(合(
蝦夷
31/77日 12日 日曜日
(個人関連情報の第三者提供の制限等)
第20条個人関連情報取扱事業者は、第三者が個人関連情報(個人関連情報データベース等を構成す
るものに限る。以下同じ。)を個人データとして取得することが想定されるときは、第16条第1項各
号に掲げる場合を除くほか、次に掲げる事項について、同各号に定める方法により確認することを
しないで、当該個人関連情報を当該第三者に提供してはならない。
(1)当該第三者が個人関連情報取扱事業者から個人関連情報の提供を受けて本人が識別される個人
データとして取得することを認める旨の当該本人の同意が得られていること。
当該第三者から申告を受ける方法その他の適切な方法
(2)外国にある第三者への提供にあっては、前号の本人の同意を得ようとする場合において、あら
かじめ、イからハに掲げる事項が当該本人に提供されていること。
イ当該外国の名称
口適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関す
る情報
ハ当該第三者が講ずる個人情報の保護のための措置に関する情報
本号の規定による情報の提供が行われていることを示す書面の提示を受ける方法その他の適切
な方法
(3)前二号に定める方法にかかわらず、第三者に個人関連情報の提供を行うに際して既に前二号に
定める方法による確認(当該確認について第5項に規定する方法による記録の作成及び保存をし
ている場合におけるものに限る。)を行っている事項の確認を行う方法は,当該事項の内容と当該
提供に係る前二号に掲げる事項の内容が同一であることの確認を行う方法とする。
2前項第(2)号の規定により情報を提供する方法は、電磁的記録の提供による方法、書面の交付によ
る方法その他の適切な方法とする。
3第1項第(2)号の規定は、次の各号のいずれかの場合には適用されない。
(1)当該第三者が、我が国と同等の水準にあると認められる個人情報保護制度を有している国とし
て施行規則で定める国にある場合
(2)当該第三者が、次のいずれかの基準に適合する体制を整備している場合
イ協会員との間で、当該第三者における当該個人データの取扱いについて、適切かつ合理的な
方法により、保護法第4章第2節の規定の趣旨に沿った措置の実施が確保されていること
ロ個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。
4個人関連情報取扱事業者は、個人関連情報を外国にある第三者(第3項第(2)号に規定する体制を
整備している者に限る。)に提供した場合には、当該第三者による相当措置の継続的な実施を確保す
るために次に掲げる必要な措置を講じなければならない。
(1)当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある
当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること。
(2)当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるととも
に、当該相当措置の継続的な実施の確保が困難となったときは、個人関連情報の当該第三者への
提供を停止すること。
5個人関連情報取扱事業者は、第1項の規定による確認を行ったときは、次の各号に定めるところ
により、次項で定める事項に関する記録を作成しなければならない。なお、「第三者」のうち、国の
機関、地方公共団体、独立行政法人等、又は地方独立行政法人に個人関連情報の提供を行う場合は、
記録義務は適用されない。
(1)記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。
(2)記録は、個人関連情報を第三者に提供した都度、速やかに作成しなければならない。ただし、
当該第三者に対し個人関連情報を継続的に若しくは反復して提供したとき、又は当該第三者に対
し個人関連情報を継続的に若しくは反復して提供することが確実であると見込まれるときの記録
は、一括して作成することができる。
(3)前号の規定にかかわらず、第1項の規定により、本人に対する物品又は役務の提供に関連して
当該本人に係る個人関連情報を第三者に提供した場合において、当該提供に関して作成された契
的書その他の書面に次項で定める事項が記載されているときは、当該書面をもってこの項の当該
事項に関する記録に代えることができる。
6前項の「次項で定める事項」は、次に掲げる事項とする。
(1)第1項第(1)号の本人の同意が得られていることを確認した旨及び外国にある第三者への提供に
あっては、同項第12)号の規定による情報の提供が行われていることを確認した旨
(2)個人関連情報を提供した年月日(前項第(2)号ただし書の規定により、前項の記録を一括して作
成する場合にあっては、当該提供の期間の初日及び末日)
(3)当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者(法人でない団体で代
表者又は管理人の定めのあるものにあっては、その代表者又は管理人)の氏名
(4)当該個人関連情報の項目
7前項各号に定める事項のうち、既に第5項各号に規定する方法により作成した第5項の記録(当
該記録を保存している場合におけるものに限る。)に記録された事項と内容が同一であるものについ
ては、当該事項の記録を省略することができる。
8個人関連情報取扱事業者は、第5項の記録を、当該記録を作成した日から、次の各号に掲げる場
合の区分に応じ、それぞれ当該各号に定める期間、保存しなければならない。
(1)第5項第(3)号に規定する方法により記録を作成した場合
最後に当該記録に係る個人関連情報の提供を行った日から起算して1年を経過する日までの間
(2)第5項第(2)号ただし書に規定する方法により記録を作成した場合
最後に当該記録に係る個人関連情報の提供を行った日から起算して3年を経過する日までの間
(3)前二号以外の場合
3年
9協会員は、第1項の規定による個人関連情報の提供を受けて個人データとして取得する場合(保
護法第27条第1項各号に掲げる場合を除く。)は、第19条第1項及び第2項の確認・記録義務の適用
を受ける。
(解説)
(1)提供先の第三者による同意の取得について
協会員は、第1項の規定による個人関連情報の提供を受けて個人データとして取得するに
当たり、同項第(1)号の本人の同意を得る(提供元の伍人関連情報取扱事業者に同意取得を代
行させる場合を含む。)際には、原則として、書面によることとし、当該書面における記載を
通じて、
①対象となる個人関連情報の項目
②個人関連情報の提供を受けて個人データとして取得した後の利用目的
を本人に認識させた上で同意を得るように努める。
(2)提供先の第三者による適正取得
個人情報取扱事業者である提供先の第三者は、偽りその他不正の手段により、個人関連情
報を個人データとして取得してはならない。
【提供先の個人情報取扱事業者が偽りその他不正の手段により個人関連情報を個人データと
して取得している事例)
事例1)提供先の個人情報取扱事業者が、提供元の個人関連情報取扱事業者に個人データ
として利用する意図を秘して、本人同意を得ずに個人関連情報を個人データとし
て取得した場合
事例2)提供先の個人情報取扱事業者が,本人同意を取得していないにもかかわらず、同
意取得していると提供元の個人関連情報取扱事業者に虚偽の申告をして、個人関
連情報を個人データとして取得した場合