個人情報の保護に関する法律（こじんじょうほうのほごにかんするほうりつ）

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第十八条若しくは第十九条、第十九条、第三十条の二第四項若しくは第九項、第三十条の三若しくは第三十一条の三第五項の規定に違反して取り扱われているとき、又は第二十条の規定に違反して取得されたものであるときは、当該保有個人データの利用の停止又は消去（以下この条において「利用停止等」という。）を請求することができる。

個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合ことその他の事情により利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第二十七条第一項又は第二十八条、第二十八条、第三十条の二第十項又は第三十一条の三第六項の規定に違反して第三者に提供されているときは、当該保有個人データの第三者への提供の停止を請求することができる。

個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合ことその他の事情により第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行わなければならない。ただし、当該保有個人データの利用停止等又は第三者への提供の停止に多額の費用を要する場合ことその他の事情により利用停止等又は第三者への提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

本人は、個人情報取扱事業者に対し、当該本人が識別される特定生体個人情報（保有個人データに含まれるものに限る。）が取り扱われているときは、次に掲げる場合を除き、当該特定生体個人情報の利用停止等又は第三者への提供の停止を請求することができる。

当該個人情報取扱事業者があらかじめ当該本人の同意を得て当該特定生体個人情報に含まれる特定生体個人識別符号を作成した場合

当該個人情報取扱事業者があらかじめ当該本人の同意を得て当該特定生体個人情報を取得した場合

当該個人情報取扱事業者が法令に基づいて当該特定生体個人情報を取り扱う場合

当該個人情報取扱事業者が人の生命、身体又は財産の保護のために当該特定生体個人情報を取り扱う必要がある場合

当該個人情報取扱事業者が公衆衛生の向上又は児童の健全な育成の推進のために当該特定生体個人情報を取り扱うことが特に必要である場合

当該個人情報取扱事業者が国の機関若しくは地方公共団体又はその委託を受けた者による法令の定める事務の遂行に対して協力するために当該特定生体個人情報を取り扱う必要がある場合

当該個人情報取扱事業者が学術研究機関等である場合であって、当該特定生体個人情報を学術研究目的で取り扱う必要があるとき（当該特定生体個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

学術研究機関等と共同して学術研究を行う当該個人情報取扱事業者が当該学術研究機関等から当該特定生体個人情報を取得した場合又は学術研究機関等と共同して学術研究を行う当該個人情報取扱事業者が当該学術研究機関等から取得した情報を変換して作成した特定生体個人識別符号が当該特定生体個人情報に含まれる場合であって、当該特定生体個人情報を学術研究目的で取り扱う必要があるとき（当該特定生体個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

当該個人情報取扱事業者が当該特定生体個人情報を取り扱うことが当該本人との間の契約の履行のために必要やむを得ないことが明らかである場合その他当該個人情報取扱事業者が当該特定生体個人情報を取り扱うことが当該特定生体個人情報に含まれる特定生体個人識別符号の作成の状況又は当該特定生体個人情報の取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかである場合として個人情報保護委員会規則で定める場合

その他前各号に掲げる場合に準ずるものとして政令で定める場合

個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該特定生体個人情報の利用停止等又は第三者への提供の停止を行わなければならない。ただし、当該特定生体個人情報の利用停止等又は第三者への提供の停止に多額の費用を要することその他の事情により利用停止等又は第三者への提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

十六歳未満の本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが取り扱われているときは、次に掲げる場合を除き、当該保有個人データの利用停止等又は第三者への提供の停止を請求することができる。

当該個人情報取扱事業者があらかじめ当該本人の法定代理人の同意を得て当該保有個人データを取得した場合

当該個人情報取扱事業者が法令に基づいて当該保有個人データを取り扱う場合

当該個人情報取扱事業者が人の生命、身体又は財産の保護のために当該保有個人データを取り扱う必要がある場合

当該個人情報取扱事業者が公衆衛生の向上又は児童の健全な育成の推進のために当該保有個人データを取り扱うことが特に必要である場合

当該個人情報取扱事業者が国の機関若しくは地方公共団体又はその委託を受けた者による法令の定める事務の遂行に対して協力するために当該保有個人データを取り扱う必要がある場合

当該個人情報取扱事業者が学術研究機関等である場合であって、当該保有個人データを学術研究目的で取り扱う必要があるとき（当該保有個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

学術研究機関等と共同して学術研究を行う当該個人情報取扱事業者が当該学術研究機関等から当該保有個人データを取得した場合であって、当該保有個人データを学術研究目的で取り扱う必要があるとき（当該保有個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

当該個人情報取扱事業者が当該保有個人データを取り扱うことが当該本人との間の契約の履行のために必要やむを得ないことが明らかである場合その他当該個人情報取扱事業者が当該保有個人データを取り扱うことが当該保有個人データの取得の状況からみて十六歳未満の本人の権利利益を害しないことが明らかである場合として個人情報保護委員会規則で定める場合

当該保有個人データが、当該個人情報取扱事業者が当該保有個人データを取得した時点において、当該本人の法定代理人、国の機関、地方公共団体、学術研究機関等、第五十七条第一項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されていたものである場合

当該本人の法定代理人が当該本人の営業を許可していた場合であって、当該個人情報取扱事業者が当該営業に関して当該保有個人データを取得したとき。

当該本人が、当該個人情報取扱事業者に対し自らが十六歳以上であることを信じさせるために詐術を用いていた場合

その他前各号に掲げる場合に準ずるものとして政令で定める場合

個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行わなければならない。ただし、当該保有個人データの利用停止等又は第三者への提供の停止に多額の費用を要することその他の事情により利用停止等又は第三者への提供の停止を行うことが困難な場合であって、十六歳未満の本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

個人情報取扱事業者は、第一項、第五項、第七項若しくは第五項第九項の規定による請求に係る保有個人データ若しくは特定生体個人情報の全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は第三項、第五項、第七項若しくは第五項第九項の規定による請求に係る保有個人データ若しくは特定生体個人情報の全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

個人情報取扱事業者は、第三十二条第三項、第三十三条第三項（同条第五項において準用する場合を含む。）、第三十四条第三項又は前条第七項第十一項の規定により、本人から求められ、又は請求された措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合には、本人に対し、その理由を説明するよう努めなければならない。

個人情報取扱事業者は、第三十二条第二項の規定による求め又は第三十三条第一項（同条第五項において準用する場合を含む。次条第一項及び第三十九条において同じ。）、第三十四条第一項若しくは第三十五条第一項、第三項、第五項、第七項若しくは第五項第九項の規定による請求（以下この条及び第五十四条第一項章において「開示等の請求等」という。）に関し、政令で定めるところにより、その求め又は請求を受け付ける方法を定めることができる。この場合において、本人は、当該方法に従って、開示等の請求等を行わなければならない。

個人情報取扱事業者は、本人に対し、開示等の請求等に関し、その対象となる保有個人データ若しくは特定生体個人情報又は第三者提供記録を特定するに足りる事項の提示を求めることができる。この場合において、個人情報取扱事業者は、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データ若しくは特定生体個人情報又は当該第三者提供記録の特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。

開示等の請求等は、政令で定めるところにより、代理人によって未成年者若しくは成年被後見人の法定代理人又は本人の委任による代理人その他政令で定める代理人は、本人に代わって開示等の請求等をすることができる。

本人は、第三十三条第一項、第三十四条第一項又は第三十五条第一項、第三項、第五項、第七項若しくは第五項第九項の規定による請求に係る訴えを提起しようとするときは、その訴えの被告となるべき者に対し、あらかじめ、当該請求を行い、かつ、その到達した日から二週間を経過した後でなければ、その訴えを提起することができない。ただし、当該訴えの被告となるべき者がその請求を拒んだときは、この限りでない。

前二項の規定は、第三十三条第一項、第三十四条第一項又は第三十五条第一項、第三項、第五項、第七項若しくは第五項第九項の規定による請求に係る仮処分命令の申立てについて準用する。

個人情報取扱事業者は、個人情報、統計作成等用要配慮個人情報等、提供統計作成等用個人情報等及び提供統計作成等用個人データ等の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。

個人情報取扱事業者が十六歳未満の者の個人情報を取り扱う場合（次に掲げる場合を除く。）における当該個人情報についての第十八条、第二十条第二項、第二十一条、第二十一条の二第一項、第二十六条第二項、第二十七条、第二十八条、第三十条の二第一項及び第五項、第三十二条第一項並びに第三十五条第七項の規定の適用については、これらの規定（第十八条第三項第七号、第二十条第二項第七号、第二十一条第二項及び第四項第一号、第二十六条第二項ただし書、第二十七条第一項第八号及び第二項、第二十八条第三項並びに第三十五条第七項各号列記以外の部分及び第九号の規定を除く。）中「本人」とあるのは「本人の法定代理人」と、第十八条第三項第七号、第二十条第二項第七号、第二十七条第一項第八号及び第三十五条第七項第九号中「本人の意思に反しないため本人」とあるのは「本人」と、第二十一条第二項及び第四項第一号中「本人に」とあるのは「本人の法定代理人に」と、第二十六条第二項ただし書中「本人へ」とあるのは「本人の法定代理人へ」と、第二十七条第二項中「本人の」とあるのは「本人又はその法定代理人の」と、「本人に」とあるのは「本人の法定代理人に」と、「又は本人」とあるのは「又は本人の法定代理人」と、第二十八条第三項中「本人」とあるのは「本人又はその法定代理人」とする。

当該個人情報取扱事業者が、当該個人情報が十六歳未満の者のものであることを知らないことについて正当な理由がある場合

本人の法定代理人が当該本人の営業を許可していた場合であって、当該個人情報取扱事業者が当該営業に関して当該個人情報を取得したとき。

本人に法定代理人がない場合又は当該個人情報取扱事業者が本人に法定代理人がないと信ずるに足りる相当な理由がある場合

個人関連情報取扱事業者が十六歳未満の者に関する個人関連情報を取り扱う場合（次に掲げる場合を除く。）における当該個人関連情報についての第三十一条第一項の規定の適用については、同項第一号中「本人の」とあるのは「本人の法定代理人の」と、同項第二号中「本人」とあるのは「本人の法定代理人」とする。

当該個人関連情報取扱事業者が、当該個人関連情報が十六歳未満の者に関するものであることを知らないことについて正当な理由がある場合

当該個人関連情報に係る者の法定代理人が当該者の営業を許可していた場合であって、当該個人関連情報取扱事業者が当該営業に関して当該個人関連情報を取得したとき。

当該個人関連情報に係る者に法定代理人がない場合又は当該個人関連情報取扱事業者が当該個人関連情報に係る者に法定代理人がないと信ずるに足りる相当な理由がある場合

個人情報取扱事業者は、仮名加工情報（仮名加工情報データベース等を構成するものに限る。以下この章及び第六章（次条第三項及び第四項、第五十四条第一項並びに第五十八条第二項を除く。）において同じ。）を作成するときは、他の情報と照合しない限り特定の個人を識別することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、個人情報を加工しなければならない。

仮名加工情報についての第二十一条及び前条第一項の規定の適用については、同条第二十一条第一項及び第三項中「、本人に通知し、又は公表し」とあるのは「公表し」と、同条第四項第一号から第三号までの規定中「本人に通知し、又は公表する」とあるのは「公表する」と、前条第一項中「第二十条第二項、第二十一条」とあるのは「第二十条第二項」と、「第二十条第二項第七号、第二十一条第二項及び第四項第一号」とあるのは「第二十条第二項第七号」と、「本人」と、第二十一条第二項及び第四項第一号中「本人に」とあるのは「本人の法定代理人に」とあるのは「本人」とする。

仮名加工情報取扱事業者は、第二十七条第一項及び第二項並びに第二十八条第一項の規定にかかわらず、法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはならない。この場合において、第二十七条第五項中「前各項」とあるのは「第四十一条第六項」と、同項第三号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第六項中「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と、第二十九条第一項ただし書中「第二十七条同条第一項各号又は第五項各号のいずれか（前条第一項の規定による個人データの提供にあっては、第二十七条第一項各号のいずれか）」とあり、及びるのは「法令に基づく場合又は同条第五項各号のいずれか」と、第三十条第一項ただし書中「第二十七条第一項各号又は第五項各号のいずれか」とあるのは「法令に基づく場合又は第二十七条第五項各号のいずれか」とする。

仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たっては、電話をかけ、郵便若しくは民間事業者による信書の送達に関する法律（平成十四年法律第九十九号）第二条第六項に規定する一般信書便事業者若しくは同条第九項に規定する特定信書便事業者による同条第二項に規定する信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法（電子情報処理組織を使用する方法その他の情報通信の技術を利用する方法であって個人情報保護委員会規則で定めるものをいう。）を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用してはならない。

仮名加工情報取扱事業者は、法令に基づく場合を除くほか、仮名加工情報（個人情報であるものを除く。次項及び第三項以下この条において同じ。）を第三者に提供してはならない。

第二十三条から第二十五条まで、第四十条並びに前条第七項及び第八項の規定は、仮名加工情報取扱事業者による仮名加工情報（仮名加工情報データベース等を構成するものに限る。）の取扱いについて、第四十条の規定は仮名加工情報取扱事業者による仮名加工情報の取扱いについて、それぞれ準用する。この場合において、第二十三条中「漏えい、滅失又は毀損」とあるのは「漏えい」と、前条第七項中「ために、」とあるのは「ために、削除情報等を取得し、又は」と読み替えるものとする。

第三十一条の二の規定は、仮名加工情報取扱事業者による第二条第八項各号に掲げる記述等が含まれる仮名加工情報（他の情報と容易に照合することができ、それにより当該記述等を特定することができることとなるものを含む。）の取扱いについて準用する。

個人情報取扱事業者は、匿名加工情報（匿名加工情報データベース等を構成するものに限る。以下この章及び第六章（第六項、第四十六条、第四十六条の二及び第五十四条第一項を除く。）において同じ。）を作成するときは、特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、当該個人情報を加工しなければならない。

匿名加工情報取扱事業者は、匿名加工情報（自ら個人情報を加工して作成したものを除く。以下この節条から第四十六条までにおいて同じ。）を第三者に提供するときは、個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。

第三十一条の二の規定は、匿名加工情報取扱事業者による第二条第八項各号に掲げる記述等が含まれる匿名加工情報（他の情報と容易に照合することができ、それにより当該記述等を特定することができることとなるものを含む。）の取扱いについて準用する。

個人情報取扱事業者、仮名加工情報取扱事業者又は匿名加工等（個人関連情報取扱事業者（を除く。以下この章節において「個人情報取扱事業者等」という。）の個人情報、仮名加工情報又は匿名加工情報（同じ。）の個人情報等（個人関連情報にあっては、統計作成等用要配慮個人情報等、提供統計作成等用個人情報等及び提供統計作成等用個人データ等であるものに限る。以下この章節において「個人情報等」という同じ。）の適正な取扱いの確保を目的として次に掲げる業務を行おうとする法人（法人でない団体で代表者又は管理人の定めのあるものを含む。次条第三号ロにおいて同じ。）は、個人情報保護委員会の認定を受けることができる。

認定個人情報保護団体は、対象事業者の個人情報等の適正な取扱いの確保のために、個人情報に係る利用目的の特定、安全管理のための措置、開示等の請求等に応じる手続その他の事項、統計作成等用要配慮個人情報等、提供統計作成等用個人情報等若しくは提供統計作成等用個人データ等に係る統計作成等の方法、その情報の安全管理のための措置その他の事項又は仮名加工情報若しくは匿名加工情報に係る作成の方法、その情報の安全管理のための措置その他の事項に関し、消費者の意見を代表する者その他の関係者の意見を聴いて、この法律の規定の趣旨に沿った指針（以下この節及び第六章において「個人情報保護指針」という。）を作成するよう努めなければならない。

個人情報取扱事業者等及び個人関連情報取扱事業者のうち次の各号に掲げる者については、その個人情報等及び個人関連情報を取り扱う目的の全部又は一部がそれぞれ当該各号に規定する目的であるときは、この章の規定は、適用しない。

第一項各号に掲げる個人情報取扱事業者等は、個人データ、仮名加工情報又は匿名加工情報の安全管理のために必要かつ適切な措置、個人情報等（個人関連情報取扱事業者を除く。）は、個人データ、統計作成等用要配慮個人情報等、提供統計作成等用個人情報等、提供統計作成等用個人データ等、仮名加工情報又は匿名加工情報の安全管理のために必要かつ適切な措置、個人情報等（個人関連情報にあっては、統計作成等用要配慮個人情報等、提供統計作成等用個人情報等及び提供統計作成等用個人データ等であるものに限る。以下この項において同じ。）の取扱いに関する苦情の処理その他の個人情報等の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。

別表第二に掲げる法人等についての適用の特例

地方公共団体の機関　医療法（昭和二十三年法律第二百五号）第一条の五第一項に規定する病院（次号において「病院」という。）及び同条病院及び医療法第一条の五第二項に規定する診療所並びに学校教育法（昭和二十二年法律第二十六号）第一条に規定する大学の運営