Search provisions, jump to a law or an article
This text is not in force yetIt by 16 July 2028, on a day set by — at the latest in 2 years
Read the text in force →個人情報の保護に関する法律
Chapter IV Obligations of Businesses Handling Personal Information (Articles 16 to 21)
The law as Act Partially Amending the Act on the Protection of Personal Information, etc. (Act No. 56 of 2026) leaves it, with the words it changes marked.
The main text is read a page at a time: a chapter to a page, and a long chapter in runs of articles. The whole main text, and the supplementary provisions and appended tables this amendment changes. Those it leaves untouched are on the page for the text in force.
"Personal information database or the equivalent" in this Chapter and Chapter VIII means a collective body of information comprised of personal information, as set forth in the following (excluding those prescribed by Cabinet Order as having little possibility of harming individual rights and interests in consideration of how the information is used):
この章及び第八章において「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるもの（利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものを除く。）をいう。
those systematically organized so as to be searchable for particular personal information using a computer;
特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの
beyond what is set forth in the preceding item, those prescribed by Cabinet Order as having been systematically organized so as to be easily searchable for particular personal information.
前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの
"Businessbusiness handling personal information" in this Chapter and Chapters, Chapter VI throughand Chapter VIII means a person that uses a personal information database or the equivalent for business; provided, however, that this excludes persons set forth as follows:
この章及び、第六章から及び第八章までにおいて「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者をいう。ただし、次に掲げる者を除く。
national government organs;
国の機関
local governments;
地方公共団体
incorporated administrative agencies or other prescribed corporations;
独立行政法人等
local incorporated administrative agencies.
地方独立行政法人
"Personal data" in this Chapter means personal information compiled in a personal information database or the equivalent.
この章において「個人データ」とは、個人情報データベース等を構成する個人情報をいう。
"Personal data the business holds" in this Chapter means personal data which a business handling personal information has the authority to disclose; to correct, add or delete content from; to cease to use; to erase; or to cease to provide to a third party, other than what Cabinet Order provides for as data which is likely to harm the public interest or other interests if its existence or non-existence is made clear.
この章において「保有個人データ」とは、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの以外のものをいう。
"Business handling pseudonymizedSpecified biometric personal information" in this Chapter and Chapters VI and VII meansmeans personal information that includes a person that uses a collective body of information consisting of pseudonymized personal information for business, which specified biometric individual identification code (meaning an individual identification code falling under Article 2, paragraph (2), item (i) that has been systematically organized to be searchable using a computer or is the equivalent as prescribed by Cabinet Order as systematically organized in order to be easily searchable for particular pseudonymized personal information (referred to as a "pseudonymized personal information database orconverted from information prescribed by Cabinet Order as information on a characteristic of a part of the body which can be acquired by a method that does not require special technology or a costly expenditure and whose acquisition the identifiable person cannot easily recognize; the equivalent" same applies in Article 4121-2, paragraph (1)); provided, however, that this excludes persons set forth in each item of, item (iv) and Article 35, paragraph (27)).
この章、第六章及び第七章において「仮名加工情報取扱事業者特定生体個人情報」とは、仮名加工情報を含む情報の集合物であって、特定の仮名加工情報を電子計算機を用いて検索特定生体個人識別符号（第二条第二項第一号に該当する個人識別符号のうち、特別の技術又は多額の費用を要しない方法により取得することができるように体系的に構成したものその他特定の仮名加工情報を身体の一部の特徴に係る情報であって当該情報が取得されていることを本人が容易に検索認識することができるように体系的に構成したないものとして政令で定めるもの（第四を変換したものをいう。第二十一条の二第一項第四号及び第三十五条第七項において「仮名加工情報データベース等」という。）を事業の用に供している者同じ。）が含まれる個人情報をいう。ただし、第二項各号に掲げる者を除く。
"Business handling anonymizedpseudonymized personal information" in this Chapter and ChaptersChapter VI and VII means a person that uses collective body of information consisting of anonymizedpseudonymized personal information for business, which has been systematically organized to be searchable using a computer or is the equivalent prescribed by Cabinet Order as systematically organized in order to be easily searchable for particular anonymizedpseudonymized personal information (referred to as an "anonymizeda "pseudonymized personal information database or the equivalent" in Article 4341, paragraph (1) and Article 42, paragraph (3)); provided, however, that this excludes persons set forth in each item of paragraph (2).
この章、第六章及び第七六章において「匿仮名加工情報取扱事業者」とは、匿仮名加工情報を含む情報の集合物であって、特定の匿仮名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の匿仮名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第四十三一条第一項及び第四十二条第三項において「匿仮名加工情報データベース等」という。）を事業の用に供している者をいう。ただし、第二項各号に掲げる者を除く。
"Businessbusiness handling information related toanonymized personal information" in this Chapter and ChaptersChapter VI and VII means a person that uses a collective body of information consisting of information related toanonymized personal information for business, which has been systematically organized to be searchable using a computer or is the equivalent as prescribed by Cabinet Order as systematically organized in order to be easily searchable for particular information related toanonymized personal information (referred to as an "database or the equivalent ofanonymized personal information related to personal informationdatabase or the equivalent" in Article 3143, paragraph (1)); provided, however, that this excludes persons set forth in each item of paragraph (2).
この章、第六章及び第七六章において「個人関連匿名加工情報取扱事業者」とは、個人関連匿名加工情報を含む情報の集合物であって、特定の個人関連匿名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の個人関連匿名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第三十一四十三条第一項において「個人関連匿名加工情報データベース等」という。）を事業の用に供している者をいう。ただし、第二項各号に掲げる者を除く。
"Academic research institution or the equivalentBusiness handling information related to personal information" in this Chapter and Chapter VI means a university or other organization or group associated with academic studies, person that uses collective body of information consisting of information related to personal information for business, which has been systematically organized to be searchable using a computer or a person belonging is the equivalent as prescribed by Cabinet Order as systematically organized in order to be easily searchable for particular information related to personal information (referred to as a "database or the equivalent of information related to itpersonal information" in Article 31, paragraph (1)); provided, however, that this excludes persons set forth in each item of paragraph (2).
この章及び第六章において「学術研究機関等個人関連情報取扱事業者」とは、大学個人関連情報を含む情報の集合物であって、特定の個人関連情報を電子計算機を用いて検索することができるように体系的に構成したものその他の学術研究を目的とする機関若しくは団体又はそれらに属す特定の個人関連情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第三十一条第一項において「個人関連情報データベース等」という。）を事業の用に供している者をいう。ただし、第二項各号に掲げる者を除く。
"academic research institution or the equivalent" in this Chapter means a university or other organization or group associated with academic studies (including a hospital prescribed in Article 1-5, paragraph (1) of the Medical Care Act (Act No. 205 of 1948) (referred to as a "hospital" in Article 58, paragraph (2)) and other organizations or groups for the purpose of providing medical care), or a person belonging to it.
この章において「学術研究機関等」とは、大学その他の学術研究を目的とする機関若しくは団体（医療法（昭和二十三年法律第二百五号）第一条の五第一項に規定する病院（第五十八条第二項において「病院」という。）その他の医療の提供を目的とする機関又は団体を含む。）又はそれらに属する者をいう。
In handling personal information, the business handling personal information must specify as much as possible the purpose for which it uses that information (hereinafter referred to as the "purpose of use").
個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。
When altering the purpose of use, businesses handling personal information must not alter it beyond the extent that can be appreciably linked to what it was before the alteration.
個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。
A business handling personal information must not handle personal information beyond the scope necessary for achieving the purpose of use specified pursuant to the provisions of the preceding Article without obtaining the identifiable person's consent to do so in advance.
個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
If, due to a merger or other such circumstances, a business handling personal information acquires personal information when succeeding to the business of another business handling personal information, it must not handle that personal information beyond the scope necessary for achieving the pre-succession purpose of use for that personal information without obtaining the identifiable person's consent to do so in advance.
個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
The provisions of the preceding two paragraphs do not apply in the following cases:
前二項の規定は、次に掲げる場合については、適用しない。
cases based on laws and regulations (including local ordinances; hereinafter the same applies in this Chapter);
法令（条例を含む。以下この章において同じ。）に基づく場合
cases in which there is a need to protect the life, wellbeing, or property of an individual, and it is difficult to obtain the consent of the identifiable person or there are otherwise reasonable grounds for not obtaining the consent of the identifiable person;
人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるときその他本人の同意を得ないことについて相当の理由があるとき。
cases in which there is a special need to improve public wellbeing or promote healthy child development, and it is difficult to obtain the consent of the identifiable person or there are otherwise reasonable grounds for not obtaining the consent of the identifiable person;
公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるときその他本人の同意を得ないことについて相当の理由があるとき。
cases in which there is a need to cooperate with a national government organ, local government, or person entrusted thereby with performing the functions prescribed by laws and regulations, and obtaining the consent of the identifiable person is likely to interfere with the performance of those functions;
国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
cases in which the business handling personal information is an academic research institution or the equivalent, and needs to handle the personal information for the purpose of using it in academic research (hereinafter referred to as "academic research purposes" in this Chapter) (including cases in which a part of the purpose of handling the personal information is for academic research purposes, and excluding cases in which there is a risk of unjustly infringing on individual rights and interests);
当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下この章において「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
cases in which personal data is provided to an academic research institution or the equivalent, and they need to handle the personal data for academic research purposes (including cases in which a part of the purpose of handling the personal data is for academic research purposes, and excluding cases in which there is a risk of unjustly infringing on individual rights and interests).
学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
cases prescribed by Order of the Personal Information Protection Commission as cases in which it is obvious that handling the personal information is unavoidably necessary for the performance of the contract with the identifiable person, or other cases in which it is obvious, in light of the circumstances of the acquisition of that personal information, that handling it is not contrary to the intention of the identifiable person and therefore does not harm the person's rights and interests.
本人との間の契約の履行のために必要やむを得ないことが明らかである場合その他当該個人情報の取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかである場合として個人情報保護委員会規則で定める場合
A business handling personal information must not utilize personal information in a way that there is a possibility of fomenting or inducing unlawful or unjust act.
個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。
A business handling personal information must not acquire personal information by deception or other wrongful means.
個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。
A business handling personal information must not acquire sensitive personal information without obtaining the identifiable person's consent in advance, except cases set forth in the following:
個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
cases based on laws and regulations;
法令に基づく場合
cases in which there is a need to protect the life, wellbeing, or property of an individual, and it is difficult to obtain the consent of the identifiable person or there are otherwise reasonable grounds for not obtaining the consent of the identifiable person;
人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるときその他本人の同意を得ないことについて相当の理由があるとき。
cases in which there is a special need to improve public wellbeing or promote healthy child development, and it is difficult to obtain the consent of the identifiable person or there are otherwise reasonable grounds for not obtaining the consent of the identifiable person;
公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるときその他本人の同意を得ないことについて相当の理由があるとき。
cases in which there is a need to cooperate with a national government organ, local government, or person entrusted thereby with performing the functions prescribed by laws and regulations, and the consent of the identifiable person is likely to interfere with the performance of those functions;
国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
cases in which the business handling personal information is an academic research institution or the equivalent, and needs to handle the sensitive personal information for academic research purposes (including cases in which a part of the purpose of handling the sensitive personal information is for academic research purposes, and excluding cases in which there is a risk of unjustly infringing on individual rights and interests);
当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
cases of acquiring the sensitive personal information fromconducting academic research jointly with an academic research institution or the equivalent and it is necessary to acquire that the sensitive personal information from that academic research institution or the equivalent for academic research purposepurposes (including cases in which a part of the purpose of acquiring the sensitive personal information is for academic research purposes, excluding cases in which there is a risk of unjustly infringing on individual rights and interests) (limited to cases in which the business handling personal information and the academic research institution or the equivalent jointly conduct academic research);
学術研究機関等から当該要配慮個人情報を取得すると共同して学術研究を行う場合であって、当該学術研究機関等から当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。）。
cases prescribed by Order of the Personal Information Protection Commission as cases in which it is obvious that acquiring the sensitive personal information is open to unavoidably necessary for the public by a person identifiable by that information, a national government organ, a local government, an academic research institution or performance of the contract with the identifiable person, or other cases in which it is obvious, in light of the circumstances of the equivalent, a person set forth in each item of Article 57, paragraph (1), or other acquisition of the sensitive personal information, that acquiring it is not contrary to the intention of the identifiable person prescribed by Order of and therefore does not harm the Personal Information Protection Commissionperson's rights and interests;
本人との間の契約の履行のために必要やむを得ないことが明らかである場合その他当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、第五十七条第一項各号に掲げる者その他の取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかである場合として個人情報保護委員会規則で定める者により公開されている場合
other cases prescribed by Cabinet Order of receiving the provision pursuant to the main clause of Article 30-2, paragraph (5), or of acquiring, as equivalent sensitive personal information, information related to personal information provided pursuant to the cases set forth in each preceding item.main clause of Article 31-3, paragraph (1);
その他前各号に掲げ第三十条の二第五項本文の規定により提供を受ける場合に準ずるもの又は第三十一条の三第一項本文の規定により提供を受けた個人関連情報を要配慮個人情報として政令で定め取得する場合
cases in which the sensitive personal information is open to the public by a person identifiable by that information, a national government organ, a local government, an academic research institution or the equivalent, a person set forth in each item of Article 57, paragraph (1), or other person prescribed by Order of the Personal Information Protection Commission;
当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、第五十七条第一項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合
other cases prescribed by Cabinet Order as equivalent to the cases set forth in each preceding item.
その他前各号に掲げる場合に準ずるものとして政令で定める場合
Unless the purpose of use has already been disclosed to the public, a business handling personal information must promptly notify the identifiable person of that purpose of use or disclose this to the public once it has acquired personal information.
個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
Notwithstanding the provisions of the preceding paragraph, a business handling personal information must explicitly specify the purpose of use to the identifiable person, before acquiring their personal information which appears in a written agreement or other document (this includes an electronic or magnetic record; hereinafter the same applies in this paragraph) as a result of concluding an agreement with that person; or acquiring their personal information which appears in a document, directly from the person in question; provided, however, that this does not apply if there is an urgent necessity to dispense with this requirement in order to protect the life, wellbeing, or property of an individual.
個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。
If a business handling personal information alters the purpose of use, it must notify identifiable persons of the altered purpose of use or disclose this to the public.
個人情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
The provisions of the preceding three paragraphs do not apply in the following cases:
前三項の規定は、次に掲げる場合については、適用しない。
notifying the identifiable person of the purpose of use or disclosing this to the public is likely to harm the life, wellbeing, property, or other rights or interests of the identifiable person or a third party;
利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
notifying the identifiable person of the purpose of use or disclosing this to the public is likely to harm the rights or legitimate interests of the business handling personal information;
利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合
it is necessary for the business to cooperate with a national government organ or a local government in performing the functions prescribed by laws and regulations, and notifying the identifiable person of the purpose of use or disclosing this to the public is likely to interfere with the performance of those functions;
国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
the purpose of use is considered to be clear, in light of the circumstances in which the personal information is acquired.
取得の状況からみて利用目的が明らかであると認められる場合