個人情報の保護に関する取扱指針
平成１７年３月２３日
理 事 会 決 議
平成 19 年 10 月 24 日
平成 22 年 2 月 24 日
平成 27 年 9 月 16 日
平成 27 年 12 月 16 日
平成 29 年 5 月 24 日
2022 年 3 月 23 日

個人情報の保護に関する取扱指針

参考

一部改正
一部改正
一部改正
一部改正
一部改正
一部改正

参照条文

（目的等）
第１条 この取扱指針は、個人情報の保護に関する法律（以下「保護法」という。
）、個人情報の保護に関する法律施行令（以会員が行う投資運用業又は投資助言・代理業以外の業における個人情報の取扱いについて 保護法第 1 条、第 54 条

下「施行令」という。
）、個人情報の保護に関する法律施行規則（以下「施行規則」という。
）、個人情報の保護に関する基は、当該業務に関する認定個人情報保護団体等が定める個人情報保護指針等を遵守し、該当す 金融分野ｶﾞｲﾄﾞﾗｲﾝ第 1 条

本方針（以下「基本方針」という。
）、個人情報の保護に関する法律についてのガイドライン（通則編）（以下「通則ガイド

る指針等がないときは、この取扱指針の趣旨に沿って、個人情報の適正な取扱いに努めるもの 通則ｶﾞｲﾄﾞﾗｲﾝ 1

ライン」という。
）、同ガイドライン（外国にある第三者への提供編）、同ガイドライン（第三者提供時の確認・記録義務とする。

編）及び同ガイドライン（仮名加工情報・匿名加工情報編）並びに金融分野における個人情報保護に関するガイドライン（以下「金融分野ガイドライン」という。
）及び金融分野における個人情報保護に関するガイドラインの安全管理措置等 （注）会員の役職員の雇用等管理における個人情報（採用、賃金、人事評価、健康診断に係る情についての実務指針等（以下「個人情報保護関連法令等」という。
）を踏まえ、会員の行う投資運用業又は投資助言・代理

報等）及び会員自身の株主に関する個人情報については、この取扱指針の適用対象としない。

業における個人情報の適正な取扱いを確保するため、会員が講ずべき具体的な措置等を定めるものである。
なお、この取扱指針は個人情報保護関連法令等を基礎としており、この取扱指針において特に定めのない部分について
は、個人情報保護関連法令等が適用される。

保護法第 19 条

２ 会員は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。

通則ｶﾞｲﾄﾞﾗｲﾝ 3-2（定義）
第２条 この取扱指針において使用する用語は、別に定める場合を除き、個人情報保護関連法令等において使用する用語の通則ｶﾞｲﾄﾞﾗｲﾝ 2

例による。
（利用目的の特定）第３条 会員は、個人情報の取扱いに当たっては、個人情報がどのような事業の用に供され、どのような目的で利用される (1) 事業内容の具体例
かを本人が合理的に予想できるようできる限り特定しなければならない。

保護法第 17 条第 1 項① 投資助言業(投資助言業務)

金融分野ｶﾞｲﾄﾞﾗｲﾝ第 2 条② 投資一任契約に係る業務

第1項
通則ｶﾞｲﾄﾞﾗｲﾝ 3-1-1(2) 利用目的の具体例
利用目的は、例えば、以下のように具体的に記載する。
① お客様との投資顧問契約(助言業務)又は投資一任契約に関する事務を行うため② 投資助言サービスの提供を行うため③ お客様に対し、運用結果、契約資産残高等の報告を行うため

1

個人情報の保護に関する取扱指針

参考

参照条文

④ その他、必要な連絡を取るなどお客様への対応を適切かつ円滑に履行するため

なお、「当社の所要の目的で用いるため」、「当社の事業活動に用いるため」又は「当社の提供するサービスの向上のため」といった抽象的な利用目的は、「できる限り特定」したものとは認められない。

２ 会員は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行っ （許容例）「商品案内等を郵送」→「商品案内等をメール送付」てはならない。

保護法第 17 条第 2 項
通則ｶﾞｲﾄﾞﾗｲﾝ 3-1-2（認められない例）「アンケート集計に利用」→「商品案内等の郵送に利用」
３ 会員は、特定の個人情報の利用目的が、法令等に基づき限定されている場合には、その旨を明示することとする。

金融分野ｶﾞｲﾄﾞﾗｲﾝ第 2 条
第2項（利用目的による制限）
第４条 会員は、あらかじめ本人の同意を得ることなく、前条第１項により特定した利用目的の達成に必要な範囲を超えて、「本人の同意」とは、本人の個人情報が会員によって示された取扱方法で取り扱われること 保護法第 18 条第 1 項を承諾する旨の当該本人の意思表示をいう(当該本人であることを確認できることが前提。)。 通則ｶﾞｲﾄﾞﾗｲﾝ 3-1-3

個人情報を取り扱ってはならない。
ただし、あらかじめ本人の同意を得るために個人情報を利用することは、当初特定した利用目的にない場合でも、目的外利用には当たらない。

２ 会員は、合併その他の事由により他の個人情報取扱事業者等から事業を承継することに伴って個人情報を取得した場保護法第 18 条第 2 項

合は、あらかじめ本人の同意を得ないで、承継前における当該他の個人情報取扱事業者等の個人情報の利用目的の達成

通則ｶﾞｲﾄﾞﾗｲﾝ 3-1-4に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
ただし、あらかじめ本人の同意を得るために個人情報を利用することは、承継前の利用目的にない場合でも、目的外利用には当たらない。

３ 前２項は、次に掲げる場合については適用しない。
（１） 法令に基づく場合

例えば、次のようなものが該当する。

保護法第 18 条第 3 項① 金融商品取引法第 56 条の 2（報告の徴取及び検査)

金融分野ｶﾞｲﾄﾞﾗｲﾝ第 4 条② 金融商品取引法第 210 条、第 211 条等（証券取引等監視委員会職員による犯則事件の調 通則ｶﾞｲﾄﾞﾗｲﾝ 3-1-5
査）③ 犯罪による収益の移転防止に関する法律（以下「犯罪収益移転防止法」という。
）第８条
第１項（疑わしい取引の届出）④ 国税通則法第 74 条の 2 から第 74 条の 6（税務当局職員の質問検査権）⑤ 国税犯則取締法第 1 条等（収税官吏の行う犯則事件の検査又は収税官吏若しくは徴税吏
員の行う犯則事件の任意調査）⑥ 地方税法第 72 条の 63（事業税に係る総務省の職員の質問検査権）⑦ 国税徴収法第 141 条（質問及び検査）⑧ 刑事訴訟法第 197 条（捜査関係事項照会）⑨ 刑事訴訟法第 218 条第 1 項（令状による差押え・捜索・検証）2

個人情報の保護に関する取扱指針

参考

参照条文

⑩ 民事訴訟法第 223 条（文書提出命令）⑪ 弁護士法第 23 条の２第２項（報告の請求）
なお、当該法令に、第三者が個人情報の提供を求めることができる旨の規定はあるが、正当な事由に基づきそれに応じないことができる場合には、会員は、当該法令の趣旨に照らして目
的外利用の必要性と合理性が認められる範囲内で対応するよう留意する。

（２） 人の生命、身体又は財産（法人の財産を含む。
）の保護のために必要がある場合であって、本人の同意を得るこ

例えば、次のようなものが該当する。

とが困難であるとき① いわゆる総会屋又は暴力団等、反社会的団体若しくはその構成員等の違法行為に関する情報を収集する場合② 顧客等の急病に対処するため家族の連絡先等について医療機関へ情報提供する場合③ 地震、災害等により本人が行方不明である状況が継続している場合における当該本人の親族への契約内容等の開示④ 暴力団等の反社会的勢力情報、業務妨害行為を行う悪質者情報を企業間で共有する場合（３） 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（４） 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する

例えば、次のようなものが該当する。

必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき① 税務当局の任意調査に応じる場合② 警察の任意調査に応じる場合③ 一般統計調査に回答する場合
なお、会員は、任意の求めの趣旨に照らして目的外利用の必要性と合理性が認められる範囲内で対応するよう留意する。

（「同意」の形式）
第５条 会員は、第 4 条、第 13 条、第 13 条の 2 及び第 13 条の 6 に定める本人の同意を得る場合には、原則として、書面(1)「同意」を得る方法の具体例（電磁的記録を含む。以下同じ。
）によることとする。

例えば、次のような方法がある。

なお、本人が未成年者、成年被後見人、被保佐人及び被補助人であって、個人情報の取扱いに関して同意したことによ① 本人から直接個人情報を取得する書面上又は別の書面上に利用目的及び同意する旨の確って生ずる結果について判断できる能力を有していない場合などは、親権者や法定代理人等から同意を得る必要がある。

認欄（チェック欄）を記載し、本人の同意を得る方法② インターネット等の場合、画面上での同意の意思表示（了解ボタンのクリック等）又は同意文言を記載した本人からの電子メールの受領等による方法
なお、上記①又は②以外の電話等非対面の場合において、口頭による同意を得るときは、
顧客本人の同意の意思表示を録音するなど事後的に検証可能な体制をとることが望ましい。
(2) あらかじめ作成された同意書面を用いる場合の留意事項
文字の大きさ及び文章の表現を変えること等により、個人情報の取扱いに関する条項が他と明確に区分され、本人に理解されることが望ましい。
または、あらかじめ作成された同意書面に確認欄を設け本人がチェックを行うこと等、本人の意思が明確に反映できる方法により確認を行うことが望ましい。

3

金融分野ｶﾞｲﾄﾞﾗｲﾝ第 3 条
通則ｶﾞｲﾄﾞﾗｲﾝ 2-16

個人情報の保護に関する取扱指針

参考

参照条文

（機微（センシティブ）情報）
官報、新聞又はテレビ等に記載・報道された公知の情報は、機微（センシティブ）情報には 金融分野ｶﾞｲﾄﾞﾗｲﾝ第 5 条

第６条 会員は、要配慮個人情報並びに労働組合への加盟、門地、本籍地、保健医療及び性生活（これらのうち要配慮個人

該当しない。

情報に該当するものを除く。
）に関する情報（本人、国の機関、地方公共団体、学術研究機関等、保護法第 57 条第１項各第1項号に掲げる者若しくは施行規則第６条各号に掲げる者により公開されているもの、又は本人を目視し、若しくは撮影することにより取得するその外形上明らかなものを除く。
）（以下「機微（センシティブ）情報」という。
）については、次に掲 (留意事項)
平成 17 年 4 月 1 日以後、顧客から本人確認書類等として、本籍地が記載された運転免許証

げる場合を除くほか、取得、利用又は第三者への提供を行わないこととする。

等の写しの送付を受けた場合、ファイリング（保管）するまでの間に、速やかに、当該本籍地を黒塗りすれば、機微（センシティブ）情報の「取得」に当たらない。
なお、平成 17 年 4 月 1 日前に取得した機微（センシティブ）情報（１号から５号のいずれにも該当しないもの）については、同日以後は、利用又は第三者提供を行うことができない
ことに留意する。

（１） 法令等に基づく場合「法令等に基づく場合」の具体例
法律、政省令、条令、条約のほか、閣議決定や官公署が発出する公的な文書に基づく場合で、
例えば「暴力団員による不当な行為の防止等に関する法律」に基づく「暴力追放運動推進センター」の会議等の場で文書等に記載された暴力団や反社会的団体若しくはその構成員の反社会的行為に関する情報を取得する場合が該当する。

（２） 人の生命、身体又は財産の保護のために必要がある場合「人の生命、身体又は財産の保護のために必要がある場合」の具体例
例えば、いわゆる総会屋又は暴力団等、反社会的団体若しくはその構成員等を把握する目的で、犯罪情報を取得する場合（３） 公衆衛生の向上又は児童の健全な育成の推進のため特に必要がある場合（４） 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合（５） 会員の行う投資運用業又は投資助言・代理業の適切な業務運営を確保する必要性から、本人の同意に基づき業務遂行上必要な範囲で機微（センシティブ）情報を取得、利用又は第三者提供する場合

金融分野ｶﾞｲﾄﾞﾗｲﾝ第 5 条

２ 会員は、機微（センシティブ）情報を前項に掲げる場合に取得、利用又は第三者提供する場合には、同項に掲げる事

第2項

由を逸脱した取得、利用又は第三者提供を行うことのないよう、特に慎重に取り扱うこととする。

金融分野ｶﾞｲﾄﾞﾗｲﾝ第 5 条

３ 会員は、機微（センシティブ）情報を、第 1 項に掲げる場合に取得、利用又は第三者提供する場合には、例えば、要配第3項

慮個人情報を取得するに当たっては、保護法第 20 条第 2 項に従い、あらかじめ本人の同意を得なければならないとされていることなど、個人情報の保護に関する法令等に従い適切に対応しなければならない。

4

個人情報の保護に関する取扱指針

参考

４ 会員は、機微（センシティブ）情報を第三者へ提供するに当たっては、保護法第 27 条第 2 項（オプトアウト）の規定

参照条文
金融分野ｶﾞｲﾄﾞﾗｲﾝ第 5 条を適用しないこととする。

第4項（適正な取得）「不正の手段」に該当する例

第７条 会員は、偽りその他不正の手段により個人情報を取得してはならない。また、会員は、第三者から個人情報を取得

例えば、次のようなものが該当する。

するに際しては、本人の利益の不当な侵害を行ってはならず、個人情報の不正取得等の不当な行為を行っている第三者か保護法第 20 条第 1 項
通則ｶﾞｲﾄﾞﾗｲﾝ 3-3-1① 本人に対して、個人情報の収集目的を隠し、又は偽って取得する場合

ら、当該情報が漏えいされた情報であること等を知ったうえで個人情報を取得してはならない。

② 保護法第 27 条に規定する第三者提供制限違反を強要して個人情報を取得した場合③ 他の事業者に指示して不正の手段で個人情報を取得させ、その事業者から個人情報を取得する場合(1) 提供元の法令遵守状況の確認の具体的方法

２ 会員は、第三者からの提供により個人情報を取得する場合には、提供元の法令遵守状況を確認するとともに、当該個

例えば、オプトアウト、利用目的、開示手続、問い合わせ・苦情の受付窓口を公表して人情報が適法に取得されたものであることを確認するものとする。

いることの確認などが考えられる。

(2) 提供を受ける個人情報が適法に取得されたものであることは、例えば以下のいずれかの方法で確認する。
① 取得の経緯を示す契約書等の書面の点検② 適法に取得されている旨の確認書の受入れ③ 口頭による適法性の確認のうえ、適正な社内記録の保存

なお、提供を受ける個人情報が適法に取得されたものであることを確認できない場合は、その取得を自粛することを含め、慎重な対応を検討することが望ましい。
（取得に際しての利用目的の通知・公表、明示等）
第８条 会員は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目 (1) 「通知」とは本人に直接知らせることをいう。
的を本人に通知し、又は公表しなければならない。
この場合において、「通知」の方法については、原則として書面によることとし、「公表」の方法については、勧誘方法「通知」の方法については、原則として、書面によることとする。

通則ｶﾞｲﾄﾞﾗｲﾝ 2-14、2-15、

例えば、次のような方法がある。

3-3-3① 文書の手交等の事業の態様に応じ適切な方法によらなければならない。

② 電子メール、ファックスの送信③ 郵便による文書の送付(2) 「公表」とは不特定多数の人に知らせることをいう。
例えば、次のような方法がある。
① 書面等の掲示・備付け② パンフレットへの記載・配布③ ホームページへの掲載④ 営業所等でのポスター等の掲示（注）保護法施行前から保有している個人情報については、法施行時に個人情報の取得行為が5

保護法第 21 条第 1 項

金融分野ｶﾞｲﾄﾞﾗｲﾝ第 6 条

個人情報の保護に関する取扱指針

参考

参照条文

なく、保護法第 21 条の規定は適用されない。

２ 会員は、前項の規定にかかわらず、本人との間で契約を締結すること等に伴って契約書その他の書面に記載された個 (1) 本人から書面により直接的に取得する場合の例
例えば、次のような場合がある。

人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。

保護法第 21 条第 2 項
通則ｶﾞｲﾄﾞﾗｲﾝ 3-3-4① 本人から、投資顧問契約又は投資一任契約に係る書面等を受領する場合

ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

② 返信用ハガキ、アンケートに記載された個人情報を直接本人から取得する場合

なお、「法人と契約を締結することに伴って、法人代表者の個人情報が記載された契約書等の書面を取得した場合」であっても、「本人から直接書面に記載された当該本人の個人情報を取得する場合」に該当する。

(2) 「明示」の方法の具体例
例えば、次のような方法がある。
① 利用目的を記載した書面で明示する方法② 契約締結時に利用目的を契約書等に記載する方法③ ポスター等の掲示により明示する方法④ パンフレット又はチラシの配布等により明示する方法⑤ インターネット取引の場合は、顧客入力画面や顧客宛て電子メールにより明示する方法(3) 「明示」の内容等① 「明示」する内容は、取得した個人情報の利用目的である。
「明示」は、当該書面に記載された個人情報の利用目的のみを示す方法と、第３条により特定した包括的な利用目的の全部又は一部を示す方法のいずれかによるものとする。
② 本人に対して、契約締結時等に包括的な利用目的を明示している場合で、当該書面に記載された個人情報の利用目的が、契約締結時等に明示された包括的な利用目的の範囲内にある
ときは、当該書面による個人情報を取得する都度、あらためて利用目的の明示を行う必要はない。

３ 会員は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。

保護法第 21 条第 3 項
通則ｶﾞｲﾄﾞﾗｲﾝ 3-1-2

４ 前各項の規定は、次に掲げる場合については適用しない。

保護法第 21 条第 4 項
通則ｶﾞｲﾄﾞﾗｲﾝ 3-3-5
金融分野ｶﾞｲﾄﾞﾗｲﾝ第 6 条
第3項（１） 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害す 第 4 項第 1 号の具体例

6個人情報の保護に関する取扱指針

参考

るおそれがある場合

参照条文

例えば、暴力団等の反社会的勢力情報、疑わしい取引の届出の対象情報、業務妨害行為を行う悪質者情報の提供者が逆恨みを買うおそれがある場合（２） 利用目的を本人に通知し、又は公表することにより当該会員の権利又は正当な利益を害するおそれがある場合

第 4 項第 2 号の具体例
例えば、次のようなものが該当する。
① 開発中の新サービス、営業ノウハウが明らかになることにより、企業の健全な競争を害す
る場合② 暴力団等の反社会的勢力情報、疑わしい取引の届出の対象情報、業務妨害行為を行う悪質者情報を取得したことが明らかになることにより、情報提供を受けた企業に害が及ぶ場合（３） 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用 第 4 項第 3 号の具体例
目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき

例えば、犯罪捜査への協力のため、被疑者等に関する情報を取得した場合（４） 取得の状況からみて利用目的が明らかであると認められる場合

第 4 項第 4 号の具体例
例えば、次のようなものが該当する。
① 電話等での資料請求に対して、請求者が提供した住所及び氏名に関する情報を請求された資料の送付のみに利用する場合② 今後連絡を取り合うために名刺交換をした場合③ 着信において相手方の電話番号が非通知でない場合で、同じ用件で当方から相手方に電話を掛け直す場合（データ内容の正確性の確保）
第９条 会員は、利用目的の達成に必要な範囲内において、個人情報データベース等への個人情報の入力時の照合・確認の (1) 「個人データを正確かつ最新の内容に保つ」方法について
例えば、次のような方法がある。

手続の整備、誤り等を発見した場合の訂正等の手続の整備、記録事項の更新、保存期間の設定等を行うことにより、個人① 顧客に対して、正確かつ最新のデータ提供を働きかける方法

データを正確かつ最新の内容に保つよう努めなければならない。

保護法第 22 条
通則ｶﾞｲﾄﾞﾗｲﾝ 3-4-1
金融分野ｶﾞｲﾄﾞﾗｲﾝ第 7 条② 顧客からの届出内容について、迅速かつ正確に個人情報データベース等に反映する方法

なお、保有する個人データを一律に又は常に最新化する必要はなく、それぞれの利用目的に応じて、その必要な範囲内
で正確性・最新性を確保すれば足りる。

また、会員は、保有する個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的 (2) 「保存期間」について
保存期間は、合理的理由を伴う永久保存も該当する。

との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等は、当該個人データを遅滞なく消去するよう努めなければならない。
なお、法令の定めにより保存期間等が定められている場合は、この限りではない。
（安全管理措置）保護法第 23 条

第 10 条 会員は、その取り扱う個人データの漏えい、滅失又は毀損（以下「漏えい等」という。
）の防止その他の個人デー
タの安全管理のため、「金融分野における個人情報保護に関するガイドラインの安全管理措置等についての実務指針」に

通則ｶﾞｲﾄﾞﾗｲﾝ 3-4-2

基づき、安全管理に係る基本方針・取扱規程等の整備及び安全管理措置に係る実施体制の整備等の必要かつ適切な措置を金融分野ｶﾞｲﾄﾞﾗｲﾝ第 8 条

講じなければならない。また、必要かつ適切な措置は、個人データの取得・利用・保管等の各段階に応じた「組織的安全
管理措置」、「人的安全管理措置」、「物理的安全管理措置」、「技術的安全管理措置」及び「外的環境の把握」を含むものでなければならない。

7

個人情報の保護に関する取扱指針

参考

当該措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、
個人データの取扱状況（取り扱う個人データの性質及び量を含む。
）並びに個人データを記録した媒体の性質等に起因するリスクに応じたものとする。
例えば、不特定多数者が書店で随時に購入可能な名簿で、会員において全く加工をしていないものについては、個人の権利利益を侵害するおそれは低いと考えられることから、それを処分するために文書細断機等による処理を行わずに廃棄し、又は廃品回収に出したとしても、会員の安全管理措置の義務違反にはならない。

２ 会員は、外国において個人データを取り扱う場合には、外的環境を把握した上で、個人データの安全管理のために必要かつ適切な措置を講じなければならない。

３ 会員は、個人データの安全管理に係る基本方針・取扱規程等の整備として、以下の「組織的安全管理措置」を講じなければならない。
（１） 規程等の整備
イ 個人データの安全管理に係る基本方針の整備
ロ 個人データの安全管理に係る取扱規程の整備
ハ 個人データの取扱状況の点検及び監査に係る規程の整備
ニ 外部委託に係る規程の整備（２） 各管理段階における安全管理に係る取扱規程
イ 取得・入力段階における取扱規程
ロ 利用・加工段階における取扱規程
ハ 保管・保存段階における取扱規程
ニ 移送・送信段階における取扱規程
ホ 消去・廃棄段階における取扱規程
ヘ 漏えい等事案（漏えい等又はそのおそれのある事案をいう。以下同じ。
）への対応の段階における取扱規程

４ 会員は、個人データの安全管理に係る実施体制の整備として、以下の「組織的安全管理措置」、「人的安全管理措置」、「物理的安全管理措置」及び「技術的安全管理措置」を講じなければならない。
（１） 組織的安全管理措置
イ 個人データの管理責任者等（個人データの安全管理に係る業務遂行の総責任者である個人データ管理責任者、個人データを取り扱う各部署における個人データ管理者）の設置
ロ 就業規則等における安全管理措置の整備
ハ 個人データの安全管理に係る取扱規程に従った運用
ニ 個人データの取扱状況を確認できる手段の整備
ホ 個人データの取扱状況の点検及び監査体制の整備と実施
ヘ 漏えい等事案に対応する体制の整備（２） 人的安全管理措置
イ 従業者との個人データの非開示契約等の締結

8

参照条文

個人情報の保護に関する取扱指針

参考

参照条文

ロ 従業者の役割・責任等の明確化
ハ 従業者への安全管理措置の周知徹底、教育及び訓練
ニ 従業者による個人データ管理手続の遵守状況の確認（３） 物理的安全管理措置
イロ
ハニ

個人データの取扱区域等の管理機器及び電子媒体等の盗難等の防止
電子媒体等を持ち運ぶ場合の漏えい等の防止
個人データの削除及び機器、電子媒体等の廃棄（４） 技術的安全管理措置
イ 個人データの利用者の識別及び認証
ロ 個人データの管理区分の設定及びアクセス制御
ハ 個人データへのアクセス権限の管理
ニ 個人データの漏えい等防止策
ホ 個人データへのアクセスの記録及び分析
へ 個人データを取り扱う情報システムの稼動状況の記録及び分析
ト 個人データを取り扱う情報システムの監視及び監査（従業者の監督）「従業者」とは、個人情報取扱事業者の組織内にあって直接間接に事業者の指揮監督を受けて 保護法第 24 条

第 11 条 会員は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、適事業者の業務に従事している者等をいい、雇用関係にある従業員（正社員、契約社員、嘱託社員、 通則ｶﾞｲﾄﾞﾗｲﾝ 3-4-3

切な内部管理体制を構築し、その従業者に対する必要かつ適切な監督を行わなければならない。

当該監督は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人 パート社員、アルバイト社員等）のみならず、取締役、執行役、理事、監査役、監事、派遣社員 金融分野ｶﾞｲﾄﾞﾗｲﾝ第 9 条
データの取扱状況等に起因するリスクに応じたものとする。

等も含まれる（通則ガイドライン 3-4-3）。

２ 会員は、前項の従業者に対する「必要かつ適切な監督」を以下の体制整備等により行わなければならない。
（１） 従業者が、在職中及びその職を退いた後において、当該会員の行う投資運用業又は投資助言・代理業に関して知り得た個人データを第三者に知らせ、又は利用目的外に使用しないことを内容とする契約等を採用時等に締結する
こと(２） 個人データの適正な取扱いのための取扱規程の策定を通じた従業者の役割・責任の明確化及び従業者への安全管
理義務の周知徹底、教育及び訓練を行うこと（３） 従業者による個人データの持出し等を防ぐため、社内での安全管理措置に定めた事項の遵守状況等の確認及び従業者における個人データの保護に対する点検及び監査制度を整備すること（委託先の監督）保護法第 25 条

第 12 条 会員は、個人データの取扱いの全部又は一部を委託（契約の形態や種類を問わず、会員が他の者に個人データの取扱いの全部又は一部を行わせることを内容とする契約の一切を含む。
）する場合は、その取扱いを委託された個人デー

通則ｶﾞｲﾄﾞﾗｲﾝ 3-4-4

タの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

金融分野ｶﾞｲﾄﾞﾗｲﾝ第 10 条

当該監督は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質並びに個人データの取扱状況等に起因するリスクに応じたものとする。

２ 会員は、個人データを適正に取り扱っていると認められる者を選定し委託するとともに、取扱いを委託した個人デー

9個人情報の保護に関する取扱指針

参考

参照条文

タの安全管理措置が図られるよう、個人データの安全管理のための措置を委託先においても確保しなければならない（二段階以上の委託が行われた場合には、委託先の事業者が再委託先等の事業者に対して十分な監督を行っているかについても監督を行わなければならない。
）。
具体的には、例えば、以下の対応等が必要である。
(１) 個人データの安全管理のため、委託先における組織体制の整備及び安全管理に係る基本方針・取扱規程の策定等の内容を委託先選定の基準に定め、当該基準を定期的に見直すこと
なお、委託先の選定に当たっては、必要に応じて個人データを取り扱う場所に赴く（テレビ会議システムを利用する方法を含む。以下同じ。
）又はこれに代わる合理的な方法による確認を行った上で、個人データ管理責任者等が適切に評価することが望ましい。
(２) 委託者の監督・監査・報告徴取に関する権限、委託先における個人データの漏えい・盗用・改ざん及び目的外利用の禁止、再委託に関する条件及び漏えい等事案が発生した場合の委託先の責任を内容とする安全管理措置を委託契約に盛り込むとともに、定期的に監査を行う等により、定期的又は随時に当該委託契約に定める安全管理措置等の遵守状況を確認し、当該安全管理措置を見直すこと
なお、委託契約に定める安全管理措置等の遵守状況については、個人データ管理責任者等が、当該安全管理措置
等の見直しを検討することを含め、適切に評価することが望ましい。
委託先が再委託を行おうとする場合は、委託元は委託を行う場合と同様、再委託の相手方、再委託する業務内容
及び再委託先の個人データの取扱方法等について、委託先に事前報告又は承認手続を求め、かつ、直接又は委託先を通じて定期的に監査を実施する等により、委託先が再委託先に対して本条の委託先の監督を適切に果たすこと及び再委託先が保護法第 23 条に基づく安全管理措置を講ずることを十分に確認することが望ましい。
再委託先が再々委託を行う場合以降も、再委託を行う場合と同様とする。
（第三者提供の制限）
保護法第 27 条第 1 項

第 13 条 会員は、個人データの第三者（個人データを提供しようとする会員及び当該個人データに係る本人のいずれにも該当しないものをいい、自然人、法人その他の団体を問わない。第１３条の２から第１３条の５を除き、以下同じ。
）への金融分野ｶﾞｲﾄﾞﾗｲﾝ第 12 条

提供にあたり、あらかじめ本人の同意を得ないで提供してはならない。同意の取得にあたっては、事業の規模及び性質、

第1項

個人データの取扱状況（取り扱う個人データの性質及び量を含む。
）等に応じ、本人が同意に係る判断を行うために必要

通則ｶﾞｲﾄﾞﾗｲﾝ 3-6-1と考えられる合理的かつ適切な範囲の内容を明確に示さなければならない。個人データの第三者提供についての本人の同意を得る際には、原則として、書面によることとし、当該書面における記載を通じて、個人データの提供先の第三者、提供先の第三者における利用目的、及び第三者に提供される個人データの項目を本人に認識させた上で同意を得ることとする。
なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的において、その旨を特定しなければならない。
ただし、次に掲げる場合には、第三者への個人データの提供にあたって本人の同意は不要である。
例えば、次のようなものが該当する。

（１） 法令に基づく場合① 金融商品取引法第 56 条の 2（報告の徴取及び検査)② 金融商品取引法第 210 条、第 211 条等（証券取引等監視委員会職員による犯則事件の調査）③ 犯罪収益移転防止法第８条第１項（疑わしい取引の届出）10個人情報の保護に関する取扱指針

参考

参照条文

④ 国税通則法第 74 条の 2 から第 74 条の 6（税務当局職員の質問検査権）⑤ 国税犯則取締法第 1 条等（収税官吏の行う犯則事件の検査又は収税官吏若しくは徴税吏
員の行う犯則事件の任意調査）⑥ 地方税法第 72 条の 63（事業税に係る総務省の職員の質問検査権）⑦ 国税徴収法第 141 条（質問及び検査）⑧ 刑事訴訟法第 197 条（捜査関係事項照会）⑨ 刑事訴訟法第 218 条第 1 項（令状による差押え・捜索・検証）⑩ 民事訴訟法第 223 条（文書提出命令）⑪ 弁護士法第 23 条の２第２項（報告の請求）（２） 人の生命、身体又は財産（法人の財産を含む。
）の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき

例えば、次のようなものが該当する。
① いわゆる総会屋又は暴力団等、反社会的団体若しくはその構成員等の違法行為に関する情報を提供する場合② 顧客等の急病に対処するため家族の連絡先等について医療機関へ情報提供する場合③ 地震、災害等により本人が行方不明である状況が継続している場合における当該本人の親族への契約内容等の提供④ 暴力団等の反社会的勢力情報、業務妨害行為を行う悪質者情報を企業間で共有する場合（３） 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（４） 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき

例えば、次のようなものが該当する。
① 税務当局の任意調査に応じる場合② 警察の任意調査に応じる場合③ 一般統計調査に回答する場合（注）「協力する必要がある」か否かについては、会員が個別に判断することとなる。

２ 前項にかかわらず、会員は、通則ガイドライン３－６－２に定めるところにより、個人データ（機微（センシティブ）

保護法第 27 条第 2 項

情報を除く。
）を第三者に提供することができる（オプトアウトによる第三者提供）。

通則ｶﾞｲﾄﾞﾗｲﾝ 3-6-2

３ 次に掲げる場合において、当該個人データの提供を受ける者は、第三者に該当しない。

保護法第 27 条第 5 項（１） 会員が、利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合「利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合」の具体例
例えば、次のような場合が該当する。
① 顧客データを提供し、入力作業を委託する場合② 顧客データを提供し、書類の発送を委託する場合③ 顧客データ保管・廃棄を委託する場合④ その他の事務処理を委託する場合

11

通則ｶﾞｲﾄﾞﾗｲﾝ 3-6-3

個人情報の保護に関する取扱指針

参考

参照条文

（注）会員は、第 12 条により、委託先に対し必要かつ適切な監督を行わなければならないことに留意する。

（２） 合併その他の事由による事業の承継に伴って個人データが提供される場合（事業の承継後も個人データが当該事業の承継により提供される前の利用目的の範囲内で利用する場合に限る。
）｢合併その他の事由による事業の承継に伴って個人データが提供される場合｣の具体例
例えば、次のような場合が該当する。
① 合併② 会社分割③ 営業譲渡（３） 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者（共同して利用する者において、第一次的に苦情を受け付け、その処理を行うとともに、「共同して利用」の具体例
例えば、グループ会社等と共同して顧客に資産運用サービスを提供するために当該顧客データを利用する場合

開示、訂正等及び利用停止等の決定を行い、安全管理に責任を有する者をいう。第５項において「管理責任者」という。
）の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又「通知」の方法については、原則として、書面によることとする。

は本人が容易に知り得る状態に置いているとき

４ 会員が前項第３号の規定により行う通知は、原則として書面によることとする。会員による「共同して利用する者の範囲」の通知等については、共同利用者を個別に列挙することが望ましい。

「共同して利用する者の範囲」について① 共同利用者を個別列挙することが望ましい。

金融分野ｶﾞｲﾄﾞﾗｲﾝ第 12 条
4項

② 上記①の場合においては、ホームページに共同利用者名を記載する等により、共同利用者の範囲を分かりやすく示すことが考えられる。
５ 会員は、第３項第３号に規定する個人データの管理責任者の氏名、名称若しくは住所又は法人にあっては、その代表

保護法第 27 条第 6 項

者の氏名に変更があったときは遅滞なく、同号に規定する利用する者の利用目的又は管理責任者を変更しようとすると通則ｶﾞｲﾄﾞﾗｲﾝ 3-6-3

きはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
（外国にある第三者への提供の制限）
第 13 条の２ 会員は、外国（本邦の域外にある国又は地域をいう。以下同じ。
）（個人の権利利益を保護する上で我が国と同保護法第 28 条

等の水準にあると認められる個人情報の保護に関する制度を有している外国として施行規則第15 条で定めるものを除く。

施行規則第 15 条～18 条

以下、この条において同じ。
）にある第三者（個人データの取扱いについて個人情報取扱事業者が講ずべきこととされて通則ｶﾞｲﾄﾞﾗｲﾝ 3-6-4

いる措置に相当する措置を継続的に講ずるために必要なものとして施行規則第 16 条で定める基準に適合する体制を整備

個人情報の保護に関するしている者を除く。以下、この条において同じ。
）に個人データを提供する場合には、前条第１項各号に定める場合を除く

法律についてのｶﾞｲﾄﾞﾗｲﾝ

ほか、金融分野ガイドライン第 13 条に定めるところにより、あらかじめ外国にある第三者への提供を認める旨の本人の（外国にある第三者への同意を得なければならない。この場合においては、同条の規定は適用しない。

提供編）
金融分野ｶﾞｲﾄﾞﾗｲﾝ第 13 条

（第三者提供に係る記録の作成等）
第 13 条の３ 会員は、第三者（保護法第 16 条第 2 項各号に掲げる者を除く。本条から第 13 条の５まで同じ。
）に個人デー

保護法第 29 条

タを提供した場合には、個人データを提供した年月日、当該第三者の氏名または名称その他の施行規則第 20 条で定める

施行規則第 19 条、20 条

事項に関する記録を作成しなければならない。

通則ｶﾞｲﾄﾞﾗｲﾝ 3-6-5

ただし、当該個人データの提供が保護法第 27 条第 1 項各号又は第 5 項各号のいずれか（前条の規定による個人データ

12

個人情報の保護に関する個人情報の保護に関する取扱指針

参考の提供にあっては、保護法第 27 条第 1 項各号のいずれか）に該当する場合は、この限りでない。

参照条文
法律についてのｶﾞｲﾄﾞﾗｲﾝ（第三者提供時の確認・記
録義務編）（第三者提供を受ける際の確認等）
第 13 条の４ 会員は、第三者から個人データの提供を受けるに際し、当該第三者の氏名又は名称及び住所並びに法人にあ保護法第 30 条ってはその代表者の氏名、当該第三者による当該個人データの取得の経緯の確認を行い、保護法第 30 条第３項に定める施行規則第 22 条～24 条

事項に関する記録を作成しなければならない。

通則ｶﾞｲﾄﾞﾗｲﾝ 3-6-6

ただし、当該個人データの提供が保護法第 27 条第 1 項各号又は第 5 項各号のいずれかに該当する場合は、この限りで個人情報の保護に関する法律についてのｶﾞｲﾄﾞﾗｲﾝない。

（第三者提供時の確認・記
録義務編）（第三者提供時の記録に係る保存期間）
第 13 条の５ 第 13 条の３及び第 13 条の４に従い作成した記録については、当該記録を作成した日から施行規則第 21 条及保護法第 29 条、30 条
施行規則第 21 条、25 条

び第 25 条で定める期間保存しなければならない。

通則ｶﾞｲﾄﾞﾗｲﾝ 3-6-5、3-66
個人情報の保護に関する法律についてのｶﾞｲﾄﾞﾗｲﾝ（第三者提供時の確認・記録義務編）4-3（個人関連情報の第三者提供の制限等）
第 13 条の６ 会員は、個人関連情報取扱事業者から保護法第 31 条第１項の規定による個人関連情報の提供を受けて個人デ保護法第 31 条ータとして取得するに当たり、同項第１号の本人の同意を得る際には、金融分野ガイドライン第 14 条に定めるところに

施行規則第 26 条

より、原則として、書面によることとする。

通則ｶﾞｲﾄﾞﾗｲﾝ 3-7
金融分野ｶﾞｲﾄﾞﾗｲﾝ第 14 条

13

個人情報の保護に関する取扱指針

参考

参照条文

（保有個人データに関する事項の公表等）「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）」の具体例

第 14 条 会員は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく保護法第 32 条第 1 項

本人が知ろうと思えば知ることができる状態をいい、会員は、勧誘方法等の事業の態様に 施行令第 10 条

回答する場合を含む。
）に置かなければならない。なお、利用目的に第三者提供が含まれる場合には、第２号の内容とし通則ｶﾞｲﾄﾞﾗｲﾝ 3-8-1て、その旨を明らかにしなければならない。

応じて、例えば、次のような方法により、適切な措置を講ずる必要がある。

（１） 会員の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名① ホームページでの常時掲載（第 23 条に定める「個人情報保護宣言」と一体として掲載す 金融分野ｶﾞｲﾄﾞﾗｲﾝ第 15 条
る方法もある）（２） 全ての保有個人データの利用目的（ただし、第８条第４項第１号から第３号に該当する場合を除く。
）② 営業所の窓口等での常時掲示・備付け（３） 第 19 条第 1 項の規定により定めた開示等の請求等に応じる手続及び第 20 条第 1 項の規定により定めた手数料③ パンフレット・リーフレットへの継続的記載の額（４） 保有個人データの安全管理のために講じた措置④ 本人の求めに応じた書面の交付、郵送、ファックス等による送付（５） 保有個人データの取扱いに関する苦情及び問い合わせの申出先⑤ 本人の求めに応じた口頭、電話、電子メールでの回答（６） 認定個人情報保護団体の名称及びその苦情の解決の申出先保護法第 32 条第 2 項

２ 会員は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞通則ｶﾞｲﾄﾞﾗｲﾝ 3-8-1

なく、これを通知しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りではない。
（１） 前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合（２） 第８条第４項第１号から第３号に該当する場合

３ 会員は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、保護法第 32 条第 3 項

遅滞なく、その旨を通知しなければならない。

通則ｶﾞｲﾄﾞﾗｲﾝ 3-8-1（開示）
第 15 条 会員は、本人から、当該本人が識別される保有個人データについて開示（存在しないときにはその旨を知らせる (1)「開示」とは、開示の請求を受けた個人情報の存否を含めてその内容を知らせることをいう。 保護法第 33 条第 2 項
ことを含む。
）の請求を受けたときは、本人に対し、電磁的記録の提供による方法、書面の交付による方法その他当該個人

施行令第 10 条

情報取扱事業者の定める方法のうち本人が請求した方法（当該方法による開示に多額の費用を要する場合その他の当該方施行規則第 30 条

法による開示が困難である場合にあっては、書面の交付による方法）により、遅滞なく、当該保有個人データを開示しな (2)「開示の請求を行った者が同意した方法」の具体例

通則ｶﾞｲﾄﾞﾗｲﾝ 3-8-2ければならない。ただし、開示することにより次のいずれかに該当する場合は、その全部又は一部を開示しないことがで

例えば、次のような方法がある。

金融分野ｶﾞｲﾄﾞﾗｲﾝ第 16 条

きる。

① 電子メールによる方法② 電話による方法（１） 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（２） 会員の業務の適正な実施に著しい支障を及ぼすおそれがある場合(1)「会員の業務の適正な実施に著しい支障を及ぼすおそれがある場合」に該当する例
例えば、次のような場合が該当する。
① 評価情報等、会員が付加した情報の開示請求を受けた場合又は保有個人データを開示することにより顧客等への適正な対応が妨げられる場合② 同一の本人から複雑な対応を要する同一内容について繰り返し開示の請求があり、事実上問い合わせの申出先が占有されることによって、他の問い合わせ対応業務が立ち行かなくなる等、業務上著しい支障を及ぼす場合③ 保有個人データを開示することにより評価・試験等の適正な実施が妨げられる場合

14個人情報の保護に関する取扱指針

参考

参照条文

④ 企業秘密が明らかになるおそれがある場合(2) 「会員の業務の適正な実施に著しい支障を及ぼすおそれがある場合」に該当しない例
例えば、開示すべき保有個人データの量が多いことのみを不開示理由とすることはできない。

（３） 他の法令に違反することとなる場合「他の法令に違反することとなる場合」に該当する例
例えば、犯罪収益移転防止法第８条第 3 項（顧客への届出事実の漏えい）

２ 会員は、前項の規定による請求に係る保有個人データの全部又は一部について開示しない旨の決定をしたとき、当該保護法第 33 条第 3 項

保有個人データが存在しないとき、又は同項の規定により本人が請求した方法による開示が困難であるときは、本人に通則ｶﾞｲﾄﾞﾗｲﾝ 3-8-2

対し、遅滞なく、その旨を通知しなければならない。

保護法第 33 条第 5 項

３ 第 1 項及び前項の規定は、第三者提供記録について準用する。

施行令第 11 条
通則ｶﾞｲﾄﾞﾗｲﾝ 3-8-3（訂正等）
第 16 条 会員は、本人から、当該本人が識別される保有個人データの内容が事実でないという理由によって当該保有個人保護法第 34 条第 2 項

データに誤りがあり、事実でないという理由によって、内容の訂正、追加又は削除（以下「訂正等」という。
）の請求を受通則ｶﾞｲﾄﾞﾗｲﾝ 3-8-4

けた場合は、利用目的の達成に必要な範囲内において、遅滞なく、事実の確認等の必要な調査を行い、その結果に基づき、原則として当該保有個人データの内容の訂正等を行わなければならない。

２ 会員は、前項の請求に係る保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行保護法第 34 条第 3 項

わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。
）を通知しな通則ｶﾞｲﾄﾞﾗｲﾝ 3-8-4ければならない。
（利用停止等）
第 17 条 会員は、本人から、当該本人が識別される保有個人データが第１条第２項若しくは４条の規定に違反して取り扱

保護法第 35 条第 2 項

われたものであるという理由又は第７条の規定に違反して取得されたという理由によって、当該保有個人データの利用の通則ｶﾞｲﾄﾞﾗｲﾝ 3-8-5

停止又は消去（以下「利用停止等」という。
）の請求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、原則として、遅滞なく、当該保有個人データの利用停止等を行わなければならない。
ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

２ 会員は、本人から、当該本人が識別される保有個人データが第 13 条第１項又は第 13 条の２の規定に違反して第三者保護法第 35 条第 4 項に提供されているという理由によって、当該保有個人データの第三者提供の停止の請求を受けた場合であって、その請通則ｶﾞｲﾄﾞﾗｲﾝ 3-8-5

求に理由があることが判明したときは、原則として、遅滞なく、当該保有個人データの第三者への提供を停止しなけれ

15個人情報の保護に関する取扱指針

参考

参照条文

ばならない。
ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止する
ことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

３ 会員は、本人から、当該本人が識別される保有個人データを会員が利用する必要がなくなったという理由、当該本人保護法第 35 条第 6 項が識別される保有個人データに係る施行規則第７条各号に定める事態が生じたという理由その他当該本人が識別され通則ｶﾞｲﾄﾞﾗｲﾝ 3-8-5

る保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがあるという理由によって、当該保有個人データの利用停止等又は第三者への提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行わなければならない。
ただし、当該保有個人データの利用停止等又は第三者への提供の停止に多額の費用を要する場合その他の利用停止等
又は第三者への提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない

４ 会員は、第１項若しくは前項の規定による請求に係る保有個人データの全部若しくは一部について利用停止等を行っ保護法第 35 条第 7 項たとき若しくは利用停止等を行わない旨の決定をしたとき、又は第２項若しくは前項の規定による請求に係る保有個人

通則ｶﾞｲﾄﾞﾗｲﾝ 3-8-5

データの全部若しくは一部について第三者提供を停止したとき若しくは第三者提供を停止しない旨を決定したときは、本人に対し、遅滞なく、その旨（本人から求められた措置と異なる措置を行う場合には、その措置内容を含む。
）を通知しなければならない。
（理由の説明）
保護法第 36 条

第 18 条 会員は、第 14 条第３項、第 15 条第２項（同条第３項において準用する場合を含む。
）、第 16 条第２項又は第 17条第４項の規定により、本人から求められ、又は請求された措置の全部又は一部について、その措置をとらない旨を通知

通則ｶﾞｲﾄﾞﾗｲﾝ 3-8-6

する場合又はその措置と異なる措置をとる旨を通知する場合において、本人に対しその理由を説明する際には、措置をと金融分野ｶﾞｲﾄﾞﾗｲﾝ第 17 条

らないこと又は異なる措置をとることとした判断の根拠及び根拠となる事実を示すこととする。
（開示等の請求等に応じる手続）保護法第 37 条

第 19 条 会員は、第 14 条第２項の規定による求め又は第 15 条第１項（同条第３項において準用する場合を含む。次条第1 項において同じ。
）、第 16 条第１項若しくは第 17 条第１項から第３項の規定による請求（以下「開示等の請求等」とい施行令第 12 条、第 13 条う。
）に関し、その求め又は請求を受け付ける方法として、次の各号に掲げる事項を合理的な範囲で定めることができる。

通則ｶﾞｲﾄﾞﾗｲﾝ 3-8-7
金融分野ｶﾞｲﾄﾞﾗｲﾝ第 18 条

この場合において、会員は、第 23 条に定める｢個人情報保護宣言｣と一体として、インターネットのホームページでの常時掲載又は営業所の窓口等での掲示・備付け等を行うこととする。

（１） 開示等の請求等の申出先開示等の請求等の申出先の具体例
例えば、担当窓口名・係名、郵送先住所、受付電話番号、受付 FAX 番号、メールアドレス

等（２） 開示等の請求等に際して提出すべき書面の様式その他の開示等の請求等の受付方法(1) 開示等の請求等に際して提出すべき書面の様式

16

個人情報の保護に関する取扱指針

参考

参照条文

例えば、
「保有個人データ」開示申請書、変更等申請書、利用停止等申請書等を定める場合、本人からの開示等の請求手続を円滑に行うため、当該書面に氏名、住所、顧客番号、契約日付等、開示等の請求等の対象となる保有個人データの特定に必要な事項を記入する欄を設けることができる。

(2) その他の開示等の請求等の受付方法の具体例
例えば、郵送、 FAX、電子メールで受け付ける等
なお、本人が容易に開示等の請求等を行うことができるように、会員は複数の方式を用意することが望ましい。

（３） 開示等の請求等をする者が本人又はその代理人であることの確認方法(1) ｢代理人｣には、未成年者若しくは成年被後見人の法定代理人、又は本人が委任した任意代
理人が該当する。
(2) 本人又はその代理人であることの確認方法の具体例
本人確認法の規定に基づく確認手続かそれと同レベルの対応が必要と考えられる。

（４） 第 20 条の手数料の金額とその徴収方法（無料とする場合を含む。
）（５） 開示等の請求等に対する回答方法等

開示等の請求等に対する回答方法の具体例
例えば、次のような方法がある。
① 郵送、電話、電子メール等の手段② 開示の対象となる情報によっては、回答はその場でなく後刻となること（６） 開示等の請求等をする者が代理人である場合の代理権を確認する方法

代理人の代理権を確認する方法の具体例
例えば、次のような方法がある。
① 会員所定の委任状以外は認めない。
② 委任状等の提出があった場合でも代理権の存在を疑わせる特段の事情が認められるとき
は、電話等で本人からの代理権授与の意思確認をとることができるまで開示しない。
③ 会員所定の方法による代理権の確認ができない場合は、不開示とする。

２ 代理人による開示等の請求等に対して、会員が本人にのみ直接開示等することは妨げられない。

金融分野ｶﾞｲﾄﾞﾗｲﾝ第 18 条
第2項

３ 会員は、前２項の規定に基づき開示等の請求等に関する手続を定めるにあたっては、本人に過重な負担を課するもの 「本人に過重な負担を課する」に該当する例とならないよう配慮しなければならない。

① 本人による来社のみに限定する場合② 必要以上に煩雑な書類を求める場合③ 受付窓口を不当に制限する場合

（手数料）

17

保護法第 37 条第 4 項

個人情報の保護に関する取扱指針

参考

参照条文

第 20 条 会員は、第 14 条第２項の規定による保有個人データの利用目的の通知を求められた又は第１５条第１項の規定に保護法第 38 条第 1 項

よる保有個人データ若しくは第三者提供記録の開示の請求を受けたときは、当該措置の実施に関し、手数料を徴収するこ

通則ｶﾞｲﾄﾞﾗｲﾝ 3-8-8とができる。また、手数料の額を定めたときは、本人の知り得る状態に置くこととする。

２ 会員は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲において、その手数料の額を定めなければならない。

｢実費を勘案｣する方法として、開示等の手続に要する平均的実費を予測して算出することが 保護法第 38 条第 2 項
合理的であり、この実費には、用紙代・コピー代・郵送代等が考えられる。

通則ｶﾞｲﾄﾞﾗｲﾝ 3-8-8（会員による苦情の処理）
保護法第 40 条第 1 項

第 21 条 会員は、個人情報の取扱いに関する苦情を受けたときは、その内容について調査し、合理的な期間内に、適切かつ迅速に処理するよう努めなければならない。

通則ｶﾞｲﾄﾞﾗｲﾝ 3-9

２ 会員は、苦情処理手順の策定、苦情受付窓口の設置、苦情処理に当たる役職員への十分な教育・研修など、苦情処理

保護法第 40 条第 2 項を適切かつ迅速に行うために必要な体制の整備に努めなければならない。

通則ｶﾞｲﾄﾞﾗｲﾝ 3-9
金融分野ｶﾞｲﾄﾞﾗｲﾝ第 19 条

（個人データ等の漏えい等の報告等）
第 22 条 会員は、施行規則第７条各号に定める事態を知ったときは、通則ガイドライン３－５－３に従って、監督当局等 (1) 事案によっては、警察等捜査当局への報告を要する場合がありうることに留意する。
及び協会に報告しなければならない。
(2) 協会に対しては、特定の個人を識別することができる情報を除いたものを報告する。
また、会員は、その取り扱う個人である顧客等に関する個人データの漏えい等が発生し、又は発生したおそれがある事 (3) 報告する監督当局は、会員の監理区分に応じ、金融庁長官又は各財務局長若しくは財務支態を知ったときは、監督当局及び協会に報告しなければならない。

金融分野ｶﾞｲﾄﾞﾗｲﾝ第 11 条
第1項

局長である。

２ 会員は、次に掲げる事態（前項に規定する事態を除く。
）を知ったときは、同項の規定に準じて、監督当局及び協会に報告することとする。
（１） その取り扱う個人情報の漏えい等が発生し、又は発生したおそれがある事態（２） その取り扱う仮名加工情報に係る削除情報等（保護法第 41 条第１項の規定により行われた加工の方法に関する情報にあっては、その情報を用いて仮名加工情報の作成に用いられた個人情報を復元することができるものに限る。次項において同じ。
）又は匿名加工情報に係る加工方法等情報の漏えいが発生し、又は発生したおそれがある事態

金融分野ｶﾞｲﾄﾞﾗｲﾝ第 11 条
第2項

３ 会員は、施行規則第７条各号に定める事態を知ったときは、通則ガイドライン３－５－４に従い、本人への通知等を金融分野ｶﾞｲﾄﾞﾗｲﾝ第 11 条

行わなければならない。
また、会員は、次に掲げる事態（施行規則第７条各号に定める事態を除く。
）を知ったときも、これに準じて、本人への通知等を行うこととする。
（１） その取り扱う個人データ（仮名加工情報である個人データを除く。
）の漏えい等が発生し、又は発生したおそれがある事態（２） その取り扱う個人情報（仮名加工情報である個人情報を除く。
）の漏えい等が発生し、又は発生したおそれがある事態（３） その取り扱う仮名加工情報に係る削除情報等又は匿名加工情報に係る加工方法等情報の漏えいが発生し、又は発生したおそれがある事態

４ 会員は、第１項及び第２項に規定する事態が発覚した場合は、当該事態の内容等に応じて、次に掲げる事項について

第3項

金融分野ｶﾞｲﾄﾞﾗｲﾝ第 11 条
第4項

必要な措置を講じなければならない。

18

個人情報の保護に関する取扱指針
（１）
（２）
（３）
（４）

参考

参照条文

事業所内部における報告及び被害の拡大防止
事実関係の調査及び原因の究明
影響範囲の特定再発防止策の検討及び実施

また、当該事態の内容等に応じて、二次被害の防止、類似事案の発生回避等の観点から、当該事態の事実関係及び再発防止策等について、速やかに公表することとする。

（個人情報保護宣言の策定）「公表」方法の具体例

基本方針

報保護に関する考え方及び方針に関する宣言（いわゆるプライバシーポリシー、プライバシーステートメント等。以下

例えば、次のような方法がある。

金融分野ｶﾞｲﾄﾞﾗｲﾝ第 20 条

「個人情報保護宣言」という。
）を策定し、公表することとする。

① インターネットのホームページへの常時掲載

第 23 条 会員は、個人情報に対する取組方針を、あらかじめ分かりやすく説明することの重要性に鑑み、会員の個人情② 営業所の窓口等での掲示・備付け③ パンフレットへの記載・配布
２ 個人情報保護宣言には、例えば、以下の内容を記載することとする。
（１） 関係法令等及び協会規則の遵守、個人情報を目的外に利用しないこと及び苦情処理に適切に取り組むこと等、個
人情報保護への取組方針の宣言（２） 個人情報の利用目的の通知・公表等の手続についての分かりやすい説明（３） 開示等の手続等、個人情報保護の取扱いに関する諸手続についての分かりやすい説明（４） 個人情報の取扱いに関する質問及び苦情処理の窓口

３ 個人情報保護宣言には、消費者等、本人の権利利益保護の観点から、事業活動の特性、規模及び実態に応じて、次に掲げる点を考慮した記述をできるだけ盛り込むよう努めるものとする。
（１） 保有個人データについて本人から求めがあった場合には、ダイレクトメールの発送停止など、自主的に利用停止等に応じること。
委託する事務が多数になる場合、例示することも許容されるが、「当社との取引に関する情（２） 委託の有無、委託する事務の内容を明らかにする等、委託処理の透明化を進めること。

報を含む事務処理」といった包括的な記載では、必ずしも委託された事務の内容が明確とはいえず、適切ではない。
（３） 会員がその事業内容を勘案して顧客の種類ごとに利用目的を限定して示したり、会員が本人の選択による利用目「顧客の種類ごと」とは、複数の事業を営んでいる場合における、当該複数の事業それぞれの顧客ごとを指す。

的の限定に自主的に取り組むなど、本人にとって利用目的がより明確になるようにすること。

取得元又は取得方法が多数になる場合は、例示することも許容される。

（４） 個人情報の取得元又はその取得方法（取得源の種類等）を可能な限り具体的に明記すること。
（協会への報告）第 24 条 協会は、会員による本取扱指針の遵守を確認するために、適宜報告を求めることができる。

保護法第 54 条第 4 項
金融分野ｶﾞｲﾄﾞﾗｲﾝ第1 第 4
項

２ 協会は、会員に対し、本取扱指針を遵守させるために必要な指導、勧告その他の措置を行う。

３ 会員は、本取扱指針を遵守するとともに、協会が行う必要な指導、勧告、その他の措置に従わなければならない。
附 則19

個人情報の保護に関する取扱指針

参考

この取扱指針は、平成１７年４月１日から施行する。

附 則（平成１９年１０月２４日）
この改正は、定款について主務大臣の認可を受けた日（平成１９年９月３０日）から施行する。
（注）改正条項は、次のとおりである。
（１）第 1 条、第 6 条、第 11 条及び第 13 条を改正。
（２）第 1 条、第 2 条、第 3 条、第 4 条及び第 13 条の取扱指針の考え方を改正。

附 則（平成２２年２月２４日）
この改正は、平成２２年２月２４日から施行する。
（注）改正条項は、次のとおりである。
（１）第 1 条、第 2 条、第 3 条、第 4 条、第 5 条、第 6 条、第 7 条、第 10 条、第 11 条、第 12 条、第 13 条、第 14 条、第15 条、第 16 条、第 18 条、第 21 条及び第 23 条を改正。
（２）第 2 条、第 3 条、第 4 条、第 8 条、第 13 条、第 15 条及び第 23 条の取扱指針の考え方を改正。
（３）第 2 条及び第 3 条の参照条文を改正。

附 則（平成２７年９月１６日）
この改正は、平成２７年９月１６日から施行する。
（注）改正条項は、次のとおりである。
（１）第 7 条及び第 12 条を改正。
（２）第 4 条、第 7 条及び第 13 条の取扱指針の考え方を改正。

附 則（平成２７年１２月１６日）
この改正は、平成２８年１月１日から施行する。
（注）改正条項は、次のとおりである。
第 10 条及び第 11 条を改正。

附 則（平成２９年５月２４日）
この改正は、平成２９年５月３０日から施行する。
（注）改正条項は、次のとおりである。
（１）第 1 条、第 2 条、第 3 条、第 4 条、第 5 条、第 6 条、第 8 条、第 9 条、第 10 条、第 13 条、第 14 条、第 15 条、第 16条、第 17 条、第 18 条、第 19 条、第 20 条、第 21 条、第 22 条、第 23 条及び第 24 条を改正。
（２）第 13 条の 2、第 13 条の 3、第 13 条の 4 及び第 13 条の 5 を新設。
附 則（2022 年 3 月 23 日）
この改正は、2022 年 4 月 1 日から施行する。
（注）改正条項は、次のとおりである。
(1)第 1 条、第 2 条、第 5 条、第 6 条、第 10 条、第 11 条、第 12 条、第 13 条、第 13 条の 2、第 13 条の 3、第 13 条の 4、

20

参照条文

個人情報の保護に関する取扱指針

参考第 13 条の 5、第 14 条、第 15 条、第 16 条、第 17 条、第 18 条、第 19 条、第 20 条及び第 22 条を改正。
(2)第 13 条の 6 を新設。

21

参照条文