損害保険会社に係る個人情報保護指針（改訂版）

2022年4月20日
一般社団法人 外国損害保険協会

目次頁

損害保険会社に係る個人情報保護指針
第 1 条(目的等) ························································

２

第２条(個人情報保護宣言の策定・公表） ·································

３

第３条(個人情報の利用目的） ···········································

４

第４条(個人番号及び特定個人情報の利用） ·······························

６

第５条(個人情報の取得等） ·············································

７

第６条(個人番号の提供の求めの制限） ···································

７

第７条(個人データの第三者提供） ·······································

８第８条(外国にある第三者への個人データの提供） ·························10

第９条(第三者提供時の確認・記録義務） ·································

12

第 10 条(個人関連情報の提供） ··········································

14

第 11 条(個人関連情報の取得） ··········································

16

第 12 条(仮名加工情報の取扱い） ········································

17

第 13 条(匿名加工情報の取扱い) ·········································

18

第 14 条(特定個人情報の提供制限） ······································

18

第 15 条(特定個人情報の収集・保管制限） ································

18

第 16 条(センシティブ情報の特例） ······································

19

第 17 条(個人データの安全管理措置） ····································

20

第 18 条(特定個人情報に関する安全管理措置） ····························

21

第 19 条(損害保険代理店に対する指導・監督） ····························

21

第 20 条(本人からの請求等に応じる手続） ································

22

第 21 条(苦情処理） ····················································

23

第 22 条(本協会の役割） ················································

231

損害保険会社に係る個人情報保護指針（目的等）
第１条 この指針は、「個人情報の保護に関する法律」（以下「保護法」という。）及び「行政手続における特定の個人を識別するための番号の利用等に関する法律」（以下「番号法」という。
）」の規定の趣旨に沿って、損害保険会社がその事業の遂行に際して個人情報を取り扱う際に開示すべき利用目的、講ずべき安全管理のための措置その他の事
項につき、具体的な基準を定めることにより、損害保険会社の個人情報、個人番号、特定個人情報、個人関連情報、
仮名加工情報及び匿名加工情報の適正な取扱いを確保することを目的とする。
２ この指針は、一般社団法人外国損害保険協会（以下「本協会」という。
）に加盟する損害保険会社及び保護法第52条第１項の同意を行う損害保険会社(以下「損害保険会社」という。）がその事業の遂行に際して個人情報、個人番
号、特定個人情報、個人関連情報、仮名加工情報及び匿名加工情報を取り扱う場合（雇用管理などの内部事務に伴い個人情報を取り扱う場合を除く。
）につき適用する。
３ この指針において使用する用語は、別に定義する場合を除き、保護法において使用する用語の例による。なお、この指針における「個人情報」及び「個人データ」とは、個人番号及び特定個人情報を除くものをいう。
＜参考事項＞
１．指針の策定
この指針は、本協会が、保護法第 47 条第１項に規定する「認定個人情報保護団体」であることを踏まえ、保護法第 54 条第１項に規定する「個人情報保護指針」として策定するものである。
２．指針が適用される対象事業者（損害保険会社等）
この指針が適用される対象事業者は、本協会加盟の損害保険会社とする。なお、非加盟の損害保険会社等は、本協会が認定個人情報保護団体として行う業務の対象となることに同意するときは、対象事業者となることができる（保護法第 52 条第１項）。
３．指針が適用される事業の範囲（その事業の遂行に際して）損害保険会社は、損害保険業のほかに付随業務（保険業法第 98 条）や法定他業（同法第 99 条）を営んでいる。この指針は、特に定めがない限り、損害保険会社が営む全ての業務（雇用管理などの内部事務を除く。
）に適用される。なお、雇用管理などの内部事務については、各社が「個人情報の保護に関する法律についてのガイドライン（通則編）」（以下、「通則ガイドライン」という。
）等を踏まえて個別に対応するものとする。
＜参考条文＞
保護法第 47 条（認定）、第 52 条（対象事業者）、第 54 条（個人情報保護指針）
金融分野における個人情報保護に関するガイドライン（以下「金融分野ガイドライン」という。
）第１条（目的等）
通則ガイドライン２（定義）
番号法第２条（定義）2

（個人情報保護宣言の策定・公表）
第２条 損害保険会社等は、保護法その他の関連法令等及びこの指針を踏まえ、自社の個人情報（個人番号及び特定個人情報を含む。
）の保護に関する考え方や方針に関する宣言（個人情報保護宣言）を策定し、公表するものとする。
２ 損害保険会社等は、その公表する個人情報保護宣言を実効性あるものとすべく、社内体制の整備等に努めるものとする。
＜参考事項＞
１．個人情報保護宣言
政府の「個人情報の保護に関する基本方針」（2004 年４月２日閣議決定。以下「政府方針」という。
）が「個人情報取扱事業者は、（中略）例えば、消費者の権利利益を一層保護する観点から、個人情報保護を推進する上での考え方や方針（いわゆる、プライバシ
ーポリシー、プライバシーステートメント等）を対外的に明確化するなど、個人情報の保護及び適正かつ効果的な活用について主体的に取り組むことが期待されているところであり、体制の整備等に積極的に取り組んでいくことが求められている」としていることを踏まえ、この指針が適用されるすべての損害保険会社等が個人情報保護宣言を策定するとともに、ホームページへの掲載などの適切な方法により公表することとする。
２．個人情報保護宣言の記載事項
損害保険会社等が策定すべき個人情報保護宣言には、次のような項目を規定するものとする。
(1) 自社の個人情報保護に関する考え方
例：個人情報保護の重要性に鑑み、損害保険業に対する社会の信頼をより向上させるため、個人情報の保護に関する法
律その他の関連法令等を遵守し、個人情報の適正な取扱いを確保する。
(2) 自社の個人情報保護に関する取組方針① 利用目的、同意を得て行う第三者提供及び共同利用の概要② 個人データに係る安全管理措置の概要③ 保有個人データに関する事項④ 開示等の求めに応じる手続⑤ 問い合わせ及び苦情の受付窓口⑥ 取組方針及び取組内容の継続的改善の宣言⑦ 特定個人情報の取扱いに関する事項
３．社内体制の整備等
金融分野ガイドラインおよび金融庁監督指針等における社内体制等にかかる規定を考慮し、すべての損害保険会社等
は、社内体制の整備等に努めることとする。
損害保険会社等が個人情報保護の確保・推進のために講ずべき措置として、例えば次のようなものがある。
(1)社内責任体制の整備
例：全社的な取組方針・推進体制を企画・立案・実施・検証する部署又は組織の設置
例：個人情報保護管理者の設置(2)社内規程等の整備
例：個人情報の取扱要領等を定める社内規程・マニュアル類の整備(3)安全管理措置の整備（この指針第17条参照）＜参考条文＞
金融分野ガイドライン第20条（個人情報保護宣言の策定）3

（個人情報の利用目的等）
第３条 損害保険会社等は、利用目的を定めるときは、自社が個人情報を利用する範囲を本人が合理的に予想できる程度に特定するものとする。
２ 損害保険会社等は、利用目的を公表するとともに、損害保険業の遂行に際して取得する個人情報の利用目的を明示するときは、保険契約申込書その他の書面（電磁的記録を含む。以下同じ）に記載するものとする。
３ 損害保険会社等は、個人情報の利用目的を変更するときは、保護法第17条第２項に掲げる要件を満たすとともに、変更後の利用目的を公表するものとする。
４ 損害保険会社等は、利用目的の達成に必要な範囲を超えて個人情報を取り扱わないものとする。やむを得ずかかる取扱いを行うときは、保護法第18条第３項各号に掲げる場合を除き、あらかじめ本人の同意（原則として書面による。
）を得るものとする。
５ 損害保険会社等は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。
＜参考事項＞
本条は個人番号及び特定個人情報を除く個人情報の取扱いを定める規定である。個人番号及び特定個人情報の利用については次条に定める。
１．利用目的の特定損害保険業の遂行に際して取得する個人情報の利用目的は、各社が次のような要素を勘案して特定するものとする。
(1)保険契約申込時に取得する個人情報の利用目的①申込に係る保険契約の引受の審査②保険契約の履行及び付帯サービスの提供③自社が取り扱う当該契約以外の商品・サービス等の案内・提供(グループ会社・提携会社等が提供するものを含む)(注）
例：当社が取り扱う損害保険、生命保険、投資信託、確定拠出年金
例：グループ（提携）会社である○○会社が取り扱う△△商品（サービス）(2)保険金請求時に取得する個人情報の利用目的①請求に係る保険事故の調査（関係先への照会等を含む）②請求に係る保険金の支払（注）提供する商品・サービスは、提供される商品・サービスを本人が合理的に予想できるよう特定するものとし、説明書面では概要とし、詳細はホームページに掲載することも認められる。
２．利用目的の公表・書面記載
損害保険会社等は、その事業の遂行に係る全ての利用目的をホームページへの掲載等の適切な継続性のある方法により公表する。
利用目的を変更する場合における変更後の利用目的についても同様とする。また、そのうち損害保険業の遂行に際して取得する個人情報の利用目的を明示する場合は、更に保険契約申込書その他の書面に記載する（インターネットによる申込等の場合は、ウエブ上での利用目的の掲載を含む）。
保険募集に際して、事前にアンケート等により見込客情報を取得する場合がある。この場合も、保険募集の一環として行われる限り、例えば「アンケートにより取得した個人情報を利用して保険商品を案内する」といった利用目的をアンケートに記載するものとする。
なお、新規業務の開始、既存業務の見直し等に伴い、新たな利用目的が加わり、又は、従来の利用目的を変更する必要が生じることがあるので、利用目的のフォローを行う社内責任体制を整備する必要がある。
ただし、上記利用目的の公表および書面記載に関しては、次に該当する場合は除くものとする。
① 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害す
るおそれがある場合（例）
・暴力団等の反社会的勢力情報、疑わしい取引の届出の対象情報、振り込め詐欺に利用された口座に関する情報、業務妨害行為を行う悪質者情報の提供者が逆恨みを買うおそれがある場合② 利用目的を本人に通知し、又は公表することにより損害保険会社等の権利又は正当な利益を害するおそれがある場合（例）
・開発中の新サービス、営業ノウハウが明らかになることにより、企業の健全な競争を害する場合
・振り込め詐欺に利用された口座に関する情報を取得したことが明らかになることにより、情報提供を受けた企業に害が及ぶ場合③ 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
（例）・犯罪捜査への協力のため、被疑者等に関する情報を取得した場合④ 取得の状況からみて利用目的が明らかであると認められる場合（例）
・電話等での資料請求に対して、請求者が提供した住所及び氏名に関する情報を請求された資料の送付のみに利用する場合
・今後連絡を取り合うために名刺交換をした場合
・着信において相手方の電話番号が非通知でない場合で、同じ用件で当方から相手方に電話を掛け直す場合
4

３．目的外利用の禁止
損害保険会社等は、目的外利用を行わないものとする（保護法第 18 条第１項）。この適用除外となる同条第３項に掲げる場合（本人の事前同意なく利用目的の達成に必要な範囲を超えて取り扱う場合）とは、例えば次のような場合である。
(1) 法令に基づく場合（保護法第18条第３項第１号）
例：所得税法第225条第１項等の規定に基づく税務署長への支払調書等提出
例：国税通則法第 74 条の２等に基づいて税務当局が行う質問検査及び国税犯則取締法第１条等に基づいて収税官吏、徴税吏員の行う犯則事件の任意調査
例：犯罪による収益の移転防止に関する法律第８条第１項に基づく疑わしい取引の届出
例：弁護士法第23条の２に基づく弁護士による報告請求
例：刑事訴訟法第197条第２項に基づく警察からの捜査関係事項照会
例：刑事訴訟法第218条に基づく令状による差押え・捜索・検証
例：地方税法第72条の63に基づく事業税に係る質問検査
例：会社法第381条第３項による親会社の監査役の子会社に対する調査への対応
例：会社法第396条及び金融商品取引法第193条の２の規定に基づく財務諸表監査への対応
例：金融商品取引法第210条、第211条等に基づく証券取引等監視委員会の職員による犯則事件の調査
なお、法令に、第三者が個人情報の提供を求めることができる旨の規定はあるが、正当な事由に基づきそれに応じないことができる場合には、損害保険会社等は、当該法令の趣旨に照らして目的外利用の必要性と合理性が認められる範囲内で対応するよう留意する。
(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
（保護法第 18 条第３項第２号）
例：暴力団等の反社会的勢力情報、業務妨害行為を行う悪質者情報等を企業間で共有する場合(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
（保護法第 18 条第３項第３号）
例：病気の予防、治療に関する研究等を目的とする情報交換を行う場合(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
（保護法第 18 条
第３項第４号）
例：税務当局の任意調査に応じる場合
例：警察の任意調査に応じる場合
例：一般統計調査に回答する場合
なお、損害保険会社等は、任意の求めの趣旨に照らして目的外利用の必要性と合理性が認められる範囲内で対応するよう留意する。
※ＥＵ域内から十分性認定に基づき提供を受けた個人データの利用の範囲については、この指針第９条に係る参考事項５．を参照。
４．本人同意の取得
本人同意の取得は、原則として「書面」によるが、「書面」には電磁的記録を含むという趣旨（以下同様）である。
５．事業承継時の取扱い
損害保険会社等が合併その他の事由により他の損害保険会社等から事業を承継し、それに伴い個人情報を取得した場合、承継会社
は、被承継会社が設定した利用目的の達成に必要な範囲内で当該個人情報を取り扱う必要がある（保護法第 18 条第２項）。
６．不適正利用の禁止
違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している場合とは、例えば次のような事例である。
事例 1）暴力団員により行われる暴力的要求行為等の不当な行為や総会屋による不当な要求を助長し、又は誘発するおそれが予見できるにもかかわらず、事業者間で共有している暴力団員等に該当する人物を本人とする個人情報や、不当要求による被害を防止するために必要な業務を行う各事業者の責任者の名簿等を、みだりに開示し、又は暴力団等に対しその存在を明らかにする場合
事例 2）個人情報を提供した場合、提供先において保護法第 27 条第 1 項に違反する第三者提供がなされることを予見できるにもかかわらず、当該提供先に対して、個人情報を提供する場合
事例 3）採用選考を通じて個人情報を取得した事業者が、性別、国籍等の特定の属性のみにより、正当な理由なく本人に対する違法な差別的取扱いを行うために、個人情報を利用する場合
事例 4）違法な行為を営むことが疑われる事業者（例：貸金業登録を行っていない貸金業者等）からの突然の接触による本人の平穏な生活を送る権利の侵害等、当該事業者の違法な行為を助長するおそれが想定されるにもかかわらず、当該事業者に当該本人の個人情報を提供する場合
事例 5）裁判所による公告等により散在的に公開されている個人情報（例：官報に掲載される破産者情報）を、当該個人情報に係る本人に対する違法な差別が、不特定多数の者によって誘発されるおそれがあることが予見できるにもかかわらず、それを集約してデータベース化し、インターネット上で公開する場合
事例 6）広告配信を行っている事業者が、第三者から広告配信依頼を受けた商品が違法薬物等の違法な商品であることが予見できるにもかかわらず、当該商品の広告配信のために、自社で取得した個人情報を利用する場合

5

７．法令等との関係
本条第２項は、保護法その他関係法令・ガイドライン等（以下「法令等」という）には規定のない自主ルール（以下、単に「自主ルール」という）である。
＜参考条文＞
保護法第 17 条（利用目的の特定）、第 18 条（利用目的による制限）、第 19 条（不適正な利用の禁止）、第 21 条（取得に際しての利用目的の通知等）
金融分野ガイドライン第２条（利用目的の特定）、第３条（同意の形式）、第４条（利用目的による制限）、第６条（取得に際しての利用目的の通知等）
通則ガイドライン２－16（「本人の同意」）、３－１（個人情報の利用目的）、３－３－３（利用目的の通知又は公表）、３－３－４（直接書面等による取得）、３－３－５（利用目的の通知等をしなくてよい場合）（個人番号及び特定個人情報の利用）
第４条 損害保険会社等は、個人番号及び特定個人情報の利用目的を公表するとともに、個人番号関係事務の実施に際して取得する個人番号及び特定個人情報の利用目的を明示するときは、個人番号及び特定個人情報を入手する際などの書面に記載するものとする。
２ 損害保険会社等は、番号法第９条に定める目的を超えて個人番号及び特定個人情報を利用してはならない。
＜参考条文＞
保護法第 21 条（取得に際しての利用目的の通知等）
番号法第９条（利用範囲）、第 29 条（特定個人情報ファイルの作成の制限）

6

（個人情報の取得等）
第５条 損害保険会社等は、業務上必要な範囲内で、かつ、適法で公正な手段により個人情報を取得するものとする。
２ 損害保険会社等は、個人情報を本人以外の者から取得するときは、本人の利益を不当に侵害しないようにするものとする。
３ 損害保険会社等は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めるものとする。
＜参考事項＞
１．個人情報取得の原則
損害保険会社等は、個人情報を取得するときは、①取得する個人情報を「業務上必要な範囲内」に留めるとともに、②取得手段を適法かつ公正なものとする必要がある。保護法は、取得手段につき「不正なもの」を排除する（保護法第 20 条）だけだが、この指針
では保護法制定以前からの取扱いを踏襲し、２つの要件を課すこととする。
なお、例えば、本人確認のために運転免許証や住民票の提出を受けた場合、本人特定事項（氏名・住所・生年月日）以外の情報まで取得することになるが、本人が任意で提出する限り、かかる取得まで禁止する趣旨ではない（但し、個人番号を除く。また、セン
シティブ情報の取得、利用又は第三者提供についてはこの指針第 16 条を、安全管理措置については金融分野における個人情報保護に関するガイドラインの安全管理措置等についての実務指針（以下「金融分野実務指針」という。
）を参照）。
２．第三者からの取得
個人情報取扱事業者（転得者）が第三者（原取得者）から個人情報を取得する場合、転得者が原取得者による不正取得に加担してはならず、また、不正取得された個人情報であることを認識した上で当該情報を取得してはならない。
損害保険会社等は、上記のほか、更に「本人の利益を不当に侵害しない」ものとする。具体的には、本人の利益を侵害する可能性のある個人情報を取得するときは、取得情報を業務上必要な範囲に留めることにおいて、他の情報以上に慎重な取扱いを行う必要がある。
「本人の利益を不当に侵害しない」場合として、例えば、満期返戻金等を支払うために居所不明の契約者の住民票を第三者から取り付ける場合が該当する。
第三者から個人データを取得する際の確認・記録義務については、この指針第９条参照。
３．取得情報の保守
損害保険会社等は、可能な限り、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない（保護法第 22 条）。
４．法令等との関係
本条第１項および第２項は、自主ルールである。
＜参考条文＞
保護法第 20 条（適正な取得）、第 22 条（データ内容の正確性の確保等）
金融分野ガイドライン第７条（データ内容の正確性の確保等）
通則ガイドライン３－３－１（適正取得）、３－４－１（データ内容の正確性の確保等）（個人番号の提供の求めの制限）
第６条 損害保険会社等は、番号法第19条各号のいずれかに該当して特定個人情報の提供を受けることができる場合
を除き、個人番号の提供を求めてはならない。
＜参考条文＞
番号法第 14 条（提供の要求）、第 15 条（提供の求めの制限）、第 19 条（特定個人情報の提供の制限）

7

(個人データの第三者提供）
第７条 損害保険会社等は、個人データを第三者に提供するときは、保護法第27条第１項各号及び第２項に掲げる場
合を除き、本人の同意を得なければならない。
２ 損害保険会社等は、個人データ（この指針第16条に定めるセンシティブ情報を除く。以下この項において同じ。
）の第三者提供にあたって、保護法第27条第２項各号に掲げる事項をあらかじめ本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、本人の同意を得ることなく、当該個人データを第三者に提供することができる。
３ 損害保険会社等は、前項に基づき、必要な事項を個人情報保護委員会に届け出たときは、その内容を自らもインターネットの利用その他の適切な方法により公表するものとする。
４ 損害保険会社等は、保険契約の締結又は保険金の請求に際して行われる不正行為の排除等の目的のために損害保険会社等の間において契約等情報の登録又は交換を行うときは、保護法第27条第５項第３号に規定する事項を公表するものとし、かつ、本人の同意（原則として書面による。）を得るよう努めるものとする。
５ 損害保険会社等は、グループ会社又は特定の会社との間で個人データを共同して利用するときは、保護法第27条
第５項第３号に規定する事項を公表するものとする。
＜参考事項＞
本条は個人番号及び特定個人情報を除く個人データの第三者提供にかかる規定である。個人番号及び特定個人情報の提供制限にかかる規定は第 14 条に定める。
１．第三者提供の原則・同意取得方法（金融分野ガイドラインに基づく対応）
保護法は、個人情報取扱事業者が個人データを第三者に提供するときは、本人の事前同意を取り付ける（保護法第 27 条第１項本文）ことを義務づけているが、損害保険会社等は、金融分野ガイドライン第 12 条第１項を踏まえ、原則として書面で、①個人デー
タの提供先の第三者、②提供先の第三者における利用目的、③第三者に提供される個人データの項目を示した上で、同意を取り付けることとする（本人の同意を得ようとする時点において、①に掲げる事項が特定できない場合には、提供先の第三者の範囲や属性に関する情報等①に掲げる事項に代わる本人に参考となるべき情報を本人に認識させることとする）。
損害保険業における第三者提供としては、次のような事例が考えられ、いずれも本人の同意を得るものとする。
(1) 医療機関等の関係先に業務上必要な照会を行う際に、当該関係先に対して本人特定に必要な個人データ（例：氏名）を提供する
場合(2) 再保険契約の締結や再保険金の受領等のために、出再先等に必要な個人データを提供する場合「再保険」に関しては、再保険会社は本人から直接同意を取得できない立場にあるため、元受保険会社が再保険に関して、情報がどのように利用されるか本人が理解できるような記載を行い、包括的な同意を得るものとする。
なお、同意取得義務が免除される保護法第 27 条第１項各号に掲げる場合とは、この指針第３条に係る参考事項３．に記載してあるものと同じである。
２．オプトアウト保護法第27条第２項から第４項までは、
いわゆるオプトアウトにより個人データの第三者提供を行う場合について規定している。
保護法第 27 条第２項各号に掲げる事項とは、次のとおり。
(1) 第三者への提供を行う損害保険会社等の名称及び住所並びにその代表者(2) 第三者への提供を利用目的とすること。
(3) 第三者に提供される個人データの項目(4) 第三者に提供される個人データの取得の方法(5) 第三者への提供の方法(6) 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
(7) 本人の求めを受け付ける方法(8) その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則で定める事項
損害保険会社等は、上記(3) 、(4)、(5)、(7)又は(8)の事項を変更する場合は、変更する内容について、あらかじめ本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない（保護法第 27 条第３項）。
個人情報保護委員会は、保護法第 27 条第２項及び第３項に基づく届出があったときは、当該届出に係る事項を公表することとされている（保護法第 27 条第４項）。
なお、保護法第 27 条第２項は、要配慮個人情報についてオプトアウトによる第三者提供を禁じているが、損害保険会社等は、要配慮個人情報に該当しないセンシティブ情報についてもオプトアウトによる第三者提供を行わないものとする。
３．情報交換制度
損害保険業界では、保険契約の締結又は保険金の請求に際して行われる不正行為の排除等の目的のために、引き受けた保険契約に関する情報や受け付けた保険事故に関する情報等を登録し、又は交換する制度を運営している。登録制度は、所定の保険契約に関する事項を日本損害保険協会に登録し、参加会社・団体の照会を受けて日本損害保険協会が重複契約等の有無及び内容を回答するものである。交換制度は、保険契約者の申告内容の正否を確認すること等を目的として、損害保険会社等間で保険契約又は保険事故に関する情報を交換するものである。これら制度については、保護法第 27 条第５項第３号に規定する事項を公表する（必須）とともに、原則として、あらかじめ登録又は交換の目的を示した上で、本人の同意（原則として書面による）を得ることとする。
情報交換制度について、保護法第 27 条第５項第３号による特定共同利用要件によれば本人の同意取得は不要であるが、損害保険業界としては同意を得るよう努める(努力義務)こととする。
４．グループ内又は特定の会社との共同利用
8

保護法上、共同利用を行う場合の要件として、あらかじめ「本人に通知」するか「本人が容易に知り得る状態に置く」ことが挙げられている（保護法第 27 条第５項第３号）。グループ内又は特定の会社との共同利用を「本人が容易に知り得る状態に置く」ためには、ホームページへの掲載等、継続性のある方法により公表することとする。
５．法令等との関係
本条第４項は、自主ルールである。
＜参考条文＞
保護法第 27 条（第三者提供の制限）
金融分野ガイドライン第 12 条（第三者提供の制限）
通則ガイドライン３－６（個人データの第三者への提供）

9（外国にある第三者への個人データの提供）
第８条 損害保険会社等は、個人データを外国にある第三者に提供するにあたっては、保護法第28条に従い、次の各号のいずれかに該当する場合を除き、あらかじめ、外国にある第三者への個人データの提供を認める旨の本人の同意を得なければならない。
(1) 当該第三者が、我が国と同等の水準にあると認められる個人情報保護制度を有している国として保護法施行規則で定める国にある場合(2) 当該第三者が、個人情報取扱事業者が講ずべき措置に相当する措置（以下、「相当措置」という）を継続的に講ずるために必要な体制として保護法施行規則で定める基準に適合する体制を整備している場合(3) 保護法第27条第１項各号に該当する場合
２ 損害保険会社等は、前項の規定により本人の同意を得ようとする場合には、個人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。
３ 損害保険会社等は、個人データを外国にある第三者（第1項に規定する体制を整備している者に限る。）に提供した場合には、個人情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなけ
ればならない。
＜参考事項＞
本条は、外国にある第三者への個人データの提供にかかる規定である。
１．保護法第28条が適用されない場合
第８条第１項各号に該当する場合、保護法第 28 条は適用されないため、「外国にある第三者への個人データの提供を認める旨の本
人の同意」を得る必要はない（ただし、第１号および第２号に該当する場合は、日本国内の第三者に個人データを提供する場合と同様、保護法第 27 条が適用されることに留意。
）。
例えば、海外の遠隔地で海外旅行保険の契約者に保険事故が発生し緊急の対応を要する際に、損害保険会社が委託をしている現地のクレームエージェントに情報提供を行う場合等は、保護法第 27 条第１項第２号（人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
）に該当するため、保護法第 28 条は適用されないと考えられる。
２．我が国と同等の水準にあると認められる個人情報保護制度を有している外国保護法施行規則第 15 条の指定基準に基づき、個人情報保護委員会告示において「我が国と同等の水準にあると認められる個人情報保護制度を有している外国」を指定している。
３．個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準
保護法施行規則第16条は、個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制の基準として、
次のいずれかに該当することを規定している。
(1) 個人情報取扱事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、
適切かつ合理的な方法により、保護法第４章第２節の規定の趣旨に沿った措置の実施が確保されていること。
(2) 個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。
(1)の「適切かつ合理的な方法」および「保護法第４章第１節の規定の趣旨に沿った措置」の具体的な内容については、個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）（以下「外国第三者提供ガイドライン」という。
）４－１
および４－２を参照。(2)の「個人情報の取扱いに係る国際的な枠組みに基づく認定」については、APEC の CBPR システムの認証が該当する。
４．同意取得時の情報提供
外国第三者提供ガイドライン５を参照。
５．個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備している者に個人データを提供した場合に講ずべき措置等
外国第三者提供ガイドライン６を参照。
６．金融分野ガイドラインに基づく対応(1) 同意取得方法
損害保険会社等は、保護法第 28 条第１項に従い、外国にある第三者への個人データの提供を認める旨の本人の同意を得る際には、原則として、書面によることとし、当該書面における記載を通じて、施行規則第 17 条第２項から第４項までの規定により情報提供が求められる事項に加えて、①個人データの提供先の第三者②提供先の第三者における利用目的③第三者に提供される個人データの項目
を本人に認識させた上で同意を得ることとする。
本人の同意を得ようとする時点において、①に掲げる事項が特定できない場合には、①に掲げる事項に代わる本人に参考となるべき情報を当該本人に認識させた上で同意を得ることとする。当該情報としては、次に掲げる例が考えられる。
（例）
・提供先の第三者の範囲や属性に関する情報
10また、損害保険会社等があらかじめ作成された同意書面を用いる場合には、文字の大きさ及び文章の表現を変えること
等により、外国にある第三者への提供に関する条項が他の個人情報の取扱いに関する条項等と明確に区別され、本人に理解されることが望ましい。
(2) 同意取得時に提供先が特定できない場合の対応
損害保険会社等は、保護法第 28 条第１項の規定により本人の同意を得ようとする時点において、個人データの提供先の第三者が所在する外国が特定できない場合には、特定できない旨及びその具体的な理由（提供先が定まる前に本人同意を得る必要性を含む。）を情報提供するとともに、外国の名称に代わる本人に参考となるべき情報の提供が可能である場
合には、当該情報を提供しなければならない。例えば、本人の同意を得ようとする時点において、移転先となる外国の候補が具体的に定まっており、当該候補となる外国の名称等、外国の名称に代わる本人に参考となるべき情報の提供が可能であるにもかかわらず、これを本人に情報提供しなかった場合は、同項及び施行規則第 17 条第３項に基づく適法な情報提供とは認められない。したがって、この場合、損害保険会社等は、同条第２項から第４項までの規定により情報提供が求められる事項を本人に改めて提供した上で、外国にある第三者への個人データの提供を認める旨の本人の同意を得なければならない。なお、改めて情報提供する際には、前項の規定による情報提供にも留意することとする。
損害保険会社等は、事後的に提供先の第三者が所在する外国を特定できた場合には、本人の求めに応じて、施行規則第17 条第２項第１号及び第２号に掲げる事項について情報を提供することとする。また、事後的に提供先の第三者が講ずる個人情報の保護のための措置についての情報提供が可能となった場合には、本人の求めに応じて、同項第３号に掲げる事項について情報を提供することとする。このような情報提供の求めが可能である旨を前項に定める書面における記載を通じて本人に認識させるとともに、金融分野ガイドライン第 20 条に定める「個人情報保護宣言」に記載の上インター
ネットのホームページへの常時掲載又は事務所の窓口等での掲示・備付け等により、公表することとする。ただし、本人から情報提供の求めがあった場合であっても、例えば、情報提供することにより損害保険会社等の業務の適正な実施に著しい支障を及ぼすおそれがある場合等は、同項各号に定める情報の全部又は一部について情報提供しないことができる。
情報提供しない場合であっても、損害保険会社等は、本人に対し、遅滞なくその旨を通知するとともに、その理由を説明することとする（情報提供により個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合の具体例については、外国第三者提供ガイドライン６－２－２参照）。
(3) 基準適合体制を根拠とする場合の対応
損害保険会社等は、個人データの取扱いについて保護法第４章第２節の規定により個人情報取扱事業者が講ずべき措置に相当する措置（以下「相当措置」という。
）を継続的に講ずるために必要なものとして施行規則第 16 条に定める基準に適合する体制を整備していることを根拠として外国にある第三者に個人データを提供する場合には、当該提供の時点
で、当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及び内容、当該制度がある場合
においては、当該第三者による相当措置の継続的な実施の確保の可否を、適切かつ合理的な方法により、確認しなければならない。相当措置の実施に影響を及ぼすおそれのある制度としては、次に掲げる例が考えられる。
（例）
・事業者に対し政府の情報収集活動への広範な協力義務を課すことにより、事業者が保有する個人情報について政府による広範な情報収集が可能となる制度
・事業者が本人からの消去等の請求に対応できないおそれがある個人情報の国内保存義務に係る制度
その後、当該第三者に個人データを提供した場合に施行規則第 18 条第１項第１号の規定により当該第三者による相当措置の実施状況を確認する際には、個人データを取り扱う場所に赴く方法金融分野ガイドライン第 10 条第３項第１号に基づき、テレビ会議システム等を利用する場合を含む）又は書面により報告を受ける方法により確認を行うこととする。
これらの方法は、外国にある第三者に提供する個人データの規模及び性質並びに個人データの取扱状況等に起因するリ
スクに応じたものとする。
また、損害保険会社等は、保護法第 28 条第３項及び施行規則第 18 条に基づき、本人の求めに応じて事後的に情報を提供する旨を金融分野ガイドライン第 20 条に定める「個人情報保護宣言」に記載の上インターネットのホームページへの常時掲載又は事務所の窓口等での掲示・備付け等により、公表することとする(4) 提供先第三者特定後の対応
損害保険会社等は、金融分野ガイドライン第 13 条第２項及び同条第３項の定めるところにより、外国にある第三者に
個人データを提供した場合には、提供先の第三者が所在する外国（金融分野ガイドライン第 13 条第２項の場合においては、事後的に提供先の第三者が所在する外国が特定できた場合の当該外国）の名称をインターネットのホームページへの掲載等により、公表するとともに、定期的に更新することが望ましい。
＜参考条文＞
保護法第 28 条（外国にある第三者への提供の制限）
保護法施行規則第 15 条（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国）～第 18 条（外国にある第三者による相当措置の継続的実施を確保するために必要な措置等）
外国第三者提供ガイドライン
個人情報の保護に関する法律に係るＥＵ域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール(4)金融分野ガイドライン第 13 条（外国にある第三者への提供の制限）

11

（第三者提供時の確認・記録義務）
第９条 損害保険会社等は、個人データを第三者（保護法第16条第２項各号に掲げる者を除く。以下この条において同じ。
）に提供したときは、保護法施行規則で定めるところにより、当該個人データを提供した年月日、当該第三者の氏名又は名称その他の保護法施行規則で定める事項に関する記録を作成しなければならない。ただし、当該個人データの提供が保護法第27条第１項各号又は第５項各号のいずれか（外国にある第三者への個人データの提供にあっては、第27条第１項各号のいずれか）に該当する場合は、この限りでない。
２ 損害保険会社等は、第三者から個人データの提供を受けるに際しては、保護法施行規則で定めるところにより、次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供が保護法第27条第１項各号又は第５項各号のいずれかに該当する場合は、この限りでない。
(1) 当該第三者の氏名または名称および住所ならびに法人にあっては、その代表者（法人でない団体で代表者または管理人の定めのあるものにあっては、その代表者または管理人）の氏名(2) 当該第三者による当該個人データの取得の経緯
３ 損害保険会社等は、前項の規定による確認を行ったときは、保護法施行規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の保護法施行規則で定める事項に関する記録を作成しなければならない。
４ 損害保険会社等は、第１項および前項に基づき作成した記録について、保護法施行規則で定める期間保存しなけ
ればならない。
＜参考事項＞
本条は、第三者に個人データを提供する場合および第三者から個人データの提供を受ける場合の確認・記録義務について規定している。
１．確認・記録義務の適用対象
個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）では、明文により確認・記録義務が適用されない第三者提供と、解釈により確認・記録義務が適用されない第三者提供について、それぞれ示されている。
明文により確認・記録義務が適用されない第三者提供は、保護法第 27 条第１項各号に該当する場合（詳細はこの指針第３条に係る参考事項３．参照）と保護法第 27 条第５項各号に該当する場合（委託、事業承継又は共同利用に伴って提供する方法）である。
解釈により確認・記録義務が適用されない第三者提供は、次のとおり整理されている。
(1) 提供者および受領者に確認・記録義務が適用されない場合
・「本人による提供」または「本人に代わって提供」に該当する場合
例）損害保険会社が事故車の修理手配をする際に、本人が選択した提携修理工場に当該本人に係る情報を提供する場合
例）取引先・保険契約者から、専門業者・弁護士等の紹介を求められ、専門業者・弁護士等のリストから紹介を行う場合
・「本人と一体と評価できる関係にある者に提供」または「提供者が、最終的に本人に提供することを意図した上で、受領者を介在して提供（本人がそれを明確に認識できる必要あり）」
例）損害保険会社代理店の募集人が、家族と共に来店した顧客に対して、加入している自動車保険の補償内容等を説明する場合
・「ホームページ等で公表されている情報や報道機関により報道されている情報を提供」に該当する場合(2) 受領者に確認・記録義務が適用されない場合
・提供者にとっては「個人データ」に該当するが、受領者にとっては「個人データ」に該当しない場合
例）個人情報取扱事業者の営業担当者が、取引先を紹介する目的で、データベースとして管理しているファイルから名刺 1 枚を取り出してそのコピーを他の個人情報取扱事業者の営業担当者に渡す場合
・受領者にとって「個人情報」に該当しない場合
例）提供者が氏名を削除するなどして個人を特定できないようにしたデータの提供を受けた場合
・「提供を受ける」行為があるとはいえない場合
例）単に閲覧する行為、口頭、FAX、メール、電話等で、受領者の意思とは関係なく、一方的に個人データを提供された場合
２．確認義務
損害保険会社等は、第三者から個人データの提供を受ける際は、「第三者の氏名および住所並びに法人にあっては、その代表者の氏名」および「第三者による個人データの取得の経緯」を確認しなければならない。前者については、第三者から口頭等により申告を受ける方法その他の適切な方法、後者については、個人データの取得先や取得行為の態様等を示す契約書その他の書面の提示を受ける方法その他の適切な方法によるものとする。
３．記録義務
損害保険会社等は、第三者に個人データを提供する際および第三者から個人データの提供を受ける際は、下表に掲げる事項の記録
を、文書、電磁的記録またはマイクロフィルムを用いて作成しなければならない。

12

＜個人データの提供者の記録事項＞
提
供
年
月
日

オプトアウトによる第三者提供本人の同意による
第三者提供

第
三
者
の
氏
名
等

○

＜個人データの受領者の記録事項＞
年提
月供
日を
受
け
た
オプトアウトによる○
第三者提供
本人の同意による
第三者提供
個人情報取扱事業者に該当しない者からの第三者提供

本
人
の
氏
名
等

目個
人
デ
ー
タ
の
項

○

○

○

○

○

○

等第
三
者
の
氏
名

取
得
の
経
緯

項個
目人
デ
ー
タ
の

本
人
の
氏
名
等

○

○

○

○

○

○

○

○

○

○

○

○

本
人
の
同
意

○

公委個
表員人
会情
に報
よ保
る護

本
人
の
同
意

○
○

記録は、原則として、個人データの授受の都度、速やかに作成しなければならない。ただし、個人データの授受の態様に応じて、一括して記録を作成する方法、契約書等の代替手段による方法を用いることもできる（オプトアウトによる第三者提供の場合は不可。
）。また、提供者（または受領者）は受領者（または提供者）の記録義務の全部または一部を代替して行うことができる。
４．保存期間
損害保険会社等は、作成した記録を下表の期間保存しなければならない（保存期間は、記録の作成方法によって異なる。
）。
＜記録の保存期間＞
記録の作成方法の別「契約書等の代替手段による方法」により記録を作成した場合「一括して記録を作成する方法」により記録を作成した
場合
上述以外の場合

保存期間最後に当該記録に係る個人データの提供を行った日から起算して１年を経過する日までの間最後に当該記録に係る個人データの提供を行った日から起算して３年を経過する日までの間
３年

５．ＥＵ域内から十分性認定に基づき個人データの提供を受ける場合
保護法第 30 条第 1 項及び第 3 項の規定に基づき、ＥＵ域内から当該個人データの提供を受ける際に特定された利用目的を含め、その取得の経緯を確認し、記録することとする。
同様に、損害保険会社等が、ＥＵ域内から十分性認定に基づき個人データの提供を受けた他の個人情報取扱事業者から、当該個人データの提供を受ける場合、保護法第 30 条第 1 項及び第 3 項の規定に基づき、当該個人データの提供を受ける際に特定された利用目的を含め、その取得の経緯を確認し、記録することとする。
上記のいずれの場合においても、損害保険会社等は、保護法第 30 条第 1 項及び第 3 項の規定に基づき確認し、記録した当該個人
データを当初又はその後提供を受ける際に特定された利用目的の範囲内で利用目的を特定し、その範囲内で当該個人データを利用することとする（保護法第 17 条第 1 項、法第 18 条第 1 項）。
＜参考条文＞
保護法第 29 条（第三者提供に係る記録の作成等）、第 30 条（第三者提供を受ける際の確認等）
保護法施行規則第 19 条（第三者提供に係る記録の作成）～第 25 条（第三者提供を受ける際の記録の保存期間）
個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）
個人情報の保護に関する法律に係るＥＵ域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール(3)13（個人関連情報の提供）
第10条 損害保険会社等は、第三者に個人関連情報（個人関連情報データベース等を構成するものに限る。以下同じ。）
を提供しようとする場合で、当該第三者において当該個人関連情報を個人データとして取得することが想定される
ときは、当該第三者が損害保険会社等から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていることを確認しなければならない。
２ 外国にある第三者への提供にあっては、前項のほか、次の各号のいずれかに該当することを確認しなければならない。
(1) 当該第三者が本人の同意を得ようとする場合において、以下の情報が当該本人に提供されていること
ア 当該外国の名称
イ 適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報
ウ 当該第三者が講ずる個人情報の保護のための措置に関する情報(2) 当該第三者が、個人情報保護法施行規則において定める個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報保護制度を有している外国等にあること(3) 当該第三者が、個人情報保護法施行規則において定める個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備していること。ただし、本号に基づく確認を行う場合は、以下の措置を講じなければならない。
ア 当該第三者による相当措置の実施状況ならびに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無およびその内容を、適切かつ合理的な方法により、定期的に確認すること
イ 当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人関連情報の当該第三者への提供を停止すること
３ 損害保険会社等は、前二項の確認を行ったときは、以下の事項に関する記録を作成しなければならない。
(1) 提供年月日(2) 第三者の氏名または名称および住所ならびに法人にあっては、その代表者の氏名(3) 提供する個人関連情報の項目(4) 前二項の確認結果および確認方法
４ 損害保険会社等は、前項に基づき作成した記録について、保護法施行規則で定める期間保存しなければならない。
＜参考事項＞
本条は、損害保険会社等が個人関連情報を第三者に提供する場合の対応について規定している。
１．個人関連情報
個人関連情報とは、生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。
【個人関連情報に該当する事例】
事例1）Cookie等の端末識別子を通じて収集された、ある個人のウェブサイトの閲覧履歴
事例2）メールアドレスに結び付いた、ある個人の年齢・性別・家族構成等
事例3）ある個人の商品購買履歴・サービス利用履歴
事例4）ある個人の位置情報
事例5）ある個人の興味・関心を示す情報
２．当該第三者において当該個人関連情報を個人データとして取得することが想定されるとき「想定される」とは、提供元の個人関連情報取扱事業者において、提供先の第三者が「個人データとして取得する」（通則ガイドライン３－７－１－１（「個人データとして取得する」について））ことを現に想定している場合、又は一般人の認識（※）を基準として「個人データとして取得する」ことを通常想定できる場合をいう。
（※）ここでいう「一般人の認識」とは、同種の事業を営む事業者の一般的な判断力・理解力を前提とする認識をいう。
【現に想定している場合に該当する例】
事例 1）提供元の個人関連情報取扱事業者が、顧客情報等の個人データを保有する提供先の第三者に対し、ID 等を用いることで個人関連情報を個人データと紐付けて取得することが可能であることを説明している場合
事例 2)提供元の個人関連情報取扱事業者が、提供先の第三者から、個人関連情報を受領した後に個人データと紐付けて取得することを告げられている場合【通常想定できる場合】
事例）個人関連情報を提供する際、提供先の第三者において当該個人関連情報を氏名等と紐付けて利用することを念頭に、そのために用いる ID 等も併せて提供する場合
３．同意を取得する主体
保護法第 31 条第 1 項第 1 号の「本人の同意」を取得する主体は、本人と接点を持ち、情報を利用する主体となる提供先の第三者であるが、同等の本人の権利利益の保護が図られることを前提に、同意取得を提供元の個人関連情報取扱事業者が代行することも認められる。
提供先の第三者による同意取得の場合であっても、提供元の個人関連情報取扱事業者による同意取得の代行の場合であっても、個人関連情報の提供を受けて個人データとして取得する主体、対象となる個人関連情報の項目、個人関連情報
14

の提供を受けて個人データとして取得した後の利用目的等について、本人が認識できるようにする必要がある。
４．本人の同意等の確認方法
本人から同意を得る主体は、原則として提供先の第三者となり、個人関連情報取扱事業者は、当該第三者から申告を受ける方法その他の適切な方法によって本人同意が得られていることを確認することになる。提供先の第三者から申告を受ける場合、個人関連情報取扱事業者は、その申告内容を一般的な注意力をもって確認すれば足りる。
【第三者から申告を受ける方法に該当する事例】
事例 1）提供先の第三者から口頭で申告を受ける方法
事例 2）提供先の第三者が本人の同意を得ていることを誓約する書面を受け入れる方法【その他の適切な方法に該当する事例】
事例 1）提供先の第三者が取得した本人の同意を示す書面等を確認する方法
事例 2）提供元の個人関連情報取扱事業者において同意取得を代行して、当該同意を自ら確認する方法
５．その他
個人関連情報の外国第三者への提供については通則ガイドライン３－７―３－２を、提供に関する記録義務等については通則ガイドライン３－７－４を参照。
外国第三者への提供については、金融分野ガイドライン第 14 条第２項に基づく以下の対応も必要となる。
損害保険会社等は、保護法第 31 条第２項において読み替えて準用する保護法第 28 条第３項に従い、外国にある第三者による相当措置の実施状況を定期的に確認する際には、個人データの内容や規模等に応じて個人データを取り扱う場所に赴く方法又は書面により報告を受ける方法によることとする。
＜参考条文＞
保護法第 31 条（個人関連情報の第三者提供の制限等）
保護法施行規則第 26 条（個人関連情報の第三者提供を行う際の確認）～第 29 条（個人関連情報の第三者提供に係る記録の保存期間）
通則ガイドライン３－７
金融分野ガイドライン第 14 条（個人関連情報の第三者提供の制限等）

15

（個人関連情報の第三者からの取得）
第11条 損害保険会社等は、第三者から個人関連情報の提供を受けて、当該個人関連情報を個人データとして取得するときは、保護法第27条第１項各号に掲げる場合を除き、本人の同意を得なければならない。
＜参考事項＞
本条は、損害保険会社等が個人関連情報を第三者から取得する場合の対応について規定している。
損害保険会社等は、通則ガイドライン３－７に基づく対応のほか、金融分野ガイドライン第 14 条に基づき、以下の対応を行うこととする。
１．金融分野ガイドラインに基づく対応（同意取得の方法）
損害保険会社等は、個人関連情報取扱事業者から保護法第 31 条第１項の規定による個人関連情報の提供を受けて個人データとして取得するに当たり、同項第１号の本人の同意を得る（提供元の個人関連情報取扱事業者に同意取得を代行させる場合を含む。
）際には、原則として、書面によることとし、当該書面における記載を通じて、①対象となる個人関連情報の項目②個人関連情報の提供を受けて個人データとして取得した後の利用目的を本人に認識させた上で同意を得ることとする。
なお、金融分野における個人情報取扱事業者は、個人関連情報の提供を受けて本人が識別される個人データとして取得した場合には、保護法第 21 条に従い、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならないとされていることに留意する。
２．確認記録義務
個人情報取扱事業者である提供先の第三者は、保護法第 31 条第 1 項の規定による個人関連情報の提供（保護法第 27 条
第 1 項各号に掲げる場合を除く。
）を受けて個人データとして取得する場合は、保護法第 30 条の確認記録義務の適用を受ける。
＜参考条文＞
保護法第 30 条（第三者提供を受ける際の確認等）、第 31 条（個人関連情報の第三者提供の制限等）
保護法施行規則第 22 条（第三者提供を受ける際の確認）～第 25 条（第三者提供を受ける際の記録の保存期間）
通則ガイドライン３－７
個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）
金融分野ガイドライン第 14 条（個人関連情報の第三者提供の制限等）

16

（仮名加工情報の取扱い）
第12条 仮名加工情報を作成する損害保険会社等は、以下の事項を遵守しなければならない。
(1) 仮名加工情報を作成するときは、保護法第41条第1項に基づき適正な加工を行う。
(2) 仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等を取得したときは、保護法第41条第2項に基づき削除情報等の安全管理措置を講じる。
２ 損害保険会社等は、個人情報である仮名加工情報の取扱いについて、保護法第41条第3項乃至第8項に基づき、以下の事項を遵守しなければならない。
(1) 損害保険会社等は、法令に基づく場合を除くほか、保護法第17条第1項の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報である仮名加工情報を取り扱ってはならない。
(2) 損害保険会社等は、個人情報である仮名加工情報を取得したときは、あらかじめその利用目的を公表している
場合を除き、速やかに、その利用目的を公表しなければならない。また、利用目的を変更した場合は、変更後の利用目的を公表しなければならない。
(3) 損害保険会社等は、仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、
当該仮名加工情報である個人データ及び削除情報等を遅滞なく消去するよう努めなければならない。
(4) 損害保険会社等は、法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはならない。
(5) 損害保険会社等は、個人情報である仮名加工情報を取り扱うに当たっては、元の個人情報に係る本人を識別する目的で他の情報と照合することを行ってはならない。
(6) 損害保険会社等は、個人情報である仮名加工情報を取り扱うに当たっては、元の個人情報に係る本人への連絡等を行う目的で当該仮名加工情報に含まれる連絡先その他の情報を利用してはならない。
３ 損害保険会社等は、個人情報でない仮名加工情報の取扱いについて、保護法第42条に基づき、以下の事項を遵守しなければならない。
(1) 法令に基づく場合を除くほか、仮名加工情報を第三者に提供してはならない。
(2) 保護法第42条第3項に基づき準用される以下の規定
ア．安全管理措置（保護法第23条）
イ．従業者の監督（保護法第24条）
ウ．委託先の監督（保護法第25条）
エ．苦情処理（保護法第40条）
オ．識別行為の禁止（保護法第41条第7項）
カ．本人への連絡等の禁止（保護法第41条第8項）＜参考事項＞
１．個人情報である仮名加工情報の取扱いに関する補足(1) 適用除外
仮名加工情報（個人情報であるもの）、仮名加工情報である個人データ及び仮名加工情報である保有個人データについては、次の規定を適用しない。（保護法第 41 条第 9 項）
・利用目的の変更の制限（保護法第 17 条第 2 項）・漏えい等の報告及び本人通知（保護法第 26 条）
・保有個人データに関する事項の公表等、及び保有個人データの開示・訂正等・利用停止等への対応等（保護法第 32 条から第 39 条まで）
(2) 個人情報に関する規定の適用
個人情報である仮名加工情報及び仮名加工情報である個人データについては、通常の個人情報及び個人データと同様、次の規定が適用される。
・不適正利用の禁止（保護法第 19 条）
・適正取得（保護法第 20 条第 1 項）
・安全管理措置（保護法第 23 条）
・従業者の監督（保護法第 24 条）
・委託先の監督（保護法第 25 条）
・苦情処理（保護法第 40 条）＜参考条文＞
保護法第 41 条（仮名加工情報の作成等）、第 42 条（仮名加工情報の第三者提供の制限等）
保護法施行規則第 31 条（仮名加工情報の作成の方法に関する基準）～第 33 条（電磁的方法）
個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）

17

（匿名加工情報の取扱い）
第13条 損害保険会社等は、匿名加工情報（匿名加工情報データベース等を構成するものに限る。以下同じ。
）を作成するときは、特定の個人を識別できないように、かつ、その作成に用いる個人情報を復元できないようにするために、保護法施行規則第34条各号で定める基準に従い、当該個人情報を加工しなければならない。
２ 損害保険会社等は、匿名加工情報を作成したときは、その作成に用いた個人情報から削除した記述等及び個人識別符号並びに加工の方法に関する情報（以下「加工方法等情報」という。
）の漏えいを防止するために、保護法施行規則第35条で定める基準に従い、必要な措置を講じなければならない。
３ 損害保険会社等は、匿名加工情報の安全管理措置、苦情処理等の匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
４ 損害保険会社等は、匿名加工情報を作成したときは、当該匿名加工情報の作成後遅滞なく、インターネット等を利用し、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない。
５ 損害保険会社等は、匿名加工情報を第三者に提供するときは、提供に当たりあらかじめ、インターネット等を利用し、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を電子メール又は書面等により明示しなければならない。
６ 損害保険会社等は、匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成の元となった個人情報の本
人を識別する目的で、当該匿名加工情報の加工方法等情報を取得し、又は当該匿名加工情報を他の情報と照合してはならない。
＜参考事項＞
１．損害保険会社等が匿名加工情報を取り扱う際に従うべき事項
本条は、匿名加工情報取扱事業者等の義務に関する規定である。
損害保険会社等は、匿名加工情報を取り扱うときは、保護法および個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）に従い、適切な安全管理措置等を講じなければならない。
２．ＥＵ域内から十分性認定に基づき提供を受けた個人情報について匿名加工情報を作成する場合
ＥＵ域内から十分性認定に基づき提供を受けた個人情報については、損害保険会社等が、加工方法等情報を削除することにより、匿名化された個人を再識別することを何人にとっても不可能とした場合に限り、匿名加工情報とみなすこととされている。
＜参考条文＞
保護法第 43 条（匿名加工情報の作成等）～第 46 条（安全管理措置等）
保護法施行規則第 34 条（匿名加工情報の作成の方法に関する基準）～第 38 条（匿名加工情報取扱事業者による匿名加工情報の第三者提供時における公表義務等）
個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）
個人情報の保護に関する法律に係るＥＵ域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール(5)（特定個人情報の提供制限）
第14条 損害保険会社等は、番号法第19条各号のいずれかに該当する場合を除き、特定個人情報の提供をしてはならない。
＜参考条文＞
番号法第 19 条（特定個人情報の提供の制限）（特定個人情報の収集・保管制限）
第15条 損害保険会社等は、番号法第19条各号のいずれかに該当する場合を除き、特定個人情報を収集又は保管してはならない。
＜参考条文＞
番号法第 20 条（収集等の制限）

18

（センシティブ情報の特例）
第16条 損害保険会社等は、要配慮個人情報並びに労働組合への加盟、門地、本籍地、保健医療及び性生活（これらのうち要配慮個人情報に該当するものを除く。
）に関する個人情報（本人、国の機関、地方公共団体、学術研究機関等、保護法第57条第１項各号若しくは施行規則第６条各号に掲げる者により公開されているもの、又は、本人を目視し、若しくは撮影することにより取得するその外形上明らかなものを除く。以下「センシティブ情報」という。
）を、次に掲げる場合を除くほか、取得、利用又は第三者提供をしないこととする。
(1) 保険業の適切な業務運営を確保する必要性から、本人の同意に基づき業務遂行上必要な範囲でセンシティブ情報を取得し、利用し、又は第三者提供する場合(2) 相続手続を伴う保険金支払事務等の遂行に必要な限りにおいて、センシティブ情報を取得し、利用し、又は第三者提供する場合(3) 保険料収納事務等の遂行上必要な範囲において、政治・宗教等の団体若しくは労働組合への所属若しくは加盟に関する従業員等のセンシティブ情報を取得し、利用し、又は第三者提供する場合(4) 前各号のほか、金融分野ガイドライン第５条第１項各号に掲げる場合
２ 損害保険会社等は、前項第１号に該当する場合において、本人以外の者からセンシティブ情報を取得するにあたっては、当該本人以外の者が保護法第27条に定める要件を満たしていることを確認するか、本人から同意を得るものとする。
＜参考事項＞
１．センシティブ情報の範囲
本人の権利利益を保護すべき度合いの高いセンシティブ情報の範囲は、金融分野ガイドラインと同様、「要配慮個人情報並びに労働組合への加盟、門地、本籍地、保健医療及び性生活（これらのうち要配慮個人情報に該当するものを除く。
）に関する個人情報（本人、国の機関、地方公共団体、学術研究機関等、保護法第 57 条第１項各号若しくは施行規則第６条各号に掲げる者により公開されているもの、又は、本人を目視し、若しくは撮影することにより取得するその外形上明らかなものを除く。
）」とする。
センシティブ情報は、他の情報以上に慎重な取扱いが要請される一方で、損害保険実務においては、勤務先情報や所属団体情報として労働組合・政治団体・宗教団体等の名称を、保険引受の可否を判断するために保健医療情報を、それぞれ保険契約申込書等に記入していただくなど、業務利用の必要性がある。
２．センシティブ情報の取得
損害保険会社等は、金融分野ガイドライン第５条第１項各号に掲げる場合を除き、センシティブ情報の取得、利用又は第三者提供を行わないものとする。例えば、本人確認のために運転免許証や住民票の提出を受けた場合、本人特定事項以外にセンシティブ情報（例えば本籍地）があるときは、当該情報を塗りつぶして保管する等、取得に際して適切な対応を行うものとする。保険業の適切な業務運営を確保する必要があるときには、本人の同意があることを前提に、かつ、業務上必要な範囲でセンシティブ情報を取得、利用、又は第三者提供することが金融分野ガイドラインで認められている。
損害保険会社等は、この指針第 16 条第１項第１号に該当する場合において、センシティブ情報を第三者から取得する
ときは、①原取得者が本人から第三者提供について同意を得ていることを確認するか、②（原取得者とは別に）本人の同意を得る、のいずれかを行うこととする。なお、原取得者が金融分野における個人情報取扱事業者である場合には、要配慮個人情報に該当しないセンシティブ情報であっても、オプトアウトによる第三者提供が認められないことに留意する必要がある。
この指針第 16 条第１項第２号には、例えば次のような場合がある。
例：死亡保険金受取人の確認のため、戸籍謄本に記載の本籍地情報を取得、利用又は第三者提供する場合
この指針第 16 条第１項第３号には、例えば次のような場合がある。
例：契約者情報や勤務先情報として、政治・宗教等の団体名を取得、利用又は第三者提供する場合
この指針第 16 条第１項第４号には、例えば次のような場合がある。
例：いわゆる総会屋および暴力団の違法行為に関する情報の収集および交換を行う場合
３．金融分野ガイドライン上のセンシティブ情報と保護法上の要配慮個人情報との関係
センシティブ情報に要配慮個人情報が含まれていることにより、同じセンシティブ情報であっても、それが要配慮個人情報以外であるか、それとも要配慮個人情報であるかによって取り扱いが異なる場合等がある。
具体的には、この指針第 16 条第１項第２号および第３号の場合、対象となる情報が要配慮個人情報以外であれば取得に際して本人同意が不要なところ、要配慮個人情報であれば取得に際して原則同意が必要となる。
また、この指針第 16 条第１項第１号および金融分野ガイドライン第５条第１項第８号（センシティブ情報に該当する生体認証情報を本人の同意に基づき、本人確認に用いる場合）の場合、保護法上は利用に際して本人同意を要しない要配慮個人情報を取り扱う
場合も、その他のセンシティブ情報と同様に同意が必要となる。
４．ＥＵ域内から十分性認定に基づき提供を受けた個人データ
ＥＵ域内から十分性認定に基づき提供を受けた個人データに、GDPR において特別な種類の個人データと定義されている性生活、性的指向又は労働組合に関する情報が含まれる場合には、損害保険会社等は、当該情報についても要配慮個人情報・センシティブ情報と同様に取り扱うこととする。
＜参考条文＞
金融分野ガイドライン第５条（機微（センシティブ）情報）
個人情報の保護に関する法律に係るＥＵ域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール（1）19（個人データの安全管理措置）
第17条 損害保険会社等は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のため、個人データの取得・利用・保管等の各段階に応じた「組織的安全管理措置」、「人的安全管理措置」、「物理的安全管理措置」、「技術的安全管理措置」及び「外的環境の把握」を含む、必要かつ適切な措置を講じなければならない。
当該措置は、個人データが漏えい、滅失又はき損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、個人データの取扱状況及び個人データを記録した媒体の性質等に起因するリスクに応じたものとする。
２ 損害保険会社等は、個人データの取扱いの全部又は一部を委託するときは、委託先の選定の基準を定め、あらか
じめ委託先の情報管理体制を確認し、委託後の業務遂行状況を監視し、事故発生時の責任関係を明確にするなど、委託先に対する必要かつ適切な監督を行わなければならない。当該監督は、個人データが漏えい、滅失又はき損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質並びに個人データの取扱状況等に起因するリスクに応じたものとする。なお、二段階以上の委託が行われた場合には、委託先の事業者が再委託先等の事業者に対して十分な監督を行っているかについても監督を行わなければならない。
３ 損害保険会社等は、その事業の遂行に際して取り扱う個人情報の漏えい事案等、仮名加工情報又は匿名加工情報の作成に用いた個人情報から削除した記述等および個人識別符号ならびに保護法第41条第１項又は第43条第1項の規定により行った加工の方法に関する情報の漏えい事案の事故が生じたときは、保護法及び保険業法施行規則等関係法令に基づき、本人への通知及び当局への報告を行うとともに、二次被害の防止、類似事案の発生回避等の必要性がある場合には、事実関係等を公表しなければならない。
＜参考事項＞
本条は個人番号及び特定個人情報を除く個人データの安全管理措置にかかる規定である。個人番号及び特定個人情報の安全管理措置にかかる規定は次条に定める。
１．損害保険会社等が講ずべき安全管理措置
損害保険会社等が、その取り扱う個人データに係る安全管理措置として講ずべき具体的内容については、金融分野実務指針を踏まえ、別途定める損保安全管理実務指針によるものとする。
２．委託先（損保代理店以外）の監督
金融分野ガイドライン、金融分野実務指針および金融庁監督指針等を踏まえ、すべての損害保険会社等は、委託先等における顧客等に関する情報管理について適切な取扱いを確保するものとする。
(1) 委託先の選定の基準
保険会社の経営の合理性の観点からみて十分なレベルのサービスの提供を行い得るか、契約に沿ったサービス提供や損害等負担が確保できる財務・経営内容か、保険会社のレピュテーション等の観点から問題ないか等の観点から、委託先の選定を行っているか。
(2) 委託先の情報管理体制の確認
委託先における目的外使用の禁止も含めて顧客情報管理が整備されており、委託先に守秘義務が課されているか。
(3) 委託業務の遂行状況の監視
契約内容は、委託業務の内容等に応じ、例えば、保険会社が委託業務及びそれに関する委託先の経営状況に関して委託先より受ける報告の内容について明確に示されるなど十分な内容となっているか。
委託業務に関する責任者の設置、モニタリング、検証態勢（委託契約において保険会社が委託先に対して事務処理の適切性に係る検証を行うことができる旨の規定を盛り込む等の対応を含む）等の社内管理態勢が整備されているか。
保険会社において、委託業務についても監査の対象となっているか。
(4) 事故発生時の責任体制の明確化
契約内容は、委託業務の内容等に応じ、例えば、委託契約に沿ってサービスが提供されない場合における委託先の責務及び委託に関連して発生するおそれのある損害の負担の関係（必要に応じて担保提供等の損害負担の履行確保等の対応を含む）について明確に示されるなど十分な内容となっているか。
委託業務の履行状況等に関し委託先から保険会社への定期的レポートに加え、必要に応じ適切な情報が迅速に得られる態勢となっているか。
３．漏えい事案等の事故への対応
損害保険会社等は、個人情報の漏えい事案等、仮名加工情報又は匿名加工情報の作成に用いた個人情報から削除した記述等および個人識別符号ならびに保護法第 43 条第１項の規定により行った加工の方法に関する情報の漏えい事案の事故が発生した場合に備えて、この指針第 17 条第 1 項に掲げる社内責任体制を整備するほか、実際に事故が生じたときは、保護法及び保険業法施行規則等関係法令に基づき、本人への連絡及び関係当局への報告を行うとともに、二次被害の防止、類似事案の発生回避等の観点から、事実関係等を公表するものとする。ただし、公表することにより模倣行為を誘発したり、プライバシーを侵害したりする等の懸念があり、公表が適当でないと判断される場合は、この限りではない。
＜参考条文＞
保護法第 22 条（データ内容の正確性の確保等）～第 26 条（漏えい等の報告等）
保険業法施行規則第 53 条の８の２（個人顧客情報の漏えい等の報告）、第 227 条の９の２（個人顧客情報の漏えい等の報告）
金融分野ガイドライン第７条（データ内容の正確性の確保等）～第 11 条（個人データ等の漏えい等の報告等）
通則ガイドライン３－４、３－５
金融分野実務指針２－６20

（特定個人情報に関する安全管理措置）
第18条 損害保険会社等は、個人番号及び特定個人情報の漏えい、滅失又はき損の防止等、個人番号及び特定個人情報の管理のために、必要かつ適切な安全管理措置を講じなければならない。
２ 従業者に個人番号及び特定個人情報を取り扱わせるに当たっては、個人番号及び特定個人情報の安全管理措置が適切に講じられるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
３ 損害保険会社等は、金融分野ガイドライン及び金融分野実務指針のほか、番号法第12条及び特定個人情報の適正な取扱いに関するガイドライン（事業者編）に定める特定個人情報に関する安全管理措置（事業者編）に基づき、必要かつ適切な安全管理措置を講じなければならない。
４ 損害保険会社等は、個人番号関係事務の全部または一部を委託するときは、番号法に基づき損害保険会社等自らが果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行わなければならない。二段階以降の委託を行う場合の再委託先等に対する点検においても番号法第10条を踏まえた監督を行うものとする。
＜参考条文＞
番号法第 10 条（再委託）、第 11 条（委託先の監督）、第 12 条（個人番号利用事務実施者等の責務）
保護法第 23 条（安全管理措置）、第 24 条（従業者の監督）
特定個人情報の適正な取扱いに関するガイドライン（事業者編）第４－２－（２） 安全管理措置 ※※ 安全管理措置の具体的な内容については、「（別添）特定個人情報に関する安全管理措置（事業者編）」を参照のこと。

（損害保険代理店に対する指導・監督）第19条 損害保険会社は、その損害保険業に係る個人情報を損害保険代理店が取得し、又は利用する際にこの指針に準じた取扱いがなされるよう、当該代理店に対して安全管理の確保を含む必要かつ適切な監督を行うものとする。
２ 損害保険会社は、損害保険代理店が個人情報の利用目的を通知、公表又は明示するときは、損害保険会社の利用目的との誤認が生じないよう、当該代理店に対して必要かつ適切な監督を行わなければならない。
＜参考事項＞
１．損保代理店の取得・利用・安全管理措置
損害保険契約に係る個人情報の取得（保険契約の締結等）又は利用（所属保険会社が取り扱う当該契約以外の商品及びサービスの案内及び提供等）は、殆どの場合、損保代理店を介して行われるため、損保代理店の管理下にある個人情報に係る安全管理措置を含め、この指針第３条、第５条及び第 17 条の規定は、損保代理店が損害保険契約に係る個人情報を取り扱う場合について準用される必要がある。なお、この指針第３条、第５条及び第 17 条を満たしたうえで、それを超える安全管理措置については、当該代理店の営業規模やシステム化の状況、取り扱う個人情報の量等を勘案して、損害保険会社が講ずべきものと異なる部分が生じ得る。
２．損保代理店の利用目的
複数の損害保険会社に所属する乗合代理店は、１の損害保険会社が引き受けた損害保険契約に係る個人情報を、他の損害保険会社
が取り扱う損害保険契約等をお勧めするために利用することがあり、また、損害保険代理業以外の業務を営む兼業代理店は、損害保険契約に係る個人情報を、その営む他の業務に係る商品及びサービスをお勧めするために利用することがある。乗合代理店又は兼業
代理店は、個人情報取扱事業者に該当する場合であって、上述のような利用実態があるときは、自らの利用目的を通知し、公表し、又は明示する必要がある。この場合においては、損害保険会社は、損害保険会社の利用目的と損保代理店の利用目的との間で誤認が生じないよう、必要かつ適切な監督を行う必要がある。
＜参考条文＞
金融分野ガイドライン第１条（目的等）

21

（本人からの請求等に応じる手続）
第20条 損害保険会社等は、保護法第32条第１項各号に掲げる事項を公表するものとする。
２ 損害保険会社等は、保険契約者等から自らの保険契約の内容又は保険事故の処理状況等に係る照会を受けたときは、保護法第33条第２項に定める手続によることを要しない。ただし、当該保険契約者等が同条第１項の規定によることを明示するときは、この限りでない。
３ 損害保険会社等は、本人から保護法第32条第２項、第33条第１項、同条第５項、第34条第１項又は第35条第１項、第３項若しくは第５項の規定による請求等を受けたときは、各条項に定める適用除外要件に該当する場合を除き、各条項に沿った適切な対応を行うものとする。
４ 損害保険会社等は、保護法第36条の通知をするときは、本人に対して、判断の根拠及び根拠となる事実を示すな
ど、その理由の説明を付すものとする。
＜参考事項＞
１．保有個人データに関する事項の公表
保護法は、個人情報取扱事業者が保有個人データに関する事項を「本人の知り得る状態に置く」ことを義務づけている（保護法第32 条第１項）。損害保険会社等は、当該事項の周知方法として、ホームページでの掲載など適切な継続性のある方法による公表とする。
（保有個人データに関する事項が示された画面に１回程度の操作で遷移するよう設定したリンクを「個人情報保護宣言」に継続的に掲載することを含む）。
保護法第 16 条第４項に基づく施行令第５条各号に掲げる場合（「保有個人データ」に該当しない場合）とは、例えば次のような場合である。
①本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの
例：癌などの罹患の事実など、本人に重大な精神的苦痛を与え、心身状況に悪影響を与える恐れがあるもの②違法又は不当な行為を助長し、又は誘発するおそれがあるもの③国の安全が害されるおそれ等があるもの④犯罪の予防、鎮圧又は捜査等に支障がおよぶおそれがあるもの
例：警察からの照会記録
例：犯罪収益移転防止法第８条第３項（顧客等への届出事実の漏えい）に該当する場合
２．契約内容・事故処理状況に係る照会の特例
保険契約者等の関係者から契約内容や事故処理状況の照会を受けたときは、保護法上の開示請求手続とは別に、従来どおり対応することとする。ただし、当該関係者から保護法上の開示請求手続による旨の意思表示があったときは、その意思に沿った対応を行う。
３．保護法上の開示等請求保護法上の開示等請求を受けたときは、法定要件に沿った適切な対応を行う。
本人から求められた措置の全部若しくは一部をとらない旨を通知する場合又は本人から求められた措置と異なる措置をとる場合
は、本人に対し、判断の根拠及び根拠となる事実を示すなど、その理由の説明を付して通知する。
４．開示等拒否理由
保護法第 33 条第２項各号に掲げる場合（保有個人データの全部又は一部を開示しないことができる場合）とは、例えば次のような場合である。
(1) 本人の権利利益を侵害するおそれがある場合（第1号）
例：病名等を開示することにより本人の心身状況を悪化させるおそれがある場合
例：契約者等との守秘義務違反とされる場合（守秘義務違反とされるかは個別当事者毎にみる）(2) 個人情報取扱事業者の業務に支障を及ぼすおそれがある場合（第2号）
例：保険引受判断に係る情報を開示することにより保険引受業務の適正な実施に著しい支障を及ぼすおそれがある場合
例：データの検索に著しく困難を要する場合
例：成約見込など、顧客に関する営業上の評価情報であって、本人に開示した場合、顧客との信頼関係に著しい支障を及ぼすおそれがある場合例：債務者区分等、債務者に対する評価情報であって、本人に開示した場合、債務者との信頼関係に著しい支障を及ぼすおそれがある場合
例：与信審査内容等の個人情報取扱事業者が付加した情報の開示請求を受けた場合
例：保有個人データを開示することにより評価・試験等の適正な実施が妨げられる場合
例：企業秘密の保護の必要性が、本人が個人情報取扱事業者における保有個人データの取扱い等を把握する必要性を上回る特別の事情がある場合
なお、開示すべき保有個人データの量が多いことのみでは該当しない。
５．開示等請求手続
損害保険会社等各社が、保護法の規定に沿って、その実情に応じた開示等請求手続（手数料を含む）を設定する。
＜参考条文＞
保護法第 16 条（定義）第４項、第 32 条（保有個人データに関する事項の公表等）～第 38 条（手数料）施行令第５条、第 10 条～第 13 条
施行規則第 33 条（電磁的方法）
通則ガイドライン３－８22金融分野ガイドライン第 15 条（保有個人データに関する事項の公表等）～第 18 条（開示等の請求等に応じる手続）（苦情処理）
第21条 損害保険会社等は、個人情報、個人番号及び特定個人情報の取扱いに関する苦情を適切かつ迅速に処理するものとする。
２ 損害保険会社等は、前項の目的を達成するため、前条第１項の規定により苦情の申出先を公表するほか、苦情処
理手順を策定するなど必要な社内体制を整備するものとする。
＜参考事項＞
苦情処理
損害保険会社等は、保護法第 40 条に定める努力義務ではなく、この指針に基づく義務として苦情処理の適切かつ迅速な遂行を行うものとする。
＜参考条文＞
保護法第 40 条（個人情報取扱事業者による苦情の処理）
金融分野ガイドライン第 19 条（個人情報取扱事業者による苦情の処理）
通則ガイドライン３－９（個人情報の取扱いに関する苦情処理）（本協会の役割）
第22条 本協会は、保護法第47条第１項の認定を受けて、同項各号の業務を行うものとする。
２ 本協会は、損害保険会社等がこの指針を遵守していないと認めるときは、当該損害保険会社等に対して必要な指導、勧告その他の措置を行わなければならない。
３ 本協会は、社会情勢や国民意識の変化、損害保険業を巡る環境の変化等に応じて、この指針を見直すものとする。
＜参考事項＞
１．本協会の役割
本協会は、認定個人情報保護団体として、苦情処理、情報提供その他の法定業務を行う。
２．本協会の権限
本協会は、この指針の遵守を確保するため、損害保険会社等がこの指針を遵守していないと認めるときは、必要な指導又は勧告を行わなければならない。
３．指針の見直し
本協会は、個人情報保護に係る社会環境の変化に応じ、また、損害保険会社等における漏えい事案等の事故につき情報収集、原因分析等を行い、必要に応じて指針を見直すこととする。
＜参考条文＞
保護法第 47 条（認定）～第 56 条（名称の使用制限）
個人情報の保護に関する法律についてのガイドライン（認定個人情報保護団体編）
以23

上