資料

金融先物取引業協会「個人情報の保護に関する指針」一部改正案
改正案

現

個人情報の保護に関する指針

行

個人情報の保護に関する指針

平 26． ３ ． 27 制 定

平 26． ３ ． 27 制 定

平 27．９．28 一部改正

平 27．９．28 一部改正

平 28． 10． ７ 一 部 改 正

平 28． 10． ７ 一 部 改 正

平 29． ５ ． ○ 一 部 改 正
（目的）

（目的）
第１条

本指針は、一般社団法人金融先物取引

第１条

本指針は、一般社団法人金融先物取引業協会（以下「本協会」という。）が「個人業協会（以下「本協会」という。）が「個人情報の保護に関する法律」（以下「保護法」

情報の保護に関する法律」（以下「保護法」という。）、「個人情報の保護に関する法律施という。）、「個人情報の保護に関する法律施行令」（以下「施行令」という。）、個人情報行令」（以下「施行令」という。）、「個人情報の保護に関する法律施行規則（平成 28 年個の保護に関する基本方針」（平成 16 年４月２

人情報保護委員会規則第３号。その後の改正

日閣議決定。その後の改正を含む。）及び「金を含む。）（以下「施行規則」という。）、「個

融分野における個人情報保護に関するガイ

人情報の保護に関する基本方針」（平成 16

ドライン」（平成 16 年 12 月６日金融庁告示

年４月２日閣議決定。その後の改正を含む。）

第 67 号。その後の改正を含む。以下「金融に基づき、「個人情報の保護に関する法律に庁ガイドライン」という。）等を踏まえ、会

ついてのガイドライン（通則編）」（平成 28員の行う定款第２条の２第５号に定める金年個人情報保護委員会告示第６号。その後の融先物取引業（以下、「金融先物取引業」と改正を含む。以下、その他告示についても同いう。）に係る業務における個人情報の適正

じ。）、同ガイドライン（外国にある第三者へな取扱いを確保するため、会員が講ずべき具の提供編）（平成 28 年個人情報保護委員会告体的な措置等を定めるものである。

示第７号。）、同ガイドライン（第三者提供時の確認・記録義務編）（平成 28 年個人情報保護委員会告示第８号。）及び同ガイドライン（匿名加工情報編）（平成 28 年個人情報保護委員会告示第９号。）、「金融分野における個
人情報保護に関するガイドライン」（平成 29
年個人情報保護委員会・金融庁告示第１号。）
及び「金融分野における個人情報保護に関す
1

るガイドラインの安全管理措置等についての実務指針」（平成 29 年個人情報保護委員
会・金融庁告示第２号。
）等（以下「個人情報の保護に関する法令等」という。
）を踏まえ、会員の行う定款第２条の２第５号に定める金融先物取引業（以下「金融先物取引業」という。）に係る業務における個人情報の適正な取扱いの確保のために、個人情報に係る利用目的の特定、安全管理のための措置その他の事項を定めるとともに、会員が講ずべき具体的措置等を定めるものである。
２

会員は、個人情報の漏えい、不正流出等を（新設）防止等するため、個人情報の保護に関する法令等並びに関係法令及びガイドライン等に従い、個人情報の適正な管理体制を整備する必要がある。
（定義）
第２条

（定義）
本指針において、次の各号に掲げる

第２条

本指針において、次の各号に掲げる用語の定義は、当該各号に定めるところによ

用語の定義は、当該各号に定めるところによる。

る。

（１）個人情報（１）個人情報

生存する個人に関する情報であって、次に生存する個人に関する情報であって、特定掲げるもののいずれかに該当するものをいの個人を識別することができるもの（他の情う。

報と容易に照合することができ、それにより

イ

特定の個人を識別することができるものを当該情報（個別識別符号を除く。）によ
り特定の個人を識別することができるも含む。）をいう。

の（他の情報と容易に照合することができ、それにより特定の個人を識別することができるものを含む。）
ロ

個人識別符号が含まれるもの｢個人に関する情報｣とは、氏名、住所、性｢個人に関する情報｣とは、氏名、性別、生別、生年月日、顔画像等個人を識別する情報

年月日、住所、年齢、職業、続柄等の事実にに限られず、個人の身体、財産、職種、肩書

関する情報に限られず、個人の身体、財産、等の属性に関して、事実、判断、評価を表す

職種、肩書等の属性に関する判断や評価を表

2

すべての情報であり、評価情報、公刊物等にすすべての情報を指し、公刊物等によって公よって公にされている情報や、映像、音声ににされている情報や、映像、音声による情報

よる情報も含まれ、暗号化等によって秘匿化も含まれる。これら「個人に関する情報」がされているかどうかを問わない。これら「個氏名等と相まって「特定の個人を識別するこ人に関する情報」が氏名等と相まって「特定とができる」ことになれば、それが「個人情の個人を識別することができる」ことになれ報」となる。

ば、それが「個人情報」となる。
なお、生存しない個人に関する情報が、同

なお、生存しない個人に関する情報が、同時に、遺族等の生存する個人に関する情報に時に、遺族等の生存する個人に関する情報に当たる場合には、当該生存する個人に関する当たる場合には、当該生存する個人に関する情報となる。

情報となる。

また、企業名等、法人その他の団体に関す

また、企業名等、法人その他の団体に関する情報は、基本的に「個人情報」には該当しる情報は、基本的に「個人情報」には該当しないが、役員の氏名などの個人に関する情報

ないが、役員の氏名などの個人に関する情報が含まれる場合には、その部分については、が含まれる場合には、その部分については、「個人情報」に該当する。

「個人情報」に該当する。

さらに、「個人」には外国人も当然に含まれる。

さらに、「個人」には外国人も当然に含まれる。

（１の２）個人識別符号（新設）

当該情報単体から特定の個人を識別できるものとして施行令第１条に定められた文
字、番号、記号その他の符号をいう。
（２）個人情報データベース等（２）個人情報データベース等

個人情報を含む情報の集合物であって、次に掲げるものをいう。

個人情報を含む情報の集合物であって、次に掲げるものをいう。

ただし、利用方法からみて個人の権利利益を害するおそれが少ないものとして施行令第３条第１項で定めるものを除く。
イ

特定の個人情報をコンピューターを用イ

特定の個人情報をコンピューターを用
いて検索することができるように体系的に構成したものに構成したものロ

いて検索することができるように体系的イに掲げるもののほか、個人情報を一定

ロ

イに掲げるもののほか、個人情報を一定の規則に従って整理することにより特定の規則に従って整理することにより特定の個人情報を容易に検索することができの個人情報を容易に検索することができるように体系的に構成したものであって、るように体系的に構成したものであって、目次、索引、符号等により容易に検索可能

目次、索引、符号等により容易に検索可能

3

な状態に置かれているもの

な状態に置かれているもの（３）個人データ（３）個人データ

個人情報データベース等を構成する個

個人情報データベース等を構成する個人

人情報をいう。

情報をいう。

（４）保有個人データ（４）保有個人データ
会員が、開示、内容の訂正、追加又は削除、会員が、開示、内容の訂正、追加又は削利用の停止、消去及び第三者への提供の停止

除、利用の停止、消去及び第三者への提供を行うことのできる権限を有する個人デーの停止を行うことのできる権限を有する

タであって、次に掲げるもの以外のものをい

個人データであって、次に掲げるもの以外

う。

のものをいう。

イ

当該個人データの存否が明らかになるイ

当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの

又は財産に危害が及ぶおそれがあるもの

ロ

ことにより、本人又は第三者の生命、身体
当該個人データの存否が明らかになるロ

当該個人データの存否が明らかになることにより、違法又は不当な行為を助長

し、又は誘発するおそれがあるもの

し、又は誘発するおそれがあるもの

ハことにより、違法又は不当な行為を助長
当該個人データの存否が明らかになる

ハ

当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、

他国若しくは国際機関との信頼関係が損

他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機

なわれるおそれ又は他国若しくは国際機

関との交渉上不利益を被るおそれがある関との交渉上不利益を被るおそれがある

もの

もの

ニ

ことにより、国の安全が害されるおそれ、

当該個人データの存否が明らかになる

ニ

当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障がの他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの

及ぶおそれがあるもの

ホ

ことにより、犯罪の予防、鎮圧又は捜査そホ

６か月以内に消去するもの

６か月以内に消去するもの

（５）本人

（５）本人
個人情報によって識別される特定の個人

個人情報によって識別される特定の個人
をいう。

をいう。

（新設）

（６）要配慮個人情報不当な差別や偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして、保護法第２条第３項及び施行令第２条で定める記述等が含まれる個人情報
をいう。
4

（新設）

（７）機微（センシティブ）情報
金融分野において、要配慮個人情報並びに労働組合への加盟、門地、本籍地、保健医療
及び性生活（これらのうち要配慮個人情報に該当するものを除く。）に関する情報（本人、国の機関、地方公共団体、保護法第 76 条第１項各号若しくは施行規則第６条各号に掲げるものにより公開されているもの、又は本人を目視し、若しくは撮影することにより取得するその外形上明らかなものを除く。）のことをいう。
（８）匿名加工情報（新設）

個人情報を次に掲げる個人情報の区分に応じて定められた措置を講じて特定の個人を識別することができないように加工して得られる個人に関する情報であって、当該個人情報を復元して特定の個人を再認識することができないようにしたものをいう。
イ（１）イに該当する個人情報
当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元する
ことのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
ロ（１）ロに該当する個人情報
当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法
により他の記述等に置き換えることを含む。）。
（利用目的の特定）（利用目的の特定）

第３条

第３条

会員は、個人情報の取扱いに当たって会員は、個人情報の取扱いに当たっては、個人情報がどのような事業の用に供さは、個人情報がどのような事業の用に供され、どのような目的で利用されるかを本人がれ、どのような目的で利用されるかを本人が合理的に予想できるようできる限り特定し合理的に予想できるようできる限り特定しなければならない。

なければならない。
5

２

前項の利用目的の特定に当たって、「自社（新設）の所要の目的で用いる」といった抽象的な利用目的は、「できる限り特定」したものとは
ならないことから、会員は、提供する金融商
品、サービスを示したうえで、利用目的を特定するよう努めなければならない。
３

会員は、特定した利用目的を変更する場合

２

会員は、特定した利用目的を変更する場合には、保護法第 15 条第２項に定める「変更には、変更後の利用目的が変更前の利用目的

前の利用目的と関連性を有すると合理的にからみて、社会通念上本人が想定できる範囲認められる範囲」（変更後の利用目的が変更

を超えて行ってはならない。なお、本人が想前の利用目的からみて、社会通念上、本人が定できない変更を行う場合には、本人の同意

通常予期し得る限度として客観的に認めらを得なければならない。

れる範囲）を超えて行ってはならない。
４

会員は、特定の個人情報の利用目的が、法３

会員は、特定の個人情報の利用目的が、法令等に基づき限定されている場合には、その令等に基づき限定されている場合には、その旨を明示することとする。

旨を明示することとする。

（「同意」の形式）（「同意」の形式）

第４条

第４条

会員は、次条、第 13 条及び第 13 条の会員は、前条第２項、次条第１項若し

２に定める本人の同意を得る場合には、原則

くは第２項及び第 13 条第１項に定める本人として、書面（電磁的記録（電子的方式、磁の同意を得る場合には、原則として、書面（電気的方式、その他人の知覚によっては認識す

子的方式、磁気的方式、その他人の知覚によることのできない方式で作られる記録）を含っては認識することのできない方式で作らむ。以下同じ。）によることとする。

れる記録を含む。以下同じ。）によることと

なお、本人が未成年者、成年被後見人、被する。

保佐人及び被補助人であって、個人情報の取なお、本人が未成年者、成年被後見人、被扱いに関して同意したことによって生ずる保佐人及び被補助人であって、個人情報の取結果について判断できる能力を有していな扱いに関して同意したことによって生ずるい場合などは、親権者や法定代理人等から同結果について判断できる能力を有していな意を得る必要がある。

い場合などは、親権者や法定代理人等から同意を得る必要がある。

（利用目的による制限）（利用目的による制限）

第５条

第５条

会員は、あらかじめ本人の同意を得ることなく、第３条第１項により特定した利用
6

会員は、あらかじめ本人の同意を得ることなく、第３条第１項により特定した利用

目的の達成に必要な範囲を超えて、個人情報目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。

を取り扱ってはならない。

ただし、あらかじめ本人の同意を得るため

ただし、あらかじめ本人の同意を得るために個人情報を利用すること（電子メールの送に個人情報を利用することは、当初特定した信や電話をかけること等）は、当初特定した利用目的にない場合にも、目的外利用には当

利用目的にない場合でも、目的外利用には当

たらない。

たらない。
２

会員は、合併その他の事由により他の個人

２

会員は、合併その他の事由により他の個人情報取扱事業者（保護法第２条第５項に規定

情報取扱事業者（保護法第２条第３項に規定する個人情報取扱事業者をいう。以下同じ。）

する個人情報取扱事業者をいう。以下同じ。）

等から事業を承継することに伴って個人情等から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該他の個人情を得ないで、承継前における当該他の個人情報取扱事業者等の個人情報の利用目的の達報取扱事業者等の個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。

り扱ってはならない。

また、承継前の利用目的の達成に必要な範

ただし、あらかじめ本人の同意を得るため

囲内で取り扱う場合は目的外利用にならず、に個人情報を利用することは、承継前の利用

本人の同意を得る必要はない。

目的にない場合にも、目的外利用には当たらない。

３

前２項は、次に掲げる場合については適用

３

前２項は、次に掲げる場合については適用
しない。

しない。
（１）法令に基づく場合（１）法令に基づく場合（２）人の生命、身体又は財産（法人の財産を（２）人の生命、身体又は財産（法人の財産を含む。）の保護のために必要がある場合で含む。）の保護のために必要がある場合であって、本人の同意を得ることが困難でああって、本人の同意を得ることが困難であ

るとき

るとき

（３）公衆衛生の向上又は児童の健全な育成の（３）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であっ推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとて、本人の同意を得ることが困難であるときき（４）国の機関若しくは地方公共団体又はその（４）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある

行することに対して協力する必要がある場合であって、本人の同意を得ることによ場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれり当該事務の遂行に支障を及ぼすおそれ

7

があるときがあるとき（機微（センシティブ）情報の取扱いについて） （機微（センシティブ）情報について）
第６条

会員は、機微（センシティブ）情報第６条

会員は、政治的見解、信教（宗教、については、次に掲げる場合を除くほか、取思想及び信条をいう。）、労働組合への加盟、得、利用又は第三者への提供を行わないこと

人種及び民族、門地及び本籍地、保健医療及とする。

び性生活、並びに犯罪歴に関する情報（以下「機微（センシティブ）情報」という。）については、次に掲げる場合を除くほか、取得、
利用又は第三者への提供を行わないこととする。

（１）法令等に基づく場合（１）法令等に基づく場合（２）人の生命、身体又は財産の保護のために（２）人の生命、身体又は財産の保護のために必要がある場合必要がある場合（３）公衆衛生の向上又は児童の健全な育成の（３）公衆衛生の向上又は児童の健全な育成の推進のため特に必要がある場合推進のため特に必要がある場合（４）国の機関若しくは地方公共団体又はその（４）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある

行することに対して協力する必要がある

場合

場合（５）源泉徴収事務等の遂行上必要な範囲にお（５）源泉徴収事務等の遂行上必要な範囲において、政治・宗教等の団体若しくは労働組

いて、政治・宗教等の団体若しくは労働組

合への所属若しくは加盟に関する従業員

合への所属若しくは加盟に関する従業員等の機微（センシティブ）情報を取得、利等の機微（センシティブ）情報を取得し、用又は第三者提供する場合

利用し、又は第三者提供する場合（６）相続手続による権利義務の移転等の遂行（６）相続手続による権利義務の移転等の遂行に必要な限りにおいて、機微（センシティに必要な限りにおいて、機微（センシティ

ブ）情報を取得、利用又は第三者提供するブ）情報を取得、利用又は第三者提供する

場合

場合（７）会員の行う金融先物取引業の適切な業務（７）会員の行う金融先物取引業の適切な業務運営を確保する必要性から、本人の同意に運営を確保する必要性から、本人の同意に基づき業務遂行上必要な範囲で機微（セン基づき業務遂行上必要な範囲で機微（センシティブ）情報を取得、利用又は第三者提シティブ）情報を取得、利用又は第三者提

供する場合

供する場合

（８）機微（センシティブ）情報に該当する生（８）機微（センシティブ）情報に該当する生体認証情報を本人の同意に基づき、本人確

体認証情報を本人の同意に基づき、本人確

8

認に用いる場合

認に用いる場合
２

会員は、機微（センシティブ）情報を、前

２

会員は、機微（センシティブ）情報を前項項に掲げる場合に取得、利用又は第三者にに掲げる場合に取得、利用又は第三者提供

提供する場合には、同項に掲げる事由を逸する場合には、同項に掲げる事由を逸脱し脱した取得、利用又は第三者提供を行うこ

た取得、利用又は第三者提供を行うことのとのないよう、特に慎重に取り扱うこととないよう、特に慎重に取り扱うこととする。

する。
３

会員は、機微（センシティブ）情報を、本（新設）条第１項に掲げる場合に取得、利用又は第三者に提供する場合には、個人情報の保護に関する法令等に従い適切に対応しなければならない。
４

会員は、機微（センシティブ）情報を第三（新設）者に提供するに当たっては、保護法第２３条第２項（オプトアウト）の規定を適用しないこととする。
（適正な個人情報の取得）（適正な個人情報の取得）

第７条

第７条

会員は、偽りその他不正の手段により会員は、偽りその他不正の手段により個人情報を取得してはならない。また、会員

個人情報を取得してはならない。また、会員

は、第三者から個人情報を取得するに際しては、第三者から個人情報を取得するに際しては、本人の利益の不当な侵害を行ってはなら

は、本人の利益の不当な侵害を行ってはならず、個人情報の不正取得等の不当な行為を行ず、個人情報の不正取得等の不当な行為を行っている第三者から、当該情報が漏えいされっている第三者から、当該情報が漏えいされた情報であること等を知ったうえで個人情た情報であること等を知ったうえで個人情報を取得してはならない。

報を取得してはならない。

２

２

会員は、第三者からの提供により個人情報

会員は、第三者からの提供により個人情報を取得する場合には、提供元の法令遵守状況を取得する場合には、提供元の法令遵守状況を確認するとともに、当該個人情報が適法にを確認するとともに、当該個人情報が適法に取得されたものであることを確認するもの取得されたものであることを確認するもの

とする。

とする。

（個人情報取得に際しての利用目的の通知・公（個人情報取得に際しての利用目的の通知・公

表、明示等
第８条

表、明示等）

会員は、個人情報を取得した場合は、 第８条

あらかじめその利用目的を公表している場

会員は、個人情報を取得した場合は、

あらかじめその利用目的を公表している場
9

合を除き、速やかに、その利用目的を本人に合を除き、速やかに、その利用目的を本人に通知し、又は公表しなければならない。この通知し、又は公表しなければならない。この場合において、「通知」の方法については、

場合において、「通知」の方法については、

原則として書面によることとし、「公表」の原則として書面によることとし、「公表」の方法については、自らの金融商品の販売方法

方法については、販売方法等の事業の態様に等の事業の態様に応じ、インターネットのホ

応じ、営業所の窓口等への書面の掲示・備付

ームページ等での公表、本店その他の営業所

け、インターネットのホームページ等での公の窓口等への書面の掲示・備付け等適切な方

表等適切な方法によるものとする。

法によらなければならない。
２

会員は、前項の規定にかかわらず、本人と２

会員は、前項の規定にかかわらず、本人との間で契約を締結すること等に伴って契約の間で契約を締結すること等に伴って契約書その他の書面に記載された個人情報を取書その他の書面に記載された個人情報を取得する場合は、あらかじめ、本人に対し、そ得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。

の利用目的を明示しなければならない。

ただし、人の生命、身体又は財産の保護の

ただし、人命、身体又は財産の保護のためために緊急に必要がある場合は、この限りでに緊急に必要がある場合は、この限りでな

ない。

い。

３

３

会員は、利用目的を変更した場合は、変更

会員は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又された利用目的について、本人に通知し、又は公表しなければならない。

は公表しなければならない。

４

４

前３項の規定は、次に掲げる場合については適用しない。

前３項の規定は、次に掲げる場合については適用しない。

（１）利用目的を本人に通知し、又は公表する（１）利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、ことにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれが財産その他の権利利益を害するおそれが

ある場合

ある場合

（２）利用目的を本人に通知し、又は公表する（２）利用目的を本人に通知し、又は公表することにより当該会員の権利又は正当な利ことにより当該会員の権利又は正当な利益を害するおそれがある場合益を害するおそれがある場合（３）国の機関又は地方公共団体が法令の定め（３）国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力するる事務を遂行することに対して協力する必要がある場合であって、利用目的を本人必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあると務の遂行に支障を及ぼすおそれがあるときき（４）取得の状況からみて利用目的が明らかで
10（４）取得の状況からみて利用目的が明らかであると認められる場合あると認められる場合（データ内容の正確性の確保等）（データ内容の正確性の確保）

第９条

第９条

会員は、利用目的の達成に必要な範囲

会員は、利用目的の達成に必要な範囲内において、個人情報データベース等への個内において、個人データを正確かつ最新の内

人情報の入力時の照合・確認の手続の整備、容に保つよう努めなければならない。

誤り等を発見した場合の訂正等の手続きの整備、記録事項の更新、保存期間の設定等を行うことにより、個人データを正確かつ最新の内容に保つよう努めなければならない。
なお、保有する個人データを一律に又は常このため、会員は、顧客等の個人データのに最新化する必要はなく、それぞれの利用目

保存期間について契約終了後一定期間内と的に応じて、その必要な範囲内で正確性・最する等、保有する個人データの利用目的に応新性を確保すれば足りる。

じ保存期間を定め、当該期間経過後の保有すまた、会員は、保有する個人データについる個人データを消去することとする。

て利用する必要がなくなったとき、すなわ
ち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等は、当該個人データを遅滞なく消去するよう努めなければならない。
なお、法令の定めにより保存期間等が定め

ただし、法令等に基づく保存期間の定められている場合は、この限りではない。

がある場合には、この限りでない。

（安全管理措置）（安全管理措置）

第 10 条

第 10 条会員は、その取り扱う個人データの会員は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人デ漏えい、滅失又は毀損の防止その他の個人データの安全管理に係る基本方針・取扱規程等

ータの安全管理のため、「金融分野におけるの整備及び個人データの安全管理措置に係

個人情報保護に関するガイドラインの安全る実施体制の整備等の必要かつ適切な措置

管理措置等についての実務指針」（平成 17 年を講じなければならない。必要かつ適切な措

１月６日金融庁告示第１号。その後の改正を

置は、個人データの取得・利用・保管等の各含む。）に基づき、個人データの安全管理に段階に応じた「組織的安全管理措置」、「人的係る基本方針・取扱規程等の整備及び個人デ安全管理措置」及び「技術的安全管理措置」

ータの安全管理措置に係る実施体制の整備

11

を含むものでなければならない。

等の必要かつ適切な措置を講じなければならない。必要かつ適切な措置は、個人データの取得・利用・保管等の各段階に応じた「組織的安全管理措置」、「人的安全管理措置」及
び「技術的安全管理措置」を含むものでなければならない。

当該措置は、個人データが漏えい、滅失又当該措置は、個人データが漏えい、滅失又は毀損等をした場合に本人が被る権利利益

は毀損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性の侵害の大きさを考慮し、事業の性質、個人質、個人データの取扱状況（取り扱う個人のデータの取扱状況及び個人データを記録しデータの性質及び量を含む。）及び個人デー

た媒体の性質等に起因するリスクに応じたタを記録した媒体の性質等に起因するリスものとする。

クに応じたものとする。
本条における用語の定義は、次のとおりで本条における用語の定義は、次のとおりで

ある。

ある。

（１）組織的安全管理措置（１）組織的安全管理措置

個人データの安全管理措置について役

個人データの安全管理措置について役

職員（会員の組織内にあって、直接又は間職員（会員の組織内にあって、直接又は間接に会員の指揮監督を受けて会員の業務

接に会員の指揮監督を受けて会員の業務に従事する者をいい、雇用関係にある従業に従事する者をいい、雇用関係にある従業者（正社員、契約社員、嘱託社員、パート者（正社員、契約社員、嘱託社員、パート

社員、アルバイト社員等）のみならず、会

社員、アルバイト社員等）のみならず、会員との間の雇用関係にない者（取締役、執員との間の雇用関係にない者（取締役、執行役、監査役、会計参与（会計参与が法人行役、監査役、会計参与（会計参与が法人であるときは、その職務を行うべき社員）、であるときは、その職務を行うべき社員）、派遣社員等）も含まれる。以下同じ。）の派遣社員等）も含まれる。以下同じ。）の責任と権限を明確に定め、安全管理に関す責任と権限を明確に定め、安全管理に関する規程等を整備・運用し、その実施状況のる規程等を整備・運用し、その実施状況の点検・監査を行うこと等の、会員の体制整

点検・監査を行うこと等の、会員の体制整備及び実施措置をいう。

備及び実施措置をいう。

（２）人的安全管理措置（２）人的安全管理措置

役職員との個人データの非開示契約の役職員との個人データの非開示契約の締結及び役職員に対する教育・訓練等を実締結及び役職員に対する教育・訓練等を実施し、個人データの安全管理が図られるよ

施し、個人データの安全管理が図られるよう役職員を監督することをいう。

う役職員を監督することをいう。

（３）技術的安全管理措置（３）技術的安全管理措置
12

２

個人データ及びそれを取り扱う情報シ

個人データ及びそれを取り扱う情報シ

ステムへのアクセス制御及び情報システ

ステムへのアクセス制御及び情報システ

ムの監視等の個人データの安全管理に関

ムの監視等の個人データの安全管理に関する技術的な措置をいう。

する技術的な措置をいう。

会員は、個人データの安全管理に係る基本

２

会員は、個人データの安全管理に係る基本方針・取扱規程等の整備として、以下の「組方針・取扱規程等の整備として、以下の「組織的安全管理措置」を講じなければならな

織的安全管理措置」を講じなければならな

い。

い。

（１）規程等の整備（１）規程等の整備

イイ

個人データの安全管理に係る基本方針

個人データの安全管理に係る基本方針
の整備

の整備
ロ

ロ

個人データの安全管理に係る取扱規程

個人データの安全管理に係る取扱規程
の整備

の整備
ハ

ハ

個人データの取扱状況の点検及び監査

個人データの取扱状況の点検及び監査に係る規程の整備に係る規程の整備ニニ

外部委託に係る規程の整備（２）各管理段階における安全管理に係る取扱

外部委託に係る規程の整備（２）各管理段階における安全管理に係る取扱

規程
イ

規程
イ

取得・入力段階における取扱規程

取得・入力段階における取扱規程

ロ 利用・加工段階における取扱規程

ロ 利用・加工段階における取扱規程

ハ保管・保存段階における取扱規程

ハ保管・保存段階における取扱規程

ニ移送・送信段階における取扱規程

ニ移送・送信段階における取扱規程

ホ消去・廃棄段階における取扱規程

ホ消去・廃棄段階における取扱規程

ヘ漏えい事案等への対応の段階における

ヘ漏えい事案等への対応の段階における
取扱規程

取扱規程
３

会員は、個人データの安全管理に係る実施

３

会員は、個人データの安全管理に係る実施体制の整備として、以下の「組織的安全管理体制の整備として、以下の「組織的安全管理

措置」、「人的安全管理措置」及び「技術的安措置」、「人的安全管理措置」及び「技術的安全管理措置」を講じなければならない。

全管理措置」を講じなければならない。

（１）組織的安全管理措置（１）組織的安全管理措置

イ

個人データの管理責任者等（個人データ

イ

個人データの管理責任者等の設置ロ

就業規則等における安全管理措置の整の安全管理に係る業務遂行の総責任者である個人データ管理責任者、個人データを取り扱う各部署における個人データ管理者）の設置
ロ

就業規則等における安全管理措置の整
13

備
ハ

備
個人データの安全管理に係る取扱規程

ハに従った運用

個人データの安全管理に係る取扱規程

ニに従った運用

個人データの取扱状況を確認できる手

ニ

段の整備

個人データの取扱状況を確認できる手

ホ

段の整備

個人データの取扱状況の点検及び監査

ホ体制の整備と実施

個人データの取扱状況の点検及び監査

ヘ

体制の整備と実施漏えい事案等に対応する体制の整備

ヘ（２）人的安全管理措置
イ

漏えい事案等に対応する体制の整備（２）人的安全管理措置

役職員との個人データの非開示契約等イの締結

役職員との個人データの非開示契約等の締結

ロ

役職員の役割・責任等の明確化

ロ

役職員の役割・責任等の明確化

ハ役職員への安全管理措置の周知徹底、教ハ役職員への安全管理措置の周知徹底、教

育及び訓練
ニ

育及び訓練

役職員による個人データ管理手続の遵ニ

守状況の確認役職員による個人データ管理手続の遵守状況の確認（３）技術的安全管理措置（３）技術的安全管理措置

イ

個人データの利用者の識別及び認証イ

個人データの利用者の識別及び認証ロ

個人データの管理区分の設定及びアクロ

個人データの管理区分の設定及びアク

セス制御

セス制御

ハ

個人データへのアクセス権限の管理

ハ

個人データへのアクセス権限の管理

ニ

個人データの漏えい・毀損等防止策

ニ

個人データの漏えい・毀損等防止策

ホ

個人データへのアクセスの記録及び分ホ

個人データへのアクセスの記録及び分析へ析
個人データを取り扱う情報システムのへ

稼動状況の記録及び分析

個人データを取り扱う情報システムのト

稼動状況の記録及び分析

個人データを取り扱う情報システムのト

個人データを取り扱う情報システムの監視及び監査監視及び監査（役職員の監督）（役職員の監督）

第 11 条

第 11 条会員は、その役職員に個人データを

会員は、その役職員に個人データを取り扱わせるに当たっては、当該個人データ取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、適切な内部管理の安全管理が図られるよう、適切な内部管理体制を構築し、その役職員に対する必要かつ体制を構築し、その役職員に対する必要かつ適切な監督を行わなければならない。

適切な監督を行わなければならない。

当該監督は、個人データが漏えい、滅失又14

当該監督は、個人データが漏えい、滅失又は毀損等をした場合に本人が被る権利利益

は毀損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個の侵害の大きさを考慮し、事業の性質及び個人データの取扱状況等に起因するリスクに人データの取扱状況等に起因するリスクに応じたものとする。

応じたものとする。

２

２

会員は、前項の役職員に対する必要かつ適会員は、前項の役職員に対する必要かつ適切な監督を以下の体制整備等により行わな切な監督を以下の体制整備等により行わなければならない。

ければならない。

（１）役職員が、在職中及びその職を退いた後（１）役職員が、在職中及びその職を退いた後において、当該会員の行う金融先物取引業

において、当該会員の行う金融先物取引業

務等に関して知り得た個人データを第三務等に関して知り得た個人データを第三者に知らせ、又は利用目的外に使用しない者に知らせ、又は利用目的外に使用しないことを内容とする契約等を採用時等に締ことを内容とする契約等を採用時等に締

結すること

結すること

（２）個人データの適正な取扱いのための取扱（２）個人データの適正な取扱いのための取扱規程の策定を通じた役職員の役割・責任の規程の策定を通じた役職員の役割・責任の明確化及び役職員への安全管理義務の周明確化及び役職員への安全管理義務の周

知徹底、教育及び訓練を行うこと

知徹底、教育及び訓練を行うこと（３）役職員による個人データの持出し等を防（３）役職員による個人データの持出し等を防ぐため、社内での安全管理措置に定めた事

ぐため、社内での安全管理措置に定めた事

項の遵守状況等の確認及び役職員におけ項の遵守状況等の確認及び役職員における個人データの保護に対する点検及び監る個人データの保護に対する点検及び監査制度を整備すること

査制度を整備すること（委託先の監督）（委託先の監督）

第 12 条

第 12 条会員は、個人データの取扱いの全部

会員は、個人データの取扱いの全部又は一部を委託（契約の形態や種類を問わ又は一部を委託（契約の形態や種類を問わず、会員が他の者に個人データの取扱いの全ず、会員が他の者に個人データの取扱いの全部又は一部を行わせることを内容とする契部又は一部を行わせることを内容とする契約の一切を含む。）する場合は、その取扱い約の一切を含む。）する場合は、その取扱いを委託された個人データの安全管理が図らを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつれるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。当該監

適切な監督を行わなければならない。当該監督は、個人データが漏えい、滅失又は毀損等

督は、個人データが漏えい、滅失又は毀損等をした場合に本人が被る権利利益の侵害のをした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性

大きさを考慮し、委託する事業の規模及び性質並びに個人データの取扱状況等に起因す

質並びに個人データの取扱状況等に起因す
15

るリスクに応じたものとする。

るリスクに応じたものとする。

２

２

会員は、個人データを適正に取り扱ってい会員は、個人データを適正に取り扱っていると認められる者を選定し委託するとともると認められる者を選定し委託するとともに、取扱いを委託した個人データの安全管理に、取扱いを委託した個人データの安全管理措置が図られるよう、個人データの安全管理措置が図られるよう、個人データの安全管理のための措置を委託先においても確保しなのための措置を委託先においても確保しなければならない（二段階以上の委託が行われければならない（二段階以上の委託が行われた場合には、委託先の事業者が再委託先等のた場合には、委託先の事業者が再委託先等の事業者に対して十分な監督を行っているか

事業者に対して十分な監督を行っているかについても監督を行わなければならない。）。

についても監督を行わなければならない。）。

具体的には、例えば、以下の対応等が必要で具体的には、例えば、以下の対応等が必要で

ある。

ある。

（１）個人データの安全管理のため、委託先に（１）個人データの安全管理のため、委託先における組織体制の整備及び安全管理に係おける組織体制の整備及び安全管理に係る基本方針・取扱規程の策定等の内容を委る基本方針・取扱規程の策定等の内容を委

託先選定の基準に定め、当該基準に従って

託先選定の基準に定め、当該基準に従って委託先を選定するとともに、当該基準を定委託先を選定するとともに、当該基準を定期的に見直すこと。

期的に見直すこと。

なお、委託先の選定に当たっては、必要

なお、委託先の選定に当たっては、必要に応じて個人データを取り扱う場所に赴に応じて個人データを取り扱う場所に赴く又はこれに代わる合理的な方法による

く又はこれに代わる合理的な方法による確認を行った上で、個人データ管理責任者確認を行った上で、個人データ管理責任者

等が適切に評価することが望ましい。

等が適切に評価することが望ましい。

（２）委託者の監督・監査・報告徴取に関する（２）委託者の監督・監査・報告徴取に関する権限、委託先における個人データの漏え

権限、委託先における個人データの漏えい・盗用・改ざん及び目的外利用の禁止、い・盗用・改ざん及び目的外利用の禁止、再委託に関する条件及び漏えい等が発生

再委託に関する条件及び漏えい等が発生した場合の委託先の責任を内容とする安した場合の委託先の責任を内容とする安全管理措置を委託契約に盛り込むととも全管理措置を委託契約に盛り込むとともに、定期的に監査を行う等により、定期的に、定期的に監査を行う等により、定期的又は随時に当該委託契約に定める安全管又は随時に当該委託契約に定める安全管

理措置の遵守状況を確認し、当該安全管理

理措置の遵守状況を確認し、当該安全管理措置を見直すこと。

措置を見直すこと。

なお、委託契約に定める安全管理措置等

なお、委託契約に定める安全管理措置等の遵守状況については、個人データ管理責の遵守状況については、個人データ管理責

任者等が、当該安全管理措置等の見直しを任者等が、当該安全管理措置等の見直しを

16

検討することを含め、適切に評価すること検討することを含め、適切に評価することが望ましい。

が望ましい。

委託先が再委託を行おうとする場合は、委託先が再委託を行おうとする場合は、委託元は委託を行う場合と同様、再委託の委託元は委託を行う場合と同様、再委託の相手方、再委託する業務内容及び再委託先

相手方、再委託する業務内容及び再委託先の個人データの取扱方法等について、委託の個人データの取扱方法等について、委託先に事前報告又は承認手続を求める、直接先に事前報告又は承認手続を求める、直接又は委託先を通じて定期的に監査を実施

又は委託先を通じて定期的に監査を実施する等により、委託先が再委託先に対してする等により、委託先が再委託先に対して本条の委託先の監督を適切に果たすこと、本条の委託先の監督を適切に果たすこと、

再委託先が法第 20 条に基づく安全管理措

再委託先が法第 20 条に基づく安全管理措置を講ずることを十分に確認することが置を講ずることを十分に確認することが望ましい。再委託先が再々委託を行う場合望ましい。再委託先が再々委託を行う場合

以降も、再委託を行う場合と同様とする。

以降も、再委託を行う場合と同様とする。

（第三者提供の制限）（第三者提供の制限）

第 13 条

第 13 条会員は、個人データの第三者（個人

会員は、次に掲げる場合を除くほか、データを提供しようとする会員及び当該個あらかじめ本人の同意を得ることなく、個人

人データに係る本人のいずれに該当しない

データを第三者（個人データを提供しようとものをいい、自然人、法人その他の団体を問する会員及び当該個人データに係る本人のわない。第 13 条の２から第 13 条の５を除き、いずれにも該当しないものをいい、自然人、

以下同じ。）への提供にあたり、あらかじめ法人その他の団体を問わない。以下同じ。）

本人の同意を得ないで提供してはならない。

に提供してはならない。

同意の取得にあたっては、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示さなければならない。
なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的において、その旨を特定しなければならない。
ただし、次に掲げる場合には、第三者への個人データの提供にあたって本人の同意は不要である。
17

（１）法令に基づく場合（１）法令に基づく場合（２）人の生命、身体又は財産（法人の財産を（２）人の生命、身体又は財産（法人の財産を含む。）といった具体的な権利利益が侵害含む。）の保護のために必要がある場合でされるおそれがあり、これの保護のためにあって、本人の同意を得ることが困難であ必要がある場合であって、本人の同意を得るときることが困難であるとき（３）公衆衛生の向上又は児童の健全な育成の（３）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であっ推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとて、本人の同意を得ることが困難であるときき（４）国の機関若しくは地方公共団体又はその（４）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある

行することに対して協力する必要がある場合であって、本人の同意を得ることによ場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれり当該事務の遂行に支障を及ぼすおそれ

があるとき

があるとき

２

会員は、第三者に提供される個人データ

２

会員は、第三者に提供される個人データに（機微（センシティブ）情報を除く。以下こついて、本人の求めに応じて当該本人が識別の項において同じ。）について、本人の求めされる個人データの第三者への提供を停止に応じて当該本人が識別される個人データすることとしている場合であって、次に掲げの第三者への提供を停止することとしている事項について、あらかじめ、本人に通知し、る場合であって、次に掲げる事項について、又は本人が容易に知り得る状態に置いていあらかじめ、本人に通知し、又は本人が容易るときは、前項にかかわらず、当該個人デーに知り得る状態に置くとともに、個人情報保タを第三者に提供することができる。

護委員会に届け出たときは、前項にかかわらず、当該個人データを第三者に提供することができる。
また、会員は、当該届出の内容を自らもイ
ンターネットの利用その他の適切な方法により公表するものとする。
なお、機微（センシティブ）情報は、オプ
トアウトにより第三者に提供することはできない。
（１）第三者への提供を利用目的とすること（１）第三者への提供を利用目的とすること（２）第三者に提供される個人データの項目（２）第三者に提供される個人データの項目（３）第三者への提供の手段又は方法（３）第三者への提供の手段又は方法
18

（４）本人の求めに応じて当該本人が識別され（４）本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止す

る個人データの第三者への提供を停止す

ること

ること

（５）本人の求めを受け付ける方法

（新設）

３

３

会員は、前項第２号、第３号又は第５号に

会員は、前項第２号又は第３号に掲げる事掲げる事項を変更する場合は、変更する内容

項を変更する場合は、変更する内容についについて、あらかじめ本人に通知し、又は本て、あらかじめ本人に通知し、又は本人が容人が容易に知り得る状態に置くとともに、個易に知り得る状態に置くものとする。

人情報保護委員会に届け出なければならない。
なお、会員は、本項に従い、必要な事項を
個人情報保護委員会に届け出たときは、その内容を自らも公表するものとする。
４

次に掲げる場合において、当該個人データ

４

次に掲げる場合において、当該個人データの提供を受ける者は、第三者に該当しなの提供を受ける者は、第三者に該当しない。

い。

（１）会員が、利用目的の達成に必要な範囲内（１）会員が、利用目的の達成に必要な範囲内において個人データの取扱いの全部又はにおいて個人データの取扱いの全部又は一部を委託することに伴って当該個人デ一部を委託する場合ータが提供される場合（２）合併その他の事由による事業の承継に伴って個人データが提供される場合（事業の（２）合併その他の事由による事業の承継に伴って個人データが提供される場合

承継後も、個人データが当該事業の承継により提供される前の利用目的の範囲内で利用する場合に限る。）（３）特定の者との間で共同して利用される個（３）個人データを特定の者との間で共同して人データが当該特定の者に提供される場

利用する場合であって、その旨並びに共同合であって、その旨並びに共同して利用さ

して利用される個人データの項目、共同しれる個人データの項目、共同して利用するて利用する者の範囲、利用する者の利用目者の範囲、利用する者の利用目的及び当該的及び当該個人データの管理について責

個人データの管理について責任を有する

任を有する者（共同して利用する者におい者（共同して利用する者において、第一次て、第一次的に苦情を受け付け、その処理的に苦情を受け付け、その処理を行うととを行うとともに、開示、訂正等及び利用停

もに、開示、訂正等及び利用停止等の決定

止等の決定を行い、安全管理に責任を有すを行い、安全管理に責任を有する者をいる者をいう。第６項において「管理責任者」

19

う。第６項において「管理責任者」という。）という。）の氏名又は名称について、あらの氏名又は名称について、あらかじめ、本

かじめ、本人に通知し、又は本人が容易に人に通知し、又は本人が容易に知り得る状

知り得る状態に置いているとき態に置いているとき
５

会員が前項第３号の規定により行う通知

５

会員が前項第３号の規定により行う通知については、原則として書面によることとす

は、原則として書面によることとする。会員

る。会員による「共同して利用する者の範囲」

による「共同して利用する者の範囲」の通知の通知等については、共同利用者を個別に列等については、共同利用者を個別に列挙する

挙するよう努めなければならない。

よう努めなければならない。

６

会員は、第４項第３号に規定する利用者の６

会員は、第４項第３号に規定する利用者の利用目的又は管理責任者の氏名又は名称を利用目的又は管理責任者の氏名又は名称を変更する場合は、変更する内容について、あ変更する場合は、変更する内容について、あらかじめ本人に通知し、又は本人が容易に知らかじめ本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

り得る状態に置かなければならない。

（外国にある第三者への提供の制限）
第 13 条の２

会員は、外国（本邦の域外にある国又は地域をいう。以下同じ。）（個人の権
利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している国として施行規則で定めるものを除く。以下この条及び次条において同じ。）にある第三者（個人データの取扱いについて個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして施行
規則第 11 条で定める基準に適合する体制を整備している者を除く。以下、この条において同じ。）に個人データを提供する場合には、
前条第１項各号に定める場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は適用しな
い。

20

（新設）

（第三者提供に係る記録の作成等）
第 13 条の３

会員は、第三者（保護法第２条

第５項各号に掲げる者を除く。本条から第13 条の５まで同じ。）に個人データを提供した場合には、個人データを提供した年月日、
当該第三者の氏名又は名称その他の施行規則で定める事項に関する記録を作成しなければならない。
ただし、国内にある第三者への提供においては、次の第１号から第７号に該当る場合、記録の作成を要しないものとする。
また、外国にある第三者への提供においては、次の第１号から第４号に該当する場合、また、当該第三者が施行規則で定める基準を満たしているものであって、保護法第 23 条
第５項各号に掲げる場合、記録の作成を要しないものとする。
（１）法令に基づく場合（２）人（法人を含む。
）の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（３）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（４）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（５）会員が利用目的の達成に必要な範囲内において個人データ取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合
21（新設）

（６）合併その他の事由による事業の承継に伴って個人データが提供される場合（７）特定の者との間で共同して利用される個
人データが当該特定の者に提供される場
合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、
本人に通知し、又は本人が容易に知り得る状態に置いているとき（第三者提供を受ける際の確認等）
第 13 条の４

会員は、第三者から個人データの提供を受けるに際し、次に掲げる場合を除き、当該第三者の氏名又は名称及び住所並びに法人にあってはその代表者（法人でない団
体で代表者又は管理人の定めのあるものにあってはその代表者又は管理人）の氏名、当該第三者による当該個人データの取得の経緯の確認を行い、保護法第 26 条第３項に定める事項に関する記録を作成しなければならない。
ただし、実質的に「提供者」による提供ではないものについては、確認・記録義務は適用されない。
（１）法令に基づく場合（２）人（法人を含む。
）の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（３）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（４）国の機関若しくは地方公共団体又はその
22

（新設）

委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（５）会員が利用目的の達成に必要な範囲内において個人データ取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合（６）合併その他の事由による事業の承継に伴って個人データが提供される場合（７）特定の者との間で共同して利用される個
人データが当該特定の者に提供される場
合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、
本人に通知し、又は本人が容易に知り得る状態に置いているとき（第三者提供時の記録に係る保存期間）
第 13 条の５

前２条に従い作成した記録につ（新設）

いては、それぞれ当該記録を作成した日から
施行規則第 14 条、第 18 条で定める期間保存
しなければならない。
（保有個人データに関する事項の公表等）（保有個人データに関する事項の公表等）

第 14 条

第 14 条

会員は、保有個人データに関し、次会員は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場（本人の求めに応じて遅滞なく回答する場

合を含む。）に置かなければならない。

合を含む。）に置かなければならない。なお、

なお、利用目的に第三者提供が含まれる場

利用目的に第三者提供が含まれる場合には、

合には、第２号の内容として、その旨を明ら第２号の内容として、その旨を記載しなけれ

かにしなければならない。

ばならない。

（１）会員の名称（１）会員の名称
23

（２）全ての保有個人データの利用目的（ただ（２）すべての保有個人データの利用目的（たし、第８条第４項第１号から第３号に該当だし、第８条第４項第１号から第３号に該する場合を除く。）

当する場合を除く。）（３）次項の規定による求め又は次条第１項、 （３）次項、次条第１項、第 16 条第１項又は第 16 条第１項若しくは第 17 条第１項若し

第 17 条第１項若しくは第２項の規定によくは第２項の規定による請求に応じる手

る求めに応じる手続（第 20 条の規定によ

続（第 20 条の規定により手数料の額を定り手数料の額を定めたときは、その手数料

めたときは、その手数料の額を含む。）の額を含む。
）（４）保有個人データの取扱いに関する自社に（４）保有個人データの取扱いに関する自社における苦情の申出先

おける苦情の申出先（５）認定個人情報保護団体の名称及び苦情の（５）認定個人情報保護団体の名称及び苦情の解決の申出先２

解決の申出先会員は、本人から、当該本人が識別される

２

会員は、本人から、当該本人が識別される

保有個人データの利用目的の通知を求めら

保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これをれたときは、本人に対し、遅滞なく、これを通知しなければならない。

通知しなければならない。ただし、次の各号

ただし、次の各号のいずれかに該当する場のいずれかに該当する場合は、この限りでは合は、この限りではない。

ない。

（１）前項の規定により当該本人が識別される（１）前項の規定により当該本人が識別される

保有個人データの利用目的が明らかな場

保有個人データの利用目的が明らかな場

合合（２）第８条第４項第１号から第３号に該当す（２）第８条第４項第１号から第３号に該当す

る場合
３

る場合

会員は、前項の規定に基づき求められた保３

会員は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

その旨を通知しなければならない。

（開示）

（開示）

第 15 条会員は、本人から、当該本人が識別第 15 条会員は、本人から、当該本人が識別される保有個人データについて開示（存在しされる保有個人データについて開示を求めないときにはその旨を知らせることを含られたときは、本人に対し、書面の交付によむ。）の請求を受けたときは、本人に対し、る方法（開示の求めを行った者が同意した方

書面の交付による方法（開示の請求を行った法があるときは、当該方法）により、遅滞な者が同意した方法があるときはその方法）にく、当該保有個人データを開示しなければな

より、遅滞なく、当該保有個人データを開示らない。ただし、開示することにより次のい24

しなければならない。

ずれかに該当する場合は、その全部又は一部

ただし、開示することにより次のいずれかを開示しないことができる。

に該当する場合は、その全部又は一部を開示
しないことができる。
（１）本人又は第三者の生命、身体、財産その（１）本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

他の権利利益を害するおそれがある場合（２）会員の業務の適正な実施に著しい支障を（２）会員の業務の適正な実施に著しい支障を及ぼすおそれがある場合

及ぼすおそれがある場合（３）他の法令に違反することとなる場合（３）他の法令に違反することとなる場合

２

２

会員は、前項の規定による請求に係る保有

会員は、前項の規定に基づき、求められた個人データの全部又は一部について開示し保有個人データの全部又は一部について開ない旨の決定をしたとき又は当該保有個人

示しない旨の決定をしたときは、本人に対データが存在しないときは、本人に対し、遅し、遅滞なく、その旨を通知しなければなら

滞なく、その旨を通知しなければならない。

ない。また、その決定の理由について、根拠

また、その決定の理由について、根拠としたとした法の条文及び判断の基準となる事実法の条文及び判断の基準となる事実を示しを示して、遅滞なく説明を行うこととする。

て、遅滞なく説明を行うこととする。
（訂正等）

（訂正等）

第 16 条

第 16 条会員は、本人から、当該本人が識別

会員は、本人から、当該本人が識別される保有個人データに誤りがあり、事実でされる保有個人データの内容が事実でない

ないという理由によって、内容の訂正、追加という理由によって当該保有個人データの又は削除（以下「訂正等」という。
）の請求内容の訂正、追加又は削除（以下「訂正等」を受けた場合は、その内容の訂正等に関してという。）を求められた場合には、利用目的

他の法令の規定により特別の手続きが定めの達成に必要な範囲内において、遅滞なく、られている場合を除き、利用目的の達成に必事実の確認等の必要な調査を行い、その結果

要な範囲内において、遅滞なく、事実の確認に基づき、当該保有個人データの内容の訂正等の必要な調査を行い、その結果に基づき、等を行わなければならない。

当該保有個人データの内容の訂正等を行わなければならない。
２

会員は、前項の請求に係る保有個人データ

２

会員は、前項の規定に基づき求められた保の内容の全部若しくは一部について訂正等

有個人データの内容の全部若しくは一部にを行ったとき、又は訂正等を行わない旨の決ついて訂正等を行ったとき、又は訂正等を行定をしたときは、本人に対し、遅滞なく、そわない旨の決定をしたときは、本人に対し、の旨（訂正等を行ったときは、その内容を含

遅滞なく、その旨（訂正等を行ったときは、む。）を通知しなければならない。なお、会その内容を含む。）を通知しなければならな

25

員が訂正等を行わない場合は、訂正等を行わい。なお、会員が訂正等を行わない場合は、ない根拠及びその根拠となる事実を示し、そ訂正等を行わない根拠及びその根拠となるの理由を説明することとする。

事実を示し、その理由を説明することとする。

（利用停止等）（利用停止等）

第 17 条

第 17 条会員は、本人から、当該本人が識別

会員は、本人から、当該本人が識別される保有個人データが第５条の規定に違される保有個人データが第５条の規定に違反して取り扱われたものであるという理由

反して取り扱われたものであるという理由又は第７条の規定に違反して取得されたと又は第７条の規定に違反して取得されていいう理由によって、当該保有個人データの利るという理由によって、当該保有個人データ用の停止又は消去（以下「利用停止等」といの利用の停止又は消去（以下「利用停止等」

う。）の請求を受けた場合であって、その請という。）を求められた場合であって、その求に理由があることが判明したときは、違反求めに理由があることが判明したときは、違を是正するために必要な限度で、遅滞なく、反を是正するために必要な限度で、遅滞な

当該保有個人データの利用停止等を行わなく、当該保有個人データの利用停止等を行わければならない。

なければならない。ただし、当該保有個人デ

ただし、当該保有個人データの利用停止等

ータの利用停止等に多額の費用を要する場に多額の費用を要する場合その他の利用停

合その他の利用停止等を行うことが困難な止等を行うことが困難な場合であって、本人場合であって、本人の権利利益を保護するたの権利利益を保護するため必要なこれに代め必要なこれに代わるべき措置をとるときわるべき措置をとるときは、この限りでなは、この限りでない。

い。
２

会員は、本人から、当該本人が識別される

２

会員は、本人から、当該本人が識別される

保有個人データが第 13 条第１項の規定又は保有個人データが第 13 条第１項の規定に違第 13 条の２の規定に違反して第三者に提供反して第三者に提供されているという理由されているという理由によって、当該保有個によって、当該保有個人データの第三者への人データの第三者への提供の停止の請求を提供の停止を求められた場合であって、その受けた場合であって、その請求に理由がある

求めに理由があることが判明したときは、遅ことが判明したときは、遅滞なく、当該保有滞なく、当該保有個人データの第三者への提個人データの第三者への提供を停止しなけ

供を停止しなければならない。ただし、当該ればならない。ただし、当該保有個人データ

保有個人データの第三者への提供の停止にの第三者への提供の停止に多額の費用を要

多額の費用を要する場合その他の第三者へする場合その他の第三者への提供を停止すの提供を停止することが困難な場合であっることが困難な場合であって、本人の権利利て、本人の権利利益を保護するため必要なこ益を保護するため必要なこれに代わるべきれに代わるべき措置をとるときは、この限り

26

措置をとるときは、この限りでない。
３

でない。

会員は、第１項の規定による請求に係る保３

会員は、第１項の規定に基づき求められた

有個人データの全部若しくは一部について

保有個人データの全部若しくは一部につい利用停止等を行ったとき若しくは利用停止て利用停止等を行ったとき若しくは利用停等を行わない旨の決定をしたとき又は前項

止等を行わない旨の決定をしたとき又は前の規定による請求に係る保有個人データの項の規定に基づき求められた保有個人デー

全部若しくは一部について第三者への提供

タの全部若しくは一部について第三者へのを停止したとき若しくは第三者への提供を提供を停止したとき若しくは第三者への提停止しない旨を決定したときは、本人に対供を停止しない旨を決定したときは、本人にし、遅滞なく、その旨（本人から求められた

対し、遅滞なく、その旨（本人から求められ措置と異なる措置を行う場合には、その措置た措置と異なる措置を行う場合には、その措内容を含む。
）を通知しなければならない。

置内容を含む。）を通知しなければならない。

（理由の説明）（理由の説明）

第 18 条第 18 条

会員は、第 14 条第３項、第 15 条第

会員は、第 14 条第３項、第 15 条第２項、第 16 条第２項又は前条第３項の規定

２項、第 16 条第２項又は前条第３項の規定により、本人から求められ、又は請求されたにより、本人から求められた措置の全部又は措置の全部又は一部について、その措置をと一部について、その措置をとらない旨を通知

らない旨を通知する場合又はその措置と異する場合又はその措置と異なる措置をとる

なる措置をとる旨を通知する場合において、旨を通知する場合は、本人に対し、措置をと本人に対しその理由を説明する際には、措置らないこと又は異なる措置をとることとしをとらないこと又は異なる措置をとることた判断の根拠及び根拠となる事実を示し、そとした判断の根拠及び根拠となる事実を示の理由を説明することとする。

すこととする。
（開示等の請求等に応じる手続）（開示等の求めに応じる手続）

第 19 条

第 19 条

会員は、第 14 条第２項の規定による会員は、第 14 条第２項、第 15 条第求め又は 15 条第１項、第 16 条第１項若しく

１項、第 16 条第１項又は第 17 条第１項若しは第 17 条第１項若しくは第２項の規定によくは第２項の規定による求め（以下「開示等る請求（以下「開示等の請求等」という。）の求め」という。）に関し、その求めを受けに関し、その受付け方法として、次の各号に付ける方法として、次の各号に掲げる事項を掲げる事項を定めることができる。この場合定めることができる。この場合において、会において、会員は、自らの個人情報保護に関員は、事業者の個人情報保護に関する考え方

する考え方及び方針に関する宣言（いわゆる及び方針に関する宣言（いわゆるプライバシ

プライバシーポリシー、プライバシーステー

ーポリシー、プライバシーステートメント

トメント等。以下「個人情報保護宣言」とい等。以下「個人情報保護宣言」という。）と27

う。）と一体として、インターネットのホー一体として、インターネットのホームページ

ムページでの常時掲載又は本店その他の営での常時掲載又は営業所の窓口等での掲業所の窓口等での掲示・備付け等を行うこと

示・備付け等を行うこととする。

とする。
なお、開示等の請求等は、施行令第 11 条

なお、開示等の求めは、代理人（未成年者に規定する代理人（未成年者若しくは成年被若しくは成年被後見人の法定代理人、又は本後見人の法定代理人、又は本人が委任した任人が委任した任意代理人をいう。以下同じ。）

意代理人をいう。以下同じ。）によってするによってすることができる。

ことができる。
（１）開示等の請求等の申出先（１）開示等の求めの申出先（２）開示等の請求等に際して提出すべき書面（２）開示等の求めに際して提出すべき書面のの様式、その他の開示等の請求等の受付方

様式その他の開示等の求めの方式

法（３）開示等の請求等をする者が本人又は代理（３）開示等の求めをする者が本人又はその代人であることの確認方法

理人であることの確認方法（４）保護法第 33 条第１項の手数料の金額と（４）次条の手数料の金額とその徴収方法（無その徴収方法（無料とする場合を含む。）（５）開示等の請求等の対象となる保有個人デ料とする場合を含む。）（新設）

ータの特定に必要な事項（６）開示等の請求等に対する回答方法等（５）開示等の求めに対する回答方法等（７）開示等の求めをする者が代理人である場（６）開示等の求めをする者が代理人である場合の代理権を確認する方法
２

合の代理権を確認する方法

代理人による開示等の請求等に対して、会２

代理人による開示等の求めに対して、会員が本人にのみ直接開示等することは妨げら

られない。

れない。

３

員が本人にのみ直接開示等することは妨げ
会員は、前２項の規定に基づき開示等の請

３

会員は、前２項の規定に基づき開示等の求求等に関する手続を定めるにあたっては、本めに関する手続を定めるにあたっては、本人

人に過重な負担を課するものとならないよに過重な負担を課するものとならないよう

う配慮しなければならない。

配慮しなければならない。

（手数料）

（手数料）

第 20 条

第 20 条

会員は、第 14 条第２項の規定による会員は、第 14 条第２項の規定による保有個人データの利用目的の通知を求めら

保有個人データの利用目的の通知又は第 15

れたとき又は第 15 条第１項の規定による保条第１項の規定による保有個人データの開有個人データの開示の請求を受けたときは、示を求められたときは、当該措置の実施に関当該措置の実施に関し、手数料を徴収するこし、手数料を徴収することができる。

28

とができる。
２

会員は、前項の規定により手数料を徴収す

２

会員は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認る場合は、実費を勘案して合理的であると認められる範囲において、その手数料の額を定められる範囲において、その手数料の額を定めなければならない。

めなければならない。この場合において、会員は、同様の内容の開示等手続の平均的実費の予測等に基づき、合理的な手数料額を算定するよう努めることとする。

（会員による苦情の処理）（会員における苦情の処理）

第 21 条

第 21 条会員は、個人情報の取扱いに関する

会員は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければ苦情を受けたときは、その内容について調査ならない。

し、合理的な期間内に、適切かつ迅速に処理するよう努めなければならない。

２

会員は、苦情受付窓口の設置や苦情処理手

２

会員は、苦情処理手順の策定、苦情受付窓順の策定、苦情処理に当たる役職員への十分口の設置、苦情処理に当たる役職員への十分な教育・研修等により、前項の目的を達成すな教育・研修など、苦情処理を適切かつ迅速るために必要な体制の整備に努めなければに行うために必要な体制の整備に努めなけならない。

ればならない。

（個人情報等の漏えい事案等への対応）（漏えい事案等への対応）

第 22 条

第 22 条会員は、個人情報の漏えい事案等又会員は、個人情報の漏えい事案等のは匿名加工情報の作成に用いた個人情報か事故が発生した場合には、金融庁及び本協会

ら削除した記述等及び個人識別符号並びにに報告することとする。ただし、特定個人情保護法第 36 条第１項の規定により行った加報の漏えい事案の発生の場合には、あわせて工の方法に関する情報の漏えい事案（以下個人情報保護委員会にも報告するものとす「個人情報等の漏えい事案等」という。）のる。

事故が発生した場合には、金融庁及び本協会に報告することとする。また、個人情報等の漏えい事案等のうち、行政手続における特定の個人を識別するための番号の利用等に関する法律第２条第８項に定める特定個人情報が漏えいした場合には、あわせて個人情報保護委員会にも報告するものとする。
２

会員は、個人情報等の漏えい事案等の事故が発生した場合には、二次被害の防止、類似29

２

会員は、個人情報の漏えい事案等の事故が発生した場合には、二次被害の防止、類似事

事案の発生回避等の観点から、当該事案等の案の発生回避等の観点から、漏えい事案等の事実関係及び再発防止策等を早急に公表す事実関係及び再発防止策等を早急に公表す

ることとする。

ることとする。

３

会員は、個人情報等の漏えい事案等の事故

３

会員は、個人情報の漏えい事案等の事故がが発生した場合には、漏えい事案等の対象と発生した場合には、漏えい事案等の対象とななった本人に速やかに当該事案等の事実関った本人に速やかに漏えい事案等の事実関係等の通知等を行うこととする。

係等の通知を行うこととする。

（個人情報保護宣言の策定）（個人情報保護宣言の策定）

第 23 条

第 23 条２

会員は、個人情報に対する取組方針

会員は、個人情報に対する取組方針

を、あらかじめ分かりやすく説明することのを、あらかじめ分かりやすく説明することの重要性に鑑み、個人情報保護宣言を策定し、重要性に鑑み、個人情報保護宣言を策定し、公表することとする。

公表することとする。

個人情報保護宣言には、例えば、以下の内２

容を記載することとする。

個人情報保護宣言には、例えば、以下の内容を記載することとする。

（１）関係法令等の遵守、個人情報を目的外に（１）関係法令等の遵守、個人情報を目的外に利用しないこと及び苦情処理に適切に取り利用しないこと及び苦情処理に適切に取り組むこと等、個人情報保護への取組方針の組むこと等、個人情報保護への取組方針の宣言

宣言（２）個人情報の利用目的の通知・公表等の手（２）個人情報の利用目的の通知・公表等の手続についての分かりやすい説明

続についての分かりやすい説明（３）保護法第 27 条における開示等の手続等、 （３）開示等の手続等、個人情報保護の取扱い
個人情報保護の取扱いに関する諸手続にに関する諸手続についての分かりやすい

ついての分かりやすい説明

説明（４）個人情報の取扱いに関する質問及び苦情（４）個人情報の取扱いに関する質問及び苦情

処理の窓口
３

処理の窓口

個人情報保護宣言には、消費者等、本人の３

個人情報保護宣言には、消費者等、本人の権利利益保護の観点から、事業活動の特性、権利利益保護の観点から、事業活動の特性、規模及び実態に応じて、次に掲げる点を考慮

規模及び実態に応じて、次に掲げる点を考慮した記述をできるだけ盛り込むよう努める

した記述をできるだけ盛り込むよう努めるものとする。

ものとする。

（１）保有個人データについて本人から求めが（１）保有個人データについて本人から求めがあった場合には、ダイレクトメールの発送あった場合には、ダイレクトメールの発送停止など、自主的に利用停止等に応じるこ停止など、自主的に利用停止等に応じること。

と。

（２）委託の有無、委託する事務の内容を明ら30（２）委託の有無、委託する事務の内容を明らかにする等、委託処理の透明化を進めるこかにする等、委託処理の透明化を進めること。

と。

（３）会員がその事業内容を勘案して顧客の種（３）会員がその事業内容を勘案して顧客の種類ごとに利用目的を限定して示したり、会類ごとに利用目的を限定して示したり、会員が本人の選択による利用目的の限定に員が本人の選択による利用目的の限定に自主的に取り組むなど、本人にとって利用

自主的に取り組むなど、本人にとって利用

目的がより明確になるようにすること。

目的がより明確になるようにすること。

（４）個人情報の取得元又はその取得方法（取（４）個人情報の取得元又はその取得方法（取得源の種類等）を可能な限り具体的に明記

得源の種類等）を可能な限り具体的に明記

すること。

すること。

（本協会への報告等）（本協会への報告等）

第 24 条

第 24 条本協会は、会員に対し、当該会員に本協会は、会員による本指針の遵守

よる本指針の遵守を確認するために、適宜報を確認するために、適宜報告を求めることが告を求めることができる。

できる。

２

本協会は、会員に対し、本指針を遵守させ

２

本協会は、会員に対し、本指針を遵守させるために必要な指導、勧告その他の措置を行るために必要な指導、勧告その他の措置を行

う。

う。

３

会員は、本指針を遵守するとともに、本協（新設）会が行う必要な指導及び勧告その他の措置に従わなければならない。
附 則

附 則

本指針は、本協会が保護法第 37 条第 1 項の

本指針は、本協会が保護法第 37 条第 1 項の認定を受けた日から施行する。

認定を受けた日から施行する。

附 則（平 27．９．28 一部改正）

附 則（平 27．９．28 一部改正）

この改正は、平成 27 年９月 28 日から施行す

この改正は、平成 27 年９月 28 日から施行する。

る。

（注）改正条項は、次のとおりである。

（注）改正条項は、次のとおりである。

(1) 第７条第２項を新設(1) 第７条第２項を新設(2) 第 12 条第１項及び第２項を改正。

(2) 第 12 条第１項及び第２項を改正。

附 則（平 28．10．７一部改正）

附 則（平 28．10．７一部改正）

この改正は、平成 28 年 10 月７日から施行する。

この改正は、平成 28 年 10 月７日から施行する。

31

（注）第 22 条第１項を改正。

（注）第 22 条第１項を改正。

附則（平 29.５．○一部改正）

32