「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）「情報銀行」認定
申請ガイドブック
ver.3.0

一般社団法人 日本ＩＴ団体連盟
情報銀行推進委員会
2024 年 03 月 01 日

CopyrightⒸ2024 一般社団法人日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）（制改訂履歴）
版
1.0 版
2.0 版

制改訂年月日2018 年 12 月 21 日
2020 年 7 月 1 日

2.01 版

2021 年 7 月 1 日

2.1 版
2.2 版
3.0 版

2021 年 12 月 1 日
2022 年 11 月 1 日
2024 年 3 月 1 日

内容
新規制定、施行
指針 Ver2.0 への対応ほか（巻末別添「変更履歴表」参照）
・サーベイランス審査及び認定付与の更新に関する説明を追加
・参考基準等の名称・URL を更新
・提出書類（例）及び脚注を加筆修正（巻末別添「変更履歴表」参照。認定基準の変更は無し。）
指針 Ver2.1 への対応ほか（巻末別添「変更履歴表」参照）
指針 Ver2.2 への対応ほか（巻末別添「変更履歴表」参照）
指針 Ver3.0 への対応ほか（巻末別添「変更履歴表」参照）

CopyrightⒸ2024 一般社団法人日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

目次

1.1

はじめに .........................................................................................................................................................................................1

1.2

本書の概説 ...................................................................................................................................................................................4

1.2.1「情報銀行」認定の意義 .................................................................................................................................................4

1.2.2

本書の構成・見方 .............................................................................................................................................................4

1.2.3

基準の改訂について .......................................................................................................................................................4

2.1

ガバナンス・運営体制 ...............................................................................................................................................................5

3.1

全体フロー.....................................................................................................................................................................................7

3.2

事前申請フロー ...........................................................................................................................................................................8

3.2.1

事前申請のエントリー .....................................................................................................................................................9

3.2.2

事前申請必要書類の作成～提出 .............................................................................................................................9

3.2.3

事前申請ミーティングの実施～本申請の検討 .....................................................................................................9

3.3

本申請～書類審査フロー .................................................................................................................................................... 113.3.1

本申請書の提出～本申請手続き ........................................................................................................................... 13

3.3.2

キックオフミーティング.................................................................................................................................................. 13

3.3.3

審査書類の提出～書類審査 .................................................................................................................................... 14

3.4

認定決定フロー ........................................................................................................................................................................ 15

3.4.1

適合性評価・認定判定 ................................................................................................................................................ 16

3.4.2

契約書の締結及び認定料の請求～入金 ............................................................................................................ 16

3.4.3

認定の付与～公表........................................................................................................................................................ 16

3.5

認定付与後について.............................................................................................................................................................. 164.1「情報銀行」認定審査について .......................................................................................................................................... 18

4.2

認定の種別 ................................................................................................................................................................................ 18

4.3

認定申請にあたり必要な準備............................................................................................................................................ 18

4.4

認定の対象となる情報銀行 ................................................................................................................................................ 19

5.1

事業者の適格性 ...................................................................................................................................................................... 26

5.1.1
5.2

事業者の適格性の具体的基準 ............................................................................................................................... 26
情報セキュリティ・プライバシー保護 ................................................................................................................................ 28

5.2.1

情報セキュリティ・プライバシー保護マネジメントの具体的基準 ................................................................. 30

5.2.2

情報セキュリティの具体的基準 ............................................................................................................................... 32

5.3

プライバシー保護対策........................................................................................................................................................... 36

5.3.1

基本原則 ........................................................................................................................................................................... 36

5.3.2

プロファイリングに関する情報銀行の対応.......................................................................................................... 36

5.3.3

プライバシー保護対策の具体的基準.................................................................................................................... 37
CopyrightⒸ2024 一般社団法人日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

5.4

ガバナンス体制 ........................................................................................................................................................................ 45

5.4.1

ガバナンス体制の具体的基準 ................................................................................................................................. 45

5.4.2

諮問体制（データ倫理審査会）に関する事項..................................................................................................... 48

5.5
5.5.1

事業内容..................................................................................................................................................................................... 50
事業内容の具体的基準 .............................................................................................................................................. 50

6.1

個人情報の提供に関する契約上の合意の整理 ........................................................................................................ 55

6.2

モデル契約約款 ....................................................................................................................................................................... 56

6.3＜以下参考＞指針 Ver3.0 における「モデル約款の記載事項」 ........................................................................... 56（1）利用者個人と「情報銀行」の間............................................................................................................................................. 56（2）「情報銀行」と情報提供元との間 ......................................................................................................................................... 58（3）「情報銀行」と提供先第三者との間 .................................................................................................................................... 58

CopyrightⒸ2024 一般社団法人日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

はじめに
1.1 はじめに利用者個人が各種サービスを利用する際、当該個人のプロフィール、位置情報、購買履歴、検索履歴等を含
む個人情報が当該サービスを提供する企業によって収集され、それらの個人情報の一部は第三者に提供されている場合がある。
この点、利用者個人においては、その個人情報の第三者提供に同意した覚えが無い、提供された個人情報が何に使われているか十分に理解していない、第三者提供をやめさせる方法がわからない等の不安、そして、企業側においては、利用者個人が同意内容を正確に理解しているか懸念している、レピュテーションリスクが心配である等の個人情報の利活用にあたっての躊躇が見られるのが現状である。
「個人情報の保護に関する法律」（平成 15 年法律第 57 号。以下「個人情報保護法」。）第 27 条第 1 項等1においては、個人情報の「第三者提供の制限」について、原則として本人の同意を必要と規定されており、同法に基づき企業が利用者個人の同意を取得してはいるものの、実態としては、以上のとおり事業者の同意の取り方
又は利用者個人の意識が十分ではない等のケースがあり、そのギャップを埋めるための取組が求められている。
個人情報を含むパーソナルデータの円滑な流通について、政府による様々な取組みが進められてきている。
2016 年に「官民データ活用推進基本法」（平成 28 年法律第 103 号）2が成立し、同法第 12 条において、「個人

1第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
一 法令に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
五 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）。
六 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。）。
七 当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
また、「個人情報の保護に関する法律についてのガイドライン（通則編）」（平成 28 年 11 月（令和 4 年 9 月一部改正）個人情報保護委員会）では次のとおり規定されている。
個人情報取扱事業者は、個人データの第三者への提供に当たり、あらかじめ本人の同意（略）を得ないで提供してはならない（略）。同意の取得に当たっては、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示さなければならない。
なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的において、その旨を特定しなければならない（略）。
以上を含む個人情報保護関連法令・ガイドライン等については、個人情報保護委員会ウェブページ参照
http://www.ppc.go.jp/personalinfo/legal/
2
首相官邸ウェブページ参照
https://warp.ndl.go.jp/info:ndljp/pid/12251721/www.kantei.go.jp/jp/singi/it2/hourei/deta_katsuyosuishin.html

1
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）の関与の下での多様な主体による官民データの適正な活用」として、「国は、個人に関する官民データの円滑な流通を促進するため、事業者の競争上の地位その他正当な利益の保護に配慮しつつ、多様な主体が個人に関する官民データを当該個人の関与の下で適正に活用することができるようにするための基盤の整備その他の必要な措置を講ずる」と規定された。
2017 年 2 月には、「高度情報通信ネットワーク社会推進戦略本部」（IT 総合戦略本部）の下に設置された「データ流通環境整備検討会 AI、IoT 時代におけるデータ活用ワーキンググループ」（以下「データ活用 WG」。）3において「中間とりまとめ」が行われ、「パーソナルデータを含めた多種多様かつ大量のデータの円滑な流通を実現するためには、個人の関与の下でデータの流通・活用を進める仕組みである PDS、情報銀行、データ取引市
場が有効」とされ、「情報銀行（情報利用信託銀行）」等については、「分野横断的なデータ活用に向けた動きが出始めてきた段階であり、今後、事業者、政府等が連携してその社会実装に向けて積極的に取り組みを推進する必要。」とされた。
上記中間とりまとめでは、特に「情報銀行の意義」として、利用者個人「自らが示した一定の範囲内で第三者（他の事業者）へデータ提供するよう信頼できる者に委託することで、自ら個別に判断する必要なく、データ活用の便益を享受でき（略）、また、信頼に足る情報銀行が関与することで、データホルダーから個人へデータを戻しやすくなるとともに、個人にとって第三者へのデータ提供の障壁が低くなるなど、より多くのデータの流通・活用が進むことが期待される」とされた。
また、「情報銀行と個人情報保護法との関係」について、「自らの指示又は予め指定した条件（例えば、第三者におけるデータの活用目的・公益性、本人又は社会に還元される便益、情報の機微性等を勘案したもの）の範囲で情報銀行が個別の第三者提供を行うことに本人が同意している場合には、本人同意に基づく第三者提供と整理することができる」とされた。
そのため、「情報銀行は、第三者提供に係る有効な本人同意を確保する観点から、パーソナルデータの第三者提供の条件等についてあらかじめ分かりやすく明確に説明するほか、第三者提供の状況について定期的に本人に報告・対話するなど本人の意向の把握・確認・反映に努め、本人が希望する場合には第三者提供を停止
するといった措置を講ずることが望ましい」とされている。
2017 年 7 月に取りまとめられた総務省情報通信審議会「IoT／ビッグデータ時代に向けた新たな情報通信政策の在り方」第四次中間答申4においては、「情報銀行」について、「今後、情報信託の機能を提供する事業者が現れ、実際に事業を遂行する場合において、当該事業が適切に運営されるためには、情報信託機能の信頼性を確保するための社会的な仕組みが必要」とされた。具体的には、「本人にとっては、自らが提供したデータが個別には把握していない第三者に渡ることにつき、漠然とした不安があり、データを提供することによる便益も把握しづらいことから、概して、データの提供には消極的な姿勢が示される」ことから、「このような消極的姿勢を解消し、情報信託機能を提供する事業が適切に認知されるためには、パーソナルデータを提供する明確なメリットを提示するだけでなく、本人の不安を軽減し、安心・安全にデータを預けることを可能とするため（略）、一定の要件を満たした事業者については、第三者による認定・公表を含め、客観的な基準の下に社会的に認知する仕組

3

首相官邸ウェブページ参照
https://warp.ndl.go.jp/info:ndljp/pid/12251721/www.kantei.go.jp/jp/singi/it2/senmon_bunka/data_ryutsuseibi/kentokai.html
4
総務省ウェブページ参照 https://www.soumu.go.jp/menu_news/s-news/01tsushin01_02000227.html

2
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

み」として、「当面は、（略）民間の団体等によるルールの下、任意の認定制度が実施されていくことが望ましい」とされた。
「情報銀行」に関する認定制度を有効に機能させるためには、個人情報保護法の趣旨も踏まえた、また、本人の関与という要素を十分に取り込んだ「認定基準」や「契約約款」が重要となる。そこで、これらを検討するため、2017 年 11 月より総務省及び経済産業省において「情報信託機能の認定スキームの在り方に関する検討会」（以下「指針検討会」。）5が開催され、2018 年 6 月、「認定基準」、「モデル約款」及び「認定スキーム」について「情報信託機能の認定に係る指針（以下「指針」という）」Ver1.0 が策定された。
一般社団法人日本ＩＴ団体連盟（以下「IT 連盟」という。）においては、「情報銀行」に関する以上の政府の取組
みと積極的に連携・協力してきた。2017 年 4 月には、上記中間答申における「データ取引市場等サブワーキンググループ」の取りまとめ6において、「情報銀行」制度についての政策提言を発表7し、また、上記検討会においては事務局としても参画したところである。
そこで、IT 連盟として、「情報銀行」に関する以上の経験や知見等を活かしつつ、指針 Ver1.0 に準拠する形で、2018 年 8 月に「情報銀行推進委員会」を設置した。そして、企業が利用者個人から同意のもと、個人情報を含む
パーソナルデータを預かり、利用者個人の代わりに妥当性を判断の上、第三者の事業者にパーソナルデータを提供する「情報銀行」事業を審査・認定する「情報銀行」認定事業を行うこととし、同 9 月に公表、同 10 月には説明会8を開催した。
2018 年 12 月に、「情報銀行」認定申請ガイドブック（本書）の Ver.1.0 を公開すると伴に、「情報銀行」の認定申請受付けを開始し、2019 年 6 月から「情報銀行」サービス事業の認定付与を開始した9。 「情報銀行」の認定を受けようとする事業者にとっては、認定を受けることにより、IT 連盟から認定マークの使用が許諾される。
なお、IT 連盟による認定はあくまで任意のものであり、認定を受けることが「情報銀行」に関する事業を行うために必須ではない点に留意が必要である。

本書は、IT 連盟による「情報銀行」認定を受ける場合のガイドブックとして活用願いたい。
なお、政府において、指針検討会では指針の見直しに向けた検討等が行われ、2019 年 10 月に指針 Ver2.010
が、2021 年 8 月に指針 Ver2.111、2022 年 6 月に指針 Ver2.212、2023 年 7 月には指針 Ver3.013が策定されたところである。本書については、これら政府や行政の検討結果等をふまえつつ、今後も見直しが行われる場合があるため、ご留意頂ければ幸いである。

5

総務省ウェブページ参照 https://www.soumu.go.jp/main_sosiki/kenkyu/information_trust_function/index.html
総務省ウェブページ参照（本文については https://www.soumu.go.jp/main_content/000501157.pdf 、概要については
https://www.soumu.go.jp/main_content/000501156.pdf ）7
IT 連盟ウェブページ参照（概要については https://www.itrenmei.jp/files/johoginkokoso.pdf、詳細版については
https://www.itrenmei.jp/files/johoginko.pdf）
8
IT 連盟ウェブページ参照 https://www.itrenmei.jp/registration/
9
IT 連盟ウェブページ参照 https://www.itrenmei.jp/topics/2018/3639/
10
総務省ウェブページ参照 https://www.soumu.go.jp/main_content/000649152.pdf
11
総務省ウェブページ参照 https://www.soumu.go.jp/main_content/000764120.pdf
12
総務省ウェブページ参照 https://www.soumu.go.jp/main_content/000822837.pdf
13
総務省ウェブページ参照 https://www.soumu.go.jp/main_content/000900795.pdf
63
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

1.2 本書の概説
1.2.1「情報銀行」認定の意義「情報銀行」認定の意義は二点あげられる。認定団体により、認定基準に適合した事業を認定することで、事業者にとっては、国際水準のプライバシー保護対策や情報セキュリティ対策等に関する認定基準に適合している、
安心・安全な「情報銀行」として、利用者個人に対し、利用者自身の情報を信頼して託せられる事業者であることをアピールすることが可能となる。また、利用者個人にとっては、利用者個人が自らの情報資産を主体的に活用することを通じて、豊かな暮らしを享受することができる社会を実現する。

1.2.2

本書の構成・見方

・１章（はじめに）：「情報銀行」認定の開始にあたっての、背景・経緯等と本書の概説を記載。
・２章（運営スキーム）：ＩＴ連盟における、「情報銀行」認定に関する運営スキームやガバナンス体制を記載。
・３章（申請・認定フロー）：申請から認定までのフローを記載。認定付与後の契約・規程類については本書とは別に提示する。
・４章（認定申請にあたっての留意事項）：「認定審査について」「認定の種別」「認定申請にあたり必要な準備」と、指針にて定められた「情報銀行」の定義・考え方、認定の対象となる事業者・サービス事業を記載。
・５章（認定基準と提出書類）：項目毎に、認定基準と、その適合性を確認するために必要となる書類（例）を記載。審査基準は、別途定める「『情報銀行』認定審査チェックシート」（以下、「審査チェックシート」という。）を参照のこと。
・６章（モデル契約約款）：①個人と「情報銀行」との間（モデル約款）、②「情報銀行」と情報提供元との間（モデル契約）、③「情報銀行」と提供先第三者との間（モデル契約）の 3 種を策定（別添）。

1.2.3

基準の改訂について

本書は、総務省・経済産業省の指針検討会策定の「情報信託機能の認定に係る指針」の改訂、その他改訂を要する場合に改訂を実施する。本書 ver.3.0 の認定基準による審査の運用開始は ver.3.0 の公開日からとする。
本書の改定に伴い「併用期間」と「移行期間」を設定する。新版の公開日から 6 ヶ月間は「併用期間」として、旧版、新版の何れかを選択して認定申請をすることができる。また併用期間の終了から 2 年間を「移行期間」とし、移行期間の終了日をもって旧版の適用が廃止となり付与された認定が無効になるため、移行期間の終了日までに新版での更新認定取得が必要となる。なお、旧版で申請した審査の継続中に併用期間を過ぎた場合であっても、新版への変更はできない。この場合は、旧版で認定を取得した後、移行期間内に新版での更新審査を受けて新版への移行を完了する必要がある。14（版を表す数字に小数点以下がある場合（例.ver.1.1）は、いわゆるマイナーチェンジであるため「併用期間」及び「移行期間」を設けないこととする）
本書の著作権はＩＴ連盟に帰属し、無断転載は禁止する。

14

ＩＴ連盟ウェブページ参照 https://tpdms.jp/wp-content/uploads/2022/10/verup_accreditation_criteria.pdf （ver.2.0 から ver.3.0に移行した際も同様である）

4
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

運営スキーム2.1 ガバナンス・運営体制
ＩＴ連盟における「情報銀行」認定に関する運営スキームについては、指針検討会の指針を踏まえ、「情報銀行」
認定における独立性、中立性、公平性などを担保しつつ、責任ある認定を行うことができるよう、以下のガバナンス体制で運営する。

具体的には次の責任体制としている。

5
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）【認定機関全体図】① 最高責任者（IT 連盟業務執行担当理事）：認定機関を代表し、認定制度の企画立案及び認定業務等による「情報銀行」推進等認定機関の運営に関する責任を有する。
② 推進責任者（情報銀行推進委員会委員長）：認定業務、問合せ・苦情等対応業務及び普及促進業務
等「情報銀行」推進に関する責任を有する。
③ 総括責任者（情報銀行認定分科会分科会長）：認定業務並びに申請事業者及び利用者個人等からの問合せ・苦情等対応業務を総括し、執行の責任を有する。
④ 認定事務局：下記担当者で構成され、認定業務を実施する。
・運用責任者：審査報告書の確認、認定業務運営における品質維持等を行う。
・業務担当：申請受付、書類審査業務運営管理、認定証発行等を行う。
・審査担当：書類審査等、審査計画書及び審査報告書の作成等を行う。
・苦情相談窓口担当：申請事業者及び利用者個人等からの問合せ・苦情等対応を行う。
⑤ 認定委員会：上記④の審査報告書等により 認定基準への適合性評価15を行う。
⑥ 情報銀行推進委員会委員：上記⑤の結果を踏まえ、総合的判断による認定決議を行う。
⑦ 制度担当：指針の見直し等を踏まえた認定制度の企画立案等の検討を行う。
⑧ 内部監査担当：認定業務運営について内部監査を実施する。
⑨ 監査諮問委員会：認定機関の運営に関する公平性等の監査諮問等を行う。

15

申請の対象となる事業が健康・医療分野の要配慮個人情報を取り扱うものである場合は、医療専門職が有識者として参加する認定委員会による、データ倫理審査会において利用目的が適切であると判断していることの確認を行う。（更新時においては、認定以降、データ倫理審査会が利用目的や提供先の確認を適切に行っていたかどうかの確認を行う）

6
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

申請・認定フロー
申請から認定までの流れ、それぞれの段階で必要な提出書類等は次のとおりである。16

3.1 全体フロー
申請事業者においては、はじめに事前申請を行う。事前申請における提出書類等を踏まえ、IT 連盟において審
査料金、審査工数を算出し、審査計画を作成する。IT 連盟から提示される審査計画等を踏まえ本申請を行う。
本申請後は、審査担当が書類審査を行い申請事業者は指摘等を踏まえて改善し審査書類等を再提出する。
審査終了後に認定会議が開催され、認定委員会が適合性評価を行う。認定委員会での評価結果を踏まえ、ＩＴ連盟情報銀行推進委員会にて総合的判断による認定決議が行われる。

申請～審査・審議 全体フロー概要
認定機関
申請事業者

認定事務局
（業務担当）（審査担当）

認定委員会

事前申請受領事前申請

事前申請ミーティング
本申請の検討

審査計画書の提示

本申請

申請受領
キックオフミーティング

審査書類等提出

指摘対応・改善審査書類等提出審査書類等受領審査結果・指摘事項

書類審査/指摘（※現地調査）再審査書類等受領

書類審査完了認定会議（適合性評価）認定会議出席適合

情報銀行推進委員会（認定判定決議）
契約・認定証
認定マーク受領16

認定通知・契約
認定公表

IT 連盟ウェブページ「申請手続き」参照 https://tpdms.jp/procedure/

7
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

3.2 事前申請フロー
事前申請の方法や申請に必要な書類などについて説明する。

事前申請 本申請に進むことの可否を判断し、可能な場合は「審査計画書」を作成する。
認定機関
申請事業者

認定事務局
（業務担当）（審査担当）

認定委員会

事前申請エントリー

秘密保持誓約書の受領/確認

事前申請書類提出

秘密保持誓約書の送付
事前申請書類の受領/確認（3.3.1）①事前申請書②法人格証明書類③サービス事業内容④サービス事業の申請範
囲特定図表⑤P マーク、ISMS 認証等の第三者認証の番号等⑥データセンターの安全性の証明書類

・申請サービスの確認・提出書類類の確認
・重要事項の確認
・審査工数の見積

審査計画作成依頼

審査計画書（案）の確認

審査計画書（案）の作成、引き渡し

審査料金の算出

事前申請ミーティング（申請事業者/認定事務局）
1．申請サービス事業内容の確認
2．審査チェックシート及び、審査書類作成参考資料の提示・説明
3．認定対象種別の確認（通常認定/P 認定） 等※必要に応じて審査担当も出席する

審査計画書の受領/
本申請の検討

取下げ

本申請

審査計画書の送付（審査スケジュール/審査料金等）

申請取下げ届の受領
事前申請書類の廃棄

8CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

懸念事項の照会・確認「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

事前申請の目的
事前申請においては、申請事業者のサービス事業が「情報銀行」の定義にあてはまっているか、個人情報の取扱いが適切か等の基本事項の確認を行い、審査スケジュールや審査料金を見積り、本申請に進むことが可能かを協議検討する。

3.2.1

事前申請のエントリー

申請事業者は、認定事務局に対し、申請事業者名、サービス事業名称等を記載したメールを、以下窓口に送信して事前申請のエントリーをする。
認定事務局は、エントリー受付番号及び、事前申請書類の情報開示に対する「秘密保持誓約書」、事前申請提出書類チェックリストを含む「事前申請書」のフォーマットおよび、「認定申請サービス事業の説明フォーマット」（以下必要書類③④に対応、「指定フォーマット」という）」を、申請事業者に送付する。
※認定申請に関する 各種書類の提出・お問い合わせ窓口
情報銀行推進委員会 情報銀行認定分科会 認定事務局【

3.2.2

】

事前申請必要書類の作成～提出

申請事業者は、事前申請に必要な以下の書類を用意し、IT 連盟の指定する方法で提出する。
①事前申請書（含む事前申請提出書類チェックリスト）②法人格を証明できる書類（複写データ可）③申請するサービス事業内容を記載した書類（要配慮個人情報17の取扱いの有無を含む）④申請するサービス事業の範囲が特定できる図表等（体制図含む）⑤プライバシーマーク（以下「P マーク」という。）、ISMS 認証又はそれらと同等の第三者認証に関する番号又はこれら認証を示す書類（第三者認証によっては、現地審査等を行うことがある）⑥データセンターの安全性を証明する書類（SLA、SOC 等。第三者監査等による安全性が不十分であると判断される場合は、現地審査を行うことがある）※要件を満たしていれば書類②⑤⑥の書式は定めない。また書類③④は「指定フォーマット」に記載すること。
認定事務局は、提出書類に基づき事前申請の受付を行い、内容の確認を実施する。事前申請の書類から本申請が可能であるかどうか否かの初期確認を行う。

3.2.3

事前申請ミーティングの実施～本申請の検討

事前申請ミーティングの実施
事前申請書類の初期確認終了の連絡をした後に、本申請が可能であるかを確認するために申請事業者と認定事務局による「事前申請ミーティング」を実施する。「事前申請ミーティング」では、次の①～④を主に確認する。
①申請サービス事業内容（情報銀行の定義、要配慮個人情報の有無を含む取扱いデータ等）の確認②「審査チェックシート（審査基準）」の説明、本申請書類作成時の留意事項等の説明

17

個人情報保護法第２条第３項に規定する「要配慮個人情報」を意味する。

9
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）③認定対象種別の確認（通常認定/P 認定18）、その他懸念事項の相互確認④申請事業者の受審体制およびサービス事業運営体制等の確認。（P マーク等第三者認証の受審部門の関
わり方によっては、当該認証の審査項目の書類審査を免除することができる）
認定事務局は、本申請に進むことの可否を判断し、可能な場合は「審査計画書」を作成する。

本申請の検討
認定事務局から申請事業者に、審査料金の「見積書」および、審査体制、審査スケジュール等の記載された「審査計画書」を送付する。申請事業者は「審査計画書」を元に、1 ヶ月を目途に本申請に進むかを検討する。
なお、本申請に進まず申請を取り下げる場合は、申請事業者は「申請取下げ届」に必要事項を記入の上、認定事務局に提出する。認定事務局は、申請事業者からの受領書類一式を廃棄する。

18

ＩＴ連盟ウェブページ「新たな認定申請対象の追加について」参照 https://tpdms.jp/wp-content/uploads/2022/10/201903201News.pdf

10
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

3.3 本申請～書類審査フロー
本申請～書類審査の具体的な手順は以下の通りである。

本申請（その１） 本申請の手続きを行い、書類審査に先立ってキックオフミーティングを実施する。
認定機関
申請事業者

認定事務局
（業務担当）

本申請書の提出

本申請書の受領と（含む欠格事由非該
当宣言書）

審査料金請求処理（審査担当）

・秘密保持契約書・審査料金請求書の送付
秘密保持契約書

受領/捺印～返送の確認/捺印
締結
審査料金の

入金確認

支払い処理
審査開始連絡審査実施依頼

審査作業準備

キックオフミーティング（申請事業者・認定事務局）
申請事業者からの説明
1．申請サービス事業内容の説明（デモンストレーションを含む）※事前申請ミーティングを踏まえた修正プランの説明
2．契約約款の説明
3．個人のコントローラビリティ等を確保する機能の説明
認定事務局による確認、質疑応答等

審査必要書類の提出
・審査書類一式・審査チェックシート（書類
名・項番を記載等）

審査必要書類確認

書類審査

・申請内容全般に関するヒアリングの回答

11
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

認定委員会

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

本申請（その２） 書類審査を実施する。
認定機関
申請事業者

認定事務局
（業務担当）（審査担当）

書類審査
審査・質疑
・審査チェックシート（指摘事項等
を記載）

指摘事項等の確認/
解決/回答対応

審査結果送付。修正審査書類の確質疑応答

認。質疑応答。

・文書審査に伴う改善対応一覧表
・修正審査書類・修正審査チェックシート

再書類審査
再審査・質疑・審査チェックシート（指摘事項等
を記載）

指摘事項等の確認/
解決/回答対応

再審査結果送付。
修正審査書類の質疑応答

確認。質疑応答。

・修正書類審査に伴う改善対応一覧表
・修正審査書類・修正審査チェックシート

再々書類審査（複数回の遣り取り）

書類審査完了審査報告書等の作成/提出（3.4.7）
・審査報告書・審査チェックシート
・認定様式一式

審査報告書の受領

12
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

認定委員会

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

3.3.1

本申請書の提出～本申請手続き

申請事業者は認定事務局に本申請を行う旨を連絡する。これを受けて認定事務局は「本申請書」フォーマットを申請事業者に送付し、申請事業者は 欠格事由非該当宣言書を含む「本申請書」を作成し認定事務局に提出する。なお本申請書には、申請サービス事業の責任者、申請窓口担当者および、プライバシー保護や情報セキュ
リティ等の管理者※を明示することが必要となる。
※取得している P マークや ISMS 認証等の第三者認証の管理部門であること
本申請の受領と審査料の請求処理～入金認定事務局は、本申請の受付を行い、「本申請書」に不備がないことを確認する。
確認後、申請事業者に「秘密保持契約書」及び審査料金の提示された「請求書」を送付する。（複数事業者が共同で「情報銀行」サービス事業を行う場合、その事業者数に応じて、審査料金が必要となる。）
申請事業者は請求書に記載の期日までに指定の口座へ審査料金を入金する。（一旦支払われた審査料金は、本申請を取り下げた場合であっても返金されない。）
秘密保持契約の締結
申請事業者と IT 連盟は、秘密情報の取扱に関して、秘密保持契約締結の手続を行う。
申請事業者は、認定事務局から送付された「秘密保持契約書」を確認し、捺印の上、２通を認定事務局に返送する。認定事務局は、うち１通に捺印をして申請事業者に送付する。
本申請手続きの完了「秘密保持契約書」の締結と「審査料金の入金」をもって本申請手続きが完了し、認定審査が開始可能な状態となる。認定事務局は、本申請手続きが完了した旨を連絡する。

3.3.2

キックオフミーティング

認定審査の開始にあたり、申請事業者・認定事務局による「キックオフミーティング」を実施する。申請事業者が以下①～③の説明を行い、認定事務局が確認し、質疑応答等を行う。
【申請事業者】①申請サービス事業内容の説明
事前申請ミーティングを踏まえた修正プラン（デモンストレーションを含む）を説明※P 認定の場合は、デモンストレーションの代わりに画面遷移図の説明でも可②契約約款の説明（後述する「６．モデル契約約款」に基づき作成した契約約款）③個人のコントローラビリティ等を確保する機能の説明【認定事務局】
上記①～③に関して確認し、質疑応答を行う。
書類審査及び適合性評価における注意点等の説明を行う。
キックオフミーティングを経て、申請事業者の受審体制およびサービス事業運営体制等を確認し、審査項目、審査の進め方を決定する。また申請事業者は、キックオフミーティングにて受けた認定事務局からの疑問・指摘等を踏まえて、審査書類を修正・作成すると伴に、回答を用意する。
13
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

3.3.3

審査書類の提出～書類審査

審査書類の準備、提出
申請事業者は、審査に必要な下記書類を用意し、認定事務局に提出する。
① 審査書類一式（後述する「５．認定基準と提出書類の提出資料（例）」参照）※審査書類は、認定基準に対応する箇所にマーカーを付記して提出すること※審査書類の規程類については、その相関体系図を提出するのが望ましい② 「審査チェックシート」※各々の認定基準に対応する「書類・規定類の名称と項番」を 例示に倣って記載し提出すること③ キックオフミーティング時に指摘された事項に対する回答
書類審査
必要書類の提出確認が完了後、認定事務局は書類審査を開始する。
書類審査にて、確認事項、問題、指摘事項（以下、指摘等という。）が生じた場合は、認定事務局は、申請事業者に対して、「審査チェックシート」の「不備及び確認事項」欄にて指摘等をする。申請事業者は、指摘等を受け取り次第、速やかに指摘等への回答や解決を図り、審査書類の修正、再提出を行うものとする。
尚、申請事業者は、審査書類の修正、再提出を行う場合は、認定事務局からの指摘等を転記し、その対応状況（対応日時、内容、回答）を記載した「文書審査に伴う改善対応一覧表」及び、修正した審査書類、「審査チェック
シート」を提出する。また、申請事業者から認定事務局への質問等も行うことができる。
これらの遣り取りを繰り返して、書類審査を進める。
尚、申請事業者の当該第三者認証受審部門が、「情報銀行」の認定審査およびマネジメント運営に関与する体制である場合は、当該第三者認証において審査済みの項目の一部については 「情報銀行」の書類審査を免除することができるものとする。
回答期限と取り下げの判断
書類の提出及び質疑等への応答では、基本的に要請から１ヶ月以内に回答することが必要である。期間内に回答がない場合、回答不備が複数回連続する場合は、申請の取り下げとみなす事がある。
書類審査の終了
審査担当による書類審査において、指摘等が無くなった時点で書類審査が完了する。審査担当は、審査結果に基づき 認定委員会による認定会議用の「審査報告書等」を作成する。

14
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

3.4 認定決定フロー
認定付与審議～認定付与の手続きの手順は以下の通りである。

認定 認定委員会による適合性評価等、認定判定・付与に係る審議を実施する。
認定機関
申請事業者

認定事務局
（業務担当）

認定委員会（審査担当）

認定委員会へ、認定認定会議の会議開催要請開催判断

可認定会議の開催（申請事業者/認定事務局/認定委員会）
１．申請サービス事業内容の説明 【申請事業者】
２．書類審査結果の報告 【認定事務局】
３．質疑応答 【認定委員会⇔申請事業者】
４．適合性評価、審議
有

追加調査
必要性

【追加調査依頼】

追加調査資料の審査報告書等

送付・回答
追加調査資料の受領/追加審査無し情報銀行推進委員会に上申
認定判定決議（総合的判断）

認定マーク付 与決認定マーク付与決

定通知書の受領定通知書の送付

契約書の受領/確
認/捺印/締結

認定料の支払処理

認定証/認定マー
クの受領・認定マーク付与契約書の作成、送付・認定料請求書送付
入金確認

認定の公表
認定証の発行認定マーク付与

サーベイランス審査の実施

15
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

無(適合)「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

3.4.1

適合性評価・認定判定

認定事務局において作成した「審査報告書」等に基づき、申請事業者の同席の元、認定委員会による、適合性評価を行う「認定会議」を開催する。その際、認定委員会の判断により、追加資料の提出や追加調査が必要になる場合や、条件付きで認定する場合、再度「認定会議」が開催される場合がある。尚、申請事業者は、追加資料の提出や追加調査には速やかに応じることが必要である。
認定会議の結果を踏まえ、ＩＴ連盟情報銀行推進委員会による総合的判断による認定付与審議が行われ、認定判定が下される。認定事務局は「認定マーク付与決定通知書」を申請事業者送付し、結果を通知する。

3.4.2

契約書の締結及び認定料の請求～入金認定判定を受けた申請事業者（以下「認定事業者」という。）と IT 連盟との間で、「情報銀行認定マーク付与契約」（以下「認定付与契約」という。）等を締結する。当該契約には、認定基準の遵守義務、更新手続き、認定基準違反時の対応、認定事業者に対する検査や報告徴収等が含まれる。
また、認定事務局から認定事業者に、認定料の提示された「情報銀行認定マーク付与認定料請求書」が送付される。認定事業者は、請求書に記載の期日までに指定の口座へ認定料相当額を入金する。なお、一旦支払われた認定料は、認定を辞退した場合であっても返金されない。

3.4.3

認定の付与～公表

認定証/認定マークの付与
契約の締結及び認定料の入金確認後に、認定事業者には、IT 連盟より「認定証/認定マーク」が付与される。尚、認定付与の有効期間は、認定付与契約にて定めた期日から２年間とし、認定期間中は、1 年ごとのサーベイラ
ンス審査を実施する。
また、認定を受けていない事業者（認定を取り消された事業者、更新期限を超過した事業者等を含む）が認定マークを無断で使用していることが判明した場合は、IT 連盟は適切な対応を行う。
認定の公表
IT 連盟は、認定事業者（サービス事業について認定を受けた場合は当該サービス事業を含む。）については、ＩＴ連盟情報銀行推進委員会のウェブページ【 https://tpdms.jp/certified/ 】に掲示する。
認定事業者は、認定マークを自社のウェブページ等で提示することができる。なお、サービス事業について認定を受けた場合については、認定マークの提示は当該認定を得たサービス事業の範囲のみで提示することとする。
認定マークの使用については「情報銀行認定マーク使用ガイドライン」に定めるものとする。
【 https://tpdms.jp/wp-content/uploads/2022/10/TPDMS-2100.pdf 】

3.5 認定付与後について相談窓口
認定事業者は「問合せ窓口」を設置し、個人（個人情報委任者）からの問合せ等への適切な対応に努めなければならない。

16
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

サーベイランス審査
認定事業者のマネジメントシステムが、認定基準に対し引き続き適合し、且つ有効に機能していることを確認し、PDCA のサイクルが正しく機能しているかを確認することを目的に、1 年ごとにサーベイランス審査を実施する。
認定事務局から、「サーベイランス審査実施通知 兼 審査書類提出依頼」 を認定事業者へ発行する。
実施通知の発行時が、新・旧認定基準（申請ガイドブック）の移行期間内の場合は、認定事業者が新・旧基準のいずれかを選択して、サーベイランス審査を受審することとなる。
認定事業者は、サーベイランス審査に必要な以下の書類を用意し、提出する。
①「サーベイランス審査実施通知 兼 審査書類提出依頼」 （認定事務局から送付）②「サーベイランス審査 提出書類チェックリスト」 （認定事務局から送付）③「『情報銀行』認定審査チェックシート」及び審査書類
書類の提出を受け、認定事務局が審査を開始する。審査完了後、認定維持の判定～決議が行われ、認定維持が決定される。
尚、付与された認定が P 認定の場合は、P 認定取得後は以下の流れとなる。
①認定事業者は、「情報銀行」サービス事業の開始前に、実行、点検、改善・マネジメントレビューの「ＰＤＣＡ
運営計画」を、認定事務局に提出し、認定事務局はこれを確認する。
②認定事務局は、サービス事業の開始後 3 ヶ月～6 ヶ月を目途にサーベイランス審査を実施し、P 認定取得
時の計画に準拠しているかを確認する。
③認定事業者は、サービス事業の開始後半年を目途に PDCA を一巡させ、運営実施記録を整えて、通常認定を申請する。
認定の取消し等認定事業者において、ＩＴ連盟に認定事業者の利用者から苦情相談等があり、且つＩＴ連盟より認定事業者に問題解決を求めたにも係わらず当該認定事業者による対応に問題があった場合もしくは、個人情報の漏えいの発生等認定基準に違反した場合は、認定委員会において、認定の一時停止、停止、取り消し、当該事業者名の公表等の措置を検討し、監査諮問委員会に諮問の上、対応する。
認定付与の更新
認定事業者は、付与契約の有効期間の満了に際し、付与契約の更新を受けることができる。更新を受けようとする認定事業者は、付与契約の有効期間の満了の 8 ヶ月前の前日から 4 ヶ月前の前日までに、更新審査の申請をすることが原則である。また、P 認定事業者が通常認定を取得する場合も、認定付与の更新手続きと同様の扱いとする。
※TPDMS-2200_情報銀行認定マーク付与に関する規約 参照【 https://tpdms.jp/wp-content/uploads/2023/02/TPDMS-2200.pdf 】

17
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

認定申請にあたっての留意事項
4.1 「情報銀行」認定審査について「情報銀行」の認定は、そのサービス事業運営の中で PDCA を回して継続的改善を図る、『マネジメント運営の実施状態』に対する認定である。よって、認定の申請をするためには、「情報銀行」サービス事業を開始し、計画～実行～点検～改善・マネジメントレビューの「PDCA 運営実施記録」を整えることが必要となる。
審査は、書類およびヒアリングによる審査が原則である。ただし、取得している第三者認証及び利用するデータセンターの安全性等が、不十分であると判断された場合は、現地審査を実施する場合がある。なお本申請から認定の取得までは相応の期間が必要となるため、十分な余裕を持った事業計画とするのが望ましい。

4.2 認定の種別
認定には、サービス事業の開始後の PDCA 運営実施記録の確認を必要とする『通常認定』と、「情報銀行」の運営計画がサービス事業開始可能な状態を満たしていることを認定する『P 認定』の 2 種類がある。
Ｐ認定は、サービス事業開始前や PDCA 一巡前での認定取得が可能であるが、「Ｐ認定取得後にサービス事業を開始して、PDCA 実施記録を整え、通常認定を取得することが前提であること」等の制約条件がある。またサービス事業開始後の場合は利用者個人向けのアプリについても審査の対象となる。
申請事業者の事業計画に即して、認定の種別を選択いただきたい。

4.3 認定申請にあたり必要な準備
１．本書で定める第三者認証を取得すること
プライバシーマーク又は ISMS 認証、FISC 安全管理基準等の第三者認証・評価が必要。申請・審査中であっても書類審査の終了までには認証の取得が必須となる。また情報提供先第三者においても、原則これらの第三者認証の取得（例外条件あり）が求められるため、ビジネス設計において留意が必要となる。
２．プライバシーポリシーの策定および公表
プライバシーポリシーはトップマネジメントによる宣言であるため、代表者氏名が明示されたポリシーをウェブ
サイト等にて公表することが必要である（プライバシーマークに準拠）。また利用者個人の権利を保護するため、プライバシーポリシーを個人のサービス利用約款に組み込むことが必要となる。
３．相談窓口の開設・運営
利用者個人からの苦情・相談等に対応するための相談窓口を開設し運営することが必要となる。
４．日本リージョンのデータセンター
データセンターの所在地が日本国内であること。裁判管轄を日本の裁判所とすること。準拠法を日本法とすることが必要となる。
５．「情報銀行」の目的・定義を理解した上でのビジネス設計
指針に定める「情報銀行」の目的・定義を理解した上でビジネスモデルを設計することが必要となる。

18
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

4.4 認定の対象となる情報銀行「情報銀行」19は、「指針 Ver3.0」において、「実効的な本人関与（コントローラビリティ）を高めて、パーソナルデ
ータの流通・活用を促進するという目的の下、利用者個人が同意した一定の範囲において、利用者個人が、信頼できる主体に個人情報の第三者提供を委任するというもの」と定義されている。
【機能】• 「情報銀行」の機能は、利用者個人からの委任を受けて、当該個人に関する個人情報を含むデータを管理するとともに、当該データを第三者（データを利活用する事業者）に提供することであり、利用者個
人は直接的又は間接的な便益を受け取る。
• 利用者個人の同意は、使いやすいユーザーインターフェイスを用いて、情報銀行から提案された第三者
提供の可否を個別に判断する方法、又は、情報銀行から事前に示された第三者提供の条件を個別に／包括的に選択する方法により行う。
【利用者個人との関係】• 情報銀行が利用者個人に提供するサービス内容（情報銀行が扱うデータの種類、提供先第三者となる事業者の条件、提供先第三者における利用条件）については、情報銀行が利用者個人に対して適切に提示し、利用者個人が同意するとともに、契約等により当該サービス内容について情報銀行の責任を担保する。

【「情報銀行」のイメージ】【出典】指針 Ver3.0

IT 連盟による認定の対象となる「情報銀行」については、指針 Ver3.0 を踏まえ、具体的には次のものとする。

19「情報銀行」という名称については、・銀行法上の「銀行」以外の者が商号又は名称に銀行であることを示す文字を使用することは禁止されていること。（銀行法第 6 条
第 2 項）
・信託業法上の「信託会社」等以外の者が商号又は名称に信託会社であると誤認されるおそれのある文字を用いることは禁止されていること。（信託業法第 14 条第 2 項）
により、銀行という文字を使うことは禁止されている。そのため本ガイドブックでは通称として利用しており、「」付きの情報銀行という表現にしている。

19
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）（１）個人情報の提供に関する同意の方法
・認定の対象は、①事業者が個人情報の第三者提供を利用者個人が同意した一定の範囲において利用者個
人の指示等に基づき行い、その際利用者個人に代わり第三者提供の妥当性を判断するサービスと、②利用者個人が個別に第三者提供の可否を判断するサービスのうち、情報銀行が比較的大きな役割を果たすものとする。
・②利用者個人が個別に第三者提供の可否を判断するサービスのうち、提供事業者が情報の提供先を選定して利用者個人に提案する場合など、提供事業者が比較的大きな役割を果たす（責任をもつ）ケース（②-１の部分）を想定。他方、純粋なＰＤＳなどデータの管理や提供に関し利用者個人の主体性が強いサービス（②-2）は認定の対象として想定していない（認定がないことをもって信頼性が低いと評価されるべきものではない）。
・なお、データ保有者と当該データの活用を希望する者を仲介し、売買等による取引を可能とする仕組みである「データ取引市場」については認定の対象外。

【出典】指針 Ver3.0

20
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）（２）事業で扱うデータの種類
個人情報20を扱う事業を対象に、安心・安全で信頼して利用出来る情報銀行という観点から認定要件を定めており、個人情報を全く扱わない事業は対象としない。
・「個人情報」に関して設けている取扱上の制限等は、統計データ・匿名加工情報については適用されない。
（統計データ・匿名加工情報に対する利用者個人のコントローラビリティの及ぶ程度については、情報銀行ごとに判断されるべきである。）
・ただし、情報銀行が個人情報を匿名加工情報21や統計情報として加工した情報の提供を行う場合には、その旨や当該提供による利用者個人への便益（便益の有無を含む）について、必要な情報を利用者個人に対して開示することが必要。
・仮名加工情報 21・個人関連情報22については、利用者個人のコントローラビリティを高める観点から指針にて付加される規律を遵守することが必要。なお、これらの情報に関する情報銀行における規律については、令和２年改正個人情報保護法の施行後現れるユースケースの内容等も踏まえ、引き続き検討する。
・利用者個人の部分的な能力等に止まらない、利用者個人の社会的な評価に関する指標（所謂「信用スコア」
等）の取り扱いについては、利用者個人にとって不利益な利用とならないよう留意する必要がある。23
・信用スコアが個人情報である場合は、認定の対象となる。

【出典】指針 Ver3.0

20

個人情報保護法第２条第１項に規定する「個人情報」を意味する。
情報信託機能の認定スキームの在り方に関する検討会 とりまとめ 令和 3 年 8 月 25 日 11 頁
（https://www.soumu.go.jp/main_content/000764119.pdf ） ２－②提供先第三者の選定に係る記載の明確化（参照資料内の条
項はとりまとめ検討当時のものであるため、最新の規則等の条項に読み替えることが必要（以下、指針検討会とりまとめについては同様））
22
個人情報保護法第２条第７項に規定する「個人関連情報」を意味する。「情報銀行」において、個人関連情報は利用者個人の指示のもと情報銀行に預けられる。そのため、「情報銀行」は、通常、個人関連情報を個人データとして取得する形で取り扱うこととなる。
23
情報信託機能の認定スキームの在り方に関する検討会 とりまとめ 令和元年 10 月 8 日 27～28 頁（https://www.soumu.go.jp/main_content/000648745.pdf） ４．「信用スコア」の取扱い 参照。
21

21
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

・要配慮個人情報24については、「民間 PHR 事業者による健診等情報の取扱いに関する基本的指針」（総務省・厚生労働省・経済産業省。以下「PHR 指針」という。）に定める「健診等情報」25に該当するものであり、利用者個人に明示的に開示・説明され、利用者個人が十分に理解することができる健康・医療分野の要配慮
個人情報に限り、その要件26を満たした上で、取り扱うことができる。これ以外の要配慮個人情報は、本指針が認定の対象とする事業において取扱可能である個人情報には含まない。
・なお、次に記載する健康・医療分野の個人情報は、要配慮個人情報に該当しないことから、要配慮個人情報の取扱いに係る要件に関わらず、取扱可能である。27
・利用者個人に対して医師その他医療に関連する職務に従事する者により行われた疾病の予防及び早期発見のための健康診断その他の検査の結果等ではなく、健康診断、診療等の事業及びそれに関する業務とは関係ない方法により知り得た個人情報であって、例えば以下のもの。（本人の病歴や個人情報の保護に関する法律施行令第 2 条第 1 号から第 3 号までの事項を内容とする記述等は含まない。また、検診機関や医療機関等において医療専門職が管理する情報を除く。）【出典】指針 Ver3.0（2）-2.健康・医療分野の要配慮個人情報を取り扱うサービスに係る要件
・ （２）で述べた健康・医療分野の要配慮個人情報を取り扱う場合は、利用者個人にとって明確な便益があり、かつ、不利益が生じるおそれがないことを要する。
・ 明確な便益があることは、利用者個人に提供される便益について、その便益がもたらされると認めるに足る根拠が示されなければならない。
・ この場合、「利用者個人に提供される便益」は、利用者個人の健康増進や適切な医療の提供といった健康24

個人情報保護法第２条第３項に規定する「要配慮個人情報」を意味する。
PHR 指針において「健診等情報」とは、個人が自らの健康管理に利用可能な個人情報保護法上の要配慮個人情報で次に掲げるもの、及び予防接種歴とされている。
・個人がマイナポータル API 等を活用して入手可能な健康診断等の情報・医療機関等から個人に提供され、個人が自ら入力する情報
・個人が自ら測定又は記録を行うものであって、医療機関等に提供する情報
26
健康・医療分野の要配慮個人情報を取り扱う場合における要件は、「（2）-2.健康・医療分野の要配慮個人情報を取り扱うサービスに係る要件」に記載されるものの他、各章に定める基準等を参照。
27
個人情報でない健康・医療分野の情報（統計データ、匿名加工情報）については、既述のとおり、本指針にて個人情報に関し設けられている取扱上の制限等は適用されない。
25

22
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）に係る便益をもたらすものを原則とするが、介護保険外サービス、子育てサービス、保険関連サービスなどの健康・医療に関連する便益についても、根拠があることを前提に容認する。
・ 「その便益がもたらされると認めるに足る根拠」とは、医療専門職による診断・助言のほか、学会等におけるコンセンサスなど、データ提供時点において一定の合理性が認められる知見・見解のことを指す。
・ その根拠の妥当性の判断に当たっては、医療専門職28の参加するデータ倫理審査会への諮問を要する。
・ 利用者個人が間接的な便益を受ける利用目的（すなわち利用者個人以外のための利用）については、利用者個人が直接的に便益を受ける利用目的がある場合であって、かつ、当該間接的な便益を受ける利用
目的に公益性29がある場合に限り容認する30 。
・ 利用者個人から同意を得る際に、利用者個人以外のために利用することについて、明示的に説明を行う必要がある。

【出典】指針 Ver3.0

28

データ倫理審査会の医療専門職は基本的には医師を想定。但しサービス内容によっては適切な医療専門職が参加することでも可能とする。
29
公益社団法人及び公益財団法人の認定等に関する法律（平成 18 年法律第 49 号）の別表に定める「公益に関する事業」を参考
として、それに類する事業であれば「公益性」があると類推する。
30
例えば、生活習慣改善に向けた運動プログラム開発や車椅子、歩行器等の性能改善といった健康・医療分野の製品・サービスの開発・改善は、利用者個人が間接的な便益を受けるものであって「公益性」があると類推できる。

23
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）（３）データの収集方法
・本指針に基づき認定する事業主体としては、情報銀行事業以外の他サービスを提供している者も想定されるため、情報銀行として扱うデータは、新たに収集するデータと、事業主体が既に保有しているデータのいずれもが考えられる。
・既に保有しているデータを情報銀行として扱う場合には、新たに利用者個人との間で情報銀行としての契約が必要となる。
・ 健康・医療分野の要配慮個人情報を新たに取り扱う際、PHR 指針に定める健診等情報のうち、「医療機関等
から個人に提供され、個人が自ら入力する情報」又は「個人が自ら測定又は記録を行うものであって、医療機関等に提供する情報」に該当する場合には、当該情報が取り扱うことが可能なもの31であることをデータ倫
理審査会に諮問すること32。
・健康・医療分野の要配慮個人情報は、収集されることのメリットやリスクについて利用者個人が正しく理解した上で提供されるべきであることから、情報銀行が利用者個人から同意を得る際には、明示的に開示・説明することはもとより、かかりつけ医等医療専門職からの助言を得るよう促すこと。また、情報銀行は、かかりつけ医等から求められた場合には、追加の情報提供等に努めなければならない。

【出典】指針 Ver3.0

31

情報銀行において取り扱うことが可能な健康・医療分野の要配慮個人情報は、（２）「事業で扱うデータの種類」参照。
個人がマイナポータル API 等を活用して入手可能な健康診断等の情報は、第三者への提供が想定されているものであるため、確認不要とするが、今後の取得可能な情報の追加等により見直すことがあり得る。
32

24
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）（４）認定の対象となる事業者
・認定の対象となる事業者は、「個人情報の保護に関する法律」の個人情報取扱事業者（別表第 2 にある国立研究開発法人等を含む）である。
・同法における「行政機関等」が申請する場合には、「個人情報取扱事業者」を想定した認定要件は、適用される法規範を踏まえ適切に読み替える必要がある。行政機関等が認定を申請することが想定される場合には、別途認定基準等を公表する。

（５）認定の単位
・認定は、事業者（法人）単位、サービス事業単位のいずれについても行うことができる。
・複数の法人等が共同して行うサービス事業を認定する場合には、責任分担を明確にすると共に、利用者個人
に対して各者が連帯して責任を負うことが求められる。尚、個人情報を取り扱う者を明確にする必要がある。33
・共同でサービス事業を行う場合、個人情報の取り扱いを行う事業者は審査の対象となる。
■個人情報を取り扱う者の明確化の必要性
・複数者が共同で情報銀行事業を行う場合、個人情報を取得する者及び個人情報を取り扱う者を明確にする必要がある。
・複数者が個人情報を取り扱う者となる場合は、複数者が共同して取得する場合及び、一部の者のみが取得する場合がある。
・共同で事業を行う個人情報取扱事業者の間で個人情報の授受（共同して取得した者の間の授受または取得した者から他の者への受け渡し）がある場合には、個人情報保護法上の共同利用として整理することも考えられる。この場合、当然ながら、共同利用に関し法律上求められる事項について、情報銀行は適切に対応することが必要である。
【出典】情報信託機能の認定スキームの在り方に関する検討会とりまとめ 令和元年 10 月 8 日

33

情報信託機能の認定スキームの在り方に関する検討会 とりまとめ 令和元年 10 月 8 日 １－⑥複数者が共同で情報銀行事業を行う場合の認定 参照（ https://www.soumu.go.jp/main_content/000648745.pdf ）25
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

認定基準と提出書類「認定基準」については、指針 Ver3.0 Ⅱ適用範囲 １ 本指針の基本的な運用について （5）認定基準について
において、次のとおり規定されているところである。
◼ 「認定基準」は、一定の水準を満たす「情報銀行」を民間団体等が認定するという仕組みのためのものであり、当該認定によって利用者個人が安心してサービスを利用するための判断基準を示すもの。
◼ 一定の水準を満たした上でのレベル分けを行うことは想定しないが、認定団体において認定基準の一部を独立した認定の対象とすることは想定される。
◼ 提供する機能をわかりやすく開示するなど、利用者個人を起点としたデータの流通、利用者個人からの信頼性確保に主眼を置き、事業者の満たすべき一定の要件を整理。データの信頼性などビジネス上のサービス品質を担保するためのものではない。
◼ 今後事業化が進む分野であるため、サービスの具体的内容や手法（データフォーマット等）はできるだけ限定しない。
以上を踏まえ、IT 連盟において策定した認定基準及びその適合性を確認するために申請事業者において提出が必要となる書類については、以下のとおりである。

5.1 事業者の適格性
5.1.1

事業者の適格性の具体的基準

項目

認定基準及びその適合性を確認するために必要な提出書類①経営面の要件■認定基準○法人格を持つこと■提出書類（例）【1-1】事業者の登記簿謄本■認定基準○業務を健全に遂行し、情報セキュリティなど担保するに足りる財産的基礎を有していること（例）直近（数年）の財務諸表の提示（支払不能に陥っていないこと、債務超過がないこと）等■提出書類（例）【1-2】財務内容の確認資料（決算書、財務諸表又はこれらに準ずる書類）■認定基準○損害賠償請求があった場合に対応できる能力があること（例）一定の資産規模がある、賠償責任保険に加入している 等■提出書類（例）【1-3】損害保険証書（ない場合は、賠償責任に関する説明資料）
26
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

項目

認定基準及びその適合性を確認するために必要な提出書類②業務能力など■認定基準○個人情報保護法を含む必要となる法令を遵守していること○個人情報保護方針が策定されていること（事業者名称、関係法令・ガイドライン等の遵守、安全管理措置に関する事項、質問及び苦情処理窓口、トップマネジメントの氏名等を含む方針）、セキュリティポリシー（情報セキュリティ方針）が策定されていること■提出書類（例）【1-4】「情報銀行」事業を行う上で遵守が必要となる関連法令を示す書類【3-1】1500134「5.2.2 外部向け個人情報保護方針」【1-5】15001「5.2.2 外部向け個人情報保護方針」の公開先を示す書類（URL 等）【1-6】2700135「5.2 方針」の公開先を示す書類（URL 等）■認定基準○個人情報の取扱いの業務を的確に遂行することができる知識及び経験を有し、社会的信用を有するよう実施でき、ガバナンス体制が整っていること（例）類似の業務知識及び経験を有する。プライバシーマーク・ISMS 認証などの第三者認証を有する、FISC 安全対策基準に基づく安全管理措置を講じている（以下「第三者認証等の取得等」という。）等■提出書類（例）【1-7】プライバシーマーク又はＩＳＭＳ認証の取得を示す書類（これらがない場合は、これらに準ずる第三者認証又は監査に関する認証取得証明書又は監査報告書）■認定基準○提供先第三者との間でモデル契約の記載事項に準じた契約を締結することで、提供先第三者の管理体制を把握するなど適切な監督をすること、提供先第三者にも、「情報銀行」と同様、認定基準に準じた扱い（セキュリティ基準、ガバナンス体
制、事業内容等）を求めること等■提出書類（例）【1-8】提供先第三者との契約関係書類■認定基準○認定の対象となる事業が限定される場合、事業者は申請の対象となる事業の部分を明確化すること■提出書類（例）【1-9】当該サービス事業の内容と範囲を示す書類

34
35

15001 は、「JIS Q 15001：2017 個人情報保護マネジメントシステム－要求事項」を指す
27001 は、「JIS Q 27001：2014 情報技術－セキュリティ技術－情報セキュリティマネジメントシステム－要求事項」を指す。

27
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

5.2 情報セキュリティ・プライバシー保護
基本原則及び遵守基準
情報セキュリティ等に関する基本原則及び遵守基準については、指針検討会の指針 Ver3.0 において、次のとおり規定されているところである。
①基本原則■リスクマネジメントにもとづき、情報セキュリティ及びプライバシー保護対策に関する十分な人的体制（組織体制含む）を確保していること、対象個人、データ量、提供先第三者が増加した場合でも十分な情報セキュ
リティ体制を講じることができる体制を有すること。
■国際標準・国内規格の考え方も参考に、情報セキュリティ及びプライバシー保護対策を徹底すること。（例．
JIS Q 15001 個人情報保護マネジメントシステム（要求事項）、ISO/IEC29100（JIS X 9250）プライバシーフレームワーク）②遵守基準■個人情報の取扱い、安全管理基準について、プライバシーマーク又は ISMS 認証等の取得 （業務に必要な範囲の取得）をしていること。（※認定申請時に、プライバシーマーク又は ISMS 認証等の第三者認証が申請中である場合は、認定取得までに当該認証を取得すること）■定期的にプライバシーマーク又は ISMS 認証の更新を受けること。
■個人情報保護法における安全管理措置として同法のガイドラインに示されている基準を満たしていること、
また、業法や業種別ガイドラインなどで安全管理措置が義務付けられている場合にはそれを遵守していることを示すこと。36■次項以降に示す具体的基準を遵守して業務を実施すること、認定申請時に当該基準を遵守していることを示すこと。
＜主な参考基準等＞
・「情報信託機能の認定に係る指針 Ver3.0」
https://www.soumu.go.jp/main_content/000900795.pdf
・情報銀行における健康・医療分野の要配慮個人情報の取扱いに係る方針～情報信託機能の認定スキームの在り方に関する検討会 要配慮個人情報 WG とりまとめ～ 2023 年 7 月
https://www.soumu.go.jp/main_content/000891088.pdf
・情報銀行におけるプロファイリングの取扱いに関する議論の整理 令和 4 年 6 月 30 日
https://www.soumu.go.jp/main_content/000822838.pdf
・情報信託機能の認定スキームの在り方に関する検討会 とりまとめ 令和 3 年 8 月 25 日
https://www.soumu.go.jp/main_content/000764119.pdf
・情報信託機能の認定スキームの在り方に関する検討会 とりまとめ 令和元年 10 月 8 日

36

健康・医療分野の要配慮個人情報を取り扱う場合は、本指針に定める遵守基準の他、「医療情報を取り扱う情報システム・サー
ビスの提供事業者における安全管理ガイドライン」（総務省・経済産業省 https://www.soumu.go.jp/menu_news/snews/01ryutsu06_02000359.html ）に基づくリスクマネジメント及び制度上の要求事項に対応すること。

28
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

https://www.soumu.go.jp/main_content/000648745.pdf
・個人情報の保護に関する法律についてのガイドラン（通則編）
https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/
・JIS Q 15001 個人情報保護マネジメントシステム（要求事項）
・プライバシーマーク制度審査基準
https://privacymark.jp/system/guideline/pdf/pm_shishin2022.pdf
・「個人情報保護マネジメントシステム導入･実践ガイドブック（JIS Q 15001:2017） 第 2 版」
https://webdesk.jsa.or.jp/books/W11M0100/index/?syohin_cd=330547
・ISMS 認証
https://isms.jp/isms.html
・JIS Q 27001：2014 情報技術－セキュリティ技術－情報セキュリティマネジメントシステム－要求事項（ISO/IEC 27001：2013 Information technology - Security techniques - Information security management
systems – Requirements）
・JIS Q 27002：2014 情報技術－セキュリティ技術－情報セキュリティ管理策の実践のための規範（ISO/IEC 27002：2013Information technology -Security techniques -Code of practice for information
security controls）
・経済産業省 情報セキュリティ管理基準
https://www.meti.go.jp/policy/netsecurity/downloadfiles/IS_Management_Standard_H28.pdf
・総務省情報セキュリティサイト
http://www.soumu.go.jp/main_sosiki/joho_tsusin/security/
・総務省スマートフォン プライバシー イニシアティブⅢ
https://www.soumu.go.jp/main_content/000495608.pdf
・JIS X 9250:2017 プライバシーフレームワークで定義されているプライバシー原則（ISO/IEC 29100：2011 Information technology -- Security techniques -- Privacy framework）
・ISO/IEC 29151:2017（Information technology -- Security techniques -- Code of practice for personally identifiable information
protection）
・「TPDMS-1140 データ倫理審査会運用ガイドライン」
https://tpdms.jp/wp-content/uploads/2022/10/TPDMS-1140.pdf
・民間 PHR 事業者による健診等情報の取扱いに関する基本的指針（PHR 指針。総務省/厚労省/経産省）
https://www.mhlw.go.jp/content/10904750/000925104.pdf
・医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン（総務省/
経産省）
https://www.soumu.go.jp/main_content/000891033.pdf

29
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

5.2.1

情報セキュリティ・プライバシー保護マネジメントの具体的基準

以上を踏まえ、IT 連盟において策定した情報セキュリティ・プライバシー保護対策のマネジメントに係る具体的基準及びその適合性を確認するために申請事業者において提出が必要となる書類については、以下のとおりである。提出書類については、該当する措置を講じていることが確認できる書類を提出すること。

項目

認定基準及びその適合性を確認するために必要な提出書類①情報セキュリティ
等マネジメントの確
立■認定基準○経営層（トップマネジメント）は情報セキュリティマネジメント及びプライバシー保護対策のマネジメントに関してリーダーシップ、コミットメントを発揮すること○情報セキュリティ及びプライバシー保護対策のマネジメントの境界及び適用可能性を明確にし、適用範囲を決定すること○情報セキュリティ及びプライバシー保護対策のリスクアセスメントのプロセスを定め、適用すること、リスク分析、評価、対応を行うこと■提出書類（例）【2-1】27001「5.2 方針」、15001「5.2 方針」に対応する書類【2-2】27001「4.3 情報セキュリティマネジメントシステムの適用範囲の決定」、15001「4.3 個人情報マネジメントシステムの適用範囲の決定」に対応する書類【2-3】27001「6.1 リスク及び機会に対処する活動」、15001「6.1 リスク及び機会に対処する活動」に対応する書類（下記書類を必ず含むこと）
・業務フローの各プロセスにおけるリスクを洗い出し、分析し、評価し、リスク対策を決定した結果の書類（リスク分析表）
・リスク分析表で決定したリスク対策を文書化した書類②情報セキュリティ
等マネジメントの運用・監視・レビュー■認定基準○情報セキュリティ及びプライバシー保護対策のマネジメントに必要な人・資源・資産・システムなどを準備し、割り当て、確定すること○定期的なリスクアセスメントや、内部監査などを実施することで、情報セキュリティ
及びプライバシー保護対策のマネジメントの適切性、妥当性及び有効性を継続的に改善すること■提出書類（例）【2-2】27001「5.3 組織の役割、責任及び権限」、15001「5.3 組織の役割、責任及び権限」、27001「7 支援」、15001「7.1 資源」に対応する書類【2-3】27001「6.1.2 情報セキュリティリスクアセスメント」、15001「6.2.2 個人情報リスク
アセスメント」に対応する書類【2-2】27001「9.2 内部監査」、15001「9.2 内部監査」及び、27001「10.2 継続的改善」、
15001「10.2 継続的改善」に対応する書類③情報セキュリティ
等マネジメントの維
持・改善

■認定基準
○情報セキュリティ及びプライバシー保護対策のマネジメントを適切かつ継続的に維持していくこと○不適合が発生した場合、不適合の是正のための処置を取り、マネジメントの改善などを行うこと■提出書類（例）【2-2】27001「4.4 情報セキュリティマネジメントシステム」、15001「4.4 個人情報マネジ
30
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

項目

認定基準及びその適合性を確認するために必要な提出書類
メントシステム」及び、27001「10.1 不適合及び是正措置」、15001「10.1 不適合及び是正措置」に対応する書類④情報セキュリティ
等方針策定

■認定基準
○情報セキュリティ及びプライバシー保護対策方針を策定し、経営層、取り扱う従業員層への周知、必要に応じた方針の見直し、更新をすること■提出書類(例)【2-1】27001「5.2 方針」、15001「5.2 方針」に対応する書類【2-4】2700１「A.5 情報セキュリティのための方針群」に対応する書類⑤情報セキュリティ
等組織

■認定基準
○責任者を明確化し、組織体制を構築すること○情報セキュリティ及びプライバシー保護対策に関する情報を収集・交換するための制度的枠組みに加盟すること■提出書類（例）【2-5】27001「5.3 組織の役割、責任及び権限」、15001「5.3 組織の役割、責任及び権限」に対応する書類【2-6】加盟団体名及び活動概要を示す書類⑥人的資源の情報
セキュリティ、プライ
バシー保護対策（教育）■認定基準○経営層は従業員へセキュリティ及びプライバシー保護対策の方針及び手順を遵守
させ､個人情報を扱う担当者を明確化すること○情報セキュリティ及びプライバシー保護対策の意識向上、教育及び訓練を実施す
ること〇従業者の教育を実施していること■提出書類（例）【2-7】27001「7.2 力量」、15001「7.2 力量」及び、27001「7.3 認識」、15001「7.3 認識」に対応する書類【2-8】情報セキュリティ及びプライバシー保護に関する教育の実施サマリー

31
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

5.2.2

情報セキュリティの具体的基準

以上を踏まえ、IT 連盟において策定した具体的基準及びその適合性を確認するために申請事業者において提出が必要となる書類については、以下のとおりである。提出書類については、該当する措置を講じていることが確認できる書類を提出すること。
なお、以下の認定基準については、「情報銀行」事業に関する事項に対して「JIS Q 27001：2014 情報技術－
セキュリティ技術－情報セキュリティマネジメントシステム－要求事項」（以下「27001」という。）の要求事項を満たすものとしている。

項目

認定基準及びその適合性を確認するために必要な提出書類⑦資産の管理■認定基準○情報及び情報処理施設に関連する資産を洗い出し、特定し、適切な保護の責任を定めること○固有のデータセンターを保有していること、又はそれと同等の管理が可能な委託先データセンターを確保していること○外部クラウドを活用する場合には当該クラウド利用契約上の情報セキュリティ要件などで適切な取扱いが担保されていることを示すこと（例）JIS Q 27017「JIS Q27002に基づくクラウドサービスのための情報セキュリティ管理策の実践の規範」○情報を取り扱う媒体等から情報を削除・廃棄することが必要となった場合にそれが可能な体制又は仕組みを有すること○対象となる事業で扱う情報が他事業と明確に区分され管理されていること※外部クラウドなどを活用する場合や委託を行う場合に、相手方事業者との間で、裁判管轄を日本の裁判所とすること、準拠法を日本法とすることを合意しておくこと。
■提出書類（例）【2-9】27001「A.8.1.1 資産目録」、27001「A.8.1.2 資産の管理責任」、27001「A.8.2 情報の分類」、27001「A.8.1 資産に対する責任」、27001「A.8.3.1 「取外し可能な媒体の管理」及び 27001「A.8.3.2 媒体の処分」に対応する書類【2-10】固有のデータセンターを保有していることを示す書類又は委託先データセンタ
ーに関する契約書【2-11】データセンターの設置場所が国内にあること（但し、緊急事態に対応するために必要な場合を除く）を示す書類、27001「A.8.1.4 資産の返却」に対応する書類【2-12】外部クラウドサービスの利用に関する契約書（利用する場合）⑧ 技 術 的 セキ ュ リ
ティ

■認定基準
【アクセス制御】○アクセス制御に関する規定を策定し、対応すること（例）アイデンティティ管理シス
テムの構築、アクセス制御方針の実装○情報にアクセス権を持つ者を確定し、それ以外のアクセスの制限を適切に行うこと【暗号】○情報の機密性、真正性、完全性を保護するため暗号の適切で有効な利用をすること○電子政府推奨基準で定められている暗号の採用や、システム設計の確認などの対応をすること32
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

項目

認定基準及びその適合性を確認するために必要な提出書類■提出書類（例）【2-13】27001「A.9 アクセス制御」、27001「A.9.2 利用者アクセスの管理」及び 27001「A.10 暗号」に対応する書類⑨物理的及び環
境的情報セキュリ
ティ■認定基準○自然災害、悪意のある攻撃又は事故に対する物理的な保護を設計、適用すること○情報及び情報処理施設への入退室管理、情報を扱う区域の管理、定期的な検査を行うこと〇外部クラウドを活用する場合には当該クラウド利用契約上の情報セキュリティ要件などで適切な取扱いが担保されていることを示すこと○情報を取り扱う機器等のソフトウェア、ハードウェアなど最新の状態に保持すること、セキュリティ対策ソフトウェアなどを導入すること■提出書類（例）【2-14】27001「A.11 物理的及び環境的セキュリティ」に対応する書類⑩運用の情報セキ
ュリティ

■認定基準
○情報処理設備の正確かつ情報セキュリティを保った運用を確実にするための操作手順書・管理策を策定、実施すること○マルウェアからの保護のための検出、予防、回復の管理策を策定、実施すること○情報、ソフトウェア及びシステムイメージのバックアップは、合意されたバックアップ方針に従って定期的に取得し、検査すること○ログ等の常時分析により、不正アクセスの検知に関する対策を行うこと、情報漏えい防止措置を施すこと○技術的ぜい弱性管理、平時のログ管理や攻撃監視などに関する基準が整備されていること○サイバー空間の情勢を把握し、それに応じた運用上のアップデートなどを行うこと■提出書類（例）【2-15】27001「12.1 運用の手順及び責任」、27001「A.12.1.1 操作手順書」、27001「A.12.2 マルウェアからの保護」、27001「A.12.3.1 情報のバックアップ」、27001「A.12.4 ログ取得及び監視」及び 27001「A.12.6 技術的ぜい弱性管理」に対応する
書類⑪通信の情報セキ
ュリティ

■認定基準
○システム及びアプリケーション内情報保護のためのネットワーク管理策、制御を実施すること○自ら提供するか外部委託しているかを問わず、全てのネットワークサービスについて、情報セキュリティ機能、サービスレベル及び管理上の要求事項を特定する
こと○情報サービス、利用者及び情報システムは、ネットワーク上でグループごとに分離すること○組織の内部及び外部での伝送される情報のセキュリティを維持するための対策を実施すること（通信経路又は内容の暗号化などの対応を行うこと）○情報提供元から個人データ受領する機器（サーバ又はパソコン等。以下「機器」という。）を特定し、それ以外の「機器」で受領できないようにする技術的対策（ネット
ワーク認証や電子証明書による相互認証、もしくはトークンを用いる場合は、トー
33
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

項目

認定基準及びその適合性を確認するために必要な提出書類
クンの受け渡し管理等）及びセキュリティの保たれた物理的区域にて取り扱うこと
37○提供先第三者が個人データの提供を受ける「機器」を特定し、それ以外の「機器」で受領できないようにする技術的対策（例として、ネットワークや電子証明書による相互認証、もしくはトークンを用いる場合は、トークンの受け渡し管理等）及びセキュリティの保たれた物理的区域にて取り扱うこと 37■提出書類（例）【2-16】27001「A.13.1.1 ネットワーク管理策」、27001「A.13.1.2 ネットワークサービスのセキュリティ」、27001「A.13.1.3 ネットワークの分離」及び 27001「A.13.2 情報の転送」に対応する書類【2-16】情報提供元から個人データ受領する「機器」を特定し、それ以外の「機器」で受領できないようにする技術的対策を記載した書類【2-16】提供先第三者が個人データの提供を受ける「機器」を特定し、それ以外の「機器」で受領できないようにする技術的対策を記載した書類⑫システムの取得・開発・保守■認定基準○情報システム全般にわたり情報セキュリティを確実にするため、新しいシステムの取得時および既存システムの改善時における要求事項としても情報セキュリティ
要求事項を必須とすること○開発環境及びサポートプロセス（外部委託など）においても情報セキュリティの管理策を策定、実施すること■提出書類（例）【2-17】27001「A.14.1 情報システムのセキュリティ要求事項」及び 27001「A.14.2 開発及びサポートプロセスにおけるセキュリティ」に対応する書類⑬供給者関係■認定基準○供給者との間で、関連する全ての情報セキュリティ要求事項を確立、合意のうえ、
定期的に監視すること（ICT サービス・製品のサプライチェーンに関連する情報セ
キュリティリスク対処の要求事項を含む）■提出書類(例)【2-18】27001「A.15 供給者関係」に対応する書類、27001「A.15.1 供給者関係におけるセキュリティ」に対応する書類⑭情報セキュリテ
ィインシデント管理■認定基準○情報セキュリティインシデントに対する迅速、効果的な対応のため責任体制の整
備、手順の明確化を行い、事故発生時は、速やかに責任体制への報告、対応（復旧・改善）、認定団体への報告などを実施すること○漏えい等事故発生時の対応体制、報告・公表などに関する基準が整備されていること○定期的な脆弱性検査に関する基準や脆弱性発見時の対応体制などが整備されていること○外部アタックテストなどのセキュリティチェック、インシデント対応訓練やセキュリテ

37

情報提供元からの個人データの受領、提供先第三者への個人データの提供を、インターネット等を経由して行う場合は、ID、パスワードだけでの認証では不足である。ID、パスワードは、本人以外が知らないことが保証されない。例えば、サイバー攻撃等で他国から同じ ID、パスワードでアクセスされることを排除できない。また、提供先従業員が自宅で私的にデータを受領することも排除
できない。

34
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

項目

認定基準及びその適合性を確認するために必要な提出書類
ィ研修などを定期的に実施すること■提出資料（例）【2-19】27001「A.16.1 情報セキュリティインシデントの管理及びその改善」に対応する書類【2-20】システムに対する脆弱性診断の実施内容を示す書類⑮事業継続マネジ
メントにおける情報
セキュリティの側面■認定基準○情報セキュリティ継続を組織の事業継続マネジメントシステムに組み込むこと⑯関係法令等の遵守■認定基準○情報システム及び組織について、全ての関連する法令、規制及び契約上の要求事項などを遵守すること○プライバシー及び個人情報保護について、関連する法令及び規制を確実に遵守すること○定めた方針及び手順に従って情報セキュリティが実施・運用されることを確実にするために定期的なレビューを実施すること■提出書類（例）【2-21】27001「A.17.1 情報セキュリティ継続 」に対応する書類（A.17.1.1 計画、A.17.1.2 実施、A.17.1.3 検証、レビュー及び評価）■提出書類（例）【1-4】27001「4.1 組織及びその状況の理解」、15001「4.1 組織及びその状況の理解」に対応する書類【2-2】27001「9.2 内部監査」に対応する書類

35
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

5.3 プライバシー保護対策
5.3.1

基本原則

プライバシー保護対策についても、以下の事項等を参考に、十分に整備・遵守していく必要がある。
（プライバシー保護対策等に関し参考とするべき事項等）■JIS Q 15001 個人情報保護マネジメントシステム（要求事項）■JIS X 9250:2017 プライバシーフレームワークで定義されているプライバシー原則■ISO/IEC 29151:20171
Information technology --Security techniques --Code of practice for personally identifiable information
protection
JISX 9250 及び ISO/IEC 29151 におけるプライバシー原則
１．同意及び選択（Consent and choice）
２．目的の正当性及び明確化（Purpose legitimacy and specification）
３．収集制限（Collection limitation）
４．データの最小化（Data minimization）
５．利用，保持，及び開示の制限（Use, retention and disclosure limitation）
６．正確性及び品質（Accuracy and quality）
７．公開性，透明性，及び通知（Openness, transparency and notice）
８．個人参加及びアクセス（Individual participation and access）
９．責任（Accountability）
10．情報セキュリティ（Information security）
11．プライバシーコンプライアンス（Privacy compliance）

5.3.2

プロファイリングに関する情報銀行の対応

いわゆるプロファイリング（パーソナルデータとアルゴリズムを用いて、特定個人の趣味嗜好、能力、信用力、知性、振舞いなどを分析又は予測すること38）については、情報銀行が自らこれを行う場合のほか、プロファイリ
ング結果を受け取る場合、提供先第三者へ元データを提供する等の形で関与する場合を含め、関係する各主体において利用目的の特定、透明性、データの最小化等の点で必要な配慮がなされるよう、情報銀行において対応すべきである。また、データの処理過程、結果の利用方法等の適切性をデータ倫理審査会において審査することが推奨される。
特に、要配慮個人情報等を推知することにより利用者個人に重大な不利益を与える可能性のあるプロファイ
リングについては、当該プロファイリングを「要配慮プロファイリング」として、要配慮プロファイリングを取り扱うことのみならず、分析・予測に含まれるロジック（実施する場合）や、利用者個人への影響・リスクに関する有意な情報について明示し、本人同意を得ることが望ましい。また、この際、利用者個人への説明内容、説明方法につ38パーソナルデータ+α研究会「プロファイリングに関する最終提言案」（NBL1211 号 6 頁）

36
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

いて、情報銀行における本人関与の実効性を高めるための工夫がなされることが望ましい。
なお、指針 Ver3.0 において情報銀行における要配慮個人情報の取扱いは、健康・医療分野の要配慮個人情報について取扱要件を満たした場合のみ認めているが、提供される要配慮個人情報を超えて、新たに要配慮個
人情報の項目に相当する情報を生成することのないよう注意する必要がある。
※「情報銀行におけるプロファイリングの取扱いに関する議論の整理」令和 4 年 6 月 30 日（総務省）（ https://www.soumu.go.jp/main_content/000822838.pdf ）についても参照すること

5.3.3

プライバシー保護対策の具体的基準

以上を踏まえ、IT 連盟において策定した具体的基準及びその適合性を確認するために申請事業者において提出が必要となる書類については、以下のとおりである。
なお、以下の認定基準については、「情報銀行」事業に関する事項に対して、「JIS Q 15001：2017 個人情報保
護マネジメントシステム－要求事項」（以下「15001」という。）及び「JIS X 9250：2017 情報技術―セキュリティ技術―プライバシーフレームワーク（プライバシー保護の枠組み及び原則） (ISO/IEC 29100:2011 Information
technology -- Security techniques -- Privacy framework)」（以下「9250」という。）の要求事項を満たすものとしている。

項目

認定基準及びその適合性を確認するために必要な提出書類①基本方針の策定■認定基準○「データは、個人がその成果を享受し、個人の豊かな生活実現のために使うこと」及び「顧客本位の 業務運営体制」の趣旨を企業理念・行動原則等に含み、その実現のためのガバナンス体制の構築 を定め経営責任を明確化していること（5.1.1 事業者の適格性の具体的基準②業務能力など を参照）
■提出資料（例）【3-1】15001「5.2.2 外部向け個人情報保護方針」に対応する書類②社会的信頼維持のための体制■認定基準○情報銀行認定事業者としての社会的信頼を確保するために必要なコンプライア
ンスを損なわないための体制が整っており、それを維持していること○組織体制の整備、個人データの取扱に係る規律に従った運用、個人データの取扱状況を確認する手段の整備、漏えい等の事案に対応する体制整備、取扱状況の把握及び安全管理措置の見直し等を実施していること③同意及び選択■提出書類（例）【3-2】15001「7.1 資源」、15001「A.3.3.5 内部規程39」、15001「6 計画策定」、15001「A.3.7.1 運用の確認」、15001「A.3.3.7 緊急事態への準備」及び 15001「9.3 マネジ
メントレビュー」に対応する書類■認定基準○個人情報の取扱を許可するか否かの選択の機会について、任意に、具体的に、わかりやすく本人に示していること。ただし、適用される法令が個人の同意なしに個人情報の取扱うことを明確に認める場合を除く

39

内部規程には、手順書レベルの規定も含む。手順書レベルの規定とは、A.3.3.3 によって実施した個人情報保護リスクの特定･分析を踏まえて策定した対策を講じる手順を文書化したものをいう。また、本規定は JIS Q 15001:2017 に準拠すること

37
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

項目

認定基準及びその適合性を確認するために必要な提出書類○9250「5.9 個人参加及びアクセス」に定める「個人参加及びアクセスの原則」の下における権利について、同意を得る前に本人に明示すること○9250「5.8 公開性、透明性及び通知」に定める「公開性、透明性及び通知の原則」によって示される情報について、同意を得る前に本人に提供すること○本人から直接個人情報を取得する場合は、同意を与えるか又は同意を保留す
るかによる影響について、少なくとも次に示す事項を本人に明示し、本人の同意を得なければならないこと40a) 「情報銀行」を運営する申請事業者の名称又は氏名b) 個人情報保護管理者（若しくはその代理人）の氏名又は役職名、所属及び連絡先c) 利用目的（本人が理解できるよう具体的に記載すること）
d) 第三者提供・第三者提供に係る条件（提供先第三者、その利用目的及び第三者提供の対象となる個人情報の項目等についての判断基準及び判断プロセス）
・ 提供先第三者に提供する目的
・ 提供先第三者の利用目的
・ 提供する個人情報の項目
・ 提供の手段又は方法
・ 提供先第三者の業種及び申請事業者との関係
・ 個人情報の訂正等を行った場合に当該個人情報を提供先第三者に提供する場合はその旨
・ 個人情報の提供に関する提供先第三者との契約がある場合はその旨
e) 個人情報の取扱いの委託を行うことが予定される場合にはその旨
f) 開示等の請求等に応じる旨及び問合せ窓口g) 本人が個人情報を与えることの任意性及び当該情報を与えなかった場合に本人に生じる結果h) 本人が容易に知覚できない方法によって個人情報を取得する場合（クッキー
情報の取得等やスマートフォンのアプリ経由で自動的に取得する位置情報、端末情報等）には、その旨○情報提供元から個人情報の提供を受ける場合は次のとおり。
・情報提供元にて本人の意思を確認することを契約で定めること
・情報提供元から利用者の個人情報の提供を受けた場合、あらかじめ利用目的を公表している場合を除き、速やかに本人に利用目的を通知し、又は公表する
こと○同意の取得の方法について、デフォルトオンになっていないこと■提出資料（例）【3-7】同意の取得の際に本人を示す書類（提供先第三者選定基準、同意画面のキャプチャや画面フロー等）【3-7】本人への説明文が 15001 A.3.4.2.5 の「明示」41条件を満たしていることを確

40

情報銀行が対象とする個人が未成年者等の制限行為能力者である場合には下記が必要となる。
情報銀行が対象とする個人が未成年者等の制限行為能力者である場合には、契約の締結と、情報銀行との間の同意等の手続きについては、それぞれ法令に照らし、適切な者が行う必要がある。
個人情報の第三者提供等に関する個人の同意については、個人情報保護法上の「本人の同意」として同意を得るべき者が行う。
個人との契約については、制限行為能力者に関する法律の規定に従い、同意権者の同意に基づいて本人が契約を締結することや、法定代理人が本人に代わって契約を締結することが必要となる。
41「明示」とは、本人に対し、その利用目的を明確に示すことをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に

38
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

項目

認定基準及びその適合性を確認するために必要な提出書類
認できる書類（画面遷移図）【3-8】情報提供元との契約関係書類【1-8】提供先第三者との契約関係書類【3-9】9250「5.2 同意及び選択」、15001「A.3.4.2.4 個人情報を取得した場合の措置」に対応する文書、15001「A3.4.2.5 A.3.4.2.4 のうち本人から直接書面によって取得する場合の措置」、15001「A.3.4.2.7 本人に連絡又は接触する場合の措置」及び15001「A.3.4.2.8 個人データの提供に関する措置」に対応する書類④利用目的の正当性及び明確化■認定基準○利用目的が適用される法令を遵守していること及び適法な根拠に依拠していることを確実にすること○新しい利用目的のために初めて個人情報が収集される前に、又は、個人情報が使用される前に、本人にその目的を明示すること○利用目的の記載について、明確かつ状況に適応した適切な表現を使用すること■提出資料（例）【3-10】9250「5.3 目的の正当性及び明確化」及び 15001「A.3.4.2.1 利用目的の特定」に対応する書類

⑤収集制限

■認定基準
○適用される法令の範囲内及び特定された目的のために最低限必要であるものに制限すること○個人情報をみだりに収集せず、収集する個人情報の量及び種類の両方について、利用目的を達成するのに必要なものに制限すること○個人情報の収集を始める前に、利用目的を実現するためにどの個人情報が必要かを慎重に考慮すること○個人情報取扱いのポリシー及び実践の一部として、収集する個人情報の種類
及びそれを収集する正当な理由を明確にすること○本人によって要求された特定のサービス提供以外の目的のために、追加の個
人情報を収集する場合、可能な限り、本人がそのような個人情報を提供するか否か選択できること○本人に、以上のような追加の情報の要求に応じる回答は任意であるという旨を明確に知らせること■提出資料（例）【3-11】9250「5.4 収集制限」及び 15001「A.3.3.1 個人情報の特定」に対応する書類⑥データの最小化■認定基準○次に示すような方法で、データ処理手順及び ICT システムを設計及び実装すること・処理される個人データを最小限にするとともに、プライバシー利害関係者及び認識される合理的かつ適切な方法によらなければならない。 「明示」する事例としては下記がある。
・契約書その他の書面を相手方である本人に手渡し又は送付する・本人がアクセスした自社のウェブ画面上に明示すべき事項を明記する
・スマートフォン等での小さい画面での同意画面の工夫
スマートフォン等の小さな画面で個人情報の取扱いについての同意画面を表示する場合は、以下の２点に留意する必要がある。
① 表示量を押さえる関係上、当該画面には全てを表示できないことが想定される。その場合には、要約表示をまず行う。
② 表示が分かれてしまうと、何に対して同意をしているのかが分からなくなるおそれがある。したがって、同一画面に表示することが望ましい。
「ISO/IEC 29184:2020 情報技術－オンラインにおけるプライバシーに関する通知及び同意」、JIS X 9252:2023 についても併せて
参照のこと

39
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

項目

認定基準及びその適合性を確認するために必要な提出書類
個人データが開示されるか又は個人データにアクセスする者の数を最低限に抑えること
・“知る必要性（need to know）”の原則を確実に採用すること、すなわち、個人データの処理の正当な目的の中で、その者の職務の遂行に必要な個人データだ
けにアクセス権を与えること・個人情報の取扱いにあたっては、必要最小限の項目をもって利用目的を達成
し、利用目的を超えた意味情報（行動の観測、プロファイリング情報等）の抽出を行わないこと（「5.3.2 プロファイリングに関する情報銀行の対応」についても参照のこと）
・個人データの処理の目的が終了している場合で、個人データを保存するという法的要求事項がなく、そうすることが現実的な場合には個人データを確実に破棄又は匿名化すること42■提出資料（例）【3-12】9250「5.5 データの最小化」に対応する書類⑦利用、保持及び
開示の制限

■認定基準
○個人データの利用、保持及び開示（提供を含む。）は、具体的、明示的かつ正当な利用目的を達成するために必要な範囲に限定すること○適用される法令によって、異なる目的が明示的に要求されていない限り、収集の前に特定した利用目的に個人データの利用を限定すること○定められた利用目的を達成するのに必要な期間だけ個人データを保持し、かつ、必要な期間を経過した後は個人データを確実に破棄又は匿名化すること○定められた利用目的が無効になったが、適用される法令が保持を要求している
場合は、全ての個人データをアーカイブに保管し、安全を確保し、かつ、それ以上処理されないようにすること【委託】○個人データの取扱いの全部又は一部を委託する場合、特定した利用目的の範囲内で委託契約を締結しなければならないこと○委託先は、十分な個人データの保護水準を満たしている者を選定しなければな
らないこと〇情報銀行で行うリスク分析と同等以上のリスク分析に基づき、選定基準を定めていること○委託先を選定する基準を確立しなければならないこと、当該基準には、少なくとも委託する当該業務に関しては、自社と同等以上の個人情報保護の水準にあることを客観的に確認できることを含めなければならないこと○個人データの取扱いの全部又は一部を委託する場合は、委託する個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならないこと○委託先に対し、次に示す事項を契約によって規定し、十分な個人データの保護水準を担保しなければならないことa) 委託先との責任の明確化
b) 個人データの安全管理に関する事項
c) 再委託に関する事項
d) 個人データの取扱状況に関する報告の内容及び頻度e) 契約内容が遵守されていることを定期的及び適宜に確認できる事項

4215001 では、利用期限を過ぎた個人データの廃棄は努力義務だが、9250 では必須である

40
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

項目

認定基準及びその適合性を確認するために必要な提出書類f) 契約内容が遵守されなかった場合の措置
g) 事件・事故が発生した場合の報告・連絡に関する事項h) 契約終了後の措置○当該契約書などの書面を少なくとも個人データの保有期間にわたって保存しなければならないこと【共同利用】○提供先第三者における当該個人データの共同利用が行われないよう情報提供
先と契約すること○情報提供元との間における共同利用をしないこと○共同事業等において共同利用により情報信託サービスを提供する場合は、次に示す事項又はそれと同等以上の内容の事項を、あらかじめ、本人に通知する
か、又は本人が容易に知り得る状態に置いていることa) 共同して利用することb) 共同して利用される個人情報の項目
c) 共同して利用する者の範囲d) 共同して利用する者の利用目的
e) 共同して利用する個人情報の管理について責任を有する者の氏名又は名称f) 取得方法○共同して利用する者の間で、上記事項について契約により定めること○当該契約書などの書面を少なくとも個人データの保有期間にわたって保存しなければならないこと【提供先第三者】○提供先第三者は、当該個人データを当初又はその後提供を受ける際に特定された利用目的の範囲内で利用目的を特定し、その範囲内で当該個人データを利用することとし、情報提供先と当該利用目的の範囲内で契約を締結すること○提供先第三者は、十分な個人データの保護水準を満たしている者を選定しなけ
ればならないこと。具体的には、第三者認証を取得していることである（プライバシーマークまたはＩＳＭＳ認証を有する、FISC 安全対策基準に基づく安全管理措置を講じている等）。
○提供先第三者が第三者認証等43の取得等をしていないが、認定団体が認める
業種別ガイドラインにおける安全管理措置を遵守している事業者であると認定団体が認める場合44には、既存の第三者認証等の取得等に相当するものとみなす。
〇情報銀行は、提供先第三者が第三者認証等の取得等をしていない場合であっ43「第三者認証等の取得等」の定義については、本ガイドブック 5.1.1 事業者の適格性の具体的基準（②業務能力など）を確認のこと。
44「認定団体が認める場合」とは、業種別ガイドラインにおける安全管理措置を遵守している事業者であることを第三者が認証したことを示す書類が必要となる。
・電気通信事業における個人情報保護に関するガイドライン（「電気通信事業者」（同第２条１号））
・放送受信者等の個人情報保護に関するガイドライン（「受信者情報取扱事業者」（同第３条３号））
・金融分野における個人情報保護に関するガイドライン（「金融分野における個人情報取扱事業者」）
上記に加え、今後、情報信託機能の認定スキームの在り方に関する検討会とりまとめ 令和 3 年 8 月 25 日 6 頁に記載の、業法や業種別ガイドラインやその他のガイドライン等については、要件を検討し、既存の第三者認証等の取得等に相当するものとみなす。

41
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

項目

認定基準及びその適合性を確認するために必要な提出書類ても、情報銀行が次の①～③のいずれかの対策を講じた上で、それぞれのケースにおいて求められる情報セキュリティ・プライバシーに関する具体的基準を
提供先第三者が遵守していると認められる場合には、情報を提供することができる①情報は情報銀行が管理し、提供先第三者には転記・複写禁止の契約を締結
し、一覧での閲覧や任意検索ができない方法で、一人分のみ検索できる技術
的対策を施した上で、必要な情報の閲覧のみができることとする45②提供先第三者において特定の個人を識別できないよう、当該個人情報に含まれる記述等の一部の削除処理（当該一部の記述等を復元することのできる
規則性を有しない方法により他の記述等に置き換えることを含む。）を行い、提供先第三者に提供する46③情報銀行の監督下で、提供先第三者から第三者認証等の取得等をしている
者に個人情報の取扱いを全て委託させる 47 。また、提供先第三者の委託先に対して情報銀行の監督が及ぶよう提供先第三者と委託先間の委託契約に規定し、提供先第三者に渡る情報は上記①又は②の条件を満たすものとする〇情報銀行は、上記の①から③までにおいて、自らのサービスと関連して提供先第三者が利用者から直接書面（電磁的方法を含む）による個人情報を取得することを許容する場合、以下のいずれかの措置を講ずる必要がある。
・ 提供先第三者におけるコンプライアンス体制の構築及びその実施（監査の実施等）を客観的かつ検証可能な方法で確認する。
・ 利用者との契約時及び利用者への提供先第三者に関する情報提供時に、情報銀行の提供するサービスと提供先第三者が独自に提供するサービスとの区別を利用者が認識できるような表示を行う。48○情報提供先を選定する基準を確立しなければならないこと、当該基準には、少なくとも情報提供先における個人データの取扱に関しては、自社と同様の個人情報保護の水準にあることを客観的に確認できることを含めなければならない
こと○提供する個人データの安全管理が図られるよう、情報提供先に対する必要かつ適切な監督を行わなければならないこと○情報提供先に対し、次に示す事項を契約によって規定し、十分な個人データの保護水準を担保しなければならないことa) 情報提供先との責任の明確化
b) 個人データの安全管理に関する事項
c) 情報提供先における委託に関する事項
d) 個人データの取扱状況に関する報告の内容e) 契約内容が遵守されていることを定期的及び適宜に確認できる 事項f) 契約内容が遵守されなかった場合の措置
g) 事件・事故が発生した場合の報告・連絡に関する事項h) 契約終了後の措置

45

情報信託機能の認定スキームの在り方に関する検討会 とりまとめ 令和 3 年 8 月 25 日 ２－② 提供先第三者の選定に係る記載の明確化「①提供先は閲覧のみの場合」（8 頁）
46
情報信託機能の認定スキームの在り方に関する検討会 とりまとめ 令和 3 年 8 月 25 日 ２－② 提供先第三者の選定に係る記載の明確化「②提供先が個人を識別できないよう加工する場合」（9～11 頁）
47
情報信託機能の認定スキームの在り方に関する検討会 とりまとめ 令和 3 年 8 月 25 日 ２－② 提供先第三者の選定に係る記載の明確化「③提供先が情報の取扱いを委託する場合」（12～13 頁）
48
情報信託機能の認定スキームの在り方に関する検討会 とりまとめ 令和 3 年 8 月 25 日 ２－② 提供先第三者の選定に係る記載の明確化「①～③全てについて」（14 頁）

42
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

項目

認定基準及びその適合性を確認するために必要な提出書類○当該契約書などの書面を少なくとも個人データの保有期間にわたって保存しなければならないこと■提出資料（例）【3-11】15001「A.3.3.1 個人情報の特定」に対応する書類【3-13】9250「5.6 利用、保持及び開示の制限」、15001「A.3.4.3.2 安全管理措置」及び 15001「A.3.4.3.1 正確性の確保」に対応する書類【3-14】15001「A.3.4.3.4 委託先の監督」（情報銀行で行うリスク分析と同等以上のリスク分析に基づき、選定基準を定めていることを確認できること）及び 15001「A3.4.3.2 安全管理措置」に対応する書類【1-7】プライバシーマークまたは ISMS 認証等を取得していない場合、認定団体が認める業種別ガイドラインにおける安全管理措置を遵守している事業者であることを第三者が認証した書類【3-15】15001「A.3.4.2.8 f） 個人データを共同利用している場合」に対応する書類【3-16】同意の取得の際に本人を示す書類（情報提供先選定基準、同意画面のキャプチャや画面フロー等）【1-8】情報提供先との契約関係書類【3-8】情報提供元との契約関係書類⑧正確性及び品質■認定基準○処理された個人データが、利用目的に照らして、正確、完全、最新（古いデータを保存する正当な根拠がある場合を除く）、十分かつ適切であることを確実にすること○本人以外（情報提供元等）から収集した個人データの信頼性を当該個人データが処理される前に確保すること○本人による個人データの変更（訂正等）の請求があった場合、本人確認の上、対応すること○正確性及び品質を確保するのに役立つ個人データ収集手順を確立すること○収集及び保管している個人データの正確性及び品質を定期的に点検するための管理の仕組みを確立すること■提出書類（例）【3-8】情報提供元との契約関係書類【3-17】9250「5.7 正確性及び品質」、15001「A.3.4.3.1 正確性の確保」、15001「A.3.4.2.2 適正な取得」、15001「A.3.4.4 個人情報に関する本人の権利」及び 15001「A.3.7.1 運用の確認」に対応する書類⑨公開性、透明性
及び通知

■認定基準
○個人データ処理に関する個人情報保護方針、個人データの取扱手順及び実践について、明確かつ入手が容易な方法で本人に提供すること○個人データが処理されるという旨、利用目的、個人データが開示される可能性があるプライバシー利害関係者（情報提供先、委託先等）の種類及び連絡先を含む個人情報保護管理者の氏名又は職名及び所属を明示又は通知すること○本人が自分の個人情報の処理を制限するため、並びに、当該情報にアクセス、
修正及び削除することができるようにするため、本人に対して提供する選択肢及び手段を開示すること○個人データ取扱手順に大きな変更があった場合には、本人に通知すること○個人情報を匿名加工情報や統計情報として加工し、当該データを他者に提供する場合、加工して提供するという旨やこれによる個人の便益について、個人に対して明らかにすること
43
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

項目

認定基準及びその適合性を確認するために必要な提出書類■提出書類（例）【3-18】15001「2.2 外部向け個人情報保護方針」及び 15001「A.3.4.2.5 A.3.4.2.4 の
うち本人から直接書面によって取得する場合の措置」に対応する書類【3-19】本人が自分の個人情報にアクセス、修正及び削除することができるユーザ
インターフェイス画面のキャプチャ【3-20】個人データ取扱手順に大きな変更があった場合の通知内容及び方法を定めた書類⑩個 人参加及び ア
クセス

■認定基準
○事前に適切なレベルの本人確認が可能であり、かつ法令上許容される場合には、個人データに本人がアクセス及び確認できるようにすること○本人がその特定の状況で適切及び可能であれば、個人データの正確性及び完全性に異議申立てができ、個人データを修正、訂正又は削除することができる
ようにすること○情報提供先には、修正、訂正又は削除を連絡すること○過度な遅延又はコストを伴わず、単純、迅速かつ効率的な方法で本人がこれらの権利を行使することができる手順を確立すること■提出書類（例）【3-21】9250「5.9 個人参加及びアクセス」及び 15001「A.3.4.4 個人情報に関する本
人の権利」に対応する書類【3-22】本人が自分の個人データにアクセス及び確認することができる画面のキャ
プチャ【3-23】情報提供先への修正、訂正又は削除を連絡する手順に対応する書類

44
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

5.4 ガバナンス体制
5.4.1

ガバナンス体制の具体的基準

項目

認定基準及びその適合性を確認するために必要な提出書類

①基本理念

■認定基準
○「データは、個人がその成果を享受し、個人の豊かな生活実現のために使うこと」及び「顧客本位の業務運営体制」の趣旨を企業理念・行動原則等に含み、その実現のためのガバナンス体制の構築を定め経営責任を明確化していること■提出書類（例）【4-1】15001「A.3.2.2 外部向け個人情報保護方針」に対応する書類②社会的信頼維持の
ための体制

■認定基準
〇情報銀行認定事業者としての社会的信頼を確保するために必要なコンプライア
ンスを損なわないための体制が整っており、それを維持していること■提出書類（例）【4-10】「TPDMS-2210 欠格事由及び判断基準」 の欠格事由に該当していないこと
の宣言

③相談体制

■認定基準
○利用者個人や事業者から、電話や電子メール等による問い合わせ、連絡、相談等を受け付けるための窓口を設けており、相談があった場合の対応プロセスを定めていること■提出書類（例）【4-2】苦情相談窓口が示されているＨＰなどの表示内容を示す書類【4-3】15001「A.3.6 苦情及び相談への対応」に対応する書類

④諮問体制

■認定基準
○諮問体制の【設置】以下を満たす、社外委員を含む諮問体制（データ倫理審査会49）を設置していること・構成員の構成例：エンジニア（データ解析や集積技術など）、セキュリティの専49

ＩＴ連盟は、データ倫理審査会の運用を、ISO/IEC 29134 Information technology — Security techniques — Guidelines for privacy
impact assessment （情報技術－セキュリティ技術－プライバシー影響評価のためのガイドライン）を基本として認定基準を定める。
この他、以下の規格を参照する。
・JIS Q 27001：2014 情報技術－セキュリティ技術－情報セキュリティマネジメントシステム－要求事項（ISO/IEC 27001：2013
Information technology - Security techniques - Information security management systems – Requirements）
・JIS Q 15001：2017 個人情報保護マネジメントシステム－要求事項」
・JIS X 9250：2017 情報技術―セキュリティ技術―プライバシーフレームワーク（プライバシー保護の枠組み及び原則）(ISO/IEC
29100:2011 Information technology -- Security techniques -- Privacy framework)
・JIS Q 31010：2012 リスクマネジメント－リスクアセスメント技法
・ISO/IEC 29184 Information technology － Online privacy notices and consent 情報技術 － オンラインにおけるプライバシーに関する通知及び同意
・Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk”
for the purposes of Regulation 2016/679 (データ保護影響評価（DPIA）及び取り扱いが 2016/679 規則の運用上、「高いリスクをもたらすことが予想される」か否かの判断に関するガイドライン)
・ISO26000 Guidance on social responsibility 社会的責任に関する手引
またデータ倫理審査会においては、その運用を支援する具体的な指針として解説した「データ倫理審査会運用ガイドライン（TPDMS-1140）」についても参照すること。

45
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

項目

認定基準及びその適合性を確認するために必要な提出書類
門家、法律実務家、データ倫理の専門家、消費者等多様な視点でのチェックを可能とする多様な主体が参加していること※構成員（例）は、消費者を含む利害関係者で構成される必要がある。以下の視点で審査をする。
-エンジニア：事業者の視点で、漏えい等リスク分析・リスク対策が十分か、他の構成員からの指摘が実現可能か、システム構築の視点から漏えい等リスク分析・リスク対策が十分か、等。（社内委員）-セキュリティ専門家：事業者の視点で、ハードウェア・ソフトウェアのリスク対策が適切か等。（社外委員限定は求めない）-法律実務家：事業者や提供先の視点で、法令を遵守しているか等。（社外委員限定は求めない）-データ倫理専門家：個人の視点で、個人情報保護のリスク対策が適切か等。（社外委員）-消費者：個人の視点で、コントローラビリティが確保されているか。提供先の条件が個人の予測できる範囲内で運用されているか等。（社外委員）
・ 健康・医療分野の要配慮個人情報を取り扱う場合には、要配慮個人情報の取得に当たっての確認、提供先第三者における利用目的の適切性の判断等のため、医療専門職 28 が参加していること50
・データ利用に関する契約や利用方法、提供先第三者などについて適切性を審議し、必要に応じて助言を行えること。
・構成員及び（必要な範囲の）議事録を公開51する。
※議事録の公開については、以下を満たすこと-公開する議事録は、必ずしも議事録全体である必要はない。特に、議事録にデータ管理者のセキュリティリスクにかかわる特定情報や事業上の秘密情報が記載されている場合は、残留リスクの暴露に相当することになる。そのような場合には、データ倫理審査会議事録に記載されている機
密性の高い情報を削除し、個人に関連する重要な項目と構成員を記述した公開要約版の公開であっても構わない。
・情報提供先の選択肢及びユーザインターフェイスの適切性について、助言を行えること。
・「情報銀行」は定期的に諮問体制に報告を行い、諮問体制は、必要に応じて「情報銀行」に調査・報告を求めることができること52（「情報銀行」は当該求めに応じて、適切に対応すること）○諮問体制の【実施】以下を満たす、審議事項を実施していること

50

情報信託機能の認定スキームの在り方に関する検討会 要配慮個人情報 WG とりまとめ 2023 年 5 月 8 日 論点３「医療専門職の関与（19 頁）」参照。（ https://www.soumu.go.jp/main_content/000880595.pdf ）51
データ倫理審査会の開催は、サービス事業の企画前及びサービス事業の開始前に、提供先の妥当性や個人に還元する便益等を協議する「ビジネススキームの妥当性協議」と、開始後にユーザビリティや残留リスクの受容性を審議する「個人視点でのデータ
倫理審議」が必要である。少なくとも年１回、ビジネスの変更の発生時等 必要に応じて適宜開催することを求める。
52
データ倫理審査会は以下の項目についての調査・報告を求めることができる。
・データ倫理審査会の運用ルールが定められ文書化されているか
・データ倫理審査会の運用ルールに「情報銀行に調査・報告を求めることができる」旨の規定があるか46
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

項目

認定基準及びその適合性を確認するために必要な提出書類
・個人と情報銀行の間の契約の内容※適切性を審議すべきものとして、以下が挙げられる。
-ビジネススキームの妥当性（個人情報を委任する個人に不利益が及ばな
いか）-残留リスクの妥当性（リスク対策を施してもなお残るリスクは受容可能か）-個人へ還元する便益の妥当性（個人の全てが、直接的又は間接的な便益を受け取ることができるか）
・情報銀行に委任した個人情報の利用目的※適切性を審議すべきものとして、以下が挙げられる。
-利用目的の妥当性（わかり易いか、個人が誤解するような説明がなされていないか、個人に便益が提供できない個人情報の取り扱いがなされていないか）-取得する個人情報の項目（利用目的の達成のために必要最小限の項目となっているか）、便益との関連（個人に便益を還元するために必要最小限の項目となっているか）-利用目的の説明の妥当性（わかり易いか、個人が誤解するような説明がなされていないか）
・個人による情報銀行に委任した個人情報の第三者提供に係る条件の指定及び変更の方法（ユーザインターフェース）※適切性を審議すべきものとして、以下が挙げられる。
-個人の同意を得る様々な場面（個人情報の取得時、サービス利用開始
時、サービス利用中等）において、情報銀行から個人に提示すべき情報
が、個人に分かり易く提示できているか-提供先の選択・同意、提供履歴の閲覧、訂正、利用停止、問合せ対応
等、個人のコントローラビリティが確保されているか
・提供先第三者の選定方法※適切性を審議すべきものとして、以下が挙げられる。
-提供先が第三者認証等を取得していない場合の代替措置の妥当性-提供先第三者の個人情報の利用目的の妥当性（個人にとって不利益となる利用がなされていないか）-安全管理措置のレベルの妥当性（個人情報の取り扱いプロセスにおいて、リスク対策が十分になされているか）-情報銀行による提供先第三者の監督方法の妥当性（提供先第三者を監督する方法は十分か、契約のみではなく、実地監査などの手段が講じられているか）、提供先第三者からの再提供の有無、及びその管理方法の妥当性
・委任を受けた個人情報の提供の判断※適切性を審議すべきものとして、以下が挙げられる。
-提供する個人情報の項目の妥当性（提供先の利用目的を達成するために必要最小限の項目になっているか）-選定された提供先第三者が、提供先としてふさわしいか。提供先選定の判断プロセスの妥当性
・健康・医療分野の要配慮個人情報を取り扱う場合、上記に加え、以下の事項
について助言を行う
47
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

項目

認定基準及びその適合性を確認するために必要な提出書類-情報銀行において取り扱うことが可能な健康・医療分野の要配慮個人情報であるか- 利用者個人にとって直接的に明確な便益をもたらすものであることの根拠の妥当性■提出書類（例）【4-4】構成員の所属、経歴、専門等を記載した書類（構成員名簿等）【4-5】設置の目的・審議事項等を規定した書類（設置要綱、設置規則等）【4-5】データ倫理審査会で何を審査するかの規定と、規定に基づき審査した議事録【4-5】構成員及び（必要な範囲の）議事録が公開された URL 等※データ倫理審査会運用ガイドライン(TPDMS-1140)53を参照すること⑤透 明性（定 期的 な報告・公表等）■認定基準○提供先第三者、利用目的、契約約款に関する重要事項の変更などを利用者個人にわかりやすく開示できる体制が整っていること、透明性を確保（事業に関する定期的な報告の公表など）すること○利用者個人による情報銀行の選択に資する情報（当該情報銀行による利用者
個人への便益の考え方、他の情報銀行や事業者にデータを移転する機能の有無など）を公表すること■提出書類（例）【3-20】個人データ取扱手順に大きな変更があった場合の通知内容及び方法を定めた書類【4-7】透明性確保を示す書類（開示項目一覧、開示先ＵＲＬ等）【4-7】個人による情報銀行の選択に資する情報を示す書類⑥認定団体との間の契約■認定基準○認定団体との間で契約を締結すること（認定基準を遵守すること、更新手続き、認定基準に違反した場合などの内容、認定内容に大きな変更があった場合は認定団体に届け出ることなど）○誤認を防ぐため、認定の対象を明確化して認定について表示すること■提出書類（例）【4-8】認定団体との契約関係書類【4-9】認定マークの表示箇所を示す書類（画面キャプチャ等）

5.4.2

諮問体制（データ倫理審査会）に関する事項

前述の 5.4.1 ガバナンス体制の具体的基準④諮問体制に係る事項については、指針検討会の指針 Ver3.0 において、次のとおり規定されているところである。
（１）データ倫理審査会における審議の考え方
・ 情報銀行は、利用者個人の代理として、利用者個人が安心して自らに関する情報を預けられる存在である
ことが期待される。このため、利用者個人の視点に立ち、適切な運営が確保される必要がある。

53

・「TPDMS-1140 データ倫理審査会運用ガイドライン」 https://tpdms.jp/wp-content/uploads/2022/10/TPDMS-1140.pdf
・「データ倫理審査会審査員のための教本」 https://tpdms.jp/wp-content/uploads/2022/10/TPDMS-3300.pdf

48
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

・ このため、データ倫理審査会は、情報銀行の事業内容が利用者個人の利益に反していないかという観点から審議を行う。
（例）-利用者個人によるコントローラビリティを確保するための機能が誤解のないユーザインターフェイスで提供されているか-利用者個人の同意している提供先第三者の条件について、利用者個人の予測できる範囲内で解釈されて運用されているか-利用者個人にとって不利益となる利用がされていないか、利用者個人に対し個人情報の利用によるリスクが伝えられているか-利用者個人にとって高いリスクを発生させる恐れがある場合には、GDPR で義務づけられている
DPIA（データ保護影響評価）を参考にすることも考えられる（２）審議事項
情報銀行事業について、以下の事項についてその適切性を審議し、必要に応じて助言を行う
・ 利用者個人と情報銀行の間の契約の内容
・ 情報銀行に委任した個人情報の利用目的（提供先第三者におけるものを含む）
・ 利用者個人により情報銀行に委任された個人情報の第三者提供に係る条件の指定及び変更の方法（ユーザインターフェイス）・ 提供先第三者の選定方法
・ 委任を受けた個人情報の提供の判断
健康・医療分野の要配慮個人情報を取り扱う場合、上記に加え、以下の事項について助言を行う
・ 情報銀行において取り扱うことが可能な健康・医療分野の要配慮個人情報であるか
・ 利用者個人にとって直接的に明確な便益をもたらすものであることの根拠の妥当性（３）運営方法
・ 構成員及び（必要な範囲の）議事録は公開する・ 必要に応じ情報銀行に調査・報告を求めることができる【出典】指針 Ver3.0

49
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

5.5 事業内容
5.5.1

事業内容の具体的基準

項目

認定基準及びその適合性を確認するために必要な提出書類①契約約款の策定■認定基準○モデル契約約款の記載事項に準じ、認定団体が定めるモデル契約約款を踏まえた契約約款を作成・公表していること、又は認定後速やかに公表すること（利用者個人との間、必要に応じて情報提供元・提供先第三者との間）■提出書類（例）【5-1】個人との契約関係書類【3-8】情報提供元との契約関係書類【1-8】情報提供先との契約関係書類【5-2】契約約款の公表状況を示す書類（実サービスまたは Web/アプリのモック画
面のキャプチャ等）②利用者個人への明示及び対応■認定基準○以下について、利用者個人に対しわかりやすく示すとともに個人情報の利用目
的及び第三者提供について個人情報保護法上の同意を取得すること（同意取得の例：包括的同意、個別同意など）
・「情報銀行」の行う事業及び対象とする個人情報の範囲、事業による便益、提供先第三者や利用目的に応じたリスク（注意点）
・対象となる個人情報とその取得の方法、利用目的、統計情報・匿名加工情報に加工して提供する場合はその旨、仮名加工情報 21 に加工して提供する場合はその旨、個人関連情報 24 を取り扱う場合はその旨と取り扱う情報の概要、取得元
・個人情報の第三者提供を行う場合の提供先第三者及び利用目的に関する判断基準及び判断プロセス
・「情報銀行」が提供する機能と、利用者個人がそれを利用するための手続・利用者個人が相談窓口を利用するための手続
・健康・医療分野の要配慮個人情報を取り扱う場合は、利用者個人から情報を取得する際には、かかりつけ医等医療専門職の助言を受けるよう促すこと（利用者個人が実際に助言を受けたか否かの確認をすることは求めない）。尚、かかりつけ医等から求められた場合には、追加の情報提供等に努めなければならない。54■提出書類（例）【5-3】15001「A.3.4.2.5 A.3.4.2.4 のうち本人から直接書面によって取得する場合の措置」及び 15001「A.3.4.4 個人情報に関する本人の権利」に対応する書類【5-3】「情報銀行」の行う事業及び対象とする個人情報の範囲、事業による便益、
提供先第三者や利用目的に応じたリスク（注意点）を示した書類【5-3】統計情報・匿名加工情報に加工して提供していることを示す書類（提供する場合）【5-3】仮名加工情報に加工して提供していることを示す書類（提供する場合）【5-3】個人関連情報を取り扱う場合はその旨と取り扱う情報の概要、取得元を示す

54

情報銀行における健康・医療分野の要配慮個人情報の取扱いに係る方針 ～情報信託機能の認定スキームの在り方に関する検討会要配慮個人情報 WG とりまとめ～ 2023 年 7 月 7 日 論点３「データ提供時におけるかかりつけ医等の助言について（20頁）」参照。（https://www.soumu.go.jp/main_content/000891088.pdf ）50
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

項目

認定基準及びその適合性を確認するために必要な提出書類
書類【5-3】かかりつけ医等医療専門職の助言を受けるように促していることを示す書類、かかりつけ医等への情報提供に係る手順③「情報銀行」の義務について55■認定基準○以下の要件を満たすとともに、モデル契約約款の記載事項に準じて契約約款等に明記し、利用者個人の合意を得ること（事業全体）
・個人情報保護法（同意の取得を含む）をはじめ、関係する法令等を遵守すること（取り扱う情報の属する個別分野に関するガイドラインを含む）
・個人情報について認定基準のセキュリティ基準にもとづき、安全管理措置を講じ、セキュリティ体制を整備した上で維持・管理を行うこと・善管注意義務にもとづき、個人情報の管理・利用を行うこと（個人情報等の取扱い）
・対象とする個人情報及びその取得の方法、利用目的の明示
・個人情報の第三者提供を行う場合の提供先第三者及び利用目的に関する適切な判断基準（認定基準に準じて判断）の設定・明示
・個人情報の第三者提供を行う場合の適切な判断プロセスの設定・明示（例）データ倫理審査会の審査・承認など
・個人情報の提供先第三者及び当該提供先第三者の利用目的の明示
・利用者個人が自らの情報の提供に関する同意の撤回（オプトアウト）を求めた場
合は、対応すること・個人情報の取扱いの委託を行う場合には、必要な監督を行うこと
・仮名加工情報を取り扱う場合、その旨を明示し、共同利用は行わず、漏えい等が生じた場合はその事実を公表すること
・個人関連情報を取り扱う場合、その旨と取り扱う情報の概要、取得元を明示すること
・健康・医療分野の要配慮個人情報を取り扱う場合、その旨と取り扱う情報の概
要、情報の取得・提供に係る判断プロセス等の当該情報の取扱いに当たって特に定めている事項を明示すること（提供先第三者との関係）
・個人情報の提供先第三者との間での提供契約を締結すること・当該契約において、必要に応じて提供先第三者に対する調査・報告の徴収ができること、損害賠償責任、提供したデータの取扱いや利用条件（認定基準に準じた扱いを求めること）について規定すること・ 健康・医療分野の要配慮個人情報を提供する場合は、提供先第三者における利用目的の適切性、利用者個人にとって直接的に明確な便益をもたらすものであることの根拠の妥当性等を確認すること。5655

世帯等（IoT センサー等で一次的にパーソナルデータを把握できる範囲の社会的集団）の複数の構成員が利用する情報収集機
器等から取得されるデータを利用する場合には、世帯等の複数の構成員の個人情報が混在することが想定されるため、それらの構成員の同意が得られていることの確認や利用停止の求めの取扱いについて配慮すること。その詳細な方法については、認定団体が定める基準を遵守すること。認定団体の基準の設定に際しては、関連する IoT 機器分野にかかる認定個人情報保護団体（特に一般社団法人放送セキュリティセンター）の個人情報保護指針等を参考とすることが望ましい。
56
情報銀行における健康・医療分野の要配慮個人情報の取扱いに係る方針 ～情報信託機能の認定スキームの在り方に関する検討会要配慮個人情報 WG とりまとめ～ 2023 年 7 月 7 日 8～13 頁（https://www.soumu.go.jp/main_content/000891088.pdf）論点１「利用用途の制限」参照。

51
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

項目

認定基準及びその適合性を確認するために必要な提出書類【再提供の禁止に係る事項】
・個人情報の第三者提供を行う場合、当該提供先からの個人情報の他の第三者への再提供は原則禁止される・例外的に、提供先第三者が情報銀行認定を受けた事業者（以下「認定事業者」という。）である場合又は次のⅰ～ⅲの条件をいずれも満たす場合には、情報銀行は再提供を行う提供先第三者に対して個人情報を提供でき、提供先第三者は当該個人情報を再提供できる
ⅰ．提供元（情報銀行）は、提供先第三者との契約の中で、再提供について以下の条件を求めること（ⅰ）提供先第三者は、再提供先への提供について、再提供先の業種や事業分類（または個社名）と、その利用目的、提供する個人情報の項目、再提供先に対する個人情報の開示等の請求等の窓口を提供元（情報銀行）に報告すること（ⅱ）利用者個人と提供先第三者との間に契約が締結され、再提供先への第三者提供については、提供先第三者が利用者個人から同意取得すること（ⅲ）再提供先からの更なる第三者提供は認められないこと
ⅱ．提供元（情報銀行）は、利用者個人に対して、提供先第三者から再提供先へ当該個人情報の第三者提供を行うこと及び当該再提供先（業種や事業分類でも可、例えば「金融分野のアグリゲーションサービス」）を明示すること。再提供については利用者個人により選択可能とし、かつデフォルトオフ
にすること。利用者個人が提供元（情報銀行）側のユーザインターフェイス
で再提供を可とする場合、個々の再提供先への提供については、提供元（情報銀行）が利用者個人から同意を取得する必要はない
ⅲ．再提供の必要性、すなわち、利用者個人の利便性と、再提供の例外の濫
用の防止の観点から、再提供の例外は①再提供先が公的なガイドラインまたは業法の整備がされている分野におけるいわゆるアグリゲーションサー
ビスである場合と②再提供が利用者個人の指示のもと、同様ないし類似の内容のサービスへの乗り換えとして行われる場合を前提とすること
・提供先第三者が認定事業者である場合において、上記ⅰ～ⅲの条件は、「提供元（情報銀行）」とあるのは「提供先第三者」、「提供先第三者」とあるのは「再提供先」、「再提供」とあるのは「再々提供」と読み替えて適用する。この場
合、利用者個人のデータコントローラビリティ確保等の観点から、認定団体の作成する、情報銀行間におけるデータ連携時に必要な機能・ルールに係る標準仕様に準拠すること・認定団体は、提供先第三者の基準が実質的に遵守されるよう（再提供先のセ
キュリティ、プライバシーに係る体制を確認する等）確認することが望ましい。
■提出書類（例）【5-1】個人との契約関係書類、情報銀行サービスの説明書類【1-8】情報提供先第三者との契約関係書類【5-4】健康・医療分野の要配慮個人情報を提供する場合は、認定基準の記載内容が確認できる規定等④利用者個人のコン
トローラビリティを確保するための機能に
ついて

■認定基準
①「情報銀行」に委任した個人情報の第三者提供に係る条件の指定及び変更
・提供先第三者・利用目的・データ範囲について、利用者個人が選択できる選択
肢を用意すること(※選択肢の設定については、本人が第三者提供について判
52
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

項目

認定基準及びその適合性を確認するために必要な提出書類断できる情報を提供する必要があり、例えば、「上場企業／その他含む」「観光目的／公共目的」のように数の少ない分類方法から、より個別具体的で数の多い分類方法までが考えられる。)
・選択を実効的なものとするために適切なユーザインターフェイス（操作が容易な
ダッシュボードなど）を提供すること
・選択肢及びユーザインターフェイスが適切に設定されているか、定期的に諮問体制（データ倫理審査会）に説明し助言を受けること・利用者個人が個別の提供先第三者、データ項目等を指定できる機能を提供する場合には、その旨を明示すること②「情報銀行」に委任した個人情報の提供履歴の閲覧【トレーサビリティ】
・どのデータがどこから提供されどこに提供されたのかという履歴を閲覧できるユ
ーザインターフェイスを提供すること
・提供の日時、提供されたデータ項目、提供先第三者での利用状況など、履歴の詳細を提供する場合は、その旨を明示すること③「情報銀行」に委任した個人情報の第三者提供・利用の停止【同意の撤回】
・利用者個人から第三者提供・利用停止の指示を受けた場合、「情報銀行」はそれ以降そのデータを第三者提供先に提供せず、利用しないこと・指示を受けた以降、既に提供先第三者に提供されたデータの利用が当該デー
タの提供を受けた提供先で制限されるか否か、制限される場合にはどの範囲で制限されるかを、あらかじめ利用者個人に明示すること④「情報銀行」に委任した個人情報の開示等
・簡易迅速で利用者個人の負担のないユーザインターフェイスにより、保有個人
データの開示の請求及び利用者個人が請求した方法による開示を可能とする仕組みを提供すること(※例えば、「情報銀行」を営む事業者が、本人から提供された情報で「情報銀行」として取り扱う範囲のデータについては、本人確認によりログインしたサイト上で、一括して閲覧・ダウンロードできる仕組みが考えられる。)
・開示されるデータのフォーマットは、可能な限り他の事業者でも使い易い形式とすること
・その他、他の情報銀行や事業者にデータを移転する機能の有無を明示すること■提出資料（例）【6-1】上記①から④の機能の提供を示す書類（実サービスまたは Web/アプリのモック画面のキャプチャ、イメージ図等）⑤責任の範囲について■認定基準○消費者契約法など法令を遵守した適切な対応をすること○「情報銀行」は、利用者個人との間で苦情相談窓口を設置し、一義的な説明責任を負うこと○提供先第三者に帰責事由があり利用者個人に損害が発生した場合は、「情報銀行」は当該本人に対し損害賠償責任を負うこと○「情報銀行」は、利用者からＩＴ連盟の苦情相談窓口への苦情相談等に適切に対応すること■提出資料（例）53
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

項目

認定基準及びその適合性を確認するために必要な提出書類【1-4】15001「A.3.3.2 法令、国が定める指針その他の規範」に対応する書類【6-2】15001「A.3.6 苦情及び相談への対応」に対応する書類【1-8】提供先第三者との契約関係書類

54
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

モデル契約約款
6.1 個人情報の提供に関する契約上の合意の整理
指針検討会の指針 Ver3.0 において、「個人情報の提供に関する契約上の合意の整理」については、次のとおりとされている。
■ 情報信託機能を提供する「情報銀行」のサービスについて、債権債務の内容や「情報銀行」の責任範囲を明確化するため、利用者個人と「情報銀行」の間の合意を委任関係に関する契約上の合意と整理する。
■ 「委任関係」とは、利用者個人に代わって妥当性を判断の上、個人情報を適正に管理･利用 （第三者提供含む）することについて、利用者個人が「情報銀行」に委任する関係とする。
■ このような委任関係を、より利用者個人のコントローラビリティを確保した、利用者個人を起点としたサービスの実現に資するものとするため、利用者個人への便益や委任の内容などの具体的合意条件を契約関係として整理する標準的な契約条項を「モデル約款の記載事項」として示す。
■ その際、委任関係の内容を契約等でわかりやすく整理し、個人情報保護法上の第三者提供においても有効な包括的同意（又は個別的同意）が取得できるよう整理することが重要。

【出典】指針 Ver3.0【参考：未成年等の制限行為能力者が情報銀行を利用する場合】
情報銀行が対象とする利用者個人が未成年者等の制限行為能力者である場合には、①契約の締結と、②情報銀行との間の同意等の手続きについては、それぞれ法令に照らし、適切な者が行う必要がある。
・ ①の契約については、制限行為能力者に関する法律の規定に従い、同意権者の同意に基づいて利用者個人が契約を締結することや、法定代理人が利用者個人に代わって契約を締結することが必要となる。
・ ②の同意については、個人情報保護法上の「本人の同意」として同意を得るべき者が行う。

55
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

6.2 モデル契約約款
IT 連盟において、前述 6.1 の整理及び指針 Ver3.0 における「モデル約款の記載事項」を踏まえ、認定にあたって最低限盛り込む必要がある規定を記載した「モデル契約約款」（別添）を策定した。
申請事業者において、認定を受ける「情報銀行」事業を行う場合は、少なくとも「モデル契約約款」を盛り込んだ契約約款を作成することが必要となる。
利用者個人と「情報銀行」の間は、モデル約款。「情報銀行」と情報提供元との間および「情報銀行」と情報提供先との間は、モデル契約とした。

6.3 ＜以下参考＞指針 Ver3.0 における「モデル約款の記載事項」（1）利用者個人と「情報銀行」の間①

目的・利用者個人からの委任にもとづき、個人情報を含む利用者個人のデータを当該個人の利益を図るために適正に管理・利用（第三者提供を含む）する「情報銀行」の事業について定めること②

定義・別段の定めのない限り、用いる用語の定義は個人情報の保護に関する法律に定めるところに従う。
③「情報銀行」の行う業務範囲

・「情報銀行」は、利用者個人に代わって当該個人の個人情報について、当該個人の合理的利益が得られるよ
うな活用手法、提供先第三者の選定、第三者提供、個人情報の維持・管理、業務の適切な提供・改善のための利用などを行う。（「情報銀行」は、それぞれが行う業務の内容、便益、データ範囲などを明記。またその活用によって利用者個人に不利益が生じないよう配慮すること）
・本委任契約の対象となる「個人情報」には「要配慮個人情報」は含まない（要件を満たした上で取り扱うことができる健康・医療分野の要配慮個人情報*を除く。）*情報銀行において取り扱うことが可能な健康・医療分野の要配慮個人情報は、Ⅱ３（２）「事業で扱うデータの種類」参照。

④「情報銀行」が担う義務（事業全体）
・個人情報保護法に定める義務を遵守すること
・個人情報について安全管理措置を講じ、セキュリティ体制を整備した上で維持・管理を行うこと・善管注意義務にもとづき、個人情報の管理・利用を行うこと（個人情報等の取扱い）
・対象とする個人情報及びその取得の方法、利用目的の明示
・個人情報の第三者提供を行う場合の提供先第三者及び利用目的についての判断基準（認定基準に準じて判断）の明示（提供後に適切なセキュリティの下でデータ管理が行われることを判断基準に含める）
・個人情報の第三者提供を行う場合の判断プロセスの明示（例）データ倫理審査会による審査・承認
・個人情報の第三者提供に関する同意の取得方法の明示
・個人情報の提供先第三者及び当該提供先第三者の利用目的の明示
56
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

・利用者個人が自らの情報の提供に関する同意の撤回（オプトアウト）を求めた場合は、対応すること
・「情報銀行」の行う事業による便益（一般的便益に加え、具体的事業内容に照らした便益を含む）の明示
・個人情報の取扱いの委託を行う場合には、必要な監督を行うこと
・情報漏えい等発生の場合、法令の定めに従い個人情報保護委員会への報告、利用者個人への通知を行
うこと・仮名加工情報を取り扱う場合、その旨を明示し、共同利用は行わず、仮名加工情報の漏えい等の際は、個
人情報保護委員会への報告・利用者個人への通知ではなく、漏えい等の事実の公表を行うこと
・個人関連情報を取り扱う場合、その旨と取り扱う情報の概要、取得元を明示すること
・ 健康・医療分野の要配慮個人情報を取り扱う場合、その旨と取り扱う情報の概要、情報の取得・提供に係る判断プロセス等の当該情報の取扱いに当たって特に定めている事項を明示すること（提供先第三者との関係）
・個人情報の第三者提供を行う場合、当該提供先第三者からの個人情報の他の第三者への再提供は禁止
する
・個人情報の提供先第三者との間での提供契約を締結すること・当該契約において、提供先第三者にも、「情報銀行」と同様、認定基準に準じた扱い（セキュリティ基準、事
業内容等）を求めること
・当該契約において、必要に応じて提供先第三者に対する調査・報告の徴収ができることを記載すること・当該契約において、提供先第三者は適切な情報管理体制を構築していることを要求すること⑤

プライバシーポリシーの適用

・「情報銀行」は当該「情報銀行」が定め公表しているプライバシーポリシーで定める内容を遵守すること⑥「情報銀行」の機能について

利用者個人が「情報銀行」に委任した情報の取扱いについてコントロールできる機能の明示（下記の機能に加え、その他の機能があれば、それを示すこと）
・「情報銀行」に委任した個人情報の第三者提供に係る条件の指定及び変更
・「情報銀行」に委任した個人情報の提供履歴の閲覧（トレーサビリティ）
・「情報銀行」に委任した個人情報の第三者提供・利用の停止（同意の撤回）
・「情報銀行」に委任した個人情報の開示等（仮名加工情報である個人情報の場合、開示請求の対象とならないことを明示すること）⑦

利用者個人の指示に基づいて、個人情報を情報提供元事業者から「情報銀行」に移行する場合は、利用者個人は、情報提供元事業者との間で、事前に情報の移行に関する了承を得ること（利用者個人からの依頼に基づき、「情報銀行」が情報提供元事業者に情報の移行に関する了承を得ることを含む）⑧

利用者個人は「情報銀行」が委任内容を適切に運営できるよう、「情報銀行」から必要に応じて確認などの求め（過剰な内容とならないよう留意すること）があった場合には適切な対応につとめること

⑨

相談窓口

・「情報銀行」は利用者個人からの相談への対応体制を設けること
57
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）⑩

重要事項の変更・個人情報の取得・提供などに関する約款内容に重要事項に変更がある場合には、事前通知を行うこと、同意を得ること⑪

損害賠償責任・消費者契約法など法令を遵守した適切な対応をすること
・「情報銀行」は、利用者個人との間で苦情相談窓口を設置し、一義的な説明責任を負う
・提供先第三者に帰責事由があり利用者個人に損害が発生した場合は、「情報銀行」が当該個人に対し損害賠償責任を負う⑫

事業終了時、事業譲渡時、契約解除時の扱いについて

・「情報銀行」に関する事業を終了、譲渡する又は、契約解除を行う場合の対応、個人情報の取扱いについて規定すること⑬

準拠法など

・裁判管轄を日本の裁判所とし、準拠法を日本法とする（2）「情報銀行」と情報提供元との間① 提供されるデータの「形式」「提供方法」等に関する規定（例）情報提供元が保有する個人情報を情報銀行が取得する際、当該情報提供元から取得する場合や利用者個人が情報提供元からダウンロードし「情報銀行」に提供する場合などにおける仕組みや手法など② 「情報銀行」側における情報の利用範囲や取扱条件の制限に関する規定（利用者個人と情報提供元との間に事前に情報の移行に関する了承がある場合、又は、利用者個人からの依頼に基づき情報銀行が情報提供元に情報の移行に関する了承を得る場合の規定）③ 「情報銀行」は情報漏えい等のインシデント発生時には、速やかに情報提供元へ通知すること④ 情報漏えい等の際の原因究明に向けた、情報提供元と「情報銀行」との協力体制などに関する規定、損害賠償責任に関する規定⑤ 情報提供環境のセキュリティ要件(ネットワーク経由でデータ提供する場合の VPN の設定等)に関する規定（3）「情報銀行」と提供先第三者との間① 提供されるデータの「形式」「提供方法」等に関する規定② 提供先第三者における情報の利用範囲や取扱条件の制限に関する規定（利用者個人から同意を得ている
58
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

利用目的の範囲内での活用、認定基準に準じたセキュリティ体制、第三者への再提供の禁止、加工した情報の取扱い等）。特に、健康・医療分野の要配慮個人情報を取り扱う場合には、Ⅱ３（５）の健康・医療分野の要配慮個人情報を取り扱うサービスに係る要件に関する規定③ 情報銀行から提供する情報が匿名加工情報である場合には、提供先第三者に対しこの旨を明示すること④ ②の履行に関する「情報銀行」の確認・調査への協力に関する規定⑤ 提供先第三者は情報漏えい等のインシデント発生時には、速やかに「情報銀行」へ通知すること⑥ 情報漏えいの際の原因究明に向けた、提供先第三者と「情報銀行」との間の協力体制などに関する規定、損害賠償責任に関する規定⑦ 情報提供環境のセキュリティ要件(ネットワーク経由でデータ提供する場合の VPN の設定等)に関する規定

59
CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

別添）主な変更履歴表【2020 年 7 月 1 日 改訂（ver.2.0）】
ページ
1～5

項番
1．はじめに

6

2．認定の対象となる「情報銀行」の範囲
2．認定の対象となる「情報銀行」
の範囲

7～10

12～13

3．運用スキーム

14
15～16

4.1 全体フロー
4.2 事前申請フロー

17～20

4.3 本申請フロー

21～23

4.4 認定決定フロー26

5.1.1 事業者の適格性の具体的基準
5.2.2 情報セキュリティの具体的基準

28 、 30 、
31
33～39

5.3.2 プライバシー保護対策の具
体的基準

43～47

5.4.1 ガバナンス体制の具体的基
準

48～51

5.5.1 事業内容の具体的基準

53

6.1 個人情報の提供に関する合意の整理
6.2 モデル契約約款

54～57

ガイドブック ver.2.0 変更内容
情報の追記
本書の概説の追加
指針 Ver2.0 に合わせて変更（１）個人情報の提供に関する同意の方法（２）事業で扱うデータの種類（３）個人情報の収集方法
以上、指針 Ver2.0 に合わせて変更（４）認定の対象となる事業者（５）認定の単位及び種類
以上、追加
認定機関全体図に情報銀行推進委員会委員を追加し、その説明を記載
情報銀行推進委員会による認定判定決議を追加
事前申請エントリー～事前申請ミーティングの追加等、事前申請フ
ローの見直し修正
キックオフミーティングの実施要領、書類審査の手順の追記等、本申請フローの見直し修正
認定会議、情報銀行推進委員会の開催、認定付与に係る条件、P認定の場合の付与後の流れ等、認定決定フローの見直し修正②業務能力など の認定基準の捕捉説明追記①情報セキュリティマネジメントの確立 の提出書類（例）追加⑩運用の情報セキュリティ の認定基準及び提出書類（例）追加⑪通信の情報セキュリティ の認定基準及び提出書類（例）追加①基本方針の策定 の認定基準及び提出書類（例）は 5.1.1 の該当箇所参照②組織的安全管理措置 の提出書類（例）の内部規定に関する補足として、脚注を追記④物理的安全管理措置及び⑤技術的安全管理措置 の認定基準
及び提出書類（例）は 4 章の該当箇所参照⑥同意及び選択 の認定基準の補足説明追記及び提出書類（例）追加⑨データの最小化 の認定基準の捕捉説明追記⑩利用、保持及び開示の制限 の認定基準及び提出書類（例）の捕捉説明追加
③諮問体制 の解説、認定基準及び提出書類（例）追加及び指針
Ver2.0 の記載内容を引用追記④透明性（定期的な報告・公表等） の認定基準及び提出書類（例）追加②個人への明示及び対応 の認定基準及び提出書類（例）追記③「情報銀行」の義務について の認定基準追加及び提出書類（例）追記④個人のコントローラビリティを確保するための機能について の認定基準追記未成年等の制限行為能力者が情報銀行を利用する場合について
追記
指針 Ver2.0 に合わせて修正-1CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）【2021 年 7 月 1 日 改訂（ver.2.01）】
ページ
15、16
23
24
25～27
28
29～55
29～34
35～44
45～49
48
50～54

項番
4.2.3 事前申請必要書類の作成～提出
4.4.5 サーベイランス審査
4.4.7 認定付与の更新
5.1.1 事業者の適格性の具体的基準
5.2.1 基本原則及び遵守基準
5.2.1、5.3.2、5.4.1、5.5.1
5.2.2 情報セキュリティの具体的基準
5.3.2 プライバシー保護対策の 具
体的基準
5.4.1 ガバナンス体制の具体的基
準5.4.1 ガバナンス体制の具体的基
準5.5.1 事業内容の具体的基準

ガイドブック ver.2.01 変更内容
「TPDMS-2210 欠格事由及び判断基準」の欠格事由に該当していないことの宣言 を必要書類⑦として追加
サーベイランス審査に関する説明を追加
認定付与の更新に関する説明を追加②の、提出書類（例）を加筆修正
参考基準等 の参照先名称、URL を更新
提出書類（例） に、「に対応する書類」という文言を追記 ※必要該
当箇所に追記④、⑤、⑥、⑦、⑧、⑩、⑮、⑯の、提出書類（例）を加筆修正⑥、⑩の、提出書類（例）及び脚注を加筆修正③、④の、提出書類（例）及び脚注を加筆修正③諮問体制の参照基準として、データ倫理審査会運用ガイドライン（TPDMS-1140）を追加①、④の、提出書類（例）を加筆修正【2021 年 12 月 1 日 改訂（ver.2.1）】
ページ
5
8～9

項番
1.2.6 改訂について（2）事業で扱うデータの種類

12～14

3 運用スキーム

15

4.1 全体フロー

27

5.1.1 事業者の適格性の具体的基準
5.1.1 事業者の適格性の具体的
基準

27

29～30
32
37

43～44

5.2.1 基本原則及び遵守基準
5.2.2 情報セキュリティの 具体的基準
5.3.2 プライバシー保護対策の具
体的基準

5.3.2 プライバシー保護対策の具

ガイドブック ver.2.1 変更内容
「併用期間」「移行期間」についての説明を変更
要配慮個人情報についての記載を追加
参考として、健康・医療分野の個人情報のうち、要配慮個人情報に該当しないものを追記
図の修正（新たな分科会を追加、内部監査担当を推進責任者の直下に変更）
IT 連盟情報銀行推進委員会にて総合的判断による評定決議を行うことを追記FISC 安全対策基準を追記
プライバシーマーク、ISMS 未取得事業者に対する例外 3 類型については、5.3.2 プライバシー保護対策の具体的基準⑩利用、保持及び開示の制限でも同様の記載があるため削除
主な参考基準等の加筆
提出書類の追加①基本方針の策定における認定基準を追記②組織的安全管理措置を②社会的信頼維持のための体制に変更
し、認定基準を追記③人的安全管理措置については 5.2.2 情報セキュリティの具体的
基準⑥人的資源の情報セキュリティで確認するため削除④物理的安全管理措置については、5.2.2 情報セキュリティの具体的基準⑨物理的及び環境的情報セキュリティで確認するため削除⑤技術的安全管理措置については 5.2.2 情報セキュリティの具体的基準⑧技術的セキュリティで確認するため削除
プライバシーマーク、ISMS 未取得事業者に対する例外 3 類型につ-2CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

54

体的基準
5.4.1 ガバナンス体制の具体的基
準5.5.1 事業内容の具体的基準

55～56
60

5.5.1 事業内容の具体的基準
6.2 モデル契約約款

47

いての加筆修正②社会的信頼維持のための体制について追記③「情報銀行」の義務について脚注として世帯等の複数の構成員が利用する情報収集機器等から取得されるデータの利用について
追記
再提供に関する記載の加筆修正
指針 Ver2.1 に合わせて修正【2022 年 11 月 1 日 改訂（ver.2.2）】
ページ

項番
全般

1

1.1 はじめに

5～6
7～25

1.2.4 本書の構成・見方
2 運用スキーム（P.7～8）
3 申請・認定フロー（P.9～19）
4 認定の対象となる「情報銀行」の範囲（P.20～25）

16

3 申請・認定フロー21

4 認定の対象となる「情報銀行」の範囲
4 認定の対象となる「情報銀行」の範囲

22

ガイドブック ver2.2 変更内容
用語の変更
「個人」「消費者」を「利用者個人」に「情報提供先」を「提供先第三者」に「個人情報の保護に関する法律」の該当条項を最新の法改正にあわせて修正章立ての変更に伴い修正

情報銀行の定義も認定基準の一部であることを明らかにするために、「認定の対象となる「情報銀行」の範囲（≒情報銀行の定義）」を、『申請・認定フロー』の後に移動し、章立てを変更した。
・変更前：情報銀行の範囲⇒スキーム⇒フロー・変更後：スキーム⇒フロー⇒情報銀行の範囲
3.3.6 書類審査
認定事務局、審査担当の役割の明確化（１）個人情報の提供に関する同意の方法
指針 Ver2.2 に合わせてベン図を差替え（2）事業で扱うデータの種類
・個人関連情報の脚注を追加
・仮名加工情報、個人関連情報について継続検討する旨を追記

・指針 Ver2.2 に合わせてベン図を差替え
24
25
29～30
37～38
42～46

48～49

4 認定の対象となる「情報銀行」の範囲
4 認定の対象となる「情報銀行」の範囲
5.2.1 基本原則及び遵守基準
5.3.2 プロファイリングに関する情報銀行の対応5.3.3 プライバシー保護対策の具
体的基準

54

5.4.1 ガバナンス体制の具体的基
準5.5.1 事業内容の具体的基準

55

5.5.1 事業内容の具体的基準

56

5.5.1 事業内容の具体的基準

58

5.5.1 事業内容の具体的基準（３）データの収集方法
指針 Ver2.2 に合わせてベン図を差替え（4）認定の対象となる事業者認定の対象となる事業者の明確化
バージョン等の情報を修正
プロファイリングの取り扱いについての「情報銀行」の対応について、指針 Ver2.2 より転載・追記⑦利用、保持及び開示の制限
第三者認証等未取得の提供先第三者に対する要件の追加及び、安全管理措置の遵守を確認するための確認書類を追加④諮問体制
データ倫理審査会の参照基準の脚注を修正②利用者個人への明示及び対応
仮名加工情報の取り扱いについて追記③「情報銀行」の義務について
仮名加工情報、個人関連情報の取り扱いについて追記③「情報銀行」の義務について
再提供の禁止の例外について加筆修正④個人のコントローラビリティを確保するための機能について開示されるデータのフォーマットについて追記-3CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）
59

6 モデル契約約款

60～61

6.2 モデル契約約款【未成年等の制限行為能力者が情報銀行を利用する場合】についての修正①利用者個人と「情報銀行」の間
４）「情報銀行」が担う義務
・情報漏えい等発生時の対応
・仮名加工情報の取扱い
・個人関連情報の取り扱いについて追記６）「情報銀行」の機能について
仮名加工情報である個人情報の開示請求等の対応ついて追記【2024 年 3 月 1 日 改訂（ver.3.0）】
ページ
１～4
5～6
9～10

13

13
14

項番
1.はじめに
1.2.本書の概説
2.運営スキーム
3.申請・認定フロー
3.2.3.事前申請ミーティングの実
施～本申請の検討
3.申請・認定フロー
3.3.1.本申請書の提出～本申請
手続き
3.申請・認定フロー
3.3.2.キックオフミーティング
3.申請・認定フロー
3.3.3.審査書類の提出～書類審
査

17

サーベイランス審査

18

4.認定申請にあたっての留意事
項

21～22

4.認定申請にあたっての留意事項（2）事業で扱うデータの種類.
4.認定申請にあたっての留意事
項（2）-2. 健康・医療分野の要配慮
個人情報を取り扱うサービスに係る要件
4.認定申請にあたっての留意事項（3）データの収集方法
5.認定基準と提出書類
5.1.1.事業者の適格性の具体的基準
5.2.情報セキュリティ・プライバシ
ー保護基本原則及び遵守基準

22～23

24

26
26～27
28～29

ガイドブック ver.3.0 変更内容
「情報銀行」認定審査について 及び 認定の種別 を、『4.申請にあたり』に移動・ガバナンス・運営体制図の行政オブザーバーを修正
事前申請ミーティングに実施 における主な確認事項に、『④申請事業者の受審体制およびサービス事業運営体制等の確認』を追加
本申請書の様式を変更（以下、変更内容）
・欠格事由非該当宣言書の附属・プライバシー保護や情報セキュリティ等の管理者を明示
申請事業者の受審体制およびサービス事業運営体制等を確認し、審査項目、審査の進め方を決定する 一文を追記
第三者認証受審部門が、「情報銀行」の認定審査およびマネジメン
ト運営に関与する場合は、当該第三者認証において審査済みの項目の一部については 「情報銀行」の書類審査を免除することができる 旨を追記。
③「『情報銀行』認定審査サーベイランスチェックシート」及び審査
書類 を、「『情報銀行』認定審査チェックシート」に変更
これに伴い修文・「認定の対象となる「情報銀行」」から章名称を変更
・「「情報銀行」認定審査について」及び「認定の種別」を、1 章から移動・記載
・4.3.認定申請にあたり必要な準備 を追加
・指針 Ver3.0 にて取り扱いが可能になった要配慮個人情報（以下、健診等情報 という）について追記
・関連する脚注 24～27 を追加
・指針 Ver3.0 にて規定された健診等情報を取り扱うサービスに係る要件を、（2）-2 として追加。
・関連する脚注 28～30 を追加
・脚注 28 に、データ倫理審査会の医療専門職選定の考え方を記
載・健診等情報の収集について、指針 Ve.3.0 に合わせて変更
・関連する脚注 31～32 を追加
・指針 Ver3.0 に合わせて変更②業務能力など の提出書類の項番を修正＜主な参考基準等＞ の例示を、指針 Ver3.0 をもとに加筆修正（以下、追加したもの）
・民間 PHR 事業者による健診等情報の取扱いに関する基本的指-4CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載

「情報銀行」認定申請ガイドブック （TPDMS-1000）_ver.3.0（2024.03.01）

30～31

5.2.1.情報セキュリティ・プライバ
シー保護マネジメントの具体的基
準（下線部を追加、名称変更）

32～35

5.2.2.情報セキュリティの具体的
基準

36～37

5.3.2.プロファイリングに関する情報銀行の対応5.3.3.プライバシー保護対策の具
体的基準

37～39

45～48

5.4.1.ガバナンス体制の具体的基
準

48～49

5.4.2.諮問体制（データ倫理審査会）に関する事項
5.5.1.事業内容の具体的基準

50～52

56～59

6.3. ＜以下参考＞指針 Ver3.0 における「モデル約款の記載事項」

針・医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン
・関連する脚注 36 を追加
台割再編成（集約）・情報セキュリティ及びプライバシー保護対策の「マネジメント」に係る共通要求事項①～⑥を集約。これに合わせて以下を修正
・項目名に“等”を追加（例.情報セキュリティ“等”・・・）
・認定基準の記載に“及びプライバシー保護”を追加
・提出書類に、27001 に加えて“15001 の書類”も追加
台割再編成（移動）・項目①～⑥を、上記 5.2.1 に移動
・項目⑦～⑯の認定基準を、指針 Ver3.0 に合わせて修正⑬供給者関係 の提出書類に、27001「A15.1」を追加⑮事業継続マネジメント の提出書類に、27001「A17.1.1」及び「A17.1.3」を追加⑯関係法令等の遵守 の提出書類を、27001「9.2」に変更
指針 Ver3.0 に合わせて健診等情報の注意を追記①基本方針の策定 の提出書類を、15001「5.2.2」に変更②社会的信頼維持 の提出書類を、15001「A3.3.4」を削除、「7.1」を追加、「計画策定」と「マネジメントレビュー」の項番を修正③同意及び選択 の認定基準に、「提供先第三者の利用目的」を追加④諮問体制【設置】 の認定基準に、指針 Ver3.0 に合わせて、健診等情報を取り扱う場合は医療専門職の参加が必要となる旨を追記④諮問体制【実施】 の認定基準に、指針 Ver3.0 に合わせて、健診等情報を取り扱う場合の データ倫理審査会の助言内容を追記
指針 Ver.3.0 に合わせて修正②個人への明示及び対応 の認定基準に、指針 Ver3.0 に合わせて、かかりつけ医の関与・対応について追記
・関連する脚注 54 を追加
・提出書類を追加③「情報銀行」の義務について（個人情報等の取扱い） の認定基
準に、指針 Ver3.0 に合わせて 健診情報等を取り扱う場合の明示
事項を追記③「情報銀行」の義務について（提供先第三者との関係） の認定
基準に、指針 Ver3.0 に合わせて 健診情報等を提供する場合の確認事項を追記・関連する脚注 56 を追加
・提出書類を追加
指針 Ver3.0 に合わせて修正-5CopyrightⒸ2024 一般社団法人 日本ＩＴ団体連盟 禁無断転載