個人情報の保護に関する指針

平 2 6． ３ ． 2 7 制定
平 27．９．28 一部改正
平 28．10．７ 一部改正
平 29．５．30 一部改正
2022．３．14 一部改正
2022．６．３ 一部改正
2023. ５．19 一部改正
2024. ３．29 一部改正

（目的）
第１条

本指針は、一般社団法人金融先物取引業協会（以下「本協会」という。
）が個人情報の保護に関する法律（以下「保護法」という。）、個人情報の保護に関する法律施行令（以下「施行令」という。
）、個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第３号。その後の改正を含む。）（以下「施行規則」という。）、個人情報の保護に関する基本方針（平成 16 年４月２日閣議決定。その後の改正を含む。）、個人情報の保護に関する法律についてのガイドライン（通則編）（平成 28 年個人情報保護委員会告示第６号。その後の改正を含む。以下、その他告示についても同じ。）、同ガイドライン（外国にある第三者への提供編）（平成 28 年個人情報保護委員会告示第７号）、同ガイドライン（第三者提供時の確認・記録義務編）（平成 28 年個人情報保護委員会告示第８号）、同ガ
イドライン（仮名加工情報・匿名加工情報編）（平成 28 年個人情報保護委員会告示第９号）及び同ガイドライン（認定個人情報保護団体編）（令和３年個人情報保護委員会告示第７号）並びに関係法令、金融分野における個人情報保護に関するガイドライン（平成 29
年個人情報保護委員会・金融庁告示第１号）及び金融分野における個人情報保護に関するガイドラインの安全管理措置等についての実務指針（平成 29 年個人情報保護委員会・金融庁告示第２号）等（以下「個人情報の保護に関する法令等」という。）を踏まえ、会員の定款第２条の２第５号に定める金融先物取引業（以下「金融先物取引業」という。
）に係る業務における個人情報、仮名加工情報及び匿名加工情報の適正な取扱いの確保のために、個人情報に係る利用目的の特定、安全管理のための措置その他の事項を定めるとともに、会員が講ずべき具体的措置等を定めるものである。
２

会員は、個人情報の漏えい、滅失又は毀損（以下「漏えい等」という。
）等を防止等す
るため、個人情報の保護に関する法令等並びに関係法令及びガイドライン等に従い、個人

情報の適正な管理体制を整備する必要がある。
（定義）
第２条 本指針において、次の各号に掲げる用語の定義は、当該各号に定めるところによる。
（１）個人情報
生存する個人に関する情報であって、次に掲げるもののいずれかに該当するものをいう。
イ

当該情報（個人識別符号を除く。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができるものを含む。
）
ロ

個人識別符号が含まれるもの｢個人に関する情報｣とは、氏名、住所、性別、生年月日、顔画像等個人を識別する情報に限られず、個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化等によって秘匿化されているかどうかを問わない。これ
ら「個人に関する情報」が氏名等と相まって「特定の個人を識別することができる」こ
とになれば、それが「個人情報」となる。
なお、生存しない個人に関する情報が、同時に、遺族等の生存する個人に関する情報に当たる場合には、当該生存する個人に関する情報となる。
また、企業名等、法人その他の団体に関する情報は、基本的に「個人情報」には該当
しないが、役員の氏名などの個人に関する情報が含まれる場合には、その部分については、「個人情報」に該当する。さらに、「個人」には外国人も当然に含まれる。
（１の２）個人識別符号
当該情報単体から特定の個人を識別できるものとして施行令第１条に定められた文
字、番号、記号その他の符号をいう。
（２）個人情報データベース等
個人情報を含む情報の集合物であって、次に掲げるものをいう。ただし、利用方法か
らみて個人の権利利益を害するおそれが少ないものとして施行令第４条第１項各号で定めるものを除く。
イ

特定の個人情報を、コンピュータを用いて検索することができるように体系的に構成したものロ イに掲げるもののほか、個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成したものであって、目次、索引、符号等により容易に検索可能な状態に置かれているもの

（３）個人データ
個人情報データベース等を構成する個人情報をいう。
（４）保有個人データ
会員が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、次に掲げるもの以外のものをいう。
イ

当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの
ロ

当該個人データの存否が明らかになることにより、違法又は不当な行為を助長

し、 又は誘発するおそれがあるもの
ハ

当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、

他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機
関との交渉上不利益を被るおそれがあるもの
ニ

当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの（５）本人
個人情報によって識別される特定の個人をいう。
（６）要配慮個人情報不当な差別や偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして、保護法第２条第３項及び施行令第２条で定める記述等が含まれる個人情報をいう。
（７）機微（センシティブ）情報
金融分野において、要配慮個人情報並びに労働組合への加盟、門地、本籍地、保健医
療及び性生活（これらのうち要配慮個人情報に該当するものを除く。
）に関する情報（本人、国の機関、地方公共団体、学術研究機関等、保護法第 57 条第１項各号のいずれかに該当する者若しくは施行規則第６条各号のいずれかに該当する者により公開されているもの、又は本人を目視し、若しくは撮影することにより取得するその外形上明らかなものを除く。
）のことをいう。
（８）仮名加工情報
次に掲げる個人情報の区分に応じて定められた措置を講じて他の情報と照合しない
限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報をいう。
イ

第１号イに該当する個人情報
当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを
含む。
）
。

ロ

第１号ロに該当する個人情報
当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）。
（９）匿名加工情報
次に掲げる個人情報の区分に応じて定められた措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元して特定の個人を再識別することができないようにしたものをいう。
イ

第１号イに該当する個人情報
当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを
含む。
）
。
ロ

第１号ロに該当する個人情報
当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）。
（10）個人関連情報
生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。
(11) 個人関連情報データベース
個人関連情報を含む情報の集合物であって、次に掲げるものをいう。
イ

特定の個人関連情報を、コンピュータを用いて検索することができるように体系的に構成したもの
ロイに掲げるもののほか、個人関連情報を一定の規則に従って整理することにより特定の個人関連情報を容易に検索することができるように体系的に構成したものであって、目次、索引、符号等により容易に検索可能な状態に置かれているもの（利用目的の特定）
第３条

会員は、個人情報の取扱いに当たっては、個人情報がどのような事業の用に供され、どのような目的で利用されるかを本人が合理的に予想できるようできる限り特定しなければならない。
２

前項の利用目的の特定に当たって、「自社の所要の目的で用いる」といった抽象的な 利

用目的は、「できる限り特定」したものとはならないことから、会員は、提供する金融商
品、サービスを示したうえで、利用目的を特定するよう努めなければならない。
３

会員は、利用目的を変更する場合には、保護法第 17 条第２項に定める「変更前の利用
目的と関連性を有すると合理的に認められる範囲」（変更後の利用目的が変更前の利用目

的からみて、社会通念上、本人が通常予期し得る限度として客観的に認められる範囲）を超えて行ってはならない。
４

会員は、特定の個人情報の利用目的が、法令等に基づき限定されている場合には、その旨を明示することとする。

（「同意」の形式）
第４条

会員は、次条、第 13 条、第 13 条の２及び第 13 条の５（会員が個人関連情報取扱事業者から同条の規定による個人関連情報の提供を受けて個人データとして取得する場合に限る。
）に定める本人の同意を得る場合には、原則として、書面（電磁的記録（電子的方式、磁気的方式、その他人の知覚によっては認識することのできない方式で作られる
記録）を含む。第 15 条を除き、以下同じ。）によることとする。
なお、本人が未成年者、成年被後見人、被保佐人及び被補助人であって、個人情報の取扱いに関して同意したことによって生ずる結果について判断できる能力を有していない場合などは、親権者や法定代理人等から同意を得る必要がある。
（利用目的による制限）
第５条

会員は、あらかじめ本人の同意を得ることなく、第３条第１項により特定した利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
ただし、あらかじめ本人の同意を得るために個人情報を利用すること（電子メールの送
信や電話をかけること等）は、当初特定した利用目的にない場合でも、目的外利用には当たらない。
２

会員は、合併その他の事由により他の個人情報取扱事業者（保護法第 16 条第２項に規定する個人情報取扱事業者をいう。以下同じ。
）から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該他の個人情報取扱事業者の個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
また、承継前の利用目的の達成に必要な範囲内で取り扱う場合は目的外利用にならず、本人の同意を得る必要はない。

３

前２項は、次に掲げる場合については適用しない。

（１）法令（条例を含む。以下同じ。）に基づく場合（２）人の生命、身体又は財産（法人の財産を含む。）の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（３）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（４）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（５）学術研究機関等（大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者をいう。以下同じ。
）に個人データを提供する場合であって、当該学術研究機
関等が当該個人データを学術研究の用に供する目的（以下「学術研究目的」という。）
で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究である
場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）（機微（センシティブ）情報の取扱いについて）
第６条

会員は、機微（センシティブ）情報については、次に掲げる場合を除くほか、取得、

利用又は第三者への提供を行わないこととする。
（１）法令等に基づく場合（２）人の生命、身体又は財産の保護のために必要がある場合（３）公衆衛生の向上又は児童の健全な育成の推進のため特に必要がある場合（４）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合（５）保護法第 20 条第２項第６号に該当する場合に機微（センシティブ）情報を取得する
場合、保護法第 18 条第３項第６号に該当する場合に機微（センシティブ）情報を利用する場合、又は保護法第 27 条第１項第７号に該当する場合に機微（センシティブ）情報を第三者提供する場合（６）源泉徴収事務等の遂行上必要な範囲において、政治・宗教等の団体若しくは労働組合への所属若しくは加盟に関する従業員等の機微（センシティブ）情報を取得、利用又は第三者提供する場合（７）相続手続による権利義務の移転等の遂行に必要な限りにおいて、機微（センシティブ）
情報を取得、利用又は第三者提供する場合（８）会員の行う金融先物取引業の適切な業務運営を確保する必要性から、本人の同意に基づき業務遂行上必要な範囲で機微（センシティブ）情報を取得、利用又は第三者提供する場合（９）機微（センシティブ）情報に該当する生体認証情報を本人の同意に基づき、本人確認に用いる場合２

会員は、機微（センシティブ）情報を、前項各号に掲げる場合に取得、利用又は第三者に提供する場合には、同項に掲げる事由を逸脱した取得、利用又は第三者提供を行うことのないよう、特に慎重に取り扱うこととする。

３

会員は、機微（センシティブ）情報を、本条第１項各号に掲げる場合に取得、利用又は第三者に提供する場合には、個人情報の保護に関する法令等に従い適切に対応しなければならない。

４

会員は、機微（センシティブ）情報を第三者に提供するに当たっては、保護法第 27 条

第２項（オプトアウト）の規定を適用しないこととする。
（不適正な利用の禁止）
第６条の２ 会員は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。
（適正な個人情報の取得）
第７条

会員は、偽りその他不正の手段により個人情報を取得してはならない。また、会員

は、第三者から個人情報を取得するに際しては、本人の利益の不当な侵害を行ってはならず、個人情報の不正取得等の不当な行為を行っている第三者から、当該情報が漏えいされた情報であること等を知ったうえで個人情報を取得してはならない。
２

会員は、第三者からの提供により個人情報を取得する場合には、提供元の法令遵守状況を確認するとともに、当該個人情報が適法に取得されたものであることを確認するものとする。

（個人情報取得に際しての利用目的の通知・公表、明示等）
第８条

会員は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合

を除き、速やかに、その利用目的を本人に通知し、又は公表しなければならない。この場合において、「通知」の方法については、原則として書面によることとし、「公表」の方法については、自らの金融商品の販売方法等の事業の態様に応じ、インターネットのホーム
ページ等での公表、本店その他の営業所の窓口等への書面の掲示・備付け等適切な方法によらなければならない。
２

会員は、前項の規定にかかわらず、本人との間で契約を締結すること等に伴って契約書
その他の書面に記載された個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。 ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

３

会員は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。

４

前３項の規定は、次に掲げる場合については適用しない。

（１）利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（２）利用目的を本人に通知し、又は公表することにより当該会員の権利又は正当な利益を害するおそれがある場合（３）国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき

（４）取得の状況からみて利用目的が明らかであると認められる場合（データ内容の正確性の確保等）
第９条

会員は、利用目的の達成に必要な範囲内において、個人情報データベース等への個

人情報の入力時の照合・確認の手続の整備、誤り等を発見した場合の訂正等の手続の整備、
記録事項の更新、保存期間の設定等を行うことにより、個人データを正確かつ最新の内容に保つよう努めなければならない。
なお、保有する個人データを一律に又は常に最新化する必要はなく、それぞれの利用目的に応じて、その必要な範囲内で正確性・最新性を確保すれば足りる。
また、会員は、保有する個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等は、当該個人データを遅滞なく消去するよう努めなければならない。
なお、法令の定めにより保存期間等が定められている場合は、この限りではない。
（安全管理措置）
第 10 条会員は、その取り扱う個人データの漏えい等の防止その他の個人データの安全管理に係る基本方針・取扱規程等の整備及び個人データの安全管理措置に係る実施体制の整備等の必要かつ適切な措置を講じなければならない。また、必要かつ適切な措置は、個
人データの取得・利用・保管等の各段階に応じた「組織的安全管理措置」、「人的安全管理措置」、「物理的安全管理措置」、「技術的安全管理措置」及び「外的環境の把握」を含むものでなければならない。
当該措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人のデータの性質及び量を含む。
）及び個人データを記録した媒体の性質等に起因するリスクに応じたものとする。
なお、当該措置には、会員が取得し、又は取得しようとしている個人情報であって、当該会員が個人データとして取り扱うことを予定しているものの漏えい等を防止するために必要かつ適切な措置も含まれる。
本条における用語の定義は、次のとおりである。
（１）組織的安全管理措置
個人データの安全管理措置について役職員（会員の組織内にあって、直接又は間接に会員の指揮監督を受けて会員の業務に従事する者をいい、雇用関係にある従業者（正社
員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、会員との間の雇用関係にない者（取締役、執行役、監査役、会計参与（会計参与が法人であるときは、その職務を行うべき社員）、派遣社員等）も含まれる。以下同じ。
）の責任と権限を明確に定め、安全管理に関する規程等を整備・運用し、その実施状況の点検・監査を行うこと等の、会員の体制整備及び実施措置をいう。
（２）人的安全管理措置
役職員との個人データの非開示契約の締結及び役職員に対する教育・訓練等を実施
し、個人データの安全管理が図られるよう役職員を監督することをいう。
（３）物理的安全管理措置
個人データを取り扱う区域の管理、機器及び電子媒体等の盗難の防止、電子媒体等を持ち運ぶ場合の漏えい等の防止並びに機器及び電子媒体等の廃棄等の個人データの安全管理に関する物理的な措置をいう。
（４）技術的安全管理措置
個人データ及びそれを取り扱う情報システムへのアクセス制御及び情報システムの監視等の個人データの安全管理に関する技術的な措置をいう。
（５）外的環境の把握
外国において個人データを取り扱う場合に、当該外国の個人情報の保護に関する制度等を把握することをいう。
２ 会員は、個人データの安全管理に係る基本方針・取扱規程等の整備として、以下の「組織的安全管理措置」を講じなければならない。
（１）規程等の整備
イ

個人データの安全管理に係る基本方針の整備

ロ

個人データの安全管理に係る取扱規程の整備

ハ

個人データの取扱状況の点検及び監査に係る規程の整備ニ

外部委託に係る規程の整備（２）各管理段階における安全管理に係る取扱規程
イ

取得・入力段階における取扱規程

ロ

利用・加工段階における取扱規程

ハ保管・保存段階における取扱規程

ニ移送・送信段階における取扱規程

ホ消去・廃棄段階における取扱規程

へ漏えい等事案（漏えい等又はそのおそれのある事案をいう。以下同じ。
）への対応の段階における取扱規程
３

会員は、個人データの安全管理に係る実施体制の整備として、以下の「組織的安全管理
措置」、「人的安全管理措置」、「物理的安全管理措置」及び「技術的安全管理措置」を講じなければならない。

（１）組織的安全管理措置
イ

個人データの管理責任者等（個人データの安全管理に係る業務遂行の総責任者である個人データ管理責任者、個人データを取り扱う各部署における個人データ管理者）の設置ロ

就業規則等における安全管理措置の整備

ハ

個人データの安全管理に係る取扱規程に従った運用

ニ

個人データの取扱状況を確認できる手段の整備

ホ

個人データの取扱状況の点検及び監査体制の整備と実施

へ漏えい等事案に対応する体制の整備（２）人的安全管理措置
イ

役職員との個人データの非開示契約の締結

ロ

役職員の役割・責任等の明確化

ハ役職員への安全管理措置の周知徹底、教育及び訓練ニ

役職員による個人データ管理手続の遵守状況の確認（３）物理的安全管理措置
イ

個人データの取扱区域等の管理

ロ

機器及び電子媒体等の盗難等の防止

ハ

電子媒体等を持ち運ぶ場合の漏えい等の防止ニ

個人データの削除及び機器、電子媒体等の廃棄（４）技術的安全管理措置
イ

個人データの利用者の識別及び認証ロ

個人データの管理区分の設定及びアクセス制御

ハ

個人データへのアクセス権限の管理

ニ

個人データの漏えい等防止策

ホ

個人データへのアクセスの記録及び分析

へ

個人データを取り扱う情報システムの稼動状況の記録及び分析

ト

個人データを取り扱う情報システムの監視及び監査（役職員の監督）
第 11 条会員は、その役職員に個人データを取り扱わせるに当たっては、保護法第 23 条

及び同法第 24 条に従い、当該個人デー タの安全管理が図られるよう、適切な内部管理体制を構築し、その役職員に対する必要かつ適切な監督を行わなければならない。当該監督
は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人データの取扱状況等に起因するリスクに応じたものとする。
２

会員は、前項の役職員に対する必要かつ適切な監督を以下の体制整備等により行わなければならない。

（１）役職員が、在職中及びその職を退いた後において、当該会員の行う金融先物取引業務等に関して知り得た個人データを第三者に知らせ、又は利用目的外に使用しないことを内容とする契約等を採用時等に締結すること（２）個人データの適正な取扱いのための取扱規程の策定を通じた役職員の役割・責任の明確化及び役職員への安全管理義務の周知徹底、教育及び訓練を行うこと（３）役職員による個人データの持出し等を防ぐため、社内での安全管理に係る取扱規程に定めた事項の遵守状況等の確認及び役職員における個人データの取扱状況の点検及び監査制度を整備すること（委託先の監督）
第 12 条 会員は、個人データの取扱いの全部又は一部を委託（契約の形態や種類を問わず、会員が他の者に個人データの取扱いの全部又は一部を行わせることを内容とする契約の一切を含む。
）する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。当該監督は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質並びに個人データの取扱状況等に起因するリスクに応じたものとする。
２

会員は、個人データを適正に取り扱っていると認められる者を選定し委託するとともに、取扱いを委託する個人データの安全管理が図られるよう、個人データの安全管理のための措置を委託先においても確保しなければならない（二段階以上の委託が行われた場
合には、委託先の事業者が再委託先等の事業者に対して十分な監督を行っているかについても監督を行わなければならない。）。具体的には、例えば、以下の対応等が必要である。
（１）個人データの安全管理のため、委託先における組織体制の整備及び安全管理に係る基本方針・取扱規程の策定等の内容を委託先選定の基準に定め、当該基準に従って委託先を選定するとともに、当該基準を定期的に見直すこと。
なお、委託先の選定に当たっては、必要に応じて個人データを取り扱う場所に赴く方法（テレビ会議システム（映像と音声の送受信により相手の状態を相互に認識できる方法をいう。
）を利用する方法を含む。
）又はこれに代わる合理的な方法による確認を行った上で、個人データ管理責任者等が適切に評価することが望ましい。
（２）委託者の監督・監査・報告徴取に関する権限、委託先における漏えい・盗用・改ざん
及び目的外利用の禁止、再委託に関する条件及び漏えい等事案が発生した場合の委託先の責任を内容とする安全管理措置を委託契約に盛り込むとともに、定期的に監査を行う等により、定期的又は随時に当該委託契約に定める安全管理措置の遵守状況を確認し、当該安全管理措置等を見直すこと。
なお、委託契約に定める安全管理措置等の遵守状況については、個人データ管理責任

者等が、当該安全管理措置等の見直しを検討することを含め、適切に評価することが望ましい。
委託先が再委託を行おうとする場合は、委託元は委託を行う場合と同様、再委託の相手方、再委託する業務内容及び再委託先の個人データの取扱方法等について、委託先に事前報告又は承認手続を求め、かつ、直接又は委託先を通じて定期的に監査を実施する
等により、委託先が再委託先に対して本条の委託先の監督を適切に果たすこと及び再委託先が保護法第 23 条に基づく安全管理措置を講ずることを十分に確認することが望ましい。再委託先が再々委託を行う場合以降も、再委託を行う場合と同様とする。
（第三者提供の制限）
第 13 条会員は、個人データの第三者（個人データを提供しようとする会員及び当該個人

データに係る本人のいずれにも該当しないものをいい、自然人、法人その他の団体を問わ）への提供にあたり、あらかない。第 13 条の２から第 13 条の６までを除き、以下同じ。
じめ本人の同意を得ないで提供してはならない。同意の取得に当たっては、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。
）等に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示さなければならない。
なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的において、その旨を特定しなければならない。
ただし、次に掲げる場合には、第三者への個人データの提供に当たって本人の同意は不要である。
（１）法令に基づく場合（２）人の生命、身体又は財産（法人の財産を含む。）といった具体的な権利利益が侵害されるおそれがあり、これの保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（３）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（４）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（５）当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）
２

会員は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項にかかわらず、当該個人データを第三者に提供することができる。
また、会員は、当該届出の内容を自らもインターネットの利用その他の適切な方法により公表するものとする。
なお、機微（センシティブ）情報や偽りその他不正の手段により取得された個人データ
を、オプトアウトにより第三者に提供することや、オプトアウトにより提供を受けた個人データ（その全部又は一部を複製し、又は加工したものを含む。
）をオプトアウトにより再提供することはできない。
（１）会員の名称、住所及び代表者の氏名（２）第三者への提供を利用目的とすること（３）第三者に提供される個人データの項目（４）第三者に提供される個人データの取得の方法（５）第三者への提供の手段又は方法（６）本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止する
こと（７）本人の求めを受け付ける方法（８）第三者に提供される個人データの更新の方法（９）当該届出に係る個人データの第三者への提供を開始する予定日
３

会員は、前項第１号に掲げる事項に変更があったとき又は同項の規定による個人デー

タの提供をやめたときは遅滞なく、同項第３号から第５号まで、第７号又は第８号に掲げる事項を変更しようとするときは、あらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
なお、会員は、本項に従い、必要な事項を個人情報保護委員会に届け出たときは、その内容を自らも公表するものとする。
４

次に掲げる場合において、当該個人データの提供を受ける者は、第三者に該当しない。

（１）会員が、利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合（２）合併その他の事由による事業の承継に伴って個人データが提供される場合（事業の承継後も、個人データが当該事業の承継により提供される前の利用目的の範囲内で利用する場合に限る。
）（３）特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者（共同して利用する者において、第一次的に苦情を受け付け、その処理を行うとともに、開示、訂正等及び利用停止等の決定を行い、安全管理に責任を有する者をいう。第６項において「管理責任者」という。
）の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき
５

会員が前項第３号の規定により行う通知については、原則として書面によることとする。会員による「共同して利用する者の範囲」の通知等については、共同利用者を個別に列挙するよう努めなければならない。
６

会員は、第４項第３号に規定する管理責任者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったときは遅滞なく、同号に規定する利用する者の利用目的又は当該管理責任者を変更しようとするときは、あらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

（外国にある第三者への提供の制限）
第 13 条の２

会員は、外国（本邦の域外にある国又は地域をいう。以下同じ。）（個人の権

利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している国として施行規則第 15 条で定めるものを除く。以下この条、次条及び第 13 条の５第１項第２号において同じ。
）にある第三者（個人データの取扱いについて個
人情報取扱事業者が講ずべきこととされている措置に相当する措置（以下「相当措置」という。
）を継続的に講ずるために必要なものとして施行規則第 16 条で定める基準に適合する体制を整備している者を除く。以下、この項から第４項まで及び第 13 条の５第１項第２号において同じ。
）に個人データを提供する場合には、前条第１項各号に定める場合
を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、前条の規定は適用しない。
２

会員は、前項の規定により本人の同意を得ようとする場合には、あらかじめ、次に掲げる情報を当該本人に提供しなければならない。ただし、第３号に掲げる情報の提供ができない場合には、その旨及びその理由について情報提供しなければならない。

（１）当該外国の名称（２）適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報（３）当該第三者が講ずる個人情報の保護のための措置に関する情報（４）個人データの提供先の第三者（５）提供先の第三者における利用目的（６）第三者に提供される個人データの項目
３

前項の規定にかかわらず、会員は、第１項の規定により本人の同意を得ようとする時点
において、提供先の第三者が所在する外国を特定できない場合には、次に掲げる情報を当該本人に提供しなければならない。ただし、第２号に掲げる情報の提供は、当該情報の提供が可能である場合に限る。
（１）特定できない旨及びその具体的な理由（提供先が定まる前に本人同意を得る必要性を含む。
）（２）提供先の第三者が所在する外国の名称に代わる本人に参考となるべき情報
４

会員は前項に規定する場合において、事後的に提供先の第三者が所在する外国が特定できたときには、本人の求めに応じて第２項第１号から第３号までに掲げる情報を本人に提供しなければならない。また、このような情報提供の求めが可能である旨を、同意を得る際の書面における記載を通じて本人に認識させるとともに、第 23 条に定める個人情報保護宣言と一体としてインターネットのホームページへの常時掲載又は事務所の窓口等での掲示・備付け等により、公表しなければならない。ただし、本人から情報提供の求めがあった場合であっても、情報提供することにより会員の業務の適正な実施に著しい支障を及ぼすおそれがある場合等は、情報の全部又は一部について情報提供しないことができる。その場合、会員は、本人に対し、遅滞なくその旨を通知するとともに、その理由を説明しなければならない。
５

会員は、個人データを外国にある第三者（第１項に規定する体制を整備している者に限る。以下この項から第７項までにおいて同じ。
）に提供する場合には、当該提供の時点で、当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及び内容、当該制度がある場合においては、当該第三者による相当措置の継続的な実施の確保の可否を、適切かつ合理的な方法により、確認しなければならない。

６ 会員は前項の規定により、第三者に個人データを提供した場合、当該第三者による相当措置の継続的な実施を確保するために必要な措置として、次の措置を講じなければならない。
（１）当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること（２）当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データの当該第三者への提供を停止すること
７

会員は、第５項の規定により第三者に個人データを提供した場合、本人の求めを受けた
ときは、遅滞なく、次に掲げる情報を本人に提供しなければならない。また、このような情報提供の求めが可能である旨を、第 23 条に定める個人情報保護宣言と一体としてインターネットのホームページへの常時掲載又は事務所の窓口等での掲示・備付け等により、公表しなければならない。ただし、情報提供することにより当該会員の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、その全部又は一部を提供しないことができる。その場合、会員は、本人に対し、遅滞なくその旨を通知するとともに、その理由を説明しなければならない。

（１）外国にある第三者が第１項に規定する体制を整備する方法（２）外国にある第三者が実施する相当措置の概要（３）外国にある第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及
ぼすおそれのある制度の有無及びその内容の確認に関して、その方法及び頻度（４）当該外国の名称（５）外国にある第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要（６）外国にある第三者による相当措置の実施に関する支障の有無及びその概要（７）外国にある第三者による相当措置の実施に支障が生じた場合において、当該支障の解消・改善のために提供元の会員が講ずる措置の概要（第三者提供に係る記録の作成等）
第 13 条の３

会員は、第三者（保護法第 16 条第２項各号のいずれかに該当する者を除く。

本条から第 13 条の５までにおいて同じ。）に個人データを提供した場合には、個人デー
タを提供した年月日、当該第三者の氏名又は名称その他の施行規則第 20 条で定める事項に関する記録を作成しなければならない。
ただし、国内にある第三者への提供においては、保護法第 27 条第１項各号又は同条第５項各号のいずれかに該当する場合、記録の作成を要しないものとする。
また、外国にある第三者への提供においては、保護法第 27 条第１項各号のいずれかに該当する場合、また、当該第三者のある外国が施行規則第 15 条第１項各号のいずれにも該当する外国として個人情報保護委員会が定めるものであり、又は当該第三者が施行規則第 16 条で定める基準を満たしているものであって、保護法第 27 条第５項各号のいずれかに該当する場合、記録の作成を要しないものとする。
（第三者提供を受ける際の確認等）
第 13 条の４ 会員は、第三者から個人データの提供を受けるに際し、保護法第 27 条第１項各号又は同条第５項各号のいずれかに該当する場合を除き、当該第三者の氏名又は名称及び住所並びに法人にあってはその代表者（法人でない団体で代表者又は管理人の定めのあるものにあってはその代表者又は管理人）の氏名、当該第三者による当該個人デー
タの取得の経緯の確認を行い、保護法第 30 条第３項に定めるところにより記録を作成し、同条第４項に定める期間保存しなければならない。
ただし、実質的に「提供者」による提供ではないものについては、確認・記録義務は適用されない。
（個人関連情報の第三者提供の制限）
第 13 条の５ 会員は、第三者が個人関連情報（第２条第 11 号に掲げる個人関連情報デー

タベース等を構成するものに限る。以下この条において同じ。
）を個人データとして取得することが想定されるときは、第 13 条第１項各号に掲げる場合を除くほか、次に掲げる事項について、あらかじめ確認しないで、当該個人関連情報を当該第三者に提供してはならない。
（１）当該第三者が会員から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていること（２）外国にある第三者への提供にあっては、前号の本人の同意を得ようとする場合において、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報が当該本人に提供されていること
２

会員は個人関連情報取扱事業者から個人関連情報の提供を受けて個人データとして取得するに当たり、本人の同意を得ようとする場合（提供元の個人関連情報取扱事業者に同意取得を代行させる場合を含む。
）には、次に掲げる情報を本人に提供しなければならな
い。
（１）対象となる個人関連情報の項目（２）個人関連情報の提供を受けて個人データとして取得した後の利用目的
３ 第 13 条の２第６項の規定は、第１項の規定により会員が個人関連情報を提供する場合
について準用する。
４

会員は、第１項の規定による確認を行ったときは、当該個人関連情報を提供した年月日、
当該確認に係る事項その他の施行規則第 28 条第１項第各号で定める事項に関する記録（施行規則第 27 条第３項に従って当該記録に代える場合を含む。
）を作成し、施行規則第29 条で定める期間保存しなければならない。

（第三者提供時の記録に係る保存期間）
第 13 条の６

前３条に従い作成した記録については、それぞれ当該記録を作成した日から

施行規則第 21 条、第 25 条又は第 29 条で定める期間保存しなければならない。
（保有個人データに関する事項の公表等）
第 14 条

会員は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
なお、利用目的に第三者提供が含まれる場合には、第２号の内容として、その旨を明らかにしなければならない。
（１）会員の名称及び住所並びに代表者の氏名（２）全ての保有個人データの利用目的（ただし、第８条第４項第１号から第３号までに該当する場合を除く。
）（３）次項の規定による求め又は次条第１項（同条第３項において準用する場合を含む。）、

第 16 条第１項若しくは第 17 条第１項、第２項若しくは第３項の規定による請求に応じる手続（第 20 条の規定により手数料の額を定めたときは、その手数料の額を含む。
）（４）保有個人データの安全管理のために講じた措置（本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。
）（５）保有個人データの取扱いに関する自社における苦情の申出先（６）認定個人情報保護団体の名称及び苦情の解決の申出先
２

会員は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。
ただし、次の各号のいずれかに該当する場合は、この限りではない。

（１）前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合（２）第８条第４項第１号から第３号までに該当する場合
３

会員は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
（開示）
第 15 条会員は、本人から、当該本人が識別される保有個人データについて開示（存在しないときにはその旨を知らせることを含む。
）の請求を受けたときは、本人に対し、電磁的記録の提供による方法、書面の交付による方法、その他会員が定める方法のうち本人が請求した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）により、遅滞なく、当該保有個人データを開示しなければならない。
ただし、開示することにより次のいずれかに該当する場合は、その全部又は一部を開示
しないことができる。
（１）本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（２）会員の業務の適正な実施に著しい支障を及ぼすおそれがある場合（３）他の法令に違反することとなる場合
２

会員は、前項の規定による請求に係る保有個人データの全部若しくは一部について開示しない旨の決定をしたとき、当該保有個人データが存在しないとき、又は本人が請求した方法による開示が困難であるときは、本人に対し、遅滞なく、その旨を通知しなければならない。
なお、本人が請求した方法による開示が困難であるときは、その旨を本人に通知したう
えで、書面の交付による方法により開示を行わなければならない。
また、その決定の理由について、根拠とした法の条文及び判断の基準となる事実を示して、遅滞なく説明を行うこととする。
３ 前２項の規定は当該本人が識別される個人データに係る第 13 条の３及び第 13 条の４

の規定による第三者提供記録（その存否が明らかになることにより公益その他の利益が害されるものとして施行令第 11 条で定めるものを除く。
）について準用する。
（訂正等）
第 16 条会員は、本人から、当該本人が識別される保有個人データに誤りがあり、事実でないという理由によって、内容の訂正、追加又は削除（以下「訂正等」という。
）の請求を受けた場合は、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく、事実の確認等の必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。
２

会員は、前項の請求に係る保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。
）を通知しなければならない。
なお、会員が訂正等を行わない場合は、訂正等を行わない根拠及びその根拠となる事実を示し、その理由を説明することとする。
（利用停止等）
第 17 条会員は、本人から、当該本人が識別される保有個人データが第５条若しくは第６条の２の規定に違反して取り扱われたものであるという理由又は第７条の規定に違反して取得されたという理由によって、当該保有個人データの利用の停止又は消去（以下「利用停止等」という。
）の請求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。
ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
２

会員は、本人から、当該本人が識別される保有個人データが第 13 条第１項の規定又は第 13 条の２の規定に違反して第三者に提供されているという理由によって、当該保有個人データの第三者への提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。
ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護する
ため必要なこれに代わるべき措置をとるときは、この限りでない。

３ 会員は、本人から、当該本人が識別される保有個人データを当該会員が利用する必要がなくなったという理由、当該本人が識別される保有個人データに係る第 22 条第１項に規定する漏えい等の事態が生じたという理由その他本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがあるという理由によって当該保有個人データの利用停止等又は第三者への提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行わなければならない。
ただし、当該保有個人データの利用停止等又は第三者への提供の停止に多額の費用を要する場合その他の利用停止等又は第三者への提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
４

会員は、第１項若しくは前項の規定による請求に係る保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は第２項若しくは前項の規定による請求に係る保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨を決定したときは、本人に対し、遅滞なく、その旨（本人から求められた措置と異なる措置を行う場合には、その措置内容を含む。）を通知しなければならない。
（理由の説明）
第 18 条

会員は、第 14 条第３項、第 15 条第２項（同条第３項において準用する場合を含む。
）、第 16 条第２項又は前条第４項の規定により、本人から求められ、又は請求された措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合において、 本人に対しその理由を説明する際には、措置をとらないこと又は異なる措置をとることとした判断の根拠及び根拠となる事実を示すこととする。
（開示等の請求等に応じる手続）
第 19 条

会員は、第 14 条第２項の規定による求め又は第 15 条第１項（同条第３項において準用する場合を含む。
）、第 16 条第１項若しくは第 17 条第１項、第２項若しくは第３項の規定による請求（以下「開示等の請求等」という。）に関し、その受付け方法として、次の各号に掲げる事項を定めることができる。この場合において、会員は、第 23 条に定める個人情報保護宣言と一体として、インターネットのホームページでの常時掲載又は本店その他の営業所の窓口等での掲示・備付け等を行うこととする。
なお、開示等の請求等は、施行令第 13 条に規定する代理人（未成年者若しくは成年被後見人の法定代理人、又は本人が委任した任意代理人をいう。以下同じ。
）によってする
ことができる。
（１）開示等の請求等の申出先

（２）開示等の請求等に際して提出すべき書面の様式、その他の開示等の請求等の受付方法（３）開示等の請求等をする者が本人又は代理人であることの確認方法（４）保護法第 38 条第１項の手数料の金額とその徴収方法（無料とする場合を含む。
）（５）開示等の請求等の対象となる保有個人データ又は第三者提供記録の特定に必要な事
項（６）開示等の請求等に対する回答方法等（７）開示等の求めをする者が代理人である場合の代理権を確認する方法
２

代理人による開示等の請求等に対して、会員が本人にのみ直接開示等することは妨げられない。
３ 会員は、前２項の規定に基づき開示等の請求等に関する手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。
（手数料）
第 20 条

会員は、第 14 条第２項の規定による保有個人データの利用目的の通知を求められたとき又は第 15 条第１項若しくは第３項の規定による開示の請求を受けたときは、当該措置の実施に関し、手数料を徴収することができる。
２

会員は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲において、その手数料の額を定めなければならない。

（会員による苦情の処理）
第 21 条会員は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
２ 会員は、苦情受付窓口の設置や苦情処理手順の策定、苦情処理に当たる役職員への十分な教育・研修等により、前項の目的を達成するために必要な体制の整備に努めなければならない。
（個人情報等の漏えい等事案への対応）
第 22 条会員は、施行規則第７条各号に定める事態を知ったときは、個人情報の保護に関する法律についてのガイドライン（通則編）（以下「ガイドライン（通則編）」という。）
３－５－３に従って、個人情報保護委員会（保護法第 150 条の規定により金融庁長官等が報告を受理する権限の委任を受けている場合にあっては金融庁長官等、保護法第 170 条の規定により地方公共団体の長等が報告を受理する権限に属する事務を行う場合にあっては地方公共団体の長等）に報告するものとする。
また、会員は、その取り扱う個人である顧客等に関する個人データの漏えい等が発生し、又は発生したおそれがある事態を知ったときは、関係法令に従って、監督当局に報告するものとする。

なお、行政手続における特定の個人を識別するための番号の利用等に関する法律第２条第８項に定める特定個人情報が漏えいした場合には、あわせて個人情報保護委員会にも報告するものとする。
２

会員は、次に掲げる事態（前項に規定する事態を除く。
）を知ったときは、同項の規定に準じて、監督当局に報告するものとする。

（１）その取り扱う個人情報の漏えい等が発生し、又は発生したおそれがある事態（２）その取り扱う仮名加工情報に係る削除情報等（保護法第 41 条第１項の規定により行われた加工の方法に関する情報にあっては、その情報を用いて仮名加工情報の作成に用いられた個人情報を復元することができるものに限る。次項において同じ。）又は匿名加工情報に係る加工方法等情報の漏えいが発生し、又は発生したおそれがある事態
３

会員は、施行規則第７条各号に定める事態を知ったときは、ガイドライン（通則編）３－５－４に従い、本人への通知等を行わなければならない。
また、会員は、次に掲げる事態（施行規則第７条各号に定める事態を除く。
）を知った
ときも、これに準じて、本人への通知等を行うこととする。

（１）その取り扱う個人データ（仮名加工情報である個人データを除く。
）の漏えい等が発生し、又は発生したおそれがある事態（２）その取り扱う個人情報（仮名加工情報である個人情報を除く。
）の漏えい等が発生し、又は発生したおそれがある事態（３）その取り扱う仮名加工情報に係る削除情報等又は匿名加工情報に係る加工方法等情報の漏えいが発生し、又は発生したおそれがある事態
４

会員は、第１項及び第２項に規定する事態が発覚した場合は、当該事案の内容等に応じて、次に掲げる事項について必要な措置を講じなければならない。

（１）事業所内部における報告及び被害の拡大防止（２）事実関係の調査及び原因の究明（３）影響範囲の特定（４）再発防止策の検討及び実施
また、当該事態の内容等に応じて、二次被害の防止、類似事案の発生回避等の観点から、当該事態の事実関係及び再発防止策等について、速やかに公表することとする。
５

前各項に規定する以外の事項については、ガイドライン（通則編）の例による（施行規則第７条各号関係に限る。
）。

６

会員は、第１項又は第２項の報告を行った場合には、本協会の定款の施行に関する規則
第４条に従って本協会にも報告するものとする。

（仮名加工情報についての本指針の適用関係）
第 22 条の２

仮名加工情報（個人情報であるものに限る。以下この項において同じ。
）に関する本指針の適用については、次のとおりとする。

（１）第５条の規定にかかわらず、法令に基づく場合を除くほか、第３条第１項の規定により特定された利用目的の達成に必要な範囲を超えて、仮名加工情報を取り扱ってはならない。
（２）仮名加工情報についての第８条の規定の適用については、同条第１項及び第３項中「本人に通知し、又は公表し」とあるのは「公表し」と、同条第４項第１号から第３号までの規定中「本人に通知し、又は公表する」とあるのは「公表する」とする。
（３）会員は、仮名加工情報である個人データ及び削除情報等を利用する必要がなくなった
ときは、当該個人データ及び削除情報等を遅滞なく消去するよう努めなければならない。この場合においては、第９条の規定は、適用しない。
（４）会員は、第 13 条第１項及び第２項並びに第 13 条の２第１項の規定にかかわらず、法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはならない。この場合において、第 13 条第４項第３号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第６項中「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と、第 13 条の３中「ただし、国内にある第三者への提供においては、保護法第 27 条第１項各号又は同条第５項各号のいずれかに該当する場合、記録の作成を要しないものとする。また、外国にある第三者への提供においては、保護法第 27 条第１項各号のいずれか」とあり、及び第 13 条の４中「保護法第 27 条第１項各号又は同条第５項各号のいずれか」とあるのは「保護法第 27 条第１項第１号又は同条第５項各号のいずれか」とする。
（５）仮名加工情報、仮名加工情報である個人データ及び仮名加工情報である保有個人デー
タについては、第３条第３項、第 14 条から第 20 条まで、及び第 22 条の規定は、適用しない。
２

仮名加工情報（個人情報であるものを除く。以下この項において同じ。
）に関する本指針の適用については、次のとおりとする。

（１）会員は、法令に基づく場合を除くほか、仮名加工情報を第三者に提供してはならない。
（２）第 13 条第４項及び第６項の規定は、仮名加工情報の提供を受ける者について準用する。この場合において、同条第４項第３号中「、本人に通知し、又は本人が容易に知り得る状態において」とあるのは「公表して」と、同条第６項中「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」とする。
３ 第 10 条から第 12 条まで、及び第 21 条の規定は、会員による仮名加工情報の取扱いについて準用する。
（個人情報保護宣言の策定）
第 23 条会員は、個人情報に対する取組方針を、あらかじめ分かりやすく説明することの重要性に鑑み、会員の個人情報保護に関する考え方及び方針に関する宣言（いわゆるプラ

イバシーポリシー、プライバシーステートメント等。以下「個人情報保護宣言」という。）
を策定し、公表することとする。
２

個人情報保護宣言には、例えば、以下の内容を記載することとする。

（１）関係法令等の遵守、個人情報を目的外に利用しないこと及び苦情処理に適切に取り組
むこと等、個人情報保護への取組方針の宣言（２）保護法第 21 条における利用目的の通知・公表等の手続についての分かりやすい説明（３）保護法第 32 条における開示等の手続等、個人情報保護の取扱いに関する諸手続についての分かりやすい説明（４）個人情報の取扱いに関する質問及び苦情処理の窓口
３ 個人情報保護宣言には、消費者等、本人の権利利益保護の観点から、事業活動の特性、規模及び実態に応じて、次に掲げる点を考慮した記述をできるだけ盛り込むよう努めるものとする。
（１）保有個人データについて本人から求めがあった場合には、ダイレクトメールの発送停止など、自主的に利用停止等に応じること。
（２）委託の有無、委託する事務の内容を明らかにする等、委託処理の透明化を進めること。
（３）会員がその事業内容を勘案して顧客の種類ごとに利用目的を限定して示したり、会員
が本人の選択による利用目的の限定に自主的に取り組むなど、本人にとって利用目的がより明確になるようにすること。
（４）個人情報の取得元又はその取得方法（取得源の種類等）を可能な限り具体的に明記すること。
４

個人情報保護宣言は、消費者等、本人がこれを適切に理解した上で自らの判断により選択の機会を行使することができるような表示等により構成するのが望ましい。

（本協会への報告等）
第 24 条本協会は、会員に対し、当該会員による本指針の遵守を確認するために、適宜報告を求めることができる。
２ 本協会は、会員に対し、本指針を遵守させるために必要な指導、勧告その他の措置を行う。
３

会員は、本指針を遵守するとともに、本協会が行う必要な指導及び勧告その他の措置に従わなければならない。

附 則
本指針は、本協会が保護法第 37 条第１項（現第 47 条第１項）の認定を受けた日から施行する。

附 則（平 27．９．28 一部改正）
この改正は、平成 27 年９月 28 日から施行する。
（注）改正条項は、次のとおりである。
(1) 第７条第２項を新設(2) 第 12 条第１項及び第２項を改正。
附 則（平 28．10．７一部改正）
この改正は、平成 28 年 10 月７日から施行する。
（注）第 22 条第１項を改正。
附則（平 29.５．30 一部改正）
この改正は、平成 29 年５月 30 日から施行する。
（注）改正条項は、次のとおりである。
(1) 第１条を改正のうえ同条第１項とし、第２項を新設。
(2) 第２条第１項中第１号及び第２号を改正し、第１の２号、第６号、第７号及び第８号を新設。
(3) 第３条第２項を改正し、第２項及び第３項を１項ずつ繰り下げ、第２項を新設。
(4) 第４条を改正。
(5) 第５条第１項及び第２項を改正。
(6) 第６条の見出し、第１項各号列記以外の部分、同項中第５号及び第２項を改正し、第３項及び第４項を新設。
(7) 第８条第１項及び第２項を改正。
(8) 第９条の見出し及び同条を改正。
(9) 第 10 条第１項各号列記以外の部分及び第３項第１号中イを改正。
(10)第 13 条第１項各号列記以外の部分、同項中第２号、第２項各号列記以外の部分、第３項、第４項各号及び第５項を改正し、第２項第５号を新設。
(11) 第 13 条の２から第 13 条の５までを新設。
(12) 第 14 条第１項各号列記の部分並びに同項中第２号及び第３号を改正。
(13) 第 15 条第１項各号列記以外の部分及び第２項を改正。
(14) 第 16 条各項を改正。
(15) 第 17 条各項を改正。
(16) 第 18 条を改正。
(17) 第 19 条の見出し、第 1 項各号列記以外の部分、同項中第１号から第６号、第２項及び第３項を改正し、第１項中第５号及び第６号を１号ずつ繰り下げ、第５号を新設。
(18) 第 20 条各項を改正。

(19) 第 21 条の見出し及び各項を改正。
(20) 第 22 条の見出し及び各項を改正。
(21) 第 23 条第２項中第３号を改正。
(22) 第 24 条第１項を改正し、第３項を新設。
附則（2022.3．14 一部改正）
この改正は、2022 年４月１日から施行する。
（注）改正条項は、次のとおりである。
（１）第１条各項を改正。
（２）第２条第１号、第２号、第７号を改正し、第８号を改正のうえ第９号とし、第４号ホを削除し、第８号、第 10 条及び第 11 条を新設。
（３）第３条第３項を改正。
（４）第４条を改正。
（５）第５条第２項を改正し、第３項第５号を新設。
（６）第６条第１項第５号から第８号を１号ずつ繰り下げ、第５号を新設し、第３項を改正。
（７）第６条の２を新設（８）第９条を改正。
（９）第 10 条第１項各号列記以外の部分を改正し、第３号を第４号とし、第３号及び第５号を新設し、第２項第２号を改正し、第３項各号列記以外の部分を改正し、第３号を第４号とし、第３号を新設。
（10）第 12 条第１項、第２項各号を改正。
（11）第 13 条第１項各号列記以外の部分を改正し、第５号を新設し、第２項各号列記以外の部分を改正し、第１号及び第２号を１号ずつ、第３号から第５号を２号ずつ繰り下げ、第１号、第４号、第８号及び第９号を新設し、第３項、第４項第３号及び第６項を改正。
（12）第 13 条の２を改正のうえ同条第１項とし、第２項から第７項までを新設。
（13）第 13 条の３各号列記以外の部分を改正。
（14）第 13 条の４各号列記以外の部分を改正。
（15）第 13 条の５を改正のうえ第 13 条の６とする。
（16）第 13 条の５を新設。
（17）第 14 条第１項第１号から第３号を改正し、第４号及び第５号を第５号及び第６号とし、第４号を新設し、第２項第２号を改正。
（18）第 15 条第１項各号列記以外の部分及び第２項を改正し、第３項を新設。
（19）第 17 条第１項を改正し、第３項を第４項とし、第３項を新設。
（20）第 18 条を改正。
（21）第 19 条第１項各号列記以外の部分、第４号及び第５号並びに第３項を改正。
（22）第 20 条第１項を改正。

（23）第 22 条第１項を改正し、第２項及び第３項を第４項及び第５項とし、第２項及び第３項を新設。
（24）第 22 条の２を新設。
（25）第 23 条第１項、第２項第２号を改正し、第４項を新設。
附則（2022.６．３一部改正）
この改正は、2022 年６月３日から施行する。
（注）改正条項は、次のとおりである。
（１）第２条第８号を改正。
（２）第 13 条の３各号列記以外の部分を改正し、第１号から第７号を削除。
（３）第 13 条の４各号列記以外の部分を改正し、第１号から第７号を削除。
（４）第 18 条を改正。
（５）第 22 条第１項、第２項及び第６項を改正。
附則（2023.５．19 一部改正）
この改正は、2023 年５月 19 日から施行する。
（注）改正条項は、次のとおりである。
（１）第１条第１項を改正。
（２）第２条第７号を改正。
（３）第５条第３項第１号を改正。
（４）第６条第１項第５号を改正。
（５）第 13 条の３を改正。
（６）第 13 条の４を改正。
（７）第 22 条第１項を改正。
（８）第 22 条の２第１項第４号を改正。
附則（2024.３．29 一部改正）
この改正は、2024 年４月１日から施行する。
（１）第 10 条第１項各号列記以外の部分を改正。
（２）第 11 条第１項及び第２項第３号を改正。
（３）第 12 条第２項各号列記以外の部分及び第２号を改正。
（４）第 13 条の２第５項を改正。