改正個人情報保護法（平成２９年５月３０日施行）
１、個人情報保護法の仕組み
第１５条（利用目的の特定）
第１６条（利用目的による制限）
第１７条（適正な取得）
第１８条（取得に際しての利用目的の通知等）
第１９条（データ内容の正確性の確保等）
第２０条（安全管理措置）
第２１条（従業者の監督）
第２２条（委託先の監督）
第２３条（第三者提供の制限）
第２４条（外国にある第三者への提供の制限）
第２５条（第三者提供に係る記録の作成等）
第２６条（第三者提供を受ける際の確認等）
第２７条（保有個人データに関する事項の公表等）
第２８条（開示）
第２９条（訂正等）
第３０条（利用停止等）
第３１条（理由の説明）
第３２条（開示等の請求等に応じる手続）
第３３条（手数料）
第３４条（事前の請求）
第３５条（個人情報取扱事業者による苦情の処理）
２、改正個人情報保護法
ａ、目的（第１条）
個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力あ
る経済社会及び豊かな国民生活の実現に資するものであることその
他の個人情報の有用性に配慮しつつ、個人の権利利益を保護するこ
とを目的とする
ビッグデータの活用
ｂ、定義（第２条）
①「個人情報」とは、生存する個人に関する情報であって、次のいずれ
かに該当するもの（第２条第１項）
(a) 当該情報に含まれる氏名、生年月日その他の記述等により特定の
個人を識別することができるもの（他の情報と容易に照合するこ
とができ、それにより特定の個人を識別することができることと
なるものを含む）
(b) 個人識別符号が含まれるもの
個人情報の明確化
②「個人識別符号」とは、次のいずれかに該当する文字、番号、記号そ
の他の符号のうち、政令で定めるもの（第２条第２項）
(a) 特定の個人の身体の一部の特徴を電子計算機の用に供するために
変換した符号であって、当該特定の個人を識別することができる
もの
《政令第１条》
・細胞から採取されたデオキシリボ核酸（別名ＤＮＡ）を構成す
る塩基の配列
・顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位
置及び形状によって定まる容貌
・虹彩の表面の起伏により形成される線状の模様
・発声の際の声帯の振動、声門の開閉並びに声道の形状及びその
変化
・歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様
・手のひら又は手の甲若しくは指の皮下の静脈の分岐点及び端点
によって定まるその他の形状
・指紋又は掌紋
(b) 個人に提供される役務の利用若しくは個人に販売される商品の購
入に関し割り当てられ、又は個人に発行されるカードその他の書
類に記載され、若しくは電磁的方式により記録された符号であっ
て、その利用者若しくは購入者又は発行を受ける者ごとに異なる
ものとなるように割り当てられ、又は記載され、若しくは記録さ
れることにより、特定の利用者若しくは購入者又は発行を受ける
者を識別することができるもの
対象者ごとに役務の利用、商品の購入又は書類に付される符
号
《政令第１条》
・旅券番号
・基礎年金番号
・免許証番号
・住民票コード
・個人番号
・国民健康保険、高齢者医療、介護保険の被保険者証の文字、
番号、記号その他の符号
・その他個人情報保護委員会規則で定める文字、番号、記号
その他の符号
③「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯
罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、
偏見その他の不利益が生じないようにその取扱いに特に配慮を要する
ものとして政令で定める記述等が含まれる個人情報をいう（第２条第
３項）
いわゆる機微情報
《政令第２条》
・身体障害、知的障害、精神障害（発達障害を含む）その他の個
人情報保護委員会規則で定める心身の機能の障害があること
・本人に対して医師その他医療に関連する職務に従事する者によ
り行われた疾病の予防及び早期発見のための健康診断その他の
検査の結果
・健康診断等の結果に基づき、又は疾病、負傷その他の心身の変
化を理由として、本人に対して医師等により心身の状態の改善
のための指導又は診療若しくは調剤が行われたこと
・本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、
公訴の提起その他の刑事事件に関する手続が行われたこと
・本人を少年法第３条第１項に規定する少年又はその疑いのある
者として、調査、観察の措置、審判、保護処分その他の少年の
保護事件に関する手続が行われたこと
《規制》
・本人同意を得ない取得を原則禁止
・本人の同意を得ないオプトアウト（第三者提供の特例）の禁止
④「個人情報データベース等」の定義から利用方法からみて個人の権利
利益を害するおそれが少ないものとして政令で定めるものを除く（第
２条第４項）
《政令第３条》
次のいずれにも該当するもの
・不特定かつ多数の者に販売することを目的として発行されたも
のであって、かつ、その発行が法又は法に基づく命令の規定に
違反して行われたものでないこと
・不特定かつ多数の者により随時に購入することができ、又はで
きたものであること
・生存する個人に関する他の情報を加えることなくその本来の用
途に供しているものであること
⑤「個人情報取扱事業者」の定義からその取り扱う個人情報の量及び利
用方法からみて個人の権利利益を害するおそれが少ないものとして政
令で定める者を除く旨の規定を削る（第２条第５項）
５，０００人以下を除外する規定を削除
⑥「匿名加工情報」とは、特定の個人を識別することができないように
個人情報を加工して得られる個人に関する情報であって、当該個人情
報を復元することができないようにしたものをいう（第２条第９項）
⑦「匿名加工情報取扱事業者」とは、特定の匿名加工情報を電子計算機
を用いて検索することができるように体系的に構成したもの等を事業
の用に供している者をいう（第２条第１０項）
ｃ、法制上の措置（第６条）
政府は、国際機関その他の国際的な枠組みへの協力を通じて、各国政
府と共同して国際的に整合のとれた個人情報に係る制度を構築するた
めに必要な措置を講ずる
ｄ、個人情報取扱事業者の義務
①利用目的（第１５条第２項）
個人情報取扱事業者は、利用目的を変更する場合には、変更前の
利用目的と相当の関連性を有すると合理的に認められる範囲を超
えて行ってはならない
②適正な取得（第１７条第２項）
個人情報取扱事業者は、一定の場合を除き、あらかじめ本人の同
意を得ないで、要配慮個人情報を取得してはならない
③データ内容の正確性の確保等（第１９条）
個人情報取扱事業者は、個人データを利用する必要がなくなった
ときは、当該個人データを遅滞なく消去するよう努めなければな
らない（努力規定）
④オプトアウト規定の見直し（第三者提供の制限）（第２３条第２項）
・一定の場合にあらかじめ本人の同意を得ないで当該本人が識別さ
れる個人データを第三者に提供することができる旨の規律につい
て、当該規律の対象となる個人データから要配慮個人情報を除く
とともに、当該規律により個人データを提供するためには、一定
の事項を個人情報保護委員会規則で定めるところにより、あらか
じめ、本人に通知し、又は本人が容易に知り得る状態に置くとと
もに、個人情報保護委員会に届け出なければならない
・個人情報保護委員会は、上記の届出があったときは、個人情報保
護委員会規則で定めるところにより、当該届出に係る事項を公表
しなければならない
⑤外国にある第三者への提供の制限（第２４条）
個人情報取扱事業者は、外国にある第三者に個人データを提供す
る場合には、下記を除き、あらかじめ外国にある第三者への提供
を認める旨の本人の同意を得なければならない
・個人の権利利益を保護する上で我が国と同等の水準にあると
認められる個人情報の保護に関する制度を有している外国と
して個人情報保護委員会規則で定めるもの
・個人データの取扱いついて個人情報保護法の規定により個人
情報取扱事業者が講ずべきこととされている措置に相当する
措置を継続的に講ずるために必要なものとして個人情報保護
委員会規則で定める基準に適合する体制を整備している者
《規則第１１条（体制整備の規準）》
・個人情報取扱事業者と個人データの提供を受ける者との
間で、個人情報保護法の規定の趣旨に沿った措置の実施
が確保されていること
・個人データの提供を受ける者が、個人情報の取扱いに係
る国際的な枠組みに基づく認定を受けていること
⑥第三者提供に係る記録の作成等（第２５条）
個人情報取扱事業者は、個人データを第三者に提供したときは、
個人情報保護委員会規則で定めるところにより、当該個人データ
を提供した年月日、当該第三者の氏名等の記録を作成し、一定の
期間（原則、３年）保存しなければならない
トレーサビリティ
⑦第三者提供を受ける際の確認等（第２６条）
個人情報取扱事業者は、第三者から個人データの提供を受けるに
際しては、個人情報保護委員会規則で定めるところにより、当該
第三者による当該個人データの取得の経緯等を確認するとともに
当該個人データの提供を受けた年月日等の記録を作成し、一定の
期間（原則、３年）保存しなければなならない
トレーサビリティ
⑧開示等請求権（第２８条～第３４条）
・本人は、個人情報取扱事業者に対し、当該本人が識別される保有
個人データの開示を請求することができるものとするとともに、
一定の場合において、当該保有個人データの内容の訂正、追加若
しくは削除、利用の停止若しくは消去又は第三者への提供の停止
を請求することができる
・本人は、上記による請求に係る訴えを提起しようとするときは、
一定の場合を除き、その訴えの被告となるべき者に対し、あらか
じめ、当該請求を行い、かつ、その到達した日から２週間を経過
した後でなければ、その訴えを提起することができない
ｅ、匿名加工情報取扱事業者等の義務（第３６条～第３９条）
①匿名加工情報の作成等（第３６条）
個人情報取扱事業者は、匿名加工情報の作成等について、次のと
おり行う
・匿名加工情報を作成するときは、特定の個人を識別すること及び
その作成に用いる個人情報を復元することができないようにする
ために必要なものとして個人情報保護委員会規則で定める基準に
従い、当該個人情報を加工しなければならない（第１項）
《規則第１９条》
・特定の個人を識別することができる記述等の全部又は一
部を削除すること（他の記述等に置き換えることを含む)
・個人情報に含まれる個人識別符号の全部を削除すること
（他の記述等に置き換えることを含む）
・個人情報と当該個人情報に措置を講じて得られる情報等
とを連結する符号を削除すること（連結することができ
ない符号に置き換えることを含む）
・特異な記述等を削除すること（他の記述等に置き換える
ことを含む）
・匿名加工情報を作成したときは、加工の方法に関する情報等の漏
えいを防止するために必要なものとして個人情報保護委員会規則
で定める基準に従い、これらの情報の安全管理のための措置を講
じなければならないものとするとともに、個人情報保護委員会規
則で定めるところにより、当該匿名加工情報に含まれる個人に関
する情報の項目を公表しなければならない（第２項、第３項）
《規則第２０条（安全管理措置の基準）》
・匿名加工情報を取り扱う者の権限及び責任を明確に定め
ること
・規程類を整備し、当該規程類に従って加工方法等情報を
適切に取り扱うこと
・正当な権限を有しない者による加工方法等情報の取扱い
を防止ために必要かつ適切な措置を講じること
《規則第２１条（公表）》
・インターネットの利用その他の適切な方法
・匿名加工情報を作成して自ら当該匿名加工情報を取り扱うに当た
っては、当該匿名加工情報の作成に用いられた個人情報に係る本
人を識別するために、当該匿名加工情報を他の情報と照合しては
ならない（第５項）
②匿名加工情報の提供（第３６条第４項、第３７条）
匿名加工情報を作成した個人情報取扱事業者および匿名加工情報
取扱事業者は、匿名加工情報を第三者に提供するときは、個人情
報保護委員会規則で定めるところにより、あらかじめ、第三者に
提供される匿名加工情報に含まれる個人に関する情報の項目及び
その提供の方法について公表するとともに、当該第三者に対して、
当該提供に係る情報が匿名加工情報である旨を明示しなければな
らない
③識別行為の禁止（第３８条）
匿名加工情報取扱事業者は、匿名加工情報（自ら個人情報を加工
して作成したものを除く）を取り扱うに当たっては、当該匿名加
工情報の作成に用いられた個人情報に係る本人を識別するために、
加工の方法に関する情報等を取得し、又は当該匿名加工情報を他
の情報と照合してはならない
④安全管理措置等（第３６条第６項、第３９条）
匿名加工情報を作成した個人情報取扱事業者および匿名加工情報
取扱事業者は、匿名加工情報の安全管理のために必要かつ適切な
措置、匿名加工情報の取扱いに関する苦情の処理その他の匿名加
工情報の適正な取扱いを確保するために必要な措置を自ら講じ、
かつ、当該措置の内容を公表するよう努めなければならない
ｆ、個人情報保護委員会（第４０条～第４４条、第５９条～第７４条）
①監督（第４０条～第４６条）
個人情報取扱事業者の監督を行う主体を主務大臣から個人情報保
護委員会に改めるとともに、匿名加工情報取扱事業者の監督を個
人情報保護委員会が行う
②報告及び立入検査（第４０条）
個人情報保護委員会は、一定の場合において、個人情報取扱事業
者又は匿名加工情報取扱事業者（以下、個人情報取扱事業者等と
いう）に対し、個人情報又は匿名加工情報（以下、個人情報等と
いう）の取扱いに関し、必要な報告若しくは資料の提出を求め、
又はその職員に、当該個人情報取扱事業者等の事務所その他必要
な場所に立ち入らせ、検査させる等することができる
③指導及び助言（第４１条）
個人情報保護委員会は、一定の場合において、個人情報取扱事業
者等に対し、個人情報等の取扱いに関し必要な指導及び助言をす
ることができる
④権限の委任（第４４条）
個人情報保護委員会は、緊急かつ重点的に個人情報等の適正な取
扱いの確保を図る必要あることその他の政令で定める事情がある
ため、必要があると認めるときは、政令で定めるところにより、
上記②による権限を事業所管大臣に委任することができる
⑤事業所管大臣の請求（第４５条）
事業所管大臣は、個人情報取扱事業者等による個人情報等の適正
な取扱いを確保するために必要があると認めるときは、個人情報
保護委員会に対し、この法律の規定に従い適当な措置をとるべき
ことを求めることができる
⑥ガイドライン
平成２８年１１月 個人情報の保護に関する法律についてのガイ
ドライン（通則編）（外国にある第三者への提供編）（第三者提
供時の確認・記録義務編）（匿名加工情報編）
ｇ、民間団体による個人情報の保護の推進
①認定個人情報保護団体の認定及び監督を行う主体を主務大臣から個人
情報保護委員会にあらためる
②個人情報保護指針（第５３条）
・認定個人情報保護団体は、対象事業者の個人情報等の適正な取扱
いの確保のために、消費者の意見を代表する者その他の関係者の
意見を聴いて、この法律の規定の趣旨に沿った指針（以下、個人
情報保護指針という）を作成するよう努めなければならない
・認定個人情報保護団体は、上記により個人情報保護指針を作成し
たときは、個人情報保護委員会規則則で定めるところにより、遅
滞なく、当該個人情報保護指針を個人情報保護委員会に届け出な
ければならない
・個人情報保護委員会は、上記の個人情報保護指針の届出があった
ときは、個人情報保護委員会規則で定めるところにより、当該個
人情報保護指針を公表しなければならない
ｈ、罰則（第８３条）
個人情報取扱事業者（その者が法人である場合にあっては、その役員、
代表者又は管理人）若しくは従業者又はこれらであった者が、その業
務に関して取り扱った個人情報データべース等を自己若しくは第三者
の不正な利益を図る目的で提供し、又は盗用したときは、１年以下の
懲役又は５０万円以下の罰金に処する
データベース提供罪
直罰
