（別紙１）

令和２年改正個人情報保護法ガイドライン（案）に関する意見募集結果（概要）１．実施期間
令和３年５月 19 日（水）～令和３年６月 18 日（金）２．意見提出者及び提出意見数
130 の個人又は団体から延べ 885 件の御意見が寄せられた。意見提出者及び提出意見数の内訳は次のとおり。
意見提出者（合計 130 者）

提出意見数（合計 885 件）○主な項目ごとの提出意見数○団体・事業者：44 者
・経済団体・事業者団体等（注） 11 者

・ 不適正利用の禁止（ガイドライン（通則編）（案）３－２関係）

32 件

・ 漏えい等報告・本人通知（ガイドライン（通則編）（案）３－５関係）

189 件

・ 個人関連情報（ガイドライン（通則編）（案）３－７関係）

151 件

・金融関係

12 者

・医療関係

３者

・消費者関係

１者

・国際関係

５者

・ 利用停止等（ガイドライン（通則編）（案）３－８－５関係）

48 件

・法律事務所等

３者

・ 越境移転（ガイドライン（外国にある第三者への提供編）（案）関係）

183 件

・その他

９者

・ 公表事項等

69 件（ガイドライン（通則編）（案）３－１－１、３－８－１、３－８－７関係）

・ 仮名加工情報・匿名加工情報

82 件（ガイドライン（仮名加工情報・匿名加工情報編）（案）関係）

・ 認定団体制度の充実（ガイドライン（認定個人情報保護団体編）（案）関係）○個人（匿名含む）：86 者

7件
124 件

・ その他

（注）金融関係、医療関係、消費者関係、国際関係
及び法律事務所等の団体・事業者を除く。

1

３．寄せられた主な御意見及びそれに対する考え方（１）不適正利用の禁止（ガイドライン（通則編）（案）３－２関係）
該当箇所

番号

全般
１

２

寄せられた主な御意見

御意見に対する考え方

・事業者による個人データ利活用を過度に委縮させないよう、事例を充実するなどにより、何が「不適正利用」に該当するのかが分かりやすくなるようにすべき。

・本ガイドライン（通則編）案においては、不適正利用に該当する事例を複数挙げること等により、解釈を明確化しておりますが、今後とも、法の趣旨・内容についての周知・広報に積極的に取り組みつつ、施行状況等を踏まえ、必要に応じてガイドラインへの事例の追加等を検討してまいります。
・個人情報を提供する場面において、提供先が違法・不当な目的 ・個人情報の第三者提供の場面において、提供元に対して提で利用するか否かについての特段の確認義務を提供者に事実上供先の利用目的等の確認を求める趣旨ではありません。
課す趣旨ではないことを明確にしてほしい。
・もっとも、例えば、提供の時点において、提供先が個人情・事例４において、「予見できるにもかかわらず」とあるが、これ報を違法に利用していることを疑わせる事情があり、提供
は個人データの第三者提供の提供元として「第三者提供時の記元が自己の提供した個人情報も違法に利用されることを一録義務」を履行するうえで取得する「提供先に係る情報」をも般的な注意力をもって予見できるにもかかわらず、個人情って予見できる場合を指し、当該義務以外の確認等義務が別途報を提供した場合には、提供元の不適正利用に該当する可求められるものではないという理解で良いか。
能性があると考えられますので、この観点から、提供に先【同趣旨の御意見は他に２件】
立って提供先の利用目的等を確認することは望ましいと考えられます。

（２）漏えい等報告・本人通知（ガイドライン（通則編）（案）３－５関係）
該当箇所

番号

①「漏えい等」の考え方（ガイドライン（通則編）案３－５－１）
３

寄せられた主な御意見

御意見に対する考え方

・「漏えい」は個人データが外部に流出することをいうとされてい ・「漏えい」の該当性の判断において、本人及び個人情報取扱るが、本人に帰責性がある事由により外部に流出した場合も事業者の帰責性の有無にかかわらず、個人情報取扱事業者「漏えい」に該当するか。
が取り扱っている個人データが外部に流出したのであれ・また、本人に帰責性がある事由により流出した情報を用いて、ば、「漏えい」に該当します。
第三者が不正アクセスを試みた場合も「漏えい」に該当する・御指摘の①の事例については、個人情報取扱事業者から個か。
人データが流出していないことから、「漏えい」に該当しま（例：①フィッシング詐欺等によって、本人が悪意ある第三者にせん。御指摘の②の事例については、当該第三者が個人デPW 等の情報を渡したのち、②当該第三者が事業者のデータベー
ータを閲覧した場合には、「漏えい」に該当すると考えられ
スに本人になりすまして不正アクセスをした場合など。この場ます。
合、①は「不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい」に該当するか、また、②は「不正の目的をもって行われたおそれがある個人データの漏え
2

該当箇所

番号

寄せられた主な御意見

御意見に対する考え方

い等」に該当するか。

４

５②報告対象となる事態（ガイドライン（通則編）案３－５－３－１）

６【同趣旨の御意見は他に 1 件】
・【漏えいに該当しない事例】を追加いただききたい。
・以下の事例は、漏えいに該当しないと考えられます。
例えば、事例 2）メール誤送信について、送付先が見ずにメー・個人データを含むメールを第三者に誤送信した場合におルを削除した場合や事例 3）について、アクセスログ等から閲いて、当該第三者が当該メールを削除するまでの間に当覧されたことが確認されない場合は漏えいには該当しないな
該メールに含まれる個人データを閲覧していないことがど。
確認された場合【同趣旨の御意見は他に５件】
・システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となっていた場合において、閲覧が不可能な状態とするまでの間に第三者が閲覧していないことがアクセスログ等から確認された場合
・なお、上記の場合において、誤送信先の取扱いやアクセスログ等が確認できない場合には、漏えい（又は漏えいのおそれ）に該当し得ます。
・「毀損」の考え方において、「上記の場合であっても、その内容 ・御意見を踏まえ、次のとおり修正いたします（下線部が修正と同じデータが他に保管されている場合には毀損に該当しな箇所）。
い」とあるが、「個人データの内容が改ざんされた場合」については、そのようには到底言えない。この記述は削除するか、少 【修正前】なくとも、事例 2)及び 3)の復元できなくなった場合に限った注「なお、上記の場合であっても、その内容と同じデータが他記として差し替える必要がある。
に保管されている場合は毀損に該当しない。」【修正後】「なお、上記事例２）及び事例３）の場合であっても、その内容と同じデータが他に保管されている場合は毀損に該当しない。」
・「財産的被害が生じるおそれがある……漏えい等」について、報 ・個別の事案ごとの判断となりますが、改正後の施行規則第告を要する事例として例示されている直接に決済手段の不正利６条の２第２号の「不正に利用されることにより財産的被用が想定される事案ではなく、漏えいした氏名、住所等がフィ害が生じるおそれがある」とは、漏えい等した個人データ
ッシング詐欺に利用されるなど、間接的に財産的被害が生じるを利用し、本人になりすまして財産の処分が行われる場合
おそれは広範に想定され、事業者において、個別に被害発生のが想定されています。
蓋然性を考慮して判断することには限界がある。報告を要しな ・以下の個人データの漏えいは、直ちに「財産的被害が生じい事例やその考慮要素についても、例示することを検討された
るおそれがある……漏えい等」に該当しないと考えられまい。
す。
・クレジットカード番号単体のみで、暗証番号やセキュリティコ
・個人データである銀行口座情報のみが漏えいした場合
3

該当箇所

番号

７

８

９

寄せられた主な御意見

御意見に対する考え方

ードが漏えいしていない事象については、直ちにこれを利用し・購買履歴のみが漏えいした場合て商品等を購入等できるものではなく、クレジット会社の不正 ・個別の事案ごとの判断となりますが、個人データであるク
検知等の対策により、財産的被害が発生する蓋然性は著しく低レジットカード番号のみの漏えいでも、暗証番号やセキュいことから法令上の報告は不要としていただきたい。
リティコードが割り出されるおそれがあるため、財産的被・「クレジット番号」のうち、例えば、下 4 桁と有効期限のように害が生じるおそれがあると考えられます。
一部のデータのみが漏えいした場合や、購買履歴の漏えいは、 ・個人データであるクレジット番号のうち、下４桁のみとそ
報告対象の事例とみなされるか否かをお示しいただくよう要望の有効期限の組合せが漏えいした場合や個人データであるします。
購買履歴が漏えいした場合は、直ちに「財産的被害が生じ【同趣旨の御意見は他に 10 件】
るおそれがある……漏えい等」に該当しないと考えられます。
・「財産的被害が発生する蓋然性」を考慮しての判断にあたって・個別の事案ごとの判断となりますが、財産的被害が生じるは、事例に記載された事象等が発生した事実のみではなく、例
おそれについては、漏えい等事案を知った時点において、
えば、その漏えいの件数・原因等を踏まえた影響範囲及びその対象となった個人データの性質・内容等を踏まえ、財産的後の速やかな被害防止措置の対応状況等を含めて判断できるよ被害が発生する蓋然性を考慮して判断することになりまうな場合もあり得るとの理解でよいか（例えば、１件のログイす。漏えい等事案を知った時点において、財産的被害が生ンＩＤとパスワードの一時的な紛失が発生し、速やかにＩＤ等
じるおそれがある場合には、その後の被害防止措置によりの停止措置などの必要な対処•財産的被害が現に発生していない
財産的被害が生じるおそれがなくなったとしても、基本的ことを確認するとともに、対象顧客に連絡し、顧客の理解のもには報告の対象となると考えられます。
と別ＩＤの再発行などを含む適切な被害防止・顧客保護の措置を実施されて被害が生じないことが明らかになっている場合など）。
・「漏えい等が発生したおそれについては、その時点で判明してい ・御意見を踏まえ、次のとおり修正いたします（下線部が修る事実関係からして、漏えい等が疑われるものの確証がない場
正箇所）。
合がこれに該当する」とある点について、「確証」とは「漏えい等が生じていない確証」ではなく「漏えい等が生じた確証」を 【修正前】指すことを明示すべき。
「漏えい等が疑われるものの確証がない場合がこれに該当
する」
【修正後】
「漏えい等が疑われるものの漏えい等が生じた確証がない
場合がこれに該当する」
・3-5-3-1（4）について、「高度な暗号化」という用語が出て来る ・「高度な暗号化その他の個人の権利利益を保護するために必が、高度ではない暗号化はどのようなものか。具体例を挙げて要な措置」については、Ｑ＆Ａでお示しすることを検討しいただきたい。
てまいります。
【同趣旨の御意見は他に 20 件】
4

該当箇所

番号

寄せられた主な御意見

御意見に対する考え方※２の「蓋然性」とは、単なる一般的・抽象的な可能性ではなく、相当程度の高い可能性を指すとの理解でよいか。
10③報告義務の主体（ガイドライン（通則編）案３－５－３－２）11④速報（ガイドライン（通則編）案３－５－３－３）12

13・本ガイドライン（通則編）案３－５－３－１（※２）の「おそれ」については、例えば、身元不明の第三者から根拠を示さずに漏えいのおそれについて連絡を受けた場合
等、抽象的な可能性をもって認められるものではありません。
・御意見を踏まえ、次のとおり修正いたします（下線部が修正箇所）。

・通則編 51 ページ 8 行目以下の段落（「また、個人データの取扱いを委託している場合であっても、」で始まる段落）」の記載
は、委託元から委託先に対してある個人データ（「個人データA」）の取扱いを委託し、別の個人データ（「個人データ B」）の【修正前】
取扱いは委託していないという状況で、委託元において個人デ「また、個人データの取扱いを委託している場合であってータ B に関する報告対象自体が発生し、個人データ A に関する
も、委託元が委託先にその取扱いを委託しておらず、委託元
報告対象自体は生じていない場合に、委託先は報告義務を負わのみが取り扱っている個人データについては、報告対象事態ないということを述べているという理解で正しいでしょうか。
が発生した場合であっても、委託先は報告義務を負わず、委【同趣旨の御意見は他に５件】
託元のみが報告義務を負うことになる。」【修正後】「また、委託元から委託先にある個人データ（個人データＡ）の取扱いを委託している場合であって、別の個人デー
タ（個人データＢ）の取扱いを委託していないときには、
個人データＢについて、委託元において報告対象事態が発生した場合であっても、委託先は報告義務を負わず、委託元のみが報告義務を負うことになる。」
・「部署が知ったとき」の判断基準をご教示ください。当該部署に ・個別の事案ごとに判断されますが、例えば、部署内のある所属するいずれかの職員が知ったときだとすると、「いずれかの従業者が報告対象事態を知った時点で「部署が知った」と部署が知ったとき」ではなく「いずれかの職員が知ったとき」考えられます。
と同義になります。「部署が知ったとき」とは、例えば当該部署において、報告の要否にかかる判断を行う管理職以上の職員が知ったときと解釈してよろしいでしょうか。
【同趣旨の御意見は他に３件】
・速報の日数の目安である、個人情報取扱事業者が事態を知った ・速報の算定に当たっても、事態を知った日が１日目となり後「概ね 3～5 日以内」
（52 頁）の起算点について、事態を知っます。なお、「概ね３～５日以内」は、速報の目安になりまた日は１日目としてカウントされないということを明記されたす。
い。
・当委員会が事態を早急に把握する観点から、「概ね３～５日
・「概ね 3～5 日以内」の算定に、土日祝日・年末年始等は含まれ以内」という記載の「３～５日以内」には、土日・祝日が
5

該当箇所

番号

14

⑤本人への通知（ガイドライン（通則編）案３
－５－４）

15

16

寄せられた主な御意見

御意見に対する考え方ないという理解でよいか確認したい。
含まれています。
【同趣旨の御意見は他に３件】
・速報時点での報告内容は、当該時点で把握している内容で足り ・速報においては、当委員会が事態を早急に把握し、必要なる（52 頁～53 頁）とのことだが、最低限このレベルまでの報措置を講じる観点から、個人情報取扱事業者において報告
告は必要といったものは特段なく、個人情報取扱事業者による内容について時間をかけて吟味することは求められておら合理的な判断に委ねられるとの理解でよいか確認したい。
ず、報告内容の粒度も事案によって様々であると考えられます。
・本人に関する連絡先を複数保有している場合（例：メールアド ・本人への通知に関し、複数の連絡手段を有している場合にレス、電話番号、ファックス番号、住所）は、すべての連絡先
おいて、１つの手段で連絡ができなかったとしても、直ちに連絡せずとも、個人情報取扱事業者が選択したいずれか任意に「本人への通知が困難である場合」に該当するものではの 1 つの連絡先に連絡して、本人に連絡がとれなければ、「本人ありません。
への通知が困難である場合」に該当するとの理解でよいか確認したい。
・本人への通知が困難である場合の通知の例外に関する代替措置 ・本人への通知の代替措置としては、公表や問合せ窓口の設に該当する事例として、「事案の公表」（事例１)と「問い合わせ
置が基本となります。なお、公表や問合せ窓口の設置につ窓口の用意と連絡先の公表」（事例２)が例示されているが、本いては、事案に応じて工夫することが考えられます。代替
人への通知を要する漏えい事案であっても、例えば、漏えいの措置に関する事例の追加等については、今後とも引き続き対象者が少数であったり、対象者が特定できる場合などについ検討してまいります。
ては、事例１・２の事項を公表することで、逆に漏えい事案に関係しない多くの顧客の不安を惹起してしまうことも考えられる。本人への通知の代替措置については、各漏えい事案に応じて顧客保護上適切な方法と認められるものであれば、上記公表を伴う事例１・事例２以外の方法についても認められ得るとの理解でよいか。
【同趣旨の御意見は他に１件】（３）個人関連情報（ガイドライン（通則編）（案）３－７関係）
該当箇所

番号

①個人関連情報（ガイドライン（通則編）案３－７－１－１）

17

寄せられた主な御意見

御意見に対する考え方

・Cookie 情報等について、個人情報保護法においては個人関連情 ・個人関連情報とは「生存する個人に関する情報であって、報に該当する場合があるとしても、ビジネスのグローバル展開
個人情報、仮名加工情報及び匿名加工情報のいずれにも該を踏まえて EU 等の法令も鑑み自社の内規においては個人情報と当しないもの」（改正後の法第 26 条の２第１項）をいうとして取り扱うことを定めている場合や、個人情報該当性が完全ころ、個人に関する情報について、個人情報（法第２条第に否定できず個人情報なのか個人関連情報なのかの区別が不明
１項）に該当する場合には、個人関連情報には該当しない
瞭であるために、より安全に取り扱うため個人情報と見なしてこととなります。
6

該当箇所

番号

18

寄せられた主な御意見

御意見に対する考え方取り扱う場合がある。その場合、個人情報にかかる規定を遵守 ・この点、事業者は、個人情報に該当するか否かを判断し、すればよく、法 26 条の 2 の適用を受けないと考えてよいか、示
個人情報に該当する情報については、個人情報の取扱いにしていただきたい。
適用される規律に従って取り扱う必要がありますが、改正【同趣旨の御意見は他に２件】
後の法第 26 条の２に従って取り扱う必要はありません。
・「個人関連情報」の解説において、「『個人に関する情報』とは、 ・分かりやすさの観点から、次のとおり修正いたします（下ある個人の身体、財産……」との記載があり、「ある個人の」と線部が修正箇所）。
記述されたことは、「個人に関する情報」概念の誤解を払拭するために的確な記載であると称賛の意を表したい。2-1「個人情【修正前】報」の解説においても、同様に「ある個人の」に修文されては「個人に関する情報」とは、氏名、住所、性別、生年月
いかがか。
日、顔画像等個人を識別する情報に限られず、個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化等によって秘匿化されているかどうかを問わない。

【修正後】「個人に関する情報」とは、氏名、住所、性別、生年月日、顔画像等個人を識別する情報に限られず、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化等によって秘匿化されているかどうかを問わない。
・分かりやすさの観点から、次のとおり修正いたします（下線部が修正箇所）。

19

・「個人関連情報」に該当する例として、事例 2)に、「特定の個人を識別できないメールアドレス（abc_123@example.com 等のようにメールアドレス単体で、特定の個人のメールアドレスであることが分からないような場合）」との記載があるが、個人情報 【修正前】該当要件である「特定の個人を識別することができる」の解釈
事例２）特定の個人を識別できないメールアドレスに氏名到達説を採用するべきではないので、このような記載は（abc_123@example.com 等のようにメールアドレス単体避けるべきである。
で、特定の個人のメールアドレスであることが分からない
ような場合等）に結び付いた、ある個人の年齢・性別・家
族構成等
【修正後】
7

該当箇所

番号

寄せられた主な御意見

御意見に対する考え方
事例２）メールアドレスに結び付いた、ある個人の年
齢・性別・家族構成等②法第 26 条の
２の適用の
有無につい
て
（ガイドライン（通則編）案３
－７－２）

20

21

22

・本人に個別の同意をとると想定した場合、提供先で個人データと照合してからのみ本人に同意を得られる場合もある。照合す
る前に同意を取得するとなると、照合されない人の分まで同意を取得しなければならなくなる。そのため、同意取得のタイミ
ングは、提供先で個人データと照合した後でもよいとしていた
だきたい。

・改正後の法第 26 条の２は、提供先の第三者が個人関連情報を「個人データとして取得する」ことが想定されるときに適用されます。
・提供先が、提供を受けた個人関連情報を、その保有する個人データと照合すること（当該個人関連情報に係る本人の同意が得られているかを確認する目的で照合することを含む。）は、「個人データとして取得する」場合に該当するのであり、提供元の個人関連情報取扱事業者は、あらかじめ当該個人関連情報に係る本人の同意が得られていること等を確認しないで、当該個人関連情報を提供することはできません。
・「提供を受けた個人関連情報を直接個人データに紐付けて利用し ・改正後の法第 26 条の２は、個人関連情報の提供先においない場合は、別途、提供先の第三者が保有する個人データとのて、個人関連情報を個人データとして取得することが想定
容易照合性が排除しきれないとしても、ここでいう『個人デーされる場合に適用されることとなります。
タとして取得する』場合には直ちに該当しない」とのことであ ・個別の事案ごとに判断することとなりますが、提供先の第るが、提供先の第三者が保有する個人データと紐づけて利用す
三者が、提供を受けた個人関連情報を、それ単体では特定るものの、紐づける個人データが、それ単体では個人を識別すの個人を識別することができない情報と紐付けて利用するることができるものではなく、容易照合性の観点から個人デーのみであり、個人データとして利用しないのであれば、「個タとなっている情報（例：ID のみで管理されている情報）であ人データとして取得する」場合に該当しないと考えられまる場合にも、「個人データとして取得する」場合に該当しないとす。
の理解でよいか確認したい。
【同趣旨の御意見は他に１件】
・「提供を受けた個人関連情報を直接個人データに紐付けて利用し ・一般に、個人データの取扱いの委託（法第 23 条第５項第１
ない場合は、別途、提供先の第三者が保有する個人データとの号）において、委託先は、委託に伴って委託元から提供さ容易照合性が排除しきれないとしても、ここでいう『個人デー
れた個人データを、独自に取得した個人データと本人ごとタとして取得する』場合には直ちに該当しない」という点につに突合する処理を行うことはできません。
いて、提供先の第三者が個人データと紐づけて利用する場合が ・提供先においてかかる処理が行われる場合、提供元は、原「個人データとして取得する」に該当する場合、事業者が行う則として、個人データの第三者提供について本人の同意を広告配信プラットフォーマーを利用した広告の拡張配信には個取得する必要があります。
人関連情報の規制がかかることになる。
・これとの対比で、上記の例で事業者から広告配信プラットフォーマーに提供する情報が個人データであった場合、個人情報保
8

該当箇所

番号

23

24

25

寄せられた主な御意見

御意見に対する考え方

護法 23 条 5 項 1 号の個人データの取扱いの委託と整理する
ことはできず、第三者提供の同意（同条 1 項柱書）が必要となるか明確にされたい（いわゆる「混ぜるな危険」問題）。
・なお、本事例は、事業者から広告配信プラットフォーマーに提供された情報は、事業者から委託をした広告の拡張配信の目的にのみ利用され、広告配信プラットフォーマーに情報の処分権を付与しないケースを想定している。
・第三者から個人関連情報を受領する場合、データ受領時には自 ・改正後の法第 26 条の２は、提供先の第三者が個人関連情報
社内での容易照合性に気付かず、後に容易照合性が判明した場を「個人データとして取得する」ことが想定されるときに合は、提供元から見て「想定された」事象として扱われるの適用されるところ、「個人データとして取得する」ことが想か。また、「想定された」と見なされないためには、受領者とし定されるかどうかは、個人関連情報の提供にあたって判断てどのような対応を行うことが有効か。
することになります。
・また、提供先が、個人関連情報を個人データとして利用しない場合には、その保有する個人データとの容易照合性を排除しきれないとしても、改正後の法第 26 条の２は適用されないと考えられます。
・個人関連情報を PFer に提供するケースを想定するにあたり、・改正後の法第 26 条の２は、個人関連情報の提供先においPFer が「個人データとして取得」しているかどうか回答してもて、個人関連情報を個人データとして取得することが想定らえない場合がある。その場合、サービス内容や利用規約などされる場合に適用されることとなります。
から「個人データとして取得」しているかどうかを外部から推 ・個別の事案ごとに判断することとなりますが、提供先が、測するしかないが、「個人データとして取得」しているかどうか
個人関連情報と紐付けて利用可能な個人データを保有しての判断が難しい場合には「想定している場合」には含まれない
いる等、提供を受けた個人関連情報を個人データとして取と考えて良いかご見解を頂きたい。
得することが窺われる場合には、提供先における個人関連情報の取扱いを確認すべきであり、提供先からの回答がないことをもって「想定される場合」に該当しないとはいえないと考えられます。
・なお、提供先は、提供元に個人データとして利用する意図を秘して、本人同意を得ずに個人関連情報を個人データとして取得した場合、法第 17 条第１項に違反することとなります。
・契約等で「個人データとして利用しない」旨が定められている ・個別の事案ごとに判断することとなりますが、例えば、提にもかかわらず、個人データとして利用することが窺われる事
供先の第三者が、契約等の定めに反して、個人関連情報を情とは、具体的にどういった場面を想定しているか教示された個人データとして利用する可能性があることを示す証跡がい。
確認された場合には、提供先に問い合わせる等、提供先に【同趣旨の御意見は他に２件】
おける個人関連情報の取扱いを確認したうえで、
「個人デー
9

該当箇所

番号

③本人の同意の取得方法（ガイドライン(通則編)案３－７－３）

26

寄せられた主な御意見

御意見に対する考え方

・個人関連情報の第三者提供に係る同意を「本人が予測できる範囲において、包括的に同意を取得することも可能」とある点について、「包括的」の指す内容を具体的に示すべき。
【同趣旨の御意見は他に６件】

・提供元と提供先の間に別の事業者が介在するケースにおいても、同意取得の提供元による代行を可能とすべき。
【同趣旨の御意見は他に１件】

27

28④本人の同意等の確認の29

・「提供先の第三者を個別に明示し」とあるが、これは提供先の第三者の名称を明示するほか、提供先の第三者の範囲や属性を明示することでも良いか。
【同趣旨の御意見は他に１件】

・提供先と提供元の間で誓約する書面の中で、対象となるすべての本人から同意を取得できている旨提供先に表明保証させれ
ば、提供元である個人関連情報取扱事業者としてとるべき措置
10タとして取得する」ことが想定されるかどうかを判断する必要があります。
・改正後の法第 26 条の２第１項第１号の「本人の同意」について、事業者は、必ずしも各提供行為について個別に本人の同意を取得しなければならないわけではなく、本人の意思を明確に確認できる限り、所定の事項を示した上で、各提供行為について一括して同意を取得することもできると考えられます。
・ＡがＢに個人関連情報を提供し、ＢがＣに当該個人関連情報を提供する場合において、ＡからＢへの提供行為に改正後の法第 26 条の２第１項が適用されず、他方、ＢからＣへの提供行為にこれが適用される場合には、本人同意を取得する主体はＣですが、同等の本人の権利利益の保護が図られ、ＣがＡに適切に同意取得させなければならないことを前提に、ＡがＣの同意取得を代行することも認められると考えられます。
・この場合、ＡとＣの双方が、ＡがＣの同意取得を代行する
旨を認識している必要があります。また、Ａは、個人関連情報の提供を受けて個人データとして取得する提供先のＣを個別に明示し、対象となる個人関連情報を特定できるよ
うに示す必要があると考えられます。さらに、Ｃは、自らが同意取得の主体であることに変わりはないことから、Ａに適切に同意取得させなければならず、また、個人関連情報を個人データとして取得した後の利用目的について、法第 18 条により通知又は公表を行わなければなりません。
・改正後の法第 26 条の２第１項第１号の「本人の同意」について、提供元の個人関連情報取扱事業者が同意取得を代行する場合、提供元は、同等の本人の権利利益の保護が図られるよう、本人に対して、個人関連情報の提供を受けて個
人データとして取得する提供先の第三者を個別に明示する必要があり、提供先の範囲や属性を示すだけでは足りないと考えられます。
・提供元の個人関連情報取扱事業者は、提供先の第三者が個
人関連情報を個人データとして取得することが想定される
場合、あらかじめ当該個人関連情報に係る各本人から同意

該当箇所

番号

寄せられた主な御意見

御意見に対する考え方

として足りることを確認したい。
【同趣旨の御意見は他に３件】

方法（ガイドライン(通則編)案３－７－４）30を得ていること等を確認する必要がありますが、必ずしも各本人につき個別に確認しなければならないものではな
く、これを一括して確認することも可能であると考えられます。
・この点、個別の事案ごとに判断することとなりますが、提供先が所定の同意取得方法で個人関連情報の取扱いにつき本人から同意を得る旨を事前に誓約し、当該誓約に従って同意を取得済みであるとして、同意を取得済みのＩＤ等のリストを提供元に提供した場合には、提供元は、当該誓約及び当該リストを確認することで、当該リストに掲載されたＩＤ等に係る各本人から同意を得ていることを、一括して確認することが可能であると考えられます。
・本人の同意等の確認方法として、法２６条の２第１項１号に掲 ・御意見を踏まえ、本ガイドライン案（通則編）案３－７－
げる事項の確認方法については、「提供先の第三者が本人の同意
４－２に以下の文言を追加いたします。
を得ていることを誓約する書面を受け入れる方法」を「第三者から申告を受ける方法に該当する事例」の一つとして許容しつ
事例３）提供先の第三者が本人に対して法第 26 条の２第つ（３-７-４-１）、同項２号に掲げる事項の確認方法について
１項第２号の規定による情報の提供を行っていることは、上記方法が許容される事例として明記されていない。このを誓約する書面を受け入れる方法
ため、同項２号に掲げる事項の確認方法については、提供先から誓約書面を受け入れる方法による確認は許容されていないよ
うに読める。しかし、規則１８条の２第２項は「（法２６条の２
第１項２号）の規定による情報の提供が行われていることを示す書面の提示を受ける方法その他の適切な方法」が求められているだけで、いわゆる直接証拠だけに限定していないため、提供先から誓約書面を受け入れる方法による確認は、そもそも「第三者から申告を受ける方法」ではなく「…情報の提供が行われていることを示す書面の提示を受ける方法」として読むのが素直な解釈である。実務的にも、外国にある第三者への個人関連情報の提供にあっては、同項１号に掲げる事項の確認も同項２号に掲げる事項の確認もまとめて取得できることが望まし
く、越境移転に伴うリスクに対応するという制度趣旨を踏まえても、かかる確認方法があながち不合理なものとして排斥されるべきものではないと考えられる。従って、法２６条の２第１項２号に掲げる事項の確認についても、提供先から誓約書面を受け入れる方法による確認が、「書面の提示を受ける方法」ない
11

該当箇所

番号

⑤提供先の第三者における確認義務（ガイドライン（通則編）案３－７－６）

31

寄せられた主な御意見

御意見に対する考え方

し「その他の適切な方法」として許容されることを、本項において明記いただきたい。
・「個人情報取扱事業者である提供先の第三者は、…当該第三者の ・御意見を踏まえ、次のとおり修正いたします（下線部が修
氏名又は名称及び住所並びに法人にあってはその代表者の氏名
正箇所）。
を確認しなければならない。」とあり、「当該第三者」とは、提供元を指すと理解しているが、「提供先の第三者」をと混同して 【修正前】
しまうので、改めて文言を確認していただきたい。
個人情報取扱事業者である提供先の第三者は、個人関連【同趣旨の御意見は他に１件】
情報の提供を受けて個人データとして取得する際は、当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名を確認しなければならない。
【修正後】
個人情報取扱事業者である提供先の第三者は、第三者から法第 26 条の２第１項の規定による個人関連情報の提供を受けて個人データとして取得する際は、当該第三者（提供元の個人関連情報取扱事業者）の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名を確認しなければならない。

（４）公表事項等（ガイドライン（通則編）（案）３－１－１、３－８－１、３－８－７関係）
該当箇所

番号

①利用目的の特定（ガイドライン（通則編）案３
－１－１）

32

33

寄せられた主な御意見

御意見に対する考え方

・「利用目的の特定」にあたり、個人データの処理方法等を詳細に ・個別の事案ごとに判断することとなりますが、一般に、個公表することについて、利用目的の変更には該当しないことを
人情報の取扱内容等に変更がない中で、本人が一般的かつ明確にすべき。
合理的に予測・想定できる程度に利用目的を特定し直した【同趣旨の御意見は他に５件】
場合、利用目的の変更には該当しません。
・なお、特定し直した利用目的については、法第 27 条第１項の規定に基づいて、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）に置かなければなりま
せん。
・利用目的を説明する文例として、「結果をスコア化した上で」と ・御意見を踏まえ、次のとおり修正いたします（下線部が修の記述があるが、「スコア化」が何を意味するか十分な説明とな正箇所）。
っていないので、「信用スコア」、「内定辞退予測スコア」などの語を用いて、明確に記述するべきである。
【修正前】事例２）「取得した行動履歴等の情報を分析し、結果をスコ
12

該当箇所

番号

寄せられた主な御意見

御意見に対する考え方
ア化した上で、当該スコアを第三者へ提供いたします。」【修正後】
事例２）「取得した行動履歴等の情報を分析し、信用スコアを算出した上で、当該スコアを第三者へ提供いたします。」
・また、これに関連して、本ガイドライン案（外国にある第三者への提供編）４－２－１（※１）の事例２についても、次のとおり修正いたします（下線部が修正箇所）。
【修正前】
事例２）「取得した行動履歴等の情報を分析し、結果をスコア化した上で、当該スコアを第三者へ提供いたします。」②保有個人デ
ータに関す
る事項の公
表等
（ガイドライン（通則編）案３
－８－１）

34

35

【修正後】
事例２）「取得した行動履歴等の情報を分析し、信用スコアを算出した上で、当該スコアを第三者へ提供いたします。」
・個人情報取扱事業者にあっては、ホームページに「個人情報利 ・個人情報取扱事業者は、法第 27 条第１項各号に掲げる事項
用方針」等のページを設け、個人情報の利用目的や共同利用範について、本人の知り得る状態（本人の求めに応じて遅滞囲をまとめて掲載していることが多い。他方、当該ページにはなく回答する場合を含む。）に置く必要があります。「本人代表者の氏名は掲載せず、「会社概要」等の別のページでこれらの知り得る状態」とは、本人が知ろうとすれば知ることがの情報を公表していることもあるが、このように掲載されていできる状態に置くことをいい、事業の性質及び個人情報のるページがそれぞれ分離していても問題ないことを確認した
取扱状況に応じ、内容が本人に認識される合理的かつ適切い。
な方法によらなければなりません。
・したがって、一般的に、本人が認識できる形であれば、必ずしも一つのウェブページにて法第 27 条第１項各号所定の事項を全て掲載する必要はなく、複数のウェブページに分けてこれを掲載するといった対応も可能と考えられます。
・法第 20 条の規定による措置のみならず、法第 21 条（従業者の ・法第 21 条は、安全管理措置として、特に従業者の監督につ監督）または法第 22 条（委託先の監督）により、保有個人デー
いて規定したもの、法第 22 条は、安全管理措置として、特タの安全管理のために講じた措置の内容についても、本人の知に委託先の監督について規定したものです。
り得る状態に置かなければならない、との理解でよいか。
・したがって、法第 21 条及び法第 22 条の規定により講じた【同趣旨の御意見は他に２件】
措置についても、法第 20 条の規定により保有個人データの安全管理のために講じた措置として、本人の知り得る状態に置かなければなりません。
13

該当箇所

番号

36

37

③開示等の請求等に応じる手続（ガイドライン（通則編）案３－８－７）

38

寄せられた主な御意見

御意見に対する考え方

・外国において「個人データを保管している」とは、どういった ・個別の事案ごとに判断することとなりますが、一般に、外場合を指すか。日本に所在する法人の支店や所有物件など、日国にある支店や委託先に個人データを取り扱わせる場合に本の個人情報取扱事業者が直接保管する場合や、基準適合体制
は、外国において個人データを取り扱うこととなるため、を整備した委託先事業者が外国で取り扱う場合でも対象となる
当該外国の名称とともに保有個人データの安全管理のため
か。また、日本に置かれたサーバーに外国からアクセスするだに講じた措置について、本人の知り得る状態に置く必要がけの場合は対象とならないということでよいか。
あります。
【同趣旨の御意見は他に１件】 ・また、一般に、外国にある支店や委託先に個人データを取り扱わせる場合、その取扱いの対象となるデータが日本にあるサーバに保存されていたとしても、外国において個人データを取り扱うことに変わりはないため、当該外国の名称とともに保有個人データの安全管理のために講じた措置について、本人の知り得る状態に置く必要があります。
・｢【安全管理のために講じた措置として本人の知り得る状態に置 ・一般に、事業者は、外部事業者の運営するサーバに個人デく内容の事例】｣として､(外的環境の把握)が示されているとこータを保存する場合において、これが法第 23 条の「提供」
ろ､個人情報取扱事業者が外国にサーバーが設置されているクラに該当しない場合には、自ら果たすべき安全管理の一環とウドやデータセンター等に個人データを保管している場合につして、適切な安全管理措置を講じる必要があります。
いて､保管国名の公表要否及びその内容についてガイドラインで ・この場合に、Ａ国にある第三者が運営する、Ｂ国にあるサ
例示すべき。具体的には､個人データをクラウド等に保管しておーバに個人データを保存する場合、Ａ国（サーバの運営事
り､当該クラウド事業者が個人情報を取り扱わない場合におい業者が所在する国）における制度等及びＢ国（サーバが所て､個人データを保管している国名として公表すべきは当該クラ在する国）における制度等のそれぞれが個人データの取扱
ウド事業者の所在地か､データが保管されているサーバーが設置
いに影響を及ぼし得るため、事業者は、これらを把握したされている国名なのかについて､ガイドラインにて明らかにして上で安全管理措置を講じる必要があり、また、法第 27 条第欲しい。
１項第４号・改正後の施行令第８条第１項により、Ａ国及びＢ国の名称を明らかにした上で、保有個人データの安全管理のために講じた措置を本人の知り得る状態に置く必要があります。
・ガイドラインやＱ＆Ａにおける解説や事例の追加等については、今後とも引き続き検討してまいります。
・契約締結時には厳格な本人確認を求められずに取引を行う事例 ・御意見を踏まえ、次のとおり修正いたします（下線部が修はたくさんあります。そのような場合にも、開示や利用停止等
正箇所）。
の場合においては、当該本人であることを公的書類等で示さなければならないと事業者から請求される場合が多く、消費者の 【修正前】
苦情を招いています。明らかに契約締結時の個人情報の取得に（※２）確認の方法は、事業の性質、保有個人データの取比して、過大な確認であり、本人の権利行使に対する障害とな
扱状況、開示等の請求等の受付方法等に応じて、適切なもっています。
のでなければならず、本人確認のために事業者が保有して
14

該当箇所

番号

寄せられた主な御意見

御意見に対する考え方

・一方、本人確認が適切にされないことの弊害も認識しており、いる個人データに比して必要以上に多くの情報を求めない
適切な方法が必要です。 貴委員会ホームページＦＡＱでは、本ようにするなど、本人に過重な負担を課するものとならな
人確認の方法として場合分けをしており、これが適切と思われいよう配慮しなくてはならない。
ます。ＦＡＱに記載していても、ガイドラインしか見ない事業者も多いため、ＦＡＱ６－１５「開示等の請求等をする者が本
事例１）本人の場合：運転免許証、健康保険の被保険者人であることの確認の方法としては、どのようなものがありま
証、個人番号カード（マイナンバーカード）表面、旅券
すか。
」の回答をガイドラインにも採用すべきです。
（パスポート）、在留カード、特別永住者証明、年金手帳、
事例１）来所の場合：運転免許証、健康保険の被保険者証、印鑑証明書と実印、公的個人認証による電子署名
個人番号カード（マイナンバーカード）表面、旅券（パスポー
事例２）代理人の場合：本人及び代理人について、運転
ト）、在留カード、特別永住者証明、年金手帳、印鑑証明書と実免許証、健康保険の被保険者証、個人番号カード（マイナ印
ンバーカード）表面、旅券（パスポート）、在留カード、特事例２）オンラインの場合：あらかじめ本人が個人情報取扱
別永住者証明、年金手帳等。このほか、代理人について事業者に対して登録済みの ID とパスワード
は、代理権を与える旨の委任状（親権者が未成年者の法定事例３）電話の場合：あらかじめ本人が個人情報取扱事業者
代理人であることを示す場合は、本人及び代理人が共に記に対して登録済みの一定の登録情報（生年月日等）、コールバッ
載され、その続柄が示された戸籍謄抄本、住民票の写し。
ク
また、成年後見人が成年被後見人の法定代理人であること
事例４）送付（郵送、FAX 等）の場合：運転免許証や健康保を示す場合は、登記事項証明書）
険の被保険者証等の公的証明書のコピーの送付を顧客等から受け、当該公的証明書のコピーに記載された顧客等の住所に宛て 【修正後】て文書を書留郵便により送付（※２）確認の方法としては、次のような事例が考えられるが、事業の性質、保有個人データの取扱状況、開示等の請求等の受付方法等に応じて、適切なものでなければならず、本人確認のために事業者が保有している個人データに比して必要以上に多くの情報を求めないようにするなど、本人に過重な負担を課するものとならないよう配慮しなくてはならない。
なお、代理人による来所や送付等の場合にあっては、確認書類として、本人及び代理人についての次の事例に示す
書類等のほか、代理人について、代理権を与える旨の委任状（親権者が未成年者の法定代理人であることを示す場合
は、本人及び代理人が共に記載され、その続柄が示された
戸籍謄抄本、住民票の写し。また、成年後見人が成年被後見人の法定代理人であることを示す場合は、登記事項証明書）が考えられる。
15

該当箇所

番号

寄せられた主な御意見

御意見に対する考え方
事例１）来所の場合：運転免許証、健康保険の被保険者証、個人番号カード（マイナンバーカード）表面、旅券（パスポート）、在留カード、特別永住者証明、年金手帳、印鑑証明書と実印
事例２）オンラインの場合：あらかじめ本人が個人情報取扱事業者に対して登録済みの ID とパスワード、公的個人認証による電子署名
事例３）電話の場合：あらかじめ本人が個人情報取扱事業者に対して登録済みの登録情報（生年月日等）、コールバ
ック
事例４）送付（郵送、FAX 等）の場合：運転免許証や健康保険の被保険者証等の公的証明書のコピーの送付を顧客等から受け、当該公的証明書のコピーに記載された顧客等の住所に宛てて文書を書留郵便により送付（５）利用停止等（ガイドライン（通則編）（案）３－８－５関係）
該当箇所

番号

寄せられた主な御意見

御意見に対する考え方

39

・利用停止等について、一部の法違反の場合に加えて、本人の権利又は正当な利益が害されるおそれがある場合にも拡充するよ
う改正し、ガイドライン案に、本人の権利又は正当な利益が害されるおそれがある場合について、利用停止等が認められる事
例や認められない事例を含め解釈を具体的に記載することに賛成いたします。
・しかし、個人の権利または正当な利益が害されるおそれのある場合の事例数が少ないため、権利行使の範囲が不当に狭く解釈されるおそれがあります。個人の正当な権利利益の拡充の趣旨である以上、平穏権の侵害事例をさらに例示すべきです。
・例えば、通販等でいったんは契約し商品を購入したが、その後、本人が今後利用しないので利用停止してほしい、過去にマンション購入の検討をするために問合せした不動産会社からの広告郵便が頻繁に届き困っているなど、本人が個人データの利用停止・消去を請求する事例等も該当するものとして例示すべきです。

・賛同の御意見として承ります。
・本ガイドライン（通則編）案３－８－５－１において、現時点において考えられる、利用停止等又は第三者提供の停止が認められる事例として、例えば、ダイレクトメール送
付や電話勧誘の事例を記載しておりますが、御指摘の事例のうち、「通販等でいったんは契約し商品を購入したが、その後、本人が今後利用しないので利用停止してほしい」との事例については、相手方である個人情報取扱事業者において、例えば代金請求といった権利行使のために当該保有個人データを取り扱う事情等も考慮して判断されます。

①利用停止等の要件（ガイドライン（通則編）案３－８－５－１）

16

該当箇所

番号

40

②本人の権利
利益の侵害
を防止する
ために必要
な限度

41

（ガイドライン（通則編）案３－８－５－２）③本人の権利
利益を保護
するため必
要なこれに
代わるべき
措置

42

寄せられた主な御意見

御意見に対する考え方

・「本人の権利又は正当な利益が害されるおそれがないとして利用 ・請求を行った本人の主観的事情については、請求を受けた停止等又は第三者提供の停止が認められないと考えられる事
個人情報取扱事業者が把握している事実関係から合理的に例」について、本人の意図を事業者が確認することは不可能で判断することになります。
あることから、事例に示されたような状況であると事業者が合理的に推測できる場合には停止を認めないと明示すべき。
【同趣旨の御意見は他に１件】
・「3-8-5-1（利用停止等の要件）の(1)から(3)までのいずれかに ・御指摘の記載は、本人が利用停止等の請求を行ったことを該当する場合、個人情報取扱事業者は、本人の権利利益の侵害前提としたものであり、本人が請求を行っていない場合を防止するために必要な限度で、利用停止等又は第三者提供のに、利用停止等の措置を講じる義務はありません。
停止を行わなければならない」とあるが、仮に本人が権利利益 ・また、改正後の法第 22 条の２第１項本文に定める漏えい等の侵害があるにもかかわらずサービスの継続を希望した場合に事案が生じ、本人が利用停止等の請求を行った場合であっおいても、個人情報取扱事業者は利用停止等の措置を講じなけても、当該本人との契約が存続しているときには、利用停ればならないかを明確にされたい。
止等が困難であるとして、代替措置による対応が認められることになります。
・「利用停止等又は第三者提供の停止を行うことが困難である場
・改正後の法第 30 条第６項ただし書は「多額の費用を要する合」のうち「多額の費用を要する場合」について、金銭的な費
場合その他の利用停止等又は第三者への提供の停止を行う
用のみに基づき判断すべきではない。
ことが困難な場合」と定めていることから、金銭的なコス【同趣旨の御意見は他に１件】
ト以外の事情も考慮されます。例えば、個人情報取扱事業者が正当な事業活動において保有個人データを必要とする
場合についても、「困難な場合」該当し得ます。

（ガイドライン（通則編）案３－８－５－３）（６）越境移転（ガイドライン（外国にある第三者への提供編）（案）関係）
該当箇所

番号

寄せられた主な御意見

43

・越境移転する場合、同意の取得時に、本人への情報提供を求め、移転先による個人データの適正な取扱いの継続的な確保のための「必要な措置」及び本人の求めに応じた情報提供を求めるよう改正し、ガイドライン案で、同意取得時の情報提供、体制整備要件に基づく越境移転時に移転元が講ずべき「必要な措置」について、事例を含め解釈を具体的に記載することとしています。今後、ますます越境移転が活発になると予測される一①全般

御意見に対する考え方

17

・賛同の御意見として承ります。

該当箇所

番号

44

寄せられた主な御意見

御意見に対する考え方

方で、個人はいまだその認識が低いことから、今回のガイドラ
イン案について、賛成します。
・中でも、本人がリスクを適切に把握できるよう、①移転先が所在する外国の名称、②個人情報保護制度等に関して、我が国の制度や我が国事業者に求められる措置との本質的な差異についての情報提供を求めることとされていますが、個人情報を提供するかどうか判断するための情報として、大変重要で有益です。
・国によって個人情報保護制度が異なり、提供先によってはリスクが大きいことを理解し、どの程度の制度であれば安心なのかを判断するためには、情報提供に工夫が必要です。オンライン
上での表記であることを生かして、こうした規定があることの意味も含め、できる限りわかりやすく書き方に工夫をしていた
だくよう要望します。
・提供先の第三者が所在する外国の個人情報保護制度について
は、企業ごとが異なる情報を提供するのではなく、個人情報保護委員会がウェブサイトで公開する情報に基づいて提供されることを推奨します。
・外国の制度について、改めて、個人情報保護委員会からも情報提供いただくことをお願いしたい。事業者において提供先国に関する情報のリサーチをさせて保護の状況を把握させるという趣旨は理解できるが、各事業者個別に各国法制度をリサーチさせるのではなく、当局から提示される情報をリサーチして把握するというのでも十分趣旨は達成され、非効率性や過度な負担も低減される。

・改正後の法第 24 条第２項の趣旨には、個人データの越境移転を行う事業者においても、従前以上に、提供先の外国にある第三者における事業環境等を認識することを促すという点もありますので、当該外国における個人情報の保護に関する制度についての確認は、提供元の事業者の責任において行っていただくべきものであると考えております。
・また、改正後の法第 24 条第３項は、本人の権利利益の保護の観点から、個人データの越境移転後においても、提供元の事業者に、提供先の外国にある第三者による個人データの適正な取扱いを継続的に確保する責務があることを明確化するものです。そのため、かかる責務を果たす観点から、提供先の第三者による相当措置の実施に影響を及ぼす【同趣旨の御意見は他に 42 件】
おそれのある当該外国の制度についての確認も、提供元の事業者の責任において行っていただくべきものであると考
えております。
・もっとも、当委員会においても、外国の個人情報の保護に関する制度について、事業者の参考となる一定の情報をとりまとめて公表する予定です。対象予定国や公表に向けた
スケジュール等については、本年の秋頃を目途にお示しす
ることを検討してまいります。
18

該当箇所

番号

45

寄せられた主な御意見

御意見に対する考え方

・法第 24 条第 1 項における外国への業務委託をする際に、本人に ・「外国にある第三者への個人データの提供を認める」旨の本対して適切に同意を取得した場合（法 24 条 1 項及び 2 項）
、個
人の同意を得て、個人データの提供を行う場合には、本人
人情報取扱事業者が講ずべき措置に相当する措置を継続的に講が事前に個人データの越境移転に伴うリスクを認識できる
ずるために必要な体制の基準を満たしているとした場合（法 24
よう、当該外国の個人情報の保護に関する制度について、
条 3 項）のいずれにおいても、当該国によるガバメントアクセ
我が国の法との本質的な差異を合理的に認識できる情報のスが発生してしまったことのみをもって個人情報保護法に違反提供が求められます（改正後の法第 24 条第２項、改正後のしていると問われることはないか。
施行規則第 11 条の３参照）。そのため、かかる情報提供が適切に行われていない場合には情報提供義務違反となる可能性があります。もっとも、適切な情報提供を行った上で改正後の法第 24 条第１項に基づく本人の同意を取得して外国にある第三者に個人データを提供した後については、当該提供先による個人データの取扱いを確認する義務はありません。そのため、当該提供先が、当該外国の政府による個人データの提供の要請に対応したことのみをもって提供
元の事業者の法違反となるものではありません。
・また、提供先の外国にある第三者が基準適合体制（法第４章第１節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制）を整備していることを根拠として、本人の同意を得ずに当該提供先に対して個人データを提供した場
合、その後も当該提供先による個人データの適正な取扱いが確保されるよう、当該提供先による相当措置の実施状況
等の定期的な確認等が求められます（改正後の法第 24 条第３項、改正後の施行規則第 11 条の４）。この場合、当該提供先において、当該外国の政府による要請に対応した個人
データの提供が認められるか否かは、個人データの性質や提供の必要性（外国政府からの要請が外国の法令の要件を満たす適法なものかの確認を含む。
）等を踏まえた個別の事
案ごとの判断が必要であり、例えば、提供の必要性が認められないにもかかわらず、当該提供先が漫然と個人データの提供を行っている場合には、当該提供先による相当措置の実施に支障が生じていると評価される可能性があります。なお、提供元の事業者が、当該提供先に対して法第 23条第５項第１号に基づいて個人データの提供を行っている
19

該当箇所

番号

②同意取得時の情報提供の方法（ガイドライン
（外国にある第三者への提供編）案５－１）46③同意取得時に提供すべき情報（ガイドライン
（外国にある第三者への提供編）案５－２）④同意取得時47

48

寄せられた主な御意見

御意見に対する考え方場合、当該提供先に対する監督義務を負いますので（法第22 条）、上記のように、当該提供先が提供の必要性が認められないにもかかわらず、漫然と個人データの提供を行っている等の場合には、提供元の事業者の監督義務違反となる可能性があります。
・情報提供の方法として事例 4 にある「必要な情報をホームペー ・同意取得時の情報提供により、個人データの越境移転に係ジに掲載し、本人に閲覧させる方法」を取る場合に、「我が国又るリスクについての本人の予測可能性を向上させ、本人がは外国の行政機関等が公表している情報」が掲載された行政機同意の可否を適切に判断できるようにするという改正後の関等のホームページの URL を、事業者のホームページに掲載す
法第 24 条第２項の趣旨を踏まえると、本人に対する情報提る方法が認められると解してよいか。
供は、改正後の施行規則第 11 条の３第２項から第４項までの規定により求められる情報を本人が確実に認識できると【同趣旨の御意見は他に４件】
考えられる適切な方法で行う必要があります。
・個別の事案ごとに判断されますが、改正後の施行規則第 11条の３第２項から第４項までの規定により求められる情報が掲載されたＷｅｂページが存在する場合に、当該Ｗｅｂ
ページのＵＲＬを自社のホームページに掲載し、当該ＵＲ
Ｌに掲載された情報を本人に閲覧させる方法も、改正後の施行規則第 11 条の３第１項における「適切な方法」に該当すると考えられます。
・なお、この場合であっても、例えば、当該ＵＲＬを本人にとって分かりやすい場所に掲載した上で、同意の可否の判断の前提として、本人に対して当該情報の確認を明示的に求めるなど、本人が当該ＵＲＬに掲載された情報を閲覧す
ると合理的に考えられる形で、情報提供を行う必要があると考えられます。
・「当該第三者が講ずる個人情報の保護のための措置に関する情・個別の事案ごとに判断する必要がありますが、例えば、提報」について、どのようにして事業者が講ずる措置の確認をす
供先の外国にある第三者に確認する方法や、提供先の外国れば足りるか、例えば事業者からの申告により判断すればよいにある第三者との間で締結している契約において、当該第かをご教示いただきたい。
三者による個人データの取扱いについて定めている場合に、当該契約を確認する方法等が考えられます。
【同趣旨の御意見は他に２件】

・「提供先の第三者が所在する外国を特定できない場合」には、た ・改正後の法第 24 条第２項の趣旨は、外国にある第三者へのとえば、①グループ会社間で情報共有する場合において、今後
個人データの提供がなされる場合に、当該外国における制
20

該当箇所

番号

に移転先が
特定できな
い場合等の
取扱い
（ガイドライン
（外国にある第三者への提供編）案５－３）49

寄せられた主な御意見

御意見に対する考え方

どの国に拠点を作るか同意取得時点でわからない場合や、②個度や、当該第三者による個人データの取扱いに関する相違
人データの取扱いを海外の業者に委託する予定であるが、どのに起因するリスクについて、本人の予測可能性を高める点
国のどの業者に委託するか同意取得時点で決定していない場合にありますので、提供先の第三者が所在する外国を特定しも該当するという理解でよいか確認したい。もしそうであれた上で、本人に対する情報提供を行うことが原則であるとば、その事例も追加されたい。
考えます。
【同趣旨の御意見は他に５件】 ・その上で、「提供先の第三者が所在する外国を特定できない場合」の該当性は、上記の情報提供義務の趣旨を踏まえつ
つ、個別の事案ごとに判断する必要がありますが、例えば、一定の目的で個人データの取扱いを外国にある第三者に委託する予定であるものの、本人の同意を得ようとする
時点において、委託先の候補が具体的に定まっていない等により、提供先の第三者が所在する外国が特定できない場
合は、ここでいう「提供先の第三者が所在する外国を特定できない場合」に該当し得ると考えられます。
・ただし、この場合であっても、特定できない旨及びその理由を情報提供するとともに、提供先の第三者が所在する外国の範囲を特定できる場合の当該範囲に関する情報など、
外国の名称に代わる本人に参考となるべき情報の提供が可能である場合には、当該情報を提供する必要があります。
・「提供先の第三者が所在する外国を特定できない場合」の具体例等については、Ｑ＆Ａでお示しすることを検討してまいります。
・５－３－１（提供先の第三者が所在する外国が特定できない場 ・御意見を踏まえ、次のとおり修正いたします（下線部が修合（規則第 11 条の３第３項関係））及び５－３－２（提供先の正箇所）。なお、御指摘の事例１は、同意取得時に提供先の第三者が講ずる個人情報の保護のための措置に関する情報が提第三者が所在する外国が特定できない場合や提供先の第三供できない場合（規則第 11 条の３第４項関係））の事例 1)に関者が講ずる個人情報の保護のための措置に関する情報の提し、製薬会社が直接被験者への説明を行うことは無く、また外供ができない場合の例を示すものであり、提供先につい国の組織等との提携等は一般的であるので、下記の下線部を追て、事例１に記載する外国の審査当局等のみに限定する趣記いただきたい。
旨ではありません。
「事例 1)日本にある製薬会社が医薬品等の研究開発を行う場合において、治験責任医師等が被験者への説明及び同意取得を行う 〇本ガイドライン（外国にある第三者への提供編）案５－３
時点では、最終的にどの国の審査当局等に承認申請するか、あ－１
るいはどの組織等と提携等をするかが未確定であり、当該被験 【修正前】者の個人データを移転する外国を特定できない場合」
事例１） 日本にある製薬会社が医薬品等の研究開発を行う
場合において、被験者への説明及び同意取得を行う時点では、
21

該当箇所

番号

寄せられた主な御意見

御意見に対する考え方
最終的にどの国の審査当局等に承認申請するかが未確定であり、当該被験者の個人データを移転する外国を特定できない場
合【修正後】
事例１） 日本にある製薬会社が医薬品等の研究開発を行う
場合において、治験責任医師等が被験者への説明及び同意取得を行う時点では、最終的にどの国の審査当局等に承認申請するかが未確定であり、当該被験者の個人データを移転する外国を特定できない場合〇本ガイドライン（外国にある第三者への提供編）案５－３－２【修正前】
事例１） 日本にある製薬会社が医薬品等の研究開発を行う
場合において、被験者への説明及び同意取得を行う時点では、最終的にどの国の審査当局等に承認申請するかが未確定であり、当該被験者の個人データの提供先を特定できない場合【修正後】
事例１） 日本にある製薬会社が医薬品等の研究開発を行う
場合において、治験責任医師等が被験者への説明及び同意取得を行う時点では、最終的にどの国の審査当局等に承認申請するかが未確定であり、当該被験者の個人データの提供先を特定で
きない場合

22

該当箇所

番号

50

⑤相当措置の
継続的な実
施を確保す
るために必
要な措置
（ガイドライン
（外国にある第三者への提供編）案６－１）

51

寄せられた主な御意見

御意見に対する考え方

・本ガイドライン（外国にある第三者への提供編）５－３－１に ・御指摘の箇所については、事業者における望ましい取組をおいて、「事後的に提供先の第三者が所在する外国が特定された記載するものです。そのため、改正後の法第 24 条第１項の場合には、本人の求めに応じて情報提供を行うことが望まし
同意を得ようとする時点において、提供先の第三者が所在い。
」とあるが、個人データの提供要請のあった海外規制当局かする外国が特定できないとして、改正後の施行規則第 11 条ら、個人データを提供した事実を本人に開示しないことを要請の３第３項各号に基づく情報提供を行って本人の同意を取されることもあり得る。この場合は、個人情報取扱事業者にお得した後に、提供先の第三者が所在する外国が特定された
いて対応を判断すべきとの理解でよいか。
場合において、海外規制当局から本人への情報提供をしないよう要請されている場合には、各事業者において本人への情報提供の可否を判断いただくことになると考えられます。なお、例えば、海外規制当局から本人への情報提供をしないよう要請されることがあらかじめ合理的に予測できる場合には、本人の同意を取得する時点において、事後的に情報提供できない可能性がある旨を説明しておくことも、望ましい取組の一つであると考えられます。
・ただし、当該海外規制当局への個人データの第三者提供についても、原則として改正後の法第 25 条に基づく記録義務の対象となるところ、本人から第三者提供記録の開示請求（改正後の法第 28 条第５項）がなされた場合には、原則として、提供先の第三者の名称等を含む第三者提供記録を開示する必要がある点に留意が必要です。
・日本国内の個人情報取扱事業者が日本国内の他の個人情報取扱 ・個別の事案ごとに判断されますが、委託元が国内にある事
事業者に個人データの管理を委託し、当該委託先事業者が更に業者である委託先に対して法第 23 条第５項第１号に基づき外国にある第三者に当該個人データを再委託した場合、法 24 条
個人データの取扱いを委託し、当該委託先が委託に伴って３項・規則 11 条の４第１項第１号の確認主体、及び、法 24 条
取得した当該個人データを、外国にある事業者に対して再３項に基づく本人による情報提供の求めの対象は、法律上、委委託に伴って再提供した場合において、委託先である国内託元と委託先のいずれになるか、ご教示いただきたい。
にある事業者と再委託先である外国にある事業者との間の【同趣旨の御意見は他に２件】
契約等により、施行規則第 11 条の２第１号の基準を満たすための「法第４章第１節の規定の趣旨に沿った措置」の実施が確保されている場合には、改正後の法第 24 条第３項の義務は、原則として委託先に課されると考えられます。ただし、この場合でも、委託元は委託先に対する監督義務を負うため（法第 22 条）、委託先が再委託先に対して必要か
つ適切な監督を行っているか等について、適切に把握し監督する必要があります。
23

該当箇所

番号

寄せられた主な御意見

御意見に対する考え方

・相当措置の継続的な実施の確保が困難となったときは、個人データの提供を停止することが必要不可欠だと考えられるが、既に提供された個人データの回収等取扱いや、その他適切な対応を取ることも求められるのではないか。

52⑥相当措置の
継続的な実
施を確保す
るために必
要な措置に
関する情報

53

・提供元の事業者が提供先の外国にある第三者が基準適合体
制（法第４章第１節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制）を整備していることを根拠に、【同趣旨の御意見は他に１件】
当該提供先に対して個人データの提供を行った場合において、当該提供先による相当措置の実施に支障が生じた場合には、当該支障の解消又は改善のために必要かつ適切な措置を講ずることが求められます（改正後の施行規則第 11 条の４第１項第２号）。
・このような必要かつ適切な措置の一環として、当該提供先による相当措置の継続的な実施の確保が困難となり、既に提供された個人データについて、我が国の個人情報取扱事
業者により個人データが取り扱われる場合に相当する程度の本人の権利利益の保護の確保が困難となった場合には、提供元の事業者は、当該提供先に対し、当該個人データの返還又は削除を求める必要があると考えられます。
・なお、提供元の事業者が、当該提供先に対して法第 23 条第５項第１号に基づいて個人データの提供を行っている場
合、当該提供先に対する監督義務を負いますので（法第 22条）、当該提供先による当該個人データの安全管理の確保が困難となっているにもかかわらず、提供元の事業者が当該提供先に対して当該個人データの返還又は削除を求めない
場合には、提供元の事業者の監督義務違反となる可能性があります。
・このような外国にある第三者による相当措置の継続的な実施の確保が困難となった場合の対応の具体例等について
は、Ｑ＆Ａでお示しすることを検討してまいります。
・「（※１）『外国』とは、本邦の域外にある国又は地域をいう（法 ・御意見を踏まえ、次のとおり修正いたします（下線部が修第 24 条第１項）。
」について、「外国」は、単に本邦の域外にあ正箇所）。
る国・地域というだけではなく、ＥＵ及び英国など、個人の権
利利益を保護する上で我が国と同等の水準にあると認められる 【修正前】個人情報の保護に関する制度を有している外国等が除外される（※１）「外国」とは、本邦の域外にある国又は地域をいうのではないか。
（法第 24 条第１項）。
24

該当箇所

番号

寄せられた主な御意見

御意見に対する考え方【修正後】（※１）「外国」とは、本邦の域外にある国又は地域をいい、我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として規則で定めるものを除く（法第 24 条第１項）。

提供（ガイドライン
（外国にある第三者への提供編）案６－２）・また、関連して、本ガイドライン（外国にある第三者への提供編）案５－２（１）についても、次のとおり修正いた
します（下線部が修正箇所）。
【修正前】（※１）「外国」とは、本邦の域外にある国又は地域をいう（法第 24 条第１項）。

54

【修正後】
（※１）「外国」とは、本邦の域外にある国又は地域をいい、我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として規則で定めるものを除く（法第 24 条第１項）。
・６－２－２（提供すべき情報（規則第 11 条の４第３項関係）） ・御意見を踏まえ、「個人データの提供を停止した」の趣旨が（７）について「『提供先が契約において特定された利用目的のそれ以降の新たな個人データの提供を停止した旨であるこ
範囲を超えて個人データの取扱いを行っていたため、速やかにとを明確化する観点から、次のとおり修正いたします（下当該取扱いを是正するように要請したものの、これが合理的期
線部が修正箇所）。なお、改正後の施行規則第 11 条の４第間内に是正されず、相当措置の継続的な実施の確保が困難であ
１項第２号の規定により求められる支障発生時の必要かつるため、個人データの提供を停止した』旨の情報提供を行うこ
適切な措置の一環として、提供先の外国にある第三者によと」とあるが、「個人データの提供を停止した」を「○年○月〇
る相当措置の継続的な実施の確保が困難となり、既に提供日以降の個人データの提供を停止した」とすべきではないか。
された個人データについて、我が国の個人情報取扱事業者
・提供してしまった個人データについては、一般に個人情報取扱により個人データが取り扱われる場合に相当する程度の本事業者において利用停止できないにもかかわらず、単に「個人人の権利利益の保護の確保が困難となる場合には、提供元
データの提供を停止した」と記載すれば、あたかも提供した個の事業者は、当該提供先に対し、当該個人データの返還又人データが提供先において削除され、あるいは利用できなくなは削除を求める必要があると考えられます。
るような措置が講じられたかのような誤った期待を本人に抱かせる可能性があるため。
【修正前】事例２）「提供先が契約において特定された利用目的の範囲を超えて個人データの取扱いを行っていたため、速やか
25

該当箇所

番号

寄せられた主な御意見

御意見に対する考え方に当該取扱いを是正するように要請したものの、これが合理的期間内に是正されず、相当措置の継続的な実施の確保が困難であるため、個人データの提供を停止した」旨の情報提供を行うこと【修正後】
事例２）「提供先が契約において特定された利用目的の範囲を超えて個人データの取扱いを行っていたため、速やかに当該取扱いを是正するように要請したものの、これが合理的期間内に是正されず、相当措置の継続的な実施の確保が困難であるため、〇年〇月〇日以降、個人データの提供を停止した上で、既に提供した個人データについて削除を求めている」旨の情報提供を行うこと（７）仮名加工情報・匿名加工情報（ガイドライン（仮名加工情報・匿名加工情報編）（案）関係）
当箇所

番号

御意見に対する考え方

・仮名加工情報がどのように効果的に利用できるかを示し、利活用を推進するため、ユースケースやホワイトリストを公開して
頂きたい。

①全般

55

②仮名加工情
報の取扱い
に係る義務
の考え方
（ガイドライン（仮名加工情報・匿名加工情報編）案２－２－１）

寄せられた主な御意見56・仮名加工情報制度の速やかな普及及び適正な活用の促進のため、仮名加工情報の活用事例の紹介等を含め、制度の趣旨・内容についての周知・広報に積極的に取り組んでまいります。
【同趣旨の御意見は他に３件】 ・なお、仮名加工情報の活用事例等については、今後、事務局レポート等においてお示しすることを検討してまいります。

・ある事業者の甲部門が作成した仮名加工情報を同じ事業者内の ・個別の事案についてはお答えしかねますが、一般論とし乙部門に渡した場合において、乙部門では加工前の個人情報デて、仮名加工情報を作成した事業者において、当該仮名加ータベース等を保有しておらず、かつ、両部門の各担当者が甲工情報の作成の元となった個人情報や当該仮名加工情報に乙双方のデータベースを取り扱うこともできず、通常の業務に係る削除情報等を保有している場合には、通常、当該仮名おける一般的な方法で甲乙双方のデータベース上の情報を照合
加工情報は、当該事業者が保有する「他の情報を容易に照することができる状態にないときには、乙部門においては当該
合でき、それにより特定の個人を識別することができる」
情報を「個人情報でない仮名加工情報」として取り扱うことが状態にあると考えられますので、「個人情報」に該当するとできることの明記を要望する。
考えられます。
【同趣旨の御意見は他に２件】
26

当箇所

番号

57

③加工方法の基準（ガイドライン（仮名加工情報・匿名加工情報編）案２－２－２－１）

58

寄せられた主な御意見

御意見に対する考え方

・仮名加工情報を作成し、その取扱いを他の事業者に委託する場
合、委託先で仮名加工情報から特定の個人を識別できず、他の情報と容易に照合して特定の個人を識別することできない場合であっても、委託元において他の情報と容易に照合して特定の個人を識別することができる場合には、委託先においても個人情報である仮名加工情報として取扱う必要があるという認識で相違ないか。その整理をガイドラインまたはＱ＆Ａに記載してほしい。

・個別の事案ごとに判断されますが、仮名加工情報の取扱いの委託を受けた事業者において、当該仮名加工情報の作成の元となった個人情報や当該仮名加工情報に係る削除情報等を保有していない等により、当該仮名加工情報が「他の情報と容易に照合でき、それにより特定の個人を識別することができる」状態にない場合には、当該仮名加工情報
は、「個人情報」（法第２条第１項）には該当しません。この場合、当該事業者は、仮名加工情報取扱事業者として、改正後の法第 35 条の３に定める規律に従って、当該仮名加【同趣旨の御意見は他に２件】
工情報を取り扱う必要があります。
・施行規則第 18 条の７第３号の定める削除対象は「財産的被害が ・改正後の施行規則第 18 条の７第３号における「財産的被害
生じるおそれがある記述」とされており、ガイドライン案にあが生じるおそれ」の有無は、個人情報に含まれる記述等がる「おそれが類型的に高」いという限定は付されていない。こ不正に利用されることにより財産的被害が生じる蓋然性をれは、類型的に財産的被害が生じるおそれが高くない又は軽微考慮して判断されるため、例えば、ある記述等について不である記述等は、同号の定める削除対象とならないことが示さ
正に利用されることにより財産的被害が生じる可能性が理れたものと解して良いか。また、財産的被害が生じるおそれが論上は否定できない場合であっても、その可能性が相当程
類型的に高い記述等の事例やその考慮要素についても、例示す
度低いものである場合には、改正後の施行規則第 18 条の７ることを検討されたい。
第３号に基づく加工は求められません。
・口座番号は、不正に利用されることにより個人の財産的被害が ・「不正に利用されることにより財産的被害が生じるおそれが生じるおそれがある記述等に該当するか明記していただきたある記述等」の例としては、クレジットカード番号や、送い。
金や決済機能のあるウェブサービスのログインＩＤとパス
・２－２－２－１－３の事例１）のクレジットカード番号についワードの組合せが考えられます。
ては、下４桁を残して削除しても「削除する」に該当するか。 ・個別の事案ごとに判断されますが、口座番号それ自体やクレジットカード番号の下４桁それ自体が不正に利用される【同趣旨の御意見は他に２件】
ことにより直ちに財産的被害が生じるおそれがあるとはいえないと考えられますので、口座番号それ自体や、クレジ
ットカード番号の下４桁それ自体については、改正後の施行規則第 18 条の７第３号における「不正に利用されることにより財産的被害が生じるおそれがある記述等」には該当しないと考えられます。
・もっとも、口座番号やクレジットカード番号の下４桁につ
いても、その部分を何らかの分析等に利用する必要性がな
いのであれば、削除又は置換することが望ましいと考えま
す。
27

当箇所

番号

④加工方法等
情報の安全管理措置（ガイドライン（仮名加工情報・匿名加工情報編）案３－２－３－１）

59

寄せられた主な御意見

御意見に対する考え方

・匿名加工情報を作成したときの「加工の方法に関する情報」に ・御意見を踏まえ、次のとおり修正いたします（下線部が修ついて、注記「※」の記載が、「この場合における氏名と仮ＩＤ
正箇所）。
の対応表は……破棄しなければならない」と改められることは、本来平成 27 年改正時からそうしておくべきだったものであ 【修正前】り、歓迎する。しかし、同じ趣旨により、「置き換えアルゴリズ（※）「その情報を用いて当該個人情報を復元することがでムに用いられる乱数等のパラメータ」についても破棄しなけれきるもの」には、例えば、氏名等を仮ＩＤに置き換えた場ばならないものとするべきである。
合における置き換えアルゴリズムに用いられる乱数等のパ・「置き換えアルゴリズムに用いられる乱数」の「アルゴリズム」
ラメータ等のような加工の方法に関する情報が該当し、「年と「乱数」は、典型的には、鍵付きハッシュ関数のハッシュア
齢のデータを 10 歳刻みのデータに置き換えた」というようルゴリズムと鍵の値のことを指しているはずであるところ、鍵な復元につながらない情報は該当しない。なお、この場合付きハッシュ関数による氏名等の仮ＩＤへの置き換えを行う場
における氏名と仮ＩＤの対応表は、匿名加工情報と容易に合、当該「アルゴリズム」と「乱数」の組は「氏名と仮ＩＤの照合することができ、それにより匿名加工情報の作成の元対応表」と機能的に等価のものである。ハッシュ関数が暗号論となった個人情報の本人を識別することができるものであ
的一方向性関数であることから、氏名等から仮ＩＤへの置き換ることから、匿名加工情報の作成後は破棄しなければならえはできても、その逆、すなわち、仮ＩＤから元の氏名を特定ない。
することはできないと考えられがちであるが、これは情報技術的に誤った理解であり、元の個人データを保有している事業者 【修正後】においては、全データについて順方向のハッシュ計算をやり直（※）「その情報を用いて当該個人情報を復元することがですことによって、それぞれの匿名加工情報が、元の個人データ
きるもの」には、「年齢のデータを 10 歳刻みのデータに置のどれと対応するものかを逆計算することはできてしまう。
き換えた」というような復元につながらない情報は該当しない。なお、氏名等を仮ＩＤに置き換えた場合における氏名と仮ＩＤの対応表は、匿名加工情報と容易に照合することができ、それにより匿名加工情報の作成の元となった個
人情報の本人を識別することができるものであることから、匿名加工情報の作成後は破棄しなければならない。また、匿名加工情報を作成した個人情報取扱事業者が、氏名等の仮ＩＤへの置き換えに用いた置き換えアルゴリズムと乱数等のパラメータの組み合わせを保有している場合には、当該置き換えアルゴリズム及び当該乱数等のパラメー
タを用いて再度同じ置き換えを行うことによって、匿名加
工情報とその作成の元となった個人情報とを容易に照合でき、それにより匿名加工情報の作成の元となった個人情報の本人を識別することができることから、匿名加工情報の作成後は、氏名等の仮ＩＤへの置き換えに用いた乱数等のパラメータを破棄しなければならない。
28

当箇所

番号

寄せられた主な御意見

御意見に対する考え方
・また、これに関連して、本ガイドライン（仮名加工情報・
匿名加工情報編）案３－２－２－１の（※）について、次のとおり修正いたします（下線部が修正箇所）。
【修正前】（※）仮ＩＤを付す場合には、元の記述を復元することのできる規則性を有しない方法でなければならない。
例えば、仮にハッシュ関数等を用いて氏名・住所・連絡先・
クレジットカード番号のように個々人に固有の記述等から
仮ＩＤを生成しようとする際、元の記述に同じ関数を単純に用いると元となる記述等を復元することができる規則性を有することとなる可能性がある場合には、元の記述（例えば、氏名＋連絡先）に乱数等の他の記述を加えた上でハッシュ関数等を用いるなどの手法を検討することが考えられる。なお、同じ乱数等の他の記述等を加えた上でハッシュ関数等を用いるなどの手法を用いる場合には、乱数等の他の記述等を通じて復元することができる規則性を有することとならないように、提供事業者ごとに組み合わせる記述等を変更し、定期的に変更するなどの措置を講ずることが望ましい。
【修正後】（※）仮ＩＤを付す場合には、元の記述を復元することのできる規則性を有しない方法でなければならない。
例えば、仮にハッシュ関数等を用いて氏名・住所・連絡先・クレジットカード番号のように個々人に固有の記述等
から仮ＩＤを生成しようとする際、元の記述に同じ関数を単純に用いると元となる記述等を復元することができる規則性を有することとなる可能性がある場合には、元の記述（例えば、氏名＋連絡先）に乱数等の他の記述を加えた上でハッシュ関数等を用いるなどの手法を検討することが考えられる。なお、乱数等の他の記述等を加えた上でハッシ
ュ関数等を用いるなどの手法を用いる場合、匿名加工情報の作成後に、仮ＩＤへの置き換えに用いたハッシュ関数等と乱数等の他の記述等の組み合わせを保有し続けることは
29

当箇所

番号

寄せられた主な御意見

御意見に対する考え方
認められないことについて、３－２－３－１（加工方法等
情報の安全管理措置）を参照のこと。

（８）認定団体制度の充実（ガイドライン（認定個人情報保護団体編）（案）関係）
該当箇所
全般

番号

寄せられた主な御意見

御意見に対する考え方

60

・認定個人情報保護団体制度に特化したガイドラインを新たに定めることについて賛同する。

30

・賛同の御意見として承ります。