Silviase/jgov_v1.4_full_ann huggingface dataset:
個人情報保護法ガイドライン（通則編）

「本人に通知」とは、本人に直接知らしめることをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。

【本人への通知に該当する事例】

事例1）ちらし等の文書を直接渡すことにより知らせること。

事例 2）口頭又は自動応答装置等で知らせること。

事例 3）電子メール、FAX 等により送信し、又は文書を郵便等で送付することにより知らせること。

## 2 –11 「公表」

法第18条（第1項）
1 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
※（参考）上記のほか、個人情報取扱事業者等による「公表」に関する主な条文
① 利用目的に関するもの
法第18条第3項（3-1-2（利用目的の変更）参照）
② 匿名加工情報に関するもの
法第36条第3項、第4項及び第6項、第37条、並びに第39条（3-7（匿名加工情報取扱事業者等の義務）参照）
③ その他
法第76条第3項（6-2（適用除外）参照）

「公表」とは、広く一般に自己の意思を知らせること（不特定多数の人々が知ることができるように発表すること）をいい、公表に当たっては、事業の性質及び個人情報の取扱状況に応じ、合理的かつ適切な方法によらなければならない。

## 【公表に該当する事例】

事例1）自社のホームページのトップページから1回程度の操作で到達できる場所への掲載

事例 2）自社の店舗や事務所等、顧客が訪れることが想定される場所におけるポスター等の掲示、パンフレット等の備置き・配布

事例 3）（通信販売の場合）通信販売用のパンフレット・カタログ等への掲載
## 2 –12 「本人の同意」

## 法第16条（第1項）

1 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。

※（参考）上記のほか、「本人の同意」に関する主な条文

① 利用目的に関するもの

法第 16 条第 2 項及び第 3 項第 2 号から第 4 号まで（3-1-4（事業の承継）、3-1-5（利用目的による制限の例外）参照）

② 要配慮個人情報の取得に関するもの

法第17条第2項（3-2-2（要配慮個人情報の取得）参照）

③ 第三者提供に関するもの

法第 23 条第 1 項及び第 24 条（3-4-1（第三者提供の制限の原則）、3-4-4（外国にある第三者への提供の制限）参照）

「本人の同意」とは、本人の個人情報が、個人情報取扱事業者によって示された取扱方法で取り扱われることを承諾する旨の当該本人の意思表示をいう（当該本人であることを確認できていることが前提となる。）。

また、「本人の同意を得（る）」とは、本人の承諾する旨の意思表示を当該個人情報取扱事業者が認識することをいい、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。

なお、個人情報の取扱いに関して同意したことによって生ずる結果について、未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力を有していないなどの場合は、親権者や法定代理人等から同意を得る必要がある。

## 【本人の同意を得ている事例】

事例 1）本人からの同意する旨の口頭による意思表示

事例 2）本人からの同意する旨の書面（電磁的記録を含む。）の受領

事例 3）本人からの同意する旨のメールの受信

事例 4）本人による同意する旨の確認欄へのチェック

事例 5）本人による同意する旨のホームページ上のボタンのクリック

事例 6）本人による同意する旨の音声入力、タッチパネルへのタッチ、ボタンやスイッチ等による入力
## 2 –13 「提供」

## 法第2条（第7項）

7 この法律において「保有個人データ」とは、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの又は1年以内の政令で定める期間以内に消去することとなるもの以外のものをいう。

## 法第23条（第1項）

1 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。

(1) ∼ (4) 略

※（参考）上記のほか、「提供」に関する主な条文

① 第三者提供に関するもの

法第 23 条第 2 項、第 5 項、第 24 条、第 25 条、及び第 26 条（3-4-2（オプトアウトによる第三者提供）、3-4-3（第三者に該当しない場合）、3-4-4（外国にある第三者への提供の制限）、3-4-5（第三者提供に係る記録の作成等）、3-4-6（第三者提供を受ける際の確認等）参照）

② 保有個人データの第三者提供の停止に係る請求に関するもの

## ③ 匿名加工情報に関するもの

法第36条第4項及び第37条（3-7（匿名加工情報取扱事業者等の義務）参照）

「提供」とは、個人データ、保有個人データ又は匿名加工情報（以下この項において「個人データ等」という。）を、自己以外の者が利用可能な状態に置くことをいう。個人データ等が、物理的に提供されていない場合であっても、ネットワーク等を利用することにより、個人データ等を利用できる状態にあれば（利用する権限が与えられていれば）、「提供」に当たる。
個人情報保護法ガイドライン（通則編）

## 3 個人情報取扱事業者等の義務

## 3 -1 個人情報の利用目的（法第15条～第16条、第18条第3項関係）

3−1−1 利用目的の特定（法第 15 条第 1 項関係）

法第 15 条（第 1 项）

1 個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。

個人情報取扱事業者は、個人情報を取り扱うに当たっては、利用目的をできる限り具体的に特定しなければならないが、利用目的の特定に当たっては、利用目的を単に抽象的、一般的に特定するのではなく、個人情報が個人情報取扱事業者において、最終的にどのような事業の用に供され、どのような目的で個人情報を利用されるのかが、本人にとって一般的かつ合理的に想定できる程度に具体的に特定することが望ましい（※）。

なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的の特定に当たっては、その旨が明確に分かるよう特定しなければならない（3-4-1（第三者提供の制限の原則）参照）。

【具体的に利用目的を特定している事例】

事例）事業者が商品の販売に伴い、個人から氏名・住所・メールアドレス等を取得するに当たり、「〇〇事業における商品の発送、関連するアフターサービス、新商品・サービスに関する情報のお知らせのために利用いたします。」等の利用目的を明示している場合

【具体的に利用目的を特定していない事例】

事例 1）「事業活動に用いるため」

事例 2）「マーケティング活動に用いるため」

（※）定款等に規定されている事業の内容に照らして、個人情報によって識別される本人からみて、自分の個人情報が利用される範囲が合理的に予想できる程度に特定されている場合や業種を明示することで利用目的の範囲が想定される場合には、これで足りるとされることもあり得るが、多くの場合、業種の明示だけでは利用目的をできる限り具体的に特定したことにはならないと解される。なお、利用目的の特定に当たり「〇〇事業」のように事業を明示する場合についても、社会通念上、本人からみてその特定に資すると認められる範囲に特定すること
が望ましい。

また、単に「事業活動」、「お客様のサービスの向上」等のように抽象的、一般的な内容を利用目的とすることは、できる限り具体的に特定したことにはならないと解される。

## 3 −1−2 利用目的の変更（法第 15 条第 2 項、第 18 条第 3 項関係）

法第15条（第2項）
2 個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。
法第18条（第3項）
3 個人情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。

上記 3−1−1（利用目的の特定）により特定した利用目的は、変更前の利用目的と関連性を有すると合理的に認められる範囲、すなわち、変更後の利用目的が変更前の利用目的からみて、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内（※1）で変更することは可能である。変更された利用目的は、本人に通知（※2）するか、又は公表（※3）しなければならない。

なお、特定された利用目的（法第15条第2項に定める範囲で変更された利用目的を含む。）の達成に必要な範囲を超えて個人情報を取り扱う場合は、法第16条第1項に従って本人の同意を得なければならない。ただし、本人の身体等の保護のために必要があり、かつ本人の同意を得ることが困難である場合等、法第16条第3項各号に掲げる場合には、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱うことができる（3-1-5（利用目的による制限の例外）参照）。

(※1)「本人が通常予期し得る限度と客観的に認められる範囲」とは、本人の主観や事業者の恣意的な判断によるものではなく、一般人の判断において、当初の利用目的と変更後の利用目的を比較して予期できる範囲をいい、当初特定した利用目的とどの程度の関連性を有するかを総合的に勘案して判断される。

（※2）「本人に通知」については、2−10（本人に通知）を参照のこと。

（※3）「公表」については、2−11（公表）を参照のこと。
## 3 −1−3 利用目的による制限（法第 16 条第 1 項関係）

## 法第16条（第1項）

1 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。

個人情報取扱事業者は、法第15条第1項により特定した利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合は、あらかじめ本人の同意（※）を得なければならない。ただし、当該同意を得るために個人情報を利用すること（メールの送信や電話をかけること等）は、当初特定した利用目的として記載されていない場合でも、目的外利用には該当しない。

（※）「本人の同意」については、2−12（本人の同意）を参照のこと。

## 3 -1-4 事業の承継（法第 16 条第 2 項関係）

## 法第16条（第2項）

2 個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。

個人情報取扱事業者が、合併、分社化、事業譲渡等により他の個人情報取扱事業者から事業の承継をすることに伴って個人情報を取得した場合であって、当該個人情報に係る承継前の利用目的の達成に必要な範囲内で取り扱う場合は目的外利用にはならず、本人の同意（※）を得る必要はない。

なお、事業の承継後に、承継前の利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合は、あらかじめ本人の同意を得る必要があるが、当該同意を得るために個人情報を利用すること（メールの送信や電話をかけること等）は、承継前の利用目的として記載されていない場合でも、目的外利用には該当しない。

（※）「本人の同意」については、2−12（本人の同意）を参照のこと。
## 3 −1−5 利用目的による制限の例外（法第 16 条第 3 項関係）

## 法第16条（第3項）

3 前二項の規定は、次に掲げる場合については、適用しない。

(1) 法令に基づく場合

(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

次に掲げる場合については、法第16条第1項及び第2項において、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うに当たり本人の同意（※）を得ることが求められる場合であっても、当該同意は不要である。

（※）「本人の同意」については、2−12（本人の同意）を参照のこと。

## (1) 法令に基づく場合（法 16 条第 3 項第 1 号関係）

法令に基づく場合は、法第16条第1項又は第2項の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。

事例 1) 警察の捜査関係事項照会に対応する場合（刑事訴訟法（昭和23年法律第131号）第197条第2項）

事例 2）裁判官の発する令状に基づく捜査に対応する場合（刑事訴訟法第218条）

事例 3）税務署の所得税等に関する調査に対応する場合（国税通則法（昭和37年法律第66号）第74条の2他）

事例 4）製造・輸入事業者が消費生活用製品安全法（昭和 48 年法律第 31 号）第 39 条第 1 項の規定による命令（危害防止命令）を受けて製品の回収等の措置をとる際に、販売事業者が、同法第 38 条第 3 項の規定に基づき製品の購入者等の情報を当該製造・輸入事業者に提供する場合

事例 5）弁護士会からの照会に対応する場合（弁護士法（昭和24年法律第205号）第23条の2）
（2）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（法第16条第3項第2号関係）

人（法人を含む。）の生命、身体又は財産といった具体的な権利利益の保護が必要であり、かつ、本人の同意を得ることが困難である場合は、法第16条第1項又は第2項の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。

事例 1）急病その他の事態が生じたときに、本人について、その血液型や家族の連絡先等を医師や看護師に提供する場合

事例 2）大規模災害や事故等の緊急時に、被災者情報・負傷者情報等を家族、行政機関、地方自治体等に提供する場合

事例 3）事業者間において、暴力団等の反社会的勢力情報、振り込め詐欺に利用された口座に関する情報、意図的に業務妨害を行う者の情報について共有する場合

生命若しくは身体に危害を及ぼす急迫した危険が存在するため、当該商品の製造事業者等が当該商品をリコールする場合で、販売事業者、修理事業者又は設置工事事業

事例 5）上記事例 4 のほか、商品に重大な欠陥があり人の生命、身体又は財産の保護が必要となるような緊急時に、製造事業者から顧客情報の提供を求められ、これに応じる必要がある場合

事例 6）不正送金等の金融犯罪被害の事実に関する情報を、関連する犯罪被害の防止のために、他の事業者に提供する場合

（3）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（法第16条第3項第3号関係）

公衆衛生の向上又は心身の発達途上にある児童の健全な育成のために特に必要があり、かつ、本人の同意を得ることが困難である場合は、法第16条第1項又は第2項の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。

事例 1）健康保険組合等の保険者等が実施する健康診断の結果等に係る情報を、健康増進施策の立案、保健事業の効果の向上、疫学調査等に利用する場合（なお、法第76条第1項第3号に該当する場合は、第4章の各規定は適用されない。）
個人情報保護法ガイドライン（通則編）

事例 2）児童生徒の不登校や不良行為等について、児童相談所、学校、医療機関等の関係機関が連携して対応するために、当該関係機関等の間で当該児童生徒の情報を交換する場合

事例 3）児童虐待のおそれのある家庭情報を、児童相談所、警察、学校、病院等が共有する必要がある場合

(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して、事業者が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（法第16条第3項第4号関係）

国の機関等（地方公共団体又はその委託を受けた者を含む。）が法令の定める事務を実施する上で、民間企業等の協力を得る必要があり、かつ、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがあると認められる場合は、当該民間企業等は、法第16条第1項又は第2項の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。

事例 1) 事業者が税務署又は税関の職員等の任意の求めに応じて個人情報を提出する場合

事例 2）事業者が警察の任意の求めに応じて個人情報を提出する場合

事例 3）一般統計調査や地方公共団体が行う統計調査に回答する場合

## 3 –2 個人情報の取得（法第17条・第18条関係）

3–2–1 適正取得（法第 17 条第 1 項関係）

法第17条（第1項）

1 個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。

個人情報取扱事業者は、偽り等の不正の手段により個人情報を取得（※1）してはならない（※2）。

【個人情報取扱事業者が不正の手段により個人情報を取得している事例】

事例 1）十分な判断能力を有していない子供や障害者から、取得状況から考えて関係のな

い家族の収入事情などの家族の個人情報を、家族の同意なく取得する場合

事例 2）法第 23 条第 1 項に規定する第三者提供制限違反をするよう強要して個人情報を
## 取得する場合

事例 3）個人情報を取得する主体や利用目的等について、意図的に虚偽の情報を示して、本人から個人情報を取得する場合

事例4）他の事業者に指示して不正の手段で個人情報を取得させ、当該他の事業者から個人情報を取得する場合

事例 5）法第 23 条第 1 項に規定する第三者提供制限違反がされようとしていることを知り、又は容易に知ることができるにもかかわらず、個人情報を取得する場合

事例 6）不正の手段で個人情報が取得されたことを知り、又は容易に知ることができるにもかかわらず、当該個人情報を取得する場合

(※1)個人情報を含む情報がインターネット等により公にされている場合であって、単にこれを閲覧するにすぎず、転記等を行わない場合は、個人情報を取得しているとは解されない。

（※2）個人情報取扱事業者若しくはその従業者又はこれらであった者が、その業務に関して取り扱った個人情報データベース等（その全部又は一部を複製し、又は加工したものを含む。）を自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、法第83条により刑事罰（1年以下の懲役又は50万円以下の罰金）が科され得る。

## 3 –2–2 要配慮個人情報の取得（法第 17 条第 2 項関係）

## 法第17条（第2項）

2 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。

(1) 法令に基づく場合

(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

(5) 当該要配慮個人情報が、本人、国の機関、地方公共団体、第76条第1項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合

(6) その他前各号に掲げる場合に準ずるものとして政令で定める場合
## 規則第6条

法第17条第2項第5号の個人情報保護委員会規則で定める者は、次の各号のいずれかに該当する者とする。

(1) 外国政府、外国の政府機関、外国の地方公共団体又は国際機関

(2) 外国において法第 76 条第 1 項各号に掲げる者に相当する者

## 政令第7条

法第17条第2項第6号の政令で定める場合は、次に掲げる場合とする。

(1) 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合

(2) 法第 23 条第 5 項各号に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき。

要配慮個人情報（※1）を取得する場合には、あらかじめ本人の同意（※2）を得なければならない。ただし、次の（1）から（7）までに掲げる場合については、本人の同意を得る必要はない。

## (1) 法令に基づく場合（法第 17 条第 2 項第 1 号関係）

法令に基づく場合は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。なお、具体的な事例は、3-1-5（利用目的による制限の例外）に示すもののほか、次の事例も該当する。

事例）個人情報取扱事業者が、労働安全衛生法に基づき健康診断を実施し、これにより従業員の身体状況、病状、治療等の情報を健康診断実施機関から取得する場合

(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（法第17条第2項第2号関係）

人（法人を含む。）の生命、身体又は財産といった具体的な権利利益の保護が必要であり、かつ、本人の同意を得ることが困難である場合は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。

事例1）急病その他の事態が生じたときに、本人の病歴等を医師や看護師が家族から聴取する場合
個人情報保護法ガイドライン（通則編）

事例 2）事業者間において、不正対策等のために、暴力団等の反社会的勢力情報、意図的に業務妨害を行う者の情報のうち、過去に業務妨害罪で逮捕された事実等の情報について共有する場合

事例 3）不正送金等の金融犯罪被害の事実に関する情報を、関連する犯罪被害の防止のために、他の事業者から取得する場合

（3）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（法第17条第2項第3号関係）

公衆衛生の向上又は心身の発達途上にある児童の健全な育成のために特に必要があり、かつ、本人の同意を得ることが困難である場合は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。

事例 1) 健康保険組合等の保険者等が実施する健康診断等の結果判明した病名等について、健康増進施策の立案や保健事業の効果の向上を目的として疫学調査等のために提供を受けて取得する場合（なお、法第 76 条第 1 項第 3 号に該当する場合は、第 4 章の各規定は適用されない。）

事例 2）児童生徒の不登校や不良行為等について、児童相談所、学校、医療機関等の関係機関が連携して対応するために、ある関係機関において、他の関係機関から当該児童生徒の保護事件に関する手続が行われた情報を取得する場合

事例 3）児童虐待のおそれのある家庭情報のうち被害を被った事実に係る情報を、児童相談所、警察、学校、病院等の関係機関が、他の関係機関から取得する場合

（4）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して、事業者が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（法第17条第2項第4号関係）

国の機関等（地方公共団体又はその委託を受けた者を含む。）が法令の定める事務を実施する上で、民間企業等の協力を得る必要があり、かつ、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがあると認められる場合は、当該民間企業等は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。

事例）事業者が警察の任意の求めに応じて要配慮個人情報に該当する個人情報を提出するために、当該個人情報を取得する場合

（5）当該要配慮個人情報が、本人、国の機関、地方公共団体、法第76条第1項各号に掲げ
個人情報保護法ガイドライン（通則編）

る者その他個人情報保護委員会規則で定める者により公開されている場合（法第17条第2項第5号、規則第6条関係）

要配慮個人情報が、次に掲げる者により公開されている場合は、あらかじめ本人の同意を得ることなく、当該公開されている要配慮個人情報を取得することができる。

①本人

②国の機関

③地方公共団体

④放送機関・新聞社・通信社その他の報道機関（報道を業として行う個人を含む。）

⑤著述を業として行う者

⑥大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者

⑦宗教団体

⑧政治団体

⑨外国政府、外国の政府機関、外国の地方公共団体又は国際機関

⑩外国において法第76条第1項各号に掲げる者に相当する者

（6）本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合（法第17条第2項第6号、政令第7条第1号関係）

本人の意思にかかわらず、本人の外形上の特徴により、要配慮個人情報に含まれる事項（例：身体障害等）が明らかであるときは、あらかじめ本人の同意を得ることなく、当該要配慮個人情報を取得することができる。

事例）身体の不自由な方が店舗に来店し、対応した店員がその旨をお客様対応録等に記録した場合（目視による取得）や、身体の不自由な方の様子が店舗に設置された防犯カメラに映りこんだ場合（撮影による取得）

（7）法第 23 条第 5 項各号に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき（法第 17 条第 2 項第 6 号、政令第 7 条第 2 号関係）

要配慮個人情報を、法第23条第5項各号に定める委託、事業承継又は共同利用により取得する場合は、あらかじめ本人の同意を得る必要はない。

【法第 17 条第 2 項に違反している事例】

本人の同意を得ることなく、法第17条第2項第5号及び規則第6条で定める者以外がイ
ンターネット上で公開している情報から本人の信条や犯罪歴等に関する情報を取得し、既に保有している当該本人に関する情報の一部として自己のデータベース等に登録すること。

（※1）「要配慮個人情報」については、2-3（要配慮個人情報）を参照のこと。なお、要配慮個人情報の第三者提供には、原則として本人の同意が必要であり、オプトアウトによる第三者提供は認められていないので、注意が必要である（3-4-1（第三者提供の制限の原則）、3-4-2（オプトアウトによる第三者提供）参照）。

（※2）「本人の同意」については、2-12（本人の同意）を参照のこと。なお、個人情報取扱事業者が要配慮個人情報を書面又は口頭等により本人から適正に直接取得する場合は、本人が当該情報を提供したことをもって、当該個人情報取扱事業者が当該情報を取得することについて本人の同意があったものと解される。

また、個人情報取扱事業者が要配慮個人情報を第三者提供の方法により取得した場合、提供元が法第17条第2項及び法第23条第1項に基づいて本人から必要な同意（要配慮個人情報の取得及び第三者提供に関する同意）を取得していることが前提となるため、提供を受けた当該個人情報取扱事業者が、改めて本人から法第17条第2項に基づく同意を得る必要はないものと解される。

## 3 –2–3 利用目的の通知又は公表（法第 18 条第 1 項関係）

## 法第18条（第1項）

1 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

個人情報取扱事業者は、個人情報を取得する場合は、あらかじめその利用目的を公表（※1）していることが望ましい。公表していない場合は、取得後速やかに、その利用目的を、本人に通知（※2）するか、又は公表しなければならない。

## 【本人への通知又は公表が必要な事例】

事例 1）インターネット上で本人が自発的に公にしている個人情報を取得した場合（単に閲覧しただけの場合を除く。）

事例 2）インターネット、官報、職員録等から個人情報を取得した場合（単に閲覧しただけの場合を除く。）

事例 3）個人情報の第三者提供を受けた場合
個人情報保護法ガイドライン（通則編）

（※1）「公表」については、2−11（公表）を参照のこと。

（※2）「本人に通知」については、2−10（本人に通知）を参照のこと。

## 3 –2–4 直接書面等による取得（法第 18 条第 2 項関係）

## 法第18条（第2項）

2 個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

個人情報取扱事業者は、契約書や懸賞応募はがき等の書面等による記載、ユーザー入力画面への打ち込み等の電磁的記録により、直接本人から個人情報を取得する場合には、あらかじめ、本人に対し、その利用目的を明示（※）しなければならない。

なお、口頭により個人情報を取得する場合にまで、本項の義務を課するものではないが、その場合は法第18条第1項に基づいて、あらかじめ利用目的を公表するか、取得後速やかに、その利用目的を、本人に通知するか、又は公表しなければならない。

また、人（法人を含む。）の生命、身体又は財産の保護のために緊急に必要がある場合は、あらかじめ、本人に対し、その利用目的を明示する必要はないが、その場合は法第18条第1項に基づいて、取得後速やかにその利用目的を、本人に通知し、又は公表しなければならない（3-2-3（利用目的の通知又は公表）参照）。

【あらかじめ、本人に対し、その利用目的を明示しなければならない事例】

事例1）本人の個人情報が記載された申込書・契約書等を本人から直接取得する場合

事例 2）アンケートに記載された個人情報を直接本人から取得する場合

事例 3）自社が主催するキャンペーンへの参加希望者が、参加申込みのために自社のホー

ムページの入力画面に入力した個人情報を直接本人から取得する場合

## 【利用目的の明示に該当する事例】

事例 1）利用目的を明記した契約書その他の書面を相手方である本人に手渡し、又は送付する場合

なお、契約約款又は利用条件等の書面（電磁的記録を含む。）中に利用目的条項を記載する場合は、例えば、裏面約款に利用目的が記載されていることを伝える、又は
裏面約款等に記載されている利用目的条項を表面にも記載し、かつ、社会通念上、本人が認識できる場所及び文字の大きさで記載する等、本人が実際に利用目的を確認できるよう留意することが望ましい。

事例 2）ネットワーク上において、利用目的を、本人がアクセスした自社のホームページ上に明示し、又は本人の端末装置上に表示する場合

なお、ネットワーク上において個人情報を取得する場合は、本人が送信ボタン等をクリックする前等にその利用目的（利用目的の内容が示された画面に1回程度の操作でページ遷移するよう設定したリンクやボタンを含む。）が本人の目に留まるようその配置に留意することが望ましい。

（※）「本人に対し、その利用目的を明示」とは、本人に対し、その利用目的を明確に示すことをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法による必要がある。

## 3 -2-5 利用目的の通知等をしなくてよい場合（法第18条第4項関係）

## 法第18条（第4項）

4 前三項の規定は、次に掲げる場合については、適用しない。

(1) 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

(2) 利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合

(3) 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。

(4) 取得の状況からみて利用目的が明らかであると認められる場合

次に掲げる場合については、法第18条第1項から第3項までにおいて利用目的の本人への通知（※1）、公表（※2）又は明示（※3）（以下この項において「利用目的の通知等」という。）が求められる場合であっても、当該利用目的の通知等は不要である。

（1）利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（法18条第4項第1号関係）

利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産そ
個人情報保護法ガイドライン（通則編）

の他の権利利益を害するおそれがある場合は、法第18条第1項から第3項までの適用を受けず、当該利用目的の通知等は不要である。

事例）児童虐待等に対応するために、児童相談所、学校、医療機関等の関係機関において、ネットワークを組んで対応する場合に、加害者である本人に対して当該本人の個人情報の利用目的を通知・公表することにより、虐待を悪化させたり、虐待への対応に支障等が生じたりするおそれがある場合

（2）利用目的を本人に通知し、又は公表することにより事業者の権利又は正当な利益を害するおそれがある場合（法第18条第4項第2号関係）

利用目的を本人に通知し、又は公表することにより事業者の権利又は正当な利益を害するおそれがある場合は、法第18条第1項から第3項までの適用を受けず、当該利用目的の通知等は不要である。

事例）暴力団等の反社会的勢力情報、疑わしい取引の届出の対象情報、業務妨害行為を行う悪質者情報等を、本人又は他の事業者等から取得したことが明らかになることにより、当該情報を取得した企業に害が及ぶ場合

(3) 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき（法第18条第4項第3号関係）

国の機関等（地方公共団体又はその委託を受けた者を含む。）が法令の定める事務を実施する上で、民間企業等の協力を得る必要があり、かつ、本人に対する利用目的の通知等により当該事務の遂行に支障を及ぼすおそれがあると認められる場合は、当該民間企業等は、法第18条第1項から第3項までの適用を受けず、当該利用目的の通知等は不要である。

事例）警察が、公開手配を行わないで、被疑者に関する個人情報を、被疑者の立ち回りが予想される個人情報取扱事業者に限って提供した場合において、警察から当該個人情報を受け取った当該個人情報取扱事業者が、利用目的を本人に通知し、又は公表することにより、捜査活動に支障を及ぼすおそれがある場合

（4）取得の状況からみて利用目的が明らかであると認められる場合（法第18条第4項第4号関係）
個人情報保護法ガイドライン（通則編）

取得の状況からみて利用目的が明らかであると認められる場合は、法第18条第1項から第3項までの適用を受けず、当該利用目的の通知等は不要である。

事例 1）商品・サービス等を販売・提供するに当たって住所・電話番号等の個人情報を取得する場合で、その利用目的が当該商品・サービス等の販売・提供のみを確実に行うためという利用目的であるような場合

事例 2）一般の慣行として名刺を交換する場合、書面により、直接本人から、氏名・所属・肩書・連絡先等の個人情報を取得することとなるが、その利用目的が今後の連絡のためという利用目的であるような場合（ただし、ダイレクトメール等の目的に名刺を用いることは自明の利用目的に該当しない場合があるので注意を要する。）

（※1）本人への「通知」については、2−10（本人に通知）を参照のこと。

（※2）「公表」については、2−11（公表）を参照のこと。

（※3）「明示」については、3−2−4（直接書面等による取得）を参照のこと。

## 3 -3 個人データの管理（法第19条～第22条関係）

## 3 -3-1 データ内容の正確性の確保等（法第 19 条関係）

## 法第 19 条

個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。

個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人情報データベース等への個人情報の入力時の照合・確認の手続の整備、誤り等を発見した場合の訂正等の手続の整備、記録事項の更新、保存期間の設定等を行うことにより、個人データを正確かつ最新の内容に保つよう努めなければならない。

なお、保有する個人データを一律に又は常に最新化する必要はなく、それぞれの利用目的に応じて、その必要な範囲内で正確性・最新性を確保すれば足りる。

また、個人情報取扱事業者は、保有する個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等は、当該個人データを遅滞なく消去するよう努めなければならない（※）。なお、法令の定めにより保存期間等が定められている場合は、この限
個人情報保護法ガイドライン（通則編）

りではない。

【個人データについて利用する必要がなくなったときに該当する事例】

事例）キャンペーンの懸賞品送付のため、当該キャンペーンの応募者の個人データを保有していたところ、懸賞品の発送が終わり、不着対応等のための合理的な期間が経過した場合

(※)「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む。

## 3 –3–2 安全管理措置（法第 20 条関係）

## 法第 20 条

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損（以下「漏えい等」という。）の防止その他の個人データの安全管理のため、必要かつ適切な措置を講じなければならないが、当該措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容としなければならない。具体的に講じなければならない措置や当該項目を実践するための手法の例等については、「8（別添）講ずべき安全管理措置の内容」を参照のこと。

## 3 -3-3 従業者の監督（法第 21 条関係）

## 法第 21 条

個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たって、法第20条
に基づく安全管理措置を遵守させるよう、当該従業者に対し必要かつ適切な監督をしなければならない。その際、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に起因するリスクに応じて、個人データを取り扱う従業者に対する教育、研修等の内容及び頻度を充実させるなど、必要かつ適切な措置を講ずることが望ましい。

「従業者」とは、個人情報取扱事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者等をいい、雇用関係にある従業員（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、取締役、執行役、理事、監査役、監事、派遣社員等も含まれる。

## 【従業者に対して必要かつ適切な監督を行っていない事例】

事例 1）従業者が、個人データの安全管理措置を定める規程等に従って業務を行っていることを確認しなかった結果、個人データが漏えいた場合

事例 2）内部規程等に違反して個人データが入ったノート型パソコン又は外部記録媒体が繰り返し持ち出されていたにもかかわらず、その行為を放置した結果、当該パソコン又は当該記録媒体が紛失し、個人データが漏えいした場合

## 3 -3-4 委託先の監督（法第 22 条関係）

## 法第 22 条

個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託（※1）する場合は、委託を受けた者（以下「委託先」という。）において当該個人データについて安全管理措置が適切に講じられるよう、委託先に対し必要かつ適切な監督をしなければならない。具体的には、個人情報取扱事業者は、法第20条に基づき自らが講ずべき安全管理措置と同等の措置が講じられるよう、監督を行うものとする（※2）。

その際、委託する業務内容に対して必要のない個人データを提供しないようにすることは当然のこととして、取扱いを委託する個人データの内容を踏まえ、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に起因するリスクに応じて、次の（1）から（3）までに掲げる必要かつ適切な措置を講じなければならない（※3）。
## （1） 適切な委託先の選定

委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第20条及び本ガイドラインで委託元に求められるものと同等であることを確認するため、「8（別添）講ずべき安全管理措置の内容）」に定める各項目が、委託する業務内容に沿って、確実に実施されることについて、あらかじめ確認しなければならない。

## (2) 委託契約の締結

委託契約には、当該個人データの取扱いに関する、必要かつ適切な安全管理措置として、委託元、委託先双方が同意した内容とともに、委託先における委託された個人データの取扱状況を委託元が合理的に把握することを盛り込むことが望ましい。

## （3） 委託先における個人データ取扱状況の把握

委託先における委託された個人データの取扱状況を把握するためには、定期的に監査を行う等により、委託契約で盛り込んだ内容の実施の程度を調査した上で、委託の内容等の見直しを検討することを含め、適切に評価することが望ましい。

また、委託先が再委託を行おうとする場合は、委託を行う場合と同様、委託元は、委託先が再委託する相手方、再委託する業務内容、再委託先の個人データの取扱方法等について、委託先から事前報告を受け又は承認を行うこと、及び委託先を通じて又は必要に応じて自らが、定期的に監査を実施すること等により、委託先が再委託先に対して本条の委託先の監督を適切に果たすこと、及び再委託先が法第20条に基づく安全管理措置を講ずることを十分に確認することが望ましい（※4）。再委託先が再々委託を行う場合以降も、再委託を行う場合と同様である。

【委託を受けた者に対して必要かつ適切な監督を行っていない事例】

事例 1) 個人データの安全管理措置の状況を契約締結時及びそれ以後も適宜把握せず外部

の事業者に委託した結果、委託先が個人データを漏えいた場合

事例 2) 個人データの取扱いに関して必要な安全管理措置の内容を委託先に指示しなかっ

た結果、委託先が個人データを漏えいした場合

事例 3）再委託の条件に関する指示を委託先に行わず、かつ委託先の個人データの取扱状

況の確認を怠り、委託先が個人データの処理を再委託した結果、当該再委託先が個人

データを漏えいた場合

事例 4）契約の中に、委託元は委託先による再委託の実施状況を把握することが盛り込ま
れているにもかかわらず、委託先に対して再委託に関する報告を求めるなどの必要な措置を行わず、委託元の認知しない再委託が行われた結果、当該再委託先が個人データを漏えいした場合

（※1）「個人データの取扱いの委託」とは、契約の形態・種類を問わず、個人情報取扱事業者が他の者に個人データの取扱いを行わせることをいう。具体的には、個人データの入力（本人からの取得を含む。）、編集、分析、出力等の処理を行うことを委託すること等が想定される。

（※2）委託元が法第20条が求める水準を超える高い水準の安全管理措置を講じている場合に、委託先に対してもこれと同等の措置を求める趣旨ではなく、法律上は、委託先は、法第20条が求める水準の安全管理措置を講じれば足りると解される。

（※3）委託先の選定や委託先における個人データ取扱状況の把握に当たっては、取扱いを委託する個人データの内容や規模に応じて適切な方法をとる必要があるが、例えば、必要に応じて個人データを取り扱う場所に赴く又はこれに代わる合理的な方法（口頭による確認を含む。）により確認することが考えられる。

（※4）委託元が委託先について「必要かつ適切な監督」を行っていない場合で、委託先が再委託をした際に、再委託先が不適切な取扱いを行ったときは、元の委託元による法違反と判断され得るので、再委託をする場合は注意を要する。

## 3 -4 個人データの第三者への提供（法第23条～第26条関係）

## 3 -4-1 第三者提供の制限の原則（法第 23 条第 1 項関係）

## 法第23条（第1項）

1 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。

(1) 法令に基づく場合

(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
個人情報取扱事業者は、個人データの第三者への提供に当たり、あらかじめ本人の同意（※1）を得ないで提供してはならない（※2）（※3）。同意の取得に当たっては、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示さなければならない。

なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的において、その旨を特定しなければならない（3-1-1（利用目的の特定）参照）。

【第三者提供とされる事例】（ただし、法第23条第5項各号の場合を除く。）

事例 1）親子兄弟会社、グループ会社の間で個人データを交換する場合

事例 2）フランチャイズ組織の本部と加盟店の間で個人データを交換する場合

事例 3）同業者間で、特定の個人データを交換する場合

【第三者提供とされない事例】（ただし、利用目的による制限がある。）

事例）同一事業者内で他部門へ個人データを提供する場合

ただし、次の（1）から（4）までに掲げる場合については、第三者への個人データの提供に当たって、本人の同意は不要である。なお、具体的な事例は、3-1-5（利用目的による制限の例外）を参照のこと。

（1）法令に基づいて個人データを提供する場合（法第23条第1項第1号関係）

(2) 人（法人を含む。）の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するためのに個人データの提供が必要であり、かつ、本人の同意を得ることが困難である場合（法第23条第1項第2号関係）

（3）公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることが困難である場合（法第23条第1項第3号関係）

(4) 国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であって、協力する民間企業等が当該国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合（法第23条第1項第4号関係）

（※1）「本人の同意」については、2−12（本人の同意）を参照のこと。

（※2）ブログやその他のSNSに書き込まれた個人データを含む情報については、当該情報を書き込んだ者の明確な意思で不特定多数又は限定された対象に対して公開されている情報であり、その内容を誰が閲覧できるかについて当該情報を
書き込んだ者が指定していることから、その公開範囲について、インターネット回線への接続サービスを提供するプロバイダやブログその他のSNSの運営事業者等に裁量の余地はないため、このような場合は、当該事業者が個人データを第三者に提供しているとは解されない。

（※3）個人情報取扱事業者若しくはその従業者又はこれらであった者が、その業務に関して取り扱った個人情報データベース等（その全部又は一部を複製し、又は加工したものを含む。）を自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、法第83条により刑事罰（1年以下の懲役又は50万円以下の罰金）が科される。

## 3 -4-2 オプトアウトによる第三者提供（法第 23 条第 2 項～第 4 項関係）

## 3 -4-2-1 オプトアウトに関する原則（法第23条第2項関係）

## 法第23条（第2項）

2 個人情報取扱事業者は、第三者に提供される個人データ（要配慮個人情報を除く。以下この項において同じ。）について、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。

(1) 第三者への提供を利用目的とすること。

(2) 第三者に提供される個人データの項目

(3) 第三者への提供の方法

(4) 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。

(5) 本人の求めを受け付ける方法

## 規則第7条

1 法第 23 条第 2 項又は第 3 項の規定による通知又は容易に知り得る状態に置く措置は、次に掲げるところにより、行うものとする。

(1) 第三者に提供される個人データによって識別される本人（次号において「本人」という。）が当該提供の停止を求めるのに必要な期間をおくこと。

(2) 本人が法第 23 条第 2 項各号に掲げる事項を確実に認識できる適切かつ合理的な方法によること。
2 法第 23 条第 2 項又は第 3 項の規定による届出は、次に掲げる方法のいずれかにより行わなければならない。

(1) 個人情報保護委員会が定めるところにより、電子情報処理組織（個人情報保護委員会の使用に係る電子計算機と届出を行う者の使用に係る電子計算機とを電気通信回線で接続した電子情報処理組織をいう。）を使用する方法

(2) 別記様式第1による届出書及び当該届出書に記載すべき事項を記録した光ディスク（これに準ずる方法により一定の事項を確実に記録しておくことができる物を含む。以下「光ディスク等」という。）を提出する方法

3 個人情報取扱事業者が、代理人によって法第23条第2項又は第3項の規定による届出を行う場合には、別記様式第2によるその権限を証する書面（電磁的記録を含む。以下同じ。）を個人情報保護委員会に提出しなければならない。

## 規則第8条

外国にある個人情報取扱事業者は、法第23条第2項又は第3項の規定による届出を行う場合には、国内に住所を有する者であって、当該届出に関する一切の行為につき、当該個人情報取扱事業者を代理する権限を有するものを定めなければならない。この場合において、当該個人情報取扱事業者は、当該届出と同時に、当該個人情報取扱事業者が国内に住所を有する者に、当該届出に関する一切の行為につき、当該個人情報取扱事業者を代理する権限を付与したことを証する書面（日本語による翻訳文を含む。）を個人情報保護委員会に提出しなければならない。

## 規則第10条

個人情報取扱事業者は、法第23条第4項の規定による公表がされた後、速やかに、インターネットの利用その他の適切な方法により、同条第2項に掲げる事項（同項第2号、第3号又は第5号に掲げる事項に変更があったときは、変更後の当該各号に掲げる事項）を公表するものとする。

個人情報取扱事業者は、個人データの第三者への提供に当たり、次の（1）から（5）までに掲げる事項をあらかじめ（※1）本人に通知し、又は本人が容易に知り得る状態（※2）に置くとともに、個人情報保護委員会に届け出た場合には（※3）、法第23条第1項の規定にかかわらず、あらかじめ本人の同意（※4）を得ることなく、個人データを第三者に提供することができる（※5）（オプトアウトによる第三者提供）。

また、個人情報取扱事業者は、法第23条第2項に基づき、必要な事項を個人情報保護委員会に届け出たときは、その内容を自らもインターネットの利用その他の適切な方法により公表（※6）するものとする。

なお、要配慮個人情報は、オプトアウトにより第三者に提供することはできず、第三者に
個人情報保護法ガイドライン（通則編）

提供するに当たっては、法第 23 条第 1 項各号又は同条第 5 項各号に該当する場合以外は、必ずあらかじめ本人の同意を得る必要があるので、注意を要する。

（1）第三者への提供を利用目的とすること。

(2) 第三者に提供される個人データの項目

事例 1）氏名、住所、電話番号、年齢

事例 2）氏名、商品購入履歴

(3) 第三者への提供の方法

事例 1）書籍（電子書籍を含む。）として出版

事例 2）インターネットに掲載

事例 3）プリントアウトして交付

事例 4）各種通信手段による配信

事例 5）その他外部記録媒体の形式での交付

（4）本人の求めに応じて第三者への提供を停止すること。

(5) 本人の求めを受け付ける方法（※7）

事例1）郵送

事例2）メール送信

事例3）ホームページ上の指定フォームへの入力

事例4）事業所の窓口での受付

事例5）電話

## 【オプトアウトによる第三者提供の事例】

事例）住宅地図業者（表札や郵便受けを調べて住宅地図を作成・販売）やデータベース事業者（ダイレクトメール用の名簿等を作成・販売）が、あらかじめ上記（1）から（5）までに掲げる事項を自社のホームページに常時掲載し、本人からの停止の求めを受け付けられる状態にし、個人情報保護委員会に必要な届出を行った上で、販売等を行う場合

（※1）オプトアウトによる第三者提供を行う際は、上記の（1）から（5）までに掲げる事項をあらかじめ、第三者に提供される個人データによって識別される本人が当該提供の停止を求めるのに必要な期間をおかなければならない（規則第7条第1項第1号）ため、本人に通知し又は本人が容易に知り得る状態に置いた時