grooveeletrica/JaGovFaqs-22k huggingface dataset:
質問: ガイドライン（通則編）２－４の個人情報データベース等に該当する事例１ に、「電子メールソフトに保管されているメールアドレス帳」とありますが、他人には容易に検索できない独自の分類方法によりメールアドレスを分類した状態である場合は、個人情報データベース等に該当しないと考えてよいですか。
回答: メールアドレス帳に氏名を付してメールアドレスを保存した場合は、一般的には、当該アドレス帳の検索機能を使うことにより第三者でも特定のメールアドレスの検索を容易に行うことができるため、「他人には容易に検索できない独自の分類方法」となっていないと考えられます。したがって、この場合は個人情報データベース等に該当すると解されます。
出典: 個人情報保護委員会
質問: 文書作成ソフトで議事録を作成しました。議事録には会議出席者の氏名が記録されており、文書作成ソフトの検索機能を用いれば、特定の個人を検索することが可能です。この議事録は個人情報データベース等に該当しますか。
回答: 文書作成ソフトで作成された議事録は、会議出席者の氏名が記録されているとしても、特定の個人情報を検索することができるように「体系的に構成」されているものとはいえないため、個人情報データベース等には該当しないと解されます。
出典: 個人情報保護委員会
質問: 防犯カメラやビデオカメラなどで記録された映像情報は、特定の個人を識別することができる映像であれば、個人情報データベース等に該当しますか。
回答: 特定の個人を識別することができる映像情報であれば、個人情報に該当しますが、特定の個人情報を検索することができるように「体系的に構成」されたものでない限り、個人情報データベース等には該当しないと解されます。すなわち、記録した日時について検索することは可能であっても、特定の個人に係る映像情報について検索することができない場合には、個人情報データベース等には該当しないと解されます。（令和５年５月更新）
出典: 個人情報保護委員会
質問: 録音した会話の内容に個人の氏名が含まれていますが、この場合、個人情報データベース等に該当しますか。
回答: 会話の内容に氏名が含まれていても、当該氏名により容易に検索可能な状態に整理されていない限り、個人情報データベース等に該当しません。
出典: 個人情報保護委員会
質問: 宅配便の送り状を受けた日付順に並べてファイリングしていますが、この場合、個人情報データベース等に該当しますか。
回答: 送り状に氏名等の個人情報が含まれていても、当該送り状を受けた日付順に並べているだけで、特定の個人情報が含まれている送り状を検索し、抽出することが容易にできる状態に整理していない場合には、個人情報データベース等に該当しません。
出典: 個人情報保護委員会
質問: 市販の電話帳等を無償で譲り受けた場合は個人情報データベース等から除外されますか。
回答: 市販されている名簿等を無償で譲り受けた場合については、当該名簿がいつでも購入することができ、広く一般に市販されているものに変わりはないことから、これに生存する個人に関する他の情報を加えることなくその本来の用途に供しているものである場合、利用方法からみて個人の権利利益を害するおそれが少ないものとして施行令で定めるものの要件に該当し、個人情報データベース等から除外されます。
出典: 個人情報保護委員会
質問: 市販の職員録をインターネット上からデータをダウンロードして購入した場合であっても、個人情報データベース等から除外されますか。
回答: 市販されている名簿等であれば、書籍であっても電子データであっても、購入者が入手する個人情報の内容において変わりはなく、販売形態の違いをもって区別する制度上の合理性はないことから、施行令第３条第１項第１号の「発行」は紙媒体に限らず、電子データも含みます。すなわち、市販の職員録等の電子データをダウンロードして購入した場合も、当該データは個人情報データベース等から除外されます。
出典: 個人情報保護委員会
質問: カーナビゲーションシステムを購入したユーザーにおいて、ルート設定や過去の訪問歴等を記録した場合は、当該ユーザーにとって当該カーナビゲーションシステムは個人情報データベース等から除外されますか。
回答: カーナビゲーションシステムを購入したユーザーによるルート設定や訪問歴の記録は、当該カーナビゲーションシステムに含まれるデータをメモリに入れているにとどまり、「生存する個人に関する他の情報を加え」たことには該当しないことから、当該ユーザーにとっては個人情報データベース等に該当しません。ただし、当該ユーザーにおいて、新たに個人情報等を加えてデータベースの内容を変更した場合は、個人情報データベース等に該当し得るものと考えます。
出典: 個人情報保護委員会
質問: ハローページは無償で頒布されていますが、個人情報データベース等から除外されないのですか。
回答: ハローページは、全国的に無償頒布されているものの、住んでいる場所以外の地域のハローページについても広く有料で販売されており、誰もがいつでも購入することができるものに当たると考えられます。したがって、個人情報データベース等から除外されます。
出典: 個人情報保護委員会
質問: 個人情報データベース等に入力する前の帳票類であれば、個人情報データベース等に該当しませんか。
回答: 個人情報データベース等に入力する前の帳票等であっても、それに記載された個人情報を 50 音順に整理している場合など、特定の個人情報を容易に検索することができるように体系的に構成している場合には、それ自体が個人情報データベース等に該当します。
出典: 個人情報保護委員会
質問: インターネット上等において不特定多数の者が取得できる公開情報（一般人・民間企業が公表している情報だけでなく、官報等公的機関が公表している情報を含む）を取得し、新たに特定の個人情報を検索することができるように構成したデータベースを作成した上で、不特定多数の者が閲覧できるようにすることはできますか。
回答: 公開情報であっても、生存する個人に関する情報であって特定の個人を識別できる情報（他の情報と容易に照合できる場合を含みます。）は、個人情報に該当し、このような情報を集めて、新たに特定の個人情報を検索できるように作成したデータベ ースは、原則として、個人情報データベース等に該当します。
出典: 個人情報保護委員会
質問: 個人情報を取り扱う件数が少ない事業者も個人情報取扱事業者に該当しますか。
回答: 個人情報データベース等を事業の用に供している者であれば、当該個人情報データベース等を構成する個人情報によって識別される特定の個人の数の多寡にかかわらず、個人情報取扱事業者に該当します。
出典: 個人情報保護委員会
質問: 個人情報を「事業の用に供している」とは、どのような意味ですか。加工、分析などをせず、データベースとして利用しているのみであれば、該当しませんか。
回答: 「事業の用に供している」とは、事業者がその行う事業のために個人情報を利用していることをいい、特にその方法は限定されません。事業のために個人情報データベース等を作成、加工、分析、提供することだけでなく、事業を行う上で必要となる顧客情報、従業員情報、配達先情報などをデータベースとして利用していることなども含みます。
出典: 個人情報保護委員会
質問: 従業者に関する個人情報データベース等しか保有していない場合であっても、個人情報取扱事業者に該当しますか。
回答: 取り扱っている個人情報が従業者の個人情報のみであっても、個人情報データベース等を事業の用に供している者は、個人情報取扱事業者に該当します。
出典: 個人情報保護委員会
質問: 委託業務として、委託元の個人情報データベース等を利用していますが、この場合も、個人情報取扱事業者に該当しますか。
回答: 委託元の個人情報データベース等を加工・分析等をせずにそのまま利用する場合でも、委託された業務を行うために利用するのであれば「事業の用に供している」ことになり、委託先も個人情報取扱事業者に該当します。
出典: 個人情報保護委員会
質問: NPO 法人や自治会・町内会、同窓会、PTA のような非営利の活動を行っている団体も、個人情報取扱事業者として、個人情報保護法の規制を受けるのですか。
回答: 個人情報保護法における「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問いません。したがって、非営利の活動を行っている団体であっても、個人情報データベース等を事業の用に供している場合は、個人情報取扱事業者に該当します。NPO 法人や自治会・町内会、同窓会、PTA のほか、サークルやマンション管理組合なども個人情報取扱事業者に該当し得ます。（平成 30 年７月更新）
出典: 個人情報保護委員会
質問: 民生委員・児童委員が個人情報を取り扱う場合、個人情報取扱事業者として個人情報保護法の規制を受けるのですか。
回答: 民生委員・児童委員は非常勤・特別職の地方公務員であり、法第２条第５ 項第２号における「地方公共団体」の職員に当たることから、民生委員・児童委員として活動する範囲内では個人情報取扱事業者から除かれています。
出典: 個人情報保護委員会
質問: 個人データの取扱いが委託される場合、当該個人データは委託元と委託先のどちらの保有個人データとなりますか。
回答: 特に定めのない限り、委託元の保有個人データになると考えられますが、具体的には個別の事例ごとに判断することとなります。
出典: 個人情報保護委員会
質問: ガイドライン（通則編）２－７の「（４）当該個人データの存否が明らかに なることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維 持に支障が及ぶおそれがあるもの」の事例１について、「警察から捜査関係 事項照会等がなされることにより初めて取得した個人データ」とありますが、これは具体的にはどのような意味ですか。
回答: 例えば、ある事業者が、ある人物に関し、警察から刑事訴訟法第 197 条第２項に基づき、顧客情報の提供依頼を受けたが、依頼がなされた時点では、当該事業者が当該人物の個人データを保有していない場合、当該照会によって当該事業者は初めて当該人物の個人データを入手することとなります。このような個人データの存否が明らかになれば、犯罪の予防、鎮圧、又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるため、「保有個人データ」からは除外されます。したがって、この事例では、当該人物の個人データは、開示請求の対象外となります。
出典: 個人情報保護委員会
質問: ガイドライン（通則編）２－７の「（４）当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの」の事例４について、「振り込め詐欺に利用された口座に関する情報に含まれる個人データ」とありますが、振り込め詐欺に利用された口座に関する全ての情報が「保有個人データ」に当たらないということですか。
回答: 振り込め詐欺に利用された口座であっても、名義人の氏名、住所、連絡先、口座番号等、口座開設の際に必要な当該名義人に関する情報そのものは、「保有個人データ」に該当します。他方、警察からの当該口座に関する照会に対応する過程で作成した照会受理簿、回答発信簿、照会対象者リスト等の個人データは、保有個人データに当たらないこととなります。
出典: 個人情報保護委員会
質問: 店頭販売が中心の事業者が「公表」を行う場合、店頭ではなくホームページで公表することは可能ですか。
回答: 「公表」とは、広く一般に自己の意思を知らせることであり、公表に当たっては、事業の性質及び個人情報の取扱状況に応じ、合理的かつ適切な方法による必要があります。ホームページで公表することも可能と解されますが、当該店舗に来訪した者にとってそのホームページが合理的に把握可能であることを含め、分かりやすい場所への掲載が求められるものと解されます。
出典: 個人情報保護委員会
質問: 本人に対して、一定期間内に回答がない場合には同意したものとみなす旨の電子メールを送り、当該期間を経過した場合に、本人の同意を得たこととすることはできますか。
回答: 本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければなりません。したがって、一定期間回答がなかったことのみをもって、一律に本人の同意を得たものとすることはできません。
出典: 個人情報保護委員会
質問: 同意は、本人の明示的な意思表示を受ける方法によらなければなりませんか。
回答: 同意は、本人による承諾の意思表示をいいますので、「明示の同意」以外に「黙示の同意」が認められるか否かについては、個別の事案ごとに、具体的に判断することとなります。
出典: 個人情報保護委員会
質問: 何歳以下の子どもについて、同意をしたことによって生ずる結果を判断できる能力を有していないものとして、法定代理人等から同意を得る必要がありますか。
回答: 法定代理人等から同意を得る必要がある子どもの具体的な年齢は、対象となる個人情報の項目や事業の性質等によって、個別具体的に判断されるべきですが、一般的には 12 歳から 15 歳までの年齢以下の子どもについて、法定代理人等から同意を得る必要があると考えられます。
出典: 個人情報保護委員会
質問: 個人情報保護法におけるいくつかの義務の例外規定として「法令に基づく場合」というものがありますが、ガイドライン（通則編）に記載されたもの（刑事訴訟法第197条第２項に基づく警察の捜査関係事項照会への対応等）の他にどのようなものがありますか。また、「法令」とは、法律以外も含まれるのですか。
回答: 次のようなものが考えられます。なお、「法令」には、「法律」のほか、法律に基づいて制定される「政令」「府省令」や地方公共団体が制定する「条例」などが含まれますが、一方、行政機関の内部における命令や指示である「訓令」や「通達」は、「法令」に含まれません。
出典: 個人情報保護委員会
質問: 個人情報取扱事業者は、個人情報の利用目的を「できる限り特定しなければならない」とされていますが、どの程度まで特定する必要がありますか。
回答: 利用目的を「できる限り」特定するとは、個人情報取扱事業者において、個人情報をどのような目的で利用するかについて明確な認識を持つことができ、また、本人において、自らの個人情報がどのような事業の用に供され、どのような目的で利用されるのかについて一般的かつ合理的に予測・想定できる程度に、利用目的を特定することをいいます。このため、特定される利用目的は、具体的 で本人にとって分かりやすいものであることが望ましく、例えば、単に「お客様のサービスの向上」等のような抽象的、一般的な内容を利用目的とすることは、できる限り具体的に特定したことにはならないと解されます。
出典: 個人情報保護委員会
質問: 顧客の個人情報だけでなく、従業員を雇用するに当たり取り扱う当該従業員の個人情報についても、利用目的を特定する必要がありますか。
回答: 従業員を雇用するに当たり当該従業員の個人情報を取り扱う場合も、当該個人情報の利用目的をできる限り特定する必要があります。加えて、個人情報取扱事業者と従業員本人との間で争いとならないようにするためには、あらかじめ労働組合等に通知し、必要に応じて協議を行うことも望ましいと考えられます。
出典: 個人情報保護委員会
質問: 「利用」とは何を意味しますか。
回答: 特段の定義があるわけではありませんが、取得及び廃棄を除く取扱い全般を意味すると考えられます。したがって、保管しているだけでも利用に該当します。
出典: 個人情報保護委員会
質問: 登記簿等を閲覧して個人情報を取得する場合も利用目的の特定が必要ですか。
回答: 登記簿等により公開されているものでも個人情報であることに変わりはなく、それを取得する場合には利用目的の特定が必要です。
出典: 個人情報保護委員会
質問: 個人情報を統計処理して特定の個人を識別することができない態様で利用する場合についても、利用目的として特定する必要がありますか。
回答: 利用目的の特定は「個人情報」が対象であるため、個人情報に該当しない統計データは対象となりません。また、統計データへの加工を行うこと自体を利用目的とする必要はありません。
出典: 個人情報保護委員会
質問: 当初の利用目的が変更となったためその旨を通知する際、利用目的の範囲に含まれない商品告知等もあわせて同封することは問題はないのですか。
回答: 利用目的の範囲に含まれない商品告知等をすることはできません。利用目的の達成に必要な範囲を超える利用は、事前に本人の同意が必要となります。
出典: 個人情報保護委員会
質問: 利用目的の変更通知は、「××から◯◯に変わった」というように変更前の利用目的との対比によって示す必要がありますか。
回答: 変更後の利用目的を通知することで足ります。ただし、本人にとっての分かりやすさの観点等からは、「もともと××であったものを今後○○に変更します」など、当初特定した利用目的のどの点がどのように変わったのかを示すことが望ましいと考えられます。
出典: 個人情報保護委員会
質問: 法第 15 条第２項において、利用目的の変更が認められると考えられる事例を教えてください。
回答: 利用目的の変更が認められる範囲については、平成 27 年改正（平成 29 年５月30 日施行） 前の法第15条第２項（現在の法第17条第２項）において「変更前の利用目的と『相当の関連性』を有すると合理的に認められる範囲」とされていたところ、平成27年改正により、「変更前の利用目的と『関連性』を有すると合理的に認められる範囲」となりました。これは、一般的な消費者等からみて合理的な関連性のある範囲内において、利用目的の変更を柔軟かつ適時に可能とする規定です。
出典: 個人情報保護委員会
質問: 法第 15 条第２項において、利用目的の変更が認められないと考えられる事例を教えてください。
回答: 法第 15 条第２項において、利用目的の変更が認められる範囲は、利用目的の変更が一般的な消費者等からみて、合理的な関連性の認められる範囲内かどうかにより判断されることとなりますが、変更が認められない事例としては、例えば、次のような場合が考えられます。
出典: 個人情報保護委員会
質問: このたび他社の事業を承継することとなり、これに伴って当該他社が保有していた個人情報も譲り受けることになりました。当社は、当該他社が保有していた個人情報を自社サービスに利用することができますか。
回答: 事業の承継に伴って他社から取得した個人情報は、当該他社が特定した利用目的の達成に必要な範囲内でこれを利用することができます。したがって、自社サービスへの利用が、①当該他社が特定した利用目的の範囲内又は②当該利用目的と関連性を有すると合理的に認められる範囲を超えずに変更した後の利用目的の範囲内に含まれる場合、当該他社から取得した個人情報を自社サービスに利用することができます。
出典: 個人情報保護委員会
質問: 不動産の売買が行われる際に、不動産所有者が売買契約締結前の交渉段階で、当該不動産の購入希望者から当該不動産に関する調査を受け、当該不動産の賃借人に係る個人データを提供する場合は、あらかじめ本人の同意を得る必要がありますか。
回答: ガイドライン（通則編）３－４－３（２）と同様に、不動産売買契約に付随して、不動産の売主から買主に対して、当該不動産の管理に必要な範囲で当該不動産の賃借人の個人データが提供される場合には、当該不動産に係る事業の承継に伴って個人データが提供される場合と評価することができるため、法第 23 条第５項第２号に基づくものとして、本人の同意を得る必要はないものと解されます。
出典: 個人情報保護委員会
質問: ガイドライン（通則編）３－４－３（２）の「事業承継の交渉が不調となった場合の措置等」とは、具体的にどのような内容が考えられますか。
回答: 事業承継の交渉が不調に終わった場合に、当該不動産を購入しようとした者において、当該交渉に関連して提供を受けた個人データを返還、消去、廃棄する必要があります。なお、Ｑ2－10－2の「不動産所有者と当該不動産を購入しようとする者との交渉が不調となった場合の措置」も同様と考えられます。（令和元年 11 月追加）
出典: 個人情報保護委員会
質問: 法第18条第３項第２号及び第３号に「本人の同意を得ることが困難であるとき」とありますが、例えばどのような場合がこれに該当しますか。
回答: 例えば、本人の連絡先が不明等により、本人に同意を求めるまでもなく本人の同意を得ることが物理的にできない場合や、本人の連絡先の特定のための費用が極めて膨大で時間的余裕がない等の場合が考えられます。
出典: 個人情報保護委員会
質問: 製薬企業が過去に臨床試験等で取得した個人情報を、有効な治療方法や薬剤が十分にない疾病等に関する疾病メカニズムの解明を目的とした研究のために、自社内で利用することを考えています。個人情報に係る本人の連絡先を保有しておらず、本人の同意を得ることが困難なのですが、本人同意なしに利用することは可能ですか。
回答: 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱うことができませんが、公衆衛生の向上のために特に必要がある場合であって、本人の同意を得ることが困難であるときには、あらかじめ本人の同意を得ないで、個人情報を当初の利用目的の達成に必要な範囲を超えて取り扱うことが許容されています（法第 16 条第３項第３号）。
出典: 個人情報保護委員会
質問: 医療機関等が、以前治療を行った患者の臨床症例を、利用目的の範囲に含まれていない観察研究のために、当該医療機関等内で利用することを考えています。本人の転居等により有効な連絡先を保有していない場合や、同意を取得するための時間的余裕や費用等に照らし、本人の同意を得ることにより当該研究の遂行に支障を及ぼすおそれがある場合は、本人同意なしに利用することは可能ですか。
回答: 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱うことができませんが、公衆衛生の向上のために特に必要がある場合であって、本人の同意を得ることが困難であるときには、あらかじめ本人の同意を得ないで、個人情報を当初の利用目的の達成に必要な範囲を超えて取り扱うことが許容されています（法第18 条第３項第３号）。
出典: 個人情報保護委員会
質問: サービスを利用した本人から友人を紹介してもらい、当該本人を介して、その友人の個人情報を取得する、「友人紹介キャンペーン」による取得は個人情報の取得の手段として適正ですか。
回答: 事業者が偽ったり騙したりする等により個人情報を不正に取得していなければ、法第 17 条第１項（適正取得）に違反しないことになると考えられます。
出典: 個人情報保護委員会
質問: 名簿業者から個人の名簿を購入することは禁止されていますか。また、不正取得された名簿をそれと知らずに購入した場合は、どうですか。
回答: 名簿業者から個人の名簿を購入すること自体は禁止されていませんが、その購入に際しては、適正取得（法第20条第１項）や第三者提供を受ける際の確認・記録義務（法第30条）が適用される点に留意する必要があります。
出典: 個人情報保護委員会
質問: ガイドライン（通則編）３－３－１の「個人情報取扱事業者が不正の手段により個人情報を取得している事例」事例５の「法第 27 条第１項に規定する第三者提供制限違反がされようとしていること」を容易に知ることができる場合とは、具体的にどのような場合が考えられますか。
回答: 例えば、部外秘・社外秘である旨のラベリング、メモ書、透かしがある従業員名簿・ファイルなど、第三者提供が制限されていることが外形上明らかである場合、クレジットカード情報が含まれる顧客名簿・ファイルなど、社会通念上、第三者提供が制限されていることが推知できるような場合が考えられます。
出典: 個人情報保護委員会
質問: 個人情報を含む情報がインターネット等により公にされている場合、①当該情報を単に画面上で閲覧する場合、②当該情報を転記の上、検索可能な状態にしている場合、③当該情報が含まれるファイルをダウンロードしてデータベース化する場合は、それぞれ「個人情報を取得」していると解されますか。
回答: 個人情報を含む情報がインターネット等により公にされている場合、それらの情報を①のように単に閲覧するにすぎない場合には「個人情報を取得」したとは解されません。一方、②や③のようなケースは、「個人情報を取得」したと解し得るものと考えられます。
出典: 個人情報保護委員会
質問: ダークウェブ（専用のウェブブラウザ等を利用しないとアクセスできないウェブ）上で掲載・取引されている個人情報を当該ダークウェブからダウンロード等により取得する場合、偽りその他不正の手段による個人情報の取得（法第20 条第１項）に該当しますか。
回答: ダークウェブ上で掲載・取引されている個人情報は、掲載した者が偽りその他不正の手段により取得した個人情報である蓋然性が高く、また、掲載した者が法第27 条第１項に違反してこれをダークウェブ上で提供している蓋然性が高いといえます。このため、個人情報取扱事業者が、ダークウェブ上で掲載・取引されている個人情報を当該ダークウェブからダウンロード等により取得することは、偽りその他不正の手段による個人情報の取得に該当するものとして、法第20 条第１項に違反するおそれがあります。
出典: 個人情報保護委員会
質問: 平成27年改正の施行（平成29年５月30日）前に取得した個人情報であって、施行後に要配慮個人情報に該当することとなった場合、改めて取得について本人同意を得る必要がありますか。
回答: 平成 27 年改正の施行前に適法に取得した個人情報が施行後に要配慮個人情報に該当したとしても、改めて取得のための本人同意を得る必要はありません。
出典: 個人情報保護委員会
質問: 平成 27 年改正の施行（平成 29 年５月 30 日）前に取得した個人情報であって、施行後に要配慮個人情報に該当することとなり、当該情報について、新たに第三者提供をする場合には本人同意を得る必要がありますか。
回答: 個人データの第三者提供については、要配慮個人情報に係るものか否かを問わず、原則として本人の同意が必要です。
出典: 個人情報保護委員会
質問: ①郵便物の誤配など、事業者が求めていない要配慮個人情報が送られてきたことにより要配慮個人情報を手にすることとなった場合や、②要配慮個人情報を含む情報がインターネット等により公にされている場合であって単にこれを閲覧した場合であっても、事業者は要配慮個人情報の取得について本人の同意を得る必要がありますか。
回答: ①郵便物の誤配など、事業者が求めていない要配慮個人情報が送られてきた場合であっても、事業者（受領側）に提供を「受ける」行為がないときは、要配慮個人情報を取得しているとは解釈されません。すなわち、事業者が手にすることとなった要配慮個人情報を直ちに返送したり、廃棄したりするなど、提供を「受ける」行為がないといえる場合には、要配慮個人情報を取得しているとは解釈されません。
出典: 個人情報保護委員会
質問: 本人の話し方や振る舞いから要配慮個人情報を取得した場合も、外形上明らかな要配慮個人情報を取得する場合に該当しますか。
回答: 本人の素振りから外形上、障害や疾患が明らかであれば、要配慮個人情報の取得の例外に該当する場合があるものと考えられます。なお、障害や疾患の内容にもよりますが、いずれの場合においても、障害や疾患の事情が推知されるにすぎない場合は、そもそも要配慮個人情報に該当しません。
出典: 個人情報保護委員会
質問: 取引の過程で、相手方企業の代表者等に前科があることが判明した場合、当該代表者等の同意を得る必要がありますか。
回答: 犯罪の経歴（有罪の判決を受けこれが確定した事実）は要配慮個人情報に該当します。取引の過程で前科があることが判明した場合、当該情報が推知情報にとどまる場合は、要配慮個人情報には該当しないため、取得に際してあらかじめ本人の同意を得る必要はありません。
出典: 個人情報保護委員会
質問: 住民基本台帳を閲覧して取得した個人情報を使ってダイレクトメールを送ることができますか。
回答: 現行の住民基本台帳の閲覧制度では、閲覧できる場合が一定の事項に限られ、また、閲覧した個人情報を第三者に提供することも禁止されています。したがって、ダイレクトメールの送付を目的として住民基本台帳を閲覧することはできません（住民基本台帳法第 11 条の２参照）。
出典: 個人情報保護委員会
質問: 飲食店を営んでいます。顧客から予約を受けるときに取得した個人情報を取り扱う際に、どんなことに注意すればよいですか。
回答: 事業者の規模にかかわらず、事業者が事業の用に供するために個人情報データベース等を取り扱っている場合、個人情報取扱事業者に相当するため、利用目的の通知又は公表が必要になります（法第 18 条第１項）。
出典: 個人情報保護委員会
質問: PTA が学校から生徒等に関する個人情報を取得する場合、どういった点に注意すればよいですか。
回答: PTAが名簿を作成しようとする場合、本人にその利用目的を通知・公表し、本人から取得した個人情報をその利用目的の範囲内で利用することが可能です。
出典: 個人情報保護委員会
質問: 市販の人名録を使ってダイレクトメールを送付したいのですが、その人名録の利用目的を当該ダイレクトメールに記載して送付したいと考えています。人名録を買ってどれくらいの期日までにダイレクトメールを送付すれば、法第 21条第１項にいう「速やかに」に該当しますか。
回答: 全ての場合に通じるような一定の期日の定めはありません。「速やかに」とは、事情が許容する限りもっとも早期にという意味です。したがって、合理的な事情がない限り、取得後、可能な限り早期に通知する必要があります。
出典: 個人情報保護委員会
質問: グループ企業全体の採用の応募受付をホームページで行っています。応募者には個人情報をグループ企業間において共同利用する旨をこのホームページに掲載していますが、利用目的については採用活動のためであることが明らかなため、特に明示しなくてもよいですか。
回答: 共同利用の目的が自明であるか否かを問わず、法第 23 条第５項第３号に基づいて、共同利用に関する事項を本人に通知し、又は本人が容易に知り得る状態に置いている必要があります。
出典: 個人情報保護委員会
質問: 名刺交換により取得した連絡先に対して、自社の広告宣伝のための冊子や電子メールを送ることはできますか。
回答: 個人情報取扱事業者の従業者であることを明らかにした上で名刺を交換した場合、相手側は名刺を渡した者が所属する個人情報取扱事業者から広告宣伝のための冊子や電子メールが送られてくることについて、一定の予測可能性があると考えられます。
出典: 個人情報保護委員会
質問: 申込書やホームページ上のユーザー入力画面で連絡先を記入させる場合、当該連絡先の利用目的を明示する必要がありますか。また、具体的にどのような場合に取得の状況からみて利用目的が明らかで利用目的の明示が不要となりますか。
回答: 申込書等の書面（ホームページ上の入力画面を含む。）に本人が記入し、直接その本人から個人情報を取得する場合は、原則として利用目的の明示が必要です（法第 18 条第２項）。ただし、取得の状況からみて利用目的が明らかな場合は、例外的に利用目的の明示は不要です（同条第４項第４号）。

具体的には、次のような事例が考えられます。

【取得の状況からみて利用目的が明らかであると認められる場合】
○ 申込書の記載により取得したメールアドレス情報等を申込内容の確認、履行の結果通知等の目的で利用する場合（ただし、新たなサービスの案内、提携先への提供等に利用することは自明の利用目的に該当しない場合があるので注意を要します。）
○懸賞付きアンケートによって取得した連絡先を、懸賞商品の抽選や懸賞商品に関する連絡・発送等のみに利用する場合
出典: 個人情報保護委員会
質問: 私立学校、自治会・町内会、同窓会、PTA 等が本人から書面で提出を受けた個人情報を利用して名簿を作成し、配布する場合はどのようにすればよいですか。
回答: 私立学校、自治会・町内会、同窓会、PTA 等は本人に対し利用目的を明示した上で、個人情報を取得し、名簿を作成することが可能です。名簿を配布するなど、本人以外の者に個人データを提供する場合には、原則として、本人の同意を得る必要があります。
出典: 個人情報保護委員会
質問: A 事業のために個人データを取得した後、B 事業のために取得した個人データの内容から住所変更があった事実が判明した場合、A 事業についても住所変更を反映させることが可能ですか。
回答: 法第 19 条により、個人データを正確かつ最新の内容に保つよう努めなければならないとされていることから、住所変更の内容を反映させることは可能と考えられます。
出典: 個人情報保護委員会
質問: 取得した個人情報は、いつ廃棄しなければなりませんか。
回答: 個人情報保護法では、個人情報の保存期間や廃棄すべき時期について規定していません。もっとも、個人情報取扱事業者は、その取扱いに係る個人データを利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければなりません（法第 22 条）。
出典: 個人情報保護委員会
質問: 「遅滞なく消去する」とは、具体的にどのような期間で消去することを求めていますか。
回答: 「遅滞なく」が示す具体的な期間は、個人データの取扱状況等により異なり得ますが、業務の遂行上の必要性や引き続き当該個人データを保管した場合の影響等も勘案し、必要以上に長期にわたることのないようにする必要があると解されます。他方で、事業者のデータ管理のサイクル等、実務上の都合に配慮することは認められます。
出典: 個人情報保護委員会
質問: カメラ画像や顔特徴データ等の個人データの保有期間についてはどのように考えればよいですか。
回答: 個人情報取扱事業者は、法第22条に基づき、利用の必要性を考慮して保存期間を設定し、個人データを利用する必要がなくなったときは、遅滞なく消去するよう努めなければなりません。（令和５年５月更新）
出典: 個人情報保護委員会
質問: 法第 21 条で定められている「従業者の監督」の「従業者」には、派遣社員も含まれますか。
回答: 法第 21 条の「従業者」とは、個人情報取扱事業者の指揮監督を受けて業務に従事している者等をいい、事業者との雇用契約の有無を問いません。したがって、派遣社員であっても、派遣先事業者（個人情報取扱事業者）の指揮監督を受けてその業務に従事している限り、当該事業者の「従業者」に該当します。
出典: 個人情報保護委員会
質問: 町内会やマンション管理組合等において、監督が必要となる「従業者」には、どのような者が該当しますか。
回答: 町内会やマンション管理組合等の形態や管理の実態にもよりますが、例えば、町内会やマンション管理組合の運営を担う理事等は、個人情報保護法における「従業者」に該当するものと考えられます。
出典: 個人情報保護委員会
質問: 従業者に対する監督の一環として、個人データを取り扱う従業者を対象とするビデオやオンライン等による監視（モニタリング）を実施する際の留意点について教えてください。
回答: 個人データの取扱いに関する従業者の監督、その他安全管理措置の一環として従業者を対象とするビデオ及びオンラインによるモニタリングを実施する場合は、次のような点に留意することが考えられます。なお、モニタリングに関して、個人情報の取扱いに係る重要事項等を定めるときは、あらかじめ労働組合等に通知し必要に応じて協議を行うことが望ましく、また、その重要事項等を定めたときは、従業者に周知することが望ましいと考えられます。

○ モニタリングの目的をあらかじめ特定した上で、社内規程等に定め、従業者に明示すること
○モニタリングの実施に関する責任者及びその権限を定めること
○ あらかじめモニタリングの実施に関するルールを策定し、その内容を運用者に徹底すること
○ モニタリングがあらかじめ定めたルールに従って適正に行われているか、確認を行うこと
出典: 個人情報保護委員会
質問: 「委託契約の締結」に関して、実態として安全管理措置に係る委託元と委託先の合意が担保できるものであれば、「業務委託契約書の取交し」以外の態様（例えば、委託先から委託元への誓約書の差入れや、覚書や合意書などの取交し）も認められますか。
回答: 委託元・委託先の双方が安全管理措置の内容について合意をすれば法的効果が発生しますので、当該措置の内容に関する委託元・委託先間の合意内容を客観的に明確化できる手段であれば、書式の類型を問いません。
出典: 個人情報保護委員会
質問: 「委託先における個人データ取扱状況の把握」に関して、委託元が委託先に立入検査等を行うことは義務ですか。
回答: 法第 22 条に基づく委託先の監督の一環として、委託先における個人データの取扱状況を把握することが必要であり、その手段として、必要に応じて個人データを取り扱う場所に赴くことも考えられますが、これが義務付けられているわけではなく、取扱いを委託する個人データの内容や規模に応じて適切な方法（口頭による確認も含む。）を講じれば足りるものと考えられます。
出典: 個人情報保護委員会
質問: 委託元が、法第 20 条が求める水準を超える高い水準の安全管理措置を講じている場合、委託先は、これと同等の水準の措置を講じる必要がありますか。
回答: 委託元が法第 20 条が求める水準を超える高い水準の措置を講じている場合に、委託先はこれと同等の措置を講じることまで法により義務付けられるわけではなく、法 律上は、委託先は法第 20 条が求める水準の安全管理措置を講じれば足りると解されます。
出典: 個人情報保護委員会
質問: 外部事業者に定型的業務を委託する場合、必ず、当該外部事業者が用意している約款等に加えて、自己の社内内規を遵守するよう求める覚書を追加的に締結する等の対応が必要となりますか。
回答: 個人データの取扱いを委託する場合の委託先の監督については、取扱いを委託する個人データの内容を踏まえ、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）などに起因するリスクに応じて行うべきものと考えられます。当該約款等を吟味した結果、当該約款等を遵守することにより当該個人データの安全管理が図られると判断される場合には、当該定型的業務を委託することについて必ずしも追加的に覚書を締結する必要まではないと考えられます。
出典: 個人情報保護委員会
質問: 個人データの取扱いを委託する場合、委託元は委託先に対して、当該委託業務に従事する委託先の従業員から守秘義務等に係る誓約書を取得することが義務付けられていますか。また、委託先の従業員等の個人情報の提出を求めることはできますか。
回答: 個人データの取扱いの委託に当たり、委託先の監督の一環として、委託先の従業員等から守秘義務等に係る誓約書を取得したり、委託先の従業員等の個人情報の提出を求めたりすることも、その手法の一つと考えられますが、これが義務付けられるわけではありません。なお、委託元は、委託先からその従業員等の個人情報又は個人データの提供を受ける場合には、これに伴い必要となる個人情報保護法上の義務（利用目的の通知又は公表等）を果たす必要があります。
出典: 個人情報保護委員会
質問: 個人データの漏えいに該当しない「個人データを第三者に閲覧されないうちに全てを回収した場合」としては、どのようなものがありますか。
回答: 次のような事例が考えられます。
出典: 個人情報保護委員会
質問: 個人データが記録されたUSBメモリを紛失したものの、紛失場所が社内か社外か特定できない場合には、漏えいに該当しますか。
回答: 個別の事例ごとに判断することとなりますが、個人データが記録されたUSBメモリを紛失したものの、紛失場所が社内か社外か特定できない場合には、漏えい（又は漏えいのおそれ）に該当すると考えられます。なお、社内で紛失したままである場合には、滅失（又は滅失のおそれ）に該当すると考えられます。
出典: 個人情報保護委員会
質問: ガイドライン（通則編）３－５－２の「漏えい等事案が発覚した場合に講ずべき措置」の「（１）事業者内部における報告及び被害の拡大防止」にある「責任ある立場の者」とは、どういう役職を想定していますか。
回答: 「責任ある立場の者」の役職は限定されていませんが、あらかじめ、取扱規程等により、漏えい等事案が発覚した場合の適切かつ迅速な報告連絡体制を整備しておくことが必要です。
出典: 個人情報保護委員会
質問: ガイドライン（通則編）３－５－２の「漏えい等事案が発覚した場合に講ずべき措置」の「（１）事業者内部における報告及び被害の拡大防止」にある「漏えい等事案による被害が発覚時よりも拡大しないよう必要な措置を講ずる」とは、具体的には、どのような対応をとることが考えられますか。
回答: 例えば、外部からの不正アクセスや不正プログラムの感染が疑われる場合には、当該端末等のLANケーブルを抜いてネットワークからの切り離しを行う又は無線の無効化を行うなどの措置を直ちに行うこと等が考えられます。
出典: 個人情報保護委員会
質問: ガイドライン（通則編）３－５－２の「漏えい等事案が発覚した場合に講ずべき措置」の「（３）影響範囲の特定」にある「把握した事実関係による影響範囲の特定のために必要な措置を講ずる」とは、どういうことですか。
回答: 事案の内容によりますが、例えば、個人データの漏えいの場合は、漏えいした個人データに係る本人の数、漏えいした個人データの内容、漏えいした原因、漏えい先等を踏まえ、影響の範囲を特定することが考えられます。
出典: 個人情報保護委員会
質問: 本人が第三者の作成した個人情報取扱事業者の正規のウェブサイトに偽装したウェブサイト（いわゆるフィッシングサイト）にアクセスし、当該個人情報取扱事業者が取り扱う個人データと同じ内容の情報（ID やパスワード等）を入力した場合、報告対象となりますか。。また、偽装したウェブサイトに本人が入力した当該情報を利用して、第三者が本人になりすまし、個人データが表示される当該個人情報取扱事業者の正規のウェブサイトにログインした場合、報告対象となりますか。
回答: 本人が第三者に個人情報取扱事業者の取り扱う個人データと同じ内容の情報を詐取されたのみでは、第三者に当該個人情報取扱事業者の取り扱う個人データが漏えいしていないことから、当該個人情報取扱事業者による報告対象にならないと考えられます。
出典: 個人情報保護委員会
質問: 医療機関において、健康診断等の結果を誤って本人以外の者に交付した場合には、報告対象となりますか。
回答: 健康診断の結果等の要配慮個人情報が含まれる個人データを漏えいした場合に該当するため、件数にかかわらず報告対象となります。
出典: 個人情報保護委員会
質問: 取り扱う個人データの一部が漏えいし、当該漏えいした個人データによっては第三者が特定の個人を識別することができない場合でも、報告対象となりますか。
回答: 漏えい等した情報が個人データに該当するかどうかは、当該個人データを漏えい等した個人情報取扱事業者を基準に判断するため、報告対象事態に該当すれば、報告が必要となります。
出典: 個人情報保護委員会
質問: 個人データである住所、電話番号、メールアドレス、SNSアカウントが漏えいした場合、「不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等」（施行規則第７条第２号）に該当しますか。
回答: 「不正に利用されることにより財産的被害が生じるおそれがある」（施行規則第７条第２号）とは、漏えい等した個人データを利用し、本人になりすまして財産の処分が行われる場合が想定されています。そのため、住所、電話番号、メールアドレス、SNSアカウントといった個人データのみの漏えいは、直ちに「不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等」に該当するものではないと考えられます。
出典: 個人情報保護委員会
質問: 個人データであるクレジットカード番号のみが漏えいした場合「不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等」（施行規則第７条第２号）に該当しますか。
回答: 個人データであるクレジットカード番号のみの漏えいでも、暗証番号やセキュリティコードが割り出されるおそれがあるため、「不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等」に該当すると考えられます。なお、個人データであるクレジットカード番号の下４桁のみとその有効期限の組合せが漏えいした場合は、直ちに「不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等」に該当するものではないと考えられます。
出典: 個人情報保護委員会
質問: クレジットカード又はデビッドカードを誤って第三者に郵送した場合、報告対象となりますか。
回答: クレジットカード又はデビットカードを誤って第三者に郵送した場合、当該カードを発行した個人情報取扱事業者において、「不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等」に該当すると考えられます。なお、クレジットカード又はデビッドカードが同封された郵便物が未開封のまま回収された場合には、通常、漏えいに該当せず、報告対象となりません。
出典: 個人情報保護委員会
質問: 個人データである銀行口座情報（金融機関名、支店名、預金種別、口座番号、口座名義等）のみが漏えいした場合「不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等」（施行規則第７条第２号）に該当しますか。
回答: 個人データである銀行口座情報のみの漏えいは、直ちに「不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等」に該当するものではないと考えられます。なお、銀行口座情報がインターネットバンキングのログインに用いられている場合であって、銀行口座情報とインターネットバンキングのパスワードの組合せが漏えいした場合には、「不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等」に該当すると考えられます。
出典: 個人情報保護委員会
質問: 「不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等」（施行規則第７条第２号）について、漏えい等が生じた後に講じた措置によって財産的被害が生じるおそれがなくなった場合でも報告対象となりますか。
回答: 漏えい等事案を知った時点において、財産的被害が生じるおそれがある場合には、その後の被害防止措置により財産的被害が生じるおそれがなくなったとしても、報告対象となると考えられます。
出典: 個人情報保護委員会
質問: ガイドライン（通則編）３－５－３－１の「（※３）（イ）」に「個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において、情報を窃取する振る舞いが判明しているマルウェアの感染が確認された場合」とありますが、個人データを格納しているサーバにおいてマルウェアを検知した場合には、漏えいのおそれがあると判断されますか。
回答: ガイドライン（通則編）３－５－３－１（※３）は、漏えいが発生したおそれがある事態に該当し得る事例を示したものであり、単にマルウェアを検知したことをもって直ちに漏えいのおそれがあると判断するものではなく、防御システムによるマルウェアの実行抑制の状況、外部通信の遮断状況等についても考慮することになります。
出典: 個人情報保護委員会
質問: 報告対象事態に該当しない場合であっても、個人情報保護委員会等への報告を行うことは可能ですか。
回答: 可能です。この場合、報告書の様式における「規則第７条各号該当性」については、「非該当（上記に該当しない場合の報告）」として報告を行うことになります。
出典: 個人情報保護委員会
質問: 「漏えい等が発生し、又は発生したおそれがある個人データについて、高度な暗号化等の秘匿化がされている場合」とは、どのような場合が該当しますか。
回答: 報告を要しない「漏えい等が発生し、又は発生したおそれがある個人データについて、高度な暗号化等の秘匿化がされている場合」に該当するためには、当該漏えい等事案が生じた時点の技術水準に照らして、漏えい等が発生し、又は発生したおそれがある個人データについて、これを第三者が見読可能な状態にすることが困難となるような暗号化等の技術的措置が講じられるとともに、そのような暗号化等の技術的措置が講じられた情報を見読可能な状態にするための手段が適切に管理されていることが必要と解されます。
出典: 個人情報保護委員会
質問: 「テンプレート保護技術（暗号化等の技術的措置を講じた生体情報を復号することなく本人認証に用いる技術）を施した個人識別符号が漏えいした場合も、報告対象となりますか。
回答: テンプレート保護技術を施した個人識別符号について、高度な暗号化等の秘匿化（Ｑ６－16参照）がされており、かつ、当該個人識別符号が漏えいした場合に、漏えいの事実を直ちに認識し、テンプレート保護技術に用いる秘匿化のためのパラメータを直ちに変更するなど漏えいした個人識別符号を認証に用いることができないようにしている場合には、「高度な暗号化その他の個人の権利利益を保護するために必要な措置」を講じていることになるため、報告は不要と考えられます。
出典: 個人情報保護委員会
質問: 委託元から個人データの取扱いの委託を受けている場合において、委託元において報告対象となる個人データの漏えい等が発生した場合、委託先は報告義務を負いますか。
回答: 委託先が取り扱う個人データの漏えい等が生じていないことから、委託先は報告義務を負わないと考えられます。
出典: 個人情報保護委員会
質問: クラウドサービス提供事業者が、個人データを取り扱わないこととなっている場合（Ｑ７－53参照）において、報告対象となる個人データの漏えい等が発生したときには、クラウドサービスを利用する事業者とクラウドサービス提供事業者はそれぞれ報告義務を負いますか。
回答: クラウドサービス提供事業者が、個人データを取り扱わないこととなっている場合において、報告対象となる個人データの漏えい等が発生したときには、クラウドサービスを利用する事業者が報告義務を負います。この場合、クラウドサービス提供事業者は、法第26条第１項の報告義務を負いませんが、クラウドサービスを利用する事業者が安全管理措置義務及び同項の報告義務を負っていることを踏まえて、契約等に基づいてクラウドサービスを利用する事業者に対して通知する等、適切な対応を行うことが求められます。
出典: 個人情報保護委員会
質問: 配送事業者を利用して個人データを含むものを送る場合において、当該配送事業者の誤配送により報告対象となる個人データの漏えいが発生したときには、配送事業者を利用した事業者と配送事業者はそれぞれ報告義務を負いますか。
回答: 配送事業者は、通常、配送を依頼された中身の詳細については関知しないことから、当該配送事業者との間で特に中身の個人データの取扱いについて合意があった場合等を除き、当該個人データに関しては取扱いの委託をしているものではないものと解されます。
出典: 個人情報保護委員会
質問: ガイドライン（通則編）３－５－３－３において、報告期限の起算点となる「知った」時点について、「個人情報取扱事業者が法人である場合には、いずれかの部署が当該事態を知った時点を基準」とありますが、具体的には部署内の誰が認識した時点を基準としますか。
回答: 個別の事案ごとに判断されますが、部署内のある従業者が報告対象事態を知った時点で「部署が知った」と考えられます。なお、従業者等の不正な持ち出しの事案においては、不正な持ち出しを行った従業者等を除いた上で判断することとなります。
出典: 個人情報保護委員会
質問: 漏えい等報告における報告事項となっている「二次被害又はそのおそれの有無及びその内容」の「二次被害」にはどのような事項が含まれますか。
回答: 次のような事項が考えられます。
出典: 個人情報保護委員会
質問: 漏えい等報告における報告事項となっている「その他参考となる事項」には、どのような事項が含まれますか。
回答: 次のような事項が考えられます。
出典: 個人情報保護委員会
質問: 漏えい等事案漏えい等事案について、個人情報保護委員会に報告する場合、どのような方法で報告すればよいですか。
回答: 個人情報保護委員会のホームページに報告フォームを設置していますので、当該報告フォームから報告してください。なお、報告先が事業所管大臣となるときは、事業所管大臣が報告方法を定めている場合にはその方法により、定めがない場合には報告書を提出する方法により報告してください。
出典: 個人情報保護委員会
質問: 個人番号を含む個人データの漏えい等が発生し、行政手続における特定の個人を識別するための番号の利用等に関する法律（平成25年法律第27号）第29条の４の報告対象に該当するとともに、法第26条第１項の報告対象にも該当する場合には、どのように報告を行えばよいですか。
回答: 行政手続における特定の個人を識別するための番号の利用等に関する法律（平成25年法律第27号）第29条の４の報告対象と、法第26条第１項報告対象はそれぞれ個別に判断するため、双方の報告対象に該当する場合は、双方の法に基づく報告を行う必要があります。この場合、個人情報保護委員会のホームページにおいて双方の法に基づく報告を一括して行うためのフォームを設置していますので、これを利用することが考えられます。
出典: 個人情報保護委員会
質問: 本人への通知について、口頭で行うことは可能ですか。
回答: 本人への通知の方法として口頭で知らせる方法も可能ですが、本人が口頭で通知を受けた内容を事後的に確認できるようにする観点から、必要に応じて書面又は電子メール等による通知を併用することが望ましいと考えられます。
出典: 個人情報保護委員会
質問: 本人に関する連絡先を複数保有している場合において、１つの連絡先に連絡して本人に連絡がとれなければ、本人への通知が困難であると解してよいですか。
回答: 本人への通知に関し、複数の連絡手段を有している場合において、１つの手段で連絡ができなかったとしても、直ちに「本人への通知が困難である場合」に該当するものではありません。例えば、本人の連絡先として、住所と電話番号を把握しており、当該住所へ書面を郵送する方法により通知しようとしたものの、本人が居住していないとして当該書面が還付された場合には、別途電話により連絡することが考えられます。
出典: 個人情報保護委員会
質問: ガイドライン（通則編）３－５－４－５の「代替措置に該当する事例」である「問合せ窓口を用意してその連絡先を公表し、本人が自らの個人データが対象となっているか否かを確認できるようにする」場合について、問合せ窓口として、常設している個人情報の取扱いに関する相談を受け付ける窓口を利用することは可能ですか。
回答: 可能です。
出典: 個人情報保護委員会
質問: 本人への通知の代替措置として事案の公表を行う場合に、本人が特定されるおそれがある事項についてまで公表する必要がありますか。
回答: 事案の公表に当たっては、公表することでかえって被害の拡大につながることがないように留意する必要があります。公表内容については、本人へ通知すべき内容を基本としつつ、特定の個人が識別されるおそれがある事項については、公表しないようにすることが考えられます。
出典: 個人情報保護委員会
質問: 漏えい等事案が発生した場合に、公表を行うことは義務付けられていますか。
回答: 本人への通知の代替措置として、事案の公表を行う場合を除き、事案の公表が義務付けられているものではありませんが、漏えい等事案の内容等に応じて、公表することが望ましいと考えられます。なお、二次被害の防止の観点から必要がないと認められる場合や、公表することでかえって被害の拡大につながる可能性があると考えられる場合には、公表を行わないことが考えられます。
出典: 個人情報保護委員会
質問: 「第三者」とはどのような者をいうのですか。
回答: 「第三者」とは、一般に①当該個人データによって特定される本人、②当該個人データを提供しようとする個人情報取扱事業者以外の者をいい、自然人、法人その他の団体を問いません。
出典: 個人情報保護委員会