Silviase/jgov_v1.4_full_ann huggingface dataset:
No	該当簡所	寄せられた御意見等	御意見等に対する考え方
常の防犯カメラに比べて、特定の個人を追跡する機能をもつ顔認識システムの方が肖像権やプライバシー侵害の度合いが強く、両者は区別する必要がある」『顔認識システムを採用していることを明記し、嫌だと感じた人はその店を利用しないで済むようにするなど、透明性を確保することが大事だ』（「客に知らせず顔データ化…客層把握や万引き防止」読売新聞2015年12月30日付）と述べておられる。【匿名】	いと考えられます。この他、防犯カメラ等に関する考え方については、Q&A等において示すことを検討してまいります。
479	3-2-5	利用目的の通知等をしなくてよい場合	(該当簡所)通則編3-2-5利用目的の通知をしなくてよい場合(意見)「(3)国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき(法第18条第4項第3号関係)」は、利用目的を本人に通知する必要は無いとされているが、この「事務の遂行に支障を及ぼすおそれ」は、誰が判断するのか。紹介の事例では、警察が個人情報取扱事業者に対して、その旨及び通知等が不要である旨を明言してくれるのか。【個人】	協力する個人情報取扱事業者の側で利用目的を本人に通知し、又は公表することにより、国の機関等が法令の定める事務の遂行に支障を及ぼすおそれがある旨の判断は、一般的に国の機関等に委ねられると考えますが、個別の事案に即して対応すべきと考えます。
480	3-3-1	データ内容の正確性の確保等	●該当簡所通則編の40ページ・24行目●意見内容通則編40ページ・24行目の「また、個人情報取扱事業者は、・・・この限りではない。」に、下記の表現を追記すべき。「ただし、消去に多額の費用を要する場合、その他消去することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。」●理由必ずしもすべての情報を網羅的に消去することができるとは限らないため、代替策も認めるべき。【一般社団法人日本クレジット協会】	本ガイドライン(通則編)案3-3-1(※)において、「消去」には「削除することのほか、当該データから特定の個人を識別できないようにすること等を含む」と記載しております。
481	3-3-1	データ内容の正確性の確保等	2.個人情報の保護に関する法律についてのガイドライン(通則編)(案)に対する意見等金融分野における個人情報保護に関するガイドラインの第9条(データ内容の正確性の確保)において、「事業者は、預金者又は保険契約者等の個人データの保存期間については契約終了後一定期間内とする等、保有する個人データの利用目的に応じ保存期間を定め、当該期間を経過した個人データを消去することとする」とあるが、法19条の個人データを「利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない」との努力義務は、金融分野における個人情報保護に関するガイドラインの規定以上の対応を求める趣旨ではないとの理解でよいか。また、上記に関連して、「『金融分野における個人情報保護に関するガイドライン』(案)への意見一覧」(平成16年12月28日公表)において、保存期間については、「保有する個人データごとに各事業者が利用目的	御理解のとおりです。
No	該当簡所	寄せられた御意見等	御意見等に対する考え方
に応じて保存期間を定めることが求められるものです」(項番201)との回答があり、「ガイドライン第9条の適用に際しては、特定の利用目的に基づく保持の要件だけを配慮するのでなく、将来の妥当な必要性についても配慮すべきである」との意見に対しては、「保有する個人データの利用目的において、将来の必要性が認められる場合においては、対応した保存期間を定めることとなるものと考えられます」(項番209)との回答がなされているが、改正法施行後も同解釈に変更はないとの理解でよいか。【一般社団法人全国銀行協会】
482	3-3-1	データ内容の正確性の確保等	(該当簡所)通則編 3-3-1 データ内容の正確性の確保等(意見)個人データの消去努力義務に、現行法27条2項のただし書きと同様の表現を追記していただきたい。<例>「ただし、消去に多額の費用を要する場合、その他消去することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない」(理由)必ずしもすべての情報を網羅的に消去することができるとは限らないため、代替策も認めるべきと考えられるため。【日本貸金業協会】	本ガイドライン(通則編)案3-3-1(※)において、「消去」には「削除することのほか、当該データから特定の個人を識別できないようにすること等を含む」と記載しております。
483	3-3-1	データ内容の正確性の確保等	意見20【通則編 3-3-1 p.41 ※】「個人データとして使えなくする」とは散在情報化もこれに該当するということでよいか「「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む。」とあるが、ならば、当該個人データを、個人情報データベース等から切り離して(非登録の状態にして)、散在情報として孤立した個人情報に分離した場合も、「個人データの消去」に該当するという理解でよいか、確認したい。【一般財団法人 情報法制研究所 個人情報保護法タスクフォース】	御指摘の記述は、個人情報としての機能を失わせることも「消去」に含まれる旨を、条文の文言に即して「個人データとして使えなくすること」と表現したものであり、個人データを個人情報にすることを含む趣旨ではありません。
484	3-3-1	データ内容の正確性の確保等	(該当簡所)通則編 3-3-1(意見)法16条は、利用目的の達成に必要な範囲を超えての個人情報の取り扱いを禁じており、努力義務による削除の範囲を超え、利用目的の達成な必要な範囲を超えて個人情報を取り扱った場合には、16条違反となり得ることを記載すべきである。また、その場合の限界に関する例示を記載すべきである。(理由)利用目的を達した後に個人情報を取り扱い続けることについて、法16条違反となり得るという見解	個人情報取扱事業者が、保有する個人データについて利用する必要がなくなったときに、当該個人データを遅滞なく消去していない場合に、改正後の法第16条第1項に違反しているか否かは、個別の事例ごとに判断することとなります。
No	該当簡所	寄せられた御意見等	御意見等に対する考え方
が有力であり、19条において努力義務であることのみを記載した場合、個人情報取扱事業者に消去については努力義務しかないとの誤解が生ずる可能性があるため。【個人】
485	3-3-2	安全管理措置	「通則編3-3-2」「通則編4」について、「毀損」を「き損」と修正すべき。【経済産業省商務情報政策局情報経済課】	御指摘の箇所については、改正後の法第20条の条文を引用している箇所ではないため、公用文用字用語例集（平成22年7月ぎょうせい公用文研究会編）に従い、「毀損」と表記しております。
486	3-3-3	従業者の監督	・通則編3-3-3では経産省ガイドライン2-2-3-3の「従業者のモニタリングを実施する上での留意点」がないが、個人情報保護委員会としても「個人データの取扱いに関する従業者及び委託先の監督、その他安全管理措置の一環として従業者を対象とするビデオ及びオンラインによるモニタリング（以下「モニタリング」という。）を実施する場合は、次の点に留意する。その際、雇用管理に関する個人情報の取扱いに関する重要事項を定めるときは、あらかじめ労働組合等に通知し、必要に応じて、協議を行うことが望ましい。また、その重要事項を定めたときは、労働者等に周知することが望ましい。・モニタリングの目的、すなわち取得する個人情報の利用目的をあらかじめ特定し、社内規程に定めるとともに、従業者に明示すること。・モニタリングの実施に関する責任者とその権限を定めること。・モニタリングを実施する場合には、あらかじめモニタリングの実施について定めた社内規程案を策定するものとし、事前に社内に徹底すること。・モニタリングの実施状況については、適正に行われているか監査又は確認を行うこと。」と考えているか、回答されたい。【金融機関における個人情報保護の実務研究会】	御指摘のとおり、改正後の法第21条の従業者の監督を行うに当たって、従業者のモニタリングを実施する際に、左記のような点に留意することも、望ましい取組の1つと考えます。
487	3-3-3	従業者の監督	安全管理措置に関して6.従業者の監督に於ける例示経産省ガイドラインにおいては、契約に含めるべき内容の丁寧な例示があった。今回のガイドラインではその例示はなく、具体性に乏しい。【一般社団法人日本個人情報管理協会】	本ガイドライン（通則編）は全ての分野・規模の事業者を対象とすることから、記載する事例については、原則として全ての分野・規模の事業者に該当し得る汎用的な内容としています。なお、いただいた御意見は今後の周知広報活動の参考とさせていただきます。
488	3-3-3	従業者の監督	【通則編における記載】事例1）従業者が、個人データの安全管理措置を定める規程等に従って業務を行っていることを確認しなかった結果、個人データが漏えいした場合【意見】個人データが漏えいすることと、監督ができていることは関係がないことから、事例として不適切と考えられますが、個人データが漏えいした場合という結果に着目している理由を教えてください。他の事例において同様の記載とされている場合には、同様です。【匿名】	本ガイドライン（通則編）案において記述した具体例は、事業者の理解を助けることを目的として典型的なものを示したものです。御指摘の事例では、従業者が個人データの安全管理措置を定める規程等に従って業務を行っていない場合の典型的な例の1つとして「個人データの漏えい」という結果も含めたものとして記載しております。
489	3-3-3	委託先	●該当箇所	御理解のとおり、委託する事業の規模及び性質、
No	該当簡所	寄せられた御意見等	御意見等に対する考え方
4	の監督	通則編の42ページ●意見内容委託契約に盛り込む事項については特段示されていないため、「当該個人データの取扱いに関する、必要かつ適切な安全管理措置として、委託元、委託先双方が同意した内容とともに、委託先における委託された個人データの取扱状況を委託元が合理的に把握すること」ができる内容を、事業者が自ら判断し盛り込むという理解でよいか。●理由実務を行う上で、上記解釈を明確にしたいため。【一般社団法人日本クレジット協会】	個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に起因するリスクに応じて、必要かつ適切な内容を事業者が自ら判断しただき、委託契約に盛り込んでいただく必要があると考えます。
490	3-3-4	委託先の監督	委託先の監督について本ガイドライン案において「法第20条に基づき自らが講ずべき安全管理措置と同等の措置が講じられるよう、監督を行うものとする」と記されています。個人情報の取り扱いを委託する先のうち、下記のものについてどのように解釈すればよいかを明確に記していただくことを願います。·事業者がインフラとして使用する場合：FAXを送信する。郵便を出す。クラウドサービス。ASP。·委託先が当社の情報に個人情報が含まれているかどうか認識しない場合：倉庫業、配送業、データセンター、廃棄業等·うっかりすると個人情報を閲覧する可能性のある取引業者：警備会社、清掃会社、メンテナンス事業者·国が定めた資格者：弁護士、医師、社会保险労務士、税理士、公認会計士等【改正個人情報保護法 消費者志向で考える事業者ガイドライン研究会】	個別の事案における判断は回答しかねますが、委託先の監督については、Q&A等において追加的に具体例等を示すことを検討してまいります。
491	3-3-4	委託先の監督	·通則編3-3-4*1の「委託」の定義につき、個人情報取扱事業者が例えばクラウドサービス事業者等との第三者との契約において、当該第三者の管理するストレージ上に個人データを保管するものの、アクセス制限等によって当該個人データにアクセスできる者の範囲が個人情報取扱事業者に限定されおり、第三者がこれにアクセスすることができないのであれば、「委託」に該当しないことを確認されたい。また、郵便や宅配を使って個人情報を含むものを送る場合や倉庫業者に個人データを含むものを預ける場合、郵便・宅配・倉庫事業者への「委託」となり、これらの事業者は当該個人データを事業の用に供していると解されるかもあわせて回答されたい。【金融機関における個人情報保護の実務研究会】	クラウドサービスの内容は契約により異なり得るため一律に規定することができないところ、御意見を踏まえ、Q&A等において考え方を示すことを検討してまいります。
492	3-3-4	委託先の監督	·通則編3-3-4では、経産省ガイドライン2-2-3-4③と異なり「委託元が委託先について「必要かつ適切な監督」を行っていない場合で、委託先が再委託をした際に、再委託先が適切といえない取扱いを行ったことにより、何らかの問題が生じたときは、元の委託元がその責めを負うことがあり得るので、再委託する場合は注意を要する。」「なお、漏えいした場合に二次被害が発生する可能性が高い個人データ（例えば、クレジットカード情報（カード番号、有効期限等）を含む個人データ等）の取扱いを委託する場合は、より高い水準において「必要かつ適切な監督」を行うことが望まし	個人データの取扱いについて再委託を行う場合の留意点については、一般に、現状の案で御理解頂けるものと考えます（「通則編3-3-4（3）委託先における個人データ取扱状況の把握」等）。なお、その他、御指摘のような点に配慮することは、望ましい取組の1つであると考えます。
No	該当簡所	寄せられた御意見等	御意見等に対する考え方
い。また、消費者等、本人の権利利益保護の観点から、事業内容の特性、規模及び実態に応じ、委託の有無、委託する事務の内容を明らかにする等、委託処理の透明化を進めることが望ましい。」との記載がないが、この点につき、個人情報保護委員会も経産省と同様に理解しているのか、回答されたい。【金融機関における個人情報保護の実務研究会】
493	3-3-4	委託先の監督	(該当簡所)通則編の42ページ3-3-4(御意見)事業者が委託先の監督責任を果たす具体的ガイドとなるよう、記載を充実させるべきである。(理由)法改正前の経済産業省ガイドラインより記述が薄い。地位を利用した委託先いじめなどの記載が落ちているのはなぜか。また、委託先の選定については、安全管理措置を引用するのでよくても、契約内容など、もっと具体的に記載すべきではないか。さらに事例がすべて漏えい事例になっているが、目的外利用などの不正事例も記載すべきではないか。【弁護士21名共同提出】	本ガイドライン(通則編)は全ての分野・規模の事業者を対象とすることから、記載する事例については、原則として全ての分野・規模の事業者に該当し得る汎用的な内容としています。なお、いただいた御意見は今後の周知広報活動の参考とさせていただきます。
494	3-3-4	委託先の監督	(該当簡所)通則編3-3-4 委託先の監督 P42-43(ご意見)既存の委託契約を行っている委託先で保管しているゲノムデータが個人データに該当する場合、その監督義務については、経過措置を検討願いたい。(理由)もし「ヒトゲノム・遺伝子解析研究に関する倫理指針」(以下「倫理指針」)に規定されている連結不可能匿名化されたゲノムデータの多くが個人識別符号となった場合、これまでは連結不可能匿名化されたゲノムデータは、倫理指針第16の16の(2)において個人情報に該当しないとされていったことから、委託先での特段の安全管理措置は必要なかったことから、このような事例については、委託先における規定の策定、変更から始まり、委託者によるその確認、委託の契約面での修正に留まらず、委託先の変更を要する場合が考えられ、時間を要するため。【日本製薬工業協会 研究開発委員会】	改正後の法第76条(現行法第66条)第1項第3号により、大学その他の学術研究を目的とする機関若しくは団体(学会もこれに含みます。)又はそれらに属する者が個人情報等を取り扱う場合、その目的の全部又は一部が学術研究の用に供する目的である場合は、改正後の法第4章の規定は適用されません。したがって、学術研究機関における学術研究目的での個人情報や匿名加工情報の取扱いについて、改正後の法の規律に従うことが、同法により義務付けられるわけではありません。
495	3-3-4	委託先の監督	(該当簡所)1.通則編の43ページ(3)委託先における個人データ取扱い状況の把握の1～3行目「委託先における委託された個人データの取扱状況を把握するためには、定期的に監査を行う等により、・・・・・・適切に評価することが望ましい。」2.通則編の91ページ(5)取扱状況の把握及び安全管理措置の見直し」に関する「手法の例示」欄「個人データの取扱状況について、定期的に自ら行う点検又は他部署等による監査を実施する。」「外部の主体による監査活動と合わせて、監査を実施する。」(御意見)1.内部監査及び二者監査を実施するための国際的なガイドラインとしてISO19011／JISQ19011「マネジメントシステム監査のための指針」が定められています。	委託先の監督や安全管理措置の実施に当たり、御指摘のような規格に則って実施すること等も、望ましい取組の1つと考えます。なお、いただいたご意見は、今後の周知広報活動の参考とさせていただきます。
No	該当簡所	寄せられた御意見等	御意見等に対する考え方
個人データの取扱状況に関する「委託先の監督」は二者監查、そして「自ら行う点検又は他部署等による監査」は内部監査に該当しますので、これらを公平で客観的に行うには、ISO19011／JISQ19011規格に則っての実施も参考としてご検討ください。2.また、参考までに申し上げますと、当会ではISO／IEC27001及びISO19011／JISQ19011に基づく研修の管理と、「情報セキュリティ内部監査員」資格の付与を行っておりますのでご活用頂ければ幸いです。(理由)1.上記通則に基づく監査は国際標準であるISO19011／JISQ19011に沿って実施されることで監査パフォーマンスも向上し、監査の公平性や信頼性が確保されます。同時に、内部監査及び二者監査を通じ、本ガイドライン及び個人情報保護法の意図の浸透や目的の達成に資することができると考えます。2.また、監査を行う要員（監査員）につきましても、第三者機関からの評価を受け、力量が実証された資格保有者が実施することで監査の独立性が保たれ、監査結果の公平性や信頼性がより高まります。【一般財団法人 日本規格協会】
496	3-3-4	委託先の監督	<意見3>■該当箇所43ページ・11行目■意見委託先における個人データの取扱状況を把握するため、「定期的に監査を行う等」が要求されているが、監査の必要性については、個人データが漏洩等をした場合に本人が被る権利利益の侵害の大きさを考慮すべきである。委託業務の性質及び規模、個人データの取扱状況、個人データを記録した媒体の性質等に起因するリスクに応じて判断すべきものであるため、「リスクに応じて」といった文言を追加していただきたい。■理由委託先における個人データの取扱状況の把握のためには、委託業務の性質及び規模に応じて、監査以外の方法も考えられるところであり、委託元及び委託先の合意のもと、適切な手法を選択するべきものと考える。本ガイドラインにおいて一律に監査を必要とすると、いかなる委託業務においても監査の実施及び受け入れが必要であるかのような過剰反応を惹起しかねないため。【一般社団法人 電子情報技術産業協会】	改正後の法第22条の委託先の監督を行うに当たり、委託先における個人データの取扱状況を把握することは必要と考えますが、その具体的な手法は必ずしも、監査に限定されるものではなく、取扱いを委託する個人データの内容や規模に応じて適切な方法であれば足りるものと考えます。
497	3-3-4	委託先の監督	2.個人情報の保護に関する法律についてのガイドライン（通則編）（案）に対する意見等「（※1）「個人データの取扱いの委託」とは、契約の形態・種類を問わず、個人情報取扱事業者が他の者に個人データの取扱いを行わせることをいう。具体的には、個人データの入力、編集、分析、出力等の処理を行うことを委託すること等が想定される」との記載があるが、委託契約の条項等によって受託者	御指摘の点については法改正の対象ではないため、現行法の解釈がそのまま継続するものと考えられますが、基本的には、いずれも御理解のとおりです。なお、前段について、個別の事例において、個
No	該当簡所	寄せられた御意見等	御意見等に対する考え方
が個人データを取り扱わない旨が定められており、適切なアクセス制御が行われている場合には、「保管・管理」、「配送・移送」、「廃棄・消去」の業務委託を行った場合でも、個人情報保護法上の委託には該当しない（個人データの取扱いの委託はしていない）との理解でよいか。また、（上記の例に限らないが）個人情報保護法上の委託に該当する場合であっても、「取扱いを委託する個人データの内容を踏まえ、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質、個人データの取扱状況（取扱扱個人データの性質及び量を含む。）等に起因するリスク」を委託元において勘案した結果、「3-3-4 委託先の監督」の「（1）適切な委託先の選定」、「（2）委託契約の締結」、「（3）委託先における個人データ取扱状況の把握」で示されている具体例よりも、簡易な措置を行うことも認められるとの理解でよいか。【一般社団法人全国銀行協会】	人データの取扱いの委託に該当しないと判断された場合においても、個人情報取扱事業者は、当該個人データについて引き続き安全管理措置（改正後の法第20条）の義務は負うこととなります。
498	3-3-4	委託先の監督	2. 個人情報の保護に関する法律についてのガイドライン（通則編）（案）に対する意見等郵便・宅配業者（以下「郵便等業者」という。）を利用して、顧客等に個人データを含んだ書類を送付することは、郵便等業者への個人データの取扱いの委託に該当するか。
仮に、個人データの取扱いの委託に該当するのであれば、以下の点を踏まえ、例えば、委託契約等ではなく、郵便法等の法令および内国郵便約款等により、郵便物等が適切に取り扱われることが確認できるのであれば、委託元として、法第22条の委託先の監督に係る必要がつ適切な措置がなされていると整理していただきたい。
・本ガイドライン案の「3-3-4 委託先の監督」において、「（1）適切な委託先の選定」、「（2）委託契約の締結」、「（3）委託先における個人データ取扱状況の把握」が求められているが、そのうち「（2）」および「（3）」の実施は現実的に困難。
・郵便等業者は、その郵送物の取扱いを鉄道業者等に再委託等を行う場合があるが、当該再委託等について、その都度、再委託先の個人データの取扱状況等を委託先が報告または委託元が直接確認することは現実的に困難。【一般社団法人全国銀行協会】	御指摘の点については法改正の対象ではないため、現行法の解釈がそのまま継続するものと考えられます。個別の事例ごとに判断されるべきものと考えますが、一般論として、配送業者を利用して、顧客等に対する送付を行う場合は、個人データの取扱いの委託に該当し得ると考えられます。また、個人データの取扱いを委託する場合の委託先の監督については、取扱いを委託する個人データの内容を踏まえ、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質、個人データの取扱状況（取扱扱個人データの性質及び量を含む。）などに起因するリスクに応じて行うべきものと考えられます。
499	3-3-4	委託先の監督	（該当箇所）
通則編の44ページ・4～7行目
外国にある第三者への提供編の19ページ・16～19行目
の以下の記載
（※1）「個人データの取扱いの委託」とは、契約の形態・種類を問わず、個人情報取扱事業者が他の者に個人データの取扱いを行わせることをいう。具体的には、個人データの入力（本人からの取得を含む。）、編集、分析、出力等の処理を行うことを委託すること等が想定される。
（意見）
個人情報に関する定めのない契約において、クラウドサービス事業者が個人データを含む電子データを、個人データの中身の詳細については関知せず取り扱う場合、「個人データの取扱の委託」に該当します。	クラウドサービスの内容は契約により異なり得るため一律に規定することができないところ、御意見を踏まえ、Q&A等において考え方を示すことを検討してまいります。
No	該当簡所	寄せられた御意見等	御意見等に対する考え方
(理由)
クラウドサービス事業者は、一般に、クラウドサービス利用規約において、特段、個人データの取扱いについて定めることなく、かつ個人データの中身に関知せずに、クラウドサービスを提供しているため。【特定非営利活動法人日本セキュリティ監査協会】
500	3-3-4	委託先の監督	(該当簡所)
通則編の44ページ・4～7行目
外国にある第三者への提供編の19ページ・16～19行目
の以下の記載
(※1)「個人データの取扱いの委託」とは、契約の形態・種類を問わず、個人情報取扱事業者が他の者に個人データの取扱いを行わせることをいう。具体的には、個人データの入力(本人からの取得を含む)、編集、分析、出力等の処理を行うことを委託すること等が想定される。(意見)
個人情報の処理に関して、クラウドサービスによる情報処理手段(仮想マシン、ミドルウェア、アプリケーション等)を利用する場合、「個人データの取扱いの委託」に該当しますか。当該クラウドサービス事業者は情報処理手段を提供するにすぎず、情報処理手段を用いて情報処理を実行する主体はあくまでクラウドサービス利用者であるとします。(理由)
通信事業者による通信手段を利用する場合、当該通信事業者は、通常、個人データを取扱っているのではなく、通信手段を提供しているにすぎないのと同様に、クラウドサービス事業者による情報処理手段を利用する場合も、当該クラウドサービス事業者は、通常、個人データを取扱っているのではなく、情報処理手段を提供しているにすぎないため。【特定非営利活動法人日本セキュリティ監査協会】	クラウドサービスの内容は契約により異なり得るため一律に規定することができないところ、御意見を踏まえ、Q&A等において考え方を示すことを検討してまいります。
501	3-3-4	委託先の監督	(該当簡所)通則編の44ページ・4～7行目外国にある第三者への提供編の19ページ・16～19行目の以下の記載(※1)「個人データの取扱いの委託」とは、契約の形態・種類を問わず、個人情報取扱事業者が他の者に個人データの取扱いを行わせることをいう。具体的には、個人データの入力(本人からの取得を含む)、編集、分析、出力等の処理を行うことを委託すること等が想定される。(意見)以下の文面を追記してもらいたい。個人情報データベース等を含みるデータベースの保管や管理だけを委託する場合であって委託内容に個人データの取扱いが含まれない場合は、「個人データの取扱いの委託」ではない。具体的にはクラウドサービス事業者が用意したデータベースの維持管理のみを委託する等が想定される。(理由)データベースの維持管理には、個人データの取扱いは含まれないため。【特定非営利活動法人日本セキュリティ監査協会】	一般的に現状の案で御理解頂けるものと考えますが、クラウドサービスの内容は契約により異なり得るため一律に規定することができないところ、御意見を踏まえ、Q&A等において考え方を示すことを検討してまいります。
502	3-3-4	委託先の監督	(該当簡所)
通則編の43ページ・【委託を受けたものに対して必要かつ適切な監督を行っていない事例】事例1)	本ガイドライン(通則編)案において記述した具体例は、事業者の理解を助けることを目的として典
No	該当簡所	寄せられた御意見等	御意見等に対する考え方
~4)(意見)事例1を以下のように書き換えてはいかがでしょうか。事例1)外部の事業者に委託する場合、個人データの安全管理措置の状況を契約締結時及びそれ以後も適宜把握していない状態。(理由)すべての事例が漏洩が発生した場合について記載されているため、漏洩が発生した場合にのみ「必要かつ適切な監督を行っていない」ように読めてしまいます。漏洩の有無だけが「必要かつ適切な監督を行っている」状態を示すものではないので、どういう状態が「必要かつ適切な監督を行っていない」のかについても事例として示すべきではないでしょうか。【一般財団法人日本情報経済社会推進協会】	型的なものを示したものであり、全ての事業を網羅したものでなく、記述した内容に限定する趣旨で記述したものではありません。御指摘の事例では、委託先に対して必要かつ適切な監督を行っていない場合の典型的な例の1つとして「個人データの漏えい」という結果も含めたものとして記載しております。
503	3-3-4	委託先の監督	(該当箇所)通則編の43ページ・3-3-4 委託先の監督(法第22条関係)(3) 委託先における個人データ取扱状況の把握通則編の91ページ・8-3 組織的安全管理措置(5) 取扱状況の把握及び安全管理措置の見直し(意見)ここでいう「監査」とは、一般的な意味においての監査を指しているのでしょうか。あるいは、「情報セキュリティ内部監査」「情報セキュリティ第二者監査」のような具体的な基準に基づく監査を指しているのでしょうか。後者であるとするならば、「JIS Q19011に基づく情報セキュリティ内部監査」等、より具体的に監査の基準とすべき対象を示していただきたいと思います。(理由)ガイドラインでは、「監査」の定義がされておらず、したがって監査人に求める要件や監査基準が明確ではなく、誰がどのように行っても「監査した・監査している」と主張できる可能性のある記載となっています。また、P.91の表の「中小規模事業者における手法の例示」では、監査ではなく「点検」と記載されていますが、上記のとおり監査の定義がされていないために、明確に監査と点検の区別ができず、事業者の混乱を招きかねない表現となっています。【一般財団法人日本情報経済社会推進協会】	改正後の法第22条の委託先の監督を行うに当たり、委託先における個人データの取扱状況を把握することは必要と考えますが、その具体的な手法は必ずしも、監査に限定されるものではなく、取扱いを委託する個人データの内容や規模に応じて適切な方法であれば足りるものと考えます。
504	3-3-4	委託先の監督	(該当箇所)通則編 3-3-4 委託先の監督(意見)信書等を顧客に送付するために、郵便又は宅配業者のサービスを利用することは、個人データの取扱いの委託には該当しないこと、並びに誤配達された場合は、委託先の監督責任は課されないこととし	個別の事業における判断は回答しかねますが、委託先の監督については、Q&A等において追加的に具体例等を示すことを検討してまいります。
No	該当簡所	寄せられた御意見等	御意見等に対する考え方
ていただきたい。(理由)現状では、郵便で転送届が提出されているときは、転送されず元同居人、大家又は管理人に配達されたものも全て誤配の扱いとされており、監督行政等に対して、誤配の発生事案を個人情報の漏えい報告する必要があるが、誤配により二次被害が発生する可能性が極めて低いため。【日本貸金業協会】
505	3-3-4	委託先の監督	(該当簡所)通則編 3-3-4 委託先の監督(意見)文末が「〜望ましい」となっているが、委託契約の締結自体が望ましいのか、委託契約の締結は必須であり、その上で委託元が個人データの取扱い状況を把握できるようにすることが望ましいのか、どちらの意味かご教示願いたい。(理由)ガイドラインの意味の確認のため。【日本貸金業協会】	個人データの取扱いの全部又は一部を委託する場合は、委託先に対して必要かつ適切な監督を行わなければならず、この一環として、「適切な委託先の選定」「委託契約の締結」「委託先における個人データ取扱状況の把握」を実施することが必要です。なお、当該措置を実施するための具体的な手法については、委託する事業の規模及び性質、個人データの取扱状況(取り扱う個人データの性質及び量を含む)等に起因するリスクに応じて、個別の事例ごとに判断することとなります。
506	3-3-4	委託先の監督	(項目)3-3-4.委託先の監督(法第22条関連)(P42)(確認)・委託先の監督にあたり、個人情報取扱事業者(委託元)は「法第20条に基づき自らが講ずべき安全管理措置と同等の措置が講じられるよう、監督を行うものとする(※2)。」とされている。一方、「※2」においては、「委託元が法第20条が求める水準を超える高い水準の安全管理措置を講じている場合に、委託先に対してもこれと同等の措置を求める趣旨ではなく、法律上は、委託先は、法第20条が求める水準の安全管理措置を講じれば足りると解される。」とされている。・ここで、委託先に対して法第20条が求める安全管理措置の水準とは、当該委託先の事業の規模又は性質、個人データの取扱い状況等に応じた法第20条が求める水準であたり理解でよいか。(委託元の事業の規模又は性質、個人データの取扱い状況等に応じた法第20条が求める水準ではないという理解でよいか。)【一般社団法人、生命保険協会】	基本的に御理解のとおりです。委託先は、委託の対象となる業務の規模・性質、個人データの性質・量等に応じた法第20条が求める水準の安全管理措置を講じれば足りると考えられるため、委託元が改正後の法第20条が求める水準を超える高い水準の安全管理措置を講じている場合に、委託先がこれと同等の措置を講じなければならないものではありません。
507	3-3-4	委託先の監督	「通則編3-3-4 委託先の監督(43ページ4～5行)」について、「確実に実施されることについて、あらかじめ確認しなければならない」とあるが、誰が確認するのか明確にされておらず、現行経産省ガイドライン41ページの「個人情報保護管理者(CPO)等」が確認するとの記載に修正すべき。【経済産業省商務情報政策局情報経済課】	御指摘の点については、例えば、個人情報保護管理者(CPO)等が確認することも考えられますが、それに限定されるわけではなく、個別の事例ごとに判断されることとなると考えます。
508	3-3-4	委託先の監督	▼通則編 3-3-4「(*1)」において、「個人データの取扱いの委託」とは、契約の形態・種類を問わず、個人情報取扱事業者が他の者に個人データの取扱いを行わせることをいう。具体的には、個人データの入力(本人からの取得を含む)、編集、分析、出力等の処理を行うことを委託すること等が想定される。」とある。ネットワーク/インフラ/ディスクスペース/アプリケーションソフトを提供しているにすぎず、	クラウドサービスの内容は契約により異なり得るため一律に規定することができないところ、御意見を踏まえ、Q&A等において考え方を示すことを検討してまいります。
No	該当簡所	寄せられた御意見等	御意見等に対する考え方
「データの入力(本人からの取得を含む)、編集、分析、出力等」に関与しないデータセンターやクラウドは委託に該当しないという解釈でよいか?
また国内事業者に取扱いを委託しているケースにおいて、当該委託先が取扱いの過程でデータセンターやクラウドを利用している場合、委託先においては当該行為が再委託にはあたらないという認識が少なくない。当該委託先のセキュリティ方針上、その利用そのものの存否及び海外の法人か否かを委託元に明らかにするケースは稀である。この場合、再委託先の監督(ガイドライン「外国にある第三者への提供編」3-2-8にも関連)への該当有無や義務はあるのかをお教え願いたい。また免責の余地はあるのか等、ガイドラインで明示頂きたい。【匿名】
509	3-3-4	委託先の監督	ガイドライン(通則編)
<3-3-4 委託先の監督について>
3.(意見)
「個人情報取扱事業者は、法第20条に基づき自らが講ずべき安全管理措置と同様の措置が講じられるよう、監督を行うものとする」とあり、(別添)安全管理措置において「中小規模事業者と「その他個人情報取扱事業者」とは、講ずべき措置に差がある。また、中小規模事業者から「委託を受けて個人データを取扱うもの」は除外されている。本件について、以下の理解でよいか。
•委託を受けて個人データを取扱うものは、事業者の規模に関わらず「その他個人情報取扱事業者」としての安全管理措置を講ずる義務がある
•受託者(その他個人情報補取扱事業者)が委託者(中小規模事業者)の事業所に少数の社員等を勤務させ、受託者の設備等を使用して業務を行う場合、受託者は中小規模事業者における安全管理措置の手法は採用できず、各段階における個人データの取扱既定の策定、点検、監査の実施は受託者の責任で実施する必要がある。
•個人データの取扱にかかる確認、点検等について、委託者が中小規模事業者における手法に留まる方法で確認、点検を実施する場合は、受託者が講ずべき手法に代替することはできない
•中小規模事業者が個人データに係る事務の実施を含む業務委託を行う場合は、受託者が「その他個人情報取扱事業者」が講ずるべき安全管理措置を講じていることを確認し、監督を実施する必要がある。
(理由)
中小規模事業者とその他個人情報取扱事業者が講ずべき安全管理措置に差があるため。【個人】	本ガイドライン(通則編)案「8(別添)講ずべき安全管理措置の内容」に記載のとおり、委託を受けて個人データを取扱う者は、「中小規模事業者」に該当しません。
なお、具体的な事案において、委託先及び委託元において安全管理措置を講ずるための具体的な手法については、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況(取扱扱う個人データの性質及び量を含む)、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容とすべきものであるため、個別の事案ごとに判断されることとなります。
510	3-3-4	委託先の監督	(該当箇所)
通則編3-3-4
(意見)
委託の条件や例示を記載すべきである。	個人データの取扱いの全部又は一部を委託する場合は、委託先に対して必要かつ適切な監督を行わなければなりませんが、当該監督を行うための具体的な手法については、委託する事業の規模及び性質、
No	該当簡所	寄せられた御意見等	御意見等に対する考え方
(理由)
委託、特にクラウドコンピューティングに関して、委託に当たる場合についての条件や例示を記載すべきである。その際、番号法Q&Aなどにおいて、契約締結とアクセス制御による例を示しているが、これらは、記載上、「または」ではなく「かつ」により併記されているように読める。しかし、認識の問題であれば、契約上記載をするか、アクセス制御し、個人情報の存在を事業者側から認識しえない状況を作れば足りると考えられ、「または」とする表記が適当と考えられる。以上より、そのような表記をされるべきと考える。【個人】	個人データの取扱状況(取り扱う個人データの性質及び量を含む。)等に起因するリスクに応じて、個別の事例ごとに判断することとなります。なお、クラウドサービスの内容は契約により異なり得るため一律に規定することができないところ、御意見を踏まえ、Q&A等において考え方を示すことを検討してまいります。
511	3-4-1	第三者提供の制限の原則	ガイドライン「第三者提供時の確認・記録義務編」の「2-2-1-1 提供者の考え方」の中で、「「(1)本人による提供」又は「(2)本人に代わって提供」に該当する場合は、実質的に「提供者」による提供ではないものとして、確認・記録義務は適用されない。」と示されています。実質的に「提供者による提供」ではないのであれば、当然に「第三者提供の制限の原則」も課されないと解釈できると考えますが、ガイドライン「通則編」のP45には「(1)本人による提供」又は「(2)本人に代わって提供」に該当する場合を示す、ガイドライン「第三者提供時の確認・記録義務編」に示されている意図が分かりません。【改正個人情報保護法 消費者志向で考える事業者ガイドライン研究会】	本ガイドライン(第三者提供時の確認・記録義務編)案においては、基本的に、改正後の法第23条第1項に基づきあらかじめ本人の同意を得た第三者提供のうち、確認・記録義務の趣旨に鑑みて実質的に同義務を課する必要性に乏しいものについて、同義務の対象にならない旨を示しているものです。
512	3-4-1	第三者提供の制限の原則	・通則編3-4-1では「第三者」の定義について明記せず、事例を挙げることでまるが、要するに「(法)人格」の同一性で判断されるという趣旨でよいか、確認されたい。【金融機関における個人情報保護の実務研究会】	御理解のとおりです。
513	3-4-1	第三者提供の制限の原則	・通則編3-4-1では経産省ガイドライン2-2-4(1)*1と異なり「あらかじめ」が定義されていないが、個人データの第三者提供が開始される時点と同時又はそれ以前に本人の同意を得ることが必要であるということでよいか、回答されたい。【金融機関における個人情報保護の実務研究会】	第三者へ個人データが提供される時点より前に本人の同意を得ることが必要であると考えます。
514	3-4-1	第三者提供の制限の原則	・通則編3-4-1*2の「プログやその他のSNSに書き込まれた個人データを含む情報については、当該情報を書き込んだ者の明確な意思で不特定多数又は限定された対象に対して公開されている情報であり、その内容を誰が調覧できるかについて当該情報を書き込んだ者が指定していることから、その公開範囲について、インターネット回線への接続サービスを提供するプロバイダやプログラムの他のSNSの運営事業者等に裁量の余地はないため、このような場合は、当該事業者が個人データを第三者に提供しているとは解されない。」について、これは一般論として、Aが個人情報取扱事業者Bに個人情報の提供ないし公開を委託し、当該提供または公開の範囲についてBの裁量がない場合には、個人情報を提供している主体はAであってBではないということ（「当該情報を書き込んだ者の明確な意思で」「公開」したものと扱うこと）を示したものと考えてよいか、回答されたい。また、プロバイダ責任制限法及び同ガイドライン等によりプロバイダやプログラムの他のSNSの運営事業	御指摘の一般論については、個別の事例ごとに判断することとなります。なお、本ガイドラインにおいて記述した具体例は、事業者の理解を助けることを目的として典型的なものを示したものであり、記述した具体例においても、個別ケースによっては別途考慮すべき要素もあり得ますが、プログやその他のSNSに書き込まれた個人データを含む情報については、一般的には、プロバイダやプログラムの他のSNSの運営事業者等が第三者に提供しているとは解されないと考えます。
No	該当簡所	寄せられた御意見等	御意見等に対する考え方
者等は一定の情報について送信防止措置を講じることができるが, そうであっても「裁量の余地がなく「個人データを第三者に提供しているとは解されない」という個人情報保護委員会の解釈には変更がないと考えてよいか, あわせて回答されたい。【金融機関における個人情報保護の実務研究会】
515	3-4-1	第三者提供の制限の原則	·通則編3-4-1*2の「プログやその他のSNSに書き込まれた個人データを含む情報については, 当該情報を書き込んだ者の明確な意思で不特定多数又は限定された対象に対して公開されている情報であり, その内容を誰が閲覧できるかについて当該情報を書き込んだ者が指定していることから, その公開範囲について, インターネット回線への接続サービスを提供するプロバイダやプログラムの他のSNSの運営事業者等に裁量の余地はないため, このような場合は, 当該事業者が個人データを第三者に提供しているとは解されない。」は, 第三者提供時の確認・記録義務編でいうところの「本人による提供」(2-2-1-1(1))の事例という理解でよいか, 確認されたい。すると, 通則編の「第三者提供」については, 「本人による提供」を含む第三者提供時の確認・記録義務編の考え方があてはまると考えてよいか, 回答されたい。【金融機関における個人情報保護の実務研究会】	本ガイドライン(第三者提供時の確認・記録義務編)案においては、基本的に、改正後の法第23条第1項に基づきあらかじめ本人の同意を得た第三者提供のうち、確認・記録義務の趣旨に鑑みて実質的に同義務を課する必要性に乏しいものについて、同義務の対象にならない旨を示しているものです。なお、「すると」より前の御質問については、御理解のとおりです。
516	3-4-1	第三者提供の制限の原則	·経産省ガイドライン2-2-4(4)に相当する内容が通則編からは抜け落ちているが, 「個人データの第三者への提供(法第23条第1項第1号から第4号までに該当する場合を除く。)のうち, 雇用管理に関するものについては, 次に掲げる事項に留意することが望ましい。その際, 事業の性質及び雇用管理に関する個人データの取扱状況等に応じ, 必要かつ適切な措置を講じるものとする。ここでいう雇用管理に関する個人データの第三者への提供とは, 従業員の子会社への出向に際して, 出向先に当該従業員の人事考課情報等の雇用管理に関する個人データを提供する場合や, 労働者を派遣する際に技術者の能力に関する情報等の雇用管理に関する個人データを提供する場合を指すものである。したがって, 企業から, その従業員の氏名, 役職等の個人データの提供を受け, 当該情報をデータベース化し, 公開, 販売することを目的とする者への提供のような場合はこの限りではない。·提供先において, その従業者に対し当該個人データの取扱いを通じて知り得た個人情報を漏らし, 又は盗用してはならないこととされていること。·当該個人データの再提供を行うに当たっては, あらかじめ文書をもって事業者の了承を得ること。·提供先における保管期間等を明確化すること。·利用目的達成後の個人データを返却し, 又は破棄し若しくは削除し, これと併せてその処理が適切かつ確実になされていることを事業者において確認すること。·提供先における個人データの複写及び複製(安全管理上必要なバックアップを目的とするものを除く。)を禁止すること。」という解釈については, 個人情報保護委員会においても経産省ガイドラインと同様の解釈を取っているのか確認されたい。【金融機関における個人情報保護の実務研究会】	御指摘のような配慮を行うことも、望ましい取組の1つと考えます。
No	該当簡所	寄せられた御意見等	御意見等に対する考え方
517	3-4-1	第三者提供の制限の原則	(該当簡所)通則編の44ページ 下から5行目(御意見)個人情報保護法第23条第1項第三号の事例として医学系研究への提供についてガイドラインへの追記を求める。あるいは対象として医学分野は外し、医学分野の個別法を制定することを望む。(理由)個人情報保護法における公衆衛生の向上の例外規定に医学系研究に対する提供が含まれるという明示は無く、個人情報保護法のガイドライン案法第16条第3項(利用目的による制限の例外)第三号の例示として「事例1）健康保険組合等の保険者等が実施する健康診断の結果等に係る情報を、健康増進施策の立案、保健事業の効果の向上、疫学調査等に利用する場合」があり、事業者が保有する個人情報の利用として疫学調査が示されているのみであるから。または医学分野は個別法として詳細に対応した方が医学分野において混乱は少ないと思われる。【一般社団法人日本薬剤疫学会 レセプト情報等の利活用に向けた特別委員会】	一般的に現状の案で御理解いただけるものと考えます。なお、改正後の法第76条(現行法第66条)第1項第3号により、大学その他の学術研究を目的とする機関若しくは団体(学会も含みます。)又はそれらに属する者による個人情報等の取扱いの目的の全部又は一部が学術研究の用に供する目的であるときは、当該者に同法第4章の規定は適用されないため、例えば、学会に所属する医師が学術研究に供する目的で個人情報を取り扱う場合には、当該取扱には同法第4章の規定は適用されません。また、医療関連分野については、本ガイドライン案を基礎として、当該分野においてさらに必要となる別途の規律を定める方向で検討しております。
518	3-4-1	第三者提供の制限の原則	(該当簡所) 通則編 3-4-1 第三者提供の制限の原則 P44-45 (ご意見) 学術研究を目的としない民間事業者が第三者として提供を受けているあるいはこれから提供を受ける既に連結不可能匿名化されたゲノムデータが個人データに該当する場合、当該個人情報取扱事業者は本人に連絡又は通知する術を有しないため、同意を得ることはできない、このような場合に継続して当該ゲノムデータを取り扱うために講じるべき対応、並びに適法な扱いとなる規律(法第17条第2項第3号等)を明らかにされたい。(理由) 現在、「ヒトゲノム・遺伝子解析研究に関する倫理指針」に規定されている連結不可能匿名化されたゲノムデータは、倫理指針第16の16の(2)において個人情報に該当しないとされていたことから、非個人情報として扱われずータベース化され、第三者に提供され、学術研究を目的としない民間事業者において、種々の研究に供されており、法の施行後もこれらは継続した利用が必要であるが、本人同意がないことにより使用に制限がかかると、研究活動に支障をきたすため。なお、当該ゲノムデータの多くはその元となる生体試料の提供並びにゲノム研究に用いることについては本人同意が受けられているが、古い物については疾病の解明など医学研究に用いるとして受けている場合も含まれると思われる。【日本製薬工業協会 研究開発委員会】	どのような場合が、改正後の法第23条第1項第3号の「公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるときに該当するかは、個別の事例ごとに判断することとなりますが、「本人に連絡又は通知する術を有しない」場合は、一般的には、同法第23条第1項第3号の「本人の同意を得ることが困難であるときに該当し得ると考えます。
519	3-4-1	第三者提供の制限の原則	(対象資料)通則編 3-4-1 第三者提供の制限の原則(法23条1項関係)(意見)個人情報取扱事業者が、裁判所による調査嘱託(民事訴訟法186条)、送付嘱託(同226条)、文書提出命令(同223条)及び証拠保全(同234条)に応じて個人データを裁判所に対し提供する場合は、法23条1項1号の「法令に基づく場合」に該当し、あらかじめ本人の同意を得る必要はないという理解でよいか。	裁判所による調査嘱託等は、一般的に「法令に基づく場合」に該当し得ると考えます。一方、証拠提出の申出に伴う個人データの第三者提供については、改正後の法第23条第1項第2号に該当し得る場合もあり得ると考えますが、個別の事例ごとに判断することとなると考えます。
No	該当簡所	寄せられた御意見等	御意見等に対する考え方
また、個人情報取扱事業者と当該個人以外の者が当事者となっている民事訴訟において、個人情報取扱事業者が当該個人に係る個人情報又は個人データを含む証拠提出の申出をする場合、裁判所と相手方当事者に当該証拠の写しを送付することになるため、第三者への提供に当たるように思われる。この場合、個人情報取扱事業者による証拠申請は民事訴訟法180条に基づくものであり、法23条1項1号の「法令に基づく場合」又は同項2号の「人の生命、身体又は財産の保護のために必要がある場合」に該当し、あらかじめ当該個人本人の同意を得る必要はないという理解でよいか。【日本証券業協会】
520	3-4-1	第三者提供の制限の原則	(該当簡所)3-4-1 第三者提供の制限の原則(法第23条第1項関係)(意見)「(3) 公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることが困難である場合(法第23条第1項第3号関係)」について具体的な事例を記載をお願いします.例えば,·法第76条第1項第3号に該当する学術研究のうち,医学系研究並びに疫学系研究等,公衆衛生の向上を目的とした悉皆性(クラスタサンプリングを含む)の高い又は偏りのない研究(学会等が行う患者登録を含む)に対して学術研究機関に該当しない民間医療機関等から診療の結果等を提供する場合.·特定の種類の医薬品や化粧品の使用者の情報(他の医薬品や化粧品の使用状況等を含む)を安全性を評価する目的(調査の結果,安全性確保措置が必要な場合は監督行政機関に結果を報告し,対応を行う)で有害事象の有無を問わず製造販売業者に医療機関,薬局,薬店等から提供する場合.(理由)公衆衛生の向上には広くデータを収集する必要がある場合が多く,本人からのデータ取得に限定せず,第三者提供による収集が必要となる場合は少なくありません.P30の事例1のような保険組合事業者が自らの事業の範囲において行う場合よりも事業者を跨いだデータ解析は公衆衛生の向上の目的に重要であると考えます.また,学術研究を目的とする機関等が自機関の保有個人情報を学術研究の目的で利用することは法第76条第1項第3号により法第4章の適用除外ですが,その目的において他の学術研究を目的としない事業者,機関から個人情報の提供を受ける場合,提供元機関は法の適用除外とされておらず,前述と同様,公益性の高い研究又は調査,特に悉皆性を要するあるいは健康被害(本人とは限らない)を防止する目的においては法第23条第1項第三号により行えることを明確にする必要があると考えます.【日本製薬工業協会】	どのような場合が、改正後の法第23条第1項第3号の「公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき」に該当するかは、個別の事例ごとに判断することとなります。なお、改正後の法第76条(現行法第66条)第1項第3号により、大学その他の学術研究を目的とする機関若しくは団体(学会も含みます。)又はそれらに属する者による個人情報等の取扱いの目的の全部又は一部が学術研究の用に供する目的であるときは、当該者に同法第4章の規定は適用されないため、例えば、学会に所属する医師が学術研究に供する目的で個人情報を取り扱う場合には、当該取扱には同法第4章の規定は適用されません。また、医療関連分野については、本ガイドライン案を基礎として、当該分野においてさらに必要となる別途の規律を定める方向で検討しております。
521	3-4-1	第三者	(該当簡所)	個別の事例ごとに判断することとなりますが、御