個人情報保護法関連規則・ガイドラインにおける個人データ流通記録義務及び特則の解説
令和7年4月22日|p.30
左の本文を選ぶと、右側の官報原文画像で該当箇所を照合できます。
00
08(106歳)陸上12日(172日本立したり
(2)オプトアウトによる個人データの第三者提供を受ける場合
イ当該個人データを受けた年月日
ロ当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者(法人でない団体で
代表者又は管理人の定めのあるものにあっては、その代表者又は管理人)の氏名
ハ当該第三者による当該個人データの取得の経緯
二当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
ホ当該個人データの項目
へ個人情報保護委員会により公表されている旨
(3)個人関連情報取扱事業者から保護法第31条第1項の規定による個人関連情報の提供を受けて個
人データとして取得した場合
イ保護法第31条第1項第1号の本人の同意が得られている旨及び外国にある協会員にあって
は、同項第2号の規定による情報の提供が行われている旨
ロ当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者(法人でない団体で
代表者又は管理人の定めのあるものにあっては,その代表者又は管理人)の氏名
ハ当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
二当該個人関連情報の項目
3前項にかかわらず、協会員が一定の期間内に特定の事業者との間で継続的に又は反復して個人
データを授受する場合は、個々の授受に係る記録を作成する代わりに、一括して記録を作成するこ
とができる。
4第2項にかかわらず、協会員が、本人に対する物品又は役務の提供に係る契約を締結し、かかる
契約の履行に伴って、契約の締結の相手方を本人とする個人データについて他の事業者から提供を
受ける場合は,当該提供の際に作成した契約書その他の書面をもって個人データの流通を追跡する
ことが可能であることから、当該契約書その他の書面をもって記録とすることができる。
5協会員は、第2項各号に定める事項のうち、既に前三項に規定する方法により作成した記録(当
該記録を保存している場合におけるものに限る。)に記録された事項と内容が同一であるものについ
ては、当該事項の記録を省略することができる。
6協会員は、前四項に基づき作成した記録を、以下の各号の規定に基づく期間、保存しなければな
らない。
(1)第4項に規定する方法により記録を作成した場合
最後に当該記録に係る個人データの提供を受けた日から起算して1年を経過する日までの間
(2)第3項に規定する方法により記録を作成した場合
最後に当該記録に係る個人データの提供を受けた日から起算して3年を経過する日までの間
(3)前二号以外の場合
3年
(特則-第19条関係)
1.個人データの提供を受けた場合の確認・記録義務
(1)EU又は英国域内から十分性認定に基づき個人データの提供を受ける場合、保護法第30
条第1項及び第3項の規定に基づき、EU又は英国域内から当該個人データの提供を受け
る際に特定された利用目的を含め、その取得の経緯を確認し、記録することとする。
(2)EU又は英国域内から十分性認定に基づき移転された個人データの提供を受けた他の個
人情報取扱事業者から、当該個人データの提供を受ける場合、保護法第30条第1項及び第
3項に基づき、当該個人データの提供を受ける際に特定された利用目的を含め、その取得
の経緯を確認し、記録することとする。
2.利用目的の特定、利用目的による制限
第1項各号のいずれの場合においても、協会員は保護法第30条第1項及び第3項の規定に
基づき確認し、記録した当該個人データを当初又はその後提供を受ける際に特定された利用
目的の範囲内で利用目的を特定し、その範囲内で当該個人データを利用することとする。
(解説)
(1)第三者の氏名等の確認方法の事例
【第三者から申告を受ける方法に該当する事例】
事例1)口頭で申告を受ける方法
事例2)所定の申込書等に記載をさせた上で、当該申込書等の提出を受け入れる方法
事例3)本人確認書類の写しの送付を受け入れる方法
【その他の適切な方法に該当する事例】
事例1)登記されている事項を確認する方法(受領者が自ら登記事項証明書・登記情報提
供サービスで当該第三者の名称・住所・代表者の氏名を確認する方法)
事例2)法人番号(行政手続における特定の個人を識別するための番号の利用等に関する
法律(平成25年法律第27号)第2条第15項に規定する法人番号をいう。)の提示を
受けて、当該法人の名称、住所を確認する方法
事例3)当該第三者が自社のホームページなどで名称、住所、代表者の氏名を公開してい
る場合において、その内容を確認する方法
事例4)信頼性のおける民間のデータ業者のデータベースを確認する方法
事例5)上場会社等の有価証券報告書等を確認する方法
(2)取得経緯の確認方法の事例
【適切な方法に該当する事例】
事例1)提供者が別の者から個人データを買い取っている場合には売買契約書などを確認
する方法
事例2)提供者が本人から書面等で当該個人データを直接取得している場合に当該書面等
を確認する方法
事例3)提供者による取得の経緯が明示的又は黙示的に示されている、提供者と受領者間
の契約書面を確認する方法
事例4)提供者が本人の同意を得ていることを誓約する書面を受け入れる方法
事例5)提供者のホームページで公表されている利用目的、規約等の中に、取得の経緯が
記載されている場合において、その記載内容を確認する方法
事例6)本人による同意書面を確認する方法
(3)受領者となる協会員は、個人情報取扱事業者から個人データの提供を受ける際には、当該
個人情報取扱事業者の保護法の遵守状況(例えば、利用目的、開示手続、問合せ・苦情の受
付窓口の公表など)についても確認することが望ましい。
(4)保護法第30条の要件の該当性は,同条の名宛人である受領者を基準に判断する必要がある
ため、提供者にとって個人データに該当するが受領者にとって個人データに該当しない情報
を受領した場合は、同条の確認・記録義務は適用されない。
したがって、例えば、協会員の営業担当者が、取引先を紹介する目的で、データベースと
して管理しているファイルから名刺1枚を取り出してそのコピーを他の協会員の営業担当者
に渡す場合、受領した側の協会員は確認・記録義務を負わない。
(参照条文:保護法30条、施行規則22条から25条まで、通則ガイドライン3-6-6、第三者
提供ガイドライン3-1-1、3-1-2、EU等補完的ルール(3))