個人情報の保護と利用に関する自主ルール

平成１６年１２月
全国銀行協会目

次

Ⅰ.総則 .................................................................... 3
１.目的 .................................................................. 3
２.定義 .................................................................. 5
Ⅱ.取得および利用 ......................................................... 10
１.利用目的の特定 ....................................................... 10
２.利用目的の通知・公表・明示 ........................................... 13
３.ダイレクト・マーケティングの中止 ..................................... 17
４.適正な取得 ........................................................... 18
５.機微（センシティブ）情報の取扱い ..................................... 19
６.目的外利用の禁止 ..................................................... 21
Ⅲ.データ内容の正確性の確保 ............................................... 25
Ⅳ.安全管理措置 ........................................................... 26
Ⅴ.第三者提供の制限 ....................................................... 30
１.第三者提供 ........................................................... 30
２.委託 ................................................................. 37
３.共同利用 ............................................................. 38
Ⅵ.開示等の手続 ........................................................... 40
１.保有個人データに関する事項の公表等 ................................... 40
２.開示の請求 ........................................................... 43
３.訂正等の請求 ......................................................... 46
４.利用停止等 ........................................................... 48
５.開示等の手続 ......................................................... 51
６.手数料 ............................................................... 54
Ⅶ.苦情処理体制の整備 ..................................................... 55
Ⅷ.漏えい事案への対応 ..................................................... 56

1

Ⅸ.個人情報保護宣言の制定 ................................................. 57
Ⅹ.認定個人情報保護団体 ................................................... 60

2

Ⅰ.総則
１.目的
本自主ルールは、全国銀行協会の会員銀行（以下｢銀行｣という。
）が、関連法令等を遵守しつつ、個人情報の適切な保護と利用を図ることを目的とする。
（運用上の考え方）●本自主ルールは、基本的には銀行を対象とするものであるが、銀行の子会社・関連会社等が本自主ルールを利用することを妨げるものではない。
本自主ルールは、「個人情報の保護に関する法律」、「個人情報の保護に関する法律施行令」および「個人情報の保護に関する基本方針」（閣議決定）に加えて、「金融分野における個人情報保護に関するガイドライン」（金融庁制定）および「金融分野における個人情報保護に関するガイドラインの安全管理措置等についての実務指針」（同）を踏まえて制定したものである。
●銀行は、上記法令等のほか、事業内容に応じて主務大臣が定めるガイドライン等も遵守しなければならない。
●「運用上の考え方」は、本自主ルールを運用するための考え方や実務の具体例を示したものである。
【｢金融分野における個人情報保護に関するガイドライン｣（以下「金融庁ガイドライン」という。）関連規定】
第１条

目的（法第１条関連）

１ このガイドラインは、「個人情報の保護に関する法律」（平成１５年法律第５７号。
以下「法」という。）、「個人情報の保護に関する法律施行令」（平成１５年政令第５０７号。以下「施行令」という。）及び「個人情報の保護に関する基本方針」（平成１６年４月２日閣議決定。以下「基本方針」という。）を踏まえ、金融庁が所管する分野及び法第３６条第１項により指定を受けた分野（以下「金融分野」という。）
における個人情報取扱事業者が個人情報の適正な取扱いの確保に関して行う活動を支援するため、金融分野における個人情報の性質及び利用方法にかんがみ、事業者が講ずべき措置の適切かつ有効な実施を図るための指針として定めるものである。
２ 金融分野における各認定個人情報保護団体（法第３７条第１項の認定を受けた団体をいう。以下同じ。）及び個人情報取扱事業者等においては、本ガイドライン等を踏
まえ、各事業の実態等に応じて個人情報の適正な取扱いを確保するための更なる措置を自主的なルールとして定め、対象とする事業者等に遵守させること、及び自らが遵守することが重要である。
なお、金融分野における個人情報取扱事業者は、個人情報の漏えい、不正流出等を防止等するため、個人情報の適正な管理に関し関係法令等を踏まえて対応する必要がある。
3

３ 金融分野において個人情報データベース等を事業の用に供している者のうち、法第２条第３項第５号の規定により「個人情報取扱事業者」から除かれる者においても、
本ガイドラインの遵守に努めるものとする。
（注） 本ガイドラインにおいては、金融分野の個人情報の性質及び利用方法に基づき、個人情報の取扱いに関して、金融分野の個人情報取扱事業者等が特に厳格な措置が求められる事項（努力措置）を「こととする」「適切である」「望ましい」の表現により規定している。
【「個人情報の保護に関する法律」関連規定】
（目的）
第一条

この法律は、高度情報通信社会の進展に伴い個人情報の利用が著しく拡大していることにかんがみ、個人情報の適正な取扱いに関し、基本理念及び政府による基本
方針の作成その他の個人情報の保護に関する施策の基本となる事項を定め、国及び地方公共団体の責務等を明らかにするとともに、個人情報を取り扱う事業者の遵守すべき義務等を定めることにより、個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする。
（地方公共団体等への支援）
第八条

国は、地方公共団体が策定し、又は実施する個人情報の保護に関する施策及び国民又は事業者等が個人情報の適正な取扱いの確保に関して行う活動を支援するた
め、情報の提供、事業者等が講ずべき措置の適切かつ有効な実施を図るための指針の策定その他必要な措置を講ずるものとする。

4

２.定義
本自主ルールにおいて、次の各号に掲げる用語の定義は、以下に定める。
（１）個人情報
生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日、その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう。
（２）個人情報データベース等
個人情報を含む情報の集合物であって、次のものをいう。
①特定の個人情報をコンピューターを用いて検索できるように体系的に構成したもの②①に掲げるもののほか、含まれる個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引、符号その他検索を容易にするためのものを有するもの（３）個人データ
個人情報データベース等を構成する個人情報をいう。
（４）保有個人データ
銀行が、開示、内容の訂正、追加または削除、利用の停止、消去および第三者提供の停止のすべてに応じることのできる権限を有する個人データであって、次のもの以外のものをいう。
①当該個人データの存否が明らかになることにより、本人または第三者の生命、身体または財産に危害が及ぶおそれがあるもの②当該個人データの存否が明らかになることにより、違法または不当な行為を助長し、または誘発するおそれがあるもの③当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国もしくは国際機関との信頼関係が損なわれるおそれまたは他国もし
くは国際機関との交渉上不利益を被るおそれがあるもの④当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧または捜査その他公共の安全と秩序の維持に支障が及ぶおそれがあるもの⑤６ヶ月以内に消去するもの（５）本人
個人情報によって識別される特定の個人をいう。
（運用上の考え方）●（１）の「個人情報」には、主として顧客本人の情報のほか、代理人、連帯保証人、振込の受取人、顧客家族に関する情報等、銀行取引に関連して取得する個人に関す
5

る情報が幅広く該当する。ただし、従業員、株主に関する情報等、銀行取引に関連しない個人情報は、本自主ルールの対象外とする。
●（１）の｢個人情報｣における「特定の個人を識別することができるもの」には、例
えば、次のような情報が該当する。
・氏名が含まれる情報
・氏名は含まれていないものの当該情報に含まれる個人別に付された番号、記号、
画像、音声その他の情報により特定の個人を識別できる情報
・当該情報のみでは識別できないが、当該情報に含まれる番号、記号その他の情報と銀行が保有する他の情報または公開された情報をコンピュータ等による処理で照合することによって特定の個人を識別できることとなる情報●「死者に関する情報」であっても、同時に、遺族等の生存する個人に関する情報となる場合は、「個人情報」となることに留意する。
●（２）②には、例えば次のようなものが該当する。
・五十音順等に並べられた顧客カード
・口座番号順等に並べられた印鑑票
・口座番号順等で作成されたコムフィシュ●（３）の「個人データ」には、例えば、個人情報データベース等から記録媒体へダウンロードされたものおよび紙面に出力されたものならびにそれらのコピーも該当する。
●（４）②には、例えば、いわゆる総会屋等による不当要求被害を防止するため、銀行が当該団体等の個人データを保有している場合が該当する。
●（４）④には、例えば、警察からの捜査関係事項照会の受理、回答の過程で容疑者等の個人データを保有している場合が該当する。
【金融庁ガイドライン関連規定】
第２条

定義等（法第２条、施行令第１条、施行令第２条、施行令第３条及び施行令第４条）
１ 「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日、その他の記述等により特定の個人を識別できるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう。
また、個人情報取扱事業者が取り扱う「死者に関する情報」は、同時に、遺族等の生存する個人に関する情報となることがあることに留意する。
２ 「個人情報データベース等」とは、個人情報を含む情報の集合物であって、特定の個人情報をコンピュータを用いて検索できるように体系的に構成したもの、又はコンピュータを用いていない場合であっても、五十音順に索引を付して並べられた顧客カード等、個人情報を一定の規則に従って整理することにより特定の個人情報を容易に6

検索することができるよう体系的に構成したものであって、目次、索引、符号等により一般的に容易に検索可能な状態に置かれているものをいう。
３ 施行令第２条に定める「個人情報の数」については、「その事業の用に供する個人
情報データベース等を構成する個人情報によって識別される特定の個人の数」で判断されることとされており、他者が管理している個人情報データベース等であっても、それを事業の用に供する場合には、当該個人情報データベース等を構成する特定の個人の数を「個人の数」に算入することとなる。
４ 「個人データ」とは、個人情報データベース等を構成する個人情報をいう。なお、
個人情報データベース等から記録媒体へダウンロードされたもの及び紙面に出力されたもの（又はそのコピー）も含まれる。
５ 「保有個人データ」とは、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止のすべてに応じることのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるもの、又は６月以内に消去（更新することは除く。）することとなるもの
以外のものをいう。
「存否が明らかになることにより公益その他の利益が害されるもの」とは、次の各号のいずれかに該当するものをいう。
① 存否が明らかになることで、本人又は第三者の生命、身体又は財産に危害が及ぶ
おそれがあるもの② 存否が明らかになることで、違法又は不当な行為を助長し、又は誘発するおそれがあるもの（例） いわゆる総会屋等による不当要求被害を防止するため、個人情報取扱事業者が当該団体等の個人データを保有している場合③ 存否が明らかになることで、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの④ 存否が明らかになることで、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの（例） 警察からの捜査関係事項照会を受理し、回答する過程で容疑者等の個人データを保有している場合
６ 「個人信用情報機関」とは、個人の返済能力に関する情報の収集及び与信事業を行う個人情報取扱事業者に対する当該情報の提供を業とするものをいう。
７ 前各項に定めるほか、本ガイドラインにおける用語は、他に特段の定めのない限り、
法及び施行令の定義に従う。
【「個人情報の保護に関する法律」関連規定】
（定義）
7

第二条

この法律において「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう。
２

この法律において「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるものをいう。
一

特定の個人情報を電子計算機を用いて検索することができるように体系的に構
成したもの

二

前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの

３

この法律において「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者をいう。ただし、次に掲げる者を除く。
一

国の機関

二

地方公共団体三独立行政法人等（独立行政法人等の保有する個人情報の保護に関する法律（平成十五年法律第五十九号）第二条第一項に規定する独立行政法人等をいう。以下同じ。）
四

地方独立行政法人（地方独立行政法人法（平成15 年法律第118 号）第2 条第1 項にする地方独立行政法人をいう。以下同じ。）
五

その取り扱う個人情報の量及び利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定める者

４

この法律において「個人データ」とは、個人情報データベース等を構成する個人情

報をいう。
５

この法律において「保有個人データ」とは、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの又は一年以内の政令で定める期間以内に消去することとなるもの以外のものをいう。
６

この法律において個人情報について「本人」とは、個人情報によって識別される特定の個人をいう。

【「個人情報の保護に関する法律施行令」関連規定】（個人情報データベース等）
第一条

個人情報の保護に関する法律（以下「法」という。）第二条第二項第二号の政令で定めるものは、これに含まれる個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成した情報の集8

合物であって、目次、索引その他検索を容易にするためのものを有するものをいう。
（個人情報取扱事業者から除外される者）
第二条

法第二条第三項第五号の政令で定める者は、その事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数（当該個人情報
データベース等の全部又は一部が他人の作成に係る個人情報データベース等で個人情報として氏名又は住所若しくは居所（地図上又は電子計算機の映像面上において住所又は居所の所在の場所を示す表示を含む。）若しくは電話番号のみが含まれる場合であって、これを編集し、又は加工することなくその事業の用に供するときは、当該
個人情報データベース等の全部又は一部を構成する個人情報によって識別される特定の個人の数を除く。）の合計が過去六月以内のいずれの日においても五千を超えない者とする。
（保有個人データから除外されるもの）
第三条
一

法第二条第五項の政令で定めるものは、次に掲げるものとする。

当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの
二

当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの
三

当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、
他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機
関との交渉上不利益を被るおそれがあるもの

四

当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの（保有個人データから除外されるものの消去までの期間）
第四条

法第二条第五項の政令で定める期間は、六月とする。

9

Ⅱ.取得および利用
１.利用目的の特定銀行は、法令により認められた業務の遂行のみを目的として個人情報を取り扱うことができる。銀行は、個人情報を取り扱うにあたっては、個人情報がどのような事業の用に供され、どのような目的で利用されるかを本人が合理的に予想できるようできる
限り特定しなければならない。
銀行は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。
（運用上の考え方）●銀行が利用目的の特定をする際は、次の事項に留意する。
・個人情報は、銀行が法令により認められた全ての業務（今後取扱いが認められる業務を含む）に関して利用され得ることを明記する。
・全ての業務を明記する際は、定款の記載などを参考に、例えば、以下のように業務の内容をできる限り特定する。
○ 預金業務、為替業務、両替業務、融資業務、外国為替業務およびこれらに付随する業務○ 投信販売業務、保険販売業務、証券仲介業務、信託業務、社債業務等、法律により銀行が営むことができる業務およびこれらに付随する業務○ その他銀行が営むことができる業務およびこれらに付随する業務（今後取扱いが認められる業務を含む）
・利用目的は、例えば、以下のように具体的に記載する。
弊行及び弊行の関連会社や提携会社の金融商品やサービスに関し、下記利用目的で利用致します。なお、特定の個人情報の利用目的が、法令等に基づき限定されている場合には、当該利用目的以外で利用致しません。
○ 各種金融商品の口座開設等、金融商品やサービスの申込の受付のため○ 本人確認法に基づくご本人さまの確認等や、金融商品やサービスをご利用いただく資格等の確認のため○ 預金取引や融資取引等における期日管理等、継続的なお取引における管理のため○ 融資のお申込や継続的なご利用等に際しての判断のため○ 適合性の原則等に照らした判断等、金融商品やサービスの提供にかかる妥
当性の判断のため○ 与信事業に際して個人情報を加盟する個人信用情報機関に提供する場合
等、適切な業務の遂行に必要な範囲で第三者に提供するため○ 他の事業者等から個人情報の処理の全部または一部について委託された
場合等において、委託された当該業務を適切に遂行するため○ お客さまとの契約や法律等に基づく権利の行使や義務の履行のため○ 市場調査、ならびにデータ分析やアンケートの実施等による金融商品やサービスの研究や開発のため○ ダイレクトメールの発送等、金融商品やサービスに関する各種ご提案のた10

め○ 提携会社等の商品やサービスの各種ご提案のため○ 各種お取引の解約やお取引解約後の事後管理のため○ その他、お客さまとのお取引を適切かつ円滑に履行するため【金融庁ガイドライン関連規定】
第３条

利用目的の特定（法第１５条関連）

１ 金融分野における個人情報取扱事業者は、法第１５条に従い、個人情報の取扱いに当たっては、個人情報がどのような事業の用に供され、どのような目的で利用されるかを本人が合理的に予想できるようできる限り特定しなければならない。具体的には、「自社の所要の目的で用いる」といった抽象的な利用目的は、「できる限り特定したもの」とはならない。利用目的は、提供する金融商品又はサービスを示した上で特定することが望ましく、次に掲げる例が考えられる。
（例）
・当社の預金の受入れ
・当社の与信判断・与信後の管理
・当社の保険の引き受け、保険金・給付金の支払い
・当社又は関連会社、提携会社の金融商品・サービスの販売・勧誘
・当社又は関連会社、提携会社の保険の募集
・当社内部における市場調査及び金融商品・サービスの開発・研究
・特定の金融商品・サービスの購入に際しての資格の確認
２ 金融分野における個人情報取扱事業者は、特定の個人情報の利用目的が、法令等に基づき限定されている場合には、その旨を明示することとする。
３ 金融分野における個人情報取扱事業者が、与信事業に際して、個人情報を取得する
場合においては、利用目的について本人の同意を得ることとし、契約書等における利用目的は他の契約条項等と明確に分離して記載することとする。この場合、事業者は取引上の優越的な地位を不当に利用し、与信の条件として、与信事業において取得した個人情報を与信業務以外の金融商品のダイレクトメールの発送に利用することを利用目的として同意させる等の行為を行うべきではなく、本人は当該ダイレクトメー
ルの発送に係る利用目的を拒否することができる。
４ 金融分野における個人情報取扱事業者が、与信事業に際して、個人情報を個人信用情報機関に提供する場合には、その旨を利用目的に明示する。更に、明示した利用目的について本人の同意を得ることとする。
【「個人情報の保護に関する法律」関連規定】（利用目的の特定）
11

第十五条

個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。
２

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。

12

２.利用目的の通知・公表・明示
銀行は、個人情報を取得した場合には、あらかじめその利用目的を公表している場合
を除き、速やかに、その利用目的を、適切な方法により本人に通知し、または公表しなければならない。
ただし、本人との間で契約を締結すること等に伴って、本人から直接書面（電子的方式・磁気的方式等による記録を含む。
）に記載された当該本人の個人情報を取得する場
合には、銀行はあらかじめ本人に対し、その利用目的を明示しなければならない。また、この場合、与信事業においては、銀行は利用目的について、本人の同意を得なけ
ればならない。ただし、人の生命、身体または財産の保護のために緊急に必要がある
場合は、明示および同意を要しない。
また、銀行は、Ⅱ.１.「利用目的の特定」の「変更前の利用目的と相当の関連性を有す
ると合理的に認められる範囲」を超えない利用目的の変更を行った場合は、変更された利用目的について、本人に通知し、または公表しなければならない。
ただし、次の場合においては、上記のいずれの場合も通知、公表、明示、同意を要しない。
（１）利用目的を本人に通知し、または公表することにより本人または第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（２）利用目的を本人に通知し、または公表することにより銀行の権利または正当な利益を害するおそれがある場合（３）国の機関または地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、または公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
（４）取得の状況からみて利用目的が明らかであると認められる場合（運用上の考え方）●本項第一文の「個人情報を取得した場合」には、本人以外の第三者から取得する場合も該当する。
●「通知」の方法は、書面による通知を原則とするほか、例えば、次のような方法がある。
・電子メールによる通知
・電話（自動音声を含む）による通知●「公表」の方法には、次のような方法がある。
・銀行のホームページへの掲載
・銀行の営業拠点へのポスター・書面等の掲示・備付け
・パンフレットへの記載・配付●「電子的方式・磁気的方式等による記録」には、例えば、ホームページ上や電子メールで個人情報を取得する場合が該当する。
13

●「同意」を得る方法は、同意文言を記載した書面上に、本人の署名（・捺印）を徴求する方法を原則とするほか、例えば、次のような方法がある。
・電話による取引等において、口頭で同意を得てその旨の記録を残す方法
・インターネットによる取引等において、画面上での同意の意思表示（了解ボタン
をクリックしてもらう等）や同意文言を記載した本人からの電子メールの受領等による方法●「明示」の方法には、例えば、次のような方法がある。ただし、いずれの方法においても明示したことの記録を残すことが望ましい。
・利用目的を記載した書面で明示する方法
・ポスター等の掲示により明示する方法
・パンフレット・チラシの配付等により明示する方法
・インターネット等の画面で明示する方法●与信事業に際して個人情報を取得する場合には、契約書等における利用目的は他の契約条項等と明確に分離して記載するよう留意する。
●「明示」する対象は、取得した個人情報の利用目的である。
「明示」する方法は、当該書面に記載された個人情報の利用目的のみを示す方法と、Ⅱ.１.「利用目的の特定」
により特定した包括的な利用目的の全部または一部を示す方法のいずれでもよい。
●本人に対して取引開始時等に包括的な利用目的を明示している場合で、書面に記載された個人情報の利用目的がその範囲にあるときには、当該個人情報を取得する都
度改めて利用目的の明示を行う必要はない。
●（１）には、例えば、次のような場合が該当する。
・第三者から民事介入暴力に関与する者等についての情報提供を受ける場合●（２）には、例えば、次のような場合が該当する。
・民事介入暴力に関与する者等についての情報を取得する場合●（３）には、例えば、次のような場合が該当する。
・捜査機関から捜査への協力に必要な被疑者の個人情報の提供を受ける場合●（４）には、例えば、次のような場合が該当する。
・契約書に記載されている個人情報を契約上の権利行使や義務の履行にのみ利用す
る場合
・振込取引において、振込依頼人や振込先の情報を取得する場合で、当該情報を当
該振込取引にのみ利用する場合
・両替の申込用紙に記載された申込者の情報を取得する場合で、当該情報を当該両替取引にのみ利用する場合
・電話等での資料請求に対して、請求者が提供した住所、氏名に関する情報を請求された資料の送付のみに利用する場合

14

【金融庁ガイドライン関連規定】
第８条

取得に際しての利用目的の通知等（法第１８条関連）

１ 法第１８条第１項においては、個人情報取扱事業者は、個人情報を取得した場合、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を本人に通知し、又は公表しなければならないとされている。
「通知」の方法については、金融分野における個人情報取扱事業者は、原則として、書面によることとする。
「公表」の方法については、金融分野における個人情報取扱事業者は、自らの金融商品の販売方法等の事業の態様に応じ、インターネット上のホームページ等での公表、事務所の窓口等への書面の掲示・備付け等適切な方法によらなければならない。
２ 法第１８条第２項においては、個人情報取扱事業者は、同条第１項の規定にかかわらず、本人との間で、契約を締結することに伴って契約書その他の書面に記載された個人情報を取得する場合は、あらかじめ利用目的を明示することとされている。金融分野における個人情報取扱事業者は、与信事業に際しては、利用目的を明示する書面に確認欄を設けること等により、利用目的について本人の同意を得ることが望ましい。
なお、与信事業に際して、申込時に利用目的について本人の同意を得る場合、当該申込時に利用目的について同意を得た個人情報については法第１８条第１項に基づく「通知又は公表」を要しないが、それ以降に取得する情報については、あらかじめ利用目的を公表していない限り、利用目的の通知又は公表が必要である。
３ 法第１８条第４項第４号においては、「取得の状況から見て利用目的が明らかであると認められる場合」には、通知、公表又は明示は適用除外とされている。
「取得の状況から見て利用目的が明らかであると認められる場合」としては、例えば、電話等での資料請求に対して、請求者が提供した住所及び氏名に関する情報を請求された資料の送付のみに利用する場合が考えられる。
【「個人情報の保護に関する法律」関連規定】（取得に際しての利用目的の通知等）
第十八条

個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない
２

個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られる記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。
15

３

個人情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
４

前三項の規定は、次に掲げる場合については、適用しない。

一

利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

二

利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権

利又は正当な利益を害するおそれがある場合
三国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
四取得の状況からみて利用目的が明らかであると認められる場合

16

３.ダイレクト・マーケティングの中止
銀行は、本人から、ダイレクト・マーケティング（銀行または銀行が個人情報を提供する先が、特定の商品またはサービスに適合する顧客を限定して行う、ダイレクトメ
ールの送付やテレマーケティングその他のセールス活動で、店舗等で直接面談して行うセールス活動を除くもの）の目的で個人情報を利用することの中止を求められた場
合には、当該目的での個人情報の利用または提供を中止しなければならない。
（運用上の考え方）●ダイレクト・マーケティングを目的とする個人情報の利用または提供を中止する場
合にあっても、その他の利用目的の達成に必要な範囲で、当該個人情報を利用することを妨げない。

【金融庁ガイドライン関連規定】
第３条

利用目的の特定（法第１５条関連）

３ 金融分野における個人情報取扱事業者が、与信事業に際して、個人情報を取得する
場合においては、利用目的について本人の同意を得ることとし、契約書等における利用目的は他の契約条項等と明確に分離して記載することとする。この場合、事業者は取引上の優越的な地位を不当に利用し、与信の条件として、与信事業において取得した個人情報を与信業務以外の金融商品のダイレクトメールの発送に利用することを利用目的として同意させる等の行為を行うべきではなく、本人は当該ダイレクトメー
ルの発送に係る利用目的を拒否することができる。

17

４.適正な取得
銀行は、業務上必要な範囲内で、適正かつ適法な手段により、個人情報を取得しなけ
ればならない。また、銀行は、第三者からの個人情報の取得に際して、本人の利益を不当に侵害してはならない。
（運用上の考え方）●｢本人の利益の不当な侵害｣には、例えば、銀行が、情報の不正取得等の不当な行為を行っている第三者から、当該情報が漏えいされた情報であること等を知った上で個人情報を取得する場合が該当する。

【金融庁ガイドライン関連規定】
第７条

適正な取得（法第１７条関連）金融分野における個人情報取扱事業者は、法第１７条に従い、偽りその他不正の手
段により個人情報を取得してはならない。事業者は、第三者から個人情報を取得するに際しては、本人の利益の不当な侵害を行ってはならず、個人情報の不正取得等の不当な行為を行っている第三者から、当該情報が漏えいされた個人情報であること等を知った上で当該情報を取得すべきではない。
【「個人情報の保護に関する法律」関連規定】（適正な取得）第十七条

個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得しては

らない。

18

５.機微（センシティブ）情報の取扱い
銀行は、政治的見解、信教（宗教、思想および信条をいう。）、労働組合への加盟、人種および民族、門地および本籍地、保健医療および性生活、並びに犯罪歴に関する情報（以下｢機微（センシティブ）情報｣という。）については、次に掲げる場合を除くほか、取得・利用・第三者提供をしてはならない。
（１）法令等に基づく場合（２）人の生命、身体または財産の保護のために必要がある場合（３）公衆衛生の向上または児童の健全な育成の推進のため特に必要がある場合（４）国の機関若しくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合（５）源泉徴収事務等の遂行上必要な範囲において、政治・宗教等の団体若しくは労働組合への所属若しくは加盟に関する従業員等の機微(センシティブ)情報を取得、利用または第三者提供する場合（６）相続手続による権利義務の移転等の遂行に必要な限りにおいて、機微(センシティブ)情報を取得、利用または第三者提供する場合（７）保険業その他金融分野の事業の適切な業務運営を確保する必要性から、本人の同意に基づき業務遂行上必要な範囲で機微(センシティブ)情報を取得、利用または第三者提供する場合（８）機微（センシティブ）情報に該当する生体認証情報を本人の同意に基づき、本人確認に用いる場合
銀行は、機微(センシティブ)情報を、上記（１）から（８）までに定める事由により取得、利用または第三者提供する場合には、上記（１）から（８）までの事由を逸脱した取得、利用または第三者提供を行うことのないよう、特に慎重に取扱わなければならない。
（運用上の考え方）●本人確認資料に本籍地情報など業務遂行上必要でない｢機微（センシティブ）情報｣が記載されている場合等には、例えば、銀行は当該情報を黒塗りして保存する等の措置をとることとする。
●（１）は、法律、政省令、条例、条約のほか、閣議決定や官公署が発出する公的な文書に基づく場合であり、例えば、次の場合が該当する。
・「障害者等の少額貯蓄非課税制度」の利用資格を確認する場合●（２）には、例えば、次の場合が該当する。
・民事介入暴力に関与する者等についての情報を取得・利用・第三者提供する場合●（５）には、例えば、次の場合が該当する。
・勤務先情報として、政治・宗教等の団体名を取得・利用・第三者提供する場合
・財形預金および提携ローン取引において、特定の団体への所属を確認するため政19

治・宗教等の団体名を取得・利用・第三者提供する場合
・収納代行のために、政治・宗教等の団体から構成員の情報が含まれるデータを受領する場合●（７）には、例えば、次の場合が該当する。
・振込依頼人が所属する政治・宗教等の団体名を振込依頼書の受取人情報として取得する場合
・団体信用生命保険の申込書上に記載されている保健医療情報を保険業務に必要な範囲で取得・利用・第三者提供する場合●新聞または官報等に記載された公知の情報は、「機微（センシティブ）情報」に該当しない。
【金融庁ガイドライン関連規定】
第６条

機微（センシティブ）情報について

１ 金融分野における個人情報取扱事業者は、政治的見解、信教（宗教、思想及び信条
をいう。）、労働組合への加盟、人種及び民族、門地及び本籍地、保健医療及び性生
活、並びに犯罪歴に関する情報(以下「機微(センシティブ)情報」という。)については、次に掲げる場合を除くほか、取得、利用又は第三者提供を行わないこととする。
① 法令等に基づく場合② 人の生命、身体又は財産の保護のために必要がある場合③ 公衆衛生の向上又は児童の健全な育成の推進のため特に必要がある場合④ 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合⑤ 源泉徴収事務等の遂行上必要な範囲において、政治・宗教等の団体若しくは労働組合への所属若しくは加盟に関する従業員等の機微(センシティブ)情報を取得、利用又は第三者提供する場合⑥ 相続手続による権利義務の移転等の遂行に必要な限りにおいて、機微(センシティ
ブ)情報を取得、利用又は第三者提供する場合⑦ 保険業その他金融分野の事業の適切な業務運営を確保する必要性から、本人の同意に基づき業務遂行上必要な範囲で機微(センシティブ)情報を取得、利用又は第三者提供する場合⑧ 機微（センシティブ）情報に該当する生体認証情報を本人の同意に基づき、本人確認に用いる場合
２ 金融分野における個人情報取扱事業者は、機微(センシティブ)情報を、前項各号に定める事由により取得、利用又は第三者提供する場合には、各号の事由を逸脱した取得、利用又は第三者提供を行うことのないよう、特に慎重に取り扱うこととする。

20

６.目的外利用の禁止
銀行は、Ⅱ.１.により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。また、銀行は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。ただし、上記のいずれの場合も、次に掲げる場合は適用しない。
（１）あらかじめ本人の同意がある場合（２）法令に基づく場合（３）人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難である場合（４）公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難である場合（５）国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがある場合（運用上の考え方）●将来の法令の改正等により、新たに取扱いが認められる業務に関して、既存の取引に際して取得した個人情報を利用する場合にあっては、利用目的に明記した「銀行が法令により認められた業務（今後取扱いが認められる業務を含む）」から外れない
限り、特定された利用目的の達成に必要な範囲を超えないと考えられる。ただし、当該業務での個人情報の利用が、これまで銀行が法令により認められていた業務での利用目的から全く想定できない場合は除く。
●「同意」を得る方法は、同意文言を記載した書面上に、本人の署名（・捺印）を徴求する方法を原則とするほか、例えば、次のような方法がある。
・電話による取引等において、口頭で同意を得てその旨の記録を残す方法
・インターネットによる取引等において、画面上での同意の意思表示（了解ボタン
をクリックしてもらう等）や同意文言を記載した本人からの電子メールの受領等
による方法●あらかじめ作成された同意書面を用いて（１）の「同意」を得る場合には、文字の大きさおよび文章の表現を変えること等により、個人情報の取扱いに関する条項が他と明確に区別され、本人に理解されるようにするか、または、同意書面に確認欄を設け本人がチェックを行う等、本人の意思が明確に反映できる方法により確認を行うよう留意する。
●（２）には例えば、次のような法令に基づく場合が該当する。
・民事訴訟法第 223 条(文書提出命令)
・刑事訴訟法第 218 条第 1 項（令状による差押え・捜索・検証）
21

・国税犯則取締法第 1 条（質問・物件の検査・領置）・所得税法第 225 条（支払調書および支払通知書）
・地方税法第 72 条の 63（事業税に係る総務省の職員の質問検査権）
・法人税法第 154 条（当該職員の質問検査権）
・国税徴収法第 141 条（質問および検査）・内国税の適正な課税の確保を図るための国外送金等に係る調書の提出等に関する法律第４条（国外送金等調書の提出）
・組織的犯罪処罰法第 54 条（金融機関等による疑わしい取引の届出等）
・銀行法第 24 条（報告または資料の提出）・割賦販売法第 40 条（報告の徴収）
・商法第 274 条の３（親会社の監査役の子会社に対する調査への対応）●（３）には、例えば、次のような場合が該当する。
・民事介入暴力に関与する者等への対応●（５）には、例えば、次のような場合が該当する。ただし、「協力する必要がある」
か否かは、都度銀行が判断すべきであることに留意する。
・民事訴訟法第 186 条に基づく調査嘱託への回答
・民事訴訟法第 226 条に基づく文書送付嘱託への回答
・刑事訴訟法第 197 条に基づく捜査関係事項照会書への回答
・刑事訴訟法第 507 条に基づく検察官、裁判所、裁判官が裁判の執行に関して行う照会への回答・家事審判規則第８条に基づく家庭裁判所の行う調査嘱託への回答
・防犯ビデオの提出等、捜査機関への協力【金融庁ガイドライン関連規定】
第４条

同意の形式について（法第１６条及び法第２３条関連）

金融分野における個人情報取扱事業者は、法第１６条及び法第２３条に定める本人の同意を得る場合には、原則として、書面（電子的方式、磁気的方式、その他人の知覚によっては認識することのできない方式で作られる記録を含む。以下、同様とする。）によることとする。なお、事業者があらかじめ作成された同意書面を用いる場
合には、文字の大きさ及び文章の表現を変えること等により、個人情報の取扱いに関する条項が他と明確に区別され、本人に理解されることが望ましい。または、あらか
じめ作成された同意書面に確認欄を設け本人がチェックを行うこと等、本人の意思が明確に反映できる方法により確認を行うことが望ましい。
第５条

利用目的による制限（法第１６条関連）

１ 金融分野における個人情報取扱事業者は、法第１６条に従い、あらかじめ本人の同意を得ないで、法第１５条の規定に従い特定された利用目的の達成に必要な範囲を超22

えて、個人情報を取り扱ってはならない。
２ 金融分野における個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本
人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
３ 前二項の規定は、次に掲げる場合については、適用しない。
① 法令に基づく場合（例）
・所得税法（昭和４０年法律第３３号）第２３４条第１項等に基づいて税務当局が行う質問検査及び国税犯則取締法（明治３３年法律第６７号）第１条等に基づいて収税官吏又は徴税吏員の行う犯則事件の任意調査に応じる場合
・刑事訴訟法（昭和２３年法律第１３１号）第１９７条に基づく捜査関係事項照会に応じる場合
・組織的な犯罪の処罰及び犯罪収益の規制等に関する法律（平成１１年法律第１３６号）第５４条第１項に基づき疑わしい取引を届け出る場合② 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
（例）
・いわゆる総会屋及び暴力団等の違法行為に関する情報を収集する場合③ 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
（例）
・病気の予防、治療に関する研究等を目的とする情報交換を行う場合④ 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
（例）・税務当局が適正な課税実現の観点から、個々の質問検査権の規定によらずに行う任
意調査に応じる場合【「個人情報の保護に関する法律」関連規定】（利用目的による制限）
第十六条

個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならな
い。
２

個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ない
23

で、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
３

前二項の規定は、次に掲げる場合については、適用しない。

一

法令に基づく場合

二人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

24

Ⅲ.データ内容の正確性の確保
銀行は、利用目的の達成に必要な範囲内において個人データを正確かつ最新の内容に保つよう努めなければならない。また、保有する個人データの利用目的に応じ保存期間を定め、当該期間経過後の個人データを消去するよう努めなければならない。ただし、法令等に基づく保存期間の定めがある場合には、この限りでない。
（運用上の考え方）●個人データを正確かつ最新の内容に保つ方法には、例えば、次のような方法がある。
・顧客に対して正確かつ最新のデータ提供を働きかける方法
・顧客から提出される取引開始時の各種届出や、取引開始後の変更届について、本
人確認等の実務の一環として当該届出内容の正確性を確認する方法
・顧客からの届出内容について、迅速かつ正確に個人情報データベース等に反映する方法●「保存期間」には、合理的な理由を伴う永久保存も該当する。
【金融庁ガイドライン関連規定】
第９条

データ内容の正確性の確保（法第１９条関連）

金融分野における個人情報取扱事業者は、法第１９条に従い、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めなければならない。
このため、事業者は、預金者又は保険契約者等の個人データの保存期間については、
契約終了後一定期間内とする等、保有する個人データの利用目的に応じ保存期間を定め、当該期間を経過した個人データを消去することとする。
ただし、法令等に基づく保存期間の定めがある場合には、この限りでない。
【「個人情報の保護に関する法律」関連規定】（データ内容の正確性の確保）
第十九条

個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人デー

タを正確かつ最新の内容に保つよう努めなければならない。

25

Ⅳ.安全管理措置
銀行は、個人データの漏えい、滅失または毀損の防止その他の個人データの安全管理のため、別途定める「個人データの安全管理措置等に関する指針」に掲げる措置を講じなければならない。
【金融庁ガイドライン関連規定】
第１０条

安全管理措置（法第２０条及び基本方針関連）

１ 金融分野における個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のため、安全管理に係る基本方針・取扱規程等の整備及び安全管理措置に係る実施体制の整備等の必要かつ適切な措置を講じなければならない。必要かつ適切な措置は、個人データの取得・利用・保管等の各段階に応じた「組織的安全管理措置」、「人的安全管理措置」及び「技術的安全管理措置」を含むものでなければならない。
２ 本条における「組織的安全管理措置」とは、個人データの安全管理措置について従業者（法第２１条参照）の責任と権限を明確に定め、安全管理に関する規程等を整備・運用し、その実施状況の点検・監査を行うこと等の、個人情報取扱事業者の体制整備
及び実施措置をいう。
３ 本条における「人的安全管理措置」とは、従業者との個人データの非開示契約等の締結及び従業者に対する教育・訓練等を実施し、個人データの安全管理が図られるよう従業者を監督することをいう。
４ 本条における「技術的安全管理措置」とは、個人データ及びそれを取り扱う情報シ
ステムへのアクセス制御及び情報システムの監視等の、個人データの安全管理に関する技術的な措置をいう。
５ 金融分野における個人情報取扱事業者は、個人データの安全管理に係る基本方針・取扱規程等の整備として、次に掲げる「組織的安全管理措置」を講じなければならない。
（組織的安全管理措置）（１）規程等の整備① 個人データの安全管理に係る基本方針の整備② 個人データの安全管理に係る取扱規程の整備③ 個人データの取扱状況の点検及び監査に係る規程の整備④ 外部委託に係る規程の整備（２）各管理段階における安全管理に係る取扱規程① 取得・入力段階における取扱規程② 利用・加工段階における取扱規程③ 保管・保存段階における取扱規程④ 移送・送信段階における取扱規程26

⑤ 消去・廃棄段階における取扱規程⑥ 漏えい事案等への対応の段階における取扱規程
６ 金融分野における個人情報取扱事業者は、個人データの安全管理に係る実施体制の整備として、次に掲げる「組織的安全管理措置」、「人的安全管理措置」及び「技術的安全管理措置」を講じなければならない。
（組織的安全管理措置）① 個人データの管理責任者等の設置② 就業規則等における安全管理措置の整備③ 個人データの安全管理に係る取扱規程に従った運用④ 個人データの取扱状況を確認できる手段の整備⑤ 個人データの取扱状況の点検及び監査体制の整備と実施⑥ 漏えい事案等に対応する体制の整備（人的安全管理措置）① 従業者との個人データの非開示契約等の締結② 従業者の役割・責任等の明確化③ 従業者への安全管理措置の周知徹底、教育及び訓練④ 従業者による個人データ管理手続きの遵守状況の確認（技術的安全管理措置）① 個人データの利用者の識別及び認証② 個人データの管理区分の設定及びアクセス制御③ 個人データへのアクセス権限の管理④ 個人データの漏えい・き損等防止策⑤ 個人データへのアクセスの記録及び分析⑥ 個人データを取り扱う情報システムの稼働状況の記録及び分析⑦ 個人データを取り扱う情報システムの監視及び監査第１１条

従業者の監督（法第２１条及び基本方針関連）

１ 金融分野における個人情報取扱事業者は、法第２１条に従い、個人データの安全管理が図られるよう、適切な内部管理体制を構築し、その従業者に対する必要かつ適切な監督を行わなければならない。
２ 本条における「従業者」とは、個人情報取扱事業者の組織内にあって直接又は間接に事業者の指揮監督を受けて事業者の業務に従事している者をいい、雇用関係にある従業者（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、事業者との間の雇用関係にない者（取締役、執行役、理事、監査役、監事、派遣社員等）も含まれる。
３ 金融分野における個人情報取扱事業者は、次に掲げる体制整備等により、従業者に対し必要かつ適切な監督を行わなければならない。
① 従業者が、在職中及びその職を退いた後において、その業務に関して知り得た個
27

人データを第三者に知らせ、又は利用目的外に使用しないことを内容とする契約等
を採用時等に締結すること。
② 個人データの適正な取扱いのための取扱規程の策定を通じた従業者の役割・責任の明確化及び従業者への安全管理義務の周知徹底、教育及び訓練を行うこと。
③ 従業者による個人データの持出し等を防ぐため、社内での安全管理措置に定めた事項の遵守状況等の確認及び従業者における個人データの保護に対する点検及び監査制度を整備すること。
第１２条

委託先の監督（法第２２条及び基本方針関連）

１ 金融分野における個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、法第２２条に従い、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
２ 「委託」とは、契約の形態や種類を問わず、金融分野における個人情報取扱事業者
が他の者に個人データの取扱いの全部又は一部を行わせることを内容とする契約の一切を含む。
３ 金融分野における個人情報取扱事業者は、個人データを適正に取扱っていると認められる者を選定し委託するとともに、取扱いを委託した個人データの安全管理措置が図られるよう、個人データの安全管理のための措置を委託先においても確保することが必要である。なお、二段階以上の委託が行われた場合には、委託先の事業者が再委
託先等の事業者に対して十分な監督を行っているかについても監督を行わなければならない。
具体的には、金融分野における個人情報取扱事業者は、① 個人データの安全管理のため、委託先における組織体制の整備及び安全管理に係る基本方針・取扱規程の策定等の内容を委託先選定の基準に定め、当該基準に従って委託先を選定するとともに、当該基準を定期的に見直すこと。
② 委託者の監督・監査・報告徴収に関する権限、委託先における個人データの漏えい・盗用・改ざん及び目的外利用の禁止、再委託に関する条件及び漏えい等が発生した場合の委託先の責任を内容とする安全管理措置を委託契約に盛り込むとともに、定期的又は随時に当該委託契約に定める安全管理措置の遵守状況を確認し、当該安全管理措置の見直しを行うこと。
等が必要である。
【「個人情報の保護に関する法律」関連規定】（安全管理措置）第二十条

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
（従業者の監督）
28

第二十一条

個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
（委託先の監督）
第二十二条

個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場

合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

29

Ⅴ.第三者提供の制限
１.第三者提供
銀行が、取得した個人データを第三者へ提供する場合は、次に掲げる場合を除き、あらかじめ本人の同意を得なければならない。
（１）法令に基づく場合（２）人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難である場合（３）公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難である場合（４）国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがある場合（５）銀行が個人データを第三者へ提供する場合において、本人の求めに応じてその第三者への提供を停止することとしている場合であって、次に掲げる事項について、あらかじめ、本人に通知し、または適切な方法により本人が容易に知り得る状態に置いている場合①

第三者への提供を利用目的とすること②

第三者に提供される個人データの項目③

第三者への提供の手段または方法④

本人の求めに応じて当該本人が識別される個人データの第三者への提供を停
止すること

銀行は、
（５）②または③に掲げる事項を変更する場合は、変更する内容について、あらかじめ、本人に通知し、または本人が容易に知り得る状態に置かなければならない。
なお、合併その他の事由による事業の承継の場合において、当該個人データの提供を受ける者は、第三者に該当しないものとする。
（運用上の考え方）●｢第三者提供される個人データ｣には、例えば、公開情報も該当する。
●銀行が、例えば次のように、取得した個人データを提供する際は、Ⅴ.１.｢第三者提供（同意があるものとみられる場合を含む）｣、Ⅴ.２.｢委託｣およびⅤ.３.｢共同利用｣のいずれに該当するかに応じ必要な対応をとることとする。
・口座振替における収納企業への口座振替結果情報の提供
・財形預金提携企業への残高情報等の提供
・振込受取人への振込依頼人情報の提供
・ローン取引で、主債務者の委託を受けて保証人となっている信用保証会社、カード会社、消費者金融会社への情報提供
・ローン取引での信用保証協会への情報提供
30

・ローン提携の不動産会社（住宅ローン等）、企業（職域提携ローン等）への情報提供・国・地方公共団体（利子補給ローン等）への情報提供
・引受保険会社（生命保険会社、損害保険会社）への保険契約申込情報等の提供
・SPC やサービサー等に債権譲渡する際の情報提供。
・債権譲渡の事前協議やデュー・デリジェンスにおける相手先、格付機関、会計事
務所等への情報の提供（結果的に譲渡が行われなかった場合も含む）
・連帯保証人への主債務者の債務残高等の情報の提供
・投資信託、保険、債券、株式等の金融商品のプロバイダーへの購入申込情報の提供●銀行が取得した個人データを第三者に提供することが、取引上当然に予想されることにより、本人の同意があるものとみられる場合がある。ただし、こうした場合であっても、個人データを提供する第三者、提供を受けた第三者における利用目的、
第三者に提供される情報の内容を記載した書面等により、本人の明示的な同意を得ることが望ましい場合もある。
●「同意」を得る方法は、同意文言を記載した書面上に、本人の署名（・捺印）を徴求する方法を原則とするほか、例えば、次のような方法がある。
・電話による取引等において、口頭で同意を得てその旨の記録を残す方法
・インターネットによる取引等において、画面上での同意の意思表示（了解ボタン
をクリックしてもらう等）や同意文言を記載した本人からの電子メールの受領等による方法●｢同意文言を記載した書面｣は、文字の大きさおよび文章の表現を変えること等により、個人情報の取扱いに関する条項が他と明確に区別され、本人に理解されるようにするか、または、確認欄を設け本人がチェックを行う等、本人の意思が明確に反映できるものとする。また、当該書面における記載を通じて、以下の事項を本人に認識させたうえで同意を得ることとする。
・個人データを提供する第三者・提供を受けた第三者における利用目的
・第三者に提供される情報の内容●（１）には、例えば、次のような法令に基づく場合が該当する。
・民事訴訟法第 223 条(文書提出命令)
・刑事訴訟法第 218 条第 1 項（令状による差押え・捜索・検証）
・国税犯則取締法第 1 条（質問・物件の検査・領置）・所得税法第 225 条（支払調書および支払通知書）
・地方税法第 72 条の 63（事業税に係る総務省の職員の質問検査権）
・法人税法第 154 条（当該職員の質問検査権）
・国税徴収法第 141 条（質問および検査）
31

・内国税の適正な課税の確保を図るための国外送金等に係る調書の提出等に関する法律第４条（国外送金等調書の提出）
・組織的犯罪処罰法第 54 条（金融機関等による疑わしい取引の届出等）
・銀行法第 24 条（報告または資料の提出）・割賦販売法第４０条（報告の徴収）
・商法第 274 条の３（親会社の監査役の子会社に対する調査への対応）●（２）には、例えば、次のような場合が該当する。
・民事介入暴力に関与する者等への対応●（４）には、例えば、次のような場合が該当する。ただし、「協力する必要がある」
か否かは、都度銀行が判断すべきであることに留意する。
・民事訴訟法第 186 条に基づく調査嘱託への回答
・民事訴訟法第 226 条に基づく文書送付嘱託への回答
・刑事訴訟法第 197 条に基づく捜査関係事項照会書への回答
・刑事訴訟法第 507 条に基づく検察官、裁判所、裁判官が裁判の執行に関して行う照会への回答・家事審判規則第８条に基づく家庭裁判所の行う調査嘱託への回答
・防犯ビデオの提出等、捜査機関への協力●「通知」の方法は、書面による通知を原則とするほか、例えば、次のような方法がある。
・電子メールによる通知
・電話（自動音声を含む）による通知●「本人が容易に知り得る状態」には、例えば、次のようなものが該当する。
・ホームページへの継続的な掲載
・店頭での継続的なポスターの掲示、書面の備え付け
・パンフレットの継続的な配付●（５）③には、例えば、次のようなものが該当する。
・刊行物の発行・オンライン等による情報提供●｢合併その他の事業の承継｣には、例えば、次のような場合が該当する。
・合併・会社分割
・営業譲渡【金融庁ガイドライン関連規定】
第４条

同意の形式について（法第１６条及び法第２３条関連）

金融分野における個人情報取扱事業者は、法第１６条及び法第２３条に定める本人の同意を得る場合には、原則として、書面（電子的方式、磁気的方式、その他人の知32

覚によっては認識することのできない方式で作られる記録を含む。以下、同様とする。）によることとする。なお、事業者があらかじめ作成された同意書面を用いる場
合には、文字の大きさ及び文章の表現を変えること等により、個人情報の取扱いに関する条項が他と明確に区別され、本人に理解されることが望ましい。または、あらか
じめ作成された同意書面に確認欄を設け本人がチェックを行うこと等、本人の意思が明確に反映できる方法により確認を行うことが望ましい。
第１３条

第三者提供の制限（法第２３条関連）

１ 金融分野における個人情報取扱事業者は、法第２３条に従い、次に掲げる場合を除
くほか、あらかじめ本人に同意を得ることなく、個人データを第三者に提供してはならない。
① 法令に基づく場合② 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
③ 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
④ 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
（注）上記①〜④の具体例は、第５条第３項①〜④における例示と同じ。
なお、第三者提供についての同意を得る際には、原則として、書面によることとし、当該書面における記載を通じて、① 個人データを提供する第三者② 提供を受けた第三者における利用目的③ 第三者に提供される情報の内容を本人に認識させた上で同意を得ることとする。
２ 「第三者」について「第三者」とは、個人データを提供しようとする個人情報取扱事業者及び当該個人
データに係る本人のいずれにも該当しないものをいい、自然人、法人その他の団体を問わない。
３ 個人信用情報機関に対する提供について
個人信用情報機関に対して個人データが提供される場合には、個人信用情報機関を通じて当該機関の会員企業にも情報が提供されることとなるため、個人信用情報機関に個人データを提供する金融分野における個人情報取扱事業者が本人の同意を得ることとする。
本人から同意を得るに当たっては、本人が、個人データが個人信用情報機関を通じて当該機関の会員企業にも提供されることを明確に認識した上で、同意に関する判断を行うことができるようにすることとする。このため、事業者は、同意を得る書面に、33

第１項に定める事項のほか、個人データが当該機関の会員企業にも提供される旨の記載及び当該機関の会員企業として個人データを利用する者の表示を行うこととする。
「当該機関の会員企業として個人データを利用する者」の表示は、「当該機関の会員企業として個人データを利用する者」の外延を本人に客観的かつ明確に示すものであることが必要であり、会員企業の名称を記載する方法、若しくは当該機関の規約等
及び会員企業名を常時公表しているホームページ（苦情処理の窓口の連絡先等、第２３条の内容を記載したもの）のアドレスを記載する方法等により、本人が同意の可否を判断するに足りる具体性をもって示すことをいう。また、本人に表示する個人信用情報機関の規約等においては、機関の加入資格及び会員企業の外延が明確に示されるとともに、個人データの適正管理、情報の目的外利用の防止等の観点から、安全管理体制の整備、守秘義務の遵守及び違反に対する制裁措置等を明確に記載することが適切である。
なお、金融分野における個人情報取扱事業者は、個人信用情報機関から得た資金需要者の返済能力に関する情報については、当該資金需要者の返済能力の調査以外の目的に使用することのないよう、慎重に取り扱うこととする。
４ 法第２３条第２項について
法第２３条第２項においては、個人情報取扱事業者が、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、同項各号に掲げる事項について、あらか
じめ、本人に通知し、又は本人が容易に知り得る状態に置いているときは、当該個人データを第三者に提供することができるとされている。
「本人が容易に知り得る状態」とは、本人が知ろうと思えば、時間的にも、その手段においても、容易に知ることができる状態をいい、金融分野における個人情報取扱事業者は、自らの金融商品の販売方法等の事業の態様に応じた適切な方法により、継続的な公表を行う必要があり、例えば、事務所の窓口等での常時掲示・備付け、イン
ターネットのホームページへの常時掲載等が考えられる。
５ 与信事業における法第２３条第２項の適用について
金融分野における個人情報取扱事業者は、与信事業に係る個人の返済能力に関する情報を個人信用情報機関へ提供するに当たっては、法第２３条第２項を用いないこととし、本条第３項に従い本人の同意を得ることとする。
６ 法第２３条第４項について
法第２３条第４項に従い、次に掲げる場合において、当該個人データの提供を受ける者は、第三者に該当しない。
① 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱
いの全部又は一部を委託する場合② 合併その他の事由による事業の承継に伴って個人データが提供される場合③ 個人データを特定の者との間で共同して利用する場合であって、その旨並びに共34

同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。
７ 法第２３条第４項第３号について
金融分野における個人情報取扱事業者は、法第２３条第４項第３号に定める「通知」
は、原則として、書面によることとする。
事業者による「共同して利用する者の範囲」の通知等については、共同して利用する者を個別に列挙することが望ましい。また、共同して利用する者の外延を示すこと
により本人に通知等する場合には、本人が容易に理解できるよう共同して利用する者を具体的に特定する必要がある。外延を示す具体例としては、
・当社及び有価証券報告書等に記載されている、当社の子会社
・当社及び有価証券報告書等に記載されている、連結対象会社及び持分法適用会社といった方法が適切である。
同号に定める「個人データの管理について責任を有する者」(以下「管理責任者」という。)は、共同して利用する者において、第一次的に苦情を受け付け、その処理を行うとともに、開示、訂正等及び利用停止等の決定を行い、安全管理に責任を有する者をいう。なお、同号は、管理責任者以外の共同して利用する者における安全管理責
任等を免除する趣旨ではないことに留意する。
８ 経過措置法の施行前に第三者提供されている個人データについては、法施行前に法第２３条
第１項の規定による本人からの同意に相当する同意があれば、施行後においても引き続き第三者への提供を行うことができることとされている(法附則第３条)。金融分野
における個人情報取扱事業者が法施行前に行った与信事業に際して、個人信用情報機
関への提供についての同意を本人から得ている場合、加入資格に関する当該機関の規約等及び会員企業名の公表は法の施行前に実施されることが適当である。
【「個人情報の保護に関する法律」関連規定】（第三者提供の制限）
第二十三条

個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
一

法令に基づく場合

二人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

三

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

四国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることに35より当該事務の遂行に支障を及ぼすおそれがあるとき。
２

個人情報取扱事業者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている
場合であって、次に掲げる事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。
一

第三者への提供を利用目的とすること。

二

第三者に提供される個人データの項目

三

第三者への提供の手段又は方法

四

本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止
すること。

３

個人情報取扱事業者は、前項第二号又は第三号に掲げる事項を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
４

次に掲げる場合において、当該個人データの提供を受ける者は、前三項の規定の適用については、第三者に該当しないものとする。
一

個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託する場合
二

合併その他の事由による事業の承継に伴って個人データが提供される場合

三

個人データを特定の者との間で共同して利用する場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。
５

個人情報取扱事業者は、前項第三号に規定する利用する者の利用目的又は個人デー

タの管理について責任を有する者の氏名若しくは名称を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

36

２.委託
銀行が、利用目的の達成に必要な範囲内において個人データの取扱いの全部または一部を委託する場合においては、委託を受けた者は第三者に該当しないものとする。
（運用上の考え方）●委託にあたっては、次の事項に留意する。
・銀行は、委託先に対して、Ⅳ.｢安全管理措置｣に基づき、必要かつ適切な監督を行わなければならないこと
・銀行は、利用目的の達成に必要な範囲内で、個人データの取扱いを委託すること●｢委託｣には、例えば、次のようなケースがある。
・データ処理・加工の委託・事務処理の委託
・個人データ保管・廃棄の委託【「個人情報の保護に関する法律」関連規定】（第三者提供の制限）
第二十三条４

次に掲げる場合において、当該個人データの提供を受ける者は、前三項の規定の適用については、第三者に該当しないものとする。
一

個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託する場合

二

合併その他の事由による事業の承継に伴って個人データが提供される場合

三

個人データを特定の者との間で共同して利用する場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

37

３.共同利用
銀行が、利用目的の範囲内において個人データを特定の者と共同利用する場合であって、次に掲げる事項について、あらかじめ本人に通知し、または適切な方法により本人が容易に知り得る状態に置いているときは、当該個人データの提供を受ける者は、第三者に該当しないものとする。
（１）利用目的の範囲内において個人データを特定の者と共同利用する旨（２）共同利用される個人データの項目（３）共同利用者の範囲（４）共同利用者の利用目的（５）個人データの管理責任者の氏名または名称
なお、銀行は、共同利用者の利用目的または個人データについて責任を有する管理責
任者の氏名もしくは名称を変更する場合は、変更する内容について、あらかじめ、本人に通知し、または適切な方法により本人が容易に知り得る状態に置かなければならない。
（運用上の考え方）●「共同利用」には、例えば、次のようなケースがある。
・グループ会社等による共同利用（総合的サービスの提供、リスク管理など）
・信用保証会社との共同利用●「通知」の方法は、書面による通知を原則とするほか、例えば、次のような方法がある。
・電子メールによる通知
・電話（自動音声を含む）による通知●「本人が容易に知り得る状態」とは、例えば、次のようなものが該当する。
・ホームページへの継続的な掲載
・店頭での継続的なポスターの掲示、書面の備え付け
・パンフレットの継続的な配付●（３）は、事業者名をすべて個別に列挙することが望ましいが、個別に列挙しない
場合には、本人から見て、共同して利用する者の範囲の外延が明確であることが求められ、例えば、次のような記載方法がある。
・当行および有価証券報告書等に記載されている、当行の子会社
・当行ならびに有価証券報告書等に記載されている、当行の連結対象会社および持分法適用会社・当行ならびに当行の持株会社たる持株会社○○および有価証券報告書等に記載されている同社の関係会社●上記の場合であっても、ホームページに事業者名を記載する等により、共同利用者の範囲をより分かりやすく示すことが望ましい。
38

●（５）の「管理責任者」は、共同利用する者において、第一次的に苦情を受け付け、その処理を行うとともに、開示、訂正等、利用停止等の決定を行い、安全管理に責任を有する者をいう。なお、管理責任者以外の共同利用を行う者における安全管理責任等が免除されるわけではないことに留意する。

【金融庁ガイドライン関連規定】
第１３条

第三者提供の制限（法第２３条関連）

６ 法第２３条第４項について
法第２３条第４項に従い、次に掲げる場合において、当該個人データの提供を受ける者は、第三者に該当しない。
① 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱
いの全部又は一部を委託する場合② 合併その他の事由による事業の承継に伴って個人データが提供される場合③ 個人データを特定の者との間で共同して利用する場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。
【「個人情報の保護に関する法律」関連規定】（第三者提供の制限）
４

次に掲げる場合において、当該個人データの提供を受ける者は、前三項の規定の適用については、第三者に該当しないものとする。
一

個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託する場合

二

合併その他の事由による事業の承継に伴って個人データが提供される場合

三

個人データを特定の者との間で共同して利用する場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

39

Ⅵ.開示等の手続
１.保有個人データに関する事項の公表等
銀行は、保有個人データに関し、次に掲げる事項について、適切な方法により本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。以下、同じ。）に置
かなければならない。
（１）銀行の名称（２）すべての保有個人データの利用目的（Ⅱ.２.（１）から（３）までに該当し、通知、公表、明示を要しない場合を除く。）（３）Ⅵ.５.の手続きに関する事項（４）保有個人データの取扱いに関する苦情の申出先（５）Ⅹ.の「○○協議会」の名称および苦情の解決の申出先
また、銀行は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知するものとする。ただし、次のいずれかに該当する場合は、この限りでない。
（１）銀行が保有個人データに関して本人の知り得る状態に置いた事項により、当該本人が識別される保有個人データの利用目的が明らかな場合（２）Ⅱ.２.（１）から（３）までに該当し、通知、公表、明示を要しない場合
なお、銀行は、求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。この場合、銀行は、その理由を説明するよう努めるものとする。
（運用上の考え方）●「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」とは、
例えば、次のようなものが該当する。
・ホームページへの継続的な掲載
・店頭での継続的なポスターの掲示、書面の備え付け
・パンフレットの継続的な配付・本人の求めに応じた書面の交付、郵送、ファックスによる送付・本人の求めに応じた口頭、電話、電子メールでの回答●「通知」および「説明」の手段には、例えば、書面、口頭、電子メール、電話（自動音声を含む）がある。

【金融庁ガイドライン関連規定】
第１４条

保有個人データに関する事項の公表等（法第２４条及び施行令第５条関連）金融分野における個人情報取扱事業者は、法第２４条に従い、保有個人データに関40し、利用目的、開示等の手続等の同条第１項各号に定める事項を本人の知り得る状態に置かなければならない。
「本人の知り得る状態」とは、本人が知ろうと思えば知ることができる状態をいい、事業者の金融商品の販売方法等の事業の態様に応じて適切な方法による必要があり、継続的な公表として、例えば、第２３条に定める「個人情報保護宣言」と一体としてインターネットのホームページでの常時掲載を行うこと、又は事務所の窓口等での常時掲示・備付けを行うこと等が考えられる。
なお、利用目的に第三者提供が含まれる場合には、法第２４条第１項第２号に定める「すべての保有個人データの利用目的」の内容として、その旨を記載する必要がある。
第１８条

理由の説明（法第２８条関連）

金融分野における個人情報取扱事業者は、法第２４条第３項、法第２５条第２項、法第２６条第２項又は法第２７条第３項の規定により、本人から求められた措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、措置をとらない又は異なる措置をとることとした判断の根拠及び根拠となる事実を示し、その理由を説明することとする。
【「個人情報の保護に関する法律」関連規定】（保有個人データに関する事項の公表等）
第二十四条

個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
一

当該個人情報取扱事業者の氏名又は名称

二すべての保有個人データの利用目的（第十八条第四項第一号から第三号までに該当する場合を除く。）

三

次項、次条第一項、第二十六条第一項又は第二十七条第一項若しくは第二項の規定による求めに応じる手続（第三十条第二項の規定により手数料の額を定めたときは、その手数料の額を含む。）

四前三号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの

２

個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りでない。
一

前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合
二３

第十八条第四項第一号から第三号までに該当する場合

個人情報取扱事業者は、前項の規定に基づき求められた保有個人データの利用目的
41

を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

【「個人情報の保護に関する法律施行令」関連規定】（保有個人データの適正な取扱いの確保に関し必要な事項）
第五条

法第二十四条第一項第四号の政令で定めるものは、次に掲げるものとする。

一当該個人情報取扱事業者が行う保有個人データの取扱いに関する苦情の申出先

二

当該個人情報取扱事業者が認定個人情報保護団体の対象事業者である場合にあっては、当該認定個人情報保護団体の名称及び苦情の解決の申出先

２

個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りでない。
一

前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合

二３

第十八条第四項第一号から第三号までに該当する場合
個人情報取扱事業者は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

42

２.開示の請求
銀行は、本人から自己の保有個人データについて開示を求められた場合は、書面の交付による方法、または開示の求めを行った者が同意した方法により、遅滞なく開示しなければならない。ただし、次に掲げる場合には全部または一部を開示しないことができる。
（１）本人または第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（２）銀行の業務の適正な実施に著しい支障を及ぼすおそれがある場合（３）法令に違反することとなる場合
なお、銀行は、上記により本人からの開示の求めの全部または一部に応じないこととした場合は、本人に対し、遅滞なくその旨を通知しなければならない。この場合、銀行は、開示の求めに応じないこととした理由を説明するよう努めるものとする。
（運用上の考え方）●「開示の求めを行った者が同意した方法」には、例えば、電子メール、電話による方法がある。
●（２）には、例えば、与信審査内容等の銀行が付加した情報を開示することで銀行の業務の適正な実施に著しい支障を及ぼすおそれがある場合が該当する。なお、開示すべき個人データの量が多いことのみでは、（２）に該当しない。
●「通知」および「説明」の手段には、例えば、書面、口頭、電子メール、電話（自動音声を含む）がある。
●銀行は、開示等に応じない場合は、根拠とした法の条文、判断の根拠およびその根拠となる事実を示し、その理由を説明することが望ましい。

【金融庁ガイドライン関連規定】
第１５条

開示（法第２５条関連）金融分野における個人情報取扱事業者は、法第２５条に従い、本人から、当該本人が識別される保有個人データの開示を求められたときは、本人に対し、遅滞なく、保有個人データを開示しなければならない。ただし、同条第１項第１号、第２号及び第３号に従い、次の各号のいずれかに該当する場合には、その全部又は一部を開示しないことができる。
① 本人又は第三者の生命、身体、財産その他の権利利益を害する場合② 当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼす場合③ 他の法令に違反することとなる場合
上記②は、例えば、与信審査内容等の個人情報取扱事業者が付加した情報の開示請求を受けた場合、又は保有個人データを開示することにより評価・試験等の適正な実43

施が妨げられる場合が考えられるが、開示すべき保有個人データの量が多いことのみ
ではこれに該当しない。
金融分野における個人情報取扱事業者が法第２５条第１項各号の規定に基づき、求められた保有個人データの全部又は一部について開示しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知し、また、その決定の理由について、根拠とした法の条文及び判断の基準となる事実を示して遅滞なく説明を行うこととする。
第１８条

理由の説明（法第２８条関連）

金融分野における個人情報取扱事業者は、法第２４条第３項、法第２５条第２項、法第２６条第２項又は法第２７条第３項の規定により、本人から求められた措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、措置をとらない又は異なる措置をとることとした判断の根拠及び根拠となる事実を示し、その理由を説明することとする。
【「個人情報の保護と利用に関する法律」関連規定】
（開示）
第二十五条

個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの開示（当該本人が識別される保有個人データが存在しないときにその旨を知らせることを含む。以下同じ。）を求められたときは、本人に対し、政令で定める方法により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
一

本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

二

当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがあ
る場合

三
２

他の法令に違反することとなる場合
個人情報取扱事業者は、前項の規定に基づき求められた保有個人データの全部又は一部について開示しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
（理由の説明）
第二十八条

個人情報取扱事業者は、第二十四条第三項、第二十五条第二項、第二十六条第二項又は前条第三項の規定により、本人から求められた措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、その理由を説明するよう努めなければならない。

【「個人情報の保護と利用に関する法律施行令」関連規定】（個人情報取扱事業者が保有個人データを開示する方法）
44

第六条

法第二十五条第一項の政令で定める方法は、書面の交付による方法（開示の求めを行った者が同意した方法があるときは、当該方法）とする。

45

３.訂正等の請求
銀行は、本人から当該本人が識別される保有個人データの内容が事実でないという理由に基づき、当該保有個人データの内容の訂正、追加または削除（以下「訂正等」という。
）を求められた場合は、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき訂正等を行わなければならない。
なお、銀行は、訂正等の求めを受けて、保有個人データの訂正等を行った場合、または訂正等を行わないこととした場合は、本人に対し、遅滞なくその旨（訂正等を行った場
合は、その内容を含む）を通知しなければならない。銀行は、訂正等を行わない旨の通知をする場合、その理由を説明するよう努めるものとする。
（運用上の考え方）●「通知」および「説明」の手段には、例えば、書面、口頭、電子メール、電話（自動音声を含む）がある。
●銀行は、訂正等に応じない場合は、判断の根拠およびその根拠となる事実を示し、その理由を説明することが望ましい。
【金融庁ガイドライン関連規定】
第１６条

訂正等（法第２６条及び施行令第６条関連）金融分野における個人情報取扱事業者は、法第２６条に従い、本人から、当該本人が識別される保有個人データの内容が事実でないという理由によって当該保有個人データの内容の訂正、追加又は削除（以下、「訂正等」という。）を求められた場合には、利用目的の達成に必要な範囲内において、遅滞なく事実の確認等の必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。
訂正等を行った場合、又は訂正等を行わないこととした場合は、本人に対し、遅滞なくその旨(訂正等を行った場合は、その内容を含む)を通知しなければならない。
なお、金融分野における個人情報取扱事業者が訂正等を行わない場合は、訂正等を行わない根拠及びその根拠となる事実を示し、その理由を説明することとする。
第１８条

理由の説明（法第２８条関連）

金融分野における個人情報取扱事業者は、法第２４条第３項、法第２５条第２項、法第２６条第２項又は法第２７条第３項の規定により、本人から求められた措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、措置をとらない又は異なる措置をとることとした判断の根拠及び根拠となる事実を示し、その理由を説明することとする。
【「個人情報の保護と利用に関する法律」関連規定】
（訂正等）
46

第二十六条

個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの内容が事実でないという理由によって当該保有個人データの内容の訂正、追加又は削除（以下この条において「訂正等」という。）を求められた場合には、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。
２

個人情報取扱事業者は、前項の規定に基づき求められた保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をした
ときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）
を通知しなければならない。
（理由の説明）
第二十八条

個人情報取扱事業者は、第二十四条第三項、第二十五条第二項、第二十六条第二項又は前条第三項の規定により、本人から求められた措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、その理由を説明するよう努めなければならない。

47

４.利用停止等
銀行は、本人から、当該本人が識別される保有個人データが、Ⅱ.４.またはⅡ.６.に違反しているという理由に基づき、当該保有個人データの利用の停止または消去（以下「利用停止等」という。）を求められた場合で、その求めに理由があることが判明した
ときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。
ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合で、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
また、銀行は、本人から、当該本人が識別される保有個人データが、Ⅴ.１.に違反しているという理由に基づき、当該保有個人データの第三者への提供の停止を求められた場合で、その求めに理由があることが判明したときは、遅滞なく、当該保有個人デー
タの第三者への提供を停止しなければならない。
ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合で、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
なお、銀行は、求められた保有個人データの全部もしくは一部について利用停止等を行ったときもしくは利用停止等を行わない旨の決定をしたとき、または求められた保有個人データの全部もしくは一部について第三者への提供を停止したときもしくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。銀行は、本人から求められた措置の全部または一部について、その措置をとらない旨を通知する場合、またはその措置と異なる措置をとる旨を通知する場合、その理由を説明するよう努めるものとする。
（運用上の考え方）●「通知」および「説明」の手段には、例えば、書面、口頭、電子メール、電話（自動音声を含む）がある。
●銀行は、利用停止等に応じない場合は、判断の根拠およびその根拠となる事実を示し、その理由を説明することが望ましい。
【金融庁ガイドライン関連規定】
第１７条

利用停止等（法第２７条関連）

１ 金融分野における個人情報取扱事業者は、法第２７条第１項に従い、本人から、当該本人が識別される保有個人データが法第１６条の規定に違反して取り扱われているという理由又は法第１７条の規定に違反して取得されたものであるという理由に48よって、当該保有個人データの利用の停止又は消去（以下この条において「利用停止等」という。）を求められた場合であって、その求めに理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
２ 金融分野における個人情報取扱事業者は、法第２７条第２項に従い、本人から、当該本人が識別される保有個人データが法第２３条第１項の規定に違反して第三者に提供されているという理由によって、当該保有個人データの第三者への提供の停止を求められた場合であって、その求めに理由があることが判明したときは、遅滞なく、
当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
３ 金融分野における個人情報取扱事業者は、法第２７条第１項の規定に基づき求められた保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は同条第２項の規定に基づき求められた保有個人データの全部若しくは一部について第三者への提供を停止したとき若し
くは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨（本人から求められた措置と異なる措置を行う場合には、その措置内容を含む）
を通知しなければならない。
第１８条

理由の説明（法第２８条関連）

金融分野における個人情報取扱事業者は、法第２４条第３項、法第２５条第２項、法第２６条第２項又は法第２７条第３項の規定により、本人から求められた措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、措置をとらない又は異なる措置をとることとした判断の根拠及び根拠となる事実を示し、その理由を説明することとする。
【「個人情報の保護と利用に関する法律」関連規定】（利用停止等）第二十七条

個人情報取扱事業者は、本人から、当該本人が識別される保有個人データが第十六条の規定に違反して取り扱われているという理由又は第十七条の規定に違反して取得されたものであるという理由によって、当該保有個人データの利用の停止又は消去（以下この条において「利用停止等」という。）を求められた場合であって、その求めに理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行う
49

ことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
２

個人情報取扱事業者は、本人から、当該本人が識別される保有個人データが第二十三条第一項の規定に違反して第三者に提供されているという理由によって、当該保有個人データの第三者への提供の停止を求められた場合であって、その求めに理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
３

個人情報取扱事業者は、第一項の規定に基づき求められた保有個人データの全部若

しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は前項の規定に基づき求められた保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
（理由の説明）
第二十八条

個人情報取扱事業者は、第二十四条第三項、第二十五条第二項、第二十六条第二項又は前条第三項の規定により、本人から求められた措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、その理由を説明するよう努めなければならない。

50

５.開示等の手続
銀行は、Ⅵ.１.、Ⅵ.２.、Ⅵ.３．またはⅥ.４.による求め（以下「開示等の求め」という。
）に関し、その受付および回答の手続として、次に掲げる事項を定め、それを本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）に置かなければならない。また、銀行は、開示等の求めに関する手続を定めるにあたっては、本人に過重な負担を課するものとならないよう配慮しなければならない。
（１）開示等の求めの申出先（２）開示等の求めに際して提出すべき書面（電子的方式・磁気的方式による記録を含む。）の様式その他の開示等の求めの方式（３）開示等の求めをする者（代理人を含む。）の本人確認方法（４）Ⅵ.６．の手数料金額とその徴収方法（無料とする場合を含む。）（５）開示等の求めに対する回答の方法・時期等（６）開示等の求めをする者が代理人である場合の代理権を確認する方法（運用上の考え方）●開示の求めの受付および回答の手続を本人の知り得る状態に置く方法は、ホームページへの継続的掲載や、店頭での継続的なポスターの掲示、書面の備え付けによる方法が望ましい。
●（１）には、例えば、営業店や集中センター等の部署名、住所、電話番号、電子メ
ールアドレス等が該当する。
●（２）の「開示等の求めに際して提出すべき書面」には、例えば、取引支店名、口座番号、顧客番号、取引種類、取引日付等、開示等の求めの対象となる保有個人データの特定に必要な事項を記入する欄を設けることも考えられる。
●（２）の｢その他の開示等の求めの方式｣には、例えば、来店、郵送、電子的手段等の複数の手段がある。なお、銀行は本人に過重な負担を課する事が無いよう複数の手段を用意することが望ましい。
●（３）の｢代理人｣には、未成年者もしくは成年被後見人の法定代理人や、本人が委任した任意代理人が該当する。また、銀行は、例えば、本人確認法に基づく確認手
続きと同レベルの手続きなど、十分かつ適切な確認手続きを定めるものとする。
●（５）には、例えば、次のような事項が該当する。
・郵送、電話、電子メール等の回答の手段
・回答の対象となる情報によっては、回答はその場ではなく後刻となること
・本人が委任した任意代理人による開示等の求めに対しては、直接本人に回答することがあること、または、本人にのみ回答すること●（６）には、例えば、次のような方法がある。
・銀行所定の委任状以外は認めないこと・委任状とは別に電話等で本人から代理権授与の意思確認ができるまで開示しない
51

こと【金融庁ガイドライン関連規定】
第１９条

開示等の求めに応じる手続（法第２９条、施行令第７条及び施行令第８条関連）
１ 金融分野における個人情報取扱事業者は、法第２９条に従い、開示等の求めを受け付ける方法を定めた場合には、第２３条に定める「個人情報保護宣言」と一体としてインターネットのホームページでの常時掲載を行うこと、又は事務所の窓口等での掲示・備付け等を行うこととする。
２ 法第２９条第３項及び施行令第７条第３号に基づき、開示等の求めをする者が本人又は施行令第８条に規定する代理人であることの確認の方法を定めるに当たっては、十分かつ適切な確認手続とするよう留意することとする。
なお、施行令第８条第２号の代理人による開示等の求めに対して、事業者が本人にのみ直接開示等することは妨げられない。
【「個人情報の保護に関する法律」関連規定】（開示等の求めに応じる手続）
第二十九条

個人情報取扱事業者は、第二十四条第二項、第二十五条第一項、第二十六条第一項又は第二十七条第一項若しくは第二項の規定による求め（以下この条において「開示等の求め」という。）に関し、政令で定めるところにより、その求めを受け付ける方法を定めることができる。この場合において、本人は、当該方法に従って、開示等の求めを行わなければならない。
２

個人情報取扱事業者は、本人に対し、開示等の求めに関し、その対象となる保有個人データを特定するに足りる事項の提示を求めることができる。この場合において、個人情報取扱事業者は、本人が容易かつ的確に開示等の求めをすることができるよう、
当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。
３

開示等の求めは、政令で定めるところにより、代理人によってすることができる。

４

個人情報取扱事業者は、前三項の規定に基づき開示等の求めに応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならな
い。

【個人情報の保護に関する法律施行令」関連規定】（開示等の求めを受け付ける方法）
第七条

法第二十九条第一項の規定により個人情報取扱事業者が開示等の求めを受け
52

付ける方法として定めることができる事項は、次に掲げるとおりとする。
一

開示等の求めの申出先

二開示等の求めに際して提出すべき書面（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られる記録を含む。）の様式その他の開示等の求めの方式
三

開示等の求めをする者が本人又は次条に規定する代理人であることの確認の方

法
四法第三十条第一項の手数料の徴収方法（開示等の求めをすることができる代理人）
第八条

法第二十九条第三項の規定により開示等の求めをすることができる代理人は、次に掲げる代理人とする。
一

未成年者又は成年被後見人の法定代理人

二

開示等の求めをすることにつき本人が委任した代理人

53

６.手数料銀行は、Ⅵ.１.の利用目的の通知またはⅥ.２.の開示を求められたときは、当該措置の実施に関し、手数料を徴収することができる。
銀行は、当該手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。
（運用上の考え方）●「実費を勘案して」は、例えば、同様の内容の開示等手続の平均的実費の予測に基づき、合理的な手数料額を算定する等の方法を含む。

【金融庁ガイドライン関連規定】
第２０条

手数料（法第３０条関連）

金融分野における個人情報取扱事業者は、法第３０条に従い、手数料を徴収する場
合には、同様の内容の開示等手続の平均的実費の予測に基づき、合理的な手数料額を算定する等の方法により、実費を勘案して合理的であると認められる範囲において手数料の額を定める。
【「個人情報の保護に関する法律」関連規定】
（手数料）
第三十条

個人情報取扱事業者は、第二十四条第二項の規定による利用目的の通知又は第二十五条第一項の規定による開示を求められたときは、当該措置の実施に関し、手数料を徴収することができる。
２

個人情報取扱事業者は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。

54

Ⅶ.苦情処理体制の整備
銀行は、個人情報の取扱いに関する苦情を受けたときは、その内容について調査し、合理的な期間内に、適切かつ迅速な処理に努めなければならない。また、銀行は、そのために必要な体制の整備に努めなければならない。
（運用上の考え方）●「必要な体制の整備」には、例えば、次の措置が該当する。
・苦情処理手順の策定
・苦情受付窓口の設置・苦情処理に当たる従業者への十分な教育・研修【金融庁ガイドライン関連規定】
第２１条

個人情報取扱事業者による苦情の処理（法第３１条関連）

１ 金融分野における個人情報取扱事業者は、法第３１条に従い、個人情報の取扱いに関する苦情を受けたときは、その内容について調査し、合理的な期間内に、適切かつ迅速な処理に努めなければならない。
２ 金融分野における個人情報取扱事業者は、苦情処理手順の策定、苦情受付窓口の設
置、苦情処理に当たる従業者への十分な教育・研修等、苦情処理を適切かつ迅速に行うために必要な体制の整備に努めなければならない。
【「個人情報の保護に関する法律」関連規定】（個人情報取扱事業者による苦情の処理）
第三十一条

個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
２

個人情報取扱事業者は、前項の目的を達成するために必要な体制の整備に努めなければならない。

【「個人情報の保護に関する基本方針」関連部分】
また、事業者において、個人情報の漏えい等の事案が発生した場合は、二次被害の防止、類似事案の発生回避等の観点から、可能な限り事実関係等を公表することが重
要である。

55

Ⅷ.漏えい事案への対応
銀行は、個人情報の漏えい事案等の事故があった場合に備え、危機対応のための体制の整備および手順の策定を行わなければならない。
銀行は、個人情報の漏えい事案等の事故があった場合は、以下の措置を講じる。
（１）監督当局およびⅩ.の○○協議会に直ちに報告する（２）二次被害の防止、類似事案の発生回避等の観点から、漏えい等の事実関係および再発防止策等を早急に公表する（３）漏えい等の対象となった本人に速やかに漏えい等の事実関係等を通知する【金融庁ガイドライン関連規定】
第２２条

漏えい事案等への対応（基本方針関連）

１ 金融分野における個人情報取扱事業者は、個人情報の漏えい事案等の事故が発生した場合には、監督当局に直ちに報告することとする。
２ 金融分野における個人情報取扱事業者は、個人情報の漏えい事案等の事故が発生した場合には、二次被害の防止、類似事案の発生回避等の観点から、漏えい事案等の事
実関係及び再発防止策等を早急に公表することとする。
３ 金融分野における個人情報取扱事業者は、個人情報の漏えい事案等の事故が発生した場合には、漏えい事案等の対象となった本人に速やかに漏えい事案等の事実関係等の通知を行うこととする。
【「個人情報の保護に関する基本方針」関連部分】
また、事業者において、個人情報の漏えい等の事案が発生した場合は、二次被害の防止、類似事案の発生回避等の観点から、可能な限り事実関係等を公表することが重
要である。

56

Ⅸ.個人情報保護宣言の制定
銀行は、関係法令等および本自主ルールを踏まえて、個人情報の適切な保護と利用に関する考え方および方針に関する宣言（いわゆるプライバシーポリシー、プライバシ
ーステートメント等。以下「個人情報保護宣言」という。）を策定し、公表するものとする。
（運用上の考え方）●「個人情報保護宣言」には、例えば、次のような事項を記載する。
・関係法令等を遵守すること、個人情報を目的外に利用しないこと、個人データの安全管理措置を講じること、漏えい等の防止に努めること、苦情処理に適切に取組むこと、継続的な改善に努めること等、個人情報の適切な保護と利用を図るための取組み方針の宣言
・個人情報の利用目的の通知・公表等の手続、その他個人情報の取得、利用および提供に関する分りやすい説明・開示等の手続等、個人情報の取扱いに関する分りやすい説明
・個人情報の取扱いに関する質問および苦情処理の窓口●「個人情報保護宣言」の公表の方法には、例えば、次のような方法がある。
・銀行のホームページへの掲載
・銀行の営業拠点へのポスター・書面等の掲示・備付け
・パンフレットへの記載・配付【金融庁ガイドライン関連規定】
第２３条

個人情報保護宣言の策定（法第１８条、法第２４条及び基本方針関連）

金融分野における個人情報取扱事業者は、個人情報に対する取組方針を、あらかじ
め分かりやすく説明することの重要性にかんがみ、事業者の個人情報保護に関する考え方及び方針に関する宣言（いわゆるプライバシーポリシー、プライバシーステート
メント等。本ガイドラインにおいて、「個人情報保護宣言」という。）を策定し、例
えば、次に掲げる内容をインターネットのホームページへの常時掲載、又は事務所の窓口等での掲示・備付け等により、公表することとする。
① 関係法令等の遵守、個人情報を目的外に利用しないこと及び苦情処理に適切に取り組むこと等、個人情報保護への取組方針の宣言② 法第１８条における個人情報の利用目的の通知・公表等の手続についての分かりやすい説明③ 法第２４条における開示等の手続等、個人情報の取扱いに関する諸手続についての分かりやすい説明④ 個人情報の取扱いに関する質問及び苦情処理の窓口57

【「個人情報の保護に関する法律」関連規定】（取得に際しての利用目的の通知等）
第十八条

個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
２

個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られる記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。
３

個人情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
４

前三項の規定は、次に掲げる場合については、適用しない。

一

利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

二

利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権

利又は正当な利益を害するおそれがある場合
三国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
四取得の状況からみて利用目的が明らかであると認められる場合（保有個人データに関する事項の公表等）
第二十四条

個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
一

当該個人情報取扱事業者の氏名又は名称

二すべての保有個人データの利用目的（第十八条第四項第一号から第三号までに該当する場合を除く。）

三

次項、次条第一項、第二十六条第一項又は第二十七条第一項若しくは第二項の規定による求めに応じる手続（第三十条第二項の規定により手数料の額を定めたときは、その手数料の額を含む。）

四前三号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの

２

個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの利用目
58

的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りでない。
一

前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合
二３

第十八条第四項第一号から第三号までに該当する場合
個人情報取扱事業者は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

【「個人情報の保護に関する法律施行令」関連規定】
第五条

法第二十四条第一項第四号の政令で定めるものは、次に掲げるものとする。

一当該個人情報取扱事業者が行う保有個人データの取扱いに関する苦情の申出先

二

当該個人情報取扱事業者が認定個人情報保護団体の対象事業者である場合にあっては、当該認定個人情報保護団体の名称及び苦情の解決の申出先59

Ⅹ.認定個人情報保護団体「○○協議会」（名称未定）は、銀行による本自主ルールの遵守を確認するために、必要な報告を銀行に求めることができる。
「○○協議会」（名称未定）は、銀行に対し、本自主ルールを遵守させるために必要な指導、勧告その他の措置をとる。
【「個人情報の保護に関する法律」関連規定】（個人情報保護指針）
第四十三条

認定個人情報保護団体は、対象事業者の個人情報の適正な取扱いの確保のために、利用目的の特定、安全管理のための措置、本人の求めに応じる手続その他の事項に関し、この法律の規定の趣旨に沿った指針（以下「個人情報保護指針」という。）
を作成し、公表するよう努めなければならない。
２

認定個人情報保護団体は、前項の規定により個人情報保護指針を公表したときは、対象事業者に対し、当該個人情報保護指針を遵守させるため必要な指導、勧告その他の措置をとるよう努めなければならない。

60