えない者は、「個人情報取扱事業者」には該当せず（旧法2条3項5号、旧施行令2条）、個人情報保護法が求める義務に服することはなかった。

上記のような例外は撤廃された。

解説
改正前と同様、個人情報データベース等を事業の用に供している者が「個人情報取扱事業者」であるため、散在する個人情報を保有している場合等
は、改正法下でも依然として、個人情報保護法の義務に服することはない。ただ、改正前と同様、「事業の用」とは営利に限らないため、町内会、同窓会等も、「個人情報取扱事業者」に該当しうる。
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

99

改正概要（１２）

法の目的の明確化
POINT

個人情報保護法は個人の権利利益を保護するための法律だが、保護絶対主義ではなく、「個人情報の活用や有用性を配慮したうえでの保護」を目的とすることを明確化

改正前

改正後

この法律は、高度情報通信社会の進展に伴い個人情報の利用が著しく拡大していることにかんがみ、個人情報の適正な取扱いに関し（中略）個人情報を取り扱う事業者の遵守すべき義務等を定めることにより、個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする。（旧１条）※実質的改正箇所は下線部参照

この法律は、高度情報通信社会の進展に伴い個人情報の利用が著しく拡大していることに鑑み、個人情報の適正な取扱いに関し（中略）個
人情報を取り扱う事業者の遵守すべき義務等を定めることにより、個
人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであることその他の個
人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする。（１条）

解説
改正前より、個人情報保護法は、個人情報の有用性に配慮しつつ保護を目的としていたため、改正により、目的が変化・転換するものではない。
但し、ビッグデータやIoT時代を受けて、さまざまな個人情報の活用によるプラスの側面を、「個人情報の有用性」の例として挙げ、個人情報保護法
が保護絶対主義ではないことを明確化した。
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

100

改正概要（１３）規制緩和

利用目的の変更基準の緩和
POINT

改正前は極めて厳格であった個人情報の利用目的の変更基準が緩和。
改正前は変更前後の利用目的に「相当の関連性」が必要だったが、改正後は、単純な「関連性」が必要に。
改正前は変更できなかった利用目的でも、改正法下では変更できる場合も。

CHECK

利用目的の変更ルールを見直すことも考えられる。

改正前

改正後

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲
を超えて行ってはならない（15条2項）。

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲
を超えて行ってはならない（15条2項）。

解説
個人情報というと、「本人同意」のイメージが強いが、それよりも個人情報保護法では、個人情報の「利用目的」を規律の要としている。
この「利用目的」をあらかじめ特定した後は、実務上、その変更が困難であり、個人情報について必要な利活用ができないという課題も指摘されていた。
COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

101

利用目的に基づく規律
利用目的を
特定する

やるべきこと• 本人が自分の個人情報を何に使われるかわかるようにする• 何のために使うのか、本人がわかるレベルで特定する

やるべきこと• 本人が自分の個人情報を何に使われるかわかるようにする• Ｗｅｂ公表、ポスター掲示、本人に書面交付等

やるべきこと• あらかじめ決めた利用目的の範囲内で取り扱う
例外）同意、法令、生命・身体・財産の保護、公衆衛生の向上又は児童の健全な育成の推進、国・自治体・受託者への協力の必要例外）第三者提供規制は、利用目的の範囲内か問わない（１５条１項）

利用目的を
公表等する
（１８条１・２項）

利用目的の範囲内で取り扱う（１６条）

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

102

利用目的の変更


一度利用目的を特定しても、その後、別の目的のために利用する必要性が生じる場合も

再度利用目的を特定しなおして、個人情報を取得しなおすのは、事業者にとっても本人にとっても負担になる場合も

 そこで個人情報保護法では利用目的の変更を認めている もっとも無制約に変更できてしまっては、利用目的の意味がなくなる

COPYRIGHT Ⓒ

改正前

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲
を超えて行ってはならない（15条2項）。

改正後

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲
を超えて行ってはならない（15条2項）。

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

103

利用目的の変更例
 電力会社が、顧客に省エネを促す目的で、家庭内の機器ごとの電気使用状況を収集して、その使用量等を分析して顧客に提示をしていた場合、あるいは、同じ情報を用いて家電制御技術の研究開発とか、その顧客の安否確認のサービスを行うということができる


山口国務大臣発言 第189回国会 内閣委員会 第4号（平成27年5月8日（金曜日））

電気使用状況を見える化

省エネを促す目的

家電制御技術の研究開発

顧客の安否確認サービス

104

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）改正概要（１４）規制緩和

匿名加工情報POINT「匿名加工情報」（2条9項）という類型が新たに設けられた。特定の個人を識別することができる記述や個人識別符号等を削除するなどして、誰に関する情報であるかをわからなく加工した情報をいい、利用目的の特定や本人の同意なく自由に利活用することができる。
匿名加工情報を利活用する義務があるわけではなく、利活用できるという一種の規制緩和である。

CHECK

匿名加工情報を利活用するかどうかを検討してもよい。

改正前

改正後

匿名加工等について特に規制なし。

この法律において「匿名加工情報」とは、（略）特定の個人を識別することができないように個
人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう（2条9項）。

解説
ビッグデータの活用に対する法基準を明確化し、ビッグデータの活用に対する事業者の躊躇を緩和するための改正。

COPYRIGHT Ⓒ①

通常の個人情報は、記述等の一部を削除したり、規則性を有しない方法により他の記述
等に置き換えたりして、匿名加工できる②

個人識別符号を含む個人情報は、個人識別符号全部を削除したり、規則性を有しない方法により個人識別符号を他の記述等に置き換えたりして、匿名加工できる

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）105

匿名加工情報

新設の背景

背景



ビッグデータ利活用

匿名加工情報

この法律において「匿名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。

一 第一項第一号に該当する個人情報 当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含
む。）。
二



第一項第二号に該当する個人情報 当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

認定個人情報保護団体のルールに従う

COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）106

匿名加工情報にかかる規律
加工（３６条１項）
 規則で定める基準（住所の市町村以下を削除、特殊な情報の削除、ノイズ付加等）・認定個人情報保
護団体による自主ルールに従って加工要配慮個人情報も匿名加工情報にできる
安全管理措置（３６条２項）
規制総論

 削除した情報や加工方法に関する情報の漏えいを防止するために安全管理公表（３６条３・６項・３９条）
 情報項目を公表。匿名加工情報には開示等請求が認められていないため、公表によって、本人が関与
識別禁止（３６条５項・３８条）
 本人を識別するための行為をしない 自ら匿名加工情報を利活用することは可
公表（３６条４項・３７条）

提供規制

 情報の項目と提供方法を公表
 本人への通知や同意取得は不要
提供先に明示（３６条４項・３７条）
 提供先である第三者に、提供情報が匿名加工情報であることを明示

107

おわりに

COPYRIGHT Ⓒ 弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

108

まとめ
個人情報の保護
 個人情報に関して絶対に守るべきポイントを押さえ、従業者・委託先に徹底する・

自社の業種、社会からの信頼、持っている個人情報、トラブル事例を参考に

 何を保護すべきか
・ 個人情報、個人データ、保有個人データ、要配慮個人情報、プライバシー権、営業秘密などの様々な概念

・ 技術的な定義よりも、様々な観点から様々なデータが保護されていることをまず理解する 個人情報保護法のルール

・取得、利用、提供、管理、本人からのアクセスというフェーズごとに考える

・

利用目的と第三者提供がポイント

・ 全体的なルールを把握してから、細かい点を書籍やガイドライン、Q&Aで確認しよう

個人情報の利活用匿名加工情報は、個人情報ではないので、目的外利用や第三者提供が容易

非識別加工情報／オープンデータは、国・自治体の持つ新鮮かつ豊富なデータを入手できる仕組み

医療データも、医療ビッグデータ法（次世代医療基盤法）で入手が容易に

COPYRIGHT Ⓒ

弁護士水町雅子 ALL RIGHTS RESERVED.（無断転用等禁止）

109

参考
 個人情報「１冊でわかる！改正早わかりシリーズ

個人情報保護法」(労務行政、２０１７年）

 マイナンバー入門「Q&A番号法」（有斐閣、２０１４年）

要点



簡単

「マイナンバーから病歴・犯罪歴がわかってしまうの？」「国が情報を一元管理していいの？」という疑問から、番号法の解釈要点まで、番号制度のポイントを１問１答形式で解説。上中級者向けにも。

「担当者の不安解消! マイナンバーの実務入門」（労務行政、２０１６年）
非法律家の実務担当者向けにかなり平易にマイナンバーを解説。

詳細「逐条解説マイナンバー法」（商事法務、２０１７年）


制度・法律を網羅的に解説。５００ページ超えの重厚解説書。

110

参考
 ＩＴをめぐる法律問題について考えるブログ
http://d.hatena.ne.jp/cyberlawissues/

 非識別加工情報についても書籍新刊予定（平成３０年３～４月ごろ発売）

 各種参考資料を事務所Webにて公表中


個人情報保護に関する社内整備と 関連規程の見直し
http://www.miyauchi-law.com/f/170313piikaiseigaiyou.pdf



安全管理措置の比較
http://www.miyauchi-law.com/f/170906anzenkanrisochi_comparison.pdf



個人データの取得/提供時の記録様式
http://www.miyauchi-law.com/f/teikyoutoukiroku.pdf



医療ビッグデータ法 （次世代医療基盤法）の概要
http://www.miyauchi-law.com/f/170828iryobigdata.pdf
111

医療ビッグデータ法の詳細概要
http://d.hatena.ne.jp/cyberlawissues/20170816/1502870156

個人情報、マイナンバー、IT/ICT、規程策定、医療ビッグデータ法（次世代医療基盤法）のご相談、大臣認定申請支援、国との交渉、企業法務全般、条例策定支援その他に関するお問い合わせ、ご相談がありましたら、お気軽にどうぞhttp://www.miyauchi-law.com

宮内・水町IT法律事務所
弁護士 水町 雅子
電話 → 03-5761-4600
メール→ osg@miyauchi-law.com

112