mteb/JaGovFaqsRetrieval huggingface dataset:
個人データを第三者に提供する際には原則本人の同意が必要ですが、「人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき」は本人の同意は不要となっています（法第 27 条第１項第２号）。したがって、大規模災害等の緊急時に、人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるときには自治会等の個人情報取扱事業者が保有する個人データを本人の同意なく関係者等に提供することは可能と解されます。（平成 30 年７月追加）
災害対策基本法では、市町村長は、避難行動要支援者（※１）について、避難支援等を実施するための基礎となる名簿（避難行動要支援者名簿）を作成することが義務付けられているとともに、当該避難行動要支援者について避難支援等を実施するための計画（個別避難計画）を作成するよう努めなければならないこととされています。
個人データを第三者に提供する際には原則本人の同意が必要ですが（法第27条第１項本文）、「人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき」（法第23条第１項第２号）や、「公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき」（同項第３号）は、本人の同意は不要です。
個人情報取扱事業者は、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはなりませんが、公衆衛生の向上のために特に必要がある場合であって、本人の同意を得ることが困難であるときには、あらかじめ本人の同意を得ないで、個人データを第三者へ提供することが許容されています（法第27条第１項第３号）。
オプトアウト届出を行っている個人情報取扱事業者が内部で独自に生成した個人データについては、「第三者に提供される個人データの取得の方法」として記載する必要はありませんが、当該個人データを第三者に提供している場合には、「第三者に提供される個人データの項目」（法第27条第２項第３号）等に記載する必要があります。（令和３年９月追加）
「本人が容易に知り得る状態」とは、本人が知ろうとすれば、時間的にも、その手段においても、簡単に知ることができる状態をいい、事業の性質及び個人情報の取扱状況に応じ、本人が確実に認識できる適切かつ合理的な方法によらなければなりません。
「必要な期間」は、個人情報取扱事業者が法第 27 条第２項に基づき、本人に通知し、又は本人が容易に知り得る状態に置いた時点から起算します。また、この「必要な期間」の満了点は、オプトアウトによる第三者提供を行う前である必要があります。
法第27条第２項ただし書は、オプトアウトにより提供を受けた個人データを、オプトアウトにより再提供することを禁止しています。オプトアウト規定は、個人情報保護法が平成17年４月１日に施行された時点で導入されたものであるところ、同日以前に取得した個人データについては、オプトアウトにより提供を受けた個人データではないため、上記規制の対象外となります。（令和３年９月追加）
法第27条第２項ただし書は、オプトアウトにより提供を受けた個人データを、オプトアウトにより再提供することを禁止していますが、オプトアウトにより提供を受けた個人データを、個人情報保護法のその他の規定を遵守した上で、取得時に特定した利用目的の範囲内で利用することは可能です。そのため、オプトアウトにより提供を受けた個人データを、取得時に特定した利用目的の範囲内で内部利用したり、他の事業者からダイレクトメール発送の依頼を受けてそのために利用することは可能です。（令和３年９月追加）
個人情報取扱事業者が、その利用目的の達成に必要な範囲内において、ダイレクトメールの発送業務を業者に「委託」（法第 27 条第５項第１号）する場合には、顧客の氏名や住所等をダイレクトメールの発送業者に伝えても第三者提供の制限に違反することにはなりません。ただし、委託者は、委託先を監督する義務があります（法第 25 条）。
個別の事例ごとに判断することになりますが、外部事業者のみがアンケート調査に係る個人データを取り扱っており、調査を依頼した事業者が一切個人データの取扱いに関与しない場は、通常、当該個人データに関しては取扱いの委託をしていないと解されます。この場合、当該外部事業者は委託を受けることなく自ら個人データを取り
扱う主体となり、例えば、本人から保有個人データの開示等の請求があった場合には、これに対応する必要があります。
委託先は、委託（法第27 条第５項第１号）に伴って委託元から提供された個人データを、委託された業務の範囲内でのみ取り扱わなければなりません。委託先が当該個人データを統計情報に加工することが委託された業務の範囲内である場合には、委託先は当該加工を行うことができますが、委託された業務の範囲外で委託先が当該加工を行い、作成された統計情報を自社のために用いることはできません。（令和３年９月追加）
個人データの取扱いの委託を受けた者は、当該個人データのみならず、当該個人データを利用して取得した個人データについても、委託された業務以外に取り扱うことはできません。したがって、当該広告に対する本人の反応等の別の個人データを委託先が自社のために利用することはできません。（令和３年９月追加）
個人データの取扱いの委託（法第27条第５項第１号）において、委託先は、委託に伴って委託元から提供された個人データを、独自に取得した個人データ又は個人関連情報と本人ごとに突合することはできず、委託先で新たな項目を付加して又は内容を修正して委託元に戻すこともできません。
外部事業者に対する委託と整理した上で、委託先である当該外部事業者において提供を受けた個人データを本人ごとに突合して統計情報を作成する場合には、A 社及びB 社においてそれぞれに対する第三者提供に関する本人の同意を取得する等の対応を行う必要があります。
一般に個人データを共同利用しようとする場合には、法第27条第５項第３号に基づき、①共同利用をする旨、②共同して利用される個人データの項目、③共同して利用する者の範囲、④利用する者の利用目的、⑤当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名をあらかじめ本人に通知又は容易に知りうる状態に置かなければなりません。
一般に、個人データを共同して利用する場合には、①共同利用をする旨、② 共同して利用される個人データの項目、③共同して利用する者の範囲、④利用する者の利用目的及び⑤当該個人データの管理について責任を有する者の氏名又は名称について、個人データの共同利用を開始する前に、本人に対して通知するか、本人が容易に知り得る状態に置く必要があります（ガイドライン（通則編）３－６－３（３）参照）。これに加えて、既に事業者が取得している個人データについて共同利用を検討する際には、当該個人データの内容や性質等に応じて共同利用の是非を判断した上で、当該個人データを取得する際に当該事業者が法第 17 条第１項の規定により特定した利用目的の範囲内であることを確認する必要があります。（令和３年９月更新）
取得の際に通知・公表している利用目的の内容や取得の経緯等にかんがみて、既に特定の事業者が取得している個人データを他の事業者と共同して利用すること、共同して利用する者の範囲、利用する者の利用目的等が、当該個人データの本人が通常予期しうると客観的に認められるような場合をいいます。（平成 30 年 12 月追加）
クラウドサービスには多種多様な形態がありますが、クラウドサービスの利用が、本人の同意が必要な第三者提供（法第 27 条第１項）又は委託（法第 27 条第５項第１ 号）に該当するかどうかは、保存している電子データに個人データが含まれているかどうかではなく、クラウドサービスを提供する事業者において個人データを取り扱うこととなっているのかどうかが判断の基準となります。
クラウドサービスの利用が、法第 27 条の「提供」に該当しない場合、法第 25 条に基づく委託先の監督義務は課されませんが（Ｑ7－53参照）、クラウドサービスを利用する事業者は、自ら果たすべき安全管理措置の一環として、適切な安全管理措置を講じる必要があります。
当該保守サービスを提供する事業者（以下本項において「保守サービス事業者」という。）がサービス内容の全部又は一部として情報システム内の個人データを取り扱うこととなっている場合には、個人データを提供したことになり、本人の同意を得るか、又は、「個人データの取扱いの全部又は一部を委託することに伴って・・・提供」（法第 27条第５項第１号）しているものとして、法第 25 条に基づき当該保守サービス事業者を監督する必要があります。
（例）

○ 個人データを用いて情報システムの不具合を再現させ検証する場合
○個人データをキーワードとして情報を抽出する場合

一方、単純なハードウェア・ソフトウェア保守サービスのみを行う場合で、契約条項によって当該保守サービス事業者が個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等には、個人データの提供に該当しません。

（例）
○システム修正パッチやマルウェア対策のためのデータを配布し、適用する場合
○保守サービスの作業中に個人データが閲覧可能となる場合であっても、個人データの取得（閲覧するにとどまらず、これを記録・印刷等すること等をいう。）を防止するための措置が講じられている場合
○保守サービスの受付時等に個人データが保存されていることを知らされていない場合であって、保守サービス中に個人データが保存されていることが分かった場合であっても、個人データの取得を防止するための措置が講じられている場合
○不具合の生じた機器等を交換若しくは廃棄又は機器等を再利用するために初期化する場合等であって、機器等に保存されている個人データを取り扱わないことが契約等で明確化されており、取扱いを防止するためのアクセス制御等の措置が講じられている場合
○不具合の生じたソフトウェアの解析をするためにメモリダンプの解析をする場合であって、メモリダンプ内の個人データを再現しないこと等が契約等で明確化されており、再現等を防止するための措置が講じられている場合
○個人データのバックアップの取得又は復元を行う場合であって、バックアップデータ内の当該個人データを取り扱わないことが契約等で明確化されており、取扱いを防止するためのアクセス制御等の措置が講じられている場合
個人データを第三者に提供する際には、原則としてあらかじめ本人の同意を得る必要があります。利用目的の達成に必要な範囲内において、個人データの取扱いに関し委託（法第 27 条第５項第１号）をする場合には、本人の同意は不要です。したがって、マンション管理組合が工事会社に修繕を発注する際に、当該工事会社が修繕を行うため に個人データの取扱いを委託する必要がある場合には、居住者の氏名等を提供するため の本人の同意は不要ですが、委託者は個人データの取扱いについて、委託先を監督する義務があります（法第 25 条）。
（平成 30 年７月追加）
個人データを第三者に提供する際には、原則としてあらかじめ本人の同意が必要となりますので、本人の同意を取得している場合はマンション管理組合とマンション管理会社の間で居住者の氏名等の個人データを共有することは可能です。なお、管理組合が管理会社に対して、利用目的の達成に必要な範囲内において個人データの取扱いに関し委託（法第 27 条第５項第１号）をする場合には、第三者提供に該当しないため、本人の同意がなくとも、個人データの提供を受けることが可能です。ただし、委託者は個人データの取扱いについて、委託先を監督する義務があります（法第 25 条）。
（平成 30 年７月追加）
マンション管理規約や管理業務委託契約の内容にもよりますが、一般的に利用目的の達成に必要な範囲内において、個人データの取扱いに関する業務を委託する場合には、第三者提供には該当しません。また、委託内容に組合員名簿の作成・保管等が含まれている場合に管理会社から管理組合に名簿を提供することも第三者提供にはなりません。したがって、この委託の範囲内であれば、個人情報保護法上、管理組合が管理会社へ本人の同意を取得することなく名簿を提供することは可能と解されます。ただし、委託者は個人データの取扱いについて、委託先を監督する義務があります（法第 25 条）。（平成 30 年 12 月更新）
個別の事案ごとに判断することとなりますが、Cookie等の端末識別子について、個人情報に該当しない場合には、通常、当該端末識別子に係る情報端末の利用者に関する情報として、「個人に関する情報」に該当し、個人関連情報に該当することとなると考えられます。また、家族等の特定少数の人が情報端末を共用している場合であっても、通常、情報端末の共用者各人との関係で、「個人に関する情報」に該当し、個人関連情報に該当することとなると考えられます。
個別の事案ごとに判断することとなりますが、メールアドレスについて、個人情報に該当しない場合には、通常、当該メールアドレスに係るアカウントの利用者に関する情報として、「個人に関する情報」に該当し、個人関連情報に該当することとなると考えられます。
個人関連情報の提供時点を基準に判断します。個人関連情報の提供時点において、提供先の第三者が「個人データとして取得する」ことが想定されないのであれば、本人の同意が得られていること等を確認することなく、個人関連情報を提供することができます。事後的に、提供先の第三者が個人関連情報を個人データとして利用したことが明らかになったとしても、提供元の個人関連情報取扱事業者は、法第31条第１項に違反することとはなりません。
個人関連情報取扱事業者は、一般に、提供先の第三者における個人関連情報の取扱いを確認する義務を負うものではありません。しかし、提供先の第三者の事業内容、提供先の第三者との取引状況、提供する個人関連情報の項目、提供先の第三者における個人データの利用状況等の客観的事情に照らし、提供先の第三者が個人関連情報を個人データとして利用することが窺われる場合には、提供先の第三者における個人関連情報の取扱いを確認した上で、「個人データとして取得する」ことが想定されるかどうかを判断する必要があります。
個別の事案ごとに判断することとなりますが、提供先の第三者が、提供元の個人関連情報取扱事業者に対して、提供を受けた個人関連情報を個人データとして利用しない旨の誓約書を提出した場合には、通常、提供先の第三者は当該誓約に従って個人関連情報を取り扱うものと考えられるため、原則として、「個人データとして取得する」ことは想定されず、法第31条第１項は適用されないと考えられます。
個別の事案ごとに判断することとなりますが、例えば、契約に基づき個人関連情報を継続的に提供している場合において、提供先の第三者が契約の定めに反して個人関連情報を個人データとして利用したことが明らかになった場合、提供先の第三者は引き続き個人関連情報を個人データとして利用することが窺われるため、その後の個人関連情報の提供については、提供先の第三者における個人関連情報の取扱いを確認した上で、「個人データとして取得する」ことが想定されるかどうかを判断する必要があります。
個別の事案ごとに判断することとなりますが、A社がB社のタグにより収集される閲覧履歴を取り扱っていないのであれば、A社がB社に閲覧履歴を「提供」したことにはならず、B社が直接にユーザーから閲覧履歴を取得したこととなると考えられます。このため、B社がそのタグを通じて閲覧履歴を取得することについて、法第31条第１項は適用されないと考えられます。
提供元の個人関連情報取扱事業者は、提供先の第三者が個人関連情報を個人データとして取得することが想定される場合、「本人」各自から、法第31条第１項第１号の同意を得ていること（同意の取得方法を含む。）を、提供前にあらかじめ確認する必要がありますが、必ずしも「本人」ごとに個別に確認する必要はなく、複数の「本人」につき一括して確認することも可能です。
特定の事業者に対して継続的に又は反復して個人関連情報を提供することが確実であると見込まれる場合、個々の提供に係る記録を作成する代わりに、一括して記録を作成することができます（施行規則第27条第２項ただし書）。例えば、①最初の提供時に一旦記録を作成し、その後、随時、追加の記録事項を作成する方法、②提供期間の終了後に速やかに記録を作成する方法等で記録を作成することが考えられます。
法第24条及び法第25条は、法第23条の安全管理措置の一環として、従業者及び委託先に対する監督義務を明記するものであり、従業者及び委託先に対する監督は、法第23条の安全管理措置の一部を成します。このため、従業者及び委託先に対する監督についても、法第23条の規定により保有個人データの安全管理のために講じた措置として、本人の知り得る状態に置く必要があります。（令和３年９月追加）
開示義務の対象は「保有個人データ」とされていますが、御指摘の場合には、特定の個人情報を検索することができない状態ですので、「個人データ」に該当しません。したがって、開示義務の対象となる「保有個人データ」にも該当しません。そのため、開示の請求に応じる法的義務は課されないと解されます。
同一の情報主体についても、様々な保有個人データを保有していることが多いため、法第 32 条第２項前段により、個人情報取扱事業者は、開示を請求している本人に対して、対象となる保有個人データを特定するに足りる事項の提示を求めることができます。したがって、本人が、この求めに応じて、開示を請求する範囲を一部に特定した場合には、本人が特定した範囲で開示をすれば足ります。
いわゆる不審者、悪質なクレーマー等からの不当要求被害を防止するため、当該行為を繰り返す者を本人とする個人データを保有している場合に、当該個人データは「当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの」（施行令第４条第２号）に該当しますので、保有個人データには該当しません（ガイドライン（通則編）２－７参照）。
個人情報取扱事業者は、雇用管理情報の開示の請求に応じる手続について、あらかじめ、労働組合等と必要に応じ協議した上で、本人から開示の請求を受けた保有個人データについて、その全部又は一部を開示することによりその業務の適正な実施に著しい支障を及ぼすおそれがある場合に該当するとして非開示とすることが想定される保有個人データの開示に関する事項を定め、従業者に周知するための措置を講ずることが望ましいと考えられます。
顔識別機能付きカメラシステム等に登録された顔特徴データ等が保有個人データに該当する場合、法令に基づき開示請求等に適切に対応しなければなりません。すなわち、開示請求がなされた場合には、保有個人データの開示義務の例外事由に該当しない限り、開示請求に適切に対応しなければなりません。また、訂正等請求や利用停止等の請求が行われた際にも、法令に基づき適切に対応しなければなりません。（平成30年12月追加・令和５年５月更新）
開示の対象となる第三者提供記録は、法第29条第１項及び法第30条第３項の記録に限られ、法第31条第３項において準用される法第30条第３項の記録（個人関連情報の第三者提供に関する記録）は第三者提供記録の開示対象となりません。（令和３年９月追加）
法第34条は、保有個人データの内容が事実ではない場合について規定しており、他方、法第35条は、保有個人データが法第18条若しくは第19条の規定に違反して取り扱われている場合又は法第20条の規定に違反して取得されたものである場合について規定しており、その適用場面が異なります。
個人情報保護法では、本人からの請求による保有個人データの削除（法第 29 条）、保有個人データの利用の停止又は消去（法第 30 条）に関する規定は定められていますが、履歴書等の受け取った書類を返還する義務は規定されていません。そのため、個人情報保護法上、提出された履歴書を返却する義務はありません。
退職した社員の個人情報についても、取得時に特定した利用目的の範囲内で利用することは可能ですが、当該利用目的が達成されたときには、利用する必要がなくなった場合に該当し、当該請求に応じる義務があると考えられます（法第35条第６項）。（令和３年９月追加）
信用情報については、将来本人から融資等の申込みがあった場合に備えて一定期間保有しておく必要があることから、本人が今後一切融資を申し込むつもりがないと述べていることをもって、「現に審査に必要」ではないといえず、利用停止等又は第三者提供の停止の請求に応じる必要はないと考えられます。（令和３年９月追加）
「法令を遵守するために当該保有個人データを取り扱う事情」としては、例えば、当該保有個人データにつき法令上保管が義務付けられている場合等が考えられますが、保管が義務付けられていない保有個人データについて、将来の行政調査等のために保管することは通常考慮されないと考えられます。（令和３年９月追加）
本人から保有個人データの開示の請求を受けた個人情報取扱事業者は、開示の実施に関し手数料を徴収することが認められています（法第 33 条第１項）。しかし、その手数料の額は、実費を勘案して合理的であると認められる範囲内で定めなければなりません（同条第２項）。（令和３年９月更新）
事前の請求の手続については、平成 27 年改正前の開示等の求めの手続と異なるところはありません。個人情報取扱事業者は、本人からの開示等の請求等を受け付ける方法を定めること（法第 32 条第１項）、本人に対し、開示等の請求等に関し、その対象となる保有個人データを特定するに足りる事項の提示を求めること（法第 32 条第２項）、開示の請求等を受けたときは、手数料を徴収すること（法第 33 条第１項）等ができます。
個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理を行うために、必要な体制の整備に努めなければならないとされています（法第 35 条第２項）。例えば、苦情処理の担当者や手順を定めておくことなどが考えられます（ガイドライン（通則編）３－６参照）。
認定個人情報保護団体は、消費者と事業者の間に立ち、対象事業者である個人情報取扱事業者の個人情報の適正な取扱いの確保を目的として、消費者からの苦情の処理や相談対応を行うこととされています。また、認定個人情報保護団体は、各業界の特性を踏まえつつ、個人情報に係る利用目的の特定、安全管理のための措置、開示等の請求等に応じる手続等に関し、個人情報保護指針を作成し、対象事業者はこれを遵守することとされています。
「中小規模事業者」の定義における「従業員」は、中小企業基本法における従業員をいい、労働基準法第 20 条の適用を受ける労働者（解雇の予告を必要とする労働者）に相当する者をいいます。ただし、同法第 21 条の規定により同法第 20 条の適用が除外されている者は除かれます。具体的には、日々雇い入れられる者、２か月以内の期間を定めて使用される者等が除かれます。
従来、主務大臣が定めていたガイドラインに従って、適切に安全管理措置を講じている場合は、適切な措置を講じられていると考えられますが、安全管理措置を講ずるための具体的な手法については、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容とすべきものであり、それらは時代や環境によっても変化し得るものであるので、あらためてガイドライン（通則編）を参考に、現在講じている安全管理措置の内容を再点検し、必要に応じて見直すことも、有効な取組と考えられます。
個人情報取扱事業者は、法第23条に基づき個人データについて安全管理措置を講ずることが義務付けられています。カメラ画像・顔特徴データ等が個人データに該当する場合には、その性質（特に、顔特徴データは不変性が高く、個人の行動の追跡が可能となること等）も踏まえ、当該個人データの漏えい、滅失又は毀損の防止その他の安全管理のために必要かつ適切な措置を講じなければならず、具体的には組織的安全管理措置、人的安全管理措置、物理的安全管理措置、技術的安全管理措置、外的環境の把握として、例えば以下のような措置が考えられます。
人的安全管理措置として、義務付けられるわけではありません。ただし、人的安全管理措置及び従業者の監督（法第 21 条）の一環として、従業者との雇用契約において守秘義務を定める等の対応を取ることも、有効な取組と考えられます。なお、関係業法において守秘義務が定められている場合もあるため、留意が必要です。
個人データの安全管理に関して留意すべき事項は、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等によって異なり得ますので、研修の形式も個人情報取扱事業者ごとに異なり得るものと考えられます。全従業者を対象とした講義形式による研修も含まれ得ますが、これに限られるものではなく、部署ごとに個人データの取扱いに関する責任者からの講話形式、eラーニング形式、標的型メールを疑似体験する形での訓練形式など、様々な形式が考えられます。
個人データを取り扱う区域の管理として、常に入退室管理の実施が求められるわけではありませんが、個人情報データベース等を取り扱うサーバやメインコンピュータ等の重要な情報システムを管理する区域（管理区域）については、入退室管理の実施、承認されていない記録媒体やカメラ等の持込の制限等が有効な取組と考えられます。
外国にある第三者の提供するクラウドサービスを利用する場合において、クラウドサービス提供事業者が個人データを取り扱わないこととなっている場合には、個人データの第三者への「提供」には該当しませんが、個人情報取扱事業者は、自ら果たすべき安全管理措置の一環として、適切な安全管理措置を講じる必要があります（Ｑ７－53、Ｑ７－54、Ｑ12－３参照）。
個人情報取扱事業者、個人関連情報取扱事業者、仮名加工情報取扱事業者又は匿名加工情報取扱事業者（以下「個人情報取扱事業者等」という。）が、個人情報保護法の義務規定に違反し、不適切な個人情報、個人関連情報、仮名加工情報又は匿名加工情報（以下本項において「個人情報等」という。）の取扱いを行っている場合には、個人情報保護委員会は、必要に応じて、当該個人情報取扱事業者等その他の関係者に対して報告徴収・立入検査を実施し（法第146条）（※）、当該個人情報取扱事業者等に対して指導・助言を行い（法第147条）、また、勧告・命令を行う（法第148条）ことができます。
法第171条に基づき、外国にある個人情報取扱事業者等が、日本の居住者等の日本国内にある者に対する物品やサービスの提供に関連して、日本国内にある者を本人とする個人情報、当該個人情報として取得されることとなる個人関連情報又は当該個人情報を用いて作成された仮名加工情報若しくは匿名加工情報を、外国において取り扱う場合には、個人情報保護法が適用されます。
外国にある個人情報取扱事業者が、日本の居住者等の日本国内にある者に対する物品又はサービスの提供に関連して、日本国内にある者を本人とする個人情報を外国において取り扱う場合には、個人情報保護法の域外適用の対象となり、法第23条（安全管理措置）や法第26条（漏えい等の報告等）も適用されます（法第171条）。
外国にある個人情報取扱事業者が、日本の居住者等の日本国内にある者に対する物品又はサービスの提供に関連して、日本国内にある者を本人とする個人情報を外国において取り扱う場合には、個人情報保護法の域外適用の対象となります（法第171条）。
個人情報取扱事業者等のうち、憲法上保障された自由（表現の自由、信教の自由、政治活動の自由）に関わる以下の主体が以下の活動のために個人情報等を取り扱う場合には、その限りにおいて、個人情報取扱事業者等の義務は適用されません（法第57条第１項）。
個人データを第三者に提供する場合には、原則として、あらかじめ本人の同意を得る必要がありますが（法第27条第１項柱書）、法第16条第８項に規定する学術研究機関等が共同研究を行う第三者（学術研究機関等であるか否かを問いません。）に対して個人データを学術研究目的で提供する必要がある場合（法第27条第１項第６号）や、個人情報取扱事業者が個人データを学術研究目的で取り扱う必要がある学術研究機関等に対して提供する場合（同項第７号）は、個人の権利利益を不当に侵害するおそれがない限り、法第27条第１項柱書に規定する本人の同意を得ずに個人データを提供することができます。
個人情報取扱事業者が、外国にある第三者に個人データを提供する場合には、以下の①から③までのいずれかに該当する場合を除き、法第28条第１項に基づきあらかじめ「外国にある第三者への個人データの提供を認める」旨の本人の同意を得る必要があります。この点は、外国にある第三者に個人データの取扱いを委託する場合も同様です。
当該サーバを運営する外国にある事業者が、当該サーバに保存された個人データを取り扱っている場合には、サーバが国内にある場合であっても、外国にある第三者への提供（法第28条第１項）に該当します。ただし、当該サーバを運営する外国にある事業者が、当該サーバに保存された個人データを日本国内で取り扱っており、日本国内で個人情報データベース等を事業の用に供していると認められる場合には、外国にある第三者への提供（法第28条第１項）に該当しません（ガイドライン（外国にある第三者への提供編）２－２参照）。
個人データの提供先が個人情報取扱事業者に該当する場合には、「外国にある第三者」に提供したこととはなりません。個人情報取扱事業者の該当性は、事業の実態を勘案して、日本国内で個人情報データベース等を事業の用に供していると認められるか否かを個別の事例ごとに判断することとなるため、国内に出張所を有することのみをもって当該外国事業者が個人情報取扱事業者に該当するわけではありません。
当該委託契約及び当該内規等によって、個人データの提供先である外国にある第三者が、我が国の個人情報取扱事業者の講ずべきこととされている措置に相当する措置を継続的に講ずることを実質的に担保することができる場合には、適切かつ合理的な方法に該当するものと考えられます。
提供先の外国にある第三者にとって個人情報に該当しないデータの取扱いを委託する場合において、委託契約において当該提供先が元となった個人情報を復元しないことが定められている等、当該提供先が元となった個人情報に係る本人を識別しないこととなっているときは、結果として、施行規則第16条で定める基準に適合する体制を整備しているものと解されます。
個別の事案ごとに判断する必要がありますが、国内にある個人情報取扱事業者が、他の日本法人の外国支店に直接個人データを提供する場合には、当該外国支店への個人データの提供は、外国にある第三者への提供（法第28条第１項）に該当し得ると考えられます。（令和３年９月追加）
個別の事案ごとに判断されますが、例えば、施行規則第17条第２項から第４項までの規定により求められる情報が掲載されたWebページが存在する場合に、当該WebページのURLを自社のホームページに掲載し、当該URLに掲載された情報を本人に閲覧させる方法も、施行規則第17条第１項における「適切な方法」に該当すると考えられます。
個別の事案ごとに判断する必要がありますが、例えば、提供先の外国にある第三者に確認する方法や、提供先の外国にある第三者との間で締結している契約において、当該第三者による個人データの取扱いについて定めている場合に、当該契約を確認する方法等が考えられます。（令和３年９月追加）
施行規則第17条第２項第２号の「外国における個人情報の保護に関する制度に関する情報」は、一般的な注意力をもって「適切かつ合理的な方法」により確認したものである必要がありますが、「適切かつ合理的な方法」により確認を行った「外国における個人情報の保護に関する制度に関する情報」を提供した上で外国にある第三者への個人データの提供を認める旨の本人の同意を取得した後に、当該外国における個人情報の保護に関する制度についての変更があった場合であっても、既に取得された同意の有効性には影響を及ぼさないものと考えられます。
法第28条第２項の趣旨は、外国にある第三者への個人データの提供がなされる場合に、当該外国における個人情報の保護に関する制度や当該第三者が講ずる個人情報の保護のための措置に関する差異に起因するリスクについて、本人の予測可能性を高める点にあります。そのため、提供先の第三者及び当該第三者が所在する外国を特定した上で、本人に対する情報提供を行うことが原則です。
提供先の外国にある第三者が施行規則第16条に定める基準に適合する体制を整備していることを根拠として個人データを提供した場合、提供元の個人情報取扱事業者は、当該第三者において当該個人データの取扱いが継続する限り、法第28条第３項に基づく措置等を講ずる必要があり、かかる義務は、提供元の個人情報取扱事業者と当該第三者との間の契約等が解除された場合でも、免除されるものではありません。（令和３年９月追加）
個別の事案ごとに判断されますが、委託元の個人情報取扱事業者が国内にある事業者である委託先に対して法第27条第５項第１号に基づき個人データの取扱いを委託し、当該委託先が委託に伴って取得した当該個人データを、外国にある事業者に対して再委託に伴って再提供した場合において、委託先である国内にある事業者と再委託先である外国にある事業者との間の契約等により、施行規則第16条第１号の基準を満たすための「法第４章第２節の規定の趣旨に沿った措置」の実施が確保されている場合には、法第28条第３項の義務は、委託先に課されると考えられます。
一般に、提供先の第三者が所在する外国において、「相当措置の実施に影響を及ぼすおそれのある当該外国の制度」が存在する場合においても、当該制度の存在自体により、直ちに外国にある第三者による「相当措置の継続的な実施の確保が困難となった場合」に該当するものではなく、当該第三者による個人データの取扱状況や、当該制度の運用の状況等を踏まえて、外国にある第三者による相当措置の継続的な実施の確保が困難となったか否かを個別の事案ごとに判断する必要があると考えられます。（令和３年９月追加・令和４年４月更新）
提供先の外国にある第三者による相当措置の実施状況については、当該外国にある第三者に提供する個人データの内容や規模に応じて、適切かつ合理的な方法により、定期的に確認する必要があります（施行規則第18 条第１項第１号）。具体的な確認の方法については、個別の事案における具体的な事情も踏まえて決定すべきものですが、当該外国に所在する提供元のグループ企業が、提供先の第三者を訪問することや提供先の第三者から書面の提出を受けること等により、契約等の履行状況等を確認した上で、提供元が、当該グループ企業から書面により相当措置の実施状況の共有を受けて確認することも、適切かつ合理的な方法に該当し得ると考えられます。（令和５年３月追加）
提供先の外国にある第三者が施行規則第 16 条に定める基準に適合する体制を整備していることを根拠に、当該提供先に対して個人データの提供を行った場合において、当該提供先による相当措置の実施に支障が生じた場合には、当該支障の解消又は改善のために「必要かつ適切な措置」を講ずることが求められます（施行規則第 18 条第１項第２号）。
個別の事案ごとに判断されますが、例えば、施行規則第18条第３項の規定により求められる情報が掲載された Web ページが存在する場合に、当該 Web ページのURLを本人に対して提供する方法も、改正後の施行規則第18 条第２項における「適切な方法」に該当すると考えられます。（令和３年９月追加）
施行規則第18条第３項の「著しい支障を及ぼすおそれ」に該当する場合とは、個人情報取扱事業者の業務の実施に単なる支障ではなく、より重い支障を及ぼすおそれが存在するような例外的なときに限定され、単に開示すべき情報の量が多いという理由や、特定に手間や時間がかかるという理由のみでは、一般には、これに該当しないと考えられます。（令和３年９月追加）
外国にある第三者に個人データを提供する場合でも、原則として、法第 25 条に基づく記録義務は適用されます。具体的には、ガイドライン（第三者提供時の確認・記録 義務編）２－１－２の【外国にある第三者に個人データを提供する場合の記録義務の適用】のとおりです。
訴訟追行のために、訴訟代理人の弁護士・裁判所に、訴訟の相手方に係る個人データを含む証拠等を提出する場合は、「財産の保護のために必要がある」といえ、かつ、一般的に当該相手方の同意を取得することが困難であることから、法第 23 条第１項第２ 号に該当し得るものであり、その場合には記録義務は適用されないものと考えられます。
提供先の事業者名を個別に明示していない場合においても、本人からの委託等 の内容、提供の客体である個人データの内容、提供するとき等の要素を総合的に考慮して、当該提供を具体的に特定できている場合には、本人に代わって提供しているものと評価  されることもあり得ます。
かかる例においては、その提供の形態は実質的に委託又は事業承継に類似するものと認められ、また、提供者・受領者間において契約により提供の対象となる個人データを削除することとなっているものであり、その他確認・記録義務を課すべき特段の事情がないものといえ、当該候補者に確認・記録義務は適用されないものと考えられます。
最初に基本契約書に記録を作成し、継続的に又は反復して個人データを授受する対象期間内に、随時、提供される個人データによって識別される本人の氏名に係る記録を、別途、当該基本契約書に付帯する資料などをもって作成する方法も認められるものと考えられます。
個人情報取扱事業者は、個人データを利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければなりませんが、確認・記録義務の履行のために個人データを保存する場合は、この限りではないものと考えられます。また、利用目的の特定・通知等は不要です。
対象となる複数の本人の記録を一体として作成した場合も、保存期間は個々の個人ごとに計算することとなります。例えば、施行規則第 12 条第２項・第 16 条第２項に基づく記録を作成した場合は、個々の個人ごとに最後に当該記録に係る個人データの提供を行なった日から起算して３年を経過する日までの間が保存期間となります（施行規則第 14 条第２号・第 18 条第２号）。
匿名加工情報は、特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたもの（法第２条第６項）です。「個人情報」（法第２条第１項）に該当せず、本人の同意を得ずに第三者に提供することが可能です（匿名加工情報の取扱いに係る義務等については、ガイドライン（仮名加工情報・匿名加工情報編）３－２参照）。
仮名加工情報取扱事業者が、仮名加工情報の作成の元となった個人情報や当該仮名加工情報に係る削除情報等を保有している等により、当該仮名加工情報が「他の情報と容易に照合することができ、それにより特定の個人を識別することができる」状態にある場合には、当該仮名加工情報は、「個人情報」（法第２条第１項）に該当します。
仮名加工情報を作成するためには、法第41条第１項に基づき、施行規則第31条各号で定める基準に従い加工する必要があります。具体的には個別に判断されることとなりますが、これらの基準に従い加工が行われていない場合については、仮名加工情報に該当しないものと考えられます。
氏名のようにそれ単体で特定の個人を識別できるものについては措置が必要となりますが、住所、年齢、性別などのその組合せにより特定の個人を識別できるような記述については、その一部を削除等することにより特定の個人を識別できないようにすることも可能であると考えられます。
個別の事案ごとに判断されますが、口座番号それ自体やクレジットカード番号の下４桁それ自体が不正に利用されることにより直ちに財産的被害が生じるおそれがあるとはいえないと考えられますので、口座番号それ自体や、クレジットカード番号の下４桁それ自体については、施行規則第31条第３号における「不正に利用されることにより財産的被害が生じるおそれがある記述等」には該当しないと考えられます。
施行規則第32条の基準に従って安全管理措置を講ずることが求められる削除情報等には、個人情報を加工する過程で削除された記述等や個人識別符号のほか、それを用いて仮名加工情報の作成に用いられた個人情報を復元することができる加工の方法に関する情報が該当し、例えば、氏名を仮IDに置き換えた場合における置き換えアルゴリズムに用いられる乱数等のパラメータや氏名と仮IDの対応表などが考えられますが、「氏名を削除した」というような復元につながらない情報は該当しません。
安全管理措置が必要となる削除情報等に該当する加工の方法に関する情報とは、その情報を用いることによって元の個人情報を復元することができるものです。したがって、例えば、住所を都道府県レベルに加工したことや、年齢を10歳刻みにしたこといった情報などについては、元の個人情報を復元できるものではなく、委託先などに伝えることも可能です。
個人情報を提供して仮名加工情報の作成を委託した場合においては、委託元と委託先が共同して作成したものとして、削除情報等を共有することは可能です。ただし、削除情報等を取り扱う者の権限を委託元においても明確に定めるなど、委託元も含め施行規則第32条に定める基準に従って適切な安全管理措置を講じる必要があります。
個別の事例ごとに判断する必要がありますが、氏名と仮IDの対応表等、それを用いて元の個人情報を復元することのできる削除情報等が漏えいした場合には、削除情報等の安全管理措置を講ずる義務（法第41条第２項）や仮名加工情報である個人データの安全管理措置を講ずる義務（法第23条）の履行の観点から、原則として、当該仮名加工情報に含まれる仮IDを振り直すこと等により仮名加工情報を新たに作り直す等の措置を講じることが必要となります。
仮名加工情報（個人情報であるもの。以下本項において同じ。）を作成したときは、作成の元となった個人情報に関して法第17条第１項の規定により特定された利用目的（当該個人情報について法第17条第２項に定める範囲で利用目的が変更された場合の変更後の利用目的を含む。）が、当該仮名加工情報の利用目的として引き継がれます。
個人情報である仮名加工情報を取得した場合には、あらかじめその利用目的を公表している場合を除き、原則として、速やかにその利用目的を公表する必要があります（法第41条第４項により読み替えて適用される法第21条第１項、同条第４項）。もっとも、個人情報取扱事業者が、自らが保有する個人情報の一部を削除する等の加工を行って仮名加工情報を作成した場合は、ここでいう個人情報である仮名加工情報の「取得」に該当しないため、仮名加工情報を作成した時点で仮名加工情報の利用目的を公表する必要はありません。
法第41条第７項及び法第42条第３項により準用される法第41条第７項に定めるように、仮名加工情報の作成の元となった個人情報の本人を識別するために他の情報と照合しているとはいえない場合は、直ちに識別行為の禁止義務に違反するものではないと考えられますが、再度同じような形で個人を識別することがないようにする必要があります。
ガイドライン（匿名加工情報編）２－１にもあるように、統計情報は、複数人の 情報から共通要素に係る項目を抽出して同じ分類ごとに集計して得られるデータであり、集団の傾向又は性質などを数量的に示すのみで特定の個人との対応関係が排斥されてい  る限りにおいては、「個人に関する情報」に該当するものではないため、個人情報保護法 の対象外となります。一方、特定の個人が識別できる情報であれば、個人情報に該当する こととなりますので留意が必要です。
統計情報は、複数人の情報から共通要素に係る項目を抽出して同じ分類ごとに集計等して得られる情報であり、一般に、特定の個人との対応関係が排斥されているため、「個人情報」に該当しないものです。他方、匿名加工情報は、法第 36 条第１項に基づき、施行規則第 19 条各号で定める基準に従い加工したものであり、例えば、ある一人の人物の購買履歴や移動履歴等の情報など、個人単位の「個人に関する情報」を含むものです。（平成 30 年７月追加）
匿名加工情報を作成するために個人情報を加工する作業を行っている途上であるものは、加工が不十分である場合には、特定の個人を識別することができる、又は元の個人情報が復元できる状態にある可能性があることから、原則として個人情報として取り扱うことが適当であると考えられます。
匿名加工情報を作成するためには、法第 36 条第１項に基づき、施行規則第 19 条各号で定める基準に従い加工する必要があります。具体的には個別に判断されることとなりますが、これらの基準に従い加工が行われていない場合については、匿名加工情報に該当しないものと考えられます。
匿名加工情報を作成するためには、法第 36 条第１項に基づき、施行規則第 19 条各号で定める基準に従い加工する必要がありますが、各号に定める措置を選択的に講ずればよいものではなく、各号全ての措置を行う必要があります（ただし、該当する情報がない場合は当該措置を講じる必要はありません）。なお、プライバシー保護等の観点から追加的に措置を講じていただくことを妨げるものではありません。
ここでの「当該個人情報を含む個人情報データベース等」とは、当該個人情報取扱事業者が匿名加工情報を作成する際に加工対象とする個人情報データベース等を想定しています。すなわち、匿名加工情報を作成する個人情報取扱事業者が保有する加工とは無関係の個人情報を含む全ての個人情報データベース等の性質を勘案することを求めるものではありません。
匿名加工情報を作成するためには、匿名加工情報作成の意図を持って、法第43条第１項に基づき、施行規則第34条各号で定める基準に従って個人情報を加工する必要がありますが、これらの要件を満たす限り、個人情報である仮名加工情報を加工して匿名加工情報を作成することは可能です。（令和３年９月追加）
氏名と仮 ID 等の対応表は加工方法等情報に該当すると考えられます。したがって、当該対応表の破棄までは求められませんが、加工方法等情報として施行規則第 20 条各号の基準に従って安全管理措置を講ずる必要があります。また、匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、他の情報と照合してはならないとされていることから、当該目的で対応表を利用することはできませんが、匿名加工情報の安全性の検証作業などで利用することもあり得ると考えられます。
施行規則第35条に定める基準に従って安全管理措置を講ずることが求められる加工方法等情報には、個人情報を加工する過程で削除された記述等や個人識別符号のほか、それを用いて匿名加工情報の作成に用いられた個人情報を復元することができる加工の方法に関する情報が該当しますが、「年齢のデータを10歳刻みのデータに置き換えた」というような復元につながらない情報は該当しません。（令和３年９月更新）
安全管理措置が必要となる加工方法等情報には、その情報を用いることによって元の個人情報を復元することができるものが該当します。したがって、例えば、年齢を10 歳刻みにしたことや商品名をどのカテゴリにまとめたといった情報などの情報については、元の個人情報を復元できるものではなく、提供先に伝えることも可能です。
個人情報を提供して匿名加工情報の作成を委託した場合等においては、委託元と委託先が共同して作成したものとして、加工方法等情報を共有することは可能です。ただし、加工方法等情報を取り扱う者の権限を委託元においても明確に定めるなど、委託元も含め施行規則第 20 条に従って適切な安全管理措置を講じる必要があります。
複数の会社から匿名加工情報の作成の委託を受けることは可能です。ただし、委託を受けた各個人情報の取扱い及び匿名加工情報の作成については、各委託者の指示に基づきその範囲内で独立した形で行う必要があります。異なる委託者から委託された個人情報を組み合わせたり、突合したりすることはできません。（平成 30 年７月追加）
委託先は、委託（法第23条第５項第１号）に伴って委託元から提供された個人データを、委託された業務の範囲内でのみ取り扱わなければなりません。委託先が当該個人データを匿名加工情報に加工することが委託された業務の範囲内である場合には、委託先は当該加工を行うことができますが、委託された業務の範囲外で委託先が当該加工を行い、作成された匿名加工情報を自社のために用いることはできません。（令和２年９月追加）
匿名加工情報に含まれる個人に関する情報の項目の公表は、「作成したとき」又は「提供したとき」に行うことが求められるものであり、実際に匿名加工情報に含まれる個人に関する情報の項目が分かるようにする必要があります。したがって、事前にプライバシーポリシーに包括的な記載を掲載するだけでは当該義務を履行したものとは考えられません。
匿名加工情報に購買履歴が含まれる場合において、当該匿名加工情報の作成時の公表や第三者提供時の公表については、具体的な商品名の公表まで必要はなく、ガイドライン（匿名加工情報編）３－４、３－５にあるように、「購買履歴」等の情報の項目を公表することで足ります。
ガイドライン（匿名加工情報編）３－４にあるように、個人に関する情報の項目が同じである匿名加工情報を同じ手法により反復・継続的に作成する場合には、最初の匿名加工情報を作成して個人に関する項目を公表する際に、作成期間又は継続的な作成を予定している旨を明記するなど継続的に作成されることとなる旨を明らかにしておくことにより、包括的に公表を行うことが可能です。
匿名加工情報を作成する際に、元の個人情報に含まれるある項目について、その情報の全てを削除あるいは置き換えた場合には、匿名加工情報の作成あるいは第三 者提供の際の公表事項として当該項目を含める必要はありません。（平成 30 年７月追加）
匿名加工情報の作成時の公表については、匿名加工情報を作成した後、遅滞なく行うこととされており、また第三者提供時の公表については提供に当たってあらかじめ公表することとされています。したがって、個人情報取扱事業者が、匿名加工情報を第三者に提供することを前提として当該情報を作成し直ちに第三者提供をしようとする場合には、匿名加工情報の作成時の公表と第三者提供時の公表が結果的に同時に行われる場合もあり得ると考えられます。
個人情報を提供して匿名加工情報の作成を委託した場合には、匿名加工情報の作成は委託先事業者において行われることになりますが、匿名加工情報の作成は委託元事業者と委託先事業者が共同で行っているものと解されますので、法第 36 条の規定は委託元事業者と委託先事業者の双方に課せられると考えられます。ただし、匿名加工情報の作成時の公表については、施行規則第 21 条第２項により委託元事業者において行うものとされ、委託先においての公表は必要ありません。
匿名加工情報に関しては、法第 36 条第５項及び第 38 条において、元となった個人情報に係る本人を識別するために、当該匿名加工情報を他の情報と照合してはならないとされています。匿名加工情報や加工に関する方法の安全性の検証のために他の情報と照合する行為は「当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために・・・照合」という要件に該当するかどうかという観点から個別に判断されるべきものと考えますが、仮にこの要件に該当しない範囲において法第 36 条第６項に定める匿名加工情報の安全管理措置の一環等で適切に行われる場合があれば同項に違反しないものとなり得ると考えられます。
従来、関係省庁が作成していたガイドラインのうち個人情報保護法に関するものは、平成27年改正の施行（平成29年５月30日）をもって、原則として個人情報保護委員会が作成したガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）に一元化されました。
個人情報取扱事業者又は匿名加工情報取扱事業者のうち、①法別表第２に掲げる法人、②地方独立行政法人のうち、試験研究を行うこと等を主たる目的とするもの、大学等の設置及び管理等を目的とするもの並びに病院事業の経営を目的とするものについては、法第 58 条第１項の定めにより、法第４章の規定のうち、第 32 条から第 39 条まで及び同章第４節（第 43 条から第 46 条まで）の規定の適用が無い一方で、法第 125 条第２項の定めにより、その個人情報又は匿名加工情報の取扱いについて、独立行政法人等と、地方独立行政法人による個人情報又は匿名加工情報の取扱いとそれぞれみなして、法第５章第１節（第 60 条）、第 75 条、同章第４節（第 76 条から第 108 条まで）及び第５節（第 109 条から第 123 条まで）、第124 条第２項、第 127 条並びに第６章から第８章まで（第 176 条、第 180 条及び第 181 条を除く。）の規定が適用されます。
個人情報保護法の体系では、個人情報の保護に関する法律（以下「個人情報保護法」という。）、個人情報の保護に関する法律施行令（以下「個人情報保護法施行令」という。）及び個人情報の保護に関する法律施行規則（以下「個人情報保護法施行規則」という。）のほか、個人情報の保護に関する法律についてのガイドライン（通則編）（以下「通則ガイドライン」という。）を基礎（注１）として、金融分野における個人情報保護に関するガイドライン（以下「金融分野ガイドライン」という。）及び金融分野における個人情報保護に関するガイドラインの安全管理措置等についての実務指針（以下「実務指針」という。）があり、適用対象は「個人情報取扱事業者」で、主に「個人データ」の取扱いに関する規定が定められています（なお、金融分野ガイドライン及び実務指針は、各業法に基づく規定を含みます。）。
「個人情報」には、他の情報と容易に照合することができ、それにより特定の個人を識別することができるものが含まれます(Q2-１参照）。事業者において通常の業務における一般的な方法で、他の情報と容易に照合が可能であり、それにより特定の個人を識別することが可能であるならば、それ単体では特定の個人を識別することができないとしても、当該情報は「個人情報」に該当するものと考えられます。
法人の代表者の情報は、個人情報保護法第２条第１項の定義に該当するため、「個人情報」に当たります。取引先企業の担当者名といった情報も、同法第２条第１項の定義に該当するため、｢個人情報｣に当たります。

また、法人の代表者の氏名等が（単に文字列検索が可能なのではなく、個人情報としての属性に着目して）検索可能な場合には、当該データベースは「個人情報」が検索できるように体系的に構成されているといえ、｢個人情報データベース等｣に該当するものと考えられます。したがって、当該法人の代表者の氏名等は、「個人データ」に該当すると考えられます。ただし、データベース等があくまで法人情報のみの検索が可能なように構成されているもので、（法人代表者の氏名等の）個人情報の検索が可能なように体系的に構成されていない場合には、当該データベース等は「個人情報データベース等」には該当せず、そこに含まれている個人情報も「個人データ」には該当しないこととなります。