個人情報保護法は、デジタル技術の高度化に伴い個人情報の収集・利用が飛躍的に進む現代において、個人情報の適正な取扱いを確保しつつ、その利活用による行政効率化・産業創出・国民生活の向上を同時に実現することを目的とする法律です。
同法は3年ごとの定期的な見直しが制度化されており、令和8年の改正は、AIを含む高度情報処理技術の普及により大量データの流通が日常的に行われるようになった現状を踏まえ、事業者と個人の双方の権利・利益を再調整するための改正として位置づけることができます。
今回の改正では、膨大なデータ処理を前提とした規律の明確化や新設条項が複数導入されており、事業者の利便性向上のみならず、個人情報の保有者である本人の権利利益を保護する措置もそれに相応して強化されています。
本記事では、令和8年改正のうち民間事業者の実務に関係する主要な規定について、ポイントを整理して紹介します。追加された条項はタイトル部分に黄色のラインを、条文の修正箇所は該当部分に黄色のラインを付しており、改正内容をひと目で把握できる構成としています。
なお、本文中で参照している個人情報保護委員会規則は、令和8年7月17日施行の個人情報保護法に対応した内容です。あくまで参考情報としてリンクを掲載している点にご留意ください。
第一部：総則
■目的（法第1条）
■定義（法第2条）
◇個人情報（第1項）
定義：生存する個人に関する情報。次の各号のいずれかに該当するもの。
- 氏名、生年月日その他の記述等（文書・図画・電磁的記録に記載・記録され、又は音声・動作その他の方法を用いて表された一切の事項）により特定の個人を識別することができるもの
- 個人識別符号が含まれるもの
補足：
- 死者に関する情報は個人情報に含まれないが、その情報が生者にも関係する場合は個人情報に含まれる。
- 他の情報と容易に照合できる情報であって、その照合により特定の個人の識別が可能になる情報は、第1号の個人情報に含まれる。
- 「他の情報と容易に照合できる」とは、事業者が通常の業務における一般的な方法で照合が可能な状態をいう。
◇個人識別符号（第2項）
定義：次の各号のいずれかに該当する文字、番号、記号その他の符号のうち、政令で定めるものをいう。
- 特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号
- サービス利用者・商品購入者・カードその他の書類の発行を受けた個人に対し、その者ごとに異なるものとなるように割り当てられた文字、番号、記号その他の符号であって、その割り当てを受けた特定の者を識別することができるもの
◇要配慮個人情報（第3項）
定義：本人の人種、信条、社会的身分、病歴、犯罪歴、犯罪被害の事実、その他本人に対する不当な差別・偏見その他の不利益が生じないように取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報
要配慮個人情報と個人情報の関係
要配慮個人情報は個人情報の一部であり、第1項第1号の「記述等」に含まれる。
■個人識別符号（施行令第１条）
内容：法第2条第2項の政令で定める文字、番号、記号その他の符号は、下記に掲げるものである。
- 次に掲げる身体の特徴のいずれかを電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、特定の個人を識別するに足りるものとして個人情報保護委員会規則で定める基準に適合するもの
- イ 細胞から採取されたデオキシリボ核酸（DNA）を構成する塩基の配列
- ロ 顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状によって定まる容貌
- ハ 虹彩の表面の起伏により形成される線状の模様
- ニ 発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化
- ホ 歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様
- ヘ 手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状
- ト 指紋又は掌紋
- 旅券の番号
- 国民健康保険制度の被保険者記号・番号等
- 基礎年金番号
- 運転免許証の番号又は免許情報記録の番号
- 住民基本台帳の住民票コード
- 後期高齢者医療保険制度の被保険者番号等
- 介護保険制度の被保険者番号等
- マイナンバー制度の個人番号
- その他前各号に準ずるものとして個人情報保護委員会規則で定める文字、番号、記号その他の符号
■令第1条第1号の個人情報保護委員会規則で定める基準（施行規則第2条）
基準：特定の個人を識別することができる水準が確保されるよう、適切な範囲を適切な手法により電子計算機の用に供するために変換すること
■令第1条第10号の個人情報保護委員会規則で定める文字、番号、記号その他の符号（施行規則第4条）
- 健康保険制度の保険者番号及び被保険者等記号・番号
- 船員保険制度の保険者番号及び被保険者等記号・番号
- 外国政府等が発行した旅券の番号
- 在留カードの番号
- 私立学校教職員共済制度の加入者等記号・番号等
- 国家公務員共済組合制度の組合員等記号・番号等
- 地方公務員等共済組合制度の組合員等記号・番号等
- 雇用保険被保険者証の被保険者番号
- 特別永住者証明書の番号
■要配慮個人情報（施行令第2条）
内容：法第2条第3項の「政令で定める記述等」は、次に掲げる事項のいずれかを内容とする。
- 身体障害、知的障害、精神障害（発達障害を含む。）その他の個人情報保護委員会規則で定める心身の機能の障害があること。
- 本人に対して医師その他医療に関連する職務に従事する者（「医師等」）により行われた疾病の予防及び早期発見のための健康診断その他の検査（「健康診断等」）の結果
- 健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと。
- 本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと。
- 本人を少年法第3条第1項に規定する少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと。
■要配慮個人情報（施行規則第5条）
内容：令第2条第1号の個人情報保護委員会規則で定める心身の機能の障害は、下記に掲げる障害である。
- 身体障害者福祉法別表に掲げる身体上の障害
- 知的障害者福祉法にいう知的障害
- 精神保健及び精神障害者福祉に関する法律にいう精神障害（発達障害者支援法に規定する発達障害を含み、前号に掲げるものを除く。）
- 治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生活及び社会生活を総合的に支援するための法律第4条第1項の政令で定めるものによる障害の程度が同項の主務大臣が定める程度であるもの
◇本人（第4項）
定義：個人情報によって識別される特定の個人
◇仮名加工情報（第5項）
定義：他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、次の各号に掲げる個人情報の区分に応じた加工を施したもの
- 第1項第1号に該当する個人情報：記述等の一部を削除する（復元可能な規則性を有しない方法で他の記述等に置換することを含む）
- 第1項第2号に該当する個人情報：個人識別符号の全部を削除する（復元可能な規則性を有しない方法で他の記述等に置換することを含む）。
仮名加工情報は基本的に個人情報の定義に該当し、仮名加工情報の作成に用いられた個人情報と同程度にデータとしての有用性を保ちつつ、匿名加工情報よりも詳細な分析を比較的に簡便な方法で実施できるため、個人情報取扱事業者内部での利用・分析が前提である。
◇匿名加工情報（第6項）
定義：特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、次の各号に掲げる個人情報の区分に応じた加工を施して当該個人情報を復元することができないようにしたもの
- 第1項第1号に該当する個人情報：記述等の一部を削除する（復元可能な規則性を有しない方法で他の記述等に置換することを含む）
- 第1項第2号に該当する個人情報：個人識別符号の全部を削除する（復元可能な規則性を有しない方法で他の記述等に置換することを含む）。
匿名加工情報は個人情報の定義に該当しない。
◇個人関連情報（第7項）
定義：生存する個人に関する情報であって、個人情報・仮名加工情報・匿名加工情報のいずれにも該当しないもの
◇連絡可能個人関連情報（第8項）
定義：下記に掲げる記述等が含まれる個人関連情報（他の情報と容易に照合することができ、それにより次に掲げる記述等を特定することができることとなるものを含む。）をいう。
- 住居、勤務先その他の特定の個人が所在し、又は所在していた場所の所在地
- 制限：特定の個人に対する郵便若しくは一般信書便事業者若しくは特定信書便事業者による信書便による送付、電報の送達又は特定の個人への訪問に利用することができるものに限る。
- 電話番号
- 制限：特定の個人に対する電話又はファクシミリ装置を用いた送信に利用することができるものに限る。
- 電子メールアドレス
- 制限：特定の個人に対する電子メールの送信に利用することができるものに限る。
- 電気通信設備を利用する者又は電気通信設備を識別することができるように付された符号
- 制限：特定の個人に対する電気通信を利用した情報の伝達に利用することができるものに限る。
- その他特定の個人に対する連絡その他の情報の伝達に利用することができる記述等として個人情報保護委員会規則で定めるもの
◇行政機関（第9項）
定義：下記に掲げる機関をいう。
- 内閣に置かれる機関（内閣府及び防災庁を除く）及び内閣の所轄の下に置かれる機関
- （例）内閣官房、内閣法制局、復興庁、人事院
- 内閣府、宮内庁、並びに内閣府設置法第49条第1項及び第2項に規定する機関（第4号の政令で定める機関が置かれる機関にあっては、当該政令で定める機関を除く。）
- （内閣府設置法第49条第1項及び第2項に規定する機関の例）国家公安委員会、個人情報保護委員会
- 防災庁（第6号の政令で定める施設等機関を除く。）
- 国家行政組織法第3条第2項に規定する機関（第5号の政令で定める機関が置かれる機関にあっては、当該政令で定める機関を除く。） = 各省庁
- 内閣府設置法第39条及び第55条並びに宮内庁法第16条第2項の機関並びに内閣府設置法第40条及び第56条（宮内庁法第18条第1項において準用する場合を含む。）の特別の機関で、政令で定めるもの
- 防災庁設置法第15条の施設等機関で、政令で定めるもの
- 国家行政組織法第8条の2の施設等機関及び同法第8条の3の特別の機関で、政令で定めるもの
- 会計検査院
◇独立行政法人等（第10項）
定義：独立行政法人通則法第2条第1項に規定する独立行政法人及び個人情報保護法別表第1に掲げる法人
◇地方独立行政法人（第11項）
定義：地方独立行政法人法第2条第1項に規定する地方独立行政法人
◇行政機関等（第12項）
定義：下記に掲げる機関をいう。
- 行政機関
- 地方公共団体の機関（議会を除く）
- 独立行政法人等
- 地方独立行政法人
◇統計作成等（第13項）
定義：大量の情報から要素情報を抽出して分類、比較その他の解析を行うことにより当該大量の情報の傾向又は性質に係る情報（個人に関する情報であるものを除く。）を作成する行為（統計の作成を含む）のうち、個人の権利利益を害するおそれが少ないものとして個人情報保護委員会規則で定めるもの。
■基本理念（法第3条）
内容：個人情報は、個人の人格尊重の理念の下に慎重に取り扱われるべきものである。したがって、個人情報の適正な取扱いが図られなければならない。
第二部：国・地方公共団体の責務等
第三部：個人情報に関する施策等
第四部：個人情報取扱事業者等の義務等
4-1．総則
■定義（法第16条）
◇個人情報データベース等（第1項）
定義：個人情報を含む情報の集合物であって、下記に掲げるもの
- 特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの
- 前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの
例外：利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものを除く。
◇個人情報取扱事業者（第2項）
定義：個人情報データベース等を事業の用に供している者
事業は、営利目的の事業に限らない。
例外：
- 国の機関
- 地方公共団体
- 独立行政法人等
- 地方独立行政法人
◇個人データ（第3項）
定義：個人情報データベース等を構成する個人情報
個人情報データベースに含まれる各個人情報が個人データに当たります。
◇保有個人データ（第4項）
定義：個人情報取扱事業者が下記の行為を行える権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの以外のものをいう。
- 開示
- 内容の訂正
- 追加又は削除
- 利用の停止
- 消去
- 第三者への提供の停止
◇特定生体個人情報（第5項）
定義：特定生体個人識別符号が含まれる個人情報をいう。
「特定生体個人識別符号」とは
第2条第2項第1号に該当する個人識別符号のうち、特別の技術又は多額の費用を要しない方法により取得することができる身体の一部の特徴に係る情報であって当該情報が取得されていることを本人が容易に認識することができないものとして政令で定めるものを変換したものをいう。
◇仮名加工情報取扱事業者（第6項）
定義：仮名加工情報を含む情報の集合物であって、電子計算機その他の手段を用いて特定の仮名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（「仮名加工情報データベース等」）を事業の用に供している者
例外：第2項各号に掲げる者
◇匿名加工情報取扱事業者（第7項）
定義：匿名加工情報を含む情報の集合物であって、電子計算機その他の手段を用いて特定の匿名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（「匿名加工情報データベース等」）を事業の用に供している者
例外：第2項各号に掲げる者
◇個人関連情報取扱事業者（第8項）
定義：個人関連情報を含む情報の集合物であって、電子計算機その他の手段を用いて特定の個人関連情報を容易に検索することができるように体系的に構成したものとして政令で定めるものを事業の用に供している者
例外：第2項各号に掲げる者
◇学術研究機関等（第9項）
定義：大学その他の学術研究を目的とする機関若しくは団体（病院その他の医療の提供を目的とする機関又は団体を含む。）又はそれらに属する者
4-2．個人情報取扱事業者及び個人関連情報取扱事業者の義務
4-2-0．個人情報のライフサイクル
- Phase 1取得・入力
- 利用目的の特定（法第17条）
- 適正な取得（法第20条）
- 連絡可能個人関連情報の適正な取得（法第31条の2第2項）
- 取得に際しての利用目的の通知等（法第21条）
- 要配慮個人情報の同意取得要件の例外（法第30条の2第1項）
- Phase 3利用・加工
- 個人情報・保有個人データに関する規則
- 仮名加工情報に関する規則
- 匿名加工情報に関する規則
- Phase 3保存・バックアップ
- 個人情報・保有個人データに関する規則
- 仮名加工情報に関する規則
- 削除情報等の安全管理義務（法第41条第2項）
- 匿名加工情報に関する規則
- Phase 4
4-2-1．個人情報に関する義務
一言サマリー：個人情報の取得と取扱いに際して遵守すべき事項を定めている条項。
■利用目的の特定（法第17条）
- 第1項：個人情報取扱事業者は、個人情報を取り扱うに当たり、利用目的をできる限り特定しなければならない。
- 第2項：個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて変更してはならない。
利用目的の特定に当たっては、個人情報が最終的にどのような事業の用に供され、どのような目的で個人情報を利用されるのか本人が想定できる程度に具体的に特定することが望ましい。
あらかじめ、取得した個人情報の第三者提供を想定している場合には、その旨が明確に分かるよう利用目的を特定しなければならない。
（例）
- 不適：「マーケティング活動に利用するため」
- 適：「取得した購買履歴等の情報を分析して、嗜好に応じた新商品・サービスに関する広告をするため」
■利用目的による制限（法第18条）
◇個人情報の利用目的範囲の遵守（第1項）
遵守者：個人情報取扱事業者
遵守の内容：あらかじめ本人の同意を得ずに、第17条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
◇承継した個人情報の利用目的範囲の遵守（第2項）
遵守者：個人情報取扱事業者
遵守の場面：他の個人情報取扱事業者からの事業承継に伴って個人情報を取得した場合
遵守の内容：あらかじめ本人の同意を得ずに、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
◇適用除外（第3項）
内容：第1項・第2項の規定は、下記に掲げる場合については、適用しない。
すなわち、下記に掲げる場合については、本人の同意がなくても、目的外利用が可能である。
- 法令（条例を含む。）に基づく場合
- 人の生命、身体又は財産の保護のために必要であるが、本人の同意を得ることが困難であるときその他本人の同意を得ないことについて相当の理由があるとき。
- 公衆衛生の向上又は児童の健全な育成の推進のために特に必要であるが、本人の同意を得ることが困難であるときその他本人の同意を得ないことについて相当の理由があるとき。
- 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
- 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究目的で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
- 学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
- 本人との間の契約の履行のために必要やむを得ないことが明らかである場合その他当該個人情報の取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかである場合として個人情報保護委員会規則で定める場合
■不適正利用の禁止（法第19条）
禁止対象者：個人情報取扱事業者
禁止の内容：違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。
■適正な取得（法第20条）
◇個人情報の取得（第1項）
内容：個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。
個人情報取扱事業者は、個人情報を取得する際には、偽りその他不正の手段を用いてはならず、適正な手段によって取得しなければならない。
◇要配慮個人情報の取得（第2項）
内容：個人情報取扱事業者は、下記に掲げる場合を除くほか、あらかじめ本人の同意を得ずに、要配慮個人情報を取得してはならない。
- 法令（条例を含む。）に基づく場合
- 人の生命、身体又は財産の保護のために必要であるが、本人の同意を得ることが困難であるときその他本人の同意を得ないことについて相当の理由があるとき。
- 公衆衛生の向上又は児童の健全な育成の推進のために特に必要であるが、本人の同意を得ることが困難であるときその他本人の同意を得ないことについて相当の理由があるとき。
- 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
- 当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
- 学術研究機関等と共同して学術研究を行う場合であって、当該学術研究機関等から当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
- 本人との間の契約の履行のために必要やむを得ないことが明らかである場合その他当該要配慮個人情報の取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかである場合として個人情報保護委員会規則で定める場合
- 第30条の2第5項本文の規定により提供を受ける場合又は第31条の3第1項本文の規定により提供を受けた個人関連情報を要配慮個人情報として取得する場合
- 当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、第57条第1項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合
- その他前各号に掲げる場合に準ずるものとして政令で定める場合
■取得に際しての利用目的の通知等（法第21条）
◇利用目的の通知義務（第1項）
義務者：個人情報取扱事業者
義務の場面：個人情報を取得したとき
義務の内容：速やかに、その利用目的を、本人に通知し、又は公表する。
例外：あらかじめ利用目的を公表している場合
本人への通知又は公表が必要な事例
- インターネット上で本人が自発的に公にしている個人情報を取得した場合（単に閲覧しただけの場合を除く。）
- インターネット、官報、職員録等から個人情報を取得した場合（単に閲覧しただけの場合を除く。）
- 個人情報の第三者提供を受けた場合
◇利用目的の明示義務（第2項）
義務者：個人情報取扱事業者
義務の場面：
- 本人との間で契約を締結することで契約書その他の書面（電磁的記録を含む。）に記載された当該本人の個人情報を取得する場合
- その他の本人から直接書面（電磁的記録を含む。）に記載された当該本人の個人情報を取得する場合
義務の内容：あらかじめ、その利用目的を、本人に対して明示する。
例外：人の生命・身体・財産の保護のために緊急に必要がある場合
◇変更時の通知・公表義務（第3項）
義務者：個人情報取扱事業者
義務の内容：利用目的を変更したときは、変更された利用目的について、本人に通知し、又は公表する。
◇適用除外（第4項）
内容：前三項の規定は、下記の各号に掲げる場合については、適用しない。
- 通知・公表により本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
- 通知・公表により個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合
- 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、通知・公表により当該事務の遂行に支障を及ぼすおそれがあるとき
- 取得の状況からみて利用目的が明らかであると認められる場合
■特定生体個人情報の取扱いに際しての利用目的等の通知等（法第21条の2）
◇特定生体個人情報取扱時の通知義務（第1項）
義務者：個人情報取扱事業者
義務の場面：特定生体個人情報を取り扱うとき
義務の内容：あらかじめ、下記の事項を本人に通知し、又は本人が容易に知り得る状態に置く。
- 当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名
- 特定生体個人情報を取り扱うこと。
- 特定生体個人情報の利用目的
- 特定生体個人情報に含まれる特定生体個人識別符号に変換される身体の一部の特徴に係る情報の内容
- 第37条第1項に規定する開示等の請求等に応じる手続（第38条第1項の規定により手数料を徴収する場合は、その手数料の額を含む。）
- その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則で定める事項
通知等の方式：個人情報保護委員会規則で定める方式による。
◇適用除外（第2項）
内容：第1項の規定は、下記に掲げる場合については、適用しない。
- 第1項の規定による措置を講ずることにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
- 第1項の規定による措置を講ずることにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合
- 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、第1項の規定による措置を講ずることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
- その他前三号に掲げる場合に準ずるものとして政令で定める場合
■連絡可能個人関連情報の不適正な取扱いの禁止（法第31条の2）
◇不適正利用の禁止（第1項）
禁止対象者：個人関連情報取扱事業者
内容：違法又は不当な行為を助長し、又は誘発するおそれがある方法により連絡可能個人関連情報を利用してはならない。
◇適正な取得（第2項）
内容：個人関連情報取扱事業者は、偽りその他不正の手段により連絡可能個人関連情報を取得してはならない。
■個人情報取扱事業者による苦情の処理（法第40条）
◇苦情処理の努力義務（第1項）
義務者：個人情報取扱事業者
義務の内容：下記の個人情報等の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
- 個人情報
- 統計作成等用要配慮個人情報等
- 提供統計作成等用個人情報等
- 提供統計作成等用個人データ等
◇苦情処理体制整備の努力義務（第2項）
義務者：個人情報取扱事業者
義務の内容：第1項の目的を達成するために必要な体制の整備に努めなければならない。
4-2-2．個人データに関する義務
a．データ内容の正確性の確保等
一言サマリー：個人データの内容の正確性確保及びデータ消去は個人情報取扱事業者の責務であることを定めている条項。
■データ内容の正確性の確保等（法第22条）
内容：個人情報取扱事業者は、下記に掲げる事項に努めなければならない。
- 利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つこと。
- 利用する必要がなくなったときは、当該個人データを遅滞なく消去すること。
b．安全性の確保
一言サマリー：個人データの安全管理の確保は個人情報取扱事業者の責務であることを定めている条項。
■安全管理措置（法第23条）
内容：個人情報取扱事業者は、下記に掲げる事項のために必要かつ適切な措置を講じなければならない。
- 個人データの漏えい、滅失又は毀損の防止
- その他の個人データの安全管理
■従業者の監督（法第24条）
監督の目的：個人データの安全管理
監督の場面：従業者に個人データを取り扱わせるとき
監督の内容：個人情報取扱事業者は、個人データの安全管理が図られるよう、従業者に対する必要かつ適切な監督を行わなければならない。
従業者の監督：
個人情報取扱事業者は、従業員の監督に際して、個人データが漏えい等をした場合に本人が受ける可能性のある被害の大きさ、事業者の事業内容や個人データの取扱状況等に起因するリスクに応じて、個人データを取り扱う従業者に対する教育、研修等の内容及び頻度を充実させるなど、必要かつ適切な措置を講ずることが望ましい。
■委託先の監督（法第25条）
監督の目的：個人データの安全管理
監督の場面：個人データの取扱いの全部又は一部を委託するとき
監督の内容：個人情報取扱事業者は、取扱いを委託された個人データの安全管理が図られるよう、受託者に対する必要かつ適切な監督を行わなければならない。
委託先の監督
個人情報取扱事業者は、委託先の監督に際して、取扱いを委託する個人データの内容や個人データが漏えい等をした場合に本人が受ける可能性のある被害の大きさを考慮し、委託する事業の規模及び性質、個人データの取扱状況等に起因するリスクに応じて、下記に掲げる必要かつ適切な措置を講じなければならない。
- 適切な委託先の選定
- 具体例：安全管理措置として定める各項目が、委託する業務内容に沿って確実に実施されることについてあらかじめ確認する。
- 委託契約の締結
- 具体例：個人データの取扱いに関する安全管理措置として委託元と委託先の双方が同意した内容とともに、委託先における委託された個人データの取扱状況を委託元が合理的に把握することを盛り込む。
- 委託先における個人データ取扱状況の把握
- 具体例：委託先における委託された個人データの取扱状況を把握するために、定期的に監査を行う等により、委託契約で盛り込んだ内容の実施の程度を調査した上で、委託の内容等の見直しを検討することを含め、適切に評価する。
二次以上の再委託が見込まれる場合は、委託の場合と同様に、必要かつ適切な措置を講じなければならない。
■漏洩等の報告等（法第26条）
◇個人情報保護委員会への報告義務（第1項）
義務の場面：取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって、個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたとき
義務者：個人情報取扱事業者
義務の内容：当該事態が生じた旨を個人情報保護委員会に報告する。
報告の方式：個人情報保護委員会規則で定める方式による。
例外：個人情報取扱事業者が、下記の条件を満たすときは、個人情報保護委員会への報告義務を適用しない。
- 他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた。
- 個人情報保護委員会規則で定める方式により、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知した。
◇本人への通知義務（第2項）
義務者：個人情報取扱事業者（第1項の例外規定による通知をした者を除く。）
義務の場面：第1項に規定する場面（取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって、個人の権利利益を害するおそれが大きいものとして定めるものが生じたとき）
内容：当該事態が生じた旨を本人に通知しなければならない。
通知の方式：個人情報保護委員会規則で定める方式による。
例外：下記の1又は2の場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
- 本人への通知が困難な場合
- 本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合として個人情報保護委員会規則で定める場合
代替措置に該当する事例
- 事案の公表
- 問合せ窓口を用意してその連絡先を公表し、本人が自らの個人データが対象となっているか否かを確認できるようにすること
講ずべき安全管理措置の内容・チェックリストについては、本ブログの別記事を参照されたい。
c．第三者提供に関する義務
一言サマリー：個人情報取扱事業者が個人情報保護の観点から個人データの第三者提供をする際に遵守すべき事項について定めている条項。
■第三者提供の制限（法第27条）
同じグループに属する会社間又はフランチャイズ組織の本部と加盟店との間であっても、個人データの交換は第三者提供に該当する。
◇第三者提供の制限（第1項）
原則：個人情報取扱事業者は、個人データを第三者に提供するには、下記の各号に掲げる場合を除き、あらかじめ本人の同意を必要とする。
各号に規定する第三者提供制限の例外：
- 法令（条例を含む。）に基づく場合
- 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるときその他本人の同意を得ないことについて相当の理由があるとき。
- 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるときその他本人の同意を得ないことについて相当の理由があるとき。
- 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
- 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）。
- 学術研究機関等である当該個人情報取扱事業者が第三者と共同して学術研究を行う場合であって、当該第三者に対し、当該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
- 当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
- 本人との間の契約の履行のために必要やむを得ないことが明らかである場合その他当該個人データの取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかである場合として個人情報保護委員会規則で定める場合。
◇第三者提供の特例（第2項）
内容：個人情報取扱事業者は、下記の条件を満たす場合、前項の規定にかかわらず、個人データを第三者に提供することができる。
オプトアウト方式による第三者提供を可能にする条件：第三者に提供される個人データについて、
- 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている。
- 下記の各号に掲げる事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いている。
- 下記の各号に掲げる事項について、あらかじめ、個人情報保護委員会に届け出ている。
各号に規定する本人への通知・公表・届出事項：
- 第三者への提供を行う個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名
- 第三者への提供を利用目的とすること。
- 第三者に提供される個人データの項目
- 第三者に提供される個人データの取得の方法
- 第三者への提供の方法
- 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること
- 本人の求めを受け付ける方法
- その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則で定める事項
例外：下記の場合には、オプトアウト制度を用いて個人データを第三者に提供することができない。
- 第三者に提供される個人データが要配慮個人情報又は特定生体個人情報である。
- 第三者に提供される個人データが第20条第1項の規定に違反して取得されたものである。
- 第三者に提供される個人データが他の個人情報取扱事業者からオプトアウト手続きにより提供されたもの（その全部又は一部を複製し、又は加工したものを含む。）である。
◇個人情報保護委員会への通知・届出義務（第3項）
義務者：個人情報取扱事業者
義務の場面：
- 第2項第1号に掲げる事項に変更があったとき又は第2項の規定による個人データの提供を停止したとき
- 第2項第3号～第5号、第7号又は第8号に掲げる事項を変更しようとするとき
義務の内容：変更・停止の旨について、個人情報保護委員会規則で定めるところにより、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
通知・届出の時期：
- 第2項第1号の事項の変更又は個人データの提供停止の場合：変更・停止後遅滞なく
- 第2項第3号～第5号、第7号又は第8号の変更の場合：あらかじめ
◇公表義務（第4項）
義務者：個人情報保護委員会
義務の場面：
- 第2項の規定による届出があったとき
- 第3項の規定による届出があったとき
義務の内容：届出に係る事項を公表する。
公表の方式：個人情報保護委員会規則で定めるところによる。
◇第三者の該当性（第5項）
内容：下記の各号に掲げる場合には、個人情報取扱事業者から個人データの提供を受ける者は、第1項～第4項の規定の適用については、第三者に該当しない。
- 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合
- 合併その他の事由による事業承継に伴って個人データが提供される場合
- 特定の者との間で共同利用される個人データがその特定の者に提供される場合であって、下記の事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。
- 個人データを共同利用する旨
- 共同利用される個人データの項目
- 共同利用する者の範囲
- 利用者の利用目的
- 当該個人データの管理責任者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
◇個人データの共同利用に係る通知義務（第6項）
義務者：個人情報取扱事業者
義務の場面：
- 第5項第3号に規定する個人データの管理責任者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったとき
- 第5項第3号に規定する利用者の利用目的又は管理責任者を変更しようとするとき
義務の内容：変更の旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
通知の時期：
- 個人データの管理責任者に係る変更があったとき：変更後、遅滞なく
- 個人データの利用目的又は管理責任者を変更しようとするとき：あらかじめ
◇確認義務（第7項）
義務者：個人情報取扱事業者
義務の場面：第2項本文の規定により個人データを第三者（第16条第2項各号に掲げる者を除く。）に提供するとき
義務の内容：個人情報保護委員会規則で定めるところにより、あらかじめ、次に掲げる事項の確認を行わなければならない。
- 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
- 当該第三者における当該個人データの利用目的
例外：
- 当該個人データの全部が、当該個人情報取扱事業者が当該個人データを取得した時点において本人、国の機関、地方公共団体、学術研究機関等、第57条第1項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されていたものである場合
- 上に準ずる場合として個人情報保護委員会規則で定める場合
◇真実義務（第8項）
義務者：個人情報取扱事業者から第7項の規定による確認を求められた第三者
義務の内容：当該個人情報取扱事業者に対して、当該確認に係る事項を偽ってはならない。
d．外国にある第三者への提供に関する義務
一言サマリー：個人情報取扱事業者が個人情報保護の観点から個人データを外国にある第三者に提供する際に遵守すべき事項を定めている条項。
■外国にある第三者への提供の制限（法第28条）
◇外国にある第三者への提供に係る義務（第1項）
義務者：個人情報取扱事業者
義務の場面：外国にある第三者に個人データを提供する場合
義務の内容：第27条第1項各号に掲げる場合を除き、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。
第27条の規定の適用除外：外国にある第三者に個人データを提供する場合には、第27条の規定は適用されない。
外国の例外：日本と同等水準の個人情報保護制度を有している外国として個人情報保護委員会規則で定める国
外国にある第三者の例外：個人データの取扱いについて個人情報取扱事業者が講ずべきこととされている措置に相当する措置（「相当措置」という。）を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者
◇情報提供義務（第2項）
義務者：個人情報取扱事業者
義務の場面：第1項の規定により本人の同意を得ようとする場合
義務の内容：あらかじめ、下記の情報を当該本人に提供する。
- 当該外国における個人情報保護制度
- 当該第三者が講ずる個人情報保護のための措置
- その他当該本人に参考となるべき情報
情報提供の方式：個人情報保護委員会規則で定めるところによる。
◇必要な措置の実施義務（第3項）
義務者：個人情報取扱事業者
義務の場面：個人データを外国にある第三者（第1項に規定する体制を整備している者に限る。）に提供した場合
義務の内容：
- 当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずる。
- 本人の求めに応じて当該必要な措置に関する情報を当該本人に提供する。
措置および情報提供の方式：個人情報保護委員会規則で定めるところによる。
e．トレーサビリティーの確保
一言サマリー：個人情報取扱事業者が第三者として個人データを授受する際に個人情報保護の観点から実施する確認・記録作成について定めている条項。
■第三者提供に係る記録の作成等（法第29条）
◇個人データ提供に係る記録の作成義務（第1項）
義務者：個人情報取扱事業者
義務の場面：個人データを第三者（第16条第2項各号に掲げる者を除く。）に提供したとき
義務の内容：下記の事項に関する記録を作成する。
- 当該個人データを提供した年月日
- 当該第三者の氏名又は名称
- その他の個人情報保護委員会規則で定める事項（第27条第7項の規定による確認が行われた場合にあっては、当該事項及び同項第2号に掲げる事項）
記録の作成方式：個人情報保護委員会規則で定めるところによる。
例外：下記のいずれかの場合、記録の作成義務は適用されない。
◇記録の保存義務（第2項）
義務者：個人情報取扱事業者
義務の内容：第1項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存する。
■第三者提供を受ける際の確認等（法第30条）
◇個人データの提供を受ける際の確認義務（第1項）
義務者：個人情報取扱事業者
義務の場面：第三者（第16条第2項各号に掲げる者を除く。）から個人データの提供を受けるとき
義務の内容：下記に掲げる事項を確認する。
- 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名
- 当該第三者による当該個人データの取得の経緯
確認の方式：個人情報保護委員会規則で定めるところによる。
例外：下記のいずれかの場合、確認義務は適用されない。
個人データの提供が第27条第1項各号又は第5項各号のいずれかに該当する場合、確認義務は適用されなくても記録作成義務は適用される。
◇誠実義務（第2項）
義務者：第1項の第三者（第16条第2項各号に掲げる者を除く。）
義務の場面：個人情報取扱事業者が第1項の規定による確認を行うとき
義務の内容：当該個人情報取扱事業者に対して、当該確認に係る事項を偽ってはならない。
◇情報提供に係る記録の作成義務（第3項）
義務者：個人情報取扱事業者
義務の場面：第1項の規定による確認を行ったとき
義務の内容：下記に掲げる事項に関する記録を作成する。
- 当該個人データの提供を受けた年月日
- 当該確認に係る事項
- その他の個人情報保護委員会規則で定める事項
記録作成の方式：個人情報保護委員会規則で定めるところによる。
◇記録の保存義務（第4項）
義務者：個人情報取扱事業者
義務の場面：第3項の規定による記録を作成したとき
義務の内容：第3項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。
■個人情報に係る統計作成等の特例（法第30条の2）
- Phase 1取得・入力
- 要配慮個人情報の同意取得要件の例外（第1項）
- Phase 2利用・加工
- 第1項に規定する事項の公表義務（第2項）
- 公表事項変更時の義務（第3項）
- 要配慮個人情報の利用範囲の制限（第4項）
- 個人情報の同意なし第三者提供の特則（第5項）
- 第5項第1号に規定する事項の公表義務（第6項）
- 公表事項の変更（第7項）
- 第7項の例外的変更の公表義務（第8項）
- 提供統計作成等用個人情報等の利用範囲の制限（第9項）
- 統計作成等用要配慮個人情報等・提供統計作成等用個人情報等の第三者提供の禁止（第10項）
- 個人データではない個人情報の第三者提供の禁止（第11項）
- 第27条第5項・第6項の規定の準用（第12項）
- 必要な措置の実施義務（第13項）
- 第23条から第25条までの規定および第29条第1項本文及び第2項の規定の準用（第14項）
- Phase 3保存・バックアップ
- 第23条から第25条までの規定および第29条第1項本文及び第2項の規定の準用（第14項）
◇要配慮個人情報の同意取得要件の例外（第1項）
一言サマリー：個人情報取扱事業者は、統計作成等又は第三者提供の目的のためには、現に公開されている要配慮個人情報を本人の同意を得ないで取得できることを定めている条項。
対象者：個人情報取扱事業者
例外の場面：下記のいずれかの目的で現に公開されている要配慮個人情報を取り扱う必要がある場合であって、当該要配慮個人情報を取り扱う目的の全部が統計作成等目的又は当該提供を行う目的であるとき
- 統計作成等を行う目的（「統計作成等目的」）
- 第5項本文の規定による提供を行う目的
例外の条件：下記の事項を公表している。
- 当該個人情報取扱事業者の氏名又は名称
- 取得した要配慮個人情報を用いて行おうとする統計作成等の内容又は第5項本文の規定による提供を行う目的で当該要配慮個人情報を取り扱う旨
- その他個人情報保護委員会規則で定める事項
公表の方式：インターネットの利用その他の個人情報保護委員会規則で定める方法による。
例外の内容：当該個人情報取扱事業者は、第20条第2項の規定にかかわらず、当該現に公開されている要配慮個人情報を本人の同意を得ないで取得することができる。
◇第1項に規定する事項の公表義務（第2項）
一言サマリー：第1項の規定により要配慮個人情報を取得した個人情報取扱事業者はその取得に際して公表した第1項に定める事項を公表し続けなくてはならないことを定めている条項。
義務者：特例要配慮個人情報取得者（第1項の規定により要配慮個人情報を取得した個人情報取扱事業者）
義務の内容：第1項に規定する事項（当該事項を第3項本文の規定により変更した場合又は第3項ただし書の場合にあっては、変更後の当該事項）を継続して公表しなければならない。
公表期間：当該要配慮個人情報又はその全部若しくは一部を複製し、若しくは加工した生存する個人に関する情報を取り扱っている間。
公表の方式：第1項の個人情報保護委員会規則で定める方法による。
◇公表事項変更時の義務（第3項）
一言サマリー：第2項の規定により継続して公表している事項を変更するときの手続きについて定めている条項。
義務者：特例要配慮個人情報取得者
義務の場面：第2項の規定により公表している事項を変更するとき
義務の内容：あらかじめ、公表事項を変更する旨及び当該変更の内容を公表しなければならない。
公表の方式：第1項の個人情報保護委員会規則で定める方法による。
例外の場面：当該特例要配慮個人情報取得者の氏名又は名称その他個人情報保護委員会規則で定める事項を変更するとき。
例外の内容：変更後速やかに、公表事項を変更する旨及び当該変更の内容を公表する。
公表の方式：第1項の個人情報保護委員会規則で定める方法による。
◇要配慮個人情報の利用範囲の制限（第4項）
一言サマリー：第1項の規定により要配慮個人情報を取得した個人情報取扱事業者はその統計作成等用要配慮個人情報等を必要な範囲で取り扱う必要があることを定めている条項。
対象者：第1項の規定により取得された要配慮個人情報又はその全部若しくは一部を複製し、若しくは加工した生存する個人に関する情報（「統計作成等用要配慮個人情報等」）を取り扱う個人情報取扱事業者
制限の内容：当該個人情報取扱事業者は、第18条の規定にかかわらず、当該統計作成等用要配慮個人情報等を、次の各号に掲げる場合の区分に応じて、当該各号に定める行為を行うために必要な範囲を超えて取り扱ってはならない。
-
- 場合の区分：当該統計作成等用要配慮個人情報等に係る特例要配慮個人情報取得者が第2項の規定により当該統計作成等用要配慮個人情報等に係る要配慮個人情報を用いて行おうとする統計作成等の内容を公表している場合（第3号に掲げる場合を除く。）
- 行為：当該公表されている内容の統計作成等
統計作成等用要配慮個人情報等の例外：第6項に規定する提供統計作成等用個人情報等であるものを除く。
制限の例外：法令（条例を含む。）に基づく場合及び人命の救助、災害の救援その他非常の事態への対応のため緊急の必要がある場合（「法令に基づく場合等」）は、当該統計作成等用要配慮個人情報等を取り扱うことができる。
「統計作成等用要配慮個人情報等を取り扱う個人情報取扱事業者」は必ずしも「特例要配慮個人情報取得者」を意味しないが、「特例要配慮個人情報取得者」が「統計作成等用要配慮個人情報等を取り扱う個人情報取扱事業者」になることはある。
◇個人情報の同意なし第三者提供の特則（第5項）
一言サマリー：個人情報取扱事業者は、統計作成等の目的で個人情報（統計作成等用要配慮個人情報等を含む。）を必要とする第三者に対し、特定の場面において、当該個人情報を本人の同意を得ないで提供できることを定めている条項。
特則の内容：個人情報取扱事業者は、下記の場合において、第18条及び第27条第1項の規定にかかわらず、第三者（個人情報取扱事業者又は行政機関の長等である者に限る。）に対し、個人情報（統計作成等用要配慮個人情報等を含む。）を本人の同意を得ないで提供することができる。
同意なし第三者提供が可能な場面：当該第三者が個人情報（統計作成等用要配慮個人情報等を含む。）を統計作成等目的で取り扱う必要がある場合（当該個人情報を取り扱う目的の全部が統計作成等目的である場合に限る。）であって、次の各号のいずれにも該当するとき。
- 当該個人情報取扱事業者及び当該第三者が、インターネットの利用その他の個人情報保護委員会規則で定める方法により、次の事項を公表していること。
- 当該個人情報取扱事業者及び当該第三者の氏名又は名称
- 行おうとする統計作成等の内容
- その他個人情報保護委員会規則で定める事項
- 当該第三者との間の書面（電磁的記録を含む。）による合意により、当該提供が第5項本文の規定によるものである旨が明確に定められていること。
特則の例外：当該個人情報が他の個人情報取扱事業者又は個人関連情報取扱事業者から第5項本文又は第31条の3第1項本文の規定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む。）である場合は、本人の同意が必要である。
第三者が外国にある者である場合の制限：第三者が外国にある者である場合は、当該第三者は、個人情報等の取扱いについて個人情報取扱事業者等が講ずべきこととされている措置に相当する措置（「相当措置」）を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制（「基準適合体制」）を整備している者に限る。
「個人情報等」及び「個人情報取扱事業者等」とは
個人情報等には個人情報、仮名加工情報、匿名加工情報及び個人関連情報が含まれる。個人情報取扱事業者等には個人情報取扱事業者、仮名加工情報取扱事業者、匿名加工情報取扱事業者及び個人関連情報取扱事業者が含まれる。
◇第5項第1号に規定する事項の公表義務（第6項）
一言サマリー：第5項の規定により個人情報の提供を受けた第三者はその取得に際して公表した第5項に定める事項を公表し続けなくてはならないことを定めている条項。
義務者：第5項本文の規定により個人情報の提供を受けた第三者（「特例個人情報受領者」）
第三者の限定：当該第三者は、個人情報取扱事業者である者に限る。
義務の内容：第5項第1号に規定する事項（当該事項を第7項本文の規定により変更した場合又は第8項の場合にあっては、変更後の当該事項）を継続して公表しなければならない。
公表期間：下記のいずれかの情報を取り扱っている間。
- 提供を受けた当該個人情報
- 提供を受けた当該個人情報の全部又は一部を複製又は加工した生存する個人に関する情報（「提供統計作成等用個人情報等」という）
公表の方式：第5項第1号の個人情報保護委員会規則で定める方法による。
◇公表事項の変更（第7項）
一言サマリー：第6項の規定により継続して公表している事項を変更するときの手続きについて定めている条項。
変更者：特例個人情報受領者
変更する事項：第6項の規定により公表されている事項
変更可能な場面：あらかじめ、下記の事項の両方を公表する場合。
公表の方式：第5項第1号の個人情報保護委員会規則で定める方法による。
例外：当該特例個人情報受領者の氏名又は名称その他個人情報保護委員会規則で定める事項を変更するときは、この限りでない。
◇第7項の例外的変更の公表義務（第8項）
一言サマリー：第7項ただし書（例外）に規定する変更をするときの手続きについて定めている条項。
義務者：特例個人情報受領者
義務の場面：第7項ただし書（例外）に規定する変更をするとき。
義務の内容：変更後速やかに、当該変更をした旨及び当該変更の内容を公表しなければならない。
公表の方式：第5項第1号の個人情報保護委員会規則で定める方法による。
◇提供統計作成等用個人情報等の利用範囲の制限（第9項）
一言サマリー：提供統計作成等用個人情報等を取り扱う個人情報取扱事業者はその提供統計作成等用個人情報等を必要な範囲で取り扱う必要があることを定めている条項。
制限の内容：提供統計作成等用個人情報等を取り扱う個人情報取扱事業者は、第18条の規定にかかわらず、当該提供統計作成等用個人情報等を、次の各号に掲げる場合の区分に応じて、当該各号に定める統計作成等を行うために必要な範囲を超えて取り扱ってはならない。
例外：法令に基づく場合等においては、当該提供統計作成等個人情報等を取り扱うことができる。
◇統計作成等用要配慮個人情報等・提供統計作成等用個人情報等の第三者提供の禁止（第10項）
一言サマリー：統計作成等用要配慮個人情報等又は提供統計作成等用個人情報等を取り扱う個人情報取扱事業者は、例外の場合を除き、当該統計作成等用要配慮個人情報等又は提供統計作成等用個人情報等である個人データを第三者に提供してはならないことを定めている条項。
第三者提供禁止対象者：統計作成等用要配慮個人情報等又は提供統計作成等用個人情報等を取り扱う個人情報取扱事業者
禁止の内容：第27条第1項及び第2項並びに第28条第1項の規定にかかわらず、当該統計作成等用要配慮個人情報等又は提供統計作成等用個人情報等である個人データを第三者に提供してはならない。
第三者提供禁止の例外：
- 法令に基づく場合等
- 当該個人情報取扱事業者が、第1項の規定により要配慮個人情報を取得し、かつ、第2項の規定により第5項本文の規定による提供を行う目的で当該要配慮個人情報を取り扱う旨を公表している場合であって、当該個人情報取扱事業者が当該要配慮個人情報に係る統計作成等用要配慮個人情報等を第5項本文の規定により提供するとき。
□第三者提供の制限（法第27条）
◇第三者の該当性（第5項）
内容：下記の各号に掲げる場合には、個人情報取扱事業者から個人データの提供を受ける者（個人情報取扱事業者又は行政機関の長等（これらの者が第28条第1項に規定する外国にある者である場合にあっては、第30条の2第5項に規定する基準適合体制を整備している者に限る。）である者に限る。）は、第30条の2第10項の規定の適用については、第三者に該当しない。
- 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合
- 合併その他の事由による事業承継に伴って個人データが提供される場合
- 特定の者との間で共同利用される個人データがその特定の者に提供される場合であって、下記の事項について、あらかじめ、公表しているとき。
- 個人データを共同利用する旨
- 共同利用される個人データの項目
- 共同利用する者の範囲
- 利用者の利用目的
- 当該個人データの管理責任者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
◇個人データの共同利用に係る公表義務（第6項）
義務者：個人情報取扱事業者
義務の場面：
- 第5項第3号に規定する個人データの管理責任者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったとき
- 第5項第3号に規定する利用者の利用目的又は管理責任者を変更しようとするとき
義務の内容：変更の旨について、公表しなければならない。
公表の時期：
- 個人データの管理責任者に係る変更があったとき：変更後、遅滞なく
- 個人データの利用目的又は管理責任者を変更しようとするとき：あらかじめ
□第三者提供に係る記録の作成等（法第29条）
◇個人データ提供に係る記録の作成義務（第1項）
義務者：個人情報取扱事業者
義務の場面：個人データを第三者（第16条第2項各号に掲げる者を除く。）に提供したとき
義務の内容：下記の事項に関する記録を作成する。
- 当該個人データを提供した年月日
- 当該第三者の氏名又は名称
- その他の個人情報保護委員会規則で定める事項（第27条第7項の規定による確認が行われた場合にあっては、当該事項及び同項第2号に掲げる事項）
記録の作成方式：個人情報保護委員会規則で定めるところによる。
例外：下記のいずれかの場合、記録の作成義務は適用されない。
□第三者提供を受ける際の確認等（法第30条）
◇個人データの提供を受ける際の確認義務（第1項）
義務者：個人情報取扱事業者
義務の場面：第三者（第16条第2項各号に掲げる者を除く。）から個人データの提供を受けるとき
義務の内容：下記に掲げる事項を確認する。
- 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名
- 当該第三者による当該個人データの取得の経緯
確認の方式：個人情報保護委員会規則で定めるところによる。
例外：下記のいずれかの場合、確認義務は適用されない。
◇個人データではない個人情報の第三者提供の禁止（第11項）
一言サマリー：統計作成等用要配慮個人情報等又は提供統計作成等用個人情報等を取り扱う個人情報取扱事業者は当該統計作成等用要配慮個人情報等又は提供統計作成等用個人情報等（これらのうち個人データであるものを除く。）を第三者に提供してはならないことを定めている条項。
第三者提供禁止対象者：統計作成等用要配慮個人情報等又は提供統計作成等用個人情報等を取り扱う個人情報取扱事業者
禁止の内容：第31条第1項の規定にかかわらず、第10項各号に掲げる場合を除くほか、当該統計作成等用要配慮個人情報等又は提供統計作成等用個人情報等（これらのうち個人データであるものを除く。）を第三者に提供してはならない。
第10項および第11項は、「統計作成等用要配慮個人情報等又は提供統計作成等用個人情報等」が目的外に流通して乱用されないよう、個人データの場合は例外的に認める条件付き第三者提供、個人データでない場合は第三者提供禁止という両面から安全管理を確保しています。
◇第27条第5項・第6項の規定の準用（第12項）
一言サマリー：統計作成等用要配慮個人情報等又は提供統計作成等用個人情報等（これらのうち個人データであるものを除く。）の提供を受ける者に関する第27条第5項及び第6項の規定の準用について定めている条項。
内容：第27条第5項及び第6項の規定は、統計作成等用要配慮個人情報等又は提供統計作成等用個人情報等（これらのうち個人データであるものを除く。）の提供を受ける者（個人情報取扱事業者又は行政機関の長等である者に限る。）について準用する。
（第12項の規定に基づく読み替え後の規定）
以下の記載中の「個人データ」は、「統計作成等用要配慮個人情報等又は提供統計作成等用個人情報等（これらのうち個人データであるものを除く。）」と読み替えるものとする。
□第三者提供の制限（法第27条）
◇第三者の該当性（第5項）
内容：下記の各号に掲げる場合には、個人情報取扱事業者から個人データの提供を受ける者は、第30条の2第11項の規定の適用については、第三者に該当しない。
- 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合
- 合併その他の事由による事業承継に伴って個人データが提供される場合
- 特定の者との間で共同利用される個人データがその特定の者に提供される場合であって、下記の事項について、あらかじめ、公表しているとき。
- 個人データを共同利用する旨
- 共同利用される個人データの項目
- 共同利用する者の範囲
- 利用者の利用目的
- 当該個人データの管理責任者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
◇個人データの共同利用に係る公表義務（第6項）
義務者：個人情報取扱事業者
義務の場面：
- 第5項第3号に規定する個人データの管理責任者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったとき
- 第5項第3号に規定する利用者の利用目的又は管理責任者を変更しようとするとき
義務の内容：変更の旨について、公表しなければならない。
公表の時期：
- 個人データの管理責任者に係る変更があったとき：変更後、遅滞なく
- 個人データの利用目的又は管理責任者を変更しようとするとき：あらかじめ
◇必要な措置の実施義務（第13項）
一言サマリー：外国にある第三者に個人情報・統計作成等用要配慮個人情報等・提供統計作成等用個人情報等を提供した個人情報取扱事業者は当該第三者による相当措置の継続的実施の確保に必要な措置を講じ、その措置に関する情報を公表する義務を負うことを定めている条項。
義務者：基準適合体制を整備している外国にある第三者に下記のいずれかの情報を第5項本文の規定に基づき提供した個人情報取扱事業者
- 個人情報
- 統計作成等用要配慮個人情報等又は提供統計作成等用個人情報等
義務の内容：
- 当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずる。
- 当該必要な措置に関する情報を公表する。
措置および情報提供の方式：個人情報保護委員会規則で定めるところによる。
第28条第3項の規定との関係：この場合においては、第28条第3項の規定は、適用しない。
◇第23条から第25条までの規定及び第29条第1項本文・第2項の規定の準用（第14項）
一言サマリー：第23条から第25条までの規定及び第29条第1項本文・第2項の規定の準用について定めている条項。
第23条から第25条までの規定：個人情報取扱事業者による統計作成等用要配慮個人情報等又は提供統計作成等用個人情報等（これらのうち個人データであるものを除く。）の取扱いについて準用する。第23条中の「漏えい、滅失又は毀損」は「漏えい」と読み替える。
第29条第1項本文及び第2項の規定：第5項本文の規定により個人情報取扱事業者が統計作成等用要配慮個人情報等（第31条第1項に規定する個人関連情報であるものに限る。）を特例個人情報受領者に提供する場合（当該特例個人情報受領者が当該統計作成等用要配慮個人情報等を個人データとして取得することが想定される場合に限る。）について準用する。
■受託者である個人情報取扱事業者の義務（法第30条の3）
義務者：他の個人情報取扱事業者又は行政機関等から個人情報の取扱いの全部又は一部の委託（二次以上の再委託を含む。）を受けた個人情報取扱事業者
義務の内容：法令に基づく場合等を除くほか、その取扱いを委託された個人情報（当該個人情報取扱事業者において個人関連情報となるものを除く。）を、当該委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない。
■個人関連情報の第三者提供の制限等（法第31条）
◇個人データの提供を受ける際の確認義務（第1項）
義務者：個人関連情報取扱事業者
義務の場面：第三者が個人関連情報（個人関連情報データベース等を構成するものに限る。）を個人データとして取得することが想定されるとき
義務の内容：下記に掲げる事項について、あらかじめ個人情報保護委員会規則で定めるところにより確認することをしないで、当該個人関連情報を当該第三者に提供してはならない。
- 当該第三者が個人関連情報取扱事業者から個人関連情報の提供を受けて本人が識別される個人データとしてそれを取得することを認める旨の同意が、当該本人から得られていること。
- 外国にある第三者への提供にあっては、前号の本人の同意を得ようとする場合において、個人情報保護委員会規則で定めるところにより、あらかじめ、下記に掲げる情報が当該本人に提供されていること。
- 当該外国における個人情報の保護に関する制度
- 当該第三者が講ずる個人情報の保護のための措置
- その他当該本人に参考となるべき情報
例外：第27条第1項各号に掲げる場合
第2号の「外国にある第三者」の限定：相当措置を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者
◇第28条第3項の規定の準用（第2項）
内容：第28条第3項の規定は、第1項の規定により個人関連情報取扱事業者が個人関連情報を提供する場合について準用する。
◇第30条第2項～第4項の規定の準用（第3項）
内容：第30条第2項～第4項までの規定は、第1項の規定により個人関連情報取扱事業者が確認する場合について準用する。
（第2項において準用する規定）
□外国にある第三者への提供の制限（法第28条）
◇必要な措置の実施義務（第3項）
義務者：個人関連情報取扱事業者
義務の場面：個人関連情報を外国にある第三者（第1項に規定する体制を整備している者に限る。）に提供した場合
義務の内容：当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずる。
措置の方式：個人情報保護委員会規則で定めるところによる。
（第3項において準用する規定）
□第三者提供を受ける際の確認等（法第30条）
◇誠実義務（第2項）
義務者：第1項の第三者（第16条第2項各号に掲げる者を除く。）
義務の場面：個人関連情報取扱事業者が第1項の規定による確認を行うとき
義務の内容：当該個人関連情報取扱事業者に対して、当該確認に係る事項を偽ってはならない。
◇情報提供に係る記録の作成義務（第3項）
義務者：個人関連情報取扱事業者
義務の場面：第1項の規定による確認を行ったとき
義務の内容：下記に掲げる事項に関する記録を作成する。
- 当該個人関連情報の提供をした年月日
- 当該確認に係る事項
- その他の個人情報保護委員会規則で定める事項
記録作成の方式：個人情報保護委員会規則で定めるところによる。
◇記録の保存義務（第4項）
義務者：個人関連情報取扱事業者
義務の場面：第3項の規定による記録を作成したとき
義務の内容：第3項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。
■個人関連情報の第三者提供に係る統計作成等の特例（法第31条の3）
◇個人関連情報の統計作成等目的向け第三者提供（第1項）
一言サマリー：個人関連情報取扱事業者は、統計作成等の目的で個人関連情報を必要とする第三者に対し、特定の場面において、当該個人関連情報を本人の同意を得ないで提供できることを定めている条項。
対象者：個人関連情報取扱事業者
第三者提供の場面：第三者が個人関連情報を統計作成等目的で取り扱う必要がある場合（当該個人関連情報を取り扱う目的の全部が統計作成等目的である場合に限る。）であって、下記の各号のいずれにも該当するとき。
- 当該個人関連情報取扱事業者及び当該第三者が、インターネットの利用その他の個人情報保護委員会規則で定める方法により、次の事項を公表していること。
- 当該個人関連情報取扱事業者及び当該第三者の氏名又は名称
- 行おうとする統計作成等の内容
- その他個人情報保護委員会規則で定める事項
- 当該第三者との間の書面（電磁的記録を含む。）による合意により、当該提供がこの項本文の規定によるものである旨が明確に定められていること。
第三者提供の内容：当該個人関連情報取扱事業者は、第31条第1項（第1号に係る部分に限る。）の規定にかかわらず、同項第1号に掲げる事項について確認することをしないで当該個人関連情報を当該第三者に提供することができる。
第三者提供の例外：当該個人関連情報が個人情報取扱事業者又は他の個人関連情報取扱事業者から第30条の2第5項本文又はこの項本文の規定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む。）である場合は、第31条第1項第1号に掲げる事項について確認することが必要である。
◇第1項第1号に規定する事項の公表義務（第2項）
一言サマリー：第1項の規定により個人関連情報を個人データとして取得した第三者はその取得に際して公表した第1項に定める事項を公表し続けなくてはならないことを定めている条項。
義務者：第1項本文の規定により個人関連情報の提供を受け個人データとして取得した第三者（個人情報取扱事業者である者に限る。）
義務の内容：第1項第1号に規定する事項（当該事項を第3項本文の規定により変更した場合又は第4項の場合にあっては、変更後の当該事項）を継続して公表しなければならない。
公表期間：当該個人関連情報又はその全部若しくは一部を複製し、若しくは加工した生存する個人に関する情報（以下「提供統計作成等用個人データ等」という。）を取り扱っている間。
公表の方式：第1項第1号の個人情報保護委員会規則で定める方法による。
◇公表事項の変更（第3項）
一言サマリー：第2項の規定により継続して公表している事項を変更するときの手続きについて定めている条項。
変更者：特例個人関連情報受領者（第1項本文の規定により個人関連情報の提供を受け個人データとして取得した第三者）
変更する事項：第2項の規定により公表されている事項
変更可能な場面：あらかじめ、下記の事項の両方を公表する場合。
- 当該特例個人関連情報受領者及び第1項本文の規定により当該特例個人関連情報受領者に対する個人関連情報の提供を行った個人関連情報取扱事業者の双方が第2項の規定により公表されている事項を変更する旨
- 当該変更の内容
公表の方式：第1項第1号の個人情報保護委員会規則で定める方法による。
例外：当該特例個人関連情報受領者の氏名又は名称その他個人情報保護委員会規則で定める事項を変更するときは、この限りでない。
◇第3項の例外的変更の公表義務（第4項）
一言サマリー：第3項ただし書（例外）に規定する変更をするときの手続きについて定めている条項。
義務者：特例個人関連情報受領者
義務の場面：第3項ただし書（例外）に規定する変更をするとき。
義務の内容：変更後速やかに、当該変更をした旨及び当該変更の内容を公表しなければならない。
公表の方式：第1項第1号の個人情報保護委員会規則で定める方法による。
◇提供統計作成等用個人データ等の利用範囲の制限（第5項）
一言サマリー：提供統計作成等用個人データ等を取り扱う個人情報取扱事業者はその提供統計作成等用個人データ等を必要な範囲で取り扱う必要があることを定めている条項。
制限の内容：提供統計作成等用個人データ等を取り扱う個人情報取扱事業者は、第18条の規定にかかわらず、当該提供統計作成等用個人データ等を、次の各号に掲げる場合の区分に応じて、当該各号に定める統計作成等を行うために必要な範囲を超えて取り扱ってはならない。
例外：法令に基づく場合等においては、当該提供統計作成等個人データ等を取り扱うことができる。
◇提供統計作成等用個人データ等の第三者提供の禁止（第6項）
一言サマリー：提供統計作成等用個人データ等を取り扱う個人情報取扱事業者は、例外の場合を除き、当該提供統計作成等用個人データを第三者に提供してはならないことを定めている条項。
第三者提供禁止対象者：提供統計作成等用個人データ等を取り扱う個人情報取扱事業者
内容：第27条第1項及び第2項並びに第28条第1項の規定にかかわらず、当該提供統計作成等用個人データ等である個人データを第三者に提供してはならない。
第三者提供禁止の例外：法令に基づく場合等
□第三者提供の制限（法第27条）
◇第三者の該当性（第5項）
内容：下記の各号に掲げる場合には、個人情報取扱事業者から個人データの提供を受ける者（個人情報取扱事業者又は行政機関の長等（これらの者が第28条第1項に規定する外国にある者である場合にあっては、第30条の2第5項に規定する基準適合体制を整備している者に限る。）である者に限る。）は、第31条の3第6項の規定の適用については、第三者に該当しない。
- 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合
- 合併その他の事由による事業承継に伴って個人データが提供される場合
- 特定の者との間で共同利用される個人データがその特定の者に提供される場合であって、下記の事項について、あらかじめ、公表しているとき。
- 個人データを共同利用する旨
- 共同利用される個人データの項目
- 共同利用する者の範囲
- 利用者の利用目的
- 当該個人データの管理責任者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
◇個人データの共同利用に係る公表義務（第6項）
義務者：個人情報取扱事業者
義務の場面：
- 第5項第3号に規定する個人データの管理責任者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったとき
- 第5項第3号に規定する利用者の利用目的又は管理責任者を変更しようとするとき
義務の内容：変更の旨について、公表しなければならない。
公表の時期：
- 個人データの管理責任者に係る変更があったとき：変更後、遅滞なく
- 個人データの利用目的又は管理責任者を変更しようとするとき：あらかじめ
□第三者提供に係る記録の作成等（法第29条）
◇個人データ提供に係る記録の作成義務（第1項）
義務者：個人情報取扱事業者
義務の場面：個人データを第三者（第16条第2項各号に掲げる者を除く。）に提供したとき
義務の内容：下記の事項に関する記録を作成する。
- 当該個人データを提供した年月日
- 当該第三者の氏名又は名称
- その他の個人情報保護委員会規則で定める事項（第27条第7項の規定による確認が行われた場合にあっては、当該事項及び同項第2号に掲げる事項）
記録の作成方式：個人情報保護委員会規則で定めるところによる。
例外：下記のいずれかの場合、記録の作成義務は適用されない。
□第三者提供を受ける際の確認等（法第30条）
◇個人データの提供を受ける際の確認義務（第1項）
義務者：個人情報取扱事業者
義務の場面：第三者（第16条第2項各号に掲げる者を除く。）から個人データの提供を受けるとき
義務の内容：下記に掲げる事項を確認する。
- 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名
- 当該第三者による当該個人データの取得の経緯
確認の方式：個人情報保護委員会規則で定めるところによる。
例外：下記のいずれかの場合、確認義務は適用されない。
◇個人データではない提供統計作成等用個人データ等の第三者提供の禁止（第7項）
一言サマリー：提供統計作成等用個人データ等を取り扱う個人情報取扱事業者は当該提供統計作成等用個人データ等（これらのうち個人データであるものを除く。）を第三者に提供してはならないことを定めている条項。
第三者提供禁止対象者：提供統計作成等用個人データ等を取り扱う個人情報取扱事業者
禁止の内容：第31条第1項の規定にかかわらず、当該提供統計作成等用個人データ等（個人データであるものを除く。）を第三者に提供してはならない。
禁止の例外：法令に基づく場合等を除く。
第6項および第7項は、「提供統計作成等用個人データ等」が目的外に流通して乱用されないよう、個人データの場合は例外的に認める条件付き第三者提供、個人データでない場合は第三者提供禁止という両面から安全管理を確保しています。
◇第27条第5項・第6項の規定の準用（第8項）
一言サマリー：提供統計作成等用個人データ等（個人データであるものを除く。）の提供を受ける者に関する第27条第5項及び第6項の規定の準用について定めている条項。
内容：第27条第5項及び第6項の規定は、提供統計作成等用個人データ等（個人データであるものを除く。）の提供を受ける者（個人情報取扱事業者又は行政機関の長等である者に限る。）について準用する。
（第8項の規定に基づく読み替え後の規定）
以下の記載中の「個人データ」は、「提供統計作成等用個人データ等（個人データであるものを除く。）」と読み替えるものとする。
□第三者提供の制限（法第27条）
◇第三者の該当性（第5項）
内容：下記の各号に掲げる場合には、個人情報取扱事業者から個人データの提供を受ける者は、第31条の3第7項の規定の適用については、第三者に該当しない。
- 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合
- 合併その他の事由による事業承継に伴って個人データが提供される場合
- 特定の者との間で共同利用される個人データがその特定の者に提供される場合であって、下記の事項について、あらかじめ、公表しているとき。
- 個人データを共同利用する旨
- 共同利用される個人データの項目
- 共同利用する者の範囲
- 利用者の利用目的
- 当該個人データの管理責任者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
◇個人データの共同利用に係る公表義務（第6項）
義務者：個人情報取扱事業者
義務の場面：
- 第5項第3号に規定する個人データの管理責任者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったとき
- 第5項第3号に規定する利用者の利用目的又は管理責任者を変更しようとするとき
義務の内容：変更の旨について、公表しなければならない。
公表の時期：
- 個人データの管理責任者に係る変更があったとき：変更後、遅滞なく
- 個人データの利用目的又は管理責任者を変更しようとするとき：あらかじめ
◇必要な措置の実施義務（第9項）
一言サマリー：外国にある第三者に個人関連情報・提供統計作成等用個人データ等を提供した個人情報取扱事業者等は当該第三者による相当措置の継続的実施の確保に必要な措置を講じ、その措置に関する情報を公表する義務を負うことを定めている条項。
義務者：基準適合体制を整備している外国にある第三者に下記のいずれかの区分の情報を第1項本文の規定に基づき提供した当該情報に対応する提供者
- 個人関連情報
- 提供者：個人関連情報取扱事業者
- 提供統計作成等用個人データ等
- 提供者：個人情報取扱事業者
義務の内容：
- 当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずる。
- 当該必要な措置に関する情報を公表する。
措置および情報提供の方式：個人情報保護委員会規則で定めるところによる。
第28条第3項の規定との関係：この場合においては、第28条第3項の規定は、適用しない。
◇第23条から第25条までの規定及び第29条第1項本文・第2項の規定の準用（第10項）
一言サマリー：第23条から第25条までの規定及び第29条第1項本文・第2項の規定の準用について定めている条項。
第23条から第25条までの規定：個人情報取扱事業者による提供統計作成等用個人データ等（個人データであるものを除く。）の取扱いについて準用する。第23条中の「漏えい、滅失又は毀損」は「漏えい」と読み替える。
第29条第1項本文及び第2項の規定：第1項本文の規定により個人関連情報取扱事業者が個人関連情報を特例個人関連情報受領者に提供する場合について準用する。
4-2-3．保有個人データに対する権利
一言サマリー：本人が当該本人を識別する保有個人データに関して個人情報保護の観点から行う措置と、それに対する個人情報取扱事業者の対応について定めている条項。
本人が個人情報取扱事業者に対してとることができる措置：
■保有個人データに関する事項の公表等（法第32条）
◇保有個人データに関する公表義務（第1項）
義務者：個人情報取扱事業者
義務の内容：保有個人データに関し、保有個人データの適正な取扱いの確保に関する事項について、本人の知り得る状態に置かなければならない。
「本人の知り得る状態に置く」には、「本人の求めに応じて回答する」ことが含まれる。
◇利用目的の通知義務（第2項）
義務者：個人情報取扱事業者
義務の場面：本人から、当該本人が識別される保有個人データの利用目的の通知を求められたとき
義務の内容：本人に対し、遅滞なく、当該利用目的を通知しなければならない。
例外：下記の各号のいずれかに該当する場合は、本人への通知を適用しない。
- 第1項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合
- 第21条第4項第1号から第3号までに該当する場合
◇利用目的非通知の通知義務（第3項）
義務者：個人情報取扱事業者
義務の場面：第2項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたとき
義務の内容：本人に対し、遅滞なく、利用目的を通知しない旨を通知しなければならない。
■保有個人データ・記録の開示（法第33条）
◇本人の開示請求（第1項）
内容：本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの開示を請求することができる。
◇個人情報取扱事業者の開示義務（第2項）
義務者：個人情報取扱事業者
義務の場面：第1項の規定による請求を受けたとき
義務の内容：本人に対し、第1項の規定により当該本人が請求した方法により、遅滞なく、当該保有個人データを開示しなければならない。
方法の例外：当該本人が請求した方法による開示に多額の費用を要することその他の事情により当該方法による開示が困難である場合には、書面の交付により開示する。
開示の例外：開示することにより下記の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
- 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
- 当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
- 他の法令（条例を含む。）に違反することとなる場合
◇個人情報取扱事業者の通知義務（第3項）
義務者：個人情報取扱事業者
義務の場面：下記の場面のいずれか。
- 第1項の規定による請求に係る保有個人データの全部又は一部について開示しない旨の決定をしたとき。
- 当該保有個人データが存在しないとき。
- 第1項の規定により本人が請求した方法による開示が困難であるとき。
義務の内容：個人情報取扱事業者は、上記のいずれかの場合は、本人に対し、遅滞なく、その旨を通知する。
◇第1項及び第2項の規定の適用除外（第4項）
適用除外の条件：他の法令（条例を含む。）の規定により、本人に対し第2項本文に規定する方法に相当する方法により、当該本人が識別される保有個人データの全部又は一部を開示することとされている。
内容：上記の条件が満たされる場合、当該全部又は一部の保有個人データについては、第1項及び第2項の規定は適用しない。
◇第1項から第3項までの規定の準用（第5項）
内容：第1項から第3項までの規定は、当該本人が識別される個人データに係る第29条第1項及び第30条第3項の記録（その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるものを除く。第37条第2項において「第三者提供記録」という。）について準用する。
本項の規定により、個人データの第三者提供に伴い作成される記録・個人情報の第三者提供を受ける際に確認した事項の記録が、本人の請求により公表される。
■保有個人データの訂正等（法第34条）
◇訂正の請求（第1項）
請求者：本人
請求先：個人情報取扱事業者
請求の場面：本人が識別される保有個人データの内容が事実でないとき。
請求の内容：当該保有個人データの内容の訂正、追加又は削除（「訂正等」という。）を請求することができる。
主観的な判断・意見・評価などの見解の相違は、訂正の請求の対象外である。
◇保有個人データの訂正義務（第2項）
義務者：個人情報取扱事業者
義務の場面：第1項の規定による請求を受けた場合
義務の内容：利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行う。
例外：内容の訂正等に関して他の法令（条例を含む。）の規定により特別の手続が定められている場合は、その規定に従う。
◇本人への通知義務（第3項）
義務者：個人情報取扱事業者
義務の場面：下記の場面のいずれか。
- 第1項の規定による請求に係る保有個人データの内容の全部・一部について訂正等を行ったとき。
- 第1項の規定による請求に係る保有個人データの内容の訂正等を行わない旨の決定をしたとき。
義務の内容：本人に対し、遅滞なく、訂正等を行った旨／行わないことにした旨を通知する。
通知内容についての補足：訂正等を行ったときは、その内容も通知する。
■保有個人データの利用停止等（法第35条）
◇利用停止等の請求（第1項）
請求者：本人
請求先：個人情報取扱事業者
請求の場面：下記の場面のいずれか。
- 当該本人が識別される保有個人データが第18条、第19条、第30条の2第4項若しくは第9項、第30条の3又は第31条の3第5項の規定に違反して取り扱われているとき。
- 当該本人が識別される保有個人データが第20条の規定に違反して取得されたものであるとき。
請求の内容：当該保有個人データの利用の停止又は消去（「利用停止等」という。）を請求することができる。
◇利用停止等の義務（第2項）
義務者：個人情報取扱事業者
義務の場面：第1項の規定による請求を受けた場合であって、その請求に理由があることが判明したとき。
義務の内容：違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行う。
例外：当該保有個人データの利用停止等に多額の費用を要することその他の事情により利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるとき。
◇第三者提供停止の請求（第3項）
請求者：本人
請求先：個人情報取扱事業者
請求の場面：当該本人が識別される保有個人データが第27条第1項、第28条、第30条の2第10項又は第31条の3第6項の規定に違反して第三者に提供されているとき。
請求の内容：当該保有個人データの第三者提供の停止を請求することができる。
◇第三者提供停止の義務（第4項）
義務者：個人情報取扱事業者
義務の場面：第3項の規定による請求を受けた場合であって、その請求に理由があることが判明したとき
義務の内容：遅滞なく、当該保有個人データの第三者提供を停止する。
例外：当該保有個人データの第三者への提供の停止に多額の費用を要することその他の事情により第三者提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるとき。
◇利用停止等・第三者提供停止の請求場面の拡大（第5項）
請求者：本人
請求先：個人情報取扱事業者
請求の場面：下記の場面のいずれか。
- 当該本人が識別される保有個人データを当該個人情報取扱事業者が利用する必要がなくなった場合
- 当該本人が識別される保有個人データに係る第26条第1項本文に規定する「個人の権利利益を害するおそれが大きい事態」が生じた場合
- その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合
請求の内容：当該保有個人データの利用停止等又は第三者への提供の停止を請求することができる。
◇利用停止等・第三者提供停止の義務（第6項）
義務者：個人情報取扱事業者
義務の場面：第5項の規定による請求を受けた場合であって、その請求に理由があることが判明したとき。
義務の内容：本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの利用停止等又は第三者提供の停止を行う。
例外：当該保有個人データの利用停止等又は第三者への提供の停止に多額の費用を要することその他の事情により利用停止等又は第三者提供の停止が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるとき。
◇特定生体個人情報の利用停止等・第三者提供停止の請求（第7項）
請求者：本人
請求先：個人情報取扱事業者
請求の場面：当該本人が識別される特定生体個人情報（保有個人データに含まれるものに限る。）が取り扱われているとき。
請求の内容：当該特定生体個人情報の利用停止等又は第三者への提供の停止を請求することができる。
例外：第7項各号のいずれかの場合には、利用停止等・第三者提供停止を請求できない。
◇利用停止等・第三者提供停止の義務（第8項）
義務者：個人情報取扱事業者
義務の場面：第7項の規定による請求を受けた場合であって、その請求に理由があることが判明したとき。
義務の内容：遅滞なく、当該特定生体個人情報の利用停止等又は第三者提供の停止を行う。
例外：当該特定生体個人情報の利用停止等又は第三者への提供の停止に多額の費用を要することその他の事情により利用停止等又は第三者提供の停止が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるとき。
◇16歳未満の本人による保有個人データの利用停止等・第三者提供停止の請求（第9項）
請求者：16歳未満の本人
請求先：個人情報取扱事業者
請求の場面：当該本人が識別される保有個人データが取り扱われているとき。
請求の内容：当該保有個人データの利用停止等又は第三者への提供の停止を請求することができる。
例外：第9項各号のいずれかの場合には、利用停止等・第三者提供停止を請求できない。
◇利用停止等・第三者提供停止の義務（第10項）
義務者：個人情報取扱事業者
義務の場面：第9項の規定による請求を受けた場合であって、その請求に理由があることが判明したとき。
義務の内容：遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行わなければならない。
例外：当該保有個人データの利用停止等又は第三者への提供の停止に多額の費用を要することその他の事情により利用停止等又は第三者提供の停止が困難な場合であって、16歳未満の本人の権利利益を保護するため必要なこれに代わるべき措置をとるとき。
◇本人への通知義務（第11項）
義務者：個人情報取扱事業者
義務の場面：下記の場面のいずれか。
- 第1項、第5項、第7項若しくは第9項の規定による請求に係る保有個人データ若しくは特定生体個人情報の全部又は一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき。
- 第3項、第5項、第7項若しくは第9項の規定による請求に係る保有個人データ若しくは特定生体個人情報の全部又は一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたとき。
義務の内容：本人に対し、遅滞なく、全部又は一部について利用停止等を行った旨／行わないことにした旨・第三者提供停止を行った旨／行わないことにした旨を通知する。
■理由説明の努力義務（法第36条）
義務者：個人情報取扱事業者
義務の場面：下記のいずれかの条項の規定により、本人から求められた措置の全部又は一部について、その措置をとらない旨又はその措置と異なる措置をとる旨を通知するとき。
義務の内容：本人に対し、求められた措置をとらない／その措置と異なる措置をとる理由を説明するよう努力する。
■開示等の請求等に応じる手続（法第37条）
◇開示等の請求等を受け付ける方法（第1項）
対応者：個人情報取扱事業者
対応の場面：下記の場面（まとめて「開示等の請求等」という。）のいずれか。
- 第32条第2項の規定による利用目的の通知を求められたとき。
- 第33条第1項（同条第5項において準用する場合を含む。）の規定による保有個人データの開示を請求されたとき。
- 第34条第1項の規定による保有個人データの内容の訂正等を請求されたとき。
- 第35条第1項、第3項、第5項、第7項又は第9項の規定による保有個人データの利用停止等・第三者提供停止を請求されたとき。
対応の内容：政令で定めるところにより、開示等の請求等を受け付ける方法を定めることができる。
本人の対応：本人は、個人情報取扱事業者が定めた方法に従って、開示等の請求等を行わなければならない。
◇開示等の請求等に対する対応（第2項）
対応者：個人情報取扱事業者
対応の内容：本人に対し、開示等の請求等に関し、その対象となる保有個人データ若しくは特定生体個人情報又は第三者提供記録を特定するに足りる事項の提示を求めることができる。
提示請求に伴う義務：個人情報取扱事業者は、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データ若しくは特定生体個人情報又は当該第三者提供記録の特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。
◇代理人による請求（第3項）
内容：未成年者若しくは成年被後見人の法定代理人又は本人の委任による代理人その他政令で定める代理人は、本人に代わって開示等の請求等をすることができる。
◇配慮義務（第4項）
内容：個人情報取扱事業者は、前三項の規定に基づき開示等の請求等に応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。
■手数料（法第38条）
◇手数料の徴収（第1項）
徴収者：個人情報取扱事業者
徴収の場面：下記の場面のいずれか。
内容：通知又は開示の実施に関し、手数料を徴収することができる。
◇手数料の額（第2項）
内容：第1項の手数料は、実費を勘案して合理的であると認められる範囲内になければならない。
■事前の請求（法第39条）
◇訴訟までの手続き（第1項）
訴えの内容：下記の請求のいずれかに係る訴訟。
内容：本人は、上記の請求に係る訴えを提起しようとするときは、その訴えの被告となるべき者に対し、あらかじめ、当該請求を行い、当該請求の到達した日から2週間を経過した後でなければ、その訴えを提起することができない。
例外：訴えの被告となるべき者がその請求を拒んだときは、2週間を経過した後でなくてもよい。
◇請求の到達日（第2項）
内容：第1項の請求は、その請求が通常到達すべきであった時に、到達したものとみなす。
◇第1項・第2項の規定の準用（第3項）
内容：前二項の規定は、第33条第1項、第34条第1項又は第35条第1項、第3項、第5項、第7項若しくは第9項の規定による請求に係る仮処分命令の申立てについて準用する。
4-2-4．その他
■16歳未満の者の個人情報等の取扱いに関する読替規定（法第40条の2）
省略
4-3．仮名加工情報取扱事業者等の義務
■仮名加工情報の作成等（法第41条）
◇個人情報の加工義務（第1項）
義務者：個人情報取扱事業者
義務の場面：仮名加工情報（仮名加工情報データベース等を構成するものに限る。）を作成するとき。
義務の内容：他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工しなければならない。
加工の方式：個人情報保護委員会規則で定める基準に従う。
◇削除情報等の安全管理義務（第2項）
義務者：個人情報取扱事業者
義務の場面：下記のいずれかの場合
- 仮名加工情報を作成したとき。
- 仮名加工情報及び当該仮名加工情報に係る削除情報等を取得したとき。
「削除情報等」とは
仮名加工情報の作成に用いられた個人情報から削除された記述等及び個人識別符号並びに加工の方法に関する情報をいう。
義務の内容：削除情報等の漏えいを防止するため、削除情報等の安全管理のための措置を講じなければならない。
安全管理措置の方式：個人情報保護委員会規則で定める基準に従う。
◇利用目的・範囲の遵守義務（第3項）
義務者：仮名加工情報取扱事業者（個人情報取扱事業者である者に限る。）
義務の内容：第18条の規定にかかわらず、第17条第1項の規定により特定された利用目的の達成に必要な範囲を超えて、仮名加工情報（個人情報であるものに限る。）を取り扱ってはならない。
例外の場面：法令（条例を含む。）に基づく場合を除くほか、
◇第21条の規定の適用（第4項）
内容：第21条の規定（取得に際しての利用目的の通知等）及び第40条の2（16歳未満の者の個人情報等の取扱いに関する読替規定）第1項の規定は、仮名加工情報について適用する。
◇仮名加工情報・削除情報等の消去の努力義務（第5項）
義務者：仮名加工情報取扱事業者（個人情報取扱事業者である者に限る。）
義務の場面：仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったとき。
義務の内容：当該個人データ及び削除情報等を遅滞なく消去するよう努力する。第22条の規定は、この場合について適用しない。
◇仮名加工情報である個人データの第三者提供の禁止（第6項）
内容：仮名加工情報取扱事業者は、第27条第1項及び第2項並びに第28条第1項の規定にかかわらず、仮名加工情報である個人データを第三者に提供してはならない。
例外の場面：法令（条例を含む。）に基づく場合
第三者に該当しない者に対しては、仮名加工情報である個人データを提供することができる。
個人情報である個人データに関する規定の準用：仮名加工情報である個人データについて、下記の規定を準用する。
◇他の情報との照合禁止（第7項）
内容：仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たり、当該仮名加工情報の作成に用いられた個人情報の本人を識別するために、当該仮名加工情報を他の情報と照合してはならない。
照合（識別）行為にあたらない事例：
- 複数の仮名加工情報を組み合わせて統計情報を作成すること。
- 仮名加工情報を個人と関係のない情報（例：気象情報、交通情報）とともに傾向を統計的に分析すること。
照合（識別）行為にあたる事例：
- 保有する個人情報と仮名加工情報について、共通する記述等を選別してこれらを照合すること。
- 仮名加工情報を、当該仮名加工情報の作成の元となった個人情報と照合すること。
◇仮名加工情報に含まれる連絡先その他の情報の利用禁止（第8項）
内容：仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たり、下記の目的のために、当該仮名加工情報に含まれる連絡先その他の情報を利用してはならない。
- 電話をかけること。
- 郵便を送付すること。
- 信書便法第2条第6項に規定する一般信書便事業者若しくは同条第9項に規定する特定信書便事業者による同条第2項に規定する信書便を送付すること。
- 電報を送達すること。
- ファクシミリ装置若しくは電磁的方法（電子情報処理組織を使用する方法その他の情報通信の技術を利用する方法であって個人情報保護委員会規則で定めるものをいう。）を用いて送信すること。
- 住居を訪問すること。
◇適用除外（第9項）
内容：第17条第2項、第26条及び第32条から第39条までの規定は、仮名加工情報、仮名加工情報である個人データ及び仮名加工情報である保有個人データについて、適用しない。
■仮名加工情報の第三者提供の制限等（法第42条）
◇個人情報以外の仮名加工情報の第三者提供禁止（第1項）
内容：仮名加工情報取扱事業者は、仮名加工情報（個人情報であるものを除く。）を第三者に提供してはならない。
例外の場面：法令（条例を含む。）に基づく場合
◇第27条第5項・第6項の規定の準用（第2項）
内容：第27条第5項及び第6項の規定は、仮名加工情報の提供を受ける者について準用する。
◇第23条～第25条・第40条・第41条第7項及び第8項の規定の準用（第3項）
内容：第23条～第25条・第41条第7項及び第8項の規定は仮名加工情報取扱事業者による仮名加工情報（仮名加工情報データベース等を構成するものに限る。）の取扱いについて、第40条の規定は仮名加工情報取扱事業者による仮名加工情報の取扱いについて準用する。
※仮名加工情報は、個人データに該当するか否かにかかわらず、第41条第6項・第42条第1項の規定により、第三者への提供を原則禁止されている。仮名加工情報は内部利用が原則である。
◇第31条の2の規定の準用（第4項）
内容：第31条の2の規定は、仮名加工情報取扱事業者による第2条第8項各号に掲げる記述等が含まれる仮名加工情報（他の情報と容易に照合することができ、それにより当該記述等を特定することができることとなるものを含む。）の取扱いについて準用する。
4-4．匿名加工情報取扱事業者等の義務
■匿名加工情報の作成等（法第43条）
◇個人情報の加工義務（第1項）
義務者：個人情報取扱事業者
義務の場面：匿名加工情報（匿名加工情報データベース等を構成するものに限る。第6項、第46条及び第46条の2を除く。）を作成するとき。
義務の内容：特定の個人を識別すること及びその作成に用いる個人情報を復元することができないように個人情報を加工しなければならない。
加工の方式：個人情報保護委員会規則で定める基準に従う。
◇削除情報等の安全管理義務（第2項）
義務者：個人情報取扱事業者
義務の場面：匿名加工情報を作成したとき。
義務の内容：加工方法等情報の漏えいを防止するため、加工方法等情報の安全管理のための措置を講じなければならない。
「加工方法等情報」とは
匿名加工情報の作成に用いた個人情報から削除した記述等及び個人識別符号並びに第43条第1項の規定により行った加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。）をいう。
安全管理措置の方式：個人情報保護委員会規則で定める基準に従う。
◇匿名加工情報作成時の個人に関する情報項目の公表義務（第3項）
義務者：個人情報取扱事業者
義務の場面：匿名加工情報を作成したとき。
義務の内容：当該匿名加工情報に含まれる個人に関する情報の項目を公表する。
公表の方式：個人情報保護委員会規則で定めるところによる。
◇匿名加工情報の第三者提供時の公表・明示義務（第4項）
義務者：個人情報取扱事業者
義務の場面：匿名加工情報を作成して当該匿名加工情報を第三者に提供するとき。
義務の内容：
- あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表する。
- 当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示する。
公表の方式：個人情報保護委員会規則で定めるところによる。
◇他の情報との照合禁止（第5項）
内容：個人情報取扱事業者は、匿名加工情報を作成して自ら当該匿名加工情報を取り扱うに当たり、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該匿名加工情報を他の情報と照合してはならない。
照合（識別）行為にあたらない事例：
- 複数の匿名加工情報を組み合わせて統計情報を作成すること。
- 匿名加工情報を個人と関係のない情報（例：気象情報、交通情報）とともに傾向を統計的に分析すること。
照合（識別）行為にあたる事例：
- 保有する個人情報と匿名加工情報について、共通する記述等を選別してこれらを照合すること。
- 匿名加工情報を、当該匿名加工情報の作成の元となった個人情報と照合すること。
※法第45条の規定についても同様。
◇適正な取扱いの確保に必要な措置の公表の努力義務（第6項）
義務者：個人情報取扱事業者
義務の場面：匿名加工情報を作成したとき。
義務の内容：下記の措置を自ら講じ、かつ、当該措置の内容を公表するよう努力する。
- 当該匿名加工情報の安全管理のために必要かつ適切な措置
- 当該匿名加工情報の作成その他の取扱いに関する苦情の処理
- その他の当該匿名加工情報の適正な取扱いを確保するために必要な措置
■匿名加工情報の第三者提供時の義務（法第44条）
義務者：匿名加工情報取扱事業者
義務の場面：匿名加工情報（自ら個人情報を加工して作成したものを除く。）を第三者に提供するとき。
義務の内容：
- あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表する。
- 当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示する。
公表の方式：個人情報保護委員会規則で定めるところによる。
■識別行為の禁止（法第45条）
禁止対象者：匿名加工情報取扱事業者
禁止の内容：匿名加工情報を取り扱うに当たり、下記の行為をしてはならない。
- 当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該個人情報から削除された記述等・個人識別符号・第43条第1項・第116条第1項（同条第2項において準用する場合を含む。）の規定により行われた加工の方法に関する情報を取得すること。
- 当該匿名加工情報を他の情報と照合すること。
■安全管理措置等の努力義務（法第46条）
義務者：匿名加工情報取扱事業者
義務の内容：下記の措置を自ら講じ、かつ、当該措置の内容を公表するよう努力する。
- 匿名加工情報の安全管理のために必要かつ適切な措置
- 匿名加工情報の作成その他の取扱いに関する苦情の処理
- その他の匿名加工情報の適正な取扱いを確保するために必要な措置
■連絡等が可能な匿名加工情報の不適正な取扱いの禁止（法第46条の2）
内容：第31条の2の規定は、匿名加工情報取扱事業者による第2条第8項各号に掲げる記述等が含まれる匿名加工情報（他の情報と容易に照合することができ、それにより当該記述等を特定することができることとなるものを含む。）の取扱いについて準用する。
4-5．民間団体による個人情報の保護の推進
省略
4-6．雑則
■適用除外（法第57条）
◇報道機関等（第1項）
内容：個人情報取扱事業者等のうち下記の各号に掲げる者については、個人情報取扱事業者等の義務等（第16条～第59条）の規定は、適用しない。
条件：個人情報等を取り扱う目的の全部・一部がそれぞれ当該各号に規定する目的であること。
| 業／団体 | 目的 |
|---|---|
| 1．放送機関、新聞社、通信社その他の報道機関（報道を業として行う個人を含む。） | 報道の用に供する目的 |
| 2．著述を業として行う者 | 著述の用に供する目的 |
| 3．宗教団体 | 宗教活動（これに付随する活動を含む。）の用に供する目的 |
| 4．政治団体 | 政治活動（これに付随する活動を含む。）の用に供する目的 |
◇報道の意味（第2項）
内容：第1項第1号に規定する「報道」とは、不特定かつ多数の者に対して客観的事実を事実として知らせること（これに基づいて意見又は見解を述べることを含む。）をいう。
◇適正な取扱いの確保に必要な措置の公表の努力義務（第3項）
義務者：第1項各号に掲げる個人情報取扱事業者（個人関連情報取扱事業者を除く。）
義務の内容：下記の措置を自ら講じ、かつ、当該措置の内容を公表するよう努力する。
- 個人データ、統計作成等用要配慮個人情報等、提供統計作成等用個人情報等、提供統計作成等用個人データ等、仮名加工情報又は匿名加工情報の安全管理のために必要かつ適切な措置
- 個人情報等（個人関連情報にあっては、統計作成等用要配慮個人情報等、提供統計作成等用個人情報等及び提供統計作成等用個人データ等であるものに限る。）の取扱いに関する苦情の処理
- その他の個人情報等の適正な取扱いを確保するために必要な措置
■別表第二に掲げる法人等についての適用の特例（法第58条）
◇（第1項）
内容：個人情報取扱事業者又は匿名加工情報取扱事業者のうち次に掲げる者については、第32条～第39条及び第43条～第46条の規定は、適用しない。
- 別表第二に掲げる法人
- 地方独立行政法人のうち地方独立行政法人法第21条第1号に掲げる業務を主たる目的とするもの又は同条第2号若しくは第3号（チに係る部分に限る。）に掲げる業務を目的とするもの
◇（第2項）
内容：下記の各号に掲げる者が行う当該各号に定める業務における個人情報、仮名加工情報又は個人関連情報の取扱いについては、個人情報取扱事業者等の義務等の規定（第32条～第39条及び第43条～第46条を除く。）を適用する。
| 団体 | 業務 |
|---|---|
| 1．地方公共団体の機関 | 病院・診療所・大学の運営 |
| 2．独立行政法人労働者健康安全機構 | 病院の運営 |
■取扱いの方法が契約により定められている受託個人情報取扱事業者等についての適用の特例（法第58条の2）
特例の概要：他の個人情報取扱事業者等又は行政機関等（「委託者」）から個人情報等の取扱いの全部又は一部の委託を受けた個人情報取扱事業者等（「受託個人情報取扱事業者等」）が行う当該個人情報等（「受託個人情報等」という。）の取扱いに関して、第16条～第42条の2及び第58条の3第1項の規定の適用について特例が設けられている。
特例の詳細：下記の条件が満たされる場合は、次の条項以外のものは当該取扱いについて適用されない。
- 適用される条項：
- 安全管理措置（第23条）
- 従業者の監督（第24条）
- 委託先の監督（第25条）
- 漏洩等の報告等（第26条）
- 個人情報に係る統計作成等の特例（第30条の2第14項）
- 受託者である個人情報取扱事業者の義務（第30条の3）
- 個人関連情報の第三者提供に係る統計作成等の特例（第31条の3第10項）
- 16歳未満の者の個人情報等の取扱いに関する読替規定（第40条の2第1項）
- 仮名加工情報の作成等（第41条第2項）
- 仮名加工情報の作成等（第41条第9項）
- 仮名加工情報の第三者提供の制限等（第42条第3項）
- 匿名加工情報の作成等（第43条第2項）
- 匿名加工情報の作成等（第43条第6項）
- 安全管理措置等の努力義務（第46条）
特例適用の条件：委託者と受託個人情報取扱事業者等との当該委託に係る契約において、個人情報保護委員会規則で定めるところにより、各号に掲げる事項が定められている場合であって、当該取扱いが当該委託を受けた業務の遂行に必要な範囲内において第1号に掲げる事項に係る当該契約の定めに従って行われること。
■未成年者の個人情報等の取扱いに関する個人情報取扱事業者等の責務等（法第58条の3）
◇未成年者の権利利益の尊重義務（第1項）
義務者：個人情報取扱事業者等
義務の内容：未成年者に関する個人情報等の取扱いについて、本法の規定を遵守するとともに、その年齢及び発達の程度に応じて、その最善の利益を優先して考慮した上で、未成年者の権利利益を害することがないように必要な措置を講ずるよう努力する。
◇法定代理人の義務（第2項）
省略
■学術研究機関等の責務（法第59条）
内容：個人情報取扱事業者である学術研究機関等は、学術研究目的で行う個人情報の取扱いについて、本法律の規定を遵守し、その適正を確保するために必要な措置を自ら講じ、かつ、その措置の内容を公表するよう努力する。
第五部：個人情報保護委員会
5-1．設置等
■個人情報保護委員会の設置（法第130条）
省略
■個人情報保護委員会の任務（法第131条）
内容：
- 個人の権利利益を保護するため、個人情報の適正な取扱いの確保を図ることを任務とする。
- 個人番号利用事務等実施者に対する指導及び助言その他の措置を講ずることを含む。
■所掌事務（法第132条）
内容：個人情報保護委員会は、第131条の任務を達成するため、下記に掲げる事務を所掌する。
- 基本方針の策定及び推進に関すること。
- 下記の事業者・団体の業務に関すること。
- 個人情報取扱事業者における個人情報、統計作成等用要配慮個人情報等、提供統計作成等用個人情報等及び提供統計作成等用個人データ等の取扱いに関する監視。
- 個人情報取扱事業者及び仮名加工情報取扱事業者における仮名加工情報の取扱いに関する監視。
- 個人情報取扱事業者及び匿名加工情報取扱事業者における匿名加工情報の取扱いに関する監視。
- 個人関連情報取扱事業者における個人関連情報の取扱いに関する監督。
- 行政機関等における個人情報等の取扱いに関する監視。
- 個人情報、統計作成等用要配慮個人情報等、提供統計作成等用個人情報等、提供統計作成等用個人データ等、仮名加工情報及び匿名加工情報の取扱いに関する苦情の申出についての必要なあっせん及びその処理を行う事業者への協力に関すること（第4号に掲げるものを除く。）。
- 認定個人情報保護団体に関すること。
- 特定個人情報の取扱いに関する監視又は監督並びに苦情の申出についての必要なあっせん及びその処理を行う事業者への協力に関すること。
- 特定個人情報保護評価に関すること。
- 個人情報の保護及び適正かつ効果的な活用についての広報及び啓発に関すること。
- 前各号に掲げる事務を行うために必要な調査及び研究に関すること。
- 所掌事務に係る国際協力に関すること。
- 前各号に掲げるもののほか、法律（法律に基づく命令を含む。）に基づき委員会に属させられた事務
■（法第133条～第145条）
省略
5-2．監督及び監視
5-2-1．個人情報取扱事業者等の監督
5-2-1-1．報告及び立入検査
■報告及び立入検査（法第146条）
◇立入検査等（第1項）
権限者：個人情報保護委員会
権限の内容：個人情報保護委員会（以下、「委員会」）は、個人情報取扱事業者等その他の関係者に対し、下記の措置をとることができる。
- 個人情報等の取扱いその他必要な事項に関し、必要な報告若しくは資料の提出を求める。
- 職員に、個人情報取扱事業者等その他の関係者の事務所その他必要な場所に立ち入らせ、個人情報等の取扱いその他必要な事項に関し質問させ、若しくは帳簿書類その他の物件を検査させる。
権限の限度：個人情報取扱事業者等の義務等の規定（第47条～第56条を除く。）及び個人情報取扱事業者等の監督の規定の施行に必要な限度。
◇身分証明書の携帯義務（第2項）
省略
◇犯罪捜査の否定（第3項）
内容：第1項の規定による権限は、犯罪捜査のためのものではない。
5-2-1-2．措置命令等
■指導及び助言（法第147条）
権限者：個人情報保護委員会
権限の内容：委員会は、個人情報取扱事業者等に対し、個人情報等の取扱いに関し必要な指導及び助言をすることができる。
権限の限度：個人情報取扱事業者等の義務等の規定の施行に必要な限度。
■勧告及び命令（法第148条）
◇違反是正勧告（第1項）
権限者：個人情報保護委員会
権限の場面：個人情報取扱事業者等が4.2節～4.4節までの規定に違反した場合において個人の権利利益を保護するため必要があると認めるとき。
- 第17条
- 第27条第8項
- 第30条第2項（第31条第3項において準用する場合を含む。）
- 第37条
権限の内容：委員会は、当該個人情報取扱事業者等に対し、下記に掲げる是正措置等をとるべき旨を勧告することができる。
- 当該違反行為の中止その他違反を是正するために必要な措置
- 当該違反行為に係る事実の本人に対する通知若しくは公表
- その他の個人の権利利益を保護するために必要な措置
◇措置命令（第2項）
命令者：個人情報保護委員会
発令の場面：第1項の規定による勧告を受けた個人情報取扱事業者等が正当な理由なく勧告に係る是正措置等をとらなかった場合であって、個人の重大な権利利益が害される恐れがあると認めるとき。
命令の内容：委員会は、当該個人情報取扱事業者等に対し、その勧告に係る是正措置等をとるべきことを命ずることができる。
◇違反是正命令（第3項）
権限者：個人情報保護委員会
権限の場面：個人情報取扱事業者等が4.2節～4.4節までの規定に違反した場合において個人の重大な権利利益を害する事実があり、又は個人の重大な権利利益の侵害が切迫しているため緊急に措置をとる必要があると認めるとき。
- 第17条
- 第21条
- 第21条の2
- 第27条第3項
- 第27条第6項（第30条の2第12項、第31条の3第8項又は第42条第2項において準用する場合を含む。）
- 第27条第7項
- 第27条第8項
- 第28条第2項
- 第29条（第1項本文及び第2項の規定を第30条の2第14項又は第31条の3第10項において準用する場合を含む。）
- 第30条（第2項から第4項までの規定を第31条第3項において準用する場合を含む。）
- 第30条の2第2項、第3項及び第6項～第8項
- 第31条の3第2項～第4項
- 第32条
- 第33条
- 第34条
- 第35条
- 第37条
- 第38条
- 第43条第3項及び第4項
- 第44条
権限の内容：委員会は、当該個人情報取扱事業者等に対し、是正措置等をとるべきことを命ずることができる。
◇命令違反の公表（第4項）
内容：委員会は、前二項の規定による命令（「措置命令」）をした場合において、その措置命令を受けた個人情報取扱事業者等がその命令に違反したときは、その旨を公表することができる。
■取扱関係役務提供者等に対する要請（法第148条の2）
◇取扱関係役務提供者への要請（第1項）
要請者：個人情報保護委員会
要請の場面：措置命令を受けた個人情報取扱事業者等が当該措置命令に従わない場合。
要請の前提条件：当該個人情報取扱事業者等が当該措置命令に係る違反行為に係る個人情報等の取扱いのために用いる役務を提供する取扱関係役務提供者がいる。
「取扱関係役務提供者」とは
個人情報取扱事業者等から個人情報等の取扱いの全部又は一部の委託を受けた者その他の個人情報取扱事業者等との契約に基づき個人情報取扱事業者等がその個人情報等の取扱いのために用いる役務を提供する者をいう。
要請の内容：委員会は、当該取扱関係役務提供者に対して、当該違反行為に係る個人情報等の取扱いの停止、当該役務の提供の停止その他の当該違反行為を中止させるために必要な措置をとるべき旨を要請することができる。
◇取扱関係役務提供者の無答責（第2項）
内容：取扱関係役務提供者は、第1項の規定による要請を受けて当該要請に係る措置を講じた場合において、当該措置命令を受けた個人情報取扱事業者等に生じた損害については、賠償の責めを負わない。
◇特定電気通信による情報流通の防止措置要請（第3項）
要請者：個人情報保護委員会
要請の場面：委員会が措置命令をした場合であって、当該違反行為が情報流通プラットフォーム対処法第2条第1号に規定する「特定電気通信（＝不特定の者によって受信されることを目的とする電気通信の送信）」による個人情報等を含む情報の送信であるとき。
要請の内容：委員会は、当該特定電気通信による情報の流通に係る同条第3号に規定する「特定電気通信役務」を提供する「特定電気通信役務提供者（同条第4号に規定する特定電気通信役務提供者をいう。）」に対し、特定電気通信による当該情報の流通を防止する措置をとるべき旨を要請することができる。
◇特定電気通信役務提供者の無答責（第4項）
内容：特定電気通信役務提供者は、第3項の規定による要請を受けて当該要請に係る措置を講じた場合において、当該措置命令を受けた個人情報取扱事業者等に生じた損害については、賠償の責めを負わない。
5-2-1-3．課徴金納付命令等
■個人情報の違法な取扱い等に対する課徴金納付命令（法第148条の3）
◇第三者に関する違反の対価を得た場合の課徴金納付命令（第1項）
命令者：個人情報保護委員会
命令の場面：個人情報取扱事業者が、下記の各号のいずれかに掲げる行為（「違反行為」）をした場合において、代金、報酬、利用料、手数料その他名目のいかんを問わず、当該違反行為又は当該違反行為をやめることの対価として金銭等を得たとき。
- 個人情報の提供であって、当該個人情報を利用して違法な行為又は不当な差別的取扱いを行うことが想定される状況にある第三者に対して行うもの
- 第三者の求めにより行う個人情報の利用であって、当該第三者が当該個人情報の利用を通じて違法な行為又は不当な差別的取扱いを行うことが想定される状況にある場合に行われるもの
- 第27条第1項（第40条の2第1項の規定により読み替えて適用する場合を含む。）の規定に違反する個人データの提供
- 第30条の2第4項若しくは第9項又は第31条の3第5項の規定に違反する個人情報の取扱い
- 第30条の2第10項若しくは第11項又は第31条の3第6項若しくは第7項の規定に違反する個人情報の提供
命令の場面の例外：当該個人情報取扱事業者が、当該違反行為が行われた期間を通じて、当該違反行為を防止するための相当の注意を怠った者でないと認められる場合。
命令の内容：委員会は、当該個人情報取扱事業者に対し、当該金銭等に相当する額として政令で定める方法により算定した額に相当する額の課徴金を国庫に納付することを命じる。
納付命令の例外：委員会は、当該違反行為に係る個人情報又は個人データ（第16条第3項に規定する個人データをいう。第3号において同じ。）の本人の数が1000人を超えないときその他個人の権利利益を害する程度が大きくない場合として政令で定めるときは、その納付を命ずることができない。
◇適正取得に関する違反の対価を得た場合の課徴金納付命令（第2項）
命令者：個人情報保護委員会
命令の場面：個人情報取扱事業者が、第20条第1項の規定に違反して個人情報を取得し、当該個人情報を利用した場合において、当該利用又は当該利用をやめることの対価として金銭等を得たとき。
命令の場面の例外：当該個人情報取扱事業者が、当該取得及び利用が行われた期間を通じて、当該取得及び利用を防止するための相当の注意を怠った者でないと認められる場合。
命令の内容：委員会は、当該個人情報取扱事業者に対し、当該金銭等に相当する額として政令で定める方法により算定した額に相当する額の課徴金を国庫に納付することを命じる。
納付命令の例外：委員会は、当該利用に係る個人情報の本人の数が1000人を超えないときその他個人の権利利益を害する程度が大きくない場合として政令で定めるときは、その納付を命ずることができない。
■（法第148条の4～第148条の7）
省略
■課徴金納付命令に対する弁明の機会の付与（法第148条の8）
内容：委員会は、課徴金納付命令をしようとするときは、当該課徴金納付命令の名宛人となるべき者に対し、弁明の機会を与えなければならない。
■弁明の機会の付与の方式（法第148条の9）
◇弁明の方式（第1項）
内容：弁明は、委員会が口頭ですることを認めたときを除き、弁明を記載した書面（「弁明書」という。）を提出してするものとする。
◇証拠の提出（第2項）
内容：弁明をするときは、証拠書類又は証拠物を提出することができる。
■弁明の機会の付与の通知の方式（法第148条の10）
◇通知の方式（第1項）
内容：委員会は、弁明書の提出期限（口頭による弁明の機会の付与を行う場合には、その日時）までに相当な期間をおいて、課徴金納付命令の名宛人となるべき者に対し、次に掲げる事項を書面により通知しなければならない。
- 納付を命じようとする課徴金の額
- 課徴金の計算の基礎及び当該課徴金に係る課徴金対象行為
- 弁明書の提出先及び提出期限（口頭による弁明の機会の付与を行う場合には、その旨並びに出頭すべき日時及び場所）
◇弁明の機会の付与の通知の公示送達（第2項）
公示送達の内容：委員会は、課徴金納付命令の名宛人となるべき者の所在が判明しない場合において、第1項の規定による通知を、下記の措置をとることによって行うことができる。
- 以下の事項（「公示事項」という。）を個人情報保護委員会規則で定める方法により不特定多数の者が閲覧することができる状態に置く。
- 課徴金納付命令の名宛人となるべき者の氏名（法人にあっては、その名称及び代表者の氏名）
- 第1項第3号に掲げる事項
- 委員会が第1項各号に掲げる事項を記載した書面をいつでもその者に交付する旨
- 公示事項が記載された書面を委員会の掲示場に掲示し、又は公示事項を委員会の事務所に設置した電子計算機の映像面に表示したものの閲覧をすることができる状態に置く。
公示送達の効果：当該措置をとった日から2週間を経過したときに、当該通知がその者に到達したものとみなす。
■代理人（法第148条の11）
◇代理人の選任（第1項）
内容：法第148条の10第1項の規定による通知を受けた者（「当事者」という。）は、代理人を選任することができる。
◇代理人の権限（第2項）
内容：代理人は、各自、当事者のために、弁明に関する一切の行為をすることができる。
◇代理人の資格の証明（第3項）
内容：代理人の資格は、書面で証明しなければならない。
◇代理人の資格の喪失（第4項）
内容：代理人がその資格を失ったときは、当該代理人を選任した当事者は、書面でその旨を委員会に届け出なければならない。
■（法第148条の12～148条の15）
省略
■行政手続法の適用除外（法第148条の16）
内容：委員会がする課徴金納付命令その他のこの目（法第148条の3～148条の17）の規定による処分については、行政手続法第3章の規定は適用しない。
■規則への委任（法第148条の17）
内容：
5-2-1-4．雑則
■委員会の権限の行使の制限（法第149条）
◇表現の自由等の尊重（第1項）
内容：委員会は、第146条～第148条の3の規定により報告徴収等、指導、助言、勧告、措置命令、要請又は課徴金納付命令を行うに当たっては、表現の自由、学問の自由、信教の自由及び政治活動の自由を妨げてはならない。
◇委員会の権限の適用除外（第2項）
内容：委員会は、個人情報取扱事業者等が第57条第1項各号に掲げる者（各号に定める目的で個人情報等を取り扱う場合に限る。）に対して個人情報等を提供する行為については、その権限を行使しない。
■権限の委任（法第150条）
省略
■事業所管大臣の請求（法第151条）
省略
■事業所管大臣（法第152条）
省略
5-2-2．認定個人情報保護団体の監督
省略
5-2-3．行政機関等の監視
省略
5-3．送達
■送達すべき書類（法第161条）
◇（第1項）
内容：下記に掲げる手続きは、個人情報保護委員会規則で定める書類を送達して行う。
個人情報取扱事業者等に対する手続き：
個人情報取扱事業者等を除く者に対する手続き：
- 第153条の規定による認定個人情報保護団体からの報告の徴収
- 第154条の規定による認定個人情報保護団体に対する命令
- 第155条第1項の規定による認定個人情報保護団体の認定の取消し
◇行政手続法の規定の準用（第2項）
内容：下記の手続きに係る行政手続法第15条第1項又は第30条の通知は、行政手続法第15条第1項及び第2項又は第30条の書類を送達して行う。この場合において、行政手続法第15条第3項（同法第31条において読み替えて準用する場合を含む。）の規定は、適用しない。
- 個人情報取扱事業者等に対する手続き：
- 個人情報取扱事業者等を除く者に対する手続き：
- 第154条の規定による命令
- 第155条第1項の規定による取消し
■送達に関する民事訴訟法の準用（法第162条）
省略
■公示送達（法第163条）
◇公示送達が可能な場合（第1項）
内容：委員会は、次に掲げる場合には、公示送達をすることができる。
- 送達を受けるべき者の住所、居所その他送達をすべき場所が知れない場合
- 外国においてすべき送達について、第162条において読み替えて準用する民事訴訟法第108条の規定によることができず、又はこれによっても送達をすることができないと認めるべき場合
- 第162条において読み替えて準用する民事訴訟法第108条の規定により外国の管轄官庁に嘱託を発した後6月を経過してもその送達を証する書面の送付がない場合
◇公示送達の方法（第2項）
内容：公示送達は、以下の措置をとることにより行う。
- 送達をすべき書類を送達を受けるべき者にいつでも交付すべき旨を個人情報保護委員会規則で定める方法により不特定多数の者が閲覧することができる状態に置く。
- その旨が記載された書面を委員会の掲示場に掲示し、又はその旨を委員会の事務所に設置した電子計算機の映像面に表示したものの閲覧をすることができる状態に置く。
◇公示送達の期間（第3項）
内容：公示送達は、第2項の規定による措置を開始した日から2週間を経過することによって、その効力を生ずる。
◇外国においてすべき送達に代わる公示送達の期間（第4項）
内容：外国においてすべき送達についてした公示送達にあっては、前項の期間は、6週間とする。
■電子情報処理組織の使用（法第164条）
省略
5-4．雑則
省略
第六部：雑則
■適用範囲（法第171条）
内容：本法は、個人情報取扱事業者等が国内にある者に対する物品又は役務の提供に関連して、下記の個人情報等を外国において取り扱う場合についても適用する。
- 国内にある者を本人とする個人情報
- 当該個人情報に係る統計作成等用要配慮個人情報等
- 当該個人情報に係る提供統計作成等用個人情報等
- 当該個人情報に係る提供統計作成等用個人データ等
- 当該個人情報を用いて作成された仮名加工情報
- 当該個人情報を用いて作成された匿名加工情報
- 当該個人情報として取得されることとなる個人関連情報
- 国内にある特定の個人に対する連絡その他の情報の伝達に利用することができる連絡可能個人関連情報
■（法第172条～第175条）
省略
第七部：罰則
個人情報取扱事業者等に関係する罰則を紹介します。行政機関等の職員や認定個人情報保護団体に関係する罰則は省略しています。
| 違反 | 条項 | 罰則 （個人） | 罰則 （法人*） |
|---|---|---|---|
| 第66条第2項各号に定める業務若しくは第73条第5項若しくは第121条第3項の委託を受けた業務に従事している者若しくは従事していた者又は行政機関等において個人情報、仮名加工情報若しくは匿名加工情報の取扱いに従事している派遣労働者若しくは従事していた派遣労働者が、正当な理由がないのに、個人の秘密に属する事項が記録された第60条第2項第1号に係る個人情報ファイル（その全部又は一部を複製し、又は加工したものを含む。）を提供したとき | 第176条 | 3年以下の拘禁刑又は150万円以下の罰金 | |
| 個人情報取扱事業者（その者が法人（法人でない団体で代表者又は管理人の定めのあるものを含む。）である場合にあっては、その役員、代表者又は管理人）若しくはその従業者又はこれらであった者が、その業務に関して取り扱った個人情報データベース等（その全部又は一部を複製し、又は加工したものを含む。）を自己若しくは第三者の不正な利益を図り、若しくは本人その他の者に損害を加える目的で提供し、又は盗用した | 第178条 | 2年以下の拘禁刑又は100万円以下の罰金 | 1億円以下の罰金刑 |
| 第176条に規定する者が、その業務に関して知り得た保有個人情報を自己若しくは第三者の不正な利益を図り、若しくは本人その他の者に損害を加える目的で提供し、又は盗用した | 第179条 | 2年以下の拘禁刑又は100万円以下の罰金 | |
| 自己若しくは第三者の不正な利益を図る目的で、又は本人、個人情報を保有する者その他の者に損害を加える目的で、人を欺き、人に暴行を加え、若しくは人を脅迫する行為により、又は財物の窃取若しくは損壊、施設への侵入、有線電気通信の傍受、不正アクセス行為（不正アクセス行為の禁止等に関する法律第2条第4項に規定する不正アクセス行為をいう。）その他の個人情報を保有する者の管理を害する行為により、個人情報を取得した | 第180条第1項 | 2年以下の拘禁刑又は100万円以下の罰金 | 2年以下の拘禁刑又は100万円以下の罰金 |
| 措置命令に違反したとき | 第181条 | 1年以下の拘禁刑又は100万円以下の罰金 | 1億円以下の罰金刑 |
| 第146条第1項の規定による報告若しくは資料の提出をせず、若しくは虚偽の報告をし、若しくは虚偽の資料を提出し、又は当該職員の質問に対して答弁をせず、若しくは虚偽の答弁をし、若しくは検査を拒み、妨げ、若しくは忌避した | 第183条第1号 | 50万円以下の罰金 | 50万円以下の罰金 |
| 第27条第8項又は第30条第2項（第31条第3項において準用する場合を含む。）の規定に違反した | 第186条第1号 | 10万円以下の過料 | |
| 偽りその他不正の手段により、第85条第3項に規定する行政機関の長による開示決定に基づく保有個人情報の開示を受けた者 | 第186条第3号 | 10万円以下の過料 |
■日本国外に居る者への適用（法第184条）
内容：第176条から第181条までに規定する罰則は、日本国外においてこれらの条の罪を犯した者にも適用する。
終わりに
個人情報保護法は、施行令や施行規則を含めても制度の枠組みを示すにとどまり、実務の細部までは規定していません。そのため、個人情報保護委員会は、事業者が個人情報を適正に取り扱うための指針として、各種ガイドラインを整備しています。
個人情報保護委員会の公式サイトには、業種ごとのガイドラインが公開されています。個人情報の管理を担当されている方は、自社に該当するガイドラインを一度確認しておくことをお勧めします。
