認定個人情報保護団体に関連する規則等案についてのパブリックコメント募集の結果について
平成26年３月27日
一般社団法人 金融先物取引業協会
本協会では、認定個人情報保護団体に関連する規則等案（「会員における個人情報の適正な取扱いの確保に関する規則（案）」、「個人情報の取扱いに係る苦情処理に関する規則（案）」及び「個人情報の保護に関する指針（案）」につきまして、平成26年１月30日
から平成26年２月26日までの間、パブリックコメントの募集を行いました。
その結果、当該期間内に寄せられたご意見等は特にありませんでしたので、別紙１から
別紙３のとおり、当該規則等について制定することと致します。当該規則等制定の趣旨等については、パブリックコメント募集時の「認定個人情報保護団体に関連する規則等の制定について」をご覧ください。
なお、これより本協会は金融庁に対し認定個人情報保護団体の認定取得のための申請を行う予定であり、当該規則等の施行は、当該団体の認定取得日となります。
以 上本件に関するお問い合わせ
総務部
03-5280-0881

別紙１

会員における個人情報の適正な取扱いの確保に関する規則

平 26.３.27 制定
（目的）
第１条

この規則は、一般社団法人金融先物取引業協会（以下「本協会」という。）が個

人情報の保護に関する法律（以下「保護法」という。）第 37 条第１項の認定を受けた認定
個人情報保護団体として同項各号に掲げる業務を実施するに当たり必要な事項を定め、もって会員における個人情報（保護法第２条第１項に規定する個人情報をいう。以下同じ。）の適正な取扱いを確保することを目的とする。

（業務）
第２条

本協会は、会員の行う定款第２条の２第５号に規定する金融先物取引業に係る業務における個人情報の取扱いに関し、次に掲げる業務を行う。
(1) 会員の個人情報の取扱いに係る苦情の処理(2) 個人情報保護指針の作成及び公表(3) 個人情報保護指針を遵守させるための必要な指導、勧告及びその他の措置(4) 個人情報の適正な取扱いの確保に寄与する事項についての会員に対する情報の提供(5) 個人情報の適正な取扱いの確保のための会員の役職員に対する教育・研修(6) 会員の名称の公表(7) 関係機関との連絡調整(8) 前各号に掲げるもののほか、会員の個人情報の適正な取扱いの確保に関し必要な業務（苦情処理業務）
第３条

前条第１号の苦情の処理に関する業務は、「個人情報の取扱いに係る苦情処理に関する規則」によるものとする。

附則(1) この規則は、本協会が保護法第 37 条第１項の認定を受けた日から施行する。
(2) この規則の第２条(2)及び(3)に規定する個人情報保護指針は、「個人情報の保護に関する指針」（平成 26 年３月 27 日理事会決定）とする。

別紙２

個人情報の取扱いに係る苦情処理に関する規則
平 26.３.27 制定（目的）
第１条 この規則は、一般社団法人金融先物取引業協会（以下「本協会」という。）が、「会員における個
人情報の適正な取扱いの確保に関する規則」第２条第１号に規定する会員の個人情報の取扱いに係る苦情（以下「個人情報の取扱いに係る苦情」という。）の処理を行うに当たり、必要な事項を定める。
（苦情処理の実施体制）
第２条 本協会は、事務局に個人情報の取扱いに係る苦情の受付、処理を担当する個人情報苦情相談室を置く。
２ 本協会は、教育研修等の実施により個人情報苦情相談室の担当職員の個人情報の取扱いに係る苦情の処理を適切に行うための資質と能力の向上に努める。
３ 本協会は、個人情報苦情相談室が個人情報の取扱いに係る苦情の受付窓口であることについて、本協会のホームページその他の方法により周知する。

（個人情報苦情相談室の責務）
第３条 個人情報苦情相談室は、個人情報の保護の重要性を認識し、個人情報の取扱いに係る苦情の処理について、迅速に、かつ、公正中立に行わなければならない。
（苦情処理の手続）
第４条 個人情報苦情相談室は、会員の顧客（代理人を含む。以下同じ。）から個人情報の取扱いに係る苦情を受け付けた場合には、当該顧客に対して必要な助言をし、当該苦情に係る事情を調査するとともに、当該会員に対し、当該苦情の内容を通知してその迅速な解決を求め、必要があると認める
ときは、文書若しくは口頭による説明を求め、又は資料の提出を求めることができる。
２ 会員は、前項の規定による苦情の解決の求めがあったときは、当該苦情の解決の促進を図るため、
個人情報苦情相談室の業務に誠実に協力し、顧客への誠実な対応に努めなければならない。
３ 会員は、第１項の規定による説明又は資料の提出の求めがあったときは、正当な理由なく、これを拒んではならない。
４ 会員は、第１項の苦情の解決の求めにより対応した結果について、個人情報苦情相談室に報告しなければならない。
５ 個人情報苦情相談室は、前項の報告で苦情が解決されていなかった場合には、さらに事情を調査し、必要な対応を行うものとする。
６ 個人情報苦情相談室は、個人情報の取扱いに係る苦情の処理を行うに当たり、必要に応じて会員及び顧客に対して公正な立場にある弁護士、専門家等の学識経験者からの意見を聴くものとし、当該意見を踏まえ、当該苦情の処理が適切に行われるように努めなければならない。
（苦情処理の非公開）
第5条 個人情報の取扱いに係る苦情の処理は、非公開とする。
（苦情処理結果等の記録及び保存）
第６条 本協会は、個人情報の取扱いに係る苦情の処理の過程、結果等について記録する。
２ 本協会は、前項の記録について 10 年間保存する。
（苦情処理結果等の集計結果の公表）
第７条 本協会は、事業年度ごとに前条の記録をもとに苦情処理結果等について集計し、本協会のホームページ上に公表する。

（苦情処理に関する費用分担）
第８条 本協会が行った個人情報の取扱いに係る苦情の処理に要した費用は、本協会が負担する。ただし、顧客において要した文書、通信費等の諸費用は当該顧客の負担とする。
（秘密保持義務）
第９条 本協会役員及び職員並びにこれらの職にあった者は、個人情報の取扱いに係る苦情の処理に関する業務において職務上知り得た秘密について、正当な理由なく、これを他に漏らし、又は盗用してはならない。

附 則
この規則は、本協会が個人情報の保護に関する法律第 37 条第１項の認定を受けた日から施行す
る。

別紙３

個人情報の保護に関する指針
（目的）
第１条

本指針は、一般社団法人金融先物取引業協会（以下「本協会」という。
）が「個人情報の保護に関する法律」（以下「保護法」という。
）、「個人情報の保護に関する法律施行令」（以下「施行令」という。
）、「個人情報の保護に関する基本方針」（平成 16 年４月
２日閣議決定。その後の改正を含む。
）及び「金融分野における個人情報保護に関するガ
イドライン」（平成 16 年 12 月６日金融庁告示第 67 号。その後の改正を含む。以下「金融庁ガイドライン」という。
）等を踏まえ、会員の行う定款第２条の２第５号に定める金融先物取引業（以下、「金融先物取引業」という。
）に係る業務における個人情報の適正な取扱いを確保するため、会員が講ずべき具体的な措置等を定めるものである。
（定義）
第２条

本指針において、次の各号に掲げる用語の定義は、当該各号に定めるところによる。
（１）個人情報
生存する個人に関する情報であって、特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができるものを含む。
）をいう。
「個人に関する情報」とは、氏名、性別、生年月日、住所、年齢、職業、続柄等の事実に関する情報に限られず、個人の身体、財産、職種、肩書等の属性に関する判断や評価を表すすべての情報を指し、公刊物等によって公にされている情報や、映像、音声による情報も含まれる。これら「個人に関する情報」が、氏名等と相まって「特定の個人を識別することができる」ことになれば、それが「個人情報」となる。
なお、生存しない個人に関する情報が、同時に、遺族等の生存する個人に関する情報に当たる場合には、当該生存する個人に関する情報となる。
また、企業名等、法人その他の団体に関する情報は、基本的に「個人情報」には該当しないが、役員の氏名などの個人に関する情報が含まれる場合には、その部分については、「個人情報」に該当する。
さらに、「個人」には外国人も当然に含まれる。
（２）個人情報データベース等
個人情報を含む情報の集合物であって、次に掲げるものをいう。
イ

特定の個人情報をコンピューターを用いて検索することができるように体系的に構成したものロイに掲げるもののほか、個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成したものであって、
1

目次、索引、符号等により容易に検索可能な状態に置かれているもの（３）個人データ
個人情報データベース等を構成する個人情報をいう。
（４）保有個人データ
会員が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、次に掲げるもの以外のものをいう。
イ

当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの
ロ

当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの
ハ

当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの
ニ

当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの
ホ

６か月以内に消去するもの（５）本人
個人情報によって識別される特定の個人をいう。
（利用目的の特定）
第３条

会員は、個人情報の取扱いに当たっては、個人情報がどのような事業の用に供され、どのような目的で利用されるかを本人が合理的に予想できるようできる限り特定しなければならない。
２

会員は、特定した利用目的を変更する場合には、変更後の利用目的が変更前の利用目
的からみて、社会通念上本人が想定できる範囲を超えて行ってはならない。なお、本人が想定できない変更を行う場合には、本人の同意を得なければならない。

３

会員は、特定の個人情報の利用目的が、法令等に基づき限定されている場合には、その旨を明示することとする。

（「同意」の形式）
第４条

会員は、前条第２項、次条第１項若しくは第２項及び第 13 条第１項に定める本人の同意を得る場合には、原則として、書面（電子的方式、磁気的方式、その他人の知覚によっては認識することのできない方式で作られる記録を含む。以下同じ。
）によることとする。
なお、本人が未成年者、成年被後見人、被保佐人及び被補助人であって、個人情報の2

取扱いに関して同意したことによって生ずる結果について判断できる能力を有していない場合などは、親権者や法定代理人等から同意を得る必要がある。
（利用目的による制限）
第５条

会員は、あらかじめ本人の同意を得ることなく、第３条第１項により特定した利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
ただし、あらかじめ本人の同意を得るために個人情報を利用することは、当初特定した利用目的にない場合にも、目的外利用には当たらない。
２

会員は、合併その他の事由により他の個人情報取扱事業者（保護法第２条第３項に規定する個人情報取扱事業者をいう。以下同じ。
）等から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該他の個
人情報取扱事業者等の個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
ただし、あらかじめ本人の同意を得るために個人情報を利用することは、承継前の利用目的にない場合にも、目的外利用には当たらない。

３

前２項は、次に掲げる場合については適用しない。

（１）法令に基づく場合（２）人の生命、身体又は財産（法人の財産を含む。）の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（３）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（４）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（機微（センシティブ）情報について）
第６条

会員は、政治的見解、信教（宗教、思想及び信条をいう。）、労働組合への加盟、人種及び民族、門地及び本籍地、保健医療及び性生活、並びに犯罪歴に関する情報（以下「機微（センシティブ）情報」という。）については、次に掲げる場合を除くほか、取得、
利用又は第三者への提供を行わないこととする。
（１）法令等に基づく場合（２）人の生命、身体又は財産の保護のために必要がある場合（３）公衆衛生の向上又は児童の健全な育成の推進のため特に必要がある場合（４）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合（５）源泉徴収事務等の遂行上必要な範囲において、政治・宗教等の団体若しくは労働組
3

合への所属若しくは加盟に関する従業員等の機微（センシティブ）情報を取得し、利用し、又は第三者提供する場合（６）相続手続による権利義務の移転等の遂行に必要な限りにおいて、機微（センシティ
ブ）情報を取得、利用又は第三者提供する場合（７）会員の行う金融先物取引業の適切な業務運営を確保する必要性から、本人の同意に基づき業務遂行上必要な範囲で機微（センシティブ）情報を取得、利用又は第三者提供する場合（８）機微（センシティブ）情報に該当する生体認証情報を本人の同意に基づき、本人確認に用いる場合
２

会員は、機微（センシティブ）情報を前項に掲げる場合に取得、利用又は第三者提供する場合には、同項に掲げる事由を逸脱した取得、利用又は第三者提供を行うことのな
いよう、特に慎重に取り扱うこととする。

（適正な個人情報の取得）
第７条

会員は、偽りその他不正の手段により個人情報を取得してはならない。また、会員は、第三者から個人情報を取得するに際しては、本人の利益の不当な侵害を行ってはな
らず、個人情報の不正取得等の不当な行為を行っている第三者から、当該情報が漏えいされた情報であること等を知ったうえで個人情報を取得してはならない。
（個人情報取得に際しての利用目的の通知・公表、明示等）
第８条

会員は、個人情報を取得した場合は、あらかじめその利用目的を公表している場

合を除き、速やかに、その利用目的を本人に通知し、又は公表しなければならない。
この場合において、「通知」の方法については、原則として書面によることとし、「公表」の方法については、販売方法等の事業の態様に応じ、営業所の窓口等への書面の掲示・備付け、インターネットのホームページ等での公表等適切な方法によるものとする。
２

会員は、前項の規定にかかわらず、本人との間で契約を締結すること等に伴って契約書その他の書面に記載された個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。
ただし、人命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。
３

会員は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
４

前３項の規定は、次に掲げる場合については適用しない。

（１）利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（２）利用目的を本人に通知し、又は公表することにより当該会員の権利又は正当な利益を害するおそれがある場合
4

（３）国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき（４）取得の状況からみて利用目的が明らかであると認められる場合（データ内容の正確性の確保）
第９条

会員は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めなければならない。
このため、会員は、顧客等の個人データの保存期間について契約終了後一定期間内とする等、保有する個人データの利用目的に応じ保存期間を定め、当該期間経過後の保有する個人データを消去することとする。
ただし、法令等に基づく保存期間の定めがある場合には、この限りでない。
（安全管理措置）
第 10 条 会員は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のため、「金融分野における個人情報保護に関するガイドラインの安全管理措置等についての実務指針」（平成 17 年１月６日金融庁告示第１号。その後の改正を含む。
）に基づき、個人データの安全管理に係る基本方針・取扱規程等の整備及び個人デー
タの安全管理措置に係る実施体制の整備等の必要かつ適切な措置を講じなければならない。必要かつ適切な措置は、個人データの取得・利用・保管等の各段階に応じた「組織的安全管理措置」、「人的安全管理措置」及び「技術的安全管理措置」を含むものでなければならない。
当該措置は、個人データが漏えい、滅失又はき損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質、個人データの取扱状況及び個人データを記録した媒体の性質等に起因するリスクに応じたものとする。
本条における用語の定義は、次のとおりである。
（１）組織的安全管理措置
個人データの安全管理措置について役職員（会員の組織内にあって、直接又は間接に会員の指揮監督を受けて会員の業務に従事する者をいい、雇用関係にある従業者（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、会員との間の雇用関係にない者（取締役、執行役、監査役、会計参与（会計参与が法人である
ときは、その職務を行うべき社員）、派遣社員等）も含まれる。以下同じ。
）の責任と権限を明確に定め、安全管理に関する規程等を整備・運用し、その実施状況の点検・監査を行うこと等の、会員の体制整備及び実施措置をいう。
（２）人的安全管理措置
役職員との個人データの非開示契約の締結及び役職員に対する教育・訓練等を実施
5

し、個人データの安全管理が図られるよう役職員を監督することをいう。
（３）技術的安全管理措置
個人データ及びそれを取り扱う情報システムへのアクセス制御及び情報システムの監視等の個人データの安全管理に関する技術的な措置をいう。
２

会員は、個人データの安全管理に係る基本方針・取扱規程等の整備として、以下の「組織的安全管理措置」を講じなければならない。
（１）規程等の整備
イ

個人データの安全管理に係る基本方針の整備

ロ

個人データの安全管理に係る取扱規程の整備

ハ

個人データの取扱状況の点検及び監査に係る規程の整備ニ

外部委託に係る規程の整備（２）各管理段階における安全管理に係る取扱規程
イ

取得・入力段階における取扱規程

ロ

利用・加工段階における取扱規程

ハ保管・保存段階における取扱規程

ニ移送・送信段階における取扱規程

ホ消去・廃棄段階における取扱規程

ヘ漏えい事案等への対応の段階における取扱規程

３

会員は、個人データの安全管理に係る実施体制の整備として、以下の「組織的安全管

理措置」、「人的安全管理措置」及び「技術的安全管理措置」を講じなければならない。
（１）組織的安全管理措置
イ

個人データの管理責任者等の設置ロ

就業規則等における安全管理措置の整備

ハ 個人データの安全管理に係る取扱規程に従った運用
ニ

個人データの取扱状況を確認できる手段の整備

ホ

個人データの取扱状況の点検及び監査体制の整備と実施

ヘ漏えい事案等に対応する体制の整備（２）人的安全管理措置
イ

役職員との個人データの非開示契約等の締結

ロ

役職員の役割・責任等の明確化

ハ 役職員への安全管理措置の周知徹底、教育及び訓練ニ

役職員による個人データ管理手続の遵守状況の確認（３）技術的安全管理措置
イ

個人データの利用者の識別及び認証ロ

個人データの管理区分の設定及びアクセス制御

ハ

個人データへのアクセス権限の管理
6

ニ

個人データの漏えい・き損等防止策

ホ

個人データへのアクセスの記録及び分析

へ

個人データを取り扱う情報システムの稼動状況の記録及び分析

ト

個人データを取り扱う情報システムの監視及び監査（役職員の監督）
第 11 条 会員は、その役職員に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、適切な内部管理体制を構築し、その役職員に対する必要かつ適切な監督を行わなければならない。
当該監督は、個人データが漏えい、滅失又はき損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人データの取扱状況等に起因するリスクに応じたものとする。
２

会員は、前項の役職員に対する必要かつ適切な監督を以下の体制整備等により行わなければならない。
（１）役職員が、在職中及びその職を退いた後において、当該会員の行う金融先物取引業
務等に関して知り得た個人データを第三者に知らせ、又は利用目的外に使用しないことを内容とする契約等を採用時等に締結すること（２）個人データの適正な取扱いのための取扱規程の策定を通じた役職員の役割・責任の明確化及び役職員への安全管理義務の周知徹底、教育及び訓練を行うこと（３）役職員による個人データの持出し等を防ぐため、社内での安全管理措置に定めた事
項の遵守状況等の確認及び役職員における個人データの保護に対する点検及び監査制度を整備すること（委託先の監督）
第 12 条

会員は、個人データの取扱いの全部又は一部を委託（契約の形態や種類を問わず、会員が他の者に個人データの取扱いの全部又は一部を行わせることを内容とする契約の一切を含む。
）する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。当該監督は、個人データが漏えい、滅失又はき損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人データの取扱状況等に起因するリスクに応じたものとする。
２

会員は、個人データを適正に取り扱っていると認められる者を選定し委託するとともに、取扱いを委託した個人データの安全管理措置が図られるよう、個人データの安全管理のための措置を委託先においても確保しなければならない（二段階以上の委託が行われた
場合には、委託先の事業者が再委託先等の事業者に対して十分な監督を行っているかについても監督を行わなければならない。）。具体的には、例えば、以下の対応等が必要である。
（１）個人データの安全管理のため、委託先における組織体制の整備及び安全管理に係る
7

基本方針・取扱規程の策定等の内容を委託先選定の基準に定め、当該基準に従って委託先を選定するとともに、当該基準を定期的に見直すこと（２）委託者の監督・監査・報告徴取に関する権限、委託先における個人データの漏えい・盗用・改ざん及び目的外利用の禁止、再委託に関する条件及び漏えい等が発生した場合の委託先の責任を内容とする安全管理措置を委託契約に盛り込むとともに、定期的又は随時に当該委託契約に定める安全管理措置の遵守状況を確認し、当該安全管理措置を見直すこと（第三者提供の制限）
第 13 条 会員は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ることなく、個人データを第三者（個人データを提供しようとする会員及び当該個人データに係る本人のいずれにも該当しないものをいい、自然人、法人その他の団体を問わない。以下同じ。）に提供してはならない。
（１）法令に基づく場合（２）人の生命、身体又は財産（法人の財産を含む。）の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（３）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（４）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
２

会員は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているときは、前項にかかわらず、当該個人データを第三者に提供することができる。
（１）第三者への提供を利用目的とすること（２）第三者に提供される個人データの項目（３）第三者への提供の手段又は方法（４）本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止する
こと
３

会員は、前項第２号又は第３号に掲げる事項を変更する場合は、変更する内容について、あらかじめ本人に通知し、又は本人が容易に知り得る状態に置くものとする。
４

次に掲げる場合において、当該個人データの提供を受ける者は、第三者に該当しない。

（１）会員が、利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託する場合（２）合併その他の事由による事業の承継に伴って個人データが提供される場合
8

（３）個人データを特定の者との間で共同して利用する場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者（共同して利用する者において、第一次的に苦情を受け付け、その処理を行うとともに、開示、訂正等及び利用停止等の決定を行い、安全管理に責任を有する者をいう。第６項において「管理責任者」という。
）の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき
５

会員が前項第３号の規定により行う通知は、原則として書面によることとする。会員による「共同して利用する者の範囲」の通知等については、共同利用者を個別に列挙する
よう努めなければならない。
６ 会員は、第４項第３号に規定する利用者の利用目的又は管理責任者の氏名又は名称を変更する場合は、変更する内容について、あらかじめ本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
（保有個人データに関する事項の公表等）
第 14 条 会員は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。なお、利用目的に第三者提供が含まれる場合には、第２号の内容として、その旨を記載しなければならない。
（１）会員の名称（２）すべての保有個人データの利用目的（ただし、第８条第４項第１号から第３号に該当する場合を除く。
）（３）次項、次条第１項、第 16 条第１項又は第 17 条第１項若しくは第２項の規定による求めに応じる手続（第 20 条の規定により手数料の額を定めたときは、その手数料の額を含む。
）（４）保有個人データの取扱いに関する自社における苦情の申出先（５）認定個人情報保護団体の名称及び苦情の解決の申出先
２ 会員は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りではない。
（１）前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合（２）第８条第４項第１号から第３号に該当する場合
３

会員は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

9

（開示）
第 15 条 会員は、本人から、当該本人が識別される保有個人データについて開示を求められたときは、本人に対し、書面の交付による方法（開示の求めを行った者が同意した方法があるときは、当該方法）により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
（１）本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（２）会員の業務の適正な実施に著しい支障を及ぼすおそれがある場合（３）他の法令に違反することとなる場合
２

会員は、前項の規定に基づき、求められた保有個人データの全部又は一部について開示しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。また、その決定の理由について、根拠とした法の条文及び判断の基準となる事実を示して、遅滞なく説明を行うこととする。
（訂正等）
第 16 条 会員は、本人から、当該本人が識別される保有個人データの内容が事実でないという理由によって当該保有個人データの内容の訂正、追加又は削除（以下「訂正等」という。
）を求められた場合には、利用目的の達成に必要な範囲内において、遅滞なく、事実の確認等の必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。
２

会員は、前項の規定に基づき求められた保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、
遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を通知しなければならない。なお、会員が訂正等を行わない場合は、訂正等を行わない根拠及びその根拠となる事実を示し、その理由を説明することとする。
（利用停止等）
第 17 条 会員は、本人から、当該本人が識別される保有個人データが第５条の規定に違反して取り扱われたものであるという理由又は第７条の規定に違反して取得されているという理由によって、当該保有個人データの利用の停止又は消去（以下「利用停止等」という。
）を求められた場合であって、その求めに理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合
その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
２

会員は、本人から、当該本人が識別される保有個人データが第 13 条第１項の規定に違10

反して第三者に提供されているという理由によって、当該保有個人データの第三者への提供の停止を求められた場合であって、その求めに理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
３

会員は、第１項の規定に基づき求められた保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき又は前項の規定に基づき求められた保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨を決定したときは、本人に対し、
遅滞なく、その旨（本人から求められた措置と異なる措置を行う場合には、その措置内容を含む。
）を通知しなければならない。
（理由の説明）
第 18 条

会員は、第 14 条第３項、第 15 条第２項、第 16 条第２項又は前条第３項の規定により、本人から求められた措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、措置をとらないこと又は異なる措置をとることとした判断の根拠及び根拠となる事実を示し、その理由を説明することとする。
（開示等の求めに応じる手続）
第 19 条 会員は、第 14 条第２項、第 15 条第１項、第 16 条第１項又は第 17 条第１項若しくは第２項の規定による求め（以下「開示等の求め」という。
）に関し、その求めを受け付ける方法として、次の各号に掲げる事項を定めることができる。この場合において、会員は、事業者の個人情報保護に関する考え方及び方針に関する宣言（いわゆるプライ
バシーポリシー、プライバシーステートメント等。以下「個人情報保護宣言」という。
）と一体として、インターネットのホームページでの常時掲載又は営業所の窓口等での掲示・備付け等を行うこととする。なお、開示等の求めは、代理人（未成年者若しくは成年被後見人の法定代理人、又は本人が委任した任意代理人をいう。以下同じ。
）によってすることができる。
（１）開示等の求めの申出先（２）開示等の求めに際して提出すべき書面の様式その他の開示等の求めの方式（３）開示等の求めをする者が本人又はその代理人であることの確認方法（４）次条の手数料の金額とその徴収方法（無料とする場合を含む。
）（５）開示等の求めに対する回答方法等（６）開示等の求めをする者が代理人である場合の代理権を確認する方法
11

２

代理人による開示等の求めに対して、会員が本人にのみ直接開示等することは妨げられない。
３

会員は、前２項の規定に基づき開示等の求めに関する手続を定めるにあたっては、本人に過重な負担を課するものとならないよう配慮しなければならない。
（手数料）
第 20 条 会員は、第 14 条第２項の規定による保有個人データの利用目的の通知又は第 15条第１項の規定による保有個人データの開示を求められたときは、当該措置の実施に関し、手数料を徴収することができる。
２

会員は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲において、その手数料の額を定めなければならない。この場合において、会員は、同様の内容の開示等手続の平均的実費の予測等に基づき、合理的な手数料額を算定するよう努めることとする。
（会員における苦情の処理）
第 21 条 会員は、個人情報の取扱いに関する苦情を受けたときは、その内容について調査し、合理的な期間内に、適切かつ迅速に処理するよう努めなければならない。
２

会員は、苦情処理手順の策定、苦情受付窓口の設置、苦情処理に当たる役職員への十分な教育・研修など、苦情処理を適切かつ迅速に行うために必要な体制の整備に努めなければならない。
（漏えい事案等への対応）
第 22 条会員は、個人情報の漏えい事案等の事故が発生した場合には、金融庁及び本協会に報告することとする。
２

会員は、個人情報の漏えい事案等の事故が発生した場合には、二次被害の防止、類似事案の発生回避等の観点から、漏えい事案等の事実関係及び再発防止策等を早急に公表することとする。
３

会員は、個人情報の漏えい事案等の事故が発生した場合には、漏えい事案等の対象となった本人に速やかに漏えい事案等の事実関係等の通知を行うこととする。
（個人情報保護宣言の策定）
第 23 条会員は、個人情報に対する取組方針を、あらかじめ分かりやすく説明することの重要性に鑑み、個人情報保護宣言を策定し、公表することとする。
２

個人情報保護宣言には、例えば、以下の内容を記載することとする。

（１）関係法令等の遵守、個人情報を目的外に利用しないこと及び苦情処理に適切に取り組むこと等、個人情報保護への取組方針の宣言
12

（２）個人情報の利用目的の通知・公表等の手続についての分かりやすい説明（３）開示等の手続等、個人情報保護の取扱いに関する諸手続についての分かりやすい説明（４）個人情報の取扱いに関する質問及び苦情処理の窓口
３

個人情報保護宣言には、消費者等、本人の権利利益保護の観点から、事業活動の特性、規模及び実態に応じて、次に掲げる点を考慮した記述をできるだけ盛り込むよう努めるものとする。

（１）保有個人データについて本人から求めがあった場合には、ダイレクトメールの発送停止など、自主的に利用停止等に応じること。
（２）委託の有無、委託する事務の内容を明らかにする等、委託処理の透明化を進めること。
（３）会員がその事業内容を勘案して顧客の種類ごとに利用目的を限定して示したり、会員が本人の選択による利用目的の限定に自主的に取り組むなど、本人にとって利用目的がより明確になるようにすること。
（４）個人情報の取得元又はその取得方法（取得源の種類等）を可能な限り具体的に明記すること。
（本協会への報告等）
第 24 条 本協会は、会員による本指針の遵守を確認するために、適宜報告を求めることができる。
２

本協会は、会員に対し、本指針を遵守させるために必要な指導、勧告その他の措置を

行う。
附

則
本指針は、本協会が保護法第 37 条第 1 項の認定を受けた日から施行する。

13