2022 年 2 月 1 日
各位
一般社団法人

日本投資顧問業協会
事務局長

原田

実

個人情報保護法の改正に伴う「個人情報の保護に関する取扱指針」の一部改正（案）に対する意見募集について拝啓

平素は格別の御高配を賜り厚く御礼申し上げます。

さて、当協会は、認定個人情報保護団体として、「個人情報の保護に関する法律（個人情報保護法）」に規定する個人情報保護指針である「個人情報の保護に関する取扱指針」を制定しておりますが、今般、改正個人情報保護法が本年 4 月 1 日に施行されることに伴い、添付のとおり、「個人情報の保護に関する取扱指針」の一部改正（案）を検討しております。
本改正（案）の内容について、御意見がありましたら、別紙様式に御意見を記入の上、2022 年 2 月 15 日（火）13 時 00 分までにメール（宛先:jiaa01@jiaa.or.jp）にて、協会事務局までお送りください。
なお、本意見募集は、個人情報保護法が定める、個人情報保護指針の作成に際し消費者の意見を代表する者その他の関係者の意見を聴く手続きとして実施するものです。
敬

具【本件に関する御連絡先】
一般社団法人 日本投資顧問業協会
川崎（ jiaa01@jiaa.or.jp ）「個人情報の保護に関する取扱指針」の一部改正（案）新旧対照表
現行

改正案
（目的等）

（目的）

第１条

第１条

この取扱指針は、個人情報の保護に関する

この取扱指針は、個人情報の保護に関する法律（以下「保護法」という。）、個人情報の保護に法律（以下「保護法」という。）、個人情報の保護に関する法律施行令（以下「施行令」という。）、個人

関する法律施行令（以下「施行令」という。）、個人情報の保護に関する法律施行規則（以下「施行規則」 情報の保護に関する法律施行規則（以下「施行規則」という。
）、個人情報の保護に関する基本方針（以下という。
）、個人情報の保護に関する基本方針（以下「基本方針」という。）、個人情報の保護に関する法「基本方針」という。）、個人情報の保護に関する法

律についてのガイドライン（通則編）（以下「通則ガ

律についてのガイドライン（通則編）（以下「通則ガ

イドライン」という。）、同ガイドライン（外国にあイドライン」という。）、同ガイドライン（外国にある第三者への提供編）、同ガイドライン（第三者提供

る第三者への提供編）、同ガイドライン（第三者提供

時の確認・記録義務編）及び同ガイドライン（仮名時の確認・記録義務編）及び同ガイドライン（匿名

加工情報・匿名加工情報編）並びに金融分野におけ

加工情報編）並びに金融分野における個人情報保護る個人情報保護に関するガイドライン（以下「金融に関するガイドライン（以下「金融分野ガイドライ

分野ガイドライン」という。
）及び金融分野におけるン」という。
）及び金融分野における個人情報保護に

個人情報保護に関するガイドラインの安全管理措関するガイドラインの安全管理措置等についての置等についての実務指針等（以下「個人情報保護関実務指針等を踏まえ、会員の行う投資運用業又は投連法令等」という。
）を踏まえ、会員の行う投資運用

資助言・代理業における個人情報の適正な取扱いを業又は投資助言・代理業における個人情報の適正な確保するため、会員が講ずべき具体的な措置等を定取扱いを確保するため、会員が講ずべき具体的な措めるものである。

置等を定めるものである。
なお、この取扱指針は個人情報保護関連法令等を基礎としており、この取扱指針において特に定めのない部分については、個人情報保護関連法令等が適
用される。

２

（新設）

会員は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。

（定義）
第２条

（定義）
この取扱指針において使用する用語は、別第２条

この取扱指針において、次の各号に掲げるに定める場合を除き、個人情報保護関連法令等にお用語の定義は、当該各号に定めるところによる。

いて使用する用語の例による。

（１）

個人情報

生存する個人に関する情報であって、特定の個人を識別することができるもの（他の情報と容易に照

1

現行

改正案

合することができ、それにより特定の個人を識別することができるものを含む。）、又は個人識別符号が含まれるものをいう。
「個人に関する情報」とは、氏名、住所、性別、生年月日、顔画像等個人を識別する情報に限られず、個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表すすべての情報であり、評価情報、公刊物等によって公にされている情報
や、映像、音声による情報も含まれ、暗号化等によって秘匿化されているかどうかを問わない。
「個人識別符号」とは、当該情報単体から特定の個人を識別できるものとして施行令第一条に定められた文字、番号、記号その他の符号をいう。これ
ら「個人に関する情報」が、氏名等と相まって「特定の個人を識別することができる」ことになれば、それが「個人情報」となる。
なお、生存しない個人に関する情報が、同時に、遺族等の生存する個人に関する情報に当たる場合には、当該生存する個人に関する情報となる。
また、企業名等、法人その他の団体に関する情報
は、基本的に「個人情報」には該当しないが、役員の氏名などの個人に関する情報が含まれる場合には、その部分については、「個人情報」に該当する。
さらに、「個人」には外国人も当然に含まれる。
（２）

個人情報データベース等

個人情報を含む情報の集合物であって、次に掲げるものをいう。ただし、利用方法からみて個人の権
利利益を害するおそれが少ないものを除く。
イ

特定の個人情報をコンピューターを用いて検索することができるように体系的に構成したもの
ロ

イに掲げるもののほか、個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成したものであって、目次、索引、符号等により容易に検索可能な状態に置かれているもの
（３）

個人データ

個人情報データベース等を構成する個人情報を

2

現行

改正案
いう。
（４）

保有個人データ

会員が、本人又はその代理人から求められる開示、内容の訂正、追加又は削除、利用の停止、消去
及び第三者への提供の停止のすべての権限を有す
る個人データであって、次に掲げるもの以外のものをいう。
イ

当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの
ロ

当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発する
おそれがあるもの
ハ

当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの
ニ

当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安
全と秩序の維持に支障が及ぶおそれがあるもの
ホ

６か月以内に消去するもの

（５）

本人

個人情報によって識別される特定の個人をいう。
（６）

要配慮個人情報

不当な差別や偏見その他の不利益が生じないよ
うに特に配慮を要するものとして、特定の記述等が含まれる個人情報をいう。
（７）

匿名加工情報個人情報を個人情報の区分に応じて定められた措置を講じて特定の個人を識別することができな
いように加工して得られる個人に関する情報であり、当該個人情報を復元して特定の個人を再識別することができないようにしたものをいう。

（機微（センシティブ）情報）（機微（センシティブ）情報について）

第６条

第６条

会員は、要配慮個人情報並びに労働組合へ

3

会員は、要配慮個人情報並びに労働組合へ

改正案

現行

の加盟、門地、本籍地、保健医療及び性生活（これの加盟、門地、本籍地、保健医療及び性生活（これらのうち要配慮個人情報に該当するものを除く。）

らのうち要配慮個人情報に該当するものを除く。）

に関する情報（本人、国の機関、地方公共団体、学に関する情報（本人、国の機関、地方公共団体、保術研究機関等、保護法第 57 条第１項各号に掲げる

護法第 76 条第１項各号若しくは施行規則第６条各者若しくは施行規則第６条各号に掲げる者により号に掲げるものにより公開されているもの、又は本公開されているもの、又は本人を目視し、若しくは人を目視し、若しくは撮影することにより取得する

撮影することにより取得するその外形上明らかな

その外形上明らかなものを除く。）（以下「機微（セものを除く。）（以下「機微（センシティブ）情報」

ンシティブ）情報」という。
）については、次に掲げという。
）については、次に掲げる場合を除くほか、 る場合を除くほか、取得、利用又は第三者への提供を行わないこととする。

取得、利用又は第三者への提供を行わないこととする。

３ 会員は、機微（センシティブ）情報を、第 1 項に

３ 会員は、機微（センシティブ）情報を、第 1 項に掲げる場合に取得、利用又は第三者提供する場合に掲げる場合に取得、利用又は第三者提供する場合には、例えば、要配慮個人情報を取得するに当たっては、例えば、要配慮個人情報を取得するに当たっては、保護法第 20 条第 2 項に従い、あらかじめ本人のは、保護法第 17 条第 2 項に従い、あらかじめ本人の同意を得なければならないとされていることなど、同意を得なければならないとされていることなど、個人情報の保護に関する法令等に従い適切に対応

個人情報の保護に関する法令等に従い適切に対応しなければならない。

しなければならない。

４ 会員は、機微（センシティブ）情報を第三者へ提４ 会員は、機微（センシティブ）情報を第三者へ提供するに当たっては、保護法第 27 条第 2 項（オプト

供するに当たっては、保護法第 23 条第 2 項（オプトアウト）の規定を適用しないこととする。

アウト）の規定を適用しないこととする。

（安全管理措置）（安全管理措置）

第 10 条

第 10 条会員は、その取り扱う個人データの漏え

会員は、その取り扱う個人データの漏えい、滅失又は毀損（以下「漏えい等」という。）の防い、滅失又は毀損の防止その他の個人データの安全

止その他の個人データの安全管理のため、「金融分管理のため、「金融分野における個人情報保護に関野における個人情報保護に関するガイドラインのするガイドラインの安全管理措置等についての実

安全管理措置等についての実務指針」に基づき、安務指針」に基づき、安全管理に係る基本方針・取扱

全管理に係る基本方針・取扱規程等の整備及び安全規程等の整備及び安全管理措置に係る実施体制の管理措置に係る実施体制の整備等の必要かつ適切整備等の必要かつ適切な措置を講じなければならな措置を講じなければならない。また、必要かつ適ない。また、必要かつ適切な措置は、個人データの切な措置は、個人データの取得・利用・保管等の各取得・利用・保管等の各段階に応じた「組織的安全段階に応じた「組織的安全管理措置」、「人的安全管管理措置」、「人的安全管理措置」及び「技術的安全

理措置」、「物理的安全管理措置」、「技術的安全管理管理措置」を含むものでなければならない。

措置」及び「外的環境の把握」を含むものでなければならない。

4

改正案

現行

当該措置は、個人データが漏えい等をした場合に当該措置は、個人データが漏えい、滅失又は毀損本人が被る権利利益の侵害の大きさを考慮し、事業等をした場合に本人が被る権利利益の侵害の大きの規模及び性質、個人データの取扱状況（取り扱うさを考慮し、事業の規模及び性質、個人データの取個人データの性質及び量を含む。）並びに個人デー

扱状況（取り扱う個人データの性質及び量を含む。）

タを記録した媒体の性質等に起因するリスクに応並びに個人データを記録した媒体の性質等に起因じたものとする。

するリスクに応じたものとする。

例えば、不特定多数者が書店で随時に購入可能な

例えば、不特定多数者が書店で随時に購入可能な名簿で、会員において全く加工をしていないものに名簿で、会員において全く加工をしていないものについては、個人の権利利益を侵害するおそれは低い

ついては、個人の権利利益を侵害するおそれは低いと考えられることから、それを処分するために文書と考えられることから、それを処分するために文書

細断機等による処理を行わずに廃棄し、又は廃品回細断機等による処理を行わずに廃棄し、又は廃品回収に出したとしても、会員の安全管理措置の義務違収に出したとしても、会員の安全管理措置の義務違反にはならない。

反にはならない。

(削除)

本条における用語の定義は、次のとおりである。
（１）

組織的安全管理措置

個人データの安全管理措置について役職員（会員の組織内にあって、直接又は間接に会員の指揮監督を受けて会員の業務に従事する者をいい、雇用関係にある従業者（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、会員との間の雇用関係にない者（取締役、執行役、監査役、派遣社員等）も含まれる。以下同じ。）の責任と権限を明確に定め、安全管理に関する規程等を整備・運用し、その実施状況の点検・監査を行うこと等の、会員の体制整備及び実施措置をいう。
（２）

人的安全管理措置役職員との個人データの非開示契約の締結及び役職員に対する教育・訓練等を実施し、個人データの安全管理が図られるよう役職員を監督すること
をいう。
（３）

技術的安全管理措置

個人データ及びそれを取り扱う情報システムへのアクセス制御及び情報システムの監視等の、個人
データの安全管理に関する技術的な措置をいう。

２

会員は、外国において個人データを取り扱う場（新設）

合には、外的環境を把握した上で、個人データの安

5

現行

改正案
全管理のために必要かつ適切な措置を講じなければならない。

３

会員は、個人データの安全管理に係る基本方

２

会員は、個人データの安全管理に係る基本方

針・取扱規程等の整備として、以下の「組織的安全

針・取扱規程等の整備として、以下の「組織的安全管理措置」を講じなければならない。

管理措置」を講じなければならない。

（１）

（１）

規程等の整備規程等の整備イ

個人データの安全管理に係る基本方針の整備

イ

個人データの安全管理に係る基本方針の整備

ロ

個人データの安全管理に係る取扱規程の整備

ロ

個人データの安全管理に係る取扱規程の整備

ハ

個人データの取扱状況の点検及び監査に係るハ

個人データの取扱状況の点検及び監査に係る

規程の整備

規程の整備

ニ

ニ

外部委託に係る規程の整備（２）

各管理段階における安全管理に係る取扱規

外部委託に係る規程の整備（２）

程

各管理段階における安全管理に係る取扱規程イ

取得・入力段階における取扱規程

イ

取得・入力段階における取扱規程

ロ

利用・加工段階における取扱規程

ロ

利用・加工段階における取扱規程

ハ保管・保存段階における取扱規程

ハ保管・保存段階における取扱規程

ニ移送・送信段階における取扱規程

ニ移送・送信段階における取扱規程

ホ消去・廃棄段階における取扱規程

ホ消去・廃棄段階における取扱規程

ヘ

漏えい等事案（漏えい等又はそのおそれのあるヘ漏えい事案等への対応の段階における取扱規事案をいう。以下同じ。）への対応の段階における取

程

扱規程

４

会員は、個人データの安全管理に係る実施体制

３

会員は、個人データの安全管理に係る実施体制の整備として、以下の「組織的安全管理措置」、「人の整備として、以下の「組織的安全管理措置」、「人的安全管理措置」、「物理的安全管理措置」及び「技的安全管理措置」及び「技術的安全管理措置」を講

術的安全管理措置」を講じなければならない。

じなければならない。

（１）

（１）

イ

組織的安全管理措置

個人データの管理責任者等（個人データの安全イ

組織的安全管理措置

個人データの管理責任者等（個人データの安全管理に係る業務遂行の総責任者である個人データ管理に係る業務遂行の総責任者である個人データ管理責任者、個人データを取り扱う各部署における管理責任者、個人データを取り扱う各部署における個人データ管理者）の設置

個人データ管理者）の設置

ロ

就業規則等における安全管理措置の整備

ロ

就業規則等における安全管理措置の整備

ハ

個人データの安全管理に係る取扱規程に従っ

ハ

個人データの安全管理に係る取扱規程に従っ

た運用

た運用

ニ

ニ

個人データの取扱状況を確認できる手段の整

備

備

6

個人データの取扱状況を確認できる手段の整

現行

改正案
ホ

個人データの取扱状況の点検及び監査体制のホ

個人データの取扱状況の点検及び監査体制の

整備と実施

整備と実施

ヘ

ヘ

漏えい等事案に対応する体制の整備（２）

人的安全管理措置漏えい事案等に対応する体制の整備（２）

人的安全管理措置イ

従業者との個人データの非開示契約等の締結

イ

役職員との個人データの非開示契約等の締結

ロ

従業者の役割・責任等の明確化

ロ

役職員の役割・責任等の明確化

ハ

従業者への安全管理措置の周知徹底、教育及びハ役職員への安全管理措置の周知徹底、教育及び

訓練
ニ

訓練
従業者による個人データ管理手続の遵守状況

ニ

の確認

（３）

の確認

物理的安全管理措置

イ

個人データの取扱区域等の管理

ロ

機器及び電子媒体等の盗難等の防止

ハ

電子媒体等を持ち運ぶ場合の漏えい等の防止ニ

個人データの削除及び機器、電子媒体等の廃棄（４）

役職員による個人データ管理手続の遵守状況（新設）

技術的安全管理措置（３）

技術的安全管理措置

イ

個人データの利用者の識別及び認証イ

個人データの利用者の識別及び認証ロ

個人データの管理区分の設定及びアクセス制

ロ

個人データの管理区分の設定及びアクセス制

御

御

ハ

個人データへのアクセス権限の管理

ハ

個人データへのアクセス権限の管理

ニ

個人データの漏えい等防止策

ニ

個人データの漏えい・毀損等防止策

ホ

個人データへのアクセスの記録及び分析

ホ

個人データへのアクセスの記録及び分析

へ

個人データを取り扱う情報システムの稼動状

へ

個人データを取り扱う情報システムの稼動状

況の記録及び分析

況の記録及び分析トト

個人データを取り扱う情報システムの監視及個人データを取り扱う情報システムの監視及

び監査

び監査

（従業者の監督）（役職員の監督）

第 11 条 会員は、その従業者に個人データを取り

第 11 条扱わせるに当たっては、当該個人データの安全管理

扱わせるに当たっては、当該個人データの安全管理が図られるよう、適切な内部管理体制を構築し、そが図られるよう、適切な内部管理体制を構築し、その従業者に対する必要かつ適切な監督を行わなけの役職員に対する必要かつ適切な監督を行わなければならない。

ればならない。

会員は、その役職員に個人データを取り当該監督は、個人データが漏えい等をした場合に当該監督は、個人データが漏えい、滅失又は毀損本人が被る権利利益の侵害の大きさを考慮し、事業等をした場合に本人が被る権利利益の侵害の大き

7

改正案

現行

の性質及び個人データの取扱状況等に起因するリさを考慮し、事業の性質及び個人データの取扱状況

スクに応じたものとする。

等に起因するリスクに応じたものとする。

２

２

会員は、前項の従業者に対する「必要かつ適切

会員は、前項の役職員に対する「必要かつ適切な監督」を以下の体制整備等により行わなければなな監督」を以下の体制整備等により行わなければな

らない。

らない。

（１） 従業者が、在職中及びその職を退いた後に（１） 役職員が、在職中及びその職を退いた後において、当該会員の行う投資運用業又は投資助言・

おいて、当該会員の行う投資運用業又は投資助言・代理業に関して知り得た個人データを第三者に知代理業に関して知り得た個人データを第三者に知らせ、又は利用目的外に使用しないことを内容とす

らせ、又は利用目的外に使用しないことを内容とする契約等を採用時等に締結することる契約等を採用時等に締結すること(２） 個人データの適正な取扱いのための取扱規程(２） 個人データの適正な取扱いのための取扱規程の策定を通じた従業者の役割・責任の明確化及び役の策定を通じた役職員の役割・責任の明確化及び役

従業者への安全管理義務の周知徹底、教育及び訓練

役職員への安全管理義務の周知徹底、教育及び訓練

を行うこと

を行うこと

（３） 従業者による個人データの持出し等を防ぐ（３） 役職員による個人データの持出し等を防ぐため、社内での安全管理措置に定めた事項の遵守状

ため、社内での安全管理措置に定めた事項の遵守状

況等の確認及び従業者における個人データの保護

況等の確認及び役職員における個人データの保護に対する点検及び監査制度を整備することに対する点検及び監査制度を整備すること（委託先の監督）（委託先の監督）

第 12 条

第 12 条会員は、個人データの取扱いの全部又は会員は、個人データの取扱いの全部又は一部を委託（契約の形態や種類を問わず、会員が他一部を委託（契約の形態や種類を問わず、会員が他の者に個人データの取扱いの全部又は一部を行わの者に個人データの取扱いの全部又は一部を行わせることを内容とする契約の一切を含む。）する場せることを内容とする契約の一切を含む。）する場

合は、その取扱いを委託された個人データの安全管

合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要か理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

つ適切な監督を行わなければならない。

当該監督は、個人データが漏えい等をした場合に当該監督は、個人データが漏えい、滅失又は毀損本人が被る権利利益の侵害の大きさを考慮し、委託等をした場合に本人が被る権利利益の侵害の大きする事業の規模及び性質並びに個人データの取扱さを考慮し、委託する事業の規模及び性質並びに個状況等に起因するリスクに応じたものとする。

人データの取扱状況等に起因するリスクに応じたものとする。

２

会員は、個人データを適正に取り扱っていると２

会員は、個人データを適正に取り扱っていると認められる者を選定し委託するとともに、取扱いを認められる者を選定し委託するとともに、取扱いを委託した個人データの安全管理措置が図られるよ

委託した個人データの安全管理措置が図られるよ

8

改正案

現行

う、個人データの安全管理のための措置を委託先にう、個人データの安全管理のための措置を委託先においても確保しなければならない（二段階以上の委おいても確保しなければならない（二段階以上の委託が行われた場合には、委託先の事業者が再委託先託が行われた場合には、委託先の事業者が再委託先等の事業者に対して十分な監督を行っているかに等の事業者に対して十分な監督を行っているかについても監督を行わなければならない。）。

ついても監督を行わなければならない。）。

具体的には、例えば、以下の対応等が必要である。
(１)

具体的には、例えば、以下の対応等が必要である。
(１)

個人データの安全管理のため、委託先におけ個人データの安全管理のため、委託先における組織体制の整備及び安全管理に係る基本方針・取る組織体制の整備及び安全管理に係る基本方針・取扱規程の策定等の内容を委託先選定の基準に定め、扱規程の策定等の内容を委託先選定の基準に定め、当該基準を定期的に見直すこと

当該基準を定期的に見直すこと

なお、委託先の選定に当たっては、必要に応じてなお、委託先の選定に当たっては、必要に応じて

個人データを取り扱う場所に赴く（テレビ会議シス

個人データを取り扱う場所に赴く又はこれに代わテムを利用する方法を含む。以下同じ。
）又はこれにる合理的な方法による確認を行った上で、個人デー

代わる合理的な方法による確認を行った上で、個人

タ管理責任者等が適切に評価することが望ましい。

データ管理責任者等が適切に評価することが望ましい。
(２)

委託者の監督・監査・報告徴取に関する権限、 (２)

委託者の監督・監査・報告徴取に関する権限、委託先における個人データの漏えい・盗用・改ざん

委託先における個人データの漏えい・盗用・改ざん

及び目的外利用の禁止、再委託に関する条件及び漏及び目的外利用の禁止、再委託に関する条件及び漏えい等事案が発生した場合の委託先の責任を内容

えい等が発生した場合の委託先の責任を内容とすとする安全管理措置を委託契約に盛り込むとともる安全管理措置を委託契約に盛り込むとともに、定に、定期的に監査を行う等により、定期的又は随時

期的に監査を行う等により、定期的又は随時に当該に当該委託契約に定める安全管理措置等の遵守状

委託契約に定める安全管理措置等の遵守状況を確

況を確認し、当該安全管理措置を見直すこと認し、当該安全管理措置を見直すこと

なお、委託契約に定める安全管理措置等の遵守状

なお、委託契約に定める安全管理措置等の遵守状

況については、個人データ管理責任者等が、当該安況については、個人データ管理責任者等が、当該安全管理措置等の見直しを検討することを含め、適切全管理措置等の見直しを検討することを含め、適切に評価することが望ましい。

に評価することが望ましい。

委託先が再委託を行おうとする場合は、委託元は委

委託先が再委託を行おうとする場合は、委託元は託を行う場合と同様、再委託の相手方、再委託する

委託を行う場合と同様、再委託の相手方、再委託す

業務内容及び再委託先の個人データの取扱方法等

る業務内容及び再委託先の個人データの取扱方法について、委託先に事前報告又は承認手続を求め、等について、委託先に事前報告又は承認手続を求め

かつ、直接又は委託先を通じて定期的に監査を実施

る、直接又は委託先を通じて定期的に監査を実施すする等により、委託先が再委託先に対して本条の委る等により、委託先が再委託先に対して本条の委託託先の監督を適切に果たすこと及び再委託先が保先の監督を適切に果たすこと、再委託先が保護法第護法第 23 条に基づく安全管理措置を講ずることを20 条に基づく安全管理措置を講ずることを十分に十分に確認することが望ましい。再委託先が再々委確認することが望ましい。再委託先が再々委託を行

9

改正案

現行

託を行う場合以降も、再委託を行う場合と同様とすう場合以降も、再委託を行う場合と同様とする。

る。

（第三者提供の制限）（第三者提供の制限）

第 13 条

第 13 条会員は、個人データの第三者（個人データ

会員は、個人データの第三者（個人データを提供しようとする会員及び当該個人データに係を提供しようとする会員及び当該個人データに係る本人のいずれにも該当しないものをいい、自然る本人のいずれにも該当しないものをいい、自然人、法人その他の団体を問わない。第１３条の２か

人、法人その他の団体を問わない。第１３条の２から第１３条の５を除き、以下同じ。
）への提供にあたら第１３条の５を除き、以下同じ。
）への提供にあたり、あらかじめ本人の同意を得ないで提供してはな

り、あらかじめ本人の同意を得ないで提供してはならない。同意の取得にあたっては、事業の規模及びらない。同意の取得にあたっては、事業の規模及び性質、個人データの取扱状況（取り扱う個人データ

性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。
）等に応じ、本人が同意に係るの性質及び量を含む。
）等に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示さなければならない。個切な範囲の内容を明確に示さなければならない。

人データの第三者提供についての本人の同意を得

なお、あらかじめ、個人情報を第三者に提供するる際には、原則として、書面によることとし、当該ことを想定している場合には、利用目的において、書面における記載を通じて、個人データの提供先のその旨を特定しなければならない。
ただし、次に掲げる場合には、第三者への個人デ

第三者、提供先の第三者における利用目的、及び第三者に提供される個人データの項目を本人に認識ータの提供にあたって本人の同意は不要である。

させた上で同意を得ることとする。
なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的において、その旨を特定しなければならない。
ただし、次に掲げる場合には、第三者への個人データの提供にあたって本人の同意は不要である。

２

前項にかかわらず、会員は、通則ガイドライン

２

会員は、第三者に提供される個人データ（機微

３－６－２に定めるところにより、個人データを第（センシティブ）情報を除く。以下この項において三者に提供することができる（オプトアウトによる同じ。）について、本人の求めに応じて当該本人が識第三者提供）。

別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項にかかわらず、当該個人データを第三者に提供することができる。
また、会員は、当該届出の内容を自らもインターネ

10

現行

改正案

ットの利用その他の適切な方法により公表するものとする。
なお、機微（センシティブ）情報は、オプトアウト
により第三者に提供することはできない。
（１）

第三者への提供を利用目的とすること（２）

第三者に提供される個人データの項目（３）

第三者への提供の手段又は方法（４） 本人の求めに応じて当該本人が識別される
個人データの第三者への提供を停止すること
（５）

（削除）

３

本人の求めを受け付ける方法

会員は、前項第２号、第３号又は第５号に掲げる事項を変更する場合は、変更する内容について、
あらかじめ本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
なお、会員は、本項に従い、必要な事項を個人情報保護委員会に届け出たときは、その内容を自らも公表するものとする。

３

次に掲げる場合において、当該個人データの提４

次に掲げる場合において、当該個人データの提供を受ける者は、第三者に該当しない。

供を受ける者は、第三者に該当しない。

（３）

（３）

特定の者との間で共同して利用される個人

特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項

その旨並びに共同して利用される個人データの項

目、共同して利用する者の範囲、利用する者の利用

目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を目的及び当該個人データの管理について責任を有有する者（共同して利用する者において、第一次的する者（共同して利用する者において、第一次的にに苦情を受け付け、その処理を行うとともに、開示、 苦情を受け付け、その処理を行うとともに、開示、訂正等及び利用停止等の決定を行い、安全管理に責訂正等及び利用停止等の決定を行い、安全管理に責任を有する者をいう。第５項において「管理責任者」 任を有する者をいう。第６項において「管理責任者」という。）の氏名又は名称及び住所並びに法人にあという。
）の氏名又は名称について、あらかじめ、本っては、その代表者の氏名について、あらかじめ、人に通知し、又は本人が容易に知り得る状態に置い本人に通知し、又は本人が容易に知り得る状態に置ているときいているとき

11

現行

改正案
４

会員が前項第３号の規定により行う通知は、原５

会員が前項第３号の規定により行う通知は、原則として書面によることとする。会員による「共同則として書面によることとする。会員による「共同して利用する者の範囲」の通知等については、共同して利用する者の範囲」の通知等については、共同利用者を個別に列挙することが望ましい。

利用者を個別に列挙することが望ましい。

５

６

会員は、第３項第３号に規定する個人データの会員は、第４項第３号に規定する利用者の利用管理責任者の氏名、名称若しくは住所又は法人にあ目的又は管理責任者の氏名又は名称を変更する場っては、その代表者の氏名に変更があったときは遅合は、変更する内容について、あらかじめ本人に通滞なく、同号に規定する利用する者の利用目的又は知し、又は本人が容易に知り得る状態に置かなけれ管理責任者を変更しようとするときはあらかじめ、 ばならない。
その旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

（外国にある第三者への提供の制限）（外国にある第三者への提供の制限）

第 13 条の２ 会員は、外国（本邦の域外にある国又第 13 条の２ 会員は、外国（本邦の域外にある国又は地域をいう。以下同じ。）（個人の権利利益を保護

は地域をいう。以下同じ。
）にある第三者（個人デー

する上で我が国と同等の水準にあると認められる

タの取扱いについて個人情報取扱事業者が講ずべ

個人情報の保護に関する制度を有している外国ときこととされている措置に相当する措置を継続的して施行規則第 15 条で定めるものを除く。以下、こに講ずるために必要なものとして施行規則で定めの条及び次条において同じ。）にある第三者（個人デる基準に適合する体制を整備している者を除く。以ータの取扱いについて個人情報取扱事業者が講ず

下、この条において同じ。
）に個人データを提供するべきこととされている措置に相当する措置を継続場合には、前条第１項各号に定める場合を除くほ的に講ずるために必要なものとして施行規則第 16

か、あらかじめ外国にある第三者への提供を認める条で定める基準に適合する体制を整備している者

旨の本人の同意を得なければならない。この場合にを除く。以下、この条において同じ。
）に個人データ

おいては、同条の規定は適用しない。

を提供する場合には、前条第１項各号に定める場合
を除くほか、金融分野ガイドライン第 13 条に定めるところにより、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は適用しない。

（第三者提供に係る記録の作成等）（第三者提供に係る記録の作成等）

第 13 条の３ 会員は、第三者（保護法第 16 条第 2 項

第 13 条の３ 会員は、第三者（保護法第２条第５項各号に掲げる者を除く。本条から第 13 条の５まで各号に掲げる者を除く。本条から第 13 条の５まで同じ。
）に個人データを提供した場合には、個人デー同じ。
）に個人データを提供した場合には、個人デー

タを提供した年月日、当該第三者の氏名または名称タを提供した年月日、当該第三者の氏名または名称

その他の施行規則第 20 条で定める事項に関する記

その他の施行規則で定める事項に関する記録を作

12

現行

改正案

成しなければならない。

録を作成しなければならない。
ただし、当該個人データの提供が保護法第 27 条

ただし、国内にある第三者への提供においては、

第 1 項各号又は第 5 項各号のいずれか（前条の規定

次の第１号から第７号に該当する場合、記録の作成

による個人データの提供にあっては、保護法第 27 条を要しないものとする。

第 1 項各号のいずれか）に該当する場合は、この限りでない。

また、外国にある第三者への提供においては、次の第１号から第４号に該当する場合、また、当該第三者が施行規則で定める基準を満たしているものであって、保護法第 23 条各号に掲げる場合、記録の作成を要しないものとする。
（１）

法令に基づく場合（２） 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（３） 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（４） 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（５） 会員が利用目的の達成に必要な範囲内において個人データ取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合（６） 合併その他の事由による事業の承継に伴って個人データが提供される場合（７） 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項
目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき（第三者提供を受ける際の確認等）（第三者提供を受ける際の確認等）

第 13 条の４ 会員は、第三者から個人データの提供

第 13 条の４ 会員は、第三者から個人データの提供

13

改正案

現行

を受けるに際し、当該第三者の氏名又は名称及び住を受けるに際し、次に掲げる場合を除き、当該第三所並びに法人にあってはその代表者の氏名、当該第者の氏名又は名称及び住所並びに法人にあっては三者による当該個人データの取得の経緯の確認をその代表者（法人でない団体で代表者又は管理人の行い、保護法第 30 条第３項に定める事項に関する定めのあるものにあってはその代表者又は管理人）

記録を作成しなければならない。

の氏名、当該第三者による当該個人データの取得の

ただし、当該個人データの提供が保護法第 27 条
第 1 項各号又は第 5 項各号のいずれかに該当する場

経緯の確認を行い、保護法第 26 条第３項に定める事項に関する記録を作成しなければならない。

合は、この限りでない。

ただし、実質的に「提供者」による提供ではないものについては、確認・記録義務は適用されない。
（１）

法令に基づく場合（２） 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（３） 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（４） 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（５） 会員が利用目的の達成に必要な範囲内において個人データ取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合（６） 合併その他の事由による事業の承継に伴って個人データが提供される場合（７） 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項
目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき（第三者提供時の記録に係る保存期間）（第三者提供時の記録に係る保存期間）

第 13 条の５ 第 13 条の３及び第 13 条の４に従い作

第 13 条の５ 第 13 条の３及び第 13 条の４に従い作

14

改正案

現行

成した記録については、当該記録を作成した日から成した記録については、当該記録を作成した日から

施行規則第 21 条及び第 25 条で定める期間保存しな

施行規則で定める期間保存しなければならない。

ければならない。

（個人関連情報の第三者提供の制限等）
第 13 条の６（新設）

会員は、個人関連情報取扱事業者から保護法第 31 条第１項の規定による個人関連情報の提供を受けて個人データとして取得するに当たり、同項第１号の本人の同意を得る際には、金融分
野ガイドライン第 14 条に定めるところにより、原則として、書面によることとする。

（保有個人データに関する事項の公表等）（保有個人データに関する事項の公表等）

第 14 条

第 14 条

会員は、保有個人データに関し、次に掲げ

会員は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求める事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなに応じて遅滞なく回答する場合を含む。）に置かなければならない。なお、利用目的に第三者提供が含ければならない。なお、利用目的に第三者提供が含まれる場合には、第２号の内容として、その旨を明まれる場合には、第２号の内容として、その旨を明らかにしなければならない。

らかにしなければならない。

（１） 会員の氏名又は名称及び住所並びに法人に

（１）

会員の名称

あっては、その代表者の氏名（２） 全ての保有個人データの利用目的（ただし、 （２） 全ての保有個人データの利用目的（ただし、第８条第４項第１号から第３号に該当する場合を

第８条第４項第１号から第３号に該当する場合を

除く。）

除く。）

（３） 保有個人データの利用目的の通知の求め又（３） 次項の規定による求め又は次条第１項、第は開示等の請求に応じる手続及び保有個人データ

１６条第１項若しくは第１７条第１項若しくは第の利用目的の通知の求め又は開示の請求に係る手２項の規定による請求に応じる手続（第２０条の規

数料の額（定めた場合に限る。）

定により手数料の額を定めたときは、その手数料の額を含む。）（４） 保有個人データの安全管理のために講じた

（新設）

措置

（５）

保有個人データの取扱いに関する苦情及び（４）

保有個人データの取扱いに関する苦情及び問い合わせの申出先問い合わせの申出先

（６）

（５）

認定個人情報保護団体の名称及びその苦情の解決の申出先

認定個人情報保護団体の名称及びその苦情の解決の申出先

15

現行

改正案
（開示）
第 15 条（開示）
会員は、本人から、当該本人が識別される

第 15 条会員は、本人から、当該本人が識別される

保有個人データについて開示（存在しないときには保有個人データについて開示（存在しないときにはその旨を知らせることを含む。）の請求を受けたとその旨を知らせることを含む。）の請求を受けたときは、本人に対し、電磁的記録の提供による方法、きは、本人に対し、書面の交付による方法（開示の書面の交付による方法その他当該個人情報取扱事請求を行った者が同意した方法があるときは、当該業者の定める方法のうち本人が請求した方法（当該方法）により、遅滞なく、当該保有個人データを開方法による開示に多額の費用を要する場合その他

示しなければならない。ただし、開示することによの当該方法による開示が困難である場合にあってり次のいずれかに該当する場合は、その全部又は一は、書面の交付による方法）により、遅滞なく、当部を開示しないことができる。

該保有個人データを開示しなければならない。ただし、開示することにより次のいずれかに該当する場
合は、その全部又は一部を開示しないことができる。
（１） 本人又は第三者の生命、身体、財産その他（１）の権利利益を害するおそれがある場合の権利利益を害するおそれがある場合

（２）

（２）

会員の業務の適正な実施に著しい支障を及本人又は第三者の生命、身体、財産その他

会員の業務の適正な実施に著しい支障を及

ぼすおそれがある場合

ぼすおそれがある場合

（３）

（３）

２

他の法令に違反することとなる場合

会員は、前項の規定による請求に係る保有個人

２

他の法令に違反することとなる場合

会員は、前項の規定による請求に係る保有個人

データの全部又は一部について開示しない旨の決

データの全部又は一部について開示しない旨の決定をしたとき、当該保有個人データが存在しないと定をしたとき又は当該保有個人データが存在しなき、又は同項の規定により本人が請求した方法によいときは、本人に対し、遅滞なく、その旨を通知しる開示が困難であるときは、本人に対し、遅滞なく、 なければならない。また、その決定の理由について、その旨を通知しなければならない。

根拠とした法の条文及び判断の基準となる事実を示して遅滞なく、説明を行うこととする。

３

第 1 項及び前項の規定は、第三者提供記録につ（新設）

いて準用する。

（訂正等）

（訂正等）

第 16 条

第 16 条会員は、本人から、当該本人が識別される会員は、本人から、当該本人が識別される

保有個人データの内容が事実でないという理由に保有個人データの内容が事実でないという理由によって当該保有個人データに誤りがあり、事実でなよって当該保有個人データに誤りがあり、事実でないという理由によって、内容の訂正、追加又は削除

いという理由によって、内容の訂正、追加又は削除（以下「訂正等」という。
）の請求を受けた場合は、 （以下「訂正等」という。
）の請求を受けた場合は、

16

改正案

現行

利用目的の達成に必要な範囲内において、遅滞な利用目的の達成に必要な範囲内において、遅滞な

く、事実の確認等の必要な調査を行い、その結果にく、事実の確認等の必要な調査を行い、その結果に基づき、原則として当該保有個人データの内容の訂基づき、原則として当該保有個人データの内容の訂正等を行わなければならない。

正等を行わなければならない。

２

２

会員は、前項の請求に係る保有個人データの内

会員は、前項の請求に係る保有個人データの内

容の全部若しくは一部について訂正等を行ったと

容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、

き、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったと本人に対し、遅滞なく、その旨（訂正等を行ったと

きは、その内容を含む。）を通知しなければならな

きは、その内容を含む。）を通知しなければならな

い。

い。

（削除）

なお、会員が訂正等を行わない場合は、訂正等を行わない根拠及びその根拠となる事実を示し、その理由を説明することとする。

（利用停止等）（利用停止等）

第 17 条

第 17 条会員は、本人から、当該本人が識別される会員は、本人から、当該本人が識別される

保有個人データが第１条第２項若しくは４条の規保有個人データが第４条の規定に違反して取り扱定に違反して取り扱われたものであるという理由

われたものであるという理由又は第７条の規定に又は第７条の規定に違反して取得されたという理

違反して取得されたという理由によって、当該保有由によって、当該保有個人データの利用の停止又は個人データの利用の停止又は消去（以下「利用停止消去（以下「利用停止等」という。
）の請求を受けた等」という。
）の請求を受けた場合であって、その請場合であって、その請求に理由があることが判明し求に理由があることが判明したときは、違反を是正たときは、違反を是正するために必要な限度で、原するために必要な限度で、原則として、遅滞なく、則として、遅滞なく、当該保有個人データの利用停

当該保有個人データの利用停止等を行わなければ止等を行わなければならない。

ならない。

ただし、当該保有個人データの利用停止等に多額

ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うこの費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護すとが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、るため必要なこれに代わるべき措置をとるときは、

この限りでない。

この限りでない。

３（新設）

会員は、本人から、当該本人が識別される保有個人データを会員が利用する必要がなくなったという理由、当該本人が識別される保有個人データに係る施行規則第７条各号に定める事態が生じたという理由その他当該本人が識別される保有個人デ

17

現行

改正案
ータの取扱いにより当該本人の権利又は正当な利益が害されるおそれがあるという理由によって、当該保有個人データの利用停止等又は第三者への提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、
当該保有個人データの利用停止等又は第三者への提供の停止を行わなければならない。
ただし、当該保有個人データの利用停止等又は第三者への提供の停止に多額の費用を要する場合その他の利用停止等又は第三者への提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとると
きは、この限りでない。

４

会員は、第１項若しくは前項の規定による請求

３

会員は、第１項の規定による請求に係る保有個に係る保有個人データの全部若しくは一部につい人データの全部若しくは一部について利用停止等て利用停止等を行ったとき若しくは利用停止等をを行ったとき若しくは利用停止等を行わない旨の行わない旨の決定をしたとき、又は第２項若しくは決定をしたとき、又は前項の規定による請求に係る前項の規定による請求に係る保有個人データの全

保有個人データの全部若しくは一部について第三部若しくは一部について第三者提供を停止したと者提供を停止したとき若しくは第三者提供を停止

き若しくは第三者提供を停止しない旨を決定した

しない旨を決定したときは、本人に対し、遅滞なく、ときは、本人に対し、遅滞なく、その旨（本人から

その旨（本人から求められた措置と異なる措置を行求められた措置と異なる措置を行う場合には、そのう場合には、その措置内容を含む。
）を通知しなけれ

措置内容を含む。
）を通知しなければならない。

ばならない。

（理由の説明）（理由の説明）

第 18 条 会員は、第１４条第３項、第１５条第２第 18 条項、第１６条第２項又は第１７条第４項の規定によ項、第１６条第２項又は第１７条第３項の規定により、本人から求められ、又は請求された措置の全部り、本人から求められ、又は請求された措置の全部又は一部について、その措置をとらない旨を通知す又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知

る場合又はその措置と異なる措置をとる旨を通知する場合において、本人に対しその理由を説明する

する場合において、本人に対しその理由を説明する

際には、措置をとらないこと又は異なる措置をとる

際には、措置をとらないこと又は異なる措置をとることとした判断の根拠及び根拠となる事実を示すこととした判断の根拠及び根拠となる事実を示すこととする。

こととする。

18

会員は、第１４条第３項、第１５条第２

現行

改正案
（開示等の請求等に応じる手続）（開示等の請求等に応じる手続）

第 19 条 会員は、第１４条第２項の規定による求第 19 条め又は第１５条第１項、第１６条第１項若しくは第め又は第１５条第１項、第１６条第１項若しくは第１７条第１項から第３項の規定による請求（以下１７条第１項若しくは第２項の規定による請求（以「開示等の請求等」という。）に関し、その求め又は下「開示等の請求等」という。）に関し、その求め又請求を受け付ける方法として、次の各号に掲げる事は請求を受け付ける方法として、次の各号に掲げる項を合理的な範囲で定めることができる。

事項を合理的な範囲で定めることができる。

（手数料）

（手数料）

第 20 条 会員は、第１４条第２項の規定による保第 20 条有個人データの利用目的の通知を求められた又は有個人データの利用目的の通知を求められた又は第１５条第１項の規定による保有個人データ若し第１５条第１項の規定による保有個人データの開くは第三者提供記録の開示の請求を受けたときは、示の請求を受けたときは、当該措置の実施に関し、当該措置の実施に関し、手数料を徴収することがで手数料を徴収することができる。また、手数料の額きる。また、手数料の額を定めたときは、本人の知を定めたときは、本人の知り得る状態に置くこととり得る状態に置くこととする。

する。

（個人データ等の漏えい等の報告等）（個人情報等の漏えい事案等への対応）

第 22 条

第 22 条会員は、施行規則第７条各号に定める事

会員は、第１４条第２項の規定による求会員は、第１４条第２項の規定による保

会員は、個人情報の漏えい事案等又は匿態を知ったときは、通則ガイドライン３－５－３に名加工情報の作成に用いた個人情報から削除した

従って、監督当局等及び協会に報告しなければなら

記述等及び個人識別符号並びに保護法第 36 条第１ない。

項の規定により行った加工の方法に関する情報のまた、会員は、その取り扱う個人である顧客等に関漏えい事案（以下「個人情報等の漏えい事案等」とする個人データの漏えい等が発生し、又は発生したいう。）の事故が発生した場合には、監督当局等及びおそれがある事態を知ったときは、監督当局及び協協会に直ちに報告することとする。

会に報告しなければならない。

２

会員は、次に掲げる事態（前項に規定する事態

２

会員は、個人情報等の漏えい事案等の事故が発を除く。）を知ったときは、同項の規定に準じて、監生した場合には、二次被害の防止、類似事案の発生

督当局及び協会に報告することとする。

回避等の観点から、当該事案等の事実関係及び再発（１）防止策等を早急に公表することとする。

その取り扱う個人情報の漏えい等が発生し、又は発生したおそれがある事態（２） その取り扱う仮名加工情報に係る削除情報等（保護法第 41 条第１項の規定により行われた加工の方法に関する情報にあっては、その情報を用いて仮名加工情報の作成に用いられた個人情報を復元することができるものに限る。次項において同

19

現行

改正案
じ。）又は匿名加工情報に係る加工方法等情報の漏えいが発生し、又は発生したおそれがある事態

３

会員は、施行規則第７条各号に定める事態を知３

会員は、個人情報等の漏えい事案等の事故が発ったときは、通則ガイドライン３－５－４に従い、 生した場合には、漏えい事案等の対象となった本人
本人への通知等を行わなければならない。

に速やかに当該事案等の事実関係等の通知等を行

また、会員は、次に掲げる事態（施行規則第７条各うこととする。

号に定める事態を除く。）を知ったときも、これに準じて、本人への通知等を行うこととする。
（１） その取り扱う個人データ（仮名加工情報である個人データを除く。）の漏えい等が発生し、又は発生したおそれがある事態（２） その取り扱う個人情報（仮名加工情報である個人情報を除く。）の漏えい等が発生し、又は発生したおそれがある事態（３） その取り扱う仮名加工情報に係る削除情報
等又は匿名加工情報に係る加工方法等情報の漏えいが発生し、又は発生したおそれがある事態

４

会員は、第１項及び第２項に規定する事態が発（新設）覚した場合は、当該事態の内容等に応じて、次に掲げる事項について必要な措置を講じなければならない。
（１） 事業所内部における報告及び被害の拡大防
止（２）

事実関係の調査及び原因の究明（３）

影響範囲の特定（４）

再発防止策の検討及び実施

また、当該事態の内容等に応じて、二次被害の防止、類似事案の発生回避等の観点から、当該事態の事実関係及び再発防止策等について、速やかに公表することとする。

附則（2022 年 3 月 23 日）
この改正は、2022 年 4 月 1 日から施行する。
（注）改正条項は、次のとおりである。
(1)第 1 条、第 2 条、第 6 条、第 10 条、第 11 条、

20

現行

改正案
第 12 条、第 13 条、第 13 条の 2、第 13 条の 3、第13 条の 4、第 13 条の 5、第 14 条、第 15 条、第 16条、第 17 条、第 18 条、第 19 条、第 20 条及び第 22条を改正。
(2)第 13 条の 6 を新設。

注:ゴシック太字下線部が改正箇所
以上

21

「個人情報の保護に関する取扱指針」の参考及び参照条文の一部改正（案）
平成１７年３月２３日
理 事 会 決 議
平成 19 年 10 月 24 日
平成 22 年 2 月 24 日
平成 27 年 9 月 16 日
平成 27 年 12 月 16 日
平成 29 年 5 月 24 日
2022 年 3 月 23 日

個人情報の保護に関する取扱指針

参考

一部改正
一部改正
一部改正
一部改正
一部改正
一部改正

参照条文

（目的等）
第１条 この取扱指針は、個人情報の保護に関する法律（以下「保護法」という。
）、個人情報の保護に関する法律施行令（以会員が行う投資運用業又は投資助言・代理業以外の業における個人情報の取扱いについて 保護法第 1 条、第 54 条

下「施行令」という。
）、個人情報の保護に関する法律施行規則（以下「施行規則」という。
）、個人情報の保護に関する基は、当該業務に関する認定個人情報保護団体等が定める個人情報保護指針等を遵守し、該当す 金融分野ｶﾞｲﾄﾞﾗｲﾝ第 1 条

本方針（以下「基本方針」という。
）、個人情報の保護に関する法律についてのガイドライン（通則編）（以下「通則ガイド

る指針等がないときは、この取扱指針の趣旨に沿って、個人情報の適正な取扱いに努めるもの 通則ﾞｲﾄﾞﾗｲﾝ 1

ライン」という。
）、同ガイドライン（外国にある第三者への提供編）、同ガイドライン（第三者提供時の確認・記録義務とする。

編）及び同ガイドライン（仮名加工情報・匿名加工情報編）並びに金融分野における個人情報保護に関するガイドライン（以下「金融分野ガイドライン」という。
）及び金融分野における個人情報保護に関するガイドラインの安全管理措置等 （注）会員の役職員の雇用等管理における個人情報（採用、賃金、人事評価、健康診断に係る情報等）及び会員自身の株主に関する個人情報については、この取扱指針の適用対象としない。

（以下「個人情報保護関連法令等」という。
）についての実務指針等を踏まえ、会員の行う投資運用業又は投資助言・代理業における個人情報の適正な取扱いを確保するため、会員が講ずべき具体的な措置等を定めるものである。
なお、この取扱指針は個人情報保護関連法令等を基礎としており、この取扱指針において特に定めのない部分について
は、個人情報保護関連法令等が適用される。

２ 会員は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。

保護法第 19 条
通則ﾞｲﾄﾞﾗｲﾝ 3-2（定義）
第２条 この取扱指針において使用する用語は、別に定める場合を除き、個人情報保護関連法令等において使用する用語の

この取扱指針において使用する用語は、別に定める場合を除き、「通則ガイドライン」等に 通則ﾞｲﾄﾞﾗｲﾝ 2

例による。

おいて使用する用語の例による。

（１） 個人情報保護法第 2 条第 1 項、

生存する個人に関する情報であって、特定の個人を識別することができるもの（他の情報と容易に照合することが 「他の情報と容易に照合することができ」るに該当する例
でき、それにより特定の個人を識別することができるものを含む。
）、又は個人識別符号が含まれるものをいう。

第2項

例えば、通常の作業範囲において、個人情報データベース等にアクセスし、照合するこ 施行令第 1 条「個人に関する情報」とは、氏名、住所、性別、生年月日、顔画像等個人を識別する情報に限られず、個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表すすべての情報であり、評価情報、公刊物等によって公とができる状態をいう。他の事業者への照会を要する場合や会員内部でも部門が異なる場 施行規則第 2 条～第 4 条
合等であって照合が困難な状況にある場合は、該当しない。

にされている情報や、映像、音声による情報も含まれ、暗号化等によって秘匿化されているかどうかを問わない。
「個人識別符号」とは、当該情報単体から特定の個人を識別できるものとして施行令第一条に定められた文字、番号、記号その他の符号をいう。これら「個人に関する情報」が、氏名等と相まって「特定の個人を識別することができる」ことになれば、それが「個人情報」となる。
なお、生存しない個人に関する情報が、同時に、遺族等の生存する個人に関する情報に当たる場合には、当該生存1

通則ｶﾞｲﾄﾞﾗｲﾝ 2-1、2-2

個人情報の保護に関する取扱指針

参考

参照条文

する個人に関する情報となる。
また、企業名等、法人その他の団体に関する情報は、基本的に「個人情報」には該当しないが、役員の氏名などの個人に関する情報が含まれる場合には、その部分については、「個人情報」に該当する。
さらに、「個人」には外国人も当然に含まれる。

（２） 個人情報データベース等(1)「個人情報データベース等」に該当する例

個人情報を含む情報の集合物であって、次に掲げるものをいう。ただし、利用方法からみて個人の権利利益を害す

例えば、次のようなものが該当する。

るおそれが少ないものを除く。

保護法第 2 条第 4 項
施行令第 3 条① 従業員が、名刺の情報を業務用パソコン（所有者を問わない。
）に表計算ソフト等を用 通則ｶﾞｲﾄﾞﾗｲﾝ 2-4
いて入力、整理している場合（２号イ）

イ 特定の個人情報をコンピューターを用いて検索することができるように体系的に構成したもの
ロ イに掲げるもののほか、個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索する② コンピューターを用いていない場合であっても、五十音順に索引を付して並べられた
顧客管理資料等（２号ロ）

ことができるように体系的に構成したものであって、目次、索引、符号等により容易に検索可能な状態に置かれているもの(2)「個人情報データベース等」に該当しない例① 名刺を分類整理せずに名刺箱等において保有している状態である場合② アンケートの戻りはがきで、氏名、住所等で分類整理されていない状態である場合③ 市販等されている人名録・会社情報等で、一切加工されていない状態である場合（３） 個人データ(1)「個人データ」に該当する例

個人情報データベース等を構成する個人情報をいう。

例えば、次のようなものが該当する。

保護法第 2 条第 6 項
通則ｶﾞｲﾄﾞﾗｲﾝ 2-6① 個人情報データベース等から記録媒体へダウンロードされた個人情報② 個人情報データベース等から紙面に出力されたもの（又はそのコピー）③ データ入力前の紙ベースの契約書や顧客管理資料等であっても、五十音順や顧客番号順等により検索可能な状態になっている場合（「個人情報データベース等」に該当）において、当該個人情報データベースを構成する個人情報④ 「氏名」を削除する等、第三者にとって特定の個人を識別することができないようにしたデータであっても、会員から見れば、他の情報と照合することで特定の個人情報を識別することができ、かつ、特定の個人情報を容易に検索可能である場合（「個人情報デー
タベース等」に該当）において、当該個人情報データベースを構成する個人情報(2)「個人データ」に該当しない例
例えば、データ入力前の紙ベースの契約書や顧客管理資料等が、五十音順や顧客番号順等
により検索可能な状態になっていない場合（「個人情報データベース等」に該当しない）において、その中に含まれる個人情報は該当しない。

（４） 保有個人データ(1)「保有個人データ」に該当する例

会員が、本人又はその代理人から求められる開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提例えば、次のようなものが該当する。

供の停止のすべての権限を有する個人データであって、次に掲げるもの以外のものをいう。

保護法第 2 条第 7 項
施行令第 4 条、第 5 条① 自社が作成、処理した個人情報データベース等（自社の顧客などのデータベース、又 通則ｶﾞｲﾄﾞﾗｲﾝ 2-72個人情報の保護に関する取扱指針

参考

参照条文

はそれらの書類、帳簿）を構成する個人情報② 企業データ等の外部のデータを会員内部のデータと組み合わせて保有している場合、組み合わせて作成・保有する当該データベースは、会員自らで訂正権限があると判断されるため、「保有個人データ」に該当する。

(2)「保有個人データ」に該当しない例
例えば、他社から取得したデータベース等、自社で開示等を行う権限がないものは該当しない（「保有個人データ」は、開示、訂正、追加又は削除、停止、消去及び第三者への提供停止のすべてに応じることができる権限を有する個人データであることが要件になっている。
）。

イ 当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの

ロ 当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるも 第４号ロの具体例の① 不審者情報やクレーマー情報、総会屋情報② 暴力団等の反社会的勢力情報

ハ 当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼 第４号ハの具体例
関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの

要人の行動予定情報

ニ 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持 第４号ニの具体例に支障が及ぶおそれがあるもの① 警察などから受けた捜査関係事項照会の対象情報② 犯罪収益との関係が疑われる取引（疑わしい取引）の届出の対象情報

ホ ６か月以内に消去するもの
保護法第 2 条第 8 項（５） 本人
個人情報によって識別される特定の個人をいう。

保護法第 2 条第 3 項（６） 要配慮個人情報施行令第 2 条

不当な差別や偏見その他の不利益が生じないように特に配慮を要するものとして、特定の記述等が含まれる個人情施行規則第 5 条

報をいう。

通則ｶﾞｲﾄﾞﾗｲﾝ 2-3

保護法第 2 条第 9 項（７） 匿名加工情報

通則ｶﾞｲﾄﾞﾗｲﾝ 2-8

個人情報を個人情報の区分に応じて定められた措置を講じて特定の個人を識別することができないように加工して3

個人情報の保護に関する取扱指針

参考

参照条文

得られる個人に関する情報であり、当該個人情報を復元して特定の個人を再識別することができないようにしたものをいう。
（利用目的の特定）第３条 会員は、個人情報の取扱いに当たっては、個人情報がどのような事業の用に供され、どのような目的で利用される (1) 事業内容の具体例
かを本人が合理的に予想できるようできる限り特定しなければならない。

保護法第 17 条第 1 項① 投資助言業(投資助言業務)

金融分野ｶﾞｲﾄﾞﾗｲﾝ第 2 条② 投資一任契約に係る業務

第1項
通則ｶﾞｲﾄﾞﾗｲﾝ 3-1-1(2) 利用目的の具体例
利用目的は、例えば、以下のように具体的に記載する。
① お客様との投資顧問契約(助言業務)又は投資一任契約に関する事務を行うため② 投資助言サービスの提供を行うため③ お客様に対し、運用結果、契約資産残高等の報告を行うため④ その他、必要な連絡を取るなどお客様への対応を適切かつ円滑に履行するため

なお、「当社の所要の目的で用いるため」、「当社の事業活動に用いるため」又は「当社の提供するサービスの向上のため」といった抽象的な利用目的は、「できる限り特定」したものとは認められない。

２ 会員は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行っ （許容例）「商品案内等を郵送」→「商品案内等をメール送付」てはならない。

保護法第 17 条第 2 項
通則ｶﾞｲﾄﾞﾗｲﾝ 3-1-2（認められない例）「アンケート集計に利用」→「商品案内等の郵送に利用」
３ 会員は、特定の個人情報の利用目的が、法令等に基づき限定されている場合には、その旨を明示することとする。

金融分野ｶﾞｲﾄﾞﾗｲﾝ第 2 条
第2項（利用目的による制限）
第４条 会員は、あらかじめ本人の同意を得ることなく、前条第１項により特定した利用目的の達成に必要な範囲を超えて、「本人の同意」とは、本人の個人情報が会員によって示された取扱方法で取り扱われること 保護法第 18 条第 1 項を承諾する旨の当該本人の意思表示をいう(当該本人であることを確認できることが前提。)。 通則ｶﾞｲﾄﾞﾗｲﾝ 3-1-3

個人情報を取り扱ってはならない。
ただし、あらかじめ本人の同意を得るために個人情報を利用することは、当初特定した利用目的にない場合でも、目的外利用には当たらない。

２ 会員は、合併その他の事由により他の個人情報取扱事業者等から事業を承継することに伴って個人情報を取得した場保護法第 18 条第 2 項

合は、あらかじめ本人の同意を得ないで、承継前における当該他の個人情報取扱事業者等の個人情報の利用目的の達成

通則ｶﾞｲﾄﾞﾗｲﾝ 3-1-4に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
ただし、あらかじめ本人の同意を得るために個人情報を利用することは、承継前の利用目的にない場合でも、目的外利用には当たらない。

３ 前２項は、次に掲げる場合については適用しない。

例えば、次のようなものが該当する。

4

保護法第 18 条第 3 項

個人情報の保護に関する取扱指針

参考（１） 法令に基づく場合① 金融商品取引法第 56 条の 2（報告の徴取及び検査)

参照条文
金融分野ｶﾞｲﾄﾞﾗｲﾝ第 4 条② 金融商品取引法第 210 条、第 211 条等（証券取引等監視委員会職員による犯則事件の調 通則ｶﾞｲﾄﾞﾗｲﾝ 3-1-5
査）③ 犯罪による収益の移転防止に関する法律（以下「犯罪収益移転防止法」という。
）第８条
第１項（疑わしい取引の届出）④ 国税通則法第 74 条の 2 から第 74 条の 6（税務当局職員の質問検査権）⑤ 国税犯則取締法第 1 条等（収税官吏の行う犯則事件の検査又は収税官吏若しくは徴税吏
員の行う犯則事件の任意調査）⑥ 地方税法第 72 条の 63（事業税に係る総務省の職員の質問検査権）⑦ 国税徴収法第 141 条（質問及び検査）⑧ 刑事訴訟法第 197 条（捜査関係事項照会）⑨ 刑事訴訟法第 218 条第 1 項（令状による差押え・捜索・検証）⑩ 民事訴訟法第 223 条（文書提出命令）⑪ 弁護士法第 23 条の２第２項（報告の請求）
なお、当該法令に、第三者が個人情報の提供を求めることができる旨の規定はあるが、正当な事由に基づきそれに応じないことができる場合には、会員は、当該法令の趣旨に照らして目
的外利用の必要性と合理性が認められる範囲内で対応するよう留意する。

（２） 人の生命、身体又は財産（法人の財産を含む。
）の保護のために必要がある場合であって、本人の同意を得るこ

例えば、次のようなものが該当する。

とが困難であるとき① いわゆる総会屋又は暴力団等、反社会的団体若しくはその構成員等の違法行為に関する情報を収集する場合② 顧客等の急病に対処するため家族の連絡先等について医療機関へ情報提供する場合③ 地震、災害等により本人が行方不明である状況が継続している場合における当該本人の親族への契約内容等の開示④ 暴力団等の反社会的勢力情報、業務妨害行為を行う悪質者情報を企業間で共有する場合（３） 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（４） 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する

例えば、次のようなものが該当する。

必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき① 税務当局の任意調査に応じる場合② 警察の任意調査に応じる場合③ 一般統計調査に回答する場合
なお、会員は、任意の求めの趣旨に照らして目的外利用の必要性と合理性が認められる範囲内で対応するよう留意する。

（「同意」の形式）
第５条 会員は、第４条、第１３条及び第１３条の２に定める本人の同意を得る場合には、原則として、書面（電磁的記録(1)「同意」を得る方法の具体例

5

金融分野ｶﾞｲﾄﾞﾗｲﾝ第 3 条

個人情報の保護に関する取扱指針

参考例えば、次のような方法がある。

を含む。以下同じ。
）によることとする。

参照条文
通則ｶﾞｲﾄﾞﾗｲﾝ 2-16

① 本人から直接個人情報を取得する書面上又は別の書面上に利用目的及び同意する旨の確

なお、本人が未成年者、成年被後見人、被保佐人及び被補助人であって、個人情報の取扱いに関して同意したことによって生ずる結果について判断できる能力を有していない場合などは、親権者や法定代理人等から同意を得る必要がある。

認欄（チェック欄）を記載し、本人の署名（・捺印）を徴求して同意を得る方法② インターネット等の場合、画面上での同意の意思表示（了解ボタンのクリック等）又は同意文言を記載した本人からの電子メールの受領等による方法

なお、上記①又は②以外の電話等非対面の場合において、口頭による同意を得るときは、
顧客本人の同意の意思表示を録音するなど事後的に検証可能な体制をとることが望ましい。

(2) あらかじめ作成された同意書面を用いる場合の留意事項
文字の大きさ及び文章の表現を変えること等により、個人情報の取扱いに関する条項が他と明確に区分され、本人に理解されることが望ましい。
または、あらかじめ作成された同意書面に確認欄を設け本人がチェックを行うこと等、本人の意思が明確に反映できる方法により確認を行うことが望ましい。
（機微（センシティブ）情報）
官報、新聞又はテレビ等に記載・報道された公知の情報は、機微（センシティブ）情報には 金融分野ｶﾞｲﾄﾞﾗｲﾝ第 5 条

第６条 会員は、要配慮個人情報並びに労働組合への加盟、門地、本籍地、保健医療及び性生活（これらのうち要配慮個人

該当しない。

情報に該当するものを除く。
）に関する情報（本人、国の機関、地方公共団体、学術研究機関等、保護法第 57 条第１項各号に掲げる者若しくは施行規則第６条各号に掲げる者により公開されているもの、又は本人を目視し、若しくは撮影することにより取得するその外形上明らかなものを除く。
）（以下「機微（センシティブ）情報」という。
）については、次に掲 (留意事項)
平成 17 年 4 月 1 日以後、顧客から本人確認書類等として、本籍地が記載された運転免許証

げる場合を除くほか、取得、利用又は第三者への提供を行わないこととする。

等の写しの送付を受けた場合、ファイリング（保管）するまでの間に、速やかに、当該本籍地を黒塗りすれば、機微（センシティブ）情報の「取得」に当たらない。
なお、平成 17 年 4 月 1 日前に取得した機微（センシティブ）情報（１号から５号のいずれにも該当しないもの）については、同日以後は、利用又は第三者提供を行うことができない
ことに留意する。

（１） 法令等に基づく場合「法令等に基づく場合」の具体例
法律、政省令、条令、条約のほか、閣議決定や官公署が発出する公的な文書に基づく場合で、
例えば「暴力団員による不当な行為の防止等に関する法律」に基づく「暴力追放運動推進センター」の会議等の場で文書等に記載された暴力団や反社会的団体若しくはその構成員の反社会的行為に関する情報を取得する場合が該当する。

（２） 人の生命、身体又は財産の保護のために必要がある場合「人の生命、身体又は財産の保護のために必要がある場合」の具体例
例えば、いわゆる総会屋又は暴力団等、反社会的団体若しくはその構成員等を把握する目的で、犯罪情報を取得する場合（３） 公衆衛生の向上又は児童の健全な育成の推進のため特に必要がある場合

6第1項

個人情報の保護に関する取扱指針

参考

参照条文

（４） 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合（５） 会員の行う投資運用業又は投資助言・代理業の適切な業務運営を確保する必要性から、本人の同意に基づき業務遂行上必要な範囲で機微（センシティブ）情報を取得、利用又は第三者提供する場合

金融分野ｶﾞｲﾄﾞﾗｲﾝ第 5 条

２ 会員は、機微（センシティブ）情報を前項に掲げる場合に取得、利用又は第三者提供する場合には、同項に掲げる事

第2項

由を逸脱した取得、利用又は第三者提供を行うことのないよう、特に慎重に取り扱うこととする。

金融分野ｶﾞｲﾄﾞﾗｲﾝ第 5 条

３ 会員は、機微（センシティブ）情報を、第 1 項に掲げる場合に取得、利用又は第三者提供する場合には、例えば、要配第3項

慮個人情報を取得するに当たっては、保護法第 20 条第 2 項に従い、あらかじめ本人の同意を得なければならないとされていることなど、個人情報の保護に関する法令等に従い適切に対応しなければならない。

金融分野ｶﾞｲﾄﾞﾗｲﾝ第 5 条

４ 会員は、機微（センシティブ）情報を第三者へ提供するに当たっては、保護法第 27 条第 2 項（オプトアウト）の規定

第4項

を適用しないこととする。
（適正な取得）「不正の手段」に該当する例

第７条 会員は、偽りその他不正の手段により個人情報を取得してはならない。また、会員は、第三者から個人情報を取得

例えば、次のようなものが該当する。

するに際しては、本人の利益の不当な侵害を行ってはならず、個人情報の不正取得等の不当な行為を行っている第三者か① 本人に対して、個人情報の収集目的を隠し、又は偽って取得する場合

ら、当該情報が漏えいされた情報であること等を知ったうえで個人情報を取得してはならない。

② 保護法第 27 条に規定する第三者提供制限違反を強要して個人情報を取得した場合③ 他の事業者に指示して不正の手段で個人情報を取得させ、その事業者から個人情報を取得する場合(1) 提供元の法令遵守状況の確認の具体的方法

２ 会員は、第三者からの提供により個人情報を取得する場合には、提供元の法令遵守状況を確認するとともに、当該個

例えば、オプトアウト、利用目的、開示手続、問い合わせ・苦情の受付窓口を公表して人情報が適法に取得されたものであることを確認するものとする。

いることの確認などが考えられる。

(2) 提供を受ける個人情報が適法に取得されたものであることは、例えば以下のいずれかの方法で確認する。
① 取得の経緯を示す契約書等の書面の点検② 適法に取得されている旨の確認書の受入れ③ 口頭による適法性の確認のうえ、適正な社内記録の保存

なお、提供を受ける個人情報が適法に取得されたものであることを確認できない場合は、その取得を自粛することを含め、慎重な対応を検討することが望ましい。
（取得に際しての利用目的の通知・公表、明示等）

7

保護法第 20 条第 1 項
通則ｶﾞｲﾄﾞﾗｲﾝ 3-3-1

個人情報の保護に関する取扱指針

参考第８条 会員は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目 (1) 「通知」とは本人に直接知らせることをいう。
的を本人に通知し、又は公表しなければならない。
この場合において、「通知」の方法については、原則として書面によることとし、「公表」の方法については、勧誘方法

保護法第 21 条第 1 項「通知」の方法については、原則として、書面によることとする。

通則ｶﾞｲﾄﾞﾗｲﾝ 2-14、2-15、

例えば、次のような方法がある。

3-3-3① 文書の手交等の事業の態様に応じ適切な方法によらなければならない。

参照条文

金融分野ｶﾞｲﾄﾞﾗｲﾝ第 6 条② 電子メール、ファックスの送信③ 郵便による文書の送付(2) 「公表」とは不特定多数の人に知らせることをいう。
例えば、次のような方法がある。
① 書面等の掲示・備付け② パンフレットへの記載・配布③ ホームページへの掲載④ 営業所等でのポスター等の掲示（注）保護法施行前から保有している個人情報については、法施行時に個人情報の取得行為がなく、保護法第 21 条の規定は適用されない。

２ 会員は、前項の規定にかかわらず、本人との間で契約を締結すること等に伴って契約書その他の書面に記載された個 (1) 本人から書面により直接的に取得する場合の例
例えば、次のような場合がある。

人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。

① 本人から、投資顧問契約又は投資一任契約に係る書面等を受領する場合

ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

② 返信用ハガキ、アンケートに記載された個人情報を直接本人から取得する場合

なお、「法人と契約を締結することに伴って、法人代表者の個人情報が記載された契約書等の書面を取得した場合」であっても、「本人から直接書面に記載された当該本人の個人情報を取得する場合」に該当する。

(2) 「明示」の方法の具体例
例えば、次のような方法がある。
① 利用目的を記載した書面で明示する方法② 契約締結時に利用目的を契約書等に記載する方法③ ポスター等の掲示により明示する方法④ パンフレット又はチラシの配布等により明示する方法⑤ インターネット取引の場合は、顧客入力画面や顧客宛て電子メールにより明示する方法(3) 「明示」の内容等① 「明示」する内容は、取得した個人情報の利用目的である。
「明示」は、当該書面に記載された個人情報の利用目的のみを示す方法と、第３条により特定した包括的な利用目的の全部又は一部を示す方法のいずれかによるものとする。

8

保護法第 21 条第 2 項
通則ｶﾞｲﾄﾞﾗｲﾝ 3-3-4

個人情報の保護に関する取扱指針

参考

参照条文

② 本人に対して、契約締結時等に包括的な利用目的を明示している場合で、当該書面に記載された個人情報の利用目的が、契約締結時等に明示された包括的な利用目的の範囲内にある
ときは、当該書面による個人情報を取得する都度、あらためて利用目的の明示を行う必要はない。

３ 会員は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。

保護法第 21 条第 3 項
通則ｶﾞｲﾄﾞﾗｲﾝ 3-1-2

４ 前各項の規定は、次に掲げる場合については適用しない。

保護法第 21 条第 4 項
通則ｶﾞｲﾄﾞﾗｲﾝ 3-3-5
金融分野ｶﾞｲﾄﾞﾗｲﾝ第 6 条
第3項（１） 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害す 第 4 項第 1 号の具体例
るおそれがある場合

例えば、暴力団等の反社会的勢力情報、疑わしい取引の届出の対象情報、業務妨害行為を行う悪質者情報の提供者が逆恨みを買うおそれがある場合（２） 利用目的を本人に通知し、又は公表することにより当該会員の権利又は正当な利益を害するおそれがある場合

第 4 項第 2 号の具体例
例えば、次のようなものが該当する。
① 開発中の新サービス、営業ノウハウが明らかになることにより、企業の健全な競争を害す
る場合② 暴力団等の反社会的勢力情報、疑わしい取引の届出の対象情報、業務妨害行為を行う悪質者情報を取得したことが明らかになることにより、情報提供を受けた企業に害が及ぶ場合（３） 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用 第 4 項第 3 号の具体例
目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき

例えば、犯罪捜査への協力のため、被疑者等に関する情報を取得した場合（４） 取得の状況からみて利用目的が明らかであると認められる場合

第 4 項第 4 号の具体例
例えば、次のようなものが該当する。
① 電話等での資料請求に対して、請求者が提供した住所及び氏名に関する情報を請求された資料の送付のみに利用する場合② 今後連絡を取り合うために名刺交換をした場合③ 着信において相手方の電話番号が非通知でない場合で、同じ用件で当方から相手方に電話を掛け直す場合（データ内容の正確性の確保）
第９条 会員は、利用目的の達成に必要な範囲内において、個人情報データベース等への個人情報の入力時の照合・確認の (1) 「個人データを正確かつ最新の内容に保つ」方法について手続の整備、誤り等を発見した場合の訂正等の手続の整備、記録事項の更新、保存期間の設定等を行うことにより、個人

例えば、次のような方法がある。

9

保護法第 22 条
通則ｶﾞｲﾄﾞﾗｲﾝ 3-4-1

個人情報の保護に関する取扱指針

参考① 顧客に対して、正確かつ最新のデータ提供を働きかける方法

データを正確かつ最新の内容に保つよう努めなければならない。
なお、保有する個人データを一律に又は常に最新化する必要はなく、それぞれの利用目的に応じて、その必要な範囲内

参照条文
金融分野ｶﾞｲﾄﾞﾗｲﾝ第 7 条② 顧客からの届出内容について、迅速かつ正確に個人情報データベース等に反映する方法

で正確性・最新性を確保すれば足りる。
また、会員は、保有する個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的 (2) 「保存期間」についてとの関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当保存期間は、合理的理由を伴う永久保存も該当する。

該目的の前提となる事業自体が中止となった場合等は、当該個人データを遅滞なく消去するよう努めなければならない。
なお、法令の定めにより保存期間等が定められている場合は、この限りではない。

（安全管理措置）
第 10 条 会員は、その取り扱う個人データの漏えい、滅失又は毀損（以下「漏えい等」という。
）の防止その他の個人デー

保護法第 23 条

タの安全管理のため、「金融分野における個人情報保護に関するガイドラインの安全管理措置等についての実務指針」に

通則ｶﾞｲﾄﾞﾗｲﾝ 3-4-2

基づき、安全管理に係る基本方針・取扱規程等の整備及び安全管理措置に係る実施体制の整備等の必要かつ適切な措置を金融分野ｶﾞｲﾄﾞﾗｲﾝ第 8 条

講じなければならない。また、必要かつ適切な措置は、個人データの取得・利用・保管等の各段階に応じた「組織的安全
管理措置」、「人的安全管理措置」、「物理的安全管理措置」、「技術的安全管理措置」及び「外的環境の把握」を含むものでなければならない。
当該措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、
個人データの取扱状況（取り扱う個人データの性質及び量を含む。
）並びに個人データを記録した媒体の性質等に起因するリスクに応じたものとする。
例えば、不特定多数者が書店で随時に購入可能な名簿で、会員において全く加工をしていないものについては、個人の権利利益を侵害するおそれは低いと考えられることから、それを処分するために文書細断機等による処理を行わずに廃棄し、又は廃品回収に出したとしても、会員の安全管理措置の義務違反にはならない。
本条における用語の定義は、次のとおりである。
（１） 組織的安全管理措置
個人データの安全管理措置について役職員（会員の組織内にあって、直接又は間接に会員の指揮監督を受けて会員の業務に従事する者をいい、雇用関係にある従業者（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）
のみならず、会員との間の雇用関係にない者（取締役、執行役、監査役、派遣社員等）も含まれる。以下同じ。
）の責任と権限を明確に定め、安全管理に関する規程等を整備・運用し、その実施状況の点検・監査を行うこと等の、会員の体制整備及び実施措置をいう。
（２） 人的安全管理措置
役職員との個人データの非開示契約の締結及び役職員に対する教育・訓練等を実施し、個人データの安全管理が図られるよう役職員を監督することをいう。
（３） 技術的安全管理措置
個人データ及びそれを取り扱う情報システムへのアクセス制御及び情報システムの監視等の、個人データの安全管理に関する技術的な措置をいう。

２ 会員は、外国において個人データを取り扱う場合には、外的環境を把握した上で、個人データの安全管理のために必要かつ適切な措置を講じなければならない。

10

個人情報の保護に関する取扱指針

参考

３ 会員は、個人データの安全管理に係る基本方針・取扱規程等の整備として、以下の「組織的安全管理措置」を講じなければならない。
（１） 規程等の整備
イ 個人データの安全管理に係る基本方針の整備
ロ 個人データの安全管理に係る取扱規程の整備
ハ 個人データの取扱状況の点検及び監査に係る規程の整備
ニ 外部委託に係る規程の整備（２） 各管理段階における安全管理に係る取扱規程
イ 取得・入力段階における取扱規程
ロ 利用・加工段階における取扱規程
ハ 保管・保存段階における取扱規程
ニ 移送・送信段階における取扱規程
ホ 消去・廃棄段階における取扱規程
ヘ 漏えい等事案（漏えい等又はそのおそれのある事案をいう。以下同じ。
）への対応の段階における取扱規程

４ 会員は、個人データの安全管理に係る実施体制の整備として、以下の「組織的安全管理措置」、「人的安全管理措置」、「物理的安全管理措置」及び「技術的安全管理措置」を講じなければならない。
（１） 組織的安全管理措置
イ 個人データの管理責任者等（個人データの安全管理に係る業務遂行の総責任者である個人データ管理責任者、個人データを取り扱う各部署における個人データ管理者）の設置
ロ 就業規則等における安全管理措置の整備
ハ 個人データの安全管理に係る取扱規程に従った運用
ニ 個人データの取扱状況を確認できる手段の整備
ホ 個人データの取扱状況の点検及び監査体制の整備と実施
ヘ 漏えい等事案に対応する体制の整備（２） 人的安全管理措置
イ 従業者との個人データの非開示契約等の締結
ロ 従業者の役割・責任等の明確化
ハ 従業者への安全管理措置の周知徹底、教育及び訓練
ニ 従業者による個人データ管理手続の遵守状況の確認（３） 物理的安全管理措置
イロ
ハニ

個人データの取扱区域等の管理機器及び電子媒体等の盗難等の防止
電子媒体等を持ち運ぶ場合の漏えい等の防止
個人データの削除及び機器、電子媒体等の廃棄（４） 技術的安全管理措置

11

参照条文

個人情報の保護に関する取扱指針

参考

参照条文

イ 個人データの利用者の識別及び認証
ロ 個人データの管理区分の設定及びアクセス制御
ハ 個人データへのアクセス権限の管理
ニ 個人データの漏えい等防止策
ホ 個人データへのアクセスの記録及び分析
へ 個人データを取り扱う情報システムの稼動状況の記録及び分析
ト 個人データを取り扱う情報システムの監視及び監査（従業者の監督）
第 11 条 会員は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、適 （注）役職員の定義については、第 10 条参照
切な内部管理体制を構築し、その従業者に対する必要かつ適切な監督を行わなければならない。

保護法第 24 条「従業者」とは、個人情報取扱事業者の組織内にあって直接間接に事業者の指揮監督を受けて 通則ｶﾞｲﾄﾞﾗｲﾝ 3-4-3

当該監督は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人 事業者の業務に従事している者等をいい、雇用関係にある従業員（正社員、契約社員、嘱託社員、 金融分野ｶﾞｲﾄﾞﾗｲﾝ第 9 条
データの取扱状況等に起因するリスクに応じたものとする。

パート社員、アルバイト社員等）のみならず、取締役、執行役、理事、監査役、監事、派遣社員等も含まれる（通則ガイドライン 3-4-3）。

２ 会員は、前項の従業者に対する「必要かつ適切な監督」を以下の体制整備等により行わなければならない。
（１） 従業者が、在職中及びその職を退いた後において、当該会員の行う投資運用業又は投資助言・代理業に関して知り得た個人データを第三者に知らせ、又は利用目的外に使用しないことを内容とする契約等を採用時等に締結する
こと(２） 個人データの適正な取扱いのための取扱規程の策定を通じた従業者の役割・責任の明確化及び従業者への安全管
理義務の周知徹底、教育及び訓練を行うこと（３） 従業者による個人データの持出し等を防ぐため、社内での安全管理措置に定めた事項の遵守状況等の確認及び従業者における個人データの保護に対する点検及び監査制度を整備すること（委託先の監督）
第 12 条 会員は、個人データの取扱いの全部又は一部を委託（契約の形態や種類を問わず、会員が他の者に個人データの （注）委託先には、外国の委託先も含まれる。

保護法第 25 条

取扱いの全部又は一部を行わせることを内容とする契約の一切を含む。
）する場合は、その取扱いを委託された個人デー

通則ｶﾞｲﾄﾞﾗｲﾝ 3-4-4

タの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

金融分野ｶﾞｲﾄﾞﾗｲﾝ第 10 条

当該監督は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質並びに個人データの取扱状況等に起因するリスクに応じたものとする。

２ 会員は、個人データを適正に取り扱っていると認められる者を選定し委託するとともに、取扱いを委託した個人デー
タの安全管理措置が図られるよう、個人データの安全管理のための措置を委託先においても確保しなければならない（二段階以上の委託が行われた場合には、委託先の事業者が再委託先等の事業者に対して十分な監督を行っているかについても監督を行わなければならない。
）。
具体的には、例えば、以下の対応等が必要である。
(１) 個人データの安全管理のため、委託先における組織体制の整備及び安全管理に係る基本方針・取扱規程の策定等の内容を委託先選定の基準に定め、当該基準を定期的に見直すこと
なお、委託先の選定に当たっては、必要に応じて個人データを取り扱う場所に赴く（テレビ会議システムを利用する方法を含む。以下同じ。
）又はこれに代わる合理的な方法による確認を行った上で、個人データ管理責任者等が12

個人情報の保護に関する取扱指針

参考

参照条文

適切に評価することが望ましい。
(２) 委託者の監督・監査・報告徴取に関する権限、委託先における個人データの漏えい・盗用・改ざん及び目的外利用の禁止、再委託に関する条件及び漏えい等事案が発生した場合の委託先の責任を内容とする安全管理措置を委託契約に盛り込むとともに、定期的に監査を行う等により、定期的又は随時に当該委託契約に定める安全管理措置等の遵守状況を確認し、当該安全管理措置を見直すこと
なお、委託契約に定める安全管理措置等の遵守状況については、個人データ管理責任者等が、当該安全管理措置
等の見直しを検討することを含め、適切に評価することが望ましい。
委託先が再委託を行おうとする場合は、委託元は委託を行う場合と同様、再委託の相手方、再委託する業務内容
及び再委託先の個人データの取扱方法等について、委託先に事前報告又は承認手続を求め、かつ、直接又は委託先を通じて定期的に監査を実施する等により、委託先が再委託先に対して本条の委託先の監督を適切に果たすこと及び再委託先が保護法第 23 条に基づく安全管理措置を講ずることを十分に確認することが望ましい。
再委託先が再々委託を行う場合以降も、再委託を行う場合と同様とする。
（第三者提供の制限）
第 13 条 会員は、個人データの第三者（個人データを提供しようとする会員及び当該個人データに係る本人のいずれにも該当しないものをいい、自然人、法人その他の団体を問わない。第１３条の２から第１３条の５を除き、以下同じ。
）への個人データを第三者に提供する場合の留意事項

保護法第 27 条第 1 項

取得した個人データを第三者に提供するに当たっては、次のいずれに該当するかを確認す 金融分野ｶﾞｲﾄﾞﾗｲﾝ第 12 条

提供にあたり、あらかじめ本人の同意を得ないで提供してはならない。同意の取得にあたっては、事業の規模及び性質、る必要がある。

第1項

個人データの取扱状況（取り扱う個人データの性質及び量を含む。
）等に応じ、本人が同意に係る判断を行うために必要① 本人の同意を得る方法（同意が推定される場合を含む。
）

通則ｶﾞｲﾄﾞﾗｲﾝ 3-6-1と考えられる合理的かつ適切な範囲の内容を明確に示さなければならない。個人データの第三者提供についての本人の同② 法令に基づく場合等の適用除外の場合（第 1 項第 1 号～第 4 号）

意を得る際には、原則として、書面によることとし、当該書面における記載を通じて、個人データの提供先の第三者、提③ オプトアウト(本人の求めによる提供停止)による場合（第 2 項）

供先の第三者における利用目的、及び第三者に提供される個人データの項目を本人に認識させた上で同意を得ることと④ 委託の場合（第 4 項第 1 号）する。

⑤ 合併等の事業承継の場合（第 4 項第 2 号）

なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的において、その旨を特定しなければならない。

⑥ 共同利用の場合（第 4 項第 3 号）
⑦ 再委任の場合（第 4 項第 4 号）

ただし、次に掲げる場合には、第三者への個人データの提供にあたって本人の同意は不要である。

例えば、次のようなものが該当する。

（１） 法令に基づく場合① 金融商品取引法第 56 条の 2（報告の徴取及び検査)② 金融商品取引法第 210 条、第 211 条等（証券取引等監視委員会職員による犯則事件の調査）③ 犯罪収益移転防止法第８条第１項（疑わしい取引の届出）④ 国税通則法第 74 条の 2 から第 74 条の 6（税務当局職員の質問検査権）⑤ 国税犯則取締法第 1 条等（収税官吏の行う犯則事件の検査又は収税官吏若しくは徴税吏
員の行う犯則事件の任意調査）⑥ 地方税法第 72 条の 63（事業税に係る総務省の職員の質問検査権）⑦ 国税徴収法第 141 条（質問及び検査）⑧ 刑事訴訟法第 197 条（捜査関係事項照会）⑨ 刑事訴訟法第 218 条第 1 項（令状による差押え・捜索・検証）13個人情報の保護に関する取扱指針

参考

参照条文

⑩ 民事訴訟法第 223 条（文書提出命令）⑪ 弁護士法第 23 条の２第２項（報告の請求）（２） 人の生命、身体又は財産（法人の財産を含む。
）の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき

例えば、次のようなものが該当する。
① いわゆる総会屋又は暴力団等、反社会的団体若しくはその構成員等の違法行為に関する情報を提供する場合② 顧客等の急病に対処するため家族の連絡先等について医療機関へ情報提供する場合③ 地震、災害等により本人が行方不明である状況が継続している場合における当該本人の親族への契約内容等の提供④ 暴力団等の反社会的勢力情報、業務妨害行為を行う悪質者情報を企業間で共有する場合（３） 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（４） 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき

例えば、次のようなものが該当する。
① 税務当局の任意調査に応じる場合② 警察の任意調査に応じる場合③ 一般統計調査に回答する場合（注）「協力する必要がある」か否かについては、会員が個別に判断することとなる。

２ 前項にかかわらず、会員は、通則ガイドライン３－６－２に定めるところにより、個人データを第三者に提供することができる（オプトアウトによる第三者提供）。

「本人が容易に知り得る状態」について

保護法第 27 条第 2 項「本人が容易に知り得る状態」とは、本人が知ろうと思えば、時間的にも、その手段におい 通則ｶﾞｲﾄﾞﾗｲﾝ 3-6-2

また、会員は、当該届出の内容を自らもインターネットの利用その他の適切な方法により公表するものとする。

ても、容易に知りえることができる状態をいう。このため、会員は、勧誘方法等の態様に応じなお、機微（センシティブ）情報は、オプトアウトにより第三者に提供することはできない。

て、例えば、次のような方法により継続的に公表を行うか、又は当該事項を知るための方法を
あらかじめ通知しておくこと等が考えられる。
① ホームページへの常時掲載② 営業所の窓口等での常時掲示・備付け③ パンフレット・リーフレットへの継続的記載（注）複数の手段を用意することが望ましい。

（１） 第三者への提供を利用目的とすること（２） 第三者に提供される個人データの項目（３） 第三者への提供の手段又は方法「第三者への提供の手段又は方法」の具体例
例えば、次のようなものが該当する。
① 刊行物の発行② オンライン等による情報提供（４） 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること

14個人情報の保護に関する取扱指針

参考（５） 本人の求めを受け付ける方法

参照条文「本人の求めを受け付ける方法」の具体例① 郵送② メール送信③ ホームページ上の指定フォームへの入力④ 営業所の窓口での受付⑤ 電話

３ 会員は、前項第２号、第３号又は第５号に掲げる事項を変更する場合は、変更する内容について、あらかじめ本人に保護法第 23 条第 3 項

通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。

通則ｶﾞｲﾄﾞﾗｲﾝ 3-4-2

なお、会員は、本項に従い、必要な事項を個人情報保護委員会に届け出たときは、その内容を自らも公表するものとする。

３ 次に掲げる場合において、当該個人データの提供を受ける者は、第三者に該当しない。

保護法第 27 条第 5 項「利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託するこ 通則ｶﾞｲﾄﾞﾗｲﾝ 3-6-3（１） 会員が、利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合とに伴って当該個人データが提供される場合」の具体例
例えば、次のような場合が該当する。
① 顧客データを提供し、入力作業を委託する場合② 顧客データを提供し、書類の発送を委託する場合③ 顧客データ保管・廃棄を委託する場合④ その他の事務処理を委託する場合（注）会員は、第 12 条により、委託先に対し必要かつ適切な監督を行わなければならないことに留意する。

（２） 合併その他の事由による事業の承継に伴って個人データが提供される場合（事業の承継後も個人データが当該事業の承継により提供される前の利用目的の範囲内で利用する場合に限る。
）｢合併その他の事由による事業の承継に伴って個人データが提供される場合｣の具体例
例えば、次のような場合が該当する。
① 合併② 会社分割③ 営業譲渡（３） 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者（共同して利用する者において、第一次的に苦情を受け付け、その処理を行うとともに、「共同して利用」の具体例

金融分野ｶﾞｲﾄﾞﾗｲﾝ 11 条 4

例えば、グループ会社等と共同して顧客に資産運用サービスを提供するために当該顧客デ 項ータを利用する場合

開示、訂正等及び利用停止等の決定を行い、安全管理に責任を有する者をいう。第５項において「管理責任者」という。
）の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、 「通知」の方法については、原則として、書面によることとする。
又は本人が容易に知り得る状態に置いているとき

４ 会員が前項第３号の規定により行う通知は、原則として書面によることとする。会員による「共同して利用する者の

15「共同して利用する者の範囲」について

通則ｶﾞｲﾄﾞﾗｲﾝ 3-4-3

個人情報の保護に関する取扱指針

参考範囲」の通知等については、共同利用者を個別に列挙することが望ましい。

① 共同利用者を個別列挙することが望ましい。

参照条文
金融分野ｶﾞｲﾄﾞﾗｲﾝ第 12 条

② 上記①の場合においては、ホームページに共同利用者名を記載する等により、共同利用 4 項
者の範囲を分かりやすく示すことが考えられる。
５ 会員は、第３項第３号に規定する個人データの管理責任者の氏名、名称若しくは住所又は法人にあっては、その代表

保護法第 27 条第 6 項

者の氏名に変更があったときは遅滞なく、同号に規定する利用する者の利用目的又は管理責任者を変更しようとすると通則ｶﾞｲﾄﾞﾗｲﾝ 3-6-3

きはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
（外国にある第三者への提供の制限）
第 13 条の２ 会員は、外国（本邦の域外にある国又は地域をいう。以下同じ。
）（個人の権利利益を保護する上で我が国と同保護法第 28 条

等の水準にあると認められる個人情報の保護に関する制度を有している外国として施行規則第 15 条で定めるものを除

施行規則第 15 条～18 条

く。以下、この条及び次条において同じ。
）にある第三者（個人データの取扱いについて個人情報取扱事業者が講ずべき通則ｶﾞｲﾄﾞﾗｲﾝ 3-6-4

こととされている措置に相当する措置を継続的に講ずるために必要なものとして施行規則第 16 条で定める基準に適合す

個人情報の保護に関するる体制を整備している者を除く。以下、この条において同じ。
）に個人データを提供する場合には、前条第１項各号に定め法律についてのｶﾞｲﾄﾞﾗｲﾝる場合を除くほか、金融分野ガイドライン第 13 条に定めるところにより、あらかじめ外国にある第三者への提供を認め（外国にある第三者へのる旨の本人の同意を得なければならない。この場合においては、同条の規定は適用しない。

提供編）
金融分野ｶﾞｲﾄﾞﾗｲﾝ第 13 条

（第三者提供に係る記録の作成等）
第 13 条の３会員は、第三者（保護法第 16 条第 2 項各号に掲げる者を除く。本条から第 13 条の５まで同じ。
）に個人データ

保護法第 29 条を提供した場合には、個人データを提供した年月日、当該第三者の氏名または名称その他の施行規則第 20 条で定める事

施行規則第 19 条、20 条

項に関する記録を作成しなければならない。

通則ｶﾞｲﾄﾞﾗｲﾝ 3-6-5

ただし、当該個人データの提供が保護法第 27 条第 1 項各号又は第 5 項各号のいずれか（前条の規定による個人データ

個人情報の保護に関する法律についてのｶﾞｲﾄﾞﾗｲﾝの提供にあっては、保護法第 27 条第 1 項各号のいずれか）に該当する場合は、この限りでない。
また、外国にある第三者への提供においては、次の第１号から第４号に該当する場合、また、当該第三者が施行規則で（第三者提供時の確認・記録義務編）

定める基準を満たしているものであって、保護法第 23 条各号に掲げる場合、記録の作成を要しないものとする。
（１） 法令に基づく場合（２） 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（３） 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（４) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（５） 会員が利用目的の達成に必要な範囲内において個人データ取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合（６） 合併その他の事由による事業の承継に伴って個人データが提供される場合（７） 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき

16個人情報の保護に関する取扱指針

参考

参照条文

（第三者提供を受ける際の確認等）
第 13 条の４ 会員は、第三者から個人データの提供を受けるに際し、当該第三者の氏名又は名称及び住所並びに法人にあ保護法第 30 条ってはその代表者の氏名、当該第三者による当該個人データの取得の経緯の確認を行い、保護法第 30 条第３項に定める施行規則第 22 条～24 条

事項に関する記録を作成しなければならない。

通則ｶﾞｲﾄﾞﾗｲﾝ 3-6-6

ただし、当該個人データの提供が保護法第 27 条第 1 項各号又は第 5 項各号のいずれかに該当する場合は、この限りで個人情報の保護に関するない。

法律についてのｶﾞｲﾄﾞﾗｲﾝ（１） 法令に基づく場合（第三者提供時の確認・記（２） 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき

録義務編）（３） 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（４） 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（５） 会員が利用目的の達成に必要な範囲内において個人データ取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合（６） 合併その他の事由による事業の承継に伴って個人データが提供される場合（７） 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき（第三者提供時の記録に係る保存期間）
保護法第 29 条、30 条

第 13 条の５ 第 13 条の３及び第 13 条の４に従い作成した記録については、当該記録を作成した日から施行規則第 21 条及び第 25 条で定める期間保存しなければならない。

施行規則第 21 条、25 条
通則ｶﾞｲﾄﾞﾗｲﾝ 3-6-5、3-66
個人情報の保護に関する法律についてのｶﾞｲﾄﾞﾗｲﾝ（第三者提供時の確認・記録義務編）4-3（個人関連情報の第三者提供の制限等）
第 13 条の６ 会員は、個人関連情報取扱事業者から保護法第 31 条第１項の規定による個人関連情報の提供を受けて個人保護法第 31 条

データとして取得するに当たり、同項第１号の本人の同意を得る際には、金融分野ガイドライン第 14 条に定めるところ

施行規則第 26 条

により、原則として、書面によることとする。

通則ｶﾞｲﾄﾞﾗｲﾝ 3-7
金融分野ｶﾞｲﾄﾞﾗｲﾝ第 14 条

（保有個人データに関する事項の公表等）
第 14 条 会員は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）に置かなければならない。なお、利用目的に第三者提供が含まれる場合には、第２号の内容とし

17「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）」の具体例

保護法第 32 条第 1 項

本人が知ろうと思えば知ることができる状態をいい、会員は、勧誘方法等の事業の態様に 施行令第 10 条

個人情報の保護に関する取扱指針

参考

参照条文
通則ｶﾞｲﾄﾞﾗｲﾝ 3-8-1て、その旨を明らかにしなければならない。

応じて、例えば、次のような方法により、適切な措置を講ずる必要がある。

（１） 会員の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名① ホームページでの常時掲載（第 23 条に定める「個人情報保護宣言」と一体として掲載す 金融分野ｶﾞｲﾄﾞﾗｲﾝ第 15 条
る方法もある）（２） 全ての保有個人データの利用目的（ただし、第８条第４項第１号から第３号に該当する場合を除く。
）（３）② 営業所の窓口等での常時掲示・備付け

保有個人データの利用目的の通知の求め又は開示等の請求に応じる手続及び保有個人データの利用目的の通知③ パンフレット・リーフレットへの継続的記載の求め又は開示の請求に係る手数料の額（定めた場合に限る。
）（４） 保有個人データの安全管理のために講じた措置④ 本人の求めに応じた書面の交付、郵送、ファックス等による送付（５） 保有個人データの取扱いに関する苦情及び問い合わせの申出先⑤ 本人の求めに応じた口頭、電話、電子メールでの回答（６） 認定個人情報保護団体の名称及びその苦情の解決の申出先保護法第 32 条第 2 項

２ 会員は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りではない。

通則ｶﾞｲﾄﾞﾗｲﾝ 3-8-1（１） 前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合（２） 第８条第４項第１号から第３号に該当する場合

３ 会員は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、保護法第 32 条第 3 項

遅滞なく、その旨を通知しなければならない。

通則ｶﾞｲﾄﾞﾗｲﾝ 3-8-1（開示）
第 15 条 会員は、本人から、当該本人が識別される保有個人データについて開示（存在しないときにはその旨を知らせる (1)「開示」とは、開示の請求を受けた個人情報の存否を含めてその内容を知らせることをいう。 保護法第 33 条第 2 項
ことを含む。
）の請求を受けたときは、本人に対し、電磁的記録の提供による方法、書面の交付による方法その他当該個施行令第 10 条

人情報取扱事業者の定める方法のうち本人が請求した方法（当該方法による開示に多額の費用を要する場合その他の当施行規則第 30 条

該方法による開示が困難である場合にあっては、書面の交付による方法）により、遅滞なく、当該保有個人データを開示 (2)「開示の請求を行った者が同意した方法」の具体例

通則ｶﾞｲﾄﾞﾗｲﾝ 3-8-2

しなければならない。ただし、開示することにより次のいずれかに該当する場合は、その全部又は一部を開示しないこと

例えば、次のような方法がある。

ができる。

① 電子メールによる方法② 電話による方法（１） 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（２） 会員の業務の適正な実施に著しい支障を及ぼすおそれがある場合(1)「会員の業務の適正な実施に著しい支障を及ぼすおそれがある場合」に該当する例
例えば、次のような場合が該当する。
① 評価情報等、会員が付加した情報の開示請求を受けた場合又は保有個人データを開示することにより顧客等への適正な対応が妨げられる場合② 同一の本人から複雑な対応を要する同一内容について繰り返し開示の請求があり、事実上問い合わせの申出先が占有されることによって、他の問い合わせ対応業務が立ち行かなくなる等、業務上著しい支障を及ぼす場合③ 保有個人データを開示することにより評価・試験等の適正な実施が妨げられる場合④ 企業秘密が明らかになるおそれがある場合(2) 「会員の業務の適正な実施に著しい支障を及ぼすおそれがある場合」に該当しない例

18

金融分野ｶﾞｲﾄﾞﾗｲﾝ第 16 条

個人情報の保護に関する取扱指針

参考

参照条文

例えば、開示すべき保有個人データの量が多いことのみを不開示理由とすることはできない。

（３） 他の法令に違反することとなる場合「他の法令に違反することとなる場合」に該当する例
例えば、犯罪収益移転防止法第８条第 3 項（顧客への届出事実の漏えい）

２ 会員は、前項の規定による請求に係る保有個人データの全部又は一部について開示しない旨の決定をしたとき、当該 「説明」方法の具体例
保有個人データが存在しないとき、又は同項の規定により本人が請求した方法による開示が困難であるときは、本人に対し、遅滞なく、その旨を通知しなければならない。

例えば、次のような方法がある。
① 書面による説明

保護法第 33 条第 3 項
通則ｶﾞｲﾄﾞﾗｲﾝ 3-8-2
金融分野ｶﾞｲﾄﾞﾗｲﾝ第 13 条

② 口頭による説明③ 電子メールによる説明④ 電話（自動音声を含む）による説明

3 第 1 項及び前項の規定は、第三者提供記録について準用する。

保護法第 33 条第 5 項
施行令第 11 条
通則ｶﾞｲﾄﾞﾗｲﾝ 3-8-3（訂正等）
第 16 条 会員は、本人から、当該本人が識別される保有個人データの内容が事実でないという理由によって当該保有個人
データに誤りがあり、事実でないという理由によって、内容の訂正、追加又は削除（以下「訂正等」という。
）の請求を受① 訂正等は、利用目的の達成に必要な範囲で行うものであり、必要以上の訂正等を義務付け 保護法第 34 条第 2 項
るものではない。

通則ｶﾞｲﾄﾞﾗｲﾝ 3-8-4

けた場合は、利用目的の達成に必要な範囲内において、遅滞なく、事実の確認等の必要な調査を行い、その結果に基づき、 ② 訂正等の対象が事実でなく、評価に関する情報である場合には、訂正等を行う必要はない。
原則として当該保有個人データの内容の訂正等を行わなければならない。

２ 会員は、前項の請求に係る保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行保護法第 34 条第 3 項

わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。
）を通知しな通則ｶﾞｲﾄﾞﾗｲﾝ 3-8-4ければならない。
なお、会員が訂正等を行わない場合は、訂正等を行わない根拠及びその根拠となる事実を示し、その理由を説明することとする。
（利用停止等）
第 17 条 会員は、本人から、当該本人が識別される保有個人データが第１条第２項若しくは４条の規定に違反して取り扱

保護法第 35 条第 2 項

われたものであるという理由又は第７条の規定に違反して取得されたという理由によって、当該保有個人データの利用の通則ｶﾞｲﾄﾞﾗｲﾝ 3-8-5

停止又は消去（以下「利用停止等」という。
）の請求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、原則として、遅滞なく、当該保有個人データの利用停止等を行わなければならない。
ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

19

個人情報の保護に関する取扱指針

参考

参照条文

２ 会員は、本人から、当該本人が識別される保有個人データが第１３条第１項の規定に違反して第三者に提供されてい保護法第 35 条第 4 項るという理由によって、当該保有個人データの第三者提供の停止の請求を受けた場合であって、その請求に理由がある

通則ｶﾞｲﾄﾞﾗｲﾝ 3-8-5ことが判明したときは、原則として、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。
ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止する
ことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

3 会員は、本人から、当該本人が識別される保有個人データを会員が利用する必要がなくなったという理由、当該本人保護法第 35 条第 6 項が識別される保有個人データに係る施行規則第７条各号に定める事態が生じたという理由その他当該本人が識別され通則ｶﾞｲﾄﾞﾗｲﾝ 3-8-5

る保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがあるという理由によって、当該保有個人データの利用停止等又は第三者への提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行わなければならない。
ただし、当該保有個人データの利用停止等又は第三者への提供の停止に多額の費用を要する場合その他の利用停止等
又は第三者への提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない

4 会員は、第１項若しくは前項の規定による請求に係る保有個人データの全部若しくは一部について利用停止等を行っ保護法第 35 条第 7 項たとき若しくは利用停止等を行わない旨の決定をしたとき、又は第２項若しくは前項の規定による請求に係る保有個人

通則ｶﾞｲﾄﾞﾗｲﾝ 3-8-5

データの全部若しくは一部について第三者提供を停止したとき若しくは第三者提供を停止しない旨を決定したときは、本人に対し、遅滞なく、その旨（本人から求められた措置と異なる措置を行う場合には、その措置内容を含む。
）を通知しなければならない。

（理由の説明）
保護法第 36 条

第 18 条 会員は、第１４条第３項、第１５条第２項、第１６条第２項又は第１７条第４項の規定により、本人から求められ、又は請求された措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をと通則ｶﾞｲﾄﾞﾗｲﾝ 3-8-6

る旨を通知する場合において、本人に対しその理由を説明する際には、措置をとらないこと又は異なる措置をとることと金融分野ｶﾞｲﾄﾞﾗｲﾝ第 17 条

した判断の根拠及び根拠となる事実を示すこととする。

（開示等の請求等に応じる手続）
第 19 条 会員は、第１４条第２項の規定による求め又は第１５条第１項、第１６条第１項若しくは第１７条第１項から第保護法第 37 条

３項の規定による請求（以下「開示等の請求等」という。
）に関し、その求め又は請求を受け付ける方法として、次の各号

施行令第 12 条、第 13 条に掲げる事項を合理的な範囲で定めることができる。

通則ｶﾞｲﾄﾞﾗｲﾝ 3-8-7

この場合において、会員は、第２３条に定める｢個人情報保護宣言｣と一体として、インターネットのホームページでの金融分野ｶﾞｲﾄﾞﾗｲﾝ第 18 条

常時掲載又は営業所の窓口等での掲示・備付け等を行うこととする。

（１） 開示等の請求等の申出先開示等の請求等の申出先の具体例

20

個人情報の保護に関する取扱指針

参考

参照条文

例えば、担当窓口名・係名、郵送先住所、受付電話番号、受付 FAX 番号、メールアドレス

等（２） 開示等の請求等に際して提出すべき書面の様式その他の開示等の請求等の受付方法(1) 開示等の請求等に際して提出すべき書面の様式
例えば、「保有個人データ」開示申請書、変更等申請書、利用停止等申請書等を定める場合、本人からの開示等の請求手続を円滑に行うため、当該書面に氏名、住所、顧客番号、契約日付等、開示等の請求等の対象となる保有個人データの特定に必要な事項を記入する欄を設けることができる。

(2) その他の開示等の請求等の受付方法の具体例
例えば、郵送、 FAX、電子メールで受け付ける等
なお、本人が容易に開示等の請求等を行うことができるように、会員は複数の方式を用意することが望ましい。

（３） 開示等の請求等をする者が本人又はその代理人であることの確認方法(1) ｢代理人｣には、未成年者若しくは成年被後見人の法定代理人、又は本人が委任した任意代
理人が該当する。
(2) 本人又はその代理人であることの確認方法の具体例
本人確認法の規定に基づく確認手続かそれと同レベルの対応が必要と考えられる。

（４） 第２０条の手数料の金額とその徴収方法（無料とする場合を含む。
）（５） 開示等の請求等に対する回答方法等

開示等の請求等に対する回答方法の具体例
例えば、次のような方法がある。
① 郵送、電話、電子メール等の手段② 開示の対象となる情報によっては、回答はその場でなく後刻となること（６） 開示等の請求等をする者が代理人である場合の代理権を確認する方法

代理人の代理権を確認する方法の具体例
例えば、次のような方法がある。
① 会員所定の委任状以外は認めない。
② 委任状等の提出があった場合でも代理権の存在を疑わせる特段の事情が認められるとき
は、電話等で本人からの代理権授与の意思確認をとることができるまで開示しない。
③ 会員所定の方法による代理権の確認ができない場合は、不開示とする。

２ 代理人による開示等の請求等に対して、会員が本人にのみ直接開示等することは妨げられない。

金融分野ｶﾞｲﾄﾞﾗｲﾝ第 18 条
第2項

３ 会員は、前２項の規定に基づき開示等の請求等に関する手続を定めるにあたっては、本人に過重な負担を課するもの 「本人に過重な負担を課する」に該当する例

21

保護法第 37 条第 4 項

個人情報の保護に関する取扱指針

参考とならないよう配慮しなければならない。

参照条文① 本人による来社のみに限定する場合② 必要以上に煩雑な書類を求める場合③ 受付窓口を不当に制限する場合（手数料）
第 20 条 会員は、第１４条第２項の規定による保有個人データの利用目的の通知を求められた又は第１５条第１項の規定

保護法第 38 条第 1 項による保有個人データ若しくは第三者提供記録の開示の請求を受けたときは、当該措置の実施に関し、手数料を徴収する

通則ｶﾞｲﾄﾞﾗｲﾝ 3-8-8ことができる。また、手数料の額を定めたときは、本人の知り得る状態に置くこととする。

２ 会員は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲において、その｢実費を勘案｣する方法として、開示等の手続に要する平均的実費を予測して算出することが 保護法第 38 条第 2 項

手数料の額を定めなければならない。

合理的であり、この実費には、用紙代・コピー代・郵送代等が考えられる。

通則ｶﾞｲﾄﾞﾗｲﾝ 3-8-8（会員による苦情の処理）
保護法第 40 条第 1 項

第 21 条 会員は、個人情報の取扱いに関する苦情を受けたときは、その内容について調査し、合理的な期間内に、適切かつ迅速に処理するよう努めなければならない。

通則ｶﾞｲﾄﾞﾗｲﾝ 3-9

２ 会員は、苦情処理手順の策定、苦情受付窓口の設置、苦情処理に当たる役職員への十分な教育・研修など、苦情処理

保護法第 40 条第 2 項を適切かつ迅速に行うために必要な体制の整備に努めなければならない。

通則ｶﾞｲﾄﾞﾗｲﾝ 3-9
金融分野ｶﾞｲﾄﾞﾗｲﾝ第 19 条

（個人データ等の漏えい等の報告等）
第 22 条 会員は、施行規則第７条各号に定める事態を知ったときは、通則ガイドライン３－５－３に従って、監督当局等 (1) 漏えい事案等には、滅失、毀損を含む。
及び協会に報告しなければならない。
(1) 事案によっては、警察等捜査当局への報告を要する場合がありうることに留意する。
また、会員は、その取り扱う個人である顧客等に関する個人データの漏えい等が発生し、又は発生したおそれがある事 (2) 協会に対しては、特定の個人を識別することができる情報を除いたものを報告する。
態を知ったときは、監督当局及び協会に報告しなければならない。

(3) 報告する監督当局は、会員の監理区分に応じ、金融庁長官又は各財務局長若しくは財務支局長である。

２ 会員は、次に掲げる事態（前項に規定する事態を除く。
）を知ったときは、同項の規定に準じて、監督当局及び協会に報告することとする。
（１） その取り扱う個人情報の漏えい等が発生し、又は発生したおそれがある事態（２） その取り扱う仮名加工情報に係る削除情報等（保護法第 41 条第１項の規定により行われた加工の方法に関する情報にあっては、その情報を用いて仮名加工情報の作成に用いられた個人情報を復元することができるものに限る。次項において同じ。
）又は匿名加工情報に係る加工方法等情報の漏えいが発生し、又は発生したおそれがある事態

３ 会員は、施行規則第７条各号に定める事態を知ったときは、通則ガイドライン３－５－４に従い、本人への通知等を行わなければならない。
また、会員は、次に掲げる事態（施行規則第７条各号に定める事態を除く。
）を知ったときも、これに準じて、本人への通知等を行うこととする。
（１） その取り扱う個人データ（仮名加工情報である個人データを除く。
）の漏えい等が発生し、又は発生したおそれがある事態（２） その取り扱う個人情報（仮名加工情報である個人情報を除く。
）の漏えい等が発生し、又は発生したおそれが

22

基本方針
金融分野ｶﾞｲﾄﾞﾗｲﾝ第 11 条
第1項
金融機関における個人情報に関するＱ＆Ａ問Ⅳ-7(1) 郵便、メール、ファクシミリ等の誤配送・誤送信等で、かつ、件数、内容等が些細な流出 金融分野ｶﾞｲﾄﾞﾗｲﾝ第 11 条
第2項
であっても、二次被害や類似事案が発生する可能性がある場合は、公表する必要がある。

(2) 「再発防止」について
例えば、実際に生じた漏えい事案等に関して、安全管理措置のどの部分に不備があったのかを調査し、それを早急に改善・是正することが考えられる。

金融分野ｶﾞｲﾄﾞﾗｲﾝ第 11 条
第3項

個人情報の保護に関する取扱指針

参考

参照条文

ある事態
（３） その取り扱う仮名加工情報に係る削除情報等又は匿名加工情報に係る加工方法等情報の漏えいが発生し、又は発生したおそれがある事態

４ 会員は、第１項及び第２項に規定する事態が発覚した場合は、当該事態の内容等に応じて、次に掲げる事項について
金融分野ｶﾞｲﾄﾞﾗｲﾝ第 11 条

必要な措置を講じなければならない。
（１） 事業所内部における報告及び被害の拡大防止（２） 事実関係の調査及び原因の究明（３） 影響範囲の特定（４） 再発防止策の検討及び実施

第4項

また、当該事態の内容等に応じて、二次被害の防止、類似事案の発生回避等の観点から、当該事態の事実関係及び再発防止策等について、速やかに公表することとする。

（個人情報保護宣言の策定）「公表」方法の具体例

保護法第 18 条、第 27 条

保護に関する考え方及び方針に関する宣言（いわゆるプライバシーポリシー、プライバシーステートメント等。以下「個例えば、次のような方法がある。

基本方針

人情報保護宣言」という。
）を策定し、公表することとする。

① インターネットのホームページへの常時掲載

金融分野ｶﾞｲﾄﾞﾗｲﾝ第 20 条

第 23 条 会員は、個人情報に対する取組方針を、あらかじめ分かりやすく説明することの重要性に鑑み、会員の個人情報② 営業所の窓口等での掲示・備付け③ パンフレットへの記載・配布
２ 個人情報保護宣言には、例えば、以下の内容を記載することとする。
（１） 関係法令等及び協会規則の遵守、個人情報を目的外に利用しないこと及び苦情処理に適切に取り組むこと等、個
人情報保護への取組方針の宣言（２） 個人情報の利用目的の通知・公表等の手続についての分かりやすい説明（３） 開示等の手続等、個人情報保護の取扱いに関する諸手続についての分かりやすい説明（４） 個人情報の取扱いに関する質問及び苦情処理の窓口

３ 個人情報保護宣言には、消費者等、本人の権利利益保護の観点から、事業活動の特性、規模及び実態に応じて、次に掲げる点を考慮した記述をできるだけ盛り込むよう努めるものとする。
（１） 保有個人データについて本人から求めがあった場合には、ダイレクトメールの発送停止など、自主的に利用停止等に応じること。
委託する事務が多数になる場合、例示することも許容されるが、「当社との取引に関する情（２） 委託の有無、委託する事務の内容を明らかにする等、委託処理の透明化を進めること。

報を含む事務処理」といった包括的な記載では、必ずしも委託された事務の内容が明確とはいえず、適切ではない。
（３） 会員がその事業内容を勘案して顧客の種類ごとに利用目的を限定して示したり、会員が本人の選択による利用目「顧客の種類ごと」とは、複数の事業を営んでいる場合における、当該複数の事業それぞれの顧客ごとを指す。

的の限定に自主的に取り組むなど、本人にとって利用目的がより明確になるようにすること。

取得元又は取得方法が多数になる場合は、例示することも許容される。

（４） 個人情報の取得元又はその取得方法（取得源の種類等）を可能な限り具体的に明記すること。
（協会への報告）第 24 条 協会は、会員による本取扱指針の遵守を確認するために、適宜報告を求めることができる。

保護法第第 54 条第 4 項

23

個人情報の保護に関する取扱指針

参考

参照条文
基本方針
金融分野ｶﾞｲﾄﾞﾗｲﾝ第 1 条
第4項

２ 協会は、会員に対し、本取扱指針を遵守させるために必要な指導、勧告その他の措置を行う。

３ 会員は、本取扱指針を遵守するとともに、協会が行う必要な指導、勧告、その他の措置に従わなければならない。
附 則
この取扱指針は、平成１７年４月１日から施行する。

附 則（平成１９年１０月２４日）
この改正は、定款について主務大臣の認可を受けた日（平成１９年９月３０日）から施行する。
（注）改正条項は、次のとおりである。
（１）第 1 条、第 6 条、第 11 条及び第 13 条を改正。
（２）第 1 条、第 2 条、第 3 条、第 4 条及び第 13 条の取扱指針の考え方を改正。

附 則（平成２２年２月２４日）
この改正は、平成２２年２月２４日から施行する。
（注）改正条項は、次のとおりである。
（１）第 1 条、第 2 条、第 3 条、第 4 条、第 5 条、第 6 条、第 7 条、第 10 条、第 11 条、第 12 条、第 13 条、第 14 条、第15 条、第 16 条、第 18 条、第 21 条及び第 23 条を改正。
（２）第 2 条、第 3 条、第 4 条、第 8 条、第 13 条、第 15 条及び第 23 条の取扱指針の考え方を改正。
（３）第 2 条及び第 3 条の参照条文を改正。

附 則（平成２７年９月１６日）
この改正は、平成２７年９月１６日から施行する。
（注）改正条項は、次のとおりである。
（１）第 7 条及び第 12 条を改正。
（２）第 4 条、第 7 条及び第 13 条の取扱指針の考え方を改正。

附 則（平成２７年１２月１６日）
この改正は、平成２８年１月１日から施行する。
（注）改正条項は、次のとおりである。
第 10 条及び第 11 条を改正。

附 則（平成２９年５月２４日）
この改正は、平成２９年５月３０日から施行する。
（注）改正条項は、次のとおりである。

24

個人情報の保護に関する取扱指針

参考（１）第 1 条、第 2 条、第 3 条、第 4 条、第 5 条、第 6 条、第 8 条、第 9 条、第 10 条、第 13 条、第 14 条、第 15 条、第 16条、第 17 条、第 18 条、第 19 条、第 20 条、第 21 条、第 22 条、第 23 条及び第 24 条を改正。
（２）第 13 条の 2、第 13 条の 3、第 13 条の 4 及び第 13 条の 5 を新設。
附 則（2022 年 3 月 23 日）
この改正は、2022 年 4 月 1 日から施行する。
（注）改正条項は、次のとおりである。
(1)第 1 条、第 2 条、第 6 条、第 10 条、第 11 条、第 12 条、第 13 条、第 13 条の 2、第 13 条の 3、第 13 条の 4、第 13 条の 5、第 14 条、第 15 条、第 16 条、第 17 条、第 18 条、第 19 条、第 20 条及び第 22 条を改正。
(2)第 13 条の 6 を新設。

25

参照条文