○

個人情報保護委員会
告示第一号
金融庁

個 人情報の保護に関する法律施行規則の一部を改正する規則（ 令和五年 個人情報保護委員会規則第五号）

藤原照久

靜雄個人情報保護委員会
金融庁の一部の施行に伴い、並び に個人情 報の保護に関する法律（平成十五年法律第五十七号）第六条及び第 九条の規定に基づ き、金 融分野における個人情報保護に関するガイドライン（平成二十九年個人情報保護委員会委員長

栗田

告示第 一号）の一部を次のように改正し、令和六年四月一日から適用する。
令和六年三月十二日

金融庁長官

次の表により、改正前欄に掲げる規定の傍線を付した部分を これに順 次対応する改正後欄に掲げる規定の傍線を付した部分のよう に改め る。

- 1 -第８条 安全管理措置（法第23条関係）

１ 金融分野における個人情報取扱事業者は、その取り扱う個人デ１ 金融分野における個人情報取扱事業者は、その取り扱う個人データの漏えい等の防止その他の個人データの安全管理のため、安ータの漏えい等の防止その他の個人データの安全管理のため、安全管理に係る基本方針・取扱規程等の整備及び安全管理措置に係全管理に係る基本方針・取扱規程等の整備及び安全管理措置に係る実施体制の整備等の必要かつ適切な措置を講じなければならなる実施体制の整備等の必要かつ適切な措置を講じなければならない。必要かつ適切な措置は、個人データの取得・利用・保管等のい。必要かつ適切な措置は、個人データの取得・利用・保管等の各段階に応じた「組織的安全管理措置」、「人的安全管理措置」各段階に応じた「組織的安全管理措置」、「人的安全管理措置」、「物理的安全管理措置」、「技術的安全管理措置」及び「外的、「物理的安全管理措置」、「技術的安全管理措置」及び「外的環境の把握」を含むものでなければならない。

環境の把握」を含むものでなければならない。

当該措置は、個人データが漏えい等をした場合に本人が被る権当該措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質、個人データの取扱利利益の侵害の大きさを考慮し、事業の性質、個人データの取扱状況及び個人データを記録した媒体の性質等に起因するリスクに状況及び個人データを記録した媒体の性質等に起因するリスクに応じたものとする。

応じたものとする。

例えば、不特定多数者が書店で随時に購入可能な名簿で、事業例えば、不特定多数者が書店で随時に購入可能な名簿で、事業者において全く加工をしていないものについては、個人の権利利者において全く加工をしていないものについては、個人の権利利益を侵害するおそれは低いと考えられることから、それを処分す益を侵害するおそれは低いと考えられることから、それを処分するために文書細断機等による処理を行わずに廃棄し、又は廃品回るために文書細断機等による処理を行わずに廃棄し、又は廃品回収に出したとしても、事業者の安全管理措置の義務違反にはなら収に出したとしても、事業者の安全管理措置の義務違反にはならない。

ない。

なお、法第23条における「その他の個人データの安全管理のた-1-

第８条 安全管理措置（法第23条関係）

前

後

正正

改改

めに必要かつ適切な措置」には、金融分野における個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取り扱うことを予定しているものの漏えい等を防止するために必要かつ適切な措置も含まれる。そのため、以下この条における「個人データ」には、当該個人情報も含まれることに留意する。

第９条 従業者の監督（法第24条関係）［２～８ 同左］

第９条 従業者の監督（法第24条関係）

１ 金融分野における個人情報取扱事業者は、法第23条及び第24条

１ 金融分野における個人情報取扱事業者は、法第24条に従い、個に従い、個人データの安全管理が図られるよう、適切な内部管理

人データの安全管理が図られるよう、適切な内部管理体制を構築体制を構築し、その従業者に対する必要かつ適切な監督を行わなし、その従業者に対する必要かつ適切な監督を行わなければならければならない。

ない。

当該監督は、個人データが漏えい等をした場合に本人が被る権当該監督は、個人データが漏えい等をした場合に本人が被る権

利利益の侵害の大きさを考慮し、事業の性質及び個人データの取利利益の侵害の大きさを考慮し、事業の性質及び個人データの取扱状況等に起因するリスクに応じたものとする。

扱状況等に起因するリスクに応じたものとする。

２ ［略］

２ ［同左］

３ 金融分野における個人情報取扱事業者は、次に掲げる体制整備

３ 金融分野における個人情報取扱事業者は、次に掲げる体制整備等により、従業者に対し必要かつ適切な監督を行わなければなら等により、従業者に対し必要かつ適切な監督を行わなければならない。

ない。

［①・② 略］［①・② 同左］③ 従業者による個人データの持出し等を防ぐため、社内での安③ 従業者による個人データの持出し等を防ぐため、社内での安全管理に係る取扱規程に定めた事項の遵守状況等の確認及び従全管理措置に定めた事項の遵守状況等の確認及び従業者におけ-2-［２～８ 略］

業者における個人データの取扱状況の点検及び監査制度を整備

る個人データの保護に対する点検及び監査制度を整備することすること。

。

第10条 委託先の監督（法第25条関係）［１・２ 略］［１・２ 同左］

３ 金融分野における個人情報取扱事業者は、個人データを適正に

３ 金融分野における個人情報取扱事業者は、個人データを適正に取り扱っていると認められる者を選定し委託するとともに、取扱取り扱っていると認められる者を選定し委託するとともに、取扱いを委託する個人データの安全管理が図られるよう、個人データいを委託した個人データの安全管理措置が図られるよう、個人デの安全管理のための措置を委託先においても確保しなければならータの安全管理のための措置を委託先においても確保しなければない。なお、二段階以上の委託が行われた場合には、委託先の事ならない。なお、二段階以上の委託が行われた場合には、委託先業者が再委託先等の事業者に対して十分な監督を行っているかにの事業者が再委託先等の事業者に対して十分な監督を行っているついても監督を行わなければならない。

かについても監督を行わなければならない。

具体的には、金融分野における個人情報取扱事業者は、例えば具体的には、金融分野における個人情報取扱事業者は、例えば、以下を実施すること。

、以下を実施すること。

① ［略］① ［同左］② 委託者の監督・監査・報告徴収に関する権限、委託先におけ② 委託者の監督・監査・報告徴収に関する権限、委託先における漏えい等の防止及び目的外利用の禁止、再委託に関する条件

る個人データの漏えい等の防止及び目的外利用の禁止、再委託並びに漏えい等事案が発生した場合の委託先の責任を内容とすに関する条件並びに漏えい等事案が発生した場合の委託先の責る安全管理措置を委託契約に盛り込むとともに、定期的に監査任を内容とする安全管理措置を委託契約に盛り込むとともに、を行う等により、定期的又は随時に当該委託契約に定める安全定期的に監査を行う等により、定期的又は随時に当該委託契約管理措置等の遵守状況を確認し、当該安全管理措置を見直さなに定める安全管理措置等の遵守状況を確認し、当該安全管理措ければならない。

置を見直さなければならない。

なお、委託契約に定める安全管理措置等の遵守状況について

なお、委託契約に定める安全管理措置等の遵守状況について-3-

第10条 委託先の監督（法第25条関係）

は、個人データ管理責任者等が、当該安全管理措置等の見直しは、個人データ管理責任者等が、当該安全管理措置等の見直しを検討することを含め、適切に評価することが望ましい。

を検討することを含め、適切に評価することが望ましい。
委託先が再委託を行おうとする場合は、委託元は委託を行う

場合と同様、再委託の相手方、再委託する業務内容及び再委託場合と同様、再委託の相手方、再委託する業務内容及び再委託先の個人データの取扱方法等について、委託先に事前報告又は先の個人データの取扱方法等について、委託先に事前報告又は承認手続を求め、かつ、直接又は委託先を通じて定期的に監査承認手続を求め、かつ、直接又は委託先を通じて定期的に監査を実施する等により、委託先が再委託先に対して本条の委託先を実施する等により、委託先が再委託先に対して本条の委託先の監督を適切に果たすこと及び再委託先が法第23条に基づく安の監督を適切に果たすこと及び再委託先が法第23条に基づく安全管理措置を講ずることを十分に確認することが望ましい。再全管理措置を講ずることを十分に確認することが望ましい。再委託先が再々委託を行う場合以降も、再委託を行う場合と同様委託先が再々委託を行う場合以降も、再委託を行う場合と同様とする。とする。の記載
は注記である表中の［ ］。

備考-4-

委託先が再委託を行おうとする場合は、委託元は委託を行う