資料２－１

個人情報保護法等の改正に伴う「個人情報の保護に関する指針」等の一部改正について
2022年１月18日
日本証券業協会© Japan Securities Dealers Association. All Rights Reserved.

本協会の個人情報保護法上の位置づけ
 本協会は、個人情報保護法上の「認定個人情報保護団体」である。
個人情報保護法認定

個人情報保護法に基づく、個人情報保護委員会の認定

日本証券業協会（認定個人情報保護団体関係業務）
自主ルールの策定・運用業務
 自主ルールの策定・運用
・「個人情報の保護に関する指針」等の作成、公表
・協会員における個人情報の適正な取り扱いの確保に関する規則
・ワーキング等における、情報管理態勢に関する検討
 指導・勧告・その他の措置

協会員

指導・勧告等

苦情処理業務

研修、情報提供業務• 協会員の個人情報の取扱いに係る苦情の受付・相談、協会員への通知・事情調査、
苦情の解決• 個人情報の適正な取扱いの確保のための協会員の役職員に対する教育・研修の実施• 法令・自主規制等に関する周知・
情報提供

苦情の解決
の申入れ

研修・
情報提供

 個人情報の適正な管理体制の整備
・個人情報に係る社内規程の制定
・各協会員の業務における個人情報の適正な取り扱いの確保© Japan Securities Dealers Association. All Rights Reserved.

個人情報保護法・ガイドライン・規則の関係
 協会員の個人情報保護に関する法令・ガイドライン・規則の適用関係
改正

個人情報保護法・政令・施行規則

改正・
一部
新設

共通ガイドライン（個人情報保護委員会制定）（通則編、確認記録編、外国第三者提供編、仮名加工・匿名加工情報編、認定保護団体編）※個人情報保護法令の解説、実施にあたっての具体的指針

改正

金融分野ガイドライン（金融庁・個人情報保護委員会制定）※金融分野特有の取扱いの解説、必要な措置の具体的指針※金融分野は専門的であることから個別ガイドラインとして定められている。

改正

日証協「個人情報の保護に関する指針」及び「解説」※本協会所管業務に関する取扱いの解説、必要な措置の具体的指針※自主規制規則と、個人情報保護法に基づく指針とを兼ねる

適

協

用

会

員
© Japan Securities Dealers Association. All Rights Reserved.

個人情報保護法改正の背景等
 法改正の背景等

いわゆる3年ごと見直しに基づく改正

令和2年
改正
令和2年6月12日に公布

令和３年
改正
令和3年5月19日に公布

 個人の権利利益の保護と活用の強化
 越境データの流通増大に伴う新たなリスクへの対応
 AI・ビッグデータ時代への対応 等（注）平成27年施行の個人情報保護法改正において、国際的動向、情報通信技術の進展等を勘案し、3年ごと見直し規定が盛り込まれた。

⇒ 利用停止・消去等の請求権の拡充、不適正利用の禁止、越境移転に係る情報提供の充実、「仮名加工情報」の創設 等

個人情報保護制度の官民一元化
 官民通じた個人情報の保護と活用の強化
 医療分野・学術分野における規制の統一 学術研究に係る適用除外規定の見直し 等⇒ 個人情報保護法、行政機関個人情報保護法、独立行政法
人等個人情報保護法の3本の法律を1本の法律に統合、定義等の統一 等

令和４年4月1日全面施行予定※これらに伴い、金融分野ガイドラインが改正される予定（現在パブコメ中）© Japan Securities Dealers Association. All Rights Reserved.

主な改正箇所（法改正等の内容（主なもの）と日証協保護指針及び解説の改正箇所）①
法改正前

法改正後

仮名加工情報「個人情報」に該当するものは一律に以下の個人情報の取扱いに係る規律の対象• 利用目的の制限• 利用目的の通知・公表• 安全管理措置• 第三者提供の制限• 開示・利用停止等の請求対応
等「仮名加工情報」として加工すれば、個人情報に該当しても、以下の義務は適用除外となる①利用目的の変更の制限⇒新たな目的で利用可能※本人を識別しない、内部での分析・利用であることが条件②漏えい等の報告等③開示・利用停止等の請求対応（§2⑤、§16⑤、§41、§42）

個人関連情報-提供元では個人データに該当しないものの、提供先において個人データとなることが想定される情報（例：氏名と結びついていないインターネットの閲覧履歴、位置情報、
cookie等）の第三者提供について、本人同意が得られていること等の確認を義務付ける。
（§2⑦、§16⑦、§31）

日証協保護指針
及び解説の改正個所＜仮名加工情報：【新設】第２条第８号、第23条の２及びその解説＞• 他の情報と照合しない限り特定の個人を識別できないように、定められた方法により加工して得られた個人に関する情報について、新たに「仮名加工情報」として定義し、利用目的の変更の制限等を適用除外とする＜個人関連情報：第５条、【新設】第２条第10号、第11号、第14条の５及びその解説＞• 新たに「個人関連情報」を定義し、協会員が個人関連情報の提供元となり、提供先の第三者が個人情報として取得することが想定される場合に協会員が確認すべき事項や、協会員が提供先となる場合に、本人の同意を取得すること及び本人に提供しなければならない情報等について規定する© Japan Securities Dealers Association. All Rights Reserved.

主な改正箇所（法改正等の内容（主なもの）と日証協保護指針及び解説の改正箇所）②
法改正前

法改正後

学術研究目的での個人情報の取り扱い

学術研究機関等が、学術研究目的で個人情報を取り扱う場合については一律に
個人情報保護法第4章に定める各種義務を適用除外一律の適用除外ではなく、義務ごとの例外規定として精緻化（§18③、§20②、§27①）

不適正利用
の禁止

個人情報取扱事業者は個人情報を適正に取得すべきことを法定「適正な取得」義務に加えて、「不適切な利用を禁止」※具体的には、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない旨を法定（§19）

安全管理措置「組織的安全管理措置」、「人的安全管理措置」、「技術的安全管理措置」について規定、公表の必要はなし「物理的安全管理措置」及び「外的環境の把握」の規定も追加、また安全管理措置を公表事項として追加（金融分野GL第8条、§23）

日証協保護指針
及び解説の改正個所＜学術研究目的での個人情報の取り扱い：【新設】第６条第３項第５号、第７条第１項第５号、第14条第１項第5号及びその解説＞• 学術研究目的での個人情報の取り扱いについて、利用目的による制限、機微（センシティブ）情報の取り扱い、第三者提供の制限に例外規定を設ける＜不適正利用の禁止：【新設】第7条の２及びその解説＞• 違法または不当な行為を助長又は誘発するおそれがある方法により個人情報を利用してはならない
旨を明確化する

＜安全管理措置：第11条、【新設】第15条第１項第４号＞• 安全管理措置の規定に「物理的安全管理措置」及び「外的環境の把握」を追加し、併せて安全管
理措置についても公表の対象とする© Japan Securities Dealers Association. All Rights Reserved.

主な改正箇所（法改正等の内容（主なもの）と日証協保護指針及び解説の改正箇所）③
法改正前

法改正後

オプトアウト規定の対象外の追加• 要配慮個人データに該当する個人デー
タはオプトアウト規定の対象外

左記に加え、① 不正な手段で取得（§20①）した個人情報を含む個
人データ② オプトアウト規定により提供された個人データも対象外とする

保有個人データの開示方法

書面の交付による方法が原則

保有個人データの開示方法（現行、原則、書面の交付）について、電磁的記録の提供を含め、本人が指示できるようにする（§32①②）

第三者提供記録の開示

個人データの授受に関する第三者提供
記録は、開示請求の対象か明確な規定なし

個人データの授受に関する第三者提供記録について、本人が開示請求できるようにする（§33⑤、§33①②③）

日証協保護指針及び解説の改正箇所＜オプトアウト規定の対象外の追加：第14条第2項＞• オプトアウト規定により第三者提供できる個人データの範囲を限定し、不正取得された個人データ及びオプトアウトにより提供を受けた個人データについては対象外とする• オプトアウトを行う際に公表等する情報に「第三者に提供される個人データの取得方法」等を追加する＜保有個人データの開示方法：第16条第１項及びその解説＞• 本人の請求に応じて個人データを開示する場合、本人が請求した方法により開示することとする＜第三者提供記録の開示：【新設】第16条第３項及びその解説＞• 本人が識別される個人データに係る第三者提供記録についても開示請求ができることとし、開示しないと決定した場合、当該第三者提供記録存在しない場合及び本人が請求した方法による開示が困難である場合には、本人にその旨を通知することとする© Japan Securities Dealers Association. All Rights Reserved.

主な改正箇所（法改正等の内容（主なもの）と日証協保護指針及び解説の改正箇所）④
法改正前

法改正後

利用停止・消去等の個人の請求権の拡充• 利用停止・消去ができるのは、目的外
利用、不正取得の場合に限定• 第三者提供の停止ができるのは、第三者提供義務違反の場合に限定• 現行の場合に加えて、①利用する必要がなくなったとき②重大な漏えい等が発生したとき③本人の権利または正当な利益が害されるおそれがある場
合にも拡充（§35①）

個人情報等の漏えい報告等

個人情報等の漏えい事案等の事故が発生した場合には、監督当局等に報告• 不正アクセス等による漏えい、一定数以上の漏えい等が発生した場合には、監督当局等に報告• 漏えい事案が発生した場合に、事実関係の調査、原因究明、再発防止策の検討等の必要な措置を講じる必要（金融分野GL第11条）※別途、金商法関連法令が改正される予定

日証協保護指針
及び解説の改正箇所＜利用停止・消去等の個人の請求権の拡充：【新設】第18条第３項及びその解説＞• 不正取得等の一部の法違反の場合に加えて、利用する必要がなくなったとき、重大な漏えい等が発生したとき、及び本人の権利又は正当な利益が害されるおそれがある場合にも拡充する＜個人情報等の漏えい報告等：第23条及びその解説＞• 不正アクセス等による漏えい、一定数以上の漏えい等が発生した場合には、監督当局及び本協会に報告することとする• 漏えい事案が発生した場合に、事実関係の調査、原因究明、再発防止策の検討等の必要な措置を講じることとする※金商法関連法令の改正に伴い、追加で修正する予定© Japan Securities Dealers Association. All Rights Reserved.

主な改正箇所（個人情報の越境移転について①）
外国にある第三者に個人データを提供できる要件
本人の同意基準に適合する体制を整備した事業者

我が国と同等の水準国（EU）

外国における
事業者

移転先を特定できない場合

移転先を特定できる場合

同意取得時

同意取得時
改
正
後
の
取
扱
い

？

• 外国の名称• 適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報• 当該第三者が講ずる個人情報の保護のための措置に関する情報• 個人データの提供先の第三者• 提供先の第三者における利用目的• 第三者に提供される個人データの項目• 提供先の外国が特定できない旨及び具体的な理由• 提供先の外国の名称に代わる本人に参考となるべき情報（候補となる外国の名称）• 特定できたときには本人が事後的に国名や制度等に係る情報提供を請求できること

を情報提供

を情報提供

同意
事後的に特定できた場合

同意

国名、制度等の

情報請求

情報提供

© Japan Securities Dealers Association. All Rights Reserved.

主な改正箇所（個人情報の越境移転について②）
外国にある第三者に個人データを提供できる要件
本人の同意基準に適合する体制を整備した事業者

我が国と同等の水準国（EU）

外国における
事業者

移転先の事業者の取扱い状況の定期的な確認

外国における
移転先事業者

改正
後の取
扱 本人の求めに応じて関連情報を提供
い

情報請求

情報提供
※自社HPにて相当措置に関する情報請求できる旨等を掲載

移転後
提供時点
 第三者による相当措置の実施に影響を及ぼすおそれの  相当措置の実施に支障が生じた
とき、必要な措置を講ずるある当該外国の制度の有無・内容及び当該措置があ
相当措置の継続的な実施がる場合、第三者による相当措置の実施の確保の可否困難になったとき、第三者へのを確認
提供を停止する
提供後
 第三者による相当措置の実施状況、当該相当措置の実施に影響を及ぼすおそれのある外国制度の有無及びその内容を定期的に（年に1回程度又はそれ以上に）確認• 基準適合体制を整備する方法• 実施する相当措置の概要• 相当措置の実施状況、当該相当措置の実施に影響を及ぼすおそれのある制度の有無、
その内容の確認に関して、その方法及び頻度• 所在する外国の名称• 相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要• 相当措置の実施に関する支障の有無及びその概要• 相当措置の実施に支障が生じた場合において、当該支障の解消・改善のために提供元の個人情報取扱事業者が講ずる措置の概要© Japan Securities Dealers Association. All Rights Reserved.

改正個人情報保護法対応のスケジュールについて
2021年度
12月

保護委員会
及び
金融庁

日証協

1月

2022年度2月

金融分野ＧＬ
意見募集(12/22～1/21)

3月
金融分野ＧＬ改正（見込み）金商法関連法令改正（1月下旬パブコメ予定～3月中旬公布予定（見込み））

保護指針・解説
意見募集（1/18～2/17）

保護指針・
解説改正
（3/15予定）

社内規程参考モデル等の改訂

協会員

4月～

個
（人
4情
月報
1保
日護
予法
定等
）施
行

各社社内規程等の改正※金融分野ガイドラインのパブリックコメント結果等を踏まえ、個人情報保護指針の内容を修正する可能性がある。

© Japan Securities Dealers Association. All Rights Reserved.

【参考】協会員が必要となる対応の一例
以下の事項は一例であり、各社の業務内容等により、必要となる対応を検討する必要がある。
個人情報の越境移転に関する対応
 外国証券約款による同意取得時の顧客への説明資料の用意
 移転先（移転候補先の）外国の名称等の情報提供

安全管理措置に関する対応
 安全管理措置に追加された「物理的安全管理措置」、「外的環境の把握」について対応
 保有個人データに講じた安全管理措置の公表（本人の知り得る状態に置く）

データの開示 保有個人データの開示方法（書面・電磁的提供）について、本人の指示に基づく開示への対応
 個人データの第三者提供記録に係る開示請求への対応

利用停止・消去等の個人の請求権の拡充
 現行の条件に加えて、①利用する必要がなくなったとき②重大な漏えい等が発生したとき③本人の権利または正当な利益が害されるおそれがある場合の利用停止・消去の要請への対応© Japan Securities Dealers Association. All Rights Reserved.

資料２－２
個人情報保護法等の改正に伴う「個人情報の保護に関する指針」等の一部改正について（案）2022 年 １ 月 18 日
日 本 証 券 業 協 会
Ⅰ．改正の趣旨
本協会においては、認定個人情報保護団体として「個人情報の保護に関する指針」（以下「保護指針」という。）を作成しており、協会員は、金融商品取引法、個人情報の保護に関する法律（以下「個人情報保護法」という。）及び保護指針等において、個人情報の適正な取扱いを確保するため、情報管理態勢の構築が求められているところである。
「協会員の情報管理態勢に関するワーキング・グループ」においては、令和２年改正個人情報保護法等、個人情報の保護に関する法
律についての関連ガイドライン1及び金融分野における個人情報保護に関するガイドライン等が全面施行されることを受け、保護指針及び「『個人情報の保護に関する指針』に関する解説」（以下「解説」という。）の改正案を検討してきたところである。
今般、同ワーキング・グループにおける検討結果を踏まえ、保護指針及び解説の一部改正を行うこととする。
Ⅱ．改正の骨子（１）定義６か月以内に消去する短期保存データについて保有個人データに含めるよう保有個人データの定義を修正し、仮名加工情報、個人関連情報、物理的安全管理措置及び外的環境の把握を新たに定義する。
（保護指針第２条、第 11 条及び解説）

1

個人情報の保護に関する法律についてのガイドライン （通則編）、同ガイドライン（外国にある第三者への提供編）、同ガイドライン（第三者提供時の確認・記録義務編）、同ガイドライン（仮名加工・匿名加工情報編）及び同ガイドライン（認定個人情報保護団体編）をいう。
1

（２）不適正利用の禁止
違法または不当な行為を助長又は誘発するおそれがある方法による個人情報の利用を禁止する。
（保護指針第 7 条の 2 及び解説）（３）第三者提供の制限
第三者への個人データの提供にあたって本人の同意が不要な場合として、当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるときを追加する。
第三者に提供される個人データについて、オプトアウト規定により提供できるデータの範囲を限定し、不正取得された個人デー
タ及びオプトアウト規定により提供された個人データを対象外とする。
オプトアウトを行う際に公表等する情報として、「協会員の名称、住所及び代表者の氏名」、「第三者に提供される個人データの取得方法」、「第三者に提供される個人データの更新方法」及び「当該届出に係る更新された個人情報の第三者提供の開始予定日」
を追加する。
（保護指針第 14 条及び解説）（４）外国にある第三者への提供の制限
外国にある第三者への提供について、本人の同意を得ようとする場合にあらかじめ本人に提供しなければならない情報及び本人の同意を得ようとするにあたり提供先の第三者が所在する外国を特定できない場合に本人に提供すべき情報を規定する。
本人の求めに応じて提供しなければならない情報について、情報提供の求めが可能である旨を、同意を得る際に本人に認識させるとともに、公表しなければならないこととする。
相当措置（個人情報取扱事業者が講ずべきこととされている措置に相当する措置をいう。以下同じ。）を継続的に講ずるために必要な措置として個人情報の保護に関する法律施行規則で定める基準に適合する体制を整備している第三者に対して個人データ
2

を提供する場合における当該第三者について事前に確認すべき事項を定めるとともに、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずること及び本人の求めに応じて必要な措置に関する情報を本人に提供しなければならないことを追加する。
（保護指針第 14 条の２及び解説）（５）個人関連情報の第三者提供の制限
第三者が個人関連情報を個人データとして取得することが想定される場合の確認義務について規定するとともに、協会員が個人関連取扱事業者から個人関連情報の提供を受けて個人データとして取得するに当たり、本人の同意を得ようとする場合に本人に提供しなければならない情報について規定する。
また、個人情報に適用する相当措置に関する規定及び記録義務規定を個人関連情報に関する規定及び記録義務規定に準用することとする。
（保護指針第 14 条の５及び解説）（６）開示
本人の請求に応じて個人データの開示をする場合、本人が請求した方法（電磁的記録の提供による方法、書面の交付による方法
等）により開示することとする。
本人が請求した方法による開示が困難である場合、その旨を本人に通知したうえ、書面の交付による方法により開示を行うこととする。
本人が識別される個人データに係る第三者提供記録についても、開示を請求できることとし、開示しないと決定した場合、当該第三者記録が存在しない場合及び本人が請求した方法による開示が困難である場合には、本人にその旨を通知することとする。
（保護指針第 16 条及び解説）
3

（７）利用停止等
本人が識別される保有個人データを利用する必要がなくなった場合、本人の権利又は正当な利益が害されるおそれがあるという理由によって本人から保有個人データの利用停止等又は第三者への提供停止を請求された場合、その請求に理由があることが判明したときには、必要な限度で停止を行わなければならないこととする。
（保護指針第 18 条及び解説）（８）個人情報等の漏えい等事案への対応
個人情報等の漏えい等事案への対応について、当該事態の内容等に応じて必要な措置を講じなければならないことを追加する。
（保護指針第 23 条及び解説）（９）仮名加工情報等についての適用関係
仮名加工情報についての保護指針の適用に関する事項を追加する。
（保護指針第 23 条の２及び解説）（１０）その他
その他、個人情報保護法等及び各ガイドライン等の改正等を踏まえ、所要の改正を行う。

Ⅲ．施行の時期
この改正は、令和２年改正個人情報保護法等及び各ガイドライン等の全面施行日（2022 年 4 月 1 日施行予定）から施行する。

4

パブリックコメントの募集スケジュール等(１) 募集期間及び提出方法① 募集期間：2022 年１月 18 日（火）から 2022 年２月 17 日（木）17:00 まで（必着）② 提出方法：郵便又は専用フォームにより下記までお寄せください。
郵送の場合：〒103－0027 東京都中央区日本橋 2-11-2
日本証券業協会

自主規制企画部

宛

専用フォームの場合：https://www.jsda.or.jp/contact/app/Contact.php?id=60(２) 意見の記入要領
件名を「個人情報の保護に関する指針等の一部改正に関する意見」とし、次の事項を御記入のうえ、御意見を御提出ください。
① 氏名② 連絡先（電子メールアドレス、電話番号等）③ 会社名（法人又は団体として御意見を提出される場合、その名称を御記入ください。）④ 意見の該当箇所
⑤ 意見
⑥ 理由

○

本件に関するお問い合わせ先
日本証券業協会 自主規制企画部

個人情報監理室（TEL 03-6665-6769）
以5

上資料２－３「個人情報の保護に関する指針」の一部改正について（案）
令和４年１月 18 日
（下線部分変更）
改
（目
第 １ 条

正

案

現

的）

（目

この指針は、個人情報の保護に関する法律（以下「保護法」とい 第 １ 条

行

的）
この指針は、個人情報の保護に関する法律（以下「保護法」

う。）、個人情報の保護に関する法律施行令（以下「施行令」という。）
、個

という。）
、個人情報の保護に関する法律施行令（以下「施行令」とい

人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則

う。）、個人情報の保護に関する法律施行規則（平成 28 年個人情報保第３号。以下「施行規則」という。
）、個人情報の保護に関する基本方針（平護委員会規則第３号。以下「施行規則」という。）、個人情報の保護に

成 16 年４月２日閣議決定。
）、個人情報の保護に関する法律についてのガ関する基本方針（平成 16 年４月２日閣議決定。）、個人情報の保護に

イドライン（通則編）（平成 28 年個人情報保護委員会告示第６号）、同ガ関する法律についてのガイドライン（通則編）（平成 28 年個人情報保イドライン（外国にある第三者への提供編）（平成 28 年個人情報保護委員

護委員会告示第６号）、同ガイドライン（外国にある第三者への提供

会告示第７号）、同ガイドライン（第三者提供時の確認・記録義務編）（平編）（平成 28 年個人情報保護委員会告示第７号）、同ガイドライン（第成 28 年個人情報保護委員会告示第８号）、同ガイドライン（仮名加工情報・三者提供時の確認・記録義務編）（平成 28 年個人情報保護委員会告示

匿名加工情報編）（平成 28 年個人情報保護委員会告示第９号）及び同ガイ

第８号）及び同ガイドライン（匿名加工情報編）（平成 28 年個人情報

ドライン（認定個人情報保護団体編）（令和３年個人情報保護委員会告示

保護委員会告示第９号）、金融分野における個人情報保護に関するガ第７号）並びに、金融分野における個人情報保護に関するガイドライン（平イドライン（平成 29 年個人情報保護委員会・金融庁告示第１号）及成 29 年個人情報保護委員会・金融庁告示第１号）及び金融分野におけるび金融分野における個人情報保護に関するガイドラインの安全管理

個人情報保護に関するガイドラインの安全管理措置等についての実務指措置等についての実務指針等（以下「個人情報の保護に関する法令等」

針等（以下「個人情報の保護に関する法令等」という。）を踏まえ、会員という。）を踏まえ、会員の定款第３条第８号に掲げる有価証券の売の定款第３条第８号に掲げる有価証券の売買その他の取引等に係る業務

買その他の取引等に係る業務及び当該業務に付随する業務、特定業務及び当該業務に付随する業務、特定業務会員が行う定款第５条第２号イ、会員が行う定款第５条第２号イ、ロ又はハに掲げる業務並びに特別会

ロ又はハに掲げる業務並びに特別会員の定款第５条第３号に規定する登員の定款第５条第３号に規定する登録金融機関業務（以下「協会員の録金融機関業務（以下「協会員の証券業務等」という。）における個人情

証券業務等」という。）における個人情報の適正な取扱いの確保のた報の適正な取扱いの確保のために、個人情報に係る利用目的の特定、安全

めに、個人情報に係る利用目的の特定、安全管理のための措置その他

1

改

正

案

現

行

管理のための措置その他の事項を定めるとともに、協会員が講ずべき具体の事項を定めるとともに、協会員が講ずべき具体的措置等を定めるも的措置等を定めるものである。

のである。

２

協会員は、個人情報の漏えい、滅失又は毀損（以下「漏えい等」という。） ２

協会員は、個人情報の漏えい、不正流出等を防止等するため、個人等を防止等するため、個人情報の保護に関する法令等並びに関係法令及び情報の保護に関する法令等並びに関係法令及びガイドライン等に従

ガイドライン等に従い、個人情報の適正な管理体制を整備する必要があい、個人情報の適正な管理体制を整備する必要がある。

る。
（定

義）

（定

義）

第 ２ 条 この指針において、次の各号に掲げる用語の定義は、当該各号に 第 ２ 条

（

同

左 ）

１・１の２

（

省

略 ）

２

（

同

左 ）

定めるところによる。
１・１の２
２

（

現行どおり

）

個人情報を含む情報の集合物であって、次に掲げるものをいう。ただし、利用方法からみて個人の権利利益を害するおそれが少ないものを除く。
イ

特定の個人情報をコンピュータを用いて検索することができる

イ 特定の個人情報をコンピューターを用いて検索することがでように体系的に構成したものロ
３
４

きるように体系的に構成したもの（ 現行どおり ）（ロ

現行どおり ）

保有個人データ

（ 省

略

）

３

（

省

略 ）

４

（

同

左 ）

（

省

略 ）

協会員が、本人又はその代理人から求められる開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止のすべての権限を有する個人データであって、次に掲げるもの以外のものをいう。
イ～ニ
５・６

（

現行どおり ）

イ～ニ（削

ホ ６か月以内に消去するもの（

現行どおり ）

る ）

５・６
2

（

省

略 ）

改
７

正

案

現

機微（センシティブ）情報行

７ 機微（センシティブ）情報

金融分野において、要配慮個人情報並びに労働組合への加盟、門地、金融分野において、要配慮個人情報並びに労働組合への加盟、門本籍地、保健医療及び性生活（これらのうち要配慮個人情報に該当する地、本籍地、保健医療及び性生活（これらのうち要配慮個人情報にものを除く。）に関する情報（本人、国の機関、地方公共団体、学術研

該当するものを除く。）に関する情報（本人、国の機関、地方公共究機関等、保護法第57条第１項各号若しくは施行規則第６条各号に掲げ団体、保護法第76条第１項各号若しくは施行規則第６条各号に掲げる者により公開されているもの、又は本人を目視し、若しくは撮影するるものにより公開されているもの、又は本人を目視し、若しくは撮ことにより取得するその外形上明らかなものを除く。）のことをいう。

影することにより取得するその外形上明らかなものを除く。）のこ
とをいう。

８

仮名加工情報（ 新設）

個人情報の区分に応じて定められた措置を講じて他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報をいう。
９

匿名加工情報８ 匿名加工情報

個人情報の区分に応じて定められた措置を講じて特定の個人を識別

個人情報を個人情報の区分に応じて定められた措置を講じて特することができないように個人情報を加工して得られる個人に関する定の個人を識別することができないように加工して得られる個人情報であり、当該個人情報を復元して特定の個人を再識別することがでに関する情報であり、当該個人情報を復元して特定の個人を再識別きないようにしたものをいう。

することができないようにしたものをいう。

10

個人関連情報

（ 新

設

）

（ 新

設

）

生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。
11

個人関連情報データベース
個人関連情報を含む情報の集合物であって、次に掲げるものをいう。
イ

特定の個人関連情報をコンピュータを用いて検索することができるように体系的に構成したもの

ロ

イに掲げるもののほか、個人関連情報を一定の規則に従って整理す
3

改

正

案

現

行

ることにより特定の個人関連情報を容易に検索することができるよ
うに体系的に構成したものであって、目次、索引、符号等により容易に検索可能な状態に置かれているもの（利用目的の特定）（利用目的の特定）

第 ３ 条

（

現行どおり ）

第 ３ 条

（

省

略

）

２

（

現行どおり

２

（

省

略

）

３

）

協会員は、利用目的を変更する場合には、保護法第17条第２項に定める ３ 協会員は、利用目的を変更する場合には、保護法第15条第２項に定「変更前の利用目的と関連性を有すると合理的に認められる範囲」を超えめる「変更前の利用目的と関連性を有すると合理的に認められる範てはならない。

囲」を超えてはならない。

４

（

現行どおり

）

４

（

省

略

）

（「同意」の形式）（「同意」の形式）

第 ５ 条 協会員は、次条、第14条、第14条の２及び第14条の５（協会員が 第 ５ 条

協会員は、次条、第14条及び第14条の２に定める本人の同意

個人関連情報取扱事業者から同条の規定による個人関連情報の提供を受を得る場合には、原則として、書面（電磁的記録を含む。以下同じ。）

けて個人データとして取得する場合に限る。）に定める本人の同意を得るによることとする。

場合には、原則として、書面（電磁的記録を含む。第16条を除き、以下同じ。）によることとする。

なお、本人が未成年者、成年被後見人、被保佐人及び被補助人であって、個人情報の取扱いに関して同意したことによって生ずる結果に

なお、本人が未成年者、成年被後見人、被保佐人及び被補助人であって、個人情報の取扱いに関して同意したことによって生ずる結果について判ついて判断できる能力を有していない場合などは、親権者や法定代理人等から同意を得る必要がある。

断できる能力を有していない場合などは、親権者や法定代理人等から同意を得る必要がある。
（利用目的による制限）
第 ６ 条（利用目的による制限）（ 現行どおり ）

第 ６ 条
4

（

省

略

）

改
２

正

案

現

（ 現行どおり ）３

前２項は、次に掲げる場合については適用しない。

１～４
５

（

現行どおり

）

行

２

（

省

略

）

３

（

同

左

）

（

省

略 ）

１～４

学術研究機関等（大学その他の学術研究を目的とする機関若しくは団

（ 新

設

）

体又はそれらに属する者をいう。以下同じ。）に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究の用に供する目的（以下「学術研究目的」という。）で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）。
（機微（センシティブ）情報の取扱いについて）
第 ７ 条（機微（センシティブ）情報について）

協会員は、機微（センシティブ）情報については、次に掲げる場 第 ７ 条

（

同

左

）

（

省

略 ）

合を除くほか、取得、利用又は第三者への提供を行わないものとする。
１～４
５

（

現行どおり

）

１～４

保護法第20条第２項第６号に掲げる場合に機微（センシティブ）情報

（ 新

設

）

（

省

略 ）

（ 省

略 ）

を取得する場合、保護法第18条第３項第６号に掲げる場合に機微（センシティブ）情報を利用する場合、又は保護法第27条第１項第７号に掲げる場合に機微（センシティブ）情報を第三者提供する場合
６～９
２・３
４

（

現行どおり

）

（

現行どおり

）

５～８
２・３

協会員は、機微（センシティブ）情報を第三者に提供するに当たっては、 ４
保護法第27条第２項（オプトアウト）の規定を適用しないこととする。

協会員は、機微（センシティブ）情報を第三者に提供するに当たっては、保護法第23条第２項（オプトアウト）の規定を適用しないこと
とする。

5

改

正

案

現

行

協会員は、違法又は不当な行為を助長し、又は誘発するおそれ（ 新設（不適正な利用の禁止）
第７条の２

）

がある方法により個人情報を利用してはならない。
（安全管理措置）
第 11 条（安全管理措置）協会員は、その取り扱う個人データの漏えい等の防止その他の個 第 11 条

協会員は、その取り扱う個人データの漏えい、滅失又は毀損

人データの安全管理のため、安全管理に係る基本方針・取扱規程等の整備の防止その他の個人データの安全管理のため、安全管理に係る基本方及び安全管理措置に係る実施体制の整備等の必要かつ適切な措置を講じ

針・取扱規程等の整備及び安全管理措置に係る実施体制の整備等の必なければならない。また、必要かつ適切な措置は、個人データの取得・利

要かつ適切な措置を講じなければならない。また、必要かつ適切な措用・保管等の各段階に応じた「組織的安全管理措置」、「人的安全管理措置」、

置は、個人データの取得・利用・保管等の各段階に応じた「組織的安「物理的安全管理措置」、「技術的安全管理措置」及び「外的環境の把握」

全管理措置」、「人的安全管理措置」及び「技術的安全管理措置」を含を含むものでなければならない。当該措置は、個人データが漏えい等をしむものでなければならない。当該措置は、個人データが漏えい、滅失た場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性又は毀損等をした場合に本人が被る権利利益の侵害の大きさを考慮

質、個人データの取扱状況（取り扱う個人のデータの性質及び量を含む）

し、事業の規模及び性質、個人データの取扱状況（取り扱う個人のデ並びに個人データを記録した媒体の性質等に起因するリスクに応じたもータの性質及び量を含む）並びに個人データを記録した媒体の性質等のとする。なお、本条における用語の定義は、次のとおりである。

に起因するリスクに応じたものとする。なお、本条における用語の定義は、次のとおりである。

１～２
３

（

現行どおり

）

１～２

物理的安全管理措置

（

省

略 ）

（

新

設 ）

（

省

略 ）

（

新

設

個人データを取り扱う区域の管理、機器及び電子媒体等の盗難の防止、電子媒体等を持ち運ぶ場合の漏えい等の防止並びに機器及び電子媒体等の廃棄等の個人データの安全管理に関する物理的な措置をいう。
４

技術的安全管理措置

３（

５

現行どおり ）

外的環境の把握6

技術的安全管理措置
）

改

正

案

現

行

外国において個人データを取り扱う場合に、当該外国の個人情報の保護に関する制度等を把握することをいう。
２

協会員は、個人データの安全管理に係る基本方針・取扱規程等の整備と ２ 協会員は、個人データの安全管理に係る基本方針・取扱規程等の整して、以下の「組織的安全管理措置」を講じなければならない。

備として、以下の「組織的安全管理措置」を講じなければならない。

１

１

（ 省

略 ）

２

（

同

左 ）

（ 省

略 ）

（

現行どおり

）

２ 各管理段階における安全管理に係る取扱規程
イ～ホ
ヘ

（

現行どおり ）

イ～ホ

漏えい等事案（漏えい等又はそのおそれのある事案をいう。以下同ヘ 漏えい事案等への対応の段階における取扱規程

じ。）への対応の段階における取扱規程３

協会員は、個人データの安全管理に係る実施体制の整備として、以下の ３ 協会員は、個人データの安全管理に係る実施体制の整備として、以「組織的安全管理措置」、「人的安全管理措置」、「物理的安全管理措置」及下の「組織的安全管理措置」、「人的安全管理措置」及び「技術的安全

び「技術的安全管理措置」を講じなければならない。

管理措置」を講じなければならない。

１

１ 組織的安全管理措置

組織的安全管理措置

イ～ホ
ヘ

ロ

機器及び電子媒体等の盗難等の防止

ハ

電子媒体等を持ち運ぶ場合の漏えい等の防止ニ

個人データの削除及び機器、電子媒体等の廃棄
技術的安全管理措置

イ～ハ
ニ

２

物理的安全管理措置
個人データの取扱区域等の管理

省

略 ）

（ 省

略

）

（

新

設 ）

（

省

略 ）

３ 技術的安全管理措置（

現行どおり ）

イ～ハ

個人データの漏えい等防止策

ホ～ト（

ヘ 漏えい事案等に対応する体制の整備（ 現行どおり ）

イ

４

イ～ホ

漏えい等事案に対応する体制の整備

２
３（ 現行どおり ）（ニ 個人データの漏えい・毀損等防止策

現行どおり ）

ホ～ト
7

（

省

略 ）

改

正

案

現

（役職員の監督）
第 12 条行（役職員の監督）

協会員は、その役職員に個人データを取り扱わせるに当たって第 12 条協会員は、その役職員に個人データを取り扱わせるに当たっは、当該個人データの安全管理が図られるよう、適切な内部管理体制を構ては、当該個人データの安全管理が図られるよう、適切な内部管理体

築し、その役職員に対する必要かつ適切な監督を行わなければならない。

制を構築し、その役職員に対する必要かつ適切な監督を行わなければ

当該監督は、個人データが漏えい等をした場合に本人が被る権利利益の侵ならない。当該監督は、個人データが漏えい、滅失又は毀損等をした

害の大きさを考慮し、事業の性質及び個人データの取扱状況等に起因する

場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及びリスクに応じたものとする。

個人データの取扱状況等に起因するリスクに応じたものとする。

２

（

現行どおり

）

２

（委託先の監督）
第 13 条（省略）（委託先の監督）

協会員は、個人データの取扱いの全部又は一部を委託（契約の形 第 13 条

協会員は、個人データの取扱いの全部又は一部を委託（契約

態や種類を問わず、協会員が他の者に個人データの取扱いの全部又は一部の形態や種類を問わず、協会員が他の者に個人データの取扱いの全部を行わせることを内容とする契約の一切を含む。
）する場合は、その取扱又は一部を行わせることを内容とする契約の一切を含む。）する場合

いを委託された個人データの安全管理が図られるよう、委託を受けた者には、その取扱いを委託された個人データの安全管理が図られるよう、対する必要かつ適切な監督を行わなければならない。当該監督は、個人デ委託を受けた者に対する必要かつ適切な監督を行わなければならな

ータが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮い。当該監督は、個人データが漏えい、滅失又は毀損等をした場合にし、委託する事業の規模及び性質並びに個人データの取扱状況等に起因す本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及るリスクに応じたものとする。

び性質並びに個人データの取扱状況等に起因するリスクに応じたも
のとする。

２

協会員は、個人データを適正に取り扱っていると認められる者を選定し ２ 協会員は、個人データを適正に取り扱っていると認められる者を選委託するとともに、取扱いを委託した個人データの安全管理措置が図られ定し委託するとともに、取扱いを委託した個人データの安全管理措置

るよう、個人データの安全管理のための措置を委託先においても確保しなが図られるよう、個人データの安全管理のための措置を委託先においければならない（二段階以上の委託が行われた場合には、委託先の事業者ても確保しなければならない（二段階以上の委託が行われた場合にが再委託先等の事業者に対して十分な監督を行っているかについても監は、委託先の事業者が再委託先等の事業者に対して十分な監督を行っ

督を行うものとする。
）。なお、具体的には、例えば以下の対応等を行わなているかについても監督を行うものとする。）。なお、具体的には、例

8

改

正

案

現

行

ければならない。

えば以下の対応等を行わなければならない。

１

１

個人データの安全管理のため、委託先における組織体制の整備及び安個人データの安全管理のため、委託先における組織体制の整備及全管理に係る基本方針・取扱規程の策定等の内容を委託先選定の基準にび安全管理に係る基本方針・取扱規程の策定等の内容を委託先選定

定め、当該基準を定期的に見直すこと。

の基準に定め、当該基準を定期的に見直すこと。

なお、委託先の選定に当たっては、必要に応じて個人データを取り扱

なお、委託先の選定に当たっては、必要に応じて個人データを取う場所に赴く方法（テレビ会議システム（映像と音声の送受信により相り扱う場所に赴く又はこれに代わる合理的な方法による確認を行

手の状態を相互に認識できる方法をいう。）を利用する方法を含む。以った上で、個人データ管理責任者等が適切に評価することが望まし下同じ。）又はこれに代わる合理的な方法による確認を行った上で、個い。

人データ管理責任者等が適切に評価することが望ましい。
２

委託者の監督・監査・報告徴収に関する権限、委託先における個人デ２

委託者の監督・監査・報告徴収に関する権限、委託先における個ータの漏えい・盗用・改ざん及び目的外利用の禁止、再委託に関する条

人データの漏えい・盗用・改ざん及び目的外利用の禁止、再委託に件及び漏えい等事案が発生した場合の委託先の責任を内容とする安全関する条件及び漏えい等が発生した場合の委託先の責任を内容と管理措置を委託契約に盛り込むとともに、定期的に監査を行う等によする安全管理措置を委託契約に盛り込むとともに、定期的に監査をり、定期的又は随時に当該委託契約に定める安全管理措置の遵守状況を行う等により、定期的又は随時に当該委託契約に定める安全管理措

確認し、当該安全管理措置を見直すこと。

置の遵守状況を確認し、当該安全管理措置を見直すこと。

なお、委託契約に定める安全管理措置等の遵守状況については、個人

なお、委託契約に定める安全管理措置等の遵守状況については、

データ管理責任者等が、当該安全管理措置等の見直しを検討することを

個人データ管理責任者等が、当該安全管理措置等の見直しを検討す

含め、適切に評価することが望ましい。

ることを含め、適切に評価することが望ましい。

委託先が再委託を行おうとする場合は、委託元は委託を行う場合と同委託先が再委託を行おうとする場合は、委託元は委託を行う場合

様、再委託の相手方、再委託する業務内容及び再委託先の個人データのと同様、再委託の相手方、再委託する業務内容及び再委託先の個人取扱方法等について、委託先に事前報告又は承認手続きを求め、かつ直

データの取扱方法等について、委託先に事前報告又は承認手続きを接又は委託先を通じて定期的に監査を実施する等により、委託先が再委求める、直接又は委託先を通じて定期的に監査を実施する等によ

託先に対して本条の委託先の監督を適切に果たすこと及び再委託先がり、委託先が再委託先に対して本条の委託先の監督を適切に果たす保護法第23条に基づく安全管理措置を講ずることを十分に確認するここと、再委託先が保護法第20条に基づく安全管理措置を講ずることとが望ましい。再委託先が再々委託を行う場合以降も、再委託を行う場を十分に確認することが望ましい。再委託先が再々委託を行う場合

9

改

正

案

現

合と同様とする。

以降も、再委託を行う場合と同様とする。

（第三者提供の制限）
第 14 条行（第三者提供の制限）

協会員は、個人データの第三者（個人データを提供しようとする 第 14 条

協会員は、個人データの第三者（個人データを提供しようと協会員及び当該個人データに係る本人のいずれに該当しないものをいい、する協会員及び当該個人データに係る本人のいずれに該当しないも自然人、法人その他の団体を問わない。第14条の２から第14条の６を除き、のをいい、自然人、法人その他の団体を問わない。第14条の２から第以下同じ。）への提供にあたり、あらかじめ本人の同意を得ないで提供し14条の５を除き、以下同じ。）への提供にあたり、あらかじめ本人のてはならない。同意の取得にあたっては、事業の規模及び性質、個人デー

同意を得ないで提供してはならない。同意の取得にあたっては、事業

タの取扱状況（取り扱う個人データの性質及び量を含む。）等に応じ、本の規模及び性質、個人データの取扱状況（取り扱う個人データの性質

人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範及び量を含む。）等に応じ、本人が同意に係る判断を行うために必要

囲の内容を明確に示さなければならない。

と考えられる合理的かつ適切な範囲の内容を明確に示さなければな

なお、あらかじめ、個人情報を第三者に提供することを想定している場
合には、利用目的において、その旨を特定しなければならない。

らない。
なお、あらかじめ、個人情報を第三者に提供することを想定していただし、次に掲げる場合には、第三者への個人データの提供にあたって
本人の同意は不要である。

る場合には、利用目的において、その旨を特定しなければならない。
ただし、次に掲げる場合には、第三者への個人データの提供にあたって本人の同意は不要である。

１～４
５

（

現行どおり ）

１～４

当該第三者が学術研究機関等である場合であって、当該第三者が当該

（

省

略 ）

（

新

設 ）

個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
２

協会員は、第三者に提供される個人データについて、本人の求めに応じ ２ 協会員は、第三者に提供される個人データ（機微（センシティブ）て当該本人が識別される個人データの第三者への提供を停止することと情報を除く。以下この項において同じ。）について、本人の求めに応している場合であって、次に掲げる事項について、あらかじめ、本人に通じて当該本人が識別される個人データの第三者への提供を停止する

知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員

こととしている場合であって、次に掲げる事項について、あらかじめ、

10

改

正

案

現

行

会に届け出たときは、前項にかかわらず、当該個人データを第三者に提供本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人することができる。

情報保護委員会に届け出たときは、前項にかかわらず、当該個人デー

また、協会員は、当該届出の内容を自らもインターネットの利用その他の適切な方法により公表するものとする。

タを第三者に提供することができる。
また、協会員は、当該届出の内容を自らもインターネットの利用そ

なお、機微（センシティブ）情報や偽りその他不正取得された個人デー
タをオプトアウトにより第三者に提供することや、オプトアウトにより提供を受けた個人データ（その全部又は一部を複製し、又は加工したものをの他の適切な方法により公表するものとする。
なお、機微（センシティブ）情報は、オプトアウトにより第三者に提供することはできない。

含む。）をオプトアウトにより再提供することはできない。
１

協会員の名称、住所及び代表者の氏名

２・３
４（ 現行どおり ）１・２

第三者に提供される個人データの取得の方法

５～７（ 現行どおり ）

３～５

（

新

設 ）

（

省

略 ）

（

新

設 ）

（

省

略 ）

８

第三者に提供される個人データの更新の方法

（

新

設 ）

９

当該届出に係る個人データの更新の第三者への提供を開始する予定

（

新

設 ）

日
３

協会員は、前項第１号に掲げる事項に変更があったとき又は同項の規定 ３ 協会員は、前項第２号、第３号又は第５号に掲げる事項を変更するによる個人データの提供をやめたときは遅滞なく、同項第３号から第５号

場合は、変更する内容について、あらかじめ本人に通知し、又は本人まで、第７号又は第８号に掲げる事項を変更しようとするときはあらかじ

が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出め、その旨について、本人に通知し、又は本人が容易に知り得る状態に置なければならない。

くとともに、個人情報保護委員会に届け出なければならない。

なお、協会員は、本項に従い、必要な事項を個人情報保護委員会に

なお、協会員は、本項に従い、必要な事項を個人情報保護委員会に届け届け出たときは、その内容を自らも公表するものとする。

出たときは、その内容を自らも公表するものとする。
４

次に掲げる場合において、当該個人データの提供を受ける者は、第三者 ４ 次に掲げる場合において、当該個人データの提供を受ける者は、第に該当しない。

１・２

三者に該当しない。
（

現行どおり

）

１・２
11

（

省

略 ）

改
３

案

現

特定の者との間で共同して利用される個人データが当該特定の者に

３

行

特定の者との間で共同して利用される個人データが当該特定の提供される場合であって、その旨並びに共同して利用される個人データ者に提供される場合であって、その旨並びに共同して利用される個の項目、共同して利用する者の範囲、利用する者の利用目的並びに当該人データの項目、共同して利用する者の範囲、利用する者の利用目

個人データの管理について責任を有する者（共同して利用する者におい的及び当該個人データの管理について責任を有する者（共同して利て、第一次的に苦情を受け付け、その処理を行うとともに、開示、訂正用する者において、第一次的に苦情を受け付け、その処理を行うと等及び利用停止等の決定を行い、安全管理に責任を有する者をいう。第ともに、開示、訂正等及び利用停止等の決定を行い、安全管理に責６項において「管理責任者」という。）の氏名又は名称及び住所並びに任を有する者をいう。第６項において「管理責任者」という。）の法人にあっては、その代表者の氏名について、あらかじめ、本人に通知

氏名又は名称について、あらかじめ、本人に通知し、又は本人が容し、又は本人が容易に知り得る状態に置いているとき。

易に知り得る状態に置いているとき。

５

（

６

正

現行どおり

）

５

（ 省

略 ）

協会員は、第４項第３号に規定する管理責任者の氏名、名称若しくは住 ６ 協会員は、第４項第３号に規定する利用者の利用目的又は管理責任所又は法人にあっては、その代表者の氏名に変更があったときは遅滞な者の氏名又は名称を変更する場合は、変更する内容について、あらかく、同号に規定する利用する者の利用目的又は当該管理責任者を変更しよじめ本人に通知し、又は本人が容易に知り得る状態に置かなければなうとするときは、あらかじめ、その旨について、本人に通知し、又は本人らない。

が容易に知り得る状態に置かなければならない。
（外国にある第三者への提供の制限）
第 14 条の２（外国にある第三者への提供の制限）

協会員は、外国（本邦の域外にある国又は地域をいう。以下 第 14 条の２

協会員は、外国（本邦の域外にある国又は地域をいう。

同じ。）（個人の権利利益を保護する上で我が国と同等の水準にあると認め以下同じ。
）（個人の権利利益を保護する上で我が国と同等の水準にあられる個人情報の保護に関する制度を有している国として施行規則で定ると認められる個人情報の保護に関する制度を有している国としてめるものを除く。以下この条、次条及び第14条の５第１項第１項第２号に施行規則で定めるものを除く。以下この条及び次条において同じ。）

おいて同じ。）にある第三者（個人データの取扱いについて個人情報取扱にある第三者（個人データの取扱いについて個人情報取扱事業者が講

事業者が講ずべきこととされている措置に相当する措置（以下「相当措置」

ずべきこととされている措置に相当する措置を継続的に講ずるためという。）を継続的に講ずるために必要なものとして施行規則で定める基に必要なものとして施行規則で定める基準に適合する体制を整備し準に適合する体制を整備している者を除く。以下、この項から第４項までている者を除く。以下、この条において同じ。）に個人データを提供

12

改

正

案

現

行

及び第14条の５第１項第２号において同じ。）に個人データを提供する場する場合には、前条第１項各号に定める場合を除くほか、あらかじめ

合には、前条第１項各号に定める場合を除くほか、あらかじめ外国にある

外国にある第三者への提供を認める旨の本人の同意を得なければな

第三者への提供を認める旨の本人の同意を得なければならない。この場合らない。この場合においては、同条の規定は適用しない。

においては、前条の規定は適用しない。
２

協会員は、前項の規定により本人の同意を得ようとする場合には、あら

（

新

設 ）

（

新

設 ）

（

新

設 ）

かじめ、次に掲げる情報を当該本人に提供しなければならない。ただし、第３号に掲げる情報の提供ができない場合には、その旨及びその理由について情報提供しなければならない。
１

当該外国の名称２

適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報
３

当該第三者が講ずる個人情報の保護のための措置に関する情報

４

個人データの提供先の第三者

５

提供先の第三者における利用目的

６

第三者に提供される個人データの項目

３

前項の規定にかかわらず協会員は、第１項の規定により本人の同意を得ようとする時点において、提供先の第三者が所在する外国を特定できない
場合には、次に掲げる情報を当該本人に提供しなければならない。ただし、第２号に掲げる情報の提供は、当該情報の提供が可能である場合に限る。
１

特定できない旨及びその具体的な理由（提供先が定まる前に本人同意を得る必要性を含む。
）

２

提供先の第三者が所在する外国の名称に代わる本人に参考となるべき情報

４

協会員は前項に規定する場合において、事後的に提供先の第三者が所在する外国が特定できたときには、本人の求めに応じて第２項第１号から３
13

改

正

案

現

行

（

新

設 ）

（

新

設 ）

号までに掲げる情報を本人に提供しなければならない。また、このような情報提供の求めが可能である旨を同意を得る際の書面における記載を通じて本人に認識させるとともに、第24条に定める「個人情報保護宣言」と一体としてインターネットのホームページへの常時掲載又は事務所の窓口等での掲示・備付け等により、公表しなければならない。ただし、本人から情報提供の求めがあった場合であっても、情報提供することにより協会員の業務の適正な実施に著しい支障を及ぼすおそれがある場合等は、情報の全部又は一部について情報提供しないことができる。その場合、協会員は、本人に対し、遅滞なくその旨を通知するとともに、その理由を説明しなければならない。
５

協会員は、個人データを外国にある第三者（第１項に規定する体制を整備している者に限る。以下この項から第７項までにおいて同じ。）に提供する場合には、当該提供の時点で、当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及び内容、当該制度がある場合においては、当該第三者による相当措置の実施の確保の可否を、適切かつ合理的な方法により、確認しなければならない。

６

協会員は前項の規定により、第三者に個人データを提供した場合、当該第三者による相当措置の継続的な実施を確保するために必要な措置として、次の措置を講じなければならない。

１

当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること
２

当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データの当該第三者への提供を停止すること
14

改
７

正

案

協会員は、第５項の規定により第三者に個人データを提供した場合、本

（

現

行

新

設 ）

人の求めを受けたときには、遅滞なく、次に掲げる情報を本人に提供しなければならない。また、このような情報提供の求めが可能である旨を、第24条に定める「個人情報保護宣言」と一体としてインターネットのホーム
ページへの常時掲載又は事務所の窓口等での掲示・備付け等により、公表しなければならない。ただし、情報提供することにより当該協会員の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、その全部又は一部を提供しないことができる。その場合、協会員は、本人に対し、遅滞なくその旨を通知するとともに、その理由を説明しなければならない。
１

外国にある第三者が第１項に規定する体制を整備する方法

２

外国にある第三者が実施する相当措置の概要

３

外国にある第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある制度の有無及びその内容の確認に関して、その方法及び頻度４

当該外国の名称

５

外国にある第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要
６

外国にある第三者による相当措置の実施に関する支障の有無及びその概要
７

外国にある第三者による相当措置の実施に支障が生じた場合において、当該支障の解消・改善のために提供元の協会員が講ずる措置の概要（第三者提供に係る記録の作成等）
第 14 条の３（第三者提供に係る記録の作成等）

協会員は、第三者（保護法第16条第２項各号に掲げる者を除 第 14 条の３く。本条から第14条の５まで同じ。）に個人データを提供した場合には、
15

協会員は、第三者（保護法第２条第５項各号に掲げる者を除く。本条から第14条の５まで同じ。）に個人データを提供した場

改

正

案

現

行

個人データを提供した年月日、当該第三者の氏名又は名称その他の施行規

合には、個人データを提供した年月日、当該第三者の氏名又は名称そ則で定める事項に関する記録を作成しなければならない。

の他の施行規則で定める事項に関する記録を作成しなければならな

ただし、国内にある第三者への提供においては、次の第１号から第７号に該当する場合、記録の作成を要しないものとする。

い。
ただし、国内にある第三者への提供においては、次の第１号から第また、外国にある第三者への提供においては、次の第１号から第４号に７号に該当する場合、記録の作成を要しないものとする。

該当する場合、また、当該第三者が施行規則で定める基準を満たしている

また、外国にある第三者への提供においては、次の第１号から第４ものであって、保護法第27条第５項各号に掲げる場合、記録の作成を要し号に該当する場合、また、当該第三者が施行規則で定める基準を満たないものとする。

しているものであって、保護法第23条第５項各号に掲げる場合、記録の作成を要しないものとする。

１～７

（

現行どおり

）

１～７

（第三者提供を受ける際の確認等）
第 14 条の４（ 省

略 ）（第三者提供を受ける際の確認等）

協会員は、第三者から個人データの提供を受けるに際し、次 第 14 条の４

協会員は、第三者から個人データの提供を受けるに際に掲げる場合を除き、当該第三者の氏名又は名称及び住所並びに法人にあし、次に掲げる場合を除き、当該第三者の氏名又は名称及び住所並びってはその代表者（法人でない団体で代表者又は管理人の定めのあるものに法人にあってはその代表者（法人でない団体で代表者又は管理人のにあってはその代表者又は管理人）の氏名、当該第三者による当該個人デ定めのあるものにあってはその代表者又は管理人）の氏名、当該第三ータの取得の経緯の確認を行い、保護法第30条第３項に定める事項に関す者による当該個人データの取得の経緯の確認を行い、保護法第26条第

る記録を作成しなければならない。

３項に定める事項に関する記録を作成しなければならない。

ただし、実質的に「提供者」による提供ではないものについては、確認義務は適用されない。
１～７

確認・記録義務は適用されない。
（

現行どおり

）

１～７

（個人関連情報の第三者提供の制限）
第 14 条の５

ただし、実質的に「提供者」による提供ではないものについては、協会員は、第三者が個人関連情報（第２条11号に掲げる個人

関連情報データベース等を構成するものに限る。以下この条において同
16

（ 省

略 ）

（ 新

設 ）

改

正

案

現

行

じ。）を個人データとして取得することが想定されるときは、第14条第１項各号に掲げる場合を除くほか、次に掲げる事項について、あらかじめ確
認しないで、当該個人関連情報を当該第三者に提供してはならない。
１

当該第三者が協会員から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていること
２

外国にある第三者への提供にあっては、前号の本人の同意を得ようとする場合において、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報が当該本人に提供されていること
２

協会員は個人関連情報取扱事業者から個人関連情報の提供を受けて個
人データとして取得するに当たり、本人の同意を得ようとする場合（提供元の個人関連情報取扱事業者に同意取得を代行させる場合を含む。）には、次に掲げる情報を本人に提供しなければならない。
１

対象となる個人関連情報の項目

２

個人関連情報の提供を受けて個人データとして取得した後の利用目

的３

第14条の２第６項の規定は、第１項の規定により協会員が個人関連情報を提供する場合について準用する。

４

前条の記録義務の規定は、第１項の規定により協会員が確認する場合について準用する。

（第三者提供時の記録に係る保存期間）
第 14 条の６（第三者提供時の記録に係る保存期間）

第14条の３、第14条の４及び第14条の５に従い作成した記録 第 14 条の５については、当該記録を作成した日から施行規則で定める期間保存しなけ
17

第14条の３及び第14条の４に従い作成した記録については、当該記録を作成した日から施行規則で定める期間保存しなけれ

改

正

案

現

行

ればならない。

ばならない。

（保有個人データに関する事項の公表等）（保有個人データに関する事項の公表等）

第 15 条協会員は、保有個人データに関し、次に掲げる事項について、本 第 15 条

協会員は、保有個人データに関し、次に掲げる事項について、人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）

本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含に置かなければならない。なお、利用目的に第三者提供が含まれる場合にむ。）に置かなければならない。なお、利用目的に第三者提供が含まは、第２号の内容として、その旨を明らかにしなければならない。

れる場合には、第２号の内容として、その旨を明らかにしなければならない。

１

協会員の名称及び住所並びに代表者の氏名

２
３

（

現行どおり

１ 協会員の名称

）

２

（

省

略 ）

次項の規定による求め又は次条第１項（同条第３項において準用する

３ 次項の規定による求め又は次条第１項、第17条第１項若しくは第場合を含む。
）、第 17 条第１項若しくは第 18 条第１項から第３項の規定

18条第１項若しくは第２項の規定による請求に応じる手続（第21条

による請求に応じる手続（第 21 条の規定により手数料の額を定めたとの規定により手数料の額を定めたときは、その手数料の額を含む。
）

きは、その手数料の額を含む。
）
４

保有個人データの安全管理のために講じた措置（本人の知り得る状態

（

新

設 ）

（

省

略 ）

（

省

略 ）

（本人の求めに応じて遅滞なく回答する場合を含む。）に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを
除く。）
５・６

（

２・３
（開
第 16 条

現行どおり ）

４・５

（ 現行どおり ）

２・３

示）

（開

協会員は、本人から、当該本人が識別される保有個人データの開 第 16 条

示）
協会員は、本人から、当該本人が識別される保有個人データ

示（存在しないときにはその旨を知らせることを含む。）の請求を受けたの開示（存在しないときにはその旨を知らせることを含む。）の請求

ときは、本人に対し、電磁的記録の提供による方法、書面の交付による方を受けたときは、本人に対し、書面の交付による方法（開示の請求を

18

改

正

案

現

行

法、その他協会員が定める方法のうち本人が請求した方法（当該方法によ行った者が同意した方法があるときはその方法）により、遅滞なく、る開示に多額の費用を要する場合その他の当該方法による開示が困難で当該保有個人データを開示しなければならない。ただし、開示するこある場合にあっては、書面の交付による方法）により、遅滞なく、当該保とにより次のいずれかに該当する場合は、その全部又は一部を開示し有個人データを開示しなければならない。ただし、開示することにより次ないことができる。

のいずれかに該当する場合は、その全部又は一部を開示しないことができ
る。
１～３
２

（ 現行どおり ）

１～３

（ 省

略 ）

協会員は、前項の規定による請求に係る保有個人データの全部若しくは ２ 協会員は、前項の規定による請求に係る保有個人データの全部又は一部について開示しない旨の決定をしたとき、当該保有個人データが存在

一部について開示しない旨の決定をしたとき又は当該保有個人デー

しないとき、又は本人が請求した方法による開示が困難であるときは、本タが存在しないときは、本人に対し、遅滞なく、その旨を通知しなけ

人に対し、遅滞なく、その旨を通知しなければならない。なお、本人が請ればならない。また、その決定の理由について、根拠とした法の条文求した方法による開示が困難であるときは、その旨を本人に通知したうえ

及び判断の基準となる事実を示して説明することとする。

で、書面の交付による方法により開示を行わなければならない。また、その決定の理由について、根拠とした法の条文及び判断の基準となる事実を示して説明することとする。
３

前２項の規定は当該本人が識別される個人データに係る第14の３及び

（

新

設

）

第14条の４の規定による第三者提供記録（その存否が明らかになることにより公益その他の利益が害されるものとして施行令で定めるものを除く。）について準用する。
（利用停止等）
第 18 条（利用停止等）協会員は、本人から、当該本人が識別される保有個人データが第 第 18 条

協会員は、本人から、当該本人が識別される保有個人データ

６条若しくは第７条の２の規定に違反して取り扱われたものであるといが第６条の規定に違反して取り扱われたものであるという理由又はう理由又は第８条の規定に違反して取得されたという理由によって、当該第８条の規定に違反して取得されたという理由によって、当該保有個

保有個人データの利用の停止又は消去（以下「利用停止等」という。）の人データの利用の停止又は消去（以下「利用停止等」という。）の請

19

改

正

案

現

行

求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データ

は、違反を是正するために必要な限度で、遅滞なく、当該保有個人デの利用停止等を行わなければならない。ただし、当該保有個人データの利ータの利用停止等を行わなければならない。ただし、当該保有個人デ用停止等に多額の費用を要する場合その他の利用停止等を行うことが困ータの利用停止等に多額の費用を要する場合その他の利用停止等を難な場合であって、本人の権利利益を保護するため必要なこれに代わるべ行うことが困難な場合であって、本人の権利利益を保護するため必要き措置をとるときは、この限りでない。

なこれに代わるべき措置をとるときは、この限りでない。

２

請求を受けた場合であって、その請求に理由があることが判明したとき

３（ 現行どおり ）２

協会員は、本人から、当該本人が識別される保有個人データを当該協会

（

省

略 ）

（

新

設 ）

員が利用する必要がなくなったという理由、当該本人が識別される保有個人データに係る第23条第１項に規定する漏えい等の事態が生じたという理由その他当該本人が識別される保有個人データの取扱いにより当該本
人の権利又は正当な利益が害されるおそれがあるという理由によって当該保有個人データの利用停止等又は第三者への提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、本人の権
利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行わなければならない。ただし、当該保有個人データの利用停止等又は第三者への提供の停止に多額の費用を要する場合その他の利用停止等又は第三者への提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
４

協会員は、第１項若しくは前項の規定による請求に係る保有個人データ ３ 協会員は、第１項の規定による請求に係る保有個人データの全部若の全部若しくは一部について利用停止等を行ったとき若しくは利用停止

しくは一部について利用停止等を行ったとき若しくは利用停止等を等を行わない旨の決定をしたとき又は第２項若しくは前項の規定による行わない旨の決定をしたとき又は前項の規定による請求に係る保有請求に係る保有個人データの全部若しくは一部について第三者提供を停

個人データの全部若しくは一部について第三者提供を停止したとき

止したとき若しくは第三者提供を停止しない旨を決定したときは、本人に若しくは第三者提供を停止しない旨を決定したときは、本人に対し、

20

改

正

案

現

行

対し、遅滞なく、その旨（本人から求められた措置と異なる措置を行う場

遅滞なく、その旨（本人から求められた措置と異なる措置を行う場合

合には、その措置内容を含む。
）を通知しなければならない。

には、その措置内容を含む。）を通知しなければならない。

（理由の説明）（理由の説明）

第 19 条協会員は、第15条第３項、第16条第２項（同条第３項において準 第 19 条

協会員は、第15条第３項、第16条第２項、第17条第２項及び用する場合を含む）、第17条第２項、前条第３項及び同条第４項の規定に前条第３項の規定により、本人から求められ、又は請求された措置のより、本人から求められ、又は請求された措置の全部又は一部について、

全部又は一部について、その措置をとらない旨を通知する場合又はそその措置をとらない旨を通知する場合又はその措置と異なる措置をとるの措置と異なる措置をとる旨を通知する場合において、本人に対しそ旨を通知する場合において、本人に対しその理由を説明する際には、措置の理由を説明する際には、措置をとらないこととし、又は異なる措置をとらないこととし、又は異なる措置をとることとした判断の根拠及び根をとることとした判断の根拠及び根拠となる事実を示すこととする。

拠となる事実を示すこととする。
（開示等の請求等に応じる手続）
第 20 条（開示等の請求等に応じる手続）

協会員は、第15条第２項、第16条第１項（同条第３項において準 第 20 条

協会員は、第15条第２項、第16条第１項、第17条第１項及び用する場合を含む）、第17条第１項及び第18条第１項、第２項若しくは第第18条第１項若しくは第２項の規定による請求（以下「開示等の請求

３項の規定による請求（以下「開示等の請求等」という。）に関し、以下等」という。）に関し、以下のとおり、その受付けの方法を定めるこのとおり、その受付けの方法を定めることができる。この場合において、とができる。この場合において、協会員は、第24条に定める個人情報協会員は、第24条に定める個人情報保護宣言と一体として、インターネッ

保護宣言と一体として、インターネットのホームページでの常時掲載

トのホームページでの常時掲載や営業所の窓口等での掲示・備付け等を行や営業所の窓口等での掲示・備付け等を行うこととする。

うこととする。
１～３
４（ 現行どおり ）１～３

保護法第 38 条第１項の手数料の金額とその徴収方法（無料とする場

合を含む。
）
５

（

省

略 ）

４ 保護法第 33 条第１項の手数料の金額とその徴収方法（無料とする場合を含む。）

開示等の請求等の対象となる保有個人データ又は第三者提供記録の特定に必要な事項

５項

21

開示等の請求等の対象となる保有個人データの特定に必要な事

改

正

案

６

（

現行どおり ）

２・３

（

現行どおり

６

）

２・３

（手 数 料）第 21 条

現

行

（ 省

略 ）

（

略 ）

省

（手 数 料）協会員は、第15条第２項の規定による利用目的の通知を求めら

第 21 条協会員は、第15条第２項の規定による利用目的の通知を求れたとき又は第16条第１項若しくは同条第３項の規定による開示の請求められたとき又は第16条第１項の規定による開示の請求を受けたとを受けたときは、当該措置の実施に関し、手数料を徴収することができきは、当該措置の実施に関し、手数料を徴収することができる。

る。
２

（

現行どおり

）

２

（個人情報等の漏えい等事案への対応）
第 23 条（省

略 ）（個人情報等の漏えい事案等への対応）

協会員は、施行規則第７条各号に定める事態を知ったときは、

第 23 条協会員は、個人情報の漏えい事案等又は匿名加工情報の作

個人情報の保護に関する法律についてのガイドライン（通則編） ３－５

成に用いた個人情報から削除した記述等及び個人識別符号並びに保－３に従って、個人情報保護委員会（保護法第147条の規定により金融庁

護法第36条第１項の規定により行った加工の方法に関する情報の漏

長官等が報告を受理する権限の委任を受けている場合にあっては金融庁

えい事案（以下「個人情報等の漏えい事案等」という。）の事故が発長官等、法第165条の規定により地方公共団体の長等が報告を受理する権生した場合には、金融庁及び本協会に直ちに報告することとする。

限に属する事務を行う場合にあっては地方公共団体の長等）及び本協会

また、個人情報等の漏えい事案等のうち、行政手続きにおける特定に直ちに報告することとする。また、個人情報等の漏えい事案等のうち、の個人を識別するための番号の利用等に関する法律第２条第８項に

行政手続きにおける特定の個人を識別するための番号の利用等に関する定める特定個人情報が漏えいした場合には、あわせて個人情報保護法律第２条第８項に定める特定個人情報が漏えいした場合には、あわせ委員会にも報告するものとする。

て個人情報保護委員会にも報告するものとする。
２２ 協会員は、個人情報等の漏えい事案等の事故が発生した場合には、報の保護に関する法律についてのガイドライン（通則編） ３－５－４に二次被害の防止、類似事案の発生回避等の観点から、当該事案等の従い、本人への通知等を行わなければならない。

事実関係及び再発防止策等を早急に公表することとする。

３

協会員は、施行規則第７条各号に定める事態を知ったときは、個人情

協会員は、漏えい等事案が発覚した場合は、当該事態の内容等に応じて、 ３ 協会員は、個人情報等の漏えい事案等の事故が発生した場合には、
22

改

正

案

現

行

次に掲げる事項について必要な措置を講じなければならない。

漏えい事案等の対象となった本人に速やかに当該事案等の事実関係

１

事業所内部における報告及び被害の拡大防止等の通知等を行うこととする。

２

事実関係の調査及び原因の究明

３

影響範囲の特定４

再発防止策の検討及び実施

また、漏えい等事案の内容等に応じて、二次被害の防止、類似事案の発生回避等の観点から、当該事案等の事実関係及び再発防止策等について、速やかに公表することとする。
４

上記以外の事項については、個人情報の保護に関する法律についてのガ

（

新

設 ）

（ 新

設 ）

イドライン（通則編） の例による（施行規則第７条各号関係に限る。）。
（仮名加工情報についての本指針の適用関係）
第 23 条の２

仮名加工情報（個人情報であるものに限る。以下この項において同じ。）に関する本指針の適用については、次のとおりとする。
１

第６条の規定にかかわらず、法令に基づく場合を除くほか、第３条第１項の規定により特定された利用目的の達成に必要な範囲を超えて、仮名加工情報を取り扱ってはならない。

２

仮名加工情報についての第９条の規定の適用については、同条第１項
及び第３項中「本人に通知し、又は公表し」とあるのは「公表し」と、同条第４項第１号から第３号までの規定中「本人に通知し、又は公表する」とあるのは「公表する」とする。

３

協会員は、仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞なく消去するよう努めなければならない。この場合においては、第10条の規定は、適用しない。
23

改
４

正

案

現

行

協会員は、第14条第１項及び第２項並びに第14条の２第１項の規定にかかわらず、法令に基づく場合を除くほか、仮名加工情報である個人
データを第三者に提供してはならない。この場合において、第14条第４項第３号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第６項中「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と、第14条の３中「ただし、国内にある第三者への提供においては、次の第１号から第７号に該当する場合、記録の作成を要しないものとする。また、外国にある第三者への提供においては、次の第１号から第４号に該当する場合」とあるのは、「次の第１号又は第５号から７号に掲げる場合」と第14条の４中「次に掲げる場合」とあるのは「次の第１号又は第５号から７号に掲げる場合」とする。

５

仮名加工情報、仮名加工情報である個人データ及び仮名加工情報である保有個人データについては、第３条第３項、第15条から第21条及び第23条の規定は、適用しない。

２

仮名加工情報（個人情報であるものを除く。以下この項において同じ。）
に関する本指針の適用については、次のとおりとする。

１

協会員は、法令に基づく場合を除くほか、仮名加工情報を第三者に提供してはならない。

２

第14条第４項及び第６項の規定は、仮名加工情報の提供を受ける者について準用する。この場合において、同条第４項第３号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第６項中「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と読み替えるものとする。
24

（

新

設 ）

改
３

正

案

現

行

第11条から第13条まで、及び第22条の規定は、協会員による仮名加工
情報の取扱いについて準用する。

（個人情報保護宣言の策定）
第 24 条２（個人情報保護宣言の策定）（ 現行どおり ）個人情報保護宣言には、例えば、以下の内容を記載することとする。

１
２

（

現行どおり

）

第 24 条

（

省

略 ）

２

（

同

左 ）

（ 省

略 ）

１

保護法第21条における利用目的の通知・公表等の手続についての分か

２ 保護法第18条における利用目的の通知・公表等の手続についてのりやすい説明３

分かりやすい説明保護法第32条における開示等の手続等、個人情報保護の取扱いに関す

３ 保護法第27条における開示等の手続等、個人情報保護の取扱いにる諸手続についての分かりやすい説明
４
３
４

関する諸手続についての分かりやすい説明（

現行どおり ）

（

現行どおり

４

）

３

個人情報保護宣言は、消費者等、本人がこれを適切に理解した上で自らの判断により選択の機会を行使することができるような表示等により構成するのが望ましい。
付

則

この改正は、令和４年４月１日から施行する。

25

（ 省

略 ）

（

略 ）

省

（ 新

設

）

資料２－４「『個人情報の保護に関する指針』に関する解説」の一部改正について（案）
令和４年１月 18 日
（下線部分変更）
改
（目
第 １ 条

正

案

的）

現
（目

この指針は、個人情報の保 第 １ 条

行

改

正

案

現

行

的）
この指針は、個人情報の保 (1)

この指針は、保護法第54条の規 (1)

この指針は、保護法第53条の規護に関する法律（以下「保護法」と護に関する法律（以下「保護法」と定に基づき作成した指針であり、協定に基づき作成した指針であり、協いう。）、個人情報の保護に関する法いう。）、個人情報の保護に関する法

会員の証券業務等における個人情

会員の証券業務等における個人情律施行令（以下「施行令」という。
）、

律施行令（以下「施行令」という。）、報の適正な取扱いを確保するため、報の適正な取扱いを確保するため、個人情報の保護に関する法律施行

個人情報の保護に関する法律施行

協会員が遵守すべき事項及び必要

協会員が遵守すべき事項及び必要規則（平成 28 年個人情報保護委員

規則（平成 28 年個人情報保護委員

な措置等について、協会員の証券業な措置等について、協会員の証券業

会規則第３号。以下「施行規則」と会規則第３号。以下「施行規則」と務等の実情に即して定めるもので務等の実情に即して定めるものでいう。）、個人情報の保護に関する基いう。）、個人情報の保護に関する基

ある。

ある。

本方針（平成 16 年４月２日閣議決

本方針（平成 16 年４月２日閣議決 (2)～(5)（定。）、個人情報の保護に関する法律定。）、個人情報の保護に関する法律 (6)についてのガイドライン（通則編）

についてのガイドライン（通則編）

以下のように記載されていること（平成 28 年個人情報保護委員会告（平成 28 年個人情報保護委員会告に留意が必要である。

示第６号）、同ガイドライン（外国示第６号）、同ガイドライン（外国①にある第三者への提供編）（平成 28にある第三者への提供編）（平成 28②

年個人情報保護委員会告示第７年個人情報保護委員会告示第７及び「望ましい」と記載されてい及び「望ましい」と記載されてい号）、同ガイドライン（第三者提供号）、同ガイドライン（第三者提供る規定に従わない場合には、直ちる規定に従わない場合には、直ち時の確認・記録義務編）（平成 28時の確認・記録義務編）（平成 28に法の規定違反と判断されるこに法の規定違反と判断されるこ

年個人情報保護委員会告示第８年個人情報保護委員会告示第８号）とはないが、金融分野における個とはないが、金融分野における個号）、同ガイドライン（仮名加工情及び同ガイドライン（匿名加工情報

人情報の性質及び利用方法に鑑

人情報の性質及び利用に鑑み、協報・匿名加工情報編）（平成 28 年個編）（平成 28 年個人情報保護委員会

み、協会員には厳格な措置が求め会員には厳格な措置が求められ

人情報保護委員会告示第９号）及び告示第９号）、金融分野における個られている。

ている。

1

現行どおり ）

(2)～(5)（

協会員は、金融分野GLにおいて、 (6)（ 現行どおり ）「こととする」、「適切である」

省

略 ）

同

左 ）

（ 省

略 ）

（

①
②

「こととする」、「適切である」

改

正

案

現

行

改

正

案

現

この解説において、個人情報に (7)同ガイドライン（認定個人情報保護

人情報保護に関するガイドライン (7)同左 ）

団体編）（令和３年個人情報保護委（平成 29 年個人情報保護委員会・関連するガイドラインの略称は以員会告示第７号）並びに金融分野に

金融庁告示第１号）及び金融分野に下による。

おける個人情報保護に関するガイ

おける個人情報保護に関するガイ①～③（ 現行どおり ）①～③（ 省略 ）ドライン（平成 29 年個人情報保護

ドラインの安全管理措置等につい④④

委員会・金融庁告示第１号）及び金ての実務指針等（以下「個人情報の

個人情報の保護に関する法律

個人情報の保護に関する法律

融分野における個人情報保護に関保護に関する法令等」という。）をについてのガイドライン（仮名加についてのガイドライン（匿名加するガイドラインの安全管理措置

踏まえ、会員の定款第３条第８号に

工情報・匿名加工情報編）（平成

工情報編）（平成28年個人情報保等についての実務指針等（以下「個掲げる有価証券の売買その他の取28年個人情報保護委員会告示第護委員会告示第９号）

人情報の保護に関する法令等」とい引等に係る業務及び当該業務に付９号）

う。）を踏まえ、会員の定款第３条

随する業務、特定業務会員が行う定第８号に掲げる有価証券の売買そ款第５条第２号イ、ロ又はハに掲げ （参照条文等：保護法第１条、第128 （参照条文等：保護法第１条、第60の他の取引等に係る業務及び当該る業務並びに特別会員の定款第５ 条、金融分野GL第１条、番号法第４条） 条、金融分野GL第１条、番号法第４条）

業務に付随する業務、特定業務会員

条第３号に規定する登録金融機関が行う定款第５条第２号イ、ロ又は業務（以下「協会員の証券業務等」

ハに掲げる業務並びに特別会員のという。）における個人情報の適正定款第５条第３号に規定する登録な取扱いの確保のために、個人情報金融機関業務（以下「協会員の証券に係る利用目的の特定、安全管理の業務等」という。
）における個人情ための措置その他の事項を定める

報の適正な取扱いの確保のために、とともに、協会員が講ずべき具体的

個人情報に係る利用目的の特定、安措置等を定めるものである。

仮名加工・匿名加工GL⑤～⑦（ 現行どおり ）全管理のための措置その他の事項を定めるとともに、協会員が講ずべ
き具体的措置等を定めるものであ
る。
2

（

行

匿名加工GL⑤～⑦（ 省

略 ）

改
２

正

案

現

協会員は、個人情報の漏えい、滅 ２

行

改

正

案

現

行

協会員は、個人情報の漏えい、不失又は毀損（以下「漏えい等」とい

正流出等を防止等するため、個人情う。）等を防止等するため、個人情報の保護に関する法令等並びに関報の保護に関する法令等並びに関係法令及びガイドライン等に従い、係法令及びガイドライン等に従い、個人情報の適正な管理体制を整備

個人情報の適正な管理体制を整備する必要がある。

する必要がある。
（定
第 ２ 条

義）

（定

義）

この指針において、次の各 第 ２ 条（ 同左 ）この指針における用語定義は、保護

この指針における用語定義は、保護号に掲げる用語の定義は、当該各号

法第２条各項、第16条各項、通則GL 法第２条各項、通則GL２及び金融分野に定めるところによる。

２及び金融分野GL第５条第１項の規 GL第５条第１項の規定に基づくもの

１（ 現行どおり ）

１

（ 省

略 ）

定に基づくものである。

である。

１．個人情報（第１号）

１．

（

同

左 ）

(1)

(1)

（

省

略 ）

(2)「特定の個人を識別することがで (2)

（

同

左 ）

①・②（ 現行どおり ）①・②（ 省

略 ）

③

③

（

現行どおり ）

きるもの」に該当する例
例えば、次のようなものが該当する。

3

当該情報のみでは識別できな

当該情報のみでは識別できな

いが、当該情報に含まれる番号、

いが、当該情報に含まれる番号、記号その他の情報と協会員が保記号その他の情報と協会員が保有する他の情報又は公開された有する他の情報又は公開された情報をコンピュータ等による処情報をコンピューター等による

改

正

案

現

行

改

正

案

現

行

理で照合することによって特定処理で照合することによって特の個人を識別できる情報

定の個人を識別できる情報(3)（ 現行どおり ）(3)（ 現行どおり ）１の２（ 現行どおり ）１の２（ 省略 ）１の２．（ 現行どおり ）

２

２

左 ）

２．個人情報データベース等（第２号） ２．

（ 同

左 ）

(1)「個人情報データベース等」に該 (1)

（ 同

左 ）

①

（ 省

略 ）

②

コンピューターを用いていな

個人情報データベース等（ 同

個人情報を含む情報の集合物であって、次に掲げるものをい

略 ）

当する例

う。ただし、利用方法からみて個

例えば、次のようなものが該当す

人の権利利益を害するおそれがる。

少ないものを除く。

①

イ

１の２．（ 省

特定の個人情報をコンピイ

特定の個人情報をコンピ②（ 現行どおり ）コンピュータを用いていない

ュータを用いて検索するこューターを用いて検索する

場合であっても、五十音順に索引

い場合であっても、五十音順に索とができるように体系的にことができるように体系的を付して並べられた顧客カード

引を付して並べられた顧客カー構成したものに構成したもの等（第２号ロ）

ド等（第２号ロ）

ロ（

現行どおり

）

ロ（ 省

略 ）

(2)・(3)（

現行どおり ）

(2)・(3)（

省

略 ）（参照条文等：保護法第16条第１項、（参照条文等：番号法第２条、第29

番号法第２条、第29条、番号法金融GL条、番号法金融GL１-(1)、通則GL2-4、

１-(1)、通則GL2-4、国税通則法第74

国税通則法第74条の13の３）

条の13の３）３（ 現行どおり ）

３

（ 省

略 ）

３．個人データ（第３号）

３．

（

同

左 ）

(1)・(2)（(1)・(2)（

省

略 ）現行どおり ）

（参照条文等：保護法第16条第３項、 （参照条文等：保護法第２条、通則
４

保有個人データ

４

（ 同

左 ）

協会員が、本人又はその代理人
4

通則GL2-6）

GL2-6）

４．保有個人データ（第４号）

４．

（

同

左 ）

(1)・(2)（(1)・(2)（

省

略 ）現行どおり ）

改

正

案

現

行

改

正

案

現

行

から求められる開示、内容の訂（参照条文等：保護法第16条第４項、 （参照条文等：保護法第２条、通則

正、追加又は削除、利用の停止、通則GL2-7）

GL2-6）

消去及び第三者への提供の停止のすべての権限を有する個人データであって、次に掲げるもの以外のものをいう。
イ・ロ（ 現行どおり）

イ・ロ（ 省

略 ）

(3)

（

現行どおり ）

(3)

（

省

略 ）

（参照条文等：保護法第16条第４項、 （参照条文等：保護法第２条、通則ハ（ 現行どおり ）

ハ（ 省

略 ）

施行令第５条、通則GL2-7）

GL2-7）

(4)

(4)

（

現行どおり ）（

省

略 ）（参照条文等：保護法第16条第４項、 （参照条文等：保護法第２条、通則ニ（ 現行どおり ）

ニ（ 省

略 ）

施行令第５条、通則GL2-7）

GL2-7）

(5)

(5)

（

現行どおり ）（

省

略 ）（参照条文等：保護法第16条第４項、 （参照条文等：保護法第２条、施行令
施行令第５条、通則GL2-7）
（ 削

る ）

ホ

６か月以内に消去するも

（ 削

る ）

の

第４条、第５条、通則GL2-7）（参照条文等：保護法第２条、通則
GL2-7）

５（ 現行どおり ）

５

（ 省

略 ）

６

（ 現行どおり ）

６

（ 省

略 ）

６．要配慮個人情報
要配慮個人情報に該当するものの
具体例

5

６．

（

同

左 ）

要配慮個人情報に該当するものの具体例(1)～(6)（ 現行どおり ）(1)～(6)（(7)(7)

身体障害、知的障害、精神障

省

略 ）

身体障害、知的障害、精神障

害（発達障害を含む。）その他の害（発達障害を含む。）その他の施行規則で定める心身の機能の個人情報保護委員会規則で定め

改

正

案

現

行

改

正

案

現

障害があること(8)～(11)（７

機微（センシティブ）情報
金融分野において、要配慮個人

７

機微（センシティブ）情報

現行どおりる心身の機能の障害があること）

７．機微（センシティブ）情報

金融分野において、要配慮個人

行

本人、国の機関、地方公共団体、学(8)～(11)（
７．

（

同

現行どおり

）

左 ）

本人、国の機関、地方公共団体、保情報並びに労働組合への加盟、門情報並びに労働組合への加盟、門 術研究機関等、保護法第57条第１項各 護法第76条第１項各号若しくは施行地、本籍地、保健医療及び性生活地、本籍地、保健医療及び性生活 号若しくは施行規則第６条各号に掲 規則第６条各号に掲げる者により公（これらのうち要配慮個人情報（これらのうち要配慮個人情報 げる者により公開されているもの又 開されているもの又は、本人を目視に該当するものを除く。
）に関すに該当するものを除く。
）に関す は、本人を目視し、若しくは撮影する し、若しくは撮影することにより取得る情報（本人、国の機関、地方公る情報（本人、国の機関、地方公 ことにより取得するその外形上明ら するその外形上明らかなものについ

共団体、学術研究機関等、保護法

共団体、保護法第76条第１項各号 かなものについては、法令上は要配慮 ては、法令上は要配慮個人情報に該当

第57条第１項各号若しくは施行

若しくは施行規則第６条各号に 個人情報に該当する場合であっても、 する場合であっても、機微（センシテ規則第６条各号に掲げる者によ掲げるものにより公開されてい 機微（センシティブ）情報には含まれ ィブ）情報には含まれないことに留意

り公開されているもの、又は本人

るもの、又は本人を目視し、若し ないことに留意する。

する。

を目視し、若しくは撮影すること

くは撮影することにより取得す （参照条文等：金融分野GL第５条）（参照条文等：金融分野GL第５条）

により取得するその外形上明らるその外形上明らかなものを除

かなものを除く。
）のことをいう。

く。）のことをいう。

８

仮名加工情報（ 新設 ）８．仮名加工情報

個人情報の区分に応じて定め(1) 「個人情報の区分」とは以下に掲られた措置を講じて他の情報とげる区分であり、それぞれの区分に照合しない限り特定の個人を識定める措置を講じて、他の情報と照別することができないように個合しない限り特定の個人を識別で人情報を加工して得られる個人

きないように個人情報を加工してに関する情報をいう。

得られた個人に関する情報が仮名加工情報に該当すると考えられる。
イ
6

保護法第２条第１項第１号に

（

新

設 ）

改

正

案

現

行

改

正

該当する個人情報

案

現

行

当該情報に

含まれる記述等の一部を削除する（当該一部の記述等を復元する
ことのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）
ロ

保護法第２条第１項第２号に該当する個人情報

当該情報に含まれる個人識別符号の全部を削除する（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）(2) 仮名加工情報を作成する場合は、保護法、施行規則及び仮名加工・匿名加工GLに従った対応が必要となる。なお、「仮名加工情報を作成する」とは、仮名加工情報として取り扱うために施行規則第31条で定める基準に従い作成することをいう。
（参照条文等：保護法第２条、施行規則第31条、通則GL2-10、仮名加工・匿名加工GL2-1、2-2）
９

匿名加工情報
個人情報の区分に応じて定め

８

匿名加工情報９．匿名加工情報

個人情報を個人情報の区分に (1)7

８．匿名加工情報「個人情報の区分」とは以下に (1)以下に掲げるものが匿名加工情

改

正

案

現

行

改

正

案

現

られた措置を講じて特定の個人応じて定められた措置を講じて掲げる区分であり、それぞれの区分を識別することができないよう

特定の個人を識別することがでに定める措置を講じたものが匿名に個人情報を加工して得られる

きないように加工して得られる加工情報に該当すると考えられる。

個人に関する情報であり、当該個個人に関する情報であり、当該個イ

人情報を復元して特定の個人を行報に該当すると考えられる。

保護法第２条第１項第１号にイ 「当該情報に含まれる氏名、生人情報を復元して特定の個人を該当する個人情報 「当該情報に年月日その他の記述等により特再識別することができないよう再識別することができないよう含まれる氏名、生年月日その他の定の個人を識別できるもの（他のにしたものをいう。

にしたものをいう。

記述等により特定の個人を識別

情報と容易に照合することがでできるもの（他の情報と容易に照き、それにより特定の個人を識別合することができ、それにより特することができることとなるも定の個人を識別することができのを含む。
）」である個人情報の場ることとなるものを含む。）」であ

合には、特定の個人を識別するこる個人情報の場合には、特定の個とができなくなるように当該個人を識別することができなくな

人情報に含まれる氏名、生年月日

るように当該個人情報に含まれその他の記述等を削除したもの

る氏名、生年月日その他の記述等を削除したものロ

保護法第２条第１項第２号に該当する個人情報ロ「個人識別符号が含まれる」「個人識別

個人情報の場合には、当該個人符号が含まれる」個人情報の場

情報に含まれる個人識別符号の合には、当該個人情報に含まれ全部を特定の個人を識別するこる個人識別符号の全部を特定のとができなくなるように削除し個人を識別することができなくたものなるように削除したもの
※（
(2)
8

現行どおり

）

匿名加工情報を作成する場合 (2)

※（

省

略

）

匿名加工情報を作成する場合

改

正

案

現

行

改

正

案

現

行

は、保護法及び仮名加工・匿名加工

は、保護法及び匿名加工GLに従った

GLに従った対応が必要となる。な

対応が必要となる。なお、「匿名加お、「匿名加工情報を作成する」と

工情報を作成する」とは、匿名加工

は、匿名加工情報として取り扱うた情報として取り扱うために作成す

めに作成することをいう。例えば、ることをいう。例えば、安全管理措

安全管理措置の一環として氏名等置の一環として氏名等の一部の個の一部の個人情報を削除（又は他の人情報を削除（又は他の記述等に置

記述等に置換え）したうえで、引き換え）したうえで、引き続き個人情

続き個人情報として取り扱う場合

報として取り扱う場合（加工元の個（加工元の個人情報を復元する場

人情報を復元する場合を含む）、あ合を含む）、あるいは統計情報を作

るいは統計情報を作成するために成するために個人情報を加工する

個人情報を加工する場合等につい

場合等については、「匿名加工情報ては、「匿名加工情報を作成する」

を作成する」ときに該当しない。

ときに該当しない。

（参照条文等：保護法第２条、通則 （参照条文等：保護法第２条、通則
GL2-12、仮名加工・匿名加工GL3-1）
10

個人関連情報（ 新設 ）10．個人関連情報

生存する個人に関する情報で個人関連情報に該当するものの具あって、個人情報、仮名加工情報

体例（※）

及び匿名加工情報のいずれにも(1) Cookie 等の端末識別子を通じ該当しないものをいう。

て収集された、ある個人のウェブ
サイトの閲覧履歴(2) 特定の個人を識別できないメールアドレス（abc_123@example.
comなど）に結び付いた、ある個
9

GL2-8、匿名加工GL2-1）
（

新

設 ）

改

正

案

現

行

改

正

案

現

行

人の年齢・性別・家族構成等(3) ある個人の商品購買履歴・サービス利用履歴(4) ある個人の位置情報(5) ある個人の興味・関心を示す
情報※

個人情報に該当する場合は、個人関連情報に該当しないことになる。例えば、一般的に、ある個
人の位置情報それ自体のみでは個人情報には該当しないものではあるが、個人に関する位置情報が連続的に蓄積される等して特定の個人を識別することができる場合には、個人情報に該当し、個人関連情報には該当しないことになる。
（参照条文等：保護法第２条、通則
GL2-8、3-7）
11

個人関連情報データベース

（ 新

設 ）

（参照条文等：保護法第16条第７項、

個人関連情報を含む情報の集

通則GL2-9）

合物であって、次に掲げるものをいう。
イ

特定の個人関連情報をコン
ピュータを用いて検索するこ
10

（

新

設 ）

改

正

案

現

行

改

正

案

現

行

とができるように体系的に構成したもの
ロ イに掲げるもののほか、個人関連情報を一定の規則に従って整理することにより特定の
個人関連情報を容易に検索することができるように体系的に構成したものであって、目次、索引、符号等により容易に検索可能な状態に置かれているもの（利用目的の特定）（利用目的の特定）

第 ３ 条（ 現行どおり ）第 ３ 条（ 省

略 ）

２

２

略 ）

（ 現行どおり ）３ 協会員は、利用目的を変更する場 ３（ 省（ 現行どおり ）る「変更前の利用目的と関連性を有る「変更前の利用目的と関連性を有すると合理的に認められる範囲」をすると合理的に認められる範囲」を

超えてはならない。

超えてはならない。

（与信事業の利用目的）
第 ４ 条（ 現行どおり ）略 ）協会員は、利用目的を変更する場 野GL第２条、番号法金融GL１-(1)、通 野GL第２条、番号法金融GL１-(1)、通合には、保護法第15条第２項に定め 則GL3-1-1）（ 現行どおり ）省（参照条文等：保護法第17条、金融分 （参照条文等：保護法第15条、金融分

合には、保護法第17条第２項に定め

４

（

４

（ 省

則GL3-1-1）

略 ）（与信事業の利用目的）
第 ４ 条（ 省略 ）（ 現行どおり ）

（

省

略 ）

（参照条文等：通則GL2-16、金融分野 （参照条文等：通則GL2-12、金融分野
11

改

正

案

現

行

改

正

案

GL第２条第３項、第６条第２項）（「同意」の形式）（「同意」の形式）
第 ５ 条 協会員は、次条、第14条、 第 ５ 条 協会員は、次条、第14条及（ 現行どおり ）現行

GL第２条第３項）

（

省

略 ）

第14条の２及び第14条の５（協会員び第14条の２に定める本人の同意 （参照条文等：通則GL2-16、金融分野 （参照条文等：通則GL2-12、金融分野

が個人関連情報取扱事業者から同を得る場合には、原則として、書面 GL第３条）

条の規定による個人関連情報の提（電磁的記録を含む。以下同じ。）

供を受けて個人データとして取得

によることとする。

する場合に限る。
）に定める本人の

なお、本人が未成年者、成年被後同意を得る場合には、原則として、

見人、被保佐人及び被補助人であっ書面（電磁的記録を含む。第16条をて、個人情報の取扱いに関して同意

除き、以下同じ。
）によることとすしたことによって生ずる結果につる。

いて判断できる能力を有していな

なお、本人が未成年者、成年被後見人、被保佐人及び被補助人であっGL第３条）い場合などは、親権者や法定代理人等から同意を得る必要がある。

て、個人情報の取扱いに関して同意したことによって生ずる結果について判断できる能力を有していない場合などは、親権者や法定代理人等から同意を得る必要がある。
（利用目的による制限）
第 ６ 条（ 現行どおり ）（利用目的による制限）
第 ６ 条（ 省略 ）(1)（ 現行どおり ）

（

省

略 ）

（参照条文等：保護法第18条、通則 （参照条文等：保護法第16条、通則
GL3-1-3）
12

GL3-1-3）

改
２

正

案

（ 現行どおり ）

２

現

行

（ 省

略 ）

改
(2)・(3)（

正案

現行どおり ）

現
（

行
省

略 ）

（参照条文等：保護法第18条、通則 （参照条文等：保護法第16条、通則
GL3-1-4、番号法第９条、第30条第２ GL3-1-4、番号法第９条、第30条第３項、番号法金融GL１-(1)）
３

前２項は、次に掲げる場合につ

（ 同

左 ）

(4)

いては適用しない。

（ 現行どおり ）（ 現行どおり ）

（

省

略 ）

（参照条文等：保護法第18条、番号法 （参照条文等：保護法第16条、番号法
第９条、番号法金融GL１-(1)）

１項、番号法金融GL１-(1)）

１

（ 省

略 ）

(5)

（ 現行どおり ）第９条、番号法金融GL１-(1)）
（

省

略 ）

（参照条文等：保護法第18条、通則 （参照条文等：保護法第16条、通則
GL3-1-5）２（ 現行どおり ）

２

（ 省

略 ）

(6)

（ 現行どおり ）GL3-1-5）（

省

略 ）（参照条文等：保護法第18条、通則 （参照条文等：保護法第16条、通則
GL3-1-5）
３（ 現行どおり ）

３

（ 省

略 ）

（参照条文等：保護法第18条、通則 （参照条文等：保護法第16条、通則
GL3-1-5）

４（ 現行どおり ）４（ 省GL3-1-5）

略 ）(7)（ 現行どおり ）GL3-1-5）（

省

略 ）（参照条文等：保護法第18条、金融分 （参照条文等：保護法第16条、金融分
野GL第４条、通則GL3-1-5）
５

学術研究機関等（大学その他の

（ 新

設 ）

(8)

具体的活動としての「学術研究」

学術研究を目的とする機関若し

としては、新しい法則や原理の発

くは団体又はそれらに属する者

見、分析や方法論の確立、新しい知をいう。以下同じ。）に個人デー

識やその応用法の体系化、先端的なタを提供する場合であって、当該学問領域の開拓などをいう。なお、

学術研究機関等が当該個人デー

製品開発を目的として個人情報をタを学術研究の用に供する目的

取り扱う場合は、当該活動は、学術
13

野GL第４条、通則GL3-1-5）
（

新

設 ）

改

正

案

現

行

改

（以下「学術研究目的」という。
）

正

案

現

行

研究目的とは解されない。

で取り扱う必要があるとき（当該（参照条文等：保護法第16条第８項、

個人データを取り扱う目的の一第 18 条 、 金 融 分 野 GL 第 ４ 条 、 通 則

部が学術研究目的である場合を

GL2-18、2-19、3-1-5）

含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
（機微（センシティブ）情報の取扱（機微（センシティブ）情報の取扱いについて）
第 ７ 条

いについて）

協会員は、機微（センシテ 第 ７ 条（ 同左 ）(1)・(2)（

現行どおり ）

(1)・(2)（省略 ）ィブ）情報については、次に掲げる場合を除くほか、取得、利用又は第三者への提供を行わないものとする。
１（ 現行どおり ）

１

（ 省

略 ）

(3)

（

現行どおり ）

(3)

（

省

略 ）

２

（ 現行どおり ）

２

（ 省

略 ）

(4)

（

現行どおり ）

(4)

（

省

略 ）

３・４（ 現行どおり ）５

保護法第20条第２項第６号に３・４（ 省

略 ）

（ 新

設 ）

（参照条文等：保護法第20条第２項（参照条文等：保護法第17条第２項

第２号）

第２号）

(5)

学術研究機関等との間で学術研掲げる場合に機微（センシティ

究目的で必要があるときに機微（セブ）情報を取得する場合、保護法

ンシティブ）情報を取得し、利用し、第18条第３項第６号に掲げる場

又は第三者提供する場合が該当す

合に機微（センシティブ）情報を

る。
14

（

新

設 ）

改

正

案

現

行

改

利用する場合、又は保護法第27

正

案

現

行

（参照条文等：金融分野GL第５条）

条第１項第７号に掲げる場合に機微（センシティブ）情報を第三者提供する場合
６（ 現行どおり ）

５

（ 省

略 ）

７

（ 現行どおり ）

６

（ 省

略 ）

７・８（ 省略 ）８・９（ 現行どおり ）２（ 現行どおり ）

２

（ 省

略 ）

３

（ 現行どおり ）

３

（ 省

略 ）

(6)

（

現行どおり ）

（ 現行どおり ）例えば、要配慮個人情報を取得する

(5)

（

省

略 ）

（

省

略 ）

例えば、要配慮個人情報を取得するに当たっては、保護法第20条第２項に に当たっては、保護法第17条第２項に従い、あらかじめ本人の同意を得るこ 従い、あらかじめ本人の同意を得ることに留意する。
４

協会員は、機微（センシティブ） ４

協会員は、機微（センシティブ）

情報を第三者に提供するに当たっ

情報を第三者に提供するに当たっては、保護法第27条第２項（オプトては、保護法第23条第２項（オプトアウト）の規定を適用しないこととアウト）の規定を適用しないことと

する。

する。

（ 現行どおり ）とに留意する。
（

省

略 ）

（

新

設 ）

（不適正な利用の禁止）
第７条の２

協会員は、違法又は不当

（ 新

設 ）

(1)

「違法又は不当な行為」とは、な行為を助長し、又は誘発するおそ保護法その他の法令に違反する行

れがある方法により個人情報を利為、及び直ちに違法とは言えないも用してはならない。

のの、保護法その他の法令の制度趣旨又は公序良俗に反する等、社会通念上適正とは認められない行為を
15

改

正

案

現

行

改

正

案

いう。
(2)

「おそれ」の有無は、協会員による個人情報の利用が、違法又は不当な行為を助長又は誘発することについて、社会通念上蓋然性が認められるか否かにより判断される。この判断に当たっては、個人情報の利用方法等の客観的な事情に加えて、個人情報の利用時点における協会員の認識及び予見可能性も踏まえる必要がある。例えば、協会員が第三者に個人情報を提供した場合において、当該第三者が当該個人情報を違法な行為に用いた場合であっても、当該第三者が当該個人情報の取得目的を偽っていた等、当該個人情報の提供の時点において、提供した個人情報が違法に利用されることについて、当該協会員が一般的な注意力をもってしても予見できな
い状況であった場合には、「おそれ」は認められないと解される。
(3) 「違法又は不当な行為を助長し、又は誘発するおそれがある方法」に
より個人情報を利用している事例
16

現

行

改

正

案

現

行

改

正

案

例えば、次のようなものが該当する。
①

違法な行為を営むことが疑われる事業者（例：貸金業登録を行っていない貸金業者等）からの突然の接触による本人の平穏な生活を送る権利の侵害等、当該事業者の違法な行為を助長す
るおそれが想定されるにもかかわらず、当該事業者に当該本人の個人情報を提供する場合②

裁判所による公告等により散在的に公開されている個人情報（例：官報に掲載される破産者情報）を、当該個人情報に係る本人に対する違法な差別が、不特定多数の者によって誘発されるおそれがあることが予見できるにもかかわらず、それを集約してデータベース化し、インターネット上で公開する場合③

暴力団員により行われる暴力

的要求行為等の不当な行為や総会 屋 に よ る 不 当 な 要 求を 助 長
し、又は誘発するおそれが予見
17

現

行

改

正

案

現

行

改

正

案

できるにもかかわらず、事業者間で共有している暴力団員等に該当する人物を本人とする個人情報や、不当要求による被害を防止するために必要な業務を行う 各 事 業 者 の 責 任 者 の名 簿 等を、みだりに開示し、又は暴力団等に対しその存在を明らかにする場合④

個人情報を提供した場合、提供先において保護法第 27 条第1 項に違反する第三者提供がなされることを予見できるにもかかわらず、当該提供先に対して、個人情報を提供する場合⑤

採用選考を通じて個人情報を取得した事業者が、性別、国籍等の特定の属性のみにより、正当な理由なく本人に対する違法な差別的取扱いを行うために、
個人情報を利用する場合⑥

広告配信を行っている事業者

が、第三者から広告配信依頼を受けた商品が違法薬物等の違法な商品であることが予見できる
18

現

行

改

正

案

現

行

改

正

案

現

行

にもかかわらず、当該商品の広告配信のために、自社で取得した個人情報を利用する場合（参照条文等：保護法第19条、通則GL3-2）（適正な個人情報の取得）
第 ８ 条（ 現行どおり ）（適正な個人情報の取得）
第 ８ 条（ 省略 ）(1)「不正の手段」により個人情報 (1)

（

同

左 ）

（ 省

略 ）

を取得している事例
例えば、次のようなものが該当する。
①②（ 現行どおり ）保護法第27条第１項に規定す②

保護法第23条第１項に規定する第三者提供制限違反をするよる第三者提供制限違反をするよう強要して個人情報を取得する

う強要して個人情報を取得する

場合

場合③・④（ 現行どおり ）③・④（ 省⑤⑤(2)

保護法第27条第１項に規定す

略 ）

保護法第23条第１項に規定する第三者提供制限違反がされよる第三者提供制限違反がされようとしていることを知り、又は容

うとしていることを知り、又は容易に知ることができるにもかか

易に知ることができるにもかかわらず、個人情報を取得する場合

わらず、個人情報を取得する場合⑥（ 現行どおり ）個人番号等の取得

個人番号等（※１）は、法令によ
19

①

⑥
(2)

（ 省

略 ）

（

左 ）

同

改

正

案

現

行

改

正

案

現

行

り規定された場合以外には取得してはならないことに留意を要する（※２）。
なお、令和２年５月25日より、個人番号を確認するための通知カー
ドは廃止されているが、経過措置が設けられており、以下の条件を満たす場合に限り、番号法上の本人確認に利用することができる。
（「情報通信技術の活用による行政手続等に係る関係者の利便性の向上並びに行政運営の簡素化及び効率化を図るための行政手続等における情報通信の技術の利用に関する法律等の一部を改正する法律」の一部施行による。）①・②（ 現行どおり ）※１． （現行どおり ）

※１． （

省

略 ）

※２．個人番号以外にも、基礎年金番 ※２．個人番号以外にも、基礎年金番

20号や被保険者等記号・番号等（保険号や被保険者等記号・番号等（保険者番号及び被保険者等記号・番号を者番号及び被保険者等記号・番号をいう。以下同じ。）は、原則として、いう。以下同じ。）は、原則として、本人確認の目的であっても告知を

本人確認の目的であっても告知を求めることが禁止されている点に求めることが禁止されている点に

改

正

案

現

行

改

正

案

現

行

も留意する。例えば、ホームページ

も留意する（被保険者等記号・番号や顧客向けリーフレット等におい等に告知要求制限がかかるのは改て、本人確認書類として健康保険証

正健康保険法等が施行される令和等の写しの提出を求める場合に「記２年10月１日以降）。例えば、ホー号・番号が鮮明であることをご確認

ムページや顧客向けリーフレット

ください。」等の記載がある場合に等において、本人確認書類として健は、被保険者等記号・番号等の告知

康保険証等の写しの提出を求める要求を行っているとみなされるお場合に「記号・番号が鮮明であるこ

それがあるため、行わないようにすとをご確認ください。」等の記載がること。

ある場合には、被保険者等記号・番号等の告知要求を行っているとみ
なされるおそれがあるため、行わな
いようにすること。

（参照条文等：保護法第20条、通則 （参照条文等：保護法第17条、通則GL3-3-1、番号法第15条、第16条、第 GL3-2-1、番号法第15条、第16条、第19条、第20条、番号法金融GL３-(3)、 19条、第20条、番号法金融GL３-(3)、
国民年金法第108条の４、健康保険法 国民年金法第108条の４、健康保険法
第194条の２、高齢者の医療の確保に 第194条の２、高齢者の医療の確保に関する法律第161条の２、国民健康保 関する法律第161条の２、国民健康保険法第111条の２、船員保険法第143 険法第111条の２、船員保険法第143条の２、私立学校教職員共済法第45 条の２、私立学校教職員共済法第45条、国家公務員共済組合法第112条の 条、国家公務員共済組合法第112条の２、地方公務員共済組合法第144条の ２、地方公務員共済組合法第144条の24の２、国税通則法第74条の13の４、 24の２、国税通則法第74条の13の４、
番号利用法整備法（平成25年法律第28 番号利用法整備法（平成25年法律第28
21

改

正

案

現

行

改

正

案

現

号）第８条）
２（ 現行どおり ）２（個人情報取得時の利用目的の通（ 省

知・公表、明示等）

第 ９ 条（ 現行どおり ）第 ９ 条（ 省（ 現行どおり ）(3)・(4)（号）第８条）
現行どおり ）

(3)・(4)（

省

略 ）（参照条文等：通則GL3-3-1）（参照条文等：通則GL3-2-1）(1)・(2)（(1)・(2)（（個人情報取得時の利用目的の通知・公表、明示等）

２

略 ）

行

２

（ 省

略 ）
略 ）

現行どおり ）

省

略 ）（参照条文等：通則GL2-14、2-15）（参照条文等：通則GL2-10、2-11）(3)～(6)（(3)～(6)（

現行どおり ）

現行どおり ）

（参照条文等：通則GL3-3-3、3-3-4） （参照条文等：通則GL3-2-3、3-2-4）(7)
３（ 現行どおり ）４（ 現行どおり ）１

２（ 現行どおり ）（ 現行どおり ）

３
４
１
２

（ 省

略 ）

（

現行どおり ）

(7)

（

省

略 ）

（参照条文等：保護法第21条第３項、 （参照条文等：保護法第18条第３項、通則GL3-1-2）

通則GL3-1-2）
(8)

（ 省

略 ）

(8)

（ 省

略 ）

（参照条文等：保護法第21条第４項、 （参照条文等：保護法第18条第４項、

（ 省

略 ）

（

現行どおり ）（

省

通則GL3-3-5）

通則GL3-2-5）

(9)

(9)

（

現行どおり ）

（

省

略 ）

略 ）

（参照条文等：保護法第21条第４項、 （参照条文等：保護法第18条第４項、通則GL3-3-5）
３（ 現行どおり ）

３

（ 省

略 ）

(10)

（

通則GL3-2-5）
現行どおり

）

(10)

（

省

略

）

（参照条文等：保護法第21条第４項、 （参照条文等：保護法第18条第４項、通則GL3-3-5）
４（ 現行どおり ）

４

（ 省

略 ）

(11)

（

通則GL3-2-5）
現行どおり

）

(11)

（

省

略

）

（参照条文等：保護法第21条第４項、 （参照条文等：保護法第18条第４項、通則GL3-3-5、金融分野GL第６条）
22

通則GL3-2-5、金融分野GL第６条）

改

正

案

（データ内容の正確性の確保等）
第 10 条（ 現行どおり ）

現

行

改

正

案

現

行

（データ内容の正確性の確保等）
第 10 条（ 省略 ）(1)・(2)（

現行どおり ）

(1)・(2)（

省

略 ）（参照条文等：保護法第22条、通則 （参照条文等：保護法第19条、通則GL3-4-1、金融分野GL第７条、番号法 GL3-3-1、金融分野GL第７条、番号法
第20条、番号法金融GL３-(3)）（安全管理措置）
第 11 条

第20条、番号法金融GL３-(3)）（安全管理措置）協会員は、その取り扱う個 第 11 条

協会員は、その取り扱う個 (1)（ 現行どおり ）

(1)

（ 省

略 ）

人データの漏えい等の防止その他

人データの漏えい、滅失又は毀損の （参照条文等：保護法第23条、金融分 （参照条文等：保護法第20条、金融分の個人データの安全管理のため、安防止その他の個人データの安全管 野GL第８条）

全管理に係る基本方針・取扱規程等

理のため、安全管理に係る基本方の整備及び安全管理措置に係る実針・取扱規程等の整備及び安全管理

施体制の整備等の必要かつ適切な措置に係る実施体制の整備等の必措置を講じなければならない。ま

要かつ適切な措置を講じなければた、必要かつ適切な措置は、個人デならない。また、必要かつ適切な措ータの取得・利用・保管等の各段階

置は、個人データの取得・利用・保に応じた「組織的安全管理措置」、

管等の各段階に応じた「組織的安全「人的安全管理措置」、「物理的安全管理措置」、「人的安全管理措置」及管理措置」、「技術的安全管理措置」

び「技術的安全管理措置」を含むも及び「外的環境の把握」を含むもののでなければならない。当該措置でなければならない。当該措置は、は、個人データが漏えい、滅失又は個人データが漏えい等をした場合毀損等をした場合に本人が被る権に本人が被る権利利益の侵害の大利利益の侵害の大きさを考慮し、事きさを考慮し、事業の規模及び性業の規模及び性質、個人データの取質、個人データの取扱状況（取り扱

扱状況（取り扱う個人のデータの性23

野GL第８条）

改

正

案

現

行

う個人のデータの性質及び量を含質及び量を含む）並びに個人データ

む）並びに個人データを記録した媒を記録した媒体の性質等に起因す体の性質等に起因するリスクに応るリスクに応じたものとする。なじたものとする。なお、本条におけお、本条における用語の定義は、次る用語の定義は、次のとおりであのとおりである。

改る。
１～２（ 現行どおり ）３

１～２（ 省

略 ）

（ 新

設 ）

物理的安全管理措置
個人データを取り扱う区域の管理、機器及び電子媒体等の盗難の防止、電子媒体等を持ち運ぶ場
合の漏えい等の防止並びに機器
及び電子媒体等の廃棄等の個人
データの安全管理に関する物理的な措置をいう。
４

技術的安全管理措置

３

技術的安全管理措置（

現行どおり ）

（ 省

略 ）

５

外的環境の把握

（ 新

設 ）

（ 同

左 ）

外国において個人データを取り扱う場合に、当該外国の個人情報の保護に関する制度等を把握することをいう。
２ 協会員は、個人データの安全管理 ２に係る基本方針・取扱規程等の整備として、以下の「組織的安全管理措
24

正

案

現

行

改

正

案

現

行

改

正

案

現

行

（ 省

略 ）

置」を講じなければならない。
１（ 現行どおり ）

１

（ 省

略 ）

２ 各管理段階における安全管理に

２

（ 同

左 ）

係る取扱規程イ～ホ（ 現行どおり ）イ～ホ（ 省ヘ 漏えい等事案（漏えい等又はヘ

略 ）そのおそれのある事案をいう。

漏えい事案等への対応の段階における取扱規程

以下同じ。）への対応の段階における取扱規程３

協会員は、個人データの安全管理 ３

協会員は、個人データの安全管理に係る実施体制の整備として、以下に係る実施体制の整備として、以下の「組織的安全管理措置」、「人的安の「組織的安全管理措置」、「人的安

全管理措置」、「物理的安全管理措

全管理措置」及び「技術的安全管理

置」及び「技術的安全管理措置」を措置」を講じなければならない。

講じなければならない。
１

組織的安全管理措置

１

組織的安全管理措置

イ～ホ（ 現行どおり ）イ～ホ（ 省ヘヘ

漏えい等事案に対応する体
制の整備

２
３
イ

（ 現行どおり ）物理的安全管理措置

略 ）

(2)

漏えい事案等に対応する体
制の整備

２

（ 省

略 ）

（ 新

設 ）

個人データの取扱区域等の管理

ロ

機器及び電子媒体等の盗難等の防止25（ 現行どおり ）

(2)

改
ハ

正

案

現

行

改

正

案

現

行

電子媒体等を持ち運ぶ場合の漏えい等の防止

ニ 個人データの削除及び機器、電子媒体等の廃棄
４

技術的安全管理措置

３

技術的安全管理措置

イ～ハ（ 現行どおり ）イ～ハ（ 省ニニ

個人データの漏えい等防止策

略 ）個人データの漏えい・毀損等防止策

ホ～ト（ 現行どおり ）ホ～ト（ 省略 ）(3)

金融分野GLにおいて求められる (3)金融分野GLにおいて求められる「物理的安全管理措置」について、

組織的安全管理措置、技術的安全管番号法金融GLにおいても「物理的安理措置の一部について、番号法金融

全管理措置」として整備が求められGLにおいては「物理的安全管理措ることに留意する。

置」として整備が求められることに具体的には以下の措置を講ずることが考えられる。

留意する。
具体的には以下の措置を講ずることが考えられる。

①～⑤（ 現行どおり ）①～⑤（ 現行どおり ）（参照条文等：保護法第23条、通則 （参照条文等：保護法第20条、通則
GL3-4-2、金融分野GL第８条）（役職員の監督）
第 12 条GL3-3-2、金融分野GL第８条）（役職員の監督）

協会員は、その役職員に個 第 12 条

協会員は、その役職員に個 ・ 本条における役職員の定義につい ・ 本条における役職員の定義につい人データを取り扱わせるに当たっ人データを取り扱わせるに当たっては、本指針第11条第１項第１号参ては、本指針第11条第１項第１号参ては、当該個人データの安全管理ては、当該個人データの安全管理

照

照

26

改

正

案

現

行

改

正

案

現

行

が図られるよう、適切な内部管理が図られるよう、適切な内部管理・ 役職員に対して必要かつ適切な監 ・ 役職員に対して必要かつ適切な監体制を構築し、その役職員に対す体制を構築し、その役職員に対する必要かつ適切な監督を行わなける必要かつ適切な監督を行わなけ(1)～(2)（

ればならない。当該監督は、個人ればならない。当該監督は、個人（参照条文等：保護法第24条、通則 （参照条文等：保護法第21条、通則

データが漏えい等をした場合に本データが漏えい、滅失又は毀損等

GL3-4-3、金融分野GL第９条）

人が被る権利利益の侵害の大きさをした場合に本人が被る権利利益を考慮し、事業の性質及び個人デの侵害の大きさを考慮し、事業のータの取扱状況等に起因するリス

性質及び個人データの取扱状況等クに応じたものとする。

に起因するリスクに応じたものと督を行っていないものの具体例
現行どおり ）

督を行っていないものの具体例(1)～(2)（

省

略 ）GL3-3-3、金融分野GL第９条 ）する。
２（ 現行どおり ）（委託先の監督）

第 13 条

２

（ 省

略 ）

（委託先の監督）

協会員は、個人データの取 第 13 条

協会員は、個人データの取 ・ 委託先には外国の委託先も含まれ ・ 委託先には外国の委託先も含まれ扱いの全部又は一部を委託（契約扱いの全部又は一部を委託（契約のる。

の形態や種類を問わず、協会員が形態や種類を問わず、協会員が他の ・ 個人番号関係事務を委託する場合 ・ 個人番号関係事務を委託する場合

他の者に個人データの取扱いの全者に個人データの取扱いの全部又は、委託者と同等の管理を求めなけ

は、委託者と同等の管理を求めなけ

部又は一部を行わせることを内容は一部を行わせることを内容とす

ればならないことに留意を要する。

ればならないことに留意を要する。

とする契約の一切を含む。
）する場

る契約の一切を含む。）する場合は、 ・ 再委託以降の場合も同等の管理を ・ 再委託以降の場合も同等の管理を合は、その取扱いを委託された個その取扱いを委託された個人デー

求めるとともに適切に監督するこ求めるとともに適切に監督するこ人データの安全管理が図られるよ

タの安全管理が図られるよう、委託とが必要となる。

とが必要となる。

う、委託を受けた者に対する必要を受けた者に対する必要かつ適切 （参照条文等：保護法第25条、金融分 （参照条文等：保護法第22条、金融分

かつ適切な監督を行わなければな

な監督を行わなければならない。当 野GL第10条、番号法第11条、番号法金 野GL第10条、番号法第11条、番号法金らない。当該監督は、個人データ

該監督は、個人データが漏えい、滅 融GL２-(1)）

が漏えい等をした場合に本人が被失又は毀損等をした場合に本人が27る。

融GL２-(1)）

改

正

案

現

行

る権利利益の侵害の大きさを考慮

被る権利利益の侵害の大きさを考し、委託する事業の規模及び性質

慮し、委託する事業の規模及び性質

並びに個人データの取扱状況等に並びに個人データの取扱状況等に起因するリスクに応じたものとす起因するリスクに応じたものとする。

る。

２ 協会員は、個人データを適正に取 ２

改

正

案

現

行

協会員は、個人データを適正に取 ・ 個人番号関係事務を再委託する場 ・ 個人番号関係事務を再委託する場

り扱っていると認められる者を選り扱っていると認められる者を選

合は、元委託者の許諾を得る必要が合は、元委託者の許諾を得る必要が定し委託するとともに、取扱いを定し委託するとともに、取扱いを委あることに留意を要する。また、個あることに留意を要する。また、個委託した個人データの安全管理措託した個人データの安全管理措置

人番号関係事務を受託していた者

人番号関係事務を受託していた者置が図られるよう、個人データのが図られるよう、個人データの安全が、最初の委託者の許諾を得ずに再が、最初の委託者の許諾を得ずに再安全管理のための措置を委託先に管理のための措置を委託先におい委託した場合は、当該再委託を受け委託した場合は、当該再委託を受けおいても確保しなければならないても確保しなければならない（二段た者も含め、番号法違反となるおそた者も含め、番号法違反となるおそ（二段階以上の委託が行われた場

階以上の委託が行われた場合には、れがあることに留意を要する。

れがあることに留意を要する。

合には、委託先の事業者が再委託

委託先の事業者が再委託先等の事 （参照条文等：番号法第10条、第15 （参照条文等：番号法第10条、第15

先等の事業者に対して十分な監督業者に対して十分な監督を行って 条、第19条、第20条、番号法金融GL 条、第19条、第20条、番号法金融GLを行っているかについても監督をいるかについても監督を行うもの ２-(1)）

行うものとする。）。なお、具体的とする。）。なお、具体的には、例え ・ 委託を受けた者に対して必要かつ ・ 委託を受けた者に対して必要かつには、例えば以下の対応等を行わば以下の対応等を行わなければな

適切な監督を行っていない具体例

適切な監督を行っていない具体例

なければならない。

らない。

①～④（ 現行どおり ）①～④（ 省１

１

個 人 デ ー タ の 安 全管 理 の た

２-(1)）

略 ）個人データの安全管理のため、 （参照条文等：保護法第25条、通則 （参照条文等：保護法第22条、通則

め、委託先における組織体制の整

委託先における組織体制の整備 GL3-4-4）

備及び安全管理に係る基本方及び安全管理に係る基本方針・取針・取扱規程の策定等の内容を委

扱規程の策定等の内容を委託先

託先選定の基準に定め、当該基準

選定の基準に定め、当該基準を定を定期的に見直すこと。

期的に見直すこと。
28

GL3-3-4）

改

正

案

現

行

なお、委託先の選定に当たって

なお、委託先の選定に当たっては、必要に応じて個人データを取は、必要に応じて個人データを取り扱う場所に赴く方法（テレビ会り扱う場所に赴く又はこれに代議システム（映像と音声の送受信

わる合理的な方法による確認を

により相手の状態を相互に認識行った上で、個人データ管理責任できる方法をいう。）を利用する者等が適切に評価することが望方法を含む。以下同じ。
）又はこ

ましい。

改

れに代わる合理的な方法による確認を行った上で、個人データ管理責任者等が適切に評価することが望ましい。
２

委託者の監督・監査・報告徴２

委託者の監督・監査・報告徴収

収に関する権限、委託先におけに関する権限、委託先における個る個人データの漏えい・盗用・人データの漏えい・盗用・改ざん

改ざん及び目的外利用の禁止、及び目的外利用の禁止、再委託に再委託に関する条件及び漏えい

関する条件及び漏えい等が発生等事案が発生した場合の委託先した場合の委託先の責任を内容の責任を内容とする安全管理措とする安全管理措置を委託契約

置を委託契約に盛り込むとともに盛り込むとともに、定期的に監に、定期的に監査を行う等によ査を行う等により、定期的又は随り、定期的又は随時に当該委託時に当該委託契約に定める安全契約に定める安全管理措置の遵管理措置の遵守状況を確認し、当守状況を確認し、当該安全管理

該安全管理措置を見直すこと。

措置を見直すこと。
なお、委託契約に定める安全

なお、委託契約に定める安全管
理措置等の遵守状況については、
29

正

案

現

行

改

正

案

現

行

管理措置等の遵守状況について

個人データ管理責任者等が、当該は、個人データ管理責任者等が、安全管理措置等の見直しを検討

当該安全管理措置等の見直しをすることを含め、適切に評価する

検討することを含め、適切に評ことが望ましい。

価することが望ましい。

改

正

案

現

行

個人データを提供する場合の留 (1)

（ 同

左 ）

委託先が再委託を行おうとす

委託先が再委託を行おうとする場合は、委託元は委託を行う場

る場合は、委託元は委託を行う合と同様、再委託の相手方、再委場合と同様、再委託の相手方、託する業務内容及び再委託先の再委託する業務内容及び再委託

個人データの取扱方法等につい先の個人データの取扱方法等にて、委託先に事前報告又は承認手

ついて、委託先に事前報告又は続きを求める、直接又は委託先を承認手続きを求め、かつ直接又通じて定期的に監査を実施する

は委託先を通じて定期的に監査等により、委託先が再委託先に対を実施する等により、委託先がして本条の委託先の監督を適切

再委託先に対して本条の委託先に果たすこと、再委託先が保護法の監督を適切に果たすこと及び第20条に基づく安全管理措置を

再委託先が保護法第23条に基づ講ずることを十分に確認するこく安全管理措置を講ずることをとが望ましい。再委託先が再々委

十分に確認することが望まし託を行う場合以降も、再委託を行い。再委託先が再々委託を行う

う場合と同様とする。

場合以降も、再委託を行う場合と同様とする。
（第三者提供の制限）
第 14 条（第三者提供の制限）

協会員は、個人データの第 第 14 条

協会員は、個人データの第 (1)
30

改

正

案

現

行

改

正

案

現

行

（ 省

略 ）

三者（個人データを提供しようと三者（個人データを提供しようとす

意事項

する協会員及び当該個人データにる協会員及び当該個人データに係協会員が取得した個人データを係る本人のいずれに該当しないもる本人のいずれに該当しないもの

第三者に提供する場合には、あらかのをいい、自然人、法人その他のをいい、自然人、法人その他の団体

じめ本人の同意を得ることが必要

団体を問わない。第14条の２からを問わない。第14条の２から第14となるが、本人の同意を得ることな第14条の６を除き、以下同じ。
）へ条の５を除き、以下同じ。）への提く個人データを提供しようとするの提供にあたり、あらかじめ本人

供にあたり、あらかじめ本人の同意ときは、次のいずれかに該当するかの同意を得ないで提供してはならを得ないで提供してはならない。同

どうかを確認し必要な対応をとる。

ない。同意の取得にあたっては、

意の取得にあたっては、事業の規模①

事業の規模及び性質、個人データ

及び性質、個人データの取扱状況②の取扱状況（取り扱う個人データ（取り扱う個人データの性質及びの性質及び量を含む。
）等に応じ、量を含む。）等に応じ、本人が同意

本人が同意に係る判断を行うために係る判断を行うために必要と考指針第２条第１項第７号で規定

指針第２条第１項第７号で規定に必要と考えられる合理的かつ適えられる合理的かつ適切な範囲のされているもの）、不正取得されされているもの）については、オ

切な範囲の内容を明確に示さなけ

内容を明確に示さなければならなた個人データをオプトアウトに

プトアウトが認められていない

ればならない。

い。

より提供することや、オプトアウ

ことに留意する。

（ 現行どおり ）オプトアウトによる場合（第２項）※

機微（センシティブ）情報（本なお、あらかじめ、個人情報を

なお、あらかじめ、個人情報を第トにより提供を受けた個人デー

第三者に提供することを想定して三者に提供することを想定していタをオプトアウトにより再提供いる場合には、利用目的において、る場合には、利用目的において、そすることは認められていないこ

そ の 旨 を 特 定 しな け れば な ら なの旨を特定しなければならない。

とに留意する。

い。
ただし、次に掲げる場合には、第三者への個人データの提供にあ

ただし、次に掲げる場合には、第三者への個人データの提供にあたって本人の同意は不要である。

たって本人の同意は不要である。
31①②

オプトアウトによる場合（第２項）※

機微（センシティブ）情報（本③・④（ 現行どおり ）③・④（ 省⑤⑤

共同利用の場合（第５項第３

略 ）

共同利用の場合（第５項第３号）

号）

第三者への提供の同意を得る際

第三者への提供の同意を得る際には、原則として書面によることとには、原則として書面によることと

改

正

案

現

行

改

正

案

現

行

し、当該書面における記載を通じし、当該書面における記載を通じて、個人データの提供先の第三者、て、個人データを提供する第三者、提供先の第三者における利用目的提供を受けた第三者における利用及び第三者に提供される個人デー

目的及び第三者に提供される情報

タの項目を本人に認識させた上での内容を本人に認識させた上で同同意を得ることとする。本人の同意意を得ることとする。

を得ようとする時点において、個人
データの提供先の第三者が特定できない場合には、当該事項に代わる本人に参考となるべき情報（例えば、提供先の第三者の範囲や属性に関する情報）を本人に認識させた上で、同意を得ることとする。
(2)（

現行どおり ）

(2)

（

省

略 ）

（参照条文等：番号法第15条、第19 （参照条文等：番号法第15条、第19条、第30条第３項、金融分野GL第12 条、第30条第３項、番号法金融GL３
１（ 現行どおり ）

１

（ 省

略 ）

条、番号法金融GL３-(2)）

-(2)）

(3)

(3)

（

現行どおり ）（

省

略 ）（参照条文等：保護法第27条、通則 （参照条文等：保護法第23条、通則
GL3-6-1）
２（ 現行どおり ）

２

（ 省

略 ）

(4)

（

GL3-4-1）
現行どおり ）

(4)

（

省

略 ）

（参照条文等：保護法第27条、通則 （参照条文等：保護法第23条、通則
GL3-6-1）
３（ 現行どおり ）

３

（ 省

略 ）

GL3-4-1）（参照条文等：保護法第27条、通則 （参照条文等：保護法第23条、通則
GL3-6-1）
32

GL3-4-1）

改
４

正

案

（ 現行どおり ）

４

現

行

（ 省

略 ）

改
(5)

（

正

案

現行どおり ）

現
(5)

（

行
省

略 ）

（参照条文等：保護法第27条、通則 （参照条文等：保護法第23条、通則
GL3-6-1）
５

当該第三者が学術研究機関等

（ 新

設 ）

GL3-4-1）（参照条文等：保護法第27条、通則である場合であって、当該第三者

（

新

設 ）

(6)～(8)（

省

略 ）GL3-6-1）

が当該個人データを学術研究目
的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
２ 協会員は、第三者に提供される個 ２

協会員は、第三者に提供される個 (6)～(8)（現行どおり ）

人データについて、本人の求めに応

人データ（機微（センシティブ）情 （参照条文等：保護法第27条、通則 （参照条文等：保護法第23条、通則

じて当該本人が識別される個人デ報を除く。以下この項において同 GL2-14、3-6-2）

ータの第三者への提供を停止する

じ。）について、本人の求めに応じこととしている場合であって、次にて当該本人が識別される個人デー

掲げる事項について、あらかじめ、

タの第三者への提供を停止するこ

本人に通知し、又は本人が容易に知ととしている場合であって、次に掲り得る状態に置くとともに、個人情げる事項について、あらかじめ、本報保護委員会に届け出たときは、前人に通知し、又は本人が容易に知り項にかかわらず、当該個人データを得る状態に置くとともに、個人情報

第三者に提供することができる。

保護委員会に届け出たときは、前項

また、協会員は、当該届出の内容にかかわらず、当該個人データを第を自らもインターネットの利用そ三者に提供することができる。
33

GL2-10、3-4-2）

改

正

案

の他の適切な方法により公表するものとする。
なお、機微（センシティブ）情報
や偽りその他不正取得された個人

現

行

改

正

案

現

行

また、協会員は、当該届出の内容を自らもインターネットの利用その他の適切な方法により公表するものとする。

データをオプトアウトにより第三

なお、機微（センシティブ）情報者に提供することや、オプトアウト

は、オプトアウトにより第三者に提により提供を受けた個人データ（そ供することはできない。

の全部又は一部を複製し、又は加工したものを含む。）をオプトアウト
により再提供することはできない。
１

協会員の名称、住所及び代表者

（ 新

設 ）

（参照条文等：保護法第27条、通則の氏名
２（ 現行どおり ）（ 現行どおり ）

１

（ 省

略 ）

第三者に提供される個人デー

設 ）（参照条文等：保護法第27条、通則 （参照条文等：保護法第23条、通則

２

（ 省

略 ）

（ 新

GL3-4-2）（参照条文等：保護法第27条、通則 （参照条文等：保護法第23条、通則
GL3-6-2）

４

新GL3-6-2）
GL3-6-2）

３

（

設 ）

(9)

タの取得の方法

取得元（取得源）と取得の方法の具体例（第２項第４号）
例えば、次のようなものが該当する。
①

新聞・雑誌・書籍・ウェブサイ

トの閲覧による取得②

官公庁による公開情報からの取得（参照条文等：保護法第27条、通則34

GL3-4-2）
（

新

設 ）

改

正

案

現

行

改

正

案

現

行

（ 省

略 ）

GL3-6-2）
５（ 現行どおり ）

３

（ 省

略 ）

(10)

（

現行どおり ）

(9)

（参照条文等：保護法第27条、通則 （参照条文等：保護法第23条、通則
GL3-6-2）
６（ 現行どおり ）

４

（ 省

略 ）

GL3-4-2）（参照条文等：保護法第27条、通則 （参照条文等：保護法第23条、通則
GL3-6-2）

７（ 現行どおり ）

５

（ 省

略 ）

(11)

（

GL3-4-2）
現行どおり ）

(10)

（

省

略 ）

（参照条文等：保護法第27条、通則 （参照条文等：保護法第23条、通則
GL3-6-2）
８

第三者に提供される個人デー

（ 新

設 ）

（参照条文等：施行規則11条、通則

タの更新の方法
９

GL3-4-2）（

新設 ）当該届出に係る個人データの

（

新

設 ）

（

省

略 ）

GL3-6-2）
（ 新

設 ）

(12)

新規の届出の場合には、オプト更新の第三者への提供を開始す

アウトによる第三者提供を開始す

る予定日

る予定日を記入する。変更届の場合には、変更届に基づいて第三者提供を開始する予定日を記入する。
（参照条文等：施行規則11条、通則GL3-6-2）

３ 協会員は、前項第１号に掲げる事 ３

協会員は、前項第２号、第３号又 (13)（

現行どおり ）

(11)

項に変更があったとき又は同項のは第５号に掲げる事項を変更する （参照条文等：保護法第27条、通則 （参照条文等：保護法第23条、通則規定による個人データの提供をや場合は、変更する内容について、あ GL2-14、3-6-2）

めたときは遅滞なく、同項第３号からかじめ本人に通知し、又は本人がら第５号まで、第７号又は第８号に容易に知り得る状態に置くととも掲げる事項を変更しようとするとに、個人情報保護委員会に届け出な
35

GL2-10、3-4-2）

改

正

案

現

きはあらかじめ、その旨について、

行

改

正

案

現

行

ければならない。

本人に通知し、又は本人が容易に知

なお、協会員は、本項に従い、必り得る状態に置くとともに、個人情要な事項を個人情報保護委員会に報保護委員会に届け出なければな

届け出たときは、その内容を自らもらない。

公表するものとする。

なお、協会員は、本項に従い、必要な事項を個人情報保護委員会に届け出たときは、その内容を自らも公表するものとする。
４ 次に掲げる場合において、当該個 ４

次に掲げる場合において、当該個 （参照条文等：保護法第27条、通則 （参照条文等：保護法第23条、通則

人データの提供を受ける者は、第人データの提供を受ける者は、第三 GL3-6-3）

三者に該当しない。

者に該当しない。

１

１（ 現行どおり ）

（ 省

略 ）

(14)

（

GL3-4-3）
現行どおり ）

(12)

（

省

略 ）

（参照条文等：保護法第27条、通則 （参照条文等：保護法第23条、通則
GL3-6-3）(15)（

GL3-4-3）
現行どおり ）

(13)

（

省

略 ）

（参照条文等：保護法第27条、通則 （参照条文等：保護法第23条、通則
GL3-6-3）
２（ 現行どおり ）

２

（ 省

略 ）

GL3-4-3）(16)（

現行どおり ）

(14)

（

省

略 ）

(17)

（

現行どおり ）

(15)

（

省

略 ）

（参照条文等：保護法第27条、通則 （参照条文等：保護法第23条、通則
GL3-6-3）
３

特定の者との間で共同して利３

GL3-4-3）

特定の者との間で共同して利 (18) 「共同利用」の具体例（第４項 (16) 「共同利用」の具体例（第４項

用される個人データが当該特定用される個人データが当該特定 第３号）の者に提供される場合であって、の者に提供される場合であって、
36①（ 現行どおり ）

第３号）
①

（ 省

略 ）

改

正

案

現

行

改
②

正

案

その旨並びに共同して利用される個人データの項目、共同して利る個人データの項目、共同して利利用目的の範囲内で個人データ

利用目的の範囲内で個人データ用する者の範囲、利用する者の利用する者の範囲、利用する者の利を共同利用する場合を共同利用する場合

用目的並びに当該個人データの用目的及び当該個人データの管

なお、共同利用の対象となる個

なお、共同利用の対象となる個

管理について責任を有する者（共理について責任を有する者（共同人データの提供については、必ず

人データの提供については、必ず同して利用する者において、第一して利用する者において、第一次

しも全ての共同利用者が双方向

しも全ての共同利用者が双方向

次的に苦情を受け付け、その処理的に苦情を受け付け、その処理をで行う必要はない。

で行う必要はない。

を行うとともに、開示、訂正等及行うとともに、開示、訂正等及び

ただし、共同利用については、

ただし、共同利用については、

び利用停止等の決定を行い、安全利用停止等の決定を行い、安全管

金融商品取引業等に関する内閣

金融商品取引業等に関する内閣管理に責任を有する者をいう。第理に責任を有する者をいう。第６

府令第153条第１項第７号及び第府令第153条第１項第７号及び第６項において「管理責任者」とい項において「管理責任者」とい

154条第１項第４号に規定する非154条第１項第４号に規定する非う。）の氏名又は名称及び住所並う。）の氏名又は名称について、

公開情報の提供の制限に留意す

公開情報の提供の制限に留意す

びに法人にあっては、その代表者

あらかじめ、本人に通知し、又はること。以下同じ。

ること。以下同じ。

の氏名について、あらかじめ、本本人が容易に知り得る状態に置

人に通知し、又は本人が容易に知いているとき。

37②

行

その旨並びに共同して利用されり得る状態に置いているとき。

親子兄弟会社の間で取得時の

現

親子兄弟会社の間で取得時のまた、既に特定の事業者が取得

また、既に特定の事業者が取得している個人データをほかの事している個人データをほかの事

業者と共同して利用する場合に業者と共同して利用する場合には、当該共同利用は、社会通念上、は、当該共同利用は、社会通念上、共同して利用する者の範囲や利

共同して利用する者の範囲や利用目的等が当該個人データの本用目的等が当該個人データの本人が通常予期し得ると客観的に人が通常予期しうると客観的に認められる範囲内である必要が認められる範囲内である必要がある。その上で、当該個人データある。その上で、当該個人データの内容や性質等に応じて共同利の内容や性質等に応じて共同利用の是非を判断し、既に取得して用の是非を判断し、既に取得している事業者が保護法第15条第１いる事業者が保護法第15条第１

改

正

案

現

行

改

正

案

現

行

項の規定により特定した利用目

項の規定により特定した利用目的の範囲で共同利用しなければ的の範囲で共同利用しなければ

ならない。

ならない。

（参照条文等：保護法第27条、通則 （参照条文等：保護法第23条、通則
GL3-6-3）(19)（

GL3-4-3）
現行どおり ）

(17)

（

省

略 ）

（参照条文等：保護法第27条、通則 （参照条文等：保護法第23条、通則

５（ 現行どおり ）

５

（ 省

略 ）

GL2-14、3-6-2）

GL2-10、3-4-2）

(20)

（

現行どおり ）

(18)

（

省

略 ）

(21)

（

現行どおり ）

(19)

（

省

略 ）

(22)

（

現行どおり

(20)

（

省

略

）

）

（参照条文等：保護法第27条、通則 （参照条文等：保護法第23条、通則
GL3-6-3）
６ 協会員は、第４項第３号に規定す ６

協会員は、第４項第３号に規定す (23)（

GL3-4-3）
現行どおり ）

(21)

（

省

略 ）

る管理責任者の氏名、名称若しくはる利用者の利用目的又は管理責任 （参照条文等：保護法第27条、通則 （参照条文等：保護法第23条、通則

住所又は法人にあっては、その代表者の氏名又は名称を変更する場合 GL2-14、3-6-2、金融分野GL第12条、 GL2-10、3-4-2、金融分野GL第11条、者の氏名に変更があったときは遅は、変更する内容について、あらか 第４条）

滞なく、同号に規定する利用する者

じめ本人に通知し、又は本人が容易 (24)の利用目的又は当該管理責任者をに知り得る状態に置かなければなについては、社会通念上、本人が通変更しようとするときは、あらかじらない。

常予期し得る限度と客観的に認め第４条）「共同利用する者の利用目的」

め、その旨について、本人に通知し、られる範囲内で変更することがで又は本人が容易に知り得る状態にきる。

置かなければならない。

（

新

設 ）

（

省

略 ）

（参照条文等：保護法第27条、通則GL3-6-3）
(25)
38

（

現行どおり ）

(22)

改

正

案

現

行

改

正

案

現

行

（参照条文等：保護法第27条、通則 （参照条文等：保護法第23条、通則
GL3-6-3）（外国にある第三者への提供の制限）
第 14 条の２

GL3-4-3）（外国にある第三者への提供の制限）

協会員は、外国（本邦 第 14 条の２

協会員は、外国（本邦個人データの第三者への提供に関個人データの第三者への提供に関の域外にある国又は地域をいう。以の域外にある国又は地域をいう。以 しては、保護法第28条により「外国」 しては、保護法第24条により「外国」

下同じ。）（個人の権利利益を保護す

下同じ。）（個人の権利利益を保護す から除かれる場合、又は(2)若しくは から除かれる場合、又は(2)若しくはる上で我が国と同等の水準にあるる上で我が国と同等の水準にある (3)により「第三者」に該当しない場 (3)により「第三者」に該当しない場と認められる個人情報の保護に関と認められる個人情報の保護に関 合には、「外国にある第三者への個人 合には、「外国にある第三者への個人する制度を有している国として施する制度を有している国として施 データの提供を認める旨の本人の同 データの提供を認める旨の本人の同行規則で定めるものを除く。以下こ行規則で定めるものを除く。以下こ 意」を得る必要はないが、そうでない 意」を得る必要はないが、そうでないの条、次条及び第14条の５第１項第の条及び次条において同じ。）にあ 場合には、当該同意が必要となる。

１項第２号において同じ。）にあるる第三者（個人データの取扱いにつ

第三者（個人データの取扱いについいて個人情報取扱事業者が講ずべ 場合は、保護法第27条第１項各号に該 場合は、保護法第23条第１項各号に該て個人情報取扱事業者が講ずべききこととされている措置に相当す 当しない限り、外国にある第三者への 当しない限り、外国にある第三者へのこととされている措置に相当するる措置を継続的に講ずるために必 提供についての本人の同意が必要と 提供についての本人の同意が必要と措置（以下「相当措置」という。）

要なものとして施行規則で定める なることに注意のこと。すなわち、委 なることに注意のこと。すなわち、委を継続的に講ずるために必要なも基準に適合する体制を整備してい 託、事業承継又は共同利用（保護法第 託、事業承継又は共同利用（保護法第のとして施行規則で定める基準にる者を除く。以下、この条において 27条第５項各号に掲げる場合）であっ 23条第５項各号に掲げる場合）であっ適合する体制を整備している者を同じ。）に個人データを提供する場 ても、国内にある第三者への提供と異 ても、国内にある第三者への提供と異除く。以下、この項から第４項まで

合には、前条第１項各号に定める場 なり、本人の同意が必要となる。

及び第14条の５第１項第２号にお合を除くほか、あらかじめ外国にあいて同じ。）に個人データを提供する第三者への提供を認める旨の本 (1)る場合には、前条第１項各号に定め人の同意を得なければならない。こ ついて

外国にある第三者への提供となる

39

場合には、当該同意が必要となる。
外国にある第三者への提供となるなり、本人の同意が必要となる。

「外国」から除かれる「国」に (1)「外国」から除かれる「国」に

ついて

改

正

案

現

行

る場合を除くほか、あらかじめ外国の場合においては、同条の規定は適にある第三者への提供を認める旨

用しない。

改

正

案

現

行

法第28条に定める個人の権利利法第24条に定める個人の権利利益を保護する上で我が国と同等の益を保護する上で我が国と同等のの本人の同意を得なければならな水準にあると認められる個人情報水準にあると認められる個人情報

い。この場合においては、前条の規保護に関する制度を有している外保護に関する制度を有している外定は適用しない。

国として、施行規則第15条に基づき国として、施行規則第11条に基づき

平成31年個人情報保護委員会告示

平成31年個人情報保護委員会告示第１号に定められた国（※）が該当第１号に定められた国（※）が該当

する。

する。

※次に掲げる令和２年２月14日時※次に掲げる令和２年２月14日時

点における欧州経済領域協定に規定 点における欧州経済領域協定に規定された国※欧州経済領域協定に規定されたされた国※欧州経済領域協定に規定された

次に掲げる国が、令和２年２月14日以 次に掲げる国が、令和２年２月14日以降に変更された場合、速やかに対応す 降に変更された場合、速やかに対応することが求められる。
アイスランド、アイルランド、イタることが求められる。
アイスランド、アイルランド、イタ

リア、英国、エストニア、オーストリ リア、英国、エストニア、オーストリ
ア、オランダ、キプロス、ギリシャ、 ア、オランダ、キプロス、ギリシャ、
クロアチア、スウェーデン、スペイン、 クロアチア、スウェーデン、スペイン、
スロバキア、スロベニア、チェコ、デ スロバキア、スロベニア、チェコ、デンマーク、ドイツ、ノルウェー、ハン ンマーク、ドイツ、ノルウェー、ハン
ガリー、フィンランド、フランス、ブ ガリー、フィンランド、フランス、ブルガリア、ベルギー、ポーランド、ポ ルガリア、ベルギー、ポーランド、ポルトガル、マルタ、ラトビア、リトア ルトガル、マルタ、ラトビア、リトア
ニア、リヒテンシュタイン、ルーマニ ニア、リヒテンシュタイン、ルーマニ
40

改

正

案

現

行

改

正

案

現

ア及びルクセンブルク

ア及びルクセンブルク

(2)

(2)

（ 現行どおり ）（(3) 「個人情報取扱事業者が講ずべ (3)

41

行
省

略 ）

「個人情報取扱事業者が講ずべき措置に相当する措置を継続的にき措置に相当する措置を継続的に講ずるために必要なものとして定講ずるために必要なものとして定められる基準に適合する体制を整められる基準に適合する体制を整備している者」として、「第三者」

備している者」として、「第三者」から除かれる者についてから除かれる者について

個人データの取扱いについて個

個人データの取扱いについて個

人情報取扱事業者が講ずべきこと

人情報取扱事業者が講ずべきこととされている措置に相当する措置とされている措置に相当する措置を継続的に講ずるために必要なもを継続的に講ずるために必要なものとして基準に適合する体制を整のとして基準に適合する体制を整備している者については、本条に定備している者については、本条に定める本人の同意は不要となる。

める本人の同意は不要となる。

以下①又は②に該当する場合は、

以下①又は②に該当する場合は、当該体制を整備している者と認め当該体制を整備している者と認め

られる。

られる。

①

①

協会員と個人データの提供を協会員と個人データの提供を受ける者との間で、当該提供を受受ける者との間で、当該提供を受ける者における当該個人データ

ける者における当該個人データの取扱いについて、適切かつ合理の取扱いについて、適切かつ合理的な方法により、保護法第４章第的な方法により、保護法第４章第２節の規定の趣旨に沿った措置

１節の規定の趣旨に沿った措置の実施が確保されていること。

の実施が確保されていること。

改

正

案

現

行

改

正

案

現

行

【「保護法第４章第２節の規定の趣旨 【「保護法第４章第１節の規定の趣旨に沿った措置」のために備えるべき内 に沿った措置」のために備えるべき内
容】

容】

保護法第17条から第40条（ただし、保護法第15条から第35条（ただし、保護法第20条第２項、第27条第２項及 保護法第17条第２項、第25条、第26び第３項、第29条、第30条、第31条、 条、第34条は除く。）
第33条第５項、第32条及び第36条から
第38条までのうち第三者提供記録の開示に関連する手続等、第39条は除く。）【上記内容を備えている「国際的な枠 【上記内容を備えている「国際的な枠組み」の具体例（参考）】（

組み」の具体例（参考）】現行どおり ）（

省

略 ）【「適切かつ合理的な方法」について】 【「適切かつ合理的な方法」について】（②

現行どおり ）

（ 現行どおり ）

（
②

省

略 ）

（ 省

略 ）

（参照条文等：保護法第28条、施行規 （参照条文等：保護法第24条、施行規則第15条、第16条、通則GL3-6-4、外 則第11条、第11条の2、通則GL3-4-4、国GL）
２ 協会員は、前項の規定により本人

（ 新

設 ）

(4)

適用関係

の同意を得ようとする場合には、あ第２項の規定は、協会員が令和４らかじめ、次に掲げる情報を当該本

年４月１日以後に本人の同意を得人に提供しなければならない。ただる場合について適用される。

し、第３号に掲げる情報の提供がで(5)

きない場合には、その旨及びその理外国にある第三者への提供の同意を得る際には、原則として書面に
42

外国GL）
（

新

設 ）

改

正

案

現

行

改

正

案

由について情報提供しなければな

よることとし、当該書面における記らない。

載を通じて、左記の情報を本人に認

１

当該外国の名称識させた上で、同意を得ることとす

２

適切かつ合理的な方法によりる。なお、同意を得ようとする時点

得られた当該外国における個人

において、「４ 個人データの提供先情報の保護に関する制度に関すの第三者」が特定できない場合にる情報

は、本人に参考となるべき情報（例３

当該第三者が講ずる個人情報

えば、提供先の第三者の範囲や属性の保護のための措置に関する情

に関する情報）を本人に認識させた

報上で同意を得ることとする。

４

個人データの提供先の第三者

５

提供先の第三者における利用(6)・ 必要な情報を電子メールによ目的
６

り本人に送付する方法

第三者に提供される個人デー

・ 必要な情報を記載した書面をタの項目
３ 前項の規定にかかわらず協会員

情報提供の方法の具体例

本人に直接交付する方法
（ 新

設 ）

・ 必要な情報を本人に口頭で説は、第１項の規定により本人の同明する方法

意を得ようとする時点において、・ 必要な情報をホームページに提供先の第三者が所在する外国を掲載し、本人に閲覧させる方法

特定できない場合には、次に掲げ(7) 「適切かつ合理的な方法」の具る情報を当該本人に提供しなけれ

体例ばならない。ただし、第２号に掲

・ 提供先の外国にある第三者にげる情報の提供は、当該情報の提対して照会する方法

供が可能である場合に限る。
１・ 我が国又は外国の行政機関等

特定できない旨及びその具体が公表している情報を確認す
43

現

行

改

正

案

現

行

改

的な理由（提供先が定まる前に(8)

提供先の第三者が所在する外「当該外国における個人情報の保護に関する制度に関する情報」に国の名称に代わる本人に参考とついてなるべき情報４ 協会員は前項に規定する場合に案る方法

本人同意を得る必要性を含む。
）
２

正提供先の第三者が所在する外国
（ 新

設 ）

における個人情報の保護に関する

おいて、事後的に提供先の第三者制度と我が国の保護法との間の本が所在する外国が特定できたとき質的な差異を本人が合理的に認識には、本人の求めに応じて第２項

できる情報でなければならず、具体第１号から３号までに掲げる情報

的には次の観点を踏まえる必要がを本人に提供しなければならなある。

い。また、このような情報提供の①

求めが可能である旨を同意を得る

当該外国における個人情報の保護に関する制度の有無（※１）

際の書面における記載を通じて本②

当該外国の個人情報の保護に人に認識させるとともに、第24条

関する制度についての指標となに定める「個人情報保護宣言」とり得る情報の存在（※２）

一体としてインターネットのホー③

OECDプライバシーガイドライ

ムページへの常時掲載又は事務所

ン８原則に対応する事業者の義の窓口等での掲示・備付け等によ務又は本人の権利の不存在（※

り、公表しなければならない。た３）

だし、本人から情報提供の求めが④

その他本人の権利利益に重大あった場合であっても、情報提供な影響を及ぼす可能性のある制することにより協会員の業務の適度の存在（※４）

正な実施に著しい支障を及ぼすお（※１）提供先の第三者が所在する

それがある場合等は、情報の全部

外国において、個人情報の保護に
44

現

行

改

正

案

現

行

改

正

案

又は一部について情報提供しない関する制度が存在する場合には、ことができる。その場合、協会員

当該制度に係る法令の個別の名は、本人に対し、遅滞なくその旨称を本人に情報提供することはを通知するとともに、その理由を求められないが、本人の求めがあ

説明しなければならない。

った場合に情報提供できるようにしておくことが望ましい。
（※２）当該指標となり得る情報の提供を行う場合、当該指標となり得る情報が個人データの越境移転に伴うリスクとの関係でどのような意味を持つかについても、本人に情報提供することが望ましい。
【「当該外国の個人情報の保護に関する制度についての指標となり得る情報」の具体例】
・ 当該第三者が所在する外国
がGDPR第45条に基づく十分性認定の取得国であること
・ 当該第三者が所在する外国がAPECのCBPRシステムの加盟国であること（※３）OECDプライバシーガイドラ
インは、①収集制限の原則、②データ内容の原則、③目的明確化の
45

現

行

改

正

案

現

行

改

正

案

原則、④利用制限の原則、⑤安全保護措置の原則、⑥公開の原則、⑦個人参加の原則、⑧責任の原則の８原則を基本原則として定めている。なお、OECDプライバシー
ガイドライン８原則に対応する事業者の義務又は本人の権利が全て含まれる場合には、その旨を本人に情報提供すれば足りる。
（※４）提供先の第三者が所在する
外国において、我が国の制度と比較して、当該外国への個人データの越境移転に伴い当該個人デー
タに係る本人の権利利益に重大な影響を及ぼす可能性のある制度が存在する場合には、当該制度の存在について本人に情報提供しなければならない。
【④の「本人の権利利益に重大な影響を及ぼす可能性のある制度」の具体例】
・ 事業者に対し政府の情報収集
活動への広範な努力義務を課すことにより、事業者が保有する個人情報について政府によ
46

現

行

改

正

案

現

行

改

正

案

る広範な情報収集が可能となる制度
・ 事業者が本人からの消去等の請求に対応できないおそれがある個人情報の国内保存義務
に係る制度
(9)

「当該第三者が講ずる個人情報の保護のための措置に関する情報」
について
当該外国にある第三者が講ずる個人情報の保護に関する措置と我が国の保護法により個人データの取扱いについて個人情報取扱事業者に求められる措置の内容について、本人が合理的に認識できる情報
でなければならない。具体的には、提供先の外国にある第三者が、OECD
プライバシーガイドライン８原則に対応する措置（本人の権利に基づ
く請求への対応に関する措置を含む。）を講じていない場合には、当該講じていない措置の内容について、本人が合理的に認識できる情報が提供されなければならない。な
お、提供先の外国にある第三者が、
47

現

行

改

正

案

現

行

改

正

案

OECDプライバシーガイドライン８原則に対応する措置を全て講じているときは、その旨を本人に情報提供すれば足りる。また、事後的に当該情報についての情報提供が可能となった場合には、本人の求めに応じて情報提供することが望ましい。
(10) 「提供先の第三者が所在する外国を特定できない場合」とは、例えば、外国証券取引口座を開設する顧客について、どの外国当局・保管機関等から当該顧客の個人データの提供要請を受けるかを予め特定することができないことから、協会員
が「外国証券取引口座約款」（参考様式）において、口座開設時点で外国にある第三者への提供の同意を
予め包括的に得ている場合が該当する。
(11) 「提供先の第三者が所在する外国の名称に代わる本人に参考となるべき情報」とは、例えば、移転先の外国の範囲が具体的に定まっている場合における当該範囲に関する情報が該当する。（10）の場合に
48

現

行

改

正

案

現

行

改

正

案

現

行

は、例えば、自社が取り扱う外国証
券の発行国等を記載する。
(12) 「事後的に提供先の第三者が所在する外国が特定できた場合」には、本人の求めに応じて第２項第１号から３号までに掲げる情報を本人に提供するとともに、事後的に特定できた外国の名称をインターネ
ットのホームページへの掲載等により、公表するとともに、定期的に更新することが望ましい。
(13)

情報提供により協会員の業務の適正な実施に著しい支障を及ぼすおそれがある場合の具体例については、外国GL6-2-2を参照する。
（参照条文等：保護法第28条、施行規則第17条、通則GL3-6-4、外国GL、金融分野GL第13条）
５ 協会員は、個人データを外国にあ

（ 新

設 ）

(14)

適用関係

る第三者（第１項に規定する体制を

第５項の規定は、協会員が令和４整備している者に限る。以下この項

年４月１日以後に同項に規定するから第７項までにおいて同じ。
）に外国にある第三者に個人データを提供する場合には、当該提供の時点

提供した場合について適用される。

で、当該第三者による相当措置の実(15)施に影響を及ぼすおそれのある当相当措置の実施に影響を及ぼすおそれのある制度の具体例
49

（

新

設 ）

改

正

案

現

行

改

正

案

該外国の制度の有無及び内容、当該・ 事業者に対し政府の情報収集活制度がある場合においては、当該第動への広範な協力義務を課すこ三者による相当措置の実施の確保とにより、事業者が保有する個人の可否を、適切かつ合理的な方法に情報について政府による広範なより、確認しなければならない。

情報収集が可能となる制度

６ 協会員は前項の規定により、第三

（ 新

設 ）

・ 事業者が本人からの消去等の請者に個人データを提供した場合、当求に対応できないおそれがある該第三者による相当措置の継続的

個人情報の国内保存義務に係るな実施を確保するために必要な措制度置として、次の措置を講じなければ(16) 「定期的に確認」とは、年に１ならない。

回程度又はそれ以上の頻度で確認

１

当該第三者による相当措置のすることをいう。また、相当措置の実施状況並びに当該相当措置の実施状況は、外国にある第三者に提実施に影響を及ぼすおそれのあ供する個人データの規模及び性質る当該外国の制度の有無及びそ並びに個人データの取扱状況等にの内容を、適切かつ合理的な方法起因するリスクに応じて、個人デー

により、定期的に確認すること

タを取り扱う場所に赴く方法又は

２

当該第三者による相当措置の書面により報告を受ける方法によ

実施に支障が生じたときは、必要り確認する。

かつ適切な措置を講ずるととも(17)

協会員は、第三者に個人データに、当該相当措置の継続的な実施を提供した場合、提供先の第三者がの確保が困難となったときは、個所在する外国の名称をインターネ

人データの当該第三者への提供

ットのホームページへの掲載等にを停止すること

より、公表するとともに、定期的に７ 協会員は、第５項の規定により第

（ 新

設 ）

更新することが望ましい。
50

現

行

改

正

案

現

行

改

正

案

三者に個人データを提供した場合、（参照条文等：保護法第28条、施行規

本人の求めを受けたときには、遅滞則第18条、通則GL3-6-4、外国GL、金なく、次に掲げる情報を本人に提供

融分野GL第13条）

しなければならない。また、このよ
うな情報提供の求めが可能である
旨を、第24条に定める「個人情報保護宣言」と一体としてインターネッ
トのホームページへの常時掲載又は事務所の窓口等での掲示・備付け等により、公表しなければならない。ただし、情報提供することにより当該協会員の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、その全部又は一部を提供しないことができる。その場合、協会員は、本人に対し、遅滞なくその旨を通知するとともに、その理由を説明しなければならない。
１

外国にある第三者が第１項に規定する体制を整備する方法

２

外国にある第三者が実施する相当措置の概要
３

外国にある第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそ
51

現

行

改

正

案

現

行

改

正

案

現

行

れのある制度の有無及びその内容の確認に関して、その方法及び頻度４

当該外国の名称

５

外国にある第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無
及びその概要６

外国にある第三者による相当措置の実施に関する支障の有無
及びその概要７

外国にある第三者による相当措置の実施に支障が生じた場合
において、当該支障の解消・改善のために提供元の協会員が講ずる措置の概要（第三者提供に係る記録の作成等）
第 14 条の３（第三者提供に係る記録の作成等）

協会員は、第三者（保 第 14 条の３

協会員は、第三者（保 (1)（

現行どおり ）

(1)

省

略 ）

護法第16条第２項各号に掲げる者

護法第２条第５項各号に掲げる者 (2)を除く。本条から第14条の５まで同を除く。本条から第14条の５まで同より、オプトアウトによって、第三より、オプトアウトによって、第三じ。）に個人データを提供した場合

じ。）に個人データを提供した場合

者に個人データを提供した場合に者に個人データを提供した場合にには、個人データを提供した年月には、個人データを提供した年月は、次の項目についての記録を作成

は、次の項目についての記録を作成

日、当該第三者の氏名又は名称その日、当該第三者の氏名又は名称その

すること。

すること。

他の施行規則で定める事項に関す

他の施行規則で定める事項に関す

①

①

52

保護法第 27 条第２項の規定に (2)（（ 現行どおり ）保護法第 23 条第２項の規定に

（ 省

略 ）

改

正

案

現

行

改
②

正

案

当該第三者の氏名又は名称及

現②

行る記録を作成しなければならない。

る記録を作成しなければならない。

当該第三者の氏名又は名称そ

ただし、国内にある第三者への提ただし、国内にある第三者への提び住所並びに法人にあっては、その他の当該第三者を特定するに足供においては、次の第１号から第７

供においては、次の第１号から第７の代表者（法人でない団体で代表

りる事項（不特定かつ多数の者に対号に該当する場合、記録の作成を要号に該当する場合、記録の作成を要者又は管理人の定めのあるもの

して提供したときは、その旨）

しないものとする。

しないものとする。

にあっては、その代表者又は管理

また、外国にある第三者への提供

また、外国にある第三者への提供人）の氏名（不特定かつ多数の者においては、次の第１号から第４号

においては、次の第１号から第４号に対して提供したときは、そのに該当する場合、また、当該第三者に該当する場合、また、当該第三者

旨）が施行規則で定める基準を満たしが施行規則で定める基準を満たしているものであって、保護法第27ているものであって、保護法第23 (3)条第５項各号に掲げる場合、記録の条第５項各号に掲げる場合、記録の条第１項の規定により、第三者に個条の規定により、第三者に個人デー作成を要しないものとする。

作成を要しないものとする。

人データを提供した場合には、次のタを提供した場合には、次の項目に

１～７

項目についての記録を作成するこ

ついての記録を作成すること（都度と（都度本人の同意を得る場合 ※本人の同意を得る場合

第三者が国内にあっても外国にあが国内にあっても外国にあってもっても同じ。）。

同じ。）。

①

①

１～７

（ 現行どおり）（ 省③・④（ 現行どおり ）略 ）③・④（ 省

保護法第 27 条第１項又は第 28 (3)保護法第 27 条第１項又は第 28条第１項の本人の同意を得てい略 ）保護法第 23 条第１項又は第 24※第三者保護法第 23 条第１項又は第 24条の本人の同意を得ている旨る旨②

当該第三者の氏名又は名称及当該第三者の氏名又は名称そび住所並びに法人にあっては、その他の当該第三者を特定するにの代表者（法人でない団体で代表足りる事項（不特定かつ多数の者

者又は管理人の定めのあるものに対して提供したときは、そのにあっては、その代表者又は管理旨）人）の氏名（不特定かつ多数の者
53

②

改

正

案

現

行

改

正

案

現

行

に対して提供したときは、その旨）③・④（ 現行どおり ）(4)～(7) （

現行どおり

）

③・④

（

(4)～(7) （

省
省

略
略

）
）

（参照条文等：保護法第29条、確認記 （参照条文等：保護法第23条、確認記
録GL）（第三者提供を受ける際の確認等）
第 14 条の４

録GL２、３）（第三者提供を受ける際の確認等）

協会員は、第三者から 第 14 条の４

協会員は、第三者から (1)・(2)（

現行どおり ）

(1)・(2) （略）

個人データの提供を受けるに際し、個人データの提供を受けるに際し、 (3)次に掲げる場合を除き、当該第三者

次に掲げる場合を除き、当該第三者受けた場合は、次の項目についての受けた場合は、次の項目についてのの氏名又は名称及び住所並びに法の氏名又は名称及び住所並びに法記録を作成すること。

記録を作成すること。

人にあってはその代表者（法人でな

人にあってはその代表者（法人でな①①

い団体で代表者又は管理人の定めい団体で代表者又は管理人の定め

トアウトにより個人データの第トアウトにより第三者提供を受のあるものにあってはその代表者のあるものにあってはその代表者三者提供を受けた場合

けた場合

又は管理人）の氏名、当該第三者に又は管理人）の氏名、当該第三者にイ～へ（ 現行どおり ）イ～へ（ 省

よる当該個人データの取得の経緯

よる当該個人データの取得の経緯の確認を行い、保護法第30条第３項の確認を行い、保護法第26条第３項の本人の同意により個人データの本人の同意により第三者提供に定める事項に関する記録を作成に定める事項に関する記録を作成の第三者提供を受けた場合を受けた場合しなければならない。

しなければならない。

イイ

ただし、実質的に「提供者」によ

ただし、実質的に「提供者」による提供ではないものについては、確る提供ではないものについては、確認義務は適用されない。

認・記録義務は適用されない。

１～７ （ 現行どおり ）１～７（ 省

第三者から個人データの提供を (3)省

個人情報取扱事業者からオプ②

個人情報取扱事業者から都度保護法第27条第１項又は第

③

②

略 ）

個人情報取扱事業者から都度保護法第23条第１項又は第24条の本人の同意を得ている

ている旨

旨

個人関連情報取扱事業者から保護法第31条第１項の規定によ
54

個人情報取扱事業者からオプ

28条第１項の本人の同意を得
ロ～ホ（ 現行どおり ）略 ）第三者から個人データの提供をロ～ホ（ 省
（

新

略 ）
設 ）

改

正

案

現

行

改

正

案

現

行

る個人関連情報の提供を受けて個人データとして取得した場合
イ 保護法第31条第１項第１号の本人の同意が得られている旨
及び外国にある個人情報取扱事業者にあっては、同項第２号の規定による情報の提供が行われている旨ロ 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者
又は管理人）の氏名
ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事
項ニ 当該個人関連情報の項目④

私人などから個人データの第③

私人などから第三者提供を受三者提供を受けた場合

けた場合イ～ニ（ 現行どおり ）イ～ニ（ 省(4)～(8) （

現行どおり

）

(4)～(8) （

省

略 ）
略

）

（参照条文等：保護法第30条、施行規 （参照条文等：保護法第25条、確認記
則第24条、通則GL3-7-6、確認記録GL） 録GL２、４）
55

改

正

案

現

行

（ 新

設 ）

改

正

案

現

行

（個人関連情報の第三者提供の制限）
第 14 条の５

協会員は、第三者が個(1)

人関連情報（第２条11号に掲げる個「個人データとして取得する」

について

人関連情報データベース等を構成「個人データとして取得する」とするものに限る。以下この条においは、提供先の第三者において、個人て同じ。）を個人データとして取得

データに個人関連情報を付加するすることが想定されるときは、第14等、個人データとして利用しようと

条第１項各号に掲げる場合を除く

する場合をいう。

ほか、次に掲げる事項について、あ

提供先の第三者が、提供を受けた

らかじめ確認しないで、当該個人関個人関連情報を、ID 等を介して提連情報を当該第三者に提供しては供先が保有する他の個人データにならない。

付加する場合には、「個人データと１して取得する」場合に該当する。

当該第三者が協会員から個人

関連情報の提供を受けて本人が(2)「想定される」について識別される個人データとして取「想定される」とは、提供元の個得することを認める旨の当該本

人関連情報取扱事業者において、提人の同意が得られていること

供先の第三者が「個人データとして

２

外国にある第三者への提供に取得する」ことを現に想定している

あっては、前号の本人の同意を得場合、又は一般人の認識（※）を基ようとする場合において、あらか

準として「個人データとして取得す

じめ、当該外国における個人情報る」ことを通常想定できる場合をいの保護に関する制度、当該第三者う。

が講ずる個人情報の保護のため【現に想定している場合に該当すの措置その他当該本人に参考とる例 】

なるべき情報が当該本人に提供①
56

提供元の個人関連情報取扱事

（

新

設 ）

改

正

案

現

行

改

正

案

されていること業者が、顧客情報等の個人デー

協会員は個人関連情報取扱事業

タを保有する提供先の第三者に者から個人関連情報の提供を受け対し、ID等を用いることで個人て個人データとして取得するに当関連情報を個人データと紐付けたり、本人の同意を得ようとする場て取得することが可能であるこ合（提供元の個人関連情報取扱事業とを説明している場合

２

者に同意取得を代行させる場合を②

提供元の個人関連情報取扱事含む。）には、次に掲げる情報を本業者が、提供先の第三者から、人に提供しなければならない。

個人関連情報を受領した後に個

１

人データと紐付けて取得するこ対象となる個人関連情報の項

目
２とを告げられている場合
個人関連情報の提供を受けて【通常想定できる場合に該当する

個人データとして取得した後の

例】

利用目 的

・

個人関連情報を提供する際、３ 第14条の２第６項の規定は、第１

提供先の第三者において当該個項の規定により協会員が個人関連

人関連情報を氏名等と紐付けて情報を提供する場合について準用

利用することを念頭に、そのたする。

めに用いる ID 等も併せて提供

４ 前条の記録義務の規定は、第１項する場合の規定により協会員が確認する場（※）ここでいう「一般人の認識」

合について準用する。

とは、同種の事業を営む事業者の一般的な判断力・理解力を前提とする認識をいう。
(3)「本人の同意」について同意取得の方法としては、協会員

57

現

行

改

正

案

現

行

改

正

案

が個人関連情報取扱事業者から個人関連情報の提供を受けて個人データとして取得するに当たって、本人の同意を得る（提供元の個人関連
情報取扱事業者に同意取得を代行させる場合を含む。）際には、原則として書面によることとし、当該書面における記載を通じて、左記情報を本人に認識させた上で同意を得ることとする。なお、協会員は、個
人関連情報の提供を受けて本人が識別される個人データとして取得した場合には、保護法第21条に従い、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を本人に通知し、又は公表しなければならないとされていることに留意する。
また、本人の同意は、必ずしも第三者提供のたびに取得しなければならないものではなく、本人が予測できる範囲において、包括的に同意を取得することも可能である。
(4)

本人の同意等の確認の方法につ

いて
58

現

行

改

正

案

現

行

改

正

案

本人から同意を得る主体は、原則として本人と接点を持ち、情報を利用する主体となる提供先の第三者となり、個人関連情報取扱事
業者は、当該第三者から申告を受ける方法その他の適切な方法によって本人同意が得られていることを確認することになる。
【第三者から申告を受ける方法に該当する事例】①

提供先の第三者から口頭で申告を受ける方法②

提供先の第三者が本人の同意を得ていることを誓約する
書面を受け入れる方法【その他の適切な方法に該当する
事例】①

提供先の第三者が取得した本人の同意を示す書面等を確
認する方法

②

提供元の個人関連情報取扱
事業者において同意取得を代行して、当該同意を自ら確認す
る方法

(5)
59

個人関連情報の提供先が外国に

現

行

改

正

案

現

行

改

正

案

ある第三者である場合について本人の同意が得られていることを確認するに当たって、当該同意が得られていることに加え、当該同意を得ようとする時点において次の情報が当該本人に提供されていることを確認（※１）しなければならない。
①

当該外国の名称②

適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報③

当該第三者が講ずる個人情報の保護のための措置に関する情報
ただし、次のいずれかに該当する
場合には、本人同意の取得時に上記の①から③までの情報が提供されていることを確認する必要はない。
・ 当該第三者が個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報保護制度を有している国にある
場合
60

現

行

改

正

案

現

行

改

正

案

・ 当該第三者が個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備している場合（※
２）（※１）本人から同意を得る主体は、原則として本人と接点を持ち、情報を利用する主体となる提供先の第三者となり、協会員は、書面の提示を受ける方法その他の適切な方法によって必要な情報の提供が行われていることを確認しなければならない。
【書面の提示を受ける方法に該当する事例】①

提供先の第三者が本人に対して保護法第31条第１項第２号の規定による情報の提供を行う際に使用している書面の提示を受ける方法②

提供先の第三者が本人に対してホームページ上で保護法第31条第１項第２号の規定による情報の提供を行っている
場合において、当該ホームペー

61

現

行

改

正

案

現

行

改

正

案

ジの写しの提示を受ける方法③

提供先の第三者が本人に対して保護法第31条第１項第２号の規定による情報の提供を行っていることを誓約する書
面を受け入れる方法【その他の適切な方法に該当する
事例】①

提供先の第三者が本人に対してホームページ上で保護法第31条第１項第２号の規定による情報の提供を行っている
場合において、当該ホームペー
ジの記載内容を確認する方法②

提供元の個人関連情報取扱
事業者において同意取得を代行している場合において、同意取得に当たって必要な情報が提供されていることを自ら確認する方法（※２）第３項の準用規定がある
ため、第14条の２第６項の措置を講じる必要がある点に留意する。
(6)

協会員が確認を行った場合は、次の項目についての記録を作成す
62

現

行

改

正

案

現

行

改

正

案

ること。
①

保護法第31条第１項第１号の本人の同意が得られていることを確認した旨及び外国にある第三者への提供にあっては、同項第２号の規定による情報の提供が行われていることを確認した
旨②

個人関連情報を提供した年月日③

当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又
は管理人。
）の氏名
④
(7)

当該個人関連情報の項目
確認した上記(6)の内容について、文書、電磁的記録又はマイクロフィルムにより記録を作成すること。
（参照条文等：保護法第16条、第31条、施行規則第26条、第27条、第28条、通則GL3-7、金融分野GL第14条）
63

現

行

改

正

案

現

行

改

正

案

現

行

（第三者提供時の記録に係る保存期 （第三者提供時の記録に係る保存期間）

間）

第 14 条の６ 第14条の３、第14条の 第 14 条の５ 第14条の３及び第14(1)

個人データ又は個人関連情報の (1)個人データの第三者提供があっ

４及び第14条の５に従い作成した条の４に従い作成した記録につい第三者提供があった場合には、次にた場合には、次に掲げる場合に従記録については、当該記録を作成しては、当該記録を作成した日から掲げる場合に従い、作成した記録をい、作成した記録を保存すること。

た日から施行規則で定める期間保施行規則で定める期間保存しなけ

保存すること。

存しなければならない。

ればならない。

①

施行規則第19条第３項又は施①

施行規則第12条第３項に定め

行規則第23条第３項若しくは施る方法により記録を作成する場

行規則第27条第３項に定める方合には、最後に当該記録に係る個法により記録を作成する場合に人データの提供があった日からは、最後に当該記録に係る個人デ起算して１年を経過する日まで

ータ又は個人関連情報の提供があった日から起算して１年を経過する日まで②

施行規則第19条第２項ただし②

施行規則第12条第２項又は施書又は施行規則第23条第２項た行規則第16条第２項に定める方だし書若しくは施行規則第27条

法により記録を作成する場合に第２項ただし書に定める方法には、最後に当該記録に係る個人デより記録を作成する場合には、最ータの提供があった日から起算

後に当該記録に係る個人データ

して３年を経過する日まで

又は個人関連情報の提供があった日から起算して３年を経過する日まで※

なお、複数人の個人データ又は個人関連情報の提供がある場合、
64※

なお、複数人の個人データの提供がある場合、個人ごとではなく

改

正

案

現

行

改

正

案

現

行

個人ごとではなく一括して作成

一括して作成することもできる。

することもできる。この場合、保この場合、保存期間は各個人ごと

存期間は各個人ごとに計算する。

に計算する。

③(2)①②以外の場合は、３年③

個人データ又は個人関連情報の (2)①②以外の場合は、３年
個人データの提供にあたり、伝提供にあたり、伝送日時、伝送先等

送日時、伝送先等のログを、本項にのログを、本項における記録の一部

おける記録の一部として利用するとして利用することは可能である。

ことは可能である。

（参照条文等：保護法第29条、第30 （参照条文等：保護法第25条、第26条、第31条）（保有個人データに関する事項の（保有個人データに関する事項の

公表等）

公表等）

第 15 条協会員は、保有個人デー 第 15 条

協会員は、保有個人データ (1)条）

保有個人データに関する事項を (1)

保有個人データに関する事項をタに関し、次に掲げる事項についに関し、次に掲げる事項について、「本人の知り得る状態（本人の求め「本人の知り得る状態（本人の求めて、本人の知り得る状態（本人の本人の知り得る状態（本人の求めにに応じて遅滞なく回答する場合をに応じて遅滞なく回答する場合を求めに応じて遅滞なく回答する場

応じて遅滞なく回答する場合を含含む。）」に置く際の具体例（第１項）

含む。）」に置く際の具体例（第１項）

合を含む。
）に置かなければならな

む。）に置かなければならない。な

本人が知ろうと思えば知ること

本人が知ろうと思えば知ることい。なお、利用目的に第三者提供

お、利用目的に第三者提供が含まれができる状態をいい、協会員は、販ができる状態をいい、協会員は、販が含まれる場合には、第２号の内る場合には、第２号の内容として、売方法等の事業の態様に応じて、例

売方法等の事業の態様に応じて、例

容として、その旨を明らかにしな

その旨を明らかにしなければならえば、次のような方法により、適切

えば、次のような方法により、適切ければならない。

ない。

な措置を講ずる必要がある。

な措置を講ずる必要がある。

①・②（ 現行どおり ）①・②（ 省③③

ホームページへの継続的な掲

載（保有個人データに関する事項
65

略 ）ホームページへの継続的な掲
載

改

正

案

現

行

改

正

案

現

行

が示された画面に１回程度の操作で遷移するよう設定したリンクを「個人情報保護宣言」に継続的に掲載することを含む。）④・⑤（ 現行どおり ）

④・⑤ （

省

略 ）

（参照条文等：保護法第32条、通則 （参照条文等：保護法第27条、通則GL3-8-1）
１

協会員の名称及び住所並びに１

協会員の名称（参照条文等：保護法第32条、通則 （参照条文等：保護法第27条、通則

代表者の氏名２

GL3-8-1）

全ての保有個人データの利用（ 同

GL3-5-1）

左 ）GL3-5-1）

・ 利用目的に第三者提供が含まれる ・ 利用目的に第三者提供が含まれる

目的（ただし、第９条第４項第１

場合は、その旨も明らかにするこ

場合は、その旨も明らかにするこ

号から第３号に該当する場合を

と。

と。

除く。）

（参照条文等：保護法第32条、通則 （参照条文等：保護法第27条、通則GL3-8-1）

３

次項の規定による求め又は次

３GL3-5-1）

次項の規定による求め又は次 （参照条文等：保護法第32条、通則 （参照条文等：保護法第27条、通則条第１項（同条第３項において準条第１項、第17条第１項若しくは GL3-8-1）

用する場合を含む。
）、第 17 条第第18条第１項若しくは第２項の１項若しくは第 18 条第１項から規定による請求に応じる手続（第第３項の規定による請求に応じ21条の規定により手数料の額をる手続（第 21 条の規定により手定めたときは、その手数料の額を

数料の額を定めたときは、その手含む。）

GL3-5-1）

数料の額を含む。
）
４

保有個人データの安全管理の

（ 新

設 ）

（参照条文等：保護法第32条、施行令

ために講じた措置（本人の知り得第10条、通則GL3-8-1）る状態（本人の求めに応じて遅滞
66

（

新

設 ）

改

正

案

現

行

（ 同

左 ）

改

正

案

現

行

なく回答する場合を含む。）に置くことにより当該保有個人デー
タの安全管理に支障を及ぼすおそれがあるものを除く。
）
５

保有個人データの取扱いに関４（参照条文等：保護法第32条、通則 （参照条文等：保護法第27条、通則する自社における苦情の申出先
６

認定個人情報保護団体の名称

GL3-8-1）
５

（ 同

左 ）

（参照条文等：保護法第32条、通則 （参照条文等：保護法第27条、通則及びその苦情の解決の申出先
２（ 現行どおり ）２（ 省

GL3-5-1）

略 ）GL3-8-1）

GL3-5-1）(2)(2)（ 現行どおり ）

（ 省

略 ）「

（参照条文等：保護法第32条、施行令 （参照条文等：保護法第27条、施行令第10条、通則GL3-8-1、金融分野GL第 第８条、通則GL3-5-1、金融分野GL第15条）
１・２（ 現行どおり ）１・２ （ 省

略 ）

３

３

略 ）

（ 現行どおり ）（ 省（参照条文等：保護法第32条、通則
GL3-8-1）（開第 16 条示）（開協会員は、本人から、当該 第 16 条

12条）
（参照条文等：保護法第27条、通則GL3-5-1）

示）
協会員は、本人から、当該 (1)

電磁的記録の提供による方法に本人が識別される保有個人データ

本人が識別される保有個人データ

ついては、協会員がファイル形式やの開示（存在しないときにはその旨の開示（存在しないときにはその旨

記録媒体など具体的な方法を定めを知らせることを含む。
）の請求をを知らせることを含む。）の請求をることができるが、可読性・検索性受けたときは、本人に対し、電磁的受けたときは、本人に対し、書面ののある形式による提供や、技術的に記録の提供による方法、書面の交付交付による方法（開示の請求を行っ可能な場合には、他の事業者へ移行

による方法、その他協会員が定めるた者が同意した方法があるときは可能な形式による提供を含め、でき方法のうち本人が請求した方法（当その方法）により、遅滞なく、当該る限り本人の要望に沿った形で対
67

（

新

設 ）

改

正

案

現

行

改

正

案

現

該方法による開示に多額の費用を保有個人データを開示しなければ要する場合その他の当該方法によならない。ただし、開示することに (2) 「電磁的記録の提供による方法」 (1)

る開示が困難である場合にあってより次のいずれかに該当する場合

は、書面の交付による方法）により、は、その全部又は一部を開示しない

遅滞なく、当該保有個人データを開ことができる。

応することが望ましい。
の具体例
例えば、次のような方法がある。
①

電磁的記録をCD-ROM等の媒体

示しなければならない。ただし、開に保存して、当該媒体を郵送する

示することにより次のいずれかに方法

該当する場合は、その全部又は一部②

を開示しないことができる。
１（ 現行どおり ）行

電磁的記録を電子メールに添「開示の請求を行った者が同意した方法」の具体例（第１項）
例えば、次のような方法がある。
①

電子メール等による方法②

電話による方法

付して送信する方法
１

（ 省

略 ）

③

会員専用サイト等のウェブサ

イト上で電磁的記録をダウンロ
ードしてもらう方法(3)「その他協会員が定める方法」

（

新

設 ）

（

新

設 ）

の具体例
例えば、次のような方法がある。
①

協会員が指定した場所における音声データの聴取②

協会員が指定した場所における文書の閲覧
(4)「当該方法による開示が困難である場合」の具体例
例えば、次のような事例がある。
・ 本人が電磁的記録の提供による開示を請求した場合であって、協会員が当該開示請求に応じるた
68

改

正

案

現

行

改

正

案

現

行

（ 省

略 ）

めに、大規模なシステム改修を行わなければならないような場合(5)（ 現行どおり ）(2)（参照条文等：保護法第33条、通則 （参照条文等：保護法第28条、通則GL3-8-2）
２（ 現行どおり ）

２

（ 省

略 ）

(6)

GL3-5-2）「協会員の業務の適正な実施に (3)「協会員の業務の適正な実施に著しい支障を及ぼすおそれがある

著しい支障を及ぼすおそれがある場合」に該当する例（第１項第２号）

場合」に該当する例（第１項第２号）

例えば、次のような場合が該当

例えば、次のような場合が該当る。

る。

①～③（ 現行どおり ）①～③（ 省

略 ）

④

④

設 ）

電磁的記録の提供にふさわし（ 新

い音声・動画ファイル等のデータを、あえて書面で請求することにより、業務上著しい支障を及ぼす恐れがある場合
(7)

（

現行どおり

）

(4)

（

現行どおり

）

（参照条文等：保護法第33条、通則 （参照条文等：保護法第28条、通則GL3-8-2）
３（ 現行どおり ）

３

（ 省

略 ）

(8)

69

GL3-5-2）「他の法令に違反することとな (8)「他の法令に違反することとなる場合」とは、例えば、刑法第134る場合」とは、例えば、刑法第134条（秘密漏示罪）や電気通信事業法条（秘密漏示罪）や電気通信事業法第４条（通信の秘密の保護）に違反

第４条（通信の秘密の保護）に違反することとなる場合が該当する。

することとなる場合が該当する。

（第１項第３号）（第１項第３号）

改

正

案

現

行

改

正

案

現

行

また、他の法令の規定により、保また、他の法令の規定により、保

護法第33条第２項本文に規定する

護法第28条第２項及び施行令第９方法に相当する方法により当該本条に定める方法に相当する方法（書人が識別される保有個人データを面の交付による方法（開示の請求を開示することとされている場合に行った者が同意した方法があるとは、保護法第33条第１項及び第２項

きは、当該方法））により当該本人の規定は適用されず、当該他の法令が識別される保有個人データを開の規定が適用される。

示することとされている場合には、（参照条文等：保護法第33条、通則

保護法第28条第１項及び第２項のGL3-8-2）

規定は適用されず、当該他の法令の規定が適用される。
（参照条文等：保護法第28条、通則GL3-5-2）

２ 協会員は、前項の規定による請求 ２

協会員は、前項の規定による請求 (9)（現行どおり ）

(6)

（

省

略 ）

に係る保有個人データの全部若しに係る保有個人データの全部又は （参照条文等：保護法第33条、施行令 （参照条文等：保護法第28条、施行令

くは一部について開示しない旨の一部について開示しない旨の決定 第11条、通則GL3-8-2、金融分野GL第第９条、通則GL3-5-2、金融分野GL決定をしたとき、当該保有個人デーをしたとき又は当該保有個人デー 17条）

第13条）

タが存在しないとき、又は本人が請

タが存在しないときは、本人に対求した方法による開示が困難であし、遅滞なく、その旨を通知しなけるときは、本人に対し、遅滞なく、ればならない。また、その決定の理

その旨を通知しなければならない。

由について、根拠とした法の条文及なお、本人が請求した方法による開び判断の基準となる事実を示して示が困難であるときは、その旨を本説明することとする。

人に通知したうえで、書面の交付による方法により開示を行わなけれ
70

改

正

案

現

行

（ 新

設 ）

改

正

案

現

行

ばならない。また、その決定の理由について、根拠とした法の条文及び判断の基準となる事実を示して説明することとする。
３

前２項の規定は当該本人が識別(10)「第三者提供記録」についてされる個人データに係る第14の３

第三者提供記録とは、保護法第29及び第14条の４の規定による第三条第１項及び第30条第３項の記録

者提供記録（その存否が明らかになのうち、次に掲げるものを除いたもることにより公益その他の利益がのをいう。

害されるものとして施行令で定め①るものを除く。）について準用する。

当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶ
おそれがあるもの②

当該記録の存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの③

当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれが
あるもの
④
71

当該記録の存否が明らかにな

（

新

設 ）

改

正

案

現

行

改

正

案

現

行

ることにより、犯罪の予防、鎮圧
又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの（参照条文等：保護法第33条、施行令
第11条、通則GL3-8-3）
（訂

正 等）

（訂

第 17条（ 現行どおり ）

第17条

正

等）

（ 省

略 ）

(1)・(2)（

現行どおり ）

(1)・(2)（

省

略 ）（参照条文等：保護法第34条、通則 （参照条文等：保護法第29条、通則GL3-8-3）
２（ 現行どおり ）

２

（ 省

略 ）

(3)

（

GL3-5-3）
現行どおり ）

(3)

（

省

略 ）

（参照条文等：保護法第34条、金融分 （参照条文等：保護法第29条、金融分
野GL第17条）（利用停止等）
第 18 条野GL第14条）（利用停止等）協会員は、本人から、当該 第 18 条

協会員は、本人から、当該 (1)・(2)（

現行どおり ）

(1)・(2)（

省

略 ）本人が識別される保有個人データ

本人が識別される保有個人データ （参照条文等：保護法第35条、通則 （参照条文等：保護法第30条、通則が第６条若しくは第７条の２の規が第６条の規定に違反して取り扱 GL3-8-5）

定に違反して取り扱われたものでわれたものであるという理由又はあるという理由又は第８条の規定

第８条の規定に違反して取得されに違反して取得されたという理由たという理由によって、当該保有個によって、当該保有個人データの利

人データの利用の停止又は消去（以用の停止又は消去（以下「利用停止

下「利用停止等」という。）の請求等」という。）の請求を受けた場合を受けた場合であって、その請求に72

GL3-5-4）

改

正

案

現

行

改

であって、その請求に理由があるこ

理由があることが判明したときは、とが判明したときは、違反を是正す

違反を是正するために必要な限度

るために必要な限度で、遅滞なく、で、遅滞なく、当該保有個人データ

当該保有個人データの利用停止等の利用停止等を行わなければならを行わなければならない。ただし、ない。ただし、当該保有個人データ

当該保有個人データの利用停止等の利用停止等に多額の費用を要すに多額の費用を要する場合その他

る場合その他の利用停止等を行うの利用停止等を行うことが困難なことが困難な場合であって、本人の場合であって、本人の権利利益を保権利利益を保護するため必要なこ護するため必要なこれに代わるべれに代わるべき措置をとるときは、

き措置をとるときは、この限りでな

この限りでない。

正

案

現

行

い。
２

（ 現行どおり ）

２

（ 省

略 ）

（参照条文等：保護法第35条、通則 （参照条文等：保護法第30条、通則GL3-8-5）

３ 協会員は、本人から、当該本人が

（ 新

設 ）

(1)

「利用する必要がなくなった場

識別される保有個人データを当該合」とは、利用目的が達成され当協会員が利用する必要がなくなっ

該目的との関係では当該保有個人たという理由、当該本人が識別されデータを保有する合理的な理由がる保有個人データに係る第23条第存在しなくなった場合や利用目的

１項に規定する漏えい等の事態がが達成されなかったものの当該目生じたという理由その他当該本人的の前提となる事業自体が中止とが識別される保有個人データの取なった場合等をいう。なお、請求扱いにより当該本人の権利又は正の対象となっている保有個人デー

当な利益が害されるおそれがある

タにつき、複数の利用目的があるという理由によって当該保有個人

場合、全ての利用目的との関係で
73

GL3-5-4）
（

新

設 ）

改

正

案

現

行

改

正

案

データの利用停止等又は第三者へ「利用する必要がなくなった」かの提供の停止の請求を受けた場合どうかを判断する必要がある。

であって、その請求に理由があるこ(2)「本人の権利又は正当な利益がとが判明したときは、本人の権利利害されるおそれがある」とは、法益の侵害を防止するために必要な目的に照らして保護に値する正当限度で、遅滞なく、当該保有個人デな利益が存在し、それが侵害されータの利用停止等又は第三者へのるおそれがある場合をいう。「正提供の停止を行わなければならな当」かどうかは、相手方である協い。ただし、当該保有個人データの会 員と の関 係で 決ま るも ので あ

利用停止等又は第三者への提供のり、協会員に本人の権利利益の保停止に多額の費用を要する場合そ

護の必要性を上回る特別な事情がの他の利用停止等又は第三者へのない限りは、請求に応じる必要が提供の停止を行うことが困難な場ある。本人の権利利益の保護の必合であって、本人の権利利益を保護

要性を上回る特別な事情があるかするため必要なこれに代わるべきどうかを判断するに当たっては、措置をとるときは、この限りでな

例えば、以下のような事情を考慮い。

することになる。
①

本人又は第三者の生命、身体、財産その他の権利利益を保護するために当該保有個人データを取り扱う事情②

法令を遵守するために当該保有個人データを取り扱う事情③

契約に係る義務を履行するために当該保有個人データを取り

74

現

行

改

正

案

現

行

改

正

案

現

行

扱う事情
④

違法又は不当な行為を防止するために当該保有個人データを取り扱う事情⑤

法的主張、権利行使又は防御のために当該保有個人データを取り扱う事情（参照条文等：保護法第35条、通則GL3-8-5）
４ 協会員は、第１項若しくは前項の ３

協会員は、第１項の規定による請（ 現行どおり ）

（

省

略 ）

規定による請求に係る保有個人デ求に係る保有個人データの全部若 （参照条文等：保護法第35条、通則 （参照条文等：保護法第30条、通則

ータの全部若しくは一部について

しくは一部について利用停止等を GL3-8-5）

利用停止等を行ったとき若しくは行ったとき若しくは利用停止等を利用停止等を行わない旨の決定を行わない旨の決定をしたとき又はしたとき又は第２項若しくは前項

前項の規定による請求に係る保有の規定による請求に係る保有個人

個人データの全部若しくは一部に

データの全部若しくは一部についついて第三者提供を停止したときて第三者提供を停止したとき若し

若しくは第三者提供を停止しない

くは第三者提供を停止しない旨を旨を決定したときは、本人に対し、決定したときは、本人に対し、遅滞

遅滞なく、その旨（本人から求めらなく、その旨（本人から求められたれた措置と異なる措置を行う場合

措置と異なる措置を行う場合には、には、その措置内容を含む。）を通その措置内容を含む。
）を通知しな

知しなければならない。

ければならない。
75

GL3-5-4）

改正案（理由の説明）
第 19 条

現

行

改

正

案

現

行

（理由の説明）

協会員は、第15条第３項、 第 19 条

協会員は、第15条第３項、（ 現行どおり ）

（

省

略 ）

第16条第２項（同条第３項において第16条第２項、第17条第２項及び前 （参照条文等：保護法第36条、通則（参照条文等：保護法第31条、通則準用する場合を含む）、第17条第２条第３項の規定により、本人から求 GL3-8-6、金融分野GL第17条）

GL3-5-5、金融分野GL第14条）

項、前条第３項及び同条第４項の規められ、又は請求された措置の全部定により、本人から求められ、又は又は一部について、その措置をとら請求された措置の全部又は一部にない旨を通知する場合又はその措ついて、その措置をとらない旨を通置と異なる措置をとる旨を通知す

知する場合又はその措置と異なるる場合において、本人に対しその理措置をとる旨を通知する場合にお由を説明する際には、措置をとらな

いて、本人に対しその理由を説明すいこととし、又は異なる措置をとる

る際には、措置をとらないこととこととした判断の根拠及び根拠とし、又は異なる措置をとることとしなる事実を示すこととする。

た判断の根拠及び根拠となる事実を示すこととする。
（開示等の請求等に応じる手続）
第 20 条（開示等の請求等に応じる手続）

協会員は、第15条第２項、 第 20 条

協会員は、第15条第２項、（ 現行どおり ）

（

省

略 ）

第16条第１項（同条第３項において第16条第１項、第17条第１項及び第 （参照条文等：保護法第 37 条、通則 （参照条文等：保護法第 32 条、通則

準用する場合を含む）、第17条第１

18条第１項若しくは第２項の規定 GL3-8-7、金融分野 GL 第 15 条）項及び第18条第１項、第２項若しくによる請求（以下「開示等の請求等」

は第３項の規定による請求（以下という。）に関し、以下のとおり、「開示等の請求等」という。
）に関その受付けの方法を定めることがし、以下のとおり、その受付けの方できる。この場合において、協会員法を定めることができる。この場合は、第24条に定める個人情報保護宣76

GL3-5-6、金融分野 GL 第 15 条）

改

正

案

現

行

において、協会員は、第24条に定め

言と一体として、インターネットのる個人情報保護宣言と一体として、

ホームページでの常時掲載や営業

インターネットのホームページで所の窓口等での掲示・備付け等を行の常時掲載や営業所の窓口等でのうこととする。

改

正

案

現

行

（ 省

略 ）

掲示・備付け等を行うこととする。
１（ 現行どおり ）

１

（ 省

略 ）

(1)

（ 現行どおり ）(1)（参照条文等：保護法第37条、施行（参照条文等：保護法第32条、通則令第12条、通則GL3-8-7、金融分野GL

GL3-5-6、金融分野GL第15条）

第18条）
２

（ 現行どおり ）

２

（ 省

略 ）

(2)・(3)（ 現行どおり ）(2)・(3)（

省

略 ）（参照条文等：保護法第37条、施行（参照条文等：保護法第32条、通則令第12条、通則GL3-8-7、金融分野GL

GL3-5-6、金融分野GL第15条）

第18条）
３

（ 現行どおり ）

３

（ 省

略 ）

(4)

（ 現行どおり ）

(4)

（ 省

略 ）

（参照条文等：保護法第37条、施行（参照条文等：保護法第32条、通則令第12条、通則GL3-8-7、金融分野GL

GL3-5-6、金融分野GL第15条）

第18条）
４

保護法第 33 条第１項の手数料（参照条文等：保護法第 37 条、施行

（参照条文等：保護法第 32 条、通則の金額とその徴収方法（無料とすの金額とその徴収方法（無料とす

令第 12 条、通則 GL3-8-7、金融分野

GL3-5-6、金融分野 GL 第 15 条）

る場合を含む。
）

る場合を含む。）

GL 第 18 条）

５

保護法第 38 条第１項の手数料

開示等の請求等の対象となる

４

５

開示等の請求等の対象となる(5) 「保有個人データ又は第三者提(5) 「保有個人データの特定に必要

保有個人データ又は第三者提供

保有個人データの特定に必要な供記録の特定に必要な事項」の具な事項」の具体例（第１項第５号）

記録の特定に必要な事項

事項

体例（第１項第５号）

77

例えば、氏名、住所、生年月日、例えば、氏名、住所、生年月日、電話番号、取引店名、口座番号等

電話番号、取引店名、口座番号等

改

正

案

現

行

改

正

案

現

が考えられる。

６（ 現行どおり ）

６

（ 省

略 ）

行

が考えられる。

なお、その際には、本人が容易

なお、その際には、本人が容易かつ的確に開示等の請求等をする

かつ的確に開示等の請求等をすことができるよう、当該保有個人

ることができるよう、当該保有個データの特定に資する情報を提供

人データの特定に資する情報をするなど、本人の利便性を考慮す

提供するなど、本人の利便性を考ることに留意する。

慮することに留意する。

（参照条文等：保護法第37条、通則（参照条文等：保護法第32条、通則

GL3-8-7、金融分野GL第18条）

GL3-5-6、金融分野GL第15条）(6)（ 現行どおり ）

(6)

（ 省

略 ）

（参照条文等：保護法第37条、通則 （参照条文等：保護法第 32 条、通則
GL3-8-7、金融分野GL第18条）
２（ 現行どおり ）

２

（ 省

略 ）

１

（ 現行どおり ）

１

（ 省

略 ）

２

（ 現行どおり ）２（ 現行どおり ）GL3-5-6、金融分野 GL 第 15 条）（ 現行どおり ）(8)（ 現行どおり ）

（
(8)

省

略 ）

（ 省

略 ）

（参照条文等：保護法第 37 条、施行 （参照条文等：保護法第 32 条、施行
令第 12 条、通則 GL3-8-7、金融分野 令第 10 条、通則 GL3-5-6、金融分野
GL 第 18 条）
３（ 現行どおり ）（手 数 料）第 21 条協会員は、第15条第２項

３（ 省

GL 第 15 条）

略 ）（手 数 料）第 21 条協会員は、第15条第２項（ 現行どおり ）

（

省

略 ）

の規定による利用目的の通知を求の規定による利用目的の通知を求（参照条文等：保護法第38条、通則 （参照条文等：保護法第33条、通則められたとき又は第16条第１項若められたとき又は第16条第１項のGL3-8-8）

しくは同条第３項の規定による開規定による開示の請求を受けたと
78

GL3-5-7）

改

正

案

現

行

示の請求を受けたときは、当該措

きは、当該措置の実施に関し、手置の実施に関し、手数料を徴収す

数料を徴収することができる。

改

正

案

現

行

ることができる。
２（

現行どおり ）

（協会員による苦情の処理）
第 22 条（ 現行どおり ）

２

（ 省

略 ）

（協会員による苦情の処理）
第 22 条（ 省略 ）（参照条文等：保護法第40条、通則 （参照条文等：保護法第35条、通則
GL3-9、金融分野GL第19条）（個人情報等の漏えい等事案への対応）
第 23 条GL3-6、金融分野GL第16条）（個人情報等の漏えい事案等への対応）

協会員は、施行規則第７第 23 条協会員は、個人情報の漏(1)「施行規則第７条各号に定める (1)

漏えい事案等には、滅失、毀損条各号に定める事態を知ったとき

えい事案等又は匿名加工情報の作事態」とは、次のいずれかに該当す による事故を含む。

は、個人情報の保護に関する法律成に用いた個人情報から削除した

るものをいう。

についてのガイドライン（通則編）

記述等及び個人識別符号並びに保①３－５－３に従って、個人情報保護法第36条第１項の規定により行人データの漏えい等が発生し、又護委員会（保護法第147条の規定にった加工の方法に関する情報の漏は発生したおそれがある事態

より金融庁長官等が報告を受理すえい事案（以下「個人情報等の漏る権限の委任を受けている場合にえい事案等」という。
）の事故が発

財産的被害が生じるおそれがあ

あっては金融庁長官等、法第165

生した場合には、金融庁及び本協る個人データの漏えい等が発生条の規定により地方公共団体の長会に直ちに報告することとする。

し、又は発生したおそれがある事

等が報告を受理する権限に属する

また、個人情報等の漏えい事案等

態事務を行う場合にあっては地方公のうち、行政手続きにおける特定共団体の長等）及び本協会に直ちの個人を識別するための番号の利

おそれがある個人データの漏えに報告することとする。また、個用等に関する法律第２条第８項にい等が発生し、又は発生したおそ

②

③

79

要配慮個人情報が含まれる個

不正に利用されることにより不正の目的をもって行われた

改

正

案

現

行

人情報等の漏えい事案等のうち、定める特定個人情報が漏えいした

行政手続きにおける特定の個人を場合には、あわせて個人情報保護

識別するための番号の利用等に関委員会にも報告するものとする。

改

正

案

現

行

（ 省

略 ）

れがある事態④

個人データに係る本人の数が千人を超える漏えい等が発生し、する法律第２条第８項に定める特又は発生したおそれがある事態

定個人情報が漏えいした場合に(2)は、あわせて個人情報保護委員会(3)にも報告するものとする。

発生に際しては、個人情報保護委員会 発生に際しては、個人情報保護委員会

２

協会員は、施行規則第７条各号

２（ 現行どおり ）(2)

特定個人情報の漏えい等事案の (3)

特定個人情報の漏えい事案等の協会員は、個人情報等の漏えい及び金融庁が定める特定個人情報の 及び金融庁が定める特定個人情報のに定める事態を知ったときは、個事案等の事故が発生した場合に漏えい等事案が発生した場合の対応 漏えい事案等が発生した場合の対応

人情報の保護に関する法律についは、二次被害の防止、類似事案のに従って報告等する必要がある。

てのガイドライン（通則編） ３－

発生回避等の観点から、当該事案（参照条文等：保護法第 26 条、施行 （参照条文等：基本方針、金融分野

５－４に従い、本人への通知等を等の事実関係及び再発防止策等を規則第７条、通則 GL3-5、基本方針、 GL 第 17 条、匿名加工 GL）

行わなければならない。

早急に公表することとする。

金融分野 GL 第 11 条）

３ 協会員は、漏えい等事案が発覚し ３

協会員は、個人情報等の漏えい事た場合は、当該事態の内容等に応じ案等の事故が発生した場合には、漏て、次に掲げる事項について必要なえい事案等の対象となった本人に措置を講じなければならない。

速やかに当該事案等の事実関係等

１の通知等を行うこととする。

事業所内部における報告及び被害の拡大防止２

事実関係の調査及び原因の究明３

影響範囲の特定４

再発防止策の検討及び実施

また、漏えい等事案の内容等に応じて、二次被害の防止、類似事案の80に従って報告等する必要がある。

改

正

案

現

行

（ 新

設 ）

（ 新

設 ）

改

正

案

現

行

発生回避等の観点から、当該事案等の事実関係及び再発防止策等について、速やかに公表することとする。
４ 上記以外の事項については、個人情報の保護に関する法律についてのガイドライン（通則編） の例による（施行規則第７条各号関係に限る。）。
（仮名加工情報についての本指針の適用関係）
第 23 条の２

仮名加工情報（個人(1) 協会員において、仮名加工情報の情報であるものに限る。以下この作成の元となった個人情報や当該項において同じ。
）に関する本指針

仮名加工情報に係る削除情報（※）の適用については、次のとおりとを保有している等により、当該仮名する。

加工情報が「他の情報と容易に照合

１

第６条の規定にかかわらず、することができ、それにより特定の法令に基づく場合を除くほか、個人を識別することができる」状態

第３条第１項の規定により特定にある場合には、当該仮名加工情報

された利用目的の達成に必要なは、「個人情報」（第２条第１号）に範囲を超えて、仮名加工情報を該当する。

取り扱ってはならない。

（※）「削除情報等」とは、仮名加２

仮名加工情報についての第９

工情報の作成に用いられた個人

条の規定の適用については、同情報から削除された記述等及び
81

（

新

設 ）

改

３

正

案

現

行

改

案

条第１項及び第３項中「本人に個人識別符号並びに保護法第 41

通知し、又は公表し」とあるの条第１項により行われた加工のは「公表し」と、同条第４項第方法に関する情報をいう。

１号から第３号までの規定中(2） 仮名加工情報（個人情報である「本人に通知し、又は公表する」

ものに限る）については、基本的にとあるのは「公表する」とする。

個人情報に適用される規律が適用

協会員は、仮名加工情報であされるが、保護法に以下の規定がある個人データ及び削除情報等をることに留意する。

利用する必要がなくなったとき①

は、当該個人データ及び削除情利用目的による制限（保護法第41 条第３項）

報等を遅滞なく消去するよう努②

めなければならない。この場合通知・公表等の義務（保護法第41 条第４項）

においては、第10条の規定は、③適用しない。
４

正

不要情報を消去する努力義務等（保護法第 41 条第５項）

協会員は、第14条第１項及び④

個人データの第三者提供に係

第２項並びに第14条の２第１項

る制限（保護法第 41 条第６項）の規定にかかわらず、法令に基(3） 仮名加工情報（個人情報である

づく場合を除くほか、仮名加工もの）、仮名加工情報である個人デ情報である個人データを第三者

ータ及び仮名加工情報である保有に提供してはならない。この場

個人データの取扱いについては、次合において、第14条第４項第３の規定が適用されない。

号中「、本人に通知し、又は本①

人が容易に知り得る状態に置い

利用目的の変更（第３条第３

項）て」とあるのは「公表して」と、②

同条第６項中「、本人に通知し、本人からの開示等の請求等（第15 条から第 21 条）
82

現

行

改

正

案

現

行

改

又は本人が容易に知り得る状態

③

正

案

現

行

（ 新

設 ）

漏えい等の報告等に置かなければ」とあるのは「公（参照条文等：保護法第 41 条、仮名表しなければ」と、第14条の３

加工・匿名加工 GL2-2-1、2-2-3）

中「ただし、国内にある第三者への提供においては、次の第１号から第７号に該当する場合、記録の作成を要しないものとする。また、外国にある第三者への提供においては、次の第１号
から第４号に該当する場合」とあるのは、「次の第１号又は第５号から７号に掲げる場合」と第14条の４中「次に掲げる場合」とあるのは「次の第１号又は第５号から７号に掲げる場合」とする。
５

仮名加工情報、仮名加工情報
である個人データ及び仮名加工情報である保有個人データについては、第３条第３項、第15条から第21条及び第 23条の規定は、適用しない。

２

仮名加工情報（個人情報である

（ 新

設 ）

(4) 協会員において、仮名加工情報のものを除く。以下この項において作成の元となった個人情報や当該同じ。）に関する本指針の適用につ

仮名加工情報に係る削除情報を保
83

改

正

案

現

行

改

正

案

いては、次のとおりとする。

有していない等により、当該仮名加１

協会員は、法令に基づく場合

工情報が「他の情報と容易に照合すを除くほか、仮名加工情報を第ることができ、それにより特定の個三者に提供してはならない。

人を識別することができる」状態に

２

第14条第４項及び第６項の規ない場合には、当該仮名加工情報

定は、仮名加工情報の提供を受

は、「個人情報」（第２条第１号）にける者について準用する。この該当しない。

場合において、同条第４項第３(5） 仮名加工情報（個人情報である

号中「、本人に通知し、又は本ものを除く）については、保護法第人が容易に知り得る状態に置い

42 条の規定により、以下の義務がて」とあるのは「公表して」と、あることに留意する。

同条第６項中「、本人に通知し、①

又は本人が容易に知り得る状態

42 条第１項）に置かなければ」とあるのは「公②

表しなければ」と読み替えるも安全管理措置（保護法第 42 条

第３項）

のとする。
３

第三者提供の制限（保護法第③第11条から第13条まで、及び第従業者の監督（保護法第 42 条

第３項）

22条の規定は、協会員による仮名④

加工情報の取扱いについて準用

委託先の監督（保護法第 42 条

第３項）

する。

⑤

苦情処理（保護法第 42 条第３項）（参照条文等：保護法第 42 条、仮名加工・匿名加工 GL2-2-1、2-2-4）

84

現

行

改

正

案

（個人情報保護宣言の策定）
第 24 条（ 現行どおり ）

現

行

改

正

案

現

行

（個人情報保護宣言の策定）
第 24 条（ 省略 ）(1)・(2)（

現行どおり ）

(1)・(2)（

省

略 ）（参照条文等：保護法第 21 条、第 32 （参照条文等：保護法第 18 条、第 27条、基本方針、金融分野 GL 第 20 条） 条、基本方針、金融分野 GL 第 18 条）
２ 個人情報保護宣言には、例えば、 ２

（ 同

左 ）

（ 省

略 ）

以下の内容を記載することとする。
１
２

保護法第21条における利用目

１
２

保護法第18条における利用目的の通知・公表等の手続について的の通知・公表等の手続についての分かりやすい説明の分かりやすい説明

３

保護法第32条における開示等

３

保護法第27条における開示等の手続等、個人情報保護の取扱いの手続等、個人情報保護の取扱いに関する諸手続についての分かに関する諸手続についての分かりやすい説明りやすい説明４
３（ 現行どおり ）（ 現行どおり ）（ 現行どおり ）４ 個人情報保護宣言は、消費者等、

４
３

（ 省

略 ）

（ 省

略 ）

(3)・(4)（

（ 新

設 ）

(5)

現行どおり ）

表示の工夫としての例

本人がこれを適切に理解した上で・階層構造（要点を複数の項目にま自らの判断により選択の機会を行

とめ各項目を選択すると詳細な使することができるような表示等

内容が見られる構造をいう。）ににより構成するのが望ましい。

よる表示
・アイコン、イラスト、動画等の視覚的ツールの活用
・ポップアップによる同意取得85(1)・(2)（

省

略 ）

（ 新

設 ）

改

正

案

現

行

（ 省

略 ）

改

正

案

現

行

（本協会への報告等）
第 25 条（ 現行どおり ）付（参照条文等：保護法第54条）

則付

この改正は、令和４年４月１日から

則

この改正は、令和４年４月１日から

施行する。

施行する。

86

（参照条文等：保護法第53条）