Ｑ＆Ａの追加・更新一覧
更新日該当Ｑ＆Ａ種別更新前 取ることができるよう、情報提供することを考えています。当該従業者は現在入院更新理由修正前（更新前欄）修正前（追加・更新後欄）修正理由
平成29年5月30日12－６更新
Ｑ12－６漏えい等事案について個人情報保護委員会等に報告する際の様式はありますか。
Ａ12－６参考となる報告書の様式を、個人情報保護委員会のホームページに掲載する予定ですので、そちらをご利用ください。なお、様式に規定された事項が全て含まれるものであれば、異なる様式による報告も可能です。
Ｑ12－６漏えい等事案について個人情報保護委員会等に報告する際の様式はありますか。
Ａ12－６参考となる報告書の様式を、個人情報保護委員会のホームページにおいて公表していますので、そちらをご利用ください。なお、様式に規定された事項が全て含まれるものであれば、異なる様式による報告も可能です。（平成29年５月更新）
個人情報保護法の全面施行に伴う修正を行いました。
Ｑ１－１－２個人番号の利用目的について、個人情報保護法における個人情報の利用目的とは区別して本人に通知等を行う必要がありますか。
Ａ１－１－２個人番号の利用目的と個人情報保護法における個人情報の利用目的とを区別して通知等を行う法的義務はありませんが、個人番号の利用範囲は限定されているため、その利用範囲を超えて利用目的を特定・通知等しないよう留意する必要があります。（平成27年４月追加）
平成29年5月30日12－７更新
Ｑ12－７「法第44条第１項に基づき法第40条第１項に規定する個人情報保護委員会の権限（報告徴収及び立入検査）が事業所管大臣に委任されている分野」とは、どの分野ですか。また、報告先はどこになりますか。
Ａ12－７法第44条第１項に基づき法第40条第１項に規定する個人情報保護委員会の権限（報告徴収及び立入検査）が事業所管大臣に委任されている分野及びその報告先については、今後関係行政機関と調整の上で考え方を定め、個人情報保護委員会のホームページへの掲載等の方法により公表する予定です。
Ｑ12－７「法第44条第１項に基づき法第40条第１項に規定する個人情報保護委員会の権限（報告徴収及び立入検査）が事業所管大臣に委任されている分野」とは、どの分野ですか。また、報告先はどこになりますか。
Ａ12－７法第44条第１項に基づき法第40条第１項に規定する個人情報保護委員会の権限（報告徴収及び立入検査）が事業所管大臣に委任されている分野及びその報告先については、個人情報保護委員会のホームページにおいて公表していますので、そちらをご参照ください。（平成29年５月更新）
個人情報保護法の全面施行に伴う修正を行いました。
Ｑ１－１－２個人番号の利用目的について、個人情報保護法における個人情報の利用目的とは区別して本人に通知等を行う必要がありますか。
Ａ１－１－２個人番号の利用目的と個人情報保護法における個人情報の利用目的とを区別して通知等を行う法的義務はありませんが、個人番号の利用範囲は限定されているため、その利用範囲を超えて利用目的を特定・通知等しないよう留意する必要があります。（平成27年４月追加）
平成30年7月20日１－50更新
（個人情報取扱事業者）Ｑ１－50NPO法人や自治会・町内会、同窓会のような非営利の活動を行っている団体も、個人情報取扱事業者として、個人情報保護法の規制を受けるのですか。
Ａ１－50個人情報保護法における「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問いません。したがって、非営利の活動を行っている団体であっても、個人情報データベース等を事業の用に供している場合は、個人情報取扱事業者に該当します。NPO法人や自治会・町内会、同窓会のほか、サークルやマンション管理組合なども個人情報取扱事業者に該当し得ます。
（個人情報取扱事業者）Ｑ１－50NPO法人や自治会・町内会、同窓会、PTAのような非営利の活動を行っている団体も、個人情報取扱事業者として、個人情報保護法の規制を受けるのですか。
Ａ１－50個人情報保護法における「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問いません。したがって、非営利の活動を行っている団体であっても、個人情報データベース等を事業の用に供している場合は、個人情報取扱事業者に該当します。NPO法人や自治会・町内会、同窓会、PTAのほか、サークルやマンション管理組合なども個人情報取扱事業者に該当し得ます。
個人情報取扱事業者に該当しうる例として、PTAも含まれることを明確にするため、記載を追加しました。
Ｑ１－１－２個人番号の利用目的について、個人情報保護法における個人情報の利用目的とは区別して本人に通知等を行う必要がありますか。
Ａ１－１－２個人番号の利用目的と個人情報保護法における個人情報の利用目的とを区別して通知等を行う法的義務はありませんが、個人番号の利用範囲は限定されているため、その利用範囲を超えて利用目的を特定・通知等しないよう留意する必要があります。（平成27年４月追加）
平成30年7月20日１－50－２追加－
（個人情報取扱事業者）Ｑ１－50－２民生委員・児童委員が個人情報を取り扱う場合、個人情報取扱事業者として個人情報保護法の規制を受けるのですか。
Ａ１－50－２民生委員・児童委員は非常勤・特別職の地方公務員であり、法第２条第５項第２号における「地方公共団体」の職員に当たることから、民生委員・児童委員として活動する範囲内では個人情報取扱事業者から除かれています。なお、民生委員・児童委員には民生委員法第15条等により守秘義務が課されています。
平成30年7月20日３－10－２追加－
（利用目的の通知又は公表）Ｑ３－10－２飲食店を営んでいます。顧客から予約を受けるときに取得した個人情報を取り扱う際に、どんなことに注意すればよいですか。
Ａ３－10－２事業者の規模にかかわらず、事業者が事業の用に供するために個人情報データベース等を取り扱っている場合、個人情報取扱事業者に相当するため、利用目的の通知又は公表が必要になります（法第18条第１項）。また、個人情報取扱事業者が保有する個人データを第三者に提供するには、原則として本人の同意が必要になります（法第23条第１項）。なお、電話番号等の連絡先等も、氏名等の特定の個人を識別できる情報と結びついて保存されている場合、個人情報に該当することになります。
Ｑ３－12特定個人情報を取り扱う情報システムにクラウドサービス契約のように外部の事業者を活用している場合、番号法上の委託に該当しますか。
Ａ３－12当該事業者が当該契約内容を履行するに当たって個人番号をその内容に含む電子データを取り扱うのかどうかが基準となります。当該事業者が個人番号をその内容に含む電子データを取り扱わない場合には、そもそも、個人番号関係事務又は個人番号利用事務の全部又は一部の委託を受けたとみることはできませんので、番号法上の委託には該当しません。当該事業者が個人番号をその内容に含む電子データを取り扱わない場合とは、契約条項によって当該事業者が個人番号をその内容に含む電子データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等が考えられます。（平成27年４月更新・Ｑ９－２に分割）
平成30年7月20日３－10－３追加－
（利用目的の通知又は公表）Ｑ３－10－３PTAが学校から生徒等に関する個人情報を取得する場合、どういった点に注意すればよいですか。
Ａ３－10－３PTAが名簿を作成しようとする場合、本人にその利用目的を通知・公表し、本人から取得した個人情報をその利用目的の範囲内で利用することが可能です。なお、学校による個人情報の提供については、私立学校の場合には個人情報保護法が、国公立の学校の場合には、設立主体に応じて独立行政法人等個人情報保護法や自治体の条例が適用され、それらの規定に基づいて適切に取り扱うことが求められます。
Ｑ３－14－２特定個人情報の受渡しに関して、配送業者、通信事業者等の外部事業者による配送・通信手段を利用する場合、番号法上の委託に該当しますか。
Ａ３－14－２特定個人情報の受渡しに関して、配送業者による配送手段を利用する場合、当該配送業者は、通常、依頼された特定個人情報の中身の詳細については関知しないことから、事業者と配送業者との間で特に特定個人情報の取扱いについての合意があった場合を除き、個人番号関係事務又は個人番号利用事務の委託には該当しないものと解されます。また、通信事業者による通信手段を利用する場合も、当該通信事業者は、通常、特定個人情報を取り扱っているのではなく、通信手段を提供している
ぎ個事務個事務
インデントの修正
平成30年7月20日３－14追加－
（直接書面等による取得）Ｑ３－14私立学校、自治会・町内会、同窓会、PTA等が本人から書面で提出を受けた個人情報を利用して名簿を作成し、配布する場合はどのようにすればよいですか。
Ａ３－14私立学校、自治会・町内会、同窓会、PTA等は本人に対し利用目的を明示した上で、個人情報を取得し、名簿を作成することが可能です。名簿を配布するなど、本人以外の者に個人データを提供する場合には、原則として、本人の同意を得る必要があります。例えば、掲載されている全員に配布する名簿を作成し、クラス内で配布するなど利用目的及び提供先を明示し、同意の上で所定の用紙に個人情報を記入・提出してもらう方法などが考えられます。※詳しくは、「会員名簿を作るときの注意事項（https://www.ppc.go.jp/files/pdf/meibo_sakusei.pdf）」をご覧ください。
平成30年7月20日５－20更新
（第三者提供の制限の原則）Ｑ５－20民生委員・児童委員に対して、個人情報を提供することは可能ですか。
Ａ５－20民生委員・児童委員は特別職の地方公務員と整理されているため、当該民生委員等への個人データの提供が法令に基づく場合や、当該民生委員等が法令の定める事務を遂行することに対して協力する必要があり、本人の同意を得ることで当該事務の遂行に支障を及ぼすおそれがある場合は、本人の同意を得ることなく当該個人データを提供することができると解されます（法第23条第１項第１号及び第４号）。
（第三者提供の制限の原則）Ｑ５－20民生委員・児童委員をしていますが、市町村や民間の事業者から、活動に必要な個人情報の提供を受けられず苦慮しています。提供を受けることは可能ですか。
Ａ５－20民生委員・児童委員は、福祉事務所などの協力機関として職務を行うものとされており、活動の円滑な実施のためには、個人情報の適切な提供を受ける必要があります。民生委員・児童委員には、民生委員法等において守秘義務が課せられていることも踏まえ、各主体から、その活動に必要な個人情報が適切に提供されることが望ましいと考えられます。民生委員・児童委員は特別職の地方公務員と整理されているため、当該民生委員等への個人データの提供が法令に基づく場合や、当該民生委員等が法令の定める事務を遂行することに対して協力する必要があり、本人の同意を得ることで当該事務の遂行に支障を及ぼすおそれがある場合は、本人の同意を得ることなく当該個人データを提供することができると解されます（法第23条第１項第１号及び第４号）。したがって、これらの場合、民生委員等は本人の同意を得ることなく、個人データの提供を受けることは可能と考えられます。また、地方公共団体の保有する個人情報については、それぞれの条例に基づいて提供が行われることとなります。
民生委員・児童委員が本人の同意を得ることなく市町村や民間の事業者から個人データの提供を受けることができる場合を明確にするため,更新しました。
※更新の場合は、修正箇所を赤字下線で示しています。
更新日該当Ｑ＆Ａ種別更新前 取ることができるよう、情報提供することを考えています。当該従業者は現在入院更新理由修正前（更新前欄）修正前（追加・更新後欄）修正理由
※更新の場合は、修正箇所を赤字下線で示しています。
平成30年7月20日５－20－２追加－
（第三者提供の制限の原則）Ｑ５－20－２大規模災害等の緊急時に、被災者情報・負傷者情報等の個人情報を関係者で共有する場合、本人の同意なく共有することができますか。
Ａ５－20－２個人データを第三者に提供する際には原則本人の同意が必要ですが、「人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき」は本人の同意は不要となっています（法第23条第１項第２号）。したがって、大規模災害等の緊急時に、人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるときには自治会等の個人情報取扱事業者が保有する個人データを本人の同意なく関係者等に提供することは可能と解されます。
平成30年7月20日５－20－３追加－
（第三者提供の制限の原則）Ｑ５－20－３地震等の災害時に支援が必要な高齢者、障害者等のリストを災害時に備えて関係者間で共有することは可能ですか。
Ａ５－20－３災害対策基本法では、市町村長は、避難行動要支援者（※）について、避難支援等を実施するための基礎となる名簿（避難行動要支援者名簿）を作成することが義務付けられています。この名簿は、災害の発生に備え、避難支援等の実施に必要な限度で、原則本人の同意を取得した上で関係者に提供するものとされています（ただし、各市町村の条例に特別の定めがある場合は、本人の同意を得ずに関係者で共有することができます。）。また、災害発生時又は災害発生のおそれがある場合で特に必要があると認めるときは、避難支援等の実施に必要な限度で、本人の同意を得ずに関係者で共有することができます。なお、災害対策基本法には、名簿を提供する際に避難行動要支援者や第三者の権利利益を保護するために必要な措置を採るよう努めることや、提供を受けた場合の秘密保持義務なども規定されています。※「避難行動要支援者」とは、当該市町村に居住する、高齢者、障害者、乳幼児その他の特に配慮を要する者のうち、災害が発生し、又は災害が発生するおそれがある場合に自ら避難することが困難な者であって、その円滑かつ迅速な避難の確保を図るため特に支援を要するものとされています。
平成30年7月20日５－36追加－
（第三者に該当しない場合）Ｑ５－36マンション管理組合でマンションの修繕を予定しており、工事会社に居住者の個人情報を提供する必要がありますが、あらかじめ本人の同意を得なければいけませんか。
Ａ５－36個人データを第三者に提供する際には、原則としてあらかじめ本人の同意を得る必要があります。利用目的の達成に必要な範囲内において、個人データの取扱いに関し委託（法第23条第５項第１号）をする場合には、本人の同意は不要です。したがって、マンション管理組合が工事会社に修繕を発注する際に、当該工事会社が修繕を行うために個人データの取扱いを委託する必要がある場合には、居住者の氏名等を提供するための本人の同意は不要ですが、委託者は個人データの取扱いについて、委託先を監督する義務があります（法第22条）。
平成30年7月20日５－37追加－
（第三者に該当しない場合）Ｑ５－37マンション管理組合とマンション管理会社の間で居住者の氏名等の情報を共有することは可能ですか。
Ａ５－37個人データを第三者に提供する際には、原則としてあらかじめ本人の同意が必要となりますので、本人の同意を取得している場合はマンション管理組合とマンション管理会社の間で居住者の氏名等の個人データを共有することは可能です。なお、管理組合が管理会社に対して、利用目的の達成に必要な範囲内において個人データの取扱いに関し委託（法第23条第５項第１号）をする場合には、第三者提供に該当しないため、本人の同意がなくとも、個人データの提供を受けることが可能です。ただし、委託者は個人データの取扱いについて、委託先を監督する義務があります（法第22条）。
平成30年7月20日５－38追加－
（第三者に該当しない場合）Ｑ５－38マンション管理組合がマンション管理会社に管理業務を委託している場合に、管理組合が保有する組合員名簿を管理会社が提供してもらうよう求めることは可能ですか。
Ａ５－38マンション管理規約や管理業務委託契約の内容にもよりますが、一般的に利用目的の達成に必要な範囲内において、個人データの取扱いに関する業務を委託する場合には、第三者提供には該当しません。また、委託内容に組合員名簿の作成・保管等が含まれている場合に管理会社から管理組合に名簿を提供することも第三者提供にはなりません。したがって、この委任の範囲内であれば、個人情報保護法上、管理組合が管理会社へ本人の同意を取得することなく名簿を提供することは可能と解されます。ただし、委託者は個人データの取扱いについて、委託先を監督する義務があります（法第22条）。
平成30年7月20日６－22追加－
（苦情処理）Ｑ６－22個人情報保護法に基づく開示請求、内容の訂正、利用停止の請求等への対応等に関する苦情や相談がある場合に、当該個人情報取扱事業者とともに、認定個人情報保護団体が対応することは可能ですか。
Ａ６－22認定個人情報保護団体は、消費者と事業者の間に立ち、対象事業者である個人情報取扱事業者の個人情報の適正な取扱いの確保を目的として、消費者からの苦情の処理や相談対応を行うこととされています。また、認定個人情報保護団体は、各業界の特性を踏まえつつ、個人情報に係る利用目的の特定、安全管理のための措置、開示等の請求等に応じる手続等に関し、個人情報保護指針を作成し、対象事業者はこれを遵守することとされています。認定個人情報保護団体に対して、対象事業者の保有個人データの開示請求、内容の訂正、利用の停止等の請求等への対応等に関する苦情の申出があったときは、認定個人情報保護団体は法令に基づいてこれを受け付けて、当該個人情報取扱事業者とともに、適切に対応を行うことが求められています。
更新日該当Ｑ＆Ａ種別更新前 取ることができるよう、情報提供することを考えています。当該従業者は現在入院更新理由修正前（更新前欄）修正前（追加・更新後欄）修正理由
※更新の場合は、修正箇所を赤字下線で示しています。
平成30年7月20日８－２－２追加－
（域外適用）Ｑ８－２－２外国で活動する事業者で、日本を含む各国にいる者に対してサービスを提供しており、当該サービス提供のために各本人から個人情報を取得しています。日本の利用者の個人データを含む漏えい等事案が生じた場合、漏えい等事案が発覚した場合に講ずべき措置をとるとともに、個人情報保護委員会等へ報告する必要がありますか。
Ａ８－２－２法第75条に基づき、外国にある個人情報取扱事業者のうち、日本にいる者に対して物品やサービスの提供を行い、これに関連して本人から個人情報を取得した者が、外国においてその個人情報を取り扱う場合は、ガイドライン（通則編）の「６－１域外適用」にあるように、法第20条（安全管理措置）も適用されます。したがって、このような外国にある個人情報取扱事業者が日本の利用者の個人データを含む漏えい等事案を発生させた場合には、日本にある個人情報取扱事業者と同様に、漏えい等事案が発覚した場合に講ずべき措置及び個人情報保護委員会等への報告の対象となります。なお、域外適用についてはＱ８－２をご参照ください。
平成30年7月20日８－３更新
（適用除外）Ｑ８－３個人情報保護法の適用除外とはどのような制度ですか。
Ａ８－３個人情報取扱事業者等のうち、憲法上保障された自由（表現の自由、学問の自由、信教の自由、政治活動の自由）に関わる以下の主体が以下の活動のために個人情報等を取り扱う場合には、その限りにおいて、個人情報取扱事業者等の義務は適用されません（法第76条第１項）。（１）報道機関報道活動（２）著述を業として行う者著述活動（３）学術研究機関・団体学術活動（４）宗教団体宗教活動（５）政治団体政治活動また、これらの諸活動の自由を確保するため、これらの活動の相手方である個人情報取扱事業者等の行為（例：政党から政治活動を行うため要請があった場合に、本人の同意なく個人データを提供すること）についても、個人情報保護委員会は、その行為に関する限り、その個人情報取扱事業者等に対して、報告の徴収、勧告、命令などの権限を行使しないこととされています（法第43条第２項）。
（適用除外）Ｑ８－３個人情報保護法の適用除外とはどのような制度ですか。
Ａ８－３個人情報取扱事業者等のうち、憲法上保障された自由（表現の自由、学問の自由、信教の自由、政治活動の自由）に関わる以下の主体が以下の活動のために個人情報等を取り扱う場合には、その限りにおいて、個人情報取扱事業者等の義務は適用されません（法第76条第１項）。（１）報道機関報道活動（２）著述を業として行う者著述活動（３）学術研究機関・団体学術活動（４）宗教団体宗教活動（５）政治団体政治活動また、これらの諸活動の自由を確保するため、これらの活動の相手方である個人情報取扱事業者等の行為（例：①政党から政治活動を行うため要請があった場合に、後援会等が本人の同意なく個人データを提供すること、②新聞社等の報道機関が報道目的で個人情報を取り扱う場合に、報道機関に対して本人の同意なく個人データを提供すること）についても、個人情報保護委員会は、その行為に関する限り、その個人情報取扱事業者等に対して、報告の徴収、勧告、命令などの権限を行使しないこととされています（法第43条第２項）。
適用除外に関連して、法第43条第２項で想定される事例を追加しました。
平成30年7月20日11－１－２追加－
Ｑ11－１－２統計情報と匿名加工情報の違いは何ですか。
Ａ11－１－２統計情報は、複数人の情報から共通要素に係る項目を抽出して同じ分類ごとに集計等して得られる情報であり、一般に、特定の個人との対応関係が排斥されているため、「個人情報」に該当しないものです。他方、匿名加工情報は、法第36 条第１項に基づき、施行規則第19条各号で定める基準に従い加工したものであり、例えば、ある一人の人物の購買履歴や移動履歴等の情報など、個人単位の「個人に関する情報」を含むものです。
平成30年7月20日11－４－２追加－
Ｑ11－４－２個人情報を、安全管理措置の一環等のためにマスキング等によって匿名化した場合、匿名加工情報に相当するのですか。
Ａ11－４－２匿名加工情報を作成するためには、匿名加工情報作成の意図を持って、法第36条第１項に基づき、施行規則第19条各号で定める基準に従い加工する必要があります。したがって、匿名加工情報作成基準に基づかずに、個人情報を安全管理措置の一環等のためにマスキング等によって匿名化した場合には、匿名加工情報としては扱われません。
平成30年7月20日11－４－３追加－
Ｑ11－４－３個人情報を加工して匿名加工情報を作成する場合についても、利用目的として特定する必要はありますか。
Ａ11－４－３利用目的の特定は個人情報が対象であるため、個人情報に該当しない匿名加工情報は対象となりません。また、匿名加工情報への加工を行うこと自体を利用目的とする必要はありません。
平成30年7月20日11－13－２追加－
Ｑ11－13－２匿名加工情報の作成の委託を複数の会社から受けることは可能ですか。その場合、どのようなことに留意する必要がありますか。
Ａ11－13－２複数の会社から匿名加工情報の作成の委託を受けることは可能です。ただし、委託を受けた各個人情報の取扱い及び匿名加工情報の作成については、各委託者の指示に基づきその範囲内で独立した形で行う必要があります。異なる委託者から委託された個人情報を組み合わせたり、突合したりすることはできません。
更新日該当Ｑ＆Ａ種別更新前 取ることができるよう、情報提供することを考えています。当該従業者は現在入院更新理由修正前（更新前欄）修正前（追加・更新後欄）修正理由
※更新の場合は、修正箇所を赤字下線で示しています。
平成30年7月20日11－17－２追加－
Ｑ11－17－２匿名加工情報を作成する際に元の個人情報に含まれるある項目の情報の全てを削除した場合、あるいは、その全てを置き換えた場合に、その項目について、匿名加工情報を作成したとき、あるいは、第三者に提供したときに公表する必要はありますか。
Ａ11－17－２匿名加工情報を作成する際に、元の個人情報に含まれるある項目について、その情報の全てを削除あるいは置き換えた場合には、匿名加工情報の作成あるいは第三者提供の際の公表事項として当該項目を含める必要はありません。
平成30年7月20日11－17－３追加－
Ｑ11－17－３匿名加工情報を作成した際に公表する個人に関する情報の項目の一部を「等」として省略することはできますか。また、「個人に関する情報の項目」の分類をどの程度、細かくする必要がありますか。まとめることは可能ですか。
Ａ11－17－３匿名加工情報を作成したときは、匿名加工情報に含まれる「個人に関する情報の項目」を公表する必要があります。公表される匿名加工情報に含まれる「個人に関する情報の項目」を省略することはできません。また、「個人に関する情報の項目」は、どのような情報が匿名加工情報に含まれているか、一般的かつ合理的に想定できる程度に分類する必要があります。その範囲であれば、「購買履歴」等とまとめた形で項目を示すことも考えられます。
平成30年12月25日１－11更新
（個人情報）Ｑ１－11店舗に防犯カメラを設置し、撮影した顔画像やそこから得られた顔認証データを防犯目的で利用することを考えています。個人情報保護法との関係で、どのような措置を講ずる必要がありますか。
Ａ１－11本人を判別可能なカメラ画像やそこから得られた顔認証データを取り扱う場合、個人情報の利用目的をできる限り特定し、当該利用目的の範囲内でカメラ画像や顔認証データを利用しなければなりません。本人を判別可能なカメラ画像を撮影録画する場合は、個人情報の取得となりますので、個人情報の利用目的をあらかじめ公表しておくか、又は個人情報の取得後速やかに本人に通知若しくは公表することが必要です。防犯カメラにより、防犯目的のみのために撮影する場合、「取得の状況からみて利用目的が明らか」（法第18条第４項第４号）であることから、利用目的の通知・公表は不要と解されますが、防犯カメラが作動中であることを店舗の入口に掲示する等、本人に対して自身の個人情報が取得されていることを認識させるための措置を講ずることが望ましいと考えられます。また、カメラ画像や顔認証データを体系的に構成して個人情報データベース等を構築した場合、個々のカメラ画像や顔認証データを含む情報は個人データに該当するため、個人情報保護法に基づく適切な取扱いが必要です。
（個人情報）Ｑ１－11店舗に防犯カメラを設置し、撮影した顔画像やそこから得られた顔認証データを防犯目的で利用することを考えています。個人情報保護法との関係で、どのような措置を講ずる必要がありますか。
Ａ１－11本人を判別可能なカメラ画像やそこから得られた顔認証データを取り扱う場合、個人情報の利用目的をできる限り特定し、当該利用目的の範囲内でカメラ画像や顔認証データを利用しなければなりません。本人を判別可能なカメラ画像を撮影録画する場合は、個人情報の取得となりますので、個人情報の利用目的をあらかじめ公表しておくか、又は個人情報の取得後速やかに本人に通知若しくは公表することが必要です。防犯カメラにより、防犯目的のみのために撮影する場合、「取得の状況からみて利用目的が明らか」（法第18条第４項第４号）であることから、利用目的の通知・公表は不要と解されますが、防犯カメラが作動中であることを店舗の入口や設置場所等に掲示する等、本人に対して自身の個人情報が取得されていることを認識させるための措置を講ずることが望ましいと考えられます。更に、カメラ画像の取得主体や内容を確認できるよう、問い合わせ先等について店舗の入り口や設置場所に明示するかあるいはこれを掲載したWEBサイトのURL又はQRコード等を示すことが考えられます。また、カメラ画像や顔認証データを体系的に構成して個人情報データベース等を構築した場合、個々のカメラ画像や顔認証データを含む情報は個人データに該当するため、個人情報保護法に基づく適切な取扱いが必要です。なお、「顔認証」等の画像処理の方法等は利用目的として直ちに記載が求められているものではないものの、透明性を確保するために、カメラの設置者は被写体となる本人が確認できるよう、画像処理の方法等の詳細やプライバシーポリシーについて掲載したWEBサイトのURL又はQRコード等を示すことが考えられます。
本人に対して自身の個人情報が取得されていることを認識させるために、防犯カメラを設置し、撮影した顔画像やそこから得られた顔認証データを防犯目的で利用する際に講じることが望ましい措置の内容を明確化するため、更新しました。
平成30年12月25日１－13－２追加－
（個人情報）Ｑ１－13－２防犯目的のために、万引き・窃盗等の犯罪行為や迷惑行為に対象を限定した上で、顔認証システムを導入しようとする場合にどのような注意が必要とされますか。
Ａ１－13－２カメラ画像や顔認証データを体系的に構成して個人情報データベース等を構築した場合、個々のカメラ画像や顔認証データを含む情報は個人データに該当するため、個人情報保護法に基づく適切な取扱いが必要です。防犯目的のために、万引き・窃盗等の犯罪行為や迷惑行為に対象を限定した上で、顔認証システムを導入して顔認証データを含む個人データを用いようとする場合には、特定された利用目的の達成のために必要最小限の範囲内において顔認証システムへの登録を行い、個人データを正確かつ最新の内容に保つ必要があります。具体的には、各事業者においてどのような基準でデータベースに登録するか社内ルールを設定し、誤登録等を防ぐための適切な措置として、例えば被害届の有無により判断を行うなど客観的に犯罪・迷惑行為が確認されるケース等に限定するとともに、事業者内で責任を有する者により登録の必要性と正確性について確認が行われる体制を整えること等が重要です。
平成30年12月25日１－13－３追加－
（個人情報）Ｑ１－13－３電光掲示板等に内蔵したカメラで撮影した本人の顔画像から、性別や年齢といった属性情報を抽出し、当該本人向けにカスタマイズした広告を電光掲示板等に表示しています。属性情報を抽出した後、顔画像は即座に削除しています。個人情報保護法上、どのような措置を講ずる必要がありますか。
Ａ１－13－３カメラにより特定の個人を識別できる顔画像を撮影した場合、個人情報を取得したことになりますので、不正の手段による取得とならないよう、事業者はカメラが作動中であることを掲示する等、カメラにより自身の個人情報が取得されていることを本人が容易に認識することが可能となる措置を講ずる必要があります。また、個人情報取扱事業者が、一連の取扱いにおいて、顔画像を取得した後、属性情報を抽出した上で、当該属性情報に基づき当該本人向けに直接カスタマイズした広告を配信する場合、当該顔画像を直ちに廃棄したとしても、当該顔画像について、特定の個人を識別した上で、広告配信を行っていると解されます。このように顔画像を取り扱う場合には、その利用目的をできる限り特定し、あらかじめ公表するか、又は個人情報の取得後速やかに本人に通知若しくは公表するとともに、当該利用目的の範囲内で利用しなければなりません。
更新日該当Ｑ＆Ａ種別更新前 取ることができるよう、情報提供することを考えています。当該従業者は現在入院更新理由修正前（更新前欄）修正前（追加・更新後欄）修正理由
※更新の場合は、修正箇所を赤字下線で示しています。
平成30年12月25日４－３－２追加－
（データ内容の正確性の確保等）Ｑ４－３－２防犯カメラにおける顔画像や顔認証データなどの個人データの保有期間についてはどのように考えれば良いですか。
Ｑ４－３－２個人情報取扱事業者は法第19条に基づき個人データをその利用目的を達成する範囲内において保有することとされており、その保有期間については、利用する必要がある最小限の期間とする必要があります。個人情報取扱事業者は、利用目的の達成に必要な範囲内において、保存期間の設定等を行う必要があります。顔画像や顔認証データなどの個人データについては、取得後６か月を超えて保有する等の場合には保有個人データに該当することとなります。
平成30年12月25日５－26－２追加－
（第三者に該当しない場合）Ｑ５－26－２ガイドライン（通則編）３－４－３の「（1）委託（法第23条第５項第１号関係）」に、個人情報保護法上委託に該当しない場合として記載されている「委託された業務以外に当該個人データを取扱う」事例としては、どのようなものがありますか。
Ａ５－26－２次のような事例が考えられます。事例１）個人情報取扱事業者から個人データの取扱いの委託を受けている者が、提供された個人データを委託の内容と関係のない自社の営業活動等のために利用する場合事例２）複数の個人情報取扱事業者から個人データの取扱いの委託を受けている者が、各個人情報取扱事業者から提供された個人データを区別せずに混ぜて取り扱っている場合
平成30年12月25日５－32－２追加－
（第三者に該当しない場合）Ｑ５－32－２防犯目的のために取得したカメラ画像・顔認証データ等について、防犯目的の達成に照らして真に必要な範囲内で共同利用をすることは可能ですか。その場合には、どのような点に注意する必要がありますか。
Ｑ５－32－２一般に個人データを共同利用しようとする場合には、法第23条第５項に基づき、①共同利用をする旨、②共同して利用される個人データの項目、③共同して利用する者の範囲、④利用する者の利用目的及び⑤当該個人データの管理について責任を有する者の氏名又は名称をあらかじめ本人に通知又は容易に知りうる状態に置く必要があります。防犯目的のために取得したカメラ画像・顔認証データを共同利用しようとする場合には、共同利用されるカメラ画像・顔認証データ、共同利用する者の範囲を目的の達成に照らして真に必要な範囲に限定することが適切であると考えられます。防犯目的の達成に照らし、共同利用される個人データを必要な範囲に限定することを確保する観点からは、例えば共同利用するデータベースへの登録条件を整備して犯罪行為や迷惑行為に関わらない者の情報については登録・共有しないことが必要です。また、共同利用は、本人から見て、当該個人データを提供する事業者と一体のものとして取り扱われることに合理性がある範囲で当該個人データを共同して利用することを認める制度です。このため、共同利用する者の範囲は本人がどの事業者まで現在あるいは将来利用されるか判断できる程度に明確にする必要があります。さらに、個人データの開示等の請求及び苦情を受け付けその処理に尽力するとともに個人データの内容等について開示、訂正、利用停止等の権限を有し安全管理等個人データの管理について責任を有する管理責任者を明確に定めて必要な対応を行うことが求められます。
平成30年12月25日５－32－３追加－
（第三者に該当しない場合）Ｑ５－32－３過去に取得した個人データを特定の事業者との間で共同利用することは可能ですか。
Ｑ５－32－３一般に、個人データを共同して利用する場合には、①共同利用をする旨、②共同して利用される個人データの項目、③共同して利用する者の範囲、④利用する者の利用目的及び⑤当該個人データの管理について責任を有する者の氏名又は名称について、個人データの共同利用を開始する前に、本人に対して通知するか、本人が容易に知り得る状態に置く必要があります（ガイドライン（通則編）３－４－３（３）参照）。これに加えて、既に事業者が取得している個人データについて共同利用を検討する際には、当該個人データの内容や性質等に応じて共同利用の是非を判断した上で、当該個人データを取得する際に当該事業者が法第15条第１項の規定により特定した利用目的の範囲内であることを確認する必要があります。
平成30年12月25日５－32－４追加－
（第三者に該当しない場合）Ｑ５－32－４既に特定の事業者が取得している個人データを他の事業者と共同して利用する場合について、「社会通念上、共同して利用する者の範囲や利用目的等が当該個人データの本人が通常予期しうると客観的に認められる範囲内」に含まれる場合とは、どのような場合ですか。
Ｑ５－32－４取得の際に通知・公表している利用目的の内容や取得の経緯等にかんがみて、既に特定の事業者が取得している個人データを他の事業者と共同して利用すること、共同して利用する者の範囲、利用する者の利用目的等が、当該個人データの本人が通常予期しうると客観的に認められるような場合をいいます。
平成30年12月25日５－38更新
（第三者に該当しない場合）Ｑ５－38マンション管理組合がマンション管理会社に管理業務を委託している場合に、管理組合が保有する組合員名簿を管理会社が提供してもらうよう求めることは可能ですか。
Ａ５－38マンション管理規約や管理業務委託契約の内容にもよりますが、一般的に利用目的の達成に必要な範囲内において、個人データの取扱いに関する業務を委託する場合には、第三者提供には該当しません。また、委託内容に組合員名簿の作成・保管等が含まれている場合に管理会社から管理組合に名簿を提供することも第三者提供にはなりません。したがって、この委任の範囲内であれば、個人情報保護法上、管理組合が管理会社へ本人の同意を取得することなく名簿を提供することは可能と解されます。ただし、委託者は個人データの取扱いについて、委託先を監督する義務があります（法第22条）。
（第三者に該当しない場合）Ｑ５－38マンション管理組合がマンション管理会社に管理業務を委託している場合に、管理組合が保有する組合員名簿を管理会社が提供してもらうよう求めることは可能ですか。
Ａ５－38マンション管理規約や管理業務委託契約の内容にもよりますが、一般的に利用目的の達成に必要な範囲内において、個人データの取扱いに関する業務を委託する場合には、第三者提供には該当しません。また、委託内容に組合員名簿の作成・保管等が含まれている場合に管理会社から管理組合に名簿を提供することも第三者提供にはなりません。したがって、この委託の範囲内であれば、個人情報保護法上、管理組合が管理会社へ本人の同意を取得することなく名簿を提供することは可能と解されます。ただし、委託者は個人データの取扱いについて、委託先を監督する義務があります（法第22条）。
修辞上の修正を行いました。
更新日該当Ｑ＆Ａ種別更新前 取ることができるよう、情報提供することを考えています。当該従業者は現在入院更新理由修正前（更新前欄）修正前（追加・更新後欄）修正理由
※更新の場合は、修正箇所を赤字下線で示しています。
平成30年12月25日６－５更新
（保有個人データの開示）Ｑ６－５「貴社が保有する私の情報全てを開示せよ」という請求があった場合には、どのように対応したらよいですか。
Ａ６－５同一の情報主体についても、様々な保有個人データを保有していることが多いため、法第32条第２項前段により、個人情報取扱事業者は、開示を請求している本人に対して、対象となる保有個人データを特定するに足りる事項の提示を求めることができます。したがって、本人に開示を請求する範囲を特定してもらい、本人が特定した範囲で開示をすれば足ります。ただし、法第32条第２項後段により、個人情報取扱事業者は、本人が容易かつ的確に開示の請求をすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければなりません。なお、個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合には、法第28条第２項第２号に該当し、当該保有個人データの全部又は一部を開示しないことができます。
（保有個人データの開示）Ｑ６－５「貴社が保有する私の情報全てを開示せよ」という請求があった場合には、どのように対応したらよいですか。
Ａ６－５同一の情報主体についても、様々な保有個人データを保有していることが多いため、法第32条第２項前段により、個人情報取扱事業者は、開示を請求している本人に対して、対象となる保有個人データを特定するに足りる事項の提示を求めることができます。したがって、本人が、この求めに応じて、開示を請求する範囲を一部に特定した場合には、本人が特定した範囲で開示をすれば足ります。ただし、法第32条第２項後段により、個人情報取扱事業者は、本人が容易かつ的確に開示の請求をすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければなりません。なお、法第32条第２項前段は、本人に対し、開示を請求する保有個人データの範囲を一部に限定する義務を課すものではなく、また、個人情報取扱事業者に対し、本人が開示を請求する範囲を限定させる権利を認めるものでもありません。ただし、個人情報取扱事業者は、本人からの保有個人データの開示の請求を受けて、保有個人データを開示することにより、個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合には、法第28条第２項第２号に該当し、当該保有個人データの全部又は一部を開示しないことができます。
「個人情報の保護に関する法律についてのガイドライン（通則編）」の改正に伴い、更新しました。
平成30年12月25日６－９－２追加－
（保有個人データの開示）Ｑ６－９－２防犯目的のために、万引き・窃盗等の犯罪行為や迷惑行為に対象を限定した上で、顔認証データを登録して保有個人データとした場合には、個人情報保護法に基づきどのように開示請求、内容の訂正、利用停止の請求等に対応する必要がありますか。
Ａ６－９－２防犯目的のために登録された顔認証データ等が保有個人データである場合、法令に基づき開示請求等に適切に対応する必要があります。すなわち、開示請求がなされた場合には、保有個人データの開示義務の例外事由に該当しない限り、開示請求に適切に対応する必要があります。また、訂正等請求や利用停止等の請求が行われた際にも、法令に基づき適切に対応する必要があります。
平成30年12月25日７－７－２追加－
（全般）Ｑ７－７－２防犯カメラを設置して個人データを取り扱う場合には、安全管理措置として特にどのような点に注意すれば良いですか。
Ａ７－７－２個人情報取扱事業者は法第20条に基づき個人データについて安全管理措置を講ずることが義務付けられています。顔画像や顔認証データなどの個人データについては、当該個人データの漏えい、滅失又はき損の防止その他の安全管理のために必要かつ適切な措置を講じる必要があり、具体的には組織的安全管理措置、人的安全管理措置、物理的安全管理措置、技術的安全管理措置として、例えば以下のような措置が考えられます。①組織的安全管理措置：カメラ画像等を取り扱う情報システムを使用できる従業者を限定、事業者内の責任者を定める、管理者及び情報の取扱いに関する規程等を整備する等②人的安全管理措置：従業者に対する適切な研修（個人情報保護法の適用範囲・義務規定、カメラ画像の取扱いに関する講義等）等を実施する等③物理的安全管理措置：カメラ及び画像データを保存する電子媒体等の盗難又は紛失等を防止するために、設置場所に応じた適切な安全管理を行う等④技術的安全管理措置：情報システムを使用してカメラ画像等を取り扱う場合や、IPカメラ（ネットワークカメラ、WEBカメラ）のようにネットワークを介してカメラ画像等を取り扱う場合に、必要とされる当該システムへの技術的なアクセス制御や漏えい防止策等を講ずる（アクセス制御には適切な場合にはパスワード設定等の措置も含む。）等なお、カメラ画像がデータベースを構築していない場合には、個人データとして法第20条の安全管理措置を講ずる義務が直接適用される対象ではないものの、当該画像が漏えい等することがないよう、上記の各種安全管理措置を参考として適切に取り扱うことが望ましいと考えられます。
平成30年12月25日９－９更新
Ｑ９－９施行規則第11条第１号では、「個人情報取扱事業者と個人データの提供を受ける者との間」で適切かつ合理的な方法により措置の実施を確保することとされていますが、個人情報取扱事業者と同じ内規等が適用される別会社と、個人データの提供を受ける者との間で締結された委託契約は適切かつ合理的な方法に該当しますか。
Ａ９－９当該委託契約及び当該内規等によって、個人データの提供先である外国にある第三者が、我が国の個人情報取扱事業者の講ずべきこととされている措置に相当する措置を継続的に講ずることを実質的に担保することができる場合には、適切かつ合理的な方法に該当するものと考えられます。
Ｑ９－９施行規則第11条の２第１号では、「個人情報取扱事業者と個人データの提供を受ける者との間」で適切かつ合理的な方法により措置の実施を確保することとされていますが、個人情報取扱事業者と同じ内規等が適用される別会社と、個人データの提供を受ける者との間で締結された委託契約は適切かつ合理的な方法に該当しますか。
Ａ９－９当該委託契約及び当該内規等によって、個人データの提供先である外国にある第三者が、我が国の個人情報取扱事業者の講ずべきこととされている措置に相当する措置を継続的に講ずることを実質的に担保することができる場合には、適切かつ合理的な方法に該当するものと考えられます。
修辞上の修正を行いました。
平成30年12月25日９－11更新
Ｑ９－11外国にある第三者に対して、氏名を削除するなどして個人を特定できないようにして当該者にとっては個人情報に該当しないデータの取扱いを委託し、当該者が個人情報に復元することがないような場合においても、法第24条は適用されますか。
Ａ９－11法第24条は適用されます。受領者たる「外国にある第三者」にとって個人情報に該当しないデータを提供する場合において、当該者が個人情報を復元することがないこととなっているときは、結果として、施行規則第11条で定める基準に適合する体制を整備しているものと解されます。ただし、この場合であっても、委託者たる個人情報取扱事業者は法第22条に基づき委託先に対する監督義務があることに留意が必要です。
Ｑ９－11外国にある第三者に対して、氏名を削除するなどして個人を特定できないようにして当該者にとっては個人情報に該当しないデータの取扱いを委託し、当該者が個人情報に復元することがないような場合においても、法第24条は適用されますか。
Ａ９－11法第24条は適用されます。受領者たる「外国にある第三者」にとって個人情報に該当しないデータを提供する場合において、当該者が個人情報を復元することがないこととなっているときは、結果として、施行規則第11条の２で定める基準に適合する体制を整備しているものと解されます。ただし、この場合であっても、委託者たる個人情報取扱事業者は法第22条に基づき委託先に対する監督義務があることに留意が必要です。
修辞上の修正を行いました。
平成30年12月25日10－２更新
Ｑ10－２外国にある第三者に個人データを提供する場合、法第25条に基づく記録を作成しなければなりませんか。また、この場合において、提供者は、法第24条・施行規則第11条第１号との関係において、当該第三者からさらに別の第三者に提供する場合に記録を作成するように措置を講じなければなりませんか。
Ａ10－２外国にある第三者に個人データを提供する場合でも、原則として、法第25条に基づく記録義務は適用されます。具体的には、ガイドライン（第三者提供時の確認・記録義務編）２－１－２の【外国にある第三者に個人データを提供する場合の記録義務の適用】のとおりです。他方、法第24条・施行規則第11条第１号との関係において、当該第三者から別の第三者に提供する場合においては、法第25条に基づく記録に相当する記録を作成する措置を講じる必要はありません。
Ｑ10－２外国にある第三者に個人データを提供する場合、法第25条に基づく記録を作成しなければなりませんか。また、この場合において、提供者は、法第24条・施行規則第11条の２第１号との関係において、当該第三者からさらに別の第三者に提供する場合に記録を作成するように措置を講じなければなりませんか。
Ａ10－２外国にある第三者に個人データを提供する場合でも、原則として、法第25条に基づく記録義務は適用されます。具体的には、ガイドライン（第三者提供時の確認・記録義務編）２－１－２の【外国にある第三者に個人データを提供する場合の記録義務の適用】のとおりです。他方、法第24条・施行規則第11条の２第１号との関係において、当該第三者から別の第三者に提供する場合においては、法第25条に基づく記録に相当する記録を作成する措置を講じる必要はありません。
修辞上の修正を行いました
更新日該当Ｑ＆Ａ種別更新前 取ることができるよう、情報提供することを考えています。当該従業者は現在入院更新理由修正前（更新前欄）修正前（追加・更新後欄）修正理由
※更新の場合は、修正箇所を赤字下線で示しています。
令和元年６月７日１－11更新
Ｑ１－11店舗に防犯カメラを設置し、撮影した顔画像やそこから得られた顔認証データを防犯目的で利用することを考えています。個人情報保護法との関係で、どのような措置を講ずる必要がありますか。
Ａ１－11本人を判別可能なカメラ画像やそこから得られた顔認証データを取り扱う場合、個人情報の利用目的をできる限り特定し、当該利用目的の範囲内でカメラ画像や顔認証データを利用しなければなりません。本人を判別可能なカメラ画像を撮影録画する場合は、個人情報の取得となりますので、個人情報の利用目的をあらかじめ公表しておくか、又は個人情報の取得後速やかに本人に通知若しくは公表することが必要です。防犯カメラにより、防犯目的のみのために撮影する場合、「取得の状況からみて利用目的が明らか」（法第18条第４項第４号）であることから、利用目的の通知・公表は不要と解されますが、防犯カメラが作動中であることを店舗の入口や設置場所等に掲示する等、本人に対して自身の個人情報が取得されていることを認識させるための措置を講ずることが望ましいと考えられます。更に、カメラ画像の取得主体や内容を確認できるよう、問い合わせ先等について店舗の入り口や設置場所に明示するかあるいはこれを掲載したWEBサイトのURL又はQRコード等を示すことが考えられます。また、カメラ画像や顔認証データを体系的に構成して個人情報データベース等を構築した場合、個々のカメラ画像や顔認証データを含む情報は個人データに該当するため、個人情報保護法に基づく適切な取扱いが必要です。なお、「顔認証」等の画像処理の方法等は利用目的として直ちに記載が求められているものではないものの、透明性を確保するために、カメラの設置者は被写体となる本人が確認できるよう、画像処理の方法等の詳細やプライバシーポリシーについて掲載したWEBサイトのURL又はQRコード等を示すことが考えられます。
Ｑ１－11店舗に防犯カメラを設置し、撮影した顔画像やそこから得られた顔認証データを防犯目的で利用することを考えています。個人情報保護法との関係で、どのような措置を講ずる必要がありますか。
Ａ１－11本人を判別可能なカメラ画像やそこから得られた顔認証データを取り扱う場合、個人情報の利用目的をできる限り特定し、当該利用目的の範囲内でカメラ画像や顔認証データを利用しなければなりません。本人を判別可能なカメラ画像を撮影録画する場合は、個人情報の取得となりますので、個人情報の利用目的をあらかじめ公表しておくか、又は個人情報の取得後速やかに本人に通知若しくは公表することが必要です。防犯カメラにより、防犯目的のみのために撮影する場合、「取得の状況からみて利用目的が明らか」（法第18条第４項第４号）であることから、利用目的の通知・公表は不要と解されますが、防犯カメラが作動中であることを店舗の入口や設置場所等に掲示する等、本人に対して自身の個人情報が取得されていることを認識させるための措置を講ずることが望ましいと考えられます。更に、カメラ画像の取得主体や内容を確認できるよう、問い合わせ先等について店舗の入り口や設置場所に明示するかあるいはこれを掲載したWEBサイトのURL又はQRコード等を示すことが考えられます。また、カメラ画像や顔認証データを体系的に構成して個人情報データベース等を構築した場合、個々のカメラ画像や顔認証データを含む情報は個人データに該当するため、個人情報保護法に基づく適切な取扱いが必要です。なお、「顔認証」等の画像処理の方法等は利用目的として直ちに記載が求められているものではないものの、透明性を確保するために、カメラの設置者は被写体となる本人が確認できるよう、画像処理の方法等の詳細やプライバシーポリシーについて掲載したWEBサイトのURL又はQRコード等を示すことが考えられます。（平成30年12月更新）
更新時期を明記しました。
令和元年６月７日１－13－２更新
Ｑ１－13－２防犯目的のために、万引き・窃盗等の犯罪行為や迷惑行為に対象を限定した上で、顔認証システムを導入しようとする場合にどのような注意が必要とされますか。
Ａ１－13－２カメラ画像や顔認証データを体系的に構成して個人情報データベース等を構築した場合、個々のカメラ画像や顔認証データを含む情報は個人データに該当するため、個人情報保護法に基づく適切な取扱いが必要です。防犯目的のために、万引き・窃盗等の犯罪行為や迷惑行為に対象を限定した上で、顔認証システムを導入して顔認証データを含む個人データを用いようとする場合には、特定された利用目的の達成のために必要最小限の範囲内において顔認証システムへの登録を行い、個人データを正確かつ最新の内容に保つ必要があります。具体的には、各事業者においてどのような基準でデータベースに登録するか社内ルールを設定し、誤登録等を防ぐための適切な措置として、例えば被害届の有無により判断を行うなど客観的に犯罪・迷惑行為が確認されるケース等に限定するとともに、事業者内で責任を有する者により登録の必要性と正確性について確認が行われる体制を整えること等が重要です。
Ｑ１－13－２防犯目的のために、万引き・窃盗等の犯罪行為や迷惑行為に対象を限定した上で、顔認証システムを導入しようとする場合にどのような注意が必要とされますか。
Ａ１－13－２カメラ画像や顔認証データを体系的に構成して個人情報データベース等を構築した場合、個々のカメラ画像や顔認証データを含む情報は個人データに該当するため、個人情報保護法に基づく適切な取扱いが必要です。防犯目的のために、万引き・窃盗等の犯罪行為や迷惑行為に対象を限定した上で、顔認証システムを導入して顔認証データを含む個人データを用いようとする場合には、特定された利用目的の達成のために必要最小限の範囲内において顔認証システムへの登録を行い、個人データを正確かつ最新の内容に保つ必要があります。具体的には、各事業者においてどのような基準でデータベースに登録するか社内ルールを設定し、誤登録等を防ぐための適切な措置として、例えば被害届の有無により判断を行うなど客観的に犯罪・迷惑行為が確認されるケース等に限定するとともに、事業者内で責任を有する者により登録の必要性と正確性について確認が行われる体制を整えること等が重要です。（平成30年12月追加）
追加時期を明記しました。
令和元年６月７日１－13－３更新
Ｑ１－13－３電光掲示板等に内蔵したカメラで撮影した本人の顔画像から、性別や年齢といった属性情報を抽出し、当該本人向けにカスタマイズした広告を電光掲示板等に表示しています。属性情報を抽出した後、顔画像は即座に削除しています。個人情報保護法上、どのような措置を講ずる必要がありますか。
Ａ１－13－３カメラにより特定の個人を識別できる顔画像を撮影した場合、個人情報を取得したことになりますので、不正の手段による取得とならないよう、事業者はカメラが作動中であることを掲示する等、カメラにより自身の個人情報が取得されていることを本人が容易に認識することが可能となる措置を講ずる必要があります。また、個人情報取扱事業者が、一連の取扱いにおいて、顔画像を取得した後、属性情報を抽出した上で、当該属性情報に基づき当該本人向けに直接カスタマイズした広告を配信する場合、当該顔画像を直ちに廃棄したとしても、当該顔画像について、特定の個人を識別した上で、広告配信を行っていると解されます。このように顔画像を取り扱う場合には、その利用目的をできる限り特定し、あらかじめ公表するか、又は個人情報の取得後速やかに本人に通知若しくは公表するとともに、当該利用目的の範囲内で利用しなければなりません。
Ｑ１－13－３電光掲示板等に内蔵したカメラで撮影した本人の顔画像から、性別や年齢といった属性情報を抽出し、当該本人向けにカスタマイズした広告を電光掲示板等に表示しています。属性情報を抽出した後、顔画像は即座に削除しています。個人情報保護法上、どのような措置を講ずる必要がありますか。
Ａ１－13－３カメラにより特定の個人を識別できる顔画像を撮影した場合、個人情報を取得したことになりますので、不正の手段による取得とならないよう、事業者はカメラが作動中であることを掲示する等、カメラにより自身の個人情報が取得されていることを本人が容易に認識することが可能となる措置を講ずる必要があります。また、個人情報取扱事業者が、一連の取扱いにおいて、顔画像を取得した後、属性情報を抽出した上で、当該属性情報に基づき当該本人向けに直接カスタマイズした広告を配信する場合、当該顔画像を直ちに廃棄したとしても、当該顔画像について、特定の個人を識別した上で、広告配信を行っていると解されます。このように顔画像を取り扱う場合には、その利用目的をできる限り特定し、あらかじめ公表するか、又は個人情報の取得後速やかに本人に通知若しくは公表するとともに、当該利用目的の範囲内で利用しなければなりません。（平成30年12月追加）
追加時期を明記しました。
令和元年６月７日１－45－２追加－
Ｑ１－45－２インターネット上等において不特定多数の者が取得できる公開情報（一般人・民間企業が公表している情報だけでなく、官報等公的機関が公表している情報を含む）を取得し、新たに特定の個人情報を検索することができるように構成したデータベースを作成した上で、不特定多数の者が閲覧できるようにすることはできますか。
Ａ１－45－２公開情報であっても、生存する個人に関する情報であって特定の個人を識別できる情報（他の情報と容易に照合できる場合を含みます。）は、個人情報に該当し、このような情報を集めて、新たに特定の個人情報を検索できるように作成したデータベースは、原則として、個人情報データベース等に該当します。したがって、事業者の規模にかかわらず、これを事業の用に供している場合は、個人情報取扱事業者に該当するため、利用目的の通知又は公表が必要となります（法第18条第１項）。また、このような情報を不特定多数の者が閲覧できるような状態に供する行為は、第三者提供に該当し、原則として本人の同意が必要になります（法第23条第１項）。（令和元年６月追加）
令和元年６月７日１－50更新
Ｑ１－50NPO法人や自治会・町内会、同窓会、PTAのような非営利の活動を行っている団体も、個人情報取扱事業者として、個人情報保護法の規制を受けるのですか。
Ａ１－50個人情報保護法における「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問いません。したがって、非営利の活動を行っている団体であっても、個人情報データベース等を事業の用に供している場合は、個人情報取扱事業者に該当します。NPO法人や自治会・町内会、同窓会、PTAのほか、サークルやマンション管理組合なども個人情報取扱事業者に該当し得ます。
Ｑ１－50NPO法人や自治会・町内会、同窓会、PTAのような非営利の活動を行っている団体も、個人情報取扱事業者として、個人情報保護法の規制を受けるのですか。
Ａ１－50個人情報保護法における「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問いません。したがって、非営利の活動を行っている団体であっても、個人情報データベース等を事業の用に供している場合は、個人情報取扱事業者に該当します。NPO法人や自治会・町内会、同窓会、PTAのほか、サークルやマンション管理組合なども個人情報取扱事業者に該当し得ます。（平成30年７月更新）
更新時期を明記しました。
令和元年６月７日１－50－２更新
Ｑ１－50－２民生委員・児童委員が個人情報を取り扱う場合、個人情報取扱事業者として個人情報保護法の規制を受けるのですか。
Ａ１－50－２民生委員・児童委員は非常勤・特別職の地方公務員であり、法第２条第５項第２号における「地方公共団体」の職員に当たることから、民生委員・児童委員として活動する範囲内では個人情報取扱事業者から除かれています。なお、民生委員・児童委員には民生委員法第15条等により守秘義務が課されています。
Ｑ１－50－２民生委員・児童委員が個人情報を取り扱う場合、個人情報取扱事業者として個人情報保護法の規制を受けるのですか。
Ａ１－50－２民生委員・児童委員は非常勤・特別職の地方公務員であり、法第２条第５項第２号における「地方公共団体」の職員に当たることから、民生委員・児童委員として活動する範囲内では個人情報取扱事業者から除かれています。なお、民生委員・児童委員には民生委員法第15条等により守秘義務が課されています。（平成30年７月追加）
追加時期を明記しました。
更新日該当Ｑ＆Ａ種別更新前 取ることができるよう、情報提供することを考えています。当該従業者は現在入院更新理由修正前（更新前欄）修正前（追加・更新後欄）修正理由
※更新の場合は、修正箇所を赤字下線で示しています。
令和元年６月７日３－10－２更新
Ｑ３－10－２飲食店を営んでいます。顧客から予約を受けるときに取得した個人情報を取り扱う際に、どんなことに注意すればよいですか。
Ａ３－10－２事業者の規模にかかわらず、事業者が事業の用に供するために個人情報データベース等を取り扱っている場合、個人情報取扱事業者に相当するため、利用目的の通知又は公表が必要になります（法第18条第１項）。また、個人情報取扱事業者が保有する個人データを第三者に提供するには、原則として本人の同意が必要になります（法第23条第１項）。なお、電話番号等の連絡先等も、氏名等の特定の個人を識別できる情報と結びついて保存されている場合、個人情報に該当することになります。
Ｑ３－10－２飲食店を営んでいます。顧客から予約を受けるときに取得した個人情報を取り扱う際に、どんなことに注意すればよいですか。
Ａ３－10－２事業者の規模にかかわらず、事業者が事業の用に供するために個人情報データベース等を取り扱っている場合、個人情報取扱事業者に相当するため、利用目的の通知又は公表が必要になります（法第18条第１項）。また、個人情報取扱事業者が保有する個人データを第三者に提供するには、原則として本人の同意が必要になります（法第23条第１項）。なお、電話番号等の連絡先等も、氏名等の特定の個人を識別できる情報と結びついて保存されている場合、個人情報に該当することになります。（平成30年７月追加）
追加時期を明記しました。
令和元年６月７日３－10－３更新
Ｑ３－10－３PTAが学校から生徒等に関する個人情報を取得する場合、どういった点に注意すればよいですか。
Ａ３－10－３PTAが名簿を作成しようとする場合、本人にその利用目的を通知・公表し、本人から取得した個人情報をその利用目的の範囲内で利用することが可能です。なお、学校による個人情報の提供については、私立学校の場合には個人情報保護法が、国公立の学校の場合には、設立主体に応じて独立行政法人等個人情報保護法や自治体の条例が適用され、それらの規定に基づいて適切に取り扱うことが求められます。
Ｑ３－10－３PTAが学校から生徒等に関する個人情報を取得する場合、どういった点に注意すればよいですか。
Ａ３－10－３PTAが名簿を作成しようとする場合、本人にその利用目的を通知・公表し、本人から取得した個人情報をその利用目的の範囲内で利用することが可能です。なお、学校による個人情報の提供については、私立学校の場合には個人情報保護法が、国公立の学校の場合には、設立主体に応じて独立行政法人等個人情報保護法や自治体の条例が適用され、それらの規定に基づいて適切に取り扱うことが求められます。（平成30年７月追加）
追加時期を明記しました。
令和元年６月７日３－14更新
Ｑ３－14私立学校、自治会・町内会、同窓会、PTA等が本人から書面で提出を受けた個人情報を利用して名簿を作成し、配布する場合はどのようにすればよいですか。
Ａ３－14私立学校、自治会・町内会、同窓会、PTA等は本人に対し利用目的を明示した上で、個人情報を取得し、名簿を作成することが可能です。名簿を配布するなど、本人以外の者に個人データを提供する場合には、原則として、本人の同意を得る必要があります。例えば、掲載されている全員に配布する名簿を作成し、クラス内で配布するなど利用目的及び提供先を明示し、同意の上で所定の用紙に個人情報を記入・提出してもらう方法などが考えられます。※詳しくは、「会員名簿を作るときの注意事項（https://www.ppc.go.jp/files/pdf/meibo_sakusei.pdf）」をご覧ください。
Ｑ３－14私立学校、自治会・町内会、同窓会、PTA等が本人から書面で提出を受けた個人情報を利用して名簿を作成し、配布する場合はどのようにすればよいですか。
Ａ３－14私立学校、自治会・町内会、同窓会、PTA等は本人に対し利用目的を明示した上で、個人情報を取得し、名簿を作成することが可能です。名簿を配布するなど、本人以外の者に個人データを提供する場合には、原則として、本人の同意を得る必要があります。例えば、掲載されている全員に配布する名簿を作成し、クラス内で配布するなど利用目的及び提供先を明示し、同意の上で所定の用紙に個人情報を記入・提出してもらう方法などが考えられます。※詳しくは、「会員名簿を作るときの注意事項（https://www.ppc.go.jp/files/pdf/meibo_sakusei.pdf）」をご覧ください。（平成30年７月追加）
追加時期を明記しました。
令和元年６月７日４－３－２更新
Ｑ４－３－２防犯カメラにおける顔画像や顔認証データなどの個人データの保有期間についてはどのように考えれば良いですか。
Ａ４－３－２個人情報取扱事業者は法第19条に基づき個人データをその利用目的を達成する範囲内において保有することとされており、その保有期間については、利用する必要がある最小限の期間とする必要があります。個人情報取扱事業者は、利用目的の達成に必要な範囲内において、保存期間の設定等を行う必要があります。顔画像や顔認証データなどの個人データについては、取得後６か月を超えて保有する等の場合には保有個人データに該当することとなります。
Ｑ４－３－２防犯カメラにおける顔画像や顔認証データなどの個人データの保有期間についてはどのように考えれば良いですか。
Ａ４－３－２個人情報取扱事業者は法第19条に基づき個人データをその利用目的を達成する範囲内において保有することとされており、その保有期間については、利用する必要がある最小限の期間とする必要があります。個人情報取扱事業者は、利用目的の達成に必要な範囲内において、保存期間の設定等を行う必要があります。顔画像や顔認証データなどの個人データについては、取得後６か月を超えて保有する等の場合には保有個人データに該当することとなります。（平成30年12月追加）
追加時期を明記しました。
令和元年６月７日５－20更新
Ｑ５－20民生委員・児童委員をしていますが、市町村や民間の事業者から、活動に必要な個人情報の提供を受けられず苦慮しています。提供を受けることは可能ですか。
Ａ５－20民生委員・児童委員は、福祉事務所などの協力機関として職務を行うものとされており、活動の円滑な実施のためには、個人情報の適切な提供を受ける必要があります。民生委員・児童委員には、民生委員法等において守秘義務が課せられていることも踏まえ、各主体から、その活動に必要な個人情報が適切に提供されることが望ましいと考えられます。民生委員・児童委員は特別職の地方公務員と整理されているため、当該民生委員等への個人データの提供が法令に基づく場合や、当該民生委員等が法令の定める事務を遂行することに対して協力する必要があり、本人の同意を得ることで当該事務の遂行に支障を及ぼすおそれがある場合は、本人の同意を得ることなく当該個人データを提供することができると解されます（法第23条第１項第１号及び第４号）。したがって、これらの場合、民生委員等は本人の同意を得ることなく、個人データの提供を受けることは可能と考えられます。また、地方公共団体の保有する個人情報については、それぞれの条例に基づいて提供が行われることとなります。
Ｑ５－20民生委員・児童委員をしていますが、市町村や民間の事業者から、活動に必要な個人情報の提供を受けられず苦慮しています。提供を受けることは可能ですか。
Ａ５－20民生委員・児童委員は、福祉事務所などの協力機関として職務を行うものとされており、活動の円滑な実施のためには、個人情報の適切な提供を受ける必要があります。民生委員・児童委員には、民生委員法等において守秘義務が課せられていることも踏まえ、各主体から、その活動に必要な個人情報が適切に提供されることが望ましいと考えられます。民生委員・児童委員は特別職の地方公務員と整理されているため、当該民生委員等への個人データの提供が法令に基づく場合や、当該民生委員等が法令の定める事務を遂行することに対して協力する必要があり、本人の同意を得ることで当該事務の遂行に支障を及ぼすおそれがある場合は、本人の同意を得ることなく当該個人データを提供することができると解されます（法第23条第１項第１号及び第４号）。したがって、これらの場合、民生委員等は本人の同意を得ることなく、個人データの提供を受けることは可能と考えられます。また、地方公共団体の保有する個人情報については、それぞれの条例に基づいて提供が行われることとなります。（平成30年７月更新）
更新時期を明記しました。
令和元年６月７日５－20－2更新
Ｑ５－20－2大規模災害等の緊急時に、被災者情報・負傷者情報等の個人情報を関係者で共有する場合、本人の同意なく共有することができますか。
Ａ５－20－2個人データを第三者に提供する際には原則本人の同意が必要ですが、「人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき」は本人の同意は不要となっています（法第23条第１項第２号）。したがって、大規模災害等の緊急時に、人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるときには自治会等の個人情報取扱事業者が保有する個人データを本人の同意なく関係者等に提供することは可能と解されます。
Ｑ５－20－2大規模災害等の緊急時に、被災者情報・負傷者情報等の個人情報を関係者で共有する場合、本人の同意なく共有することができますか。
Ａ５－20－2個人データを第三者に提供する際には原則本人の同意が必要ですが、「人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき」は本人の同意は不要となっています（法第23条第１項第２号）。したがって、大規模災害等の緊急時に、人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるときには自治会等の個人情報取扱事業者が保有する個人データを本人の同意なく関係者等に提供することは可能と解されます。（平成30年７月追加）
追加時期を明記しました。
令和元年６月７日５－20－3更新
Ｑ５－20－3地震等の災害時に支援が必要な高齢者、障害者等のリストを災害時に備えて関係者間で共有することは可能ですか。
Ａ５－20－3災害対策基本法では、市町村長は、避難行動要支援者（※）について、避難支援等を実施するための基礎となる名簿（避難行動要支援者名簿）を作成することが義務付けられています。この名簿は、災害の発生に備え、避難支援等の実施に必要な限度で、原則本人の同意を取得した上で関係者に提供するものとされています（ただし、各市町村の条例に特別の定めがある場合は、本人の同意を得ずに関係者で共有することができます。）。また、災害発生時又は災害発生のおそれがある場合で特に必要があると認めるときは、避難支援等の実施に必要な限度で、本人の同意を得ずに関係者で共有することができます。なお、災害対策基本法には、名簿を提供する際に避難行動要支援者や第三者の権利利益を保護するために必要な措置を講じるよう努めることや、提供を受けた場合の秘密保持義務なども規定されています。※「避難行動要支援者」とは、当該市町村に居住する、高齢者、障害者、乳幼児その他の特に配慮を要する者のうち、災害が発生し、又は災害が発生するおそれがある場合に自ら避難することが困難な者であって、その円滑かつ迅速な避難の確保を図るため特に支援を要するものとされています。
Ｑ５－20－3地震等の災害時に支援が必要な高齢者、障害者等のリストを災害時に備えて関係者間で共有することは可能ですか。
Ａ５－20－3災害対策基本法では、市町村長は、避難行動要支援者（※）について、避難支援等を実施するための基礎となる名簿（避難行動要支援者名簿）を作成することが義務付けられています。この名簿は、災害の発生に備え、避難支援等の実施に必要な限度で、原則本人の同意を取得した上で関係者に提供するものとされています（ただし、各市町村の条例に特別の定めがある場合は、本人の同意を得ずに関係者で共有することができます。）。また、災害発生時又は災害発生のおそれがある場合で特に必要があると認めるときは、避難支援等の実施に必要な限度で、本人の同意を得ずに関係者で共有することができます。なお、災害対策基本法には、名簿を提供する際に避難行動要支援者や第三者の権利利益を保護するために必要な措置を講じるよう努めることや、提供を受けた場合の秘密保持義務なども規定されています。※「避難行動要支援者」とは、当該市町村に居住する、高齢者、障害者、乳幼児その他の特に配慮を要する者のうち、災害が発生し、又は災害が発生するおそれがある場合に自ら避難することが困難な者であって、その円滑かつ迅速な避難の確保を図るため特に支援を要するものとされています。（平成30年７月追加）
追加時期を明記しました。
更新日該当Ｑ＆Ａ種別更新前 取ることができるよう、情報提供することを考えています。当該従業者は現在入院更新理由修正前（更新前欄）修正前（追加・更新後欄）修正理由
※更新の場合は、修正箇所を赤字下線で示しています。
令和元年６月７日５－26－２更新
Ｑ５－26－２ガイドライン（通則編）３－４－３の「（1）委託（法第23条第５項第１号関係）」に、個人情報保護法上委託に該当しない場合として記載されている「委託された業務以外に当該個人データを取扱う」事例としては、どのようなものがありますか。
Ａ５－26－２次のような事例が考えられます。事例１）個人情報取扱事業者から個人データの取扱いの委託を受けている者が、提供された個人データを委託の内容と関係のない自社の営業活動等のために利用する場合事例２）複数の個人情報取扱事業者から個人データの取扱いの委託を受けている者が、各個人情報取扱事業者から提供された個人データを区別せずに混ぜて取り扱っている場合
Ｑ５－26－２ガイドライン（通則編）３－４－３の「（1）委託（法第23条第５項第１号関係）」に、個人情報保護法上委託に該当しない場合として記載されている「委託された業務以外に当該個人データを取扱う」事例としては、どのようなものがありますか。
Ａ５－26－２次のような事例が考えられます。事例１）個人情報取扱事業者から個人データの取扱いの委託を受けている者が、提供された個人データを委託の内容と関係のない自社の営業活動等のために利用する場合事例２）複数の個人情報取扱事業者から個人データの取扱いの委託を受けている者が、各個人情報取扱事業者から提供された個人データを区別せずに混ぜて取り扱っている場合（平成30年12月追加）
追加時期を明記しました。
令和元年６月７日５－32－２更新
Ｑ５－32－２防犯目的のために取得したカメラ画像・顔認証データ等について、防犯目的の達成に照らして真に必要な範囲内で共同利用をすることは可能ですか。その場合には、どのような点に注意する必要がありますか。
Ａ５－32－２一般に個人データを共同利用しようとする場合には、法第23条第５項に基づき、①共同利用をする旨、②共同して利用される個人データの項目、③共同して利用する者の範囲、④利用する者の利用目的及び⑤当該個人データの管理について責任を有する者の氏名又は名称をあらかじめ本人に通知又は容易に知りうる状態に置く必要があります。防犯目的のために取得したカメラ画像・顔認証データを共同利用しようとする場合には、共同利用されるカメラ画像・顔認証データ、共同利用する者の範囲を目的の達成に照らして真に必要な範囲に限定することが適切であると考えられます。防犯目的の達成に照らし、共同利用される個人データを必要な範囲に限定することを確保する観点からは、例えば共同利用するデータベースへの登録条件を整備して犯罪行為や迷惑行為に関わらない者の情報については登録・共有しないことが必要です。また、共同利用は、本人から見て、当該個人データを提供する事業者と一体のものとして取り扱われることに合理性がある範囲で当該個人データを共同して利用することを認める制度です。このため、共同利用する者の範囲は本人がどの事業者まで現在あるいは将来利用されるか判断できる程度に明確にする必要があります。さらに、個人データの開示等の請求及び苦情を受け付けその処理に尽力するとともに個人データの内容等について開示、訂正、利用停止等の権限を有し安全管理等個人データの管理について責任を有する管理責任者を明確に定めて必要な対応を行うことが求められます。
Ｑ５－32－２防犯目的のために取得したカメラ画像・顔認証データ等について、防犯目的の達成に照らして真に必要な範囲内で共同利用をすることは可能ですか。その場合には、どのような点に注意する必要がありますか。
Ａ５－32－２一般に個人データを共同利用しようとする場合には、法第23条第５項に基づき、①共同利用をする旨、②共同して利用される個人データの項目、③共同して利用する者の範囲、④利用する者の利用目的及び⑤当該個人データの管理について責任を有する者の氏名又は名称をあらかじめ本人に通知又は容易に知りうる状態に置く必要があります。防犯目的のために取得したカメラ画像・顔認証データを共同利用しようとする場合には、共同利用されるカメラ画像・顔認証データ、共同利用する者の範囲を目的の達成に照らして真に必要な範囲に限定することが適切であると考えられます。防犯目的の達成に照らし、共同利用される個人データを必要な範囲に限定することを確保する観点からは、例えば共同利用するデータベースへの登録条件を整備して犯罪行為や迷惑行為に関わらない者の情報については登録・共有しないことが必要です。また、共同利用は、本人から見て、当該個人データを提供する事業者と一体のものとして取り扱われることに合理性がある範囲で当該個人データを共同して利用することを認める制度です。このため、共同利用する者の範囲は本人がどの事業者まで現在あるいは将来利用されるか判断できる程度に明確にする必要があります。さらに、個人データの開示等の請求及び苦情を受け付けその処理に尽力するとともに個人データの内容等について開示、訂正、利用停止等の権限を有し安全管理等個人データの管理について責任を有する管理責任者を明確に定めて必要な対応を行うことが求められます。（平成30年12月追加）
追加時期を明記しました。
令和元年６月７日５－32－３更新
Ｑ５－32－３過去に取得した個人データを特定の事業者との間で共同利用することは可能ですか。
Ａ５－32－３一般に、個人データを共同して利用する場合には、①共同利用をする旨、②共同して利用される個人データの項目、③共同して利用する者の範囲、④利用する者の利用目的及び⑤当該個人データの管理について責任を有する者の氏名又は名称について、個人データの共同利用を開始する前に、本人に対して通知するか、本人が容易に知り得る状態に置く必要があります（ガイドライン（通則編）３－４－３（３）参照）。これに加えて、既に事業者が取得している個人データについて共同利用を検討する際には、当該個人データの内容や性質等に応じて共同利用の是非を判断した上で、当該個人データを取得する際に当該事業者が法第15条第１項の規定により特定した利用目的の範囲内であることを確認する必要があります。
Ｑ５－32－３過去に取得した個人データを特定の事業者との間で共同利用することは可能ですか。
Ａ５－32－３一般に、個人データを共同して利用する場合には、①共同利用をする旨、②共同して利用される個人データの項目、③共同して利用する者の範囲、④利用する者の利用目的及び⑤当該個人データの管理について責任を有する者の氏名又は名称について、個人データの共同利用を開始する前に、本人に対して通知するか、本人が容易に知り得る状態に置く必要があります（ガイドライン（通則編）３－４－３（３）参照）。これに加えて、既に事業者が取得している個人データについて共同利用を検討する際には、当該個人データの内容や性質等に応じて共同利用の是非を判断した上で、当該個人データを取得する際に当該事業者が法第15条第１項の規定により特定した利用目的の範囲内であることを確認する必要があります。（平成30年12月追加）
追加時期を明記しました。
令和元年６月７日５－32－４更新
Ｑ５－32－４既に特定の事業者が取得している個人データを他の事業者と共同して利用する場合について、「社会通念上、共同して利用する者の範囲や利用目的等が当該個人データの本人が通常予期しうると客観的に認められる範囲内」に含まれる場合とは、どのような場合ですか。
Ａ５－32－４取得の際に通知・公表している利用目的の内容や取得の経緯等にかんがみて、既に特定の事業者が取得している個人データを他の事業者と共同して利用すること、共同して利用する者の範囲、利用する者の利用目的等が、当該個人データの本人が通常予期しうると客観的に認められるような場合をいいます。
Ｑ５－32－４既に特定の事業者が取得している個人データを他の事業者と共同して利用する場合について、「社会通念上、共同して利用する者の範囲や利用目的等が当該個人データの本人が通常予期しうると客観的に認められる範囲内」に含まれる場合とは、どのような場合ですか。
Ａ５－32－４取得の際に通知・公表している利用目的の内容や取得の経緯等にかんがみて、既に特定の事業者が取得している個人データを他の事業者と共同して利用すること、共同して利用する者の範囲、利用する者の利用目的等が、当該個人データの本人が通常予期しうると客観的に認められるような場合をいいます。（平成30年12月追加）
追加時期を明記しました。
令和元年６月７日５－36更新
Ｑ５－36マンション管理組合でマンションの修繕を予定しており、工事会社に居住者の個人情報を提供する必要がありますが、あらかじめ本人の同意を得なければいけませんか。
Ａ５－36個人データを第三者に提供する際には、原則としてあらかじめ本人の同意を得る必要があります。利用目的の達成に必要な範囲内において、個人データの取扱いに関し委託（法第23条第５項第１号）をする場合には、本人の同意は不要です。したがって、マンション管理組合が工事会社に修繕を発注する際に、当該工事会社が修繕を行うために個人データの取扱いを委託する必要がある場合には、居住者の氏名等を提供するための本人の同意は不要ですが、委託者は個人データの取扱いについて、委託先を監督する義務があります（法第22条）。
Ｑ５－36マンション管理組合でマンションの修繕を予定しており、工事会社に居住者の個人情報を提供する必要がありますが、あらかじめ本人の同意を得なければいけませんか。
Ａ５－36個人データを第三者に提供する際には、原則としてあらかじめ本人の同意を得る必要があります。利用目的の達成に必要な範囲内において、個人データの取扱いに関し委託（法第23条第５項第１号）をする場合には、本人の同意は不要です。したがって、マンション管理組合が工事会社に修繕を発注する際に、当該工事会社が修繕を行うために個人データの取扱いを委託する必要がある場合には、居住者の氏名等を提供するための本人の同意は不要ですが、委託者は個人データの取扱いについて、委託先を監督する義務があります（法第22条）。（平成30年７月追加）
追加時期を明記しました。
令和元年６月７日５－37更新
Ｑ５－37マンション管理組合とマンション管理会社の間で居住者の氏名等の情報を共有することは可能ですか。
Ａ５－37個人データを第三者に提供する際には、原則としてあらかじめ本人の同意が必要となりますので、本人の同意を取得している場合はマンション管理組合とマンション管理会社の間で居住者の氏名等の個人データを共有することは可能です。なお、管理組合が管理会社に対して、利用目的の達成に必要な範囲内において個人データの取扱いに関し委託（法第23条第５項第１号）をする場合には、第三者提供に該当しないため、本人の同意がなくとも、個人データの提供を受けることが可能です。ただし、委託者は個人データの取扱いについて、委託先を監督する義務があります（法第22条）。
Ｑ５－37マンション管理組合とマンション管理会社の間で居住者の氏名等の情報を共有することは可能ですか。
Ａ５－37個人データを第三者に提供する際には、原則としてあらかじめ本人の同意が必要となりますので、本人の同意を取得している場合はマンション管理組合とマンション管理会社の間で居住者の氏名等の個人データを共有することは可能です。なお、管理組合が管理会社に対して、利用目的の達成に必要な範囲内において個人データの取扱いに関し委託（法第23条第５項第１号）をする場合には、第三者提供に該当しないため、本人の同意がなくとも、個人データの提供を受けることが可能です。ただし、委託者は個人データの取扱いについて、委託先を監督する義務があります（法第22条）。（平成30年７月追加）
追加時期を明記しました。
令和元年６月７日５－38更新
Ｑ５－38マンション管理組合がマンション管理会社に管理業務を委託している場合に、管理組合が保有する組合員名簿を管理会社が提供してもらうよう求めることは可能ですか。
Ａ５－38マンション管理規約や管理業務委託契約の内容にもよりますが、一般的に利用目的の達成に必要な範囲内において、個人データの取扱いに関する業務を委託する場合には、第三者提供には該当しません。また、委託内容に組合員名簿の作成・保管等が含まれている場合に管理会社から管理組合に名簿を提供することも第三者提供にはなりません。したがって、この委託の範囲内であれば、個人情報保護法上、管理組合が管理会社へ本人の同意を取得することなく名簿を提供することは可能と解されます。ただし、委託者は個人データの取扱いについて、委託先を監督する義務があります（法第22条）。
Ｑ５－38マンション管理組合がマンション管理会社に管理業務を委託している場合に、管理組合が保有する組合員名簿を管理会社が提供してもらうよう求めることは可能ですか。
Ａ５－38マンション管理規約や管理業務委託契約の内容にもよりますが、一般的に利用目的の達成に必要な範囲内において、個人データの取扱いに関する業務を委託する場合には、第三者提供には該当しません。また、委託内容に組合員名簿の作成・保管等が含まれている場合に管理会社から管理組合に名簿を提供することも第三者提供にはなりません。したがって、この委託の範囲内であれば、個人情報保護法上、管理組合が管理会社へ本人の同意を取得することなく名簿を提供することは可能と解されます。ただし、委託者は個人データの取扱いについて、委託先を監督する義務があります（法第22条）。（平成30年12月更新）
更新時期を明記しました。
更新日該当Ｑ＆Ａ種別更新前 取ることができるよう、情報提供することを考えています。当該従業者は現在入院更新理由修正前（更新前欄）修正前（追加・更新後欄）修正理由
※更新の場合は、修正箇所を赤字下線で示しています。
令和元年６月７日６－５更新
Ｑ６－５「貴社が保有する私の情報全てを開示せよ」という請求があった場合には、どのように対応したらよいですか。
Ａ６－５同一の情報主体についても、様々な保有個人データを保有していることが多いため、法第32条第２項前段により、個人情報取扱事業者は、開示を請求している本人に対して、対象となる保有個人データを特定するに足りる事項の提示を求めることができます。したがって、本人が、この求めに応じて、開示を請求する範囲を一部に特定した場合には、本人が特定した範囲で開示をすれば足ります。ただし、法第32条第２項後段により、個人情報取扱事業者は、本人が容易かつ的確に開示の請求をすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければなりません。なお、法第32条第２項前段は、本人に対し、開示を請求する保有個人データの範囲を一部に限定する義務を課すものではなく、また、個人情報取扱事業者に対し、本人が開示を請求する範囲を限定させる権利を認めるものでもありません。ただし、個人情報取扱事業者は、本人からの保有個人データの開示の請求を受けて、保有個人データを開示することにより、個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合には、法第28条第２項第２号に該当し、当該保有個人データの全部又は一部を開示しないことができます。
Ｑ６－５「貴社が保有する私の情報全てを開示せよ」という請求があった場合には、どのように対応したらよいですか。
Ａ６－５同一の情報主体についても、様々な保有個人データを保有していることが多いため、法第32条第２項前段により、個人情報取扱事業者は、開示を請求している本人に対して、対象となる保有個人データを特定するに足りる事項の提示を求めることができます。したがって、本人が、この求めに応じて、開示を請求する範囲を一部に特定した場合には、本人が特定した範囲で開示をすれば足ります。ただし、法第32条第２項後段により、個人情報取扱事業者は、本人が容易かつ的確に開示の請求をすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければなりません。なお、法第32条第２項前段は、本人に対し、開示を請求する保有個人データの範囲を一部に限定する義務を課すものではなく、また、個人情報取扱事業者に対し、本人が開示を請求する範囲を限定させる権利を認めるものでもありません。ただし、個人情報取扱事業者は、本人からの保有個人データの開示の請求を受けて、保有個人データを開示することにより、個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合には、法第28条第２項第２号に該当し、当該保有個人データの全部又は一部を開示しないことができます。（平成30年12月更新）
更新時期を明記しました。
令和元年６月７日６－９－２更新
Ｑ６－９－２防犯目的のために、万引き・窃盗等の犯罪行為や迷惑行為に対象を限定した上で、顔認証データを登録して保有個人データとした場合には、個人情報保護法に基づきどのように開示請求、内容の訂正、利用停止の請求等に対応する必要がありますか。
Ａ６－９－２防犯目的のために登録された顔認証データ等が保有個人データである場合、法令に基づき開示請求等に適切に対応する必要があります。すなわち、開示請求がなされた場合には、保有個人データの開示義務の例外事由に該当しない限り、開示請求に適切に対応する必要があります。また、訂正等請求や利用停止等の請求が行われた際にも、法令に基づき適切に対応する必要があります。
Ｑ６－９－２防犯目的のために、万引き・窃盗等の犯罪行為や迷惑行為に対象を限定した上で、顔認証データを登録して保有個人データとした場合には、個人情報保護法に基づきどのように開示請求、内容の訂正、利用停止の請求等に対応する必要がありますか。
Ａ６－９－２防犯目的のために登録された顔認証データ等が保有個人データである場合、法令に基づき開示請求等に適切に対応する必要があります。すなわち、開示請求がなされた場合には、保有個人データの開示義務の例外事由に該当しない限り、開示請求に適切に対応する必要があります。また、訂正等請求や利用停止等の請求が行われた際にも、法令に基づき適切に対応する必要があります。（平成30年12月追加）
追加時期を明記しました。
更新日該当Ｑ＆Ａ種別更新前 取ることができるよう、情報提供することを考えています。当該従業者は現在入院更新理由修正前（更新前欄）修正前（追加・更新後欄）修正理由
※更新の場合は、修正箇所を赤字下線で示しています。
令和元年６月７日６－22更新
Ｑ６－22個人情報保護法に基づく開示請求、内容の訂正、利用停止の請求等への対応等に関する苦情や相談がある場合に、当該個人情報取扱事業者とともに、認定個人情報保護団体が対応することは可能ですか。
Ａ６－22認定個人情報保護団体は、消費者と事業者の間に立ち、対象事業者である個人情報取扱事業者の個人情報の適正な取扱いの確保を目的として、消費者からの苦情の処理や相談対応を行うこととされています。また、認定個人情報保護団体は、各業界の特性を踏まえつつ、個人情報に係る利用目的の特定、安全管理のための措置、開示等の請求等に応じる手続等に関し、個人情報保護指針を作成し、対象事業者はこれを遵守することとされています。認定個人情報保護団体に対して、対象事業者の保有個人データの開示請求、内容の訂正、利用の停止等の請求等への対応等に関する苦情の申出があったときは、認定個人情報保護団体は法令に基づいてこれを受け付けて、当該個人情報取扱事業者とともに、適切に対応を行うことが求められています。
Ｑ６－22個人情報保護法に基づく開示請求、内容の訂正、利用停止の請求等への対応等に関する苦情や相談がある場合に、当該個人情報取扱事業者とともに、認定個人情報保護団体が対応することは可能ですか。
Ａ６－22認定個人情報保護団体は、消費者と事業者の間に立ち、対象事業者である個人情報取扱事業者の個人情報の適正な取扱いの確保を目的として、消費者からの苦情の処理や相談対応を行うこととされています。また、認定個人情報保護団体は、各業界の特性を踏まえつつ、個人情報に係る利用目的の特定、安全管理のための措置、開示等の請求等に応じる手続等に関し、個人情報保護指針を作成し、対象事業者はこれを遵守することとされています。認定個人情報保護団体に対して、対象事業者の保有個人データの開示請求、内容の訂正、利用の停止等の請求等への対応等に関する苦情の申出があったときは、認定個人情報保護団体は法令に基づいてこれを受け付けて、当該個人情報取扱事業者とともに、適切に対応を行うことが求められています。（平成30年７月追加）
追加時期を明記しました。
令和元年６月７日７－７－２更新
Ｑ７－７－２防犯カメラを設置して個人データを取り扱う場合には、安全管理措置として特にどのような点に注意すれば良いですか。
Ａ７－７－２個人情報取扱事業者は法第20条に基づき個人データについて安全管理措置を講ずることが義務付けられています。顔画像や顔認証データなどの個人データについては、当該個人データの漏えい、滅失又はき損の防止その他の安全管理のために必要かつ適切な措置を講じる必要があり、具体的には組織的安全管理措置、人的安全管理措置、物理的安全管理措置、技術的安全管理措置として、例えば以下のような措置が考えられます。①組織的安全管理措置：カメラ画像等を取り扱う情報システムを使用できる従業者を限定、事業者内の責任者を定める、管理者及び情報の取扱いに関する規程等を整備する等②人的安全管理措置：従業者に対する適切な研修（個人情報保護法の適用範囲・義務規定、カメラ画像の取扱いに関する講義等）等を実施する等③物理的安全管理措置：カメラ及び画像データを保存する電子媒体等の盗難又は紛失等を防止するために、設置場所に応じた適切な安全管理を行う等④技術的安全管理措置：情報システムを使用してカメラ画像等を取り扱う場合や、IPカメラ（ネットワークカメラ、WEBカメラ）のようにネットワークを介してカメラ画像等を取り扱う場合に、必要とされる当該システムへの技術的なアクセス制御や漏えい防止策等を講ずる（アクセス制御には適切な場合にはパスワード設定等の措置も含む。）等なお、カメラ画像がデータベースを構築していない場合には、個人データとして法第20条の安全管理措置を講ずる義務が直接適用される対象ではないものの、当該画像が漏えい等することがないよう、上記の各種安全管理措置を参考として適切に取り扱うことが望ましいと考えられます。
Ｑ７－７－２防犯カメラを設置して個人データを取り扱う場合には、安全管理措置として特にどのような点に注意すれば良いですか。
Ａ７－７－２個人情報取扱事業者は法第20条に基づき個人データについて安全管理措置を講ずることが義務付けられています。顔画像や顔認証データなどの個人データについては、当該個人データの漏えい、滅失又はき損の防止その他の安全管理のために必要かつ適切な措置を講じる必要があり、具体的には組織的安全管理措置、人的安全管理措置、物理的安全管理措置、技術的安全管理措置として、例えば以下のような措置が考えられます。①組織的安全管理措置：カメラ画像等を取り扱う情報システムを使用できる従業者を限定、事業者内の責任者を定める、管理者及び情報の取扱いに関する規程等を整備する等②人的安全管理措置：従業者に対する適切な研修（個人情報保護法の適用範囲・義務規定、カメラ画像の取扱いに関する講義等）等を実施する等③物理的安全管理措置：カメラ及び画像データを保存する電子媒体等の盗難又は紛失等を防止するために、設置場所に応じた適切な安全管理を行う等④技術的安全管理措置：情報システムを使用してカメラ画像等を取り扱う場合や、IPカメラ（ネットワークカメラ、WEBカメラ）のようにネットワークを介してカメラ画像等を取り扱う場合に、必要とされる当該システムへの技術的なアクセス制御や漏えい防止策等を講ずる（アクセス制御には適切な場合にはパスワード設定等の措置も含む。）等なお、カメラ画像がデータベースを構築していない場合には、個人データとして法第20条の安全管理措置を講ずる義務が直接適用される対象ではないものの、当該画像が漏えい等することがないよう、上記の各種安全管理措置を参考として適切に取り扱うことが望ましいと考えられます。（平成30年12月追加）
追加時期を明記しました。
令和元年６月７日８－２－２更新
Ｑ８－２－２外国で活動する事業者で、日本を含む各国にいる者に対してサービスを提供しており、当該サービス提供のため各本人から個人情報を取得しています。日本の利用者の個人データを含む漏えい等事案が生じた場合、漏えい等事案が発覚した場合に講ずべき措置をとるとともに、個人情報保護委員会等へ報告する必要がありますか。
Ａ８－２－２法第75条に基づき、外国にある個人情報取扱事業者のうち、日本にいる者に対して物品やサービスの提供を行い、これに関連して本人から個人情報を取得した者が、外国においてその個人情報を取り扱う場合は、ガイドライン（通則編）の「６－１域外適用」にあるように、法第20条（安全管理措置）も適用されます。したがって、このような外国にある個人情報取扱事業者が日本の利用者の個人データを含む漏えい等事案を発生させた場合には、日本にある個人情報取扱事業者と同様に、漏えい等事案が発覚した場合に講ずべき措置及び個人情報保護委員会等への報告の対象となります。なお、域外適用についてはＱ８－２をご参照ください。
Ｑ８－２－２外国で活動する事業者で、日本を含む各国にいる者に対してサービスを提供しており、当該サービス提供のため各本人から個人情報を取得しています。日本の利用者の個人データを含む漏えい等事案が生じた場合、漏えい等事案が発覚した場合に講ずべき措置をとるとともに、個人情報保護委員会等へ報告する必要がありますか。
Ａ８－２－２法第75条に基づき、外国にある個人情報取扱事業者のうち、日本にいる者に対して物品やサービスの提供を行い、これに関連して本人から個人情報を取得した者が、外国においてその個人情報を取り扱う場合は、ガイドライン（通則編）の「６－１域外適用」にあるように、法第20条（安全管理措置）も適用されます。したがって、このような外国にある個人情報取扱事業者が日本の利用者の個人データを含む漏えい等事案を発生させた場合には、日本にある個人情報取扱事業者と同様に、漏えい等事案が発覚した場合に講ずべき措置及び個人情報保護委員会等への報告の対象となります。なお、域外適用についてはＱ８－２をご参照ください。（平成30年７月追加）
追加時期を明記しました。
令和元年６月７日８－３更新
Ｑ８－３個人情報保護法の適用除外とはどのような制度ですか。
Ａ８－３個人情報取扱事業者等のうち、憲法上保障された自由（表現の自由、学問の自由、信教の自由、政治活動の自由）に関わる以下の主体が以下の活動のために個人情報等を取り扱う場合には、その限りにおいて、個人情報取扱事業者等の義務は適用されません（法第76条第１項）。（１）報道機関報道活動（２）著述を業として行う者著述活動（３）学術研究機関・団体学術活動（４）宗教団体宗教活動（５）政治団体政治活動また、これらの諸活動の自由を確保するため、これらの活動の相手方である個人情報取扱事業者等の行為（例：①政党から政治活動を行うため要請があった場合に、後援会等が本人の同意なく個人データを提供すること、②新聞社等の報道機関が報道目的で個人情報を取り扱う場合に、報道機関に対して本人の同意なく個人データを提供すること）についても、個人情報保護委員会は、その行為に関する限り、その個人情報取扱事業者等に対して、報告の徴収、勧告、命令などの権限を行使しないこととされています（法第43条第２項）。
Ｑ８－３個人情報保護法の適用除外とはどのような制度ですか。
Ａ８－３個人情報取扱事業者等のうち、憲法上保障された自由（表現の自由、学問の自由、信教の自由、政治活動の自由）に関わる以下の主体が以下の活動のために個人情報等を取り扱う場合には、その限りにおいて、個人情報取扱事業者等の義務は適用されません（法第76条第１項）。（１）報道機関報道活動（２）著述を業として行う者著述活動（３）学術研究機関・団体学術活動（４）宗教団体宗教活動（５）政治団体政治活動また、これらの諸活動の自由を確保するため、これらの活動の相手方である個人情報取扱事業者等の行為（例：①政党から政治活動を行うため要請があった場合に、後援会等が本人の同意なく個人データを提供すること、②新聞社等の報道機関が報道目的で個人情報を取り扱う場合に、報道機関に対して本人の同意なく個人データを提供すること）についても、個人情報保護委員会は、その行為に関する限り、その個人情報取扱事業者等に対して、報告の徴収、勧告、命令などの権限を行使しないこととされています（法第43条第２項）。（平成30年７月更新）
更新時期を明記しました。
令和元年６月７日９－９更新
Ｑ９－９施行規則第11条の２第１号では、「個人情報取扱事業者と個人データの提供を受ける者との間」で適切かつ合理的な方法により措置の実施を確保することとされていますが、個人情報取扱事業者と同じ内規等が適用される別会社と、個人データの提供を受ける者との間で締結された委託契約は適切かつ合理的な方法に該当しますか。
Ａ９－９当該委託契約及び当該内規等によって、個人データの提供先である外国にある第三者が、我が国の個人情報取扱事業者の講ずべきこととされている措置に相当する措置を継続的に講ずることを実質的に担保することができる場合には、適切かつ合理的な方法に該当するものと考えられます。
Ｑ９－９施行規則第11条の２第１号では、「個人情報取扱事業者と個人データの提供を受ける者との間」で適切かつ合理的な方法により措置の実施を確保することとされていますが、個人情報取扱事業者と同じ内規等が適用される別会社と、個人データの提供を受ける者との間で締結された委託契約は適切かつ合理的な方法に該当しますか。
Ａ９－９当該委託契約及び当該内規等によって、個人データの提供先である外国にある第三者が、我が国の個人情報取扱事業者の講ずべきこととされている措置に相当する措置を継続的に講ずることを実質的に担保することができる場合には、適切かつ合理的な方法に該当するものと考えられます。（平成30年12月更新）
更新時期を明記しました。
更新日該当Ｑ＆Ａ種別更新前 取ることができるよう、情報提供することを考えています。当該従業者は現在入院更新理由修正前（更新前欄）修正前（追加・更新後欄）修正理由
※更新の場合は、修正箇所を赤字下線で示しています。
令和元年６月７日９－10更新
Ｑ９－10個人データを「外国にある第三者」（提供先）に提供した後、当該「外国にある第三者」がさらに別の「第三者」（再提供先）に個人データを提供する場合、当該「第三者」（再提供先）が「外国にある第三者」（提供先）と同一国内にある者のときは、どのような措置を講じる必要がありますか。また、当該「第三者」（再提供先）が日本にある者のときは、どのような措置を講じる必要がありますか。
Ａ９－10法第24条の「外国」は、本邦の域外にある国又は地域を指します。したがって、当該「第三者」（再提供先）が本邦の域外にある国又は地域にある者の場合は、「外国にある第三者」（提供先）と同一国若しくは地域にあるか、又は異なる国若しくは地域にあるかにかかわらず、同条の規定の趣旨に沿った措置（ガイドライン（外国にある第三者への提供編）３－２－10）を講じる必要があります。他方、当該「第三者」（再提供先）が日本にある者の場合は、「外国にある第三者」に該当しないため、法第23条の規定の趣旨に沿った措置（同ガイドライン３４－２－９）を講じる必要があります。
Ｑ９－10個人データを「外国にある第三者」（提供先）に提供した後、当該「外国にある第三者」がさらに別の「第三者」（再提供先）に個人データを提供する場合、当該「第三者」（再提供先）が「外国にある第三者」（提供先）と同一国内にある者のときは、どのような措置を講じる必要がありますか。また、当該「第三者」（再提供先）が日本にある者のときは、どのような措置を講じる必要がありますか。
Ａ９－10法第24条の「外国」は、本邦の域外にある国又は地域を指します。したがって、当該「第三者」（再提供先）が本邦の域外にある国又は地域にある者の場合は、「外国にある第三者」（提供先）と同一国若しくは地域にあるか、又は異なる国若しくは地域にあるかにかかわらず、同条の規定の趣旨に沿った措置（ガイドライン（外国にある第三者への提供編）４－２－10）を講じる必要があります。他方、当該「第三者」（再提供先）が日本にある者の場合は、「外国にある第三者」に該当しないため、法第23条の規定の趣旨に沿った措置（同ガイドライン３４－２－９）を講じる必要があります。（令和元年６月更新）
修辞上の修正を行いました。
令和元年６月７日９－11更新
Ｑ９－11外国にある第三者に対して、氏名を削除するなどして個人を特定できないようにして当該者にとっては個人情報に該当しないデータの取扱いを委託し、当該者が個人情報に復元することがないような場合においても、法第24条は適用されますか。
Ａ９－11法第24条は適用されます。受領者たる「外国にある第三者」にとって個人情報に該当しないデータを提供する場合において、当該者が個人情報を復元することがないこととなっているときは、結果として、施行規則第11条の２で定める基準に適合する体制を整備しているものと解されます。ただし、この場合であっても、委託者たる個人情報取扱事業者は法第22条に基づき委託先に対する監督義務があることに留意が必要です。
Ｑ９－11外国にある第三者に対して、氏名を削除するなどして個人を特定できないようにして当該者にとっては個人情報に該当しないデータの取扱いを委託し、当該者が個人情報に復元することがないような場合においても、法第24条は適用されますか。
Ａ９－11法第24条は適用されます。受領者たる「外国にある第三者」にとって個人情報に該当しないデータを提供する場合において、当該者が個人情報を復元することがないこととなっているときは、結果として、施行規則第11条の２で定める基準に適合する体制を整備しているものと解されます。ただし、この場合であっても、委託者たる個人情報取扱事業者は法第22条に基づき委託先に対する監督義務があることに留意が必要です。（平成30年12月更新）
更新時期を明記しました。
令和元年６月７日10－２更新
Ｑ10－２外国にある第三者に個人データを提供する場合、法第25条に基づく記録を作成しなければなりませんか。また、この場合において、提供者は、法第24条・施行規則第11条の２第１号との関係において、当該第三者からさらに別の第三者に提供する場合に記録を作成するように措置を講じなければなりませんか。
Ａ10－２外国にある第三者に個人データを提供する場合でも、原則として、法第25条に基づく記録義務は適用されます。具体的には、ガイドライン（第三者提供時の確認・記録義務編）２－１－２の【外国にある第三者に個人データを提供する場合の記録義務の適用】のとおりです。他方、法第24条・施行規則第11条の２第１号との関係において、当該第三者から別の第三者に提供する場合においては、法第25条に基づく記録に相当する記録を作成する措置を講じる必要はありません。
Ｑ10－２外国にある第三者に個人データを提供する場合、法第25条に基づく記録を作成しなければなりませんか。また、この場合において、提供者は、法第24条・施行規則第11条の２第１号との関係において、当該第三者からさらに別の第三者に提供する場合に記録を作成するように措置を講じなければなりませんか。
Ａ10－２外国にある第三者に個人データを提供する場合でも、原則として、法第25条に基づく記録義務は適用されます。具体的には、ガイドライン（第三者提供時の確認・記録義務編）２－１－２の【外国にある第三者に個人データを提供する場合の記録義務の適用】のとおりです。他方、法第24条・施行規則第11条の２第１号との関係において、当該第三者から別の第三者に提供する場合においては、法第25条に基づく記録に相当する記録を作成する措置を講じる必要はありません。（平成30年12月更新）
更新時期を明記しました。
令和元年６月７日11－１－２更新
Ｑ11－１－２統計情報と匿名加工情報の違いは何ですか。
Ａ11－１－２統計情報は、複数人の情報から共通要素に係る項目を抽出して同じ分類ごとに集計等して得られる情報であり、一般に、特定の個人との対応関係が排斥されているため、「個人情報」に該当しないものです。他方、匿名加工情報は、法第36 条第１項に基づき、施行規則第19条各号で定める基準に従い加工したものであり、例えば、ある一人の人物の購買履歴や移動履歴等の情報など、個人単位の「個人に関する情報」を含むものです。
Ｑ11－１－２統計情報と匿名加工情報の違いは何ですか。
Ａ11－１－２統計情報は、複数人の情報から共通要素に係る項目を抽出して同じ分類ごとに集計等して得られる情報であり、一般に、特定の個人との対応関係が排斥されているため、「個人情報」に該当しないものです。他方、匿名加工情報は、法第36 条第１項に基づき、施行規則第19条各号で定める基準に従い加工したものであり、例えば、ある一人の人物の購買履歴や移動履歴等の情報など、個人単位の「個人に関する情報」を含むものです。（平成30年７月追加）
追加時期を明記しました。
令和元年６月７日11－４－２更新
Ｑ11－４－２個人情報を、安全管理措置の一環等のためにマスキング等によって匿名化した場合、匿名加工情報に相当するのですか。
Ａ11－４－２匿名加工情報を作成するためには、匿名加工情報作成の意図を持って、法第36条第１項に基づき、施行規則第19条各号で定める基準に従い加工する必要があります。したがって、匿名加工情報作成基準に基づかずに、個人情報を安全管理措置の一環等のためにマスキング等によって匿名化した場合には、匿名加工情報としては扱われません。
Ｑ11－４－２個人情報を、安全管理措置の一環等のためにマスキング等によって匿名化した場合、匿名加工情報に相当するのですか。
Ａ11－４－２匿名加工情報を作成するためには、匿名加工情報作成の意図を持って、法第36条第１項に基づき、施行規則第19条各号で定める基準に従い加工する必要があります。したがって、匿名加工情報作成基準に基づかずに、個人情報を安全管理措置の一環等のためにマスキング等によって匿名化した場合には、匿名加工情報としては扱われません。（平成30年７月追加）
追加時期を明記しました。
令和元年６月７日11－４－３更新
Ｑ11－４－３個人情報を加工して匿名加工情報を作成する場合についても、利用目的として特定する必要はありますか。
Ａ11－４－３利用目的の特定は個人情報が対象であるため、個人情報に該当しない匿名加工情報は対象となりません。また、匿名加工情報への加工を行うこと自体を利用目的とする必要はありません。
Ｑ11－４－３個人情報を加工して匿名加工情報を作成する場合についても、利用目的として特定する必要はありますか。
Ａ11－４－３利用目的の特定は個人情報が対象であるため、個人情報に該当しない匿名加工情報は対象となりません。また、匿名加工情報への加工を行うこと自体を利用目的とする必要はありません。（平成30年７月追加）
追加時期を明記しました。
令和元年６月７日11－13－２更新
Ｑ11－13－２匿名加工情報の作成の委託を複数の会社から受けることは可能ですか。その場合、どのようなことに留意する必要がありますか。
Ａ11－13－２複数の会社から匿名加工情報の作成の委託を受けることは可能です。ただし、委託を受けた各個人情報の取扱い及び匿名加工情報の作成については、各委託者の指示に基づきその範囲内で独立した形で行う必要があります。異なる委託者から委託された個人情報を組み合わせたり、突合したりすることはできません。
Ｑ11－13－２匿名加工情報の作成の委託を複数の会社から受けることは可能ですか。その場合、どのようなことに留意する必要がありますか。
Ａ11－13－２複数の会社から匿名加工情報の作成の委託を受けることは可能です。ただし、委託を受けた各個人情報の取扱い及び匿名加工情報の作成については、各委託者の指示に基づきその範囲内で独立した形で行う必要があります。異なる委託者から委託された個人情報を組み合わせたり、突合したりすることはできません。（平成30年７月追加）
追加時期を明記しました。
更新日該当Ｑ＆Ａ種別更新前 取ることができるよう、情報提供することを考えています。当該従業者は現在入院更新理由修正前（更新前欄）修正前（追加・更新後欄）修正理由
※更新の場合は、修正箇所を赤字下線で示しています。
令和元年６月７日11－17－２更新
Ｑ11－17－２匿名加工情報を作成する際に元の個人情報に含まれるある項目の情報の全てを削除した場合、あるいは、その全てを置き換えた場合に、その項目について、匿名加工情報を作成したとき、あるいは、第三者に提供したときに公表する必要はありますか。
Ａ11－17－２匿名加工情報を作成する際に、元の個人情報に含まれるある項目について、その情報の全てを削除あるいは置き換えた場合には、匿名加工情報の作成あるいは第三者提供の際の公表事項として当該項目を含める必要はありません。
Ｑ11－17－２匿名加工情報を作成する際に元の個人情報に含まれるある項目の情報の全てを削除した場合、あるいは、その全てを置き換えた場合に、その項目について、匿名加工情報を作成したとき、あるいは、第三者に提供したときに公表する必要はありますか。
Ａ11－17－２匿名加工情報を作成する際に、元の個人情報に含まれるある項目について、その情報の全てを削除あるいは置き換えた場合には、匿名加工情報の作成あるいは第三者提供の際の公表事項として当該項目を含める必要はありません。（平成30年７月追加）
追加時期を明記しました。
令和元年６月７日11－17－３更新
Ｑ11－17－３匿名加工情報を作成した際に公表する個人に関する情報の項目の一部を「等」として省略することはできますか。また、「個人に関する情報の項目」の分類をどの程度、細かくする必要がありますか。まとめることは可能ですか。
Ａ11－17－３匿名加工情報を作成したときは、匿名加工情報に含まれる「個人に関する情報の項目」を公表する必要があります。公表される匿名加工情報に含まれる「個人に関する情報の項目」を省略することはできません。また、「個人に関する情報の項目」は、どのような情報が匿名加工情報に含まれているか、一般的かつ合理的に想定できる程度に分類する必要があります。その範囲であれば、「購買履歴」等とまとめた形で項目を示すことも考えられます。
Ｑ11－17－３匿名加工情報を作成した際に公表する個人に関する情報の項目の一部を「等」として省略することはできますか。また、「個人に関する情報の項目」の分類をどの程度、細かくする必要がありますか。まとめることは可能ですか。
Ａ11－17－３匿名加工情報を作成したときは、匿名加工情報に含まれる「個人に関する情報の項目」を公表する必要があります。公表される匿名加工情報に含まれる「個人に関する情報の項目」を省略することはできません。また、「個人に関する情報の項目」は、どのような情報が匿名加工情報に含まれているか、一般的かつ合理的に想定できる程度に分類する必要があります。その範囲であれば、「購買履歴」等とまとめた形で項目を示すことも考えられます。（平成30年７月追加）
追加時期を明記しました。
令和元年６月７日12－６更新
Ｑ12－６漏えい等事案について個人情報保護委員会等に報告する際の様式はありますか。
Ａ12－６参考となる報告書の様式を、個人情報保護委員会のホームページにおいて公表していますので、そちらをご利用ください。なお、様式に規定された事項が全て含まれるものであれば、異なる様式による報告も可能です。（平成29年５月更新）
Ｑ12－６漏えい等事案が発生した場合、個人情報保護委員会には、どのような方法で報告すればよいですか。
Ａ12－６個人情報保護委員会のホームページに漏えい等事案の報告フォームを設置していますので、当該報告フォームから報告してください。なお、報告先が事業所管大臣又は認定個人情報保護団体となる場合は、当該報告先が定める方法に従ってください。（令和元年６月更新）
報告方法の変更に伴い修正を行いました。
令和元年11月12日２－10－２追加－
Ｑ２－10－２不動産の売買が行われる際に、不動産所有者が売買契約締結前の交渉段階で、当該不動産の購入希望者から当該不動産に関する調査を受け、当該不動産の賃借人に係る個人データを提供する場合は、あらかじめ本人の同意を得る必要がありますか。
Ａ２－10－２ガイドライン（通則編）３－４－３（２）と同様に、不動産売買契約に付随して、不動産の売主から買主に対して、当該不動産の管理に必要な範囲で当該不動産の賃借人の個人データが提供される場合には、当該不動産に係る事業の承継に伴って個人データが提供される場合と評価することができるため、法第23条第５項第２号に基づくものとして、本人の同意を得る必要はないものと解されます。そして、不動産所有者が売買契約締結前の交渉段階で、当該不動産の購入希望者から、当該不動産に関する調査を受け、当該不動産の賃借人に係る個人データを提供する場合は、実質的に委託又は事業の承継に類似するものと認められるため、あらかじめ賃借人本人の同意を得ることなく又は第三者提供におけるオプトアウト手続を行うことなく、個人データを提供することができます。ただし、この場合、不動産所有者と当該不動産を購入しようとする者は、当該個人データの利用目的及び取扱方法、漏えい等が発生した場合の措置、不動産所有者と当該不動産を購入しようとする者との交渉が不調となった場合の措置等、当該不動産を購入しようとする者に安全管理措置を遵守させるための必要な契約を締結しなければなりません。（令和元年11月追加）
令和元年11月12日２－10－３追加－
Ｑ２－10－３ガイドライン（通則編）３－４－３（２）の「事業承継の交渉が不調となった場合の措置等」とは、具体的にどのような内容が考えられますか。
Ａ２－10－３事業承継の交渉が不調に終わった場合に、当該不動産を購入しようとした者において、当該交渉に関連して提供を受けた個人データを返還、消去、廃棄する必要があります。なおＱ２－10－２の「不動産所有者と当該不動産を購入しようとする者との交渉が不調となった場合の措置等」も同様と考えられます。（令和元年11月追加）
令和2年9月1日３－12－２追加－
Ｑ３－12－２ 名刺交換により取得した連絡先に対して、自社の広告宣伝のための冊子や電子メールを送ることはできますか。
Ａ３－12－２個人情報取扱事業者の従業者であることを明らかにした上で名刺を交換した場合、相手側は名刺を渡した者が所属する個人情報取扱事業者から広告宣伝のための冊子や電子メールが送られてくることについて、一定の予測可能性があると考えられます。この場合に、従業者が取得した名刺の連絡先に対して自社業務の広告宣伝のための冊子や電子メールを送ることは、「取得の状況からみて利用目的が明らかであると認められる場合」に該当すると解されます。業務時間外や、事業場外で名刺交換した場合であっても、個人情報取扱事業者の従業者であることを明らかにした上で名刺交換を行った場合は、同様に「取得の状況からみて利用目的が明らかであると認められる場合」に該当すると解されます。現行の個人情報保護法では、個人情報取扱事業者は、保有個人データを法第16条の規定に違反して取り扱っている場合又は法第17条の規定に違反して取得した場合でなければ、当該保有個人データの利用の停止又は消去の請求に応じる義務はありませんが、顧客から寄せられた冊子や電子メールの送付の停止等の要求を苦情として扱った上で、適切かつ迅速に処理するよう努めなければならず（法第35条第１項）、令和２年改正法（未施行）において利用の停止又は消去の請求の要件が緩和されたことにより将来的には対応が必要になる場合があることも踏まえ、適切に利用停止又は消去の請求に応じることが望ましいと考えられます。なお、個人情報取扱事業者が行う広告宣伝のための電子メールに関しては、個人情報保護法だけでなく、特定電子メールの送信の適正化等に関する法律（平成14年法律第26号）における受信拒否の通知を受けた場合の対応や、当該事業者が通信販売等をする場合には特定商取引に関する法律（昭和51年法律第57号）における規制など、他の法令の規定も遵守する必要があります。（令和２年９月追加）
更新日該当Ｑ＆Ａ種別更新前 取ることができるよう、情報提供することを考えています。当該従業者は現在入院更新理由修正前（更新前欄）修正前（追加・更新後欄）修正理由
※更新の場合は、修正箇所を赤字下線で示しています。
令和2年9月1日５－20－４追加－
Ｑ５－20－４ 自社の従業者が指定感染症に罹患したため、当該従業者が感染可能期間中に訪問した取引先が適切な対応策を取ることができるよう、情報提供することを考えています。当該従業者は現在入院しており、取引先への第三者提供に係る同意を取得することが困難ですが、同意を取得せずに情報提供することはできますか。
Ａ５－20－４個人データを第三者に提供する際には原則本人の同意が必要ですが（法第23条第１項本文）、「人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき」（法第23条第１項第２号）や、「公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき」（同項第３号）は、本人の同意は不要です。したがって、取引先での２次感染の発生による取引先の従業者等の生命若しくは身体への危険を防止するために必要がある場合、当該取引先における感染拡大に伴う事業活動の停止等への危険を防止するために必要がある場合、又は公衆衛生の向上のため特に必要がある場合であって、自社の従業者本人の同意を取得することが困難なときは、当該従業者本人の個人データを本人の同意なく取引先に対して提供することができると考えられます。（令和２年９月追加）
令和2年9月1日11－13－３追加－
Ｑ11－13－３委託に伴って提供された個人データを、委託先が自社のために匿名加工情報に加工した上で利用することはできますか。
Ａ11－13－３委託先は、委託（法第23条第５項第１号）に伴って委託元から提供された個人データを、委託された業務の範囲内でのみ取り扱わなければなりません。委託先が当該個人データを匿名加工情報に加工することが委託された業務の範囲内である場合には、委託先は当該加工を行うことができますが、委託された業務の範囲外で委託先が当該加工を行い、作成された匿名加工情報を自社のために用いることはできません。（令和２年９月追加）