第二十一条の二第一項（特定生体個人情報の取扱いに際しての利用目的等の通知等）新設
個人情報取扱事業者は、特定生体個人情報を取り扱うに当たっては、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
この条文はまだされていません2028年7月16日までに施行予定（日付は政令で定める・遅くとも2年後）
いまの条文を読む →個人情報の保護に関する法律
第四章 個人情報取扱事業者等の義務等（第二十一条の二から第二十七条まで）
個人情報の保護に関する法律等の一部を改正する法律（令和八年法律第五十六号）による改正後の条文です。変わる言葉に印をつけています。
本則は章ごとのページで読みます。長い章は、さらに条のまとまりごとに分けています。本則の全条文と、この改正が変える附則・別表を示します。この改正が触れていない附則や別表は、いま施行されている条文のページでご覧ください。
第二十一条の二第一項第一号（特定生体個人情報の取扱いに際しての利用目的等の通知等）新設
当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。第二十七条、第三十条第一項第一号及び第三十二条第一項第一号において同じ。）の氏名
第二十一条の二第一項第二号（特定生体個人情報の取扱いに際しての利用目的等の通知等）新設
特定生体個人情報を取り扱うこと。
第二十一条の二第一項第三号（特定生体個人情報の取扱いに際しての利用目的等の通知等）新設
特定生体個人情報の利用目的
第二十一条の二第一項第四号（特定生体個人情報の取扱いに際しての利用目的等の通知等）新設
特定生体個人情報に含まれる特定生体個人識別符号に変換される身体の一部の特徴に係る情報の内容
第二十一条の二第一項第五号（特定生体個人情報の取扱いに際しての利用目的等の通知等）新設
第三十七条第一項に規定する開示等の請求等に応じる手続（第三十八条第一項の規定により手数料を徴収する場合は、その手数料の額を含む。）
第二十一条の二第一項第六号（特定生体個人情報の取扱いに際しての利用目的等の通知等）新設
その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則で定める事項
第二十一条の二第二項（特定生体個人情報の取扱いに際しての利用目的等の通知等）新設
前項の規定は、次に掲げる場合については、適用しない。
第二十一条の二第二項第一号（特定生体個人情報の取扱いに際しての利用目的等の通知等）新設
前項の規定による措置を講ずることにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
第二十一条の二第二項第二号（特定生体個人情報の取扱いに際しての利用目的等の通知等）新設
前項の規定による措置を講ずることにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合
第二十一条の二第二項第三号（特定生体個人情報の取扱いに際しての利用目的等の通知等）新設
国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、前項の規定による措置を講ずることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
第二十一条の二第二項第四号（特定生体個人情報の取扱いに際しての利用目的等の通知等）新設
その他前三号に掲げる場合に準ずるものとして政令で定める場合
第二十二条
（データ内容の正確性の確保等）
第一項
個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。
第二十三条
（安全管理措置）
第一項
個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
第二十四条
（従業者の監督）
第一項
個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
第二十五条
（委託先の監督）
第一項
個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
第二十六条第一項（漏えい等の報告等）
個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。
第二十六条第二項（漏えい等の報告等）改正
前項に規定する場合には、個人情報取扱事業者（同項ただし書の規定による通知をした者を除く。）は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知しなければならない。ただし、本人への通知が困難な場合又は本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合として個人情報保護委員会規則で定める場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
第二十七条第一項（第三者提供の制限）
個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
第二十七条第一項第一号（第三者提供の制限）
法令に基づく場合
第二十七条第一項第二号（第三者提供の制限）改正
人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるときその他本人の同意を得ないことについて相当の理由があるとき。
第二十七条第一項第三号（第三者提供の制限）改正
公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるときその他本人の同意を得ないことについて相当の理由があるとき。
第二十七条第一項第四号（第三者提供の制限）
国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
第二十七条第一項第五号（第三者提供の制限）
当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）。
第二十七条第一項第六号（第三者提供の制限）改正
学術研究機関等である当該個人情報取扱事業者が第三者と共同して学術研究機関等であるを行う場合であって、当該第三者に対し、当該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。）。
第二十七条第一項第七号（第三者提供の制限）
当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
第二十七条第一項第八号（第三者提供の制限）新設
本人との間の契約の履行のために必要やむを得ないことが明らかである場合その他当該個人データの取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかである場合として個人情報保護委員会規則で定める場合
第二十七条第二項（第三者提供の制限）改正
個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。ただし、第三者に提供される個人データが要配慮個人情報若しくは特定生体個人情報又は第二十条第一項の規定に違反して取得されたもの若しくは他の個人情報取扱事業者からこの項本文の規定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む。）である場合は、この限りでない。
第二十七条第二項第一号（第三者提供の制限）改正
第三者への提供を行う個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。以下この条、第三十条第一項第一号及び第三十二条第一項第一号において同じ。）の氏名
第二十七条第二項第二号（第三者提供の制限）
第三者への提供を利用目的とすること。
第二十七条第二項第三号（第三者提供の制限）
第三者に提供される個人データの項目
第二十七条第二項第四号（第三者提供の制限）
第三者に提供される個人データの取得の方法
第二十七条第二項第五号（第三者提供の制限）
第三者への提供の方法
第二十七条第二項第六号（第三者提供の制限）
本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
第二十七条第二項第七号（第三者提供の制限）
本人の求めを受け付ける方法
第二十七条第二項第八号（第三者提供の制限）
その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則で定める事項
第二十七条第三項（第三者提供の制限）
個人情報取扱事業者は、前項第一号に掲げる事項に変更があったとき又は同項の規定による個人データの提供をやめたときは遅滞なく、同項第三号から第五号まで、第七号又は第八号に掲げる事項を変更しようとするときはあらかじめ、その旨について、個人情報保護委員会規則で定めるところにより、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
第二十七条第四項（第三者提供の制限）
個人情報保護委員会は、第二項の規定による届出があったときは、個人情報保護委員会規則で定めるところにより、当該届出に係る事項を公表しなければならない。前項の規定による届出があったときも、同様とする。
第二十七条第五項（第三者提供の制限）
次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。
第二十七条第五項第一号（第三者提供の制限）
個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合
第二十七条第五項第二号（第三者提供の制限）
合併その他の事由による事業の承継に伴って個人データが提供される場合
第二十七条第五項第三号（第三者提供の制限）
特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。
第二十七条第六項（第三者提供の制限）
個人情報取扱事業者は、前項第三号に規定する個人データの管理について責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったときは遅滞なく、同号に規定する利用する者の利用目的又は当該責任を有する者を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
第二十七条第七項（第三者提供の制限）新設
個人情報取扱事業者は、第二項本文の規定により個人データを第三者（第十六条第二項各号に掲げる者を除く。以下この条、第二十九条第一項並びに第三十条第一項及び第二項（第三十一条第三項において準用する場合を含む。）において同じ。）に提供するときは、個人情報保護委員会規則で定めるところにより、あらかじめ、次に掲げる事項の確認を行わなければならない。ただし、当該個人データの全部が、当該個人情報取扱事業者が当該個人データを取得した時点において本人、国の機関、地方公共団体、学術研究機関等、第五十七条第一項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されていたものである場合又はこれに準ずる場合として個人情報保護委員会規則で定める場合は、この限りでない。
第二十七条第七項第一号（第三者提供の制限）新設
当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
第二十七条第七項第二号（第三者提供の制限）新設
当該第三者における当該個人データの利用目的
第二十七条第八項（第三者提供の制限）新設
個人情報取扱事業者から前項の規定による確認を求められた第三者は、当該個人情報取扱事業者に対して、当該確認に係る事項を偽ってはならない。
改正箇所 1 / 23