通信販売等を中心とした顧客情報に関する個人情報保護指針

公益社団法人 日本通信販売協会「通信販売等を中心とした顧客情報に関する個人情報保護指針」

2022 年 4月

通信販売等を中心とした顧客情報に関する個人情報保護指針

通信販売等を中心とした顧客情報に関する個人情報保護指針
はじめに
個人情報の保護に関する法律（平成 15 年 5 月 30 日法律第 57 号）（以下「個人情報保護法」という。）の全面施行から 19 年が経過し、IT の進化、国民の受容の範囲の変化、国際関係の変動という側面で個人情報保護をとりまく環境も大きく変わってきている。通信販売等を中心とした顧客情報の取扱いにおいても、“個人の権利利益の保護”と“有益なデータの利活用のバランス”をこれらの変化に合わせて見直していく必要がある。
一方、個人情報保護法において、個人情報保護委員会が、民間部門における個人情報の適正な取扱いについて必要な指導・監督を、一元的に行うこととなっており、個人情報取扱事業者は、個人情報保護委
員会の指導、監督の下で個人情報を適切に取扱うという事になっている。
しかし、個人情報保護をとりまく環境の変化は激しく、法に規定する個人情報取扱事業者等の義務は、
あらゆる分野を対象とする法の性格上、必要最小限度の規律であることから、これに加えて分野ごとに取り扱う個人情報の性質、利用方法、取扱いの実態等に即した、消費者信頼を得られる自主的な取組が期待されるところである。認定個人情報保護団体制度は、こうした考え方に沿って、個人情報等の適正な取扱いの確保を目的とした業務を行う民間の団体を認定する制度を設けることにより、その適切かつ効果的な活動の推進を図ろうとするものである。
当協会（公益社団法人 日本通信販売協会）では、会員社における個人情報等の取扱いに関して、事業者自身による苦情処理の取組を補完し、問題の自主的、実際的な解決を図る立場を担っている。そこ
で、個人情報の保護及び適正かつ効果的な活用を図るため、個人情報保護指針を策定し、公表するとともに、対象事業者に対して当該指針を遵守できるよう必要な支援のほか、指導、勧告等の措置をとる等、民間部門における主体的な取組を促進する目的で認定個人情報保護団体となって活動を行ってきている。
そして、これまで対象事業者の全ての分野（部門）を対象として、認定個人情報保護団体業務を行ってきたものを、令和 2 年改正法では、対象事業者の事業の種類その他の業務の範囲を限定することが出来ることとなった。当協会においては、プラットフォーマの台頭など「通信販売等を中心とした顧客情報」に関しても、個人情報保護をとりまく環境が大きく変わっていることから、対象事業者の事業の種類その他の業務の範囲を限定して、積極的に対象事業者に対する支援等を行っていくことを決議した。
当協会において、対象事業者の個人情報等の適正な取扱いの確保のために、個人情報に係る利用目
的の特定、安全管理のための措置、開示等の請求等に応じる手続その他の事項、匿名加工情報・仮名加
工情報に係る作成の方法等の事項に関し、消費者の意見を代表する者その他の関係者の意見を聴いて、この法律の規定の趣旨に沿った指針（以下「本指針」という。）を作成し公表することが求められている。
そこで、当協会としては、2004 年 11 月に制定した「通信販売における個人情報法における個人情報保護ガイドライン」を廃止し、2017 年に「認定個人情報保護団体規程」及び「本指針」として定めたものを、さらに「通信販売等を中心とした顧客情報」に特化するものとして改正する。また、個人情報保護法では認定
個人情報保護団体に対して、対象事業者に個人情報保護指針を遵守させるため必要な指導、勧告その他の措置をとらなければならないとされていることから、当協会においては、対象事業者が本指針を遵守しなければならないことを「Ⅲ 対象事業者の義務」として規定した。

2 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
対象とする個人情報取扱事業者等の事業の種類その他の業務の範囲
認定個人情報保護団体として対象とする個人情報取扱事業者等の事業の種類その他の業務の範囲
を「通信販売事業およびそれに関連する業務」とする。
なお、「通信販売等を中心とした顧客情報」が対象となるが、店舗販売等で販売形態が通信販売とならない場合であっても、特に認定個人情報保護団体としての業務から除外する特段の理由が無けれ
ば、顧客情報を「通信販売事業およびそれに関連する業務」の枠内であるか枠外であるかを仕分けすることを要求するものではない。
認定個人情報保護団体としての業務
当協会は、認定個人情報保護団体の業務として、個人情報保護法に規定されている下記の事項を行う。
業務の対象となる個人情報取扱事業者（以下「対象事業者」という。）の
1.個人情報の取扱いに関する個人情報保護法の規定による苦情の処理
2.個人情報の適正な取扱いの確保に寄与する事項についての対象事業者に対する情報の提供
3.そのほか、個人情報の適正な取扱いの確保に関し必要な業務（本指針を遵守してもらうための指導・勧告、個人情報の漏えい等の事案が発生した場合の対応等）
認定個人情報保護団体として行う苦情の処理
1.個人情報の本人等から対象事業者の個人情報の取扱いに関する苦情について解決の申出があった
ときには、下記の事項に関する処理を行う。
a.相談に応じること
b.申出人に必要な助言をすること
c.その苦情に係る事情を調査すること
d.当該対象事業者に対し、苦情の内容を通知してその迅速な解決を求めること
2.苦情の解決について必要があると認めるときには、下記の事項に関する処理を行う。
a.当該対象事業者に対し、文書若しくは口頭による説明を求めること
b.当該対象事業者に対し、資料の提出を求めること（対象事業者は、個人情報保護法の定めに基づき当協会からの求めについて、正当な理由がなく拒むことはできないものとする。）
対象事業者になる（当協会の認定個人情報保護団体傘下に入る）ことの意味
対象事業者の利点
・ 対象事業者が一丸となって本指針の遵守を徹底することで、公正な競争の維持・促進を通じて健全な発展を成すことが期待できる。
・ 当協会が第三者機関として関与することで苦情の解決、個人情報の漏えい等への対応を迅速・円滑に行うことが期待できる。（個人情報の漏えい等に関しては、個人情報保護法の定めに基づき各事業者から個人情報保護委員会に報告する必要があります。）
・ 当協会から適切な情報が提供されることによって、適切な個人情報保護の取組が維持できる。ま3 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
た、逐次相談により、違反の未然防止に努めることができる。
・ 個人情報保護委員会に対し、個人情報保護法に関する解釈・運用について対象事業者の意見をとりまとめた相談等を行うことができる。
個人情報の本人の利点


当協会が第三者機関として関与することで迅速・円滑な苦情の解決が期待できる。



安心して個人情報を預けられる環境整備が期待できる。

Ⅰ 本指針の趣旨、目的、基本的考え方
１．本指針の趣旨
本指針は、「個人情報の保護に関する法律」（平成１５年法律第５７号。以下「法」という。）を踏まえ、「個人情報の保護に関する法律についてのガイドライン（通則編）」（個人情報保護委員会告示。以下「通則ガイドライン」という。）を基礎とし、法の規定に基づき、対象事業者が行う個人情報の適正な取扱いの確保に関する活動を支援するための具体的な留意点・事例等を示すものである。
なお、本指針は対象事業者における実例に照らした内容であるため、本指針に記載のない事項及び関係条文については「通則ガイドライン」、「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」、「同ガイドライン（第三者提供時の確認・記録義務編）」及び「同ガイドライン（仮名加工情報・匿名加工情報編）」をそれぞれ参照されたい。（以上の４本のガイドラインおよび「個人デー
タの漏えい等の事案が発生した場合等の対応について」を合わせて、以下「ガイドライン等」という。）
さらに、特定分野ガイドラインとして定められている「金融分野における個人情報保護に関するガイドライン」、「信用分野における個人情報保護に関するガイドライン」、「債権管理回収業分野における個人情報保護に関するガイドライン」等も必要に応じてそれぞれ参照されたい。
２．本指針の構成及び基本的考え方
個人情報の取扱いについては、法において、「個人情報が、個人の人格尊重の理念の下に慎重に取り扱われるべきものである」とされていることを踏まえ、個人情報を取り扱うすべての者は、その目的や様態を問わず、個人情報の性格と重要性を十分認識し、その適正な取扱いを図らなければならない。
本指針では、法の趣旨を踏まえ対象事業者における個人情報の適正な取扱いが確保されるよう、遵守すべき事項及び遵守することが望ましい事項をできる限り具体的に示しており、対象事業者においては、法令、「個人情報の保護に関する基本方針」（以下「基本方針」という。）及び本指針の趣旨を踏まえ、個人情報の適正な取扱いに取り組む必要がある。
具体的には、対象事業者は本指針において、「しなければならない」、「必要がある」等と記載された事項については、法の規定により厳格に遵守することが求められる。また、【その他の事項】については、法に基づく義務等ではないが、達成できるよう努めることが求められる。
３．本指針の対象となる事業者の分野（部門）の範囲
本指針が対象としている事業者（以下「対象事業者」という。）は、当協会を認定個人情報保護団体として、その傘下となることを希望した者としている。
また、当該対象事業者が個人情報の取扱いの委託を行う場合は、業務の委託に当たり、本指針の趣旨を理解し、本指針に沿った対応を行う事業者を委託先として選定するとともに委託先事業者における個人情報の取扱いについて定期的に確認を行い、適切な運用が行われていることを確認する等の措置を講ずる必4 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
要がある。
４．本指針の対象となる「個人情報」の範囲
本指針では、対象事業者が取扱う個人に関する情報のうち、一般人の判断力又は理解力をもって生存す
る具体的な人物と情報との間に同一性を認めるに至ることができるかどうかによって、情報の単体又は複数の情報を組み合わせて保存されているものから社会通念上「特定の個人を識別できる」と判断できるものを「個人情報」という。また、リスト等の形態に整理されていない場合でも個人情報に該当する。
また、法令上「個人情報」とは、生存する個人に関する情報であり、対象事業者の義務等の対象となるのは、生存する個人に関する情報に限定されている。しかし、本人が死亡した後においても、対象事業者が本人の情報を保存している場合には、漏えい、滅失又はき損等の防止のため、個人情報と同等の安全管理措置を講ずるものとする。
５．認定個人情報保護団体としての権限行使との関係① 対象事業者の指針運用状況の把握
当協会は、対象事業者による本指針の遵守状況確認のため、以下について報告を求めることができるものとする。
個人情報を適正に管理するための社内規程の策定状況
個人情報保護管理者（CPO 等）の設置状況
安全管理体制の状況
個人情報に関する苦情・相談窓口の設置状況
個人情報の適正管理についての従業者教育の実施状況
その他本指針の遵守状況に確認の為に必要な事項② 漏洩等事故が発生した場合の対応
対象事業者において、“一定の個人情報の漏えい等の事案が発生した場合”は原則として、当協会に対し、当該事実の発生を知ってから３から５日程度のうちに通知を行わなければならない。
“一定の個人情報の漏えい等の事案が発生した場合”とは、法第 26 条第 1 項関係（個人情報保護委員会への報告）を基準とする。ただし、当基準に関わらず、事故の発生および対応の方法について、当協会は通知・相談を受け付けて、対象事業者を支援するとともに他の対象事業者に注意を促すように努めるものとする。



対象事業者は、当協会への通知に関わらず、個人情報保護法の定めに基づき一定の範囲に該当する個人情報の漏えい等については、各事業者から個人情報保護委員会に報告する必要がある。

③ 個人情報の適正な取扱いの確保に寄与する事項についての対象事業者に対する情報の提供
当協会は、個人情報の適正な取扱いの確保に寄与する事項についての対象事業者に対する情報の提供を行う。対象事業者は、当協会が企画するセミナーに参加するなどして、最新の情報を得て、従業者への研修等により内部での周知・情報共有を行う必要がある。
④ 対象事業者の個人情報の適正な取扱いの確保に関し必要な業務
当協会は、対象事業者に対して、必要に応じて本指針の遵守状況について調査等を実施することができる
ものとする。

5 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
本指針中、対象事業者の義務とされている内容を個人情報取扱事業者としての義務を負う対象事業者が遵守しない場合、個人情報保護委員会から、法の規定に基づき、「報告徴収」、「立入検査」、「指導・助言」、「勧告」及び「命令」を行われることがある。
これに対して、当協会では以下のとおり本指針を遵守してもらうための指導、勧告その他の措置を行なう。


当協会は、本人その他の関係者から対象事業者の個人情報等の取扱いに関する苦情について申出があったときは、その相談に応じ、申出人に必要な助言をし、その苦情に係る事情を調査するとともに、当該対象事業者に対し、その苦情の内容を通知してその迅速な解決を求めるものとする。



当協会は、前項の申出に係る苦情の解決について必要があると認めるときは、当該対象事業者
に対し、文書若しくは口頭による説明を求め、又は資料の提出を求めることができるものとする。



対象事業者は、当協会から前項の規定による求めがあったときは、正当な理由がないのにこれを拒んではならない。

６．対象事業者が行う措置の透明性の確保と対外的明確化
法では、個人の人格尊重の理念の下に個人情報を慎重に扱うべきことが指摘されている。
対象事業者は、個人情報保護に関する考え方や方針に関する宣言（いわゆる、プライバシーポリシー、プラ
イバシーステートメント等）を策定し、それらを対外的に公表することが求められる。また、個人情報の取扱いに関する明確かつ適正な規則を策定し、本人から当該本人の個人情報がどのように取り扱われているか等
について知りたいという求めがあった場合は、当該規則に基づき、迅速に情報提供を行う等必要な措置を行うものとする。
個人情報保護に関する考え方や方針に関する宣言の内容としては、対象事業者が個人の人格尊重の理念の下に個人情報を取り扱うこと及び関係法令及び本指針等を遵守すること等、個人情報の取扱いに関する規則においては、個人情報に係る安全管理措置の概要、本人等からの開示等の手続、第三者提供の取扱い、苦情への対応等について具体的に定めることが考えられる。
なお、利用目的等を広く公表することについては、以下のような趣旨があることに留意すべきである。
① 対象事業者が本人の個人情報を利用する意義について本人等の理解を得ること。
② 対象事業者において、法を遵守し、個人情報保護のため積極的に取り組んでいる姿勢を対外的に明らかにすること。
７．責任体制の明確化と窓口の設置等対象事業者は、個人情報の適正な取扱いを推進し、漏えい等の問題に対処する体制を整備する必要がある。このため、個人情報の取扱いに関し、専門性と指導性を有し、対象事業者の全体を統括する組織体
制・責任体制を構築し、規則の策定や安全管理措置の計画立案等を効果的に実施できる体制を構築す
るものとする。
また、本人に対しては、個人情報を取得する時、利用を開始する時に個人情報の利用目的を説明するなど、必要に応じて分かりやすい説明を行う必要があるが、加えて、本人が疑問に感じた内容を、いつでも、気軽に問い合わせできる窓口機能等を確保することが重要である。また、個人情報の取扱いに関する相談は、対象事業者が提供するサービスの内容とも関連している場合が多いことから、個人情報の取扱いに関し本人からの相談や苦情への対応等を行う窓口機能等を整備するとともに、その窓口がサービスの提供に関する相談
機能とも有機的に連携した対応が行える体制とするなど、本人の立場に立った対応を行う必要がある。
この場合、対象事業者の苦情相談窓口と合わせて、認定個人情報保護団体となる当協会について以下の通り掲載するものとする。

6 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針【記載例】
当社は、通信販売等を中心とした顧客情報を対象として、個人情報の保護に関する法令に基づく認定
個人情報保護団体である下記団体に加盟しております。
公益社団法人 日本通信販売協会（ＪＡＤＭＡ 消費者相談室）
https://www.jadma.or.jp/consumers/dm110/
連絡先：03-5651-1122
受付：月～金曜日 午前 10～12 時
午後 1～4 時（年末・年始、祝日を除く）
なお、個人情報の利用目的の説明や窓口機能等の整備、開示の求めを受け付ける方法を定める場合等に当たっては、障害のある方にも配慮する必要がある。
８．遺族への死者の個人情報の提供の取扱い
法は、ＯＥＣＤ８原則の趣旨を踏まえ、生存する個人の情報を適用対象とし、個人情報の目的外利用や第三者提供に当たっては本人の同意を得ることを原則としており、死者の情報は原則として個人情報とならないことから、法及び本指針の対象とはならない。しかし、本人が死亡した際に、遺族から個人情報が含まれる諸記録について照会が行われた場合、対象事業者は、本人の生前の意思、名誉等を十分に尊重しつつ、特段の配慮が求められる。このため、本人が死亡した際の遺族に対する個人情報の提供については、社
会通念に照らした上で遺族の正当な権利を保護する範囲で情報の提供を行うものとする。
９．個人情報が研究に活用される場合の取扱い
近年の科学技術の高度化に伴い、研究において個人情報を利用する場合が増加している。
法においては、憲法上の基本的人権である「学問の自由」の保障への配慮から、大学その他の学術研究を目的とする機関等が、学術研究の用に供する目的をその全部又は一部として個人情報を取り扱う場合については、法による義務等の規定は適用しないこととされている。
本指針は「通信販売等を中心とした顧客情報」に特化するものとして対象外としているが、これらの場合においても、法により、当該機関等は、自主的に個人情報の適正な取扱いを確保するための措置を講ずることが求められており、これに当たっては、各研究分野等の関連指針とともに本指針の内容についても留意することが期待される。
１０．遺伝情報に触れる場合の取扱い
遺伝情報については、本人の遺伝子・染色体の変化に基づく体質、疾病の発症等に関する情報が含まれる
ほか、その血縁者に関わる情報でもあり、その情報は生涯変化しないものであることから、これが漏えいした場
合には、本人及び血縁者が被る被害及び苦痛は大きなものとなるおそれがある。したがって、遺伝学的検査等により得られた遺伝情報の取扱いについては、UNESCO 国際宣言等、各研究分野等の関連指針及び関係団体等が定める指針を参考とし、特に留意する必要がある。
本指針は「通信販売等を中心とした顧客情報」に特化するものとして対象外としている。
１１．他の法令等との関係対象事業者は、個人情報の取扱いにあたり、法、基本方針、ガイドライン等及び本指針に示す項目のほか、個人情報保護又は守秘義務に関する他の法令等の規定を遵守しなければならない。
また、事業の管理者の監督義務や業務委託に係る契約債務等を遵守しなければならない。

7 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
１２．他の認定個人情報保護団体との関係法においては、個人情報取扱事業者等の個人情報等の適正な取扱いの確保を目的とする業務を行う法人等は個人情報保護委員会の認定を受けて認定個人情報保護団体となることができることとされている。
また、認定個人情報保護団体となる団体等は、傘下の事業者を対象に、個人情報保護に係る普及・啓発を推進するほか、法の趣旨に沿った指針等の自主的なルールとして定めたり、個人情報の取扱いに関する相談窓口を開設するなど、積極的な取組を行うことが期待されている。
これに対して、当協会では傘下の対象事業者に対して本指針の遵守を要求するが、傘下となる対象事業者が当協会以外の団体等の傘下となることを妨げない。

8 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
Ⅱ 用語の定義等
本指針における用語の定義およびその解説は、法およびガイドライン等によるものとする。
Ⅲ 対象事業者の義務等
１．利用目的の特定等（法第 17 条・第 18 条、第 21 条第 3 項関係）
（利用目的の特定）法第 17 条（第 1 項）
1 個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。
（利用目的の変更）
法第 17 条（第 2 項）
2 個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。
法第 21 条（第 3 項）
3 個人情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
（利用目的による制限）法第 18 条（第 1 項）
1 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
（事業の承継）法第 18 条（第 2 項）
2 個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
（利用目的による制限の例外）
法第 18 条（第 3 項）
3 前二項の規定は、次に掲げる場合については、適用しない。
(1) 法令に基づく場合(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(5) 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研

9 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
究の用に供する目的（以下この章において「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
(6) 学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人デー
タを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（１）利用目的の特定及び制限対象事業者がサービスを希望する顧客から個人情報を取得する場合、当該個人情報を顧客に対するサービスの提供、そのサービスの管理事務などで利用することは顧客にとって明らかと考えられる。（蕎麦屋が出前の注文に応えて蕎麦を出前するなど）
これら以外で個人情報を利用する場合は、顧客にとって必ずしも明らかな利用目的とはいえない。利用目的の特定に当たっては、利用目的を単に抽象的、一般的に特定するのではなく、事業者において最終的にどのような目的で個人情報を利用するかを可能な限り具体的に特定する必要がある。この場合は、個人情報を取得するに当たって明確に当該利用目的の公表等の措置が講じられなければならない。
【通信販売の事業内容から考えられる利用目的を特定している事例】
・ お申込みの際にご記入いただきました個人情報は、商品の発送、カタログやＤＭの送付、関連するアフ
ターサービスの実施、新商品・サービスに関する情報のお知らせのために利用致します。
・ 当社は、お客様にご同意いただいた上で、支払能力の調査のために、当社が加盟する個人信用情報機関（個人の支払能力に関する情報の収集および加盟会員に対する当該情報の提供を業とする者）
および当該機関と提携する個人信用情報機関に照会し、お客様の個人情報が登録されている場合には、それを利用致します。なお、上記の個人信用情報機関に登録されている個人情報は割賦販売法
第 39 条および貸金業法第 12 条 2 項により、支払能力（返済能力）の調査以外の目的のために使用することはありません。
なお、「顧客との電話の通話内容」について、通話内容から特定の個人を識別することが可能な場合には個人情報に該当します。この場合、利用目的を通知又は公表する義務はあります。ただし、録音していることについて伝える義務までは無いので、ホームページを使って保有個人データの利用目的を列記し公表する場合には、以下のような内容での記載が望まれます。なお、保有個人データの開示については、その全部又は一部を開示しないことが出来るものがあるため、「１１．本人からの請求による保有データ等の開示 （２）開示の例外」を参照のこと。
「個人情報」の類型

利用目的

お客様からのご注文・お問合わせにおける通話記録

ご購入商品やお客様等からのお問い合わせ内容、および弊社からのご案内内容の確認、また電話応対業
務の品質向上のために、お客様との通話内容を録音させていただきます。

【自社のカタログや商品を送付する際に、他社のカタログやチラシを同送するサービスを行う場合】
自社のカタログや商品を送付する際に、他社のカタログやチラシを同送するサービスを行う場合には、以下の事項に留意する必要がある。
（ⅰ）明示、通知又は公表する利用目的に、同送サービスを行うことを明記する。
（ⅱ）他の事業者へは個人情報を提供しないこと。（本人から個人情報の利用について説明を求められ

10 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
たときには、他の事業者へは個人情報を提供していないことを通知する必要がある。）（ⅲ）自社のカタログ、チラシ等であるのか、他社のものであるのか、送付された顧客が容易に判断できるよ
うに配慮する。
なお、当該利用目的の公表等の措置を行った後においても、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内で変更することは可能である。その場合には本人の同意は不要として、新しい利用目的をホームページ上での公表や本人への電子メールでの通知等で、本人に通知、又は公表しなければならない。
【変更前の利用目的と関連性を有すると合理的に認められる範囲内に該当する事例】（例）
・ 「当社の行う通信販売における新商品・サービスに関する情報のお知らせを送付するため」とした利用目的において、「既存の商品・サービスに関する情報のお知らせを送付するため」を追加すること。
【利用目的の変更に関して本人の同意を得ている事例】「本人の同意」とは、本人の個人情報が、対象事業者によって示された取扱方法で取り扱われることを承諾する旨の当該本人の意思表示をいう（当該本人であることを確認できていることが前提となる。）。
また、「本人の同意を得（る）」とは、本人の承諾する旨の意思表示を対象事業者が認識することをいい、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理
的かつ適切な方法によらなければならない。
そのため、下記の点に配慮することが望ましい。


本人の自由な意思による同意であること。
➢

契約の履行に不要な場合、同意は契約履行の条件にできない。



対象事業者が行う「処理」の範囲が特定されたものに対する同意であること。

「処理の目的と内容」について十分な説明を受けた上での同意であること。
➢



同意したことが明確であること。
➢



最初からチェックボックスにレ点が入っている状態ではなく、オプトイン型である。

同意はいつでも撤回できること。
➢



同意をしたことを証明できる。（同意取得方法、取得日時、情報提供内容の記録）「同意」に対する行為があること。
➢



同意を求める内容が、それ以外の内容と明確に区別できること。

撤回の手続きは同意の手続きと同等の負荷であること。

個人情報の取扱いに関して同意したことによって生ずる結果について、未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力を有していないなどの場合は、親権者や法定代理人等から同意を得ること。

（例）


本人からの同意する旨の口頭による意思表示

本人からの同意する旨の書面（電磁的記録を含む。）の受領



本人からの同意する旨のメールの受信

本人による同意する旨の確認欄へのチェック

11 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
本人による同意する旨のホームページ上のボタンのクリック



本人による同意する旨の音声入力、タッチパネルへのタッチ、ボタンやスイッチ等による入（２）利用目的による制限の例外
対象事業者は、あらかじめ本人の同意を得ないで法第 17 条の規定により特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならないが（法第 18 条第１項）、同条第３項に掲げる場合については、本人の同意を得る必要はない。具体的な例としては以下のとおりである。
① 法令に基づく場合
法令に基づく立入検査、法令に基づいて個人情報を利用する場合。
根拠となる法令の規定としては、刑事訴訟法第１９７条第２項に基づく照会、地方税法第７２条の６
３（個人の事業税に関する調査に係る質問検査権、各種税法に類似の規定あり）等がある。
警察や検察等の捜査機関の行う刑事訴訟法第１９７条第２項に基づく照会（同法第５０７条に基づく照会も同様）は、相手方に報告すべき義務を課すものと解されている上、警察や検察等の捜査機関の行う任意捜査も、これへの協力は任意であるものの、法令上の具体的な根拠に基づいて行われるものであり、いずれも「法令に基づく場合」に該当すると解されている。
（例）・ 消費生活用製品安全法第３９条第１項の規定により、製造・輸入事業者等が製品の回収等の措置をとる際に、販売事業者が製品の購入者等の情報を製造・輸入事業者に提供する場合② 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（例）
・ 私企業間において、意図的に業務妨害を行う者の情報について情報交換される場合
・ 意識不明で身元不明の者について、関係機関へ照会したり、家族又は関係者等からの安否確認に対して必要な情報提供を行う場合
・ 意識不明の者の病状や重度の認知症の高齢者の状況を家族等に説明する場合
・ 大規模災害等で非常に多数の傷病者が発生し、家族等からの問い合わせに迅速に対応するためには、本人の同意を得るための作業を行うことが著しく不合理である場合③ 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（例）
・ 児童虐待事例についての関係機関との情報交換④ 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれ
があるとき
（例）
・ 統計法第２条第７項の規定に定める一般統計調査に協力する場合

12 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
・ 災害発生時に警察が負傷者の住所、氏名や傷の程度等を照会する場合等、公共の安全と秩序の維持の観点から照会する場合【法の規定により遵守すべき事項等】
・ 対象事業者は、個人情報を取り扱うに当たって、その利用目的をできる限り特定しなければならない。
・ 対象事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。
・ 対象事業者は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない。なお、本人の同意を得るために個人情報を利用すること（同意を得るために本人の連絡先を利用して電話をかける場合など）、個人情報を匿名化するために個人情報に加工を行うことは差し支えない。
・ 個人情報を取得する時点で、本人の同意があったにもかかわらず、その後、本人から利用目的の一部についての同意を取り消す旨の申出があった場合は、その後の個人情報の取扱いについては、本人の同意が取り消されなかった範囲に限定して取り扱う。
・ 対象事業者は、合併その他に事由により他の事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
・ 利用目的の制限の例外（法第 18 条第３項）に該当する場合は、本人の同意を得ずに個人情報を取り扱うことができる。
【その他の事項】
・ 利用目的の制限の例外に該当する「法令に基づく場合」等であっても、利用目的以外の目的で個人情報を取り扱う場合は、当該法令等の趣旨をふまえ、その取り扱う範囲を真に必要な範囲に限定することが求められる。
・ 利用目的以外の目的で個人情報を取り扱う場合で、本人が未成年者等の場合には、法定代理人等の同意を得ることで足りるが、一定の判断能力を有する未成年者等については、法定代理人等の同意にあわせて本人の同意を得ることが求められる。

２．不適正利用の禁止（法第 19 条関係）
法第 19 条
個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。
対象事業者は、違法又は不当な行為（※1）を助長し、又は誘発するおそれ（※2）がある方法により個人情報を利用してはならない。
【個人情報取扱事業者が違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例】（例）
・ 違法な行為を営むことが疑われる事業者（例：貸金業登録を行っていない貸金業者等）からの突然

13 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針の接触による本人の平穏な生活を送る権利の侵害等、当該事業者の違法な行為を助長するおそれが想定されるにもかかわらず、当該事業者に当該本人の個人情報を提供する場合
・ 裁判所による公告等により散在的に公開されている個人情報（例：官報に掲載される破産者情報）を、当該個人情報に係る本人に対する違法な差別が、不特定多数の者によって誘発されるおそれがあることが予見できるにもかかわらず、それを集約してデータベース化し、インターネット上で公開する場合
・ 暴力団員により行われる暴力的要求行為等の不当な行為や総会屋による不当な要求を助長し、又は誘発するおそれが予見できるにもかかわらず、事業者間で共有している暴力団員等に該当する人物を本人とする個人情報や、不当要求による被害を防止するために必要な業務を行う各事業者の責任者の名簿等を、みだりに開示し、又は暴力団等に対しその存在を明らかにする場合
・ 個人情報を提供した場合、提供先において法第 27 条（第三者提供の制限）第 1 項に違反する第三者提供がなされることを予見できるにもかかわらず、当該提供先に対して、個人情報を提供する場
合・ 広告配信を行っている事業者が、第三者から広告配信依頼を受けた商品が違法薬物等の違法な商品であることが予見できるにもかかわらず、当該商品の広告配信のために、自社で取得した個人情報を利用する場合（※1）「違法又は不当な行為」とは、法（個人情報の保護に関する法律）その他の法令に違反する行為、及び直ちに違法とはいえないものの、法（個人情報の保護に関する法律）その他の法令の制度趣旨
又は公序良俗に反する等、社会通念上適正とは認められない行為をいう（※2）「おそれ」の有無は、個人情報取扱事業者による個人情報の利用が、違法又は不当な行為を助長又は誘発することについて、社会通念上蓋然性が認められるか否かにより判断される。この判断に当たっては、個人情報の利用方法等の客観的な事情に加えて、個人情報の利用時点における個人情報取扱事業者の認識及び予見可能性も踏まえる必要がある。例えば、個人情報取扱事業者が第三者に個人情報を提供した場合において、当該第三者が当該個人情報を違法な行為に用いた場合であっても、当該第三者が当該個人情報の取得目的を偽っていた等、当該個人情報の提供の時点において、提供した個人情報が違法に利用されることについて、当該個人情報取扱事業者が一般的な注意力をもってしても予見できない状況であった場合には、「おそれ」は認められないと解される

３．利用目的の通知等（法第 21 条第 1 項、2 項、4 項関係）
（利用目的の通知又は公表）
法第 21 条（第 1 項）
1 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している
場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
（直接書面等による取得）
法第 21 条（第 2 項）
2 個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ。）に記載された当該本人の個14 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場
合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。
（利用目的の通知等をしなくてよい場合）
法第 21 条（第 4 項）
4 前三項の規定は、次に掲げる場合については、適用しない。
(1) 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合(2) 利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合(3) 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼす
おそれがあるとき。
(4) 取得の状況からみて利用目的が明らかであると認められる場合（１）利用目的の通知、公表
対象事業者は、個人情報を取得する場合は、あらかじめその利用目的を公表していることが望ましい。公表
していない場合は、取得後速やかに、その利用目的を、本人に通知するか、又は公表しなければならない。
通知の方法については、はがき・手紙・電子メール・電話・商品への同送等が考えられる。また、公表の方法
としては、カタログなどの定期刊行物やホームページへの継続的な掲載等がある。
【間接的に取得した個人情報を利用する場合の利用目的の通知の事例】（例）・ ギフトなどの贈り先として取得した個人情報をギフトの配送以外の目的で利用する予定がある場合は、ギフトの配送に合わせて、今後の個人情報の利用目的、個人データの利用停止方法を記載した書面を同送する。また、ギフトの送り主側にも送り先となる方の個人情報の利用目的について通知しておくことが望ましい。
・ 友達紹介というかたちで紹介された個人にカタログを送付する場合は、取得方法、利用目的、個人データの利用停止方法を記載した書面を同送する。また、紹介する側にも提供する友達の個人情報の利用目的について通知しておくことが望ましい。
（２）利用目的の明示
対象事業者は、書面等による記載、ユーザー入力画面への打ち込み等により、直接本人から個人情報を取得する場合には、あらかじめ、本人に対し、その利用目的を明示しなければならない。
なお、口頭による個人情報の取得にまで、当該義務を課すものではないが、可能な限り利用目的を明示することが望ましい。（あらかじめ利用目的を公表するか、取得後速やかに本人に通知し、又は公表する。）
また、人の生命、身体又は財産の保護のために緊急に必要がある場合は、あらかじめ本人に対しその利用目的を明示する必要はないが、取得後速やかに本人に通知し、又は公表しなければならない。
【あらかじめ、本人に対し、その利用目的を明示しなければならない事例】（例）

15 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
・ 本人に対してアンケートや懸賞の応募はがきに個人情報を記載させる場合
・ インターネット上で、本人が容易に認識できない方法（クッキーなど）によって個人情報を取得する場
合（特定の個人が識別できる情報、または他の情報と容易に照合することができ、それによって特定の個人を識別することができることとなる情報に該当しない場合であっても、その旨をわかりやすく示すことが望ましい。）
また、使用されるクッキーがサードパーティクッキーとして、それを受け取る広告配信サーバ等が個人データと紐付ける可能性がある場合には、「個人関連情報」の第三提供措置をとる必要があることを注意しなければならない。
（３）利用目的の明示、通知又は公表の例外
対象事業者は、個人情報を取得する場合にその利用目的を明示、通知又は公表をしなければならないが、同条第４項に掲げる場合についてはその必要はない。具体的な例としては以下のとおりである。
① 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（例）
・ 私企業間において、意図的に業務妨害を行う者の情報について情報交換を行う場合② 利用目的を本人に通知し、又は公表することにより当該対象事業者の権利又は正当な利益を害する
おそれがある場合（例）・ 通知又は公表される利用目的の内容により、当該個人情報取扱事業者が行う新商品等の開発内
容、営業ノウハウ等の企業秘密に関わるようなものが明らかになる場合③ 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
（例）・ 公開手配を行わないで、被疑者に関する個人情報を、警察から被疑者の立ち回りが予想される事業者に限って提供する場合、警察から受け取った当該事業者が、本人の目的外利用の同意を得ることにより、捜査活動に重大な支障を及ぼすおそれがある場合④ 取得の状況からみて利用目的が明らかであると認められる場合（例）
・ 単に電話で注文をとりつけて、顧客の指定通りに商品を発送する以外には個人情報を利用しない場合
・ 一般の慣行として名刺を交換する場合、書面により、直接本人から、氏名・所属・肩書・連絡先等の個人情報を取得することとなるが、その利用目的が今後の連絡のためという利用目的であるような場合（ただし、ダイレクトメール等の目的に名刺を用いることは自明の利用目的に該当しない場合があるので注意を要する。）

16 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針【あらかじめ、本人に対し、その利用目的を明示している事例】（例）
・ アンケートの回答方法や懸賞の応募方法を説明した書面に、利用目的を記載する。
・ インターネット上においては、本人がアクセスした自社のホームページ上、又は個人情報入力画面上に、その利用目的を記載する。
【法の規定により遵守すべき事項等】
・ 対象事業者は、個人情報を取得するに当たって、あらかじめその利用目的を公表しておくか、個人情報を取得した場合、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
・ 利用目的の公表方法としては、可能な場合にはホームページへの掲載等の方法により、なるべく広く公表する必要がある。
・ 対象事業者は、サービスに対する申込書を提出してもらう場合やアンケートの記入を求める場合など、本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を当該書面により明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。
・ 対象事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。ただし、変更前の利用目的と関連性を有すると合理的に認められる範囲を超える変更については、本人の同意を得なければならない。
・ 取得の状況からみて利用目的が明らかであると認められる場合など利用目的の通知等の例外に該当する場合は、上記内容は適用しない。
【その他の事項】
・ 利用目的が、本規定の例外である「取得の状況からみて利用目的が明らかであると認められる場合」に該当する場合であっても、本人に利用目的をわかりやすく示す観点から、利用目的の公表に当たっては、
当該利用目的についても併せて記載する。
・ 対象事業者の社屋内等への掲示に当たっては、受付の近くに当該内容を説明した表示を行い、初回の利用者等に対しては、受付時や利用開始時において当該掲示についての注意を促す。
・ 受注時や利用開始時における説明だけでは、個人情報について十分な理解ができない利用者も想定されることから、利用者が落ち着いた時期に改めて説明を行ったり、個別に配布するものに個人情報に関する取扱いを記載するなど、利用者が個人情報の利用目的を理解できるよう配慮する。
・ 利用者等の希望がある場合、詳細の説明や当該内容を記載した書面の交付を行う。

４．個人情報の適正な取得、個人データ内容の正確性の確保（法第 20 条第 1 項、法第 20 条第 2項、法第 22 条関係）
（適正な取得）法第 20 条（第 1 項）
1 個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。
（要配慮個人情報の取得）

17 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
法第 20 条（第 2 項）
2 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮
個人情報を取得してはならない。
(1) 法令に基づく場合(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(5) 当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
(6) 学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。）。
(7) 当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、第 57 条第 1
項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合(8) その他前各号に掲げる場合に準ずるものとして政令で定める場合
規則第 6 条
法第 20 条第 2 項第 7 号の個人情報保護委員会規則で定める者は、次の各号のいずれかに該当する者とする。
(1) 外国政府、外国の政府機関、外国の地方公共団体又は国際機関(2) 外国において法第 16 条第 8 項に規定する学術研究機関等に相当する者(3) 外国において法第 57 条第 1 項各号に掲げる者に相当する者
政令第 9 条
法第 20 条第 2 項第 8 号の政令で定める場合は、次に掲げる場合とする。
(1) 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合(2) 法第 27 条第 5 項各号（法第 41 条第 6 項の規定により読み替えて適用する場合及び法第 42 条第 2 項において読み替えて準用する場合を含む。）に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき（データ内容の正確性の確保等）
法第 22 条
個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。
対象事業者は、偽り等の不正の手段により個人情報を取得してはならない。不正の競争の目的で、秘密として管理されている事業上有用な個人情報で公然と知られていないものを、詐欺等により取得したり、使18 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
用・開示した者には不正競争防止法（平成１５年法律第４７６号）第２１条により刑事罰（５年以下の懲役又は５００万円以下の罰金）が科され得ることに留意する。
また、対象事業者は、適正なサービスを提供するという利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めなければならない。
【不正の手段により個人情報を取得している事例】（例）・ 親の同意がなく、十分な判断能力を有していない子どもから、取得状況から考えて関係のない親の収入事情などの家族の個人情報を取得する場合（パソコンや携帯電話の普及により、子どもでも簡単に
インターネット上で商品の売買やアンケートへの回答を行うことが可能になった。こうした状況を利用し、例えば、子どもに人気の高いゲームを景品に、子どもから子ども自身や保護者の個人情報を取得してはならない。）
・ 法に規定する第三者提供制限違反をするよう強要して個人情報を取得した場合
・ 他の事業者に指示して、不正の手段で個人情報を取得させ、その事業者から個人情報を取得する場
合・ 個人情報の取得の際、利用目的を偽って入手する場合
・ 不正な手段により取得した第三者から、そのことを知りつつ受領する場合、第三者提供における必要な措置を行っていない事業者から受領する場合
・ 「住民票コード」や「マイナンバー」のように法令により使用を禁止されているものを取得する場合【法の規定により遵守すべき事項等】
・ 対象事業者は、偽りその他の不正の手段により個人情報を取得してはならない。
・ 個人情報の取得にあたっては、真に必要な範囲について、本人から直接取得するほか、第三者提供について本人の同意を得た者（本人の黙示の同意が得られていると考えられる者を含む）から取得することを原則とする。ただし、利用者が子ども等で本人以外の家族等から取得することが適切なサービスの提供上やむを得ない場合はこの限りでない。
【要配慮個人情報の取得時における本人の同意について】
・ 要配慮個人情報を取得する場合には、あらかじめ本人の同意を得なければならない。ただし、法第 20条第２項各号に定める場合については、本人の同意を得る必要はない。
・ なお、要配慮個人情報を、法に定める委託、事業承継又は共同利用により取得する場合は、あらかじめ本人の同意を得る必要はない。
【法第 20 条第 2 項に違反している事例】
本人の同意を得ることなく、法第 20 条第 2 項第 7 号及び規則第 6 条で定める者以外がインターネット
上で公開している情報から本人の信条や犯罪歴等に関する情報を取得し、既に保有している当該本人に関する情報の一部として自己のデータベース等に登録すること。
【その他の事項】
・ 子どもは必ずしも個人情報に対する認識が十分ではないことから、取得する前には親権者等に事情を

19 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
説明し、了解を得る機会を与えるよう努めなければならない。（契約にあっては、未成年者が親権者等の同意を得ないでなした契約は原則として取り消すことができることに留意する。）
・ 第三者提供により個人情報を取得する場合には、提供元の法の遵守状況を確認するとともに、実際に個人情報を取得する際には、当該個人情報の取得方法等を確認するよう努めなければならない。なお、当該個人情報が適法に取得されたことが確認できない場合は、偽りその他不正の手段により取得されたものである可能性もあることから、その取得を自粛することを含め、慎重に対応することが望ましい。
・ 第三者提供により他の事業者から個人情報を取得したとき、当該個人情報の内容に疑義が生じた場
合には、記載内容の事実に関して本人又は情報の提供を行った者に確認をとる。
・ 対象事業者は、個人データの内容の正確性、最新性を確保するため、具体的なルールを策定したり、技術水準向上のための研究の開催などを行うことが望ましい。
対象事業者は、利用目的の達成に必要な範囲内において、個人情報データベース等への個人情報の入力時の照合・確認の手続の整備、誤り等を発見した場合の訂正等の手続の整備、記録事項の更新、保存期間の設定等を行うことにより、個人データを正確かつ最新の内容に保つよう努めなければならない。
なお、保有する個人データを一律に又は常に最新化する必要はなく、それぞれの利用目的に応じて、その必要な範囲内で正確性・最新性を確保すれば足りる。
また、対象事業者は、法令の定めにより保存期間等が定められている場合を除き、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等は、当該個人データを遅滞なく消去するよう努めなければならない（※）。
【個人データについて利用する必要がなくなったときに該当する事例】（例）

キャンペーンの懸賞品送付のため、当該キャンペーンの応募者の個人データを保有していたところ、懸賞品の発送が終わり、不着対応等のための合理的な期間が経過した場合（※）「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む。

５．安全管理措置、従業者の監督及び委託先の監督（法第２３条～第２５条関係）（安全管理措置）法第 23 条
個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない（従業者の監督）
法第 24 条
個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

20 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針（委託先の監督）
法第 25 条
個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
（１）対象事業者が講ずるべき安全管理措置等① 安全管理措置対象事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のため、組織的、人的、物理的、及び技術的安全管理措置等を講じなければならない。その際、本人の個人データが漏えい、滅失又はき損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質
及び個人データの取扱い状況等に起因するリスクに応じ、必要かつ適切な措置を講ずるものとする。なお、その際には、個人データを記憶した媒体の性質に応じた安全管理措置を講ずる。
② 従事者の監督対象事業者は、①の安全管理措置を遵守させるよう、従業者に対し必要かつ適切な監督をしなければならない。なお、「従業者」とは、当該対象事業者の指揮命令を受けて業務に従事する者すべてを含むものであり、また、雇用関係のある者のみならず、理事、派遣労働者等も含むものである。
（２）安全管理措置として考えられる事項
対象事業者は、その取り扱う個人データの重要性にかんがみ、個人データの漏えい、滅失またはき損の防止
その他の安全管理のため、その規模、従業者の様態等を勘案して、以下に示すような取組を参考に、必要な措置を行うものとする。
また、同一事業者が複数の施設を開設する場合、当該施設間の情報交換については第三者提供に該当しないが、施設ごとに安全管理措置を講ずるなど、個人情報の利用目的を踏まえた個人情報の安全管理を行う。
① 個人情報保護に関する規程の整備、公表
・ 対象事業者は、保有個人データの開示手順を定めた規程その他個人情報保護に関する規程を整備
し、苦情への対応を行う体制も含めて、ホームページへの掲載を行うなど、利用者等に対して周知徹底を図る。
・ また、個人データを取り扱う情報システムの安全管理措置に関する規程等についても同様に整備を行うこと。
② 個人情報保護推進のための組織体制等の整備
・ 従業者の責任体制の明確化を図り、具体的な取組を進めるため、個人情報保護に関し十分な知識を有する管理者、監督者等（例えば、役員などの組織横断的な監督が可能な者）を定める。又は個
人情報保護の推進を図るための部署、若しくは委員会等を設置する。
・ 各部門で行っている個人データの安全管理措置について定期的に自己評価を行い、見直しや改善を行うべき事項について適切な改善を行う。

21 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針③ 個人データの漏えい等の問題が発生した場合等における報告連絡体制の整備
・ １）個人データの漏えい等の事故が発生した場合、又は発生の可能性が高いと判断した場合、２）
個人データの取扱いに関する規程等に違反している事実が生じた場合、又は兆候が高いと判断した場
合における責任者等への報告連絡体制の整備を行う。
・ 個人データの漏えい等の情報は、苦情等の一環として、外部から報告される場合も想定されることから、苦情への対応を行う体制との連携も図る。
④ 雇用契約時における個人情報保護に関する規程の整備
・ 雇用契約や就業規則において、就業期間中はもとより離職後も含めた守秘義務を課すなど従業者の個人情報保護に関する規程を整備し、徹底を図る。
⑤ 従業者に対する教育研修の実施
・ 当協会は、個人情報の適正な取扱いの確保に寄与する事項についての対象事業者に対する情報の提供を行う。対象事業者は、この情報提供を受けて、従業者への研修を１年に 1 回以上行う必要がある。
・ 取り扱う個人データの適切な保護が確保されるよう、従業者に対する教育研修の実施等により、個人データを実際の業務で取り扱うこととなる従業者の啓発を図り、従業者の個人情報保護意識を徹底する。
・ この際、派遣労働者についても、「派遣先が講ずべき措置に関する指針」（平成１１年労働省告示
第１３８号）において、「必要に応じた教育訓練に係る便宜を図るよう努めなければならない」とされていることを踏まえ、個人情報の取扱いに係る教育研修の実施に配慮する必要がある。
⑥ 物理的安全管理措置
・ 個人データの盗難・紛失等を防止するため、以下のような物理的安全管理措置を行う。
－入退館（室）管理の実施－盗難等に対する予防対策の実施（例えば、カメラによる撮影や作業への立会い等による記録又はモニタリングの実施、記録機能を持つ媒体の持込み・持出しの禁止又は検査の実施等）－機器、装置等の固定など物理的な保護・ 不正な操作を防ぐため、業務上の必要性に基づき、以下のように、個人データを取り扱う端末に付与する機能を限定する。
－スマートフォン、パソコン等の記録機能を有する機器の接続の制限及び機器の更新への対応⑦ 技術的安全管理措置
・ 個人データの盗難・紛失等を防止するため、個人データを取り扱う情報システムについて以下のような技
術的安全管理措置を行う。
－個人データに対するアクセス管理（ＩＤやパスワード等による認証、各職員の業務内容に応じて業務上必要な範囲にのみアクセスできるようなシステム構成の採用等）－個人データに対するアクセス記録の保存－不正が疑われる異常な記録の存否の定期的な確認－個人データに対するファイアウォールの設置

22 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針－情報システムへの外部からのアクセス状況の監視及び当該監視システムの動作の定期的な確認－ソフトウェアに関する脆弱性対策（セキュリティパッチの適用、当該情報システム固有の脆弱性の発見及びその修正等）⑧ 個人データの保存
・ 個人データを長期にわたって保存する場合には、保存媒体の劣化防止など個人データが消失しないよ
う適切に保存する。
・ 個人データの保存に当たっては、本人からの照会等に対応する場合など必要なときに迅速に対応できる
よう、インデックスの整備など検索可能な状態で保存しておく。
⑨ 不要となった個人データの廃棄、消去
・ 不要となった個人データを廃棄する場合には、焼却や溶解など、個人データを復元不可能な形にして廃棄する。
・ 個人データを取り扱った情報機器を廃棄する場合は、記憶装置内の個人データを復元不可能な形に消去して廃棄する。
・ これらの廃棄業務を委託する場合には、個人データの取扱いについても委託契約において明確に定める。
⑩ 外的環境の把握
・ 以下の背景を踏まえて外的環境を把握する。
外国（本邦の域外にある国又は地域）の名称については、必ずしも正式名称を求めるものではない
が、本人が合理的に認識できると考えられる形で情報提供を行う必要がある。また、本人の適切な理解と関与を促す観点から、保有個人データを取り扱っている外国の制度についても、本人の知り得る状態に置くといった対応が望ましい。

（３）業務を委託する場合の取扱い① 委託先の監督対象事業者は、個人データの取扱いの全部又は一部を委託する場合、法に基づく安全管理措置を遵守させるよう受託者に対し、必要かつ適切な監督をしなければならない。
「必要かつ適切な監督」には、委託契約において委託者である対象事業者が定める安全管理措置の内容を契約に盛り込み受託者の義務とするほか、業務が適切に行われていることを定期的に確認することなども含まれる。
また、業務が再委託された場合で、再委託先が不適切な取扱いを行ったことにより、問題が生じた場合は、対象事業者や再委託した事業者が責めを負うこともあり得る。
② 業務を委託する場合の留意事項
対象事業者は、個人データの取扱いの全部又は一部を委託する場合、以下の事項に留意すべきである。
・ 個人情報を適切に取り扱っている事業者を委託先（受託者）として選定する（受託者の安全管理
措置が、少なくとも法で求められるものと同等であることを確認するため、Ⅲ５.（２）の項目が、委託

23 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針する業務内容に応じて確実に実施されることについて、受託者の体制、規程等の確認に加え、必要に応じて個人データを取り扱う場所に赴き、又はこれに代わる合理的な方法により確認を行った上で、個
人情報保護に関する管理者、監督者等が、適切に評価することが望ましい。）。
・ 契約において、個人情報の適切な取扱いに関する内容を盛り込む（委託期間中のほか、委託終了
後の個人データの取扱いも含む。）。
・ 受託者が、委託を受けた業務の一部を再委託することを予定している場合は、再委託を受ける事業者の選定において個人情報を適切に取り扱っている事業者が選定されるとともに、再委託先事業者が個
人情報を適切に取り扱っていることが確認できるよう契約において配慮する（再委託の可否及び委託元への文書による事前報告又は承認手続を求める等の事項を定めることが望ましい。）。
・ 受託者が個人情報を適切に取り扱っていることを定期的に確認する。
・ 受託者が再委託を行おうとする場合は、対象事業者は委託を行う場合と同様、再委託の相手方、再委託する業務内容及び再委託先の個人データの取扱方法等について、受託者に事前報告又は承認手続を求めること、直接又は受託者を通じて定期的に監査を実施すること等により、受託者が再委託先に対して法に基づく委託先の監督を適切に果たすこと、再委託先が法に基づく安全管理措置を講ずることを十分に確認することが望ましい。再委託先が再々委託を行う場合以降も、再委託を行う場合と同様とする。
・ 受託者における個人情報の取扱いに疑義が生じた場合（利用者等からの申出があり、確認の必要があると考えられる場合を含む。）には、受託者に対し、説明を求め、必要に応じ改善を求める等適切な措置をとる。
（４）情報システムの導入及びそれに伴う情報の外部保存を行う場合の取扱い
対象事業者において、個人情報を取扱う情報システムを導入したり、個人情報の外部保存を行う場合には、運営及び委託等の取扱いについて安全性が確保されるよう規程を定め、実施するものとする。
【クラウド事業者に対する個人情報の取扱いの委託先としての該当性について】
対象事業者が取り扱う個人情報の一部または全部を保存するクラウドサービスにおいては、利用約款等にて、下記の内容を確認する必要がある。
クラウド事業者が、個人情報を取り扱わないこと。



クラウド事業者が、個人情報が取り扱えないような安全管理措置が取られていること。（高度な暗号化、アクセス権制御等）

上述の２件の条件を満たすクラウドサービスに対しては、「個人情報の取扱いの委託」に該当しない。ただし、対象事業者の安全管理措置として、セキュリティ措置の確認や利用規約内容の精査のほか、財務状況やサービスの変更状況について定期的に見直しを実施する必要がある。
（５）個人データの漏えい等の問題が発生した場合における二次被害の防止等関係事業者において、個人データの漏えい等の問題が発生した場合には、二次被害の防止、類似事案の発生回避等の観点から、「個人データの漏えい等の事実が発生した場合等の対応について」（平成 29 年
個人情報保護委員会告示第１号）及び「個人情報の保護に関する法律についてのガイドライン」に関する
Ｑ＆Ａ」に基づき、①対象事業者内部における報告及び被害の防止拡大、②事実関係の調査及び原因

24 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針の究明、③影響範囲の特定、④再発防止策の検討及び実施、⑤影響を受ける可能性のある本人への連絡等、⑥事実関係及び再発防止策等の公表の必要な措置を講じる必要がある。
また、対象事業者において、“一定の個人情報の漏えい等の事案が発生した場合”は原則として、当協会に対し、当該事実の発生を知ってから３から５日程度のうちに通知を行わなければならない。
“一定の個人情報の漏えい等の事案が発生した場合”とは、法第 26 条第 1 項関係（個人情報保護委員会への報告）を基準とする。ただし、対象事業者を支援するとともに他の対象事業者に注意を促すために当基準に関わらず、事故の発生および対応の方法について、当協会は通知・相談を受け付ける。



対象事業者は、当協会への通知に関わらず、個人情報保護法の定めに基づき一定の範囲に該当する個人情報の漏えい等については、各事業者から個人情報保護委員会に報告する必要がある。

【法の規定により遵守すべき事項等】
・ 対象事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他個人データの安全管理のために必要かつ適切な措置を講じなければならない。
・ 対象事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
・ 対象事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個
人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
【その他の事項】
・ 対象事業者は、安全管理措置に関する取組を一層推進するため、安全管理措置が適切であるかどうかを一定期間ごとに個人情報保護対策及び最新の技術動向を踏まえた情報セキュリティ対策に十分な知見を有する者に事業者内の対応を確認させるほか、必要に応じて外部の知見を有する者による確認を受けることで、改善を図ることが望ましい。

６．個人データの第三者提供（法第 27 条～第 30 条、法第 27 条第 5 項・第 6 項関係）
（第三者提供の制限の原則）
法第 27 条（第 1 項）
1 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
(1) 法令に基づく場合(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

25 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針(5) 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）(6) 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。）。
(7) 当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
（第三者に該当しない場合）
法第 27 条（第 5 項）
5 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用について
は、第三者に該当しないものとする。
(1) 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合(2) 合併その他の事由による事業の承継に伴って個人データが提供される場合(3) 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。
（１）第三者提供の取扱い
対象事業者は、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならないとされており、次のような場合には、本人の同意を得る必要がある。
また、要配慮個人情報については、本指針において法の要求を上回って「個人データ」とならない「個人情報」であっても、あらかじめ本人の同意を得ないで、第三者に提供してはならないものとする。
（例）
・ 本人の友人からの照会
・ 本人の友人を名乗る者等から本人への連絡をしたい旨の依頼があった場合、本人の同意を得ずに連絡先等を回答してはならない。本人に友人からの照会があった旨を伝えるに留めるべきである。
・ 本人の家族を名乗る者等から本人が登録している情報や購買履歴を開示して欲しい旨の依頼があった場合、本人の同意を得ずに回答してはならない。対象事業者としては、本人の家族構成や、本人と本人の家族を名乗る者との関係を把握しているわけではないため、本人の代理人としての保有個人データの開示請求を行うように促すべきである。
（２）第三者提供の例外
ただし、次に掲げる場合については、本人の同意を得る必要はない。
① 法令に基づく場合

26 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針② 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
③ 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
④ 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
（３）「第三者」に該当しない場合① 他の事業者等への情報提供であるが、「第三者」に該当しない場合
法第２７条第５項の各号に掲げる場合の当該個人データの提供を受ける者については、第三者に該当せず、本人の同意を得ずに情報の提供を行うことができる。対象事業者における具体的事例は以下のとおりである。
・ 個人情報の取扱いを行う業務を委託する場合
・ 外部監査機関への情報提供
・ 個人データを特定の者との間で共同して利用するとして、あらかじめ本人に通知等している場合※個人データの共同での利用における留意事項
あらかじめ個人データを特定の者との間で共同して利用することが予定されている場合、(ｱ)共同して利用される個人データの項目、(ｲ)共同利用者の範囲（個別列挙されているか、本人から見てその範囲が明確となるように特定されている必要がある）、(ｳ)利用する者の利用目的、(ｴ)当該個人データの管理について責任を有する者の氏名又は名称、住所、法人にあっては代表者の氏名をあらかじめ本人に通知し、又は本人が容易に知り得る状態においておくとともに、共同して利用することを明らかにしている場合には、当該共同利用者は第三者に該当しない。
この場合、(ｱ)、(ｲ) については変更することができず、(ｳ)、(ｴ)については、社会通念上本人が通常予期し得る限度と客観的に認められる範囲内で変更することができ、変更する場合は、本人に通知又は本人の容易に知り得る状態におかなければならない。
② 同一事業者内における情報提供であり、第三者に該当しない場合
同一事業者内で情報提供する場合は、当該個人データを第三者に提供したことにはならないので、本人の同意を得ずに情報の提供を行うことができる。
（４）その他留意事項
・ 他の事業者への情報提供に関する留意事項
第三者提供を行う場合のほか、他の事業者への情報提供であっても、①法令に基づく場合など第三者提供の例外に該当する場合、②「第三者」に該当しない場合、③個人が特定されないように匿名化して情報提供する場合などにおいては、本来必要とされる情報の範囲に限って提供すべきであり、情報提供する上で必要とされていない事項についてまで他の事業者に提供することがないようにすべきである。
【法の規定により遵守すべき事項等】

27 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
・ 対象事業者においては、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならな
い。なお、（２）の本人の同意を得る必要がない場合に該当する場合には、本人の同意を得る必要はない。
・ 個人データの第三者提供について本人の同意があった場合で、その後、本人から第三者提供の範囲の一部についての同意を取り消す旨の申出があった場合は、その後の個人データの取扱いについては、本人の同意のあった範囲に限定して取り扱うものとする。
【その他の事項】
・ 第三者提供に該当しない情報提供が行われる場合であっても、ホームページ等により情報提供先をできるだけ明らかにするとともに、利用者等からの問い合わせがあった場合に回答できる体制を確保する。
・ 例えば、業務委託の場合、対象事業者において委託している業務の内容、委託先事業者、委託先事業者との間での個人情報の取扱いに関する取り決めの内容等について公開することが考えられる。
７．外国にある第三者への提供の制限（法第２８条関係）「通信販売等を中心とした顧客情報」を外国にある第三者へ提供するケースとしては、「外国にある第三者に当該個人情報の取扱いを委託する場合」が考えられる。
しかしながら、５．(4)の【クラウド事業者に対する個人情報の取扱いの委託先としての該当性について】に記載したとおり、クラウドサービスに個人データを保管する場合において、当該クラウドサービス提供事業者は
個人情報の取扱いの委託先に該当しない場合が大半となっている。
大半に外れて、当該クラウドサービス提供事業者が個人情報の取扱いの委託先に該当する場合や、顧客情報の入力作業を外国にある第三者に委託する場合が発生している対象事業者においては、個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」（個
人情報保護委員会告示）を参照する必要がある。
（外国にある第三者への提供の制限）
法第 28 条1 個人情報取扱事業者は、外国（本邦の域外にある国又は地域をいう。以下この条及び第 31条第 1 項第 2 号において同じ。）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものを除く。以下この条及び同号において同じ。）にある第三者（個人データの取扱いについてこの節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置（第 3 項において「相当措置」という。）を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この項及び次項並びに同号において同じ。）に個人データを提供する場合には、前条第 1 項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は、適用しない。
2 個人情報取扱事業者は、前項の規定により本人の同意を得ようとする場合には、個人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。

28 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
3 個人情報取扱事業者は、個人データを外国にある第三者（第 1 項に規定する体制を整備している者に限る。）に提供した場合には、個人情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。
規則第 16 条
法第 28 条第 1 項の個人情報保護委員会規則で定める基準は、次の各号のいずれかに該当することとする。
(1) 個人情報取扱事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第 4 章第 2 節の規定の趣旨に沿った措置の実施が確保されていること。
(2) 個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。
規則第 17 条
1 法第 28 条第 2 項又は法第 31 条第 1 項第 2 号の規定により情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。
2 法第 28 条第 2 項又は法第 31 条第 1 項第 2 号の規定による情報の提供は、次に掲げる事項について行うものとする。
(1) 当該外国の名称(2) 適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報(3) 当該第三者が講ずる個人情報の保護のための措置に関する情報
3 前項の規定にかかわらず、個人情報取扱事業者は、法第 28 条第 1 項の規定により本人の同意を得ようとする時点において、前項第 1 号に定める事項が特定できない場合には、同号及び同項
第 2 号に定める事項に代えて、次に掲げる事項について情報提供しなければならない。
(1) 前項第 1 号に定める事項が特定できない旨及びその理由(2) 前項第 1 号に定める事項に代わる本人に参考となるべき情報がある場合には、当該情報
4 第 2 項の規定にかかわらず、個人情報取扱事業者は、法第 28 条第 1 項の規定により本人の同意を得ようとする時点において、第 2 項第 3 号に定める事項について情報提供できない場合には、同号に定める事項に代えて、その旨及びその理由について情報提供しなければならない。
規則第 18 条
1 法第 28 条第 3 項（法第 31 条第 2 項において読み替えて準用する場合を含む。）の規定
による外国にある第三者による相当措置の継続的な実施を確保するために必要な措置は、次に掲げる措置とする。
(1) 当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること。
(2) 当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データ（法第 31 条第 2 項

29 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
において読み替えて準用する場合にあっては、個人関連情報）の当該第三者への提供を停止すること。
2 法第 28 条第 3 項の規定により情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。
3 個人情報取扱事業者は、法第 28 条第 3 項の規定による求めを受けたときは、本人に対し、遅滞なく、次に掲げる事項について情報提供しなければならない。ただし、情報提供することにより当該
個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、その全部又は一部を提供しないことができる。
(1) 当該第三者による法第 28 条第 1 項に規定する体制の整備の方法(2) 当該第三者が実施する相当措置の概要(3) 第 1 項第 1 号の規定による確認の頻度及び方法(4) 当該外国の名称(5) 当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要(6) 当該第三者による相当措置の実施に関する支障の有無及びその概要(7) 前号の支障に関して第 1 項第 2 号の規定により当該個人情報取扱事業者が講ずる措置の概要
4 個人情報取扱事業者は、法第 28 条第 3 項の規定による求めに係る情報の全部又は一部について提供しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
5 個人情報取扱事業者は、前項の規定により、本人から求められた情報の全部又は一部について提供しない旨を通知する場合には、本人に対し、その理由を説明するよう努めなければならない。

８．第三者提供に係る記録の作成等（法第２９条関係）「通信販売等を中心とした顧客情報」において、法第 29 条に従って第三者提供に係る記録を作成する義務が生じるケースとしては、「クレジットカード信用情報機関への提供」が考えられる。詳細は、「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」（個人情報保護委員会告示）を参照する必要がある。
（第三者提供に係る記録の作成等）
法第 29 条1 個人情報取扱事業者は、個人データを第三者（第 16 条第 2 項各号に掲げる者を除く。以下
この条及び次条（第 31 条第 3 項において読み替えて準用する場合を含む。）において同じ。）に提供したときは、個人情報保護委員会規則で定めるところにより、当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。ただし、当該個人データの提供が第 27 条第 1 項各号又は第 5 項各号のいずれか（前条第 1 項の規定による個人データの提供にあっては、第 27 条第 1 項各号のいずれか）に該当する場合は、この限りでない。
2 個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。
規則第 19 条

30 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
1 法第 29 条第 1 項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。
2 法第 29 条第 1 項の記録は、個人データを第三者（同項に規定する第三者をいう。以下この条、次条、第 22 条から第 24 条まで、第 27 条及び第 28 条において同じ。）に提供した都度、速やかに作成しなければならない。ただし、当該第三者に対し個人データを継続的に若しくは反復して提供（法第 27 条第 2 項の規定による提供を除く。以下この項において同じ。）したとき、又は当該第三者に対し個人データを継続的に若しくは反復して提供することが確実であると見込まれるときの記録は、一括して作成することができる。
3 前項の規定にかかわらず、法第 27 条第 1 項又は法第 28 条第 1 項の規定により、本人に対する物品又は役務の提供に関連して当該本人に係る個人データを第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に次条第 1 項各号に定める事項が記載されているときは、当該書面をもって法第 29 条第 1 項の当該事項に関する記録に代えることができる。
規則第 20 条
1 法第 29 条第 1 項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。
(1) 法第 27 条第 2 項の規定により個人データを第三者に提供した場合 次のイからニまでに掲げる事項
イ 当該個人データを提供した年月日
ロ 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。第 28 条第 1 項第 3号において同じ。）の氏名（不特定かつ多数の者に対して提供したときは、その旨）
ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
ニ 当該個人データの項目(2) 法第 27 条第 1 項又は法第 28 条第 1 項の規定により個人データを第三者に提供した場
合 次のイ及びロに掲げる事項
イ 法第 27 条第 1 項又は法第 28 条第 1 項の本人の同意を得ている旨
ロ 前号ロからニまでに掲げる事項
2 前項各号に定める事項のうち、既に前条に規定する方法により作成した法第 29 条第 1 項の記
録（当該記録を保存している場合におけるものに限る。）に記録されている事項と内容が同一である
ものについては、法第 29 条第 1 項の当該事項の記録を省略することができる。
規則第 21 条
法第 29 条第 2 項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とする。
(1) 第 19 条第 3 項に規定する方法により記録を作成した場合 最後に当該記録に係る個人デー
タの提供を行った日から起算して 1 年を経過する日までの間(2) 第 19 条第 2 項ただし書に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を行った日から起算して 3 年を経過する日までの間(3) 前二号以外の場合 3 年

31 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
９．第三者提供を受ける際の確認等（法第３０条）「通信販売等を中心とした顧客情報」において、法第 30 条に従って第三者提供を受ける際の確認義務が生じるケースとしては、「信用情報の提供を受ける場合」が考えられる。詳細は、「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」（個人情報保護委員会告示）を参照する必要がある。
（第三者提供を受ける際の確認等）
法第二十六条 対象事業者は、第三者から個人データの提供を受けるに際しては、個人情報保護委員会規則で定めるところにより、次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供が第二十三条第一項各号又は第五項各号のいずれかに該当する場合は、この限りでない。
一 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名
二 当該第三者による当該個人データの取得の経緯
２ 前項の第三者は、個人情報取扱事業者が同項の規定による確認を行う場合において、当該個人情報取扱事業者に対して、当該確認に係る事項を偽ってはならない。
3 対象事業者は、第一項の規定による確認を行ったときは、個人情報保護委員会規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委
員会規則で定める事項に関する記録を作成しなければならない。
4 対象事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める
期間保存しなければならない。
（第三者提供を受ける際の確認）法第 30 条（第 1 項・第 2 項）
1 個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、個人情報保護委員会規則で定めるところにより、次に掲げる事項の確認を行わなければならない。ただし、当該個人デー
タの提供が第 27 条第 1 項各号又は第 5 項各号のいずれかに該当する場合は、この限りでない。
(1) 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名(2) 当該第三者による当該個人データの取得の経緯
2 前項の第三者は、個人情報取扱事業者が同項の規定による確認を行う場合において、当該個人情報取扱事業者に対して、当該確認に係る事項を偽ってはならない。
規則第 22 条
1 法第 30 条第 1 項の規定による同項第 1 号に掲げる事項の確認を行う方法は、個人データを提供する第三者から申告を受ける方法その他の適切な方法とする。
2 法第 30 条第 1 項の規定による同項第 2 号に掲げる事項の確認を行う方法は、個人データを提供する第三者から当該第三者による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法とする。
3 前二項の規定にかかわらず、第三者から他の個人データの提供を受けるに際して既に前二項に規定する方法による確認（当該確認について次条に規定する方法による記録の作成及び保存をしている場合におけるものに限る。）を行っている事項の確認を行う方法は、当該事項の内容と当該提供に係る法第 30 条第 1 項各号に掲げる事項の内容が同一であることの確認を行う方法とする。

32 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針（第三者提供を受ける際の記録の作成等）
法第 30 条（第 3 項・第 4 項）
3 個人情報取扱事業者は、第 1 項の規定による確認を行ったときは、個人情報保護委員会規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。
4 個人情報取扱事業者は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。
規則第 23 条
1 法第 30 条第 3 項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。
2 法第 30 条第 3 項の記録は、第三者から個人データの提供を受けた都度、速やかに作成しなければならない。ただし、当該第三者から継続的に若しくは反復して個人データの提供（法第 27 条
第 2 項の規定による提供を除く。以下この条において同じ。）を受けたとき、又は当該第三者から継続的に若しくは反復して個人データの提供を受けることが確実であると見込まれるときの記録は、一括して作成することができる。
3 前項の規定にかかわらず、本人に対する物品又は役務の提供に関連して第三者から当該本人に係る個人データの提供を受けた場合において、当該提供に関して作成された契約書その他の書面に次条第 1 項各号に定める事項が記載されているときは、当該書面をもって法第 30 条第 3 項の当該事項に関する記録に代えることができる。
規則第 24 条
1 法第 30 条第 3 項の個人情報保護委員会規則で定める事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。
(1) 個人情報取扱事業者から法第 27 条第 2 項の規定による個人データの提供を受けた場合
次のイからホまでに掲げる事項
イ 個人データの提供を受けた年月日
ロ 法第 30 条第 1 項各号に掲げる事項
ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
ニ 当該個人データの項目
ホ 法第 27 条第 4 項の規定により公表されている旨(2) 個人情報取扱事業者から法第 27 条第 1 項又は法第 28 条第 1 項の規定による個人デー
タの提供を受けた場合 次のイ及びロに掲げる事項
イ 法第 27 条第 1 項又は法第 28 条第 1 項の本人の同意を得ている旨
ロ 前号ロからニまでに掲げる事項(3) 個人関連情報取扱事業者から法第 31 条第 1 項の規定による個人関連情報の提供を受けて個人データとして取得した場合 次のイからニまでに掲げる事項
イ 法第 31 条第 1 項第 1 号の本人の同意が得られている旨及び外国にある個人情報取扱事業者にあっては、同項第 2 号の規定による情報の提供が行われている旨
ロ 法第 30 条第 1 項第 1 号に掲げる事項

33 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
ハ 第 1 号ハに掲げる事項
ニ 当該個人関連情報の項目(4) 第三者（個人情報取扱事業者に該当する者を除く。）から個人データの提供を受けた場合
第 1 号ロからニまでに掲げる事項
2 前項各号に定める事項のうち、既に前条に規定する方法により作成した法第 30 条第 3 項の記
録（当該記録を保存している場合におけるものに限る。）に記録された事項と内容が同一であるものについては、法第 30 条第 3 項の当該事項の記録を省略することができる。
規則第 25 条
法第 30 条第 4 項の個人情報保護委員会規則で定める期間は、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間とする。
(1) 第 23 条第 3 項に規定する方法により記録を作成した場合 最後に当該記録に係る個人デー
タの提供を受けた日から起算して 1 年を経過する日までの間(2) 第 23 条第 2 項ただし書に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を受けた日から起算して 3 年を経過する日までの間(3) 前二号以外の場合 3 年

１０．保有個人データに関する事項の公表等（法第３２条）（保有個人データに関する事項の本人への周知）法第 32 条（第 1 項）
1 個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
(1) 当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名(2) 全ての保有個人データの利用目的（第 21 条第 4 項第 1 号から第 3 号までに該当する場合を除く。）(3) 次項の規定による求め又は次条第 1 項（同条第 5 項において準用する場合を含む。）、第34 条第 1 項若しくは第 35 条第 1 項、第 3 項若しくは第 5 項の規定による請求に応じる手続（第 38 条第 2 項の規定により手数料の額を定めたときは、その手数料の額を含む。）(4) 前三号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの
政令第 10 条
法第 32 条第 1 項第 4 号の政令で定めるものは、次に掲げるものとする。
(1) 法第 23 条の規定により保有個人データの安全管理のために講じた措置（本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。）(2) 当該個人情報取扱事業者が行う保有個人データの取扱いに関する苦情の申出先(3) 当該個人情報取扱事業者が認定個人情報保護団体の対象事業者である場合にあっては、当該認定個人情報保護団体の名称及び苦情の解決の申出先34 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針（保有個人データの利用目的の通知）法第 32 条（第 2 項・第 3 項）
2 個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りでない。
(1) 前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合(2) 第 21 条第 4 項第 1 号から第 3 号までに該当する場合
3 個人情報取扱事業者は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない【法の規定により遵守すべき事項】
・ 対象事業者は、保有個人データに関し、以下について本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む）に置かなければならない。
（ホームページに「個人情報保護方針」と並べて「個人情報の取扱いについて」を掲載する場合の例）
個人情報保護方針「〇〇。」というグル－プ理念のもと、株式会社〇〇（以下「当社」といいます。）は、〇〇商品をお客様にお届けしている会社です。
当社の事業においては、お客様の個人情報は、お客様に十分ご満足いただけるサービスをご提供するために欠くことのできないものであり、お客様からお預かりした大変大切なものであると考え、その取り扱いについては細心の注意を払っております。
当社が販売する商品を安心・信頼してご利用いただくために、役員および従業員には個人情報に関する法令および社内規程につき十分な教育を行うとともに、社内体制を整え、お客様の個人情報の適正な管理に努め、また適切な取り扱いをさせていただくための最大限の努力をいたします。
1.

当社は、上記に示す事業の内容および規模を考慮して、個人情報を適切に取得、利用いたします。

2.

当社では、あらかじめご本人の同意を得ることなく個人情報の目的外利用を行わないことを原則とし、そのための措置を講じます。

3.

当社は、ご本人の同意を得た場合や法令等により正当な理由がある場合を除き、個人情報を第三者に提供いたしません。

4.

当社は、個人情報の取り扱いに関する法令、国が定める指針その他の規範を遵守します。

5.

当社は、保有する個人情報の漏えい、滅失またはき損を防止するため、対策を講じるとともに、必要な是正措置を講じます。

6.

当社は、個人情報の取り扱いおよび個人情報保護マネジメントシステムに関する苦情・相談窓口を設置し、対応いたします。

7.

当社は、個人情報保護マネジメントシステムを運用し、継続的に見直し、改善していきます。

制定日：〇〇年〇〇月〇〇日
最終改訂日：〇〇年〇〇月〇〇日
株式会社〇〇
代表取締役社長 〇〇35 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
株式会社〇〇における個人情報のお取り扱いについて〒000-0000
東京都〇〇区〇〇1-1-1 〇〇ビル
株式会社〇〇
代表取締役社長 〇〇個人情報保護管理者 ○○（連絡先は下記の窓口と同じです）
当社が取り扱うお客さま等の個人情報について、以下のとおり公表いたします。
1. 個人情報の利用目的に関する事項
当社が取り扱う個人情報は以下の目的で利用いたします。この他の利用目的で個人情報を利用する場合には、個人情報を取得するときに、その利用目的と問合せ先を明示します。 なお、これらの利用目的の範囲を超えてお客さまの個人情報を利用する場合は、改めて利用目的をお知らせし、同意を得ることとします。ただし、取得状況からみて利用目的が明らかであると認められる場合は除きます。
[弊社の保有個人データの利用目的]※利用目的は本人がその利用について予測できるよう具体的に記載すること。特に本人が知覚しづ
らい取得データ等の利用に関しては内容を吟味し、できるだけ詳しく表現すること。
顧客情報ご利用の弊社サービスを提供する目的及び事務連絡・アフ
ターフォロー等それに付帯する業務を実行する目的（詳細は下記サービスリストをご確認ください）
DM 発送等弊社のサービスをご紹介する目的

問合せ情報

製品やサービス等に関する意見、要望、問合わせについての
受付と回答

取引先情報

弊社との取引に関する事務その他それに付帯する業務を実行する目的

従業員情報、採用情報

人事労務管理、賃金管理、社会保険・労働安全・福利厚生の運用・管理、業務遂行管理採用に関わる連絡、選考、入社手続き

その他個人情報の利用目的【受託業務にて取り扱う個人情報】

委託元の利用目的の範囲内で委託された個人情報を処理します

当社が運営するサービスサイトにおいては、サービスごとに保有個人データの利用目的を公表しています。
当社の提供するサービスサイトへのリンクは「」をご覧ください。

36 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
2. 共同利用に関する公表事項（※共同利用がない場合は削除、以下番号がずれるため要調
整）
3.当社の保有個人データに関する開示等のご請求の手続き
当社では、お客さまの保有個人データについて、本人またはその代理人から、利用目的の通知・開示・訂正等・利用停止等のご請求及び個人データの第三者提供記録の開示のご請求があった場
合、当社所定の方法によって対応します。具体的な方法については、個別にご案内しますので、下記（３）お問い合わせ先までご連絡ください。
(1) 手続きご請求は、郵送・電話・電子メールの送信によってご連絡ください。ご請求内容確認後、折り返し当社所定の請求書面をお送りしますので、必要事項をご記入の上、ご郵送ください。その際、請求者または代理人がご本人であること、また代理人が代理権を有することを当社所定の方法により確認させていただきます。なお、保有個人データの削除、利用の停止、消去及び第三者への提供の停止を行ったときは、当社インターネット事業等での商品・サービスご提供、会員サービス等はお受けできません。
なお、インターネット上で提供しているサービスにおいては、その会員サイトよりお手続きが可能な場合があります。その場合はサービスサイトにお手続きを記載しておりますのでご確認ください。
(2) 手数料等
当社への手数料はいただきませんが、請求者にかかる切手代、電話代、電磁的記録での開示を行う場合のメディア代、通信費等のすべての費用はご負担いただきます。
(3) お問い合わせ先
お問い合わせは、下記までご連絡ください。
〒000-0000
東京都〇〇区〇〇1-1-1 〇〇ビル
株式会社〇〇
個人情報保護管理者 ○○Tel:〇〇
受付時間 9:00～17:30（土・日・祝日を除く）※お客様との通話は、内容確認の目的で録音させていただく場合がございます。
4. 当社の保有個人データに対して行う安全管理措置について
当社においては、保有個人データを特定し、データの管理者を指定しています。その上で、リスクアセ
スメントを行い、個人データの安全管理基準を策定し、適切な安全管理措置を取っています。また、安全管理の実施状況についても定期的に内部点検を行っています。
(当社で実施する主な安全管理措置)
個人データのリスクに応じて下記の安全管理措置及び追加の安全管理措置を行っています。
⚫

⚫

人的対策について：➢

従業者には個人情報の取扱いに関する教育を定期的に実施しています。

➢

個人データについての秘密保持に関する事項を就業規則に記載しています。

物理的対策について：➢

個人データを取り扱えるエリアを限定し、アクセス権に応じた入退管理を行っています。

37 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針➢

盗難・漏えいを防止する媒体の移送・送信ルールを作成し、それに応じた運用を行っています。

⚫

技術的対策について：➢

業務上必要な範囲にアクセス権を設定し、権限を有しないものの閲覧ができないようにし
ています。

➢

通信の暗号化、ネットワークの分離措置を行っています。

➢

公開される web サイトにおいては、定期的に脆弱性検査を行い、脆弱性対応を行っています。

⚫

委託について：➢個人データの取扱いの業務委託に関しては、委託の内容に必要な範囲の個人データのみを受け渡し、そのうえで、当該データに対して当社と同水準の安全管理措置を実施できる事業者を選定しています。定期的に点検を依頼し、監督しています。

⚫

外的環境について：➢

個人データの国外移転について：委託先も含めて、当社の保有個人データの保管場所
は、国内に限定しています。

なお、サービスサイト上でそのサービスに関し個別に公開した安全管理措置がある場合には、そちらが優先されます。
5.保有個人データの取扱いに関する苦情・相談について
当社の保有個人データの取扱いに関する苦情・相談につきましては、上記３．（３）の「お問い合わせ先」までお寄せください。
6.当社が所属する認定個人情報保護団体について
当社は、通信販売等を中心とした顧客情報を対象として、個人情報の保護に関する法令に基づく
認定個人情報保護団体である下記団体に加盟しております。
公益社団法人 日本通信販売協会（ＪＡＤＭＡ 消費者相談室）
https://www.jadma.or.jp/consumers/dm110/
連絡先：03-5651-1122
受付：月～金曜日 午前 10～12 時
午後 1～4 時（年末・年始、祝日を除く）
注：当社の商品・サービスに関する問合せ先ではございません。
・ 対象事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、上記の措置により利用目的が明らかになっている場合及び法第 21 条第４項第１号から第３号までの例外に相当する場合を除き、遅滞なく通知しなければならない。
・ 対象事業者は、利用目的の通知をしない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
・ 法施行前から保有している個人情報についても同様の取扱いを行う。
【保有個人データの安全管理のために講じた措置として本人の知り得る状態に置く内容の事例】（基本方針の策定）

38 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針


個人データの適正な取扱いの確保のため、「関係法令・ガイドライン等の遵守」「質問及び苦情処理の窓口」等についての基本方針を策定（個人データの取扱いに係る規律の整備）


取得、利用、保存、提供、削除・廃棄等の段階ごとに、取扱方法、責任者・担当者及びその任務等について個人データの取扱規程を策定

個人データの取得、利用、保存等を行う場合の基本的な取扱方法を整備（組織的安全管理措置）


個人データの取扱いに関する責任者を設置するとともに、個人データを取り扱う従業者及び当該従業者が取り扱う個人データの範囲を明確化し、法や取扱規程に違反している事実又は兆候を把握した場合の責任者への報告連絡体制を整備



個人データの取扱状況について、定期的に自己点検を実施するとともに、他部署や外部の者による
監査を実施



整備した取扱方法に従って個人データが取り扱われていることを責任者が確認



従業者から責任者に対する報告連絡体制を整備（人的安全管理措置）


個人データの取扱いに関する留意事項について、従業者に定期的な研修を実施



個人データについての秘密保持に関する事項を就業規則に記載（物理的安全管理措置）


個人データを取り扱う区域において、従業者の入退室管理及び持ち込む機器等の制限を行うとともに、権限を有しない者による個人データの閲覧を防止する措置を実施

個人データを取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するための措置を講じるとともに、事業所内の移動を含め、当該機器、電子媒体等を持ち運ぶ場合、容易に個人データが判明しないよう措置を実施

個人データを取り扱うことのできる従業者及び本人以外が容易に個人データを閲覧できないような措
置を実施（技術的安全管理措置）


アクセス制御を実施して、担当者及び取り扱う個人情報データベース等の範囲を限定



個人データを取り扱う情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組
みを導入



個人データを取り扱うことのできる機器及び当該機器を取り扱う従業者を明確化し、個人データへの不要なアクセスを防止（外的環境の把握）

個人データを保管している 国（具体的な国名）における個人情報の保護に関する制度を把握した上で安全管理措置を実施【その他の事項】
・ 対象事業者は、保有個人データについて、その利用目的、開示、訂正、利用停止等の手続の方法及び利用目的の通知又は開示に係る手数料の額、苦情の申出先等について、少なくともホームページ等
によりできるだけ明らかにするとともに、下記の対応を行うことが出来る体制を確保する。

39 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
対象事業者が保有するお客様の個人情報について、お客様から開示、訂正、削除、追加、利用停
止、消去（以下「開示等」といいます。）のいずれかに関するご請求をいただいた場合は、顧客サービスとして行っている「マイページ等での会員情報の変更・停止」をお知らせする。
上記の対応では満足されないお客様には、以下の方法にて、ご請求された方がご本人であることを確認の上で、合理的な期間および範囲で、法令に従い次のとおり対応する。
1.

開示等の求めに応じる手続き


開示等の求めの申し出先（外部対応窓口）を予め、ホームページに掲載しておく。



外部対応窓口に問合せが入った際には、顧客サービスとして行っている「マイページ等での会員情報の変更・停止」をお知らせした上で、満足されないお客様には、以下の書面を送付する。
「開示等請求書」、「訂正等請求書」、「委任状」



開示等の請求をする者が、本人であることが確認できるよう以下のものを例として、その写しをお客様に要求する。
① 旅券（パスポート）② 在留カード ③ 特別永住者証明書 ➃ 外国人登録証
明書 ⑤ 運転免許証 ⑥ 個人番号カード（表面）⑦ 運転経歴証明書
代理人については、以下のものを例として要求する。
① 委任状 ② ご本人と代理人の関係が証明できる戸籍謄本 ③ 住民票 ➃ 裁
判所の選任決定書 ⑤ 後見人登記の登記事項証明書



合理的な範囲で開示手数料を設定しお客様にお知らせする。（無料～1,000 円程度）



お客様が、電磁的記録での開示及び本人限定受取郵便を希望した場合には、実費相当分の切手を同封していただくようお知らせする。

2.

利用目的の通知

外部対応窓口は、「開示等請求書」によりお客様等から当該本人が識別される保有個人データについて利用目的の通知の求めを受けた場合には「回答書」により、遅滞なくこれ
に応じる。



次に示す事項のいずれかに該当する場合は利用目的の通知を必要としないが、そのときは、「回答書」によりお客様等に遅滞なくその旨を通知するとともに、理由を説明する。
① 請求の手続き、必要書類に不備があった場合（この場合には、必要書類の再提出や手続きの不備を修正していただき、対応を行うこと）② 利用目的をお客様に通知し、又は公表することによって本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合③ 利用目的をお客様に通知し、又は公表することによって当社の権利又は正当な利益を害するおそれがある場合④ 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的をお客様に通知し、又は公表することによって当該事務の遂行に支障を及ぼすおそれがあるとき⑤ 利用目的が公表されていることにより、当該本人が識別される保有個人データの利用目的が明らかな場合

3.

開示等への対応

40 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針


外部対応窓口は、お客様等から、「開示等請求書」により当該本人が識別される保有個人データの開示（当該本人が識別される保有個人データが存在しないときにその旨を知らせることを含む。）及び第三者提供の記録の開示の請求を受けたときは、法令の規定によって特別の手続が定められている場合を除き、お客様等に対し、遅滞なく、当該保有個人データをお客様が請求した方法によって開示する。その際には、外部対応窓口は、「回答書」を作成する。なお、お客様が請求した方法による開示に多額の費用を要する場
合、その他当該方法による開示が困難であるときは、お客様に対し、遅滞なくその旨を通知し、書面の交付による開示を行う。



以下の場合には、開示等の求めに応じる必要はないが、そのときは、「回答書」によりお客様に遅滞なくその旨を通知するとともに、理由を説明する。
① 請求の手続き、必要書類に不備があった場合（この場合には、必要書類の再提出や手続きの不備を修正していただき、対応を行うこと）② 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合③ 当社の業務の適正な実施に著しい支障を及ぼすおそれがある場合④ 第三者提供の記録が法令等によりその存否が明らかになることにより公益その他の権利が害されると定められているものの場合⑤ 法令に違反することとなる場合

4.

訂正等への対応

外部対応窓口は、お客様等から、「訂正等請求書」により当該本人が識別される保有個人データの内容が事実でないという理由によって当該保有個人データの訂正、追加又は削除（以下、本条において「訂正等」という。）の請求を受けた場合は、法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づいて、当該保有個人データの訂正等を行う。その後、お客様に対し、遅滞なく、「回答書」によりその旨（訂正等の内容を含む。）
を通知する。



開示の結果、事実でないという理由以外での訂正等を求められた場合及び法令等で特別の手続きが定められている場合には、訂正等に応じる必要はないが、お客様に遅滞なくその旨を「回答書」により通知するとともに理由を説明する。

5.

利用停止等への対応


外部対応窓口は、「開示等請求書」により、利用停止等の請求を受けた場合は、これに応じる。また、措置を講じた後は、遅滞なくその旨をお客様等に通知する。



以下の場合には、利用停止等を行う必要はないが、「回答書」によりお客様等に遅滞なくその旨を通知するとともに、理由を説明する。
① 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合② 当社の業務の適正な実施に著しい支障を及ぼすおそれがある場合③ 法令に違反することとなる場合



なお、前述の①から③に記載された事由のいかんにかかわらず、利用停止等の請求理由
が、法令に定められた本人の同意なき目的外利用、不適正利用、不正な手段による個
人情報の取得、同意なき要配慮個人情報の取得、同意なき第三者提供、外国にある
第三者提供の手続き違反、利用する必要がない場合、漏えい等の事案が発生した場合

41 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
及び本人の権利又は正当な利益が害される恐れがある場合であり、この請求に理由があるに場合において、なお利用停止等を行わない場合には、法令に基づき本人の権利利益を保護するため必要なこれに代わるべき措置を行わなければならない。


お客様の請求と異なる措置を行うことを決めた場合には、「回答書」によりお客様等に遅滞なくその旨を通知するとともに、理由を説明する。

１１．本人からの請求による保有データ等の開示（法第 33 条第 1 項～第 4 項、法第 33 条第 5
項、第 1 項～第 3 項関係）
（保有データの開示）
法第 33 条（第 1 項～第 4 項）
1 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの電磁的記録の提供による方法その他の個人情報保護委員会規則で定める方法による開示を請求することができる。
2 個人情報取扱事業者は、前項の規定による請求を受けたときは、本人に対し、同項の規定により当該本人が請求した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
(1) 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合(2) 当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合(3) 他の法令に違反することとなる場合
3 個人情報取扱事業者は、第 1 項の規定による請求に係る保有個人データの全部若しくは一部について開示しない旨の決定をしたとき、当該保有個人データが存在しないとき、又は同項の規定により本人が請求した方法による開示が困難であるときは、本人に対し、遅滞なく、その旨を通知しなけ
ればならない。
4 他の法令の規定により、本人に対し第 2 項本文に規定する方法に相当する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている場合には、当該全部又は一部の保有個人データについては、第 1 項及び第 2 項の規定は、適用しない。
規則第 30 条
法第 33 条第 1 項（同条第 5 項において準用する場合を含む。）の個人情報保護委員会規則で定める方法は、電磁的記録の提供による方法、書面の交付による方法その他当該個人情報取扱
事業者の定める方法とする。
（第三者提供記録の開示）
法第 33 条（第 5 項）
5 第 1 項から第 3 項までの規定は、当該本人が識別される個人データに係る第 29 条第 1 項及び第 30 条第 3 項の記録（その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるものを除く。第 37 条第 2 項において「第三者提供記録」という。）について準用する。

42 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
法第 33 条（第 1 項）
1 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの電磁的記録の提供による方法その他の個人情報保護委員会規則で定める方法による開示を請求することができる。
規則第 30 条
法第 33 条第 1 項（同条第 5 項において準用する場合を含む。）の個人情報保護委員会規則で定める方法は、電磁的記録の提供による方法、書面の交付による方法その他当該個人情報取扱事業者の定める方法とする（１）開示の原則
対象事業者は、本人から、当該本人が識別される保有個人データの開示の請求を受けたときは、本人に対し、書面の交付による方法等により、遅滞なく、当該保有個人データを開示しなければならない。
（２）開示の例外
開示することで、法第 33 条第２項の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。具体的事例は以下のとおりである。
（例）・ 同一の本人から複雑な対応を要する同一内容について繰り返し開示の求めがあり、他の問い合わせ対応業務が立ち行かなくなる等、業務上著しい支障を及ぼすおそれがある場合
・ コールセンターの録音記録の開示を請求された場合で、当該録音記録がコンピュータ管理されており、安全管理のためにシステムから外部媒体への出力が制限されていることにより、業務上著しい支障を及
ぼすおそれがある場合※個々の事例への適用については個別具体的に慎重に判断することが必要である。
（３）第三者提供記録の開示
対象事業者は、本人から、当該本人が識別される個人データに係る第三者提供記録の開示（存在しない
ときにはその旨を知らせることを含む。）の請求を受けたときは、本人に対し、電磁的記録の提供による方法、書面の交付による方法その他当該対象事業者の定める方法のうち本人が請求した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）により、遅滞なく、当該第三者提供記録を開示しなければならない。
対象事業者が第三者提供記録を本人に開示するに当たっては、法において記録事項とされている事項を本人が求める方法により開示すれば足り、それ以外の事項を開示する必要はない。例えば、契約書の代替手
段による方法で記録を作成した場合には、当該契約書中、記録事項となっている事項を抽出した上で、本人が求める方法により開示すれば足り、契約書そのものを開示する必要はない。
【法の規定により遵守すべき事項等】
・ 対象事業者は、本人から、当該本人が識別される保有個人データの開示の請求を受けたときは、本人に対し、遅滞なく、当該保有個人データを開示しなければならない。また、当該本人が識別される保43 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
有個人データが存在しないときにその旨知らせることとする。ただし、開示することにより、法第３３条第２項の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
・ 開示の方法は、電磁的記録の提供、書面の交付、個人情報取扱事業者が定めた方法から本人が請求した方法（当該方法による開示が困難である場合には書面の交付）による。
・ 対象事業者は、請求を受けた保有個人データの全部又は一部について開示しない旨を決定したときは、本人に対し、遅滞なく、その旨を通知しなければならない。また、本人に通知する場合には、本人に対してその理由を説明するよう努めなければならない。
・ 他の法令の規定により、保有個人データの開示について定めがある場合には、当該法令の規定によるものとする。
【その他の事項】
・ 法定代理人等、開示の請求を行い得る者から開示の請求があった場合、原則として利用者本人に対し保有個人データの開示を行う旨の説明を行った後、法定代理人等に対して開示を行うものとする。
・ 対象事業者は、保有個人データの全部又は一部について開示しない旨決定した場合、本人に対するその理由の説明に当たっては、文書により示すことを基本とする。また、苦情への対応を行う体制についても併せて説明することが望ましい。
１２．訂正及び利用停止（法第３４条、第３５条）（訂正等）
法第 34 条1 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの内容が事実でないときは、当該保有個人データの内容の訂正、追加又は削除（以下この条において「訂正等」という。）を請求することができる。
2 個人情報取扱事業者は、前項の規定による請求を受けた場合には、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。
3 個人情報取扱事業者は、第 1 項の規定による請求に係る保有個人データの内容の全部若しく
は一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を通知しなければならない。
（利用停止等）法第 35 条1 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第 18 条若しくは第 19 条の規定に違反して取り扱われているとき、又は第 20 条の規定に違反して取得されたものであるときは、当該保有個人データの利用の停止又は消去（以下この条において「利用停止等」という。）を請求することができる。
2 個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場

44 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
3 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第 27 条第 1項又は第 28 条の規定に違反して第三者に提供されているときは、当該保有個人データの第三者への提供の停止を請求することができる。
4 個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
5 本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データを当該個人情報取扱事業者が利用する必要がなくなった場合、当該本人が識別される保有個人データに係る第 26条第 1 項本文に規定する事態が生じた場合その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合には、当該保有個人データの利用停止等又は第三者への提供の停止を請求することができる。
6 個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行わなければならない。ただし、当該保有個人データの利用停止等又は第三者への提供の停止に多額の費用を要する場合その他の利用停止
等又は第三者への提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
7 個人情報取扱事業者は、第 1 項若しくは第 5 項の規定による請求に係る保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は第 3 項若しくは第 5 項の規定による請求に係る保有個人データの全部若しくは一部について
第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
【法の規定により遵守すべき事項等】
・ 対象事業者は、本人から、保有個人データの訂正等、利用停止等、第三者への提供の停止の請求を受けた場合で、それらの請求が適正であると認められるときは、これらの措置を行わなければならない。
・ ただし、利用停止等及び第三者への提供の停止については、利用停止等に多額の費用を要する場合など当該措置を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
・ なお、以下の場合については、これらの措置を行う必要はない。
①訂正等の請求があった場合であっても、(ｱ)利用目的から見て訂正等が必要でない場合、(ｲ)誤りである
指摘が正しくない場合又は(ｳ)訂正等の対象が事実でなく評価に関する情報である場合②利用停止等、第三者への提供の停止の請求があった場合であっても、手続違反等の指摘が正しくない場
合・ 対象事業者は、上記の措置を行ったとき、又は行わない旨を決定したときは、本人に対し、遅滞なく、その旨を通知しなければならない。また、本人に通知する場合には、本人に対してその理由を説明するよ45 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
う努めなければならない。
【その他の事項】
・ 対象事業者は、訂正等、利用停止等又は第三者への提供の停止の請求を受けた保有個人データの全部又は一部について、これらの措置を行わない旨決定した場合、本人に対するその理由の説明に当たっては、文書により示すことを基本とする。その際は、苦情への対応を行う体制についても併せて説明をすることが望ましい。
・ 保有個人データの訂正等にあたっては、訂正した者、内容、日時等が分かるように行われなければならない。
・ 保有個人データの字句などを不当に変える改ざんは、行ってはならない。
１３．開示等の請求等に応じる手続及び手数料（法第３７条、第３８条）（開示等の請求等に応じる手続）
法第 37 条1 個人情報取扱事業者は、第 32 条第 2 項の規定による求め又は第 33 条第 1 項（同条第5 項において準用する場合を含む。次条第 1 項及び第 39 条において同じ。）、第 34 条第 1項若しくは第 35 条第 1 項、第 3 項若しくは第 5 項の規定による請求（以下この条及び第 54
条第 1 項において「開示等の請求等」という。）に関し、政令で定めるところにより、その求め又は請求を受け付ける方法を定めることができる。この場合において、本人は、当該方法に従って、開示等の請求等を行わなければならない。
2 個人情報取扱事業者は、本人に対し、開示等の請求等に関し、その対象となる保有個人データ
又は第三者提供記録を特定するに足りる事項の提示を求めることができる。この場合において、個人情報取扱事業者は、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データ又は当該第三者提供記録の特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。
3 開示等の請求等は、政令で定めるところにより、代理人によってすることができる。
4 個人情報取扱事業者は、前三項の規定に基づき開示等の請求等に応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。
政令第 12 条
法第 37 条第 1 項の規定により個人情報取扱事業者が開示等の請求等を受け付ける方法として定めることができる事項は、次に掲げるとおりとする。
(1) 開示等の請求等の申出先(2) 開示等の請求等に際して提出すべき書面（電磁的記録を含む。第 33 条第 1 項及び第 38条第 3 項において同じ。）の様式その他の開示等の請求等の方式(3) 開示等の請求等をする者が本人又は次条に規定する代理人であることの確認の方法(4) 法第 38 条第 1 項の手数料の徴収方法
政令第 13 条

46 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
法第 37 条第 3 項の規定により開示等の請求等をすることができる代理人は、次に掲げる代理人とする。
(1) 未成年者又は成年被後見人の法定代理人(2) 開示等の請求等をすることにつき本人が委任した代理人（手数料）
法第 38 条1 個人情報取扱事業者は、第 32 条第 2 項の規定による利用目的の通知を求められたとき又は第 33 条第 1 項の規定による開示の請求を受けたときは、当該措置の実施に関し、手数料を徴収することができる。
2 個人情報取扱事業者は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。
（１）開示等を行う情報の特定対象事業者は、本人に対し、開示等の請求等に関して、その対象となる保有個人データを特定するに足りる事項の提示を求めることができるが、この場合には、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した措置をとらなければならない。
また、保有個人データの開示等については、本人の請求等により、保有個人データの全体又は一部が対象となるが、当該本人の保有個人データが多岐にわたる、データ量が膨大であるなど、全体の開示等が困難又は非効率な場合、対象事業者は、本人が開示等の請求等を行う情報の範囲を特定するのに参考となる情報を提供するなど、本人の利便を考慮した支援を行うものとする。
（２）代理人による開示等の請求等
保有個人データの開示等については、本人のほか、①未成年者又は成年被後見人の法定代理人、②開示等の請求等をすることにつき本人が委託した代理人により行うことができる。
【法の規定により遵守すべき事項等】
・ 対象事業者は、保有個人データの開示等の請求等に関し、本人に過重な負担を課すものとならない
範囲において、以下の事項について、その請求を受け付ける方法を定めることができる。


開示等の請求等の受付先



開示等の請求等に際して提出すべき書面の様式、その他の開示等の請求等の受付方法



開示等の請求等をする者が本人又はその代理人であることの確認の方法



保有個人データの利用目的の通知、又は保有個人データの開示をする際に徴収する手数料の徴収方法

・ 対象事業者は、本人に対し、開示等の請求等に関して、その対象となる保有個人データを特定するに足りる事項の提示を求めることができるが、この場合には、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した措
置をとらなければならない。
・ 保有個人データの開示等の請求等は、本人のほか、未成年者又は成年被後見人の法定代理人、当該請求等をすることにつき本人が委任した代理人によってすることができる。

47 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
・ 対象事業者は、保有個人データの利用目的の通知を求められたとき、又は保有個人データの開示を請求されたときは、当該措置の実施に関し、手数料を徴収することができ、その際には実費を勘案して合理的であると認められる範囲内において、手数料の額を定めなければならない。
【その他の事項】
・ 対象事業者は、以下の点に留意しつつ、保有個人データの開示等の手続を定めることが望ましい。
一開示等の請求等の方法は書面によることが望ましいが、利用者等の自由な請求を阻害しないため、開示等の請求等に係る書面に理由欄を設けることなどにより開示等を請求する理由の記載を要求すること及び開示等を請求する理由を尋ねることは不適切である。
一開示等を請求する者が本人（又はその代理人）であることを確認する。
一開示等の請求等があった場合、主治医等の担当スタッフの意見を聴いた上で、速やかに保有個人データの開示等をするか否か等を決定し、これを開示の請求等を行った者に通知する。
一保有個人データの開示に当たり、法第 33 条第２項各号に該当する可能性がある場合には、開示の可否について検討するために設置した検討委員会等において検討した上で、速やかに開示の可否を決定することが望ましい。
一保有個人データの開示を行う場合には、日常のサービス提供への影響等も考慮し、本人に過重な負担を課すものとならない範囲で、日時、場所、方法等を指定することができる。
・ 代理人等、開示の請求等を行い得る者から開示の請求等があった場合、原則として利用者本人に対し保有個人データの開示を行う旨の説明を行った後、開示の請求等を行った者に対して開示を行うものとする。
・ 代理人等からの請求等があった場合で、①本人による具体的意思を把握できない包括的な委任に基づく請求、②掲示等の請求が行われる相当以前に行われた委任に基づく請求が行われた場合には、本人への説明に際し、開示の請求等を行った者及び開示する保有個人データの内容について十分説
明し、本人の意思を確認するとともに代理人の請求の適正性、開示の範囲等について本人の意思を踏まえた対応を行うものとする。
１４．理由の説明、事前の請求、苦情の対応（法第３６条、第３９条、第４０条関係）（理由の説明）
法第 36 条
個人情報取扱事業者は、第 32 条第 3 項、第 33 条第 3 項（同条第 5 項において準用する場合を含む。）、第 34 条第 3 項又は前条第 7 項の規定により、本人から求められ、又は請求された措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合には、本人に対し、その理由を説明するよう努めなければならない。
（事前の請求）法第 39 条1 本人は、第 33 条第 1 項、第 34 条第 1 項又は第 35 条第 1 項、第 3 項若しくは第 5 項の規定による請求に係る訴えを提起しようとするときは、その訴えの被告となるべき者に対し、あらかじめ、当該請求を行い、かつ、その到達した日から 2 週間を経過した後でなければ、その訴えを提起することができない。ただし、当該訴えの被告となるべき者がその請求を拒んだときは、この限りでない。

48 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
2 前項の請求は、その請求が通常到達すべきであった時に、到達したものとみなす。
3 前二項の規定は、第 33 条第 1 項、第 34 条第 1 項又は第 35 条第 1 項、第 3 項若しくは第 5 項の規定による請求に係る仮処分命令の申立てについて準用する。
（対象事業者による苦情の処理）
法第 40 条1 個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
2 個人情報取扱事業者は、前項の目的を達成するために必要な体制の整備に努めなければならない。
【法の規定により遵守すべき事項等】
・ 対象事業者は、本人から求められた保有個人データの利用目的の通知、又は本人から請求された開示、訂正等、利用停止等において、その措置をとらない旨又はその措置と異なる措置をとる旨本人に通知する場合は、本人に対して、その理由を説明するよう努めなければならない。
・ 対象事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な対応に努めなければならない。また、対象事業者は、苦情の適切かつ迅速な対応を行うにあたり、苦情への対応を行う窓口機能等の整備や苦情への対応の手順を定めるなど必要な体制の整備に努めなければならない。
【その他の事項】
・ 対象事業者は、本人に対して理由を説明する際には、文書により示すことを基本とする。その際は、苦情への対応を行う体制についても併せて説明することが望ましい。
・ 対象事業者は、利用者等からの苦情対応にあたり、専用の窓口を設置するなど、利用者等が相談を行いやすい環境の整備に努める。
・ 対象事業者は、利用者等からの苦情への対応を行う体制等についてホームページへの掲載等を行うことで利用者等に対して周知を図ることが望ましい。

１５．個人関連情報の第三者提供の制限等（法第 31 条関係）
「通信販売等を中心とした顧客情報」において、法第 31 条に従って個人関連情報の第三者提供の制限が生じるケースとしては、「共通ポイントの提供」や「サードパーティクッキーの利用」が考えられる。詳細は、「個人情報の保護に関する法律についてのガイドライン（通則編）」（個人情報保護委員会告示）を参照す
る必要がある。
法第 31 条（第 1 項）
1 個人関連情報取扱事業者は、第三者が個人関連情報（個人関連情報データベース等を構成するものに限る。以下この章及び第 6 章において同じ。）を個人データとして取得することが想定されるときは、第 27 条第 1 項各号に掲げる場合を除くほか、次に掲げる事項について、あらかじめ個人
情報保護委員会規則で定めるところにより確認することをしないで、当該個人関連情報を当該第三者に提供してはならない。

49 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
規則第 26 条（第 1 項）
1 法第 31 条第 1 項の規定による同項第 1 号に掲げる事項の確認を行う方法は、個人関連情報の提供を受ける第三者から申告を受ける方法その他の適切な方法とする。
個人関連情報取扱事業者は、提供先の第三者が個人関連情報を個人データとして取得することが想定されるときは、原則として、あらかじめ当該個人関連情報に係る本人の同意が得られていることを確認しないで
個人関連情報を提供してはならない。
本人から同意を得る主体は、原則として提供先の第三者となり、個人関連情報取扱事業者は、当該第三者から申告を受ける方法その他の適切な方法によって本人同意が得られていることを確認することになる。提供先の第三者から申告を受ける場合、個人関連情報取扱事業者は、その申告内容を一般的な注意力をもって確認すれば足りる。
提供先の第三者において、複数の本人から同一の方式で同意を取得している場合、提供元はそれぞれの本人から同意が取得されていることを確認する必要があるが、同意取得の方法については、本人ごとに個別の申告を受ける必要はなく、複数の本人からどのように同意を取得したか申告を受け、それによって確認を行えば足りる。
なお、提供先の第三者から提供元の個人関連情報取扱事業者に対する申告に際し、提供先の第三者が法第 31 条第 1 項第 1 号の同意を取得済みの ID 等を提供する行為は、個人データの第三者提供に該当する場合があるが、法第 31 条第 1 項の確認行為において必要となる情報のみを提供する場合は、法令に基づく場合（法第 27 条第 1 項第 1 号）に該当する。
また、提供元の個人関連情報取扱事業者において、同意取得を代行する場合、当該同意を自ら確認する
方法も「その他の適切な方法」による確認に該当する。
【第三者から申告を受ける方法に該当する事例】（例）

提供先の第三者から口頭で申告を受ける方法



提供先の第三者が本人の同意を得ていることを誓約する書面を受け入れる方法【その他の適切な方法に該当する事例】（例）

提供先の第三者が取得した本人の同意を示す書面等を確認する方法



提供元の個人関連情報取扱事業者において同意取得を代行して、当該同意を自ら確認する方法

50 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
Ⅳ 本指針の見直し等
1.

必要に応じた見直し
個人情報の保護に関する考え方は、社会情勢や国民の意識の変化に対応して変化していくものと考えられる。このため、法及び本指針の運用状況等も踏まえながら、本指針についても必要に応じ検討及び見直しを行うものとする。

2.

本指針を補完する事例集および Q&A の作成・公開
当協会は、対象事業者における個人情報の保護を推進し、対象事業者における円滑な対応が図られるよう、本指針を補完する事例集および Q&A を作成し、ホームページにおいて公表する。

3.

仮名加工処理、匿名加工処理に関する自主ルール
仮名加工・匿名加工の手法、データ処理等については、今後、個人情報保護委員会事務局による事
務局レポート等も参考としたうえで必要に応じて当協会として自主ルールを作成するものとする。

〔 別紙 〕クレジットカード情報を含む個人情報の取扱いについて
クレジットカード情報（カード番号、有効期限等）を含む個人情報（以下「クレジットカード情報等」という。）は、情報が漏えいした場合、クレジットカード情報等の不正使用によるなりすまし購入などの二次被害が発生する可能性が高い。
そのため、クレジットカード決済を利用した販売等を行う事業者は、クレジット取引セキュリティ対策協議会のガイドラインを遵守して、特に以下の措置を講じること。
https://www.j-credit.or.jp/security/safe/plan.html
1.

クレジットカード情報等について特に講じることが望ましい安全管理措置の実施① カード情報を保持しない非保持化（非保持と同等/相当を含む）又はカード情報を保持する場
合は PCI DSS に準拠する。
② クレジットカード情報等について、利用目的の達成に必要最小限の範囲の保存期間を設定し、保存場所を限定し、保存期間経過後適切かつ速やかに破棄すること。
③ クレジットカード情報等を格納した情報システムに対して技術的安全管理措置を講じること。
④ クレジットカード情報等の移送には、媒体に保管されている情報の暗号化など、紛失・盗難が生じた際の対策を講じること。
⑤ インターネットなどのネットワークでクレジットカード情報等を送受信する場合は、情報を暗号化するなど、最良の技術的方法を用いること。
⑥ クレジット売上伝票に記載されるクレジットカード番号を一部非表示化すること。
⑦ 他のクレジットカード販売関係事業者等に対してクレジットカード情報等が含まれる個人情報デー
タベース等へのアクセスを許容している場合は、アクセス監視等のモニタリングを実施すること。

2.

クレジットカード情報等の保護に関する規定を含む契約の締結
クレジットカード情報等を取り扱う業務に係る契約の締結の際に、クレジットカード情報等の保護の観点から、情報提供を求める旨の規定、クレジットカード情報等の取扱いが不適切なことが明らかな場合において当該情報を取り扱う業務の是正を求めることや当該業務に係る契約を解除する旨の規定を設定すること。

51 / 52

通信販売等を中心とした顧客情報に関する個人情報保護指針
3.

クレジットカード情報等を直接取得する場合のクレジットカード情報等の提供先名等の通知又は公表
インターネット取引においてクレジットカード情報等を本人から直接取得するなど、クレジットカード情報等
を本人から直接取得する場合、本人に利用目的を明示又は通知若しくは公表するほか、クレジットカ
ード情報等の取得者名、提供先名、保存期間等を通知又は公表すること。

クレジットカード業務、クレジットカード決済を利用した販売等に係る業務並びにクレジットカード情報等の取扱いを伴う委託業務を行っている事業者についても、クレジットカード情報等の安全管理措置として、上記の措置及びスキミング防止のためのセキュリティ機能の搭載などクレジットカード読取端末からの情報等の漏えい防止措置を講じること。
附 則
１．平成 30 年 7 月 1 日 施行
２．令和 0４年４月１日 改定

52 / 52