業種別の入口｜156業種ごとにまず確認する3テーマ

令和8年改正には11のテーマがあり、該当性チェックで自社に関係する項目を絞り込めます。このページでは、ECサイト・医療・教育・生活サービス・IT・金融など156業種を入口に、先に確認する3テーマを整理します。

業種が見つからないときの3問の絞り込み

自社の業種が下に見当たらないときは、次の3問に当てはめると、先に読むテーマのページが分かります。どれも「関係しうるテーマの目安」であり、自社が該当するかどうかの判定ではありません。

1. 扱う本人は誰か。16歳未満の子どもが本人になる場合はこどもの個人情報、保護者や顧客の電話番号・メールアドレスを多く持つ場合は連絡可能個人関連情報を見ます。
2. 顔や生体の情報を扱うか。顔の特徴を数値化したデータを扱う場合は顔特徴データ等（特定生体個人情報とは）、防犯カメラや入退場の認証で使う場合は顔認証カメラの周知の対応を見ます。
3. 委託・提供があるか。外部へ業務を任せている場合は委託先の取扱い、名簿などを第三者へ出す・受ける場合はオプトアウト制度の強化を見ます。

どれにも当てはまらない場合や、複数に当てはまる場合は、末尾の整理と該当性チェックへ進んでください。個別の事案に対する判断は、顧問弁護士または個人情報保護委員会にご確認ください。

ECサイト・クリニック・学校や学習塾・士業の「まず確認するテーマ」

相談の多い4業種について、下の各節で挙げた3テーマを並べました。どの業種でも、実際に関係するかは自社の取扱いによって変わります。表の記載は「一般的に関係しうる」範囲にとどまり、該当性の判定ではありません。まだ決まっていない事項は、業種別の決定待ち一覧で確認できます。

先頭153業種の、扱うデータ・委託先・要配慮個人情報の有無

下の各節の先頭153業種について、個人データの種類、委託先になりやすい相手、要配慮個人情報（本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他不当な差別、偏見その他の不利益が生じないよう特に配慮を要するもの。法第2条第3項）を扱うかを並べました。あくまで一般的な例で、実際の取扱いは事業者ごとに異なります。委託先を使う場合の監督は現行法でも法第25条が定めており、改正で委託先の義務が変わる点は各業種の記事で確認できます。

出典: 法第2条第3項、第20条第2項、第25条、第57条第1項第1号、第66条第2項第1号、施行令第2条第2号（e-Gov法令検索、2026-10-20取得）。改正の各テーマは各記事の出典を参照。全156業種の表をそろえました。

分野から探す: 156業種を9分野に分けた一覧

下の各節を、事業の分野ごとに束ねた一覧です。自社の業種名が分からないときは、近い分野の行から探してください。分け方はこのページでの便宜的な整理で、法令上の業種区分ではありません。複数の分野にまたがる事業は、両方の行を見てください。9分野の業種数の合計は141で、このページの各業種の節と一致しています。

業種×テーマの早見表（156業種・11テーマ）

下の表は、このページの各業種の節で「まず見ておくとよい」と挙げた3テーマを、一覧にしたものです。●は、その業種の節で挙げているテーマです。●がないテーマが自社に無関係という意味ではありません。業種名を押すと、その節に移ります。理由は各節に書いています。

テーマから引く: テーマ別の、まず確認する業種の一覧

各テーマの「状態」は、まだ決まっていないこと一覧（2026-09-07確認）のバッジをそのまま写したもので、決まった内容が増えたときはそちらの更新に従います。同ページの確認時点では、決定済みのテーマはありません。上の早見表を、テーマごとの逆引きにしたものです。各テーマを「まず見る3テーマ」に挙げた業種を並べています。ここに載っていない業種が無関係という意味ではなく、該当するかどうかの判定でもありません。

1. ECサイト運営者・通販事業者

顧客の氏名・連絡先・購入履歴など個人データを大量に保有し、配送・決済代行など外部委託も多い業種です。まず見ておくとよいのは次の3テーマです。

1. 課徴金制度: 対象となる違反行為には「対象行為に係る本人の数について1,000人を基準とする」大規模事案という限定要件があります。顧客数の多いECサイトは、この人数規模に達しているかをまず確認する意味があります。
2. 漏えい等報告・本人通知義務の緩和: 保有する顧客データの件数が多いほど、漏えい等が起きた際の報告・本人通知の負担も大きくなります。緩和・簡素化される範囲を確認しておく意味があります。
3. 委託先における個人データ等の適正な取扱い: 配送・決済・カスタマーサポート等を外部委託している場合、委託先としての新しい義務・免除規定の対象になり得ます。

2. クリニック等の医療提供機関

病歴・健康情報など要配慮個人情報を扱い、研究機関との連携もありうる業種です。まず見ておくとよいのは次の3テーマです。

1. 生命等の保護・公衆衛生向上での同意取得困難性要件の緩和／学術研究機関等への医療提供機関の明示: 医療の提供を目的とする機関・団体が学術研究例外の対象に含まれることが明示される、医療提供機関に直接関係するテーマです。
2. こどもの個人情報（16歳未満）: 小児科等、16歳未満の患者の個人情報を取り扱う場合に関係します。
3. 漏えい等報告・本人通知義務の緩和: 健康情報を含むデータの漏えい等が起きた場合の報告・通知の扱いを確認しておく意味があります。

個人情報保護法とは別に、医療情報の加工・提供を定める医療情報法も改正されます。認定事業者との間で医療情報をやり取りする場合は、医療情報法の令和8年改正（16歳未満・命令・罰則）もあわせて確認してください。

3. 学習塾・保育・子ども向け習い事

16歳未満の子どもの個人情報や、保護者の連絡先情報を扱う業種です。学習塾に限らず、保育園・幼稚園、学童保育・スイミングスクール等の習い事事業者も同じ論点が当てはまります。まず見ておくとよいのは次の3テーマです。

1. こどもの個人情報（16歳未満）: 16歳未満の子どもが本人である場合の法定代理人の関与、利用停止等請求の要件緩和など、この業種に直接関係するテーマです。「本人」が「法定代理人」に読み替わる条文は16歳未満の読替表で確認できます。
2. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 保護者への連絡先（電話番号・メールアドレス等）を多く保有する業種として、不適正利用・不正取得の禁止規定を確認しておく意味があります。
3. 漏えい等報告・本人通知義務の緩和: 子どもの個人情報が含まれるデータの漏えい等における報告・通知の扱いに関係します。

4. 営業リスト・名簿を扱うマーケティング事業者

名簿を第三者に提供している、またはオプトアウト（本人が止めるよう求めれば提供を止める前提で、同意なく第三者提供できる制度）の届出をしている業種です。まず見ておくとよいのは次の3テーマです。

1. オプトアウト制度の強化: オプトアウト届出事業者（名簿屋等）を対象に、第三者提供時の提供先の身元・利用目的の確認義務が新設される、この業種に直接関係するテーマです。
2. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 電話番号・メールアドレス等を含む名簿・リストの取扱いに関係します。
3. 課徴金制度: 対象4類型には第三者提供の制限違反も含まれており、名簿の提供方法によっては関係しうるテーマです。

この業種で先に読むページ: 漏えい等報告・本人通知義務の緩和（顧客・取引先の個人データを保有する業種として、漏えい等が起きた場合の報告・通知の扱いを確認できます）。

5. 士業事務所（税理士・社労士・行政書士等）

顧客企業から個人データの取扱いを委託されることが多い業種です。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 顧客企業からの委託を受けて個人データを取り扱う立場として、委託先としての新しい義務・免除規定に直接関係するテーマです。
2. 漏えい等報告・本人通知義務の緩和: 委託を受けて取り扱うデータで漏えい等が起きた場合の報告・通知の扱いに関係します。
3. 目的外利用・要配慮個人情報取得・第三者提供の規律緩和: 契約の履行に伴う第三者提供（例: 業務の一部を他の専門家へ取り次ぐ場合）に関係しうるテーマです。

士業事務所の依頼者情報について、守秘義務を定める各士業法の条文と改正項目の対応は士業事務所の依頼者情報と令和8年改正にあります。

6. 人材紹介・人材派遣事業者

求職者・登録スタッフの氏名・経歴・連絡先など大量の個人データを保有し、適性検査やバックグラウンドチェック等を外部委託することも多い業種です。まず見ておくとよいのは次の3テーマです。

1. 課徴金制度: 対象行為には「本人の数について1,000人を基準とする」大規模事案という限定要件があります。登録者数の多い人材紹介・派遣事業者は、この人数規模に達しているかをまず確認する意味があります。
2. 委託先における個人データ等の適正な取扱い: 適性検査・バックグラウンドチェック・給与計算等を外部委託している場合、委託先としての新しい義務・免除規定の対象になり得ます。
3. 漏えい等報告・本人通知義務の緩和: 保有する登録者データの件数が多いほど、漏えい等が起きた際の報告・本人通知の負担も大きくなります。緩和・簡素化される範囲を確認しておく意味があります。

この業種の3テーマを、法律に定まったことと未定のことに分けた表は人材紹介・人材派遣事業者が先に確認する改正3項目にあります。

不動産・住まい・エネルギーの8業種

不動産仲介・賃貸管理、マンション管理組合、電力・ガス小売、駐車場、学生寮・社宅、住宅設備の施工販売、家賃保証、賃貸オーナーの8業種の節は、別のページに移しました。業種名から探すときは、次の各リンクから該当の節へ進めます。

• 7. 不動産仲介・賃貸管理事業者
• 48. マンション管理組合・自治会・町内会
• 36. 電力・ガス小売事業者
• 86. コインパーキング・駐車場運営事業者
• 88. 学生寮・社員寮・社宅管理・サービスアパートメントの運営者
• 97. 太陽光・蓄電池・リフォーム・住宅設備の施工販売会社
• 117. 家賃保証会社・賃貸保証事業者
• 124. 賃貸オーナー・個人大家・サブリース事業者

8. コールセンター受託事業者

依頼元企業から個人データの取扱いを受託し、大量の電話番号・メールアドレス等を扱う業種です。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 依頼元企業からの委託を受けて個人データを取り扱う立場として、委託先としての新しい義務・免除規定に直接関係するテーマです。
2. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 電話番号・メールアドレス等の連絡先情報を大量に取り扱う業種として、不適正利用・不正取得の禁止規定を確認しておく意味があります。
3. 漏えい等報告・本人通知義務の緩和: 受託して取り扱うデータで漏えい等が起きた場合の報告・通知の扱いに関係します。

9. 小売店舗・商業施設運営者（防犯カメラ設置）

店舗・商業施設に防犯カメラを設置している業種です。録画・確認のみの通常の防犯カメラは対象外ですが、顔識別機能付きのカメラで来店客本人を識別できるようにしている場合は、まず見ておくとよいのは次の3テーマです。

1. 顔特徴データ等: 顔認証・顔識別カメラで本人を識別できるようにしている場合に直接関係する、この業種の中心テーマです。周知の義務付け・オプトアウト提供の禁止・利用停止等請求という3つの規律が新設されます。掲示の内容は周知事項の対応表で確かめられます。
2. 漏えい等報告・本人通知義務の緩和: カメラ映像データの漏えい等が起きた場合の報告・通知の扱いに関係します。
3. 委託先における個人データ等の適正な取扱い: カメラシステムの運用・監視を警備会社等へ外部委託している場合、委託先としての新しい義務・免除規定の対象になり得ます。

入退場管理・警備・建設現場・ドローン・ビル管理の5業種

顔認証の入退館管理、警備・入退場管理システムの導入支援、建設現場の入退場管理、ドローン撮影、ビル管理・清掃の5業種の節は、別のページに移しました。業種名から探すときは、次の各リンクから該当の節へ進めます。

• 10. 顔認証で入退館・入場を管理する施設
• 21. 警備会社・入退場管理システム導入支援事業者
• 29. 建設現場の入退場管理事業者（顔認証・GPS）
• 66. ドローン空撮・測量・点検事業者
• 90. ビルメンテナンス・清掃・設備管理会社

11. ホテル・宿泊施設（顔認証チェックイン）

フロントでの本人確認・チェックイン手続きに顔認証を使う業種です。10番のフィットネスクラブ・マンション管理等と同じく、本人を識別する目的で顔特徴データを扱う点が中心論点になります。まず見ておくとよいのは次の3テーマです。

1. 顔特徴データ等: 顔認証チェックインで本人を識別している場合に直接関係する、この業種の中心テーマです。周知の義務付け・オプトアウト提供の禁止・利用停止等請求という3つの規律が新設されます。
2. 漏えい等報告・本人通知義務の緩和: 顔認証データの漏えい等が起きた場合の報告・通知の扱いに関係します。
3. 委託先における個人データ等の適正な取扱い: チェックインシステムの運用・保守を外部のシステム会社等へ委託している場合、委託先としての新しい義務・免除規定の対象になり得ます。

12. こども向けスマホアプリ・ゲーム開発事業者

16歳未満の利用者を想定したスマホアプリ・ゲームを開発・提供する業種です。アカウント登録や利用者情報の取得を通じて、こどもの個人情報を直接取り扱う場面があります。まず見ておくとよいのは次の3テーマです。

1. こどもの個人情報（16歳未満）: 16歳未満の利用者から個人情報を取得する場合の法定代理人の関与義務、利用停止等請求の要件緩和など、この業種に直接関係するテーマです。
2. 連絡可能個人関連情報の不適正利用・不正取得の禁止: アプリ内で取得しうるメールアドレス・Cookie ID等、連絡可能な記述等を含む情報の取扱いに関係します。
3. 漏えい等報告・本人通知義務の緩和: こどもの個人情報を含むデータの漏えい等が起きた場合の報告・通知の扱いに関係します。

13. BPO・データ入力代行事業者

顧客企業から個人データを含む業務（データ入力、書類のスキャン・電子化、名簿の整備等）を受託する業種です。委託元の指示に従って機械的に作業を行う場面が多い点が特徴です。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない義務が委託先に新たに明文化される一方、委託元の指示に従って機械的にデータ入力等を行うのみの場合は、契約で定めた条件を満たせば義務の一部が免除される規定も新設される、この業種に直接関係するテーマです。
2. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 入力・整備を受託するデータに電話番号・メールアドレス等の連絡先情報が含まれる場合に関係しうるテーマです。
3. 漏えい等報告・本人通知義務の緩和: 受託して取り扱うデータで漏えい等が起きた場合の報告・通知の扱いに関係します。

14. フリマ・オークションサービス運営者

個人間取引を仲介し、出品者・購入者双方の氏名・住所・電話番号等の連絡先情報を取り次ぐ業種です。自社が売主として顧客に直接販売する1番のECサイト運営者とは異なり、個人間取引の仲介者という立場が特徴です。まず見ておくとよいのは次の3テーマです。

1. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 出品者・購入者間で取り次ぐ電話番号・メールアドレス等の連絡先情報の取扱いに関係する、この業種に直接関係するテーマです。
2. 課徴金制度: 対象となる違反行為には「対象行為に係る本人の数について1,000人を基準とする」大規模事案という限定要件があります。利用者数の多いフリマ・オークションサービスは、この人数規模に達しているかをまず確認する意味があります。
3. 委託先における個人データ等の適正な取扱い: 決済代行・配送手配等を外部委託している場合、委託先としての新しい義務・免除規定の対象になり得ます。

この業種で先に読むページ: 漏えい等報告・本人通知義務の緩和（顧客・取引先の個人データを保有する業種として、漏えい等が起きた場合の報告・通知の扱いを確認できます）。

15. カーシェアリング・レンタカー事業者（顔認証による本人確認）

無人受付機での貸渡し手続きにおいて、運転免許証等の券面と利用者の顔を照合する本人確認手法を導入している業種です。9番・10番・11番の防犯カメラ・入退館管理・チェックインと同じく本人を識別する目的で顔特徴データを扱う点が中心論点になりますが、入退場・入退室の管理ではなく貸渡し時の本人確認という取得場面が異なります。まず見ておくとよいのは次の3テーマです。

1. 顔特徴データ等: 無人受付機での運転免許証との顔照合など、本人を識別する目的で顔特徴データを取り扱っている場合に直接関係する、この業種の中心テーマです。周知の義務付け・オプトアウト提供の禁止・利用停止等請求という3つの規律が新設されます。
2. 漏えい等報告・本人通知義務の緩和: 顔認証データや免許証情報の漏えい等が起きた場合の報告・通知の扱いに関係します。
3. 委託先における個人データ等の適正な取扱い: 無人受付機・顔認証システムの運用・保守を外部の設備会社等へ委託している場合、委託先としての新しい義務・免除規定の対象になり得ます。

16. フードデリバリー・配達代行・ライドシェア仲介

対象: フードデリバリー・配達代行・ライドシェア仲介プラットフォーム事業者

配達員（ドライバー）と利用者の間を仲介し、双方の氏名・電話番号・住所等の連絡先情報を取り次ぐ業種です。14番のフリマ・オークションサービス運営者と同じく、自社が売主として顧客に直接販売するのではなく三者間の情報流通を仲介する立場である点が特徴です。まず見ておくとよいのは次の3テーマです。

1. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 配達員と利用者の間で取り次ぐ電話番号・所在地等の連絡先情報の取扱いに関係する、この業種に直接関係するテーマです。
2. 委託先における個人データ等の適正な取扱い: 配達業務を配達員（委託先）に委託する構造を取っている場合、委託先としての新しい義務・免除規定の対象になり得ます。
3. 漏えい等報告・本人通知義務の緩和: 配達員・利用者双方のデータの漏えい等が起きた場合の報告・通知の扱いに関係します。

17. オンライン資格試験・遠隔監督サービス事業者（顔認証による本人確認）

オンラインで実施する資格試験・検定試験において、受験者本人であることをカメラ越しの顔認証で確認する（遠隔監督）業種です。9〜11番・15番の小売店舗・フィットネス/マンション管理/イベント会場・ホテル・カーシェアリング等は物理的な施設への入退場・入場や貸渡し時の本人確認の場面ですが、本カテゴリはオンライン受験という非対面の場面で本人を識別する目的で顔特徴データを扱う点が異なります。まず見ておくとよいのは次の3テーマです。

1. 顔特徴データ等: オンライン受験時の遠隔監督で顔認証により受験者本人を識別している場合に直接関係する、この業種の中心テーマです。周知の義務付け・オプトアウト提供の禁止・利用停止等請求という3つの規律が新設されます。
2. 漏えい等報告・本人通知義務の緩和: 顔認証データの漏えい等が起きた場合の報告・通知の扱いに関係します。
3. 委託先における個人データ等の適正な取扱い: 遠隔監督システムの運用・保守を外部のシステム会社等へ委託している場合、委託先としての新しい義務・免除規定の対象になり得ます。

18. 探偵・興信所等の情報調査業

調査対象者やその関係者の所在・連絡先等の情報を業務として取得する業種です。改正では、情報を取得する行為そのものを対象にした罰則（不正取得罪の新設）と、電話番号・メールアドレス等の連絡先情報に関する新しい禁止規定（連絡可能個人関連情報）の両方に関係しうる点が特徴です。まず見ておくとよいのは次の3テーマです。

1. 罰則（不正取得罪の新設）: 欺く・脅迫する行為、財物の窃取、不正アクセス行為等、不正な手段により個人情報を取得した場合の罰則が新設されます（2027年1月17日施行）。情報収集の手段がこの構成要件に触れないかを確認しておく意味があります。
2. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 調査対象者やその関係者の電話番号・メールアドレス等、連絡先情報の取得・利用に関係するテーマです。
3. 漏えい等報告・本人通知義務の緩和: 調査で得た個人情報の漏えい等が起きた場合の報告・通知の扱いに関係します。

この業種で先に読むページ: 委託先における個人データ等の適正な取扱い（調査の依頼元や再委託先との間で個人データをやり取りする場合の規律を確認できます）。

19. ベビーシッター仲介・マッチングプラットフォーム事業者

保護者と対象児童という異なる人格の間で、こどもに関する個人情報を仲介する業種です。3番の学習塾・保育園等（対面でサービスを提供する事業者）とは異なり、仲介プラットフォームとして保護者・シッター双方の情報を取り扱う点が特徴です。まず見ておくとよいのは次の3テーマです。

1. こどもの個人情報（16歳未満）: 16歳未満の子どもが本人である場合の法定代理人の関与、利用停止等請求の要件緩和など、この業種に直接関係するテーマです。「本人」が「法定代理人」に読み替わる条文は16歳未満の読替表で確認できます。
2. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 保護者への連絡先（電話番号・メールアドレス等）を仲介する業種として、不適正利用・不正取得の禁止規定を確認しておく意味があります。
3. 漏えい等報告・本人通知義務の緩和: 子どもと保護者双方の個人情報が含まれるデータの漏えい等における報告・通知の扱いに関係します。

金融・保険・与信の8業種

与信・信用情報、カード決済、保険、銀行・証券、暗号資産、貸金・ローン、前払式支払手段、ポイントサービスの8業種の節は、別のページに移しました。業種名から探すときは、次の各リンクから該当の節へ進めます。

• 20. 与信審査・信用情報関連事業者
• 22. クレジットカード会社・決済代行事業者
• 39. 保険代理店・保険会社（委託関係がある場合）
• 74. 銀行・信用金庫・証券会社などの金融機関
• 96. 暗号資産交換業者・ウォレット・NFT取引サービス運営者
• 110. 貸金業者・個人向けローン・リース・割賦販売事業者
• 113. 前払式支払手段・資金移動業・両替
• 116. 共通ポイント・ポイントサービスの運営事業者

23. 旅行代理店・宿泊予約プラットフォーム事業者

宿泊予約サイト・旅行代理店等が、予約者と宿泊施設・現地事業者との間で氏名・連絡先等の個人情報を取り次ぐ業種です。11番のホテル・宿泊施設（自ら施設を運営する事業者）とは異なり、予約者と提供先の間を仲介する立場である点が特徴です。まず見ておくとよいのは次の3テーマです。

1. 目的外利用等の規律緩和: 一次資料は「予約サイトA（個人情報取扱事業者）が、予約者との利用契約に基づき、予約者の氏名等をホテルB（第三者）へ提供する」場面を、本人同意が不要になりうる想定事例のひとつとして挙げています。ただし対象範囲は委員会規則待ちで、この想定事例がそのまま規則に入るかどうかはまだ確定していません。
2. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 予約者の電話番号・メールアドレス等、連絡先情報を宿泊施設・現地事業者へ取り次ぐ場合の取扱いに関係するテーマです。
3. 委託先における個人データ等の適正な取扱い: 決済処理・予約システムの運用等を外部へ委託している場合、委託先としての新しい義務・免除規定の対象になり得ます。

この業種で先に読むページ: 漏えい等報告・本人通知義務の緩和（顧客・取引先の個人データを保有する業種として、漏えい等が起きた場合の報告・通知の扱いを確認できます）。

24. 電子カルテ・医療情報システムベンダー

複数の医療機関からカルテ・医療情報システムの運用を受託する業種です。2番のクリニック等の医療提供機関（医療を自ら提供する事業者）とは異なり、システムを提供・運用受託する事業者という読者の違いがあります。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 複数の医療機関からカルテ・医療情報システムの運用を受託する立場として、委託先としての新しい義務・免除規定に直接関係する、この業種の中心テーマです。
2. 漏えい等報告・本人通知義務の緩和: 患者の病歴等を含むデータの漏えい等が起きた場合の報告・通知の扱いに関係します。
3. 課徴金制度: 対象行為に係る本人の数について1,000人を基準とする大規模事案への限定があります。保有する患者データの総数だけで対象になるわけではなく、対象行為・主観的要素・権利利益の侵害等の要件も確認する必要があります。

医療情報を加工して認定事業者へ提供する流れに関わる場合は、医療情報法の令和8年改正の内容も確認してください。

25. クラウドファンディング・寄付仲介プラットフォーム運営者

支援者・寄付者と実行者・団体との間を仲介し、双方の氏名・連絡先等の個人情報を取り次ぐ業種です。クラウドファンディング運営事業者とNPO等への寄付仲介プラットフォームは、支援者情報を実行者・団体へ取り次ぐ同一の仲介構造のため、ここでは1カテゴリとして扱います。14番のフリマ・オークションサービス運営者、16番のフードデリバリー・配達代行・ライドシェア仲介プラットフォーム事業者と同じ、三者間の情報流通を仲介する立場という系譜に位置づけられます。まず見ておくとよいのは次の3テーマです。

1. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 支援者・寄付者への連絡が可能な情報のうち、個人情報に当たらない個人関連情報等を扱う場合に確認するテーマです。氏名と結び付いた連絡先等の個人情報には、従来の個人情報の規律が適用されます。
2. 課徴金制度: 対象行為に係る本人の数について1,000人を基準とする大規模事案への限定があります。支援者の総数だけで対象になるわけではなく、対象行為・主観的要素・権利利益の侵害等の要件も確認する必要があります。
3. 委託先における個人データ等の適正な取扱い: 決済代行等を外部委託する場合は委託元の立場です。一方、他の事業者から個人データ等の処理を受託する場合には、委託先としての新しい義務・免除規定との関係を確認します。

この業種で先に読むページ: 漏えい等報告・本人通知義務の緩和（顧客・取引先の個人データを保有する業種として、漏えい等が起きた場合の報告・通知の扱いを確認できます）。

26. eKYC・本人確認サービス事業者

selfie（自撮り画像）と本人確認書類の顔写真との照合等により、他の事業者から本人確認業務を受託して提供する業種です。10番・11番・15番・17番（自社の施設・サービスで顔認証を直接利用する事業者）とは異なり、本カテゴリは本人確認の技術・サービスを開発し、クライアント企業へ提供する立場という読者の違いがあります。まず見ておくとよいのは次の3テーマです。

1. 顔特徴データ等: selfieとICカード等の顔照合により本人を識別する目的で顔特徴データを扱っている場合に直接関係する、この業種の中心テーマです。周知の義務付け・オプトアウト提供の禁止・利用停止等請求という3つの規律が新設されます。
2. 委託先における個人データ等の適正な取扱い: クライアント企業から本人確認業務を受託する立場として、委託先としての新しい義務・免除規定に直接関係するテーマです。
3. 漏えい等報告・本人通知義務の緩和: 本人確認データの漏えい等が起きた場合の報告・通知の扱いに関係します。

27. 介護事業者（訪問介護・通所介護等）

利用者の病歴等の要配慮個人情報を業務上日常的に取得し、家族への緊急連絡や他の事業者との連携も多い業種です。まず見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 病歴等の要配慮個人情報を含むデータの漏えい等が起きた際の報告・本人通知の負担に関係する、この業種に直接関係するテーマです。
2. 委託先における個人データ等の適正な取扱い: 個人データ等の処理を他の事業者へ委託する場合は委託元、他の事業者から受託する場合は委託先です。新しい義務・免除規定は、データの取扱いを受託する立場との関係で確認します。
3. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 家族・緊急連絡先の情報でも、個人情報に当たらない連絡可能な個人関連情報等を扱う場合に確認するテーマです。氏名等と容易に照合できる電話番号は個人情報として扱う点を区別します。

28. マッチングアプリ運営者

会員間で氏名・連絡先等をやり取りする仲介の場を提供し、利用者の年齢確認も行う業種です。12番のこども向けスマホアプリ・ゲーム開発事業者とは異なり、想定利用者が原則成人である点が特徴です。まず見ておくとよいのは次の3テーマです。

1. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 連絡先情報のうち、個人情報に当たらない連絡可能な個人関連情報等を扱う場合に確認するテーマです。氏名等と容易に照合できる会員情報には、従来の個人情報の規律が適用されます。
2. こどもの個人情報（16歳未満）: 年齢確認の場面で16歳未満の利用者を確認した場合の法定代理人の関与など、一般的な留意点として関係します。12番とは異なり、本カテゴリは想定利用者が主に成人であるサービスを前提とします。
3. 漏えい等報告・本人通知義務の緩和: 会員の連絡先情報を含むデータの漏えい等が起きた場合の報告・通知の扱いに関係します。

30. 生成AI・チャットボットサービス事業者

自社で生成AIチャットボットサービスを提供し、利用者との会話ログを個人情報として保有・管理する業種です。統計作成等の特例が扱うのは、他社の個人データ・要配慮個人情報をAI開発のために学習利用する事業者ですが、本カテゴリは自社サービスの利用者データを扱う立場という違いがあります。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: クライアント企業から会話データの分析を受託する場合、委託先としての新しい義務・免除規定の対象になり得る、この業種に直接関係するテーマです。
2. 漏えい等報告・本人通知義務の緩和: 会話ログに含まれる個人情報が漏えい等した場合の報告・通知の扱いに関係します。
3. 統計作成等の特例: 蓄積した会話ログを統計情報等の作成やAIモデルの改善に用いる場合、本人同意なき第三者提供等を可能にする特例の対象になり得ます。

31. 学習管理システム(LMS)・教育クラウドサービス事業者

学校・学習塾・企業研修向けに、学習管理システム(LMS)やeラーニング基盤等の教育クラウドサービスを提供する業種です。3番の学習塾・保育・子ども向け習い事（サービスを自ら提供する事業者）とは異なり、システムを提供・運用受託する事業者という読者の違いがあります（24番の電子カルテ・医療情報システムベンダーと同じ系譜）。まず見ておくとよいのは次の3テーマです。

1. こどもの個人情報（16歳未満）: 16歳未満の児童・生徒の個人情報をシステム上で取り扱う場合、同意取得・通知等に係る法定代理人の関与義務・例外に直接関係する、この業種の中心テーマです。「本人」が「法定代理人」に読み替わる条文は16歳未満の読替表で確認できます。
2. 委託先における個人データ等の適正な取扱い: 学校・学習塾等から児童・生徒の学習データの処理を受託する立場として、委託先としての新しい義務・免除規定に関係するテーマです。
3. 漏えい等報告・本人通知義務の緩和: 児童・生徒の学習履歴等を含むデータの漏えい等が起きた場合の報告・通知の扱いに関係します。

32. フランチャイズ本部・加盟店

フランチャイズ本部と加盟店の間で、顧客の氏名・連絡先等の個人データをやり取りする業種です。本部・加盟店という複数事業者間でのデータ授受という、既存カテゴリにない読者像です。データの授受が委託に当たるか第三者提供に当たるかの整理が必要になります。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 本部が加盟店に顧客データの取扱いを委託している場合、または加盟店が本部の指示に基づき機械的にデータを取り扱う場合、委託先としての新しい義務・免除規定に関係する、この業種の中心テーマです。
2. 目的外利用・要配慮個人情報取得・第三者提供の規律緩和: 本部・加盟店間の契約の履行に伴う顧客データの提供が、本人の同意を不要とする新しい例外の対象になり得ます。
3. 漏えい等報告・本人通知義務の緩和: 本部・加盟店間で共有する顧客データの漏えい等が起きた場合の報告・通知の扱いに関係します。

33. マーケティングリサーチ会社・世論調査会社

市場調査・世論調査のために個人データを収集し、統計情報として分析・提供する業種です。30番の生成AI・チャットボットサービス事業者（自社サービスの利用者データを扱う立場）とは異なり、統計情報そのものの作成・提供を業とする読者の違いがあります。まず見ておくとよいのは次の3テーマです。

1. 統計作成等の特例: 複数の事業者が持つ調査データを共有し横断的に解析する場面で、本人同意なき第三者提供等を可能にする特例の対象になり得る、この業種の中心テーマです。
2. 委託先における個人データ等の適正な取扱い: クライアント企業から調査業務を受託する場合、委託先としての新しい義務・免除規定に関係するテーマです。
3. 漏えい等報告・本人通知義務の緩和: 調査対象者の個人データが漏えい等した場合の報告・通知の扱いに関係します。

34. SMS配信代行・メール配信代行事業者

クライアント企業から預かった電話番号・メールアドレス宛てに、SMS・メールの配信を代行する業種です。4番の営業リスト・名簿を扱うマーケティング事業者とは異なり、名簿そのものを保有・提供するのではなくクライアントに代わって配信を実行する立場である点が特徴です。まず見ておくとよいのは次の3テーマです。

1. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 配信先の電話番号・メールアドレスの取得・利用方法が、この業種に直接関係する中心テーマです。
2. 委託先における個人データ等の適正な取扱い: クライアント企業から配信業務の委託を受ける構造を取っている場合、委託先としての新しい義務・免除規定の対象になり得ます。
3. 漏えい等報告・本人通知義務の緩和: 預かった配信先情報の漏えい等が起きた場合の報告・通知の扱いに関係します。

35. 同窓会名簿管理サービス事業者

学校・大学の同窓会等から委託を受けて名簿情報を管理・更新するサービスを提供する業種です。名簿の管理・更新を受託するだけの立場であることが多い一方、オプトアウト届出に基づいて名簿を第三者提供している場合は、届出事業者としての新しい義務の対象になり得ます。まず見ておくとよいのは次の3テーマです。

1. オプトアウト制度の強化: オプトアウト届出に基づいて名簿を第三者提供している場合、提供先の身元・利用目的の確認が新たに義務付けられる、この業種の中心テーマです。
2. 委託先における個人データ等の適正な取扱い: 同窓会等から名簿管理を受託する構造を取っている場合、委託先としての新しい義務・免除規定の対象になり得ます。
3. 漏えい等報告・本人通知義務の緩和: 預かった名簿情報の漏えい等が起きた場合の報告・通知の扱いに関係します。

37. 広告代理店・アドテク事業者（Cookie ID等を扱う場合）

広告主から預かった、またはWebサイト上で収集したCookie ID・メールアドレス等を用いて、ターゲティング広告の配信・効果測定を行う業種です。4番の営業リスト・名簿を扱うマーケティング事業者とは異なり名簿を第三者へ販売する立場ではなく、38番のMAツール・CRM SaaS事業者とも異なり顧客企業から連絡先データの管理を預かる立場でもなく、Cookie ID等の連絡可能個人関連情報を広告配信のために自ら収集・利用する立場である点が特徴です。まず見ておくとよいのは次の3テーマです。

1. 連絡可能個人関連情報の不適正利用・不正取得の禁止: Cookie ID・メールアドレス等の取得・利用方法が、この業種に直接関係する中心テーマです。
2. 委託先における個人データ等の適正な取扱い: 広告主から広告運用業務の委託を受ける構造を取っている場合、委託先としての新しい義務・免除規定の対象になり得ます。
3. 漏えい等報告・本人通知義務の緩和: 収集・保有するCookie ID等が漏えい等した場合の報告・通知の扱いに関係します。

38. MAツール・CRM SaaS事業者（連絡先データを預かる場合）

顧客企業から預かった見込み客・既存顧客の氏名・メールアドレス・電話番号等の連絡先データを、マーケティングオートメーション（MA）や顧客管理（CRM）のクラウドサービス上で管理する業種です。4番の営業リスト・名簿を扱うマーケティング事業者とは異なり名簿を保有・第三者提供する立場ではなく、37番の広告代理店・アドテク事業者とも異なり自ら広告配信のためにデータを収集・利用する立場でもなく、顧客企業から連絡先データの管理を預かる立場である点が特徴です。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 顧客企業から連絡先データの管理業務の委託を受ける構造を取っている場合、委託先としての新しい義務・免除規定に直接関係する中心テーマです。SaaSの開発・保守を担う側の整理は受託開発・Web制作・SaaS事業者の委託先の義務も参照。
2. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 管理する連絡先データの取得・利用方法に関係します。
3. 漏えい等報告・本人通知義務の緩和: 預かった連絡先データが漏えい等した場合の報告・通知の扱いに関係します。

40. オンラインカウンセリング・電話占い・コーチング

対象: オンラインカウンセリング・心理相談室・電話占い・コーチング事業者

この節で想定する場面は、相談内容、通話や面談の録音・録画、予約者の氏名と連絡先、決済に関する情報、16歳未満の相談者の情報を扱う場合です。

予約、相談、決済、記録の保存を一つの事業者だけで行わず、予約システム、ビデオ通話、録音の保管、決済代行を外部サービスに任せることがあります。相談内容や録音は、それだけで一律に要配慮個人情報になるわけではありません。病歴、心身の障害、信条、犯罪被害の事実など、法令で定める記述が含まれるかによって扱いが変わります。改正法の概要では、オンラインメンタルヘルスカウンセリングサービスが、連絡可能個人関連情報の規律を検討する想定事例として示されています。まず見ておくとよいのは次の3テーマです。

1. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 改正法の概要は、メールアドレスと健康情報を、治療支援のためだけに使い第三者提供しないと偽って取得し、第三者提供するオンラインメンタルヘルスカウンセリングサービスを想定事例に挙げています。この規律は、氏名等と容易に照合できる個人情報ではなく、個人情報に当たらない連絡可能個人関連情報等を扱う場合のものです。対象となる記述等の範囲は委員会規則待ちです。
2. 委託先における個人データ等の適正な取扱い: 予約、通話、録音の保管、決済などを外部に任せる場合に、任せる側の監督と、任される側に新設される義務が関係します。免除の前提となる契約事項と契約方法は委員会規則待ちです。
3. こどもの個人情報（16歳未満）: 16歳未満の相談者について、本人への通知や同意取得などに法定代理人が関与する新しい規律に関係します。例外や手続の細部には、政令・規則待ちの事項があります。

相談内容が要配慮個人情報に当たるか、録音への同意をどのように得るか、保護者に知らせない相談をどこまで受けられるかは、相談の内容や事業の資格・契約によって変わります。このサイトでは判断できないため、顧問弁護士または個人情報保護委員会にご確認ください。

41. 物流・宅配・運送事業者

この節で想定する場面は、送り状の氏名・住所・電話番号を扱う場合です。

荷主から預かった荷物に付く送り状（伝票）には、届け先と依頼主の氏名・住所・電話番号が書かれます。物流・宅配・運送事業者は、荷主の依頼を受けて他人の個人データを取り扱う委託先の立場になることが多く、配送の一部を下請けの運送会社や配達員に再び任せる場合もある点が特徴です。16番のフードデリバリー・配達代行とは、連絡先を取り次ぐ仲介ではなく、荷物の運送そのものを請け負う点が異なります。まず見ておくとよいのは次の2テーマです。

1. 委託先における個人データ等の適正な取扱い: 委託を受けた側に、委託された業務に必要な範囲を超えて取り扱ってはならないという義務が明文化されます（法第30条の3）。配送先データを荷主から預かる運送事業者は、この委託先の規律を確認する立場に当たり得ます。委託先が自ら取扱い方法を決めず、委託契約で取扱い方法と取扱い状況の把握のための措置を合意している場合は、委託先の義務が免除される規定も入ります（法第58条の2）。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
2. 漏えい等報告・本人通知義務の緩和: 誤配や伝票の紛失、配送管理システムからの流出などで配送先データの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。

置き配や不在票の運用、再委託先の管理が上の規律のどれに当たるかは、個々の契約と運用によります。このサイトでは判断できないため、顧問弁護士または個人情報保護委員会にご確認ください。

42. 結婚相談所・婚活サービス事業者

この節で想定する場面は、会員の本人確認書類・プロフィール情報を扱う場合です。

会員の氏名・連絡先に加えて、プロフィールや本人確認の書類を預かり、会員同士を引き合わせる業種です。28番のマッチングアプリ運営者と同じく想定利用者は原則成人ですが、相談所のスタッフが会員情報を直接管理し、システムの運用を外部に任せている場合が多い点が違います。まず見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 会員の書類やプロフィールを含むデータの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 会員管理システムの運用や書類の保管を外部に任せている場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。
3. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 会員間の連絡に使う連絡先情報のうち、個人情報に当たらない連絡可能な個人関連情報等を扱う場合に確認するテーマです。氏名等と容易に照合できる会員情報には、従来の個人情報の規律が適用されます。

会員の書類や年収などの情報が特別な扱いを要する情報に当たるかは、取得する項目と目的によります。このサイトでは判断できないため、顧問弁護士または個人情報保護委員会にご確認ください。

43. 障害福祉サービス・放課後等デイサービス・児童養護施設・児童館

この節で想定する場面は、通所・入所・利用の記録、支援計画、保護者の連絡先など、子どもの個人情報を扱う場合です。

放課後等デイサービスなどの障害福祉サービスに加え、児童養護施設や児童館を、このページでは「子どもの支援や居場所に関わる事業・施設」として同じ入口にまとめます。法令上の業種区分が同じという意味ではありません。3番の学習塾・保育と同じく、16歳未満の子どもと保護者の情報を扱う場面がある一方、支援記録など取扱いの場面は施設ごとに異なります。まず見ておくとよいのは次の3テーマです。

1. こどもの個人情報（16歳未満）: 利用する子どもが16歳未満の場合の、通知・同意取得への法定代理人の関与と、利用停止等請求の要件緩和に関係します。「本人」が「法定代理人」に読み替わる条文は16歳未満の読替表で確認できます。福祉分野の個別のガイドライン等との関係は、このサイトでは未確定として扱います。
2. 漏えい等報告・本人通知義務の緩和: 通所・入所・利用の記録や支援記録を含むデータの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
3. 委託先における個人データ等の適正な取扱い: 記録や請求のシステム、送迎の運用などを外部に任せている場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。

心身の状況に関する記録が特別な扱いを要する情報に当たるか、福祉分野の個別の指針がどう適用されるかは、取得する項目と事業・施設の内容によります。このサイトでは判断できないため、顧問弁護士または個人情報保護委員会にご確認ください。

44. 美容室・エステ・脱毛サロン

この節で想定する場面は、施術カルテ・顔写真・未成年の顧客・予約システムの委託を扱う場合です。

施術カルテ（肌質・体質・施術履歴）、施術前後の顔写真、予約の連絡先を扱う業種です。未成年の顧客が来店することがあり、予約システムや顧客管理を外部のサービスに任せている場合が多い点が特徴です。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 予約システムや顧客管理サービスに顧客データを預けている場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
2. こどもの個人情報（16歳未満）: 16歳未満の顧客のカルテや連絡先を扱う場合に、法定代理人の関与が関係します。「本人」が「法定代理人」に読み替わる条文は16歳未満の読替表で確認できます。
3. 漏えい等報告・本人通知義務の緩和: カルテや顔写真を含むデータの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。

施術前後の顔写真が、顔の特徴を変換したデータ（顔特徴データ）に当たるかどうかは、写真をどう利用するかによります。写真を保管するだけか、顔認証などの照合に使うかで変わるため、このサイトでは判断できません。顧問弁護士または個人情報保護委員会にご確認ください。

45. 調剤薬局・歯科医院

この節で想定する場面は、調剤録・診療録、要配慮個人情報、予約・レセプト業務の委託を扱う場合です。

調剤録・診療録のように病歴などの要配慮個人情報を含む記録を扱い、予約システムやレセプト（診療報酬の請求）に関わる業務を外部に任せている場合がある業種です。歯科医院では小児の患者も来院します。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 予約システムやレセプト関連の業務を外部に任せ、患者の個人データを預けている場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
2. 漏えい等報告・本人通知義務の緩和: 調剤録・診療録など健康情報を含むデータの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
3. こどもの個人情報（16歳未満）: 小児の患者の記録や保護者の連絡先を扱う場合に、法定代理人の関与が関係します。「本人」が「法定代理人」に読み替わる条文は16歳未満の読替表で確認できます。

医療情報の加工・提供を定める医療情報法も改正されます。認定事業者との間で医療情報をやり取りする場合は、医療情報法の令和8年改正（16歳未満・命令・罰則）もあわせて確認してください。医療提供機関への学術研究例外の扱いは、2番のクリニック等の医療提供機関も参照してください。

46. 写真館・フォトスタジオ

この節で想定する場面は、七五三・成人式の子どもの撮影、顔写真の保管、SNS掲載を扱う場合です。

七五三や成人式の撮影で、お子さまを含む顧客の顔写真と、予約時の連絡先を扱う業種です。撮影した写真を長く保管したり、店頭やSNSに掲載したりする場合がある点が特徴です。まず見ておくとよいのは次の3テーマです。

1. こどもの個人情報（16歳未満）: 七五三など16歳未満の子どもを撮影し、写真や保護者の連絡先を扱う場合に、法定代理人の関与が関係します。「本人」が「法定代理人」に読み替わる条文は16歳未満の読替表で確認できます。
2. 顔特徴データ等: 顔写真そのものと、顔の特徴を変換したデータは別のものです。写真を保管するだけか、顔認証などの照合に使うかで扱いが変わります。
3. 漏えい等報告・本人通知義務の緩和: 撮影データや顧客名簿の漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。

SNSや店頭への写真の掲載に本人（子どもの場合は保護者）の同意が必要かどうかは、掲載の目的や写真の内容によります。このサイトでは個別の判断はできないため、顧問弁護士または個人情報保護委員会にご確認ください。

47. 動物病院・ペットサロン・ペットホテル

この節で想定する場面は、飼い主の氏名・連絡先、診療記録の委託、予約システムを扱う場合です。

診察やトリミング、宿泊の予約で、飼い主の氏名・住所・電話番号・メールアドレスを顧客台帳や予約システムで管理している業種です。なお、ペットそのものの情報は、法第2条が定める「生存する個人に関する情報」ではないため、個人情報には当たりません。対象になるのは飼い主など人に関する情報で、診療記録（カルテ）も、飼い主の氏名などと結びついて保管されていれば、その部分が関係します。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 予約システムや検査・請求の業務を外部に任せ、飼い主の個人データを預けている場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
2. 漏えい等報告・本人通知義務の緩和: 顧客台帳や予約データの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
3. 連絡可能個人関連情報: 予約サイトの閲覧履歴など、それ自体では個人を特定しない情報を、飼い主の連絡先と結びつけて使う場合に関係しうるテーマです。該当するかどうかは、取扱いの内容によって変わります。

動物の診療記録は、人の医療情報を前提にした要配慮個人情報（病歴など）とは別に考える必要があり、このサイトでは個別の整理はしていません。実際の取扱いが対象になるかは、顧問弁護士または個人情報保護委員会にご確認ください。

49. 飲食店・飲食チェーン

この節で想定する場面は、会員アプリ、ポイントカード、予約サイト経由の顧客情報、店内防犯カメラを扱う場合です。

来店予約や会員アプリ、ポイントカードで、顧客の氏名・電話番号・メールアドレスや来店履歴を管理している業種です。店内に防犯カメラを置いている店も多く、9番の小売店舗と同じく、録画・確認のみの通常の防犯カメラは顔特徴データ等の対象外で、顔識別機能で来店客本人を識別できるようにしている場合に関係します。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 会員アプリの開発・運用や予約サイトの管理を外部の事業者に任せ、顧客の個人データを預けている場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
2. 連絡可能個人関連情報: 予約サイトの閲覧履歴やCookie IDなど、それ自体では個人を特定しない情報を、顧客の連絡先と結びつけて使う場合に関係しうるテーマです。該当するかどうかは、取扱いの内容によって変わります。
3. 顔特徴データ等: 店内カメラで顔識別を行い、来店客本人を識別できるようにしている場合に関係します。掲示の内容は周知事項の対応表で確かめられます。

フランチャイズ本部と加盟店で顧客データを共有している場合は、32番のフランチャイズ本部・加盟店もあわせて確認できます。スナックやガールズバーなど夜間に接客する店の連絡先・身分証のコピー・売掛の扱いは、145番の夜間営業の飲食店で整理しています。個別の店舗の取扱いが対象になるかは、顧問弁護士または個人情報保護委員会にご確認ください。

50. 自動車ディーラー・整備工場

この節で想定する場面は、顧客台帳、車検・点検の案内、ドライブレコーダー映像、車両データの外部提供を扱う場合です。

購入者や入庫客の氏名・住所・電話番号、車検・点検の履歴を顧客台帳で管理し、車検や点検の時期に案内を送っている業種です。預かった車のドライブレコーダー映像を確認したり、車両から得られるデータを保険会社やメーカー等の外部に提供したりする場面もあります。店内や工場に防犯カメラを置いている場合、録画・確認のみの通常の防犯カメラは顔特徴データ等の対象外で、顔識別機能で来店客本人を識別できるようにしている場合に関係します。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 顧客管理システムの運用、案内状の発送、車検・点検の予約受付を外部の事業者に任せ、顧客の個人データを預けている場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
2. 連絡可能個人関連情報: 車両の識別番号や走行データのように、それ自体では個人を特定しない情報を、顧客の連絡先と結びつけて外部に提供・利用する場合に関係しうるテーマです。該当するかどうかは、取扱いの内容によって変わります。
3. 顔特徴データ等: 店内や工場のカメラで顔識別を行い、来店客本人を識別できるようにしている場合に関係します。掲示の内容は周知事項の対応表で確かめられます。

ドライブレコーダー映像や車両データが個人情報に当たるか、外部への提供に本人の同意が要るかは、データの内容や提供先との関係によるため、このサイトでは判断できません。顧問弁護士または個人情報保護委員会にご確認ください。

51. PTA・保護者会・学校後援会

この節で想定する場面は、会員名簿、連絡網、写真掲載、名簿の第三者提供を扱う場合です。

保護者や児童・生徒の氏名・住所・電話番号を載せた会員名簿や連絡網を作り、行事の写真を広報紙やウェブサイトに載せている団体です。個人情報保護委員会のQ&A（A1-54）は、PTAなど営利を目的としない団体も、個人情報データベース等を事業の用に供していれば個人情報取扱事業者に該当し得るとしています。取り扱う人数の多寡は問われません（A1-50）。実際に該当するかは団体の形態や名簿の使い方によるため、このサイトでは判断できません。NPO法人など非営利団体の場面はNPO・非営利団体の個人情報と改正に整理しています。まず見ておくとよいのは次の3テーマです。

1. こどもの個人情報（16歳未満）: 名簿や写真に16歳未満の子どもの情報が含まれる場合に関係します。「本人」が「法定代理人」に読み替わる条文は16歳未満の読替表で確認できます。
2. 漏えい等報告・本人通知義務の緩和: 名簿の紛失や、連絡網のメール誤送信などで個人データの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
3. 委託先における個人データ等の適正な取扱い: 名簿の管理や連絡網の配信を外部のサービスに任せている場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。

名簿を会員以外や学校、後援企業などに渡せるかは、個人データの第三者提供の規定が関係しますが、このサイトでは個別の場面の判断はできません。顧問弁護士または個人情報保護委員会にご確認ください。

52. 寺院・神社などの宗教法人

この節で想定する場面は、檀家・氏子名簿、法要・祈祷の申込、葬祭業者との連携を扱う場合です。

檀家・氏子の氏名・住所・電話番号を載せた名簿を作り、法要や祈祷の申込を受け付け、葬祭業者などと連絡を取り合っている団体です。法第57条第1項第3号は、宗教団体が宗教活動（これに付随する活動を含む）の用に供する目的で個人情報等を取り扱うときは、同じ章の規定を適用しないと定めています（e-Gov法令検索で確認）。個人情報保護委員会のQ&A（Q11-5）も、宗教団体の宗教活動を適用除外の例に挙げています。ただし、この適用除外は目的が宗教活動に当たる範囲に限られ、その場合でも安全管理や苦情処理の措置を自ら講じて公表するよう努める規定（同条第3項）があります。どの取扱いが宗教活動やこれに付随する活動に当たるかは個別の事情によるため、このサイトでは判断できません。なお、宗教に関する情報は、ガイドライン（通則編2-3）が「信条」（思想と信仰の双方を含む）を要配慮個人情報の一つに挙げています。まず見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 名簿の紛失や、法要案内のメール誤送信などで個人データの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。ガイドライン（通則編3-5-3）は、要配慮個人情報が含まれる個人データの漏えい等を委員会への報告の対象としています。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 名簿の管理や法要案内の発送を外部のサービスや業者に任せている場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
3. 目的外利用等の緩和: 檀家・氏子の連絡先を葬祭業者などに伝える場面で、第三者提供の同意が関係します。改正で新設される例外が使える場面かどうかは、取扱いの内容によって変わります。

葬祭業者との連携が適用除外に含まれるか、名簿を第三者に渡せるかは、このサイトでは個別の場面の判断はできません。顧問弁護士または個人情報保護委員会にご確認ください。非営利団体の一般的な整理はNPO・非営利団体の個人情報と改正にあります。

53. 労働組合

この節で想定する場面は、組合員名簿、加入情報、組合費の徴収委託を扱う場合です。

組合員の氏名・所属・連絡先を載せた名簿を管理し、組合費の徴収や名簿の保管を外部に任せている場合がある団体です。個人情報保護委員会のQ&A（A1-54）は、営利・非営利の別を問わず、非営利の団体でも個人情報データベース等を事業の用に供していれば個人情報取扱事業者に該当し得るとしています。取り扱う人数の多寡は問われません（A1-50）。実際に該当するかは団体の形態や名簿の使い方によるため、このサイトでは判断できません。法第57条第1項が適用除外として定める主体は、報道機関、著述を業とする者、宗教団体、政治団体であり、労働組合は条文に挙がっていません。組合員であることや組合活動の内容が要配慮個人情報に当たるかは、ガイドライン（通則編2-3）で確認した範囲では明記が見当たらず、このサイトでは判断できません。信条に当たる記述が含まれるかどうかなど、実際の記載内容によります。まず見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 組合員名簿の紛失や、組合員向けメールの誤送信などで個人データの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 組合費の徴収や名簿の管理、連絡網の配信を外部に任せている場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
3. 目的外利用等の緩和: 組合員名簿を上部団体などへ渡す場面で、第三者提供の同意が関係します。改正で新設される例外が使える場面かどうかは、取扱いの内容によって変わります。

使用者と労働組合の間で従業者の個人データを共同利用する場合があることは、ガイドライン（通則編）の共同利用の事例に挙げられています。個別の場面でこれが使えるかは、このサイトでは判断できません。顧問弁護士または個人情報保護委員会にご確認ください。非営利団体の一般的な整理はNPO・非営利団体の個人情報と改正にあります。

54. 自動車教習所

この節で想定する場面は、入校者の本人確認書類・顔写真、未成年の入校者、技能・学科の記録、免許センターとの連絡を扱う場合です。

入校時に運転免許証や住民票の写しなどの本人確認書類と顔写真を預かり、技能・学科の教習記録を管理している事業者です。運転免許証の番号は、施行令第1条第5号が個人識別符号として定めています（e-Gov法令検索で確認）。入校者の年齢は、道路交通法の免許の欠格事由の規定（第88条）が免許の種類ごとに定める年齢要件（原付免許・普通二輪免許は16歳、普通免許などは18歳）を前提にしますが、実際に何歳から入校を受け付けるかは教習所の規程によるため、このサイトでは判断できません。入校者に16歳未満の人がいるかどうかで、こどもの規律の対象になるかが分かれます。まず見ておくとよいのは次の3テーマです。

1. こどもの個人情報（16歳未満）: 16歳に達していない人の情報を取り扱う場合に関係します。免許の最低年齢が16歳である以上、免許取得を目的とする入校者は16歳以上であることが多いと考えられますが、教習所の取扱いによって変わります。16歳以上の人は、この規律の対象にはなりません。「本人」が「法定代理人」に読み替わる条文は16歳未満の読替表で確認できます。
2. 顔特徴データ等: 入校時の本人確認や教習の出欠管理を、顔認証の機器で行っている場合に関係します。顔写真を撮影して保管するだけで顔識別を行わない場合は、顔特徴データ等の対象外です。掲示の内容は周知事項の対応表で確かめられます。
3. 委託先における個人データ等の適正な取扱い: 教習の予約・記録のシステム運用や、適性検査・書類の発送を外部の事業者に任せ、入校者の個人データを預けている場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。

免許センターや公安委員会との連絡で個人データを渡す場面が、第三者提供の例外に当たるかは、このサイトでは個別の場面の判断はできません。顧問弁護士または個人情報保護委員会にご確認ください。

55. 訪問看護ステーション

この節で想定する場面は、利用者宅での記録、タブレット・スマホでの持ち出し、家族への情報提供、記録システムの委託を扱う場合です。

利用者の自宅を訪問して看護を行い、看護記録をタブレットやスマートフォンで入力し、家族へ状況を伝え、記録システムの運用を外部に任せている場合がある事業者です。病歴は、法第2条第3項が要配慮個人情報の例として挙げています（e-Gov法令検索で確認）。ガイドライン（通則編3-5-3）は、要配慮個人情報が含まれる個人データの漏えい等を委員会への報告の対象としています。介護分野の一般的な整理は27番の介護事業者にもあります。まず見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 記録を入れた端末の紛失や盗難、訪問先での誤送信などで、病歴を含む個人データの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 看護記録のシステムの運用や保守を外部の事業者に任せている場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
3. 生命等の保護・学術研究例外: 急変時などに家族や他の医療機関へ利用者の情報を伝える場面で、第三者提供の同意が関係します。改正は、同意を得ることが困難であるときに限らず、同意を得ないことに相当の理由があるときも例外とする内容です。どの場面が当たるかは個別の事情によります。

家族に情報を伝えてよいか、利用者本人の同意がどこまで必要かは、このサイトでは個別の場面の判断はできません。顧問弁護士または個人情報保護委員会にご確認ください。

56. 引越し・ハウスクリーニングなど自宅に入る生活サービス事業者

この節で想定する場面は、見積依頼の氏名・住所・間取り、鍵の情報、現場写真、下請けへの情報共有を扱う場合です。

見積依頼で氏名・住所・間取りを受け取り、作業のために鍵の情報を預かり、現場の写真を撮り、下請けの業者と情報を共有している場合がある事業者です。顧客の自宅の状況は、氏名や住所と結びつくと個人情報として扱われます（法第2条第1項）。現場写真に顧客や家族の顔が写り込むことがありますが、顔特徴データ等は顔識別の機能で本人を識別できるようにしている場合の規律で、撮影して保管するだけで顔識別を行わない写真は対象外です。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 作業を下請けの業者に任せ、顧客の氏名・住所・間取りや現場写真を渡している場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
2. 漏えい等報告・本人通知義務の緩和: 見積依頼の控えや現場写真を入れた端末の紛失、下請けへの誤送信などで個人データの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
3. 顔特徴データ等: 玄関や作業現場のカメラで顔識別を行い、本人を識別できるようにしている場合に関係します。掲示の内容は周知事項の対応表で確かめられます。

鍵の情報が個人情報に当たるか、現場写真を事例として公開するときに顧客の同意が要るかは、情報の内容や使い方によるため、このサイトでは判断できません。顧問弁護士または個人情報保護委員会にご確認ください。

57. 民泊・マンスリー賃貸・シェアハウスの運営者

この節で想定する場面は、宿泊者名簿、本人確認書類の写し、スマートロックや室内カメラの記録、管理会社への委託を扱う場合です。

宿泊者や入居者の氏名・住所などを名簿に記録し、本人確認書類の写しを預かり、スマートロックの開錠記録や共用部のカメラ映像を持ち、管理や清掃を外部の会社に任せている場合がある事業者です。住宅宿泊事業法第8条は、住宅宿泊事業者に宿泊者名簿の備付けと、氏名・住所・職業などの記載を求めています（e-Gov法令検索で確認）。名簿は法律上の義務で作るものですが、名簿に載った氏名・住所は個人情報保護法でも個人情報として扱われます（法第2条第1項）。ホテルの顔認証チェックインは11番のホテル・宿泊施設にあり、この節は名簿と委託と漏えい時の対応に絞っています。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 管理や清掃、スマートロックの運用を外部の会社に任せ、宿泊者名簿や開錠記録を渡している場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
2. 漏えい等報告・本人通知義務の緩和: 宿泊者名簿や本人確認書類の写しを入れた端末の紛失、予約管理システムへの不正アクセス、メールの誤送信などで個人データの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
3. 顔特徴データ等: 玄関や共用部のカメラで顔識別を行い、本人を識別できるようにしている場合に関係します。撮影して保管するだけで顔識別を行わない映像は、この規律の対象外です。掲示の内容は周知事項の対応表で確かめられます。

本人確認書類の写しをどの範囲で、どれだけの期間保管してよいかや、室内カメラの設置が許されるかは、事業の形態や施設の種類によって変わるため、このサイトでは判断できません。顧問弁護士、所管の自治体、または個人情報保護委員会にご確認ください。

58. 結婚式場・ブライダル事業者

この節で想定する場面は、来館予約の氏名・連絡先、列席者名簿、撮影した写真・動画、提携業者への情報共有を扱う場合です。

来館予約で新郎新婦の氏名・連絡先を受け取り、列席者の名簿を作り、式の写真や動画を撮影し、衣装・装花・写真・引き出物などの提携業者と情報を共有している場合がある事業者です。新郎新婦や列席者の氏名・連絡先は、特定の個人を識別できる情報として個人情報に当たります（法第2条第1項）。列席者の名簿は、新郎新婦から預かって取り扱うことが多く、誰が何の目的で管理しているかによって整理が変わります。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 提携の衣装店・写真業者・装花業者などに、新郎新婦や列席者の氏名・連絡先、席次表の情報を渡している場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
2. 漏えい等報告・本人通知義務の緩和: 来館予約の控えや列席者名簿を入れた端末の紛失、予約システムへの不正アクセス、提携業者への誤送信などで個人データの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
3. 顔特徴データ等: 会場や控室、披露宴会場のカメラで顔識別を行い、本人を識別できるようにしている場合に関係します。撮影して保管するだけで顔識別を行わない映像は、この規律の対象外です。掲示の内容は周知事項の対応表で確かめられます。

撮影した式の写真・動画を、広報や宣伝に使うときの列席者の同意の要否や、名簿を提携業者に渡せる範囲は、契約や取得時の説明によって変わるため、このサイトでは判断できません。顧問弁護士または個人情報保護委員会にご確認ください。

59. 古物商・リユース買取店

この節で想定する場面は、買取時の本人確認書類の写し、取引台帳、オンライン査定の申込情報、不用品回収の委託を扱う場合です。

買取のときにお客様の住所・氏名・職業・年齢を確認し、本人確認書類の写しを預かり、取引を台帳に記録し、オンライン査定の申込情報を受け付け、不用品回収を外部の業者に任せている場合がある事業者です。古物営業法第15条は、古物商が古物を買い受けるときに、相手方の住所・氏名・職業・年齢の確認などの措置をとることを求め、第16条は取引の年月日・品目・数量・特徴などを帳簿等に記載することを求め、第18条は帳簿等を最終の記載の日から3年間備え付けることを求めています（e-Gov法令検索で確認）。これらは法律上の義務で記録するものですが、記録に載ったお客様の氏名・住所は個人情報保護法でも個人情報として扱われます（法第2条第1項）。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 不用品回収、出張買取の運送、オンライン査定の受付システムの運用などを外部の会社に任せ、お客様の氏名・住所や申込情報を渡している場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
2. 漏えい等報告・本人通知義務の緩和: 本人確認書類の写しや取引台帳を入れた端末の紛失、オンライン査定の受付システムへの不正アクセス、メールの誤送信などで個人データの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
3. 顔特徴データ等: 店舗や買取カウンターのカメラで顔識別を行い、本人を識別できるようにしている場合に関係します。撮影して保管するだけで顔識別を行わない映像は、この規律の対象外です。掲示の内容は周知事項の対応表で確かめられます。

本人確認書類の写しを台帳とは別に保管してよいか、法令の保存期間を過ぎた後に消す扱いにするかは、取引の形態や所管の公安委員会の運用によって変わるため、このサイトでは判断できません。顧問弁護士、所管の警察署または個人情報保護委員会にご確認ください。

60. コワーキングスペース・貸会議室・レンタルオフィス運営者

この節で想定する場面は、会員登録情報、入退室記録、館内防犯カメラ、郵便物受取代行を扱う場合です。

利用者の氏名・連絡先や法人の担当者の情報を会員として登録し、入退室を記録し、館内の防犯カメラの映像を保存し、利用者あての郵便物を預かって受け取りを代行している場合がある事業者です。会員登録の氏名・連絡先や、特定の個人が分かる入退室記録・カメラ映像は個人情報として扱われます（法第2条第1項）。顔認証で入退館を管理する場合は10番の顔認証で入退館・入場を管理する施設にあり、この節は会員情報と委託と漏えい時の対応に絞っています。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 会員管理システム、入退室管理、清掃や受付などを外部の会社に任せ、会員の氏名・連絡先や入退室記録を渡している場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
2. 漏えい等報告・本人通知義務の緩和: 会員名簿や郵便物の受取記録を入れた端末の紛失、会員管理システムへの不正アクセス、郵便物の誤送付などで個人データの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
3. 顔特徴データ等: 館内のカメラで顔識別を行い、本人を識別できるようにしている場合に関係します。撮影して保管するだけで顔識別を行わない映像は、この規律の対象外です。掲示の内容は周知事項の対応表で確かめられます。

郵便物の受取代行で預かる封書の差出人名などの記録をどこまで残してよいか、防犯カメラ映像をいつまで保存してよいかは、契約や施設の形態によって変わるため、このサイトでは判断できません。顧問弁護士または個人情報保護委員会にご確認ください。

61. 整骨院・接骨院・鍼灸院・整体院

この節で想定する場面は、施術録、予約・問診票、保険請求の委託、施術部位の写真を扱う場合です。

来院者の問診票や施術録に、症状・けがの状況・通院の経過を書き、予約システムや保険請求の事務を外部に任せ、施術部位の写真を撮ることがある施術所です。身体の状況や診療・施術の経過に関する記録は、要配慮個人情報（法第2条第3項）に当たる記述を含み得ます。政令（施行令第2条）は、医師等により行われた健康診断等の結果や、心身の状況を理由に医師等により指導・診療・調剤が行われたことなどを要配慮個人情報の記述として定めています（e-Gov法令検索で確認）。施術録の内容がこれに当たるかは記録の中身によるため、このサイトでは判断できません。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 予約システムや保険請求の事務、施術録の保管システムを外部の会社に任せ、来院者の氏名・連絡先や施術の記録を渡している場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
2. 漏えい等報告・本人通知義務の緩和: 施術録や問診票を入れた端末の紛失、予約システムへの不正アクセス、メールの誤送信などで個人データの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
3. こどもの個人情報（16歳未満）: 小児の来院者の問診票や、保護者の連絡先を扱う場合に、法定代理人の関与が関係します。「本人」が「法定代理人」に読み替わる条文は16歳未満の読替表で確認できます。

施術部位の写真を症例紹介や広告に使えるか、保険請求のために提供できる範囲は、同意の取り方や契約によって変わるため、このサイトでは判断できません。顧問弁護士、所管の保健所または個人情報保護委員会にご確認ください。

62. 学校法人・私立学校

この節で想定する場面は、生徒・保護者名簿、成績・指導記録、行事の写真、連絡アプリや撮影業者への委託、16歳未満の生徒を扱う場合です。

生徒と保護者の氏名・住所・連絡先を名簿にし、成績や指導の記録を管理し、行事の写真を撮り、保護者への連絡アプリや撮影業者などを外部に任せている場合がある学校です。生徒の氏名・連絡先や成績の記録は、特定の個人を識別できる情報として個人情報に当たります（法第2条第1項）。中学生以下の生徒の多くは16歳未満にあたります。保護者会やPTA単位の名簿は51番のPTA・保護者会・学校後援会、学習塾は3番にあり、この節は学校そのものの名簿・記録・委託に絞っています。まず見ておくとよいのは次の3テーマです。

1. こどもの個人情報（16歳未満）: 16歳未満の生徒の名簿・成績・写真を扱う場合に、法定代理人（保護者）の関与が関係します。「本人」が「法定代理人」に読み替わる条文は16歳未満の読替表で確認できます。
2. 委託先における個人データ等の適正な取扱い: 連絡アプリ、学習管理システム、行事の撮影業者などを外部に任せ、生徒・保護者の個人データを渡している場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。教育クラウドの事業者側は31番の学習管理システム(LMS)・教育クラウドサービス事業者にあります。
3. 漏えい等報告・本人通知義務の緩和: 生徒名簿や成績の記録を入れた端末の紛失、連絡アプリへの不正アクセス、保護者あてメールの誤送信などで個人データの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。

行事の写真を学校案内やウェブサイトに載せてよいか、成績や指導の記録を保護者以外に伝えてよいかは、学校の規程や取得時の説明によって変わるため、このサイトでは判断できません。顧問弁護士、所轄庁または個人情報保護委員会にご確認ください。

63. 健康診断機関・産業医サービス・ストレスチェック代行事業者

この節で想定する場面は、受診者の健診結果、企業への結果提供、検査機関への委託を扱う場合です。

受診者の健康診断の結果を受け取って管理し、受診を手配した企業へ結果を知らせ、検体の検査を外部の検査機関に任せている場合がある事業者です。健康診断の結果は、政令（施行令第2条第2号）が要配慮個人情報の記述として定める「疾病の予防及び早期発見のための健康診断その他の検査の結果」に当たり得ます（e-Gov法令検索で確認）。ストレスチェックの結果や産業医の面談記録が当たるかは内容によるため、このサイトでは判断できません。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 検体の検査、結果通知システムの運用、受診予約の受付などを外部の会社に任せ、受診者の氏名・生年月日や健診結果を渡している場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
2. 漏えい等報告・本人通知義務の緩和: 健診結果の入った端末や書類の紛失、結果通知システムへの不正アクセス、企業あて・本人あての誤送付などで個人データの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
3. 目的外利用等の緩和: 受診を手配した企業と結んだ契約に基づいて結果を企業へ提供する場面など、契約の履行に伴う第三者提供の整理に関係し得ます。どの範囲まで同意なしに提供できるかは契約や取得時の説明によって変わるため、このサイトでは判断できません。

企業へ結果を提供してよい範囲や、本人の同意の取り方は、契約や提供する情報の中身によって変わります。他の法令に基づく取扱いもあるため、顧問弁護士または個人情報保護委員会にご確認ください。

64. 家庭教師派遣・オンライン家庭教師仲介

この節で想定する場面は、生徒の学年・成績・顔写真、講師の本人確認書類、保護者の連絡先、授業の録画を扱う場合です。

生徒（子ども）の学年・成績・顔写真と保護者の連絡先を預かり、講師の本人確認書類を受け取って、生徒と講師をつなぎ、オンライン授業を録画することがある事業者です。対面の学習塾（3番）や、学習管理システムを提供する事業者（31番）とは別に、個人の講師を仲介・派遣する形を想定しています。まず見ておくとよいのは次の3テーマです。

1. こどもの個人情報（16歳未満）: 16歳未満の生徒の情報を扱う場合に、同意の取得や通知の相手が法定代理人（保護者）に読み替わる規律（法第40条の2）が関係します。「本人」が「法定代理人」に読み替わる条文は16歳未満の読替表で確認できます。
2. 顔特徴データ等に関する規律: 授業の録画から顔特徴データを作成して照合などに使う場合にだけ関係します。録画しているだけで当たるとは限らず、顔特徴データを作っているかどうかで変わります。対象となる範囲は政令でまだ決まっていない部分があります。
3. 委託先における個人データ等の適正な取扱い: 授業の配信システム、録画の保管、講師の本人確認や決済の事務などを外部の会社に任せ、生徒・保護者・講師の情報を渡している場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。

講師との契約の形（委託か雇用か）、授業の録画を何の目的で、どれだけの期間残してよいかは、契約や取得時の説明によって変わるため、このサイトでは判断できません。顧問弁護士または個人情報保護委員会にご確認ください。

65. 出版社・新聞社・Webメディア・フリーランス記者

この節で想定する場面は、取材対象者の氏名・顔写真、読者アンケート、メルマガ会員、報道目的の適用除外を扱う場合です。

取材した人の氏名・顔写真を記事にし、読者アンケートやメルマガ・読者会員の名簿を持ち、配信や会員管理を外部のシステムに任せている場合がある事業者です。個人情報保護法第57条第1項第1号は、放送機関、新聞社、通信社その他の報道機関（報道を業として行う個人を含む）が、個人情報等を取り扱う目的の全部または一部が報道の用に供する目的であるときは、同章の規定を適用しないと定めています。同条第2項は「報道」を、不特定かつ多数の者に対して客観的事実を事実として知らせること（これに基づいて意見または見解を述べることを含む）とし、同条第3項は安全管理や苦情処理の措置を自ら講じて公表する努力義務を置いています（e-Gov法令検索で確認）。条文は、報道以外の目的で使う部分をどう扱うかまでは書いていません。メルマガ・会員の名簿を、報道とは別の目的（販売促進など）で使う部分が適用除外に入るかは、このサイトでは判断できません。まず見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 会員名簿や読者アンケートの回答、取材メモを入れた端末の紛失、会員管理システムへの不正アクセス、メルマガの誤送信などが起きた場合に、適用除外の範囲にない取扱いについて関係します。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: メルマガの配信、会員管理、アンケートの集計、記事の配信基盤などを外部の会社に任せ、会員の氏名・メールアドレスを渡している場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。
3. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 会員の電話番号・メールアドレスや、サイトの閲覧に付くCookie IDなどを、広告配信や外部との共有に使う場合に、不適正利用・不正取得の禁止規定の対象になるかを確認しておく意味があります。

報道目的の取扱いに当たるか、フリーランスの記者や著述を業とする者（同条第1項第2号）がどこまで含まれるかは、事情によって変わります。顧問弁護士または個人情報保護委員会にご確認ください。

67. スマート家電・IoT機器・見守りカメラのメーカー・販売事業者

この節で想定する場面は、音声・映像・位置情報の取得、アプリ会員、海外クラウド保存を扱う場合です。

スマートスピーカー、見守りカメラ、スマート家電などの機器を作ったり売ったりし、機器で取得した音声・映像・位置情報を、アプリの会員情報とあわせてクラウドに保存し、そのサーバが海外にある場合がある事業者です。映像に顔が写る、会員の氏名や連絡先と結び付くなど、特定の個人を識別できる場合は個人情報に当たり得ます。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: クラウドの運用、アプリの開発・保守、問い合わせ対応を外部の会社に任せている場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）が関係します。サーバが外国にある場合の、外国にある第三者への提供（法第28条）との関係は越境移転のページで整理しています。当たるかどうかは、契約や取扱いの実態によります。
2. 漏えい等報告・本人通知義務の緩和: 機器やクラウドへの不正アクセスで、音声や映像、会員情報が漏れた場合の報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
3. 顔特徴データ等に関する規律: 見守りカメラの映像から顔特徴データを作成して照合などに使う機能がある場合にだけ関係します。映像を保存しているだけで当たるとは限りません。対象となる範囲は政令でまだ決まっていない部分があります。

位置情報・移動履歴・端末IDを扱う場合（体重計やウェアラブルの機器データ、地図・配達アプリなど）に、令和8年改正で関わる点を、確認できたものだけ書きます。確認日は 2026-10-15 です。

• e-Govで確認した個人情報保護法の条文に「位置情報」という語はありません。位置情報や端末IDそのものを名指しした改正条文は、確認できていません。
• 端末IDなど、個人情報・仮名加工情報・匿名加工情報のどれにも当たらない、生存する個人に関する情報は「個人関連情報」（法第2条第7項）で、提供先で個人データになる場合の第三者提供には法第31条の制限があります。改正で追加される連絡可能個人関連情報の範囲は連絡可能個人関連情報のページのとおり、規則で定める部分が未確定です。
• 個人情報保護委員会事務局が2026-10-14に示した「基本的な考え方について③」（案であり、決定ではありません）は、課徴金の対象外とする場合の条件として、提供した個人データに「蓄積された位置情報、購買履歴等」が含まれないことを挙げています。位置情報が蓄積されたデータの第三者提供は、対象外の候補から外れる方向の案です。詳しくは課徴金のページを参照してください。
• 同じ資料の参考資料には、委員会事務局のレポートの記述が引用されています。ある一時点の位置情報だけでは一般に個人情報に当たりませんが、連続して蓄積されると移動履歴になり、深夜や日中の滞在地点から自宅や勤務先を推測できる場合がある、という内容です。これは匿名加工情報の作成に関する説明の引用であり、改正で新設される規律ではありません。

取得した音声や映像が個人情報に当たるか、利用目的をどう知らせるか、外国にある第三者への提供に当たるかは、機器の機能や契約の形によって変わるため、このサイトでは判断できません。子どもが使う機器の場合はこどもの個人情報も参照してください。顧問弁護士または個人情報保護委員会にご確認ください。

68. 旅行会社・旅行業者

この節で想定する場面は、申込者・同行者の氏名、パスポート情報、アレルギー等の健康情報、現地手配先への提供を扱う場合です。

旅行の申込を受け、申込者と同行者の氏名・生年月日・連絡先、航空券や査証の手配に使うパスポート情報、食物アレルギーなどの健康に関する情報を集め、宿泊施設・運送機関・現地の手配先へ伝えている事業者です。23番の旅行代理店・宿泊予約プラットフォームが取次ぎの仕組みを見る節であるのに対し、ここでは集める情報の種類と、現地手配先への提供を見ます。個人情報の保護に関する法律施行令（e-Gov法令検索で確認）第1条は、旅券法第6条第1項第1号の旅券の番号を個人識別符号として挙げています。法第2条第3項は、病歴などを要配慮個人情報とし、政令で定める記述等が含まれる個人情報を対象にします。アレルギーなどの健康に関する記載が要配慮個人情報に当たるかどうかは記載の内容によるため、このサイトでは判断できません。同行者の氏名なども、申込者とは別の本人の情報です。まず見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 申込者名簿の誤送信や、手配先へのメールの宛先間違いなどで、パスポート情報や健康に関する情報が漏れた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 予約システムや申込フォームの運用、書類の発送を外部に任せている場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
3. こどもの個人情報: 家族旅行などで16歳未満の同行者の情報を集める場合に関係します。何が決まっていて何が未確定かは、こどもの個人情報のページで分けて書いています。

海外の宿泊施設や現地手配先へ情報を伝える場合は、法第28条（外国にある第三者への提供の制限）が関係しうるため、外国にある第三者への提供（法第28条）のページも参照してください。手配先への提供が同意の要る第三者提供に当たるか、旅行契約の履行に必要な範囲かは、提供の形によって変わるため、このサイトでは判断できません。顧問弁護士または個人情報保護委員会にご確認ください。

69. 葬儀社・葬祭業者

この節で想定する場面は、喪主・参列者・故人の情報、香典帳・会葬者名簿、寺院や花屋への情報共有を扱う場合です。

喪主や参列者の氏名・住所・連絡先を受け付け、香典帳や会葬者名簿を作り、寺院・花屋・返礼品業者などと情報を共有している事業者です。法第2条第1項は、個人情報を「生存する個人に関する情報」と定義しています（e-Gov法令検索で確認）。そのため、亡くなった方だけについての情報は、この定義には当たりません。ただしガイドライン（通則編2-1）は、死者に関する情報が同時に遺族等の生存する個人に関する情報でもある場合は、その生存する個人に関する情報に該当するとしています。喪主・遺族・参列者の氏名や連絡先、故人との続柄などは、生存する個人の情報として扱われることになります。どの記載がどちらに当たるかは個別の内容によるため、このサイトでは判断できません。なお、宗教や宗派に関する記載は、ガイドライン（通則編2-3）が「信条」を要配慮個人情報の一つとしているため、記載の内容に注意が要ります。まず見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 会葬者名簿の紛失や、参列者向けメールの誤送信などで個人データの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 名簿の入力、案内状の発送、受付システムの運用を外部に任せている場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
3. 目的外利用等の緩和: 喪主や参列者の連絡先を寺院や花屋などに伝える場面で、第三者提供の同意が関係します。改正で新設される例外が使える場面かどうかは、取扱いの内容によって変わります。

寺院側の整理は52. 寺院・神社などの宗教法人にあります。葬祭業者が法第57条の適用除外に当たるかどうかなど、個別の場面の判断はこのサイトではできません。顧問弁護士または個人情報保護委員会にご確認ください。

70. 図書館・体育館・プールなど公共施設の指定管理者・民間受託事業者

この節で想定する場面は、利用者登録、貸出履歴、防犯カメラ、自治体への報告を扱う場合です。

自治体から図書館・体育館・プールなどの管理を任され、利用者登録、貸出履歴、予約、防犯カメラの映像を扱い、自治体へ利用状況を報告している民間の事業者です。迷いやすいのは、自社の義務と、自治体側の規律のどちらが問題になるかの分け方です。法第66条第2項第2号は、地方自治法第244条の2第3項の指定管理者が公の施設の管理の業務を行う場合の個人情報の取扱いについて、安全管理措置の規定（同条第1項）を準用すると定めています。同項第1号と第5号は、行政機関等から個人情報の取扱いの委託を受けた者とその再委託先にも、委託を受けた業務について同じ規定を準用します（いずれもe-Gov法令検索で確認）。指定管理者や受託者が、自社の事業で取り扱う個人情報についてどの規定の対象になるかは、業務の内容や協定・契約の定めによるため、このサイトでは判断できません。自治体側の改正の整理は行政機関等の改正のページにあります。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 貸出システムや予約システムの運用、警備や清掃を外部に任せている場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）が関係します。自治体から任される立場そのものの整理は、上の法第66条の説明を参照してください。
2. 漏えい等報告・本人通知義務の緩和: 利用者名簿の紛失や、貸出履歴の誤送信などで個人データの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。自治体への報告の取り決めがある場合は、協定や契約の定めも確認します。規則で定める範囲は未確定です。
3. こどもの個人情報: 図書館の利用者登録やプール教室の申込など、16歳未満の利用者の情報を扱う場合に関係します。何が決まっていて何が未確定かは、こどもの個人情報のページで分けて書いています。

防犯カメラの映像を扱う場合の周知の考え方は顔認証カメラの周知の対応にあります（顔認証を使う場合に関係します）。個別の協定や契約に基づく責任の範囲は、このサイトでは判断できません。顧問弁護士または委託元の自治体にご確認ください。

71. イベント主催者・スポーツ大会運営者・チケット販売事業者

この節で想定する場面は、参加申込者名簿、当日の撮影・顔写真、チケット転売対策の本人確認、未成年参加者を扱う場合です。

コンサート・展示会・マラソン大会などの参加申込を受け、参加者や購入者の氏名・連絡先の名簿を作り、当日の様子を撮影し、チケットの転売対策として入場者の本人確認をしている事業者です。顔認証でチケットなしに入場させる方式は10番の顔認証で入退館・入場を管理する施設にあり、この節は顔認証を使わない名簿・撮影・本人確認と委託に絞っています。特定興行入場券の不正転売の禁止等による興行入場券の適正な流通の確保に関する法律（e-Gov法令検索で確認）は、入場資格者が指定された特定興行入場券について、興行主等が販売時に入場資格者の氏名と連絡先を確認する措置を講じることを要件の一つとし（第2条第3項第3号）、興行主等に入場しようとする者が入場資格者と同一であることを確認する措置などを講ずる努力義務を課しています（第5条第1項）。この本人確認で集めた氏名・連絡先は、特定の個人が分かるものとして個人情報の保護に関する法律（法第2条第1項）の対象になりえます。まず見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 参加者名簿の誤送信や、入場資格者の氏名・連絡先を載せた一覧の紛失などで個人データの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 申込受付やチケット販売の仕組み、当日の受付・入場管理、記念品の発送を外部に任せている場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
3. こどもの個人情報: ジュニア向けの大会や親子参加のイベントなどで16歳未満の参加者の情報を集める場合に関係します。何が決まっていて何が未確定かは、こどもの個人情報のページで分けて書いています。

当日の撮影の考え方は46. 写真館・フォトスタジオの節にあります。入場時の本人確認で何を確認するか、撮影した映像を広報に使ってよいか、転売対策の措置が法の求める水準を満たすかなど、個別の場面の判断はこのサイトではできません。顧問弁護士または個人情報保護委員会にご確認ください。

72. ライブ配信者・配信事務所・動画配信プラットフォーム運営者

この節で想定する場面は、視聴者のコメント・投稿者情報、出演者の顔、収益化の本人確認、未成年配信者を扱う場合です。

YouTube・ニコニコ生放送のような動画配信サービスで配信する個人や、配信者を所属させて活動を支える事務所、そして視聴者がコメントを書き込める配信の場を運営する事業者です。視聴者のアカウント名やコメント、配信に映る出演者の顔、収益化のために集める配信者の本人確認書類や口座情報が、この節で扱う情報です。顔画像から作る特徴データで本人を識別する仕組みは顔特徴データ等のページにあり、この節は顔認証を使わない通常の配信に絞っています。アカウント名やコメントだけでも、氏名・連絡先・投稿内容などと容易に照合できて特定の個人が分かるものは、個人情報の保護に関する法律（法第2条第1項。e-Gov法令検索で確認）の対象になりえます。配信者の本人確認書類や口座情報は、事務所やプラットフォームが名簿にして持てば個人情報データベース等として扱う場面があります。まず見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 配信者の本人確認書類・口座情報の管理画面からの流出や、視聴者の登録情報の不正アクセスによる漏えいなどが起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 配信システムの運用、本人確認の代行、投稿の監視、収益の支払処理などを外部に任せている場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
3. こどもの個人情報: 16歳未満の配信者や、その保護者の同意のもとで活動する出演者の情報を集める場合に関係します。何が決まっていて何が未確定かは、こどもの個人情報のページで分けて書いています。

出演者の顔が映る映像を配信や切り抜きに使ってよいか、コメントの削除や発信者の開示請求に応じる範囲、収益化の本人確認で集める情報の範囲など、個別の場面の判断はこのサイトではできません。顧問弁護士または個人情報保護委員会にご確認ください。

73. 商工会議所・商工会・業界団体・協会

この節で想定する場面は、会員名簿、会員企業の担当者情報、セミナー申込、会員向け名簿の第三者提供を行う場合です。

地域の商工会議所・商工会、業種ごとの業界団体や協会など、会員の名簿を持ち、会員企業の担当者の氏名・役職・連絡先を管理し、セミナーや交流会の申込を受け、会員向けに名簿を配る団体です。会員が法人でも、名簿に載る担当者や個人事業主の会員の氏名・連絡先は、特定の個人が分かるものとして個人情報の保護に関する法律（法第2条第1項）の対象になりえます。労働組合の組合員名簿は労働組合の節に、同窓会は同窓会名簿管理サービス事業者の節にあり、この節は事業者の団体の会員名簿・申込・名簿の提供に絞っています。名簿を本人の同意なく第三者に提供することは原則できず（法第27条第1項）、本人の求めに応じて提供を停止することなどを前提に、本人への通知または容易に知り得る状態に置くことと個人情報保護委員会への届出をしたうえで提供する方法（オプトアウト）が法第27条第2項にあります。団体が利用目的の達成に必要な範囲で名簿の取扱いを委託するときの受け手は、第三者に当たらないとされています（法第27条第5項第1号）。まず見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 会員名簿のメール誤送信、セミナー申込者一覧の紛失、事務局のパソコンへの不正アクセスなどで漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 会員管理システム、セミナー申込の受付、会報や名簿の発送を外部に任せている場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
3. オプトアウト制度の強化: 会員向けの名簿や会員企業の担当者リストを、同意によらずオプトアウトの届出によって他者へ提供している場合に関係します。提供先の身元と利用目的の確認が新設されますが、確認方法は委員会規則で定められる予定で、確定していません。会員同士での名簿共有が同意や共同利用によるものか、オプトアウトによるものかで関係が変わります。

会員名簿を会員に配ってよいか、同意を取る範囲、協会が行政機関や関連団体へ名簿を出す場合の整理など、個別の場面の判断はこのサイトではできません。顧問弁護士または個人情報保護委員会にご確認ください。

75. ゴルフ場・スキー場・テーマパークなどのレジャー施設

ゴルフ場・スキー場・テーマパークなど、会員の名簿を持ち、ウェブで予約を受け、敷地内に防犯カメラを置き、会員や年間パスの利用者の入場に顔認証を使うことがある施設です。会員の氏名・住所・連絡先、予約者の氏名、特定の個人が分かる映像は、個人情報の保護に関する法律（法第2条第1項）の対象になりえます。顔認証でチケットなしに入場させる仕組みそのものは10番の顔認証で入退館・入場を管理する施設に、一回限りのイベントの参加者名簿は71番のイベント主催者の節にあり、この節は会員制で繰り返し利用される施設の会員名簿と予約情報、防犯カメラ、予約や入場の仕組みの委託に絞っています。まず見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 会員名簿のメール誤送信、予約システムへの不正アクセス、年間パス利用者の情報を載せた書類の紛失などで漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: ウェブ予約・会員管理の仕組み、会員証やパスの発行、入場ゲートの運用を外部に任せている場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
3. 顔特徴データ等: 会員や年間パスの利用者の顔画像から作る特徴データで入場の本人確認をする場合に関係します。取扱いの周知の義務付け、オプトアウト制度に基づく第三者提供の禁止、利用停止等請求の要件の緩和が改正法で定められています（個人情報保護委員会「改正法の概要」で確認）。顔認証を使わず、防犯カメラの映像を録画しているだけの施設は、この項目の対象かどうかも含めて個別に確かめる必要があります。入口に掲示する内容は顔識別機能付きカメラの周知事項の対応表で確かめられます。

会員名簿を会員同士や提携施設に見せてよいか、防犯カメラの映像を何日保存するか、子どもの来場者の情報の扱いなど、個別の場面の判断はこのサイトではできません。顧問弁護士または個人情報保護委員会にご確認ください。

76. 生活協同組合・農業協同組合などの協同組合

この節で想定する場面は、組合員名簿の管理、組合員・債権者からの名簿の閲覧請求への対応、共同購入・宅配の注文履歴と配送先の管理、組合員の世帯の子どもの情報の記録です。

生活協同組合（生協）や農業協同組合（農協）など、組合員の名簿を法律に基づいて作り、共同購入や宅配の注文履歴と配送先を持ち、組合員の世帯の子どもの情報を記録することがある組織です。組合員の氏名・住所・注文履歴は、特定の個人が分かるものとして個人情報の保護に関する法律（法第2条第1項）の対象になりえます。この節が他の団体の節と違うのは、組合員名簿の作成・備置きと、組合員・債権者による閲覧・謄写の請求が、それぞれの組合の根拠法に定められている点です。消費生活協同組合法の第25条の2は、名簿に氏名・住所、加入年月日、出資口数・金額等を記載し、組合員および組合の債権者が業務取扱時間内にいつでも閲覧・謄写を請求でき、組合は正当な理由なく拒めないと定めています。農業協同組合法の第27条にも、同じ趣旨の名簿の作成と閲覧・謄写の請求の規定があります（e-Govの条文で2026-10-13に確認）。漁協など他の協同組合は、それぞれの根拠法に同種の規定があるかを個別に確かめてください。名簿を法令に基づいて見せる場合が個人情報保護法の第三者提供の制限（法第27条第1項。第1号に「法令に基づく場合」がある）にどう当たるかは、請求者や範囲で変わりうるため、このサイトでは結論を示しません。労働組合の名簿は労働組合の節、会員の名簿を配る業界団体は商工会議所・業界団体の節、自治会はマンション管理組合・自治会の節にあり、この節は協同組合の名簿の法定の閲覧請求、共同購入・宅配の記録、子どもの情報に絞っています。

1. 漏えい等報告・本人通知義務の緩和: 組合員名簿のメール誤送信、宅配の注文履歴や配送先一覧の紛失、組合員システムへの不正アクセスなどで漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 共同購入の受注システム、宅配の配送、組合員への案内の発送を外部に任せている場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
3. こどもの個人情報: 宅配の記録や子ども向けのサービスの申込に、16歳未満の本人の氏名・年齢・アレルギーなどを載せる場合に関係します。16歳未満の本人に代わって法定代理人が関与する規律が、改正法で定められています（個人情報保護委員会「改正法の概要」で確認）。組合員である親の情報の扱いと、世帯の子どもの情報の扱いは分けて確認します。

名簿の閲覧請求にどこまで応じるか、閲覧させる項目の範囲、請求者が債権者の場合の確認方法など、個別の場面の判断はこのサイトではできません。顧問弁護士または所管の行政庁、個人情報保護委員会にご確認ください。

77. 社会福祉協議会・社会福祉法人

この節で想定する場面は、ボランティアの登録、生活福祉資金などの相談記録、福祉サービス利用者の記録、市町村から委託を受けた相談・支援の事業です。

社会福祉協議会（社協）や社会福祉法人など、ボランティアや会員の登録情報を持ち、生活上の困りごとの相談を受けて記録し、市町村から相談や支援の事業を受託する組織です。相談の記録には、病歴、障害の内容、生活保護の受給、経済状況といった、取扱いに配慮が必要な情報が含まれることがあります。介護事業そのものは介護事業者の節に、障害福祉サービスは障害福祉サービス事業者の節に、保育や習い事は学習塾・保育の節に、公共施設の指定管理は指定管理者の節にあり、この節はそれらと重ならない部分、つまり相談記録と、市町村から受託した事業での情報の扱いに絞っています。法律上の秘密保持の定めは個人情報保護法とは別にあります。社会福祉法の第106条の4第6項は、市町村から重層的支援体制整備事業の委託を受けた者の役員・職員などに、正当な理由なく事業に関して知り得た秘密を漏らすことを禁じ、同法の第106条の6第6項は、支援会議の事務に従事する者について同じ趣旨を定めています。違反には1年以下の拘禁刑または100万円以下の罰金があります（同法の第159条。e-Govの条文で2026-10-13に確認）。個人情報保護法上の義務と、この秘密保持の義務は別々に確認します。

1. 委託先における個人データ等の適正な取扱い: 市町村から相談や支援の事業を受託している場合は、受託した側として、委託された業務に必要な範囲を超えて取り扱ってはならないという義務が明文化されます（法第30条の3）。委託元の市町村の条例や契約の特記事項と、自組織が負う民間事業者としての義務を分けて確認します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
2. 漏えい等報告・本人通知義務の緩和: 相談記録の誤送付、ボランティア登録名簿の紛失、利用者情報を入れたパソコンへの不正アクセスなどで漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
3. 目的外利用等の規律緩和: 相談の過程で、病歴や障害などの要配慮個人情報を取得したり、関係機関に共有したりする場面で、本人の同意が必要かどうかに関係します。契約の履行に伴うなど、取得の状況から本人の意思に反しないことが明らかな場合に同意が不要になる新しい例外が設けられました。どの場面が当たるかは、ガイドライン等でまだ示されていません。

相談記録を関係機関とどこまで共有してよいか、ボランティアの登録情報の保存期間、市町村からの照会への回答など、個別の場面の判断はこのサイトではできません。顧問弁護士または個人情報保護委員会にご確認ください。

78. タクシー・ハイヤー・バスの運行事業者

この節で想定する場面は、車内カメラやドライブレコーダーの映像、配車アプリの利用者情報、運転者の台帳、乗客からの苦情の記録を扱う場合です。

タクシー・ハイヤー・路線バス・貸切バスなどの旅客自動車運送事業者は、乗客の姿が映る車内映像と、運転者の氏名・生年月日・住所・免許の情報の両方を持ち、配車システムの運営や映像の保存を外部に任せている場合がある事業者です。16番のライドシェア仲介は乗客と運転者を取り次ぐ立場ですが、この節は自ら旅客を運送する事業者の立場です。荷物を運ぶ事業者は41番に分けています。まず見ておくとよいのは次の3テーマです。

1. 顔特徴データ等: 9番の防犯カメラと同じく、車内の映像を録画・確認するだけであれば中心の場面ではありません。映像から顔の特徴を抽出して、運転者や乗客を識別する仕組みを使っている場合に、周知の義務付けなどの新しい規律に関係します。
2. 委託先における個人データ等の適正な取扱い: 配車システムの運用や、ドライブレコーダー映像の保管・解析を外部の事業者に任せている場合は、委託元として委託先の管理を確認します。配車アプリの運営会社などから配車の業務を受けている場合は、受託した側として、委託された業務に必要な範囲を超えて取り扱ってはならないという義務が明文化されます（法第30条の3）。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
3. 漏えい等報告・本人通知義務の緩和: 車内映像の流出、運転者の台帳の紛失、配車システムへの不正アクセス、乗客の忘れ物の連絡先メモの誤送付などで漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。

旅客自動車運送事業運輸規則は、苦情を申し出た人への弁明と、苦情の内容・原因究明の結果・弁明の内容・改善措置・担当者を営業所ごとに記録して1年間保存すること（第3条）、運転者ごとに氏名・生年月日・住所・免許の事項を記載し写真を貼り付けた乗務員等台帳を営業所に備えること（第37条）、事故の記録を3年間保存すること（第26条の2）を定めています（e-Gov法令検索で確認）。これらは運送事業の法令上の義務で、個人情報保護法の義務とは別に確認します。記録の保存期間と個人情報保護法の考え方の両立、車内映像の保存期間や乗客への掲示の仕方など、個別の場面の判断はこのサイトではできません。顧問弁護士、国土交通省の運輸局、個人情報保護委員会にご確認ください。

79. 携帯電話販売店・通信サービスの代理店

この節で想定する場面は、契約時の本人確認書類の確認、キャンペーン用の勧誘リスト、委託元の通信事業者との情報共有です。

携帯電話会社などの通信事業者のために契約の取次ぎや代理を行い、運転免許証などの本人確認書類を見て、契約者の氏名・住居・生年月日を確かめる店舗・代理店です。26番のeKYC事業者が本人確認の技術を提供する立場であるのに対し、この節は店頭やオンラインで契約を取り次ぐ立場です。携帯電話の契約時の本人確認は、携帯音声通信事業者による契約者等の本人確認等及び携帯音声通信役務の不正な利用の防止に関する法律（携帯電話不正利用防止法）が定めており、同法第6条は、携帯音声通信事業者が本人確認を、契約の媒介・取次ぎ・代理を業として行う者（媒介業者等）に行わせることができるとしています。事業者は、本人確認が確実に行われるよう媒介業者等を監督しなければなりません（同法第12条）。本人確認記録の作成は第4条第1項に、携帯音声通信事業者が記録を契約の終了から3年間保存することは第4条第2項に定められています（e-Gov法令検索で確認）。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 通信事業者から契約の受付や取次ぎを任され、契約者の情報を扱っている場合は、受託した側として、委託された業務に必要な範囲を超えて取り扱ってはならないという義務が明文化されます（法第30条の3）。委託元の指示と自店の判断を分けて確認します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
2. 漏えい等報告・本人通知義務の緩和: 本人確認書類の写しや申込書の紛失、店頭の受付端末からの流出などで漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
3. 連絡可能個人関連情報の不適正利用・不正取得の禁止: キャンペーンの勧誘で、氏名と結び付いていない電話番号やメールアドレスのリストを取得・利用する場合に関係します。氏名とともに管理している顧客リストは、この規律ではなく通常の個人情報の規律で考えます。

本人確認の方法の細目は総務省令で定められています。書類の写しをどこに保存するか、通信事業者と代理店のどちらがどの情報を持つか、委託元との情報共有をどこまで行ってよいかなど、個別の場面の判断はこのサイトではできません。通信事業者の指示と契約の内容を確かめたうえで、顧問弁護士、総務省、個人情報保護委員会にご確認ください。電話番号やメールの配信を外部に任せる場合は34番のSMS・メール配信代行の節、顔画像を使った本人確認の仕組みは26番の節も見てください。

80. 大学・専門学校・各種学校

この節で想定する場面は、入試の出願者、留学生、卒業生名簿、研究室での個人情報、学生向けアプリの委託を扱う場合です。

入試の出願書類で受験生の氏名・住所・成績を受け取り、入学後は学生と留学生の情報を管理し、卒業生の名簿を持ち、研究室で調査や実験の対象者の情報を扱い、履修や出欠の学生向けアプリを外部に任せている場合がある学校です。生徒・保護者を中心にした私立学校は62番の学校法人・私立学校にあり、この節は大学・専門学校の学生や出願者、卒業生に絞っています。法の「学術研究機関等」は、大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者と定められています（法第16条第8項）。また、地方公共団体の機関が行う大学の運営は、個人情報取扱事業者による取扱いとみなして民間事業者の章の規定を適用する扱いがあります（法第58条第2項第1号）。設置者が誰か（私立・公立・国立）によって適用される規律が変わり得るため、設置者ごとの当たりはこのサイトでは判断できません（いずれもe-Gov法令検索で確認）。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 履修・出欠・学内連絡のアプリ、入試の出願受付システム、成績や証明書の発行事務などを外部の会社に任せ、学生や出願者の個人データを渡している場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。教育クラウドの事業者側は31番、卒業生名簿の管理を受託する側は同窓会名簿管理サービス事業者にあります。
2. 漏えい等報告・本人通知義務の緩和: 出願者の書類や成績の入った端末の紛失、学生向けアプリへの不正アクセス、卒業生あてメールの誤送信などで個人データの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
3. 学術研究・公衆衛生に関する規律: 研究室で調査や実験の対象者の情報を学術研究目的で扱う場合に、学術研究機関等であることを前提とした例外（法第18条第3項第5号・第6号）が関係し得ます。研究目的以外の学生の管理や卒業生への案内に、その例外が使えるわけではありません。どこまでが学術研究目的かは、このサイトでは判断できません。

留学生の成績や在籍の情報を母国の大学や送り出し機関に渡す場合は、外国にある第三者への提供の制限（法第28条）が関係し得ます。入試の出願書類のように、本人から書面で直接個人情報を取得する場合は、あらかじめ利用目的を明示する扱いがあります（法第21条第2項）。卒業生名簿を同窓会などに渡してよいか、入試の成績を本人にどこまで開示するか、研究の対象者への同意の取り方は、学内の規程や取得時の説明によって変わるため、このサイトでは判断できません。顧問弁護士、所轄庁または個人情報保護委員会にご確認ください。

81. M&A・事業譲渡・事業承継・グループ会社再編

この節で想定する場面は、顧客名簿・従業員情報の承継、買収監査（デューデリジェンス）での開示を扱う場合です。

合併、事業譲渡、会社分割、グループ会社の再編などで、相手の会社に顧客名簿や従業員の情報を引き継ぐ、または引き継ぎを受ける、あるいはその前に買収監査で資料を開示する場合がある事業者です。法は、「合併その他の事由による事業の承継に伴って個人データが提供される場合」の提供を受ける者を、第三者提供の制限の適用上、第三者に該当しないものとしています（法第27条第5項第2号）。一方で、事業を承継して個人情報を取得した事業者は、あらかじめ本人の同意を得ないで、承継前の利用目的の達成に必要な範囲を超えて取り扱ってはなりません（法第18条第2項。いずれもe-Gov法令検索で確認）。どの再編の形が「事業の承継」に当たるか、買収監査の段階での開示がこの扱いの対象になるか、グループ会社間の共有が承継ではなく共同利用（法第27条第5項第3号）などの別の規定で整理されるかは、事案ごとに変わるため、このサイトでは判断できません。まず見ておくとよいのは次の3テーマです。

1. 課徴金制度の導入: 課徴金について、消滅・事業譲渡等の場合の適用は政令で定めるとされています（法第148条の7第6項）が、その政令の内容は未確定事項の一覧のとおり未確定です。確定していない部分を、確定した事実のように扱わないでください。
2. 漏えい等報告・本人通知義務の緩和: 名簿や従業員情報を移行する途中の誤送信、移行先システムへの不正アクセスなどで個人データの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
3. 委託先における個人データ等の適正な取扱い: データの移行作業、システムの統合、買収監査の資料整理などを外部の会社に任せている場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。

承継後に何の目的で使えるか、本人への通知や公表をどうするか、従業員情報の扱い、承継の対象に含まれる情報の範囲は、再編の契約や承継前の利用目的の書き方によって変わるため、このサイトでは判断できません。顧問弁護士または個人情報保護委員会にご確認ください。

82. 治験依頼者・CRO・SMO・臨床研究の実施機関

この節で想定する場面は、被験者情報、医療機関からの提供、委託先への提供、仮名化データを扱う場合です。

治験や臨床研究で被験者の病歴や検査結果を受け取り、実施する医療機関から情報の提供を受け、CRO（開発業務受託機関）やSMO（治験施設支援機関）などの委託先に渡し、氏名等を置き換えたデータを扱う場合がある事業者・機関です。被験者の病歴などは要配慮個人情報に当たり得ます（法第2条第3項）。要配慮個人情報の取得は原則として本人の同意が必要で（法第20条第2項）、個人データの第三者提供も原則として同意が必要です（法第27条第1項）。ただし、学術研究機関等が学術研究目的で取り扱う場合などの例外が、取得（法第20条第2項第5号から第7号まで）と第三者提供（法第27条第1項第5号から第7号まで）に置かれています（e-Gov法令検索で確認）。大学病院などが学術研究機関等に当たるか、製薬会社や委託先の会社が当たるか、その例外のどれに当たるかは、事業者の性質と取扱いの目的によって変わるため、このサイトでは判断できません。まず見ておくとよいのは次の3テーマです。

1. 学術研究・公衆衛生に関する規律: 同意を得ることが困難な場合の要件緩和と、病院等を学術研究機関等に明示的に含める改正に関係します。ガイドラインで示される細目はまだ確定していません。
2. 委託先における個人データ等の適正な取扱い: データの管理、症例報告書の作成、被験者対応などをCROやSMOに任せている場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
3. 漏えい等報告・本人通知義務の緩和: 被験者の情報を入れた端末の紛失、委託先への誤送信、データ管理システムへの不正アクセスなどで漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。

氏名等を置き換えたデータは、法の仮名加工情報（法第41条）に当たるものとして作る場合、第三者に提供できないなどの定めがあります（同条第6項）。個人情報として扱う場合との切り分けは仮名加工情報の改正のページを見てください。治験や臨床研究には、個人情報保護法のほかに、医薬品や医療機器に関する法令や、研究についての国の指針など別の定めがあります。この節は個人情報保護法の条文だけを扱い、それらの定めは説明の対象外です。同意の取り方、提供の可否、仮名加工情報に当たるかは、このサイトでは判断できません。顧問弁護士、実施機関の倫理審査の窓口または個人情報保護委員会にご確認ください。

83. ふるさと納税ポータル・返礼品提供事業者・寄付受付の受託事業者

この節で想定する場面は、寄付者情報、返礼品の配送先、自治体との委託関係を扱う場合です。

ふるさと納税の仕組みで寄付者の氏名・住所・連絡先を受け付け、返礼品の配送先の情報を返礼品の提供事業者に渡し、自治体から寄付の受付や発送の事務を任されている場合がある事業者です。地方公共団体の機関は、法の「行政機関等」に含まれます（法第2条第11項）。行政機関等から個人情報の取扱いの委託を受けた者には、委託を受けた業務について、保有個人情報の安全管理措置の規定が準用され（法第66条第2項第1号）、その再委託を受けた者にも及びます（同項第5号）。この業務に従事している者には従事者の義務もあります（法第67条。いずれもe-Gov法令検索で確認）。ポータル運営者や返礼品の提供事業者が、自治体の委託を受けた者として扱われるのか、民間の個人情報取扱事業者として自ら取り扱うのかは、契約と業務の中身によって変わるため、このサイトでは判断できません。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 自治体から寄付の受付や発送の事務を任されている場合や、返礼品の発送を事業者に任せている場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。自治体の側の改正は行政機関等の改正のページにあります。
2. 漏えい等報告・本人通知義務の緩和: 寄付者の一覧や配送先リストの誤送信、ポータルへの不正アクセスなどで個人データの漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
3. 目的外利用等の緩和: 寄付の申込みを受けて、返礼品の発送のために配送先の情報を事業者に渡すような、契約の履行に伴う提供が関係し得ます。どの場面が対象になるかは規則等で定められる予定で、確定していません。

寄付者から取得した情報を自治体や返礼品の事業者に渡してよいか、寄付者への利用目的の示し方、委託の範囲に収まるかは、契約や取得時の説明によって変わるため、このサイトでは判断できません。クラウドファンディング型の寄付は25番にあります。顧問弁護士、委託元の自治体の窓口または個人情報保護委員会にご確認ください。

84. 名刺管理・取引先担当者情報を扱うBtoB事業者

この節で想定する場面は、名刺アプリ・商談履歴・展示会で集めた名刺・取引先担当者の個人データを扱う場合です。

取引先の担当者と交換した名刺や、展示会・セミナーで集めた名刺を、名刺管理アプリや社内の顧客台帳に登録し、商談の履歴と一緒に社内で共有している場合がある事業者です。法人の取引先であっても、名刺に載る担当者個人の氏名・勤務先・連絡先は個人情報です。これらを電子計算機で検索できるように体系的に構成した集合物は、個人情報データベース等に当たります（法第16条第1項第1号）。紙の名刺でも、一定の規則に従って整理し容易に検索できる状態なら政令の定めに当たり得ます（同項第2号、施行令第4条第2項。いずれもe-Gov法令検索で確認）。データベース等を事業の用に供していれば個人情報取扱事業者となります（法第16条第2項）。営業リストを売買する場合は4番が、CRMを提供する側は38番が関係します。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 名刺アプリやクラウドの顧客台帳に名刺の情報を預ける場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
2. 漏えい等報告・本人通知義務の緩和: 名刺の束や名刺アプリの入った端末の紛失、名刺データの誤送信、アカウントへの不正アクセスなどで漏えい等が起きた場合の、報告と本人通知の扱いに関係します。規則で定める範囲は未確定です。
3. 課徴金制度: 対象の類型には第三者提供の制限違反も含まれており、名刺の情報を外部に渡す方法によっては関係し得るテーマです。課徴金の細目は政令・規則で定められる予定で、確定していません。

名刺の交換で受け取った情報について、利用目的の通知や公表を省けるのは、取得の状況から利用目的が明らかと認められる場合（法第21条第4項第4号）に限られます。営業メールの配信、グループ会社との共有、商談履歴の社内共有、第三者への提供に使ってよいかは、取得時の状況や利用目的の書き方によって変わるため、このサイトでは判断できません。個人データを第三者に提供するときは、原則として本人の同意が必要です（法第27条第1項）。共同して利用する形を取る場合の要件は法第27条第5項第3号にあります。顧問弁護士または個人情報保護委員会にご確認ください。

85. バックオフィスSaaS提供事業者

この節で想定する場面は、勤怠管理・給与計算・クラウド会計・電子契約などのサービスで、顧客企業の従業員や取引先の個人データを預かる場合です。

顧客企業が入力した従業員の氏名・住所・給与や勤怠の記録、取引先担当者の連絡先などを、クラウド上で保管・処理する立場の場合がある事業者です。顧客企業から取扱いの委託を受けている構造であれば、顧客企業側には委託先の監督（法第25条）が、利用目的の達成に必要な範囲での委託に伴う提供は第三者提供に当たらない扱い（法第27条第5項第1号。いずれもe-Gov法令検索で確認）があります。MAツール・CRMの事業者は38番、名刺アプリは84番が関係します。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 預かる側として新設される義務（法第30条の3）と、顧客企業との契約の定め方に直接関係する中心テーマです。開発・運用側の整理は受託開発・Web制作・SaaS事業者の委託先の義務、契約書の論点は委託先契約で定める事項の3論点を参照。
2. 漏えい等報告・本人通知義務の緩和: 不正アクセスや設定ミスで預かったデータが漏えいした場合の、顧客企業への通知と委員会への報告の関係に関わります。他の事業者から取扱いの委託を受けた者が規則に従い委託元へ通知したときは報告が不要となる整理があります（法第26条第1項ただし書）。規則で定める範囲は未確定です。
3. 課徴金制度: 預かったデータを委託の範囲を超えて自社の目的で使う、外部に渡すといった場合には、第三者提供の制限違反の類型に関係し得るテーマです。課徴金の細目は政令・規則で定められる予定で、確定していません。

預かったデータを自社のサービス改善や統計に使えるか、顧客企業から見て委託に当たるかどうかは、契約の内容と取扱いの実態によって変わるため、このサイトでは判断できません。顧問弁護士または個人情報保護委員会にご確認ください。

87. 電話代行・受付代行・秘書代行・翻訳通訳などの代行サービス事業者

この節で想定する場面は、他社の顧客の連絡先や通話内容のメモを、取り次ぎのために扱う場合です。

依頼企業に代わって電話に出る、来客や問い合わせを受け付ける、予定を調整する、文書や会話を翻訳・通訳するなど、依頼企業の顧客や取引先の氏名・連絡先・用件のメモを預かる場合がある少人数の事業者です。大規模な受託の整理は8番のコールセンターと13番のBPOにあり、ここでは重複を避けて、少人数の事業者が確認する点に絞ります。依頼企業から見れば取扱いの委託に当たり得るため、依頼企業には委託先の監督（法第25条）が関係します。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 依頼企業から連絡先や通話内容のメモを預かる立場として、新設される義務（法第30条の3）と契約の定めに直接関係する中心テーマです。契約書の論点は委託先契約で定める事項の3論点を参照。
2. 漏えい等報告・本人通知義務の緩和: 取り次ぎメモの誤送信、通話記録の紛失、端末の盗難などが起きた場合に、依頼企業へ通知することと報告の関係に関わります（法第26条第1項ただし書）。規則で定める範囲は未確定です。
3. 課徴金制度: 預かった連絡先を依頼企業の指示と異なる目的で使う、他へ渡すといった場合には、第三者提供の制限違反の類型に関係し得るテーマです。課徴金の細目は政令・規則で定められる予定で、確定していません。

通話内容の録音や、翻訳・通訳で扱う内容が要配慮個人情報を含むかどうかは、依頼の中身によって変わるため、このサイトでは判断できません。顧問弁護士または個人情報保護委員会にご確認ください。

89. 印刷・DM発送・封入封緘・データプリント業者

この節で想定する場面は、依頼企業から顧客名簿や宛名データを受け取る場面です。

宛名印字や封入封緘、DMの発送のために、依頼企業の顧客の氏名・住所などの名簿データを預かる事業者です。営業リストを扱うマーケティング事業者は営業リスト・名簿を扱うマーケティング事業者、メール・SMSの配信はSMS配信代行・メール配信代行事業者にあり、ここでは紙の発送と宛名データの受け渡しに絞ります。依頼企業から見れば取扱いの委託に当たり得るため、依頼企業には委託先の監督（法第25条）が関係します。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 宛名データを預かる立場として、新設される義務（法第30条の3）と契約の定めに直接関係する中心テーマです。契約書の論点は委託先契約で定める事項の3論点を参照。
2. 漏えい等報告・本人通知義務の緩和: 宛名データの紛失、封入ミスによる別人への誤送付、データを入れた媒体の盗難などが起きた場合に、依頼企業へ通知することと報告の関係に関わります（法第26条第1項ただし書）。規則で定める範囲は未確定です。
3. 課徴金制度: 預かった名簿を依頼企業の指示と異なる目的で使う、他へ渡すといった場合には、第三者提供の制限違反の類型に関係し得るテーマです。課徴金の細目は政令・規則で定められる予定で、確定していません。

誤送付が起きたときに誰が本人へ連絡するか、名簿データを納品後にいつ消すかは、契約の内容によって変わるため、このサイトでは判断できません。顧問弁護士または個人情報保護委員会にご確認ください。

91. クラウドソーシング・外注仲介プラットフォーム

この節で想定する場面は、受注者の情報と、納品データに含まれる他人の個人情報を扱う場面です。

仕事の発注者と個人の受注者をつなぎ、受注者の氏名・口座・本人確認書類を預かり、文字起こしや翻訳、データ入力の納品物に含まれる第三者の個人情報も流れる事業者です。人材紹介は人材紹介・人材派遣事業者、データ入力の受託はBPO・データ入力代行事業者、利用者同士を結ぶ仕組みはマッチングアプリ運営者にあり、ここでは受注者への再委託と納品物の個人データに絞ります。発注者から受注者へ個人データを渡す場合は取扱いの委託に当たり得るため、発注者には委託先の監督（法第25条）が関係します。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 発注者の資料を受注者へ回す再委託の場面で、新設される義務（法第30条の3）と契約の定めに関係するテーマです。契約書の論点は委託先契約で定める事項の3論点を参照。
2. 漏えい等報告・本人通知義務の緩和: 納品データの誤送信、受注者の端末からの流出、受注者の本人確認書類の漏えいなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
3. 課徴金制度: 預かったデータを依頼の目的と異なる形で使う、他へ渡すといった場合には、第三者提供の制限違反の類型に関係し得るテーマです。課徴金の細目は政令・規則で定められる予定で、確定していません。

受注者を個人事業主として扱う場合の本人確認書類の保管や、再委託先の範囲をどこまで認めるかは、契約の内容によって変わるため、このサイトでは判断できません。顧問弁護士または個人情報保護委員会にご確認ください。

92. 霊園・墓地管理者・寺院の納骨堂運営者

この節で想定する場面は、使用者の名簿と、承継者（墓を引き継ぐ人）の情報を扱う場面です。

墓地の使用者を募り、使用者の氏名・住所・連絡先、管理料の納付記録、永代供養の契約内容、承継者や連絡先となる親族の情報を名簿で管理している霊園・墓地の管理者や、納骨堂を運営する寺院です。檀家・氏子の名簿や法要の申込は寺院・神社などの宗教法人、葬儀そのものは葬儀社・葬祭業者にあり、ここでは使用者名簿と承継者情報に絞ります。名簿の管理や管理料の請求を管理会社や石材店に任せている場合は取扱いの委託に当たり得るため、委託先の監督（法第25条）が関係します。なお、宗教法人が宗教活動の用に供する目的で取り扱う場合の適用除外（法第57条第1項第3号）に、墓地の管理がどこまで含まれるかは、このサイトでは判断できません。まず見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 使用者名簿や承継者の情報を入れた端末の紛失、管理料の請求書の誤送付などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。名簿に宗派や信仰に関わる記録が含まれる場合、要配慮個人情報（法第2条第3項は「信条」を挙げています）に当たり得ます。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 使用者名簿の管理や管理料の請求を管理会社や石材店に任せている場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書の論点は委託先契約で定める事項の3論点を参照。
3. 目的外利用等の緩和: 承継者や親族の連絡先を、管理会社や石材店、他の使用者の親族に伝える場面で、同意の要否が関係します。改正で新設される例外が使える場面かどうかは、取扱いの内容によって変わります。

使用者の死亡後に承継者へ名簿の情報を伝えてよいか、永代供養の契約書に載る情報をどこまで他へ示せるかは、契約の内容や状況によって変わるため、このサイトでは判断できません。顧問弁護士または個人情報保護委員会にご確認ください。

93. 博物館・美術館・動物園・水族館

この節で想定する場面は、年間パスなどの会員情報、団体見学の学校名簿、館内カメラの映像、来館者のSNS投稿の写真を扱う場面です。

入館者に年間パスやメンバーシップを発行し、会員の氏名・住所・連絡先、団体見学で学校から受け取る児童生徒の名簿、館内に設置したカメラの映像を扱う博物館・美術館・動物園・水族館です。来館者が投稿したSNSの写真を館の広報に使う場面もあります。図書館・体育館・プールなどの指定管理は公共施設の指定管理者、カメラで本人を識別する入退館は顔認証で入退館・入場を管理する施設にあり、ここでは入館者の会員情報・団体見学の名簿・館内カメラに絞ります。

1. 漏えい等報告・本人通知義務の緩和: 会員名簿を入れた端末の紛失、団体見学の名簿の誤送付などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
2. 顔特徴データ等: 館内カメラの映像を、顔画像から作る特徴データで本人を識別する用途に使う場合に関係します。掲示する内容は顔識別機能付きカメラの周知事項の対応表で確かめられます。政令で定める範囲は未確定です。
3. こどもの個人情報（16歳未満）: 団体見学で学校から児童生徒の名簿を受け取る場面や、子どもの来館者の写真を広報に使う場面で、16歳未満の本人と法定代理人の関与が関係します。例外や規則で定める事項は未確定です。

来館者のSNS投稿の写真を広報に使ってよいか、団体見学の名簿をどこまで保管できるかは、取扱いの内容や学校との取り決めによって変わるため、このサイトでは判断できません。顧問弁護士または個人情報保護委員会にご確認ください。

94. ファンクラブ・オンラインサロン・有料コミュニティ運営者

この節で想定する場面は、会員の決済情報、ハンドルネームと本名の対応、未成年の会員、退会後の保管を扱う場面です。

月額や年額の会費で会員を募り、会員の氏名・住所・連絡先、会費の決済に関する情報、ハンドルネームと本名の対応表、会員向けの投稿やチャットの記録を管理しているファンクラブ・オンラインサロン・有料コミュニティの運営者です。配信者や配信の場の運営はライブ配信者・配信事務所・動画配信プラットフォーム運営者、出会いを目的とするサービスはマッチングアプリ運営者にあり、ここでは会費制の会員管理に絞ります。会員管理や決済を外部のサービスに任せている場合は取扱いの委託に当たり得るため、委託先の項目も見てください。

1. 漏えい等報告・本人通知義務の緩和: 会員名簿や、ハンドルネームと本名の対応表の流出、決済に関わる情報の漏えいなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 会員管理システムや決済、会員向けの連絡を外部に任せている場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書の論点は委託先契約で定める事項の3論点を参照。
3. こどもの個人情報（16歳未満）: 会員に16歳未満の人がいる場合の、本人と法定代理人の関与が関係します。例外や規則で定める事項は未確定です。

退会後に会員の記録をどれだけの期間保管してよいか、ハンドルネームと本名の対応表をどこまで運営者の間で共有できるかは、利用規約や取扱いの内容によって変わるため、このサイトでは判断できません。顧問弁護士または個人情報保護委員会にご確認ください。

95. 通信制高校・サポート校・オンラインスクール・資格スクール

この節で想定する場面は、広い地域に住む生徒の情報、提携先の学校との情報共有、学習履歴、16歳未満の生徒、講師への委託を扱う場面です。

通学の頻度が少なく、生徒と保護者の氏名・連絡先、レポートや学習の履歴、面談の記録、提携先の学校やサポート校との間で受け渡す在籍・成績の情報を扱う通信制高校・サポート校・オンラインスクール・資格スクールです。通学を前提とする塾や保育は学習塾・保育・子ども向け習い事、学習管理システムの提供側は学習管理システム(LMS)・教育クラウドサービス事業者、学校法人としての扱いは学校法人・私立学校、大学や専門学校は大学・専門学校・各種学校にあり、ここでは遠隔の学習と提携先との情報共有に絞ります。講師を個人で委託している場合は取扱いの委託に当たり得るため、委託先の項目も見てください。

1. 漏えい等報告・本人通知義務の緩和: 生徒の学習履歴や面談の記録の流出、提携先に送るデータの誤送信などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 講師の委託や、学習システムの運用を外部に任せている場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書の論点は委託先契約で定める事項の3論点を参照。
3. こどもの個人情報（16歳未満）: 16歳未満の生徒の情報を取得する場面での、本人と法定代理人の関与が関係します。例外や規則で定める事項は未確定です。

提携先の学校との間で生徒の情報をどこまで共有してよいかは、契約や本人への説明の内容によって変わるため、このサイトでは判断できません。顧問弁護士または個人情報保護委員会にご確認ください。

98. 製造業・工場

この節で想定する場面は、従業員・派遣社員・外国人労働者の名簿、工場内の防犯カメラや顔認証による入退場、取引先の担当者情報を扱う場面です。

工場や製造拠点では、正社員・派遣社員・外国人労働者の氏名・連絡先・勤怠、構内の防犯カメラの映像、取引先の担当者の連絡先が一つの拠点に集まります。従業員の情報そのものの整理は従業員・応募者・退職者の個人情報、顔認証による入退場の仕組みは10. 顔認証で入退館・入場を管理する施設、建設現場の入退場は29. 建設現場の入退場管理事業者にあり、ここでは重ねずに、製造拠点で先に確認する点に絞ります。まず見ておくとよいのは次の3テーマです。

1. 顔特徴データ等: 工場の入口や構内の区画で、顔認証によって従業員・派遣社員・来訪者を識別している場合に関係します。防犯カメラの映像を録画するだけの場合と、顔から特徴データを作って本人を識別する場合では、扱いが変わります。政令で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 派遣元・給与計算・勤怠システム・構内の警備や清掃などを外部に任せ、名簿を渡している場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。外国人労働者の送り出しや管理を海外の事業者と分担している場合は、外国にある第三者への提供（越境移転）も確かめてください。
3. 漏えい等報告・本人通知義務の緩和: 名簿や勤怠データの誤送信、取引先担当者の連絡先の流出、構内の映像の流出などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。

派遣社員の情報を派遣元と派遣先のどちらが、どこまで持てるか、防犯カメラの映像が個人情報に当たる範囲、外国人労働者の在留に関わる情報の扱いは、契約と取扱いの実態によって変わるため、このサイトでは判断できません。顧問弁護士または個人情報保護委員会にご確認ください。

99. 採用選考で応募者の情報を扱う企業

この節で想定する場面は、履歴書・職務経歴書・面接の記録、内定辞退者や不採用者の情報の保管、採用管理システムや人材会社への委託を扱う場面です。

応募を受け付け、履歴書・職務経歴書、面接の評価メモ、内定辞退者・不採用者の連絡先を管理している企業です。応募者を紹介する側の事業は6. 人材紹介・人材派遣事業者にあり、入社後の従業員や退職者の情報は従業員・応募者・退職者の個人情報で整理しています。ここでは、採用する企業の側が、選考の途中と選考後に応募者の情報を持つ場面に絞ります。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 採用管理システム、書類選考や面接日程の調整、人材会社への一部の業務を外部に任せ、応募者の情報を渡している場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書の論点は委託先契約で定める事項の3論点を参照。
2. 漏えい等報告・本人通知義務の緩和: 応募者への一斉メールの宛先の誤り、履歴書の誤送付、採用管理システムからの流出などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
3. 2027年1月施行の罰則: 採用担当者や退職した担当者が、応募者の名簿を不正に持ち出して提供する場合を含む、個人情報データベース等の不正提供等の罪に関係します。罰則関係は2027年1月17日に施行です。

内定辞退者や不採用者の情報をいつまで保管してよいか、面接の記録が個人情報に当たる範囲、応募者の同意の取り方は、事業の内容や契約によって変わるため、このサイトでは判断できません。顧問弁護士または個人情報保護委員会にご確認ください。

100. 農業法人・農産物直売所・産直通販の運営者

この節で想定する場面は、直売所に出荷する生産者の名簿、産直通販の定期購入の顧客情報、出荷先や配送業者との共有を扱う場面です。

農業法人や直売所、産直通販では、出荷する生産者の氏名・連絡先・出荷実績、定期購入や贈答の注文者と届け先の氏名・住所・注文履歴、取引先の飲食店や小売店の担当者の連絡先が、収穫期の忙しい運用の中で表計算ソフトやメッセージアプリに集まりやすくなります。協同組合の組合員名簿や共同購入は76. 生活協同組合・農業協同組合などの協同組合、通販サイト一般の整理は1. ECサイト運営者・通販事業者にあり、ここでは重ねずに、生産者と出荷先がつながる農産物の販売で先に確認する点に絞ります。まず見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 生産者名簿や定期購入の顧客一覧の誤送信、出荷伝票や配送先リストの紛失、通販システムへの不正アクセスなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 通販システム、選別・梱包・発送、配送、決済を外部に任せ、注文者と届け先の情報を渡している場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
3. 目的外利用等の緩和: 注文を受けた商品を届けるために、届け先の情報を配送業者や出荷元の生産者に渡すような、契約の履行に伴う第三者提供の場面に関係します。同意が不要になる場合がどこまでかは、規則・ガイドラインで定める部分が未確定です。

直売所の出荷者名簿を出荷者どうしや取引先に見せてよい範囲、定期購入の顧客情報を別の販売の案内に使える範囲、生産者が自分の畑の写真や氏名を商品ページに載せる場合の扱いは、契約と取扱いの実態によって変わるため、このサイトでは判断できません。顧問弁護士、所管の行政庁、個人情報保護委員会にご確認ください。

101. 政治団体・議員事務所・後援会

この節で想定する場面は、支持者名簿、寄付者情報、イベント参加者の連絡先、選挙運動での連絡、名簿作成の委託を扱う場面です。

政治団体や議員事務所、後援会では、支持者の氏名・住所・連絡先、寄付者の情報、集会やイベントの参加者の連絡先、選挙運動で連絡する相手の情報が、名簿として積み上がりやすくなります。法第57条第1項第4号は、政治団体が政治活動（これに付随する活動を含む）の用に供する目的で個人情報等を取り扱うときは、同じ章の規定を適用しないと定めています（e-Gov法令検索で確認）。ただし、この適用除外は目的が政治活動に当たる範囲に限られ、その場合でも安全管理や苦情処理の措置を自ら講じて公表するよう努める規定（同条第3項）があります。議員事務所や後援会が同号の「政治団体」に当たるか、どの取扱いが政治活動に付随する活動に当たるかは個別の事情によるため、このサイトでは判断できません。なお、ガイドライン（通則編2-3）は「信条」を要配慮個人情報の一つに挙げており、支持者であることを示す情報がこれに関わる場面もあります。PTAの学校後援会は51. PTA・保護者会・学校後援会、宗教団体の名簿は52. 寺院・神社などの宗教法人にあり、ここでは政治活動に関わる名簿に絞ります。まず見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 支持者名簿や寄付者一覧の誤送信、イベント案内メールの宛先の誤り、名簿の入った端末の紛失などが起きた場合の、報告と本人通知の扱いに関係します。要配慮個人情報が含まれる個人データの漏えい等は、ガイドライン（通則編3-5-3）が委員会への報告の対象としています。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 名簿の作成や宛名の印字、案内状の発送、連絡システムの運用を外部の業者に任せている場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
3. 目的外利用等の緩和: 支持者名簿を別の団体や候補者の関係者に渡す場面で、第三者提供の同意が関係します。改正で新設される例外が使える場面かどうかは、取扱いの内容によって変わります。

名簿の取扱いが適用除外に含まれるか、名簿を他の団体に渡せるかは、このサイトでは個別の場面の判断はできません。顧問弁護士、所管の行政庁、個人情報保護委員会にご確認ください。非営利団体の一般的な整理はNPO・非営利団体の個人情報と改正にあります。

102. 外国人材の受入れ関係事業者

この節で想定する場面は、監理団体・登録支援機関・日本語学校・外国人を雇う企業が、在留カード情報、本人確認書類の写し、母国の家族情報、送出機関への提供を扱う場面です。

外国人材の受入れに関わる事業者では、在留カードやパスポートの写し、本人の氏名・住所・連絡先、母国の家族や緊急連絡先の情報、就労や就学の状況の記録が、本人確認や各種の手続のために集まります。製造業での外国人労働者の名簿は98. 製造業・工場、人材紹介や派遣の事業は人材紹介・人材派遣事業者の節にあり、ここでは重ねずに、受入れを支える側の事業者が先に確認する点に絞ります。まず見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 在留カードやパスポートの写しの紛失、本人確認書類の誤送付、管理システムへの不正アクセスなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 入国や在留の手続、住居や生活の支援、日本語教育、給与計算などを外部に任せ、本人の情報を渡している場合に、任せる側の監督と、任される側に新設される義務（法第30条の3）が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
3. 目的外利用等の緩和: 受入れ先の企業や関係機関、母国の送出機関へ本人の情報を伝える場面で、第三者提供の同意が関係します。改正で新設される例外が使える場面かどうかは、取扱いの内容によって変わります。

送出機関など外国にある相手へ情報を渡す場合は、法第28条（外国にある第三者への提供の制限）が関係しうるため、外国にある第三者への提供（法第28条）のページも参照してください。母国の家族の情報の扱い、在留カードの写しを保管してよい範囲、送出機関への提供が同意の要る第三者提供に当たるかは、事業の内容や契約によって変わるため、このサイトでは判断できません。顧問弁護士、所管の行政庁、個人情報保護委員会にご確認ください。

103. 産業廃棄物処理・リサイクル・不用品回収事業者

この節で想定する場面は、排出元の顧客情報、廃棄機器・書類の回収と消去証明、委託先管理を扱う場面です。

産業廃棄物の処理業者、リサイクル業者、不用品回収業者では、回収したパソコン・サーバ・スマートフォン・複合機の記憶装置や、顧客台帳・申込書などの書類に、排出元の顧客や従業員の個人データが残ったまま運び込まれることがあります。法第22条は、利用する必要がなくなった個人データを遅滞なく消去するよう努めることを、法第23条は安全管理のために必要かつ適切な措置を講じることを、個人情報取扱事業者に求めています（e-Gov法令検索で確認）。回収した機器や書類の中身を自社が取り扱う個人データとして管理する立場になるのか、排出元の依頼で運搬や処分だけを担う立場なのかは、契約と作業の実態によって変わるため、このサイトでは判断できません。廃棄物の処理そのものを定める別の法律の規律はこのサイトでは扱いません。まず見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 回収車両からの機器や書類の紛失、保管ヤードでの盗難、誤配送、消去前の記憶装置の取り違えなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 排出元から機器の処分やデータ消去を請け負う場合の任される側の義務（法第30条の3）と、運搬、破砕、データ消去を再委託する場合の任せる側の監督（法第25条）が関係します。消去証明の記載内容や再委託の条件は、委託先契約で定める事項の3論点で整理している契約事項と合わせて見てください。
3. 罰則（2027年1月17日施行）: 業務で取り扱った個人情報データベース等を不正な利益を図る目的で提供または盗用する行為は、不正提供等罪の対象です。回収した記憶装置の中身を持ち出す行為は、従業者による持ち出しの典型として想定される場面に関係します。

消去証明をどの範囲まで出せば足りるか、回収した書類の保管期間、排出元との役割分担がどちらに当たるかは、このサイトでは個別の場面の判断はできません。顧問弁護士、所管の行政庁、個人情報保護委員会にご確認ください。

104. インフルエンサーマーケティング・PR代理店

対象: インフルエンサーマーケティング会社・PR代理店・SNS運用代行事業者

この節で想定する場面は、キャンペーン応募者の情報、出演者の顔写真・動画、フォロワー分析データの受託を扱う場面です。

インフルエンサーを起用するPR代理店やSNS運用代行では、プレゼントキャンペーンの応募者の氏名・住所・連絡先、起用するインフルエンサーや出演者の顔写真・動画、広告主から預かるフォロワーの分析データやメッセージ送信先のリストが集まります。顔写真や動画は、それだけで特定の個人を識別できれば個人情報に当たります。SNSのアカウント名やメールアドレスのように本人へ連絡できるが個人情報に当たらない場合がある情報は、連絡可能個人関連情報の新しい規律（法第31条の2）が関係しえます。広告代理店・アドテクの事業全般は37. 広告代理店・アドテク事業者、メールやSMSの配信代行は34. SMS配信代行・メール配信代行事業者にあり、ここでは重ねずに、起用と運用を請け負う側が先に確認する点に絞ります。まず見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 応募者リストの誤送信、運用アカウントの乗っ取り、広告主へ渡す集計ファイルの宛先間違いなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 広告主からキャンペーンの運営や分析を任される場合の義務（法第30条の3）と、抽選や発送、動画編集を外部に任せる場合の監督（法第25条）が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
3. 連絡可能個人関連情報: 応募の際に集めたメールアドレスなどの連絡先を、集めた目的と違う宣伝に使ったり、偽りの説明で集めたりする行為が、新設される不適正利用・不正取得の禁止に関係します。何が連絡可能に当たるかは委員会規則で定める部分で、未確定です。

応募者の情報を広告主に渡してよい範囲、出演者の動画を二次利用できる範囲、フォロワー分析データが個人データに当たるかは、契約と取扱いの実態によって変わるため、このサイトでは判断できません。顧問弁護士、所管の行政庁、個人情報保護委員会にご確認ください。

105. 研修・セミナー・資格講座の運営会社

この節で想定する場面は、受講者名簿、受講履歴、オンライン受講の録画、企業向け研修の受講者情報の受け渡しを扱う場面です。

研修・セミナー・資格講座の運営会社では、受講者の氏名・所属・連絡先、出欠や修了の履歴、テストの成績、オンライン受講の録画や画面共有の記録が、受講のたびに積み上がります。企業向けの研修では、受講を申し込む企業から従業員の名簿を受け取り、修了状況をその企業へ返す流れが多く、情報の受け渡しが双方向になります。学習塾や子ども向けの教室は3. 学習塾・保育・子ども向け習い事、受講管理の仕組みを提供する側は31. 学習管理システム(LMS)・教育クラウドサービス事業者、商工会議所などの講習会は73. 商工会議所・商工会・業界団体・協会にあり、ここでは重ねずに、大人向けの研修・講座を運営する会社が先に確認する点に絞ります。まず見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 受講者名簿の誤送信、オンライン受講用の案内メールの宛先の誤り、録画データの保管先からの流出などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 企業が従業員の研修を運営会社に任せ、受講者の名簿や成績を渡す場合の任される側の義務（法第30条の3）と、受付、配信、録画の保管を外部に任せる場合の監督（法第25条）が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
3. 目的外利用等の緩和: 修了状況や成績を受講を申し込んだ企業に返す場面、受講者の情報を共催団体や講師の所属先に渡す場面で、第三者提供の同意が関係します。改正で新設される例外が使える場面かどうかは、取扱いの内容によって変わります。

企業への報告に受講者本人の同意が要るか、録画をいつまで保管してよいか、運営会社と申込企業のどちらが個人データを取り扱う立場になるかは、契約と取扱いの実態によって変わるため、このサイトでは判断できません。顧問弁護士、所管の行政庁、個人情報保護委員会にご確認ください。

106. 内部通報窓口の受託事業者

この節で想定する場面は、外部窓口を担う法律事務所・専門会社が、通報者の情報、通報内容の取扱い、依頼企業への報告を扱う場面です。

企業から内部通報の窓口を請け負う法律事務所や専門会社には、通報者の氏名・連絡先、通報の内容に含まれる被通報者や関係者の情報、調査の経過、依頼企業へ返す報告書が集まります。通報の内容には、ハラスメントや不正の疑いなど、本人が知られたくない事情が含まれることがあります。公益通報者保護法は、事業者が公益通報を受けて調査し是正する業務に従事する者を定めることを求め（第11条第1項。常時使用する労働者が300人以下の事業者は努力義務、同条第3項）、その従事者や従事者であった者が、正当な理由なく公益通報者を特定させる事項を漏らすことを禁じています（第12条）。この守秘の規定は個人情報保護法とは別の法律のもので、このサイトの対象は令和8年の個人情報保護法改正のため、公益通報者保護法の内容はここでは解説しません。窓口の事業者が個人データをどう取り扱うかについて、改正との関係で先に見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 通報内容を記した報告書の誤送信、通報受付システムからの流出、窓口担当者の端末の紛失などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 企業から窓口業務を請け負い、通報者や関係者の情報を預かる場合の任される側の義務（法第30条の3）と、受付システムや文字起こしを外部に任せる場合の監督（法第25条）が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
3. 罰則（2027年1月17日施行）: 業務で取り扱った個人情報データベース等を不正な利益を図る目的で提供または盗用する行為は、不正提供等罪の対象です。通報者の情報の持ち出しは、従業者による持ち出しの典型として想定される場面に関係します。

依頼企業へ通報者の情報をどこまで伝えてよいか、報告書に何を書くか、窓口の事業者と依頼企業のどちらが個人データを取り扱う立場になるかは、契約と取扱いの実態によって変わるため、このサイトでは判断できません。顧問弁護士、所管の行政庁、個人情報保護委員会にご確認ください。

107. ヘルスケアアプリ・オンライン診療サービス・ウェアラブル機器の事業者

この節で想定する場面は、健康データ、診療予約、医療機関との連携、顔や生体データの取得を扱うアプリやサービスを提供する場面です。

歩数・心拍・睡眠・体重を記録するアプリ、オンライン診療の予約や問診を受け付けるサービス、身につけて使う計測機器の事業者には、利用者の健康に関する記録、問診票の内容、診療予約の日時と医療機関名、機器が取得した計測値や顔・指紋などの生体データが集まります。個人情報保護法は、本人の病歴などを含む個人情報を要配慮個人情報と定め（法第2条第3項）、偽りその他不正の手段による取得を禁じ（法第20条第1項）、要配慮個人情報は法令に基づく場合などを除き、あらかじめ本人の同意を得ずに取得してはならないとしています（同条第2項）。歩数や心拍の記録そのものが要配慮個人情報に当たるかは、記録の内容と取扱いによって変わるため、このサイトでは判断しません。医療機関との連携がある場合は、医療分野の法令との関係を医療分野の法令の整理で確認してください。先に見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 健康記録や問診内容の流出、アプリの設定不備による他の利用者への表示、計測機器と連携するクラウドからの流出などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: アプリの開発・保守、クラウドの運用、ビデオ通話の基盤、問診データの保管を外部に任せている場合の監督（法第25条）と、任される側の義務（法第30条の3）が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
3. 顔特徴データ等: 顔認証でのログインや本人確認、指紋・声紋などの生体データの取得を行う場合に関係します。対象となるデータの範囲と必要な手続は政令の決定待ちの部分があり、決まっていない事項は確定として書けません。

どの情報が要配慮個人情報に当たるか、事業者がどの法令の適用を受けるか、医療機関との間で誰が個人データを取り扱う立場になるかは、サービスの内容と契約の実態によって変わるため、このサイトでは判断できません。顧問弁護士、所管の行政庁、個人情報保護委員会にご確認ください。

108. サブスクリプション・定期購入・会員制サービス

対象: サブスクリプション・定期購入・会員制オンラインサービスの事業者

この節で想定する場面は、会員登録情報や決済情報を預かる事業者が、解約・退会後のデータの扱いや本人からの利用停止等の請求に対応する場面です。

月額課金の動画・音楽・ソフトウェア、化粧品や食品の定期購入、有料の会員制サービスの事業者には、会員の氏名・連絡先・生年月日、利用履歴、決済手段の情報、解約や退会の手続の記録が残ります。通販全般はECサイト運営者・通販事業者の節で扱っているため、ここでは会員を継続して抱えるサービスに特有の、退会後のデータと本人からの請求に絞ります。個人情報保護法は、利用する必要がなくなった個人データを遅滞なく消去するよう努めることを求めています（法第22条）。本人は、保有個人データが法第18条・第19条に違反して取り扱われているとき、または法第20条に違反して取得されたものであるときに利用停止または消去を請求でき（法第35条第1項）、保有個人データを利用する必要がなくなった場合なども請求の対象になります（同条第5項）。請求に理由があるときは、事業者は遅滞なく対応しなければなりません（同条第2項・第6項。多額の費用を要する場合などで代わりの措置をとるときは例外）。請求に応じた場合も応じない場合も、本人への通知が必要です（同条第7項）。先に見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 会員データベースからの流出、決済関連情報の誤表示、退会済みの会員の情報の残存分からの流出などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 決済代行、会員管理システム、配送、問い合わせ対応を外部に任せている場合の監督（法第25条）と、任される側の義務（法第30条の3）が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
3. 罰則（2027年1月17日施行）: 業務で取り扱った個人情報データベース等を不正な利益を図る目的で提供または盗用する行為は、不正提供等罪の対象です。会員名簿の持ち出しは、従業者による持ち出しの典型として想定される場面に関係します。

退会後に何を、いつまで残してよいか、請求にどこまで応じる必要があるかは、残す理由（法令上の保存、料金の請求、不正利用の防止など）と実態によって変わるため、このサイトでは判断できません。顧問弁護士、所管の行政庁、個人情報保護委員会にご確認ください。

109. データセンター・レンタルサーバー・クラウド基盤の提供事業者

この節で想定する場面は、顧客のデータを預かる側として、委託元との契約、越境移転、事故時の連絡を扱う場面です。

データセンター、レンタルサーバー、クラウド基盤の提供事業者には、顧客である企業のシステムやデータが載ります。預かるデータの中身を事業者が見ない設計か、運用や保守の過程で見られる状態か、データの保管場所が海外かによって、個人情報保護法上の立場の整理が変わります。開発・SaaS側の委託の論点は開発・SaaS委託の論点で扱っているため、ここでは基盤を提供する側に絞ります。個人情報保護法は、個人データの取扱いを委託する側に対し、委託を受けた者への必要かつ適切な監督を求めています（法第25条）。外国にある第三者への個人データの提供は、条件を満たす場合を除き、本人の同意などが必要です（法第28条）。保管場所が海外のサーバーである場合の整理は外国にある第三者への提供（法第28条）の整理で確認してください。先に見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 設備への不正アクセス、設定の誤りによる他の顧客への表示、障害の復旧作業中の流出などが起きた場合に、顧客である委託元との連絡と報告の分担が問題になります（法第26条第1項ただし書）。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 委託を受けた側に、委託された業務に必要な範囲を超えて取り扱ってはならないという義務が明文化されます（法第30条の3）。委託契約で取扱い方法と状況把握の措置を定める点は委託先契約で定める事項の3論点で整理しています。
3. 罰則（2027年1月17日施行）: 業務で取り扱った個人情報データベース等を不正な利益を図る目的で提供または盗用する行為は、不正提供等罪の対象です。運用担当者による預かりデータの持ち出しは、従業者による持ち出しの典型として想定される場面に関係します。

基盤の提供事業者が個人データを「取り扱っている」と評価されるか、委託を受けた立場になるか、顧客との間で事故時の連絡をどう分担するかは、契約の内容とサービスの設計によって変わるため、このサイトでは判断できません。顧問弁護士、所管の行政庁、個人情報保護委員会にご確認ください。

111. 鉄道・航空会社・空港運営者

この節で想定する場面は、乗車券・搭乗券の会員情報、駅や機内・空港の防犯カメラ映像、顔認証による搭乗や改札、忘れ物の問い合わせの記録を扱う場面です。

鉄道会社、航空会社、空港の運営者には、乗車券・定期券・マイレージの会員の氏名・連絡先・利用履歴、駅構内や機内・空港のカメラ映像、忘れ物や落とし物を問い合わせた人の連絡先が残ります。路線バスやタクシーはタクシー・ハイヤー・バスの運行事業者、防犯カメラ一般は小売店舗・商業施設運営者、顔認証による入退場は顔認証で入退館・入場を管理する施設の節で扱っているため、ここでは重ねず、駅・空港という不特定多数が通る場所と、会員の情報を扱う場面に絞ります。個人情報保護法は、個人データの取扱いを委託するときは、委託を受けた者への必要かつ適切な監督を求めています（法第25条）。先に見ておくとよいのは次の3テーマです。

1. 顔特徴データ等: 駅や空港のカメラ映像を録画・確認するだけであれば中心の場面ではありません。映像から顔の特徴を抽出して、搭乗や改札の際に本人を識別する仕組みを使っている場合に、周知の義務付けなどの新しい規律に関係します。掲示する内容は顔識別機能付きカメラの周知事項の対応表で確かめられます。
2. 委託先における個人データ等の適正な取扱い: 会員システム、予約・発券システム、カメラ映像の保管や解析、忘れ物の窓口を外部に任せている場合の監督（法第25条）と、任される側の義務（法第30条の3）が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
3. 漏えい等報告・本人通知義務の緩和: 会員データベースへの不正アクセス、搭乗者名簿や問い合わせ記録の誤送付、映像の流出などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。

駅や空港のカメラが顔の特徴を抽出して識別する仕組みに当たるか、映像の保存期間や掲示の仕方、航空会社と空港運営者のどちらが取扱いの主体になるか、運送や空港の運営を定める個人情報保護法以外の法律がどう関わるかは、事業の内容と契約の実態によって変わるため、このサイトでは判断できません。顧問弁護士、所管の行政庁、個人情報保護委員会にご確認ください。

112. 語学スクール・英会話教室・留学斡旋会社

この節で想定する場面は、受講生と保護者の情報、パスポートなどの本人確認書類、海外の提携校への情報提供を扱う場面です。

語学スクール、英会話教室、留学斡旋会社には、受講生と保護者の氏名・連絡先、受講や成績の記録、留学の申込みに付くパスポートの情報、海外の学校やホームステイ先への提供書類が残ります。学習塾や子ども向けの習い事は学習塾・保育・子ども向け習い事、学校そのものは学校法人・私立学校の節で扱っているため、ここでは海外の提携校や現地の手配先に情報を渡す場面と、未成年の受講生に絞ります。個人情報保護法は、外国にある第三者への個人データの提供について、条件を満たす場合を除き、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得ることを求めています（法第28条第1項）。同意を得ようとするときは、その外国の個人情報の保護に関する制度、提供先が講ずる措置など、本人の参考となる情報を事前に提供しなければなりません（同条第2項）。整理は外国にある第三者への提供（法第28条）の整理で確認してください。先に見ておくとよいのは次の3テーマです。

1. こどもの個人情報: 受講生が16歳未満の子どもである場合に、同意の取り方や保護者との関係で、新しい規律に関係します。内容には未確定の部分があるため、ページの「状態」を確かめてください。
2. 漏えい等報告・本人通知義務の緩和: 受講生名簿や留学申込書類の誤送付、パスポートの写しを保管するシステムへの不正アクセスなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
3. 委託先における個人データ等の適正な取扱い: 受講管理システム、決済、現地の手配や連絡を外部に任せている場合の監督（法第25条）と、任される側の義務（法第30条の3）が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。

海外の提携校が外国にある第三者に当たるか、同意が必要な場合に当たるか、未成年の受講生について保護者の同意で足りるか、パスポートの情報をどこまで集めてよいかは、事業の内容と契約の実態によって変わるため、このサイトでは判断できません。顧問弁護士、所管の行政庁、個人情報保護委員会にご確認ください。

114. 美容医療・不妊治療・自由診療クリニック

この節で想定する場面は、自由診療の施術前後の写真、オンライン予約・問診、口コミへの対応を扱う場合です。

美容外科・美容皮膚科・不妊治療・その他の自由診療を行うクリニックでは、病歴・治療歴にあたる情報に加えて、施術前後の写真、オンライン予約や事前問診の回答、口コミサイトに投稿された感想への返信の場面で患者の情報に触れる点が特徴です。一般の医療提供機関の整理はクリニック等の医療提供機関、サロンの施術カルテは美容室・エステ・脱毛サロンの節で扱っているため、ここでは重ねず、自由診療で目立つ場面に絞ります。個人情報保護法は、病歴などを含む個人情報を要配慮個人情報とし（法第2条第3項）、あらかじめ本人の同意を得ないで取得することを、法令に基づく場合などを除いて禁じています（法第20条第2項）。個人データの取扱いを委託するときは、委託を受けた者への必要かつ適切な監督が求められます（法第25条）。先に見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 施術前後の写真、問診の回答、治療歴を載せたシステムへの不正アクセスや、患者あての連絡の誤送付などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: オンライン予約、事前問診、写真の保管、カウンセリング予約の受付を外部のサービスに任せている場合、任せる側の監督（法第25条）と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
3. 罰則（2027年1月17日施行）: 業務で取り扱った個人情報データベース等を不正な利益を図る目的で提供または盗用する行為は、不正提供等罪の対象です。患者の名簿や症例写真の持ち出しは、従業者による持ち出しの典型として想定される場面に関係します。

口コミへの返信で、患者本人であることや治療の内容に触れてよいか、症例写真を広告やウェブサイトに載せるときの同意の取り方と範囲、施術前後の写真が顔の特徴を変換したデータ（顔特徴データ）に当たるか、予約システムの提供事業者が委託を受けた立場かは、事業の内容と実際の運用によって変わるため、このサイトでは判断できません。医療法・医療広告に関する定めなど個人情報保護法以外の法律の関わりも同じです。顧問弁護士、所管の行政庁、個人情報保護委員会にご確認ください。

115. オンラインゲーム・ソーシャルゲームの運営者

この節で想定する場面は、プレイヤーの登録情報と課金履歴を預かりながら、チャットの記録をもとに通報へ対応する場面です。

オンラインゲーム・ソーシャルゲームの運営者には、ニックネームやメールアドレス、年齢や生年月日の申告、課金や購入の履歴、チャットの記録、通報されたプレイヤーのIDと発言の記録が残ります。開発側の整理はこども向けスマホアプリ・ゲーム開発事業者の節で扱っているため、ここでは重ねず、運営で目立つ場面に絞ります。個人情報保護法は、個人情報を取得したときは、あらかじめ利用目的を公表している場合を除き、速やかに利用目的を本人に通知または公表することを求めています（法第21条第1項）。個人データの取扱いを委託するときは、委託を受けた者への必要かつ適切な監督が求められます（法第25条）。先に見ておくとよいのは次の3テーマです。

1. こどもの個人情報（16歳未満）: 16歳未満のプレイヤーから登録情報や課金に関する情報を取得する場合に関係します。法定代理人の関与の考え方は同ページで整理しており、政令で定める部分は未確定です。
2. 漏えい等報告・本人通知義務の緩和: 登録情報、課金履歴、チャットの記録を載せたシステムへの不正アクセスや、プレイヤーあての連絡の誤送付などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
3. 委託先における個人データ等の適正な取扱い: 課金の決済、問い合わせ対応、チャットの監視、通報対応を外部に任せている場合、任せる側の監督（法第25条）と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。

通報を受けて運営者がチャットの記録を確認・保存してよい範囲、通報された側や保護者、捜査機関へ記録を示してよいか、課金履歴の保管期間、年齢の申告をどこまで確認すべきかは、サービスの内容と実際の運用によって変わるため、このサイトでは判断できません。通信の秘密や資金決済法、消費者保護に関する定めなど個人情報保護法以外の法律の関わりも同じです。顧問弁護士、所管の行政庁、個人情報保護委員会にご確認ください。

119. 福祉用具貸与・販売事業者

この節で想定する場面は、利用者の心身の状況を聞き取って用具を選び、担当のケアマネジャーと情報を共有し、納品や点検の訪問で写真を残す場面です。

福祉用具貸与・販売事業者には、利用者と家族の氏名・住所・連絡先、心身の状況や病歴にかかわる聞き取りの内容、ケアマネジャーとやり取りする書類、納品や点検のときに撮った室内や用具の写真が残ります。病歴は、個人情報保護法で要配慮個人情報の例に挙げられています（法第2条第3項）。訪問介護や通所介護の事業者は27番の介護事業者の節で扱っているため、ここでは重ねず、用具の選定と納品に絞ります。個人情報を取得したときは、あらかじめ利用目的を公表している場合を除き、速やかに利用目的を本人に通知または公表することが求められます（法第21条第1項）。個人データを第三者に提供するときは、法令に基づく場合などを除き、あらかじめ本人の同意を得ることが必要です（法第27条第1項）。先に見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 利用者の心身の状況を書いた書類の誤送付、貸与台帳を載せたシステムへの不正アクセス、訪問時の写真を保存した端末の紛失などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 用具の消毒・保管・配送、貸与台帳の管理システムを外部に任せている場合、任せる側の監督（法第25条）と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
3. 罰則（2027年1月17日施行）: 業務で取り扱った個人情報データベース等を不正な利益を図る目的で提供または盗用する行為は、不正提供等罪の対象です。利用者の名簿や貸与台帳の持ち出しは、従業者による持ち出しの典型として想定される場面に関係します。

ケアマネジャーや他の事業者との情報共有が第三者提供に当たるか、同意をどの場面でどう得るか、訪問時に撮った写真をいつまで保存してよいかは、契約と運用の実態によって変わるため、このサイトでは判断できません。介護保険法や運営基準など個人情報保護法以外の法律の関わりも同じです。顧問弁護士、所管の行政庁、個人情報保護委員会にご確認ください。

120. 映画館・カラオケ・ネットカフェ・アミューズメント施設

この節で想定する場面は、会員証の発行、店内の防犯カメラ、入店時の年齢確認、未成年の入店の記録を扱う場面です。

映画館・カラオケ・ネットカフェ・アミューズメント施設には、会員の氏名・生年月日・連絡先、入店時に確認した本人確認書類の情報、店内の防犯カメラの映像、未成年の入店の記録が残ります。会員制で繰り返し利用される屋外のレジャー施設は75番のレジャー施設の節、顔認証で入場を管理する仕組みは10番の顔認証で入退館・入場を管理する施設にあり、ここでは屋内の遊興施設の会員証、映像、年齢確認の記録に絞ります。特定の個人が分かる映像や会員の情報は、個人情報の保護に関する法律（法第2条第1項）の対象になりえます。個人情報を取得したときの利用目的の通知または公表は法第21条第1項に定められています。先に見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 会員名簿のメール誤送信、会員管理システムへの不正アクセス、年齢確認の記録を載せた書類の紛失などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
2. 顔特徴データ等: 防犯カメラの映像から顔の特徴データを作って常連客や要注意の客を見分ける場合に関係します。取扱いの周知の義務付け、オプトアウト制度に基づく第三者提供の禁止、利用停止等請求の要件の緩和が改正法で定められています（個人情報保護委員会「改正法の概要」で確認）。顔識別機能を使わず、映像を録画しているだけの施設は、この項目の対象かどうかも含めて個別に確かめる必要があります。入口に掲示する内容は顔識別機能付きカメラの周知事項の対応表で確かめられます。
3. こどもの個人情報（16歳未満）: 未成年の入店の記録や、子ども向けの会員登録で16歳未満の利用者の情報を取得する場合に関係します。改正法で定められる法定代理人の関与や、利用停止等請求の要件の緩和は、政令待ちの事項を含みます。「本人」が「法定代理人」に読み替わる条文は16歳未満の読替表で確認できます。

防犯カメラの映像を何日保存するか、年齢確認で見せられた書類の情報を記録として残してよいか、警察などからの照会に映像を渡してよい場合、保護者へ入店の記録を知らせてよいかは、施設の運用の実態によって変わるため、このサイトでは判断できません。都道府県の条例など個人情報保護法以外の定めの関わりも同じです。顧問弁護士、所管の行政庁、個人情報保護委員会にご確認ください。

121. 観光協会・DMO・観光案内所

この節で想定する場面は、会員事業者の名簿、イベントやモニターツアーの申込、観光客の写真やアンケート、自治体からの受託事業を扱う場面です。

観光協会・DMO（観光地域づくり法人）・観光案内所には、会員事業者の代表者名や連絡先を載せた名簿、イベントやモニターツアーの参加者の氏名・連絡先、観光客を写した広報用の写真、アンケートの回答、自治体から任された事業で受け取る名簿が残ります。旅行の手配や宿泊予約を事業にする会社は旅行代理店・宿泊予約プラットフォーム事業者の節、イベントの主催者は71番のイベント主催者の節、商工会議所や商工会は73番の商工会議所・業界団体の節で扱っているため、ここでは重ねず、地域団体としての名簿・写真・受託に絞ります。特定の個人が分かる名簿や写真は、個人情報の保護に関する法律（法第2条第1項）の対象になりえます。個人情報を取得したときの利用目的の通知または公表は法第21条第1項、個人データを第三者に提供するときの本人の同意は法第27条第1項に定められています。自治体など行政機関等（地方公共団体の機関を含みます。法第2条第11項）から個人情報の取扱いの委託を受けた者には、その委託を受けた業務について、保有個人情報の安全管理措置の規定が準用されます（法第66条第2項第1号）。先に見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 会員名簿やモニターツアー申込者の一覧のメール誤送信、申込フォームへの不正アクセス、写真を保存した端末の紛失などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 申込の受付、名簿の管理、広報物の制作を外部に任せている場合、任せる側の監督（法第25条）と、任される側に新設される義務（法第30条の3）の両方が関係します。自治体から事業を受託している場合は、上の法第66条第2項第1号も関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
3. 罰則（2027年1月17日施行）: 業務で取り扱った個人情報データベース等を不正な利益を図る目的で提供または盗用する行為は、不正提供等罪の対象です。会員事業者の名簿や参加者の名簿の持ち出しは、従業者による持ち出しの典型として想定される場面に関係します。

自治体からの受託事業で受け取った名簿を協会自身の会員向け案内に使ってよいか、観光客を写した写真を広報に載せるときの本人の了解をどう得るか、会員事業者の名簿を会員同士や自治体に渡してよいかは、受託契約と運用の実態によって変わるため、このサイトでは判断できません。観光に関する法律や自治体の条例など個人情報保護法以外の定めの関わりも同じです。顧問弁護士、所管の自治体、個人情報保護委員会にご確認ください。

122. 質屋

この節で想定する場面は、質を取るときの本人確認、質屋の帳簿、防犯カメラを扱う場面です。

質屋には、質置主の住所・氏名・職業・年齢、質物の品目や特徴、確認の方法を書いた帳簿、店内の防犯カメラの映像が残ります。質屋営業法第12条は、物品を質に取ろうとするとき、内閣府令で定める方法により質置主の住所・氏名・職業・年齢を確認することを求め、第13条は、質契約や質物の返還、流質物の処分のたびに、質契約の年月日、質物の品目・数量・特徴、質置主の住所・氏名・職業・年齢・特徴、確認の方法などを帳簿に記載することを求めています（e-Gov法令検索で確認）。金券ショップや買取専門店のように古物を買い取る営業は59番の古物商・リユース買取店の節で扱っているため、ここでは重ねず、質を取る営業の確認と帳簿に絞ります。これらは法律上の義務で記録するものですが、記録に載った質置主の氏名・住所は個人情報保護法でも個人情報として扱われます（法第2条第1項）。個人情報を取得したときの利用目的の通知または公表は法第21条第1項に定められています。先に見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 質置主の情報を書いた帳簿や本人確認の記録を入れた端末の紛失、帳簿を電子化したシステムへの不正アクセス、通知書類の誤送付などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
2. 顔特徴データ等: 店頭や入口のカメラで顔識別を行い、来店者を見分けられるようにしている場合に関係します。撮影して保管するだけで顔識別を行わない映像は、顔特徴データ等とは区別されます。掲示の内容は顔識別機能付きカメラの周知事項の対応表で確かめられます。
3. 罰則（2027年1月17日施行）: 業務で取り扱った個人情報データベース等を不正な利益を図る目的で提供または盗用する行為は、不正提供等罪の対象です。質置主の帳簿や名簿の持ち出しは、従業者による持ち出しの典型として想定される場面に関係します。

帳簿に載せた質置主の情報を警察からの照会にどこまで答えてよいか、法令の定めを過ぎた帳簿の扱い、本人確認書類の写しを別に保管してよいかは、営業の実態や所管の公安委員会の運用によって変わるため、このサイトでは判断できません。質屋営業法や古物営業法など個人情報保護法以外の法律の関わりも同じです。顧問弁護士、所管の警察署または公安委員会、個人情報保護委員会にご確認ください。

123. 映像制作会社・撮影プロダクション・モデル事務所・芸能事務所

この節で想定する場面は、出演者やエキストラの顔写真と契約情報、ロケ撮影に写り込む人、未成年の出演者の保護者の同意を扱う場面です。

映像制作会社・撮影プロダクション・モデル事務所・芸能事務所には、所属者や出演者の氏名・連絡先・顔写真・プロフィール、出演契約や報酬の情報、エキストラの登録情報、ロケ撮影に写り込んだ通行人の映像、未成年の出演者についての保護者とのやり取りが残ります。配信者や配信事務所は72番のライブ配信者の節、写真館は46番の写真館の節、出版社やWebメディアは65番の出版社・メディアの節で扱っているため、ここでは重ねず、出演者情報の管理に絞ります。特定の個人が分かる顔写真や映像は、個人情報の保護に関する法律（法第2条第1項）の対象になりえます。個人情報を取得したときの利用目的の通知または公表は法第21条第1項、個人データを第三者に提供するときの本人の同意は法第27条第1項に定められています。なお、顔写真そのものは顔特徴データではありません。顔から特徴情報を抽出して本人を識別できる状態にしたデータが、改正法で顔特徴データ等として扱われる対象に想定されています（詳しくは顔特徴データ等で確認できます）。先に見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 出演者のプロフィールや契約書の誤送付、キャスティング用の名簿を載せたシステムへの不正アクセス、撮影素材を保存した機材の紛失などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
2. 顔特徴データ等: 出演者の顔写真や撮影素材から顔の特徴を抽出して照合する仕組みを使う場合に関係します。顔写真や映像を保存しているだけの場合は、この項目の対象かどうかも含めて個別に確かめる必要があります。ロケの現場で顔識別機能付きのカメラを使う場合の掲示は周知事項の対応表で確かめられます。
3. こどもの個人情報（16歳未満）: 子役や未成年のモデルの情報を、本人または保護者から取得する場合に関係します。改正法で定められる法定代理人の関与や、利用停止等請求の要件の緩和は、政令待ちの事項を含みます。「本人」が「法定代理人」に読み替わる条文は16歳未満の読替表で確認できます。

出演者の顔写真をどの範囲まで制作会社やクライアントに渡してよいか、ロケ撮影で写り込んだ通行人の映像をどう扱うか、未成年の出演者について保護者の同意をどの形で残すかは、出演契約と制作の実態によって変わるため、このサイトでは判断できません。肖像権や著作権、労働に関する法律など個人情報保護法以外の定めの関わりも同じです。顧問弁護士、個人情報保護委員会にご確認ください。

125. パチンコホール・遊技場運営者

この節で想定する場面は、会員カードの発行、店内の防犯カメラ、顔認証を使った自己申告による入場制限や入場管理、景品の交換の記録を扱う場面です。

パチンコホール・遊技場運営者には、会員の氏名・生年月日・連絡先、会員カードの利用の記録、店内の防犯カメラの映像、自己申告により入場を制限した人の情報、景品交換の記録が残ります。屋内の遊興施設の会員証や年齢確認は120番の映画館・カラオケ等の節、顔認証で入場を管理する仕組みの一般的な論点は10番の顔認証で入退館・入場を管理する施設にあり、ここでは遊技場の会員カード、映像、入場制限のための名簿に絞ります。特定の個人が分かる映像や会員の情報は、個人情報の保護に関する法律（法第2条第1項）の対象になりえます。個人情報を取得したときの利用目的の通知または公表は法第21条第1項、個人データの取扱いを委託するときの委託先への監督は法第25条に定められています。先に見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 会員名簿のメール誤送信、会員管理システムへの不正アクセス、入場を制限した人の名簿を載せた書類の紛失などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 防犯カメラや顔認証の機器・システムの提供会社、会員管理システムの事業者、会員向け連絡の配信事業者に個人データを渡している場合に関係します。任せる側の監督の義務と、委託を受けた側の新しい規定が、委託先の取扱いに関する改正の論点です。規則で定める内容は未確定です。
3. 顔特徴データ等: 防犯カメラの映像や入場時の撮影から顔の特徴データを作って、自己申告で入場を制限した人を見分ける場合に関係します。取扱いの周知の義務付け、オプトアウト制度に基づく第三者提供の禁止、利用停止等請求の要件の緩和が改正法で定められています（個人情報保護委員会「改正法の概要」で確認）。顔識別機能を使わず、映像を録画しているだけの店舗は、この項目の対象かどうかも含めて個別に確かめる必要があります。入口に掲示する内容は顔識別機能付きカメラの周知事項の対応表で確かめられます。

自己申告による入場制限の名簿を同じ系列の他の店舗や業界団体と共有してよい範囲、本人の同意の取り方、防犯カメラの映像の保存期間、警察などからの照会に映像を渡してよい場合、景品交換の記録の扱いは、店舗の運用の実態によって変わるため、このサイトでは判断できません。風営法や遊技に関する各種の定めなど個人情報保護法以外の定めの関わりも同じです。顧問弁護士、所管の行政庁、個人情報保護委員会にご確認ください。

126. スポーツ少年団・地域スポーツクラブ・部活動の地域移行の受け皿団体

この節で想定する場面は、子どもの名簿や保護者の連絡先の管理、大会参加の申込みや写真の撮影・公開、指導者の情報の管理を扱う場面です。

スポーツ少年団・地域スポーツクラブ・部活動の地域移行の受け皿団体には、子どもの氏名・学年・生年月日、保護者の連絡先、保険加入のための情報、大会参加の申込書、練習や大会の写真・動画、指導者やボランティアの氏名・連絡先が残ります。学校のPTAは51番のPTA・保護者会の節、民間の学習塾や習い事の教室は3番の学習塾・保育・子ども向け習い事にあり、ここでは任意団体やクラブが子どもの情報を扱う場面に絞ります。個人情報保護法の「個人情報取扱事業者」は、個人情報データベース等を事業の用に供している者を指し、国の機関、地方公共団体、独立行政法人等、地方独立行政法人は除かれます（法第16条第2項）。名簿を表計算ソフトや会員管理アプリで検索できる形にして活動している団体は当たりえますが、個別の団体が当たるかはこのサイトでは判断できません。部活動の地域移行で自治体が運営の主体になる場合や自治体から委託を受ける場合は、取扱いのルールの前提が変わりうるため、自治体や委託元に確かめる必要があります。個人情報を取得したときの利用目的の通知または公表は法第21条第1項、個人データの取扱いを委託するときの委託先への監督は法第25条、個人データを第三者に提供するときの本人の同意は法第27条第1項に定められています。先に見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 子どもの名簿や保護者の連絡先の入った書類の紛失、保護者一斉メールの誤送信、名簿を載せたクラウドサービスへの不正アクセスなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 連絡アプリや名簿管理サービスの事業者、写真の撮影や販売を行う業者、大会の運営を担う競技団体や委託先に、子どもの情報を渡している場合に関係します。任せる側の監督の義務と、委託を受けた側の新しい規定が、委託先の取扱いに関する改正の論点です。規則で定める内容は未確定です。
3. こどもの個人情報（16歳未満）: 16歳未満の子どもの名簿や大会参加の情報、写真を取得する場合に関係します。改正法で定められる法定代理人の関与や、利用停止等請求の要件の緩和は、政令待ちの事項を含みます。「本人」が「法定代理人」に読み替わる条文は16歳未満の読替表で確認できます。

大会の主催者や競技団体への名簿の提出が委託か第三者提供か、保護者の同意の取り方、写真や動画をクラブのウェブサイトや会員向けの場で公開してよい範囲、卒団後や退部後の名簿の保管期間、指導者の経歴や資格の情報の扱いは、団体の運営の実態によって変わるため、このサイトでは判断できません。スポーツ団体の規約や自治体の条例など個人情報保護法以外の定めの関わりも同じです。顧問弁護士、所管の自治体、個人情報保護委員会にご確認ください。

127. 眼鏡店・コンタクトレンズ販売店・補聴器販売店

この節で想定する場面は、視力や聴力などの検査記録の保管、会員情報の管理、医療機関との連携を扱う場面です。

眼鏡店・コンタクトレンズ販売店・補聴器販売店には、顧客の氏名・生年月日・連絡先、視力や聴力などの測定や検査の記録、購入履歴と調整の履歴、会員カードの情報、医療機関で受けた検査の結果や処方の内容、店内の防犯カメラの映像が残ります。調剤薬局・歯科医院は45番の節、店舗の防犯カメラの一般的な論点は9番の小売店舗・商業施設運営者にあり、ここでは医療機関ではない小売の店が検査に近い記録を扱う場面に絞ります。要配慮個人情報は、本人の人種、信条、社会的身分、病歴、犯罪の経歴などのうち、不当な差別や偏見が生じないよう取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報です（法第2条第3項）。視力や聴力の検査記録、医療機関から受け取った情報が要配慮個人情報に当たるかは、記録された内容によって変わるため、このサイトでは判断できません。要配慮個人情報を取得するときは、例外を除き、あらかじめ本人の同意を得ることが必要です（法第20条第2項）。個人データを第三者に提供するときも、例外を除き、あらかじめ本人の同意が必要です（法第27条第1項）。先に見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 検査記録を載せた顧客カードの紛失、会員への案内メールの誤送信、顧客管理システムへの不正アクセスなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 顧客管理や予約のシステムの事業者、検査機器のデータ保管サービス、配送や修理を担う事業者に個人データを渡している場合に関係します。任せる側の監督の義務と、委託を受けた側の新しい規定が、委託先の取扱いに関する改正の論点です。規則で定める内容は未確定です。
3. 目的外利用等の規律緩和: 医療機関と検査の結果や処方の内容をやり取りする場面など、要配慮個人情報の取得や第三者提供に本人の同意を求める規律に関係します。この同意の例外について、改正法で新しい例外が設けられますが、対象となる範囲は規則待ちで未確定です。

検査記録が要配慮個人情報に当たるか、医療機関から情報を受け取るときの本人の同意の取り方、メーカーや修理先への情報の提供が委託か第三者提供か、家族が代わりに来店したときに記録を伝えてよい範囲、記録の保管期間は、店舗の運用の実態によって変わるため、このサイトでは判断できません。医療機器に関する法令など個人情報保護法以外の定めの関わりも同じです。顧問弁護士、個人情報保護委員会にご確認ください。

128. 個人事業主・一人社長・従業員数名の小規模事業者（顧客名簿を手元で持つ場合）

この節で想定する場面は、顧客や取引先の連絡先を表計算ソフトや会計ソフト、クラウドの名簿サービスで管理している場面です。従業員がいない、または数名の事業者も含みます。

個人事業主・一人社長・従業員数名の小規模事業者には、顧客の氏名・住所・電話番号・メールアドレス、見積書や請求書に残る取引の記録、問い合わせの履歴、会計や請求のクラウドサービスに入れた取引先の情報が残ります。個人情報保護法の「個人情報取扱事業者」は、個人情報データベース等を事業の用に供している者をいい（法第16条第2項）、条文には法人かどうか、従業員数、保有する件数の下限は書かれていません。個人情報データベース等は、特定の個人情報を電子計算機で検索できるように体系的に構成したもの（法第16条第1項第1号）が基本で、パソコンの顧客一覧はこれに当たりえます。紙の名簿などは、政令で定める要件に当たるかを個別に確かめる必要があります（同項第2号）。個人情報取扱事業者に当たる場合は、個人データの安全管理のために必要かつ適切な措置（法第23条）、委託先への必要かつ適切な監督（法第25条）、第三者提供に原則として本人の同意を求める定め（法第27条第1項）が、小規模でも現行の条文のまま適用されます。ここは改正で変わる点ではありません。先に見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 顧客一覧を入れたパソコンやスマートフォンの紛失、請求書や顧客一覧のメール誤送信、名簿を載せたクラウドサービスへの不正アクセスなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 会計や請求、顧客管理のクラウドサービス、発送や集金を任せる業者、記帳や制作を外注する相手に顧客の情報を渡している場合に関係します。任せる側の監督の義務と、委託を受けた側の新しい規定が、委託先の取扱いに関する改正の論点です。規則で定める内容は未確定です。
3. 課徴金制度: 対象は不適正な利用、不適正な取得、第三者提供の制限違反、統計特例違反の4類型に限られ、対象行為に係る本人の数について1,000人を基準とする大規模な事案という限定要件があります。顧客数が少ない事業者は優先度が下がりますが、基準の数え方の細部は政令やガイドラインが出るまで確定していません。算定式を定める政令は公布されていません。

顧客名簿が法の定める個人情報データベース等に当たるか、クラウドサービスの利用が委託に当たるのか第三者提供に当たるのか、紙の名簿が政令の要件に当たるか、名刺の取引先担当者の情報が個人データに当たるかは、取扱いの実態やサービスの契約内容によって変わるため、このサイトでは判断できません。顧問弁護士、個人情報保護委員会にご確認ください。

129. 健康保険組合・共済組合・企業年金基金（加入者・被扶養者の情報を扱う場合）

この節で想定する場面は、加入者と被扶養者の情報を事業主から受け取り、給付の事務や保健事業を行い、事務の一部を委託先の事務センターなどに任せている場面です。

健康保険組合・共済組合・企業年金基金には、加入者・被扶養者の氏名・生年月日・住所・続柄、資格の取得や喪失の記録、医療費の請求（レセプト）や健康診断の結果、保健指導の記録、年金の給付に関する情報が残ります。事業主が従業員の健康情報を扱う場面は従業員・応募者・退職者の個人情報、医療機関の側はクリニック等の医療提供機関にあります。ここでは、加入者・被扶養者の情報を預かる組合や基金の側に絞ります。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 給付の事務や保健事業を事務センターや健診・保健指導の事業者に任せ、加入者の情報を渡している場合に関係します。委託に伴う提供は、法第27条第5項第1号により提供を受ける者が第三者に当たらないとされる場合があり、任せる側の監督（法第25条）と、任される側に新設される規定の両方が論点になります。規則で定める内容は未確定です。
2. 漏えい等報告・本人通知義務の緩和: 加入者への通知書類の誤送付、給付の連絡の宛先の誤り、事務センターの端末の紛失、システムへの不正アクセスなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
3. 目的外利用等の規律緩和: 病歴や健康診断の結果のような要配慮個人情報を取得するときは、法第20条第2項で原則として本人の同意が必要で、法令に基づく場合などの例外が列挙されています。改正法で新しい例外が設けられますが、対象となる範囲は規則待ちで未確定です。

組合や基金の取扱いが法のどの類型の規律に当たるか、事業主から受け取る情報と組合が自ら取得する情報の区別、保健事業の委託が委託に当たるのか共同利用や第三者提供に当たるのか、医療費の通知や健診結果の本人以外への案内の範囲は、組織の根拠法や運用によって変わるため、このサイトでは判断できません。健康保険法など個人情報保護法以外の定めの関係も判断しません。顧問弁護士、個人情報保護委員会にご確認ください。

130. 求人媒体・求人サイト・転職サイト運営者

この節で想定する場面は、求職者が登録した履歴書や職務経歴を預かり、応募やスカウトの形で企業に渡し、利用状況の分析に使っている場面です。

求人媒体・求人サイト・転職サイトの運営者には、求職者の氏名・連絡先・職務経歴・希望条件、企業への応募の履歴、閲覧や応募の行動の記録、スカウトの送受信の記録、会員登録のメールアドレスや端末の識別子が残ります。人材を紹介・派遣する事業は6. 人材紹介・人材派遣事業者、採用する企業の側は99. 採用選考で応募者の情報を扱う企業にあります。ここでは、媒体の運営者が、求職者の情報を預かり、企業に渡す場面に絞ります。まず見ておくとよいのは次の3テーマです。

1. 連絡可能個人関連情報: 氏名と結び付けずに持つメールアドレスや電話番号、閲覧や応募の行動の記録を企業に渡す場面に関係します。提供先で個人データとして取得されると想定されるときの確認は、現行の法第31条第1項に定めがあります。改正で連絡可能個人関連情報について不適正な利用と不正な取得が禁止されますが、規則で定める内容は未確定です。
2. 委託先における個人データ等の適正な取扱い: サイトの運営、応募の通知メールの配信、利用状況の分析を外部の事業者に任せ、求職者の情報を渡している場合に関係します。任せる側の監督（法第25条）と、任される側に新設される規定の両方が論点になります。規則で定める内容は未確定です。
3. 漏えい等報告・本人通知義務の緩和: 会員のメールアドレスの流出、応募の通知の宛先の誤り、企業への応募情報の誤送信などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。

応募の際に企業へ渡す情報について求職者の同意をどう取るか、スカウトの送信や内定辞退の予測のような分析が適切か、企業に渡す閲覧履歴が個人関連情報や個人データに当たるか、提供が委託か第三者提供かは、サービスの設計や契約によって変わるため、このサイトでは判断できません。職業安定法など個人情報保護法以外の定めの関係も判断しません。顧問弁護士、個人情報保護委員会にご確認ください。

131. 口コミ・レビュー・比較サイト・ポータルサイト運営者

この節で想定する場面は、利用者の投稿を受け付けて掲載し、投稿の削除の求めを受け、掲載先の事業者に問い合わせや予約の情報を渡している場面です。

口コミ・レビュー・比較サイト・ポータルサイトの運営者には、投稿者の会員情報・メールアドレス・投稿の履歴、投稿の文中に出てくる第三者の氏名や状況、削除や訂正を求める連絡の記録、掲載先の事業者に送る問い合わせや予約の情報、アクセスの記録が残ります。店舗や施設の側の口コミへの対応は、たとえば美容医療・不妊治療・自由診療クリニックの節にあります。ここでは、投稿を預かって掲載する運営者の側に絞ります。まず見ておくとよいのは次の3テーマです。

1. 漏えい等報告・本人通知義務の緩和: 会員のメールアドレスやパスワードの流出、匿名で投稿したはずの投稿者の情報の流出、削除の連絡を送った相手の宛先の誤りなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
2. 連絡可能個人関連情報: 会員登録や問い合わせで集めたメールアドレスや電話番号を、氏名と結び付けずに持ち、掲載先の事業者などに渡す場面に関係します。提供先で個人データとして取得されると想定されるときの確認は、現行の法第31条第1項に定めがあります。改正で連絡可能個人関連情報について不適正な利用と不正な取得が禁止されますが、規則で定める内容は未確定です。
3. 委託先における個人データ等の適正な取扱い: 投稿の審査や監視、問い合わせの対応、サイトの運営を外部の事業者に任せ、会員や投稿者の情報を渡している場合に関係します。任せる側の監督（法第25条）と、任される側に新設される規定の両方が論点になります。規則で定める内容は未確定です。

投稿の文中にある第三者の情報が個人情報に当たる場合の扱い、本人から投稿の削除を求められたときに法第35条の利用停止等の請求の対象になるか、掲載先の事業者への情報の提供が第三者提供に当たるか、運営者が投稿者の情報を開示する場合の考え方は、サイトの設計や投稿の内容によって変わるため、このサイトでは判断できません。名誉毀損や投稿の開示請求の定めなど個人情報保護法以外の関係も判断しません。顧問弁護士、個人情報保護委員会にご確認ください。

132. 保育所・認定こども園・幼稚園・学童クラブ

この節で想定する場面は、園児や児童の顔写真を撮って保護者に見せ、連絡帳や写真販売のアプリを使い、保護者の連絡先や緊急連絡先を名簿にして持っている場面です。

3番の学習塾・保育・子ども向け習い事は、学習塾や習い事を中心に、子どもと保護者の情報を扱う業種に共通する3テーマを挙げています。ここでは日々の生活の様子を記録して保護者に伝える施設に絞ります。園児や児童の顔写真、連絡帳の記録（体調・食事・睡眠・排泄など）、アレルギーや持病の情報、保護者と緊急連絡先の氏名・電話番号、送迎の記録、写真販売やICT連絡アプリの利用の記録が残ります。障害福祉サービスや児童館は43番にあります。まず見ておくとよいのは次の3テーマです。

1. こどもの個人情報（16歳未満）: 園児・児童は多くが16歳未満で、利用目的の通知や同意の取得で法定代理人（保護者）が関わる場面に関係します。「本人」が「法定代理人」に読み替わる条文は16歳未満の読替表で確認できます。政令で定める内容は未確定です。
2. 委託先における個人データ等の適正な取扱い: 連絡帳アプリ、写真の撮影・販売、給食やバスの運行などを外部の事業者に任せ、園児と保護者の情報を渡している場合に関係します。任せる側の監督（法第25条）と、任される側に新設される規定の両方が論点になります。規則で定める内容は未確定です。
3. 漏えい等報告・本人通知義務の緩和: 保護者への連絡の宛先の誤り、他の園児の写真を誤って送ったこと、アプリのアカウントの不正利用などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。

園内に設置したカメラの映像から顔を識別して入退園を管理するような使い方をする場合は、顔カメラの取得対応と顔特徴データ等のページも見てください。顔写真を撮って保護者に見せるだけの運用が顔特徴データ等に当たるかは、このサイトでは判断しません。取得時の利用目的の通知や明示（法第21条）、園児の写真をアプリや園のウェブサイトに載せるときの同意の取り方、写真販売の事業者への情報の渡し方が委託か第三者提供か（法第27条第1項・第5項第1号）、児童福祉法・子ども・子育て支援法・学校教育法などの他法令や自治体の指針との関係は、施設の種類と運用によって変わるため、このサイトでは判断できません。顧問弁護士、個人情報保護委員会にご確認ください。

133. 懸賞・プレゼントキャンペーンの事務局・景品配送の運営者

この節で想定する場面は、応募者の氏名・住所・連絡先を集めて抽選し、当選者に景品を発送し、発送や事務局の業務を外部の事業者に任せている場面です。

懸賞やプレゼントキャンペーンの事務局には、応募者の氏名・住所・電話番号・メールアドレス、応募の内容（アンケートへの回答を含む）、当選者の一覧、発送の記録、問い合わせの記録が残ります。キャンペーンを企画する会社が自社で事務局を持つ場合も、事務局を代行会社に任せる場合も、同じ論点があります。インフルエンサーを使った応募の企画は104番、携帯電話の販売店のキャンペーンは79番にあります。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 応募の受付、抽選、景品の発送、問い合わせの対応を事務局の代行会社や発送業者に任せ、応募者の氏名や住所を渡している場合に関係します。任せる側の監督（法第25条）と、任される側に新設される規定の両方が論点になります。規則で定める内容は未確定です。
2. 漏えい等報告・本人通知義務の緩和: 応募者の一覧の流出、当選通知や発送の宛先の誤り、景品の誤配送、応募フォームへの不正アクセスなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
3. こどもの個人情報（16歳未満）: 子ども向けの商品のキャンペーンなどで、16歳未満の応募者の情報を集める場面に関係します。応募の受付や当選の連絡で法定代理人（保護者）がどう関わるかが論点になります。政令で定める内容は未確定です。

応募者の情報を集めるときの利用目的の通知や明示（法第21条）、応募のために集めた情報を後から別の販促に使うことが利用目的の範囲内か（法第18条）、当選者の氏名や居住地を公表するときの本人への説明、発送業者への情報の渡し方が委託か第三者提供か（法第27条第1項・第5項第1号）、景品表示法による景品類の上限など個人情報保護法以外の定めは、キャンペーンの設計によって変わるため、このサイトでは判断できません。顧問弁護士、個人情報保護委員会にご確認ください。

134. 家事代行・便利屋・シルバー人材センター等の訪問型生活支援事業者

この節で想定する場面は、依頼者の自宅の鍵を預かり、間取りや家族構成を聞き取り、作業の前後に写真を撮り、スタッフの個人情報を登録し、一部の作業を提携スタッフや協力会社に任せている場面です。

56番の引越し・ハウスクリーニングなど自宅に入る生活サービス事業者は、見積りから作業までが単発で完結する事業者を中心にしています。ここでは同じ家に繰り返し通い、鍵の預かりや家族の生活の様子の聞き取りが続く事業者に絞ります。家事代行、便利屋、シルバー人材センターのような地域の生活支援の窓口が当てはまります。依頼者の氏名・住所・電話番号に加えて、鍵の保管場所や暗証番号の控え、家族構成、在宅の時間帯、作業の依頼内容、作業報告の写真、働くスタッフの氏名・連絡先・稼働の記録が残ります。これらは氏名などと結びつくと個人情報として扱われます（法第2条第1項）。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 清掃、修理、庭の手入れ、見守りなどを提携スタッフや協力会社に任せ、依頼者の氏名・住所・鍵の情報・間取りを渡している場合に関係します。任せる側の監督（法第25条）と、任される側に新設される義務（法第30条の3）の両方が論点になります。スタッフとの関係が雇用か業務委託かで整理が変わるため、このサイトでは判断しません。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
2. 漏えい等報告・本人通知義務の緩和: 鍵の管理簿や作業報告の写真を入れた端末の紛失、別の依頼者への作業報告の誤送信、スタッフ用の連絡アプリへの不正アクセスなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
3. 顔特徴データ等: スタッフの出退勤を顔認証で記録したり、見守りカメラの映像から顔識別を行って本人を識別できるようにしたりする場合に関係します。作業報告の写真を撮って保管するだけの運用がこれに当たるかは、このサイトでは判断しません。掲示の内容は周知事項の対応表で確かめられます。

高齢の依頼者の健康状態や通院の予定を聞き取って記録する場合、病歴などが含まれていれば要配慮個人情報に当たり得て（法第2条第3項）、取得には原則として本人の同意が要ります（法第20条第2項）。作業前後の写真を事業者の宣伝に使うときの利用目的の通知や公表（法第21条）、利用目的の範囲（法第18条）、スタッフ間や協力会社への情報の渡し方が委託か第三者提供か（法第27条第1項・第5項第1号）も論点です。介護保険のサービスを提供する場合は27番の介護事業者、子どもの送迎や預かりを含む場合は19番のベビーシッター仲介事業者の節も見てください。鍵の情報の扱い、写真の公開に同意が要るか、スタッフの個人情報の扱い、特定商取引法や労働関係の法令との関係は、事業の形によるため、このサイトでは判断できません。顧問弁護士または個人情報保護委員会にご確認ください。

135. 医薬品・医療機器メーカー・医薬品卸・MR活動

この節で想定する場面は、医療従事者の氏名・勤務先・連絡先を名簿にして情報提供の活動に使い、副作用などの情報を医療機関から受け取り、患者向けの支援プログラムで患者の登録を受け付け、販売や情報提供の一部を外部の事業者に任せている場面です。

治験を扱う82番の治験依頼者・CRO・SMO、調剤や歯科医療を行う45番の調剤薬局・歯科医院、24番の電子カルテ・医療情報システムベンダーとは、業態も情報の入り方も違います。ここでは販売された後の医薬品・医療機器について、医療現場と接点を持つ事業者に絞ります。MR（医薬情報担当者）の活動では、医療従事者の氏名・所属・診療科・連絡先、面談や情報提供の記録、講演会や説明会の参加者の名簿が残ります。副作用などの情報の収集では、報告する医療従事者の情報に加えて、患者の年齢・性別・病歴・服用の状況が入ることがあります。製造販売業者は副作用などによるものと疑われる疾病・障害・死亡の発生などを知ったときに厚生労働大臣へ報告する定めがあり（医薬品医療機器等法第68条の10第1項）、この報告は個人情報保護法の「法令に基づく場合」（法第18条第3項第1号、第27条第1項第1号）に関わります。どの情報がどこまで報告に含まれるかは、このサイトでは判断しません。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 医療従事者への情報提供の一部、患者支援プログラムの運営、問い合わせ窓口、物流や在庫管理などを外部の事業者に任せ、医療従事者や患者の情報を渡している場合に関係します。任せる側の監督（法第25条）と、任される側に新設される義務（法第30条の3）の両方が論点になります。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
2. 漏えい等報告・本人通知義務の緩和: 医療従事者の名簿や面談記録を入れた端末の紛失、患者支援プログラムの登録情報の誤送信、副作用情報の管理システムへの不正アクセスなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
3. オプトアウト制度の強化: 医療従事者の名簿を、外部の名簿事業者や医療従事者向け会員サイトの運営者から受け取って活動に使う場合に関係します。オプトアウトで個人データを提供する側に、提供先の身元と利用目的を確認する義務が新設されます（法第27条第7項）。確認の方法は委員会規則で定めるとされ、未確定です。

患者の病歴は要配慮個人情報に当たり得て（法第2条第3項）、取得には原則として本人の同意が要りますが、法令に基づく場合などは例外です（法第20条第2項）。患者支援プログラムで集める情報の利用目的の通知や明示（法第21条）、登録した情報を別の販促に使うことが利用目的の範囲内か（法第18条）も論点です。医療従事者向けの情報提供の方法、広告の規制、副作用報告の実務、業界の自主基準は、このサイトでは判断しません。個人情報保護法のほかに医薬品医療機器等法などの法令が関係するため、顧問弁護士または個人情報保護委員会にご確認ください。

136. 株主名簿・株主総会・持株会を扱う会社

この節で想定する場面は、株主の氏名・住所・持株数を名簿にまとめ、株主総会の招集通知や議決権行使書を発送し、株式事務を外部の事業者に任せ、株主やIRの問い合わせに応じている場面です。上場会社だけでなく、株主が数名から数十名の非上場の中小企業や、従業員持株会を持つ会社も含みます。

81番のM&A・事業承継の当事者は、買収の検討で相手方の情報を見る場面です。ここでは平時に株主の情報を持ち続け、総会や配当のたびに使う会社に絞ります。株式会社は株主名簿を作成し、株主の氏名または名称と住所、株式の数、株式を取得した日などを記載します（会社法第121条）。名簿を検索できる形で整理していれば、個人情報データベース等に当たり得て（法第16条第1項）、株主が個人であればその情報は個人データになります。株主名簿に関する事務は、定款で定めれば株主名簿管理人に委託できます（会社法第123条）。株主と債権者は、請求の理由を明らかにして株主名簿の閲覧や謄写を請求でき、会社は一定の場合を除いて拒めません（会社法第125条第2項・第3項）。まず見ておくとよいのは次の3テーマです。

1. 委託先における個人データ等の適正な取扱い: 株主名簿管理人（信託銀行や証券代行会社など）、総会の招集通知や議決権行使書の印刷・発送の事業者、持株会の事務の受託者に株主の情報を渡している場合に関係します。任せる側の監督（法第25条）と、任される側に新設される義務（法第30条の3）の両方が論点になります。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
2. 漏えい等報告・本人通知義務の緩和: 招集通知や議決権行使書の宛先の誤り、株主名簿のファイルの誤送信や紛失、株主向けの電子提供のサイトへの不正アクセスなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
3. 目的外利用等の規律緩和: 株主名簿に載せた情報を、総会の案内や配当の事務とは別の、株主優待や会社のニュースの案内などに使う場合の利用目的の範囲（法第18条）に関係します。同意を要しない例外が広がる改正の内容と、規則で定める範囲が未確定の部分は、リンク先で確認できます。

株主から閲覧や謄写の請求があったときに、個人情報保護法の第三者提供の制限（法第27条第1項）との関係をどう整理するか、請求を拒める場合に当たるか、名簿管理人との役割分担、株主が自分の情報の開示を求めたときの対応（法第33条）は、事案ごとに異なるため、このサイトでは判断しません。株主の情報の取扱いには会社法などの法令も関係するため、顧問弁護士または個人情報保護委員会にご確認ください。

137. 遺伝子検査・ゲノム解析・バイオバンク

対象: 遺伝子検査サービス・ゲノム解析事業者・バイオバンク・検体を扱う研究機関

この節で想定する場面は、利用者が唾液や血液などの検体を送って体質や病気のかかりやすさの検査結果を受け取り、検体の解析を外部の検査ラボに任せ、集めた検体と結果を研究や新しい検査の開発にも使いたい場面です。検体を保管するバイオバンクや、検体を扱う大学・研究機関も含みます。

治験を扱う82番の治験依頼者・CRO・SMO、診療や調剤を行う45番の調剤薬局・歯科医院、24番の電子カルテ・医療情報システムベンダーとは、情報の入り方が違います。ここでは利用者や提供者から検体を預かり、DNAの情報を結果として返したり研究に使ったりする事業者に絞ります。細胞から採取されたDNAを構成する塩基の配列を、電子計算機の用に供するために変換した符号は、特定の個人を識別するに足りるものとして個人情報保護委員会規則で定める基準に適合する場合に、個人識別符号に当たります（施行令第1条第1号イ）。個人識別符号が含まれる情報は個人情報です（法第2条第1項第2号）。どの検査のデータが規則の基準に適合するかは、このサイトでは判断しません。

1. 委託先における個人データ等の適正な取扱い: 検体の解析を外部の検査ラボに任せる、結果の通知や会員サイトの運用を外部の事業者に任せるなど、検査結果や検体に付けた番号と利用者の情報を渡している場合に関係します。任せる側の監督（法第25条）と、任される側に新設される義務（法第30条の3）の両方が論点になります。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
2. 漏えい等報告・本人通知義務の緩和: 検査結果のファイルの誤送信、会員サイトへの不正アクセス、検体の取り違えや紛失などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
3. 学術研究・公衆衛生に関する規律の見直し: 集めた検体と結果を研究に使う場合に関係します。学術研究機関等が学術研究目的で要配慮個人情報を取り扱う必要があるときなどは、取得の同意の例外が置かれています（法第20条第2項第5号・第6号）。事業者が学術研究機関等に当たるか、研究の目的の一部にとどまる場合をどう扱うかは、リンク先の改正の内容と、ガイドラインで明確化が想定される部分を確認してください。

検査結果が病歴や、医師等が行った健康診断等の結果に当たる場合は、要配慮個人情報に当たり得ます（法第2条第3項、施行令第2条第2号・第3号）。要配慮個人情報の取得には、法令に基づく場合などを除き、原則として本人の同意が要ります（法第20条第2項）。消費者向けの検査の結果が要配慮個人情報に当たるか、検体そのものが個人情報に当たるか、研究に使う同意の取り方、血縁者の情報の扱いは、検査の内容と事案ごとに異なるため、このサイトでは判断しません。遺伝情報の取扱いには個人情報保護法以外の指針や法令も関係しうるため、顧問弁護士または個人情報保護委員会にご確認ください。

138. 子ども食堂・フードバンク・生活困窮者支援

対象: 子ども食堂・フードバンク・生活困窮者支援団体・地域の見守り活動

この節で想定する場面は、利用する世帯の氏名・人数・連絡先を記録し、ひとり親であることや生活の事情を聞き取り、ボランティアの名簿を作り、活動の写真を会報やSNSに載せ、行政や社会福祉協議会と利用者の情報をやりとりする場面です。ボランティアが中心の小さな団体や、任意団体も含みます。

法人格のあるNPOはNPO・非営利団体の記事、社会福祉協議会は社会福祉協議会の節、住民組織は48番のマンション管理組合・自治会・町内会で扱います。ここでは支援を受ける世帯の事情を聞き取って記録する、小規模な支援団体に絞ります。個人情報取扱事業者は、個人情報データベース等を事業の用に供している者で、国の機関などを除きます（法第16条第2項）。営利かどうか、法人かどうか、人数や件数の下限は、この定義の条文にはありません。利用世帯の名簿やボランティアの名簿を、検索できるように整理していれば、個人情報データベース等に当たり得ます（法第16条第1項）。

1. 漏えい等報告・本人通知義務の緩和: 利用世帯やボランティアの名簿を入れた私物の端末の紛失、一斉メールの宛先の誤り、共有のクラウドの公開範囲の設定ミスなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
2. こどもの個人情報の保護: 利用する子どもの氏名・学年・アレルギーの情報や、活動の写真を扱う場合に関係します。16歳未満の子どもについて同意や通知の相手を法定代理人とする改正が入ります。対象となる年齢や例外は、政令待ちの部分を含めてリンク先で確認できます。
3. 目的外利用等の規律緩和: 食事の案内のために集めた連絡先を、寄付の呼びかけや別の事業の案内に使う場合の、利用目的の範囲（法第18条）に関係します。同意を要しない例外が広がる改正の内容と、規則で定める範囲が未確定の部分は、リンク先で確認できます。

利用世帯の事情の記録に、障害があること、病歴、社会的身分に当たり得る記述が入ると、要配慮個人情報に当たり得ます（法第2条第3項、施行令第2条第1号）。取得には、法令に基づく場合などを除き、原則として本人の同意が要ります（法第20条第2項）。行政や社会福祉協議会に利用者の情報を渡す場合は、原則として本人の同意が要り、例外の各号（法第27条第1項）に当たるかは事案ごとに異なります。利用目的の通知や公表（法第21条）を、聞き取りの場や掲示でどう行うか、写真の掲載に当たって何をどこまで伝えるか、困窮の事情が要配慮個人情報に当たるかは、このサイトでは判断しません。顧問弁護士、地域の支援組織、または個人情報保護委員会にご確認ください。

139. アフィリエイトサイト・ASP・ポイントサイト

対象: アフィリエイトサイト運営者・ASP・ポイントサイト運営者

この節で想定する場面は、アフィリエイトサイトの運営者が広告のリンクを貼り、ASP（アフィリエイト・サービス・プロバイダ）が成果の計測のためにクリックした人のブラウザへCookieなどのIDを付け、成果報酬の支払いのために提携先の氏名・住所・口座を預かり、広告主へ成果のデータを渡す場面です。会員の利用でポイントを付けるポイントサイトも含みます。

37番の広告代理店・アドテク事業者は広告の配信側、116番の共通ポイント運営事業者はポイントの発行側です。ここでは広告のクリックから成果の確定までを、運営者・ASP・広告主の三者で受け渡す仕組みに絞ります。Cookie IDなど、個人情報にも仮名加工情報・匿名加工情報にも当たらない、生存する個人に関する情報は個人関連情報です（法第2条第7項）。氏名などと容易に照合でき、特定の個人を識別できるものは、個人情報に当たります（同条第1項第1号）。第三者が個人関連情報を個人データとして取得することが想定されるときは、提供する側に、本人の同意が得られていることなどの確認が求められます（法第31条第1項）。成果のデータを渡された広告主が、自社の会員の情報と結び付けて個人データとして取得することが想定されるかは、仕組みごとに異なるため、このサイトでは判断しません。

1. 連絡可能個人関連情報の不適正利用・不正取得の禁止: Cookie ID・メールアドレスなどを成果の計測や会員の連絡に使う場合に関係します。第三者提供に限らず、不適正利用と不正取得そのものが禁止される改正です。「連絡可能」に当たる記述等の範囲と施行日は未確定です。
2. 委託先における個人データ等の適正な取扱い: ASPが広告主から成果の計測や報酬の支払いの事務を請け負う、運営者が会員管理や発送を外部に任せるなど、個人データの取扱いを任せている場合に関係します。ある取引が委託に当たるかは契約の中身で変わります。任せる側の監督（法第25条）と、任される側に新設される義務（法第30条の3）が論点になります。
3. 漏えい等報告・本人通知義務の緩和: 報酬の支払いのために預かる氏名・住所・口座の情報や、会員の登録情報が漏えい等した場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。

ASPの利用規約や広告主との契約の定め、広告の表示の規制、Cookieの同意取得の画面の作り方、報酬の支払いに伴う税務の手続は、このサイトでは判断しません。個人情報保護法以外の法令も関係するため、顧問弁護士または個人情報保護委員会にご確認ください。

140. 廃業・事業終了・店じまいをする小規模事業者

対象: 廃業・事業終了・店じまいをする小規模事業者（顧客名簿・従業員情報・防犯カメラ映像の廃棄と消去、取引先への引き継ぎ）

この節で想定する場面は、店や事業をたたむときに、顧客名簿・予約台帳・会員カードの控え、従業員や退職者の情報、防犯カメラの録画、取引先の連絡先を、廃棄するか、消去するか、誰かに引き継ぐかを決める場面です。

81番のM&A・事業譲渡・事業承継は事業を引き継ぐ側と再編の場面、103番の産業廃棄物処理・リサイクル・不用品回収事業者は回収する側、128番の個人事業主・一人社長・従業員数名の小規模事業者は日ごろの名簿の管理を扱います。ここでは、事業をやめる側が、手元に残る個人データの終わらせ方を決める場面に絞ります。

個人データについて、法第22条は、利用する必要がなくなったときは遅滞なく消去するよう努めなければならないと定めます（努力義務。e-Gov法令検索で確認）。委員会のガイドライン（通則編）3-4-1は、利用する必要がなくなったときの例として、利用目的が達成され保有する合理的な理由がなくなった場合のほか、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合を挙げ、法令で保存期間が定められている場合はこの限りでないとします。同じ箇所の注記は、「消去」を、個人データとして使えなくすることで、削除のほか、特定の個人を識別できないようにすることなどを含むと説明しています。廃棄の方法については、同ガイドライン10-5が、個人データの削除や、個人データを記録した機器・電子媒体等の廃棄は復元不可能な手段で行わなければならないとし、書類は焼却、溶解、適切なシュレッダー処理などの例を挙げ、削除や廃棄の記録を残すこと、作業を委託するときは委託先が確実に削除・廃棄したことを証明書等で確認することも重要としています（確認日 2026-10-14）。

事業を他の事業者へ引き継ぐ場合は、別の線引きがあります。合併その他の事由による事業の承継に伴って個人データが提供される場合、提供を受ける者は第三者に該当しません（法第27条第5項第2号）。ガイドライン通則編3-6-3は、合併、分社化、事業譲渡などによる提供を例に挙げ、承継後も承継前の利用目的の範囲内で利用しなければならないとします（法第18条第2項、確認日 2026-10-14）。名簿だけを他社へ渡す、売る場合がこの承継に当たるかは、このサイトでは判断しません。

1. 漏えい等報告・本人通知義務の緩和: 廃棄に出した書類や機器が回収の前後で紛失した、廃棄を頼んだ業者から情報が流出した、処分した機器からデータが復元されて外に出たなどの場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 書類の溶解・回収、パソコンの消去、データ消去の作業を外部の業者に任せる場合に関係します。任せる側は委託先に対する監督が求められ（法第25条）、委託を受けた側の新しい規定が今回の改正の論点です。ある取引が委託に当たるかは契約の中身で変わり、規則で定める内容は未確定です。
3. 課徴金制度: 事業をやめるときに名簿を本人の同意なく他社へ渡すと、第三者提供の制限（法第27条）が関係します。第三者提供の制限違反は課徴金の対象類型の一つですが、対象行為に係る本人の数について1,000人を基準とする大規模な事案という限定要件があり、算定式を定める政令は公布されていません。

どの時点で個人データを利用する必要がなくなったといえるか、書類ごとの保存期間、廃棄業者との契約が委託に当たるか、名簿の引き渡しが事業の承継に当たるかは、事業の実態や契約の内容によって変わるため、このサイトでは判断できません。顧問弁護士、個人情報保護委員会にご確認ください。

141. 有料老人ホーム・サ高住・グループホーム

対象: 有料老人ホーム・サービス付き高齢者向け住宅・グループホーム等の入居系高齢者施設（入居者と身元引受人・家族の情報、介護記録、居室や共用部のカメラ、入居紹介事業者への共有）

この節で想定する場面は、高齢者が暮らす住まいとして運営する施設が、入居者の情報に加えて、身元引受人や家族の連絡先、日々の介護記録、居室や廊下・玄関のカメラの映像を扱い、入居の紹介を受ける事業者などともやり取りする場面です。

27番の介護事業者は訪問介護・通所介護などのサービスを届ける側、119番の福祉用具貸与・販売事業者は用具を届ける側、67番の見守りカメラのメーカー・販売事業者は機器を作って売る側です。ここでは、入居者が暮らす場所を運営する側が、入居者本人・身元引受人・家族・紹介事業者の情報をどう扱うかに絞ります。

個人情報保護委員会の「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」のQ&Aは、対象となる「介護関係事業者」には、介護保険制度によるサービスを提供する事業者だけでなく、介護保険の指定を受けずに有料老人ホームを経営する者や、養護老人ホーム、ケアハウス等も広く含まれると説明しています（Q1-5）。サービス付き高齢者向け住宅など、ほかの形態の施設がどの範囲に入るかは運営の中身で変わるため、このサイトでは判断しません（確認日 2026-10-14）。

令和8年改正で確認するテーマは次のとおりです。決まっていないことは、まだ決まっていないものとして書いています。

1. 漏えい等報告・本人通知義務の緩和: 介護記録、入居者の病歴等を含む情報、身元引受人・家族の連絡先を含むデータが漏えい等した場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 給食・清掃・夜間の見守り・記録システム・入居相談の窓口などを外部に任せ、個人データの取扱いを伴う場合に関係します。任せる側の監督（法第25条）と、任される側に新設される義務（法第30条の3）が論点です。ある取引が委託に当たるかは契約の中身で変わり、規則で定める内容は未確定です。
3. 顔特徴データ等: 共用部や玄関のカメラで、顔の特徴を使って入居者や来訪者を識別できるようにしている場合に関係します。周知・オプトアウト提供の禁止・利用停止等請求の3つの規律が新設される改正で、政令で定める事項は未確定です。

入居紹介事業者との契約が委託か第三者提供か、身元引受人にどこまで情報を伝えてよいか、居室内のカメラの設置の可否は、施設の実態や契約の内容によって変わるため、このサイトでは判断できません。個人情報保護法以外の法令も関係するため、顧問弁護士、個人情報保護委員会にご確認ください。

142. 営業代行・テレアポ・インサイドセールス

対象: 営業代行・テレアポ・インサイドセールスの受託会社（発注企業から預かる見込み客リスト、架電の録音、再委託先、取得経路の確認）

この節で想定する場面は、発注企業から見込み客のリストを預かって電話やメールで連絡し、結果を報告する会社が、架電を録音し、一部を別の会社へ外注し、自社でもリストを調達する場面です。

8番のコールセンター受託事業者は依頼元の顧客対応の窓口を担う会社、4番の営業リスト・名簿を扱うマーケティング事業者は名簿を売る・渡す側です。ここでは、発注企業のリストを預かって営業の連絡を代わりに行う側が、預かったデータと自社で集めたデータをどう扱うかに絞ります。

確認日は 2026-10-14 です（法はe-Govで、ガイドライン通則編とQ&Aは委員会の公表資料の本文で確認）。令和8年改正で確認するテーマは次のとおりです。決まっていないことは、まだ決まっていないものとして書いています。

1. 委託先における個人データ等の適正な取扱い: 発注企業から個人データの取扱いを任される立場として、任される側に新設される義務（法第30条の3）が関係します。再委託の場面では、任せる側の監督（法第25条）も論点です。ある取引が委託に当たるかは契約の中身で変わり、規則で定める内容は未確定です。
2. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 電話番号・メールアドレスなどの連絡先を含むリストで営業の連絡をする業務に関係します。第三者提供に限らず、不適正利用と不正取得そのものが禁止される改正です。「連絡可能」に当たる記述等の範囲と施行日は未確定です。
3. オプトアウト制度の強化: 取得経路をたどった先に、オプトアウトで提供された名簿が含まれる場合に関係します。オプトアウト届出事業者を対象に、提供先の身元・利用目的の確認義務が新設される改正で、規則で定める内容は未確定です。

発注企業との契約の内容、電話での営業に関するほかの法令、リストが適法に取得されたものかの判断は、このサイトでは行いません。個人情報保護法以外の法令も関係するため、顧問弁護士または個人情報保護委員会にご確認ください。

143. 要注意顧客・カスハラ対応記録を持つ事業者

対象: 要注意顧客・出入り禁止客・カスタマーハラスメントの対応記録を持つ店舗・施設・事業者（氏名や特徴の記録、事業者間での共有、保管期間、本人からの開示請求）

この節で想定する場面は、店舗や施設が、迷惑行為や無理な要求をした客の氏名・特徴・やりとりを記録し、グループ内や近隣の店舗と共有し、いつまで残すかを決め、本人から記録の開示を求められる場面です。

9番の小売店舗・商業施設運営者は防犯カメラの映像を扱う立場、8番のコールセンター受託事業者は依頼元の顧客対応を担う立場です。ここでは、迷惑行為をした客の記録を作り、他の事業者と共有し、本人から求められたときにどう扱うかに絞ります。

確認日は 2026-10-15 です（法はe-Govで、Q&Aは委員会の「個人情報保護法に関するよくある質問」の本文で確認）。令和8年改正で確認するテーマは次のとおりです。決まっていないことは、まだ決まっていないものとして書いています。

1. 顔特徴データ等: カメラの映像から顔の特徴を抽出し、出入り禁止の客かどうかを照合したり、他の店舗と共有したりしている場合に関係します。周知の義務付け・オプトアウト提供の禁止・利用停止等請求という3つの規律が新設される改正で、政令で定める事項は未確定です。録画するだけの通常の防犯カメラは、直ちに当たるとは限りません。
2. オプトアウト制度の強化: 客の記録を共有する仕組みを、同意や共同利用ではなくオプトアウトの届出で作る場合に関係します。オプトアウト届出事業者を対象に、提供先の身元・利用目的の確認義務が新設される改正で、規則で定める内容は未確定です。共有が同意や共同利用によるものか、オプトアウトによるものかで関係が変わります。
3. 漏えい等報告・本人通知義務の緩和: 対応記録や要注意リストの紛失、共有先への誤送信、共有システムへの不正アクセスなどが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。

特定の客を出入り禁止にできるか、記録を共有してよいか、本人からの開示請求に応じるかは、記録の中身や共有の仕組みによって変わるため、このサイトでは判断できません。個人情報保護法以外の法令（不法行為や名誉毀損など）も関係するため、顧問弁護士、個人情報保護委員会にご確認ください。

144. 遺品整理・相続関連・終活支援

対象: 遺品整理・相続関連サービス・終活支援事業者（故人の情報と相続人の連絡先の区別、鍵や書類の預かり、買取・処分の委託先）

この節で想定する場面は、亡くなった人の家の片づけや相続に関わる手続の支援を請け負う事業者が、依頼者や相続人の連絡先を聞き取り、鍵や書類を預かり、不用品の買取や処分を別の事業者に任せる場面です。

69番の葬儀社・葬祭業者は葬儀の参列者や喪主の情報、59番の古物商・リユース買取店は買い取った品物と売り手の情報、家事代行・便利屋等の訪問型生活支援事業者は依頼者宅に入って作業する立場で既に扱っています。ここでは、故人の情報と、依頼者・相続人という生きている人の情報をどう分けて扱うかに絞ります。

確認日は 2026-10-15 です（法はe-Govで、ガイドライン通則編とQ&Aは委員会の公表資料の本文で確認）。令和8年改正で確認するテーマは次のとおりです。決まっていないことは、まだ決まっていないものとして書いています。

1. 委託先における個人データ等の適正な取扱い: 買取・運搬・処分・名義変更の手続などを外部に任せ、個人データの取扱いを伴う場合に関係します。任せる側の監督（法第25条）と、任される側に新設される義務（法第30条の3）が論点です。ある取引が委託に当たるかは契約の中身で変わり、規則で定める内容は未確定です。
2. 漏えい等報告・本人通知義務の緩和: 依頼者・相続人の連絡先、預かった書類や端末の紛失、作業報告の誤送信などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
3. 罰則（2027年1月17日施行）: 業務で取り扱った個人情報データベース等を、不正な利益を図る目的で提供または盗用する行為は、不正提供等罪の対象です。預かった連絡先の一覧や名簿を、従業者が持ち出して他の事業者に渡す場合が関係します。

故人の情報のうち何が遺族の個人情報に当たるか、相続人への情報の開示の可否、預かった物の中身の扱いは、依頼の内容や契約によって変わるため、このサイトでは判断できません。相続や遺品に関するほかの法令も関係するため、顧問弁護士、個人情報保護委員会にご確認ください。

145. 夜間営業の飲食店（スナック・ラウンジ等）

対象: 夜間営業の飲食店（スナック・ラウンジ・ガールズバー・ホストクラブ等）（顧客の連絡先、キャストの身分証コピー、年齢確認、防犯カメラ、売掛の管理）

この節で想定する場面は、夜間に接客する飲食店が、常連客の名刺や連絡先、LINEのやりとりを控え、働く人の身分証のコピーを預かり、年齢確認の記録を残し、店内のカメラで映像を撮り、売掛の帳簿を付ける場面です。

49番の飲食店・飲食チェーンは会員アプリや予約サイトの顧客情報、143番の要注意顧客の対応記録は迷惑行為をした客の記録の共有を扱います。ここでは、店が日々の営業で集める連絡先、身分証のコピー、売掛の記録を、だれが持ち、いつまで残し、外にどう出すかに絞ります。風営法など個人情報保護法以外のルールは扱いません。

確認日は 2026-10-15 です（法はe-Govで確認）。令和8年改正で確認するテーマは次のとおりです。決まっていないことは、まだ決まっていないものとして書いています。

1. 委託先における個人データ等の適正な取扱い: 予約・会員管理・売掛・決済の仕組みや、売掛の回収を外部の事業者に任せ、個人データの取扱いを伴う場合に関係します。任せる側の監督（法第25条）と、任される側に新設される義務（法第30条の3）が論点です。ある取引が委託に当たるかは契約の中身で変わり、規則で定める内容は未確定です。
2. 漏えい等報告・本人通知義務の緩和: 顧客の連絡先を入れたスマートフォンの紛失、身分証のコピーの紛失、売掛の連絡の誤送信などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
3. 顔特徴データ等: 店内のカメラで顔識別を行い、来店客本人を識別できるようにしている場合に関係します。周知の義務付け・オプトアウト提供の禁止・利用停止等請求という3つの規律が新設される改正で、政令で定める事項は未確定です。

連絡先をどこまで控えてよいか、身分証のコピーを取ってよいか、売掛の情報を他の店に伝えてよいかは、店の取扱いや契約によって変わるため、このサイトでは判断できません。個人情報保護法以外の法令も関係するため、顧問弁護士、個人情報保護委員会にご確認ください。

146. 食材宅配・宅配弁当・給食受託調理事業者

この節で想定する場面は、食材宅配や宅配弁当の事業者、学校・保育施設・事業所の給食を請け負う調理事業者が、利用者のアレルギーや持病、食事制限の申告を受け、配達先の住所や不在時の置き場所を控え、調理や配送を別の事業者に任せて情報を共有する場面です。

49番の飲食店・飲食チェーンは店の会員アプリや予約サイトの顧客情報、41番の物流・宅配・運送事業者は荷物の送り状や配送記録を扱います。ここでは、食事を届ける事業者が、アレルギーや健康状態の申告、配達先の情報を、だれと共有し、いつまで残すかに絞ります。食品衛生法や食品表示のルールは扱いません。

確認日は 2026-10-18 です（法はe-Govで確認）。令和8年改正で確認するテーマは次のとおりです。決まっていないことは、まだ決まっていないものとして書いています。

1. 委託先における個人データ等の適正な取扱い: 調理、配送、予約受付、決済を外部の事業者に任せ、個人データの取扱いを伴う場合に関係します。任せる側の監督（法第25条）と、任される側に新設される義務（法第30条の3）が論点です。ある取引が委託に当たるかは契約の中身で変わり、規則で定める内容は未確定です。
2. 漏えい等報告・本人通知義務の緩和: アレルギーの申告書の紛失、配達先の一覧を載せた端末の紛失、別の利用者への誤配信などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
3. こどもの個人情報: 学校・保育施設の給食や子ども向けの宅配弁当で、利用者が16歳未満の場合に、改正法で新設される16歳未満の本人についての法定代理人の関与（利用目的の通知等、目的外利用・要配慮個人情報の取得・第三者提供の同意）の規律が関係します。政令・規則で定める内容は未確定です。

アレルギーの申告を要配慮個人情報として扱うべきか、委託先にどこまで渡してよいかは、申告の内容や契約によって変わるため、このサイトでは判断できません。食品衛生などの個人情報保護法以外の法令も関係するため、顧問弁護士、個人情報保護委員会にご確認ください。

147. 貸衣装・フォトレンタル・着付けの事業者

この節で想定する場面は、貸衣装店や着付けの事業者が、七五三や成人式の利用者の氏名・連絡先・体の寸法を予約名簿に控え、衣装を着た姿を撮影し、提携の写真館や美容室と予約の情報を共有する場面です。

46番の写真館・フォトスタジオは撮影した写真の管理、58番の結婚式場・ブライダル事業者は新郎新婦と参列者の情報を扱います。ここでは、衣装を貸す事業者が、未成年の利用者の採寸、写真、予約名簿を、保護者の関与も含めてどう扱うかに絞ります。着付けの技術や衣装の貸借契約のルールは扱いません。

確認日は 2026-10-18 です（法はe-Govで確認）。令和8年改正で確認するテーマは次のとおりです。決まっていないことは、まだ決まっていないものとして書いています。

1. こどもの個人情報: 七五三の利用者のように、16歳未満の子どもの氏名・生年月日・写真を保護者を通じて取得する場合に関係します。改正法で新設される、法定代理人の関与の規律が論点で、政令・規則で定める内容は未確定です。
2. 委託先における個人データ等の適正な取扱い: 予約システム、写真の撮影、美容室や着付け師の提携先に予約の情報を渡す場合に関係します。任せる側の監督（法第25条）と、任される側に新設される義務（法第30条の3）が論点です。ある取引が委託に当たるかは契約の中身で変わり、規則で定める内容は未確定です。
3. 漏えい等報告・本人通知義務の緩和: 予約名簿や採寸の記録を載せた端末の紛失、写真データの誤送信などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。

採寸や写真をどこまで残してよいか、子どもの写真を広告に載せるときの同意の取り方は、店の取扱いや契約によって変わるため、このサイトでは判断できません。個人情報保護法以外の法令も関係するため、顧問弁護士、個人情報保護委員会にご確認ください。

148. クリーニング店・コインランドリー

この節で想定する場面は、クリーニング店が会員カードやポイントで顧客の氏名・連絡先を控え、預かり品に名前や番号を書いた札を付け、店内や機械の周りに防犯カメラを置き、取次店や工場に洗いを任せる場面です。コインランドリーでは、無人の店舗の防犯カメラと、アプリの会員情報が関係します。

9番の小売店舗・商業施設運営者は防犯カメラの一般的な扱い、56番の引越し・ハウスクリーニングなど自宅に入る生活サービス事業者は自宅に入る作業を扱います。ここでは、店で預かる衣類に付く名前や番号、会員とポイントの情報、取次店と工場の間の受け渡しを、だれが持ち、どう残すかに絞ります。衣類の取扱いの契約や、クリーニング業法のルールは扱いません。

確認日は 2026-10-18 です（法はe-Govで確認）。令和8年改正で確認するテーマは次のとおりです。決まっていないことは、まだ決まっていないものとして書いています。

1. 委託先における個人データ等の適正な取扱い: 取次店から工場への受け渡し、会員アプリや決済の仕組みを外部の事業者に任せ、個人データの取扱いを伴う場合に関係します。任せる側の監督（法第25条）と、任される側に新設される義務（法第30条の3）が論点です。ある取引が委託に当たるかは契約の中身で変わり、規則で定める内容は未確定です。
2. 漏えい等報告・本人通知義務の緩和: 伝票や会員名簿の紛失、会員アプリの情報の誤送信、別の客への預かり品の誤返却に伴う情報の流出などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
3. 顔特徴データ等: 店内や無人のコインランドリーのカメラで顔識別を行い、来店客本人を識別できるようにしている場合に関係します。周知の義務付け・オプトアウト提供の禁止・利用停止等請求という3つの規律が新設される改正で、政令で定める事項は未確定です。通常の録画のみの防犯カメラは対象外です。

名札に氏名を書いてよいか、取次店と工場の間でどこまで情報を渡してよいかは、店の取扱いや契約によって変わるため、このサイトでは判断できません。個人情報保護法以外の法令も関係するため、顧問弁護士、個人情報保護委員会にご確認ください。

149. 銭湯・サウナ・スパ・日帰り温浴施設

この節で想定する場面は、銭湯、サウナ、スパ、日帰り温浴施設の運営者が、会員証や回数券で利用者の氏名・連絡先を控え、ロッカーの鍵と利用者を結びつけ、入口や受付に防犯カメラを置き、会員の入館を顔認証で管理し、子どもや未成年の利用を受け付ける場面です。

10番の顔認証で入退館・入場を管理する施設は入館管理の一般的な整理、9番の小売店舗・商業施設運営者は防犯カメラの一般的な扱いを扱います。ここでは、会員証とロッカー鍵に結びついた利用者の情報、入口の顔認証、子どもの利用の受付を、だれが持ち、どう残すかに絞ります。公衆浴場の許可や衛生管理のルール、入浴の可否の判断は扱いません。

確認日は 2026-10-18 です（法はe-Govで確認）。令和8年改正で確認するテーマは次のとおりです。決まっていないことは、まだ決まっていないものとして書いています。

1. 顔特徴データ等: 入口のカメラや会員の顔認証入館で、顔の特徴を抽出して本人を識別できるようにしている場合に関係します。周知の義務付け・オプトアウト提供の禁止・利用停止等請求という3つの規律が新設される改正で、政令で定める事項は未確定です。通常の録画のみの防犯カメラは対象外です。
2. こどもの個人情報: 子どもや未成年の会員登録、回数券、保護者の名義での受付に関係します。16歳未満の者について、法定代理人の関与と責務が新設される改正で、政令・規則で定める内容は未確定です。
3. 漏えい等報告・本人通知義務の緩和: 会員名簿やロッカー鍵の記録の紛失、会員アプリの情報の誤送信などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。

顔認証の登録をどう案内するか、健康状態の申告をどこまで聞いてよいか、子どもの利用をどう受け付けるかは、施設の運営や契約によって変わるため、このサイトでは判断できません。個人情報保護法以外の法令も関係するため、顧問弁護士、個人情報保護委員会にご確認ください。

150. 音楽教室・書道教室・将棋囲碁教室などの習い事教室

この節で想定する場面は、音楽教室、書道教室、将棋教室、囲碁教室などの習い事教室の運営者が、生徒名簿に氏名・生年月日・学校名・保護者の連絡先を控え、未成年の生徒を保護者の名義で受け付け、発表会や大会の写真・動画を撮って掲示やホームページ、SNSに載せ、保護者への連絡をメールやメッセージアプリで行う場面です。

3番の学習塾・保育・子ども向け習い事は、子どもを預かる事業者の一般的な整理です。ここでは、生徒名簿、発表会の写真・動画、保護者への連絡網を、だれが持ち、どこまで見せるかに絞ります。月謝の決済や、教室の開設に関する手続は扱いません。

確認日は 2026-10-19 です（法はe-Govで確認）。令和8年改正で確認するテーマは次のとおりです。決まっていないことは、まだ決まっていないものとして書いています。

1. こどもの個人情報: 子どもの生徒の入会届、保護者の名義での受付、発表会の写真・動画の同意に関係します。16歳未満の者について、法定代理人の関与と責務が新設される改正で、政令・規則で定める内容は未確定です。
2. 漏えい等報告・本人通知義務の緩和: 生徒名簿の紛失、保護者への一斉メールの宛先の誤表示などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
3. 委託先における個人データ等の適正な取扱い: 発表会の撮影、月謝管理や連絡の仕組みを外部に任せている場合、委託先としての新しい義務・免除規定の対象になり得ます。規則で定める内容は未確定です。

写真・動画の掲載に同意をどう取るか、保護者以外の連絡先をどう扱うかは、教室の運営や契約によって変わるため、このサイトでは判断できません。個人情報保護法以外の法令も関係するため、顧問弁護士、個人情報保護委員会にご確認ください。

151. 自転車・バイク販売店とシェアサイクル事業者

この節で想定する場面は、自転車・バイクの販売店や修理店が、購入者の氏名・住所を防犯登録や車体登録のために控え、保険の加入手続を取り次ぎ、シェアサイクルの事業者が、会員アプリで利用者の連絡先、貸出と返却の場所、移動の履歴を取り扱う場面です。

67番のスマート家電・IoT機器は、機器で取得した位置情報などの一般的な整理、15番のカーシェアリング・レンタカー事業者は、貸出事業の一般的な整理です。ここでは、購入者の登録情報の控え、会員アプリの位置情報と履歴、保険の取次ぎでの情報の渡し先に絞ります。防犯登録の手続そのものや、道路交通に関するルールは扱いません。

確認日は 2026-10-19 です（法はe-Govで確認）。令和8年改正で確認するテーマは次のとおりです。決まっていないことは、まだ決まっていないものとして書いています。

1. 漏えい等報告・本人通知義務の緩和: 販売店の顧客台帳の紛失、会員アプリの情報の誤送信などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
2. 連絡可能個人関連情報の不適正利用・不正取得の禁止: 会員アプリで電話番号・メールアドレス等の連絡先情報を取り扱う場合に、不適正利用・不正取得の禁止規定を確認しておく意味があります。規則で定める内容は未確定です。
3. 委託先における個人データ等の適正な取扱い: 会員アプリの開発や運用、顧客管理のシステムを外部に任せている場合、委託先としての新しい義務・免除規定の対象になり得ます。規則で定める内容は未確定です。

登録の控えをどこまで残すか、位置情報の履歴をいつまで保管するか、保険の取次ぎで情報をどう渡すかは、店の運営や契約によって変わるため、このサイトでは判断できません。個人情報保護法以外の法令も関係するため、顧問弁護士、個人情報保護委員会にご確認ください。

152. 中古車販売・買取店

この節で想定する場面は、中古車の販売店や買取店が、購入者や売却者の本人確認書類を確認し、古物台帳に記録し、名義変更のために車検証の氏名・住所を扱い、ローンの申込みを信販会社に取り次ぎ、試乗や来店の様子をカメラに映す場面です。

50番の自動車ディーラー・整備工場は、顧客台帳、車検・点検の案内、ドライブレコーダー映像の一般的な整理、59番の古物商・リユース買取店は、古物の買取全般の整理です。ここでは、売却者・購入者の本人確認書類と古物台帳、車検証の氏名・住所、ローン申込みの取次ぎ、試乗・来店時のカメラに絞ります。古物商の許可や、車両の登録手続そのものは扱いません。

確認日は 2026-10-19 です（法はe-Govで確認）。令和8年改正で確認するテーマは次のとおりです。決まっていないことは、まだ決まっていないものとして書いています。

1. 漏えい等報告・本人通知義務の緩和: 古物台帳や本人確認書類の写しを入れた書類・端末の紛失、オンライン査定の受付システムへの不正アクセス、メールの誤送信などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 査定システム、在庫・顧客管理、案内状の発送などを外部に任せている場合、任せる側の監督と、任される側に新設される義務（法第30条の3）の両方が関係します。契約書に書く事項は委託先契約で定める事項の3論点で整理しています。
3. 顔特徴データ等: 展示場や買取カウンターのカメラで顔識別を行い、来店客本人を識別できるようにしている場合に関係します。撮影して保管するだけで顔識別を行わない映像は、この規律の対象外です。政令で定める内容は未確定です。

本人確認書類の写しをどこまで残してよいか、台帳の記載事項をローン会社や保険会社に渡してよいか、警察からの照会にどこまで答えてよいかは、店の運営や契約によって変わるため、このサイトでは判断できません。古物営業法や道路運送車両法など個人情報保護法以外の法令も関係するため、顧問弁護士、所管の公安委員会、個人情報保護委員会にご確認ください。

153. 商店街振興組合・商店会・商店街イベント事務局

この節で想定する場面は、共通ポイントや会員の名簿、街路の防犯カメラ、イベントの写真、福引の応募票を扱う場面です。

商店街振興組合・商店会・商店街イベント事務局には、共通ポイントカードの会員の氏名・連絡先・利用の記録、加盟店の代表者の名簿、アーケードや街路に設けた防犯カメラの映像、祭りやセールで撮った来場者の写真、福引や抽選会の応募票が残ります。マンション管理組合・自治会・町内会は48番、観光協会は121番、共通ポイントの運営事業者は116番で扱っているため、ここでは重ねず、商店街の組織に固有の場面に絞ります。個人情報データベース等を事業の用に供していれば、商店会のような任意の団体でも個人情報取扱事業者になりえます（法第16条第2項。団体の形態ごとの該当性はこのサイトでは判断できません）。

確認日は 2026-10-20 です（法はe-Govで確認）。令和8年改正で確認するテーマは次のとおりです。決まっていないことは、まだ決まっていないものとして書いています。

1. 漏えい等報告・本人通知義務の緩和: 会員名簿や応募票を入れた書類・端末の紛失、ポイントシステムへの不正アクセス、メールの誤送信などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: ポイントシステムや名簿の管理、イベント運営を外部に任せている場合、任せる側の監督と、任される側に新たに求められる事項が関係します。規則で定める範囲は未確定です。
3. 顔特徴データ等: 街路やアーケードのカメラで顔識別を行い、来街者本人を識別できるようにしている場合に関係します。撮影して保管するだけで顔識別を行わない映像は、顔特徴データ等とは区別されます。政令で定める範囲は未確定です。

名簿を加盟店に渡してよい範囲、街路のカメラの映像を警察や自治体に出してよい場合、組合員の名簿に関する組合法上の扱いは、組織の形態や規約によって変わるため、このサイトでは判断できません。顧問弁護士、所管の自治体の窓口、個人情報保護委員会にご確認ください。

154. 書店・古書店・ブックカフェ・読書会運営者

この節で想定する場面は、会員カードや取り寄せ注文の連絡先、外商の顧客台帳、店内の防犯カメラ、読書会の参加者名簿を扱う場面です。

書店・古書店・ブックカフェ・読書会運営者には、会員カードの氏名・連絡先・購入の履歴、取り寄せ注文を受けたお客様の連絡先、学校や企業に納める外商の顧客台帳、店内の防犯カメラの映像、読書会や店内イベントの参加者名簿が残ります。購入した書名の履歴は、読書の傾向から本人の関心を推し量れることがあるため、扱いに配慮が要ります。古本の買取のときの本人確認と台帳は59番の古物商・リユース買取店、質を取る営業は122番の質屋、図書館は70番の公共施設の節で扱っているため、ここでは重ねず、書店の販売と店内の運営に絞ります。

確認日は 2026-10-20 です（法はe-Govで確認）。令和8年改正で確認するテーマは次のとおりです。決まっていないことは、まだ決まっていないものとして書いています。

1. 漏えい等報告・本人通知義務の緩和: 会員カードの情報や外商の顧客台帳を入れた端末の紛失、通販サイトへの不正アクセス、取り寄せ連絡の誤送信などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
2. 委託先における個人データ等の適正な取扱い: 会員システムや通販サイトの運営、ポイント管理を外部に任せている場合、任せる側の監督と、任される側に新たに求められる事項が関係します。規則で定める範囲は未確定です。
3. 顔特徴データ等: 店内のカメラで顔識別を行い、来店客本人を識別できるようにしている場合に関係します。撮影して保管するだけで顔識別を行わない映像は、顔特徴データ等とは区別されます。政令で定める範囲は未確定です。

購入履歴をおすすめの案内に使ってよい範囲、取次への注文情報の渡し方、警察からの照会にどこまで答えてよいかは、店の運営や契約によって変わるため、このサイトでは判断できません。古物営業法など個人情報保護法以外の法律の関わりも同じです。顧問弁護士、所管の警察署、個人情報保護委員会にご確認ください。

155. 運動会・学校行事・スポーツ大会の撮影・写真販売業者

この節で想定する場面は、学校や団体から依頼を受けて行事を撮影し、写真を保護者に販売する場面です。注文票や販売サイトの注文者の情報も扱います。

運動会・学校行事・スポーツ大会の撮影・写真販売業者には、出席した児童・生徒の顔写真、学年・クラス・氏名が分かる名簿や撮影の割り当て表、注文した保護者の氏名・連絡先・配送先、ネット販売で写真を見るための閲覧用のIDやパスワードが残ります。子ども本人の写真と、注文した保護者の情報は、集める相手と目的が別です。結婚式や七五三などの個人客を撮る店は46番の写真館・フォトスタジオ、子ども向けの衣装や撮影の貸出は貸衣装・フォトレンタル・着付けの事業者、学校そのものの運営は62番の学校法人・私立学校で扱っているため、ここでは行事の撮影と販売に絞ります。

確認日は 2026-10-21 です（法はe-Govで確認）。令和8年改正で確認するテーマは次のとおりです。決まっていないことは、まだ決まっていないものとして書いています。

1. こどもの個人情報（16歳未満）: 出席する児童・生徒の写真や名簿を扱うため、16歳未満の本人に代わって法定代理人の関与が求められる規律が関係します。施行日と、対象になる場面の細部は未確定です。
2. 漏えい等報告・本人通知義務の緩和: 写真データや注文者の名簿を入れた端末の紛失、販売サイトへの不正アクセス、写真の誤送信などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
3. 委託先における個人データ等の適正な取扱い: 学校や団体から撮影と販売を任される立場、また販売サイトや写真の現像・発送を外部に任せる立場の両方で、任せる側の監督と、任される側に新たに求められる事項が関係します。規則で定める範囲は未確定です。

学校と結ぶ契約の中身、学校が保護者から得ている撮影への同意の範囲、撮影した写真を広告に使ってよいかは、事業の運営や契約によって変わるため、このサイトでは判断できません。顧問弁護士、委託元の学校、個人情報保護委員会にご確認ください。

156. 無人店舗・無人販売所・セルフレジ店舗の運営者

この節で想定する場面は、店員がいない、または少ない店で、入店の認証、防犯カメラ、会員アプリ、万引き防止の照合を使う場面です。

無人店舗・無人販売所・セルフレジ店舗の運営者には、入店時に読み取った顔の画像や顔特徴データ、店内の防犯カメラ映像、会員アプリの氏名・連絡先・決済の情報、万引きの疑いがある人を記録した照合用のリストが残ります。録画して確認するだけの防犯カメラは9番の小売店舗・商業施設運営者、会員の入退館を顔認証で管理する施設は10番の顔認証で入退館・入場を管理する施設で扱っているため、ここでは無人運営に固有の場面に絞ります。

確認日は 2026-10-21 です（法はe-Govで確認）。令和8年改正で確認するテーマは次のとおりです。決まっていないことは、まだ決まっていないものとして書いています。

1. 顔特徴データ等: 入店の認証や万引き防止の照合で、顔から本人を識別できるようにしている場合に直接関係する、この業種の中心テーマです。周知の義務付け・オプトアウト提供の禁止・利用停止等請求という3つの規律が新設されます。入口に掲示する内容は周知事項の対応表で確かめられます。政令で定める細部は未確定です。
2. 漏えい等報告・本人通知義務の緩和: 映像データや会員アプリの登録情報の漏えい、システムへの不正アクセスが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
3. 委託先における個人データ等の適正な取扱い: 入店システムやカメラの運用を外部に任せている場合の、任せる側の監督と、任される側に新たに求められる事項が関係します。規則で定める範囲は未確定です。

顔認証や照合リストを使ってよいか、掲示でどこまで足りるか、万引きの疑いがある人の情報をどう扱うかは、店の運営の実態によって変わるため、このサイトでは判断できません。顧問弁護士、個人情報保護委員会にご確認ください。

157. キャンプ場・アウトドア体験・ガイド事業者

この節で想定する場面は、キャンプ場や、登山・川下り・自然体験などのガイド付きの体験で、参加者を予約から当日の活動まで受け入れる場面です。

キャンプ場・アウトドア体験・ガイド事業者には、予約者や同行者の名簿、緊急時の連絡先、未成年の参加者の年齢と保護者の同意書、活動中に撮影した写真や動画、予約サイトから届く顧客の情報が残ります。宿泊施設は11番のホテル・宿泊施設、民泊や貸別荘は57番の民泊・マンスリー賃貸・シェアハウスの運営者、旅行商品を企画する会社は23番の旅行代理店・宿泊予約プラットフォーム事業者で扱っているため、ここでは現地で参加者を受け入れる側に絞ります。

確認日は 2026-10-21 です（法はe-Govで確認）。令和8年改正で確認するテーマは次のとおりです。決まっていないことは、まだ決まっていないものとして書いています。

1. こどもの個人情報（16歳未満）: 未成年の参加者の名簿や同意書、活動中の写真を扱うため、16歳未満の本人に代わって法定代理人の関与が求められる規律が関係します。施行日と、対象になる場面の細部は未確定です。
2. 漏えい等報告・本人通知義務の緩和: 予約者名簿を入れた端末の紛失、予約システムへの不正アクセス、写真の誤送信などが起きた場合の、報告と本人通知の扱いに関係します（法第26条第1項ただし書）。規則で定める範囲は未確定です。
3. 委託先における個人データ等の適正な取扱い: 予約サイトや予約管理の仕組みを外部のサービスに任せている場合の、任せる側の監督と、任される側に新たに求められる事項が関係します。規則で定める範囲は未確定です。

同意書の書き方、写真を広告に使ってよいか、事故のときに家族へ情報を伝える範囲は、事業の運営や契約によって変わるため、このサイトでは判断できません。顧問弁護士、個人情報保護委員会にご確認ください。

158. どれにも当てはまらない場合・複数に当てはまる場合

ここに挙げた156業種はあくまで代表例であり、実際の事業は複数の業種にまたがることも、いずれにも当てはまらないこともあります。その場合は該当性チェックで7つの質問に直接答える方法をおすすめします。入力内容は送信・保存されず、ブラウザの中だけで処理されます。

よくある質問

自社の業種が載っていない場合は、どうすればよいですか。

ここに挙げた156業種は代表例で、実際の事業は複数の業種にまたがることも、いずれにも当てはまらないこともあります。その場合は、該当性チェックで自社の取扱いから関係する項目を絞り込んでください。

自社の業種が載っていれば、そのテーマが該当すると考えてよいですか。

いいえ。このページに書いているのは、業種ごとに関係しうる可能性が高いテーマの一般的な傾向です。自社が実際に該当するかどうかの判定ではなく、実際の関係は自社の取扱いによって変わります。

このページでは、何を比べられますか。

156業種と11テーマの早見表があり、業種ごとにまず確認する3テーマを並べています。11テーマは令和8年改正の項目の分け方です。

出典

• S-07個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律について」（PDF） 課徴金の対象要件（大規模事案・本人の数1,000人基準）（確認日 2026-09-04）
• S-16同PDF 委託先における個人データ等の適正な取扱い（確認日 2026-09-04）
• S-19同PDF 漏えい等報告・本人通知義務の緩和（確認日 2026-09-05）
• S-20同PDF 連絡可能個人関連情報の不適正利用・不正取得の禁止（確認日 2026-09-05）
• S-26個人情報の保護に関する法律等の一部を改正する法律（令和8年法律第56号）本文（PDF） 不正取得罪の新設（第180条）・施行日（確認日 2026-09-05）
• S-21同PDF オプトアウト制度の強化（確認日 2026-09-05）
• S-23同PDF 目的外利用・要配慮個人情報取得・第三者提供の規律緩和（確認日 2026-09-05）
• S-24同PDF 生命等の保護・公衆衛生向上での同意取得困難性要件の緩和（確認日 2026-09-05）
• S-22同PDF 統計作成等の特例（確認日 2026-09-05）
• S-08同PDF こどもの個人情報（16歳未満基準）（確認日 2026-09-04）
• S-18同PDF こどもの個人情報（法定代理人の関与義務・例外）（確認日 2026-09-04）
• S-13同PDF 顔特徴データ等の定義（本人を識別することを目的とした装置・ソフトウェアによる識別）（確認日 2026-09-04）
• S-14同PDF 顔特徴データ等に課される義務（周知・オプトアウト提供禁止・利用停止等請求）（確認日 2026-09-04）
• S-68個人情報保護委員会 個人情報保護法Q&A A1-50・A1-54（非営利団体・マンション管理組合）、A5-6（理事等は「従業者」）。個人情報の定義（法第2条第1項）はe-Gov法令検索（確認日 2026-10-11）
• S-71e-Gov法令検索 個人情報の保護に関する法律 第57条（適用除外）、個人情報保護委員会 Q&A Q11-5、ガイドライン（通則編）2-3（要配慮個人情報）・3-5-3（確認日 2026-10-12）
• S-90個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」2-3（要配慮個人情報）・3-5-3（漏えい等報告）、e-Gov法令検索 個人情報の保護に関する法律第25条・第27条（確認日 2026-10-13）
• S-91e-Gov法令検索 個人情報の保護に関する法律第57条第1項第4号・第3項（政治団体の適用除外）、個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」2-3（要配慮個人情報）・3-5-3（漏えい等報告）（確認日 2026-10-14）
• S-93e-Gov法令検索 公益通報者保護法第11条（事業者がとるべき措置）・第12条（公益通報対応業務従事者の義務）、個人情報の保護に関する法律の委託先・漏えい等報告・罰則の確認済み事実（確認日 2026-10-14）
• S-94e-Gov法令検索 個人情報の保護に関する法律第2条第3項・第20条・第22条・第25条・第26条・第28条・第35条、委託先・漏えい等報告・顔特徴データ等・罰則の確認済み事実（確認日 2026-10-14）
• S-92e-Gov法令検索 個人情報の保護に関する法律第22条（データ内容の正確性の確保等・消去の努力義務）・第23条（安全管理措置）・第25条（委託先の監督）・第31条（個人関連情報の第三者提供の制限）、当サイトの連絡可能個人関連情報・罰則のページが引く改正法の概要と改正法本文（確認日 2026-10-14）
• S-112個人情報保護委員会 医療・介護関係事業者ガイダンスQ&A（PDF）のQ1-5・Q2-2・A4-14・A4-15と同ガイダンス（PDF）の個人情報の例、個人情報保護法Q&A（PDF）のA1-10、ガイドライン通則編（PDF）3-3-1・3-4-4・3-6-3、e-Gov法令検索 個人情報の保護に関する法律第20条第1項・第27条第1項（確認日 2026-10-14）
• S-115個人情報保護委員会 個人情報保護法Q&AのQ1-21・Q7-18・Q7-45〜7-50、ガイドライン（通則編）3-4-4・10-5(4)、e-Gov法令検索 個人情報の保護に関する法律第2条・第17条・第20条・第22条・第23条・第25条・第27条・第33条（確認日 2026-10-15）
• S-73e-Gov法令検索 道路交通法（免許の欠格事由・第88条）、個人情報の保護に関する法律施行令 第1条（個人識別符号）、法第2条第3項（要配慮個人情報）、ガイドライン（通則編）3-5-3（確認日 2026-10-12）
• S-74e-Gov法令検索 住宅宿泊事業法（第8条 宿泊者名簿）
• S-77e-Gov法令検索 個人情報の保護に関する法律施行令（第2条 要配慮個人情報）
• S-80e-Gov法令検索 個人情報の保護に関する法律 第2条（定義）・第66条（安全管理措置、指定管理者・委託を受けた者への準用）、同法施行令 第1条（個人識別符号・旅券の番号）、個人情報保護委員会 ガイドライン（通則編）2-1（死者に関する情報）
• S-81e-Gov法令検索 特定興行入場券の不正転売の禁止等による興行入場券の適正な流通の確保に関する法律 第2条（定義）・第5条（興行主等による不正転売の防止等に関する措置）
• S-82e-Gov法令検索 個人情報の保護に関する法律 第2条（定義）・第27条（第三者提供の制限。第1項・第2項・第5項第1号）
• S-84金融庁 「金融分野における個人情報保護に関するガイドライン」の一部改正（案）に対する意見募集の結果等について（令和8年7月24日。公布と令和9年4月1日からの適用）、e-Gov法令検索 個人情報の保護に関する法律 第2条第1項・第27条第5項第1号
• S-86e-Gov法令検索 個人情報の保護に関する法律 第16条第8項（学術研究機関等）・第18条第3項第5号・第6号・第21条第2項・第28条・第58条第2項第1号
• S-88e-Gov法令検索 個人情報の保護に関する法律 第16条第1項・第16条第2項・第21条第4項第4号・第27条第1項・第27条第5項第3号／個人情報の保護に関する法律施行令 第4条第2項
• S-89e-Gov法令検索 個人情報の保護に関する法律 第2条第1項第1号・第25条・第26条第1項・第27条第5項第1号
• S-87e-Gov法令検索 個人情報の保護に関する法律 第2条第3項・第2条第11項・第18条第2項・第20条第2項・第27条第1項・第27条第5項・第41条・第66条第2項・第67条
• S-79e-Gov法令検索 個人情報の保護に関する法律 第28条（外国にある第三者への提供の制限）
• S-78e-Gov法令検索 個人情報の保護に関する法律（第57条 適用除外）
• S-110e-Gov法令検索 個人情報の保護に関する法律 第18条第2項・第22条・第25条・第26条・第27条第5項第2号／労働基準法 第109条／個人情報保護委員会 個人情報の保護に関する法律についてのガイドライン（通則編）3-1-4・3-4-1・3-6-3・10-5
• S-121個人情報保護委員会「政令・規則の整備に向けた基本的な考え方について③」（PDF、2026-10-14）の課徴金の対象外の条件と参考資料、e-Gov法令検索 個人情報の保護に関する法律第2条第7項・第31条（確認日 2026-10-15）