Upgrade to Pro — share decks privately, control downloads, hide ads and more …

BUSINESS_LAWYERS_投影資料.pdf

Sponsored · Your Podcast. Everywhere. Effortlessly. Share. Educate. Inspire. Entertain. You do you. We'll handle the rest.
Avatar for SEKO_Shuhei SEKO_Shuhei
April 03, 2026
500

 BUSINESS_LAWYERS_投影資料.pdf

4/3(金)の12:00-13:30においてBUSINESS LAWYERS / 弁護士ドットコム株式会社様で実施した、
「いまさら聞けない法務の基本「個人情報保護法」」の登壇資料です。
https://www.businesslawyers.jp/seminars/553

Avatar for SEKO_Shuhei

SEKO_Shuhei

April 03, 2026
Tweet

More Decks by SEKO_Shuhei

Transcript

  1. ##いまさら聞けない法務の基本 「インターネット企業」 と「法律事務所LEACT」で兼業をしています 2 世古 修平(せこ しゅうへい) ◼ インターネット企業(インハウス・正社員) ◼

    法律事務所LEACT(弁護士 66期) ◼ IPA 独立行政法人 情報処理推進機構(試験委員) ◼ 経済産業省(電子商取引及び情報財取 引等に関する準則 研究会委員)
  2. ##いまさら聞けない法務の基本 本日のお品書き ◼ 用語の確認 ➢ 個人情報 ➢ 個人データ ➢ 保有個人データ

    ➢ 要配慮個人情報 ◼ いまさら聞けない「個人情報保護法」の基本 ◼ 法改正動向の分析 10
  3. ##いまさら聞けない法務の基本 本日のお品書き ◼ 用語の確認 ➢ 個人情報 ➢ 個人データ ➢ 保有個人データ

    ➢ 要配慮個人情報 ◼ いまさら聞けない「個人情報保護法」の基本 ◼ 法改正動向の分析 11
  4. ##いまさら聞けない法務の基本 ユーザーID 氏名 電話番号 メールアドレス 00001 00002 ユーザーID Aサービス 利用履歴情報

    00001 00002 ユーザー登録情報 利用履歴情報 45 ここで「ユーザー登録情報」と「利用履歴情報」のテーブルを想定します 個人情報 個人データ 保有個人データ 要配慮個人情報 第二条 この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものを いう。 一当該情報に含まれる氏名、生年月日その他の記述等(中略)により特定の個人を識別することができるもの (他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。) 二個人識別符号が含まれるもの
  5. ##いまさら聞けない法務の基本 ユーザーID 氏名 電話番号 メールアドレス 00001 00002 ユーザー登録情報 46 ユーザー登録情報は氏名を含み、先ほどの説明の通り全体が個人情報ですが

    アクセスログ 推定属性情報 写真 基本4情報 (氏名・住所・生年月日・性別) デモグラ情報(年齢、居住地域、所 得、職業、家族構成) 注文履歴 氏名、生年月日 個人情報 個人情報 個人データ 保有個人データ 要配慮個人情報 第二条 この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものを いう。 一当該情報に含まれる氏名、生年月日その他の記述等(中略)により特定の個人を識別することができるもの (他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。) 二個人識別符号が含まれるもの
  6. ##いまさら聞けない法務の基本 ユーザーID Aサービス 利用履歴情報 00001 00002 利用履歴情報 47 利用履歴情報のテーブルには、氏名が含まれていないのが注目ポイントです アクセスログ

    推定属性情報 写真 基本4情報 (氏名・住所・生年月日・性別) デモグラ情報(年齢、居住地域、所 得、職業、家族構成) 注文履歴 氏名、生年月日 個人情報 個人情報 個人データ 保有個人データ 要配慮個人情報 第二条 この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものを いう。 一当該情報に含まれる氏名、生年月日その他の記述等(中略)により特定の個人を識別することができるもの (他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。) 二個人識別符号が含まれるもの
  7. ##いまさら聞けない法務の基本 ユーザーID Aサービス 利用履歴情報 00001 00002 利用履歴情報 48 ここで、利用履歴情報は「個人情報」になるのでしょうか? アクセスログ

    推定属性情報 写真 基本4情報 (氏名・住所・生年月日・性別) デモグラ情報(年齢、居住地域、所 得、職業、家族構成) 注文履歴 氏名、生年月日 個人情報 個人情報 個人データ 保有個人データ 要配慮個人情報 第二条 この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものを いう。 一当該情報に含まれる氏名、生年月日その他の記述等(中略)により特定の個人を識別することができるもの (他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。) 二個人識別符号が含まれるもの
  8. ##いまさら聞けない法務の基本 ユーザーID 氏名 電話番号 メールアドレス 00001 00002 ユーザーID Aサービス 利用履歴情報

    00001 00002 ユーザー登録情報 利用履歴情報 第二条 この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものを いう。 一当該情報に含まれる氏名、生年月日その他の記述等(中略)により特定の個人を識別することができるもの (他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。) 二個人識別符号が含まれるもの 49 かっこがきは、「容易に照合」できるものは個人情報に含むといっています 個人情報 個人データ 保有個人データ 要配慮個人情報
  9. ##いまさら聞けない法務の基本 ユーザーID 氏名 電話番号 メールアドレス 00001 00002 ユーザーID Aサービス 利用履歴情報

    00001 00002 ユーザー登録情報 利用履歴情報 50 企業は一般に、データを活用する上でユーザーに対してIDを割り振りますが 個人情報 個人データ 保有個人データ 要配慮個人情報 第二条 この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものを いう。 一当該情報に含まれる氏名、生年月日その他の記述等(中略)により特定の個人を識別することができるもの (他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。) 二個人識別符号が含まれるもの
  10. ##いまさら聞けない法務の基本 ユーザーID 氏名 電話番号 メールアドレス 00001 00002 ユーザーID Aサービス 利用履歴情報

    00001 00002 ユーザー登録情報 利用履歴情報 51 ユーザーIDはテーブル間での照合を容易にする機能を果たしています ユーザーIDで容易に照合 個人情報 個人データ 保有個人データ 要配慮個人情報 第二条 この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものを いう。 一当該情報に含まれる氏名、生年月日その他の記述等(中略)により特定の個人を識別することができるもの (他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。) 二個人識別符号が含まれるもの
  11. ##いまさら聞けない法務の基本 ユーザーID 氏名 電話番号 メールアドレス 00001 00002 ユーザーID Aサービス 利用履歴情報

    00001 00002 ユーザー登録情報 利用履歴情報 52 そのため、「ユーザー登録情報」が個人情報であることは当然の前提として こちらだけでなく 個人情報 個人データ 保有個人データ 要配慮個人情報 第二条 この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものを いう。 一当該情報に含まれる氏名、生年月日その他の記述等(中略)により特定の個人を識別することができるもの (他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。) 二個人識別符号が含まれるもの
  12. ##いまさら聞けない法務の基本 ユーザーID 氏名 電話番号 メールアドレス 00001 00002 ユーザーID Aサービス 利用履歴情報

    00001 00002 ユーザー登録情報 利用履歴情報 53 「利用履歴情報」も、かっこがきにより個人情報に該当することになります こちらも個人情報 個人情報 個人データ 保有個人データ 要配慮個人情報 第二条 この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものを いう。 一当該情報に含まれる氏名、生年月日その他の記述等(中略)により特定の個人を識別することができるもの (他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。) 二個人識別符号が含まれるもの
  13. ##いまさら聞けない法務の基本 ユーザーID 氏名 電話番号 メールアドレス 00001 00002 ユーザー登録情報 54 ユーザーIDに紐づく個人に関する情報は、基本的に全て個人情報です

    個人情報 個人データ 保有個人データ 要配慮個人情報 第二条 この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものを いう。 一当該情報に含まれる氏名、生年月日その他の記述等(中略)により特定の個人を識別することができるもの (他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。) 二個人識別符号が含まれるもの
  14. ##いまさら聞けない法務の基本 本日のお品書き ◼ 用語の確認 ➢ 個人情報 ➢ 個人データ ➢ 保有個人データ

    ➢ 要配慮個人情報 ◼ いまさら聞けない「個人情報保護法」の基本 ◼ 法改正動向の分析 55
  15. ##いまさら聞けない法務の基本 本日のお品書き ◼ 用語の確認 ➢ 個人情報 ➢ 個人データ ➢ 保有個人データ

    ➢ 要配慮個人情報 ◼ いまさら聞けない「個人情報保護法」の基本 ◼ 法改正動向の分析 62
  16. ##いまさら聞けない法務の基本 本日のお品書き ◼ 用語の確認 ➢ 個人情報 ➢ 個人データ ➢ 保有個人データ

    ➢ 要配慮個人情報 ◼ いまさら聞けない「個人情報保護法」の基本 ◼ 法改正動向の分析 72
  17. ##いまさら聞けない法務の基本 全量をお見せするとこんな感じですが… (1)人種 (2)信条 (3)社会的身分 (4)病歴 (5)犯罪の経歴 (6)犯罪により害を被った事実 (7)身体障害、知的障害、精神障害(発達障害を含む。)その他の個人情報保護委員会規則で定める心身の機能 の障害があること(政令第2条第1号関係)

    (8)本人に対して医師その他医療に関連する職務に従事する者(次号において「医師等」という。)により行われた 疾病の予防及び早期発見のための健康診断その他の検査(同号において「健康診断等」という。)の結果(政令 第2条第2号関係) (9)健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心 身の状態の改善のための指導又は診療若しくは調剤が行われたこと(政令第2条第3号関係) (10)本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が 行われたこと(犯罪の経歴を除く。)(政令第2条第4号関係) (11)本人を少年法(昭和23年法律第168号)第3条第1項に規定する少年又はその疑いのある者として、調査、観護 の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと(政令第2条第5号関係) 個人情報 個人データ 保有個人データ 要配慮個人情報 78 ガイドライン通則編 2-3 要配慮個人情報(法第2条第3項関係)
  18. ##いまさら聞けない法務の基本 最近の事例で言えば、医療・介護系のサービス・プロダクトと (1)人種 (2)信条 (3)社会的身分 (4)病歴 (5)犯罪の経歴 (6)犯罪により害を被った事実 (7)身体障害、知的障害、精神障害(発達障害を含む。)その他の個人情報保護委員会規則で定める心身の機能 の障害があること(政令第2条第1号関係)

    (8)本人に対して医師その他医療に関連する職務に従事する者(次号において「医師等」という。)により行われた 疾病の予防及び早期発見のための健康診断その他の検査(同号において「健康診断等」という。)の結果(政令 第2条第2号関係) (9)健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心 身の状態の改善のための指導又は診療若しくは調剤が行われたこと(政令第2条第3号関係) (10)本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が 行われたこと(犯罪の経歴を除く。)(政令第2条第4号関係) (11)本人を少年法(昭和23年法律第168号)第3条第1項に規定する少年又はその疑いのある者として、調査、観護 の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと(政令第2条第5号関係) 個人情報 個人データ 保有個人データ 要配慮個人情報 79 ガイドライン通則編 2-3 要配慮個人情報(法第2条第3項関係)
  19. ##いまさら聞けない法務の基本 報道系の公開情報をクローリングしてくるようなプロダクトは要注意です (1)人種 (2)信条 (3)社会的身分 (4)病歴 (5)犯罪の経歴 (6)犯罪により害を被った事実 (7)身体障害、知的障害、精神障害(発達障害を含む。)その他の個人情報保護委員会規則で定める心身の機能 の障害があること(政令第2条第1号関係)

    (8)本人に対して医師その他医療に関連する職務に従事する者(次号において「医師等」という。)により行われた 疾病の予防及び早期発見のための健康診断その他の検査(同号において「健康診断等」という。)の結果(政令 第2条第2号関係) (9)健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心 身の状態の改善のための指導又は診療若しくは調剤が行われたこと(政令第2条第3号関係) (10)本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が 行われたこと(犯罪の経歴を除く。)(政令第2条第4号関係) (11)本人を少年法(昭和23年法律第168号)第3条第1項に規定する少年又はその疑いのある者として、調査、観護 の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと(政令第2条第5号関係) 個人情報 個人データ 保有個人データ 要配慮個人情報 80 ガイドライン通則編 2-3 要配慮個人情報(法第2条第3項関係)
  20. ##いまさら聞けない法務の基本 基準が明確ではないこともあり、推知情報への該当性判断は結構難しいです (1)人種 (2)信条 (3)社会的身分 (4)病歴 (5)犯罪の経歴 (6)犯罪により害を被った事実 (7)身体障害、知的障害、精神障害(発達障害を含む。)その他の個人情報保護委員会規則で定める心身の機能 の障害があること(政令第2条第1号関係)

    (8)本人に対して医師その他医療に関連する職務に従事する者(次号において「医師等」という。)により行われた 疾病の予防及び早期発見のための健康診断その他の検査(同号において「健康診断等」という。)の結果(政令 第2条第2号関係) (9)健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心 身の状態の改善のための指導又は診療若しくは調剤が行われたこと(政令第2条第3号関係) (10)本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が 行われたこと(犯罪の経歴を除く。)(政令第2条第4号関係) (11)本人を少年法(昭和23年法律第168号)第3条第1項に規定する少年又はその疑いのある者として、調査、観護 の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと(政令第2条第5号関係) 個人情報 個人データ 保有個人データ 要配慮個人情報 82 ガイドライン通則編 2-3 要配慮個人情報(法第2条第3項関係)
  21. ##いまさら聞けない法務の基本 基準が明確ではないこともあり、推知情報への該当性判断は結構難しいです (1)人種 (2)信条 (3)社会的身分 (4)病歴 (5)犯罪の経歴 (6)犯罪により害を被った事実 (7)身体障害、知的障害、精神障害(発達障害を含む。)その他の個人情報保護委員会規則で定める心身の機能 の障害があること(政令第2条第1号関係)

    (8)本人に対して医師その他医療に関連する職務に従事する者(次号において「医師等」という。)により行われた 疾病の予防及び早期発見のための健康診断その他の検査(同号において「健康診断等」という。)の結果(政令 第2条第2号関係) (9)健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心 身の状態の改善のための指導又は診療若しくは調剤が行われたこと(政令第2条第3号関係) (10)本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が 行われたこと(犯罪の経歴を除く。)(政令第2条第4号関係) (11)本人を少年法(昭和23年法律第168号)第3条第1項に規定する少年又はその疑いのある者として、調査、観護 の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと(政令第2条第5号関係) 個人情報 個人データ 保有個人データ 要配慮個人情報 83 ガイドライン通則編 2-3 要配慮個人情報(法第2条第3項関係)
  22. ##いまさら聞けない法務の基本 本日のお品書き ◼ 用語の確認 ◼ いまさら聞けない「個人情報保護法」の基本 ➢ データライフサイクルとは ➢ 取得についてのルール

    ➢ 利用についてのルール ➢ 安全管理についてのルール ➢ 提供についてのルール ➢ 消去についてのルール ◼ 法改正動向の分析 84
  23. ##いまさら聞けない法務の基本 本日のお品書き ◼ 用語の確認 ◼ いまさら聞けない「個人情報保護法」の基本 ➢ データライフサイクルとは ➢ 取得についてのルール

    ➢ 利用についてのルール ➢ 安全管理についてのルール ➢ 提供についてのルール ➢ 消去についてのルール ◼ 法改正動向の分析 87
  24. ##いまさら聞けない法務の基本 本日のお品書き ◼ 用語の確認 ◼ いまさら聞けない「個人情報保護法」の基本 ➢ データライフサイクルとは ➢ 取得についてのルール

    ➢ 利用についてのルール ➢ 安全管理についてのルール ➢ 提供についてのルール ➢ 消去についてのルール ◼ 法改正動向の分析 92
  25. ##いまさら聞けない法務の基本 本日のお品書き ◼ 用語の確認 ◼ いまさら聞けない「個人情報保護法」の基本 ➢ データライフサイクルとは ➢ 取得についてのルール

    ➢ 利用についてのルール ➢ 安全管理についてのルール ➢ 提供についてのルール ➢ 消去についてのルール ◼ 法改正動向の分析 120
  26. ##いまさら聞けない法務の基本 分類を書いた上で具体例を列挙する、トップダウンの記載方法があります 134 当社は、以下の目的で取得した個人情報を利用します。 ◼ 当社サービスの提供・維持 ◼ 当社サービスの開発・改善 ◼ 不正利用の防止・対応

    これらの具体例には以下のようなものがあります。 ◼ 当社サービスの提供・維持の具体例 ➢ XXX ➢ XXX ◼ 当社サービスの開発・改善の具体例 ➢ XXX ➢ XXX ◼ 不正利用の防止・対応の具体例 ➢ XXX ➢ XXX プラポリ 直接取得 間接取得
  27. ##いまさら聞けない法務の基本 分類を書いた上で具体例を列挙する、トップダウンの記載方法があります 135 当社は、以下の目的で取得した個人情報を利用します。 ◼ 当社サービスの提供・維持 ◼ 当社サービスの開発・改善 ◼ 不正利用の防止・対応

    これらの具体例には以下のようなものがあります。 ◼ 当社サービスの提供・維持の具体例 ➢ XXX ➢ XXX ◼ 当社サービスの開発・改善の具体例 ➢ XXX ➢ XXX ◼ 不正利用の防止・対応の具体例 ➢ XXX ➢ XXX プラポリ 直接取得 間接取得
  28. ##いまさら聞けない法務の基本 分類を書いた上で具体例を列挙する、トップダウンの記載方法があります 136 当社は、以下の目的で取得した個人情報を利用します。 ◼ 当社サービスの提供・維持 ◼ 当社サービスの開発・改善 ◼ 不正利用の防止・対応

    これらの具体例には以下のようなものがあります。 ◼ 当社サービスの提供・維持の具体例 ➢ XXX ➢ XXX ◼ 当社サービスの開発・改善の具体例 ➢ XXX ➢ XXX ◼ 不正利用の防止・対応の具体例 ➢ XXX ➢ XXX プラポリ 直接取得 間接取得
  29. ##いまさら聞けない法務の基本 分類を書いた上で具体例を列挙する、トップダウンの記載方法があります 137 当社は、以下の目的で取得した個人情報を利用します。 ◼ 当社サービスの提供・維持 ◼ 当社サービスの開発・改善 ◼ 不正利用の防止・対応

    これらの具体例には以下のようなものがあります。 ◼ 当社サービスの提供・維持の具体例 ➢ XXX ➢ XXX ◼ 当社サービスの開発・改善の具体例 ➢ XXX ➢ XXX ◼ 不正利用の防止・対応の具体例 ➢ XXX ➢ XXX プラポリ 直接取得 間接取得
  30. ##いまさら聞けない法務の基本 法律は、この「取得ルート」に応じて異なる規制を定めています プラポリ 直接取得 間接取得 (取得に際しての利用目的の通知等) 第二十一条 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速や かに、その利用目的を、本人に通知し、又は公表しなければならない。 2

    個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他 の書面(電磁的記録を含む。以下この項において同じ。)に記載された当該本人の個人情報を取得する場合その他 本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的 を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限り でない。 140
  31. ##いまさら聞けない法務の基本 取得に際して利用目的を明示することが求められています プラポリ 直接取得 間接取得 (取得に際しての利用目的の通知等) 第二十一条 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速や かに、その利用目的を、本人に通知し、又は公表しなければならない。 2

    個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他 の書面(電磁的記録を含む。以下この項において同じ。)に記載された当該本人の個人情報を取得する場合その他 本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的 を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限り でない。 142
  32. ##いまさら聞けない法務の基本 取得に際して利用目的を明示することが求められています プラポリ 直接取得 間接取得 (取得に際しての利用目的の通知等) 第二十一条 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速や かに、その利用目的を、本人に通知し、又は公表しなければならない。 2

    個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他 の書面(電磁的記録を含む。以下この項において同じ。)に記載された当該本人の個人情報を取得する場合その他 本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的 を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限り でない。 143
  33. ##いまさら聞けない法務の基本 この場合、利用目的を公表しなければいけません プラポリ 直接取得 間接取得 (取得に際しての利用目的の通知等) 第二十一条 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速や かに、その利用目的を、本人に通知し、又は公表しなければならない。 2

    個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他 の書面(電磁的記録を含む。以下この項において同じ。)に記載された当該本人の個人情報を取得する場合その他 本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的 を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限り でない。 146
  34. ##いまさら聞けない法務の基本 本日のお品書き ◼ 用語の確認 ◼ いまさら聞けない「個人情報保護法」の基本 ➢ データライフサイクルとは ➢ 取得についてのルール

    ➢ 利用についてのルール ➢ 安全管理についてのルール ➢ 提供についてのルール ➢ 消去についてのルール ◼ 法改正動向の分析 148
  35. ##いまさら聞けない法務の基本 個人情報法上、安全管理措置については3つの条文が存在します 149 安全管理措置 構ずべき内容 漏えい等 (安全管理措置) 第二十三条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人デー タの安全管理のために必要かつ適切な措置を講じなければならない。

    (従業者の監督) 第二十四条 個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの 安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。 (委託先の監督) 第二十五条 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委 託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければな らない。
  36. ##いまさら聞けない法務の基本 個人情報法上、安全管理措置については3つの条文が存在します 150 安全管理措置 構ずべき内容 漏えい等 (安全管理措置) 第二十三条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人デー タの安全管理のために必要かつ適切な措置を講じなければならない。

    (従業者の監督) 第二十四条 個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの 安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。 (委託先の監督) 第二十五条 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委 託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければな らない。
  37. ##いまさら聞けない法務の基本 「安全管理のために必要かつ適切な措置」についての23条と 153 安全管理措置 構ずべき内容 漏えい等 (安全管理措置) 第二十三条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人デー タの安全管理のために必要かつ適切な措置を講じなければならない。

    (従業者の監督) 第二十四条 個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの 安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。 (委託先の監督) 第二十五条 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委 託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければな らない。
  38. ##いまさら聞けない法務の基本 「従業者に対する必要かつ適切な監督」を定める24条 154 安全管理措置 構ずべき内容 漏えい等 (安全管理措置) 第二十三条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人デー タの安全管理のために必要かつ適切な措置を講じなければならない。

    (従業者の監督) 第二十四条 個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの 安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。 (委託先の監督) 第二十五条 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委 託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければな らない。
  39. ##いまさら聞けない法務の基本 「委託を受けた者に対する必要かつ適切な監督」の25条が定められています 155 安全管理措置 構ずべき内容 漏えい等 (安全管理措置) 第二十三条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人デー タの安全管理のために必要かつ適切な措置を講じなければならない。

    (従業者の監督) 第二十四条 個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの 安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。 (委託先の監督) 第二十五条 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委 託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければな らない。
  40. ##いまさら聞けない法務の基本 例示されている安全管理措置の内容は大きく7つに分類されています 164 講ずべき安全管理措置 詳細 1 基本方針の策定 個人情報取扱事業者は、個人データの適正な取扱いの確保について組織として取り組むために、 基本方針を策定することが重要である。 2

    規律の整備 個人情報取扱事業者は、その取り扱う個人データの漏えい等の防止その他の個人データの安全 管理のために、個人データの具体的な取扱いに係る規律を整備しなければならない。 3 組織的安全管理措置 個人情報取扱事業者は、組織的安全管理措置として、次に掲げる措置を講じなければならない。 4 人的安全管理措置 個人情報取扱事業者は、人的安全管理措置として、次に掲げる措置を講じなければならない。 5 物理的安全管理措置 個人情報取扱事業者は、物理的安全管理措置として、次に掲げる措置を講じなければならない。 6 技術的安全管理措置 個人情報取扱事業者は、情報システム(パソコン等の機器を含む。)を使用して個人データを取り 扱う場合(インターネット等を通じて外部と送受信等する場合を含む。)、技術的安全管理措置とし て、次に掲げる措置を講じなければならない。 7 外的環境の把握 個人情報取扱事業者が、外国において個人データを取り扱う場合、当該外国の個人情報の保護に 関する制度等を把握した上で、個人データの安全管理のために必要かつ適切な措置を講じなけれ ばならない。 安全管理措置 構ずべき内容 漏えい等
  41. ##いまさら聞けない法務の基本 ここについては、個人情報保護委員会から答えが出ています ユーザーID Aサービス 利用履歴情報 00001 00002 利用履歴情報 ”対象となった情報が個人データに該当するかどうかは、 当該個人データを漏えい等した個人情報取扱事業者を基

    準に考えることになります。” 出所:「個人情報の保護に関する法律についてのガイドライン(通則編)の一部を改正する告示案」に関する意見募集結果( https://public-comment.e- gov.go.jp/servlet/PcmFileDownload?seqNo=0000223334 ) 194 安全管理措置 構ずべき内容 漏えい等
  42. ##いまさら聞けない法務の基本 本日のお品書き ◼ 用語の確認 ◼ いまさら聞けない「個人情報保護法」の基本 ➢ データライフサイクルとは ➢ 取得についてのルール

    ➢ 利用についてのルール ➢ 安全管理についてのルール ➢ 提供についてのルール ➢ 消去についてのルール ◼ 法改正動向の分析 212
  43. ##いまさら聞けない法務の基本 つまり、氏名自体をSaaSに入れないとしても ユーザーID Aサービス 利用履歴情報 00001 00002 ユーザーID 氏名 電話番号

    メールアドレス 00001 00002 ユーザー登録情報 利用履歴情報 こちらだけでなく 216 第三者提供 委託 クラウド例外 共同利用
  44. ##いまさら聞けない法務の基本 自社にとって個人データであれば、提供には法的根拠が必要ということです ユーザーID Aサービス 利用履歴情報 00001 00002 ユーザーID 氏名 電話番号

    メールアドレス 00001 00002 ユーザー登録情報 利用履歴情報 こちらも個人データ 217 第三者提供 委託 クラウド例外 共同利用
  45. ##いまさら聞けない法務の基本 この「提供」の段階で選択しうる法的根拠は、主として3つあります 218 1 ◼ 第三者提供 提供先にデータをあげてしまう(=管理権限が提供先に移る) その後の適用プラポリは、提供先 同意取得が必要だが、提供元に監督義務は残らない 2

    ◼ 委託 提供先にデータを預ける(=管理権限は提供元に残る) その後の適用プラポリは、提供元 同意取得は不要だが、提供元に監督義務が残る 3 ◼ 「取り扱わないこととなっている場合」(クラウド例外) 提供先にデータを預ける(=管理権限が提供元に残る) その後の適用プラポリは、提供元 同意取得等は不要だが、提供元に監督義務は残らない 同意取得 同意取得 同意取得 自社プラポリ 自社プラポリ 自社プラポリ 監督義務 監督義務 監督義務 第三者提供 委託 クラウド例外 共同利用
  46. ##いまさら聞けない法務の基本 第三者提供は、提供先にデータをあげてしまうことです 219 1 ◼ 第三者提供 提供先にデータをあげてしまう(=管理権限が提供先に移る) その後の適用プラポリは、提供先 同意取得が必要だが、提供元に監督義務は残らない 2

    ◼ 委託 提供先にデータを預ける(=管理権限は提供元に残る) その後の適用プラポリは、提供元 同意取得は不要だが、提供元に監督義務が残る 3 ◼ 「取り扱わないこととなっている場合」(クラウド例外) 提供先にデータを預ける(=管理権限が提供元に残る) その後の適用プラポリは、提供元 同意取得等は不要だが、提供元に監督義務は残らない 同意取得 同意取得 同意取得 自社プラポリ 自社プラポリ 自社プラポリ 監督義務 監督義務 監督義務 第三者提供 委託 クラウド例外 共同利用
  47. ##いまさら聞けない法務の基本 第三者提供は、提供先にデータをあげてしまうことです 220 1 ◼ 第三者提供 提供先にデータをあげてしまう(=管理権限が提供先に移る) その後の適用プラポリは、提供先 同意取得が必要だが、提供元に監督義務は残らない 2

    ◼ 委託 提供先にデータを預ける(=管理権限は提供元に残る) その後の適用プラポリは、提供元 同意取得は不要だが、提供元に監督義務が残る 3 ◼ 「取り扱わないこととなっている場合」(クラウド例外) 提供先にデータを預ける(=管理権限が提供元に残る) その後の適用プラポリは、提供元 同意取得等は不要だが、提供元に監督義務は残らない 同意取得 同意取得 同意取得 自社プラポリ 自社プラポリ 自社プラポリ 監督義務 監督義務 監督義務 第三者提供 委託 クラウド例外 共同利用
  48. ##いまさら聞けない法務の基本 第三者提供は、提供先にデータをあげてしまうことです 221 1 ◼ 第三者提供 提供先にデータをあげてしまう(=管理権限が提供先に移る) その後の適用プラポリは、提供先 同意取得が必要だが、提供元に監督義務は残らない 2

    ◼ 委託 提供先にデータを預ける(=管理権限は提供元に残る) その後の適用プラポリは、提供元 同意取得は不要だが、提供元に監督義務が残る 3 ◼ 「取り扱わないこととなっている場合」(クラウド例外) 提供先にデータを預ける(=管理権限が提供元に残る) その後の適用プラポリは、提供元 同意取得等は不要だが、提供元に監督義務は残らない 同意取得 同意取得 同意取得 自社プラポリ 自社プラポリ 自社プラポリ 監督義務 監督義務 監督義務 第三者提供 委託 クラウド例外 共同利用
  49. ##いまさら聞けない法務の基本 第三者提供は、提供先にデータをあげてしまうことです 222 1 ◼ 第三者提供 提供先にデータをあげてしまう(=管理権限が提供先に移る) その後の適用プラポリは、提供先 同意取得が必要だが、提供元に監督義務は残らない 2

    ◼ 委託 提供先にデータを預ける(=管理権限は提供元に残る) その後の適用プラポリは、提供元 同意取得は不要だが、提供元に監督義務が残る 3 ◼ 「取り扱わないこととなっている場合」(クラウド例外) 提供先にデータを預ける(=管理権限が提供元に残る) その後の適用プラポリは、提供元 同意取得等は不要だが、提供元に監督義務は残らない 同意取得 同意取得 同意取得 自社プラポリ 自社プラポリ 自社プラポリ 監督義務 監督義務 監督義務 第三者提供 委託 クラウド例外 共同利用
  50. ##いまさら聞けない法務の基本 第三者提供は、提供先にデータをあげてしまうことです 223 1 ◼ 第三者提供 提供先にデータをあげてしまう(=管理権限が提供先に移る) その後の適用プラポリは、提供先 同意取得が必要だが、提供元に監督義務は残らない 2

    ◼ 委託 提供先にデータを預ける(=管理権限は提供元に残る) その後の適用プラポリは、提供元 同意取得は不要だが、提供元に監督義務が残る 3 ◼ 「取り扱わないこととなっている場合」(クラウド例外) 提供先にデータを預ける(=管理権限が提供元に残る) その後の適用プラポリは、提供元 同意取得等は不要だが、提供元に監督義務は残らない 同意取得 同意取得 同意取得 自社プラポリ 自社プラポリ 自社プラポリ 監督義務 監督義務 監督義務 第三者提供 委託 クラウド例外 共同利用
  51. ##いまさら聞けない法務の基本 委託は、自社の責任の下で提供先にデータを預けることです 224 1 ◼ 第三者提供 提供先にデータをあげてしまう(=管理権限が提供先に移る) その後の適用プラポリは、提供先 同意取得が必要だが、提供元に監督義務は残らない 2

    ◼ 委託 提供先にデータを預ける(=管理権限は提供元に残る) その後の適用プラポリは、提供元 同意取得は不要だが、提供元に監督義務が残る 3 ◼ 「取り扱わないこととなっている場合」(クラウド例外) 提供先にデータを預ける(=管理権限が提供元に残る) その後の適用プラポリは、提供元 同意取得等は不要だが、提供元に監督義務は残らない 同意取得 同意取得 同意取得 自社プラポリ 自社プラポリ 自社プラポリ 監督義務 監督義務 監督義務 第三者提供 委託 クラウド例外 共同利用
  52. ##いまさら聞けない法務の基本 委託は、自社の責任の下で提供先にデータを預けることです 225 1 ◼ 第三者提供 提供先にデータをあげてしまう(=管理権限が提供先に移る) その後の適用プラポリは、提供先 同意取得が必要だが、提供元に監督義務は残らない 2

    ◼ 委託 提供先にデータを預ける(=管理権限は提供元に残る) その後の適用プラポリは、提供元 同意取得は不要だが、提供元に監督義務が残る 3 ◼ 「取り扱わないこととなっている場合」(クラウド例外) 提供先にデータを預ける(=管理権限が提供元に残る) その後の適用プラポリは、提供元 同意取得等は不要だが、提供元に監督義務は残らない 同意取得 同意取得 同意取得 自社プラポリ 自社プラポリ 自社プラポリ 監督義務 監督義務 監督義務 第三者提供 委託 クラウド例外 共同利用
  53. ##いまさら聞けない法務の基本 委託は、自社の責任の下で提供先にデータを預けることです 226 1 ◼ 第三者提供 提供先にデータをあげてしまう(=管理権限が提供先に移る) その後の適用プラポリは、提供先 同意取得が必要だが、提供元に監督義務は残らない 2

    ◼ 委託 提供先にデータを預ける(=管理権限は提供元に残る) その後の適用プラポリは、提供元 同意取得は不要だが、提供元に監督義務が残る 3 ◼ 「取り扱わないこととなっている場合」(クラウド例外) 提供先にデータを預ける(=管理権限が提供元に残る) その後の適用プラポリは、提供元 同意取得等は不要だが、提供元に監督義務は残らない 同意取得 同意取得 同意取得 自社プラポリ 自社プラポリ 自社プラポリ 監督義務 監督義務 監督義務 第三者提供 委託 クラウド例外 共同利用
  54. ##いまさら聞けない法務の基本 委託は、自社の責任の下で提供先にデータを預けることです 227 1 ◼ 第三者提供 提供先にデータをあげてしまう(=管理権限が提供先に移る) その後の適用プラポリは、提供先 同意取得が必要だが、提供元に監督義務は残らない 2

    ◼ 委託 提供先にデータを預ける(=管理権限は提供元に残る) その後の適用プラポリは、提供元 同意取得は不要だが、提供元に監督義務が残る 3 ◼ 「取り扱わないこととなっている場合」(クラウド例外) 提供先にデータを預ける(=管理権限が提供元に残る) その後の適用プラポリは、提供元 同意取得等は不要だが、提供元に監督義務は残らない 同意取得 同意取得 同意取得 自社プラポリ 自社プラポリ 自社プラポリ 監督義務 監督義務 監督義務 第三者提供 委託 クラウド例外 共同利用
  55. ##いまさら聞けない法務の基本 委託は、自社の責任の下で提供先にデータを預けることです 228 1 ◼ 第三者提供 提供先にデータをあげてしまう(=管理権限が提供先に移る) その後の適用プラポリは、提供先 同意取得が必要だが、提供元に監督義務は残らない 2

    ◼ 委託 提供先にデータを預ける(=管理権限は提供元に残る) その後の適用プラポリは、提供元 同意取得は不要だが、提供元に監督義務が残る 3 ◼ 「取り扱わないこととなっている場合」(クラウド例外) 提供先にデータを預ける(=管理権限が提供元に残る) その後の適用プラポリは、提供元 同意取得等は不要だが、提供元に監督義務は残らない 同意取得 同意取得 同意取得 自社プラポリ 自社プラポリ 自社プラポリ 監督義務 監督義務 監督義務 第三者提供 委託 クラウド例外 共同利用
  56. ##いまさら聞けない法務の基本 委託は、自社の責任の下で提供先にデータを預けることです 229 3 ◼ 「取り扱わないこととなっている場合」(クラウド例外) 提供先にデータを預ける(=管理権限が提供元に残る) その後の適用プラポリは、提供元 同意取得等は不要だが、提供元に監督義務は残らない 同意取得

    自社プラポリ 監督義務 第三者提供 委託 クラウド例外 共同利用 1 ◼ 第三者提供 提供先にデータをあげてしまう(=管理権限が提供先に移る) その後の適用プラポリは、提供先 同意取得が必要だが、提供元に監督義務は残らない 2 ◼ 委託 提供先にデータを預ける(=管理権限は提供元に残る) その後の適用プラポリは、提供元 同意取得は不要だが、提供元に監督義務が残る 同意取得 同意取得 自社プラポリ 自社プラポリ 監督義務 監督義務
  57. ##いまさら聞けない法務の基本 委託は、自社の責任の下で提供先にデータを預けることです 233 1 ◼ 第三者提供 提供先にデータをあげてしまう(=管理権限が提供先に移る) その後の適用プラポリは、提供先 同意取得が必要だが、提供元に監督義務は残らない 2

    ◼ 委託 提供先にデータを預ける(=管理権限は提供元に残る) その後の適用プラポリは、提供元 同意取得は不要だが、提供元に監督義務が残る 3 ◼ 「取り扱わないこととなっている場合」(クラウド例外) 提供先にデータを預ける(=管理権限が提供元に残る) その後の適用プラポリは、提供元 同意取得等は不要だが、提供元に監督義務は残らない 同意取得 同意取得 同意取得 自社プラポリ 自社プラポリ 自社プラポリ 監督義務 監督義務 監督義務 第三者提供 委託 クラウド例外 共同利用
  58. ##いまさら聞けない法務の基本 クラウド例外は、委託の特殊パターンだと理解するのが良いと思います 234 1 ◼ 第三者提供 提供先にデータをあげてしまう(=管理権限が提供先に移る) その後の適用プラポリは、提供先 同意取得が必要だが、提供元に監督義務は残らない 2

    ◼ 委託 提供先にデータを預ける(=管理権限は提供元に残る) その後の適用プラポリは、提供元 同意取得は不要だが、提供元に監督義務が残る 3 ◼ 「取り扱わないこととなっている場合」(クラウド例外) 提供先にデータを預ける(=管理権限が提供元に残る) その後の適用プラポリは、提供元 同意取得等は不要だが、提供元に監督義務は残らない 同意取得 同意取得 同意取得 自社プラポリ 自社プラポリ 自社プラポリ 監督義務 監督義務 監督義務 第三者提供 委託 クラウド例外 共同利用
  59. ##いまさら聞けない法務の基本 クラウド例外は、委託の特殊パターンだと理解するのが良いと思います 235 1 ◼ 第三者提供 提供先にデータをあげてしまう(=管理権限が提供先に移る) その後の適用プラポリは、提供先 同意取得が必要だが、提供元に監督義務は残らない 2

    ◼ 委託 提供先にデータを預ける(=管理権限は提供元に残る) その後の適用プラポリは、提供元 同意取得は不要だが、提供元に監督義務が残る 3 ◼ 「取り扱わないこととなっている場合」(クラウド例外) 提供先にデータを預ける(=管理権限が提供元に残る) その後の適用プラポリは、提供元 同意取得等は不要だが、提供元に監督義務は残らない 同意取得 同意取得 同意取得 自社プラポリ 自社プラポリ 自社プラポリ 監督義務 監督義務 監督義務 第三者提供 委託 クラウド例外 共同利用
  60. ##いまさら聞けない法務の基本 第三者提供で整理する必要がある典型ケースを紹介します 250 1 ◼ 第三者提供 提供先にデータをあげてしまう(=管理権限が提供先に移る) その後の適用プラポリは、提供先 同意取得が必要だが、提供元に監督義務は残らない 2

    ◼ 委託 提供先にデータを預ける(=管理権限は提供元に残る) その後の適用プラポリは、提供元 同意取得は不要だが、提供元に監督義務が残る 3 ◼ 「取り扱わないこととなっている場合」(クラウド例外) 提供先にデータを預ける(=管理権限が提供元に残る) その後の適用プラポリは、提供元 同意取得等は不要だが、提供元に監督義務は残らない 同意取得 同意取得 同意取得 自社プラポリ 自社プラポリ 自社プラポリ 監督義務 監督義務 監督義務 第三者提供 委託 クラウド例外 共同利用
  61. ##いまさら聞けない法務の基本 第三者提供で整理する必要がある典型ケースを紹介します 251 1 ◼ 第三者提供 提供先にデータをあげてしまう(=管理権限が提供先に移る) その後の適用プラポリは、提供先 同意取得が必要だが、提供元に監督義務は残らない 2

    ◼ 委託 提供先にデータを預ける(=管理権限は提供元に残る) その後の適用プラポリは、提供元 同意取得は不要だが、提供元に監督義務が残る 3 ◼ 「取り扱わないこととなっている場合」(クラウド例外) 提供先にデータを預ける(=管理権限が提供元に残る) その後の適用プラポリは、提供元 同意取得等は不要だが、提供元に監督義務は残らない 同意取得 同意取得 同意取得 自社プラポリ 自社プラポリ 自社プラポリ 監督義務 監督義務 監督義務 第三者提供 委託 クラウド例外 共同利用
  62. ##いまさら聞けない法務の基本 具体的なテーブルを想定しながら、突合の流れを確認しましょう 266 第三者提供 委託 クラウド例外 共同利用 A社での ユーザーID 氏名

    メールアドレス A社での 行動履歴 00001 00002 A社の個人データ B社での ユーザーID メールアドレス B社での 行動履歴 AAAAA BBBBB B社の個人データ
  63. ##いまさら聞けない法務の基本 具体的なテーブルを想定しながら、突合の流れを確認しましょう 267 第三者提供 委託 クラウド例外 共同利用 A社での ユーザーID 氏名

    メールアドレス A社での 行動履歴 00001 00002 A社の個人データ B社での ユーザーID メールアドレス B社での 行動履歴 AAAAA BBBBB B社の個人データ
  64. ##いまさら聞けない法務の基本 具体的なテーブルを想定しながら、突合の流れを確認しましょう 268 第三者提供 委託 クラウド例外 共同利用 A社での ユーザーID 氏名

    メールアドレス A社での 行動履歴 00001 00002 A社の個人データ B社での ユーザーID メールアドレス B社での 行動履歴 AAAAA BBBBB B社の個人データ
  65. ##いまさら聞けない法務の基本 具体的なテーブルを想定しながら、突合の流れを確認しましょう 269 第三者提供 委託 クラウド例外 共同利用 A社での ユーザーID 氏名

    メールアドレス A社での 行動履歴 00001 00002 A社の個人データ B社での ユーザーID メールアドレス B社での 行動履歴 AAAAA BBBBB B社の個人データ
  66. ##いまさら聞けない法務の基本 具体的なテーブルを想定しながら、突合の流れを確認しましょう 270 第三者提供 委託 クラウド例外 共同利用 A社での ユーザーID 氏名

    メールアドレス A社での 行動履歴 00001 00002 A社の個人データ B社での ユーザーID メールアドレス B社での 行動履歴 AAAAA BBBBB B社の個人データ
  67. ##いまさら聞けない法務の基本 具体的なテーブルを想定しながら、突合の流れを確認しましょう 271 第三者提供 委託 クラウド例外 共同利用 A社での ユーザーID 氏名

    メールアドレス A社での 行動履歴 00001 00002 A社の個人データ B社での ユーザーID メールアドレス B社での 行動履歴 AAAAA BBBBB B社の個人データ
  68. ##いまさら聞けない法務の基本 具体的なテーブルを想定しながら、突合の流れを確認しましょう 272 第三者提供 委託 クラウド例外 共同利用 A社での ユーザーID 氏名

    メールアドレス A社での 行動履歴 00001 00002 A社の個人データ B社での ユーザーID メールアドレス B社での 行動履歴 AAAAA BBBBB B社の個人データ
  69. ##いまさら聞けない法務の基本 具体的なテーブルを想定しながら、突合の流れを確認しましょう 273 第三者提供 委託 クラウド例外 共同利用 A社での ユーザーID 氏名

    メールアドレス A社での 行動履歴 00001 00002 A社の個人データ B社での ユーザーID メールアドレス B社での 行動履歴 AAAAA BBBBB B社の個人データ A社での ユーザーID 氏名 メールアドレス A社での 行動履歴 B社での 行動履歴 00001 00002 突合
  70. ##いまさら聞けない法務の基本 こちらも、具体的なテーブルを想定しながら流れを確認しましょう 277 第三者提供 委託 クラウド例外 共同利用 A社での ユーザーID 氏名

    メールアドレス A社での 行動履歴 00001 00002 A社の個人データ B社での ユーザーID メールアドレス B社での 行動履歴 AAAAA BBBBB B社の個人データ
  71. ##いまさら聞けない法務の基本 こちらも、具体的なテーブルを想定しながら流れを確認しましょう 278 第三者提供 委託 クラウド例外 共同利用 A社での ユーザーID 氏名

    メールアドレス A社での 行動履歴 00001 00002 A社の個人データ B社での ユーザーID メールアドレス B社での 行動履歴 AAAAA BBBBB B社の個人データ B社での ユーザーID ー メールアドレス B社での 行動履歴 AAAAA BBBBB
  72. ##いまさら聞けない法務の基本 こちらも、具体的なテーブルを想定しながら流れを確認しましょう 279 第三者提供 委託 クラウド例外 共同利用 A社での ユーザーID 氏名

    メールアドレス A社での 行動履歴 00001 00002 A社の個人データ B社での ユーザーID メールアドレス B社での 行動履歴 AAAAA BBBBB B社の個人データ B社での ユーザーID ー メールアドレス B社での 行動履歴 AAAAA BBBBB 平均値 の算出
  73. ##いまさら聞けない法務の基本 それでは次に、第三者提供で整理する必要がある典型ケースを紹介します 281 1 ◼ 第三者提供 提供先にデータをあげてしまう(=管理権限が提供先に移る) その後の適用プラポリは、提供先 同意取得が必要だが、提供元に監督義務は残らない 2

    ◼ 委託 提供先にデータを預ける(=管理権限は提供元に残る) その後の適用プラポリは、提供元 同意取得は不要だが、提供元に監督義務が残る 3 ◼ 「取り扱わないこととなっている場合」(クラウド例外) 提供先にデータを預ける(=管理権限が提供元に残る) その後の適用プラポリは、提供元 同意取得等は不要だが、提供元に監督義務は残らない 同意取得 同意取得 同意取得 自社プラポリ 自社プラポリ 自社プラポリ 監督義務 監督義務 監督義務 第三者提供 委託 クラウド例外 共同利用
  74. ##いまさら聞けない法務の基本 「必要と考えられる合理的かつ適切な方法」である必要があります 282 第三者提供 委託 クラウド例外 共同利用 「本人の同意」とは、本人の個人情報が、個人情報取扱事業者によって示された取扱方法で取り扱 われることを承諾する旨の当該本人の意思表示をいう(当該本人であることを確認できていることが 前提となる。)。

    また、「本人の同意を得(る)」とは、本人の承諾する旨の意思表示を当該個人情報取扱事業者が認 識することをいい、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うため に必要と考えられる合理的かつ適切な方法によらなければならない。 ガイドライン通則編 2-16 「本人の同意」
  75. ##いまさら聞けない法務の基本 「必要と考えられる合理的かつ適切な方法」を内容面から掘り下げます 286 第三者提供 委託 クラウド例外 共同利用 「本人の同意」とは、本人の個人情報が、個人情報取扱事業者によって示された取扱方法で取り扱 われることを承諾する旨の当該本人の意思表示をいう(当該本人であることを確認できていることが 前提となる。)。

    また、「本人の同意を得(る)」とは、本人の承諾する旨の意思表示を当該個人情報取扱事業者が認 識することをいい、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うため に必要と考えられる合理的かつ適切な方法によらなければならない。
  76. ##いまさら聞けない法務の基本 【事例2】 297 当社は、利用者の同意を得ることなく、各アプリ及び各サービスにて利用者から取得・保存した利用 者情報を第三者に開示又は提供することはありません。ただし、以下の場合は除きます。 1. 法令に基づく場合 2. 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困 難であるとき

    3. 国の機関若しくは地方公共団体又はその委託を受けたものが、法令の定めにより遂行すること に協力する必要がある場合であって、本人の同意を得ることによりその遂行に支障を及ぼすお それがあるとき 4. 上記各号のほか、社会通念上、当社が必要と判断した場合であって、本人の同意を得ることが 困難であるとき 第三者提供 委託 クラウド例外 共同利用 ①目的: ②主体: ③客体:
  77. ##いまさら聞けない法務の基本 続いて、委託を見ていきましょう 302 1 ◼ 第三者提供 提供先にデータをあげてしまう(=管理権限が提供先に移る) その後の適用プラポリは、提供先 同意取得が必要だが、提供元に監督義務は残らない 2

    ◼ 委託 提供先にデータを預ける(=管理権限は提供元に残る) その後の適用プラポリは、提供元 同意取得は不要だが、提供元に監督義務が残る 3 ◼ 「取り扱わないこととなっている場合」(クラウド例外) 提供先にデータを預ける(=管理権限が提供元に残る) その後の適用プラポリは、提供元 同意取得等は不要だが、提供元に監督義務は残らない 同意取得 同意取得 同意取得 自社プラポリ 自社プラポリ 自社プラポリ 監督義務 監督義務 監督義務 第三者提供 委託 クラウド例外 共同利用
  78. ##いまさら聞けない法務の基本 先ほど述べた通り、第三者提供の場合には本人の同意が必要ですが 303 第三者提供 委託 クラウド例外 共同利用 (第三者提供の制限) 第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ない

    で、個人データを第三者に提供してはならない。 (中略) 5 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用について は、第三者に該当しないものとする。 一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部 又は一部を委託することに伴って当該個人データが提供される場合 二 合併その他の事由による事業の承継に伴って個人データが提供される場合 三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、 その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の 利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに 法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り 得る状態に置いているとき。
  79. ##いまさら聞けない法務の基本 例外として、第三者に該当しないケースというのが定められてます 304 第三者提供 委託 クラウド例外 共同利用 (第三者提供の制限) 第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ない

    で、個人データを第三者に提供してはならない。 (中略) 5 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用について は、第三者に該当しないものとする。 一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部 又は一部を委託することに伴って当該個人データが提供される場合 二 合併その他の事由による事業の承継に伴って個人データが提供される場合 三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、 その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の 利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに 法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り 得る状態に置いているとき。
  80. ##いまさら聞けない法務の基本 第三者に該当しないので、結果として同意の取得も不要になるわけです 305 第三者提供 委託 クラウド例外 共同利用 (第三者提供の制限) 第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ない

    で、個人データを第三者に提供してはならない。 (中略) 5 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用について は、第三者に該当しないものとする。 一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部 又は一部を委託することに伴って当該個人データが提供される場合 二 合併その他の事由による事業の承継に伴って個人データが提供される場合 三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、 その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の 利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに 法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り 得る状態に置いているとき。
  81. ##いまさら聞けない法務の基本 そのうちの1つが、ここで取り上げている「委託」のケースです 306 第三者提供 委託 クラウド例外 共同利用 (第三者提供の制限) 第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ない

    で、個人データを第三者に提供してはならない。 (中略) 5 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用について は、第三者に該当しないものとする。 一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部 又は一部を委託することに伴って当該個人データが提供される場合 二 合併その他の事由による事業の承継に伴って個人データが提供される場合 三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、 その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の 利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに 法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り 得る状態に置いているとき。
  82. ##いまさら聞けない法務の基本 最後に、クラウド例外の詳細を見ていきます 324 1 ◼ 第三者提供 提供先にデータをあげてしまう(=管理権限が提供先に移る) その後の適用プラポリは、提供先 同意取得が必要だが、提供元に監督義務は残らない 2

    ◼ 委託 提供先にデータを預ける(=管理権限は提供元に残る) その後の適用プラポリは、提供元 同意取得は不要だが、提供元に監督義務が残る 3 ◼ 「取り扱わないこととなっている場合」(クラウド例外) 提供先にデータを預ける(=管理権限が提供元に残る) その後の適用プラポリは、提供元 同意取得等は不要だが、提供元に監督義務は残らない 同意取得 同意取得 同意取得 自社プラポリ 自社プラポリ 自社プラポリ 監督義務 監督義務 監督義務 第三者提供 委託 クラウド例外 共同利用
  83. ##いまさら聞けない法務の基本 クラウド例外は監督義務が免除されるのが何よりのメリットな訳ですが 325 1 ◼ 第三者提供 提供先にデータをあげてしまう(=管理権限が提供先に移る) その後の適用プラポリは、提供先 同意取得が必要だが、提供元に監督義務は残らない 2

    ◼ 委託 提供先にデータを預ける(=管理権限は提供元に残る) その後の適用プラポリは、提供元 同意取得は不要だが、提供元に監督義務が残る 3 ◼ 「取り扱わないこととなっている場合」(クラウド例外) 提供先にデータを預ける(=管理権限が提供元に残る) その後の適用プラポリは、提供元 同意取得等は不要だが、提供元に監督義務は残らない 同意取得 同意取得 同意取得 自社プラポリ 自社プラポリ 自社プラポリ 監督義務 監督義務 監督義務 第三者提供 委託 クラウド例外 共同利用
  84. ##いまさら聞けない法務の基本 クラウド例外は監督義務が免除されるのが何よりのメリットな訳ですが 326 1 ◼ 第三者提供 提供先にデータをあげてしまう(=管理権限が提供先に移る) その後の適用プラポリは、提供先 同意取得が必要だが、提供元に監督義務は残らない 2

    ◼ 委託 提供先にデータを預ける(=管理権限は提供元に残る) その後の適用プラポリは、提供元 同意取得は不要だが、提供元に監督義務が残る 3 ◼ 「取り扱わないこととなっている場合」(クラウド例外) 提供先にデータを預ける(=管理権限が提供元に残る) その後の適用プラポリは、提供元 同意取得等は不要だが、提供元に監督義務は残らない 同意取得 同意取得 同意取得 自社プラポリ 自社プラポリ 自社プラポリ 監督義務 監督義務 監督義務 第三者提供 委託 クラウド例外 共同利用
  85. ##いまさら聞けない法務の基本 先ほど、第三者提供の場合には本人の同意が必要であることと 337 (第三者提供の制限) 第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ない で、個人データを第三者に提供してはならない。 (中略) 5 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用について

    は、第三者に該当しないものとする。 一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部 又は一部を委託することに伴って当該個人データが提供される場合 二 合併その他の事由による事業の承継に伴って個人データが提供される場合 三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、 その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の 利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに 法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り 得る状態に置いているとき。 第三者提供 委託 クラウド例外 共同利用
  86. ##いまさら聞けない法務の基本 「第三者」に該当しない例外ケースがあることをご説明しましたが 338 (第三者提供の制限) 第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ない で、個人データを第三者に提供してはならない。 (中略) 5 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用について

    は、第三者に該当しないものとする。 一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部 又は一部を委託することに伴って当該個人データが提供される場合 二 合併その他の事由による事業の承継に伴って個人データが提供される場合 三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、 その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の 利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに 法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り 得る状態に置いているとき。 第三者提供 委託 クラウド例外 共同利用
  87. ##いまさら聞けない法務の基本 ここでいう「共同利用」も、提供に同意が不要な例外ケースのひとつです 339 (第三者提供の制限) 第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ない で、個人データを第三者に提供してはならない。 (中略) 5 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用について

    は、第三者に該当しないものとする。 一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部 又は一部を委託することに伴って当該個人データが提供される場合 二 合併その他の事由による事業の承継に伴って個人データが提供される場合 三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、 その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利 用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法 人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得 る状態に置いているとき。 第三者提供 委託 クラウド例外 共同利用
  88. ##いまさら聞けない法務の基本 とはいえ、共同利用を行うためにはいくつかの要件があります 340 (第三者提供の制限) 第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ない で、個人データを第三者に提供してはならない。 (中略) 5 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用について

    は、第三者に該当しないものとする。 一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部 又は一部を委託することに伴って当該個人データが提供される場合 二 合併その他の事由による事業の承継に伴って個人データが提供される場合 三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、 その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利 用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法 人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得 る状態に置いているとき。 第三者提供 委託 クラウド例外 共同利用
  89. ##いまさら聞けない法務の基本 まずは検討すべき要素を一つずつ見ていきましょう 341 (第三者提供の制限) 第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ない で、個人データを第三者に提供してはならない。 (中略) 5 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用について

    は、第三者に該当しないものとする。 一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部 又は一部を委託することに伴って当該個人データが提供される場合 二 合併その他の事由による事業の承継に伴って個人データが提供される場合 三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、 その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利 用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法 人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得 る状態に置いているとき。 第三者提供 委託 クラウド例外 共同利用
  90. ##いまさら聞けない法務の基本 「共同利用を実施する」という事実(その旨)と 342 (第三者提供の制限) 第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ない で、個人データを第三者に提供してはならない。 (中略) 5 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用について

    は、第三者に該当しないものとする。 一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部 又は一部を委託することに伴って当該個人データが提供される場合 二 合併その他の事由による事業の承継に伴って個人データが提供される場合 三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、 その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利 用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法 人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得 る状態に置いているとき。 第三者提供 委託 クラウド例外 共同利用
  91. ##いまさら聞けない法務の基本 実際に共同利用するデータの項目 343 (第三者提供の制限) 第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ない で、個人データを第三者に提供してはならない。 (中略) 5 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用について

    は、第三者に該当しないものとする。 一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部 又は一部を委託することに伴って当該個人データが提供される場合 二 合併その他の事由による事業の承継に伴って個人データが提供される場合 三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、 その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利 用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法 人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得 る状態に置いているとき。 第三者提供 委託 クラウド例外 共同利用
  92. ##いまさら聞けない法務の基本 共同利用をする者の範囲 344 (第三者提供の制限) 第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ない で、個人データを第三者に提供してはならない。 (中略) 5 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用について

    は、第三者に該当しないものとする。 一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部 又は一部を委託することに伴って当該個人データが提供される場合 二 合併その他の事由による事業の承継に伴って個人データが提供される場合 三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、 その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利 用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法 人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得 る状態に置いているとき。 第三者提供 委託 クラウド例外 共同利用
  93. ##いまさら聞けない法務の基本 共同利用における利用目的 345 (第三者提供の制限) 第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ない で、個人データを第三者に提供してはならない。 (中略) 5 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用について

    は、第三者に該当しないものとする。 一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部 又は一部を委託することに伴って当該個人データが提供される場合 二 合併その他の事由による事業の承継に伴って個人データが提供される場合 三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、 その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利 用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法 人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得 る状態に置いているとき。 第三者提供 委託 クラウド例外 共同利用
  94. ##いまさら聞けない法務の基本 管理について責任を有する者について検討が必要です 346 (第三者提供の制限) 第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ない で、個人データを第三者に提供してはならない。 (中略) 5 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用について

    は、第三者に該当しないものとする。 一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部 又は一部を委託することに伴って当該個人データが提供される場合 二 合併その他の事由による事業の承継に伴って個人データが提供される場合 三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、 その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利 用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法 人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得 る状態に置いているとき。 第三者提供 委託 クラウド例外 共同利用
  95. ##いまさら聞けない法務の基本 その上で、形式要件として本人が容易に知りうる状態に置く必要があります 347 (第三者提供の制限) 第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ない で、個人データを第三者に提供してはならない。 (中略) 5 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用について

    は、第三者に該当しないものとする。 一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部 又は一部を委託することに伴って当該個人データが提供される場合 二 合併その他の事由による事業の承継に伴って個人データが提供される場合 三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、 その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利 用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法 人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得 る状態に置いているとき。 第三者提供 委託 クラウド例外 共同利用
  96. ##いまさら聞けない法務の基本 「共同利用」との名称から何か共有状態のようなものを想像しがちですが 352 (第三者提供の制限) 第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ない で、個人データを第三者に提供してはならない。 (中略) 5 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用について

    は、第三者に該当しないものとする。 一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部 又は一部を委託することに伴って当該個人データが提供される場合 二 合併その他の事由による事業の承継に伴って個人データが提供される場合 三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、 その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利 用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法 人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得 る状態に置いているとき。 第三者提供 委託 クラウド例外 共同利用 ポイント①:「共有」との誤解
  97. ##いまさら聞けない法務の基本 共同利用はあくまで「提供」の一形態であり、相手にあげてしまうことです 353 第三者提供 委託 クラウド例外 共同利用 (第三者提供の制限) 第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ない

    で、個人データを第三者に提供してはならない。 (中略) 5 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用について は、第三者に該当しないものとする。 一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部 又は一部を委託することに伴って当該個人データが提供される場合 二 合併その他の事由による事業の承継に伴って個人データが提供される場合 三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、 その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利 用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法 人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得 る状態に置いているとき。 ポイント①:「共有」との誤解
  98. ##いまさら聞けない法務の基本 日本の独自色の強い制度であり、外国法では認められないことも多いです 355 (第三者提供の制限) 第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ない で、個人データを第三者に提供してはならない。 (中略) 5 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用について

    は、第三者に該当しないものとする。 一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部 又は一部を委託することに伴って当該個人データが提供される場合 二 合併その他の事由による事業の承継に伴って個人データが提供される場合 三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、 その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利 用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法 人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得 る状態に置いているとき。 第三者提供 委託 クラウド例外 共同利用 ポイント②:外国制度との平仄
  99. ##いまさら聞けない法務の基本 過去に取得済みのデータ項目を、今回新たに共同利用できるでしょうか? 357 (第三者提供の制限) 第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ない で、個人データを第三者に提供してはならない。 (中略) 5 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用について

    は、第三者に該当しないものとする。 一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部 又は一部を委託することに伴って当該個人データが提供される場合 二 合併その他の事由による事業の承継に伴って個人データが提供される場合 三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、 その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利 用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法 人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得 る状態に置いているとき。 第三者提供 委託 クラウド例外 共同利用 ポイント③:取得済みデータの共同利用
  100. ##いまさら聞けない法務の基本 これは、共同利用は「あらかじめ」知り得る状態に置く必要があり 358 (第三者提供の制限) 第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ない で、個人データを第三者に提供してはならない。 (中略) 5 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用について

    は、第三者に該当しないものとする。 一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部 又は一部を委託することに伴って当該個人データが提供される場合 二 合併その他の事由による事業の承継に伴って個人データが提供される場合 三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、 その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利 用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法 人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得 る状態に置いているとき。 第三者提供 委託 クラウド例外 共同利用 ポイント③:取得済みデータの共同利用
  101. ##いまさら聞けない法務の基本 共同利用をする者の範囲も、条文上は無限定なように見えますが 364 (第三者提供の制限) 第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ない で、個人データを第三者に提供してはならない。 (中略) 5 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用について

    は、第三者に該当しないものとする。 一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部 又は一部を委託することに伴って当該個人データが提供される場合 二 合併その他の事由による事業の承継に伴って個人データが提供される場合 三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、 その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利 用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法 人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得 る状態に置いているとき。 第三者提供 委託 クラウド例外 共同利用 ポイント④:範囲の制約
  102. ##いまさら聞けない法務の基本 共同利用においては、管理責任者を定める必要があります 369 (第三者提供の制限) 第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ない で、個人データを第三者に提供してはならない。 (中略) 5 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用について

    は、第三者に該当しないものとする。 一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部 又は一部を委託することに伴って当該個人データが提供される場合 二 合併その他の事由による事業の承継に伴って個人データが提供される場合 三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、 その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利 用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法 人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得 る状態に置いているとき。 第三者提供 委託 クラウド例外 共同利用 ポイント⑤:管理責任の不明確さ
  103. ##いまさら聞けない法務の基本 本日のお品書き ◼ 用語の確認 ◼ いまさら聞けない「個人情報保護法」の基本 ➢ データライフサイクルとは ➢ 取得についてのルール

    ➢ 利用についてのルール ➢ 安全管理についてのルール ➢ 提供についてのルール ➢ 消去についてのルール ◼ 法改正動向の分析 375
  104. ##いまさら聞けない法務の基本 続いて、本人が有する「削除」の「請求権」です 389 消去義務 削除請求権 消去請求権 (訂正等) 第三十四条 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの内容 が事実でないときは、当該保有個人データの内容の訂正、追加又は削除(以下この条において「訂

    正等」という。)を請求することができる。 2 個人情報取扱事業者は、前項の規定による請求を受けた場合には、その内容の訂正等に関して 他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内 において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を 行わなければならない。
  105. ##いまさら聞けない法務の基本 しかし、削除請求権が認められるのは「事実でないとき」だけで限定的です 391 消去義務 削除請求権 消去請求権 (訂正等) 第三十四条 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの内容 が事実でないときは、当該保有個人データの内容の訂正、追加又は削除(以下この条において「訂

    正等」という。)を請求することができる。 2 個人情報取扱事業者は、前項の規定による請求を受けた場合には、その内容の訂正等に関して 他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内 において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を 行わなければならない。
  106. ##いまさら聞けない法務の基本 最後に、ユーザーが有する「消去」の「請求権」についてです 392 消去義務 削除請求権 消去請求権 (利用停止等) 第三十五条 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第十 八条若しくは第十九条の規定に違反して取り扱われているとき、又は第二十条の規定に違反して取

    得されたものであるときは、当該保有個人データの利用の停止又は消去(以下この条において「利 用停止等」という。)を請求することができる。 (中略) 5 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データを当該個人情報取 扱事業者が利用する必要がなくなった場合、当該本人が識別される保有個人データに係る第二十 六条第一項本文に規定する事態が生じた場合その他当該本人が識別される保有個人データの取 扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合には、当該保有個人デー タの利用停止等又は第三者への提供の停止を請求することができる。
  107. ##いまさら聞けない法務の基本 「消去請求権」で実務上一番問題になるのは、漏えい時の請求です 393 消去義務 削除請求権 消去請求権 (利用停止等) 第三十五条 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第十 八条若しくは第十九条の規定に違反して取り扱われているとき、又は第二十条の規定に違反して取

    得されたものであるときは、当該保有個人データの利用の停止又は消去(以下この条において「利 用停止等」という。)を請求することができる。 (中略) 5 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データを当該個人情報取 扱事業者が利用する必要がなくなった場合、当該本人が識別される保有個人データに係る第二十 六条第一項本文に規定する事態が生じた場合その他当該本人が識別される保有個人データの取 扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合には、当該保有個人デー タの利用停止等又は第三者への提供の停止を請求することができる。
  108. ##いまさら聞けない法務の基本 「消去請求権」で実務上一番問題になるのは、漏えい時の請求です 394 消去義務 削除請求権 消去請求権 (利用停止等) 第三十五条 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第十 八条若しくは第十九条の規定に違反して取り扱われているとき、又は第二十条の規定に違反して取

    得されたものであるときは、当該保有個人データの利用の停止又は消去(以下この条において「利 用停止等」という。)を請求することができる。 (中略) 5 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データを当該個人情報取 扱事業者が利用する必要がなくなった場合、当該本人が識別される保有個人データに係る第二十 六条第一項本文に規定する事態が生じた場合その他当該本人が識別される保有個人データの取 扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合には、当該保有個人デー タの利用停止等又は第三者への提供の停止を請求することができる。 第二十六条 (漏えい等の報告等)
  109. ##いまさら聞けない法務の基本 ぜひ、この権利が漏えい等をトリガーとして生じることも思い出してください 397 消去義務 削除請求権 消去請求権 (利用停止等) 第三十五条 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第十 八条若しくは第十九条の規定に違反して取り扱われているとき、又は第二十条の規定に違反して取

    得されたものであるときは、当該保有個人データの利用の停止又は消去(以下この条において「利 用停止等」という。)を請求することができる。 (中略) 5 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データを当該個人情報取 扱事業者が利用する必要がなくなった場合、当該本人が識別される保有個人データに係る第二十 六条第一項本文に規定する事態が生じた場合その他当該本人が識別される保有個人データの取 扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合には、当該保有個人デー タの利用停止等又は第三者への提供の停止を請求することができる。 第二十六条 (漏えい等の報告等)
  110. ##いまさら聞けない法務の基本 「施行」のタイミングを基準に、4つの改正を振り返ります 411 2005年 (平成17年) 2017年 (平成29年) 2022年 (令和4年) 2023年

    (令和5年) 2003年 (平成15年) 2015年 (平成27年) 2020年 (令和2年) 2021年 (令和3年) 成立 施行 施行 施行 施行 改正 改正 改正 3年ごと見直し トピック
  111. ##いまさら聞けない法務の基本 ①2005年:現在の個人情報保護法のベースの成立 412 背景: ◼ 急速な情報化 ◼ 国際的な法制定の動向 制定内容: ◼

    個人情報保護法の全面施行 2005年 (平成17年) 2017年 (平成29年) 2022年 (令和4年) 2023年 (令和5年) 2003年 (平成15年) 成立 施行 3年ごと見直し トピック
  112. ##いまさら聞けない法務の基本 ②2017年:個人情報保護法最初の改正の施行 413 2005年 (平成17年) 2017年 (平成29年) 2022年 (令和4年) 2023年

    (令和5年) 2015年 (平成27年) 改正 施行 背景: ◼ ビッグデータ時代 ◼ 名簿屋問題 制定内容: ◼ PPC新設 ◼ 個人情報の定義の明確化 ◼ 確認記録義務 ◼ 3年ごと見直しのルール 3年ごと見直し トピック
  113. ##いまさら聞けない法務の基本 …! 416 2005年 (平成17年) 2017年 (平成29年) 2022年 (令和4年) 2023年

    (令和5年) 2015年 (平成27年) 改正 施行 3年ごと見直し トピック
  114. ##いまさら聞けない法務の基本 3年ごと見直しと共に育ってきた"BUSINESS LAWYERS"を応援しています 418 背景: ◼ ビッグデータ時代 ◼ 名簿屋問題 制定内容:

    ◼ PPC新設 ◼ 個人情報の定義の明確化 ◼ 確認記録義務 ◼ 3年ごと見直しのルール BUSINESS LAWYERSリリース 2005年 (平成17年) 2017年 (平成29年) 2022年 (令和4年) 2023年 (令和5年) 2015年 (平成27年) 改正 施行 3年ごと見直し トピック
  115. ##いまさら聞けない法務の基本 2005年 (平成17年) 2017年 (平成29年) 2022年 (令和4年) 2023年 (令和5年) 419

    2020年 (令和2年) 改正 施行 ③2022年:最初の「3年ごと見直し」改正の施行 背景: ◼ リクナビ事件 制定内容: ◼ 漏えい等の報告・通知 ◼ 不適正利用の禁止 ◼ 個人関連情報の提供 3年ごと見直し トピック
  116. ##いまさら聞けない法務の基本 ④2023年:直近の改正の施行 2005年 (平成17年) 2017年 (平成29年) 2022年 (令和4年) 2023年 (令和5年)

    420 2021年 (令和3年) 改正 施行 背景: ◼ 官民の法制の不整合 制定内容: ◼ 官民一元化 3年ごと見直し トピック
  117. ##いまさら聞けない法務の基本 ③「3年ごと見直し」以外の改正も発生する 424 2003年 (平成15年) 2015年 (平成27年) 2020年 (令和2年) 2021年

    (令和3年) 成立 改正 改正 改正 3年ごと見直し 3年ごと見直し 3年ごと見直し 3年ごと見直し 3年ごと見直し トピック
  118. ##いまさら聞けない法務の基本 440 (適正な取得) 第20条2項 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報 を取得してはならない。 (第三者提供) 第27条1項 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第 三者に提供してはならない。

    (外国にある第三者への提供の制限) 第28条1項 個人情報取扱事業者は、外国(略)にある第三者(略)に個人データを提供する場合には、前条第一項各 号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければ ならない。(略) 個情法上、「同意」の取得が問題になる場面はいくつかあります 3年ごと見直し トピック
  119. ##いまさら聞けない法務の基本 441 (適正な取得) 第20条2項 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報 を取得してはならない。 (第三者提供) 第27条1項 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第 三者に提供してはならない。

    (外国にある第三者への提供の制限) 第28条1項 個人情報取扱事業者は、外国(略)にある第三者(略)に個人データを提供する場合には、前条第一項各 号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければ ならない。(略) 要配慮個人情報の取得 3年ごと見直し トピック
  120. ##いまさら聞けない法務の基本 個人データの第三者提供 442 (適正な取得) 第20条2項 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報 を取得してはならない。 (第三者提供) 第27条1項 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第

    三者に提供してはならない。 3年ごと見直し トピック (外国にある第三者への提供の制限) 第28条1項 個人情報取扱事業者は、外国(略)にある第三者(略)に個人データを提供する場合には、前条第一項各 号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければ ならない。(略)
  121. ##いまさら聞けない法務の基本 外国にある第三者への提供 443 (外国にある第三者への提供の制限) 第28条1項 個人情報取扱事業者は、外国(略)にある第三者(略)に個人データを提供する場合には、前条第一項各 号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければ ならない。(略) 3年ごと見直し トピック

    (適正な取得) 第20条2項 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報 を取得してはならない。 (第三者提供) 第27条1項 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第 三者に提供してはならない。
  122. ##いまさら聞けない法務の基本 444 本改正は上2つについてのものであることが明らかになった訳ですが 3年ごと見直し トピック (適正な取得) 第20条2項 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報 を取得してはならない。 (第三者提供)

    第27条1項 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第 三者に提供してはならない。 (外国にある第三者への提供の制限) 第28条1項 個人情報取扱事業者は、外国(略)にある第三者(略)に個人データを提供する場合には、前条第一項各 号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければ ならない。(略)
  123. ##いまさら聞けない法務の基本 今回はその中でも、第三者提供における「同意」に着目してみます 445 (第三者提供) 第27条1項 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第 三者に提供してはならない。 3年ごと見直し トピック (適正な取得)

    第20条2項 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報 を取得してはならない。 (外国にある第三者への提供の制限) 第28条1項 個人情報取扱事業者は、外国(略)にある第三者(略)に個人データを提供する場合には、前条第一項各 号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければ ならない。(略)