grooveeletrica/JaGovFaqs-22k huggingface dataset:
質問: 退職した社員から、法第35条第５項に基づき、利用する必要がなくなった場合に該当するとして保有個人データの消去を求められた場合、応じなければならないですか。
回答: 退職した社員の個人情報についても、取得時に特定した利用目的の範囲内で利用することは可能ですが、当該利用目的が達成されたときには、利用する必要がなくなった場合に該当し、当該請求に応じる義務があると考えられます（法第35条第６項）。（令和３年９月追加）
出典: 個人情報保護委員会
質問: ガイドライン（通則編）３－８－５－１に「本人の権利又は正当な利益が害されるおそれがないとして利用停止等又は第三者提供の停止が認められないと考えられる事例」として記載されている「過去の信用情報に基づく融資審査により新たな融資を受けることが困難になった者が、新規の借入れを受けるため、当該信用情報を保有している個人情報取扱事業者に対して現に審査に必要な信用情報の利用停止等又は第三者提供の停止を請求する場合」について、本人が今後金融機関に一切融資を申し込むつもりがないとしている場合には、「現に審査に必要」ではないとして、利用停止等又は第三者提供の停止の請求に応じなければならないですか。
回答: 信用情報については、将来本人から融資等の申込みがあった場合に備えて一定期間保有しておく必要があることから、本人が今後一切融資を申し込むつもりがないと述べていることをもって、「現に審査に必要」ではないといえず、利用停止等又は第三者提供の停止の請求に応じる必要はないと考えられます。（令和３年９月追加）
出典: 個人情報保護委員会
質問: 本人の権利又は正当な利益が害されるおそれがある場合の利用停止等について、「法令を遵守するために当該保有個人データを取り扱う事情」が正当かどうかの判断において考慮されるとのことですが、将来受ける可能性のある行政調査等も考慮されますか。
回答: 「法令を遵守するために当該保有個人データを取り扱う事情」としては、例えば、当該保有個人データにつき法令上保管が義務付けられている場合等が考えられますが、保管が義務付けられていない保有個人データについて、将来の行政調査等のために保管することは通常考慮されないと考えられます。（令和３年９月追加）
出典: 個人情報保護委員会
質問: 本人からの開示等の請求等に備えて、開示等の請求等を受け付ける方法をあらかじめ定めておく必要がありますか。
回答: 個人情報保護法上、個人情報取扱事業者は、開示等の請求に応じる義務がありますが、その手続については各事業者において定めることができます（法第37条第１項）。
出典: 個人情報保護委員会
質問: 開示等の請求等をする者が本人であることの確認の方法として、運転免許証の提示に加え、印鑑登録証明書の提示を求めることはできますか。
回答: 個人情報保護法上、個人情報取扱事業者は、開示等の請求等をする者の本人確認方法も含め、本人からの開示等の請求等を受け付ける方法を定めることができるとされています（法第 32 条第１項）。
出典: 個人情報保護委員会
質問: 開示等の手数料はいくらにすべきですか。
回答: 手数料の額は、実費を予測して平均的単価を算出して定めることが望ましいと考えられます。
出典: 個人情報保護委員会
質問: 本人から開示の請求があり、開示手数料を徴収している場合、結果として開示しなかった場合でも、徴収した手数料は返さなくてもよいですか。
回答: 手数料を定めた法第 33 条は、現に開示を行ったか否かにより特に区別していませんので、必ずしも返還する義務は生じません。
出典: 個人情報保護委員会
質問: 当社では、保有個人データの開示の請求を受けた際に手数料を徴収することとしましたが、手数料により利潤を得ることはできますか。
回答: 本人から保有個人データの開示の請求を受けた個人情報取扱事業者は、開示の実施に関し手数料を徴収することが認められています（法第 33 条第１項）。しかし、その手数料の額は、実費を勘案して合理的であると認められる範囲内で定めなければなりません（同条第２項）。（令和３年９月更新）
出典: 個人情報保護委員会
質問: 事前の請求の手続は、平成 27 年改正の施行（平成 29 年５月 30 日）前の開示等の求めの手続と同じ手続ということでよいですか。
回答: 事前の請求の手続については、平成 27 年改正前の開示等の求めの手続と異なるところはありません。個人情報取扱事業者は、本人からの開示等の請求等を受け付ける方法を定めること（法第 32 条第１項）、本人に対し、開示等の請求等に関し、その対象となる保有個人データを特定するに足りる事項の提示を求めること（法第 32 条第２項）、開示の請求等を受けたときは、手数料を徴収すること（法第 33 条第１項）等ができます。
出典: 個人情報保護委員会
質問: 苦情の適切かつ迅速な処理を行うに当たり、具体的にはどのような体制を整備すればよいですか。
回答: 個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理を行うために、必要な体制の整備に努めなければならないとされています（法第 35 条第２項）。例えば、苦情処理の担当者や手順を定めておくことなどが考えられます（ガイドライン（通則編）３－６参照）。
出典: 個人情報保護委員会
質問: 個人情報保護法に基づく開示請求、内容の訂正、利用停止の請求等への対応等に関する苦情や相談がある場合に、当該個人情報取扱事業者とともに、認定個人情報保護団体が対応することは可能ですか。
回答: 認定個人情報保護団体は、消費者と事業者の間に立ち、対象事業者である個人情報取扱事業者の個人情報の適正な取扱いの確保を目的として、消費者からの苦情の処理や相談対応を行うこととされています。また、認定個人情報保護団体は、各業界の特性を踏まえつつ、個人情報に係る利用目的の特定、安全管理のための措置、開示等の請求等に応じる手続等に関し、個人情報保護指針を作成し、対象事業者はこれを遵守することとされています。
出典: 個人情報保護委員会
質問: ガイドライン（通則編）（８（別添）講ずべき安全管理措置の内容）に示されている項目を全て講じないと違法になりますか。
回答: ガイドライン（通則編）では、講じなければならない措置及び当該措置を実践するための手法の例等を示しています。
出典: 個人情報保護委員会
質問: 「中小規模事業者」の定義における「従業員」にはどのような者が含まれますか。また、いつの時点の従業員の数で判断されますか。
回答: 「中小規模事業者」の定義における「従業員」は、中小企業基本法における従業員をいい、労働基準法第 20 条の適用を受ける労働者（解雇の予告を必要とする労働者）に相当する者をいいます。ただし、同法第 21 条の規定により同法第 20 条の適用が除外されている者は除かれます。具体的には、日々雇い入れられる者、２か月以内の期間を定めて使用される者等が除かれます。
出典: 個人情報保護委員会
質問: 「中小規模事業者」の定義のうち、「事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数」について、例えば、市販の電話帳を保有している場合、これに氏名・電話番号等が掲載されている個人の数は含まれますか。
回答: 市販の電話帳は、個人情報データベース等に該当しないと解されるので（法第２ 条第４項、ガイドライン（通則編）２－４）、電話帳に掲載されている個人の数は、ここでいう「特定の個人の数」に含まれません。
出典: 個人情報保護委員会
質問: 「中小規模事業者」の定義のうち、「事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数」について、例えば、倉庫業、データセンター等の事業において、当該情報が個人情報に該当するかどうかを認識することなく預かっている場合は、当該情報中に含まれる個人情報に係る個人の数は含まれますか。
回答: 御指摘の情報は、当該事業者にとっては個人情報として認識されていないため、事業の用に供しているとはいえず、「事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数」には含まれないと考えられます。
出典: 個人情報保護委員会
質問: 「中小規模事業者」も、大企業と同等の安全管理措置を講じなくてはいけませんか。
回答: 法第 20 条により、個人情報取扱事業者は、取り扱う個人データの安全管理のために必要かつ適切な措置を講じなければなりません。
出典: 個人情報保護委員会
質問: 従来、主務大臣が定めていたガイドラインに従って、適切に安全管理措置を講じているが、さらに多くのことをしなければいけないのか。
回答: 従来、主務大臣が定めていたガイドラインに従って、適切に安全管理措置を講じている場合は、適切な措置を講じられていると考えられますが、安全管理措置を講ずるための具体的な手法については、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容とすべきものであり、それらは時代や環境によっても変化し得るものであるので、あらためてガイドライン（通則編）を参考に、現在講じている安全管理措置の内容を再点検し、必要に応じて見直すことも、有効な取組と考えられます。
出典: 個人情報保護委員会
質問: 標的型メール攻撃や、その他不正アクセス等による個人データの漏えい等の被害を防止するために、安全管理措置に関して、どのような点に注意すればよいですか。
回答: ガイドライン（通則編）に記載されている技術的安全管理措置の各項目を遵守することや、それらについて従業者に対して必要な研修・注意喚起を行うことに加え、次のような措置を講ずることが考えられます。
出典: 個人情報保護委員会
質問: カメラを設置してカメラ画像・顔特徴データ等を取り扱う場合には、安全管理措置として特にどのような点に注意すればよいですか。
回答: 個人情報取扱事業者は、法第23条に基づき個人データについて安全管理措置を講ずることが義務付けられています。カメラ画像・顔特徴データ等が個人データに該当する場合には、その性質（特に、顔特徴データは不変性が高く、個人の行動の追跡が可能となること等）も踏まえ、当該個人データの漏えい、滅失又は毀損の防止その他の安全管理のために必要かつ適切な措置を講じなければならず、具体的には組織的安全管理措置、人的安全管理措置、物理的安全管理措置、技術的安全管理措置、外的環境の把握として、例えば以下のような措置が考えられます。
出典: 個人情報保護委員会
質問: 基本方針の策定は義務ですか。またこれを公表することは義務ですか。
回答: 基本方針の策定は、義務ではありませんが、個人データの適切な取扱いの確保について組織として取り組むために、策定することが重要です。なお、基本方針を策定した場合に、これを公表することを義務付けるものではありません。
出典: 個人情報保護委員会
質問: 「個人データの取扱状況を確認する手段の整備」に関して、いわゆる「個人情報取扱台帳」のようなものを作成しなければいけませんか。
回答: この項目について、講じていただく必要があるのは、個人データの取扱状況を確認できるように手段を整備することであるため、いわゆる「個人情報取扱台帳」を作成することが義務付けられているわけではありません。
出典: 個人情報保護委員会
質問: 「取扱状況の把握及び安全管理措置の見直し」について、手法の例示として「監査を実施する」とありますが、実施に当たって参考となるような規格はありますか。
回答: 例えば、「マネジメントシステム監査指針 JIS Q19011（ISO 19011）」に準拠した監査を行うことが考えられますが、これに限られるわけではありません。
出典: 個人情報保護委員会
質問: 「従業者の教育」について、研修の頻度はどの程度とすることが適切ですか。
回答: 研修の頻度は、事業者の規模や取り扱う個人データの性質・量等によっても異なり得るため、それらを踏まえて適切に判断いただく必要がありますが、適切な内容の研修であれば、年１回程度でも少ないとはいえないと考えられます。
出典: 個人情報保護委員会
質問: 従業者との雇用契約において守秘義務を定めたり、派遣社員の派遣元との間の契約において派遣社員の守秘義務を定めることは義務付けられますか。
回答: 人的安全管理措置として、義務付けられるわけではありません。ただし、人的安全管理措置及び従業者の監督（法第 21 条）の一環として、従業者との雇用契約において守秘義務を定める等の対応を取ることも、有効な取組と考えられます。なお、関係業法において守秘義務が定められている場合もあるため、留意が必要です。
出典: 個人情報保護委員会
質問: 「従業者の教育」としての研修は、全従業者を一堂に集めて講義形式で行う必要がありますか。
回答: 個人データの安全管理に関して留意すべき事項は、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等によって異なり得ますので、研修の形式も個人情報取扱事業者ごとに異なり得るものと考えられます。全従業者を対象とした講義形式による研修も含まれ得ますが、これに限られるものではなく、部署ごとに個人データの取扱いに関する責任者からの講話形式、eラーニング形式、標的型メールを疑似体験する形での訓練形式など、様々な形式が考えられます。
出典: 個人情報保護委員会
質問: 「個人データを取り扱う区域の管理」に関して、個人データを取り扱う場所は、全て厳格な入退室管理を実施する必要がありますか。
回答: 個人データを取り扱う区域の管理として、常に入退室管理の実施が求められるわけではありませんが、個人情報データベース等を取り扱うサーバやメインコンピュータ等の重要な情報システムを管理する区域（管理区域）については、入退室管理の実施、承認されていない記録媒体やカメラ等の持込の制限等が有効な取組と考えられます。
出典: 個人情報保護委員会
質問: 「座席配置の工夫」「のぞき込みを防止する措置」「個人データを取り扱うことのできる従業者及び本人以外が容易に個人データを閲覧等できないような措置」とは、例えばどのような措置が該当しますか。
回答: 具体的には、以下のような措置が該当すると考えられます。
出典: 個人情報保護委員会
質問: 紙でしか個人情報を管理していない場合も、技術的安全管理措置を講じる必要がありますか。
回答: ガイドライン（通則編）で定めている技術的安全管理措置は、情報システムを使用して個人データを取り扱う場合に講じなければならないものであるため、紙でのみ個人情報を管理している場合には、技術的安全管理措置を講じる必要はありません。
出典: 個人情報保護委員会
質問: 「アクセス制御」を講じるための手法は、ガイドライン（通則編）で示されている以外にどのようなものが考えられますか。
回答: ガイドライン（通則編）に示した手法を具体的に記述したものも含めて、例えば、次のような手法が考えられます。
出典: 個人情報保護委員会
質問: 「アクセス者の識別と認証」を講じるための手法は、ガイドライン（通則編） で示されている以外にどのようなものが考えられますか。
回答: ガイドライン（通則編）に示した手法を具体的に記述したものも含めて、例えば、次のような手法が考えられます。
出典: 個人情報保護委員会
質問: 「外部からの不正アクセス等の防止」を講じるための手法は、ガイドライン（通則編）で示されている以外にどのようなものが考えられますか。
回答: ガイドライン（通則編）に示した手法を具体的に記述したものも含めて、例えば、次のような手法が考えられます。
出典: 個人情報保護委員会
質問: 「情報システムの使用に伴う漏えい等の防止」を講じるための手法は、ガイドライン（通則編）で示されている以外にどのようなものが考えられますか。
回答: ガイドライン（通則編）に示した手法を具体的に記述したものも含めて、例えば、次のような手法が考えられます。
出典: 個人情報保護委員会
質問: 「外的環境の把握」について、「外国において個人データを取り扱う場合」とは、どのような場合ですか。
回答: 例えば、以下に掲げるような場合は、「外国において個人データを取り扱う場合」に該当するため、個人情報取扱事業者は、当該外国の個人情報の保護に関する制度等を把握した上で、安全管理措置を講じる必要があります。
出典: 個人情報保護委員会
質問: 「外的環境の把握」について、外国にある支店や営業所に個人データを取り扱わせる場合には、当該外国の個人情報の保護に関する制度等を把握する必要がありますか。外国にある従業者に個人データを取り扱わせる場合はどうですか。
回答: 個人情報取扱事業者は、外国にある支店や営業所に個人データを取り扱わせる場合、外国において個人データを取り扱うこととなるため、支店等が所在する外国の個人情報の保護に関する制度等を把握した上で、安全管理措置を講じる必要があります。
出典: 個人情報保護委員会
質問: 「外的環境の把握」について、外国にある第三者に個人データの取扱いを委託する場合には、当該外国の個人情報の保護に関する制度等を把握する必要がありますか。委託先が外国にある第三者に個人データの取扱いを再委託した場合はどうですか。
回答: 個人情報取扱事業者は、外国にある支店や営業所に個人データを取り扱わせる場合、外国において個人データを取り扱うこととなるため、支店等が所在する外国の個人情報の保護に関する制度等を把握した上で、安全管理措置を講じる必要があります。
出典: 個人情報保護委員会
質問: 「外的環境の把握」について、外国にある第三者の提供するクラウドサービスを利用し、その管理するサーバに個人データを保存する場合、当該外国の個人情報の保護に関する制度等を把握する必要がありますか。
回答: 外国にある第三者の提供するクラウドサービスを利用する場合において、クラウドサービス提供事業者が個人データを取り扱わないこととなっている場合には、個人データの第三者への「提供」には該当しませんが、個人情報取扱事業者は、自ら果たすべき安全管理措置の一環として、適切な安全管理措置を講じる必要があります（Ｑ７－53、Ｑ７－54、Ｑ12－３参照）。
出典: 個人情報保護委員会
質問: 個人情報取扱事業者等が個人情報保護法に違反した場合、どのような措置が採られるのですか。
回答: 個人情報取扱事業者、個人関連情報取扱事業者、仮名加工情報取扱事業者又は匿名加工情報取扱事業者（以下「個人情報取扱事業者等」という。）が、個人情報保護法の義務規定に違反し、不適切な個人情報、個人関連情報、仮名加工情報又は匿名加工情報（以下本項において「個人情報等」という。）の取扱いを行っている場合には、個人情報保護委員会は、必要に応じて、当該個人情報取扱事業者等その他の関係者に対して報告徴収・立入検査を実施し（法第146条）（※）、当該個人情報取扱事業者等に対して指導・助言を行い（法第147条）、また、勧告・命令を行う（法第148条）ことができます。
出典: 個人情報保護委員会
質問: 外国で活動する事業者ですが、日本国内にある者に対して音楽の配信サービスを提供するために本人から個人情報を取得する場合、その個人情報の取扱いについて個人情報保護法は適用されますか。また、日本国内の別の事業者から個人情報を取得する場合はどうなりますか。
回答: 法第171条に基づき、外国にある個人情報取扱事業者等が、日本の居住者等の日本国内にある者に対する物品やサービスの提供に関連して、日本国内にある者を本人とする個人情報、当該個人情報として取得されることとなる個人関連情報又は当該個人情報を用いて作成された仮名加工情報若しくは匿名加工情報を、外国において取り扱う場合には、個人情報保護法が適用されます。
出典: 個人情報保護委員会
質問: 外国で活動する事業者で、日本を含む各国にある者に対してサービスを提供しており、当該サービス提供のため各本人から個人情報を取得しています。日本国内の利用者の個人データを含む漏えい等事案が生じた場合、漏えい等事案が発覚した場合に講ずべき措置を講ずるとともに、漏えい等事案の報告及び本人への通知を行う必要がありますか。
回答: 外国にある個人情報取扱事業者が、日本の居住者等の日本国内にある者に対する物品又はサービスの提供に関連して、日本国内にある者を本人とする個人情報を外国において取り扱う場合には、個人情報保護法の域外適用の対象となり、法第23条（安全管理措置）や法第26条（漏えい等の報告等）も適用されます（法第171条）。
出典: 個人情報保護委員会
質問: 外国で活動する事業者ですが、日本国内の事業者から、日本国内のユーザー向けのアプリの開発・運営のため、日本国内のユーザーを本人とする個人データの取扱いの委託を受けました。この場合、外国の事業者が委託に伴って取得した個人データの取扱いについて個人情報保護法は適用されますか。
回答: 外国にある個人情報取扱事業者が、日本の居住者等の日本国内にある者に対する物品又はサービスの提供に関連して、日本国内にある者を本人とする個人情報を外国において取り扱う場合には、個人情報保護法の域外適用の対象となります（法第171条）。
出典: 個人情報保護委員会
質問: 個人情報保護法の適用除外とはどのような制度ですか。
回答: 個人情報取扱事業者等のうち、憲法上保障された自由（表現の自由、信教の自由、政治活動の自由）に関わる以下の主体が以下の活動のために個人情報等を取り扱う場合には、その限りにおいて、個人情報取扱事業者等の義務は適用されません（法第57条第１項）。
出典: 個人情報保護委員会
質問: 大学等の学術研究機関等と民間企業や私立病院等が、学術研究目的の研究を共同で行う場合における個人情報の取扱いに関して留意すべき点を教えてください。
回答: 個人データを第三者に提供する場合には、原則として、あらかじめ本人の同意を得る必要がありますが（法第27条第１項柱書）、法第16条第８項に規定する学術研究機関等が共同研究を行う第三者（学術研究機関等であるか否かを問いません。）に対して個人データを学術研究目的で提供する必要がある場合（法第27条第１項第６号）や、個人情報取扱事業者が個人データを学術研究目的で取り扱う必要がある学術研究機関等に対して提供する場合（同項第７号）は、個人の権利利益を不当に侵害するおそれがない限り、法第27条第１項柱書に規定する本人の同意を得ずに個人データを提供することができます。
出典: 個人情報保護委員会
質問: 委託は法第27条第１項の第三者提供に当たらないとされていますが、外国にある第三者に個人データの取扱いを委託する場合は、法第28条第１項に基づいて「外国にある第三者への個人データの提供を認める」旨の本人の同意を得る必要がありますか。
回答: 個人情報取扱事業者が、外国にある第三者に個人データを提供する場合には、以下の①から③までのいずれかに該当する場合を除き、法第28条第１項に基づきあらかじめ「外国にある第三者への個人データの提供を認める」旨の本人の同意を得る必要があります。この点は、外国にある第三者に個人データの取扱いを委託する場合も同様です。
出典: 個人情報保護委員会
質問: 「我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国」はどこですか。
回答: 様々な国において制度の見直しが行われていることもあり、また、詳細かつ多角的な調査・検討が必要であることから、今後、継続的に検討します。
出典: 個人情報保護委員会
質問: 外国にあるサーバに個人データを含む電子データを保存することは外国にある第三者への提供に該当しますか。
回答: 当該サーバの運営事業者が、当該サーバに保存された個人データを取り扱わないこととなっている場合には、外国にある第三者への提供（法第 24 条）に該当しません。
出典: 個人情報保護委員会
質問: 外国にある事業者が運営するクラウドを利用していますが、サーバは国内にある場合、外国にある第三者への提供に該当しますか。
回答: 当該サーバを運営する外国にある事業者が、当該サーバに保存された個人データを取り扱っている場合には、サーバが国内にある場合であっても、外国にある第三者への提供（法第28条第１項）に該当します。ただし、当該サーバを運営する外国にある事業者が、当該サーバに保存された個人データを日本国内で取り扱っており、日本国内で個人情報データベース等を事業の用に供していると認められる場合には、外国にある第三者への提供（法第28条第１項）に該当しません（ガイドライン（外国にある第三者への提供編）２－２参照）。
出典: 個人情報保護委員会
質問: 国内事業者が外国事業者に個人データを提供する場合、当該外国事業者が日本に出張所を有する場合、「外国にある第三者」に提供したこととなりますか。
回答: 個人データの提供先が個人情報取扱事業者に該当する場合には、「外国にある第三者」に提供したこととはなりません。個人情報取扱事業者の該当性は、事業の実態を勘案して、日本国内で個人情報データベース等を事業の用に供していると認められるか否かを個別の事例ごとに判断することとなるため、国内に出張所を有することのみをもって当該外国事業者が個人情報取扱事業者に該当するわけではありません。
出典: 個人情報保護委員会
質問: 施行規則第 16 条第１号では、「個人情報取扱事業者と個人データの提供を受ける者との間」で適切かつ合理的な方法により措置の実施を確保することとされています。国内にある事業者 A が外国にある事業者との間で、A のグループ会社の個人データの取扱いに係る委託契約を締結していますが、A の子会社であり、A と同じ内規等が適用される国内にある事業者 B が、当該外国にある事業者に対して委託に伴って個人データを提供する場合、当該委託契約及び当該内規等は「適切かつ合理的な方法」に該当しますか。
回答: 当該委託契約及び当該内規等によって、個人データの提供先である外国にある第三者が、我が国の個人情報取扱事業者の講ずべきこととされている措置に相当する措置を継続的に講ずることを実質的に担保することができる場合には、適切かつ合理的な方法に該当するものと考えられます。
出典: 個人情報保護委員会
質問: 提供先の外国にある第三者が施行規則第16条に定める基準に適合する体制を整備していることを根拠として個人データを提供した後、当該提供先がさらに別の「第三者」（再提供先）に個人データを提供する場合、当該提供先が施行規則第16条に定める基準に適合する体制を整備しているといえるためには、どのような措置の実施が確保される必要がありますか。当該「第三者」（再提供先）が当該提供先と同一国内にある者等の外国にある者であるときと、当該「第三者」（再提供先）が日本にある者であるときで、実施が確保されるべき措置が変わりますか。
回答: 法第28条第１項の「外国」は、本邦の域外にある国又は地域（我が国と同等の水準にあると認められる個人情報保護制度を有している国として施行規則第15条で定める国（※）を除きます。以下本項において同じ。）を指します。
出典: 個人情報保護委員会
質問: 外国にある第三者に対して、提供元において氏名を削除するなどして個人を特定できないようにして当該提供先にとっては個人情報に該当しないデータの取扱いを委託し、当該提供先が個人情報に復元することがないような場合においても、法第28条第１項により、あらかじめ「外国にある第三者への個人データの提供を認める」旨の本人の同意を得る必要がありますか。
回答: 提供先の外国にある第三者にとって個人情報に該当しないデータの取扱いを委託する場合において、委託契約において当該提供先が元となった個人情報を復元しないことが定められている等、当該提供先が元となった個人情報に係る本人を識別しないこととなっているときは、結果として、施行規則第16条で定める基準に適合する体制を整備しているものと解されます。
出典: 個人情報保護委員会
質問: 日本法人の外国支店と取引があり、当該外国支店に対して個人データの提供を行う予定ですが、当該外国支店に対する個人データの提供は、外国にある第三者への提供に該当しますか。
回答: 個別の事案ごとに判断する必要がありますが、国内にある個人情報取扱事業者が、他の日本法人の外国支店に直接個人データを提供する場合には、当該外国支店への個人データの提供は、外国にある第三者への提供（法第28条第１項）に該当し得ると考えられます。（令和３年９月追加）
出典: 個人情報保護委員会
質問: 法第28条第２項の規定による本人への情報提供の方法として、必要な情報が掲載されたWebページのURLを本人に対して提供することは認められますか。
回答: 個別の事案ごとに判断されますが、例えば、施行規則第17条第２項から第４項までの規定により求められる情報が掲載されたWebページが存在する場合に、当該WebページのURLを自社のホームページに掲載し、当該URLに掲載された情報を本人に閲覧させる方法も、施行規則第17条第１項における「適切な方法」に該当すると考えられます。
出典: 個人情報保護委員会
質問: 提供先の外国にある第三者は、A国に所在していますが、B国にサーバを設置しており、当該第三者に個人データを提供した場合には、当該サーバにおいて保存されることになります。この場合、施行規則第17条第２項第１号の「当該外国の名称」として提供すべき名称は、どちらになりますか。
回答: 施行規則第17条第２項第１号の「当該外国の名称」における外国とは、提供先の第三者が個人データを保存するサーバが所在する外国ではなく、提供先の第三者が所在する外国をいうため、A国の名称を情報提供する必要があります。
出典: 個人情報保護委員会
質問: 施行規則第17条第２項第３号の「当該第三者が講ずる個人情報の保護のための措置に関する情報」を確認する方法として、どのような方法が考えられますか。
回答: 個別の事案ごとに判断する必要がありますが、例えば、提供先の外国にある第三者に確認する方法や、提供先の外国にある第三者との間で締結している契約において、当該第三者による個人データの取扱いについて定めている場合に、当該契約を確認する方法等が考えられます。（令和３年９月追加）
出典: 個人情報保護委員会
質問: 法第28条第２項に基づく情報提供を行った上で、外国にある第三者への個人データの提供を認める旨の本人の同意を得て外国にある第三者に個人データを提供した後に、当該外国における個人情報の保護に関する制度の改正があった場合、本人に対して、改正後の制度に関する情報を提供した上で、再度同意を得る必要がありますか。
回答: 施行規則第17条第２項第２号の「外国における個人情報の保護に関する制度に関する情報」は、一般的な注意力をもって「適切かつ合理的な方法」により確認したものである必要がありますが、「適切かつ合理的な方法」により確認を行った「外国における個人情報の保護に関する制度に関する情報」を提供した上で外国にある第三者への個人データの提供を認める旨の本人の同意を取得した後に、当該外国における個人情報の保護に関する制度についての変更があった場合であっても、既に取得された同意の有効性には影響を及ぼさないものと考えられます。
出典: 個人情報保護委員会
質問: 外国の事業者に対して個人データの取扱いを委託する予定であるものの、法第28条第1項の本人の同意を得ようとする時点において、具体的な委託先が定まっていません。この場合、施行規則第17条第３項の「前項第１号に定める事項が特定できない場合」に該当しますか。また、同条第４項の「第２項第３号に定める事項について情報提供できない場合」に該当しますか。
回答: 法第28条第２項の趣旨は、外国にある第三者への個人データの提供がなされる場合に、当該外国における個人情報の保護に関する制度や当該第三者が講ずる個人情報の保護のための措置に関する差異に起因するリスクについて、本人の予測可能性を高める点にあります。そのため、提供先の第三者及び当該第三者が所在する外国を特定した上で、本人に対する情報提供を行うことが原則です。
出典: 個人情報保護委員会
質問: 提供先の外国にある第三者が施行規則第16条に定める基準に適合する体制を整備していることを根拠として個人データを提供しました。法第28条第３項に基づいて当該第三者による相当措置の実施状況等を確認する等の義務は、いつまで履行する必要がありますか。当該第三者との契約が解除された場合はどうですか。
回答: 提供先の外国にある第三者が施行規則第16条に定める基準に適合する体制を整備していることを根拠として個人データを提供した場合、提供元の個人情報取扱事業者は、当該第三者において当該個人データの取扱いが継続する限り、法第28条第３項に基づく措置等を講ずる必要があり、かかる義務は、提供元の個人情報取扱事業者と当該第三者との間の契約等が解除された場合でも、免除されるものではありません。（令和３年９月追加）
出典: 個人情報保護委員会
質問: 個人情報取扱事業者が、国内にある委託先に個人データの取扱いを委託した後、委託先が外国にある再委託先に対して、当該再委託先が施行規則第16条に定める基準に適合する体制を整備していることを根拠として個人データを提供した場合、法第28条第３項の義務が課される主体は誰ですか。
回答: 個別の事案ごとに判断されますが、委託元の個人情報取扱事業者が国内にある事業者である委託先に対して法第27条第５項第１号に基づき個人データの取扱いを委託し、当該委託先が委託に伴って取得した当該個人データを、外国にある事業者に対して再委託に伴って再提供した場合において、委託先である国内にある事業者と再委託先である外国にある事業者との間の契約等により、施行規則第16条第１号の基準を満たすための「法第４章第２節の規定の趣旨に沿った措置」の実施が確保されている場合には、法第28条第３項の義務は、委託先に課されると考えられます。
出典: 個人情報保護委員会
質問: 提供先の第三者が所在する外国において施行規則第18条第１項第１号の「相当措置の実施に影響を及ぼすおそれのある当該外国の制度」が存在する場合には、直ちに当該第三者による「相当措置の継続的な実施の確保が困難となったとき」（施行規則第18条第１項第２号）に該当し、当該第三者への個人データの提供を停止する必要がありますか。
回答: 一般に、提供先の第三者が所在する外国において、「相当措置の実施に影響を及ぼすおそれのある当該外国の制度」が存在する場合においても、当該制度の存在自体により、直ちに外国にある第三者による「相当措置の継続的な実施の確保が困難となった場合」に該当するものではなく、当該第三者による個人データの取扱状況や、当該制度の運用の状況等を踏まえて、外国にある第三者による相当措置の継続的な実施の確保が困難となったか否かを個別の事案ごとに判断する必要があると考えられます。（令和３年９月追加・令和４年４月更新）
出典: 個人情報保護委員会
質問: 提供先の外国にある第三者が施行規則第16 条に定める基準に適合する体制を整備していることを根拠として、事前の本人の同意を得ずに当該外国にある第三者に対して個人データの提供を行った場合、提供先の外国にある第三者による相当措置の実施状況について、当該外国に所在する提供元のグループ企業が提供先の第三者を訪問することや提供先の第三者から書面の提出を受けること等により、契約等の履行状況等を確認することで足りますか。
回答: 提供先の外国にある第三者による相当措置の実施状況については、当該外国にある第三者に提供する個人データの内容や規模に応じて、適切かつ合理的な方法により、定期的に確認する必要があります（施行規則第18 条第１項第１号）。具体的な確認の方法については、個別の事案における具体的な事情も踏まえて決定すべきものですが、当該外国に所在する提供元のグループ企業が、提供先の第三者を訪問することや提供先の第三者から書面の提出を受けること等により、契約等の履行状況等を確認した上で、提供元が、当該グループ企業から書面により相当措置の実施状況の共有を受けて確認することも、適切かつ合理的な方法に該当し得ると考えられます。（令和５年３月追加）
出典: 個人情報保護委員会
質問: 提供先の外国にある第三者が施行規則第 16 条に定める基準に適合する体制を整備していることを根拠として個人データを提供した後、当該外国にある第三者による相当措置の継続的な実施の確保が困難となった場合、当該外国にある第三者に対して既に提供した個人データについて、返還又は削除を求める必要がありますか。
回答: 提供先の外国にある第三者が施行規則第 16 条に定める基準に適合する体制を整備していることを根拠に、当該提供先に対して個人データの提供を行った場合において、当該提供先による相当措置の実施に支障が生じた場合には、当該支障の解消又は改善のために「必要かつ適切な措置」を講ずることが求められます（施行規則第 18 条第１項第２号）。
出典: 個人情報保護委員会
質問: 法第28条第３項の規定による必要な措置に関する情報の本人への提供の方法として、必要な情報が掲載されたWeb ページのURLを本人に対して提供することは認められますか。
回答: 個別の事案ごとに判断されますが、例えば、施行規則第18条第３項の規定により求められる情報が掲載された Web ページが存在する場合に、当該 Web ページのURLを本人に対して提供する方法も、改正後の施行規則第18 条第２項における「適切な方法」に該当すると考えられます。（令和３年９月追加）
出典: 個人情報保護委員会
質問: 施行規則第18条第３項各号に掲げる情報の提供を行う前提として、本人に関する情報を特定するのに手間と時間がかかりますが、この場合、同項ただし書きの「情報提供することにより当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合」に該当しますか。
回答: 施行規則第18条第３項の「著しい支障を及ぼすおそれ」に該当する場合とは、個人情報取扱事業者の業務の実施に単なる支障ではなく、より重い支障を及ぼすおそれが存在するような例外的なときに限定され、単に開示すべき情報の量が多いという理由や、特定に手間や時間がかかるという理由のみでは、一般には、これに該当しないと考えられます。（令和３年９月追加）
出典: 個人情報保護委員会
質問: 市販の電話帳を取得した際にも、確認・記録義務は適用されますか。
回答: 一般に市販の電話帳は個人情報データベース等に該当しないため、取得する際に確認・記録義務は適用されません。
出典: 個人情報保護委員会
質問: 外国にある第三者に個人データを提供する場合、法第 25 条に基づく記録を作成しなければなりませんか。また、この場合において、提供者は、法第 24条・施行規則第 11 条の２第１号との関係において、当該第三者からさらに別の第三者に提供する場合に記録を作成するように措置を講じなければなりませんか。
回答: 外国にある第三者に個人データを提供する場合でも、原則として、法第 25 条に基づく記録義務は適用されます。具体的には、ガイドライン（第三者提供時の確認・記録 義務編）２－１－２の【外国にある第三者に個人データを提供する場合の記録義務の適用】のとおりです。
出典: 個人情報保護委員会
質問: 訴訟代理人の弁護士・裁判所に、訴訟の相手方に係る個人データを含む証拠等を提出する場合、記録をしなければなりませんか。
回答: 訴訟追行のために、訴訟代理人の弁護士・裁判所に、訴訟の相手方に係る個人データを含む証拠等を提出する場合は、「財産の保護のために必要がある」といえ、かつ、一般的に当該相手方の同意を取得することが困難であることから、法第 23 条第１項第２ 号に該当し得るものであり、その場合には記録義務は適用されないものと考えられます。
出典: 個人情報保護委員会
質問: 顧客からグループ会社の紹介を求められたため、当該顧客本人の氏名・住所等の連絡先等を、当該グループ会社に提供する場合は、記録を作成しなければなりませんか。
回答: 本人に代わって個人データを第三者提供しているため、記録義務は適用されません。なお、提供を受けた会社においても、確認・記録義務は適用されません。
出典: 個人情報保護委員会
質問: 取引先 A 社からの依頼に基づき、取引先 B 社の窓口担当者の氏名・連絡先等を、同窓口担当者の同意を得て、A 社に伝達する場合、記録を作成しなければなりませんか。
回答: 本人に代わって個人データを第三者提供しているため、記録義務は適用されません。なお、提供を受けた取引先 A 社においても、確認・記録義務は適用されません。
出典: 個人情報保護委員会
質問: A 社が、自己の提供する役務と B 社の提供する別の役務とをセットで販売して、B 社に購入者の個人データを提供する場合、記録を作成しなければなりませんか。
回答: 本人に代わって個人データを第三者提供しているため、記録義務は適用されません。なお、提供を受けた B 社においても、確認・記録義務は適用されません。
出典: 個人情報保護委員会
質問: 小売業者 A は、顧客から製品の注文を受けた場合に、当該製品のメーカーに、当該顧客の氏名・住所を伝え、当該メーカーから当該製品を当該顧客に送付しているところ、当該メーカーへの個人データの提供につき、記録を作成しなければなりませんか。（なお、小売業者 A とメーカー間には委託契約はない。また、小売業者 A と顧客との契約書には、メーカーから当該製品が直接送付される旨が規定されている。）
回答: 本人に代わって個人データを第三者提供しているため、記録義務は適用されません。なお、提供を受けたメーカーにおいても、確認・記録義務は適用されません。
出典: 個人情報保護委員会
質問: 個人データの提供先の第三者を個別に明示していなければ、本人に代わって提供しているものと評価されませんか。
回答: 提供先の事業者名を個別に明示していない場合においても、本人からの委託等 の内容、提供の客体である個人データの内容、提供するとき等の要素を総合的に考慮して、当該提供を具体的に特定できている場合には、本人に代わって提供しているものと評価  されることもあり得ます。
出典: 個人情報保護委員会
質問: 会社間で代表取締役の名義で締結する契約書面を事務担当者間で授受する際、代表取締役の氏名に係る個人データを第三者提供しているものとして、記録を作成しなければなりませんか。
回答: 機関としての代表者の氏名を提供する行為は、確認・記録義務が適用される第三者提供には該当しないものと考えられます。
出典: 個人情報保護委員会
質問: 顧客が別の者を指定して、自己に連絡をする際は指定した者を通すようにと事業者に要請していた場合、その連絡内容に当該顧客に係る個人データが含まれていたときは、当該者に第三者提供をしたものとして、記録を作成しなければなりませんか。
回答: 本人と一体と評価できる関係にある者に提供しているものとして、記録義務は適用されません。
出典: 個人情報保護委員会
質問: 後見人の他に、保佐人、補助人も、「本人と一体と評価できる関係にある者」と評価することはできますか。
回答: 家庭裁判所から選任された保佐人、補助人の権限の範囲内で個人データの提供が行われる場合には、「本人と一体と評価できる関係にある者」に該当するものと考えられます。
出典: 個人情報保護委員会
質問: 従業員の口座に給与を振り込む際も、記録義務は適用されますか。
回答: 従業員の口座に給与を振り込む場合は、提供者が、最終的に本人に提供することを意図した上で、受領者を介在して提供を行っているものであるので、記録義務は適用されないものと考えられます。
出典: 個人情報保護委員会
質問: 公開情報を収集してデータベース化している事業者から当該情報の提供を受ける場合は、元の情報が公開情報であることから確認・記録義務は適用されませんか。
回答: データベースの内容が、「不特定多数の者が取得できる公開情報」である場合には、当該データベースの提供を受ける行為については、確認・記録義務は適用されません。
出典: 個人情報保護委員会
質問: 顧客から、当該顧客の配偶者の紹介を受ける行為について、確認・記録義務が適用されますか。
回答: 受領者にとって個人データに該当しない個人情報を受領したものと考えられ、確認・記録義務は適用されません。
出典: 個人情報保護委員会
質問: 顧客から別の者を紹介してもらう場合に、１名ではなく、夫婦・家族の連絡先をまとめて紹介される場合においても、個人データに該当しないときであれば、第三者提供の確認・記録義務の対象になりませんか。
回答: 第三者から複数の個人情報の提供を受ける場合であっても、個人データに該当しない場合には、確認・記録義務は適用されません。
出典: 個人情報保護委員会
質問: 電話や口頭で個人情報を聞いた場合には、確認・記録義務は適用されますか。
回答: 個人データに該当しない個人情報を取得した場合には、確認・記録義務は適用されません。
出典: 個人情報保護委員会
質問: 個人データの第三者提供を受ける際に、受領者にとって「個人データ」に該当しない場合、法第 26 条に加えて、他の法第４章第１節に規定される条文も適用されませんか。
回答: 受領者にとって個人データに該当しない場合であっても、個人情報に該当するときは、個人情報に係る規定である法第17条から第21条まで及び第40条の規定を遵守する必要があります。
出典: 個人情報保護委員会
質問: データベース業者と契約を締結し、ネットワークで繋がった上で、当該データベース業者のデータベースを自己の端末で参照し、そのデータベースの内容は当該データベース業者が随時更新を行う場合において、それを利用する事業者に確認・記録義務は適用されますか。
回答: データベース業者が自己の支配下で管理しているデータベースを単に参照する場合には、確認・記録義務は適用されません。
出典: 個人情報保護委員会
質問: 本人以外の者（「当初の提供元」）から個人データの提供を受けた場合において、あらかじめ公表している利用目的の範囲内で、後日、当初の提供元に対して、同じ内容の個人データを提供するとき、確認・記録義務は適用されますか。
回答: 当初の提供の際に作成した記録の枠内であれば、改めて、確認・記録義務は適用されません。なお、当初に作成した記録の範囲内にとどまらず、実質的に新規の第三者提供と同視される場合は、確認・記録義務が適用されるものと考えられます。
出典: 個人情報保護委員会
質問: 金融機関から債権の買取りを行うに際して、当該金融機関と守秘義務契約を締結して入札に参加する場合において、債権譲受候補者が当該金融機関から提供を受けた債務者データ（個人データ）を利用して譲渡対象債権のデューデリジェンスを行って入札価格を提示したものの、落札に至らなかったために、守秘義務契約に基づき当該データを速やかに削除する例においては、当該候補者は確認・記録義務を履行する必要がありますか。
回答: かかる例においては、その提供の形態は実質的に委託又は事業承継に類似するものと認められ、また、提供者・受領者間において契約により提供の対象となる個人データを削除することとなっているものであり、その他確認・記録義務を課すべき特段の事情がないものといえ、当該候補者に確認・記録義務は適用されないものと考えられます。
出典: 個人情報保護委員会
質問: オプトアウトによる第三者提供について、確認・記録義務が適用されない場面はありますか。
回答: ありません。
出典: 個人情報保護委員会
質問: 第三者から個人データの提供を受ける際は、代表取締役の氏名を確認しなければなりませんか。
回答: 法第 26 条第１項第１号の「代表者」には、代表権を有する者の他、確認の対象となる第三者提供を業務として執行する権限を有している者も含まれます。
出典: 個人情報保護委員会
質問: 「取得の経緯」を対面又は電話により口頭で確認する方法は認められますか。
回答: 口頭で申告を受ける方法も否定されませんが、法第 17 条第１項に抵触しないことが担保されるように、正確に確認し、法第 26 条第３項に基づき記録を作成しなければならない点に留意する必要があります。
出典: 個人情報保護委員会
質問: 取得の経緯を確認する際に、本人が署名した同意書面を確認することをもって取得の経緯を確認し、その旨を記録する場合に、同時に本人の同意が有る旨の記録として取り扱ってもよいですか。
回答: 取得の経緯を確認・記録をする場合において、当該記録が「本人の同意を得ている旨」を含むものであるときは、施行規則第 13 条第１項第２号イの記録とすることもできます。
出典: 個人情報保護委員会
質問: 記録を作成するに当たって、台帳のようなものを用意する必要はありますか。
回答: 既存の契約書などで記録事項を充たしている場合は、それらが記録として認められます。したがって、事業者は、別途、台帳のようなものを用意する必要はありませんが、保存義務を履行するために、明確にする必要があります。
出典: 個人情報保護委員会
質問: 個人データを提供先にデータ伝送している場合、伝送日時、伝送先などのログを記録とすることはできますか。
回答: ログを記録とすることは認められます。
出典: 個人情報保護委員会
質問: 継続的に又は反復して個人データを授受することを内容とする基本契約書に加えて、当該基本契約書に付帯する資料などをあわせて、施行規則第 12 条第２項・第 16 条第２項に基づく記録とすることはできますか。
回答: 最初に基本契約書に記録を作成し、継続的に又は反復して個人データを授受する対象期間内に、随時、提供される個人データによって識別される本人の氏名に係る記録を、別途、当該基本契約書に付帯する資料などをもって作成する方法も認められるものと考えられます。
出典: 個人情報保護委員会
質問: 「契約書その他書面」（施行規則第 12 条第３項・第 16 条第３項）には、原本のみならず、写しも含まれますか。
回答: 「契約書その他書面」には、原本のみならず、写しも含まれます。
出典: 個人情報保護委員会
質問: 同意書をもって記録とする方法を採用する場合、代表者氏名以外については同意書により記録し、代表者氏名については有価証券報告書の記載箇所を記録として用いる又は補記する等の対応は可能ですか。
回答: 全体として一つの記録として保存されていれば、認められるものと考えられます。
出典: 個人情報保護委員会
質問: 提供者にとって個人データに該当するが受領者にとって個人データでないため、提供者のみに記録義務が生じる場合においても、受領者が提供者の記録義務の全部又は一部を代行して行うことは妨げられないという理解でよいですか。
回答: 自身は確認・記録義務を負わない受領者が、提供者の記録義務を代行することはできるものと考えられます。
出典: 個人情報保護委員会
質問: 代行により記録を作成する方法を採用する場合に、代行させる者（委託者）及び代行を行う者（受託者）との間では、契約書等において、代行させる旨の規定を置くことは必須ですか。
回答: 契約書等において、代行させる旨の規定を置くことは必須ではありません。
出典: 個人情報保護委員会
質問: 確認・記録義務の履行のために個人データを保存する場合は、消去義務（法第 19 条）に違反しませんか。また、利用目的の特定・通知等をしなければなりませんか。
回答: 個人情報取扱事業者は、個人データを利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければなりませんが、確認・記録義務の履行のために個人データを保存する場合は、この限りではないものと考えられます。また、利用目的の特定・通知等は不要です。
出典: 個人情報保護委員会
質問: 「同意の存在を明示的に又は黙示的に示す証跡等」には、①本人による同意する旨のホームページ上のボタンのクリックに係るシステムログ、②ホームページの構造上、個人情報を取得する直前に必ず本人による同意をする旨のホームページ上のボタンのクリックが必須となっていること（ボタンクリックによる同意を経なければ取得できない）は、該当しますか。
回答: いずれも「同意の存在を明示的に又は黙示的に示す証跡等」に該当します。
出典: 個人情報保護委員会
質問: 対象となる複数の本人の記録を一体として作成する際に、保存期間は個々の個人ごとに計算するものですか。
回答: 対象となる複数の本人の記録を一体として作成した場合も、保存期間は個々の個人ごとに計算することとなります。例えば、施行規則第 12 条第２項・第 16 条第２項に基づく記録を作成した場合は、個々の個人ごとに最後に当該記録に係る個人データの提供を行なった日から起算して３年を経過する日までの間が保存期間となります（施行規則第 14 条第２号・第 18 条第２号）。
出典: 個人情報保護委員会
質問: 複数の対象者の個人データについて、毎週、同様の提供が行われることから、一つのファイルに翌月１日に前月の分を一括して記録を作成する方法によ り記録を作成している場合において、2018 年１月に本人 X について提供が行われ 2018 年２月１日に記録がなされ、2019 年１月に本人 Y について提供 が行われ、2019 年２月１日に記録がなされた場合、X 及びY についての保存 期間はどのように考えられますか。
回答: 「記録を作成した日」が起算点となります。よって、Ｘについての記録の部分は、2021 年２月１日まで、Ｙについての記録の部分は 2022 年２月１日までが保存期間となります。
出典: 個人情報保護委員会
質問: 匿名加工情報と仮名加工情報の違いは何ですか。
回答: 匿名加工情報は、特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたもの（法第２条第６項）です。「個人情報」（法第２条第１項）に該当せず、本人の同意を得ずに第三者に提供することが可能です（匿名加工情報の取扱いに係る義務等については、ガイドライン（仮名加工情報・匿名加工情報編）３－２参照）。
出典: 個人情報保護委員会
質問: 個人情報である仮名加工情報と個人情報でない仮名加工情報とは何ですか。
回答: 仮名加工情報取扱事業者が、仮名加工情報の作成の元となった個人情報や当該仮名加工情報に係る削除情報等を保有している等により、当該仮名加工情報が「他の情報と容易に照合することができ、それにより特定の個人を識別することができる」状態にある場合には、当該仮名加工情報は、「個人情報」（法第２条第１項）に該当します。
出典: 個人情報保護委員会
質問: 法第41条第１項・施行規則第31条に定める基準に従わずに個人情報を加工したものを仮名加工情報として取り扱うことは認められますか。
回答: 仮名加工情報を作成するためには、法第41条第１項に基づき、施行規則第31条各号で定める基準に従い加工する必要があります。具体的には個別に判断されることとなりますが、これらの基準に従い加工が行われていない場合については、仮名加工情報に該当しないものと考えられます。
出典: 個人情報保護委員会
質問: 個人情報を、安全管理措置の一環等としてマスキング等によって仮名化した場合、仮名加工情報として取り扱う必要がありますか。
回答: 仮名加工情報を作成するためには、仮名加工情報作成の意図を持って、法第41条第１項に基づき、施行規則第31条各号で定める基準に従い加工する必要があります。
出典: 個人情報保護委員会
質問: 安全管理措置の一環等として、元の個人情報とは別に、元の個人情報から氏名等の一部の記述等を削除した情報を作成し、引き続き個人情報として取り扱っていますが、このように仮名化された個人情報から仮名加工情報を作成するためには、どのような措置を講ずる必要がありますか。
回答: 既に仮名化された個人情報について、施行規則第31条各号で定める基準を満たす加工がなされていない場合には、これを満たすよう更なる加工を行う必要があります（法第41条第１項）。
出典: 個人情報保護委員会
質問: 要配慮個人情報を含む個人情報から仮名加工情報を作成することは認められますか。
回答: 法第２条第３項に定める要配慮個人情報を含む個人情報を加工して仮名加工情報を作成することも可能です。
出典: 個人情報保護委員会
質問: 氏名や住所、年齢、性別などの記述が含まれていた場合は必ず全ての記述について削除等の措置が必要になりますか。
回答: 氏名のようにそれ単体で特定の個人を識別できるものについては措置が必要となりますが、住所、年齢、性別などのその組合せにより特定の個人を識別できるような記述については、その一部を削除等することにより特定の個人を識別できないようにすることも可能であると考えられます。
出典: 個人情報保護委員会