プライバシーポリシーガイドライン

2022.11.02

2004（平成16）年11月制定
2014（平成26）年 2月改定
2016（平成28）年 5月改定
2017（平成29）年 5月改定
2022（令和 4）年10月改定

第1章総則
第２章細則
第３章その他

第１章　総則
（目的）
第１条　本ガイドラインは、インターネット広告ビジネスにおいて取得・管理・利用される個人に関する各種情報の取扱いに関して、これらの情報が情報価値を持つ（インフォマティブ）と同時に、取扱いによってはインターネットを利用する消費者（以下「利用者」という）のプライバシーに影響を与える可能性があるとの認識に立ち、一般社団法人日本インタラクティブ広告協会（以下「当法人」という）の会員社が遵守すべき基本的事項を定めることにより、利用者および広告主が安心してインターネット広告を利用することができる環境を整えることを目的とする。
- 　[解説]
  - 会員各社はプライバシーポリシーを策定し、対外的に公表するとともに、対内的には、ポリシーを実現し改善していくための方針を策定し、継続して実行していくことが必要である。
（定義）
第２条　本ガイドラインにおいて、次の各号に掲げる用語の意義は、当該各号に定めるところによる。
- ① 個人情報
  個人情報保護法に定める個人情報（生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等（個人識別符号を除く）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む）、または個人識別符号が含まれるもの）をいう。
- ② 個人データ
  個人情報保護法に定める個人データ（個人情報データベース等を構成する個人情報）をいう。
- ③ 保有個人データ
  個人情報保護法に定める保有個人データ（個人情報取扱事業者が、開示、内容の訂正、追加または削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データ）をいう。
- ④ 仮名加工情報
  個人情報保護法に定める仮名加工情報（個人情報を個人情報の区分に応じて定められた措置を講じて他の情報と照合しない限り特定の個人を識別することができないように加工して得られる個人に関する情報）をいう。
- ⑤ 匿名加工情報
  個人情報保護法に定める匿名加工情報（個人情報を個人情報の区分に応じて定められた措置を講じて特定の個人を識別することができないように加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたもの）をいう。
- ⑥ 個人関連情報
  個人情報保護法に定める個人関連情報（生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報（以下「個人情報等」という）のいずれにも該当しないもの）をいう。
- ⑦ インフォマティブデータ
  郵便番号、メールアドレス、性別、職業、趣味、顧客番号、クッキー情報、IPアドレス、端末識別IDなどの識別子情報および位置情報、閲覧履歴、購買履歴といったインターネットの利用にかかるログ情報などの個人に関する情報で、単体では特定の個人を識別することができないものの、プライバシー上の懸念が生じうる情報（個人に関する情報を特定の個人を識別することができないように加工して得られた情報や、暗号化等によって秘匿化されている情報を含む）、ならびに個人に関する情報が統計化された情報であって、個人と結びつきえない形で使用される情報（当該統計化された情報を、以下「統計情報」という）を総称していう。
- 　[解説]
  - 「個人に関する情報」とは、氏名、住所、性別、生年月日、顔画像等個人を識別する情報に限られず、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報をいう。評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化等によって秘匿化されているかどうかを問わない。なお、統計情報は「個人に関する情報」に含まれない。
  - 「行動履歴情報」を蓄積・分析してクラスターに分類し、クッキーや広告用端末識別ID等の識別子情報と結びつけてブラウザや端末を1対1対応で個別に識別する行動ターゲティング広告の配信に用いるデータは、一人ひとりは識別されるが、個人が特定されない状態の情報（それが誰か一人の情報であることがわかるが、その一人が誰であるかまではわからない情報）ではあるものの、統計情報には該当しない。
  - 特定の個人を識別することができないある個人の情報（クッキーや端末識別IDに結びついた閲覧履歴や購買履歴等の行動履歴情報、ある個人の年齢・性別・家族構成等の属性情報、ある個人の位置情報や興味・関心を示す情報など）はインフォマティブデータに該当し、それ自体としては原則として個人関連情報に該当する。ただし、ある個人の情報それ自体のみでは個人情報に該当しないものではあっても、長期間、大量または連続的に情報が蓄積される等して特定の個人を識別することができることとなった場合には、個人情報に該当し、個人関連情報には該当しないことになる。また、インフォマティブデータが他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなる場合は、個人情報に含まれる。なお、メールアドレスのユーザー名およびドメイン名から本人の氏名と所属会社が分かるなど特定の個人を識別することができる場合は、メールアドレス自体が単独で個人情報に該当し、当該メールアドレスに結びついた個人に関する情報も個人情報に該当するこことなる。
（適用範囲）
第３条　本ガイドラインは、個人に関する情報をインターネット広告ビジネスのために取得・管理・利用する当法人の会員社に適用される。
　２　本ガイドラインは、インターネット広告ビジネスにおける広告を対象とするものであって、それ以外の会員社の事業には適用されない。会員社が自社のインターネット広告ビジネス以外のサービスのために個人に関する情報を取り扱う場合には、それぞれのサービスの特性等に応じて各社が必要な事項を定めるものとする。
　３　会員社がインターネット広告ビジネスに関して個人に関する情報（個人情報等または個人関連情報）を取り扱う場合、会員社は個人情報保護法に従う。個人関連情報等の取扱いに関し、個人情報保護法に定めのない事項について、本ガイドラインに規定がある場合は、会員社はこれに従う。
　４　会員社が、諸外国の業界団体等の自主規制基準のうち、当法人が本ガイドラインと同等以上の内容を有すると認めるものに則っている旨を当法人に対して申し出、当法人が申し出にかかる事実を正と認めた場合には、当該会員社は個人情報保護法を遵守したうえで当該自主規制基準に従うことにより本ガイドラインを遵守しているものとみなす。

　[解説]
- 新たな形態のビジネスの発生によってプライバシー保護の観点から新たな問題が将来発生する可能性が生じた場合には、当該部分について本ガイドラインに包含すべきかどうか検討するものとする。

第２章　細則
（プライバシーポリシーの構成）
第４条　プライバシーポリシーには次のような事項が含まれていることが適切である。
- ① プライバシーポリシーが適用される範囲
- ② 情報を取得する事業者の氏名または名称
- ③ 想定され得る、取得する個人情報および個人関連情報の種類
- ④ 取得方法が特定できる場合には取得方法
- ⑤ 個人情報および個人関連情報の利用目的
- ⑥ 個人データおよび個人関連情報（検索することができるように体系的に構成されたものに限る）を第三者に提供または個人データを共同利用する場合は、その旨
- ⑦ 保有個人データの安全管理措置および苦情の申出先、ならびに開示等の請求等の受付方法および手数料を定めた場合は、その旨
- ⑧ 個人情報の取扱いに関する問い合わせ窓口や連絡先、連絡方法（手続き）
- 　[解説]
  - 個人データのオプトアウトによる第三者提供を行う場合は、第三者への提供を行う事業者の氏名または名称に加えて住所ならびに法人代表者の氏名を公表する。また、保有個人データに関する事項として、事業者の氏名または名称および住所ならびに法人代表者の氏名を公表する必要がある。
  - 取得する情報の種類、取得方法、利用目的等を勘案し、情報の取得源または取得方法（取得源の種類等）を可能な限り具体的に明記することが望ましい。利用者にとって当然予想される情報の種類、取得方法等について記載するよりも、そのサービスを利用する利用者にとって分かりにくいものを特に記載すべきである。
  - 取得する情報を第三者に提供することがない場合には、第三者提供を行わないことを記載することも利用者への情報提供の観点から望ましい。
  - ウェブサイト等を運営する事業者（以下「媒体運営者」という）が閲覧履歴等の情報を提携する事業者のタグ等を通じて送信することにより直接取得させる場合は第三者に提供したことにはならないものの、それによって情報を取得する事業者が行動ターゲティング広告に利用する場合には、「行動ターゲティング広告ガイドライン」に定める「第２章行動履歴情報の取り扱いに関する原則」の第４条（透明性の確保）第２項に従い必要事項を記載する。また、情報を直接取得する事業者は、同条第１項に従い必要事項を記載するとともに、取得元の事業者に対して同条第２項により記載が必要な情報を提供する。
  - 利用者本人から開示等の請求等があった場合に、法定の要件を満たしていなくとも自主的にこれに応じる場合にはその旨も盛り込むことが望ましい。
  - 保有個人データに該当しない個人データや個人関連情報（検索することができるように体系的に構成されたものに限る）の安全管理措置に関して具体的にどのような施策を講じているのかについての概要等を記載しておくことも、利用者への情報提供という観点からは検討に値する（安全管理措置については第１３条を参照）。
  - スマートフォン等のアプリケーション向けに広告配信を行う場合および情報送信モジュール等によりスマートフォン等からユーザー情報の送信・取得等を行う場合は、スマートフォン等における情報の適切な取扱いに関して、各サービスの実態に即したプライバシーポリシーを定め公表し、アプリケーションからのリンクなどにより、利用者が容易に参照できる場所に掲示するよう努める。
（適正な取得）
第５条　個人に関する情報を取得する場合には、適法かつ適正な方法で行わなければならない。
- 　[解説]
  - 個人データの第三者への提供について法の定めを遵守していない事業者などから個人情報を取得するのは、適法かつ適正な方法とは言えない。第三者提供を受ける場合は、当該第三者提供が適法かつ適正なものであることを確認する必要がある。なお、第三者から個人関連情報の提供を受け個人データとして取得する場合は、提供先となる事業者が個人データとして取得する主体として、適切な方法で利用者本人の同意を取得することが必要であり、また、提供元の事業者に対し、個人データとして利用する意図を明らかにすることが望ましい。
  - 要配慮個人情報（本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪被害の事実、身体・知的・精神障害、健康診断・遺伝子検査結果など、本人に対する不当な差別や偏見その他の不利益が生じないよう特に配慮を要する情報）を取得する場合には、法の定めに従い、あらかじめ利用者本人の同意を得なければならない。要配慮個人情報ならびに個人の機微に触れる情報（センシティブ情報）は、取得の手段または方法が適正だとしても、利用者のプライバシーに与える影響の度合いが高いことに鑑み、取得および利用が必要かつ適切であるかどうかを慎重に判断し、必要のない場合は取得しないよう留意する。また、要配慮個人情報やセンシティブ情報に該当しない情報であっても、複数の情報を組み合わせて要配慮個人情報またはセンシティブ情報を推知したり、第三者に推知させる目的をもって取得・利用させたりすることのないよう注意する。なお、センシティブ情報に該当するものとして、例えば、労働組合への加盟、門地、本籍地、保健医療および性生活に関する情報（これらのうち要配慮個人情報に該当するものを除く）が挙げられる。
  - 15歳未満の子供から親権者の同意なく個人情報をみだりに取得しないように留意する必要がある。
    - ※ 15歳という年齢は、民法上単独で養子縁組などの身分行為を行うことができる年齢とされているものであり、義務教育の修了年齢であることなども併せて考えると社会的常識からもこの年齢に達するまでは個人情報について自ら管理できる能力が充分にはないと考えることができるものとして設定した。
（利用目的の特定）
第６条　個人情報および個人関連情報を取得する場合には、会員各社が提供するサービスにかかる利用目的に応じて必要性を充分に吟味のうえ、それぞれの利用目的を可能な限り明確に特定するものとする。
　また、当該利用目的に必要のない個人情報を取得しないよう留意する。
- 　[解説]
  - 郵便物を送るなどの必要性がないなら住所まで取る必要はない（例えば地域分布を知りたければ都道府県レベルに止めるなど）。また、登録時点の年齢分布を調べるだけの目的であれば、年齢か生年を聞けば良いのであって誕生日まで取る必要はない。
  - 利用目的の特定にあたっては、利用目的を単に抽象的、一般的に特定するのではなく、会員各社において最終的にどのような目的で取得した情報を利用するかを可能な限り具体的に特定する必要がある（単に「事業活動に用いるため」、「提供するサービスの向上のため」、「マーケティング活動に用いるため」等のように抽象的、一般的な内容を利用目的とすることは、できる限り具体的に特定したことにはならない。例えば、利用者から得た情報から、行動・関心等の情報を分析する場合、「取得した閲覧履歴や購買履歴等の行動履歴情報を分析して、興味・関心に応じた商品・サービスに関する広告を表示するため」等のように、どのような取扱いが行われているかを利用者が予測・想定できる程度に利用目的を特定する必要がある。つまり、分析結果をどのような目的で利用するかのみならず、前提として、かかる分析処理を行うことを含めて、利用目的を特定する必要がある）。なお、取得した情報を第三者に提供することを想定している場合には、利用目的においてその旨特定しなければならない。
（利用目的の通知、公表、明示）
第７条　個人情報および個人関連情報を取得する会員社は、特定したそれらの利用目的を、プライバシーポリシー上にて明記し、当該プライバシーポリシーによって、公表しまたは利用者本人に通知もしくは明示するものとする。
　また、プライバシーポリシーにおいて利用目的を明記する際、利用者にとって分かりやすい形となるよう留意する。
- 　[解説]
  - 「公表」とは、広く一般に自己の意思を知らせること（不特定多数の人々が知ることができるように発表すること）をいう。ただし、公表に当たっては、事業の性質および情報の取扱状況に応じ、合理的かつ適切な方法によらなければならない（例えば自社のウェブ画面中のトップページから1回程度の操作で到達できる場所へ掲載するなど）。
  - 「本人に通知」とは、本人に直接知らしめることをいい、事業の性質および情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない（例えば電子メールを送信することなど）。
  - 「明示」とは、本人に対し、その利用目的を明確に示すことをいい、事業の性質および情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない（例えばウェブ上の登録画面において本人が送信ボタン等をクリックする前等にその利用目的（利用目的の内容が示された画面に1回程度の操作でページが遷移するように設定したリンクやボタンを含む）が本人の目にとまるようその配置に留意するなど）。
  - 申込書や契約書、懸賞応募などでウェブ上の登録画面に入力した個人情報を直接本人から取得する場合には、あらかじめ本人にその利用目的を明示しなければならない。
  - クッキー情報、端末識別IDなどの識別子情報や位置情報は、インフォマティブデータに含まれるが、個人情報に該当しない場合であっても利用者の関心が高いことに鑑み、これらの情報を利用する場合は、その利用方法、利用目的等を公表しまたは本人に通知もしくは明示するものとする（端末識別IDについては第１５条、位置情報に関しては第１７条を参照）。
  - プライバシーポリシーにおける分かりやすい利用目的の明記方法としては、例えば、個人情報等と個人関連情報その他のインフォマティブデータを区別して記載する方法や、利用目的を共通にする情報ごとにまとめて記載する方法が考えられる。
（利用目的の変更および利用目的による制限）
第８条　個人情報および個人関連情報は特定された利用目的の範囲内（当該目的の範囲内であると合理的に認められる範囲を含む※）でのみ利用するものとする。
　なお、特定された利用目的と関連性があると合理的に認められる場合には利用目的を変更することができる。
- ※ 当該事業者について当然に想定されている事業の内容に照らして、個人情報によって識別される本人からみて、自分の個人情報が利用される範囲が合理的に予想できる程度に特定されている場合や、業種を明示することで利用目的の範囲が想定される場合など。
　２　利用目的を変更した場合、会員社は、プライバシーポリシーを改定することにより、変更後の利用目的を公表しまたは利用者本人に通知もしくは明示しなければならないものとする。
　３　特定された利用目的と関連性があると合理的に認められる範囲を超えた目的に個人情報を利用する場合には、会員社は、事前に適切な方法で利用者本人からの同意を得るものとする。

　[解説]
- 「特定された利用目的と関連性があると合理的に認められる範囲」とは、社会通念上、利用者本人が通常予期し得る限度と客観的に認められる範囲である。本人の主観や事業者の恣意的な判断によるものではなく、一般人の判断において、当初の利用目的と変更後の利用目的を比較して予期できる範囲をいい、その範囲内で利用目的を変更することは可能である。なお、その範囲を超えての個人情報の取扱いの変更は、あらかじめ本人の同意なく行うことはできない。ただし、利用目的の達成に必要な範囲を超えて個人情報を取り扱う場合に、その同意を得るために個人情報を利用すること（メールの送信等）は、当初特定した利用目的として記載されていない場合でも、目的外利用には該当しない。また、個人関連情報の取扱いの変更の場合でも、取扱状況や内容に応じて利用者が認識できるように示すことが望ましい。
- 懸賞応募などで、応募の当否等結果の連絡をすることのみを利用目的として取得したメールアドレスに広告メールを送るような場合は目的外利用に該当する。広告メールの送信を目的とするなら、募集の時点でその旨明記すべきである。説明していなかった広告メールの送信等を行う場合は目的外利用にあたるので、改めて利用者本人から広告メール送信についての同意を得る必要がある。
  - ＜参考＞
    「本人の同意」について（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」）
    - 　「本人の同意」とは、本人の個人情報が、個人情報取扱事業者によって示された取扱方法で取り扱われることを承認する旨の当該本人の意思表示をいう（当該本人であることを確認できていることが前提となる）。また、「本人の同意を得（る）」とは、本人の承諾する旨の意思表示を当該個人情報取扱事業者が認識することをいい、事業の性質および個人情報の取扱状況に応じ、本人が同意にかかる判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。
- タイアップ広告や資料請求などで、個人情報を広告主が取得する場合や会員各社双方と利用する場合には、必ず事前にその旨（当該個人情報が誰によって取得され、その利用目的が何であるのか等）を明示する。この場合、会員各社は個人情報の取扱ルールを定め、あらかじめ広告主にもその遵守の了解を得た上で行うものとする。

（不適正利用の禁止）
第９条　取得した個人情報および個人関連情報の利用は、適法かつ適正な方法でなければならない。
- 　[解説]
  - 違法または不当な行為（法令に違反する行為、および直ちに違法とはいえないものの、法令の制度趣旨または公序良俗に反する等、社会通念上適正とは認められない行為）を助長し、または誘発するおそれがある方法により個人情報および個人関連情報を利用してはならない。
  - 例えば、個人情報または個人関連情報を第三者に提供する場合、提供先の事業者において法に違反する利用がなされることを予見できるにもかかわらず情報を提供するのは、適法かつ適正な利用方法とは言えない。
  - 取得した情報をあらかじめ特定した利用目的の範囲内で利用するものであっても、性別や国籍等の特定の属性のみにより、正当な理由なく利用者本人に対する違法な差別的取扱いを行うために利用したり、広告主等の第三者から広告配信依頼を受けた商品が明らかに違法な商品であることが予見できるにもかかわらず、当該商品の広告配信のために利用したりすることは、不適正利用に該当するため、留意が必要である。
（個人データの第三者への提供）
第１０条　個人データを第三者に提供する場合には、原則としてあらかじめ利用者本人の同意を得ることが必要である。ただし、次の場合のほか法令に定める場合を除く。
- ① 法律上の義務を履行するために必要な場合
- ② 利用者の生命、身体、健康、財産等の重要な利益を保護するために必要な場合であって利用者本人の同意を得ることが困難な場合
　２　次に掲げる事項すべてを、あらかじめ利用者本人に通知し、または本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たうえで、利用者本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合（オプトアウト）、本人の同意を得なくても、個人データを第三者に提供することができる。
- ① 提供者（提供元）である事業者の氏名または名称および住所ならびに法人代表者の氏名
- ② 第三者への提供を利用目的とすること
- ③ 第三者に提供される個人データの項目
- ④ 第三者に提供される個人データの取得元（取得源）および取得の方法
- ⑤ 第三者への提供の方法
- ⑥ 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること
- ⑦ 本人の求めを受け付ける方法
- ⑧ 第三者に提供される個人データの更新の方法
- ⑨ 当該届出に係る個人データの第三者への提供を開始する予定日
　　　ただし、要配慮個人情報をオプトアウトにより第三者提供することはできず、要配慮個人情報に該当しないものであってもプライバシー侵害のおそれがある情報については、上記オプトアウトの方法によるべきではない。また、オプトアウトにより提供を受けた個人データをオプトアウトにより再提供することはできない。
　なお、個人データをオプトアウトにより第三者に提供する場合には、個人情報保護委員会が定める方法によって必要な事項を個人情報保護委員会に届け出るとともに、その内容を公表しなくてはならない。また、オプトアウトに関する事項の変更があった場合および個人データの提供をやめた場合は、本人に通知し、または容易に知り得る状態に置くとともに、必要な事項を個人情報保護委員会に届け出を行い、その内容を公表しなければならない。
　３　取扱いの委託、事業の承継および共同利用の場合についてはここでいう第三者への提供には該当しない。

　[解説]
- 「提供」とは、個人データ等を、自己以外の者が利用可能な状態に置くことをいう。個人データ等が物理的に提供されていない場合であっても、ネットワーク等を利用することにより、個人データ等を利用できる状態にあれば（利用する権限が与えられていれば）、「提供」に当たる。
- 「本人の同意」については第８条の解説を参照。同意の取得に当たっては、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む）等に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に記載する。また、第三者への提供を利用目的とすること、およびオプトアウトによる第三者提供の場合は、第三者に提供される個人データの項目等を明確にプライバシーポリシーに記載する。
- 「第三者への提供の停止」とは、新たな提供を停止することを意味し、既に第三者に提供された個人データを回収することは含まれない。
- 「本人が容易に知り得る状態」とは、本人が知ろうとすれば、簡単に知ることができる状態に置いていることをいい、事業の性質及び情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない（例えばウェブ画面中のトップページから1回程度の操作で到達できる場所へ継続的に掲載するなど）。
- 仮名加工情報である個人データは、法律上の義務を履行するために必要な場合を除き、事前に本人の同意を得ていた場合であっても第三者に提供してはならない（仮名加工情報の作成の元となった個人データについては、第三者提供することは可能）。
- 匿名加工情報（匿名加工情報データベース等を構成するものに限る）を第三者に提供するときは、本人の同意は不要だが、あらかじめ匿名加工情報に含まれる情報の項目および提供の方法を公表するとともに、当該第三者に対して提供する情報が匿名加工情報である旨を明示しなければならない。
- 個人データの第三者への提供において本人の同意を取得するか、オプトアウトによる第三者提供を行うかは、提供する情報の種類、情報提供の方法、提供した情報の利用方法等を勘案して、プライバシーに対する影響の度合いを評価するなどの対応を行うことにより、適正なものとしていくことが望ましい。
- 要配慮個人情報に該当しないものであってもオプトアウトの方法によるべきでない「プライバシー侵害のおそれがある情報」については、一律に判断することが難しいため、情報の種類、同意取得の方法、利用方法等を確認し、プライバシーに対する影響の度合いを評価するなどの対応を行ったうえで判断することが望ましい。
- 取扱いの委託とは、懸賞の賞品発送のために宅配業者に住所情報を提供する場合など、利用目的の遂行のための個人データの取扱いを第三者に委託することをいう。この場合は、ここでいう「第三者への提供」には該当しない。
- 個人データの取扱いの委託において、委託先の事業者は、当該個人データを委託された業務に利用することよって得た別の個人データについても、委託された業務以外に取り扱うことはできず、自らの目的で利用することはできない。また、委託先において、委託に伴って複数の委託元から提供された個人データを統合して利用することや、委託元から提供された個人データを独自に取得した別の個人データまたは個人関連情報と本人ごとに突合することはできない。これらの取扱いをする場合には、個人データの第三者提供と整理する等して本人の同意を取得する対応を行う必要がある。
- 共同利用とは、総合的なサービスを提供するグループ企業間や、特定のキャンペーン事業を共同で運営する提携企業の間等において、取得時の利用目的の範囲内で個人データを共同利用する場合などで、共同して利用される項目、共同利用者の範囲、利用目的及び取得した情報の管理について責任を有する者の氏名または名称および住所ならびに代表者の氏名について、あらかじめ本人に通知し、または本人が容易に知り得る状態に置いているときは、ここでいう「第三者への提供」には該当しない。なお、共同利用者の範囲は明確にされていなければならず、本人の同意なしに事後的にこれを変更することは認められない。
- 応募要件を満たしていないにもかかわらず執拗に懸賞に応募する等、意図的に業務妨害を行う者等が存在した場合にその者の情報について他社に提供するケースなど、会員各社および利用者の権利、財産やサービス等を保護するために情報を開示する場合については、利用者本人の同意（約款同意を含む）を得ておくことが望ましい。

ａ．外国にある第三者への個人データの提供
- (1) 外国にある第三者（提供元の事業者と別の法人格を有する外国法人（外国法人であっても、日本国内で「個人情報データベース等」を事業の用に供している「個人情報取扱事業者」は「外国にある第三者」には該当しない）が外国において当該個人データを事業のために取扱う場合に該当する）に個人データを提供（ここでは委託、事業の承継および共同利用に伴う提供を含む）する場合には、次のいずれかに該当する場合を除き、あらかじめ外国にある第三者への提供を認める旨の利用者本人の同意を得なければならない。
  - ① 個人の権利利益を保護する上で日本と同等の水準にあると認められる個人情報保護制度を有している国として個人情報保護委員会規則で定める国にある場合
  - ② 個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制として個人情報保護委員会規則で定める基準に適合する体制を整備している場合
- (2) 前項により外国にある第三者への個人データの提供について利用者本人の同意を得るに当たっては、原則として、あらかじめ①当該外国の名称、②当該外国における個人情報の保護に関する制度（制度が存在しない場合はその旨）、③当該第三者が講ずる個人情報の保護のための措置に関する情報（プライバシーポリシー等）を本人に提供することが必要である。
  - 　[解説]
    - 提供先の外国にある第三者が(1)①、②のいずれかに該当する場合には、外国にある第三者への提供を認める旨の本人の同意を得なくても、本条第１項（本人の同意に基づく方法）、本条第２項（オプトアウトによる方法）または委託、事業の承継または共同利用に伴う方法により個人データを提供することができる。
    - (1)の①の日本と同等の水準にあると認められる個人情報保護制度を有している国として個人情報保護委員会規則で定める国とは、平成31年個人情報保護委員会告示第1号に定める国を指し、EUおよび英国が該当する。
    - 提供先の外国にある第三者が(1)の②の基準適合体制を整備していることを根拠に個人データを提供した場合、当該第三者による相当措置の継続的な実施を確保するために必要な措置（実施状況等を定期的に確認すること、実施の確保が困難になったときは提供を停止すること）を講ずるとともに、利用者本人の求めに応じてその措置に関する情報を提供する必要がある。
      - ※ 外国にある第三者への個人データの提供については、個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」を参照のこと。
    - 利用者本人への情報提供は、本人が確実に認識できると考えられる適切な方法で行うとともに、提供する情報が本人にとって分かりやすいものであることが必要である。例えば、ウェブ上の必要な情報が掲載されたページ（プライバシーポリシー等）のリンクを自社のウェブサイトに掲載し、本人に明示的に閲覧を求める方法も適切といえる。ただし、リンク先のページが外国語で記載された情報のみである場合には、分かりやすい情報提供という観点からは十分であるとはいえないため、翻訳や要約など日本語で情報提供を行う等の配慮をすることが必要である。
ｂ．個人データの第三者提供時の確認・記録義務
- (1) 本条第１項（本人の同意に基づく方法）または本条第２項（オプトアウトによる方法）により第三者に個人データを提供したときは、提供者は、個人データを提供した年月日、当該第三者（受領者）の氏名または名称その他法令に定められた事項に関する記録を作成しなければならない。
- (2) 第三者から個人データの提供を受けるに際しては、受領者は、当該第三者（提供者）の氏名または名称及び住所ならびに法人代表者の氏名、当該第三者による当該個人データの取得の経緯の確認を行い、法令に定められた事項に関する記録を作成しなければならない。ただし、本条第１項①、②のほか法令に定める場合を除く。
- (3) 作成した記録は、当該記録を作成した日から法令に定められた期間保存しなければならない。
  - 　[解説]
    - 複数回にわたって同一「本人」の個人データの授受をする場合には、既に確認を行い作成して保存している記録と同一の内容である事項を重複して確認する必要はない。
    - 一定の期間内に特定の事業者との間で継続的にまたは反復して個人データを授受する場合は、個々の授受に係る記録を作成する代わりに、一括して記録を作成することができる。また、契約書その他の書面をもって記録に代えることができる場合がある（ただし、いずれの方法も本条第２項のオプトアウトによる第三者提供については対象外）。なお、記録の作成方法によって記録の保存期間（3年または1年）が異なることに留意する。
    - 提供者（または受領者）は受領者（または提供者）の記録義務の全部または一部を代替して行うことができる。ただし、提供者および受領者は、実質的に自らが記録作成義務を果たしているものと同等の体制を構築する必要がある。
    - 提供者および受領者はそれぞれ次の事項を記録する必要がある。提供者と受領者の記録事項の相違、本人の同意による場合とオプトアウトによる場合の記録事項の相違について留意する。
      ＜提供者の記録事項＞
      - ① 本人の同意による第三者提供をする場合
        
        1) 本人の同意を得ている旨（外国にある第三者に提供する場合の同意を含む）
        
        2) 第三者（受領者）の氏名または名称および住所ならびに法人代表者の氏名
        
        3) 本人の氏名その他の当該本人を特定するに足りる事項
        
        4) 個人データの項目
      - ② オプトアウトによる第三者提供をする場合
        
        1) 個人データを提供した年月日
        
        2)～4）は①に同じ
      ＜受領者の記録事項＞
      - ① 本人の同意による第三者提供を受ける場合
        
        1) 本人の同意を得ている旨（外国にある第三者に提供する場合の同意を含む）
        
        2) 第三者（提供者）の氏名または名称および住所ならびに法人代表者の氏名
        
        3) 第三者（提供者）による個人データの取得の経緯
        
        4) 本人の氏名その他の当該本人を特定するに足りる事項
        
        5) 個人データの項目
      - ② オプトアウトによる第三者提供を受ける場合
        
        1) 個人データの提供を受けた年月日
        
        2)～5）は①に同じ
        
        6) 個人情報保護委員会により公表されている旨
      - ※ 第三者提供における確認・記録義務については、個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」を参照のこと。

（個人関連情報の第三者への提供）
第１１条　個人関連情報（検索することができるように体系的に構成されたものに限る。以下本条において同じ）を第三者に提供する場合には、提供先の第三者が個人データとして取得する（保有する個人データに付加する等）ことが想定されるときは、あらかじめ当該第三者が個人データとして取得することを認める旨の利用者本人の同意が得られていることを必ず確認しなければならない。ただし、次の場合のほか法令に定める場合を除く。
- ① 法律上の義務を履行するために必要な場合
- ② 利用者の生命、身体、健康、財産等の重要な利益を保護するために必要な場合であって利用者本人の同意を得ることが困難な場合
　２　前項の場合に提供先において個人データとして取得することが想定されるときを除き、次に掲げる事項すべてを、あらかじめ利用者に通知し、または利用者が容易に知り得る状態に置くとともに、利用者の求めに応じて個人関連情報の第三者への提供を停止することとしている場合（オプトアウト）、利用者の同意を得なくても、個人関連情報を第三者に提供することができる。
- ① 提供者（提供元）である事業者の氏名または名称
- ② 第三者への提供を利用目的とすること
- ③ 第三者に提供される個人関連情報の項目
- ④ 第三者に提供される個人関連情報の取得元（取得源）および取得の方法
- ⑤ 第三者への提供の方法
- ⑥ 利用者の求めに応じて当該利用者に係る個人関連情報の第三者への提供を停止すること
- ⑦ 利用者の求めを受け付ける方法
　　　なお、提供先が個人データとして取得することが想定されない場合においても、提供する個人関連情報の取扱いの態様や性質等によっては、あらかじめ利用者の同意の意思を確認するなど配慮することが望ましい。
　３　提供先において個人データとして取得することが想定されない場合に限り、取扱いの委託、事業の承継および共同利用の場合についてはここでいう第三者への提供には該当しない。

　[解説]
- 「提供」、「本人が容易に知り得る状態」、「第三者への提供の停止」については第１０条の解説を参照。解説中「個人データ」とあるのは「個人関連情報」と読み替える。
- 「個人データとして取得する」とは、提供先の第三者において、個人データに個人関連情報を付加する等、個人データとして利用しようとする場合をいう。提供先の第三者が、提供を受けた個人関連情報を、ID等を介して提供先が保有する他の個人データに付加する場合には、「個人データとして取得する」場合に該当する。提供先の第三者が、提供を受けた個人関連情報を直接個人データに紐付けて利用しない場合は、別途、提供先の第三者が保有する個人データとの容易照合性が排除しきれないとしても、ここでいう「個人データとして取得する」場合には直ちに該当しない。
- 個人関連情報を、自己以外の者が自らのウェブサイト等を通じて直接に利用者から取得する場合（自らが運営するウェブサイトに提携する他の事業者のタグを設置し、当該タグを通じてウェブサイトを閲覧した利用者の閲覧履歴等を送信することにより、他の事業者に直接取得させる場合など）、その個人関連情報を自らが取り扱うことがないのであれば「提供」したことにはならず、個人関連情報の第三者への提供には該当しない。ただし、当該個人関連情報が行動ターゲティング広告に利用する目的で広告提供事業者（情報取得者または配信事業者）に取得されるものである場合、ウェブサイト等を運営する事業者（媒体運営者）は、行動ターゲティング広告ガイドラインに定める行動履歴情報の取扱いに関する原則に従い、自らのウェブサイトのプライバシーポリシーなど分かりやすいページにおいて、次の事項を行わなければならない。
  - ① 当該ウェブサイト等の利用者の行動履歴情報を広告提供事業者に取得させる旨および情報を取得する広告提供事業者を表示する。
  - ② 広告提供事業者の告知事項を記載したページへのリンクを設置することにより、当該ウェブサイト等の利用者に対し、広告提供事業者が行動履歴情報を取得または利用することの可否を容易に選択できる手段（オプトアウト）を提供する。
- 個人データとして取得することが「想定される」とは、個人関連情報の提供元の事業者が、提供先の第三者において個人データとして取得することを現に認識している場合、または提供先の第三者が個人関連情報を個人データとして利用することを事業者の一般的な認識をもって通常想定できる場合をいう。
- 個人関連情報を個人データとして取得することについて「本人の同意」を取得する主体は、利用者本人と接点を持ち、情報を利用する主体となる提供先の第三者である。原則として提供先の第三者が、本人に対して、対象となる個人関連情報を特定できるように示したうえで同意を取得するものとする。その際に提供元を明示することが望ましい。提供元の事業者は、提供先の第三者から申告を受ける方法等により本人の同意が得られていることを確認する必要がある。なお、提供先の第三者から提供元の事業者に対する申告に際し、提供先の第三者が同意取得済みのID等を提供する行為は、個人データの第三者提供に該当する場合があるが、本人の同意を得られていることを確認する行為において必要となる情報のみを提供する場合は、法令に基づく場合に該当し、本人の同意を取得することなく行うことができる。
- 個人関連情報の提供元の事業者が同意取得を代行する場合、利用者本人が確実に認識できると考えられる適切な方法で行う必要がある。提供元の事業者において、本人が情報を利用する主体を認識できるよう提供先の第三者を個別に明示し、対象となる個人関連情報を特定できるように示さなければならない。
  - ※ 同意取得のフローについては、個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」末尾の「【付録】個人関連情報の第三者提供につき、提供先で同意取得する場合の一般的なフロー／提供元で同意取得する場合の一般的なフロー」を参照のこと。
  ＜参考＞
  「本人の同意」について（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」）
- 提供先の第三者が個人関連情報を個人データとして取得した後の利用目的については、提供先の第三者において公表しまたは本人に通知もしくは明示するものとする。「公表」、「本人に通知」、「明示」については第７条の解説を参照。
- 提供先の第三者が個人関連情報を個人データとして取得することが想定される場合においては、個人データの第三者提供における取扱いの委託、事業の承継および共同利用に相当する例外規定はないことに留意する。
- 個人データの取扱いの委託に伴って委託元が提供した個人データに委託先が独自に取得した個人関連情報を付加して委託元に返す場合には、委託元に対する個人関連情報の第三者提供と整理した上で、本条第１項に従い取り扱う。

ａ．外国にある第三者への個人関連情報の提供
- (1) 外国にある第三者（提供元の事業者と別の法人格を有する外国法人が外国において当該個人関連情報を事業のために取扱う場合に該当する）に本条第１項により個人関連情報を提供するに当たっては、第１０条ａの(1)の①、②のいずれかに該当する場合を除き、当該第三者が個人関連情報を個人データとして取得することを認める旨の利用者本人の同意を得ようとする場合において、あらかじめ提供すべき情報が本人に提供されていることを確認しなければならない。
- (2) 前項により提供元の事業者が提供先の外国にある第三者による利用者本人の同意取得に当たって必要な情報の提供が行われていることを確認する場合には、提供先の第三者から書面の提示を受ける方法等により第１０条ａ(2)①から③までの情報が利用者本人に提供されていることを確認する必要がある。
  - 　[解説]
    - 提供先の外国にある第三者が個人関連情報を個人データとして取得することが想定される場合において、第１０条ａの(1)の①、②のいずれかに該当する場合には、本人同意取得時の情報提供について確認しなくても、本条第１項（本人の同意に基づく方法）により個人関連情報を提供することができる。第１０条ａの(1)の①、②に該当する場合については第１０条ａの解説を参照（解説中「個人データ」とあるのは「個人関連情報」と読み替える。なお、個人関連情報の提供においては、利用者本人の求めに応じて②の当該必要な措置に関する情報を提供することは不要である）。
      - ※ 外国にある第三者への個人関連情報の提供については、個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）および（外国にある第三者への提供編）」を参照のこと。
    - 利用者本人への情報提供が行われていることを確認する方法は、当該第三者が本人に対して情報の提供を行う際に使用している書面等の提示を受ける方法や、情報の提供を行っていることを誓約する書面を受け入れる方法のほか、ウェブ上の必要な情報が掲載されたページ（プライバシーポリシー等）のリンクの提示を受けて、リンク先の記載内容を確認する方法も適切な方法といえる。
ｂ．個人関連情報の第三者提供時の確認・記録義務
- (1) 本条第１項（本人の同意に基づく方法）により第三者に個人関連情報を提供する場合において確認を行ったときは、提供元の事業者は、個人関連情報を提供した年月日、当該第三者（提供先）の氏名または名称その他法令に定められた事項に関する記録を作成しなければならない。
- (2) 第三者から個人関連情報の提供を受けて個人データとして取得するに際しては、提供先の事業者は、当該第三者（提供元）の氏名または名称及び住所ならびに法人代表者の氏名の確認を行い、法令に定められた事項に関する記録を作成しなければならない。ただし、本条第１項①、②のほか法令に定める場合を除く。
- (3) 作成した記録は、当該記録を作成した日から法令に定められた期間保存しなければならない。
  - 　[解説]
    - 複数回にわたって同一「本人」の個人関連情報を提供する場合または提供を受けて個人データとして取得する場合には、既に確認を行い作成して保存している記録と同一の内容である事項を重複して確認する必要はない。
    - 一定の期間内に特定の事業者との間で継続的にまたは反復して個人関連情報を提供する場合または提供を受けて個人データとして取得する場合は、個々の提供に係る記録を作成する代わりに、一括して記録を作成することができる。また、契約書その他の書面をもって記録に代えることができる場合がある。なお、記録の作成方法によって記録の保存期間（3年または1年）が異なることに留意する。
    - 提供先の第三者は提供元の事業者の記録義務の全部または一部を代替して行うことができる。ただし、提供元の事業者は、実質的に自らが記録作成義務を果たしているものと同等の体制を構築する必要がある。
    - 提供元の事業者および提供先の第三者はそれぞれ次の事項を記録する必要がある。
      - ① 提供元における記録事項
        
        1) 本条第１項による個人データとして取得することを認める旨の本人の同意が得られていることを確認した旨および外国にある第三者への提供にあっては本条ａの(1)による情報の提供が行われていることを確認した旨
        
        2) 個人関連情報を提供した年月日（記録を一括して作成する場合は提供期間の初日および末日）
        
        3) 提供先の第三者の氏名または名称および住所ならびに法人代表者の氏名
        
        4) 個人関連情報の項目
      - ② 提供先の第三者における記録事項
        
        1) 本条第１項による個人データとして取得することを認める旨の本人の同意が得られている旨および外国にある第三者への提供にあっては本条ａの(1)による情報の提供が行われている旨
        
        2) 提供元の事業者の氏名または名称および住所ならびに法人代表者の氏名
        
        3) 本人の氏名その他の当該本人を特定するに足りる事項
        
        4) 個人関連情報の項目
      - ※ 個人関連情報の第三者提供における確認・記録義務については、個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」を参照のこと。

（開示等の請求等）
第１２条　利用者本人からの保有個人データの利用目的の通知の求め、開示の請求、内容の訂正・追加または削除の請求（以下、内容の訂正・追加または削除を「訂正等」という）、利用停止・消去の請求（以下、利用停止・消去を「利用停止等」という）、第三者提供の停止の請求を受け付けるにあたっては、必ず事前に本人確認を行わなければならない。
　また、上記に応じる手続きおよび保有個人データの取扱いに関する苦情の申し出先についてはあらかじめ利用者本人が知りうる状態（本人の求めに応じて遅滞なく回答する場合を含む）に置かなければならない。
　２　利用者本人からの個人データの第三者提供記録の開示の請求を受け付けるにあたっては、前項に準じるものとする。

　[解説]
- 対象情報の取扱いに関する苦情・相談等の問い合わせに対し、適切かつ迅速に対応するものとし、問い合わせ窓口や連絡先、連絡方法（手続き）については最終的に利用者本人が連絡可能となるようにする（例えば、問い合わせを受け付けることができる電話番号やメールアドレス等を記載、または同等の役割を果たすヘルプページや問い合わせフォーム等へのリンクを設置するなど）。
- 「本人が知りうる状態（本人の求めに応じて遅滞なく回答する場合を含む）」とは、ウェブ画面への掲載、本人の求めに応じて遅滞なく回答を行うこと等、本人が知ろうとすれば知ることができる状態に置くことをいい、常にその時点で正確な内容を本人の知りうる状態に置かなければならない。
- 本人確認を含む、保有個人データの開示等の手順や利用者本人への通知方法に関しては、会員各社が保有個人データの内容とその取扱状況に鑑み必要がある場合には、個別に定めるものとする。いずれの場合でも、各社は、情報の性質や状況に応じて適切な認証方法で必ず本人確認を行い「なりすまし」を防ぐべく努めるものとする。ただし、本人に過重な負担を課するものとならないよう配慮する。また、保有個人データについての問い合わせ窓口を設置および明示しなければならない。
  - ※ 開示等の請求等に応じる手続については、個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」を参照のこと。

ａ．保有個人データの開示の請求
- (1) 保有個人データに関しては、問い合わせ窓口を設置および明示することで、利用者本人からの開示要求にすみやかに応えなければならない（保有個人データが存在しないときにはその旨を知らせることも含む）。
- (2) 保有個人データの開示の方法については、電磁的記録による方法、書面の交付による方法、その他会員各社の定める方法のうち利用者本人が請求した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）によらなければならない｡
- (3) 以下の項目に該当する場合には、原則、開示要求に応えてはならない。
  - ① 利用者本人または第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
  - ② 開示することが法令に違反することになる場合
- (4) 個人情報を取得している会員各社の業務の適正な実施に著しい支障を及ぼすおそれがある場合（例えば、同一の本人から複雑な対応を要する同一内容について繰り返し開示の請求があり、事実上問い合わせ窓口が占有されることによって他の問い合わせ対応業務が立ち行かなくなる等、業務上著しい支障を及ぼす恐れがある場合など）については必ずしも開示する必要はない。
- (5) 個人データの第三者提供記録の開示にあたっては、本項に準じるものとする。
  - 　[解説]
    - 利用者本人に対し、請求の対象となる保有個人データを特定するに足りる事項の提示を求めることができる。全般に、個人名だけを伝えて「自分に関する情報にはどんなものがあるのか？」と聞かれても対応はできない。「どのような情報が、どんな形でありそうなので調べて欲しい」というように、種別を特定できるようなことを伝えてもらわないといけない。本人確認と合わせて、窓口にはそれなりの対応マニュアルや人の教育訓練が必要になる。
    - アクセスログなどで、開示をするために膨大な作業等を要し、会員各社の適正な業務の実施に著しい支障を及ぼすものについては必ずしも開示の必要はない。
    - 開示の請求を行った者から開示の方法について特に指定がなく、会員各社が提示した方法に対して異議を述べなかった場合は当該方法で開示することができる。
ｂ．保有個人データの訂正等、利用停止等および第三者提供の停止
- (1) 利用者本人から保有個人データが事実ではないという理由で訂正等の請求を受けた場合には、利用目的の達成に必要な範囲で遅滞なく必要な調査を行い、その可否（訂正等を行った場合はその内容も含む）を本人に通知する。
- (2) 利用目的による制限、適正な取得、不適正利用の禁止、第三者提供の制限に違反していることが判明したときは、違反を是正するため必要な限度で原則として利用停止等を行わなければならない。ただし、それが困難な場合であって本人の権利利益を保護するために必要なこれに代わるべき措置をとるときはこの限りではない。
- (3) 利用者本人から保有個人データを会員社が利用する必要がなくなったという理由、漏えい等の事態が生じたという理由その他本人の権利または正当な利益が害されるおそれがあるという理由による利用停止または第三者提供の停止の請求を受けた場合、その請求に理由にがあることが判明したときは、本人の権利利益の侵害を防止するために必要な限度で原則として利用停止または第三者提供の停止を行わなければならない。ただし、それが困難な場合であって本人の権利利益を保護するために必要なこれに代わるべき措置をとるときはこの限りではない。
  - 　[解説]
    - 保有個人データの内容の訂正等については、事実と反するという理由に基づく場合にのみ必要になる。したがって、ユーザーIDを本人の希望で変更したいというような希望事項については、顧客満足度の向上を図るといったような政策的な観点から対応の是非を検討すれば足りる。また、内容の訂正等は利用目的の範囲内で行えば足り、例えば、懸賞広告の応募の際に、参考データとして関心のある分野などの情報を取得していた場合に、当該項目の訂正を求められた場合で統計上誤差の範囲として修正の必要がないケースなどについては訂正に応ずる必要はない。ただし、その場合には訂正等を行わない旨を本人に遅滞なく通知しなければならない。
    - 適正に取得された個人情報であれば、利用停止すればよく必ずしも削除する必要はない。しかし、個人情報はあくまでも利用目的の範囲内で利用されることを前提としており、利用をしない個人情報をいつまでも保管しておくことは「必要のない個人情報は取得しない」という考え方に抵触すると共に漏えい等のリスクも増大することになる（第６条の解説参照）。

（安全性の確保）
第１３条　個人データおよび個人関連情報（検索することができるように体系的に構成されたものに限る。以下本条において同じ）の漏えい、滅失、毀損の防止など、安全管理のための措置をとらなければならない。
　また、個人データおよび個人関連情報は厳重に管理するものとし、漏えい、滅失、毀損を防止するために、必要とされる厳重なセキュリティ対策を行わなければならない。第三者に取扱いを委託した場合も同様とし、その場合はさらに委託先に対する必要かつ適切な監督を行わなければならず、当該監督等に瑕疵のあった場合には当該事業者が責任を負うものとする。
　２　個人データの漏えい、滅失、毀損またはそのおそれのある事案が発覚した場合は、その事案の内容等に応じて、事業者内部における報告および被害の拡大防止、事実関係の調査および原因の究明、影響範囲の特定、再発防止策の検討および実施に必要な措置を講ずる。また、個人情報保護委員会への報告対象となる事態が生じたときは速やかに報告するとともに、本人への通知（本人への通知が困難である場合は事案の公表等の代替措置）を行わなければならない。

　[解説]
- 会員各社は、その取り扱う個人データおよび個人関連情報の漏えい、滅失または毀損の防止その他の個人データおよび個人関連情報の安全管理のため、組織的、人的、物理的および技術的な安全管理措置を講じなければならない。その際、個人データおよび個人関連情報が漏えい、滅失または毀損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模および性質、個人データおよび個人関連情報の取扱状況等に起因するリスクに応じ、必要かつ適切な措置を講じるものとする。なお、その際には、個人データおよび個人関連情報を記録した媒体の性質に応じた安全管理措置を講じることが望ましい。
  - ※ 安全管理措置の具体的な内容については、個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」の「10（別添）講ずべき安全管理措置の内容」を参照のこと。
- 会員各社は安全管理措置を遵守させるよう、従業者に対して必要かつ適切な監督をしなければならない。
- 取扱いの委託をする場合に講じるべき必要かつ適切な措置として①適切な委託先の選定、②委託契約の締結、③委託先における個人データおよび個人関連情報の取扱状況の把握を行う。また、委託先の「必要かつ適切な監督」には、委託契約において、当該個人データおよび個人関連情報の取扱いに関して必要かつ適切な安全管理措置として、委託者、受託者双方が同意した内容を契約に盛り込むとともに、当該契約の内容が遵守されていることをあらかじめ定めた間隔で定期的に確認することも含まれる。
- 個人データの漏えい等の事案が発覚した場合は、当該事案の内容等に応じて、二次被害の防止、類似事案の発生防止の観点から、事実関係および再発防止策について、速やかに公表することが望ましい。また、個人情報保護委員会への報告（所定の事項を個人情報保護委員会のウェブサイトの報告フォームに入力する方法により行う）は、報告対象となる事態を知った後、速やかに（当該事態を知った時点から概ね3～5日以内を目安）、報告しようとする時点において把握している内容を報告する（速報）。また、当該事態を知った日から30日以内（不正の目的をもって行われたおそれのある漏えい等の場合は60日以内）に、全ての事項を報告する（確報）。

第３章　その他
（プライバシー保護のための仕組みの導入）
第１４条　各サービスの提供において、取得する情報の種類、情報取得の方法、情報取得後の管理の方法（識別子を基準として複数の情報の関連付けを行うか等）、取得した情報の利用方法（第三者への開示、提供するか否か等）を総合的に勘案して、プライバシーに対する影響の度合いを評価するプロセスや、プライバシー強化技術といったプライバシー保護のための仕組みを事前に計画して導入するべきである。利用者によるサービス利用に先立って必要な対応を行うことにより、利用者に対する説明責任を果たし、利用者からの情報の取得を適正なものとすることが望ましい。
- 　[解説]
  - 例えば、特に重要な情報項目について、利用者に対して取得する旨や利用目的を提示し、同意を取得またはオプトアウトの機会を保証する、利用者からの求めに応じてデータを消去するなどの対応を行うことが望ましい。
  - 基本原則として広く提唱されるプライバシー保護の考え方「プライバシー・バイ・デザイン（PbD：Privacy by Design）、その具体的な実施手法である「プライバシー影響評価（PIA：Privacy Impact Assessment）、また、実現する技術「プライバシー強化技術（PETs：Privacy Enhancing Technologies）」を検討されたい。
（スマートフォン等の端末識別IDについて）
第１５条　スマートフォン等の端末識別IDについては、単体では特定個人の識別性を有しないが他の情報と容易に照合することにより、特定個人の識別性を獲得する場合があり、その場合は個人情報として扱うべきである。
　また、スマートフォン等のOS提供会社が広告目的での端末識別子（広告識別子）を用意している場合、それを利用することが望ましい。それ以外の手法を利用する場合は、プライバシー保護のための仕組みを導入し、安全に利用者を識別しうる手法であるか、事前に評価を行ったうえで利用を検討すべきである。
- 　[解説]
  - 参考として、安全に利用者を識別する手法の条件（①ないし③は必須要件、④は考慮されるべき要素）を以下に挙げる。
    - ① 利用者にとって透明性・予見性が確保されている。
    - ② 利用者が自身で（容易に）オプトアウトできる。
    - ③ 利用者が自身で（容易に）リセット（再発番）できる。
    - ④ 他事業者のデータと紐付かない。
（利用者への配慮）
第１６条　今後一層のスマートフォン等の普及、進展が見込まれる現状においては、あらゆる世代の利用者への配慮が求められるところであり、その利用実態や特有の事情を踏まえ、とりわけ青少年や高齢者にも分かりやすい形で適切な説明を行うことに留意する。
- 　[解説]
  - 青少年は、PCやスマートフォン等の機能等は理解し、使いこなす傾向にあるものの、同意のない個人情報の外部送信や不正利用、それらから生ずる二次被害といったリスクや、同意することの意味についての理解が不足していると考えられる。また、高齢者は、上記のリスク等について一般的な認識はあると考えられるが、PCやスマートフォンの機能等の理解不足等によって同意のない個人情報の外部送信や不正利用に巻き込まれる可能性があると考えられる。利用者、特に青少年への保護の視点から、また、高齢者への利用支援の視点から、分かりやすい表現で情報提供等を行うべきである。
（位置情報に関して）
第１７条　位置情報については、取得する情報の種類、取得の方法、取得した情報の利用方法によっては、利用者のプライバシーに影響を与える度合いが高まるものであること、また、連続的に蓄積される場合や他の情報との組み合わせ方によっては、特定の個人を識別することができる場合があることに留意して取り扱うべきである。
- 　[解説]
  - プライバシーポリシーへの記載については、利用する位置情報の由来（IPアドレス、GPS等）、収集期間（蓄積の有無等）、利用精度（都道府県、市区町村等）などを具体的に記載することにより、利用者に対して、プライバシーへの影響度合いを明確に示すことが望ましい。
  - 利用者への対応については、利用する位置情報の由来や取得方法に基づき、利用者のプライバシーに与える影響の度合いに応じて適切にこれを行うことが求められる。利用者のプライバシーに与える影響の度合いに応じた対応としては、IPアドレスにより市区町村レベルの位置情報を取得し利用する場合には通知公表とし、GPSにより詳細な緯度経度情報を取得し利用する場合には事前同意を得るなど、利用する位置情報の由来や取得方法によって異なる対応とすることが考えられる。
  - 利用する位置情報の由来や利用方法により利用者のプライバシーに与える影響を事前に評価して、サービス利用に先だって必要な対応を行うことが望ましい。
（ガイドラインの見直し等）
第１８条　本ガイドラインは、法令等の改正、社会情勢の変化、利用者の意識の変化、技術の進展等諸環境の変化や、会員社の実態や要望を踏まえ、必要に応じ見直しを行うものとする。
　また、本ガイドラインに基づき、会員各社が個人に関する情報の適正な取扱いの確保に関して行う取り組みを支援するために、必要な検討および対応を行うものとする。

一般社団法人日本インタラクティブ広告協会
Japan Interactive Advertising Association

JIAA