資料１

個人情報保護を巡る国内外の動向（個人データに関する個人の権利の在り方関係）

平成31年３月20日

個人情報保護法上の規律の適用対象（概要）
個人情報

生存する個人に関する情報であって、(1) 氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものも含む）(2) 個人識別符号が含まれるもの

個人データ
個人情報データベース等（※）を構成する個人情報（※）電子媒体・紙媒体を問わず、特定の個人情報を検索することができるように体系的に構成したもの（例：名簿、連絡帳）①取得・利用に関するルール
・利用目的の特定・利用目的による制限
・適正な取得・取得時の利用目的の通知等②保管に関するルール
・正確性の確保・安全管理措置・従業者の監督・委託先の監督③提供に関するルール
・第三者提供の制限

保有個人データ
個人データのうち開示、訂正、削除等の権限を有するもの（６月以内に消去するものを除く。）④開示等の求めに関するルール

・保有個人データに関する事項の公表
・開示・訂正等・利用停止等・理由の説明・開示等の求めに応じる手続き
・苦情の処理（*個人情報の取扱いに関して）
1

ＯＥＣＤ８原則と個人情報取扱事業者の義務規定の対応
ＯＥＣＤ８原則

個人情報取扱事業者の義務○ 収集制限の原則
適法・公正な手段により、かつ情報主体に通知
又は同意を得て収集されるべき○ 偽りその他不正の手段により取得してはならない。（第17条）○ データ内容の原則
利用目的に沿ったもので、かつ、正確､完全､最新であるべき○ 正確かつ最新の内容に保つよう努めなければならない。（第19条）○ 目的明確化の原則
収集目的を明確にし、データ利用は収集目的に合致するべき○ 利用制限の原則
データ主体の同意がある場合、法律の規定による場合以外は目的以外に利用使用してはならない○ 利用目的をできる限り特定しなければならない。（第15条）○ 利用目的の達成に必要な範囲を超えて取り扱ってはならない。（第16条）○ 本人の同意を得ずに第三者に提供してはならない。（第23条）○ 安全保護の原則
合理的安全保護措置により、紛失・破壊・使用・修正・開示等から保護するべき○ 安全管理のために必要かつ適切な措置を講じなければならない。（第20条）○ 従業者・委託先に対し必要かつ適切な監督を行わなければならない。（第21条、第22条）○ 公開の原則
データ収集の実施方針等を公開し、データの存在、利用目的、管理者等を明示するべき○ 個人参加の原則
自己に関するデータの所在及び内容を確認させ、又は異義申立を保証するべき○ 取得したときは利用目的を通知又は公表しなければならない。（第18条）○ 利用目的等を本人の知り得る状態に置かなければならない。（第27条）○ 本人の求めに応じて保有個人データを開示しなければならない。（第28条）○ 本人の求めに応じて訂正等を行わなければならない。（第29条）○ 本人の求めに応じて利用停止等を行わなければならない。（第30条）○ 責任の原則
管理者は諸原則実施の責任を有する○ 苦情の適切かつ迅速な処理に努めなければならない。（第35条）* 各義務規定には適宜除外事由あり。

2

個人情報保護法における本人の位置付け（概要）個人情報の取扱いに係る本人の関与は、制度上の合理性と、適法に事業を営む個人情報取扱事業者の負担等を加味し、一定の要件の下で、認められている。

取得時

利用・保管時

提供時• 要配慮個人情報については、本人同意（その他の情報については、取得時に同意不要、第17条）• 特定した利用目的の達成に必要な範囲を超えて個人情報を取り扱う場合の本人同意（第16条）• 第三者提供に際しての本人同意（委託、事業承継に伴う場合には、本人同意不要、
第23条）• 通知、公表による利用目的の認知（第18条）• 利用目的の通知の請求（適法に告知していれば事業者は対応不要、要手数料、第27条、第33条）• 特定の者との共同利用については、利用者の範囲、利用目的等について本人に通知、公表（共同利用固有の本人同意は不要、
第23条）• 保有個人データの開示請求（権利利益を害するおそれがある場合、業務の適正な実施に著しい支障を及ぼす場合、法令違反となる場合は対応不要、要手数料、第28条、
第33条）• 事実でない場合の内容の訂正、追加、削除の請求（第29条）• 利用目的や取得に違法性がある場合に限定した利用停止、消去の請求（本人の意
向変更に伴う請求は不可、多額の費用を要するなど困難な場合で権利利益保護の代替措置をとる場合、事業者の対応不要、
第30条）• 第三者提供を利用目的とする場合における、第三者提供停止の請求（オプトアウト、第23条）• 外国にある第三者（委託等の場合を含む）に提供する場合の本人同意（指定国・地域への移転の場合、移転先事業者の体制が所定の基準を満たす場合には、同意不要、第24条）• 違法性がある場合に限定した第三者提供停止請求（本人の意向変更に伴う請求は不可、多額の費用を要するなど困難な場合
で権利利益保護の代替措置をとる場合、事業者の対応不要、第30条）

3

個人の権利に関する個人情報保護法相談ダイヤルへの相談状況
 個人情報保護法相談ダイヤルへの相談内容のうち、開示等（開示、利用停止等）に関わるものは、全体の約6％。
 他の問い合わせ内容に比べて、苦情の占める割合が高い（約29％）のが特徴。
１．個人情報保護法相談ダイヤルの実績値（平成30年４月１日～平成30年12月31日）
問い合わせ内容上位５項目（１質問で複数の項目に該当する場合を含む）

相談主体別

分類

受付
件数

事業者

個人

質問

10,294

6,956

苦情
（※１）

1,708

その他
合計

その他
（※２）

第三者提供

利用目的

定義

安全
管理措置

開示等

2,249

1,089

3,888

1,898

1,713

1,195

540

14

1,672

22

675

399

150

290

219

646

114

462

70

25

9

38

7

9

12,648

7,084

4,383

1,181

4,588

2,306

1,901

1,492

768

※１ 事業者等における不適正な取扱い等に関する情報提供を含む。
※２ 国の行政機関、地方公共団体、弁護士その他からの相談※３ 削除・利用停止に関する相談を含む。

（出典）平成31年3月13日 第93回個人情報保護委員会資料より作成

4個人の権利に関する個人情報保護法相談ダイヤルへの相談状況
２．個人からの相談内訳
 個人からの相談のうち、開示、利用停止等に関する相談はそれぞれ約1割を占める。
 法に対する意見等が他の項目に比べて高いのが特徴。
①第三者提供②利用目的③安全管理措置
（※３）

（※４）

④開示

⑤削除・利用停止

個人からの相談合計(4,383件)のうち、主要な相談の受付件数

1,318

649

544

478

435

個人からの相談合計(4,383件)に対する割合

30%

15%

12%

11%

10%

実数

363

441

168

235

217

割合

28%

68%

31%

49%

50%

実数

884

181

350

177

186

割合

67%

28%

64%

37%

43%

実数

64

11

14

26

29

割合

5%

2%

3%

5%

7%

7

16

12

40

3

分類

（※１）

（※６）

一般的な質問事業者の個人情報の取扱に対する不満等

要望等

その他

（※２）

（※５）

※１ 個人からの相談のうち、「質問内容」又は「対応内容」に『「第三者」かつ「提供」』、「オプトアウト」又は「23条」の文言が含まれているもの。
※２ 個人からの相談のうち、「質問内容」又は「対応内容」に「利用目的」又は「目的外利用」の文言が含まれているもの。
※３ 個人からの相談のうち、「質問内容」又は「対応内容」に「安全管理措置」、「漏えい（漏洩）」又は「20条」の文言が含まれているもの。
※４ 個人からの相談のうち、「質問内容」又は「対応内容」に「開示」の文言が含まれているもの。
※５ 個人からの相談のうち、「筆問内容」又は「対応内容」に「削除」、「消去」又は「利用停止」の文言が含まれているもの。
※６ 重複している場合があるため、合計が100%になるものではない。

（出典）平成31年3月13日 第93回個人情報保護委員会資料より作成

5個人情報保護法相談ダイヤル 主要な相談の内容 「開示」
1.一般的な質問（出典）平成31年3月13日 第93回個人情報保護委員会資料〇手続全般について（約５割）• 事業者への開示請求の可否や、開示請求の方法について知りたい。
〇相談員から開示について案内するもの（約３割）• 事業者との間でトラブルが生じたのだが、当該事業者が保有している自分の個人情報を知る方法はあるか。

2.事業者に対する不満等〇開示されなかったことについて（約４割）• 開示請求をしたところ、開示を拒否された（開示できないと言われた）。
→不開示事由に該当するもの、開示請求の形式が整っていないもの（本人・代理人以外の者からの請求等）、
法的な開示義務がないもの（保有個人データではないもの、亡くなった方の情報についての請求等）も含む。

〇事業者の対応について（約２割）• 開示請求をしたが、まだ対応されない（一向に連絡がない、問い合わせても納得できる応答がない等）。
→「対応されない」という期間は数日～１年半まで、様々である。

〇開示結果について（約２割）• 開示請求したところ、不開示・一部不開示とされた。
• 開示された内容が事実通りでない等、請求者の認識と異なっていた。
〇開示手続について（約２割）• 開示請求の手続の中で、事業者から本人確認書類の提出や請求理由の記載を求められたことが不満である。
• 開示手数料が高額である。

3.要望等• 開示請求者の利害に関わる場合、当該請求者が開示に係る個人情報の「本人」でなくても開示されるようにするべき。

6

個人情報保護法相談ダイヤル 主要な相談の内容 「削除・利用停止」
1.一般的な質問（出典）平成31年3月13日 第93回個人情報保護委員会資料〇手続全般について（約７割）• 事業者への削除・利用停止の請求の可否や、削除・利用停止の請求の方法について知りたい。
• 事業者が自分の個人情報を本当に削除したかどうか、確認をする方法はないか（削除証明書の発行等を希望）。
〇個人情報保護法の規定について（約１割）• 削除・利用停止に係る法制度（事業者の義務となる範囲、削除や利用停止の根拠規定等）について知りたい。

2.事業者に対する不満等〇削除・利用停止されなかったことについて（約７割）• 事業者が個人情報を削除してくれない。
→うち、①退会・退社・契約解除等に伴い削除を希望したもの・・・約４割②プラットフォーマーやサイト運営者に対し削除を求めたもの・・・約１割〇事業者の対応について（約１割）• 削除・利用停止を求めたが、対応の遅さに不満がある。
• 事業者が、過去に取得し現在は使用していない個人情報を削除せずに持ち続けている。また、漏えいや悪用が心配。
〇削除・利用停止手続について（約１割）• 削除・利用停止の手続の中で、事業者から必要以上の個人情報等（※）を求められたことが不満である。
※事業者が保有している量を超える個人情報、本人確認書類の提出、請求書面への記名押印等

3.要望等• 本人の求めに応じて個人情報を削除することができる仕組みにするべき。
• 個人情報の保管期限に上限を設けるべき。また、利用しなくなった個人データの削除を義務化するべき。
• 削除の手続の中で事業者が新たな個人情報を取得することに対して、規制をかけるべき。

7

個人情報保護法の開示請求権を巡る状況
 開示請求については、改正法で、本人による開示の求めが、裁判所に訴えを提起することができる
請求権であることが明確化された。
 しかし、相談ダイヤルへの相談の状況等を見ても一部事業者の対応について消費者からの不満がみられ、また、法の例外規定の拡大解釈とも受けとれる不適切な対応事例もみられた。
 このような背景もあり、委員会では、開示請求権に係る法の考え方を明確化するため、 「個人情報の保護に関する法律についてのガイドライン（通則編）」について、昨年12月25日改正した。
（ガイドラインの改正内容を踏まえ、Q&Aの関係部分も改正）（参考）個人情報の保護に関する法律についてのガイドライン（通則編）改正の概要•

開示請求の例外として認められる「個人情報取扱事業者の業務の適正な実施に著しい支障を及
ぼすおそれがある場合」について、個人情報取扱事業者の業務の実施に単なる支障ではなく、より重い支障を及ぼすおそれが存在するような例外的なときに限定され、単に開示すべき保有個人デー
タの量が多いという理由のみでは、一般には、これに該当しないことを明確化。

•

法の「個人情報取扱事業者は、本人に対し、開示等の請求等に関し、その対象となる保有個人
データを特定するに足りる事項の提示を求めることができる」との規定は、本人に対し、開示を請求する保有個人データの範囲を一部に限定する義務を課すものではなく、また、個人情報取扱事業者に対し、本人が開示を請求する範囲を限定させる権利を認めるものでもないことを明確化。
8

（参考）開示に係る個人情報保護法の規定〇個人情報の保護に関する法律（平成十五年法律第五十七号）（抄）（開示）
第二十八条 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの開示を請求することができる。
２ 個人情報取扱事業者は、前項の規定による請求を受けたときは、本人に対し、政令で定める方法により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
一 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
二 当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
三 他の法令に違反することとなる場合
３ 個人情報取扱事業者は、第一項の規定による請求に係る保有個人データの全部又は一部について開示しない旨の決定をしたとき又は当該保有個人データが存在しないときは、本人に対し、遅滞なく、その旨を通知しなければならない。
４ 他の法令の規定により、本人に対し第二項本文に規定する方法に相当する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている場
合には、当該全部又は一部の保有個人データについては、第一項及び第二項の規定は、適用しない。
（開示等の請求等に応じる手続）
第三十二条 個人情報取扱事業者は、第二十七条第二項の規定による求め又は第二十八条第一項、第二十九条第一項若しくは第三十条第一項若しくは第三項の規定による請求（以下この条及び第五十三条第一項において「開示等の請求等」という。）に関し、政令で定めるところにより、その求め又は請求を受け付ける方法を定めることができる。この場合において、本人は、当該方法に従って、開示等の請求等を行わなければならない。
２ 個人情報取扱事業者は、本人に対し、開示等の請求等に関し、その対象となる保有個人データを特定するに足りる事項の提示を求めることができる。この場合において、個人情報取扱事業者は、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。
３ 開示等の請求等は、政令で定めるところにより、代理人によってすることができる。
４ 個人情報取扱事業者は、前三項の規定に基づき開示等の請求等に応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。
（手数料）第三十三条 個人情報取扱事業者は、第二十七条第二項の規定による利用目的の通知を求められたとき又は第二十八条第一項の規定による開示の請求を受けたときは、当該措置の実施に関し、手数料を徴収することができる。
２ 個人情報取扱事業者は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。
（事前の請求）第三十四条 本人は、第二十八条第一項、第二十九条第一項又は第三十条第一項若しくは第三項の規定による請求に係る訴えを提起しようとするときは、 その訴えの被告となるべき者に対し、あらかじめ、当該請求を行い、かつ、その到達した日から二週間を経過した後でなければ、その訴えを提起することができ ない。ただし、当該訴えの被告となるべき者がその請求を拒んだときは、この限りでない。
２ 前項の請求は、その請求が通常到達すべきであった時に、到達したものとみなす。
３ 前二項の規定は、第二十八条第一項、第二十九条第一項又は第三十条第一項若しくは第三項の規定による請求に係る仮処分命令の申立てについ て準用する。

9

開示に関するGDPRと個人情報保護法との比較
EUのGDPR、日本の個人情報保護法ともに、個人データを取り扱う事業者は、本人の求めに応じて、保有する個人データを提供する義務が課せられている。
EUのGDPRでは、それに加えて、特定の条件を満たす場合には、本人が他の用途で利用しやすい
電子的形式で、本人又は本人が望む他の事業者（※）に、個人データを提供する義務が課されており「データポータビリティの権利」と称される。
※本人が望む他の事業者に直接個人データを提供させることができるのは、技術的に実行可能な場合に限定される。

〈規定の比較〉
GDPRの規定
データポータビリティの権利（第20条）

データ主体によるアクセスの権利（第15条）

開示（第28条）•

データ主体が管理者に提供した個人データであって、管理者が保有する以下の条件を満たすもの①本人の同意又は契約に基づき取得されたもの②自動処理されているもの•

管理者が取り扱う全ての個人デー
タ•

個人情報取扱事業者が保有する全ての保有個人データ•

構造化され、一般的に利用され機
械可読性のある形式で提供
技術的に実行可能な場合には、データ主体の求めに応じ、他の管理者に直接提供•

本人の求める範囲の個人データのコピーを提供
本人が電子的手段で請求した場
合には、原則として、電子媒体で提供•

本人が求める範囲で保有個人デー
タのコピーを提供。
書面の交付による方法を原則とし、本人が同意した場合には、電子媒体、電話等様々な方法が可能

対象範囲

提供形式

個人情報保護法の規定

•

•

•

10

開示請求に係る国際制度比較① （暫定版）
日本

米国(※)

EU

カリフォルニア州法

中国

制度の根拠

あり（個人情報保護法第28条）

あり（カリフォルニア州消費者プライバシー法）

開示請求の主体・開示請求の対象となる主体• 開示請求の主体：本人（第28条第1項）• 開示請求の対象となる主体：当該本人が識別される保有個人データを保有する個人情報取扱事業者（第28条第2項）• 開示請求の主体：消費者（州住民の自然人）• 開示請求の対象となる主体：個
人情報を収集している事業者• 開示請求の主体：データ主体• 開示請求の対象となる主体：管理者（自然人又は法人、公的機関、部局又はその他の組織であって、単独で又は他の者と共同で、個人デー
タの取扱いの目的及び方法を決定する者）―• 本人は開示を請求することが「できる」（第28条第1項）• 個人情報取扱事業者は、開示しな
ければ「ならない」（第28条第2項）• 消費者は、開示を請求する権利を有する（1798.100.(a)）• 事業者は、消費者の検証可能な請求を受けてから消費者に情報提供しなければならない。
（1798.100.(c)）• データ主体は、管理者から、自己に関係する個人データが取り扱われているか否かの管理を得る権利、並びに個
人データ等の情報にアクセスする権利を有する。（第15条）• 管理者は、自己の権利を行使するためのデータ主体からの要求に基づく行
為を拒むことができない。（第12条第2項）―

対象となるデータの範囲• 本人が識別される保有個人データ（法第28条第1項）• 消費者の個人情報（1798.100.(a)）• 個人データ（データ主体に関する情報）及び取扱いの目的等（第15条第１項）―

開示請求に対応すべき期限• 開示の請求を受けてから「遅滞なく」（法第28条第2項）• 検証可能な請求を受けてから45
日以内（1798.130.(a) (2)）

• いかなる場合においてもその要求を受けた時から１か月以内（2か月延長可）（第12条第3項）―

開示の際のフォーマット等の指定無し• 電磁的方法により提供される場合
は、技術的に可能な範囲で、持ち運び可能かつ容易に利用できる形
式でなければならない。
（1798.100. (d)）• 管理者は、データ主体に対し、簡潔で、透明性があり、理解しやすく、容易にアクセスできる方式により、明確かつ平易な文言を用いて、適切な措置を講じる。（第12条第１項）―

開示請求等の性質※ 米国では、包括的な個人情報保護法は連邦レベルでは存在せず、分野ごとに個別法で措置されている。

あり（GDPR）

法律上規定なし

11

開示請求に係る国際制度比較② （暫定版）
米国

日本
開示する際の手続•

開示する際の手数料等•

カリフォルニア州法

EU

中国

―

開示請求の申出先、開示請求に際して提出すべき書面の様式その他の開示請求の方式、本人又は代理人であることの確認方法、手数料の徴収方法、請求のできる代理人（法第32条第1項、法施行令第10条）• 消費者が開示請求をする方法を最低２通り用意しなければならない。（1798.130. (a)(1)）• 管理者は、データ主体に対し、簡潔で、透明性があり、理解しやす
く、容易にアクセスできる方式により、明確かつ平易な文言を用いて、適切な措置を講じる。（第12条第１項）

個人情報取扱事業者は、手数料を徴収する際には実費を勘案して合理的と認められる範囲内で額を定める必要がある。（法第33条第２項）• 消費者の個人情報へのアクセスについて検証可
能な消費者の要求を受け取る企業は、本条により求められる個人情報を、その消費者に対して無料で、速やかに開示しまた送付する措置をとる。
（1798.100.(d)）• 消費者からの要求が明白に根拠を持たずあるいは
特に繰り返しの性格であるために行き過ぎたものである場合、企業は、情報提供ないし通信の管理
費用あるいは要求された行動を考慮して妥当な手数料を課すことができる。（1798.145. (g)(3)）• 第13条及び第14条に基づいて提供される情報並びに第15条から第22条及び第34条に基づく連絡及びこれらに基づいて行われる行為は、無償で提供される。（第12条第５項）• データ主体からの要求が、特に反復して行われることからして、明らかに根拠のない場合又は過剰な性質のものである場合、管理者は、要求された行為を行うことの業務運営費用を考慮に入れ、合理的な手数料を課金することができる。（第12条第５項(a)）• データ主体から求められた追加的な複製物の提供に関し、管理者は業務運営費用に基づいて合理的な手数料を課金できる。（第15条第３項）

請求を受けた
事業者が対応しないことが認められる場合

下記の場合には、全部または一部を開示しないことができる。（法第28条第2項但し書）• 本人又は第三者の権利利益を害するおそれがある場
合• 事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合• 他の法令に違反することとなる場合• 開示請求に明らかに根拠がない、または過度なものである場合には、開示請求に費用を課したり、開示請求を拒絶する理由を消費者に通知した上で、開示請求を拒絶できる。（1798.145.(g)(3)）• 個人データがデータ主体から取得されたものではない場合において、過大な負担を要することが明らかな場合等（第14条第5項）

対応の懈怠
の罰則等

• 報告、指導等（法第40条、第41条）：法の施行に必要な範囲で報告、指導等を実施• 勧告、命令（法第42条）：法違反行為の中止等の勧告、命令等• 罰則：命令に違反した者は６月以下の懲役又は30万円以下の罰金（法第84条）• １件の故意の違反（開示請求関係に限らず）に対し、最大7,500米ドルの民事制裁金（1798.155. (b)）• 2,000万ユーロ以下の制裁金又は事業の場合直前の会計年度における世界全体における売り上げ総額の4%以下の金額もしくはいずれか高額の方の制裁金（第83条第５項(b)）• 当事者間：個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。（法第35条）• 監督機関の権能：個人情報保護委員会の所掌事務として、個人情報及び匿名加工情報の取扱いに関する苦情の申出についての必要なあっせん及びその処理を行う事業者への協力に関すること（法第61条）
が定められている。

無し• 当事者間：データ主体は、本規則を遵守せずに自己の個人データの取扱いがなされた結果として、自己の権利が侵害されたと判断す
るときは、効果的な司法救済の権利を有する。（第79条第１項）• 監督機関の権能：データ主体は、自己と関係する個人データの取扱いが本規則に違反すると判断するときは、監督機関に異議を申立てる権利を有する。（第77条第１項）

紛争解決手
続

―

―

―

―

12

訂正等・利用停止等に係る規定
個人情報保護法上、利用停止等についての個人の権利行使には一定の制約が課されている。
訂正等

個人情報保護法の規定の概要（参考）プライバシーマークの規定の概要

利用停止等

個人情報保護事業者は、
プライバシーマーク付与事業者は、
 本人の保有個人データの内容が事実でないとの  本人の保有個人データの内容が事実でないとの請求を受けた場合は、利用目的の達成に必要請求を受けた場合は、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、内容の訂正、追加または削その結果に基づき、内容の訂正、追加または削除に応じる義務がある。
除に応じる義務がある。
個人情報取扱事業者は、
プライバシーマーク付与事業者は、
 本人の保有個人データを目的外利用したとき  本人の保有個人データの利用停止、消去又はや、不正な取得をしたときは、利用停止又は消第三者提供の停止の請求を受けた場合は、原去の請求を受けた場合は、違反を是正するため
則として応じる義務がある。
 個人データを利用する必要がなくなったときは、に必要な限度で応じる義務がある。
 本人の保有個人データを法の規定に違反して遅滞なく消去する努力義務がある。
第三者提供されているときは、第三者提供の停止の請求を受けた場合は、応じる義務がある。
 個人データを利用する必要がなくなったときは、遅滞なく消去する努力義務がある。
（プライバシーマークの規定については、日本規格協会「 JIS Q 15001:2017（個人情報保護マネジメントシステム ― 要求事項）」より作成） 13

（参考）訂正等・利用停止等に係る個人情報保護法の規定〇個人情報の保護に関する法律（平成十五年法律第五十七号）（訂正等）
第二十九条 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの内容が事実でないときは、当該保有個人データの内容の訂正、追加又は削除（以下この条において「訂正等」という。）を請求することができる。
２ 個人情報取扱事業者は、前項の規定による請求を受けた場合には、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。
３ 個人情報取扱事業者は、第一項の規定による請求に係る保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を通知しなければならない。
（利用停止等）第三十条 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第十六条の規定に違反して取り扱われているとき又は第十七条の規定に違反して取得されたものであるときは、当該保有個人データの利用の停止又は消去（以下この条において「利用停止等」という。）を請求することができる。
２ 個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
３ 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第二十三条第一項又は第二十四条の規定に違反して第三者に提供されているときは、当該保有個人データの第三者への提供の停止を請求することができる。
４ 個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
５ 個人情報取扱事業者は、第一項の規定による請求に係る保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は第三項の規定による請求に係る保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をした
ときは、本人に対し、遅滞なく、その旨を通知しなければならない。
（事前の請求）第三十四条 本人は、第二十八条第一項、第二十九条第一項又は第三十条第一項若しくは第三項の規定による請求に係る訴えを提起しようとするときは、 その訴えの被告となるべき者に対し、あらかじめ、当該請求を行い、かつ、その到達した日から二週間を経過した後でなければ、その訴えを提起することができ ない。ただし、当該訴えの被告となるべき者がその請求を拒んだときは、この限りでない。
２ 前項の請求は、その請求が通常到達すべきであった時に、到達したものとみなす。
３ 前二項の規定は、第二十八条第一項、第二十九条第一項又は第三十条第一項若しくは第三項の規定による請求に係る仮処分命令の申立てについ て準用する。 14

（参考）いわゆる「忘れられる権利」に関するGDPRの規定の概要
GDPRにおいては、本人は、一定の場合に、事業者に対して、自分に関する個人データを不当に遅滞なく消去させる権利が認められている。
【事業者が消去の義務を負う場合の例】
 個人データの収集や取扱いの目的に関して、当該個人データが必要なくなった場合
 本人が個人データの取扱いについての同意を撤回し、かつ、同取扱いに関して他の法的根拠がない場合
 本人が、第21条第1項に基づいて個人データの取扱いに対して異議を申し立て、かつ、取扱いに関して優先する他の法的根拠がない場合、又は、ダイレクトマーケティングを目的とした取扱いに対して異議を申し立てる
場合
 個人データが不法に取り扱われた場合
 個人データがEU法又はEU加盟国の国内法の義務の遵守のために消去されなければならない場合【適用されない場合の例】
 表現の自由及び情報の自由の権利の行使に取扱いが必要な場合
 事業者が従うEU法又はEU加盟国の国内法の義務の遵守のために取扱いが必要な場合又は、公共の利益等のために取扱いが必要な場合
 公共の利益の目的、科学的若しくは歴史的研究目的又は統計目的の達成のために取扱いが必要な場合
15

（参考）いわゆる「プロファイリング」に関するGDPRの規定の概要【異議を申し立てる権利】（GDPR第21条）
 「正当な利益の追求」を法的根拠とする、プロファイリングそのものを含む個人データの取扱いに対して、異議を申し立てる権利（第1項）※もうひとつ、「公の利益のための任務の遂行、公権力の行使に必要な場合」も異議を申し立てる権利の対象だが、こちらは公的機関に妥当する法的根拠であり、事業者による個人データの取扱いには無関係

 この権利を行使された事業者は、本人の利益を超越する、個人データの取扱いに係る正当化根拠等を示せな
い限り、プロファイリングそのものを含む個人データの取扱いを止めなければならない ダイレクトマーケティングを目的とする個人データの取扱いに関しては、事業者の事情（取扱いに係る正当化根
拠の有無）にかかわらず、この権利の行使に対して、個人データの取扱いを止めなければならない（第2項）※「正当な利益の追求」によらず、「本人同意」を法的根拠としたとしても、同意を撤回されれば削除権の対象となり（第17条1項(b)号）、結局個人データを取り扱えなくなることに変わりなし【自動的な意思決定に服さない権利】（GDPR第22条）
 「プロファイリングを含むもっぱら（solely）自動的な個人データの取扱いに基づく決定に服さない権利」
 プロファイリングそのものではなく、「意思決定に服さない権利」
 「本人との契約の締結又は履行に必要な場合」等は対象外※ただし、「人の目による確認を経る権利」、「本人の見解を表明する権利」や「意思決定に反対する権利」等の本人の権利保護措置を講じることが必要 少しでも人が介在すればこの権利の対象外となる※ただし、「人の介在」が「意思決定プロセス」に対してなされている場合の話であり、ガイドラインには、コンピュータが弾き出した結論をそのまま人が受け取って利用するといった形での介在によってこの権利の対象から外れることはない、という趣旨の注意喚起あり

16

訂正・利用停止・削除の請求に係る国際制度比較①（暫定版）
日本

米国（※）

EU

カリフォルニア州法

中国

制度の根拠

あり（個人情報保護法：訂正等（第29条）、利用停止等（第30条））

あり（カリフォルニア州消費者プライバシー法）

あり（GDPR）

あり（サイバーセキュリティ法）

訂正・利用停止・削除の請求等の性質〈訂正等〉• 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人
データの内容が事実でないとき、当該保有個人データの内容の訂正、追加
又は削除を請求することができる。
（第29条第1項）• 個人情報取扱事業者は、請求を受けた場合には遅滞なく必要な調査を行い、その結果に基づき、データの内容の訂正等を行わなければならない。
（第29条第2項）• 消費者は、個人情報の削除を請求する権利を有する。
（1798.105.(a)）• 事業者は、消費者から検証可能な請求を受けたら、個人情報を削除するとともに、いかなるサービスプロバイ
ダーに対しても削除するよう指示しな
ければ「ならない」（1798.105.(c)）

義務（訂正（第16条）、消去（第17条）、取扱いの制限（第18条））• 本人の権利（第43条）〈削除〉ネットワーク運営者が法律、行政法規の規定又は双方間の取決めに違反して、その個人情報を収集、使用していることを発見した場合、ネットワーク運営者にその個
人情報の削除を要求する権利を有する。
〈訂正〉ネットワーク運営者が収集、保存したその個人情報に誤りがあることを発見した場合
は、ネットワーク運営者に訂正を要求する
権利を有する。

〈利用停止等〉• 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人
データが目的外利用されているとき、又は不正の手段で取得されたものであるときは、利用の停止又は消去を請求することができる。（第30条第1項・第3項）• 個人情報取扱事業者は、違反を是正するために必要な限度で利用停止等を行わなければならない。（第30条第2項・第4項）※ 米国では、包括的な個人情報保護法は連邦レベルでは存在せず、分野ごとに個別法で措置されている。

• ネットワーク運営者の義務（第43条）
ネットワーク運営者は、削除又は訂正の措置を講じなければならない。

17

訂正・利用停止・削除の請求に係る国際制度比較②（暫定版）
日本

米国
カリフォルニア州法

EU

中国

対象となるデー
タの範囲• 共通：本人が識別される保有個人データ（第29条第1項、 • 消費者の個人情報第30条第1項・第3項）（1798.105.(a)）• 個人データ（＝「識別された自然人又は識別可能な自然人（「データ主体」）に関する情報」（第4条））• 個人情報 （第76条：電子又はその他の方式で記録した単
独又はその他の情報と組み合わせて自然人（個人）の身分を識別することができる、自然人の氏名、生年月日、身分証番
号、個人の生体認証情報、住所、電話番号等を含むがこれらに限らない各種情報）

訂正・利用停止・削除の請求に対応すべき期限• 共通：請求を受けた時から「遅滞なく」（第29条第2項、第30条第2項・第4項）• いかなる場合においてもその要求を受けたときから１か月以内（２か月延長可）（第12条第３項）

法律上の規定なし

本人等による
訂正・利用停止・削除請求に付されている条
件等〈訂正等〉• 本人は、本人が識別される保有個人データの内容が事実でないとき、訂正等を請求できる。（第29条第1項）〈利用停止等〉• 本人は、個人情報取扱事業者に対し、当該本人が識別さ法律上の規定なし
れる保有個人データが目的外利用されているとき、又は不正の手段で取得されたものであるときは、利用の停止又は消去、規定に違反して第三者提供されている場合には提供停止を請求できる。（第30条第１項、第３項）

法律上の規定なし

法律上の規定なし

事業者等が訂正・利用停止・削除請求に対応することが求められる場合等の要件〈訂正等〉• 個人情報取扱事業者は、請求を受けた場合には遅滞なく必要な調査を行い、その結果に基づき、データの内容の訂正等を行わなければならない。（第29条第2項）〈利用停止等〉• 第30条第1項に該当するときには、違反を是正するために必要な限度で利用停止等を行う。（第30条第2項）• 第30条第3項に該当するときは、請求に理由があるときは遅滞なく提供を停止する必要があるが、多額の費用を要する
場合等には、本人の権利利益の保護のため必要な措置をとるときは、この限りではない。（第30条第４項）• 検証可能な請求を受けてから45日以内（1798.130.(a)(2)）• 個人情報を保持する必要があ
るとして列挙された目的に該当する場合には、事業者は請求に従う義務を負わない。
（1798.105.(d)）• 表現及び情報伝達の自由の権
利の行使のため、法的義務の遵守のため・公的権限による職務の遂行のため、公衆衛生の分野における公共の利益上の理由のために必要がある場合、第17条第1項・第2項の規定（消去の権利の規定）は適用されない。（第17条第3項）

法律上の規定なし

18訂正・利用停止・削除の請求に係る国際制度比較③（暫定版）
日本

米国
カリフォルニア州法

EU

中国

対応の懈怠に係る罰則等• 報告、指導等（第40条、41条）：
法の施行に必要な範囲で報告徴収、指導を実施• 勧告、命令（第42条）：法違反の行為の中止等の勧告、勧告に従わなかった場合の命令• 第42条の命令に違反した者には、６月以下の懲役又は30万円以下の罰金（第84条）• １件の故意の違反（削除請求関係に限らず）に対し、最大7,500米ドルの民事制裁金（1798.155. (b)）• 2,000万ユーロ以下の制裁金又は事業の場合直前の会計年度における世界全体における売り上げ総額の4%以下の金額もしくはいずれか高額の方の制裁金（第83条第５項(b)）• 違法所得の10倍以下の過料、違法所得がない場合100万元以下の過料。情状が重大な場合、業務の一時停止、業務許可の取消し等（第64条）

訂正・利用停止・削除等の請
求の手続

訂正等の請求の申出先、訂正等の請求に際して提出すべき書面の様式その他の開示請求の方式、本人又は代理人であることの確認方法、手数料の徴収
方法、請求のできる代理人（第32条、施行令第10条・第11条）• 消費者が開示請求をする方法を最低２通り用意しなければならない。
（1798.130. (a)(1)）• データ主体が、そのデータ主体の個人
データへのリンク又はそのコピー等が管理者によって消去されることを要求した旨の通知をするための合理的な手立てを講ずる。（第17条 消去の権利）

法律上の規定なし

紛争解決手続• 個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅
速な処理に努めなければならない。
（第35条）• 個人情報保護委員会の所掌事務：
個人情報等の取扱いに関する苦情の申出についてのあっせん及びその処理を行う事業者への協力（第61条）

法律上の規定なし＜当事者間＞• データ主体は、本規則を遵守せずに自己の個人データの取扱いがなされた結果として、自己の権利が侵害されたと判断するときは、効果的な司法救済の権利を有する。（第79条第１項）

法律上の規定なし＜監督機関＞• データ主体は、自己と関係する個人デー
タの取扱いが本規則に違反すると判断す
るときは、監督機関に異議を申立てる権利を有する。（第77条第１項）、司法救済の可能性を含めた情報提供、訴訟手続の提起（第77条第１項）

19

オプトアウト規定（名簿屋対策）の現状〇 オプトアウト規定について（法第23条第2項）

2017/3/3
2017/3/31
2017/4/28
2017/5/26
2017/6/23
2017/7/21
2017/8/18
2017/9/15
2017/10/13
2017/11/10
2017/12/8
2018/1/5
2018/2/2
2018/3/2
2018/3/30
2018/4/27
2018/5/25
2018/6/22
2018/7/20
2018/8/17
2018/9/14
2018/10/12
2018/11/9
2018/12/7
2019/1/4
2019/2/1
2019/3/1

 第三者に提供される個人データ（要配慮個人情報を除く）について、本人の求めに応じて提供を停止することとしている場合であって、以下の事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、本人の同意を得ることなく第三者に提供すること
ができる。
200
・個人データを第三者に提供する旨
オプトアウト届出の受領件数・提供する個人データの項目
150
・提供方法
100
・本人の求めに応じて提供を停止する旨
平成29年５月30日
50
改正個人情報保護法施行
・本人の求めを受け付ける方法
0 ３月11日時点での届出書公表済件数は182件。

⇒ 実態等を精査し、対策については別途委員会に報告予定。
20