2.7生産第2.8.0.7号平成2,8年3月1,1日一般社団法人，日本農業機械化協会会長。殿農林水産省生産局農林水産関係事業者が保有する個人情報の適正な管理の徹底についての関係団体等への周知について昨年６月に、日本年金機構において、不正アクセスにより約125万件の個人情報が漏えいする事案が発生し、今般、農林水産関係事業者においても不正アクセスにより大量の個人情報が漏えいする事案が発生しました。農林水産省では、農林水産関係事業者が講じる措置が適切かつ有効に実施されるための具体的な指針として、「農林水産分野における個人情報保護に関するガイドライン」 (平成27年７月１日農林水産省告示第1675号。以下「ガイドライン」という。別添）を策定し、貴団体を通じ会員各社等に周知をお願いしてきました。ガイドラインにおいては、個人情報の適正な取得や情報システムからの漏えい等を防止するための技術的安全管理措置等、個人情報の保護に関する法律（平成15年法律第57号)の遵守を徹底するための具体的な措置について記述してあります。特に、今般の事案に係る対策は以下のとおり記述してありますので、貴団体におかれましては、会員各社等に対し、委託先及び再委託先の監督を含めた社内の安全管理措置等に万全を期することについて、改めて周知徹底を図っていただくようお願いします。第6。個人データの管理に関する義務3・安全管理措置（法第20条関係） (7) 情報システムからの漏えい等を防止するための技術的安全管理措置(例)個人データへのアクセスにおける識別と認証.個人データへのアクセス制御.個人データへのアクセス権限の管理.個人データへのアクセスや操作の記録及び不正が疑われる異常な記録の存否の定期的な確認情報システムへの外部からのアクセス状況の監視及び当該監視システムの動作の定期的な確認・・ソフトウェアに関する脆(ぜい)弱性対策（セキュリティパッチの適用、当該情報システム固有の脆弱性の発見及びその修正等) e , ing ing tif in the context of the context.   s e for the state of of the context of the c s and services. 、なるthe property of t er ショ, with 19のから、そのようand the status of the . ife it's s s e
個人情報の保護に関する法律（平成15年法律第57号）第８条の規定に基づき、農林水産分野における個人情報保護に関するガイドライン（平成21年７月10日農林水産省告示第924号）の全部を次のように改正する。平成27年7月1日農林水産大臣林芳正目次第1）趣旨（法第１条関係）用語の定義（法第２条関係）第2 .このガイドラインの適用対象者の範囲第３・個人情報の利用目的に関する義務第4,9 1. 2 3 4 15第５個人情報の取得に関する義務1.0 23適正な取得（法第17条関係）取得の制限取得時の利用目的の通知又は公表（法第18条第１項関係） 3書面等による直接取得時の利用目的の明示（法第18条第２項関係） 4 .利用目的の通知等をしなくてよい場合（法第18条第４項関係） 5第６個人データの管理に関する義務1 データ内容の正確性の確保（法第19条関係） 2保存期間w安全管理措置（法第20条関係）従業者の監督（法第21条関係） 4委託先の監督（法第22条関係） 5個人情報保護管理者の設置6.農林水産関係事業者が行う措置の対外的明確化7 : 21第7個人データの第三者提供に関する義務1　第三者提供の制限に関する原則（法第23条第１項関係） 2 第三者提供の制限に関する例外（法第23条第１項関係）いわゆる「オプトアウト」（本人の求めによる提供停止）（法第23条第2項・ m第３項関係) 45 「第三者」に該当しないもの（法第23条第４項・第５項関係） = 1 +=利用目的の特定（法第15条第１項関係）利用目的の変更（法第15条第２項・法第18条第３項関係）利用目的による制限（法第16条第１項関係）利用目的による制限（事業承継の場合）（法第16条第２項関係）利用目的による制限の例外（法第16条第３項関係）保有個人データの開示等に関する義務第８保有個人データに関する事項の公表等（法第24条関係） 1. 2保有個人データの開示（法第25条関係）保有個人データの訂正等（法第26条関係）シラ保有個人データの利用停止等（法第27条関係） 4 5理由の説明（法第28条関係） 6開示等の求めに応じる手続（法第29条関係）手数料（法第30条関係） 7苦情処理に関する義務（法第31条関係）第9法違反又は法違反のおそれが発覚した場合の対応第1051第11 -勧告、命令等についての考え方第12　ガイドラインの見直しについて
第１
このガイドラインは、個人情報の保護に関する法律（平成15年法律第57号。以下「法」という。）第８条に基づき、また、法第７条第１項に基づく「個人情報の保護に関する基本方針」（平成16年４月閣議決定。平成20年４月及び平成21年9月一部変更。以下「基本方針」という。）を踏まえ、農林水産省が所管する分野及び法第36条第１項ただし書により農林水産大臣が主務大臣に指定された特定の分野（以下「農林水産分野」という。）における事業者等（以下「農林水産関保事業者」という。）が個人情報の適正な取扱いの確保に関して行う活動を支援するため、当該分野の実情や特性等を踏まえ、農林水産関係事業者が講じる措置が適切かつ有効に実施されるよう具体的な指針として定めるものである。法は、個人情報の取扱いに当たっては、個人情報の有用性に配慮しつつ、消費者等、個人の権利利益を保護することを目的としており（法第１条）、当該目的は、このガイドラインにおいても、同様である。このガイドラインにおいて「～ならない」（「努めなければならない」を除く。）と記載している規定については、法の義務規定の対象である個人情報取扱事業者の法的義務であるため、個人情報取扱事業者である農林水産関係事業者が従わない場合には、農林水産大臣（個人情報取扱事業者が行う事業であって農林水産大臣が所管するものについでの報告の徹収、検査、勧告その他の監督に係る権限に属する事務の全部又は一部が他の法令の規定により地方公共団体の長その他の執行機関（以下「地方公共団体の長等」という。）が行うこととされているときは、当該地方公共団体の長等。第10及び第11において同じ。）により、法違反と判断される可能性がある。一方、個人情報取扱事業者でない農林水産関係事業者がこれに従わない場合には、法違反と判断されることはない。また、このガイドラインにおいて「望ましい」と記載している規定については、農林水産関係事業者がそれに従わない場合、個人情報取扱事業者であるか否かを問わず、法違反と判断されることはない。なお、法違反と判断されることはない場合にも、法の基本理念（法第３条）も1 2 -踏まえ、できるだけ取り組むことが望まれるものである（「第３このガイドラインの適用対象者の範囲」の規定も参照)。なお、このガイドラインにおいて記載した具体例については、これに限定する趣旨で記載したものではない。また、記載した具体例においても、個別ケースによって別途考慮すべき要素があり得るので注意を要する。
第2　用語の定義（法第２条関係）
このガイドラインにおいて使用する用語は、法第２条において使用する用語の例によるほか、次の定義に従うものとする。
(1)中個人情報
「個人情報」とは、生存する個人に関する情報であって、特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができるものを含む。）をいう。 「個人に関する情報」とは、氏名、性別、生年月日、住所、年齢、職業、総柄等の事実に関する情報に限られず、個人の身体、財産、職種、肩書等の属性に関する判断や評価を表すすべての情報を指し、公刊物等によって公にされている情報や、映像、音声による情報も含まれる。これら「個人に関する情報」が、氏名等と相まって「特定の個人を識別することができる」ことになれば、それが「個人情報」となる。なお、生存しない個人に関する情報が、同時に、遺族等の生存する個人に関する情報に当たる場合には、当該生存する個人に関する情報となる。また、企業名等、法人その他の団体に関する情報は、基本的に「個人情報」には該当しないが、役員の氏名などの個人に関する情報が含まれる場合には、その部分については、「個人情報」に該当する。さらに、「個人」には外国人も当然に含まれる。 (2)  個人情報データベース等「個人情報データベース等」とは、特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した、個人情報を含む情報の集合物、又はコンピュータを用いていない場合であっても、紙面で処理した個人情報を一定の規則（例えば、五十音順等）に従って整理・分類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものをいう。 (3)個人データ「個人データ」とは、「個人情報データベース等」を構成する個人情報をいう。 (例) ・個人情報データベース等から記録媒体ヘダウンロードされた個人情報個人情報データベース等から紙面に出力された帳票等に印字された個人情联(4) 個人情報取扱事業者 「 「個人情報取扱事業者」とは、次に掲げる者を除いた、個人情報データベース等を事業の用に供している者をいう。ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ、社会通念上事業と認められるものをいい、営利事業のみを対象とするものではない。なお、法人格を有しない団体（任意団体）や一般個人であっても、個人情報取扱事業者に該当し得る。ア 国の機関イ　地方公共団体ウ独立行政法人等（独立行政法人等の保有する個人情報の保護に関する法律(平成15年法律第59号)第2条第1項に規定する独立行政法人等をいう。)ニ地方独立行政法人（地方独立行政法人法（平成15年法律第118号）第2条第1項に規定する地方独立行政法人をいう。)オ　その取り扱う個人情報の量及び利用方法からみて個人の権利利益を害するおそれが少ない者（その事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数の合計が過去６箇月以内のいずれの日においても5,000を超えない者とする（個人情報の保護に関する法律施行令（平成15年政令第507号。以下「施行令」という。）第２条)。 5,000を超えるか否かは、農林水産関係事業者が管理するすべての個人情報データベース等を構成する個人情報によって識別される特定の個人の数の総和により判断する。ただし、同一個人の重複分は除くものとする。）また、「個人情報データベース等」が次の要件のすべてに該当する場合には、それを構成する個人情報によって識別される特定の個人の数は、5,000の数に数えない。 (7)個人情報データベース等の全部又は一部が他人の作成によるものであるs  (行)、氏名、住所・居所、電話番号のみが掲載された個人情報データベース等(例えば、電話帳やカーナビゲーション)であること、又は、不特定かつ多数の者に販売することを目的として発行され、かつ、不特定かつ多数の者により随時に購入することができる又はできた個人情報データベース等(例えば、自治体職員録や弁護士会名簿)であること。 (別)、農林水産関係事業者自らが、その個人情報データベース等を事業の用に供するに当たり、新たに個人情報を加えることで特定の個人の数を増やしたり、他の個人情報を付加したりして、個人情報データベース等そのものを編集・加工していないこと。 (5) ↑本人, 「本人」とは、個人情報によって識別される特定の個人をいう。 (6)、保有個人データル「保有個人データ」とは、個人情報取扱事業者が、本人又はその代理人から求められる開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止のすべてに応じることができる権限を有する個人データをいう。ただし、その存否が明らかになることにより公益その他の利益が害されるものとして次に掲げるもののほか、６箇月以内に消去（更新することは除く。）することとなるものを除く。ア・本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの違法又は不当な行為を助長し、又は誘発するおそれがあるものAll B (行) : 1不審者情報やクレーマー情報、総会屋情報、暴力団等の反社会的勢力情報カ2国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの王。犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの(例). ・・警察などから受けた捜査関係事項照会の対象情報犯罪収益との関係が疑われる取引（疑わしい取引）の届出の対象情報(7)。公表第４＝２＝(2)、第５＝３及び５の規定にいう「公表」とは、広く一般に内容を発表することをいう。ただし、公表に当たっては、事業の性質及び個人情報の取扱状況に応じ、合理的かつ適切な方法による必要がある。 (例) :日自社ホームページのトップページから1回程度の操作で到達できる場所への掲載事業所の窓口等への書面の掲示・備付けパンフレット等への記載・配布(8) 本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。)第８－１－(1)及び７の規定にいう「本人の知り得る状態（本人の求めに応じて選滞なく回答する場合を含む。)」とは、ウェブ画面への掲載、バシフレットの配布、本人の求めに応じて運滞なく回答を行うこと等、本人が知ろうとすれば、知ることができる状態をいい、常にその時点での正確な内容を本人の知り得る状態に置く必要がある。必ずしもウニブ画面への掲載、又は事業所等の窓口等へ掲示すること等が継続的に行われることまでを必要とするものではないが、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法による必要がある。
(9)本人が容易に知り得る状態
第７一３及び４の規定にいう「本人が容易に知り得る状態」とは、事業所の窓口等への書面の掲示・備付けやホームページへの掲載その他の継続的方法により、本人が知ろうと思えば、時間的にも、その手段においても、簡単に知ることができる状態をいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法による必要がある。1回限りの「公表」では取組の程度が足りない。 (10) 本人に通知「本人に通知」とは、本人に直接内容を知らしめることをいい、本人に内容が認識されるように事業の性質及び個人情報の取扱状況に応じ、合理的かつ適切な方法による必要がある。 (例)口頭（面談、電話等） .書面（手交、郵送、電子メール、ファクシミリ等）使者(1) .個人データ又は保有個人データの提供保有個人データの定義規定、第７－１から４までの規定にいう個人データの第三者への「提供」並びに第８一４一(2)及び(3)の規定にいう保有個人データの第三者への「提供」とは、個人データ又は保有個人データを第三者が利用可能な状態に置くことをいう。個人データ又は保有個人データが、物理的に提供されていない場合であっても、備付けやネットワーク等を利用することにより、個人データ又は保有個人データを第三者が利用（閲覧を含む。）できる状態にあれば（その権限が与えられていれば）、「提供」に当たる。 (12) 本人の同意第４一２一(3)、３、４及び５の規定並びに第７一１、２及び４の規定にいう「本人の同意」とは、本人が、個人情報取扱事業者の示す方法によって個人情報が取り扱われることを承諾する旨の当該本人の意思表示をいう（当該本人であることを確認できていることが前提)。また、同じく「本人の同意を得（る）」とは、本人の承諾の意思表示を当該個人情報取扱事業者が認識することをいい、事業の性質及び個人情報の取扱方法に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法による必要がある。なお、個人情報の取扱いに関して同意したことによって生ずる結果について、未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力を有していないなどの場合は、親権者や法定代理人等から同意を得る必要がある。 .
第３ -
このガイドラインの適用対象者の範囲
このガイドラインは、農林水産分野における個人情報取扱事業者を対象とする。なお、農林水産分野における個人情報取扱事業者とは、農林水産業、食品産業その他の農林水産省の所管に係る事業を行うものをいう。また、農林水産分野において個人情報取扱事業者でない事業者等についても、法の基本理念（法第３条）を踏まえ、このガイドラインに規定されている事項を遵守することが望ましい。
第４、個人情報の利用目的に関する義務
1利用目的の特定（法第15条第１項関係） (1) T農林水産関係事業者は、個人情報を取り扱うに当たっては、その利用の目的(以下「利用目的」という。)をできる限り具体的に特定しなければならない。利用目的の物定に当たっては、農林水産関係事業者において個人情報が最終的にどのような事業の用に供され、どのような目的で利用されるかが本人にとって一般的かつ合理的に想定できる程度に具体的であることが望ましい。 (例)単に「事業活動のため」、「お客様サービスの向上のため」といった抽象
21
(許容例) 「商品カタログを郵送」→「商品カタログをメール送付」 (認められない例) 「アンケート集計に利用」→「商品カタログ郵送に利用」
-次に掲げる場合については、３又は４の規定により本人の同意を得ることが求められる場合であっても、本人の同意は不要である。 (1)法令に基づいて、利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合（当該法令に、目的外利用の便益を得る相手方についての根拠のみあって、目的外利用をする義務までは課されていない場合には、農林水産関係事業者は、当該法令の趣旨に照らして目的外利用の必要性と合理性が認められる範囲内で対応するものとする。） （例） • 証券取引等監視委員会の職員による犯則事件の調査への対応（金融商品取引法第210条、第211条等）裁判所からの文書送付の嘱託や調査の嘱託への対応(民事訴訟法第186条、第226条、家事事件手続法第62条）疑わしい取引の届出（犯罪による収益の移転防止に関する法律第８条第1項)徴税吏員・税務職員の質問検査への対応（地方税法第72条の7、国税通則法第74条の２から第74条の６)国勢調査などの基幹統計調査に対する報告や行政機関の長からの協力要請への対応（統計法第13条、第30条） (2)、人（法人を含む。）の生命、身体又は財産の保護のために利用目的の達成に必要な範囲を超えて、個人情報を取り扱う必要がある場合であって、本人の同: 意を得ることが困難であるとき。 (例)急病人の血液型や家族の連絡先を医師や看護師に伝える場合function大規模災害や事故等の緊急時に、负傷者情報を家族に提供する場合暴力団等の反社会的勢力情報、業務妨害行為を行う悪質者情報を企業問で共有する場合製品に重大な欠陥があるような緊急時に、メーカーから顧客情報を求められ、これに応じる必要がある場合(3)、公衆衛生の向上又は児童の健全な育成の推進のために特に利用目的の達成に必要な範囲を超えて、個人情報を取り扱う必要がある場合であって、本人の同意を得ることが困難であるとき。 (例) ・　感染症の予防のための調査に応じるとき。し(4)次国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して農林水産関係事業者が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるときに、利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合（この場合において、農林水産関係事業者は、任意の求めの趣旨に照らして目的外利用の必要性と合理性が認められる範囲内で対応するものとする。) (例) ・・・任意の求めに応じて、警察や税務署に対して個人情報を提出する場合1一般統計調査に回答する場合
第５　個人情報の取得に関する義務
1　適正な取得（法第17条関係）農林水産関係事業者は、偽りその他不正の手段により個人情報を取得してはならない。 (違反例)」  ・「本人をだましてその個人情報を取得すること。第三者提供の制限（第７の規定参照）に違反して提供している業者から事情を知って個人情報を取得すること。第三者からの提供（法第23条第１項各号に掲げる場合並びに個入情報の取扱いの委託、事業の承継及び共同利用に伴い、個人情報を提供する場合を除く。）により、個人情報（施行令第２条第２号に規定するものから取得した個人情報を除く。）を取得する場合には、提供元の法の遵守状況（例えば、オプトアウト（第7一3の規定（法第23条第２項・第３項）参照）、利用目的、開示手続、問合せ・苦情の受付窓口を公表していることなど）を確認し、個人情報を適切に管理している者を提供元として選定するとともに、実際に個人情報を取得する際には、例えば、取得の経緯を示す契約書等の書面の点検又はこれに代わる合理的な方法により、当該個人情報の取得方法等を確認した上で、当該個人情報が適法に取得されたことが確認できない場合は、偽りその他不正の手段により取得されたものである可能性もあることから、その取得を自粛することを含め、慎重に対応することが望ましい。 2.取得の制限農林水産関係事業者は、その事業の遂行に必要な場合に限り、個人情報を取得するものとする。また、思想、信条、宗教その他社会的差別原因となり得る個人情報の取得又は保有に当たっては、その適正な取扱いの確保に特段の配慮を加えるよう努めるものとする。 （例）衛生管理の徹底が必要な業務に従事する者の健康状況を把握する必要があ る場合3 取得時の利用目的の通知又は公表（法第18条第１項関係）農林水産関係事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。 （例）電話帳や職員録等から個人情報を取得した場合個人情報の第三者提供を受けて、個人情報を取得した場合個人情報の取扱いの委託を受けて、個人情報を取得した場合4 1書面等による直接取得時の利用目的の明示（法第18条第２項関係）農林水産関係事業者は、契約書、懸賞応募はがき、アンケートやユーザー入力画面への打ち込みなど書面等により、直接本人から個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人(法人を含む。)の生命、身体又は財産の保護のために緊急に必要がある場合は、あらかじめ、本人に対し、その利用目的を明示する必要はないが、その場合には、 3の規定に基づいて、取得後速やかにその利用目的を、本人に通知し、又は公表しなければならない。なお、「本人に対し、その利用目的を明示」とは、本人に対し、その利用目的を明確に示すことをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法による必要がある。 (例)往復はがきの往信はがきに、社会通念上、本人が認識できる場所及び文字の大きさで利用目的を記載する。面談中、本人に対し、定款等のうち利用目的の記載部分を指摘する。ユーザー入力画面において、送信ボタン等をクリックする前等に利用目的が本人の目にとまる形で配置・記載する。 5、利用目的の通知等をしなくてよい場合（法第18条第４項関係）次に掲げる場合については、３、４及び第４－２－(2)の規定は適用しない。 (1) 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合(例) ・乗暴力団等の反社会的勢力情報、疑わしい取引の届出の対象情報、業務妨害行為を行う悪質者情報の提供者が逆恨みを買うおそれのある場合(2)　利用目的を本人に通知し、又は公表することにより農林水産関係事業者の権利又は正当な利益を害するおそれがある場合(例).新規開発部門が収集した情報の種類が明らかになることにより、企業の健全な競争を害する場合・ 暴力団等の反社会的勢力情報、疑わしい取引の届出の対象情報、業務妨害行為を行う悪質者情報を取得したことが明らかになることにより、情報提供を受けた企業に害が及ぶ場合(3) 国の機関又は地方公共団体が芸令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。 (例)犯罪捜査への協力のため、被疑者等に関する情報を取得した場合(4)   取得の状況からみて利用目的が明らかであると認められる場合(例) : 「今後連絡を取り合うために名刺交換をした場合出前の注文を電話で受けた場合箸借において相手方の電話番号が非通知でない場合で、同じ用件で当方から相手方に電話を掛け直す場合
第６　個人データの管理に関する義務
1 データ内容の正確性の確保（法第19条関係）農林水産関係事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めなければならない。
2 保存期間
農林水産関係事業者は、その取り扱う個人データについて、利用目的の達成に必要な範囲内で保存期間を定めるよう努め、当該保存期間経過後又は利用目的を達成した後は、遅滞なくこれを消去するよう努めなければならない。 3 安全管理措置（法第20条関係）農林水産関係事業者は、その取り扱う個人データの濃えい、滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。その際、農林水産関係事業者においで、個人データが漏えい、被失又はき損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況並びに個人データを記録した媒体の性質等に起因するリスクに応じ、必要かつ適切な措置を講じるものとする。特に、事業者の内部又は外部からの不正行為による個人データの漏えい等を防止するための手法として、例えば次のような措置を講じることが望ましい。 (1)  責任の所在の明確化のための措置(例) 、）個人データの安全管理の実施及び運用に関する責任及び権限を有する個人情報保護管理者の設置（例えば、役員などの組織横断的に監督することのできる者を任命する）事業者内の個人データの取扱いの点検・改善等の監督を行う部署の設置事業者内の個人データの取扱いの点検・改善等の監督を行う合議制の委員会の設置(2)　新たなリスクに対応するための、安全管理措置の評価、見直し及び改善に向けた監査実施体制の整備(例)個人情報保護対策及び最新の技術動向を踏まえた情報セキュリティ対策に十分な知見を有する者による事業者内の対応の確認（必要に応じ、外部の知見を有する者を活用し確認させることを含む。) (3)　浦えい等に早期に対処するための体制整備(例)漏えい等が発生した場合又は発生のおそれがある場合の連絡体制の整備entia不正な操作を防ぐための、個人データを取り扱う端末に付与する機能の、業(4)務上の必要性に基づく限定
(例)
スマートフォン、パソコン等の記録機能を有する機器の接続の制限及び機器の更新への対応(5)、入館（室）者による不正行為の防止のための、業務実施場所及び情報システム等の設置場所の入退館（室）管理の実施(例) ・入退館（室）の記録の保存盗難等の防止のための措置(6) - (例) : 「カメラによる撮影や作業への立会い等による記録又はモニタリングの実7倍記録機能を持つ媒体の持込み・持出し禁止又は検査の実施(7) 情報システムからの漏えい等を防止するための技術的安全管理措置(例)個人データへのアクセスにおける識別と認証.個人データへのアクセス制御個人データへのアクセス権限の管理個人データへのアクセスや操作の記録及び不正が疑われる異常な記録の存否の定期的な確認情報システムへの外部からのアクセス状況の監視及び当該監視システムの動作の定期的な確認ソフトウェアに関する脆(ぜい)弱性対策（セキュリティパッチの適用、当該情報システム固有の脆弱性の発見及びその修正等)なお、不特定多数者が書店で随時に購入可能な名簿で、事業者において全く加工をしていないものについては、個人の権利利益を侵害するおそれは低いと考えられることから、それを処分するために文書細断機等による処理を行わずに廃棄し、又は廃品回収に出したとしても、事業者の安全管理措置の義務違反にはならない。 (例)組織的管理措置個人情報の取扱いに関する内部規程の整備、安全性に関.する監査の実施、６に規定する個人情報保護管理者の設置その他の安全確保のための組織体制の整備に関する措置技術的管理措置外部からの不正アクセスからの防御に関するシステムの構築及び情報の暗号化、個人データへのアクセス制限その他の個人データの取扱いに関する技術的措置人的管理措置個人情報の取扱いに関する内部規程の周知徹底、教育研修の実施その他の措置従業者の監督（法第21条関係） च農林水産関係事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。その際、個人データが漏えい、滅失又はき損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人データの取扱状況等に起因するリスクに応じ、個人データを取り扱う従業者に対する教育及び研修等の内容及び頻度を充実させるなど、必要かつ適切な措置を擁じる必要がある。また、農林水産関係事業者は、従業者がその在職中又は退職後、その業務に関して知り得た個人データの内容を正当な権限なく他人に知らせ又は不当な目的に使用しないようにするため、雇用契約において秘密保持に関する事項を定める等必要な措置を講ずることが望ましい。 51委託先の監督（法第22条関係） (1) F農林水産関係事業者は、個人データの取扱いの全部又は一部を外部に委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者（以下「委託先」という。)に対する必要かつ適切な監督を行わなければならない。その際、個人データが漏えい、滅失又はき損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質並びに個人データの取扱状況等に起因するリスクに応じ、必要かつ適切な措置を講じるものとする。
ア　委託先の個人データの取扱いに関する事項(例)
A
(例)

損害賠償に関する事項
上で、個人情報保護管理者等が、委託の内容等の見直しを検討することを含め、適切に評価することが望ましい。委託先が再委託を行おうとする場合は、委託元は委託を行う場合と同様、再委託の相手方、再委託する業務内容及び再委託先の個人データの取扱方法等について、委託先に事前報告又は承認手続を求める、直接又は委託先を通じて定期的に監査を実施する等により、委託先が再委託先に対して本条の委託先の監督を適切に果たすこと、再委託先が法第20条に基づく安全管理措置を講ずることを十分に確認することが望ましい。再委託先が再々委託を行う場合以降も、再委託を行う場合と同様とする。
農林水産関係事業者は、個人情報保護管理者（当該事業者の個人情報の取扱いに関する責任者をいう。）を置き、内部規程及び監査体制の整備その他当該事業者の個人情報の取扱いの監督を行わせるよう努めるものとする。 7農林水産関係事業者が行う措置の対外的明確化農林水産関係事業者は、このガイドライン等を踏まえ、自らの個人情報の保護に関する考え方や方針を策定し、次に掲げる事項を事業所における書面の掲示備付け等又はホームページ上での掲載等により継続的に公表するよう努めるものとする。また、消費者等、本人の権利利益保護の観点から、事業活動の特性、規模及び実態を考慮して、第４一１一(2)利用目的の特定、第６一５一(3)委託先の監督、第８－２－(3)保有個人データの開示、第８－４－(4)保有個人データの利用停止等
(1)東取得した個人情報を目的外に利用しないこと。 (2) 苦情処理に適切に取り組むこと。
第７　個人データの第三者提供に関する義務

られる範囲内で対応するものとする。) (例) ・・・令状に基づく警察や検察などによる捜査への対応(刑事訴訟法第218条等)証券取引等監視委員会の職員による犯則事件の調査への対応（金融商品取引法第210条、第211条等）裁判所からの文書送付の嘱託や調査の嘱託への対応(民事訴訟法第186条、第226条、家事事件手続法第62条）疑わしい取引の届出（犯罪による収益の移転防止に関する法律第８条第1項)徴税吏員・税務職員の質問検査への対応（地方税法第72条の７、国税通則法第74条の2から第74条の６) ・国勢調査などの基幹統計調査に対する報告や行政機関の長からの協力要請への対応（統計法第13条、第30条） (2)人（法人を含む。）の生命、身体又は財産の保護のために個人データを第三者に提供する必要がある場合であって、本人の同意を得ることが困難であるとAu (例)急病人の血液型や家族の連絡先を医師や看護師に伝える場合.大規模災害や事故等の緊急時に、負傷者情報を家族に提供する場合暴力団等の反社会的勢力情報、業務妨害行為を行う悪質者情報を企業間で共有する場合製品に重大な欠陥があるような緊急時に、メーカーから顧客情報を求め.9られ、これに応じる必要がある場合(3) -公衆衛生の向上又は児童の健全な育成の推進のために特に個人データを第三者に提供する必要がある場合であって、本人の同意を得ることが困難であるとtiv (例) ・ 感染症の予防のための調査に応じるとき。 (4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して農林水産関係事業者が協力する場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるときに、個人データを第三者に提供する場合（この場合においで、農林水産関係事業者は、任意の求めの趣旨に照らして第三者提供の必要性と合理性が認められる範囲内で対応するものとする。) （例） •任意の求めに応じて、警察や税務署に対して個人情報を提出する場合一般統計調査に回答する場合3」といわゆる「オプトアウト」（本人の求めによる提供停止）（法第23条第２項・第3項閲係)農林水産関係事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているときは、1及び2の規定にかかわらず、当該個人データを第三者に提供することができる。 (1)第三者への提供を利用目的とすること。 (2)　第三者に提供される個人データの項目(例) 19年11氏名、住所、電話番号氏名、商品購入履歴(3)、第三者への提供の手段又は方法(例)書籍として出版d theインターネットに掲載(4)上本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。ただし、農林水産関係事業者がこの規定による第三者提供を行っている場合であって、(2)又は(3)の規定に掲げる事項を変更するときは、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。 （いわゆる「オプトアウト」の例）住宅地図業者（表札を調べて住宅地図を作成・販売等）やデータベース事業者（名簿の作成・販売等）が、あらかじめ(1)から(4)の規定に掲げる事項を自社のホームページに常時掲載（第２－(9)の規定参照）し、本人からの停止の求めを受け付けられる状態にしてから、販売等する場合「第三者」に該当しないもの（法第23条第４項・第５項関係） 4'次に掲げる場合において、当該個人データの提供を受ける者は「第三者」に該当しないものとし、１から３までの規定にかかわらず、農林水産関係事業者は当該個人データを提供することができる。 (1)　個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託する場合(2)　合併、分社化、営業譲渡等による事業の承継に伴って個人データが提供される場合(3)　個人データを特定の者との間で共同じて利用する場合であって、次に掲げる事項について、当該共同利用をする前にあらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。ただし、イ又はウの規定に掲げる事項を変更する場合（１の規定参照）は、あらかじめ本人の同意を得なければならない。また、エ又は才の規定に掲げる事項を変更する場合（第４ – 2 – (1)の規定参照）は、変更する内容について、変更前にあらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。ア・共同利用をする旨イ　共同して利用される個人データの項目ウ共同して利用する者の範囲エ、利用する者の利用目的オ　開示等の求め及び苦情を受け付け、その処理に尽力するとともに、個人データの内容等について、開示、訂正、利用停止等の権限を有し、個人データの安全管理等について共同利用者の中で第一次的に責任を有する事業者の氏名又は名称
第８　保有個人データの開示等に関する義務
1  保有個人データに関する事項の公表等（法第24条関係） (1)農林水産関係事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。当該農林水産関係事業者の氏名又は名称。 Poneイルすべての保有個人データの利用目的(第５－５－(1)から(3)までの規定に該当する場合を除く。)ウ-保有個人データに関する本人からの次に掲げる求めに応じる手続（7の規定により手数料を定めたときは、その手数料の額を含む。) (7)利用目的の通知の求め((2)の規定参照) (f) 関示の求め（2 ー (1)の規定参照） (別)内容の訂正、追加又は削除の求め（３－(1)の規定参照)は）利用の停止又は消去の求め（４－(1)の規定参照） (計)第三者提供の停止の求め（4 ー(2)の規定参照）二、当該農林水産関係事業者が行う保有個人データの取扱いに関する苦情を受け付ける担当窓口名・係名、郵送用住所、受付電話番号その他の苦情申出先オ5当該農林水産関係事業者が認定個人情報保護団体（法第37条第１項の認定を受けた者をいう。以下同じ。）の対象事業者である場合には、当該認定個人情報保護団体の名称及び苦情の解決の申出先(2)　農林水産関係事業者は、次の各号のいずれかに該当する場合を除き、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。なお、利用目的を通知しない旨の決定をしたときも、本人に対し、遅滞なく、当該決定をした旨を通知しなければならない。ア(1)の規定により当該本人が識別される保有個人データの利用目的が明らかな場合第51一5一(1)から(3)までの規定に該当する場合バ2 保有個人データの開示（法第25条関係） (1)　農林水産関係事業者は、本人から、当該本人が識別される保有個人データの開示（当該本人が識別される保有個人データが存在しないときにその旨を知らせることを含む。以下同じ。)を求められたときは、本人に対し、書面の交付による方法（開示の求めを行った者が同意した方法があるときは当該方法）により、遅滞なく、当該保有個人データを開示しなければならない。ただし、次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができるが、開示しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。アー保有個人データを開示することにより、本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合イ、保有個人データを開示することにより、当該農林水産関係事業者の業務の一適正な実施に著しい支障を及ぼすおそれがある場合(例) TOT企業秘密が明らかになるおそれがある場合ウ　保有個人データを開示することが他の法令に違反することとなる場合(例)刑法第134条（秘密漏示罪）や電気通信事業法第４条（通信の秘密の保護）に違反することとなる場合(2)他の法令の規定により、本人が識別される保有個人データの全部又は一部を、当該本人に対し(1)の規定の本文に定める方法に相当する方法で開示することとなる場合には、(1)の規定は、適用しない。 (3)　農林水産関係事業者は、このガイドライン等を踏まえ、その事業活動の特性、規模及び実態を考慮し、自らの個人情報の保護に関する考え方や方針を策定・公表している場合には、その中に、消費者等、本人の権利利益保護の観点から、事業活動の特性、規模及び実態を考慮して、「個人情報の取得元又はその取得方法（取得源の種類等）を、可能な限り具体的に明記する」といった点を考慮した記述をできるだけ盛り込み、本人からの求めに一層対応していくことが望ましい。 3 保有個人データの訂正等（法第26条関係） (1)入入水産関係事業者は、本人から、当該本人が識別される保有個人データの内容が事実でないという理由によって当該保有個人データの内容の訂正、追加又は削除（以下「訂正等」という。）を求められた場合には、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。 (2) 農林水産関係事業者は、(1)の規定に基づき求められた保有個人データの内容の全部若しくは一部について訂正等を行ったときは、本人に対し、遅滞なく、その旨（訂正等の内容を含む。）を通知しなければならない。また、利用目的からみて訂正等が必要でない場合や、本人からの誤りである旨の指摘が正しくない場合には、訂正等に応じる必要はないが、そういった場合を含め、訂正等を行わない旨の決定をしたときも、同様とする。保有個人データの利用停止等（法第27条関係） a (1)　農林水産関係事業者は、本人から、当該本人が識別される保有個人データが第４ – ３から５までの規定に違反して取り扱われている（同意のない目的外利用）という理由又は第５－１の規定に違反して取得されたものである（不正の手段による個人情報の取得）という理由によって、当該保有個人データの利用の停止又は消去（以下「利用停止等」という。)を求められた場合であって、その求めに理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。 (2) 農林水産関係事業者は、本人から、当該本人が識別される保有個人データが第７一１及び２の規定に違反して第三者に提供されている（同意のない第三者提供等）という理由によって、当該保有個人データの第三者への提供の停止を求められた場合であって、その求めに理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。 (3)  農林水産関係事業者は、(1)及び(2)の規定に規定する求めに対し、保有個人データの全部又は一部について、その求めに応じたとき、又はその求めに応じない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。 (4) |農林水産関係事業者は、このガイドライン等を踏まえ、その事業活動の特性、規模及び実態を考慮し、自らの個人情報の保護に関する考え方や方針を策定・公表している場合には、その中に、消費者等、本人の権利利益保護の親点から、事業活動の特性、規模及び実態を考慮して、「保有個人データについて本人から求めがあった場合には、ダイレクトメールの発送停止など、自主的に利用停正等に応じる」といった点を考慮した記述をできるだけ盛り込み、本人からの求めに一層対応していくことが望ましい。 5年理由の説明（法第28条関係）農林水産関係事業者は、保有個人データの利用目的の通知の求め（1一(2)の規定参照）、開示の求め（２－(1)の規定参照）、訂正等の求め（３－(1)及び(3)の規定参照)、利用停止等の求め又は第三者提供の停止の求め（４－(1)から(3)までの規定参照）に対し、本人から求められた措置の全部又は一部について、その措置をとらない旨又はその措置と異なる措置をとる旨を本人に通知する場合は、併せて、本人に対して、その理由を説明するよう努めなければならない。 6.開示等の求めに応じる手続（法第29条関係） (1) 農林水産関係事業者は、保有個人データの利用目的の通知の求め（１－(2)の規定参照)、開示の求め（２－(1)の規定参照)、訂正等の求め（３－(1)の規定参照)、利用停止等の求め（4 – (1)の規定参照）又は第三者提供の停止の求め（4 –(2)の規定参照。以下これらの求めを総称して単に「開示等の求め」という。)に関し、その求めを受け付ける方法として次に掲げる事項を定めることができ、定めた場合には、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置いておかなければならない。この場合において、本人は、当該方法に従って、開示等の求めを行わなければならない。了一開示等の求めの申出先(例) ・　担当窓口名・係名、郵送用住所、受付電話番号、受付ファクシミリ番dyイ（開示等の求めに際して提出すべき書面（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られる記録を含む。)の様式その他の開示等の求めの方式ウ王開示等の求めをする者が本人又は代理人（未成年者若しくは成年被後見人の場合はその法定代理人、又は開示等の求めをすることにつき本人が委任した者がいる場合はその受任者）であることの確認の方法（ニ。保有個人データの利用目的の通知又は保有個人データの開示について手数料を徴収する場合は、その徴収方法(2) -農林水産関係事業者は、本人に対し、開示等の求めに対応するため、その対象となる保有個人データの特定に必要な事項の提示を求めることができる。なお、その際、本人が容易かつ的確に開示等の求めができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便性を考慮しなければならなo (3)　農林水産関係事業者は、(1)及び(2)の規定に基づき開示等の求めに応じる手続を定めるに当たっては、事業の性質、保有個人データの取扱状況、開示等の求めの受付方法等に応じて適切なものになるよう配慮し、例えば、本人確認のだめに農林水産関係事業者が保有している個人データに比して必要以上に多くの情報を求めないようにするなど、本人に過重な負担を課するものとならないよう配慮しなければならない。 7   手数料（法第30条関係）農林水産関係事業者は、保有個人データに関する利用目的の通知の求め（１－ (2)の規定参照）又は開示の求め（2 ー(1)の規定参照）に応じる場合には、手数料を徴収することができる。その手数料の額を定める際には、実費を勘案して合理的と認められる範囲内でなければならない。また、手数料の額を定めた場合には、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない（１－(1)－ウの規定参照)。第9   3
苦情処理に関する義務（法第31条関係）
農林水産関係事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。また、苦情の適切かつ迅速な処理を行うに当たり、苦情処理窓口の設置や苦情処理の手順を定める等必要な体制の整備に努めなければならない。もっとも、無理な要求にまで応じなければならないものではない。なお、担当窓口名・保名、郵送用住所、受付電話番号その他の苦情申出先については、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない（第８＝１＝(1)＝エの規定参照)。
第10　法達反又は法違反のおそれが発覚した場合の対応
農林水産関係事業者は、その取り扱う個人情報し(委託を受けた者が取り扱うものを含む。)について、法違反又は法違反のおそれが発覚した場合には、次の対処を実施することが望ましい。 (1) -事実調査、原因の究明事実関係を調査し、法違反又は法違反のおそれが把握できた場合には、その原因究明に当たる。 (2) ・影響範囲の特定(1)の規定で把握した事実関係による影響がどれほど及ぶのか、その範囲を特定する。 (3) 再発防止策の検討・実施(1)の規定で究明した原因を踏まえ、再発防止策を検討し、速やかに実施する。 (4)影響を受ける可能性のある本人への連絡等法違反の中でも、特に個人データの安全管理（法第20条から第22条まで）について違反があった場合には、二次被害の防止、類似事案の発生回避等の観点から、事実関係等について、速やかに、本人へ連絡し、又は本人が容易に知り得る状態に置くことが望ましい。 (5) 事実関係、再発防止策等の公表法違反の中でも、特に個人データの安全管理（法第20条から第22条まで）について違反があった場合には、二次被害の防止、類似事案の発生回避等の観点から、事実関係及び再発防止策等について、速やかに、公表することが望ましly. (6)・主務大臣・認定個人情報保護団体への報告農林水産関係事業者は、法違反又は法違反のおそれが発覚した場合には、事実関係及び再発防止策等について、速やかに、農林水産犬臣に報告するよう努めなければならない。また、認定個人情報保護団体に加入している場合には、当該認定個人情報保護団体に報告するよう努めなければならない。
第11　勧告、命令等についての考え方
法第34条に規定される農林水産大臣の「勧告（第１項）」「命令（第２項）」及び「緊急命令（第３項）」については、農林水産関係事業者がこのガイドラインに沿って必要な措置等を講じたか否かにつき判断して行うものとする。すなわち、このガイドラインにおいて「しなければならない」と記載している規定について、農林水産関係事業者がその規定に従わなかった場合は、法第16条から第18条まで、第20条から第27条まで又は第30条第２項の規定違反と判断され得る。違反と判断され、実際に「勧告」を行うこととなるのは、個人の権利利益を保護するため必要があると認めるときである。一方、このガイドラインにおいて「望ましい」と記載している規定については、農林水産関係事業者がその規定に従わなかった場合でも、法第16条から第18条まで、第20条から第27条まで又は第30条第２項の規定違反と判断されることはないが、個人情報保護の推進の観点から農林水産関係事業者においては、できるだけ取り組むことが望まれる。 「命令」は、単に「勧告」に従わないことをもって発することはなく、正当な理由なくてその勧告に係る措置をとらなかった場合において、個人の重大な権利利益の侵害が切迫していると認めるときに限られる。なお、「勧告」に従わなかったか否かを明確にするため、農林水産大臣は、「勧告」に係る措置を講ずべき期間を設定して「勧告」を行うこととする。 「緊急命令」は、農林水産関係事業者が法第16条、第17条、第20条から第22条まで又は第23条第１項の規定に違反した場合において、個人の重大な権利利益を害する事実があるため緊急に措置をとる必要があると認めるときには、「勧告」を前置せずに発する。なお、「命令」及び「緊急命令」に従わなかったか否かを明確にするため、農林水産大臣は、「命令」及び「緊急命令」に係る措置を講ずべき期間を設定して[命令」及び「緊急命令」を発する。当該期間中に措置が謙じられない場合は、 「罰則（法第56条、第58条）」が適用される。
第12　ガイドラインの見直しについて
このガイドラインについては、社会情勢の変化、国民の意識の変化、技術動向の変化等諸環境の変化を踏まえ、必要に応じ見直しを行うものとする。附　則この告示は、公布の日から施行する。 -