事業者がサービスを提供する際には、サービス受給者の個人情報を収集する場面が必ず生じます。サービスの対象が法人であっても、担当者の氏名や連絡先など、個人情報を取得することは避けられません。このように、個人情報の収集は事業活動を継続するうえで不可欠なプロセスです。
一方で、個人情報は本人の権利利益に直結する重要な情報であり、漏えいすれば経済的損失や社会的信用の毀損につながるおそれがあります。そのため、個人情報を取り扱う事業者には、適切な安全管理を講じる責務が課されています。
こうした背景から、個人情報を取り扱う者の責務や本人との関係を明確にし、情報化社会における安心で豊かな生活を支えるために制定されたのが個人情報保護法です。
本記事では、その中でも民間事業者に関係する主要な規定について、ポイントを整理して紹介します。
なお、文中の「ヒント（HINT）」は、個人情報保護委員会公式ページの「個人情報の保護に関する法律についてのガイドライン」から引用しています。
第一部：総則
■目的（法第1条）
背景：デジタル社会の進展に伴う個人情報の著しい利用拡大
法の目的：
- 行政機関等の事務及び事業の適正かつ円滑な運営を図ること
- 個人情報の適正かつ効果的な活用による新たな産業の創出・活力ある経済社会の実現・豊かな国民生活の実現に資すること
- 個人情報の有用性に配慮しつつ個人の権利利益を保護すること
目的達成の手段：個人情報の適正な取扱いに関して、
- 基本理念の制定
- 国・地方公共団体の責務の明確化
- 基本方針その他個人情報の保護に関する施策の基本事項の策定
- 個人情報取扱事業者・行政機関等の特性に応じた遵守すべき義務等の制定
- 個人情報保護委員会の設置
■定義（法第2条）
◇個人情報（第1項）
定義：生存する個人に関する情報。次の各号のいずれかに該当するもの。
- 氏名、生年月日その他の記述等（文書・図画・電磁的記録に記載・記録され、又は音声・動作その他の方法を用いて表された一切の事項）により特定の個人を識別することができるもの
- 個人識別符号が含まれるもの
補足：
- 死者に関する情報は個人情報に含まれないが、その情報が生者にも関係する場合は個人情報に含まれる。
- 他の情報と容易に照合できる情報であって、その照合により特定の個人の識別が可能になる情報は、第1号の個人情報に含まれる。
- 「他の情報と容易に照合できる」とは、事業者が通常の業務における一般的な方法で照合が可能な状態をいう。
◇個人識別符号（第2項）
定義：次の各号のいずれかに該当する文字、番号、記号その他の符号のうち、政令で定めるものをいう。
- 特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号
- サービス利用者・商品購入者・カードその他の書類の発行を受けた個人に対し、その者ごとに異なるものとなるように割り当てられた文字、番号、記号その他の符号であって、その割り当てを受けた特定の者を識別することができるもの
■個人識別符号（施行令第１条）
内容：法第2条第2項の政令で定める文字、番号、記号その他の符号は、下記に掲げるものである。
- 次に掲げる身体の特徴のいずれかを電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、特定の個人を識別するに足りるものとして個人情報保護委員会規則で定める基準に適合するもの
- イ 細胞から採取されたデオキシリボ核酸（DNA）を構成する塩基の配列
- ロ 顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状によって定まる容貌
- ハ 虹彩の表面の起伏により形成される線状の模様
- ニ 発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化
- ホ 歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様
- ヘ 手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状
- ト 指紋又は掌紋
- 旅券の番号
- 国民健康保険制度の被保険者記号・番号等
- 基礎年金番号
- 運転免許証の番号又は免許情報記録の番号
- 住民基本台帳の住民票コード
- 後期高齢者医療保険制度の被保険者番号等
- 介護保険制度の被保険者番号等
- マイナンバー制度の個人番号
- その他前各号に準ずるものとして個人情報保護委員会規則で定める文字、番号、記号その他の符号
■令第1条第1号の個人情報保護委員会規則で定める基準（施行規則第2条）
基準：特定の個人を識別することができる水準が確保されるよう、適切な範囲を適切な手法により電子計算機の用に供するために変換すること
■令第1条第10号の個人情報保護委員会規則で定める文字、番号、記号その他の符号（施行規則第4条）
- 健康保険制度の保険者番号及び被保険者等記号・番号
- 船員保険制度の保険者番号及び被保険者等記号・番号
- 外国政府等が発行した旅券の番号
- 在留カードの番号
- 私立学校教職員共済制度の加入者等記号・番号等
- 国家公務員共済組合制度の組合員等記号・番号等
- 地方公務員等共済組合制度の組合員等記号・番号等
- 雇用保険被保険者証の被保険者番号
- 特別永住者証明書の番号
◇要配慮個人情報（第3項）
定義：本人の人種、信条、社会的身分、病歴、犯罪歴、犯罪被害の事実、その他本人に対する不当な差別・偏見その他の不利益が生じないように取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報
■要配慮個人情報（施行令第2条）
内容：法第2条第3項の「政令で定める記述等」は、次に掲げる事項のいずれかを内容とする。
- 身体障害、知的障害、精神障害（発達障害を含む。）その他の個人情報保護委員会規則で定める心身の機能の障害があること。
- 本人に対して医師その他医療に関連する職務に従事する者（「医師等」）により行われた疾病の予防及び早期発見のための健康診断その他の検査（「健康診断等」）の結果
- 健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと。
- 本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと。
- 本人を少年法第3条第1項に規定する少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと。
■要配慮個人情報（施行規則第5条）
内容：令第2条第1号の個人情報保護委員会規則で定める心身の機能の障害は、下記に掲げる障害である。
- 身体障害者福祉法別表に掲げる身体上の障害
- 知的障害者福祉法にいう知的障害
- 精神保健及び精神障害者福祉に関する法律にいう精神障害（発達障害者支援法に規定する発達障害を含み、前号に掲げるものを除く。）
- 治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生活及び社会生活を総合的に支援するための法律第4条第1項の政令で定めるものによる障害の程度が同項の主務大臣が定める程度であるもの
◇本人（第4項）
定義：個人情報によって識別される特定の個人
◇仮名加工情報（第5項）
定義：他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、次の各号に掲げる個人情報の区分に応じた加工を施したもの
- 第1項第1号に該当する個人情報：記述等の一部を削除する（復元可能な規則性を有しない方法で他の記述等に置換することを含む）
- 第1項第2号に該当する個人情報：個人識別符号の全部を削除する（復元可能な規則性を有しない方法で他の記述等に置換することを含む）。
仮名加工情報は基本的に個人情報の定義に該当し、仮名加工情報の作成に用いられた個人情報と同程度にデータとしての有用性を保ちつつ、匿名加工情報よりも詳細な分析を比較的に簡便な方法で実施できるため、個人情報取扱事業者内部での利用・分析が前提である。
◇匿名加工情報（第6項）
定義：特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、次の各号に掲げる個人情報の区分に応じた加工を施して当該個人情報を復元することができないようにしたもの
- 第1項第1号に該当する個人情報：記述等の一部を削除する（復元可能な規則性を有しない方法で他の記述等に置換することを含む）
- 第1項第2号に該当する個人情報：個人識別符号の全部を削除する（復元可能な規則性を有しない方法で他の記述等に置換することを含む）。
匿名加工情報は個人情報の定義に該当しない。
◇個人関連情報（第7項）
定義：生存する個人に関する情報であって、個人情報・仮名加工情報・匿名加工情報のいずれにも該当しないもの
◇行政機関（第8項）
定義：下記に掲げる機関をいう。
- 内閣府を除く内閣に置かれる機関及び内閣の所轄の下に置かれる機関
- （例）内閣官房、内閣法制局、復興庁、人事院
- 内閣府、宮内庁、並びに内閣府設置法第49条第1項及び第2項に規定する機関（第4号の政令で定める機関が置かれる機関にあっては、当該政令で定める機関を除く。）
- （内閣府設置法第49条第1項及び第2項に規定する機関の例）国家公安委員会、個人情報保護委員会
- 国家行政組織法第3条第2項に規定する機関（第5号の政令で定める機関が置かれる機関にあっては、当該政令で定める機関を除く。） = 各省庁
- 内閣府設置法第39条及び第55条並びに宮内庁法第16条第2項の機関並びに内閣府設置法第40条及び第56条（宮内庁法第18条第1項において準用する場合を含む。）の特別の機関で、政令で定めるもの
- 国家行政組織法第8条の2の施設等機関及び同法第8条の3の特別の機関で、政令で定めるもの
- 会計検査院
◇独立行政法人等（第9項）
定義：独立行政法人通則法第2条第1項に規定する独立行政法人及び個人情報保護法別表第1に掲げる法人
◇地方独立行政法人（第10項）
定義：地方独立行政法人法第2条第1項に規定する地方独立行政法人
◇行政機関等（第11項）
定義：下記に掲げる機関をいう。
- 行政機関
- 地方公共団体の機関（議会を除く）
- 独立行政法人等
- 地方独立行政法人
■基本理念（法第3条）
内容：個人情報は、個人の人格尊重の理念の下に慎重に取り扱われるべきものである。したがって、個人情報の適正な取扱いが図られなければならない。
第二部：国・地方公共団体の責務等
■国の責務（法第4条）
概要：
- 個人情報の適正な取扱いを確保するために必要な施策の総合的策定
- 当該施策の実施
■地方公共団体の責務（法第5条）
概要：
- 国の施策と整合し、かつ地域の特性に応じた、個人情報の適正な取扱いを確保するために必要な施策の策定
- 当該施策の実施
■法制上の措置等（法第6条）
概要：政府は、特に適正な取扱いの厳格な実施を確保する必要がある個人情報について、下記の必要な措置を講ずる。
- 個人情報保護のための格別の措置が講じられるよう必要な法制上の措置その他の措置
- 国際機関その他の国際的な枠組みへの協力を通じて、各国政府と共同して国際的に整合のとれた個人情報に係る制度を構築するために必要な措置
第三部：個人情報に関する施策等
■個人情報の保護に関する基本方針（法第7条）
◇概要（第1項）
内容：政府は、個人情報の保護に関する基本方針を定めなければならない。
目的：個人情報の保護に関する施策の総合的かつ一体的な推進
◇基本方針を定める事項（第2項）
内容：
- 個人情報の保護に関する施策の推進に関する基本的な方向
- 国が講ずべき個人情報の保護のための措置に関する事項
- 地方公共団体が講ずべき個人情報の保護のための措置に関する基本的な事項
- 独立行政法人等が講ずべき個人情報の保護のための措置に関する基本的な事項
- 地方独立行政法人が講ずべき個人情報の保護のための措置に関する基本的な事項
- 第16条第2項に規定する個人情報取扱事業者、同条第5項に規定する仮名加工情報取扱事業者及び同条第6項に規定する匿名加工情報取扱事業者並びに第51条第1項に規定する認定個人情報保護団体が講ずべき個人情報の保護のための措置に関する基本的な事項
- 個人情報の取扱いに関する苦情の円滑な処理に関する事項
- その他個人情報の保護に関する施策の推進に関する重要事項
◇閣議の決定（第3項）
内容：内閣総理大臣は、個人情報保護委員会が作成した基本方針の案について閣議の決定を求めなければならない。
◇基本方針の公表（第4項）
内容：内閣総理大臣は、第3項の規定による閣議の決定があったときは、遅滞なく、基本方針を公表しなければならない。
◇基本方針の変更（第5項）
内容：前二項の規定は、基本方針の変更について準用する。
■国の機関等が保有する個人情報の保護（法第8条）
国は、下記の事項について必要な措置を講ずる。
- 第1項：国の機関が保有する個人情報の適正な取扱いの確保
- 第2項：独立行政法人等が保有する個人情報の適正な取扱いの確保
■地方公共団体等への支援（法第9条）
内容：国は、下記に掲げる支援のため、必要な措置を講ずる。
- 地方公共団体が策定・実施する個人情報の保護に関する施策の支援
- 国民又は事業者等が個人情報の適正な取扱いの確保に関して行う活動の支援
措置の内容：
- 情報提供
- 地方公共団体・事業者等が講ずべき措置の実施を図るための指針の策定
- その他の必要な措置
■苦情処理のための処置（法第10条）
内容：国は、下記の目的について必要な措置を講ずる。
目的：個人情報の取扱いに関して事業者と本人との間に生じた苦情の適切かつ迅速な処理
■個人情報の適正な取扱いを確保するための措置（法第11条）
国は、下記に掲げる者による個人情報の適正な取扱いを確保するために必要な措置を講ずる。
- 第1項：個人情報取扱事業者
- 第2項：地方公共団体及び地方独立行政法人
国は、個人情報取扱事業者による個人情報の取扱いについては、地方公共団体との適切な役割分担を通じてその適正性を確保する（第1項）。
■地方公共団体の機関等が保有する個人情報の保護（法第12条）
地方公共団体は、下記の事項について必要な措置を講ずる。
- 第1項：地方公共団体の機関が保有する個人情報の適正な取扱いの確保
- 第2項：地方独立行政法人が保有する個人情報の適正な取扱いの確保
■区域内の事業者等への支援（法第13条）
内容：地方公共団体は、その区域内の事業者及び住民に対する支援に必要な措置を講ずるよう努力する。
目的：個人情報の適正な取扱いの確保
■苦情処理のあっせん等（法第14条）
内容：地方公共団体は、苦情の処理のあっせんその他必要な措置を講ずるよう努力する。
目的：個人情報の取扱いに関して事業者と本人との間に生じた苦情の適切かつ迅速な処理
■（法第15条）
内容：国及び地方公共団体は、個人情報の保護に関する対策については、相互協力する。
第四部：個人情報取扱事業者等の義務等
4-1．総則
■定義（法第16条）
◇個人情報データベース等（第1項）
定義：個人情報を含む情報の集合物であって、下記に掲げるもの
- 特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの
- 前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの
例外：利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものを除く。
内容：法第16条第1項第2号の「政令で定めるもの」は、下記の特徴を有するものである。
- 情報の集合物に含まれる個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるような体系的構成を有する。
- 目次、索引その他検索を容易にするためのものを有する。
「利用方法からみて個人の権利利益を害するおそれが少ないもの」とは、下記の全てに該当するものを指す。
- 不特定かつ多数の者に販売することを目的として発行されたものであって、かつ、その発行が法又は法に基づく命令の規定に違反して行われたものではない。
- 不特定かつ多数の者により随時に購入することができ、又はできたものである。
- 生存する個人に関する他の情報を加えることなくその本来の用途に供しているものである。
◇個人情報取扱事業者（第2項）
定義：個人情報データベース等を事業の用に供している者
事業は、営利目的の事業に限らない。
例外：
- 国の機関
- 地方公共団体
- 独立行政法人等
- 地方独立行政法人
◇個人データ（第3項）
定義：個人情報データベース等を構成する個人情報
個人情報データベースに含まれる各個人情報が個人データに当たります。
◇保有個人データ（第4項）
定義：個人情報取扱事業者が下記の行為を行える権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの以外のものをいう。
- 開示
- 内容の訂正
- 追加又は削除
- 利用の停止
- 消去
- 第三者への提供の停止
内容：下記に掲げる情報は、保有個人データに当たらない。
- 本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの
- 違法行為・不当行為の助長・誘発のおそれがあるもの
- 国の安全、他国又は国際機関との信頼関係・外交関係を毀損するおそれがあるもの
- 犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの
◇仮名加工情報取扱事業者（第5項）
定義：仮名加工情報を含む情報の集合物であって、電子計算機その他の手段を用いて特定の仮名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（「仮名加工情報データベース等」）を事業の用に供している者
内容：法第16条第5項の「政令で定めるもの」は、下記の特徴を有するものである。
- 情報の集合物に含まれる仮名加工情報を一定の規則に従って整理することにより特定の仮名加工情報を容易に検索することができるような体系的構成を有する。
- 目次、索引その他検索を容易にするためのものを有する。
例外：第2項各号に掲げる者
◇匿名加工情報取扱事業者（第6項）
定義：匿名加工情報を含む情報の集合物であって、電子計算機その他の手段を用いて特定の匿名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（「匿名加工情報データベース等」）を事業の用に供している者
内容：法第16条第6項の「政令で定めるもの」は、下記の特徴を有するものである。
- 情報の集合物に含まれる匿名加工情報を一定の規則に従って整理することにより特定の匿名加工情報を容易に検索することができるような体系的構成を有する。
- 目次、索引その他検索を容易にするためのものを有する。
例外：第2項各号に掲げる者
◇個人関連情報取扱事業者（第7項）
定義：個人関連情報を含む情報の集合物であって、電子計算機その他の手段を用いて特定の個人関連情報を容易に検索することができるように体系的に構成したものとして政令で定めるものを事業の用に供している者
内容：法第16条第7項の「政令で定めるもの」は、下記の特徴を有するものである。
- 情報の集合物に含まれる個人関連情報を一定の規則に従って整理することにより特定の個人関連情報を容易に検索することができるような体系的構成を有する。
- 目次、索引その他検索を容易にするためのものを有する。
例外：第2項各号に掲げる者
◇学術研究機関等（第8項）
定義：大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者
4-2．個人情報取扱事業者及び個人関連情報取扱事業者の義務
4-2-0．個人情報のライフサイクル
- Phase 1
- Phase 3
- Phase 3保存・バックアップ
- 個人情報・保有個人データに関する規則
- 仮名加工情報に関する特則
- 削除情報等の安全管理義務（法第41条第2項）
- 匿名加工情報に関する特則
- Phase 4
4-2-1．個人情報に関する義務
一言サマリー：個人情報の取得と取扱いに際して遵守すべき事項を定めている条項。
■利用目的の特定（法第17条）
- 第1項：個人情報取扱事業者は、個人情報を取り扱うに当たり、利用目的をできる限り特定しなければならない。
- 第2項：個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて変更してはならない。
利用目的の特定に当たっては、個人情報が最終的にどのような事業の用に供され、どのような目的で個人情報を利用されるのか本人が想定できる程度に具体的に特定することが望ましい。
あらかじめ、取得した個人情報の第三者提供を想定している場合には、その旨が明確に分かるよう利用目的を特定しなければならない。
（例）
- 不適：「マーケティング活動に利用するため」
- 適：「取得した購買履歴等の情報を分析して、嗜好に応じた新商品・サービスに関する広告をするため」
■利用目的による制限（法第18条）
◇個人情報の利用目的範囲の遵守（第1項）
遵守者：個人情報取扱事業者
遵守の内容：あらかじめ本人の同意を得ずに、第17条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
◇承継した個人情報の利用目的範囲の遵守（第2項）
遵守者：個人情報取扱事業者
遵守の場面：他の個人情報取扱事業者からの事業承継に伴って個人情報を取得した場合
遵守の内容：あらかじめ本人の同意を得ずに、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
◇適用除外（第3項）
内容：第1項・第2項の規定は、下記に掲げる場合については、適用しない。
すなわち、下記に掲げる場合については、本人の同意がなくても、目的外利用が可能である。
- 法令（条例を含む。）に基づく場合
- 人の生命、身体又は財産の保護のために必要であるが、本人の同意を得ることが困難であるとき。
- 公衆衛生の向上又は児童の健全な育成の推進のために特に必要であるが、本人の同意を得ることが困難であるとき。
- 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
- 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究目的で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
- 学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
■不適正利用の禁止（法第19条）
禁止対象者：個人情報取扱事業者
禁止の内容：違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。
■適正な取得（法第20条）
◇個人情報の取得（第1項）
内容：個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。
個人情報取扱事業者は、個人情報を取得する際には、偽りその他不正の手段を用いてはならず、適正な手段によって取得しなければならない。
◇要配慮個人情報の取得（第2項）
内容：個人情報取扱事業者は、下記に掲げる場合を除くほか、あらかじめ本人の同意を得ずに、要配慮個人情報を取得してはならない。
- 法令（条例を含む。）に基づく場合
- 人の生命、身体又は財産の保護のために必要であるが、本人の同意を得ることが困難であるとき。
- 公衆衛生の向上又は児童の健全な育成の推進のために特に必要であるが、本人の同意を得ることが困難であるとき。
- 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
- 当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
- 学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。）。
- 当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、第57条第1項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合
- その他前各号に掲げる場合に準ずるものとして政令で定める場合
内容：法第20条第2項第7号の「個人情報保護委員会規則で定める者」は、次の各号のいずれかに該当する。
- 外国政府、外国の政府機関、外国の地方公共団体又は国際機関
- 外国において法第16条第8項に規定する学術研究機関等に相当する者
- 外国において法第57条第1項各号に掲げる者に相当する者
内容：法第20条第2項第8号の政令で定める場合は、次に掲げる場合である。
- 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合
- 法第27条第5項各号（法第41条第6項の規定により読み替えて適用する場合及び法第42条第2項において読み替えて準用する場合を含む。）に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき。
■取得に際しての利用目的の通知等（法第21条）
◇利用目的の通知義務（第1項）
義務者：個人情報取扱事業者
義務の場面：個人情報を取得したとき
義務の内容：速やかに、その利用目的を、本人に通知し、又は公表する。
例外：あらかじめ利用目的を公表している場合
本人への通知又は公表が必要な事例
- インターネット上で本人が自発的に公にしている個人情報を取得した場合（単に閲覧しただけの場合を除く。）
- インターネット、官報、職員録等から個人情報を取得した場合（単に閲覧しただけの場合を除く。）
- 個人情報の第三者提供を受けた場合
◇利用目的の明示義務（第2項）
義務者：個人情報取扱事業者
義務の場面：
- 本人との間で契約を締結することで契約書その他の書面（電磁的記録を含む。）に記載された当該本人の個人情報を取得する場合
- その他の本人から直接書面（電磁的記録を含む。）に記載された当該本人の個人情報を取得する場合
義務の内容：あらかじめ、その利用目的を、本人に対して明示する。
例外：人の生命・身体・財産の保護のために緊急に必要がある場合
◇変更時の通知・公表義務（第3項）
義務者：個人情報取扱事業者
義務の内容：利用目的を変更したときは、変更された利用目的について、本人に通知し、又は公表する。
◇適用除外（第4項）
内容：前三項の規定は、下記に掲げる場合については、適用しない。
- 通知・公表により本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
- 通知・公表により個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合
- 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、通知・公表により当該事務の遂行に支障を及ぼすおそれがあるとき
- 取得の状況からみて利用目的が明らかであると認められる場合
■個人情報取扱事業者による苦情の処理（法第40条）
◇苦情処理の努力義務（第1項）
義務者：個人情報取扱事業者
義務の内容：個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
◇苦情処理体制整備の努力義務（第2項）
義務者：個人情報取扱事業者
義務の内容：第1項の目的を達成するために必要な体制の整備に努めなければならない。
4-2-2．個人データに関する義務
a．データ内容の正確性の確保等
一言サマリー：個人データの内容の正確性確保及びデータ消去は個人情報取扱事業者の責務であることを定めている条項。
■データ内容の正確性の確保等（法第22条）
内容：個人情報取扱事業者は、下記に掲げる事項に努めなければならない。
- 利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つこと。
- 利用する必要がなくなったときは、当該個人データを遅滞なく消去すること。
b．安全性の確保
一言サマリー：個人データの安全管理の確保は個人情報取扱事業者の責務であることを定めている条項。
■安全管理措置（法第23条）
内容：個人情報取扱事業者は、下記に掲げる事項のために必要かつ適切な措置を講じなければならない。
- 個人データの漏えい、滅失又は毀損の防止
- その他の個人データの安全管理
■従業者の監督（法第24条）
監督の目的：個人データの安全管理
監督の場面：従業者に個人データを取り扱わせるとき
監督の内容：個人情報取扱事業者は、個人データの安全管理が図られるよう、従業者に対する必要かつ適切な監督を行わなければならない。
従業者の監督：
個人情報取扱事業者は、従業員の監督に際して、個人データが漏えい等をした場合に本人が受ける可能性のある被害の大きさ、事業者の事業内容や個人データの取扱状況等に起因するリスクに応じて、個人データを取り扱う従業者に対する教育、研修等の内容及び頻度を充実させるなど、必要かつ適切な措置を講ずることが望ましい。
■委託先の監督（法第25条）
監督の目的：個人データの安全管理
監督の場面：個人データの取扱いの全部又は一部を委託するとき
監督の内容：個人情報取扱事業者は、取扱いを委託された個人データの安全管理が図られるよう、受託者に対する必要かつ適切な監督を行わなければならない。
委託先の監督
個人情報取扱事業者は、委託先の監督に際して、取扱いを委託する個人データの内容や個人データが漏えい等をした場合に本人が受ける可能性のある被害の大きさを考慮し、委託する事業の規模及び性質、個人データの取扱状況等に起因するリスクに応じて、下記に掲げる必要かつ適切な措置を講じなければならない。
- 適切な委託先の選定
- 具体例：安全管理措置として定める各項目が、委託する業務内容に沿って確実に実施されることについてあらかじめ確認する。
- 委託契約の締結
- 具体例：個人データの取扱いに関する安全管理措置として委託元と委託先の双方が同意した内容とともに、委託先における委託された個人データの取扱状況を委託元が合理的に把握することを盛り込む。
- 委託先における個人データ取扱状況の把握
- 具体例：委託先における委託された個人データの取扱状況を把握するために、定期的に監査を行う等により、委託契約で盛り込んだ内容の実施の程度を調査した上で、委託の内容等の見直しを検討することを含め、適切に評価する。
二次以上の再委託が見込まれる場合は、委託の場合と同様に、必要かつ適切な措置を講じなければならない。
■漏洩等の報告等（法第26条）
◇個人情報保護委員会への報告義務（第1項）
義務の場面：取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって、個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたとき
内容：法第26条第1項の「個人の権利利益を害するおそれが大きいもの」は、次の各号のいずれかに該当する。
- 要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。）の漏えい等が発生し、又は発生したおそれがある事態
- 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
- 不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による個人データ（当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、又は発生したおそれがある事態
- 個人データに係る本人の数が1000人を超える漏えい等が発生し、又は発生したおそれがある事態
※「漏えい等」には漏えい、滅失、毀損が含まれる。
※「高度な暗号化」は、漏えいしても内容を容易に読み取れないような暗号化を意味する。
義務者：個人情報取扱事業者
義務の内容：当該事態が生じた旨を個人情報保護委員会に報告する。
報告の方式：個人情報保護委員会規則で定める方式による。
例外：個人情報取扱事業者が、下記の条件を満たすときは、個人情報保護委員会への報告義務を適用しない。
- 他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた。
- 個人情報保護委員会規則で定める方式により、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知した。
◇本人への通知義務（第2項）
義務者：個人情報取扱事業者（第1項の例外規定による通知をした者を除く。）
義務の場面：第1項に規定する場面（取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって、個人の権利利益を害するおそれが大きいものとして定めるものが生じたとき）
内容：当該事態が生じた旨を本人に通知しなければならない。
通知の方式：個人情報保護委員会規則で定める方式による。
例外：本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
代替措置に該当する事例
- 事案の公表
- 問合せ窓口を用意してその連絡先を公表し、本人が自らの個人データが対象となっているか否かを確認できるようにすること
講ずべき安全管理措置の内容・チェックリストについては、本ブログの別記事を参照されたい。
c．第三者提供に関する義務
一言サマリー：個人情報取扱事業者が個人情報保護の観点から個人データの第三者提供をする際に遵守すべき事項について定めている条項。
■第三者提供の制限（法第27条）
同じグループに属する会社間又はフランチャイズ組織の本部と加盟店との間であっても、個人データの交換は第三者提供に該当する。
◇第三者提供の制限（第1項）
原則：個人情報取扱事業者は、個人データを第三者に提供するには、下記の各号に掲げる場合を除き、あらかじめ本人の同意を必要とする。
各号に規定する第三者提供制限の例外：
- 法令（条例を含む。）に基づく場合
- 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
- 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
- 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
- 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）。
- 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。）。
- 当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
◇第三者提供の特例（第2項）
内容：個人情報取扱事業者は、下記の条件を満たす場合、前項の規定にかかわらず、個人データを第三者に提供することができる。
第三者提供を可能にする条件（オプトアウト制度）：第三者に提供される個人データについて、
- 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている。
- 下記の各号に掲げる事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いている。
- 下記の各号に掲げる事項について、あらかじめ、個人情報保護委員会に届け出ている。
各号に規定する本人への通知・公表・届出事項：
- 第三者への提供を行う個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名
- 第三者への提供を利用目的とすること。
- 第三者に提供される個人データの項目
- 第三者に提供される個人データの取得の方法
- 第三者への提供の方法
- 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること
- 本人の求めを受け付ける方法
- その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則で定める事項
例外：下記の場合には、オプトアウト制度を用いて個人データを第三者に提供することができない。
- 第三者に提供される個人データが要配慮個人情報である。
- 第三者に提供される個人データが第20条第1項の規定に違反して取得されたものである。
- 第三者に提供される個人データが他の個人情報取扱事業者からオプトアウト手続きにより提供されたもの（その全部又は一部を複製し、又は加工したものを含む。）である。
◇個人情報保護委員会への通知・届出義務（第3項）
義務者：個人情報取扱事業者
義務の場面：
- 第2項第1号に掲げる事項に変更があったとき又は第2項の規定による個人データの提供を停止したとき
- 第2項第3号～第5号、第7号又は第8号に掲げる事項を変更しようとするとき
義務の内容：変更・停止の旨について、個人情報保護委員会規則で定めるところにより、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
通知・届出の時期：
- 第2項第1号の事項の変更又は個人データの提供停止の場合：変更・停止後遅滞なく
- 第2項第3号～第5号、第7号又は第8号の変更の場合：あらかじめ
◇公表義務（第4項）
義務者：個人情報保護委員会
義務の場面：
- 第2項の規定による届出があったとき
- 第3項の規定による届出があったとき
義務の内容：届出に係る事項を公表する。
公表の方式：個人情報保護委員会規則で定めるところによる。
◇第三者の該当性（第5項）
内容：下記の各号に掲げる場合には、個人情報取扱事業者から個人データの提供を受ける者は、第1項～第4項の規定の適用については、第三者に該当しない。
- 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合
- 合併その他の事由による事業承継に伴って個人データが提供される場合
- 特定の者との間で共同利用される個人データがその特定の者に提供される場合であって、下記の事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。
- 個人データを共同利用する旨
- 共同利用される個人データの項目
- 共同利用する者の範囲
- 利用者の利用目的
- 当該個人データの管理責任者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
◇個人データの共同利用に係る通知義務（第6項）
義務者：個人情報取扱事業者
義務の場面：
- 第5項第3号に規定する個人データの管理責任者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったとき
- 第5項第3号に規定する利用者の利用目的又は管理責任者を変更しようとするとき
義務の内容：変更の旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
通知の時期：
- 個人データの管理責任者に係る変更があったとき：変更後、遅滞なく
- 個人データの利用目的又は管理責任者を変更しようとするとき：あらかじめ
◇本人への通知・公表の方式（第1項）
内容：法第27条第2項又は第3項の規定による通知又は容易に知り得る状態に置く措置は、下記に掲げる事項を満たすこと。
- 第三者に提供される個人データによって識別される本人が提供の停止を求めるのに必要な期間をおくこと。
- 本人が法第27条第2項各号に掲げる事項を確実に認識できる適切かつ合理的な方法によること。
◇個人情報保護委員会への届出の方式（第2項）
内容：法第27条第2項又は第3項の規定による届出は、下記に掲げる方法のいずれかにより行わなければならない。
- 電子情報処理システムを使用する方法
- 所定の様式の届出書及び当該届出書に記載すべき事項を記録した光ディスク等を提出する方法
◇代理人による届出（第3項）
内容：個人情報取扱事業者が、代理人によって法第27条第2項又は第3項の規定による届出を行う場合には、その権限を証する書面（電磁的記録を含む。）を個人情報保護委員会に提出しなければならない。
◇法第27条第2項第8号の事項（第4項）
内容：法第27条第2項第8号の個人情報保護委員会規則で定める事項は、下記に掲げる事項である。
- 第三者に提供される個人データの更新の方法
- 届出に係る個人データの第三者への提供を開始する予定日
d．外国にある第三者への提供に関する義務
一言サマリー：個人情報取扱事業者が個人情報保護の観点から個人データを外国にある第三者に提供する際に遵守すべき事項を定めている条項。
■外国にある第三者への提供の制限（法第28条）
◇外国にある第三者への提供に係る義務（第1項）
義務者：個人情報取扱事業者
義務の場面：外国にある第三者に個人データを提供する場合
義務の内容：第27条第1項各号に掲げる場合を除き、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。
第27条の規定の適用除外：外国にある第三者に個人データを提供する場合には、第27条の規定は適用されない。
外国の例外：日本と同等水準の個人情報保護制度を有している個人情報保護委員会規則で定める国は、外国に該当しない。
外国にある第三者の例外：個人データの取扱いについて個人情報取扱事業者が講ずべきこととされている措置に相当する措置（「相当措置」という。）を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者
内容：法第28条第1項の個人情報保護委員会規則で定める基準は、次の各号のいずれかに該当することとする。
- 個人情報取扱事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第四章第二節の規定の趣旨に沿った措置の実施が確保されていること。
- 個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。
個人情報保護委員会規則で定める基準に適合する体制の例：
（適切かつ合理的な方法）
- 外国にある事業者に個人データの取扱いを委託する場合
- 提供元及び提供先間の契約、確認書、覚書等
- 同一の企業グループ内で個人データを移転する場合
- 提供元及び提供先に共通して適用される内規、プライバシーポリシー等
（個人情報の取扱いに係る国際的な枠組みに基づく認定）
- APEC CBPRシステム又はグローバルCBPRシステムの認証を取得していること。
◇情報提供義務（第2項）
義務者：個人情報取扱事業者
義務の場面：第1項の規定により本人の同意を得ようとする場合
義務の内容：あらかじめ、下記の情報を当該本人に提供する。
- 当該外国における個人情報保護制度
- 当該第三者が講ずる個人情報保護のための措置
- その他当該本人に参考となるべき情報
情報提供の方式：個人情報保護委員会規則で定めるところによる。
◇必要な措置の実施義務（第3項）
義務者：個人情報取扱事業者
義務の場面：個人データを外国にある第三者（第1項に規定する体制を整備している者に限る。）に提供した場合
義務の内容：
- 当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずる。
- 本人の求めに応じて当該必要な措置に関する情報を当該本人に提供する。
措置および情報提供の方式：個人情報保護委員会規則で定めるところによる。
e．トレーサビリティーの確保
一言サマリー：個人情報取扱事業者が第三者として個人データを授受する際に個人情報保護の観点から実施する確認・記録作成について定めている条項。
■第三者提供に係る記録の作成等（法第29条）
◇個人データ提供に係る記録の作成義務（第1項）
義務者：個人情報取扱事業者
義務の場面：個人データを第三者（第16条第2項各号に掲げる者を除く。）に提供したとき
義務の内容：下記の事項に関する記録を作成する。
- 当該個人データを提供した年月日
- 当該第三者の氏名又は名称
- その他の個人情報保護委員会規則で定める事項
記録の作成方式：個人情報保護委員会規則で定めるところによる。
例外：下記の場合、記録の作成義務は適用されない。
◇記録の保存義務（第2項）
義務者：個人情報取扱事業者
義務の内容：第1項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存する。
■第三者提供を受ける際の確認等（法第30条）
◇個人データの提供を受ける際の確認義務（第1項）
義務者：個人情報取扱事業者
義務の場面：第三者（第16条第2項各号に掲げる者を除く。）から個人データの提供を受けるとき
義務の内容：下記に掲げる事項を確認する。
- 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名
- 当該第三者による当該個人データの取得の経緯
確認の方式：個人情報保護委員会規則で定めるところによる。
例外：個人データの提供が第27条第1項各号又は第5項各号のいずれかに該当する場合、確認義務は適用されない。
個人データの提供が第27条第1項各号又は第5項各号のいずれかに該当する場合、確認義務は適用されなくても記録作成義務は適用される。
◇誠実義務（第2項）
義務者：第1項の第三者
義務の場面：個人情報取扱事業者が第1項の規定による確認を行うとき
義務の内容：当該個人情報取扱事業者に対して、当該確認に係る事項を偽ってはならない。
◇情報提供に係る記録の作成義務（第3項）
義務者：個人情報取扱事業者
義務の場面：第1項の規定による確認を行ったとき
義務の内容：下記に掲げる事項に関する記録を作成する。
- 当該個人データの提供を受けた年月日
- 当該確認に係る事項
- その他の個人情報保護委員会規則で定める事項
記録作成の方式：個人情報保護委員会規則で定めるところによる。
◇記録の保存義務（第4項）
義務者：個人情報取扱事業者
義務の場面：第3項の規定による記録を作成したとき
義務の内容：第3項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。
■個人関連情報の第三者提供の制限等（法第31条）
◇個人データの提供を受ける際の確認義務（第1項）
義務者：個人関連情報取扱事業者
義務の場面：第三者が個人関連情報（個人関連情報データベース等を構成するものに限る。）を個人データとして取得することが想定されるとき
義務の内容：下記に掲げる事項について、あらかじめ個人情報保護委員会規則で定めるところにより確認することをしないで、当該個人関連情報を当該第三者に提供してはならない。
- 当該第三者が個人関連情報取扱事業者から個人関連情報の提供を受けて本人が識別される個人データとしてそれを取得することを認める旨の同意が、当該本人から得られていること。
- 外国にある第三者への提供にあっては、前号の本人の同意を得ようとする場合において、個人情報保護委員会規則で定めるところにより、あらかじめ、下記に掲げる情報が当該本人に提供されていること。
- 当該外国における個人情報の保護に関する制度
- 当該第三者が講ずる個人情報の保護のための措置
- その他当該本人に参考となるべき情報
例外：第27条第1項各号に掲げる場合
第2号の「外国にある第三者」の限定：相当措置を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者
◇第28条第3項の規定の準用（第2項）
内容：第28条第3項の規定は、第1項の規定により個人関連情報取扱事業者が個人関連情報を提供する場合について準用する。
◇第30条第2項～第4項の規定の準用（第3項）
内容：第30条第2項～第4項までの規定は、第1項の規定により個人関連情報取扱事業者が確認する場合について準用する。
（第2項において準用する規定）
□外国にある第三者への提供の制限（法第28条）
◇必要な措置の実施義務（第3項）
義務者：個人関連情報取扱事業者
義務の場面：個人データを外国にある第三者（第1項に規定する体制を整備している者に限る。）に提供した場合
義務の内容：当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずる。
措置の方式：個人情報保護委員会規則で定めるところによる。
（第3項において準用する規定）
□第三者提供を受ける際の確認等（法第30条）
◇誠実義務（第2項）
義務者：第1項の第三者（第16条第2項各号に掲げる者を除く。）
義務の場面：個人関連情報取扱事業者が第1項の規定による確認を行うとき
義務の内容：当該個人関連情報取扱事業者に対して、当該確認に係る事項を偽ってはならない。
◇情報提供に係る記録の作成義務（第3項）
義務者：個人関連情報取扱事業者
義務の場面：第1項の規定による確認を行ったとき
義務の内容：下記に掲げる事項に関する記録を作成する。
- 当該個人関連情報の提供をした年月日
- 当該確認に係る事項
- その他の個人情報保護委員会規則で定める事項
記録作成の方式：個人情報保護委員会規則で定めるところによる。
◇記録の保存義務（第4項）
義務者：個人関連情報取扱事業者
義務の場面：第3項の規定による記録を作成したとき
義務の内容：第3項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。
4-2-3．保有個人データに対する権利
一言サマリー：本人が当該本人を識別する保有個人データに関して個人情報保護の観点から行う措置と、それに対する個人情報取扱事業者の対応について定めている条項。
本人が個人情報取扱事業者に対してとることができる措置：
■保有個人データに関する事項の公表等（法第32条）
◇保有個人データに関する公表義務（第1項）
義務者：個人情報取扱事業者
義務の内容：保有個人データに関し、保有個人データの適正な取扱いの確保に関する事項について、本人の知り得る状態に置かなければならない。
「本人の知り得る状態に置く」には、「本人の求めに応じて回答する」ことが含まれる。
- 当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名
- 全ての保有個人データの利用目的（第21条第4項第1号から第3号までに該当する場合を除く。）
- 第2項の規定による求め又は第33条第1項（第33条第5項において準用する場合を含む。）、第34条第1項若しくは第35条第1項、第3項若しくは第5項の規定による請求に応じる手続（第38条第2項の規定により手数料の額を定めたときは、その手数料の額を含む。）
- 前三号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの
◇利用目的の通知義務（第2項）
義務者：個人情報取扱事業者
義務の場面：本人から、当該本人が識別される保有個人データの利用目的の通知を求められたとき
義務の内容：本人に対し、遅滞なく、当該利用目的を通知しなければならない。
例外：下記の各号のいずれかに該当する場合は、本人への通知を適用しない。
- 第1項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合
- 第21条第4項第1号から第3号までに該当する場合
◇利用目的非通知の通知義務（第3項）
義務者：個人情報取扱事業者
義務の場面：第2項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたとき
義務の内容：本人に対し、遅滞なく、利用目的を通知しない旨を通知しなければならない。
■保有個人データ・記録の開示（法第33条）
◇本人の開示請求（第1項）
内容：本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの開示を請求することができる。
内容：法第33条第1項（同条第5項において準用する場合を含む。）の開示の方法は、電磁的記録の提供による方法、書面の交付による方法その他当該個人情報取扱事業者の定める方法とする。
◇個人情報取扱事業者の開示義務（第2項）
義務者：個人情報取扱事業者
義務の場面：第1項の規定による請求を受けたとき
義務の内容：本人に対し、第1項の規定により当該本人が請求した方法により、遅滞なく、当該保有個人データを開示しなければならない。
方法の例外：当該本人が請求した方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合には、書面の交付により開示する。
開示の例外：開示することにより下記の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
- 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
- 当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
- 他の法令（条例を含む。）に違反することとなる場合
◇個人情報取扱事業者の通知義務（第3項）
義務者：個人情報取扱事業者
義務の場面：下記の場面のいずれか。
- 第1項の規定による請求に係る保有個人データの全部又は一部について開示しない旨の決定をしたとき。
- 当該保有個人データが存在しないとき。
- 第1項の規定により本人が請求した方法による開示が困難であるとき。
義務の内容：個人情報取扱事業者は、上記のいずれかの場合は、本人に対し、遅滞なく、その旨を通知する。
◇第1項及び第2項の規定の適用除外（第4項）
適用除外の条件：他の法令（条例を含む。）の規定により、本人に対し第2項本文に規定する方法に相当する方法により、当該本人が識別される保有個人データの全部又は一部を開示することとされている。
内容：上記の条件が満たされる場合、当該全部又は一部の保有個人データについては、第1項及び第2項の規定は適用しない。
◇第1項から第3項までの規定の準用（第5項）
内容：第1項から第3項までの規定は、当該本人が識別される個人データに係る第29条第1項及び第30条第3項の記録（その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるものを除く。第37条第2項において「第三者提供記録」という。）について準用する。
本項の規定により、個人データの第三者提供に伴い作成される記録・個人情報の第三者提供を受ける際に確認した事項の記録が、本人の請求により公表される。
■保有個人データの訂正等（法第34条）
◇訂正の請求（第1項）
請求者：本人
請求先：個人情報取扱事業者
請求の場面：本人が識別される保有個人データの内容が事実でないとき。
請求の内容：当該保有個人データの内容の訂正、追加又は削除（「訂正等」という。）を請求することができる。
主観的な判断・意見・評価などの見解の相違は、訂正の請求の対象外である。
◇保有個人データの訂正義務（第2項）
義務者：個人情報取扱事業者
義務の場面：第1項の規定による請求を受けた場合
義務の内容：利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行う。
例外：内容の訂正等に関して他の法令（条例を含む。）の規定により特別の手続が定められている場合は、その規定に従う。
◇本人への通知義務（第3項）
義務者：個人情報取扱事業者
義務の場面：下記の場面のいずれか。
- 第1項の規定による請求に係る保有個人データの内容の全部・一部について訂正等を行ったとき。
- 第1項の規定による請求に係る保有個人データの内容の訂正等を行わない旨の決定をしたとき。
義務の内容：本人に対し、遅滞なく、訂正等を行った旨／行わないことにした旨を通知する。
通知内容についての補足：訂正等を行ったときは、その内容も通知する。
■保有個人データの利用停止等（法第35条）
◇利用停止等の請求（第1項）
請求者：本人
請求先：個人情報取扱事業者
請求の場面：下記の場面のいずれか。
請求の内容：当該保有個人データの利用の停止又は消去（「利用停止等」という。）を請求することができる。
◇利用停止等の義務（第2項）
義務者：個人情報取扱事業者
義務の場面：第1項の規定による請求を受けた場合であって、その請求に理由があることが判明したとき。
義務の内容：違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行う。
例外：当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるとき。
◇第三者提供停止の請求（第3項）
請求者：本人
請求先：個人情報取扱事業者
請求の場面：当該本人が識別される保有個人データが第27条第1項又は第28条の規定に違反して第三者に提供されているとき。
請求の内容：当該保有個人データの第三者提供の停止を請求することができる。
◇第三者提供停止の義務（第4項）
義務者：個人情報取扱事業者
義務の場面：第3項の規定による請求を受けた場合であって、その請求に理由があることが判明したとき
義務の内容：遅滞なく、当該保有個人データの第三者提供を停止する。
例外：当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるとき。
◇利用停止等・第三者提供停止の請求場面の拡大（第5項）
請求者：本人
請求先：個人情報取扱事業者
請求の場面：下記の場面のいずれか。
- 当該本人が識別される保有個人データを当該個人情報取扱事業者が利用する必要がなくなった場合
- 当該本人が識別される保有個人データに係る第26条第1項本文に規定する「個人の権利利益を害するおそれが大きい事態」が生じた場合
- その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合
請求の内容：当該保有個人データの利用停止等又は第三者への提供の停止を請求することができる。
◇利用停止等・第三者提供停止の義務（第6項）
義務者：個人情報取扱事業者
義務の場面：第5項の規定による請求を受けた場合であって、その請求に理由があることが判明したとき。
義務の内容：本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの利用停止等又は第三者提供の停止を行う。
例外：当該保有個人データの利用停止等又は第三者への提供の停止に多額の費用を要する場合その他の利用停止等又は第三者提供の停止が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるとき。
◇本人への通知義務（第7項）
義務者：個人情報取扱事業者
義務の場面：下記の場面のいずれか。
- 第1項若しくは第5項の規定による請求に係る保有個人データの全部又は一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき。
- 第3項若しくは第5項の規定による請求に係る保有個人データの全部又は一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたとき。
義務の内容：本人に対し、遅滞なく、全部又は一部について利用停止等を行った旨／行わないことにした旨・第三者提供停止を行った旨／行わないことにした旨を通知する。
■理由説明の努力義務（法第36条）
義務者：個人情報取扱事業者
義務の場面：下記のいずれかの条項の規定により、本人から求められた措置の全部又は一部について、その措置をとらない旨又はその措置と異なる措置をとる旨を通知するとき。
義務の内容：本人に対し、求められた措置をとらない／その措置と異なる措置をとる理由を説明するよう努力する。
■開示等の請求等に応じる手続（法第37条）
◇開示等の請求等を受け付ける方法（第1項）
対応者：個人情報取扱事業者
対応の場面：下記の場面（まとめて「開示等の請求等」という。）のいずれか。
- 第32条第2項の規定による利用目的の通知を求められたとき。
- 第33条第1項（同条第5項において準用する場合を含む。）の規定による保有個人データの開示を請求されたとき。
- 第34条第1項の規定による保有個人データの内容の訂正等を請求されたとき。
- 第35条第1項、第3項又は第5項の規定による保有個人データの利用停止等・第三者提供停止を請求されたとき。
対応の内容：政令で定めるところにより、開示等の請求等を受け付ける方法を定めることができる。
内容：法第37条第1項の規定により個人情報取扱事業者が開示等の請求等を受け付ける方法として定めることができる事項は、次に掲げるとおりである。
- 開示等の請求等の申出先
- 開示等の請求等に際して提出すべき書面（電磁的記録を含む。）の様式その他の開示等の請求等の方式
- 開示等の請求等をする者が本人又は第13条に規定する代理人であることの確認の方法
- 法第38条第一項の手数料の徴収方法
本人の対応：本人は、個人情報取扱事業者が定めた方法に従って、開示等の請求等を行わなければならない。
◇開示等の請求等に対する対応（第2項）
対応者：個人情報取扱事業者
対応の内容：本人に対し、開示等の請求等に関し、その対象となる保有個人データ又は第三者提供記録を特定するに足りる事項の提示を求めることができる。
提示請求に伴う義務：個人情報取扱事業者は、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データ又は当該第三者提供記録の特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。
◇代理人による請求（第3項）
内容：開示等の請求等は、政令で定めるところにより、代理人によってすることができる。
◇配慮義務（第4項）
内容：個人情報取扱事業者は、前三項の規定に基づき開示等の請求等に応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。
■手数料（法第38条）
◇手数料の徴収（第1項）
徴収者：個人情報取扱事業者
徴収の場面：下記の場面のいずれか。
内容：通知又は開示の実施に関し、手数料を徴収することができる。
◇手数料の額（第2項）
内容：第1項の手数料は、実費を勘案して合理的であると認められる範囲内になければならない。
■事前の請求（法第39条）
◇訴訟までの手続き（第1項）
訴えの内容：下記の請求のいずれかに係る訴訟。
内容：本人は、上記の請求に係る訴えを提起しようとするときは、その訴えの被告となるべき者に対し、あらかじめ、当該請求を行い、当該請求の到達した日から2週間を経過した後でなければ、その訴えを提起することができない。
例外：訴えの被告となるべき者がその請求を拒んだときは、2週間を経過した後でなくてもよい。
◇請求の到達日（第2項）
内容：第1項の請求は、その請求が通常到達すべきであった時に、到達したものとみなす。
◇第1項・第2項の規定の準用（第3項）
内容：前二項の規定は、第33条第1項、第34条第1項又は第35条第1項、第3項若しくは第5項の規定による請求に係る仮処分命令の申立てについて準用する。
4-3．仮名加工情報取扱事業者等の義務
■仮名加工情報の作成等（法第41条）
◇個人情報の加工義務（第1項）
義務者：個人情報取扱事業者
義務の場面：仮名加工情報（仮名加工情報データベース等を構成するものに限る。）を作成するとき。
義務の内容：他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工しなければならない。
加工の方式：個人情報保護委員会規則で定める基準に従う。
内容：法第41条第1項の個人情報保護委員会規則で定める基準は、下記のとおり。
- 個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること（復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
- 個人情報に含まれる個人識別符号の全部を削除すること（復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
- 個人情報に含まれる不正に利用されることにより財産的被害が生じるおそれがある記述等を削除すること（復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
◇削除情報等の安全管理義務（第2項）
義務者：個人情報取扱事業者
義務の場面：下記の場合のいずれか。
- 仮名加工情報を作成したとき。
- 仮名加工情報及び当該仮名加工情報に係る削除情報等を取得したとき。
「削除情報等」とは
仮名加工情報の作成に用いられた個人情報から削除された記述等及び個人識別符号並びに加工の方法に関する情報をいう。
義務の内容：削除情報等の漏えいを防止するため、削除情報等の安全管理のための措置を講じなければならない。
安全管理措置の方式：個人情報保護委員会規則で定める基準に従う。
内容：法第41条第2項の個人情報保護委員会規則で定める基準は、下記のとおり。
- 法第41条第2項に規定する削除情報等を取り扱う者の権限及び責任を明確に定めること。
- 削除情報等の取扱いに関する規程類を整備し、当該規程類に従って削除情報等を適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果に基づき改善を図るために必要な措置を講ずること。
- 削除情報等を取り扱う正当な権限を有しない者による削除情報等の取扱いを防止するために必要かつ適切な措置を講ずること。
◇利用目的・範囲の遵守義務（第3項）
義務者：仮名加工情報取扱事業者（個人情報取扱事業者である者に限る。）
義務の内容：第18条の規定にかかわらず、第17条第1項の規定により特定された利用目的の達成に必要な範囲を超えて、仮名加工情報（個人情報であるものに限る。）を取り扱ってはならない。
例外の場面：法令（条例を含む。）に基づく場合
◇第21条の規定の適用（第4項）
内容：第21条の規定（取得に際しての利用目的の通知等）は、仮名加工情報について適用する。
◇仮名加工情報・削除情報等の消去の努力義務（第5項）
義務者：仮名加工情報取扱事業者（個人情報取扱事業者である者に限る。）
義務の場面：仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったとき。
義務の内容：当該個人データ及び削除情報等を遅滞なく消去するよう努力する。第22条の規定は、この場合について適用しない。
◇仮名加工情報である個人データの第三者提供の禁止（第6項）
内容：仮名加工情報取扱事業者は、第27条第1項及び第2項並びに第28条第1項の規定にかかわらず、仮名加工情報である個人データを第三者に提供してはならない。
例外の場面：法令（条例を含む。）に基づく場合
第三者に該当しない者に対しては、仮名加工情報である個人データを提供することができる。
個人情報である個人データに関する規定の準用：仮名加工情報である個人データについて、下記の規定を準用する。
◇他の情報との照合禁止（第7項）
内容：仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たり、当該仮名加工情報の作成に用いられた個人情報の本人を識別するために、当該仮名加工情報を他の情報と照合してはならない。
照合（識別）行為にあたらない事例：
- 複数の仮名加工情報を組み合わせて統計情報を作成すること。
- 仮名加工情報を個人と関係のない情報（例：気象情報、交通情報）とともに傾向を統計的に分析すること。
照合（識別）行為にあたる事例：
- 保有する個人情報と仮名加工情報について、共通する記述等を選別してこれらを照合すること。
- 仮名加工情報を、当該仮名加工情報の作成の元となった個人情報と照合すること。
◇仮名加工情報に含まれる連絡先その他の情報の利用禁止（第8項）
内容：仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たり、下記の目的のために、当該仮名加工情報に含まれる連絡先その他の情報を利用してはならない。
- 電話をかけること。
- 郵便を送付すること。
- 信書便法第2条第6項に規定する一般信書便事業者若しくは同条第9項に規定する特定信書便事業者による同条第2項に規定する信書便を送付すること。
- 電報を送達すること。
- ファクシミリ装置若しくは電磁的方法（電子情報処理組織を使用する方法その他の情報通信の技術を利用する方法であって個人情報保護委員会規則で定めるものをいう。）を用いて送信すること。
- 住居を訪問すること。
◇適用除外（第9項）
内容：第17条第2項、第26条及び第32条から第39条までの規定は、仮名加工情報、仮名加工情報である個人データ及び仮名加工情報である保有個人データについて、適用しない。
■仮名加工情報の第三者提供の制限等（法第42条）
◇個人情報以外の仮名加工情報の第三者提供禁止（第1項）
内容：仮名加工情報取扱事業者は、仮名加工情報（個人情報であるものを除く。）を第三者に提供してはならない。
例外の場面：法令（条例を含む。）に基づく場合
◇第27条第5項・第6項の規定の準用（第2項）
内容：第27条第5項及び第6項の規定は、仮名加工情報の提供を受ける者について準用する。
◇第23条～第25条・第40条・第41条第7項及び第8項の規定の準用（第3項）
内容：第23条～第25条・第40条・第41条第7項及び第8項の規定は、仮名加工情報取扱事業者による仮名加工情報の取扱いについて準用する。
※仮名加工情報は、個人データに該当するか否かにかかわらず、第41条第6項・第42条第1項の規定により、第三者への提供を原則禁止されている。仮名加工情報は内部利用が原則である。
4-4．匿名加工情報取扱事業者等の義務
■匿名加工情報の作成等（法第43条）
◇個人情報の加工義務（第1項）
義務者：個人情報取扱事業者
義務の場面：匿名加工情報（匿名加工情報データベース等を構成するものに限る。）を作成するとき。
義務の内容：特定の個人を識別すること及びその作成に用いる個人情報を復元することができないように個人情報を加工しなければならない。
加工の方式：個人情報保護委員会規則で定める基準に従う。
内容：法第43条第1項の個人情報保護委員会規則で定める基準は、下記のとおり。
- 個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること（復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
- 個人情報に含まれる個人識別符号の全部を削除すること（復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
- 個人情報と当該個人情報に措置を講じて得られる情報とを連結する符号（現に個人情報取扱事業者において取り扱う情報を相互に連結する符号に限る。）を削除すること（復元することのできる規則性を有しない方法により当該個人情報と当該個人情報に措置を講じて得られる情報を連結することができない符号に置き換えることを含む。）。
- 特異な記述等を削除すること（復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
- 前各号に掲げる措置のほか、個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等との差異その他の当該個人情報データベース等の性質を勘案し、その結果を踏まえて適切な措置を講ずること。
◇加工方法等情報の安全管理義務（第2項）
義務者：個人情報取扱事業者
義務の場面：匿名加工情報を作成したとき。
義務の内容：加工方法等情報の漏えいを防止するため、加工方法等情報の安全管理のための措置を講じなければならない。
「加工方法等情報」とは
匿名加工情報の作成に用いた個人情報から削除した記述等及び個人識別符号並びに第43条第1項の規定により行った加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。）をいう。
安全管理措置の方式：個人情報保護委員会規則で定める基準に従う。
内容：法第43条第2項の個人情報保護委員会規則で定める基準は、下記のとおり。
- 加工方法等情報を取り扱う者の権限及び責任を明確に定めること。
- 加工方法等情報の取扱いに関する規程類を整備し、当該規程類に従って加工方法等情報を適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果に基づき改善を図るために必要な措置を講ずること。
- 加工方法等情報を取り扱う正当な権限を有しない者による加工方法等情報の取扱いを防止するために必要かつ適切な措置を講ずること。
◇匿名加工情報作成時の個人に関する情報項目の公表義務（第3項）
義務者：個人情報取扱事業者
義務の場面：匿名加工情報を作成したとき。
義務の内容：当該匿名加工情報に含まれる個人に関する情報の項目を公表する。
公表の方式：個人情報保護委員会規則で定めるところによる。
◇匿名加工情報の第三者提供時の公表・明示義務（第4項）
義務者：個人情報取扱事業者
義務の場面：匿名加工情報を作成して当該匿名加工情報を第三者に提供するとき。
義務の内容：
- あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表する。
- 当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示する。
公表の方式：個人情報保護委員会規則で定めるところによる。
◇他の情報との照合禁止（第5項）
内容：個人情報取扱事業者は、匿名加工情報を作成して自ら当該匿名加工情報を取り扱うに当たり、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該匿名加工情報を他の情報と照合してはならない。
照合（識別）行為にあたらない事例：
- 複数の匿名加工情報を組み合わせて統計情報を作成すること。
- 匿名加工情報を個人と関係のない情報（例：気象情報、交通情報）とともに傾向を統計的に分析すること。
照合（識別）行為にあたる事例：
- 保有する個人情報と匿名加工情報について、共通する記述等を選別してこれらを照合すること。
- 匿名加工情報を、当該匿名加工情報の作成の元となった個人情報と照合すること。
※法第45条の規定についても同様。
◇適正な取扱いの確保に必要な措置の公表の努力義務（第6項）
義務者：個人情報取扱事業者
義務の場面：匿名加工情報を作成したとき。
義務の内容：下記の措置を自ら講じ、かつ、当該措置の内容を公表するよう努力する。
- 当該匿名加工情報の安全管理のために必要かつ適切な措置
- 当該匿名加工情報の作成その他の取扱いに関する苦情の処理
- その他の当該匿名加工情報の適正な取扱いを確保するために必要な措置
■匿名加工情報の第三者提供時の義務（法第44条）
義務者：匿名加工情報取扱事業者
義務の場面：匿名加工情報（自ら個人情報を加工して作成したものを除く。）を第三者に提供するとき。
義務の内容：
- あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表する。
- 当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示する。
公表の方式：個人情報保護委員会規則で定めるところによる。
■識別行為の禁止（法第45条）
禁止対象者：匿名加工情報取扱事業者
禁止の内容：匿名加工情報を取り扱うに当たり、下記の行為をしてはならない。
- 当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該個人情報から削除された記述等・個人識別符号・第43条第1項・第116条第1項（同条第2項において準用する場合を含む。）の規定により行われた加工の方法に関する情報を取得すること。
- 当該匿名加工情報を他の情報と照合すること。
■安全管理措置等の努力義務（法第46条）
義務者：匿名加工情報取扱事業者
義務の内容：下記の措置を自ら講じ、かつ、当該措置の内容を公表するよう努力する。
- 匿名加工情報の安全管理のために必要かつ適切な措置
- 匿名加工情報の作成その他の取扱いに関する苦情の処理
- その他の匿名加工情報の適正な取扱いを確保するために必要な措置
4-5．民間団体による個人情報の保護の推進
省略
4-6．雑則
■適用除外（法第57条）
◇報道機関等（第1項）
内容：個人情報取扱事業者等及び個人関連情報取扱事業者のうち下記の各号に掲げる者については、個人情報取扱事業者等の義務等（第16条～第59条）の規定は、適用しない。
条件：個人情報等及び個人関連情報を取り扱う目的の全部・一部がそれぞれ当該各号に規定する目的であること。
| 業／団体 | 目的 |
|---|---|
| 1．放送機関、新聞社、通信社その他の報道機関（報道を業として行う個人を含む。） | 報道の用に供する目的 |
| 2．著述を業として行う者 | 著述の用に供する目的 |
| 3．宗教団体 | 宗教活動（これに付随する活動を含む。）の用に供する目的 |
| 4．政治団体 | 政治活動（これに付随する活動を含む。）の用に供する目的 |
◇報道の意味（第2項）
内容：第1項第1号に規定する「報道」とは、不特定かつ多数の者に対して客観的事実を事実として知らせること（これに基づいて意見又は見解を述べることを含む。）をいう。
◇適正な取扱いの確保に必要な措置の公表の努力義務（第3項）
義務者：第1項各号に掲げる個人情報取扱事業者
義務の内容：下記の措置を自ら講じ、かつ、当該措置の内容を公表するよう努力する。
- 個人データ、仮名加工情報又は匿名加工情報の安全管理のために必要かつ適切な措置
- 個人情報等の取扱いに関する苦情の処理
- その他の個人情報等の適正な取扱いを確保するために必要な措置
■適用の特例（法第58条）
◇（第1項）
内容：個人情報取扱事業者又は匿名加工情報取扱事業者のうち次に掲げる者については、第32条～第39条及び第43条～第46条の規定は、適用しない。
- 別表第二に掲げる法人
- 地方独立行政法人のうち地方独立行政法人法第21条第1号に掲げる業務を主たる目的とするもの又は同条第2号若しくは第3号（チに係る部分に限る。）に掲げる業務を目的とするもの
◇（第2項）
内容：下記の各号に掲げる者が行う当該各号に定める業務における個人情報、仮名加工情報又は個人関連情報の取扱いについては、個人情報取扱事業者等の義務等の規定（第32条～第39条及び第43条～第46条を除く。）を適用する。
| 団体 | 業務 |
|---|---|
| 1．地方公共団体の機関 | 病院・診療所・大学の運営 |
| 2．独立行政法人労働者健康安全機構 | 病院の運営 |
■学術研究機関等の責務（法第59条）
内容：個人情報取扱事業者である学術研究機関等は、学術研究目的で行う個人情報の取扱いについて、本法律の規定を遵守し、その適正を確保するために必要な措置を自ら講じ、かつ、その措置の内容を公表するよう努力する。
第五部：個人情報保護委員会
5-1．設置等
■個人情報保護委員会の設置（法第130条）
省略
■個人情報保護委員会の任務（法第131条）
内容：
- 個人の権利利益を保護するため、個人情報の適正な取扱いの確保を図ることを任務とする。
- 個人番号利用事務等実施者に対する指導及び助言その他の措置を講ずることを含む。
■所掌事務（法第132条）
内容：委員会は、第131条の任務を達成するため、下記に掲げる事務を所掌する。
- 基本方針の策定及び推進に関すること。
- 下記の事業者・団体の業務に関すること。
- 個人情報取扱事業者における個人情報の取扱いに関する監視。
- 個人情報取扱事業者及び仮名加工情報取扱事業者における仮名加工情報の取扱いに関する監視。
- 個人情報取扱事業者及び匿名加工情報取扱事業者における匿名加工情報の取扱いに関する監視。
- 個人関連情報取扱事業者における個人関連情報の取扱いに関する監督。
- 行政機関等における個人情報、仮名加工情報、匿名加工情報及び個人関連情報の取扱いに関する監視。
- 個人情報、仮名加工情報及び匿名加工情報の取扱いに関する苦情の申出についての必要なあっせん及びその処理を行う事業者への協力に関すること（第4号に掲げるものを除く。）。
- 認定個人情報保護団体に関すること。
- 特定個人情報の取扱いに関する監視又は監督並びに苦情の申出についての必要なあっせん及びその処理を行う事業者への協力に関すること。
- 特定個人情報保護評価に関すること。
- 個人情報の保護及び適正かつ効果的な活用についての広報及び啓発に関すること。
- 前各号に掲げる事務を行うために必要な調査及び研究に関すること。
- 所掌事務に係る国際協力に関すること。
- 前各号に掲げるもののほか、法律（法律に基づく命令を含む。）に基づき委員会に属させられた事務
■（法第133条～第145条）
省略
5-2．監督及び監視
5-2-1．個人情報取扱事業者等の監督
■報告及び立入検査（法第146条）
◇立入検査等（第1項）
権限者：個人情報保護委員会
権限の内容：個人情報保護委員会（以下、「委員会」）は下記の措置をとることができる。
- 個人情報、仮名加工情報、匿名加工情報又は個人関連情報（「個人情報等」という。）の取扱いに関し、必要な報告若しくは資料の提出を求める。
- 職員に、個人情報取扱事業者等その他の関係者の事務所その他必要な場所に立ち入らせ、個人情報等の取扱いに関し質問させ、若しくは帳簿書類その他の物件を検査させる。
権限の限度：個人情報取扱事業者等の義務等の規定（第47条～第56条を除く。）の施行に必要な限度。
対象者：
- 個人情報取扱事業者
- 仮名加工情報取扱事業者
- 匿名加工情報取扱事業者
- 個人関連情報取扱事業者
- その他の関係者
◇身分証明書の携帯義務（第2項）
省略
◇犯罪捜査の否定（第3項）
内容：第1項の規定による権限は、犯罪捜査のためのものではない。
■指導及び助言（法第147条）
権限者：個人情報保護委員会
権限の内容：委員会は、個人情報取扱事業者等に対し、個人情報等の取扱いに関し必要な指導及び助言をすることができる。
権限の限度：個人情報取扱事業者等の義務等の規定（第47条～第56条を除く。）の施行に必要な限度。
■勧告及び命令（法第148条）
◇違反是正勧告（第1項）
権限者：個人情報保護委員会
権限の場面：個人情報取扱事業者等が下記の規定に違反した場合において個人の権利利益を保護するため必要があると認めるとき。
下記に掲げる規定に対する違反。
- 個人情報取扱事業者
- 第18条
- 第19条
- 第20条
- 第21条（第1項、第3項及び第4項の規定を第41条第4項の規定により読み替えて適用する場合を含む。）
- 第23条
- 第24条
- 第25条
- 第26条
- 第27条（第4項を除き、第5項及び第6項の規定を第41条第6項の規定により読み替えて適用する場合を含む。）
- 第28条
- 第29条（第1項ただし書の規定を第41条第6項の規定により読み替えて適用する場合を含む。）
- 第30条（第2項を除き、第1項ただし書の規定を第41条第6項の規定により読み替えて適用する場合を含む。）
- 第32条
- 第33条（第1項（第5項において準用する場合を含む。）を除く。）
- 第34条第2項若しくは第3項
- 第35条（第1項、第3項及び第5項を除く。）
- 第38条第2項
- 第41条（第4項及び第5項を除く。）
- 第43条（第6項を除く。）
- 個人関連情報取扱事業者
- 第31条第1項
- 第31条第2項において読み替えて準用する第28条第3項
- 第31条第3項において読み替えて準用する第30条第3項若しくは第4項
- 仮名加工情報取扱事業者
- 第42条第1項
- 第42条第2項において読み替えて準用する第27条第5項若しくは第6項
- 第42条第3項において読み替えて準用する第23条から第25条まで
- 第41条第7項若しくは第8項
- 匿名加工情報取扱事業者
- 第44条
- 第45条
権限の内容：委員会は、当該個人情報取扱事業者等に対し、当該違反行為の中止その他違反を是正するために必要な措置をとるべき旨を勧告することができる。
◇措置命令（第2項）
命令者：個人情報保護委員会
発令の場面：第1項の規定による勧告を受けた個人情報取扱事業者等が正当な理由なく勧告に係る措置をとらなかった場合であって、個人の重大な権利利益の侵害が切迫していると認めるとき。
命令の内容：委員会は、当該個人情報取扱事業者等に対し、その勧告に係る措置をとるべきことを命ずることができる。
◇違反是正命令（第3項）
権限者：個人情報保護委員会
権限の場面：個人情報取扱事業者等が下記の規定に違反した場合において個人の重大な権利利益を害する事実があるため緊急に措置をとる必要があると認めるとき。
下記に掲げる規定に対する違反。
- 個人情報取扱事業者
- 第18条
- 第19条
- 第20条
- 第23条
- 第24条
- 第25条
- 第26条
- 第27条第1項
- 第28条第1項若しくは第3項
- 第41条第1項から第3項まで若しくは第6項から第8項まで
- 第43条第1項、第2項若しくは第5項
- 個人関連情報取扱事業者
- 第31条第1項
- 第31条第2項において読み替えて準用する第28条第3項
- 仮名加工情報取扱事業者
- 第42条第1項
- 第42条第3項において読み替えて準用する第23条から第25条まで
- 第41条第7項若しくは第8項
- 匿名加工情報取扱事業者
- 第45条
権限の内容：委員会は、当該個人情報取扱事業者等に対し、当該違反行為の中止その他違反を是正するために必要な措置をとるべきことを命ずることができる。
◇命令違反の公表（第4項）
内容：委員会は、前二項の規定による命令をした場合において、その命令を受けた個人情報取扱事業者等がその命令に違反したときは、その旨を公表することができる。
■委員会の権限の行使の制限（法第149条）
◇表現の自由等の尊重（第1項）
内容：委員会は、第146条～第148条の規定により個人情報取扱事業者等に対し報告若しくは資料の提出の要求、立入検査、指導、助言、勧告又は命令を行うに当たっては、表現の自由、学問の自由、信教の自由及び政治活動の自由を妨げてはならない。
◇委員会の権限の適用除外（第2項）
内容：委員会は、個人情報取扱事業者等が第57条第1項各号に掲げる者（各号に定める目的で個人情報等を取り扱う場合に限る。）に対して個人情報等を提供する行為については、その権限を行使しない。
■権限の委任（法第150条）
省略
■事業所管大臣の請求（法第151条）
省略
■事業所管大臣（法第152条）
省略
5-2-2．認定個人情報保護団体の監督
省略
5-2-3．行政機関等の監視
省略
5-3．送達
■送達すべき書類（法第161条）
◇（第1項）
内容：下記に掲げる手続きは、個人情報保護委員会規則で定める書類を送達して行う。
個人情報取扱事業者等に対する手続き：
個人情報取扱事業者等を除く者に対する手続き：
- 第153条の規定による認定個人情報保護団体からの報告の徴収
- 第154条の規定による認定個人情報保護団体に対する命令
- 第155条第1項の規定による認定個人情報保護団体の認定の取消し
◇行政手続法の規定の準用（第2項）
内容：下記の手続きに係る行政手続法第15条第1項又は第30条の通知は、行政手続法第15条第1項及び第2項又は第30条の書類を送達して行う。この場合において、行政手続法第15条第3項（同法第31条において読み替えて準用する場合を含む。）の規定は、適用しない。
■送達に関する民事訴訟法の準用（法第162条）
省略
■公示送達（法第163条）
◇公示送達が可能な場合（第1項）
内容：委員会は、次に掲げる場合には、公示送達をすることができる。
- 送達を受けるべき者の住所、居所その他送達をすべき場所が知れない場合
- 外国（日本の域外にある国又は地域をいう。）においてすべき送達について、第162条において読み替えて準用する民事訴訟法第108条の規定によることができず、又はこれによっても送達をすることができないと認めるべき場合
- 第162条において読み替えて準用する民事訴訟法第108条の規定により外国の管轄官庁に嘱託を発した後6月を経過してもその送達を証する書面の送付がない場合
◇公示送達の方法（第2項）
内容：公示送達は、送達をすべき書類を送達を受けるべき者にいつでも交付すべき旨を委員会の掲示場に掲示することにより行う。
◇公示送達の期間（第3項）
内容：公示送達は、第2項の規定による掲示を始めた日から2週間を経過することによって、その効力を生ずる。
◇外国においてすべき送達に代わる公示送達の期間（第4項）
内容：外国においてすべき送達についてした公示送達にあっては、前項の期間は、6週間とする。
■電子情報処理組織の使用（法第164条）
省略
5-4．雑則
省略
第六部：雑則
■適用範囲（法第171条）
内容：本法は、個人情報取扱事業者等が国内にある者に対する物品又は役務の提供に関連して、下記の個人情報等を外国において取り扱う場合についても適用する。
- 個人情報取扱事業者等の種類
- 個人情報取扱事業者
- 仮名加工情報取扱事業者
- 匿名加工情報取扱事業者
- 個人関連情報取扱事業者
- 個人情報等の種類
- 国内にある者を本人とする個人情報
- 当該個人情報として取得されることとなる個人関連情報
- 当該個人情報を用いて作成された仮名加工情報
- 当該個人情報を用いて作成された匿名加工情報
■（法第172条～第175条）
省略
第七部：罰則
個人情報取扱事業者等及び民間人に関係する罰則：
| 違反 | 条項 | 罰則 （個人） | 罰則 （法人*） |
|---|---|---|---|
| 第66条第2項各号に定める業務若しくは第73条第5項若しくは第121条第3項の委託を受けた業務に従事している者若しくは従事していた者又は行政機関等において個人情報、仮名加工情報若しくは匿名加工情報の取扱いに従事している派遣労働者若しくは従事していた派遣労働者が、正当な理由がないのに、個人の秘密に属する事項が記録された第60条第2項第1号に係る個人情報ファイル（その全部又は一部を複製し、又は加工したものを含む。）を提供したとき | 第176条 | 2年以下の拘禁刑又は100万円以下の罰金 | |
| 第148条第2項又は第3項の規定による命令に違反した | 第178条 | 1年以下の拘禁刑又は100万円以下の罰金 | 1億円以下の罰金刑 |
| 個人情報取扱事業者（その者が法人（法人でない団体で代表者又は管理人の定めのあるものを含む。）である場合にあっては、その役員、代表者又は管理人）若しくはその従業者又はこれらであった者が、その業務に関して取り扱った個人情報データベース等（その全部又は一部を複製し、又は加工したものを含む。）を自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用した | 第179条 | 1年以下の拘禁刑又は50万円以下の罰金 | 1億円以下の罰金刑 |
| 第176条に規定する者が、その業務に関して知り得た保有個人情報を自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用した | 第180条 | 1年以下の拘禁刑又は50万円以下の罰金 | |
| 第146条第1項の規定による報告若しくは資料の提出をせず、若しくは虚偽の報告をし、若しくは虚偽の資料を提出し、又は当該職員の質問に対して答弁をせず、若しくは虚偽の答弁をし、若しくは検査を拒み、妨げ、若しくは忌避した | 第182条第1号 | 50万円以下の罰金 | 50万円以下の罰金 |
| 第30条第2項（第31条第3項において準用する場合を含む。）の規定に違反した | 第185条第1号 | 10万円以下の過料 | |
| 偽りその他不正の手段により、第85条第3項に規定する行政機関の長による開示決定に基づく保有個人情報の開示を受けた者 | 第185条第3号 | 10万円以下の過料 |
■日本国外に居る者への適用（法第183条）
内容：第176条、第177条及び第179条から第180条までの規定は、日本国外においてこれらの条の罪を犯した者にも適用する。
終わりに
個人情報保護法は、施行令や施行規則を含めても制度の枠組みを示すにとどまり、実務の細部までは規定していません。そのため、個人情報保護委員会は、事業者が個人情報を適正に取り扱うための指針として、各種ガイドラインを整備しています。
個人情報保護委員会の公式サイトには、業種ごとのガイドラインが公開されています。個人情報の管理を担当されている方は、自社に該当するガイドラインを一度確認しておくことをお勧めします。
