日本个人信息保护委员会《关于〈个人信息保护法等部分修订法〉政令・委员会规则整备的基本思路①（促进适当的数据利用、与风险相适应的规制①）》（令和8年9月16日第369回委员会决定）

【说明】以下为日本PPC《政令・规则整备的基本思路①（促进适当的数据利用、与风险相适应的规制①）》（令和8年9月16日第369回委员会决定）正文（原文，PDF 文字层完整提取）。 官方页面：https://www.ppc.go.jp/personalinfo/legal/r8kaiseihogohou/ 提取范围：基本思路全 39 页；附参考资料《个人信息保护法（平成15年法律第57号）读替表——16岁未满者个人信息等处理规定关系》前 19 页。如需引用，请以官方原文为准。 读替表完整列出第18条、第20条第2项、第21条、第21条之2第1项、第26条第2项、第27条、第28条、第30条之2、第31条第1项、第32条第1项、第35条第7项等涉及"法定代理人同意"的逐条新旧对照。 令和８年９⽉16日 個人情報保護委員会事務局 個⼈情報の保護に関する法律等の⼀部を改正する法律 政令・規則の整備に向けた基本的な考え⽅について① （適正なデータ利活⽤の推進、リスクに適切に対応した規律①） 今回の検討項目 1. 適正なデータ利活⽤の推進 ① 目的外利⽤、要配慮個人情報取得及び第三者提供に関する規律 （取得の状況からみて本人の意思に反しないため本人の権利利益を害しない ことが明らかな取扱い等） 2. リスクに適切に対応した規律 ① ⼦供の個人情報の取扱いに関する規律 ② 顔特徴データ等に関する規律 1 • 個人情報の保護に関する法律等の⼀部を改正する法律（令和⼋年法律第五⼗六号）による改正後の個 人情報の保護に関する法律（平成⼗五年法律第五⼗七号）（以下「改正法」という。）の内容（適正な データ利活⽤の推進、リスクに適切に対応した規律、不適正利⽤等防⽌、規律遵守の実効性確保のための 規律）のうち、まずは下記の項目に係る政令・規則の基本的考え⽅を検討する。 • 他の項目やガイドライン等については今後の委員会において順次検討する。 検討項目 今回の検討項目に関する 政令・規則の整備に向けた検討の前提となる 改正法の概要等 （過去の委員会等で報告・公表したものを踏まえたもの） 2 １－① 取得の状況からみて本⼈の意思に反しないため本⼈の権利利益を害しないことが明らかな取扱い 3 個⼈情報取扱事業者 （ホテル予約サイトA） 第三者 （ホテルB） 個人データの第三者提供等(*１)が、当該個人データの取得の状況からみて本⼈の意思に反しないため本⼈の権利利益を害しないこ とが明らかである場合(*２)について、本⼈の同意を不要とする。 個⼈情報取扱事業者 （送⾦元⾦融機関C） 第三者 （送⾦先⾦融機関D）  現⾏規定では、個人データの第三者への提供（法第27条第1項）等については、例外規定に該当する場合を除き、本人の同意 が必要。 *１ 個人情報の当初の目的外の利用（現行の個人情報の保護に関する法律（平成十五年法律第五十七号）（以下「現行法」という。）第18条第3項）、信仰・病歴・犯罪歴 などの差別につながり得る情報（要配慮個人情報）の取得（現行法第20条第２項）も含む。 *２ 具体的な対象範囲は、制度が円滑に運用されるよう、改正の趣旨を踏まえつつ、委員会規則等で定めることを想定。 予約者の氏名等 送⾦者の情報 （第三者提供） 〔予約サイトの利⽤契約〕 （第三者提供） 〔Dへの支払いの委託〕 想定事例１【ホテル予約】 想定事例２【海外送⾦】 予約者 送⾦者  このような場合に⾏われる個人データの第三者提供は、契約の履⾏のために不可⽋なものであり、 本人の意思に反しないため本人の権利利益を害しないことが明らかといえると考えられる。  このような場合においても、現⾏規定では、本人から同意を取得する必要がある ２ー① ⼦供の個⼈情報の取扱いに関する規律 • 利⽤停⽌等請求 ⼦供 法定代理⼈  現⾏規定では、⼦供の個⼈情報の取扱い等に係る事業者の義務については、ガイドラインやQ&Aにおける記載(*1)のみ。 *1 「本人の同意」を得ることが求められている場面について、個人情報の取扱いに関して同意したことによって生ずる結果を未成年者が判断できる能力を有してい ないなどの場合は、親権者や法定代理人等から同意を得る必要があり（通則ガイドライン）、個別具体的に判断されるべきだが、一般的には、12歳から15歳まで の年齢以下の子供の場合には法定代理人等から同意を得る必要があるとされている（「個人情報の保護に関する法律についてのガイドライン」に関するQ&A（以 下「Q&A」という。））。  ⼦供は、⼼⾝が発達段階にあるためその判断能⼒が不⼗分であり、個⼈情報の不適切な取扱いに伴う悪影響を受けやすい。 • 通知等(利⽤目的) • 同意取得(目的外利⽤、要配慮個人情報(*2)取得、第三者提供) 同意取得や通知等に係る規定に、法定代理⼈の関与を義務付け。 ・本人が16歳未満であることを事業者が知らないことについて正当な理由がある場合 ・法定代理人が本人の営業を許可しており、事業者が当該営業に関して個人情報を取 得した場合 ・本⼈に法定代理⼈がない⼜はそのように事業者が信ずるに⾜りる相当な理由がある 場合 例外 違法⾏為の有無等を問わない利⽤停⽌等請求を可能とする。 ・法定代理⼈の同意を得て取得された保有個人データである場合 ・要配慮個人情報の取得に係る例外要件と同種の要件に該当する場合 ・本⼈が16歳以上であると信じさせるために詐術を⽤いた場合 ・法定代理人が本人の営業を許可しており、事業者が当該営業に関して 保有個人データを取得した場合 等 例外 年齢基準＝16歳未満(*3) *3 Q&A（Q1-62）、 欧州の一般データ保護規則（GDPR）8条  また、法定代理人の関与及び責務規定については、⾏政機関等についても同様の改正を⾏う。 *2 信仰・病歴・犯罪歴など、差別につながり得る個人情報 本⼈の最善の 利益を優先して 考慮しなければ ならない旨の責 務規定を設ける。 当該未成年者の年齢及び発達の程 度に応じて、その最善の利益を優先 して考慮した上で、未成年者の権利 利益を害することのないように必要な 措置を講ずるよう努めなければならな い旨の責務規定を設ける。 個⼈情報取扱事業者 4 ２ー② 顔特徴データ等に関する規律  生体データのうち顔特徴データ等(*2)は、本⼈が関知しないうちに容易にそれゆえに⼤量に⼊⼿可能であり、⼀意性及び不変性が ⾼く特定の個人を識別する効果が半永久的に継続するため、取扱いが本⼈のプライバシー等の侵害につながる可能性がある(*３)。  現⾏規定では、原則として個⼈情報の利⽤目的を⾃社のホームページに掲載する等して公表することにより、生体データとしての「個 人識別符号」 (*1)に該当するもの（顔特徴データを含む）も含め、事業者は個人情報を取得することが可能 。  令和５年「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利⽤について」で掲⽰例等を公表しQ＆Aに⼀定の記載。 *1 特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、特定の個人を識別することができるもの。 *2 顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状から抽出した特徴情報を、本人を識別することを目的とした装置やソフトウェアにより、 本人を識別することができるようにしたものとすることを想定。 個⼈情報取扱事業者の名称・住所・代表者の氏名、 顔特徴データ等を取り扱うこと、顔特徴データ等 の利⽤目的、顔特徴データ等の元となった⾝体的特徴の内容、利⽤停⽌請求に応じる⼿続等の周知を 義務付ける。 ⼀定の事項の周知(*5) ・周知により本人⼜は第三者の権利利益を害するおそれがある場合 ・周知により当該個人情報取扱事業者の権利⼜は正当な利益を害するおそれがある場合 ・国⼜は地⽅公共団体の事務の遂⾏に協⼒する必要がある場合であって、周知により当該事務の遂⾏に 支障を及ぼすおそれがある場合 等 *3 カメラ等の計測機器を複数の地点に設置して顔特徴データ等を入手してこれを名寄せに利用することで、本人が関知し得ないまま行動を追跡することも可能。 *4 単なる顔写真ではなく、個人識別符号のうち顔特徴データを想定（具体的な範囲は政令以下で定めることを想定）。 *5 具体的な周知の方法は、制度が円滑に運用されるよう、改正の趣旨を踏まえつつ、委員会規則等で定めることを想定。 顔特徴データ等(*4)の適正な利活⽤を促すため、 透明性を確保した上で、本⼈関与の強化が必要ではないか。 個人情報 取扱事業者 顔画像 顔特徴量 10AF52B・・ データベース 個⼈情報取扱事業者 （第三者提供）（取得） 例外 オプトアウト制度に基づく 第三者提供は不可 とする 違法⾏為等の有無を問わず可能とする。 ・本人の同意を得て作成⼜は取得された 顔特徴データ等である場合 ・要配慮個人情報の取得に係る例外要件 と同種の要件に該当する場合 等 利⽤停⽌等請求 例外 5 国会（衆議院）における附帯決議 ￥ 個人情報の保護に関する法律等の一部を改正する法律案に対する附帯決議 （令和８年５月21日衆議院地域活性化・こども政策・デジタル社会形成に関する特別委員会）（抄） 政府は、本法の施行に当たっては、次の諸点に留意し、その運用等について遺憾なきを期すべきである。 一〜六（略） 七 取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明ら かな取扱いである場合として個人情報 保護委員会規則で定める場合に本人の同意取得を不要とすることについては、個人情報取扱事業者等の恣意的な判断や濫用 によって個人の権利利益が侵害されることのないよう、当該特例に基づく個人情報の利用又は提供を必要最小限とするとと もに、個人情報保護委員会規則によってその具体的な範囲や判断基準を明記すること。 八 こどもの個人情報の取扱いに際しては、児童の権利に関する条約及び諸外国にお ける取組事例を踏まえて、こども基本法の 精神にのっとり、こどもにとっての最善の利益を最優先に考慮すること。また、こどもの個人情報に係る同意取得に当たっ ては、消費者及び事業者双方に過度な負担を生じさせないよう、柔軟な手法を許容すること。さらに、教育や保育の現場に おいて、こどもの個人情報の適正な取扱いが確実に行われるよう、法令やガイドラインについての周知を徹底すること。 九 特定生体個人情報の取扱いについては、本人の関与が困難な状態で不適正な取扱 いが行われるリスクが高いことに鑑み、義 務化される周知行動の実効性を確保する方策を検討し明らかにするとともに、同情報が取り扱われている旨及び本人からの 利用停止請求等の手段について監視カメラやセンサー等の機器の周辺に分かりやすく掲示する等の方法による周知を個人情 報取扱事業者に徹底させること。 十〜十四（略） 6 １－① ２－① ２－② 国会（参議院）における附帯決議 ￥ 個人情報の保護に関する法律等の一部を改正する法律案に対する附帯決議 （令和８年７月８日参議院デジタル社会の形成及び人工知能の活用等に関する特別委員会）（抄） 政府は、本法の施行に当たり、次の諸点について適切な措置を講ずるべきである。 一〜六（略） 七 本人との間の契約の履行のために必要やむを得ないことが明らかで ある場合その他取得の状況からみて本人の意思に反し ないため本人の権利利益を害しないことが明らかである場合として個人情報保護委員会規則で定める場合に本人の同意取得 を例外的に不要とすることについては、当該例外に基づく個人情報の利用又は提供が必要最小限となるよう、個人情報保護 委員会規則によってその具体的な範囲や判断基準を明記し、個人情報取扱事業者等の恣意的な判断や濫用を防止すること。 八 こどもの個人情報の取扱いに際しては、児童の権利に関する条約及び諸外国にお ける取組事例を踏まえて、こどもを心身の 発達の過程にある者と定義するこども基本法の精神にのっとり年齢その他の諸事情を勘案しつつ、こどもにとっての最善の 利益を最優先に考慮すること。また、こどもの個人情報に係る同意取得に当たっては、消費者及び事業者双方に過度な負担 を生じさせないよう、柔軟な手法を許容すること。さらに、教育や保育の現場において、こどもの個人情報の適正な取扱い が確実に行われるよう、法令やガイドラインについての周知を徹底すること。 九 特定生体個人情報の取扱いについては、本人の関与が困難な状態で不適正な取扱 いが行われるリスクが高いことに鑑み、 義務化される周知行動の実効性を確保する方策を検討し明らかにするとともに、同情報が取り扱われている旨及び本人から の利用停止請求等の手段について監視カメラやセンサー等の機器の周辺及び当該機器の検知対象者が十分認識できる場所等 に分かりやすく掲示する等の方法による周知を個人情報取扱事業者に徹底させること。 十〜十四（略） 右決議する。 7 １－① ２－① ２－② 政令・規則等で定める事項の全体像との関係① ガイドライン・Q&A委員会規則政令テーマ分類 基本的な考え⽅や具体 事例等を提⽰ ＊特に、取り扱う必要が ある場合の考え方を含む ・統計作成・AI開発等のうち個人の権利利益を害するお それが少ないものについて規定（改正法第２条第13項） ・特例に関する公表の内容及び⽅法、基準適合体制の 内容等について規定 （改正法第30条の２第１項・第３項た だし書・第５項本文・同項第１号・第７項ただし書・第13項、 第31条の３第１項第１号・第３項、第９項、第72条の３第３項 ただし書・第７項ただし書） ― 統計作成等の特例 個人データ等の第三者提供及び公開されている 要配慮個人情報の取得について、統計情報等 の作成（※）にのみ利⽤される場合は本人同 意を不要とする。 （※）統計作成等であると整理できるAI開発等を 含む 適正な データ 利活⽤ の推進 取得の状況からみて本⼈の意思に反しないため本⼈の 権利利益を害しないことが明らかである場合について規 定（改正法第18条第３項第７号、第20条第２項第７号、第 27条第１項第８号） ― 目的外利⽤、要配慮個⼈情報取得及び第三 者提供に関する規律 同上 ・取得の状況からみて本人の意思に反しない ため本人の権利利益を害しないことが明らか な取扱いである場合には、本人同意を不要 とする 同上 ＊公衆衛生の向上のた めに特に必要がある場 合の考え方を含む ―― ・生命等の保護⼜は公衆衛生の向上等のた めに個人情報を取り扱う場合における同意 取得困難性要件を緩和する 同上―― ・学術研究例外の対象である「学術研究機 関等」に、医療の提供を目的とする機関⼜ は団体が含まれることを明⽰する 8 １－① 政令・規則等で定める事項の全体像との関係② ガイドライン・Q&A委員会規則政令テーマ分類 基本的な考え⽅や具体 事例等を提⽰ ・違法⾏為等の有無を問わない利⽤停⽌等請求の例 外事由である、取得の状況からみて⼦供本⼈の権利利 益を害しないことが明らかである場合について規定 （改正法第35条第９項第８号） ・違法⾏為等の有無を問わない利⽤停⽌等請求の例 外事由である、⼀定の主体により保有個⼈データが公 開されていた場合に関し、公開主体について規定 （改正法第35条第９項第９号） 違法⾏為等の有無 を問わない利⽤停 ⽌等請求の例外事 由について規定 （改正法第35条第９ 項第12号） ⼦供の個⼈情報の取扱いに関する規律 16歳未満の者が本人である場合、同意取得や 通知等について当該本人の法定代理人を対象 とすることを明文化し、当該本人の保有個人デー タの利⽤停⽌請求の要件を緩和するとともに、未 成年者の個人情報等の取扱い等について、本 人の最善の利益を優先して考慮すべき旨の責務 規定を設ける リスク に適切 に対応 した規 律 同上 ・周知⽅法及び周知事項について規定 （改正法第21条の２第1項柱書、同項第６号） ・違法⾏為等の有無を問わない利⽤停⽌等請求の例 外事由である、取得の状況からみて本⼈の意思に反し ないため本⼈の権利利益を害しないことが明らかである 場合について規定 （改正法第35条第７項第９号） ・規律の対象となる 生体データに係る 身体の⼀部の特徴 に係る情報について 規定 （改正法第16条 ５項） ・周知義務の例外 事由について規定 （改正法第21条の２ 第２項第４号） ・違法⾏為等の有 無を問わない利⽤ 停⽌等請求の例外 事由について規定 （改正法第35条第７ 項第10号） 顔特徴データ等に関する規律 顔特徴データ等について、その取扱いに関する⼀ 定の事項の周知を義務化し、利⽤停⽌等請求 の要件を緩和するとともに、オプトアウト制度に基 づく第三者提供を禁⽌する 同上 委託先の義務の免除の前提として委託契約において定 める事項及び契約の⽅法について規定 （改正法第58条の ２） ― 委託先における個⼈データ等の適正な取扱い 個人情報取扱事業者等からデータ処理等の委 託を受けた事業者に対する個人データ等の適正 な取扱いに係る義務の⾒直しを⾏う 同上 ・本人への通知が⾏われなくても本人の権利利益の保護 に⽋けるおそれが少ない場合について規定 （改正法第26条第２項、法第68条２項１号） ・⼀定の範囲での速報の免除や⼀定期間ごとに取りまと めた確報の許容及び違法な個人データの第三者提供に ついても報告対象事態とすることについて規定（改正法第 26条第１項） ― 漏えい等報告・本⼈通知義務の緩和 漏えい等発生時について、本人の権利利益の保 護に⽋けるおそれが少ない場合は、本人への通 知義務を緩和する 9 ２－① ２－② 10 今回の検討項目に関する 政令・規則の整備に向けた 基本的な考え⽅ 11 １ー① 取得の状況からみて本⼈の意思に反しない ため本⼈の権利利益を害しないことが明らかな 取扱い １－① 取得の状況からみて本⼈の意思に反しないため本⼈の権利利益を害しないことが明らかな取扱い 12 *１ 信仰・病歴・犯罪歴など、差別につながり得る個人情報 *２ 外国にある第三者に対する提供を含む。 個人情報の目的外利⽤、要配慮個人情報(*１)の取得及び個人データの第三者提供(*２)について、次のいずれかに 該当する場合には、あらかじめ本人の同意を得ないで実施可能 （改正法第18条第３項第７号、第20条第２項第７号、第27条第１項第８号） ①本⼈との契約のため必要やむを得ないことが明らかである場合 個⼈情報取扱事業者 （ホテル予約サイトA） 第三者 （ホテルB） 個⼈情報取扱事業者 （送⾦元⾦融機関C） 第三者 （送⾦先⾦融機関D） 予約者の氏名等 送⾦者の情報 （第三者提供） 〔予約サイトの利⽤契約〕 （第三者提供） 〔Dへの支払いの委託〕 想定事例１【ホテル予約】 想定事例２【海外送⾦】 予約者 送⾦者 ②取得の状況からみて本⼈の意思に反しないため本⼈の権利利益を害しないことが明らかである場合 ※法律上に規定されているもの ⇒上記②の具体的な場合は 規則委任事項 13 ※ 本人が16歳未満の子供の場合については、改正法第40条の２第１項により、「取得の状況からみて本人の権利利益を害しないこと が明らかである場合として個人情報保護委員会規則で定める場合」と読み替えられる。 ○改正法（以下、特段の記載のない限り条文は同法の条文。） （利用目的による制限） 第十八条 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範 囲を超えて、個人情報を取り扱ってはならない。 ２ （略） ３ 前二項の規定は、次に掲げる場合については、適用しない。 一～六 （略） 七 本人との間の契約の履行のために必要やむを得ないことが明らかである場合その他当該個⼈情報の取得の状況からみて本⼈ の意思に反しないため本⼈の権利利益を害しないことが明らかである場合として個⼈情報保護委員会規則で定める場合 目的外利⽤ （適正な取得） 第二十条 （略） ２ 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。 一～六 （略） 七 本人との間の契約の履行のために必要やむを得ないことが明らかである場合その他当該要配慮個⼈情報の取得の状況から みて本⼈の意思に反しないため本⼈の権利利益を害しないことが明らかである場合として個⼈情報保護委員会規則で定める場合 八～十 （略） 取得 （要配慮個人情報） （第三者提供の制限） 第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供 してはならない。 一～七 （略） 八 本人との間の契約の履行のために必要やむを得ないことが明らかである場合その他当該個⼈データの取得の状況からみて本 ⼈の意思に反しないため本⼈の権利利益を害しないことが明らかである場合として個⼈情報保護委員会規則で定める場合 ２～８ （略） 第三者提供 １－① 規則委任事項 14 １－① 規則の整備に向けた基本的な考え⽅ • 改正法第18条第３項第７号、第20条第２項第７号、第27条第１項第８号は、本⼈ が個⼈データの第三者提供等に同意する意思を有しており、⼜は同意すべき⽴場にあり、 本⼈にとって不測の権利利益の侵害をもたらさないことが⾃明である場合に限り、本人同 意を不要とするもの (*１) 。 • 「本⼈との間の契約の履⾏のために必要やむを得ないことが明らかである場合」は、上記 ⾃明である場合の典型例として、法律で直接、本人同意が不要とされている。 • 「取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかで ある場合」として規則で規定し、本⼈同意を不要とできるのも、上記⾃明である場合に限 られる。 • 本⼈が16歳未満の場合(*２)も同様であり、⼦供本人の法定代理人が⼦供本人の個人 データの提供等に同意する意思を有しており、⼜は同意すべき⽴場にあり、⼦供本人に不測 の権利利益の侵害をもたらさないことが⾃明である場合に限り、規則において⼦供本人の法 定代理人の同意が不要な場合を規定することができる。 取得の状況からみて本⼈の意思に反しないため本⼈の権利利益を害しないことが明らかである場合関連 *１ 第三者提供規制の例外規定（改正法第27条第１項各号）に掲げられている場合は全て、目的外利⽤規制及び要配慮個人情報取得規制の例 外規定（改正法第18条第３項各号、第20条第２項各号）にも掲げられている。これは、個人データの第三者提供があった場合には個人情報の 目的外利⽤にもなる場合があるとともに、要配慮個人情報である個人データの第三者提供があった場合には提供先が当該要配慮個人情報を取得す ることになることを踏まえたもの。 *２ 本人が16歳未満の⼦供の場合については、改正法第40条の２第１項により、「取得の状況からみて本人の権利利益を害しないことが明らかである場 合として個人情報保護委員会規則で定める場合」と読み替えられる。 15 １－① 規則の整備に向けた論点と⽅向性 論点１ 「取得の状況からみて本⼈の意思に反しないため本⼈の権利利益を害しないことが 明らかである場合」として、どのような場合を規定すべきか。 →例えば、法律においては、①事業者・本⼈間での契約を対象に、②（契約締結後の）履 ⾏のために必要やむを得ないことが明らかである場合のみが規定されているが、以下のような 場合も本例外の対象となるように規則において追加的に規定すべきではないか。 • 事業者と第三者（＝本⼈以外）の契約であって、状況からみて本人の意思に反しな いため本人の権利利益を害しないことが明らかなものの履⾏のために必要やむを得ない ことが明らかである場合 (*１) • 事業者・本人間での契約の締結に先⽴って本人の要望に応えるために必要やむを得 ないことが明らかである場合(*２) →上記のほかに本例外の対象となるように規則において追加的に規定すべき場合はあるか。 取得の状況からみて本⼈の意思に反しないため本⼈の権利利益を害しないことが明らかである場合関連 *１ 例えば、本人の家族が、ホテル予約サイトでホテルでの当該家族及び本人の宿泊予約を⾏ったため、予約サイト運営事業者Aから、ホテル運営事業者 Bに対して、当該本人の氏名等が提供される場合 *２ 例えば、本人が、ECサイトでの商品購⼊契約の締結に先⽴ち、クレジットカード払いを要望したため、いわゆる3-Dセキュア（＝不正利⽤防⽌のための 本人認証⼿法）の枠組みにより、ECサイト運営事業者Aから、クレジットカード会社B等に対して、本人のデバイス情報等が提供される場合 *３ 本人が16歳未満の⼦供の場合については、改正法第40条の２第１項により、「取得の状況からみて本人の権利利益を害しないことが明らかである場 合として個人情報保護委員会規則で定める場合」と読み替えられる。 論点２ 本⼈が16歳未満の⼦供の場合(*３)について、どのような場合を規定すべきか。 →上記論点1の場合と同様の場合を本例外の対象となるように規定することでよいか。 ○国務大臣（松本尚君） 事業者が個人データを第三者に提供する場合等には、原則として本人の同意を取得する必要があります。本法案においては、この 本人同意の原則は維持しつつ、本人の意思に反しないため権利利益が害されないことが明らかである場合には、本人同意を不要とす ることとしております。 そのような場合として、本法案では、契約の履行のために必要やむを得ないことが明らかである場合と委員会規則で定める場合を規 定しております。 この必要やむを得ないとは、必要性があり、かつ、他の手段によっては契約の目的を達成することができない場合に限定する趣旨で あり、その旨は個人情報保護委員会においてガイドライン等で明確にしていくものと承知しております。 また、委員会規則で定める場合については、個⼈情報保護委員会において、本⼈の意思に反しないことが明らかな場合に限定して規定 を整備するものと承知しております。例えば、本人の望む契約の締結に先立って個人データを第三者に提供すること等が必要やむを得 ないことが明らかである場合が考えられると承知しております。 事業者が本規定に基づき第三者提供を行う場合等には、委員会規則やガイドライン等を踏まえ、要件への該当性について慎重に判 断することが求められます。個人情報保護委員会においても、その遵守状況について適時の把握に努め、違反が認められた場合には 必要な監督を行い、本人の権利利益保護を適切に図っていくものと承知しております。 16 ○衆議院における附帯決議（⼀部抜粋） 七 取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかな取扱いである場合として個⼈情報保護 委員会規則で定める場合に本⼈の同意取得を不要とすることについては、個⼈情報取扱事業者等の恣意的な判断や濫⽤によって個 ⼈の権利利益が侵害されることのないよう、当該特例に基づく個⼈情報の利⽤⼜は提供を必要最⼩限とするとともに、個⼈情報保護 委員会規則によってその具体的な範囲や判断基準を明記すること。 ○参議院における附帯決議（⼀部抜粋） 七 本人との間の契約の履行のために必要やむを得ないことが明らかである場合その他取得の状況からみて本人の意思に反しないた め 本人の権利利益を害しないことが明らかである場合として個人情報保護委員会規則で定める場合に本人の同意取得を例外的に 不要と することについては、当該例外に基づく個⼈情報の利⽤⼜は提供が必要最⼩限となるよう、個⼈情報保護委員会規則によって その具体的な範囲や判断基準を明記し、個⼈情報取扱事業者等の恣意的な判断や濫⽤を防⽌すること。 ○令和８年４⽉21日 衆議院 本会議 １ 国会審議・附帯決議 （出典）第221回国会 衆議院 本会議 第14号 令和８年4月21日 １－① 参考資料１ ○個人情報の保護に関する法律についてのガイドライン（通則編）３－３－２（※２）（⼀部抜粋） 「本人の同意」については、2-16（本人の同意）を参照のこと。なお、個⼈情報取扱事業者が要配慮個⼈情報 を書面⼜は口頭等により本⼈から適正に直接取得する場合は、本⼈が当該情報を提供したことをもって、当該個 人情報取扱事業者が当該情報を取得することについて本⼈の同意があったものと解される。 また、個人情報取扱事業者が要配慮個人情報を第三者提供の方法により取得した場合、提供元が法第20条 第2項及び法第27条第1項に基づいて本人から必要な同意（要配慮個人情報の取得及び第三者提供に関す る同意）を取得していることが前提となるため、提供を受けた当該個人情報取扱事業者が、改めて本人から法 第20条第2項に基づく同意を得る必要はないものと解される。 17 ２ 現⾏のガイドライン・Ｑ＆Ａにおいて黙⽰の同意等が認められている場合の例 個人データを第三者に提供する際には、あらかじめ本人の同意を得る必要がありますが（法第27条第１項）、 例えば、ある企業の代表取締役の氏名が当該会社のホームページで公開されていて、当該本⼈の役職（代表 取締役）及び氏名のみを第三者に伝える場合等、提供する個⼈データの項目や提供の態様によっては、本⼈の 同意があると事実上推認してよい場合もあると解されます。 ○「個人情報の保護に関する法律についてのガイドライン」に関するＱ＆Ａ ７－13（⼀部抜粋） １－① 参考資料２ 【第49条第１項】 (a) 十分性認定及び適切な保護措置が存在しないために、そのような移転がそのデータ主体に対して発生させる可能性のあるリスク の情報提供を受けた後に、そのデータ主体が、提案された移転に明示的に同意した場合； (b) データ主体と管理者との間の契約の履行のためにその移転が必要となる場合、又は、データ主体の要求により、契約締結前の 措置を実施するためにその移転が必要となる場合； (c) 管理者と他の自然人若しくは法人との間で締結されるデータ主体の利益のために帰する契約の締結又は履行のために移転が 必要となる場合； (d) 公共の利益の重大な事由の移転が必要となる場合； (e) 法的主張時の立証、行使又は抗弁に移転が必要となる場合； (f) データ主体が物理的又は法的に同意を与えることができない場合において、データ主体又はそれ以外の者の生命に関する利益 を保護するために移転が必要となる場合； (g) EU 法又は加盟国の国内法に従い、公衆に対して情報を提供することを予定しており、かつ、公衆一般 及び正当な利益をもつこ とを説明することのできる者の両者に対して開かれているが、個々の案件におい て、照会に関してEU 法又は加盟国の国内法に より定められた条件が充足する限度内のみに制限されている登録機関に限り、登録機関からの移転が必要となる場合。 拘束的企業準則の条項を含め、第45条又は46条に基づいて移転を行うことができず、かつ、本項（a）から（g）による特定の状況にお ける例外がいずれも適用可能ではない場合、その移転が、反復的なものではなく、限定された人数のデータ主体に関係するものであり、 データ主体の権利及び自由によって優先されるものではない管理者が求める義務的な正当な利益の目的のために必要であり、かつ、 管理者がデータ移転と関連する全ての事情を評価しており、かつ、その評価に基づき、その管理者が個人データの保護に関連して適 合する保護措置を提供した場合に限り、第三国又は国際機関に対する移転を行うことができる。その管理者は、監督機関に対して、そ の移転を通知しなければならない。その管理者は、そのデータ主体に対し、第13条及び第14 条に規定する情報に加え、その移転及び 求められる義務的な正当な利益に関し、情報提供しなければならない。 18 ３ ＧＤＰＲにおいて例外的に第三国等への個⼈データの移転が認められている場合 【備考】 • 「取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかである場合」として規則で定める場合については、 外国にある第三者への個⼈データの提供も本⼈同意なく実施可能。 ※ＧＤＰＲ…ＥＵ一般 データ保護規則 １－① 参考資料３ ○個人データの取扱いと関連する⾃然人の保護に関する、及び、そのデータの⾃由な移転に関する、並びに、指令95/46/ECを廃⽌す る欧州議会及び理事会の2016年4⽉27日の規則(EU) 2016/679 （⼀般データ保護規則）【条文】 （⼀部抜粋） ※個人情報保護委員会にて公表している仮日本語訳 19 ２ー① ⼦供の個⼈情報の取扱いに関する規律 ２－① ⼦供の個⼈情報の取扱いに関する規律 • 利⽤停⽌等請求 ⼦供 法定代理⼈ • 通知等(利⽤目的等) • 同意取得(目的外利⽤、要配慮個人情報取得、第三者提供) 同意取得や通知等の対象を法定代理人と読み替える(*１) (*２) 。 ・16歳未満であることを知らないことについて正当な理由がある場合 ・法定代理人が許可した本人の営業に関して個人情報を取得した場合 ・法定代理人がない⼜はそのように信ずるに⾜りる相当な理由がある場合 違法⾏為の有無等を問わない利⽤停⽌等請求を可能とする。 以下のものを含む12類型が規定されている（P21参照）。 ・法定代理人の同意を得て取得した場合（第１号） ・人の生命・⾝体・財産の保護のために必要な場合（第３号） ・⼦供本人との間の契約の履⾏のために必要やむを得ないことが明らかである場合その他取得 の状況からみて⼦供本⼈の権利利益を害しないことが明らかである場合として規則で定め る場合（第８号） ・法定代理人や公的機関、報道機関等その他規則で定める者により公開されていたものであ る場合（第９号） ・法律上の11類型の例外に準ずるものとして政令で定める場合（第12号） 年齢基準＝16歳未満 ⼦供本人の最善 の利益を優先して 考慮しなければな らない旨の責務規 定を設ける（改 正法第58条の３ 第２項）。 ⼦供本人の最善の利益を優先して考 慮した上で、必要な措置を講ずるよう 努めなければならない旨の責務規定を 設ける（改正法第58条の３第１ 項）。 個⼈情報取扱事業者 20 例外（第１項各号、第２項各号） 例外（第９項各号） 読替規定（改正法第40条の２） 利⽤停⽌等請求（改正法第35条第９項、第10項） *１ 読替えの詳細については読替表を参照。 *２ 読替後の各規定における政令・規則委任事項についても必 要に応じて整備する。 16歳未満の本人及びその法定代理人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが 取り扱われているときは、利⽤停⽌等⼜は第三者への提供の停⽌を請求可能 （改正法第35条第９項、同条第10項） ２－① 政令･規則委任事項 （利⽤停⽌等） 第三⼗五条 （略） ２〜８ （略） ９ ⼗六歳未満の本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが取り扱われているときは、 次に掲 げる場合を除き、当該保有個人データの利⽤停⽌等⼜は第三者への提供の停⽌を請求することができる。 ⼀ 当該個人情報取扱事業者があらかじめ当該本人の法定代理人の同意を得て当該保有個人データを取得した場合 二 当該個人情報取扱事業者が法令に基づいて当該保有個人データを取り扱う場合 三 当該個人情報取扱事業者が人の生命、⾝体⼜は財産の保護のために当該保有個人データを取り扱う必要がある場合 四 当該個人情報取扱事業者が公衆衛生の向上⼜は児童の健全な育成の推進のために当該保有個人データを取り扱うことが特 に必要である場合 五 当該個人情報取扱事業者が国の機関若しくは地⽅公共団体⼜はその委託を受けた者による法令の定める事務の遂⾏に対し て協⼒するために当該保有個人データを取り扱う必要がある場合 六 当該個人情報取扱事業者が学術研究機関等である場合であって、当該保有個人データを学術研究目的で取り扱う必要があ るとき（当該保有個人データを取り扱う目的の⼀部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそ れがある場合を除く。）。 七 学術研究機関等と共同して学術研究を⾏う当該個人情報取扱事業者が当該学術研究機関等から当該保有個人データを取 得した場合であって、当該保有個人データを学術研究目的で取り扱う必要があるとき（当該保有個人データを取り扱う目的の⼀ 部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。 ⼋ 当該個人情報取扱事業者が当該保有個人データを取り扱うことが当該本人との間の契約の履⾏のために必要やむを得ないこと が明らかである場合その他当該個⼈情報取扱事業者が当該保有個⼈データを取り扱うことが当該保有個⼈データの取得の状 況からみて⼗六歳未満の本⼈の権利利益を害しないことが明らかである場合として個⼈情報保護委員会規則で定める場合 九 当該保有個人データが、当該個人情報取扱事業者が当該保有個人データを取得した時点において、当該本人の法定代理人、 国の機関、地⽅公共団体、学術研究機関等、第五⼗七条第⼀項各号に掲げる者その他個⼈情報保護委員会規則で定める 者により公開されていたものである場合 ⼗ 当該本人の法定代理人が当該本人の営業を許可していた場合であって、当該個人情報取扱事業者が当該営業に関して当 該保有個人データを取得したとき。 ⼗⼀ 当該本人が、当該個人情報取扱事業者に対し⾃らが⼗六歳以上であることを信じさせるために詐術を⽤いていた場合 ⼗二 その他前各号に掲げる場合に準ずるものとして政令で定める場合 １０〜１１（略） 21 ※政令・規則委任事項は利⽤停⽌等請求関連のみ 法 律 上 の 11 類 型 22 ２－① 政令・規則の整備に向けた基本的な考え⽅ • 改正法第35条第９項第８号は、同法第20条第２項第７号(*１)に倣った例外事由。規 則において規定できるのは、同号の規則と同様、⼦供本⼈の法定代理⼈が⼦供本⼈の 保有個⼈データの取扱いに同意する意思を有しており、⼜は同意すべき⽴場にあり、⼦供 本⼈に不測の権利利益の侵害をもたらさないことが⾃明である場合に限られる（P14参 照） 。 • 改正法第35条第９項第９号は、同法第20条第2項第９号（現⾏法第20条第２項第 ７号）(*２)に倣った例外事由。規則において規定できるのは、同号の規則と同様、知る権 利や公共の安全等の公の利益のために情報を公開することが想定される主体（＝法律 上列挙された公的機関や報道機関等に準じる主体）に限られる(*３) 。 • 改正法第35条第９項第12号は、今後の技術進展等に機動的に対応できるよう規定され た例外事由。政令において規定できるのは、法律上の11類型の例外事由（同項第１号 〜第11号）に準じる場合に限られる。 *１ 厳密には、本人が16歳未満の⼦供である場合の、改正法第40条の２第１項の規定により読み替えて適⽤する同法第20条第２項第７号 *２ 厳密には、本人が16歳未満の⼦供である場合の、改正法第40条の２第１項の規定により読み替えて適⽤する同法第20条第２項第９号 *３ 現⾏法第20条第２項第７号は、知る権利や公共の安全といった公の利益に配慮した規定であり、国の機関・地⽅公共団体、学術研究機関等、報 道機関等が、公開主体として法律上列挙されている。さらに、同号の委任を受けた現⾏の規則第6条では、①外国政府等、②外国の学術研究機関 等、③外国の報道機関等、が公開主体として規定されている（P24参照）。 利用停止等請求関連 23 論点１ 利⽤停⽌等請求の例外事由としての「取得の状況からみて16歳未満の本⼈の 権利利益を害しないことが明らかである場合」として、どのような場合を規定すべきか （改正法第35条第９項第８号関係）。 → １ー① 論点２（P15）の 「取得の状況からみて本人の権利利益を害しないことが 明らかである場合として個人情報保護委員会規則で定める場合」と同様でよいか。 論点２ 利⽤停⽌等請求の例外事由としての公開情報に係る例外について、公開主体と してどのような者を規定すべきか（改正法第35条第９項第９号関係） 。 → 現⾏法の要配慮個人情報取得規制に係る例外事由のうち公開情報に係る例外 （現⾏法第20条第2項第7号)の委任を受けた現⾏の規則第６条と同じ公開主体 （P24参照）を規定することでよいか。 論点３ 法律で規定された利⽤停⽌等請求の11類型の例外事由に対して、更に例外事 由を追加的に規定すべき場合があるか （改正法第35条第９項第12号関係） 。 → 法律上の11類型の例外事由には、現⾏法第20条第２項第１号〜第７号（要配 慮個人情報取得規制に係る例外事由）に倣った例外事由が含まれているが、これに加 えて規定すべき場合が何か想定されるか。 利用停止等請求関連 ２－① 政令･規則の整備に向けた論点と⽅向性 24 現⾏法における参考例 ○現行法 （適正な取得） 第二十条 （略） ２ 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を 取得してはならない。 一～六 （略） 七 当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、第五十七条第一項各号に 掲げる者その他個⼈情報保護委員会規則で定める者により公開されている場合 八 （略） 現⾏法 ○個人情報の保護に関する法律施行規則 （平成二十八年個人情報保護委員会規則第三号） （法第二十条第二項第七号の個人情報保護委員会規則で定める者） 第六条 法第二十条第二項第七号の個人情報保護委員会規則で定める者は、次の各号のいずれかに該当する 者とする。 一 外国政府、外国の政府機関、外国の地⽅公共団体⼜は国際機関 二 外国において法第⼗六条第⼋項に規定する学術研究機関等に相当する者 三 外国において法第五⼗七条第⼀項各号に掲げる者に相当する者 現⾏の規則 ２－① 参考資料 25 ２ー② 顔特徴データ等に関する規律 ２－② 顔特徴データ等に関する規律 • 特定生体個人情報を取り扱うに当たって、事前の周知を義務付ける。 • 周知事項として、法律上の5類型（利⽤目的、利⽤停⽌等請求の⼿続 等）（P27参照）に加えて、個⼈の権利利益を保護するために必要な ものとして規則で定める事項が規定されている（第１項各号）。 • 周知⽅法（「本⼈に通知」する⽅法及び「本⼈が容易に知り得る状態に 置」く⽅法）を規則で定めることとされている（第１項柱書）。 周知義務（改正法第21条の２） 個人情報 取扱事業者 顔特徴量 10AF52B・・ データベース 個⼈情報取扱事業者 （第三者提供）（取得） オプトアウト制度に基づく第三者提供は不可 とする（改正法第27条第１項ただし書）。 違法⾏為等の有無を問わず可能とする。 利⽤停⽌等請求（改正法第35条第７項、第８項） 26 以下のものを含む10類型が規定されている（P28参照）。 ・本人の同意を得て取得等した場合（第１号、第２号） ・人の生命・⾝体・財産の保護のために必要な場合（第４号） ・本人との間の契約の履⾏のために必要やむを得ないことが明らかである場 合その他取得等の状況からみて本⼈の意思に反しないため本⼈の権利 利益を害しないことが明らかである場合として規則で定める場合（第９ 号） ・法律上の９類型の例外に準ずるものとして政令で定める場合(第10号) 以下のものを含む４類型が規定されている（P27参照）。 ・周知により本人等の権利利益⼜は個人情報取扱事業者の正当な利益を 害するおそれがある場合（第１号、第２号） ・法律上の３類型の例外に準ずるものとして政令で定める場合(第４号) 特定生体個人識別符号（＝個人識別符号のうち、①特別の技術⼜は多額の費⽤を要しない⽅法に より取得することができ、かつ、②取得されていることを本⼈が容易に認識することができない、身体的 特徴に係る情報として政令で定めるものを変換したもの）が含まれる個人情報 特定生体個人情報顔画像 例外（第２項各号） 例外（第７項各号） 特定生体個⼈情報の定義（改正法第16条第５項） • 特定生体個人情報を取り扱うに当たって、あらかじめ⼀定の事項を本人に周知することを義務化 • 本人は、個人情報取扱事業者に対し、当該本人が識別される特定生体個人情報が取り扱われているときは、利⽤ 停⽌等⼜は第三者への提供の停⽌を請求可能 （改正法第21条の２、第35条第７項、同条第８項） ２－② 政令委任事項（定義・周知義務関連） 27 定義関連 （定義） 第十六条 （略） ２～４ （略） ５ この章において「特定生体個人情報」とは、特定生体個人識別符号（第二条第二項第一号に該当する個人識別符号のうち、特別の技術⼜ は多額の費⽤を要しない⽅法により取得することができる身体の⼀部の特徴に係る情報であって当該情報が取得されていることを本⼈が容易に 認識することができないものとして政令で定めるものを変換したものをいう。第二十一条の二第一項第四号及び第三十五条第七項において同 じ。）が含まれる個人情報をいう。 ６～９ （略） 周知義務関連 ※ 改正法第21条の２第１項柱書は、本人が16歳未満の子供の場合については、同法第40条の２第１項により、「個人情報保護委員会規則で定めるところにより、 あらかじめ、本人の法定代理人に通知し、又は本人の法定代理人が容易に知り得る状態に置かなければならない」と読み替えられる。 法 律 上 の ５ 類 型 法 律 上 の ３ 類 型 （特定生体個人情報の取扱いに際しての利用目的等の通知等） 第二十一条の二 個人情報取扱事業者は、特定生体個人情報を取り扱うに当たっては、次に掲げる事項について、個⼈情報保護委員会規 則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。 一 当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定め のあるものにあっては、その代表者又は管理人。第二十七条、第三十条第一項第一号及び第三十二条第一項第一号において同じ。）の 氏名 二 特定生体個人情報を取り扱うこと。 三 特定生体個人情報の利用目的 四 特定生体個人情報に含まれる特定生体個人識別符号に変換される身体の一部の特徴に係る情報の内容 五 第三十七条第一項に規定する開示等の請求等に応じる手続（第三十八条第一項の規定により手数料を徴収する場合は、その手数料の 額を含む。） 六そ の 他個⼈の権利利益を保護するために必要なものとして個⼈情報保護委員会規則で定める事項 ２ 前項の規定は、次に掲げる場合については、適用しない。 一 前項の規定による措置を講ずることにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合 二 前項の規定による措置を講ずることにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合 三 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、前項の規定による措置を講 ずることにより当該事務の遂行に支障を及ぼすおそれがあるとき。 四そ の 他前三号に掲げる場合に準ずるものとして政令で定める場合 ２－② 政令・規則委任事項（利⽤停⽌等請求関連） 28 利⽤停⽌等請求関連 （利用停止等） 第三十五条 （略） ２～６ （略） ７ 本人は、個人情報取扱事業者に対し、当該本人が識別される特定生体個人情報（保有個人データに含まれるものに限る。）が取り扱われて いるときは、次に掲げる場合を除き、当該特定生体個人情報の利用停止等又は第三者への提供の停止を請求することができる。 一 当該個人情報取扱事業者があらかじめ当該本人の同意を得て当該特定生体個人情報に含まれる特定生体個人識別符号を作成した場 合 二 当該個人情報取扱事業者があらかじめ当該本人の同意を得て当該特定生体個人情報を取得した場合 三 当該個人情報取扱事業者が法令に基づいて当該特定生体個人情報を取り扱う場合 四 当該個人情報取扱事業者が人の生命、身体又は財産の保護のために当該特定生体個人情報を取り扱う必要がある場合 五 当該個人情報取扱事業者が公衆衛生の向上又は児童の健全な育成の推進のために当該特定生体個人情報を取り扱うことが特に必要 である場合 六 当該個人情報取扱事業者が国の機関若しくは地方公共団体又はその委託を受けた者による法令の定める事務の遂行に対して協力す るために当該特定生体個人情報を取り扱う必要がある場合 七 当該個人情報取扱事業者が学術研究機関等である場合であって、当該特定生体個人情報を学術研究目的で取り扱う必要があるとき （当該特定生体個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合 を除く。）。 八 学術研究機関等と共同して学術研究を行う当該個人情報取扱事業者が当該学術研究機関等から当該特定生体個人情報を取得した場 合又は学術研究機関等と共同して学術研究を行う当該個人情報取扱事業者が当該学術研究機関等から取得した情報を変換して作成し た特定生体個人識別符号が当該特定生体個人情報に含まれる場合であって、当該特定生体個人情報を学術研究目的で取り扱う必要が あるとき（当該特定生体個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれが ある場合を除く。）。 九 当該個人情報取扱事業者が当該特定生体個人情報を取り扱うことが当該本人との間の契約の履行のために必要やむを得ないことが明 らかである場合その他当該個⼈情報取扱事業者が当該特定生体個⼈情報を取り扱うことが当該特定生体個⼈情報に含まれる特定生体 個⼈識別符号の作成の状況⼜は当該特定生体個⼈情報の取得の状況からみて本⼈の意思に反しないため本⼈の権利利益を害しないこと が明らかである場合として個⼈情報保護委員会規則で定める場合 十そ の 他前各号に掲げる場合に準ずるものとして政令で定める場合 ８～１１（略） ※ 改正法第35条第７項第９号は、本人が16歳未満の子供の場合については、同法第40条の２第１項により、取得等の状況からみて「本人の権利利益を害しな いことが明らかである場合として個人情報保護委員会規則で定める場合」と読み替えられる。 法 律 上 の 9 類 型 29 ２－② 政令・規則の整備に向けた基本的な考え⽅ • 特定生体個人情報に係る規律は、顔特徴データ等が、本⼈が関知しないうちに容易に（それゆえに ⼤量に）⼊⼿することができ、かつ、⼀意性及び不変性が⾼く特定の個⼈を識別する効果が半永 久的に継続するという性質を有する(*)ため、その他の生体データに比べてその取扱いが本人のプライバ シー等の侵害に類型的につながりやすいという特徴を有することとなっていることを踏まえたもの。 • 改正法第16条第５項の政令において上記規律の対象とできるのは、バイオメトリック技術の動向 等を踏まえ、個⼈識別符号に該当する生体データのうち、上記性質を有する生体データに限られる。 * 顔特徴データについては、カメラ等の計測機器を複数の地点に設置して顔特徴データ等を⼊⼿し、これを名寄せに利⽤することで、本人が関知し得ないま ま、半永久的・網羅的に当該本人の⾏動を追跡することが可能。 定義関連 周知義務関連 • 周知義務の趣旨は、特定生体個⼈情報の取扱いに係る本⼈の不安感を緩和し、また、本⼈がその 利⽤停⽌等請求権の⾏使等の適切な対応を図る契機を提供する点にある。 • 改正法第21条の２第１項柱書の規則においては、上記趣旨に鑑み、本⼈が、時間的にもその⼿ 段においても容易に知ることができる周知⽅法を規定する必要がある。 • 改正法第21条の２第１項第６号の規則においては、上記趣旨に鑑み、本⼈の不安感の緩和に 繋がる周知事項や、本⼈がいかなる対応を取るべきかの検討に資する周知事項を規定する必要が ある。 • 改正法第21条の２第２項第４号は、今後の技術進展等に機動的に対応できるよう規定された例 外事由。政令において規定できるのは、法律上の３類型の例外事由（同項第１号〜第３号）に 準じる場合に限られる。 30 ２－② 政令・規則の整備に向けた基本的な考え⽅ 利⽤停⽌等請求関連 • 改正法第35条第７項第９号は、同法第20条第２項第７号に倣った例外事由。規則に おいて規定できるのは、同号の規則と同様、本⼈が顔特徴データの取扱いに同意する意 思を有しており、⼜は同意すべき⽴場にあり、本⼈にとって不測の権利利益の侵害をもた らさないことが⾃明である場合に限られる（P14参照） 。 • 改正法第35条第７項第10号は、今後の技術進展等に機動的に対応できるよう規定され た例外事由。政令において規定できるのは、法律上の９類型の例外事由（同項第１号 〜第９号）に準じる場合に限られる。 31 論点１ 本規律の適⽤対象となる「特定生体個⼈情報」に係る「特定生体個⼈識別符号」と して、どの個⼈識別符号を対象とすべきか（改正法第16条第５項関係）。（参考資料１・２） → 改正法第２条第2項第１号に該当するものとして政令で定める個人識別符号のうち、 顔特徴データ(現⾏の政令第１条第１項ロ）を対象としてはどうか。 → 現段階において、この他に法定された性質を有し、規律対象とすべきものは何かあるか。 定義関連 ２－② 政令・規則の整備に向けた論点と⽅向性① 周知義務関連 論点２ どのような周知⽅法、どのような周知事項を周知義務に関して規定すべきか（改正法 第21条の２第１項関係） 。（周知⽅法︓参考資料３〜５）（周知事項︓参考資料４） →カメラやセンサー等の機器の周辺に分かりやすく掲⽰する等の⽅法により、当該機器の検知 対象者が⼗分認識できる場所に分かりやすく掲⽰することが重要ではないか。 →本人の不安感を緩和し、また、必要とされる場合には本人がその利⽤停⽌等請求権の⾏使 等の対応を取ることも可能とするために必要とされる事項を周知事項としてはどうか。 →「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利⽤について」 （P36） 及びこの内容等を踏まえた「「個人情報の保護に関する法律についてのガイドライン」 に関する Q＆A」（P37）において⽰されている周知⽅法・周知事項を参考に検討を具体化してはどう か。 32 ２－② 政令・規則の整備に向けた論点と⽅向性② * 第21条の２第２項第１号〜第３号を検討する際に、顔特徴データ等に関する場合においては、本人にとって全ての周知事項が取得の状況からみて明 らかな場合が通常想定されないことから、第21条第４項第４号に相当する例外事由は規定されないこととされた。 周知義務関連（続き） 論点３ 法律で規定された、利⽤目的等の周知義務が不要となる３類型の例外事由に対し て、更に追加的に規定すべき例外事由があるか（改正法第21条の２第２項第４号関係） 。 → 法律で規定された、利⽤目的等の周知が不要となる３類型の例外事由（改正法第21 条の２第２項第１号〜第３号）は、現⾏法において利⽤目的の通知等が不要となる例 外事由（現⾏法第21条第４項第１号〜３号）に倣ったものであるが（*）、これに加え て規定すべき場合が何か想定されるか。 33 利⽤停⽌等請求関連 ２－② 政令・規則の整備に向けた論点と⽅向性③ 論点４ 利⽤停⽌等請求の例外事由としての「当該個⼈情報取扱事業者が当該特定生 体個⼈情報を取り扱うことが当該特定生体個⼈情報に含まれる特定生体個⼈識別符 号の作成の状況⼜は当該特定生体個⼈情報の取得の状況からみて本⼈の意思に反し ないため本⼈の権利利益を害しないことが明らかである場合」として、どのような場合を 規定すべきか （改正法第35条第７項第９号関係）。 → １ー① 論点１（P15）の 「取得の状況からみて本人の意思に反しないため本人の 権利利益を害しないことが明らかである場合として個人情報保護委員会規則で定める場 合」と同様でよいか。 論点５ 法律で規定された利⽤停⽌等請求の９類型の例外事由に対して、更に例外事 由を追加的に規定すべき場合があるか （改正法第35条第７項第10号関係）。 → 法律上の９類型の例外事由には、現⾏法第20条第２項第１号〜第６号（要配慮 個人情報取得規制に係る例外事由）に倣った例外事由が含まれているが(*) 、これに加 えて規定すべき場合が何か想定されるか。 * 改正法第20条第２項第９号（現⾏法第20条第２項第７号）に相当する例外事由は、⾏政機関等や報道機関等が特定生体個人情報を公開す ることは通常想定されないことから、改正法第35条第７項各号においては規定されていない。 ２－② 参考資料１・２（定義関連） 34 ○個⼈情報の保護に関する法律施⾏令 （平成⼗五年政令第五百七号） （個人識別符号） 第⼀条 個人情報の保護に関する法律（以下「法」という。）第二条第二項の政令で定める文字、番号、記号その他の符号は、次に掲げるもの とする。 ⼀ 次に掲げる⾝体の特徴のいずれかを電⼦計算機の⽤に供するために変換した文字、番号、記号その他の符号であって、特定の個人を識別す るに⾜りるものとして個人情報保護委員会規則で定める基準に適合するもの イ 細胞から採取されたデオキシリボ核酸（別名ＤＮＡ）を構成する塩基の配列 ロ 顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状によって定まる容貌 ハ 虹彩の表面の起伏により形成される線状の模様 ニ 発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化 ホ 歩⾏の際の姿勢及び両腕の動作、歩幅その他の歩⾏の態様 ヘ ⼿のひら⼜は⼿の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状 ト 指紋⼜は掌紋 二〜⼗ （略） １ 個⼈識別符号の類型 ２ 生体データの利⽤に関する動向調査 最終報告書（令和７年12月）※（⼀部抜粋） ※ 個人情報保護委員会ウェブサイト「調査等」 において公表しているもの ○国務大臣（松本尚君） 本法案においては、顔特徴データについては、委員御指摘の利用停止請求の緩和要件に加えて、その取扱いに関する一定の事項 の周知、これを義務付けることとしております。そして、その周知の具体的な方法については十分な透明性を確保しなければなりません から、カメラを設置する施設の⼊口に周知事項を掲⽰する等、原則として本⼈が訪れると想定される場所に掲⽰しなければならない旨、こ れを規定することを想定しております。 全ての事業者に対して利用停止請求、ごめんなさい、複数の事業者が顔特徴データを同時に取り扱っている場合に、その利用停止 請求を望む人は一つ一つ全部に当たらなきゃいけないということが当然生じるわけですけれども、これはやむを得ないことというふうに 思いますけれども、手続が本人にとって過重な負担とならないように配慮しなければならないということも法の中で定めているところでご ざいまして、できるだけ、複数の事業者が絡む場合は一元的な窓口を設置するなどを想定して進めてまいりたいと思っております。 35 ○衆議院における附帯決議（⼀部抜粋） 九 特定生体個人情報の取扱いについては、本人の関与が困難な状態で不適正な取扱いが行われるリスクが高いことに鑑み、義務化 される周知行動の実効性を確保する方策を検討し明らかにするとともに、同情報が取り扱われている旨及び本人からの利用停止請 求等の手段について監視カメラやセンサー等の機器の周辺に分かりやすく掲⽰する等の⽅法による周知を個⼈情報取扱事業者に徹底 させること。 ○参議院における附帯決議（⼀部抜粋） 九 特定生体個人情報の取扱いについては、本人の関与が困難な状態で不適正な取扱いが行われるリスクが高いことに鑑み、義務化 される周知行動の実効性を確保する方策を検討し明らかにするとともに、同情報が取り扱われている旨及び本人からの利用停止請 求等の手段について監視カメラやセンサー等の機器の周辺及び当該機器の検知対象者が⼗分認識できる場所等に分かりやすく掲⽰ する等の⽅法による周知を個⼈情報取扱事業者に徹底させること。 ○令和8年６⽉17日 参議院 デジタル社会の形成及び人工知能の活⽤等に関する特別委員会 ３ 国会審議・附帯決議 ２－② 参考資料３（周知義務関連①） （出典）第221回国会 参議院 デジタル社会の形成及び人工知能の活用等に関する特別委員会 第５号 令和８年６月17日 ２－② 参考資料４（周知義務関連②） 36 ４-1 「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利⽤について」（令和5年3月）⼀部抜粋 第５章 顔識別機能付きカメラシステムを利⽤する際の個人情報保護法上の留意点 ２ 利⽤目的の特定、通知公表及びその他の個人情報に係る規律 (2) 利⽤目的等の通知公表等 …本⼈からの理解を得るためにも、できる限り分かりやすく情報提供を⾏うために、下記 のとおり、Webサイト等における公表に加え、情報の重要度に応じて施設内での 掲⽰も⾏うことが望ましい。 ア 施設内において掲示することが考えられる事項 施設内40において掲示することが考えられる事項は、被撮影者が自己の個人情 報を取り扱われるに当たり、特に認識しておくべき重要な事項である。そのため、 被撮影者が容易に認識できる⽅法で掲⽰することが望ましい。例えば、別紙３の施設 内での掲示例を参考に、デザインやフォントを工夫したり、アイコンやイラスト 等を活用したりすることで被撮影者にとって分かりやすい方法で掲示したり、被 撮影者の目線や動線を考慮し、⼈が出⼊りする際に目に付きやすい出⼊口（⼤規模施 設で⼊口が複数ある場合には⼀定の⼤規模な⼊口）に掲⽰することが考えられる。ま た、カメラ画像の活用が多様化していることを考慮し、被撮影者にとって分かり やすいものとすることが望ましい。 40 被撮影者が撮影前に掲示を目にする可能性のある場所（例えば、大規模な入口等）での 掲示を望ましいとするものであって、施設内であればどこで掲示してもよいというものでは ない。また、カメラの設置場所での掲示を妨げるものではない。 別紙３︓施設内での掲⽰案 Webサイト等への掲示事項例施設内での掲示事項例 ̵ 顔識別機能付きカメラシステムを導入する必要性 ̵ 顔識別機能付きカメラシステムの仕組み ̵ 顔識別機能付きカメラシステムで取り扱われる個 人情報の利用目的 ̵ 運用基準（登録基準、登録される情報の取得元、 誤登録防止措置、保存期間等） ̵ 他の事業者への提供（委託、共同利用等） ̵ 安全管理措置 ̵ 開示等の請求の手続、苦情申出先等 ̵ 顔識別機能付きカメラシ ステムの運用主体 ̵ 顔識別機能付きカメラシ ステムで取り扱われる個 人情報の利用目的 ̵ 問合せ先 ̵ 後述のWebサイトのURL 及びQRコード等を掲示 ２－② 参考資料４（周知義務関連②）（続き） 37 ４-2 「個⼈情報の保護に関する法律についてのガイドライン」 に関するＱ＆Ａ（⼀部抜粋） Ｑ１－14 店舗や、駅・空港等に設置したカメラにより画像を取得し、そこから顔特徴データを抽出して、これを防犯目的で利⽤する （顔識別機能付きカメラシステムを利⽤する。）ことを考えています。個⼈情報保護法との関係で、従来型防犯カメラを利⽤する場合の留 意点（Ｑ１－13）に加えて、どのような点に留意する必要がありますか。 Ａ１－14 個⼈情報取扱事業者は、顔識別機能付きカメラシステムにより特定の個⼈を識別することができるカメラ画像やそこから得ら れた顔特徴データを取り扱う場合、個⼈情報を取り扱うことになるため、利⽤目的をできる限り特定し、当該利⽤目的の範囲内でカメラ画 像や顔特徴データ等を利⽤しなければなりません。 具体的には、どのような個⼈情報の取扱いが⾏われているかを本⼈が利⽤目的から合理的に予測・想定できる程度に利⽤目的を特定しなけ ればならないため、従来型防犯カメラの場合と異なり、犯罪防⽌目的であることだけではなく、顔識別機能を⽤いていることも明らかにし て、利⽤目的を特定しなければなりません。（略） 顔識別機能付きカメラシステムに登録された顔特徴データ等が保有個⼈データに該当する場合には、保有個⼈データに関する事項の公表等 （法第32条）をしなければなりません。（略） 加えて、上記のとおり利⽤目的の通知・公表をしなければならず、また、本⼈から理解を得るためできる限り分かりやすく情報提供を⾏う ため、顔識別機能付きカメラシステムの運⽤主体、同システムで取り扱われる個⼈情報の利⽤目的、問い合わせ先、さらに詳細な情報を掲 載したWebサイトのURL又はQRコード等を店舗や駅・空港等の入口や、カメラの設置場所等に掲示することが望ましいと考えられます。 （略） 駅・空港等で顔識別機能付きカメラシステムを利⽤する場合については、「犯罪予防や安全確保のための顔識別機能付きカメラシステムの 利⽤について」（個⼈情報保護委員会、2023年３⽉）も参照のこと。（令和５年５⽉更新） Ｑ１－13 店舗や、駅・空港等に従来型防犯カメラ（防犯目的で設置されているカメラのうち、撮影した画像から顔特徴データの抽出を⾏ わないもの）を設置し、撮影したカメラ画像を防犯目的で利⽤すること Ａ１－13 個⼈情報取扱事業者は、カメラにより特定の個⼈を識別することができる画像を取得する場合、個⼈情報を取り扱うことになる ため、利⽤目的をできる限り特定し、当該利⽤目的の範囲内でカメラ画像を利⽤しなければなりません。（略）さらに、個⼈情報取扱事業 者は、偽りその他不正の⼿段により個⼈情報を取得してはならないため、カメラの設置状況等から、カメラにより自らの個⼈情報が取得さ れていることを本⼈において容易に認識可能といえない場合には、容易に認識可能とするための措置を講じなければなりません（法第20条 第１項）。例えば、防犯カメラが作動中であることを店舗や駅・空港等の入口や、カメラの設置場所等に掲示する等の措置を講じることが 考えられます。（略）（令和５年５⽉追加） 38 ５ 現⾏の規則における参考例 ○個人情報の保護に関する法律施行規則（平成二十八年個人情報保護委員会規則第三号） （第三者提供に係る事前の通知等） 第十一条 法第二十七条第二項又は第三項の規定による通知又は容易に知り得る状態に 置く措置は、次に掲げるところにより、行うものとする。 一 第三者に提供される個⼈データによって識別される本⼈（次号において「本⼈」とい う。）が当該提供の停⽌を求めるのに必要な期間をおくこと。 二 本⼈が法第⼆⼗七条第⼆項各号に掲げる事項を確実に認識できる適切かつ合理的 な⽅法によること。 ２～４ （略） 現⾏の規則 （オプトアウト制度における 通知等の⽅法） ○個人情報の保護に関する法律施行規則（平成二十八年個人情報保護委員会規則第三号） （外国にある第三者への提供に係る同意取得時の情報提供） 第十七条 法第二十八条第二項又は法第三十一条第一項第二号の規定により情報を提 供する方法は、電磁的記録の提供による⽅法、書面の交付による⽅法その他の適切な⽅ 法とする。 ２～４ （略） 現⾏の規則 （外国にある第三者への提供に 係る同意取得時の情報提供） ２－② 参考資料５（周知義務関連③） 【参考资料：读替表】 個人情報の保護に関する法律（平成 15年法律第 57号） 読替表（16歳未満の者の個人情報等の取扱いの規定関係） 目 次 ○個人情報の保護に関する法律第 40 条の 2 第 1 項の規定による第 18 条、第 20 条第 2 項、第 21 条、第 21 条の 2 第 1 項、第 26 条第 2項、第 27 条、第 28 条、第 30 条の 2 第 1 項及び第 5 項、第 32 条第 1 項並びに第 35 条第 7 項の読替え・・・1 ○個人情報の保護に関する法律第 40 条の 2 第 2 項の規定による第 31 条第 1 項の読替え・・・・・・・・・・・・・・・・・14 ○個人情報の保護に関する法律第 71 条の 3 の規定による第 62 条、第 68 条第 2 項、第 69 条第 2 項及び第 71 条の読替え・・・・・15 1 ○個人情報の保護に関する法律第 40 条の 2第 1 項の規定による第 18条、第 20条第 2項、第 21条、第 21条の 2第 1項、第 26条第 2 項、第 27条、第 28条、第 30条の 2第 1項及び第 5項、第 32条第 1項並びに第 35条第 7項の読替え （傍線部分は読替部分） 読 替 後 読 替 前 （利用目的による制限） （利用目的による制限） 第 18 条 個人情報取扱事業者は、あらかじめ本人の法定代理人 の同意を得ないで、前条の規定により特定された利用目的の達 成に必要な範囲を超えて、個人情報を取り扱ってはならない。 第 18 条 個人情報取扱事業者は、あらかじめ本人の同意を得な いで、前条の規定により特定された利用目的の達成に必要な範 囲を超えて、個人情報を取り扱ってはならない。 2 個人情報取扱事業者は、合併その他の事由により他の個人情 報取扱事業者から事業を承継することに伴って個人情報を取得 した場合は、あらかじめ本人の法定代理人の同意を得ないで、 承継前における当該個人情報の利用目的の達成に必要な範囲を 超えて、当該個人情報を取り扱ってはならない。 2 個人情報取扱事業者は、合併その他の事由により他の個人情 報取扱事業者から事業を承継することに伴って個人情報を取得 した場合は、あらかじめ本人の同意を得ないで、承継前におけ る当該個人情報の利用目的の達成に必要な範囲を超えて、当該 個人情報を取り扱ってはならない。 3 前二項の規定は、次に掲げる場合については、適用しない。 3 前二項の規定は、次に掲げる場合については、適用しない。 (1) （略） (1) （略） (2) 人の生命、身体又は財産の保護のために必要がある場合 であって、本人の法定代理人の同意を得ることが困難である ときその他本人の法定代理人の同意を得ないことについて相 当の理由があるとき。 (2) 人の生命、身体又は財産の保護のために必要がある場合 であって、本人の同意を得ることが困難であるときその他本 人の同意を得ないことについて相当の理由があるとき。 (3) 公衆衛生の向上又は児童の健全な育成の推進のために特 に必要がある場合であって、本人の法定代理人の同意を得る ことが困難であるときその他本人の法定代理人の同意を得な いことについて相当の理由があるとき。 (3) 公衆衛生の向上又は児童の健全な育成の推進のために特 に必要がある場合であって、本人の同意を得ることが困難で あるときその他本人の同意を得ないことについて相当の理由 があるとき。 2 (4) 国の機関若しくは地方公共団体又はその委託を受けた者 が法令の定める事務を遂行することに対して協力する必要が ある場合であって、本人の法定代理人の同意を得ることによ り当該事務の遂行に支障を及ぼすおそれがあるとき。 (4) 国の機関若しくは地方公共団体又はその委託を受けた者 が法令の定める事務を遂行することに対して協力する必要が ある場合であって、本人の同意を得ることにより当該事務の 遂行に支障を及ぼすおそれがあるとき。 (5)・(6) （略） (5)・(6) （略） (7) 本人との間の契約の履行のために必要やむを得ないこと が明らかである場合その他当該個人情報の取得の状況からみ て本人の権利利益を害しないことが明らかである場合として 個人情報保護委員会規則で定める場合 (7) 本人との間の契約の履行のために必要やむを得ないこと が明らかである場合その他当該個人情報の取得の状況からみ て本人の意思に反しないため本人の権利利益を害しないこと が明らかである場合として個人情報保護委員会規則で定める 場合 （適正な取得） （適正な取得） 第2 0条 （略） 第2 0条 （略） 2 個人情報取扱事業者は、次に掲げる場合を除くほか、あらか じめ本人の法定代理人の同意を得ないで、要配慮個人情報を取 得してはならない。 2 個人情報取扱事業者は、次に掲げる場合を除くほか、あらか じめ本人の同意を得ないで、要配慮個人情報を取得してはなら ない。 (1) （略） (1) （略） (2) 人の生命、身体又は財産の保護のために必要がある場合 であって、本人の法定代理人の同意を得ることが困難である ときその他本人の法定代理人の同意を得ないことについて相 当の理由があるとき。 (2) 人の生命、身体又は財産の保護のために必要がある場合 であって、本人の同意を得ることが困難であるときその他本 人の同意を得ないことについて相当の理由があるとき。 (3) 公衆衛生の向上又は児童の健全な育成の推進のために特 に必要がある場合であって、本人の法定代理人の同意を得る ことが困難であるときその他本人の法定代理人の同意を得な (3) 公衆衛生の向上又は児童の健全な育成の推進のために特 に必要がある場合であって、本人の同意を得ることが困難で あるときその他本人の同意を得ないことについて相当の理由 3 いことについて相当の理由があるとき。 があるとき。 (4) 国の機関若しくは地方公共団体又はその委託を受けた者 が法令の定める事務を遂行することに対して協力する必要が ある場合であって、本人の法定代理人の同意を得ることによ り当該事務の遂行に支障を及ぼすおそれがあるとき。 (4) 国の機関若しくは地方公共団体又はその委託を受けた者 が法令の定める事務を遂行することに対して協力する必要が ある場合であって、本人の同意を得ることにより当該事務の 遂行に支障を及ぼすおそれがあるとき。 (5)・(6) （略） (5)・(6) （略） (7) 本人との間の契約の履行のために必要やむを得ないこと が明らかである場合その他当該要配慮個人情報の取得の状況 からみて本人の権利利益を害しないことが明らかである場合 として個人情報保護委員会規則で定める場合 (7) 本人との間の契約の履行のために必要やむを得ないこと が明らかである場合その他当該要配慮個人情報の取得の状況 からみて本人の意思に反しないため本人の権利利益を害しな いことが明らかである場合として個人情報保護委員会規則で 定める場合 (8) （略） (8) （略） (9) 当該要配慮個人情報が、本人の法定代理人、国の機関、 地方公共団体、学術研究機関等、第 57 条第 1 項各号に掲げ る者その他個人情報保護委員会規則で定める者により公開さ れている場合 (9) 当該要配慮個人情報が、本人、国の機関、地方公共団 体、学術研究機関等、第 57 条第 1 項各号に掲げる者その他 個人情報保護委員会規則で定める者により公開されている場 合 (10) （略） (10) （略） （取得に際しての利用目的の通知等） （取得に際しての利用目的の通知等） 第 21 条 個人情報取扱事業者は、個人情報を取得した場合は、 あらかじめその利用目的を公表している場合を除き、速やか に、その利用目的を、本人の法定代理人に通知し、又は公表し なければならない。 第 21 条 個人情報取扱事業者は、個人情報を取得した場合は、 あらかじめその利用目的を公表している場合を除き、速やか に、その利用目的を、本人に通知し、又は公表しなければなら ない。 2 個人情報取扱事業者は、前項の規定にかかわらず、本人との 2 個人情報取扱事業者は、前項の規定にかかわらず、本人との 4 間で契約を締結することに伴って契約書その他の書面（電磁的 記録を含む。以下この項において同じ。）に記載された当該本 人の個人情報を取得する場合その他本人から直接書面に記載さ れた当該本人の個人情報を取得する場合は、あらかじめ、本人 の法定代理人に対し、その利用目的を明示しなければならな い。ただし、人の生命、身体又は財産の保護のために緊急に必 要がある場合は、この限りでない。 間で契約を締結することに伴って契約書その他の書面（電磁的 記録を含む。以下この項において同じ。）に記載された当該本 人の個人情報を取得する場合その他本人から直接書面に記載さ れた当該本人の個人情報を取得する場合は、あらかじめ、本人 に対し、その利用目的を明示しなければならない。ただし、人 の生命、身体又は財産の保護のために緊急に必要がある場合 は、この限りでない。 3 個人情報取扱事業者は、利用目的を変更した場合は、変更さ れた利用目的について、本人の法定代理人に通知し、又は公表 しなければならない。 3 個人情報取扱事業者は、利用目的を変更した場合は、変更さ れた利用目的について、本人に通知し、又は公表しなければな らない。 4 前三項の規定は、次に掲げる場合については、適用しない。 4 前三項の規定は、次に掲げる場合については、適用しない。 (1) 利用目的を本人の法定代理人に通知し、又は公表するこ とにより本人又は第三者の生命、身体、財産その他の権利利 益を害するおそれがある場合 (1) 利用目的を本人に通知し、又は公表することにより本人 又は第三者の生命、身体、財産その他の権利利益を害するお それがある場合 (2) 利用目的を本人の法定代理人に通知し、又は公表するこ とにより当該個人情報取扱事業者の権利又は正当な利益を害 するおそれがある場合 (2) 利用目的を本人に通知し、又は公表することにより当該 個人情報取扱事業者の権利又は正当な利益を害するおそれが ある場合 (3) 国の機関又は地方公共団体が法令の定める事務を遂行す ることに対して協力する必要がある場合であって、利用目的 を本人の法定代理人に通知し、又は公表することにより当該 事務の遂行に支障を及ぼすおそれがあるとき。 (3) 国の機関又は地方公共団体が法令の定める事務を遂行す ることに対して協力する必要がある場合であって、利用目的 を本人に通知し、又は公表することにより当該事務の遂行に 支障を及ぼすおそれがあるとき。 ( 4 ) （ 略 ） ( 4 ) （ 略 ） （特定生体個人情報の取扱いに際しての利用目的等の通知等） （特定生体個人情報の取扱いに際しての利用目的等の通知等） 5 第21条の2 個人情報取扱事業者は、特定生体個人情報を取り扱 うに当たっては、次に掲げる事項について、個人情報保護委員 会規則で定めるところにより、あらかじめ、本人の法定代理人 に通知し、又は本人の法定代理人が容易に知り得る状態に置か なければならない。 第21条の2 個人情報取扱事業者は、特定生体個人情報を取り扱 うに当たっては、次に掲げる事項について、個人情報保護委員 会規則で定めるところにより、あらかじめ、本人に通知し、又 は本人が容易に知り得る状態に置かなければならない。 (1)～(6) （略） (1)～(6) （略） 2 （略） 2 （略） （漏えい等の報告等） （漏えい等の報告等） 第2 6条 （略） 第2 6条 （略） 2 前項に規定する場合には、個人情報取扱事業者（同項ただし 書の規定による通知をした者を除く。）は、本人の法定代理人 に対し、個人情報保護委員会規則で定めるところにより、当該 事態が生じた旨を通知しなければならない。ただし、本人の法 定代理人への通知が困難な場合又は本人の法定代理人への通知 が行われなくても本人の権利利益の保護に欠けるおそれが少な い場合として個人情報保護委員会規則で定める場合であって、 本人の権利利益を保護するため必要なこれに代わるべき措置を とるときは、この限りでない。 2 前項に規定する場合には、個人情報取扱事業者（同項ただし 書の規定による通知をした者を除く。）は、本人に対し、個人 情報保護委員会規則で定めるところにより、当該事態が生じた 旨を通知しなければならない。ただし、本人への通知が困難な 場合又は本人への通知が行われなくても本人の権利利益の保護 に欠けるおそれが少ない場合として個人情報保護委員会規則で 定める場合であって、本人の権利利益を保護するため必要なこ れに代わるべき措置をとるときは、この限りでない。 （第三者提供の制限） （第三者提供の制限） 第 27 条 個人情報取扱事業者は、次に掲げる場合を除くほか、 あらかじめ本人の法定代理人の同意を得ないで、個人データを 第三者に提供してはならない。 第 27 条 個人情報取扱事業者は、次に掲げる場合を除くほか、 あらかじめ本人の同意を得ないで、個人データを第三者に提供 してはならない。 6 (1) （略） (1) （略） (2) 人の生命、身体又は財産の保護のために必要がある場合 であって、本人の法定代理人の同意を得ることが困難である ときその他本人の法定代理人の同意を得ないことについて相 当の理由があるとき。 (2) 人の生命、身体又は財産の保護のために必要がある場合 であって、本人の同意を得ることが困難であるときその他本 人の同意を得ないことについて相当の理由があるとき。 (3) 公衆衛生の向上又は児童の健全な育成の推進のために特 に必要がある場合であって、本人の法定代理人の同意を得る ことが困難であるときその他本人の法定代理人の同意を得な いことについて相当の理由があるとき。 (3) 公衆衛生の向上又は児童の健全な育成の推進のために特 に必要がある場合であって、本人の同意を得ることが困難で あるときその他本人の同意を得ないことについて相当の理由 があるとき。 (4) 国の機関若しくは地方公共団体又はその委託を受けた者 が法令の定める事務を遂行することに対して協力する必要が ある場合であって、本人の法定代理人の同意を得ることによ り当該事務の遂行に支障を及ぼすおそれがあるとき。 (4) 国の機関若しくは地方公共団体又はその委託を受けた者 が法令の定める事務を遂行することに対して協力する必要が ある場合であって、本人の同意を得ることにより当該事務の 遂行に支障を及ぼすおそれがあるとき。 (5)～(7) （略） (5)～(7) （略） (8) 本人との間の契約の履行のために必要やむを得ないこと が明らかである場合その他当該個人データの取得の状況から みて本人の権利利益を害しないことが明らかである場合とし て個人情報保護委員会規則で定める場合 (8) 本人との間の契約の履行のために必要やむを得ないこと が明らかである場合その他当該個人データの取得の状況から みて本人の意思に反しないため本人の権利利益を害しないこ とが明らかである場合として個人情報保護委員会規則で定め る場合 2 個人情報取扱事業者は、第三者に提供される個人データにつ いて、本人又はその法定代理人の求めに応じて当該本人が識別 される個人データの第三者への提供を停止することとしている 場合であって、次に掲げる事項について、個人情報保護委員会 規則で定めるところにより、あらかじめ、本人の法定代理人に 2 個人情報取扱事業者は、第三者に提供される個人データにつ いて、本人の求めに応じて当該本人が識別される個人データの 第三者への提供を停止することとしている場合であって、次に 掲げる事項について、個人情報保護委員会規則で定めるところ により、あらかじめ、本人に通知し、又は本人が容易に知り得 7 通知し、又は本人の法定代理人が容易に知り得る状態に置くと ともに、個人情報保護委員会に届け出たときは、前項の規定に かかわらず、当該個人データを第三者に提供することができ る。ただし、第三者に提供される個人データが要配慮個人情報 若しくは特定生体個人情報又は第 20 条第 1 項の規定に違反し て取得されたもの若しくは他の個人情報取扱事業者からこの項 本文の規定により提供されたもの（その全部又は一部を複製 し、又は加工したものを含む。）である場合は、この限りでな い。 る状態に置くとともに、個人情報保護委員会に届け出たとき は、前項の規定にかかわらず、当該個人データを第三者に提供 することができる。ただし、第三者に提供される個人データが 要配慮個人情報若しくは特定生体個人情報又は第 20 条第 1 項 の規定に違反して取得されたもの若しくは他の個人情報取扱事 業者からこの項本文の規定により提供されたもの（その全部又 は一部を複製し、又は加工したものを含む。）である場合は、 この限りでない。 (1)～(5) （略） (1)～(5) （略） (6) 本人又はその法定代理人の求めに応じて当該本人が識別 される個人データの第三者への提供を停止すること。 (6) 本人の求めに応じて当該本人が識別される個人データの 第三者への提供を停止すること。 (7) 本人又はその法定代理人の求めを受け付ける方法 (7) 本人の求めを受け付ける方法 (8) （略） (8) （略） 3 個人情報取扱事業者は、前項第 1 号に掲げる事項に変更が あったとき又は同項の規定による個人データの提供をやめたと きは遅滞なく、同項第 3号から第 5号まで、第 7号又は第 8号 に掲げる事項を変更しようとするときはあらかじめ、その旨に ついて、個人情報保護委員会規則で定めるところにより、本人 の法定代理人に通知し、又は本人の法定代理人が容易に知り得 る状態に置くとともに、個人情報保護委員会に届け出なければ ならない。 3 個人情報取扱事業者は、前項第 1 号に掲げる事項に変更が あったとき又は同項の規定による個人データの提供をやめたと きは遅滞なく、同項第 3号から第 5号まで、第 7号又は第 8号 に掲げる事項を変更しようとするときはあらかじめ、その旨に ついて、個人情報保護委員会規則で定めるところにより、本人 に通知し、又は本人が容易に知り得る状態に置くとともに、個 人情報保護委員会に届け出なければならない。 4 （略） 4 （略） 5 次に掲げる場合において、当該個人データの提供を受ける者 5 次に掲げる場合において、当該個人データの提供を受ける者 8 は、前各項の規定の適用については、第三者に該当しないもの とする。 は、前各項の規定の適用については、第三者に該当しないもの とする。 (1)・(2) （略） (1)・(2) （略） (3) 特定の者との間で共同して利用される個人データが当該 特定の者に提供される場合であって、その旨並びに共同して 利用される個人データの項目、共同して利用する者の範囲、 利用する者の利用目的並びに当該個人データの管理について 責任を有する者の氏名又は名称及び住所並びに法人にあって は、その代表者の氏名について、あらかじめ、本人の法定代 理人に通知し、又は本人の法定代理人が容易に知り得る状態 に置いているとき。 (3) 特定の者との間で共同して利用される個人データが当該 特定の者に提供される場合であって、その旨並びに共同して 利用される個人データの項目、共同して利用する者の範囲、 利用する者の利用目的並びに当該個人データの管理について 責任を有する者の氏名又は名称及び住所並びに法人にあって は、その代表者の氏名について、あらかじめ、本人に通知 し、又は本人が容易に知り得る状態に置いているとき。 6 個人情報取扱事業者は、前項第 3 号に規定する個人データの 管理について責任を有する者の氏名、名称若しくは住所又は法 人にあっては、その代表者の氏名に変更があったときは遅滞な く、同号に規定する利用する者の利用目的又は当該責任を有す る者を変更しようとするときはあらかじめ、その旨について、 本人の法定代理人に通知し、又は本人の法定代理人が容易に知 り得る状態に置かなければならない。 6 個人情報取扱事業者は、前項第 3 号に規定する個人データの 管理について責任を有する者の氏名、名称若しくは住所又は法 人にあっては、その代表者の氏名に変更があったときは遅滞な く、同号に規定する利用する者の利用目的又は当該責任を有す る者を変更しようとするときはあらかじめ、その旨について、 本人に通知し、又は本人が容易に知り得る状態に置かなければ ならない。 7 個人情報取扱事業者は、第 2 項本文の規定により個人データ を第三者（第16条第2項各号に掲げる者を除く。以下この条、 第 29 条第 1 項並びに第 30 条第 1 項及び第 2 項（第 31 条第 3 項において準用する場合を含む。）において同じ。）に提供す るときは、個人情報保護委員会規則で定めるところにより、あ らかじめ、次に掲げる事項の確認を行わなければならない。た 7 個人情報取扱事業者は、第 2 項本文の規定により個人データ を第三者（第16条第2項各号に掲げる者を除く。以下この条、 第 29 条第 1 項並びに第 30 条第 1 項及び第 2 項（第 31 条第 3 項において準用する場合を含む。）において同じ。）に提供す るときは、個人情報保護委員会規則で定めるところにより、あ らかじめ、次に掲げる事項の確認を行わなければならない。た 9 だし、当該個人データの全部が、当該個人情報取扱事業者が当 該個人データを取得した時点において本人の法定代理人、国の 機関、地方公共団体、学術研究機関等、第 57 条第 1 項各号に 掲げる者その他個人情報保護委員会規則で定める者により公開 されていたものである場合又はこれに準ずる場合として個人情 報保護委員会規則で定める場合は、この限りでない。 だし、当該個人データの全部が、当該個人情報取扱事業者が当 該個人データを取得した時点において本人、国の機関、地方公 共団体、学術研究機関等、第 57 条第 1 項各号に掲げる者その 他個人情報保護委員会規則で定める者により公開されていたも のである場合又はこれに準ずる場合として個人情報保護委員会 規則で定める場合は、この限りでない。 (1)・(2) （略） (1)・(2) （略） 8 （略） 8 （略） （外国にある第三者への提供の制限） （外国にある第三者への提供の制限） 第 28 条 個人情報取扱事業者は、外国（本邦の域外にある国又 は地域をいう。以下同じ。）（個人の権利利益を保護する上で 我が国と同等の水準にあると認められる個人情報の保護に関す る制度を有している外国として個人情報保護委員会規則で定め るものを除く。以下この節において同じ。）にある第三者（個 人データの取扱いについてこの節の規定により個人情報取扱事 業者が講ずべきこととされている措置に相当する措置（第 3 項 において「相当措置」という。）を継続的に講ずるために必要 なものとして個人情報保護委員会規則で定める基準に適合する 体制を整備している者を除く。以下この項及び次項並びに第31 条第 1 項第 2 号において同じ。）に個人データを提供する場合 には、前条第 1 項各号に掲げる場合を除くほか、あらかじめ外 国にある第三者への提供を認める旨の本人の法定代理人の同意 を得なければならない。この場合においては、同条の規定は、 第 28 条 個人情報取扱事業者は、外国（本邦の域外にある国又 は地域をいう。以下同じ。）（個人の権利利益を保護する上で 我が国と同等の水準にあると認められる個人情報の保護に関す る制度を有している外国として個人情報保護委員会規則で定め るものを除く。以下この節において同じ。）にある第三者（個 人データの取扱いについてこの節の規定により個人情報取扱事 業者が講ずべきこととされている措置に相当する措置（第 3 項 において「相当措置」という。）を継続的に講ずるために必要 なものとして個人情報保護委員会規則で定める基準に適合する 体制を整備している者 を除く。以下この項及び次項並びに第31 条第 1 項第 2 号において同じ。）に個人データを提供する場合 には、前条第 1 項各号に掲げる場合を除くほか、あらかじめ外 国にある第三者への提供を認める旨の本人の同意を得なければ ならない。この場合においては、同条の規定は、適用しない。 10 適用しない。 2 個人情報取扱事業者は、前項の規定により本人の法定代理人 の同意を得ようとする場合には、個人情報保護委員会規則で定 めるところにより、あらかじめ、当該外国における個人情報の 保護に関する制度、当該第三者が講ずる個人情報の保護のため の措置その他当該本人の法定代理人に参考となるべき情報を当 該本人の法定代理人に提供しなければならない。 2 個人情報取扱事業者は、前項の規定により本人の同意を得よ うとする場合には、個人情報保護委員会規則で定めるところに より、あらかじめ、当該外国における個人情報の保護に関する 制度、当該第三者が講ずる個人情報の保護のための措置その他 当該本人に参考となるべき情報を当該本人に提供しなければな らない。 3 個人情報取扱事業者は、個人データを外国にある第三者（第1 項に規定する体制を整備している者に限る。）に提供した場合 には、個人情報保護委員会規則で定めるところにより、当該第 三者による相当措置の継続的な実施を確保するために必要な措 置を講ずるとともに、本人又はその法定代理人の求めに応じて 当該必要な措置に関する情報を当該本人又はその法定代理人に 提供しなければならない。 3 個人情報取扱事業者は、個人データを外国にある第三者（第1 項に規定する体制を整備している者に限る。）に提供した場合 には、個人情報保護委員会規則で定めるところにより、当該第 三者による相当措置の継続的な実施を確保するために必要な措 置を講ずるとともに、本人の求めに応じて当該必要な措置に関 する情報を当該本人に提供しなければならない。 （個人情報に係る統計作成等の特例） （個人情報に係る統計作成等の特例） 第30条の2 個人情報取扱事業者は、統計作成等を行う目的（以 下この項及び第 5 項並びに第 31 条の 3 第 1 項において「統計 作成等目的」という。）又は第 5 項本文の規定による提供を行 う目的で現に公開されている要配慮個人情報を取り扱う必要が ある場合（当該要配慮個人情報を取り扱う目的の全部が統計作 成等目的又は当該提供を行う目的である場合に限る。）であっ て、インターネットの利用その他の個人情報保護委員会規則で 定める方法により当該個人情報取扱事業者の氏名又は名称、取 第30条の2 個人情報取扱事業者は、統計作成等を行う目的（以 下この項及び第 5 項並びに第 31 条の 3 第 1 項において「統計 作成等目的」という。）又は第 5 項本文の規定による提供を行 う目的で現に公開されている要配慮個人情報を取り扱う必要が ある場合（当該要配慮個人情報を取り扱う目的の全部が統計作 成等目的又は当該提供を行う目的である場合に限る。）であっ て、インターネットの利用その他の個人情報保護委員会規則で 定める方法により当該個人情報取扱事業者の氏名又は名称、取 11 得した要配慮個人情報を用いて行おうとする統計作成等の内容 又は同項本文の規定による提供を行う目的で当該要配慮個人情 報を取り扱う旨その他個人情報保護委員会規則で定める事項を 公表しているときは、第 20 条第 2 項の規定にかかわらず、当 該現に公開されている要配慮個人情報を本人の法定代理人の同 意を得ないで取得することができる。 得した要配慮個人情報を用い