Silviase/jgov_v1.4_full_ann huggingface dataset:
## 規則第6条

法第20条第2項第7号の個人情報保護委員会規則で定める者は、次の各号のいずれかに該当する者とする。

(1) 外国政府、外国の政府機関、外国の地方公共団体又は国際機関

(2) 外国において法第16条第8項に規定する学術研究機関等に相当する者

(3) 外国において法第57条第1項各号に掲げる者に相当する者

## 政令第9条

法第20条第2項第8号の政令で定める場合は、次に掲げる場合とする。

(1) 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合

(2) 法第 27 条第 5 項各号（法第 41 条第 6 項の規定により読み替えて適用する場合及び法第 42 条第 2 項において読み替えて準用する場合を含む。）に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき。

3-3-3 信書の秘密に係る個人情報の取得（第7条第3項関係）

## 第7条（第3項）

3 前項の規定にかかわらず、信書便事業者は、利用者の同意がある場合その他の違法性阻却事由がある場合を除いては、信書の秘密に係る個人情報を取得してはならない。

信書便事業者は、第7条第2項の規定が適用される場合であっても、個人情報が信書の秘密に該当する場合には、本人の同意（※1）その他の違法性阻却事由がある場合（※2）を除き、当該情報の取得は許されない。

（※1）信書の秘密に係る個人情報の取扱いに関する同意については、2−17（本人の同意）を参照のこと。

（※2）違法性阻却事由がある場合については、3−1−6（利用目的による制限における信書の秘密に係る例外）を参照のこと。

3-3-4 利用目的の通知又は公表（第8条第1項関係）

## 第8条（第1項）

1 信書便事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
ばならない。

信書便事業者は、個人情報を取得する場合は、あらかじめその利用目的を公表（※1）していることが望ましい。公表していない場合は、取得後速やかに、その利用目的を、本人に通知（※2）するか、又は公表しなければならない。

【本人への通知又は公表が必要な事例】

事例 1) インターネット上で本人が自発的に公にしている個人情報を取得した場合（単に閲覧しただけの場合を除く。）

事例 2）インターネット、官報、職員録等から個人情報を取得した場合（単に閲覧しただけの場合を除く。）

事例 3）個人情報の第三者提供を受けた場合

(※1)「公表」については、2−16（公表）を参照のこと。

(※2)「本人に通知」については、2−15（本人に通知）を参照のこと。

(参考)

法第21条 (第1项)

1 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

## 3 −3−5 直接書面等による取得（第8条第2項関係）

第8条（第2項）

2 信書便事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。第16条第3項及び第6項、第19条第1項第2号並びに第21条第1項を除き、以下同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

信書便事業者は、契約書や懸賞応募はがき等の書面等による記載、ユーザー入力画面への打ち込み等の電磁的記録により、直接本人から個人情報を取得する場合には、あらかじめ、本人に対し、その利用目的を明示（※）しなければならない。

なお、名刺などは、一般の慣行として、自身の個人情報を、本人の自発的な意思で、
任意の簡便な形式により相手に提供するものであり、申込書、アンケート調査票、懸賞応募はがき等のように、信書便事業者が一定の書式や様式を準備した上で、本人が当該事業者の求めに沿う形で個人情報を提供する場合とは異なることから、本項の義務を課するものではないが、その場合は第8条第1項に基づいて、あらかじめ利用目的を公表するか、取得後速やかに、その利用目的を、本人に通知するか、又は公表しなければならない（ただし、3-3-6（利用目的の通知等をしなくてよい場合）参照）。口頭により個人情報を取得する場合についても同様である。

また、人（法人を含む。）の生命、身体又は財産の保護のために緊急に必要がある場合は、あらかじめ、本人に対し、その利用目的を明示する必要はないが、その場合は第8条第1項に基づいて、取得後速やかにその利用目的を、本人に通知し、又は公表しなければならない（3-3-4（利用目的の通知又は公表）参照）。

【あらかじめ、本人に対し、その利用目的を明示しなければならない場合】

事例 1）本人の個人情報が記載された申込書・契約書等を本人から直接取得する場合

事例 2）アンケートに記載された個人情報を直接本人から取得する場合

事例 3）自社が主催するキャンペーンへの参加希望者が、参加申込みのために自社の

ホームページの入力画面に入力した個人情報を直接本人から取得する場合

## 【利用目的の明示に該当する事例】

事例 1）利用目的を明記した契約書その他の書面を相手方である本人に手渡し、又は送付する場合

なお、契約約款又は利用条件等の書面（電磁的記録を含む。）中に利用目的条項を記載する場合は、例えば、裏面約款に利用目的が記載されていることを伝える、又は裏面約款等に記載されている利用目的条項を表面にも記載し、かつ、社会通念上、本人が認識できる場所及び文字の大きさで記載する等、本人が実際に利用目的を目にできるよう留意することが望ましい。

事例 2) ネットワーク上において、利用目的を、本人がアクセスした自社のホームページ上に明示し、又は本人の端末装置上に表示する場合。

なお、ネットワーク上において個人情報を取得する場合は、本人が送信ボタン等をクリックする前等にその利用目的（利用目的の内容が示された画面に1回程度の操作でページ遷移するよう設定したリンクやボタンを含む。）が本人の目に留まるようその配置に留意することが望ましい。

（※）「本人に対し、その利用目的を明示」とは、本人に対し、その利用目的を明確に示すことをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法による必要がある。
(参考)

法第21条 (第2项)

2 個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

## 3 -3-6 利用目的の通知等をしなくてよい場合（第8条第4項関係）

## 第8条 (第4項)

4 前 3 項の規定は、次に掲げる場合については、適用しない。

一 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

二 利用目的を本人に通知し、又は公表することにより当該信書便事業者の権利又は正当な利益を害するおそれがある場合

三国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。

四 取得の状況からみて利用目的が明らかであると認められる場合

次に掲げる場合については、第8条第1項から第3項までにおいて利用目的の本人への通知（※1）、公表（※2）又は明示（※3）（以下この項において「利用目的の通知等」という。）が求められる場合であっても、当該利用目的の通知等は不要である。

（1）利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（第8条第4項第1号関係）

利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合は、第8条第1項から第3項までの適用を受けず、当該利用目的の通知等は不要である。

(2) 利用目的を本人に通知し、又は公表することにより信書便事業者の権利又は正当な利益を害するおそれがある場合（第8条第4項第2号関係）

利用目的を本人に通知し、又は公表することにより信書便事業者の権利又は正当な利益を害するおそれがある場合は、第8条第1項から第3項までの適用を受けず、当該利用目的の通知等は不要である。
事例）暴力団等の反社会的勢力情報、疑わしい取引の届出の対象情報、業務妨害行為を行う悪質者情報等を、本人又は他の事業者等から取得したことが明らかになることにより、当該情報を取得した企業に害が及ぶ場合

(3) 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき（第8条第4項第3号関係）

国の機関等（地方公共団体又はその委託を受けた者を含む。）が法令の定める事務を実施する上で、信書便事業者の協力を得る必要があり、かつ、本人に対する利用目的の通知等により当該事務の遂行に支障を及ぼすおそれがあると認められる場合は、当該信書便事業者は、第8条第1項から第3項までの適用を受けず、当該利用目的の通知等は不要である。

事例）警察が、公開手配を行わないで、被疑者に関する個人情報を、被疑者の立ち回りが予想される信書便事業者に限って提供した場合において、警察から当該個人情報を受け取った当該信書便事業者が、利用目的を本人に通知し、又は公表することにより、捜査活動に支障を及ぼすおそれがある場合

（4）取得の状況からみて利用目的が明らかであると認められる場合（第8条第4項第4号関係）

取得の状況からみて利用目的が明らかであると認められる場合は、第8条第1項から第3項までの適用を受けず、当該利用目的の通知等は不要である。

事例 1) 信書を送達するに際して、住所・電話番号等の個人情報を取得する場合で、その利用目的が信書の送達のみを確実に行うためという利用目的であるような場合

事例 2）一般の慣行として名刺を交換する場合、直接本人から、氏名・所属・肩書・連絡先等の個人情報を取得することとなるが、その利用目的が今後の連絡や、所属する会社の広告宣伝のための冊子や電子メールを送付するという利用目的であるような場合

(※1) 本人への「通知」については、2−15（本人に通知）を参照のこと。

(※2)「公表」については、2−16（公表）を参照のこと。

(※3)「明示」については、3-3-5（直接書面等による取得）を参照のこと。

(参考)
法第21条 (第4项)

4 前三項の規定は、次に掲げる場合については、適用しない。

(1) 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

(2) 利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合

(3) 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。

(4) 取得の状況からみて利用目的が明らかであると認められる場合

## 3 -4 個人データの管理について（第9条～第12条関係）

## 3 -4-1 データ内容の正確性の確保等（第9条関係）

## 第9条

信書便事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。

信書便事業者は、利用目的の達成に必要な範囲内において、個人情報データベース等への個人情報の入力時の照合・確認の手続の整備、誤り等を発見した場合の訂正等の手続の整備、記録事項の更新、保存期間の設定等を行うことにより、個人データを正確かつ最新の内容に保つよう努めなければならない。

なお、保有する個人データを一律に又は常に最新化する必要はなく、それぞれの利用目的に応じて、その必要な範囲内で正確性・最新性を確保すれば足りる。例えば、信書便役務の提供に当たって、差出人や受取人の住所の変更について常時把握することまで求めるものではなく、本人からの連絡等に応じて、随時、個人データの更新を行うことで足りると考えられる。

また、信書便事業者は、保有する個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等は、当該個人データを遅滞なく消去するよう努めなければならない（※）。なお、法令の定めにより保存期間等が定められている場合は、この限りではない。

【個人データについて利用する必要がなくなったときに該当する事例】

事例）キャンペーンの懸賞品送付のため、当該キャンペーンの応募者の個人データを
## 保有していたところ、懸賞品の発送が終わり、不着対応等のための合理的な期間が経過した場合

(※)「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む。

## (参考)

## 法第22条

個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。

## 3 -4-2 安全管理措置（第 10 条 関係）

## 第10条

1 信書便事業者は、その取り扱う個人データの漏えい、滅失又は毀損（以下「漏えい等」という。）の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

2 信書便事業者は、個人情報保護管理者（当該信書便事業者の個人情報の取扱いに関する責任者をいう。）を置き、このガイドラインを遵守するための内部規程の策定、監査体制の整備及び当該信書便事業者の個人情報の取扱いの監督を行わせるよう努めなければならない。

信書便事業者は、その取り扱う個人データの漏えい、滅失又は毀損（以下「漏えい等」という。）の防止その他の個人データの安全管理のため、組織的、人的、物理的及び技術的安全管理措置を講じなければならないが、当該措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容としなければならない。具体的に講じなければならない措置や当該措置を実践するための手法の例等については、「6（別添）講ずべき安全管理措置の内容」を参照のこと。

また、個人情報保護措置の実施に関する責任の所在を明確にし、第10条第1項の安全管理措置の実施その他の個人情報の適正な取扱いについて信書便事業者の内部における責任体制を確保するための、信書便事業者は、当該信書便事業者の個人情報の適正な取扱いの確保について必要な権限を有する役員などの組織横断的に監督することのできる者（個人情報保護管理者）（※）を置いて、個人情報保護管理者において責任をもって必要
な個人情報保護の取扱いの監督等を行わせるよう努めなければならない。

なお、個人情報保護管理者の設置は、特に、信書便事業者の内部又は外部からの不正行為による個人情報の漏えい等を防止するため、責任の所在を明確化する上でも、重要である。また、個人情報保護管理者は、内部規程の策定や監査体制の整備に当たっては、6（別添）（講ずべき安全管理措置の内容）に規定された措置を盛り込むことが望ましい。

（※）信書便管理者は、業務の監督、顧客情報及び信書便物の管理を行う者として、「信書便管理者」を事業場ごとに選任する必要があるが（信書便法第22条、同法施行規則第31条第2項第1号参照）、かかる者が「個人情報保護管理者」も兼任することは差し支えない。ただし、「個人情報保護管理者」については、各信書便事業者ごとに設置することを想定していることに留意する必要がある。

(参考)

法第 23 条

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

## 信書便法第22条

1 一般信書便事業者は、その取扱中に係る信書便物の秘密を保護するため、総務省令で定めるところにより、信書便の業務の管理に関する事項について信書便管理規程を定め、総務大臣の認可を受けなければならない。これを変更しようとするときも、同様とする。

2 総務大臣は、信書便管理規程が一般信書便事業者の取扱中に係る信書便物の秘密を保護するものとして適当であると認めるときは、前項の認可をしなければならない。

3 一般信書便事業者及びその従業者は、信書便管理規程を守らなければならない。

民間事業者による信書の送達に関する法律施行規則第31条（第2項）

2 法第22条第1項の信書便管理規程には、次に掲げる事項を記載しなければならない。

一 信書便管理者の事業場ごとの選任及び次に掲げる事項を職務に含むその具体的な職務の内容

二～四 (略)

3-4-3 従業者の監督（第11条第1項関係）

第11条（第1項）
1 信書便事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

信書便事業者は、その従業者に個人データを取り扱わせるに当たって、第10条第1項に基づく安全管理措置を遵守させるよう、当該従業者に対し必要かつ適切な監督をしなければならない。その際、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に起因するリスクに応じて、個人データを取り扱う従業者に対する教育、研修等の内容及び頻度を充実させるなど、必要かつ適切な措置を講ずることが望ましい。

「従業者」とは、信書便事業者の組織内にあって直接間接に信書便事業者の指揮監督を受けて事業者の業務に従事している者等をいい、雇用関係にある従業員（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、取締役、執行役、理事、監査役、監事、派遣社員等も含まれる。

【従業者に対して必要かつ適切な監督を行っていない事例】

事例 1）従業者が、個人データの安全管理措置を定める規程等に従って業務を行っていることを確認しなかった結果、個人データが漏えいた場合

事例 2）内部規程等に違反して個人データが入ったノート型パソコン又は外部記録媒体が繰り返し持ち出されていたにもかかわらず、その行為を放置した結果、当該パソコン又は当該記録媒体が紛失し、個人データが漏えいした場合

(参考)

法第24条

個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

## 3 -4-4 従業者の義務（第11条第2項関係）

第 11 条（第 2 项）

2 従業者は、その業務に関して知り得た個人データの内容をみだりに他人に知らせないものとし、また、不当な目的に使用してはならない。その職を退いた後においても同様とする。
信書便法第5条第2項では、信書便の業務に従事する者に対し、信書便物に関して知り得た他人の秘密を守るべき義務を課されている。ここでいう「他人の秘密」とは、信書に限らず、信書便物すべてについて、通信文などの内容のみならず、差出人・受取人の氏名、住所又は居所、取扱年月日、差出通数その他通信そのものの構成要素を成す一切の事項を指し、転居届に係る情報及び配達原簿に係る情報も含まれる。（※）

一方、「信書の秘密」又は「郵便物に関して知り得た他人の秘密」のいずれにも該当しない個人情報を個人データといった形で保有している場合には、かかる守秘義務は及ばないと考えられるものの、個人情報保護の観点から同様に保護することが適当であることから、このような規定を置くこととしたものである。

第2項でいう「みだりに他人に知らせ」るとは、自己の権限に含まれない場合や含まれる場合であっても正当な理由なく他人に知らせることをいう。また、「不当な目的に使用」するとは、自己の利益を図るために利用する場合や他人の正当な利益に反して利用する場合をいう。

なお、信書便事業者は、信書便物の秘密を保護するという観点から、信書便法に基づき、信書便管理規程においても事故等の際に信書便の業務に従事する者がとるべき措置、信書便の業務に従事するものに対する教育・訓練の実施等に関する措置につき記載し、かかる規程を遵守しなければならないことに留意する必要がある（信書便法第22条（同法第34条において特定信書便事業者に準用）、同法施行規則（平成15年総務省令第27号）第31条第2項を参照）。

（※）信書便に関して知り得た他人の秘密に係る個人情報の第三者提供については、3-7-4（第三者提供の制限における信書の秘密に係る個人データの例外）を参照のこと。

(参考)

## 信書便法第5条（第2項）

2 信書便の業務に従事する者は、在職中信書便物に関して知り得た他人の秘密を守らなければならない。その職を退いた後においても、同様とする。

## 信書便法第22条

1 一般信書便事業者は、その取扱中に係る信書便物の秘密を保護するため、総務省令で定めるところにより、信書便の業務の管理に関する事項について信書便管理規程を定め、総務大臣の認可を受けなければならない。これを変更しようとするときも、同様とする。

2 総務大臣は、信書便管理規程が一般信書便事業者の取扱中に係る信書便物の秘密を保護するものとして適当であると認めるときは、前項の認可をしなければならない。
3 一般信書便事業者及びその従業者は、信書便管理規程を守らなければならない。

民間事業者による信書の送達に関する法律施行規則第31条（第2項）

2 法第22条第1項の信書便管理規程には、次に掲げる事項を記載しなければならない。

## 一 ·二 (略)

三 事故若しくは犯罪行為の発生又は犯罪捜査時の信書便管理者その他の信書便

の業務に従事する者がとるべき報告、記録その他の措置

四 信書便の業務に従事する者に対する教育及び訓練の実施

## 3 -4-5 委託先の監督（第12条第1項～第3項関係）

## 第12条

1 信書便事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

2 信書便事業者は、個人情報の保護について十分な措置を講じている者を委託先として選定するための基準を設けるよう努めなければならない。

3 信書便事業者は、前項の規定を遵守するために次に掲げる事項について委託契約時に明確化に努めなければならない。

一個人データの安全管理に関する事項。例えば、次に掲げる事項。

イ個人データの漏えい等の防止、盗用の禁止に関する事項

口 委託契約範囲外の加工、利用の禁止

八 委託契約範囲外の複写、複製の禁止

二

ホ 委託処理終了後の個人データの返還・消去・破棄に関する事項

二 個人データの取扱状況に関する委託元への報告の内容及び頻度

三 委託契約の内容、期間が遵守されていることの確認

四 委託契約の内容、期間が遵守されなかった場合の措置

五 個人データの漏えい等の事故が発生した場合の報告・連絡に関する事項

六 個人データの漏えい等の事故が発生した場合における委託元と委託先の責任の範囲

信書便事業者は、個人データの取扱いの全部又は一部を委託（※1）する場合は、委託を受けた者（以下「委託先」という。）において当該個人データについて安全管理措置が適切に講ぜられるよう、委託先に対し必要かつ適切な監督をしなければならない。具体的には、信書便事業者は、第10条第1項に基づき自らが講ずべき安全管理措置と同等の
措置が講ぜられるよう、監督を行うものとする（※2）。

その際、委託する業務内容に対して必要のない個人データを提供しないようにすることは当然のこととして、取扱いを委託する個人データの内容を踏まえ、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に起因するリスクに応じて、次の（1）から（3）までに掲げる必要かつ適切な措置を講じなければならない（※3）。

## （1） 適切な委託先の選定

委託先の選定に当たっては、委託先の安全管理措置が、少なくとも第10条に基づく安全管理措置であること又は法第23条及び本ガイドラインで委託元に求められるものと同等であることを確認するため、「6（別添）講ずべき安全管理措置の内容）」に定める各項目が、委託する業務内容に沿って、確実に実施されることについて、あらかじめ確認しなければならない。

また、信書便事業者は、個人情報の保護に十分な措置を講じている者を委託先として選定するための基準を設けるよう努めなければならない（第2項）。委託先として選定するための基準に盛り込むべき事項としては、委託先における安全管理措置の状況のほか、従業者の監督の状況、個人情報保護に関する第三者認証の取得の有無等が考えられる。

## (2) 委託契約の締結

委託契約には、当該個人データの取扱いに関する、必要かつ適切な安全管理措置として、委託元、委託先双方が同意した内容とともに、委託先における委託された個人データの取扱状況を委託元が合理的に把握することを盛り込むことが望ましい。第3項は、委託契約において、明確化に努めなければならない事項を明らかにしたものである（※4）。

## （3） 委託先における個人データ取扱状況の把握

委託先における委託された個人データの取扱状況を把握するためには、定期的に監査を行う等により、委託契約で盛り込んだ内容の実施の程度を調査した上で、委託の内容等の見直しを検討することを含め、適切に評価することが望ましい。

また、委託先が再委託を行おうとする場合は、委託を行う場合と同様、委託元は、委託先が再委託する相手方、再委託する業務内容、再委託先の個人データの取扱方法等について、委託先から事前報告又は承認を求めること、及び委託先を通じて又は必要に応じて自らが、定期的に監査を実施する等により、委託先が再委託先に対して本条の委託先の監督を適切に果たすこと、及び再委託先が法第23条第1項に基づく安全管理措置を講ずることを十分に確認することが望ましい（※5）。再委託先が再々委託
を行う場合以降も、再委託を行う場合と同様である。

【委託を受けた者に対して必要かつ適切な監督を行っていない事例】

事例 1）個人データの安全管理措置の状況を契約締結時及びそれ以後も適宜把握せず外部の事業者に委託した結果、委託先が個人データを漏えいた場合

事例 2）個人データの取扱いに関して必要な安全管理措置の内容を委託先に指示しなかった結果、委託先が個人データを漏えいた場合

事例 3）再委託の条件に関する指示を委託先に行わず、かつ委託先の個人データの取扱状況の確認を怠り、委託先が個人データの処理を再委託した結果、当該再委託先が個人データを漏えいた場合

事例 4）契約の中に、委託元は委託先による再委託の実施状況を把握することが盛り込まれているにもかかわらず、委託先に対して再委託に関する報告を求めるなどの必要な措置を行わず、委託元の認知しない再委託が行われた結果、当該再委託先が個人データを漏えいした場合

(※1)「個人データの取扱いの委託」とは、契約の形態・種類を問わず、信書便事業者が他の者に個人データの取扱いを行わせることをいう。具体的には、個人データの入力（本人からの取得を含む。）、編集、分析、出力等の処理を行うことを委託すること等が想定される

(※2) 委託元が第10条第1項が求める水準を超える高い水準の安全管理措置を講じている場合に、委託先に対してもこれと同等の措置を求める趣旨ではなく、法律上は、委託先は、第10条（法第23条）第1項が求める水準の安全管理措置を講ずれば足りると解される。

(※3) 委託先の選定や委託先における個人データ取扱状況の把握に当たっては、取扱いを委託する個人データの内容や規模に応じて適切な方法をとる必要があるが、例えば、必要に応じて個人データを取り扱う場所に赴く又はこれに代わる合理的な方法（口頭による確認を含む。）により確認することが考えられる。

(※4) 第3項第1号の「個人データの漏えい等の防止、盗用の禁止に関する事項」は、例えば、委託先において個人データを取り扱う者（委託先で作業する委託先以外の作業者を含む。）を明確にすることも含まれる。

同項第4号の「委託契約の内容、期間が遵守されなかった場合の措置」とは、例えば、安全管理に関する事項が遵守されずに個人データが漏えいした場合の損害賠償に関する事項が考えられる。

(※5) 委託元が委託先について「必要かつ適切な監督」を行っていない場合で、委託先が再委託をした際に、再委託先が不適切な取扱いを行ったときは、元の委託元による法違反と判断され得るので、再委託をする場合は注意を要する。
(参考)

法第 25 条

個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

3-4-6 委託先の義務（第12条第4項関係）

## 第12条（第4項）

4 信書便事業者から委託された個人データの取扱いに係る業務に従事する者は、その業務に関して知り得た個人データの内容をみだりに他人に知らせないものとし、また、不当な目的に使用してはならない。その職を退いた後においても同様とする。

信書便事業者から委託された個人データの取扱いの業務に従事する者についても、第11条第2項の従業者の責務と同様に、その業務に関して知り得た個人データを適正に取り扱うべき責務があることを明らかにしたものである。

（本項の趣旨、「みだりに他人に知らせ」及び「不当な目的に使用」の内容については、3-4-4（従業者の義務）を参照のこと。）

## 3 -5 プライバシーポリシーについて（第13条関係）

第 13 条

信書便事業者は、プライバシーポリシー（当該信書便事業者の個人情報の取扱いに関する方針についての宣言をいう。）を策定・公表し、これを遵守するように努めなければならない。

信書便事業者の個人情報保護についての社会の信頼を確保するため、信書便事業者は自らの個人情報保護を推進する上での考え方や方針についての宣言をプライバシーポリシーとして公表するよう努めなければならない。

プライバシーポリシーは、それぞれの信書便事業者が、分かりやすい表現で記載すべきものであるが、プライバシーポリシーに記載すべき事項としては、次のようなものが考えられる。

(1) 法及び信書の秘密に係る信書便法の規定その他の関係法令の遵守

(2) 本ガイドラインの遵守

(3) 第 20 条第 1 項各号に定める公表すべき事項

・信書便事業者の名称及び住所並びに法人にあっては、その代表者の氏名
・個人データの利用目的

・開示等の求めに応じる手続

・苦情の申出先 等

(4) 第 10 条第 1 項の安全管理措置に関する方針

(5) 消費者等、本人の権利利益の保護に関する事項

委託の有無、委託する事務の内容を明らかにする等、委託処理の透明化を進めること等

- 委託の有無、委託する事務の内容を明らかにする等、委託処理の透明化を進めること等

(参考)

個人情報保護に関する基本方針（平成16年4月2日閣議決定。令和4年4月1日一部変更）

個人情報取扱事業者は、法の規定に従うほか、上記2(2)①の民間部門ガイドライン及び認定個人情報保護団体の個人情報保護指針等に則し、例えば、プライバシーを含む個人の権利利益を一層保護する観点から、個人情報保護を推進する上での考え方や方針（いわゆる、プライバシーポリシー、プライバシーステートメント等）を対外的に明確化するなど、個人情報の保護及び適正かつ効果的な活用について自主的に取り組むことが期待されているところであり、体制の整備等に積極的に取り組んでいくことが求められている。その際、事業の規模及び性質、個人データの取扱状況等に応じて、各個人情報取扱事業者等において適切な取組が実施されることが重要である。

## 3 –6 個人データの漏えい等の報告等（第14条関係）

3-6-1 「漏えい等」の考え方

3-6-1-1 「漏えい」の考え方

個人データの「漏えい」とは、個人データが外部に流出することをいう。

【個人データの漏えいに該当する事例】

事例 1）個人データが記載された書類を第三者に誤送付した場合

事例 2）個人データを含むメールを第三者に誤送信した場合

事例 3）システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となっていた場合

事例 4）個人データが記載又は記録された書類・媒体等が盗難された場合

事例 5）不正アクセス等により第三者に個人データを含む情報が窃取された場合

なお、個人データを第三者に閲覧されないうちに全てを回収した場合は、漏えいに該当しない。また、信書便事業者が自らの意図に基づき個人データを第三者に提供する場合（※）は、漏えいに該当しない。
(※) 信書便事業者は、個人データの第三者への提供に当たり、原則としてあらかじめ本人の同意を取得する必要がある。

## 3 -6-1-2 「滅失」の考え方

個人データの「滅失」とは、個人データの内容が失われることをいう。

## 【個人データの滅失に該当する事例】

事例 1）個人情報データベース等から出力された氏名等が記載された帳票等を誤って廃棄した場合（※1）

事例 2）個人データが記載又は記録された書類・媒体等を社内で紛失した場合（※2）

なお、上記の場合であっても、その内容と同じデータが他に保管されている場合は、滅失に該当しない。また、信書便事業者が合理的な理由により個人データを削除する場合は、滅失に該当しない。

(※1) 当該帳票等が適切に廃棄されていない場合には、個人データの漏えいに該当する場合がある。

(※2) 社外に流出した場合には、個人データの漏えいに該当する。

## 3 -6-1-3 「毀損」の考え方

個人データの「毀損」とは、個人データの内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となることをいう。

【個人データの毀損に該当する事例】

事例 1）個人データの内容が改ざんされた場合

事例 2）暗号化処理された個人データの復元キーを喪失したことにより復元できなくなった場合

事例 3）ランサムウェア等により個人データが暗号化され、復元できなくなった場合（※）

なお、上記事例2）及び事例3）の場合であっても、その内容と同じデータが他に保管されている場合は毀損に該当しない。

（※）同時に個人データが窃取された場合には、個人データの漏えいにも該当す
る。

## 3 –6–2 漏えい等事案が発覚した場合に講ずべき措置

信書便事業者は、漏えい等又はそのおそれのある事案（以下「漏えい等事案」という。）が発覚した場合は、漏えい等事案の内容等に応じて、次の（1）から（5）に掲げる事項について必要な措置を講じなければならない。

## （1） 事業者内部における報告及び被害の拡大防止

責任ある立場の者に直ちに報告するとともに、漏えい等事案による被害が発覚時よりも拡大しないよう必要な措置を講ずる。

## (2) 事実関係の調査及び原因の究明

漏えい等事案の事実関係の調査及び原因の究明に必要な措置を講ずる。

## （3） 影響範囲の特定

上記（2）で把握した事実関係による影響範囲の特定のために必要な措置を講ずる。

## （4） 再発防止策の検討及び実施

上記（2）の結果を踏まえ、漏えい等事案の再発防止策の検討及び実施に必要な措置を講ずる。

## （5） 個人情報保護委員会・総務大臣等への報告及び本人への通知

3-6-3（個人情報保護委員会・総務大臣等への報告）、3-6-4（本人への通知）を参照のこと。なお、漏えい等事案の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、事実関係及び再発防止策等について、速やかに公表することが望ましい。
## 3 –6–3 個人情報保護委員会・総務大臣等への報告（第14条第1項関係）

3-6-3-1 報告対象となる事態

## 第 14 条（第 1 项）

1 信書便事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして次の各号のいずれかに該当するものが生じたときは、次項から第4項までに定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該信書便事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、第5項に定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。

一 要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するための必要な措置を講じたものを除く。以下この項及び次項において同じ。）の漏えい等が発生し、又は発生したおそれがある事態

二 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態

三 不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態

四 個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態

## 第 14 条（第 4 项）

4 第1項本文の規定による報告は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める方法により行うものとする。

一個人情報保護委員会に報告する場合　電子情報処理組織（個人情報保護委員会の使用に係る電子計算機と報告をする者の使用に係る電子計算機とを電気通信回線で接続した電子情報処理組織をいう。以下この項において同じ。）を使用する方法（電気通信回線の故障、災害その他の理由により電子情報処理組織を使用することが困難であると認められる場合にあっては、個人情報の保護に関する法律施行規則（平成28年個人情報保護委員会規則第3号。以下「規則」という。）別記様式第1による報告書を提出する方法）

二 法第147条第1項の規定により、法第26条第1項の規定による権限の委任を受けた総務大臣に報告する場合 規則別記様式第1による報告書を提出する方法（総務大臣が別に定める場合にあっては、その方法）

信書便事業者は、次の（1）から（4）までに掲げる事態（以下「報告対象事態」という。）を知ったときは、個人情報保護委員会（法第147条第1項の規定により、総務大臣
が法第26条第1項の規定による権限の委任を受けている場合にあっては総務大臣（一の総合通信局又は沖縄総合通信事務所の管轄区域内の信書便法第2条第9項に規定する特定信書便事業者にあっては、当該総合通信局長又は沖縄総合通信事務所長）に報告しなければならない（※1）（※2）。

（1）要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態（第14条第1項第1号関係）

## 【報告を要する事例】

事例 1）病院における患者の診療情報や調剤情報を含む個人データを記録した USB メモリーを紛失した場合

事例 2）従業員の健康診断等の結果を含む個人データが漏えいた場合

(2) 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態（第14条第1項第2号関係）

財産的被害が生じるおそれについては、対象となった個人データの性質・内容等を踏まえ、財産的被害が発生する蓋然性を考慮して判断する。

【報告を要する事例】

事例 1）EC サイトからクレジットカード番号を含む個人データが漏えいた場合

事例 2）送金や決済機能のあるウェブサービスのログイン ID とパスワードの組み合わせを含む個人データが漏えいた場合

（3）不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態（第14条第1項第3号関係）

「不正の目的をもって」漏えい等を発生させた主体には、第三者のみならず、従業者も含まれる。

## 【報告を要する事例】

事例 1）不正アクセスにより個人データが漏えいした場合（※3）

事例 2）ランサムウェア等により個人データが暗号化され、復元できなくなった場合

事例 3）個人データが記載又は記録された書類・媒体等が盗難された場合

事例 4）従業者が顧客の個人データを不正に持ち出して第三者に提供した場合（※4）

（4）個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態（第14条第1項第4号関係）

「個人データに係る本人の数」は、当該信書便事業者が取り扱う個人データのうち、
漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数をいう。「個人データに係る本人の数」について、事態が発覚した当初1,000人以下であっても、その後1,000人を超えた場合には、1,000人を超えた時点で第14条第1項第4号に該当することになる。本人の数が確定できない漏えい等において、漏えい等が発生したおそれがある個人データに係る本人の数が最大1,000人を超える場合には、第14条第1項第4号に該当する。

事例）システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となり、当該個人データに係る本人の数が1,000人を超える場合

(※1) 報告対象事態に該当しない漏えい等事案であっても、信書便事業者は個人情報保護委員会（法第147条第1項の規定により、総務大臣が法第26条第1項の規定による権限の委任を受けている場合にあっては総務大臣（一の総合通信局又は沖縄総合通信事務所の管轄区域内の信書便法第2条第9項に規定する特定信書便事業者にあっては、当該総合通信局長又は沖縄総合通信事務所長）に任意の報告をすることができる。

(※2) 報告対象事態における「おそれ」については、その時点で判明している事実関係に基づいて個別の事案ごとに蓋然性を考慮して判断することになる。漏えい等が発生したおそれについては、その時点で判明している事実関係からして、漏えい等が疑われるものの漏えい等が生じた確証がない場合がこれに該当する。

(※3) サイバー攻撃の事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、次の（ア）から（エ）が考えられる。

（ア）個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において外部からの不正アクセスによりデータが窃取された痕跡が認められた場合

（イ）個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において、情報を窃取する振る舞いが判明しているマルウェアの感染が確認された場合

（ウ）マルウェアに感染したコンピュータに不正な指令を送り、制御するサーバ（C&C サーバ）が使用しているものとして知られている IP アドレス・FQDN（Fully Qualified Domain Name の略。サブドメイン名及びドメイン名からなる文字列であり、ネットワーク上のコンピュータ（サーバ等）を特定するもの。）への通信が確認された場合

（エ）不正検知を行う公的機関、セキュリティ・サービス・プロバイダ、専門家等の第三者から、漏えいのおそれについて、一定の根拠に基づく連絡を受けた場合
(※4) 従業者による個人データの持ち出しの事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において、通常の業務で必要としないアクセスによりデータが窃取された痕跡が認められた場合が考えられる。

なお、漏えい等が発生し、又は発生したおそれがある個人データについて、高度な暗号化等の秘匿化がされている場合等、「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられている場合については、報告を要しない。

## (参考)

## 法第26条 (第1项)

1 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。

## 規則第7条

法第26条第1項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。

(1) 要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第1項において同じ。）の漏えい、滅失若しくは毀損（以下この条及び次条第1項において「漏えい等」という。）が発生し、又は発生したおそれがある事態

(2) 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態

(3) 不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態

(4) 個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態

## 規則第8条（第3項）
3 法第 26 条第 1 項本文の規定による報告は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める方法により行うものとする。

(1) 個人情報保護委員会に報告する場合 電子情報処理組織(個人情報保護委員会の使用に係る電子計算機と報告をする者の使用に係る電子計算機とを電気通信回線で接続した電子情報処理組織をいう。以下この項において同じ。）を使用する方法（電気通信回線の故障、災害その他の理由により電子情報処理組織を使用することが困難であると認められる場合にあっては、別記様式第1による報告書を提出する方法）

(2) 法第 147 条第 1 項の規定により、法第 26 条第 1 項の規定による権限の委任を受けた事業所管大臣に報告する場合 別記様式第 1 による報告書を提出する方法（当該事業所管大臣が別に定める場合にあっては、その方法）

## 3 -6-3-2 報告義務の主体

漏えい等報告の義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データを取り扱う信書便事業者である。

個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人データを取り扱っていることになるため、報告対象事態に該当する場合には、原則として委託元と委託先の双方が報告する義務を負う。この場合、委託元及び委託先の連名で報告することができる。なお、委託先が、報告義務を負っている委託元に当該事態が発生したことを通知したときは、委託先は報告義務を免除される（3-6-3-5（委託元への通知による例外）参照）。

また、委託元から委託先にある個人データ（個人データ A）の取扱いを委託している場合であって、別の個人データ（個人データ B）の取扱いを委託していないときには、個人データ B について、委託元において報告対象事態が発生した場合であっても、委託先は報告義務を負わず、委託元のみが報告義務を負うことになる。

## 3 -6-3-3 速報（第 14 条第 2 項関係）

第 14 条（第 2 项）

2 信書便事業者は、前項本文の規定による報告をする場合には、同項各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。第五項において同じ。）を報告しなければならない。

一 概要

二 漏えい等が発生し、又は発生したおそれがある個人データの項目

三 漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数
## 四 原因

五 二次被害又はそのおそれの有無及びその内容

六 本人への対応の実施状況

七 公表の実施状況

八 再発防止のための措置

九 その他参考となる事項

信書便事業者は、報告対象事態を知ったときは、速やかに報告しなければならない。報告先は、個人情報保護委員会（法第147条第1項の規定により、総務大臣が法第26条第1項の規定による権限の委任を受けている場合にあっては総務大臣（一の総合通信局又は沖縄総合通信事務所の管轄区域内の信書便法第2条第9項に規定する特定信書便事業者にあっては、当該総合通信局長又は沖縄総合通信事務所長）に報告する。総務大臣（一の総合通信局又は沖縄総合通信事務所の管轄区域内の信書便法第2条第9項に規定する特定信書便事業者にあっては、当該総合通信局長又は沖縄総合通信事務所長）に報告する場合、報告期限は個人情報保護委員会に報告する場合と同様である。

報告期限の起算点となる「知った」時点については、個別の事案ごとに判断されるが、信書便事業者が法人である場合には、いずれかの部署が当該事態を知った時点を基準とする。「速やか」の日数の目安については、個別の事案によるものの、信書便事業者が当該事態を知った時点から概ね3～5日以内である。

個人情報保護委員会への漏えい等報告については、次の（1）から（9）までに掲げる事項を、原則として、個人情報保護委員会のホームページの報告フォームに入力する方法により行う。総務大臣への漏えい等報告については、次の（1）から（9）までに掲げる事項を記載した様式を提出する方法により行う。速報時点での報告内容については、報告をしようとする時点において把握している内容を報告すれば足りる。

## (1) 「概要」

当該事態の概要について、発生日、発覚日、発生事案、発見者、第14条第1項各号該当性、委託元及び委託先の有無、事実経過等を報告する。

(2) 「漏えい等が発生し、又は発生したおそれがある個人データの項目」

漏えい等が発生し、又は発生したおそれがある個人データの項目について、媒体や種類（顧客情報、従業員情報の別等）とともに報告する。

（3）「漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数」

漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数について報告する。
## (4) 「原因」

当該事態が発生した原因について、当該事態が発生した主体（報告者又は委託先）とともに報告する。

(5) 「二次被害又はそのおそれの有無及びその内容」

当該事態に起因して発生する被害又はそのおそれの有無及びその内容について報告する。

## (6) 「本人への対応の実施状況」

当該事態を知った後、本人に対して行った措置（通知を含む。）の実施状況について報告する。

## (7) 「公表の実施状況」

当該事態に関する公表の実施状況について報告する。

## （8） 「再発防止のための措置」

漏えい等事案が再発することを防止するために講ずる措置について、実施済みの措置と今後実施予定の措置に分けて報告する。

## (9) 「その他参考となる事項」

上記の（1）から（8）までの事項を補完するため、個人情報保護委員会、又は総務大臣（一の総合通信局又は沖縄総合通信事務所の管轄区域内の信書便法第2条第9項に規定する特定信書便事業者にあっては、当該総合通信局長又は沖縄総合通信事務所長）が当該事態を把握する上で参考となる事項を報告する。

(参考)

## 規則第8条（第1項）

1 個人情報取扱事業者は、法第26条第1項本文の規定による報告をする場合には、前条各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。次条において同じ。）を報告しなければならない。

(1) 概要

(2) 漏えい等が発生し、又は発生したおそれがある個人データの項目

(3) 漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数

(4) 原因

(5) 二次被害又はそのおそれの有無及びその内容

(6) 本人への対応の実施状況
(7) 公表の実施状況

(8) 再発防止のための措置

(9) その他参考となる事項

3-6-3-4 確報（第 14 条第 3 項関係）

第14条（第3項）

3 前項の場合において、信書便事業者は、当該事態を知った日から30日以内（当該事態が第1項第3号に定めるものである場合にあっては、60日以内）に、当該事態に関する前項各号に定める事項を報告しなければならない。

信書便事業者は、報告対象事態を知ったときは、速報に加え（※1）、30日以内（第14条第1項第3号の事態においては60日以内。同号の事態に加え、同項第1号、第2号又は第4号の事態にも該当する場合も60日以内。）に個人情報保護委員会（法第147条第1項の規定により、総務大臣が法第26条第1項の規定による権限の委任を受けている場合にあっては総務大臣（一の総合通信局又は沖縄総合通信事務所の管轄区域内の信書便法第2条第9項に規定する特定信書便事業者にあっては、当該総合通信局長又は沖縄総合通信事務所長）に報告しなければならない。30日以内又は60日以内は報告期限であり、可能である場合には、より早期に報告することが望ましい。

報告期限の起算点となる「知った」時点については、速報と同様に、信書便事業者が法人である場合には、いずれかの部署が当該事態を知った時点を基準とし、確報の報告期限の算定（※2）に当たっては、その時点を1日目とする。

確報においては、3-6-3-3（1）から（9）までに掲げる事項の全てを報告しなければならない。確報を行う時点（報告対象事態を知った日から30日以内又は60日以内）において、合理的努力を尽くした上で、一部の事項が判明しておらず、全ての事項を報告することができない場合には、その時点で把握している内容を報告し、判明次第、報告を追完するものとする。

(※1) 速報の時点で全ての事項を報告できる場合には、1回の報告で速報と確報を兼ねることができる。

（※2）確報の報告期限（30日以内又は60日以内）の算定に当たっては、土日・祝日も含める。ただし、30日目又は60日目が土日、祝日又は年末年始閉庁日（12月29日～1月3日）の場合は、その翌日を報告期限とする（行政機関の休日に関する法律（昭和63年法律第91号）第2条）。

(参考)

規則第8条（第2項）