結婚相談業サポート協会における個人情報保護指針

一般社団法人結婚相談業サポート協会
制定・施行：２００８（平成２０）年 ４ 月３０日（第１版）
改定・施行：２００８（平成２０）年 ６ 月１３日（第２版）
改定・施行：２００９（平成２１）年 ４ 月 ６日（第３版）
改定・施行：２０１７（平成２９）年 ５ 月３０日（第４版）
改定・施行：２０２２（令和０４）年 ４ 月 １日（第５版）
改定・施行：２０２２（令和０４）年 ６ 月 １日（第６版）

【目

次】

第１章

総則

3

第２章

定義

3

第３章

個人情報の取得等

8

第４章

個人データの管理

11

第５章

個人データの第三者への提供

12

第６章

保有個人データに関する事項の公表、保有個人データの開示・訂正・利用停止等

14

第７章

内部規定・方針、管理体制等

17

第８章

その他

18

附則

19

結婚相談業サポート協会における個人情報保護指針
第１章

総則

（目的）
第１条 この個人情報保護指針（以下「本指針」という。
）は、個人情報の保護に関する法律（以下「法」という。
）及び「個人情報の保護に関する法律についてのガイドライン（通則編）（仮名加工情報・
匿名加工情報偏）（第三者提供時の確認・記録義務偏）（外国にある第三者への提供偏）」その他の関係法令等に基づき、結婚相談業サポート協会（以下「サポート協会」という。
）が、協会員が行う結婚相手紹介サー
ビス事業（以下「当事業」という。
）における個人情報の保護と適切な取扱の確保に関する活動を支援す
る具体的な指針として定めたものであり、他の業種に類を見ない詳細且つ機密性の高い個人情報を取扱う当事業の特性に鑑み、個人情報の有用性に配慮するとともに、個人の権利利益を確保することにより、当事業の健全な発展に寄与することを目的とする。
（適用範囲）
第２条 本指針は、当事業において個人情報を取り扱うサポート協会の協会員に適用される。
２

協会員である事業者は、個人情報を取り扱う際の基準又は個人情報保護に関する規定を策定する際の参考として本指針を用いることができる。

第２章

定義

（定義）
第３条 本指針において、次の各号に掲げる用語の意義は、当該各号に定めるところによる。
（１）「個人情報」
生存する「個人に関する情報」であって、「当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができるものを含む）」、又は「個人識別符号が含まれるもの」をいう。
◎「個人に関する情報」とは、氏名、性別、生年月日、顔画像等個人を識別する情報に限られず、個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表すすべての情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化等によって秘匿化されているかどうかを問わない。

◎「個人識別符号」とは当該情報単体から特定の個人を識別できるものとして個人情報の保護に関する法律施行令（平成 15 年政令第 507 号。以下「政令」という。
）に定められた文字、番号、記号その他の符号をいい、これに該当するものが含まれる情報は個人情報となる。具体的な内容は、政令第 1 条及び個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第 3 号。以下「規則」という。
）
第 2 条から第 4 条までに定めるとおりである。
（２）「要配慮個人情報」「要配慮個人情報」とは、不当な差別や偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして次の①から⑪までの記述等が含まれる個人情報をいう。要配慮個人情報の取得や第三者提供には、原則として本人の同意が必要であり、（オプトアウトによる第三者提供）は認められていないので注意が必要である。
なお、次に掲げる情報を推知させる情報にすぎないもの（例：宗教に関する書籍の購買や貸出しに係る情報等）は、要配慮個人情報には含まない。
① 人種
② 信条
③ 社会的身分④ 病歴⑤ 犯罪の経歴⑥ 犯罪より害を被った事実⑦ 身体障害、知的障害、精神障害（発達障害を含む。
）その他の個人情報保護委員会規則で定める心身の機能の障害があること次のイからニまでに掲げる情報をいう。この他、当該障害があること又は過去にあったことを特定させる情報も該当する。
イ． 「身体障害者福祉法（昭和 24 年法律第 283 号）別表に掲げる身体上の障害」があることを特定させる情報
ロ． 知的障害者福祉法（昭和 35 年法律第 37 号）にいう知的障害」があることを特定させる情報
ハ． 「精神保健及び精神障害者福祉に関する法律（昭和 25 年法律第 123 号）にいう精神障
害（発達障害者支援法（平成 16 年法律第 167 号）第 2 条第 2 項に規定する発達障害を含み、知的障害者福祉法にいう知的障害を除く。
）」があることを特定させる情報
ニ． 「治療方法が確立していない疾病、その他の特殊の疾病であって、障害者の日常生
活及び社会生活を総合的に支援するための、法律第 4 条第 1 項の政令で定めるものによる障害の程度が、同項の厚生労働大臣が定める程度であるもの」があることを特定させる情報⑧ 本人に対して、医師その他医療に関連する職務に従事する者により行われた、疾病の予防及び早期発見のための健康診断その他の検査の結果

⑨ 健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと⑩ 本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと（犯罪の経歴を除く。
）⑪ 本人を少年法（昭和 23 年法律第 168 号）第 3 条第 1 項に規定する少年又はその疑いのある者

として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと（３）「個人情報データベース等」
特定の個人情報を、コンピュータを用いて検索することができるように体系的に構成した個
人情報を含む情報の集合物をいう。コンピュータを用いていない場合であっても、紙面で処理した個人情報を一定の規則（例えば、五十音順等）に従って整理・分類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当する。ただし、次の①から③までのいずれにも該当するものは、利用方法からみて個人の権利利益を害するおそれが少ないため、個人情報デー
タベース等には該当しない。
① 不特定かつ多数の者に販売することを目的として発行されたものであって、かつ、その発行が法又は法に基づく命令の規定に違反して行われたものでないこと。
② 不特定かつ多数の者により随時に購入することができ、又はできたものであること。
③ 生存する個人に関する他の情報を、加えることなくその本来の用途に供しているものであること。
（４）「個人情報取扱事業者」
個人情報取扱事業者とは、個人情報データベース等を当事業の用に供している者のうち、国の機関、地方公共団体、独立行政法人等の保有する個人情報の保護に関する法律で定める独立行政法人等及び地方独立行政法人法で定める地方独立行政法人を除いた者をいう。
ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。
また、個人情報データベース等を事業の用に供している者であれば、当該個人情報データベース等を構成する個人情報によって識別される特定の個人の数の多寡にかかわらず、個人情報取扱事業者に該当する。
なお、法人格のない、権利能力のない社団（任意団体）又は個人であっても、個人情報デー
タベース等を事業の用に供している場合は個人情報取扱事業者に該当する。
（５）「個人データ」
個人データとは、個人情報取扱事業者が管理する「個人情報データベース等」を構成する個
人情報をいう。なお、利用方法からみて個人の権利利益を害するおそれが少ないため、個人情報データベース等から除かれているもの（例：市販の電話帳・住宅地図等）を構成する個人情報は、個人データに該当しない。
（６）「保有個人データ」
個人情報取扱事業者が、本人又はその代理人から請求される開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止の全てに応じることができる権限を有する「個人データ」をいう。ただし、個人データのうち、次に掲げるものは、「保有個人データ」
ではない。
（６か月以内に消去するものも保有個人データである。
）① 当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの。
② 当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの。
③ 当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉
上不利益を被るおそれがあるもの。
④ 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の

公共の安全と秩序の維持に支障が及ぶおそれがあるもの。
（７）「匿名加工情報」
匿名加工情報とは、特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたもの。
（８）「匿名加工情報取扱事業者」
匿名加工情報取扱事業者とは、匿名加工情報データベース等を事業の用に供している者をいう。
（９）「仮名加工情報」
仮名加工情報とは、他の情報と照合しない限り特定の個人を識別することができないように加工された個人に関する情報。
（10）「本人に通知」
本人に直接知らしめることをいい、事業の性質及び個人情報の取り扱い状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。
（11）「公表」
広く一般に自己の意思を知らせること（不特定多数の人々が知ることができるように発表すること）をいい、公表に当たっては、事業の性質及び個人情報の取り扱い状況に応じ、合理的かつ適切な方法によらなければならない。

（12）「本人の同意」
本人の個人情報が、個人情報取扱事業者によって示された取扱方法で取り扱われることを承諾する旨の当該本人の意思表示をいう（当該本人であることを確認できていることが前提となる）。
また「本人の同意を得る」とは、本人の承諾する旨の意思表示を当該個人情報取扱事業者が認識することをいい、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的且つ適切な方法によらなければならない。
なお、個人情報の取扱いに関して同意したことによって生ずる結果について、未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力を有していないなどの場合は、親権者や法定代理人等から同意を得る必要がある。
（13）「提供」「提供」とは、個人データ、保有個人データ又、個人関連情報、仮名加工情報は匿名加工情報（以下この項において「個人データ等」という。
）を、自己以外の者が利用可能な状態に置くことをいう。個人データ等が、物理的に提供されていない場合であっても、ネットワーク等を利用することにより、個人データ等を利用できる状態にあれば（利用する権限が与えられていれば）、 提供」に当た
「
る。
（14）
「協会員」
当事業において、個人情報を取り扱うサポート協会の会員結婚相談業者をいう。
（15）「個人情報保護安全管理責任者」
協会員によって指名された者で、個人情報保護体制の運営と施策の実施を行う責任者であって、個人情報の取り扱いについて決定する権限を有する者である。
但し、個人で営業しているは協会員代表者が兼務できることとする。

（16）｢会員｣
協会員へ入会、登録された方をいう。

第３章

個人情報の取得等（利用目的の特定）
第 4 条 協会員は、取り扱う個人情報の利用目的をできる限り特定しなければならない。顧客開発に当って広告により見込み客の個人情報を取得する際は、利用目的をできるだけ具体的に示さなければならない。なおあらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的の特定に当たっては、その旨が明確に分かるよう特定しなければならない。

◎利用目的の特定を行うとともに、当事業の特徴からすると、顧客と窓口担当者の信頼関係が強まると、契約で定められた会員登録内容以上の深い個人情報を知り得ることが多い。こうした場合も契約上の役務の達成に必要な範囲を超えて、個人情報を得ないこと。
【具体的に利用目的を特定している事例】
事例１） 「結婚相手紹介サービスにおけるサービス内容の案内の発送、関連するアフターサービス、新商品・サービスに関する情報のお知らせのために利用いたします。」
事例２） 「会員登録のため、又、入会後の相手会員への紹介等のサービスに利用いたします。」【具体的に利用目的を特定していない事例】
事例１） 「事業活動に用いるため」
事例 2） 「マーケティング活動に用いるため」（利用目的の変更）
第 5 条 協会員は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならず、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
利用目的の特定により特定した利用目的は、変更前の利用目的と関連性を有すると合理的に認められる範囲、すなわち、変更後の利用目的が変更前の利用目的からみて、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内（※1）で変更することは可能である。変更された利用目的
は、本人に通知（※2）するか、又は公表（※3）しなければならない。
なお、特定された利用目的（法第 17 条第 2 項に定める範囲で変更された利用目的を含む。
）の達成に必要な範囲を超えて個人情報を取り扱う場合は、法第 18 条第 1 項に従って本人の同意を得なければならない。ただし、本人の身体等の保護のために必要があり、かつ本人の同意を得ることが困難である場合等、法第 18 条第 3 項各号に掲げる場合には、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱うことができる（3-1-5（利用目的による制限の例外）参照）。
（※1）
「本人が通常予期し得る限度と客観的に認められる範囲」とは、本人の主観や事業者の恣意的な判断によるものではなく、一般人の判断において、当初の利用目的と変更後の利用目的を比較して予期できる範囲をいい、当初特定した利用目的とどの程度の関連性を有するかを総合的に勘案して判
断される。

（※2）
「本人に通知」とは、本人に直接知らしめることをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。
【本人への通知に該当する事例】
事例 1）ちらし等の文書を直接渡すことにより知らせること。
事例 2）口頭又は自動応答装置等で知らせること。
事例 3）電子メール、FAX 等により送信し、又は文書を郵便等で送付することにより知らせること。
（※3）
「公表」とは、広く一般に自己の意思を知らせること（不特定多数の人々が知ることができる
ように発表すること）をいい、公表に当たっては、事業の性質及び個人情報の取扱状況に応じ、合理的かつ適切な方法によらなければならない。
【公表に該当する事例】
事例 1）自社のホームページのトップページから 1 回程度の操作で到達できる場所への掲載
事例 2）自社の店舗や事務所等、顧客が訪れることが想定される場所におけるポスター等の掲示、パンフレット等の備置き・配布
事例 3）（通信販売の場合）通信販売用のパンフレット・カタログ等への掲載（利用目的による制限）
第 6 条 協会員は、利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合は、
あらかじめ本人の同意を得なければならない。ただし、当該同意を得るために個人情報を利用すること（メールの送信や電話をかけること等）は、当初特定した利用目的として記載されていない場合でも、目的外利用には該当しない。
（事業承継）
第７条

協会員は、合併、分社化、事業譲渡等により他の個人情報取扱事業者から事業の承継をすることに伴って個人情報を取得した場合であって、当該個人情報に係る承継前の利用
目的の達成に必要な範囲内で取り扱う場合は目的外利用にはならず、本人の同意を得る必要はない。
なお、事業の承継後に、承継前の利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合は、あらかじめ本人の同意を得る必要があるが、当該同意を得るために個人情報を利用すること（メールの送信や電話をかけること等）は、承継前の利用目的として記載されていない場合でも、目的外利用には該当しない。
（利用目的による制限の例外）
第８条 協会員は次に掲げる場合については、特定された利用目的の達成に必要な範囲を超
えて個人情報を取り扱うに当たり本人の同意を得ることが求められる場合であっても、当該同意は不要である。

(1) 法令に基づく場合（法 18 条第 3 項第 1 号関係）
法令に基づく場合は、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。
(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（法 18 条第 3 項第 2 号関係）
(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（法 18 条第 3 項第 3 号関係）
(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して、事業者が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（法 18 条第 3 項第 4 号関係）
（適正な取得）第９条 協会員は、偽り等の不正の手段により個人情報を取得してはならない。
※個人情報取扱事業者若しくはその従業者又はこれらであった者が、その業務に関して取り扱った個人情報データベース等（その全部又は一部を複製し、又は加工したものを含む。
）
を自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、法第 174 条により刑事罰（1 年以下の懲役又は 50 万円以下の罰金）が科され得る。
（要配慮個人情報の取得）
第 10 条 協会員は要配慮個人情報（※1）を取得する場合には、あらかじめ本人の同意（※2）
を得なければならない。ただし、次の（1）から（7）までに掲げる場合については、本人の同意を得る必要はない。
(1)

法令に基づく場合(2)

人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき(3)

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき(4)

国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して、事業者が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき(5)

当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、法第 57 条
第 1 項各号に掲げる者その他個人情報保護委員会規則で定める者より公開されている場合(6)

本人を目視し又は撮影することにより、その外形上明らかな要配慮個人情報を取得する
場合(7)

法第 27 条第 5 項各号に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき

（利用目的の通知または公表）
第 11 条 協会員は、個人情報を取得する場合は、あらかじめその利用目的を公表していることが望ましい。公表していない場合は、取得後速やかに、その利用目的を、本人に通知する
か、または公表しなければならない。
（直接書面等による取得）
第 12 条 協会員は、書面等による記載、ユーザー入力画面への打ち込み等により、直接本人
から個人情報を取得する場合には、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りではない。なお、口頭により個人情報を取得する場合にまで、本項の義務を課するものではないが、その場合は法第 21 条第 1 項に基づいて、あらかじめ利用目的を公表するか、取得後速やかに、その利用目的を、本人に通知するか、又は公表しなければならない。
また、人（法人を含む。
）の生命、身体又は財産の保護のために緊急に必要がある場合は、
あらかじめ、本人に対し、その利用目的を明示する必要はないが、その場合は法第 21 条第1 項に基づいて、取得後速やかにその利用目的を、本人に通知し、又は公表しなければならない。
（利用目的の通知をしなくてもよい場合）
第 13 条 次に掲げる場合については、法第 21 条第 1 項から第 3 項までにおいて利用目的の本人への通知、公表又は明示（以下この項において「利用目的の通知等」という。
）が求められる場合であっても、当該利用目的の通知等は不要である。
（1） 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（2） 利用目的を本人に通知し、又は公表することにより事業者の権利又は正当な利益を害するおそれがある場合（3） 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき（4） 取得の状況からみて利用目的が明らかであると認められる場合
第 4 章 個人データの管理（データ内容の正確性の確保）
第 14 条 協会員は、利用目的の達成に必要な範囲内において、個人情報データベース等への個人情報の入力時の照合・確認の手続きの整備、誤り等を発見した場合の訂正等の手続きの整備、記録事項の更新、保存期間の設定等を行うことにより、個人データを正確かつ最新の内容に保つよう努めなければならない。なお、保有する個人データを一律に又は常に最新化する必要はなく、それぞれの利用目的に応じて、その必要な範囲内で正確性・最新性を確保すれば足りる。

また、個人情報取扱事業者は、保有する個人データについて利用する必要がなくなったとき、
すなわち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事
業自体が中止となった場合等は、当該個人データを遅滞なく消去するよう努めなければならない。なお、法令の定めにより保存期間等が定められている場合は、この限りではない。
（安全管理処置）
第 15 条 協会員は、その取り扱う個人データの漏えい、滅失又は毀損（以下「漏えい等」という。
）の防止その他の個人データの安全管理のため、必要かつ適切な措置を講じなければならないが、当該措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質
及び量を含む。
）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容としなければならない。具体的に講じなければならない措置や当該項目を実践するための手法の例等については、個人情報保護委員会「個人情報保護法ガイドライン（通則編）１０（別添）講ずべき安全管理措置の内容」を参照のこと（従業者の監督）
第 16 条 協会員は、その従業者に個人データを取り扱わせるに当たって、法第 23 条に基づく安全管理措置を遵守させるよう、当該従業者に対し必要かつ適切な監督をしなければならない。その際、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。
）等に起因するリスクに応じて、個人データを取り扱う従業者に対する教育、研修等の内容及び頻度を充実させるなど、必要かつ適切な措置を講ずることが望ましい。
（委託先の管理）第 17 条 協会員は、個人データの取扱いの全部又は一部を委託する場合は、委託を受けた者（以下「委託先」という。
）において当該個人データについて安全管理措置が適切に講じられるよう、委託先に対し必要かつ適切な監督をしなければならない。具体的には、個人情報取扱事業者は、法第 25 条に基づき自らが講ずべき安全管理措置と同等の措置が講じられる
よう、監督を行うものとする。
第５章 個人データの第三者への提供（第三者提供の制限の原則）
第 18 条 協会員は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。同意の取得に当たっては、事業の規模及び性質、個人
データの取扱状況（取り扱う個人データの性質及び量を含む。
）等に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示さなければならない。

なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的に
おいて、その旨を特定しなければならない。ただし、次の（1）から（4）までに掲げる場合については、第三者への個人データの提供に当たって、本人の同意は不要である。
(1) 法令に基づいて個人データを提供する場合(2) 人（法人を含む。
）の生命、身体又は財産といった具体的な権利利益が侵害される
おそれがあり、これを保護するために個人データの提供が必要であり、かつ、本人の同意を得ることが困難である場合(3) 公衆衛生の向上又は心身の発展途上にある児童の健全な育成のために特に必要な場合であり、かつ、本人の同意を得ることが困難である場合(4) 国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要があ
る場合であって、協力する民間企業等が当該国の機関等に個人データを提供することについて、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合（オプトアウトによる第三者提供）
第 19 条 協会員は、個人データ（要配慮個人情報、不正取得された個人データ、オプトアウト規定
により提供された個人データを除く。以下この項において同じ。
）の第三者への提供に当たり、次の（1）から（5）までに掲げる事項をあらかじめ本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出た場合には、法第 27 条第 1 項の規定にかかわらず、あらかじめ本人の同意を得ることなく、個人データを第三者に提供することができる。
また、個人情報取扱事業者は、法第 27 条第 2 項に基づき、必要な事項を個人情報保護委員会に届け出たときは、その内容を自らもインターネットの利用その他の適切な方法により公表す
るものとする。なお、要配慮個人情報は、オプトアウトにより第三者に提供することはできず、第三者に提供するに当たっては、法第 27 条第 1 項各号又は同条第 5 項各号に該当する場合
以外は、必ずあらかじめ本人の同意を得る必要があるので、注意を要する。
（1）第三者への提供を行う個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。以下この条、第 30 条第 1 項第 1 号及び第 32 条第 1 項第 1 号において同じ。
）の氏名（2）第三者への提供を利用目的とすること。
（3）第三者に提供される個人データの項目（4）第三者に提供される個人データの取得の方法（5）第三者への提供の方法（6）本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
（7）本人の求めを受け付ける方法（8）その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則で定める事項（第三者に該当しない場合）
第 20 条 協会員は、次の（1）から（3）までの場合については、個人データの提供先は個人情報取扱事業者とは別の主体として形式的には第三者に該当するものの、本人との関係において提供主体である個人情報取扱事業者と一体のものとして取り扱うことに合理性があるた
め、第三者に該当しないものとする。このような要件を満たす場合には、個人情報取扱事業者は、法第 27 条第 1 項から第 3 項までの規定にかかわらず、あらかじめの本人の同意又は第三者提供におけるオプトアウトを行うことなく、個人データを提供することができる。
（1） 委託（法第 23 条第 5 項第 1 号関係）
（2） 事業の承継（法第 23 条第 5 項第 2 号関係）
（3） 共同利用（法第 23 条第 5 項第 3 号関係）
特定の者との間で共同して利用される個人データを当該特定の者に提供する場合であって、次の①～⑤までの情報を、提供に当たりあらかじめ本人に通知し、又は本人が容易に知り得る状態においているとき①共同利用をする旨②共同して利用される個人データの項目③共同して利用する者の範囲④利用する者の利用目的⑤当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあたっては、その代表者氏名（外国にある第三者への提供の制限）
第 21 条 協会員は外国にある第三者への提供の制限について、外国にある第三者へ提供する
場合は「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供
編）」（平成 28 年個人情報保護委員会告示第 7 号）に従うこととする。
EU および英国以外の外国にある第三者の提供は、法 27 条 1 項の場合を除いて①本人同意取得か②
第三者が基準適合体制を整備していることを要する。
①同意取得による場合、当該外国の名称、当該外国における個人情報の保護制度に関する情報（個人情報保護委員会令和 4 年 1 月 24 日付情報提供文書参照）、当該第三者が講ずる個人情報保護のための措置に関する情報を提供する。
（法 28 条 2 項、規則 17 条の 3（17 条））。
②第三者が基準適合体制を整備していることを根拠とする場合、当該第三者における相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を提供する。
（法 28 条 3 項、規則 18 条の 4）。
外国にある第三者へ提供する場合、自社が①か②いずれの根拠に基づいて提供するのかを整理したう
えで、プライバシーポリシー等への追記を行う。①に基づく場合は同意取得フローの整理、②に基づく場合は当該第三者による相当措置の実施状況等を定期的に（年に 1 回またはそれ以上の頻度で）確認する等の措置を講ずる体制を整えるともに、本人の求めがあった場合に提供する「当該必要な措置に関する情報」（法 28 条 3 項、規則 18 条の 3 項）を準備する。

（第三者提供に係る記録の作成等）
第 22 条 協会員は、個人データを第三者に提供する際には記録の作成・保存が必要で、また受ける際にも確認と記録の作成・保存が必要である。

自社が個人関連情報を提供している場合、提供先が個人データとして取得することが想定されるとき
は、提供先から提供先が同意を得ていることを誓約する書面を受け入れる等、確認方法を確定する。
あわせて、個人関連データの提供に関する契約書等において、提供先の同意取得義務に関する条項等の追記を行う。

自社が第三者から cookie 等の個人関連情報を個人データとして取得する場合、プライバシーポリシー
等において本人から同意を取得するための条項を追記するなど同意取得フローを整理する。

なお記録の作成等に当たっては、「個人情報の保護に関する法律についてのガイドライン（第三者提供
時の確認・記録義務編）」（平成 28 年個人情報保護委員会告示第 8 号）に従うこととする。
第６章 保有個人データに関する事項の公表等、保有個人データの開示・訂正等・利用停止
等（保有個人データに関する事項の公表等）
第 23 条 協会員は、保有個人データ又は第三者提供記録について、次の①から④までの情報を本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）に置かなければならない。
① 個人情報取扱事業者の氏名又は名称及び、事業者の住所、法人である場合の代表者名② 全ての保有個人データの利用目的（ただし、一定の場合を除く。
）③ 保有個人データの利用目的の通知の求め又は開示等の請求に応じる手続及び保有個人データの利用目的の通知の求め又は開示の請求に係る手数料の額（定めた場合に限る。
④ 保有個人データの取扱いに関する苦情の申出先（個人情報取扱事業者が認定個人情報保護団体の象事業者である場合は、その団体の名称及び苦情解決の申出先を含む。
）⑤ 保有個人データの安全管理措置のために講じた措置（本人の知り得る状態に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。
）（保有個人データの利用目的の通知）
第 24 条 協会員は、次の①から④までの場合を除いて、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、遅滞なく、本人に通知しなければならない。
なお、通知しない旨を決定したときは、遅滞なく、その旨を本人に通知しなければならない。
① 本人が識別される保有個人データの利用目的が明らかである場合② 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合③ 利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は利益が侵害されるおそれがある場合④ 国の機関等が法令の定める事務を実施する上で、民間企業等の協力を得る必要がある場
合であり、協力する民間企業等が国の機関等から受け取った保有個人データの利用目的
を本人に通知し、又は公表することにより、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合（保有個人データ又は第三者提供記録の開示）
第 25 条 協会員は、本人から、当該本人が識別される保有個人データ又は第三者提供記録の開示（存在しないときにはその旨を知らせることを含む。
）の請求を受けたときは、本人に対し、電磁的記録の提供も含めて当該本人が指定した方法（当該方法による開示に多額の費用を要する場合

その他の当該方法による開示が困難な場合にあっては、書面の交付による方法）によって当該保有個人データ又は第三者提供記録を開示しなければならない。
ただし、開示することにより次の（1）から（3）までのいずれかに該当する場合は、その全部又は一部を開示しないことができるが、これにより開示しない旨の決定をしたとき又は請求に係る保有個人データ又は第三者提供記録が存在しないときは、遅滞なく、その旨を本人に通知しなければならない。
（１） 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（２） 個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合（３） 他の法令に違反することとなる場合（保有個人データの訂正等）
第 26 条 協会員は、本人から、保有個人データの内容が事実でないという理由で訂正、追加又は削除（この条において「訂正等」という。
）を請求されたときには、利用目的の達成に必要な範囲内において、原則として合理的な期間内にこれに応ずるものとする。
尚、他の法令の規定により特別の手続きが定められている場合には、当該特別の手続きが優先されることとなる。
２

訂正等を行うにあたって、調査が必要な場合は、遅滞なく調査を行い、その結果に基づき訂正等を行ったとき又は行わない旨の決定をしたときは、本人に対し、その旨（訂正等を行ったときはその内容を含む。
）通知しなければならない。
（保有個人データの利用停止等）
第 27 条 協会員は、本人から、当該本人が識別される保有個人データが次の(1)から(5)及び法 20 条違反に該当する場合、当該保有個人データの利用の停止又は消去（以下「利用停止等」という。
）の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として、遅滞なく、利用停止等を行わなければならない。
(1) 個人情報を目的外利用した場合（法 18 条違反）
（法 35 条 1 項）
(2) 偽りその他不正の手段により取得した場合（法 19 条違反）
（法 20 条 1 項）
（法 35 条 1 項）
(3) 当該本人が識別される保有個人データを当該個人情報取扱事業者が利用する必要がなくなった
場合（法 30 条 5 項）
(4)当該本人が識別される保有個人データに係る法 26 条の 2 第 1 項本文に規定する事態（個人データの漏えい等）が生じた場合（法 30 条 5 項）
(5) その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合（法 30 条 5 項）

また、次の(1)から(4)に該当する場合、本人から、当該本人から識別される保有個人データの第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として、
遅滞なく、第三者提供を停止しなければならない。

(1) 法の規定に違反して第三者提供されている場合（法 27 条 1 項、28 条 1 項違反）
（法 30 条 3 項）
(2) 当該本人が識別される保有個人データを当該個人情報取扱事業者が利用する必要がなくなった場合（法 30 条 5 項）
(3) 当該本人が識別される保有個人データに係る法 26 条の 2 第 1 項本文に規定する事態（個人データの漏えい等）が生じた場合（法 30 条 5 項）
(4) その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合（法 30 条 5 項）
なお上記により、利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は、第三者提供の停止を行ったとき若しくは第三者提供を停止しない旨の決定をした
ときは、遅滞なく、その旨を本人に通知しなければならない。
また、本人が、裁判上の訴えにより、当該本人が識別される保有個人データの利用停止等又は第三者提供の停止を請求する場合と本条との関係については、第 39 条（裁判上の訴えの事前請求）を参照のこと。
なお、消費者等、本人の権利利益保護の観点からは、事業活動の特性、規模及び実態を考慮して、保有個人データについて本人から求めがあった場合には、ダイレクトメールの発送停止等、自主的に利用停止に応じる等、本人からの求めにより一層対応していくことが望ましい。

（理由の説明）
第 28 条 協会員は、保有個人データの利用目的の通知の求め、又は保有個人データの開示、訂正等、利用停止等若しくは第三者提供の停止に関する請求（以下「開示等の請求等」という。
）に係る措置の全部又は一部について、その措置をとらない旨又はその措置と異なる措置をとる旨を本人に通知する場合は、併せて、本人に対して、その理由を説明するように努めなければならない。
（開示等の請求等に応じる手続き）
第 29 条 協会員は、開示等の請求等において、これを受け付ける方法として次の（1）から（4）までの事項を定めることができる。
なお、開示等の請求等を受け付ける方法を定めた場合には、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）に置いておかなければならない。
なお、個人情報取扱事業者が、開示等の請求等を受け付ける方法を合理的な範囲で定めたときは、本人は、当該方法に従って開示等の請求等を行わなければならず、当該方法に従わなかった場合は、個人情報取扱事業者は当該開示等の請求等を拒否することができる。
また、個人情報取扱事業者は、円滑に開示等の手続が行えるよう、本人に対し、開示等の請求等の対象となる当該本人が識別される保有個人データの特定に必要な事項（住所、ID、パスワード、会員番号等）の提示を求めることができる。なお、その際には、本人が容易かつ

的確に開示等の請求等をすることができるよう、当該保有個人データの特定に資する情報を提供するなど、本人の利便性を考慮しなければならない。
(1) 開示等の請求等の申出先(2) 開示等の請求等に際して提出すべき書面（電磁的記録を含む。
）の様式、その他の開示等の請求等の受付方法(3) 開示等の請求等をする者が本人又はその代理人(4) 保有個人データの利用目的の通知又は保有個人データ又は第三者提供記録の開示をする際に徴収する手数料の徴収方法（手数料）
第 30 条 協会員は、保有個人データの利用目的の通知、又は保有個人データ又は第三者提供記録の開示を求められたときは、当該措置の実施に関し、手数料の額を定め、徴収することができる。
なお、当該手数料の額を定めた場合には、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）に置いておかなければならない。
また手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。
（裁判上の訴えの事前請求）
第 31 条 自己が識別される保有個人データ又は第三者提供記録の開示、訂正等又は利用停止等
若しくは第三者提供の停止の協会員に対する請求について裁判上の訴えを提起しようとするときは、
あらかじめ裁判外において当該請求を協会員に対して行い、かつ、当該請求が当該個人情報取扱事業者に到達した日から 2 週間を経過した後でなければ、当該訴えを提起することができない。
ただし、協会員が当該裁判外の請求を拒んだときは、2 週間を経過する前に、当該請求に係る裁判上の訴えを提起することができる。
（個人情報の取扱いに関する苦情処理）
第 32 条 協会員は個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
また、苦情の適切かつ迅速な処理を行うに当たり、苦情処理窓口の設置や苦情処理の手順を定める等必要な体制の整備に努めなければならない。もっとも、無理な要求にまで応じなけ
ればならないものではない。なお、協会員は、保有個人データの取扱いに関する苦情の申出先（その団体の名称及び苦情解決の申出先を含む。
）について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。

（仮名加工情報・匿名加工情報取扱事業者等の義務）
第 33 条 協会員は、仮名加工情報又は匿名加工情報を取り扱うときは「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」（平成 28 年個人情報保護委員会告示第 9 号）に従うこと。

第 7 章 内部規程・方針、管理体制等（個人情報保護方針の公表）
第 34 条 協会員は、本指針に従うこととする。
２

協会員は、サポート協会の個人情報保護方針を公表することとする。

（内部規程の策定等）
第 35 条 協会員は、本指針を基に、事業活動の範囲及び事業規模を考慮し、個人情報を保護するためのサポート協会の内部規程に準じて、これを実行することとする。
２

協会員は、サポート協会の内部規程を従業者に周知しなければならない。

３

協会員は、個人情報保護の実施状況及びその他の経営環境等に照らして、適切な個人情報の保護を維持するために、定期的に見直されたサポート協会の内部規程に準じるものとする。
（個人情報保護安全管理責任者の指名）
第 36 条 協会員は、法及びその他の関係法令や本指針を理解し実践する能力のある者を協会員の内部から 1 名以上指名し、個人情報保護安全管理責任者としての業務を行わせるものとする。
但し、個人で営業する協会員においては、代表者が兼務できることとする。

（個人情報保護安全管理責任者の責務）
第 37 条 個人情報保護安全管理責任者は、本指針に定められた事項を理解し、及び遵守するとともに、従業者にこれを理解させ、及び遵守させるための内部規程の整備、安全対策の実施、従業者への教育訓練、委託先の適切な監督等を実施する責任を負うものとする。

第 8 章 その他
（報告等）
第 38 条 協会員は、個人情報の取り扱いに関し、サポート協会及び個人情報保護委員会等関係機関から報告を求められた場合は直ちに報告しなければならない。
２

協会員は、以下の漏えい等の事実を把握した場合はサポート協会に報告するものとする。

漏えい等事案の対象（1）個人情報取扱事業者が保有する個人データ（特定個人情報に係るものを除く。
）の漏えい、滅失又は毀損（2）個人情報取扱事業者が保有する加工方法等情報（個人情報の保護に関する法律施行規則（平成 28 年 10 月５日個人情報保護委員会規則第３号）第 20 条第１号に規定する加工方

法等情報をいい、特定個人情報に係るものを除く。
）の漏えい（3）上記（1）又は（2）のおそれ
３

協会員は、個人データの漏洩等の事案が発生した場合は、二次被害の防止、類似事案の発生回避等の観点及び、個人の権利利益を害するおそれが大きいものとして規則が定める一定の場合は、個人情報保護委員会への報告と本人への通知を行わなければならない。

（指導、勧告その他の措置）
第 39 条 協会員の個人情報の取り扱いが、本指針に違反していると認められるときは、サポート協会は、法第 54 条第 4 項の規定に基づき、当該協会員に対して、以下のとおり指導、勧告その他の措置をとるものとする。
（１） 指導当該協会員に対して、当該違反行為の中止その他違反を訂正するために必要な措置をとるよう口頭又は文書により指導するものとする。
（２）

勧告
前項の規定による指導を受けた協会員が正当な理由なくその指導に従わなかった場合において、個人の権利利益を保護するため必要と認めるときは、当該協会員に対して、その指導に係る措置をとるべきことを文書により勧告するものとする。
（３） その他の措置
前項の規定による勧告を受けた協会員が正当な理由がなくその勧告に従わなかった
場合には、サポート協会のホームページ上で当該協会員名を公表し、除名の措置をとる。
（指針の見直し）第 40 条 本指針は、会社情勢の変化、国民の認識の変化、技術の進歩等、法の施行後の状
況等諸環境の変化を踏まえて不断の見直しを行うよう努めるものとする。
附則
１．本指針は、平成 20 年 4 月 30 日から施行する。
以上