『債権管理回収業における個人情報保護に関する自主規制規則』（略称「個人情報自主ルール」）
一般社団法人全国サービサー協会

制定 ２００５年 ２月 ３日
改正 ２０１１年 ６月１５日
改正 ２０１３年 ６月２７日
改正 ２０１６年 ６月３０日
改正 ２０１７年 ６月３０日
改正 ２０２２年 ６月３０日
改正 ２０２３年 ６月３０日

１ 本自主ルールの目的等について（１）本自主ルールの目的
ア 個人情報保護対策の整備の必要性「個人情報の保護に関する法律」（平成１５年法律第５７号。以下｢個人情報保護法｣又は単に「法」という。）については、同法施行日である平成１７年４月１日以降、一般社団法人全国サービサー協会の社員たる債権回収会社（以下「会員」又は「債権回収会社」という。）において、債権管理回収業及びこれに付随する業務における個人情報の適正な取扱いを確保するため、必要な個人情報保護対策の整備、見直しを実施してきたところである。
この個人情報保護法に関しては、直近では、令和２年及び３年に改正が行われ、同４年４月にこれらが施行された。これらの改正に基づき、①「個人情報の保護に関する法律についてのガイドライン（通則編）」（平成２８年個人情報保護委員会告示第６号。以下「通則ガイドライン」）及び同ガイドラインを基礎とする「債権管理回収
業分野における個人情報保護に関するガイドライン」(平成２９年個人情報保護委員会・法務省告示第１号。以下「法務省サービサーガイドライン」）、②「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」（平成２８年個人情報保護委員会告示第７号）、③「同ガイドライン（第三者提供時の確認
・記録編）」（同第８号）及び④「同ガイドライン（仮名加工情報・匿名加工情報編）」（同第９号）についても改正されるとともに、⑤「個人情報の保護に関する法
律についてのガイドライン（認定個人情報保護団体編）」（令和３年個人情報保護委
員会告示第７号）が新たに策定された。
そのため、会員は、上記改正に係る法施行日（令和４年４月１日）以降は、上記①から⑤までの各ガイドライン（以下、まとめて「個人情報保護委員会ガイドライン」という。）の内容に留意する必要がある。
イ 債権管理回収業の業態

1 /

56

また、債権管理回収業は、「債権管理回収業に関する特別措置法」(平成１０年法
律第１２６号。以下｢サービサー 法｣という。）の下、法務大臣の許可を受けて、特定金銭債権に係る債権の譲受け及び債権管理回収業務の受託に伴い、多岐にわたる業
種から大量の個人データの移転又は管理の 委託を受けている。したがって､本人への配慮及び委託者又は原債権者との連携が求められる業態である。
ウ 本自主ルールの制定
本自主ルールは、法、法務省サービサーガイドライン及び個人情報保護委員会ガイドラインを参考に、会員が講じることが望ましい措置を示すことにより、当該会員が行う個人情報の適正な取扱いの確保に関する活動を支援することを目的として定められたものである。
（２）本自主ルールの位置付け
本自主ルールは、会員が適正な個人情報管理に関する措置を講じる目的で講じる措置が適切かつ有効に実施されるように具体的な指針として定めるものであり、自社コ
ンプライアンスプログラムを策定するための基本指針になるものである。本自主ルー
ルには、個人情報取扱事業者の義務である個人情報保護法第１６条から第４０条まで
を中心に、債権管理回収業務に関して講ずべき必要な措置と対策並びにこれらを実施するべき行動指針及び運用上の考え方について記載している。
会員においては､法、法務省サービサーガイドライン、個人情報保護委員会ガイド
ライン及び本自主ルールを参考にして､自社の個人情報の利用と保護の体制整備を行うこととされたい。具体的には、コンプライアンスプログラムの一環として､個人情報取扱いに関する規程・マニュアルの整備・策定を行い、研修を通じて､実践を行うとともに､定期的な見直しを実施することが望まれる。
併せて､債権管理回収業務を行う各会員は、取扱債権の特性に応じて、当該債権に関して取得する情報が異なるため（例えば、担保に関する情報、保証人に関する情報、オリジネーターに関する情報等）、取り扱う個人情報項目も多岐にわたることが予想されることから、対応する措置が独自に必要になると考えられる。
なお、本自主ルールは､法務省サービサーガイドライン又は個人情報保護委員会ガイドラインの見直し及び社会情勢・法規制環境の変化に対応して、適宜改正する。また、本自主ルールにおいて記載した具体例については、これに限定する趣旨で記載したものではなく、記載した具体例においても、個別ケースによって別途考慮すべき要
素があり得るので注意を要する。
（３）会員に求められる措置
本自主ルールにおいて､「～ならない」としているものは､法の義務の対象である個
人情報取扱事業者の法的義務であるため、会員が従わない場合には、法務大臣により、法違反と判断される可能性がある。
本自主ルールにおいて、｢～こととする｣又は「～ことが望ましい」と記載している規定については、法の課す義務ではなく、債権回収会社がこれに従わない場合には、
直ちに法違反と判断されることはないが、法の基本理念（法第３条）を踏まえ、個人情報保護推進の観点から積極的な取組に努めることを求める努力規定である。

2 /

56

２

定義（個人情報保護法第２条関係）
本自主ルールにおいて掲げる用語の定義及び保護の対象とする個人情報の範囲は、以下のとおりとする。
（１）「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができるものを含む。）又は個人識別符号が含まれるものをいう。
（運用上の考え方）（注１）「個人に関する情報」とは、氏名、住所、性別、生年月日、顔画像等個人を識別する情報に限られず、個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化等によって秘匿化されているかど
うかを問わない。
（注２）死者に関する情報が、同時に、遺族等の生存する個人に関する情報でもある場
合には、当該生存する個人に関する情報に該当する。
（注３）法人その他の団体は、個人に該当しないため、法人等の団体そのものに関する情報は、「個人情報」には該当しないが、役員の氏名などの個人に関する情報が含まれる場合には、その部分については、「個人情報」に該当する。なお、「個人」には日本国民に限られず、外国人も含まれる。
（注４）「他の情報と容易に照合することができ」るとは、債権回収会社の実態に即して個々の事例ごとに判断されるべきであるが、通常の業務における一般的な方法
で、他の情報と容易に照合することができる状態をいい、例えば、他の事業者への照会を要する場合等であって照合が困難な状態は、一般に、容易に照合することができない状態であると解される。
（２）「個人識別符号」とは、法令で定められている文字、番号、記号その他の符号をいう。
（運用上の考え方）（注）個人識別符号として法令で定められている文字、番号、記号その他の符号は、以下のとおりである。
①次に掲げる身体の特徴のいずれかを電子計算機の用に供するために変換した文字、
番号、記号その他の符号であって、特定の個人を識別することができる水準が確保されるよう、適切な範囲を適切な手法により電子計算機の用に供するために変換するもの
ア 細胞から採取されたデオキシリボ核酸（別名DNA）を構成する塩基の配列
イ 顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状によって定まる容貌
ウ 虹彩の表面の起伏により形成される線状の模様
エ 発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化
オ 歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様
3 /56

カ 手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状キ 指紋又は掌紋
ク 組合せ（上記アからキまでに掲げるものから抽出した特徴情報を、組合せ、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの）②旅券法（昭和２６年法律第２６７号）第６条第１項第１号の旅券の番号③国民年金法（昭和３４年法律第１４１号）第１４条に規定する基礎年金番号④道路交通法（昭和３５年法律第１０５号）第９３条第１項第１号の免許証の番号⑤住民基本台帳法（昭和４２年法律第８１号）第７条第１３号に規定する住民票コード⑥行政手続における特定の個人を識別するための番号の利用等に関する法律（平成２５年法律第２７号）第２条第５項に規定する個人番号⑦次に掲げる証明書に係る文字、番号、記号その他の符号
ア 国民健康保険法（昭和３３年法律第１９２号）第９条第２項の被保険者証の記号、番号及び保険者番号の番号及び保険者番号
イ 高齢者の医療の確保に関する法律（昭和５７年法律第８０号）第５４条第３項の被保険者証ウ 介護保険法（平成９年法律第１２３号）第１２条第３項の被保険者証の番号及び保険者番号⑧その他前各号に準ずるものとして個人情報保護法施行規則第４条で定める文字、番号、記号その他の符号（３）「要配慮個人情報」とは、不当な差別や偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして次の①から⑪までの記述等が含まれる個人情報をいう。なお、次の①から⑪までに掲げる情報を推知させる情報にすぎないものは、
要配慮個人情報には含まない。
①人種：人種、世系又は民族的若しくは種族的出身を広く意味する。なお、単純な国籍や「外国人」という情報は法的地位であり、それだけでは人種には含まない。また、肌の色は、人種を推知させる情報にすぎないため、人種には含まない。
②信条：個人の基本的なものの見方、考え方を意味し、思想と信仰の双方を含むものである。
③社会的身分：ある個人にその境遇として固着していて、一生の間、自らの力によって容易にそれから脱し得ないような地位を意味し、単なる職業的地位や学歴は含まない。
④病歴：病気に罹患した経歴を意味するもので、特定の病歴を示した部分（例：特定の個人ががんに罹患している、統合失調症を患っている等）が該当する。
⑤犯罪の経歴： 前科、すなわち有罪の判決を受けこれが確定した事実が該当する。
⑥犯罪により害を被った事実：身体的被害、精神的被害及び金銭的被害の別を問わず、犯罪の被害を受けた事実を意味する。
（運用上の考え方）
4 /56

（注）具体的には、刑罰法令に規定される構成要件に該当し得る行為のうち、刑事事件に関する手続に着手されたものが該当する。
⑦身体障害、知的障害、精神障害（発達障害を含む。）その他の法令で定める心身の機能の障害があること（運用上の考え方）（注）⑦は、次のアからエまでに掲げる情報をいう。この他、当該障害があること又は過去にあったことを特定させる情報（例：障害者の日常生活及び社会生活を総合的に支援するための法律（平成１７年法律第１２３号）に基づく障害福祉サービスを受けていること又は過去に受けていたこと）も該当する。
ア 「身体障害者福祉法（昭和２４年法律第２８３号）別表に掲げる身体上の障害」があることを特定させる情報（ア）医師又は身体障害者更生相談所により、別表に掲げる身体上の障害があることを診断又は判定されたこと（別表上の障害の名称や程度に関する情報を含む。）（イ）都道府県知事、指定都市の長又は中核市の長から身体障害者手帳の交付を受け並びに所持していること又は過去に所持していたこと（別表上の障害の名称や程度に関する情報を含む。）（ウ）本人の外見上明らかに別表に掲げる身体上の障害があること
イ 「知的障害者福祉法（昭和３５年法律第３７号）にいう知的障害」があることを特定させる情報（ア）医師、児童相談所、知的障害者更生相談所、精神保健福祉センター、障害者職業センターにより、知的障害があると診断又は判定されたこと（障害の程度に関する情報を含む。）（イ）都道府県知事又は指定都市の長から療育手帳の交付を受け並びに所持していること又は過去に所持していたこと（障害の程度に関する情報を含む。）
ウ 「精神保健及び精神障害者福祉に関する法律（昭和２５年法律第１２３号）にいう精神障害（発達障害者支援法（平成１６年法律第１６７号）第２条第２項に規定する発達障害を含み、知的障害者福祉法にいう知的障害を除く。）」があることを特定させる情報（ア）医師又は精神保健福祉センターにより精神障害や発達障害があると診断又は判定されたこと（障害の程度に関する情報を含む。）（イ）都道府県知事又は指定都市の長から精神障害者保健福祉手帳の交付を受け並びに所持していること又は過去に所持していたこと（障害の程度に関する情報を含む。）
エ 「治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生
活及び社会生活を総合的に支援するための法律第４条第１項の政令で定めるものによる障害の程度が同項の厚生労働大臣が定める程度であるもの」があることを特定させる情報

5 /56

（ア）医師により、厚生労働大臣が定める特殊の疾病による障害により継続的に
日常生活又は社会生活に相当な制限を受けていると診断されたこと（疾病の名称や程度に関する情報を含む。）⑧本人に対して医師その他医療に関連する職務に従事する者（次号において「医師等」という。）により行われた疾病の予防及び早期発見のための健康診断その他の検査（同号において「健康診断等」という。）の結果（運用上の考え方）（注）疾病の予防や早期発見を目的として行われた健康診査、健康診断、特定健康診
査、健康測定、ストレスチェック、遺伝子検査（診療の過程で行われたものを除く。）等、受診者本人の健康状態が判明する検査の結果が該当する。
具体的な事例としては、労働安全衛生法（昭和４７年法律第５７号）に基づいて行われた健康診断の結果、同法に基づいて行われたストレスチェックの結果、高齢者の医療の確保に関する法律に基づいて行われた特定健康診査の結果などが該当する。また、法律に定められた健康診査の結果等に限定されるものではなく、人間
ドックなど保険者や事業主が任意で実施又は助成する検査の結果も該当する。さらに、医療機関を介さないで行われた遺伝子検査により得られた本人の遺伝型とその遺伝型の疾患へのかかりやすさに該当する結果等も含まれる。なお、健康診断等を受診したという事実は該当しない。
なお、身長、体重、血圧、脈拍、体温等の個人の健康に関する情報を、健康診
断、診療等の事業及びそれに関する業務とは関係ない方法により知り得た場合は該当しない。
⑨健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと（運用上の考え方）（注１）「健康診断等の結果に基づき、本人に対して医師等により心身の状態の改善のための指導が行われたこと」とは、健康診断等の結果、特に健康の保持に努める必要がある者に対し、医師又は保健師が行う保健指導等の内容が該当する。
指導が行われたことの具体的な事例としては、労働安全衛生法に基づき医師又は保健師により行われた保健指導の内容、同法に基づき医師により行われた面接指導の内容、高齢者の医療の確保に関する法律に基づき医師、保健師、管理栄養士により行われた特定保健指導の内容等が該当する。また、法律に定められた保健指導の内容に限定されるものではなく、保険者や事業主が任意で実施又は助成により受診した保健指導の内容も該当する。なお、保健指導等を受けたという事実も該当する。
（注２）「健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により診療が行われたこと」とは、病院、診療所、その他の医療を提供する施設において診療の過程で、患者の身体の状況、病状、治療状況等について、医師、歯科医師、薬剤師、看護師その他の医療従事者が知り

6 /

56

得た情報全てを指し、例えば診療記録等がこれに該当する。また、病院等を受診したという事実も該当する。
（注３）「健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により調剤が行われたこと」とは、病院、診療所、薬局、その他の医療を提供する施設において調剤の過程で患者の身体の状況、病状、治療状況等について、薬剤師（医師又は歯科医師が自己の処方箋により自ら調剤する場合を含む。）が知り得た情報全てを指し、調剤録、薬剤服用歴、お薬手帳に記載された情報等が該当する。また、薬局等で調剤を受けたという事実も該当する。
（注４）身長、体重、血圧、脈拍、体温等の個人の健康に関する情報を、健康診断、診療等の事業及びそれに関する業務とは関係のない方法により知り得た場合は該当しない。
⑩本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと（犯罪の経歴を除く。）（運用上の考え方）（注）本人を被疑者又は被告人として刑事事件に関する手続が行われたという事実が該当する。他人を被疑者とする犯罪捜査のために取調べを受けた事実や、証人として尋問を受けた事実に関する情報は、本人を被疑者又は被告人としていないことか
ら、⑩には該当しない。
⑪本人を少年法（昭和２３年法律第１６８号）第３条第１項に規定する少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと（運用上の考え方）（注）本人を非行少年又はその疑いのある者として、保護処分等の少年の保護事件に関する手続が行われたという事実は、⑪に該当する。
（４）「機微（センシティブ）情報」」とは、要配慮個人情報並びに労働組合への加盟、門地、本籍地、保健医療及び性生活（これらのうち要配慮個人情報に該当するものを除く。）に関する情報（本人、国の機関、地方公共団体、法第７６条第１項各号若し
くは法令で定める範囲の外国政府等により公開されているもの、又は、本人を目視し、若しくは撮影することにより取得するその外形上明らかなものを除く。）をいう。
（５）「個人情報取扱事業者」とは、次に掲げる者を除いた、個人情報データベース等を事業の用に供している者をいう。
ア 国の機関イ 地方公共団体
ウ 独立行政法人等（独立行政法人等の保有する個人情報の保護に関する法律（平成１５年法律第５９号）第２条第１項に規定する独立行政法人等をいう。）
エ 地方独立行政法人（地方独立行政法人法（平成１５年法律第１１８号）第２条第１項に規定する地方独立行政法人をいう。）
7 /56

（６）「個人情報データベース等」とは、①特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した、個人情報を含む情報の集合物、及び②コンピュータを用いていない場合であっても、五十音順に索引を付して並べられた顧客カー
ド等、個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成したものであって、目次、索引、符号等により、他人によっても容易に検索可能な状態に置いているものをいう。
ただし、次の（ア）から（ウ）までのいずれにも該当するものは、利用方法からみて個人の権利利益を害するおそれが少ないため、個人情報データベース等には該当しない。
（ア）不特定かつ多数の者に販売することを目的として発行されたものであって、かつ、その発行が法又は法に基づく命令の規定に違反して行われたものでないこと。
（イ）不特定かつ多数の者により随時に購入することがで き、又はできたものであること。
（ウ）生存する個人に関する他の情報を加えることなくその本来の用途に供しているものであること。
（運用上の考え方）(注)上記（６）の事例は以下の場合である。
①「個人情報データベース等」に該当する事例
事例１)電子メールソフトに保管されているメールアドレス帳（メールアドレスと氏名を組み合わせた情報を入力している場合）
事例２)インターネットサービスにおいて、ユーザーが利用したサービスに係るロ
グ情報がユーザーIDによって整理され保管されている電子ファイル（ユーザーIDと個人情報を容易に照合することができる場合）
事例３)従業者が、名刺の情報を業務用パソコン（所有者を問わない。）の表計算ソフト等を用いて入力・整理している場合
事例４)人材派遣会社が登録カードを、氏名の五十音順に整理し、五十音順のインデックスを付してファイルしている場合②「個人情報データベース等」に該当しない事例
事例１)従業者が、自己の名刺入れについて他人が自由に閲覧できる状況に置いていても、他人には容易に検索できない独自の分類方法により名刺を分類した状態である場合
事例２)アンケートの戻りはがきが、氏名、住所等により分類整理されていない状
態である場合事例３)市販の電話帳、住宅地図、職員録、カーナビゲーションシステム等（７）「個人データ」とは、個人情報データベース等を構成する個人情報をいう。
（運用上の考え方）（注）上記（７）の事例は以下の場合である。
①個人データに該当する事例
事例１）個人情報データベース等から外部記録媒体に保存された個人情報

8 /

56

事例２）個人情報データベース等から紙面に出力された帳票等に印字された個人情報②個人データに該当しない事例
事例）個人情報データベース等を構成する前の入力用の帳票等に記載されている個
人情報（８）「本人」とは、個人情報によって識別される特定の個人をいう。
（９）「保有個人データ」とは、個人情報取扱事業者が、本人又はその代理人から求められる開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止のすべてに応じることができる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして次に掲げるもの以外のものをいう。
ア 本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの
イ 違法又は不当な行為を助長し、又は誘発するおそれがあるもの
ウ 国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの
エ 犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの（運用上の考え方）（注）上記（９）の事例は以下の場合である。
①「本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの」の事例
事例１）家庭内暴力、児童虐待の被害者の支援団体が保有している、加害者（配偶者又は親権者）及び被害者（配偶者又は子）を本人とする個人データ
事例２）本人を被害者とする犯罪行為（又はそのおそれ）への対応の目的のために、債権回収会社が取り扱う犯罪行為に係る個人データ②「違法又は不当な行為を助長し、又は誘発するおそれがあるもの」の事例
事例１）暴力団等の反社会的勢力による不当要求の被害等を防止するために事業者が保有している、当該反社会的勢力に該当する人物を本人とする個人データ
事例２)不審者や悪質なクレーマー等による不当要求の被害等を防止するために事業者が保有している、当該行為を行った者を本人とする個人データ③「国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの」の事例
事例１）製造業者、情報サービス事業者等が保有している、防衛に関連する兵器・設備・機器・ソフトウェア等の設計又は開発の担当者名が記録された、当該担当者を本人とする個人データ
事例２）要人の訪問先やその警備会社が保有している、当該要人を本人とする行動
予定等の個人データ④「犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの」の事例
事例１）警察から捜査関係事項照会等がなされることにより初めて取得した個人
データ
9 /

56

事例２）警察から契約者情報等について捜査関係事項照会等を受けた事業者が、その対応の過程で作成した照会受理簿・回答発信簿、照会対象者リスト等の個
人データ（※なお、当該契約者情報自体は「保有個人データ」に該当する。）
事例３）犯罪による収益の移転防止に関する法律（平成１９年法律第２２号）第８条第１項に基づく疑わしい取引（以下「疑わしい取引」という。）の届出の有無及び届出に際して新たに作成した個人データ
事例４）振り込め詐欺に利用された口座に関する情報に含まれる個人データ(１０）「仮名加工情報」とは、個人情報を個人情報の区分に応じて定められた措置を講じて特定の個人を識別することができないように加工して得られる個人に関する情報であって、他の情報と照合しない限り特定の個人を識別することができないようにしたものをいう。
（１１）「匿名加工情報」とは、個人情報を個人情報の区分に応じて定められた措置を講じて特定の個人を識別することができないように加工して得られる個人に関する情報であって、当該個人情報を復元して特定の個人を再識別することができないようにしたものをいう。
（１２）「個人関連情報」とは、生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。
（運用上の考え方）(注１)「個人に関する情報」のうち、氏名、生年月日その他の記述等により特定の個人を識別することができるものは、個人情報に該当するため、個人関連情報には該当しない。また、統計情報は、特定の個人との対応関係が排斥されている限りにおいては、「個人に関する情報」に該当するものではないため、個人関連情報にも該当しない。
（注２）個人関連情報に該当する事例は以下の場合である。
事例１）Ｃｏｏｋｉｅ等の端末識別子を通じて収集された、ある個人のウェブサイ
トの閲覧履歴事例２）メールアドレスに結び付いた、ある個人の年齢・性別・家族構成等
事例３）ある個人の商品購買履歴・サービス利用履歴
事例４）ある個人の位置情報
事例５）ある個人の興味・関心を示す情報（１３）「個人関連情報データベース等」とは、個人関連情報を含む情報の集合物であって、特定の個人関連情報を電子計算機を用いて検索することができるように体系的に構成したもの又はこれに含まれる個人関連情報を一定の規則に従って整理することにより特定の個人関連情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するものをいう。
（１４）「個人関連情報取扱事業者」とは、個人関連情報データベース等を事業の用に供している者であって、以下に掲げる者を除いたものをいう。
ア 国の機関
10 /56

イ 地方公共団体
ウ 独立行政法人等
エ 地方独立行政法人(運用上の考え方)(注)ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、 かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。
なお、法人格のない、権利能力のない社団（任意団体）または個人であっても、個人情報データベース等を事業の用に供している場合は個人情報取扱事業者に該当する。
（１５）「公表」とは、広く一般に内容を自己の意思を知らせること（不特定多数の人々が知ることができるように発表すること）をいい、公表に当たっては、事案の性質及び個人情報の取扱状況に応じ、合理的かつ適切な方法によらなければならない。
（運用上の考え方）（注）「公表」に該当する事例
事例１）自社のホームページのトップページから1回程度の操作で到達できる場所への掲載
事例２）自社の店舗や事務所等、顧客が訪れることが想定される場所におけるポス
ター等の掲示、パンフレット等の備置き・配布（１６）「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」とは、ホームページへの掲載、パンフレットの配布、本人の求めに応じて遅滞なく回答を行うこと等、本人が知ろうとすれば、知ることができる状態をいい、常にその時
点での正確な内容を本人の知り得る状態に置かなければならない。必ずしもホーム
ページの掲載、又は事務所等への窓口等へ掲示すること等が継続的に行われることまでを必要とするものではないが、事業の性質及び個人情報の取扱状況に応じ、内容が本人に識別される合理的かつ適切な方法によらなければならない。
（運用上の考え方）（注）本人の知り得る状態に該当する事例
事例１）問合せ窓口を設け、問合せがあれば、口頭又は文書で回答できるよう体制を構築しておく場合
事例２）事務所にパンフレットを備え置く場合（１７）「本人に通知」とは、本人に直接知らしめることをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。なお、債権回収会社は、本人に通知する場合には、原則として書面（電磁的記録を含む。以下同じ。）によることとする。
（運用上の考え方）（注）本人への通知に該当する事例
事例１）ちらし等の文書を直接渡すことにより知らせること。
事例２）口頭又は自動応答装置等で知らせること。

11 /

56

事例３）電子メール、ＦＡＸ等により送信し、又は文書を郵便等で送付することにより知らせること。
（１８）「提供」とは、個人データ、保有個人データ、個人関連情報、仮名加工情報又は匿名加工情報（以下この項において「個人データ等」という。）を、自己以外の者が利用可能な状態に置くことをいう。
（運用上の考え方）（注）個人データ等が、物理的に提供されていない場合であっても、ネットワーク等を利用することにより、個人データ等を利用できる状態にあれば（利用する権限が与えられていれば）、「提供」に当たる。
（１９）「本人の同意」とは、本人の個人情報が、債権回収会社によって示された取扱方
法で取り扱われることを承諾する旨の当該本人の意思表示をいう。また、「本人の同意を得（る）」とは、本人の承諾する旨の意思表示を当該債権回収会社が認識することをいい、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。
なお、債権回収会社は、法第１８条、第２７条、第２８条及び及び第３１条第１項
第１号（債権回収会社が個人関連情報取扱事業者から同項の規定による個人関連情報の提供を受けて個人データとして取得する場合に限る。）に規定する本人の同意を得る場合には、原則として、書面によることとする。
この際、債権者から委託を受けた者又は債権者としての立場を不当に利用して、同意を強いることのないようにすることとする。
同意を確認する書面においては、個人情報の取扱いに関する項目と、他の項目とを明確に区別し、包括的な同意とならないようにすることとする。
（運用上の考え方）（注）個人情報の取扱いに関して同意したことによって生ずる結果について、未成年者、成年被後見人、被保佐人及び被補助人が判断できる能力を有していないなどの場
合は、親権者や法定代理人等から同意を得る必要がある。
（２０）「本業」「本業」とは､債権回収会社の業務のうち､サービサー法第１２条（ただし書を除く。）に規定する業務をいう。
（２１）「兼業」「兼業」とは､債権回収会社の業務のうち､サービサー法第１２条ただし書に規定する法務大臣の承認を受けた業務をいう。
（２２）その他、本自主ルールにおいて使用する用語、法令において使用される用語の例
による。
３

本自主ルールの適用対象者の範囲
本自主ルールは、一般社団法人全国サービサー協会の社員たる債権回収会社を対象と
する。

12 /

56

４

利用目的の特定（個人情報保護法第１７条関係）（１）債権回収会社は、個人情報を取り扱うに当たっては、利用目的をできる限り具体的に特定しなければならない。債権回収会社は、利用目的の特定に当たっては、抽象的、一般的な内容に特定するのではなく、本人が、自己の個人情報がどのような事業の用に供され，どのような目的で利用されるのかを合理的に予測し得る程度の具体性をもって特定しなければならない。
（２）債権回収会社は、あらかじめ個人情報を第三者に提供することを想定している場合には、利用目的の特定に当たっては、その旨が明確に分かるよう特定しなければならない。
（３）債権回収会社は、前二項により特定した利用目的について、変更前の利用目的と関連性を有すると合理的に認められる範囲（変更後の利用目的が変更前の利用目的からみて、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内）で変更することができる。
（運用上の考え方）（注１）本業での利用目的については､少なくとも「特定金銭債権の管理及び回収」という程度には特定しなければならない。また、可能であれば「特定金銭債権の権利行使」「特定金銭債権に係る期限の利益の付与、一部債務免除などの権利の変更」「特定金銭債権の分析､デューデリジェンス」など、個人情報の取扱いの具体的態
様が本人に明らかになるような特定をすることが望ましい。
（注２）兼業での利用目的については､少なくとも兼業承認申請書の「事業の種類」欄の記載程度には特定しなければならない。さらに、可能であれば、個人情報の取扱
いの具体的態様が本人に明らかになるような特定をすることとする。
（注３）本業又は兼業における当初の利用目的を変更する場合の「変更前の利用目的と関連性を有すると合理的に認められる範囲を超える変更」の事例は、以下のとおり。
①本業で利用する目的を、本業と全く関連性のない兼業で利用する目的に変更し、又は本業と全く関連性のない兼業で利用する目的を、本業で利用する目的に変更すること。
②ある兼業で利用する目的を、当該兼業と全く関連性のない他の種類の兼業で利用する目的に変更すること。
（注４）変更前の利用目的と関連性を有すると合理的に認められる範囲内で利用目的を変更した場合は、本人に対して、通知又は公表することでよいが､これを超える利用目的の変更を行う場合は､改めて本人の同意が必要となる。
５ 利用目的による制限（個人情報保護法第１８条関係）（１）債権回収会社は､あらかじめ本人の同意を得ることなく、４（１）及び（２）の規定により特定した利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはな
らない。

13 /

56

ただし、上記の本人の同意を得るために個人情報を利用すること（メールの送信や電話をかけること等）は、当初特定した利用目的にない場合にも、目的外利用には当たらない。
（２）債権回収会社は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
ただし、上記の本人の同意を得るために個人情報を利用すること（メールの送信や電話をかけること等）は、承継前の利用目的にない場合であっても、目的外利用には当たらない。
（３）次に掲げる場合については、（１）又は（２）の規定により本人の同意を得ることが求められる場合であっても、以下の場合には、本人の同意は不要である。
ア 法令（条例を含む。以下同じ。）に基づいて、利用目的の達成に必要な範囲を超
え て、個人情報を取り扱う場合
イ 人の生命、身体又は財産（法人の財産を含む。）の保護のために利用目的の達成に必要な範囲を超えて、個人情報を取り扱う必要がある場合であって、本人の同意を得ることが困難であるとき。
ウ 公衆衛生の向上又は児童の健全な育成の推進のために 特に利用目的の達成に必要な範囲を超えて、個人情報を取り扱う必要がある場合であって、本人の同意を得ることが困難であるとき。
エ

国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して債権回収会社が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるときに、利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合。
オ 学術研究機関等が個人情報を学術研究の用に供する目的で取り扱う必要があるとき（ただし、個人の権利利益を不当に侵害するおそれがある場合を除く）。
カ 学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（ただし、個人の権利利益を不当に侵害するおそれがある場合を除く）。
（運用上の考え方）（注１）上記（１）の「利用目的の達成に必要な範囲」を超える事例は、以下のとおり。
①債権の管理回収に際し、業務に不必要な当該債務者の隣人に関する個人情報を取り扱う場合②債権の管理回収目的で取得した情報を名簿化して、債務状況リストなどとして販売等する場合（注２）上記（３）の適用除外（法第１８条第３項）の事例は、以下の場合である。
①「法令に基づいて、利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場
合」の事例

14 /

56

事例１）警察の捜査関係事項照会に対応する場合（刑事訴訟法（昭和２３年法律第１３１号）第１９７条２項）
事例２）裁判官の発する令状に基づく捜査に対応する場合（刑事訴訟法第２１８条）
事例３）税務署の所得税等に関する調査に対応する場合（国税通則法（昭和３７年
法律第６６号）第７４条の２他）
事例４）弁護士会からの照会に対応する場合（弁護士法（昭和２４年法律第２０５号）第２３条の２）
事例５）保健所が行う積極的疫学調査に対応する場合（感染症の予防及び感染症の患者に対する医療に関する法律（平成１０年法律第１１４号）第１５条第１
項）
事例６）災害発生時の停電復旧対応の迅速化等のため、経済産業大臣の求めに応じて、一般送配電事業者が、関係行政機関又は地方公共団体の長に対して必要な情報を提供する場合（電気事業法（昭和３９年法律第１７０号）第３４条
第１項）
事例７）住民基本台帳法（昭和４２年法律第８１号）第１２条の３に基づき、債務者の本人確認のために住民票の写しを交付請求する際、市町村役場の職員の求めに応じて、不当な目的で請求するものではないことを証明するため、当該債務者の個人情報を提出する場合
事例８）民事訴訟法（平成８年６月２６日法律第１０９号）第２２３条に基づく裁判所による文書提出命令に対して文書を提出する場合
事例９）民事訴訟法第１８６条に基づく調査の嘱託又は同法第２２６条に基づく文書の送付の嘱託に応ずる場合
事例１０）犯罪による収益の移転防止に関する法律第８条第１項に基づき疑わしい取引を届け出る場合
事例１１）金融商品取引法（昭和２３年法律第２５号）第２１０条、第２１１条等に基づく証券取引等監視委員会の職員による犯則事件の調査に応じる場合
なお、当該法令に、目的外利用の便益を得る相手方についての根拠のみあって、目的外利用をする義務までは課されていない場合には、債権回収会社は、当該法令の趣旨に照らして目的外利用の必要性と合理性が認められる範囲内で対応するものとする。
②「人の生命、身体又は財産（法人の財産を含む。）の保護のために利用目的の達成に必要な範囲を超えて、個人情報を取り扱う必要がある場合であって、本人の同意を得ることが困難であるとき」の事例
事例１）急病その他の事態が生じたときに、本人について、その血液型や家族の連
絡先等を医師や看護師に提供する場合
事例２）大規模災害や事故等の緊急時に、被災者情報・負傷者情報等を家族、行政機関、地方自治体等に提供する場合

15 /

56

事例３）事業者間において、暴力団等の反社会的勢力情報、振り込め詐欺に利用された口座に関する情報、意図的に業務妨害を行う者の情報について共有する
場合
事例４）上記事例のほか、商品に重大な欠陥があり人の生命、身体又は財産の保護が必要となるような緊急時に、製造事業者から顧客情報の提供を求められ、これに応じる必要がある場合
事例５）不正送金等の金融犯罪被害の事実に関する情報を、関連する犯罪被害の防止のために、他の事業者に提供する場合③「公衆衛生の向上又は児童の健全な育成の推進のために特に利用目的の達成に必要な範囲を超えて、個人情報を取り扱う必要がある場合であって、本人の同意を得ることが困難であるとき」の事例
事例）健康保険組合等の保険者等が実施する健康診断の結果等に係る情報を、健康増進施策の立案、保健事業の効果の向上、疫学調査等に利用する場合④「国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して債権回収会社が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるときに、利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合」の事例
事例１）事業者が税務署又は税関の職員等の任意の求めに応じて個人情報を提出する場合
事例２）事業者が警察の任意の求めに応じて個人情報を提出する場合
事例３）一般統計調査や地方公共団体が行う統計調査に回答する場合
６

不適正利用の禁止(個人情報保護法第１９条関係)
債権回収会社は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。
（運用上の考え方）(注１)「違法又は不当な行為」とは、個人情報保護法その他の法令に違反する行為、及び直ちに違法とはいえないものの、個人情報保護法その他の法令の制度趣旨又は公序良俗に反する等、社会通念上適正とは認められない行為をいう。
（注２）「おそれ」の有無は、債権回収会社による個人情報の利用が、違法又は不当な行為を助長又は誘発することについて、社会通念上蓋然性が認められるか否かにより判断される。この判断に当たっては、個人情報の利用方法等の客観的な事情に加えて、個人情報の利用時点における債権回収会社の認識及び予見可能性も踏まえる必要がある。例えば、債権回収会社が第三者に個人情報を提供した場合において、
当該第三者が当該個人情報を違法な行為に用いた場合であっても、当該第三者が当該個人情報の取得目的を偽っていた等、当該個人情報の提供の時点において、提供
した個人情報が違法に利用されることについて、当該債権回収会社が一般的な注意力をもってしても予見できない状況であった場合には、「おそれ」は認められないと解される。

16 /56

(注３)上記「違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している」事例は以下の場合である。
(注３)上記「違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している」事例は以下の場合である。
事例１）違法な行為を営むことが疑われる事業者（例：貸金業登録を行っていない
貸金業者等）からの突然の接触による本人の平穏な生活を送る権利の侵害等、当該事業者の違法な行為を助長するおそれが想定されるにもかかわらず、当該事業者に当該本人の個人情報を提供する場合
事例２）裁判所による公告等により散在的に公開されている個人情報（例：官報に掲載される破産者情報）を、当該個人情報に係る本人に対する違法な差別が、不特定多数の者によって誘発されるおそれがあることが予見できるにもかかわらず、それを集約してデータベース化し、インターネット上で公開する場合
事例３）暴力団員により行われる暴力的要求行為等の不当な行為や総会屋による不当な要求を助長し、又は誘発するおそれが予見できるにもかかわらず、事業者間で共有している暴力団員等に該当する人物を本人とする個人情報や、不当要求による被害を防止するために必要な業務を行う各事業者の責任者の名
簿等を、みだりに開示し、又は暴力団等に対しその存在を明らかにする場合
事例４）個人情報を提供した場合、提供先において法第２７条第１項に違反する第三者提供がなされることを予見できるにもかかわらず、当該提供先に対して、個人情報を提供する場合
事例５）採用選考を通じて個人情報を取得した事業者が、性別、国籍等の特定の属性のみにより、正当な理由なく本人に対する違法な差別的取扱いを行うために、個人情報を利用する場合
事例６）広告配信を行っている事業者が、第三者から広告配信依頼を受けた商品が違法薬物等の違法な商品であることが予見できるにもかかわらず、当該商品の広告配信のために、自社で取得した個人情報を利用する場合
事例７）債務者等の所在等を調査するため、債権回収目的で収集した個人情報を違法な行為を営むことが予見される探偵業者に提供する場合
事例８）債権回収を第三者に委託し、又は債権を第三者に譲渡するに当たり、当該第三者が違法・不当な回収行為を行うことが予見されるにもかかわらず、当該債権に係る個人情報を当該第三者に提供する場合
７ 適正な取得（個人情報保護法第２０条関係）（１）債権回収会社は、偽り、その他不正の手段で個人情報を取得してはならない。
（２）債権回収会社は、要配慮個人情報を取得する場合には、次のアからキまでに掲げる場合を除き、あらかじめ本人の同意を得なければならない。
ア 法令に基づく場合
イ

人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
17 /

56

ウ
エ

オ

カ

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して、協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
当該要配慮個人情報が、本人、国の機関、地方公共団体、法第５７条第１項各号に掲げる者その他個人情報保護法施行規則第６条で定める者により公開されている場
合本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取
得する場合

キ

法第２７条第５項各号に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき。
（運用上の考え方）（注１）（１）の「その他不正の手段」に該当すると解される場合は、例えば、次のよ
うな場合である。
事例１）十分な判断能力を有していない子供や障害者から、取得状況から考えて関係のない家族の収入事情などの家族の個人情報を、家族の同意なく取得する場合
事例２）法第２７条第１項に規定する第三者提供制限違反をするよう強要して個人情報を取得する場合
事例３）個人情報を取得する主体や利用目的等について、意図的に虚偽の情報を示して、本人から個人情報を取得する場合
事例４）他の事業者に指示して不正の手段で個人情報を取得させ、当該他の事業者から個人情報を取得する場合
事例５）法第２７条第１項に規定する第三者提供制限違反がされようとしていることを知り、又は容易に知ることができるにもかかわらず、個人情報を取得する場
合事例６）不正の手段で個人情報が取得されたことを知り、又は容易に知ることができるにもかかわらず、当該個人情報を取得する場合（注２）個人情報を含む情報がインターネット等により公にされている場合であって、単にこれを閲覧するにすぎず、転記等を行わない場合は、個人情報を取得しているとは解されない。
（注３）①アの「法令に基づく場合」の事例
事例）債権回収会社が、労働安全衛生法に基づき健康診断を実施し、これにより従業員の身体状況、病状、治療等の情報を健康診断実施機関から取得する場合②イの「人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき」の事例
事例１）急病その他の事態が生じたときに、本人の病歴等を医師や看護師が家族から聴取する場合

18 /56

事例２）事業者間において、不正対策等のために、暴力団等の反社会的勢力情報、
意図的に業務妨害を行う者の情報のうち、過去に業務妨害罪で逮捕された事
実等の情報について共有する場合
事例３）不正送金等の金融犯罪被害の事実に関する情報を、関連する犯罪被害の防止のために、他の事業者から取得する場合
事例４)手話・筆談による通訳業務を行う提携会社と、本人の身体障害に関する情報を共有する場合
事例５) 犯罪行為（又はそのおそれ）、反社会的勢力等に対応する場合③ウの「公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき」の事例
事例）健康保険組合等の保険者等が実施する健康診断等の結果判明した病名等について、健康増進施策の立案や保健事業の効果の向上を目的として疫学調査等のために提供を受けて取得する場合④エの「国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して、協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき」の事例
事例）債権回収会社が警察の任意の求めに応じて要配慮個人情報に該当する個人情報を提出するために、当該個人情報を取得する場合⑤オの「当該要配慮個人情報が、本人、国の機関、地方公共団体、法第５７条第１項各号に掲げる者その他個人情報保護法施行規則第６条で定める者により公開されている場合」の事例
事例）要配慮個人情報が、次に掲げる者により公開されている場合は、あらかじめ本人の同意を得ることなく、当該公開されている要配慮個人情報を取得することができる。
１)本人、２）国の機関、３)地方公共団体、４)学術研究機関等、５)放送機
関・新聞社・通信社その他の報道機関（報道を業として行う個人を含む。）、
６)著述を業として行う者、７）宗教団体、８）政治団体、９）外国政府、外国の政府機関、外国の地方公共団体又は国際機関、１０）外国において法第５７条第1項各号に掲げる者に相当する者⑥ カの「本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合」の事例
事例)身体の不自由な方が店舗に来店し、対応した店員がその旨をお客様対応録等に記録した場合（目視による取得）や、身体の不自由な方の様子が店舗に設置された防犯カメラに映りこんだ場合（撮影による取得）（注４）要配慮個人情報を取得する際の本人の同意取得について、債権回収会社が要配
慮個人情報を書面又は口頭等により本人から適正に直接取得する場合は、本人が当該情報を提供したことをもって、当該債権回収会社が当該情報を取得することについて本人の同意があったものと解される。(通則３－３－２)（注５）債権回収会社が要配慮個人情報を第三者提供の方法により取得した場合、提供元が法第２０条第２項及び法第２７条第１項に基づいて本人から必要な同意（要
19 /

56

配慮個人情報の取得及び第三者提供に関する同意）を取得していることが前提となるため、提供を受けた当該債権回収会社が、改めて本人から法第２０条第２項に基づく同意を得る必要はないものと解される。
８ 機微（センシティブ）情報について（法務省サービサーガイドライン第４関係）（１）債権回収会社は、機微（センシティブ）情報については、次に掲げる場合を除くほか、取得、利用又は第三者提供を行わないこととする。
ア 法令等に基づく場合
イ 人の生命、身体又は財産の保護のために必要がある場合
ウ 公衆衛生の向上又は児童の健全な育成の推進のため特に必要がある場合
エ

国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合
オ 相続手続による権利義務の移転等の遂行に必要な限りにおいて、機微（センシティ
ブ）情報を取得、利用又は第三者提供する場合
カ 戸籍謄本その他の本人を特定することができる書類につき本人特定のために必要な場合
キ 債権の内容の特定に必要な限りにおいて、機微（センシティブ）情報を取得、利用又は第三者提供する場合
ク 本業及び兼業その他債権管理回収業分野の事業の適切な業務運営を確保する必要性から、本人の同意に基づき業務遂行上必要な範囲で機微（センシティブ）情報を取得、利用又は第三者提供する場合
ケ 機微（センシティブ）情報に該当する生体認証情報を本人の同意に基づき、本人確認に用いる場合
コ 債権回収会社が学術研究目的で機微（センシティブ）情報を取得する必要があり、かつ、当該債権回収会社と共同して学術研究を行う学術研究機関等から機微（センシティブ）情報を取得する場合（ただし、個人の権利利益を不当に侵害するおそれがある場合を除く。）
サ 債権回収会社が、学術研究機関等に機微（センシティブ）情報を提供し、かつ、当該学術研究機関等が当該機微（センシティブ）情報を学術研究目的で取り扱う必要がある場合（ただし、個人の権利利益を不当に侵害するおそれがある場合を除く。）
シ 債権回収会社が、学術研究目的で機微（センシティブ）情報を取り扱う必要がある
学術研究機関等に対して機微（センシティブ）情報を提供する場合（ただし、個人の権利利益を不当に侵害するおそれがある場合を除く。）（２）債権回収会社は、機微（センシティブ）情報を、前項に掲げる場合に取得、利用又は第三者提供する場合には、前項に掲げる事由を逸脱した取得、利用又は第三者提供を行うことのないよう、特に慎重に取り扱うこととする。
（３）債権回収会社は、機微（センシティブ）情報を、（１）に掲げる場合に取得、利用又は第三者提供する場合には、例えば、要配慮個人情報を取得するに当たっては、法第２０条第２項に従い、あらかじめ本人の同意を得なければならないとされているこ

20 /

56

となど、個人情報の保護に関する法令等に従い適切に対応しなければならないことに留意する。
（４）債権回収会社は、機微（センシティブ）情報を第三者へ提供するに当たっては、法第２７条第２項本文（オプトアウト）の規定を適用しないこととする。なお、機微（センシティブ）情報のうち要配慮個人情報については、同項において、オプトアウ
トを用いることができないとされていることに留意する。
（運用上の考え方）（注１）（１）イの場合とは、例えば、債権譲渡の場合に、譲受人が当該債権に関して
民事介入暴力の事実の有無を判断するために取得した情報の一部に機微（センシティブ）情報が含まれている場合などである。
（注２）（１）キの場合とは、例えば、病院等の債権の集金代行業務を取り扱う場合に、「保険利用」に関する情報のうち本人属性、未払金及び入退院に限定した情報の取得、利用及び第三者提供をする場合などである。
（注３）（１）クの場合とは、例えば、債務免除や支払猶予の可否を検討するために、債務者から自発的に提供された、債務者の健康状態に関する情報（入院履歴など）を取得する場合などである。
（注４）（１）クの同意は、黙示的なものでもよいとされているが、できる限り明示的なものが望ましい。
（注５）本籍地の情報を取得等するときは、厳重に管理し、かつ、慎重に取り扱うこととする。
９ 取得に際しての利用目的の通知等（個人情報保護法第２１条関係）（１）債権回収会社は､個人情報を取得する場合には、あらかじめその利用目的を公表していることが望ましい。公表していない場合は、取得後速やかにその利用目的を本人に通知し、又は公表をしなければならない。
（２）債権回収会社は、本人から直接、契約書その他書面による記載、ユーザー入力画面への打ち込み等の電磁的記録により、直接本人から個人情報を取得する場合には、あらかじめ、本人に対して、利用目的を明示しなければならない。この場合には、当該利用目的を書面に記載し、その書面と同一の書面をもって、当該目的に利用することについての本人の同意を取得することとする。
（３）債権回収会社は、利用目的を変更した場合は、変更された利用目的について、本人に通知し又は公表しなければならない。
（４）次に掲げる場合については、（１）から（３）の規定は適用しない。
ア 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
イ 利用目的を本人に通知し、又は公表することにより債権回収会社の権利又は正当な利益を害するおそれがある場合
ウ 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
21 /

56

エ

取得の状況からみて利用目的が明らかであると認められる場合（運用上の考え方）（注１）上記（１）の「通知」においては､取り扱う個人情報の具体的内容を明らかにする必要はないが、できる限り取り扱う個人情報の項目を明らかにすることとし、項目によって、利用目的が異なる場合には、それが明らかになるように記載することとし、利用目的と個人情報の項目の対応関係を明らかにして通知することとする。
事例）Ａ、Ｂ、Ｃという項目の個人情報を取り扱っており、Ａについては本業及び兼業ａを利用目的とし、Ｂについては本業のみを利用目的とし、Ｃについては兼業ａ及び兼業ｂを利用目的とする場合において、漫然と「個人情報Ａ、Ｂ、Ｃは本業並びに兼業ａ及びｂを利用目的とする。」というような包括的な通知をすべきではなく、その利用目的と個人情報の項目の対応関係を明らかにして通知する。
（注２）「公表」においては、本人ごとに個別に公表すること及び取り扱う個人情報の具体的内容を明らかにする必要はないが、できる限り取り扱う個人情報の項目を明らかにすることとし、項目ごとに利用目的が異なる場合には、それが明らかになるようにすることとする。
（注３）上記（２）の「本人から直接、契約書その他書面に記載された個人情報を取得する場合」とは、リファイナンスを行う際に債務者や連帯保証人､担保提供者の情報等を取得する場合などが考えられる。
（注４）上記（４）の個人情報取扱事業者が個人情報を取得した場合であって、その利用目的を本人に通知又は公表しなくてもよい法第２１条第４項に規定された適用除外事例は、以下の場合である。
①「利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合」の事例
事例） 児童虐待等に対応するために、児童相談所、学校、医療機関等の関係機関
において、ネットワークを組んで対応する場合に、加害者である本人に対して当該本人の個人情報の利用目的を通知・公表することにより、虐待を悪化させたり、虐待への対応に支障等が生じたりするおそれがある場合②「利用目的を本人に通知し、又は公表することにより債権回収会社の権利又は正当な利益を害するおそれがある場合」の事例
事例１）暴力団等の反社会的勢力情報、疑わしい取引の届出の対象情報、業務妨害行為を行う悪質者情報等を、本人又は他の事業者等から取得したことが明らかになることにより、当該情報を取得した企業に害が及ぶ場合事例） 通知又は公表される利用目的の内容により、当該個人情報取扱事業者が行う新商品等の開発内容、営業ノウハウ等の企業秘密にかかわるようなものが明らかになる場合③「国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき」の事例
22 /

56

事例） 警察が、公開手配を行わないで、被疑者に関する個人情報を、被疑者の立ち回りが予想される個人情報取扱事業者に限って提供した場合において、警察から当該個人情報を受け取った当該個人情報取扱事業者が、利用目的を本人に通知し、又は公表することにより、捜査活動に支障を及ぼすおそれがある場合④「取得の状況からみて利用目的が明らかであると認められる場合」の事例
事例１）商品・サービス等を販売・提供するに当たって住所・電話番号等の個人情報を取得する場合で、その利用目的が当該商品・サービス等の販売・提供のみを確実に行うためという利用目的であるような場合
事例２）一般の慣行として名刺を交換する場合、書面により、直接本人から、氏
名・所属・肩書・連絡先等の個人情報を取得することとなるが、その利用目的が今後の連絡のためという利用目的であるような場合（ただし、ダイレク
トメール等の目的に名刺を用いることは自明の利用目的に該当しない場合があるので注意を要する。）
事例３）事務代行業務として個人情報の入力等の処理業務の委託を受けて、委託者の指示の下、機械的な事務として当該個人情報を取り扱う場合
１０ データ内容の正確性の確保（個人情報保護法第２２条関係）（１）債権回収会社は、利用目的の達成に必要な範囲内において、個人情報データベース
等への個人情報の入力時の照合及び確認の手続の整備、誤り等を発見した場合の訂正等の手続の整備、記録事項の更新、保存期間の設定等を行うことにより、個人データを正確かつ最新の内容に保つよう努めなければならない。
（２）債権回収会社は、保有する個人データについて利用する必要がなくなったとき（利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合又は利用目的が達成されなかったものの当該目的の前提となる事
業自体が中止となった場合等）は、当該個人データを遅滞なく消去するよう努めなけ
ればならない。ただし、法令の定めにより個人データの保存期間等が定められている
場合は、この限りではない。
（３）前２項の規定の目的を達成するために、債権回収会社は、次のような手続等を整備することとする。
ア 個人情報データベース等への個人データ入力時の照合・確認の手続
イ 個人データの誤り等を発見した場合の訂正・追加・削除の手続
ウ 不要となった個人データの消去・返還の手続（４）債権回収会社は、個人データの保存期間を設定し、利用目的の達成に必要のなくなった、次のような個人データ等は、速やかに返還又は消去するなどして取扱いを止めることとする。
ア 保存期間の満了したサービサー法第２０条に基づく法定帳 簿に記載された個人
データ
イ 債権の買取査定のために個人データを取得したが、結局債権を譲り受けなかった
場合の当該個人データ
23 /

56

（運用上の考え方）（注１）（１）の努力義務は、評価又は判断に関する個人データには及ばない。
（注２）「正確かつ最新の内容」とは、利用目的に照らして最新の事実と一致することをいう。したがって、保有する個人データを一律に又は常に最新化する必要はな
く、それぞれの利用目的に応じて、その必要な範囲内で正確性・最新性を確保すれば足りる。
（注３）「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む。
１1

安全管理措置（個人情報保護法第２３条関係）
債権回収会社は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個
人データの安全管理のために必要かつ適切な措置を講じなければならない。
その際、債権回収会社において、個人データが漏えい、滅失又はき損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況並びに個人データを記録した媒体の性質等に起因するリスクに応じ、必要かつ適切な措置を講ずることとする。
まず、債権回収会社は、個人データの適正な取扱いの確保について組織として取り組
むために、基本方針を策定することが重要である。なお、具体的に定める項目の例としては、２８を参照することとする。
また、債権回収会社は、その取り扱う個人データの漏えい等の防止その他の個人デー
タの安全管理のために、個人データの具体的な取扱いに係る規律を整備しなければならない。
これらの対応を行った上で、個人データの安全管理措置を講じる必要があるところ、
一般に当該安全管理措置は、組織的安全管理措置、人的安全管理措置、物理的安全管理
措置及び技術的安全管理措置に大別される。
（組織的安全管理措置において講ずべき措置）
・組織体制の整備
・個人データの取扱いに係る規律に従った運用
・個人データの取扱状況を確認する手段の整備・漏えい等の事案に対応する体制の整備
・取扱状況の把握及び安全管理措置の見直し（人的安全管理措置において講ずべき措置）
・従業者の教育（物理的安全管理措置において講ずべき措置）
・個人データを取り扱う区域の管理・機器及び電子媒体等の盗難等の防止
・電子媒体等を持ち運ぶ場合の漏えい等の防止
・個人データの削除及び機器、電子媒体等の廃棄（技術的安全管理措置において講ずべき措置）
24 /

56

・アクセス制御
・アクセス者の識別と認証
・外部からの不正アクセス等の防止・情報システムの使用に伴う漏えい等の防止
特に、債権回収会社の内部又は外部からの不正行為による個人データの漏えい等を防止するための手法として、例えば次のような措置を講ずることとする。
（１）責任の所在の明確化のための措置（例）・債権回収会社内の個人データの取扱いの点検・改善等の監督を行う部署の設置
・債権回収会社内の個人データの取扱いの点検・改善等の監督を行う合議制の委員
会の設置（２）新たなリスクに対応するための、安全管理措置の評価、見直し及び改善に向けた監査実施体制の整備（例）
・個人情報保護対策及び最新の技術動向を踏まえた情報セキュリティ対策に十分な知見を有する者による事業者内の対応の確認（必要に応じ、外部の知見を有する者を活用し確認させることを含む。）（３）漏えい等に早期に対処するための体制整備（例）・漏えい等が発生した場合又は発生のおそれがある場合の連絡体制の整備（４）不正な操作を防ぐための、個人データを取り扱う端末に付与する機能の、業務上の必要性に基づく限定（例）・スマートフォン、パソコン等の記録機能を有する機器の接続の制限及び機器の更新への対応（５）入館（室）者による不正行為等の防止のための、業務実施場所及び情報システム等の設置場所の入退館（室）管理の実施（例）
・入退館（室）の記録の保存
・個人データを取り扱う機器・装置等の破壊、火災、停電等からの保護（６）盗難等の防止のための措置（例）
・カメラによる撮影や作業への立会い等による記録又はモニタリングの実施・記録機能を持つ媒体の持込み・持出し禁止又は検査の実施
・離席時の個人データの放置禁止（７）次の各事項に関する個人データの保護に関する内部規程類の策定及びこれに従った運用
・安全管理に関する組織的事項

25 /

56

・個人データの取扱いの各場面（取得・入力、照合・確認、移送・送信、利用・加工、保管・バックアップ、訂正・追加及び消去・廃棄・返還等の作業）に関する
手続的事項
・防犯、防災のための物理的保護の設備及び機器設置環境に関する事項
・情報システムの安全管理に関する事項
・従業者に対する教育研修に関する事項
・個人データの取扱いを委託する場合の委託先の監督に関する事項（委託先の評価
及び選定基準並びに委託契約に盛り込むべき事項を含む。）
・従業者及び委託先に対する監査に関する事項
・個人データの漏えい等発生時の対処に関する事項
・法令及び内部規程違反への対処に関する事項
１２ 従業者の監督（個人情報保護法第２４条関係）
債権回収会社は､その従業者に個人データを取り扱わせる場合には、当該個人データの安全管理が図られるよう、当該従業者に対し、必要かつ適切な監督を行わなければならない。
その際、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人データの取扱状況等に起因するリスクに応じ、個人データを取り扱う従業者に対する教育及び研修等の内容及び頻度を充実させるなど、必要かつ適切な措置を講ずることが望ましい。
（運用上の考え方）（注１）「従業者」とは、債権回収会社内の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者等をいい、雇用関係にある従業員（正社
員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、取締役、執行役、監査役、監事、派遣社員等も含まれる。
１３ 委託先の監督（個人情報保護法第２５条関係）（１）債権回収会社は、個人データの取扱いの全部又は一部を委託する場合は、委託を受けた者（以下「委託先」という。）において当該個人データについて安全管理措置が適切に講じられるよう、委託先に対し必要かつ適切な監督をしなければならない。
（２）債権回収会社は、前項の委託先の監督に関し、取扱いを委託する個人データの内容を踏まえ、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に起因するリスクに応じて、次のアからウまでに掲げる必要かつ適切な措置を講じなければならない。
ア 適切な委託先の選定
イ 委託契約の締結
ウ 委託先における個人データ取扱状況の把握

26 /

56

（運用上の考え方）（注１）「委託」とは、契約の形態・種類を問わず､債権回収会社が他の者に個人デー
タの取扱いの全部又は一部の処理を依頼する契約をいう。
（注２）委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第２３条
で求められるものと同等であることを確認するため、当該ガイドライン等に定める各項目が、委託する業務内容に沿って、確実に実施されることについて、委託先の体制、規程等の確認に加え、必要に応じて個人データを取り扱う場所に赴く又はこれに代わる合理的な方法による確認を行った上で、個人情報保護管理者等が適切に評価することとする。
（注３）（２）における「必要かつ適切な監督」として、次のような措置を講ずることとする。
【委託契約に盛り込む事項】
委託契約には、具体的な安全確保措置等に関する事項として、例えば、次の事項を明記する。
・委託先の秘密の保持に関する事項
・委託元及び委託先の責任の明確化に関する事項
・再委託に関する事項（再委託の禁止又は再委託する場合の個人データ保護の水準の条件等）
・個人データの取扱いの制限に関する事項（委託契約範囲外の取扱いの禁止等）に関する事項
・個人データの取扱いに係る安全管理措置に関する事項
・個人データの管理状況の報告及び監査に関する事項
・個人データの漏えい等発生時の対処に関する事項
・委託終了時における個人データの返還・消去に関する事項
・契約に違反した場合の契約解除の措置その他必要事項（「その他必要事項」として
は、善良なる管理者の注意義務及び漏えい等事案発生時における被害に対する損害賠償責任などがある。）【委託先の管理】
委託先における委任された個人データの取扱状況を把握するためには、定期的に監査を行う等により、委託契約で盛り込んだ内容の実施の程度を調査した上で、その結果を記録するとともに、個人情報保護管理者等が委託の内容等の見直しを検討することを含め、適切に評価し、改善すべき事項があれば必要な措置を講ずることとする。
（注４）委託先が再委託を行おうとする場合は、委託元は委託を行う場合と同様、再委託の相手方、再委託する業務内容及び再委託先の個人データの取扱方法等について、委託先に事前報告又は承認手続を求める、直接又は委託先を通じて定期的に監査を実施するなどにより、委託先が再委託先に対して本条の委託先の監督を適切に果たすこと、再委託先が法第２３条に基づく安全管理措置を講ずることを十分に確認することとする。再委託先が再々委託を行う場合以降も、再委託を行う場合と同
様とする。

27 /

56

１４

第三者提供の制限（個人情報保護法第２７条関係）（１）債権回収会社は､あらかじめ、本人の同意を得ないで、個人データを第三者に提供してはならない。
「同意」については、２（１９）と同様であるが、さらに、次の事項を本人に対してあらかじめ書面で示した上で同意を得ることとする。
ア 個人データの提供先の第三者の氏名又は名称及び連絡先
イ 第三者に提供される個人データの項目
ウ 提供先での個人データの利用目的（２）次に掲げる場合は、（１）の規定にかかわらず、本人の同意を得ることなく、個人データを第三者に提供することができる。
ア 法令に基づく場合
イ 人の生命、身体又は財産（法人の財産を含む。）の保護のために個人データを第三者に提供する必要がある場合であって、本人の同意を得ることが困難であるとき。
ウ 公衆衛生の向上又は児童の健全な育成の推進のために特 に個人データを第三者に提供する必要がある場合であって、本人の同意を得ることが困難であるとき。
エ 国の機関若しくは地方公共団体又はその委託を受けた者 が法令の定める事務を遂行することに対して債権回収会社が協力する場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるときに、個人データを第三者に提供する場合
オ 学術研究機関等が個人情報を学術研究の用に供する目的で取り扱う必要があるとき（ただし、個人の権利利益を不当に侵害するおそれがある場合を除く）。
カ 学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（ただし、個人の権利利益を不当に侵害するおそれがある場合を除く）。
上記アからカに該当する例は、５（３）（運用上の考え方）（注２）と同様である。
（３）債権回収会社は、本業において、法第２７条第２項に基づく個人データの第三者提供（オプトアウト方式による第三者提供）は用いないこととする。また、債権回収会
社は、兼業において、新たにオプトアウトを用いる場合は、サービサー法第１２条により本業についての専業義務が課されていることを踏まえ、兼業承認を受けた範囲を超えて業務を行わないこととし、必要に応じて兼業承認を受けることとする。
（４）債権回収会社が個人信用情報機関に加盟している場合は、個人信用情報機関に対する個人データの提供にあたっては、オプトアウトを用いないこととし、あらかじめ本
人の同意を得ることとする。
（５）次に掲げる場合において、当該個人データの提供を受ける者は「第三者」に該当しないものとし、（１）から（３）までの規定にかかわらず、債権回収会社は当該個人データを提供することができる。
ア 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱
いの全部又は一部を委託する場合
イ 合併その他の事由による事業の承継に伴って個人データが提供される場合
28 /

56

ウ 個人データを特定の者との間で共同して利用する場合であって、次に掲げる事項
について、当該共同利用をする前にあらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いている場合（ア）共同利用をする旨（イ）共同して利用される個人データの項目（ウ）共同して利用する者の範囲（エ）利用する者の利用目的（オ）当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
ただし、（イ）又は（ウ）の規定に掲げる事項を変更する場合は、あらかじめ本人の同意を得なければならない。
また、（エ）又は（オ）の規定に掲げる事項を変更する場合は、変更する内容について、変更前にあらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
（６）債権回収会社が、個人信用情報機関（個人の返済能力又は支払能力に関する情報の収集及び会員に対する当該情報の提供を業とする者をいう。以下同じ。）に対し個人データを提供する場合には、当該提供が（５）ウの規定に該当する場合であっても、あらかじめ本人の同意を得ることとする（ただし、債権回収会社が債権の譲受け又は委託を受ける以前に債権者において、当該個人信用情報機関への個人データの提供について本人の同意を得ている場合は、この限りでない。）。この場合及び（１）の規定（法第２７条第１項）により同意を得るに当たっては、（１）アからウまでの事項に加えて、個人データが個人信用情報機関及び当該個人信用情報機関と提携する個人
信用情報機関並びにこれらの会員企業にも提供される旨を示すこととする。
また、できる限り、個人信用情報機関の加入資格に関する規約、個人信用情報機関
及び当該個人信用情報機関と提携する個人信用情報機関に加入する会員企業のリストについては、本人が容易に知り得る状態に置くこととする。
（運用上の考え方 ）（注１）「第三者」とは、一般に、①当該個人データによって特定される本人、②当該個人データを提供しようとする個人情報取扱事業者以外の者をいい、自然人、法人
その他の団体を問わない。
（注２）債権管理回収業において、以下の事例は、第三者提供に係る本人の同意取得は必ずしも必要ない。
ア 債権譲渡等に伴う個人データの移転
債権譲渡に付随して譲渡人から譲受人に対して当該債権の管理に必要な範囲において債務者及び保証人等に関する個人データが提供される場合には、法第27条第１項により求められる第三者提供に関する本人の同意が推定されるものとして、また債権譲渡又はこれに関連して行われるデューデリジェンス若しくは譲受人の選定等当然必要な準備行為については、債権の管理に必要な範囲に含まれることから同意の推定が及ぶものとして取り扱うことができる。

29 /

56

なお、本人たる債務者又は保証人等が債権譲渡に伴う個人データの第三者提供について明示的に拒否する意思を示し、これにより当該債権の管理に支障を来し、債権の譲渡人又は譲受人の財産等の保護のために必要な場合には、法第２７条第１項第二号に該当する。
以上の考え方は、証券化の場合にも適用されるものと解される。
法第２７条第５項において「委託」及び「合併その他の事由による事業の承継」
は「第三者に該当しない」と規定されているため、債権回収業務やM&Aのうち、法上の「委託」又は「事業の承継」とみなされるものについては、そもそも第三者提供に関する同意は必要ないものとされている（内閣府個人情報保護推進室による金融審議会特別部会における平成１６年１２月２０日付回答）。
イ 債権管理回収委託契約に基づく受託債権に関する個人データの移転（法第２７条
第５項第一号）「利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託する場合」とは、例えば、債権の管理及び回収の委託に当たり、それに必要な個人データの取扱いの委託を、委託者の利用目的の達成に必要な範囲内において行
う場合がこれに該当する。そこで、本業及び兼業のいずれの場合であっても債権管理及びそれに必要な個人データの取扱いの全部又は一部を受託し、委託者の利用目的の達成に必要な範囲で個人データを取り扱う場合はこれに該当し、本人の同意は必要ない。
（運用上の考え方）（注）債権回収会社が譲受債権、受託債権に関して、債権回収目的など個人データの利用目的達成に必要な範囲内において、データ処理、レター処理、システムバック
アップ等の業務を第三者に委託を行う場合は、第三者提供とはならない。ただし、法に基づき、個人データの取扱いについての委託先の管理監督義務が課せられている点に留意する。
ウ 関係会社等との間で個人データを共同利用する場合（法第２７条第５項第三号）
債権回収会社が関係会社と本業又は兼業において、個人データを共同利用する場
合には、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くことにより、第三者提供に該当しない。共同利用にあたっては、以下の点に留意する。
なお、既に特定の事業者が取得している個人データを他の事業者と共同して利用する場合には、当該共同利用は、社会通念上、共同して利用する者の範囲や利用目的等が当該個人データの本人が通常予期し得ると客観的に認められる範囲内である
必要がある。その上で、当該個人データの内容や性質等に応じて共同利用の是非を判断し、既に取得している事業者が法第１７条第１項の規定により特定した利用目的の範囲で共同して利用しなければならない。
（ア）「共同利用」する場合には、所定の各事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
なお、所定の各事項のうち「当該個人データの管理について責任を有する者」（以下「管理責任者」という。）の氏名又は名称及び住所並びに法人にあって

30 /

56

は、その代表者の氏名が変更される場合には、その変更内容を通知又は本人が容易に知り得る状態に置かなければならない。
（イ）「共同して利用する者の範囲」は、本人が理解可能な程度に、客観的に明確に示さなければならないが、これに加えて、できる限り個別企業名を示すこととする。
（ウ）「利用する者の利用目的」については、４（２）と同様である（エ）「管理責任者」とは、当該個人データに係る苦情処理の責任を負い、個人デー
タの内容等について、共同で利用する者の中で第一次的に開示、訂正等又は利用停止等を行う権限を付与されている者であり、複数であっても差し支えない。なお、管理者以外の共同利用者における安全管理責任等を免除する趣旨ではないことに留意する。
（オ）本人への通知は、書面によることとする。
（カ）「本人が容易に知り得る状態」とは、事務所の窓口等への書面の掲示、備付けやホームページへの掲載その他の継続的方法により、本人が知ろうとすれば、時間的にも手段的にも簡単に知ることができる状態をいい、事業の性質及び個人情報の取扱状況に応じ、本人が確実に認識できる適切かつ合理的な方法によらなければならない。
（本人が容易に知り得る状態に該当する事例）
事例１）本人が閲覧することが合理的に予測される個人情報取扱事業者のホームページにおいて、本人が分かりやすい場所（例：ホームページのトップページから１回程度の操作で到達できる場所等）に法に定められた事項を分かりやすく継続的に掲載する場合
事例２）本人が来訪することが合理的に予測される事務所の窓口等への掲示、備付け等が継続的に行われている場合
事例３）本人に頒布されている定期刊行物への定期的掲載を行っている場合（キ）共同利用の対象となる個人データの提供については、必ずしも全ての共同利用
者が双方向で行う必要はなく、一部の共同利用者に対し、一方向で行うこともできる。
（ク）債権回収会社が共同利用を実施する場合には、共同利用者における責任等を明確にし円滑に実施する観点から、例えば、次の事項についても、あらかじめ取り
決めておくことが望ましい。
・共同利用者の要件（グループ会社であること、特定のキャンペーン事業の一員であること等、共同利用による事業遂行上の一定の枠組み）
・各共同利用者の個人情報取扱責任者、問合せ担当者及び連絡先
・（ａ）共同利用する個人データの取扱いに関する事項、（ｂ）個人データの漏えい等防止に関する事項、（ｃ）目的外の加工、利用、複写、複製等の禁止（ｄ）共同利用終了後のデータの返還、消去、廃棄に関する事項
・共同利用する個人データの取扱いに関する取決めが遵守されなかった場合の措
置
31 /

56

・共同利用する個人データに関する事件・事故が発生した場合の報告・連絡に関する事項
・共同利用を終了する際の手続（ケ）共同利用か委託かは、個人データの取扱いの形態によって判断されるものであって、共同利用者の範囲に委託先事業者が含まれる場合であっても、委託先との関係は、共同利用となるわけではなく、委託元は委託先の監督義務を免れるわ
けではない。
１５ 外国にある第三者への提供の制限（個人情報保護法第２８条関係）
債権回収会社は、外国（本邦の域外にある国又は地域をいう。以下同じ。）にある第三者に個人データを提供するに当たっては、次の各号のいずれかに該当する場合を除き、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。
（１）当該第三者が、我が国と同等の水準にあると認められる個人情報保護制度を有している国として個人情報保護法施行規則で定める国にある場合。
（２）当該第三者が、個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制として以下のいずれかの基準に適合する体制を整備している場合。
ア 債権回収会社と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第４章第２節の規定の趣旨に沿った措置の実施が確保されていること。
イ

個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。
（３）法第２７条第１項各号に該当する場合。
（運用上の考え方）（注１）債権回収会社は、外国にある第三者への個人データの提供を認める旨の本人の同意を取得しようとする場合には、規則第１７条第２項から第４項までの規定により求められる情報を本人に提供しなければならない。
（注２）（１）における「規則で定める国」とは、平成３１年個人情報保護委員会告示第１号に定める国を指す。具体的には、ＥＵ及び英国が該当する。なお、ここでいうＥＵとは、「個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国等」（平成３１年個人情報保護委員会告示第１号）に定める国を指す（ただし、英国は含まない。）。
（注３）上記（２）において、外国にある第三者が「個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制」を整備していることを根拠として、当該外国にある第三者に対して個人データの提供を行った場合には、債権回収会社は、当該外国にある第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供する必要がある（法２８条３項）。
（注４）クラウドサービスの内容は契約により異なり得るところ、一律に規定することはできないものと考えられるものの、一般論として、契約条項により「外国にある
32 /

56

第三者」が個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等においては、当該「外国にある第三者」は当該個人データの提供を受けて取り扱っているとはいえない場合も想定される。
１６ 第三者提供に係る記録の作成等（個人情報保護法第２９条関係）（１）第三者提供に係る記録の作成等
債権回収会社は、個人データを第三者（２（５）アからエまでに掲げる者を除く。以下、この条及び次条において同じ。）に提供したときは、以下の表で定める事項に関する記録を都度作成しなければならない。ただし、当該個人データの提供が１４（２）アからエ又は１４（５）アからカのいずれか（１５の規定による個人データの提供にあっては、１４(２）アからカのいずれか）に該当する場合は、この限りでない。
（記録事項）
本人の同意による第三者提供

オプトアウトによる
第三者提供

〇

提供年月日
第三者の氏名等〇〇

本人の氏名等〇〇

個人データの項目〇〇

本人の同意を得ている旨〇（２）前項にかかわらず、債権回収会社が一定の期間内に特定の事業者との間で継続的に又は反復して個人データを授受する場合は、個々の授受に係る記録を作成する代わりに、一括して記録を作成することができる。
（３）（１）にかかわらず、債権回収会社が、本人に対する物品又は役務の提供に係る契約を締結し、かかる契約の履行に伴って、契約の締結の相手方を本人とする個人デー
タを当該債権回収会社から第三者に提供する場合は、当該提供の際に作成した契約書
その他の書面をもって個人データの流通を追跡することが可能であることから、当該契約書その他の書面をもって記録とすることができる。
（４）債権回収会社は、前項までに基づき作成した記録を、以下の各号の規定に基づく期
間、保存しなければならない。
①上記（３）に規定する方法により記録を作成した場合
最後に当該記録に係る個人データの提供を行った日から起算して１年を経過する日までの間②上記（２）に規定する方法により記録を作成した場合
最後に当該記録に係る個人データの提供を行った日から起算して３年を経過する日
までの間
33 /

56

③前二号以外の場合３年（運用上の考え方）（注１）次の①及び②に該当する場合は、確認・記録義務は適用されない。なお、記録・確認義務の趣旨に鑑みて、その他にも、実質的に同義務が適用されない類型があることを排除するものではない。
①本人による提供
事業者が運営するＳＮＳ等に本人が入力した内容が、自動的に個人データとして
不特定多数の第三者が取得できる状態に置かれている場合は、実質的に「本人による提供」をしているものである。
したがって、債権回収会社がＳＮＳ等を通じて本人に係る個人データを取得した
ときでも、ＳＮＳ等の運営事業者及び取得した債権回収会社の双方において、確認・記録義務は適用されない。
【本人による提供に該当する事例】
事例）ＳＮＳ上で、投稿者のプロフィール、投稿内容等を取得する場合②本人に代わって提供
債権回収会社が本人からの委託等に基づき当該本人の個人データを第三者提供する場合は、当該債権回収会社は「本人に代わって」個人データの提供をしているものである。したがって、この場合の第三者提供については、提供者・受領者のいずれに対しても確認・記録義務は適用されない。
債権回収会社が本人からの委託等に基づいて個人データを提供しているものと評価し得るか否かは、主に、委託等の内容、提供の客体である個人データの内容、提供するとき及び提供先の債権回収会社等の要素を総合的に考慮して、本人が当該提供を具体的に特定できているか否かの観点から判断することになる。
【本人に代わって個人データを提供している事例】
事例１）本人から、別の者の口座への振込依頼を受けた仕向銀行が、振込先の口座を有する被仕向銀行に対して、当該振込依頼に係る情報を提供する場合
事例２）事業者のオペレーターが、顧客から販売商品の修理依頼の連絡を受けたた
め、提携先の修理業者につなぐこととなり、当該顧客の同意を得た上で当該顧客に代わって、当該顧客の氏名、連絡先等を当該修理業者に伝える場合
事例３）事業者が、取引先から、製品サービス購入希望者の紹介を求められたた
め、顧客の中から希望者を募り、購入希望者リストを事業者に提供する場合
事例４）本人がアクセスするサイトの運営業者が、本人認証の目的で、既に当該本人を認証している他のサイトの運営業者のうち当該本人が選択した者との間で、インターネットを経由して、当該本人に係る情報を授受する場合
事例５）保険会社が事故車の修理手配をする際に、本人が選択した提携修理工場に
当該本人に係る情報を提供する場合
事例６）取引先・契約者から、専門業者・弁護士等の紹介を求められ、専門業者・弁護士等のリストから紹介を行う場合

34 /

56

事例７）事業者が、顧客から電話で契約内容の照会を受けたため、社内の担当者の氏名、連絡先等を当該顧客に案内する場合
事例８）本人から、取引の媒介を委託された事業者が、相手先の候補となる他の事業者に、価格の妥当性等の検討に必要な範囲の情報を提供する場合（注２）代行により記録を作成する方法
提供者・受領者のいずれも記録の作成方法・保存期間は同一であることに鑑みて、提供者（又は受領者）は受領者（又は提供者）の記録義務の全部又は一部を代替して行うことができる（提供者と受領者の記録事項の相違については留意する必要がある。）。なお、この場合であっても、提供者及び受領者は自己の義務が免責されるわけではないことから、実質的に自らが記録作成義務を果たしているものと同等の体制を構築しなければならない。
（注３）譲渡対象債権のデューデリジェンスの場合
債権回収会社が金融機関等から債権の買取りを行うに際して、当該金融機関等と守秘義務契約を締結して入札に参加する場合において、当該債権回収会社が当該金融機関等から提供を受けた債務者データ（個人データ）を利用して、譲渡対象債権のデューデリジェンスを行って入札価格を提示したものの、当該債権回収会社が落札に至らなかったために、守秘義務契約に基づき当該データを速やかに削除する例においては、当該データの提供の形態は実質的に委託又は事業承継に類似するものと認められ、また、守秘義務契約において提供の対象となる個人データを削除することとなっているものである。そのため、その他確認・記録義務を課すべき特段の事情がないものといえ、当該債権回収会社には、確認・記録義務は適用されないものと考えられる。
１７ 第三者提供を受ける際の確認等（個人情報保護法第３０条関係）（１）債権回収会社は、第三者から個人データの提供を受けるに際しては、以下の各号に定める方法により、次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供が１４（２）アからカ又は１４（５）アからウのいずれかに該当する
場合は、この限りでない。
①当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名
個人データを提供する第三者から申告を受ける方法その他の適切な方法②当該第三者による当該個人データの取得の経緯
個人データを提供する第三者から当該第三者による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法（２）上記（１）の第三者は、債権回収会社が同項の規定による確認を行う場合において、当該債権回収会社に対して、当該確認に係る事項を偽ってはならない。
（３）債権回収会社は、上記（１）の規定による確認を行ったときは、以下の表で定める事項に関する記録を都度作成しなければならない。

35 /

56

（記録事項）
本人の同意による提供を受けた場合

オプトアウトによる提供を受けた場合

個人情報保護委員会による公表○

提供を受けた年月日○

私人などから
提供を受けた場合

第三者の氏名等

○

○

○

取得の経緯

○

○

○

本人の氏名等○○○

個人データの項目○○○

本人の同意を得ている旨○（４）上記（３）にかかわらず、債権回収会社が一定の期間内に特定の事業者との間で継続的に又は反復して個人データを授受する場合は、個々の授受に係る記録を作成する
代わりに、一括して記録を作成することができる。
（５）上記（３）にかかわらず、債権回収会社が、本人に対する物品又は役務の提供に係る契約を締結し、かかる契約の履行に伴って、契約の締結の相手方を本人とする個人
データについて他の事業者から提供を受ける場合は、当該提供の際に作成した契約書
その他の書面をもって個人データの流通を追跡することが可能であることから、当該契約書その他の書面をもって記録とすることができる。
（６）債権回収会社は、前項までに基づき作成した記録を、以下の各号の規定に基づく期
間、保存しなければならない。
①上記（５）に規定する方法により記録を作成した場合
最後に当該記録に係る個人データの提供を受けた日から起算して１年を経過する日までの間②上記（４）に規定する方法により記録を作成した場合
最後に当該記録に係る個人データの提供を受けた日から起算して３年を経過する日までの間③①②以外の場合３年（運用上の考え方）（注１）１６の（運用上の考え方）（注１）記載の①本人による提供や、②本人に代わって提供に該当する場合には、同様に確認・記録義務は適用されない。なお、記

36 /

56

録・確認義務の趣旨に鑑みて、その他にも、実質的に同義務が適用されない類型があることを排除するものではない。
（注２）代行により記録を作成する方法
提供者・受領者のいずれも記録の作成方法・保存期間は同一であることに鑑みて、提供者（又は受領者）は受領者（又は提供者）の記録義務の全部又は一部を代替して行うことができる（提供者と受領者の記録事項の相違については留意する必要がある。）。なお、この場合であっても、提供者及び受領者は自己の義務が免責されるわけではないことから、実質的に自らが記録作成義務を果たしているものと同等の体制を構築しなければならない。
１８ 個人関連情報の第三者提供（個人情報保護法第３１条関係）（１）債権回収会社が、個人関連情報取扱事業者から法第３１条第１項の規定による個人
関連情報の提供を受けて個人データとして取得する場合には、あらかじめ次の措置を行う必要がある。 ただし、１４（２）アからカに掲げる場合についてはこの限りでない。
①債権回収会社が個人関連情報取扱事業者から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていること。
②外国にある第三者への提供に該当する場合には、上記①の本人の同意を得ようとする場合において、あらかじめ、以下の各号に掲げる情報が当該本人に提供されていること。ただし、上記１５（１）及び（２）に該当する場合は確認する必要はない。
ア 当該外国の名称
イ 適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報
ウ 当該第三者が講ずる個人情報の保護のための措置に関する情報（２）上記（１）に掲げる事項の確認を行う方法は、以下の方法とする。
ア 上記（１）①に掲げる事項の確認を行う方法
個人関連情報の提供を受ける第三者から申告を受ける方法その他の適切な方法
イ 上記（１）②に掲げる事項の確認を行う方法
同②の規定による情報の提供が行われていることを示す書面の提示を受ける方法その他の適切な方法
ウ 既に上記ア又はイの方法による確認を行っている場合において、同一本人に対して複数回にわたって個人関連情報の提供を受ける場合の確認方法（ただし、下記（３）にしたがって個人関連情報の提供元が上記ア又はイの方法による確認を行った記録を作成し、保存している場合に限る）
当該個人関連情報の提供に係る確認事項と既に確認を行った記録の内容が同一であることを確認する方法

37 /

56

（３）債権回収会社は、個人関連情報の提供を受ける場合において、上記（１）に定める確認を行ったときは、法第３１条第３項に基づき以下の表に定める事項に関する記録
を、個人関連情報を第三者に提供した都度、速やかに作成しなければならない。
（記録事項）
個人関連情報の第三者提供提供年月日
第三者の氏名等〇

本人の同意を受けている旨（参考）
オプトアウトによる第三者提供

〇

〇

〇

〇

〇

〇

〇

〇

〇

〇

〇

本人の氏名等
個人データ（個人関連情報）
の項目）

（参考）
本人の同意による第三者提供（注）外国にある第三者への提供の場合には、上記（１）②の情報提供についても記載する。
なお、一定の期間内に特定の事業者に対して継続的に又は反復して個人関連情報を提供する場合又は特定の事業者に対し個人関連情報を継続的に若しくは反復して提供することが確実であると見込まれる場合には、個々の提供に係る記録を作成する代わりに、一括して記録を作成することができる。ここでいう「継続的に若しくは反復して提供することが確実であると見込まれる場合」とは、例えば継続的に又は反復して個人関連情報を提供することを内容とする基本契約を締結することで、以後、継続的に又は反復して個人関連情報を提供することが確実であると見込まれる場合などが該当する。この場
合は、当該基本契約に係る契約書をもって記録とすることができる。
（４）上記（３）で作成した記録については、その作成方法に応じて以下の表に定める期間保存しなければならない。
（保存期間）
記録作成方法の別

保存期間

契 約 書 等 の 代 替 手 段 に よ る 方 最後に当該記録に係る個人関連情報の提供を行っ法」により記録を作成した場合 た日から起算して１年を経過する日までの間一括して記録を作成する方法」 最後に当該記録に係る個人関連情報の提供を行っにより記録を作成した場合た日から起算して３年を経過する日までの間
上述以外の場合

３年

38 /

56

（運用上の考え方）（注１）「個人データとして取得する」とは、提供を受けた債権回収会社において、個人データに個人関連情報を付加する等、個人データとして利用しようとする場合をいう。
（注２）債権回収会社が、提供を受けた個人関連情報を直接個人データに紐付けて利用しない場合は、別途、提供先の債権回収会社が保有する個人データとの容易照合性が排除しきれないとしても、「個人データとして取得する」場合には直ちに該当しない。
（注３）本人の同意は、原則として、書面によることとし、当該書面における記載を通じて、ア）対象となる個人関連情報の項目
イ）個人関連情報の提供を受けて個人データとして取得した後の利用目的を本人に認識させた上で同意を得ることとする。
（注４）本人の同意は、必ずしも第三者提供のたびに取得しなければならないものではなく、本人が予測できる範囲において、包括的に同意を取得することも可能である。
（注５）本人の同意を取得する主体は、本人と接点を持ち、情報を利用する主体となる提供先である債権回収会社となるが、同等の本人の権利利益の保護が図られることを前提に、同意取得を提供元の個人関連情報取扱事業者が代行することも認められる。ただし、同意を取得する主体が提供先又は同意取得を代行する提供元であることにかかわらず、個人関連情報の提供を受けて個人データとして取得する主体、対象となる個人関連情報の項目、個人関連情報の提供を受けて個人データとして取得した後の利用目的等について、本人が認識できるようにする必要があることに留意する。
１９ 保有個人データに関する事項の公表等（個人情報保護法第３２条関係）（１）債権回収会社は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態に置かなければならない。
ア 当該債権回収会社の商号、住所及び代表者の氏名
イ 全ての保有個人データの利用目的（９（４）の規定に該当する場合を除く。）
ウ 法第３２条第２項（本人から保有個人データの利用目的の通知を求められた場合）、法第３３条第１項（当該本人から保有個人データの開示の請求を受けた場
合）、法第３４条第１項（本人から訂正、追加又は削除の請求を受けた場合）若し
くは法第３５条第１項（法第１８条若しくは法第１９条の規定に違反して取り扱われている又は法第２０条の規定に違反して取得しているという理由で、利用の停止
又は消去の請求を受けた場合）、第３項（法第２７条第１項又は法第２８条の規定に違反しているという理由で当該保有個人データの第三者への提供の停止の請求を受けた場合）若しくは第５項（当該個人データを利用する必要がなくなった場合又は法第２６条第１項本文に規定する当該保有個人データの漏えい等の事態が生じた
場合その他当該保有個人データの取扱いにより本人の権利又は正当な利益が害され
39 /

56

るおそれがある場合において本人から当該保有個人データの利用の停止、消去又は第三者への提供の停止の請求を受けた場合）に応じる手続（開示に関する手数料を定めたときは、手数料の額を含む。）
エ 当該債権回収会社が行う保有個人データの取扱いに関する苦情を受け付ける担当
窓口名・係名、郵送用住所、受付電話番号その他の苦情申出先
オ 当該債権回収会社が認定個人情報保護団体（法第４７条第１項の認定を受けた者をいう。以下同じ。）の対象事業者である場合には、当該認定個人情報保護団体の名称及び苦情の解決の申出先（２）債権回収会社は、次の各号のいずれかに該当する場合を除き、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。なお、利用目的を通知しない旨の決定をしたときも、本人に対し、遅滞なく、当該決定をした旨を通知しなければならない。
ア （１）の規定（法第３２条第１項）により当該本人が識別される保有個人データの利用目的が明らかな場合
イ ９（４）の規定に該当する場合（３）債権回収会社は、上記（２）に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。当該通知には、通知を行わない旨に加え、法第３３条に従って、その理由を記載することとする。
２０ 保有個人データの開示 （個人情報保護法第３３条関係）（１）債権回収会社は、本人から電磁的記録の提供、書面の交付による方法その他債権回収会社が定める方法により保有個人データの開示（当該本人が識別される保有個人
データが存在しないときにその旨を知らせることを含む。以下同じ。）の請求を受けたときは、本人に対し、当該保有個人データを本人が請求した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合には書面の交付による方法）により、遅滞なく、当該保有個人データを開示しなければならない。ただし、次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
ア 保有個人データを開示することにより、本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
イ 保有個人データを開示することにより、当該債権回収会社の業務の適正な実施に著しい支障を及ぼすおそれがある場合
ウ 保有個人データを開示することが他の法令に違反することとなる場合（２）債権回収会社は、上記各号に該当して保有個人データの全部又は一部を開示しない旨の決定をしたとき、保有個人データが存在しないとき又は本人が請求した方法による開示が困難であるときは、本人に対し、遅滞なく、その旨を通知しなければならない（当該通知には、開示しない旨に加え、法第３６条に従って、その理由を記載することとする。）。

40 /56

（３）本人から開示の請求があった保有個人データの一部のみが法第３３条第２項各号のいずれかに該当する場合には、債権回収会社は、その残りの開示すべき部分について
は、開示を拒んではならない。
（４）保有個人データを開示するに当たっては、その具体的な開示方法に応じて、漏えい等の防止の観点を踏まえた上で、適切な措置を講じなければならない。例えば、電磁的記録の提供による方法によって保有個人データを開示する場合には、当該電磁的記録にパスワードを付す等の措置を講じることが考えられる。
（５）上記（１）から（４）の規定は、上記１７（３）に規定する記録及び上記１８（３）に規定する記録（以下それらを総称して「第三者提供記録」という。）について準用する。ただし、次のアからエまでのいずれかに該当するものを除く。また、明文又は解釈により法第２９条第１項又は第３０条第３項の規定が適用されない場合において、これらの規定に基づくことなく作成された記録は第三者提供記録に含まれない。
ア 当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの
イ 当該記録の存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの
ウ 当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの
エ 当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の
公共の安全と秩序の維持に支障が及ぶおそれがあるもの（６）債権回収会社は、本人から、当該本人が識別される個人データに係る第三者提供記
録の開示（存在しないときにはその旨を知らせることを含む。）の請求を受けたときは、本人に対し、電磁的記録の提供による方法、書面の交付による方法その他当該債権回収会社の定める方法のうち本人が請求した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）により、遅滞なく、当該第三者提供記録を開示しなければならない。
（７）第三者提供記録を開示することにより次のアからウまでのいずれかに該当する場合
は、その全部又は一部を開示しないことができるが、これにより開示しない旨の決定をしたとき又は請求に係る第三者提供記録が存在しないときは、遅滞なく、その旨を本人に通知しなければならない。また、本人が請求した方法による開示が困難である
ときは、その旨を本人に通知したうえで、書面の交付による方法により開示を行わなければならない。
ア 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
イ 個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
ウ 他の法令に違反することとなる場合（運用上の考え方）（注１）上記（１）アからウに該当するのは、例えば、次のような場合である。

41 /

56

ア 「保有個人データを開示することにより、本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合」の事例
事例）反社会的勢力に関する保有個人データであって、当該本人に開示することにより、当該反社会的勢力による業務妨害や従業者への危害を招くおそれがある場合
イ 「保有個人データを開示することにより、当該債権回収会社の業務の適正な実施に著しい支障を及ぼすおそれがある場合」の事例
事例１）同一の本人から複雑な対応を要する同一内容について繰り返し開示の請求があり、事実上問合せ窓口が占有されることによって他の問合せ対応業務が立ち行かなくなる等、業務上著しい支障を及ぼすおそれがある場合
事例２）本人が債権回収会社における保有個人データの取扱い等を把握する必要性
よりも、債権回収会社の企業秘密を保護する必要性が上回る特別の事情がある場合
事例３）当該保有個人データが債権回収会社等、本人以外の者による本人に関する評価又は判断であって、これを開示することにより、債権管理回収業務における本人たる債務者及び保証人との交渉の実施が著しく困難になるおそれがある場合
事例４）債権回収会社又は第三者企業の秘密・ノウハウに関する情報であって、当該債権回収会社又は第三者企業の業務の適正な実施に著しい支障を及ぼす場
合事例５）当該債権に対する評価、分類及び分析に関する情報であって、当該債権回収会社又は原債権者の業務の適正な実施に著しい支障を及ぼす場合
事例６）債権回収会社内部の償却、債権譲受け等に関する業務に基づき記録される情報であって、当該債権回収会社の業務の適正な実施に著しい支障を及ぼす場合
ウ 「保有個人データを開示することが他の法令に違反することとなる場合」の事例
事例）刑法（明治４０年法律第４５号）第１３４条（秘密漏示罪）に違反することとなる場合（注２）債権回収会社は、業務委託契約・債権譲渡契約に基づき複数のオリジネーターの債権を個人データとして管理しており、譲受債権については、債権回収会社が開示権限を有し、これに基づき開示する。委託を受け又は他に委託して債権の管理回収を行う場合、開示義務が委託者と受託者のいずれにあるかは、委託者と受託者の契約関係において受託者に個人データの開示又は内容の訂正等を行う権限が与えられているかどうかによる。したがって、受託者に当該権限が与えられている場合には、委託者及び受託者の双方に開示義務がある。受託者に当該権限が与えられていない場合には、委託者のみに開示義務がある。
（注３）債権回収会社が法律的な利害関係を有する者からの開示請求に応じて保有個人
データを開示することは、本人以外の第三者に対して個人データを提供する場合にあたり、法第２７条により当該開示が制限されることに留意する。
（注４）上記（５）のアからエに該当するのは、例えば以下の事例である。
42 /

56

ア 当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの
事例）犯罪被害者支援や児童虐待防止を目的とする団体が、加害者を本人とする個
人データの提供を受けた場合に作成された記録
イ 当該記録の存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの
事例）暴力団等の反社会的勢力による不当要求の被害等を防止するために、暴力団等の反社会的勢力に該当する人物を本人とする個人データの提供を受けた場
合に作成された記録
ウ 当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの
事例）要人の警備のために、要人を本人とする行動記録等に関する個人データの提供を受けた場合に作成された記録
エ 当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の
公共の安全と秩序の維持に支障が及ぶおそれがあるもの
事例）警察の犯罪捜査の協力のために、事前に取得していた同意に基づき、犯罪者を本人とする個人データの提供を行った場合に作成された記録（注５）上記（７）アからウに該当するのは、例えば、次のような場合である。
ア 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
事例１）第三者提供記録に個人データの項目として本人が難病であることを示す内容が記載されている場合において、当該第三者提供記録を開示することにより、患者本人の心身状況を悪化させるおそれがある場合
事例２）企業の与信判断等に用いられる企業情報の一部として代表者の氏名等が提供され、第三者提供記録が作成された場合において、当該第三者提供記録を開示することにより、提供を受けた第三者が与信判断、出資の検討、提携
先・取引先の選定等を行っていることを含む秘密情報が漏えいするおそれがある場合
イ 債権回収会社の業務の適正な実施に著しい支障を及ぼすおそれがある場合。な
お、他の事業者と取引関係にあることが契約上秘密情報とされている場合であっても、記録事項そのものを開示することについては、直ちにこれに該当するものではなく、個別具体的に判断する必要がある。
事例）同一の本人から複雑な対応を要する同一内容について繰り返し開示の請求があり、事実上問合せ窓口が占有されることによって他の問合せ対応業務が立ち行かなくなる等、業務上著しい支障を及ぼすおそれがある場合
ウ 他の法令に違反することとなる場合
事例）刑法第１３４条（秘密漏示罪）に違反することとなる場合

43 /

56

２１

訂正等（個人情報保護法第３４条関係）（１）債権回収会社は、本人から本人の識別される保有個人データの内容が事実でないという理由で、当該保有個人データの内容の訂正、追加又は削除（以下単に「訂正等」という。）の請求を受けた場合には、当該保有個人データの内容の訂正等に関して他の法令等の規定により特別の手続が定められている場合を除き、利用目的達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。
（２）上記（１）の訂正等の対象となる保有個人データは、「評価又は判断」に関する保有個人データ以外の保有個人データであるから、上記（１）の調査も「評価又は判断」に関する保有個人データ以外の保有個人データを対象として行うこととする。
（３）債権回収会社は、上記（１）の規定による請求に係る保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）
を通知しなければならない。また、利用目的から見て訂正等が必要でない場合や、本人からの誤りである旨の指摘が正しくない場合には、訂正等に応じる必要はないが、そういった場合を含め、訂正等を行わない旨の決定をしたときも、同様とする。
（４）上記（３）のうち訂正を行わない旨の通知には、訂正を行わない旨に加え、法第３６条に従って、その理由を記載することとする。
（運用上の考え方）（注１）受託債権に関して、委託者と受託者の契約関係によって、訂正等の権限者が決まることとなるため、本人から訂正等の請求のあった場合の対応について、例えば契約書において下記の事項を規定する等により、契約上取り決めをしておくことが望ましい。
ア 訂正等の請求があった場合の対応手順
イ 訂正等を行う場合の委託者及び受託者間の連絡手続
ウ 訂正等の対応を行う責任者（注２）譲受債権についての訂正等の請求に対しては、債権回収会社は、自ら調査を行うとともに必要に応じて譲渡人（原債権者を含む。）へ事実関係の調査依頼を行うなどの措置を講じることが望ましい。
（注３）調査結果とその結果に対する措置については、本人に対し、遅滞なく、通知しなければならない。この通知は、書面によることとし、例えば、以下の事項等を記載することが考えられる。
事例１）訂正等を行う場合の通知書の記載事項例調査した結果、訂正する理由、訂正後の内容、訂正した日、訂正責任者名、謝辞等
事例２）訂正等を行わない場合の通知書の記載事項例
本人の請求事由と調査結果、訂正を行わない理由とその旨、調査に関する責任
者名等

44 /

56

（注４）債権回収会社は、上記（注３）の通知を本人に対して送付するだけでなく、本人から訂正等の請求のあった事実及び当該通知書の内容を記録する等の社内措置を講じることが望ましい。
２２ 利用停止等（個人情報保護法第３５条関係）（１）債権回収会社は、本人から当該本人が識別される保有個人データが、法第１８条（利用目的の制限）の規定に違反して本人の同意なく目的外利用がされている若しくは法第１９条（不適正な利用の禁止）の規定に違反して不適正な利用が行われている、又は法第２０条（適正な取得）の規定に違反して偽りその他不正の手段により個人情報が取得され若しくは本人の同意なく要配慮個人情報が取得されたものであるという理由によって、当該保有個人データの利用の停止又は消去（以下「利用停止等」という。）の請求を受けた場合には、それら規定の違反の有無について事実関係の調査を行い、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置を講ずるときは、この限りでない。
（２）債権回収会社が保有個人データにつき、上記（１）の利用停止等を受けたときは、
法第２７条第５項第１号又は第３号の規定により当該個人データの提供を受けた者による利用を停止するために必要な措置を講じることとする。
（３）債権回収会社は、本人から、当該本人が識別される保有個人データが法第２７条第１項又は第２８条の規定に違反して第三者に提供されているという理由によって、当該保有個人データの第三者への提供の停止の請求を受けた場合には、規定の違反の有無について事実関係の調査を行い、その請求に理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置を講ずるときは、この限りでない。
（４）債権回収会社は、本人から次の①から③までのいずれかに該当する場合について
は、原則として、遅滞なく、利用停止等又は第三者提供の停止を行わなければならない。
①本人から、当該本人が識別される保有個人データを当該債権回収会社が利用する必要がなくなったという理由によって、当該保有個人データの利用停止等又は第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したとき②本人から、当該本人が識別される保有個人データについて法第２６条第１項本文に規定する漏えい等事案が生じたという理由によって、当該保有個人データの利用停止等又は第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したとき

45 /56

③本人から、当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがあるという理由によって、当該保有個人データの利用停止等又は第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したとき（５）債権回収会社は、上記（１）、（３）又は（４）により保有個人データの利用停止等を行ったとき（利用停止等を行わない旨の決定をしたときを含む。）又は上記（３）又は（４）により保有個人データの第三者への提供を停止したとき（第三者への提供を停止しない旨の決定をしたときを含む。）は、本人に対し、遅滞なくその旨を通知しなければならない。この通知は、書面によることとする。
（６）上記（５）の通知のうち、保有個人データの利用停止等を行わない旨の決定をした
場合又は第三者への提供を停止しない旨の決定をした場合の通知には、利用停止等を行わない旨又は第三者への提供を停止しない旨に加え、法第３６条に従って、その理由を記載することとする。
（７）債権回収会社は、サービサー法第２０条で定める法定帳簿の内容として一定期間保存することが義務付けられている保有個人データについて、本人から、上記（４）①に該当するものとして保有個人データの消去を求められた場合、上記（４）①の要件を満たす場合であっても、サービサー法第２０条を遵守するため、これを遅滞なく消去するのではなく、これに代わるべき措置として、法令上の保存期間の終了後に消去することを約束する等の代替措置を講じる必要があることに注意する。
（運用上の考え方）（注）債権回収会社の取り扱う債権は、業務委託契約又は債権譲渡契約に伴うものであり、両者ともに原債権者又は委託者から債権回収会社に対して個人情報の移転が行われているものの、受託債権又は譲受債権の別により、以下のとおり利用停止の権限者が異なることに留意する。
ア 受託債権利用停止等の権限者は委託契約により委託者、受託者のいずれか又は双方となる
が、利用停止等の権限の所在いかんにかかわらず、（ア）本人の請求の理由が受託時点までにおける法第１８条若しくは法第１９条又は法第２０条違反の事実に関するものである場合には、委託者による調査が求められる。そこで、受託者は、本人から利用停止等の請求があった時点で、その旨を委託者に通知するとともに、事実調査及び対応措置に関して委託者と協力することとする。（イ）本人の請求の理由が受託後の債権回収会社に関するものである場合には、委託者に連絡するとともに、自社に法第１８条若しくは法第１９条又は法第２０条違反の事実があるかない
かの事実調査を行うこととする。
イ 譲受債権利用停止等の権限者は債権回収会社であることから、債権回収会社は、法第１８条若しくは法第１９条又は法第２０条の規定に違反の事実関係に関して、債権回収
会社は、独自に調査を行うとともに必要に応じて譲渡人（原債権者を含む。）に対し事実関係の調査依頼、調査への協力要請などの措置を講じることが望ましい。

46 /

56

２３

理由の説明（個人情報保護法第３６条関係）

債権回収会社は、法第３２条第３項（本人から保有個人データの利用目的の通知を求められ、通知しない旨の決定をした場合）、法第３３条第３項（開示請求に対し、保有個人データの全部又は一部について開示しない旨の決定をした場合）、法第３４条第３項（保有個人データの内容の全部若しくは一部の訂正を行ったとき又は訂正等を行わない旨決定をした場合）、法第３５条第７項（保有個人データの内容の全部若
しくは一部の停止を行ったとき又は第三者提供の停止したとき若しくは第三者提供を停止しない旨の決定をした場合）に基づいてその措置を決定した場合は、本人に対して理由を説明することとする。
２４ 開示等の請求等に応じる手続（個人情報保護法第３７条関係）（１）債権回収会社は、法第３２条第２項、第３３条第１項（同条第５項で準用する場合を含む）、第３４条第１項若しくは第３５条第１項、第３項若しくは第５項の規定による請求（以下単に「開示等の請求等」という。）に関し、受け付ける方法として次に掲げる事項を定めることができ、定めた場合には、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。この場合において、本人は、当該方法に従って、開示等の請求等を行わなければならない。
なお、「開示等の請求等」に関し、「その請求等を受け付ける方法」を定めなかった場合でも、迅速かつ適切な対応が可能となるよう「開示等の請求等」の対応手順、本人又は代理人の確認方法及び対応に関する組織的事項などをあらかじめ定めておくこととする。
ア 開示等の請求等の申出先（担当窓口名・係名、郵送用住所、受付電話番号、受付
ＦＡＸ番号等）
イ 開示等の請求等に際して提出すべき書面の様式その他の開示等の請求等の方式
ウ 開示等の請求等をする者が本人又は代理人（未成年者若しくは成年被後見人の場
合はその法定代理人、又は開示等の請求等をすることにつき本人が委任した者がいる場合はその受任者）であることの確認の方法
エ 保有個人データの利用目的の通知又は保有個人データの開示について手数料を徴収する場合は、その徴収方法（２）債権回収会社は、本人に対し、開示等の請求等に対応するため、その対象となる保有個人データ又は第三者提供記録の特定に必要な事項の提示を求めることができる。
なお、その際、本人が容易かつ的確に開示等の請求等ができるよう、当該保有個人データ又は第三者提供記録の特定に資する情報の提供その他本人の利便性を考慮しなければならない。
（３）開示等の請求等は、本人だけでなく、下記代理人によってもすることができる。債
権回収会社は、権限のない者に開示等することがないよう本人又は代理人の同一性の確認については、身分証の提示を求めるなど、十分かつ適切な確認手続を採らなければならない。なお、施行令第１３条第２号の代理人による開示等の請求等に対して、債権回収会社が、本人にのみ直接開示等をすることは妨げられない。
ア 未成年者又は成年被後見人の法定代理人
47 /

56

イ 開示等の請求等をすることにつき本人が委任した代理人（４）債権回収会社は、（１）及び（２）の規定（法第３７条第１項から第３項まで）に基づき開示等の請求等に応じる手続を定めるに当たっては、事業の性質、保有個人デー
タの取扱状況、開示等の請求等の受付方法等に応じて適切なものとなるようにするとともに、本人に過重な負担を課するものとならないよう配慮しなければならない。
２５

手数料（個人情報保護法第３８条関係）
債権回収会社は、保有個人データに関する利用目的の通知の求め（法第３２条第２項）又は開示の請求（法第３３条第１項参照）に応じる場合には、手数料を徴収することができる。その手数料の額を定める際には、実費を勘案して合理的と認められる範囲内でなければならない。また、手数料の額を定めた場合には、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない（１９（１）ウ参照）。

２６

裁判上の訴えの事前請求（法第３９条関係）
債権回収会社は、本人から法第３９条に基づく事前請求がなされた場合には、当該請求を拒否し又は当該請求から２週間経過した場合には、本人から裁判上の訴えを提起される可能性があることを踏まえ、慎重な対応を行うよう努める。

２７

個人情報取扱事業者による苦情の処理（個人情報保護法第４０条関係）（１）債権回収会社は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
（２）債権回収会社は、上記（１）の処理を行うに当たり、苦情受付窓口の設置、苦情処理に関する部署の設置、苦情処理に関する規程類の整備及び苦情処理に関する従業者への研修の実施など必要な体制整備を行うこととする。もっとも、無理な要求にまで応じなければならないものではない。
（３）上記（２）の苦情受付窓口に関しては、担当窓口名・係名郵送用住所、受付電話番号その他の苦情申出先及び受付時間など当該窓口へのアクセス方法を継続的に公表することとする。
（運用上の考え方）（注）債権回収会社は､個人情報に関する苦情事例を集積し、それを分析した結果により社員研修を定期的に行うこととし、苦情の発生防止と適正な業務運営に努力する。
２８

個人情報の保護に関する宣言の制定について（法務省サービサーガイドライン第１
１関係）（１）債権回収会社は、個人情報の保護に関する法令、通則ガイドライン及び本ガイドラ
イン等を踏まえ、事業者の個人情報保護に関する考え方や方針に関する宣言（いわゆるプライバシーポリシー、プライバシーステートメント等。以下「個人情報保護宣言」という。）を策定して公表することとする。
48 /

56

個人情報保護宣言では、法第２１条の利用目的の通知及び公表に関する事項、第２３条の安全管理措置の概要、第２４条の従業者の監督方針、第２５条の委託先の監督
方針、第３２条の保有個人データに関する事項、第３７条の開示等の請求に応じる手
続、第４０条の苦情処理窓口に関する事項などを明らかにすることとする。
（２）個人情報保護宣言には、本人の権利利益保護の観点から、事業活動の特性、規模及び実態に応じて、次に掲げる点に考慮した記述をできるだけ盛り込むこととする。
①事業者がその事業内容を勘案して顧客の種類ごとに利用目的を限定して示したり、事業者が本人の選択による利用目的の限定に自主的に取り組むなど、本人にとって利用目的がより明確になるようにすること。
②委託の有無、委託する事務の内容を明らかにする等、委託処理の透明化を進めること。
③個人情報の取得元又はその取得方法（取得源の種類等）を、可能な限り具体的に明記すること。
２９ 仮名加工情報の取扱い（個人情報保護法第４１条及び第４２条関係）
債権回収会社が仮名加工情報を作成し、利活用する場合には、法第４１条及び第４２条並びに個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」を遵守して取扱わなければならない。
３０

匿名加工情報の取扱い（個人情報保護法第４３条、第４４条、第４５条及び第４６条関係）
債権回収会社が匿名加工情報を作成する場合には、法第４３条から第４６条までの各条項並びに個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）を遵守して取扱わなければならない。
３１ 個人データの漏えい等の報告等（個人情報保護法第２６条関係）（１）債権回収会社は、その取り扱う個人データの漏えい、滅失、毀損（以下「漏えい等」という。）又はその他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護法施行規則で定める事態（以下「報告対象事態」という。）が生じたときは、個人情報保護法施行規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会から委任を受けた事業所管大臣である法務大臣に報告しなければならない。なお、漏えい等が発生し、又は発生した
おそれがある個人データについて、高度な暗号化等の秘匿化がされている場合等、「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられている場合については、報告を要しない。
（２）上記（１）の報告対象事態とは、以下の各号に掲げる事態をいう。
ア 要配慮個人情報が含まれる個人データの漏えい等が発生し、又はそのおそれがある場合
イ 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
49 /

56

ウ 不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生のおそれがある事態
エ 個人データに係る本人の数が１，０００人を超える漏えい等が発生し、又は発生するおそれがある事態（３）債権回収会社は、報告対象事態を知った後、速やかに当該事態に関する以下の各号に掲げる事項（報告をしようとする時点において把握しているものに限る。）を報告しなければならない(以下、本報告を「速報」という。)。
ア 概要
イ 漏えい等が発生し、又は発生したおそれがある個人データの項目
ウ 漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数
エ 原因
オ 二次被害又はそのおそれの有無及びその内容
カ 本人への対応の実施状況
キ 公表の実施状況
ク 再発防止のための措置
ケ その他参考となる事項（４）債権回収会社は、上記（３）の報告に加え、知った日から３０日以内（上記（２）ウの事態が生じた場合には知った日から６０日以内）に、当該事態に関する上記（３）アからケに掲げる事項を報告しなければならない(以下、本報告を「確報」という。)。
（５）上記（１）から（４）に定める報告を行う場合の書式については、個人情報保護法
施行規則別記様式第一を電子ファイル化したものを使用するものとし、報告の提出方
法については事業所管大臣である法務大臣が定める方法により提出するものとする。
（６）他の個人情報取扱事業者から個人データの取扱いの全部又は一部の委託を受けた当該個人データについて報告対象事態が生じた場合には、債権回収会社は、報告対象事態が生じたことを知った後、速やかに上記（３）アからケに掲げる事項のうち、その時点で把握しているものを委託元である当該他の個人情報取扱事業者に通知したときは、債権回収会社は上記（１）の報告義務を免除される。
（７）債権回収会社は、報告対象事態が生じたときは、本人に対し、当該事態を知った
後、当該事態の状況に応じて速やかに、当該本人の権利利益を保護するために必要な範囲において、上記（３）アからケに掲げる事項のうち次に掲げる事項を本人に通知しなければならない。
ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
また、上記（５）に該当して債権回収会社が委託元である他の個人情報取扱事業者に所定の事項を通知したときは、本人への通知義務は免除される。
ア 概要
イ 漏えい等が発生し、又は発生したおそれがある個人データの項目
エ 原因
オ 二次被害又はそのおそれの有無及びその内容
50 /

56

ケ その他参考となる事項（８）債権回収会社は、報告対象事態に該当しない個人データの漏えい等が生じたときは、個人情報保護法に基づく報告は不要となるが、報告対象事態に該当しない事案であっても別に法務省が定めて債権回収会社に通知した報告基準に該当する事案については、法務省に報告を行うものとする。その場合における報告の書式、報告の期限及び報告の提出方法等については、法務省からの通知内容に従うものとする。
（９）債権回収会社は、個人データの漏えい等が発覚した場合は、報告対象事態か否かにかかわらず、漏えい等事案の内容等に応じて、次の①から⑤に掲げる事項について必要な措置を講じなければならない。
①債権回収会社内部における報告及び被害の拡大防止
責任ある立場の者に直ちに報告するとともに、漏えい等事案による被害が発覚時よりも拡大しないよう必要な措置を講ずる。
②事実関係の調査及び原因の究明
漏えい等事案の事実関係の調査及び原因の究明に必要な措置を講ずる。
③影響範囲の特定
上記（２）で把握した事実関係による影響範囲の特定のために必要な措置を講ずる。
④再発防止策の検討及び実施
上記②の結果を踏まえ、漏えい等事案の再発防止策の検討及び実施に必要な措置を講ずる。
⑤法務大臣への報告及び本人への通知
なお、漏えい等事案の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、事実関係及び再発防止策等について、速やかに公表することが望ましい。
（運用上の考え方）（注１）個人データの「漏えい」、「滅失」、「毀損」の定義
上記（１）における個人データの「漏えい」、「滅失」、「毀損」とは、以下に該当することをいう。
ア 個人データの「漏えい」
個人データが外部に流出することをいう。
なお、個人データを第三者に閲覧されないうちに全てを回収した場合は、漏えいに該当しない。
また、債権回収会社が自らの意図に基づき個人データを第三者に提供する場合（原則として本人の同意が必要）は、漏えいに該当しない。
【個人データの漏えいに該当する事例】
事例１）個人データが記載された書類を第三者に誤送付した場合
事例２）個人データを含むメールを第三者に誤送信した場合
事例３）システムの設定ミス等によりインターネット上で個人データの閲覧が可能
な状態となっていた場合
事例４）個人データが記載又は記録された書類・媒体等が盗難された場合
51 /

56

事例５）不正アクセス等により第三者に個人データを含む情報が窃取された場合
イ 個人データの「滅失」
個人データの内容が失われることをいう。
なお、失われた個人データとその内容と同じデータが他に保管されている場合
は、滅失に該当しない。
また、債権回収会社が合理的な理由により個人データを削除する場合は、滅失に該当しない。
【個人データの滅失に該当する事例】
事例１）個人情報データベース等から出力された氏名等が記載された帳票等を誤って廃棄した場合（当該帳票等が適切に廃棄されていない場合には、個人デー
タの漏えいに該当する場合がある）
事例２）個人データが記載又は記録された書類・媒体等を社内で紛失した場合（社外に流出した場合には、個人データの漏えいに該当する）
ウ 個人データの「毀損」
個人データの内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となることをいう。
【個人データの毀損に該当する事例】
事例１）個人データの内容が改ざんされた場合
事例２）暗号化処理された個人データの復元キーを喪失したことにより復元できなくなった場合事例３）ランサムウェア等により個人データが暗号化され、復元できなくなった場
合（同時に個人データが窃取された場合には、個人データの漏えいにも該当する）
なお、上記事例 2）及び事例 3）の場合であっても、その内容と同じデータが他に保管されている場合は毀損に該当しない。
（注２）報告対象事態に該当して報告を要する事例
上記（２）における報告対象事態に該当して報告を要する事例として以下のものがある。
ア 要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態
事例１）病院における患者の診療情報や調剤情報を含む個人データを記録したＵＳ
Ｂメモリーを紛失した場合
事例２）従業員の健康診断等の結果を含む個人データが漏えいした場合
イ 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
事例１）ＥＣサイトからクレジットカード番号を含む個人データが漏えいした場合
事例２）送金や決済機能のあるウェブサービスのログインＩＤとパスワードの組み合わせを含む個人データが漏えいした場合
ウ 不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
52 /

56

事例１）不正アクセスにより個人データが漏えいした場合
事例２）ランサムウェア等により個人データが暗号化され、復元できなくなった場
合事例３）個人データが記載又は記録された書類・媒体等が盗難された場合
事例４）従業者が顧客の個人データを不正に持ち出して第三者に提供した場合
なお、事例１）のサイバー攻撃の事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、次の（ア）から（エ）が考えられる。
（ア）個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において外部からの不正アクセスによりデータが窃取された痕跡が認められた場合（イ）個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において、情報を窃取する振る舞いが判明しているマルウェアの感染が確認された場合（ウ）マルウェアに感染したコンピュータに不正な指令を送り、制御するサーバ（Ｃ＆Ｃサーバ）が使用しているものとして知られているＩＰアドレス・ＦＱ
ＤＮ（Ｆｕｌｌｙ Ｑｕａｌｉｆｉｅｄ Ｄｏｍａｉｎ Ｎａｍｅの略。サブドメイン名及びドメイン名からなる文字列であり、ネットワーク上のコン
ピュータ（サーバ等）を特定するもの。）への通信が確認された場合（エ）不正検知を行う公的機関、セキュリティ・サービス・プロバイダ、専門家等の第三者から、漏えいのおそれについて、一定の根拠に基づく連絡を受けた場
合また、事例４）の従業者による個人データの持ち出しの事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において、通常の業務で必要としないアクセスによりデータが窃取された痕跡が認められた場合が考えられる。
エ 個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態事例）システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となり、当該個人データに係る本人の数が 1,000 人を超える場合
なお、「個人データに係る本人の数」は、当該個人情報取扱事業者が取り扱う個
人データのうち、漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数をいう。「個人データに係る本人の数」について、事態が発覚した当初
１，０００人以下であっても、その後１，０００人を超えた場合には、１，０００
人を超えた時点で報告対象事態に該当することになる。本人の数が確定できない漏
えい等において、漏えい等が発生したおそれがある個人データに係る本人の数が最
大１，０００人を超える場合には、報告対象事態に該当する。
（注３）上記（２）における報告対象事態における「おそれ」の考え方

53 /

56

上記（２）における報告対象事態における「おそれ」については、その時点で判明している事実関係に基づいて個別の事案ごとに蓋然性を考慮して判断することになる。漏えい等が発生したおそれについては、その時点で判明している事実関係からして、漏えい等が疑われるものの漏えい等が生じた確証がない場合がこれに該当する。
(注４)上記（３）速報及び（４）確報の報告期限の起算点及び報告内容
ア 上記（３）速報の報告期限の起算点となる「知った」時点については、個別の事
案ごとに判断されるが、法人である債権回収会社の場合には、いずれかの部署が当該事態を知った時点を基準とし、「速やか」の日数の目安については、個別の事案によるものの、債権回収会社が当該事態を知った時点から概ね３～５日以内である。
なお、「知った」とは、代表取締役や現場責任者等ではなく、現場担当者が「知った」時点であることに注意を要する。
イ 上記（４）確報の報告期限の起算点となる「知った」時点については、速報と同様、債権回収会社のいずれかの部署が当該事態を知った時点とし、その時点を 1 日目として確報の報告期限を算定する。ただし、３０日目又は６０日目の応当する日
が土日、祝日又は年末年始閉庁日（１２月２９日～１月３日）の場合は、その翌日を報告期限とする。
なお、「知った」とは、代表取締役や現場責任者等ではなく、現場担当者が「知った」時点であることに注意を要する。
ウ 速報における報告事項は、上記（３）アからケまでの事項のうち、報告をしようとする時点において把握しているものに限られるが、確報においては、上記（３）
アからケまでの事項の全てを報告しなければならない。ただし、確報の報告期限までに、合理的努力を尽くした上で、一部の事項が判明しておらず、全ての事項を報告することができない場合には、その時点で把握している内容を報告し、判明次第、報告を追完するものとする。
なお、速報の時点で上記(３)アからケまでに掲げる全ての事項を報告できる場合には、1 回の報告で速報と確報を兼ねることができる。
(注５)上記（７）の本人への通知について
ア 上記（７）の本人への通知について、「当該事態の状況に応じて速やかに」とは、速やかに通知を行うことを求めるものであるが、具体的に通知を行う時点は、個別の事案において、その時点で把握している事態の内容、通知を行うことで本人の権利利益が保護される蓋然性、本人への通知を行うことで生じる弊害等を勘案して判断する。
例えば、以下の事例については、その時点で通知を行う必要があるとはいえないと考えられる。
事例１）インターネット上の掲示板等に漏えいした複数の個人データがアップロー
ドされており、債権回収会社において当該掲示板等の管理者に削除を求める
等、必要な初期対応が完了しておらず、本人に通知することで、かえって被害が拡大するおそれがある場合

54 /

56

事例２）漏えい等のおそれが生じたものの、事案がほとんど判明しておらず、その時点で本人に通知したとしても、本人がその権利利益を保護するための措置を講じられる見込みがなく、かえって混乱が生じるおそれがある場合
イ 本人への通知における「本人へ通知すべき事項」については、漏えい等報告における報告事項である上記(３)アからケのうち、「ア 概要」、「イ 漏えい等が発生し、又は発生したおそれがある個人データの項目」、「エ 原因」、「オ 二次被害又はそのおそれの有無及びその内容」及び「ケ その他参考となる事項」に限られているが、これらの事項が全て判明するまで本人への通知をする必要がないというものではなく、本人への通知は、「当該事態の状況に応じて速やかに」行う必要がある。
ウ 本人への通知については、「本人の権利利益を保護するために必要な範囲において」行うものである。なお、当初報告対象事態に該当すると判断したものの、その後実際には報告対象事態に該当していなかったことが判明した場合には、本人への通知が「本人の権利利益を保護するために必要な範囲において」行うものであることに鑑み、本人への通知は不要である。
エ 本人の権利利益を保護するために必要な範囲において通知を行う事例としては、
例えば以下の事例が該当する。
事例１）不正アクセスにより個人データが漏えいした場合において、その原因を本人に通知するに当たり、個人情報保護委員会に報告した詳細な内容ではな
く、必要な内容を選択して本人に通知すること。
事例２）漏えい等が発生した個人データの項目が本人ごとに異なる場合において、当該本人に関係する内容のみを本人に通知すること。
オ 通知の方法「本人への通知」とは、本人に直接知らしめることをいい、事業の性質及び個人データの取扱状況に応じ、通知すべき内容が本人に認識される合理的かつ適切な方法によらなければならない。
また、漏えい等報告と異なり、本人への通知については、その様式が法令上定められていないが、本人にとって分かりやすい形で通知を行うことが望ましい。
本人への通知の方法の事例としては、以下のものがある。
事例１）文書を郵便等で送付することにより知らせること。
事例２）電子メールを送信することにより知らせること。
カ 通知の例外
本人への通知を要する場合であっても、本人への通知が困難である場合は、本人の権利利益を保護するために必要な代替措置を講ずることによる対応が認められる。
本人への通知が困難な場合の事例としては、以下の事例が該当すると考えられる。
事例 1）保有する個人データの中に本人の連絡先が含まれていない場合
事例２）連絡先が古いために通知を行う時点で本人へ連絡できない場合

55 /

56

また、その場合の代替措置の事例としては、以下の事例が該当すると考えられる。
事例１）事案の公表
事例２）問合せ窓口を用意してその連絡先を公表し、本人が自らの個人データが対象となっているか否かを確認できるようにすること
なお、代替措置として「事案の公表」を行わない場合であっても、当該事態の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、公表を行うことが望ましい。
また、公表すべき内容は、個別の事案ごとに判断されるが、本人へ通知すべき内容を基本とすること。
【参考図】
個人データの漏えい等事案(個人データの漏えい、滅失、毀損又はそのおそれのある事案)の報告の取扱い① 要配慮個人情報の漏えい等

YES〇 個人情報保護委員会から委任を受けた
事業所管大臣(法務大臣)宛に報告要NO・ 速報と確報の二段階に分けて報告(事態の発生②

財産的被害が発生するおそれがある情報の漏えい等

YESを現場担当者が認識した後速やかに(概ね３～５日以内に)報告(速報)。速報から３０日（区分③の場合は６０日）以内に確報)(※1)

NO・ 受託債権(個人データの取扱いの委託を受けて③

不正アクセス等故意による
漏えい等

YES

NO

④ 1,000人を超える漏えい等

YES①～④以外で法務省が定める基準に該当する〇 本人への通知要 (文書郵送、電子メール送信)・ 本人への通知が困難な場合は「ＨＰ等での公表」や「問合せ窓口設置」で代替可能※1 速報・確報とも個人情報の保護に関する法律
施行規則「別記様式第一」を使用して報告NO⑤

いる場合)に係る報告は、速報の報告事項のう
ち、その時点で把握している事項を委託元に通知したときは、受託先は報告義務が免除さ
れる。

YES

〇 法務省宛報告要・ 事態の発生を現場担当者が認識した後速やかに(概ね３～５日以内に)報告(速報)(※2)

NO・ 速報から３か月以内に確報
・ 本人通知は義務付けられていない(事案に応じ⑥ 報告不要(※3)て債権回収会社任意)※3 ただし、債権回収会社に帰責性のある事案については原因分析と適切な再発防止策を講じる必要がある（立入検査等において適切な再発防止策が講じられているか確認される場合がある）※2 速報は法務省が定める書式を使用して報告

３２ 本自主ルールの見直しについて
本自主ルールについては、社会情勢の変化、国民の意識の変化、技術動向の変化等諸
環境の変化を踏まえ、必要に応じ見直しを行うものとする。

56 /56