FAQ索引

FAQをキーワード検索する

「個人情報の保護に関する法律についてのガイドライン」及び 「個人データの漏えい等の事案が発生した場合等の対応について」に関するＱ＆Ａ　目次

１ ガイドライン（通則編）

• 1-1　定義
  • Ｑ1-1
    「特定の個人を識別することができる」とは、どのような意味ですか。
  • Ｑ1-2
    ガイドライン（通則編）では、氏名のみでも個人情報に該当するとされていますが、同姓同名の人もあり、他の情報がなく氏名だけのデータでも個人情報といえますか。
  • Ｑ1-3
    住所や電話番号だけで個人情報に該当しますか。
  • Ｑ1-４
    メールアドレスだけでも個人情報に該当しますか。
  • Ｑ1-５
    新聞やインターネットなどで既に公表されている個人情報は、個人情報保護法で保護されるのですか。
  • Ｑ1-６
    外国に居住する外国人の個人情報についても、個人情報保護法による保護の対象になりますか。
  • Ｑ1-７
    個人情報に該当しない事例としては、どのようなものがありますか。
  • Ｑ1-８
    複数人の個人情報を機械学習の学習用データセットとして用いて生成した学習済みパラメータは、個人情報に当たりますか。
  • Ｑ1-９
    オンラインゲームで「ニックネーム」及び「ID」を公開していますが、個人情報に該当しますか。
  • Ｑ1-10
    顧客との電話の通話内容は個人情報に該当しますか。また、個人情報取扱事業者は、通話内容を録音している場合、録音している旨を相手方に伝えなければなりませんか。
  • Ｑ1-11
    顧客との電話の通話内容を録音していますが、通話内容から特定の個人を識別することはできません。この場合の録音記録は、個人情報に該当しますか。
  • Ｑ1-12
    店舗に防犯カメラを設置し、撮影した顔画像やそこから得られた顔認証デ ータを防犯目的で利用することを考えています。個人情報保護法との関係で、どのような措置を講ずる必要がありますか。
  • Ｑ1-13
    防犯目的のために取得したカメラ 画像やそこから得られた顔認証データをマーケティング等の商業目的に利用することを考えています。個人情報保護法との関係で、どのような措置を講ずる必要がありますか。
  • Ｑ1-14
    カメラ画像から抽出した性別や年齢といった属性情報や、人物を全身のシルエット画像に置き換えて作成した移動軌跡データ（人流データ）は、個人情報に該当しますか。
  • Ｑ1-15
    防犯目的のために、万引き・窃盗等の犯罪行為や迷惑行為に対象を限定した上で、顔認証システムを導入しようとする場合にどのような注意が必要とされますか。
  • Ｑ1-16
    電光掲示板等に内蔵したカメラで撮影した本人の顔画像から、性別や年齢といった属性情報を抽出し、当該本人向けにカスタマイズした広告を電光掲示板等に表示しています。属性情報を抽出した後、顔画像は即座に削除しています。個人情報保護法上、どのような措置を講ずる必要がありますか。
  • Ｑ1-17
    A 社が保有する個人情報を、特定の個人を識別できない統計情報として B 社に提供した場合、B 社においては、この情報は個人情報に該当しますか。
  • Ｑ1-18
    事業者の各取扱部門が独自に取得した個人情報を取扱部門ごとに設置されているデータベースにそれぞれ別々に保管している場合において、ある取扱部門のデータベースと他の取扱部門のデータベースの双方を取り扱うことができないときには、「容易に照合することができ」（法第2条第1項）ないといえますか。
  • Ｑ1-19
    「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなる」（法第2条第1項）に該当する事例としては、どのようなものがありますか。
  • Ｑ1-20
    顧客情報のみでなく、従業員に関する情報も個人情報保護法の規律に従って取り扱う必要がありますか。
  • Ｑ1-21
    死者の情報は、個人情報保護法の保護の対象になりますか。
  • Ｑ1-22
    施行令第1条第1号に規定された個人識別符号に関するガイドライン（通則編）の記載において、「本人を認証することができるようにしたもの」とありますが、これは具体的にどのようなことを想定しているのですか。
  • Ｑ1-23
    施行令第1条第1号に規定された個人識別符号に関するガイドライン（通則編）の記載において、「本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの」とありますが、これは、事業者が認証を目的としてある符号を取り扱っている場合にのみ、当該符号が個人識別符号に該当するという趣旨ですか。
  • Ｑ1-24
    今回、ゲノムデータが個人識別符号に位置付けられましたが、学術研究機関等が学術研究目的でゲノムデータを取り扱う場合にも個人情報保護法は適用されますか。
  • Ｑ1-25
    携帯電話番号やクレジットカード番号は個人識別符号に該当しますか。
  • Ｑ1-26
    各種被保険者証に記載されている各種保険者番号・被保険者記号・番号は、それぞれの番号等自体が個人識別符号なのですか、それとも３つ揃うことで個人識別符号なのですか。
  • Ｑ1-27
    「○△教に関する本を購入した」という購買履歴の情報や、特定の政党が発行する新聞や機関誌等を購読しているという情報は、要配慮個人情報に該当しますか。
  • Ｑ1-28
    診療又は調剤に関する情報は、全て要配慮個人情報に該当しますか。
  • Ｑ1-29
    消費者直販型遺伝子検査の結果（いわゆる DTC 遺伝子検査の結果）は、要配慮個人情報に該当しますか。
  • Ｑ1-30
    受刑の経歴は、要配慮個人情報に該当しますか。
  • Ｑ1-31
    ある人の犯罪行為を撮影した防犯カメラ映像は、要配慮個人情報に該当しますか。
  • Ｑ1-32
    外国政府により刑事事件に関する手続を受けた事実は、要配慮個人情報に該当しますか。
  • Ｑ1-33
    無罪判決を受けた事実は、要配慮個人情報に該当しますか。
  • Ｑ1-34
    不起訴処分となった場合は、「刑事事件に関する手続」として要配慮個人情報に該当しますか。
  • Ｑ1-35
    障害福祉サービス事業者等において個人情報を取り扱う際に、留意すべきことはありますか。
  • Ｑ1-36
    要配慮個人情報を取得する際に、その本人が、同意したことによって生ずる結果について十分な判断能力を有しない障害者であるような場合には、どのように対応すればよいですか。
  • Ｑ1-37
    メールソフトのアドレス帳や一定の規則で整理された名刺について、従業者本人しか使用できない状態であれば、企業の個人情報データベース等には該当しないと考えてよいですか。
  • Ｑ1-38
    従業者が業務上使用している携帯電話等の電話帳に氏名と電話番号のデータが登録されている場合、個人情報データベース等に該当しますか。
  • Ｑ1-39
    ガイドライン（通則編）２-４の個人情報データベース等に該当する事例1 に、「電子メールソフトに保管されているメールアドレス帳」とありますが、他人には容易に検索できない独自の分類方法によりメールアドレスを分類した状態である場合は、個人情報データベース等に該当しないと考えてよいですか。
  • Ｑ1-40
    文書作成ソフトで議事録を作成しました。議事録には会議出席者の氏名が 記録されており、文書作成ソフトの検索機能を用いれば、特定の個人を検索 することが可能です。この議事録は個人情報データベース等に該当しますか。
  • Ｑ1-41
    防犯カメラやビデオカメラなどで記録された映像情報は、本人が判別できる映像であれば、個人情報データベース等に該当しますか。
  • Ｑ1-42
    録音した会話の内容に個人の氏名が含まれていますが、この場合、個人情報データベース等に該当しますか。
  • Ｑ1-43
    宅配便の送り状を受けた日付順に並べてファイリングしていますが、この場合、個人情報データベース等に該当しますか。
  • Ｑ1-44
    市販の電話帳等を無償で譲り受けた場合は個人情報データベース等から除外されますか。
  • Ｑ1-45
    市販の職員録をインターネット上からデータをダウンロードして購入した場合であっても、個人情報データベース等から除外されますか。
  • Ｑ1-46
    カーナビゲーションシステムを購入したユーザーにおいて、ルート設定や過去の訪問歴等を記録した場合は、当該ユーザーにとって当該カーナビゲーションシステムは個人情報データベース等から除外されますか。
  • Ｑ1-47
    ハローページは無償で頒布されていますが、個人情報データベース等から除外されないのですか。
  • Ｑ1-48
    個人情報データベース等に入力する前の帳票類であれば、個人情報データベース等に該当しませんか。
  • Ｑ1-49
    インターネット上等において不特定多数の者が取得できる公開情報（一般人・民間企業が公表している情報だけでなく、官報等公的機関が公表している情報を含む）を取得し、新たに特定の個人情報を検索することができるように構成したデータベースを作成した上で、不特定多数の者が閲覧できるようにすることはできますか。
  • Ｑ1-50
    個人情報を取り扱う件数が少ない事業者も個人情報取扱事業者に該当しますか。
  • Ｑ1-51
    個人情報を「事業の用に供している」とは、どのような意味ですか。加工、分析などをせず、データベースとして利用しているのみであれば、該当しませんか。
  • Ｑ1-52
    従業者に関する個人情報データベース等しか保有していない場合であっても、個人情報取扱事業者に該当しますか。
  • Ｑ1-53
    委託業務として、委託元の個人情報データベース等を利用していますが、この場合も、個人情報取扱事業者に該当しますか。
  • Ｑ1-54
    NPO 法人や自治会・町内会、同窓会、PTA のような非営利の活動を行っている団体も、個人情報取扱事業者として、個人情報保護法の規制を受けるのですか。
  • Ｑ1-55
    民生委員・児童委員が個人情報を取り扱う場合、個人情報取扱事業者として個人情報保護法の規制を受けるのですか。
  • Ｑ1-56
    個人データの取扱いが委託される場合、当該個人データは委託元と委託先のどちらの保有個人データとなりますか。
  • Ｑ1-57
    ガイドライン（通則編）２-７の「（４）当該個人データの存否が明らかに なることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維 持に支障が及ぶおそれがあるもの」の事例1について、「警察から捜査関係 事項照会等がなされることにより初めて取得した個人データ」とありますが、これは具体的にはどのような意味ですか。
  • Ｑ1-58
    ガイドライン（通則編）２-７の「（４）当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの」の事例４について、「振り込め詐欺に利用された口座に関する情報に含まれる個人データ」とありますが、振り込め詐欺に利用された口座に関する全ての情報が「保有個人データ」に当たらないということですか。
  • Ｑ1-59
    店頭販売が中心の事業者が「公表」を行う場合、店頭ではなくホームページで公表することは可能ですか。
  • Ｑ1-60
    本人に対して、一定期間内に回答がない場合には同意したものとみなす旨の電子メールを送り、当該期間を経過した場合に、本人の同意を得たこととすることはできますか。
  • Ｑ1-61
    同意は、本人の明示的な意思表示を受ける方法によらなければなりませんか。
  • Ｑ1-62
    何歳以下の子どもについて、同意をしたことによって生ずる結果を判断できる能力を有していないものとして、法定代理人等から同意を得る必要がありますか。
  • Ｑ1-63

    個人情報保護法におけるいくつかの義務の例外規定として「法令に基づく場合」というものがありますが、ガイドラン（通則編）に記載されたもの（刑事訴訟法第197条第２項に基づく警察の捜査関係事項照会への対応等）の他にどのようなものがありますか。また、「法令」とは、法律以外も含まれるのですか。

    （参考）「法令に基づく場合」という例外規定が関連する主な条文

    • 法第18条第３項第１号（利用目的による制限）
    • 法第20条第２項第１号（要配慮個人情報の取得）
    • 法第27条第１項第１号（第三者提供の制限）
    • 法第28条（外国にある第三者への提供の制限）
    • 法第29条（第三者提供に係る記録の作成等）
    • 法第30条（第三者提供を受ける際の確認等）
    • 法第31条個人関連情報の第三者提供の制限等）
    • 法第41条第６項個人情報である仮名加工情報の第三者提供の制限等）
    • 法第42条第１項個人情報でない仮名加工情報の第三者提供の制限等）

• 1-2 　個人情報の利用目的（法第15条～第16条、第18条第3項関係）
  • Ｑ2-1
    個人情報取扱事業者は、個人情報の利用目的を「できる限り特定しなければならない」とされていますが、どの程度まで特定する必要がありますか。
  • Ｑ2-2
    顧客の個人情報だけでなく、従業員を雇用するに当たり取り扱う当該従業員の個人情報についても、利用目的を特定する必要がありますか。
  • Ｑ2-3
    「利用」とは何を意味しますか。
  • Ｑ2-4
    登記簿等を閲覧して個人情報を取得する場合も利用目的の特定が必要ですか。
  • Ｑ2-5
    個人情報を統計処理して特定の個人を識別することができない態様で利用する場合についても、利用目的として特定する必要がありますか。
  • Ｑ2-6
    当初の利用目的が変更となったためその旨を通知する際、利用目的の範囲に含まれない商品告知等もあわせて同封することは問題はないのですか。
  • Ｑ2-7
    利用目的の変更通知は、「××から◯◯に変わった」というように変更前の利用目的との対比によって示す必要がありますか。
  • Ｑ2-8
    法第 15 条第２項において、利用目的の変更が認められると考えられる事例を教えてください。
  • Ｑ2-9
    法第 15 条第２項において、利用目的の変更が認められないと考えられる事例を教えてください。
  • Ｑ2-10
    このたび他社の事業を承継することとなり、これに伴って当該他社が保有していた個人情報も譲り受けることになりました。当社は、当該他社が保有していた個人情報を自社サービスに利用することができますか。
  • Ｑ2-11
    不動産の売買が行われる際に、不動産所有者が売買契約締結前の交渉段階で、当該不動産の購入希望者から当該不動産に関する調査を受け、当該不動産の賃借人に係る個人データを提供する場合は、あらかじめ本人の同意を得る必要がありますか。
  • Ｑ2-12
    ガイドライン（通則編）３-４-３（２）の「事業承継の交渉が不調となった場合の措置等」とは、具体的にどのような内容が考えられますか。
  • Ｑ2-13
    法第 16 条第３項第２号及び第３号に「本人の同意を得ることが困難であるとき」とありますが、例えばどのような場合がこれに該当しますか。
  • Ｑ2-14
    製薬企業が過去に臨床試験等で取得した個人情報を、有効な治療方法や薬剤が十分にない疾病等に関する疾病メカニズムの解明を目的とした研究のために、自社内で利用することを考えています。個人情報に係る本人の連絡先を保有しておらず、本人の同意を得ることが困難なのですが、本人同意なしに利用することは可能ですか。
  • Ｑ２－15
    医療機関等が、以前治療を行った患者の臨床症例を、利用目的の範囲に含まれていない観察研究のために、当該医療機関等内で利用することを考えています。本人の転居等により有効な連絡先を保有していない場合や、同意を取得するための時間的余裕や費用等に照らし、本人の同意を得ることにより当該研究の遂行に支障を及ぼすおそれがある場合は、本人同意なしに利用することは可能ですか。
• １－４　個人情報の取得（法第20条・第21条関係）
  • Ｑ４-1
    サービスを利用した本人から友人を紹介してもらい、当該本人を介して、その友人の個人情報を取得する、「友人紹介キャンペーン」による取得は個人情報の取得の手段として適正ですか。
  • Ｑ４-2
    名簿業者から個人の名簿を購入することは禁止されていますか。また、不正取得された名簿をそれと知らずに購入した場合は、どうですか。
  • Ｑ４-3
    ガイドライン（通則編）３-２-1の「個人情報取扱事業者が不正の手段により個人情報を取得している事例」事例５の「法第 23 条第1項に規定する第三者提供制限違反がされようとしていること」を容易に知ることができる場合とは、具体的にどのような場合が考えられますか。
  • Ｑ４-4
    個人情報を含む情報がインターネット等により公にされている場合、①当該情報を単に画面上で閲覧する場合、②当該情報を転記の上、検索可能な状態にしている場合、③当該情報が含まれるファイルをダウンロードしてデータベース化する場合は、それぞれ「個人情報を取得」していると解されますか。
  • Ｑ４-5
    平成 27 年改正の施行（平成 29 年５月 30 日）前に取得した個人情報であって、施行後に要配慮個人情報に該当することとなった場合、改めて取得について本人同意を得る必要がありますか。
  • Ｑ４-6
    平成 27 年改正の施行（平成 29 年５月 30 日）前に取得した個人情報であって、施行後に要配慮個人情報に該当することとなり、当該情報について、新たに第三者提供をする場合には本人同意を得る必要がありますか。
  • Ｑ４-7
    ①郵便物の誤配など、事業者が求めていない要配慮個人情報が送られてきたことにより要配慮個人情報を手にすることとなった場合や、②要配慮個人情報を含む情報がインターネット等により公にされている場合であって単にこれを閲覧した場合であっても、事業者は要配慮個人情報の取得について本人の同意を得る必要がありますか。
  • Ｑ４-8
    本人の話し方や振る舞いから要配慮個人情報を取得した場合も、外形上明らかな要配慮個人情報を取得する場合に該当しますか。
  • Ｑ４-9
    取引の過程で、相手方企業の代表者等に前科があることが判明した場合、当該代表者等の同意を得る必要がありますか。
  • Ｑ４-10
    住民基本台帳を閲覧して取得した個人情報を使ってダイレクトメールを送ることができますか。
  • Ｑ４-11
    飲食店を営んでいます。顧客から予約を受けるときに取得した個人情報を取り扱う際に、どんなことに注意すればよいですか。
  • Ｑ４-12
    PTA が学校から生徒等に関する個人情報を取得する場合、どういった点に注意すればよいですか。
  • Ｑ４-13
    市販の人名録を使ってダイレクトメールを送付したいのですが、その人名録の利用目的を当該ダイレクトメールに記載して送付したいと考えています。人名録を買ってどれくらいの期日までにダイレクトメールを送付すれば、法第 18 条第1項にいう「速やかに」に該当しますか。
  • Ｑ４-14
    グループ企業全体の採用の応募受付をホームページで行っています。応募者には個人情報をグループ企業間において共同利用する旨をこのホームページに掲載していますが、利用目的については採用活動のためであることが明らかなため、特に明示しなくてもよいですか。
  • Ｑ４-15
    名刺交換により取得した連絡先に対して、自社の広告宣伝のための冊子や電子メールを送ることはできますか。
  • Ｑ４-16
    申込書やホームページ上のユーザー入力画面で連絡先を記入させる場合、当該連絡先の利用目的を明示する必要がありますか。また、具体的にどのような場合に取得の状況からみて利用目的が明らかで利用目的の明示が不要となりますか。
  • Ｑ４-17
    私立学校、自治会・町内会、同窓会、PTA 等が本人から書面で提出を受けた個人情報を利用して名簿を作成し、配布する場合はどのようにすればよいですか。
• １－５　個人データの管理（法第22条～第25条関係）
  • Ｑ５-1
    A 事業のために個人データを取得した後、B 事業のために取得した個人データの内容から住所変更があった事実が判明した場合、A 事業についても住所変更を反映させることが可能ですか。
  • Ｑ５-2
    取得した個人情報は、いつ廃棄しなければなりませんか。
  • Ｑ５-3
    「遅滞なく消去する」とは、具体的にどのような期間で消去することを求めていますか。
  • Ｑ５-4
    防犯カメラにおける顔画像や顔認証データなどの個人データの保有期間についてはどのように考えれば良いですか。
  • Ｑ５-5
    法第 21 条で定められている「従業者の監督」の「従業者」には、派遣社員も含まれますか。
  • Ｑ５-6
    町内会やマンション管理組合等において、監督が必要となる「従業者」には、どのような者が該当しますか。
  • Ｑ５-7
    従業者に対する監督の一環として、個人データを取り扱う従業者を対象とするビデオやオンライン等による監視（モニタリング）を実施する際の留意点について教えてください。
  • Ｑ５-8
    「委託契約の締結」に関して、実態として安全管理措置に係る委託元と委託先の合意が担保できるものであれば、「業務委託契約書の取交し」以外の態様（例えば、委託先から委託元への誓約書の差入れや、覚書や合意書などの取交し）も認められますか。
  • Ｑ５-9
    「委託先における個人データ取扱状況の把握」に関して、委託元が委託先に立入検査等を行うことは義務ですか。
  • Ｑ５-10
    委託元が、法第 20 条が求める水準を超える高い水準の安全管理措置を講じている場合、委託先は、これと同等の水準の措置を講じる必要がありますか。
  • Ｑ５-11
    外部事業者に定型的業務を委託する場合、必ず、当該外部事業者が用意している約款等に加えて、自己の社内内規を遵守するよう求める覚書を追加的に締結する等の対応が必要となりますか。
  • Ｑ５-12
    個人データの取扱いを委託する場合、委託元は委託先に対して、当該委託業務に従事する委託先の従業員から守秘義務等に係る誓約書を取得することが義務付けられていますか。また、委託先の従業員等の個人情報の提出を求めることはできますか。

• １－６　個人データの漏えい等の報告等（第26条関係）

  • Ｑ６－１
    個人データの漏えいに該当しない「個人データを第三者に閲覧されないうちに全てを回収した場合」としては、どのようなものがありますか。
  • Ｑ６－２
    個人データが記録されたUSBメモリを紛失したものの、紛失場所が社内か社外か特定できない場合には、漏えいに該当しますか。
  • Ｑ６－３
    ガイドライン（通則編）３－５－２の「漏えい等事案が発覚した場合に講ずべき措置」の「（１）事業者内部における報告及び被害の拡大防止」にある「責任ある立場の者」とは、どういう役職を想定していますか。
  • Ｑ６－４
    ガイドライン（通則編）３－５－２の「漏えい等事案が発覚した場合に講ずべき措置」の「（１）事業者内部における報告及び被害の拡大防止」にある「漏えい等事案による被害が発覚時よりも拡大しないよう必要な措置を講ずる」とは、具体的には、どのような対応をとることが考えられますか。
  • Ｑ６－５
    ガイドライン（通則編）３－５－２の「漏えい等事案が発覚した場合に講ずべき措置」の「（３）影響範囲の特定」にある「把握した事実関係による影響範囲の特定のために必要な措置を講ずる」とは、どういうことですか。
  • Ｑ６－６
    本人が第三者の作成した個人情報取扱事業者のウェブサイトに偽装したウェブサイト（いわゆるフィッシングサイト）にアクセスし、個人データを入力した場合、報告対象となりますか。
  • Ｑ６－７
    医療機関において、健康診断等の結果を誤って本人以外の者に交付した場合には、報告対象となりますか。
  • Ｑ６－８
    取り扱う個人データの一部が漏えいし、当該漏えいした個人データによっては第三者が特定の個人を識別することができない場合でも、報告対象となりますか。
  • Ｑ６－９
    個人データである住所、電話番号、メールアドレス、SNSアカウントが漏えいした場合、「不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等」（施行規則第６条の２第２号）に該当しますか。
  • Ｑ６－10
    個人データであるクレジットカード番号のみが漏えいした場合「不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等」（施行規則第７条第２号）に該当しますか。
  • Ｑ６－11
    クレジットカード又はデビッドカードを誤って第三者に郵送した場合、報告対象となりますか。
  • Ｑ６－12
    個人データである銀行口座情報（金融機関名、支店名、預金種別、口座番号、口座名義等）のみが漏えいした場合「不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等」（施行規則第６条の２第２号）に該当しますか。
  • Ｑ６－13
    「不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等」（施行規則第６条の２第２号）について、漏えい等が生じた後に講じた措置によって財産的被害が生じるおそれがなくなった場合でも報告対象となりますか。
  • Ｑ６－14
    ガイドライン（通則編）３－５－３－１の「（※３）（イ）」に「個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において、情報を窃取する振る舞いが判明しているマルウェアの感染が確認された場合」とありますが、個人データを格納しているサーバにおいてマルウェアを検知した場合には、漏えいのおそれがあると判断されますか。
  • Ｑ６－15
    報告対象事態に該当しない場合であっても、個人情報保護委員会等への報告を行うことは可能ですか。
  • Ｑ６－16
    「漏えい等が発生し、又は発生したおそれがある個人データについて、高度な暗号化等の秘匿化がされている場合」とは、どのような場合が該当しますか。
  • Ｑ６－17
    テンプレート保護技術（暗号化等の技術的措置を講じた生体情報を復号することなく本人認証に用いる技術）を施した個人識別符号が漏えいした場合も、報告対象となりますか。
  • Ｑ６－18
    委託元から個人データの取扱いの委託を受けている場合において、委託元において報告対象となる個人データの漏えい等が発生した場合、委託先は報告義務を負いますか。
  • Ｑ６－19
    クラウドサービス提供事業者が、個人データを取り扱わないこととなっている場合（Ｑ７－53参照）において、報告対象となる個人データの漏えい等が発生したときには、クラウドサービスを利用する事業者とクラウドサービス提供事業者はそれぞれ報告義務を負いますか。
  • Ｑ６－20
    配送事業者を利用して個人データを含むものを送る場合において、当該配送事業者の誤配送により報告対象となる個人データの漏えいが発生したときには、配送事業者を利用した事業者と配送事業者はそれぞれ報告義務を負いますか。
  • Ｑ６－21
    ガイドライン（通則編）３－５－３－３において、報告期限の起算点となる「知った」時点について、「個人情報取扱事業者が法人である場合には、いずれかの部署が当該事態を知った時点を基準」とありますが、具体的には部署内の誰が認識した時点を基準としますか。
  • Ｑ６－22
    漏えい等報告における報告事項となっている「二次被害又はそのおそれの有無及びその内容」の「二次被害」にはどのような事項が含まれますか。
  • Ｑ６－23
    漏えい等報告における報告事項となっている「その他参考となる事項」には、どのような事項が含まれますか。
  • Ｑ６－24
    漏えい等事案について、個人情報保護委員会に報告する場合、どのような方法で報告すればよいですか。
  • Ｑ６－25
    個人番号を含む個人データの漏えい等が発生し、行政手続における特定の個人を識別するための番号の利用等に関する法律（平成25年法律第27号）第29条の４の報告対象に該当するとともに、法第26条第１項の報告対象にも該当する場合には、どのように報告を行えばよいですか。
  • Ｑ６－26
    本人への通知について、口頭で行うことは可能ですか。
  • Ｑ６－27
    本人に関する連絡先を複数保有している場合において、１つの連絡先に連絡して本人に連絡がとれなければ、本人への通知が困難であると解してよいですか。
  • Ｑ６－28
    ガイドライン（通則編）３－５－４－５の「代替措置に該当する事例」である「問合せ窓口を用意してその連絡先を公表し、本人が自らの個人データが対象となっているか否かを確認できるようにする」場合について、問合せ窓口として、常設している個人情報の取扱いに関する相談を受け付ける窓口を利用することは可能ですか。
  • Ｑ６－29
    本人への通知の代替措置として事案の公表を行う場合に、本人が特定されるおそれがある事項についてまで公表する必要がありますか。
  • Ｑ６－30
    漏えい等事案が発生した場合に、公表を行うことは義務付けられていますか。

• １－７　個人データの第三者への提供（法第23条～第26条関係）

  • Ｑ７-1
    「第三者」とはどのような者をいうのですか。
  • Ｑ７-2
    会社の他の部署へ個人データを提供する場合、あらかじめ本人の同意を得る必要はありますか。
  • Ｑ７-3
    当社の提携会社や協力会社から、当社の従業者にお中元を贈りたいとの理由で、当該従業者の連絡先を教えてほしいと言われた場合に、提携会社や協力会社に当該従業者の連絡先を提供してもよいですか。
  • Ｑ７-4
    ある大学から当社に対して、当社に勤務する当該大学の卒業生の名簿（氏名・卒業年度・所属部署）の提出を求められました。これは第三者提供に該当しますか。従業者数が多いので同意の取りようがないのですが、具体的に何をすればよいですか。
  • Ｑ７-5
    デパートの中で、迷子になった幼少児の名前をアナウンスしても問題はありませんか。
  • Ｑ７-6
    「あらかじめ」とは、具体的にはいつまでに同意を得る必要がありますか。
  • Ｑ７-7
    本人から個人情報を取得する際に、同時に第三者提供についての同意を得ることはできるのですか。
  • Ｑ７-8
    本人の同意は、個人データの第三者提供に当たってその都度得る必要があるのですか。
  • Ｑ７-9
    第三者提供の同意を得るに当たり、提供先の氏名又は名称を本人に明示する必要はありますか。
  • Ｑ７-10
    介護施設の入居者の家族から、当該入居者に関する情報の提供の依頼があった場合、提供してもよいですか。
  • Ｑ７-11
    会社の行事で撮影された写真などを、当社内で展示する場合、写真に写っている本人からあらかじめ同意を得る必要がありますか。
  • Ｑ７-12
    第三者から、当社を退職した従業者に関する在籍確認や勤務状況等について問合せを受けていますが、当該問合せに答えることはできますか。
  • Ｑ７-13
    企業の代表者情報等の公開情報を第三者提供する際に、本人の同意が必要ですか。
  • Ｑ７-14
    第三者提供の例外規定のひとつである「法令に基づく場合」であれば、必ず個人データを提供しなければなりませんか。
  • Ｑ７-15
    株主より株主名簿の閲覧を求められた場合、株主名簿を開示することは第三者提供に該当するため、全株主の同意がない限り、当該閲覧請求を拒否できますか。
  • Ｑ７-16
    弁護士法第 23 条の２に基づき、当社の従業者の情報について弁護士会から照会があった場合、当該従業者の同意を得ずに弁護士会に当該従業者情報を提供してもよいですか。
  • Ｑ７-17
    刑事訴訟法第 197 条第２項に基づき、警察から顧客に関する情報について照会があった場合、顧客本人の同意を得ずに回答してもよいですか。同法第507 条に基づき、検察官から裁判の執行に関する照会があった場合はどうで すか。
  • Ｑ７-18
    株主総会開催の際、管轄の警察署に会場の警備を依頼しています。それに伴い、要注意株主のリスト（氏名、住所、持株数等）の提出を警察署から求められた場合、個人情報保護法との関係では、本人の同意なく提供することができますか。
  • Ｑ７-19
    過去に販売した製品に不具合が発生したため、製造会社で当該製品を回収することになりました。販売会社を通じて購入者情報を提供してもらい、製造会社から購入者に連絡を取りたいのですが、購入者数が膨大なため、販売会社が購入者全員から第三者提供についての同意を得るのは困難です。さらに、製品の不具合による人命に関わる事故が発生するおそれもあるため、製品を至急回収したいのですが、このような場合でも購入者全員の同意を得なければならないですか。
  • Ｑ７-20
    民生委員・児童委員をしていますが、市町村や民間の事業者から、活動に必要な個人情報の提供を受けられず苦慮しています。提供を受けることは可能ですか。
  • Ｑ７-21
    大規模災害等の緊急時に、被災者情報・負傷者情報等の個人情報を関係者で共有する場合、本人の同意なく共有することができますか。
  • Ｑ７-22
    地震等の災害時に支援が必要な高齢者、障害者等のリストを災害時に備えて関係者間で共有することは可能ですか。
  • Ｑ７-23
    自社の従業者が指定感染症に罹患したため、当該従業者が感染可能期間中に訪問した取引先が適切な対応策を取ることができるよう、情報提供することを考えています。当該従業者は現在入院しており、取引先への第三者提供に係る同意を取得することが困難ですが、同意を取得せずに情報提供することはできますか。
  • Ｑ７-24
    医療機関が、以前治療を行った患者の臨床症例を、症例研究のために、他の医療機関へ提供することを考えています。本人の転居により有効な連絡先を保有しておらず、本人の同意を得ることが困難なのですが、本人同意なしに提供することは可能ですか。
  • Ｑ７-25
    医療機関が保有する患者の臨床症例について、有効な治療方法や薬剤が十分にない疾病等に関する疾病メカニズムの解明を目的とした研究のために、製薬企業へ提供することを考えています。本人の転居により有効な連絡先を保有しておらず、本人の同意を得ることが困難なのですが、本人同意なしに提供することは可能ですか。
  • Ｑ７－26
    オプトアウトの届出事項である「第三者に提供される個人データの取得の方法」（法第27条第２項第４号）に関して、オプトアウト届出を行っている個人情報取扱事業者が内部で独自に生成した個人データがある場合には、何か記載する必要がありますか。どのように記載すればよいですか。
  • Ｑ７-27
    ホームページに継続的に掲載すれば、法第 23 条第２項の「本人が容易に知り得る状態」に該当しますか。
  • Ｑ７-28
    サービスの提供の申込の際に、申込者から申込書・約款等で包括的に同意を得ながらも、事後的に当該同意の撤回を申し出ることができるようにしています。この場合、法第 23 条第２項・第３項に規定する手続に則る必要がありますか。
  • Ｑ７-29
    「本人・・・が当該提供の停止を求めるのに必要な期間をおくこと」（施行規則第７条第1項第1号）の「必要な期間」とは、いつから起算しますか。また、満了点はいつですか。
  • Ｑ７-30
    法第27条第２項各号に係る事項をインターネットで「本人が容易に知り得る状態」に置いている場合、個人情報保護委員会への届出をした後、改めて、施行規則第14条に基づき、公表しなければなりませんか。
  • Ｑ７－31
    オプトアウトにより提供を受けた個人データのオプトアウトによる再提供の禁止について、令和２年改正法の施行日（令和４年４月１日）以前にオプトアウトにより提供を受けた個人データについても再提供が禁止されますか。
  • Ｑ７－32
    オプトアウトにより提供を受けた個人データのオプトアウトによる再提供の禁止について、オプトアウト規定ができる前に他の事業者から取得した個人データについても、再提供が禁止されますか。
  • Ｑ７－33
    オプトアウトにより提供を受けた個人データについて、令和２年改正法の施行後において、提供を受けた個人情報取扱事業者が内部利用することはできますか。また、他の事業者からダイレクトメール発送の依頼を受けた場合、オプトアウトにより提供を受けた個人データをダイレクトメール発送のために利用することはできますか。
  • Ｑ７-34
    ダイレクトメールの発送業務を業者に委託する場合、ダイレクトメールの発送業務の委託に伴い、ダイレクトメールの送付先である顧客の氏名や住所等を本人の同意なくこの業者に伝えることはできますか。
  • Ｑ７-35
    配送事業者、通信事業者等の外部事業者を利用して、個人データを含むものを送る場合は、当該外部事業者に対して当該個人データの取扱いを委託（法第 23 条第５項第1号）しているものと考えられますか。
  • Ｑ７-36
    当社は、外部事業者を利用して消費者アンケート調査を実施します。当該外部事業者において新たに個人データを取得し、その結果を集計して統計情報を作成し、当社は統計情報のみ提供を受けます。この場合、当社は当該外部事業者に対して個人データの取扱いの委託（法第23 条第５項第１号）をしているものと考えられますか。
  • Ｑ７-37
    ガイドライン（通則編）３-４-３の「（1）委託（法第 23 条第５項第1号関係）」に、個人情報保護法上委託に該当しない場合として記載されている「委託された業務以外に当該個人データを取扱う」事例としては、どのようなものがありますか。
  • Ｑ７-38
    委託に伴って提供された個人データを、委託先が自社のために統計情報に加工した上で利用することはできますか。
  • Ｑ７-39
    委託に伴って提供された個人データを、委託業務を処理するための一環として、委託先が自社の分析技術の改善のために利用することはできますか。
  • Ｑ７-40
    広告配信の委託を受け、これに伴って提供された氏名・メールアドレス等の個人データを利用して広告配信を行い、当該広告に対する本人の反応等の別の個人データを取得しました。取得した別の個人データを自社のために利用することができますか。
  • Ｑ７－41
    委託に伴って提供された個人データを、委託先が独自に取得した個人データ又は個人関連情報と本人ごとに突合することはできますか。
  • Ｑ７－42
    委託に伴って提供された個人データを、委託先が独自に取得した個人データ又は個人関連情報と本人ごとに突合し、新たな項目を付加して又は内容を修正して委託元に戻すことはできますか。
  • Ｑ７-43
    A 社及びB 社から統計情報の作成の委託を受ける場合に、以下の取扱いをすることはできますか。

    • ①A 社及びB 社の指示に基づき、A 社から委託に伴って提供を受けた個人データとB 社から委託に伴って提供を受けた個人データを本人ごとに突合することで、本人ごとに個人データの項目を増やす等した上で統計情報を作成し、これをA 社及びB 社に提供すること
    • ②A 社及びB 社の指示に基づき、A 社から委託に伴って提供を受けた個人データとB 社から委託に伴って提供を受けた個人データを本人ごとに突合することなく、サンプルとなるデータ数を増やす目的で合わせて１つの統計情報を作成し、これをA 社及びB 社に提供すること
  • Ｑ７-44
    当社の事業の一部を他社に承継する場合において、利用目的の一部が当社に残るときは、当社に個人データを残して利用することはできますか。
  • Ｑ７-45
    「共同して利用する者の範囲」として、「必ずしも事業者の名称等を個別に全て列挙する必要はないが、本人がどの事業者まで利用されるか判断できるようにしなければならない」とのことですが、具体的にはどのような方法が考えられますか。
  • Ｑ７-46
    共同利用する際に「あらかじめ」本人への通知又は本人が知り得る状態に置く必要がありますが、「あらかじめ」とはいつまでですか。
  • Ｑ７-47
    複数の企業でセミナーを共催して、申込受付やアンケートを共同で実施する場合等、個人情報を数社が共同で取得する際には、どのようにすればよいですか。
  • Ｑ７-48
    共同して利用している個人データの内容（本人の住所等)の一部について、共同利用者が各自で更新することはできますか。
  • Ｑ７-49
    各共同利用者を「責任を有する者」とし、それぞれが開示等の請求等や苦情を受け付けることとすることはできますか。
  • Ｑ７-50
    防犯目的のために取得したカメラ画像・顔認証データ等について、防犯目的の達成に照らして真に必要な範囲内で共同利用をすることは可能ですか。その場合には、どのような点に注意する必要がありますか。
  • Ｑ７-51
    過去に取得した個人データを特定の事業者との間で共同利用することは可能ですか。
  • Ｑ７-52
    既に特定の事業者が取得している個人データを他の事業者と共同して利用する場合について、「社会通念上、共同して利用する者の範囲や利用目的等が当該個人データの本人が通常予期しうると客観的に認められる範囲内」に含まれる場合とは、どのような場合ですか。
  • Ｑ７-53
    個人情報取扱事業者が、個人データを含む電子データを取り扱う情報システムに関して、クラウドサービス契約のように外部の事業者を活用している場合、個人データを第三者に提供したものとして、「本人の同意」（法第 23 条第1項柱書）を得る必要がありますか。または、「個人データの取扱いの全部又は一部を委託」（法第 23 条第５項第1号）しているものとして、法第 22条に基づきクラウドサービス事業者を監督する必要がありますか。
  • Ｑ７-54
    クラウドサービスの利用が、法第 23 条の「提供」に該当しない場合、クラウドサービスを利用する事業者は、クラウドサービスを提供する事業者に対して監督を行う義務は課されないと考えてよいですか。
  • Ｑ７-55
    個人データを含む電子データを取り扱う情報システム（機器を含む。）の保守の全部又は一部に外部の事業者を活用している場合、個人データを第三者に提供したものとして、「本人の同意」（法第 23 条第1項柱書）を得る必要がありますか。または、「個人データの取扱いの全部又は一部を委託することに伴って・・・提供」（法第 23 条第５項第1号）しているものとして、法 第 22 条に基づき当該事業者を監督する必要がありますか。
  • Ｑ７-56
    マンション管理組合でマンションの修繕を予定しており、工事会社に居住者の個人情報を提供する必要がありますが、あらかじめ本人の同意を得なければいけませんか。
  • Ｑ７-57
    マンション管理組合とマンション管理会社の間で居住者の氏名等の情報を共有することは可能ですか。
  • Ｑ７-58
    マンション管理組合がマンション管理会社に管理業務を委託している場合に、管理組合が保有する組合員名簿を管理会社が提供してもらうよう求めることは可能ですか。
• １-８　個人関連情報の第三者提供の制限等（法第31条）
  • Ｑ８－１
    Cookie等の端末識別子は個人関連情報に該当しますか。家族等で情報端末を共用している場合はどうですか。
  • Ｑ８－２
    メールアドレスは個人関連情報に該当しますか。
  • Ｑ８－３
    個人関連情報を第三者に提供する場合には、常に本人の同意が得られていること等を確認しなければならないですか。
  • Ｑ８－４
    提供先の第三者が個人関連情報を「個人データとして取得することが想定される」かは、いつの時点を基準に判断しますか。
  • Ｑ８－５
    提供元の個人関連情報取扱事業者は、提供先の第三者における個人関連情報の取扱いを確認した上で、法第31条第１項の適用の有無を判断する必要がありますか。
  • Ｑ８－６
    ガイドライン（通則編）３－７－１－３では、「提供元の個人関連情報取扱事業者及び提供先の第三者間の契約等において」と記載されていますが、提供先の第三者が、提供を受けた個人関連情報を個人データとして利用しない旨の誓約書を提出した場合においても、法第31条第１項は適用されないこととなりますか。
  • Ｑ８－７
    ガイドライン（通則編）３－７－１－３では、「提供先の第三者が実際には個人関連情報を個人データとして利用することが窺われる事情がある場合」には、提供先の第三者における個人関連情報の取扱いを確認する必要があると記載されていますが、どのような場合には「窺われる事情がある」こととなりますか。
  • Ｑ８－８
    個人関連情報の第三者提供について、個人データの第三者提供における、委託、事業の承継及び共同利用（法第27条第５項各号）に相当する例外規定はありますか。
  • Ｑ８－９
    個人データの取扱いの委託に伴って委託先に個人データを提供しました。委託先にとって当該データが個人データに該当せず、個人関連情報に該当する場合、委託先が当該データを委託元に返す行為について、法第31条第１項は適用されますか。
  • Ｑ８－10
    A社が自社のウェブサイトにB社のタグを設置し、B社が当該タグを通じてA社ウェブサイトを閲覧したユーザーの閲覧履歴を取得している場合、A社はB社にユーザーの閲覧履歴を提供したことになりますか。
  • Ｑ８－11
    A社がB社に個人関連情報を提供することとなり、A社及びB社は、①B社が「本人」から法第31条第１項第１号の同意を取得する、②B社は同意を取得した「本人」のIDのリストをA社に提供する、③A社はリストに掲載されたIDと紐付く個人関連情報をB社に提供する、というフローで個人関連情報を提供することとしました。この場合、B社が、A社に対し、法第31条第１項第１号の同意を取得した「本人」のIDのみをA社に提供すると事前に誓約していれば、A社は、当該誓約及びIDのリストを確認することで、リストに掲載されたIDに係る「本人」各自について、「本人の同意が得られていること」（法第31条第１項第１号）を一括して確認することはできますか。
  • Ｑ８－12
    当社は、提供先の第三者が、ID及びウェブサイトの閲覧履歴の取得につき包括的に本人の同意を得ていることを確認し、当該「本人」のID及びこれに紐付くウェブサイトの閲覧履歴を提供して、その記録を作成しました。その後、当該第三者に対し、同一「本人」の以下の各個人関連情報を提供する場合、施行規則第26条第３項に基づき、本人の同意が得られていることの確認を省略することができますか。

    • ①　IDと紐付く商品購買履歴
    • ②　IDと紐付くウェブサイトの閲覧履歴（当社が前回提供後に取得したもの）
  • Ｑ８－13
    提供先の第三者との間で基本契約を締結して、これに基づき継続的に又は反復して個人関連情報を提供することを予定しています。この場合、記録義務はどのように履行すれば良いですか。
• 1-9　保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止等（法第27条～第34条関係）、個人情報の取扱いに関する苦情処理（法第35条関係）
  • Ｑ９-1
    法第 27 条第1項第３号は、開示等の請求等に応じる手続を本人の知り得る状態に置かなければならないと定めていますが、必ずホームページに掲載しなければいけませんか。
  • Ｑ９-2
    当社では、法第 27 条第1項に基づき、全ての保有個人データの利用目的を本人の求めに応じて遅滞なく回答することとしています。①全ての保有個人 データの利用目的について回答を求められた場合には、当該本人が識別され ない保有個人データの利用目的についても回答する必要がありますか。また、その場合、本人が識別される保有個人データの利用目的とそれ以外の利用目 的とを区別して回答する必要がありますか。②同条第２項の規定に基づく利 用目的の通知の求めの場合と比べて、対象となる利用目的の範囲などに違い はありますか。
  • Ｑ９-3
    社内で取り扱う個人情報については、個人情報が検索できる状態ではありませんが、そのような状態であれば、本人からの開示の請求に応じなくてもよいですか。
  • Ｑ９－４
    従業者の監督（法第24条）・委託先の監督（法第25条）についても、「法第23条の規定により保有個人データの安全管理のために講じた措置」（法第32条第１項第４号・施行令第10条第１号）として、本人の知り得る状態に置く必要がありますか。
  • Ｑ９－５
    社内で取り扱う個人情報については、個人情報が検索できる状態ではありませんが、そのような状態であれば、本人からの開示の請求に応じなくてもよいですか。
  • Ｑ９-6
    市販の人名録を利用してダイレクトメール等を送付していた場合、人名録の利用者は、その内容の訂正、追加、削除等の権限を有していないため、保有個人データに該当しないものとして、開示等の請求を受けた場合であっても、これに応じる義務はないと考えてよいですか。
  • Ｑ９-7
    「貴社が保有する私の情報全てを開示せよ」という請求があった場合には、どのように対応したらよいですか。
  • Ｑ９-8
    保有個人データであっても、本人以外の他の個人情報（例えば、家族の氏名等）が同時に含まれているものがあります。本人からの保有個人データの開示の請求があった場合、家族の氏名等、本人以外の他の個人情報については、開示をしなくともよいですか。
  • Ｑ９-9
    ユーザーから商品クレームに関する問合せ等があり、それをデータベース化しています。データベースには、ユーザーの氏名・電話番号及び対応履歴等だけでなく、会社としての所見（例えば、「悪質なクレーマーと思われる」） が記録されていることもあります。これらは全て保有個人データに該当し、開示の請求に応じなければならないですか。
  • Ｑ９-10
    本人から自分の個人情報の取得元の開示を請求された場合には、どのように対応すればよいですか。
  • Ｑ９-11
    雇用管理情報には、人事評価や選考に係る個々人の情報など非開示とすることが想定される情報が含まれますが、どのように対応したらよいですか。
  • Ｑ９－12
    保有個人データの開示請求を受けた場合、請求対象となるデータを検索・集約する等の一定の作業を要する場合がありますが、請求を受けてからどの程度の期間内に開示する必要がありますか。
  • Ｑ９-13
    防犯目的のために、万引き・窃盗等の犯罪行為や迷惑行為に対象を限定した上で、顔認証データを登録して保有個人データとした場合には、個人情報保護法に基づきどのように開示請求、内容の訂正、利用停止の請求等に対応する必要がありますか。
  • Ｑ９－14
    法第31条３項において準用される法第30条第３項の記録（個人関連情報の第三者提供に関する記録）は、法第33条第５項において準用される同条第１項に基づく第三者提供記録の開示対象となりますか。
  • Ｑ９－15
    本人から開示請求された記録が第三者提供記録から除かれる「その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの」（法第33条第５項）に該当する場合、どのように対応すればよいですか。
  • Ｑ９-16
    ガイドライン（通則編）３－８－３－２において、契約書の代替手段による方法で第三者提供記録を作成した場合、「当該契約書中、記録事項となっている事項を抽出した上で、本人が求める方法により開示すれば足り、契約書そのものを開示する必要はない」とありますが、具体的にどのような方法で開示をすることが考えられますか。
  • Ｑ９－17
    第三者提供記録の開示請求を受けた場合、請求対象となる記録を検索・集約する等の一定の作業を要する場合がありますが、請求を受けてからどの程度の期間内に開示する必要がありますか。
  • Ｑ９－18
    一般的には「削除」と「消去」は同じ意味と考えられますが、保有個人データを削除すべき場合（法第34条）と消去すべき場合（法第35条）の違いは何ですか。
  • Ｑ９-19
    本人から保有個人データの評価が誤っているとして訂正等の請求があった場合には、訂正等に応じなければなりませんか。
  • Ｑ９-20
    会社の採用面接で不採用にした応募者から、当社に提出された履歴書の返却を求められていますが、個人情報取扱事業者として、返却に応じなければなりませんか。
  • Ｑ９-21
    当社では、電話で資料請求をしてきたお客様にダイレクトメールを送付していますが、お客様から、ダイレクトメールの停止及び個人情報の消去を求められた場合、応じなければならないですか。
  • Ｑ９-22
    職した社員から、法第35条第５項に基づき、利用する必要がなくなった場合に該当するとして保有個人データの消去を求められた場合、応じなければならないですか。
  • Ｑ９－23
    ガイドライン（通則編）３－８－５－１に「本人の権利又は正当な利益が害されるおそれがないとして利用停止等又は第三者提供の停止が認められないと考えられる事例」として記載されている「過去の信用情報に基づく融資審査により新たな融資を受けることが困難になった者が、新規の借入れを受けるため、当該信用情報を保有している個人情報取扱事業者に対して現に審査に必要な信用情報の利用停止等又は第三者提供の停止を請求する場合」について、本人が今後金融機関に一切融資を申し込むつもりがないとしている場合には、「現に審査に必要」ではないとして、利用停止等又は第三者提供の停止の請求に応じなければならないですか。
  • Ｑ９－24
    本人の権利又は正当な利益が害されるおそれがある場合の利用停止等について、「法令を遵守するために当該保有個人データを取り扱う事情」が正当かどうかの判断において考慮されるとのことですが、将来受ける可能性のある行政調査等も考慮されますか。
  • Ｑ９-25
    本人からの開示等の請求等に備えて、開示等の請求等を受け付ける方法をあらかじめ定めておく必要がありますか。
  • Ｑ９-26
    開示等の請求等をする者が本人であることの確認の方法として、運転免許証の提示に加え、印鑑登録証明書の提示を求めることはできますか。
  • Ｑ９-27
    開示等の手数料はいくらにすべきですか。
  • Ｑ９-28
    本人から開示の請求があり、開示手数料を徴収している場合、結果として開示しなかった場合でも、徴収した手数料は返さなくてもよいですか。
  • Ｑ９-29
    当社では、保有個人データの開示の請求を受けた際に手数料を徴収することとしましたが、手数料により利潤を得ることはできますか。また、開示の方法を閲覧のみにすることは、個人情報保護法上問題がありますか。
  • Ｑ９-30
    事前の請求の手続は、平成 27 年改正の施行（平成 29 年５月 30 日）前の開示等の求めの手続と同じ手続ということでよいですか。
  • Ｑ９-31
    苦情の適切かつ迅速な処理を行うに当たり、具体的にはどのような体制を整備すればよいですか。
  • Ｑ９-32
    個人情報保護法に基づく開示請求、内容の訂正、利用停止の請求等への対応等に関する苦情や相談がある場合に、当該個人情報取扱事業者とともに、認定個人情報保護団体が対応することは可能ですか。
• １－10　講ずべき安全管理措置の内容
  • Ｑ10-1
    ガイドライン（通則編）（８（別添）講ずべき安全管理措置の内容）に示されている項目を全て講じないと違法になりますか。
  • Ｑ10-2
    「中小規模事業者」の定義における「従業員」にはどのような者が含まれますか。また、いつの時点の従業員の数で判断されますか。
  • Ｑ10-3
    「中小規模事業者」の定義のうち、「事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数」について、例えば、市販の電話帳を保有している場合、これに氏名・電話番号等が掲載されている個人の数は含まれますか。
  • Ｑ10-4
    「中小規模事業者」の定義のうち、「事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数」について、例えば、倉庫業、データセンター等の事業において、当該情報が個人情報に該当するかどうかを認識することなく預かっている場合は、当該情報中に含まれる個人情報に係る個人の数は含まれますか。
  • Ｑ10-5
    「中小規模事業者」も、大企業と同等の安全管理措置を講じなくてはいけませんか。
  • Ｑ10-6
    従来、主務大臣が定めていたガイドラインに従って、適切に安全管理措置を講じているが、さらに多くのことをしなければいけないのか。
  • Ｑ10-7
    標的型メール攻撃や、その他不正アクセス等による個人データの漏えい等の被害を防止するために、安全管理措置に関して、どのような点に注意すればよいですか。
  • Ｑ10-8
    防犯カメラを設置して個人データを取り扱う場合には、安全管理措置として特にどのような点に注意すれば良いですか。
  • Ｑ10-9
    基本方針の策定は義務ですか。またこれを公表することは義務ですか。
  • Ｑ10-10
    「個人データの取扱状況を確認する手段の整備」に関して、いわゆる「個人情報取扱台帳」のようなものを作成しなければいけませんか。
  • Ｑ10-11
    「取扱状況の把握及び安全管理措置の見直し」について、手法の例示として「監査を実施する」とありますが、実施に当たって参考となるような規格はありますか。
  • Ｑ10-12
    「従業者の教育」について、研修の頻度はどの程度とすることが適切ですか。
  • Ｑ10-13
    従業者との雇用契約において守秘義務を定めたり、派遣社員の派遣元との間の契約において派遣社員の守秘義務を定めることは義務付けられますか。
  • Ｑ10-14
    「従業者の教育」としての研修は、全従業者を一堂に集めて講義形式で行う必要がありますか。
  • Ｑ10-15
    「個人データを取り扱う区域の管理」に関して、個人データを取り扱う場所は、全て厳格な入退室管理を実施する必要がありますか。
  • Ｑ10-16
    「座席配置の工夫」「のぞき込みを防止する措置」「個人データを取り扱うことのできる従業者及び本人以外が容易に個人データを閲覧等できないような措置」とは、例えばどのような措置が該当しますか。
  • Ｑ10-17
    紙でしか個人情報を管理していない場合も、技術的安全管理措置を講じる必要がありますか。
  • Ｑ10-18
    「アクセス制御」を講じるための手法は、ガイドライン（通則編）で示されている以外にどのようなものが考えられますか。
  • Ｑ10-19
    「アクセス者の識別と認証」を講じるための手法は、ガイドライン（通則編） で示されている以外にどのようなものが考えられますか。
  • Ｑ10-20
    「外部からの不正アクセス等の防止」を講じるための手法は、ガイドライン（通則編）で示されている以外にどのようなものが考えられますか。
  • Ｑ10-21
    「情報システムの使用に伴う漏えい等の防止」を講じるための手法は、ガイドライン（通則編）で示されている以外にどのようなものが考えられますか。
  • Ｑ10－22
    「外的環境の把握」について、「外国において個人データを取り扱う場合」とは、どのような場合ですか。
  • Ｑ10－23
    「外的環境の把握」について、外国にある支店や営業所に個人データを取り扱わせる場合には、当該外国の個人情報の保護に関する制度等を把握する必要がありますか。外国にある従業者に個人データを取り扱わせる場合はどうですか。

    また、この場合、「法第23条の規定により保有個人データの安全管理のために講じた措置」（法第32条第１項第４号・施行令第10条第１号）として、どのような事項を本人の知り得る状態に置く必要がありますか。

  • Ｑ10－24
    「外的環境の把握」について、外国にある第三者に個人データの取扱いを委託する場合には、当該外国の個人情報の保護に関する制度等を把握する必要がありますか。委託先が外国にある第三者に個人データの取扱いを再委託した場合はどうですか。

    また、この場合、「法第23条の規定により保有個人データの安全管理のために講じた措置」（法第32条第１項第４号・施行令第10条第１号）として、どのような事項を本人の知り得る状態に置く必要がありますか。

  • Ｑ10－25
    「外的環境の把握」について、外国にある第三者の提供するクラウドサービスを利用し、その管理するサーバに個人データを保存する場合、当該外国の個人情報の保護に関する制度等を把握する必要がありますか。

    また、この場合、「法第23条の規定により保有個人データの安全管理のために講じた措置」（法第32条第１項第４号・施行令第10条第１号）として、どのような事項を本人の知り得る状態に置く必要がありますか。

• １－11　その他
  • Ｑ11-1
    個人情報取扱事業者等が個人情報保護法に違反した場合、どのような措置が採られるのですか。
  • Ｑ11-2
    外国で活動する事業者ですが、日本にいる者に対して音楽の配信サービスを提供するために本人から個人情報を取得する場合、その個人情報の取扱いについて個人情報保護法は適用されますか。また、日本の別の事業者から個人情報を取得する場合はどうなりますか。
  • Ｑ11-3
    外国で活動する事業者で、日本を含む各国にいる者に対してサービスを提供しており、当該サービス提供のため各本人から個人情報を取得しています。日本の利用者の個人データを含む漏えい等事案が生じた場合、漏えい等事案が発覚した場合に講ずべき措置をとるとともに、個人情報保護委員会等へ報告する必要がありますか。
  • Ｑ11-4
    外国で活動する事業者ですが、日本国内の事業者から、日本国内のユーザー向けのアプリの開発・運営のため、日本国内のユーザーを本人とする個人データの取扱いの委託を受けました。この場合、外国の事業者が委託に伴って取得した個人データの取扱いについて個人情報保護法は適用されますか。
  • Ｑ11-5
    個人情報保護法の適用除外とはどのような制度ですか。
  • Ｑ11-6
    大学等の学術研究機関と民間企業や私立病院等が、学術研究目的の研究を共同で行う場合における個人情報の取扱いに関して留意すべき点を教えてください。

２　ガイドライン（外国にある第三者への提供編）

• Ｑ12-1
  委託は法第27条第１項の第三者提供に当たらないとされていますが、外国にある第三者に個人データの取扱いを委託する場合は、法第28条第１項に基づいて「外国にある第三者への個人データの提供を認める」旨の本人の同意を得る必要がありますか。
• Ｑ12-2
  「個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国」はどこですか。
• Ｑ12-3
  外国にあるサーバに個人データを含む電子データを保存することは外国にある第三者への提供に該当しますか。
• Ｑ12-4
  外国の事業者が運営するクラウドを利用していますが、サーバは国内にある場合、外国にある第三者への提供に該当しますか。
• Ｑ12-5
  国内事業者が外国事業者に個人データを提供する場合において、当該外国事業者が日本に出張所を有する場合、外国にある第三者に提供したこととなりますか。
• Ｑ12-6
  施行規則第16条第１号では、「個人情報取扱事業者と個人データの提供を受ける者との間」で適切かつ合理的な方法により措置の実施を確保することとされています。国内にある事業者Aが外国にある事業者との間で、Aのグループ会社の個人データの取扱いに係る委託契約を締結していますが、Aの子会社であり、Aと同じ内規等が適用される国内にある事業者Bが、当該外国にある事業者に対して委託に伴って個人データを提供する場合、当該委託契約及び当該内規等は「適切かつ合理的な方法」に該当しますか。
• Ｑ12-7
  提供先の外国にある第三者が施行規則第16条に定める基準に適合する体制を整備していることを根拠として個人データを提供した後、当該提供先がさらに別の「第三者」（再提供先）に個人データを提供する場合、当該提供先が施行規則第16条に定める基準に適合する体制を整備しているといえるためには、どのような措置の実施が確保される必要がありますか。当該「第三者」（再提供先）が当該提供先と同一国内にある者等の外国にある者であるときと、当該「第三者」（再提供先）が日本にある者であるときで、実施が確保されるべき措置が変わりますか。
• Ｑ12-8
  外国にある第三者に対して、提供元において氏名を削除するなどして個人を特定できないようにして当該提供先にとっては個人情報に該当しないデータの取扱いを委託し、当該提供先が個人情報に復元することがないような場合においても、法第28条第１項により、あらかじめ「外国にある第三者への個人データの提供を認める」旨の本人の同意を得る必要がありますか。
• Ｑ12-9
  日本法人の外国支店と取引があり、当該外国支店に対して個人データの提供を行う予定ですが、当該外国支店に対する個人データの提供は、外国にある第三者への提供に該当しますか。
• Ｑ12-10
  法第28条第２項の規定による本人への情報提供の方法として、必要な情報が掲載されたウェブサイトのURLを本人に提供することは認められますか。
• Ｑ12-11
  提供先の外国にある第三者は、A国に所在していますが、B国にサーバを設置しており、当該第三者に個人データを提供した場合には、当該サーバにおいて保存されることになります。この場合、施行規則第17条第２項第１号の「当該外国の名称」として提供すべき名称は、どちらになりますか。
• Ｑ12-12
  施行規則第17条第２項第３号の「当該第三者が講ずる個人情報の保護のための措置に関する情報」を確認する方法として、どのような方法が考えられますか。
• Ｑ12-13
  法第28条第２項に基づく情報提供を行った上で、外国にある第三者への個人データの提供を認める旨の本人の同意を得て外国にある第三者に個人データを提供した後に、当該外国における個人情報の保護に関する制度の改正があった場合、本人に対して、改正後の制度に関する情報を提供した上で、再度同意を得る必要がありますか。
• Ｑ12-14
  外国の事業者に対して個人データの取扱いを委託する予定であるものの、法第28条第１項の本人の同意を得ようとする時点において、具体的な委託先が定まっていません。この場合、施行規則第17条第３項の「前項第１号に定める事項が特定できない場合」に該当しますか。また、同条第４項の「第２項第３号に定める事項について情報提供できない場合」に該当しますか。
• Ｑ12-15
  提提供先の外国にある第三者が施行規則第16条に定める基準に適合する体制を整備していることを根拠として個人データを提供しました。法第28条第３項に基づいて当該第三者による相当措置の実施状況等を確認する等の義務は、いつまで履行する必要がありますか。当該第三者との契約が解除された場合はどうですか。
• Ｑ12-16
  個人情報取扱事業者が、国内にある委託先に個人データの取扱いを委託した後、委託先が外国にある再委託先に対して、当該再委託先が施行規則第16条に定める基準に適合する体制を整備していることを根拠として個人データを提供した場合、法第28条第３項の義務が課される主体は誰ですか。
• Ｑ12-17
  提供先の第三者が所在する外国において施行規則第18条第１項第１号の「相当措置の実施に影響を及ぼすおそれのある当該外国の制度」が存在する場合には、直ちに当該第三者による「相当措置の継続的な実施の確保が困難となった場合」（施行規則第18条第１項第２号）に該当し、当該第三者への個人データの提供を停止する必要がありますか。
• Ｑ12-18
  提供先の外国にある第三者が施行規則第16条に定める基準に適合する体制を整備していることを根拠として個人データを提供した後、当該外国にある第三者による相当措置の継続的な実施の確保が困難となった場合、当該外国にある第三者に対して既に提供した個人データについて、返還又は削除を求める必要がありますか。
• Ｑ12-19
  法第28条第３項の規定による必要な措置に関する情報の本人への提供の方法として、必要な情報が掲載されたウェブサイトのURLを本人に提供することは認められますか。
• Ｑ12-20
  施行規則第18条第３項各号に掲げる情報の提供を行う前提として、本人に関する情報を特定するのに手間と時間がかかりますが、この場合、同項ただし書きの「情報提供することにより当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合」に該当しますか。

３　ガイドライン（第三者提供時の確認・記録義務編）

• 3-1　確認・記録義務の適用対象
  • Ｑ13-1
    市販の電話帳を取得した際にも、確認・記録義務は適用されますか。
  • Ｑ13-2
    外国にある第三者に個人データを提供する場合、法第 25 条に基づく記録を作成しなければなりませんか。また、この場合において、提供者は、法第 24条・施行規則第 11 条の２第1号との関係において、当該第三者からさらに別の第三者に提供する場合に記録を作成するように措置を講じなければなりませんか。
  • Ｑ13-3
    訴訟代理人の弁護士・裁判所に、訴訟の相手方に係る個人データを含む証拠等を提出する場合、記録をしなければなりませんか。
  • Ｑ13-4
    顧客からグループ会社の紹介を求められたため、当該顧客本人の氏名・住所等の連絡先等を、当該グループ会社に提供する場合は、記録を作成しなければなりませんか。
  • Ｑ103-5
    取引先 A 社からの依頼に基づき、取引先 B 社の窓口担当者の氏名・連絡先等を、同窓口担当者の同意を得て、A 社に伝達する場合、記録を作成しなければなりませんか。
  • Ｑ13-6
    A 社が、自己の提供する役務と B 社の提供する別の役務とをセットで販売して、B 社に購入者の個人データを提供する場合、記録を作成しなければなりませんか。
  • Ｑ13-7
    小売業者 A は、顧客から製品の注文を受けた場合に、当該製品のメーカーに、当該顧客の氏名・住所を伝え、当該メーカーから当該製品を当該顧客に送付しているところ、当該メーカーへの個人データの提供につき、記録を作成しなければなりませんか。（なお、小売業者 A とメーカー間には委託契約はない。また、小売業者 A と顧客との契約書には、メーカーから当該製品が直接送付される旨が規定されている。）
  • Ｑ13-8
    個人データの提供先の第三者を個別に明示していなければ、本人に代わって提供しているものと評価されませんか。
  • Ｑ13-9
    会社間で代表取締役の名義で締結する契約書面を事務担当者間で授受する際、代表取締役の氏名に係る個人データを第三者提供しているものとして、記録を作成しなければなりませんか。
  • Ｑ13-10
    顧客が別の者を指定して、自己に連絡をする際は指定した者を通すようにと事業者に要請していた場合、その連絡内容に当該顧客に係る個人データが含まれていたときは、当該者に第三者提供をしたものとして、記録を作成しなければなりませんか。
  • Ｑ13-11
    後見人の他に、保佐人、補助人も、「本人と一体と評価できる関係にある者」と評価することはできますか。
  • Ｑ13-12
    従業員の口座に給与を振り込む際も、記録義務は適用されますか。
  • Ｑ13-13
    公開情報を収集してデータベース化している事業者から当該情報の提供を受ける場合は、元の情報が公開情報であることから確認・記録義務は適用されませんか。
  • Ｑ13-14
    顧客から、当該顧客の配偶者の紹介を受ける行為について、確認・記録義務が適用されますか。
  • Ｑ13-15
    顧客から別の者を紹介してもらう場合に、1名ではなく、夫婦・家族の連絡先をまとめて紹介される場合においても、個人データに該当しないときであれば、第三者提供の確認・記録義務の対象になりませんか。
  • Ｑ13-16
    電話や口頭で個人情報を聞いた場合には、確認・記録義務は適用されますか。
  • Ｑ13-17
    個人データの第三者提供を受ける際に、受領者にとって「個人データ」に該当しない場合、法第 26 条に加えて、他の法第４章第1節に規定される条文も適用されませんか。
  • Ｑ13-18
    データベース業者と契約を締結し、ネットワークで繋がった上で、当該データベース業者のデータベースを自己の端末で参照し、そのデータベースの内容は当該データベース事業者が随時更新を行う場合において、それを利用する事業者に確認・記録義務は適用されますか。
  • Ｑ13-19
    本人以外の者（「当初の提供元」）から個人データの提供を受けた場合において、あらかじめ公表している利用目的の範囲内で、後日、当初の提供元に対して、同じ内容の個人データを提供するとき、確認・記録義務は適用されますか。
  • Ｑ13-20
    金融機関から債権の買取りを行うに際して、当該金融機関と守秘義務契約を締結して入札に参加する場合において、債権譲受候補者が当該金融機関から提供を受けた債務者データ（個人データ）を利用して譲渡対象債権のデューデリジェンスを行って入札価格を提示したものの、落札に至らなかったために、守秘義務契約に基づき当該データを速やかに削除する例においては、当該候補者は確認・記録義務を履行する必要がありますか。
  • Ｑ13-21
    オプトアウトによる第三者提供について、確認・記録義務が適用されない場面はありますか。
• 3-2　確認義務、記録義務
  • Ｑ13-22
    第三者から個人データの提供を受ける際は、代表取締役の氏名を確認しなければなりませんか。
  • Ｑ13-23
    「取得の経緯」を対面又は電話により口頭で確認する方法は認められますか。
  • Ｑ13-24
    取得の経緯を確認する際に、本人が署名した同意書面を確認することをもって取得の経緯を確認し、その旨を記録する場合に、同時に本人の同意が有る旨の記録として取り扱ってもよいですか。
  • Ｑ13-25
    記録を作成するに当たって、台帳のようなものを用意する必要はありますか。
  • Ｑ13-26
    個人データを提供先にデータ伝送している場合、伝送日時、伝送先などのログを記録とすることはできますか。
  • Ｑ13-27
    継続的に又は反復して個人データを授受することを内容とする基本契約書に加えて、当該基本契約書に付帯する資料などをあわせて、施行規則第 12 条第２項・第 16 条第２項に基づく記録とすることはできますか。
  • Ｑ13-28
    「契約書その他書面」（施行規則第 12 条第３項・第 16 条第３項）には、原本のみならず、写しも含まれますか。
  • Ｑ13-29
    同意書をもって記録とする方法を採用する場合、代表者氏名以外については同意書により記録し、代表者氏名については有価証券報告書の記載箇所を記録として用いる又は補記する等の対応は可能ですか。
  • Ｑ13-30
    提供者にとって個人データに該当するが受領者にとって個人データでないため、提供者のみに記録義務が生じる場合においても、受領者が提供者の記録義務の全部又は一部を代行して行うことは妨げられないという理解でよいですか。
  • Ｑ13-31
    代行により記録を作成する方法を採用する場合に、代行させる者（委託者）及び代行を行う者（受託者）との間では、契約書等において、代行させる旨の規定を置くことは必須ですか。
  • Ｑ13-32
    確認・記録義務の履行のために個人データを保存する場合は、消去義務（法第 19 条）に違反しませんか。また、利用目的の特定・通知等をしなければなりませんか。
  • Ｑ13-33
    「同意の存在を明示的に又は黙示的に示す証跡等」には、①本人による同意する旨のホームページ上のボタンのクリックに係るシステムログ、②ホームページの構造上、個人情報を取得する直前に必ず本人による同意をする旨のホームページ上のボタンのクリックが必須となっていること（ボタンクリックによる同意を経なければ取得できない）は、該当しますか。
  • Ｑ13-34
    対象となる複数の本人の記録を一体として作成する際に、保存期間は個々の個人ごとに計算するものですか。
  • Ｑ13-35
    複数の対象者の個人データについて、毎週、同様の提供が行われることから、一つのファイルに翌月1日に前月の分を一括して記録を作成する方法によ り記録を作成している場合において、2018 年1月に本人 X について提供が行われ 2018 年２月1日に記録がなされ、2019 年1月に本人 Y について提供 が行われ、2019 年２月1日に記録がなされた場合、X 及びY についての保存 期間はどのように考えられますか。

４　ガイドライン（仮名加工情報・匿名加工情報編）

• ４－１　仮名加工情報

  ４－１－１　定義

  • Ｑ14－１
    匿名加工情報と仮名加工情報の違いは何ですか。
  • Ｑ14－２
    個人情報である仮名加工情報と個人情報でない仮名加工情報とは何ですか。

  ４－１－２　仮名加工情報の適正な加工

  • Ｑ14－３
    法第41条第１項・施行規則第31条に定める基準に従わずに個人情報を加工したものを仮名加工情報として取り扱うことは認められますか。
  • Ｑ14－４
    個人情報を、安全管理措置の一環等としてマスキング等によって仮名化した場合、仮名加工情報として取り扱う必要がありますか。
  • Ｑ14－５
    安全管理措置の一環等として、元の個人情報とは別に、元の個人情報から氏名等の一部の記述等を削除した情報を作成し、引き続き個人情報として取り扱っていますが、このように仮名化された個人情報から仮名加工情報を作成するためには、どのような措置を講ずる必要がありますか。
  • Ｑ14－６
    要配慮個人情報を含む個人情報から仮名加工情報を作成することは認められますか。
  • Ｑ14－７
    氏名や住所、年齢、性別などの記述が含まれていた場合は必ず全ての記述について削除等の措置が必要になりますか。
  • Ｑ14－８
    施行規則第31条第３号の「不正に利用されることにより財産的被害が生じるおそれがある記述等」とはどのようなものですか。口座番号やクレジットカード番号の下４桁は削除する必要がありますか。
  • Ｑ14－９
    個人情報を加工して仮名加工情報を作成すること自体を、利用目的として特定する必要はありますか。

  ４－１－３　削除情報等の安全管理措置

  • Ｑ14－10
    施行規則第32条に定める基準に従って安全管理措置を講ずることが求められる削除情報等とはどのような情報ですか。
  • Ｑ14－11
    仮名加工情報が適切に加工されていることを伝えるために、それぞれの情報の項目をどのように加工したのかといった情報を仮名加工情報の取扱いについての委託先などに伝えることは可能ですか。
  • Ｑ14－12
    委託契約により委託先の事業者において仮名加工情報を作成した場合、削除情報等を委託元と共有することはできますか。
  • Ｑ14－13
    仮名加工情報の削除情報等が漏えいした場合、どのような対応が必要となりますか。

  ４－１－４　仮名加工情報の利用目的の制限・公表

  • Ｑ14－14
    法第41条第３項において「第17条第１項の規定により特定された利用目的」とありますが、個人情報取扱事業者が個人情報を加工して仮名加工情報を作成した場合、当該仮名加工情報の利用目的はどのように特定されますか。
  • Ｑ14－15
    個人情報を加工して仮名加工情報を作成した場合、仮名加工情報の利用目的を公表する必要がありますか。また、仮名加工情報の利用目的を変更した場合はどうですか。
  • Ｑ14－16
    仮名加工情報に含まれる情報の項目を公表する必要はありますか。

  ４－１―５　仮名加工情報の第三者提供の禁止

  • Ｑ14－17
    仮名加工情報を第三者に提供することはできますか。仮名加工情報を作成する前に、本人から同意を得ていた場合はどうですか。
  • Ｑ14－18
    仮名加工情報である個人データを共同利用により提供することは可能ですか。可能である場合、どのような手続を実施する必要がありますか。

  ４－１―６　本人への連絡等の禁止

  • Ｑ14－19
    法第41条第８項おける「電磁的方法」とは、どのような方法をいいますか。例えば、いわゆるSNS（ソーシャル・ネットワーキング・サービス）のメッセージ機能によりメッセージを送信する方法はこれに該当しますか。
  • Ｑ14－20
    仮名加工情報を用いて分析を行い、統計情報を作成した上で、当該統計情報により得られた傾向等を踏まえて、当該仮名加工情報の作成の元となった個人情報を用いて広告配信を行うことはできますか。

  ４－１―７　識別行為の禁止

  • Ｑ14－21
    委託により仮名加工情報を取り扱っていたところ、偶然に当該仮名加工情報の作成の元となった個人情報の本人を識別してしまった場合にも識別行為の禁止義務に違反しますか。

４－２　ガイドライン（匿名加工情報編）

• ４－２－１　定義

  • Ｑ15-1
    個人情報から作成した統計情報についても匿名加工情報に該当しますか。
  • Ｑ15-2
    統計情報と匿名加工情報の違いは何ですか。
  • Ｑ15-3
    匿名加工情報を作成する途中の情報など十分な加工がされていない情報はどのように取り扱えばよいですか。
  • Ｑ15-4
    匿名加工情報として提供を受けたものの、加工が不十分な情報であった場合にはどのように取り扱えばよいですか。

• 4-2　匿名加工情報の適正な加工

  • Ｑ15-5
    法第 36 条第1項に定める基準に従わずに個人情報を加工したものを匿名加工情報として取り扱うことは認められますか。
  • Ｑ15-6
    個人情報を、安全管理措置の一環等のためにマスキング等によって匿名化した場合、匿名加工情報に相当するのですか。
  • Ｑ15-7
    個人情報を加工して匿名加工情報を作成する場合についても、利用目的として特定する必要はありますか。
  • Ｑ15-8
    匿名加工情報を作成するときに施行規則第 19 条各号に定める基準で求められている措置を全て行う必要がありますか。
  • Ｑ15-9
    提供を受けた匿名加工情報を再度加工する場合は匿名加工情報の作成に該当しますか。
  • Ｑ15-10
    要配慮個人情報を加工して匿名加工情報を作成することはできますか。
  • Ｑ15-11
    氏名や住所、年齢、性別などの記述が含まれていた場合は必ず全ての記述について削除等の措置が必要になりますか。
  • Ｑ15-12
    施行規則第 19 条第５号において、「個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等との差異その他の当該個人情報データベース等の性質を勘案し」とありますが、ここでの「当該個人情報を含む個人情報データベース等」については、事業者が保有する個人情報データベース等全体を勘案する必要がありますか。
  • Ｑ15－13
    個人情報である仮名加工情報を加工して、匿名加工情報を作成することはできますか。
  • Ｑ15-14
    匿名加工情報を作成するときには、氏名と仮 ID 等の対応表を破棄しないといけませんか。
• 4-3　匿名加工情報等の安全管理措置等
  • Ｑ15-15
    施行規則第35条に定める基準に従って安全管理措置を講ずることが求められる加工方法等情報とはどのような情報ですか。「年齢のデータを10歳刻みのデータに置き換えた」という情報はこれに該当しますか。
  • Ｑ15-16
    匿名加工情報が適切に加工されていることを伝えるために、それぞれの情報の項目をどのように加工したのかといった情報を匿名加工情報の提供先などに伝えることは可能ですか。
  • Ｑ15-17
    委託契約により委託先の事業者において匿名加工情報を作成した場合、加工方法等情報を委託元と共有することはできますか。
  • Ｑ15-18
    匿名加工情報の作成の委託を複数の会社から受けることは可能ですか。その場合、どのようなことに留意する必要がありますか。
  • Ｑ15-19
    委託に伴って提供された個人データを、委託先が自社のために匿名加工情報に加工した上で利用することはできますか。
• 4-4　匿名加工情報の作成時の公表、匿名加工情報の第三者提供
  • Ｑ15-20
    プライバシーポリシーに、取得した個人情報に含まれる個人に関する情報の項目を明示するとともに、「取得した個人情報から匿名加工情報を作成することがあります」といった趣旨の記載をして公表する場合は、当該記載をもって作成時及び第三者提供時の公表を履行したことになりますか。
  • Ｑ15-21
    作成した匿名加工情報に購買履歴が含まれる場合、個人に関する情報の項目として、商品名まで公表する必要がありますか。
  • Ｑ15-22
    含まれる情報の項目が同じ匿名加工情報を継続的に作成する場合、その都度匿名加工情報に含まれる個人に関する情報の項目等を公表する必要がありますか。
  • Ｑ15-23
    匿名加工情報の作成時の公表において、当該匿名加工情報の利用目的についても公表する必要がありますか。
  • Ｑ15-24
    匿名加工情報を作成する際に元の個人情報に含まれるある項目の情報の全てを削除した場合、あるいは、その全てを置き換えた場合に、その項目について、匿名加工情報を作成したとき、あるいは、第三者に提供したときに公表する必要はありますか。
  • Ｑ15-25
    匿名加工情報を作成した際に公表する個人に関する情報の項目の一部を「等」として省略することはできますか。また、「個人に関する情報の項目」の分類をどの程度、細かくする必要がありますか。まとめることは可能ですか。
  • Ｑ15-26
    匿名加工情報の第三者提供時の公表において、当該匿名加工情報の提供先名や利用目的についても公表する必要がありますか。
  • Ｑ15-27
    法第 36 条第３項の匿名加工情報作成時の情報の項目に関する公表と同条第４項の公表を同時に行うことはできますか。
  • Ｑ15-28
    個人情報を提供して、匿名加工情報の作成を委託した場合、依頼する委託元事業者とこれを受けた委託先事業者にはどのような法律の規律が課せられますか。
• 4-5　識別行為の禁止
  • Ｑ15-29
    匿名加工情報を取り扱っていたところ、偶然に当該匿名加工情報の作成の元となった個人情報の本人を識別してしまった場合にも識別行為の禁止義務に違反しますか。
  • Ｑ15-30
    匿名加工情報や加工に関する方法の安全性の検証のために元となる個人情報と匿名加工情報を照合させることはできますか。

５　その他

• Ｑ16-1
  ガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編）以外に、事業者が遵守すべきガイドライン等はありますか。
• Ｑ16-２
  令和３年改正法の施行（令和４年４月１日）以降、法第58条及び第123条の規定により、法第４章及び法第５章の規定の適用の特例を受ける個人情報取扱事業者等や行政機関等が遵守すべきガイドライン等はありますか。

金融機関における個人情報保護に関するＱ＆Ａ目次

1　総論

• Ｑ1-1
  個人情報保護法の体系と各業法の体系の関係はどのようなものか。
• Ｑ2-1
  官報や民間の新聞等により公表されている情報であっても「個人情報」に当たるか。
• Ｑ2-2
  第三者からみて特定の個人を識別することができない情報であれば、それは「個人情報」に当たらないのか。例えば、住宅ローンの残高など、金額のみが記載され、その他氏名等が記載されていないものは「個人情報」に当たらないのか。
• Ｑ2-3
  「個人情報」と「個人データ」の違いは何か。
• Ｑ2-4
  「個人情報データベース等」とは何か。
• Ｑ2-5
  個人情報が五十音順等に整理されておらず、コンピュータを用いたデータベースに ランダムに入力されているが、サーチ機能等で容易に検索が可能な場合には、当該データベースは「個人情報データベース等」に該当するのか。
• Ｑ2-6
  法人の代表者の情報は「個人情報」に当たるか。また、法人情報のデータベースの中に法人代表者の氏名等があった場合、当該情報は「個人データ」に当たるのか。
• Ｑ2-7
  顧客から提出された書類と「個人データ」について、 ① 契約書等の書類の形で本人から提出され、これからデータベースに登録しようとしてい る情報は「個人データ」に該当するか。 ② データベースに登録した後の契約書等は「個人データ」に該当するか。 ③ その後データベースから例えば紙にメモするなどして取り出された情報は、「個人データ」に該当するのか。それとも当該メモ自体が容易に検索可能な形で整理されていないのであれば、「個人データ」ではない「個人情報」として扱われるのか。 ④ 紙のメモではなく口頭で第三者に伝えた場合はどうか。
• Ｑ3-1
  金融分野ガイドライン第５条第１項第７号に規定する「保険業その他金融分野の事業の適切な業務運営を確保する必要性から、本人の同意に基づき業務遂行上必要な範囲で機微（センシティブ）情報を取得、利用又は第三者提供する場合」とは、具体的にどのような場合を想定しているのか。
• Ｑ3-2
  金融分野ガイドライン第５条第３項に規定する「機微（センシティブ）情報を、第１ 項に掲げる場合に取得、利用又は第三者提供する場合には、（中略）個人情報の保護に関する法令等に従い適切に対応しなければならないことに留意する」とは、具体的にどのような点に留意する必要があるのか。
• Ｑ3-3
  金融分野ガイドライン第５条第４項に規定する「機微（センシティブ）情報を、第三者へ提供するに当たっては、法第 23 条第２項（オプトアウト）の規定を適用しないこととする」とは、機微（センシティブ）情報のうち要配慮個人情報を除く情報についても適用しないということか
• Ｑ4-1
  安全管理措置の内容は個人情報保護法と業法のどちらでも義務化されているが、求められていることはどう違うのか。
• Ｑ4-2
  なぜ個人情報保護法に加え、各業法で個人情報の安全管理が求められているのか。
• Ｑ4-3
  実務指針の遵守に当たっては、具体的な水準は事業者の判断に委ねられているという理解でよいか。
• Ｑ4-4
  実務指針１－２において整備することが求められている「個人データの安全管理に係る取扱規程」は、各事業者においては「細則」「マニュアル」等、名称や形式を問わないという理解でよいか。 また、個々の規程の構成が実務指針と一致せずとも、当該事業者で定めるルール全体として実務指針に規定する措置に対応していれば、事業者全体の「個人データの安全管理に係る取扱規程」として問題ないか。
• Ｑ4-5
  「個人データ」の「漏えい、滅失、毀損」とは、どのようなものを指すのか。具体的には、

  1. ① 「個人データ」を記録している電磁的記録媒体を破損したが、その内容と同じデータが他 に保管されている場合は、「個人データ」の「滅失」に当たるか。
  2. ② 社内において、権限のない者が「個人データ」にアクセスした場合、どの時点から「個人デ ータ」の「漏えい」となるのか。当該無権限者がアクセスした時点で「漏えい」となるのか、無権限者が外部の者にデータの内容を伝えたときにはじめて「漏えい」となるのか。
  3. ③ 保有しているはずの「個人データ」を紛失し、存在を確認できない場合、「個人データ」の「漏えい、滅失、毀損」に当たるのか。
  4. ④ 「個人データ」について暗号化処理された電磁的記録媒体を漏えいした場合も、「個人データ」の「漏えい」に当たるのか。
  5. ⑤ 「個人データ」について暗号化処理された電磁的記録媒体の復元キーを失念して、復元不能となった場合、「個人データ」の「毀損」に当たるのか。
• Ｑ4-6
  個人情報等の漏えい事案等が発生した場合、金融機関は監督当局等に報告する義務があるのか。
• Ｑ4-7
  個人情報等の漏えい事案等が発生した場合において、監督当局等に報告を要する場合の報告先はどこか。
• Ｑ4-8
  個人情報等の漏えい事案等は、業法上の「不祥事件」に該当するのか。
• Ｑ4-9
  個人情報保護法に基づく報告と業法に基づく報告という同じ内容の報告を重複して提出する必要はあるのか。
• Ｑ4-10
  監督当局等への報告（個人情報保護法第 40 条に基づく報告を除く。) に当たって、提出文書には、根拠条項をどのように書けばよいか。
• Ｑ4-11
  個人情報等の漏えい事案等が発生した場合の監督当局等への報告は、どこまで厳密に行う必要があるのか。
  例えば、ＦＡＸの誤送信、郵便物等の誤送付及びメールの誤送信などによる個人情報等の漏えい等で、当該情報の量や性質等に鑑みて、漏えい事案等としては軽微と思われるものまで、発生段階で必ず監督当局等へ報告する必要性があるのか。
• Ｑ4-12
  監督当局等への報告に当たって、どのような事項を記載すれば良いのか。
• Ｑ4-13
  顧客の同意をとって第三者に提供した「個人データ」を、提供を受けた先が漏えいし た場合、報告する必要があるか。
• Ｑ4-14
  金融分野とそれ以外の分野の事業を行っている場合において、金融分野以外の事業に関する個人情報等の漏えい事案等が発生した場合も、監督当局等に報告する必要があるのか。
• Ｑ4-15
  金融分野に関する規制法が、金融庁と他省庁との共管になっている場合において、個人情報等の漏えい事案等が発生した場合は、所管しているいずれかの省庁に報告すれば、 他の省庁への報告は必要ないのか。
• Ｑ4-16
  「個人データ」の漏えい事案等が発生した場合の公表は、どこまで厳密に行う必要があるのか。 例えば、インターネット上でファイル交換を行うソフトウェアの使用により、「個人情報」 が流出した場合にも、必ず公表をしなくてはいけないのか。
• Ｑ4-17
  個人情報等の漏えい事案等が発生した場合は、金融機関は本人に通知する必要があるのか。
• Ｑ4-18
  個人情報を記載した手形、小切手の紛失事案の公表を検討する際に、手形、小切手は 転々流通するものであることから、記載された情報は公知のものであり、二次被害防止の必要性は無いものとして公表しなくても良いか。

5 第三者提供等

• Ｑ5-1
  防犯カメラに映った偽造キャッシュカードの実行犯の映像を本人の同意なく他の金融機関に提供することは、個人情報保護法上問題がないか。
• Ｑ5-2
  「個人データ」に該当する顧客の取引内容を、本人の同意を得ずに、その内容を知る家族に伝えた場合、「個人データ」の漏えいとなるか。
• Ｑ5-3
  金融分野ガイドライン第３条で、個人情報保護法第 16 条、第 23 条及び第 24 条に定める本人の同意を得る場合には、原則として、書面によらなければならないとされているが、「紙」を用いた同意以外に、例えば、どのような形式が「書面」に該当するのか。また、電話により同意を得た事実を任意様式に記録し保存する方式でも金融分野ガイドライン上「書面」による同意を得たと解することができるか。
• Ｑ5-4
  債権譲渡の実務においては、債権の譲渡人は譲受人に対し、債権者としての十分な管理回収を行わせしめ、譲渡人及び譲受人の経済的利益を保護するため、債権そのものに加えて債務者に関連する個人情報を移転することが不可欠であるが、こうした場合にも、個人情報保護法上、債務者本人から第三者に提供することについて明示的な同意を得ることが必要なのか。
• Ｑ5-5
  生活保護の適正な実施のために行う調査の一環として、社会福祉事務所員から生活 保護申請者の資産や収入状況等の個人情報の提供を要請された場合、当該要請に応じることは、個人情報保護法上問題がないか。
• Ｑ5-6
  未払賃金立替払制度（賃金の支払の確保等に関する法律第７条）の適正な実施のために行う調査の一環として、倒産した事業主の賃金支払い能力の有無を把握するために、労働基準監督署から、倒産会社及びその代表者、個人事業主等の関係者が保有する預金口座の残高状況や賃金未払期間における保有預金口座の取引状況等の個人情報の提供を要請 された場合、当該要請に応じることは、個人情報保護法上問題がないか。
• Ｑ5-7
  個人情報取扱事業者が、弁護士法第 23 条の２に基づいてなされる報告の請求を弁護士会から受けた場合、その保有する「個人データ」を弁護士会に対し提供することは、個人情報保護法上問題はないか。

「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」に関するＱ＆Ａ（事例集
平成29年5月作成（令和２年１０月一部改正）

【総論】

• Ｑ1-1
  Ｑ１－１ 「医療・介護関係事業者における個人情報の適切な取扱いのためのガイドライン」と本ガイダンスの違いは何でしょうか。
• Ｑ1-2
  個人情報保護法では、個人情報取扱事業者としてどのようなことに取り組むことが定められていますか。
• Ｑ1-3
  国や独立行政法人、自治体が設置する医療機関や介護施設は、このガイダンスの対象にはならないのですか。
• Ｑ1-４
  医療機関等において通常の診療だけではなく、健康相談業務も行っている場合、健康相談業務に係る記録についてもガイダンスの対象になるのでしょうか。
• Ｑ1-５
  本ガイダンスの対象となる「介護関係事業者」に含まれる事業者の範囲を教えて下さい。
• Ｑ1-６
  本ガイダンスの他に、個人情報の保護に関する法律についてのガイドライン（通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編、匿名加工情報編）も定められているようですが、医療・介護関係事業者は、どちらを参照すべきなのでしょうか。
• Ｑ2-1
  「個人情報」「個人データ」「保有個人データ」とは、どのようなものですか。
• Ｑ2-2
  「個人情報」とは、具体的にどのようなものがありますか。
• Ｑ2-3
  医療・介護関係事業者が取り扱う「個人識別符号」には、具体的にどのようなものがありますか。
• Ｑ2-4
  医療・介護関係事業者において取り扱う「要配慮個人情報」には、具体的にどのようなものがありますか。
• Ｑ2-5
  平成 27 年改正の施行（平成 29 年５月 30 日）前に取得した個人情報であって、施行後に要配慮個人情報に該当することとなった場合、改めて取得について本人同意を得る必要がありますか。
• Ｑ2-6
  平成 27 年改正の施行（平成 29 年５月 30 日）前に取得した個人情報であって、施行後に要配慮個人情報に該当することとなり、当該情報につい て、新たに第三者提供をする場合には本人同意を得る必要がありますか。
• Ｑ2-7
  死亡した個人の情報については、「個人情報」に該当せず、個人情報保護 法の対象にはなりませんが、どのように取り扱うべきですか。
• Ｑ2-8
  取り扱う個人情報の数が少ない小規模の医療・介護関係事業者は、個人情報保護法の対象外ですか。
• Ｑ2-9
  例えば、医療機関で保存している院内処方せんについて、インデックス等を付けずに段ボール箱に入れて保存しており、容易に検索することができない場合、個人データに該当しないと考えていいですか。
• Ｑ2-10
  遺族への開示については「診療情報の提供等に関する指針」に従って開示を行うこととされていますが、薬局の場合も当該指針に従って、遺族へ開示すればよろしいのでしょうか。
• Ｑ2-11
  「匿名化」された情報は、個人情報に該当しますか。
• Ｑ2-12
  「匿名化」された情報と「匿名加工情報」との違いは何でしょうか。
• Ｑ3-1
  本人の同意を得る場合には、文書で同意を得る必要がありますか。
• Ｑ3-2
  ガイダンスｐ10で、症例を学会で発表したりする場合、「症例や事例により十分な匿名化が困難な場合」には本人の同意が必要とされています が、どのような場合のことでしょうか。
• Ｑ4-1
  患者・利用者の個人情報を研究に利用する場合、匿名化する場合であっても、本人の同意が必要ですか。
• Ｑ4-2
  個人情報保護法では、学術研究を目的とする機関やそこに属する者等が学術研究の用に供する目的で個人情報を取り扱う場合は、個人情報取扱事業者の義務等が課せられないとされていますが、大学病院（又は大学病院の医師）が取得した個人情報については、本人の同意を得ずに研究に利用して良いのでしょうか。
• Ｑ4-3
  患者の紹介元の医師から、研究のみの目的で利用するため、紹介患者の診療情報等を提供してほしいとの依頼があった場合は、どのように対応すればよいでしょうか。
• Ｑ5-1
  個人情報に関する相談体制はどのようにすべきでしょうか。
• Ｑ5-2
  相談体制を整備するにあたり、具体的な留意点としてはどのような点が挙げられますか。
• Ｑ5-3
  既存の医療安全に関する相談窓口が、個人情報に関する相談窓口を兼ねることは認められますか。
• Ｑ5-4
  現在の職員体制等では、全診療時間帯で相談窓口を開設することが困難です。特定の曜日、時間帯のみ開設することで良いですか。また、独立した窓口を設置する必要がありますか。
• Ｑ5-5
  小規模な医療・介護関係事業者でも個人情報に関する相談窓口を設置する必要がありますか。認定個人情報保護団体等が開設する相談窓口を案内することで代用できませんか。
• Ｑ5-6
  相談窓口の業務を担当する職員への教育等はどのようにすれば良いでしょうか。
• Ｑ5-7
  ガイダンスｐ３で「個人情報の利用目的の説明や窓口機能等の整備、開示の請求を受け付ける方法を定める場合等に当たっては、障害のある患者・利用者等にも配慮する必要がある。」とされていますが、どのようなこと をすればよいのですか。
• Ｑ6-1
  医療・介護関係事業者が個人情報取扱事業者としての義務規定に違反した場合はどのような罰則があるのでしょうか。
• Ｑ6-2
  仮に個人データの漏えいが発生した場合、従業者も個人情報保護法に基づき罰せられるのでしょうか。
• Ｑ6-3
  個人情報保護法が施行されることにより、紙媒体の診療録が使用できなくなったり、診療録の記載方法が定められたり（日本語での記載が義務づけ られる等）することはありますか。
• Ｑ6-4
  個人情報保護法に基づき、医療・介護関係事業者に対して指導監督等を行うのは、どこの行政機関となるのでしょうか。

【各論】

• Ｑ1-1
  Ｑ１－１ 実習のために看護師養成所等の学生を受け入れる場合、実習を行うに当たり、患者の同意は必要でしょうか。
• Ｑ2-1
  別表２の「患者への医療の提供に必要な利用目的」や「介護サービスの利用者への介護の提供に必要な利用目的」は、個人情報保護法第１８条第４ 項第４号の「取得の状況からみて利用目的が明らかであると認められる場合」に該当すると考えられるので、このような利用目的は本人に通知又は公表しなくてもいいのではないでしょうか。
• Ｑ2-2
  利用目的の公表に当たっては、診療録、看護記録、ケアプラン等の書類の種類ごとに利用目的を特定して公表しなければならないのでしょうか。
• Ｑ2-3
  特定した利用目的は、院内掲示等により公表することで十分でしょうか。
• Ｑ2-4
  患者から、院内掲示した利用目的のうち、一部の利用目的には同意できないという申出がありました。これを理由として診療しない場合、医師法第１９条の応招義務違反となるのでしょうか。
• Ｑ2-5
  本人から病歴等の要配慮個人情報を聞き取る場合、別途、その取得について本人の同意をとらなければならないのでしょうか。
• Ｑ2-6
  意識不明の患者が搬送された場合、付き添っていた家族から本人の病歴等を聞き取ることはできますか。
• Ｑ2-7
  患者の診療記録や調剤記録等を他の医療機関等から取得する場合、改めて本人から同意を得る必要がありますか。
• Ｑ2-8
  患者の診療記録等を他の医療機関等へ提供する場合、改めて本人から同意を得る必要がありますか。
• Ｑ3-1
  適切な安全管理措置を行うためには、個人データに該当する文書等は鍵のかかる場所へ保管しなければならないのでしょうか。
• Ｑ3-2
  個人情報をコンピュータに入力するに当たり、入力者の記録を保存しておく必要はあるでしょうか。
• Ｑ3-3
  ガイダンスｐ２９に記載されている、「医療情報システムの安全管理に関するガイドライン」に基づき安全管理措置を行う際の留意点はあるでしょうか。
• Ｑ3-4
  個人データが取り扱われる業務を委託する場合、委託先の事業者名や委託先の責任者の氏名等を公表すべきですか。
• Ｑ3-5
  現行の業者との委託契約には、個人情報の取扱いに関する項目が含まれていません。個人情報保護法の全面施行に当たり、現契約を解消して、新しい契約を締結し直す必要がありますか。
• Ｑ3-6
  清掃業務等、個人データを直接取り扱わない業務を委託している場合は、委託契約書に個人情報の取扱いに関する事項を記載する必要はないと考えてよいですか。
• Ｑ3-7
  医療・介護関係事業者において個人データが漏えいしてしまった場合の対応はどのようにすればよいでしょうか。
• Ｑ3-8
  委託先において個人データが漏えいしてしまった場合の対応はどのようにすればよいでしょうか。
• Ｑ3-9
  薬局において、処方せんの記載内容について疑義照会を行うために、処方せんを医療機関にファックスで送信しようとしたところ、誤って別の医療機関に送付してしまいましたが、どのように対処すればよろしいでしょうか。個人情報保護法が全面施行されることにより、処方せんをファックスで送信することはできなくなるのでしょうか。
• Ｑ3-10
  外来患者を氏名で呼び出したり、病室における入院患者の氏名を掲示したりする場合の留意点は何ですか。ナースステーション内における入院患者の氏名の掲示についてはどうですか。
• Ｑ3-11
  入院患者・入所者の知り合いと名乗る人が面会に見えたときに病室を教えることは問題となりませんか。
• Ｑ4-1
  患者・利用者の病状等をその家族等に説明する際に留意すべきことは何ですか。
• Ｑ4-2
  傷病の種類によっては、本人に病名等を告知する前に家族に相談する場合が考えられますが、どのような配慮が必要ですか。
• Ｑ4-3
  未成年の患者から、妊娠、薬物の乱用、自殺未遂等に関して親に秘密にしてほしい旨の依頼があった場合、医師は親に説明してはいけないのです か。逆に、親から問われた場合に、未成年の患者との信頼関係を重視して、親に情報を告げないことは可能ですか。
• Ｑ4-4
  弁護士会から過去に診療を行った患者に関する照会があった場合、本人の同意を得ずに回答してよいでしょうか。
• Ｑ4-5
  薬剤師が、調剤した薬剤に関して患者の家族に情報提供を行う場合、本人の同意を得なくても情報提供できるのでしょうか。
• Ｑ4-6
  民間保険会社等から医療機関に対して、患者の治療結果等に関する照会があった際、民間保険会社等が患者本人から取得した「同意書」を提示した場合は、回答に当たり、本人の同意が得られていると判断して良いのでしょうか。
• Ｑ4-7
  医療機関と薬局の間で患者の薬剤服用歴などの情報交換を行う場合も、ガイダンスに記載された条件を満たせば、患者の黙示による同意が得られていると考えてよろしいのでしょうか。
• Ｑ4-8
  ガイダンスｐ３６の「当該事業者の職員を対象とした研修での利用」の場合、既に利用目的として研修に使用することが院内掲示等により公表していれば、あらためて本人の同意を得る必要はないと考えて良いのでしょう か。
• Ｑ4-9
  医療機関の職員を対象とした症例研究会（職員の知識や技能の向上を目的とするもの）を実施する際、当該医療機関以外の施設の職員から参加希望がありました。既に、利用目的として「院内で行う症例研究会への利用」を公表していますが、この場合は、症例研究会で利用する症例の患者から第三者提供の同意を得る必要があるのでしょうか。
• Ｑ4-10
  病診連携の一環として、紹介を受けた患者の診療情報、検査結果、所見等を紹介元医療機関に対して情報提供を行っていますが、実施に当たっての留意点は何ですか。
• Ｑ4-11
  医薬品の副作用発生時における行政機関への報告や、製薬企業が実施する医薬品の製造販売後調査に協力する際の製薬企業への情報提供に当たっては、患者の情報をどの程度記載できるのでしょうか。
• Ｑ4-12
  学校医として生徒の健康診断を行った場合、診断結果を学校に提出することは第三者提供に該当するのでしょうか。
• Ｑ4-13
  がん検診の２次検診機関として患者の精密検査を行った場合、１次検診機関から、精密検査結果の提供を求められることがありますが、患者の精密検査結果を提供する場合には、患者の同意を得る必要があるのでしょうか。
• Ｑ4-14
  介護保険施設の入所者が、他の介護保険施設に移動する際に、移動先の施設の求めに応じて入所者の個人情報の提供を行う場合は、本人の同意は必要なのでしょうか。
• Ｑ4-15
  ホームページや機関誌に、行事などにおける利用者の写真を掲載する場合、本人の同意を得る必要はありますか。また、介護保険施設内に写真を展示する場合はどうでしょうか。
• Ｑ4-16
  高齢者虐待事例の解決に当たって、担当ケアマネジャーなどの関係機関に高齢者の個人情報を提供する場合、高齢者本人の同意を得ることが難しいケースがありますが、高齢者本人の同意が得られないと情報提供はできないのでしょうか。
• Ｑ4-17
  大規模災害や事故等で、意識不明で身元の確認できない多数の患者が複数の医療機関に分散して搬送されている場合に、患者の家族又は関係者と称する人から、患者が搬送されているかという電話での問合せがありまし た。相手が家族等であるか十分に確認できないのですが、患者の存否情報を回答してもよいでしょうか。
• Ｑ4-18
  上記の状況で、患者の家族等である可能性のある電話の相手から、患者の容態等についての問合せがあれば、どの範囲まで回答すべきでしょうか。
• Ｑ4-19
  上記の方法により連絡のついた家族等から、意識不明である患者の既往歴、治療歴等を聴取することは問題ありませんか。
• Ｑ4-20
  Ｑ４－１７のような状況において、報道機関や地方公共団体等から身元不明の患者に関する問合せがあった場合、当該患者の情報を提供することはできますか。
• Ｑ4-21
  病院に勤務している医師が退職し診療所を開業することになり、当該医師から、開業の挨拶をしたいので自分が診察を行っている患者の氏名や住所を教えてほしいと言われました。当該医師に患者の氏名等を提供して良いでしょうか。
• Ｑ4-22
  市役所から、介護保険の手続きのため、主治医の診断書の提出を求められました。患者の同意を得ずに、診断書を提出して良いでしょうか。
• Ｑ4-23
  学校で怪我をした生徒に担任の教師が付き添って来ました。ガイダンス３ ２ページには、「学校からの照会には回答してはならない」とあります が、保護者の同意書等がなければ担任の教師に怪我の状態などを説明してはいけないのでしょうか。
• Ｑ4-24
  警察や検察等捜査機関からの照会や事情聴取に関して、「第三者提供の制限の例外」に該当する場合には、どのようなものがあるでしょうか。
• Ｑ4-25
  警察や検察等捜査機関から患者の状況について照会や事情聴取があった場合、患者本人の同意を得ずに回答できるのでしょうか。個人情報保護法の施行を機に警察等からの照会等に対する取扱いを変えた方がいいですか。
• Ｑ4-26
  警察等から、警察等が取り扱う死体の死因又は身元の調査等に関する法律第４条第３項の規定に基づき、死者の生前の診療情報等の提供の依頼があった場合、遺族の同意を得ずに回答できるのでしょうか。
• Ｑ4-27
  医療機関の廃止等の理由により、別の医療機関が業務を承継することになりましたが、診療録等の個人データを提供する際に、患者の同意が必要なのでしょうか。
• Ｑ4-28
  医療法第６条の６第１項の規定に基づく麻酔科標榜許可に係る申請を行おうとしている医師から、過去に実施した麻酔記録や手術記録の書類の提供を求められましたが、対象となった患者の同意を得た上で提供する必要があるのでしょうか。
• Ｑ4-29
  生活保護法に基づき行われる、指定医療機関による都道府県・市町村への 被保護者に係る病状調査とはどのようなものですか。また、本人の同意を得なくても、回答することは可能でしょうか。
• Ｑ4-30
  自殺未遂者が救命救急センターに搬送された際、自殺未遂者の再度の自殺を防ぐ等のため、救命救急センターから関係機関等へ自殺未遂者の個人情報を提供して良いでしょうか。
• Ｑ4-31
  診療情報等の個人データの保存を外国の事業者に委託することはできますか。
• Ｑ4-32
  医療・介護関係事業者において、確認・記録義務が適用されないのは、どのような場合でしょうか。
• Ｑ5-1
  診療録には、患者について客観的な検査をしたデータもあれば、それに対して医師が行った判断や評価も書かれています。つまり、診療録は、当該診療録を作成した医師の側からみると、自分が行った判断や評価を書いているので、医師の個人情報とも言うことができるのではないですか。
• Ｑ5-2
  患者・利用者の代理人から、患者・利用者本人の委任状を提出の上、保有個人データの開示の請求があった場合は、本人の意思が明らかであると見なしてよいでしょうか。
• Ｑ5-3
  保有個人データの開示に当たっては、どのような方法で開示すべきでしょうか。
• Ｑ6-1
  保有個人データの開示にあたり、費用として請求出来る妥当な金額はいくらでしょうか。

「健康保険組合等における個人情報の適切 な取扱いのためのガイダンス」 を補完する事例集（Ｑ＆Ａ）

【総論（「用語の定義」等関係）】

• 問001
  健保組合等の保有する個人情報には、例えばどのようなものがありますか。
• 問002
  レセプトから個人を識別できる情報を除いたものは、法の規制の対象から外れるのでしょうか。
• 問003
  レセプトに記載されている情報のうち、具体的にはどの情報が個人を識別できる情報なのでしょうか。
• 問004
  レセプト等は医師の個人情報にも該当しますか。
• 問005
  死者に関する情報は、どのように取り扱う必要がありますか。
• 問006
  レセプトを電子媒体で保存した場合と紙で保存した場合とで、個人情報の取扱いに異なる点があるのでしょうか。
• 問007
  「個人情報」、「個人情報データベース等」、「個人データ」、「保有個人データ」の違いは何でしょうか。
• 問008
  「匿名化」された情報は、個人情報に該当しますか。
• 問009
  「個人識別符号」とはどのようなものを指しますか。
• 問010
  「匿名加工情報」とはどのようなものを指しますか。
• 問011
  「要配慮個人情報」とはどのようなものを指しますか。また「要配慮個人情報」にかかる留意点は何でしょうか。
• 問012
  既に健保組合の被保険者等ではない者の個人情報も法の対象ですか。

• 【利用目的の特定、公表等 第１５条～第１８条関係】
  • 問101
    利用目的を変更する場合において、法第 15 条第２項に規定する「変更前の利用目的と関連性を有すると合理的に認められる範囲」について示してください。
  • 問102
    法第 18 条第１項では、個人情報の利用目的を公表しなければならないとされていますが、利用目的を「公表」するとは具体的にはどのような措置をとればよいのでしょうか。
  • 問103
    利用目的の特定、公表とは、目的をどれほど詳細に公表すれば足りるのでしょうか。
  • 問104
    健保組合が審査支払のためにレセプトの個人情報を利用するのは法律上当然のことですが、これも公表しなければならないのでしょうか。
  • 問105
    特定された利用目的の範囲を超える場合には、原則としてあらかじめ本人の同意が必要ですが、緊急性を要する場合にもあらかじめ本人の同意が必要ですか。
  • 問106
    市町村等の医療費助成があるレセプトについて、付加給付を行う健保組合では、給付が重複しないように、①事業所の担当者を経由して被保険者に照会、②健保組合から医療機関へ窓口負担の有無を照会、③健保組合から市町村等に医療費助成の有無を照会し、結果的に病歴等の要配慮情報を取得することとなりますが、法に抵触しますか。
• 【データ内容の正確性の確保 第１９条関係】
  • 問２０１
    健保組合は個人データの正確かつ最新の内容を確保することとなっていますが、どのような措置をとればよいのでしょうか。また資格喪失者の情報についても同様でしょうか。
• 【第三者提供 第２３、第２５、２６条関係】
  • 問３０１
    個人データを第三者に提供する際に本人の同意をとる必要はありますか。
  • 問３０２
    本人の同意を求めるケースでは、すべて書面でもらう必要がありますか。
  • 問３０３
    あらかじめ本人の同意を得ないで、個人データを第三者に提供することができる場合とは、具体的にどのような場合でしょうか。
  • 問３０４
    健保組合が審査支払機関にレセプトの再審査請求をする場合も、第三者提供に当たりあらかじめ本人の同意が必要となりますか。
  • 問３０５
    大学の研究者から研究のためにレセプトの提供を求められました。レセプト情報を提供してもよいのでしょうか。
  • 問３０６
    被保険者が生命保険に加入する際に所定の検査が必要となりますが、事前に健診を受けていれば、その検査結果を代用できることになっている場合があります。この場合、生命保険会社から被保険者の検査結果の提供を求められた場合、検査結果を提供してよいのでしょうか。
  • 問３０７
    非常勤職員が組合の会議室等でレセプト点検を行う場合も第三者提供に該当しますか。
  • 問３０８
    レセプトの点検業務を第三者に委託する場合にも本人の同意が必要ですか。
  • 問３０９
    健保組合が統計情報を作成するために、レセプトの画像取込（スキャン）を行った上、統計作成事業を請け負っている会社に委託する場合、本人の同意を得ずに当該会社に当該レセプトデータを提供してよいのでしょうか。
  • 問３１０
    健康保険被保険者証の検認又は更新の際には、事業所に一括して送付し、事業所から各被保険者へ配布しています。このようなやり方は第三者提供に当たり、本人の同意が必要となりますか。
  • 問３１１
    給付に関する申請などが事業主経由で行われることありますが、気を付けることはありますか。
  • 問３１２
    健保連の共同事業として、健保連から委託を受けた指導員が、健保組合のレセプトをチェックし、レセプト審査の方法を助言することがありますが、法に抵触しますか。
  • 問３１３
    被扶養者本人に対する健康保険被保険者証の更新の際には、被扶養者の同意を得ずに被保険者本人に交付することはできますか。
  • 問３１４
    健保組合から被保険者に対し医薬品を配布することがありますが、医薬品のリストと送付先名簿を業者に渡し、業者から被保険者に対し郵送することは可能でしょうか。
  • 問３１５
    市区町村の国民健康保険担当から、資格喪失年月日、認定日などの照会がなされた場合の対応はどうしたらよいのでしょうか。
  • 問３１６
    保険医療機関や保険薬局から、受給資格の有無の照会がなされた場合の対応はどうしたらよいのでしょうか。
  • 問３１７
    法令上質問をすることができる旨が規定されていますが、回答義務がない場合又は回答しなくても刑罰がない場合にも、法第 23 条第１項第１号の「法令に基づく場合」に該当するのでしょうか。
  • 問３１８
    警察署や労働基準監督署から、資格喪失年月日、療養の給付などの照会がなされた場合の対応はどうしたらよいのでしょうか。
  • 問３１９
    刑事訴訟法第 197 条第２項の規定に基づき、警察から健保組合に、「貴組合に○○という被保険者はいるか」「貴組合に加入しているＡ事業所の事業主は誰か」との照会があった場合、回答してよいのでしょうか。
  • 問３２０
    健保組合の保健事業として、健保組合の医師や保健師が被保険者の健康相談を行っていますが、その内容を健保組合の事務局に報告させる場合に本人の同意は必要となりますか。
  • 問３２１
    受診者が被扶養者の場合に、健保組合から被保険者に対し受診内容等の照会をすることがありますが、受診者（被扶養者）に直接確認しなければならないのでしょうか。
  • 問３２２
    当健保組合において、資格喪失後の出産育児一時金の受給要件を満たしている被保険者が、配偶者の加入する健康保険の他の保険者に家族出産育児一時金を請求した場合に、その健康保険の他の保険者より電話連絡で当健保組合に出産育児一時金の支給の有無の照会がありました。どのように対応したらよいのでしょうか。
  • 問３２３
    労働基準監督署より労災判定に関し、文書により、その関連するレセプト内容（医療機関名、傷病名、診療点数等、診療日数・入院日数）の照会（レセプト要求なし）があった場合、どのように対応したらよいのでしょうか。 例えば、管轄の健保組合に対して、労働基準監督署から健康保険の被保険者の傷病名や受診医療機関名、入院期間、医療費などの照会がなされました。何らかの傷病に際し、健康保険からの保険給付がなされた後、労災であることが判明し、労働基準監督署に申請がなされました。この場合、被保険者の傷病名などは個人情報にあたり、保険者たる健保組合としては労働基準監督署へ情報 提供することは許されるのでしょうか。
  • 問３２４
    市町村より、健保組合に対し、乳幼児医療助成（現物給付）にかかるレセプトの内容（受診医療機関ならびに請求点数）の照会があった場合、どのように対応したらよいのでしょうか。
  • 問３２５
    健保組合の保健指導で得た個人情報を提供するよう健保組合の上司から指示があったが、その個人情報を提供してよいのでしょうか。
  • 問３２６
    以下の場合について、事業者と健保組合において、健診結果について共有することができるのでしょうか。 ① 事業者が、労働安全衛生法（昭和 47 年法律第 57 号）に基づいて行う健診及び同法の法定項目を超える健診を実施する場合 ② 事業者が、労働安全衛生法に基づいて行う健診を実施し、健保組合が、同法の法定項目を超える健診を実施する場合 ③ 健保組合が、労働安全衛生法に基づいて行う健診及び同法の法定項目を超える健診を実施する場合 ④ 事業者と健保組合が共同（健保組合が費用を一部負担（共同出資）している場合を含む。⑤において同じ。）で、労働安全衛生法に基づいて行う健診及び同法の法定項目を超える健診を実施する場合 ⑤ 事業者が、労働安全衛生法に基づいて行う健診を実施し、事業者と健保組合が共同で、同法の法定項目を超える健診を実施する場合
  • 問３２７
    母体事業所の健康管理部門に特定保健指導を委託する場合において、健保組合が特定健診の結果を母体事業所へ提供することについて本人同意は必要となりますか。
  • 問３２８
    事業所における健康管理事業推進に寄与する為に、健保組合が保有する健診結果とレセプトデータを突合分析した結果を、事業所の健康管理部門に提供するにあたり、本人同意は必要となりますか。
  • 問３２９
    当健保組合では、人間ドック未受診者が法定健診も未受診とならないよう、人間ドック未受診者のリストを事業所に提供しています。この場合、本人同意は必要となりますか。
  • 問３３０
    当健保組合では事業所とのコラボヘルスを推進するにあたり、互いが保有する健診結果等のデータを共有し、互いの事後指導に活用したいと考えていますが、法第 23 条第５項第３号「共同利用」に該当する場合、本人同意は要しないという理解でよいのでしょうか。
  • 問３３１
    前設問における共同利用により健診結果を事業所と共有している場合、健診結果が要治療にもかかわらず、健保組合のレセプトデータから未受診であることが分かった者について、その旨（単に受診していない旨）を事業所に情報提供し、事業所から受診勧奨することについて、本人同意は必要となるのでしょうか。
  • 問３３２
    当健保組合の理事長は事業所の人事執行役員です。この場合、理事長が事業所の人事業務に健保組合が保有する被保険者の病歴等情報を活用することに問題はありますか。
  • 問３３３
    母体企業が労働安全衛生法に基づく健診を行う際に、安全衛生法の法定項目を超える健診を実施し、健保組合が当該超過項目の費用を負担しています。検診結果は、母体企業と健保組合が共有する。このようなケースは認められるのでしょうか。
  • 問３３４
    健保組合が行う特定保健指導などを産業医に依頼する場合には、どのようなことに気を付ける必要がありますか。
  • 問３３５
    当健保組合では、専門業者に委託のうえ、特定保健指導の実施をしています。業者には特定健診によりリスク保有者を抽出し、該当者の健診結果データを提供しています。この場合、受診者本人の同意は必要ですか。
  • 問３３６
    母体企業の産業医に相談業務を委託することがありますが、その結果を健保組合に報告してもらうことに支障はありますか。また、母体企業の産業医が健保組合の顧問医になっている場合はどうでしょうか。
  • 問３３７
    事業主が実施している健康診断の結果をもとに、健保組合の保健師が受診者に対し、健康相談を行うことは可能でしょうか。また、事業主から誰に対し健康相談を行ったのか、その健康相談の内容はどのようなものかと聞かれた場合にはどうすればよいのでしょうか。
  • 問３３８
    人間ドック等の受診費用を健保組合が助成し、その結果を健診業者から健保組合にも直接送付してもらっていますが、事前に本人の同意をとる必要がありますか。
  • 問３３９
    当健保組合では、特定の健診機関と個別契約を締結し、人間ドック事業を実施しています。同事業内容については、組合員にも周知済みですが、契約健診機関から健診結果を受領することについて、受診者本人の同意は必要でしょうか。
  • 問３４０
    健診で結核などの感染のおそれが高い疾病患者が見つかったため、事業所に該当情報を伝える必要がある場合は、本人の同意を得なければならないのでしょうか。
  • 問３４１
    いくつかの健保組合が共同して、レセプトの分析を行うことを予定しています。この場合に気を付けることは何がありますか。
  • 問３４２
    法 23 条第５項第３号では、特定の者で共同利用する場合には、利用する者の範囲、責任者等を予め、本人の知り得る状態とすれば第三者提供に当たらず、本人の同意は不要とされていますが、「本人が容易に知り得る状態」とはどのような状態をいうのでしょうか。
  • 問３４３
    レセプトから自動車事故であることが疑われる場合であっても、健保組合は被保険者の電話番号を把握しておらず、直接連絡を取ることが難しいことがあります。このような場合に事業所の職員に傷病原因の照会をした場合には、法に抵触しますか。
  • 問３４４
    第三者行為において、健保組合が損害保険会社に請求する医療費を示すために、レセプトの写しを損害保険会社へ送付していますが、法に抵触しますか。
  • 問３４５
    現在、医療費通知は被保険者とその家族をまとめて通知しており、その旨をホームページ等で公表し、組合員においても周知が行き渡っている状況ですが、平成 29 年５月の改正法施行後もこの取扱いでよいのでしょうか。また社内便を用いて本人に送付しているがよいのでしょうか。
  • 問３４６
    当健保組合では、高額療養費及び付加給付（一部負担還元金等） の支給について、規程で定めることにより、本人の申請に基づくことなく「自動払い」により、事業主を経由し支給する（給与口座への振込み）こととしています。これは本人の同意を得ずに、個人データを第三者である事業主に提供していることになり、あらかじめ本人の同意が必要となりますか。
  • 問３４７
    当健保組合では、療養給付記録欄がある紙の被保険者証を発行していますが、これは、被保険者が受診する場合は被扶養者に関する個人情報を、被扶養者が受診する場合は被保険者に関する個人情報を、それぞれ情報主体と異なる者（受診者）が第三者（医療機関）に提供する形になっていますが、法上、問題がありますか。
  • 問３４８
    健保組合がレセプトを売買したり、健保組合からレセプトによる医療費分析などを受託している業者がレセプトを売買することは問題ないでしょうか。
  • 問３４９
    レセプト等を用いて、医療費分析や保健指導等をするに当たって、医師の同意を要するのでしょうか。また、それらの業務を委託する場合はどうでしょうか。
  • 問３５０
    健保組合がレセプトの個人情報に係る部分をマスキングした上で、当該レセプトのデータ処理業務を海外の会社に委託することは可能でしょうか。
  • 問３５１
    個人情報を第三者提供する際にその記録を作成する必要はありますか。
  • 問３５２
    法第 25 条にかかる第三者提供時の記録が必要な場合の具体例は何でしょうか。
  • 問３５３
    当健保組合では、効果的な保健事業展開を目的とし、レセプトデータ及び特定健診・保健指導の実施データの分析を専門業者に委託していますが、委託の際の留意点は何でしょうか。
• 【開示請求手続 第２８条、第３２条、第３３条関係】
  • 問４０１
    開示請求の手続きはどのようなものでしょうか。
  • 問４０２
    開示請求の際に、本人であることの確認はどのように確認すればよいのでしょうか。
  • 問４０３
    開示請求の手数料はどの程度に設定すればよいのでしょうか。
  • 問４０４
    情報開示手続を定めるに当たっては、請求者に「過重な負担を課するものとならないよう配慮しなければならない」こととなっているが、具体的にどのようなことでしょうか。
  • 問４０５
    震災等でレセプトが散乱し、検索することが困難な状態の場合は、その事情を理由に開示しなくてよいのでしょうか。
  • 問４０６
    「保有個人データの全部又は一部を開示しないことができる」不開示の要件として、「個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合」がありますが、健保組合においてどのようなことが考えられるのでしょうか。
  • 問４０７
    被保険者から医師の個人情報にも該当するレセプト等の開示請求があった場合、被保険者に対する個人情報の提供に当たって、医師の同意を要するのでしょうか。また、医師の個人情報には該当しない場合はどうでしょうか。
  • 問４０８
    レセプトの遺族への開示については、今回の法改正においても取扱いは変わらないのでしょうか。
  • 問４０９
    柔道整復等療養費について、「療養費支給申請書」には、施術した柔道整復師が「負傷名」を記載し、住所、氏名、電話番号も記載されています。これも患者の個人情報でもあり、柔道整復師の個人情報ということになるのでしょうか。仮に、そうなると、患者から開示請求があった場合は、レセプト開示と同じ取扱いとなるのでしょうか。
  • 問４１０
    一般的な「療養費支給申請書」や看護、移送に関わるものも、「傷病名」、「傷病の経過」、「治療等の内容」が記載されています。これも医師の個人情報に該当し、レセプトと同様の開示扱いとなるのでしょうか。また、「傷病手当金請求書」や「出産手当金請求書」も「傷病名」、｢発病等の原因｣、「傷病の主症状経過等」や「医師または助産婦の意見」の記載があり、同様の取扱いとなるのでしょうか。
• 【苦情の処理 第３５条、第５２条関係】
  • 問５０１
    健保組合で保有する個人情報の取扱いに係る苦情処理はどこが行うのでしょうか。
  • 問５０２
    苦情処理のための必要な体制の整備とはどのようなものでしょうか（法第 35 条第２項）。認定個人情報保護団体があれば、各健保組合に苦情処理窓口を設けなくとも良いのではないでしょうか。
  • 問５０３
    認定個人情報保護団体に求められるものは何でしょうか。
• 【個人情報保護委員会 第４２条関係】
  • 問６０１
    個人情報取扱事業者等が法に違反した場合、どのような措置が採られるのでしょうか。
  • 問６０２
    個人情報保護委員会への報告はどのようなことが想定されているのでしょうか。（法第 40 条）
• 【１４年１２月保険課長通知解釈】
  • 問７０１
    レセプトの点検事務を受託した業者がさらに再委託してもよいのでしょうか。
  • 問７０２
    個人情報の処理に関する業務を外部委託する場合、健保組合との直接の契約関係を伴わない再委託は禁止することとされていますが、次のような場合はどうでしょうか。 高齢者健康相談訪問事業を外部委託する場合健保組合は高齢者健康相談訪問事業をＡに委託する。Ａは訪問のうち何件かをＢ及びＣに委託する。報告書などは、Ａから健保組合に提出されてくる。
  • 問７０３
    個人情報に関する処理の再委託が禁止されていますが、例えば医療費通知の作成やレセプトの点検の委託を受けた業者が、そのレセプトを運ぶ際に運送会社を利用することも認められないのでしょうか。
  • 問７０４
    生活習慣病健診を医療機関に委託しているが、当該医療機関が血液検査をさらに外部に委託しています。このような取扱いも禁止されるのでしょうか。時に調査等を行うこと（遵守基準）とされていますが、年何回くらい行えばよいのでしょうか。
  • 問７０５
    外部業者に業務処理委託を行っている場合には、定期的又は随時に調査等を行うこと（遵守基準）とされていますが、年何回くらい行えばよいのでしょうか。
  • 問７０６
    個人情報の処理を外部の業者に委託する場合には、理事会に諮ることとされています（遵守基準）が、理事長の専決とすることができるのでしょうか、また、契約期間の更新や委託金額の変更の場合にも理事会に諮る必要があるのでしょうか。
  • 問７０７
    健保組合が業務を外部委託する際の判断として、次の場合は「個人情報に関する処理」に該当するのでしょうか。

    • ① システムの保守業者が個人データの入ったハードディスクをハードディスクの製造メーカーに修理を委託する場合。
    • ② ソフトウエアの保守（ソフトのパッチやバージョンアップ等の作業）で、サーバーのデータベースに個人情報は入っているが、個人情報を見ることがない保守作業を委託する場合。
• 【その他】
  • 問８０１
    個人情報取扱事業者として、団体が付与する認証制度を取得する必要があるのでしょうか。
  • 問８０２
    業務処理システムにアクセスした際の「ログファイル」も「個人情報」と思われますがどのように管理すればよいのでしょうか。具体的な基準を示してください。
  • 問８０３
    健保組合によるレセプトの直接審査を行う場合に、気をつけることは何でしょうか。
  • 問８０４
    健保組合において個人データが漏えいしてしまった場合の対応はどのようにすればよいでしょうか。
  • 問８０５
    委託先において個人データが漏えいしてしまった場合の対応はどのようにすればよいでしょうか。

「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」及び
「（別冊）金融業務における特定個人情報の適正な取扱いに関するガイドライン」に関するQ&A

事業者編

• 1：個人番号の利用制限【マイナンバーの利用目的の特定、変更や通知等について】
  • Q1-1
    個人番号の利用目的を特定して、本人への通知等を行うに当たり、個人番号の提出先を具体的に示す必要がありますか。
  • Q1-1-2
    個人番号の利用目的について、個人情報保護法における個人情報の利用目的とは区別して本人に通知等を行う必要がありますか。
  • Q1-1-3
    個人番号の利用目的を特定する場合、どのように特定することが考えられますか。
  • Q1-2
    利用目的の特定の事例として「源泉徴収票作成事務」が記載されていますが、「源泉徴収票作成事務」には、給与支払報告書や退職所得の特別徴収票も含まれると考えてよいですか。
  • Q1-2-2
    扶養控除等申告書に記載されている個人番号を、源泉徴収票作成事務に利用することはできますか。
  • Q1-3
    複数の個人番号関係事務で個人番号を利用する可能性がある場合において、個人番号の利用が予想される全ての目的について、あらかじめ包括的に特定して、本人への通知等を行ってよいですか。
  • Q1-3-2
    利用目的として「源泉徴収票作成事務」、「健康保険・厚生年金保険届出事務」と特定し、その利用目的を本人に通知又は公表している場合、市区町村から電子的に送付されてくる従業員等に係る住民税の「特別徴収税額決定通知（特別徴収義務者用）」に記載されている個人番号は、その利用目的の範囲内で利用することができますか。
  • Q1-3-3
    従業員等に係る住民税の「特別徴収税額決定通知（特別徴収義務者用）」により個人番号の提供を受ける場合のように、本人以外から個人番号の提供を受けることが想定されますが、個人番号の利用目的は、個人番号の提供元ごとに特定する必要がありますか。
  • Q1-4
    本人から個人番号の提供を受けるに当たり、利用目的について本人の同意を得る必要がありますか。
  • Q1-5
    個人番号の利用目的の通知等は、どのような方法で行うことが適切ですか。
  • Q1-6
    従業員等から、その扶養親族の個人番号が記載された扶養控除等申告書の提出を受ける際、個人番号の利用目的を従業員等に社内LANや就業規則により特定・通知等していれば、扶養親族に対しても、従業員等（個人番号関係事務実施者）から同様の内容が特定・通知等されているものと考えてよいですか。
  • Q1-7
    次の(1)(2)(3)の場合は、個人番号関係事務に係る一連の作業範囲として、利用目的の範囲内での利用と考えてよいですか。
    

    1. 収集した個人番号を特定個人情報ファイルへ登録し、登録結果を確認するために個人番号をその内容に含む情報をプリントアウトする場合
    2. 個人番号関係事務を処理する目的で、特定個人情報ファイルに登録済の個人番号を照会機能で呼び出しプリントアウトする場合
    3. 個人番号関係事務以外の業務を処理する目的（例えば、顧客の住所等を調べる等）で照会した端末の画面に、特定個人情報ファイルに登録済の情報が表示されており、これをプリントアウトする場合
  • Q1-8
    支払調書の中には、支払金額が所管法令の定める一定の金額に満たない場合、税務署長に提出することを要しないとされているものがあります。支払金額がその一定の金額に満たず、提出義務のない支払調書に個人番号を記載して税務署長に提出することは、目的外の利用として利用制限に違反しますか。
  • Q1-10
    行政機関等から個人番号利用事務の委託を受けた事業者が、「委託に関する契約の内容に応じて、『特定個人情報の適正な取扱いに関するガイドライン（行政機関等・地方公共団体等編）』が適用されることとなる。」とは、どういうことですか。
  • Q1-11
    従業員等が個人番号関係事務実施者として扶養親族の個人番号を扶養控除等申告書に記載して、勤務先である事業者に提出する場合に、事業者は番号法上の監督義務を負いますか。
  • Q1-12
    従業員等が、国民年金法の第3号被保険者（第2号被保険者である従業員等の配偶者）に関する届出を行うことは個人番号関係事務に該当しますか。
  • Q1-13
    雇用契約に基づく給与所得の源泉徴収票作成事務のために提供を受けた個人番号を、雇用する従業員の福利厚生の一環として財産形成住宅貯蓄や財産形成年金貯蓄、職場積立NISAに関する事務のために利用することはできますか。
  • Q1-14
    従業員の雇用形態をアルバイトから正社員に変更した場合、当初取得した個人番号を利用することができますか。
• 2：特定個人情報ファイルの作成の制限【マイナンバーが含まれるファイルの作成等について】
  • Q2-1
    次の(1)～(5)のケースについては、個人番号関係事務を処理するために必要な範囲内として、特定個人情報ファイルを作成することはできますか。
    

    1. 社内資料として過去の業務状況を記録するため、特定個人情報ファイルを作成すること
    2. 個人番号関係事務又は個人番号利用事務の委託先が、委託者に対して業務状況を報告するために特定個人情報ファイルを作成すること
    3. 個人番号の安全管理の観点から個人番号を仮名化して保管している場合において、その仮名化した情報と元の情報を照合するための照合表として特定個人情報ファイルを作成すること
    4. 提出書類間の整合性を確認するため、専ら合計表との突合に使用する目的で個人番号を記載した明細表を作成すること
    5. 障害への対応等のために特定個人情報ファイルのバックアップファイルを作成すること
  • Q2-2
    既存のデータベースに個人番号を追加することはできますか。
  • Q2-3
    個人番号をその内容に含むデータベースを複数の事務で用いている場合、個人番号関係事務以外の事務で個人番号にアクセスできないよう適切にアクセス制御を行えば、その個人番号関係事務以外の事務においては、当該データベースが特定個人情報ファイルに該当しないと考えてよいですか。
  • Q2-4
    個人番号が記載された書類等を利用して、個人番号関係事務以外の事務で個人情報データベース等を作成したい場合は、どのように作成することが適切ですか。
• 3：委託の取扱い【マイナンバーの取扱いの委託・再委託、委託契約の内容や委託先の監督等について】
  • Q3-1
    「個人番号関係事務又は個人番号利用事務の全部又は一部の委託をする者は、委託先において、番号法に基づき委託者自らが果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行わなければならない。」としていますが、委託先において、番号法が求める水準の安全管理措置が講じられていればよく、委託者が実際に講じている安全管理措置と同等の措置まで求められているわけではないと考えてよいですか。
  • Q3-2
    特定個人情報に係る委託先の監督について、個人情報保護法に加えて求められる監督義務の内容は何ですか。
  • Q3-3
    特定個人情報の取扱いを国外の事業者に委託する場合に、委託者としての安全管理措置を担保する上で、国内で実施する場合に加えて考慮するべき追加措置等はありますか。
  • Q3-4
    特定個人情報を取り扱う委託契約を締結する場合、個人情報の取扱いと特定個人情報の取扱いの条項を分別した契約とする必要がありますか。
  • Q3-5
    既存の委託契約で、本ガイドラインと同等の個人情報の取扱いの規定がある場合、特定個人情報も包含していると解釈して、委託契約の再締結はしなくてもよいですか。
  • Q3-6
    「委託先に安全管理措置を遵守させるために必要な契約の締結」について、実態として安全管理措置に係る委託者と委託先の合意が担保できる方法であれば、契約の締結以外の方法（例えば、誓約書や合意書の作成）も認められますか。
  • Q3-7
    委託先・再委託先との業務委託契約を締結するに当たり、業務委託契約書等に、特定個人情報の取扱いを委託する旨の特段の記載が必要になりますか。
  • Q3-8
    再委託（再々委託以降を含む。）を行うに当たり、最初の委託者から必ず許諾を得る必要がありますか。
  • Q3-8-2
    再委託（再々委託以降を含む。）に関連して、(1)最初の委託者、(2)委託先、(3)再委託先は、それぞれどのような点に注意すればよいですか。
  • Q3-9
    実務負荷の軽減のため、再委託を行う前に、あらかじめ委託者から再委託の許諾を得ることはできますか。
  • Q3-10
    再委託（再々委託以降を含む。）に係る委託者の許諾の取得方法について、書面、電子メール、口頭等方法の制限はありますか。
  • Q3-11
    委託契約に定めれば、委託先が、委託者の従業員等の特定個人情報を直接収集することはできますか。
  • Q3-11-2
    事業者が個人番号関係事務を委託している場合において、現在の委託先との委託契約を終了させて、新たに別の者に個人番号関係事務を委託するときに、現在の委託先が保有している特定個人情報を新たな委託先に直接提供させることはできますか。
  • Q3-12
    特定個人情報を取り扱う情報システムにクラウドサービス契約のように外部の事業者を活用している場合、番号法上の委託に該当しますか。
  • Q3-13
    クラウドサービスが番号法上の委託に該当しない場合、クラウドサービスを利用する事業者が、クラウドサービスを提供する事業者に対して監督を行う義務は課されないと考えてよいですか。
  • Q3-14
    特定個人情報を取り扱う情報システム（機器を含む。以下、この項において同じ。）の保守の全部又は一部に外部の事業者を活用している場合、番号法上の委託に該当しますか。また、外部の事業者が記録媒体等を持ち帰ることは、提供制限に違反しますか。
  • Q3-14-2
    特定個人情報の受渡しに関して、配送業者、通信事業者等の外部事業者による配送・通信手段を利用する場合、番号法上の委託に該当しますか。
  • Q3-15
    委託の取扱いについて、個人情報保護法と番号法の規定の違いはありますか。
  • Q3-16
    再委託先に対する監督について、具体的にどのように実施することが考えられますか。
• 4：個人番号の提供の要求【マイナンバーの提供を求めることができる場合等について】
  • Q4-1
    事業者は、「内定者」に個人番号の提供を求めることはできますか。
  • Q4-1-2
    個人番号関係事務実施者である事業者（事業者から個人番号を収集する事務の委託を受けた者を含む。）は、従業員等の家族全員の個人番号を収集することができますか。
  • Q4-2
    不動産の使用料等の支払調書の提出範囲は、同一人に対するその年中の支払金額の合計が所得税法の定める一定の金額を超えるものとなっていますが、その一定の金額を超えない場合は個人番号の提供を求めることはできませんか。
  • Q4-3
    親会社が、子会社の従業員に対しストックオプションを交付している場合、親会社は、従業員が子会社に入社した時点で個人番号の提供を求めることはできますか。
  • Q4-4
    従業員持株会は、従業員が所属会社に入社した時点で、その従業員に個人番号の提供を求めることはできますか。また、所属会社経由で個人番号の提供を受けることはできますか。
  • Q4-5
    人材派遣会社は、派遣登録を行う時点で、登録者の個人番号の提供を求めることはできますか。
  • Q4-6
    従業員や講演料等の支払先等から個人番号の提供を受けられない場合、どのように対応すればよいですか。
• 5：個人番号の提供の求めの制限、特定個人情報の提供制限【マイナンバーが記載された書類の交付や開示の請求等について】
  • Q5-1
    「他人」の定義における「同一の世帯」とは、住民票上における同じ世帯と解釈してよいですか。
  • Q5-2
    従業員等本人に給与所得の源泉徴収票を交付する場合において、その従業員等本人や扶養親族の個人番号を記載して交付してよいですか。
  • Q5-3
    住宅の取得に関する借入れ（住宅ローン）等で個人番号が記載された給与所得の源泉徴収票を使用することはできますか。
  • Q5-4
    所得税法等により本人に交付することが義務付けられている支払通知書（配当等とみなす金額に関する支払通知書等）にも個人番号を記載して交付してよいですか。
  • Q5-5
    公認会計士又は監査法人が、監査手続を実施するに当たって、監査を受ける事業者から特定個人情報の提供を受けることは、提供制限に違反しますか。
  • Q5-6
    財産形成住宅貯蓄・財産形成年金貯蓄の非課税に関する申告書は、法令に基づき、勤務先等及び金融機関を経由して税務署長に提出されることとなっています。この場合、勤務先等及び金融機関がそれぞれ個人番号関係事務実施者となり、勤務先等は本人から提供を受けた特定個人情報を、金融機関に対して提供すると考えてよいですか。
  • Q5-7
    個人情報取扱事業者は、本人からの開示の請求に応じて、本人に特定個人情報を提供することはできますか。
  • Q5-8
    支払調書等の写しを本人に送付することはできますか。
  • Q5-8-2
    個人番号を記載しなければ、支払調書等の写しを本人に送付することはできますか。
  • Q5-9
    番号法第19条各号のいずれにも該当しない特定個人情報の提供の求めがあった場合、どのように対応することが適切ですか。
  • Q5-10
    身分証明書等として個人番号カードを提示する際に裏面の個人番号を見られた場合、特定個人情報の提供制限に違反しますか。
  • Q5-11
    個人番号カードを拾得しましたが、警察に届け出ることは特定個人情報の提供制限に違反しますか。また、警察に届け出るまでの間、一時的に預かることは、特定個人情報の収集・保管制限に違反しますか。
  • Q5-12
    番号法第19 条第4 号の「従業者等の同意」について、使用者等は、従業者等から、事前に同意を取得しておくことは可能ですか。例えば、将来グループ会社へ転籍する可能性があるため、従業者等の入社時に、将来グループ会社へ転籍する際には使用者等から転籍先のグループ会社に対し、個人番号関係事務を処理するために必要な限度で、個人番号を含む特定個人情報を提供できることに関する同意を取得しておくことは可能ですか。
  • Q5-13
    番号法第19 条第４号に基づき、個人番号を含む特定個人情報の提供を受ける使用者等は、提供元が従業者等から同意を取得していることを確認する必要はありますか。
• 6：収集・保管制限【マイナンバーの収集、保管や廃棄等について】
  • Q6-1
    個人番号が記載された書類等を受け取る担当者が、その特定個人情報を見ることができないようにする措置は必要ですか。
  • Q6-2
    番号法上の本人確認の措置を実施する際に提示を受けた本人確認書類（個人番号カード、身元確認書類等）をコピーして、それを事業所内に保管することはできますか。
  • Q6-2-2
    扶養控除等申告書に記載される扶養親族の個人番号については、従業員が個人番号関係事務実施者として番号法上の本人確認を行うこととされており、事業者には本人確認義務は課せられていませんが、事業者に番号法上の本人確認義務がない場合であっても、書類に正しい番号が記載されているかを確認するために、事業者が扶養親族の個人番号カードのコピーを取得することはできますか。
  • Q6-3
    収集・提供した個人番号に誤りがあった場合、個人番号関係事務実施者である事業者に責任は及びますか。
  • Q6-4
    所管法令によって個人番号が記載された書類を一定期間保存することが義務付けられている場合には、その期間、事業者がシステム内で個人番号を保管することができますか。
  • Q6-4-2
    支払調書の控えには保存義務が課されていませんが、支払調書の作成・提出後個人番号が記載された支払調書の控えを保管することができますか。
  • Q6-5
    個人番号の廃棄が必要となってから、廃棄作業を行うまでの期間は、どの程度許容されますか。
  • Q6-6
    個人番号の利用が想定される複数の目的について、あらかじめ特定して、本人への通知等を行った上で個人番号の提供を受けている場合、個人番号の廃棄が必要となるのは、当該複数の目的の全てについて個人番号を保管する必要がなくなったときですか。
  • Q6-7
    支給が数年に渡り繰延される賞与がある場合、退職後も繰延支給が行われなくなることが確認できるまで個人番号を保管することはできますか。
  • Q6-8
    個人番号を削除した場合に、削除した記録を残す必要がありますか。
  • Q6-9
    個人番号の保存期間の時限管理を回避するために、契約関係が終了した時点で個人番号を削除することはできますか。
  • Q6-10
    個人番号を削除せず、取引再開時まで個人番号にアクセスできないようアクセス制御を行うという取扱いは許容されますか。
  • Q6-11
    現在業務ソフトウェアを運用している筐体と同一筐体内、かつ同一データベース内で個人番号を管理することはできますか。
  • Q6-12
    身分証明書等として個人番号カードの提示を受ける際に裏面の個人番号が見えた場合、特定個人情報の収集制限に違反しますか。
  • Q6-13
    身分証明書の写しとして、顧客の個人番号カードをコピーしてもよいですか。
• 7：個人情報保護法の主な規定【保管しているマイナンバーの定期的な確認等について】
  • Q7-1
    個人番号は変更されることもありますが、保管している個人番号について、定期的に最新性を確認する必要がありますか。
• 8：個人番号利用事務実施者である健康保険組合等における措置等【健康保険組合等が行う情報照会について】
  • Q8-1
    行政機関等及び健康保険組合等から個人番号利用事務の全部又は一部の委託を受けた事業者が、情報提供ネットワークシステムに接続された端末を操作して情報照会等を行うことはできますか。
• 9：その他【1～8に該当しないQ&A】
  • Q9-1
    個人番号には、死者の個人番号も含まれますか。
  • Q9-2
    個人番号を暗号化等により秘匿化すれば、個人番号に該当しないと考えてよいですか。
  • Q9-3
    個人番号をばらばらの数字に分解して保管すれば、個人番号に該当しないと考えてよいですか。

（別添）安全管理措置

• 10：安全管理措置の検討手順【マイナンバーを取り扱う担当者（事務取扱担当者）等について】
  • Q10-1
    「事務取扱担当者の明確化」は、役割や所属等による明確化のように個人名による明確化でなくてもよいですか。
  • Q10-2
    事務取扱担当者には、特定個人情報等を取り扱う事務に従事する全ての者が該当しますか。
• 11：講ずべき安全管理措置の内容【マイナンバーを取り扱う際に注意することや中小規模事業者の定義等について】
  • Q11-1
    [２]に示す安全管理措置を講じれば十分ですか。
  • Q11-2
    「中小規模事業者」の定義における従業員について、「同法第21条の規定により同法第20条の適用が除外されている者」とは、具体的にどのような者ですか。また、いつの従業員の数ですか。
  • Q11-3
    中小規模事業者でない事業者が、中小規模事業者に業務を委託する場合、当該中小規模事業者には【中小規模事業者における対応方法】を遵守させることになるのですか。
  • Q11-4
    標的型メール攻撃等による特定個人情報の漏えい等の被害を防止するために、安全管理措置に関して、どのような点に注意すればよいですか。
  • Q11-5
    従業者に、特定個人情報等の取扱いに関する研修を行う場合、どのような点に注意すればよいですか。
• 12：基本方針の策定【特定個人情報の取扱いについての基本方針の策定方法や公表等について】
  • Q12-1
    既に個人情報の取扱いに係る基本方針を策定している場合、新たに特定個人情報等に係る基本方針を策定する必要がありますか。それとも、既存の個人情報の取扱いに係る基本方針の一部改正で十分ですか。
  • Q12-2
    基本方針を公表する必要がありますか。
• 13：取扱規程等の策定【特定個人情報の取扱規程等の策定方法等について】
  • Q13-1
    新たに特定個人情報の保護に係る取扱規程等を作成するのではなく、既存の個人情報の保護に係る取扱規定等を見直し、特定個人情報の取扱いを追記する形でもよいですか。
  • Q13-2
    中小規模事業者も取扱規程等を策定しなければなりませんか。
• 14：組織的安全管理措置【マイナンバーの取扱状況の記録や監査等について】
  • Q14-1
    ｂ 取扱規程等に基づく運用」における特定個人情報等の利用状況等の記録の項目及び保存期限は、どのように考えることが適切ですか。
  • Q14-2
    「ｂ 取扱規程等に基づく運用」及び「ｃ 取扱状況を確認する手段の整備」の【中小規模事業者における対応方法】における「取扱状況の分かる記録を保存する」とは、どのように考えることが適切ですか。
  • Q14-3
    「ｅ 取扱状況の把握及び安全管理措置の見直し」における《手法の例示》の2つ目にある、「外部の主体による他の監査活動と合わせて、監査を実施することも考えられる。」とは、具体的にどのようなことですか。
• 15：物理的安全管理措置【マイナンバーを取り扱う区域の管理等について】
  • Q15-1
    「ａ 特定個人情報等を取り扱う区域の管理」における「座席配置の工夫」とは、具体的にどのような手段が考えられますか。
  • Q15-1-3
    「ａ 特定個人情報等を取り扱う区域の管理」における「管理区域」及び「取扱区域」について、区域ごとに全て同じ措置を講ずる必要があるのでしょうか。
  • Q15-1-4
    「ａ 特定個人情報等を取り扱う区域の管理」及び「ｂ 機器及び電子媒体等の盗難等の防止」について、従業員数人程度の事業者における手法の例示を教えてください。
  • Q15-1-5
    「テレワーク等により自宅においてマイナンバーを取り扱っても問題ないですか。
  • Q15-2
    「ｄ 個人番号の削除、機器及び電子媒体等の廃棄」における「容易に復元できない手段」とは、具体的にどのような手段が考えられますか。
• 16：個人番号の利用制限【金融業務でのマイナンバーの利用目的の特定、変更や通知等について】
  • Q16-1
    顧客の個人番号を適法に保管している場合であっても、新しい契約を締結するごとに改めて個人番号の提供を求める必要がありますか。
  • Q16-2
    顧客から契約ごとに個人番号の提供を受けた場合、個人番号が一致することによって結果的に顧客が同一人物であることを認識することとなりますが、それ自体は利用制限に違反しますか。また、個人番号が一致した顧客について、契約ごとに管理されている顧客情報（商品購入履歴、資産情報等）を、個人番号を利用して連携させることは利用制限に違反しますか。
  • Q16-3
    金融機関が顧客から個人番号の提供を受ける際に、「激甚災害時等に金銭の支払を行う事務」を利用目的として特定して、本人への通知等を行う必要がありますか。
  • Q16-4
    税務調査において、個人番号を指定した調査要求があった場合、その個人番号に基づいて資料の検索を行うことはできますか。
  • Q16-5
    金融機関が、利用目的を「金融商品取引に関する支払調書作成事務」と特定し、顧客から個人番号の提供を受けていた場合、「預貯金口座への付番に関する事務」のためにその個人番号を利用するには、どのような対応が必要ですか。<
  • Q16-6
    個人番号の利用目的を特定する場合、どのように特定することが考えられますか。
• 17：個人番号の提供の要求【金融業務でのマイナンバーの提供を求めることができる場合等について】
  • Q17-1
    契約の締結時点で支払金額が定まっておらず、支払調書の提出要否が明らかでない場合、その契約の締結時点で個人番号の提供を求めることができますか。
  • Q17-2
    株式や投資信託の取引を行うために、特定口座ではなく、いわゆる「一般口座」（証券口座・投資信託口座）を開設する場合、その口座開設時点で個人番号の提供を求めることができますか。
  • Q17-3
    保険代理店では、複数の損害保険会社・生命保険会社の商品を同一代理店で販売していますが、複数の保険会社を連名にして同一の機会に個人番号の提供を受けることはできますか。
  • Q17-4
    生損保にまたがる保険商品の場合、一方の保険会社が代表して個人番号の提供を受けることはできますか。
  • Q17-5
    死亡保険金の支払に伴って提出する支払調書に記載する保険契約者の個人番号の収集について、どのような注意が必要ですか。
  • Q17-6
    金融機関の顧客が個人番号の提供を拒んだ場合、どのような対応が適切ですか。
  • Q17-7
    内国税の適正な課税の確保を図るための国外送金等に係る調書の提出等に関する法律（以下「国外送金等調書法」という。）では、送金金額が同法の定める一定の金額以下の場合に支払調書の提出は不要となっていますが、個人番号が記載された告知書の提出については、送金金額による提出省略基準はありません。支払調書の提出が不要となる場合、個人番号が記載された告知書の提供を受けることは提供制限に違反しますか。
  • Q17-8
    財産形成住宅貯蓄・財産形成年金貯蓄の非課税に関する申告書は、法令に基づき、勤務先等及び金融機関を経由して税務署長に提出されることとなっています。この場合、勤務先等及び金融機関がそれぞれ個人番号関係事務実施者となり、金融機関は勤務先等に対し、個人番号の提供を求めると考えてよいですか。
  • Q17-9
    保険会社から個人番号関係事務の委託を受けた保険代理店（保険窓販を行う銀行等を含む。）は、保険会社が既に顧客から個人番号の提供を受け、適法に保管している場合であっても、保険契約の都度個人番号の提供を求める必要がありますか。
• 18：個人番号の提供の求めの制限、特定個人情報の提供制限【金融業務でのマイナンバーが記載された書類の交付等について】
  • Q18-1
    所得税法等により本人に交付することが義務付けられている支払通知書にも個人番号を記載して交付してよいですか。
  • Q18-2
    犯罪による収益の移転防止に関する法律（以下「犯罪収益移転防止法」という。）に基づく取引時確認を実施する際に、本人確認書類として個人番号カードの提示を受けた場合、本人確認書類を特定するに足りる事項として、個人番号を記録することはできますか。
  • Q18-3
    株式等振替制度を活用して特定個人情報の提供を受けることができる株式発行者から株主名簿に関する事務の委託を受けた株主名簿管理人は、株式発行者と同様に、番号法第19条第12号に従って特定個人情報の提供を受けることができますか。
• 19：安全管理措置【金融業務でマイナンバーを取り扱う際に注意することについて】
  • Q19-1
    国外送金等調書の作成・提出に係る事務処理については、外国為替業務に係るシステム処理の一環として行われていますが、その中で個人番号関係事務を区分し、個人番号を取り扱う従業者を限定する必要がありますか。

「特定個人情報の漏えい事案等が発生した場合の対応におけるＱ＆Ａ

１「事業者における特定個人情報の漏えい事案等が発生した場合の対応について」
（平成27年特定個人情報保護委員会告示第２号）に係る事項

• 1-1　特定個人情報の漏えい事案等が発覚した場合に講ずべき措置
  • Ｑ1-1
    「(1) 事業者内部における報告、被害の拡大防止」にある「責任ある立場の者」とは、どういう役職を想定していますか。
  • Ｑ1-2
    「(1) 事業者内部における報告、被害の拡大防止」にある「被害の拡大を防止する」とは、具体的には、どのような対応をとらなければなりませんか。
  • Ｑ1-3
    「(3) 影響範囲の特定」にある「把握した事実関係による影響の範囲を特定する」とは、どういうことですか。
  • Ｑ1-４
    「(5) 影響を受ける可能性のある本人への連絡等」にある「本人が容易に知り得る状態に置く」とは、どういうことですか。
  • Ｑ1-５
    「(5) 影響を受ける可能性のある本人への連絡等」及び「(6) 事実関係、再発防止策等の公表」について、「事案の内容等に応じて」とされていますが、どのような場合に本人への連絡等や公表をしなくてもよいのですか。
• 1-2 　本告示に基づく報告（番号法違反の事案又は番号法違反のおそれのある事案を把握した場合の報告）
  • Ｑ2-1
    個人情報取扱事業者が特定個人情報に関する漏えい事案等を報告する際に、どのような方法で報告すればよいですか。
  • Ｑ2-2
    「個人番号の利用制限違反など番号法固有の規定に関する事案」とは、どういう事案を指すのですか。
  • Ｑ2-3
    個人情報保護委員会への報告を要しない場合で、「①影響を受ける可能性のある本人全てに連絡した場合（本人への連絡が困難な場合には、本人が容易に知り得る状態に置くことを含む。）」とありますが、「本人への連絡が困難な場合」とは、どういう場合を指しますか。
• 1-３　番号法第29条の４に規定する重大事態等に関する報告
  • Ｑ3-1
    「(1) 規則に基づく報告」と「(2) 本告示に基づく報告」がありますが、事案が発覚した時点で、告示に基づいて直ちに個人情報保護委員会に報告すれば、規則に基づく報告はしなくてもよいですか。
  • Ｑ3-2
    「重大事態に該当する事案又はそのおそれのある事案」とありますが、「そのおそれ」に該当するかどうかの判断はどのように考えればよいですか。
  • Ｑ3-3
    「(2) 本告示に基づく報告」について、委託先で重大事態に該当する事案又はそのおそれのある事案が生じたときの第一報は、委託先から個人情報保護委員会に報告させることは認められますか。

２　「特定個人情報の漏えいその他の特定個人情報の安全の確保に係る重大な事態の報告に関する規則」
（平成27年特定個人情報保護委員会規則第５号）に係る事項

• Ｑ4-1
  規則第２条に基づく重大事態が生じた場合、重大事態の報告を個人情報保護委員会に報告すれば、事業所管大臣等への報告はしなくてもよいですか。
• Ｑ4-2
  個人番号関係事務を処理する民間事業者において、特定個人情報を処理しているパソコンがウイルス感染したことが発覚した場合、規則第２条第１号にある重大事態に当てはまるのですか。
• Ｑ4-3
  規則第２条第３号にある「電磁的方法により不特定多数の者が閲覧することができる状態」とは、具体的にどのような状態を指しますか。
• Ｑ4-4
  規則第２条第４号は、従業員が自宅で業務の続きをするために、社内規程に違反して、特定個人情報を含む資料を自宅に持ち帰った場合も当てはまるのですか。
• Ｑ4-5
  規則第２条第４号は、外部の第三者が個人番号が含まれるデータを持ち出した場合についても、当てはまるのですか。
• Ｑ4-6
  規則第３条第３項に関して、事業者（甲）の事務の再委託先（丙）で重大事態に該当する事案が生じたときは、再委託先（丙）から直接個人情報保護委員会に報告させることは認められますか。また、委託先（乙）と再委託先（丙）が共同で個人情報保護委員会に報告することは認められますか。
• Ｑ4-7
  事業者（甲）が、個人番号関係事務を事業者（乙）に委託し、その事務の一部を事業者（丙）に再委託し、更にその事務の一部を事業者（丁）に再々委託している場合、再々委託先（丁）において重大事態が生じた際は、規則第３条第３項に基づき、再々委託先（丁）は、その事務を委託した者（丙）と再々委託の許諾をした者（甲）に報告することとなっていますが、再々委託の許諾をした者（甲）に対する報告については、委託の契約関係にある当該事務を委託した者（丙）から報告することでも差し支えありませんか。