Ⅱ-１-⑤

個人情報の保護に関する指針（目的）
第１条 この指針は、個人情報の保護に関する法律（以下「保護法」という。）、個
人情報の保護に関する法律施行令（以下「施行令」という。）、個人情報の保護に関する法律施行規則（平成28年個人情報保護委員会規則第３号。以下「施行規則」という。）、個人情報の保護に関する基本方針（平成16年４月２日閣議決定。）、個人情報の保護に関する法律についてのガイドライン（通則編）（平成28年個人情報保護委
員会告示第６号）、同ガイドライン（外国にある第三者への提供編）（平成28年個人情報保護委員会告示第７号）、同ガイドライン（第三者提供時の確認・記録義務編）（平成28年個人情報保護委員会告示第８号。以下「確認・記録義務ガイドライン」という。）及び同ガイドライン（匿名加工情報編）（平成28年個人情報保護委員会告示第９号）、金融分野における個人情報保護に関するガイドライン（平成29年個人情報保護委員会・金融庁告示第１号）及び金融分野における個人情報保護に関するガイド
ラインの安全管理措置等についての実務指針（平成29年個人情報保護委員会・金融庁
告示第２号。）等（以下「個人情報の保護に関する法令等」という。）を踏まえ、正会員が行う金融サービス仲介業務（金融サービスの提供及び利用環境の整備等に関する法律第11条第８項に規定する金融サービス仲介業務をいう。以下同じ。）における個人情報の適正な取扱いの確保のため、個人情報に係る利用目的の特定、安全管理のための措置その他の事項を定めるとともに、正会員が講ずべき具体的措置等を定めるものである。
２ 正会員は、個人情報の漏えい、不正流出等を防止等するため、個人情報の保護に関する法令等並びに関係法令及びガイドライン等に従い、個人情報の適正な管理体制を整備する必要がある。
３

正会員が、金融サービス仲介業務に関連し、その取得した個人情報を、仲介先となる銀行等、保険会社等、金融商品取引業者等、貸金業者に対して提供する場合、当該提供先において、適用がある規則等（全国銀行個人情報保護協議会が規定する
全国銀行個人信用情報センターにおける個人情報保護指針（全国銀行個人信用情報センターにおける個人信用情報の保護と利用に関する自主ルール）、一般社団法人
生命保険協会が規定する生命保険業における個人情報保護のための取扱指針、一般
社団法人日本損害保険協会が規定する損害保険会社に係る個人情報保護指針、一般
1

Ⅱ-１-⑤

社団法人日本投資顧問業協会が規定する個人情報の保護に関する取扱指針及び日本証券業協会が規定する個人情報の保護に関する指針、日本貸金業協会が規定する個
人情報保護指針その他の個人情報保護に係る自主規制等の各所属団体が規定する個
人情報保護に係る規則（自主規制規則である場合を含む））を遵守できるように必要な協力を行うよう努めなければならない。
（定義）
第２条

この指針において、次の各号に掲げる用語の定義は、当該各号に定めるところによる。
(1) 個人情報保護法第２条第１項に定める「個人情報」をいう。
(2) 個人識別符号
保護法第２条第２項に定める「個人識別符号」をいう。
(3) 個人情報データベース等保護法第２条第４項に定める「個人情報データベース等」をいう。
(4) 個人データ保護法第２条第６項に定める「個人データ」をいう。
(5) 保有個人データ保護法第２条第７項に定める「保有個人データ」をいう。
(6) 本人
個人情報によって識別される特定の個人をいう。
(7) 要配慮個人情報保護法第２条第３項に定める「要配慮個人情報」をいう。
(8) 機微（センシティブ）情報
金融分野において、要配慮個人情報並びに労働組合への加盟、門地、本籍地、保健医療及び性生活（これらのうち要配慮個人情報に該当するものを除く。）に関する情報（本人、国の機関、地方公共団体、保護法第76条第１項各号若しくは施行規則第６条各号に掲げるものにより公開されているもの、又は本人を目視し、若しくは撮影することにより取得するその外形上明らかなものを除く。）のことをいう。
(9) 匿名加工情報保護法第２条第９項に定める「匿名加工情報」をいう。

2

Ⅱ-１-⑤（利用目的の特定）第３条

正会員は、個人情報の取扱いに当たっては、個人情報がどのような事業の用に供され、どのような目的で利用されるかを本人が一般的かつ合理的に予想できる程度に具体的に特定しなければならない。
２

前項の利用目的の特定に当たって、「自社の所要の目的で用いる」といった抽象的な利用目的は、前項に規定する利用目的の特定として不十分であることから、正会員は、提供する金融商品、サービスを示したうえで、利用目的を特定するよう努めなければならない。
３ 正会員は、利用目的を変更する場合には、保護法第15条第2項に定める「変更前の利用目的と関連性を有すると合理的に認められる範囲」を超えてはならない。
４

正会員は、特定の個人情報の利用目的が、法令等に基づき限定されている場合には、その旨を明示するよう努めなければならない。
（「同意」の形式）
第４条

正会員は、次条、第13条及び第13条の２に定める本人の同意を得る場合には、原則として、書面（電磁的記録を含む。以下同じ。）によることとする。なお、本人が未成年者、成年被後見人、被保佐人及び被補助人であって、個人情報の取扱いに関して同意したことによって生ずる結果について判断できる能力を有していない場合などは、親権者や法定代理人等から同意を得る必要がある。
（利用目的による制限）
第５条

正会員は、あらかじめ本人の同意を得ることなく、第３条により特定した

利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。ただし、あらかじめ本人の同意を得るために個人情報を利用すること（電子メールの送信や電話をかけること等）は、当初特定した利用目的にない場合でも、目的外利用には当たらない。
２

正会員は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該他の個人情報取扱事業者の個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。また、承継前の利用目的の達成に必要な範囲内で取り扱う場合は目的外利用にならず、本人の同意を得る必要はない。
3

Ⅱ-１-⑤

３ 前２項は、次に掲げる場合については適用しない。
(1) 法令に基づく場合(2) 人の生命、身体又は財産（法人の財産を含む。）の保護のために必要があ
る場合であって、本人の同意を得ることが困難であるとき。
(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
（機微（センシティブ）情報の取扱いについて）
第６条 正会員は、機微（センシティブ）情報については、次に掲げる場合を除く
ほか、取得、利用又は第三者への提供を行わないものとする。
(1) 法令等に基づく場合(2) 人の生命、身体又は財産の保護のために必要がある場合(3) 公衆衛生の向上又は児童の健全な育成の推進のため特に必要がある場合(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合(5) 源泉徴収事務等の遂行上必要な範囲において、政治・宗教等の団体若しくは労働組合への所属若しくは加盟に関する従業員等の機微（センシティブ）情報を取得し、利用し、又は第三者提供する場合(6) 相続手続による権利義務の移転等の遂行に必要な限りにおいて、機微（センシティブ）情報を取得し、利用し、又は第三者提供する場合(7) 金融サービス仲介業務の適切な運営を確保する必要性から、本人の同意に基づき業務遂行上必要な範囲で機微（センシティブ）情報を取得し、利用し、又は第三者提供する場合(8) 機微（センシティブ）情報に該当する生体認証情報を本人の同意に基づき、本人確認に用いる場合
２

正会員は、機微（センシティブ）情報を、前項に掲げる場合に取得、利用又は第三者に提供する場合には、同項に掲げる事由を逸脱した取得、利用又は第三者提供を行うことのないよう、特に慎重に取り扱うものとする。

4

Ⅱ-１-⑤３

正会員は、機微（センシティブ）情報を、第１項に掲げる場合に取得、利用又は第三者に提供する場合には、個人情報の保護に関する法令等に従い適切に対応しなければならない。なお、当該適切な対応には、要配慮個人情報を取得するに当たり保護法第17条第２項に従ってあらかじめ本人の同意を得ることを含むが、これに限られない。
４

正会員は、機微（センシティブ）情報を第三者に提供するに当たっては、保護法第23条第２項（オプトアウト）の規定を適用してはならない。

（適正な個人情報の取得）
第７条 正会員は、偽りその他不正の手段により個人情報を取得してはならない。また、正会員は、第三者から個人情報を取得するに際しては、本人の利益の不当な侵害を行ってはならない。
２ 正会員は、第三者からの提供により個人情報を取得する場合には、提供元の法令遵守状況を確認するとともに、当該個人情報が適法に取得されたものであることを確認するものとする。
（個人情報取得時の利用目的の通知・公表、明示等）
第８条

正会員は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を本人に通知し、又は公表しなければならない。この場合において、「通知」の方法については、原則として書面によることとし、「公表」の方法については、自らの金融商品の販売方法等の事業の態様に応じ、インターネットのホームページ等での公表、本店その他の営業所の窓口等への書面の掲示・備付け等適切な方法によらなければならない。
２

正会員は、前項の規定にかかわらず、本人との間で契約を締結すること等に伴って契約書その他の書面に記載された個人情報を取得する場合は、あらかじめ、
本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。
３

正会員は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
４ 前３項の規定は、次に掲げる場合については適用しない。
(1) 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
5

Ⅱ-１-⑤(2) 利用目的を本人に通知し、又は公表することにより当該正会員の権利又は正当な利益を害するおそれがある場合(3) 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(4) 取得の状況からみて利用目的が明らかであると認められる場合（データ内容の正確性の確保等）
第９条

正会員は、利用目的の達成に必要な範囲内において、個人情報データベー

ス等への個人情報の入力時の照合・確認の手続の整備、誤り等を発見した場合の訂正等の手続きの整備、記録事項の更新、保存期間の設定等を行うことにより、個人データを正確かつ最新の内容に保つよう努めなければならない。なお、保有する個人データを一律に又は常に最新化する必要はなく、それぞれの利用目的に応じて、その必要な範囲内で正確性・最新性を確保すれば足りる。また、正会員
は、保有する個人データについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等は、当該個人データを遅滞なく消去するよう努めなければならない。なお、法令の定めにより保存期間等が定められている
場合は、この限りではない。
（安全管理措置）第10条

正会員は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のため、安全管理に係る基本方針・取扱規程等の整備及び安全管理措置に係る実施体制の整備等の必要かつ適切な措置を講じなければならない。また、必要かつ適切な措置は、個人データの取得・利用・保管等の各段階に応じた「組織的安全管理措置」、「人的安全管理措置」及び「技術的安全管理措置」を含むものでなければならない。当該措置は、個人データが漏えい、滅失又は毀損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人のデータの性質及び量を含む）並びに個人データを記録した媒体の性質等に起因するリスクに応じたものとする。なお、本条における用語の定義は、次のとおりである。
6

Ⅱ-１-⑤(1) 組織的安全管理措置
個人データの安全管理措置について役職員（正会員の組織内にあって、直接又は間接に正会員の指揮監督を受けて正会員の業務に従事する者をいい、雇用関係にある従業者（正社員、契約社員、嘱託社員、パート社員、アルバイト社
員等）のみならず、正会員との間の雇用関係にない者（取締役、会計参与（会
計参与が法人であるときは、その職務を行うべき社員）、監査役、執行役又は派遣社員等も含まれる。以下同じ。）の責任と権限を明確に定め、安全管理に関する規程等を整備・運用し、その実施状況の点検・監査を行うこと等の正会
員の体制整備及び実施措置をいう。
(2) 人的安全管理措置
役職員との個人データの非開示契約等の締結及び役職員に対する教育・訓練等を実施し、個人データの安全管理が図られるよう役職員を監督することをいう。
(3) 技術的安全管理措置
個人データ及びそれを取り扱う情報システムへのアクセス制御及び情報システ
ムの監視等の個人データの安全管理に関する技術的な措置をいう。
２ 正会員は、個人データの安全管理に係る基本方針・取扱規程等の整備として、以下の「組織的安全管理措置」を講じなければならない。
(1) 規程等の整備① 個人データの安全管理に係る基本方針の整備② 個人データの安全管理に係る取扱規程の整備③ 個人データの取扱状況の点検及び監査に係る規程の整備④ 外部委託に係る規程の整備(2) 各管理段階における安全管理に係る取扱規程の整備① 取得・入力段階における取扱規程の整備② 利用・加工段階における取扱規程の整備③ 保管・保存段階における取扱規程の整備④ 移送・送信段階における取扱規程の整備⑤ 消去・廃棄段階における取扱規程の整備⑥ 漏えい事案等への対応の段階における取扱規程の整備
３ 正会員は、個人データの安全管理に係る実施体制の整備として、以下の「組織的安全管理措置」、「人的安全管理措置」及び「技術的安全管理措置」を講じなければ
7

Ⅱ-１-⑤ならない。
(1) 組織的安全管理措置① 個人データの管理責任者等（個人データの安全管理に係る業務遂行の総責任者である個人データ管理責任者、個人データを取り扱う各部署における個人データ管理者）の設置② 就業規則等における安全管理措置の整備③ 個人データの安全管理に係る取扱規程に従った運用④ 個人データの取扱状況を確認できる手段の整備⑤ 個人データの取扱状況の点検及び監査体制の整備と実施⑥ 漏えい事案等に対応する体制の整備(2) 人的安全管理措置① 役職員との個人データの非開示契約等の締結② 役職員の役割・責任等の明確化③ 役職員への安全管理措置の周知徹底、教育及び訓練④ 役職員による個人データ管理手続きの遵守状況の確認(3) 技術的安全管理措置① 個人データの利用者の識別及び認証② 個人データの管理区分の設定及びアクセス制御③ 個人データへのアクセス権限の管理④ 個人データの漏えい・毀損等防止策⑤ 個人データへのアクセスの記録及び分析⑥ 個人データを取り扱う情報システムの稼動状況の記録及び分析⑦ 個人データを取り扱う情報システムの監視及び監査（役職員の監督）第11条

正会員は、その役職員に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、適切な内部管理体制を構築し、その役職員に対する必要かつ適切な監督を行わなければならない。当該監督は、個人データが漏えい、滅失又は毀損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人データの取扱状況等に起因するリスクに応じたものとする。

8

Ⅱ-１-⑤２

正会員は、前項の役職員に対する「必要かつ適切な監督」を以下の体制整備等により行わなければならない。
(1) 役職員が、在職中及びその職を退いた後において、当該正会員の金融サー
ビス仲介業務に関して知り得た個人データを第三者に知らせ、又は利用目的外に使用しないことを内容とする契約等を採用時等に締結すること。
(2) 個人データの適正な取扱いのための取扱規程の策定を通じた役職員の役割・責任の明確化及び役職員への安全管理義務の周知徹底、教育及び訓練を行う
こと。
(3) 役職員による個人データの持出し等を防ぐため、社内での安全管理措置に定めた事項の遵守状況等の確認及び役職員における個人データの保護に対する点検及び監査制度を整備すること。
（委託先の監督）第12条

正会員は、個人データの取扱いの全部又は一部を委託（契約の形態や種類を問わず、正会員が他の者に個人データの取扱いの全部又は一部を行わせることを内容とする契約の一切を含む。また、形式上、委託契約が結ばれていなくともその実態において委託と同視しうる場合も含む。）する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。当該監督は、個人データが漏えい、滅失又は毀損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質並びに個人データの取扱状況等に起因するリスクに応じたものとする。
２

正会員は、個人データを適正に取り扱っていると認められる者を選定し委託するとともに、委託先において取扱いを委託した個人データの安全管理措置が図られることを確保しなければならない（二段階以上の委託が行われた場合には、委託先の事業者が再委託先等の事業者に対して十分な監督を行っているかについても監督を行わなければならない。）。なお、具体的には、例えば以下の対応等を行わなければならない。
(1) 個人データの安全管理のため、委託先における組織体制の整備及び安全管理に係る基本方針・取扱規程の策定等の内容を委託先選定の基準に定め、当該基準を定期的に見直すこと。なお、委託先の選定に当たっては、必要に応じて

9

Ⅱ-１-⑤

個人データを取り扱う場所に赴く又はこれに代わる合理的な方法による確認を行った上で、個人データ管理責任者等が適切に評価することが望ましい。
(2) 委託元の監督・監査・報告徴収に関する権限、委託先における個人データの漏えい・盗用・改ざん及び目的外利用の禁止、再委託に関する条件及び漏えい等が発生した場合の委託先の責任を内容とする安全管理措置を委託契約に盛り込むとともに、定期的に監査を行う等により、定期的又は随時に当該委託契約に定める安全管理措置の遵守状況を確認し、当該安全管理措置を見直すこと。
なお、委託契約に定める安全管理措置等の遵守状況については、個人データ管理責任者等が、当該安全管理措置等の見直しを検討することを含め、適切に評価することが望ましい。
(3) 委託先が再委託を行おうとする場合は、委託元は委託を行う場合と同様、再委託の相手方、再委託する業務内容及び再委託先の個人データの取扱方法等について、委託先に事前報告又は承認手続きを求める、直接又は委託先を通じて定期的に監査を実施する等により、委託先が再委託先に対して本条の委託先の監督を適切に果たすこと、再委託先が安全管理措置を講ずることを十分に確認することが望ましい。再委託先が再々委託を行う場合以降も、再委託を行う場
合と同様とする。
（第三者提供の制限）
第13条

正会員は、個人データの第三者（個人データを提供しようとする正会員及び当該個人データに係る本人のいずれに該当しないものをいい、自然人、法人その他の団体を問わない。第14条から第17条を除き、以下同じ。）への提供にあたり、あらかじめ本人の同意（原則として①個人データを提供する第三者、②提供を受けた第三者における利用目的、③第三者に提供される情報の内容を含む書面での同意を指す。）を得ないで提供してはならない。同意の取得にあたっては、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に応じ、本人が同意に係る判断を行うために必要と考えられる合理
的かつ適切な範囲の内容を明確に示さなければならない。なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的において、その旨を特定しなければならない。ただし、次に掲げる場合には、第三者への個人データの提供にあたって本人の同意は不要である。

10

Ⅱ-１-⑤(1) 法令に基づく場合(2) 人の生命、身体又は財産（法人の財産を含む。）の保護のために必要があ
る場合であって、本人の同意を得ることが困難であるとき。
(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
２ 正会員は、第三者に提供される個人データ（機微（センシティブ）情報又は要配慮個人情報に該当するものを除く。以下この項において同じ。）について、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委
員会に届け出たときは、前項にかかわらず、当該個人データを第三者に提供することができる。また、正会員は、当該届出の内容を自らもインターネットの利用その他の適切な方法により公表するものとする。なお、機微（センシティブ）情報又は要配慮個人情報に該当するものは、オプトアウトにより第三者に提供することはできない。
(1) 第三者への提供を利用目的とすること(2) 第三者に提供される個人データの項目(3) 第三者への提供の手段又は方法(4) 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
(5) 本人の求めを受け付ける方法
３ 正会員は、前項第２号、第３号又は第５号に掲げる事項を変更する場合は、変更する内容について、あらかじめ本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。なお、正会員は、本項に従い、必要な事項を個人情報保護委員会に届け出たときは、その内容を自らも公表す
るものとする。
４ 次に掲げる場合において、当該個人データの提供を受ける者は、第三者に該当しない。
11

Ⅱ-１-⑤(1) 正会員が、利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合(2) 合併その他の事由による事業の承継に伴って個人データが提供される場合（事業の承継後も、別途本人の同意を得ない限り、個人データが当該事業の承継により提供される前の利用目的の範囲内で利用する場合に限る。）(3) 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者（共同して利用する者において、第一次的に苦情を受け付け、その処理を行うとともに、開示、訂正等及び利用停止等の決定を行い、安全管理に責任を有する者をいう。第６項において「管理責任者」という。）の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。
５

正会員が前項第３号の規定により行う通知については、原則として書面によることとする。正会員による「共同して利用する者の範囲」の通知等については、
共同利用者を個別列挙するよう努めなければならない。
６

正会員は、第４項第３号に規定する利用者の利用目的又は管理責任者の氏名又は名称を変更する場合は、変更する内容について、あらかじめ本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
（外国にある第三者への提供の制限）
第14条

正会員は、外国（本邦の域外にある国又は地域をいう。以下同じ。）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している国として施行規則第11条で定めるものを除く。以下この条及び次条において同じ。）にある第三者（個人データの取扱いについて個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして施行規則第11条の２で定める基準に適合する体制を整備している者を除く。以下、この条において同じ。）に個人データを提供する場合には、前条第1項各号に定める場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は適
用しない。

12

Ⅱ-１-⑤（第三者提供に係る記録の作成等）
第15条

正会員は、保護法第25条の定めに従い、第三者（保護法第２条第５項各号に掲げる者を除く。本条から第17条まで同じ。）に個人データを提供した場合には、個人データを提供した年月日、当該第三者の氏名又は名称その他の施行規則で定める事項に関する記録を作成しなければならない。ただし、国内にある第三者への提供においては、次の各号のいずれかに該当する場合､記録の作成を要しないものとする｡
また､外国にある第三者への提供においては､次の第１号から第４号のいずれかに該当する場合、又は当該第三者が施行規則第11条で定める我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国に所在する場合、若しく
は施行規則第11条の２で定める相当する措置を継続的に講ずるために必要なものとして定める基準を満たしているものであって、次の第５号から第７号のいずれかに該当する場合、記録の作成を要しないものとする。なお、確認・記録義務ガイドライ
ン２－２－１－１から２－２－１－３に定める場合については、確認・記録義務は適用されない(1) 法令に基づく場合(2) 人の生命、身体又は財産（法人の財産を含む。）の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(5) 正会員が、利用目的の達成に必要な範囲内において個人データ取扱いの全部又は一部を委託することに伴って当該個人データが提供されるとき。
(6) 合併その他の事由による事業の承継に伴って個人データが提供されるとき。
(7) 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

13

Ⅱ-１-⑤（第三者提供を受ける際の確認等）
第16条 正会員は、保護法第26条の定めに従い、第三者から個人データの提供を受けるに際し、次に掲げる場合を除き、当該第三者の氏名又は名称及び住所並びに法人にあってはその代表者（法人でない団体で代表者又は管理人の定めのあるものにあってはその代表者又は管理人）の氏名、当該第三者による当該個人デー
タの取得の経緯の確認を行い、保護法第26条第３項に定める事項に関する記録を作成しなければならない。ただし、実質的に「提供者」による提供ではない場合（確認・記録義務ガイドライン２－２－１－１から２－２－１－３に定める場合）については、確認・記録義務は適用されない。また、確認・記録義務ガイドライ
ン２－２－１－１及び２－２－２－２についても、受領者である正会員には確認・記録義務は適用されない。
(1) 法令に基づく場合(2) 人の生命、身体又は財産（法人の財産を含む。）の保護のために必要があ
る場合であって、本人の同意を得ることが困難であるとき。
(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(5) 正会員が、利用目的の達成に必要な範囲内において個人データ取扱いの全部又は一部を委託することに伴って当該個人データが提供されるとき。
(6) 合併その他の事由による事業の承継に伴って個人データが提供されるとき。
(7) 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。
（第三者提供時の記録に係る保存期間）
第17条

第15条及び第16条に従い作成した記録については、当該記録を作成した日から施行規則で定める期間保存しなければならない。

14

Ⅱ-１-⑤（保有個人データに関する事項の公表等）
第18条

正会員は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。なお、利用目的に第三者提供が含まれる場合には、第２号の内容として、その旨を明らかにしなければならない。
(1) 正会員の名称(2) 全ての保有個人データの利用目的（ただし、第８条第４項第１号から第３号に該当する場合を除く。）(3) 次項の規定による求め又は次条第１項、第20条第１項若しくは第21条第１項
若しくは第２項の規定による請求に応じる手続（第24条の規定により手数料の額を定めたときは、その手数料の額を含む。）(4) 保有個人データの取扱いに関する自社における苦情の申出先(5) 認定個人情報保護団体がある場合にはその名称及びその苦情の解決の申出先
２

正会員は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りではない。
(1) 前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合(2) 第８条第４項第１号から第３号に該当する場合
３

正会員は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。また、その決定の理由について、根拠とした法の条文、判断の根拠及び判断の基準となる事実を示して説明することとする。
（開示）
第19条

正会員は、本人から、当該本人が識別される保有個人データの開示（存在しないときにはその旨を知らせることを含む。）の請求を受けたときは、本人に対し、書面の交付による方法（開示の請求を行った者が同意した方法があるときはその方法）
により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
(1) 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

15

Ⅱ-１-⑤(2) 正会員の業務の適正な実施に著しい支障を及ぼすおそれがある場合(3) 他の法令に違反することとなる場合
２

正会員は、前項の規定による請求に係る保有個人データの全部又は一部について開示しない旨の決定をしたとき又は当該保有個人データが存在しないときは、本人に対し、遅滞なく、その旨を通知しなければならない。また、その決定の理由について、根拠とした法の条文、判断の根拠及び判断の基準となる事実を示して説明することと
する。
（訂正等）
第20条

正会員は、本人から、当該本人が識別される保有個人データに誤りがあり、事実でないという理由によって、内容の訂正、追加又は削除（以下「訂正等」という。）の請求を受けた場合は、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく、事実の確認等の必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。
２

正会員は、前項の請求に係る保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を通知しなければならない。なお、正会員は、訂正等を行わない場合は、訂正等を行わない根拠とした法の条文、判断の根拠及び判断の基準となる事実を示し、その理由を説明することとする。
（利用停止等）第21条

正会員は、本人から、当該本人が識別される保有個人データが第５条の規定に違反して取り扱われたものであるという理由又は第７条の規定に違反して取得されたという理由によって、当該保有個人データの利用の停止又は消去（以下「利用停止等」という。）の請求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人デー
タの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
16

Ⅱ-１-⑤２

正会員は、本人から、当該本人が識別される保有個人データが第13条第１項又は第14条の規定に違反して第三者に提供されているという理由によって、当該保有個人データの第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとる
ときは、この限りでない。
３

正会員は、第１項の規定による請求に係る保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をした
とき又は前項の規定による請求に係る保有個人データの全部若しくは一部について第三者提供を停止したとき若しくは第三者提供を停止しない旨を決定したときは、本人に対し、遅滞なく、その旨（本人から求められた措置と異なる措置を行う場合には、その措置内容を含む。）を通知しなければならない。また、その決定の理由について、根拠とした法の条文、判断の根拠及び判断の基準となる事実を示して説明することとする。
（理由の説明）
第22条 正会員は、第18条第３項、第19条第２項、第20条第２項又は前条第３項の規定により、本人から求められ、又は請求された措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合において、本人に対しその理由を説明する際には、措置をとらないこととし、又は異なる措置をとることとした根拠とした法の条文、判断の根拠及び根拠となる事実を示すこととする。
（開示等の請求等に応じる手続）
第23条

正会員は、第18条第２項の規定による求め又は第19条第１項、第20条第１項、第21条第１項若しくは第２項の規定による請求（以下「開示等の請求等」という。）に関し、以下のとおり、その受け付けの方法を定めることができる。この場合において、正会員は、第27条に定める個人情報保護宣言と一体として、インターネットのホームページでの常時掲載や営業所の窓口等での掲示・備付け等を行うこととする。
17

Ⅱ-１-⑤(1) 開示等の請求等の申出先(2) 開示等の請求等に際して提出すべき書面の様式、その他の開示等の請求等の受付方法(3) 開示等の請求等をする者が本人又は代理人（未成年者若しくは成年被後見人の法定代理人、又は本人が委任した任意代理人をいう。本条において同じ。）
であることの確認方法(4) 第24条第１項の手数料の金額とその徴収方法（無料とする場合を含む。）(5) 開示等の請求等の対象となる保有個人データの特定に必要な事項(6) 開示等の請求等に対する回答方法等
２ 正会員は、代理人が開示等の請求等を行う場合の手続として、前項各号に加えて次の事項を定めるものとする。なお、施行令第11条第２号に定める代理人による開示等の請求等に対して、本人にのみ直接開示等することは妨げない。
(1) 代理人の本人確認方法(2) 代理人の代理権を確認する方法
３

正会員は、前２項の規定に基づき開示等の請求等に関する手続を定めるにあたっては、本人に過重な負担を課するものとならないよう配慮しなければならない。
４

正会員は、本条第１項第５号に関して、その対象となる保有個人データを特定するに足りる事項の提示を本人に求める場合には、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データの特定に資する情報の提供
その他本人の利便を考慮した適切な措置をとらなければならない。
（手数料）
第24条

正会員は、第18条第２項の規定による利用目的の通知を求められたとき又は第19条第１項の規定による開示の請求を受けたときは、当該措置の実施に関し、手数料を徴収することができる。
２

正会員は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。
（正会員による苦情の処理）
第25条 正会員は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
２ 正会員は、苦情受付窓口の設置や苦情処理手順の策定、苦情処理に当たる役職
18

Ⅱ-１-⑤

員への十分な教育・研修等により、前項の目的を達成するために必要な体制の整備に努めなければならない。
（個人情報等の漏えい事案等への対応）
第26条

正会員は、個人情報の漏えい事案等又は匿名加工情報の作成に用いた個

人情報から削除した記述等及び個人識別符号並びに保護法第36条第１項の規定により行った加工の方法に関する情報の漏えい事案（以下「個人情報等の漏えい事案等」という。）の事故が発生した場合には、監督当局及び本協会に直ちに報告しなければならない。また、個人情報等の漏えい事案等のうち、行政手続における特定の個人を識別するための番号の利用等に関する法律（以下「番号法」という。）第２条第８項に定める特定個人情報が漏えいした場合には、あわせて個人情報保護委員会にも報告するものとする。
２

正会員は、個人情報等の漏えい事案等の事故が発生した場合には、二次被害の防止、類似事案の発生回避等の観点から、当該事案等の事実関係及び再発防止策等を早急に公表しなければならない。
３

正会員は、個人情報等の漏えい事案等の事故が発生した場合には、漏えい事

案等の対象となった本人に速やかに当該事案等の事実関係等の通知等を行わなければならない。
（個人情報保護宣言の策定）
第27条 正会員は、個人情報に対する取組方針をあらかじめ分かりやすく説明することの重要性に鑑み、正会員の個人情報保護に関する考え方及び方針に関する宣言（いわゆるプライバシーポリシー、プライバシーステートメント等。以下「個人情報保護宣言」という。）を策定し、インターネットのホームページへの常時掲載又は事務所の窓口等での掲示・備付け等により公表することとする。
２ 個人情報保護宣言には、例えば、以下の内容を記載することとする。
(1) 関係法令等の遵守、個人情報を目的外に利用しないこと及び苦情処理に適切に取り組むこと等、個人情報保護への取組方針の宣言(2) 保護法第18条及び本指針第８条における利用目的の通知・公表等の手続についての分かりやすい説明(3) 保護法第28条及び本指針第23条における開示等の手続等、個人情報保護の取扱いに関する諸手続についての分かりやすい説明19

Ⅱ-１-⑤(4) 個人情報の取扱いに関する質問及び苦情処理の窓口
３

個人情報保護宣言には、消費者等、本人の権利利益保護の観点から、事業活動の特性、規模及び実態に応じて、次に掲げる点を考慮した記述をできるだけ盛り込むよう努めるものとする。
(1) 保有個人データについて本人から求めがあった場合には、ダイレクトメールの発送停止など、自主的に利用停止等に応じること。
(2) 委託の有無、委託する事務の内容を明らかにする等、委託処理の透明化を進めること。
(3) 正会員がその事業内容を勘案して顧客の種類ごとに利用目的を限定して示したり、正会員が本人の選択による利用目的の限定に自主的に取り組むなど、本人にとって利用目的がより明確になるようにすること。
４ 個人情報の取得元又はその取得方法（取得源の種類等）を可能な限り具体的に明記すること。
（本協会への報告等）
第28条 本協会は、正会員に対し、当該正会員による本指針の遵守を確認するた
めに、適宜報告を求めることができる。
２ 本協会は、正会員に対し、本指針を遵守させるために必要な指導及び勧告その他の措置を行う。
３ 正会員は、本指針を遵守するとともに、本協会が行う必要な指導及び勧告その他の措置に従わなければならない。
（特定個人情報に関する安全管理措置）
第29条 正会員は、個人番号及び特定個人情報の漏えい、滅失又は毀損防止等、個人番号及び特定個人情報の管理のために、必要かつ適切な安全管理措置を講じなければならない。
２

従業者に個人番号及び特定個人情報を取り扱わせるに当たっては、個人番号

及び特定個人情報の安全管理措置が適切に講じられるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
３ 正会員は、第10条等の個人情報の保護に関する法令等の定める措置を実施す
るほか、番号法第12条及び特定個人情報の適正な取扱いに関するガイドライン（事業者編）に定める特定個人情報に関する安全管理措置（事業者編）に基づ
20

Ⅱ-１-⑤

き、必要かつ適切な安全管理措置を講じなければならない。
４

正会員は、個人番号関係事務の全部又は一部を委託するときは、番号法に基づき自らが果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行わなければならない。二段階以降の委託を行う場合の再委託先等に対する点検においても番号法第10条を踏まえた監督を行うものとする。
（ダイレクト・マーケティング）
第30条

正会員は、本人から、ダイレクト・マーケティング（正会員または正会

員が個人情報を提供する先が、特定の商品またはサービスに適合する顧客を限定して行う、ダイレクトメールの送付やテレマーケティングその他のセールス活動で、店舗等で直接面談して行うセールス活動を除くもの。）の目的で個人情報を利用することの中止を求められた場合には、当該目的での個人情報の利用または提供を中止しなければならない。
（与信情報）
第31条 正会員は、金融サービス仲介業務を行うに際して、媒介先となる金融機関
等において、与信に利用するために正会員から当該金融機関に提供する目的で個人情報を取得する場合においては、利用目的を明示する書面に確認欄を設けること等により、利用目的について本人の同意を得るよう努めなければならない。この場合において、契約書等における利用目的は他の契約条項等と明確に分離して記載するものとする。
２ 正会員は、取引上の優越的な地位を不当に利用し、融資の条件として、第1項に規定する業務において取得した個人情報について当該業務以外の金融商品のダ
イレクトメールの発送等に利用することを利用目的として同意させる行為を行ってはならない。
３

正会員は、個人情報を個人信用情報機関（個人の返済能力に関する情報の収集及び与信事業を行う正会員に対する当該情報の提供を業とするものをいう。
以下同じ。）に提供する場合には、その旨を利用目的に明示し、本人の同意を得なければならない。
（兼業業務等での個人データ利用に関する特例）
第32条

正会員は、金サ法第11条第２項に定める預金等媒介業務、同条第３項に定める保険媒介業務、同条第４項に定める有価証券等仲介業務又は同条第５項
21

Ⅱ-１-⑤に定める貸金業貸付媒介業務媒介を行うに際して、いずれかの業務で取得した個人データをその他の業務で利用する場合には、顧客の同意を得なければならない。
２

正会員は、金融サービス仲介業務において取得した個人データについて、金融サービス仲介業務以外の業務に利用する場合には、顧客の同意を得なければならない。
３

正会員は、金融サービス仲介業者が複数の金融機関から金融サービス仲介業

務を受託している場合は、一の金融機関のための金融サービス仲介業務で得た個人情報を他の金融機関の金融サービス仲介業に利用する場合は、顧客の同意を得なければならない。
４

正会員は、顧客情報を適正に管理するための方法や態勢を整備し、前３項に定める同意取得が確実に実施されようにしなければならない。
５

正会員は、個人データの第三者提供の同意の取得に当たって、優越的地位を濫用して過剰な内容、利用目的に及ぶ過剰な同意を強いてはならない。
（保険媒介業務）
第33条

正会員は、金サ法第11条第３項の保険媒介業務に関しては、被保険者、保険金受取人等保険契約者以外の者から、当該本人が識別される保有個人デー
タの範囲内で開示の請求がなされた場合には、保険契約者本人の個人データの第三者提供とならないよう配慮しつつ、開示の請求に応じることとする。
２

第22条ないし第25条は、前項に定める被保険者、保険金受取人等保険契約者

以外の者からの請求について準用する。
３

正会員は、第１項の保険媒介業務について、第三者からの提供により個人情報を取得する場合は、あらかじめ利用目的を公表しなければならない。
４

正会員は、前項の利用目的の公表をしていない場合には、取得後速やかに、利用目的を本人に通知又は公表しなければならない。ただし、第８条第４項各号のいずれかに該当する場合を除く。
５

正会員は、第１項の保険媒介業務について、保険契約の締結又は保険金の請求に際して行われる不正行為の排除等の目的のために保険会社等の間において契約等情報の登録又は交換を行うときは、保護法第23条第５項第３号に規定する事項を公表するものとし、かつ、本人の同意（原則として書面による。）を22

Ⅱ-１-⑤

得るよう努めるものとする。
附則

この指針は、令和３年11月１日から適用する。
附則

この改正は、令和６年７月１日から施行する。

23