資料「情報銀行」認定申請ガイドブック（ver0.9 案）、各モデル約款（ver0.9 案）に対するパブリックコメント に対して提出された意見要旨と、意見に対する日本 IT 団体連盟 情報銀行推進委員会の考え方の要旨（意見募集期間：2018 年 11 月 22 日から 2018 年 12 月 5 日）
No

意見対象

該当箇所
頁

日本 IT 団体連盟 情報銀行推進委員会の考え方提出されたご意見提出意見を踏まえた修正の目次等

有無
1「情報銀行」認

3 種のモデル約款はいずれも約款として必要な事項を具備しておら

定申請ガイドブず、世間のいわゆる「標準約款」とは性質が異なっております。モ 報銀行」と情報提供先との間の「モデル約款」は、「標準約款」ではなく、ック、モデル約

デル約款の冒頭説明には「本モデル約款は情報銀行の認定にあたっ款全般て最低限盛り込む必要がある事項を記載したもの」との記載があり を明確化するため、この２つについては、「モデル契約」と名称を変更しまますが、「認定にあたって」と考えますと不要と思われる条項も含まご指摘の通り、「情報銀行」と情報提供元との間の「モデル約款」及び、「情 有それぞれにおける「個別契約」のモデルになります。従いまして、その趣旨す。

れております。本モデル約款の性質・役割については整理が必要と考えます。
2「情報銀行」認

5

全体的に、包括同意によって情報銀行が個別に個人の同意を得るこ

ガイドブックについては、基本的に、本人が個別に判断するケース（以下「個定申請ガイドブと無く、情報提供先に情報を提供するケース（P5 に記載されている

別判断ケース」）についても適用可能です。ただし、ご指摘の包括同意によック（ ver 0.9_①のサービス）についてを主眼に書かれており、本人が個別に判断 るケースのみを対象としている部分も一部あり、その点については個別判案）をするケース（P5 に記載されている②-1 のサービス）に適用する

断ケースには適用されませんので、申請前にご相談いただければと思いまのは難しいのではないか。

す。なお、個別判断ケースに関する基準を別途策定するか否か、お問合せ状

個別に判断をするケースについては、別途基準を設ける等の整備を

況等を踏まえながら今後検討していきたいと思います。

無お願いしたい。
3「情報銀行」認12【4.2.3 事前申請書類の提出】②サービス

記載範囲、粒度をどこまでとするかという観点で、サービス事業以 情報提供元からどのようなデータの提供を受け、情報提供先にどのような定申請ガイドブ

事業内容／③サービス事業内容の範囲が外にも情報銀行のシステム構成や機能に触れる必要があるか等、章 データを提供し、利用者に対して、どのようなサービスを提供する事業がわック（ ver 0.9_

特定できる図表等

構成の例示が可能であれば、追記いただきたい。

無

かる資料をいただきたいと思います。

また、申請前後の IT、システム投資並びに費用に関係するため、事案）

前申請、本申請、認定決定の各フローの段階で、どこまで情報銀行の IT、システム面が準備されている必要があるか、前提条件が分かると望ましい。
4「情報銀行」認12

定申請ガイドブ【4.2.3 事前申請書類の提出】⑥データセ

脆弱性診断の実施範囲がアプリケーション、ハード、NW、クラウ

ンターの脆弱性診断の実施記録

ドサービス等の情報銀行のシステム構成、機能が全体となるか、例 キュリティ格付による評価や、データセンター事業者が発行しているセキック（ ver 0.9_

示が可能であれば、追記いただきたい。

外部のデータセンターを利用の場合、安全対策のレベルを評価する情報セ無ュリティに関するホワイトペーパーなどになります。また、自社のデータセ

案）

ンターの場合、経済産業省「クラウドサービス利用のための情報セキュリティマネジメントガイドライン」などのガイドラインに沿った内部監査の実
施記録になります。

5「情報銀行」認15【4.3.4 キックオフミーティング】①申請

デモンストレーションや機能の確認とあるが、実際の情報銀行とし実システムでデモンストレーションが行っていただくことが望ましいです

定申請ガイドブ

サービス事業の概要説明【申請事業者】／ての IT、システムを用いたものかどうか、前提条件が分かると望まが、できない場合には、本人への明示事項、同意、個人データの取得等の順

ック（ ver 0.9_

③申請サービス事業の確認【事務局】

しい。

序が確認できる画面キャプチャや画面フローなどでご説明していただいて案）
6「情報銀行」認定申請ガイドブック（ ver 0.9_

無も構いません。
20"5.1 事業者の適格性

5.1 事業者の適格性「情報銀行」がこれからの新しいエコシステムであることから、「情報信託 無5.3.2 具体的基準"

業務能力など機能の認定に係る指針 ver1.0」を踏まえ、認定団体として、認定の意義であ「情報提供先にも、「情報銀行」と同様、認定基準に準じた扱い（セ る消費者個人の安心・安全を確保するために規定したものになります。
「情1

資料「情報銀行」認定申請ガイドブック（ver0.9 案）、各モデル約款（ver0.9 案）に対するパブリックコメント に対して提出された意見要旨と、意見に対する日本 IT 団体連盟 情報銀行推進委員会の考え方の要旨（意見募集期間：2018 年 11 月 22 日から 2018 年 12 月 5 日）案）

キュリティ基準、ガバナンス体制、事業内容等）を求めること」

報銀行」がセキュリティ的に強固であっても、情報提供先がセキュリティ・

およびホールになってはいけません。従って、「情報銀行」においては、情報提供

5.3.2 具体的基準

先についても十分な個人データの保護水準を満たしている者を選定する必利用 ，保持及び開示の制限

要があります。そのため、情報提供先の選定基準は、少なくとも情報提供先「情報提供先における個人データの取扱に関しては，自社と同様の の当該業務に関し、「情報銀行」と同等の個人情報保護の水準にあることを個人情報保護の水準にあることを客観的に確認できること」

客観的に確認できる手順を確立する必要があります。そのような手順とし

について

ては、
「個人情報の保護に関する法律についてのガイドライン（通則編）」内→ 情報銀行と同等のセキュリティ基準やガバナンス体制、個人情の「適切な委託先選定」に準じ、「8.（別添）講ずべき安全管理措置の内容」

報保護の水準を情報提供先に求めることは、情報提供先の選択肢がに定める各項目が、特定提供先の業務内容に沿って、確実に実施されている

著しく少なくなり、データの利活用が進まないのではないか。

ことについて、あらかじめ確認できることが必要です。確認項目の例をあげ

包括同意によって情報銀行が個別に個人の同意を得ること無く、情 ると「個人データを取り扱う機器、個人データが記録された電子媒体又は個報提供先に情報を提供する場合にはこの基準を適用することも考

人データが記載された書類等を、施錠できるキャビネット・書庫等に保管すえられるが、

る」や「個人データを取り扱う機器等にセキュリティ対策ソフトウェア等を情報銀行が情報提供先をある程度選別し、個人が個別に情報提供に導入し、自動更新機能等の活用により、これを最新状態とする」などがありついて承諾を行うケースにおいては、情報銀行と同等のセキュリテます。

ィ基準やガバナンス体制を求めなくてもよいのではないか。

なお、ご指摘の「情報銀行が情報提供先をある程度選別し、個人が個別に情

また、提供される情報の種類によって、この基準は柔軟に変更でき 報提供について承諾を行うケース」については、「情報信託機能の認定スキ
るようにすべきではないか。

ームの在り方に関する検討会」等政府における検討状況や実際の認定状況など「情報銀行」の普及状況等も踏まえながら、総務省及び経済産業省等の関係機関とも相談しつつ、引き続き検討していきたいと思います。

7「情報銀行」認20

5 認定基準・レベル分けは想定しない「情報信託機能の認定スキームの在り方に関する検討会」等政府における定申請ガイドブ

・データの信頼性などビジネス条のサービス品質を担保するもので検討状況や実際の認定状況など「情報銀行」の普及状況等も踏まえながら、ック（ ver 0.9_はない

総務省及び経済産業省等の関係機関とも相談しつつ、引き続き検討してい案）

・データフォーマット等はできるだけ限定しない

きたいと思います。

無とありますが、「消費者が安心してサービスを利用するため」という観点からは、
上記の 3 点については、認定機関によるレベル分け・データの品質保証のための規定、特にデータポータビリティ等を実装する場合におけるデータフォーマットの規定などは必要ではないでしょうか。
8「情報銀行」事業に関する事項に対して「JIS Q 27001：2014 情報

ご理解の通りです。

定申請ガイドブ技術－セキュリティ技術－情報セキュリティマネジメントシステ

ス テ ー タ ス に よ ら ず 提 出 書 類 は 変 わ り ま せ ん 。 JISQ15001:2017 、ック（ ver 0.9_

ム－要求事項」（以下「27001」という。）及び「JIS Q 27002：2014

JISQ27001:2014、JISX9250 及びガイドブック記載の基準について確認で案）

情報技術－セキュリティ技術－情報セキュリティ管理策の実践のきる文書により、審査を行います。またプライバシーマークまたは ISMS 認ための規範」（以下「27002」という。）の要求事項を満たすものとし証を取得していない場合（取得予定を含む）現地確認をさせていただく場合ている。

があります。

「情報銀行」認24

5.2.2 具体的基準とありますが、要求事項を満たすことを示す書類（もしくは監査結果）があれば、両認証を必ずしも取得している必要がない、という2

無資料「情報銀行」認定申請ガイドブック（ver0.9 案）、各モデル約款（ver0.9 案）に対するパブリックコメント に対して提出された意見要旨と、意見に対する日本 IT 団体連盟 情報銀行推進委員会の考え方の要旨（意見募集期間：2018 年 11 月 22 日から 2018 年 12 月 5 日）
理解で合っていますでしょうか？ また、それぞれ取得予定・・というようなステータスの場合の必要書類はどのようになりますか？
9「情報銀行」認24

5.2.2 具体的基準「「情報銀行」事業に関する事項に対して「JIS Q 27001：2014 情

ご理解の通りです。ご指摘を踏まえ、以下のように修正します。

定申請ガイドブ

報技術－セキュリティ技術－情報セキュリティマネジメントシスック（ ver 0.9_

テム－要求事項」（以下「27001」という。
）及び「JIS Q 27002：2014「情報銀行」事業に関する事項に対して「JIS Q 27001：2014 情報技術－案）

情報技術－セキュリティ技術－情報セキュリティ管理策の実践の

セキュリティ技術－情報セキュリティマネジメントシステム－要求事項」

ための規範」（以下「27002」という。）の要求事項を満たすものとし（以下「27001」という。
）の要求事項を満たすものとしている。なお、
「JIS

ている」

Q 27002：2014 情報技術－セキュリティ技術－情報セキュリティ管理策のについて

実践のための規範」（以下「27002」という。
）については、「情報銀行」事業→ ISMS の認証は 27001 に適合しているかどうかで審査されておにおける安全管理措置として情報セキュリティ管理策を決定する際に適宜有り、管理策の内容は運用者に任されている。情報銀行で取り扱う情 選択して利用することができる。」
報の種類によって求められる管理策は異なると考えられるため、27001 に適合していればよいのではないか。
10「情報銀行」認24

小規模データ提供先への配慮「情報銀行」が、ＪＩＳのセキュリティ要件やプライバシーフレー「情報銀行」がこれからの新しいエコシステムであることから、「情報信定申請ガイドブ

ムワークを遵守している点は評価できますが、一方で、現状の基準 託機能の認定に係る指針 ver1.0」を踏まえ、認定団体として、認定の意義

ック（ ver 0.9_

ではＰマークやＩＳＭＳ認証の取れない小規模事業者はデータ提である消費者個人の安心・安全を確保するために規定したものになりま案）

供先事業者として「情報銀行」を利用できなくなります。

す。「情報銀行」がセキュリティ的に強固であっても、情報提供先がセキ

これは例えばデータ提供先に小規模な事業者が多く想定される地

ュリティ・ホールになってはいけません。従って、「情報銀行」において

域型情報銀行や観光型情報銀行では普及の大きな障害になると考は、情報提供先についても十分な個人データの保護水準を満たしている者えます。

を選定する必要があります。そのため、情報提供先の選定基準は、少なく

このため、データ提供先として十分なセキュリティ要件を持つ大規とも情報提供先の当該業務に関し、「情報銀行」と同等の個人情報保護の模事業者に加え、中小の小規模事業者も活用できるような認定指針水準にあることを客観的に確認できる手順を確立する必要があります。そを検討してはどうでしょうか？

のような手順としては、「個人情報の保護に関する法律についてのガイド

例えば、包括同意で大規模な個人データを提供する場合に提供先でライン（通則編）」内の「適切な委託先選定」に準じ、「8.（別添）講ずべ「情報銀行」に準じるセキュリティ要件やプレイバシー原則の遵守

き安全管理措置の内容」に定める各項目が、特定提供先の業務内容に沿っは必須と考えますが、て、確実に実施されていることについて、あらかじめ確認できることが必・「個別同意」で、要です。確認項目の例をあげると「個人データを取り扱う機器、個人デー・「同意した（利用目的に合致した最低限の）個人のデータみをタが記録された電子媒体又は個人データが記載された書類等を、施錠でき提供する場合」

るキャビネット・書庫等に保管する」や「個人データを取り扱う機器等には、「情報銀行」の運営事業者が問題ないと判断した事業者には提供

セキュリティ対策ソフトウェア等を導入し、自動更新機能等の活用によ可能とする、などがが考えられます。

り、これを最新状態とする」などがあります。
なお、ご指摘の「情報銀行が情報提供先をある程度選別し、個人が個別に情報提供について承諾を行うケース」については、「情報信託機能の認定
スキームの在り方に関する検討会」等政府における検討状況や実際の認定状況など「情報銀行」の普及状況等も踏まえながら、総務省及び経済産業省等の関係機関とも相談しつつ、引き続き検討していきたいと思います。
3

無資料「情報銀行」認定申請ガイドブック（ver0.9 案）、各モデル約款（ver0.9 案）に対するパブリックコメント に対して提出された意見要旨と、意見に対する日本 IT 団体連盟 情報銀行推進委員会の考え方の要旨（意見募集期間：2018 年 11 月 22 日から 2018 年 12 月 5 日）
11

「情報銀行」認25

5.2.2 具体的基準（資産の管理）

他事業と明確に区分され管理されていること、という定義は情報資定申請ガイドブ

産のどのレイヤーまで要求されるか、例示が可能であれば、追記い 終了後に、当該データを削除する場合、他のデータと同じデータベース中ック（ ver 0.9_

ただきたい。

13「情報銀行」認無から、当該データを抽出して、消去できるようにラベリングするなど区分案）
12

物理的にデータを分離することを要求するものではありません。利用目的

けして管理することを要求しています。
25

5.2.2 具体的基準（資産の管理）

固有のデータセンター以外の環境に取り扱う情報を格納する場合、 外部クラウドサービスも審査の対象になるため、JIS Q 27017 レベルの保定申請ガイドブ

同環境にも JIS Q 27017 レベルの保護施策担保が必要でしょうか？

ック（ ver 0.9_

（例：自社のデータセンター環境に外部クラウドサービスを API 接案）

続してデータ連携する場合の「外部クラウドサービス」）

護施策担保が必要になります。

「情報銀行」認

26、

5.2.2 具体的基準（技術的セキュリティ／暗号化、不正検知、運用上のアップデート、ネットワーク分類など

指標は世の中のリスクに応じて変化しますので、指標は規定しておりませ

定申請ガイドブ

27

運用の情報セキュリティ／通信の情報セシステムアーキテクチャに関する記載があるが、認定基準及びそのん。

キュリティ）

適合性の確認において技術的な水準等の指標が分かると望ましい。

5.2.2 具体的基準（情報セキュリティイン

外部アタックテストなどのセキュリティチェックを定期的にとあJIS Q 15001 A3.7.2 内部監査「組織は、個人情報マネジメントシステム

シデント管理）るが、商用サービス開始後には容易に実施することは困難になるとのこの規格への適合状況及び個人情報保護マネジメントシステムの運用状

ック（ ver 0.9_

無

無

案）
14

「情報銀行」認28

定申請ガイドブック（ ver 0.9_推察されるため、システム構成に大きな変更が発生した際等、実施 況を少なくとも年一回、適宜に監査しなければならない」に準じ、「定期案）

タイミングを限定的とすることは考えられるか。

無的」とは最低年一回とし、その他新たなリスクが発生した際に行っていただくことが必要と考えています。

15「情報銀行」認28

定申請ガイドブ

16

5.2.2 具体的基準（情報セキュリティイ

「外部アタックテストなど」の「外部」は「自社以外の外部業者」 後者になります。

ンシデント管理）を意味しますか？あるいは、自社環境の FW の外部からアタックテック（ ver 0.9_

ストを実施する（テスト実施者は社内・外部業者を問わない）とい案）

う意味でしょうか？
5.3.2 具体的基準「情報銀行」としての利用目的が定まっていれば、その目的を達成するた

定申請ガイドブ

利用 ，保持及び開示の制限

めに必要な範囲において保持することは可能と考えられます。

ック（ ver 0.9_

「個人データの利用，保持及び開示（提供を含む。
）は，具体的，明ただし、情報提供先での利用目的が定まっていない場合には、「情報銀案）

示的かつ正当な利用目的を達成するために必要な範囲に限定する

行」は当該提供先に提供することはできないと考えられます。

こと」

なお、ご指摘のケースは考えられます。

「情報銀行」認33

5.3.2 具体的基準について→ 情報銀行では情報提供先での最終的な具体的な利用目的の定まっていないデータを保持することが考えられるが、そのようなデー
タ保持は認められないということか。
包括同意によって情報銀行が個別に個人の同意を得ること無く、情報提供先に情報を提供する場合には、この基準を適用することも考えられるが、情報銀行が情報提供先をある程度選別し、個人が個別に情報提供について承諾を行うケースにおいては、情報銀行の保持する個人デー
タに対し、情報銀行を通じて情報提供先が個別の利用目的に対する同意を個人に対して取得するケースは考えられないのか。
4

無無資料「情報銀行」認定申請ガイドブック（ver0.9 案）、各モデル約款（ver0.9 案）に対するパブリックコメント に対して提出された意見要旨と、意見に対する日本 IT 団体連盟 情報銀行推進委員会の考え方の要旨（意見募集期間：2018 年 11 月 22 日から 2018 年 12 月 5 日）
17

「情報銀行」認38

5.4 ガバナンス体制 ③諮問体制

構成員について他の情報銀行のデータ倫理審査会との兼務の可否「データ倫理審査会（仮）」の構成員については、他の「情報銀行」にお定申請ガイドブ等、選定する際の留意事項や前提条件などあれば、追記いただきた ける同様の審査会の構成員と兼務していることも考えられます。

ック（ ver 0.9_

い。

無

案）
18

「情報銀行」認38

5.4 ガバナンス体制 ③諮問体制

定申請ガイドブ（監査役が所定の力量を満たす前提で）監査役会が「データ倫理審 認定基準上の要件を満たしているのであれば問題ありません。

無査会」を兼ねることは問題ないでしょうか？

ック（ ver 0.9_案）
19

５認定基準と提出書類

情報銀行Ａが情報銀行Ｂに個人情報を第三者提供することがあり

情報銀行 B が本人から同意を得るために、情報銀行 A から提供を受けた

定申請ガイドブ

5.5 事業内容

得る。情報銀行Ｂは当該個人情報の本人から別途同意を得ること

個人情報を用いることは、「個人情報の保護に関する法律についてのガイック（ ver 0.9_

個人情報の第三者提供を行う場合、当該で、当該個人情報をさらに別の第三者に提供することが可能と理解

ドライン（通則編）」の「3-1-3 利用目的による制限」に記載の通り問題あ案）

提供先からの個人情報の再提供の禁止

しているが、この認識でよろしいか。

りません。そのうえで、情報提供先である情報銀行 B において、本人から「情報銀行」認41

無第三者提供の事前同意を得ることなど個人情報保護法第 23 条に基づく場
合は、情報銀行 B からの再提供は可能と理解しています。ただし、そのような場合については、情報銀行Ａの情報提供先である情報銀行Ｂからの再提供が認定基準において禁止されていることから、情報銀行 B からの当該第三者提供は情報銀行 A の認定の範囲外になります。
20

5.5 事業内容 （個人のコントローラビリ「情報銀行」に委任した個人情報の第三者提供・利用の停止

認定基準は最低限の基準を要求するものであり、その趣旨に反しない範囲

ティを確保するための機能について）（同意の撤回）であれば、「情報銀行」において更なる措置をとることを妨げるものではック（ ver 0.9_

「・指示を受けた以降、既に提供先に提供されたデータの利用が当ありません。

案）

該データの提供を受けた提供先で制限されるか否か、制限される場「情報銀行」認

42

定申請ガイドブ

無合にはどの範囲で制限されるかを、あらかじめ本人に明示すること」とありますが、情報の提供時にも、利用停止後の制限が明示された上で、それらの提供の可否について判断することが可能となるべきではないでしょうか。
21「情報銀行」認

42

定申請ガイドブ

5.5 事業内容 （個人のコントローラビリ「情報銀行」に委任した個人情報の開示等

ご指摘のとおり、「『情報銀行』として取り扱う範囲のデータについては、ティを確保するための機能について）「他の事業者へのデータの移行等いわゆるデータポータビリティ

本人確認によりログインしたサイト上で、一括して閲覧・ダウンロードでック（ ver 0.9_

機能を提供する場合には、その旨を明示すること」とありますが、 きる仕組み」についても「他の事業者へのデータの移行」と同様に「いわ案）

この表現では、GDPR20 条における「データポータビリティの権利」 ゆるデータポータビリティ機能」に含まれると考えています。

無が、”他の事業者へのデータ移行”を、主に指していると誤解を招く可能性があるのではないでしょうか？
前段の「「情報銀行」として取り扱う範囲のデータについては、本人確認によりログインしたサイト上で、一括して閲覧・ダウンロード
できる仕組み」についても、「データポータビリティ」に含まれるのではないでしょうか。
22「情報銀行」認42

5.5 事業内容 （個人のコントローラビリ

開示請求の仕組みで、現行は「本人確認によりログインしたサイト ご指摘の点については、「情報信託機能の認定スキームの在り方に関する5

無資料「情報銀行」認定申請ガイドブック（ver0.9 案）、各モデル約款（ver0.9 案）に対するパブリックコメント に対して提出された意見要旨と、意見に対する日本 IT 団体連盟 情報銀行推進委員会の考え方の要旨（意見募集期間：2018 年 11 月 22 日から 2018 年 12 月 5 日）
定申請ガイドブ

ティを確保するための機能について④で、一括して閲覧・ダウンロードする仕組み」を例をとして記述し検討会」等政府における検討状況や実際の認定状況など「情報銀行」の普ック（ ver 0.9_

「情報銀行」に委任した個人情報の開示ているが、個人の情報銀行間の乗り換えを容易にするために、認定 及状況等も踏まえながら、総務省及び経済産業省等の関係機関とも相談し案）

等）開示請求権への対応

基準に「本人確認のうえ、機械可読な形式で閲覧・ダウンロードす

つつ、引き続き検討していきたいと思います。

る仕組みを提供する」と明記してはどうか？
23「情報銀行」認

個別同意型「情報銀行」向け認定基準やモ認定指針で、事業者が支援する個別同意型も認定対象となったはず

ガイドブックについては、基本的に、本人が個別に判断するケース（以下デル約款の整備ですが、認定ガイドブックでの本項目に対する記述はＰ４２の認定「個別判断ケース」）についても適用可能です。ただし、ご指摘の包括同ック（ ver 0.9_

基準の①項に二行の記述があるだけです。

意によるケースのみを対象としている部分も一部あり、その点については案）

提案されている各社の情報銀行構想の多数が個別同意型であるこ

個別判断ケースには適用されませんので、申請前にご相談いただければととを踏まえ、個別同意型の「情報銀行」を想定した認定基準やモデ思います。なお、個別判断ケースに関する認定基準等を個別に策定するか

ル約款の整備をお願いしたい。

否か、お問合せ状況等を踏まえながら今後検討していきたいと思います。

「情報銀行」認

情報銀行の範囲に関して、情報銀行の事業の趣旨ではなくい営まれ認定の対象となる「情報銀行」の範囲については、本申請ガイドブックの定申請ガイドブている既存事業については、本申請の対象外であることをご確認頂

Ｐ４～６になります。本認定は任意のものであるため、当該範囲のうち、ック（ ver 0.9_

きたい。例えば、アンケート調査事業は個人が答える情報を第三者認定を希望するものとして申請があったものについて、認定基準に照らし案）に提供するものであるが、情報銀行事業として申請不要であること

審査・認定をすることになります。

を確認頂きたい。また、人工知能の機械学習におけるデータ収集事

また、「提出書類（例）」については、「認定基準」への適合性を確認する

定申請ガイドブ

24

48

無

無

業に関しても、個人が回答する情報を収集し、業務として第三者に ために必要な書類として主なものを記載しているものであり、これら以外
提供することがあるが、情報銀行の業務には該当しないことをご確にその適合性を証明できる書類であれば審査対象とさせていただく趣旨に認頂きたい。

なります。

上記のようにどのような事業者が情報銀行に該当するのかという問いに対する答えとして、例を交えて分かりやすく示したドキュメ
ントを発行頂きたい。
あるいは、上記のような既存事業が該当するというのであれば、審査費用は高すぎるものであり、必要提出書類も多すぎるため、中小企業・零細企業を含めた既存事業を圧迫する結果になる恐れがあることをご確認・再検討頂きたい。
多くの提出書類に「（例）」と書いてあるが、提出必須書類であるかどうかが明確でないように見える。どのような企業も提出が要求されるのか、免除される必要があるのか、不公平感のないようにガイ
ドラインを定義頂きたい。
25【別添１】モデ

包括同意によって情報銀行が個別に個人の同意を得ること無く、情 ご指摘のモデル約款については、基本的に、本人が個別に判断するケース

ル約款：個人と報提供先に情報を提供するケース（ガイドブック P5 に記載されて （以下「個別判断ケース」）についても適用可能です。従って、その趣旨「情報銀行」のいる①のサービス）のみを対象にしているため、間（ver 0.9_案）

本人が個別に判断をするケース（P5 に記載されている②-1 のサー た。

を明確化するため、１項にまとめていたものを２項に分けて記載しましビス）に適用するのは難しいのではないか。
個別に判断をするケースについては、別途モデル約款を設ける等の第●条（本個人情報の利用目的及び第三者提供に関する同意）

整備をお願いしたい。

１．受任者は、第●条【注：上記の「委任及び業務範囲」参照】１項に定める委任に係る業務（以下「本委任業務」という。
）の対象となる本個人
6

有資料「情報銀行」認定申請ガイドブック（ver0.9 案）、各モデル約款（ver0.9 案）に対するパブリックコメント に対して提出された意見要旨と、意見に対する日本 IT 団体連盟 情報銀行推進委員会の考え方の要旨（意見募集期間：2018 年 11 月 22 日から 2018 年 12 月 5 日）
情報、その取得方法、利用目的及び第三者提供に係る条件について、委任者に通知の上、委任者から予め同意を取得するものとする。
２．受任者は、前項の第三者提供に係る条件について委任者から同意を取得する際には、①提供先第三者（個社名）、その利用目的及び第三者提供の対象となる本個人情報の項目または、②それらについての判断基準および判断プロセス、のいずれかについて、委任者に通知の上、委任者から予め同意を取得するものとする。
ただし、ご指摘の包括同意によるケースのみを対象としている部分については個別判断ケースには適用されませんので、申請前にご相談いただければと思います。なお、個別判断ケースに関するモデル約款を個別に策定するか否か、お問合せ状況等を踏まえながら今後検討していきたいと思いま
す。
26

27

【別添１】モデ1

実際の情報銀行ビジネスモデルでは、個人情報に限られないパーソ

申請ガイドブックにおける「認定の対象となる『情報銀行』の範囲」のＰ

ル約款：個人とナルデータの取扱いも想定されるため、個人情報に限定しない記載

６のとおり、「個人情報」ではない「統計データ又は匿名加工情報のみを「情報銀行」のぶりへの変更することでモデル約款の汎用性が高まるかと思いま

扱うサービスを提供する場合は認定の対象」ではありません。

間（ver 0.9_案）

す。

【別添１】モデ

1，2

第●条（目的）中の「個人情報」について【本個人情報の利用目的及び第三者提供

サービス事業の開始前からデータ倫理審査会の承認が必要という「情報銀行」の認定については、プライバシーマークやシェアリングエコ

ル約款：個人とに関する同意・第三者提供における受任ようにも読み取れるが、情報銀行の設立時のデータ倫理審査会の承ノミー認証と同様、基本的には、既に提供されているサービス事業又は既「情報銀行」の者の義務】

認行為の前後関係やフロー等、前提条件が分かると望ましい。

に設立されている法人が対象となります。他方で、その提供時又は設立時間（ver 0.9_案）

無無と併せて認定を行う場合も考えられるところ、その場合にはサービス事業の提供前又は法人の設立前の時点において申請することになりますので、申請前にご相談いただければと思います。

28

第三者提供に関する受任者の義務

情報銀行Ａが情報銀行Ｂに個人情報を第三者提供することがあり

情報銀行 B が本人から同意を得るために、情報銀行 A から提供を受けた

ル約款：個人と提供先第三者から他の第三者に提供する得る。情報銀行Ｂは当該個人情報の本人から別途同意を得ること

個人情報を用いることは、「個人情報の保護に関する法律についてのガイ「情報銀行」のことを禁止すること。ただし、次に掲げるで、当該個人情報をさらに別の第三者に提供することが可能と理解

ドライン（通則編）」の「3-1-3 利用目的による制限」に記載の通り問題あ間（ver 0.9_案）

場合には、他の第三者に対する提供に該しているが、この認識でよろしいか。

りません。そのうえで、情報提供先である情報銀行 B において、本人から【別添１】モデ2

当しないものとすること

第三者提供の事前同意を得ることなど個人情報保護法第 23 条に基づく場(ア) 提供先第三者が利用目的の達成に必合は、情報銀行 B からの再提供は可能と理解しています。ただし、そのよ要な範囲において本個人情報の取扱いのうな場合については、情報銀行Ａの情報提供先である情報銀行Ｂからの再全部又は一部を委託することに伴って当提供が認定基準において禁止されていることから、情報銀行 B からの当該該本個人情報が提供される場合

第三者提供は情報銀行 A の認定の範囲外になります。

無(イ) 合併その他の事由による事業の承継に伴って本個人情報が提供される場合
29【別添１】モデ
ル約款：個人と「情報銀行」の2

第●条（第三者提供における受任者の義1（1）②では開示、1（1）③では公表が義務付けられている。各条

モデル約款は認定にあたって必要最低限の事項を規定するものであり、そ務）について項の目的に沿って開示対象者を明確化することが望ましい。

の趣旨に反しない範囲であれば、「情報銀行」において更なる事項を規定＜理由＞適切な第三者に情報開示していくことが、個人データの利 することを妨げるものではありません。
7

無資料「情報銀行」認定申請ガイドブック（ver0.9 案）、各モデル約款（ver0.9 案）に対するパブリックコメント に対して提出された意見要旨と、意見に対する日本 IT 団体連盟 情報銀行推進委員会の考え方の要旨（意見募集期間：2018 年 11 月 22 日から 2018 年 12 月 5 日）間（ver 0.9_案）
30【別添１】モデ活用に必要な安心・安全に繋がるため
2

第●条（第三者提供における受任者の義（２） 受任者は、提供先第三者との間で、次に掲げる事項を含む本モデル約款は認定にあたって必要最低限の事項を規定するものであり、そ務）

個人情報提供契約（以下「提供先本個人情報提供契約」という。
）をの趣旨に反しない範囲であれば、「情報銀行」において更なる事項を規定「情報銀行」の締結するものとする。

することを妨げるものではありません。

間（ver 0.9_案）⑥本個人情報について、受任者又は提供先第三者が利用停止等を行

ル約款：個人と無った場合には、利用停止等された本個人情報の項目をそれぞれの相手方に通知すること及び委任者が受任者に対し本個人情報の委任を撤回し、提供先第三者が受任者からその旨の通知をから受けた場
合には、提供先第三者はすみやかに委任者にかかる本個人情報の利用を停止することとありますが、利用停止が適切に行われたことを、委任者が確認する方法については定める必要はないのでしょうか？３項に関しても同様です。
31【別添１】モデ3

第●条（受任者のその他の義務）「分別して管理」は、データベースを別にせよということであれば、 物理的にデータを分離することを要求するものではありません。利用目的

ル約款：個人と７．受任者は、受任者が保有する委任者の現実的ではないと感じます。

「情報銀行」の

個人情報のうち、本約款に基づき受任者から、当該データを抽出して、消去できるようにラベリングするなど区分

間（ver 0.9_案）

が取得した本個人情報とそれ以外の情報

けして管理することを要求しています。

無

終了後に、当該データを削除する場合、他のデータと同じデータベース中を分別して管理しなければならない。
32【別添１】モデ3

第●条（第三者から受任者に対する個人「情報銀行と提供元事業者がどのような形式でデータをやりとり

ご指摘のデータの「形式」等については、消費者個人が安心・安全にサー

ル約款：個人と情報の移行）

するか」等は、情報預託者にとっては関係ないことではないでしょ

ビスを利用するために必要な事項として、「情報信託機能の認定に係る指「情報銀行」の

２．受任者が、前項に定める本個人情報のうか。

針 ver1.0」に規定されているものです。

間（ver 0.9_案）

移行を受ける場合には、受任者は、提供元

当該条項の全てが情報予約者と無関係ということではないですが、 なお、消費者個人とのモデル約款において「形式」という表現は分かり難事業者との間で、次の事項を含む本個人

表現方法も含め全体的に見直したほうが良いと感じます。

情報の移行に関する契約（以下「提供元本
個人情報提供契約」という。
）を締結するものとする。
（１）提供元事業者から受任者に対し移行される本個人情報（以下「移行対象本個
人情報」という。
）の形式及び提供の方法【注：セキュリティ要件を含むがこれに限られない。
】（２）受任者における移行対象本個人情報の利用範囲及び取扱条件の制限に関する事項（３）受任者において、移行対象本個人情報の漏えい等が発生した場合には、すみ
8いので、ご指摘を踏まえ、形式及び提供方法 に関する記述は改めます。

有資料「情報銀行」認定申請ガイドブック（ver0.9 案）、各モデル約款（ver0.9 案）に対するパブリックコメント に対して提出された意見要旨と、意見に対する日本 IT 団体連盟 情報銀行推進委員会の考え方の要旨（意見募集期間：2018 年 11 月 22 日から 2018 年 12 月 5 日）
やかにその詳細について提供元事業者に報告すること33【別添１】モデ3

第●条（受任者のその他の義務）について

7 において、受任者は本約款に基づき取得した個人情報とそれ以外

ル約款：個人との情報を分別して管理することが義務付けられている。チャイニー ません。利用目的終了後に、当該データを削除する場合、他のデータと同「情報銀行」のズウォール等分別管理のレベル感を明記すべきと考える間（ver 0.9_案）
34

ご指摘の部分は、物理的にデータを分離することを要求するものではあり【別添１】モデ無

じデータベース中から、当該データを抽出して、消去できるようにラベリングするなど区分けして管理することを要求しています。

3

ル約款：個人と第●条（第三者から受任者に対する個人「受任者が、前項に定める本個人情報の移行を受ける場合には、受 ご指摘の契約については、「情報銀行」と情報提供元との間における相互情報の移行）

任者は、提供元事業者と の間で、次の事項を含む本個人情報の移行

無の権利義務を明確化し、消費者個人が安心・安全にサービスを利用するた「情報銀行」のに関する契約（以下「提供元本個人情報提供契約」という。
）を締結 めに必要なものとして、「情報信託機能の認定に係る指針 ver1.0」におい間（ver 0.9_案）

するものとする。」て、「モデル約款の記載事項」として規定されているものです。他方、個について別の事案ごとに不要となることも考えられますので、申請前にご相談いた→個人（委任者）の指示に従って移行を行うのであれば、提供元とだければと思います。

情報銀行との契約は必要無いのではないか。これを条件にすることは、結局、データを持っている企業の思う通りにしかならず、個人の意志でのデータ流通・データ利用ができない。
35【別添１】モデ4

第●条（損害賠償）モデル約款に対し受任者側に契約修正（範囲の限定、賠償額の予定、 モデル約款は認定にあたって必要最低限の事項を規定するものであり、そル約款：個人と請求期間の限定など）を追加することは許容されている、と判断し の趣旨に反しない範囲であれば、「情報銀行」において更なる事項を規定「情報銀行」のてよろしいでしょうか？

することを妨げるものではありません。

「受任者は、委任者において簡易迅速で負担なく本個人情報の開示

ご指摘の部分は「開示等の請求等」について、それ「を行うことを可能と無間（ver 0.9_案）
36【別添１】モデ

4

第●条（受任者が提供する機能）

ル約款：個人と等の請求等を行うことを可 能とする機能を提供するものとする。
」 する機能」自体に「負担（金銭含む）なく」提供することを規定したもの「情報銀行」のについてになります。なお、「開示等の請求等」については個人情報保護法第３３間（ver 0.9_案）→「負担なく」というのは金銭的な負担も含まれるのか。個人情報条第１項に規定するとおりであり、費用を請求することは認められており保護法では開示請求に対して費用を請求することは認められています。

無るが、情報銀行では費用の請求は認められないという理解でよいか。
37【別添１】モデ5

第●条（本委任業務にかかる契約の終了） 設定した期間が適当であるかは認定側で判断することで、約款上で モデル約款は、認定にあたり最低限必要な事項を定めるものであり、そのル約款：個人と１．受任者が、本委任業務を含む個人情報「情報銀行」の信託サービスとしての事業を終了する場

間（ver 0.9_案）

合、受任者は、委任者に対し、相当な期間

は具体的な期間を定めるべきではないでしょうか。

趣旨に反しない範囲であれば、具体的な期間など「情報銀行」において更なる事項を規定することを妨げるものではありません。

を定めて当該終了を通知するものとする。当該終了後、受任者は直ちに本個人情報の利用・活用を停止する。ただし、契約の終了により、委任者が損害を被る場合には、受任者は当該損害を賠償する責任
を負う。

9

無

資料「情報銀行」認定申請ガイドブック（ver0.9 案）、各モデル約款（ver0.9 案）に対するパブリックコメント に対して提出された意見要旨と、意見に対する日本 IT 団体連盟 情報銀行推進委員会の考え方の要旨（意見募集期間：2018 年 11 月 22 日から 2018 年 12 月 5 日）
38

【別添１】モデ5

第●条（本委任業務にかかる契約の終了） 情報預託者に義務違反があった場合においても、情報銀行が損害賠ご指摘を踏まえ、下記のように修正します。

ル約款：個人と４．委任者に第●条【注：上記の「委任者「情報銀行」のの義務」参照】その他の本委任業務にかか

３．受任者は、委任者に対して相当な期間を定めて通知をすることによ間（ver 0.9_案）

る契約上の義務の違反があった場合にり、いつでも本委任業務にかかる契約を解除し終了させることができる。

有

償の責を負うのは不適当ではないでしょうか。

は、前項に関わらず、受任者は直ちに本委任業務にかかる契約を解除することがで

４．委任者に第●条【注：上記の「委任者義務」参照】その他の本委任契きる。前項但し書きはこの場合にも準用

約上の義務の違反があった場合には、受任者は、相当な期間を定めた催告する。

のうえ、義務違反が解消されない場合には、本委任業務にかかる契約を解除することができる。ただし、義務違反が性質上解消不可能なものである
場合または委任者・受任者間の信頼関係を失わせるものである場合には、受任者は、直ちに本委任業務にかかる契約を解除することができる。

39【別添１】モデ5

第●条（本委任業務にかかる契約の終了） 契約の終了により委任者が損害を被る場合、とあるが損害内容のバ約款という性質上、約款内に例示を記載することは控えさせていただきまル約款：個人とリエーションが多岐に渡ることも推察されるため、例示が可能であ す。

「情報銀行」のれば、追記いただきたい。

無間（ver 0.9_案）
40【別添１】モデ

5

ル約款：個人と第●条（損害賠償）中の「本個人情報の漏 「本個人情報の漏えい、滅失、毀損」と記載することで、責任の範 ご指摘を踏まえ、個人情報保護に関する法律についてのガイドライン（通えい等」について囲が明確になると思われます。

第●条（免責事項）「１ 受任者は、提供先第三者から委任者に提供される対価（金銭 対価の交付等については、提供先第三者と委任者との間の契約によりま有則編）79 頁の定義のとおり、修正します。

「情報銀行」の間（ver 0.9_案）
41【別添１】モデ

5

ル約款：個人とに限らない）の交付又はサービス（以下「対価の交付等」という。） す。なお、「情報銀行」と情報提供先との間のモデル約款においては次の「情報銀行」のの保証は行わない。
」

事項が規定されており、「情報銀行」において一定の利用者の保護を図る

間（ver 0.9_案）とありますが、こととされています。

無

その場合、委任者は自ら提供第三者に対価の請求をする、また、対 「特定提供先が対価の交付等の義務を怠るときは、当社は、特定提供先に

4243【別添１】モデ5

価が支払われていないことに対する立証責任を委任者が負うとい代わって本サービスの利用者に対して、対価の交付等を行うことができうことになるのでしょうか？その場合、本サービスにおける利用者る。この場合、特定提供先は当該対価の交付等に要した費用の総額についの保護が不十分のように思われます。

て、当社からの求償に応じるものとする。」

第●条（本委任業務にかかる契約の終了） 本条文における「本個人情報の利用・活用を停止」および「本個人モデル約款は、認定にあたり最低限必要な事項を定めるものであり、そのル約款：個人と情報を削除」に関して趣旨に反しない範囲であれば、「情報銀行」において更なる事項を規定す「情報銀行」の利用停止・削除が適切に行われたことを、委任者が確認する方法に ることを妨げるものではありません。

間（ver 0.9_案）

ついては定める必要はないのでしょうか？

【別添１】モデ5

第●条（本委任業務にかかる契約の終了） 「受任者が認定団体から認定を取消された場合は、上記１と同様と 認定を取り消された場合については、認定を受けた「情報銀行」サービス

ル約款：個人とする。
」についてが終了することになると考えられるため、そのような場合には「上記１」「情報銀行」の→情報銀行業務を行う場合に、認定取得が義務になる場合は理解でと同様とするという事項になります。なお、認定の取消しに関する欠格事間（ver 0.9_案）

きるが、いまはそうではないため、認定を取り消された場合も賠償 項及び事業者に対する措置については、今後、公表する予定です。
責任があるというのは、認定団体が権力を持ち過ぎなのではない
か。
10

無

無

資料「情報銀行」認定申請ガイドブック（ver0.9 案）、各モデル約款（ver0.9 案）に対するパブリックコメント に対して提出された意見要旨と、意見に対する日本 IT 団体連盟 情報銀行推進委員会の考え方の要旨（意見募集期間：2018 年 11 月 22 日から 2018 年 12 月 5 日）
44

【別添１】モデ5

第●条（本委任業務にかかる契約の終了） 「受任者において、本個人情報の利用目的が終了しており、かつ本 「情報銀行」としての利用目的が定まっていれば、その目的を達成するた

ル約款：個人と個人情報を保有する法令上 の必要性がない場合には、受任者は、本めに必要な範囲において保持することは可能と考えられます。

「情報銀行」の個人情報を削除するものとする。」について

ただし、情報提供先での利用目的が定まっていない場合には、「情報銀間（ver 0.9_案）→

行」は当該提供先に提供することはできないと考えられます

無情報銀行では情報提供先での最終的な具体的な利用目的の定まっていないデータを保持することが考えられるが、そのようなデータ保持は認められないということか。
45【別添２】モデ

1

第●条（提供データ、提供の方法）

形式、提供方法に関する粒度がシステムドキュメント寄りの記載と

ル約款：
「情報銀

なっているが、約款に記載すべきボリュームとなるか、例示が可能

行」と情報提供であれば、追記いただきたい。

ご指摘を踏まえ、形式、提供方法に関する記述は次のとおり修正します。

有本サービスに関して特定提供元から取得する個人データ（以下「提供個人

元の間（ver 0.9_

データ」という。）の形式及び提供方法は、以下のとおりとする。

案）（１）形式：【注：データ形式を別途定める】（２）提供方法：【注：提供環境のセキュリティ要件(ネットワーク経由でデータ提供する場合の VPN の設定、提供個人データを受領するパソコン
やサーバの特定や当該パソコン等の管理責任者等の限定等)や、特定提供元
から当社が取得する場合や個人が特定提供元からダウンロードし当社に提供する場合などにおける仕組みや手法などを別途定める】

46【別添２】モデ

1

ル約款：
「情報銀

第●条（提供個人データの取扱いの訂正

提供個人データの取扱いの訂正等とあるが、取扱いという定義が管等）

理方法を指すのか、データ自体の誤りを指すのか、前提条件が分か 基づく訂正等を行った場合には」に修正します。

行」と情報提供

ご指摘を踏まえ、「提供個人データの内容について、利用者からの修正に有ると望ましい。

元の間（ver 0.9_案）
47

【別添２】モデ1「当社は、本サービス実施の目的の範囲でのみ、提供個人データを ご指摘の契約については、「情報銀行」と情報提供元との間における相互

ル約款：
「情報銀

利用するものとする。」の権利義務を明確化し、消費者個人が安心・安全にサービスを利用するた行」と情報提供についてめに必要なものとして、「情報信託機能の認定に係る指針 ver1.0」におい

元の間（ver 0.9_

→本人が個別に判断をするケースについては、都度利用目的を本人て、「モデル約款の記載事項」として規定されているものです。他方、個案）に提示するため、提供元との約款の中には必要ないのではないか。 別の事案ごとに不要となることも考えられますので、申請前にご相談いた

無だければと思います。
48【別添２】モデ

1,2

第●条（提供個人データの取扱いの訂正

各条における

ご指摘を踏まえ、それぞれ「提供個人データについて、利用者からの請求

ル約款：
「情報銀

等）

「利用者から提供個人データの取扱いについて、（基づく）利用停止に基づく利用停止等を行った場合には」、「提供個人データの内容につい行」と情報提供

第●条（提供個人データの取扱いの利用等を行った場合には」「利用者から提供個人データの取扱いについて、利用者からの修正に基づく訂正等を行った場合には」に修正します。

元の間（ver 0.9_

停止等）て、訂正等を行った場合には」案）

有の文言について、「利用者から」がどこにかかっているのかがわかりにくいです。

49【別添２】モデ
ル約款：「情報銀行」と情報提供

2

第●条（提供個人データの取扱いの利用「２． 当社は、利用者から提供個人データの取扱いについて、利用 「情報銀行」から情報提供元に利用者の提供個人データの利用停止等その停止等）

停止等を行った場合には、利用者に対し特定提供元にその旨を連絡旨を伝えたとしても、情報提供元において当該利用者の本人確認ができなするよう依頼するものとする。
」

いため、当該利用者本人から情報提供元にその旨を伝える必要があると考11

無資料「情報銀行」認定申請ガイドブック（ver0.9 案）、各モデル約款（ver0.9 案）に対するパブリックコメント に対して提出された意見要旨と、意見に対する日本 IT 団体連盟 情報銀行推進委員会の考え方の要旨（意見募集期間：2018 年 11 月 22 日から 2018 年 12 月 5 日）

50

元の間（ver 0.9_とありますが、利用者に特定提供元への連絡を課すことの妥当性が

案）

不明です。

【別添２】モデ

2

ル約款：
「情報銀

えています。

第●条（提供個人データの取扱いの利用「３． 当社は、利用者から委任の撤回があった場合には、利用停止 モデル約款は、認定にあたり最低限必要な事項を定めるものであり、その停止等）を行い、かつ、利用停止された提供個人データの項目を特定提供元

無趣旨に反しない範囲であれば、利用停止について利用者が確認する方法な行」と情報提供に通知し、当該通知を受けた特定提供元は、すみやかに利用者にか ど「情報銀行」において更なる事項を規定することを妨げるものではあり

元の間（ver 0.9_

かる当該提供個人データの当社への提供を停止するものとする。た ません。

案）

だし、当社において、当該提供個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であ

また、ご指摘の部分については、個人情報保護法第 30 条第 2 項に基づくって、利用者の権利利益を保護するため必要なこれに代わるべき措ものであり、

置をとるときは、この限りではないが、利用者から委任の撤回があ 多額の費用を要する場合の例として、市販の名簿に掲載している本人の個った旨を特定提供元に通知し、当該通知を受けた特定提供元は、す人データについて、利用停止を求められた際、販売した名簿の回収を求め

みやかに利用者にかかる当該提供個人データの当社への提供を停るものではなく、今後、作成する名簿に掲載しない等の処置で可とするも止するものとする。
」のです。

とありますが、利用停止が適切に行われたことを、利用者が確認する方法については定める必要はないのでしょうか？
また、「当該提供個人データの利用停止等に多額の費用を要する場
合その他の利用停止等を行うことが困難な場合であって、利用者の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りではない」とされていますが、基準があいまいなこと
で、利用者にとって不利益が生じる可能性が残ってしまうのではな
いでしょうか。
51【別添２】モデ2

第●条（提供個人データの取扱いの利用「４． 当社又は特定提供元において、提供個人データの利用目的がモデル約款は、認定にあたり最低限必要な事項を定めるものであり、その停止等）

終了し、当該提供個人データを保有する法令上の必要性がない場合

趣旨に反しない範囲であれば、提供個人データの削除について利用者が確行」と情報提供には、当社は、当該提供個人データを削除するものとする。
」

認する方法など「情報銀行」において更なる事項を規定することを妨げる

元の間（ver 0.9_とありますが、提供個人データの削除が適切に行われたことを、利 ものではありません。

案）

用者が確認する方法については定める必要はないのでしょうか？

ル約款：
「情報銀

52

【別添２】モデ

2

第●条（契約終了後の措置）「当社は、本契約の終了後、速やかに受領済みの提供個人データ（複モデル約款は、認定にあたり最低限必要な事項を定めるものであり、その

ル約款：
「情報銀

製物を含む）を全て廃棄または消去する。」

趣旨に反しない範囲であれば、提供個人データの削除について利用者が確行」と情報提供とありますが、提供個人データの削除が適切に行われたことを、利 認する方法など「情報銀行」において更なる事項を規定することを妨げる

元の間（ver 0.9_

用者が確認する方法については定める必要はないのでしょうか？

無

無ものではありません。

案）
53【別添３】モデ2

包括同意によって情報銀行が個別に個人の同意を得ること無く、情 ご指摘のモデル約款については、基本的に、本人が個別に判断するケース

ル約款：
「情報銀

報提供先に情報を提供するケース（ガイドブック P5 に記載されて （以下「個別判断ケース」）についても適用可能です。

行」と情報提供

いる①のサービス）が主な対象として考えられており、先の間（ver 0.9_

本人が個別に判断をするケース（P5 に記載されている②-1 のサー ては個別判断ケースには適用されませんので、申請前にご相談いただけれ案）

ビス）に適用するのは難しいのではないか。
12

ただし、ご指摘の包括同意によるケースのみを対象としている部分についばと思います。なお、個別判断ケースに関するモデル約款を個別に策定す無資料「情報銀行」認定申請ガイドブック（ver0.9 案）、各モデル約款（ver0.9 案）に対するパブリックコメント に対して提出された意見要旨と、意見に対する日本 IT 団体連盟 情報銀行推進委員会の考え方の要旨（意見募集期間：2018 年 11 月 22 日から 2018 年 12 月 5 日）

54

【別添３】モデ

1

第●条（提供データ、提供の方法）

個別に判断をするケースについては、別途モデル約款を設ける等のるか否か、お問合せ状況等を踏まえながら今後検討していきたいと思いま

整備をお願いしたい。

す。

形式、提供方法に関する粒度がシステムドキュメント寄りの記載とご指摘を踏まえ、形式、提供方法に関する記述は次のとおり修正します。

ル約款：
「情報銀

なっているが、約款に記載すべきボリュームとなるか、例示が可能

行」と情報提供であれば、追記いただきたい。

有本サービスに関して特定提供先に提供される個人データ（以下「提供個人先の間（ver 0.9_

データ」という。）の形式および提供方法は、以下のとおりとする。

案）（１）形式：【注：データ形式を別途定める】（２）提供方法： 【注：提供環境のセキュリティ要件(ネットワーク経由
でデータ提供する場合の VPN の設定、提供個人データを受領するパソコ
ンやサーバの特定や当該パソコン等の管理責任者等の限定等)や、当社が特定提供先に提供する場合などにおける仕組みや手法などを別途定める】

55【別添３】モデ

第●条（提供データ、提供の方法）「本サービスに関して特定提供先に提供される個人データ（以下ご指摘を踏まえ、形式、提供方法に関する記述は次のとおり修正します。

ル約款：
「情報銀

「提供個人データ」という。）の形 式および提供方法は、以下のと行」と情報提供

おりとする。」

本サービスに関して特定提供先に提供される個人データ（以下「提供個人先の間（ver 0.9_についてデータ」という。）の形式および提供方法は、以下のとおりとする。

案）→提供方法を提供先との契約で予め指定しまうと、提供方法が変更 （１）形式：【注：データ形式を別途定める】

有

されるたびに追加の覚書等を締結する必要があるため、別途定める （２）提供方法： 【注：提供環境のセキュリティ要件(ネットワーク経由
でデータ提供する場合の VPN の設定、提供個人データを受領するパソコ

等にしたい。

ンやサーバの特定や当該パソコン等の管理責任者等の限定等)や、当社が特定提供先に提供する場合などにおける仕組みや手法などを別途定める】
56【別添３】モデ

1

ル約款：
「情報銀

第●条（提供個人データの取扱いの訂正

提供個人データの取扱いの訂正等とあるが、取扱いという定義が管等）

理方法を指すのか、データ自体の誤りを指すのか、前提条件が分か 基づく訂正等を行った場合には」に修正します。

行」と情報提供

ご指摘を踏まえ、「提供個人データの内容について、利用者からの修正に有ると望ましい。

先の間（ver 0.9_案）
57

【別添３】モデ1

第●条（利用目的）「特定提供先は、以下２に定める本サービスの実施の目的の範囲でご指摘のモデル約款については、基本的に、本人が個別に判断するケース

ル約款：
「情報銀

のみ、提供個人データを 利用するものとする。」（以下「個別判断ケース」）についても適用可能です。

行」と情報提供について

ただし、ご指摘の包括同意によるケースのみを対象としている部分につい先の間（ver 0.9_

→予め利用目的を契約に定めてしまうと、包括的にさまざまな利用ては個別判断ケースには適用されませんので、申請前にご相談いただけれ案）

目的を記載することになってしまうことになる。本人が個別に判断ばと思います。なお、個別判断ケースに関するモデル約款を個別に策定す

無をするケースについては、都度利用目的を本人に提示するため、提 るか否か、お問合せ状況等を踏まえながら今後検討していきたいと思いま58

供先との契約の中には必要ないのではないか。

す。

第●条（提供個人データの取扱いの訂正

各条における

ご指摘を踏まえ、それぞれ「提供個人データについて、利用者からの請求

ル約款：
「情報銀

等）

「利用者から提供個人データの取扱いについて、（基づく）利用停止に基づく利用停止等を行った場合には」、「提供個人データの内容につい行」と情報提供

第●条（提供個人データの取扱いの利用等を行った場合には」「利用者から提供個人データの取扱いについて、利用者からの修正に基づく訂正等を行った場合には」に修正します。

先の間（ver 0.9_

停止等）て、訂正等を行った場合には」【別添３】モデ案）

1,2の文言について、「利用者から」がどこにかかっているのかがわかり
13

有資料「情報銀行」認定申請ガイドブック（ver0.9 案）、各モデル約款（ver0.9 案）に対するパブリックコメント に対して提出された意見要旨と、意見に対する日本 IT 団体連盟 情報銀行推進委員会の考え方の要旨（意見募集期間：2018 年 11 月 22 日から 2018 年 12 月 5 日）
にくいです。
59【別添３】モデ2

第●条（提供個人データの取扱いの訂正「取扱いを訂正する」という表現は意味が不明瞭、また「提供」とご指摘を踏まえ、下記のように修正します（「取り扱い」を「内容」に変

ル約款：
「情報銀

等）

「通知」の使い分けも（何となくは分かりますが）意味が不明瞭だ

更）行」と情報提供

１．当社は、利用者から提供個人データのと思います。表現変更の必要があると思います。

先の間（ver 0.9_

取扱いについて、訂正等を行った場合に

１．当社は、提供個人データの内容について、利用者からの請求に基づく案）

は、訂正又は追加された提供個人データ

訂正等を行った場合には、訂正又は追加された提供個人データを特定提供

を特定提供先に提供し、また、削除された

先に提供し、また、削除された提供個人データの項目を特定提供先に通知

提供個人データの項目を特定提供先に通するものとする。

知するものとする。

２．特定提供先は、提供個人データの内容について、利用者からの請求に有基づく訂正等を行った場合には、利用者に対し当社にその旨を連絡するよ
２．特定提供先は、利用者から提供個人デう依頼するものとする。

ータの取扱いについて、訂正等を行った
場合には、利用者に対し当社にその旨をまた、「提供」と「通知」については、例をあげると、「情報銀行」で提供連絡するよう依頼するものとする。

個人データを修正した場合、当該修正後のデータを情提供先にも「提供」
します（提供できるデータがあるため）。他方、「情報銀行」で提供個人データを削除してしまった場合には、情報提供先に当該データを提供することはできないので、削除した旨を「通知」することになります。

60【別添３】モデ2

第●条（提供個人データの保証）

他業務での情報取得や、口頭で確認した事実のデータ繁栄までのタ「知る限りにおいて真実である」ことを保証するものです。

ル約款：
「情報銀

１．当社は、特定提供先に対し、当社が提イムラグ等を考えると「保証する」と言い切ることは無理なのでは データの内容の正確性の確保等は、個人情報保護法第 18 条の定めです。

行」と情報提供

供個人データを適法、適正な方法によりないでしょうか。

先の間（ver 0.9_

取得したことを保証する。

無実施については、個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-3-1 の解説では「なお、保有する個人デ案）

ータを一律に又は常に最新化する必要はなく、それぞれの利用目的に応じ
２．当社は、特定提供先に対し、当社が上て、その必要な範囲内で正確性・最新性を確保すれば足りる」としていま

記１により取得した提供個人データの内す。

容が当社の知る限りにおいて真実であることを保証する。
61【別添３】モデ3

第●条（責任制限等）１「第三者との間で こちらの条文では、特定提供先と第三者との紛争・クレーム・損害 ご指摘の「提供個人データの漏えい、滅失、毀損等」の通り、「提供個人

ル約款：
「情報銀

紛争、クレームまたは損害賠償請求が生賠償請求等について全て情報銀行が解決しなければならないよう行」と情報提供

じた場合には、直ちに当社に対して書面に読み取れます。例えば、総務省実証＠京都の事例ですと、●●●先の間（ver 0.9_により通知するものとし、当社においてタクシーに起こした自動車事故についても、紛争解決を情報銀行が案）

当該紛争等を解決するものとする

担うように読み取れてしまいます。
このままですと、情報銀行の負担が大きすぎるため、事業者が模範とする約款として普及していかないと思われます。つきましては、情報銀行が一義的に解決するのは、情報漏えいに起因する損害賠償請求が生じた場合のみに限定し、情報銀行事業者の責任範囲を絞っては如何でしょうか。
＜案文＞「第三者との間で紛争、クレームまたは損害賠償請求が生
14

データの利用に起因または関連して」の範囲に限る趣旨になります。

無資料「情報銀行」認定申請ガイドブック（ver0.9 案）、各モデル約款（ver0.9 案）に対するパブリックコメント に対して提出された意見要旨と、意見に対する日本 IT 団体連盟 情報銀行推進委員会の考え方の要旨（意見募集期間：2018 年 11 月 22 日から 2018 年 12 月 5 日）
じた場合には、自己の責任および費用負担において、当該紛争等を特定提供先が解決することを原則とする。ただし、第三者との間で提供個人データの漏えい、滅失、毀損等に起因する損害賠償請求が生じた場合には、直ちに当社に対して書面により通知するものとし、当社において当該紛争等を解決するものとする」
62「認定団体による当社に係る認定基準に準じた基準を維持してい「情報信託機能の認定に係る指針 ver1.0」に記載されているものであり、

ル約款：
「情報銀

ること。」

認定団体として、認定の意義である消費者個人の安心・安全を確保するた行」と情報提供についてめに規定したものになります。
「情報銀行」がセキュリティ的に強固であ

先の間（ver 0.9_

→提供先にも「認定基準に準じた基準」を適用することは難しいの っても、情報提供先がセキュリティ・ホールになってはいけません。

案）

ではないか。中小企業が活用することができなくなるのではない【別添３】モデ3

第●条（情報セキュリティ等）

無

か。
63

【別添３】モデ

4

第●条（委託）「特定提供先は、当社の事前の書面による承諾を得ることなしに、 ご指摘の部分については、「情報信託機能の認定に係る指針 ver1.0」にお

ル約款：
「情報銀

第●条【注：上記の「利用目的」参照】に定める利用目的を達成す

いて情報提供先による再提供の禁止が規定されていることを踏まえ、認定

行」と情報提供

るための業務（以下「本業務」という。
）を第三者に再委託してはな

団体として、「情報銀行」と情報提供先との間における相互の権利義務を先の間（ver 0.9_

らない。」

明確化し、消費者個人が安心・安全にサービスを利用するために必要なも

案）

について

のとして規定しているものです。

→目的に応じて再委託先も異なってくるため、都度本人が個別に判

なお、委託に関して、特定提供先が本人に明示すべき事項は、「情報銀断をするケースにおいては難しいのではないか。

行」に準じ、ガイドブック 31 頁 e)の通りであり、都度本人が個別に判断

無する必要はありません。
64【別添３】モデ3

第●条（インシデント）

実際は、情報漏えい元の特定が困難であることを考えると、「漏えい モデル約款は、認定にあたり最低限必要な事項を定めるものであり、その

ル約款：
「情報銀

１．特定提供先は、提供個人データの漏えの可能性」の段階で報告を求める規定としたほうが良いのではない

趣旨に反しない範囲であれば、漏えいの可能性の報告など「情報銀行」に行」と情報提供い等が発生した場合には、当社に対してでしょうか。

おいて更なる事項を規定することを妨げるものではありません。

先の間（ver 0.9_

直ちにその詳細を報告するものとする。
情報漏えいしていても事実が事後になって発覚する場合もあるこ

ご指摘の事後に発覚する漏えい等は、本契約に基づき取り扱った提供個人

２．提供個人データの漏えい等に際してとから、契約終了後も本条項の義務が継続する旨を規定したほうがデータに関する事項のため、契約終了後も訴求できます。

は、特定提供先は、二次被害の防止、原因

良いのではないでしょか。

また、契約終了後の義務を限定的に定義すると、本契約に基づく他の事項

案）

究明、利用者への適切な情報開示に向けが訴求できなくなることがあります。

て努力するものとし、当社の調査に協力するものとする。
３．当社は、特定提供先による提供個人データの漏えい等について、当社が合理的と考える範囲及び金額で利用者の損害を補てんすることができる。この場合、特定提供先は、当該補てんの総額について当社からの求償に応じるものとする。

15

無