欠格事由及び判断基準（TPDMS-2210）

情報銀行認定制度
欠格事由及び判断基準（TPDMS-2210）

一般社団法人日本ＩＴ団体連盟
情報銀行推進委員会

欠格事由及び判断基準（TPDMS-2210）（制改訂履歴）版

制改訂年月日初版

2019 年 6 月 26 日

内容
新規制定、施行※一般財団法人日本情報経済社会推進協会（JIPDEC）の PMK510 を一部引用

欠格事由及び判断基準（TPDMS-2210）

目次
1．適用範囲 ............................................................................................................................ 1
2．定義 ................................................................................................................................... 1
3．欠格事由 ............................................................................................................................ 1
3.1

情報銀行認定付与適格性を有しない者 ................................................................... 1

3.1.1 事業拠点 ................................................................................................................ 1
3.1.2 役員 ....................................................................................................................... 1
3.1.3 情報銀行認定制度に対する一般の信頼を毀損する事業活動を行う事業者 .......... 2
3.2

付与適格性審査の申請ができない者 ....................................................................... 2

3.2.1 申請不可期間３か月の事業者 ............................................................................... 23.2.2 申請不可期間１年の事業者 ................................................................................... 23.2.3 申請不可期間が、4.により判断された期間の事業者 ........................................... 34．事故等についての判断基準............................................................................................... 3
4.1 欠格レベルの判断及び措置の決定の手順 ..................................................................... 3
4.2 欠格レベルの判定 ......................................................................................................... 3
4.3 欠格レベルに基づく措置の決定 ................................................................................... 44.4 事業者に対する措置の通告........................................................................................... 55. 事故等の報告 ................................................................................................................... 56．改正 ................................................................................................................................... 5

欠格事由及び判断基準（TPDMS-2210）

1．適用範囲
本基準は、新規に情報銀行認定を受けるために付与適格性の審査（以下「付与適格性審査」という。
）の申請を検討中の事業者（以下「申請検討中事業者」という。）及び現に審査中の事業者（以下「審査中事業者」という。
）に対しては、付与の適格性を有する旨の決定（以下「付与適格決定」という。）を受けることができない者の基準及び関連する運用を定め、現に情報銀行認定付与を受けている事業者（以下「付与事業者」という。）に対しては、「情報銀行認定マーク付与に関する規約」第１３条乃至第１５条に定める注意、勧告、付与の一時停止（以下「付与の一時停止」という。）又は付与の取消し（以下「付与の取消し」という。
）の措置を講じる基準及び関連する運用について定めるものである。
情報銀行認定制度は、認定基準に適合した情報信託機能を構築している事業者である旨を認証するものであり、付与事業者または情報提供先において、仮に事故等があったとしても、付与適格性が維持されている限り、付与には影響を与えない。ただし、事故等の発生により、その時点における付与適格性に疑問が生じ、問題が明らかになった場合には、その結果として、付与の一時停止、取消し等を受けることとなる。
これに対して、申請検討中事業者または審査中事業者については、認定制度の社会的信頼性維持の観点から、審査の受理または審査手続きにおいて、事故等の社会的影響を考慮することがある。
2．定義
この基準で使用する用語は、この基準に特別の定めがあるもののほか、「情報信託機能の認定に係る指針」（以下「指針」という。）、「「情報銀行」認定申請ガイドブック」及び JISにおいて使用する用語の例による。
3．欠格事由3.1 情報銀行認定付与適格性を有しない者
次の 3.1.1 乃至 3.1.3 のいずれかに該当する事業者（実質的に同一とみなすべき事業者を含む。以下同じ。
）は、付与適格性を有しない。
3.1.1 事業拠点
外国法人は、付与適格性を有しない。ただし次のいずれにも該当するときにはこの限りではない。
a) 日本の法律に基づいて支店として登記している場合b) 日本国内で取得した個人情報を含むパーソナルデータ（当該外国法人の従業者の個人情報を含むパーソナルデータを除く。）の取扱いが日本国内に限られる場合
3.1.2 役員
役員（法人でない団体で代表者又は代理人の定めのあるものの代表者又は代理人を含む。
）
1

欠格事由及び判断基準（TPDMS-2210）のうちに、次のいずれかに該当する者がある事業者は、付与適格性を有しない。
a) 禁固以上の刑に処せられ、その執行を終わり、又は執行を受けることがなくなった日から２年を経過しない者b) 「個人情報保護に関する法律」の規定により刑に処せられ、その執行を終わり、又は執行を受けることがなくなった日から２年を経過しない者c) 「暴力団員による不当な行為の防止に関する法律」の規定に基づき指定暴力団又は暴力団連合に指定された暴力団の構成員である者
3.1.3 情報銀行認定制度に対する一般の信頼を毀損する事業活動を行う事業者
情報銀行認定制度に対する一般の信頼を毀損すると認めるに足る相当な理由がある事業活動を行う事業者は、付与適格性を有しない。付与事業者が営む情報銀行以外の事業について、当該事業にかかる業法等との関係で、違法の疑いがある場合には、原則としてこれに該当する。認定団体は、情報銀行認定委員会（以下、「認定委員会」）の審議を経て、本項への該当性の判断を行う。なお、情報提供先の事業の適法性についても、本項への該当性の判断を行うことがある。
3.2 付与適格性審査の申請ができない者
次の 3.2.1 乃至 3.2.3 のいずれかに該当する事業者は、申請を不可とする期間を経過しなければ、付与適格性審査の申請をすることができない。
3.2.1 申請不可期間３か月の事業者
申請の日３か月以内に、次のいずれかに該当する事業者は、付与適格性審査の申請をすることができない。
a) 認定団体から、付与適格性を有しない旨の決定を受けた事業者b) 付与適格性審査の審査料及び審査に申請料の不払いにより、認定団体が審査を打ち切った事業者c) 認定団体の指摘で不適合と指摘された事項の是正が、指摘文書の発信より６ヶ月以内になされなかった場合
3.2.2 申請不可期間１年の事業者
申請の日前１年以内に、次のいずれかに該当する事業者は、付与適格性審査の申請をすることができない。
a) 認定団体が審査の過程において次の事項を発見したため、審査を打切った事業者① 申請に係る事項に虚偽があったとき② 申請者の従業者以外の者が、審査以外の目的で立ち会ったときb) 付与の取り消しを受けた事業者c) 付与契約の解除を受けた事業者

2

欠格事由及び判断基準（TPDMS-2210）

3.2.3 申請不可期間が、4.により判断された期間の事業者事故等が発生したため、4.により申請を不可とする期間が決定され、その期間を経過していない事業者は、付与適格性審査の申請をすることができない。
4．事故等についての判断基準
事故等とは、個人情報の外部への漏えいその他本人の権利利益の侵害につながる問題であり、具体的には、①漏えいの他、②滅失（紛失）・き損、③改ざん、④不適正な取得、⑤
目的外利用、⑥本人関与への対応の不備、⑦これらのおそれを含む（情報提供先についても同じ。
）。事故等がある場合には、以下のとおり、不可期間（3.2.3 項）または、注意、勧告、付与の一時停止もしくは付与の取消し等の対応の決定を行う。
4.1 欠格レベルの判断及び措置の決定の手順
認定団体は、申請検討中事業者、審査中事業者、及び付与事業者から報告を受けた事故等に関して以下に定める手順に従って、その重大性（以下、「欠格レベル」という。）を決定し、その欠格レベルに相応する措置を講ずる。
なお、付与の一時停止又は付与の取消しの措置は、認定団体が、認定分科会からの答申を受けて、認定委員会の審議を経たうえで決定する。
(1)

認定委員会委員は審議事項を実施する責務及びその為の必要な活動を実施する権限を持つ。

(2) 認定委員会は、審議事項を実施する責任と権限を持つ。
(3) 認定団体が認定委員会の助言を尊重しない場合、認定委員会は、独自の行動（関係行政機関、や利害関係者に通報するなど）をとる権限を持つ。
(4) 認定委員会及び認定委員会委員は、「倫理規程」（TPDMSM-04）の要求事項を尊重する。
4.2 欠格レベルの判定
認定団体は以下の手順で欠格レベルの判定を行う。
a) 事故等が発生した原因を判断し、事業者の帰責事由の有無を評価する。
① 事故等の発生原因が事業者としての帰責事由によるものか、又は不可抗力であるかを判断する。
（Ａ：不可抗力か）事業者の帰責事由があると評価される場
合、さらに事故等の影響等（表を参照）を考慮して評価を行う。なお、責任の有無の評価において、事業者としての故意が認定された場合は、その時点で欠格レベルを 10 とし、事故等の影響等をさらに考慮することはしない、また、不可抗力と判断された場合でも、その時点で欠格レベル０とし、事故等の影響等をさらに考慮することはしない。（付与事業者については、認定基準の準拠に問題がない場合も欠格レベル０とする。B:認定基準準拠）② 事業者に帰責事由があると評価された場合（または付与事業者について認定基準の準拠に問題がある場合）、事故等の影響等を考慮して次の事項の評価を行3

欠格事由及び判断基準（TPDMS-2210）

う。
b) 事故等の影響等を考慮して行う評価。
① 事故等の対象となった個人情報を含むパーソナルデータの内容が本人に及ぼす影響度合いからその取扱いに配慮を有する度合いを判断する。（Ｃ：内容による重大性）② 付与事業者については、事故等の原因となった認定基準からの逸脱の程度・内容を判断する。
③ 事故等の対象となった本人への被害の発生状況を判断する。（Ｄ：本人への影
響）④ 発生した事象の社会的な影響及び情報銀行認定制度への信頼性への影響の度合いを判断する。
（Ｅ：制度等への影響）⑤ 事故後に本人への通知、認定団体等への報告、公表等を適切に行ったか対応状況を判断する（Ｆ：事故後の対応状況）⑥ 過去の事故歴に基づき、発生状況などを判断する。
（Ｇ：事故歴の有無）
表 1 欠格レベル決定の手順a) 事故等の原因を判断b)事故等の影響等を考慮

故意考慮せずc)欠格レベルの決定
１０（事業者としての故意）
過失Ａ：不可抗力

Ｃ：内容による重大性

Ａ乃至Ｇの合計値

Ｂ：認定基準準拠

Ｄ：本人への影響（０乃至１０）

Ｅ：制度等への影響
Ｆ：事故後の対応状況
Ｇ：事故歴の有無
不可抗力

考慮せず

０

認定基準逸脱なし

4.3 欠格レベルに基づく措置の決定
欠格レベル 0 乃至 10 に相応した措置を、表 2 のように定める。認定団体は欠格レベルを決定し、認定委員会に諮り、その欠格レベルに相応する措置を決定する。なお、認定団
体は、その決定にあたり、または決定の後、必要に応じて事業者に対して、「情報銀行認定制度 事故等についての対応手続き」に定めるところにより、聴聞等の手続きを実施する。この場合、欠格レベルまたは措置の決定は、当該聴聞等の結果を踏まえて行われるものとする。

4

欠格事由及び判断基準（TPDMS-2210）

表２ 欠格レベルに相応する措置
欠格レベ

欠格レベルごとの措置

ル

付与事業者（注 1）

審査中事業者（注 2）

申請検討中事業者

付与の取り消し

審査の打ち切り（１年間の1 年間の申請不可

１０申請不可）付与の一時停止（注 3） 付与の一時停止期間に相付与の一時停止期間に当する期間審査中止（注 3） 相当する期間申請不可

８，９（注 3）
６，７

勧告文書発行

審査続行

申請可

１乃至５

注意文書発行

審査続行

申請可

措置なし

審査続行

申請可

０

注 1：付与事業者の起こした事故等の欠格レベルが１乃至７までの場合、注意または勧告の文書を発行するが、事故等の原因についての是正措置の適切性を確認するための審査を行うことがある。
注２：審査中事業者が起こした事故等の欠格レベルが１乃至７までの場合、審査続行とするが、事故等の原因についての是正措置の適正性を確認するための審査を行うことがある。
注３：付与の一時停止等の期間の開始日は、認定団体が付与の一時停止等を付与事業者に通告した日とする。
4.4 事業者に対する措置の通告
認定団体はあらかじめ定める手順に従い、事業者に対して、措置の通告を行う。
5. 事故等の報告
事業者は、認定団体の定める手順に従って事故等の報告を行わなければならない。
6．改正
この規約の改正は、一般社団法人日本ＩＴ団体連盟 情報銀行推進委員会の認定分科会（以下、認定分科会）が行う。

5