目的・用語の定義
1.目的と適用対象範囲
1‑
1.目 的
このガイドラインは、国内のギフト業者等が、その事業を展開していく上で取扱う個人情報について、適切に利用、管理そして保護等の徹底を図れるように支援することを目的とする。
1‑
2.適用対象範囲
このガイドラインは、個人情報保護法において「個人情報取扱事業者」に該当するか否かを問わず、ギフトカ
タログ連合会加盟企業他、ギフト産業に関連する事業者を対象とする。

2.用語の定義2‑
1.個人情報とは生存する「個人に関する情報」であり、特定の個人を識別できるものをいう。また、他の情報と容易に照合する(例えば、通常の作業範囲内において、個人情報データベース等にアクセスし、照合できる等)ことができ、それによって特定の個人を識別できるものをいう。

・「個人に関する情報」には、氏名、性別、生年月日等、個人を識別する情報のみならず、かかる個人識別情報と組み合わされた、個人の身体、財産、職種、肩書き等の属性について、その事実や評価、判断を表す全ての情報であり、評価情報や公刊物等(例えば、官報、電話帳、職員録等)によって公になっている情報や映像、音声による情報も含まれ、暗号化されているか否かを問わない。
・ギフト業者に関連していえば、「お客様カード」、「配送伝票」、「修理伝票」、「ご返品・ご返金伝票」などが「個人情報」に該当する。
・死者に関する情報が、同時に、遺族に関する情報でもある場合には、当該生存する個人に関する情報となる。
・「生存する個人」には日本人に限られず、外国人も含まれるが、法人その他の団体は、「個人」に該当しない。
(ただし、法人その他団体の役員、従業員等に関する情報は「個人情報」に該当する。)
2‑
2.個人情報データベース等とは特定の個人情報を、コンピューターを用いて検索できるように、体系的に構成した個人情報を含む情報の集合物をいう。コンピューターを用いない場合であっても、カルテや指導要領等、紙面で処理した個人情報を五十
音順あるいは年月日順等、一定の規則で整理・分類したもの、また、目次や索引、符号等を付し、他人でも簡単に検索できるようにしたものも「個人情報データベース等」に該当する。

・電子メールに保管されているメールアドレス帳(メールアドレスと氏名を組み合わせた情報を入力している場
合)・名刺等を業務用パソコンに入力・整理し、他人でも検索が可能なもの
2

氏名、住所、企業別に分類整理されている市販の人名録等が「個人情報データベース等」の例として挙げられる。
2‑
3.個人情報取扱事業者とは
個人情報の量及び利用方法からみて、個人の権利・利益を害するおそれが少ない者を除いた、個人情報データ
ベース等を事業の用に供している者をいう。

・一つの事業者が異なる事業所で個別に個人情報データベース等を構築している場合であっても、個人情報デー
タベース等により識別される特定の個人の合計数の計算は、各事業所のものを全て合算して行う。
・ここでいう「事業」とは、単に「営利事業」のみを対象とするものではなく、一般社会通念上、事業と認められるものも含む。
・また、「個人情報データベース等」が、次の要件を全て満たしている場合には、特定の個人数として算入しない。
① 全部または一部を他人が作成している。
② 個人情報として氏名、住所または電話番号のみを含んでいる。
③ 個人情報データベース等を事業の用に供するに当たり、新たに個人情報を加え、識別される特定の個人を増やしたり、他の個人情報を付加したりして、個人情報データベース等そのものを変更するようなことをしていない。
例えば、電話帳や市販の電話帳 CD-ROM 等に掲載されている氏名及び電話番号、氏名または住所から検索できるような市販の情報等がこれらに該当する。
2‑
4.個人データとは「個人情報データベース等」を構成する個人情報をいう。
・個人情報データベース等から他の媒体にバックアップした個人情報や、コンピューター処理による個人情報
データベース等から出力された帳票等に印字された「個人情報」は「個人データ」に該当する。
・個人情報データベース等を構成する前の「入力帳票」に記載されている個人情報は「個人データ」に該当しない。
2‑
5.保有個人データとは
個人情報取扱事業者が、開示、内容の訂正、追加または削除、利用の停止、消去及び第三者への提供の停止を行うことができる権限を有する「個人データ」をいう。ただし、その存否が明らかになることにより、公益その他の利益が害されるもの、6 ヶ月以内に消去(更新することは除く)することとなるものは除く。

※「その存否が明らかになることで、公益その他の利益が害されるもの」とは、・その個人データの存否が明らかになることで、本人または第三者の生命、身体、または財産に危害が及ぶおそれがあるもの。例えば、家庭内暴力や児童虐待の支援団体が、加害者や被害者を本人とする個人データを持っている場合等が挙げられる。
3

・その個人データの存否が明らかになることで、違法または不当な行為を助長し、または誘発するおそれがあるもの。例えば、いわゆる総会屋、不審者あるいは悪質なクレーマー等からの不当要求被害を防止するために、それらを本人とする個人データを持っている場合が挙げられる。
・その個人データの存否が明らかになることで、国の安全が害されるおそれ、他国もしくは国際機関との信頼が損なわれるおそれ、または、交渉上不利益を被るおそれのあるもの。
・その個人データの存否が明らかになることで、犯罪の予防、鎮圧または捜査その他の公共の安全と秩序の維持に支障が及ぶおそれのあるもの。例えば、警察からの捜査関係事項照会や捜査差押令状の対象となった事業者
が、その対応の過程で捜査対象者または被疑者を本人とする個人データを保有している場合等が挙げられる。
2‑
6.本人とは個人情報によって識別される特定の個人をいう。

2‑
7.本人に通知とは本人に直接知らしめることをいう。事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。

・面談の場合は、口頭またはちらし等の文書を渡すこと。電語による場合は、口頭または自動音声装置等で知らせること。
・隔地者間では、電子メールやファックス等により送信、または、文書を郵便等で送付すること。
・電話勧誘販売では、電話で口頭により勧誘すること。電子商取引では、取引の確認を行うための自動応答の電子メールに記載して送信すること。
等が、合理的かつ適切な方法といえる。
2‑
8.公表とは広く一般に自己の意思を知らせることをいう。ただし、事業の性質及び個人情報の取扱状況に応じて、合理的かつ適切な方法によらなければならない。
・自社のウェブ画面中のトップページから一回程度の操作で到達できる画面への掲載、店舗・事務所内のポスター、パンフレット等の備え置き・店舗販売においては、店舗の見やすい場所への掲示
・物品販売用のパンフレット等への記載

4

2‑
9.本人の同意とは本人の個人情報が、個人情報取扱事業者によって示された取扱方法で取扱われることを承諾するその本人の意
思表示をいう。また、「本人の同意を得る」とは、その本人の承諾する旨の意思表示を、個人情報取扱事業者として認識することをいい、その方法は、事業の性質及び個人情報の取扱状況に応じ、本人が同意に関する判断を行うために必要と考えられる、合理的かつ適切な方法によらなければならない。

・同意する旨を本人から口頭または書面(電子的・磁気的方式等の記録も含む)で確認すること。
・本人が署名または記名押印した同意する旨の申込書等文書を受領し確認する。
・本人から同意する旨のメールを受信する。
・本人が同意する旨の確認欄ヘチェックする。あるいは、ウェブ画面上のボタンのクリック。
等が、合理的かつ適切な方法といえる。
【参 考】「同意」については、「明示の同意」と「黙示の同意」がある。
「明示の同意」とは、上記の例のように、個人情報の取得について、本人から同意の意思表示をもらうことを意味する。これに対して、「黙示の同意」とは、本人が特段の反対の意思表示をしなければ、同意したものとみなすことを意味する。
「黙示の同意」も「同意」であるが、「黙示の同意」の有無は一義的に明確ではないため、後の紛争を予防するという観点からは、個人情報を取得する場合、できる限り本人から「明示の同意」を得ることが望ましい。
2‑
10.本人が容易に知り得る状態とは本人が知ろうとすれば、時間的にも、その他手段においても、簡単に知ることができる状態に置いていることをいう。事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。

・ウェブ画面中のトップページから一回程度の操作で到達できる画面への掲載等が継続的に行われている。
・事務所の窓口等への掲示、備付け等が継続的に行われている。
・広く頒布されている定期刊行物へ定期的に掲載している。
・電子商取引において、商品を紹介するウェブ画面にリンク先を継続的に掲示している。
等が、合理的かつ適切な方法といえる。
2‑
11.本人が知り得る状態とは
ウェブ画面への掲載、パンフレットの配布、本人の求めに応じて遅滞なく回答する等、本人が知ろうとすれば、知ることができる状態に置くことをいい、常にその時点での正確な内容を、本人の知り得る状態に置かなければならない。事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。

・問い合わせ窓口を設け、問い合わせがあれば、口頭または文書で回答できる体制を構築しておく。
・店舗販売においては、店舗にパンフレットを備え置く。
・電子商取引において、問い合わせ先のメールアドレスを明記する。
5

等が、合理的かつ適切な方法といえる。
2‑
12.提供とは
個人データを、利用可能な状態に置くことをいう。個人データが物理的に提供されなくても、ネットワーク等を利用することで、個人データを利用できる状態にあれば「提供」に当たる。
2‑
13.従業者とは
個人情報取扱事業者の組織内にあって、直接間接に事業者の指揮監督を受けて、事業者の業務に従事している者をいう。
・雇用関係にある従業者(正社員、契約社員、嘱託社員、パート社員、アルバイト社員等)のみならず、取締役、執行役、理事、監査役、監事、派遣社員等も含まれる。
2‑
14.個人情報保護管理者とは事業者によって指名された者で、個人情報保護体制の運営と施策の実を行う責任者であって、個人情報の取扱いについて決定する権限を有する者である。

6

個人情報の取得・利用・提供
1. 個人情報の取得ルール
1‑
1.利用目的の明確化
個人情報取得の利用目的を、できる限り特定しなければならない。利用目的は単に抽象的、一般的に特定するのではなく、個人情報取扱事業者が最終的にどのような目的で利用するのかを、可能な限り具体的に特定する必要がある。

・単に、「事業活動の一環として」「お客様サービス向上の観点から」等一般的な表現ではなく、・「ギフト販売における商品の発送、関連するアフターサービス、新商品・サービスに関するご案内のお知らせのため」等具体的に特定する必要がある。
1‑
2.適正な取得
偽りや詐欺、その他の不正な手段により個人情報を取得してはならない。
・法的にみて不正な手段のみならず、社会通念上からみて不正な手段による取得もしてはならない。
1‑
3.特定の機微な個人情報の取得の禁止
特定の機微な情報及び本人識別情報で、プライバシーの侵害のおそれがある情報を取得してはならない。

・思想、信条及び宗教に関する事項
・人種、民族、門地、本籍地(所在地都道府県に関する情報を除く)、身体・精神障害、犯罪歴、その他社会的差
別の原因となる事項
・勤労者の団結権、団体交渉権及びその他団体行動の行為に関する事項
・集団示威行為への参加、請願権の行使及びその他の政治的権利の行使に関する事項
・保健医療及び性生活に関する事項
ただし、これらの収集、利用または提供について、明示的な情報主体の同意、法令に特別の規定がある場合、及び司法手続上必要不可欠である場合はこの限りでない。
1‑
4.取得に際しての利用目的の公表または通知
個人情報を取得する場合は、あらかじめその利用目的を公表していることが望ましい。公表していない場合は、取得後速やかに、その利用目的を本人に通知する
か、または、公表しなければならない。
・「本人に通知または公表が必要」な事例としては、「本人が自発的に提供・公表しているインターネット上から取得する場合」、「インターネット、官報、職員録から取得する場合」、「第三者から提供を受けた場合」等が含7まれる。
・法施行前から保有している個人情報については、「取得に際しての利用目的の公表または通知」の規定は適用されないが、保有個人データに関する事項の本人への周知の措置を講じる必要がある。(本ガイドライン「開示・訂正・利用停止等」2.保有データの本人への周知、を参照)
ただし、利用目的を本人に通知するか、または、公表することにより、以下のよ
うな事態をまねくおそれのある場合には、例外的に、通知または公表は不要である。
《例外事項》① 本人または第三者の生命、身体、財産その他の権利利益を害するおそれがある場合'② 当該個人情報取扱事業者の権利または正当な利益を害するおそれのある場合③ 国の機関または地方公共団体が法令で定める事務を遂行することに対して協力する必要があり、利用目的を本人に通知または公表することで、当該事務の遂行に支障を及ぼす可能性がある場合'④ 個人情報が取得される状況からみて、利用目的が明らかな場合
1‑
5.直接的に本人から取得する場合の利用目的の明示
書面等による記載、ユーザー入カ画面への打ち込み等により、直接本人から個人情報を取得する場合には、あらかじめ、本人に対してその利用目的を明示しなければならない。なお、口頭による個人情報の取得にまで、
この義務を課するものではない。

「本人に対し、その利用目的を明示」とは、本人に対し、その利用目的を明確に示すことをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。
あらかじめ、本人に対してその利用目的を明示しなければならない場合として、以下のものが挙げられる。
・申込書や契約書に記載された個人情報を本人から取得する場合
・アンケートに記載された個人情報を本人から取得する場合
・懸賞の応募用紙・はがきに記載された個人情報を本人から取得する場合
また、「利用目的の明示」の方法としては、・利用目的を明記した契約書その他書面を本人に対して手交、または送付する方法
・ネットワーク上においては、本人のアクセスした自社のホームページ上、または、本人の端末装置上にその利用目的を明示する方法等がある。
1‑
6.第三者提供に関する同意
個人情報を第三者へ提供する場合には、あらかじめその旨本人の同意を得ておかなければならない。
(「3.個人情報の提供ルール」欄参照)

・「あらかじめ」とは、第三者へ提供する前をいうが、個人情報の取得時に第三者への提供が明確となっている
場合は、取得時に同意を得ておくこと。
1‑
7.共同利用に関する通知と公表
個人情報をグループ企業間や販売店等と共同で利用しようとする場合には、所定の事項をあらかじめ本人に通8知するか、本人が容易に知りうる状態に置く必要がある。(「3.個人情報の提供ルール』欄参照)

・個人情報の取得時に、特定の者(グループ企業間や販売店等)との間で共同利用することが明確となっている場
合には、あらかじめ、特定の者と協議し、本人に通知、あるいは、本人が容易に知りうる状態に置かねばならない。

2.個人情報の利用ルール
2‑
1.利用目的による制限
利用目的の違成に必要な範囲を超えて、個人情報を取扱う場合には、あらかじめ本人の同意を得なければならない。

・例えば、就職のための履歴書に記載されている情報をもとに、事業者の商品販売促進のために商品カタログ等を送付する場合には、本人の同意を必要とする。
・「本人の同意を得る」とは、本人が承諾する旨の意思表示を当該個人情報取扱業者が認識することをいう。
「本人の同意」の判断は、合理的かつ適切な方法、
例えば、「同意する旨を本人から口頭または書面で確認する等」の方法によらなければならない。
ただし、以下のような場合については、利用目的による制限の適用除外となるので、本人の同意を得る必要はない。

・法令に基づいて個人情報を取扱う場合
・人(法人も含む)の生命または財産といった具体的な権利利益が害されるおそれがあり、それを保護するために個人情報の利用が必要であり、かつ、本人の同意を得ることが難しい場合
・公衆衛生の向上、または心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることが難しい場合
・国の機関または地方公共団体が法令で定める事務を遂行することに対して協力する必要があり、利用目的を本
人に通知または公表することで、当該事務の遂行に支障を及ぼす可能性がある場合
2‑
2.利用目的の変更の制限
利用目的の変更は、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲の変更であれば、当該変更を行う個人情報取扱事業者が、変更された利用目的について、本人に通知し、又は公表することで変更が可能である。
変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超える変更であれば、本人からの同意を取得しなければならない。

9

3.個人情報の提供ルール
3‑
1.第三者提供の禁止
あらかじめ、本人の同意を得ないで、個人データを第三者へ提供してはならない。同意を得るについては、事業の性質及び個人情報の取扱状況に応じ、本人が同意に関わる判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明示すること。

・第三者提供とは、例えば① 親子兄弟会社、グループ会社間で個人データを交換する。
② フランチャイズ組織の本部と加盟店間で個人データを交換する。
③ 同業者間で、特定の個人データを交換する。
④ ギフト業者と販売店等の小売業の間で、顧客個人データを交換する。
等が挙げられる。同一事業者間で、他部門へ個人データを提供する場合は、「第三者提供」としてみなされない。
3‑
2.第三者提供が可能な場合・第三者提供に該当しない場合
例外的に、あらかじめ本人の同意を得ないで、第三者に個人データを提供できるケース、あるいは、第三者提供に該当しないケースとして、以下のものが挙げられる。
(1) 法がその必要性を認める場合
・法令に基づいて個人情報を提供する場合
・人(法人も含む)の生命または財産といった具体的な権利利益が害されるおそれがあり、それを保護するために個人情報の提供が必要であり、かつ、本人の同意を得ることが難しい場合
・公衆衛生の向上、または心身の発展途上にある児童の、健全な育成のために特に必要な場合であり、かつ、
本人の同意を得ることが難しい場合
・国の機関等が、法令で定める事務を遂行することに対して協力する必要があり、協力する民間企業等が国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務を遂行する上で支障となる
場合(2) 第三者提供におけるオプトアウトを行っている場合
あらかじめ以下の４つの情報を、本人に通知、または、本人が容易に知りうる状態においておくとともに、本人からの求めに応じて第三者への提供を停止することができる場合は、本人の同意なく第三者へ提供できる。

・第三者への提供を利用目的とすること・第三者へ提供される個人データの項目(例えば、「氏名・住所・電話番号」、「氏名・商品購入履歴」等)
・第三者への提供の手段または方法
・本人の求めに応じて、当該本人が識別される個人データの第三者への提供を停止すること

10

(3)個人データの取扱業務を委託する場合
個人データの取扱に関する業務の全部、または一部を委託する場合は、第三者に該当しない。ただし、個人情報取扱事業者には、委託先に対する監督責任が課せられる。

・データの打ち込み等、情報処理を委託するために個人データを渡す
・注文を受けた商品発送のために、宅配業者に個人データを渡す
等のケースが挙げられる。
(4)合併等により、事業を継承する目的で、個人データを移転する場合
合併、分社化、営業譲渡等により他の個人情報取扱事業者に事業が継承され、個人データの提供を受ける場合は第三者に該当しない。ただし、事業の譲渡後も、個人データの譲渡前の利用目的の範囲内で利用をしなければならない。

(5)個人データを共同して利用する場合
個人データを特定の者との間で共同して利用する場合、以下の情報をあらかじめ本人に通知し、または、本人が容易に知りうる状態に置いておくとともに、共同して利用することを明らかにしている場合は、第三者に該当しない。

・共同して利用される個人データ項目(例えば、「氏名・住所・電話番号」、「氏名、商品購入履歴」等)
・共同利用者の範囲・利用する者の利用目的(共同して利用する個人データの全ての利用目的)
・個人データの管理について責任を有する者の氏名または名称

11

個人データの安全管理
1.個人データの安全管理措置
取扱う個人データの漏洩、減失または毀損の防止、そして、安全に管理するために、組織的、人的、物理的及び技術的な安全管理措置を講じなければならない。その際、本人の個人データが漏洩、減失または毀損した場合の本人が被る権利利益の侵害の程度や、個人事業取扱事業者の事業の性質や個人データの取扱状況に応じたリスクを勘案した上、各事業者の実情に応じた安全管理措置を自ら講じることが望ましい。
なお、各安全管理措置を講じる際の参考指針(ガイドライン)は以下の通りである。
1‑
1.組織的安全管理措置
組織的安全管理措置とは、個人データの安全管理について従業者の「責任と権限」を明確に定め、安全管理に対する規程や手順書を整備運用し、その実施状況を確認することをいう。措置を講じるに際し、参考とすべきポイントは以下の通りである。

【ポイント】(1) 個人データの安全管理措置を講じるための組織体制の整備(2) 個人データの安全管理措置を定める規程等(基準書)の整備と運用(3) 個人データの取扱い状況を一覧できる手段の整備(4) 個人データの安全管理措置の評価、見直し及び改善(5) 事故または違反への対応
1‑
2.人的安全管理措置
人的安全管理措置とは、従業者に対する業務上の機密保持のあり方、教育・研修、従業者に対する適切な監督、
事故者・違反者に対する罰則のあり方等を指す。
措置を講じるに際し、参考とすべきポイントは以下の通りである。
【ポイント】(1) 雇用時及び契約時における非開示契約の締結
・業務に従事する従業者(パートやアルバイトも含む)の採用時、派遣社員については委託契約時に、個人情報の安全管理及び機密保持に関する責務を果すように契約書で相互に明確化しておくことが必要である。派遣社員については、その上で、誓約書の取扱いや教育・研修について派遣元と協議し、確認した上で対応すること。
・退職者についても、業務上知りえた秘密情報の取扱いについては、退職時に別途誓約書を取得する方が望ましい。
(2) 従業者に対する周知・教育・訓練の実施(3) 従業者に対する適切な監督(従業者のモニタリングの実施)※ 雇用管理に関する個人情報の取扱いに関する事項については、「雇用管理に関する個人情報の適正な取扱いを確保するために事業者が構ずべき措置に関する指針」(厚生労働省告示)を参照のこと。
121‑3.物理的安全管理措置
物理的安全管理措置とは、具体的には、入退館(室)の管理、個人データ盗難の防止等の措置をいう。措置を講じるに際し、参考とすべきポイントは以下の通りである。
【ポイント】(1) 入退館(室)の管理(2) 盗難等の防止(3) 機器・装置等の物理的な保護対策
1‑
4.技術的安全管理措置
技術的安全管理措置とは、具体的には、個人データ及びそれを取扱う情報システムヘのアクセス制御、不正ソ
フトウエア対策、情報システムの監視等をいう。措置を講じるに際し、参考とすべきポイントは以下の通りである。
【ポイント】(1) 個人データヘのアクセスにおける識別と認証(2) 個人データヘのアクセス制御(3) 個人データヘのアクセス権限の管理(4) 個人データヘのアクセス記録(5) 個人データを取扱う情報システムについての不正ソフトウエア対策(6) 個人データの移送・送信等の対策(7) 個人データを取扱う情報システムの動作確認時の対策(8) 個人データを取扱う情報システムの監視
個人情報取扱事業者は、その事業規模及び活動に応じて、個人情報を保護するためのコンプライアンス・プログ
ラムを策定し、実施、維持・改善していくような体制を構築することが望ましい。なお、その体制整備に際しては以下の文献等を参照することができる。
・日本工業規格 JlSQ15001「個人情報保護に関するコンプライアンス・プログラムの要求事項」
・日本工業規格 J1SX5070「セキュリティ技術−情報技術セキュリティの評価基準」
・日本工業規格 J1SX5080「情報セキュリティマネジメント実践のための規範」

2. 外部委託先に対する管理措置
ギフト業界に属する個人情報取扱事業者は、外注業者を使用する場合に、外注業者へ個人データを提供するケースが想定される。その際、利用目的の達成に必要な範囲内で個人情報を提供する場合には、個人情報取得時に、特段、外注業者を使用する旨または、個人データを外部に提供する旨を明示することは必ずしも必要ない。
ただし、外注業者が利用目的の達成に必要な範囲を逸脱せずに、情報を利用・管理することが前提となるため、外注業者に対する必要かつ適切な監督を行う必要がある。
なお、ギフト業者に関連して想定される「外注業者」及び「その利用目的」は次の通りである。

13

外注業者

その利用目的運送業者・物流業者

製品等の加工及び発送情報処理業者

個人情報の情報処理

廃棄処分業者

個人情報等の廃棄処分

メーカー

商品直送を依頼

個人データの取扱いの全部または一部を委託する場合、必要な安全管理措置を遵守させるよう、受託者に対して、必要かつ適切な監督を行わなければならない。
また、委託者が受託者について必要かつ適切な監督を行っていない場合で、受託者が再委託した際に、再委託先が個人データの不適切な取扱いを行ったことにより、何らかの問題が発生した場合には、元の委託者がその責めを負うことになるので、受託者が再委託するような場合は注意を要する。

【ポイント】(1) 委託先選定基準の策定
外注業者へ委託する場合、個人情報取扱事業者は、各社毎に「委託先選定基準」を設定し、基準に準拠し委託先の選定を行い決定することが望ましい。
(2) 委託契約書への規定事項
外注業者へ個人データの取扱いを委託する以上、当該個人データの取扱いに関して、必要かつ安全な管理措置
として、委託者と受託者(外注業者)双方が同意した内容を「委託契約書」に記載しておくことが望ましい。
・委託者・受託者の責任分担の明確化(権利・義務関係の明確化)
・個人データの安全管理に関する事項① 個人データ漏洩防止、盗用防止に関する事項② 委託契約範囲外の加工、利用の禁止③ 委託契約範囲外の複写、複製の禁止④ 委託契約期間⑤ 委託契約終了後の個人データの返還・消去・廃棄に関する事項
・再委託に関する事項
再委託を行うにあたっての委託者への文書による報告
・個人データ取扱状況に関する委託者への報告・その頻度
・契約内容が遵守されていることを予め定めた間隔で定期的に確認
・契約内容が遵守されない、セキュリティ事故等が発生した場合の報告・連絡14開示・訂正・利用停止等
1.個人データ内容の正確性の確保
利用目的の達成に必要な範囲内において、個人情報データベース等への個人情報の入カ時の照合・確認の手続の整備、誤り等を発見した場合の訂正等手続の整備、記録事項の更新、保存期間の設定等により、個人データの正確性の確保かつ最新の内容に保つよう努めなければならない。

2.保有個人データの本人への周知
保有個人データに関して、以下の事項を本人の「知り得る状態」に置かなければならない。
① 当該個人情報取扱事業者の氏名または名称② 全ての保有個人データの利用目的(ただし、本ガイドライン「個人情報の取得ルール」1-4 取得に際しての利用目的の公表または通知〜12 ページ〜①〜③に掲げる例外事項は除く。)③ 保有個人データの利用目的の通知及び保有個人データの開示に係る手数料の額並びに開示等の求めの請求
手続④保有個人データの取扱いに関する苦情及び間い合わせの申出先(個人情報取扱事業者が認定個人情報保護団体に所属している場合は、その団体の名称及び申出先も含む。)

・「本人の知り得る状態」とは、ホームページヘの掲載、パンフレットの配布、本人の求めに応じて遅滞なく回答を行うこと等、本人が知ろうとすれば知ることができる状態をいう。
・「手数料」を徴収する場合は、実費を勘案して合理的であると認められる範囲でその額を決定しなければならない。
・「開示等の求め」とは、保有個人データの利用目的の通知、開示、内容の訂正、追加または削除、停止等、第三者への提供の停止の求めをいう。
・「請求手続」とは、個人情報取扱事業者が定める、開示等の求めを受け付ける方法であり、① 開示等の受付先② 本人確認方法③ 開示をする際の手数料に関する事項を定めることができる。万一、求めを行った者がこれら事項に従わなかった場合、開示等を拒否することができる。なお、請求手続を定めるにあたっては、必要以上に煩雑な書類を求めることや、受付窓口を不便な場所に設置する等、本人に過重な負担をかけないよう留意する必要がある。
「認定個人晴報保護団体」とは、苦情処理業務等、個人晴報の適正な取扱いの確保を目的として業務を行う民間団体に対し、主務大臣が認定する制度をいう。

3. 保有個人データの利用目的の通知

15

本人から自己が識別される保有個人データの利用目的の通知を求められたときは、遅滞なく本人に通知しなけ
ればならない。なお、通知しない旨を決定したときも、遅滞なく、本人に通知しなければならない。(ただし、本ガイドライン「個人情報の取得ルール」1-4 取得に際しての利用目的の公表または通知〜12 ページ〜の①〜③に掲げる例外事項の場合はこの限りではない。)

4.開示・訂正等に際しての本人確認開示、訂正等の申出を本人から受けた場合は、定められた方法で本人であるかどうかの確認(本人確認)を適切に行う必要がある。

・なりすまし等に注意し、本人確認を行う必要がある。万一、本人と異なる者に情報を開示してしまった場合、それ自体が個人情報の漏洩になってしまうので注意を要する。
・本人の確認に際しては、できる限り公的な身分証明書(運転免許証、健康保険証、パスポート等)の提示を求めるようにすべきである。
・開示・訂正等は、家族を含め基本的に本人以外に行ってはならない。万一、請求者が本人と異なる場合には、書面による請求により、請求者自身の確認と本人との関係(未成年者または成年被後見人の法定代理人、本人が委任した代理人かどうか等)、また、開示・訂正等をすべき理由が相当であるかの確認を行うべきである。

5.保有個人データの開示
本人から、自己が識別されている保有個人データの利用目的の開示を求められた場合、本人確認の上、本人に対して書面交付等の方法により、遅滞なく、当該保有個人データを開示しなければならない。ただし、以下の場合は、その全部または一部につき開示しないことができる。

・開示を拒否できる事項① 本人または第三者の生命、身体、財産その他の権利利益を害するおそれがある場合② 個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合、例えば、店頭などで同一の本人から複雑な対応を要するような開示請求を繰り返し求められた結果、店頭が占有されてしまい、業務に支障をきたす場合等が想定される。
③ 他の法令に違反することとなるおそれがある場合
・開示は原則、書面交付によるが、開示の求めを行った者が同意した方法がある場合はその方法による。
・例外的に、開示の全部または一部を拒否する場合、その旨を本人に通知しなければならない。

6.保有個人データの訂正等
本人から、保有個人データに誤りがあり、事実でないという理由で訂正等(訂正・追加削除等)を求められた場合には、原則として、訂正等を行い、訂正等を行った場合は、その内容を本人に対して遅滞なく通知しなければならない。

次のような場合は、訂正等を行う必要はない。
16

・利用目的から判断して、訂正等が必要でない場合や、誤りである旨の申出が正しくない場合は、訂正等を行う必要はない。ただし、その場合は「訂正等を行わない旨」遅滞なく本人に通知しなければならない。

7.保有個人データの利用停止等
本人から、手続違反の理由により保有個人データの利用停止等を求められた場合には、原則として、
当該措置を講じなければならない。なお、利用停止等を行った場合は、遅滞なく、その旨を本人に通知しなければならない。

・「手続違反」とは、同意のない目的外利用、不正な取得、または同意のない第三者提供をいう。
・「利用停止等」とは、保有個人データの利用の停止、消去または第三者への提供の停止をいう。
・違反を是正するための必要な限度を超えている場合(例えば、利用停止等の措置を講じるにあたり、不相当に多額の費用がかかるなど)や手続違反である旨の申出が正しくない場合には、利用停止等の措置を講じる必要はない。
ただし、その場合には、利用停止等を行わない旨を本人に通知しなければならない。

8.措置を講じない場合の理由説明
保有個人データの公表・開示・訂正・利用停止等において、その措置を講じない旨またはその措置と異なる措置を講じる旨を本人に通知する場合は、併せて、本人に対して、その理由を説明するように努めなければならない。

17

苦情の処理・その他
1.苦情の処理
個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。また、苦情の適切かつ迅速な処理を行うにあたり、苦情処理窓口の設置や苦情処理の手順を定めるなど必要な体制の整備に努めること。

・「個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理を行うにあたり、苦情処理窓口の設置や苦情処理の手順を定める等体制を整備することが必要である。
・体制の整備にあたっては、日本工業規格 JISZ9920「苦情対応マネジメントシステムの指針」が参考となる。

2.個人情報保護の考え方や方針の宣言
個人情報取扱事業者は、「個人情報保護に関する考え方や方針に関する宣言(いわゆる、プライバシーポ
リシー、プライバシーステートメント)」を策定し、ホームページヘの掲載等で公表することが望ましい。

・(参考)掲載すべき事項① 事業の内容及び規模を考慮した適切な個人情報の取扱い(同意なく第三者提供する場合、共同利用する場合、保有個人データに関すること、開示等の求めに応じる手続等)に関すること② 個人情報保護に関する法律を遵守すること③ 個人情報の安全管理措置に関すること④ コンプライアンス・プログラムを継続的に改善すること
等

3.個人情報保護管理者の指名事業者は、法及びその他の関係法令や本ガイドラインを理解し、実践する能力のある者を会員者の内部から１名以上指名し、個人情報保護管理者としての業務を行わせるものとする。

4.その他
4‑
1.認定個人情報保護団体について
・認定個人情報保護団体とは、事業者による苦情処理の取組を補完し、苦情の自主的な解決を図るために主務大臣が認定した民問の団体である。
18

・認定個人情報保護団体は、対象事業者の個人情報の取扱いに関する苦情処理、ガイドライン等の作成・公表、対象事業者への情報提供などの業務を行う。
4‑
2.個人情報保護法に違反すると・・・
・個人情報取扱事業者が義務規定に違反し、不適切な個人情報の取扱いを行っている場合には、事業を所管する主務大臣が、必要に応じて事業者に対して勧告、命令等の措置をとることができる。事業者が命令に従わなかった場合には罰則(6 ヶ月以下の懲役、または、30 万円以下の罰金)の対象となる。
4‑
3.危機管理（個人情報の漏洩等事故発生時）への対応
・個人データに関する十分な安全管理措置を講じているにもかかわらず、万一、個人情報の漏洩・減失等の事故が発生した場合には、その事実関係と原因を調査した上で、安全管理措置の改善に向けた見直しを行い、再発防止を図ると同時に被害の拡大を防止する措置を講じる必要がある。
・個人情報の漏洩、減失等の事故の発生に備え、社内の連絡・報告体制、すなわち、緊急時連絡体制を整備しておくと同時に、関連当局等に対する報告・連絡・相談・連携が適時・適切に講じられるような体制整備も必要となる。
主たる外部の連絡・報告・相談・連携先
連絡先(部署名・電話番号)
経済産業省

●●●

●●●（照会中）

ギフトカタログ連合会 事務局

株式会社セレクト内

地方公共団体

各企業の属する地方公共団体に連絡下さい。

06-6304-9201※各社の実情に応じて、適宜、追加願いたい。
※国及び都道府県・政令指定都市の個人情報窓ロー覧表を参照すること。

5.ガイドラインの見直し
個人情報の保護についての考え方は、社会情勢の変化、国民の認識の変化、技術の進歩等に応じて変わり得るものであり、本ガイドラインは、法の施行後の状況等諸環境の変化を踏まえて見直しを行うよう努めるものとする。

19

ガイドラインのポイント取得・利用・提供段階● 利用目的をできる限り特定しなければならない。
● 取得したときは利用目的を通知または公表しなければならない。★
● 利用目的の達成に必要な範囲を超えて取扱ってはならない。★
● 偽りその他不正の手段により取得してはならない。★
● 本人の同意を得ずに第三者へ提供してはならない。★

維持管理・安全管理段階● 正確かつ最新の内容に保つよう努めなければならない。
● 安全管理のために必要な措置を講じなければならない。★
● 従業者・委託先に対して必要な監督を行わなければならない。★

開示・訂正・利用停止等● 利用目的等を本人の知り得る状態に置かなければならない。★
● 本人の求めに応じて保有個人データを開示しなければならない。★
● 本人の求めに応じて訂正等を行わなければならない。★
● 本人の求めに応じて利用停止等を行わなければならない。★
● 苦情の適切かつ迅速な処理に努めなければならない。

● 上記★印に違反した場合には、個人情報保護法に基づく罰則が適用されるおそれがあるので注意が必要
である。

20

アピデ株式会社
ギフコ株式会社
株 式 会 社 三 喜
シャディ株式会社
株式会社エニシル
東栄産業株式会社
株 式 会 社 日 新株式会社藤田商店
株式会社ロワール

ギフト販売における個人情報保護ガイドライン
平成１７年４月１日発行

発行 ギフトカタログ連合会

21