Silviase/jgov_v1.4_full_ann huggingface dataset:
することに対して、事業者が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（第7条第2項第4号関係）

国の機関等（地方公共団体又はその委託を受けた者を含む。）が法令の定める事務を実施する上で、事業者の協力を得る必要があり、かつ、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがあると認められる場合は、当該事業者は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。

事例）事業者が警察の任意の求めに応じて要配慮個人情報に該当する個人情報を提出するために、当該個人情報を取得する場合

(5) 当該事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）(第7条第2項第5号)

学術研究機関等（※1）である事業者が要配慮個人情報を学術研究目的（※2）で取り扱う必要がある場合（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含む。）であって、個人の権利利益を不当に侵害するおそれがない場合は、当該事業者は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる（※3）。

(※1)「学術研究機関等」については、2-19（学術研究機関等）を参照のこと。

(※2)「学術研究目的」については、2-20（学術研究目的）を参照のこと。

(※3)「個人の権利利益を不当に侵害するおそれがある場合」には、要配慮個人情報を取得することはできない。この場合、個人の権利利益を不当に侵害しないような措置を講ずるなど適切に処理する必要がある。この点、学術研究目的で要配慮個人情報を取り扱う必要がある場合であっても、本人又は第三者の権利利益の保護の観点から、取得する要配慮個人情報の範囲を限定するなど、学術研究の目的に照らして可能な措置を講ずることが望ましい。

（6）学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）(当該事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。)(第7条第2項第6号関係)
事業者が要配慮個人情報を学術研究目的（※1）で取得する必要があり、かつ、当該事業者と共同して学術研究を行う学術研究機関等（※2）から当該要配慮個人情報を取得する場合（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く（※3）。）は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。

(※1)「学術研究目的」については、2−20（学術研究目的）を参照のこと。

(※2)「学術研究機関等」については、2-19（学術研究機関等）を参照のこと。

(※3)「個人の権利利益を不当に侵害するおそれがある場合」には、要配慮個人情報を取得することはできない。この場合、個人の権利利益を不当に侵害しないような措置を講ずるなど適切に処理する必要がある。この点、学術研究目的で要配慮個人情報を取得する必要があって、学術研究機関等と共同して学術研究を行う場合であっても、本人又は第三者の権利利益の保護の観点から、取得する個人データの範囲を限定するなど、学術研究の目的に照らして可能な措置を講ずることが望ましい。

(7) 当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、法第57条第1項各号に掲げる者、外国政府、外国（本邦の域外にある国又は地域をいう。以下同じ。）の政府機関、外国の地方公共団体、国際機関、学術研究機関等に相当する者又は外国において法第57条第1項各号に掲げる者に相当する者により公開されている場合（第7条第2項第7号関係）

要配慮個人情報が、次に掲げる者により公開されている場合は、あらかじめ本人の同意を得ることなく、当該公開されている要配慮個人情報を取得することができる。

①本人

②国の機関

③地方公共团体

④学術研究機関等

⑤放送機関・新聞社・通信社その他の報道機関（報道を業として行う個人を含む。）

⑥著述を業として行う者

⑦宗教团体

⑧政治团体

⑨外国政府、外国の政府機関、外国の地方公共団体又は国際機関

⑩外国において法第57条第1項各号に掲げる者に相当する者
（8） 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合（第7条第2項第8号関係）

本人の意思にかかわらず、本人の外形上の特徴により、要配慮個人情報に含まれる事項（例：身体障害等）が明らかであるときは、あらかじめ本人の同意を得ることなく、当該要配慮個人情報を取得することができる。

事例）身体の不自由な方が店舗に来店し、対応した店員がその旨をお客様対応録等に記録した場合（目視による取得）や、身体の不自由な方の様子が店舗に設置された防犯カメラに映りこんだ場合（撮影による取得）

(9) 第 15 条第 8 項各号（第 29 条第 6 項の規定により読み替えて適用する場合及び法第 30 条第 2 項において読み替えて準用する場合を含む。）に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき（第 7 条第 2 項第 9 号関係）

要配慮個人情報を、第 15 条第 8 項各号（第 29 条第 6 項の規定により読み替えて適用する場合及び第 30 条第 2 項において読み替えて準用する場合を含む。）に定める委託、事業承継又は共同利用により取得する場合は、あらかじめ本人の同意を得る必要はない。

## 【第 7 条第 2 項に違反している事例】

本人の同意を得ることなく、第7条第2項第7号で定める者以外がインターネット上で公開している情報から本人の信条や犯罪歴等に関する情報を取得し、既に保有している当該本人に関する情報の一部として自己のデータベース等に登録すること。

(参考)

## 法第20条 (第2项)

2 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。

(1) 法令に基づく場合

(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることに
より当該事務の遂行に支障を及ぼすおそれがあるとき。

(5) 当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

(6) 学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）(当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。)。

(7) 当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、第57条第1項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合

(8) その他前各号に掲げる場合に準ずるものとして政令で定める場合

## 規則第6条

法第20条第2項第7号の個人情報保護委員会規則で定める者は、次の各号のいずれかに該当する者とする。

(1) 外国政府、外国の政府機関、外国の地方公共団体又は国際機関

(2) 外国において法第16条第8項に規定する学術研究機関等に相当する者

(3) 外国において法第 57 条第 1 項各号に掲げる者に相当する者

## 政令第9条

法第20条第2項第8号の政令で定める場合は、次に掲げる場合とする。

（1）本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合

(2) 法第 27 条第 5 項各号（法第 41 条第 6 項の規定により読み替えて適用する場合及び法第 42 条第 2 項において読み替えて準用する場合を含む。）に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき。

3-3-3 信書の秘密に係る個人情報の取得（第7条第3項関係）

## 第7条（第3項）

3 前項の規定にかかわらず、事業者は、利用者の同意がある場合その他の違法性阻却事由がある場合を除いては、信書の秘密に係る個人情報を取得してはならない。

事業者は、第7条第2項の規定が適用される場合であっても、個人情報が信書の秘密に
該当する場合には、利用者の同意（※1）その他の違法性阻却事由がある場合（※2）を除き、当該情報の取得は許されない。

(※1) 信書の秘密に係る個人情報の取扱いに関する同意については、2-17 (本人の同意)を参照のこと。

(※2) 違法性阻却事由がある場合については、3−1−6（利用目的による制限における信書の秘密に係る例外）を参照のこと。

## 3 -3-4 利用目的の通知又は公表（第8条第1項関係）

第8条（第1項）

1 事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

事業者は、個人情報を取得する場合は、あらかじめその利用目的を公表（※1）していることが望ましい。公表していない場合は、取得後速やかに、その利用目的を、本人に通知（※2）するか、又は公表しなければならない。

【本人への通知又は公表が必要な事例】

事例 1）インターネット上で本人が自発的に公にしている個人情報を取得した場合（単に閲覧しただけの場合を除く。）

事例2）インターネット、官報、職員録等から個人情報を取得した場合（単に閲覧しただけの場合を除く。）

事例 3）個人情報の第三者提供を受けた場合

(※1)「公表」については、2−16（公表）を参照のこと。

(※2)「本人に通知」については、2−15（本人に通知）を参照のこと。

(参考)

法第21条 (第1项)

1 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

## 3 −3−5 直接書面等による取得（第8条第2項関係）

## 第8条（第2項）

2 事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契
約書その他の書面（電磁的記録を含む。第16条第3項及び第6項、第19条第1項第2号並びに第21条第1項を除き、以下同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

事業者は、契約書や懸賞応募はがき等の書面等による記載、ユーザー入力画面への打ち込み等の電磁的記録により、直接本人から個人情報を取得する場合には、あらかじめ、本人に対し、その利用目的を明示（※）しなければならない。

なお、名刺などは、一般の慣行として、自身の個人情報を、本人の自発的な意思で、任意の簡便な形式により相手に提供するものであり、申込書、アンケート調査票、懸賞応募はがき等のように、事業者が一定の書式や様式を準備した上で、本人が当該事業者の求めに沿う形で個人情報を提供する場合とは異なることから、本項の義務を課するものではないが、その場合は第8条第1項に基づいて、あらかじめ利用目的を公表するか、取得後速やかに、その利用目的を、本人に通知するか、又は公表しなければならない（ただし、3-3-6（利用目的の通知等をしなくてよい場合）参照）。口頭により個人情報を取得する場合についても同様である。

また、人（法人を含む。）の生命、身体又は財産の保護のために緊急に必要がある場合は、あらかじめ、本人に対し、その利用目的を明示する必要はないが、その場合は第8条第1項に基づいて、取得後速やかにその利用目的を、本人に通知し、又は公表しなければならない（3-3-4（利用目的の通知又は公表）参照）。

【あらかじめ、本人に対し、その利用目的を明示しなければならない場合】

事例 1）本人の個人情報が記載された申込書・契約書等を本人から直接取得する場合

事例 2）アンケートに記載された個人情報を直接本人から取得する場合

事例 3）自社が主催するキャンペーンへの参加希望者が、参加申込みのために自社のホー

ムページの入力画面に入力した個人情報を直接本人から取得する場合

## 【利用目的の明示に該当する事例】

事例 1）利用目的を明記した契約書その他の書面を相手方である本人に手渡し、又は送付する場合

なお、契約約款又は利用条件等の書面（電磁的記録を含む。）中に利用目的条項を記載する場合は、例えば、裏面約款に利用目的が記載されていることを伝える、又は裏面約款等に記載されている利用目的条項を表面にも記載し、かつ、社会通念上、本人が認識できる場所及び文字の大きさで記載する等、本人が実際に利用目的を目にできるよう留意することが望ましい。
事例 2）ネットワーク上において、利用目的を、本人がアクセスした自社のホームページ上に明示し、又は本人の端末装置上に表示する場合。

なお、ネットワーク上において個人情報を取得する場合は、本人が送信ボタン等をクリックする前等にその利用目的（利用目的の内容が示された画面に1回程度の操作でページ遷移するよう設定したリンクやボタンを含む。）が本人の目に留まるようその配置に留意することが望ましい。

(※)「本人に対し、その利用目的を明示」とは、本人に対し、その利用目的を明確に示すことをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法による必要がある。

(参考)

## 法第21条 (第2项)

2 個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

## 3 -3-6 利用目的の通知等をしなくてよい場合（第8条第4項関係）

## 第8条 (第4項)

4 前 3 項の規定は、次に掲げる場合については、適用しない。

一 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

二 利用目的を本人に通知し、又は公表することにより当該事業者の権利又は正当な利益を害するおそれがある場合

三国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。

四 取得の状況からみて利用目的が明らかであると認められる場合

次に掲げる場合については、第8条第1項から第3項までにおいて利用目的の本人への通知（※1）、公表（※2）又は明示（※3）（以下この項において「利用目的の通知等」という。）が求められる場合であっても、当該利用目的の通知等は不要である。
（1）利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（第8条第4項第1号関係）

利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合は、第8条第1項から第3項までの適用を受けず、当該利用目的の通知等は不要である。

（2）利用目的を本人に通知し、又は公表することにより事業者の権利又は正当な利益を害するおそれがある場合（第8条第4項第2号関係）

利用目的を本人に通知し、又は公表することにより事業者の権利又は正当な利益を害するおそれがある場合は、第8条第1項から第3項までの適用を受けず、当該利用目的の通知等は不要である。

事例）暴力団等の反社会的勢力情報、疑わしい取引の届出の対象情報、業務妨害行為を行う悪質者情報等を、本人又は他事業者等から取得したことが明らかになることにより、当該情報を取得した企業に害が及ぶ場合

(3) 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき（第8条第4項第3号関係）

国の機関等（地方公共団体又はその委託を受けた者を含む。）が法令の定める事務を実施する上で、事業者の協力を得る必要があり、かつ、本人に対する利用目的の通知等により当該事務の遂行に支障を及ぼすおそれがあると認められる場合は、当該事業者は、第8条第1項から第3項までの適用を受けず、当該利用目的の通知等は不要である。

事例）警察が、公開手配を行わないで、被疑者に関する個人情報を、被疑者の立ち回りが予想される事業者に限って提供した場合において、警察から当該個人情報を受け取った当該事業者が、利用目的を本人に通知し、又は公表することにより、捜査活動に支障を及ぼすおそれがある場合

（4）取得の状況からみて利用目的が明らかであると認められる場合（第8条第4項第4号関係）

取得の状況からみて利用目的が明らかであると認められる場合は、第8条第1項から
第３項までの適用を受けず、当該利用目的の通知等は不要である。

事例 1）信書を送達するに際して、住所・電話番号等の個人情報を取得する場合で、その利用目的が信書の送達のみを確実に行うためという利用目的であるような場合

事例 2）一般の慣行として名刺を交換する場合、直接本人から、氏名・所属・肩書・連絡先等の個人情報を取得することとなるが、その利用目的が今後の連絡や、所属する会社の広告宣伝のための冊子や電子メールを送付するという利用目的であるような場合

（※1）本人への「通知」については、2−15（本人に通知）を参照のこと。

(※2)「公表」については、2−16（公表）を参照のこと。

(※3)「明示」については、3−3−5（直接書面等による取得）を参照のこと。

(参考)

法第21条 (第4项)

4 前三項の規定は、次に掲げる場合については、適用しない。

(1) 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

(2) 利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合

(3) 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。

(4) 取得の状況からみて利用目的が明らかであると認められる場合

## 3 -4 個人データの管理について（第9条～第12条関係）

## 3 -4-1 データ内容の正確性の確保等（第9条関係）

## 第9条

事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。

事業者は、利用目的の達成に必要な範囲内において、個人情報データベース等への個人情報の入力時の照合・確認の手続の整備、誤り等を発見した場合の訂正等の手続の整備、記録事項の更新、保存期間の設定等を行うことにより、個人データを正確かつ最新の内容に保つ
よう努めなければならない。

なお、保有する個人データを一律に又は常に最新化する必要はなく、それぞれの利用目的に応じて、その必要な範囲内で正確性・最新性を確保すれば足りる。例えば、郵便役務の提供に当たって、差出人や受取人の住所の変更について常時把握することまで求めるものではなく、本人からの連絡等に応じて、随時、個人データの更新を行うことで足りると考えられる。

また、事業者は、保有する個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等は、当該個人データを遅滞なく消去するよう努めなければならない（※）。なお、法令の定めにより保存期間等が定められている場合は、この限りではない。

【個人データについて利用する必要がなくなったときに該当する事例】

事例）キャンペーンの懸賞品送付のため、当該キャンペーンの応募者の個人データを保有していたところ、懸賞品の発送が終わり、不着対応等のための合理的な期間が経過した場合

(※)「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む。

(参考)

法第22条

個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。

## 3 -4-2 安全管理措置（第 10 条 関係）

第10条

1 事業者は、その取り扱う個人データの漏えい、滅失又は毀損（以下「漏えい等」という。）の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

2 事業者は、個人情報保護管理者（当該事業者の個人情報の取扱いに関する責任者をいう。）を置き、このガイドラインを遵守するための内部規程の策定、監査体制の整備及び当該事業者の個人情報の取扱いの監督を行わせるよう努めなければならない。
事業者は、その取り扱う個人データの漏えい、滅失又は毀損（以下「漏えい等」という。）の防止その他の個人データの安全管理のため、組織的、人的、物理的及び技術的安全管理措置を講じなければならないが、当該措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容としなければならない。具体的に講じなければならない措置や当該措置を実践するための手法の例等については、「7（別添）講ずべき安全管理措置の内容」を参照のこと。

また、個人情報保護措置の実施に関する責任の所在を明確にし、第10条第1項の安全管理措置の実施その他の個人情報の適正な取扱いについて事業者の内部における責任体制を確保するため、事業者は、当該事業者の個人情報の適正な取扱いの確保について必要な権限を有する役員などの組織横断的に監督することのできる者（個人情報保護管理者）を置いて、個人情報保護管理者において責任をもって必要な個人情報保護の取扱いの監督等を行わせるよう努めなければならない。

なお、個人情報保護管理者の設置は、特に、事業者の内部又は外部からの不正行為による個人情報の漏えい等を防止するため、責任の所在を明確化する上でも、重要である。また、個人情報保護管理者は、内部規程の策定や監査体制の整備に当たっては、7（別添）（講ずべき安全管理措置の内容）に規定された措置を盛り込むことが望ましい。

(参考)

法第 23 条

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

## 3 -4-3 従業者の監督（第11条第1項関係）

第11条 (第1項)

1 事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

事業者は、その従業者に個人データを取り扱わせるに当たって、第10条第1項に基づく安全管理措置を遵守させるよう、当該従業者に対し必要かつ適切な監督をしなければならない。その際、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に起因するリスクに応じて、個人データを取り扱う従業者に対する教育、研修等の内容及び頻度を充実させるなど、必要かつ適切な措置を講ずることが望ましい。
「従業者」とは、事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者等をいい、雇用関係にある従業員（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、取締役、執行役、理事、監査役、監事、派遣社員等も含まれる。

【従業者に対して必要かつ適切な監督を行っていない事例】

事例 1）従業者が、個人データの安全管理措置を定める規程等に従って業務を行っている

ことを確認しなかった結果、個人データが漏えいた場合

事例 2）内部規程等に違反して個人データが入ったノート型パソコン又は外部記録媒体が

繰り返し持ち出されていたにもかかわらず、その行為を放置した結果、当該パソコ

ン又は当該記録媒体が紛失し、個人データが漏えいた場合

(参考)

法第24条

個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

## 3 -4-4 従業者の義務（第11条第2項関係）

第11条 (第2项)

2 郵便の業務に従事する者は、その業務に関して知り得た個人データの内容をみだりに他人に知らせないものとし、また、不当な目的に使用してはならない。その職を退いた後においても同様とする。

郵便法第 8 条第 2 項では、郵便の業務に従事する者に対し、郵便物に関して知り得た他人の秘密を守るべき義務を課されている。ここでいう「他人の秘密」とは、信書に限らず、郵便物すべてについて、通信文などの内容のみならず、差出人・受取人の氏名、住所又は居所、取扱年月日、差出通数その他通信そのものの構成要素を成す一切の事項を指し、転居届に係る情報及び配達原簿に係る情報も含まれる。（※）

一方、「信書の秘密」又は「郵便物に関して知り得た他人の秘密」のいずれにも該当しない個人情報を個人データといった形で保有している場合には、かかる守秘義務は及ばないと考えられるものの、個人情報保護の観点から同様に保護することが適当であることから、このような規定を置くこととしたものである。

第2項でいう「みだりに他人に知らせ」るとは、自己の権限に含まれない場合や含まれる場合であっても正当な理由なく他人に知らせることをいう。また、「不当な目的に使用」するとは、自己の利益を図るために利用する場合や他人の正当な利益に反して利用する場合
をいう。

(※) 郵便に関して知り得た他人の秘密に係る個人情報の第三者提供については、3-7-4（第三者提供の制限における信書の秘密に係る個人データの例外）を参照のこと。

(参考)

郵便法第8条 (第2項)

2 郵便の業務に従事する者は、在職中郵便物に関して知り得た他人の秘密を守らなければならない。その職を退いた後においても、同様とする。

## 3 -4-5 委託先の監督（第12条第1項～第3項関係）

## 第12条

1 事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

2 事業者は、個人情報の保護について十分な措置を講じている者を委託先として選定するための基準を設けるよう努めなければならない。

3 事業者は、前項の規定を遵守するために次に掲げる事項について委託契約時に明確化に努めなければならない。

一個人データの安全管理に関する事項。例えば、次に掲げる事項。

イ個人データの漏えい等の防止、盗用の禁止に関する事項

口 委託契約範囲外の加工、利用の禁止

八 委託契約範囲外の複写、複製の禁止

二

ホ 委託処理終了後の個人データの返還・消去・破棄に関する事項

二 個人データの取扱状況に関する委託元への報告の内容及び頻度

三 委託契約の内容、期間が遵守されていることの確認

四 委託契約の内容、期間が遵守されなかった場合の措置

五 個人データの漏えい等の事故が発生した場合の報告・連絡に関する事項

六 個人データの漏えい等の事故が発生した場合における委託元と委託先の責任の範囲

事業者は、個人データの取扱いの全部又は一部を委託（※1）する場合は、委託を受けた者（以下「委託先」という。）において当該個人データについて安全管理措置が適切に講ぜられるよう、委託先に対し必要かつ適切な監督をしなければならない。具体的には、事業者は、第10条第1項に基づき自らが講ずべき安全管理措置と同等の措置が講ぜられるよう、
監督を行うものとする（※2）。

その際、委託する業務内容に対して必要のない個人データを提供しないようにすることは当然のこととして、取扱いを委託する個人データの内容を踏まえ、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に起因するリスクに応じて、次の（1）から（3）までに掲げる必要かつ適切な措置を講じなければならない（※3）。

## （1） 適切な委託先の選定

委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第23条及び本ガイドラインで委託元である事業者に求められるものと同等であることを確認するため、「7（（別添）講ずべき安全管理措置の内容）」に定める各項目が、委託する業務内容に沿って、確実に実施されることについて、あらかじめ確認しなければならない。

また、事業者は、個人情報の保護に十分な措置を講じている者を委託先として選定するための基準を設けるよう努めなければならない（第2項）。委託先として選定するための基準に盛り込むべき事項としては、委託先における安全管理措置の状況のほか、従業者の監督の状況、個人情報保護に関する第三者認証の取得の有無等が考えられる。

## (2) 委託契約の締結

委託契約には、当該個人データの取扱いに関する、必要かつ適切な安全管理措置として、委託元、委託先双方が同意した内容とともに、委託先における委託された個人データの取扱状況を委託元が合理的に把握することを盛り込むことが望ましい。第3項は、委託契約において、明確化に努めなければならない事項を明らかにしたものである（※4）。

## （3） 委託先における個人データ取扱状況の把握

委託先における委託された個人データの取扱状況を把握するためには、定期的に監査を行う等により、委託契約で盛り込んだ内容の実施の程度を調査した上で、委託の内容等の見直しを検討することを含め、適切に評価することが望ましい。

また、委託先が再委託を行おうとする場合は、委託を行う場合と同様、委託元は、委託先が再委託する相手方、再委託する業務内容、再委託先の個人データの取扱方法等について、委託先から事前報告又は承認を求めること、及び委託先を通じて又は必要に応じて自らが、定期的に監査を実施する等により、委託先が再委託先に対して本条の委託先の監督を適切に果たすこと、及び再委託先が法第23条第1項に基づく安全管理措置を講ずること
とを十分に確認することが望ましい（※5）。再委託先が再々委託を行う場合以降も、再委託を行う場合と同様である。

【委託を受けた者に対して必要かつ適切な監督を行っていない事例】

事例 1) 個人データの安全管理措置の状況を契約締結時及びそれ以後も適宜把握せず外部事業者に委託した結果、委託先が個人データを漏えいた場合

事例 2) 個人データの取扱いに関して必要な安全管理措置の内容を委託先に指示しなかった結果、委託先が個人データを漏えいした場合

事例 3）再委託の条件に関する指示を委託先に行わず、かつ委託先の個人データの取扱状況の確認を怠り、委託先が個人データの処理を再委託した結果、当該再委託先が個人データを漏えいた場合

事例 4）契約の中に、委託元は委託先による再委託の実施状況を把握することが盛り込まれているにもかかわらず、委託先に対して再委託に関する報告を求めるなどの必要な措置を行わず、委託元の認知しない再委託が行われた結果、当該再委託先が個人データを漏えいした場合

(※1)「個人データの取扱いの委託」とは、契約の形態・種類を問わず、事業者が他の者に個人データの取扱いを行わせることをいう。具体的には、個人データの入力（本人からの取得を含む）、編集、分析、出力等の処理を行うことを委託すること等が想定される

(※2) 委託元が第10条第1項が求める水準を超える高い水準の安全管理措置を講じている場合に、委託先に対してもこれと同等の措置を求める趣旨ではなく、法律上は、委託先は、法第23条第1項が求める水準の安全管理措置を講ずれば足りると解される。

(※3) 委託先の選定や委託先における個人データ取扱状況の把握に当たっては、取扱いを委託する個人データの内容や規模に応じて適切な方法をとる必要があるが、例えば、必要に応じて個人データを取り扱う場所に赴く又はこれに代わる合理的な方法（口頭による確認を含む。）により確認することが考えられる。

(※4) 第3項第1号の「個人データの漏えい等の防止、盗用の禁止に関する事項」は、例えば、委託先において個人データを取り扱う者（委託先で作業する委託先以外の作業者を含む。）を明確にすることも含まれる。

同項第4号の「委託契約の内容、期間が遵守されなかった場合の措置」とは、例えば、安全管理に関する事項が遵守されずに個人データが漏えいした場合の損害賠償に関する事項が考えられる。

(※5) 委託元が委託先について「必要かつ適切な監督」を行っていない場合で、委託先が再委託をした際に、再委託先が不適切な取扱いを行ったときは、元の委託元によ
る法違反と判断されるので、再委託をする場合は注意を要する。

(参考)

## 法第 25 条

個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

## 3 -4-6 委託先の義務（第12条第4項関係）

## 第12条 (第4項)

4 事業者から委託された個人データの取扱いに係る業務に従事する者は、その業務に関して知り得た個人データの内容をみだりに他人に知らせないものとし、また、不当な目的に使用してはならない。その職を退いた後においても同様とする。

事業者から委託された個人データの取扱いの業務に従事する者についても、第11条第2項の郵便の業務に従事する者の責務と同様に、その業務に関して知り得た個人データを適正に取り扱うべき責務があることを明らかにしたものである。

（本項の趣旨、「みだりに他人に知らせ」及び「不当な目的に使用」の内容については、3-4-4（従業者の義務）を参照のこと。）

## 3 -5 プライバシーポリシーについて（第13条関係）

## 第 13 条

事業者は、プライバシーポリシー（当該事業者の個人情報の取扱いに関する方針についての宣言をいう。）を策定・公表し、これを遵守するように努めなければならない。

事業者の個人情報保護についての社会の信頼を確保するため、事業者は自らの個人情報保護を推進する上での考え方や方針についての宣言をプライバシーポリシーとして公表するよう努めなければならない。

プライバシーポリシーは、事業者が、分かりやすい表現で記載すべきものであるが、プライバシーポリシーに記載すべき事項としては、次のようなものが考えられる。

(1) 法及び信書の秘密に係る郵便法の規定その他の関係法令の遵守

(2) 本ガイドラインの遵守

(3) 第 20 条第 1 項各号に定める公表すべき事項

・事業者の名称、住所、代表者氏名
・個人データの利用目的

・開示等の求めに応じる手続

・苦情の申出先等

(4) 第 10 条第 1 項の安全管理措置に関する方針

(5) 消費者等、本人の権利利益の保護に関する事項

・委託の有無、委託する事務の内容を明らかにする等、委託処理の透明化を進めること等

(参考)

個人情報保護に関する基本方針（平成16年4月2日閣議決定。令和4年4月1日一部変更）

個人情報取扱事業者は、法の規定に従うほか、上記2(2)①の民間部門ガイドライン及び認定個人情報保護団体の個人情報保護指針等に則し、例えば、プライバシーを含む個人の権利利益を一層保護する観点から、個人情報保護を推進する上での考え方や方針（いわゆる、プライバシーポリシー、プライバシーステートメント等）を対外的に明確化するなど、個人情報の保護及び適正かつ効果的な活用について自主的に取り組むことが期待されているところであり、体制の整備等に積極的に取り組んでいくことが求められている。その際、事業の規模及び性質、個人データの取扱状況等に応じて、各個人情報取扱事業者等において適切な取組が実施されることが重要である。

## 3 –6 個人データの漏えい等の報告等（第14条関係）

3-6-1 「漏えい等」の考え方

3-6-1-1 「漏えい」の考え方

個人データの「漏えい」とは、個人データが外部に流出することをいう。

【個人データの漏えいに該当する事例】

事例1）個人データが記載された書類を第三者に誤送付した場合

事例2）個人データを含むメールを第三者に誤送信した場合

事例3）システムの設定ミス等によりインターネット上で個人データの閲覧が可能な

状態となっていた場合

事例4）個人データが記載又は記録された書類・媒体等が盗難された場合

事例5）不正アクセス等により第三者に個人データを含む情報が窃取された場合
なお、個人データを第三者に閲覧されないうちに全てを回収した場合は、漏えいに該当しない。また、事業者が自らの意図に基づき個人データを第三者に提供する場合（※）は、漏えいに該当しない。

(※) 事業者は、個人データの第三者への提供に当たり、原則としてあらかじめ本人の同意を取得する必要がある。

## 3 -6-1-2 「滅失」の考え方

個人データの「滅失」とは、個人データの内容が失われることをいう。

## 【個人データの滅失に該当する事例】

事例 1) 個人情報データベース等から出力された氏名等が記載された帳票等を誤って廃棄した場合（※1）

事例 2）個人データが記載又は記録された書類・媒体等を社内で紛失した場合（※2）

なお、上記の場合であっても、その内容と同じデータが他に保管されている場合は、滅失に該当しない。また、事業者が合理的な理由により個人データを削除する場合は、滅失に該当しない。

(※1) 当該帳票等が適切に廃棄されていない場合には、個人データの漏えいに該当する場合がある。

(※2) 社外に流出した場合には、個人データの漏えいに該当する。

## 3 -6-1-3 「毀損」の考え方

個人データの「毀損」とは、個人データの内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となることをいう。

【個人データの毀損に該当する事例】

事例 1）個人データの内容が改ざんされた場合

事例 2) 暗号化処理された個人データの復元キーを喪失したことにより復元できなくなった場合
事例 3) ランサムウェア等により個人データが暗号化され、復元できなくなった場合(※)

なお、上記事例2）及び事例3）の場合であっても、その内容と同じデータが他に保管されている場合は毀損に該当しない。

(※) 同時に個人データが窃取された場合には、個人データの漏えいにも該当する。

## 3 –6–2 漏えい等事案が発覚した場合に講ずべき措置

事業者は、漏えい等又はそのおそれのある事案（以下「漏えい等事案」という。）が発覚した場合は、漏えい等事案の内容等に応じて、次の（1）から（5）に掲げる事項について必要な措置を講じなければならない。

## （1） 事業者内部における報告及び被害の拡大防止

責任ある立場の者に直ちに報告するとともに、漏えい等事案による被害が発覚時よりも拡大しないよう必要な措置を講ずる。

## (2) 事実関係の調査及び原因の究明

漏えい等事案の事実関係の調査及び原因の究明に必要な措置を講ずる。

## （3） 影響範囲の特定

上記（2）で把握した事実関係による影響範囲の特定のために必要な措置を講ずる。

## （4） 再発防止策の検討及び実施

上記（2）の結果を踏まえ、漏えい等事案の再発防止策の検討及び実施に必要な措置を講ずる。

（5）個人情報保護委員会・総務大臣への報告及び本人への通知

3-6-3（個人情報保護委員会・総務大臣への報告）、3-6-4（本人への通知）を参照のこと。なお、漏えい等事案の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、事実関係及び再発防止策等について、速やかに公表することが望ましい。

3–6–3 個人情報保護委員会・総務大臣への報告（第14条第1項関係）
## 第 14 条（第 1 项）

1 事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして次の各号のいずれかに該当するものが生じたときは、次項から第4項までに定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、第5項に定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。

一 要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この項及び次項において同じ。）の漏えい等が発生し、又は発生したおそれがある事態

二 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態

三 不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態

四 個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態

## 第 14 条（第 4 项）

4 第1項本文の規定による報告は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める方法により行うものとする。

一個人情報保護委員会に報告する場合　電子情報処理組織（個人情報保護委員会の使用に係る電子計算機と報告をする者の使用に係る電子計算機とを電気通信回線で接続した電子情報処理組織をいう。以下この項において同じ。）を使用する方法（電気通信回線の故障、災害その他の理由により電子情報処理組織を使用することが困難であると認められる場合にあっては、個人情報の保護に関する法律施行規則（平成28年個人情報保護委員会規則第3号。以下「規則」という。）別記様式第1による報告書を提出する方法）

二 法第 147 条第 1 項の規定により法第 26 条第 1 項の規定による権限の委任を受けた総務大臣に報告する場合 規則別記様式第 1 による報告書を提出する方法（総務大臣が別に定める場合にあっては、その方法）

事業者は、次の（1）から（4）までに掲げる事態（以下「報告対象事態」という。）を知ったときは、個人情報保護委員会（法第147条第1項の規定により、総務大臣が法第26
条第1項の規定による権限の委任を受けている場合にあっては総務大臣）に報告しなければならない（※1）（※2）。

（1）要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態（第14条第1項第1号関係）

## 【報告を要する事例】

事例 1) 病院における患者の診療情報や調剤情報を含む個人データを記録した USB メモリーを紛失した場合

事例 2）従業員の健康診断等の結果を含む個人データが漏えいた場合

(2) 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態（第14条第1項第2号関係）

財産的被害が生じるおそれについては、対象となった個人データの性質・内容等を踏まえ、財産的被害が発生する蓋然性を考慮して判断する。

## 【報告を要する事例】

事例 1）EC サイトからクレジットカード番号を含む個人データが漏えいた場合

事例 2）送金や決済機能のあるウェブサービスのログイン ID とパスワードの組み合わせを含む個人データが漏えいした場合

（3）不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態（第14条第1項第3号関係）

「不正の目的をもって」漏えい等を発生させた主体には、第三者のみならず、従業者も含まれる。

## 【報告を要する事例】

事例 1）不正アクセスにより個人データが漏えいた場合（※3）

事例 2）ランサムウェア等により個人データが暗号化され、復元できなくなった場合

事例 3）個人データが記載又は記録された書類・媒体等が盗難された場合

事例 4）従業者が顧客の個人データを不正に持ち出して第三者に提供した場合（※4）

（4）個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態（第14条第1項第4号関係）
「個人データに係る本人の数」は、当該事業者が取り扱う個人データのうち、漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数をいう。「個人データに係る本人の数」について、事態が発覚した当初1,000人以下であっても、その後1,000人を超えた場合には、1,000人を超えた時点で第14条第1項第4号に該当することになる。本人の数が確定できない漏えい等において、漏えい等が発生したおそれがある個人データに係る本人の数が最大1,000人を超える場合には、第14条第1項第4号に該当する。

事例）システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となり、当該個人データに係る本人の数が1,000人を超える場合

(※1) 報告対象事態に該当しない漏えい等事案であっても、事業者は個人情報保護委員会（法第147条第1項の規定により、総務大臣が法第26条第1項の規定による権限の委任を受けている場合にあっては総務大臣）に任意の報告をすることができる。

(※2) 報告対象事態における「おそれ」については、その時点で判明している事実関係に基づいて個別の事案ごとに蓋然性を考慮して判断することになる。漏えい等が発生したおそれについては、その時点で判明している事実関係からして、漏えい等が疑われるものの漏えい等が生じた確証がない場合がこれに該当する。

(※3) サイバー攻撃の事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、次の（ア）から（エ）が考えられる。

（ア）個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において外部からの不正アクセスによりデータが窃取された痕跡が認められた場合

（イ）個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において、情報を窃取する振る舞いが判明しているマルウェアの感染が確認された場合

（ウ）マルウェアに感染したコンピュータに不正な指令を送り、制御するサーバ（C&C サーバ）が使用しているものとして知られている IP アドレス・FQDN（Fully Qualified Domain Name の略。サブドメイン名及びドメイン名からなる文字列であり、ネットワーク上のコンピュータ（サーバ等）を特定するもの。）への通信が確認された場合

（エ）不正検知を行う公的機関、セキュリティ・サービス・プロバイダ、専門家等の第三者から、漏えいのおそれについて、一定の根拠に基づく連絡を受けた場合
(※4) 従業者による個人データの持ち出しの事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において、通常の業務で必要としないアクセスによりデータが窃取された痕跡が認められた場合が考えられる。

なお、漏えい等が発生し、又は発生したおそれがある個人データについて、高度な暗号化等の秘匿化がされている場合等、「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられている場合については、報告を要しない。

(参考)

## 法第26条（第1项）

1 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。

## 規則第7条

法第 26 条第 1 項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。

(1) 要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第1項において同じ。）の漏えい、滅失若しくは毀損（以下この条及び次条第1項において「漏えい等」という。）が発生し、又は発生したおそれがある事態

(2) 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態

(3) 不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態

(4) 個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態

## 規則第8条（第3項）
3 法第 26 条第 1 項本文の規定による報告は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める方法により行うものとする。

(1) 個人情報保護委員会に報告する場合 電子情報処理組織(個人情報保護委員会の使用に係る電子計算機と報告をする者の使用に係る電子計算機とを電気通信回線で接続した電子情報処理組織をいう。以下この項において同じ。)を使用する方法（電気通信回線の故障、災害その他の理由により電子情報処理組織を使用することが困難であると認められる場合にあっては、別記様式第1による報告書を提出する方法）

(2) 法第 147 条第 1 項の規定により、法第 26 条第 1 項の規定による権限の委任を受けた事業所管大臣に報告する場合 別記様式第 1 による報告書を提出する方法（当該事業所管大臣が別に定める場合にあっては、その方法）

## 3 -6-3-2 報告義務の主体

漏えい等報告の義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データを取り扱う事業者である。

事業者が個人データの取扱いを委託している場合においては、委託元である事業者と委託先の双方が個人データを取り扱っていることになるため、報告対象事態に該当する場合には、原則として委託元である事業者と委託先の双方が報告する義務を負う（※）。この場合、委託元である事業者及び委託先の連名で報告することができる。なお、委託先が、報告義務を負っている委託元である事業者に当該事態が発生したことを通知したときは、委託先は報告義務を免除される（3-6-3-5（委託元への通知による例外）参照）。

また、委託元である事業者から委託先にある個人データ（個人データ A）の取扱いを委託している場合であって、別の個人データ（個人データ B）の取扱いを委託していないときには、個人データ B について、委託元である事業者において報告対象事態が発生した場合であっても、委託先は報告義務を負わず、委託元である事業者のみが報告義務を負うことになる。

（※）委託先は、本ガイドラインの適用対象ではないが、法第26条第1項に基づき報告義務を負う。

## 3 -6-3-3 速報（第 14 条第 2 項関係）

## 第14条 (第2项)

2 事業者は、前項本文の規定による報告をする場合には、同項各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点にお
いて把握しているものに限る。第5項において同じ。）を報告しなければならない。

## 一 概要

二 漏えい等が発生し、又は発生したおそれがある個人データの項目

三 漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数

## 四 原因

五 二次被害又はそのおそれの有無及びその内容

六 本人への対応の実施状況

七 公表の実施状況

八 再発防止のための措置

九 その他参考となる事項

事業者は、報告対象事態を知ったときは、速やかに報告しなければならない。報告先は、個人情報保護委員会（法第147条第1項の規定により、総務大臣が法第26条第1項の規定による権限の委任を受けている場合にあっては総務大臣）に報告する。総務大臣に報告する場合、報告期限は個人情報保護委員会に報告する場合と同様である。

報告期限の起算点となる「知った」時点については、個別の事案ごとに判断されるが、事業者のいずれかの部署が当該事態を知った時点を基準とする。「速やか」の日数の目安については、個別の事案によるものの、事業者が当該事態を知った時点から概ね3～5日以内である。

個人情報保護委員会への漏えい等報告については、次の（1）から（9）までに掲げる事項を、原則として、個人情報保護委員会のホームページの報告フォームに入力する方法により行う。総務大臣への漏えい等報告については、次の（1）から（9）までに掲げる事項を記載した様式を提出する方法により行う。速報時点での報告内容については、報告をしようとする時点において把握している内容を報告すれば足りる。

## (1) 「概要」

当該事態の概要について、発生日、発覚日、発生事案、発見者、第14条第1項各号該当性、委託元及び委託先の有無、事実経過等を報告する。

（2）「漏えい等が発生し、又は発生したおそれがある個人データの項目」

漏えい等が発生し、又は発生したおそれがある個人データの項目について、媒体や種類（顧客情報、従業員情報の別等）とともに報告する。

（3）「漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数」

漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数について報告する。