第六十四条（適正な取得）

匿名加工情報取扱事業者は、匿名加工情報（自ら個人情報を加工して作成したものを除く。以下この節において同じ。）を第三者に提供するときは、個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。

匿名加工情報取扱事業者は、匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該個人情報から削除された記述等若しくは個人識別符号若しくは第四十三条第一項若しくは第百十六条第一項（同条第二項において準用する場合を含む。）の規定により行われた加工の方法に関する情報を取得し、又は当該匿名加工情報を他の情報と照合してはならない。

匿名加工情報取扱事業者は、匿名加工情報の安全管理のために必要かつ適切な措置、匿名加工情報の取扱いに関する苦情の処理その他の匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。

個人情報取扱事業者、仮名加工情報取扱事業者又は匿名加工情報取扱事業者（以下この章において「個人情報取扱事業者等」という。）の個人情報、仮名加工情報又は匿名加工情報（以下この章において「個人情報等」という。）の適正な取扱いの確保を目的として次に掲げる業務を行おうとする法人（法人でない団体で代表者又は管理人の定めのあるものを含む。次条第三号ロにおいて同じ。）は、個人情報保護委員会の認定を受けることができる。

２前項の認定は、対象とする個人情報取扱事業者等の事業の種類その他の業務の範囲を限定して行うことができる。

３第一項の認定を受けようとする者は、政令で定めるところにより、個人情報保護委員会に申請しなければならない。

４個人情報保護委員会は、第一項の認定をしたときは、その旨（第二項の規定により業務の範囲を限定する認定にあっては、その認定に係る業務の範囲を含む。）を公示しなければならない。

次の各号のいずれかに該当する者は、前条第一項の認定を受けることができない。

個人情報保護委員会は、第四十七条第一項の認定の申請が次の各号のいずれにも適合していると認めるときでなければ、その認定をしてはならない。

第四十七条第一項の認定（同条第二項の規定により業務の範囲を限定する認定を含む。次条第一項及び第百五十五条第一項第五号において同じ。）を受けた者は、その認定に係る業務の範囲を変更しようとするときは、個人情報保護委員会の認定を受けなければならない。ただし、個人情報保護委員会規則で定める軽微な変更については、この限りでない。

２第四十七条第三項及び第四項並びに前条の規定は、前項の変更の認定について準用する。

第四十七条第一項の認定（前条第一項の変更の認定を含む。）を受けた者（以下この節及び第六章において「認定個人情報保護団体」という。）は、その認定に係る業務（以下この節及び第六章において「認定業務」という。）を廃止しようとするときは、政令で定めるところにより、あらかじめ、その旨を個人情報保護委員会に届け出なければならない。

２個人情報保護委員会は、前項の規定による届出があったときは、その旨を公示しなければならない。

認定個人情報保護団体は、認定業務の対象となることについて同意を得た個人情報取扱事業者等を対象事業者としなければならない。この場合において、第五十四条第四項の規定による措置をとったにもかかわらず、対象事業者が同条第一項に規定する個人情報保護指針を遵守しないときは、当該対象事業者を認定業務の対象から除外することができる。

２認定個人情報保護団体は、対象事業者の氏名又は名称を公表しなければならない。

認定個人情報保護団体は、本人その他の関係者から対象事業者の個人情報等の取扱いに関する苦情について解決の申出があったときは、その相談に応じ、申出人に必要な助言をし、その苦情に係る事情を調査するとともに、当該対象事業者に対し、その苦情の内容を通知してその迅速な解決を求めなければならない。

２認定個人情報保護団体は、前項の申出に係る苦情の解決について必要があると認めるときは、当該対象事業者に対し、文書若しくは口頭による説明を求め、又は資料の提出を求めることができる。

３対象事業者は、認定個人情報保護団体から前項の規定による求めがあったときは、正当な理由がないのに、これを拒んではならない。

認定個人情報保護団体は、対象事業者の個人情報等の適正な取扱いの確保のために、個人情報に係る利用目的の特定、安全管理のための措置、開示等の請求等に応じる手続その他の事項又は仮名加工情報若しくは匿名加工情報に係る作成の方法、その情報の安全管理のための措置その他の事項に関し、消費者の意見を代表する者その他の関係者の意見を聴いて、この法律の規定の趣旨に沿った指針（以下この節及び第六章において「個人情報保護指針」という。）を作成するよう努めなければならない。

２認定個人情報保護団体は、前項の規定により個人情報保護指針を作成したときは、個人情報保護委員会規則で定めるところにより、遅滞なく、当該個人情報保護指針を個人情報保護委員会に届け出なければならない。これを変更したときも、同様とする。

３個人情報保護委員会は、前項の規定による個人情報保護指針の届出があったときは、個人情報保護委員会規則で定めるところにより、当該個人情報保護指針を公表しなければならない。

４認定個人情報保護団体は、前項の規定により個人情報保護指針が公表されたときは、対象事業者に対し、当該個人情報保護指針を遵守させるため必要な指導、勧告その他の措置をとらなければならない。

認定個人情報保護団体は、認定業務の実施に際して知り得た情報を認定業務の用に供する目的以外に利用してはならない。

認定個人情報保護団体でない者は、認定個人情報保護団体という名称又はこれに紛らわしい名称を用いてはならない。

個人情報取扱事業者等及び個人関連情報取扱事業者のうち次の各号に掲げる者については、その個人情報等及び個人関連情報を取り扱う目的の全部又は一部がそれぞれ当該各号に規定する目的であるときは、この章の規定は、適用しない。

２前項第一号に規定する「報道」とは、不特定かつ多数の者に対して客観的事実を事実として知らせること（これに基づいて意見又は見解を述べることを含む。）をいう。

３第一項各号に掲げる個人情報取扱事業者等は、個人データ、仮名加工情報又は匿名加工情報の安全管理のために必要かつ適切な措置、個人情報等の取扱いに関する苦情の処理その他の個人情報等の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。

個人情報取扱事業者又は匿名加工情報取扱事業者のうち次に掲げる者については、第三十二条から第三十九条まで及び第四節の規定は、適用しない。

２次の各号に掲げる者が行う当該各号に定める業務における個人情報、仮名加工情報又は個人関連情報の取扱いについては、個人情報取扱事業者、仮名加工情報取扱事業者又は個人関連情報取扱事業者による個人情報、仮名加工情報又は個人関連情報の取扱いとみなして、この章（第三十二条から第三十九条まで及び第四節を除く。）及び第六章から第八章までの規定を適用する。

個人情報取扱事業者である学術研究機関等は、学術研究目的で行う個人情報の取扱いについて、この法律の規定を遵守するとともに、その適正を確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。

この章及び第八章において「保有個人情報」とは、行政機関等の職員（独立行政法人等及び地方独立行政法人にあっては、その役員を含む。以下この章及び第八章において同じ。）が職務上作成し、又は取得した個人情報であって、当該行政機関等の職員が組織的に利用するものとして、当該行政機関等が保有しているものをいう。ただし、行政文書（行政機関の保有する情報の公開に関する法律（平成十一年法律第四十二号。以下この章において「行政機関情報公開法」という。）第二条第二項に規定する行政文書をいう。）、法人文書（独立行政法人等の保有する情報の公開に関する法律（平成十三年法律第百四十号。以下この章において「独立行政法人等情報公開法」という。）第二条第二項に規定する法人文書（同項第四号に掲げるものを含む。）をいう。）又は地方公共団体等行政文書（地方公共団体の機関又は地方独立行政法人の職員が職務上作成し、又は取得した文書、図画及び電磁的記録であって、当該地方公共団体の機関又は地方独立行政法人の職員が組織的に用いるものとして、当該地方公共団体の機関又は地方独立行政法人が保有しているもの（行政機関情報公開法第二条第二項各号に掲げるものに相当するものとして政令で定めるものを除く。）をいう。）（以下この章において「行政文書等」という。）に記録されているものに限る。

２この章及び第八章において「個人情報ファイル」とは、保有個人情報を含む情報の集合物であって、次に掲げるものをいう。

３この章において「行政機関等匿名加工情報」とは、次の各号のいずれにも該当する個人情報ファイルを構成する保有個人情報の全部又は一部（これらの一部に行政機関情報公開法第五条に規定する不開示情報（同条第一号に掲げる情報を除き、同条第二号ただし書に規定する情報を含む。以下この項において同じ。）、独立行政法人等情報公開法第五条に規定する不開示情報（同条第一号に掲げる情報を除き、同条第二号ただし書に規定する情報を含む。）又は地方公共団体の情報公開条例（地方公共団体の機関又は地方独立行政法人の保有する情報の公開を請求する住民等の権利について定める地方公共団体の条例をいう。以下この章において同じ。）に規定する不開示情報（行政機関情報公開法第五条に規定する不開示情報に相当するものをいう。）が含まれているときは、これらの不開示情報に該当する部分を除く。）を加工して得られる匿名加工情報をいう。

４この章において「行政機関等匿名加工情報ファイル」とは、行政機関等匿名加工情報を含む情報の集合物であって、次に掲げるものをいう。

５この章において「条例要配慮個人情報」とは、地方公共団体の機関又は地方独立行政法人が保有する個人情報（要配慮個人情報を除く。）のうち、地域の特性その他の事情に応じて、本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして地方公共団体が条例で定める記述等が含まれる個人情報をいう。

行政機関等は、個人情報を保有するに当たっては、法令（条例を含む。第六十六条第二項第三号及び第四号、第六十九条第二項第二号及び第三号並びに第四節において同じ。）の定める所掌事務又は業務を遂行するため必要な場合に限り、かつ、その利用目的をできる限り特定しなければならない。

２行政機関等は、前項の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を保有してはならない。

３行政機関等は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。

行政機関等は、本人から直接書面（電磁的記録を含む。）に記録された当該本人の個人情報を取得するときは、次に掲げる場合を除き、あらかじめ、本人に対し、その利用目的を明示しなければならない。

行政機関の長（第二条第八項第四号及び第五号の政令で定める機関にあっては、その機関ごとに政令で定める者をいう。以下この章及び第百七十四条において同じ。）、地方公共団体の機関、独立行政法人等及び地方独立行政法人（以下この章及び次章において「行政機関の長等」という。）は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。

行政機関の長等は、偽りその他不正の手段により個人情報を取得してはならない。

行政機関の長等は、利用目的の達成に必要な範囲内で、保有個人情報が過去又は現在の事実と合致するよう努めなければならない。

行政機関の長等は、保有個人情報の漏えい、滅失又は毀損の防止その他の保有個人情報の安全管理のために必要かつ適切な措置を講じなければならない。

２前項の規定は、次の各号に掲げる者が当該各号に定める業務を行う場合における個人情報の取扱いについて準用する。

個人情報の取扱いに従事する行政機関等の職員若しくは職員であった者、前条第二項各号に定める業務に従事している者若しくは従事していた者又は行政機関等において個人情報の取扱いに従事している派遣労働者（労働者派遣事業の適正な運営の確保及び派遣労働者の保護等に関する法律（昭和六十年法律第八十八号）第二条第二号に規定する派遣労働者をいう。以下この章及び第百七十六条において同じ。）若しくは従事していた派遣労働者は、その業務に関して知り得た個人情報の内容をみだりに他人に知らせ、又は不当な目的に利用してはならない。

行政機関の長等は、保有個人情報の漏えい、滅失、毀損その他の保有個人情報の安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。

２前項に規定する場合には、行政機関の長等は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知しなければならない。ただし、次の各号のいずれかに該当するときは、この限りでない。

行政機関の長等は、法令に基づく場合を除き、利用目的以外の目的のために保有個人情報を自ら利用し、又は提供してはならない。

２前項の規定にかかわらず、行政機関の長等は、次の各号のいずれかに該当すると認めるときは、利用目的以外の目的のために保有個人情報を自ら利用し、又は提供することができる。ただし、保有個人情報を利用目的以外の目的のために自ら利用し、又は提供することによって、本人又は第三者の権利利益を不当に侵害するおそれがあると認められるときは、この限りでない。

３前項の規定は、保有個人情報の利用又は提供を制限する他の法令の規定の適用を妨げるものではない。

４行政機関の長等は、個人の権利利益を保護するため特に必要があると認めるときは、保有個人情報の利用目的以外の目的のための行政機関等の内部における利用を特定の部局若しくは機関又は職員に限るものとする。

行政機関の長等は、利用目的のために又は前条第二項第三号若しくは第四号の規定に基づき、保有個人情報を提供する場合において、必要があると認めるときは、保有個人情報の提供を受ける者に対し、提供に係る個人情報について、その利用の目的若しくは方法の制限その他必要な制限を付し、又はその漏えいの防止その他の個人情報の適切な管理のために必要な措置を講ずることを求めるものとする。

行政機関の長等は、外国（本邦の域外にある国又は地域をいう。以下この条において同じ。）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものを除く。以下この条において同じ。）にある第三者（第十六条第三項に規定する個人データの取扱いについて前章第二節の規定により同条第二項に規定する個人情報取扱事業者が講ずべきこととされている措置に相当する措置（第三項において「相当措置」という。）を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この項及び次項において同じ。）に利用目的以外の目的のために保有個人情報を提供する場合には、法令に基づく場合及び第六十九条第二項第四号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。

２行政機関の長等は、前項の規定により本人の同意を得ようとする場合には、個人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。

３行政機関の長等は、保有個人情報を外国にある第三者（第一項に規定する体制を整備している者に限る。）に利用目的以外の目的のために提供した場合には、法令に基づく場合及び第六十九条第二項第四号に掲げる場合を除くほか、個人情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。

行政機関の長等は、第三者に個人関連情報を提供する場合（当該第三者が当該個人関連情報を個人情報として取得することが想定される場合に限る。）において、必要があると認めるときは、当該第三者に対し、提供に係る個人関連情報について、その利用の目的若しくは方法の制限その他必要な制限を付し、又はその漏えいの防止その他の個人関連情報の適切な管理のために必要な措置を講ずることを求めるものとする。

行政機関の長等は、法令に基づく場合を除くほか、仮名加工情報（個人情報であるものを除く。以下この条及び第百二十八条において同じ。）を第三者（当該仮名加工情報の取扱いの委託を受けた者を除く。）に提供してはならない。

２行政機関の長等は、その取り扱う仮名加工情報の漏えいの防止その他仮名加工情報の安全管理のために必要かつ適切な措置を講じなければならない。

３行政機関の長等は、仮名加工情報を取り扱うに当たっては、法令に基づく場合を除き、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、削除情報等（仮名加工情報の作成に用いられた個人情報から削除された記述等及び個人識別符号並びに第四十一条第一項の規定により行われた加工の方法に関する情報をいう。）を取得し、又は当該仮名加工情報を他の情報と照合してはならない。

４行政機関の長等は、仮名加工情報を取り扱うに当たっては、法令に基づく場合を除き、電話をかけ、郵便若しくは民間事業者による信書の送達に関する法律第二条第六項に規定する一般信書便事業者若しくは同条第九項に規定する特定信書便事業者による同条第二項に規定する信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法（電子情報処理組織を使用する方法その他の情報通信の技術を利用する方法であって個人情報保護委員会規則で定めるものをいう。）を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用してはならない。

５前各項の規定は、行政機関の長等から仮名加工情報の取扱いの委託（二以上の段階にわたる委託を含む。）を受けた者が受託した業務を行う場合について準用する。

行政機関（会計検査院を除く。以下この条において同じ。）が個人情報ファイルを保有しようとするときは、当該行政機関の長は、あらかじめ、個人情報保護委員会に対し、次に掲げる事項を通知しなければならない。通知した事項を変更しようとするときも、同様とする。

２前項の規定は、次に掲げる個人情報ファイルについては、適用しない。

３行政機関の長は、第一項に規定する事項を通知した個人情報ファイルについて、当該行政機関がその保有をやめたとき、又はその個人情報ファイルが前項第九号に該当するに至ったときは、遅滞なく、個人情報保護委員会に対しその旨を通知しなければならない。

行政機関の長等は、政令で定めるところにより、当該行政機関の長等の属する行政機関等が保有している個人情報ファイルについて、それぞれ前条第一項第一号から第七号まで、第九号及び第十号に掲げる事項その他政令で定める事項を記載した帳簿（以下この章において「個人情報ファイル簿」という。）を作成し、公表しなければならない。

２前項の規定は、次に掲げる個人情報ファイルについては、適用しない。

３第一項の規定にかかわらず、行政機関の長等は、記録項目の一部若しくは前条第一項第五号若しくは第七号に掲げる事項を個人情報ファイル簿に記載し、又は個人情報ファイルを個人情報ファイル簿に掲載することにより、利用目的に係る事務又は事業の性質上、当該事務又は事業の適正な遂行に著しい支障を及ぼすおそれがあると認めるときは、その記録項目の一部若しくは事項を記載せず、又はその個人情報ファイルを個人情報ファイル簿に掲載しないことができる。

４地方公共団体の機関又は地方独立行政法人についての第一項の規定の適用については、同項中「定める事項」とあるのは、「定める事項並びに記録情報に条例要配慮個人情報が含まれているときは、その旨」とする。

５前各項の規定は、地方公共団体の機関又は地方独立行政法人が、条例で定めるところにより、個人情報ファイル簿とは別の個人情報の保有の状況に関する事項を記載した帳簿を作成し、公表することを妨げるものではない。

何人も、この法律の定めるところにより、行政機関の長等に対し、当該行政機関の長等の属する行政機関等の保有する自己を本人とする保有個人情報の開示を請求することができる。

２未成年者若しくは成年被後見人の法定代理人又は本人の委任による代理人（以下この節において「代理人」と総称する。）は、本人に代わって前項の規定による開示の請求（以下この節及び第百二十七条において「開示請求」という。）をすることができる。

開示請求は、次に掲げる事項を記載した書面（第三項において「開示請求書」という。）を行政機関の長等に提出してしなければならない。

２前項の場合において、開示請求をする者は、政令で定めるところにより、開示請求に係る保有個人情報の本人であること（前条第二項の規定による開示請求にあっては、開示請求に係る保有個人情報の本人の代理人であること）を示す書類を提示し、又は提出しなければならない。

３行政機関の長等は、開示請求書に形式上の不備があると認めるときは、開示請求をした者（以下この節において「開示請求者」という。）に対し、相当の期間を定めて、その補正を求めることができる。この場合において、行政機関の長等は、開示請求者に対し、補正の参考となる情報を提供するよう努めなければならない。

行政機関の長等は、開示請求があったときは、開示請求に係る保有個人情報に次の各号に掲げる情報（以下この節において「不開示情報」という。）のいずれかが含まれている場合を除き、開示請求者に対し、当該保有個人情報を開示しなければならない。

２地方公共団体の機関又は地方独立行政法人についての前項の規定の適用については、同項中「掲げる情報（」とあるのは、「掲げる情報（情報公開条例の規定により開示することとされている情報として条例で定めるものを除く。）又は行政機関情報公開法第五条に規定する不開示情報に準ずる情報であって情報公開条例において開示しないこととされているもののうち当該情報公開条例との整合性を確保するために不開示とする必要があるものとして条例で定めるもの（」とする。

行政機関の長等は、開示請求に係る保有個人情報に不開示情報が含まれている場合において、不開示情報に該当する部分を容易に区分して除くことができるときは、開示請求者に対し、当該部分を除いた部分につき開示しなければならない。

２開示請求に係る保有個人情報に前条第一項第二号の情報（開示請求者以外の特定の個人を識別することができるものに限る。）が含まれている場合において、当該情報のうち、氏名、生年月日その他の開示請求者以外の特定の個人を識別することができることとなる記述等及び個人識別符号の部分を除くことにより、開示しても、開示請求者以外の個人の権利利益が害されるおそれがないと認められるときは、当該部分を除いた部分は、同号の情報に含まれないものとみなして、前項の規定を適用する。

行政機関の長等は、開示請求に係る保有個人情報に不開示情報が含まれている場合であっても、個人の権利利益を保護するため特に必要があると認めるときは、開示請求者に対し、当該保有個人情報を開示することができる。

開示請求に対し、当該開示請求に係る保有個人情報が存在しているか否かを答えるだけで、不開示情報を開示することとなるときは、行政機関の長等は、当該保有個人情報の存否を明らかにしないで、当該開示請求を拒否することができる。

行政機関の長等は、開示請求に係る保有個人情報の全部又は一部を開示するときは、その旨の決定をし、開示請求者に対し、その旨、開示する保有個人情報の利用目的及び開示の実施に関し政令で定める事項を書面により通知しなければならない。ただし、第六十二条第二号又は第三号に該当する場合における当該利用目的については、この限りでない。

２行政機関の長等は、開示請求に係る保有個人情報の全部を開示しないとき（前条の規定により開示請求を拒否するとき、及び開示請求に係る保有個人情報を保有していないときを含む。）は、開示をしない旨の決定をし、開示請求者に対し、その旨を書面により通知しなければならない。

開示決定等は、開示請求があった日から三十日以内にしなければならない。ただし、第七十七条第三項の規定により補正を求めた場合にあっては、当該補正に要した日数は、当該期間に算入しない。

２前項の規定にかかわらず、行政機関の長等は、事務処理上の困難その他正当な理由があるときは、同項に規定する期間を三十日以内に限り延長することができる。この場合において、行政機関の長等は、開示請求者に対し、遅滞なく、延長後の期間及び延長の理由を書面により通知しなければならない。

開示請求に係る保有個人情報が著しく大量であるため、開示請求があった日から六十日以内にその全てについて開示決定等をすることにより事務の遂行に著しい支障が生ずるおそれがある場合には、前条の規定にかかわらず、行政機関の長等は、開示請求に係る保有個人情報のうちの相当の部分につき当該期間内に開示決定等をし、残りの保有個人情報については相当の期間内に開示決定等をすれば足りる。この場合において、行政機関の長等は、同条第一項に規定する期間内に、開示請求者に対し、次に掲げる事項を書面により通知しなければならない。