APPI

APPI の利用目的に関する要件は特に重要です。利用目的は、本人が自らの個人情報がどのように利用されるかを理解できる程度に具体的である必要があります。単に「サービスの向上」とするような一般的な記載では、十分に具体的とはいえない場合があります。

APPI における利用目的

APPI の中核的な要件の一つは、事業者が個人情報の利用目的をできる限り特定しなければならないことです。

利用目的は、次のことが可能となる程度に具体的である必要があります。

• 組織が、情報がどのように利用されるかを理解していること
• 本人が、自らの情報がどのように利用されるかを合理的に予測できること
• 組織が、その後の取扱いが明示した利用目的と整合していることを証明できること

そのため組織は、あいまいな利用目的の記載を避け、個人情報の各カテゴリーに関連する利用目的を明確に記録しておく必要があります。

例

次のような記載ではなく、

「当社サービスの向上のため。」

より具体的な利用目的として、顧客情報を次の目的で利用することを説明することが考えられます。

• ご依頼いただいたサービスの提供
• カスタマーサポートへのお問い合わせの処理
• サービスに関する連絡の送付
• 定められた事業目的のためのサービス利用状況の分析

適切な文言は、実際の取扱いの内容によって異なります。

APPI における同意

APPI は、あらゆる種類の個人情報の取扱いに同意を求めているわけではありません。

ただし、同意は次のようないくつかの場面で重要な役割を果たします。

• 一定の要配慮個人情報の取扱い
• 同意が必要とされる状況における個人データの第三者提供
• 外国にある第三者への個人データの一定の移転
• その他、適用される規定により本人の承諾が必要とされる取扱い

同意が必要な場合、組織は、本人が取扱いに関する適切な情報に基づいて、十分な情報を得たうえで判断できるようにする必要があります。

要配慮個人情報

APPI は、一般にセンシティブな個人情報と呼ばれる要配慮個人情報を定めています。

このカテゴリーには、次のような事項に関する情報が含まれます。

• 人種
• 信条
• 社会的身分
• 病歴
• 犯罪の経歴
• 犯罪により害を被った事実
• その他 APPI で定める情報

原則として、組織は要配慮個人情報を取得する前に、法定の例外を除き、本人の事前の同意を得なければなりません。

そのため、このような情報を取り扱う組織は、識別、取得、アクセス、開示および同意について、それぞれ別個の管理体制を維持する必要があります。

個人データの第三者提供

APPI は、法律で定める例外を除き、本人の事前の同意なく個人データを第三者に提供することを原則として制限しています。

例外には、次のような場合が含まれます。

• 法令に基づく提供
• 人の生命、身体または財産の保護のために必要であり、同意を得ることが困難な場合
• 公衆衛生または児童の健全な育成に関する場合
• 所定の条件を満たす者への一定の提供
• その他の法定の例外

PPC は、第三者には家族や、当該事業者以外のその他の者が含まれ得ることを明らかにしています。

オプトアウトの仕組み

APPI は、適用される法定要件を満たす場合に限り、一定の第三者提供を本人の同意ではなくオプトアウトの手続により行うことができる限定的な枠組みを定めています。

これは同意の一般的な代替手段ではなく、適切な通知および規制上の手続が必要です。

要配慮個人情報に関する同意と第三者提供の違い

これらの要件を、APPI 上の同一の義務として扱うべきではありません。

要配慮個人情報

要配慮個人情報を取得する前には、例外を除き、原則として事前の同意が必要です。

第三者提供

個人データを第三者に提供する前には、法定の例外および限定的なオプトアウトの枠組みを除き、原則として事前の同意が必要です。

外国への移転

外国にある第三者に個人データを提供する場合には、追加の要件が適用されます。

これらの同意の場面を区別することで、組織はより正確な APPI 対応のワークフローを構築できます。

APPI における本人の権利

APPI は、保有個人データに関する権利を本人に与えています。

状況に応じて、本人は次のような対応を請求できます。

• 利用目的の通知
• 保有個人データの開示
• 誤った情報の訂正
• 情報の追加
• 該当する場合の削除
• 利用停止
• 該当する場合の消去
• 第三者提供の停止
• その他 APPI が定める救済措置

組織は、本人からの請求を受け付け、本人確認を行い、検討し、回答するための文書化されたプロセスを整備する必要があります。

プライバシーに関する通知と透明性

組織は、個人情報がどのように取り扱われるかについて、本人に適切な情報を提供する必要があります。

プライバシーに関する情報では、次のような関連事項を扱う必要があります。

• 事業者の名称等
• 利用目的
• 取得する情報のカテゴリー
• 取扱いの方法
• 権利と請求の手続
• 第三者提供
• 該当する場合の外国への移転
• 法律で求められる安全管理に関する情報

APPI の透明性に関する要件により、プライバシーに関する通知は組織のコンプライアンス体制の重要な一部となっています。

データセキュリティと安全管理

APPI は、個人情報の漏えい、滅失または毀損を防止するために、組織が必要かつ適切な安全管理措置を講じることを求めています。

安全管理措置には、次のようなものが含まれます。

組織的な管理

• 社内のプライバシーポリシー
• 責任者の割り当て
• アクセス管理の手順
• 従業者の教育
• インシデント対応の手順
• 第三者の監督

技術的な管理

• アクセス制御
• 認証
• 適切な場合の暗号化
• モニタリング
• 脆弱性管理
• 不正アクセスからの保護

物理的な管理

• 安全な施設
• 書類および記録媒体の保護
• 盗難または紛失を防止するための措置

PPC は、組織的、人的、物理的および技術的な安全管理措置を、APPI の安全管理措置の関連する構成要素として示しています。

漏えい等の報告

APPI は、個人データの漏えい、滅失または毀損の一定の事態に関する義務を定めています。

対象となる漏えい等が発生した場合、事業者は、該当する場合には PPC および影響を受ける本人への通知を含め、必要な是正措置および報告措置を講じなければなりません。

APPI の適用を受ける外国事業者も、その事態が APPI の域外適用の対象となる個人情報に関わる場合には、これらの漏えい等に関する要件の対象となることがあります。

組織は、次のものを維持する必要があります。

• インシデントの検知手順
• 漏えい等の分類基準
• 社内のエスカレーションプロセス
• 規制当局への報告手順
• 本人への通知手順
• 是正対応の記録
• 是正措置の証拠

越境データ移転

APPI は、日本国外にある第三者に個人データを提供する場合について、特有の要件を定めています。

原則として、事業者は、適用される法定の仕組みまたは例外に該当しない限り、外国にある第三者に個人データを提供する前に本人の同意を得なければなりません。

組織は、次のような場合を含め、定められた代替手段に依拠することもできます。

• 提供先が、個人情報の保護について同等の水準にあると認められる国にある場合
• 提供先が、同等の保護措置を継続的に講じるために必要な基準に適合する体制を整備している場合
• 法定の例外に該当する場合

PPC の現行の外国への移転に関するガイドラインでは、同意を移転の仕組みとして用いる場合に、本人に適切な情報を提供することも求められています。

一定の外国への移転の際に必要な情報

外国にある第三者への個人データの提供について同意を得る場合、本人は、外国への移転に関する必要な情報の提供を受けなければなりません。

これには、次のような情報が含まれます。

• 移転先の国の名称
• 当該国における個人情報の保護に関する制度に関する情報
• 提供先が講じる保護措置に関する情報
• その他適用される規則で求められる情報

PPC は、組織が外国への移転に伴うリスクを評価し、本人に分かりやすい情報を提供すべきであることを特に強調しています。

APPI と Cookie

APPI は、単独の Cookie 同意法として機能するものではありません。

ただし、Cookie、広告識別子、端末識別子、分析技術その他のオンライン識別子は、情報がどのように取得、結合、提供、利用されるかによって、APPI の規律の対象となることがあります。

組織は、次の点を評価する必要があります。

• その技術が個人情報を取得するかどうか
• 情報を特定の個人と結び付けることができるかどうか
• 利用目的
• 情報が第三者に提供されるかどうか
• 個人関連情報に関する規律が適用されるかどうか
• 外国のベンダーが情報を受け取るかどうか
• 同意またはその他の法的な仕組みが必要かどうか

そのためウェブサイトについては、すべての Cookie に APPI の同意バナーが必要だと想定するのではなく、Cookie とトラッカーを洗い出す必要があります。

個人関連情報

APPI には、個人関連情報に関する規律も含まれています。個人関連情報には、それ自体は個人情報に該当しないものの、提供先が取得することで個人データとなり得る、個人に関する情報が含まれることがあります。

例えば、一定のオンライン識別子や閲覧に関する情報は、それを個人データとして取得することが想定される他の事業者に提供する場合、追加の検討が必要となることがあります。

PPC は、関連する第三者提供の規律が、提供先が個人関連情報を個人データとして取得することが想定される場合に適用されることを明らかにしています。

これは、広告、分析、オーディエンス測定およびデータ共有のエコシステムに特に関係します。

仮名加工情報と匿名加工情報

APPI は、次の情報について特有の枠組みを定めています。

• 仮名加工情報
• 匿名加工情報

これらの枠組みにより、組織は、通常の個人情報とは異なる義務を適用しつつ、加工された情報を特定の目的のために利用できる場合があります。

ただし、情報を単にマスキングしたり匿名化したりするだけで、法的に仮名加工情報または匿名加工情報に分類されるわけではありません。適用される法定の加工基準に従わなければなりません。

データの保存と削除

組織は、個人情報の保存と削除について適切な方針を定める必要があります。

保存の運用では、次の点を考慮する必要があります。

• 情報を取得した目的
• 保存を継続する必要があるかどうか
• 適用される法的要件
• 本人からの請求
• セキュリティ上の要件
• 契約上の義務
• 社内の保存スケジュール

不要となった情報は、安全に削除するか、適用される APPI の要件に従ってその他の方法で取り扱う必要があります。

APPI とデータ処理の委託先

組織は、個人情報の取扱いについて、サービスプロバイダー、クラウドプラットフォーム、分析プロバイダー、マーケティングプラットフォームその他のベンダーに依存していることが少なくありません。

そのため事業者は、委託した取扱いについて、次のような適切な管理を維持する必要があります。

• ベンダーのデューデリジェンス
• 契約上の要件
• 安全管理措置
• 取扱いの範囲
• 秘密保持
• インシデントの報告
• 再委託先の管理
• データの削除と返却
• 国境を越える取扱い
• コンプライアンスのモニタリング

外国のサービスプロバイダーが個人データを受け取る場合、組織は、適用される APPI の外国への移転に関する要件を別途評価する必要があります。

2026 年の APPI 改正

日本は、国会の承認を経て、2026年7月に APPI の新たな改正を成立させました。

この改正は2026年7月17日に公布されました。PPC によれば、大部分の規定は、公布から 2 年以内の政令で定める日に施行されます。関連する政令、PPC 規則およびガイドラインは、現在も策定中です。

そのため組織は、次の二つを区別する必要があります。

現行の APPI の要件

すでに施行されており、現在の取扱いに適用される規律。

今後の APPI の変更

2026 年の改正により導入され、それぞれの施行日以降に適用される要件。

ConsentX の APPI に関するコンテンツは、施行規則やガイドラインが確定するのに合わせて見直す必要があります。

APPI の執行

個人情報保護委員会（PPC）は日本の主要なプライバシー規制当局であり、APPI の遵守を監督するうえで中心的な役割を担っています。

PPC は、APPI の適用を受ける組織向けに、ガイドライン、Q&A、規則、執行に関する情報、外国への移転に関するガイドラインを提供しています。