個 人 情 報 保 護 指 針
全国銀行個人情報保護協議会

目次
Ⅰ．総則 ......................................................................................................... 1
１．目的 ............................................................................................................... 1
２．定義 ............................................................................................................... 2（１）個人情報 ..................................................................................................... 2（２）個人識別符号 .............................................................................................. 3（３）個人番号 ..................................................................................................... 5（４）特定個人情報 .............................................................................................. 5（５）要配慮個人情報 .......................................................................................... 5（６）機微（センシティブ）情報 ........................................................................ 6（７）個人情報データベース等 ............................................................................ 7（８）個人情報取扱事業者 ................................................................................... 8（９）特定個人情報ファイル................................................................................ 8（10）個人データ ................................................................................................. 8（11）保有個人データ .......................................................................................... 8（12）本人 ............................................................................................................ 9（13）個人番号利用事務....................................................................................... 9（14）個人番号関係事務..................................................................................... 10（15）個人番号関係事務実施者 .......................................................................... 10（16）個人関連情報 ............................................................................................ 10（17）個人関連情報取扱事業者 .......................................................................... 10（18）仮名加工情報 ............................................................................................ 10（19）仮名加工情報取扱事業者 .......................................................................... 10（20）匿名加工情報 ............................................................................................ 10（21）匿名加工情報取扱事業者 .......................................................................... 11（22）本人に通知 ............................................................................................... 12（23）公表 .......................................................................................................... 12（24）本人の同意 ............................................................................................... 12（25）提供 .......................................................................................................... 13

Ⅱ．取得および利用 ...................................................................................... 14
１．利用目的の特定 ............................................................................................ 14-1-

２．目的外利用および不適正な利用の禁止 .......................................................... 17
３．ダイレクト・マーケティングの中止 ............................................................. 20
４．適正な取得 ................................................................................................... 21（１）個人情報の取得 ........................................................................................ 21（２）要配慮個人情報の取得.............................................................................. 21（３）個人番号の取得 ........................................................................................ 23
５．機微（センシティブ）情報の取扱い ............................................................. 24
６．利用目的の通知・公表・明示 ....................................................................... 26

Ⅲ．データ内容の正確性の確保等 ................................................................. 29
Ⅳ．安全管理措置 ......................................................................................... 31
１．安全管理措置 ............................................................................................... 31
２．従業者の監督 ............................................................................................... 32
３．委託先の監督 ............................................................................................... 33（１）個人データの取扱いの委託 ...................................................................... 33（２）個人番号関係事務の委託 .......................................................................... 34

Ⅴ．個人データの第三者への提供 ................................................................. 35
１．第三者提供 ................................................................................................... 35
２．オプトアウトによる第三者提供 .................................................................... 38
３．委託 ............................................................................................................. 40
４．事業の承継 ................................................................................................... 41
５．共同利用 ...................................................................................................... 42
６．外国にある第三者への提供 ........................................................................... 44（１）総論 .......................................................................................................... 44（２）個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準 ................................................................................... 47
７．個人関連情報の第三者提供 ........................................................................... 51（１）総論 .......................................................................................................... 51（２）本人の同意の取得 ..................................................................................... 51（３）外国にある第三者への提供の場合の取扱い .............................................. 52
８．第三者提供に係る確認・記録義務 ................................................................. 53（１）総論 .......................................................................................................... 53（２）確認義務 ................................................................................................... 55-2-

（３）記録義務 ................................................................................................... 57

Ⅵ．開示等の手続 ......................................................................................... 63
１．保有個人データに関する事項の公表等 .......................................................... 63（１）保有個人データに関する事項の本人への周知 .......................................... 63（２）保有個人データの利用目的の通知 ............................................................ 64
２．開示の請求 ................................................................................................... 65
３．訂正等の請求 ............................................................................................... 67
４．利用停止等の請求 ........................................................................................ 68
５．開示等の手続 ............................................................................................... 71
６．手数料.......................................................................................................... 73

Ⅶ．苦情処理体制の整備 ............................................................................... 74
Ⅷ．漏えい等事案への対応............................................................................ 75
Ⅸ．個人情報保護宣言の制定 ........................................................................ 77
Ⅹ．仮名加工情報・匿名加工情報の取扱い ................................................... 78
Ⅺ．域外適用 ................................................................................................ 79
Ⅻ．個人情報保護指針の見直し..................................................................... 80

-3-

Ⅰ．総則
１．目的
本指針は、全国銀行個人情報保護協議会（以下「協議会」という。）の会員（以下｢会員｣という。）が、個人情報の保護に関する法律（以下「法」という。）をはじめとした関連法令等を遵守しつつ、個人情報の適切な取扱いを確保するために、協議会規約第４条第１項第１号の規定にもとづく個人情報保護指針として定めるものである。
（運用上の考え方）●本指針は、法のほか、次に掲げる法令等を踏まえて定めるものである。
・個人情報の保護に関する法律施行令（以下「施行令」という。）
・個人情報の保護に関する法律施行規則」（以下「施行規則」という。）
・個人情報の保護に関する基本方針
・行政手続における特定の個人を識別するための番号の利用等に関する法律（以下「番号法」という。）および同法関係政令・府令
・個人情報の保護に関する法律についてのガイドライン（通則編）（以下「通則ガイドライン」という。）
・個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）（以下「外国第三者提供ガイドライン」という。）
・個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）（以下「確認・記録義務ガイドライン」という。）
・個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）（以下「仮名加工情報・匿名加工情報ガイドライン」という。）
・金融分野における個人情報保護に関するガイドライン（以下「金融分野ガイドライン」という。）
・金融分野における個人情報保護に関するガイドラインの安全管理措置等についての実務指針
・特定個人情報の適正な取扱いに関するガイドライン（事業者編）および（別冊）金融業務における特定個人情報の適正な取扱いに関するガイドライン（以下「番号法ガイドライン」という）●本指針中「しなければならない」等と記載されている規定については、会員が義務として遵守しなければならない。また、本指針中「努めなければならな
い」、「こととする」および「望ましい」と記載されている規定については、会員が努力義務として遵守に努める。
●「運用上の考え方」は、主に協議会規約第５条第１項第１号①に規定する銀行
会員および同号②の銀行持株会社会員（以下銀行会員と銀行持株会社会員を総称して「正会員」という。）が本指針を運用する上での考え方や実務の具体例を示したものである。同項第２号の特別会員における本指針の運用に当たっては、「運用上の考え方」のうち銀行業務に固有の事項以外の部分を参照す
るものとする。

1２．定義
本指針における用語の定義は、次のとおり。
（１）個人情報
生存する「個人に関する情報」であって、「当該情報に含まれる氏名、生年
月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができるものを含む。）」、または「個人識別符号が含まれるもの」をいう。
（運用上の考え方）●「個人情報」には、主として顧客本人の情報のほか、代理人、連帯保証人、振込の受取人、顧客家族に関する情報等、銀行取引に関連して取得する個人に関する情報が幅広く該当する。ただし、従業員、株主に関する情報等、銀行取引に関連しない個人情報は、本指針の対象外とする。
●「個人に関する情報」とは、氏名、住所、性別、生年月日、顔画像等個人を識別する情報に限られず、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化等によって秘匿化されているかどうかを問わない。これら「個人に関する情報」が、氏名等と相まって「特定の個人を識別することができる」ことになれば、それが「個人情報」となる。
●「個人情報」には、例えば、次のような情報が該当する。
・本人の氏名・生年月日、連絡先（住所・居所・電話番号・メールアドレス）、会社における職位または所属に関する情報について、それらと本人の氏名を組み合わせた情報
・防犯カメラに記録された情報等本人が判別できる映像情報
・本人の氏名が含まれる等の理由により、特定の個人を識別できる音声録音情報・特定の個人を識別できるメールアドレス（zengin_hiroshi@example.com 等のようにメールアドレスだけの情報の場合であっても、example 社に所属するゼンギンヒロシのメールアドレスであることが分かるような場合等）
・個人情報を取得後に当該情報に付加された個人に関する情報（取得時に生存する特定の個人を識別することができなかったとしても、取得後、新たな情報が付加され、または照合された結果、生存する特定の個人を識別できる場
合は、その時点で個人情報に該当する。）
・官報、電話帳、職員録、法定開示書類（有価証券報告書等）、新聞、ウェブ
サイト、ＳＮＳ（ソーシャル・ネットワーク・サービス）等で公にされてい2

る特定の個人を識別できる情報●本指針は法令等の規定を踏まえ、「個人情報」のほか、後述の「個人データ」、「保有個人データ」、「要配慮個人情報」、「機微（センシティブ）情報」、「個人関連情報」、「仮名加工情報」、「匿名加工情報」等の語を使い分けており、会員に課される義務はそれぞれ異なるので、注意を要する。
●死者に関する情報が、同時に、遺族等の生存する個人に関する情報でもある場
合には、当該生存する個人に関する情報に該当する。
●法人その他の団体は「個人」に該当しないため、法人等の団体そのものに関する情報は「個人情報」に該当しない（ただし、役員、従業員等に関する情報は個人情報に該当する。）。なお、「個人」は日本国民に限らず、外国人も含まれる。
●「他の情報と容易に照合することができ（る）」とは、会員の実態に即して個々の事例毎に判断されるべきであるが、通常の業務における一般的な方法で、他の情報と容易に照合することができる状態をいい、例えば、他の事業者への照会を要する場合等であって照合が困難な状態は、一般に、容易に照合することができない状態であると解される。
●「個人識別符号」については、（２）を参照のこと。
（２）個人識別符号
当該情報単体から特定の個人を識別できるものとして、法第２条第２項にもとづき、施行令で定められた文字、番号、記号その他の符号をいい、これに該当するものが含まれる情報は個人情報となる。
①特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した
文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの（法第２条第２項第１号、施行令第１条第１号、施行規則第２条
関係）。
次に掲げる a から g に該当するもののうち、特定の個人を識別することができる水準が確保されるよう、適切な範囲を適切な手法により電子計算機の用に供するために変換されたもの。
a 細胞から採取されたデオキシリボ核酸（別名ＤＮＡ）を構成する塩基の配列
b 顔の骨格および皮膚の色ならびに目、鼻、口その他の顔の部位の位置および形状によって定まる容貌
c 虹彩の表面の起伏により形成される線状の模様
d 発声の際の声帯の振動、声門の開閉ならびに声道の形状およびその変化によって定まる声の質3

e 歩行の際の姿勢および両腕の動作、歩幅その他の歩行の態様
f 手のひらまたは手の甲もしくは指の皮下の静脈の分岐および端点によって定まるその静脈の形状
g 指紋または掌紋
また、上記 a から g までに掲げるものから抽出した特徴情報を、組み合
わせ、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたものも個人識別符号として取り扱う。
②個人に提供される役務の利用もしくは個人に販売される商品の購入に関し割り当てられ、または個人に発行されるカードその他の書類に記載され、もしくは電磁的方式により記録された文字、番号、記号その他の符号であって、その利用者もしくは購入者または発行を受ける者毎に異なるものとなるよ
うに割り当てられ、または記載され、もしくは記録されることにより、特定の利用者もしくは購入者または発行を受ける者を識別することができるもの（法第２条第２項第２号、施行令第１条第２号～第８号、施行規則第３条
および第４条関係）。
例えば、次に掲げる情報が該当する。
・旅券番号
・基礎年金番号・運転免許証番号
・住民票コード
・個人番号
・健康保険等の被保険者証上に記載された本人を特定できる番号等（運用上の考え方）●施行令・施行規則で定められた情報以外は、「個人識別符号」には該当しない。
ただし、ある個人に関する情報が「個人識別符号」に当たらず、それ単体で個人情報に該当しないものであっても、他の個人識別符号や、特定の個人を識別することができる他の情報とともに、会員が１つのデータセットとして保有している場合（例えば、氏名、住所、生年月日等と一緒になっているもの）や、会員が当該個人に関する氏名や顔写真等その他の情報を保有しており、これと容易に照合することができ、それにより特定の個人を識別できる場合については、個人情報に該当することに留意する。
●防犯カメラ等で記録した動画・画像または電話による会話の録音等を電子データとして保存していたとしても、当該電子データが「特定の個人を識別することができる水準が確保されるよう、適切な範囲を適切な手法により電子計算機の用に供するために変換されたもの」でなければ、「個人識別符号」には4

該当しない。ただし、当該電子データが「個人情報」に該当するかどうかは、（１）を踏まえて判断する。
（３）個人番号
住民票コードを変換して得られる番号であって、当該住民票コードが記載された住民票に係る者を識別するために番号法第７条の規定により指定されるものをいう。
（４）特定個人情報
個人番号（個人番号に対応し、当該個人番号に代わって用いられる番号、記号
その他の符号であって、住民票コード以外のものを含む。）をその内容に含む個人情報をいう。
（運用上の考え方）●生存する個人の個人番号についても、特定個人情報に該当する。
（５）要配慮個人情報不当な差別や偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして次に掲げる①から⑪までの記述等が含まれる個人情報をいう。
要配慮個人情報の取得や第三者提供には、原則として本人の同意が必要であり、オプトアウトによる第三者提供（「Ⅴ．２．」参照）は認められていないので、注意が必要である。
なお、次に掲げる情報を推知させる情報にすぎないものは、要配慮個人情報には含まない。
①人種
人種、世系または民族的もしくは種族的出身を広く意味する。なお、単純な国籍や「外国人」という情報は法的地位であり、それだけでは人種には含
まない。また、肌の色は、人種を推知させる情報にすぎないため、人種には
含まない。
②信条
個人の基本的なものの見方、考え方を意味し、思想と信仰の双方を含むものである。
③社会的身分
ある個人にその境遇として固着していて、一生の間、自らの力によって容易にそれから簡単に脱し得ないような地位（非嫡出子など）を意味し、単な5

る職業的地位や学歴は含まない。
④病歴
病気に罹患した経歴を意味するもので、特定の病歴を示した部分（例：特定の個人ががんに罹患している、統合失調症を患っている等）が該当する。
⑤犯罪の経歴前科、すなわち有罪の判決を受けこれが確定した事実が該当する。
⑥犯罪により害を被った事実
身体的被害、精神的被害および金銭的被害の別を問わず、犯罪の被害を受けた事実を意味する。具体的には、刑罰法令に規定される構成要件に該当し得る行為のうち、刑事事件に関する手続に着手されたものが該当する。
⑦身体障害、知的障害、精神障害（発達障害を含む。）その他の施行規則で定める心身の機能の障害があること⑧本人に対して医師その他医療に関連する職務に従事する者（以下「医師等」という。）により行われた疾病の予防および早期発見のための健康診断その他の検査（以下「健康診断等」という。）の結果⑨健康診断等の結果にもとづき、または疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導または診療もしくは調剤が行われたこと⑩本人を被疑者または被告人として、逮捕、捜索、差押え、勾留、公訴の提起
その他の刑事事件に関する手続が行われたこと（犯罪の経歴を除く。）⑪本人を少年法第３条第１項に規定する少年またはその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと（運用上の考え方）●上記①から⑪を「推知させる情報にすぎないもの」とは、例えば、勤務先が特定の宗教団体や政治団体である場合に、勤務先情報としての宗教団体名等の記載、特定の政治団体等に寄付をしたというような情報、宗教団体を設立母体とする学校や病院に勤務している情報、特定の宗教に関する書籍の購買や貸出に係る情報または第三者から伝え聞いた程度の裏付けのない情報等をいう。
（６）機微（センシティブ）情報
要配慮個人情報ならびに労働組合への加盟、門地、本籍地、保健医療および性生活（これらのうち要配慮個人情報に該当するものを除く。）に関する情報（本人、国の機関、地方公共団体、学術研究機関等、法第 57 条第１項各号もしくは施行規則第６条各号に掲げる者により公開されているもの、または、本人を目視し、もしくは撮影することにより取得するその外形上明らかなものを除く。）をいう。

6なお、学術研究機関等とは、大学その他の学術研究を目的とする機関もしくは団体またはそれらに属する者をいう。
（７）個人情報データベース等
特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した、個人情報を含む情報の集合物をいう。また、コンピュータを用いていない場合であっても、紙面で処理した個人情報を一定の規則（例えば、五十音順等）に従って整理・分類し、特定の個人情報を容易に検索することができるよ
う、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当する。
ただし、次に掲げる①～③までのいずれにも該当するものは、利用方法からみて個人の権利利益を害するおそれが少ないため、個人情報データベース等には該当しない。
①不特定かつ多数の者に販売することを目的として発行されたものであって、かつ、その発行が法または法にもとづく命令の規定に違反して行われたものでないこと②不特定かつ多数の者により随時に購入することができ、またはできたものであること③生存する個人に関する他の情報を加えることなくその本来の用途に供しているものであること（運用上の考え方）●個人情報データベース等に該当するものの具体例は次のとおり。
・インターネットサービスにおいて、ユーザーが利用したサービスに係るログ情報がユーザーID によって整理され保管されている電子ファイル（ユーザーID と個人情報を容易に照合することができる場合）
・五十音順等に並べられた顧客カード
・口座番号順等に並べられた印鑑票
・口座番号順等で作成されたコムフィシュ●個人情報データベース等に該当しないものの具体例は次のとおり。
・従業者が、自己の名刺入れについて他人が自由に閲覧できる状況に置いていても、他人には容易に検索できない独自の分類方法により名刺を分類した状態である場合・アンケートの戻りはがきが、氏名、住所等により分類整理されていない状態
である場合
・市販の電話帳、住宅地図、職員録、カーナビゲーションシステム等

7

（８）個人情報取扱事業者
個人情報データベース等を事業の用に供している者のうち、国の機関、地方公
共団体、個人情報保護法第２条第９項で定める独立行政法人等（個人情報保護法の別表第２に掲げる法人を除く。）および個人情報保護法第２条第 10 項に定める地方独立行政法人を除いた者をいう。
ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。
また、個人情報データベース等を事業の用に供している者であれば、当該個人情報データベース等を構成する個人情報によって識別される特定の個人の数の多寡にかかわらず、個人情報取扱事業者に該当する。
なお、法人格のない、権利能力のない社団（任意団体）または個人であっても、個人情報データベース等を事業の用に供している場合は個人情報取扱事業者に該当する。
（９）特定個人情報ファイル
個人番号をその内容に含む個人情報データベース等をいう。
（10）個人データ
会員が管理する個人情報データベース等を構成する個人情報をいう。
（運用上の考え方）●個人データに該当するものの具体例は次のとおり。
・個人情報データベース等から外部記録媒体に保存された個人情報
・個人情報データベース等から紙面に出力された帳票等に印字された個人情報●個人データに該当しない具体例としては、個人情報データベース等を構成する前の入力用の帳票等に記載されている個人情報があげられる。
●なお、（７）において、利用方法から見て個人の権利利益を害するおそれが少ないため、個人情報データベース等から除かれているものを構成する個人情報は、個人データに該当しない。
（11）保有個人データ
会員が、本人またはその代理人から請求される開示、内容の訂正、追加または削除、利用の停止、消去および第三者への提供の停止の全てに応じることができ

8

る権限を有する「個人データ」をいう。
ただし、個人データのうち、次に掲げるものは、保有個人データではない。
①当該個人データの存否が明らかになることにより、本人または第三者の生命、身体または財産に危害が及ぶおそれがあるもの②当該個人データの存否が明らかになることにより、違法または不当な行為を助長し、または誘発するおそれがあるもの③当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国もしくは国際機関との信頼関係が損なわれるおそれまたは他国
もしくは国際機関との交渉上不利益を被るおそれがあるもの④当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧または捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの（運用上の考え方）●上記②に該当するものの具体例は次のとおり。
・暴力団等の反社会的勢力による不当要求の被害等を防止するために事業者が保有している、当該反社会的勢力に該当する人物を本人とする個人デー
タ・不審者や総会屋、悪質なクレーマー等による不当要求の被害を防止するために事業者が保有している、当該行為を行った者を本人とする個人データ●上記③に該当するものの具体例は次のとおり。
・要人の訪問先や行動予定等の個人データ●上記④に該当するものの具体例は次のとおり。
・警察からの捜査関係事項照会や捜索差押令状の対象となった、事業者が保有している捜査対象者または被疑者を本人とする個人データ
・犯罪収益との関係が疑わしい取引の届出の対象情報に含まれる個人データ
・振り込め詐欺に利用された口座に関する情報に含まれる個人データ（12）本人
個人情報によって識別される特定の個人をいう。
（13）個人番号利用事務
行政機関、地方公共団体、独立行政法人等その他の行政事務を処理する者が番号法第９条第１項または第２項の規定によりその保有する特定個人情報ファイルにおいて個人情報を効率的に検索し、および管理するために必要な限度で個
人番号を利用して処理する事務をいう。

9

（14）個人番号関係事務
番号法第９条第３項の規定により個人番号利用事務に関して行われる他人の個人番号を必要な限度で利用して行う事務をいう。
（15）個人番号関係事務実施者
個人番号関係事務を処理する者および個人番号関係事務の全部または一部の委託を受けた者をいう。
（16）個人関連情報
生存する個人に関する情報であって、個人情報、仮名加工情報および匿名加工
情報のいずれにも該当しないものをいう。
（17）個人関連情報取扱事業者
個人関連情報を含む情報の集合物であって、特定の個人関連情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の個
人関連情報を容易に検索することができるように体系的に構成したものとして施行令で定めるもの（以下「個人関連情報データベース等」という。）を事業の用に供している者のうち、国の機関、地方公共団体、独立行政法人等（個人情報保護法の別表第 2 に掲げる法人を除く。）および地方独立行政法人を除いた者をいう。
（18）仮名加工情報
個人情報を個人情報の区分に応じて法により定められた措置を講じて他の情報と照合しない限り特定の個人を識別することができないように加工して得られる個人に関する情報をいう。
（19）仮名加工情報取扱事業者
仮名加工情報を含む情報の集合物であって、特定の仮名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の仮名加工情報を容易に検索することができるように体系的に構成したものとして施行令で定めるもの（以下「仮名加工情報データベース等」という。）を事業の用に供している者のうち、国の機関、地方公共団体、独立行政法人等（別表第 2に掲げる法人を除く。）および地方独立行政法人を除いた者をいう。
（20）匿名加工情報
個人情報を個人情報の区分に応じて定められた措置を講じて特定の個人を識10

別することができないように加工して得られる個人に関する情報であって、当該個人情報を復元して特定の個人を再識別することができないようにしたものをいう。
「（１）個人情報」のうち「当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別できるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）」である個人情報の場合には、「特定の個人を識別することができないように個人情報を加工」とは、特定の個人を識別することができなくなるように当該個人情報に含まれる氏名、生年月日その他の記述等を削除することを意味する。
「（１）個人情報」のうち「個人識別符号が含まれる」個人情報の場合には、「特定の個人を識別することができないように個人情報を加工」とは、当該個人情報に含まれる個人識別符号の全部を特定の個人を識別することができなくなるように削除することを意味する（この措置を講じた上で、まだなお「当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別できるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）」に該当する個人情報であった場合には、同号に該当する個人情報としての加工を行う必要がある。）。
「削除すること」には、復元することのできる規則性を有しない方法により他の記述等に置き換えることも含む。
「復元することのできる規則性を有しない方法」とは置き換えた記述から、置き換える前の特定の個人を識別することとなる
記述等または個人識別符号の内容を復元することができない方法である。
なお、匿名加工情報を作成するときは、「匿名加工情報に関するルール」で定める基準に従って加工する必要がある。
（21）匿名加工情報取扱事業者
匿名加工情報を含む情報の集合物であって、特定の匿名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の匿名加工情報を容易に検索することができるように体系的に構成したものとして施行令で定めるもの（以下「匿名加工情報データベース等」という。）を事業の用に供している者のうち、国の機関、地方公共団体、独立行政法人等（別表第 2に掲げる法人を除く。）および地方独立行政法人を除いた者をいう。
「匿名加工情報を含む情報の集合物であって、特定の匿名加工情報を電子計
算機を用いて検索することができるように体系的に構成したもの」とは、特定の11

匿名加工情報をコンピュータを用いて検索することができるように体系的に構成した、匿名加工情報を含む情報の集合物をいう。また、コンピュータを用いていない場合であっても、紙媒体の匿名加工情報を一定の規則に従って整理・分類
し、特定の匿名加工情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当する。
ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。なお、法人格のない、権利能力のない社団（任意団体）または個人であっても匿名加工情報データベース等を事業の用に供している場合は匿名加工情報取扱事業者に該当する。
（22）本人に通知
本人に直接知らしめることをいい、事業の性質および個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。
（運用上の考え方）●「通知」の方法は、書面（電磁的記録を含む。以下同じ。）による通知を原則とするほか、例えば、電話（自動音声を含む。）による通知等があげられる。
（23）公表広く一般に自己の意思を知らせること（不特定多数の人々が知ることができるように発表すること）をいい、公表に当たっては、事業の性質および個人情報の取扱状況に応じ、合理的かつ適切な方法によらなければならない。
（運用上の考え方）●「公表」の方法には、次のような方法がある。
・会員のウェブサイトへの掲載
・会員の営業拠点へのポスター・書面等の掲示・備付け
・パンフレットへの記載・配付（24）本人の同意
本人の個人情報が、会員によって示された取扱方法で取り扱われることを承諾する旨の当該本人の意思表示をいう（当該本人であることを確認できている
ことが前提となる。）。
また、「本人の同意を得（る）」とは、本人の承諾する旨の意思表示を当該会員が認識することをいい、事業の性質および個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなけ

12

ればならない。
なお、個人情報の取扱いに関して同意したことによって生ずる結果について、
未成年者、成年被後見人、被保佐人および被補助人が判断できる能力を有していないなどの場合は、親権者や法定代理人等から同意を得る必要がある。
（運用上の考え方）●「本人の同意」を得ている事例として、例えば、次の事例があげられる。
・本人からの同意する旨の口頭による意思表示
・本人からの同意する旨の書面の受領・本人からの同意する旨のメールの受信・本人による同意する旨の確認欄へのチェック
・本人による同意する旨のウェブサイト上のボタンのクリック
・本人による同意する旨の音声入力、タッチパネルへのタッチ、ボタンやスイッチ等による入力●会員が、「Ⅱ．２．目的外利用および不適正な利用の禁止」（法第 18 条）、「Ⅴ．
１．第三者提供」（法第 27 条）、「Ⅴ．６．外国にある第三者への提供」（法第28 条）、および「Ｖ．７．個人関連情報の第三者提供」（法第 31 条）（会員が個人関連情報取扱事業者から個人関連情報の提供を受けて個人データとして取得する場合に限る。）に定める本人の同意を得る場合には、原則として、書面によることとする。
●会員が、予め作成された同意書面を用いる場合には、文字の大きさおよび文章の表現を変えること等により、個人情報の取扱いに関する条項が他と明確に区別され、本人に理解されることが望ましい。または、予め作成された同意書
面に確認欄を設け本人がチェックを行うこと等、本人の意思が明確に反映できる方法により確認を行うことが望ましい。
（25）提供
個人データ、保有個人データ、個人関連情報、仮名加工情報または匿名加工情報（以下「個人データ等」という。）を、自己以外の者が利用可能な状態に置くことをいう。個人データ等が、物理的に提供されていない場合であっても、ネットワーク等を利用することにより、個人データ等を利用できる状態にあれば（利用する権限が与えられていれば）、「提供」に当たる。

13

Ⅱ．取得および利用
１．利用目的の特定
個人情報取扱事業者は、個人情報を取り扱うに当たっては、利用目的をできる
限り具体的に特定しなければならないが、利用目的の特定に当たっては、利用目
的を単に抽象的、一般的に特定するのではなく、個人情報が個人情報取扱事業者
において、最終的にどのような事業の用に供され、どのような目的で個人情報を利用されるのかが、本人にとって一般的かつ合理的に想定できる程度に具体的に特定することが望ましい。
予め、個人情報を第三者に提供することを想定している場合には、利用目的の特定に当たっては、その旨が明確に分かるよう特定しなければならない。
また、本人から得た情報から、本人に関する行動・関心等の情報を分析する場
合、会員は、どのような取扱いが行われているかを本人が予測・想定できる程度に利用目的を特定しなければならない。
会員は、上記により特定した利用目的を、変更前の利用目的と関連性を有すると合理的に認められる範囲、すなわち、変更後の利用目的が変更前の利用目的か
らみて、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内で変更することは可能である。変更された利用目的は、本人に通知するか、または公表しなければならない。
（運用上の考え方）●会員が利用目的を特定する際は、次に掲げる事項に留意する。
・個人情報は、銀行が法令により認められた全ての業務（今後取扱いが認められる業務を含む。）に関して利用され得ることを明記する。
・全ての業務を明記する際は、定款の記載などを参考に、例えば、次のように業務の内容を可能な限り特定する。
○預金業務、為替業務、両替業務、融資業務、外国為替業務およびこれらに付随する業務○投信販売業務、保険販売業務、金融商品仲介業務、信託業務、社債業務
等、法律により銀行が営むことができる業務およびこれらに付随する業務○その他銀行が営むことができる業務およびこれらに付随する業務（今後取扱いが認められる業務を含む。）
・会員が、与信事業に際して、個人情報を取得する場合においては、利用目的について本人の同意を得ることとし、契約書等における利用目的は他の契約条項等と明確に分離して記載することとする。この場合、会員は取引上の優越的な地位を不当に利用し、与信の条件として、与信事業において取得し14

た個人情報を当該事業以外の金融商品のダイレクトメールの発送等に利用することを利用目的として同意させる行為を行うべきではなく、本人は当該ダイレクトメールの発送等に係る利用目的を拒否することができる。
・会員が、与信事業に際して、個人情報を個人信用情報機関（個人の返済能力に関する情報の収集および与信事業を行う個人情報取扱事業者に対する当該情報の提供を業とするものをいう。以下同じ。）に提供する場合には、その旨を下記の利用目的例のように明示しなければならない。さらに、明示した利用目的について本人の同意を得ることとする。
・利用目的は、例えば、次のように具体的に記載する。
弊行および弊行の関連会社や提携会社の金融商品やサービスに関し、下記利用目的で利用致します。
○各種金融商品の口座開設等、金融商品やサービスの申込の受付のため○犯罪収益移転防止法にもとづくご本人さまの確認等や、金融商品やサービスをご利用いただく資格等の確認のため○預金取引や融資取引等における期日管理等、継続的なお取引における管理のため○融資のお申込や継続的なご利用等に際しての判断のため○適合性の原則等に照らした判断等、金融商品やサービスの提供にかかる妥当性の判断のため○与信事業に際して個人情報を加盟する個人信用情報機関に提供する場
合等、適切な業務の遂行に必要な範囲で第三者に提供するため○他の事業者等から個人情報の処理の全部または一部について委託された場合等において、委託された当該業務を適切に遂行するため○お客さまとの契約や法律等にもとづく権利の行使や義務の履行のため○市場調査、ならびにデータ分析やアンケートの実施等による金融商品
やサービスの研究や開発のため○ダイレクトメールの発送等、金融商品やサービスに関する各種ご提案のため○提携会社等の商品やサービスの各種ご提案のため○各種お取引の解約やお取引解約後の事後管理のため○その他、お客さまとのお取引を適切かつ円滑に履行するため
・特定の個人情報の利用目的が、法令等にもとづき限定されている場合には、
例えば、次のようにその旨を明示する。
○銀行法施行規則第 13 条の６の６等により、個人信用情報機関から提供を受けた資金需要者の借入金返済能力に関する情報は、資金需要者の返済能力の調査以外の目的に利用・第三者提供いたしません。
○銀行法施行規則第 13 条の６の７等により、人種、信条、門地、本籍地、保健医療または犯罪経歴についての情報等の特別の非公開情報は、適切な業務運営その他の必要と認められる目的以外の目的に利用・第三者提供いたしません。
15

・ 本人から得た情報から、行動・関心等の情報を分析する場合には、例えば、
次のように利用目的を特定する。
○「取得した閲覧履歴や購買履歴等の情報を分析して、趣味・嗜好に応じた新商品・サービスに関する広告のために利用いたします。」○「取得した行動履歴等の情報を分析し、信用スコアを算出した上で、当該スコアを第三者へ提供いたします。」●個人番号の利用目的の特定の程度としては、本人が自らの個人番号がどのような目的で利用されるのかを一般的かつ合理的に予想できる程度に具体的に特定する必要があり、例えば、次のように特定する。
○金融商品取引に関する法定書類作成事務○生命保険契約等に関する法定書類作成事務○損害保険契約等に関する法定書類作成事務○国外送金等取引に関する法定書類作成事務○預貯金口座付番に関する事務 等●「変更前の利用目的と関連性を有すると合理的に認められる範囲」として許容される場合とは、例えば、「商品案内等を郵送」との利用目的を、「商品案内等をメール送付」に変更する場合が該当する。一方、例えば、「アンケート集計に利用」との利用目的を、「商品案内等の郵送に利用」と変更する場合は、「変
更前の利用目的と関連性を有すると合理的に認められる範囲」 として認められない。
●本人が想定できない変更を行う場合には、「Ⅱ．２．目的外利用および不適正な利用の禁止」により本人の同意を得なければならない。

16

２．目的外利用および不適正な利用の禁止
会員は、「Ⅱ.１.利用目的の特定」により特定した利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。また、会員は、合併その他の事
由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。ただし、上記のいずれの場合
も、次に掲げる場合は適用しない。
①予め本人の同意がある場合②法令にもとづく場合③人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難である場合④公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場
合であって、本人の同意を得ることが困難である場合⑤国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがある場合⑥学術研究機関等に個人データを提供する場合であって、当該学術研究機関
等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権
利利益を不当に侵害するおそれがある場合を除く。）。
会員は、番号法が予め限定的に定めた事務の範囲の中から、具体的な利用目的を特定した上で、個人番号を利用するのが原則である。
また、会員は、本人の同意があったとしても、次に掲げる場合を除き、特定した利用目的以外で個人番号を利用してはならない。
・金融機関が激甚災害時等に金銭の支払を行う場合
・人の生命、身体または財産の保護のために必要がある場合であって、本人の同意があり、または本人の同意を得ることが困難である場合
加えて、会員が、特定個人情報ファイルを作成することができる場合は、個人
番号関係事務を処理するために必要な範囲に限られている。法令にもとづき行
う顧客の支払調書作成事務等に限って、特定個人情報ファイルを作成することができるものであり、これらの場合を除き特定個人情報ファイルを作成してはならない。
なお、会員は、違法または不当な行為を助長し、または誘発するおそれがある

17

方法により個人情報を利用してはならない。
（運用上の考え方）●将来の法令の改正等により、新たに取扱いが認められる業務に関して、既存の取引に際して取得した個人情報を利用する場合にあっては、利用目的に明記した「銀行が法令により認められた業務（今後取扱いが認められる業務を含む。）」から外れない限り、特定された利用目的の達成に必要な範囲を超えないと考えられる。ただし、当該業務での個人情報の利用が、これまで会員が法令により認められていた業務での利用目的から全く想定できない場合は除く。
●①の本人の同意を得るために個人情報を利用することは、当初特定した利用目的にない場合にも、事業承継前の利用目的にない場合にも、目的外利用には当たらない。
●②には、例えば、次のような法令にもとづく場合が該当する。
・民事訴訟法第 223 条(文書提出命令等)・刑事訴訟法第 197 条第２項（捜査関係事項照会）
・刑事訴訟法第 218 条（令状による差押え・捜索・検証）
・国税犯則取締法第１条（質問・物件の検査・領置）・所得税法第 225 条（支払調書及び支払通知書）
・国税通則法第 74 条の２等（当該職員の所得税等に関する調査に係る質問検査権）・地方税法第 72 条の 63（総務省の職員の個人の事業税に関する調査に係る質問検査権）
・国税徴収法第 141 条（質問及び検査）・国税犯則取締法第１条等（収税官吏又は徴税吏員の行う犯則事件の任意調
査）・内国税の適正な課税の確保を図るための国外送金等に係る調書の提出等に関する法律第４条（国外送金等調書の提出）・犯罪収益移転防止法第８条第１項（疑わしい取引の届出等）
・銀行法第 24 条（報告又は資料の提出）・割賦販売法第 40 条（報告の徴収）
・会社法第 381 条第３項（親会社の監査役の子会社に対する調査への対応）
・日本銀行法第 44 条（考査）・金融商品取引法第 210 条、第 211 条等（証券取引等監視委員会の職員による犯則事件の調査）
・弁護士法第 23 条の２（報告の請求）●②の法令に、第三者が個人情報の提供を求めることができる旨の規定はあるが、正当な事由にもとづきそれに応じないことができる場合には、会員は、当該法令の趣旨に照らして目的外利用の必要性および合理性が認められる範囲

18

内で対応するよう留意する。
●③には、例えば、次のような場合が該当する。
・事業者間において、暴力団等の反社会的勢力情報、振り込め詐欺に利用された口座に関する情報、意図的に業務妨害を行う者の情報について共有する
場合
・不正送金等の金融犯罪被害の事実に関する情報を、関連する犯罪被害の防止のために、他の事業者に提供する場合●⑤には、例えば、次のような場合が該当する。ただし、「協力する必要がある」
か否かは、都度会員が判断すべきであることに留意する。
・民事訴訟法第 186 条にもとづく調査嘱託への回答
・民事訴訟法第 226 条にもとづく文書送付嘱託への回答
・刑事訴訟法第 197 条にもとづく捜査関係事項照会書への回答
・刑事訴訟法第 507 条にもとづく検察官、裁判所、裁判官が裁判の執行に関して行う照会への回答
・家事事件手続法第 62 条にもとづく家庭裁判所の行う調査嘱託への回答
・防犯ビデオの提出等、捜査関係への協力
・税務当局の任意調査への回答
・警察の任意調査への回答
・振り込め詐欺に利用された口座に関する情報の警察への提供
・一般統計調査への回答●⑤の協力に当たっては、会員は、任意の求めの趣旨に照らして目的外利用の必要性と合理性が認められる範囲内で対応するよう留意する。
●合併等の理由で事業を承継することに伴って、他の個人情報取扱事業者から
当該事業者の顧客の特定個人情報を取得した場合には、承継前に特定されていた利用目的に従って特定個人情報を利用することができる。ただし、本人の同意があったとしても、承継前に特定されていた利用目的を超えて特定個人情報を利用してはならない。
●「違法または不当な行為」とは、法その他の法令に違反する行為、および直ちに違法とはいえないものの、法その他の法令の制度趣旨または公序良俗に反する等、社会通念上適正とは認められない行為をいう。また、「おそれ」の有
無は、会員による個人情報の利用が、違法または不当な行為を助長または誘発することについて、社会通念上蓋然性が認められるか否かにより判断する。

19

３．ダイレクト・マーケティングの中止
会員は、本人から、ダイレクト・マーケティング（会員または会員が個人情報を提供する先が、特定の商品またはサービスに適合する顧客を限定して行う、ダイレクトメールの送付やテレマーケティングその他のセールス活動で、店舗等で直接面談して行うセールス活動を除くもの。）の目的で個人情報を利用することの中止を求められた場合には、当該目的での個人情報の利用または提供を中止しなければならない。
（運用上の考え方）●ダイレクト・マーケティングを目的とする個人情報の利用または提供を中止する場合にあっても、その他の利用目的の達成に必要な範囲で、当該個人情報を利用することを妨げない。

20

４．適正な取得（１）個人情報の取得
会員は、偽り等の不正の手段により個人情報を取得してはらならない。
（運用上の考え方）●「不正の手段により」個人情報を取得する場合には、例えば、会員が、情報の不正取得等の不当な行為を行っている第三者から、当該情報が漏えいされた情報であること等を知った上で個人情報を取得することが該当する。
●個人情報を含む情報がインターネット等により公にされている場合であって、単にこれを閲覧するにすぎず、転記等を行わない場合は、個人情報を取得しているとは解されない。
●例えば、基礎年金番号など、法令によって原則告知を求めること等が禁止されている情報等については、書き写しやマスキングを伴わないコピーを行わないよう留意する。
（２）要配慮個人情報の取得
会員は、要配慮個人情報を取得する場合には、予め本人の同意を得なければならない。ただし、次の①から⑧までに掲げる場合については、本人の同意を得る必要はない。
①法令にもとづく場合②人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき③公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場
合であって、本人の同意を得ることが困難であるとき④国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して、会員が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき⑤学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（会員と当該学術研究機
関等が共同して学術研究を行う場合に限る。）。
⑥当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、
法第 57 条第１項各号に掲げる者その他施行規則で定める者により公開されている場合
要配慮個人情報が、次に掲げる者により公開されている場合は、予め本人

21

の同意を得ることなく、当該公開されている要配慮個人情報を取得することができる。
a 本人
b 国の機関c 地方公共団体
d 放送機関・新聞社・通信社その他の報道機関（報道を業として行う個人を含む。）
e 著述を業として行う者
f 学術研究機関等
g 宗教団体h 政治団体i 外国政府、外国の政府機関、外国の地方公共団体または国際機関
j 外国において学術研究機関等または法第 57 条第１項各号に掲げる者に相当する者⑦本人を目視し、または撮影することにより、その外形上明らかな要配慮個人情報を取得する場合⑧法第 27 条第５項各号に掲げる場合（委託、事業承継または共同利用）において、個人データである要配慮個人情報の提供を受けるとき（運用上の考え方）●上記②には、例えば、次のような場合が該当する。
・事業者間において、不正対策等のために、暴力団等の反社会的勢力情報、意図的に業務妨害を行う者の情報のうち、過去に業務妨害罪で逮捕された事
実等の情報について共有する場合
・不正送金等の金融犯罪被害の事実に関する情報を、関連する犯罪被害の防止のために、他の事業者から取得する場合
・相続手続による権利義務の移転等の遂行に伴い、戸籍謄本等に記載されている要配慮個人情報を取得する場合であって、例えば、相続人同士の関係性か
ら、当該要配慮個人情報の本人である被相続人の親族等から同意取得ができない場合・認知症等判断能力が低下している者に対する適合性確認のために家族等から要配慮個人情報を取得する場合●上記①および④の事例・考え方は、「Ⅱ．２．目的外利用および不適正な利用の禁止」の「（運用上の考え方）」を参照。
●上記⑦には、例えば、次のような場合が該当する。
・身体の不自由な方が店舗に来店し、対応した店員がその旨をお客様対応録等に記録した場合（目視による取得）や、身体の不自由な方の様子が店舗に設置された防犯カメラに映りこんだ場合（撮影による取得）

22

●会員が要配慮個人情報を書面または口頭等により本人から適正に直接取得する場合は、本人が当該情報を提供したことをもって、当該会員が当該情報を取得することについて本人の同意があったものと解される。
●会員が要配慮個人情報を第三者提供の方法により取得した場合、提供元が法第 20 条第２項および第 27 条第１項にもとづいて本人から必要な同意（要配慮個人情報の取得および第三者提供に関する同意）を取得していることが前提となるため、提供を受けた会員が、改めて本人から法第 20 条第２項にもとづく同意を得る必要はないものと解される。
（３）個人番号の取得
会員は、個人番号関係事務を処理するために必要がある場合に限って、本人ま
たは他の個人番号関係事務実施者に対して個人番号の提供を求めることができる。提供を求める時期としては、個人番号関係事務が発生した時点が原則である
が、顧客等との法律関係等にもとづき、個人番号関係事務の発生が予想される場
合には、契約を締結した時点等の当該事務の発生が予想できた時点で、個人番号の提供を求めることが可能である。なお、契約内容等から個人番号関係事務が明らかに発生しないと認められる場合には、個人番号の提供を求めてはならない。
会員は、法令により規定された場合以外には、他人の個人番号を含む特定個人情報を収集してはならない。
会員は、本人から個人番号の提供を受ける場合には、番号法第 16 条等にもとづき本人確認を行わなければならない。
（運用上の考え方）●「特定個人情報の収集」とは、集める意思を持って自己の占有に置くことを意
味し、例えば、人から個人番号を記載したメモを受け取ること、人から聞き取った個人番号をメモすること等、直接取得する場合のほか、電子計算機等を操作して個人番号を画面上に表示させ、その個人番号を書き取ること、プリントアウトすること等を含む。一方、特定個人情報の提示を受けただけでは、「特定個人情報の収集」に当たらない。
●個人番号関係事務に関係のない業務において、顧客から本人確認書類として
個人番号カード等が提示された場合、窓口担当者は個人番号カード等に記載された個人番号を書き写し、または個人番号カード等の個人番号が記載された部分をコピーして、特定個人情報を収集してはならない。
●個人番号が記載された源泉徴収票（法第 33 条の開示の求めにもとづき本人に提供されたもの）や住民票の写し等を、例えば、住宅ローンの審査や住所変更等の個人番号関係事務に関係のない業務で利用する場合には、個人番号部分を復元できない程度にマスキングを行う等の措置を講じる必要がある。
23

５．機微（センシティブ）情報の取扱い
会員は、機微（センシティブ）情報については、次に掲げる場合を除くほか、取得、利用または第三者提供を行わないこととする。
①法令等にもとづく場合②人の生命、身体または財産の保護のために必要がある場合③公衆衛生の向上または児童の健全な育成の推進のため特に必要がある場合④国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合⑤法第 20 条第２項第６号に掲げる場合に機微（センシティブ）情報を取得する場合、法第 18 条第３項第６号に掲げる場合に機微（センシティブ）情報を利用する場合、または法第 27 条第１項第７号に掲げる場合に機微（センシティブ）情報を第三者提供する場合⑥源泉徴収事務等の遂行上必要な範囲において、政治・宗教等の団体もしくは労働組合への所属もしくは加盟に関する従業員等の機微（センシティブ）情報を取得、利用または第三者提供する場合⑦相続手続による権利義務の移転等の遂行に必要な限りにおいて、機微（センシティブ）情報を取得、利用または第三者提供する場合⑧保険業その他金融分野の事業の適切な業務運営を確保する必要性から、本人の同意にもとづき業務遂行上必要な範囲で機微（センシティブ）情報を取得、利用または第三者提供する場合⑨機微（センシティブ）情報に該当する生体認証情報を本人の同意にもとづき、本人確認に用いる場合
会員は、機微（センシティブ）情報を、上記①から⑨までに定める事由により取得、利用または第三者提供する場合には、上記①から⑨までの事由を逸脱した取得、利用または第三者提供を行うことのないよう、特に慎重に取り扱うこととする。
会員は、機微（センシティブ）情報を、上記の場合に取得し、利用し、または第三者提供する場合には、例えば、要配慮個人情報を取得するに当たっては、法第 20 条第２項に従い、予め本人の同意を得なければならないとされていることなど、法令等に従い適切な対応しなければならないことに留意する。
会員は、機微（センシティブ）情報を第三者へ提供するに当たっては、オプト
アウトを用いないこととする。なお、機微（センシティブ）情報のうち要配慮個
人情報については、法によりオプトアウトを用いることができないとされていることに留意する。

24

（運用上の考え方）●本人確認資料に本籍地情報など業務遂行上必要でない｢機微（センシティブ）
情報｣が記載されている場合等には、例えば、会員は当該情報を黒塗りして保存する等の措置を講じることとする。
●①は、法律、政令、省令、条例、条約のほか、閣議決定や官公署が発出する公的な文書にもとづく場合であり、例えば、次の場合が該当する。
・「障害者等の少額貯蓄非課税制度」の利用資格を確認する場合●②には、例えば、次の場合が該当する。
・民事介入暴力に関与する者等についての情報を取得・利用・第三者提供する
場合

25

６．利用目的の通知・公表・明示
会員は、個人情報を取得する場合は、予めその利用目的を公表していることが望ましい。公表していない場合は、取得後速やかに、その利用目的を、本人に通知するか、または公表しなければならない。
会員は、本人との間で契約を締結すること等に伴って、本人から直接書面（電磁的記録を含む。）に記載された当該本人の個人情報を取得する場合には、予め本人に対し、その利用目的を明示しなければならない。また、この場合、与信事
業においては、会員は、利用目的を明示する書面に確認欄を設けること等により、利用目的について本人の同意を得なければならない。ただし、人の生命、身体または財産の保護のために緊急に必要がある場合は、明示および同意を要しない。
また、会員は、「Ⅱ．１．利用目的の特定」の「変更前の利用目的と関連性を有すると合理的に認められる範囲」を超えない利用目的の変更を行った場合は、変更された利用目的について、本人に通知し、または公表しなければならない。
ただし、次に掲げる場合においては、上記のいずれの場合も通知、公表、明示
または同意を要しない。
①利用目的を本人に通知し、または公表することにより本人または第三者の生命、身体、財産その他の権利利益を害するおそれがある場合②利用目的を本人に通知し、または公表することにより会員の権利または正当な利益を害するおそれがある場合③国の機関または地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、または公表す
ることにより当該事務の遂行に支障を及ぼすおそれがあるとき④取得の状況からみて利用目的が明らかであると認められる場合（運用上の考え方）●本項第一文の「個人情報を取得する場合」には、本人以外の第三者から取得する場合も該当する。
●「電磁的記録」には、例えば、会員のウェブサイト上や電子メールで個人情報を取得する場合が該当する。
●「明示」とは、本人に対し、その利用目的を明確に示すことをいい、事業の性
質および個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法による必要がある。

26

●「明示」の方法には、例えば、次のような方法がある。ただし、いずれの方法においても明示したことの記録を残すことが望ましい。
・利用目的を記載した書面で明示する方法
・ポスター等の掲示により明示する方法
・パンフレット・チラシの配付等により明示する方法
・インターネット等の画面で明示する方法●与信事業に際して個人情報を取得する場合には、契約書等における利用目的
は他の契約条項等と明確に分離して記載するよう留意する。
●「明示」する対象は、取得した個人情報の利用目的である。
「明示」する方法
は、当該書面に記載された個人情報の利用目的のみを示す方法と、「Ⅱ．１．
利用目的の特定」により特定した包括的な利用目的の全部または一部を示す
方法のいずれでもよい。
●本人に対して取引申込時等に利用目的を明示している場合であって、当該取引に関して追加的に提出を受けた書面に記載された個人情報の利用目的が当初示した利用目的の範囲にあるときなど、書面に記載された個人情報の利用
目的を予め本人に対し明示しているときには、当該個人情報を取得する都度改めて利用目的の明示を行う必要はない。
●①には、例えば、次のような場合が該当する。
・暴力団等の反社会的勢力情報、疑わしい取引の届出の対象情報、振り込め詐欺に利用された口座に関する情報、業務妨害行為を行う悪質者情報の提供者が逆恨みを買うおそれがある場合●②には、例えば、次のような場合が該当する。
・開発中の新サービス、営業ノウハウが明らかになることにより、企業の健全な競争を害する場合
・暴力団等の反社会的勢力情報、疑わしい取引の届出の対象情報、振り込め詐欺に利用された口座に関する情報、業務妨害行為を行う悪質者情報を取得したことが明らかになることにより、情報提供を受けた企業に害が及ぶ場
合●③には、例えば、次のような場合が該当する。
・犯罪捜査への協力のため、被疑者等に関する情報を取得した場合●④には、例えば、次のような場合が該当する。
・契約書に記載されている個人情報を契約上の権利行使や義務の履行にのみ利用する場合・振込取引において、振込依頼人や振込先の情報を取得する場合で、当該情報を当該振込取引にのみ利用する場合
・両替の申込用紙に記載された申込者の情報を取得する場合で、当該情報を当
該両替取引にのみ利用する場合

27

・電話等での資料請求に対して、請求者が提供した住所および氏名に関する情報を請求された資料の送付のみに利用する場合
・今後連絡を取り合うために名刺交換をした場合
・着信において相手方の電話番号が非通知でない場合で、同じ用件で当方から相手方に電話を掛け直す場合
・一般の慣行として名刺を交換する場合、直接本人から、氏名・所属・肩書・連絡先等の個人情報を取得することとなるが、その利用目的が今後の連絡
や、所属する会社の広告宣伝のための冊子や電子メールを送付するという利用目的であるような場合

28

Ⅲ．データ内容の正確性の確保等
会員は、利用目的の達成に必要な範囲内において、個人情報データベース等への個人情報の入力時の照合・確認の手続の整備、誤り等を発見した場合の訂正等の手続の整備、記録事項の更新、保存期間の設定等を行うことにより、個人デー
タを正確かつ最新の内容に保つよう努めなければならない。
また、保有する個人データの利用目的に応じ保存期間を定め、当該期間を経過した場合、保有する個人データについて利用する必要がなくなったとき、すなわ
ち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合、または利用目的が達成されなかったものの
当該目的の前提となる事業自体が中止となった場合等は、当該個人データを遅滞なく消去するよう努めなければならない。なお、法令の定めにより保存期間等が定められている場合は、この限りではない。
個人番号は、番号法に明記された事務を処理するために保管されるものであるから、会員は、それらの事務を行う必要がある場合に限り特定個人情報を保管し続けることができる。
また、個人番号が記載された書類等については、所管法令によって一定期間保存が義務付けられているものがあるが、これらの書類等に記載された個人番号については、その期間保管することとなる。
一方、それらの事務を行う必要がなくなった場合で、所管法令において定められている保存期間を経過した場合には、個人番号をできるだけ速やかに廃棄または削除しなければならない。なお、その個人番号部分を復元できない程度にマ
スキングまたは削除した上で保管を継続することは可能であるが、それが個人データに該当する場合において、利用する必要がなくなったときは、その個人データを遅滞なく消去するよう努めなければならない。
（運用上の考え方）●個人データを正確かつ最新の内容に保つ方法には、例えば、次のような方法がある。
・顧客に対して正確かつ最新のデータ提供を働きかける方法
・顧客から提出される取引開始時の各種届出や、取引開始後の変更届について、本人確認等の実務の一環として当該届出内容の正確性を確認する方法
・顧客からの届出内容について、迅速かつ正確に個人情報データベース等に反
映する方法

29

●保有する個人データを一律にまたは常に最新化する必要はなく、それぞれの利用目的に応じて、その必要な範囲内で正確性・最新性を確保すれば足りる。
●本項第一文の「保存期間」には、合理的な理由を伴う永久保存も該当する。
●「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む。

30

Ⅳ．安全管理措置
１．安全管理措置
会員は、個人データ（個人番号および特定個人情報を含む。本項において同じ。）の漏えい、滅失または毀損（以下「漏えい等」という。）の防止その他の個
人データの安全管理のために必要かつ適切な措置を講じなければならない。
なお、「その他の個人データの安全管理のために必要かつ適切な措置」には、会員が取得し、または取得しようとしている個人情報であって、当該会員が個人データとして取り扱うことを予定しているものの漏えい等を防止するために必要かつ適切な措置も含まれる。
また、必要かつ適切な措置は、個人データの取得・利用・保管等の各段階に応じた「組織的安全管理措置」、「人的安全管理措置」、「物理的安全管理措置」、「技
術的安全管理措置」および「外的環境の把握」を含むものでなければならない。
（運用上の考え方）●会員は、外国において個人データを取り扱う場合には、外的環境を把握した上で、個人データの安全管理のために必要かつ適切な措置を講じなければならない。
●必要かつ適切な措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質、個人データの取扱状況および個人
データを記録した媒体の性質等に起因するリスクに応じたものとする。

31

２．従業者の監督
会員は、個人データの安全管理が図られるよう、適切な内部管理体制を構築し、その従業者に対する必要かつ適切な監督を行わなければならない。
（運用上の考え方）●「必要かつ適切な監督」は、個人データが漏えい等をした場合に本人が被る権
利利益の侵害の大きさを考慮し、事業の性質、個人データの取扱状況等に起因するリスクに応じたものとする。
●「従業者」とは、会員の組織内にあって直接または間接に事業者の指揮監督を受けて事業者の業務に従事している者をいい、雇用関係にある従業者（正社
員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、事業者との間の雇用関係にない者（取締役、執行役、理事、監査役、監事、派遣社員等）も含まれる。
●会員は、次に掲げる体制整備等により、従業者に対し必要かつ適切な監督を行わなければならない。
・従業者が、在職中およびその職を退いた後において、その業務に関して知り得た個人データを第三者に知らせ、または利用目的外に使用しないことを内容とする契約等を採用時等に締結すること。
・個人データの適正な取扱いのための取扱規程の策定を通じた従業者の役割・責任の明確化および従業者への安全管理義務の周知徹底、教育および訓練を行うこと。
・従業者による個人データの持出し等を防ぐため、社内での安全管理に係る取扱規程に定めた事項の遵守状況等の確認および従業者における個人データの取扱状況の点検および監査制度を整備すること。

32

３．委託先の監督（１）個人データの取扱いの委託
会員は、個人データの取扱いの全部または一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
（運用上の考え方）●「必要かつ適切な監督」は、個人データが漏えい等をした場合に本人が被る権
利利益の侵害の大きさを考慮し、委託する事業の規模および性質ならびに個
人データの取扱状況等に起因するリスクに応じたものとする。
●「委託」には、契約の形態や種類を問わず、会員が他の者に個人データの取扱
いの全部または一部を行わせることを内容とする契約の一切を含み、例えば、
次のようなケースがある。
・データ処理・加工の委託・事務処理の委託
・個人データ保管・廃棄の委託
なお、委託契約の条項等によって受託者が個人データを取り扱わない旨が定められており、適切なアクセス制御が行われている場合には、個人データの取扱いの委託には該当しない。
●会員は、個人データの取扱いを委託するに当たっては、利用目的の達成に必要な範囲内で行う。
●会員は、個人データを適正に取り扱っていると認められる者を選定し委託するとともに、取扱いを委託する個人データの安全管理が図られるよう、個人データの安全管理のための措置を委託先においても確保しなければならない。
なお、二段階以上の委託が行われた場合には、委託先の事業者が再委託先等の事業者に対して十分な監督を行っているかについても監督を行わなければならない。具体的には、会員は、例えば、次に掲げる措置を実施する。
・個人データの安全管理のため、委託先における組織体制の整備および安全管理に係る基本方針・取扱規程の策定等の内容を委託先選定の基準に定め、当該基準を定期的に見直さなければならない。なお、委託先の選定に当たっては、必要に応じて個人データを取り扱う場所に赴く方法（テレビ会議システ
ム等（映像と音声の送受信により相手の状態を相互に認識できる方法をいう。以下、同じ。）またはこれに代わる合理的な方法による確認を行った上で、個人データ管理責任者等が適切に評価することが望ましい。
・委託者の監督・監査・報告徴収に関する権限、委託先における漏えい等の防止および目的外利用の禁止、再委託に関する条件および漏えい等事案が発生した場合の委託先の責任を内容とする安全管理措置を委託契約に盛り込
むとともに、定期的に監査を行う等により、定期的または随時に当該委託契33

約に定める安全管理措置等の遵守状況を確認し、当該安全管理措置を見直さなければならない。なお、委託契約に定める安全管理措置等の遵守状況については、個人データ管理責任者等が、当該安全管理措置等の見直しを検討することを含め、適切に評価することが望ましい。
●委託先が再委託を行おうとする場合は、委託元は委託を行う場合と同様、再委託の相手方、再委託する業務内容および再委託先の個人データの取扱方法等について、委託先に事前報告または承認手続を求め、かつ、直接または委託先を通じて定期的に監査を実施する等により、委託先が再委託先に対して委託先の監督を適切に果たすこと、再委託先が法にもとづく安全管理措置を講ずることを十分に確認することが望ましい。再委託先が再々委託を行う場合以降も、再委託を行う場合と同様とする。
（２）個人番号関係事務の委託
個人番号関係事務の全部または一部の委託をする会員は、委託先において、番号法にもとづき委託者自らが果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行わなければならない。
「必要かつ適切な監督」には、委託先の適切な選定、安全管理措置に関する委
託契約の締結および委託先における特定個人情報の取扱状況の把握が含まれる。
個人番号関係事務の全部または一部の「委託を受けた者」は、委託者の許諾を得た場合に限り、再委託を行うことができる。再委託を受けた者は、個人番号関係事務の「委託を受けた者」とみなされ、最初の委託者の許諾を得た場合に限り、更に再委託することができる。
（運用上の考え方）●「番号法にもとづき委託者自らが果たすべき安全管理措置と同等の措置」とは、番号法が求める水準の安全管理措置を講ずるものであり、例えば、委託元である会員が法令・ガイドライン等で求められる以上の高度の措置をとっている場合にまで、それと同等の措置を求めているものではない。

34

Ⅴ．個人データの第三者への提供
１．第三者提供
会員が、取得した個人データを第三者へ提供する場合は、次に掲げる場合を除き、予め本人の同意を得なければならない。
①法令にもとづく場合②人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難である場合③公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場
合であって、本人の同意を得ることが困難である場合④国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがある場合⑤学術研究機関等が個人データを提供する場合であり、かつ、当該学術研究機
関等と共同して学術研究を行う第三者（学術研究機関等であるか否かを問わない。）に当該個人データを学術研究目的で提供する必要がある場合（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）⑥学術研究機関等が個人データの第三者提供を受ける場合であり、かつ、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要がある場
合（当該個人データを取り扱う目的の一部が学術研究目的である場合を含
み、個人の権利利益を不当に侵害するおそれがある場合を除く。）
上記のとおり、個人データについては、本人の同意がある場合や法令の規定にもとづく場合等には、第三者に提供することができるが、特定個人情報について
は、番号法で規定されている場合を除き、提供してはならない。
（運用上の考え方）●「第三者提供される個人データ」には、例えば、公開情報も該当する。
●会員は、例えば次に掲げる場合など、取得した個人データを提供する際は、「Ⅴ．１．第三者提供（同意があるものとみられる場合を含む。）」、「Ⅴ．２．
オプトアウトによる第三者提供」、「Ⅴ．３．委託」、「Ⅴ．４．事業の承継」および「Ⅴ．５．共同利用」のいずれに該当するかに応じ必要な対応をとることとする。
・口座振替における収納企業への口座振替結果情報の提供
・財形預金提携企業への残高情報等の提供
・振込受取人への振込依頼人情報の提供
・ローン取引で、主債務者の委託を受けて保証人となっている信用保証会社、

35

カード会社、消費者金融会社への情報提供
・ローン取引での信用保証協会への情報提供
・ローン提携の不動産会社（住宅ローン等）、企業（職域提携ローン等）への情報提供
・国・地方公共団体（利子補給ローン等）への情報提供
・引受保険会社（生命保険会社、損害保険会社）への保険契約申込情報等の提供・SPC やサービサー等に債権譲渡する際の情報提供
・債権譲渡の事前協議やデュー・ディリジェンスにおける相手先、格付機関、会計事務所等への情報の提供（結果的に譲渡が行われなかった場合も含む。）
・連帯保証人への主債務者の債務残高等に係る情報提供
・投資信託、保険、債券、株式等の金融商品のプロバイダーへの購入申込情報の提供●会員が取得した個人データを第三者に提供することが、取引上当然に予想されることにより、本人の同意があるものとみられる場合がある。ただし、こうした場合であっても、個人データを提供する第三者、提供を受けた第三者における利用目的、第三者に提供される情報の内容を記載した書面等により、本人の明示的な同意を得ることが望ましい場合もある。
●「同意文言を記載した書面」は、文字の大きさおよび文章の表現を変えること
等により、個人情報の取扱いに関する条項が他と明確に区別され、本人に理解されるようにするか、または、確認欄を設け本人がチェックを行う等、本人の意思が明確に反映できるものとする。また、当該書面における記載を通じて、次の事項を本人に認識させた上で同意を得ることとする。
・個人データを提供する第三者・提供を受けた第三者における利用目的
・第三者に提供される情報の内容
同意を得ようとする時点において、個人データを提供する第三者が特定できない場合には、これに代わる本人に参考となるべき情報（例えば、提供先の第三者の範囲や属性に関する情報）を本人に認識させた上で、同意を得ることとする。
●①、②および④の事例・考え方は「Ⅱ．２．目的外利用および不適正な利用の禁止」の「（運用上の考え方）」を参照のこと。
●個人信用情報機関に対して個人データが提供される場合には、個人信用情報機関を通じて当該機関の会員企業にも情報が提供されることとなるため、個
人信用情報機関に個人データを提供する会員が本人の同意を得ることとする。
本人から同意を得るに当たっては、本人が、個人データが個人信用情報機関を通じて当該機関の会員企業にも提供されることを明確に認識した上で、同意36

に関する判断を行うことができるようにすることとする。このため、会員は、同意を得る書面に、「個人データを提供する第三者」、「提供を受けた第三者における利用目的」、「第三者に提供される情報の内容」のほか、個人データが当該機関の会員企業にも提供される旨の記載および当該機関の会員企業として
個人データを利用する者の表示を行うこととする。
●上記の「当該機関の会員企業として個人データを利用する者」の表示は、「当該機関の会員企業として個人データを利用する者」の外延を本人に客観的かつ明確に示すものであることが必要であり、会員企業の名称を記載する方法
もしくは当該機関の規約等および会員企業名を常時公表しているウェブサイト（苦情処理の窓口の連絡先等、「Ⅸ．個人情報保護宣言の制定」の内容を記載したもの）のＵＲＬを記載する方法等により、本人が同意の可否を判断するに足りる具体性をもって示すことをいう。また、本人に表示する個人信用情報機関の規約等においては、機関の加入資格および会員企業の外延が明確に示されるとともに、個人データの適正管理、情報の目的外利用の防止等の観点か
ら、安全管理体制の整備、守秘義務の遵守および違反に対する制裁措置等を明確に記載することが適切である。
●会員は、個人信用情報機関から得た資金需要者の返済能力に関する情報については、当該資金需要者の返済能力の調査以外の目的に使用することのないよう、慎重に取り扱うこととする。
●会員が特定個人情報を提供できる場合として、番号法第 19 条各号に規定しているものには、例えば、次の場合がある。
・個人番号関係事務処理に係る法令にもとづく税務署長等への提供
・委託または合併に伴う提供・株式等振替制度を活用した提供
・番号法の規定にもとづく特定個人情報の提出の求めがあった場合の提供（提供義務）・各議院審査等その他公益上の必要があるときの提供
・人の生命、身体または財産の保護のための提供
・使用者等から他の使用者等に対する従業者等に関する特定個人情報の提供

37

２．オプトアウトによる第三者提供
会員は、個人データの第三者への提供に当たり、次の①から⑨までに掲げる事項を予め本人に通知し、または本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出た場合には、「Ⅴ．１．第三者提供」の規定にかかわらず、予め本人の同意を得ることなく、個人データを第三者に提供することができる。
また、会員は、法第 27 条第２項にもとづき、必要な事項を個人情報保護委員会に届け出たときは、その内容を自らもインターネットの利用その他の適切な方法により公表するものとする。
加えて、会員は、与信事業に係る個人の返済能力に関する情報を個人信用情報機関へ提供する場合や機微（センシティブ）情報を第三者へ提供する場合には、オプトアウトを用いないこととする。なお、要配慮個人情報、法 20 条１項の規定に違反して取得されたものおよび他の個人情報取扱事業者からオプトアウト
により提供されたもの（その全部または一部を複製し、または加工したものを含む。）は、法第 27 条第２項のとおり、オプトアウトにより第三者に提供することはできないので注意を要する。
①第三者への提供を行う個人情報取扱事業者の氏名または名称および住所な
らびに法人にあっては、その代表者の氏名（法人でない団体で代表者または管理者の定めがあるものにあっては、その代表者または管理人）②第三者への提供を利用目的とすること③第三者に提供される個人データの項目④第三者に提供される個人データの取得の方法⑤第三者への提供の方法（例）・インターネットに掲載
・プリントアウトして交付
・各種通信手段による配信
・その他外部記録媒体の形式での交付⑥本人の求めに応じて第三者への提供を停止すること⑦本人の求めを受け付ける方法（例）
・郵送
・メール送信・ウェブサイト上の指定フォームへの入力
・支店の窓口での受付

38

・電話
⑧第三者に提供される個人データの更新の方法⑨オプトアウトにより個人データの第三者への提供を開始する予定日
会員は、オプトアウトにより個人データの第三者提供を行っている場合であって、上記①の事項に変更があったとき、またはオプトアウトによる個人データの提供をやめたときは遅滞なく、上記③から⑤まで、上記⑦から⑨を変更しようとするときは予め、その旨について、本人に通知し、または本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。なお、会員は、法第 27 条第３項にもとづき、当該必要な事項を個人情報保護委員会に届け出たときは、その内容を自らも公表するものとする。
（運用上の考え方）●オプトアウトによる第三者提供を行う際は、上記の①から⑨までに掲げる事
項を予め、第三者に提供される個人データによって識別される本人が当該提供の停止を求めるのに必要な期間をおかなければならない（施行規則第 11 条
第１項第１号）ため、本人に通知しまたは本人が容易に知り得る状態に置いた時点から、極めて短期間の後に、第三者提供を行ったような場合は、「本人が当該提供の停止を求めるのに必要な期間」をおいていないと判断され得る。
●「本人が当該提供の停止を求めるのに必要な期間」の具体的な期間について
は、業種、ビジネスの態様、通知または容易に知り得る状態の態様、本人と会員との近接性、本人から停止の求めを受け付ける体制、提供される個人データの性質などによっても異なり得るため、個別具体的に判断する必要がある。
●「本人が容易に知り得る状態」とは、事業所の窓口等への書面の掲示・備付けやウェブサイトへの掲載その他の継続的方法により、本人が知ろうとすれば、時間的にも、その手段においても、簡単に知ることができる状態をいい、事業の性質および個人情報の取扱状況に応じ、本人が確実に認識できる適切かつ合理的な方法によらなければならない。「本人が容易に知り得る状態」とは、
例えば、次の事例があげられる。
・会員のウェブサイトへの継続的な掲載
・店頭での継続的なポスターの掲示、書面の備え付け
・パンフレットの継続的な配付●なお、「Ⅱ．１．利用目的の特定」により特定された当初の利用目的に、個人情報の第三者提供に関する事項が含まれていない場合は、第三者提供を行うと目的外利用となるため、オプトアウトによる第三者提供を行うことはでき
ない。

39

３．委託
会員が、利用目的の達成に必要な範囲内において、個人データの取扱いに関する業務の全部または一部を委託することに伴い、当該個人データが提供される場
合は、当該提供先は第三者に該当しないものとする。

40

４．事業の承継
会員が、合併、分社化、事業譲渡等により事業が承継されることに伴い、当該事業に係る個人データを提供する場合は、当該提供先は第三者に該当しない。
なお、事業の承継後も、個人データが当該事業の承継により提供される前の利用
目的の範囲内で利用しなければならない。
また、事業の承継のための契約を締結するより前の交渉段階で、相手会社から会員の調査を受け、会員の個人データを相手会社へ提供する場合も、予め本人の同意を得ることなくまたは第三者提供におけるオプトアウト手続を行うことな
く、個人データを提供することができるが、当該データの利用目的および取扱方法、漏えい等が発生した場合の措置、事業承継の交渉が不調となった場合の措置等、相手会社に安全管理措置を遵守させるために必要な契約を締結しなければ
ならない。

41

５．共同利用
会員が、特定の者との間で共同して利用される個人データを当該特定の者に提供する場合であって、次に掲げる事項について、予め本人に通知し、または本人が容易に知り得る状態に置いているときには、当該個人データの提供を受ける者は、第三者に該当しないものとする。
①利用目的の範囲内において個人データを特定の者と共同利用する旨②共同利用される個人データの項目③共同利用者の範囲④共同利用者の利用目的⑤個人データの管理責任者の氏名または名称、住所および代表者（法人でない団体で代表者または管理者の定めがあるものにあっては、その代表者または管理人）の氏名
なお、会員は、個人データを共同利用する場合において、「共同利用者の利用目的」については、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内で変更することができ、「個人データの管理責任者」についても変更することができるが、いずれも変更する前に、変更しようとする内容について、本人に通知し、または本人が容易に知り得る状態に置かなければならない。
個人データの管理責任者の氏名、名称、住所、代表者の氏名に変更があったと
きには、遅滞なく、当該変更後の内容について、本人に通知し、または本人が容易に知り得る状態に置かなければならない。
特定個人情報については、番号法第 29 条第３項の規定により、共同利用を行うことはできない。
（運用上の考え方）●「共同利用」には、例えば、次のようなケースがある。
・グループ会社等による共同利用（総合的サービスの提供、リスク管理など）
・信用保証会社との共同利用●「本人が容易に知り得る状態」とは、例えば、次のようなものが該当する。
・会員のウェブサイトへの継続的な掲載
・店頭での継続的なポスターの掲示、書面の備え付け
・パンフレットの継続的な配付●③は、事業者名を全て個別に列挙することが望ましいが、個別に列挙しない場
合には、本人から見て、共同して利用する者の範囲の外延が明確であることが求められ、例えば、次のような記載方法がある。
・当行および有価証券報告書等に記載されている、当行の子会社

42

・当行ならびに有価証券報告書等に記載されている、当行の連結対象会社および持分法適用会社
・当行ならびに当行の持株会社たる持株会社○○および有価証券報告書等に記載されている同社の関係会社●上記の場合であっても、会員のウェブサイトに事業者名を記載する等により、共同利用者の範囲をより分かりやすく示すことが望ましい。
●⑤の「管理責任者」とは、開示等の請求および苦情を受け付け、その処理に尽力するとともに、個人データの内容等について、開示、訂正、利用停止等の権限を有し、安全管理等個人データの管理について責任を有する者をいう。なお、ここでいう「責任を有する者」とは、共同して利用する全ての事業者の中で、第一次的に苦情の受付・処理、開示・訂正等を行う権限を有する者をいい、共同利用者のうち一事業者の内部の担当責任者をいうものではない。また 、管理責任者以外の共同利用を行う者における安全管理責任等が免除されるわけではないことに留意する。
●すでに特定の事業者が取得している個人データを他の事業者と共同して利用する場合には、すでに取得している事業者が「Ⅱ．１．利用目的の特定」にもとづき特定した利用目的の範囲で共同して利用しなければならない。
●「共同利用者の利用目的」を変更するに当たっては、「Ⅱ．１．利用目的の特定」を参照のこと。
●共同利用の対象となる個人データの提供については、必ずしも全ての共同利
用者が双方向で行う必要はなく、一部の共同利用者に対し、一方向で行うこと
もできる。

43

６．外国にある第三者への提供（１）総論
会員は、個人データを外国にある第三者に提供するに当たっては、次の①から③のいずれかに該当する場合を除き、予め「外国にある第三者への個人データの提供を認める旨の本人の同意」を得なければならない。
①当該第三者が、わが国と同等の水準にあると認められる個人情報保護制度を有している国として施行規則で定める国にある場合②当該第三者が、個人情報取扱事業者が講ずべき措置に相当する措置（以下「相当措置」という。）を継続的に講ずるために必要な体制として施行規則で定める基準に適合する体制を整備している場合③「Ⅴ．１．第三者提供」の①から⑥に定める場合
また、会員は、当該同意を得ようとする場合には、予め、次の①～③の情報を、
電磁的記録の提供による方法、書面の交付による方法その他適切な方法により、当該本人に提供しなければならない。
①当該外国の名称②適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報③当該第三者が講ずる個人情報の保護のための措置に関する情報
上記①の特定ができない場合、会員は、上記①および②に代えて、ア）上記①が特定できない旨およびその理由（提供先が定まる前に同意を得る必要性を含む。
）、イ）上記①の事項に代わる本人に参考となるべき情報（移転先となる外国の候補を含む。）がある場合には、当該情報を提供しなければならない。
また、上記③の事項について情報提供できない場合には、当該事項に代えて、その旨およびその理由について情報提供しなければならない。
会員が本人の同意を得る際には、書面における記載を通じて、次の事項を本人に認識させた上で同意を得ることとする。
・個人データを提供する第三者・提供を受けた第三者における利用目的
・第三者に提供される情報の内容
同意を得ようとする時点において、個人データを提供する第三者が特定できない場合には、これに代わる本人に参考となるべき情報（例えば、提供先の第三者の範囲や属性に関する情報）を本人に認識させた上で、同意を得ることとする。

44

会員は、事後的に提供先の第三者が所在する外国を特定できた場合は、本人の求めに応じて、上記①および②を提供することする。また、事後的に提供先の第三者が講ずる個人情報の保護のための措置についての情報提供が可能となった
場合は、本人の求めに応じて、上記③を提供することとする。このような情報提供の求めが可能である旨を、上記書面における記載を通じて本人に認識させる
とともに、「個人情報保護宣言」に記載の上、インターネットのホームページへの常時掲載または事務所の窓口等での掲示・備付け等により、公表することとする。ただし、本人から情報提供の求めがあった場合であっても、例えば、情報提供することにより会員の業務の適正な実施に著しい支障を及ぼすおそれがある
場合等は、上記①から③の全部または一部について情報提供しないことができる。情報提供しない場合であっても、会員は、本人に対し、遅滞なくその旨を通知するとともに、その理由を説明することとする。
また、事後的に提供先の第三者が所在する外国を特定できた場合には、会員は、当該外国の名称をインターネットのホームページへの掲載等により、公表するとともに、定期的に更新することが望ましい。
（運用上の考え方）●通常の個人データの第三者提供とは異なり、委託、事業承継または共同利用に伴って外国にある第三者に個人データを提供する場合には、本規律が適用される点に留意する。
●外国にある第三者が、上記①または②に該当すれば、当然に個人データを第三者に提供できるわけではなく、その場合には、「Ⅴ．個人データの第三者への提供」にもとづき、外国にある第三者に個人データを提供することとなる。
●「外国にある第三者」の「第三者」には、外国政府なども含まれる。
●法人の場合には、個人データを提供する事業者と別の法人格を有するかどうかで「外国にある第三者」の「第三者」に該当するかを判断する。例えば、日本企業が、外国の法人格を取得している当該企業の現地子会社に個人データを提供する場合には、当該日本企業にとって「外国にある第三者」への個人データの提供に該当するが、現地の事業所、支店など同一法人格内での個人デー
タの移動の場合には「外国にある第三者」への個人データの提供には該当しない。
●外国の法令に準拠して設立され外国に住所を有する外国法人であっても、当
該外国法人が日本国内で個人情報データベース等を事業の用に供している「個人情報取扱事業者」に該当する場合には、「外国にある第三者」には該当しない。例えば、外国法人であっても、日本国内に事務所を設置している場合、
または、日本国内で事業活動を行っている場合など、日本国内で「個人情報デ45

ータベース等」を事業の用に供していると認められるときは、当該外国法人
は、「個人情報取扱事業者」に該当するため、「外国にある第三者」には該当しない。
●上記①の「当該外国の名称」は、提供先の第三者が所在する外国の名称をいう。
必ずしも正式名称を求めるものではないが、本人が自己の個人データの移転
先を合理的に認識できると考えられる名称でなければならない。
●上記②の「適切かつ合理的な方法」には、提供先の外国にある第三者に対して照会する方法、我が国または外国の行政機関等が公表している情報を確認する方法などが含まれる。
●上記②の「外国における個人情報の保護に関する制度に関する情報」は、提供先の第三者が所在する外国における個人情報の保護に関する制度と我が国の個人情報保護法との間の本質的な差異を本人が合理的に認識できる情報である必要があり、(ｱ)当該外国における個人情報の保護に関する制度の有無、(ｲ)
当該外国の個人情報の保護に関する制度についての指標となり得る情報の存
在、(ｳ)OECD プライバシーガイドライン 8 原則に対応する事業者の義務または本人の権利の不存在、(ｴ)その他本人の権利利益に重大な影響を及ぼす可能性のある制度の存在の観点を踏まえる必要がある。
●上記③の「当該第三者が講ずる個人情報の保護のための措置に関する情報」
は、当該外国にある第三者が講ずる個人情報の保護のための措置と個人情報保護法により個人データの取扱いについて個人情報取扱事業者に求められる措置との間の本質的な差異を本人が合理的に認識できる情報でなければならない。具体的には、当該外国にある第三者において、OECD プライバシーガイ
ドライン 8 原則に対応する措置（本人の権利にもとづく請求への対応に関する措置を含む。）を講じていない場合には、当該講じていない措置の内容について、本人が合理的に認識できる情報が提供されなければならない。また、提供先の外国にある第三者が、OECD プライバシーガイドライン 8 原則に対応する措置を全て講じている場合には、その旨を本人に情報提供すれば足りる。
●本人の同意を得る際に、会員が予め作成した同意書面を用いる場合には、文字の大きさおよび文章の表現を変えること等により、個人情報の取扱いに関する条項が他と明確に区別され、本人に理解されることが望ましい。
●例えば、本人の同意を得ようとする時点において、移転先となる外国の候補が具体的に定まっており、当該候補となる外国の名称等、外国の名称に代わる本
人に参考となるべき情報の提供が可能であるにもかかわらず、これを本人に情報提供しなかった場合は、適法な情報提供とは認められない。したがって、
この場合、会員は本人に改めて必要な事項を提供した上で、外国にある第三者
への個人データの提供を認める旨の本人の同意を得なければならない。
●情報提供により会員の業務の適正な実施に著しい支障を及ぼすおそれがある場合には、例えば、同一の本人から複雑な対応を要する同一内容について繰り46

返し情報提供の求めがあり、事実上問合せ窓口が占有されることによって他の問合せ対応業務が立ち行かなくなる等、業務上著しい支障を及ぼすおそれがある場合などが含まれる。
（２）個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準（１）の②の「個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制」の基準は次に掲げるいずれかを指す。
①会員と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第４章第２節の規定の趣旨に沿った措置の実施が確保されていること。
②個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みにもとづく認定を受けていること。
会員は、上記に従い、外国にある第三者に個人データを提供する場合には、当該提供の時点で、当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無および内容、当該制度がある場合においては、当該第三者による相当措置の継続的な実施の確保の可否を、適切かつ合理的な方法により、確認しなければならない。
会員は、上記に従い、外国にある第三者に個人データを提供した場合には、提供先の第三者が所在する外国の名称をインターネットのホームページへの掲載等により、公表するとともに、定期的に更新することが望ましい。
（運用上の考え方）●①の「適切かつ合理的な方法」は、個々の事例毎に判断されるべきであるが、個人データの提供先である外国にある第三者が、わが国の個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずることを担保することができる方法である必要がある。例えば、次の事例が該当する。
・外国にある事業者に個人データの取扱いを委託する場合には、提供元および提供先間の契約、確認書、覚書等・同一の企業グループ内で個人データを移転する場合には、提供元および提供先に共通して適用される内規、プライバシーポリシー等●①の「法第４章第２節の規定の趣旨に沿った措置」とは、次の表に掲げるものである。
法の該当条文
第 17 条項目
利用目的の特定47

第 18 条利用目的による制限

第 19 条不適正な利用の禁止

第 20 条

適正な取得

第 21 条取得に際しての利用目的の通知等

第 22 条

データ内容の正確性の確保等

第 23 条

安全管理措置

第 24 条

従業者の監督第 25 条

委託先の監督第 26 条漏えい等の報告等

第 27 条

第三者提供の制限

第 28 条外国にある第三者への提供の制限

第 32 条保有個人データに関する事項の公表等

第 33 条開示第 34 条

訂正等

第 35 条

利用停止等

第 36 条

理由の説明

第 37 条

開示等の請求等に応じる手続

第 38 条

手数料

第 40 条

個人情報取扱事業者による苦情の処理●会員は、契約等に上記の事項を規定しなければならないものではなく、「法第４章第２節の規定の趣旨」に鑑みて、実質的に適切かつ合理的な方法により、措置の実施が確保されていれば足りる。
●②の「個人情報の取扱いに係る国際的な枠組みにもとづく認定」とは、国際機関等において合意された規律にもとづき権限のある認証機関等が認定するものをいい、例えば、提供先の外国にある第三者が、ＡＰＥＣの越境プライバシールール（ＣＢＰＲ）システムの認証を得ていることが該当する。
●相当措置の実施に影響を及ぼすおそれのある外国の制度として、次に掲げる例が考えられる。
・事業者に対し政府の情報収集活動への広範な協力義務を課すことにより、事業者が保有する個人情報について政府による広範な情報収集が可能となる制度（※）
・事業者が本人からの消去等の請求に対応できないおそれがある個人情報の国内保存義務に係る制度※事業者が保有する個人情報について政府による情報収集が可能となる制度に関して、本人の権利利益に重大な影響を及ぼす可能性のある制度に該当するか否かを判断するに当たっては、例えば、OECD「民間部門が保有48

する個人データに対するガバメントアクセスに関する宣言」（2022 年）を参照することが考えられる。
（３）相当措置の継続的な実施を確保するために必要な措置
上記（２）の相当措置を継続的に講ずるために必要な体制として施行規則で定める基準に適合する体制を整備している場合に該当するとして、会員が個人データを外国にある第三者に提供する場合には、会員は、次の措置を講じなければならない。
①当該第三者による相当措置の実施状況ならびに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無およびその内容を、適切かつ合理的な方法により定期的に確認すること②当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データの当該第三者への提供を停止すること
また、会員は、本人の求めに応じて、次に掲げる情報を、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法により提供しなければならない。
・当該第三者による法第 28 条第 1 項に規定する体制の整備の方法
・当該第三者が実施する相当措置の概要
・会員による確認の頻度および方法
・当該外国の名称
・当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無およびその概要
・当該第三者による相当措置の実施に関する支障の有無およびその概要
・上記の支障に関して会員が講ずる措置の概要
会員は、上記のとおり、本人の求めに応じて事後的に情報を提供する旨を「個人情報保護宣言」に記載の上、インターネットのホームページへの常時掲載または事務所の窓口等での掲示・備付け等により、公表することとする。
（運用上の考え方）●上記①の当該第三者による相当措置の実施状況に係る「適切かつ合理的な方法」には、例えば、個人データを取り扱う場所に赴く方法または書面により報告を受ける方法により確認することとする。これらの方法は、外国にある第三者に提供する個人データの規模および性質ならびに個人データの取扱状況等に起因するリスクに応じたものとする。
●外国にある第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無および内容は、一般的な注意力をもって適切かつ合理的な方49

法により確認する必要があるが、例えば、当該第三者に対して照会する方法
や、我が国または外国の行政機関等が公表している情報を確認する方法が考えられる。
●上記①の「定期的に確認」とは、年に 1 回程度またはそれ以上の頻度で確認することをいう。

50

７．個人関連情報の第三者提供（１）総論
会員が、個人関連情報取扱事業者から法第 31 条第 1 項の規定による個人関連情報の提供を受けて個人データとして取得する場合、当該会員は、予め、次の措置を行う必要がある。ただし、Ｖ．１．の①から⑥に掲げる場合についてはこの限りでない。
①会員が個人関連情報取扱事業者から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意を得ること。
②外国にある第三者への提供に該当する場合には、上記①の本人の同意を得ようとするとき、Ｖ．６.に従い、予め、当該外国における個人情報の保護に関する制度、当該会員が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供すること。
また、会員が、法第 31 条 1 項の規定による個人関連情報取扱事業者からの確認を受けた場合、当該個人関連情報取扱事業者に対して、当該確認に係る事項を偽ってはならない。
（運用上の考え方）● 「個人データとして取得する」とは、提供先の会員において、個人データに
個人関連情報を付加する等、個人データとして利用しようとする場合をいう。
● 提供先の会員が、提供を受けた個人関連情報を直接個人データに紐付けて利用しない場合は、別途、提供先の会員が保有する個人データとの容易照合性が排除しきれないとしても、「個人データとして取得する」場合には直ちに該当しない。
（２）本人の同意の取得
会員は、上記（１）の①の同意を得る（提供元の個人関連情報取扱事業者に同意取得を代行させる場合を含む。）際には、原則として、書面によることとし、当該書面における記載を通じて、ア）対象となる個人関連情報の項目、イ）個人
関連情報の提供を受けて個人データとして取得した後の利用目的を本人に認識させた上で同意を得ることとする。
（運用上の考え方）● 上記（１）①の「本人の同意」とは、個人関連情報取扱事業者が会員に個人関連情報を提供し、当該会員が当該個人関連情報を個人データとして取得することを承諾する旨の当該本人の意思表示をいう。
● 上記（１）①の本人の同意は、必ずしも第三者提供のたびに取得しなければ51

ならないものではなく、本人が予測できる範囲において、包括的に同意を取得することも可能である。
● 上記（１）①の「本人の同意」を取得する主体は、本人と接点を持ち、情報を利用する主体となる提供先の会員であるが、同等の本人の権利利益の保護が図られることを前提に、同意取得を提供元の個人関連情報取扱事業者が代行することも認められる。
● 個人関連情報を個人データとして取得した後の利用目的については、提供先の会員において、II.６により通知または公表を行う必要があるが、提供先の会員が同意を取得する際に、同時に当該利用目的についても本人に示すことが望ましい。
（３）外国にある第三者への提供の場合の取扱い
個人関連情報の提供先である外国にある第三者が、個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制として施行規則
第 16 条で定める基準に適合する体制を整備している場合には、会員は、Ｖ．６．
（３）①および②の措置を講じなければならない。
会員が外国にある第三者による相当措置の実施状況を定期的に確認する際には、個人データの内容や規模に応じて個人データを取り扱う場所に赴く方法または書面により報告を受ける方法によることとする。

52

８．第三者提供に係る確認・記録義務（１）総論
会員は、第三者から個人データの提供を受けるに際しては、施行規則の定めるところにより第三者の氏名または名称および住所ならびに法人にあっては、その代表者（法人でない団体で代表者または管理人の定めのあるものにあっては、その代表者または管理人）の氏名および当該第三者による当該個人データの取得の経緯の確認を行わなければならない。
また、会員は、第三者から個人データの提供を受け上記確認を行った場合または第三者に個人データを提供した場合には、施行規則の定めるところにより受領または提供に係る記録を作成しなければならない。
ただし、上記確認・記録義務については、次に掲げる場合においては、適用されない。
①法令にもとづく場合②人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難である場合③公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場
合であって、本人の同意を得ることが困難である場合④国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがある場合⑤「Ⅴ．３．委託」による個人データの提供の場合⑥「Ⅴ．４．事業の承継」による個人データの提供の場合⑦「Ⅴ．５．共同利用」による個人データの提供の場合⑧第三者が法第 16 条第２項各号に掲げる次の者である場合
・国の機関
・地方公共団体
・独立行政法人等
・地方独立行政法人⑨当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）
さらに、解釈により、形式的には第三者提供の外形を有する場合であっても、確認・記録義務の趣旨に鑑みて、実質的に確認・記録義務を課する必要性に乏し

53

い第三者提供については、同義務の対象たる第三者提供には該当しない。
例えば、「本人による提供」や「本人に代わって提供」していると考えられる
個人データの授受については、確認・記録義務が課されない。また、「本人と一体と評価できる関係にある者に提供する」場合や「提供者が、最終的に本人に提供することを意図した上で、受領者を介在して提供」する場合にも同様に確認・記録義務が課されない。
（運用上の考え方）●①には、「Ⅱ．２．目的外利用および不適正な利用の禁止」の「（運用上の考え方）」で示した事例以外に、例えば、次の場合が該当する。
・手形法・小切手法に伴い手形・小切手取引に付随する個人データを授受する
場合
・犯罪収益移転防止法にもとづく取引時確認手続を履行するために、法人顧客から実質的支配者の個人データを受領する場合●⑧の「独立行政法人等」のうち、独立行政法人以外の主な法人は次のとおり。
・沖縄振興開発金融公庫
・株式会社国際協力銀行
・株式会社日本政策金融公庫
・国立大学法人
・日本銀行
・預金保険機構●例えば、次の取引等における個人データの授受は、解釈により確認・記録義務が課されない。
・振込
・外国送金
・本人に代わって行われる電子記録債権取引（発生・譲渡・保証等の各記録の請求等）に係る個人データの授受・財形貯蓄制度において、勤労者に代わって事業者が金融機関に対し必要な情報を提供する場合、および金融機関が勤労者の残高情報等を事業者を通じて勤労者に提供する場合
・グループ会社等の紹介を求められ、当該グループ会社に本人の個人データを提供する場合・取引先Ａ社からの依頼にもとづき、取引先Ｂ社の窓口担当者の氏名・連絡先等を、同窓口担当者の同意を得て、Ａ社に伝達する場合●会員が、機関としての代表者の氏名を提供する行為は、確認・記録義務が適用される第三者提供ではない。
●第三者等から受領する情報が、「個人情報」には該当するが「個人データ」に54

は該当しない情報の場合、またはそもそも「個人情報」に該当しない情報の場
合は、確認・記録義務が課されない。
なお、個人関連情報を個人データとして取得する場合については、後記（４）を参照。

（２）確認義務
会員が、第三者から個人データの提供を受ける際の当該第三者に対する確認事項は次のとおり。
①当該第三者の氏名または名称および住所ならびに法人にあっては、その代表者（法人でない団体で代表者または管理人の定めのあるものにあっては、その代表者または管理人）の氏名②当該第三者による当該個人データの取得の経緯①の確認方法は、個人データを提供する第三者から申告を受ける方法その他の適切な方法とする。また、②の確認方法は、個人データを提供する第三者から
当該第三者による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法とする。
なお、会員は、個人情報取扱事業者から個人データの提供を受ける際には、当該個人情報取扱事業者の法の遵守状況（例えば、利用目的、開示手続、問合せ・苦情の受付窓口の公表など）についても確認することが望ましい。特に、個人情報取扱事業者からオプトアウトによる第三者提供により個人データの提供を受ける際には、会員は、当該個人情報取扱事業者の届出事項が個人情報保護委員会
により公表されている旨を記録しなければならないことに留意する。
（運用上の考え方）●①の確認方法である「個人データを提供する第三者から申告を受ける方法その他の適切な方法」は、例えば、次のような方法があげられる。
【第三者から申告を受ける方法に該当する事例】
・口頭で申告を受ける方法
・所定の申込書等に記載をさせた上で、当該申込書等の提出を受け入れる方
法
・本人確認書類の写しの送付を受け入れる方法【その他の適切な方法に該当する事例】
・登記されている事項を確認する方法（受領者が自ら登記事項証明書・登記情報提供サービスで当該第三者の名称・住所・代表者の氏名を確認する方法）
55

・法人番号の提示を受けて、当該法人の名称、住所を確認する方法
・当該第三者が自社のウェブサイトなどで名称、住所を公開している場合において、その内容を確認する方法
・信頼性のおける民間のデータ業者のデータベースを確認する方法
・上場会社等の有価証券報告書等を確認する方法●「取得の経緯」の具体的な内容は、個人データの内容、第三者提供の態様など
により異なり得るが、基本的には、取得先の別（顧客としての本人、従業員としての本人、他の個人情報取扱事業者、家族・友人等の私人、いわゆる公開情報等）、取得行為の態様（本人から直接取得したか、有償で取得したか、いわゆる公開情報から取得したか、紹介により取得したか、私人として取得したものか等）などを確認しなければならない。
●「取得の経緯」の確認は、あくまで、個人データを提供した「第三者」による取得の経緯を確認すれば足り、そこから遡って当該「第三者」より前に取得した者の取得の経緯を確認する義務はない。
●②の確認の「適切な方法」は、例えば、次のような方法があげられる。
・提供者が別の者から個人データを買い取っている場合には売買契約書などを確認する方法
・提供者が本人から書面等で当該個人データを直接取得している場合に当該書面等を確認する方法
・提供者による取得の経緯が明示的または黙示的に示されている、提供者と受領者間の契約書面を確認する方法
・提供者が本人の同意を得ていることを誓約する書面を受け入れる方法
・提供者のウェブサイトで公表されている利用目的、規約等の中に、取得の経緯が記載されている場合において、その記載内容を確認する方法
・本人による同意書面を確認する方法
・個人情報を適法に入手したことを対面もしくは電話等で口頭確認する方法●複数回にわたって同一「本人」の個人データの授受をする場合において、同一の内容である事項を重複して確認する合理性はないため、すでに本規定で定める方法により確認を行い、後述（３）に規定する方法により記録を作成し、かつ、その時点において保存している記録に記録された事項と内容が同一であるものについては、当該事項の確認を省略することができる。例えば、会員が、同じ提供者から、すでに確認・記録義務を履行した、特定の事業活動であることを認識しながら、個人データの提供を受ける場合は、提供者の名称、当該個人データの取得の経緯について「同一であることの確認」が行われているものである。
●①の「代表者」には、代表権を有する者のほか、確認の対象となる第三者提供を業務として執行する権限を有している者も含まれる。

56

（３）記録義務①記録の作成方法等
a 会員は、原則として、個人データの授受の都度、速やかに、記録（文書、
電磁的記録またはマイクロフィルムで作られるもの）を作成しなければならない。
b 一定の期間内に、特定の事業者との間で、継続的にまたは反復して個人データを授受することが確実であると見込まれる場合は、個々の授受に係る記録を作成する代わりに、一括して記録を作成することができる（「Ⅴ．２．オプトアウトによる第三者提供」により授受されたものを除く。）。
c 会員が、本人に対する物品または役務の提供に係る契約を締結し、係る契約の履行に伴って、契約の締結の相手方を本人とする個人データを、本人の同意を得て会員から第三者に提供する場合や受領する場合には、当該契約書その他の書面をもって記録とすることができる（「Ⅴ．２．オプ
トアウトによる第三者提供」により授受されたものを除く。）。
（運用上の考え方）●記録は、個人データを授受する前に作成することもできる。
●本人別に単体で記録を作成する方法のほか、対象となる複数の本人の記録を一体として作成することもできる。
●「当該提供に関して作成された(契約書その他の書面)」の解釈として、複数の書面を合わせて１つの記録とすることは妨げられない。また、個人データを第三者提供する際に作成された契約書その他の書面のほか、当該個人データの内容を構成する契約書その他の書面も、「当該提供に関して作成された」ものに該当する。
●「契約書その他の書面」とは、本人と提供者との間で作成した契約書のみならず、提供者と受領者との間で作成した契約書も含まれる。
「契約書」のほかにも、「その他の書面」には、会員の内部で作成された帳票、記録簿等も含まれる。また、システム上の記録等も「契約書その他の書面」に該当する。
●上記 c の要件を充たさない書面、またはオプトアウトによる第三者提供の際に作成された書面等も、記録事項が記載されていれば記録として認められるが、保存期間（保存期間を３年とする必要がある。）の違いに留意する。
●提供者・受領者のいずれも記録の作成方法・保存期間は同一であることに鑑みて、提供者(または受領者)は受領者(または提供者)の記録義務の全部または一部を代替して行うことができる(提供者と受領者の記録事項の相違については留意する必要がある。)。なお、この場合であっても、提供者および受領者は自己の義務が免責されるわけではないことから、実質的に自らが記録作

57

成義務を果たしているものと同等の体制を構築しなければならない。
●委託先の事業者が委託契約の目的の範囲内で第三者との間で個人データの授受を行った場合において、一義的には委託先が記録を作成する義務があるが、委託元が記録の作成を代行することができる。
②記録事項
ａ 個人データの提供に係る記録事項(a) 会員が、オプトアウトによる個人データの第三者提供を行う場合は、次の項目を記録しなければならない。
ア 当該個人データを提供した年月日
イ 当該第三者の氏名または名称、住所、その代表者（法人でない団体
で代表者または管理者の定めがあるものにあっては、その代表者または管理者）の氏名(不特定かつ多数の者に対して提供したときは、その旨)
ウ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
エ 当該個人データの項目(b) 会員が、本人の同意にもとづき第三者提供を行う場合は、次の項目を記録しなければならない。
ア 法第 27 条第１項または法第 28 条第 1 項の本人の同意を得ている旨
イ 当該第三者の氏名または名称その他の当該第三者を特定するに足りる事項(不特定かつ多数の者に対して提供したときは、その旨)
ウ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
エ 当該個人データの項目
ｂ 個人データの受領に係る記録事項(a) 会員が、オプトアウトによる第三者提供を受ける場合は、次の項目を記録しなければならない。
ア 当該個人データを受けた年月日
イ 当該第三者の氏名または名称および住所ならびに法人にあっては、その代表者(法人でない団体で代表者または管理人の定めのあるものにあっては、その代表者または管理人)の氏名
ウ 当該第三者による当該個人データの取得の経緯
エ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
オ 当該個人データの項目

58

カ 個人情報保護委員会によりオプトアウトの届け出があったことが公表されている旨(b) 会員が、本人の同意にもとづき第三者から個人データの提供を受ける場合は、次の項目を記録しなければならない。
ア 法第 27 条第１項または法第 28 条第１項の本人の同意を得ている旨
イ 当該第三者の氏名または名称および住所ならびに法人にあっては、その代表者(法人でない団体で代表者または管理人の定めのあるものにあっては、その代表者または管理人)の氏名
ウ 当該第三者による当該個人データの取得の経緯
エ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
オ 当該個人データの項目(c) 会員が、他の個人情報取扱事業者または法第 16 条第２項各号に掲げる者（国の機関等）以外の者（私人など）から、個人データの提供を受ける場合は、次の事項を記録しなければならない。
ア 当該第三者の氏名または名称および住所ならびに法人にあっては、その代表者(法人でない団体で代表者または管理人の定めのあるものにあっては、その代表者または管理人)の氏名
イ 当該第三者による当該個人データの取得の経緯
ウ 当該個人データによって識別される本人の氏名その他当該本人を特定するに足りる事項
エ 当該個人データの項目

59

＜提供者の記録事項＞
提
供
年
月
日

第
三
者
の
氏
名
等

本
人
の
氏
名
等

個
人
デ
ー
タ
の
項
目

○

○

○

○

○

○

○

本
人
の
同
意

オプトアウトによる第三者
提供
本人の同意による第三者提○供＜受領者の記録事項＞
提
供
を
受
け
た
年
月
日

第
三
者
の
氏
名
等

取
得
の
経
緯

○

○

個
人
情
報
保
護
委
員
会

本
人
の
氏
名
等

個
人
デ
ー
タ
の
項
目

に
よ
る
公
表

○

○

○

○

○

○

○

○

○

○

○

○

本
人
の
同
意

オプトア
ウトによ
る第三者
提供
本人の同
意による
第三者提
供
私人から
の第三者
提供

60

○

（運用上の考え方）●「法第 27 条第１項または法第 28 条第 1 項の本人の同意を得ている旨」は、会員の事業の内容、第三者提供の態様等に鑑みて、同意の存在を明示的にまたは黙示的に示す証跡等がある場合には、当該証跡等をもって「同意を得ている
旨」の記録とすることができる。例えば、システムの設定により、本人の同意を得た場合のみ第三者提供が実施されることとなっている場合には、それをもって同意の存在を示す証跡があるものとすることができる。
●すでに作成した記録（現に保存している場合に限る。）に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。な
お、記録事項のうち、一部の事項の記録の作成を省略し、残りの事項の記録のみを作成した場合、記録全体としての保存期間の起算点は、残りの事項を作成した時点とする。
③記録の保存期間
会員は、作成した記録を次の表のとおりの期間の間保存しなければならない。
記録の作成方法の別

保存期間

「Ⅴ．８．
（３）① c」により最後に当該記録に係る個人データの提供を行った日記録を作成した場合※１から起算して１年を経過する日までの間「Ⅴ．８．
（３）① b」により最後に当該記録に係る個人データの提供を行った日記録を作成した場合※２から起算して３年を経過する日までの間

上記以外の場合３年※１

会員が、本人に対する物品または役務の提供に係る契約を締結し、係る契約の履行に伴って、契約の締結の相手方を本人とする個人データを、本人の同意を得て会員から第三者に提供する場合や受領する場合に、当該契約書その他の書面をもって記録とした場合。

※２

一定の期間内に、特定の事業者との間で、継続的にまたは反復して個人データを授受することが確実であると見込まれる場合に、個々の授受に係る記録を作成する代わりに、一括して記録を作成した場合。

（４）個人関連情報の第三者提供に係る確認・記録義務
会員が、法第 31 条第 1 項の規定による個人関連情報の提供を受けて個人データとして取得する場合、当該会員は、上記（２）および（３）の確認・記録義務を遵守する。
（運用上の考え方）● 個人関連情報の提供先である会員は、個人関連情報取扱事業者から法第 31条第 1 項の規定による個人関連情報の提供を受けて個人データとして取得す61

る際は、当該提供元の個人関連情報取扱事業者の氏名または名称および住所
ならびに法人にあっては、その代表者（法人でない団体で代表者または管理者の定めがあるものにあっては、その代表者または管理人）の氏名を確認しなければならない。
「当該第三者による当該個人データの取得の経緯」については、提供元の個人関連情報取扱事業者において、提供する個人関連情報を個人データとして取得していないことから、個人関連情報の提供先である会員における確認の対象とならない。
● 複数回にわたって同一「本人」の個人関連情報の提供を受けて個人データとして取得する場合において、同一の内容である事項を重複して確認する
合理性はないため、既に法所定の方法により確認を行い、法所定の方法により作成し、かつ、その時点において保存している記録に記録された事項と内容が同一であるものについては、当該事項の確認を省略することができる。
● 個人関連情報の提供先である会員の記録事項は、次のとおりである。
提
供
を
受
け
た
年
月
日

第
三
者
の
氏
名
等

取
得
の
経
緯

個
人
デ
ー
タ
（
個
人
関

本
人
の
氏
名
等

連
情
報
）
の
項
目

〇

〇

に
よ
る
公
表

個
人
情
報
保
護
委
員
会

本
人
の
同
意
等

個 人 関
連 情 報
の 提 供
を 受 け
て 個 人

〇

〇

デ ー タ
と し て
取 得 し
た場合
● 複数回にわたって同一「本人」の個人関連情報の提供を受けて個人データとして取得する場合において、同一の内容である事項を重複して記録する必要はない。すなわち、既に法所定の方法により作成した記録（現に保存している場合に限る。）に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。

62

Ⅵ．開示等の手続
１．保有個人データに関する事項の公表等（１）保有個人データに関する事項の本人への周知
会員は、保有個人データ（個人番号および特定個人情報を含む。以下、本項において同じ。）について、次に掲げる事項を、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。以下同じ。）に置かなければならない。
①会員の名称および住所ならびに法人にあっては、その代表者（法人でない団体で代表者または管理者の定めがあるものにあっては、その代表者または管理人）の氏名②全ての保有個人データの利用目的（「Ⅱ．６．①～③」までに該当し、通知、公表、明示を要しない場合を除く。）③保有個人データの利用目的の通知の求めまたは開示等の請求に応じる手続および保有個人データの利用目的の通知の求めまたは開示の請求に係る手数料の額（定めた場合に限る。）④保有個人データの取扱いに関する苦情の申出先⑤協議会の名称および苦情の解決の申出先⑥「Ⅴ．８．
（３）」により作成した記録の開示に応じる手続および開示の請求に係る手数料の額（定めた場合に限る。）⑦保有個人データの安全管理のために講じた措置（本人の知り得る状態に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。）（運用上の考え方）●保有個人データの安全管理のために講じた措置には、会員が取得し、または取得しようとしている個人情報であって、当該会員が保有個人データとして取り扱うことを予定しているものの漏えい等を防止するために講じた措置も含まれる。
●「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」とは、例えば、次のようなものが該当する。
・会員のウェブサイトへの継続的な掲載
・店頭での継続的なポスターの掲示、書面の備付け
・パンフレットの継続的な配付・本人の求めに応じた書面の交付、郵送、ファックスによる送付・本人の求めに応じた口頭、電話、電子メールでの回答●利用目的に第三者提供が含まれる場合には、②の「全ての保有個人データの利63

用目的」の内容として、その旨を記載しなければならない。
（２）保有個人データの利用目的の通知
会員は、次の①から④までの場合を除いて、本人から、当該本人が識別される
保有個人データの利用目的の通知を求められたときは、遅滞なく、本人に通知しなければならない。
ただし、会員は、通知しない旨を決定したときは、遅滞なく、その旨を本人に通知しなければならない。その際には、会員は、本人に対し、根拠とした法の条
文、判断の根拠およびその根拠となる事実を示し、その理由を説明することが望ましい。
①会員が保有個人データに関して本人の知り得る状態に置いた事項により、当該本人が識別される保有個人データの利用目的が明らかである場合②利用目的を本人に通知し、または公表することにより本人または第三者の生命、身体、財産その他の権利利益を害するおそれがある場合③利用目的を本人に通知し、または公表することにより当該個人情報取扱事
業者の権利または利益が侵害されるおそれがある場合④国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であり、協力する民間企業等が国の機関等から受け取った
保有個人データの利用目的を本人に通知し、または公表することにより、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合（運用上の考え方）●「通知」および「説明」の手段には、例えば、書面、口頭、電子メール、電話（自動音声を含む。）がある。

64

２．開示の請求
会員は、本人から、当該本人が識別される保有個人データ（個人番号および特定個人情報を含む。以下、本項において同じ。）または「Ⅴ．８．
（３）」により作成した記録の開示（存在しないときにはその旨を知らせることを含む。）の請求を受けたときは、本人に対し、電磁的記録の提供による方法、書面の交付による方法その他当該会員が定める方法のうち、当該本人が請求した方法により、遅滞なく、当該保有個人データまたは当該記録を開示しなければならない。ただし、当該本人が請求した方法による開示に多額の費用を要する場合その他の方法による開示が困難な場合にあっては、書面の交付による方法によることができる。
開示することにより次の①から③までのいずれかに該当する場合は、その全部または一部を開示しないことができるが、これにより開示しない旨の決定をしたとき、請求に係る保有個人データまたは当該記録が存在しないときは、遅滞なく、その旨を本人に通知しなければならない。

①本人または第三者の生命、身体、財産その他の権利利益を害するおそれがある場合②会員の業務の適正な実施に著しい支障を及ぼすおそれがある場合③法令に違反することとなる場合
また、本人が請求した方法による開示が困難であるときには、遅滞なく、その旨を本人に通知しなければならない。
これらの通知の際、会員は、本人に対し、根拠とした法の条文、判断の根拠およびその根拠となる事実を示し、その理由を説明することが望ましい。
（運用上の考え方）●Ｖ．８．
（３）により作成した記録のうち、次のいずれかに掲げるものは開示の対象に含まれない（以下、Ｖ．８．
（３）により作成記録から下記の①から④を除いたものを、「第三者提供記録」という。）。
①当該記録の存否が明らかになることにより、本人または第三者の生命、身体または財産に危害が及ぶおそれがあるもの②当該記録の存否が明らかになることにより、違法または不当な行為を助長し、または誘発するおそれがあるもの③当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国もしくは国際機関との信頼関係が損なわれるおそれまたは他国もし65

くは国際機関との交渉上不利益を被るおそれがあるもの④当該記録の存否が明らかになることにより、犯罪の予防、鎮圧または捜査
その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの●明文または解釈によりＶ．８．
（２）または（３）が適用されない場合において、これらの規定にもとづくことなく作成された記録は、第三者提供記録に含まれない。
●会員が第三者提供記録を本人に開示するに当たっては、Ｖ．８．
（３）において記録事項とされている事項を本人が求める方法により開示すれば足り、それ以外の事項を開示する必要はない。
●電磁的記録の提供による方法には、例えば、次のような方法がある。
・ 電磁的記録を CD-ROM 等の媒体に保存して、当該媒体を郵送する方法
・ 電磁的記録を電子メールに添付して送信する方法
・ 会員専用サイト等のウェブサイト上で電磁的記録をダウンロードしてもらう方法●「その他当該会員の定める方法」には、例えば、次のような方法がある。
・ 会員が指定した場所における音声データの視聴・ 会員が指定した場所における文書の閲覧●電磁的記録の提供による方法について、会員がファイル形式や記録媒体などの具体的な方法を定めることができる。
●②の「会員の業務の適正な実施に著しい支障を及ぼすおそれがある場合」には、例えば、次のような場合が該当する。なお、開示すべき保有個人データの量が多いことのみでは、②の「会員の業務の適正な実施に著しい支障を及ぼす
おそれがある場合」に該当しない。
・同一の本人から複雑な対応を要する同一内容について繰り返し開示の請求があり、事実上問合せ窓口が占有されることによって他の問合せ対応業務が立ち行かなくなる等、業務上著しい支障を及ぼすおそれがある場合
・与信審査内容等の会員が付加した情報を開示することで会員の業務の適正な実施に著しい支障を及ぼすおそれがある場合
・企業秘密が明らかになるおそれがある場合●「通知」および「説明」の手段には、例えば、書面、口頭、電子メール、電話（自動音声を含む。）がある。
●法第 33 条等にもとづく開示の請求において、本人から個人番号を付して請求が行われた場合や本人に対しその個人番号または特定個人情報を提供する場
合は、番号法第 19 条各号に定めはないものの、法の解釈上当然に特定個人情報の提供が認められるべき場合であり、特定個人情報を提供することができる（法第 34 条等にもとづく訂正等の請求（「Ⅵ．３」）または法第 35 条等にもとづく利用停止等の請求（「Ⅵ．４」）においても同じ。）。

66

３．訂正等の請求
会員は、本人から、当該本人が識別される保有個人データ（個人番号および特定個人情報を含む。以下、本項において同じ。）に誤りがあり、事実でないという理由によって、当該保有個人データの内容の訂正、追加または削除（以下「訂正等」という。）の請求を受けた場合は、利用目的の達成に必要な範囲内で遅滞なく必要な調査を行い、その結果にもとづき、原則として、訂正等を行わなければならない。
なお、会員は、訂正等の請求を受けて、保有個人データの訂正等を行ったとき、または訂正等を行わない旨の決定をしたときは、遅滞なく、その旨（訂正等を行った場合は、その内容を含む。）を本人に通知しなければならない。その際には、会員は、本人に対し、根拠とした法の条文、判断の根拠およびその根拠となる事実を示し、その理由を説明することが望ましい。
（運用上の考え方）●「通知」および「説明」の手段には、例えば、書面、口頭、電子メール、電話（自動音声を含む。）がある。
●保有個人データの内容の訂正等に関して法令の規定により特別の手続が定められている場合には、当該法令の規定が適用されることとなる。
●例えば、過去の一定時点におけるデータを利用する目的があるため、最新のデータに訂正等する必要がないなど、利用目的からみて訂正等が必要ではない
場合、または保有個人データが誤りである旨の指摘が正しくない場合には、訂正等を行う必要はない。ただし、その場合には、遅滞なく、訂正等を行わない旨を本人に通知しなければならない。

67

４．利用停止等の請求
会員は、本人から、当該本人が識別される保有個人データ（個人番号および特定個人情報を含む。以下、本項において特段の定めがない場合に限り同じ。）の取扱いが、「Ⅱ．２．目的外利用の禁止および不適正な利用」または「Ⅱ．４．
適正な取得」に違反しているという理由によって、当該保有個人データの利用の停止または消去（以下「利用停止等」という。）の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。
また、会員は、本人から、当該本人が識別される保有個人データ（特定個人情報を除く。）が、「Ⅴ．１．第三者提供」または「Ⅴ．６．外国にある第三者への提供」に違反して本人の同意なく第三者に提供されているとの理由によって、当該保有個人データの第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として、遅滞なく、当該保有個人デー
タの第三者提供を停止しなければならない。
加えて、当該本人が識別される保有個人データを、当該会員が利用する必要がなくなった場合、法第 26 条第１項本文に規定する漏えい等が生じた場合その他
当該本人の権利または正当な利益が害されるおそれがあるとの理由によって、当該保有個人データの利用停止等または第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、会員は、原則として、
遅滞なく、当該保有個人データの利用停止等または第三者提供を停止しなければならない。
なお、特定個人情報を第三者に提供することができる場合は、番号法第 19 条
各号に規定する場合に限定されている。したがって、「Ⅴ．１．第三者提供」または「Ⅴ．６．外国にある第三者への提供」にかかわらず、特定個人情報が第三者に違法に提供されていることを知った本人から、その提供に係る停止の請求を受けた場合であって、その請求に理由があることが判明したときには、原則として、遅滞なく、第三者への提供を停止しなければならない。

ただし、保有個人データの利用停止等または第三者提供の停止に多額の費用を要する場合その他の利用停止等または第三者への提供を停止することが困難な場合で、本人の権利利益を保護するため必要なこれに代わるべき措置を講じるときは、この限りでない。

68なお、会員は、上記により、保有個人データの全部もしくは一部について利用停止等を行ったときもしくは利用停止等を行わない旨の決定をしたとき、または保有個人データの全部もしくは一部について第三者提供を停止したときもしくは第三者への提供を停止しない旨の決定をしたときは、遅滞なく、その旨を本人に通知しなければならない。その際には、会員は、本人に対し、根拠とした法の条文、判断の根拠およびその根拠となる事実を示し、その理由を説明することが望ましい。
（運用上の考え方）●「通知」および「説明」の手段には、例えば、書面、口頭、電子メール、電話（自動音声を含む。）がある。
●会員は、「Ⅱ．３．ダイレクト・マーケティングの中止」のとおり、本人から、
ダイレクト・マーケティング（会員または会員が個人情報を提供する先が、特定の商品またはサービスに適合する顧客を限定して行う、ダイレクトメールの送付やテレマーケティングその他のセールス活動で、店舗等で直接面談して行うセールス活動を除くもの。）の目的で個人情報を利用することの中止を求められた場合には、当該目的での個人情報の利用または提供を中止しなけ
ればならない。
●「消去」とは、保有個人データを保有個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む。
●例えば、保有個人データの全部消去を求められた場合であっても、利用停止によって手続違反を是正できる場合であれば、そのような措置を講ずることにより、義務を果たしたことになり、必ずしも、求められた措置をそのまま実施する必要はない。
●手続違反である旨の指摘が正しくない場合は、利用停止等または第三者提供を停止する必要はない。
●「当該会員が利用する必要がなくなった」とは、III と同様に、当該保有個人
データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該保有個人データを保有する合理的な理由が存在しなくなった場合や利用目的が達成されなかったものの、当該目的の前提となる事業自体が中止となった場合等をいう。
●「本人の権利又は正当な利益が害されるおそれがある場合」とは、法目的に照らして保護に値する正当な利益が存在し、それが侵害されるおそれがある場合をいう。例えば、下記の事例は、この場合に該当しない。
・債務者が、債務の支払いを免れるため、会員に対して当該債務の履行請求に必要な情報の利用停止等を請求する場合
・過去に利用規約に違反したことを理由としてサービスの強制退会処分を受69

けた者が、再度当該サービスを利用するため、当該サービスを提供する会
員に対して強制退会処分を受けたことを含むユーザー情報の利用停止等を請求する場合・過去の信用情報にもとづく融資審査により新たな融資を受けることが困難になった者が、新規の借入れを受けるため、当該信用情報を保有している会員に対して現に審査に必要な信用情報の利用停止等または第三者提供の停止を請求する場合

70

５．開示等の手続
会員は、「Ⅵ．１．保有個人データに関する事項の公表等」の利用目的の通知の請求、「Ⅵ．２．開示の請求」、「Ⅵ．３．訂正等の請求」または「Ⅵ．４．利用停止等の請求」による請求（以下「開示等の請求等」という。）において、これを受け付ける方法として次の①から⑥までの事項を定め、それを本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置いておかな
ければならない。また、会員は、開示等の請求等に関する手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。
①開示等の請求等の申出先②開示等の請求等に際して提出すべき書面（電磁的記録を含む。）の様式その他の開示等の請求等の方式③開示等の請求等をする者（代理人を含む。）の本人確認方法④「Ⅵ．６．手数料」の手数料金額とその徴収方法（無料とする場合を含む。）⑤開示等の請求等に対する回答の方法・時期等⑥開示等の請求等をする者が代理人である場合の代理権を確認する方法（運用上の考え方）●開示等の請求等の受付および回答の手続を本人の知り得る状態に置く方法は、会員のウェブサイトへの継続的掲載や、店頭での継続的なポスターの掲示、書面の備付けによる方法が望ましい。
●①には、例えば、営業店や集中センター等の部署名、郵送先住所、受付電話番号、メールアドレス等が該当する。
●②の「開示等の請求等に際して提出すべき書面」には、例えば、取引支店名、口座番号、顧客番号、取引種類、取引日付等、開示等の請求等の対象となる保有個人データの特定に必要な事項を記入する欄を設けることも考えられる。
●②の｢その他の開示等の請求等の方式｣には、例えば、来店、郵送、電磁的手段
等の複数の手段がある。なお、会員は本人に過重な負担を課する事がないよう
複数の手段を用意することが望ましい。
●③の｢代理人｣には、未成年者もしくは成年被後見人の法定代理人や、本人が委任した任意代理人が該当する。また、会員は、例えば、犯罪収益移転防止法にもとづく確認手続と同レベルの手続など、本人に過重な負担を課すものとならないよう配慮しつつ、十分かつ適切な確認手続を定めるものとする。
●⑤には、例えば、次のような事項が該当する。なお、保有個人データおよび第三者提供記録の開示については、原則として、電磁的記録の提供による方法、書面の交付による方法その他当該会員が定める方法のうち、本人が請求した方法により開示する必要がある点に留意する。
・郵送、電話、電子メール等の回答の手段

71

・回答の対象となる情報によっては、回答はその場ではなく後刻となること
・本人が委任した任意代理人による開示等の請求等に対しては、直接本人に回答することがあること、または、本人にのみ回答すること●⑥には、例えば、次のような方法がある。
・会員所定の委任状以外は認めないこと・委任状とは別に電話等で本人から代理権授与の意思確認ができるまで開示
しないこと

72

６．手数料
会員は、「Ⅵ．１．保有個人データに関する事項の公表等」の利用目的の通知を求められ、または「Ⅵ．２．開示の請求」の開示の請求を受けたときは、当該措置の実施に関し、手数料の額を定め、これを徴収することができる。
会員は、当該手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。
（運用上の考え方）●「実費を勘案して」は、例えば、同様の内容の開示等手続の平均的実費の予測にもとづき、合理的な手数料額を算定する等の方法を含む。

73

Ⅶ．苦情処理体制の整備
会員は、個人情報（個人番号および特定個人情報を含む。）の取扱いに関する苦情を受けたときは、その内容について調査し、合理的な期間内に、適切かつ迅
速な処理に努めなければならない。また、会員は、そのために必要な体制の整備に努めなければならない。
（運用上の考え方）●「必要な体制の整備」には、例えば、次の措置が該当する。
・苦情処理手順の策定
・苦情受付窓口の設置・苦情処理に当たる従業者への十分な教育・研修

74

Ⅷ．漏えい等事案への対応
会員は、個人情報（特定個人情報を含む。以下、本項において同じ。）の漏えい等事案（漏えい等またはそのおそれのある事案をいう。以下同じ。）、仮名加工情報に係る削除情報等（法第 41 条 1 項の規定により行われた加工の方法に関する情報にあっては、その情報を用いて仮名加工情報の作成に用いられた個人情報を復元することができるものに限る。以下同じ。）の漏えい事案、匿名加工情報の作成に用いた個人情報から削除した記述等および個人識別符号ならびに法第 43 条第１項（匿名加工情報の作成等）の規定により行った加工の方法に関する情報の漏えい事案（以下「個人情報等の漏えい等事案」という。）の事故が発生した場合に備え、危機対応のための体制の整備および手順の策定を行わなければならない。
会員は、個人情報等の漏えい等事案の事故が発生した場合は、次の措置を講じるほか、法令等にもとづき適切な措置を講じる。
①監督当局等および協議会に直ちに報告する（会員銀行が受託者である場合には、委託元に直ちに報告する。）②二次被害の防止、類似事案の発生回避等の観点から、漏えい等の事実関係および再発防止策等を早急に公表する③個人情報等の漏えい等事案の対象となった本人に速やかに当該事案等の事
実関係等を通知等する
加えて、会員は、個人情報等の漏えい等事案の事故が発生した場合で、次に定めるものに該当する場合は、法令等にもとづき本人に通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するためこれに代わるべき措置をとるときは、この限りでない。
①要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下②～④において同じ。）の漏えい等が発生し、または発生したおそれがある場合②不正に利用されることにより財産的被害が生じるおそれがある個人デー
タの漏えい等が発生し、または発生したおそれがある場合③不正の目的をもって行われたおそれがある当該会員に対する行為による個人データ（当該会員が取得し、または取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、または発生したおそれがある場合④個人データに係る本人の数が千人を超える漏えい等が発生し、または発生したおそれがある場合

75

（運用上の考え方）●銀行法施行規則 13 条の６の５の２において、「銀行は、その取り扱う個人である顧客に関する情報（個人情報の保護に関する法律（平成 15 年法律第 57号）第 16 条第３項に規定する個人データに該当するものに限る。）の漏えい、滅失もしくは毀損が発生し、又は発生したおそれがある事態が生じたときは、当該事態が生じた旨を金融庁長官等に速やかに報告することその他の適切な措置を講じなければならない。」と定められている点に留意する。
●特定個人情報の漏えい等事案の事故が発生した場合には、個人情報保護委員会の番号法ガイドライン等に留意して対応する。

76

Ⅸ．個人情報保護宣言の制定
会員は、関係法令等および本指針を踏まえて、個人情報の適切な保護と利用に関する考え方および方針に関する宣言（いわゆるプライバシーポリシー、プライ
バシーステートメント等。以下「個人情報保護宣言」という。）を策定し、公表するものとする。
（運用上の考え方）●「個人情報保護宣言」には、例えば、次のような事項を記載する。
・関係法令等を遵守すること、個人情報を目的外に利用しないこと、個人デー
タの安全管理措置を講じること、漏えい等の防止に努めること、苦情処理に適切に取り組むこと、継続的な改善に努めること等、個人情報の適切な保護と利用を図るための取組み方針の宣言
・個人情報の利用目的の通知・公表等の手続、その他個人情報の取得、利用および提供に関する分かりやすい説明・開示等の手続等、個人情報の取扱いに関する分かりやすい説明
・個人情報の取扱いに関する質問および苦情処理の窓口●「個人情報保護宣言」には、本人の権利利益保護の観点から、事業の規模や内容に応じて、可能な限り、次の点を考慮した記述を盛り込むことが望ましい。
・保有個人データについて本人から求めがあった場合には、ダイレクトメールの発送停止など、自主的に利用停止等に応じること
・委託の有無、委託する事務の内容を明らかにする等、委託処理の透明化を進めること（なお、委託する事務が多数になる場合は、例示を示すことでよい。）
・事業分野に応じた利用目的を限定して示したり、本人の選択による利用目的の限定に自主的に取り組んだりするなど、本人にとって利用目的がより明確になるようにすること
・個人情報の取得元またはその取得方法（取得源の種類等）を可能な限り具体的に明記すること（なお、取得元が多数になる場合は、例示を示すことでよい。）● 「個人情報保護宣言」は、本人がこれを適切に理解した上で自らの判断により選択の機会を行使することができるような表示等により構成するのが望
ましく、そのための工夫として、①階層構造（要点を複数の項目にまとめ各項目を選択すると、詳細な内容が見られる構造をいう。）による表示、②アイ
コン、イラスト、動画等の視覚的ツールの活用、③ポップアップによる同意取得が考えられる。

77

Ⅹ．仮名加工情報・匿名加工情報の取扱い
仮名加工情報の取扱いに係る義務等の考え方については、別に定める「仮名加工情報に関するルール」による。
匿名加工情報の取扱いに係る義務等の考え方については、別に定める「匿名加工情報に関するルール」による。

78

Ⅺ．域外適用外国にある個人情報取扱事業者のうち、日本の居住者等国内にある者に対して物品やサービスの提供を行い、これに関連してその者を本人とする個人情報を取得した者が、外国においてその個人情報または当該個人情報を用いて作成した匿名加工情報を取り扱う場合には、当該外国にある個人情報取扱事業者に対して法に定める規定が適用される。

79

Ⅻ．個人情報保護指針の見直し
個人情報の保護についての考え方は、社会情勢の変化、国民の認識の変化、技術の進歩、国際動向等に応じて変わり得るものであり、本指針は、法の施行後の状況等諸環境の変化を踏まえて、必要に応じ見直しを行うものとする。
なお、本指針の見直しの際には、消費者の意見を代表する者その他の関係者の意見を聴くよう努めることとする。

平 成 17 年 ４ 月 実 施
平成 20 年３月一部改正
平 成 21 年 11 月 一 部 改 正
平 成 25 年 10 月 一 部 改 正
平成 27 年７月一部改正
平 成 27 年 10 月 一 部 改 正
平成 28 年２月一部改正
平成 29 年５月一部改正
平 成 30 年 ３ 月 一 部 改正
令和４年２月一部改正
令和４年３月一部改正
令和６年３月一部改正

80