講演

東京都知事小池百合子さんにテレビで紹介されました！

個人情報保護規程（マイナンバー法・ストレスチェック網羅版）

第三者提供を受ける際の確認等

第三者提供を受ける際の確認

個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、当該個人データの提供が第23条第１項各号又は第５項各号のいずれかに該当する場合を除き、次に関する事項の確認を行わなければならないものとし、当該個人データを提供する第三者は、当該確認に係る事項を偽ってはならない（違反者は第88条の規定により10万円以下の過料に処せられる）。【第26条第１項、第２項】

①　当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名

②　当該第三者による当該個人データの取得の経緯

第三者提供を受ける際の確認の方法【則第15条】

①　第26条第１項第１号に掲げる事項に関する確認の方法は、個人データを提供する第三者から申告を受ける方法その他の適切な方法【第26条第１項第１号、則第15条第１項】

第三者から申告を受ける方法に該当する事例【平成28年委員会告示第８号】

その他の適切な方法に該当する事例【平成28年委員会告示第８号】

②　第26条第１項第２号に掲げる事項に関する確認の方法は、個人データを提供する第三者から当該第三者による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法【第26条第１項第２号、則第15条第２項】

適切な方法に該当する事例【平成28年委員会告示第８号】

③　個人データを提供する第三者から他の個人データの提供を受けるに際して既に上記①又は②の方法による確認（当該確認について則第16条に規定する方法による記録の作成及び保存をしている場合におけるものに限る。）を行っている事項の確認を行う方法は、当該事項の内容と過去に確認済の内容が同一であることの確認を行う方法【則第15条第３項】

④　施行日前に上記①及び②に相当する方法（当該確認について則第16条に規定する方法に相当する方法により記録を作成し、かつ、保存している場合におけるものに限る。）を行っているものについては、上記③を適用することができる。【則附則第４条】

第三者提供を受ける際の確認に係る記録の作成

個人情報取扱事業者は、当該第三者から第26条第１項に関する事項の確認を行ったときは、次に掲げる事項に関する記録を作成しなければならない。

①　個人情報取扱事業者が第23条第２項の規定により個人データの提供を受けた場合、次のイからホまでに掲げる事項

イ　個人データの提供を受けた年月日【第26条第３項、則第17条第１項第１号イ】

ロ　第26条第１項各号に掲げる事項【第26条第３項、則第17条第１項第１号ロ】

ハ　当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項【則第17条第１項第１号ハ】

ニ　当該個人データの項目【則第17条第１項第１号ニ】

ホ　第23条第４項の規定により公表されている旨【則第17条第１項第１号ホ】

②　個人情報取扱事業者が第23条第１項又は第24条の規定による個人データの提供を受けた場合、次のイ及びロに掲げる事項【則第17条第１項第２号】

イ　第23条第１項又は第24条の本人の同意を得ている旨

ロ　前号ロからニまでに掲げる事項

受領者は、個人情報取扱事業者から個人データの提供を受ける際には、当該個人情報取扱事業者の法の遵守状況（例えば、利用目的、開示手続、問合せ・苦情の受付窓口の公表など）についても確認することが望ましい。特に、個人情報取扱事業者からオプトアウトによる第三者提供により個人データの提供を受ける際には、受領者は、則第17条第１項第１号ホの規定により、当該個人情報取扱事業者の届出事項が委員会により公表されている旨を記録しなければならないことに留意する必要がある。

提供者である個人情報取扱事業者の法の遵守状況を確認した結果、提供される個人データが適法に入手されたものではないと疑われるにもかかわらず、当該個人データの提供を受けた場合には、第17条第１項に違反するおそれがある。【平成28年委員会告示第８号】

第三者提供を受ける際の確認に係る記録の作成の方法【則第16条】

①　文書、電磁的記録又はマイクロフィルムを用いて作成すること【則第16条第１項】

②　記録は、個人データを第三者に提供した都度、速やかに作成しなければならない。た

だし、当該第三者に対し個人データを継続的に若しくは反復して提供（第23条第２項の規定による提供を除く。以下この条において同じ。）したとき、又は当該第三者に対し個人データを継続的に若しくは反復して提供することが確実であると見込まれるときの記録は、一括して作成することができる。【則第16条第２項】

③　上記②の規定にかかわらず、本人に対する物品又は役務の提供に関連して当該本人に係る個人データを第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に則第17条第１項各号に定める事項が記載されているときは、当該書面をもって第26条第３項の当該事項に関する記録に代えることができる。【則第16条第３項】

第三者提供を受ける際の確認に係る記録の省略【則第17条第２項、則附則第５条】

則第17条第１項各号に定める事項のうち、既に前条に規定する方法により作成した第26条第３項の記録（当該記録を保存している場合におけるものに限る。）に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる（施行日前に行ったものについても適用される）。

第三者提供を受ける際の記録の保存期間【第26条第４項、則第18条】

第25条・第26条の確認・記録義務の方向性について

平成26年に発生した民間企業における大規模漏えい事案を契機として、名簿屋対策を目的とするトレーサビリティの規定が新設された。また、オプトアウト規定を利用する事業者の委員会への届出義務及び委員会による公表の規定も導入され、これらの制度が相俟って、違法な名簿屋による個人データの流通を抑止しようとするものである。

他方、正常な事業活動を行っている事業者に対する過度な負担を懸念する声が多く上がっていることから、現実的な規則の在り方について検討する必要がある。事業者に対する過度な負担となるおそれのある具体的な課題（事例）及び対応案は、次の①から⑦までに掲げる事項である。

「提供者」の考え方【平成28年委員会告示第８号】

次の①又は②に該当する場合は、実質的に「提供者」による提供ではないものとして、確認・記録義務は適用されない。

①　本人による提供

事業者が運営するSNS等に本人が入力した内容が、自動的に個人データとして不特定多数の第三者が取得できる状態に置かれている場合は、実質的に「本人による提供」をしているものである。

したがって、個人情報取扱事業者がSNS等を通じて本人に係る個人データを取得したときでも、SNS等の運営事業者及び取得した個人情報取扱事業者の双方において、確認・記録義務は適用されない。

本人による提供に該当する事例

②　本人に代わって提供

個人情報取扱事業者が本人からの委託等に基づき当該本人の個人データを第三者提供する場合は、当該個人情報取扱事業者は「本人に代わって」個人データの提供をしているものである。

したがって、この場合の第三者提供については、提供者・受領者のいずれに対しても確認・記録義務は適用されない。

個人情報取扱事業者が本人からの委託等に基づいて個人データを提供しているものと評価し得るか否かは、主に、委託等の内容、提供の客体である個人データの内容、提供するとき及び提供先の個人情報取扱事業者等の要素を総合的に考慮して、本人が当該提供を具体的に特定できているか否かの観点から判断することになる。

なお、本人から個人データの提供の委託等を受ける場合において、当該個人データに、「本人」以外の者の個人データが含まれる場合もあり得る。

本人に代わって個人データを提供している事例

「受領者」の考え方【平成28年委員会告示第８号】

本人の代理人又は家族等、本人と一体と評価できる関係にある者に提供する場合、本人側に対する提供とみなし、受領者に対する提供には該当せず、確認・記録義務は適用されない。

なお、常に家族であることをもって本人側と評価されるものではなく、個人データの性質、両者の関係等に鑑みて実質的に判断する必要がある。

また、提供者が、最終的に本人に提供することを意図した上で、受領者を介在して第三者提供を行い、本人がそれを明確に認識できる場合は、同じく、本人側に対する提供とみなし、確認・記録義務は適用されない。

本人と一体と評価できる関係にある者に提供する事例

提供者が、最終的に本人に提供することを意図した上で、受領者を介在して第三者提供を行う事例

「提供」行為の考え方【平成28年委員会告示第８号】

不特定多数の者が取得できる公開情報は、本来であれば受領者も自ら取得できる情報であり、それをあえて提供者から受領者に提供する行為は、受領者による取得行為を提供者が代行しているものであることから、実質的に確認・記録義務を課すべき第三者提供には該当せず、同義務は適用されない。

例えば、ホームページ等で公表されている情報、報道機関により報道されている情報などが該当する。他方、特定の者のみアクセスできる情報、提供者の業務上取得し得た非公開の情報などについては、ここでの整理は当てはまらない。

なお、当初に、個人データを公開に供する行為については、提供者として記録を作成しなければならない。【則第13条第１項第１号ロカッコ書き】

また、いわゆる公開情報であっても、「個人情報」（第２条第１項）に該当するため、第４章第１節のうち、確認・記録義務以外の規定は適用されることには留意する必要がある（例えば、ホームページ等で公表されている情報を利用し、情報提供者である本人に対してテレアポ又はダイレクトメールを送信する場合は第16条第１項の利用制限の適用を受ける）。

第26条の「個人データ」の該当性【平成28年委員会告示第８号】

第26条は、「個人データ」の提供を受ける際に適用される義務であるところ、「個人情報」には該当するが「個人データ」には該当しない情報の場合、又は、そもそも「個人情報」に該当しない情報の提供を受けた場合は、同条の義務は適用されない。

①　受領者にとって「個人データ」に該当しない場合

イ　判断主体

第26条の要件の該当性は、同条の名宛人である受領者を基準に判断する必要があるため、提供者にとって個人データに該当するが受領者にとって個人データに該当しない情報を受領した場合は、同条の確認・記録義務は適用されない。

したがって、例えば、個人情報取扱事業者の営業担当者が、取引先を紹介する目的で、データベースとして管理しているファイルから名刺１枚を取り出してそのコピーを他の個人情報取扱事業者の営業担当者に渡す場合、受領した側の個人情報取扱事業者は確認・記録義務を負わない。

なお、本来であれば個人データに該当するにもかかわらず、確認・記録義務を免れる目的のために、あえて分断して形式的に「個人データには該当しない個人情報」として提供を受ける行為は、法の潜脱であり、確認・記録義務を免れることはできない。

ロ　判断時点

個人データには該当しない個人情報として提供を受けた場合、仮に、後に当該個人情報を個人情報データベース等に入力する等したときにおいても、第26条の確認・記録義務は適用されない。

なお、受領後、受領者が当該個人情報を自己のデータベースに入力した場合には、入力時点から個人情報データベース等を構成する個人データに該当することとなり、第26条の義務は課されなくとも、第19条から第34条までの規定が適用される。

ハ　上記イ及びロを踏まえ、受領者たる個人情報取扱事業者に対しては、提供を受ける時点において、個人データに該当する場合に、確認・記録義務が適用される。

②　受領者にとって「個人情報」に該当しない場合

次の事例のように、提供者にとって個人データに該当する場合であっても、受領者にとっては「個人情報」に該当しない（当然に個人データにも該当しない。）情報を受領した場合は、第26条の確認・記録義務は適用されない。

受領者にとって個人情報に該当しない事例

提供を受けるに際して【平成28年委員会告示第８号】

第26条の確認・記録義務は、受領者にとって、「第三者から個人データの提供を受ける」行為がある場合に適用されるため、単に閲覧する行為については、「提供を受ける」行為があるとは言えず、第26条の義務は適用されない。

なお、提供者たる個人情報取扱事業者が、個人データを第三者が利用可能な状態に置く行為は、提供行為に該当する。

また、口頭、FAX、メール、電話等で、受領者の意思とは関係なく、一方的に個人データを提供された場合において、受領者側に「提供を受ける」行為がないときは、第26条の確認・記録義務は適用されない。

一括して記録を作成する方法に該当する事例【則第12条第２項、第16条第２項、平成28年委員会告示第８号】

①　最初の授受の際に一旦記録を作成した上で、継続的に又は反復して個人データを授受する対象期間内に、随時、追加の記録事項を作成する方法

②　継続的に又は反復して個人データを授受提供する対象期間内に、月ごとに記録を作成する方法

③　継続的に又は反復して個人データを授受提供する対象期間の終了後、速やかに記録を作成する方法

「一括して記録を作成する方法」は、例外としての記録作成方法であることに鑑みて、その対象期間、対象範囲等を明確にすることが望ましい。

「確実であると見込まれるとき」の例としては、継続的に又は反復して個人データを授受することを内容とする基本契約を締結することで、以後、継続的に又は反復して個人データを提供することが確実であると見込まれる場合などが該当する。この場合は、当該基本契約に係る契約書をもって記録とすることができる。

契約書等の代替手段により記録を作成する方法【則第12条第３項、第16条第３項、平成28年委員会告示第８号】

①　本人に対する物品又は役務の提供

提供者若しくは受領者又は提供者及び受領者の双方が「本人に対する物品又は役務の提供」の主体となる場合を含む。また、「本人に対する物品又は役務の提供」には、契約を根拠とする場合のほか、法令を根拠とする場合を含む。

提供者及び受領者の双方が主体となる事例

法令を根拠とした本人に対する物品又は役務の提供に該当する事例

②　当該提供に関して作成された（契約書その他の書面）

複数の書面を合わせて１つの記録とすることは妨げられない。

個人データを第三者提供する際に作成された契約書その他の書面の他、当該個人データの内容を構成する契約書その他の書面も、「当該提供に関して作成された」ものに該当する。例えば、「個人データの内容を構成する契約書その他の書面」により「本人の氏名その他の当該本人を特定するに足りる事項」及び「当該個人データの項目」の記録を作成した場合には、それ以外の事項については別の「契約書その他の書面」により記録を作成することとなる。

個人データの内容を構成する契約書その他の書面の事例

③　契約書その他の書面

本人と提供者との間で作成した契約書のみならず、提供者と受領者との間で作成した契約書も含まれる。「契約書」の他にも、「その他の書面」には、個人情報取扱事業者の内部で作成された帳票、記録簿等も含まれる。また、「契約書その他の書面」は、則第７条第３項の規定により電磁的記録を含むため、システム上の記録等も「契約書その他の書面」に該当する。

代行により記録を作成する方法【則第12条、第16条、平成28年委員会告示第８号】

提供者・受領者のいずれも記録の作成方法・保存期間は同一であることに鑑みて、提供者（又は受領者）は受領者（又は提供者）の記録義務の全部又は一部を代替して行うことができる（提供者と受領者の記録事項の相違については留意する必要がある。）。なお、この場合であっても、提供者及び受領者は自己の義務が免責されるわけではないことから、実質的に自らが記録作成義務を果たしているものと同等の体制を構築しなければならない。

また、委託先の個人情報取扱事業者が委託契約の目的の範囲内で第三者との間で個人データの授受を行った場合において、一義的には委託先の個人情報取扱事業者が記録を作成する義務があるが、委託元の個人情報取扱事業者が記録の作成を代行することができる。

平成27年法律第65号施行日

平成29年５月30日【平成27年法律第65号附則第１条本文、平成28年政令第385号】