個人情報保護指針
令和 6 年４月版

認定個人情報保護団体

目 次
第１条

目的・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・３

第２条

適用対象・・・・・・・・・・・・・・・・・・・・・・・・・・・・・３

第３条

定義・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・４

第４条

利用目的の特定・・・・・・・・・・・・・・・・・・・・・・・・・１７

第５条

利用目的の制限・・・・・・・・・・・・・・・・・・・・・・・・・１９

第６条

不適正利用の禁止・・・・・・・・・・・・・・・・・・・・・・・・２２

第７条

適正な取得・・・・・・・・・・・・・・・・・・・・・・・・・・・２３

第８条

機微（センシティブ）情報・・・・・・・・・・・・・・・・・・・・２３

第９条

取得に際しての利用目的の通知等・・・・・・・・・・・・・・・・・２７

第１０条 データ内容の正確性の確保等・・・・・・・・・・・・・・・・・・・３０第１１条 安全管理措置・・・・・・・・・・・・・・・・・・・・・・・・・・３１第１２条 従業者の監督・・・・・・・・・・・・・・・・・・・・・・・・・・３１
第１３条 委託先の監督・・・・・・・・・・・・・・・・・・・・・・・・・・３１
第１４条 教育・研修活動等の実施・・・・・・・・・・・・・・・・・・・・・３５第１５条 個人データの漏えい等の報告等・・・・・・・・・・・・・・・・・・３５第１６条 第三者提供の制限・・・・・・・・・・・・・・・・・・・・・・・・４３
第１７条 オプトアウトによる第三者提供・・・・・・・・・・・・・・・・・・４６
第１８条 第三者提供に該当しない場合①－委託・・・・・・・・・・・・・・・５０
第１９条 第三者提供に該当しない場合②－事業承継・・・・・・・・・・・・・５１
第２０条 第三者提供に該当しない場合③－共同利用・・・・・・・・・・・・・５１第２１条 外国にある第三者への提供の制限・・・・・・・・・・・・・・・・・５５第２２条 第三者提供に係る記録の作成等・・・・・・・・・・・・・・・・・・６６第２３条 第三者提供を受ける際の確認及び記録の作成等・・・・・・・・・・・６９第２４条 個人関連情報の第三者提供の制限等・・・・・・・・・・・・・・・・７２第２５条 個人関連情報の第三者提供を受ける際の確認及び記録の作成等・・・・７９第２６条 保有個人データに関する事項の公表等・・・・・・・・・・・・・・・８１
第２７条 開示・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・８３
第２８条 訂正等・・・・・・・・・・・・・・・・・・・・・・・・・・・・・８７
第２９条 利用停止等・・・・・・・・・・・・・・・・・・・・・・・・・・・８７第３０条 理由の説明・・・・・・・・・・・・・・・・・・・・・・・・・・・９２第３１条 開示等の請求等に応じる手続・・・・・・・・・・・・・・・・・・・９２第３２条 手数料・・・・・・・・・・・・・・・・・・・・・・・・・・・・・９３第３３条 苦情の処理・・・・・・・・・・・・・・・・・・・・・・・・・・・９３第３４条 仮名加工情報の取扱い・・・・・・・・・・・・・・・・・・・・・・９４1

第３５条 匿名加工情報の取扱い・・・・・・・・・・・・・・・・・・・・・・９４第３６条 外国にある第三者から提供を受ける個人データの取扱い・・・・・・・９４第３７条 改廃・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・９５

2

（目的）
第１条 本指針は、個人情報の保護に関する法律（平成１５年法律第５７号。以下「法」という。
）、個人情報の保護に関する法律施行令（平成１５年政令第５０７号）及び個人情報の保護に関する法律施行規則（平成２８年個人情報保護委員会規則第３号。以下「施行規則」という。
）その他の関係法令等を踏まえ、個人情報の保護に関する法律についてのガイドライン（通則編）（平成２８年個人情報保護委員会告示第６号）及び信用分野における個人情報保護に関するガイドライン（平成２９年個人情報保護委員会・経済産業省告示第１号。以下「信用分野ガイドライン」という。
）を基礎として、信用分野における事業の実態及び特性も考慮し、与信事業者による個人情報の適正な取扱いを確保することを目的とする。
本指針の中で、「しなければならない」及び「してはならない」と記述している事項については、これらに従わなかった場合、法違反と判断される可能性がある。
一方、「努めなければならない」、「望ましい」、「こととする」等と記述している事項については、これらに従わなかったことをもって直ちに法違反と判断されることはないと考えられるが、「個人情報は、個人の人格尊重の理念の下に慎重に取り扱われるべきものであることにかんがみ、その適正な取扱いが図られなければならない。」とする法の基本
理念（法第３条）を踏まえ、与信事業者の特性や規模に応じ可能な限り対応することが望まれるものである。もっとも、法の目的（法第１条）の趣旨に照らして、公益上必要な活動や正当な事業活動等までも制限するものではない。
本指針において記述した具体例は、与信事業者の理解を助けることを目的として典型的なものを示したものであり、全ての事案を網羅したものでなく、記述した内容に限定する趣旨で記述したものでもない。また、記述した具体例においても、個別ケースによっては別途考慮すべき要素もあり得るので注意を要する。
（適用対象）
第２条 本指針は、与信事業者に適用される。なお、与信事業者以外の対象事業者においては、本指針の内容に準じた対応を行う。
２ 与信事業者は、与信事業者が取り扱う個人情報の適切な保護と利用等を図るため、本指針の内容を踏まえたコンプライアンス体制を整備し、本指針を遵守しなければならない。
特に、個人信用情報機関に加盟する与信事業者については、関連法令上厳格な保護措置が求められている個人信用情報の登録及び照会を行うことからより適切な保護措置を講ずるものとする。
３ 与信事業者は、前項に基づき、協会が本指針の実効性確保のために講じる措置に従うこ
ととする。

3

（定義）
第３条 本指針において「協会」とは、一般社団法人日本クレジット協会をいう。
２ 本指針において「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者をいう。ただし、次に掲げる者を除く。
（１） 国の機関（２） 地方公共団体（３） 独立行政法人等（法第２条第９項で定めるもの）（４） 地方独立行政法人（法第２条第１０項で定めるもの）（業務運用上の解釈）①「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営
利の別は問わない。
②個人情報データベース等を事業の用に供している者であれば、当該個人情報データ
ベース等を構成する個人情報によって識別される特定の個人の数の多寡にかかわらず、個人情報取扱事業者に該当する。
③法人格のない、権利能力のない社団（任意団体）又は個人であっても、個人情報デー
タベース等を事業の用に供している場合は個人情報取扱事業者に該当する。
３ 本指針において「対象事業者」とは、協会の会員である個人情報取扱事業者のうち、本指針を遵守する旨の誓約書を提出した会員をいう。
４ 本指針において「与信事業者」とは、対象事業者のうち、個人の支払能力に関する情報を用いて割賦販売法（昭和３６年法律第１５９号）第２条第１項に規定する割賦販売、同条第２項に規定するローン提携販売、同条第３項に規定する包括信用購入あっせん、同条第４項に規定する個別信用購入あっせんその他の物品又は役務の取引に係る信用供与を業として行う者をいう。
５ 本指針において「与信事業」とは、信用分野（物品又は役務の取引に係る信用供与に関する分野）において与信事業者が実施する事業をいう。
６ 本指針において「個人信用情報機関」とは、個人の支払能力に関する情報の収集及び与信事業者に対する当該情報の提供を業とする者をいう。
７ 本指針において「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができるものを含む。
）又は個人識別符号が含まれるものをいう。

4

（業務運用上の解釈）①「個人に関する情報」とは、氏名、住所、性別、生年月日、顔画像等個人を識別する
情報に限られず、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化等によって秘匿化されているかどうかを問わない。
②【個人情報に該当する事例】
事例１）本人の氏名
事例２）生年月日、連絡先（住所・居所・電話番号・メールアドレス）、会社における職位又は所属に関する情報について、それらと本人の氏名を組み合わせた情報
事例３）防犯カメラに記録された情報等本人が判別できる映像情報
事例４）本人の氏名が含まれる等の理由により、特定の個人を識別できる音声録音情報
事例５）特定の個人を識別できるメールアドレス（kojin_ichiro@example.com 等のようにメールアドレスだけの情報の場合であっても、example 社に所属するコジンイチ
ロウのメールアドレスであることが分かるような場合等）
事例６）個人情報を取得後に当該情報に付加された個人に関する情報（取得時に生存す
る特定の個人を識別することができなかったとしても、取得後、新たな情報が付加され、又は照合された結果、生存する特定の個人を識別できる場合は、その時点で個人情報に該当する。
）
事例７）官報、電話帳、職員録、法定開示書類（有価証券報告書等）、新聞、ホームペ
ージ、SNS（ソーシャル・ネットワーク・サービス）等で公にされている特定の個人を識別できる情報③死者に関する情報が、同時に、遺族等の生存する個人に関する情報でもある場合には、当該生存する個人に関する情報に該当する。
④法人その他の団体は「個人」に該当しないため、法人等の団体そのものに関する情報は「個人情報」に該当しない（ただし、役員、従業員等に関する情報は個人情報に該当する。）。なお、「個人」は日本国民に限らず、外国人も含まれる。
⑤「他の情報と容易に照合することができ」るとは、与信事業者の実態に即して個々の事例ごとに判断されるべきであるが、通常の業務における一般的な方法で、他の情報と容易に照合することができる状態をいい、例えば、他の事業者への照会を要する場
合等であって照合が困難な状態は、一般に、容易に照合することができない状態であると解される。
5

８ 本指針において「個人識別符号」とは、当該情報単体から特定の個人を識別できるもの
として法令で定められた文字、番号、記号その他の符号をいう。
（業務運用上の解釈）①個人識別符号とは、例えば、以下に掲げるものをいう。
（１） 次に掲げる身体の特徴のいずれかを電子計算機の用に供するために変換した文
字、番号、記号その他の符号であって、特定の個人を識別するに足りるものとして法令で定める基準に適合するもの
ア

細胞から採取されたデオキシリボ核酸（別名DNA）を構成する塩基の配列

イ

顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状によって定まる容貌

ウ

虹彩の表面の起伏により形成される線状の模様

エ

発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化

オ

歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様

カ

手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まる
その静脈の形状キ

指紋又は掌紋（２） 旅券法（昭和２６年法律第２６７号）第６条第１項第１号の旅券の番号（３） 国民年金法（昭和３４年法律第１４１号）第１４条に規定する基礎年金番号（４） 道路交通法（昭和３５年法律第１０５号）第９３条第１項第１号の免許証の番
号（５） 住民基本台帳法（昭和４２年法律第８１号）第７条第１３号に規定する住民票
コード（６） 行政手続における特定の個人を識別するための番号の利用等に関する法律（平成２５年法律第２７号）第２条第５項に規定する個人番号（７） 次に掲げる証明書にその発行を受ける者ごとに異なるものとなるように記載された施行規則で定める文字、番号、記号その他の符号
ア

国民健康保険法（昭和３３年法律第１９２号）第９条第２項の被保険者証

イ

高齢者の医療の確保に関する法律（昭和５７年法律第８０号）第５４条第３項の被保険者証ウ

介護保険法（平成９年法律第１２３号）第１２条第３項の被保険者証②クレジットカード番号は、個人識別符号には該当しないが、氏名等の他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなる
場合には、個人情報に該当することに留意する。
９ 本指針において「機微（センシティブ）情報」とは、要配慮個人情報並びに労働組合へ
6

の加盟、門地、本籍地、保健医療及び性生活（これらのうち要配慮個人情報に該当するものを除く。
）に関する情報（本人、国の機関、地方公共団体、学術研究機関等、法第５７条第１項各号に掲げる者若しくは法令で定める範囲の外国政府等により公開されているもの、又は、本人を目視し、若しくは撮影することにより取得するその外形上明らかなも
のを除く。
）をいう。
１０ 本指針において「要配慮個人情報」とは、不当な差別や偏見その他の不利益が生じな
いようにその取扱いに特に配慮を要するものとして次の（１）から（１１）までの記述等が含まれる個人情報をいう。
（１） 人種人種、世系又は民族的若しくは種族的出身を広く意味する。なお、単純な国籍や「外国人」という情報は法的地位であり、それだけでは人種には含まない。また、肌の色は、人種を推知させる情報にすぎないため、人種には含まない。
（２） 信条個人の基本的なものの見方、考え方を意味し、思想と信仰の双方を含むものである。
（３） 社会的身分ある個人にその境遇として固着していて、一生の間、自らの力によって容易にそれから脱し得ないような地位を意味し、単なる職業的地位や学歴は含まない。
（４） 病歴
病気に罹患した経歴を意味するもので、特定の病歴を示した部分（例：特定の個人ががんに罹患している、統合失調症を患っている等）が該当する。
（５） 犯罪の経歴
前科、すなわち有罪の判決を受けこれが確定した事実が該当する。
（６） 犯罪により害を被った事実
身体的被害、精神的被害及び金銭的被害の別を問わず、犯罪の被害を受けた事実を意味する。具体的には、刑罰法令に規定される構成要件に該当し得る行為のうち、刑事事件に関する手続に着手されたものが該当する。
（７） 身体障害、知的障害、精神障害（発達障害を含む。
）その他の法令で定める心身の機能の障害があること
次のイからニまでに掲げる情報をいう。この他、当該障害があること又は過去にあったことを特定させる情報（例：障害者の日常生活及び社会生活を総合的に支援するための法律（平成１７年法律第１２３号）に基づく障害福祉サービスを受けていること又は過去に受けていたこと）も該当する。
イ「身体障害者福祉法（昭和２４年法律第２８３号）別表に掲げる身体上の障害」があることを特定させる情報（イ） 医師又は身体障害者更生相談所により、別表に掲げる身体上の障害があ7ることを診断又は判定されたこと（別表上の障害の名称や程度に関する情報を含む。）（ロ） 都道府県知事、指定都市の長又は中核市の長から身体障害者手帳の交付を受け、これを所持していること又は過去に所持していたこと（別表上の障害の名称や程度に関する情報を含む。）（ハ） 本人の外見上明らかに別表に掲げる身体上の障害があること
ロ「知的障害者福祉法（昭和３５年法律第３７号）にいう知的障害」があることを特定させる情報（イ） 医師、児童相談所、知的障害者更生相談所、精神保健福祉センター、障害者職業センターにより、知的障害があると診断又は判定されたこと（障害の程度に関する情報を含む。）（ロ） 都道府県知事又は指定都市の長から療育手帳の交付を受け、これを所持していること又は過去に所持していたこと（障害の程度に関する情報を含む。）
ハ 「精神保健及び精神障害者福祉に関する法律（昭和２５年法律第１２３号）にいう精神障害（発達障害者支援法（平成１６年法律第１６７号）第２条第２項に規定する発達障害を含み、知的障害者福祉法にいう知的障害を除く。）」があることを特定させる情報（イ） 医師又は精神保健福祉センターにより精神障害や発達障害があると診断又は判定されたこと（障害の程度に関する情報を含む。）（ロ） 都道府県知事又は指定都市の長から精神障害者保健福祉手帳の交付を受け、これを所持していること又は過去に所持していたこと（障害の程度に関する情報を含む。）
ニ「治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生

活及び社会生活を総合的に支援するための法律第４条第１項の政令で定めるものによる障害の程度が同項の主務大臣が定める程度であるもの」があることを特定させる情報（イ） 医師により、主務大臣が定める特殊の疾病による障害により継続的に日常
生活又は社会生活に相当な制限を受けていると診断されたこと（疾病の名称や程度に関する情報を含む。
）（８） 本人に対して医師その他医療に関連する職務に従事する者（次号において「医師等」という。
）により行われた疾病の予防及び早期発見のための健康診断その他の検査（同号において「健康診断等」という。）の結果
疾病の予防や早期発見を目的として行われた健康診査、健康診断、特定健康診査、健康測定、ストレスチェック、遺伝子検査（診療の過程で行われたものを除く。）
等、受診者本人の健康状態が判明する検査の結果が該当する。
8

具体的な事例としては、労働安全衛生法（昭和４７年法律第５７号）に基づいて行われた健康診断の結果、同法に基づいて行われたストレスチェックの結果、高齢者の医療の確保に関する法律（昭和５７年法律第８０号）に基づいて行われた特定
健康診査の結果などが該当する。また、法律に定められた健康診査の結果等に限定されるものではなく、人間ドックなど保険者や事業主が任意で実施又は助成する検査の結果も該当する。さらに、医療機関を介さないで行われた遺伝子検査により得られた本人の遺伝型とその遺伝型の疾患へのかかりやすさに該当する結果等も含まれる。なお、健康診断等を受診したという事実は該当しない。
なお、身長、体重、血圧、脈拍、体温等の個人の健康に関する情報を、健康診断、診療等の事業及びそれに関する業務とは関係ない方法により知り得た場合は該当
しない。
（９）

健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと「健康診断等の結果に基づき、本人に対して医師等により心身の状態の改善のための指導が行われたこと」とは、健康診断等の結果、特に健康の保持に努める必要がある者に対し、医師又は保健師が行う保健指導等の内容が該当する。
指導が行われたことの具体的な事例としては、労働安全衛生法に基づき医師又は保健師により行われた保健指導の内容、同法に基づき医師により行われた面接指導の内容、高齢者の医療の確保に関する法律に基づき医師、保健師、管理栄養士により行われた特定保健指導の内容等が該当する。また、法律に定められた保健指導の内容に限定されるものではなく、保険者や事業主が任意で実施又は助成により受診した保健指導の内容も該当する。なお、保健指導等を受けたという事実も該当する。
「健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により診療が行われたこと」とは、病院、診療所、その他の医療を提供する施設において診療の過程で、患者の身体の状況、病状、治療状況等について、医師、歯科医師、薬剤師、看護師その他の医療従事者が知り得た情報全てを指し、例えば診療記録等がこれに該当する。また、病院等を受診したという事実も該当する。
「健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により調剤が行われたこと」とは、病院、診療所、薬局、その他の医療を提供する施設において調剤の過程で患者の身体の状況、病状、治療状況等について、薬剤師（医師又は歯科医師が自己の処方箋により自ら調剤する場合を含む。
）が知り得た情報全てを指し、調剤録、薬剤服用歴、お薬手帳に記載された情報等が該当する。また、薬局等で調剤を受けたという事実も該当する。
なお、身長、体重、血圧、脈拍、体温等の個人の健康に関する情報を、健康診断、
9

診療等の事業及びそれに関する業務とは関係のない方法により知り得た場合は該当しない。
（１０）本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと（犯罪の経歴を除く。）
本人を被疑者又は被告人として刑事事件に関する手続が行われたという事実が該当する。他人を被疑者とする犯罪捜査のために取調べを受けた事実や、証人として尋問を受けた事実に関する情報は、本人を被疑者又は被告人としていないことから、これには該当しない。
（１１）本人を少年法（昭和２３年法律第１６８号）第３条第１項に規定する少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと
本人を非行少年又はその疑いのある者として、保護処分等の少年の保護事件に関する手続が行われたという事実が該当する。
（業務運用上の解釈）①要配慮個人情報の取得や第三者提供には、原則として本人の同意が必要であり、法第２７条第２項の規定による第三者提供（オプトアウトによる第三者提供）は認められていないので、注意が必要である。
②要配慮個人情報が含まれる個人データ（第１５条第１項第３号に定める事態については、当該与信事業者が取得し、または取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。
）の漏えい等が発生し、又は発生したおそれがある事態が生じた場合には、第１５条に則り、適切な報告先に報告しなければならない。
③要配慮個人情報を推知させる情報にすぎないもの（例：宗教に関する書籍の購買や貸出しに係る情報等）は、要配慮個人情報には含まない。
１１ 本指針において「個人情報データベース等」とは、①特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した、個人情報を含む情報の集合物
及び②紙面で処理した個人情報を一定の規則（例えば、五十音順等）に従って整理・分類
し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものをいう。ただし、次の（１）から（３）までのいずれにも該当するものは、利用方法からみて個人の権利利益を害するおそれが少ないため、個人情報データベース等には該当しない。
（１） 不特定かつ多数の者に販売することを目的として発行されたものであって、かつ、
その発行が法又は法に基づく命令の規定に違反して行われたものでないこと。
10

（２） 不特定かつ多数の者により随時に購入することができ、又はできたものであること。
（３） 生存する個人に関する他の情報を加えることなくその本来の用途に供しているものであること。
（業務運用上の解釈）①【個人情報データベース等に該当する事例】
事例１）電子メールソフトに保管されているメールアドレス帳（メールアドレスと氏名を組み合わせた情報を入力している場合）
事例２）インターネットサービスにおいて、ユーザーが利用したサービスに係るログ情報がユーザーID によって整理され保管されている電子ファイル（ユーザーID と個人情報を容易に照合することができる場合）
事例３）従業者が、名刺の情報を業務用パソコン（所有者を問わない。
）の表計算ソフト等を用いて入力・整理している場合
事例４）人材派遣会社が登録カードを、氏名の五十音順に整理し、五十音順のインデックスを付してファイルしている場合②【個人情報データベース等に該当しない事例】
事例１）従業者が、自己の名刺入れについて他人が自由に閲覧できる状況に置いていても、他人には容易に検索できない独自の分類方法により名刺を分類した状態である
場合
事例２）アンケートの戻りはがきが、氏名、住所等により分類整理されていない状態である場合
事例３）市販の電話帳、住宅地図、職員録、カーナビゲーションシステム等
１２ 本指針において「個人データ」とは、与信事業者が管理する「個人情報データベース
等」を構成する個人情報をいう。
（業務運用上の解釈）①【個人データに該当する事例】
事例１）個人情報データベース等から外部記録媒体に保存された個人情報
事例２）個人情報データベース等から紙面に出力された帳票等に印字された個人情報
事例３）第１１条、および第１５条第１項第３号における当該与信事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているもの②第１１条において、与信事業は、個人情報の記載されたクレジットカードの申込用紙
その他の与信事業に係る個人情報データベース等を構成する前の入力帳票について
11

は、同条に基づく安全管理措置義務を負わない場合であっても、個人データに相当す
る扱いとすることとする。第１２条、第１３条において同じ。
１３ 本指針において「保有個人データ」とは、与信事業者が、本人又はその代理人から請求される開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止の全てに応じることができる権限を有する個人データをいう。ただし、個人データのうち、次に掲げるものは、保有個人データに該当しない。
（１） 当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの（２） 当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの（３）

当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、

他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機
関との交渉上不利益を被るおそれがあるもの（４） 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの（業務運用上の解釈）①【第１号の「当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの」の事例】
事例１）家庭内暴力、児童虐待の被害者の支援団体が保有している、加害者（配偶者又は親権者）及び被害者（配偶者又は子）を本人とする個人データ
事例２）本人を被害者とする犯罪行為（又はそのおそれ）への対応の目的のために、与信事業者が取り扱う犯罪行為に係る個人データ
上記事例２）に該当する内容として、例えば以下が想定される。
・加盟店による架空、多重のクレジット契約で、当該取引が明らかとなることによって、契約者等に危害が及ぶケース
・与信事業者が保有するカード詐欺やカード偽造の被害者を本人とする個人データ②【第２号の「当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの」の事例】
事例１）暴力団等の反社会的勢力による不当要求の被害等を防止するために事業者が保有している、当該反社会的勢力に該当する人物を本人とする個人データ
事例２）不審者や悪質なクレーマー等による不当要求の被害等を防止するために事業者が保有している、当該行為を行った者を本人とする個人データ
事例３）本人を加害者とする犯罪行為(又はそのおそれ)への対応の目的のために、与信
12

事業者が取り扱う犯罪行為に係る個人データ
上記事例３）に該当する内容として、例えば以下が想定される。
・与信事業者が保有するカード詐欺やカード偽造の加害者を本人とする個人データ③【第４号の「当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの」の事例】
事例１）警察から捜査関係事項照会等がなされることにより初めて取得した個人デー
タ
事例２） 警察から契約者情報等について捜査関係事項照会等を受けた事業者が、その対応の過程で作成した照会受理簿・回答発信簿、照会対象者リスト等の個人データ（※なお、当該契約者情報自体は「保有個人データ」に該当する。）
事例３） 犯罪による収益の移転防止に関する法律（平成１９年法律第２２号）第８条
第１項に基づく疑わしい取引（以下「疑わしい取引」という。
）の届出の有無及び届出に際して新たに作成した個人データ
事例４）振り込め詐欺に利用された口座に関する情報に含まれる個人データ④個人データの取扱いについて、委託等により複数の個人情報取扱事業者が関わる場
合には、契約等の実態によって、どの個人情報取扱事業者が開示等に応じる権限を有しているのかについて判断することとなる。
１４ 本指針において「個人関連情報」とは、生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。
（業務運用上の解釈）①「個人に関する情報」とは、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報である。
「個人に関する情報」は、ある個人に関する情報であることが要素となっており、かかる要素を満たす情報のみがその対象となる。
「個人に関する情報」のうち、氏名、生年月日その他の記述等により特定の個人を識別することができるものは、個人情報に該当するため、個人関連情報には該当しない。
②統計情報は、特定の個人との対応関係が排斥されている限りにおいては、「個人に関する情報」に該当するものではないため、個人情報だけでなく、個人関連情報にも該当しない。
③【個人関連情報に該当する事例】
13

事例１）Cookie 等の端末識別子を通じて収集された、ある個人のウェブサイトの閲覧履歴
事例２）特定の個人を識別できないメールアドレス（abc_123@example.com 等のようにメールアドレス単体で、特定の個人のメールアドレスであることが分からないような場合等）に結び付いた、ある個人の年齢・性別・家族構成等
事例３）ある個人の商品購買履歴・サービス利用履歴
事例４）ある個人の位置情報
事例５）ある個人の興味・関心を示す情報④個人情報に該当する場合は、個人関連情報に該当しないことになる。例えば、一般的に、ある個人の位置情報それ自体のみでは個人情報には該当しないものではあるが、個人に関する位置情報が連続的に蓄積される等して特定の個人を識別することができる場合には、個人情報に該当し、個人関連情報には該当しないことになる。
１５ 本指針において「個人関連情報データベース等」とは、個人関連情報を含む情報の集合物であって、特定の個人関連情報を電子計算機を用いて検索することができるように体系的に構成したもの又はこれに含まれる個人関連情報を一定の規則に従って整理する
ことにより特定の個人関連情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するものをいう。
１６ 本指針において「個人関連情報取扱事業者」とは、個人関連情報データベース等を事
業の用に供している者であって、法第１６条第２項各号に掲げる者を除いたものをいう。
（業務運用上の解釈）①ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、
営利・非営利の別は問わない。なお、法人格のない、権利能力のない社団（任意団体）
又は個人であっても、個人関連情報データベース等を事業の用に供している場合は、
個人関連情報取扱事業者に該当する。
１７ 本指針において「仮名加工情報」とは、個人情報を、個人情報の区分に応じて定められた措置を講じて他の情報と照合しない限り特定の個人を識別することができないように加工して得られる個人に関する情報をいう。
１８ 本指針において「匿名加工情報」とは、個人情報を個人情報の区分に応じて定められた措置を講じて特定の個人を識別することができないように加工して得られる個人に関する情報であって、当該個人情報を復元して特定の個人を再識別することができないよ
うにしたものをいう。
14

１９ 本指針において「本人に通知」とは、本人に直接知らしめることをいう。与信事業において、利用目的を「本人に通知」する方法は、原則として、書面（電磁的記録を含む。
以下同じ。
）によることとする。
（業務運用上の解釈）①通知の方法としては、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。
②【本人への通知に該当する事例】
事例１）ちらし等の文書を直接渡すことにより知らせること。
事例２）口頭又は自動応答装置等で知らせること。
事例３）電子メール、FAX 等により送信し、又は文書を郵便等で送付することにより知らせること。
クレジットの申込時又は契約時に「本人に通知」する方法として、例えば以下が想定される。
事例４）本人控である書面に記載することにより知らせること。
事例５）カード送付時に会員規約を同封することにより知らせること。
クレジットの申込後又は契約後に「本人に通知」する方法として、例えば以下が想定される。
事例６）支払明細書を送付する会員に対し、(書面・Web 上で)支払明細書に表示することにより知らせること。
事例７）電子商取引の際、取引確認のための自動応答の電子メールに記載して送信する
ことにより知らせること。
事例８）会員誌を送付する会員に対し、会員誌を送付することにより知らせること。
③本人から直接書面に記載された当該本人の個人情報を取得する場合の利用目的の明示については、第９条を参照のこと。
２０ 本指針において「公表」とは、広く一般に自己の意思を知らせること（不特定多数の人々が知ることができるように発表すること）をいう。
（業務運用上の解釈）①公表に当たっては、事業の性質及び個人情報の取扱状況に応じ、合理的かつ適切な方法によらなければならない。

15

②【公表に該当する事例】
事例１）自社のホームページのトップページから１回程度の操作で到達できる場所への掲載
事例２） 自社の店舗や事務所等、顧客が訪れることが想定される場所におけるポスタ
ー等の掲示、パンフレット等の備置き・配布
事例３）（通信販売の場合）通信販売用のパンフレット・カタログ等への掲載
２１ 本指針において「本人の同意」とは、本人の個人情報が、与信事業者によって示された取扱方法で取り扱われることを承諾する旨の当該本人の意思表示をいう。与信事業においては、法第１８条、法第２７条第１項、法第２８条第１項及び法第３１条第１項１号（与信事業者が個人関連情報取扱事業者から同項の規定による個人関連情報の提供を受けて個人データとして取得する場合に限る。
）に定める本人の同意を得る場合には、原則として、書面（電磁的記録を含む。
）によることとする。
（業務運用上の解釈）①本人の同意を得る場合には、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。
②【本人の同意を得ている事例】
事例１）本人からの同意する旨の口頭による意思表示
なお、与信事業においては、本項の規定により、法第１８条、法第２７条第１項、
法第２８条第１項及び法第３１条第１項１号（与信事業者が個人関連情報取扱事業者から同項の規定による個人関連情報の提供を受けて個人データとして取得する場合に限る。
）に定める本人の同意を得る場合には、原則として、書面（電磁的記録を含む。
）によることとする。
事例２）本人からの同意する旨の書面の受領事例３）本人からの同意する旨のメールの受信
事例４）本人による同意する旨の確認欄へのチェック
事例５）本人による同意する旨のホームページ上のボタンのクリック
事例６）本人による同意する旨の音声入力、タッチパネルへのタッチ、ボタンやスイッチ等による入力③与信事業においては、同意を確認する書面について、個人情報の取扱いに係る条項とその他の契約条項とは別々の書面とし、又は同一の書面であっても個人情報の取扱いに係る条項とその他の契約条項とは明確に区別することとする。また、文字の大きさ、文章の表現その他の本人の理解に影響する事項について、本人の理解を容易にす
16

るための措置を講じることとする。同意の取得は、本人の同意の意思が反映される方法により行うこととする。
④本人の意思表示は、当該本人であることを確認できていることが前提となる。
⑤個人情報の取扱いに関して同意したことによって生ずる結果について、未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力を有していないなどの場合は、親権者や法定代理人等から同意を得る必要がある。
２２ 本指針において「従業者」とは、与信事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者等をいい、雇用関係にある従業員（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、取締役、執行役、理事、監査役、監事、派遣社員等も含まれる。
２３ 本指針において「提供」とは、個人データ、保有個人データ、個人関連情報、仮名加工情報又は匿名加工情報を、自己以外の者が利用可能な状態に置くことをいう。
（業務運用上の解釈）①個人データ、保有個人データ又は匿名加工情報等が、物理的に提供されていない場合であっても、ネットワーク等を利用することにより、個人データ等を利用できる状態にあれば（利用する権限が与えられていれば）、「提供」に当たる。
（利用目的の特定）
第４条 与信事業者は、個人情報を取り扱うに当たっては、利用目的をできる限り具体的に特定しなければならない。与信事業者は、与信事業における利用目的の特定に当たっては、
個人情報の各項目と利用目的の各項目との対応関係を明らかにすることとする。
２

与信事業者が個人信用情報機関に個人情報を提供し、又は個人信用情報機関から必要な個人情報を取得することについても、利用目的において特定しなければならない。この場合、特定した利用目的について本人の同意を得ることとする。

３ 与信事業者は、あらかじめ個人情報を第三者に提供することを想定している場合には、利用目的の特定に当たっては、その旨が明確に分かるよう特定しなければならない。
４ 与信事業者は、前三項により特定した利用目的について、変更前の利用目的と関連性を有すると合理的に認められる範囲（変更後の利用目的が変更前の利用目的からみて、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内）で変更することができる。
（業務運用上の解釈）①利用目的の特定に当たっては、利用目的を単に抽象的、一般的に特定するのではな
く、個人情報が与信事業者において、最終的にどのような事業の用に供され、どの17

ような目的で個人情報を利用されるのかが、本人にとって一般的かつ合理的に想定できる程度に具体的に特定することが望ましい。
②「利用目的の特定」の趣旨は、個人情報を取り扱う者が、個人情報がどのような事
業の用に供され、どのような目的で利用されるかについて明確な認識を持ち、できるだけ具体的に明確にすることにより、個人情報が取り扱われる範囲を確定するとともに、本人の予測を可能とすることである。本人が、自らの個人情報がどのように取り扱われることとなるか、利用目的から合理的に予測・想定できないような場
合は、この趣旨に沿ってできる限り利用目的を特定したことにはならない。例えば、本人から得た情報から、本人に関する行動・関心等の情報を分析する場合、与信扱事業者は、どのような取扱いが行われているかを本人が予測・想定できる程度に利用目的を特定しなければならない。
【本人から得た情報から、行動・関心等の情報を分析する場合に具体的に利用目的を特定している事例】
事例１）「取得した閲覧履歴や購買履歴等の情報を分析して、趣味・嗜好に応じた新商品・サービスに関する広告のために利用いたします。」
事例２）「取得した行動履歴等の情報を分析し、結果をスコア化した上で、当該スコアを第三者へ提供いたします。」③定款等に規定されている事業の内容に照らして、個人情報によって識別される本人からみて、自分の個人情報が利用される範囲が合理的に予想できる程度に特定されている場合や業種を明示することで利用目的の範囲が想定される場合には、これで足りるとされることもあり得るが、多くの場合、業種の明示だけでは利用目的をできる限り具体的に特定したことにはならないと解される。なお、利用目的の特定に当たり「○○事業」のように事業を明示する場合についても、社会通念上、本人からみてその特定に資すると認められる範囲に特定することが望ましい。
また、単に「事業活動」、「お客様のサービスの向上」等のように抽象的、一般的な内容を利用目的とすることは、できる限り具体的に特定したことにはならないと解される。
④【具体的に利用目的を特定している事例】
事例）事業者が商品の販売に伴い、個人から氏名・住所・メールアドレス等を取得するに当たり、「○○事業における商品の発送、関連するアフターサービス、新商品・サービスに関する情報のお知らせのために利用いたします。」等の利用目的を明示している場合18

⑤【具体的に利用目的を特定していない事例】
事例１）「事業活動に用いるため」
事例２）「マーケティング活動に用いるため」⑥【個人情報と利用目的の対応関係の示し方の例】
申込者は、下表に示す利用目的のため、以下のⅰ）～ⅳ）の情報を当社が保護措置を講じた上で取得・利用することに同意します。
利用目的

利用情報

連絡先等

与信判断・与信後の管理

ⅰ）ⅱ）ⅲ）ⅳ）

東京都千代田区○○のため○○事業における宣伝物

TEL △△
E-mail □ⅰ）ⅱ）

等、営業案内の利用のためⅰ）氏名、住所、電話番号、・・・
ⅱ）申込日、商品名、・・・
ⅲ）支払開始後の利用残高、・・・
ⅳ）過去の債務の返済状況、・・・⑦第４項における「本人が通常予期し得る限度と客観的に認められる範囲」とは、本人の主観や与信事業者の恣意的な判断によるものではなく、一般人の判断において、当初の利用目的と変更後の利用目的を比較して予期できる範囲をいい、当初特定した利用目的とどの程度の関連性を有するかを総合的に勘案して判断される。
（利用目的の制限）
第５条 与信事業者は、前条第１項、第２項及び第３項により特定した利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合は、あらかじめ本人の同意を得なければならない。
２ 与信事業者は、前項にかかわらず、次に掲げる場合については、特定された利用目的の達成に必要な範囲を超えて本人の同意を得ることなく個人情報を取り扱うことができる。
（１） 法令（条例を含む。以下同じ。
）に基づく場合（２） 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
（３） 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
（４） 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂19

行することに対して、与信事業者が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
３ 与信事業者は、与信事業においては、ダイレクトメールの発送等の販売促進の目的で個
人情報を利用することについて本人が同意しなかったときは、そのことを理由に信用供与に係る契約の締結を拒否しないこととする。
４

与信事業者は、与信事業において個人信用情報機関から得た支払能力に関する情報を当該個人の支払能力の調査以外の目的に使用しないこととする。
（業務運用上の解釈）①利用目的に関する本人の同意を得るために個人情報を利用すること（メールの送信や電話をかけること等）は、当初特定した利用目的として記載されていない場合でも、目的外利用には該当しない。
②与信事業者が、合併、分社化、事業譲渡等により他の個人情報取扱事業者から事業の承継をすることに伴って個人情報を取得した場合であって、当該個人情報に係る承継前の利用目的の達成に必要な範囲内で取り扱う場合は目的外利用にはならず、本人の同意を得る必要はない。
③【第２項第１号の「法令に基づく場合」の事例】
第２項第１号の「法令に基づく場合」には、本人の同意を得ることなく特定された利
用目的の達成に必要な範囲を超えて個人情報を取り扱うことができるが、根拠となる法令の規定として、以下の事例については強制力を伴う。
事例１）裁判官の発する令状に基づく捜査に対応する場合（刑事訴訟法第２１８条）
事例２）税務署の所得税等に関する調査に対応する場合
以下の事例３）については強制力を伴わないが、法令に根拠があるので第２項第１号に該当する。また、事例４）についても同様に該当すると考えられるが、提供に当たっては、同照会制度の目的に則した必要性と合理性が認められるかを考慮する必要がある。
事例３）警察の捜査関係事項照会に対応する場合（刑事訴訟法（昭和２３年法律第１３１号）第１９７条第２項）
事例４）弁護士会からの照会に対応する場合（弁護士法（昭和２４年法律第２０５号）
第２３条の２）④【第２項第２号の「人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき」の事例】
事例１）急病その他の事態が生じたときに、本人について、その血液型や家族の連絡
20

先等を医師や看護師に提供する場合
事例２）大規模災害や事故等の緊急時に、被災者情報・負傷者情報等を家族、行政機関、地方自治体等に提供する場合
事例３）事業者間において、暴力団等の反社会的勢力情報、振り込め詐欺に利用された口座に関する情報、意図的に業務妨害を行う者の情報について共有する場合
事例４）製造した商品に関連して事故が生じたため、又は、事故は生じていないが、人の生命若しくは身体に危害を及ぼす急迫した危険が存在するため、当該商品の製造事業者等が当該商品をリコールする場合で、販売事業者、修理事業者又は設置工事事業者等が当該製造事業者等に対して、当該商品の購入者等の情報を提供する場
合事例５）上記事例４のほか、商品に重大な欠陥があり人の生命、身体又は財産の保護が必要となるような緊急時に、製造事業者から顧客情報の提供を求められ、これに応じる必要がある場合
事例６）不正送金等の金融犯罪被害の事実に関する情報を、関連する犯罪被害の防止のために、他の事業者に提供する場合
事例７）犯罪行為(又はそのおそれ)への対応のために、与信事業者が取り扱う犯罪行
為、及び反社会的勢力等に係る個人情報を提供する場合
上記事例７）に該当する内容として、例えば以下が想定される。
・虚偽入会懸念の高い申込者について警察へ相談する際に、入会申込書等の資料を提出する場合⑤【第２項第３号の「公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき」の事例】
事例）健康保険組合等の保険者等が実施する健康診断の結果等に係る情報を、健康増進施策の立案、保健事業の効果の向上、疫学調査等に利用する場合⑥【第２項第４号の「国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して、事業者が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき」の事
例】
事例１）事業者が税務署又は税関の職員等の任意の求めに応じて個人情報を提出する
場合
事例２）事業者が警察の任意の求めに応じて個人情報を提出する場合
事例３）一般統計調査や地方公共団体が行う統計調査に回答する場合

21

（不適正利用の禁止）
第６条 与信事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。
（業務運用上の解釈）①【与信事業者が違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例】
事例１）違法な行為を営むことが疑われる事業者（例：貸金業登録を行っていない貸金業者等）からの突然の接触による本人の平穏な生活を送る権利の侵害等、当該事業者の違法な行為を助長するおそれが想定されるにもかかわらず、当該事業者に当該本人の個人情報を提供する場合
事例２）裁判所による公告等により散在的に公開されている個人情報（例：官報に掲載される破産者情報）を、当該個人情報に係る本人に対する違法な差別が、不特定多数の者によって誘発されるおそれがあることが予見できるにもかかわらず、それを集約してデータベース化し、インターネット上で公開する場合
事例３）暴力団員により行われる暴力的要求行為等の不当な行為や総会屋による不当な要求を助長し、又は誘発するおそれが予見できるにもかかわらず、事業者間で共有している暴力団員等に該当する人物を本人とする個人情報や、不当要求による被害を防止するために必要な業務を行う各事業者の責任者の名簿等を、みだりに開示し、又は暴力団等に対しその存在を明らかにする場合
事例４）個人情報を提供した場合、提供先において法第２７条第１項に違反する第三者提供がなされることを予見できるにもかかわらず、当該提供先に対して、個人情報を提供する場合
事例５）採用選考を通じて個人情報を取得した事業者が、性別、国籍等の特定の属性のみにより、正当な理由なく本人に対する違法な差別的取扱いを行うために、個人情報を利用する場合
事例６）広告配信を行っている事業者が、第三者から広告配信依頼を受けた商品が違法薬物等の違法な商品であることが予見できるにもかかわらず、当該商品の広告配
信のために、自社で取得した個人情報を利用する場合②「違法又は不当な行為」とは、法その他の法令に違反する行為、及び直ちに違法とはいえないものの、法その他の法令の制度趣旨又は公序良俗に反する等、社会通念上
適正とは認められない行為をいう。
③「おそれ」の有無は、与信事業者による個人情報の利用が、違法又は不当な行為を助長又は誘発することについて、社会通念上蓋然性が認められるか否かにより判断さ22れる。この判断に当たっては、個人情報の利用方法等の客観的な事情に加えて、個人情報の利用時点における与信事業者の認識及び予見可能性も踏まえる必要がある。例えば、与信事業者が第三者に個人情報を提供した場合において、当該第三者が当該個人情報を違法な行為に用いた場合であっても、当該第三者が当該個人情報の取得目的を偽っていた等、当該個人情報の提供の時点において、提供した個人情報が違法に利用されることについて、当該与信事業者が一般的な注意力をもってしても予見できない状況であった場合には、「おそれ」は認められないと解される。
（適正な取得）第７条 与信事業者は、偽り等の不正の手段により個人情報を取得してはならない。
（業務運用上の解釈）①【与信事業者が不正の手段により個人情報を取得している事例】
事例１）十分な判断能力を有していない子供や障害者から、取得状況から考えて関係のない家族の収入事情などの家族の個人情報を、家族の同意なく取得する場合
事例２）法第２７条第１項に規定する第三者提供制限違反をするよう強要し取得する
場合
事例３）個人情報を取得する主体や利用目的等について、意図的に虚偽の情報を示して、本人から個人情報を取得する場合
事例４）他の事業者に指示して不正の手段で個人情報を取得させ、当該他の事業者から個人情報を取得する場合
事例５）法第２７条第１項に規定する第三者提供制限違反がされようとしていることを知り、又は容易に知ることができるにもかかわらず、個人情報を取得する場合
事例６）不正の手段で個人情報が取得されたことを知り、又は容易に知ることができるにもかかわらず、当該個人情報を取得する場合②個人情報を含む情報がインターネット等により公にされている場合であって、単にこれを閲覧するにすぎず、転記等を行わない場合は、個人情報を取得しているとは解されない。
（機微（センシティブ）情報）第８条 与信事業者は、機微（センシティブ）情報については、次に掲げる場合を除くほか、取得、利用又は第三者提供を行わないこととする。
（１） 法令等に基づく場合（２） 人の生命、身体又は財産の保護のために必要がある場合（３） 公衆衛生の向上又は児童の健全な育成の推進のため特に必要がある場合（４） 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂23

行することに対して協力する必要がある場合（５） 法第１８条第３項第６号に掲げる場合に機微（センシティブ）情報を利用する場
合、法第２０条第２項第６号に掲げる場合に機微（センシティブ）情報を取得する
場合、又は法第２７条第１項第７号に掲げる場合に機微（センシティブ）情報を第三者提供する場合（６） 機微（センシティブ）情報が記載されている戸籍謄本その他の本人を特定できる書類を本人特定のために取得、利用又は保管する場合※ 官報に掲載された破産者の情報について、当該破産者の本人確認を行うため、当該破産者の本籍地の情報を取得、利用又は保管すること等。
（７） 相続手続による権利義務の移転等の遂行に必要な限りにおいて、機微（センシティブ）情報を取得、利用又は第三者提供する場合（８） 信用分野の事業の適切な業務運営を確保する必要性から、本人の同意に基づき業
務遂行上必要な範囲で機微（センシティブ）情報を取得、利用又は第三者提供する
場合（９） 機微（センシティブ）情報に該当する生体認証情報を本人の同意に基づき、本人確認に用いる場合
２ 与信事業者は、機微（センシティブ）情報を、前項に掲げる場合に取得、利用又は第三者提供する場合には、前項に掲げる事由を逸脱した取得、利用又は第三者提供を行うことのないよう、特に慎重に取り扱うこととする。
３ 与信事業者は、機微（センシティブ）情報を、第１項に掲げる場合に取得、利用又は第三者提供する場合には、例えば、要配慮個人情報を取得するに当たっては、法第２０条第２項に従い、あらかじめ本人の同意を得なければならないとされていることなど、個人情報の保護に関する法令等に従い適切に対応しなければならないことに留意する。
４ 与信事業者は、機微（センシティブ）情報を第三者へ提供するに当たっては、法第２７条第２項（オプトアウト）の規定を適用しないこととする。
５ 与信事業者は、要配慮個人情報を取得する場合には、あらかじめ本人の同意を得なければならない。ただし、次の（１）から（７）までに掲げる場合については、この限りではない。
（１） 法令に基づく場合（２） 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
（３） 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
（４） 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して、事業者が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
24

（５） 当該要配慮個人情報が、本人、国の機関、地方公共団体、法第５７条第１項各号に掲げる者その他施行規則で定める者により公開されている場合（６） 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合（７） 法第２７条第５項各号に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき。
（業務運用上の解釈）①【第５項第１号の「法令に基づく場合」の事例】
事例）個人情報取扱事業者が、労働安全衛生法に基づき健康診断を実施し、これにより従業員の身体状況、病状、治療等の情報を健康診断実施機関から取得する場合②【第５項第２号の「人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき」の事例】
事例１）急病その他の事態が生じたときに、本人の病歴等を医師や看護師が家族から聴取する場合
事例２）事業者間において、不正対策等のために、暴力団等の反社会的勢力情報、意図的に業務妨害を行う者の情報のうち、過去に業務妨害罪で逮捕された事実等の情報について共有する場合
事例３）不正送金等の金融犯罪被害の事実に関する情報を、関連する犯罪被害の防止のために、他の事業者から取得する場合
事例４）手話・筆談による通訳業務を行う提携会社と、本人の身体障害に関する情報を共有する場合事例５）犯罪行為（又はそのおそれ）、反社会的勢力等への対応の場合
上記事例５）に該当する内容として、例えば以下が想定される。
・暴力団、いわゆる総会屋、反社会的団体若しくはその構成員等を把握する目的で、犯罪情報を取得する場合
・カードの不正利用や悪用・盗難等による犯罪被害を被った者の個人データを事業者間において共有する場合③【第５項第３号の「公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき」の事例】
事例１）健康保険組合等の保険者等が実施する健康診断等の結果判明した病名等について、健康増進施策の立案や保健事業の効果の向上を目的として疫学調査等のために提供を受けて取得する場合

25

④【第５項第４号の「国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して、事業者が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき」の事例】事例）事業者が警察の任意の求めに応じて要配慮個人情報に該当する個人情報を提出するために、当該個人情報を取得する場合⑤【第５項第５号の「当該要配慮個人情報が、本人、国の機関、地方公共団体、法第５７条第１項各号に掲げる者その他施行規則で定める者により公開されている場合」の事例】
要配慮個人情報が、次に掲げる者により公開されている場合は、あらかじめ本人の同意を得ることなく、当該公開されている要配慮個人情報を取得することができる。
事例１）本人
事例２）国の機関
事例３）地方公共団体
事例４）放送機関・新聞社・通信社その他の報道機関（報道を業として行う個人を含む。）
事例５）著述を業として行う者
事例６）大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者
事例７）宗教団体
事例８）政治団体
事例９）外国政府、外国の政府機関、外国の地方公共団体又は国際機関
事例１０）外国において法第５７条第１項各号に掲げる者に相当する者⑥【第５項第６号の「本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合」の事例】
事例）身体の不自由な方が店舗に来店し、対応した店員がその旨をお客様対応録等に記録した場合（目視による取得）や、身体の不自由な方の様子が店舗に設置された
防犯カメラに映りこんだ場合（撮影による取得）⑦【法第２０条第２項に違反している事例】
本人の同意を得ることなく、法第２０条第２項第５号及び施行規則第６条で定める者以外がインターネット上で公開している情報から本人の信条や犯罪歴等に関する情報を取得し、既に保有している当該本人に関する情報の一部として自己のデータベース等に登録すること。
⑧要配慮個人情報を取得する際の本人の同意取得について、与信事業者が要配慮個人
26

情報を書面又は口頭等により本人から適正に直接取得する場合は、本人が当該情報を提供したことをもって、当該与信事業者が当該情報を取得することについて本人の同意があったものと解される。例えば、以下のような事例が考えられる。
事例１）債権回収の交渉経過途中で本人から申告された場合
事例２）コールセンターの通話途中で本人から申告された場合
事例３）聴覚障害者の方への対応として筆談ボードに記入した内容を記録として残す
場合
事例４）与信事業者が受電・架電の際、顧客が自ら要配慮個人情報にあたる内容を話したことを録音した通話記録を残す場合
事例５）顧客が自身の要配慮個人情報を話し、与信事業者に記録しておくことを求めた場合
事例６）カードご入会時に、耳がご不自由なため、FAX対応を希望されたので、その旨を記録した場合
事例７）債務者が債務免除を受ける目的でがんに罹患しているとの診断書等を自ら提出した場合
また、与信事業者が要配慮個人情報を第三者提供の方法により取得した場合、提供元が法第２０条第２項及び法第２７条第１項に基づいて本人から必要な同意（要配慮
個人情報の取得及び第三者提供に関する同意）を取得していることが前提となるため、提供を受けた当該与信事業者が、改めて本人から法第２０条第２項に基づく同意を得る必要はないものと解される。
（取得に際しての利用目的の通知等）
第９条 与信事業者は、個人情報を取得する場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を本人に通知又は公表しなければならない。
２

与信事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

３ 与信事業者は、与信事業において、本人から直接書面に記載された当該本人の個人情報を取得する場合には、本人の同意を得ることとする。その際、利用目的の明示の方法については、第４条各項に定める方法によることとする。
４ 与信事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
５ 前四項の規定は、次に掲げる場合については、適用しない。
27

（１） 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（２） 利用目的を本人に通知し、又は公表することにより当該与信事業者の権利又は正当な利益を害するおそれがある場合（３） 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
（４） 取得の状況からみて利用目的が明らかであると認められる場合（業務運用上の解釈）①【本人への通知又は公表が必要な事例】
事例１）インターネット上で本人が自発的に公にしている個人情報を取得した場合（単に閲覧しただけの場合を除く。
）
事例２）インターネット、官報、職員録等から個人情報を取得した場合（単に閲覧しただけの場合を除く。
）
事例３）個人情報の第三者提供を受けた場合②【あらかじめ、本人に対し、その利用目的を明示しなければならない事例】
事例１）本人の個人情報が記載された申込書・契約書等を本人から直接取得する場合
事例２）アンケートに記載された個人情報を直接本人から取得する場合
事例３）自社が主催するキャンペーンへの参加希望者が、参加申込みのために自社のホームページの入力画面に入力した個人情報を直接本人から取得する場合③【利用目的の明示に該当する事例】
事例１）利用目的を明記した契約書その他の書面を相手方である本人に手渡し、又は送付する場合
なお、契約約款又は利用条件等の書面中に利用目的条項を記載する場合は、例えば、裏面約款に利用目的が記載されていることを伝える、又は裏面約款等に記載されている利用目的条項を表面にも記載し、かつ、社会通念上、本人が認識できる場
所及び文字の大きさで記載する等、本人が実際に利用目的を確認できるよう留意することが望ましい。
事例２）ネットワーク上において、利用目的を、本人がアクセスした自社のホームペー
ジ上に明示し、又は本人の端末装置上に表示する場合
なお、ネットワーク上において個人情報を取得する場合は、本人が送信ボタン等をクリックする前等にその利用目的（利用目的の内容が示された画面に１回程度の操作でページ遷移するよう設定したリンクやボタンを含む。）が本人の目に留まるようその配置に留意することが望ましい。
28

④第２項の「本人に対し、その利用目的を明示」とは、本人に対し、その利用目的を明確に示すことをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法による必要がある。
⑤名刺などは、一般の慣行として、自身の個人情報を、本人の自発的な意思で、任意の簡便な形式により相手に提供するものであり、申込書、アンケート調査票、懸賞応募
はがき等のように、与信事業者が一定の書式や様式を準備した上で、本人が当該事業者の求めに沿う形で個人情報を提供する場合とは異なることから、第２項の義務を課するものではないが、その場合は第１項に基づいて、あらかじめ利用目的を公表す
るか、取得後速やかに、その利用目的を、本人に通知するか、又は公表しなければならない（ただし、業務運用上の解釈⑨事例２参照）。口頭により個人情報を取得する
場合についても同様である。
⑥【第５項第１号の「利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合」の事例】
事例）児童虐待等に対応するために、児童相談所、学校、医療機関等の関係機関において、ネットワークを組んで対応する場合に、加害者である本人に対して当該本人の個人情報の利用目的を通知・公表することにより、虐待を悪化させたり、虐待への対応に支障等が生じたりするおそれがある場合⑦【第５項第２号の「利用目的を本人に通知し、又は公表することにより事業者の権
利又は正当な利益を害するおそれがある場合」の事例】
事例１）暴力団等の反社会的勢力情報、疑わしい取引の届出の対象情報、業務妨害行為を行う悪質者情報等を、本人又は他の事業者等から取得したことが明らかになることにより、当該情報を取得した企業に害が及ぶ場合
事例２）通知又は公表される利用目的の内容により、当該与信事業者が行う新商品等の開発内容、営業ノウハウ等の企業秘密にかかわるようなものが明らかになる場合⑧【第５項第３号の「国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき」の事例】
事例）警察が、公開手配を行わないで、被疑者に関する個人情報を、被疑者の立ち回りが予想される与信事業者に限って提供した場合において、警察から当該個人情報を受け取った当該与信事業者が、利用目的を本人に通知し、又は公表することにより、捜査活動に支障を及ぼすおそれがある場合
29

⑨【第５項第４号の「取得の状況からみて利用目的が明らかであると認められる場
合 」の事例】
事例１）商品・サービス等を販売・提供するに当たって住所・電話番号等の個人情報を取得する場合で、その利用目的が当該商品・サービス等の販売・提供のみを確実に行うためという利用目的であるような場合
事例２）一般の慣行として名刺を交換する場合、直接本人から、氏名・所属・肩書・連絡先等の個人情報を取得することとなるが、その利用目的が今後の連絡や、所属する会社の広告宣伝のための冊子や電子メールを送付するという利用目的であるような場合（データ内容の正確性の確保等）
第１０条 与信事業者は、利用目的の達成に必要な範囲内において、個人情報データベース
等への個人情報の入力時の照合及び確認の手続の整備、誤り等を発見した場合の訂正等の手続の整備、記録事項の更新、保存期間の設定等を行うことにより、個人データを正確かつ最新の内容に保つよう努めなければならない。
２ 与信事業者は、保有する個人データについて利用する必要がなくなったとき（利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合又は利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等）は、当該個人データを遅滞なく消去するよう努めなければならない。
ただし、法令の定めにより個人データの保存期間等が定められている場合は、この限りではない。
３ 前二項にかかわらず、与信事業者は、与信事業において保有する個人データの利用目的に応じて保存期間を定め、当該保存期間経過後には当該保有する個人データを消去する
こととする。
（業務運用上の解釈）①保有する個人データを一律に又は常に最新化する必要はなく、それぞれの利用目的に応じて、その必要な範囲内で正確性・最新性を確保すれば足りる。
②【個人データについて利用する必要がなくなったときに該当する事例】
事例）キャンペーンの懸賞品送付のため、当該キャンペーンの応募者の個人データを保有していたところ、懸賞品の発送が終わり、不着対応等のための合理的な期間が経過した場合③第３項の「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を30

識別できないようにすること等を含む。
（安全管理措置）第１１条 与信事業者は、その取り扱う個人データの漏えい、滅失又は毀損（以下「漏えい等」という。
）の防止その他の個人データの安全管理のため、必要かつ適切な措置を講じなければならない。
２ 与信事業者は、前項で講じる措置について、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容としなければならない。
３ 本条における「その他の個人データの安全管理のために必要かつ適切な措置」には、個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取り扱うことを予定しているものの漏えい等を防止するために必要かつ適切な措置も含まれる。
（従業者の監督）
第１２条 与信事業者は、その従業者に個人データを取り扱わせるに当たって、法第２３条に基づく安全管理措置を遵守させるよう、当該従業者に対し必要かつ適切な監督をしなければならない。
２ 与信事業者は、監督の結果、従業者に問題があった場合には適切な指示・命令を行わなければならない。
（業務運用上の解釈）①【従業者に対して必要かつ適切な監督を行っていない事例】
事例１）従業者が、個人データの安全管理措置を定める規程等に従って業務を行っていることを確認しなかった結果、個人データが漏えいした場合
事例２）内部規程等に違反して個人データが入ったノート型パソコン又は外部記録媒体が繰り返し持ち出されていたにもかかわらず、その行為を放置した結果、当該パソ
コン又は当該記録媒体が紛失し、個人データが漏えいした場合（委託先の監督）
第１３条 与信事業者は、個人データの取扱いの全部又は一部を委託する場合は、委託を受けた者（以下「委託先」という。
）において当該個人データについて安全管理措置が適切に講じられるよう、委託先に対し必要かつ適切な監督をしなければならない。
２ 与信事業者は、前項の委託先の監督に関し、取扱いを委託する個人データの内容を踏まえ、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を31

含む。
）等に起因するリスクに応じて、次の（１）から（３）までに掲げる必要かつ適切な措置を講じなければならない。
（１） 適切な委託先の選定（２） 委託契約の締結（３） 委託先における個人データ取扱状況の把握（業務運用上の解釈）①上記（１）から（３）までについては、以下の事項に留意する。
（１） 適切な委託先の選定
委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第２３条及び
これに関するガイドライン等で委託元に求められるものと同等であることを確認するため、当該ガイドライン等に定める各項目が、委託する業務内容に沿って、確実に実施されることについて、あらかじめ確認しなければならない。与信事業においては、
委託先における組織体制の整備並びに安全管理に係る基本方針及び取扱規定の策定状
況等を選定基準に定め、必要に応じてデータを取り扱う場所に赴く方法（テレビ会議システム等（映像と音声の送受信により相手の状態を相互に認識できる方法をいう。
）を利用する方法を含む。以下第２１条及び第２４条において同じ。）又はこれに代わる合理的な方法による確認を行った上で、当該基準に基づき個人データの取扱いに関して適切な者を選定しなければならない。
【選定基準の項目の例】
ア

委託業務の受注実績

イ

委託元自らが実施しているルール又は法令に関するガイドライン等を遵守できる体制

ウ

委託業務に係る個人データの取扱手順の整備・実施状況

エ委託業務に係る個人データの安全管理措置の整備・実施状況

オ

過去の個人情報の漏えい等に係る問題発生事実及び再発防止措置の内容と実施状況等（２） 委託契約の締結
委託契約には、当該個人データの取扱いに関する、必要かつ適切な安全管理措置として、委託元、委託先双方が同意した内容とともに、委託先における委託された個人
データの取扱状況を委託元が合理的に把握することを盛り込むことが望ましい。与信事業においては、委託契約において、個人データの取扱いに関して委託元、委託先双方が同意した内容を契約に盛り込まなければならない。
【委託契約書の記載項目の例】
ア

委託業務に係る個人情報の利用目的（委託先における利用目的の特定）に関
する事項
32

イ

委託元及び委託先の責任の明確化に関する事項

ウ

個人データの取扱いに係る責任者の選任及び個人データを取り扱う従業者の特定に関する事項

エ個人データ及び委託業務結果の授受及び配送に関する事項

オ

個人データ及び記録媒体の保管方法・保管場所に関する事項

カ

個人データ及び記録媒体の保有期間及び返還・消去・廃棄方法に関する事項

キ

個人データの漏えい防止、盗用禁止に関する事項

ク

委託契約に係る個人データの第三者提供等の禁止に関する事項

ケ

委託契約範囲外の加工、利用の禁止

コ

委託契約範囲外の複写、複製の禁止

サ

委託契約の目的のために必要となるもの以外の個人データの取扱いの禁止に
関する事項

シ

再委託に関する事項

ス

個人データの取扱状況に関する委託元への報告の内容及び頻度に関する事項

セ

委託先への立入検査、報告徴収に係る事業者の権利に関する事項

ソ

委託先における監査の実施又は事業者による監査実施の権利に関する事項

タ

漏えい等の事故発生時の危機管理・危機対応手順等に基づいた対応・措置に
関する事項

チ

契約に違反した場合における損害賠償及び契約の解除に関する事項（３） 委託先における個人データ取扱状況の把握
委託先における委託された個人データの取扱状況を把握するためには、定期的に監査を行う等により、委託契約で盛り込んだ内容の実施の程度を調査した上で、委託の内容等の見直しを検討することを含め、適切に評価することが望ましい。与信事業においては、委託先が契約内容を確実に遵守していることを定期的又は随時に確認しなければならない。
【確認の際の実施事項の例】
ア

個人データ管理者による委託先の監督に関する業務の実施

イ

委託先からの作業状況・ルール遵守状況等に関する定期的な報告

ウ

委託先からの作業状況・ルール遵守状況等の確認のために必要な証拠等の提出エ

再委託先の監督状況を確認するために必要な証拠等の提出②委託先が再委託を行おうとする場合は、委託を行う場合と同様、委託元は、委託先が再委託する相手方、再委託する業務内容、再委託先の個人データの取扱方法等について、委託先から事前報告を受け又は承認を行うこと、及び委託先を通じて又は33

必要に応じて自らが、定期的に監査を実施すること等により、委託先が再委託先に対して本条の委託先の監督を適切に果たすこと、及び再委託先が法第２３条に基づく安全管理措置を講ずることを十分に確認することが望ましい。再委託先が再々委託を行う場合以降も、再委託を行う場合と同様である。
【委託を受けた者に対して必要かつ適切な監督を行っていない事例】
事例１）個人データの安全管理措置の状況を契約締結時及びそれ以後も適宜把握せず
外部の事業者に委託した結果、委託先が個人データを漏えいした場合
事例２）個人データの取扱いに関して必要な安全管理措置の内容を委託先に指示しなかった結果、委託先が個人データを漏えいした場合
事例３）再委託の条件に関する指示を委託先に行わず、かつ委託先の個人データの取扱状況の確認を怠り、委託先が個人データの処理を再委託した結果、当該再委託先が個
人データを漏えいした場合
事例４）契約の中に、委託元は委託先による再委託の実施状況を把握することが盛り込まれているにもかかわらず、委託先に対して再委託に関する報告を求めるなどの必要な措置を行わず、委託元の認知しない再委託が行われた結果、当該再委託先が個人データを漏えいした場合③「個人データの取扱いの委託」とは、契約の形態・種類を問わず、与信事業者が他の者に個人データの取扱いを行わせることをいう。具体的には、個人データの入力（本人からの取得を含む。）、編集、分析、出力等の処理を行うことを委託すること等が想定される。
④委託元が法第２３条において求められる水準を超える高い水準の安全管理措置を講じている場合に、委託先に対してもこれと同等の措置を求める趣旨ではなく、法律上は、委託先は、法第２３条が求める水準の安全管理措置を講じれば足りると解される。
⑤委託先の選定や委託先における個人データ取扱状況の把握に当たっては、取扱いを委託する個人データの内容や規模に応じて適切な方法をとる必要があるが、例えば、必要に応じて個人データを取り扱う場所に赴く又はこれに代わる合理的な方法（口頭による確認を含む。）により確認することが考えられる。なお、与信事業における委託先の選定においては、口頭による確認は「これに代わる合理的な方法」には該当しないことに留意すること。
⑥委託元が委託先について「必要かつ適切な監督」を行っていない場合で、委託先が再委託をした際に、再委託先が不適切な取扱いを行ったときは、元の委託元による34

法違反と判断され得るので、再委託をする場合は注意を要する。
（教育・研修活動等の実施）
第１４条 与信事業者は、従業者に対し、個人情報の保護と適正な取扱い等に資するための教育及び研修を実施することとする。
２ 前項の教育・研修においては、与信事業者は協会が行う教育・研修又は同等の内容の研修に参加することとする。
（業務運用上の解釈）①与信事業者は、教育・研修を実施する部門を定めるとともに、個人情報保護に関する教育プログラムやカリキュラムを策定するなどにより、与信事業者の役職員を対象に年 1 回以上教育、研修を行うこととする。
②協会が行う教育・研修への参加とは「個人情報取扱主任者認定制度」等への参加をいう。
（個人データの漏えい等の報告等）
第１５条 与信事業者は、その取り扱う個人データの漏えい、滅失、毀損（漏えい等という。
以下この条において同じ。
）その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして以下の事態が生じたときは個人情報保護委
員会（法第１５０条の規定により個人情報保護委員会の権限が事業所管大臣に委任されている分野である場合は当該事業所管大臣。以下同じ。
）及び協会（与信事業及び個人情報保護委員会の権限が事業所管大臣に委任されていない分野である場合に限る。以下同じ。
）に報告しなくてはならない。ただし、当該与信事業者が、他の与信事業者から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、当該事態が生じた旨を当該他の与信事業者に通知したときは、この限りでない。
（１） 要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれ
がある事態
（２）

不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態（３）

不正の目的をもって行われたおそれがある当該与信事業者に対する行為による個人データ（当該与信事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、又は発生したおそれがある事態（４） 個人データに係る本人の数が１，０００人を超える漏えい等が発生し、又は発生したおそれがある事態
35

２ 与信事業者は、前項に該当する場合であっても、以下に該当する場合は、この限りではない。
（１） 個人データを第三者に閲覧されないうちに全てを回収した場合（２） 高度な暗号化等の秘匿化がされている場合等、「高度な暗号化その他の個人の権
利利益を保護するために必要な措置」が講じられている場合
３ 与信事業者は、前２項の規定による報告をする場合には、報告対象事態を知った後、速やかに（個別の事案によるものの、与信事業者が当該事態を知った時点から概ね３～５日以内）、当該事態に関する次の（１）から（９）に掲げる事項（報告をしようとする時点において把握しているものに限る。次項において同じ。
）を個人情報保護委員会及び協会に報告しなければならない。
（１） 概要（２） 漏えい等が発生し、又は発生したおそれがある個人データ（第１項第３号に定める事態については、同号に規定する個人情報を含む。次号において同じ。
）の項目（３） 漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数（４） 原因（５） 二次被害又はそのおそれの有無及びその内容（６） 本人への対応の実施状況（７） 公表の実施状況（８） 再発防止のための措置（９） その他参考となる事項
４ 前項の場合において、与信事業者は、当該事態を知った日から３０日以内（当該事態が第１項第３号に定めるものである場合にあっては、６０日以内）に、当該事態に関する前
項各号に定める事項を個人情報保護委員会及び協会に報告しなければならない。ただし、報告を行う時点において、合理的努力を尽くした上で、一部の事項が判明しておらず、全ての事項を報告することができない場合には、その時点で把握している内容を報告し、判明次第、報告を追完するものとする。
５ 与信事業者は、第１項に定める事態が発生した場合には、当該事態を知った後、当該事態の状況に応じて速やかに、当該本人の権利利益を保護するために必要な範囲において、第３項第１号、第２号、第４号、第５号及び第９号に定める事項を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
６

与信事業者は、第１項に定める事態以外でその取り扱う個人データの漏えい等が発生した場合は、第３項に定める事項等を協会に定期的に報告しなければならない。ただし、以下の各号のいずれかに該当するときは、この限りではない。
（１） FAX やメールの誤送信（宛名及び送信者名以外に個人情報が含まれていない場合
に限る。
）
36

（２） 内容物に個人情報が含まれない荷物等の宅配を委託したところ、誤配によって宛名に記載された個人データが第三者に開示された場合（３） 郵便物が誤配された場合（４） 本人が申告した連絡先（住所、電話・FAX 番号、メールアドレス等）に誤りがあったこと、又は本人が与信事業者に連絡先の変更を申告しなかったことにより、第三者に FAX 若しくはメールの送信、又は郵便物若しくは荷物の配送をした場合（５）

特定の個人を識別することが漏えい等事案を生じた事業者以外ではできない場

合（ただし、漏えい等事案に係る個人データのみで、本人に被害が生じるおそれのある情報が漏えい等した場合を除く。）（６）

滅失又は毀損にとどまり、第三者が漏えい等事案に係る個人データを閲覧することが合理的に予測できない場合（７） 第２項に該当する場合（８） 個人情報保護委員会の権限が事業所管大臣に委任されている分野（例：貸金業など）における漏えい等の場合（ただし、与信事業を除く）
７

与信事業者は、第１項に定める事態以外でその取り扱う個人データの漏えい等が発生した場合であって、以下の各号に該当するときは、前項にかかわらず第３項に定める事項
等を当該事態に応じて適宜個別に協会（与信事業においては経済産業省及び協会）に報告しなければならない。
（１） 当該事態について公表する場合（報道発表する場合等）（２） その他協会が必要と考える場合（業務運用上の解釈）①個人データの「漏えい」とは、個人データが外部に流出することをいう。
【個人データの漏えいに該当する事例】
事例１）個人データが記載された書類を第三者に誤送付した場合
事例２）個人データを含むメールを第三者に誤送信した場合
事例３）システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となっていた場合
事例４）個人データが記載又は記録された書類・媒体等が盗難された場合
事例５）不正アクセス等により第三者に個人データを含む情報が窃取された場合
事例６）与信事業者のウェブサイトの入力ページが第三者に改ざんされ、ユーザーが当該ページに入力した個人情報が、当該第三者に送信された場合であり、かつ、当該与信事業者が、当該ページに入力される個人情報を個人情報データベース等へ入力することを予定していたとき②個人データの「滅失」とは、個人データの内容が失われることをいう。
【個人データの滅失に該当する事例】
37

事例１）個人情報データベース等から出力された氏名等が記載された帳票等を誤って廃棄した場合
事例２）個人データが記載又は記録された書類・媒体等を社内で紛失した場合
なお、上記の場合であっても、その内容と同じデータが他に保管されている場合は、滅失に該当しない。
③個人データの「毀損」とは、個人データの内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となることをいう。
【個人データの毀損に該当する事例】
事例１）個人データの内容が改ざんされた場合
事例２）暗号化処理された個人データの復元キーを喪失したことにより復元できなくなった場合
事例３）ランサムウェア等により個人データが暗号化され、復元できなくなった場合
なお、上記事例２）及び事例３）の場合であっても、その内容と同じデータが他に保管されている場合は毀損に該当しない。
また、事例３）において同時に個人データが窃取された場合には、個人データの漏えいにも該当する。
④【第１項第１号に定める要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態として報告を要する事例】
事例１）病院における患者の診療情報や調剤情報を含む個人データを記録した USB メモ
リーを紛失した場合
事例２）従業員の健康診断等の結果を含む個人データが漏えいした場合⑤【第１項第２号に定める不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態として報告を要す
る事例】
財産的被害が生じるおそれについては、対象となった個人データの性質・内容等を踏
まえ、財産的被害が発生する蓋然性を考慮して判断する。
事例１）EC サイトからクレジットカード番号を含む個人データが漏えいした場合
事例２）送金や決済機能のあるウェブサービスのログイン ID とパスワードの組み合わせを含む個人データが漏えいした場合⑥個人データであるクレジットカード番号については、クレジットカード番号のみの漏38

えい等であっても、施行規則第７条第２号の規定する「不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等」に該当するため、留意すること。通常は、クレジットカード番号から特定の個人を識別することはできないため、それ単体では個人情報には該当しないと考えられる。ただし、クレジットカード番号
は、他の情報と容易に照合することにより特定の個人を識別することができる場合には、当該情報とあわせて全体として個人情報に該当し（第３条第８項 業務運用上の解釈②参照）、それらの情報が、第３条第１１項に定める「個人情報データベース等」を構成する場合、「個人データ」に該当する。よって、当該クレジットカード番号は「個人データであるクレジットカード番号」であるとともに、第１項第２号に定める「不正に利用されることにより財産的被害が生じるおそれがある個人データ」に該当することから、当該個人データが漏えい等した場合には報告を要する場合に該当する。
なお、以下の場合には直ちに「不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等」に該当するものではない。
【直ちに第１項第２号に定める「不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等」に該当するものではない事例】
事例１）個人データであるクレジットカード番号の下４桁のみとその有効期限の組合せが漏えい等した場合
事例２）無効化されたクレジットカードに係るクレジットカード番号が漏えい等した場
合⑦【第１項第３号に定める不正の目的をもって行われたおそれがある当該与信事業者に対する行為による個人データ（当該与信事業者が取得し、又は取得しようとしている
個人情報であって、個人データとして取り扱われることが予定されているものを含む。
）個人データの漏えい等が発生し、又は発生したおそれがある事態として報告を要する事例】「不正の目的をもって行われたおそれがある当該与信事業者に対する行為」（以下「不正行為」という。
）の主体には、第三者のみならず、従業者も含まれる。また、不正行為の相手方である「当該与信事業者」には、当該与信事業者が第三者に個人デー
タ又は個人情報の取扱いを委託している場合（※）における当該第三者（委託先）及
び当該与信事業者が個人データ又は個人情報を取り扱うにあたって第三者の提供するサービスを利用している場合における当該第三者も含まれる。
当該与信事業者が「取得しようとしている個人情報」に該当するかどうかは、当該与信事業者が用いている個人情報の取得手段等を考慮して客観的に判断する。
個人情報データベース等へ入力すること等を予定していれば、最終的に個人情報に該当しない統計情報への加工を行うことを予定している場合等であっても、「個人デ39

ータとして取り扱われることが予定されている」に該当する。
(※)与信事業者が、個人データとして取り扱うことを予定している個人情報の取扱いを第三者に委託する場合であって、当該第三者（委託先）が当該個人情報を個人データとして取り扱う予定はないときも、ここにいう「与信事業者が第三者に個人データの取扱いを委託している場合」に該当する。
事例１）不正アクセスにより個人データ（個人情報データベース等へ入力する予定の個
人情報を含む。以下、事例５）まで同じ。）が漏えいした場合
事例２）ランサムウェア等により個人データが暗号化され、復元できなくなった場合
事例３）個人データが記載又は記録された書類・媒体等が盗難された場合
事例４）従業者が顧客の個人データを不正に持ち出して第三者に提供した場合
事例５）従業者の私用の端末又は取引先の端末が情報を窃取するマルウェアに感染し、その後、当該端末と与信事業者のサーバとの電気通信に起因して、当該サーバも当該
マルウェアに感染し、個人データが漏えいした場合
事例６）与信事業者のウェブサイトの入力ページが第三者に改ざんされ、ユーザーが当該ページに入力した個人情報が当該第三者に送信された場合であり、かつ、当該与信事業者が、当該ページに入力される個人情報を個人情報データベース等へ入力することを予定していたとき
事例７）与信事業者のウェブサイト上に設置された、入力ページに遷移するためのリンクやボタンが第三者に改ざんされ、当該リンクやボタンをユーザーがクリックした結果、偽の入力ページに遷移し、当該ユーザーが当該偽の入力ページに入力した個人情報が当該第三者に送信された場合であり、かつ、当該与信事業者が、当該与信事業者の入力ページに入力される個人情報を個人情報データベース等へ入力することを予定していたとき
事例８）与信事業者が、第三者により宛先の改ざんされた返信用封筒を顧客に送付した結果、当該返信用封筒により返信されたアンケート用紙に記入された個人情報が当該第三者に送付された場合であり、かつ、当該与信事業者が、当該個人情報を個人情報
データベース等へ入力することを予定していたとき⑧【第１項第４号に定める個人データに係る本人の数が１，０００人を超える漏えい等が発生し、又は発生したおそれがある事態として報告を要する事例】「個人データに係る本人の数」は、当該与信事業者が取り扱う個人データのうち、漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数をいう。
「個
人データに係る本人の数」について、事態が発覚した当初１，０００人以下であっても、その後１，０００人を超えた場合には、１，０００人を超えた時点で報告対象となる。本人の数が確定できない漏えい等において、漏えい等が発生したおそれがある
個人データに係る本人の数が最大１，０００人を超える場合には、報告対象となる。
40

事例）システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となり、当該個人データに係る本人の数が１，０００人を超える場合⑨漏えい等報告の義務を負う主体は、原則として、漏えい等が発生し、又は発生したおそれがある個人データを取り扱う与信事業者である。ただし、第１項第３号に定める事態について漏えい等報告の義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データ又は個人情報を取り扱い、又は取得しようとしている与信事業者である。
個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人
データ又は個人情報を取り扱っており、又は取得しようとしていることになるため、報告対象事態に該当する場合には、原則として委託元と委託先の双方が報告する義務を負う。この場合、委託元及び委託先の連名で報告することができる。なお、委託先が、報告義務を負っている委託元に当該事態が発生したことを通知したときは、委託先は報告義務を免除される。
⑩速報の時点で全ての事項を報告できる場合には、１回の報告で速報と確報を兼ねることができる。
⑪与信事業者は、報告対象事態を知ったときは、当該事態の状況に応じて速やかに、本人への通知を行わなければならない。「当該事態の状況に応じて速やかに」とは、速やかに通知を行うことを求めるものであるが、具体的に通知を行う時点は、個別の事案において、その時点で把握している事態の内容、通知を行うことで本人の権利利益が保護される蓋然性、本人への通知を行うことで生じる弊害等を勘案して判断する。
【その時点で通知を行う必要があるとはいえないと考えられる事例】
事例１）インターネット上の掲示板等に漏えいした複数の個人データがアップロードされており、与信事業者において当該掲示板等の管理者に削除を求める等、必要な初期対応が完了しておらず、本人に通知することで、かえって被害が拡大するおそれがある場合
事例２）漏えい等のおそれが生じたものの、事案がほとんど判明しておらず、その時点で本人に通知したとしても、本人がその権利利益を保護するための措置を講じられる見込みがなく、かえって混乱が生じるおそれがある場合
ただし、「当該事態の状況に応じて速やかに」本人への通知を行うべきことに変わりはないことに留意すること。
⑫本人へ通知すべき事項が全て判明するまで本人への通知をする必要がないというも41

のではなく、本人への通知は、「当該事態の状況に応じて速やかに」行う必要がある。
本人への通知については、「本人の権利利益を保護するために必要な範囲において」行うものである。また、当初報告対象事態に該当すると判断したものの、その後実際には報告対象事態に該当していなかったことが判明した場合には、本人への通知が「本人の権利利益を保護するために必要な範囲において」行うものであることに鑑
み、本人への通知は不要である。
【本人の権利利益を保護するために必要な範囲において通知を行う事例】
事例１）不正アクセスにより個人データが漏えいした場合において、その原因を本人に通知するに当たり、個人情報保護委員会に報告した詳細な内容ではなく、必要な内容を選択して本人に通知すること。
事例２）漏えい等が発生した個人データの項目が本人ごとに異なる場合において、当該本人に関係する内容のみを本人に通知すること。
⑬「本人への通知」とは、本人に直接知らしめることをいい、事業の性質及び個人デー
タの取扱状況に応じ、通知すべき内容が本人に認識される合理的かつ適切な方法によらなければならない。また、漏えい等報告と異なり、本人への通知については、その様式が法令上定められていないが、本人にとって分かりやすい形で通知を行うことが望ましい。
【本人への通知の方法の事例】
事例１）文書を郵便等で送付することにより知らせること。
事例２）電子メールを送信することにより知らせること。
⑭本人への通知を要する場合であっても、本人への通知が困難である場合は、本人の権
利利益を保護するために必要な代替措置を講ずることによる対応が認められる。
【本人への通知が困難な場合に該当する事例】
事例１）保有する個人データの中に本人の連絡先が含まれていない場合
事例２）連絡先が古いために通知を行う時点で本人へ連絡できない場合【代替措置に該当する事例】
事例１）事案の公表（公表すべき内容は個別の事案ごとに判断されるが、本人へ通知すべき内容を基本とする。
）
事例２）問合せ窓口を用意してその連絡先を公表し、本人が自らの個人データが対象となっているか否かを確認できるようにすること
なお、代替措置として事案の公表を行わない場合であっても、当該事態の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、公表を行うことが望ましい。
42

（第三者提供の制限）
第１６条 与信事業者は、個人データの第三者への提供に当たり、あらかじめ本人の同意を得ないで提供してはならない。また、与信事業者は、当該同意の取得に当たっては、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。
）等に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示すこととする。
２ 与信事業者は、与信事業において法第２７条に従い、個人データの第三者提供についての同意を得る際には、原則として、書面によることとし、当該書面における記載を通じて、次の（１）から（３）を本人に認識させた上で同意を得ることとする。なお、（２）は、できる限り具体的に記載しなければならない。
（１） 個人データの提供先の第三者（２） 提供先の第三者における利用目的（３） 第三者に提供される個人データの項目
３ 与信事業者は、前項により本人の同意を得ようとする時点において、個人データの提供
先の第三者が特定できない場合には、個人データの提供先の第三者に代わる本人に参考となるべき情報を本人に認識させた上で同意を得ることとする。
４ 与信事業者は、与信事業において、第三者としての個人信用情報機関に対し個人データを提供する場合には、あらかじめ本人の同意を得なければならない。その場合には、個人データが個人信用情報機関の会員企業及び当該個人信用情報機関と提携する個人信用情報機関並びにこれらの会員企業にも提供されることを書面に明記することとする。その際、個人信用情報機関についての本人の理解を容易にするための措置を講じることとする。
５

個人信用情報機関の加入資格に関する規約、個人信用情報機関及び当該個人信用情報機関と提携する個人信用情報機関に加入する会員企業のリストについては、本人が容易に知り得る状態に置くこととし、個人信用情報機関の規約等においては、加入資格のある
企業の外延が明確になるよう、加入資格、加入企業の業務、業務違反に対する制裁措置等について、できる限り具体的に記載することとする。

６ 第１項から第４項までにかかわらず、次に掲げる場合については、第三者への個人デー
タの提供に当たって、本人の同意は不要である。
（１） 法令に基づいて個人データを提供する場合（２） 人（法人を含む。
）の生命、身体又は財産といった具体的な権利利益が侵害されるおそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得ることが困難である場合（３）

公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることが困難である場合
43

（４）

国の機関等が法令の定める事務を実施する上で、与信事業者の協力を得る必要がある場合であって、協力する当該与信事業者が当該国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼす
おそれがある場合（５）

学術研究機関等（大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者をいう、以下同じ）が個人データを提供する場合であり、かつ、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ない場合（個人の権利利益を不当に侵害するおそれがある場合を除く。）（６） 学術研究機関等が個人データを提供する場合であり、かつ、当該学術研究機関等と共同して学術研究を行う第三者（学術研究機関等であるか否かを問わない。）に
当該個人データを学術研究目的で提供する必要がある場合（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）（７） 学術研究機関等が個人データの第三者提供を受ける場合であり、かつ、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要がある場合（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（業務運用上の解釈）①【第三者提供とされる事例】（ただし、第１８条、第１９条及び第２０条の場合を除く。）
事例１）親子兄弟会社、グループ会社の間で個人データを交換する場合
事例２）フランチャイズ組織の本部と加盟店の間で個人データを交換する場合
事例３）同業者間で、特定の個人データを交換する場合②【第三者提供とされない事例】（ただし、利用目的による制限がある。）
事例）同一事業者内で他部門へ個人データを提供する場合③【個人データの提供先の第三者における利用目的の具体的な記載の事例】（個人データの提供先の第三者及び利用目的）
会社名

利用目的

利用情報

連絡先

㈱Ａ

与信判断・与信後のⅰ）ⅱ）ⅲ）ⅳ）

東京都千代田区○○

管理のため○○事業における宣TEL ○○
ⅰ）ⅱ）

E-mail ○ⅰ）ⅱ）

東京都千代田区△△

伝物等、営業案内の利用のため㈱Ｂ○○事業における宣44

伝物等、営業案内のTEL △△

利用のため

E-mail △ⅰ）氏名、住所、電話番号、・・・
ⅱ）申込日、商品名、・・・
ⅲ）支払開始後の利用残高、・・・
ⅳ）過去の債務の返済状況、・・・④【与信事業において本人の同意を得ようとする時点において、個人データの提供先の第三者が特定できない場合に、個人データの提供先の第三者に代わる本人に参考となるべき情報の事例】
事例） 提供先の第三者の範囲や属性に関する情報⑤【個人信用情報機関の示し方の例】
申込者は、契約者の本契約に関する客観的な取引事実に基づく個人情報が、当社の加盟する個人信用情報機関（個人の支払能力に関する情報の収集及び会員に対する当該情報の提供を業とする者）に下表に定める期間登録され、当社が加盟する個
人信用情報機関及び当該機関と提携する個人信用情報機関の加盟会員により、契約者の支払能力に関する調査のために利用されることに同意します。
当社が加盟する個人信用情報機関及び当社が加盟する個人信用情報機関が提携する個人信用情報機関の名称及び連絡先等は以下のとおりです。
会社名

住所

ホームページアドレス

電話番号
株式会社Ｃ

東京都千代田区○○http://www.○○/（加盟先）○○－○○○○－○○○○

株式会社Ｄ情報センタ

東京都千代田区△△ー（提携先）△△－△△△△－△△△△

Ｅ情報センター

東京都千代田区□□（提携先）□□－□□□□－□□□□

http://www.△△/
http://www.□□/

株式会社Ｃ：主に××会社を加盟会員とする個人信用情報機関
株式会社Ｄ情報センター：××協会に加盟する企業を会員とする個人信用情報機
関Ｅ情報センター：主に××業者を加盟会員とする個人信用情報機関【個人データの項目及び登録機関の示し方の例】
項目
会社名

Ａ情報

Ｂ情報

45

Ｃ情報

株式会社Ｃ

～の日から

～の日から

～の日から

（加盟先）

××ヶ月間

××年間

××年間

○

－

○

○

○

－

株式会社Ｄ情報センター（提携先）
Ｅ情報センター（提携先）⑥ブログやその他のSNSに書き込まれた個人データを含む情報については、当該情報を書き込んだ者の明確な意思で不特定多数又は限定された対象に対して公開されている情報であり、その内容を誰が閲覧できるかについて当該情報を書き込んだ者が指定していることから、その公開範囲について、インターネット回線への接続サービスを提供するプロバイダやブログその他のSNSの運営事業者等に裁量の余地はな
いため、このような場合は、当該事業者が個人データを第三者に提供しているとは解されない。
⑦第５項の「本人が容易に知り得る状態」については、第１７条の業務運用上の解釈⑥を参考にしながら適切に対応することとする。
⑧第６項の具体的な事例については、第５条第２項の事例を参照のこと。
（オプトアウトによる第三者提供）
第１７条 与信事業者は、個人データ（要配慮個人情報を除く。以下この条において同じ。
）の第三者への提供に当たり、次の（１）から（９）までに掲げる事項をあらかじめ本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出た
場合には、前条にかかわらず、あらかじめ本人の同意を得ることなく、個人データを第三者に提供することができる。
（１） 与信事業者の氏名又は名称及び住所並びに法人等の代表者の氏名（２） 第三者への提供を利用目的とすること。
（３） 第三者に提供される個人データの項目（４） 第三者に提供される個人データの取得の方法（５） 第三者への提供の方法（６） 本人の求めに応じて第三者への提供を停止すること。
（７） 本人の求めを受け付ける方法（８） 第三者に提供される個人データの更新の方法（９） 当該届出に係る個人データの第三者への提供を開始する予定日
46

２ 与信事業者は、前項に基づき、必要な事項を個人情報保護委員会に届け出たときは、その内容を自らもインターネットの利用その他の適切な方法により公表するものとする。
３ 与信事業者は、第１項及び第２項に基づきオプトアウトにより個人データの第三者提供を行っている場合であって、次の（１）から（３）までのいずれかに該当する場合は、その旨について、本人に通知し、又は本人が容易に知り得る状態に置くとともに、
個人情報保護委員会に届け出なければならない。なお、与信事業者は、本項に基づき、必要な事項を個人情報保護委員会に届け出たときは、その内容を自らも公表するものとする。
（１） 届出事項（第三者に提供される個人データの項目等）の変更があった場合（２） 届出事項（氏名又は名称、住所、法人等の代表者の氏名）の変更があった場合（３） 個人データの提供をやめた場合
４ 与信事業者は、与信事業において、個人の支払能力に関する情報を個人信用情報機関へ提供するに当たっては、第１項及び第２項の規定を適用しないこととし、前条に従い本人の同意を得ることとする。
（業務運用上の解釈）①要配慮個人情報をオプトアウトにより第三者に提供することや、オプトアウトにより提供を受けた個人データをオプトアウトにより再提供することはできず、第三者に提供するに当たっては、第１６条第６項各号、第１８条、第１９条、第２０条に該当する場合以外は、必ずあらかじめ本人の同意を得る必要があるので、注意を要する。また、不正取得された個人データを、オプトアウトにより第三者に提供することはできない。
②オプトアウトにより提供を受けた個人データのオプトアウトによる再提供の禁止
や、不正取得された個人データのオプトアウトによる提供の禁止については、当該個人データの全部又は一部を複製・加工したものについても適用があるため、注意を要する。
③【通知等をすべき項目の事例】（１） 第１項第２号における第三者への提供を利用目的とすること。
利用目的が具体的に分かる内容とすること。
「等」や「その他」等のあいまいな表
現の記入は望ましくない。
事例１）住宅地図帳、住宅地図データベース及び住宅地図関連商品（配信サービスを含む）を制作し、販売することで、個人データを第三者に提供すること。
（２） 第１項第３号における第三者に提供される個人データの項目
オプトアウトにより第三者に提供される個人データの項目を網羅的に示す必要が47

ある。提示されていない個人データの項目を、オプトアウトにより第三者に提供することはできないことに、注意を要する。
事例１）氏名、住所、電話番号、年齢
事例２）氏名、商品購入履歴（３） 第１項第４号における第三者に提供される個人データの取得の方法
事例１）新聞・雑誌・書籍・ウェブサイトの閲覧による取得
事例２）官公庁による公開情報からの取得（４） 第１項第５号における第三者への提供の方法
事例１）書籍（電子書籍を含む。）として出版
事例２）インターネットに掲載
事例３）プリントアウトして交付
事例４）各種通信手段による配信
事例５）その他外部記録媒体の形式での交付（５） 第１項第７号における本人の求めを受け付ける方法
事例１）郵送事例２）メール送信
事例３）ホームページ上の指定フォームへの入力
事例４）事業所の窓口での受付
事例５）電話（６） 第１項第８号における第三者に提供される個人データの更新の方法
第三者に提供される個人データをどのように更新しているかを記入する。
（７） 第１項第９号における当該届出に係る個人データの第三者への提供を開始す
る予定日
新規の届出の場合には、オプトアウトによる第三者提供を開始する予定日を記入する。変更届の場合には、変更届に基づいて第三者提供を開始する予定日を記入する。
④【オプトアウトによる第三者提供の事例】
事例）住宅地図業者（表札や郵便受けを調べて住宅地図を作成・販売）やデータベース事業者（ダイレクトメール用の名簿等を作成・販売）が、あらかじめ第１項第１号から第９号までに掲げる事項を自社のホームページに常時掲載し、本人からの停48

止の求めを受け付けられる状態にし、個人情報保護委員会に必要な届出を行った上で、販売等を行う場合⑤オプトアウトによる第三者提供を行う際は、第１項第１号から第９号までに掲げる事項をあらかじめ、第三者に提供される個人データによって識別される本人が当該提供の停止を求めるのに必要な期間をおかなければならないため、本人に通知し又は本人が容易に知り得る状態に置いた時点から、極めて短期間の後に、第三者提供を行ったような場合は、「本人が当該提供の停止を求めるのに必要な期間」をおいていないと判断され得る。具体的な期間については、業種、ビジネスの態様、通知又は容易に知り得る状態の態様、本人と与信事業者との近接性、本人から停止の求めを受け付ける体制、提供される個人データの性質などによっても異なり得るため、個別具体的に判断する必要がある。また、「本人に通知し、又は本人が容易に知り得る状態に置く」時期と、「個人情報保護委員会に届け出る」時期は、必ずしも同時である必要はないが、本人に通知し、又は本人が容易に知り得る状態に置いた
後、速やかに個人情報保護委員会に届け出ることが望ましい。
⑥第１項の「本人が容易に知り得る状態」とは、事業所の窓口等への書面の掲示・備付けやホームページへの掲載その他の継続的方法により、本人が知ろうとすれば、時間的にも、その手段においても、簡単に知ることができる状態をいい、事業の性質及び個人情報の取扱状況に応じ、本人が確実に認識できる適切かつ合理的な方法によらなければならない。
【本人が容易に知り得る状態に該当する事例】
事例１）本人が閲覧することが合理的に予測される与信事業者のホームページにおいて、本人が分かりやすい場所（例：ホームページのトップページから１回程度の操作で到達できる場所等）に法に定められた事項を分かりやすく継続的に掲載する場
合事例２）本人が来訪することが合理的に予測される事務所の窓口等への掲示、備付け等が継続的に行われている場合
事例３）本人に頒布されている定期刊行物への定期的掲載を行っている場合
事例４）電子商取引において、商品を紹介するホームページにリンク先を継続的に表示する場合⑦第４条第１項の規定により特定された当初の利用目的に、個人情報の第三者提供に関する事項が含まれていない場合は、第三者提供を行うと目的外利用となるため、
オプトアウトによる第三者提供を行うことはできない。

49

⑧第２項について、基本的には「インターネットの方法」による「公表」が望ましい
が、与信事業者の特性、本人との近接性などにより、当該方法以外の適切な方法による公表も可能である。
⑨第１項第７号の「本人の求めを受け付ける方法」には、本人が求めを行う連絡先（事業者名、窓口名、郵送先住所又は送信先メールアドレス等。当該与信事業者が外国に本拠地を置く場合においては国内代理人の氏名、連絡先等。）が含まれる。
⑩第３項第１号における届出事項（第三者に提供される個人データの項目、第三者に提供される個人データの取得の方法、第三者への提供の方法、第三者への提供を停止すべきとの本人の求めを受け付ける方法、個人データの更新の方法又は第三者への提供を開始する予定日）の変更があった場合は、変更する内容について、あらか
じめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
⑪第３項第２号における届出事項（氏名又は名称、住所、法人等の代表者の氏名）の変更があったとき、または、第３項第３号における個人データの提供をやめた場合
は、遅滞なく、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個
人情報保護委員会に届け出なければならない。
⑫オプトアウトに関する届出事項を変更及び個人データの提供をやめた場合の通知等に関する適切かつ合理的な方法は、例えば以下のとおりである。
（１） 変更する内容を、例えば新旧対照表等により、分かりやすく明示した書面により本人に通知すること。
（２） 本人が閲覧することが合理的に予測される与信事業者のホームページにおいて、本人が分かりやすい場所に変更する内容を、例えば新旧対照表等により、分かりやすく明示すること。
（第三者提供に該当しない場合①－委託）
第１８条

利用目的の達成に必要な範囲内において、与信事業者が個人データの取扱いに関する業務の全部又は一部を委託することに伴い、当該個人データが提供される場合は、当該提供先は第１６条における第三者に該当しない。この場合、当該提供先は、委託された業務の範囲内でのみ、本人との関係において提供主体である与信事業者と一体のものとして取り扱われることに合理性があるため、委託された業務以外に当該個人データを取り扱うことはできない。
（業務運用上の解釈）50

①【委託に該当する事例】
事例１）データの打ち込み等、情報処理を委託するために個人データを提供する場合
事例２）百貨店が注文を受けた商品の配送のために、宅配業者に個人データを提供する場合（第三者提供に該当しない場合②－事業承継）
第１９条 合併、分社化、事業譲渡等により与信事業者の事業が承継されることに伴い、当該事業に係る個人データが提供される場合は、当該提供先は第１６条における第三者に該当しない。
２ 与信事業者は、事業の承継後も、個人データが当該事業の承継により提供される前の利用目的の範囲内で利用しなければならない。
（業務運用上の解釈）①【事業承継に該当する事例】
事例１）合併、分社化により、新会社に個人データを提供する場合
事例２）事業譲渡により、譲渡先企業に個人データを提供する②事業の承継のための契約を締結するより前の交渉段階で、相手会社から自社の調査を受け、自社の個人データを相手会社へ提供する場合も、事業承継に該当し、あらかじめ本人の同意を得ることなく又は第三者提供におけるオプトアウト手続を行うことなく、個人データを提供することができるが、当該データの利用目的及び取扱方法、漏えい等が発生した場合の措置、事業承継の交渉が不調となった場合の措置等、相手会社に安全管理措置を遵守させるために必要な契約を締結しなければならない。
（第三者提供に該当しない場合③－共同利用）
第２０条

与信事業者は、特定の者との間で共同して利用される個人データを当該特定の者に提供する場合は、当該特定の者は第１６条における第三者に該当しない。この場合、与信事業者は、次の（１）から（５）までの情報をあらかじめ本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
（１） 共同利用をする旨（２） 共同して利用される個人データの項目（３） 共同して利用する者の範囲（４） 利用する者の利用目的（５）

当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
２ 与信事業者は、与信事業においては、前項に定める通知は原則として書面によることと51する。なお、与信事業においても、通知ではなく、本人が容易に知り得る状態に置くことで共同利用を行うことも可能である。
３ 与信事業者は、個人データを共同利用する場合において、「個人データの管理について責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名」に変更があったときは遅滞なく、当該変更後の内容について、「共同利用する者の利用目的」
又は「当該責任を有する者」を変更しようとするときは変更する前に、変更しようとする
内容について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
なお、「共同利用する者の利用目的」については、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内で変更することができる。
（業務運用上の解釈）①【共同利用に該当する事例】
事例１）グループ企業で総合的なサービスを提供するために取得時の利用目的（法第１７条第２項の規定に従い変更された利用目的を含む。以下同じ。）の範囲内で情報を共同利用する場合
事例２）親子兄弟会社の間で取得時の利用目的の範囲内で個人データを共同利用する場合
事例３）使用者と労働組合又は労働者の過半数を代表する者との間で取得時の利用目的の範囲内で従業者の個人データを共同利用する場合②「本人が容易に知り得る状態」については、第１７条の業務運用上の解釈⑥を参照のこと。
③「本人が通常予期し得る限度と客観的に認められる範囲」については、第４条の解釈を参照のこと。
④【個人データを共同利用する場合において、本人に通知し、又は本人が容易に知り得る状態に置かなければならない情報】（１） 共同利用をする旨（２） 共同して利用される個人データの項目
事例１）氏名、住所、電話番号、年齢
事例２）氏名、商品購入履歴（３） 共同して利用する者の範囲「共同利用の趣旨」は、本人から見て、当該個人データを提供する事業者と一体のものとして取り扱われることに合理性がある範囲で、当該個人データを共同して52

利用することである。したがって、共同利用者の範囲については、本人がどの事業者まで将来利用されるか判断できる程度に明確にする必要がある。なお、当該範囲が明確である限りにおいては、必ずしも事業者の名称等を個別に全て列挙する必要はないが、本人がどの事業者まで利用されるか判断できるようにしなければならない。
また、与信事業においては、「共同して利用する者の範囲」の通知等について、原則として個別企業名を列挙することとする。この点に関し、共同して利用する者の外延を示すことにより本人に通知等する場合には、本人が容易に理解できるよう共同して利用する者を具体的に特定しなければならない。
【与信事業において個人データを共同利用する場合において、共同して利用する者の外延の示し方の事例】
事例１）当社及び有価証券報告書等に記載されている、当社の子会社
事例２）当社及び有価証券報告書等に記載されている、当社の連結対象会社及び持分法適用会社（４） 利用する者の利用目的
共同して利用する個人データについて、その利用目的を全て、本人に通知し、又は本人が容易に知り得る状態に置いていなければならない。
また、「利用する者の利用目的」は、できる限り具体的に記載しなければならない（第４条を参考にして対応する。）。
なお、利用目的が個人データの項目によって異なる場合には、当該個人データの項目ごとに利用目的を区別して記載することが望ましい。
（５）

当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名「個人データの管理について責任を有する者」とは、開示等の請求及び苦情を受け付け、その処理に尽力するとともに、個人データの内容等について、開示、訂正、利用停止等の権限を有し、安全管理等個人データの管理について責任を有する者をいう。
ここでいう「責任を有する者」とは、共同して利用する全ての事業者の中で、第一次的に苦情の受付・処理、開示・訂正等を行う権限を有する者をいい、共同利用者のうち一事業者の内部の担当責任者をいうものではない。
また、個人データの管理について責任を有する者は、利用目的の達成に必要な範囲内において、共同利用者間で利用している個人データを正確かつ最新の内容に保つよう努めなければならない。
なお、共同利用の規定は、個人データの管理について責任を有する者以外の共同
53

利用を行う者における安全管理等の責任を免除する趣旨ではない。
⑤与信事業者が共同利用を実施する場合には、共同利用者における責任等を明確にし円滑に実施する観点から、④に定める情報のほか、例えば、次の（１）から（６）までの事項についても、あらかじめ取り決めておくことが望ましい。
（１）

共同利用者の要件（グループ会社であること、特定のキャンペーン事業の一員であること等、共同利用による事業遂行上の一定の枠組み）（２） 各共同利用者の個人情報取扱責任者、問合せ担当者及び連絡先（３） 共同利用する個人データの取扱いに関する事項
ア

個人データの漏えい等防止に関する事項

イ

目的外の加工、利用、複写、複製等の禁止

ウ

共同利用終了後のデータの返還、消去、廃棄に関する事項（４）

共同利用する個人データの取扱いに関する取決めが遵守されなかった場合の措置（５）

共同利用する個人データに関する事件・事故が発生した場合の報告・連絡に関する事項（６） 共同利用を終了する際の手続⑥与信事業者は、既に特定の事業者が取得している個人データを他の事業者と共同して利用する場合には、当該共同利用は、社会通念上、共同して利用する者の範囲や利用目的等が当該個人データの本人が通常予期しうると客観的に認められる範囲内である必要がある。その上で、当該個人データの内容や性質等に応じて共同利用の是非を判断し、既に取得している事業者が法に基づき特定した利用目的の範囲で共同して利用しなければならない。
⑦共同利用の対象となる個人データの提供については、必ずしも全ての共同利用者が双方向で行う必要はなく、一部の共同利用者に対し、一方向で行うこともできる。
⑧共同利用か委託かは、個人データの取扱いの形態によって判断されるものであって、共同利用者の範囲に委託先事業者が含まれる場合であっても、委託先との関係は、共同利用となるわけではなく、委託元は委託先の監督義務を免れるわけではない。
⑨「共同して利用される個人データの項目」及び「共同して利用する者の範囲」について変更することは、原則として認められないが、例えば次のような場合は、引き続
き共同利用を行うことができる。
事例１）共同利用を行う個人データの項目や事業者の変更につき、あらかじめ本人の54

同意を得た場合
事例２）共同利用を行う事業者の名称に変更があるが、共同して利用される個人デー
タの項目には変更がない場合
事例３）共同利用を行う事業者について事業の承継が行われた場合（共同利用する個
人データの項目等の変更がないことが前提）（外国にある第三者への提供の制限）
第２１条 与信事業者は、外国（本邦の域外にある国又は地域をいう。以下同じ。）にある
第三者に個人データを提供する場合には、次の各号のいずれかに該当するときを除き、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。
（１） 当該第三者が、我が国と同等の水準にあると認められる個人情報保護制度を有している国として法令で定める国にあるとき。
（２） 当該第三者が、個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制として以下のいずれかの基準に適合する体制を整備しているとき。
イ

与信事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第４章第２節の規定の趣旨に沿った措置の実施が確保されていること。
ロ

個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。
（３） 第１６条第６項各号に該当するとき。
２ 与信事業者は、前項の規定により本人の同意を得ようとする場合には、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法により、あらかじめ、次の各号に掲げる情報を当該本人に提供しなければならない。
（１） 当該外国の名称（２） 適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報（３） 当該第三者が講ずる個人情報の保護のための措置に関する情報
３ 与信事業者は、前項の規定にかかわらず、第１項の規定により本人の同意を取得しようとする時点において、前項第１号に定める提供先の第三者が所在する外国を特定できない場合には、当該外国の名称及び当該外国の個人情報の保護に関する制度に関する情報に代えて、次の各号に掲げる情報を本人に提供しなければならない。
（１） 特定できない旨及びその理由（２） 提供先の第三者が所在する外国の名称に代わる本人に参考となるべき情報
４ 与信事業者は、第２項の規定にかかわらず、第１項の規定により本人の同意を取得しようとする時点において、第２項第３号に定める提供先の外国にある第三者が講ず
55

る個人情報の保護のための措置に関する情報の提供ができない場合には、当該情報に代えて、当該情報を提供できない旨及びその理由について情報提供しなければならない。
５ 与信事業者は、与信事業において第１項の規定により本人の同意を得ようとする場
合には、原則として、書面によることとし、当該書面における記載を通じて、第２項の規定により情報提供が求められる事項に加えて、次の各号に掲げる事項を本人に認識させた上で同意を得ることとする。
（１） 個人データの提供先の第三者（２） 提供を受けた第三者における利用目的（３） 第三者に提供される個人データの項目
６ 与信事業者は、与信事業において前項の規定により本人の同意を得ようとする時点
において、前項第１号に定める個人データの提供先の第三者が特定できない場合には、当該個人データの提供先の第三者に代わる本人に参考となるべき情報を本人に認識させた上で同意を得ることとする。
７ 与信事業者は、個人データを外国にある第三者（第１項第２号に規定する体制を整備している者に限る。次項に同じ。）に提供した場合には、次の各号に定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講じなければならない。
（１） 当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及
ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること（２） 当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データの当該第三者への提供を停止すること
８ 与信事業者は、前項に基づき、個人データを外国にある第三者に提供した場合には、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法により、本人の求めに応じて次の各号に定めるところにより、当該必要な措置に関する情報を当該本人に、遅滞なく、提供しなければならない。ただし、情報提供することにより当該与信事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、その全部又は一部を提供しないことができる。
（１） 当該第三者による法第２８条第１項に規定する体制の整備の方法（２） 当該第三者が実施する相当措置の概要（３） 前項第１号の規定による確認の頻度及び方法（４） 当該外国の名称（５） 当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要
56

（６） 当該第三者による相当措置の実施に関する支障の有無及びその概要（７） 前号の支障に関して前項第２号の規定により当該与信事業者が講ずる措置の概要
９ 与信事業者は、前項の規定による本人の求めに係る情報の全部又は一部について情報提供しない旨の決定をしたときは、遅滞なく、その旨を本人に通知しなければならない。この場合、与信事業者は、本人に対し、情報提供をしない理由を説明するよう努めなければならない。
（業務運用上の解釈）①第１項第１号でいう個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国はEU及び英国が該当する。
ここでいうEUとは、平成３１年個人情報保護委員会告示第１号に定める国を指す（ただし、英国は含まない。
）。
※EU及び英国の指定は、日EU間で相互の円滑な個人データ移転を図るために、欧州委員会による日本への十分性認定（GDPR第４５条に基づき、欧州委員会が、国又は地域等を個人データについて十分な保護水準を確保していると認める決定をいう。
）に併せて行われた。
②第１項第１号の場合、当該第三者が所在する国は、第１項における「外国」に該当しない。また、第１項第２号の場合、当該第三者は、第１項における「第三者」に該当しない。したがって、これらの場合には、第１項の適用がないため、与信事業者は、
当該第三者への個人データの提供に際して、「外国にある第三者への個人データの提供を認める旨の本人の同意」を得る必要はない。ただし、当該第三者への個人デー
タの提供に当たっては、次の（ア）から（エ）のいずれかの方法による必要がある。
（ア） 本人の同意に基づき提供する方法（第１６条第１項）（イ） 第１６条第６項各号に掲げる場合により提供する方法（ウ） オプトアウトにより提供する方法（第１７条）（エ） 委託、事業承継又は共同利用に伴って提供する方法（第１８条、第１９条、
第２０条）③与信事業者が、外国にある事業者が外国に設置し、管理・運営するサーバに個人データを保存する場合であっても、当該サーバを運営する当該外国にある事業者が、当該サーバに保存された個人データを取り扱わないこととなっている場合には、外国にある第三者への提供に該当しない。ここでいう「当該サーバに保存された個人
データを取り扱わないこととなっている場合」とは、契約条項によって当該事業者がサーバに保存された個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等が考えられる。
57

④第１項第２号イでいう「適切かつ合理的な方法」は、個々の事例ごとに判断されるべきであるが、個人データの提供先である外国にある第三者が、我が国の個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずることを担保することができる方法である必要がある。例えば、次の事例が該当する。
事例１）外国にある事業者に個人データの取扱いを委託する場合
提供元及び提供先間の契約、確認書、覚書等
事例２）同一の企業グループ内で個人データを移転する場合
提供元及び提供先に共通して適用される内規、プライバシーポリシー等
上記の方法を採用する場合、「法第４章第２節の規定の趣旨に沿った措置」としてガイドライン等に記述する事項について、適切かつ合理的な方法に記述する方法によって担保されていなければならない。なお、個人情報取扱事業者は、契約等にガイドライン等に記述する全ての事項を規定しなければならないものではなく、「法第４章第２節の規定の趣旨」に鑑みて、実質的に適切かつ合理的な方法により、措置の実施が確保されていれば足りる。

⑤第２項及び第８項における本人に対する情報提供は、本人が確実に認識できると考えられる適切な方法で行わなければならない。なお、提供する情報は本人にとって分かりやすいものであることが重要である。
【適切な方法に該当する事例】
事例１）必要な情報を電子メールにより本人に送付する方法
事例２）必要な情報を記載した書面を本人に直接交付する方法
事例３）必要な情報を本人に口頭で説明する方法
事例４）必要な情報をホームページに掲載し、本人に閲覧させる方法⑥第２項第１号における「当該外国の名称」は、提供先の第三者が所在する外国の名称をいう。必ずしも正式名称を求めるものではないが、本人が自己の個人デー
タの移転先を合理的に認識できると考えられる名称でなければならない。また、提供先の第三者が所在する外国の名称が示されていれば足り、それに加えて、当該第三者が所在する州等の名称を示すことまでは求められない。もっとも、個人
データの越境移転に伴うリスクについて、本人の予測可能性を高めるという制度趣旨を踏まえると、例えば、州法が主要な規律となっている等、州法に関する情報提供が本人の予測可能性の向上に資する場合には、本人に対して、提供先の外国にある第三者が所在する州を示した上で、州単位での制度についても情報提供を行うことが望ましい。
58

⑦第２項第２号における「適切かつ合理的な方法」とは、「当該外国における個人情報の保護に関する制度に関する情報」を、一般的な注意力をもって適切かつ合理的な方法により確認したものでなければならない。
【適切かつ合理的な方法に該当する事例】
事例１）提供先の外国にある第三者に対して照会する方法
事例２）我が国又は外国の行政機関等が公表している情報を確認する方法⑧第２項第２号における「当該外国における個人情報の保護に関する制度に関する情報」は、個人データの越境移転に伴うリスクについて、本人の予測可能性を高めるという制度趣旨に鑑み、提供先の第三者が所在する外国における個人情報の保護に関する制度と我が国の法との間の本質的な差異を本人が合理的に認識できる情報でなければならず、具体的には、次の（ア）から（エ）までの観点を踏まえる必要がある。なお、ここでいう「当該外国における個人情報の保護に関する制度」は、当該外国における制度のうち、提供先の外国にある第三者に適用される制度に限られ、当該第三者に適用されない制度は含まれない。
（ア） 当該外国における個人情報の保護に関する制度の有無（イ）

当該外国の個人情報の保護に関する制度についての指標となり得る情

報の存在
（ウ）

OECD プライバシーガイドライン８原則に対応する事業者の義務又は本人の権利の不存在（エ） その他本人の権利利益に重大な影響を及ぼす可能性のある制度の存在⑨第２項第３号における「当該第三者が講ずる個人情報の保護のための措置に関する情報」は、個人データの越境移転に伴うリスクについて、本人の予測可能性を高めるという制度趣旨に鑑み、当該外国にある第三者が講ずる個人情報の保護のための措置と我が国の法により個人データの取扱いについて個人情報取扱事業者に求められる措置との間の本質的な差異を本人が合理的に認識できる情報でなければならない。
具体的には、当該外国にある第三者において、OECD プライバシーガイドライン８原則に対応する措置（本人の権利に基づく請求への対応に関する措置を含む。
）を講じていない場合には、当該講じていない措置の内容について、本人が合理的に認識できる情報が提供されなければならない。
なお、提供先の外国にある第三者が、OECD プライバシーガイドライン８原則に対応する措置を全て講じている場合には、その旨を本人に情報提供すれば足りる。
59

【提供先の第三者が講ずる個人情報の保護のための措置に関する情報の提供に該当する事例（提供先の第三者が利用目的の通知・公表を行っていない場合）】
事例）「提供先が、概ね個人データの取扱いについて我が国の個人情報取扱事業者に求められる措置と同水準の措置を講じているものの、取得した個人情報についての利用目的の通知・公表を行っていない」旨の情報提供を行うこと⑩第３項第１号における提供先の第三者が所在する外国が「特定できない旨及びその理由」について、与信事業者は、提供先の第三者が所在する外国を特定できない場合であっても、個人データの越境移転に伴うリスクに関する本人の予測可能性の向上という趣旨を踏まえ、提供先の第三者が所在する外国を特定できない旨及びその理由を情報提供しなければならない。なお、情報提供に際しては、どのような場面で外国にある第三者に個人データの提供を行うかについて、具体的に説明することが望ましい。
⑪与信事業においては、第３項第１号における提供先の第三者が所在する外国が「特定できない旨及びその理由」には、提供先が定まる前に本人同意を得る必要性を含む。また、例えば、第１項の規定により、本人の同意を得ようとする時点
において、移転先となる外国の候補が具体的に定まっており、当該候補となる外国の名称等、外国の名称に代わる本人に参考となるべき情報の提供が可能であるにもかかわらず、これを本人に情報提供しなかった場合は、第３項に基づく適法な情報提供とは認められない。したがって、この場合、与信事業者は、第２項から第６項までの規定により情報提供が求められる事項を本人に改めて提供した上で、外国にある第三者への個人データの提供を認める旨の本人の同意を得なければならないことに留意することとする。
⑫【第３項第２号における提供先の第三者が所在する外国を特定できない場合に該当する事例】
事例１）日本にある製薬会社が医薬品等の研究開発を行う場合において、被験者への説明及び同意取得を行う時点では、最終的にどの国の審査当局等に承認申請するかが未確定であり、当該被験者の個人データを移転する外国を特定できない場合
事例２）日本にある保険会社が保険引受リスクの分散等の観点から外国の再保険会社に再保険を行う場合において、日本にある保険会社による顧客からの保険引受及び同意取得の時点では、最終的にどの再保険会社に再保険を行うかが未確定であり、当該顧客の個人データを移転する外国を特定できない場合

60

⑬第３項第２号における「提供先の第三者が所在する外国の名称に代わる本人に参考となるべき情報」について、与信事業者は、提供先の第三者が所在する外国が特定できないとしても、提供先の第三者が所在する外国の名称に代わる本人に参考となるべき情報の提供が可能である場合には、当該情報についても本人に提供しなければならない。
「提供先の第三者が所在する外国の名称に代わる本人に参考となるべき情報」の該当性は、本人への情報提供が求められる制度趣旨を踏まえつつ、個別に判断する必要があるが、例えば、移転先の外国の範囲が具体的に定まっている場合における当該範囲に関する情報は、ここでいう「提供先の第三者が所在する外国の名称に代わる本人に参考となるべき情報」に該当する。
【提供先の第三者が所在する外国の名称に代わる本人に参考となるべき情報に該当する事例】
事例）本人の同意を得ようとする時点において、移転先となる外国の候補が具体的に定まっている場合における当該候補となる外国の名称⑭第３項において、事後的に提供先の第三者が所在する外国が特定できた場合には、本人の求めに応じて第２項第１号及び第２号に掲げる事項について情報提供を行うことが望ましい。また、与信事業においては、事後的に特定できた当該国の名称をインターネットのホームページに掲載を行うこと等により、公表し定期的に更新することが望ましい。
⑮第４項における情報提供に際しては、どのような場面で外国にある第三者に個
人データの提供を行うかについて、具体的に説明することが望ましい。また、事後的に当該第三者が講ずる個人情報の保護のための措置についての情報提供が可能となった場合には、本人の求めに応じて情報提供を行うことが望ましい。
【提供先の第三者が講ずる個人情報の保護のための措置に関する情報の提供ができない場合に該当する事例】
事例１）日本にある製薬会社が医薬品等の研究開発を行う場合において、被験者への説明及び同意取得を行う時点では、最終的にどの国の審査当局等に承認申請するかが未確定であり、当該被験者の個人データの提供先を特定できない場合
事例２）日本にある保険会社が保険引受リスクの分散等の観点から外国の再保険会社に再保険を行う場合において、日本にある保険会社による顧客からの保険引受及び同意取得の時点では、最終的にどの再保険会社に再保険を行うかが未確定であり、当該顧客の個人データの提供先を特定できない場合⑯与信事業者は、与信事業において、事後的に⑭及び⑮に掲げる事項の情報提供が61

可能になったときは、本人が情報提供の求めを行うことが可能である旨を第５項に定める同意を取得する際の書面における記載を通じて本人に認識させるとともに、第１１条に基づく「個人データの安全管理に関する事項を含んだ個人情
報保護に関する考え方や方針に関する宣言」（以下「個人情報保護宣言」という。）に記載の上公表することとする。ただし、本人から情報提供の求めがあった場合であっても、例えば、情報提供することにより与信事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合等は、同項各号に定める情報の全部又は一部について情報提供しないことができる。情報提供しない場合であっても、与信事業者は、本人に対し、遅滞なくその旨を通知するとともに、その理由を説明することとする（情報提供により与信事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合の具体例については、業務運用上の解釈㉖参照）。
⑰第５項において、与信事業者があらかじめ作成された同意書面を用いる場合には、文字の大きさ及び文章の表現を変えること等により、外国にある第三者への提供に関する条項が他の個人情報の取扱いに関する条項等と明確に区別され、本人に理解されることが望ましい。
⑱【第６項における個人データの提供先の第三者に代わる本人に参考となるべき情報の事例】
事例）提供先の第三者の範囲や属性に関する情報⑲第７項第１号における「定期的に確認」とは、年に１回程度又はそれ以上の頻度で確認することをいう。
⑳第７項第１号における相当措置の実施状況は、外国にある第三者に提供する個
人データの内容や規模に応じて、適切かつ合理的な方法により確認する必要があるが、例えば、個人データを取り扱う場所に赴く方法、書面により報告を受ける方法又はこれらに代わる合理的な方法（口頭による確認を含む。
）により確認することが考えられる。なお、与信事業においては、個人データを取り扱う場所に赴く方法又は書面により報告を受ける方法により確認を行うこととし、当該方法は、外国にある第三者に提供する個人データの規模及び性質並びに個人データの取扱状況等に起因するリスクに応じたものとする。
【相当措置の実施状況の確認に該当する事例】
事例１）外国にある事業者に個人データの取扱いを委託する場合において、提供元
及び提供先間の契約を締結することにより、当該提供先の基準適合体制を整備している場合は、当該契約の履行状況を確認すること62事例２）同一の企業グループ内で個人データを移転する場合において、提供元及び提供先に共通して適用されるプライバシーポリシーにより、当該提供先の基準適合体制を整備している場合は、当該プライバシーポリシーの履行状況を確認すること㉑第７項第１号における外国にある第三者による相当措置の実施に影響を及ぼす
おそれのある当該外国の制度の有無及び内容は、一般的な注意力をもって適切かつ合理的な方法により確認する必要があるが、例えば、当該第三者に対して照会する方法や、我が国又は外国の行政機関等が公表している情報を確認する方法が考えられる。
【相当措置の実施に影響を及ぼすおそれのある外国の制度に該当する事例】
事例１）事業者に対し政府の情報収集活動への広範な協力義務を課すことにより、事業者が保有する個人情報について政府による広範な情報収集が可能となる制度(※)
事例２）事業者が本人からの消去等の請求に対応できないおそれがある個人情報の国内保存義務に係る制度(※)与信事業者が保有する個人情報について政府による情報収集が可能となる制度に関して、相当措置の実施に影響を及ぼすおそれのある制度に該当するか否かを判断するに当たっては、例えば、OECD「民間部門が保有する個人データに対す
るガバメントアクセスに関する宣言」（２０２２年）を参照することが考えられる。
㉒【第７項第２号における支障発生時の必要かつ適切な措置に該当する事例】
事例）日本にある与信事業者が提供先である外国にある事業者との間で委託契約を締結することにより、当該提供先の基準適合体制を整備している場合で、当該提供先が当該委託契約上の義務の一部に違反して個人データを取り扱っている
場合に、これを是正するよう要請すること㉓【第７項第２号における相当措置の継続的な実施の確保が困難となった場合に該当する事例】
事例１）日本にある与信事業者が提供先である外国にある事業者との間で委託契約を締結することにより、当該提供先の基準適合体制を整備している場合で、当該提供先が当該委託契約上の義務の一部に違反して個人データを取り扱っている場合に、これを是正するよう要請したにもかかわらず、当該提供先が合理的な期間内にこれを是正しない場合
事例２）外国にある事業者において日本にある与信事業者から提供を受けた個人
63

データに係る重大な漏えい等が発生した後、同様の漏えい等の発生を防止するための必要かつ適切な再発防止策が講じられていない場合㉔与信事業において、第７項に基づき、個人データを外国にある第三者に提供した
場合は、本人の求めに応じて事後的に情報を提供する旨を第１１条に基づく「個人情報保護宣言」に記載の上公表することとする。
㉕与信事業において、第７項に基づき、個人データを外国にある第三者に提供した
場合は、提供先の第三者が所在する外国の名称をインターネットのホームペー
ジに掲載を行うこと等により、公表し定期的に更新することが望ましい。
㉖【第８項における情報提供することにより当該与信事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合に該当する事例】
事例）同一の本人から複雑な対応を要する同一内容について繰り返し情報提供の求めがあり、事実上問合せ窓口が占有されることによって他の問合せ対応業務が立ち行かなくなる等、業務上著しい支障を及ぼすおそれがある場合㉗【第８項における情報提供について】（１） 当該第三者による法第２８条第１項に規定する体制の整備の方法【基準適合体制を整備する方法についての情報提供に該当する事例】
日本にある与信事業者が外国にある事業者に個人データの取扱いを委託する
場合において、提供元及び提供先間の契約を締結することにより、当該提供先の基準適合体制を整備している場合
事例）「提供先との契約」である旨の情報提供を行うこと（２） 当該第三者が実施する相当措置の概要
提供すべき情報は、個々の事例ごとに判断されるべきであるが、当該外国にある第三者において、法第４章第２節の規定の趣旨に沿った措置がどのように確保されているかが分かるような情報を提供する必要がある。
なお、与信事業者が当該外国にある第三者との間で締結している契約等の全ての規定の概要についての情報提供を求めるものではない。
【相当措置の概要についての情報提供に該当する事例】
日本にある与信事業者が外国にある事業者に個人データの取扱いを委託する場合において、提供元及び提供先間の契約を締結することにより、当該提供先の基準適合体制を整備している場合
事例）「契約において、特定した利用目的の範囲内で個人データを取り扱う旨、不64

適正利用の禁止、必要かつ適切な安全管理措置を講ずる旨、従業者に対する必要
かつ適切な監督を行う旨、再委託の禁止、漏えい等が発生した場合には提供元が個人情報保護委員会への報告及び本人通知を行う旨、個人データの第三者提供の禁止等を定めている」旨の情報提供を行うこと（３） 第７項第１号の規定による確認の頻度及び方法
個人データの提供先である外国にある第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある制度の有無及びその内容の確認に関して、その方法及び頻度について情報提供しなければならない。
なお、外国にある第三者による相当措置の実施状況の確認の方法及び頻度と、当該相当措置の実施に影響を及ぼすおそれのある制度の有無及びその内容の確認の方法及び頻度が異なる場合には、それぞれについて情報提供する必要がある。
【確認の方法及び頻度についての情報提供に該当する事例】
事例）①外国にある第三者による相当措置の実施状況についての確認の方法及び頻度「毎年、書面による報告を受ける形で確認している」旨の情報提供を行
うこと②当該相当措置の実施に影響を及ぼすおそれのある制度の有無及びその内容の確認の方法及び頻度「毎年、我が国の行政機関等が公表している情報を確認している」旨の情報提供を行うこと（４） 当該外国の名称
業務運用上の解釈⑥を参照のこと。
（５）

当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要【相当措置の実施に影響を及ぼすおそれのある外国の制度の概要についての情報提供に該当する事例】
業務運用上の解釈㉑の事例に掲げる制度が存在する旨の情報提供を行うこと（６） 当該第三者による相当措置の実施に関する支障の有無及びその概要【相当措置の実施に関する支障の概要についての情報提供に該当する事例】
日本にある与信事業者が外国にある事業者に個人データの取扱いを委託する場合において、提供元及び提供先間の契約を締結することにより、当該提供先の基準
65

適合体制を整備しているものの、当該提供先が当該契約において特定された利用目的の範囲を超えて、当該個人データを取り扱っていた場合
事例）「提供先が契約において特定された利用目的の範囲を超えて個人データの取扱いを行っていた」旨の情報提供を行うこと（７）

第８項第６号の支障に関して第７項第２号の規定により当該与信事業者が講ずる措置の概要
個人データの提供先である外国にある第三者による相当措置の実施に支障が生じた場合において、当該支障の解消・改善のために提供元の与信事業者が講ずる措置の概要について情報提供しなければならない。
【相当措置の実施に関する支障に関して与信事業者が講ずる措置の概要についての情報提供に該当する事例】
日本にある与信事業者が外国にある事業者に個人データの取扱いを委託する場合において、提供元及び提供先間の契約を締結することにより、当該提供先の基準適合体制を整備しているものの、当該提供先が当該契約において特定された利用目的の範囲を超えて、当該個人データを取り扱っていた場合
事例１）「提供先が契約において特定された利用目的の範囲を超えて個人データの取扱いを行っていたため、速やかに当該取扱いを是正するように要請した」旨の情報提供を行うこと
事例２）「提供先が契約において特定された利用目的の範囲を超えて個人データの取扱いを行っていたため、速やかに当該取扱いを是正するように要請したものの、これが合理的期間内に是正されず、相当措置の継続的な実施の確保が困難であるため、〇年〇月〇日以降、個人データの提供を停止した上で、既に提供した個人データについて削除を求めている」旨の情報提供を行うこと（第三者提供に係る記録の作成等）
第２２条 与信事業者は、個人データを第三者（第３条第２項各号に掲げるものを除く。以下この条において同じ）に提供したときは、以下の表で定める事項に関する記録を都度作成しなければならない。ただし、当該個人データの提供が第１６条第６項各号又は第１８条から第２０条のいずれか（前条の規定による個人データの提供にあっては、第１６条第６項各号のいずれか）に該当する場合は、この限りでない。
（記録事項）
本人の同意による第三者提供

オプトアウトによる第三者提供

×○

第三者の氏名等○○

本人の氏名等

○

○

提供年月日
※

66

個人データの項
目
本人の同意を得
ている旨

○

○

○

×

※当該第三者の氏名又は名称及び住所並びに法人にあってはその代表者の氏名
２ 前項にかかわらず、与信事業者が一定の期間内に特定の事業者との間で継続的に又は反復して個人データを授受する場合は、個々の授受に係る記録を作成する代わりに、一括して記録を作成することができる。
３ 第１項にかかわらず、与信事業者が、本人に対する物品又は役務の提供に係る契約を締結し、かかる契約の履行に伴って、契約の締結の相手方を本人とする個人データを当該与信事業者から第三者に提供する場合は、当該提供の際に作成した契約書その他の書面をもって個人データの流通を追跡することが可能であることから、当該契約書その他の書面をもって記録とすることができる。
４ 与信事業者は、前項までに基づき作成した記録を、以下の各号の規定に基づく期間、保存しなければならない。
（１） 第３項に規定する方法により記録を作成した場合
最後に当該記録に係る個人データの提供を行った日から起算して１年を経過する日までの間（２） 第２項に規定する方法により記録を作成した場合
最後に当該記録に係る個人データの提供を行った日から起算して３年を経過する
日までの間（３） 前二号以外の場合
３年（業務運用上の解釈）①以下の事例においては、第３項に基づき、提供に関して作成された契約書その他の書面（本人との契約書や申込書、加盟店又は提携先との契約書、その他与信事業者
が内部で作成した帳票や記録簿等）をもって記録とすることができる。
事例１）クレジット取引に関連し、本人の個人データを加盟店、金融機関（以下「加盟店等」という。
）へ第三者提供する場合
事例２）与信事業者があらかじめ利用目的を明らかにした上で、本人から同意を取得して、提携先（与信事業者と提携してクレジットカードを発行している事業者、加盟店等）に対して本人の個人データを提供し、提携先が販売促進等のために利用する場合②次の（１）及び（２）に該当する場合は、確認・記録義務は適用されない。
67

（１） 本人による提供
事業者が運営する SNS 等に本人が入力した内容が、自動的に個人データとして不特定多数の第三者が取得できる状態に置かれている場合は、実質的に「本人による提供」をしているものである。
したがって、与信事業者が SNS 等を通じて本人に係る個人データを取得したときでも、SNS 等の運営事業者及び取得した与信事業者の双方において、確認・記録義務は適用されない。
【本人による提供に該当する事例】
事例）SNS上で、投稿者のプロフィール、投稿内容等を取得する場合（２） 本人に代わって提供
与信事業者が本人からの委託等に基づき当該本人の個人データを第三者提供する
場合は、当該与信事業者は「本人に代わって」個人データの提供をしているものである。
したがって、この場合の第三者提供については、提供者・受領者のいずれに対しても確認・記録義務は適用されない。
与信事業者が本人からの委託等に基づいて個人データを提供しているものと評価し得るか否かは、主に、委託等の内容、提供の客体である個人データの内容、提供するとき及び提供先の与信事業者等の要素を総合的に考慮して、本人が当該提供を具体的に特定できているか否かの観点から判断することになる。
【本人に代わって個人データを提供している事例】
事例１）本人から、別の者の口座への振込依頼を受けた仕向銀行が、振込先の口座を有する被仕向銀行に対して、当該振込依頼に係る情報を提供する場合
事例２）事業者のオペレーターが、顧客から販売商品の修理依頼の連絡を受けたた
め、提携先の修理業者につなぐこととなり、当該顧客の同意を得た上で当該顧客に代わって、当該顧客の氏名、連絡先等を当該修理業者に伝える場合
事例３）事業者が、取引先から、製品サービス購入希望者の紹介を求められたため、顧客の中から希望者を募り、購入希望者リストを事業者に提供する場合
事例４）本人がアクセスするサイトの運営業者が、本人認証の目的で、既に当該本人を認証している他のサイトの運営業者のうち当該本人が選択した者との間で、インターネットを経由して、当該本人に係る情報を授受する場合
事例５）保険会社が事故車の修理手配をする際に、本人が選択した提携修理工場に当該本人に係る情報を提供する場合
事例６）取引先・契約者から、専門業者・弁護士等の紹介を求められ、専門業者・弁護士等のリストから紹介を行う場合
事例７）事業者が、顧客から電話で契約内容の照会を受けたため、社内の担当者の氏
68

名、連絡先等を当該顧客に案内する場合
事例８）本人から、取引の媒介を委託された事業者が、相手先の候補となる他の事業者に、価格の妥当性等の検討に必要な範囲の情報を提供する場合③以下の事例については、第１６条第６項第２号に該当し、確認・記録義務は適用されない。
事例）債務者の安否不明などにより、債務者本人の代理人又は家族等が債務の支払いを申し出た際に、債務者の情報を代理人又は家族等に提供する場合④【「本人の同意による第三者提供をする場合」において「本人の同意を得ている旨」の記録に該当する事例】
事例１）本人から同意を取得する際の書面の雛形を世代管理（過去の書面全てを管理）して保管した上で、顧客の情報を管理するシステムに記録されている本人との契約
締結日、申込日等を基に本人同意の書面を特定している場合（本人の同意が記載されているクレジット契約書又はクレジットカード申込書原本又は写しの表面をスキャンデータ等で保管しており、裏面の雛形を世代管理して保管するケースを含む。
）
事例２）個人情報を取得する際に、全件、契約書や電磁的記録にて第三者提供を行う
旨の本人の同意を取得することにより、本人の同意を得た場合のみ第三者提供が実施されることとなっている場合（これを 1 つの「システム設定」として同意の存在を示す証跡があるものとする。
）⑤代行により記録を作成する方法
提供者・受領者のいずれも記録の作成方法・保存期間は同一であることに鑑みて、提供者（又は受領者）は受領者（又は提供者）の記録義務の全部又は一部を代替して行うことができる（提供者と受領者の記録事項の相違については留意する必要がある。）。なお、この場合であっても、提供者及び受領者は自己の義務が免責されるわけではないことから、実質的に自らが記録作成義務を果たしているものと同等の体制を構築しなければならない。
（第三者提供を受ける際の確認及び記録の作成等）
第２３条 与信事業者は、第三者（第３条第２項各号に掲げるものを除く。以下この条において同じ。
）から個人データの提供を受けるに際しては、以下の各号に定める方法により、確認を行わなければならない。ただし、当該個人データの提供が第１６条第６項各号又は第１８条から第２０条のいずれかに該当する場合は、この限りでない。
（１） 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の69

氏名
個人データを提供する第三者から申告を受ける方法その他の適切な方法（２） 当該第三者による当該個人データの取得の経緯
個人データを提供する第三者から当該第三者による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法
２ 前項の第三者は、与信事業者が同項の規定による確認を行う場合において、当該与信事業者に対して、当該確認に係る事項を偽ってはならない。
３ 与信事業者は、第１項の規定による確認を行ったときは、以下の表で定める事項に関する記録を都度作成しなければならない。ただし、当該個人データの提供が第１６条第６項各号又は第１８条から第２０条のいずれか（前条の規定による個人データの提供にあっては、第１６条第６項各号のいずれか）に該当する場合は、この限りでない。
（記録事項）
本人の同意による

オプトアウトによる私人などから提供を提供を受けた場合提供を受けた場合

受けた場合

×

○

×

×

○

×

第三者の氏名等※

○

○

○

取得の経緯

○

○

○

本人の氏名等

○

○

○

○

○

○

○

×

×

個人情報保護委員会による公表
提供を受けた年
月日

個人データの項
目
本人の同意を得ている旨※当該第三者の氏名又は名称及び住所並びに法人にあってはその代表者の氏名
４ 前項にかかわらず、与信事業者が一定の期間内に特定の事業者との間で継続的に又は反復して個人データを授受する場合は、個々の授受に係る記録を作成する代わりに、一括して記録を作成することができる。
５ 第３項にかかわらず、与信事業者が、本人に対する物品又は役務の提供に係る契約を締結し、かかる契約の履行に伴って、契約の締結の相手方を本人とする個人データについて他の事業者から提供を受ける場合は、当該提供の際に作成した契約書その他の書面をもって個人データの流通を追跡することが可能であることから、当該契約書その他の書面をもって記録とすることができる。
６ 与信事業者は、前項までに基づき作成した記録を、以下の各号の規定に基づく期間、70

保存しなければならない。
（１） 第５項に規定する方法により記録を作成した場合
最後に当該記録に係る個人データの提供を受けた日から起算して１年を経過する日までの間（２） 第４項に規定する方法により記録を作成した場合
最後に当該記録に係る個人データの提供を受けた日から起算して３年を経過する
日までの間（３） 前二号以外の場合
３年（業務運用上の解釈）①以下の事例においては、第５項に基づき、提供に関して作成された契約書その他の書面（本人との契約書や申込書、加盟店又は提携先との契約書、その他与信事業者
が内部で作成した帳票や記録簿等）をもって記録とすることができる。
事例）クレジット取引に関連し、本人の個人データの第三者提供を加盟店等から受けた場合②第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名の確認【第１項第１号の第三者から申告を受ける方法に該当する事例】
事例１）口頭で申告を受ける方法
事例２）所定の申込書等に記載をさせた上で、当該申込書等の提出を受け入れる方法
事例３）本人確認書類の写しの送付を受け入れる方法【第１項第１号のその他の適切な方法に該当する事例】
事例１）登記されている事項を確認する方法（受領者が自ら登記事項証明書・登記情報提供サービスで当該第三者の名称・住所・代表者の氏名を確認する方法）
事例２）法人番号（行政手続における特定の個人を識別するための番号の利用等に関する法律（平成２５年法律第２７号）第２条第１５項に規定する法人番号をいう。）の提示を受けて、当該法人の名称、住所を確認する方法
事例３）当該第三者が自社のホームページなどで名称、住所、代表者の氏名を公開している場合において、その内容を確認する方法
事例４）信頼性のおける民間のデータ業者のデータベースを確認する方法
事例５）上場会社等の有価証券報告書等を確認する方法③取得経緯の確認【第１項第２号の適切な方法に該当する事例】
事例１）提供者が別の者から個人データを買い取っている場合には売買契約書などを確認する方法71事例２）提供者が本人から書面等で当該個人データを直接取得している場合に当該書面等を確認する方法
事例３）提供者による取得の経緯が明示的又は黙示的に示されている、提供者と受領者間の契約書面を確認する方法
事例４）提供者が本人の同意を得ていることを誓約する書面を受け入れる方法
事例５）提供者のホームページで公表されている利用目的、規約等の中に、取得の経緯が記載されている場合において、その記載内容を確認する方法
事例６）本人による同意書面を確認する方法④受領者は、個人情報取扱事業者から個人データの提供を受ける際には、当該個人情報取扱事業者の法の遵守状況（例えば、利用目的、開示手続、問合せ・苦情の受付窓
口の公表など）についても確認することが望ましい。
⑤代行により記録を作成する方法
提供者・受領者のいずれも記録の作成方法・保存期間は同一であることに鑑みて、提供者（又は受領者）は受領者（又は提供者）の記録義務の全部又は一部を代替して行うことができる（提供者と受領者の記録事項の相違については留意する必要がある。）。なお、この場合であっても、提供者及び受領者は自己の義務が免責されるわけではないことから、実質的に自らが記録作成義務を果たしているものと同等の体制を構築しなければならない。
（個人関連情報の第三者提供の制限等）
第２４条 与信事業者である個人関連情報取扱事業者（以下この条において「個人関連情報取扱事業者」という。
）は、第三者が個人関連情報（個人関連情報データベース等を構成するものに限る。以下同じ。
）を個人データとして取得することが想定されるときは、第１６条第６項各号に掲げる場合を除くほか、次に掲げる事項について、あらかじめ確認することをしないで、当該個人関連情報を当該第三者に提供してはならない。
（１）

当該第三者が個人関連情報取扱事業者から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていること。
（２） 外国にある第三者への提供にあっては、前号の本人の同意を得ようとする場合において、あらかじめ、以下の各号に掲げる情報が当該本人に提供されていること。
ただし、第２１条第１項第１号及び第２号に該当する場合は確認する必要はない。
イ

当該外国の名称ロ

適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報
72

ハ

当該第三者が講ずる個人情報の保護のための措置に関する情報

２ 前項に掲げる事項の確認を行う方法は、以下の方法とする。
（１） 前項第１号に掲げる事項の確認を行う方法
個人関連情報の提供を受ける第三者から申告を受ける方法その他の適切な方法（２） 前項第２号に掲げる事項の確認を行う方法
同号の規定による情報の提供が行われていることを示す書面の提示を受ける方法
その他の適切な方法（３） 前２号の規定にかかわらず、第三者に個人関連情報の提供を行うに際して既に前２号に規定する方法による確認（当該確認について次条に規定する方法による記録の作成及び保存をしている場合におけるものに限る。
）を行っている事項の確認を行う方法
当該事項の内容と当該提供に係る前項各号に掲げる事項の内容が同一であることの確認を行う方法
３ 個人関連情報取扱事業者は、第１項第２号において、個人関連情報を外国にある第三者（第２１第１項２号に規定する体制を整備している者に限る。）に提供した場合には、第２１条第７項に定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講じなければならない。
４

第１項における第三者は、個人関連情報取扱事業者が同項の規定による確認を行う場
合において、当該個人関連情報取扱事業者に対して、当該確認に係る事項を偽ってはならない。

５ 個人関連情報取扱事業者は、第１項の規定による確認を行ったときは、以下に定める事項に関する記録を、個人関連情報を第三者（第３条第２項各号に掲げるものを除く。以下
この条において同じ。
）に提供した都度、速やかに作成しなければならない。なお、個人関連情報を提供する前に記録を作成することもできる。
（１）

第１項第１号の本人の同意が得られていることを確認した旨及び外国にある第三者への提供にあっては、同項第２号の規定による情報の提供が行われていることを確認した旨（２） 個人関連情報を提供した年月日（第６項により記録を一括して作成する場合にあっては、当該提供の期間の初日及び末日）（３） 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名（４） 当該個人関連情報の項目（例：ウェブサイトの閲覧履歴、商品購入履歴、年齢、性別）（記録事項）
個人関連情報の第三（参考）本人の同意（参考）オプトアウ

による第三者提供

トによる第三者提

の場合

供の場合

者提供の場合73

提供年月日第三者の氏名等
本人の氏名等

〇

×

〇

○

○

○

×

○

○

○

○

○

○※

〇

×

個人データ（個人関連情報）の項目
本人の同意を得ている旨※外国にある第三者提供にあっては、第１項第２号の規定による情報提供についても記録する。
６

前項にかかわらず、個人関連情報取扱事業者が一定の期間内に特定の事業者に対して継続的に又は反復して個人関連情報を提供する場合は、個々の提供に係る記録を作成する代わりに、一括して記録を作成することができる。

７ 第５項にかかわらず、個人関連情報取扱事業者が、本人に対する物品又は役務の提供に係る契約を締結し、かかる契約の履行に伴って、当該本人に係る個人関連情報を当該個人
関連情報取扱事業者から第三者に提供する場合は、当該契約書その他の書面をもって記録とすることができる。仮に、施行規則第２７条第３項の要件を満たさない書面も、記録事項が記載されていれば記録として認められるが、保存期間の違いに留意する必要がある。
８ 個人関連情報取扱事業者は、第１項の記録を、以下の各号の規定に基づく期間、保存しなければならない。
（１） 第７項により記録を作成した場合
最後に当該記録に係る個人関連情報の提供を行った日から起算して１年を経過する日までの間（２） 第６項により記録を作成した場合
最後に当該記録に係る個人関連情報の提供を行った日から起算して３年を経過する日までの間（３） 前二号以外の場合
３年（業務運用上の解釈）①第１項は、個人関連情報取扱事業者による個人関連情報の第三者提供一般に適用されるものではなく、提供先の第三者が個人関連情報を「個人データとして取得することが想定されるとき」に適用されるものである。そのため、個人関連情報の提供を行う個人関連情報取扱事業者は、提供先の第三者との間で、提供を行う個人関連情報の74

項目や、提供先の第三者における個人関連情報の取扱い等を踏まえた上で、それに基づいて本条第１項の適用の有無を判断する。
②第１項における「個人データとして取得する」とは、提供先の第三者において、個人
データに個人関連情報を付加する等、個人データとして利用しようとする場合をいう。提供先の第三者が、提供を受けた個人関連情報を、ID 等を介して提供先が保有する他の個人データに付加する場合には、「個人データとして取得する」場合に該当する。提供先の第三者が、提供を受けた個人関連情報を直接個人データに紐付けて利用しない場合は、別途、提供先の第三者が保有する個人データとの容易照合性が排除しきれないとしても、ここでいう「個人データとして取得する」場合には直ちに該当しない。
③第１項における「想定される」とは、提供元の個人関連情報取扱事業者において、提供先の第三者が「個人データとして取得する」ことを現に想定している場合、又は一般人の認識を基準として「個人データとして取得する」ことを通常想定できる場合をいう。ここでいう「一般人の認識」とは、同種の事業を営む事業者の一般的な判断力・理解力を前提とする認識をいう。
（１） 「個人データとして取得する」ことを現に想定している場合
提供元の個人関連情報取扱事業者が、提供先の第三者において個人データとして取得することを現に認識している場合をいう。
【現に想定している場合に該当する例】
事例１）提供元の個人関連情報取扱事業者が、顧客情報等の個人データを保有する提供先の第三者に対し、ID 等を用いることで個人関連情報を個人データと紐付けて取得することが可能であることを説明している場合
事例２）提供元の個人関連情報取扱事業者が、提供先の第三者から、個人関連情報を受領した後に個人データと紐付けて取得することを告げられている場合（２） 「個人データとして取得する」ことを通常想定できる場合
提供元の個人関連情報取扱事業者において現に想定していない場合であっても、提供先の第三者との取引状況等の客観的事情に照らし、一般人の認識を基準に通常想定できる場合には、「想定される」に該当する。
【通常想定できる場合に該当する例】
事例）個人関連情報を提供する際、提供先の第三者において当該個人関連情報を氏名等と紐付けて利用することを念頭に、そのために用いる ID 等も併せて提供する場
合75

④提供元の個人関連情報取扱事業者及び提供先の第三者間の契約等において、提供先の第三者において、提供を受けた個人関連情報を個人データとして利用しない旨が定められている場合には、通常、「個人データとして取得する」ことが想定されず、
法第３１条は適用されない。この場合、提供元の個人関連情報取扱事業者は、提供先の第三者における個人関連情報の取扱いの確認まで行わなくとも、通常、「個人デー
タとして取得する」ことが想定されない。もっとも、提供先の第三者が実際には個人関連情報を個人データとして利用することが窺われる事情がある場合には、当該事情に応じ、別途、提供先の第三者における個人関連情報の取扱いも確認した上で「個人データとして取得する」ことが想定されるかどうか判断する必要がある。
⑤第１項第１号の「本人の同意」とは、個人関連情報取扱事業者が第三者に個人関連情報を提供し、当該第三者が当該個人関連情報を個人データとして取得することを承諾する旨の当該本人の意思表示をいう。同号の同意の取得に当たっては、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示した上で、本人の同意の意思が明確に確認できることが必要である。
また、本人の同意は、必ずしも第三者提供のたびに取得しなければならないものではなく、本人が予測できる範囲において、包括的に同意を取得することも可能である。
⑥第１項第１号の「本人の同意」を取得する主体は、本人と接点を持ち、情報を利用する主体となる提供先の第三者であるが、同等の本人の権利利益の保護が図られることを前提に、同意取得を提供元の個人関連情報取扱事業者が代行することも認められる。
提供先の第三者による同意取得の場合であっても、提供元の個人関連情報取扱事業者による同意取得の代行の場合であっても、個人関連情報の提供を受けて個人データとして取得する主体、対象となる個人関連情報の項目、個人関連情報の提供を受けて個人データとして取得した後の利用目的等について、本人が認識できるようにする必要がある。
（１） 提供先の第三者による同意取得の場合
提供先の第三者が、個人関連情報の提供を受けて個人データとして取得する主体として、本人に対して、対象となる個人関連情報を特定できるように示した上で同意を取得しなければならない。
個人関連情報を個人データとして取得した後の利用目的については、提供先の第三者において法第２１条により通知又は公表を行う必要があるが、提供先において同意を取得する際には同時に当該利用目的についても本人に示すことが望ましい。

76

（２） 提供元の個人関連情報取扱事業者による同意取得の代行の場合
提供元の個人関連情報取扱事業者が同意取得を代行する場合、本人は利用の主体を認識できないことから、提供元の個人関連情報取扱事業者において、個人関連情報の提供を受けて個人データとして取得する提供先の第三者を個別に明示し、また、対象となる個人関連情報を特定できるように示さなければならない。
提供先の第三者が個人関連情報を個人データとして取得した後の利用目的については、提供先の第三者において法第２１条により通知又は公表を行わなければならない。
また、提供元の個人関連情報取扱事業者が同意取得を代行する場合であっても、提供先の第三者が同意取得の主体であることに変わりはないことから、提供先の第三者は提供元の個人関連情報取扱事業者に適切に同意取得させなければならない。
与信事業者は、（１）、（２）の場合、与信事業において本人の同意を得る際には、原則として、書面によることとし、当該書面における記載を通じて、対象となる個人関連情報の項目及び個人関連情報を個人データとして取得した後の利用目的を本人に認識させた上で同意を得ることとする。
なお、与信事業者は、個人関連情報の提供を受けて個人データとして取得した場合には、法第２１条に従い、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならないとされていることに留意する。
⑦同意取得の方法としては、様々な方法があるが、例えば、本人から同意する旨を示した書面や電子メールを受領する方法、確認欄へのチェックを求める方法がある。ウェ
ブサイト上で同意を取得する場合は、単にウェブサイト上に本人に示すべき事項を記載するのみでは足りず、それらの事項を示した上でウェブサイト上のボタンのク
リックを求める方法等によらなければならない。
また、同意取得に際しては、本人に必要な情報を分かりやすく示すことが重要であり、例えば、図を用いるなどして工夫することが考えられる。
⑧第２項第１号について、本人から同意を得る主体は、原則として提供先の第三者となり、個人関連情報取扱事業者は、当該第三者から申告を受ける方法その他の適切な方法によって本人同意が得られていることを確認することになる。提供先の第三者から申告を受ける場合、個人関連情報取扱事業者は、その申告内容を一般的な注意力をもって確認すれば足りる。
提供先の第三者において、複数の本人から同一の方式で同意を取得している場合、提供元はそれぞれの本人から同意が取得されていることを確認する必要があるが、77

同意取得の方法については、本人ごとに個別の申告を受ける必要はなく、複数の本人
からどのように同意を取得したか申告を受け、それによって確認を行えば足りる。
なお、提供先の第三者から提供元の個人関連情報取扱事業者に対する申告に際し、提供先の第三者が法第３１条第１項第１号の同意を取得済みの ID 等を提供する行為
は、個人データの第三者提供に該当する場合があるが、法第３１条第１項の確認行為において必要となる情報のみを提供する場合は、法令に基づく場合（法第２７条第１項第１号）に該当する。
また、提供元の個人関連情報取扱事業者において、同意取得を代行する場合、当該同意を自ら確認する方法も「その他の適切な方法」による確認に該当する。
【第三者から申告を受ける方法に該当する事例】
事例１）提供先の第三者から口頭で申告を受ける方法
事例２）提供先の第三者が本人の同意を得ていることを誓約する書面を受け入れる
方法【その他の適切な方法に該当する事例】
事例１）提供先の第三者が取得した本人の同意を示す書面等を確認する方法
事例２） 提供元の個人関連情報取扱事業者において同意取得を代行して、当該同意を自ら確認する方法⑨第２項第２号について、第２１条第１項第１号及び第２号に該当する場合は確認す
る必要はないが、以下の措置を講じなければならない。
（１）

当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること（与信事業において当該第三者による相当措置の実施状況を定期的に確認する際には、個人データの内容や規模等に応じて個人データを取り扱う場所に赴く方法
又は書面により報告を受ける方法によることとする。）（２） 当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、
個人関連情報の当該第三者への提供を停止すること⑩第２項第２号について、本人から同意を得る主体は、原則として提供先の第三者となり、個人関連情報取扱事業者は、書面の提示を受ける方法その他の適切な方法によって必要な情報の提供が行われていることを確認しなければならない。
【書面の提示を受ける方法に該当する事例】
事例１）提供先の第三者が本人に対して法第３１条第１項第２号の規定による情報の78

提供を行う際に使用している書面の提示を受ける方法
事例２）提供先の第三者が本人に対してホームページ上で法第３１条第１項第２号の規定による情報の提供を行っている場合において、当該ホームページの写しの提示を受ける方法事例３）提供先の第三者が本人に対して法第３１条第１項第２号の規定による情報の提供を行っていることを誓約する書面を受け入れる方法【その他の適切な方法に該当する事例】
事例１）提供先の第三者が本人に対してホームページ上で法第３１条第１項第２号の規定による情報の提供を行っている場合において、当該ホームページの記載内容を確認する方法事例２）提供元の個人関連情報取扱事業者において同意取得を代行している場合において、同意取得に当たって必要な情報が提供されていることを自ら確認する方法⑪第２項第３号について、複数回にわたって同一「本人」の個人関連情報を提供する場
合において、同一の内容である事項を重複して確認する合理性はないため、既に第２項第１号及び第２号に規定する方法により確認を行い、本条に規定する方法により作成し、かつ、その時点において保存している記録に記録された事項と内容が同一であるものについては、当該事項の確認を省略することができる。
例えば、個人関連情報取扱事業者が、同じ提供先に対して、既に確認・記録義務を履行した本人に係る個人関連情報であることを認識しながら、個人関連情報の提供を行う場合は「同一であることの確認」が行われているものである。
⑫提供先の第三者は提供元の個人関連情報取扱事業者の記録義務の全部又は一部を代替して行うことができる。なお、この場合であっても、提供元の個人関連情報取扱事
業者は自己の義務が免責されるわけではないことから、実質的に自らが記録作成義務を果たしているものと同等の体制を構築しなければならない。
（個人関連情報の第三者提供を受ける際の確認及び記録の作成等）
第２５条

与信事業者は、第三者から個人関連情報の提供を受けて個人データとして取得するに際しては、当該第三者（提供元の個人関連情報取扱事業者）の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名を確認しなければならない。
２ 与信事業者は、偽りその他不正の手段により、個人関連情報を個人データとして取得してはならない。
３

与信事業者は、第１項の規定により個人関連情報の提供を受けて個人データとして取得した場合は以下に定める事項に関する項目を記録しなければならない。
（１）

前条第１項第１号の本人の同意が得られている旨及び外国にある個人情報取扱
79

事業者にあっては、同条同項第２号の規定による情報の提供が行われている旨（２）

提供元の個人関連情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名（３）

当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項（例：本人ごとに番号・ID などを付して個人データの管理をしている
場合において、当該番号・ID などにより本人を特定できるときの当該番号・ID）（４） 当該個人関連情報の項目（記録事項）
個人関連情報（参考）本人（参考）オプの同意による

トアウトによ第三者提供のる第三者提供

場合

の場合

×

×

〇

×

×

×

〇

×

第三者の氏名等

○

○

○

〇

取得の経緯

×

○

○

〇

本人の氏名等

×

○

○

○

○

○

○

○

○※

〇

×

×

の提供を受けて個人データとして取得した場合
個人情報保護委員会による公表提供を受けた年月日

個人データ（個人関連情報）の項目
本人の同意を得ている旨（参考）私人などからの第三者提供（※）個人関連情報の第三者提供について、外国にある第三者への提供にあっては、前条第１項第２号の規定による情報の提供についても記録する。
４ 前項にかかわらず、与信事業者は、一定の期間内に特定の事業者から継続的に又は反復して個人関連情報を提供する場合は、個々の提供に係る記録を作成する代わりに、一括して記録を作成することができる。
５ 第３項にかかわらず、与信事業者が、本人に対する物品又は役務の提供に係る契約を締結し、かかる契約の履行に伴って、当該本人に係る個人関連情報の提供を受けて個人デー
タとして取得する場合は、当該契約書その他の書面をもって記録とすることができる。仮に、施行規則第２３条第３項の要件を満たさない書面も、記録事項が記載されていれば記録として認められるが、保存期間の違いに留意する必要がある。
６ 与信事業者は、第３項の記録を、以下の各号の規定に基づく期間、保存しなければなら80

ない。
（１） 第５項により記録を作成した場合
最後に当該記録に係る個人関連情報の提供を行った日から起算して１年を経過する日までの間（２） 第４項により記録を作成した場合
最後に当該記録に係る個人関連情報の提供を行った日から起算して３年を経過する日までの間（３） 前二号以外の場合３年（保有個人データに関する事項の公表等）
第２６条 与信事業者は、保有個人データについて、次の（１）から（５）までの情報を本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。以下同じ。）に置
かなければならない。
（１） 与信事業者の氏名又は名称及び住所（外国に所在する場合は、当該外国（本邦の域外にある国又は地域）の名称を含む）並びに法人にあっては、その代表者の氏名（２） 全ての保有個人データの利用目的（ただし、第９条第５項第１号から第３号までに該当する場合を除く。
）（３） 保有個人データの利用目的の通知の求め又は開示等の請求に応じる手続及び保有個人データの利用目的の通知の求め又は開示等の請求に係る手数料の額（定めた場合に限る。
）（４） 保有個人データの安全管理のために講じた措置（ただし、本人の知り得る状態に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるもの
を除く。
）(※)
(※)当該安全管理のために講じた措置には、与信事業者が取得し、又は取得しようとしている個人情報であって、当該与信事業者が保有個人データとして取り扱うことを予定しているものの漏えい等を防止するために講じた措置も含まれる。
（５） 保有個人データの取扱いに関する苦情の申出先
２ 与信事業者は、次の（１）及び（２）の場合を除いて、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、遅滞なく、本人に通知しなければならない。なお、通知しない旨を決定したときは、本人に対し、遅滞なく、その旨を通知しなければならない。
（１） 前項の措置により、本人が識別される保有個人データの利用目的が明らかである
場合（２） 第９条第５項第１号から第３号までに該当する場合（業務運用上の解釈）
81

①第１項の「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）」とは、ホームページへの掲載、パンフレットの配布、本人の求めに応じて遅滞なく回答を行うこと等、本人が知ろうとすれば、知ることができる状態に置くことをいい、常にその時点での正確な内容を本人の知り得る状態に置かなければならない。必ずしもホームページへの掲載、又は事務所等の窓口等へ掲示すること等が継続的に行われることまでを必要とするものではないが、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。なお、普段から問合せ対応が多い与信事業者において、ホームページへ継続的に掲載する方法は、「本人が容易に知り得る状態」及び「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」の両者の趣旨に合致する方法である。
【本人の知り得る状態に該当する事例】
事例１）問合せ窓口を設け、問合せがあれば、口頭又は文書で回答できるよう体制を構築しておく場合
事例２）店舗にパンフレットを備え置く場合
事例３）電子商取引において、商品を紹介するホームページに問合せ先のメールアド
レスを表示する場合②利用目的に第三者提供が含まれる場合は、その旨も明らかにしなければならない。
③第１項第３号の「開示等の請求」とは、保有個人データの開示、保有個人データの内容の訂正、追加若しくは削除、保有個人データの利用の停止若しくは消去又は保有個人データの第三者への提供の停止、第三者提供記録の開示の請求をいう。
④開示の請求に係る手数料の額を定める場合は、実費を勘案して合理的であると認められる範囲内において、定めなければならない。
⑤第１項第４号により本人の知り得る状態に置く必要があるのは保有個人データの安全管理のために講じた措置であるが、これに代えて、第１１条に則り、個人データの安全管理のために講じている措置について本人の知り得る状態に置くことは妨げられない。
⑥第１項第４号に定める事項を本人の知り得る状態に置くに当たっては、同項各号に定める事項と同様に、本人の求めに応じて遅滞なく回答する場合を含むため、講じた措置の概要や一部をホームページに掲載し、残りを本人の求めに応じて遅滞なく回答を行うといった対応も可能であるが、例えば、「個人情報の保護に関する法律に82

ついてのガイドライン（通則編）」に沿って安全管理措置を実施しているといった内容の掲載や回答のみでは適切ではない。
（開示）第２７条 与信事業者は、本人から、当該本人が識別される保有個人データ及び第三者提供記録の開示（存在しないときにはその旨を知らせることを含む。
）の請求を受けたときは、本人に対し、電磁的記録の提供による方法、書面の交付による方法その他当該与信事業者の定める方法のうち本人が請求した方法（当該方法による開示に多額の費用を要する場
合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示すること
により次の（１）から（３）までのいずれかに該当する場合には、この限りでない。
（１） 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（２） 与信事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合（３） 他の法令に違反することとなる場合
２

前項ただし書に基づき与信事業者が保有個人データの全部又は一部を開示しない旨の決定をしたとき又は請求に係る保有個人データが存在しないときは、遅滞なく、その旨を本人に通知しなければならない。また、本人が請求した方法による開示が困難であるときは、その旨を本人に通知した上で、書面の交付による方法により開示を行わなければならない。

３ 第１項及び第２項の規定は、法第２９条第１項及び法第３０条第３項の記録（以下「第三者提供記録」という。
）について準用する。ただし、次の（１）から（４）までのいず
れかに該当するものを除く。また、明文又は解釈により法第２９条第１項及び法第３０条
第３項の規定が適用されない場合において、これらの規定に基づくことなく作成された
記録は第三者提供記録に含まれない。
（１） 当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの（２） 当該記録の存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの（３） 当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの（４） 当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の
公共の安全と秩序の維持に支障が及ぶおそれがあるもの（業務運用上の解釈）①電磁的記録の提供による方法については、与信事業者がファイル形式や記録媒体などの具体的な方法を定めることができるが、開示請求等で得た保有個人データ又は83

第三者提供記録の利用等における本人の利便性向上の観点から、可読性・検索性のある形式による提供や、技術的に可能な場合には、他の事業者へ移行可能な形式による提供を含め、できる限り本人の要望に沿った形で対応することが望ましい。な
お、与信事業者は、与信事業において保有個人データを開示するに当たっては、その具体的な開示方法に応じて、漏えい等の防止の観点も踏まえて、適切な措置を講ずることとする。例えば，電磁的記録の提供による方法によって保有個人データを開示する場合には、当該電磁的記録にパスワードを付す等の措置を講ずることとする。
【電磁的記録の提供による方法の事例】
事例１）電磁的記録を CD-ROM 等の媒体に保存して、当該媒体を郵送する方法
事例２）電磁的記録を電子メールに添付して送信する方法
事例３）会員専用サイト等のウェブサイト上で電磁的記録をダウンロードしてもらう方法②【その他与信事業者の定める方法の事例】
事例１）与信事業者が指定した場所における音声データの視聴
事例２）与信事業者が指定した場所における文書の閲覧③【当該方法による開示が困難である場合の事例】
事例１）本人が電磁的記録の提供による開示を請求した場合であって、与信事業者が当該開示請求に応じるために、大規模なシステム改修を行わなければならないような場合
事例２）本人が電磁的記録の提供による開示を請求した場合であって、書面で個人情報や帳簿等の管理を行っている小規模事業者が、電磁的記録の提供に対応することが困難な場合④本人が請求する方法による開示が困難な場合に、直ちに書面の交付による開示を行うのではなく、与信事業者が対応できる方法への変更を求めることが望ましい。また、開示の請求に際して提出すべき書面の様式において、与信事業者が対応できる
方法や媒体等をあらかじめ示しておくといった対応も考えられる。
⑤開示の請求を行った者から開示の方法について特に指定がなく、与信事業者が提示した方法に対して異議を述べなかった場合は、当該与信事業者が提示した方法で開示することができる。
⑥消費者等、本人の権利利益保護の観点からは、事業活動の特性、規模及び実態を考84慮して、個人情報の取得方法（取得源の種類等）を、可能な限り具体的に明記し、本人からの求めに一層対応していくことが望ましい。
⑦与信事業者が保有個人データ又は第三者提供記録の全部又は一部を開示しない旨の決定をした場合、本人から、個人情報の開示を求める訴訟が別途提起される可能性があることには留意が必要である。そのため、与信事業者としては、開示の請求についての方法等を定めるだけではなく、訴訟提起が行われた際の体制を整備するな
ど、訴訟提起の可能性を考慮した検討をあらかじめ行っておくことが望ましい。な
お、かかる留意点については、以下の訂正等、利用停止等においても、同様に留意す
ることとする。
⑧【第１項第１号の「本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合」の事例】
事例）医療機関等において、病名等を患者に開示することにより、患者本人の心身状
況を悪化させるおそれがある場合⑨【第１項第２号の「与信事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合」の事例】
事例１）同一の本人から複雑な対応を要する同一内容について繰り返し開示の請求があり、事実上問合せ窓口が占有されることによって他の問合せ対応業務が立ち行かなくなる等、業務上著しい支障を及ぼすおそれがある場合
事例２）電磁的記録の提供にふさわしい音声・動画ファイル等のデータを、あえて書面で請求することにより、業務上著しい支障を及ぼすおそれがある場合
事例３）与信判断（与信可否、増枠・減枠等の判断）に関する所見、意見等の開示を請求された場合事例４）取引方針の判断（取引継続、中止、更新停止等の判断）に関する所見、意見等の開示を請求された場合
事例５）クレジット契約後に、何らかの事情によって契約者になりすましの疑いがあり、かつ、契約者とする者から開示請求を受けた場合
なお、「著しい支障を及ぼすおそれ」に該当する場合とは、与信事業者の業務の実施に単なる支障ではなく、より重い支障を及ぼすおそれが存在するような例外的なときに限定され、単に開示すべき個人データの量が多いという理由のみでは、一般には、これに該当しない。
⑩【第１項第３号の「他の法令に違反することとなる場合」の事例】
85事例）刑法（明治４０年法律第４５号）第１３４条（秘密漏示罪）や電気通信事業法（昭和５９年法律第８６号）第４条（通信の秘密の保護）に違反することとなる場
合⑪与信事業者が第三者提供記録を本人に開示するに当たっては、法において記録事項とされている事項を本人が求める方法により開示すれば足り、それ以外の事項を開示する必要はない。例えば、契約書の代替手段による方法で記録を作成した場合には、当該契約書中、記録事項となっている事項を抽出した上で、本人が求める方法により開示すれば足り、契約書そのものを開示する必要はない。
⑫【第３項第１号の「当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの」の事例】
事例）犯罪被害者支援や児童虐待防止を目的とする団体が、加害者を本人とする個人データの提供を受けた場合に作成された記録⑬【第３項第２号の「当該記録の存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの」の事例】
事例）暴力団等の反社会的勢力による不当要求の被害等を防止するために、暴力団等の反社会的勢力に該当する人物を本人とする個人データの提供を受けた場合に作成された記録⑭【第３項第３号の「当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しく
は国際機関との交渉上不利益を被るおそれがあるもの」の事例】
事例）要人の警備のために、要人を本人とする行動記録等に関する個人データの提供を受けた場合に作成された記録⑮【第３項第４号の「当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの」の事例】
事例）警察の犯罪捜査の協力のために、事前に取得していた同意に基づき、犯罪者を本人とする個人データの提供を行った場合に作成された記録⑯【第３項において準用する第１項１号の「本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合」の事例】
事例１）第三者提供記録に個人データの項目として本人が難病であることを示す内容が記載されている場合において、当該第三者提供記録を開示することにより、患者
86

本人の心身状況を悪化させるおそれがある場合
事例２）企業の与信判断等に用いられる企業情報の一部として代表者の氏名等が提供
され、第三者提供記録が作成された場合において、当該第三者提供記録を開示することにより、提供を受けた第三者が与信判断、出資の検討、提携先・取引先の選定等を行っていることを含む秘密情報が漏えいするおそれがある場合⑰【第３項において準用する第１項第２号の「与信事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合」の事例】
事例）同一の本人から複雑な対応を要する同一内容について繰り返し開示の請求があり、事実上問合せ窓口が占有されることによって他の問合せ対応業務が立ち行かな
くなる等、業務上著しい支障を及ぼすおそれがある場合⑱【第３項において準用する第１項第３号の「他の法令に違反することとなる場合」の事例】
事例）刑法（明治４０年法律第４５号）第１３４条（秘密漏示罪）に違反することとな
る場合
（訂正等）
第２８条 与信事業者は、本人から、当該本人が識別される保有個人データに誤りがあり、事実でないという理由によって、内容の訂正、追加又は削除（以下「訂正等」という。）の請求を受けた場合は、利用目的の達成に必要な範囲で遅滞なく必要な調査を行い、その結果に基づき、原則として、訂正等を行わなければならない。
２

与信事業者は、前項の規定に基づき請求に係る保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。
）を本人に通知しなければならない。
（業務運用上の解釈）①「削除」とは、不要な情報を除くことをいう。
②利用目的からみて訂正等が必要ではない場合、保有個人データが誤りである旨の指摘が正しくない場合には、訂正等を行う必要はない。

（利用停止等）第２９条 与信事業者は、次の各号のいずれかに該当する場合、保有個人データの利用の停止若しくは消去（以下「利用停止等」という。）又は第三者提供の停止を行わなければな
らない。
87

（１）

法第１８条の規定に違反して本人の同意なく目的外利用がされている若しくは法第１９条の規定に違反して不適正な利用が行われている、又は法第２０条の規定に違反して偽りその他不正の手段により個人情報が取得され若しくは本人の同意なく要配慮個人情報が取得されたものであるという理由によって、利用停止等の請求を受けた場合であって、その請求に理由があることが判明したとき（２）

法第２７条第１項又は法第２８条の規定に違反して本人の同意なく第三者に提供されているという理由によって、当該保有個人データの第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したとき（３） 次のイからハまでのいずれかに該当する場合
イ

当該与信事業者が利用する必要がなくなったという理由によって、当該保有個人データの利用停止等又は第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したとき
ロ

当該本人が識別される保有個人データに係る法第２６条第１項本文に規定する事態が生じたという理由によって、当該保有個人データの利用停止等又は第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明した
とき
ハ

当該本人の権利又は正当な利益が害されるおそれがあるという理由によって、当該保有個人データの利用停止等又は第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したとき
２ 与信事業者は、前項第１号に該当する場合、違反を是正するために必要な限度で、前項第３号に該当する場合、本人の権利利益の侵害を防止するために必要な限度で、利用停止
等又は第三者提供の停止を行うことができる。
３

第１項のいずれかに該当する場合であっても、利用停止等又は第三者提供の停止を行うことが困難である場合は、本人の権利利益を保護するために必要な代替措置を講ずることによる対応が認められる。

４ 与信事業者は、前三項により、利用停止等を行ったとき若しくは利用停止等を行わない
旨の決定をしたとき、又は、第三者提供の停止を行ったとき若しくは第三者提供を停止しない旨の決定をしたときは、遅滞なく、その旨を本人に通知しなければならない。なお、
消費者等、本人の権利利益保護の観点からは、事業活動の特性、規模及び実態を考慮して、保有個人データについて本人から求めがあった場合には、自主的に利用停止等又は第三者提供の停止に応じる等、本人からの求めにより一層対応していくことが望ましい。
（業務運用上の解釈）①「消去」とは、保有個人データを保有個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む。

88

②法違反である旨の指摘が正しくない場合は、利用停止等若しくは、第三者提供を停止する必要はない。
③第１項３号イにおける「当該与信事業者が利用する必要がなくなった」とは、法第２２条と同様に、当該保有個人データについて利用する必要がなくなったとき、す
なわち、利用目的が達成され当該目的との関係では当該保有個人データを保有する
合理的な理由が存在しなくなった場合や利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等をいう。なお、請求の対象となっている保有個人データにつき、複数の利用目的がある場合、全ての利用目的との関係
で「利用する必要がなくなった」かどうかを判断する必要がある。
④【第１項３号イにおける「利用する必要がなくなったとして利用停止等又は第三者提供の停止が認められる」事例】
事例１）ダイレクトメールを送付するために与信事業者が保有していた情報について、
当該与信事業者がダイレクトメールの送付を停止した後、本人が消去を請求した場
合事例２）電話勧誘のために与信事業者が保有していた情報について、当該与信事業者
が電話勧誘を停止した後、本人が消去を請求した場合
事例３）キャンペーンの懸賞品送付のために与信事業者が保有していた当該キャンペーンの応募者の情報について、懸賞品の発送が終わり、不着対応等のための合理的な期間が経過した後に、本人が利用停止等を請求した場合
事例４）採用応募者のうち、採用に至らなかった応募者の情報について、再応募への対応等のための合理的な期間が経過した後に、本人が利用停止等を請求した場合⑤第１項３号ハにおける「本人の権利又は正当な利益が害されるおそれがある場合」とは、法目的に照らして保護に値する正当な利益が存在し、それが侵害されるおそれがある場合をいう。
「正当」かどうかは、相手方である与信事業者との関係で決まるものであり、与信事業者に本人の権利利益の保護の必要性を上回る特別な事情がない限りは、与信事業者は請求に応じる必要がある。本人の権利利益の保護の必要性を上回る特別な事情があるかどうかを判断するに当たっては、例えば、以下のよ
うな事情を考慮することになる。
（ア）

本人又は第三者の生命、身体、財産その他の権利利益を保護するために当該保有個人データを取り扱う事情（イ） 法令を遵守するために当該保有個人データを取り扱う事情（ウ） 契約に係る義務を履行するために当該保有個人データを取り扱う事情（エ） 違法又は不当な行為を防止するために当該保有個人データを取り扱う事情
89

（オ） 法的主張、権利行使又は防御のために当該保有個人データを取り扱う事情
なお、（ウ）に関連して、本人との契約が継続している場合（当該取引が金銭の支払いを受ける債権であって、償却処理、譲渡した債権である場合や債務者が破産した場合など）において、契約に係る義務を履行するため、又は契約に係る権利を行使するために必要な情報の利用停止等の請求を受けた場合、通常、本人の権利利益の保護の必要性を上回る特別な事情があると考えられる。
⑥第１項３号ハにおける「おそれ」は、一般人の認識を基準として、客観的に判断する。
⑦【第１項３号ハにおける本人の権利又は正当な利益が害されるおそれがあるとして利用停止等又は第三者提供の停止が認められると考えられる事例】
事例１）ダイレクトメールの送付を受けた本人が、送付の停止を求める意思を表示したにもかかわらず、与信事業者がダイレクトメールを繰り返し送付していることから、本人が利用停止等を請求する場合
事例２）電話勧誘を受けた本人が、電話勧誘の停止を求める意思を表示したにもかかわらず、与信事業者が本人に対する電話勧誘を繰り返し行っていることから、本人が利用停止等を請求する場合
事例３）与信事業者が、安全管理措置を十分に講じておらず、本人を識別する保有個人データが漏えい等するおそれがあることから、本人が利用停止等を請求する場合
事例４）与信事業者が、法第２７条第１項に違反して第三者提供を行っており、本人を識別する保有個人データについても本人の同意なく提供されるおそれがあることから、本人が利用停止等を請求する場合
事例５）与信事業者が、退職した従業員の情報を現在も自社の従業員であるようにホームページ等に掲載し、これによって本人に不利益が生じていることから、本人が利用停止等を請求する場合⑧【第１項３号ハにおける本人の権利又は正当な利益が害されるおそれがないとして利用停止等又は第三者提供の停止が認められないと考えられる事例】
事例１）クレジット利用者が、クレジット支払代金の支払いを免れるため、与信事業者に対して課金に必要な情報の利用停止等を請求する場合
事例２）インターネット上で匿名の投稿を行った者が、発信者情報開示請求による発信者の特定やその後の損害賠償請求を免れるため、プロバイダに対してその保有する接続認証ログ等の利用停止等を請求する場合
事例３）クレジットカード会員規約に違反したことを理由として当該カードの強制退90

会処分を受けた者が、再度当該与信事業者のサービスを利用するため、当該与信事業者に対して強制退会処分を受けたことを含む当該本人のカード会員情報の利用停止等を請求する場合
事例４）過去の信用情報に基づくクレジット契約の審査により新たなクレジット契約を締結することが困難になった者が、新規のクレジット契約を締結するため、当該信用情報を保有している与信事業者に対して現に審査に必要な信用情報の利用停止
等又は第三者提供の停止を請求する場合⑨【第１項第３号における本人からの請求に対し、本人の権利利益の侵害を防止するために必要な限度での対応として考えられる事例】
事例１）本人から保有個人データの全てについて、利用停止等が請求された場合に、一部の保有個人データの利用停止等によって、生じている本人の権利利益の侵害のおそれを防止できるものとして、一部の保有個人データに限定して対応を行う場合
事例２）法第２７条第１項に違反して第三者提供が行われているとして保有個人デー
タの消去を請求された場合に、利用停止等又は第三者提供の停止による対応によって、生じている本人の権利利益の侵害のおそれを防止できるものとして、利用停止
等又は第三者提供の停止による対応を行う場合⑩第３項における「利用停止等又は第三者提供の停止を行うことが困難である場合」
については、利用停止等又は第三者提供の停止に多額の費用を要する場合のほか、与信事業者が正当な事業活動において保有個人データを必要とする場合についても該当し得る。代替措置については、事案に応じて様々であるが、生じている本人の権利利益の侵害のおそれに対応するものであり、本人の権利利益の保護に資するものである必要がある。
⑪【第３項における本人の権利利益を保護するため必要なこれに代わるべき措置として考えられる事例】
事例１）既に市販されている名簿の刷り直し及び回収作業に多額の費用を要するとして、名簿の増刷時の訂正を約束する場合や必要に応じて金銭の支払いをする場合
事例２）個人情報保護委員会への報告の対象となる重大な漏えい等が発生した場合において、当該本人との契約が存続しているため、利用停止等が困難であるとして、以後漏えい等の事態が生じることがないよう、必要かつ適切な再発防止策を講じる
場合
事例３）他の法令の規定により保存が義務付けられている保有個人データを直ちに消去する代わりに、当該法令の規定による保存期間の終了後に消去することを約束する場合
91

（理由の説明）
第３０条 与信事業者は、保有個人データの利用目的の通知の求め、保有個人データの開示、訂正等、利用停止等若しくは第三者提供の停止に関する請求、又は第三者提供記録の開示に関する請求（以下「開示等の請求等」という。）に係る措置の全部又は一部について、その措置をとらない旨又はその措置と異なる措置をとる旨を本人に通知する場合は、併せて、本人に対して、その理由を説明するように努めなければならない。
（開示等の請求等に応じる手続）
第３１条 与信事業者は、開示等の請求等において、これを受け付ける方法として次の（１）から（４）までの事項を定めることができる。
（１） 開示等の請求等の申出先（２） 開示等の請求等に際して提出すべき書面の様式、その他の開示等の請求等の受付
方法（３） 開示等の請求等をする者が本人又はその代理人（①未成年者又は成年被後見人の法定代理人、②開示等の請求等をすることにつき本人が委任した代理人）であることの確認の方法（４） 保有個人データの利用目的の通知又は保有個人データの開示をする際に徴収する手数料の徴収方法
２

与信事業者は、与信事業に関して開示等の請求等をする者が本人又は代理人であることの確認の方法を定めるに当たっては、十分かつ適切な確認手続とすることとする。なお、代理人による開示等の請求等に対して、与信事業者が本人にのみ直接開示等することは妨げられない。
（業務運用上の解釈）①開示等の請求等に応じる手続を定めるに当たっては、当該手続が、事業の性質、保有個人データの取扱状況、開示等の請求等の受付方法等に応じて適切なものになるよう配慮するとともに、必要以上に煩雑な書類を書かせたり、請求等を受け付ける窓口を他の業務を行う拠点とは別にいたずらに不便な場所に限定したりする等、本人に過重な負担を課するものとならないよう配慮しなければならない。なお、与信事業者は、本人に対し、開示等の請求に関し、その対象となる保有個人データを特定するに足りる事項の提示を求めることができるが、これは、本人に対し、開示を請求する保有個人データの範囲を一部に限定する義務を課すものではなく、また、
与信事業者に対し、本人が開示を請求する範囲を限定させる権利を認めるものでもない。
②開示等の請求等を受け付ける方法を定めない場合には、自由な申請を認めることと92

なるので注意が必要である。
③確認の方法は、事業の性質、保有個人データの取扱状況、開示等の請求等の受付方
法等に応じて、適切なものでなければならず、本人確認のために与信事業者が保有している個人データに比して必要以上に多くの情報を求めないようにするなど、本人に過重な負担を課するものとならないよう配慮しなくてはならない。
事例１）本人の場合：運転免許証、健康保険の被保険者証、個人番号カード（マイナンバーカード）表面、旅券（パスポート）、在留カード、特別永住者証明書、年金手帳、印鑑登録証明書と実印
事例２）代理人の場合：本人及び代理人について、運転免許証、健康保険の被保険者証、個人番号カード（マイナンバーカード）表面、旅券（パスポート）、在留カード、特別永住者証明書、年金手帳等。このほか、代理人については、代理を示す旨の委任状（親権者が未成年者の法定代理人であることを示す場合は、本人及び代理人が共に記載され、その続柄が示された戸籍謄本（抄本）、住民票の写し）（手数料）
第３２条 与信事業者は、保有個人データの利用目的の通知を求められ、又は保有個人デー
タの開示の請求若しくは第三者提供記録の開示の請求を受けたときは、当該措置の実施に関し、手数料の額を定め、これを徴収することができる。
２ 与信事業者は、手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。

（苦情の処理）第３３条

与信事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
２ 与信事業者は、苦情の適切かつ迅速な処理を行うに当たり、苦情処理窓口の設置や苦情処理の手順を定める等必要な体制の整備に努めなければならない。
（業務運用上の解釈）①消費者等本人との信頼関係を構築し事業活動に対する社会の信頼を確保するためには、「個人情報保護を推進する上での考え方や方針（いわゆる、プライバシーポリシ
ー、プライバシーステートメント等）」を策定し、それをホームページへの掲載又は店舗の見やすい場所への掲示等により公表し、あらかじめ、対外的に分かりやすく説明することや、委託の有無、委託する事務の内容を明らかにする等、委託処理の透明化を進めることも重要である。

93

（仮名加工情報の取扱い）
第３４条 与信事業者による仮名加工情報の取扱いについては、法令を遵守し、協会が別途取扱手順等を定めた場合には当該取扱手順等に従って取り扱うこととする。
（匿名加工情報の取扱い）
第３５条 与信事業者による匿名加工情報の取扱いについては、法令を遵守し、協会が別途取扱手順等を定めた場合には当該取扱手順等に従って取り扱うこととする。
（外国にある第三者から提供を受ける個人データの取扱い）
第３６条 与信事業者は、外国にある第三者から個人データの提供を受ける場合、その取扱いについて法令等において定められている場合は、当該定めに従って取り扱うこととする。
（業務運用上の解釈）①EU域内から十分性認定に基づき提供を受けた個人データ（以下「EU個人データ」という。
）に関する「個人情報の保護に関する法律に係るEU域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール」（以下「補完的ルール」という。
）は、外国にある第三者から個人データの提供を受ける場合に規定された法令等に該当する。
②与信事業者は、EU個人データを取り扱う場合は、補完的ルールに基づき、以下の事項
について対応することとする。
（１） EU個人データに、GDPRにおいて特別な種類の個人データと定義されている性生
活、性的指向又は労働組合に関する情報が含まれる場合には、第３条第１０項の要配慮個人情報と同様に取り扱うこと。
（２） EU個人データについては、第３条第１３項に規定する消去することとしている
期間にかかわらず、保有個人データとして取り扱うこと。
（３） EU個人データの提供を受ける場合、第２３条の規定に基づき、EU域内から当該個人データの提供を受ける際に特定された利用目的を含め、その取得の経緯を確認し、記録すること。
同様に、EU個人データの提供を受けた他の個人情報取扱事業者から、当該個人データの提供を受ける場合、第２３条の規定に基づき、当該個人データの提供を受ける際に特定された利用目的を含め、その取得の経緯を確認し、記録すること。
上記のいずれの場合においても、第２３条の規定に基づき確認し、記録した当該個人データを当初又はその後提供を受ける際に特定された利用目的の範囲内
で利用目的を特定し、その範囲内で当該個人データを利用すること（法第１７条
第１項、法第１８条第１項）。
94

（４） EU個人データを外国にある第三者へ提供するに当たっては、第２１条に従い、次のアからウまでのいずれかに該当する場合を除き、本人が同意に係る判断を行うために必要な移転先の状況についての情報を提供した上で、あらかじめ外国にある第三者への個人データの提供を認める旨の本人の同意を得ることとする。
ア

当該第三者が、個人の権利利益の保護に関して、我が国と同等の水準にあると認められる個人情報保護制度を有している国として法令で定める国にある場合

イ

個人情報取扱事業者と個人データの提供を受ける第三者との間で、当該第三者による個人データの取扱いについて、適切かつ合理的な方法（契約、その他の形式の拘束力のある取決め又は企業グループにおける拘束力のある取扱い）により、補完的ルールを含め法と同等水準の個人情報の保護に関する措置を連携して実施している場合ウ第１６条第６項各号に該当する場合（５） EU個人データについては、与信事業者が、加工方法等情報（匿名加工情報の作成に用いた個人情報から削除した記述等及び個人識別符号並びに法第４３条第1項の規定により行った加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。）をいう。）を削除することにより、匿名化された個人を再識別することを何人にとっても不可能とした場合に限り、第３条
第１８項に定める匿名加工情報とみなすこと。
（改廃）第３７条 本指針の改廃は、理事会の決議を経て行う。
平成２１年７月 1 日施行
平成２１年１１月２６日一部改正
平成２３年４月１日一部改正
平成２５年４月１日一部改正
平成２９年５月３０日一部改正
平成３１年１月２３日一部改正
令和４年４月１日一部改正
令和５年４月１日一部改正
令和６年４月１日一部改正

95