【新旧対照表】「個人情報保護指針」
旧第１条～第11条

略（ 安全管理措置 ）第12条 協会員は、その取り扱う個人データの漏えい、滅失又は毀損（以下「漏えい等」という。）の防止その他の個人データの安全管理のため、安全管理に係る基本方針・取扱規程等の整備及び安全管理措置に係る実施体制の整備等の必要かつ適切な措置を講じなければならない。必要かつ適切な措置は、個人データの取得・利用・保管等の各段階に応じた「組織的安全管理措置」、「人的安全管理措置」、「物理的安全管理措置」、「技術的安全管理措置」及び「外的環境の把握」を含むものでなければならない。
なお、当該措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質、個人データの取扱状況及び個人データを記録した媒体の性質等に起因するリ
スクに応じたものとする。
例えば、不特定多数者が書店で随時に購入可能な名簿で、協会員において全く加工をしていないものについては、個人の権利利益を侵害するおそれは低いと考えられることから、それを処分するために文書細断機等による処理を行わずに廃棄し、又は廃品回収に出したとしても、協会員の安全管理措置の義務違反にはなら
ない。
（新設）

（下線部分改正箇所）

新第１条～第11条

根拠法令等

同左

本条における用語の定義は、次のとおりである。
⑴～⑸ 略
２、３ 略

（ 安全管理措置 ）第12条 協会員は、その取り扱う個人データの漏えい、滅失又は毀損（以下「漏えい等」という。）の防止その他の個人データの安全管理のため、安全管理に係る基本方針・取扱規程等の整備及び安全管理措置に係る実施体制の整備等の必要かつ適切な措置を講じなければならない。必要かつ適切な措置は、個人データの取得・利用・保管等の各段階に応じた「組織的安全管理措置」、「人的安全管理措置」、「物理的安全管理措置」、「技術的安全管理措置」及び「外的環境の把握」を含むものでなければならない。
なお、当該措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質、個人データの取扱状況及び個人データを記録した媒体の性質等に起因するリ
スクに応じたものとする。
例えば、不特定多数者が書店で随時に購入可能な名簿で、協会員において全く加工をしていないものについては、個人の権利利益を侵害するおそれは低いと考えられることから、それを処分するために文書細断機等による処理を行わずに廃棄し、又は廃品回収に出したとしても、協会員の安全管理措置の義務違反にはならない。
なお、保護法第23条における「その他の個人データの安全管理のために必要かつ適切な措置」には、協会員が取得し、又は取得
しようとしている個人情報であって、当該協会員が個人データとして取り扱うことを予定しているものの漏えい等を防止するために必要かつ適切な措置も含まれる。そのため、以下この条における「個人データ」には、当該個人情報も含まれることに留意する。
本条における用語の定義は、次のとおりである。
⑴～⑸ 同左２、３ 同左（解 説）・ 漏えい、滅失及び毀損の定義については、第 15 条参照（解 説）
・ 漏えい、滅失及び毀損の定義については、第 15 条参照（参照条文：保護法23条、通則ガイドライン3-4-2、金融分野ガイド
ライン9条）（参照条文：保護法23条、通則ガイドライン3-4-2、金融分野ガイド
ライン8条）（ 役職員の監督 ）第13条 略（ 役職員の監督 ）第13条 略1

金融分野ガイドライン第8条第1項
通則ガイドライン3-4-2

所要の改正【新旧対照表】「個人情報保護指針」
旧２

協会員は、前項の役職員に対する「必要かつ適切な監督」を以下の体制整備等により行うこととする。
⑴、⑵ 略⑶ 役職員による個人データの持出し等を防ぐため、社内での安全管理措置に定めた事項の遵守状況等の確認及び役職員における個人データの保護に対する点検及び監査制度を整備すること（委託先の監督）
第14条 協会員は、個人データの取扱いの全部又は一部を委託（契約の形態や種類を問わず、協会員が他の者に個人データの取扱いの全部又は一部を行わせることを内容とする契約の一切を含む。）する
場合は、その取扱いを委託された個人データの安全管理が図られる
よう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
なお、当該監督は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人デー
タの取扱状況等に起因するリスクに応じたものとする｡
２ 協会員は、個人データを適正に取り扱っていると認められる者を選定し委託するとともに、取扱いを委託した個人データの安全管理措置が図られるよう、個人データの安全管理のための措置を委託先においても確保しなければならない（二段階以上の委託が行われた
場合には、委託先の事業者が再委託先等の事業者に対して十分な監督を行っているかについても監督を行うものとする。）。
具体的には、以下の対応等が必要である。
⑴ 個人データの安全管理のため、委託先における組織体制の整
備及び安全管理に係る基本方針・取扱規程の策定等の内容を委
託先選定の基準に定め、当該基準に従って委託先を選定するとともに、当該基準を定期的に見直すこと。
⑵ 委託者の監督・監査・報告徴収に関する権限、委託先における個人データの漏えい等の防止及び目的外利用の禁止、再委託に関する条件並びに漏えい等事案が発生した場合の委託先の責任を内容とする安全管理措置を委託契約に盛り込むとともに、
定期的又は随時に当該委託契約に定める安全管理措置等の遵守
状況を確認し、当該安全管理措置の見直しを行わなければなら
ない。
（解 説）
・委託先には外国の委託先も含まれる。
（参照条文：保護法25条、通則ガイドライン3-4-4、金融分野ガイド
ライン10条））新協会員は、前項の役職員に対する「必要かつ適切な監督」を以下の体制整備等により行うこととする。
⑴、⑵ 同左⑶ 役職員による個人データの持出し等を防ぐため、社内での安全管理措置に係る取扱規程に定めた事項の遵守状況等の確認及び役職員における個人データの取扱状況の点検及び監査制度を整備すること（委託先の監督）
第14条 協会員は、個人データの取扱いの全部又は一部を委託（契約の形態や種類を問わず、協会員が他の者に個人データの取扱いの全部又は一部を行わせることを内容とする契約の一切を含む。）する
場合は、その取扱いを委託された個人データの安全管理が図られる
よう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
なお、当該監督は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人デー
タの取扱状況等に起因するリスクに応じたものとする｡
２ 協会員は、個人データを適正に取り扱っていると認められる者を選定し委託するとともに、取扱いを委託する個人データの安全管理が図られるよう、個人データの安全管理のための措置を委託先においても確保しなければならない（二段階以上の委託が行われた場合には、委託先の事業者が再委託先等の事業者に対して十分な監督を行っているかについても監督を行うものとする。）。
具体的には、以下の対応等が必要である。
⑴ 個人データの安全管理のため、委託先における組織体制の整
備及び安全管理に係る基本方針・取扱規程の策定等の内容を委
託先選定の基準に定め、当該基準に従って委託先を選定するとともに、当該基準を定期的に見直すこと。
⑵ 委託者の監督・監査・報告徴収に関する権限、委託先における漏えい等の防止及び目的外利用の禁止、再委託に関する条件
並びに漏えい等事案が発生した場合の委託先の責任を内容とす
る安全管理措置を委託契約に盛り込むとともに、定期的又は随時に当該委託契約に定める安全管理措置等の遵守状況を確認し、当該安全管理措置の見直しを行わなければならない。

（下線部分改正箇所）
根拠法令等

２

（解 説）
・委託先には外国の委託先も含まれる。
（参照条文：保護法25条、通則ガイドライン3-4-4、金融分野ガイド
ライン10条））2

金融分野ガイドライン第9条第3項③

金融分野ガイドライン第10条第3項

金融分野ガイドライン第10条第3項②

【新旧対照表】「個人情報保護指針」
旧

新（漏えい等の報告等）
第15条 協会員は、その取り扱う個人データの漏えい等その他の個人
データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして次の各号のいずれかに該当するものが生じたときは、次項以下の定めに従って、当該事態が生じた旨を個人情報保護委員会（保護法第150条の規定により金融庁長官等が報告を受理する権限の委任を受けている場合にあっては金融庁長官等、保
護法第170条の規定により地方公共団体の長等が報告を受理する権限に属する事務を行う場合にあっては地方公共団体の長等。第11項において同じ。）に報告しなければならない。ただし、協会員が、他の個人情報取扱事業者から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、当該事態が生じた旨を当該他の個
人情報取扱事業者に通知したときは、この限りでない。
⑴ 要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下第1項各号及び次項において同じ。）の漏えい等が発生し、又は発生したおそれがある事態⑵ 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある
事態⑶ 不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態（漏えい等の報告等）
第15条 協会員は、その取り扱う個人データの漏えい等その他の個人
データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして次の各号のいずれかに該当するものが生じたときは、次項以下の定めに従って、当該事態が生じた旨を個人情報保護委員会（保護法第150条の規定により金融庁長官等が報告を受理する権限の委任を受けている場合にあっては金融庁長官等、保
護法第170条の規定により地方公共団体の長等が報告を受理する権限に属する事務を行う場合にあっては地方公共団体の長等。第11項において同じ。）に報告しなければならない。ただし、協会員が、他の個人情報取扱事業者から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、当該事態が生じた旨を当該他の個
人情報取扱事業者に通知したときは、この限りでない。
⑴ 要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下第1項各号及び次項において同じ。）の漏えい等が発生し、又は発生したおそれがある事態⑵ 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある
事態⑶ 不正の目的をもって行われたおそれがある当該協会員に対する行為による個人データ（当該協会員が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、又は発生したおそれがある事態⑷ 個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態
２ 前項の規定による報告をする場合には、前項各号に定める事態を知った後、速やかに、当該事態に関する次の各号の事項（報告をしようとする時点において把握しているものに限る。第5項において同じ。）を報告しなければならない（この時点での報告を「速報」という。以下同じ。）。
⑴ 概要⑵ 漏えい等が発生し、又は発生したおそれがある個人データ（前項第⑶号に定める事態については、同号に規定する個人情報を含む。次号において同じ。）の項目⑶ 漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数⑷ 原因⑸ 二次被害又はそのおそれの有無及びその内容⑹ 本人への対応の実施状況⑷ 個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態
２ 前項の規定による報告をする場合には、前項各号に定める事態を知った後、速やかに、当該事態に関する次の各号の事項（報告をしようとする時点において把握しているものに限る。第5項において同じ。）を報告しなければならない（この時点での報告を「速報」という。以下同じ。）。
⑴ 概要⑵ 漏えい等が発生し、又は発生したおそれがある個人データの項目⑶ 漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数⑷ 原因⑸ 二次被害又はそのおそれの有無及びその内容⑹ 本人への対応の実施状況

3（下線部分改正箇所）
根拠法令等

保護法施行規則第7条第1項第3号
通則ガイドライン3-5-3-1(3)

保護法施行規則第8条第1項第2号

【新旧対照表】「個人情報保護指針」
旧新⑺ 公表の実施状況⑻ 再発防止のための措置⑼ その他参考となる事項
３～11 略（解 説）（新設）⑺ 公表の実施状況⑻ 再発防止のための措置⑼ その他参考となる事項
３～11 同左（解 説）⑴ 第1項に規定する「個人データ」とは、協会員が取り扱う個人データをいう。
ただし、同項第⑶号に規定する「個人データ」には、「当該協会員が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているもの」が含まれる。
そのため、同号に定める事態との関係では、解説⑵から⑷まで
における「個人データ」は、協会員が取り扱う個人データに加え、「当該協会員が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているもの」を含む。
同号に定める事態について、詳細は解説⑹を参照のこと。

⑴⑵

個人データの「漏えい」とは、個人データが外部に流出することをいう。
なお、個人データを第三者に閲覧されないうちに全てを回収した場合は、漏えいに該当しない。また、協会員が自らの意図に基づき個人データを第三者に提供する場合は、漏えいに該当しない。
【個人データの漏えいに該当する事例】
事例1）個人データが記載された書類を第三者に誤送付した場
合事例2）個人データを含むメールを第三者に誤送信した場合
事例3）システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となっていた場合
事例4）個人データが記載又は記録された書類・媒体等が盗難された場合
事例5）不正アクセス等により第三者に個人データを含む情報が窃取された場合（新設）⑵

個人データの「滅失」とは、個人データの内容が失われることをいう。

個人データの「漏えい」とは、個人データが外部に流出することをいう。
なお、個人データを第三者に閲覧されないうちに全てを回収した場合は、漏えいに該当しない。また、協会員が自らの意図に基づき個人データを第三者に提供する場合は、漏えいに該当しない。
【個人データの漏えいに該当する事例】
事例1）個人データが記載された書類を第三者に誤送付した場
合事例2）個人データを含むメールを第三者に誤送信した場合
事例3）システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となっていた場合
事例4）個人データが記載又は記録された書類・媒体等が盗難された場合
事例5）不正アクセス等により第三者に個人データを含む情報が窃取された場合
事例6) 協会員のウェブサイトの入力ページが第三者に改ざんされ、ユーザーが当該ページに入力した個人情報が、当該第三者に送信された場合であり、かつ、当該協会員が、当該ページに入力される個人情報を個人情報データ
ベース等へ入力することを予定していたとき⑶ 個人データの「滅失」とは、個人データの内容が失われることをいう。

4（下線部分改正箇所）
根拠法令等

通則ガイドライン3-5-1-1

通則ガイドライン3-5-1-2 事例6)

【新旧対照表】「個人情報保護指針」
旧新

なお、下記の場合であっても、その内容と同じデータが他に保管されている場合は、滅失に該当しない。また、協会員が合理的な理由により個人データを削除する場合は、滅失に該当しない。
【個人データの滅失に該当する事例】
事例1）個人情報データベース等から出力された氏名等が記載された帳票等を誤って廃棄した場合（注）当該帳票等が適切に廃棄されていない場合には、個人データの漏えいに該当する場合がある。
事例2）個人データが記載又は記録された書類・媒体等を社内で紛失した場合（注）社外に流出した場合には、個人データの漏えいに該当する。
⑶ 略⑷ 報告すべき事態が発覚した場合に講じるべき措置（第10項）
協会員が本条に基づき報告すべき事態（第1項、第6項及び第7項に規定する事態）が発覚した場合に当該事態の内容等に応じて講じるべき必要な措置の内容は、次のとおりである。
① 事業者内部における報告及び被害の拡大防止
責任ある立場の者に直ちに報告するとともに、漏えい等事案
による被害が発覚時よりも拡大しないよう必要な措置を講ずる。
② 事実関係の調査及び原因の究明
漏えい等事案の事実関係の調査及び原因の究明に必要な措置を講ずる。
③ 影響範囲の特定
上記②で把握した事実関係による影響範囲の特定のために必要な措置を講ずる。
④ 再発防止策の検討及び実施
上記②の結果を踏まえ、漏えい等事案の再発防止策の検討及び実施に必要な措置を講ずる。
⑤ 個人情報保護委員会への報告及び本人への通知
解説⑸から⒂を参照のこと。
なお、漏えい等事案の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、事実関係及び再発防止策等について、速やかに公表することが望ましい。
⑸ 保護法に基づく報告対象事態（第1項）
協会員は、次の①から④までに掲げる事態（以下「保護法報告対象事態」という。）を知ったときは、個人情報保護委員会から権限の委任を受けている監督当局（財務局長若しくは財務支局長
又は都道府県知事）及び本協会に報告しなければならない（第1項、第11項）。

なお、下記の場合であっても、その内容と同じデータが他に保管されている場合は、滅失に該当しない。また、協会員が合理的な理由により個人データを削除する場合は、滅失に該当しない。
【個人データの滅失に該当する事例】
事例1）個人情報データベース等から出力された氏名等が記載された帳票等を誤って廃棄した場合（注）当該帳票等が適切に廃棄されていない場合には、個人データの漏えいに該当する場合がある。
事例2）個人データが記載又は記録された書類・媒体等を社内で紛失した場合（注）社外に流出した場合には、個人データの漏えいに該当す
る。
⑷ 同左⑸ 報告すべき事態が発覚した場合に講じるべき措置（第10項）
協会員が本条に基づき報告すべき事態（第1項、第6項及び第7項に規定する事態）が発覚した場合に当該事態の内容等に応じて講じるべき必要な措置の内容は、次のとおりである。
① 事業者内部における報告及び被害の拡大防止
責任ある立場の者に直ちに報告するとともに、漏えい等事案
による被害が発覚時よりも拡大しないよう必要な措置を講ずる。
② 事実関係の調査及び原因の究明
漏えい等事案の事実関係の調査及び原因の究明に必要な措置を講ずる。
③ 影響範囲の特定
上記②で把握した事実関係による影響範囲の特定のために必要な措置を講ずる。
④ 再発防止策の検討及び実施
上記②の結果を踏まえ、漏えい等事案の再発防止策の検討及び実施に必要な措置を講ずる。
⑤ 個人情報保護委員会への報告及び本人への通知
解説⑹から⒃を参照のこと。
なお、漏えい等事案の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、事実関係及び再発防止策等について、速やかに公表することが望ましい。
⑹ 保護法に基づく報告対象事態（第1項）
協会員は、次の①から④までに掲げる事態（以下「保護法報告対象事態」という。）を知ったときは、個人情報保護委員会から権限の委任を受けている監督当局（財務局長若しくは財務支局長
又は都道府県知事）及び本協会に報告しなければならない（第1項、第11項）。

5（下線部分改正箇所）
根拠法令等

【新旧対照表】「個人情報保護指針」
旧新

なお、保護法報告対象事態に該当しない漏えい等事案であっても、協会員は個人情報保護委員会及び本協会に任意の報告をすることができる。
保護法報告対象事態における「おそれ」については、その時点で判明している事実関係に基づいて個別の事案ごとに蓋然性を考慮して判断することになる。漏えい等が発生したおそれについて
は、その時点で判明している事実関係からして、漏えい等が疑われるものの漏えい等が生じた確証がない場合がこれに該当する。
① 要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態（第1項第⑴号関係）【報告を要する事例】
事例1）従業員の健康診断等の結果を含む個人データが漏えいした場合② 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある
事態（第1項第⑵号関係）財産的被害が生じるおそれについては、対象となった個人データの性質・内容等を踏まえ、財産的被害が発生する蓋然性を考慮して判断する。
【報告を要する事例】
事例1）ECサイトからクレジットカード番号を含む個人デー
タが漏えいした場合
事例2）送金や決済機能のあるウェブサービスのログインIDとパスワードの組み合わせを含む個人データが漏えいした場合③ 不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態（第1項第⑶号
関係）

なお、保護法報告対象事態に該当しない漏えい等事案であっても、協会員は個人情報保護委員会及び本協会に任意の報告をすることができる。
保護法報告対象事態における「おそれ」については、その時点で判明している事実関係に基づいて個別の事案ごとに蓋然性を考慮して判断することになる。漏えい等が発生したおそれについて
は、その時点で判明している事実関係からして、漏えい等が疑われるものの漏えい等が生じた確証がない場合がこれに該当する。
① 要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態（第1項第⑴号関係）【報告を要する事例】
事例1）従業員の健康診断等の結果を含む個人データが漏えいした場合② 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある
事態（第1項第⑵号関係）財産的被害が生じるおそれについては、対象となった個人データの性質・内容等を踏まえ、財産的被害が発生する蓋然性を考慮して判断する。
【報告を要する事例】
事例1）ECサイトからクレジットカード番号を含む個人デー
タが漏えいした場合
事例2）送金や決済機能のあるウェブサービスのログインIDとパスワードの組み合わせを含む個人データが漏えいした場合③ 不正の目的をもって行われたおそれがある当該協会員に対する行為による個人データ（当該協会員が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、又は発生したおそれがある事態（第1項第⑶号関係）「不正の目的をもって行われたおそれがある当該協会員に対する行為」（以下「不正行為」という。）の主体には、第三者のみならず、従業者も含まれる。また、不正行為の相手方である「当該協会員」には、当該協会員が第三者に個人データの取扱いを委託している場合における当該第三者（委託先）及び当該協会員が個人データを取り扱うに当たって第三者の提供するサービスを利用している場合における当該第三者も含まれる。
当該協会員が「取得しようとしている個人情報」に該当するかどうかは、当該協会員が用いている個人情報の取得手段等を考慮して客観的に判断する。
個人情報データベース等へ入力すること等を予定していれ「不正の目的をもって」漏えい等を発生させた主体には、第三者のみならず、従業者も含まれる。

6（下線部分改正箇所）
根拠法令等

通則ガイドライン3-5-3-1(3)【新旧対照表】「個人情報保護指針」
旧

新（下線部分改正箇所）
根拠法令等

ば、最終的に個人情報に該当しない統計情報への加工を行うことを予定している場合等であっても、「個人データとして取り扱われることが予定されている」に該当する。
（新設）【報告を要する事例】
事例1）不正アクセスにより個人データが漏えいした場合（注）協会員が、個人データとして取り扱うことを予定している個人情報の取扱いを第三者に委託する場合であって、当該第三者（委託先）が当該個人情報を個人データとして取り扱う予定はないときも、ここにいう「協会員が第三者に個人データの取扱いを委託している場合」に該当する。
【報告を要する事例】
事例1）不正アクセスにより個人データ（個人情報データベース等へ入力する予定の個人情報を含む。以下、事例
5）まで同じ。）が漏えいした場合

通則ガイドライン3-5-3-1(3)【報告を要する事例】

事例8）の下へ移設（注）サイバー攻撃の事案について、「漏えい」が発生した
おそれがある事態に該当し得る事例としては、例えば、
次のイからニが考えられる。
イ 個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において外部からの不正アクセスによりデータが窃取された痕跡が認められた場合
ロ 個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において、情報を窃取する振る舞いが判明しているマルウェアの感染が確認された場合ハ マルウェアに感染したコンピュータに不正な指令を送り、制御するサーバ（C&Cサーバ）が使用しているものとして知られているIPアドレス・FQDN（Fully
Qualified Domain Nameの略。サブドメイン名及びドメイン名からなる文字列であり、ネットワーク上のコンピュータ（サーバ等）を特定するもの。）への通信が確認された場合
ニ 不正検知を行う公的機関、セキュリティ・サービ
ス・プロバイダ、専門家等の第三者から、漏えいのおそれについて、一定の根拠に基づく連絡を受けた
場合
事例2）ランサムウェア等により個人データが暗号化され、復元できなくなった場合
事例3）個人データが記載又は記録された書類・媒体等が盗通則ガイドライン2-5-3-1(※3)

事例2）ランサムウェア等により個人データが暗号化され、復元できなくなった場合
事例3）個人データが記載又は記録された書類・媒体等が盗7

【新旧対照表】「個人情報保護指針」
旧

新（下線部分改正箇所）
根拠法令等

難された場合事例4）従業者が顧客の個人データを不正に持ち出して第三者に提供した場合難された場合事例4）従業者が顧客の個人データを不正に持ち出して第三者に提供した場合（注）従業者による個人データの持ち出しの事案について、「漏えい」が発生したおそれがある事態に該当し得る事
例としては、例えば、個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において、通常の業務で必要としないアクセスによりデータが窃取された痕跡が認められた場合が考えられる。

（注）従業者による個人データ又は個人情報の持ち出しの事
案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、個人データ又は個人情報を格納しているサーバや、当該サーバにアクセス権限を有する端末において、通常の業務で必要としないア
クセスによりデータが窃取された痕跡が認められた場合が考えられる。

通則ガイドライン3-5-3-1(※5)

事例5）従業者の私用の端末又は取引先の端末が情報を窃取するマルウェアに感染し、その後、当該端末と協会員のサーバとの電気通信に起因して、当該サーバも当該マルウェアに感染し、個人データが漏えいした場合
事例6）協会員のウェブサイトの入力ページが第三者に改ざんされ、ユーザーが当該ページに入力した個人情報が当該第三者に送信された場合であり、かつ、当該協会員が、当該ページに入力される個人情報を個人情報データ
ベース等へ入力することを予定していたとき
事例7）協会員のウェブサイト上に設置された、入力ページに遷移するためのリンクやボタンが第三者に改ざんされ、当該リンクやボタンをユーザーがクリックした結果、偽の入力ページに遷移し、当該ユーザーが当該偽の入力ページに入力した個人情報が当該第三者に送信された場合であり、かつ、当該協会員が、当該協会員の入力
ページに入力される個人情報を個人情報データベース等へ入力することを予定していたとき
事例8）協会員が、第三者により宛先の改ざんされた返信用
封筒を顧客に送付した結果、当該返信用封筒により返信されたアンケート用紙に記入された個人情報が当該第三者に送付された場合であり、かつ、当該協会員が、当該個人情報を個人情報データベース等へ入力することを予定していたとき通則ガイドライン3-5-3-1(3)【報告を要する事例】（注）サイバー攻撃の事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、次のイからホが考えられる。
イ 個人データ（個人情報データベース等へ入力する予定の個人情報を含む。ロにおいて同じ。）を格納して通則ガイドライン3-5-3-1(※4)
事例1）の下より移設

（新設）

（新設）

（新設）

（新設）

8

【新旧対照表】「個人情報保護指針」
旧（新設）④ 個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態（第1項第⑷号関係）「個人データに係る本人の数」は、当該協会員が取り扱う個
人データのうち、漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数をいう。「個人データに係る本人の数」について、事態が発覚した当初1,000人以下であっても、その後1,000人を超えた場合には、1,000人を超えた時点で第1項第⑷号に該当することになる。本人の数が確定できない
漏えい等において、漏えい等が発生したおそれがある個人デー
タに係る本人の数が最大1,000人を超える場合には、第1項第⑷号に該当する。
事例）システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となり、当該個人データに係る本人の数が1,000人を超える場合
なお、漏えい等が発生し、又は発生したおそれがある個人デー
タについて、高度な暗号化等の秘匿化がされている場合等、「高度な暗号化その他の個人の権利利益を保護するために必要な措

新（下線部分改正箇所）
根拠法令等

いるサーバや、当該サーバにアクセス権限を有する端末において外部からの不正アクセスによりデータが窃取された痕跡が認められた場合
ロ 個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において、情報を窃取する
振る舞いが判明しているマルウェアの感染が確認された場合
ハ マルウェアに感染したコンピュータに不正な指令を送り、制御するサーバ（C&Cサーバ）が使用しているもの と し て 知 ら れ て い る IP ア ド レ ス ・ FQDN （ Fully
Qualified Domain Nameの略。サブドメイン名及びドメイン名からなる文字列であり、ネットワーク上のコン
ピュータ（サーバ等）を特定するもの。）への通信が確認された場合
ニ 個人情報の取得手段であるウェブページを構成するファイルを保存しているサーバや、当該サーバにアクセス権限を有する端末において、外部からの不正アクセスにより、当該ファイルに、当該ウェブページに入力された情報を窃取するような改ざんがされた痕跡が確認された場合
ホ 不正検知を行う公的機関、セキュリティ・サービ
ス・プロバイダ、専門家等の第三者から、漏えいのおそれについて、一定の根拠に基づく連絡を受けた場合④ 個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態（第1項第⑷号関係）「個人データに係る本人の数」は、当該協会員が取り扱う個
人データのうち、漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数をいう。「個人データに係る本人の数」について、事態が発覚した当初1,000人以下であっても、その後1,000人を超えた場合には、1,000人を超えた時点で第1項第⑷号に該当することになる。本人の数が確定できない
漏えい等において、漏えい等が発生したおそれがある個人デー
タに係る本人の数が最大1,000人を超える場合には、第1項第⑷号に該当する。
事例）システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となり、当該個人データに係る本人の数が1,000人を超える場合
なお、漏えい等が発生し、又は発生したおそれがある個人デー
タ又は個人情報について、高度な暗号化等の秘匿化がされている
場合等、「高度な暗号化その他の個人の権利利益を保護するため

9

通則ガイドライン3-5-3-1

【新旧対照表】「個人情報保護指針」
旧置」が講じられている場合については、報告を要しない。
⑹

報告義務の主体
漏えい等報告の義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データを取り扱う協会員である。

個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人データを取り扱っていることになるため、保護法報告対象事態に該当する場合には、原則として委託元と委託先の双方が報告する義務を負う。この場合、委託元及び委託先の連名で報告することができる。なお、委託先が、報告義務を負っている委託元に当該事態が発生したことを通知したときは、委託先は報告義務を免除される（第1項ただし書参照）。
また、委託元から委託先にある個人データ（個人データＡ）の取扱いを委託している場合であって、別の個人データ（個人デー
タＢ）の取扱いを委託していないときには、個人データＢについて、委託元において報告対象事態が発生した場合であっても、委託先は報告義務を負わず、委託元のみが報告義務を負うことになる。
⑺ 「速報」について（第2項）
協会員は、保護法報告対象事態を知ったときは、速やかに、個
人情報保護委員会及び本協会に報告しなければならない。
報告期限の起算点となる「知った」時点については、個別の事
案ごとに判断されるが、協会員が法人である場合には、いずれかの部署が当該事態を知った時点を基準とする。「速やか」の日数の目安については、個別の事案によるものの、協会員が当該事態を知った時点から概ね3～5日以内である。
個人情報保護委員会への漏えい等報告については、次の①から⑨までに掲げる事項を、原則として、個人情報保護委員会のホームページの報告フォームに入力する方法により行う。速報時点での報告内容については、報告をしようとする時点において把握している内容を報告すれば足りる。
① 「概要」
当該事態の概要について、発生日、発覚日、発生事案、発見者、第15条第1項各号該当性、委託元及び委託先の有無、事実経過等を報告する。
② 「漏えい等が発生し、又は発生したおそれがある個人データ

新に必要な措置」が講じられている場合については、報告を要しない。
⑺ 報告義務の主体
漏えい等報告の義務を負う主体は、原則として、漏えい等が発生し、又は発生したおそれがある個人データを取り扱う協会員である。ただし、第1項第⑶号に定める事態について漏えい等報告の義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データ又は個人情報を取り扱い、又は取得しようとしている協会員である（解説⑴参照）。
個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人データ又は個人情報を取り扱っており、又は取得しようとしていることになるため、保護法報告対象事態に該当する場合には、原則として委託元と委託先の双方が報告する義務を負う。この場合、委託元及び委託先の連名で報告することができる。なお、委託先が、報告義務を負っている委託元に当該事態が発生したことを通知したときは、委託先は報告義務を免除される（第1項ただし書参照）。
また、委託元から委託先にある個人データ（個人データＡ）の取扱いを委託している場合であって、別の個人データ（個人デー
タＢ）の取扱いを委託していないときには、個人データＢについて、委託元において報告対象事態が発生した場合であっても、委託先は報告義務を負わず、委託元のみが報告義務を負うことになる。
⑻ 「速報」について（第2項）
協会員は、保護法報告対象事態を知ったときは、速やかに、個
人情報保護委員会及び本協会に報告しなければならない。
報告期限の起算点となる「知った」時点については、個別の事
案ごとに判断されるが、協会員が法人である場合には、いずれかの部署が当該事態を知った時点を基準とする。「速やか」の日数の目安については、個別の事案によるものの、協会員が当該事態を知った時点から概ね3～5日以内である。
個人情報保護委員会への漏えい等報告については、次の①から⑨までに掲げる事項を、原則として、個人情報保護委員会のホームページの報告フォームに入力する方法により行う。速報時点での報告内容については、報告をしようとする時点において把握している内容を報告すれば足りる。
① 「概要」
当該事態の概要について、発生日、発覚日、発生事案、発見者、第15条第1項各号該当性、委託元及び委託先の有無、事実経過等を報告する。
② 「漏えい等が発生し、又は発生したおそれがある個人データ

10（下線部分改正箇所）
根拠法令等

通則ガイドライン3-5-3-2

【新旧対照表】「個人情報保護指針」
旧の項目」
漏えい等が発生し、又は発生したおそれがある個人データの項目について、媒体や種類（顧客情報、従業員情報の別等）とともに報告する。
③ 「漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数」
漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数について報告する。
④「原因」
当該事態が発生した原因について、当該事態が発生した主体（報告者又は委託先）とともに報告する。
⑤ 「二次被害又はそのおそれの有無及びその内容」
当該事態に起因して発生する被害又はそのおそれの有無及びその内容について報告する。
⑥ 「本人への対応の実施状況」
当該事態を知った後、本人に対して行った措置（通知を含む。）の実施状況について報告する。
⑦ 「公表の実施状況」
当該事態に関する公表の実施状況について報告する。
⑧ 「再発防止のための措置」
漏えい等事案が再発することを防止するために講ずる措置について、実施済みの措置と今後実施予定の措置に分けて報告する。
⑨ 「その他参考となる事項」
上記の①から⑧までの事項を補完するため、個人情報保護委
員会が当該事態を把握する上で参考となる事項を報告する。
⑻ 「確報」について（第3項）
協会員は、保護法報告対象事態を知ったときは、速報に加え、30日以内（第1項第⑶号の事態においては60日以内。同号の事態に加え、同条第⑴号、第⑵号又は第⑷号の事態にも該当する場合も60日以内。）に個人情報保護委員会及び本協会に報告しなければならない。30日以内又は60日以内は報告期限であり、可能である場合には、より早期に報告することが望ましい。
報告期限の起算点となる「知った」時点については、速報と同様に、協会員が法人である場合には、いずれかの部署が当該事態を知った時点を基準とし、確報の報告期限の算定に当たっては、
その時点を1日目とする。
確報においては、解説⑺①～⑨までに掲げる事項の全てを報告

新（前項第⑶号に定める事態については、同号に規定する個人情報を含む。次号において同じ。）の項目」
漏えい等が発生し、又は発生したおそれがある個人データ（第1項第⑶号に定める事態については、同号に規定する個人情報を含む。）の項目について、媒体や種類（顧客情報、従業員情報の別等）とともに報告する。
③ 「漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数」
漏えい等が発生し、又は発生したおそれがある個人データ（第1項第⑶号に定める事態については、同号に規定する個人情報を含む。）に係る本人の数について報告する。
④ 「原因」
当該事態が発生した原因について、当該事態が発生した主体（報告者又は委託先）とともに報告する。
⑤ 「二次被害又はそのおそれの有無及びその内容」
当該事態に起因して発生する被害又はそのおそれの有無及びその内容について報告する。
⑥ 「本人への対応の実施状況」
当該事態を知った後、本人に対して行った措置（通知を含む。）の実施状況について報告する。
⑦ 「公表の実施状況」
当該事態に関する公表の実施状況について報告する。
⑧ 「再発防止のための措置」
漏えい等事案が再発することを防止するために講ずる措置について、実施済みの措置と今後実施予定の措置に分けて報告する。
⑨ 「その他参考となる事項」
上記の①から⑧までの事項を補完するため、個人情報保護委
員会が当該事態を把握する上で参考となる事項を報告する。
⑼ 「確報」について（第3項）
協会員は、保護法報告対象事態を知ったときは、速報に加え、30日以内（第1項第⑶号の事態においては60日以内。同号の事態に加え、同条第⑴号、第⑵号又は第⑷号の事態にも該当する場合も60日以内。）に個人情報保護委員会及び本協会に報告しなければならない。30日以内又は60日以内は報告期限であり、可能である場合には、より早期に報告することが望ましい。
報告期限の起算点となる「知った」時点については、速報と同様に、協会員が法人である場合には、いずれかの部署が当該事態を知った時点を基準とし、確報の報告期限の算定に当たっては、
その時点を1日目とする。
確報においては、解説⑻①～⑨までに掲げる事項の全てを報告

11（下線部分改正箇所）
根拠法令等
通則ガイドライン3-5-3-3(2)

通則ガイドライン3-5-3-3(3)【新旧対照表】「個人情報保護指針」
旧新

しなければならない。確報を行う時点（保護法報告対象事態を知った日から30日以内又は60日以内）において、合理的努力を尽くした上で、一部の事項が判明しておらず、全ての事項を報告することができない場合には、その時点で把握している内容を報告
し、判明次第、報告を追完するものとする。

しなければならない。確報を行う時点（保護法報告対象事態を知った日から30日以内又は60日以内）において、合理的努力を尽くした上で、一部の事項が判明しておらず、全ての事項を報告することができない場合には、その時点で把握している内容を報告
し、判明次第、報告を追完するものとする。

（注１）速報の時点で全ての事項を報告できる場合には、1回の報告で速報と確報を兼ねることができる。

（注１）速報の時点で全ての事項を報告できる場合には、1回の報告で速報と確報を兼ねることができる。

（注２）確報の報告期限（30日以内又は60日以内）の算定に当たっては、土日・祝日も含める。ただし、30日目又は60日目が土日、祝日又は年末年始閉庁日（12月29日～1月3日）の場合は、その翌日を報告期限とする（行政機関の休日に関する法律（昭和63年法律第91号）第2条）。

（注２）確報の報告期限（30日以内又は60日以内）の算定に当たっては、土日・祝日も含める。ただし、30日目又は60日目が土日、祝日又は年末年始閉庁日（12月29日～1月3日）の場合は、その翌日を報告期限とする（行政機関の休日に関する法律（昭和63年法律第91号）第2条）。

⑼⑽

委託元への通知による例外
委託先は、個人情報保護委員会への報告義務を負っている委託元に対し、解説⑺①～⑨までに掲げる事項のうち、その時点で把握しているものを通知したときは、報告義務を免除される（第1項ただし書参照）。委託元への通知については、速報としての報告と同様に、保護法報告対象事態を知った後、速やかに行わなければならない。「速やか」の日数の目安については、個別の事案によるものの、委託先が当該事態の発生を知った時点から概ね3～5日以内である。
この場合、委託先から通知を受けた委託元が報告をすることになる。委託元は、通常、遅くとも委託先から通知を受けた時点
で、保護法報告対象事態を知ったこととなり、速やかに報告を行わなければならない。
なお、通知を行った委託先は、委託元から報告するに当たり、事態の把握を行うとともに、必要に応じて委託元の漏えい等報告に協力することが求められる。
⑽ 略⑾ 本人への通知、通知対象となる事態及び通知義務の主体
協会員は、保護法報告対象事態を知ったときは、本人への通知を行わなければならない（第8項）。
通知義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データを取り扱う協会員である。

委託元への通知による例外
委託先は、個人情報保護委員会への報告義務を負っている委託元に対し、解説⑻①～⑨までに掲げる事項のうち、その時点で把握しているものを通知したときは、報告義務を免除される（第1項ただし書参照）。委託元への通知については、速報としての報告と同様に、保護法報告対象事態を知った後、速やかに行わなければならない。「速やか」の日数の目安については、個別の事案によるものの、委託先が当該事態の発生を知った時点から概ね3～5日以内である。
この場合、委託先から通知を受けた委託元が報告をすることになる。委託元は、通常、遅くとも委託先から通知を受けた時点
で、保護法報告対象事態を知ったこととなり、速やかに報告を行わなければならない。
なお、通知を行った委託先は、委託元から報告するに当たり、事態の把握を行うとともに、必要に応じて委託元の漏えい等報告に協力することが求められる。
⑾ 同左⑿ 本人への通知、通知対象となる事態及び通知義務の主体
協会員は、保護法報告対象事態を知ったときは、本人への通知を行わなければならない（第8項）。
通知義務を負う主体は、原則として、漏えい等が発生し、又は発生したおそれがある個人データを取り扱う協会員である。ただし、第1項第⑶号に定める事態について本人への通知の義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データ又は個人情報を取り扱い、又は取得しようとしている協会員である（解説⑴参照）。

12（下線部分改正箇所）
根拠法令等

通則ガイドライン3-5-4-1

【新旧対照表】「個人情報保護指針」
旧新

個人データの取扱いを委託している場合において、委託先が、報告義務を負っている委託元に解説⑺①～⑨までに掲げる事項のうち、その時点で把握しているものを通知したときは、委託先は報告義務を免除されるとともに、本人への通知義務も免除される。

また、協会員は、第9項各号のいずれかの事態を知ったときも、上記に準じて本人への通知等を行う努力義務を負う（第 9項）。
金融機関が取り扱う情報の性質等に鑑み、基本的には全ての漏えい等事案について本人への通知等を行うことが望ましいとされる。なお、例えば、漏えい等した個人データについて、高度な暗号化等の秘匿化措置が講じられている場合や、漏えいした個人データを即時に回収した場合等、本人の権利利益が侵害されておらず、今後も権利利益の侵害の可能性がない又は極めて小さい場合
等には、本人への通知を要しない。
⑿ 通知の時間的制限
協会員は、保護法報告対象事態を知ったときは、当該事態の状況に応じて速やかに、本人への通知を行わなければならない。
「当該事態の状況に応じて速やかに」とは、速やかに通知を行うことを求めるものであるが、具体的に通知を行う時点は、個別の事案において、その時点で把握している事態の内容、通知を行うことで本人の権利利益が保護される蓋然性、本人への通知を行うことで生じる弊害等を勘案して判断する。
【その時点で通知を行う必要があるとはいえないと考えられる事
例】
事例1）インターネット上の掲示板等に漏えいした複数の個人データがアップロードされており、個人情報取扱事業者
において当該掲示板等の管理者に削除を求める等、必要な初期対応が完了しておらず、本人に通知することで、かえって被害が拡大するおそれがある場合
事例2）漏えい等のおそれが生じたものの、事案がほとんど判明しておらず、その時点で本人に通知したとしても、本人がその権利利益を保護するための措置を講じられる見込みがなく、かえって混乱が生じるおそれがある場合

個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人データ又は個人情報を取り扱い、又は取得しようとしていることになるため、報告対象事態に該当する場合には、原則として委託元と委託先の双方が本人への通知を行う義務を負う。委託先が、報告義務を負っている委託元に解説⑻①～⑨までに掲げる事項のうち、その時点で把握しているものを通知したときは、委託先は報告義務を免除されるとともに、本人への通知義務も免除される。なお、委託元への通知を行った委託先は、
必要に応じて委託元による本人への通知に協力することが求められる。
また、協会員は、第9項各号のいずれかの事態を知ったときも、上記に準じて本人への通知等を行う努力義務を負う（第 9項）。
金融機関が取り扱う情報の性質等に鑑み、基本的には全ての漏えい等事案について本人への通知等を行うことが望ましいとされる。なお、例えば、漏えい等した個人データについて、高度な暗号化等の秘匿化措置が講じられている場合や、漏えいした個人データを即時に回収した場合等、本人の権利利益が侵害されておらず、今後も権利利益の侵害の可能性がない又は極めて小さい場合
等には、本人への通知を要しない。
⒀ 通知の時間的制限
協会員は、保護法報告対象事態を知ったときは、当該事態の状況に応じて速やかに、本人への通知を行わなければならない。
「当該事態の状況に応じて速やかに」とは、速やかに通知を行うことを求めるものであるが、具体的に通知を行う時点は、個別の事案において、その時点で把握している事態の内容、通知を行うことで本人の権利利益が保護される蓋然性、本人への通知を行うことで生じる弊害等を勘案して判断する。
【その時点で通知を行う必要があるとはいえないと考えられる事
例】
事例1）インターネット上の掲示板等に漏えいした複数の個人データがアップロードされており、協会員において当該掲示板等の管理者に削除を求める等、必要な初期対応が完了しておらず、本人に通知することで、かえって被害が拡大するおそれがある場合
事例2）漏えい等のおそれが生じたものの、事案がほとんど判明しておらず、その時点で本人に通知したとしても、本人がその権利利益を保護するための措置を講じられる見込みがなく、かえって混乱が生じるおそれがある場合

⒀

⒁

通知の内容

通知の内容

13

（下線部分改正箇所）
根拠法令等

【新旧対照表】「個人情報保護指針」
旧

新

本人へ通知すべき事項については、漏えい等報告における報告事項のうち、「概要」、「漏えい等が発生し、又は発生したおそれがある個人データの項目」、「原因」、「二次被害又はそのおそれの有無及びその内容」及び「その他参考となる事項」（解説⑺参照）に限られている。これらの事項が全て判明するまで本人への通知をする必要がないというものではなく、本人への通知は、「当該事態の状況に応じて速やかに」行う必要がある。

本人への通知については、「本人の権利利益を保護するために必要な範囲において」行うものである。
また、当初保護法報告対象事態に該当すると判断したものの、その後実際には保護法報告対象事態に該当していなかったことが判明した場合には、本人への通知が「本人の権利利益を保護するために必要な範囲において」行うものであることに鑑み、本人への通知は不要である。

本人へ通知すべき事項については、漏えい等報告における報告事項のうち、「概要」、「漏えい等が発生し、又は発生したおそれがある個人データ（前項第⑶号に定める事態については、同号に規定する個人情報を含む。次号において同じ。）の項目」、「原因」、「二次被害又はそのおそれの有無及びその内容」及び「その他参考となる事項」（解説⑻参照）に限られている。これ
らの事項が全て判明するまで本人への通知をする必要がないというものではなく、本人への通知は、「当該事態の状況に応じて速やかに」行う必要がある。
本人への通知については、「本人の権利利益を保護するために必要な範囲において」行うものである。
また、当初保護法報告対象事態に該当すると判断したものの、その後実際には保護法報告対象事態に該当していなかったことが判明した場合には、本人への通知が「本人の権利利益を保護するために必要な範囲において」行うものであることに鑑み、本人への通知は不要である。

（注）第2項第⑼号に定める「その他参考となる事項」については、本人への通知を補完するため、本人にとって参考となる事項をいい、例えば、本人が自らの権利利益を保護するために取り得る措置が考えられる。

（注）第2項第⑼号に定める「その他参考となる事項」については、本人への通知を補完するため、本人にとって参考となる事項をいい、例えば、本人が自らの権利利益を保護するために取り得る措置が考えられる。

【本人の権利利益を保護するために必要な範囲において通知を行う事例】
事例1）不正アクセスにより個人データが漏えいした場合において、その原因を本人に通知するに当たり、個人情報保護委
員会に報告した詳細な内容ではなく、必要な内容を選択して本人に通知すること。
事例2）漏えい等が発生した個人データの項目が本人ごとに異なる場合において、当該本人に関係する内容のみを本人に通知すること。
⒁、⒂ 略【本人の権利利益を保護するために必要な範囲において通知を行う事例】
事例1）不正アクセスにより個人データが漏えいした場合において、その原因を本人に通知するに当たり、個人情報保護委
員会に報告した詳細な内容ではなく、必要な内容を選択して本人に通知すること。
事例2）漏えい等が発生した個人データの項目が本人ごとに異なる場合において、当該本人に関係する内容のみを本人に通知すること。
⒂、⒃ 同左（参照条文：保護法26条、施行規則7条から10条、通則ガイドライン
3-5、金融分野ガイドライン11条）（参照条文：保護法26条、施行規則7条から10条、通則ガイドライン
3-5、金融分野ガイドライン11条）

第16条～第31条

第16条～第31条

略同左

附則 （略）

附則 （同左）
附則

（新設）

14

（下線部分改正箇所）
根拠法令等

通則ガイドライン3-5-4-3

【新旧対照表】「個人情報保護指針」
旧

新
この改正は、令和6年7月1日から施行する。
（注）改正条項は、次のとおりである。
第12条、第13条、第14条、第15条を改正する。

15（下線部分改正箇所）
根拠法令等