第1節 個人情報保護法

■ 制定の背景

個人情報保護への関心は1970年代に欧米で高まりました。OECDが1980年に「プライバシー保護と個人データの国際流通についてのガイドライン」を策定したことを契機として、世界的な制度整備が進みました。日本においても個人情報の漏えいが社会問題化したことを背景に、2003年に「個人情報保護関連5法」が制定されました。

■ 2003年体系の課題

この2003年体系では、民間部門を対象とする「個人情報保護法（第1章〜第3章の基本原則＋第4章の民間向け義務規定）」を一般法としつつ、国の行政機関は「行政機関個人情報保護法」、独立行政法人等は「独立行政法人等個人情報保護法」、地方公共団体は各自制定の条例で規律するという複雑な分立体制がとられていました。そのため地方公共団体ごとにルールが異なり、制度の統一性・実効性に課題がありました。

■ 2021年改正による一本化

この問題を解決するため、2021年改正によって民間部門・国の行政機関・独立行政法人等・地方公共団体のすべてを「個人情報保護法」一本で規律する体制に再編されました。改正法の施行日は2022年4月1日（地方公共団体向けの規定は2023年4月1日）です。この改正により「行政機関個人情報保護法」と「独立行政法人等個人情報保護法」は廃止され、個人情報保護法に統合されました。

■ 現行法の目的

現行法の目的（1条）は、デジタル社会の進展に伴い個人情報の利用が著しく拡大していることに鑑み、個人情報の適正な取扱いに関する基本事項を定め、国・地方公共団体の責務等を明らかにし、個人情報取扱事業者・行政機関等が遵守すべき義務等を定めるとともに個人情報保護委員会を設置することで、個人情報の有用性に配慮しつつ、個人の権利利益を保護することです。なお条文に「プライバシー」という言葉は明記されていません。

■ 個人情報の定義

個人情報（2条1項）とは、生存する個人に関する情報であって、次のいずれかに該当するものをいいます。第一に、当該情報に含まれる氏名・生年月日その他の記述等（文書・図画・電磁的記録に記載・記録された文字・番号・記号等の一切の事項）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含みます）。第二に、個人識別符号が含まれるものです。

■ 死者の情報について

「生存する個人」に限定されるため、死者の情報は原則として「個人情報」にあたりません。ただし、死者の相続財産に関する情報が同時に生存する相続人等の個人情報でもある場合は、生存する人物に関する情報として「個人情報」に該当します。

■ 容易照合性の考え方

「容易に照合できる」という要件については、単独では特定個人を識別できない情報であっても、別の名簿・データベース等と容易に突き合わせることで特定個人が識別できるものであれば「個人情報」にあたります。例えば、単純な数字のみからなるメールアドレスや社員番号は、単体では「個人情報」にあたらないことがありますが、氏名等を含む別の名簿と照合することで特定個人を識別できる場合は「個人情報」に該当します。

■ 映像・音声・個人識別符号について

容貌（顔写真等）や声（音声データ等）は、それによって特定の個人を識別することができる場合には「個人情報」にあたります。なお、個人の指定するデータやマイナンバー等の個人識別符号を含む情報も「個人情報」に含まれます（2条2項参照）。

■ 個人識別符号とは

個人識別符号（2条2項）とは、次のいずれかに該当する文字・番号・記号その他の符号をいいます。

■ 第一類型（①号）：生体情報系

第一類型（①号）は、特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字・番号・記号その他の符号であって、当該特定の個人を識別することができるものです。具体的には顔認識データ・指紋認証データ・発声の際の声帯データ・虹彩データ・歩行の動作データ・静脈データ等が該当します。

■ 第二類型（②号）：役務・商品利用に関する識別番号

第二類型（②号）は、個人に提供される役務の利用もしくは個人に販売される商品の購入に割り当てられた文字・番号・記号その他の符号であって、その利用もしくは購入者または発行を受ける者ごとに異なるものとなるように割り当てられ、または記載・記録されることにより、特定の利用もしくは購入者またはカード等の書類の発行を受ける者を識別することができるものをいいます。具体的にはマイナンバー（個人番号）・旅券番号（パスポート番号）・基礎年金番号・運転免許証番号・住民票コード・在留カード番号・各種被保険者番号等が該当します。

■ クレジットカード番号について（重要注意点）

重要な注意点として、クレジットカード番号は個人識別符号には含まれません（2条2項の対象外）。クレジットカード番号自体は「特定の個人の身体的特徴の変換符号」でも「役務利用に伴い割り当てられた個人を識別する番号」にも厳密には当たりません。ただし、クレジットカード番号と氏名等が組み合わさっていれば「個人情報」になりえます。また、指紋データは①号の個人識別符号に該当するため、それを含む情報は「個人情報」にあたります。

■ 要配慮個人情報とは

要配慮個人情報（2条3項）とは、本人の人種・信条・社会的身分・病歴・犯罪の経歴・犯罪により害を被った事実、その他本人に対する不当な差別・偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものを含む個人情報をいい、「センシティブ情報」とも呼ばれます。

■ 取得時の制限

要配慮個人情報は通常の個人情報よりも厳格な規制が適用されます。まず取得に際しては、原則として本人の同意が必要です（20条2項）。通常の個人情報の取得では本人の同意は不要であるのに対し、要配慮個人情報については取得時点から本人の同意が求められる点が大きく異なります。ただし、法令に基づく場合・人の生命・身体・財産の保護のため必要な場合（本人の同意を得ることが困難な場合）・公衆衛生の向上・児童の健全育成のために特に必要な場合・国の機関等への協力が必要な場合等には例外として本人の同意なしに取得できます。

■ 第三者提供の制限

第三者提供に際しても、要配慮個人情報についてはオプトアウト手続き（本人が容易に知り得る状態にした上で、本人の求めがあれば停止するという方式）が利用できず、原則として本人の同意が必要です（27条2項）。通常の個人情報であればオプトアウトによる第三者提供が可能なのに対し、要配慮個人情報はこの手続きが認められていないことが重要です。

■ 個人情報との関係

個人情報と要配慮個人情報の関係としては、要配慮個人情報は個人情報の中に含まれる特別な類型であり、通常の個人情報よりも注意を要する取扱いが法律上義務付けられています。

■ 仮名加工情報とは

仮名加工情報（2条5項）とは、個人情報を次の方法で加工して得られる個人に関する情報であって、他の情報と照合しない限り特定の個人を識別することができないようにしたものをいいます。加工方法は、①当該個人情報に含まれる記述等（氏名・住所・生年月日等）の一部を削除すること（当該一部の記述等を復元することができる規則性を有しない方法により他の記述等に置き換えることを含みます）、②当該個人情報に含まれる個人識別符号の全部を削除することです。

■ 匿名加工情報との違い

仮名加工情報の最大の特徴は、加工前の個人情報を復元可能な状態であってもよい点です。つまり、識別に使われる記述を削除・置換するだけで作成でき、削除した記述や変換ルールを保有していれば元に戻せます。この点が匿名加工情報（復元不可能でなければなりません）との決定的な違いです。

■ 主な用途と規制内容

仮名加工情報は主に事業者内部での利用を想定しており、外部への第三者提供は原則として想定されていません（41条・42条）。そのため匿名加工情報と比べて規制が少なく、比較的柔軟に利用できます。具体的には、利用目的の変更が一定範囲で認められるなど、個人情報よりも緩やかな取扱いルールが適用されます。ただし仮名加工情報はあくまで「個人情報」のカテゴリに含まれる場合があるため、個人データ・保有個人データとしての義務が一部適用される点に注意が必要です。

■ 匿名加工情報とは

匿名加工情報（2条6項）とは、個人情報を次の方法で加工して得られる個人に関する情報であって、特定の個人を識別することができないように個人情報を加工して得られるものをいいます。加工方法は、①当該個人情報に含まれる記述等（氏名・生年月日等）の全部を削除すること（当該一部の記述等を復元することができる規則性を有しない方法により他の記述等に置き換えることを含みます）、②当該個人情報に含まれる個人識別符号の全部を削除することです。

■ 復元不可能性の要件

匿名加工情報の核心は、加工前の個人情報が復元不可能でなければならないという点です。元のデータに戻す手段（対応表・変換ルール等）を保有していても、それを利用して復元することが禁止されます。この「復元不可能性の要件」が仮名加工情報との最大の違いです。

■ 外部提供と事業者の義務

匿名加工情報は事業者の内部利用だけでなく、外部（第三者）への提供も想定されており、ビジネスデータとしての活用が広く認められています。ただしその分、作成者・取扱者双方に多くの義務が課されており（43条〜46条）、作成時の加工方法の公表義務、第三者提供時の公表義務、提供先での再識別化の禁止等が定められています。

■ 個人情報との関係

匿名加工情報は「個人情報」にも「個人データ」にも「保有個人データ」にも該当しないため、それらに対する義務（利用目的の特定・本人同意・開示請求対応等）は原則として適用されません。これが匿名加工情報を利用することの事業者側のメリットです。

■ 個人関連情報とは

個人関連情報（2条7項）とは、生存する個人に関する情報であって、個人情報・仮名加工情報および匿名加工情報のいずれにも該当しないものをいいます。具体例としては、氏名等の識別子と紐づいていないWebサイトの閲覧履歴・位置情報・購買履歴・Cookie情報・IPアドレスなどが挙げられます。これらは単体では特定個人を識別できないため「個人情報」には該当しませんが、それ自体は生存する個人に関する情報です。

■ 制定の背景

個人関連情報は、2021年改正で新たに設けられたカテゴリです。制定の背景には、スマートフォンやインターネットの普及により、個人情報には該当しないものの生活の実態を詳細に反映するデータ（Cookieを利用したターゲティング広告のための閲覧履歴等）が大量に収集・提供されるビジネスが拡大し、個人のプライバシーへの懸念が高まったことがあります。

■ 第三者提供時の義務

個人関連情報に関する義務として、個人関連情報取扱事業者が第三者に個人関連情報を提供する場合、提供先が当該情報を個人データとして取得することが想定されるときは、提供先が本人の同意を得ていることを確認しなければなりません（31条）。なお、個人関連情報取扱事業者には一定のルールが課されており（31条）、これをデータベース化して事業の用に供している者が「個人関連情報取扱事業者」と呼ばれます（16条7項）。

■ 行政機関等の定義

行政機関等（2条8項）とは、①国の行政機関（内閣府・各省庁・会計検査院等）、②独立行政法人等（独立行政法人通則法に定める独立行政法人・個人情報保護法別表に定める法人）、③地方公共団体の機関、④地方独立行政法人を合わせた概念です。

■ 2021年改正前との違い

2021年改正前は、国の行政機関は「行政機関個人情報保護法」、独立行政法人等は「独立行政法人等個人情報保護法」がそれぞれ適用されていましたが、改正後はこれらが廃止され「個人情報保護法」に統合されました。そのため改正後の個人情報保護法では「行政機関等」という概念を用いて民間の「個人情報取扱事業者」と区別しています。

■ 適用される規定

行政機関等に対しては、個人情報取扱事業者とは別の規定が適用されます（61条以下）。「行政機関等」に関する規定の適用を受けるのは、行政機関等が保有する個人情報（保有個人情報）であり、行政文書に記録されているものに限られる点が民間と異なる重要ポイントです。また地方公共団体の機関には都道府県・市区町村の行政機関が含まれ、地方独立行政法人も含まれます。なお「行政機関」という場合には、厳密には国の行政機関（内閣府・各省庁等）を指しますが、「行政機関等」という場合には独立行政法人・地方公共団体の機関・地方独立行政法人も含む広い概念です。

■ 個人情報データベース等（16条1項）

個人情報データベース等（16条1項）とは、個人情報を含む情報の集合物であって、①特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの、または②その他特定の個人情報を容易に検索することができるように体系的に構成したものをいいます。電子化されたDBだけでなく、50音順に整理されたカード式名簿等の紙媒体も「容易に検索できるように体系的に構成したもの」として該当します。

■ 個人情報取扱事業者（16条2項）

個人情報取扱事業者（16条2項）とは、個人情報データベース等を事業の用に供している者のうち、国の機関・地方公共団体・独立行政法人等を除いた者をいいます。営利事業者だけでなく、NPO法人や行政書士会等の非営利団体も個人情報取扱事業者となります。また、取り扱う個人情報の数にかかわらず個人情報取扱事業者となる点が重要です（以前は「5,000人超」の閾値がありましたが現在は廃止されています）。

■ 個人データ（16条3項）

個人データ（16条3項）とは、個人情報データベース等を構成する個人情報のことをいいます。個人情報の中でも、個人情報データベースに組み込まれたものだけが「個人データ」であり、散在する個人情報（データベース等に体系的に組み込まれていないもの）は個人データには該当しません。

■ 保有個人データ（16条4項）

保有個人データ（16条4項）とは、個人データのうち、個人情報取扱事業者が開示・内容の訂正・追加・削除・利用の停止・消去および第三者への提供の停止を行うことができる権限を有するもの（その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるものを除きます）をいいます。第三者に業務委託しているデータ（A社がB社に委託し、B社のDBに保管されているA社の顧客データ）の場合、A社は保有個人データとして開示・訂正等の対応ができますが、B社は権限を持たないため保有個人データにあたりません（ただし個人データではあります）。

■ 取得・利用に関する主な義務

個人情報取扱事業者に課せられる義務のうち、情報の取得・利用・通知に関するものは以下の通りです。

■ 利用目的の特定（17条）

個人情報を取り扱うにあたっては利用目的をできる限り特定しなければなりません。「できる限り特定」とは、単に「サービス向上のため」という抽象的な記載では不十分で、具体的にどのような業務・場面で利用するかを特定することを求めています。利用目的を変更する場合は、変更前の利用目的と合理的な関連性のある範囲内に限られます（18条）。

■ 不適正利用の禁止（19条）

違法または不当な行為を助長し、または誘発するおそれがある方法により個人情報を利用してはなりません。

■ 適正な取得（20条）

偽りその他不正の手段により個人情報を取得してはなりません。また、要配慮個人情報を取得する場合は原則として本人の同意が必要です（20条2項）。

■ 利用目的の通知（21条）

個人情報を取得した場合はあらかじめ利用目的を公表している場合を除き、取得後速やかに利用目的を本人に通知し、または公表しなければなりません。本人から直接情報を取得する場合はあらかじめ利用目的を明示しなければなりません（21条2項）。

■ 苦情の処理（40条）

個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めるとともに、その目的を達成するために必要な体制の整備に努めなければなりません。

■ 個人データに関する主な義務

個人データに関する義務として以下のものが定められています。

■ データ内容の正確性確保等（22条）

利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努め、利用する必要がなくなったときは遅滞なく消去するよう努めなければなりません。

■ 安全管理措置（23条）

取り扱う個人データの漏えい・滅失・毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければなりません。

■ 従業者・委託先の監督（24条・25条）

個人データを取り扱う従業者（正規・非正規を問わず、派遣社員・業務委託者も含みます）に対して、個人データの安全管理が図られるよう必要かつ適切な監督を行わなければなりません（24条）。また、個人データの取扱いの全部または一部を委託する場合は、委託を受けた者に対する必要かつ適切な監督を行わなければなりません（25条）。

■ 漏えい等の報告等（26条）

個人データの漏えい・滅失・毀損等の事態が生じた場合は、個人情報保護委員会への報告義務および本人への通知義務が生じます（一定の要件のある場合）。

■ 第三者提供の制限（27条）

原則として本人の同意を得ないで個人データを第三者に提供してはなりません。ただし、①法令に基づく場合、人の生命・身体・財産の保護のために必要な場合、公衆衛生・児童健全育成のために特に必要な場合、国の機関等への協力が必要な場合は本人同意不要です。②オプトアウト手続きが適切にとられている場合（要配慮個人情報・不正取得個人データは不可）は本人同意なしで提供できます。③委託・事業承継・共同利用の場合は「第三者への提供」にあたりません（27条5項）。

■ 第三者提供記録の作成・保存（29条・30条）

個人データを第三者に提供した場合、提供者は記録を作成・保存しなければなりません（29条）。個人データを第三者から受領した場合も受領者は記録を作成・保存しなければなりません（30条）。

■ 保有個人データとは

保有個人データとは、個人情報取扱事業者が開示・内容の訂正・追加・削除・利用の停止・消去および第三者への提供の停止を行うことができる権限を有する個人データをいいます（16条4項）。本人には保有個人データに関する次の権利が認められています。

■ 利用目的の公開（32条）

個人情報取扱事業者は保有個人データに関する事項（氏名・住所・利用目的等）をあらかじめ本人の知り得る状態に置かなければなりません。

■ 開示請求（33条）

本人は個人情報取扱事業者に対し、保有個人データの電磁的記録による開示を請求することができます。事業者は原則として遅滞なく当該保有個人データを開示しなければなりません。不開示の理由となる場合（本人または第三者の生命・身体・財産その他の権利利益を害するおそれがある場合、事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合、法令に違反することになる場合）には開示しないことができます。

■ 訂正等の求め（34条）

本人は個人情報取扱事業者に対し、内容が事実でない場合は保有個人データの内容の訂正・追加・削除を求めることができます。事業者は必要な調査を行い、利用目的の達成に必要な範囲内で遅滞なく訂正等を行わなければなりません。

■ 利用停止等の求め（35条）

本人は個人情報取扱事業者に対し、法違反（不適正な利用・不正な取得等）があった場合は保有個人データの利用停止・消去を求めることができます。また第三者提供違反の場合は提供停止を求めることができます。利用停止・消去が困難な場合に代替措置（第三者への提供停止、データの破棄等）をとることもできます。なお、開示請求を先にしなければ利用停止請求ができないという手続的先行要件は設けられていません。

■ 適用除外の概要

個人情報取扱事業者および個人関連情報取扱事業者のうち、一定の者については、その個人情報等を取り扱う目的の全部またはそれぞれ次に掲げる目的の一部がその目的以外の目的であるときは、「個人情報取扱事業者等の義務等」に関する規定（第4章第2節・第3節）は適用しないものとされています（57条1項）。

■ 適用除外の4類型

適用除外となる4類型は次の通りです。第一に放送機関・新聞社・通信社その他の報道機関（報道を業として行う個人を含みます）が報道の用に供する目的で個人情報等を取り扱う場合です。第二に著述を業として行っている者が著述の用に供する目的で取り扱う場合です。第三に宗教団体が宗教活動（これに付随する活動を含みます）の用に供する目的で取り扱う場合です。第四に政治団体が政治活動（これに付随する活動を含みます）の用に供する目的で取り扱う場合です。

■ 適用除外の理由と注意点

適用除外が認められる理由は、報道の自由・信教の自由・政治活動の自由等の憲法上の基本権を保護するためです。ただし、適用除外となるのはあくまで義務規定（個人情報取扱事業者等の義務等）の適用であり、これらの団体が全く制約なく個人情報を使えるわけではありません。

重要な注意点として、行政機関等が政治活動の用に供する目的で個人情報を取り扱う場合は適用除外として規定されていない点があります（行政機関等は政治活動の適用除外には含まれません）。また、学術研究機関等については57条1項ではなく各条文の例外規定として義務の一部が免除される場合があります。

■ 保有個人情報とは

行政機関等における「保有個人情報」（60条1項）とは、行政機関等の職員が職務上作成し、または取得した個人情報であって、当該行政機関等の職員が組織的に利用するものとして当該行政機関等が保有しているものをいいます。ただし、行政文書（行政機関の保有する情報の公開に関する法律2条2項に規定する行政文書）等に記録されているものに限られます。

■ 官報・白書等の取扱い

重要な点として、有償の刊行物（官報・白書・統計書等）は「行政文書」には該当しないため、そこに記載されている個人情報は「保有個人情報」にあたりません。官報に掲載された情報（破産者の氏名等）や白書に掲載された情報は「保有個人情報」の定義から除外されます。

■ 個人情報ファイル（60条2項）

個人情報ファイル（60条2項）とは、保有個人情報を含む情報の集合物であって、①一定の事務の目的を達成するために特定の保有個人情報を電子計算機を用いて検索することができるように体系的に構成したもの、または②その他一定の事務の目的を達成するために特定の保有個人情報を容易に検索することができるように体系的に構成したものをいいます。これは民間の「個人情報データベース等（16条1項）」とほぼ同義の概念です。

■ 条例要配慮個人情報（60条5項）

条例要配慮個人情報（60条5項）とは、地方公共団体もしくは地方独立行政法人が保有する要配慮個人情報のうち、地域の特性その他の事情に応じて、本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして地方公共団体が条例で定める記述等が含まれる保有個人情報をいいます。

■ 行政機関等における取扱いに関する主な規定

行政機関等における個人情報の取扱いに関する主な規定は以下の通りです。

■ 個人情報の保有（61条）

行政機関等は、法令の定める所掌事務を遂行するため必要な場合に限り個人情報を保有することができ、保有するにあたっては利用目的をできる限り特定しなければなりません。

■ 利用目的による制限（62条）

行政機関等は、あらかじめ特定した利用目的の達成に必要な範囲を超えて保有個人情報を保有してはなりません。利用目的を変更する場合は、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはなりません。

■ 利用目的の明示（63条）

行政機関等が本人から直接書面（電磁的記録を含みます）に記載された当該本人の個人情報を取得するときは、原則としてあらかじめ本人に対して利用目的を明示しなければなりません（ただし人の生命・身体・財産の保護のために緊急に必要がある場合や、利用目的を明示することにより保有個人情報の収集目的に反する結果をもたらす場合などは例外です）。

■ 不適正な取得の禁止（64条）・安全確保の措置（66条）

偽りその他不正の手段により個人情報を取得してはなりません（64条）。また、行政機関等は、保有個人情報の漏えい・滅失・毀損の防止その他の保有個人情報の適切な管理のために必要な措置を講じなければなりません（66条）。

■ 従事者の義務（67条）

行政機関等の職員若しくは職員であった者、または行政機関等から業務を受託した事業者の従事者は、その業務に関して知り得た個人情報の内容をみだりに他人に知らせ、または不当な目的に利用してはなりません。この義務は退職後も続きます。

■ 本人の権利の概要

行政機関等が保有する保有個人情報に関して、本人には次の権利が認められています。

■ 開示請求権（76条1項）

何人でも行政機関の長等に対し、保有個人情報の開示を請求することができます。「何人でも」とあるため、日本国民に限らず外国人でも、未成年者でも開示請求が可能です。開示請求の相手方は、当該保有個人情報を保有する行政機関等の長（各省大臣・地方公共団体の長等）です（77条1項）。行政機関の長は開示請求があった日から30日以内に開示するか否かを決定しなければなりません（83条1項）。やむを得ない理由があるときは30日以内に限り延長できます。

開示しないことができる場合（不開示情報）としては、①本人・第三者の生命・身体・財産その他の権利利益を害するおそれがある情報、②行政機関等の業務の適正な実施に支障を及ぼすおそれがある情報、③法令の規定により開示することができない情報等があります（78条1項）。

■ 訂正請求権（90条1項）

本人は行政機関の長等に対し、当該本人が識別される保有個人情報の内容が事実でない場合は訂正（内容の追加・削除を含みます）を請求することができます。

■ 利用停止等請求権（98条1項）

本人は、保有個人情報が違法に取得されたものである場合等において、利用停止・消去または提供停止を請求することができます。

■ 不服申立て（審査請求）

行政機関の長等の開示決定等または不作為に不服がある者は審査請求をすることができます（105条1項・2項）。審査請求を受けた行政機関の長等は、原則として情報公開・個人情報保護審査会に諮問しなければなりません（105条1項）。審査会は諮問を受けてから答申を出し、行政機関の長等が最終的な裁決を行います。

■ 個人情報保護委員会とは

個人情報保護委員会は、個人情報の適正な取扱いの確保を図ることを任務とする独立した行政機関であり（13条）、個人情報取扱事業者・行政機関等の双方に対して監督権限を持ちます。

■ 主な権限

個人情報保護委員会の主な権限として、①報告徴収・立入検査（146条）、②指導・助言（147条）、③勧告・命令（148条）があります。報告徴収・立入検査は個人情報取扱事業者が法令を遵守しているかどうかを確認するために行うものであり、事業者は正当な理由なく拒むことができません。指導・助言は法令違反の予防・改善のための助言的措置であり、勧告・命令は違反が認められた場合に行われる強制力を伴う措置です。

■ 罰則（178条・182条・184条）

命令（148条3項）に違反した場合は、1年以下の懲役または100万円以下の罰金に処せられます（178条）。また、命令に違反した行為者が属する法人に対しても罰金刑（両罰規定）が課されます（184条）。なお、個人情報保護委員会への虚偽報告・検査拒否等についても50万円以下の罰金が課されます（182条）。

■ 事業所管大臣との関係

事業所管大臣（経済産業大臣・厚生労働大臣等）も、個人情報保護委員会と連携して当該事業分野における事業者への指導・助言・勧告等の権限を持ちます（146条〜148条準用）。ただし命令は個人情報保護委員会のみが行うことができ、事業所管大臣は命令権限を持ちません。

■ 行政機関等への監督

行政機関等に対しても、個人情報保護委員会は勧告・立入検査の権限を持ち、行政機関等の長に対して必要な勧告を行うことができます（166条）。