Silviase/jgov_v1.4_full_ann huggingface dataset:
本人の同意を得ることが困難であるとき（第8条第2項第3号関係）

公衆衛生の向上又は心身の発達途上にある児童の健全な育成のために特に必要があり、かつ、本人の同意を得ることが困難である場合は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。

事例） 健康保険組合等の保険者等が実施する健康診断等の結果判明した病名等について、健康増進施策の立案や保健事業の効果の向上を目的として疫学調査等のために提供を受けて取得する場合

(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（第8条第2項第4号関係）

国の機関等（地方公共団体又はその委託を受けた者を含む。）が法令の定める事務を実施する上で、民間企業等の協力を得る必要があり、かつ、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがあると認められる場合は、当該民間企業等は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。

事例）事業者が警察の任意の求めに応じて要配慮個人情報に該当する個人情報を提出するために、当該個人情報を取得する場合

(5) 当該受信者情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（第8条第2項第5号関係）

学術研究機関等（※1）が要配慮個人情報を学術研究目的（※2）で取り扱う必要がある場合（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含む。）であって、個人の権利利益を不当に侵害するおそれがない場合は、当該学術研究機関等は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる（※3）。

※1 「学術研究機関等」については、2-19（学術研究機関等）を参照のこと。

※2 「学術研究目的」については、2-20（学術研究目的）を参照のこと。

※3 「個人の権利利益を不当に侵害するおそれがある場合」には、要配慮個人情
報を取得することはできない。この場合、個人の権利利益を不当に侵害しないような措置を講ずるなど適切に処理する必要がある。この点、学術研究目的で要配慮個人情報を取り扱う必要がある場合であっても、本人又は第三者の権利利益の保護の観点から、取得する要配慮個人情報の範囲を限定するなど、学術研究の目的に照らして可能な措置を講ずることが望ましい。

（6）学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該受信者情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。）(第8条第2項第6号関係)

受信者情報取扱事業者が要配慮個人情報を学術研究目的（※1）で取得する必要があり、かつ、当該受信者情報取扱事業者と共同して学術研究を行う学術研究機関等（※2）から当該要配慮個人情報を取得する場合（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く（※3）。）は、あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる。

※1 「学術研究機関等」については、2-19（学術研究機関等）を参照のこと。

※2 「学術研究目的」については、2-20（学術研究目的）を参照のこと。

※3 「個人の権利利益を不当に侵害するおそれがある場合」には、要配慮個人情報を取得することはできない。この場合、個人の権利利益を不当に侵害しないような措置を講ずるなど適切に処理する必要がある。この点、学術研究目的で要配慮個人情報を取得する必要があっても、本人又は第三者の権利利益の保護の観点から、取得する個人データの範囲を限定するなど、学術研究の目的に照らして可能な措置を講ずることが望ましい。

(7) 当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、法第57条第1項各号に掲げる者、外国政府、外国（本邦の域外にある国又は地域をいう。以下同じ。）の政府機関、外国の地方公共団体、国際機関、外国において学術研究機関等に相当する者又は外国において法第57条第1項各号に掲げる者に相当する者により公開されている場合（第8条第2項第7号関係）

要配慮個人情報が、次に掲げる者により公開されている場合は、あらかじめ本人の同意を得ることなく、当該公開されている要配慮個人情報を取得することができる。
①本人

②国の機関

③地方公共团体

④学術研究機関等

⑤放送機関・新聞社・通信社その他の報道機関（報道を業として行う個人を含む。）

⑥著述を業として行う者

⑦宗教团体

⑧政治团体

⑨外国政府、外国の政府機関、外国の地方公共団体又は国際機関

⑩外国において法第57条第1項各号に掲げる者に相当する者

(8) 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合（第8条第2項第8号関係）

本人の意思にかかわらず、本人の外形上の特徴により、要配慮個人情報に含まれる事項（例：身体障害等）が明らかであるときは、あらかじめ本人の同意を得ることなく、当該要配慮個人情報を取得することができる。

事例）身体の不自由な方が事業所に来訪し、対応した従業員がその旨をお客様対応録等に記録した場合（目視による取得）や、身体の不自由な方の様子が事業所に設置された防犯カメラに映りこんだ場合（撮影による取得）

(9) 第17条第9項各号（第31条第6項の規定により読み替えて適用する場合及び第32条第2項において読み替えて準用する場合を含む。）に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき（第8条第2項第9号関係）

要配慮個人情報を、第 17 条第 9 項各号（第 31 条第 6 項の規定により読み替えて適用する場合及び第 32 条第 2 項において読み替えて準用する場合を含む。）に定める委託、事業承継又は共同利用により取得する場合は、あらかじめ本人の同意を得る必要はない。

【第8条第2項に違反している事例】

本人の同意を得ることなく、第8条第2項第7号で定める者以外がインターネット上で公開している情報から本人の信条や犯罪歴等に関する情報を取得し、既に保有している当該本人に関する情報の一部として自己のデータベース等に登録すること。
(参考)

## 法第20条 (第2項)

2 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。

一 法令に基づく場合

二人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

五 当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

六 学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。）。

七 当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、第57条第1項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合

八 その他前各号に掲げる場合に準ずるものとして政令で定める場合

## 規則第6条

法第20条第2項第7号の個人情報保護委員会規則で定める者は、次の各号のいずれかに該当する者とする。

一 外国政府、外国の政府機関、外国の地方公共団体又は国際機関

二 外国において法第16条第8項に規定する学術研究機関等に相当する者

三 外国において法第 57 条第 1 項各号に掲げる者に相当する者

## 政令第9条

法第20条第2項第8号の政令で定める場合は、次に掲げる場合とする。
一 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合

二 法第27条第5項各号（法第41条第6項の規定により読み替えて適用する場合及び法第42条第2項において読み替えて準用する場合を含む。）に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき。

3−3−4 利用目的の通知又は公表（第9条第1項関係）

第9条（第1項）
1 受信者情報取扱事業者は、放送受信者等の個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

受信者情報取扱事業者は、個人情報を取得する場合は、あらかじめその利用目的を公表（※1）していることが望ましい。公表していない場合は、取得後速やかに、その利用目的を、本人に通知（※2）するか、又は公表しなければならない。

【本人への通知又は公表が必要な事例】

事例1）インターネット上で本人が自発的に公にしている個人情報を取得した場合（単に閲覧しただけの場合を除く。）

事例2）インターネット、官報、職員録等から個人情報を取得した場合（単に閲覧しただけの場合を除く。）

事例 3）個人情報の第三者提供を受けた場合

※1 「公表」については、2−16（公表）を参照のこと。

※2 「本人に通知」については、2−15（本人に通知）を参照のこと。

(参考)

法第 21 条（第 1 项）

1 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

3-3-5 直接書面等による取得（第9条第2項関係）
2 受信者情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

受信者情報取扱事業者は、契約書や懸賞応募はがき等の書面等による記載、ユーザー入力画面への打ち込み等の電磁的記録により、直接本人から個人情報を取得する場合には、あらかじめ、本人に対し、その利用目的を明示（※）しなければならない。

なお、口頭により個人情報を取得する場合にまで、本項の義務を課するものではないが、その場合は第9条第1項に基づいて、あらかじめ利用目的を公表するか、取得後速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

また、人（法人を含む。）の生命、身体又は財産の保護のために緊急に必要がある場合は、あらかじめ、本人に対し、その利用目的を明示する必要はないが、その場合は第9条第1項に基づいて、取得後速やかにその利用目的を、本人に通知し、又は公表しなければならない（3-3-4（利用目的の通知又は公表）参照）。

【あらかじめ、本人に対し、その利用目的を明示しなければならない事例】

事例 1）本人の個人情報が記載された申込書・契約書等を本人から直接取得する場合

事例 2）アンケートに記載された個人情報を直接本人から取得する場合

事例3）自社が主催するキャンペーンへの参加希望者が、参加申込みのために自社のWebサイト上の入力画面に入力した個人情報を直接本人から取得する場合

【利用目的の明示に該当する事例】

事例 1）利用目的を明記した契約書その他の書面を相手方である本人に手渡し、又は送付する場合

なお、契約約款又は利用条件等の書面（電磁的記録を含む。）中に利用目的条項を記載する場合は、例えば、裏面約款に利用目的が記載されていることを伝える、又は裏面約款等に記載されている利用目的条項を表面にも記載し、かつ、社会通念上、本人が認識できる場所及び文字の大きさで記載する等、本人が実際に利用目的を確認できるよう留意することが望ましい。

事例 2）ネットワーク上において、利用目的を、本人がアクセスした自社のWebサイト上に明示し、又は本人の端末装置上に表示する場合。

なお、ネットワーク上において個人情報を取得する場合は、本人が送信ボタン等を押下する前等にその利用目的（利用目的の内容が示された画面に1回程度の
操作でページ遷移するよう設定したリンクやボタンを含む。）が本人の目に留まるようその配置に留意することが望ましい。

※ 「本人に対し、その利用目的を明示」とは、本人に対し、その利用目的を明確に示すことをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法による必要がある。

(参考)

## 法第21条 (第2项)

2 個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

## 3 −3−6 利用目的の通知等をしなくてよい場合（第9条第4項関係）

## 第9条（第4項）

4 前三項の規定は、次に掲げる場合については、適用しない。

一 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

二 利用目的を本人に通知し、又は公表することにより当該受信者情報取扱事業者の権利又は正当な利益を害するおそれがある場合

三国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。

四 取得の状況からみて利用目的が明らかであると認められる場合

次に掲げる場合については、第9条第1項から第3項までにおいて利用目的の本人への通知（※1）、公表（※2）又は明示（※3）（以下この項において「利用目的の通知等」という。）が求められる場合であっても、当該利用目的の通知等は不要である。

(1) 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（第9条第4項第1号関係）
利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合は、第9条第1項から第3項までの適用を受けず、当該利用目的の通知等は不要である。

(2) 利用目的を本人に通知し、又は公表することにより当該受信者情報取扱事業者の権利又は正当な利益を害するおそれがある場合（第9条第4項第2号関係）

利用目的を本人に通知し、又は公表することにより当該受信者情報取扱事業者の権利又は正当な利益を害するおそれがある場合は、第9条第1項から第3項までの適用を受けず、当該利用目的の通知等は不要である。

事例）暴力団等の反社会的勢力情報、疑わしい取引の届出の対象情報、業務妨害行為を行う悪質者情報等を、本人又は他の事業者等から取得したことが明らかになることにより、当該情報を取得した企業に害が及ぶ場合

(3) 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき（第9条第4項第3号関係）

国の機関等（地方公共団体又はその委託を受けた者を含む。）が法令の定める事務を実施する上で、民間企業等の協力を得る必要があり、かつ、本人に対する利用目的の通知等により当該事務の遂行に支障を及ぼすおそれがあると認められる場合は、当該民間企業等は、第9条第1項から第3項までの適用を受けず、当該利用目的の通知等は不要である。

事例）警察が、公開手配を行わないで、被疑者に関する個人情報を、被疑者の立ち回りが予想される受信者情報取扱事業者に限って提供した場合において、警察から当該個人情報を受け取った当該受信者情報取扱事業者が、利用目的を本人に通知し、又は公表することにより、捜査活動に支障を及ぼすおそれがある場合

(4) 取得の状況からみて利用目的が明らかであると認められる場合（第9条第4項第4号関係）

取得の状況からみて利用目的が明らかであると認められる場合は、第9条第1項から第3項までの適用を受けず、当該利用目的の通知等は不要である。
事例 1）商品・サービス等を販売・提供するに当たって住所・電話番号等の個人情報を取得する場合で、その利用目的が当該商品・サービス等の販売・提供のみを確実に行うためという利用目的であるような場合

事例2）一般の慣行として名刺を交換する場合、書面により、直接本人から、氏名・所属・肩書・連絡先等の個人情報を取得することとなるが、その利用目的が今後の連絡のためという利用目的であるような場合（ただし、ダイレクトメール等の目的に名刺を用いることは自明の利用目的に該当しない場合があるので注意を要する。）

※1 本人への「通知」については、2-15（本人に通知）を参照のこと。

※2 「公表」については、2−16（公表）参照のこと。

※3 「明示」については、3−3−5（直接書面等による取得）参照のこと。

(参考)

## 法第21条 (第4项)

4 前三項の規定は、次に掲げる場合については、適用しない。

一 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

二 利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合

三国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。

四 取得の状況からみて利用目的が明らかであると認められる場合

## 3 -4 個人データの管理（第10条～第14条関係）

3-4-1 データ内容の正確性の確保等（第10条関係）

## 第10条

受信者情報取扱事業者は、利用目的の達成に必要な範囲内において、放送受信者等の個人データを正確かつ最新の内容に保つよう努めなければならない。

受信者情報取扱事業者は、利用目的の達成に必要な範囲内において、個人情報データベース等への個人情報の入力時の照合・確認の手続の整備、誤り等を発見した場合の訂正等の手続の整備、記録事項の更新、保存期間の設定等を行うことにより、個人データを正確かつ最
新の内容に保つよう努めなければならない。

なお、保有する個人データを一律に又は常に最新化する必要はなく、それぞれの利用目的に応じて、その必要な範囲内で正確性・最新性を確保すれば足りる。

(参考)

法第22条
個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。

3-4-2 保存期間等（第11条関係）

受信者情報取扱事業者は、放送受信者等の個人データを取り扱うに当たっては、利用目的に必要な範囲内で保存期間を定め、当該保存期間経過後又は利用する必要がなくなった後は、当該個人データを遅滞なく消去するよう努めなければならない。

保有する個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等は、当該個人データを遅滞なく消去することが適切であり（※）、その趣旨を徹底する観点から、受信者情報取扱事業者は、利用目的に応じ保存期間を定めるよう努めなければならない。また、保存期間内であっても利用する必要がなくなった後は消去するよう努めなければならない。

特に視聴者特定視聴履歴については、長期間蓄積することにより、プロファイリングのリスクが高まること、視聴者特定視聴履歴の取得に対して同意をするに当たってどの程度蓄積されるのかについて予見可能性を確保することが放送受信者等の利益に資することから、利用目的に応じた合理的な保存期間を定めるとともに、利用する必要がなくなった後は消去するよう努めなければならない。この際、放送受信者等が当該利用目的となるサービスを解約したり、オプトアウトにより視聴者特定視聴履歴の取得を停止した場合には、事務処理等のために必要な期間の経過後は利用する必要がなくなったものとして消去することが適当である。

ただし、個人データによっては、一律に保存期間を定めることが難しい場合もあることから、全ての個人データについて保存期間を定めることまでは要求しない。しかし、この場合であっても、利用目的を達成すれば遅滞なく消去するよう努めなければならない。
【個人データについて利用する必要がなくなったときに該当する事例】

事例 1）キャンペーンの懸賞品送付のため、当該キャンペーンの応募者の個人データを保有していたところ、懸賞品の発送が終わり、不着対応等のための合理的な期間が経過した場合

事例2）有料放送を契約し、視聴履歴の提供に同意した上でコンテンツのリコメンドサービスを受けていたが、当該有料放送契約を解約し、料金の精算等のための合理的な期間が経過した場合

※ 「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該個人データを削除することのほか、当該個人データから特定の個人を識別できないようにすること等を含む。

(参考)

法第 22 条

個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。

3-4-3 安全管理措置（第 12 条 関係）

第12条
受信者情報取扱事業者は、その取り扱う放送受信者等の個人データの漏えい、滅失又は毀損の防止その他の放送受信者等の個人データの安全管理のために必要かつ適切な措置（以下「安全管理措置」という。）を講じなければならない。

受信者情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損（以下「漏えい等」という。）の防止その他の個人データの安全管理のため、必要かつ適切な措置（以下「安全管理措置」という。）を講じなければならないが、当該措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容としなければならない。具体的に講じなければならない措置や当該措置を実践するための手法の例等については、「10（別添）講ずべき安全管理措置の内容」を参照のこと。また、視聴者特定視聴履歴の取扱いに係る安全管理措置については、7-3-1（視聴者特定視聴履歴の取扱い上の注意）を参照のこと。

(参考)
## 法第 23 条

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

## 3 -4-4 従業者の監督（第13条第1項、第2項関係）

## 第 13 条（第 1 项、第 2 项）

1 受信者情報取扱事業者は、その従業者に放送受信者等の個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

2 受信者情報取扱事業者は、安全管理措置の実施その他の放送受信者等の個人データの適正な取扱いの確保のため、その従業者に対し、必要な教育研修を実施するよう努めなければならない。

受信者情報取扱事業者は、その従業者に個人データを取り扱わせるに当たって、第12条に基づく安全管理措置を遵守させるよう、当該従業者に対し必要かつ適切な監督をしなければならない。その際、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に起因するリスクに応じて、個人データを取り扱う従業者に対する教育研修等の内容及び頻度を充実させるなど、必要かつ適切な措置を講ずることが望ましい。教育研修の内容としては、安全管理に関する内部規定・マニュアルの周知等が考えられる。

「従業者」とは、受信者情報取扱事業者の組織内にあって直接間接に受信者情報取扱事業者の指揮監督を受けて受信者情報取扱事業者の業務に従事している者等をいい、雇用関係にある従業員（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、取締役、執行役、理事、監査役、監事、派遣社員等も含まれる。

【従業者に対して必要かつ適切な監督を行っていない事例】

事例 1）従業者が、個人データの安全管理措置を定める規程等に従って業務を行っていることを確認しなかった結果、個人データが漏えいた場合

事例2）内部規程等に違反して個人データが入ったノート型パソコン又は外部記録媒体が繰り返し持ち出されていたにもかかわらず、その行為を放置した結果、当該パソコン又は当該記録媒体が紛失し、個人データが漏えいた場合

(参考)

法第 24 条

個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該
個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

## 3 -4-5 委託先の監督（第13条第3項関係）

## 第 13 条（第 3 项）

3 受信者情報取扱事業者は、放送受信者等の個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

受信者情報取扱事業者は、個人データの取扱いの全部又は一部を委託（※1）する場合は、委託を受けた者（以下「委託先」という。）において当該個人データについて安全管理措置が適切に講ぜられるよう、委託先に対し必要かつ適切な監督をしなければならない。具体的には、受信者情報取扱事業者は、第12条に基づき自らが講ずべき安全管理措置と同等の措置が講ぜられるよう、監督を行うものとする（※2）。

その際、委託する業務内容に対して必要のない個人データを提供しないようにすることは当然のこととして、取扱いを委託する個人データの内容を踏まえ、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に起因するリスクに応じて、次の（1）から（3）までに掲げる必要かつ適切な措置を講じなければならない（※3）。

なお、特に視聴者特定視聴履歴の取扱いについては、第42条第1項において、要配慮個人情報を推知し、あるいは、第三者による推知が可能となることがないように注意すべきとされているところであり、当該規定は、委託先においても適用されることに留意が必要である。

## (1) 適切な委託先の選定

委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第23条及び本ガイドラインで委託元に求められるものと同等であることを確認するため、「10（別添）講ずべき安全管理措置の内容」に定める各項目が、委託する業務内容に沿って、確実に実施されることについて、委託先の体制や規定等の確認に加え、必要に応じて個人情報保護を取り扱う場所に赴く又はこれに代わる合理的な方法による確認を行う等により、あらかじめ確認しなければならない。

## (2) 委託契約の締結
委託契約には、安全管理措置（委託先において個人情報を取り扱う者（委託先の作業者以外の者を含む。）を明確にすること、委託先において講ずべき安全管理措置の内容等）、秘密保持、再委託の条件（再委託を許すかどうか並びに再委託先を許す場合は再委託先に個人情報を適正に取り扱っていると認められる者を選定すること、再委託を行うに当たっての受信者情報取扱事業者への文書による事前報告又は承認及び再委託先の監督に関する事項等。なお、二段階以上の委託を許す場合は同様に再々委託先等の選定、監督に関する事項を定める必要がある。）、委託契約終了時の個人情報の取扱い（個人情報の返却、消去等）、契約内容が遵守されなかった場合の措置（例えば、安全管理に関する事項が遵守されずに個人情報が漏えいした場合の損害賠償に関する事項、安全管理措置の不備が発見された場合の解約等）等その他の個人情報の取扱いに関する事項を適正に定めることが適当である。また、委託先における委託された個人データの取扱状況を委託元が合理的に把握することを盛り込むことが望ましい。

## (3) 委託先における個人データ取扱状況の把握

委託先における委託された個人データの取扱状況を把握するためには、定期的に監査を行う等により、委託契約で盛り込んだ内容の実施の程度を調査した上で、委託の内容等の見直しを検討することを含め、適切に評価することが望ましい。

また、委託先が再委託を行おうとする場合は、委託を行う場合と同様、委託元は、委託先が再委託する相手方、再委託する業務内容、再委託先の個人データの取扱方法等について、委託先から事前報告を受け又は承認を行うこと、及び委託先を通じて又は必要に応じて自らが、定期的に監査を実施すること等により、委託先が再委託先に対して本条の委託先の監督を適切に果たすこと、及び再委託先が第12条に基づく安全管理措置を講ずることを十分に確認することが望ましい（※4）。再委託先が再々委託を行う場合以降も、再委託を行う場合と同様である。

【委託を受けた者に対して必要かつ適切な監督を行っていない事例】

事例 1）個人データの安全管理措置の状況を契約締結時及びそれ以後も適宜把握せず外部の事業者に委託した結果、委託先が個人データを漏えいた場合

事例2）個人データの取扱いに関して必要な安全管理措置の内容を委託先に指示しなかった結果、委託先が個人データを漏えいた場合

事例3）再委託の条件に関する指示を委託先に行わず、かつ委託先の個人データの取扱状況の確認を怠り、委託先が個人データの処理を再委託した結果、当該再委託先が個人データを漏えいた場合
事例4）契約の中に、委託元は委託先による再委託の実施状況を把握することが盛り込まれているにもかかわらず、委託先に対して再委託に関する報告を求めるなどの必要な措置を行わず、委託元の認知しない再委託が行われた結果、当該再委託先が個人データを漏えいした場合

※1 「個人データの取扱いの委託」とは、契約の形態・種類を問わず、受信者情報取扱事業者が他の者に個人データの取扱いを行わせることをいう。具体的には、個人データの入力（本人からの取得を含む。）、編集、分析、出力等の処理を行うことを委託すること等が想定される。

※2 委託元が第 12 条の求める水準を超える高い水準の安全管理措置を講じている場合に、委託先に対してもこれと同等の措置を求める趣旨ではなく、委託先は、第 12 条が求める水準の安全管理措置を講ずれば足りると解される。

※3 委託先の選定や委託先における個人データ取扱状況の把握に当たっては、取扱いを委託する個人データの内容や規模に応じて適切な方法をとる必要があるが、例えば、必要に応じて個人データを取り扱う場所に赴く又はこれに代わる合理的な方法（口頭による確認を含む。）により確認することが考えられる。

※4 委託元が委託先について「必要かつ適切な監督」を行っていない場合で、委託先が再委託をした際に、再委託先が不適切な取扱いを行ったときは、元の委託元による法違反と判断され得るので、再委託をする場合は注意を要する。

(参考)

## 法第 25 条

個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

## 3 –4–6 個人情報保護管理者（第 14 条関係）

## 第 14 条

受信者情報取扱事業者は、個人情報保護管理者（当該受信者情報取扱事業者の個人情報の取扱いに関する責任者をいう。）を置き、本ガイドラインを遵守するための内部規程の策定、監査体制の整備及び当該受信者情報取扱事業者の個人情報の取扱いの監督を行わせるよう努めなければならない。

個人情報保護措置の実施に関する責任の所在を明確にし、第12条の安全管理措置の実施その他の個人情報の適正な取扱いについて、受信者情報取扱事業者の内部における責任体
制を確保するため、受信者情報取扱事業者は、当該受信者情報取扱事業者の個人情報の適正な取扱いの確保について必要な権限を有する役員などの組織横断的に監督することのできる者（個人情報保護管理者）を置いて、個人情報保護管理者において責任をもって必要な個人情報保護の取扱いの監督等を行わせるよう努めなければならない。

なお、個人情報保護管理者の設置は、特に、受信者情報取扱事業者の内部又は外部からの不正行為による個人情報の漏えい等を防止するため、責任の所在を明確化する上でも、重要である。また、個人情報保護管理者は、内部規程の策定や監査体制の整備に当たっては、「10（別添）講ずべき安全管理措置の内容」に規定された措置を盛り込むことが望ましい。

(参考)

個人情報保護に関する基本方針（平成16年4月2日閣議決定、平成28年10月28日一部変更）

6 個人情報取扱事業者等が講ずべき個人情報の保護のための措置に関する基本的な事項

（１）個人情報取扱事業者が取り扱う個人情報に関する事項

個人情報取扱事業者は、法の規定に従うほか、2の（2）の①の個人情報保護委員会のガイドライン、認定個人情報保護団体の個人情報保護指針等に則し、例えば、消費者の権利利益を一層保護する観点から、個人情報保護を推進する上での考え方や方針（いわゆる、プライバシーポリシー、プライバシーステートメント等）を対外的に明確化するなど、個人情報の保護及び適正かつ効果的な活用について主体的に取り組むことが期待されているところであり、体制の整備等に積極的に取り組んでいくことが求められている。その際、事業の規模及び性質、個人データの取扱状況等に応じて、各事業者において適切な取組が実施されることが重要である。

## 3 −5 プライバシーポリシーの公表（第15条関係）

## 第 15 条

受信者情報取扱事業者は、プライバシーポリシー（当該受信者情報取扱事業者が放送受信者等の個人情報保護を推進する上での考え方や方針をいう。）を公表し、これを遵守するよう努めなければならない。

事業者の個人情報保護についての社会的信頼を確保するため、受信者情報取扱事業者は自らの個人情報保護を推進する上での考え方や方針についての宣言をプライバシーポリシーとして公表することが適切である。

プライバシーポリシーは、それぞれの受信者情報取扱事業者が、分かりやすい表現で記載
すべきものであるが、プライバシーポリシーに記載すべき事項としては、次のようなものが考えられる。

① 法その他の関係法令の遵守

② 本ガイドラインの遵守

③ 個人情報の取扱い等に関して周知すべき事項

(i) 受信者情報取扱事業者の名称

(ii) 個人情報の利用目的

(iii) 利用目的の通知又は開示若しくは訂正等の本人からの求めに応じる手続

(iv) 苦情の申出先

（v）認定個人情報保護団体の名称及び苦情の解決の申出先

④ 第12条の安全管理措置に関する方針

⑤ 利用者の権利利益の保護に関する事項

（i）保有個人データについて本人から求めがあった場合には、ダイレクトメールの発送停止など、自主的に利用停止等に応じること

（ii）委託の有無、委託する事務の内容を明らかにする等、委託処理の透明化を進めること

（iii）受信者情報取扱事業者がその事業内容を勘案して利用者の種類ごとに利用目的を限定して示す、受信者情報取扱事業者が本人の選択による利用目的の限定に自主的に取り組むなどにより、本人にとって利用目的がより明確になるようにすること

(iv) 個人情報の取得方法（取得源の種類等）を、可能な限り具体的に明記すること

(参考)

個人情報保護に関する基本方針（平成16年4月2日閣議決定、平成28年10月28日一部変更）

6 個人情報取扱事業者等が講ずべき個人情報の保護のための措置に関する基本的な事項

（１）個人情報取扱事業者が取り扱う個人情報に関する事項

個人情報取扱事業者は、法の規定に従うほか、2の（2）の①の個人情報保護委員会のガイドライン、認定個人情報保護団体の個人情報保護指針等に則し、例えば、消費者の権利利益を一層保護する観点から、個人情報保護を推進する上での考え方や方針（いわゆる、プライバシーポリシー、プライバシーステートメント等）を対外的に明確化するなど、個人情報の保護及び適正かつ効果的な活用について主体的に取り組むことが期待されているところであり、体制の整備等に積極的に取り組んでいくことが求められている。その際、事業の規模及び性質、個人データの取扱状況等に応じて、各事業者において適切な取組が実施されることが重要である。
3–6 個人データの漏えい等の報告等（第16条関係）

3-6-1 「漏えい等」の考え方

3-6-1-1 「漏えい」の考え方

個人データの「漏えい」とは、個人データが外部に流出することをいう。

【個人データの漏えいに該当する事例】

事例１）個人データが記載された書類を第三者に誤送付した場合

事例2）個人データを含むメールを第三者に誤送信した場合

事例3）システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となっていた場合

事例 4）個人データが記載又は記録された書類・媒体等が盗難された場合

事例 5）不正アクセス等により第三者に個人データを含む情報が窃取された場合

なお、個人データを第三者に閲覧されないうちに全てを回収した場合は、漏えいに該当しない。また、受信者情報取扱事業者が自らの意図に基づき個人データを第三者に提供する場合（※）は、漏えいに該当しない。

※ 受信者情報取扱事業者は、個人データの第三者への提供に当たり、原則としてあ

らかじめ本人の同意を取得する必要がある。

3-6-1-2 「滅失」の考え方

個人データの「滅失」とは、個人データの内容が失われることをいう。

【個人データの滅失に該当する事例】

事例 1）個人情報データベース等から出力された氏名等が記載された帳票等を誤って廃棄した場合（※1）

事例 2）個人データが記載又は記録された書類・媒体等を社内で紛失した場合（※2）

なお、上記の場合であっても、その内容と同じデータが他に保管されている場合は、滅失に該当しない。また、受信者情報取扱事業者が合理的な理由により個人データを削除する場
## 合は、滅失に該当しない。

※1 当該帳票等が適切に廃棄されていない場合には、個人データの漏えいに該当する場合がある。

※2 社外に流出した場合には、個人データの漏えいに該当する。

## 3 -6-1-3 「毀損」の考え方

個人データの「毀損」とは、個人データの内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となることをいう。

## 【個人データの毀損に該当する事例】

事例 1）個人データの内容が改ざんされた場合

事例 2）暗号化処理された個人データの復元キーを喪失したことにより復元できなくなった場合

事例 3）ランサムウェア等により個人データが暗号化され、復元できなくなった場合（※）

なお、上記事例2）及び事例3）の場合であっても、その内容と同じデータが他に保管されている場合は毀損に該当しない。

※ 同時に個人データが窃取された場合には、個人データの漏えいにも該当する。

## 3 –6–2 漏えい等事案が発覚した場合に講ずべき措置

受信者情報取扱事業者は、漏えい等又はそのおそれのある事案（以下「漏えい等事案」という。）が発覚した場合は、漏えい等事案の内容等に応じて、次の（1）から（5）に掲げる事項について必要な措置を講じなければならない。

## （1） 事業者内部における報告及び被害の拡大防止

責任ある立場の者に直ちに報告するとともに、漏えい等事案による被害が発覚時よりも拡大しないよう必要な措置を講ずる。

## (2) 事実関係の調査及び原因の究明
漏えい等事案の事実関係の調査及び原因の究明に必要な措置を講ずる。

## (3) 影響範囲の特定

上記（2）で把握した事実関係による影響範囲の特定のために必要な措置を講ずる。

## （4） 再発防止策の検討及び実施

上記（2）の結果を踏まえ、漏えい等事案の再発防止策の検討及び実施に必要な措置を講ずる。

## （5） 個人情報保護委員会又は委任を受けた総務大臣等への報告及び本人への通知

3-6-3（個人情報保護委員会又は委任を受けた総務大臣等への報告）、3-6-4（本人への通知）を参照のこと。なお、漏えい等事案の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、事実関係及び再発防止策等について、速やかに公表することが望ましい。

## 3 –6–3 個人情報保護委員会又は委任を受けた総務大臣等への報告（第16条第1項、第4項関係）

## 3 -6-3-1 報告対象となる事態

## 第 16 条（第 1 项）

1 受信者情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして次の各号のいずれかに該当するものが生じたときは、次項から第4項までに定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該受信者情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、第5項に定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。

一 要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この項及び次項において同じ。）の漏えい、滅失若しくは毀損（以下この項及び次項において「漏えい等」とい

う。）が発生し、又は発生したおそれがある事態
二 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態

三 不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態

四 個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態

## 第 16 条（第 4 项）

4 第1項本文の規定による報告は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める方法により行うものとする。

一個人情報保護委員会に報告する場合　電子情報処理組織（個人情報保護委員会の使用に係る電子計算機と報告をする者の使用に係る電子計算機とを電気通信回線で接続した電子情報処理組織をいう。以下この項において同じ。）を使用する方法（電気通信回線の故障、災害その他の理由により電子情報処理組織を使用することが困難であると認められる場合にあっては、個人情報の保護に関する法律施行規則（平成28年個人情報保護委員会規則第3号。以下「規則」という。）別記様式第一による報告書を提出する方法）

二 法第 147 条第 1 項の規定により、法第 26 条第 1 項の規定による権限の委任を受けた総務大臣に報告する場合 規則別記様式第一による報告書を提出する方法（総務大臣が別に定める場合にあっては、その方法）

受信者情報取扱事業者は、次の（1）から（4）までに掲げる事態（以下「報告対象事態」という。）を知ったときは、個人情報保護委員会（法第147条の規定により総務大臣等が報告を受理する権限の委任を受けている場合にあっては、総務大臣等）に報告しなければならない（※1）（※2）。

（1）要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態（第16条第1項第1号関係）

【報告を要する事例】

事例 1）放送受信者等の診療情報や調剤情報を含む個人データを記録したUSB メモリーを紛失した場合

事例 2）従業員の健康診断等の結果を含む個人データが漏えいた場合

(2) 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態（第16条第1項第2号関係）
財産的被害が生じるおそれについては、対象となった個人データの性質・内容等を踏まえ、財産的被害が発生する蓋然性を考慮して判断する。

## 【報告を要する事例】

事例 1）EC サイトからクレジットカード番号を含む個人データが漏えいた場合

事例 2）送金や決済機能のあるウェブサービスのログイン ID とパスワードの組み合わせを含む個人データが漏えいた場合

（3）不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態（第16条第1項第3号関係）

「不正の目的をもって」漏えい等を発生させた主体には、第三者のみならず、従業者も含まれる。

## 【報告を要する事例】

事例 1）不正アクセスにより個人データが漏えいた場合（※3）

事例 2）ランサムウェア等により個人データが暗号化され、復元できなくなった場合

事例 3）個人データが記載又は記録された書類・媒体等が盗難された場合

事例 4）従業者が顧客の個人データを不正に持ち出して第三者に提供した場合（※4）

（4）個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態（第16条第1項第4号関係）

「個人データに係る本人の数」は、当該受信者情報取扱事業者が取り扱う個人データのうち、漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数をいう。「個人データに係る本人の数」について、事態が発覚した当初1,000人以下であっても、その後1,000人を超えた場合には、1,000人を超えた時点で第16条第1項第4号に該当することになる。本人の数が確定できない漏えい等において、漏えい等が発生したおそれがある個人データに係る本人の数が最大1,000人を超える場合には、第16条第1項第4号に該当する。

## 【報告を要する事例】

事例）システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となり、当該個人データに係る本人の数が1,000人を超える場合
※1 報告対象事態に該当しない漏えい等事案であっても、受信者情報取扱事業者は個人情報保護委員会に任意の報告をすることができる。

※2 報告対象事態における「おそれ」については、その時点で判明している事実関係に基づいて個別の事案ごとに蓋然性を考慮して判断することになる。漏えい等が発生したおそれについては、その時点で判明している事実関係からして、漏えい等が疑われるものの漏えい等が生じた確証がない場合がこれに該当する。

※3 サイバー攻撃の事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、次の（ア）から（エ）が考えられる。

（ア）個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において外部からの不正アクセスによりデータが窃取された痕跡が認められた場合

（イ）個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において、情報を窃取する振る舞いが判明しているマルウェアの感染が確認された場合

（ウ）マルウェアに感染したコンピュータに不正な指令を送り、制御するサーバ（C&C サーバ）が使用しているものとして知られている IP アドレス・FQDN（Fully Qualified Domain Name の略。サブドメイン名及びドメイン名からなる文字列であり、ネットワーク上のコンピュータ（サーバ等）を特定するもの。）への通信が確認された場合

（エ）不正検知を行う公的機関、セキュリティ・サービス・プロバイダ、専門家等の第三者から、漏えいのおそれについて、一定の根拠に基づく連絡を受けた場合

※4 従業者による個人データの持ち出しの事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において、通常の業務で必要としないアクセスによりデータが窃取された痕跡が認められた場合が考えられる。

なお、漏えい等が発生し、又は発生したおそれがある個人データについて、高度な暗号化等の秘匿化がされている場合等、「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられている場合については、報告を要しない。

(参考)

法第26条（第1项）

1 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいもの
として個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。

## 規則第7条

法第26条第1項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。

一 要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第1項において同じ。）の漏えい、滅失若しくは毀損（以下この条及び次条第1項において「漏えい等」という。）が発生し、又は発生したおそれがある事態

二 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態

三 不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態

四 個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態

## 規則第8条（第3項）

3 法第26条第1項本文の規定による報告は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める方法により行うものとする。

一個人情報保護委員会に報告する場合　電子情報処理組織(個人情報保護委員会の使用に係る電子計算機と報告をする者の使用に係る電子計算機とを電気通信回線で接続した電子情報処理組織をいう。以下この項において同じ。)を使用する方法（電気通信回線の故障、災害その他の理由により電子情報処理組織を使用することが困難であると認められる場合にあっては、別記様式第一による報告書を提出する方法）

二 法第147条第1項の規定により、法第26条第1項の規定による権限の委任を受けた事業所管大臣に報告する場合　別記様式第一による報告書を提出する方法（当該事業所管大臣が別に定める場合にあっては、その方法）

## 法第147条（第1项）

1 委員会は、緊急かつ重点的に個人情報等の適正な取扱いの確保を図る必要があることその他の政令で定める事情があるため、個人情報取扱事業者等に対し、第145条第
1 項の規定による勧告又は同条第2項若しくは第3項の規定による命令を効果的に行う上で必要があると認めるときは、政令で定めるところにより、第26条第1項、第143条第1項、第159条において読み替えて準用する民事訴訟法（平成8年法律第109号）第99条、第101条、第103条、第105条、第106条、第108条及び第109条、第160条並びに第161条の規定による権限を事業所管大臣に委任することができる。

## 3 -6-3-2 報告義務の主体

漏えい等報告の義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データを取り扱う受信者情報取扱事業者である。

個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人データを取り扱っていることになるため、報告対象事態に該当する場合には、原則として委託元と委託先の双方が報告する義務を負う。この場合、委託元及び委託先の連名で報告することができる。なお、委託先が、報告義務を負っている委託元に当該事態が発生したことを通知したときは、委託先は報告義務を免除される（3-6-3-5（委託元への通知による例外）参照）。

また、委託元から委託先にある個人データ（個人データ A）の取扱いを委託している場合であって、別の個人データ（個人データ B）の取扱いを委託していないときには、個人データ B について、委託元において報告対象事態が発生した場合であっても、委託先は報告義務を負わず、委託元のみが報告義務を負うことになる。

## 3 -6-3-3 速報（第 16 条第 2 項関係）

## 第16条（第2項）

2 受信者情報取扱事業者は、前項本文の規定による報告をする場合には、同項各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。第5項において同じ。）を報告しなければならない。

一 概要

二 漏えい等が発生し、又は発生したおそれがある個人データの項目

三 漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数

四 原因

五 二次被害又はそのおそれの有無及びその内容

六 本人への対応の実施状況

七 公表の実施状況

八 再発防止のための措置

九 その他参考となる事項
受信者情報取扱事業者は、報告対象事態を知ったときは、速やかに、個人情報保護委員会（法第147条の規定により総務大臣等が報告を受理する権限の委任を受けている場合にあっては、総務大臣等）に報告しなければならない。総務大臣等に報告する場合、報告期限は個人情報保護委員会に報告する場合と同様である。

報告期限の起算点となる「知った」時点については、個別の事案ごとに判断されるが、受信者情報取扱事業者が法人である場合には、いずれかの部署が当該事態を知った時点を基準とする。「速やか」の日数の目安については、個別の事案によるものの、受信者情報取扱事業者が当該事態を知った時点から概ね3～5日以内である。

個人情報保護委員会又は委任を受けた総務大臣等への漏えい等報告については、次の（1）から（9）までに掲げる事項を、個人情報保護委員会又は委任を受けた総務大臣等に対して行う。速報時点での報告内容については、報告をしようとする時点において把握している内容を報告すれば足りる。

## （1） 「概要」

当該事態の概要について、発生日、発覚日、発生事案、発見者、第16条第1項各号該当性、委託元及び委託先の有無、事実経過等を報告する。

(2) 「漏えい等が発生し、又は発生したおそれがある個人データの項目」

漏えい等が発生し、又は発生したおそれがある個人データの項目について、媒体や種類（顧客情報、従業員情報の別等）とともに報告する。

（3）「漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数」

漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数について報告する。

(4)「原因」

当該事態が発生した原因について、当該事態が発生した主体（報告者又は委託先）とともに報告する。

(5) 「二次被害又はそのおそれの有無及びその内容」

当該事態に起因して発生する被害又はそのおそれの有無及びその内容について報告