Silviase/jgov_v1.4_full_ann huggingface dataset:
なければならないものではなく、「法第4章第1節の規定の趣旨」に鑑みて、実質的に適切かつ合理的な方法により、措置の実施が確保されていれば足りる。

次の3-2-1から3-2-18までにおいては、外国にある第三者への個人データの提供に関する典型的な事例として、【事例1】日本にある個人情報取扱事業者が、外国にある事業者に顧客データの入力業務を委託する場合及び【事例2】日本にある個人情報取扱事業者が、外国にある親会社に従業員情報を提供する場合を挙げ、外国にある第三者又は提供元である日本にある個人情報取扱事業者（以下「外国にある第三者等」という。）が講ずべき措置の具体例を示すこととする。

## 3 –2–1 利用目的の特定（法第 15 条の趣旨に沿った措置）

## 法第 15 条

1 個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。

2 個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。

【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客データの入力業務を委託する場合

委託契約において、外国にある事業者による利用目的を特定する。

## 【事例 2】日本にある個人情報取扱事業者が、外国にある親会社に従業員情報を提供する場合

就業規則等において利用目的を特定する。

外国にある第三者等は、個人情報を取り扱うに当たっては、利用目的をできる限り具体的に特定しなければならないが、利用目的の特定に当たっては、利用目的を単に抽象的、一般的に特定するのではなく、個人情報が外国にある第三者等において、最終的にどのような事業の用に供され、どのような目的で個人情報を利用されるのかが、本人にとって一般的かつ合理的に想定できる程度に具体的に特定することが望ましい（※）。

(※) 委託契約や就業規則等の内容に照らして、個人情報によって識別される本人からみて、自分の個人情報が利用される範囲が合理的に予想できる程度に特定されている場合や業種を明示することで利用目的の範囲が想定される場合には、これで足りるとされることもあり得るが、多くの場合、業種の明示だけでは利用
個人情報保護法ガイドライン（外国第三者提供編）（案）

目的をできる限り具体的に特定したことにはならないと解される。なお、利用目的の特定に当たり「○○事業」のように事業を明示する場合についても、社会通念上、本人からみてその特定に資すると認められる範囲に特定することが望ましい。

また、単に「事業活動」、「お客様のサービスの向上」等のように抽象的、一般的な内容を利用目的とすることは、できる限り具体的に特定したことにはならないと解される。

なお、特定した利用目的は、変更前の利用目的と関連性を有すると合理的に認められる範囲、すなわち、変更後の利用目的が変更前の利用目的からみて、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内（※）で変更することは可能である。

(※)「本人が通常予期し得る限度と客観的に認められる範囲」とは、本人の主観や事業者の恋意的な判断によるものではなく、一般人の判断において、当初の利用目的と変更後の利用目的を比較して予期できる範囲をいい、当初特定した利用目的とどの程度の関連性を有するかを総合的に勘案して判断される。

## 3 -2-2 利用目的による制限（法第16条の趣旨に沿った措置）

## 法第 16 条

1 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。

2 個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。

3 前二項の規定は、次に掲げる場合については、適用しない。

(1) 法令に基づく場合

(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
【事例1】日本にある個人情報取扱事業者が、外国にある事業者に顧客データの入力業務を委託する場合

委託契約において、委託の内容として、外国にある事業者による利用目的の範囲内での事務処理を規定する。

## 【事例 2】日本にある個人情報取扱事業者が、外国にある親会社に従業員情報を提供する場合

従業員情報を就業規則において特定された利用目的の範囲内で利用する。なお、利用目的の範囲を超える場合には、当該従業員の同意（※）を得る必要があるが、その場合、日本にある個人情報取扱事業者が同意を取得することも認められるものと解される。

外国にある第三者等は、特定した利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合は、あらかじめ本人の同意（※）を得なければならない。ただし、当該同意を得るために個人情報を利用すること（メールの送信や電話をかけること等）は、当初特定した利用目的として記載されていない場合でも、目的外利用には該当しない。

（※）「本人の同意」とは、本人の個人情報が、外国にある第三者等によって示された取扱方法で取り扱われることを承諾する旨の当該本人の意思表示をいう（当該本人であることを確認できていることが前提となる。）。

また、「本人の同意を得（る）」とは、本人の承諾する旨の意思表示を当該外国にある第三者等が認識することをいい、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。

なお、個人情報の取扱いに関して同意したことによって生ずる結果について、未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力を有していないなどの場合は、親権者や法定代理人等から同意を得る必要がある。

【本人の同意を得ている事例】

事例 1）本人からの同意する旨の口頭による意思表示

事例 2）本人からの同意する旨の書面（電磁的記録を含む。）の受領

事例 3）本人からの同意する旨のメールの受信

事例 4）本人による同意する旨の確認欄へのチェック

事例 5）本人による同意する旨のホームページ上のボタンのクリック

事例 6）本人による同意する旨の音声入力、タッチパネルへのタッチ、ボタンやスイッチ等による入力
3–2–3 適正な取得（法第17条の趣旨に沿った措置）

法第17条（第1項）
1 個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。
<参考>
法第17条（第2項）
2 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
(1) 法令に基づく場合
(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(5) 当該要配慮個人情報が、本人、国の機関、地方公共団体、第76条第1項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合
(6) その他前各号に掲げる場合に準ずるものとして政令で定める場合

【事例1】日本にある個人情報取扱事業者が、外国にある事業者に顧客データの入力業務を委託する場合

外国にある事業者が委託契約に基づいて適切に個人データを取得していることが自明であれば、不正の手段による取得ではない。

【事例2】日本にある個人情報取扱事業者が、外国にある親会社に従業員情報を提供する場合

なお、要配慮個人情報に係る規制については、国によっていわゆるセンシティ ブ情報の対象は異なり得ることから（OECD プライバシーガイドラインの説明覚書（1980 年））、国際的
な整合性にも鑑みて、「措置」を講ずることは要しない。

3-2-4 取得に際しての利用目的の通知（法第18条の趣旨に沿った措置）

## 法第 18 条

1 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

2 個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

3 個人情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。

4 前三項の規定は、次に掲げる場合については、適用しない。

(1) 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

(2) 利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合

(3) 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。

(4) 取得の状況からみて利用目的が明らかであると認められる場合

【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客データの入力業務を委託する場合

日本にある個人情報取扱事業者から顧客に対して利用目的の通知等をする。

【事例 2】日本にある個人情報取扱事業者が、外国にある親会社に従業員情報を提供する場合

日本にある個人情報取扱事業者が従業員に対して利用目的の通知等をする。

外国にある第三者等は、個人情報を取得する場合は、あらかじめその利用目的を公表（※
1）していることが望ましい。公表していない場合は、取得後速やかに、その利用目的を、本人に通知（※2）するか、又は公表しなければならない。

(※1)「公表」とは、広く一般に自己の意思を知らせること（不特定多数の人々が知ることができるように発表すること）をいい、公表に当たっては、事業の性質及び個人情報の取扱状況に応じ、合理的かつ適切な方法によらなければならない。

【公表に該当する事例】

事例 1) 自社のホームページのトップページから 1 回程度の操作で到達できる場所への掲載

事例 2）自社の店舗や事務所等、顧客が訪れることが想定される場所におけるポスター等の揭示、パンフレット等の備置き・配布

事例 3）（通信販売の場合）通信販売用のパンフレット・カタログ等への掲載（※2）「本人に通知」とは、本人に直接知らしめることをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。

【本人への通知に該当する事例】

事例 1）ちらし等の文書を直接渡すことにより知らせること。

事例 2）口頭又は自動応答装置等で知らせること。

事例 3）電子メール、FAX 等により送信し、又は文書を郵便等で送付することにより知らせること。

そのほか、詳細については、通則ガイドライン3-2-3（利用目的の通知又は公表）から3-2-5（利用目的の通知等をしなくてよい場合）までを参照のこと。

## 3 -2-5 データ内容の正確性の確保等（法第19条の趣旨に沿った措置）

## 法第 19 条

個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。

【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客データの入力業務を委託する場合

委託契約によりデータ内容の正確性の確保等について規定するか、又は、データ内容の正確性の確保等に係る責任を個人データの提供元たる個人情報取扱事業者
個人情報保護法ガイドライン（外国第三者提供編）（案）

が負うこととする。

## 【事例 2】日本にある個人情報取扱事業者が、外国にある親会社に従業員情報を提供する場合

日本にある個人情報取扱事業者を通じて従業員情報の正確性を確保する。

外国にある第三者等は、利用目的の達成に必要な範囲内において、個人情報データベース等への個人情報の入力時の照合・確認の手続の整備、誤り等を発見した場合の訂正等の手続の整備、記録事項の更新、保存期間の設定等を行うことにより、個人データを正確かつ最新の内容に保つよう努めなければならない。

なお、保有する個人データを一律に又は常に最新化する必要はなく、それぞれの利用目的に応じて、その必要な範囲内で正確性・最新性を確保すれば足りる。

また、外国にある第三者等は、保有する個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等は、当該個人データを遅滞なく消去するよう努めなければならない（※）。なお、法令の定めにより保存期間等が定められている場合は、この限りではない。

【個人データについて利用する必要がなくなったときに該当する事例】

事例）キャンペーンの懸賞品送付のため、当該キャンペーンの応募者の個人データを保有していたところ、懸賞品の発送が終わり、不着対応等のための合理的な期間が経過した場合

(※)「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む。

そのほか、詳細については、通則ガイドライン3-3-1（データ内容の正確性の確保等）を参照のこと。

3-2-6 安全管理措置（法第20条の趣旨に沿った措置）

法第 20 条

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その
個人情報保護法ガイドライン（外国第三者提供編）（案）

他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客データの入力業務を委託する場合

委託契約により外国にある事業者が安全管理措置を講ずる旨を規定する。

【事例 2】日本にある個人情報取扱事業者が、外国にある親会社に従業員情報を提供する場合

内規等により外国にある親会社が安全管理措置を講ずる旨を規定する。

外国にある第三者等は、その取り扱う個人データの漏えい、滅失又は毀損（以下「漏えい等」という。）の防止その他の個人データの安全管理のため、必要かつ適切な措置を講じなければならないが、当該措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容としなければならない。具体的に講じなければならない措置や当該項目を実践するための手法の例等については、通則ガイドラインの「8（別添）講ずべき安全管理措置の内容」を参照のこと。

## 3 –2–7 従業者の監督（法第21条の趣旨に沿った措置）

## 法第 21 条

個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客データの入力業務を委託する場合

委託契約により外国にある事業者の従業者の監督に係る措置を規定する。

【事例 2】日本にある個人情報取扱事業者が、外国にある親会社に従業員情報を提供する場合

内規等により外国にある親会社の従業者の監督に係る措置を規定する。

外国にある第三者等は、その従業者に個人データを取り扱わせるに当たって、法第20条
の趣旨に沿った安全管理措置を遵守させるよう、当該従業者に対し必要かつ適切な監督をしなければならない。その際、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に起因するリスクに応じて、個人データを取り扱う従業者に対する教育、研修等の内容及び頻度を充実させるなど、必要かつ適切な措置を講ずることが望ましい。

「従業者」とは、外国にある第三者等の組織内にあって直接間接に事業者の指揮監督を受けて当該者の業務に従事している者等をいい、雇用関係にある従業員（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、取締役、執行役、理事、監査役、監事、派遣社員等も含まれる。

## 【従業者に対して必要かつ適切な監督を行っていない事例】

事例 1）従業者が、個人データの安全管理措置を定める規程等に従って業務を行っていることを確認しなかった結果、個人データが漏えいた場合

事例 2) 内部規程等に違反して個人データが入ったノート型パソコン又は外部記録媒体を繰り返し持ち出されていたにもかかわらず、その行為を放置した結果、当該パソコン又は当該記録媒体が紛失し、個人データが漏えいした場合

## 3 -2-8 委託先の監督（法第22条の趣旨に沿った措置）

## 法第 22 条

個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客データの入力業務を委託する場合

委託契約により外国にある事業者の再委託先の監督に係る措置を規定する。

【事例 2】日本にある個人情報取扱事業者が、外国にある親会社に従業員情報を提供する場合

内規等により外国にある親会社の再委託先の監督に係る措置を規定する。

外国にある第三者等は、個人データの取扱いの全部又は一部を委託（※1）する場合は、委託を受けた者（以下「委託先」という。）において当該個人データについて安全管理措置
が適切に講じられるよう、委託先に対し必要かつ適切な監督をしなければならない。具体的には、外国にある第三者等は、法第20条の趣旨に沿って自らが講ずべき安全管理措置と同等の措置が講じられるよう、監督を行うものとする（※2）。

その際、委託する業務内容に対して必要のない個人データを提供しないようにすることは当然のこととして、取扱いを委託する個人データの内容を踏まえ、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に起因するリスクに応じて、次の（1）から（3）までに掲げる必要かつ適切な措置を講じなければならない（※3）。

## （1） 適切な委託先の選定

委託先の選定に当たっては、委託先の安全管理措置が、少なくとも委託元に求められるものと同等であることを確認するため、通則ガイドラインの「8（別添）講ずべき安全管理措置の内容」に定める各項目が、委託する業務内容に沿って、確実に実施されることについて、あらかじめ確認しなければならない。

## (2) 委託契約の締結

委託契約には、当該個人データの取扱いに関する、必要かつ適切な安全管理措置として、委託元、委託先双方が同意した内容とともに、委託先における委託された個人データの取扱状況を委託元が合理的に把握することを盛り込むことが望ましい。

## (3) 委託先における個人データ取扱状況の把握

委託先における委託された個人データの取扱状況を把握するためには、定期的に監査を行う等により、委託契約で盛り込んだ内容の実施の程度を調査した上で、委託の内容等の見直しを検討することを含め、適切に評価することが望ましい。

また、委託先が再委託を行おうとする場合は、委託を行う場合と同様、委託元は、委託先が再委託する相手方、再委託する業務内容及び再委託先の個人データの取扱方法等について、委託先から事前報告又は承認を求める、及び委託先を通じて又は必要に応じて自らが、定期的に監査を実施する等により、委託先が再委託先に対して本条の委託先の監督を適切に果たすこと、及び再委託先が法第20条の趣旨に沿った安全管理措置を講ずることを十分に確認することが望ましい（※4）。再委託先が再々委託を行う場合以降も、再委託を行う場合と同様である。
なお、再委託については、「3-2-10 外国にある第三者への提供の制限」も参照のこと。

【委託を受けた者に対して必要かつ適切な監督を行っていない事例】

事例 1) 個人データの安全管理措置の状況を契約締結時及びそれ以後も適宜把握せず外部の事業者に委託した結果、委託先が個人データを漏えいた場合

事例 2) 個人データの取扱いに関して必要な安全管理措置の内容を委託先に指示しなかった結果、委託先が個人データを漏えいた場合

事例 3）再委託の条件に関する指示を委託先に行わず、かつ委託先の個人データの取扱状況の確認を怠り、委託先が個人データの処理を再委託した結果、当該再委託先が個人データを漏えいた場合

事例 4）契約の中に、委託元は委託先による再委託の実施状況を把握することが盛り込まれているにもかかわらず、委託先に対して再委託に関する報告を求めるなどの必要な措置を行わず、委託元の認知しない再委託が行われた結果、当該再委託先が個人データを漏えいした場合

(※1)「個人データの取扱の委託」とは、契約の形態・種類を問わず、個人情報取扱事業者が他の者に個人データの取扱いを行わせることをいう。具体的には、個人データの入力（本人からの取得を含む。）、編集、分析、出力等の処理を行うことを委託すること等が想定される。

(※2) 委託元が法第20条が求める水準を超える高い水準の安全管理措置を講じている場合に、委託先に対してもこれと同等の措置を求める趣旨ではなく、法律上は、委託先は、法第20条が求める水準の安全管理措置を講じれば足りると解される。

(※3) 委託先の選定や委託先における個人データ取扱状況の把握に当たっては、取扱いを委託する個人データの内容や規模に応じて適切な方法をとる必要があるが、例えば、必要に応じて個人データを取り扱う場所に赴く又はこれに代わる合理的な方法（口頭による確認を含む。）により確認することが考えられる。

(※4) 委託元が委託先について「必要かつ適切な監督」を行っていない場合で、委託先が再委託をした際に、再委託先が不適切な取扱いを行ったときは、元の委託元による法違反と判断され得るので、再委託をする場合は注意を要する。

## 3 -2-9 第三者提供の制限（法第 23 条の趣旨に沿った措置）

法第23条（第1項、第5項、第6項）
1 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
(1) 法令に基づく場合

(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

5 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。

(1) 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合

(2) 合併その他の事由による事業の承継に伴って個人データが提供される場合

(3) 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

6 個人情報取扱事業者は、前項第3号に規定する利用する者の利用目的又は個人データの管理について責任を有する者の氏名若しくは名称を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

## <参考>

## 法第23条（第2項、第3項）

2 個人情報取扱事業者は、第三者に提供される個人データ（要配慮個人情報を除く。以下この項において同じ。）について、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。

(1) 第三者への提供を利用目的とすること。

(2) 第三者に提供される個人データの項目

(3) 第三者への提供の方法

(4) 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
個人情報保護法ガイドライン（外国第三者提供編）（案）

(5) 本人の求めを受け付ける方法

3 個人情報取扱事業者は、前項第2号、第3号又は第5号に掲げる事項を変更する場合は、変更する内容について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。

【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客データの入力業務を委託する場合

委託契約により外国にある事業者からの個人データの第三者提供を禁止する。

【事例 2】日本にある個人情報取扱事業者が、外国にある親会社に従業員情報を提供する場合

内規等により外国にある事業者からの個人データの第三者提供を禁止する。

「外国にある第三者」から、別の「第三者」に提供する際には、法第23条第1項、第5項、第6項の趣旨に沿った措置を講じなければならない。なお、提供先の第三者が「外国にある第三者」（提供元である外国にある第三者と同一の国内にある第三者を含む。）の場合は、「3-2-10 外国にある第三者への提供の制限」を参照のこと。

外国にある第三者等は、個人データの第三者への提供に当たり、あらかじめ本人の同意を得ないで提供してはならない。同意の取得に当たっては、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示さなければならない。なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的において、その旨を特定しなければならない（3-1-1（利用目的の特定）参照）。

なお、オプトアウトによる個人データの第三者提供（法第23条第2項から第3項まで）は、個人情報保護委員会への届出等を定める規定であるため、その性質上、外国にある第三者等が講ずべき措置からは除外される。

3–2–10 外国にある第三者への提供の制限（法第24条の趣旨に沿った措置）

## 法第 24 条
個人情報取扱事業者は、外国（本邦の域外にある国又は地域をいう。以下同じ。）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものを除く。以下この条において同じ。）にある第三者（個人データの取扱いについてこの節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この条において同じ。）に個人データを提供する場合には、前条第1項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は、適用しない。

【事例1】日本にある個人情報取扱事業者が、外国にある事業者に顧客データの入力業務を委託する場合

委託契約により外国にある事業者からの個人データの第三者提供を禁止する。

外国の事業者から更に外国にある第三者に個人データの取扱いを再委託する場合には、法第22条の委託先の監督義務（3-2-8）のほか、法第4章第1節の規定の趣旨に沿った措置の実施を確保する。

【事例 2】日本にある個人情報取扱事業者が、外国にある親会社に従業員情報を提供する場合

内規等により外国にある親会社からの個人データの第三者提供を禁止する。

外国にある親会社から更に他の国にある子会社等に個人データを移転する場合にも、内規等により法第4章第1節の規定の趣旨に沿った措置の実施を確保する。

「外国にある第三者」から、別の「外国にある第三者」（提供元である外国にある第三者と同一の国内にある第三者を含む。）に提供する際には、「2. 総論」の整理に沿って、対応をしなければならない。

## 3 –2–11 保有個人データに関する事項の公表等（法第 27 条の趣旨に沿った措置）

## 法第 27 条

1 個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。

(1) 当該個人情報取扱事業者の氏名又は名称

(2) 全ての保有個人データの利用目的（第18条第4項第1号から第3号までに該
当する場合を除く。)

(3) 次項の規定による求め又は次条第1項、第29条第1項若しくは第30条第1項若しくは第3項の規定による請求に応じる手続（第33条第2項の規定により手数料の額を定めたときは、その手数料の額を含む。）

(4) 前三号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの

2 個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りでない。

(1) 前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合

(2) 第 18 条第 4 項第 1 号から第 3 号までに該当する場合

3 個人情報取扱事業者は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客データの入力業務を委託する場合

提供する個人データが外国にある事業者にとって「保有個人データ」（※）に該当する場合には、委託契約により、委託元が保有個人データに関する事項の公表等に係る義務を履行することについて明確にする。

なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。

## 【事例 2】日本にある個人情報取扱事業者が、外国にある親会社に従業員情報を提供する場合

内規等により、日本にある個人情報取扱事業者が保有個人データに関する事項の公表等に係る義務を履行することについて明確にする。

（※）「保有個人データ」とは、外国にある第三者等が、本人又はその代理人から請求される開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止の全て（以下「開示等」という。）に応じることができる権限を有する「個人データ」をいう。

ただし、個人データのうち、次に掲げるもの又は6か月以内に消去する（更新することは除く。）こととなるものは、「保有個人データ」ではない。

(1) 当該個人データの存否が明らかになることにより、本人又は第三者の生命、
身体又は財産に危害が及ぶおそれがあるもの。

事例) 家庭内暴力、児童虐待の被害者の支援団体が保有している、加害者 (配偶者又は親権者) 及び被害者（配偶者又は子）を本人とする個人データ

(2) 当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの。

事例 1) 暴力団等の反社会的勢力による不当要求の被害等を防止するために事業者が保有している、当該反社会的勢力に該当する人物を本人とする個人データ

事例2) 不審者や悪質なクレーマー等による不当要求の被害を防止するために事業者が保有している、当該行為を行った者を本人とする個人データ

(3) 当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの。

事例1）製造業者、情報サービス事業者等が保有している、防衛に関連する兵器・設備・機器・ソフトウェア等の設計又は開発の担当者名が記録された、当該担当者を本人とする個人データ

事例 2）要人の訪問先やその警備会社が保有している、当該要人を本人とする行動予定等の個人データ

(4) 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶそれがあるもの。

事例 1）警察からの捜査関係事項照会や捜索差押令状の対象となった、事業者が保有している捜査対象者又は被疑者を本人とする個人データ

事例 2) 犯罪收益との関係が疑わしい取引の届出の対象情報に含まれる個人データ

事例 3) 振り込め詐欺に利用された口座に関する情報に含まれる個人データ

提供する個人データが外国にある第三者にとって「保有個人データ」（※）に該当する場合、外国にある第三者等がとるべき措置の詳細については、通則ガイドライン3-5-1（保有個人データに関する事項の公表等）を参照のこと。

## 3 –2–12 開示（法第 28 条の趣旨に沿った措置）

## 法第 28 条

1 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの開示
を請求することができる。

2 個人情報取扱事業者は、前項の規定による請求を受けたときは、本人に対し、政令で定める方法により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。

(1) 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

(2) 当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合

(3) 他の法令に違反することとなる場合

3 個人情報取扱事業者は、第1項の規定による請求に係る保有個人データの全部又は一部について開示しない旨の決定をしたとき又は当該保有個人データが存在しないときは、本人に対し、遅滞なく、その旨を通知しなければならない。

4 他の法令の規定により、本人に対し第2項本文に規定する方法に相当する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている場合には、当該全部又は一部の保有個人データについては、第1項及び第2項の規定は、適用しない。

【事例1】日本にある個人情報取扱事業者が、外国にある事業者に顧客データの入力業務を委託する場合

提供する個人データが外国にある事業者にとって「保有個人データ」に該当する場合には、委託契約により、委託元が開示に係る義務を履行することについて明確にする。

なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。

【事例 2】日本にある個人情報取扱事業者が、外国にある親会社に従業員情報を提供する場合

内規等により、日本にある個人情報取扱事業者が開示に係る義務を履行することについて明確にする。

提供する個人データが外国にある第三者にとって「保有個人データ」に該当する場合、外国にある第三者等がとるべき措置の詳細については、通則ガイドライン3-5-2（保有個人データの開示）を参照のこと。
## 3 –2–13 訂正等（法第29条の趣旨に沿った措置）

## 法第 29 条

1 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの内容が事実でないときは、当該保有個人データの内容の訂正、追加又は削除（以下この条において「訂正等」という。）を請求することができる。

2 個人情報取扱事業者は、前項の規定による請求を受けた場合には、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。

3 個人情報取扱事業者は、第1項の規定による請求に係る保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を通知しなければならない。

【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客データの入力業務を委託する場合

提供する個人データが外国にある事業者にとって「保有個人データ」に該当する場合には、委託契約により、委託元が訂正等に係る義務を履行することについて明確にする。

なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。

【事例 2】日本にある個人情報取扱事業者が、外国にある親会社に従業員情報を提供する場合

内規等により、日本にある個人情報取扱事業者が訂正等に係る義務を履行することについて明確にする。

提供する個人データが外国にある第三者にとって「保有個人データ」に該当する場合、外国にある第三者等がとるべき措置の詳細については、通則ガイドライン3-5-3（保有個人データの訂正等）を参照のこと。

3–2–14 利用停止等（法第30条の趣旨に沿った措置）

## 法第 30 条
1 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第16条の規定に違反して取り扱われているとき又は第17条の規定に違反して取得されたものであるときは、当該保有個人データの利用の停止又は消去（以下この条において「利用停止等」という。）を請求することができる。

2 個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

3 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第23条第1項又は第24条の規定に違反して第三者に提供されているときは、当該保有個人データの第三者への提供の停止を請求することができる。

4 個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

5 個人情報取扱事業者は、第1項の規定による請求に係る保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は第3項の規定による請求に係る保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客データの入力業務を委託する場合

提供する個人データが外国にある事業者にとって「保有個人データ」に該当する場合には、委託契約により、委託元が利用停止等に係る義務を履行することについて明確にする。

なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。

【事例 2】日本にある個人情報取扱事業者が、外国にある親会社に従業員情報を提供する場合

内規等により、日本にある個人情報取扱事業者が利用停止等に係る義務を履行
個人情報保護法ガイドライン（外国第三者提供編）（案）

することについて明確にする。

提供する個人データが外国にある第三者にとって「保有個人データ」に該当する場合、外国にある第三者等がとるべき措置の詳細については、通則ガイドライン3-5-4（保有個人データの利用停止等）を参照のこと。

## 3 –2–15 理由の説明（法第31条の趣旨に沿った措置）

法第 31 条

個人情報取扱事業者は、第27条第3項、第28条第3項、第29条第3項又は前条第5項の規定により、本人から求められ、又は請求された措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、その理由を説明するよう努めなければならない。

【事例1】日本にある個人情報取扱事業者が、外国にある事業者に顧客データの入力業務を委託する場合

提供する個人データが外国にある事業者にとって「保有個人データ」に該当する場合には、委託契約により、委託元が理由の説明に係る義務を履行することについて明確にする。

なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。

【事例 2】日本にある個人情報取扱事業者が、外国にある親会社に従業員情報を提供する場合

内規等により、日本にある個人情報取扱事業者が理由の説明に係る義務を履行することについて明確にする。

提供する個人データが外国にある第三者にとって「保有個人データ」に該当する場合、外国にある第三者等がとるべき措置の詳細については、通則ガイドライン3-5-5（理由の説明）を参照のこと。

3-2-16 開示等の請求等に応じる手続（法第32条の趣旨に沿った措置）

法第 32 条
1 個人情報取扱事業者は、第27条第2項の規定による求め又は第28条第1項、第29条第1項若しくは第30条第1項若しくは第3項の規定による請求（以下この条及び第53条第1項において「開示等の請求等」という。）に関し、政令で定めるところにより、その求め又は請求を受け付ける方法を定めることができる。この場合において、本人は、当該方法に従って、開示等の請求等を行わなければならない。

2 個人情報取扱事業者は、本人に対し、開示等の請求等に関し、その対象となる保有個人データを特定するに足りる事項の提示を求めることができる。この場合において、個人情報取扱事業者は、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。

3 開示等の請求等は、政令で定めるところにより、代理人によってすることができる。

4 個人情報取扱事業者は、前3項の規定に基づき開示等の請求等に応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。

【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客データの入力業務を委託する場合

提供する個人データが外国にある事業者にとって「保有個人データ」に該当する場合には、委託契約により、委託元が開示等の請求等に応じる手続を履行することについて明確にする。

なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。

【事例 2】日本にある個人情報取扱事業者が、外国にある親会社に従業員情報を提供する場合

内規等により、日本にある個人情報取扱事業者が開示等の請求等に応じる手続を履行することについて明確にする。

提供する個人データが外国にある第三者にとって「保有個人データ」に該当する場合、外国にある第三者等がとるべき措置の詳細については、通則ガイドライン3-5-6（開示等の請求等に応じる手続）を参照のこと。

## 3 –2–17 手数料（法第33条の趣旨に沿った措置）

## 法第 33 条
個人情報保護法ガイドライン（外国第三者提供編）（案）

1 個人情報取扱事業者は、第27条第2項の規定による利用目的の通知を求められたとき又は第28条第1項の規定による開示の請求を受けたときは、当該措置の実施に関し、手数料を徴収することができる。

2 個人情報取扱事業者は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。

【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客データの入力業務を委託する場合

提供する個人データが外国にある事業者にとって「保有個人データ」に該当する場合には、委託契約により、委託元が手数料に係る措置を履行することについて明確にする。

なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。

【事例 2】日本にある個人情報取扱事業者が、外国にある親会社に従業員情報を提供する場合

内規等により、日本にある個人情報取扱事業者が手数料に係る措置を履行することについて明確にする。

提供する個人データが外国にある第三者にとって「保有個人データ」に該当する場合、外国にある第三者等がとるべき措置の詳細については、通則ガイドライン3-5-7（手数料）を参照のこと。

## 3 –2–18 個人情報取扱事業者による苦情の処理（法第 35 条の趣旨に沿った措置）

法第 35 条

1 個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。

2 個人情報取扱事業者は、前項の目的を達成するために必要な体制の整備に努めなければならない。

【事例 1】日本にある個人情報取扱事業者が、外国にある事業者に顧客データの入力業務を委託する場合

提供する個人データが外国にある事業者にとって「保有個人データ」に該当する
個人情報保護法ガイドライン（外国第三者提供編）（案）

場合には、委託契約により、委託元が法第35条に係る義務を履行することについて明確にする。

なお、提供する個人データが外国にある事業者にとって「保有個人データ」に該当しない場合には、結果として「措置」としての対応は不要である。

## 【事例 2】日本にある個人情報取扱事業者が、外国にある親会社に従業員情報を提供する場合

内規等により、日本にある個人情報取扱事業者が法第35条に係る義務を履行することについて明確にする。

提供する個人データが外国にある第三者にとって「保有個人データ」に該当する場合、外国にある第三者等がとるべき措置の詳細については、通則ガイドライン3-6（個人情報の取扱いに関する苦情処理について）を参照のこと。

## 3 -3 個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること（規則第11条第2号関係）

「個人情報の取扱いに係る国際的な枠組みに基づく認定」とは、国際機関等において合意された規律に基づき権限のある認証機関等が認定するものをいい、当該枠組みは、個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずることのできるものである必要がある。

これには、提供先の外国にある第三者が、APEC の越境プライバシールール（CBPR）システム（※）の認証を得ていることが該当する。

(※) APEC CBPR システム

事業者の APEC プライバシーフレームワークへの適合性を国際的に認証する制度。

APEC の参加国・地域が本制度への参加を希望し、参加を認められた国がアカウンタビリティエージェント（AA）を登録する。この AA が事業者について、その申請に基づき APEC プライバシーフレームワークへの適合性を認証する。
個人情報保護法ガイドライン（外国第三者提供編）（案）

## 【付録】

○衆議院内閣委員会における附帯決議（平成27年5月20日）

1～2 （略）

3 国境を越えた個人情報の移転は、合理的で安全なサービスの提供を可能にし、社会に裨益するものであることを踏まえ、海外における個人情報の保護を図りつつ、国境を越えた個人情報の移転を不当に阻害しないよう必要な措置を講ずること。

(以下省略)

○参議院内閣委員会における附帯決議（平成27年8月27日）

1～2 （略）

3 国境を越えた個人情報の移転は、合理的で安全なサービスの提供を可能にし、社会に役立つものであることを踏まえ、海外における個人情報の保護を図りつつ、個人情報の移転を不当に阻害しないよう必要な措置を講ずること。

(以下省略)
## 目次

第1 特定個人情報保護評価の意義 ..... 1
1 特定個人情報保護評価の基本理念 ..... 1
2 特定個人情報保護評価の目的 ..... 1
（1）事前対応による個人のプライバシー等の権利利益の侵害の未然防止 ..... 1
（2）国民・住民の信頼の確保 ..... 2
3 特定個人情報保護評価の内容 ..... 2
第2 定義 ..... 3
第3 特定個人情報保護評価の実施主体 ..... 4
1 特定個人情報保護評価の実施が義務付けられる者 ..... 4
2 実施が義務付けられる者が複数いる場合等の特定個人情報保護評価 ..... 4
第4 特定個人情報保護評価の対象 ..... 4
1 基本的な考え方 ..... 4
2 特定個人情報保護評価の単位 ..... 5
3 特定個人情報ファイル ..... 5
4 特定個人情報保護評価の実施が義務付けられない事務 ..... 5
（1）実施が義務付けられない事務 ..... 5
（2）特定個人情報保護評価以外の番号法の規定の適用 ..... 6
第5 特定個人情報保護評価の実施手続 ..... 6
1 特定個人情報保護評価計画管理書 ..... 6
（1）特定個人情報保護評価計画管理書の作成 ..... 6
（2）特定個人情報保護評価計画管理書の提出 ..... 6
2 しきい値判断 ..... 7
3 特定個人情報保護評価書 ..... 8
（1）基礎項目評価書 ..... 8
（2）重点項目評価書 ..... 8
（3）全項目評価書 ..... 8
（4）特定個人情報保護評価書の公表 ..... 10
4 特定個人情報保護評価書の見直し ..... 10
5 特定個人情報保護評価を実施した事務の実施をやめたとき等の通知 ..... 10
第6 特定個人情報保護評価の実施時期 ..... 11
1 新規保有時 ..... 11
（1）システム用ファイルを保有しようとする場合の実施時期 ..... 11
（2）その他の電子ファイルを保有しようとする場合の実施時期 ..... 11
2 新規保有時以外 ..... 11
（1）基本的な考え方 ..... 11
（2）重要な変更 ..... 12
（3）しきい値判断の結果の変更 ..... 12
（4）一定期間経過 ..... 13
第7 特定個人情報保護評価書の修正 ..... 13
1 基礎項目評価書 ..... 13
2 重点項目評価書・全項目評価書 ..... 13
第8 番号法及び行政機関個人情報保護法に基づく事前通知 ..... 13
第9 特定個人情報保護評価の評価項目 ..... 14
1 基本的な考え方 ..... 14
2 評価項目 ..... 14
（1）基礎項目評価書 ..... 14
（2）重点項目評価書 ..... 14
（3）全項目評価書 ..... 15
第10 委員会の関与 ..... 16
1 特定個人情報保護評価書の承認 ..... 16
（1）承認対象 ..... 16
（2）審査の観点 ..... 17
2 承認の対象としない特定個人情報保護評価書の確認 ..... 18
第11 特定個人情報保護評価書に記載した措置の実施 ..... 18
第12 特定個人情報保護評価に係る違反に対する措置 ..... 18
1 特定個人情報保護評価の未実施に対する措置 ..... 18
2 特定個人情報保護評価書の記載に反する特定個人情報ファイルの取扱いに対する措置 ..... 18
別表 ..... 18

樣式 1 特定個人情報保護評価計画管理書
樣式 2 特定個人情報保護評価書（基礎項目評価書）
樣式 3 特定個人情報保護評価書（重点項目評価書）
樣式 4 特定個人情報保護評価書（全項目評価書）
術の進歩、社会情勢の変化等に対応し、特定個人情報の漏えいその他の事態を発生させるリスクを軽減するための取組を継続的に実施することが期待される。

## 第 2 定義

この指針において使用する用語は、番号法及び特定個人情報保護評価に関する規則（平成26年特定個人情報保護委員会規則第___号。以下「規則」という。）において使用する用語の例によるほか、次の定義に従うものとする。

1 評価実施機関 番号法第27条及び規則の規定に基づき特定個人情報保護評価を実施する番号法第2条第14項に規定する行政機関の長等（行政機関の長、地方公共団体の機関、独立行政法人等、地方独立行政法人及び地方公共団体情報システム機構並びに番号法第19条第7号に規定する情報照会者及び情報提供者）をいう。

2 行政機関等 評価実施機関のうち、行政機関の長、独立行政法人等、地方公共団体情報システム機構並びに番号法第19条第7号に規定する情報照会者及び情報提供者（ただし、規則第2条第3号に規定する地方公共団体等（以下単に「地方公共団体等」という。）を除く。）をいう。

3 特定個人情報保護評価計画管理書 規則第3条に規定する評価実施機関が保有する特定個人情報ファイルについての特定個人情報保護評価の計画、実施状況等を記載し、又は記録した書面又は電磁的記録をいう。

4 全項目評価書 番号法第27条第1項各号に掲げる事項を評価した結果を記載し、又は記録した書面又は電磁的記録（行政機関等においては番号法第27条第4項及び規則第8条の規定、地方公共団体等においては規則第7条第6項の規定に基づく公表の対象となるもの）をいう。

5 情報連携 行政機関の長等の間の情報提供ネットワークシステムを使用する特定個人情報の提供の求め又は提供をいう。

6 重大事故 評価実施機関が法令に基づく安全管理措置義務を負う個人情報を漏えい、滅失又は毀損した場合であって、故意による又は当該個人情報の本人（個人情報によって識別される特定の個人であって、当該評価実施機関の従業者を除く。）の数が101人以上のもの（ただし、配送事故等のうち当該評価実施機関の責めに帰さない事由によるものを除く。）をいう。

7 特定個人情報の入手 特定個人情報ファイルに記録されることとなる特定個人情報を、特定個人情報保護評価の対象となる事務において用いるために取得することをいう。

8 特定個人情報の使用 特定個人情報ファイルに記録された特定個人情報を特定個人情報保護評価の対象となる事務において用いることをいう。