日本个人信息保护委员会《关于〈个人信息保护法〉等部分修订法之政令・规则整备基本思路②（推进正当数据利用、与风险相适应的规范②）》（第370回委员会决定，2026年10月1日）

令和８年10月１日 個人情報保護委員会事務局 個⼈情報の保護に関する法律等の⼀部を改正する法律 政令・規則の整備に向けた基本的な考え方について② （適正なデータ利活⽤の推進、リスクに適切に対応した規律②） 今回の検討項目 １．適正なデータ利活⽤の推進 ① 統計作成等の特例 ２．リスクに適切に対応した規律 ① 委託先における個人データ等の適正な取扱い ② 漏えい等報告・本人通知義務 1 • 個人情報の保護に関する法律等の⼀部を改正する法律（令和⼋年法律第五⼗六号）による改正後 の個人情報の保護に関する法律（平成⼗五年法律第五⼗七号）（以下「改正法」という。）の内容 （適正なデータ利活⽤の推進、リスクに適切に対応した規律、不適正利⽤等防⽌、規律遵守の実効性 確保のための規律）のうち、下記の項目に係る政令・規則の基本的考え方を検討する。 • 他の項目（不適正利⽤等防⽌、規律遵守の実効性確保のための規律）やガイドライン等については 今後の委員会において順次検討する。 検討項目 今回の検討項目に関する 政令・規則の整備に向けた検討の前提となる 改正法の概要等 （過去の委員会等で報告・公表したものを踏まえたもの） 2 １－① 統計作成等の特例  現⾏規定では、信仰・病歴・犯罪歴などの差別につながり得る情報（要配慮個人情報）の取得（法第20条第2項）、個人デー タの第三者への提供（法第27条第1項）等については、例外規定に該当する場合を除き、本人の同意が必要。 個⼈情報取扱事業者 （第三者提供） 個⼈情報取扱事業者（Webスクレイピング等による 要配慮個人情報取得） 個⼈情報取扱事業者 （第三者提供） AI開発等の「統計情報等の作成」 AI開発等の「統計情報等の作成」 統計情報等の作成(*１)にのみ利⽤されることが担保されていること等を条件に、本⼈同意なき個⼈データ等の第三者提供(*２)及び 公開されている要配慮個⼈情報の取得を可能とする(*３) 。また、⾏政機関等の取り扱う保有個人情報についても同様に、利⽤目的 以外の目的のための提供に係る「統計の作成」の例外規定の対象を、統計情報等の作成に拡⼤する。 *１ 統計作成等であると整理できる AI 開発等を含む。 *２ 当初に特定した利用目的（法第17条）の達成に必要な範囲を超える第三者提供を含む。また、当該提供により提供先が本人同意なく要配慮個人情報を取得することも可能とする。 *３ 具体的な対象範囲や公表事項等は、制度が円滑に運用されるよう、改正の趣旨を踏まえつつ、委員会規則等で定めることを想定。  ⼀定の事項の公表（氏名・名称（取得者〔要配慮個人情報取得〕/提供元・提供先〔第三者提供〕）、⾏おうとする「統計情報等の作成等」の内容等）  「統計情報等の作成」のみを目的とした提供である旨の書面による提供元・提供先間の合意〔第三者提供〕  取得者及び提供先は目的外の利⽤及び第三者提供が禁⽌される〔要配慮個人情報取得(*４) 、第三者提供〕 等 「統計情報等の作成」にのみ利⽤されることを担保するための規律  統計情報等の作成のために複数の事業者が持つデータを共有し横断的に解析するニーズが高まっている。  特定の個人との対応関係が排斥された統計情報等の作成や利⽤はこれによって個人の権利利益を侵害するおそれが少ない。 *４ 「取得者」が、本例外規定に基づき第三者提供をすることは可能。 3 １－① 【補足１】統計作成等の特例（現に公開されている要配慮個⼈情報の取得） 4 委託先等 個人情報 取扱事業者 本人 「統計作成等」 (§2⑬)のためのみに利⽤ • 特定の個人との対応関係が排斥されたAIモデル・統計情報を作成する ⾏為のうち、以下の適切な体制を整備して⾏うもの ①目的外利⽤等防⽌、②違法な第三者提供防⽌、③適切な安全管 理措置、元データの復元防⽌等、➃不要になったデータの削除 安全管理措置(§23、§30-2⑭) 従業員監督 (§24 、§30-2⑭) 委託先監督 (§25 、§30-2⑭) 統計作成等に係る公表（§30-2①〜②） ①氏名・名称、②AI開発等の内容等、 ③規則で定める事項 ・ 透明性・検索性の高い公表⽅法 利⽤停⽌・消去請求(§35) 目的外利⽤の禁⽌ (§30-2④) 不適正利⽤の禁⽌ (§19) 越境移転規制 (§30-2⑤⑩⑫⑬) • 基準適合体制の整備 • 相当措置確保義務 • 公表義務 × 第三者提供の禁⽌ (§30-2⑩、⑪) 目的外利⽤の禁⽌ 第三者提供の禁⽌ 適切な体制整備 安全管理措置義務 従業員監督 委託先監督 不適正利⽤の禁⽌ 苦情処理 越境移転規制 「統計作成等目的で取り扱う必要が ある場合」のみ取得（§30-2①） 現に公開されている 要配慮個人情報 個⼈情報 取扱事業者 統計作成等の特例に基づく第三者 提供（§30-2⑤） 個⼈情報取扱事業者 苦情処理(§40) １－① 【補足２】統計作成等の特例（個⼈情報の第三者提供） 5 第三者提供の禁⽌ (§30-2⑤、⑩、⑪) 委託先 個人情報 取扱事業者「統計作成等目的で取り扱う必要がある 場合」のみ提供（§30-2⑤） • 侵害リスクの高いデータ • 統計作成等目的で不要 • 削除が技術的に困難でない場合提供不可 本人 「統計作成等」 (§2⑬)のためのみに利⽤ • 特定の個人との対応関係が排斥されたAIモデル・統計情報を作成する ⾏為のうち、以下の適切な体制を整備して⾏うもの ①目的外利⽤等防⽌、②違法な第三者提供防⽌、③適切な安全管 理措置、元データの復元防⽌等、➃不要になったデータの削除 従業員監督 (§24、 §30-2⑭) 委託先監督 (§25、 §30-2⑭) 統計作成等に係る公表（§30-2⑤） ①提供先等の氏名・名称、②AI開発等の 内容、③規則で定める事項 ・ 透明性・検索性の高い公表⽅法 統計作成等に係る公表（§30-2⑤〜⑥） ①提供先等の氏名・名称、②AI開発等の 内容、③規則で定める事項 ・ 透明性・検索性の高い公表⽅法 利⽤停⽌・消去請求 (§35) 苦情処理(§40) 合意等に基づき、 ①作成しようと する統計情報 等の内容、② 作成に必要な データ項目、③ 体制整備の内 容等について確 認・記録すること が望ましい 目的外利⽤の禁⽌ (§30-2⑨) 不適正利⽤の禁⽌ (§19) 越境移転規制 (§30-2⑤⑩⑫⑬) • 基準適合体制の整備 • 相当措置確保義務 • 公表義務 × 目的外利⽤の禁⽌ 第三者提供の禁⽌ 適切な体制整備 安全管理措置義務 従業員監督 委託先監督 不適正利⽤の禁⽌ 苦情処理 越境移転規制 安全管理措置(§23、§30-2⑭) 個人情報 越境移転規制 (§28①、§30-2⑤⑬) • 基準適合体制の整備 • 相当措置確保義務 • 公表義務 書面による合意（§30-2⑤(2)） 個⼈情報取扱事業者 （提供元） 個⼈情報取扱事業者 (提供先） 提供停⽌ 請求(§35) 苦情処理(§40) ２－① 委託先における個⼈データ等の適正な取扱い 6 （委託） 個⼈情報取扱事業者  現⾏規定では、個人データの取扱いの全部⼜は⼀部を委託する場合は、委託元は、その取扱いを委託された個人データの安全管 理が図られるよう、委託先に対する必要かつ適切な監督を⾏わなければならない（法第25条）。  具体的には、⾃らが講ずべき安全管理措置と同等の措置が講じられるよう、監督を⾏う必要がある（①適切な委託先の選定、②委託 契約の締結、③委託先における個人データ取扱状況の把握）。  個人データ等の取扱いについて、実質的に第三者に依存するケースが拡⼤。  委託元による委託先の監督等が⼗分に機能せず、委託先が委託された業務の範囲を超えて独⾃に個人データ等を利⽤する事案も⽣じている。 ●委託元（個人情報取扱事業者）が委託先を監督すること により適切な取扱いを担保。 ●委託先が個人情報取扱事業者である場合、委託先にも常 に法第４章の各義務規定の全てが適⽤。  取扱いを委託された個人データ等を当該委託を受けた業務の遂⾏に必要 な範囲を超えて取り扱ってはならない旨の義務を委託先に明文規定により 課す。  委託先が⾏政機関等である場合についても、同様の規律の整備を⾏う。 委託先としての義務 法令に基づく場合及び人命の救助、災害の救援その他非常の事態へ の対応のため緊急の必要がある場合には、例外的に委託先が独⾃の 判断で利⽤できることとすることを想定。 例外  委託契約において、取扱いの⽅法の全部について合意し、かつ委託先にお ける取扱いの状況を委託元が把握するために必要な措置等(*2)について合 意した場合は、当該委託先に対しては、法第４章の各義務規定の適⽤を 原則として免除。  委託を受けた業務の遂⾏に必要な範囲を超えて取り扱ってはならない旨の 義務及び安全管理に係る義務は適⽤。 委託先自らは取扱いの方法を決定しないケース (*1)における 委託先の個⼈情報取扱事業者等としての義務の免除 *１ 委託先が委託元から指示された方法で機械的に個人データ等を取り扱うのみの場合（委託先がデータ入力作業を委託され、委託元の指示に従って機械的に入 力作業を行う場合等）。 *２ 漏えい等が生じたことを知ったときに委託先が委託元に対して速やかにその旨を報告すること等を想定しているが、その他の具体的な内容は、制度が円滑に運 用されるよう、改正の趣旨を踏まえつつ、委員会規則等で定めることを想定。 委託の実態に合わ せた規律の整備 委託先 *2 報告基準についても整合性があるものとなるように整理を進める。 ２－② 漏えい等報告・本⼈通知義務 7 個⼈情報取扱事業者 個人データの漏えい等  現⾏法上、個人情報取扱事業者は、報告対象事態（規則第７条）が発⽣した場合には、委員会への報告（法第26条第１ 項）義務を負うこととなる。報告は、速報及び確報に分けて⾏うこととされている。  また、漏えい等報告の義務を負うときは、本人への通知が困難な場合を除き、⼀律に本人への通知義務を負うこととなる。  個人の権利利益侵害が発⽣するリスク等に応じて、漏えい等報告や本⼈通知の範囲・内容の合理化を検討すべきではないか。  本人への通知が⾏われなくても本人の権利利益の保護に⽋けるおそれが少ない場合があるのではないか。 個⼈情報保護委員会  サイバー攻撃対処能⼒強化法に基づく報告義務施⾏に併せて、共通様式 （ランサムウェア等）により報告が⾏われる場合の窓⼝を⼀元化する⽅向 でNCO（国家サイバー統括室）の下で所要の調整を(*2)進める。  体制・手順に係る認定個⼈情報保護団体などの第三者の確認を受けるこ と等を前提として、 • ⼀定の範囲で速報を免除することを可能とする。 • 漏えいした個人データに係る本人の数が１名である誤交付・誤送付のよ うなケースについては、委員会への報告のうち確報を、⼀定期間ごとに取り まとめた上で⾏うことを許容する。  違法な個人データの第三者提供についても報告対象事態にする。違法な第 三者提供については、⾏政機関等についても同様の改正を⾏うこととする。 本人への通知 漏えい等報告  本⼈への通知が⾏われなくても本⼈の権利利益の保護に⽋けるおそれが 少ない場合 (*1)について、本⼈への通知義務を緩和し、代替措置による 対応を認めることとする。  ⾏政機関等についても同様の改正を⾏うこととする。 *1 サービス利用者の社内識別子（ID）等、漏えいした情報の取得者において、そ れ単体ではおよそ意味を持たない情報のみが漏えいした場合などが想定。具 体的な対象範囲は、制度が円滑に運用されるよう、改正の趣旨を踏まえつつ、 委員会規則等で定めることを想定。 NCO 認定個⼈情報 保護団体等 体制・手順等 の確認 国会（衆議院）における附帯決議 ￥ 個人情報の保護に関する法律等の一部を改正する法律案に対する附帯決議 （令和８年５月21日衆議院地域活性化・こども政策・デジタル社会形成に関する特別委員会）（抄） 政府は、本法の施行に当たっては、次の諸点に留意し、その運用等について遺憾なきを期すべきである。 一（略） 二 欧州連合の一般データ保護規則をはじめとする諸外国の制度と の整合性に留意し、我が国における人工知能（ＡＩ）開発等を 含む研究開発及び事業活動が過度に萎縮することのないよう配慮すること。 三 ＡＩ開発等を含む統計作成等の取扱いについては、他の情報と照合して 特定の個人を識別することができないようにするため の措置を確実に講ずること。また、統計作成等の概念が限定的に解釈され、実質的な適用範囲が狭められることのないよう留意 すること。さらに、統計作成等に係る事項の公表については、本人が容易に知り得る状態に置かれるよう、個人情報取扱事業者 や行政機関の長等において公表するのみならず、個人情報保護委員会においても状況の把握に努め、必要な情報を公表するこ と。 四 個人情報取扱事業者による統計作成等を目的とする要配慮個人情報の取扱いに 際しては、漏えいや不適正な利用等による個人 の権利利益の侵害が生じないよう、十分な安全管理措置及び委託先の監督を徹底させること。 五〜九（略） 十 漏えい等の報告に係る本人への通知の代替措置が許容される場合について は、個人情報取扱事業者等の恣意的な判断、濫用及 び拡大解釈によって本人の権利利益が侵害されることのないよう、個人情報保護委員会規則によって具体的な対象範囲や判断基 準を明記すること。 十一〜十四（略） 8 １－① １－① ２－② １－① 国会（参議院）における附帯決議 ￥ 個人情報の保護に関する法律等の一部を改正する法律案に対する附帯決議 （令和８年７月８日参議院デジタル社会の形成及び人工知能の活用等に関する特別委員会）（抄） 政府は、本法の施行に当たり、次の諸点について適切な措置を講ずるべきである。 一（略） 二 我が国における人工知能（ＡＩ）開発等を含む研究開発及び事業活動が過度に萎縮す ることのないよう、また個人の権利利益 が適正に保護されるよう、欧州連合の一般データ保護規則を始めとする諸外国の制度との整合性を踏まえ、本法の統計作成等の 概念が適正に解釈されるよう留意すること。 三 ＡＩ開発等を含む統計作成等の取扱いについては、他の情報と照合するなどし て特定の個人を識別することができないように するための措置を確実に講ずること。その際、ＡＩモデル等が行う特定の個人の識別又は要配慮個人情報の推知のリスクを十分 に勘案すること。また、外国企業を含む個人情報取扱事業者や行政機関の長等による統計作成等に係る事項の公表については、 本人が容易に知り得る状態に置かれるよう、個人情報保護委員会においてモニタリングを行い、必要な情報を公表するととも に、報告徴収等を適宜実施するなどして適切な監督に万全を期すこと。 四 個人情報取扱事業者による統計作成等を目的とする要配慮個人情報の取扱いに 際しては、漏えいや不適正な利用等による個人 の権利利益の侵害が生じないよう、個人情報保護委員会による重点的な監督の対象とすること。特に、病歴等を含む要配慮個人 情報の第三者提供に関しては、医療分野の事情を踏まえたガイドラインを改正するなどして医師等の守秘義務や「人を対象とす る生命科学・医学系研究に関する倫理指針」等との関係等を明確に示すこと。また、他の法令において別段の定めがある場合に はこれを尊重し、その整合性の確保と事業者への周知徹底に努めること。 五〜九（略） 十 漏えい等の報告に係る本人への通知の代替措置が許容される場合について は、個人情報取扱事業者等の恣意的な判断、濫用及 び拡大解釈によって本人の権利利益が侵害されることのないよう、個人情報保護委員会規則によって具体的な対象範囲や判断基 準を明記すること。 十一〜十四（略） 右決議する。 9 １－① １－① ２－② １－① 10 政令・規則等で定める事項の全体像との関係① ガイドライン・Q&A委員会規則政令テーマ分類 基本的な考え⽅や具体 事例等を提⽰ ＊特に、取り扱う必要が ある場合の考え方を含む ・統計作成・AI開発等のうち個⼈の権利利益を害する おそれが少ないものについて規定（改正法第２条第13項） ・特例に関する公表の内容及び方法、基準適合体制 の内容等について規定（改正法第30条の２第１項・第３項 ただし書・第５項本文・同項第１号・第７項ただし書・第13項、 第31条の３第１項第１号・第３項、第９項、第72条の３第３項 ただし書・第７項ただし書） ― 統計作成等の特例 個人データ等の第三者提供及び公開されている 要配慮個人情報の取得について、統計情報等 の作成（※）にのみ利⽤される場合は本人同 意を不要とする。 （※）統計作成等であると整理できるAI開発等を 含む 適正な データ 利活⽤ の推進 同上 取得の状況からみて本人の意思に反しないため本人の 権利利益を害しないことが明らかである場合について規 定 （改正法第18条第３項第７号、第20条第２項第７号、第 27条第１項第８号） ― 目的外利⽤、要配慮個⼈情報取得及び第三 者提供に関する規律 ・取得の状況からみて本人の意思に反しない ため本人の権利利益を害しないことが明らか な取扱いである場合には、本人同意を不要 とする 同上 ＊公衆衛生の向上のた めに特に必要がある場 合の考え方を含む ―― ・⽣命等の保護⼜は公衆衛⽣の向上等のた めに個人情報を取り扱う場合における同意 取得困難性要件を緩和する 同上―― ・学術研究例外の対象である「学術研究機 関等」に、医療の提供を目的とする機関⼜ は団体が含まれることを明⽰する １－① 政令・規則等で定める事項の全体像との関係② ガイドライン・Q&A委員会規則政令テーマ分類 基本的な考え⽅や具体 事例等を提⽰ ・違法⾏為等の有無を問わない利⽤停⽌等請求の例 外事由である、取得の状況からみて⼦供本人の権利利 益を害しないことが明らかである場合について規定 （改正法第35条第９項第８号） ・違法⾏為等の有無を問わない利⽤停⽌等請求の例 外事由である、⼀定の主体により保有個人データが公開 されていた場合に関し、公開主体について規定 （改正法第35条第９項第９号） 違法⾏為等の有無 を問わない利⽤停 ⽌等請求の例外事 由について規定 （改正法第35条第９ 項第12号） ⼦供の個⼈情報の取扱いに関する規律 16歳未満の者が本人である場合、同意取得や 通知等について当該本人の法定代理人を対象 とすることを明文化し、当該本人の保有個人デー タの利⽤停⽌請求の要件を緩和するとともに、未 成年者の個人情報等の取扱い等について、本 人の最善の利益を優先して考慮すべき旨の責務 規定を設ける リスク に適切 に対応 した規 律 同上 ・周知⽅法及び周知事項について規定 （改正法第21条の２第1項柱書、同項第６号） ・違法⾏為等の有無を問わない利⽤停⽌等請求の例 外事由である、取得の状況からみて本人の意思に反しな いため本人の権利利益を害しないことが明らかである場 合について規定 （改正法第35条第７項第９号） ・規律の対象となる ⽣体データに係る身 体の⼀部の特徴に 係る情報について規 定 （改正法第16条５ 項） ・周知義務の例外 事由について規定 （改正法第21条の２ 第２項第４号） ・違法⾏為等の有 無を問わない利⽤ 停⽌等請求の例外 事由について規定 （改正法第35条第７ 項第10号） 顔特徴データ等に関する規律 顔特徴データ等について、その取扱いに関する⼀ 定の事項の周知を義務化し、利⽤停⽌等請求 の要件を緩和するとともに、オプトアウト制度に基 づく第三者提供を禁⽌する 同上 委託先の義務の免除の前提として委託契約において定 める事項及び契約の方法について規定 （改正法第58条 の２） ― 委託先における個⼈データ等の適正な取扱い 個人情報取扱事業者等からデータ処理等の委 託を受けた事業者に対する個人データ等の適正 な取扱いに係る義務の⾒直しを⾏う 同上 ・本⼈への通知が⾏われなくても本⼈の権利利益の保 護に⽋けるおそれが少ない場合について規定 （改正法第26条第２項、第68条２項１号） ・⼀定の範囲での速報の免除や⼀定期間ごとに取りま とめた確報の許容及び違法な個⼈データの第三者提 供についても報告対象事態とすることについて規定 （改正法第26条第１項） ― 漏えい等報告・本⼈通知義務の緩和 漏えい等発⽣時について、本人の権利利益の保 護に⽋けるおそれが少ない場合は、本人への通 知義務を緩和する 11 ２－① ２－② 12 今回の検討項目に関する 政令・規則の整備に向けた 基本的な考え方 13 １ー① 統計作成等の特例 14 委託先等 個人情報 取扱事業者 本人 「統計作成等」 (§2⑬)のためのみに利⽤ 安全管理措置(§23、§30-2⑭) 従業員監督 (§24 、§30-2⑭) 委託先監督 (§25 、§30-2⑭) 統計作成等に係る公表（§30-2①〜②） ①氏名・名称、②AI開発等の内容等、③規則で定める事項 ⇒公表⽅法等は 規則委任事項 利⽤停⽌・消去請求(§35) 目的外利⽤の禁⽌ (§30-2④) 不適正利⽤の禁⽌ (§19) 第三者提供の禁⽌ (§30-2⑩、⑪) 目的外利⽤の禁⽌ 第三者提供の禁⽌ 適切な体制整備 安全管理措置義務 従業員監督 委託先監督 不適正利⽤の禁⽌ 苦情処理 越境移転規制 「統計作成等目的で取り扱う必要が ある場合」のみ取得（§30-2①） 現に公開されている 要配慮個人情報 個⼈情報 取扱事業者 統計作成等の特例に基づく 第三者提供（§30-2⑤） 個⼈情報取扱事業者 苦情処理(§40) 公開されている要配慮個人情報の取得について、⼀定の事項を公表する等の要件を満たす限りにおいて、統計情報等 の作成にのみ利⽤される場合は本人同意を不要とするもの （改正法第30条の２第１項） 統計の作成その他の⼤量の情報から当該情報を構成する要素に係る情報を抽出して分類、⽐較その他の解析を⾏うことにより、当該⼤量の情報の傾向⼜ は性質に係る情報（個人に関する情報であるものを除く。）を作成する⾏為のうち、個⼈の権利利益を害するおそれが少ないものとして規則で定めるもの 統計作成等の定義（改正法第２条第13項） １－① 統計作成等の特例 （現に公開されている要配慮個人情報の取得） ⇒統計作成等の要件は規則委任事項 ⇒基準適合体制の基準等は 規則委任事項 越境移転規制 (§30-2⑤⑬等) • 基準適合体制の整備 • 相当措置確保義務 • 公表義務 ㋐ • 特定の個人との対応関係が排斥されたAIモデル・統計情報を作成する⾏ 為のうち、以下の適切な体制を整備して⾏うもの ①目的外利⽤等防⽌、②違法な第三者提供防⽌、③適切な安全管 理措置、元データの復元防⽌等、➃不要になったデータの削除 ㋓ ㋑ × × １－① 統計作成等の特例 （個人データ等の第三者提供） 15 個人データ等 (*) の第三者提供について、⼀定の事項を公表する等の要件を満たす限りにおいて、統計情報等の作成に のみ利⽤される場合は本人同意を不要とするもの （改正法第30条の２第５項、第31条の３第１項） 第三者提供の禁⽌ 委託先 個人情報 取扱事業者「統計作成等」を⾏う目的で 取り扱う必要がある場合のみ提供 • 侵害リスクの高いデータ • 統計作成等目的で不要 • 削除が技術的に困難でない場合提供不可 本人 「統計作成等」 のためのみに利⽤ ⇒統計作成等の要件は規則委任事項 • 特定の個人との対応関係が排斥されたAIモデル・統計情報を作成する ⾏為のうち、以下の適切な体制を整備して⾏うもの ①目的外利⽤等防⽌、②違法な第三者提供防⽌、③適切な安全管 理措置、元データの復元防⽌等、➃不要になったデータの削除 従業員監督 委託先監督 統計作成等に係る公表（§30-2⑤） ⇒公表⽅法・公表事項等は規則委任事項 利⽤停⽌・消去請求 苦情処理 合意等に基づき、 ①作成しようと する統計情報 等の内容、 ②作成に必要 なデータ項目、 ③体制整備の 内容等について 確認・記録する ことが望ましい 目的外利⽤の禁⽌ 不適正利⽤の禁⽌ 越境移転規制 (§30-2⑤⑬) • 基準適合体制の整備 • 相当措置確保義務 • 公表義務 目的外利⽤の禁⽌ 第三者提供の禁⽌ 適切な体制整備 安全管理措置義務 従業員監督 委託先監督 不適正利⽤の禁⽌ 苦情処理 越境移転規制 安全管理措置個人情報 越境移転規制 (§28①、§30-2⑤⑬) • 基準適合体制の整備 • 相当措置確保義務 • 公表義務 個⼈情報取扱事業者 （提供元） 個⼈情報取扱事業者 (提供先） 提供停⽌ 請求 苦情処理 統計の作成その他の⼤量の情報から当該情報を構成する要素に係る情報を抽出して分類、⽐較その他の解析を⾏うことにより、当該⼤量の情報の傾向⼜は 性質に係る情報（個人に関する情報であるものを除く。）を作成する⾏為のうち、個⼈の権利利益を害するおそれが少ないものとして規則で定めるもの 統計作成等の定義（改正法第２条第13項） 書面による合意 ⇒基準適合体制の基準等は 規則委任事項 個人データの第三者提供に係る記録義務（§29①等） ⇒記録事項等は 規則委任事項 *個人データ、個人データでない個人情報及び個人関連情報。 統計作成等に係る公表（§30-2⑤） ⇒公表⽅法・公表事項等は規則委任事項 個人データの第三者提供に係る記録義務（§30③等） ⇒記録事項等は 規則委任事項 ⇒基準適合体制の基準等は 規則委任事項 ㋐ ㋓ ㋓ ㋑ ㋒ ㋑ ㋒ １ー① 規則委任事項 16 ○改正法（以下、特段の記載のない限り条文は同法の条文。） （定義） 第二条 （略） ２～１２ （略） １３ この法律において「統計作成等」とは、統計の作成その他の大量の情報から当該情報を構成する要素に係る情報を抽出して分類、比較その他 の解析を行うことにより、当該大量の情報の傾向又は性質に係る情報（個人に関する情報であるものを除く。）を作成する行為のうち、個⼈の権利 利益を害するおそれが少ないものとして個⼈情報保護委員会規則で定めるものをいう。 ㋐ 「統計作成等」の要件 ⇒統計情報等の作成にのみ利⽤されることを担保するため、特例の対象となる⾏為（「統計作成等」）は規則で定めるもの （ 「個⼈の権利利益を害するおそれの少ないもの」）に限定 ㋑ 公表方法及び公表事項 （個人情報に係る統計作成等の特例） 第三十条の二 （略） ２～４ （略） ５ 個人情報取扱事業者は、第三者（…中略…）が個人情報（…中略…）を統計作成等目的で取り扱う必要がある場合（…中略…）であって、次の各号 のいずれにも該当するときは、第十八条及び第二十七条第一項の規定にかかわらず、当該個人情報を本人の同意を得ないで当該第三者に提供 することができる。（…中略…） 一 当該個人情報取扱事業者及び当該第三者が、インターネットの利⽤その他の個⼈情報保護委員会規則で定める方法により、当該個人情報取 扱事業者及び当該第三者の氏名又は名称、行おうとする統計作成等の内容その他個⼈情報保護委員会規則で定める事項を公表しているこ と。 二 （略） ６ （略） ７ 特例個人情報受領者は、第五項第一号の個人情報保護委員会規則で定める方法により当該特例個人情報受領者及び同項本文の規定により 当該特例個人情報受領者に対する個人情報の提供を行った個人情報取扱事業者の双方が前項の規定により公表されている事項を変更する旨 及び当該変更の内容をあらかじめ公表する場合に限り、当該事項を変更することができる。ただし、当該特例個人情報受領者の氏名又は名称そ の他個⼈情報保護委員会規則で定める事項を変更するときは、この限りでない。 ８～１４ （略） ⇒統計作成等の特例に依拠する場合に求められる⼀定事項の公表に関して、具体的な公表方法及び公表事項は規則委任事項 （個人情報に係る統計作成等の特例） 第三十条の二 （略） ２～４ （略） ５ 個人情報取扱事業者は、第三者（個人情報取扱事業者又は行政機関の長等（…中略…）（これらの者が外国にある者である場合にあっては、個 ⼈情報、仮名加⼯情報、匿名加⼯情報及び個⼈関連情報（...中略...）の取扱いについてこの章の規定により個⼈情報取扱事業者、仮名加⼯情 報取扱事業者、匿名加⼯情報取扱事業者及び個⼈関連情報取扱事業者（以下「個⼈情報取扱事業者等」という。）が講ずべきこととされている措 置に相当する措置（第十三項及び第三十⼀条の三第九項において「相当措置」という。）を継続的に講ずるために必要なものとして個⼈情報保護委 員会規則で定める基準に適合する体制（第十三項及び第三十一条の三第九項において「基準適合体制」という。）を整備している者に限る。（…中 略…））である者に限る。（…中略…））が個人情報（…中略…）を統計作成等目的で取り扱う必要がある場合（…中略…）であって、次の各号のいずれ にも該当するときは、第十八条及び第二十七条第一項の規定にかかわらず、当該個人情報を本人の同意を得ないで当該第三者に提供すること ができる。（…中略…） 一・二 （略） ６～１２ （略） １３ 第五項本文の規定により個人情報を基準適合体制を整備している外国にある第三者に提供し（…中略…）た個人情報取扱事業者は、個⼈情報 保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、当該必要な措 置に関する情報を公表しなければならない。この場合においては、第二十八条第三項の規定は、適用しない。 １４ （略） （第三者提供に係る記録の作成等） 第二十九条 個人情報取扱事業者は、個人データを第三者に提供したときは、個⼈情報保護委員会規則で定めるところにより、当該個人データを 提供した年月日、当該第三者の氏名又は名称その他の個⼈情報保護委員会規則で定める事項（第二十七条第七項の規定による確認が行われ た場合にあっては、当該事項及び同項第二号に掲げる事項）に関する記録を作成しなければならない。 ２ （略） （第三者提供を受ける際の確認等） 第三十条 （略） ２ （略） ３ 個人情報取扱事業者は、第一項の規定による確認を行ったときは、個人情報保護委員会規則で定めるところにより、当該個人データの提供を受 けた年月日、当該確認に係る事項その他の個⼈情報保護委員会規則で定める事項に関する記録を作成しなければならない。 ４ （略） １ー① 規則委任事項 17 ⇒統計作成等の特例に基づく個人データの第三者提供時の記録事項は規則委任事項 ㋓ 基準適合体制等 ⇒統計作成等の特例に基づいて個人情報等を外国にある第三者に提供する場合の「基準適合体制」「必要な措置」「当該必要な措 置に関する情報」の具体的内容は規則委任事項 ㋒ 第三者提供時の記録事項 18 ㋐ 「統計作成等」の要件関連 • 個⼈情報を特定の個⼈との対応関係が排斥された統計情報やＡＩモデル（以下「統計 情報等」という。）の作成のために利⽤する⾏為は、個⼈の権利利益に直接的な影響 が⽣じず、これによって個⼈の権利利益が害されるおそれが少ないものといえる。統計作 成等の特例は、このような統計情報等の作成のみを⾏おうとする場合に限り、個人情報の 取得・提供に係る本人の関与（同意）を不要とするもの。 • 特例の対象となる⾏為は「統計作成等」と定義されており、その具体的範囲は規則におい て、このような統計情報等を作成する⾏為のうち「個⼈の権利利益を害するおそれが少な いもの」に限定することとされている。 • これは、個人情報が統計情報等の作成のみに利⽤される限り、個人の権利利益に直接的 な影響は⽣じず、その取扱いによって個人の権利利益が害されるおそれは少ないといえる⼀ ⽅、その担保が十分でなければ依然として個⼈の権利利益を害するおそれが少ないとは いえず、その取得・提供に本人関与を求める必要があることから、特例の対象となる⾏為を 必要かつ適切な担保措置を講じた上で⾏われる⾏為に限定する趣旨のもの。 １－①－㋐ 規則の整備に向けた基本的な考え方 （「統計作成等」の要件関連） 基本的な考え方 19 論点１ 「個⼈の権利利益を害するおそれが少ないもの」として、作成⾏為において講ずべき 担保措置としてどのような要件を規定すべきか。 →特例に基づいて取得・提供された個人情報等が、統計情報等の作成のためのみに利⽤さ れることを担保する観点から(*１)、例えば、当該個人情報等について以下の措置を講じた上 で⾏われる⾏為であることを要件としてはどうか。 • 統計情報等の作成に必要な範囲を超えた目的外利⽤・第三者提供を防⽌するため に必要かつ適切な措置(*２) • 漏えい（統計情報等からの復元等を含む）の防⽌その他の当該個⼈情報等の安 全管理のために必要かつ適切な措置(*２) • 統計情報等の作成に利⽤する必要がなくなった個⼈情報等を遅滞なく消去するため に必要かつ適切な措置 *１ 法律上、特例に基づいて取得・提供された個人情報等が統計情報等の作成のためのみに利⽤されることを担保するための規定として、目的外利⽤の 禁⽌（改正法第30条の２第４項等）、第三者提供の禁⽌（改正法第30条の２第10項等）、漏えいの防⽌等の安全管理措置義務（改正 法第23条・第30条の２第14項等）等が規定されている。 *２ 例えば、組織体制の整備やＰＥＴｓの利⽤などの措置を、リスク評価に基づいて適切に実施し、記録することなどが考えられる。 １－①－㋐ 規則の整備に向けた論点と方向性 （「統計作成等」の要件関連） 20 論点２ 「統計の作成その他の⼤量の情報から当該情報を構成する要素に係る情報を抽出 して分類、⽐較その他の解析を⾏うことにより、当該⼤量の情報の傾向⼜は性質に係る情 報（個⼈に関する情報であるものを除く。）を作成する⾏為」のうち、「個⼈の権利利益を 害するおそれが少ないもの」に当たらないものとして除外・限定すべきものはあるか。 １－①－㋐ 規則の整備に向けた論点と方向性 （「統計作成等」の要件関連（続き）） →個人の権利利益に対する直接的な影響が⽣じないという制度趣旨に鑑み、例えば、学習 データを増やす目的で、特例に基づいて取得・受領した個人情報等に含まれる記述等を利 ⽤して本人に働きかけ、その反応等のデータを得る場合など、統計情報等の作成の過程で 個⼈に直接影響を及ぼす手法を伴うものは制限してはどうか。 →その他、対象から除外・限定すべきものはあるか。 21 １－①－㋑ 規則の整備に向けた基本的な考え方 （公表⽅法及び公表事項関連） ㋑ 公表方法及び公表事項関連 • 統計作成等の特例に基づく個⼈情報の取扱いの概要について透明性を確保することで、本⼈や社 会がその是非を判断するための環境を整備し、これを通じて事業者における適正な取扱いを促進す るとともに、個⼈情報保護委員会による監督の端緒を開く観点から、統計作成等の特例に依拠する 事業者には、⼀定の事項の公表を義務付けることとしているものであり、具体的な公表の⽅法及び公 表事項は規則において定めることとされている。 • 公表方法については、このような公表の趣旨を踏まえ、透明性・検索性の⾼い手法を定めることが求 められる。 • 公表事項については、法律において、特例に基づく提供の当事者を⽰す「当該個人情報取扱事業 者及び当該第三者の氏名⼜は名称」や、提供の目的を⽰す「⾏おうとする統計作成等の内容」が定 められているが、このほか本⼈や社会が個⼈情報の取扱いの是非を判断するために透明性を確保 するべき事項を規則で定めることが求められる。 • 公表事項の変更に関して、「⾏おうとする統計作成等の内容」等、特例に基づく取扱いの内容に関 わる実質的な事項については、柔軟な変更を認めれば公表の趣旨を損ないかねないことから、再度 特例に基づいて提供しなおす場合に準じ、提供元と提供先の双方があらかじめ公表することを変更 の要件としている。 （注）提供元が変更内容等の公表に応じない限り、提供先は公表事項を変更できない。 • ⼀⽅、事業者の名称等、形式的な事項については、その柔軟な変更を認めたとしても、それが適時 に公表されるのであれば、上記公表制度の趣旨を損なうものではないため、提供先が単独で速や かに公表することを条件に変更できることとしている（簡易な変更）。 簡易な変更の対象となる公表事項の具体的な範囲を規則で定めるに際しては、このような趣旨を踏 まえたものとする必要がある。 基本的な考え方 22 １－①－㋑ 規則の整備に向けた論点と方向性 （公表⽅法及び公表事項関連） 論点３ 公表方法として、どのような方法を規定すべきか。 →透明性・検索性の高い⽅法とする観点から、例えば、事業者が⾃社のウェブサイトに公表する⽅法で あって、以下の要件を満たすものとしてはどうか。 • ⼀つのウェブページに公表事項を全て掲載するものであること。 • クローリング等を防⽌する措置を講じていないものであること。 • 検索等を通じて把握しやすくするための特定のキーワードを含むものであること。 • 不特定多数の者が認識するのに必要な期間をおいているものであること。 →上記のほか、透明性・検索性の高い公表⽅法として、どのような⽅法が考えられるか。 例えば委員会が指定するウェブサイトで公表する方法について、どのように考えるか。 論点４ 公表事項として、どのような事項を規定すべきか。 →本人や社会が個人情報の取扱いの是非を判断するために透明性を確保するべき事項として、法律にお いて、⾏おうとする統計作成等の内容並びに取得者⼜は提供元及び提供先の事業者の氏名⼜は 名称が公表事項とされているが、ほかにどのような事項を規定すべきか。 →法律上定められた公表事項も踏まえ、例えば以下の観点から公表事項を検討してはどうか。 • 取得者・提供元・提供先の事業者に関する事項(*１) • 対象情報の内容に関する事項(*２) • 取得・提供⾏為の内容に関する事項(*３) • 提供先が⾏う取扱いに関する事項(*４) • 本⼈の権利⾏使のために必要な事項(*５) *１ 例えば、事業者の氏名⼜は名称のほか、住所や代表者の氏名等 *２ 例えば、個人情報の概要、性質、項目等 *３ 例えば、取得・提供の時期等 *４ 例えば、⾏おうとする統計作成等の内容のほか、取得者・提供先 が当該個人情報の取扱いを予定している期間等 *５ 例えば、取得者・提供先に対する苦情の申出先、提供先の公表 ページのURL、提供元による個人情報の取得の経緯等 23 １－①－㋑ 規則の整備に向けた論点と方向性 （公表⽅法及び公表事項関連（続き）） 論点５ 公表事項のうち、簡易な変更の対象をどの事項とすべきか。 →簡易な変更の対象として、法律において、取得者・提供先事業者の氏名⼜は名称が挙げ られているが、ほかにどのような事項を対象とすべきか。 →取扱いの実態に実質的な変更が⽣じるか否か、変更に際して提供元の承諾を要することと するか否か等の観点を踏まえ、例えば、以下の事項については、簡易な変更の対象としてはど うか。 • 取得者・提供元・提供先の事業者に関する事項 (*１) • 本⼈の権利⾏使のために必要な事項 (*２) • 提供先が⾏う取扱いに関する事項の中の⼀部の軽微な事項(*３) *１ 例えば、提供元の事業者の氏名⼜は名称や、取得者⼜は提供元及び提供先の事業者の住所、代表者の氏名等 *２ 例えば、取得者・提供先に対する苦情の申出先等 *３ 例えば、取得者・提供先が当該個人情報の取扱いを予定している期間等の軽微な事項 24 • 現⾏の個人情報の保護に関する法律（平成⼗五年法律第五⼗七号）（以下「現⾏ 法」という。）上、トレーサビリティを確保し、違法なデータ流通を防⽌するため、個人デー タを第三者に提供した場合には提供先等に係る事項を記録することが義務付けられており （現⾏法第29条）、また、第三者から個人データの提供を受ける場合には、提供元等に 係る事項を確認した上で、記録することが義務付けられている（現⾏法第30条）。また、 本⼈が事業者の違法な取扱いを把握して利⽤停⽌等請求を⾏うことを容易にするため、 これらの記録は開⽰請求の対象となっている（現⾏法第33条第１項・第５項）。 • 例えば、同意に基づく提供(現⾏法第27条第１項等)やオプトアウト制度に基づく提供 （現⾏法同条第２項）の場合、提供の年⽉⽇、第三者の氏名等、本⼈の氏名等及び 個⼈情報等の項目、提供先の目的、提供される個⼈情報等の取得の経緯、同意・公 表・情報提供等の提供の要件に係る事実等が記録事項とされている。 • 個人データの第三者提供が統計作成等の特例に基づく場合であっても、同様にこれらの義 務の対象となるため、規則において、上記観点を踏まえて記録事項を定める必要がある。 １－①－㋒ 規則の整備に向けた基本的な考え方 （第三者提供時の記録事項関連） ㋒ 第三者提供時の記録事項関連 基本的な考え方 25 １－①－㋒ 規則の整備に向けた論点と方向性 （第三者提供時の記録事項関連） 論点６ 第三者提供時の記録事項として、どのような事項を規定すべきか。 →同意やオプトアウト制度に基づく提供の場合における記録事項と同様に、例えば、以下の事項を記録す ることとしてはどうか。 • 個人データを提供した年⽉⽇ • 提供元⼜は提供先の事業者の氏名⼜は名称及び住所並びに法⼈代表者の氏名 • 提供された個人データの本⼈を特定するに足りる事項 • 提供された個⼈データの項目 • 提供先の事業者にあっては、提供元の事業者による個⼈データの取得の経緯 →また、違法なデータ流通を防⽌する観点及び本人が開⽰請求を⾏うことで事業者の違法な取扱いを把 握して利⽤停⽌等請求を⾏うことを容易にする観点から、例えば、以下の事項を記録することとしてはど うか。 • 統計作成等の特例において求められる各要素に関する事項  ⾏おうとする統計作成等の内容  提供された個人データが統計情報等の作成のためのみに利⽤されることを担保するために 提供先が講じる措置の概要  統計作成等の特例の規定に基づく合意及び公表が⾏われている旨 • その他本⼈の事後的な権利⾏使に資する事項  提供先に対する苦情の申出先  提供先が個人データの取扱いを予定している期間 26 • 現⾏法上、外国にある第三者への個⼈データの提供については、提供先の第三者の所 在する国⼜は地域において我が国と同等の⽔準の個⼈情報の保護に関する制度が存 在しないリスク等を踏まえた上乗せの規律が設けられており、基準適合体制の整備及び相 当措置の継続的な実施を確保するために必要な措置等が求められている（越境移転規 制。現⾏法第28条）。 • 統計作成等の特例に基づく第三者提供の場合であっても、上記リスク等は同様に妥当する ため、引き続き現⾏法上の越境移転規制（改正法第28条）が適⽤されている。 • もっとも、統計作成等の特例の下においては、個⼈データのみならず、特定の個人との対 応関係が排斥された統計情報等に至る前の「個⼈に関する情報」全般について規律を及 ぼす必要があることから、基準適合体制の対象も「個⼈に関する情報」全般に拡⼤する 必要がある。そこで、統計作成等の特例に基づく第三者提供の要件として、改正法第28 条に重ねて、提供先が上記拡⼤された基準適合体制を整備している者であることを求め ることとしている。 • 基準適合体制の「基準」や、相当措置の継続的な実施を確保するために「必要な措置」、 公表すべき「当該必要な措置に関する情報」を規則で定めるに当たっては、上記観点を踏 まえて定める必要がある。 １－①－㋓ 規則の整備に向けた基本的な考え方 （基準適合体制等関連） ㋓ 基準適合体制等関連 基本的な考え方 27 １－①－㋓ 規則の整備に向けた論点と方向性 （基準適合体制等関連） 論点７ 基準適合体制の「基準」、相当措置の継続的な実施を確保するために「必要な措 置」及び「当該必要な措置に関する情報」として、どのような事項を規定すべきか。 →現⾏規則上、個人データの越境移転規制（現⾏法第28条）の場合に関しては、それぞれ次のよう に定められている。  基準適合体制の「基準」 個人データの取扱いについて適切かつ合理的な⽅法により個人情報保護法の規定の趣旨に 沿った措置の実施が確保されているか、⼜は個人情報の取扱いに係る国際的な枠組みに基づく 認定を受けていること（規則第16条）。  相当措置の継続的な実施を確保するために「必要な措置」 相当措置の実施状況等の定期的な確認のほか、当該相当措置の継続的な実施の確保が困 難となったときは、個人データの提供を停⽌すること等（規則第18条第1項）。  「当該必要な措置に関する情報」 基準適合体制の整備の⽅法、相当措置の概要、当該外国の名称等（規則第18条第３項） →以上につき、その対象を「個人に関する情報」全般（＝「個人情報等」）に拡⼤した規定を整備する 必要があるのではないか。 ○佐脇政府参考人 規則におきましては、取得した個人情報等につきまして、目的外利⽤及び第三者提供を防⽌するために必要かつ適切な措置、それから 漏えいの防⽌、その他の安全管理のために必要かつ適切な措置、そしてＡＩモデル等から出⼒⼜は復元されることを防⽌するために必要か つ適切な措置を講ずるよう求めることとしてございます。 28 ○令和８年５月21日 衆議院 地域活性化・こども政策・デジタル社会形成に関する特別委員会 １ 国会審議 ○政府参考人（小川久仁子君） 本特例の対象となる統計作成等につきましては、個人の権利利益を害するおそれが少ないものに限定する観点から、委員会規則に おいてより具体的に目的外利⽤の禁⽌、また違法な第三者提供の禁⽌、また安全管理のために必要かつ適切な措置、不要なデータ項 目を随時削除するために必要かつ適切な措置などを講ずることを求めることを想定しておりまして、制度全体としてＧＤＰＲと同等の保護 ⽔準が図られる規律となるものと想定をしております。 ○令和８年６月９日 参議院 厚⽣労働委員会 ○政府参考人（佐脇紀代志君） そのために公表項目として特定の文言を規定した上で、公表方法としても、単⼀のウェブページにおいて、クローリングを防⽌するための 措置を講じずに掲載することで、機械的な検索を可能にするといったような、透明性・検索性の⾼い公表の方法を、委員会規則で定めてい きたいというように思ってございます。 ○令和８年６月24日 参議院 デジタル社会の形成及び人工知能の活⽤等に関する特別委員会 １－① 参考資料１ ○佐脇政府参考人 具体的な公表方法につきましては、先ほど来大臣からも他の質疑者に対して御答弁していただいておりますけれども、透明性、検索 性の⾼い公表の方法をしっかり勉強しまして、具体的な方法を委員会規則で定めてまいりたいと思います。 （出典）第221回国会 衆議院 地域活性化・こども政策・デジタル社会形成に関する特別委員会 第8号 令和8年5月21日 （出典）第221回国会 参議院 厚生労働委員会 第11号 令和8年6月9日 ○政府参考人（佐脇紀代志君） どういったデータが必要で、必要な限り提供しているということをしっかり説明するという意味では、今おっしゃった、住所はいらないとか、名 前も要らないとか、そういうことが分かるように公表するのが、法の趣旨に即した方法であろうかというふうに認識はしております。 （出典）第221回国会 参議院 デジタル社会の形成及び人工知能の活用等に関する特別委員会 第7号 令和8年6月24日 29 ○衆議院における附帯決議（⼀部抜粋） 二 欧州連合の⼀般データ保護規則をはじめとする諸外国の制度との整合性に留意し、我が国における⼈⼯知能（ＡＩ）開発等を含む 研究開発及び事業活動が過度に萎縮することのないよう配慮すること。 三 ＡＩ開発等を含む統計作成等の取扱いについては、他の情報と照合して特定の個⼈を識別することができないようにするための措置 を確実に講ずること。また、統計作成等の概念が限定的に解釈され、実質的な適⽤範囲が狭められることのないよう留意すること。さら に、統計作成等に係る事項の公表については、本人が容易に知り得る状態に置かれるよう、個人情報取扱事業者や行政機関の長 等において公表するのみならず、個人情報保護委員会においても状況の把握に努め、必要な情報を公表すること。 四 個人情報取扱事業者による統計作成等を目的とする要配慮個人情報の取扱いに際しては、漏えいや不適正な利⽤等による個⼈の 権利利益の侵害が⽣じないよう、十分な安全管理措置及び委託先の監督を徹底させること。 ○参議院における附帯決議（⼀部抜粋） 二 我が国における⼈⼯知能（ＡＩ）開発等を含む研究開発及び事業活動が過度に萎縮することのないよう、また個⼈の権利利益が 適正に保護されるよう、欧州連合の⼀般データ保護規則を始めとする諸外国の制度との整合性を踏まえ、本法の統計作成等の概念が 適正に解釈されるよう留意すること。 三 ＡＩ開発等を含む統計作成等の取扱いについては、他の情報と照合するなどして特定の個⼈を識別することができないようにするため の措置を確実に講ずること。その際、ＡＩモデル等が⾏う特定の個⼈の識別⼜は要配慮個⼈情報の推知のリスクを十分に勘案するこ と。また、外国企業を含む個人情報取扱事業者や行政機関の長等による統計作成等に係る事項の公表については、本人が容易に 知り得る状態に置かれるよう、個人情報保護委員会においてモニタリングを行い、必要な情報を公表するとともに、報告徴収等を適 宜実施するなどして適切な監督に万全を期すこと。 ２ 附帯決議 １－① 参考資料２ 30 ３ 現⾏制度における参考例（⼀定の事項について公表等を求める場合） 一 第三者への提供を行う個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代 表者の氏名 二 第三者への提供を利用目的とすること。 三 第三者に提供される個人データの項目 四 第三者に提供される個人データの取得の方法 五 第三者への提供の方法 六 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。 七 本人の求めを受け付ける方法 八 その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則で定める事項 現行法第27条第 ２項各号 オプトアウト制度 一定の事項について公表等 を求める場合の例 一 第三者に提供される個人データの更新の方法 二 当該届出に係る個人データの第三者への提供を開始する予定日 個人情報の保護に 関する法律施行規 則第11条第４項各 号 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに 共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個 人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の 氏名（・・・中略・・・） 現行法第27条 第５項第３号 共同利用 一 当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名 二 全ての保有個人データの利用目的（第二十一条第四項第一号から第三号までに該当する場合を除く。） 三 第三十七条第一項に規定する開示等の請求等に応じる手続（第三十八条第一項の規定により手数料を 徴収する場合は、その手数料の額を含む。） 四 前三号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定 めるもの 現行法第32条第 １項各号 保有個人データに関する事項の公表等 一 法第二十三条の規定により保有個人データの安全管理のために講じた措置（本人の知り得る状態（本人 の求めに応じて遅滞なく回答する場合を含む。）に置くことにより当該保有個人データの安全管理に支障 を及ぼすおそれがあるものを除く。） 二 当該個人情報取扱事業者が行う保有個人データの取扱いに関する苦情の申出先 三 当該個人情報取扱事業者が認定個人情報保護団体の対象事業者である場合にあっては、当該認定個 人情報保護団体の名称及び苦情の解決の申出先 個人情報の保護に 関する法律施行令 第10条各号 １－① 参考資料３ 31 ４ 現⾏制度における参考例（基準適合体制等） ○個⼈情報の保護に関する法律施⾏規則 （平成⼆十⼋年個⼈情報保護委員会規則第三号） （個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要な体制の基準） 第十六条 法第二十八条第一項の個人情報保護委員会規則で定める基準は、次の各号のいずれかに該当することとする。 ⼀ 個⼈情報取扱事業者と個⼈データの提供を受ける者との間で、当該提供を受ける者における当該個⼈データの取扱いにつ いて、適切かつ合理的な方法により、法第四章第⼆節の規定の趣旨に沿った措置の実施が確保されていること。 ⼆ 個⼈データの提供を受ける者が、個⼈情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。 基準 外国第三者提供制限に係 る基準適合体制等の例 ○個⼈情報の保護に関する法律施⾏規則 （平成⼆十⼋年個⼈情報保護委員会規則第三号） （外国にある第三者による相当措置の継続的な実施を確保するために必要な措置等） 第十八条 法第二十八条第三項（法第三十一条第二項において読み替えて準用する場合を含む。）の規定による外国にある 第三者による相当措置の継続的な実施を確保するために必要な措置は、次に掲げる措置とする。 ⼀ 当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無 及びその内容を、適切かつ合理的な方法により、定期的に確認すること。 ⼆ 当該第三者による相当措置の実施に⽀障が⽣じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的 な実施の確保が困難となったときは、個⼈データ（法第三十⼀条第⼆項において読み替えて準⽤する場合にあっては、個⼈ 関連情報）の当該第三者への提供を停⽌すること。 ２ （略） ３ 個人情報取扱事業者は、法第二十八条第三項の規定による求めを受けたときは、本人に対し、遅滞なく、次に掲げる事項 について情報提供しなければならない。ただし、情報提供することにより当該個人情報取扱事業者の業務の適正な実施に著 しい支障を及ぼすおそれがある場合は、その全部又は一部を提供しないことができる。 ⼀ 当該第三者による法第⼆十⼋条第⼀項に規定する体制の整備の方法 ⼆ 当該第三者が実施する相当措置の概要 三 第⼀項第⼀号の規定による確認の頻度及び方法 四 当該外国の名称 五 当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要 六 当該第三者による相当措置の実施に関する⽀障の有無及びその概要 七 前号の⽀障に関して第⼀項第⼆号の規定により当該個⼈情報取扱事業者が講ずる措置の概要 ４・５（略） 相当措置の継続的な実施を確保 するために必要な措置等 １－① 参考資料４ 32 ５ 現⾏制度における参考例（第三者提供時の記録義務事項） 一 法第二十七条第二項の規定により個人データを第三者に提供した場合 次のイからニまでに掲 げる事項 イ 当該個人データを提供した年月日 ロ 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体 で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。第二十八条第 一項第三号において同じ。）の氏名（不特定かつ多数の者に対して提供したときは、その旨） ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項 ニ 当該個人データの項目 二 法第二十七条第一項又は法第二十八条第一項の規定により個人データを第三者に提供した場 合 次のイ及びロに掲げる事項 イ 法第二十七条第一項又は法第二十八条第一項の本人の同意を得ている旨 ロ 前号ロからニまでに掲げる事項 第三者提供に係る記録事項 （個人情報の保護に関する法律施 行規則第20条第１項各号） 第三者提供時の 記録事項の例 一 法第三十一条第一項第一号の本人の同意が得られていることを確認した旨及び外国にある第三 者への提供にあっては、同項第二号の規定による情報の提供が行われていることを確認した旨 二 個人関連情報を提供した年月日（前条第二項ただし書の規定により、法第三十一条第三項にお いて読み替えて準用する法第三十条第三項の記録を一括して作成する場合にあっては、当該提 供の期間の初日及び末日） 三 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名 四 当該個人関連情報の項目 個人関連情報の第三者提供を行う 際の記録事項 （個人情報の保護に関する法律施 行規則第28条第１項各号） 一 個人情報取扱事業者から法第二十七条第二項の規定による個人データの提供を受けた場合 次のイからホまでに掲げる事項 イ 個人データの提供を受けた年月日 ロ 法第三十条第一項各号に掲げる事項 ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項 ニ 当該個人データの項目 ホ 法第二十七条第四項の規定により公表されている旨 二 個人情報取扱事業者から法第二十七条第一項又は法第二十八条第一項の規定による個人 データの提供を受けた場合 次のイ及びロに掲げる事項 イ 法第二十七条第一項又は法第二十八条第一項の本人の同意を得ている旨 ロ 前号ロからニまでに掲げる事項 第三者提供を受ける際の記録事項 （個人情報の保護に関する法律施 行規則第24条第１項各号） １－① 参考資料５ 【第5条第１項】 (b) 特定され、明確であり、かつ、正当な目的のために収集されるものとし、かつ、その目的に適合しない態様で追加的取扱いをしては ならない。公共の利益における保管の目的、科学的研究若しくは歴史的研究の目的又は統計の目的のために行われる追加的取扱い は、第89条第1項に従い、当初の目的と適合しないものとはみなされない。（「目的の限定」） 【第９条】 1. 人種的若しくは民族的な出自、政治的な意見、宗教上若しくは思想上の信条、又は、労働組合への加入を明らかにする個人データの 取扱い、並びに、遺伝子データ、自然人を一意に識別することを目的とする生体データ、健康に関するデータ、又は、自然人の性生活 若しくは性的指向に関するデータの取扱いは、禁止される。 2. 第1項は、以下のいずれかの場合には適用されない。 (a)～(i) （略） (j) 求められる目的と比例的であり、データ保護の権利の本質的部分を尊重し、また、データ主体の基本的な権利及び利益の安全性を 確保するための適切かつ個別の措置を定めるEU法又は加盟国の国内法に基づき、第89条第1項に従い、公共の利益における保管の 目的、科学的研究若しくは歴史的研究の目的又は統計の目的のために取扱いが必要となる場合。 【第89条第１項】 公共の利益における保管の目的、科学調査若しくは歴史調査の目的又は統計の目的のための取扱いは、本規則に従い、データ主体 の権利及び自由のための適切な保護措置に服する。それらの保護措置は、とりわけ、データの最小化の原則に対する尊重を確保するた め、技術的及び組織的な措置を設けることを確保する。それらの措置は、それらの目的がそのような態様で充足されうる限り、仮名化を含 むことができる。データ主体の識別を許容しない又は許容することのない別の目的による取扱いによってそれらの目的が充足されうる場合、 それらの目的は、その態様によって充足される。 ６ ＧＤＰＲの規定（第５条、第９条、第89条） 33 ※ＧＤＰＲ…ＥＵ一般データ保護規則 １－① 参考資料６ ○個人データの取扱いと関連する⾃然人の保護に関する、及び、そのデータの⾃由な移転に関する、並びに、指令95/46/ECを廃⽌す る欧州議会及び理事会の2016年4月27日の規則(EU) 2016/679 （⼀般データ保護規則）【条文】（⼀部抜粋） ※個人情報保護委員会にて公表している仮日本語訳 【第13条】 1. データ主体と関連する個人データがそのデータ主体から収集される場合、管理者は、その個人データを取得する時点において、その データ主体に対し、以下の全ての情報を提供する： (a) 管理者の身元及び連絡先、及び、該当する場合は、管理者の代理人の身元及び連絡先。 (b) 該当する場合は、データ保護オフィサーの連絡先。 (c) 予定されている個人データの取扱いの目的及びその取扱いの法的根拠。 (d) その取扱いが第6条第1項(f)を根拠とする場合、管理者又は第三者が求める正当な利益。 (e) もしあれば、個人データの取得者又は取得者の類型。 (f) 該当する場合は、管理者が個人データを第三国又は国際機関に移転することを予定しているという事実、及び、欧州委員会による 十分性認定の存否、又は、第46条若しくは第47条に定める移転の場合又は第49条第1項第2項後段に定める移転の場合、適切又は適 合する保護措置、及び、その複製物を取得するための方法、又は、どこでそれらが利用可能とされたかについての情報。 2. 第1項に定める情報に加え、管理者は、個人データを取得する時点において、データ主体に対し、公正かつ透明性のある取扱いを確保 するために必要な以下の付加的な情報を提供する。 (a) その個人データが記録保存される期間、又は、それが不可能なときは、その期間を決定するために用いられる基準。 (b) 個人データへのアクセス、個人データの訂正又は消去、又は、データ主体と関係する取扱いの制限を管理者から得ることを要求す る権利、又は、取扱いに対して異議を述べる権利、並びに、データポータビリティの権利が存在すること。 (c) その取扱いが第6条第1項(a)又は第9条第2項(a)に基づく場合、その撤回前の同意に基づく取扱いの適法性に影響を与えることなく、 いつでも同意を撤回する権利が存在すること。 (d) 監督機関に異議を申立てる権利。 (e) その個人データの提供が制定法上若しくは契約上の要件であるか否か、又は、契約を締結する際に必要な要件であるか否か、並 びに、データ主体がその個人データの提供の義務を負うか否か、及び、そのデータの提供をしない場合に生じうる結果について。 (f) プロファイリングを含め、第22条第1項及び第4項に定める自動的な決定が存在すること、また、これが存在する場合、その決定に含 まれている論理、並びに、当該取扱いのデータ主体への重要性及びデータ主体に生ずると想定される結果に関する意味のある情報。 ７ ＧＤＰＲの規定（第13条） 34 １－① 参考資料７ 【第14条】 1. 個人データがデータ主体から取得されたものではない場合、管理者は、データ主体に対し、以下の情報を提供する： (a)管理者の身元及び連絡先、及び、該当する場合は、管理者の代理人の身元及び連絡先。 (b) 該当する場合は、データ保護オフィサーの連絡先。 (c) 予定されている個人データの取扱いの目的及びその取扱いの法的根拠。 (d) 関係する個人データの種類。 (e) もしあれば、個人データの取得者又は取得者の類型。 (f) 該当する場合は、管理者が個人データを第三国又は国際機関の取得者に対して移転することを予定しているという事実、及び、欧 州委員会による十分性認定の存否、又は、第46条若しくは第47条に定める移転の場合又は第49条第1項第2項後段に定める移転の場 合、適切又は適合する保護措置、及び、その複製物を取得するための方法、又は、どこでそれらが利用可能とされたかについての情 報。 2. 第1項に定める情報に加え、管理者は、データ主体に対し、データ主体に関して公正かつ透明性のある取扱いを確保するために必要な 以下の情報を提供する。 (a) その個人データが記録保存される期間、又は、それが不可能なときは、その期間を決定するために用いられる基準。 (b) その取扱いが第6条第1項(f)を根拠とする場合、管理者又は第三者が求める正当な利益。 (c) 個人データへのアクセス、個人データの訂正又は消去、又は、データ主体と関係する取扱いの制限を管理者から得ることを要求す る権利、又は、取扱いに対して異議を述べる権利、並びに、データポータビリティの権利が存在すること。 (d) その取扱いが第6条第1項(a)又は第9条第2項(a)に基づく場合、その撤回前の同意に基づく取扱いの適法性に影響を与えることなく、 いつでも同意を撤回する権利が存在すること。 (e) 監督機関に異議を申立てる権利。 (f) どの情報源からその個人データが生じたか、及び、該当する場合は、公衆がアクセス可能な情報源からその個人データが来たもの かどうか。 (g) プロファイリングを含め、第22条第1項及び第4項に定める自動的な決定が存在すること、また、それが存在する場合、その決定に含 まれている論理、並びに、当該取扱いのデータ主体への重要性及びデータ主体に生ずると想定される結果に関する意味のある情報。 ８ ＧＤＰＲの規定（第14条） 35 １－① 参考資料８ 36 ２ー① 委託先における個⼈データ等の適正な取扱い ２－① 委託先における個⼈データ等の適正な取扱い 37 他の個人情報取扱事業者等（委託元）から個人情報等の取扱いの委託を受けた個人情報取扱事業者等（委託 先）について、委託契約で⼀定の事項が定められており、委託を受けた業務の遂⾏に必要な範囲内において委託契 約の定めに従って個人情報等が取り扱われるときは、個人情報取扱事業者としての義務を原則として免除 （改正法第58条の２） （委託） 個⼈情報取扱事業者 （委託元）  取扱いを委託された個人情報等を当該委託を受けた業務の遂 ⾏に必要な範囲を超えて取り扱ってはならない。  委託先が⾏政機関等である場合についても同様。 委託先としての義務 法令に基づく場合及び人命の救助、災害の救援その他非常の事 態への対応のため緊急の必要がある場合には、例外的に委託先 が独⾃の判断で利⽤できることとすることを想定。 例外  委託契約において、次に掲げる事項が定められており、委託を受 けた業務の遂⾏に必要な範囲内において当該委託契約の定め に従って個人情報等が取り扱われるときは、委託先に対しては、 個人情報取扱事業者としての義務（法第４章の各義務規定 の適⽤）を原則として免除。 ①個⼈情報等の取扱いの方法として規則で定める事項 ②委託先において、漏えい等が⽣じ、業務の遂⾏に必要な範囲を超え、 若しくは委託契約の定めに違反して個人情報等が取り扱われたこと を知ったときは、速やかに、委託元に対してその旨を報告すること。 ③その他規則で定める事項  委託を受けた業務の遂⾏に必要な範囲を超えて取り扱ってはな らない旨の義務及び安全管理に係る義務は適⽤。 委託先の個⼈情報取扱事業者等としての義務の免除 委託先 ⇒委託契約の⽅法は 規則委任事項 38 （取扱いの⽅法が契約により定められている受託個人情報取扱事業者等についての適⽤の特例） 第五⼗⼋条の二 （…中略…）受託個人情報取扱事業者等（…中略…） が⾏う（…中略…）受託個人情報 等（…中略…） の取扱いについては、 （…中略…）委託者（…中略…）と当該受託個人情報取扱事業者 等との当該委託に係る契約において、個⼈情報保護委員会規則で定めるところにより、次に掲げる事項が定められ ている場合であって、当該取扱いが当該委託を受けた業務の遂⾏に必要な範囲内において第⼀号に掲げる事項に 係る当該契約の定めに従って⾏われるときは、第二節から第四節まで（…中略…）の規定は適⽤せず、（…中略 …）とする。 ⼀ 受託個⼈情報等の取扱いの方法（受託個⼈情報等の安全管理のための措置に係る事項及び個⼈の権利 利益の保護に⽀障を及ぼすおそれのない事項を除く。）として個⼈情報保護委員会規則で定める事項 二 受託個人情報取扱事業者等が、受託個人情報等について第二⼗六条第⼀項に規定する事態が⽣じ、⼜は 受託個人情報等が当該委託を受けた業務の遂⾏に必要な範囲を超え、若しくは前号に掲げる事項に係る契約 の定めに違反して取り扱われたことを知ったときは、速やかに、委託者に対してその旨を報告すること。 三 その他個⼈情報保護委員会規則で定める事項 ２ー① 規則委任事項 39 • 現⾏法においては、個人情報の取扱いの委託が⾏われた場合、基本的に、委託元と委託先 のいずれに対しても個人情報取扱事業者等としての義務全般が適⽤されることとなっている。 • ただし、委託元が委託先に対して取扱いの方法を指示しており、 専ら委託元の責任におい て法の各規律が遵守された状況を確保することができるのであれば、委託元に各義務規定 を適⽤すれば足り、重ねて委託先にまで全ての義務を課す必要はないと考えられる。そこで、 このような委託先については、原則として個人情報取扱事業者等としての義務を免除する制 度を設けることとした。 • 当該制度の対象となるために委託契約において定めるべき事項については、規則で定めること とされているが、上記制度趣旨を踏まえ、いかなる事項がどの程度定められていれば、委託 元が委託先に対して取扱いの方法を指示している実態があると評価できるか、また委託先 における取扱いの状況を適時に把握し、専ら委託元の責任において法の各規律が遵守さ れた状況を確保することができるかといった観点から検討する必要がある。 • ⼀⽅、このような場合であっても、他の事業者に個人情報の取扱いを⾏わせるものである以上、 個⼈の権利利益に影響を及ぼさないような細目的な事項について委託先が自らの裁量で 判断することは当然に想定されている。そのため、上記検討に当たってはこのような観点も踏 まえて検討する必要がある。 ２－① 規則の整備に向けた基本的な考え方 40 論点１ 契約において定めるべき「取扱いの方法」として、どのような事項を規定すべきか。 →例えば、以下の項目について定めておく必要があるのではないか。 • 対象となる個⼈情報等(*１) • ⾏われる処理の内容（取得・保存・評価・加⼯・提供・消去等） (*２) • 取扱いの始期及び終期 • 取扱いの⾏われる国⼜は地域(*３) →上記のほかに「取扱いの⽅法」として定めておくべき事項はあるか。 →上記各項目について、どの程度の特定を求めるべきか。 *１ その項目等を含む。 *２ データの取得・提供を⾏う場合にあっては取得先・提供先を含み、評価・加工を⾏う場合にあってはその基準を含む。 *３ 具体的には、外国（本邦の域外にある国⼜は地域）において取り扱うか否か、取り扱う場合にあってはその外国の名称を想定 *４ あらかじめ書面により全てを定める場合のほか、定めるべき事項の⼀部を、契約に基づき別途委託元が書面により特定する場合を含む。 ２－① 規則の整備に向けた論点と方向性 論点２ 契約において所定の事項を定める方法として、どのような方法を規定すべきか。 →内容を明確に特定するとともに、記録に残す観点から、書面（電磁的記録を含む）による 方法(*４)としてはどうか。 「取扱いの方法」関連 41 論点３ その他契約において定める事項として、どのような事項を規定すべきか。 →例えば、以下の項目について定めておく必要があるのではないか。 • 委託を受ける業務の内容 • 取扱いに関する記録を作成し、委託元に提供すること。 • 安全管理のために講じた措置に関する情報を委託元に提供すること。 • 漏えい等事案等が⽣じた場合に委託元が適切な対応を⾏うために必要な事項(*)を 報告すること。 • 委託元の求めに応じて、個⼈情報等の取扱いを停⽌等すること。 • 委託が終了した場合に個⼈情報等を返還または消去すること。 →上記のほかに、委託先における取扱いの状況を委託元が正確に把握するために必要な事 項や委託元の責任において法の規律遵守を確保するために必要な事項として定めておくべき 事項はあるか。 ２－① 規則の整備に向けた論点と方向性 * 例えば、委託元が委員会に漏えい等報告（改正法第26条第１項）を⾏うために必要な情報等 その他必要な事項関連 【第４条第７項・第８項】 (7) 「管理者」とは、自然人又は法人、公的機関、部局又はその他の組織であって、単独で又は他の者と共同で、個人データの取扱いの目的及び方 法を決定する者を意味する。その取扱いの目的及び方法がEU法又は加盟国の国内法によって決定される場合、管理者又は管理者を指定するた めの特別の基準は、EU 法又は加盟国の国内法によって定めることができる。 (8) 「処理者」とは、管理者の代わりに個人データを取扱う自然人若しくは法人、公的機関、部局又はその他の組織を意味する。 【第28条第３項】 処理者による取扱いは、管理者との関係に関して処理者を拘束し、かつ、取扱いの対象及び期間、取扱いの性質及び目的、個人データの種類及 びデータ主体の類型、並びに、管理者の義務及び権利を定める、契約又はその他のEU法若しくは加盟国の国内法に基づく法律行為によって規律さ れる。契約又はその他の法律行為は、特に、処理者が、以下のとおり行うことを定める： (a) 処理者が服する EU 又は加盟国の国内法がそのようにすることを要求する場合を除き、個人データの第三国又は国際機関に対する移転と関 連するものを含め、管理者からの文書化された指示のみに基づいて 個人データを取扱うこと。そのような場合、当該の法律がそのような公共の利 益上の重要な法的根拠に関 する情報提供を禁止しない限り、処理者は、管理者に対し、取扱いの前に、当該法律上の要件について情報提供す るものとする。 (b) 個人データの取扱いを承認された者が自ら守秘義務を課し、又は、適切な法律上の守秘義務の下にあることを確保すること。 (c) 第32 条によって求められる全ての措置を講ずること。 (d) 別の処理者を業務に従事させるために、第2項及び第4項に規定する要件を尊重すること。 (e)第 3 章に定めるデータ主体の権利を行使するための要求に対処すべき管理者の義務を充足させるために、それが可能な範囲内で、取扱いの 性質を考慮に入れた上で、適切な技術上及び組織上の措置によって、管理者を支援すること。 (f) 取扱いの性質及び処理者が利用可能な情報を考慮に入れた上で、第32条から第36条による義務の遵守の確保において、管理者を支援する こと。 (g) 取扱いと関係するサービスの提供が終了した後、EU法又は加盟国の国内法が個人データの記録保存を要求していない限り、管理者の選択 により、全ての個人データを消去し、又は、これを管理者に返却すること、並びに、存在している複製物を消去すること。 (h)本条に定める義務の遵守を説明するため、及び、管理者によって行われる検査若しくは管理者から委任された別の監査人によって行われる検 査を含め、監査を受け入れ、若しくは、監査に資するようにするために必要な全ての情報を、管理者が利用できるようにすること。 第1副項(h)に関し、処理者は、その見解において、指示が本規則又はその他のEU又は加盟国のデータ保護の条項に違反する場合、直ちに、その ことを管理者に通知するものとする。 ＧＤＰＲにおける管理者及び処理者の規定 【備考】 • EDPB「GDPRにおける管理者及び処理者の概念に関するガイドライン 07/2020」においては、以下のとおり解釈されている。 「⼿段の決定に関しては、本質的な⼿段と非本質的な⼿段を区別することができる。「本質的な⼿段」は、伝統的かつ本質的にコントローラに留保されている。 非本質的な⼿段は処理者が決定することもできるが、本質的な⼿段は管理者が決定することになっている。 「本質的な⼿段」とは、取り扱われる個人データの種類（「どのデータが取り扱われるべきか」）、取扱いの期間（「どのくらいの期間データが取り扱われるべき か」）、取得者の類型（「誰がデータにアクセスするべきか」）及びデータ主体の類型（「誰の個人データが取り扱われているか」）のような処理の目的と範囲 に密接に関連する⼿段である。本質的な⼿段は、取扱いの目的とともに、合法的であるかどうか、必要であるかどうか、妥当であるかどうかという問題にも密接 に関連している。「非本質的な⼿段」は、実施のより実⽤的な側面に関係しており、特定の種類のハードウェア⼜はソフトウェアの選択や、詳細な安全管理措 置など、処理者に決定を任せることができるものである。 」 42 ２－① 参考資料 43 ２ー② 漏えい等報告・本⼈通知義務 ２－② 漏えい等報告・本⼈通知義務 44 個人データの漏えい等が発⽣したときには、原則として、個人情報保護委員会に報告するとともに、本人に通知しなけ ればならないが、本人への通知が困難な場合⼜は本人への通知が⾏われなくても本人の権利利益の保護に⽋けるおそ れが少ない場合には、本人の権利利益を保護するため必要な措置で代替可能 （改正法第26条） 個⼈情報取扱事業者 個人データの漏えい等 個⼈情報保護委員会本⼈への通知 漏えい等報告  原則として本人への通知が必要。  ただし、次に掲げる場合には、本人の権利利益を保護するため必要な措 置で本人通知義務を代替可能。 ①本人への通知が困難な場合 ②本⼈への通知が⾏われなくても本⼈の権利利益の保護に⽋けるおそ れが少ない場合として規則で定める場合  ⾏政機関等による漏えい等の発⽣時についても同様。 認定個⼈情報 保護団体等 体制・⼿順等 の確認 ⇒報告の⽅法は 規則委任事項 ⇒報告対象事態は 規則委任事項 ※報告義務と本人通知義務そのものは現⾏法にも規定されている。 今回の法改正はこれらのうち本人通知義務を緩和するもの。 なお、報告対象や報告の⽅法は、既に現⾏の規則に定められているが、 今回の法改正に併せて、漏えい等報告の合理化に向けて規則⾒直し等に より、⼀定の範囲について速報免除・⼀定期間ごとに取りまとめた確報許容、 サイバー対処能⼒強化法に基づくインシデント報告基準との整合性確保、 違法な個人データの第三者提供を報告対象とすることなどを検討予定(*)。 （*）「個人情報保護法の制度的課題に対する考え⽅について」、「個人情報保護法 いわゆる３年ごと⾒直しの制度改正⽅針 」等において、以下について検 討することとしていたもの。 ○報告の⽅法に係る定めを⾒直して、体制・⼿順に係る認定個人情報保護団体などの第三者の確認を受けること等を前提に⼀定の範囲で速報を免除 することや⼀定期間ごとに取りまとめた確報を許容すること。 ○サイバー攻撃に起因する漏えい等の「おそれ」がある場合の報告基準について⾒直し、サイバー対処能⼒強化法に基づくインシデント報告の基準と整合性 があるよう整理 ○報告対象事態に係る定めを⾒直して、違法な個人データの第三者提供を漏えい等報告の対象とすること。 ㋐ ㋑ ㋒ ㋓ 45 （漏えい等の報告等） 第二⼗六条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他 の個⼈データの安全の確保に係る事態であって個⼈の権利利益を害するおそれが⼤きいも のとして個⼈情報保護委員会規則で定めるものが⽣じたときは、個⼈情報保護委員会規 則で定めるところにより、当該事態が⽣じた旨を個人情報保護委員会に報告しなければなら ない。（…中略…） ２ 前項に規定する場合には、個人情報取扱事業者（…中略…）は、本人に対し、個人情 報保護委員会規則で定めるところにより、当該事態が⽣じた旨を通知しなければならない。た だし、本人への通知が困難な場合⼜は本⼈への通知が⾏われなくても本⼈の権利利益の 保護に⽋けるおそれが少ない場合として個⼈情報保護委員会規則で定める場合であって、 本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。 ２－② 規則委任事項 46 ２－②－㋐ 規則の整備に向けた基本的な考え方・論点と方向性 （本人通知関係） 論点１ 本⼈への通知が⾏われなくても本⼈の権利利益の保護に⽋けるおそれが少ない場 合として、どのような場合を規定するか。 → 外部の事業者・団体等と共⽤性のないサービス利⽤者の社内識別⼦（ID）など、そ れ単体ではおよそ意味を持たない情報のみが漏えいした場合が考えられるのではないか。 →上記のほかに規定すべき場合はあるか。 ㋐ 本⼈への通知が⾏われなくても本⼈の権利利益の保護に⽋けるおそれが少ない場合 本人通知義務の趣旨は、漏えい等発⽣時に、本人が、二次被害の防⽌や必要な権利の ⾏使など権利利益の保護のための適切な措置を⾃ら講じることができるようにすることにある ⼀⽅、それ単体ではおよそ意味を持たない情報（例えば、共⽤性のないサービス利⽤者 の社内識別⼦（ID）等）のみが漏えいした場合など、⼆次被害の防⽌等のための措 置を本⼈が講じられるようにする必要性が少ない場合においては、本人への通知に代わ る措置を講ずることでも上記趣旨は全うされると考えられるところ、その具体的な対象範囲 は規則で定めることとしている。規則を定めるに当たっては、このような観点を踏まえたもの とする必要がある。 基本的な考え方 47 ２－②－㋑ 規則の整備に向けた基本的な考え方・論点と方向性 （報告合理化関係） 論点２ どのような体制・手順について第三者の確認を受けた場合を合理化の対象とするか。 →漏えい等の拡⼤や再発を防⽌するために必要な安全管理措置や個⼈の権利利益の侵 害を防⽌するために必要な措置を講じる体制・手順(*)が整備されている事業者については、 委員会がこれらの措置を講じるよう求める必要性が低いと考えられるため、このような体制・⼿ 順について確認を受けた場合を合理化の対象としてはどうか。 ㋑ 体制・手順に係る第三者の確認を受けること等を前提とした漏えい等報告の合理化関連 報告の時期その他の報告の⽅法は、委員会規則で定めることとされている。現⾏規則におい ては、委員会が事実関係を早急に把握した上で、漏えい等の拡⼤や再発を防⽌するために 必要な安全管理措置や個⼈の権利利益の侵害を防⽌するために必要な措置を講じるよう 事業者に求める等の対応を⾏うため、まずはその時点で把握している内容について速報を求 めることとしている。その後、報告事項には、原因や再発防⽌策等、その把握に時間を要する ことが想定されるものも含まれることから、⼀定の時間的猶予の後に確報を求めることとしている。 このような観点を踏まえ、速報・確報の合理化の対象範囲を検討する必要がある。 基本的な考え方 * 例えば、責任者が設置されていること、漏えい等事案の発⽣⼜は兆候を把握した場合に速やかに事実関係を把握し再発防⽌策を講じるとともに、必要な 本人通知を⾏うための⼿順が整備されていること等 48 ２－②－㋑ 規則の整備に向けた論点と方向性 （報告合理化関係（続き）） 論点３ どのような漏えい等事案を合理化の対象とするか。 →漏えい等事案の中には、委員会が事実関係を早急に把握した上で必要な注意喚起を⾏ うべき事案や、今後の調査⽅針や権限⾏使の⽅向性について検討を要する事案も想定され るため、どのような事案であっても常に速報を免除し、⼜は⼀定期間ごとに取りまとめた確報を 許容することは相当ではない。 →本人通知が的確になされている限りにおいては委員会が早急に事実関係を把握する必要 性が⽐較的小さい事案として、誤交付・誤送付案件を始めとする、漏えいした個⼈データに 係る本⼈の数が１名である事案を対象としてはどうか。 論点４ 体制・手順に係る確認を⾏う第三者の範囲について、どのように規定するか。 →法律上、個人情報取扱事業者等による個人情報等の適正な取扱いを確保することを目 的とした団体を委員会が認定する制度として、認定個人情報保護団体制度があるところ、 認定個⼈情報保護団体が確認主体となることでよいか。 →上記のほか、事業者の体制・⼿順を確認することのできる第三者としてどのようなものが考え られるか。 49 ２－②－㋒ 規則の整備に向けた基本的な考え方・論点と方向性 （基準の整合性関係） ㋒サイバー対処能⼒強化法に基づくインシデント報告の基準との整合性関連 • 個⼈情報保護法上の漏えい等報告は、委員会が事実関係を早急に把握した上で、漏え い等の拡⼤や再発を防⽌するために必要な安全管理措置や個⼈の権利利益の侵害を防 ⽌するために必要な措置を講じるよう事業者に求める等の対応を⾏うために求めるもの。 • ⼀⽅、重要電⼦計算機に対する不正な⾏為による被害の防⽌に関する法律（令和７年 法律第42号。以下「サイバー対処能⼒強化法」という。）に基づくインシデント報告の義務 化の議論においては、「サイバー攻撃被害拡⼤の防⽌の観点からは、政府へのインシデント 報告は速やかに⾏われることが重要であり、事業者に負担をかけずに効率的に情報収集し、 フィードバックするという仕組みが重要である。」との指摘もなされたところである。 • これを踏まえ、個人情報保護法上の漏えい等報告の対象事態のうち、サイバー攻撃に起因 するものについて、サイバー対処能⼒強化法に基づくインシデント報告の基準とも整合性が あるものとなるように、必要とされる整理を進める必要がある。 論点５ サイバー対処能⼒強化法によるインシデント報告の基準との整合性をどう確保するか。 →個人情報保護法上の漏えい等報告の対象事態のうちサイバー攻撃に起因するものにつ いて、サイバー対処能⼒強化法上のインシデント報告の基準との関係性について整理した 上で、整合性を確保するための整備をしてはどうか。 基本的な考え方 50 論点６ 違法な個⼈データの第三者提供を報告対象事態とすべきか。 →現⾏規則上、漏えい等報告の対象事態に違法な個人データの第三者提供は含まれてい ない。もっとも、事業者が故意に第三者に提供した場合と、事業者の意図に基づかず漏えい 等した場合とで、本人の権利利益に対する影響に⼤きな差はないと考えられること、むしろ故 意によるものは類型的に二次被害が発⽣するおそれが⼤きいことを踏まえれば、違法な個⼈ データの第三者提供についても漏えい等報告の対象事態とすることでよいか。 →また、漏えいと異なり、故意に⾏われる違法⾏為であることを踏まえれば、個人データの内容 や件数を問わず報告対象とすることでよいか。 ㋓ 報告対象事態関連 ２－②－㋓ 規則の整備に向けた基本的な考え方・論点と方向性 （報告対象事態） 漏えい等報告の対象事態は、「個⼈データの安全の確保に係る事態であって個⼈の権利 利益を害するおそれが⼤きいもの」を規則で定めることとされている。現⾏規則においては、 個⼈の権利利益に対する実質的な影響を踏まえて、委員会が事態を早急に把握し、必 要な措置を講じることができるようにするべき事態を定めることとしており、故意によるもの は類型的に⼆次被害が発⽣するおそれが⼤きいことを踏まえ、不正の目的をもって⾏われ たおそれがある当該個人情報取扱事業者に対する⾏為による漏えい等を対象事態として 定めている。このような観点を踏まえ、漏えい等報告の対象事態を⾒直す必要がある。 基本的な考え方 51 １ 現⾏の規則 ○個⼈情報の保護に関する法律施⾏規則 （平成⼆十⼋年個⼈情報保護委員会規則第三号） （個人の権利利益を害するおそれが大きいもの） 第七条 法第二十六条第一項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員 会規則で定めるものは、次の各号のいずれかに該当するものとする。 ⼀ 要配慮個⼈情報が含まれる個⼈データ（⾼度な暗号化その他の個⼈の権利利益を保護するために必要 な措置を講じたものを除く。以下この条及び次条第⼀項において同じ。）の漏えい、滅失若しくは毀損（以 下この条及び次条第⼀項において「漏えい等」という。）が発⽣し、⼜は発⽣したおそれがある事態 ⼆ 不正に利⽤されることにより財産的被害が⽣じるおそれがある個⼈データの漏えい等が発⽣し、⼜は発⽣し たおそれがある事態 三 不正の目的をもって⾏われたおそれがある当該個⼈情報取扱事業者に対する⾏為による個⼈データ（当 該個⼈情報取扱事業者が取得し、⼜は取得しようとしている個⼈情報であって、個⼈データとして取り扱わ れることが予定されているものを含む。）の漏えい等が発⽣し、⼜は発⽣したおそれがある事態 四 個⼈データに係る本⼈の数が千⼈を超える漏えい等が発⽣し、⼜は発⽣したおそれがある事態 個人データの安全の確保に 係る事態であって個人の権 利利益を害するおそれが大 きいもの ○個⼈情報の保護に関する法律施⾏規則 （平成⼆十⼋年個⼈情報保護委員会規則第三号） （個人情報保護委員会への報告） 第八条 個人情報取扱事業者は、法第二十六条第一項本文の規定による報告をする場合には、前条各号に 定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握し ているものに限る。次条において同じ。）を報告しなければならない。 一～九 （略） ２ 前項の場合において、個人情報取扱事業者は、当該事態を知った⽇から三十⽇以内（当該事態が前条第 三号に定めるものである場合にあっては、六十⽇以内）に、当該事態に関する前項各号に定める事項を報告 しなければならない。 ３ （略） 漏えい等発生時における 報告の方法 ２－② 参考資料１ 52 ○衆議院及び参議院における附帯決議（⼀部抜粋） 十 漏えい等の報告に係る本人への通知の代替措置が許容される場合については、個⼈情報取扱事業者等の恣意的な判断、濫⽤及 び拡⼤解釈によって本⼈の権利利益が侵害されることのないよう、個⼈情報保護委員会規則によって具体的な対象範囲や判断基準を 明記すること。 ２ 附帯決議 (3)漏えい等報告・本⼈通知の在り方 【我が国の現状等】 …漏えい等した個人データに係る本人の数が1,000人以下の事案が全体の96.0％（11,635件）を占めており、中でも、漏えい等した個人 データ に係る本人の数が１人の事案が全体の84.0％（10,184件）を占めている。また、漏えい等した個人データに係る本人の数が２〜 10人、11〜100人及び101〜1,000人の事案が、それぞれ、全体の7.6％（918件）、2.8％（341件）及び1.6％（192件）を占め ている。漏えい等した個人データに係る本人の数が１人の事案としては、病院や薬局における要配慮個人情報を含む書類の誤交付⼜は紛失 や、クレジットカードの誤送付などが多い。… 【考え方】 ア 漏えい等報告 …①上記のように、委員会がこれまでに受けた漏えい等報告を件数ベースでみると、漏えいした個人データに係る本人の数が１名である誤交 付・誤送付案件が⼤半を占めているが、このようなケースは、当該本人にとっては深刻な事態になり得るものであり、本人通知の重要性は変わ らないものの、本人通知が的確になされている限りにおいては、委員会に速報を提出する必要性が⽐較的小さい。また、②漏えい等⼜はそのお それを認識した場合における適切な対処（漏えい等が⽣じたか否かの確認、本人通知、原因究明など）を⾏うための体制・⼿順が整備され ていると考えられる事業者については、⼀定程度⾃主的な取組に委ねることも考えられる。そこで、例えば、体制・⼿順について認定個人情報 保護団体などの第三者の確認を受けることを前提として、速報については、⼀定の範囲でこれを免除し、さらに①のようなケースについては確報 について⼀定期間ごとの取りまとめ報告を許容することも考えられる。 … イ 違法な第三者提供 現⾏法においては、事業者が個人データを違法に第三者に提供した場合について、報告義務及び本人通知義務は存在しないが、個人デー タが漏えい等した場合については事業者にこれらの義務が課されることとの均衡から、漏えい等との違いの有無も踏まえ、その必要性や報告等の 対象となる範囲を検討する必要がある。 ○個人情報保護法 いわゆる３年ごと⾒直しに係る検討の中間整理 ３ 中間整理 ２－② 参考資料２・３