Silviase/jgov_v1.4_full_ann huggingface dataset:
やかに、その利用目的を、本人に通知するか、又は公表しなければならない（ただし、3-3-7（利用目的の通知等をしなくてよい場合）参照）。口頭により個人情報を取得する場合についても同様である。

また、人（法人を含む。）の生命、身体又は財産の保護のために緊急に必要がある場合は、あらかじめ、本人に対し、その利用目的を明示する必要はないが、その場合は第9条第1項に基づいて、取得後速やかにその利用目的を、本人に通知し、又は公表しなければならない（3-3-5（利用目的の通知又は公表）参照）。

【あらかじめ、本人に対し、その利用目的を明示しなければならない事例】

事例1）本人の個人情報が記載された申込書・契約書等を本人から直接取得する場合

事例 2）アンケートに記載された個人情報を直接本人から取得する場合

事例3）自社が主催するキャンペーンへの参加希望者が、参加申込みのために自社のホームページの入力画面に入力した個人情報を直接本人から取得する場合

【利用目的の明示に該当する事例】

事例 1）利用目的を明記した契約書その他の書面を相手方である本人に手渡し、又は送付する場合

なお、契約約款又は利用条件等の書面（電磁的記録を含む。）中に利用目的条項を記載する場合は、例えば、裏面約款に利用目的が記載されていることを伝える、又は裏面約款等に記載されている利用目的条項を表面にも記載し、かつ、社会通念上、本人が認識できる場所及び文字の大きさで記載する等、本人が実際に利用目的を確認できるよう留意することが望ましい。

事例 2）ネットワーク上において、利用目的を、本人がアクセスした自社のホームページ上に明示し、又は本人の端末装置上に表示する場合。

なお、ネットワーク上において個人情報を取得する場合は、本人が送信ボタン等をクリックする前等にその利用目的（利用目的の内容が示された画面に1回程度の操作でページ遷移するよう設定したリンクやボタンを含む。）が本人の目に留まるようその配置に留意することが望ましい。

(※)「本人に対し、その利用目的を明示」とは、本人に対し、その利用目的を明確に示すことをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法による必要がある。

(参考)

法第 21 条 (第 2 项)

2 個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ。）に記載された当
該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

## 3 −3−7 利用目的の通知等をしなくてよい場合（第9条第4項関係）

## 第9条（第4项）

4 前三項の規定は、次に掲げる場合については、適用しない。

(1) 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

(2) 利用目的を本人に通知し、又は公表することにより当該電気通信事業者の権利又は正当な利益を害するおそれがある場合

(3) 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。

(4) 取得の状況からみて利用目的が明らかであると認められる場合

次に掲げる場合については、第9条第1項から第3項までにおいて利用目的の本人への通知（※1）、公表（※2）又は明示（※3）（以下この項において「利用目的の通知等」という。）が求められる場合であっても、当該利用目的の通知等は不要である。

（1）利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（第9条第4項第1号関係）

利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合は、第9条第1項から第3項までの適用を受けず、当該利用目的の通知等は不要である。

（2）利用目的を本人に通知し、又は公表することにより当該電気通信事業者の権利又は正当な利益を害するおそれがある場合（第9条第4項第2号関係）

利用目的を本人に通知し、又は公表することにより電気通信事業者の権利又は正当な利益を害するおそれがある場合は、第9条第1項から第3項までの適用を受けず、当該利用目的の通知等は不要である。

事例）暴力団等の反社会的勢力情報、疑わしい取引の届出の対象情報、業務妨害行為を行う悪質者情報等を、本人又は他の事業者等から取得したことが明らかになることに
より、当該情報を取得した企業に害が及ぶ場合

(3) 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき（第9条第4項第3号関係）。

国の機関等（地方公共団体又はその委託を受けた者を含む。）が法令の定める事務を実施する上で、民間企業等の協力を得る必要があり、かつ、本人に対する利用目的の通知等により当該事務の遂行に支障を及ぼすおそれがあると認められる場合は、当該民間企業等は、第9条第1項から第3項までの適用を受けず、当該利用目的の通知等は不要である。

事例）警察が、公開手配を行わないで、被疑者に関する個人情報を、被疑者の立ち回りが予想される電気通信事業者に限って提供した場合において、警察から当該個人情報を受け取った当該電気通信事業者が、利用目的を本人に通知し、又は公表することにより、捜査活動に支障を及ぼすおそれがある場合

（4）取得の状況からみて利用目的が明らかであると認められる場合（第9条第4項第4号関係）

取得の状況からみて利用目的が明らかであると認められる場合は、第9条第1項から第3項までの適用を受けず、当該利用目的の通知等は不要である。

事例 1）商品・サービス等を販売・提供するに当たって住所・電話番号等の個人情報を取得する場合で、その利用目的が当該商品・サービス等の販売・提供のみを確実に行うためという利用目的であるような場合

事例 2）一般の慣行として名刺を交換する場合、直接本人から、氏名・所属・肩書・連絡先等の個人情報を取得することとなるが、その利用目的が今後の連絡や、所属する会社の広告宣伝のための冊子や電子メールを送付するという利用目的であるような場合

(※1)本人への「通知」については、2−15(本人に通知)を参照のこと。

(※2)「公表」については、2−16(公表)を参照のこと。

(※3)「明示」については、3−3−6(直接書面等による取得)を参照のこと。

(参考)

法第 21 条(第 4 项)

4 前三項の規定は、次に掲げる場合については、適用しない。
(1) 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

(2) 利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合

(3) 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。

(4) 取得の状況からみて利用目的が明らかであると認められる場合

## 3 -4 個人データ等の管理（第10条～第14条関係）

## 3 -4-1 データ内容の正確性の確保等（第10条関係）

電気通信事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めなければならない。

電気通信事業者は、利用目的の達成に必要な範囲内において、個人情報データベース等への個人情報の入力時の照合・確認の手続の整備、誤り等を発見した場合の訂正等の手続の整備、記録事項の更新等を行うことにより、個人データを正確かつ最新の内容に保つよう努めなければならない。

なお、保有する個人データを一律に又は常に最新化する必要はなく、それぞれの利用目的に応じて、その必要な範囲内で正確性・最新性を確保すれば足りる。

(参考)

法第 22 条

個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。

## 3 -4-2 保存期間等（第11条第1項関係）

第11条（第1項）

1 電気通信事業者は、個人データ（通信の秘密に係るものを除く。以下この条において同じ。）を取り扱うに当たっては、利用目的に必要な範囲内で保存期間を定め、当該保存期間経過後又は利用する必要がなくなった後は、当該個人データを遅滞なく消去するよう努めなければならない。ただし、次に掲げる場合はこの限りでない。

(1) 法令の規定に基づき、保存しなければならないとき。
(2) 本人の同意があるとき。

(3) 電気通信事業者が自己の業務の遂行に必要な限度で個人データを保存する場合であって、当該個人データを消去しないことについて相当な理由があるとき。

(4) 前三号に掲げる場合のほか、当該個人データを消去しないことについて特別の理由があるとき。

保有する個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等は、当該個人データを遅滞なく消去することが適切であり（※）、その趣旨を徹底する観点から、電気通信事業者は、利用目的に応じ保存期間を定めるよう努めなければならない。また、保存期間内であっても利用する必要がなくなった後は消去するよう努めなければならない。

他方、個人データによっては、一律に保存期間を定めることが難しい場合もあることから、全ての個人データについて保存期間を定めることまでは要求しない。しかし、この場合であっても、利用目的を達成すれば遅滞なく消去するよう努めなければならない。

ただし、第11条第1項各号に掲げる場合又は通信の秘密に係る個人データは本規定の適用を受けない。

【個人データについて利用する必要がなくなったときに該当する事例】

事例）キャンペーンの懸賞品送付のため、当該キャンペーンの応募者の個人データを保有していたところ、懸賞品の発送が終わり、不着対応等のための合理的な期間が経過した場合

(※)「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該個人データを削除することのほか、当該個人データから特定の個人を識別できないようにすること等を含む。

他方、次に掲げる場合については、保存期間経過後又は利用目的達成後においても当該個人データを消去しないことができる。

（1）法令の規定に基づき、保存しなければならないとき（第11条第1項第1号関係）

法人税法（昭和40年法律第34号）第126条、法人税法施行規則（昭和40年大蔵省令第12号）第59条や電話加入権質に関する臨時特例法施行規則（昭和33年郵政省令第18号）第4条等、法令の規定において保存が求められる場合は、保存期間経過後又は利用目的達成後も個人データを消去しないことができる。
## (2) 本人の同意があるとき（第11条第1項第2号関係）

本人から特に保存しておくよう要請があった場合等本人の同意（※）があるときは、保存期間経過後又は利用する必要がなくなった後も個人データを消去しないことができる。

(※)「本人の同意」については、2−17(本人の同意)を参照のこと。

(3) 電気通信事業者が自己の業務の遂行に必要な限度で個人データを保存する場合であって、当該個人データを消去しないことについて相当な理由があるとき（第11条第1項第3号関係）

過去に料金を滞納し利用停止となった者の情報を契約解除後においても保存しておく等、業務の遂行に必要な限度で個人データを保存する場合であって、当該個人データを消去しないことについて相当の理由があるときは、保存期間経過後又は利用する必要がなくなった後も個人データを消去しないことができる。

（4）前三号に掲げる場合のほか、当該個人データを消去しないことについて特別の理由があるとき（第11条第1項第4号関係）

捜査機関から刑事事件の証拠となり得る特定の個人データについて保存しておくよう要請があった場合等、消去しないことについて特別の理由があるときは、保存期間経過後又は利用目的達成後も個人データを消去しないことができる。

(参考)

法第22条

個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。

## 3-4-3 保存期間等における通信の秘密に係る個人情報の例外（第11条第2項関係） 第11条（第2項）

2 電気通信事業者は、利用者の同意がある場合その他の違法性阻却事由がある場合を除いては、通信の秘密に係る個人情報を保存してはならず、保存が許される場合であっても利用目的達成後においては、その個人情報を速やかに消去しなければならない。

通信履歴等の通信の秘密に係る個人情報は、通信当事者の同意その他の違法性阻却事由がある場合を除いて、その記録を最小限にとどめる必要があることから、原則として保存し
てはならず、保存が許される場合であっても、通信当事者の同意のある範囲又は保存目的に必要な範囲を超えて保存してはならず、その利用目的を達成したときは速やかに当該個人情報を消去（通信の秘密に該当する情報を消去することに加え、通信の秘密に該当しない個人情報について本人が識別できなくすることを含む。）しなければならない。

(※)通信の秘密に係る個人情報の取扱いに関する同意については2-17(本人の同意)を参照のこと。通信履歴の保存については5-1(通信履歴の記録)を参照のこと。

3–4–4 安全管理措置（第 12 条 関係）

第 12 条

電気通信事業者は、その取り扱う個人データ又は通信の秘密に係る個人情報（以下「個人データ等」という。）の漏えい、滅失又は毀損の防止その他の個人データ等の安全管理のために必要かつ適切な措置（以下「安全管理措置」という。）を講じなければならない。

電気通信事業者は、その取り扱う個人データ又は通信の秘密に係る個人情報（以下「個人データ等」という。）の漏えい、滅失又は毀損（以下「漏えい等」という。）の防止その他の個人データ等の安全管理のため、必要かつ適切な措置（以下「安全管理措置」という。）を講じなければならないが、当該措置は、個人データ等が漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データ等の取扱状況（取り扱う個人データ等の性質及び量を含む。）、個人データ等を記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容としなければならない。具体的に講じなければならない措置や当該措置を実践するための手法の例等については、「7（別添）講ずべき安全管理措置の内容」を参照のこと。

なお、個人データ等に該当しない個人情報（いわゆる散在情報）についても、通信の秘密に関わる情報ということができることから、安全管理措置を講ずることが望ましい。

また、安全管理措置を講ずるに当たっては、情報通信ネットワーク安全・信頼性基準（昭和62年郵政省告示第73号）等の基準を活用するものとする。なお、事業用電気通信設備（電気通信回線設備及び基礎的電気通信役務を提供する電気通信事業の用に供する電気通信設備）に関する技術的保護措置については、事業用電気通信設備を設置する電気通信事業者に対し、事業用電気通信設備規則（昭和60年郵政省令第30号）に定める技術基準の適合維持義務が課されている（電気通信事業法第41条）ことにも留意する必要がある。

(参考)

法第 23 条

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他
の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

## 3 -4-5 従業者の監督（第13条第1項、第2項関係）

第 13 条（第 1 项、第 2 项）

1 電気通信事業者は、その従業者（派遣労働者を含む。以下同じ。）に個人データ等を取り扱わせるに当たっては、当該個人データ等の安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

2 電気通信事業者は、安全管理措置の実施その他の個人データ等の適正な取扱いの確保のため、その従業者に対し、必要な教育研修を実施するよう努めなければならない。

電気通信事業者は、その従業者に個人データ等を取り扱わせるに当たって、第12条に基づく安全管理措置を遵守させるよう、当該従業者に対し必要かつ適切な監督をしなければならない。その際、個人データ等が漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データ等の取扱状況（取り扱う個人データ等の性質及び量を含む。）等に起因するリスクに応じて、個人データ等を取り扱う従業者に対する教育研修等の内容及び頻度を充実させるなど、必要かつ適切な措置を講ずることが望ましい。教育研修の内容としては、安全管理に関する内部規程・マニュアルの周知等が考えられる。

「従業者」とは、電気通信事業者の組織内にあって直接間接に電気通信事業者の指揮監督を受けて電気通信事業者の業務に従事している者等をいい、雇用関係にある従業員（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、取締役、執行役、理事、監査役、監事、派遣社員等も含まれる。

【従業者に対して必要かつ適切な監督を行っていない事例】

事例 1）従業者が、個人データ等の安全管理措置を定める規程等に従って業務を行っていることを確認しなかった結果、個人データ等が漏えいた場合

事例 2）内部規程等に違反して個人データ等が入ったノート型パソコン又は外部記録媒体が繰り返し持ち出されていたにもかかわらず、その行為を放置した結果、当該パソ

コン又は当該記録媒体が紛失し、個人データ等が漏えいた場合

(参考)

法第 24 条

個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
3-4-6 委託先の監督（第13条第3項関係）

第 13 条（第 3 项）

3 電気通信事業者は、個人データ等の取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データ等の安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

電気通信事業者は、個人データ等の取扱いの全部又は一部を委託（※1）する場合は、委託を受けた者（以下「委託先」という。）において当該個人データ等について安全管理措置が適切に講ぜられるよう、委託先に対し必要かつ適切な監督をしなければならない。具体的には、電気通信事業者は、第12条に基づき自らが講ずべき安全管理措置と同等の措置が講ぜられるよう、監督を行うものとする（※2）。

その際、委託する業務内容に対して必要のない個人データ等を提供しないようにすることは当然のこととして、取扱いを委託する個人データ等の内容を踏まえ、個人データ等が漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質、個人データ等の取扱状況（取り扱う個人データ等の性質及び量を含む。）等に起因するリスクに応じて、次の（1）から（3）までに掲げる必要かつ適切な措置を講じなければならない（※3）。

なお、通信の秘密に係る個人情報については、通信当事者の同意又は違法性阻却事由がなければ提供してはならないことに留意する必要がある（3-7-4（第三者に該当しない場合）参照）。

## （1） 適切な委託先の選定

委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第23条及び本ガイドラインで委託元に求められるものと同等であることを確認するため、「7（別添）講ずべき安全管理措置の内容」に定める各項目が、委託する業務内容に沿って、確実に実施されることについて、委託先の体制や規程等の確認に加え、必要に応じて個人データ等を取り扱う場所に赴く又はこれに代わる合理的な方法による確認を行う等により、あらかじめ確認しなければならない。

また、外国にある第三者に個人データの取扱いを委託する場合、委託元は、委託先を通じて外国において個人データを取り扱うこととなるため、委託先が所在する外国の個人情報の保護に関する制度等を把握した上で、委託先の監督その他の安全管理措置を講じる必要がある。

## (2) 委託契約の締結

委託契約には、安全管理措置（委託先において個人データ等を取り扱う者（委託先の作業者以外の者を含む。）を明確にすること、委託先において講ずべき安全管理措置の内容等）、
秘密保持、再委託の条件（再委託を許すかどうか並びに再委託先を許す場合は再委託先に個人データ等を適正に取り扱っていると認められる者を選定すること、再委託を行うに当たっての電気通信事業者への文書による事前報告又は承認及び再委託先の監督に関する事項等。なお、二段階以上の委託を許す場合は同様に再々委託先等の選定、監督に関する事項等を定める必要がある。）、委託契約終了時の個人データ等の取扱い（個人データ等の返却、消去等）、契約内容が遵守されなかった場合の措置（例えば、安全管理に関する事項が遵守されずに個人データ等が漏えいした場合の損害賠償に関する事項、安全管理措置の不備が発見された場合の解約等）その他の個人データ等の取扱いに関する事項を適正に定めることが適当である。また、委託先における委託された個人データ等の取扱状況を委託元が合理的に把握することを盛り込むことが望ましい。

## （3） 委託先における個人データ等取扱状況の把握

委託先における委託された個人データ等の取扱状況を把握するためには、定期的に監査を行う等により、委託契約で盛り込んだ内容の実施の程度を調査した上で、委託の内容等の見直しを検討することを含め、適切に評価することが望ましい。

また、委託先が再委託を行おうとする場合は、委託を行う場合と同様、委託元は、委託先が再委託する相手方、再委託する業務内容、再委託先の個人データ等の取扱方法等について、委託先から事前報告を受け、又は承認を行うこと、及び委託先を通じて、又は必要に応じて自らが、定期的に監査を実施すること等により、委託先が再委託先に対して本条の委託先の監督を適切に果たすこと、及び再委託先が第12条に基づく安全管理措置を講ずることを十分に確認することが望ましい（※4）。再委託先が再々委託を行う場合以降も、再委託を行う場合と同様である。

【委託先に対して必要かつ適切な監督を行っていない事例】

事例 1）個人データ等の安全管理措置の状況を契約締結時及びそれ以後も適宜把握せず外部の事業者に委託した結果、委託先が個人データ等を漏えいた場合

事例 2）個人データ等の取扱いに関して必要な安全管理措置の内容を委託先に指示しなかった結果、委託先が個人データ等を漏えいした場合

事例 3）再委託の条件に関する指示を委託先に行わず、かつ委託先の個人データ等の取扱状況の確認を怠り、委託先が個人データ等の処理を再委託した結果、当該再委託先が個人データ等を漏えいした場合

事例 4）契約の中に、委託元は委託先による再委託の実施状況を把握することが盛り込まれているにもかかわらず、委託先に対して再委託に関する報告を求めるなどの必要な措置を行わず、委託元の認知しない再委託が行われた結果、当該再委託先が個人データ等を漏えいした場合

(※1)「個人データ等の取扱いの委託」とは、契約の形態・種類を問わず、個人情報取扱
事業者が他の者に個人データ等の取扱いを行わせることをいう。具体的には、個人データ等の入力（本人からの取得を含む。）、編集、分析、出力等の処理を行うことを委託すること等が想定される。

(※2) 委託元が第 12 条が求める水準を超える高い水準の安全管理措置を講じている場合に、委託先に対してもこれと同等の措置を求める趣旨ではなく、委託先は、第 12 条が求める水準の安全管理措置を講ずれば足りると解される。

(※3) 委託先の選定や委託先における個人データ等取扱状況の把握に当たっては、取扱いを委託する個人データ等の内容や規模に応じて適切な方法をとる必要があるが、例えば、必要に応じて個人データ等を取り扱う場所に赴く又はこれに代わる合理的な方法（口頭による確認を含む。）により確認することが考えられる。

(※4)委託元が委託先について「必要かつ適切な監督」を行っていない場合で、委託先が再委託をした際に、再委託先が不適切な取扱いを行ったときは、元の委託元による法違反と判断され得るので、再委託をする場合は注意を要する。

(参考)

## 法第 25 条

個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

3–4–7 個人情報保護管理者（第 14 条関係）

## 第 14 条

電気通信事業者は、個人情報保護管理者（当該電気通信事業者の個人データ等の取扱いに関する責任者をいう。）を置き、本ガイドラインを遵守するための内部規程の策定、監査体制の整備及び当該電気通信事業者の個人データ等の取扱いの監督を行わせるよう努めなければならない。

個人データ等保護措置の実施に関する責任の所在を明確にし、第12条の安全管理措置の実施その他の個人データ等の適正な取扱いについて電気通信事業者の内部における責任体制を確保するため、電気通信事業者は、当該電気通信事業者の個人データ等の適正な取扱いの確保について必要な権限を有する役員などの組織横断的に監督することのできる者（個人情報保護管理者）を置いて、個人情報保護管理者において責任をもって必要な個人データ等の取扱いの監督等を行わせるよう努めなければならない。

なお、個人情報保護管理者の設置は、特に、電気通信事業者の内部又は外部からの不正行為による個人データ等の漏えい等を防止するため、また責任の所在を明確化する上でも重要であり、個人情報保護管理者の設置を通じて、あらかじめ個人データ等の漏えい等を防止するための体制を整備し、また、漏えい等事案の発生時に、被害拡大防止措置の実施及び監
督官庁等への報告等の対応を行うための体制を整備することが望ましい。

また、個人情報保護管理者は、内部規程の策定や監査体制の整備に当たっては、「7（別添）講ずべき安全管理措置の内容」に規定された措置を盛り込むことが望ましい。この際、監査体制の整備の一環として、委託先の監査を含む監査体制を整備し監査結果を踏まえた個人データ等の取扱方法に関する見直し・改善を行うことが望ましい。

なお、電気通信事業者の業務の方法に関し通信の秘密の確保に支障があると認められる場合における総務大臣による電気通信事業法第29条第1項第1号の規定に基づく業務の改善命令の発動に係る指針として「通信の秘密の確保に支障があるときの業務の改善命令の発動に係る指針」(https://www.soumu.go.jp/menu_news/s-news/01kiban18_01000111.html)が定められている。

## 3 -5 プライバシーポリシー（第15条関係）

個人データ等を取得する電気通信事業者は、自らが取得する個人データ等について十分把握することが望ましい。その上で、取得する個人データ等の種類や利用目的、第三者に提供する個人データ等の種類などに応じて、利用者が電気通信事業者による個人データ等の取扱いを理解できるよう、分かりやすい通知・公表や、必要に応じた同意取得を行うことが重要である。

## 3 -5-1 プライバシーポリシーの策定・公表（第15条第1項、第2項関係）

## 第15条（第1項、第2項）

1 電気通信事業者は、プライバシーポリシー（当該電気通信事業者が個人データ等の適切な取扱いを確保する上での考え方や方針をいう。）を定め、公表することが適切である。

2 前項に定めるプライバシーポリシーにおいて、次に掲げる事項について定め、利用者にとって分かりやすく示すことが適切である。

(1) 電気通信事業者の氏名又は名称

(2) 取得される情報の項目

(3) 取得方法

(4) 利用目的の特定・明示

(5) 通知・公表又は同意取得の方法及び利用者関与の方法

(6) 第三者提供の有無

(7) 問合せ窓口・苦情の申出先

(8) プライバシーポリシーの変更を行う場合の手続

(9) 利用者の選択の機会の内容、データポータビリティに係る事項

(10) 委託に係る事項
電気通信事業者の個人データ等の適切な取扱いについての社会的信頼を確保するため、電気通信事業者は自らの個人データ等の適切な取扱いを確保する上での考え方や方針についての宣言をプライバシーポリシーとして定め、公表することが適切である。

【プライバシーポリシーに示すことが適切である項目】

プライバシーポリシーは、それぞれの電気通信事業者が、当該電気通信事業者の利用者において、当該電気通信事業者による個人データ等の取扱いを理解できるように、分かりやすい表現で記載すべきものであるが、プライバシーポリシーに記載すべき事項としては、次のようなものが考えられる。

① 法及び通信の秘密に係る電気通信事業法の規定その他の関係法令の遵守

② 本ガイドラインの遵守

③ 第15条に定める事項

（i）電気通信事業者の氏名又は名称

（ii）取得される情報の項目

（iii）取得方法

（iv）利用目的の特定・明示

（v）通知・公表又は同意取得の方法及び利用者関与の方法

利用目的の通知又は開示若しくは訂正等の本人からの請求に応じる手続

（vi）第三者提供の有無

（vii）問合せ窓口・苦情の申出先

認定個人情報保護団体の名称及び苦情の解決の申出先を含む。

(viii) プライバシーポリシーの変更を行う場合の手続

（ix）利用者の選択の機会の内容（※）、データポータビリティに係る事項

（x）委託に関する事項

委託の有無、委託する事務の内容を明らかにするなど、委託処理の透明化を進めること。

④ 第12条の安全管理措置に関する方針

⑤ その他利用者の権利利益の保護に関する事項

（i）保有個人データについて本人から求めがあった場合には、ダイレクトメールの発送停止など、自主的に利用停止等に応じること

（ii）電気通信事業者がその事業内容を勘案して利用者の種類ごとに利用目的を限定して示したり、電気通信事業者が本人の選択による利用目的の限定に自主的に取り組むなど、本人にとって利用目的がより明確になるようにすること

（iii）個人情報の取得方法（取得元の種類等）を、可能な限り具体的に明記すること

(※)(ア)電気通信事業者が(任意の取組として)利用者の求めに応じて自主的に個人データ等の取得・利用を停止しているか(利用者はこれを求めることができるか)、(イ)利用者において個人データ等の取得・利用の停止を求めることができる場合には、
利用者がこれを求める方法、及び、利用者がこれを求めた場合にも電気通信サービスが利用可能か等

なお、取得に際しての利用目的（第9条第1項、第3項）、オプトアウトによる個人データの第三者提供を行う場合の個人データの項目等（第17条第2項、第3項、第9項）、共同利用における共同利用される個人データの項目等（第17条第10項第3号、第11項）、匿名加工情報に含まれる情報の項目等（第33条第3項、第4項、第5項、第7項、第34条）、保有個人データに関する公表すべき事項（第19条第1項）、匿名加工情報取扱事業者における匿名加工情報の安全管理措置等（第36条）については、通知し、又はプライバシーポリシー等において公表し若しくは本人が容易に知り得る状態に置かなければならないことに留意する必要がある。

## 【利用者に分かりやすい示し方】

電気通信事業者は、当該電気通信事業者が提供する電気通信役務の利用者の性質・状況、当該電気通信事業者の業種・事業規模等の諸般の事情を踏まえた上で、第15条第1項に基づき、個人データ等の取扱いに関するプライバシーポリシーを策定・公表することが望ましく、また、利用者が電気通信事業者における個人データ等の取扱いを理解した上で自らの判断により選択の機会を行使することができるよう、プライバシーポリシーを分かりやすく示す（※1）（※2）ことが望ましい。

(※1) 当該電気通信事業者が提供する電気通信役務の利用者の性質・状況や、当該電気通信事業者の業種・事業規模・事業内容などに応じ、分かりやすい表示のための工夫等を検討することが望ましい。例えば、階層構造(要点を複数の短い項目にまとめ、各項目を選択すると詳細な内容を見ることができるといった構造)を用いること、アイコン・イラスト・動画等の視覚的ツールを用いること、利用者が認識しやすいようにジャストインタイムの通知を行うこと、要点を分かりやすく解説した簡略版やユーザーガイドを併せて作成することなどが表示に関する具体的な工夫として考えられる。

また、利用者が認識しやすいようにポップアップによる同意取得を行うこと、ダッシュボードや、個人データ等の取得・利用の停止の機会の提供、Consent Record や CMP 等により利用者が何に同意したかを後から一覧性をもって把握できる仕組みの提供などについても、利用者が自ら内容を理解し選択する上で有用な工夫と考えられる。

なお、分かりやすい通知・公表及び同意取得の方法を検討する際には、当該電気通信事業者が提供する電気通信役務の利用者の性質・状況を踏まえることが望ましいと考えられるため、必要に応じて、ユーザーテストを実施しその結果を分析・参照したり、第三者的な立場の外部の有識者からなるプライバシー保護に関するアドバイザリーボードや諮問委員会等を設置しステークホルダーの意見等を踏まえつつ継続的に取り組んでいくこと等が考えられる。
(※2)なお、「DX時代における企業のプライバシーガバナンスガイドブック ver1.2」(2022年2月総務省・経済産業省)(http://www.iotac.jp/wg/data/governance/)においても、プライバシーガバナンスに係る姿勢の明文化の必要性について言及されている。

(参考)

個人情報保護に関する基本方針(平成16年4月2日閣議決定)
6 個人情報取扱事業者等が講ずべき個人情報の保護のための措置に関する基本的な事項
(1)個人情報取扱事業者が取り扱う個人情報に関する事項

個人情報取扱事業者は、法の規定に従うほか、2の(2)の①の個人情報保護委員会のガイドライン、認定個人情報保護団体の個人情報保護指針等に則し、例えば、消費者の権利利益を一層保護する観点から、個人情報保護を推進する上での考え方や方針(いわゆる、プライバシーポリシー、プライバシーステートメント等)を対外的に明確化するなど、個人情報の保護及び適正かつ効果的な活用について主体的に取り組むことが期待されているところであり、体制の整備等に積極的に取り組んでいくことが求められている。その際、事業の規模及び性質、個人データの取扱状況等に応じて、各事業者において適切な取組が実施されることが重要である。

## 3 -5-2 アプリケーションソフトウェアに係るプライバシーポリシー（第15条第3項、第4項関係）

第15条（第3項、第4項）
3 電気通信事業者は、アプリケーションソフトウェア（以下「アプリケーション」という。）を提供する場合において、当該アプリケーションによる情報の取得等について明確かつ適切に定めたプライバシーポリシーを公表することが適切である。
4 電気通信事業者は、アプリケーションを提供するサイトを運営する場合において、当該サイトにおいてアプリケーションを提供する者に対して、当該アプリケーションによる情報の取得等について明確かつ適切に定めたプライバシーポリシーを公表するよう促すことが適切である。

アプリケーションソフトウェア（以下「アプリケーション」という。）とは、通話やコミュニケーションなどのコミュニケーションツールや写真・ゲームなどの様々な機能を実行するためのソフトウェアをいう。スマートフォンなどのスマートデバイスでは、アプリケーションをインストールすることで、機能を拡張・カスタマイズすることが可能となる。

アプリケーションの中には、様々な情報を取得し、外部に送信するものがあることから、透明性や利用者が関与する機会等を確保することで利用者のプライバシーを保護する観点から、電気通信事業者がアプリケーションを提供する場合においては、当該アプリケーションによる情報の取得等について明確かつ適切に定めたプライバシーポリシーを公表するこ
とが適切である（第15条第3項関係）。

また、電気通信事業者がアプリケーションを提供するサイトを運営する場合においては、当該サイトを利用してアプリケーションを提供する者（自己を除く。）に対して、当該アプリケーションによる情報の取得等について明確かつ適切に定めたプライバシーポリシーを公表するよう促すことが適切である（第15条第4項関係）。

アプリケーションのプライバシーポリシーに記載すべき事項としては、次の事項が考えられる。

①情報を取得するアプリケーション提供者等の氏名又は名称

②取得される情報の項目

③取得方法

④利用目的の特定・明示

⑤通知・公表又は同意取得の方法、利用者関与の方法

⑥外部送信・第三者提供・情報収集モジュールの有無

⑦問合せ窓口・苦情の申出先

⑧プライバシーポリシーの変更を行う場合の手続

⑨利用者の選択の機会の内容、データポータビリティに係る事項

⑩委託に関する事項

また、電気通信事業者は、当該プライバシーポリシーの内容が当該アプリケーションの情報取得等について適切に記載したものであることを確保するため、第三者による検証等を利用しその適切性を検証することが望ましい。

その他、アプリケーションのプライバシーポリシーに関する詳細は、スマートフォンプライバシーイニシアティブ（平成24年8月利用者視点を踏まえたICTサービスに係る諸問題に関する研究会）等によるものとする。

なお、本ガイドラインは、電気通信事業者を対象とするものであるため、電気通信事業者の取組について記載しているが、アプリケーションによる情報収集等について明確かつ適切に定めたプライバシーポリシーを公表する等の取組は、アプリケーション提供事業者、情報収集モジュール提供者、アプリケーション提供サイト運営事業者、OS提供事業者等の各関係者においても求められるものである。電気通信事業者における本条で示す取組が、各関係者の取組の促進に資することが期待される。

3–6 個人データの漏えい等の報告等（第16条関係）

3-6-1 「漏えい等」の考え方

3-6-1-1 「漏えい」の考え方

個人データの「漏えい」とは、個人データが外部に流出することをいう。

【個人データの漏えいに該当する事例】
事例1）個人データが記載された書類を第三者に誤送付した場合

事例 2）個人データを含むメールを第三者に誤送信した場合

事例 3）システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となっていた場合

事例 4）個人データが記載又は記録された書類・媒体等が盗難された場合

事例 5）不正アクセス等により第三者に個人データを含む情報が窃取された場合

事例 6）システムの設定ミス等により、回線解約対象者の個人データを含む登録情報が、

同じ回線を引き継いだ利用者に閲覧可能な状態になっていた場合

なお、個人データを第三者に閲覧されないうちに全てを回収した場合は、漏えいに該当しない。また、電気通信事業者が自らの意図に基づき個人データを第三者に提供する場合（※）は、漏えいに該当しない。

(※)電気通信事業者は、個人データの第三者への提供に当たり、原則としてあらかじめ本人の同意を取得する必要がある。

## 3 -6-1-2 「滅失」の考え方

個人データの「滅失」とは、個人データの内容が失われることをいう。

【個人データの滅失に該当する事例】

事例 1）個人情報データベース等から出力された氏名等が記載された帳票等を誤って廃棄した場合（※1）

事例 2）個人データが記載又は記録された書類・媒体等を社内で紛失した場合（※2）

なお、上記の場合であっても、その内容と同じデータが他に保管されている場合は、滅失に該当しない。また、電気通信事業者が合理的な理由により個人データを削除する場合は、滅失に該当しない。

(※1) 当該帳票等が適切に廃棄されていない場合には、個人データの漏えいに該当する場合がある。

(※2) 社外に流出した場合には、個人データの漏えいに該当する。

## 3 -6-1-3 「毀損」の考え方

個人データの「毀損」とは、個人データの内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となることをいう。
【個人データの毀損に該当する事例】

事例 1）個人データの内容が改ざんされた場合

事例 2）暗号化処理された個人データの復元キーを喪失したことにより復元できなくなった場合

事例 3）ランサムウェア等により個人データが暗号化され、復元できなくなった場合（※）

なお、上記事例2）及び事例3）の場合であっても、その内容と同じデータが他に保管されている場合は毀損に該当しない。

(※)同時に個人データが窃取された場合には、個人データの漏えいにも該当する。

## 3 –6–2 漏えい等事案が発覚した場合に講ずべき措置

電気通信事業者は、漏えい等又はそのおそれのある事案（以下「漏えい等事案」という。）が発覚した場合は、漏えい等事案の内容等に応じて、次の（1）から（5）までに掲げる事項について必要な措置を講じなければならない。

## （1） 事業者内部における報告及び被害の拡大防止

責任ある立場の者に直ちに報告するとともに、漏えい等事案による被害が発覚時よりも拡大しないよう必要な措置を講ずる。

## (2) 事実関係の調査及び原因の究明

漏えい等事案の事実関係の調査及び原因の究明に必要な措置を講ずる。

## (3) 影響範囲の特定

上記（2）で把握した事実関係による影響範囲の特定のために必要な措置を講ずる。

## （4） 再発防止策の検討及び実施

上記（2）の結果を踏まえ、漏えい等事案の再発防止策の検討及び実施に必要な措置を講ずる。

（5）個人情報保護委員会又は委任を受けた総務大臣等への報告及び本人への通知
3-6-3（個人情報保護委員会又は委任を受けた総務大臣等への報告）、3-6-4（本人への通知）を参照のこと。なお、漏えい等事案の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、事実関係及び再発防止策等について、速やかに公表することが望ましい。

なお、電気通信事業法第28条において同法第2条第5号に定める電気通信事業者に対し通信の秘密の漏えいが生じた場合の総務大臣への報告義務を定めていることから、通信の秘密に係る個人情報について漏えいの事案が発生した場合は総務大臣へ報告しなければならない。

3–6–3 個人情報保護委員会又は委任を受けた総務大臣等への報告（第16条第1項関係）

1 電気通信事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして次の各号のいずれかに該当するものが生じたときは、次項から第4項までの規定で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該電気通信事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、第5項に定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。

(1) 要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この項及び次項において同じ。）の漏えい、滅失若しくは毀損（以下この項及び次項において「漏えい等」という。）が発生し、又は発生したおそれがある事態

(2) 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態

(3) 不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態

(4) 個人データに係る本人の数が1,000人を超える漏えい等が発生し、又は発生したおそれがある事態

## 3 -6-3-1 報告対象となる事態

電気通信事業者は、次の（1）から（4）までに掲げる事態（以下「報告対象事態」という。）を知ったときは、個人情報保護委員会（法第147条の規定により総務大臣等が報告を受理する権限の委任を受けている場合にあっては総務大臣等）に報告しなければならない（※1）（※2）。
（1）要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態（第16条第1項第1号関係）

【報告を要する事例】

事例）従業員の健康診断等の結果を含む個人データが漏えいた場合

(2) 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態（第16条第1項第2号関係）

財産的被害が生じるおそれについては、対象となった個人データの性質・内容等を踏まえ、財産的被害が発生する蓋然性を考慮して判断する。

## 【報告を要する事例】

事例 1）EC サイトからクレジットカード番号を含む個人データが漏えいた場合

事例 2）送金や決済機能のあるウェブサービスのログイン ID とパスワードの組み合わせを含む個人データが漏えいた場合

（3）不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態（第16条第1項第3号関係）

「不正の目的をもって」漏えい等を発生させた主体には、第三者のみならず、従業者も含まれる。

【報告を要する事例】

事例 1）不正アクセスにより個人データが漏えいた場合（※3）

事例 2）ランサムウェア等により個人データが暗号化され、復元できなくなった場合

事例 3）個人データが記載又は記録された書類・媒体等が盗難された場合

事例 4）従業者が顧客の個人データを不正に持ち出して第三者に提供した場合（※4）

（4）個人データに係る本人の数が1,000人を超える漏えい等が発生し、又は発生したおそれがある事態（第16条第1項第4号関係）

「個人データに係る本人の数」は、当該電気通信事業者が取り扱う個人データのうち、漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数をいう。「個人データに係る本人の数」について、事態が発覚した当初1,000人以下であっても、その後1,000人を超えた場合には、1,000人を超えた時点で第16条第1項第4号に該当することになる。本人の数が確定できない漏えい等において、漏えい等が発生したおそれがある個人データに係る本人の数が最大1,000人を超える場合には、第16条第1項第4号に該当する。
## 【報告を要する事例】

事例）システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となり、当該個人データに係る本人の数が1,000人を超える場合

(※1)報告対象事態に該当しない漏えい等事案であっても、電気通信事業者は個人情報保護委員会に任意の報告をすることができる。

(※2)報告対象事態における「おそれ」については、その時点で判明している事実関係に基づいて個別の事案ごとに蓋然性を考慮して判断することになる。漏えい等が発生したおそれについては、その時点で判明している事実関係からして、漏えい等が疑われるものの漏えい等が生じた確証がない場合がこれに該当する。

(※3)サイバー攻撃の事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、次の(ア)から(エ)までが考えられる。

(ア)個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において外部からの不正アクセスによりデータが窃取された痕跡が認められた場合

(イ)個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において、情報を窃取する振る舞いが判明しているマルウェアの感染が確認された場合

(ウ)マルウェアに感染したコンピュータに不正な指令を送り、制御するサーバ(C&C サーバ)が使用しているものとして知られている IP アドレス・FQDN(Fully Qualified Domain Name の略。サブドメイン名及びドメイン名からなる文字列であり、ネットワーク上のコンピュータ(サーバ等)を特定するもの。)への通信が確認された場合

(エ)不正検知を行う公的機関、セキュリティ・サービス・プロバイダ、専門家等の第三者から、漏えいのおそれについて、一定の根拠に基づく連絡を受けた場合(※4)従業者による個人データの持ち出しの事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において、通常の業務で必要としないアクセスによりデータが窃取された痕跡が認められた場合が考えられる。

なお、漏えい等が発生し、又は発生したおそれがある個人データについて、高度な暗号化等の秘匿化がされている場合等、「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられている場合については、報告を要しない。

(参考)

法第26条(第1项)
1 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。
規則第7条
法第26条第1項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。
(1) 要配慮個人情報が含まれる個人データ(高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第1項において同じ。)の漏えい、滅失若しくは毀損(以下この条及び次条第1項において「漏えい等」という。)が発生し、又は発生したおそれがある事態
(2) 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
(3) 不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
(4) 個人データに係る本人の数が1,000人を超える漏えい等が発生し、又は発生したおそれがある事態
法第147条(第1項)
1 委員会は、緊急かつ重点的に個人情報等の適正な取扱いの確保を図る必要があることその他の政令で定める事情があるため、個人情報取扱事業者等に対し、第145条第1項の規定による勧告又は同条第2項若しくは第3項の規定による命令を効果的に行う上で必要があると認めるときは、政令で定めるところにより、第26条第1項、第143条第1項、第159条において読み替えて準用する民事訴訟法(平成8年法律第109号)第99条、第101条、第103条、第105条、第106条、第108条及び第109条、第160条並びに第161条の規定による権限を事業所管大臣に委任することができる。

## 3 -6-3-2 報告義務の主体

漏えい等報告の義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データを取り扱う電気通信事業者である。

個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人データを取り扱っていることになるため、報告対象事態に該当する場合には、原則として委託元
と委託先の双方が報告する義務を負う。この場合、委託元及び委託先の連名で報告することができる。なお、委託先が、報告義務を負っている委託元に当該事態が発生したことを通知したときは、委託先は報告義務を免除される（3-6-3-5（委託元への通知による例外）参照）。

また、委託元から委託先にある個人データ（個人データ A）の取扱いを委託している場合であって、別の個人データ（個人データ B）の取扱いを委託していないときには、個人データ B について、委託元において報告対象事態が発生した場合であっても、委託先は報告義務を負わず、委託元のみが報告義務を負うことになる。

## 3 -6-3-3 速報（第16条第2項関係）

## 第16条（第2項）

2 電気通信事業者は、前項本文の規定による報告をする場合には、同項各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。第5項において同じ。）を報告しなければならない。

(1) 概要

(2) 漏えい等が発生し、又は発生したおそれがある個人データの項目

(3) 漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数

(4) 原因

(5) 二次被害又はそのおそれの有無及びその内容

(6) 本人への対応の実施状況

(7) 公表の実施状況

(8) 再発防止のための措置

(9) その他参考となる事項

電気通信事業者は、報告対象事態を知ったときは、速やかに、個人情報保護委員会（法第147条の規定により総務大臣等が報告を受理する権限の委任を受けている場合にあっては総務大臣等）に報告しなければならない。総務大臣等に報告する場合、報告期限は個人情報保護委員会に報告する場合と同様である。

報告期限の起算点となる「知った」時点については、個別の事案ごとに判断されるが、電気通信事業者が法人である場合には、いずれかの部署が当該事態を知った時点を基準とする。「速やか」の日数の目安については、個別の事案によるものの、電気通信事業者が当該事態を知った時点からおおむね3～5日以内である。

個人情報保護委員会又は委任を受けた総務大臣等への漏えい等報告については、次の（1）から（9）までに掲げる事項を、個人情報保護委員会又は委任を受けた総務大臣等に対して行う。速報時点での報告内容については、報告をしようとする時点において把握している内容を報告すれば足りる。
(1) 「概要」

当該事態の概要について、発生日、発覚日、発生事案、発見者、第16条第1項各号該当性、委託元及び委託先の有無、事実経過等を報告する。

（2）「漏えい等が発生し、又は発生したおそれがある個人データの項目」

漏えい等が発生し、又は発生したおそれがある個人データの項目について、媒体や種類（顧客情報、従業員情報の別等）とともに報告する。

（3）「漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数」

漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数について報告する。

(4)「原因」

当該事態が発生した原因について、当該事態が発生した主体（報告者又は委託先）とともに報告する。

(5) 「二次被害又はそのおそれの有無及びその内容」

当該事態に起因して発生する被害又はそのおそれの有無及びその内容について報告する。

(6) 「本人への対応の実施状況」

当該事態を知った後、本人に対して行った措置（通知を含む。）の実施状況について報告する。

(7) 「公表の実施状況」

当該事態に関する公表の実施状況について報告する。

(8) 「再発防止のための措置」

漏えい等事案が再発することを防止するために講ずる措置について、実施済みの措置と今後実施予定の措置に分けて報告する。