個人情報の保護と利用に関する指針

一般社団法人 信託協会

平成１７年 ３月１７日 制定
平成２０年 ２月２１日 一部改正 （平成２０年 ３月 １日 施行）
平成２１年１２月１７日 一部改正 （平成２１年１２月１７日 施行）
平成２５年１１月２１日 一部改正 （平成２５年１１月２１日 施行）
平成２７年 ７月１６日 一部改正 （平成２７年 ７月１６日 施行）
平成２７年１０月１５日 一部改正 （平成２７年１０月１５日 施行）
平成２８年 ３月１７日 一部改正 （平成２８年 ３月１７日 施行）
平成２９年 ４月２０日 一部改正 （平成２９年 ５月３０日 施行）
平成３０年 ３月１５日 一部改正 （平成３０年 ３月１５日 施行）
令和 ４年 ３月１７日 一部改正 （令和 ４年 ４月 １日 施行）
令和 ４年 ５月１９日 一部改正 （令和 ４年 ５月１９日 施行）
令和 ６年 ４月１８日 一部改正 （令和 ６年 ４月１８日 施行）

目次
第１章

総則 ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 3

第１条

目的 ・・・・・・・・・・・・・・・・・・・・・・・・・・・ 3

第２条

定義 ・・・・・・・・・・・・・・・・・・・・・・・・・・・ 4

第２章

取得および利用 ・・・・・・・・・・・・・・・・・・・・・・・・16

第３条

利用目的の特定 ・・・・・・・・・・・・・・・・・・・・・・16

第４条

目的外利用および不適正な利用の禁止 ・・・・・・・・・・・・19

第５条

ダイレクト・マーケティングの中止 ・・・・・・・・・・・・・21

第６条

適正な取得 ・・・・・・・・・・・・・・・・・・・・・・・・22

第７条

機微（センシティブ）情報の取扱い ・・・・・・・・・・・・・25

第８条

利用目的の通知・公表・明示 ・・・・・・・・・・・・・・・・26

第３章

データ内容の正確性の確保等 ・・・・・・・・・・・・・・・・・・29

第９条
第４章

安全管理措置 ・・・・・・・・・・・・・・・・・・・・・・・・・31

第１０条
第５章

データ内容の正確性の確保等・・・・・・・・・・・・・・・・29

安全管理措置・・・・・・・・・・・・・・・・・・・・・・・31

個人データの第三者への提供 ・・・・・・・・・・・・・・・・・・34

第１１条

第三者提供・・・・・・・・・・・・・・・・・・・・・・・・34

第１２条

オプトアウトによる第三者提供・・・・・・・・・・・・・・・36

第１３条

委託・・・・・・・・・・・・・・・・・・・・・・・・・・・38

第１４条

事業の承継・・・・・・・・・・・・・・・・・・・・・・・・39

第１５条

共同利用・・・・・・・・・・・・・・・・・・・・・・・・・39

第１６条

外国にある第三者への提供・・・・・・・・・・・・・・・・・41

第１７条

個人関連情報の第三者提供・・・・・・・・・・・・・・・・・47

第１８条

第三者提供に係る確認・記録義務・・・・・・・・・・・・・・48

第６章

開示等の手続 ・・・・・・・・・・・・・・・・・・・・・・・・・58

第１９条

保有個人データに関する事項の公表等・・・・・・・・・・・・58

第２０条

開示の請求・・・・・・・・・・・・・・・・・・・・・・・・59

第２１条

訂正等の請求・・・・・・・・・・・・・・・・・・・・・・・61

第２２条

利用停止等の請求・・・・・・・・・・・・・・・・・・・・・63

第２３条

開示等の手続・・・・・・・・・・・・・・・・・・・・・・・65

第２４条

手数料・・・・・・・・・・・・・・・・・・・・・・・・・・66
1

第７章

苦情処理体制 ・・・・・・・・・・・・・・・・・・・・・・・・・68

第２５条
第８章

漏えい等事案への対応 ・・・・・・・・・・・・・・・・・・・・・69

第２６条
第９章

仮名加工情報・匿名加工情報の取扱い ・・・・・・・・・・・・72

域外適用 ・・・・・・・・・・・・・・・・・・・・・・・・・・73

第２９条
第１２章

個人情報保護宣言の制定・・・・・・・・・・・・・・・・・・71

仮名加工情報・匿名加工情報の取扱い ・・・・・・・・・・・・・72

第２８条
第１１章

漏えい等事案への対応・・・・・・・・・・・・・・・・・・・69

個人情報保護宣言の制定 ・・・・・・・・・・・・・・・・・・・・71

第２７条
第１０章

苦情処理体制の整備・・・・・・・・・・・・・・・・・・・・68

域外適用 ・・・・・・・・・・・・・・・・・・・・・・・・73

個人情報保護指針の見直し ・・・・・・・・・・・・・・・・・・74

第３０条

個人情報保護指針の見直し ・・・・・・・・・・・・・・・・74

2

第１章

総則

第１条（目的）１．個人情報の保護と利用に関する指針（以下「指針」という。）は、一般社団法人
信託協会の対象事業者（以下｢信託銀行等｣という。
）が、個人情報の保護に関する法律（以下「法」という。
）をはじめとした関連法令等を遵守しつつ、個人情報の適切な取扱いを確保することを目的とするものである。
（運用上の考え方）●本指針は、法のほか、次に掲げる法令等を踏まえて定めるものである。
・個人情報の保護に関する法律施行令（以下「施行令」という。
）
・個人情報の保護に関する法律施行規則（以下「施行規則」という。）
・個人情報の保護に関する基本方針
・行政手続における特定の個人を識別するための番号の利用等に関する法律（以下「番号法」という。
）および同法関係政令・府令
・個人情報の保護に関する法律についてのガイドライン（通則編）（以下「通則ガイドライン」という。
）
・個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）（以下「外国第三者提供ガイドライン」という。
）
・個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記
録義務編）（以下「確認・記録義務ガイドライン」という。）
・個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）（以下「仮名加工情報・匿名加工情報ガイドライン」という。）
・金融分野における個人情報保護に関するガイドライン（以下「金融分野ガイドラ
イン」という。
）
・金融分野における個人情報保護に関するガイドラインの安全管理措置等についての実務指針
・特定個人情報の適正な取扱いに関するガイドライン（事業者編）および（別冊）
金融業務における特定個人情報の適正な取扱いに関するガイドライン（以下「番号法ガイドライン」という。）●本指針中「しなければならない」等と記載されている規定については、信託銀行等が義務として遵守しなければならない。また、本指針中「努めなければならない」、「こととする」および「望ましい」と記載されている規定については、信託銀行等が努力義務として遵守に努める。
●「運用上の考え方」は、本指針を運用するための考え方や実務の具体例を示したも
のである。

3

第２条（定義）
本指針における用語の定義は、次のとおり。
（１）個人情報
生存する「個人に関する情報」であって、「当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができるものを含む。）」、または「個人識別符号が含まれるもの」をいう。
（運用上の考え方）●「個人情報」には、主として顧客本人の情報のほか、委託者、受益者、信託管理人、代理人、連帯保証人、振込の受取人、顧客家族に関する情報等、信託銀行等の業務に関連して取得する個人に関する情報が幅広く該当する。ただし、自社及び自社グ
ループの従業員、株主に関する情報等、信託銀行等の取引に関連しない個人情報は、本指針の対象外とする。
●個人情報には、信託銀行等の場合、例えば次のような個人に関する情報も含まれる。
・年金業務…在職者・加入者・受給者・退職者等
・不動産業務…仲介物件・不動産管理信託物件の入居者（テナント）
・証券代行業務…発行会社の株主等
・遺言業務…遺言者、受遺者、相続人
・公益信託業務…運営委員、助成先（応募者含む）●「個人に関する情報」とは、氏名、住所、性別、生年月日、顔画像等個人を識別する情報に限られず、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化等によって秘匿化されているかど
うかを問わない。これら「個人に関する情報」が、氏名等と相まって「特定の個人を識別することができる」ことになれば、それが「個人情報」となる。
●「個人情報」には、例えば、次のような情報が該当する。
・本人の氏名・生年月日、連絡先（住所・居所・電話番号・メールアドレス）、会社における職位
または所属に関する情報について、それらと本人の氏名を組み合わせた情報
・防犯カメラに記録された情報等本人が判別できる映像情報
・本人の氏名が含まれる等の理由により、特定の個人を識別できる音声録音情報
・特定の個人を識別できるメールアドレス（shintaku_hiroshi @example.com 等のようにメールアドレスだけの情報の場合であっても、example 社に所属するシン
タクヒロシのメールアドレスであることが分かるような場合等）
・個人情報を取得後に当該情報に付加された個人に関する情報（取得時に生存する
特定の個人を識別することができなかったとしても、取得後、新たな情報が付加
4

され、または照合された結果、生存する特定の個人を識別できる場合は、その時点で個人情報に該当する。
）
・官報、電話帳、職員録、法定開示書類（有価証券報告書等）、新聞、ウェブサイト、ＳＮＳ（ソーシャル・ネットワーク・サービス）等で公にされている特定の個人を識別できる情報●本指針は法令等の規定を踏まえ、「個人情報」のほか、後述の「個人データ」、「保有個人データ」、「要配慮個人情報」、「機微（センシティブ）情報」、「個人関連情報」、「仮名加工情報」、「匿名加工情報」等の語を使い分けており、信託銀行等に課される義務はそれぞれ異なるので、注意を要する。
●死者に関する情報が、同時に、遺族等の生存する個人に関する情報でもある場合には、当該生存する個人に関する情報に該当する。
●法人その他の団体は「個人」に該当しないため、法人等の団体そのものに関する情報は「個人情報」に該当しない（ただし、役員、従業員等に関する情報は個人情報に該当する。）。なお、「個人」は日本国民に限らず、外国人も含まれる。
●「他の情報と容易に照合することができ（る）」とは、信託銀行等の実態に即して個々の事例毎に判断されるべきであるが、通常の業務における一般的な方法で、他の情報と容易に照合することができる状態をいい、例えば、他の事業者への照会を要する場合等であって照合が困難な状態は、一般に、容易に照合することができない状態であると解される。
●「個人識別符号」については、（２）を参照のこと。
（２）個人識別符号
当該情報単体から特定の個人を識別できるものとして、法第２条第２項に基づき、施行令で定められた文字、番号、記号その他の符号をいい、これに該当するものが含まれる情報は個人情報となる。
① 特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、
番号、記号その他の符号であって、当該特定の個人を識別することができるもの（法第２条第２項第１号、施行令第１条第１号、施行規則第２条関係）。
次に掲げる a から g に該当するもののうち、特定の個人を識別することができる水準が確保されるよう、適切な範囲を適切な手法により電子計算機の用に供するために変換されたもの。
a 細胞から採取されたデオキシリボ核酸（別名ＤＮＡ）を構成する塩基の配列
b 顔の骨格および皮膚の色ならびに目、鼻、口その他の顔の部位の位置および形状によって定まる容貌
c 虹彩の表面の起伏により形成される線状の模様
d 発声の際の声帯の振動、声門の開閉ならびに声道の形状およびその変化によっ5

て定まる声の質
e 歩行の際の姿勢および両腕の動作、歩幅その他の歩行の態様
f 手のひらまたは手の甲もしくは指の皮下の静脈の分岐および端点によって定まるその静脈の形状
g 指紋または掌紋
また、上記 a から g までに掲げるものから抽出した特徴情報を、組み合わせ、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたものも個人識別符号として取り扱う。
②個人に提供される役務の利用もしくは個人に販売される商品の購入に関し割り当てられ、または個人に発行されるカードその他の書類に記載され、もしくは電磁的方式により記録された文字、番号、記号その他の符号であって、その利用者
もしくは購入者または発行を受ける者毎に異なるものとなるように割り当てられ、または記載され、もしくは記録されることにより、特定の利用者もしくは購入者または発行を受ける者を識別することができるもの（法第２条第２項第２号、施行令第１条第２号～第８号、施行規則第３条、第４条関係）。
例えば、次に掲げる情報が該当する。
・ 旅券番号
・ 基礎年金番号
・ 運転免許証番号
・ 住民票コード・ 個人番号
・ 健康保険等の被保険者証上に記載された本人を特定できる番号等（運用上の考え方）● 施行令・施行規則で定められた情報以外は、「個人識別符号」には該当しない。ただし、ある個人に関する情報が「個人識別符号」に当たらず、それ単体で個人情報に該当しないものであっても、他の個人識別符号や、特定の個人を識別することができる他の情報と共に、信託銀行等が１つのデータセットとして保有している場合（例えば、氏名、住所、生年月日等と一緒になっているもの）や、信託銀行等が当該個人に関する氏名や顔写真等その他の情報を保有しており、これと容易に照合することができ、それにより特定の個人を識別できる場合については、個人情報に該当することに留意する。
● 防犯カメラ等で記録した動画・画像または電話による会話の録音等を電子データとして保存していたとしても、当該電子データが「特定の個人を識別することができる水準が確保されるよう、適切な範囲を適切な手法により電子計算機の用に供するために変換されたもの」でなければ、「個人識別符号」には該当しない。ただし、
当該電子データが「個人情報」に該当するかどうかは、（１）を踏まえて判断することとなる。
6

（３）個人番号
住民票コードを変換して得られる番号であって、当該住民票コードが記載された住民票に係る者を識別するために番号法第７条の規定により指定されるものをいう。
（４）特定個人情報
個人番号（個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号であって、住民票コード以外のものを含む。
）をその内容に含む個人情報をいう。
（運用上の考え方）● 生存する個人の個人番号についても、特定個人情報に該当する。
（５）要配慮個人情報不当な差別や偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして次に掲げる①から⑪までの記述等が含まれる個人情報をいう。
要配慮個人情報の取得や第三者提供には、原則として本人の同意が必要であり、オプトアウトによる第三者提供（「第１２条（オプトアウトによる第三者提供）」参照）は認められていないので、注意が必要である
なお、次に掲げる情報を推知させる情報にすぎないものは、要配慮個人情報には含まない。
①人種
人種、世系または民族的もしくは種族的出身を広く意味する。なお、単純な国籍や「外国人」という情報は法的地位であり、それだけでは人種には含まない。また、肌の色は、人種を推知させる情報にすぎないため、人種には含まない。
②信条
個人の基本的なものの見方、考え方を意味し、思想と信仰の双方を含むものである。
③社会的身分
ある個人にその境遇として固着していて、一生の間、自らの力によって容易にそれから簡単に脱し得ないような地位を意味し（非嫡出子など）、単なる職業的地位や学歴は含まない。
④病歴
病気に罹患した経歴を意味するもので、特定の病歴を示した部分（例：特定の個人ががんに罹患している、統合失調症を患っている等）が該当する。
⑤犯罪の経歴前科、すなわち有罪の判決を受けこれが確定した事実が該当する。
7

⑥犯罪により害を被った事実
身体的被害、精神的被害および金銭的被害の別を問わず、犯罪の被害を受けた事実を意味する。具体的には、刑罰法令に規定される構成要件に該当し得る行為のうち、刑事事件に関する手続に着手されたものが該当する。
⑦身体障害、知的障害、精神障害（発達障害を含む。
）その他の施行規則で定める心身の機能の障害があること⑧本人に対して医師その他医療に関連する職務に従事する者（以下「医師等」という。）により行われた疾病の予防および早期発見のための健康診断その他の検査（以下「健康診断等」という。
）の結果⑨健康診断等の結果に基づき、または疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導または診療もしくは調剤が行われたこと⑩本人を被疑者または被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと（犯罪の経歴を除く。
）⑪本人を少年法第３条第１項に規定する少年またはその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと（運用上の考え方）● 上記①から⑪を「推知させる情報にすぎないもの」とは、例えば、勤務先が特定の宗教団体や政治団体である場合に、勤務先情報としての宗教団体名等の記載、特定の政治団体等に寄付をしたというような情報、宗教団体を設立母体とする学校や病院に勤務している情報、特定の宗教に関する書籍の購買や貸出しに係る情報または第三者から伝え聞いた程度の裏付けのない情報等をいう。
（６）機微（センシティブ）情報
要配慮個人情報ならびに労働組合への加盟、門地、本籍地、保健医療および性生活（これらのうち要配慮個人情報に該当するものを除く。
）に関する情報（本人、国の機関、地方公共団体、学術研究機関等、法第 57 条第１項各号もしくは施行規則第６条各号に掲げる者により公開されているもの、または、本人を目視し、もしくは撮影することにより取得するその外形上明らかなものを除く。
）をいう。
なお、学術研究機関等とは、大学その他の学術研究を目的とする機関もしくは団体
またはそれらに属する者をいう。
（７）個人情報データベース等
特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した、個人情報を含む情報の集合物をいう。また、コンピュータを用いていない場
8

合であっても、紙面で処理した個人情報を一定の規則（例えば、五十音順等）に従って整理・分類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当する。
ただし、次に掲げる①～③までのいずれにも該当するものは、利用方法からみて個人の権利利益を害するおそれが少ないため、個人情報データベース等には該当しない。
① 不特定かつ多数の者に販売することを目的として発行されたものであって、かつ、その発行が法または法に基づく命令の規定に違反して行われたものでないこと。
② 不特定かつ多数の者により随時に購入することができ、またはできたものであること。
③ 生存する個人に関する他の情報を加えることなくその本来の用途に供しているものであること。
（運用上の考え方）●個人情報データベース等に該当するものの具体例は次のとおり。
・インターネットサービスにおいて、ユーザーが利用したサービスに係るログ情報
がユーザーID によって整理され保管されている電子ファイル（ユーザーID と個人情報を容易に照合することができる場合）
・五十音順等に並べられた顧客カード
・口座番号順等に並べられた印鑑票
・口座番号順等で作成されたコムフィシュ●個人情報データベース等に該当しないものの具体例は次のとおり。
・ 従業者が、自己の名刺入れについて他人が自由に閲覧できる状況に置いていても、他人には容易に検索できない独自の分類方法により名刺を分類した状態である
場合
・ アンケートの戻りはがきが、氏名、住所等により分類整理されていない状態である場合
・ 市販の電話帳、住宅地図、職員録、カーナビゲーションシステム等（８）個人情報取扱事業者
個人情報データベース等を事業の用に供している者のうち、国の機関、地方公共団
体、個人情報保護法第２条第９項で定める独立行政法人等（個人情報保護法の別表第２に掲げる法人を除く。
）および個人情報保護法第２条第 10 項に定める地方独立行政法人を除いた者をいう。
ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継9続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。
また、個人情報データベース等を事業の用に供している者であれば、当該個人情報
データベース等を構成する個人情報によって識別される特定の個人の数の多寡にかかわらず、個人情報取扱事業者に該当する。
なお、法人格のない、権利能力のない社団（任意団体）または個人であっても、個人情報データベース等を事業の用に供している場合は個人情報取扱事業者に該当する。
（９）特定個人情報ファイル
個人番号をその内容に含む個人情報データベース等をいう。
（10）個人データ
信託銀行等が管理する個人情報データベース等を構成する個人情報をいう。
（運用上の考え方）●個人データに該当するものの具体例は次のとおり。
・ 個人情報データベース等から外部記録媒体に保存された個人情報
・ 個人情報データベース等から紙面に出力された帳票等に印字された個人情報●個人データに該当しない具体例としては、個人情報データベース等を構成する前の入力用の帳票等に記載されている個人情報があげられる。
●なお、（７）において、利用方法から見て個人の権利利益を害するおそれが少ないため、個人情報データベース等から除かれているものを構成する個人情報は、個人データに該当しない。
（11）保有個人データ
信託銀行等が、本人またはその代理人から請求される開示、内容の訂正、追加または削除、利用の停止、消去および第三者への提供の停止の全てに応じることができる権限を有する「個人データ」をいう。
ただし、個人データのうち、次に掲げるものは、保有個人データではない。
①当該個人データの存否が明らかになることにより、本人または第三者の生命、身体または財産に危害が及ぶおそれがあるもの②当該個人データの存否が明らかになることにより、違法または不当な行為を助長し、または誘発するおそれがあるもの③当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国もしくは国際機関との信頼関係が損なわれるおそれまたは他国もし
くは国際機関との交渉上不利益を被るおそれがあるもの
10

④当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧または捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの（運用上の考え方）●（11）②に該当するものの具体例は次のとおり。
・ 暴力団等の反社会的勢力による不当要求の被害等を防止するために信託銀行等が保有している、当該反社会的勢力に該当する人物を本人とする個人データ
・ 不審者や総会屋、悪質なクレーマー等による不当要求の被害を防止するために信託銀行等が保有している、当該行為を行った者を本人とする個人データ●（11）③に該当するものの具体例は次のとおり。
・ 要人の訪問先や行動予定等の個人データ●（11）④に該当するものの具体例は次のとおり。
・ 警察からの捜査関係事項照会や捜索差押令状の対象となった、信託銀行等が保有している捜査対象者または被疑者を本人とする個人データ
・ 犯罪収益との関係が疑わしい取引の届出の対象情報に含まれる個人データ
・ 振り込め詐欺に利用された口座に関する情報に含まれる個人データ（12）本人
個人情報によって識別される特定の個人をいう。
（13）個人番号利用事務
行政機関、地方公共団体、独立行政法人等その他の行政事務を処理する者が番号法
第９条第１項または第２項の規定によりその保有する特定個人情報ファイルにおいて個人情報を効率的に検索し、および管理するために必要な限度で個人番号を利用して処理する事務をいう。
（14）個人番号関係事務
番号法第９条第３項の規定により個人番号利用事務に関して行われる他人の個人番号を必要な限度で利用して行う事務をいう。
（15）個人番号関係事務実施者
個人番号関係事務を処理する者および個人番号関係事務の全部または一部の委託を受けた者をいう。
（16）個人関連情報
生存する個人に関する情報であって、個人情報、仮名加工情報および匿名加工情報のいずれにも該当しないものをいう。
11

（17）個人関連情報取扱事業者
個人関連情報を含む情報の集合物であって、特定の個人関連情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の個人関連情報を容易に検索することができるように体系的に構成したものとして施行令で定めるもの（以下「個人関連情報データベース等」という。
）を事業の用に供している者の
うち、国の機関、地方公共団体、独立行政法人等（個人情報保護法の別表第 2 に掲げる法人を除く。）および地方独立行政法人を除いた者をいう。
（18）仮名加工情報
個人情報を個人情報の区分に応じて法により定められた措置を講じて他の情報と照合しない限り特定の個人を識別することができないように加工して得られる個人に関する情報をいう。
（19）仮名加工情報取扱事業者
仮名加工情 報を含む情 報の集合物 であって、 特定の仮名 加工情報を 電子計算機を用いて検索することができるように体系的に構成したものその他特定の仮名加工情報を容易に検索することができるように体系的に構成したものとして施行令で定めるもの（以下「仮名加工情報データベース等」という。）を事業の用に供している者のうち、国の機関、地方公共団体、独立行政法人等（別表第 2 に掲げる法人を除く。）および地方独立行政法人を除いた者をいう。
（20）匿名加工情報
個人情報を個人情報の区分に応じて定められた措置を講じて特定の個人を識別することができないように加工して得られる個人に関する情報であって、当該個人情報を復元して特定の個人を再識別することができないようにしたものをいう。
「（１）個人情報」のうち「当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別できるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）」である個人情報の場合には、「特定の個人を識別することができないように個人情報を加工」とは、特定の個人を識別することができなくなるように当該個人情報に含まれる氏名、生年
月日その他の記述等を削除することを意味する。
「（１）個人情報」のうち「個人識別符号が含まれる」個人情報の場合には、「特定の個人を識別することができないように個人情報を加工」とは、当該個人情報に含まれる個人識別符号の全部を特定の個人を識別することができなくなるように削除することを意味する（この措置を講じた上で、まだなお「当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別できるもの（他の情報と容易に照12

合することができ、それにより特定の個人を識別することができることとなるものを含む。）」に該当する個人情報であった場合には、法第２条第１項第１号に該当する個人情報としての加工を行う必要がある。）。
「削除すること」には、法第２条第９項各号に定めるとおり「当該一部の記載等」
または「当該個人識別符号」を「復元することのできる規則性を有しない方法により他の記述等に置き換えること」も含まれる。
「復元することのできる規則性を有しない方法」とは、置き換えた後の記述から、置き換える前の特定の個人を識別することとなる記述等または個人識別符号の内容を復元することができない方法である。
なお、匿名加工情報を作成するときには、「匿名加工情報の取扱いに関するルール」
で定める基準に従って加工する必要がある。
（21）匿名加工情報取扱事業者
匿名加工情報を含む情報の集合物であって、特定の匿名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の匿名加工情報を容易に検索することができるように体系的に構成したものとして施行令で定めるもの（以下「匿名加工情報データベース等」という。
）を事業の用に供している者の
うち、国の機関、地方公共団体、独立行政法人等（別表第 2 に掲げる法人を除く。
）
および地方独立行政法人を除いた者をいう。
「匿名加工情報を含む情報の集合物であって、特定の匿名加工情報を電子計算機を用いて検索することができるように体系的に構成したもの」とは、特定の匿名加工
情報をコンピュータを用いて検索することができるように体系的に構成した、匿名加工情報を含む情報の集合物をいう。また、コンピュータを用いていない場合であっても、紙媒体の匿名加工情報を一定の規則に従って整理・分類し、特定の匿名加
工情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当する。
ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。なお、法人格のない、権利能力のない社団（任意団体）または個人であっても匿名加工情報データベース等を事業の用に供している場合は匿名加工情報取扱事業者に該当する。
（22）本人に通知
本人に直接知らしめることをいい、事業の性質および個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。
（運用上の考え方）13

●「通知」の方法は、書面（電磁的記録を含む。以下同じ。
）による通知を原則とする
ほか、例えば、電話（自動音声を含む。）による通知等があげられる。
（23）公表広く一般に自己の意思を知らせること（不特定多数の人々が知ることができるように発表すること）をいい、公表に当たっては、事業の性質および個人情報の取扱状
況に応じ、合理的かつ適切な方法によらなければならない。
（運用上の考え方）●「公表」の方法には、次のような方法がある。
・信託銀行等のウェブサイトへの掲載
・信託銀行等の営業拠点へのポスター・書面等の掲示・備付け
・パンフレットへの記載・配付（24）本人の同意
本人の個人情報が、信託銀行等によって示された取扱方法で取り扱われることを承諾する旨の当該本人の意思表示をいう（当該本人であることを確認できていることが前提となる。）。
また、「本人の同意を得（る）」とは、本人の承諾する旨の意思表示を信託銀行等が認識することをいい、事業の性質および個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。
なお、個人情報の取扱いに関して同意したことによって生ずる結果について、未成
年者、成年被後見人、被保佐人および被補助人が判断できる能力を有していないな
どの場合は、親権者や法定代理人等から同意を得る必要がある。
（運用上の考え方）●「本人の同意」を得ている事例として、例えば、次の事例があげられる。
・本人からの同意する旨の口頭による意思表示
・本人からの同意する旨の書面の受領・本人からの同意する旨のメールの受信・本人による同意する旨の確認欄へのチェック
・本人による同意する旨のウェブサイト上のボタンのクリック
・本人による同意する旨の音声入力、タッチパネルへのタッチ、ボタンやスイッチ等による入力●信託銀行等が、「第 4 条
１１条

目的外利用および不適正な利用の禁止」（法第 18 条）、「第第三者提供」（法第 27 条）および「第１６条14

外国にある第三者への提供」

（法第 28 条）、および「第１７条

個人関連情報の第三者提供」（法第 31 条）（信託

銀行等が個人関連情報取扱事業者から個人関連情報の提供を受けて個人データとして取得する場合に限る。）に定める本人の同意を得る場合には、原則として、書面によることとする。
●信託銀行等が、予め作成された同意書面を用いる場合には、文字の大きさおよび文章の表現を変えること等により、個人情報の取扱いに関する条項が他と明確に区別され、本人に理解されることが望ましい。または、予め作成された同意書面に確認欄を設け本人がチェックを行うこと等、本人の意思が明確に反映できる方法により確認を行うことが望ましい。
（25）提供
個人データ、保有個人データ、個人関連情報、仮名加工情報または匿名加工情報（以下「個人データ等」という。
）を、自己以外の者が利用可能な状態に置くことをいう。
個人データ等が、物理的に提供されていない場合であっても、ネットワーク等を利用することにより、個人データ等を利用できる状態にあれば（利用する権限が与えられていれば）、「提供」に当たる。

15

第２章

取得および利用

第３条（利用目的の特定）
１．個人情報取扱事業者は、個人情報を取り扱うに当たっては、利用目的をできる限
り具体的に特定しなければならないが、利用目的の特定に当たっては、利用目的
を単に抽象的、一般的に特定するのではなく、個人情報が個人情報取扱事業者において、最終的にどのような事業の用に供され、どのような目的で個人情報を利用されるのかが、本人にとって一般的かつ合理的に想定できる程度に具体的に特定することが望ましい。
予め、個人情報を第三者に提供することを想定している場合には、利用目的の特定に当たっては、その旨が明確に分かるよう特定しなければならない。
また、本人から得た情報から、本人に関する行動・関心等の情報を分析する場合、信託銀行等は、どのような取扱いが行われているかを本人が予測・想定できる程度に利用目的を特定しなければならない。
２．信託銀行等は、上記により特定した利用目的を、変更前の利用目的と関連性を有すると合理的に認められる範囲、すなわち、変更後の利用目的が変更前の利用目
的からみて、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内で変更することは可能である。変更された利用目的は、本人に通知するか、または公表しなければならない。

（運用上の考え方）●信託銀行等が利用目的の特定をする際は、次に掲げる事項に留意する。
・個人情報は、信託銀行等が法令により認められた全ての業務（今後取扱いが認められる業務を含む。
）に関して利用され得ることを明記する。
・ただし、年金業務、団体信託業務、証券代行業務等、企業、団体等から委託を受けて、その従業員、構成員、退職者、株主等の個人情報を取扱う場合には、それぞれの委託契約の内容等に従い、各受託業務を遂行するためにそれらの個
人情報を必要な範囲に限定して利用することに留意する。
・全ての業務を明記する際は、定款の記載などを参考に、例えば、次のように業務の内容を可能な限り特定する。
○金銭信託、金銭信託以外の金銭の信託、年金信託、団体信託、財形信託、公益信託、特定贈与信託、証券信託、従業員持株信託、金銭債権信託、不動産信託、動産信託等の信託業務○信託契約代理業務、信託受益権売買等業務、証券代行業務、相続・遺言業務、会計の検査、財産の取得・処分または貸借の代理事務、公社債もしくは株式の元利金または配当金支払の取扱い業務、債権取立の代理事務、債務の履行、不16

動産の仲介、分譲、鑑定、管理、等の併営業務○預金業務、為替業務、両替業務、融資業務、外国為替業務およびこれらに付随する業務○投信販売業務、保険販売業務、金融商品仲介業務、社債業務等、法律により信託銀行等が営むことができる業務およびそれに付随する業務○その他信託銀行等が営むことができる業務およびこれらに付随する業務（今後取扱いが認められる業務を含む。
）
・信託銀行等が、与信事業に際して、個人情報を取得する場合においては、利用目
的について本人の同意を得ることとし、契約書等における利用目的は他の契約条項等と明確に分離して記載することとする。この場合、信託銀行等は取引上の優越的な地位を不当に利用し、与信の条件として、与信事業において取得した個人情報を当該事業以外の金融商品のダイレクトメールの発送等に利用することを利用目的として同意させる行為を行うべきではなく、本人は当該ダイレクトメールの発送等に係る利用目的を拒否することができる。
・信託銀行等が、与信事業に際して、個人情報を個人信用情報機関（個人の返済能力に関する情報の収集および与信事業を行う個人情報取扱事業者に対する当該情報の提供を業とするものという。以下同じ。
）に提供する場合には、その旨を下記の利用目的例のように明示しなければならない。さらに、明示した利用目的について本人の同意を得ることとする。
・利用目的は、例えば、次のように具体的に記載する。
弊社および弊社の関連会社や提携会社の金融商品、信託商品およびサービスに関し、下記利用目的で利用いたします。ただし、年金業務、団体信託業務、証券代行業務等、企業、団体等から委託を受けて、その従業員、構成員、退職者、株主等の個人情報を取扱う場合には、それぞれの委託契約の内容等に従い、各受託業務を遂行するためにそれらの個人情報を必要な範囲に限定して利用いたします。
○ 金融商品、信託商品およびサービスの申込、相談の受付のため○ 金融商品、信託商品およびサービスに関する各種ご提案のため（ダイレクトメ
ールの発送を含む）○ 犯罪収益移転防止法に基づくご本人さまの確認等や、金融商品、信託商品およびサービスをご利用いただく資格等の確認のため○ 預金取引、融資取引、信託取引等における期日管理等、継続的なお取引における管理のため○ 融資等のお申込や継続的なご利用等に際しての判断のため○ 適合性の原則等に照らした判断等、金融商品、信託商品およびサービスの提供にかかる妥当性の判断のため○ 与信事業に際して個人情報を加盟する個人信用情報機関に提供する場合等、適切な業務の遂行に必要な範囲で第三者に提供するため○ 他の事業者等から個人情報の処理の全部または一部について委託された場合等において、委託された当該業務を適切に遂行するため○ お客さまとのご契約や法律等に基づく権利の行使や義務の履行のため
17

○ 市場調査、ならびにデータ分析やアンケートの実施等による金融商品、信託商品およびサービスの研究や開発のため○ 提携会社等の商品やサービスの各種ご提案のため○ 各種お取引の解約やお取引解約後の事後管理のため○ その他、当社の業務においてお客さまとのお取引・ご契約（信託契約、委託契約等を含む）を適切かつ円滑に履行するため
・特定の個人情報の利用目的が、法令等に基づき限定されている場合には、例えば、
次のようにその旨を明示する。
○ 銀行法施行規則第 13 条の６の６等により、個人信用情報機関から提供を受けた資金需要者の借入金返済能力に関する情報は、資金需要者の返済能力の調査
以外の目的に利用・第三者提供いたしません。
○ 銀行法施行規則第 13 条の６の７等により、人種、信条、門地、本籍地、保健医療または犯罪経歴についての情報等の特別の非公開情報は、適切な業務運営
その他の必要と認められる目的以外の目的に利用・第三者提供いたしません。
・本人から得た情報から、行動・関心等の情報を分析する場合には、例えば、次のように利用目的を特定する。
○「取得した閲覧履歴や購買履歴等の情報を分析して、趣味・嗜好に応じた新商品・サービスに関する広告のために利用いたします。
」○「取得した行動履歴等の情報を分析し、信用スコアを算出した上で、当該スコアを第三者へ提供いたします。」●個人番号の利用目的の特定の程度としては、本人が自らの個人番号がどのような目的で利用されるのかを一般的かつ合理的に予想できる程度に具体的に特定する必要があり、例えば、次のように特定する。なお、信託業務に関する個人番号の取得に係る利用目的例については、「信託業務に関する個人番号の取得に係る利用目的例について」（個第 6 号

平成 27 年 9 月 3 日）も参照。

○金融商品取引に関する法定書類作成事務○生命保険契約等に関する法定書類作成事務○損害保険契約等に関する法定書類作成事務○国外送金等取引に関する法定書類作成事務○預貯金口座付番に関する事務等●「変更前の利用目的と関連性を有すると合理的に認められる範囲」として許容される場合とは、例えば、「商品案内等を郵送」との利用目的を、「商品案内等をメール送付」に変更する場合が該当する。一方、例えば、「アンケート集計に利用」との利用目的を、「商品案内等の郵送に利用」と変更する場合は、「変更前の利用目的と関連性を有すると合理的に認められる範囲」として認められない。
●本人が想定できない変更を行う場合には、第４条（目的外利用および不適正な利用の禁止）により本人の同意を得なければならない。

18

第４条

（目的外利用および不適正な利用の禁止）

１．信託銀行等は、第３条（利用目的の特定）により特定した利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
２．信託銀行等は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
３．ただし、上記のいずれの場合も、次に掲げる場合は適用しない。
（１）予め本人の同意がある場合（２）法令に基づく場合（３）人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難である場合（４）公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難である場合（５）国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得る
ことにより当該事務の遂行に支障を及ぼすおそれがある場合（６）学術研究機関等に個人データを提供する場合であって、当該学術研究機関等
が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
４．信託銀行等は、番号法が予め限定的に定めた事務の範囲の中から、具体的な利用
目的を特定した上で、個人番号を利用するのが原則である。
５．信託銀行等は、本人の同意があったとしても、次に掲げる場合を除き、特定した利用目的以外で個人番号を利用してはならない。
・金融機関が激甚災害時等に金銭の支払を行う場合
・人の生命、身体または財産の保護のために必要がある場合であって、本人の同意があり、または本人の同意を得ることが困難である場合
６．信託銀行等が、特定個人情報ファイルを作成することができる場合は、個人番号
関係事務等を処理するために必要な範囲に限られている。法令に基づき行う顧客の支払調書作成事務等に限って、特定個人情報ファイルを作成することができるものであり、これらの場合を除き特定個人情報ファイルを作成してはならない。
７．信託銀行等は、違法または不当な行為を助長し、または誘発するおそれがある方法により個人情報を利用してはならない。
（運用上の考え方）●将来の法令の改正等により、新たに取扱いが認められる業務に関して、既存の取引に際して取得した個人情報を利用する場合にあっては、利用目的に明記した「信託銀19

行等が法令により認められた業務（今後取扱いが認められる業務を含む）」から外れない限り、特定された利用目的の達成に必要な範囲を超えないと考えられる。ただし、当該業務での個人情報の利用が、これまで信託銀行等が法令により認められていた業務での利用目的から全く想定できない場合は除く。
●本条第３項の（１）の本人の同意を得るために個人情報を利用することは、当初特定した利用目的にない場合にも、事業承継前の利用目的にない場合にも、目的外利用には当たらない。
●本条第３項の（２）には、例えば、次のような法令に基づく場合が該当する。
・民事訴訟法第 223 条(文書提出命令等)・刑事訴訟法第 197 条第 2 項（捜査関係事項照会）
・刑事訴訟法第 218 条（令状による差押え・捜索・検証）
・国税犯則取締法第１条（質問・物件の検査・領置）・所得税法第 225 条（支払調書及び支払通知書）
・国税通則法第 74 条の 2 等（当該職員の所得税等に関する調査に係る質問検査権）
・地方税法第 72 条の 63（総務省の職員の個人の事業税に関する調査に係る質問検査権）
・国税徴収法第 141 条（質問及び検査）・国税犯則取締法第 1 条等（収税官吏又は徴税吏員の行う犯則事件の任意調査）
・内国税の適正な課税の確保を図るための国外送金等に係る調書の提出等に関する法
律第４条（国外送金等調書の提出）・犯罪収益移転防止法第 8 条第 1 項（疑わしい取引の届出等）
・銀行法第 24 条（報告又は資料の提出）
・日本銀行法第 44 条（考査）・割賦販売法第 40 条（報告の徴収）
・会社法第 381 条第 3 項（親会社の監査役の子会社に対する調査への対応）
・公益信託法第 4 条（公益信託の検査、公告）・所得税法第 227 条（信託に関する計算書の提出）・相続税法第 21 条の 4（特別障害者に対する贈与税の非課税に係る障害者非課税信
託申告書の提出）
・宅地建物取引業法第 72 条（報告及び検査）・不動産の鑑定評価に関する法律第 45 条（報告および検査）
・金融商品取引法第 210 条、第 211 条等（証券取引等監視委員会の職員による犯則事
件の調査）・弁護士法第 23 条の 2（報告の請求）●本条第３項の（２）の法令に、第三者が個人情報の提供を求めることができる旨の規定はあるが、正当な事由に基づきそれに応じないことができる場合には、信託銀行等は、当該法令の趣旨に照らして目的外利用の必要性と合理性が認められる範囲内で対20

応するよう留意する。
●本条第３項の（３）には、例えば、次のような場合が該当する。
・事業者間において、暴力団等の反社会的勢力情報、振り込め詐欺に利用された口座に関する情報、意図的に業務妨害を行う者の情報について共有する場合
・不正送金等の金融犯罪被害の事実に関する情報を、関連する犯罪被害の防止のために、他の事業者に提供する場合●本条第３項の（５）には、例えば、次のような場合が該当する。ただし、「協力する必要がある」か否かは、都度信託銀行等が判断すべきであることに留意する。
・民事訴訟法第 186 条に基づく調査嘱託への回答
・民事訴訟法第 226 条に基づく文書送付嘱託への回答
・刑事訴訟法第 197 条に基づく捜査関係事項照会書への回答
・刑事訴訟法第 507 条に基づく検察官、裁判所、裁判官が裁判の執行に関して行う照会への回答
・家事事件手続法第 62 条に基づく家庭裁判所の行う調査嘱託への回答
・防犯ビデオの提出等、捜査関係への協力
・税務当局の任意調査への回答
・警察の任意調査への回答
・振り込め詐欺に利用された口座に関する情報の警察への提供
・一般統計調査への回答●（５）の協力に当たっては、信託銀行等は、任意の求めの趣旨に照らして目的外利用の必要性と合理性が認められる範囲内で対応するよう留意する。
●合併等の理由で事業を承継することに伴って、他の個人情報取扱事業者から当該事業者の顧客の特定個人情報を取得した場合には、承継前に特定されていた利用目的に従って特定個人情報を利用することができる。ただし、本人の同意があったとしても、承継前に特定されていた利用目的を超えて特定個人情報を利用してはならない。
●「違法または不当な行為」とは、法その他の法令に違反する行為、および直ちに違法とはいえないものの、法その他の法令の制度趣旨または公序良俗に反する等、社会通念上適正とは認められない行為をいう。また、「おそれ」の有無は、信託銀行等による個人情報の利用が、違法または不当な行為を助長または誘発することについて、社
会通念上蓋然性が認められるか否かにより判断する。

第５条（ダイレクト・マーケティングの中止）
信託銀行等は、本人から、ダイレクト・マーケティング（信託銀行等または信託銀行等
が個人情報を提供する先が、特定の商品またはサービスに適合する顧客を限定して行
う、ダイレクトメールの送付やテレマーケティングその他のセールス活動で、店舗等で21

直接面談して行うセールス活動を除くもの。）の目的で個人情報を利用することの中止を求められた場合には、当該目的での個人情報の利用または提供を中止しなければならない。
（運用上の考え方）●ダイレクト・マーケティングを目的とする個人情報の利用または提供を中止する場合にあっても、その他の利用目的の達成に必要な範囲で、当該個人情報を利用することを妨げない。

第６条（適正な取得）（１）個人情報の取得
信託銀行等は、偽り等の不正の手段により個人情報を取得してはらならない。
（運用上の考え方）●「不正の手段により」個人情報を取得する場合には、例えば、信託銀行等が、情報の不正取得等の不当な行為を行っている第三者から、当該情報が漏えいされた情報であること等を知った上で個人情報を取得することが該当する。
●個人情報を含む情報がインターネット等により公にされている場合であって、単にこれを閲覧するにすぎず、転記等を行わない場合は、個人情報を取得しているとは解されない。
●例えば、基礎年金番号など、法令によって原則告知を求めること等が禁止されている情報等については、書き写しやマスキングを伴わないコピーを行わないよう留意する。
（２）要配慮個人情報の取得
信託銀行等は、要配慮個人情報を取得する場合には、予め本人の同意を得なければならない。ただし、次の①から⑧までに掲げる場合については、本人の同意を得る必要はない。
①法令に基づく場合②人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき③公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき④国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して、信託銀行等が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
22

⑤学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人
情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（信託銀行等と当該学術研究機関等が共同して学術研究を行う場合に限る。）。
⑥当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、法第 57
条第１項各号に掲げる者その他施行規則で定める者により公開されている場合
要配慮個人情報が、次に掲げる者により公開されている場合は、予め本人の同意を得ることなく、当該公開されている要配慮個人情報を取得することができる。
a 本人
b 国の機関c 地方公共団体
d 放送機関・新聞社・通信社その他の報道機関（報道を業として行う個人を含む。
）
e 著述を業として行う者
f 学術研究機関等
g 宗教団体h 政治団体i 外国政府、外国の政府機関、外国の地方公共団体または国際機関
j 外国において学術研究機関等または法第 57 条第１項各号に掲げる者に相当する者⑦本人を目視し、または撮影することにより、その外形上明らかな要配慮個人情報を取得する場合⑧法第 27 条第５項各号に掲げる場合（委託、事業承継または共同利用）において、個人データである要配慮個人情報の提供を受けるとき（運用上の考え方）●上記②には、例えば、次のような場合が該当する。
・事業者間において、不正対策等のために、暴力団等の反社会的勢力情報、意図的に業務妨害を行う者の情報のうち、過去に業務妨害罪で逮捕された事実等の情報について共有する場合
・不正送金等の金融犯罪被害の事実に関する情報を、関連する犯罪被害の防止のために、他の事業者から取得する場合
・相続手続による権利義務の移転等の遂行に伴い、戸籍謄本等に記載されている要配
慮個人情報を取得する場合であって、例えば、相続人同士の関係性から、当該要配慮個人情報の本人である被相続人の親族等から同意取得ができない場合・認知症等判断能力が低下している者に対する適合性確認のために家族等から要配慮
個人情報を取得する場合
23

●上記①および④の事例・考え方は、「第４条（目的外利用および不適正な利用の禁止）」の「（運用上の考え方）」を参照。
●上記⑦には、例えば、次のような場合が該当する。
・身体の不自由な方が店舗に来店し、対応した店員がその旨をお客様対応録等に記録した場合（目視による取得）や、身体の不自由な方の様子が店舗に設置された防犯カメラに映りこんだ場合（撮影による取得）●信託銀行等が要配慮個人情報を書面または口頭等により本人から適正に直接取得する場合は、本人が当該情報を提供したことをもって、当該信託銀行等が当該情報を取得することについて本人の同意があったものと解される。
●信託銀行等が要配慮個人情報を第三者提供の方法により取得した場合、提供元が法第20 条第２項および第 27 条第１項に基づいて本人から必要な同意（要配慮個人情報の取得および第三者提供に関する同意）を取得していることが前提となるため、提供を受けた信託銀行等が、改めて本人から法第 20 条第２項に基づく同意を得る必要はな
いものと解される。
（３）個人番号の取得
信託銀行等は、個人番号関係事務または個人番号利用事務（以下「個人番号関係事務等」という。
）を処理するために必要がある場合に限って、本人または他の個人番号関係事務実施者もしくは個人番号利用事務実施者に対して個人番号の提供を求めることができる。提供を求める時期としては、個人番号関係事務等が発生した時点が原則であるが、顧客等との法律関係等に基づき、個人番号関係事務等の発生が予想される場合には、契約を締結した時点等の当該事務の発生が予想できた時点で、個人番号の提供を求めることが可能である。なお、契約内容等から個人番号関係事務等が明らかに発生しないと認められる場合には、個人番号の提供を求めてはならない。
信託銀行等は、法令により規定された場合以外には、他人の個人番号を含む特定個
人情報を収集してはならない。
信託銀行等は、本人から個人番号の提供を受ける場合には、番号法第 16 条等に基づき本人確認を行わなければならない。
（運用上の考え方）●「特定個人情報の収集｣とは、集める意思を持って自己の占有に置くことを意味し、例えば、人から個人番号を記載したメモを受け取ること、人から聞き取った個人番号をメモすること等、直接取得する場合のほか、電子計算機等を操作して個人番号を画面上に表示させ、その個人番号を書き取ること、プリントアウトすること等を含む。
一方、特定個人情報の提示を受けただけでは、「特定個人情報の収集」に当たらない。
●個人番号関係事務等に関係のない業務において、顧客から本人確認書類として個人番
号カード等が提示された場合、窓口担当者は個人番号カード等に記載された個人番号24

を書き写し、または個人番号カード等の個人番号が記載された部分をコピーして、特定個人情報を収集してはならない。
●個人番号が記載された源泉徴収票（個人情報保護法第 33 条の開示の求めに基づき本人に提供されたもの）や住民票の写し等を、例えば、住宅ローンの審査や住所変更等の個人番号関係事務に関係のない業務で利用する場合には、個人番号部分を復元できない程度にマスキングを行う等の措置を講じる必要がある。

第７条（機微（センシティブ）情報の取扱い）
１．信託銀行等は、機微（センシティブ）情報については、次に掲げる場合を除くほか、取得、利用または第三者提供を行わないこととする。
（１）法令等に基づく場合（２）人の生命、身体または財産の保護のために必要がある場合（３）公衆衛生の向上または児童の健全な育成の推進のため特に必要がある場合（４）国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合（５）法第 20 条第２項第６号に掲げる場合に機微（センシティブ）情報を取得する場
合、法第 18 条第３項第６号に掲げる場合に機微（センシティブ）情報を利用する
場合、または法第 27 条第１項第７号に掲げる場合に機微（センシティブ）情報を第三者提供する場合（６）源泉徴収事務等の遂行上必要な範囲において、政治・宗教等の団体もしくは労働組合への所属もしくは加盟に関する従業員等の機微(センシティブ)情報を取得、利用または第三者提供する場合（７）相続手続による権利義務の移転等の遂行に必要な限りにおいて、機微(センシティブ)情報を取得、利用または第三者提供する場合（８）保険業その他金融分野の事業の適切な業務運営を確保する必要性から、本人の同意に基づき業務遂行上必要な範囲で機微(センシティブ)情報を取得、利用または第三者提供する場合（９）機微（センシティブ）情報に該当する生体認証情報を本人の同意に基づき、本人確認に用いる場合
２．信託銀行等は、機微(センシティブ)情報を、第１項（１）から（９）までに定める事由により取得、利用または第三者提供する場合には、（１）から（９）までの事
由を逸脱した取得、利用または第三者提供を行うことのないよう、特に慎重に取り扱うこととする。
３．信託銀行等は、機微（センシティブ）情報を、上記の場合に取得し、利用し、または第三者提供する場合には、例えば、要配慮個人情報を取得するに当たっては、法第 20 条第 2 項に従い、予め本人の同意を得なければならないとされていることな25

ど、法令等に従い適切な対応しなければならないことに留意する。
４．信託銀行等は、機微（センシティブ）情報を第三者へ提供するに当たっては、オプ
トアウトを用いないこととする。なお、機微（センシティブ）情報のうち要配慮個人情報については、法によりオプトアウトを用いることができないとされていることに留意する。
（運用上の考え方）●本人確認資料に本籍地情報など業務遂行上必要でない｢機微（センシティブ）情報｣が記載されている場合等には、例えば、信託銀行等は当該情報を黒塗りして保存する等の措置をとることとする。
●本条第１項の（１）は、法律、政省令、条例、条約のほか、閣議決定や官公署が発出する公的な文書に基づく場合であり、例えば、次の場合が該当する。
・「障害者等の少額貯蓄非課税制度」の利用資格を確認する場合
・「特定贈与信託」の利用資格を確認する場合●本条第１項の（２）には、例えば、次の場合が該当する。
・民事介入暴力に関与する者等についての情報を取得・利用・第三者提供する場合●相続・遺言業務（遺言信託、遺言執行、遺産整理等およびそのコンサルテーション）
において、相続人（推定相続人含む）の把握のために本籍地情報を取得する場合や、遺産分割、事業承継を検討する過程で家族等の保健医療情報等を取得する場合は、本条第１項の(２)、（７）、（８）のいずれかに該当する情報であることを確認の上、業務運営上必要な範囲で取得、利用、第三者提供することに留意する。

第８条（利用目的の通知・公表・明示）
１． 信託銀行等は、個人情報を取得する場合は、予めその利用目的を公表していることが望ましい。公表していない場合は、取得後速やかに、その利用目的を、本人に通知するか、または公表しなければならない。
２． 信託銀行等は、本人との間で契約を締結すること等に伴って、本人から直接書面（電磁的記録を含む。
）に記載された当該本人の個人情報を取得する場合には、予め本人に対し、その利用目的を明示しなければならない。
３． 信託銀行等は、与信事業においては、利用目的について本人の同意を得なければならない。
４． 信託銀行等は、前２項の規定にかかわらず、人の生命、身体または財産の保護のために緊急に必要がある場合は、明示および同意を要しない。
５． 信託銀行等は、第３条（利用目的の特定）の「変更前の利用目的と関連性を有すると合理的に認められる範囲」を超えない利用目的の変更を行った場合は、変更され
26

た利用目的について、本人に通知し、または公表しなければならない。
６． 信託銀行等は、次に掲げる場合においては、上記のいずれの場合も通知、公表、明示または同意を要しない。
（１） 利用目的を本人に通知し、または公表することにより本人または第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（２） 利用目的を本人に通知し、または公表することにより信託銀行等の権利または正当な利益を害するおそれがある場合（３） 国の機関または地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、または公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき（４）取得の状況からみて利用目的が明らかであると認められる場合（運用上の考え方）●本条第１項の「個人情報を取得する場合」には、本人以外の第三者から取得する場合も該当する。
●本条第２項の「電磁的記録」には、例えば、信託銀行等のウェブサイト上や電子メー
ルで個人情報を取得する場合が該当する。
●本条第２項の「明示」とは、本人に対し、その利用目的を明確に示すことをいい、事業の性質および個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法による必要がある。
●本条第２項の「明示」の方法には、例えば、次のような方法がある。ただし、いずれの方法においても明示したことの記録を残すことが望ましい。
・利用目的を記載した書面で明示する方法
・ポスター等の掲示により明示する方法
・パンフレット・チラシの配付等により明示する方法
・インターネット等の画面で明示する方法●本条第２項の「明示」する対象は、取得した個人情報の利用目的である。「明示」する方法は、当該書面に記載された個人情報の利用目的のみを示す方法と、第３条（利用目的の特定）により特定した包括的な利用目的の全部または一部を示す方法のいずれでもよい。
●本条第３項の与信事業に際して個人情報を取得する場合には、契約書等における利用
目的は他の契約条項等と明確に分離して記載するよう留意する。
●本人に対して取引申込時等に利用目的を明示している場合であって、当該取引に関して追加的に提出を受けた書面に記載された個人情報の利用目的が当初示した利用目的の範囲にあるときなど、書面に記載された個人情報の利用目的を予め本人に対し明示しているときには、当該個人情報を取得する都度改めて利用目的の明示を行う必要はない。
27

●本条６項の（１）には、例えば、次のような場合が該当する。
・暴力団等の反社会的勢力情報、疑わしい取引の届出の対象情報、振り込め詐欺に利用された口座に関する情報、業務妨害行為を行う悪質者情報の提供者が逆恨みを買うおそれがある場合●本条６項の（２）には、例えば、次のような場合が該当する。
・開発中の新サービス、営業ノウハウが明らかになることにより、企業の健全な競争を害する場合・暴力団等の反社会的勢力情報、疑わしい取引の届出の対象情報、振り込め詐欺に利用された口座に関する情報、業務妨害行為を行う悪質者情報を取得したことが明らかになることにより、情報提供を受けた企業に害が及ぶ場合●本条６項の（３）には、例えば、次のような場合が該当する。
・犯罪捜査への協力のため、被疑者等に関する情報を取得した場合●本条６項の（４）には、例えば、次のような場合が該当する。
・契約書に記載されている個人情報を契約上の権利行使や義務の履行にのみ利用す
る場合
・振込取引において、振込依頼人や振込先の情報を取得する場合で、当該情報を当
該振込取引にのみ利用する場合
・両替の申込用紙に記載された申込者の情報を取得する場合で、当該情報を当該両替取引にのみ利用する場合
・電話等での資料請求に対して、請求者が提供した住所および氏名に関する情報を請求された資料の送付のみに利用する場合
・今後連絡を取り合うために名刺交換をした場合
・着信において相手方の電話番号が非通知でない場合で、同じ用件で当方から相手方に電話を掛け直す場合
・一般の慣行として名刺を交換する場合、直接本人から、氏名・所属・肩書・連絡先等の個人情報を取得することとなるが、その利用目的が今後の連絡や、所属する会社の広告宣伝のための冊子や電子メールを送付するという利用目的である
ような場合

28

第３章

データ内容の正確性の確保等

第９条（データ内容の正確性の確保等）
１．信託銀行等は、利用目的の達成に必要な範囲内において、個人情報データベース
等への個人情報の入力時の照合・確認の手続の整備、誤り等を発見した場合の訂正等の手続の整備、記録事項の更新、保存期間の設定等を行うことにより、個人デー
タを正確かつ最新の内容に保つよう努めなければならない。
２．信託銀行等は、保有する個人データの利用目的に応じ保存期間を定め、当該期間を経過した場合、保有する個人データについて利用する必要がなくなったとき、すな
わち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合、または利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等は、当該個人データを遅滞なく消去するよう努めなければならない。なお、法令の定めにより保存期間等が定められている場合は、この限りではない。
３．個人番号は、番号法に明記された事務を処理するために保管されるものであるから、信託銀行等は、それらの事務を行う必要がある場合に限り特定個人情報を保管し続けることができる。
４．個人番号が記載された書類等については、所管法令によって一定期間保存が義務付けられているものがあるが、これらの書類等に記載された個人番号については、その期間保管することとなる。
５．本条第３項に基づき保管する特定個人情報および本条第４項に基づき保管する書類等に記載された個人番号（以下「個人番号等」という。）の保管の必要がなくなった場合であって、所管法令において定められている保存期間を経過した場合には、個人番号等をできるだけ速やかに廃棄または削除しなければならない。なお、その個人番号部分を復元できない程度にマスキングまたは削除した上で保管を継続することは可能であるが、それが個人データに該当する場合において、利用する必要がなくなったときは、その個人データを遅滞なく消去するよう努めなければならない。
（運用上の考え方）●本条第１項の個人データを正確かつ最新の内容に保つ方法には、例えば、次のような方法がある。
・顧客等に対して正確かつ最新のデータ提供を働きかける方法
・顧客等から提出される取引開始時の各種届出や、取引開始後の変更届について、本人確認等の実務の一環として当該届出内容の正確性を確認する方法
・顧客等からの届出内容について、迅速かつ正確に個人情報データベース等に反映する方法
29

●保有する個人データを一律にまたは常に最新化する必要はなく、それぞれの利用目的に応じて、その必要な範囲内で正確性・最新性を確保すれば足りる。
●本条第２項の「保存期間」には、合理的な理由を伴う永久保存も該当する。
●「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む。

30

第４章

安全管理措置第１０条（安全管理措置）
１．安全管理措置
信託銀行等は、個人データ（個人番号および特定個人情報を含む。本条において同じ。）の漏えい、滅失または毀損（以下「漏えい等」という。）の防止その他の個人
データの安全管理のために必要かつ適切な措置を講じなければならない。
なお、「その他の個人データの安全管理のために必要かつ適切な措置」には、信託銀行等が取得し、または取得しようとしている個人情報であって、当該信託銀行等が個人データとして取り扱うことを予定しているものの漏えい等を防止するために必要かつ適切な措置も含まれる。
また、必要かつ適切な措置は、個人データの取得・利用・保管等の各段階に応じた「組織的安全管理措置」、「人的安全管理措置」、「物理的安全管理措置」、「技術的安全管理措置」および「外的環境の把握」を含むものでなければならない。
（運用上の考え方）●信託銀行等は、外国において個人データを取り扱う場合には、外的環境を把握した上で、個人データの安全管理のために必要かつ適切な措置を講じなければならない。
●必要かつ適切な措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模および性質、個人データの取扱状況および個人デー
タを記録した媒体の性質等に起因するリスクに応じたものとする。
２．従業者の監督
信託銀行等は、個人データの安全管理が図られるよう、適切な内部管理体制を構築し、その従業者に対する必要かつ適切な監督を行わなければならない。
（運用上の考え方）●「必要かつ適切な監督」は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質、個人データの取扱状況等に起因するリスクに応じたものとする。
●「従業者」とは、信託銀行等の組織内にあって直接または間接に信託銀行等の指揮監督を受けて信託銀行等の業務に従事している者をいい、雇用関係にある従業者（正社
員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、信託銀行等との間の雇用関係にない者（取締役、執行役、理事、監査役、監事、派遣社員等）も含まれる。
●信託銀行等は、次に掲げる体制整備等により、従業者に対し必要かつ適切な監督を行わなければならない。
31

・従業者が、在職中およびその職を退いた後において、その業務に関して知り得た個
人データを第三者に知らせ、または利用目的外に使用しないことを内容とする契約
等を採用時等に締結すること。
・個人データの適正な取扱いのための取扱規程の策定を通じた従業者の役割・責任の明確化および従業者への安全管理義務の周知徹底、教育および訓練を行うこと。
・従業者による個人データの持出し等を防ぐため、社内での安全管理に係る取扱規程に定めた事項の遵守状況等の確認および従業者における個人データの取扱状況の点検および監査制度を整備すること。
３．委託先の監督（１）個人データの取扱いの委託
信託銀行等は、個人データの取扱いの全部または一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
（運用上の考え方）●「必要かつ適切な監督」は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模および性質ならびに個人データの取扱状況等に起因するリスクに応じたものとする。
●「委託」には、契約の形態や種類を問わず、信託銀行等が他の者に個人データの取扱
いの全部または一部を行わせることを内容とする契約の一切を含み、例えば、次のようなケースがある。
・データ処理・加工の委託・事務処理の委託
・個人データ保管・廃棄の委託
なお、委託契約の条項等によって受託者が個人データを取り扱わない旨が定められており、適切なアクセス制御が行われている場合には、個人データの取扱いの委託には該当しない。
●信託銀行等は、個人データの取扱いを委託するに当たっては、利用目的の達成に必要な範囲内で行う。
●信託銀行等は、個人データを適正に取り扱っていると認められる者を選定し委託するとともに、取扱いを委託する個人データの安全管理が図られるよう、個人データの安全管理のための措置を委託先においても確保しなければならない。なお、二段階以上の委託が行われた場合には、委託先の事業者が再委託先等の事業者に対して十分な監督を行っているかについても監督を行わなければならない。具体的には、信託銀行等
は、例えば、次に掲げる措置を実施する。
・個人データの安全管理のため、委託先における組織体制の整備および安全管理に係
32

る基本方針・取扱規程の策定等の内容を委託先選定の基準に定め、当該基準を定期的に見直さなければならない。なお、委託先の選定に当たっては、必要に応じて個
人データを取り扱う場所に赴く方法（テレビ会議システム等（映像と音声の送受信により相手の状態を相互に認識できる方法をいう。以下、同じ。）またはこれに代わる合理的な方法による確認を行った上で、個人データ管理責任者等が適切に評価することが望ましい。
・委託者の監督・監査・報告徴収に関する権限、委託先における漏えい等の防止および目的外利用の禁止、再委託に関する条件および漏えい等事案が発生した場合の委託先の責任を内容とする安全管理措置を委託契約に盛り込むとともに、定期的に監査を行う等により、定期的または随時に当該委託契約に定める安全管理措置等の遵守状況を確認し、当該安全管理措置を見直さなければならない。なお、委託契約に定める安全管理措置等の遵守状況については、個人データ管理責任者等が、当該安全管理措置等の見直しを検討することを含め、適切に評価することが望ましい。
●委託先が再委託を行おうとする場合は、委託元は委託を行う場合と同様、再委託の相手方、再委託する業務内容および再委託先の個人データの取扱方法等について、委託先に事前報告または承認手続を求め、かつ、直接または委託先を通じて定期的に監査を実施する等により、委託先が再委託先に対して委託先の監督を適切に果たすこと、再委託先が法に基づく安全管理措置を講ずることを十分に確認することが望ましい。再委託先が再々委託を行う場合以降も、再委託を行う場合と同様とする。
（２）個人番号関係事務の委託
個人番号関係事務の全部または一部の委託をする信託銀行等は、委託先において、番号法に基づき委託者自らが果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行わなければならない。
「必要かつ適切な監督」には、委託先の適切な選定、安全管理措置に関する委託契約の締結および委託先における特定個人情報の取扱状況の把握が含まれる。
個人番号関係事務の全部または一部の「委託を受けた者」は、委託者の許諾を得た場
合に限り、再委託を行うことができる。再委託を受けた者は、個人番号関係事務の「委託を受けた者」とみなされ、最初の委託者の許諾を得た場合に限り、更に再委託することができる。
（運用上の考え方）●「番号法に基づき委託者自らが果たすべき安全管理措置と同等の措置」とは、番号法が求める水準の安全管理措置を講ずるものであり、例えば、委託元である信託銀行等
が法令・ガイドライン等で求められる以上の高度の措置をとっている場合にまで、それと同等の措置を求めているものではない。

33

第５章

個人データの第三者への提供

第１１条（第三者提供）
１．信託銀行等が、取得した個人データを第三者へ提供する場合は、次に掲げる場合を除き、予め本人の同意を得なければならない。
（１）法令に基づく場合（２）人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難である場合（３）公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難である場合（４）国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがある場合（５）学術研究機関等が個人データを提供する場合であり、かつ、当該学術研究機関等と共同して学術研究を行う第三者（学術研究機関等であるか否かを問わない。）に
当該個人データを学術研究目的で提供する必要がある場合（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（６）学術研究機関等が個人データの第三者提供を受ける場合であり、かつ、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要がある場合（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）
２．本条第１項の規定のとおり、個人データについては、本人の同意がある場合や法令の規定に基づく場合等には、第三者に提供することができるが、特定個人情報については、番号法で規定されている場合を除き、提供してはならない。

（運用上の考え方）●本条第１項の｢第三者提供される個人データ｣には、例えば、公開情報も該当する。
●信託銀行等が、例えば次のように、取得した個人データを提供する際は、第１１条.（第三者提供）（同意があるものとみられる場合を含む）、第１２条（オプトアウトによる第三者提供）、第１３条（委託）、第１４条（事業の承継）および第１５条 （共同利用）のいずれに該当するかに応じ必要な対応をとることとする。
・口座振替における収納企業への口座振替結果情報の提供
・財形信託、財形給付金信託等における提携企業への残高情報等の提供
・振込受取人への振込依頼人情報の提供
・ローン取引で、主債務者の委託を受けて保証人となっている信用保証会社、カード会社、消費者金融会社への情報提供
34

・ローン取引での信用保証協会への情報提供
・ローン提携の不動産会社（住宅ローン等）、企業（職域提携ローン等）への情報提供
・国・地方公共団体（利子補給ローン等）への情報提供
・引受保険会社（生命保険会社、損害保険会社）への保険契約申込情報等の提供
・SPC やサービサー等に債権譲渡する際の情報提供
・債権譲渡の事前協議やデュー・デリジェンスにおける相手先、格付機関、会計事
務所等への情報の提供（結果的に譲渡が行われなかった場合も含む）
・連帯保証人への主債務者の債務残高等の情報の提供
・投資信託、保険、債券、株式等の金融商品のプロバイダーへの購入申込情報の提供・公益信託における運営委員会等への助成先に関する情報の提供
・公益信託における助成先等への運営委員に関する情報の提供●信託銀行等が取得した個人データを第三者に提供することが、取引上当然に予想されることにより、本人の同意があるものとみられる場合がある。ただし、こうした場合であっても、個人データを提供する第三者、提供を受けた第三者における利用目的、
第三者に提供される情報の内容を記載した書面等により、本人の明示的な同意を得ることが望ましい場合もある。
●｢同意文言を記載した書面｣は、文字の大きさおよび文章の表現を変えること等により、個人情報の取扱いに関する条項が他と明確に区別され、本人に理解されるようにするか、または、確認欄を設け本人がチェックを行う等、本人の意思が明確に反映できるものとする。また、当該書面における記載を通じて、次の事項を本人に認識させた上で同意を得ることとする。
・個人データを提供する第三者・提供を受けた第三者における利用目的
・第三者に提供される情報の内容
同意を得ようとする時点において、個人データを提供する第三者が特定できない場
合には、これに代わる本人に参考となるべき情報（例えば、提供先の第三者の範囲や属性に関する情報。
）を本人に認識させた上で、同意を得ることとする。
●（１）、（２）および（４）の事例・考え方は「第 4 条（目的外利用および不適正な利
用の禁止）
」の「
（運用上の考え方）」を参照のこと。
●個人信用情報機関に対して個人データが提供される場合には、個人信用情報機関を通じて当該機関の会員企業にも情報が提供されることとなるため、個人信用情報機関に
個人データを提供する信託銀行等が本人の同意を得ることとする。本人から同意を得るに当たっては、本人が、個人データが個人信用情報機関を通じて当該機関の会員企業にも提供されることを明確に認識した上で、同意に関する判断を行うことができる
ようにすることとする。このため、信託銀行等は、同意を得る書面に、「個人データを35

提供する第三者」、「提供を受けた第三者における利用目的」、「第三者に提供される情報の内容」のほか、個人データが当該機関の会員企業にも提供される旨の記載および当該機関の会員企業として個人データを利用する者の表示を行うこととする。
●上記の「当該機関の会員企業として個人データを利用する者」の表示は、「当該機関の会員企業として個人データを利用する者」の外延を本人に客観的かつ明確に示すものであることが必要であり、会員企業の名称を記載する方法もしくは当該機関の規約等および会員企業名を常時公表しているウェブサイト（苦情処理の窓口の連絡先等、「第９章

個人情報保護宣言の制定」の内容を記載したもの）のＵＲＬを記載する方法等により、本人が同意の可否を判断するに足りる具体性をもって示すことをいう。
また、本人に表示する個人信用情報機関の規約等においては、機関の加入資格および会員企業の外延が明確に示されるとともに、個人データの適正管理、情報の目的外利用の防止等の観点から、安全管理体制の整備、守秘義務の遵守および違反に対する制裁措置等を明確に記載することが適切である。
●信託銀行等は、個人信用情報機関から得た資金需要者の返済能力に関する情報については、当該資金需要者の返済能力の調査以外の目的に使用することのないよう、慎重に取り扱うこととする。
●信託銀行等が特定個人情報を提供できる場合として、番号法第 19 条各号に規定しているものには、例えば、次の場合がある。
・個人番号関係事務等の処理に係る法令に基づく税務署長等への提供
・委託または合併に伴う提供・株式等振替制度を活用した提供
・番号法の規定に基づく特定個人情報の提出の求めがあった場合の提供（提供義務）
・各議院審査等その他公益上の必要があるときの提供
・人の生命、身体または財産の保護のための提供
・使用者等から他の使用者等に対する従業者等に関する特定個人情報の提供

第１２条（オプトアウトによる第三者提供）
１． 信託銀行等は、個人データの第三者への提供に当たり、第３項①から⑨までに掲げる事項を予め本人に通知し、または本人が容易に知り得る状態に置くとともに、個
人情報保護委員会に届け出た場合には、「第１１条（第三者提供）」の規定にかかわらず、予め本人の同意を得ることなく、個人データを第三者に提供することができる。
２．信託銀行等は、法第 27 条第２項に基づき、必要な事項を個人情報保護委員会に届け出たときは、その内容を自らもインターネットの利用その他の適切な方法により公表するものとする。
３．信託銀行等は、与信事業に係る個人の返済能力に関する情報を個人信用情報機関へ36

提供する場合や機微（センシティブ）情報を第三者へ提供する場合には、オプトア
ウトを用いないこととする。なお、要配慮個人情報、法 20 条 1 項の規定に違反して取得されたものおよび他の個人情報取扱事業者からオプトアウトにより提供されたもの（その全部または一部を複製し、または加工したものを含む。）は、法第27 条第 2 項のとおり、オプトアウトにより第三者に提供することはできないので注意を要する。
①第三者への提供を行う個人情報取扱事業者の氏名または名称および住所ならびに法人にあっては、その代表者の氏名（法人でない団体で代表者または管理者の定めがあるものにあっては、その代表者または管理人）②第三者への提供を利用目的とすること③第三者に提供される個人データの項目④第三者に提供される個人データの取得の方法⑤第三者への提供の方法（例）・インターネットに掲載
・プリントアウトして交付
・各種通信手段による配信
・その他外部記録媒体の形式での交付⑥本人の求めに応じて第三者への提供を停止すること⑦本人の求めを受け付ける方法（例）
・郵送
・メール送信・ウェブサイト上の指定フォームへの入力
・支店の窓口での受付
・電話⑧第三者に提供される個人データの更新の方法⑨オプトアウトにより個人データの第三者への提供を開始する予定日
４．信託銀行等は、オプトアウトにより個人データの第三者提供を行っている場合であって、上記①の事項に変更があったとき、またはオプトアウトによる個人データの提供をやめたときは遅滞なく、上記③から⑤まで、上記⑦から⑨を変更しようとするときは予め、その旨について、本人に通知し、または本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。なお、信託銀行
等は、法第 27 条第３項に基づき、必要な事項を個人情報保護委員会に届け出たときは、その内容を自らも公表するものとする。

37

（運用上の考え方）●オプトアウトによる第三者提供を行う際は、本条第３項①から⑨までに掲げる事項を予め、第三者に提供される個人データによって識別される本人が当該提供の停止を求めるのに必要な期間をおかなければならない（施行規則第 11 条第１項第１号）ため、本人に通知しまたは本人が容易に知り得る状態に置いた時点から、極めて短期間の後に、第三者提供を行ったような場合は、「本人が当該提供の停止を求めるのに必要な期間」をおいていないと判断され得る。
●「本人が当該提供の停止を求めるのに必要な期間」の具体的な期間については、業種、ビジネスの態様、通知または容易に知り得る状態の態様、本人と信託銀行等との近接性、本人から停止の求めを受け付ける体制、提供される個人データの性質などによっても異なり得るため、個別具体的に判断する必要がある。
●「本人が容易に知り得る状態」とは、事業所の窓口等への書面の掲示・備付けやウェ
ブサイトへの掲載その他の継続的方法により、本人が知ろうとすれば、時間的にも、その手段においても、簡単に知ることができる状態をいい、事業の性質および個人情報の取扱状況に応じ、本人が確実に認識できる適切かつ合理的な方法によらなければならない。
「本人が容易に知り得る状態」とは、例えば、次の事例があげられる。
・信託銀行等のウェブサイトへの継続的な掲載
・店頭での継続的なポスターの掲示、書面の備え付け
・パンフレットの継続的な配付●なお、「第３条（利用目的の特定）」により特定された当初の利用目的に、個人情報の第三者提供に関する事項が含まれていない場合は、第三者提供を行うと目的外利用となるため、オプトアウトによる第三者提供を行うことはできない。

第１３条（委託）
１．信託銀行等が、利用目的の達成に必要な範囲内において、個人データの取扱いに関する業務の全部または一部を委託することに伴い、当該個人データが提供される場
合においては、当該提供先は第三者に該当しないものとする。

38

第１４条（事業の承継）
１．信託銀行等が、合併、分社化、事業譲渡等により事業が承継されることに伴い、当該事業に係る個人データを提供する場合は、当該提供先は第三者に該当しない。
２．事業の承継後も、個人データが当該事業の承継により提供される前の利用目的の範囲内で利用しなければならない。
３．事業の承継のための契約を締結するより前の交渉段階で、相手会社から信託銀行等の調査を受け、信託銀行等の個人データを相手会社へ提供する場合も、あらかめ本
人の同意を得ることなくまたは第三者提供におけるオプトアウト手続を行うことなく、個人データを提供することができるが、当該データの利用目的および取扱方法、漏えい等が発生した場合の措置、事業承継の交渉が不調となった場合の措置等、相手会社に安全管理措置を遵守させるために必要な契約を締結しなければならない。

第１５条（共同利用）
１． 信託銀行等が、特定の者との間で共同して利用される個人データを当該特定の者に提供する場合であって、次に掲げる事項について、予め本人に通知し、または適切な方法により本人が容易に知り得る状態に置いているときには、当該個人データの提供を受ける者は、第三者に該当しないものとする。
（１）利用目的の範囲内において個人データを特定の者と共同利用する旨（２）共同利用される個人データの項目（３）共同利用者の範囲（４）共同利用者の利用目的（５）個人データの管理責任者の氏名または名称、住所および代表者（法人でない団体
で代表者または管理者の定めがあるものにあっては、その代表者または管理人）の氏名
２． 信託銀行等は、個人データを共同利用する場合において、「共同利用者の利用目的」
については、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内で変更することができ、「個人データの管理責任者」についても変更することができるが、いずれも変更する前に、変更しようとする内容について、本人に通知し、または本人が容易に知り得る状態に置かなければならない。
個人データの管理責任者の氏名、名称、住所、代表者の氏名に変更があったときには、遅滞なく、当該変更後の内容について、本人に通知し、または本人が容易に知り得る状態に置かなければならない。
３．特定個人情報については、共同利用を行うことはできない。

39

（運用上の考え方）●「共同利用」には、例えば、次のようなケースがある。
・グループ会社等による共同利用（総合的サービスの提供、リスク管理など）
・信用保証会社との共同利用●本条第１項の「本人が容易に知り得る状態」とは、例えば、次のようなものが該当する。
・信託銀行等のウェブサイトへの継続的な掲載
・店頭での継続的なポスターの掲示、書面の備え付け
・パンフレットの継続的な配付●本条第１項の（３）は、事業者名を全て個別に列挙することが望ましいが、個別に列挙しない場合には、本人から見て、共同して利用する者の範囲の外延が明確であることが求められ、例えば、次のような記載方法がある。
・当社および有価証券報告書等に記載されている、当社の子会社
・当社ならびに有価証券報告書等に記載されている、当社の連結対象会社および持分法適用会社
・当社ならびに当社の持株会社たる持株会社○○および有価証券報告書等に記載されている同社の関係会社●上記の場合であっても、信託銀行等のウェブサイトに事業者名を記載する等により、共同利用者の範囲をより分かりやすく示すことが望ましい。
●本条第１項の（５）の「管理責任者」とは、開示等の請求および苦情を受け付け、その処理に尽力するとともに、個人データの内容等について、開示、訂正、利用停止等の権限を有し、安全管理等個人データの管理について責任を有する者をいう。なお、
ここでいう「責任を有する者」とは、共同して利用する全ての事業者の中で、第一次的に苦情の受付・処理、開示・訂正等を行う権限を有する者をいい、共同利用者のうち一事業者の内部の担当責任者をいうものではない。また、管理責任者以外の共同利用を行う者における安全管理責任等が免除されるわけではないことに留意する。
●既に特定の事業者が取得している個人データを他の事業者と共同して利用する場合には、既に取得している事業者が第３条（利用目的の特定）に基づき特定した利用目的の範囲で共同して利用しなければならない。
●「共同利用者の利用目的」を変更するに当たっては、第３条（利用目的の特定）を参照のこと。
●共同利用の対象となる個人データの提供については、必ずしも全ての共同利用者が双方向で行う必要はなく、一部の共同利用者に対し、一方向で行うこともできる。

40

第１６条（外国にある第三者への提供）（１）総論
信託銀行等は、個人データを外国にある第三者に提供するに当たっては、次の①から③のいずれかに該当する場合を除き、予め「外国にある第三者への個人データの提供を認める旨の本人の同意」を得なければならない。
①当該第三者が、わが国と同等の水準にあると認められる個人情報保護制度を有している国として施行規則で定める国にある場合②当該第三者が、個人情報取扱事業者が講ずべき措置に相当する措置（以下「相当措置」という。）を継続的に講ずるために必要な体制として施行規則で定める基準に適合する体制を整備している場合③第１１条（第三者提供）の（１）から（６）に定める場合
また、信託銀行等は、当該同意を得ようとする場合には、予め、次の①～③の情報を、
電磁的記録の提供による方法、書面の交付による方法その他適切な方法により、当該本人に提供しなければならない。
①当該外国の名称②適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報③当該第三者が講ずる個人情報の保護のための措置に関する情報
上記①の特定ができない場合、信託銀行等は、上記①および②に代えて、ア）上記①が特定できない旨およびその理由（提供先が定まる前に同意を得る必要性を含む）、
イ）上記①の事項に代わる本人に参考となるべき情報（移転先となる外国の候補を含む）がある場合には、当該情報を提供しなければならない。
また、上記③の事項について情報提供できない場合には、当該事項に代えて、その旨およびその理由について情報提供しなければならない。
信託銀行等が本人の同意を得る際には、書面における記載を通じて、次の事項を本人に認識させた上で同意を得ることとする。
・個人データを提供する第三者・提供を受けた第三者における利用目的
・第三者に提供される情報の内容
同意を得ようとする時点において、個人データを提供する第三者が特定できない場合には、これに代わる本人に参考となるべき情報（例えば、提供先の第三者の範囲や属性に関する情報）を本人に認識させた上で、同意を得ることとする。
信託銀行等は、事後的に提供先の第三者が所在する外国を特定できた場合は、本人の41

求めに応じて、上記①および②の情報を提供することとする。また、事後的に提供先の第三者が講ずる個人情報の保護のための措置についての情報提供が可能となった
場合は、本人の求めに応じて、上記③の情報を提供することとする。このような情報提供の求めが可能である旨を、上記書面における記載を通じて本人に認識させるとともに、「個人情報保護宣言」に記載の上、インターネットのホームページへの常時掲
載または事務所の窓口等での掲示・備付け等により、公表することとする。ただし、本人から情報提供の求めがあった場合であっても、例えば、情報提供することにより信託銀行等の業務の適正な実施に著しい支障を及ぼすおそれがある場合等は、上記①から③の全部または一部について情報提供しないことができる。情報提供しない場合であっても、信託銀行等は、本人に対し、遅滞なくその旨を通知するとともに、その理由を説明することとする。
また、事後的に提供先の第三者が所在する外国を特定できた場合には、信託銀行等は、当該外国の名称をインターネットのホームページへの掲載等により、公表するとともに、定期的に更新することが望ましい。
（運用上の考え方）●通常の個人データの第三者提供とは異なり、委託、事業承継または共同利用に伴って外国にある第三者に個人データを提供する場合には、本規律が適用される点に留意が必要である。
●外国にある第三者が、上記①または②に該当すれば、当然に個人データを第三者に提供できるわけではなく、その場合には、「第５章個人データの第三者への提供」に基づき、外国にある第三者に個人データを提供することとなる。
●「外国にある第三者」の「第三者」には、外国政府なども含まれる。
●法人の場合には、個人データを提供する事業者と別の法人格を有するかどうかで「外国にある第三者」の「第三者」に該当するかを判断する。例えば、日本企業が、外国の法人格を取得している当該企業の現地子会社に個人データを提供する場合には、当該日本企業にとって「外国にある第三者」への個人データの提供に該当するが、現地の事業所、支店など同一法人格内での個人データの移動の場合には「外国にある第三者」への個人データの提供には該当しない。
●外国の法令に準拠して設立され外国に住所を有する外国法人であっても、当該外国法人が日本国内で個人情報データベース等を事業の用に供している「個人情報取扱事業者」に該当する場合には、「外国にある第三者」には該当しない。例えば、外国法人であっても、日本国内に事務所を設置している場合、または、日本国内で事業活動を行っている場合など、日本国内で「個人情報データベース等」を事業の用に供していると認められるときは、当該外国法人は、「個人情報取扱事業者」に該当するため、「外国にある第三者」には該当しない。
42

●上記①の「当該外国の名称」は、提供先の第三者が所在する外国の名称をいう。必ずしも正式名称を求めるものではないが、本人が自己の個人データの移転先を合理的に認識できると考えられる名称でなければならない。
●上記②の「適切かつ合理的な方法」には、提供先の外国にある第三者に対して照会す
る方法、我が国または外国の行政機関等が公表している情報を確認する方法などが含まれる。
●上記②の「外国における個人情報の保護に関する制度に関する情報」は、提供先の第三者が所在する外国における個人情報の保護に関する制度と我が国の個人情報保護法との間の本質的な差異を本人が合理的に認識できる情報である必要があり、(ｱ)当
該外国における個人情報の保護に関する制度の有無、(ｲ)当該外国の個人情報の保護に関する制度についての指標となり得る情報の存在、(ｳ)OECD プライバシーガイドラ
イン 8 原則に対応する事業者の義務または本人の権利の不存在、(ｴ)その他本人の権利利益に重大な影響を及ぼす可能性のある制度の存在の観点を踏まえる必要がある。
●上記③の「当該第三者が講ずる個人情報の保護のための措置に関する情報」は、当該外国にある第三者が講ずる個人情報の保護のための措置と個人情報保護法により個
人データの取扱いについて個人情報取扱事業者に求められる措置との間の本質的な差異を本人が合理的に認識できる情報でなければならない。具体的には、当該外国にある第三者において、OECD プライバシーガイドライン 8 原則に対応する措置（本人の権利に基づく請求への対応に関する措置を含む。）を講じていない場合には、当該講じていない措置の内容について、本人が合理的に認識できる情報が提供されなければならない。また、提供先の外国にある第三者が、OECD プライバシーガイドライン 8
原則に対応する措置を全て講じている場合には、その旨を本人に情報提供すれば足りる。
●本人の同意を得る際に、信託銀行等が予め作成した同意書面を用いる場合には、文字の大きさおよび文章の表現を変えること等により、個人情報の取扱いに関する条項が他と明確に区別され、本人に理解されることが望ましい。
●例えば、本人の同意を得ようとする時点において、移転先となる外国の候補が具体的に定まっており、当該候補となる外国の名称等、外国の名称に代わる本人に参考となるべき情報の提供が可能であるにもかかわらず、これを本人に情報提供しなかった場
合は、適法な情報提供とは認められない。したがって、この場合、信託銀行等は本人に改めて必要な事項を提供した上で、外国にある第三者への個人データの提供を認める旨の本人の同意を得なければならない。
●情報提供により信託銀行等の業務の適正な実施に著しい支障を及ぼすおそれがある場合には、例えば、同一の本人から複雑な対応を要する同一内容について繰り返し情報提供の求めがあり、事実上問合せ窓口が占有されることによって他の問合せ対応業
務が立ち行かなくなる等、業務上著しい支障を及ぼすおそれがある場合などが含まれる。
43

（２）個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準（１）の②の「個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制」の基準は次に掲げるいずれかを指す。
①信託銀行等と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第４章第２節の規定の趣旨に沿った措置の実施が確保されていること。
②個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。
信託銀行等は、上記に従い、外国にある第三者に個人データを提供する場合には、当該提供の時点で、当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無および内容、当該制度がある場合においては、当該第三者による相当措置の継続的な実施の確保の可否を、適切かつ合理的な方法により、確認しなければならない。
信託銀行等は、上記に従い外国にある第三者に個人データを提供した場合には、提供先の第三者が所在する外国の名称をインターネットのホームページへの掲載等により、公表するとともに、定期的に更新することが望ましい。
（運用上の考え方）●①の「適切かつ合理的な方法」は、個々の事例毎に判断されるべきであるが、個人データの提供先である外国にある第三者が、わが国の個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずることを担保することができる方法である必要がある。例えば、次の事例が該当する。
・外国にある事業者に個人データの取扱いを委託する場合には、提供元および提供先間の契約、確認書、覚書等・同一の企業グループ内で個人データを移転する場合には、提供元および提供先に共通して適用される内規、プライバシーポリシー等●①の「法第４章第２節の規定の趣旨に沿った措置」とは、次の表に掲げるものである。
法の該当条文項目

第 17 条利用目的の特定第 18 条利用目的による制限

第 19 条不適正な利用の禁止

第 20 条

適正な取得

第 21 条取得に際しての利用目的の通知等
44

第 22 条

データ内容の正確性の確保等

第 23 条

安全管理措置

第 24 条

従業者の監督第 25 条

委託先の監督第 26 条漏えい等の報告等

第 27 条

第三者提供の制限

第 28 条外国にある第三者への提供の制限

第 32 条保有個人データに関する事項の公表等

第 33 条開示第 34 条

訂正等

第 35 条

利用停止等

第 36 条

理由の説明

第 37 条

開示等の請求等に応じる手続

第 38 条

手数料

第 40 条

個人情報取扱事業者による苦情の処理●信託銀行等は、契約等に上記の事項を規定しなければならないものではなく、「法第4 章第 2 節の規定の趣旨」に鑑みて、実質的に適切かつ合理的な方法により、措置の実施が確保されていれば足りる。
●②の「個人情報の取扱いに係る国際的な枠組みに基づく認定」とは、国際機関等において合意された規律に基づき権限のある認証機関等が認定するものをいい、例えば、提供先の外国にある第三者が、APEC の越境プライバシールール（CBPR）システムの認証を得ていることが該当する。
●相当措置の実施に影響を及ぼすおそれのある外国の制度として、次に掲げる例が考えられる。
・事業者に対し政府の情報収集活動への広範な協力義務を課すことにより、事業者が保有する個人情報について政府による広範な情報収集が可能となる制度（※）
・事業者が本人からの消去等の請求に対応できないおそれがある個人情報の国内保存義務に係る制度※事業者が保有する個人情報について政府による情報収集が可能となる制度に関して、本人の権利利益に重大な影響を及ぼす可能性のある制度に該当するか否かを判断するに当たっては、例えば、OECD「民間部門が保有する個人データに対するガバメントアクセスに関する宣言」（2022 年）を参照することが考えられる。
（３）相当措置の継続的な実施を確保するために必要な措置
上記（２）の相当措置を継続的に講ずるために必要な体制として施行規則で定める基準に適合する体制を整備している場合に該当するとして、信託銀行等が個人データを
外国にある第三者に提供する場合には、信託銀行等は、次の措置を講じなければなら45

ない。
①当該第三者による相当措置の実施状況ならびに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無およびその内容を、適切かつ合理的な方法により定期的に確認すること②当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データの当該第三者への提供を停止すること
また、信託銀行等は、本人の求めに応じて、次に掲げる情報を、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法により提供しなければならない。
・当該第三者による法第 28 条第１項に規定する体制の整備の方法
・当該第三者が実施する相当措置の概要
・信託銀行等による確認の頻度および方法
・当該外国の名称
・当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無およびその概要
・当該第三者による相当措置の実施に関する支障の有無およびその概要
・上記の支障に関して信託銀行等が講ずる措置の概要
信託銀行等は、上記のとおり、本人の求めに応じて事後的に情報を提供する旨を「個人情報保護宣言」に記載の上、インターネットのホームページへの常時掲載または事務所の窓口等での掲示・備付け等により、公表することとする。
（運用上の考え方）●上記①の当該第三者による相当措置の実施状況に係る「適切かつ合理的な方法」には、
例えば、個人データを取り扱う場所に赴く方法または書面により報告を受ける方法により確認することとする。これらの方法は、外国にある第三者に提供する個人データの規模および性質ならびに個人データの取扱状況等に起因するリスクに応じたものとする。
●外国にある第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無および内容は、一般的な注意力をもって適切かつ合理的な方法により確認する必要があるが、例えば、当該第三者に対して照会する方法や、我が国または外国の行政機関等が公表している情報を確認する方法が考えられる。
●上記①の「定期的に確認」とは、年に１回程度またはそれ以上の頻度で確認すること
をいう。

46

第１７条（個人関連情報の第三者提供）（１）総論
信託銀行等が、個人関連情報取扱事業者から法第 31 条第１項の規定による個人関連情報の提供を受けて個人データとして取得する場合、当該信託銀行等は、予め、次の措置を行う必要がある。ただし、第１１条（第三者提供）の①から⑥に掲げる場合についてはこの限りでない。
①信託銀行等が個人関連情報取扱事業者から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意を得ること。
②外国にある第三者への提供に該当する場合には、上記①の本人の同意を得ようとす
るとき、第１６条（外国にある第三者への提供）に従い、予め、当該外国における個人情報の保護に関する制度、当該信託銀行等が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供すること。
また、信託銀行等が、法第 31 条１項の規定による個人関連情報取扱事業者からの確認を受けた場合、当該個人関連情報取扱事業者に対して、当該確認に係る事項を偽ってはならない。
（運用上の考え方）●「個人データとして取得する」とは、提供先の信託銀行等において、個人データに個
人関連情報を付加する等、個人データとして利用しようとする場合をいう。
●提供先の信託銀行等が、提供を受けた個人関連情報を直接個人データに紐付けて利用しない場合は、別途、提供先の信託銀行等が保有する個人データとの容易照合性が排除しきれないとしても、「個人データとして取得する」場合には直ちに該当しない。
（２）本人の同意の取得
信託銀行等は、上記（１）の①の同意を得る（提供元の個人関連情報取扱事業者に同意取得を代行させる場合を含む。）際には、原則として、書面によることとし、当該書面における記載を通じて、ア）対象となる個人関連情報の項目、イ）個人関連情報の提供を受けて個人データとして取得した後の利用目的を本人に認識させた上で同意を得ることとする。
（運用上の考え方）●上記（１）①の「本人の同意」とは、個人関連情報取扱事業者が信託銀行等に個人関連情報を提供し、当該信託銀行等が当該個人関連情報を個人データとして取得することを承諾する旨の当該本人の意思表示をいう。
●上記（１）①の本人の同意は、必ずしも第三者提供のたびに取得しなければならない
ものではなく、本人が予測できる範囲において、包括的に同意を取得することも可能
47

である。
●上記（１）①の「本人の同意」を取得する主体は、本人と接点を持ち、情報を利用する主体となる提供先の信託銀行等であるが、同等の本人の権利利益の保護が図られる
ことを前提に、同意取得を提供元の個人関連情報取扱事業者が代行することも認められる。
●個人関連情報を個人データとして取得した後の利用目的については、提供先の信託銀行等において、第８条（利用目的の通知・公表・明示）により通知または公表を行う必要があるが、提供先の信託銀行等が同意を取得する際に、同時に当該利用目的についても本人に示すことが望ましい。
（３）外国にある第三者への提供の場合の取扱い
個人関連情報の提供先である外国にある第三者が、個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制として施行規則第 16 条で定める基準に適合する体制を整備している場合には、信託銀行等は、第１６条（外国にある第三者への提供）の（３）①および②の措置を講じなければならない。
信託銀行等が外国にある第三者による相当措置の実施状況を定期的に確認する際には、個人データの内容や規模に応じて個人データを取り扱う場所に赴く方法または書面により報告を受ける方法によることとする。

第１８条（第三者提供に係る確認・記録義務）（１）総論
信託銀行等は、第三者から個人データの提供を受けるに際しては、施行規則の定めるところにより第三者の氏名または名称および住所ならびに法人にあっては、その代表者（法人でない団体で代表者または管理人の定めのあるものにあっては、その代表者
または管理人）の氏名および当該第三者による当該個人データの取得の経緯の確認を行わなければならない。
また、信託銀行等は、第三者から個人データの提供を受け上記確認を行った場合または第三者に個人データを提供した場合には、施行規則の定めるところにより受領または提供に係る記録を作成しなければならない。
ただし、上記確認・記録義務については、次に掲げる場合においては、適用されない。
①法令に基づく場合②人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難である場合③公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難である場合④国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を48

遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがある場合⑤第１３条（委託）による個人データの提供の場合⑥第１４条（事業の承継）による個人データの提供の場合⑦第１５条（共同利用）による個人データの提供の場合⑧第三者が法第 16 条第２項各号に掲げる次の者である場合
・国の機関
・地方公共団体
・独立行政法人等
・地方独立行政法人⑨当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場
合を除く。
）
さらに、解釈により、形式的には第三者提供の外形を有する場合であっても、確認・記録義務の趣旨に鑑みて、実質的に確認・記録義務を課する必要性に乏しい第三者提供については、同義務の対象たる第三者提供には該当しない。
例えば、「本人による提供」や「本人に代わって提供」していると考えられる個人データの授受については、確認・記録義務が課されない。また、「本人と一体と評価できる関係にある者に提供する」場合や「提供者が、最終的に本人に提供することを意図した上で、受領者を介在して提供」する場合にも同様に確認・記録義務が課されない。
（運用上の考え方）●①には、第４条（目的外利用および不適正な利用の禁止）の「（運用上の考え方）」で示した事例以外に、例えば、次の場合が該当する。
・手形法・小切手法に伴い手形・小切手取引に付随する個人データを授受する場合
・犯罪収益移転防止法に基づく取引時確認手続を履行するために、法人顧客から実質的支配者の個人データを受領する場合●⑧の「独立行政法人等」のうち独立行政法人以外の主な法人は次のとおり。
・沖縄振興開発金融公庫
・株式会社国際協力銀行
・株式会社日本政策金融公庫
・国立大学法人
・日本銀行
・預金保険機構49

●例えば、次の取引等における個人データの授受は、解釈により確認・記録義務が課さ
れない。
・振込
・外国送金
・本人に代わって行われる電子記録債権取引（発生・譲渡・保証等の各記録の請求等）に係る個人データの授受・財形貯蓄制度において、勤労者に代わって事業者が金融機関に対し必要な情報を提供する場合、および金融機関が勤労者の残高情報等を事業者を通じて勤労者に提供する場合
・グループ会社等の紹介を求められ、当該グループ会社に本人の個人データを提供する場合
・取引先 A 社からの依頼に基づき、取引先 B 社の窓口担当者の氏名・連絡先等を、同窓口担当者の同意を得て、A 社に伝達する場合●信託銀行等が、機関としての代表者の氏名を提供する行為は、確認・記録義務が適用される第三者提供ではない。
●第三者等から受領する情報が、「個人情報」には該当するが「個人データ」には該当しない情報の場合、またはそもそも「個人情報」に該当しない情報の場合は、確認・記録義務が課されない。
なお、個人関連情報を個人データとして取得する場合については、後記（４）を参照。
（２）確認義務
信託銀行等が、第三者から個人データの提供を受ける際の当該第三者に対する確認事
項は次のとおり。
①当該第三者の氏名または名称および住所ならびに法人にあっては、その代表者（法人でない団体で代表者または管理人の定めのあるものにあっては、その代表者または管理人）の氏名②当該第三者による当該個人データの取得の経緯①の確認方法は、個人データを提供する第三者から申告を受ける方法その他の適切な方法とする。また、②の確認方法は、個人データを提供する第三者から当該第三者による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法とする。
なお、信託銀行等は、個人情報取扱事業者から個人データの提供を受ける際には、当該個人情報取扱事業者の法の遵守状況（例えば、利用目的、開示手続、問合せ・苦情の受付窓口の公表など）についても確認することが望ましい。特に、個人情報取扱事業者からオプトアウトによる第三者提供により個人データの提供を受ける際には、信託銀行等は、当該個人情報取扱事業者の届出事項が個人情報保護委員会に50

より公表されている旨を記録しなければならないことに留意する必要がある。
（運用上の考え方）●①の確認方法である「個人データを提供する第三者から申告を受ける方法その他の適切な方法」は、例えば、次のような方法があげられる。
【第三者から申告を受ける方法に該当する事例】
・口頭で申告を受ける方法
・所定の申込書等に記載をさせた上で、当該申込書等の提出を受け入れる方法
・本人確認書類の写しの送付を受け入れる方法【その他の適切な方法に該当する事例】
・登記されている事項を確認する方法（受領者が自ら登記事項証明書・登記情報提供
サービスで当該第三者の名称・住所・代表者の氏名を確認する方法）
・法人番号の提示を受けて、当該法人の名称、住所を確認する方法
・当該第三者が自社のウェブサイトなどで名称、住所を公開している場合において、その内容を確認する方法
・信頼性のおける民間のデータ業者のデータベースを確認する方法
・上場会社等の有価証券報告書等を確認する方法●「取得の経緯」の具体的な内容は、個人データの内容、第三者提供の態様などにより異なり得るが、基本的には、取得先の別（顧客としての本人、従業員としての本人、他の個人情報取扱事業者、家族・友人等の私人、いわゆる公開情報等）、取得行為の態様（本人から直接取得したか、有償で取得したか、いわゆる公開情報から取得したか、紹介により取得したか、私人として取得したものか等）などを確認しなければならない。
●「取得の経緯」の確認は、あくまで、個人データを提供した「第三者」による取得の経緯を確認すれば足り、そこから遡って当該「第三者」より前に取得した者の取得の経緯を確認する義務はない。
●②の確認の「適切な方法」は、例えば、次のような方法があげられる。
・提供者が別の者から個人データを買い取っている場合には売買契約書などを確認する方法
・提供者が本人から書面等で当該個人データを直接取得している場合に当該書面等を確認する方法・提供者による取得の経緯が明示的または黙示的に示されている、提供者と受領者間の契約書面を確認する方法
・提供者が本人の同意を得ていることを誓約する書面を受け入れる方法
・提供者のホームページで公表されている利用目的、規約等の中に、取得の経緯が記載されている場合において、その記載内容を確認する方法
・本人による同意書面を確認する方法
51

・個人情報を適法に入手したことを対面もしくは電話等で口頭確認する方法●複数回にわたって同一「本人」の個人データの授受をする場合において、同一の内容である事項を重複して確認する合理性はないため、既に本規定で定める方法により確認を行い、後述（３）に規定する方法により記録を作成し、かつ、その時点において保存している記録に記録された事項と内容が同一であるものについては、当該事項の確認を省略することができる。例えば、信託銀行等が、同じ提供者から、既に確認・記録義務を履行した、特定の事業活動であることを認識しながら、個人データの提供を受ける場合は、提供者の名称、当該個人データの取得の経緯について「同一である
ことの確認」が行われているものである。
●①の「代表者」には、代表権を有する者のほか、確認の対象となる第三者提供を業務として執行する権限を有している者も含まれる。
（３）記録義務①記録の作成方法等
a 信託銀行等は、原則として、個人データの授受の都度、速やかに、記録（文書、電磁的記録またはマイクロフィルムで作られるもの）を作成しなければならない。
ｂ 一定の期間内に、特定の事業者との間で、継続的に または反復して個人データを授受することが確実であると見込まれる場合は、個々の授受に係る記録を作成する
代わりに、一括して記録を作成することができる（第１２条（オプトアウトによる第三者提供）により授受されたものを除く。）。
c

信託銀行等が、本人に対する物品または役務の提供に係る契約を締結し、係る契約の履行に伴って、契約の締結の相手方を本人とする個人データを、本人の同意を得て信託銀行等から第三者に提供する場合や受領する場合には、当該契約書その他の書面をもって記録とすることができる（第１２条（オプトアウトによる第三者提供）により授受されたものを除く。）。

（運用上の考え方）●記録は、個人データを授受する前に記録を作成することもできる。
●本人別に記録を単体で作成する方法のほか、対象となる複数の本人の記録を一体として作成することもできる。
●「当該提供に関して作成された(契約書その他の書面)」の解釈として、複数の書面を合わせて１つの記録とすることは妨げられない。また、個人データを第三者提供する際に作成された契約書その他の書面の他、当該個人データの内容を構成する契約書その他の書面も、「当該提供に関して作成された」ものに該当する。
●「契約書その他の書面」とは、本人と提供者との間で作成した契約書のみならず、提52

供者と受領者との間で作成した契約書も含まれる。
「契約書」の他にも、「その他の書面」には、信託銀行等の内部で作成された帳票、記録簿等も含まれる。また、システ
ム上の記録等も「契約書その他の書面」に該当する。
●上記 c の要件を充たさない書面、またはオプトアウトによる第三者提供の際に作成された書面等も、記録事項が記載されていれば記録として認められるが、保存期間（保存期間を３年とする必要がある。
）の違いに留意する必要がある。
●提供者・受領者のいずれも記録の作成方法・保存期間は同一であることに鑑みて、提供者(または受領者)は受領者(または提供者)の記録義務の全部または一部を代替して行うことができる(提供者と受領者の記録事項の相違については留意する必要がある。)。なお、この場合であっても、提供者および受領者は自己の義務が免責される
わけではないことから、実質的に自らが記録作成義務を果たしているものと同等の体制を構築しなければならない。
●委託先の事業者が委託契約の目的の範囲内で第三者との間で個人データの授受を行った場合において、一義的には委託先が記録を作成する義務があるが、委託元が記録の作成を代行することができる。
②記録事項
ａ 個人データの提供に係る記録事項(a)信託銀行等が、オプトアウトによる個人データの第三者提供を行う場合は、次の項目を記録しなければならない。
ア 当該個人データを提供した年月日
イ 当該第三者の氏名または名称、住所、その代表者（法人でない団体で代表者または管理者の定めがあるものにあっては、その代表者または管理者）の氏名(不特定かつ多数の者に対して提供したときは、その旨)
ウ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
エ 当該個人データの項目(b)信託銀行等が、本人の同意に基づき第三者提供を行う場合は、次の項目を記録しなければならない。
ア 法第 27 条第 1 項または法第 28 条第１項の本人の同意を得ている旨
イ 当該第三者の氏名または名称その他の当該第三者を特定するに足りる事項(不特定かつ多数の者に対して提供したときは、その旨)
ウ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
エ 当該個人データの項目

53

ｂ 個人データの受領に係る記録事項(a)信託銀行等が、オプトアウトによる第三者提供を受ける場合は、次の項目を記録しなければならない。
ア 当該個人データを受けた年月日
イ 当該第三者の氏名または名称および住所ならびに法人にあっては、その代表者(法人でない団体で代表者または管理人の定めのあるものにあっては、その代表者
または管理人)の氏名
ウ 当該第三者による当該個人データの取得の経緯
エ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
オ 当該個人データの項目
カ 個人情報保護委員会によりオプトアウトの届け出があったことが公表されている旨(b)信託銀行等が、本人の同意に基づき第三者から個人データの提供を受ける場合は、次の項目を記録しなければならない。
ア 法第 27 条第１項または法第 28 条第１項の本人の同意を得ている旨
イ 当該第三者の氏名または名称および住所ならびに法人にあっては、その代表者(法人でない団体で代表者または管理人の定めのあるものにあっては、その代表者
または管理人)の氏名
ウ 当該第三者による当該個人データの取得の経緯
エ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
オ 当該個人データの項目(c)信託銀行等が、他の個人情報取扱事業者または法第 16 条第２項各号に掲げる者（国の機関等）以外の者（私人など）から、個人データの提供を受ける場合は、次の事項を記録しなければならない。
ア 当該第三者の氏名または名称および住所ならびに法人にあっては、その代表者(法人でない団体で代表者または管理人の定めのあるものにあっては、その代表者
または管理人)の氏名
イ 当該第三者による当該個人データの取得の経緯
ウ 当該個人データによって識別される本人の氏名その他当該本人を特定するに足りる事項
エ 当該個人データの項目＜提供者の記録事項＞
54

提供年月日オプトアウトによる第三者提供○本人の同意による
第三者提供

第三者の氏名等

本人の氏名等

個人データの項目

○

○

○

○

○

○

本人の同意

○

＜受領者の記録事項＞
提供を受け

第三者の氏

た年月日

名等

取得の経緯

本人の氏名

個人データ

個人情報保

等

の項目

護委員会に

本人の同意

よる公表
オプトアウ
トによる第

○

○

○

○

○

○

○

○

○

○

○

○

○

○

三者提供
本人の同意
による第三

○

者提供
私人からの
第三者提供

（運用上の考え方）●「法第 27 条第１項または法第 28 条第１項の本人の同意を得ている旨」は、信託銀行等の事業の内容、第三者提供の態様等に鑑みて、同意の存在を明示的にまたは黙示的に示す証跡等がある場合には、当該証跡等をもって「同意を得ている旨」の記録とすることもできる。例えば、信託銀行等のシステムの設定により、本人の同意を得た場
合のみ第三者提供が実施されることとなっている場合には、それをもって同意の存在を示す証跡があるものとすることができる。
●既に作成した記録（現に保存している場合に限る。）に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。なお、記録事項のうち、一部の事項の記録の作成を省略し、残りの事項の記録のみを作成した場合、記録全体としての保存期間の起算点は、残りの事項を作成した時点とする。
③記録の保存期間
信託銀行等は、作成した記録を次の表のとおりの期間の間保存しなければならない。
記録の作成方法の別

保存期間「第１８条（第三者提供に 最後に当該記録に係る個人
係る確認・記録義務）（３） データの提供を行った日か55

①c」により記録を作成した ら起算して１年を経過する
場合※１

日までの間

「第１８条（第三者提供に 最後に当該記録に係る個人
係る確認・記録義務）（３） データの提供を行った日か①b」により記録を作成した ら起算して３年を経過する
場合※２

日までの間

上記以外の場合３年※１ 信託銀行等が、本人に対する物品または役務の提供に係る契約を締結し、当該契約の履行に伴って、契約の締結の相手方を本人とする個人データを、本人の同意を得て信託銀行等から第三者に提供する場合や受領する場合に、当該契約に係る契約書その他の書面をもって記録とした場合。
※２ 一定の期間内に、特定の事業者との間で、継続的にまたは反復して個人データを授受することが確実であると見込まれる場合に、個々の授受に係る記録を作成する代わりに、一括して記録を作成した場合。
（４）個人関連情報の第三者提供に係る確認・記録義務
信託銀行等が、法第 31 条第１項の規定による個人関連情報の提供を受けて個人デー
タとして取得する場合、当該信託銀行等は、上記（２）および（３）の確認・記録義
務を遵守する。
（運用上の考え方）●個人関連情報の提供先である信託銀行等は、個人関連情報取扱事業者から法第 31 条
第 1 項の規定による個人関連情報の提供を受けて個人データとして取得する際は、当該提供元の個人関連情報取扱事業者の氏名または名称および住所ならびに法人にあっては、その代表者（法人でない団体で代表者または管理者の定めがあるものにあっては、その代表者または管理人）の氏名を確認しなければならない。
「当該第三者による当該個人データの取得の経緯」については、提供元の個人関連情報取扱事業者において、提供する個人関連情報を個人データとして取得していないことから、個人関連情報の提供先である信託銀行等における確認の対象とならない。
●複数回にわたって同一「本人」の個人関連情報の提供を受けて個人データとして取得する場合において、同一の内容である事項を重複して確認する合理性はないため、既に法所定の方法により確認を行い、法所定の方法により作成し、かつ、その時点において保存している記録に記録された事項と内容が同一であるものについては、当該事項の確認を省略することができる。
● 個人関連情報の提供先である信託銀行等の記録事項は、次のとおりである。
提供を受け

第三者の氏

取得の経緯

本人の氏名

56

個人データ

個人情報保

本人の同意

た年月日

名等

等

（個人関連

護委員会に

情報）の項

よる公表

等

目
個人関連情
報の提供を
受けて個人
データとし

○

○

○

○

て取得した
場合

●複数回にわたって同一「本人」の個人関連情報の提供を受けて個人データとして取得する場合において、同一の内容である事項を重複して記録する必要はない。すなわち、既に法所定の方法により作成した記録（現に保存している場合に限る。）に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができ
る。

57

第６章

開示等の手続第１９条（保有個人データに関する事項の公表等）
１．保有個人データに関する事項の本人への周知
信託銀行等は、保有個人データ（個人番号および特定個人情報を含む。以下、本項において同じ。
）について、次に掲げる事項を、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。以下、同じ。）に置かなければならない。
（１）信託銀行等の名称および住所ならびに法人にあっては、その代表者（法人でない団体で代表者または管理者の定めがあるものにあっては、その代表者または管理人）の氏名（２）全ての保有個人データの利用目的（第８条第６項（１）から（３）までに該当し、通知、公表、明示を要しない場合を除く。）（３）保有個人データの利用目的の通知の求めまたは開示等の請求に応じる手続および保有個人データの利用目的の通知の求めまたは開示の請求に係る手数料の額（定めた場合に限る。
）（４）保有個人データの取扱いに関する苦情の申出先（５）認定個人情報保護団体（信託協会）の名称および苦情の解決の申出先（６）第１８条（第三者提供に係る確認・記録義務）の（３）により作成した記録の開示に応じる手続および開示の請求に係る手数料の額（定めた場合に限る。
）（７）保有個人データの安全管理のために講じた措置（本人の知り得る状態に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。
）（運用上の考え方）●保有個人データの安全管理のために講じた措置には、信託銀行等が取得し、または取得しようとしている個人情報であって、当該信託銀行等が保有個人データとして取り扱うことを予定しているものの漏えい等を防止するために講じた措置も含まれる。
●本条第１項の「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」とは、例えば、次のようなものが該当する。
・信託銀行等のウェブサイトへの継続的な掲載
・店頭での継続的なポスターの掲示、書面の備え付け
・パンフレットの継続的な配付・本人の求めに応じた書面の交付、郵送、ファックスによる送付・本人の求めに応じた口頭、電話、電子メールでの回答●利用目的に第三者提供が含まれる場合には、本条第１項の②の「全ての保有個人デ58

ータの利用目的」の内容として、その旨を記載しなければならない。
２．保有個人データの利用目的の通知
信託銀行等は、次の①から④までの場合を除いて、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、遅滞なく、本人に通知しなければならない。
なお、信託銀行等は、通知しない旨を決定したときは、遅滞なく、その旨を本人に通知しなければならない。その際には、信託銀行等は、本人に対し、根拠とした法の条文、判断の根拠およびその根拠となる事実を示し、その理由を説明することが望ましい。
①信託銀行等が保有個人データに関して本人の知り得る状態に置いた事項により、当該本人が識別される保有個人データの利用目的が明らかである場合②利用目的を本人に通知し、または公表することにより本人または第三者の生命、身体、財産その他の権利利益を害するおそれがある場合③利用目的を本人に通知し、または公表することにより信託銀行等の権利または利益が侵害されるおそれがある場合④国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場合であり、協力する民間企業等が国の機関等から受け取った保有個人データの利用目的を本人に通知し、または公表することにより、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合（運用上の考え方）●本条第２項の「通知」および「説明」の手段には、例えば、書面、口頭、電子メー
ル、電話（自動音声を含む。）がある。

第２０条（開示の請求）
１．信託銀行等は、本人から、当該本人が識別される保有個人データ（個人番号および特定個人情報を含む。以下、本項において同じ。
）または第１８条（第三者提供に係る確認・記録義務）の（３）により作成した記録の開示（存在しないときにはその旨を知らせることを含む。）の請求を受けたときは、本人に対し、電磁的記録の提供による方法、書面の交付による方法その他当該信託銀行等が定める方法のうち、当該本人が請求した方法により、遅滞なく、当該保有個人データまたは
当該記録を開示しなければならない。ただし、当該本人が請求した方法による開示に多額の費用を要する場合その他の当該方法による開示が困難な場合にあっては、書面の交付による方法によることができる。

59

開示することにより次の①から③までのいずれかに該当する場合は、その全部または一部を開示しないことができるが、これにより開示しない旨の決定をしたとき、請求に係る保有個人データまたは当該記録が存在しないときは、遅滞なく、その旨を本人に通知しなければならない。
（１） 本人または第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（２）信託銀行等の業務の適正な実施に著しい支障を及ぼすおそれがある場合（３）法令に違反することとなる場合
また、本人が請求した方法による開示が困難であるときには、遅滞なく、その旨を本人に通知しなければならない。
これらの通知の際、信託銀行等は、本人に対し、根拠とした法の条文、判断の根拠
およびその根拠となる事実を示し、その理由を説明することが望ましい。
（運用上の考え方）●第１８条（第三者提供に係る確認・記録義務）の（３）により作成した記録のうち、次のいずれかに掲げるものは開示の対象に含まれない（以下、第１８条（第三者提供に係る確認・記録義務）の（３）により作成記録から下記の①から④を除いたものを、「第三者提供記録」という）。
①当該記録の存否が明らかになることにより、本人または第三者の生命、身体または財産に危害が及ぶおそれがあるもの②当該記録の存否が明らかになることにより、違法または不当な行為を助長し、または誘発するおそれがあるもの③当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国
もしくは国際機関との信頼関係が損なわれるおそれまたは他国もしくは国際機
関との交渉上不利益を被るおそれがあるもの④当該記録の存否が明らかになることにより、犯罪の予防、鎮圧または捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの●明文または解釈により第１８条（第三者提供に係る確認・記録義務）の（２）または（３）が適用されない場合において、これらの規定に基づくことなく作成された
記録は、第三者提供記録に含まれない。
●信託銀行等が第三者提供記録を本人に開示するに当たっては、第１８条（第三者提供に係る確認・記録義務）の（３）において記録事項とされている事項を本人が求める方法により開示すれば足り、それ以外の事項を開示する必要はない。
●電磁的記録の提供による方法には、例えば、次のような方法がある。
・ 電磁的記録を CD-ROM 等の媒体に保存して、当該媒体を郵送する方法
60・ 電磁的記録を電子メールに添付して送信する方法
・ 加盟会社専用サイト等のウェブサイト上で電磁的記録をダウンロードしてもらう
方法●「その他当該信託銀行等の定める方法」には、例えば、次のような方法がある。
・ 信託銀行等が指定した場所における音声データの視聴
・ 信託銀行等が指定した場所における文書の閲覧●電磁的記録の提供による方法について、信託銀行等がファイル形式や記録媒体などの具体的な方法を定めることができる。
●本条第１項の（２）の「信託銀行等の業務の適正な実施に著しい支障を及ぼすおそれがある場合」には、例えば、次のような場合が該当する。なお、開示すべき保有個人データの量が多いことのみでは、（２）の「信託銀行等の業務の適正な実施に著しい支障を及ぼすおそれがある場合」に該当しない。
・ 同一の本人から複雑な対応を要する同一内容について繰り返し開示の請求があり、事実上問合せ窓口が占有されることによって他の問合せ対応業務が立ち行かなくなる等、業務上著しい支障を及ぼすおそれがある場合
・ 与信審査内容等の信託銀行等が付加した情報を開示することで信託銀行等の業務の適正な実施に著しい支障を及ぼすおそれがある場合
・ 企業秘密が明らかになるおそれがある場合●本条第１項の「通知」および「説明」の手段には、例えば、書面、口頭、電子メー
ル、電話（自動音声を含む）がある。
●法第 33 条等に基づく開示の請求において、本人から個人番号を付して請求が行われた場合や本人に対しその個人番号または特定個人情報を提供する場合は、番号法第19 条各号に定めはないものの、法の解釈上当然に特定個人情報の提供が認められるべき場合であり、特定個人情報を提供することができる（個人情報保護法第 34 条等に基づく訂正等の請求（第２１条（訂正等の請求））または同法第 35 条等に基づく
利用停止等の請求（第２２条（利用停止等の請求））においても同じ。）。

第２１条（訂正等の請求）
１．信託銀行等は、本人から、当該本人が識別される保有個人データ（個人番号および特定個人情報を含む。以下、本項において同じ。
）に誤りがあり、事実でないという理由によって、当該保有個人データの内容の訂正、追加または削除（以下「訂正等」という。
）の請求を受けた場合は、利用目的の達成に必要な範囲内で遅滞なく必要な調査を行い、その結果に基づき、原則として、訂正等を行わなければならない。
２．信託銀行等は、訂正等の請求を受けて、保有個人データの訂正等を行ったとき、または訂正等を行わない旨の決定をしたときは、遅滞なく、その旨（訂正等を行61

った場合は、その内容を含む。
）を本人に通知しなければならない。その際には、信託銀行等は、本人に対し、根拠とした法の条文、判断の根拠およびその根拠となる事実を示し、その理由を説明することが望ましい 。
（運用上の考え方）●本条第２項の「通知」および「説明」の手段には、例えば、書面、口頭、電子メー
ル、電話（自動音声を含む）がある。
●保有個人データの内容の訂正等に関して法令の規定により特別の手続が定められている場合には、当該法令の規定が適用されることとなる。
●例えば、過去の一定時点におけるデータを利用する目的があるため、最新のデータに訂正等する必要がないなど、利用目的からみて訂正等が必要ではない場合、または保有個人データが誤りである旨の指摘が正しくない場合には、訂正等を行う必要はない。ただし、その場合には、遅滞なく、訂正等を行わない旨を本人に通知しなければならない。

第２２条（利用停止等の請求）
１．信託銀行等は、本人から、当該本人が識別される保有個人データ（個人番号および特定個人情報を含む。以下、本条において特段の定めがない場合に限り同じ。
）の取扱いが、第４条（目的外利用の禁止および不適正な利用）または第６条（適正な取得）に違反しているという理由によって、当該保有個人データの利用の停止または消去（以下「利用停止等」という。
）の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。
２．信託銀行等は、本人から、当該本人が識別される保有個人データ（特定個人情報を除く。
）が、第１１条（第三者提供）または第１６条（外国にある第三者への提供）に違反して本人の同意なく第三者に提供されているとの理由によって、当該保有個人データの第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として、遅滞なく、当該保有個人データの第三者提供を停止しなければならない。加えて、当該本人が識別される保有個人
データを、当該信託銀行等が利用する必要がなくなった場合、法第 26 条第１項本文に規定する漏えい等が生じた場合その他当該本人の権利または正当な利益が害されるおそれがあるとの理由によって、当該保有個人データの利用停止等または第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、信託銀行等は、原則として、遅滞なく、当該保有個人データの利用停止等または第三者提供を停止しなければならない。なお、特定個人情報を第62

三者に提供することができる場合は、番号法第 19 条各号に規定する場合に限定されている。したがって、第１１条（第三者提供）または第１６条(外国にある第三者への提供)にかかわらず、特定個人情報が第三者に違法に提供されていることを知った本人から、その提供に係る停止の請求を受けた場合であって、その請求に理由があることが判明したときには、原則として、遅滞なく、第三者への提供を停止しなければならない。ただし、保有個人データの利用停止等または第三者提供の停止に多額の費用を要する場合その他の利用停止等または第三者への提供を停止することが困難な場合で、本人の権利利益を保護するため必要なこれに代わるべき措置を講じるときは、この限りでない。
３．信託銀行等は、上記により、保有個人データの全部もしくは一部について利用停止等を行ったときもしくは利用停止等を行わない旨の決定をしたとき、または保有個人データの全部もしくは一部について第三者提供を停止したときもしくは第三者提供を停止しない旨の決定をしたときは、遅滞なく、その旨を本人に通知しなければならない。その際には、信託銀行等は、本人に対し、根拠とした法の条
文、判断の根拠およびその根拠となる事実を示し、その理由を説明することが望ましい。
（運用上の考え方）●本条第３項の「通知」および「説明」の手段には、例えば、書面、口頭、電子メー
ル、電話（自動音声を含む）がある。
●信託銀行等は、第５条（ダイレクト・マーケティングの中止）のとおり、本人から、
ダイレクト・マーケティング（信託銀行等または信託銀行等が個人情報を提供する先が、特定の商品またはサービスに適合する顧客を限定して行う、ダイレクトメー
ルの送付やテレマーケティングその他のセールス活動で、店舗等で直接面談して行うセールス活動を除くもの。
）の目的で個人情報を利用することの中止を求められた場合には、当該目的での個人情報の利用または提供を中止しなければならない。
●「消去」とは、保有個人データを保有個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む。
●例えば、保有個人データの全部消去を求められた場合であっても、利用停止によって手続違反を是正できる場合であれば、そのような措置を講ずることにより、義務を果たしたことになり、必ずしも、求められた措置をそのまま実施する必要はない。
●手続違反である旨の指摘が正しくない場合は、利用停止等または第三者提供を停止する必要はない。
●「当該信託銀行等が利用する必要がなくなった」とは、第９条（データ内容の正確性の確保等）と同様に、当該保有個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該保有個人データを保63有する合理的な理由が存在しなくなった場合や利用目的が達成されなかったものの
当該目的の前提となる事業自体が中止となった場合等をいう。
●「本人の権利又は正当な利益が害されるおそれがある場合」とは、法目的に照らして保護に値する正当な利益が存在し、それが侵害されるおそれがある場合をいう。
例えば、下記の事例は、この場合に該当しない。
・債務者が、債務の支払いを免れるため、信託銀行等に対して当該債務の履行請求に必要な情報の利用停止等を請求する場合
・過去に利用規約に違反したことを理由としてサービスの強制退会処分を受けた者
が、再度当該サービスを利用するため、当該サービスを提供する信託銀行等に対して強制退会処分を受けたことを含むユーザー情報の利用停止等を請求する場合
・過去の信用情報に基づく融資審査により新たな融資を受けることが困難になった者が、新規の借入れを受けるため、当該信用情報を保有している信託銀行等に対して現に審査に必要な信用情報の利用停止等または第三者提供の停止を請求する
場合

第２３条（開示等の手続）
１． 信託銀行等は、第１９条（保有個人データに関する事項の公表等）の利用目的の通知の請求、または、第２０条（開示の請求）、第２１条（訂正等の請求）、もしくは第２２条（利用停止等の請求）による請求（以下「開示等の請求等」という。）
において、これを受け付ける方法として次の①から⑥までの事項を定め、それを本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置いておかなければならない。
（１）開示等の請求等の申出先（２）開示等の請求等に際して提出すべき書面（電磁的記録を含む。）の様式その他の開示等の請求等の方式（３）開示等の請求等をする者（代理人を含む。
）の本人確認方法（４）第２４条（手数料）の手数料金額とその徴収方法（無料とする場合を含む。
）（５）開示等の請求等に対する回答の方法・時期等（６）開示等の請求等をする者が代理人である場合の代理権を確認する方法
２．また、信託銀行等は、開示等の請求等に関する手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。

64

（運用上の考え方）●開示等の請求等の受付および回答の手続を本人の知り得る状態に置く方法は、信託銀行等のウェブサイトへの継続的掲載や、店頭での継続的なポスターの掲示、書面の備え付けによる方法が望ましい。
●本条第１項の（１）には、例えば、営業店や集中センター等の部署名、郵送先住所、受付電話番号、電子メールアドレス等が該当する。
●本条第１項の（２）の「開示等の請求等に際して提出すべき書面」には、例えば、取引支店名、口座番号、顧客番号、取引種類、取引日付等、開示等の請求等の対象となる保有個人データの特定に必要な事項を記入する欄を設けることも考えられる。
●本条第１項の（２）の｢その他の開示等の請求等の方式｣には、例えば、来店、郵送、
電磁的手段等の複数の手段がある。なお、信託銀行等は本人に過重な負担を課する事が無いよう複数の手段を用意することが望ましい。
●本条第１項の（３）の｢代理人｣には、未成年者もしくは成年被後見人の法定代理人
や、本人が委任した任意代理人が該当する。また、信託銀行等は、例えば、犯罪収益移転防止法に基づく確認手続きと同レベルの手続きなど、本人に過重な負担を課すものとならないよう配慮しつつ、十分かつ適切な確認手続きを定めるものとする。
●本条第１項の（５）には、例えば、次のような事項が該当する。なお、保有個人データおよび第三者提供記録の開示については、原則として、電磁的記録の提供による方法、書面の交付による方法その他当該信託銀行等が定める方法のうち、本人が請求した方法により開示する必要がある点に留意する。
・ 郵送、電話、電子メール等の回答の手段
・ 回答の対象となる情報によっては、回答はその場ではなく後刻となること
・ 本人が委任した任意代理人による開示等の請求等に対しては、直接本人に回答することがあること、または、本人にのみ回答すること●本条第１項の（６）には、例えば、次のような方法がある。
・ 信託銀行等の所定の委任状以外は認めないこと
・ 委任状とは別に電話等で本人から代理権授与の意思確認ができるまで開示しな
いこと第２４条（手数料）
１． 信託銀行等は、第１９条（保有個人データに関する事項の公表等）の利用目的の通知を求められ、または第２０条（開示の請求）の開示の請求を受けたときは、
当該措置の実施に関し、手数料の額を定め、これを徴収することができる。
２． 信託銀行等は、当該手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。
65

（運用上の考え方）●本条第２項の「実費を勘案して」は、例えば、同様の内容の開示等手続の平均的実費の予測に基づき、合理的な手数料額を算定する等の方法を含む。

66

第７章

苦情処理体制第２５条（苦情処理体制の整備）
１． 信託銀行等は、個人情報（個人番号および特定個人情報を含む。
）の取扱いに関する苦情を受けたときは、その内容について調査し、合理的な期間内に、適切かつ迅速に処理するよう努めなければならない。
２．信託銀行等は、第１項のために、必要な体制の整備に努めなければならない。

（運用上の考え方）●本条第２項の「必要な体制の整備」には、例えば、次の措置が該当する。
・苦情処理手順の策定
・苦情受付窓口の設置・苦情処理に当たる従業者への十分な教育・研修

67

第８章

漏えい等事案への対応

第２６条 漏えい等事案への対応
１．信託銀行等は、個人情報（特定個人情報を含む。以下、本項において同じ。）の漏えい等事案（漏えい等またはそのおそれのある事案をいう。以下同じ。）、仮名加
工情報に係る削除情報等（法第 41 条 1 項の規定により行われた加工の方法に関する情報にあっては、その情報を用いて仮名加工情報の作成に用いられた個人情報を復元することができるものに限る。以下同じ。）の漏えい事案、匿名加工情報の作成に用いた個人情報から削除した記述等および個人識別符号ならびに法第43 条第１項（匿名加工情報の作成等）の規定により行った加工の方法に関する情報の漏えい事案（以下「個人情報等の漏えい等事案」という。）の事故が発生した場合に備え、危機対応のための体制の整備および手順の策定を行わなければならない。
２．信託銀行等は、個人情報等の漏えい等事案の事故が発生した場合は、次の措置を講じるほか、法令等に基づき適切な措置を講じる。
①監督当局等および信託協会に直ちに報告する（信託銀行等が受託者である場合には、委託元に直ちに報告する）②二次被害の防止、類似事案の発生回避等の観点から、漏えい等の事実関係および再発防止策等を早急に公表する③個人情報等の漏えい等事案の対象となった本人に速やかに当該事案等の事実関係等を通知等する
３．信託銀行等は、個人情報等の漏えい等事案の事故が発生した場合で、次に定めるものに該当する場合は、法令等に基づき本人に通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するためこれに代わるべき措置をとるときは、この限りでない。
①要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下②～④において同じ。
）の漏えい等が発生し、または発生したおそれがある場合②不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、または発生したおそれがある場合③不正の目的をもって行われたおそれがある当該信託銀行等に対する行為による個人データ（当該信託銀行等が取得し、または取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。
）の漏えい等が発生し、または発生したおそれがある場合④個人データに係る本人の数が千人を超える漏えい等が発生し、または発生した
おそれがある場合

68（運用上の考え方）●金融機関の信託業務の兼営等に関する法律施行規則第 22 条第７項において、「信託業務を営む金融機関は、その取り扱う個人である顧客に関する情報（個人情報の保護に関する法律（平成 15 年法律第 57 号）第 16 条第３項に規定する個人データに該当するものに限る。
）の漏えい、滅失若しくは毀損が発生し、又は発生したおそれがある事態が生じたときは、当該事態が生じた旨を金融庁長官等に速やかに報告する
ことその他の適切な措置を講じなければならない。」と定められている点に留意する。
●信託業法施行規則第 40 条第７項において、「信託会社は、その取り扱う個人である
顧客に関する情報（個人情報の保護に関する法律（平成 15 年法律第 57 号）第 16 条
第３項に規定する個人データに該当するものに限る。
）の漏えい、滅失若しくは毀損が発生し、又は発生したおそれがある事態が生じたときは、当該事態が生じた旨を金融庁長官等に速やかに報告することその他の適切な措置を講じなければならない。
」と定められている点に留意する。
●特定個人情報の漏えい等事案の事故が発生した場合には、個人情報保護委員会の番号法ガイドライン等に留意して対応する。

69

第９章

個人情報保護宣言の制定

第２７条（個人情報保護宣言の制定）
信託銀行等は、関係法令等および本指針を踏まえて、個人情報の適切な保護と利用に関する考え方および方針に関する宣言（いわゆるプライバシーポリシー、プライ
バシーステートメント等。以下「個人情報保護宣言」という。
）を策定し、公表するものとする。
（運用上の考え方）●「個人情報保護宣言」には、例えば、次のような事項を記載する。
・関係法令等を遵守すること、個人情報を目的外に利用しないこと、個人データの安全管理措置を講じること、漏えい等の防止に努めること、苦情処理に適切に取組むこと、継続的な改善に努めること等、個人情報の適切な保護と利用を図るための取組み方針の宣言
・個人情報の利用目的の通知・公表等の手続、その他個人情報の取得、利用および提供に関する分かりやすい説明・開示等の手続等、個人情報の取扱いに関する分かりやすい説明
・個人情報の取扱いに関する質問および苦情処理の窓口●「個人情報保護宣言」には、本人の権利利益保護の観点から、事業の規模や内容に応じて、可能な限り、次の点を考慮した記述を盛り込むことが望ましい。
・保有個人データについて本人から求めがあった場合には、ダイレクトメールの発送停止など、自主的に利用停止等に応じること
・委託の有無、委託する事務の内容を明らかにする等、委託処理の透明化を進めること（なお、委託する事務が多数になる場合は、例示を示すことでよい。）
・事業分野に応じた利用目的を限定して示したり、本人の選択による利用目的の限定に自主的に取り組んだりするなど、本人にとって利用目的がより明確になるよ
うにすること・個人情報の取得元またはその取得方法（取得源の種類等）を可能な限り具体的に明記すること（なお、取得元が多数になる場合は、例示を示すことでよい。
）●「個人情報保護宣言」は、本人がこれを適切に理解した上で自らの判断により選択の機会を行使することができるような表示等により構成するのが望ましく、そのための工夫として、①階層構造（要点を複数の項目にまとめ各項目を選択すると詳細な内容が見られる構造をいう。）による表示、②アイコン、イラスト、動画等の視覚的ツールの活用、③ポップアップによる同意取得が考えられる。

70

第１０章

仮名加工情報・匿名加工情報の取扱い

第２８条（仮名加工情報・匿名加工情報の取扱い）
１

仮名加工情報の取扱いに係る義務等の考え方については、別に定める「仮名加工情報の取扱いに関するルール」による。
２

匿名加工情報の取扱いに係る義務等の考え方については、別に定める「匿名加工情報の取扱いに関するルール」による。

71

第１１章

域外適用

第２９条（域外適用）
外国にある個人情報取扱事業者のうち、日本の居住者等国内にある者に対して物品やサービスの提供を行い、これに関連してその者を本人とする個人情報を取得した者
が、外国においてその個人情報または当該個人情報を用いて作成した匿名加工情報を取り扱う場合には、当該外国にある個人情報取扱事業者に対して法に定める規定が適
用される。

72

第１２章

個人情報保護指針の見直し

第３０条（個人情報保護指針の見直し）
個人情報の保護についての考え方は、社会情勢の変化、国民の認識の変化、技術の進
歩、国際動向等に応じて変わり得るものであり、本指針は、法の施行後の状況等諸環
境の変化を踏まえて、必要に応じ見直しを行うものとする。
なお、本指針の見直しの際には、消費者の意見を代表する者その他の関係者の意見を聴くよう努めることとする。

73