要配慮個人情報の
同意取得実務

要配慮個人情報の同意取得実務で重要なのは、単に同意チェック欄を設けることではありません。何が要配慮個人情報に当たるのかを正しく分類し、取得の必要性を限定し、本人が判断できる情報を示し、取得・利用・第三者提供・保存・削除・漏えい等対応まで一貫した証跡を残すことが実務の中心です。

このページは、2026年6月7日時点の個人情報保護法、公的ガイドライン、Q&A等を前提にした一般的な情報です。業種別ガイドライン、医療・金融・労務・研究倫理・マイナンバー等の特別法令が関係する場合は、個別事情に応じた確認が必要です。

個人情報保護法上、要配慮個人情報は、人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実など、本人に対する不当な差別、偏見その他の不利益が生じないよう取扱いに特に配慮を要する情報です。政令・規則により、障害、健康診断等の結果、医師等による指導・診療・調剤、刑事事件手続、少年保護事件手続に関する一定の情報も含まれます。

実務で最初に確認すべき内容を、取得前に並べて確認できるように整理します。各項目は、同意文面の作成だけでなく、取得しない選択、例外根拠の記録、社内共有範囲の限定にも直結するため重要です。左から順に確認し、どこに証跡を残すかまで読み取ることが大切です。

取得時は原則としてあらかじめ本人同意を得ます

個人情報取扱事業者は、原則として、あらかじめ本人の同意を得ないで要配慮個人情報を取得できません。ここでいう「あらかじめ」とは取得前を意味します。取得後に事後的に同意を取ればよいという構造ではありません。

顧客からアレルギー、障害、病歴、服薬情報を入力してもらう場合、従業員から診断書、休職理由、障害者手帳情報、健康診断結果、ストレスチェック結果を取得する場合、採用候補者から既往症、障害、犯罪歴、被害歴等を取得する場合は、取得前に同意取得の要否を検討します。ヘルスケアアプリ、旅行・宿泊・イベント、保険・金融・与信、研究・アンケートでも同じです。

ウェブフォームやアプリ画面で要配慮個人情報を入力してもらう場合に、本人へ示す事項を整理します。この一覧は、本人が納得して判断できる情報をそろえるために重要です。各項目が欠けると、同意の範囲、第三者提供、撤回対応で争点になりやすいことを読み取ってください。

本人が直接提供した場合の読み過ぎに注意します

本人が自らの意思で要配慮個人情報を事業者に提供した場合、当該事業者が取得することについて同意があったものと解される場面があります。しかし、入力フォームが複雑な場合、取得後に社内外で広く共有する場合、第三者提供、越境移転、AI学習、プロファイリング、広告配信、採用・評価判断に利用する場合は、明示的な同意取得が望まれます。

同意方式ごとの特徴を比較します。この比較は、情報の機微性、本人との力関係、証跡の残しやすさによって選ぶ方法が変わるため重要です。左の方式名だけで選ばず、右列の評価から要配慮個人情報に向く運用かを読み取ってください。

同意ログは監査と事故対応の基盤です

同意を取ったつもりでは足りません。本人ID、同意取得日時、チャネル、同意文面の全文または版番号、対象情報項目、利用目的、第三者提供・越境移転の有無、同意撤回・変更履歴、説明画面の版、取得主体を特定する情報を残します。口頭同意では記録メモまたは録音管理方針も検討します。

同意ログは、情報システム部門がアクセス制御を設計し、マーケティング部門が利用可否を判定し、委託先が処理範囲を制限し、内部監査が検証するための共通基盤です。

取得同意と第三者提供同意は分けます

要配慮個人情報の取得について本人同意を得ていても、それだけで第三者提供が許されるわけではありません。個人データを第三者に提供する場合には、原則として第三者提供について本人同意が必要です。さらに、要配慮個人情報を含む個人データでは、オプトアウト方式による第三者提供は認められません。

第三者提供を伴う同意画面では、取得・利用への同意と第三者提供への同意を別項目にし、提供先の範囲、提供する情報項目、提供目的、提供方法、安全管理措置の概要、同意撤回後の取扱いを説明します。

第三者提供、委託、事業承継、共同利用、外国にある第三者への提供は、似ていても法的な整理が異なります。次の比較表は、各場面で確認すべき要点を示すものです。どの類型なら第三者提供に当たらない可能性があるか、また別途情報提供や契約管理が必要になるかを読み取ってください。

提供を受ける側も確認義務を設計します

企業が第三者から要配慮個人情報の提供を受ける場合、提供元が適法に取得し、第三者提供について必要な同意または例外根拠を有しているかを確認します。契約書では、適法取得の表明保証、要配慮個人情報を含む場合の明示、取得同意・第三者提供同意・越境移転同意の取得状況、利用制限、再提供・再委託の制限、安全管理措置、漏えい等発生時の通知・協力、本人請求への協力、監査権または報告義務、契約終了時の返還・削除を定めます。

委託先や提供先との契約で確認すべき条項を整理します。この一覧は、同意取得だけではコントロールできない処理範囲、再委託、事故時協力を契約で補うために重要です。各項目から、提供前に契約・運用・証跡をそろえる必要があることを読み取ってください。

要配慮個人情報は、取得しないことが最も強いリスク低減策です。取得前に、自社がどこで要配慮個人情報を扱っているかを棚卸しし、法務部だけでなく、人事、総務、営業、カスタマーサポート、開発、マーケティング、情報システム、内部監査、委託先管理部門が関与します。

取得前から削除までの順番を時系列で整理します。この時系列は、同意取得を単発の文面作成で終わらせず、保存・アクセス制御・撤回・削除まで運用に落とすために重要です。上から順に、どの段階で何を記録し、誰が確認するかを読み取ってください。

保存・アクセス制御で検討する管理策

取得後は、同意の範囲を超えて閲覧・出力・複製されないように管理します。役割ベースのアクセス権限、最小権限、定期的な権限レビュー、閲覧ログ、出力ログ、ダウンロードログ、CSVエクスポート制限、暗号化、認証強化、管理者権限の分離、委託先アクセス制御、本番データの開発・検証環境利用制限、退職者・異動者の権限削除、紙書類の施錠保管・廃棄証跡を検討します。

取得根拠の分類を実務で迷わないよう、確認順序をまとめます。この判断の流れは、現場申請を法務・セキュリティ・労務へつなぐために重要です。上から下へ進め、曖昧な場合は取得目的、必要性、本人への影響、代替手段をレビューに回すことを読み取ってください。

Q1. 要配慮個人情報は、本人が自分で入力したなら同意取得不要ですか。

一般的には、本人が自ら提供した場合に取得について同意があったと解される場面はあります。ただし、第三者提供、越境移転、二次利用、AI学習、採用・評価利用など、本人の合理的期待を超える利用では、別途明示的な説明・同意が必要または望ましい場合があります。具体的な対応は、フォーム設計、利用目的、提供先、本人との関係を整理したうえで専門家へ相談する必要があります。

Q2. 宗教書の購入履歴や政治新聞の購読履歴は要配慮個人情報ですか。

一般的には、それ自体は信条を推知させる情報にとどまり、直ちに要配慮個人情報には該当しないと整理される場面があります。ただし、推知情報を用いた差別的取扱い、広告配信、プロファイリングは別途リスクがあります。具体的な分類や利用可否は、利用目的、分析方法、本人への影響によって変わるため、専門家へ相談する必要があります。

Q3. 防犯カメラに車いす利用者が映った場合、事前同意が必要ですか。

一般的には、外形上明らかな要配慮個人情報を視認または撮影により取得する場合には、取得同意の例外に当たり得ます。ただし、防犯目的で取得した映像を別目的で分析・公開・共有する場合は、利用目的、保存期間、アクセス権限、本人への説明を別途検討する必要があります。

Q4. 従業員の診断書を上司に共有してよいですか。

一般的には、共有の必要性と範囲を厳格に限定する考え方が重要です。上司に必要なのは、病名や治療内容ではなく、勤務上の配慮事項や就業制限で足りることが多いとされています。ただし、職務内容、職場環境、安全配慮、本人同意の有無によって判断が変わるため、具体的には専門家へ相談する必要があります。

Q5. ストレスチェック結果は会社が取得できますか。

一般的には、ストレスチェック結果を実施者等から事業者へ提供するには本人同意が必要であり、同意の強要は避ける必要があります。取得する場合でも、閲覧者、利用目的、保存期間、本人への説明を厳格に管理します。具体的な運用は労働安全衛生法令や社内体制によって変わるため、専門家へ相談する必要があります。

Q6. 要配慮個人情報を含む個人データをオプトアウトで第三者提供できますか。

一般的には、要配慮個人情報を含む個人データは、オプトアウト方式による第三者提供の対象外とされています。第三者提供を行う場合は、本人同意、法令上の例外、委託、事業承継、共同利用などの該当性を検討する必要があります。具体的な整理は提供先、目的、契約関係によって変わります。

Q7. 海外クラウドに保存するだけで外国第三者提供になりますか。

一般的には、外国にある第三者への提供に該当するかは、クラウド事業者の取扱実態、委託該当性、契約内容、アクセス可能性、外国にある第三者の該当性などによって判断されます。越境移転では、同意、相当措置、委託先管理、情報提供を確認する必要があります。

Q8. 同意を取得していれば、どの部署でも閲覧できますか。

一般的には、同意は無制限な閲覧権限を与えるものではありません。利用目的の達成に必要な範囲で、最小限の者にアクセスを限定する必要があります。具体的には、部門、職務、システム権限、ログ管理、保存期間を整理して運用を決めます。

Q9. 本人が同意を撤回した場合、必ず全データを削除しなければなりませんか。

一般的には、法令上保存が必要な情報、契約履行・紛争対応に必要な情報、監査証跡として保存すべき情報がある場合、直ちに全削除できないことがあります。ただし、将来利用の停止、共有先への通知、保存目的の限定、本人への説明は重要です。具体的な対応は保存根拠と利用状況によって変わります。

Q10. M&Aで対象会社が保有する要配慮個人情報を確認できますか。

一般的には、デューデリジェンスでは取得根拠、同意文面、第三者提供、委託先、漏えい履歴、アクセス権限を確認する必要があります。ただし、買主候補へのデータルーム開示自体が第三者提供に該当する可能性があります。匿名化、マスキング、閲覧制限、段階的開示、秘密保持契約、法的根拠を確認する必要があります。

要配慮個人情報の同意取得実務は、法務部だけでは完結しません。次の比較表は、各専門職・部門の主な役割を示しています。役割分担が曖昧だと、同意文面だけ整っても、アクセス制御、委託先管理、漏えい対応が抜けやすくなるため重要です。自社で誰がどの責任を持つかを読み取ってください。

最後に、要配慮個人情報の同意取得実務の到達点を強調します。この重要ポイントは、同意取得を形式的な書面から企業ガバナンスへ広げるために重要です。分類、最小化、説明、分離、記録、制限、備えを一体で運用することを読み取ってください。

実務で失敗を避けるには、どの情報が要配慮個人情報かを分類し、取得しなくてよい情報を減らし、本人が判断できる情報を取得前に示し、取得・利用・第三者提供・越境移転・二次利用・AI学習の同意を必要に応じて分けます。さらに、同意ログ、同意文面、例外事由、第三者提供、撤回履歴を保存し、閲覧者、共有先、保存期間、委託先、再利用を限定し、漏えい等発生時に本人通知と委員会報告を迅速に行える体制を整えます。