個人情報保護指針（ 目 的 ）
第１条 この指針は、個人情報の保護に関する法律（以下「保護法」という。）、個人情報の保護に関する法律施行令（以下「施行令」という。）、個人情報の保護に関する法律施行規則（以下「施行規則」という。）、個人情報の保護に関する基本方針（平成16年4月
2日閣議決定。以下「基本方針」という。）に基づき、個人情報の保護に関する法律についてのガイドライン（通則編）（平成28年個人情報保護委員会告示第6号。以下「通則ガイドライン」という。）、同ガイドライン（外国にある第三者への提供編）（平成28年個
人情報保護委員会告示第7号。以下「外国提供ガイドライン」という。）、同ガイドライン（第三者提供時の確認・記録義務編）（平成28年個人情報保護委員会告示第8号。以下「第三者提供ガイドライン」という。）、同ガイドライン（仮名加工情報・匿名加工情報編）（平成28年個人情報保護委員会告示第9号）、個人情報の保護に関する法律に係るＥ
Ｕ及び英国域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール（平成30年個人情報保護委員会告示第4号。以下「ＥＵ等補完的ルール」という。）、金融分野における個人情報保護に関するガイドライン（平成29年個人情報保護委員会・金融庁告示第1号。以下「金融分野ガイドライン」という。）及び金融分野における個人情
報保護に関するガイドラインの安全管理措置等についての実務指針（平成29年個人情報保護委員会・金融庁告示第2号）等を踏まえ、協会員の貸金業及びそれに付随する業務（以下「貸金業務等」という。）における個人情報の適正な取扱いを確保するため、協会員が講ずべき具体的措置等を定めるものである。個人データの取扱いに係る自然人の保護及び当該データの自由な移転並びに指令95/46/ECの廃止に関する欧州議会及び欧州理事会規則（一般データ保護規則）（以下「ＧＤＰＲ」という。）第45条に基づく欧州委員会の決定及び英国においてこれに相当する決定（以下「十分性認定」という。）によりＥＵ及び英国域内から移転される個人データを受領する協会員が講ずべき措置について、ＥＵ等補完的ルールに関する特則（以下「特則」という。）として規定した。
（ 解 説 ）
⑴ この指針は、協会員の貸金業務等における個人情報の適正な取扱いを確保するため、協会員が遵守すべき事項及び必要な措置等について、協会員の貸金業務の実情に即して定めるものである。
⑵ この指針はすべての協会員を対象とする。
⑶ 「解説」は、この指針を運用するための考え方や実務の具体例・参考例を記載したものである。
⑷ 協会員は、協会員の貸金業務等以外の業務における個人情報の取扱いについては、各
認定個人情報保護団体（保護法第47条第1項の認定を受けた団体をいう。以下同じ。）
1

が定める個人情報保護指針を遵守するとともに、該当する認定個人情報保護団体の指針等がないときは、この指針を遵守するものとする。
⑸ 本指針においてＥＵとは、欧州連合加盟国及び欧州経済領域（EEA:European EconomicArea）協定に基づきアイスランド、リヒテンシュタイン及びノルウェーを含む、欧州連合（European Union）を指す。
（参照条文：保護法1条、金融分野ガイドライン1条、通則ガイドライン1-1、ＥＵ等補完
的ルール）（ 定 義 ）
第２条 この指針において、次の各項に掲げる用語の定義は、当該各項に定めるところによる。
２ 協会員
認定個人情報保護団体日本貸金業協会の会員をいう。
３ 個人情報生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
⑴ 当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。以下同じ。）で作られる記録をいう。以下同じ。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができるものを含む。）⑵ 個人識別符号が含まれるもの「個人に関する情報」とは、氏名、住所、性別、生年月日、顔画像等個人を識別する
情報に限られず、個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化等によって秘匿化されているかどうかを問わない。
なお、死者に関する情報が、同時に、遺族等の生存する個人に関する情報でもある場
合には、当該生存する個人に関する情報に該当する。
また、法人その他の団体は「個人」に該当しないため、法人等の団体そのものに関する情報は「個人情報」に該当しない（ただし、役員、従業員等に関する情報は個人情報に該当する。）。なお、「個人」は日本国民に限らず、外国人も含まれる。
「他の情報と容易に照合することができ」るとは、事業者の実態に即して個々の事例ごとに判断されるべきであるが、通常の業務における一般的な方法で、他の情報と容易に照合することができる状態をいう。
2

４ 個人識別符号
次の各号のいずれかに該当する文字、番号、記号その他の符号のうち、施行令で定めるものをいう。
⑴ 特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの⑵ 個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ、又は個人に発行されるカードその他の書類に記載され、若しくは電磁的方式により記録された文字、番号、記号その他の符号であって、その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され、若しくは記録されることにより、特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの５ 要配慮個人情報
不当な差別や偏見その他の不利益が生じないようにその取扱いに特に配慮を要するもの
として次の各号の記述等が含まれる個人情報をいう。
⑴ 人種
⑵ 信条
⑶ 社会的身分⑷ 病歴⑸ 犯罪の経歴⑹ 犯罪により害を被った事実⑺ 身体障害、知的障害、精神障害（発達障害を含む。）その他の施行規則で定める心身の機能の障害があること⑻ 本人に対して医師その他医療に関連する職務に従事する者（次号において「医師等」という。）により行われた疾病の予防及び早期発見のための健康診断その他の検査（同号において「健康診断等」という。）の結果⑼ 健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われた
こと⑽ 本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと（犯罪の経歴を除く。）⑾ 本人を少年法（昭和23年法律第168号）第3条第1項に規定する少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと
６ 個人情報データベース等
特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した、個人情報を含む情報の集合物をいう。
また、コンピュータを用いていない場合であっても、
3

紙面で処理した個人情報を一定の規則（例えば、五十音順等）に従って整理・分類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当する。
ただし、次の各号のいずれにも該当するものは、利用方法からみて個人の権利利益を害するおそれが少ないため、個人情報データベース等には該当しない。
⑴ 不特定かつ多数の者に販売することを目的として発行されたものであって、かつ、その発行が保護法又は保護法に基づく命令の規定に違反して行われたものでないこと。
⑵ 不特定かつ多数の者により随時に購入することができ、又はできたものであること。
⑶ 生存する個人に関する他の情報を加えることなくその本来の用途に供しているものであること。
７ 個人データ
個人情報データベース等を構成する個人情報をいう。
８ 個人情報取扱事業者
個人情報データベース等を事業の用に供している者のうち、国の機関、地方公共団体、保護法第2条第9項に規定する独立行政法人等（保護法別表第2に掲げる法人を除く。）（以
下「独立行政法人等」という。）及び保護法第2条第10項に規定する地方独立行政法人（以下「地方独立行政法人」という。）を除いた者をいう。ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。
また、個人情報データベース等を事業の用に供している者であれば、当該個人情報デー
タベース等を構成する個人情報によって識別される特定の個人の数の多寡にかかわらず、
個人情報取扱事業者に該当する。なお、法人格のない、権利能力のない社団（任意団体）
又は個人であっても、個人情報データベース等を事業の用に供している場合は個人情報取扱事業者に該当する。
９ 本人
個人情報によって識別される特定の個人をいう。
10 保有個人データ
協会員が、本人又はその代理人から求められる開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止のすべてに応じることのできる権限を有する個人
データであって、その存否が明らかになることにより公益その他の利益が害されるものとして次に掲げるもの以外のものをいう。
⑴ 当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの⑵ 当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの⑶ 当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国
4若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉
上不利益を被るおそれがあるもの⑷ 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの
11 個人関連情報
生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。
12 個人関連情報取扱事業者
個人関連情報データベース等（個人関連情報を含む情報の集合物であって、特定の個人関連情報を電子計算機を用いて検索することができるように体系的に構成したものその他
個人関連情報を一定の規則に従って整理することにより特定の個人関連情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するものをいう。）を事業の用に供している者であって、国の機関、地方公共団体、独立行政法人等及び地方独立行政法人を除いたものをいう。
13 仮名加工情報
個人情報を、
その区分に応じて次の各号に掲げる措置を講じて他の情報と照合しない限
り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報をいう。
⑴ 第3項第⑴号に該当する「当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）」である個人情報の場合
当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元する
ことのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
⑵ 第3項第⑵号に該当する「個人識別符号が含まれる」個人情報の場合
当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
14 匿名加工情報
個人情報を保護法所定の個人情報の区分に応じて定められた措置を講じて特定の個人を識別することができないように加工して得られる個人に関する情報であって、当該個人情報を復元して特定の個人を再識別することができないようにしたものをいう。
15 本人に通知
本人に直接知らしめることをいう。
（注）平成17年4月1日の保護法施行日前から保有している個人情報については、保護法施行時に個人情報の取得行為がなく、保護法第21条の規定は適用されない。
16 公表
5

広く一般に自己の意思を知らせること（不特定多数の人々が知ることができるように発表すること）をいう。
（注）平成17年4月1日の保護法施行日前から保有している個人情報については、保護法施行時に個人情報の取得行為がなく、保護法第21条の規定は適用されない。
17 本人の同意
本人の個人情報が、個人情報取扱事業者によって示された取扱方法で取り扱われることを承諾する旨の当該本人の意思表示をいう（当該本人であることを確認できていることが前提となる。）。
18 提供
個人データ、保有個人データ、個人関連情報、仮名加工情報又は匿名加工情報（以下「個人データ等」という。）を、自己以外の者が利用可能な状態に置くことをいう。
19 学術研究機関等
大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者をいう。
（特則-第2条関係）
１．要配慮個人情報
ＥＵ又は英国域内から十分性認定に基づき提供を受けた個人データに、ＧＤＰＲ及び英国ＧＤＰＲ（個人データの取扱いに係る自然人の保護及び当該データの自由な移転に関する2016年4月27日欧州議会及び欧州理事会規則（英国一般データ保護規則））それぞれにおいて特別な種類の個人データと定義されている性生活、性的指向又は労働組合に関する情報が含まれる場合には、協会員は、当該情報について第2条第5項における要配慮個人情報と同様に取り扱うこととする。
２. 匿名加工情報
ＥＵ又は英国域内から十分性認定に基づき提供を受けた個人情報については、協会員が加工方法等情報（匿名加工情報の作成に用いた個人情報から削除した記述等及び個人識別符号並びに保護法第43条第1項の規定により行った加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。）をいう。）を削除す
ることにより、
匿名化された個人を再識別することを何人にとっても不可能とした場合に限り、第2条第14項に定める匿名加工情報とみなすこととする。

（ 解 説 ）
１．個人情報（第3項）⑴ 「個人情報」の具体例
個人顧客の情報のほか、資金需要見込客、取引先企業の個人に係る情報等、協会員
が、協会員の貸金業務等において取得する個人に関する情報が広く該当する。
役職員の雇用等管理における個人情報（採用、賃金、人事評価、健康診断に係る情6報等）及び協会員自身の株主に関する個人情報については、この指針の適用対象としない。
①

個人顧客の情報（契約の解除等により口座を閉鎖した元顧客の情報を含む。）
例えば、次のようなものが該当する。
イ

入会申込書、借入申込書の記載事項

ロ

確認記録記載事項

ハ貸付けに係る契約締結時に交付する書面、貸付けの契約に基づく債権の全部または一部について弁済を受けたときに交付する受取証書の記載事項
ニ

貸金業法施行規則（第16条）で定めるところの帳簿（顧客の取引の記録）

ホ

顧客との通信文書②

資金需要見込客、取引先企業の個人に関する情報
例えば、次のようなものが該当する。
イ

氏名、企業名、役職名、電話番号等の情報

ロ

アンケート及び名簿業者等から入手した情報

ハ

官報、高額納税者名簿、職員録等で公にされている情報⑵ 「特定の個人を識別することができるもの」に該当する例
例えば、次のようなものが該当する。
①

氏名が含まれる情報②

氏名は含まれていないものの、当該情報に含まれる個人別に付された番号、記号、
画像、音声その他の情報により特定の個人を識別できる情報③

当該情報のみでは識別できないが、当該情報に含まれる番号、記号その他の情報と協会員が保有する他の情報又は公開された情報をコンピュータ等による処理で照合することによって特定の個人を識別できる情報⑶ 「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるもの」に該当する例
通常の業務における一般的な方法で、他の情報と容易に照合することができる状態をいい、例えば、他の事業者への照会を要する場合等であって照合が困難な状態は、
一般に、容易に照合することができない状態であると解される。
⑷ 個人識別符号に該当する例
施行令で規定されている通りであり、例えば、次のようなものが該当する。
①

指紋、静脈などの身体的特徴②

旅券番号、基礎年金番号、免許証番号、マイナンバーなどの行政に関連して発行される符号等
なお、
契約書番号やローンカードの番号は当該番号単体では個人識別符号に該当しない。

⑸ 要配慮個人情報を推知させる情報にすぎないものは、要配慮個人情報には含まない。
7

①

宗教に関する書籍の購買や貸出しに係る情報等

２．個人情報データベース等（第6項）⑴ 「個人情報データベース等」に該当する例
例えば、次のようなものが該当する。
①

従業員が、名刺の情報を業務用パソコン（所有者を問わない。）の表計算ソフト等を用いて入力、整理し、顧客への貸付けの契約の締結の勧誘など「会社の事業」のために使用し、又は供している場合②

コンピュータを用いていない場合であっても、五十音順に索引を付して並べられた顧客カード等⑵ 「個人情報データベース等」に該当しない例
アンケートの戻りはがきで、氏名、住所等で分類整理されていない状態である場合
３．個人データ（第7項）⑴ 「個人データ」に該当する例
例えば、次のようなものが該当する。
①

個人情報データベース等から記録媒体へダウンロードされた個人情報②

個人情報データベース等から紙面に出力されたもの（そのコピーを含む。）③ データ入力前の紙ベースの入会申込書や借入申込書であっても、五十音順や口座番号順等により検索可能な状態になっている場合（「個人情報データベース等」に該当）において、当該個人情報データベースを構成する個人情報④ 「氏名」を削除する等、第三者にとって特定の個人を識別することができないよ
うにしたデータであっても、協会員から見れば、他の情報と照合することで特定の個人情報を識別することができ、かつ、特定の個人情報を容易に検索可能である場合（「個人情報データベース等」に該当）において、当該個人情報データベースを構成する個人情報⑵ 「個人データ」に該当しない例
例えば、データ入力前の紙ベースの入会申込書や借入申込書等が、五十音順や口座番号順等により検索可能な状態になっていない場合において、その中に含まれる個人
情報は該当しない。
また、利用方法からみて個人の権利利益を侵害するおそれが少ないため、個人デー
タベース等から除かれているもの（例：市販の電話帳、住宅地図等）を構成する個人
情報は、個人データに該当しない。
４．保有個人データ（第10項）⑴ 「保有個人データ」に該当する例
例えば、次のようなものが該当する。
①

自社が作成、処理した個人情報データベース等（自社の顧客などのデータベース、
又はそれらの書類、帳簿）を構成する個人情報
8

②

企業データ等の外部のデータを協会員内部のデータと組み合わせて作成・保有するデータベースについて、協会員自らが、開示、訂正、追加又は削除、停止、消去
及び第三者への提供停止のすべてに応じることができる権限（⑵において「開示等権限」という。）を有するときは、「保有個人データ」に該当する。

⑵ 「保有個人データ」に該当しない例
例えば、協会員が、委託を受けて個人データを取り扱う場合の委託元から取得した
データベース等、協会員自ら開示等権限がないものは該当しない。
⑶ 「当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの」の具体例（第10項第⑵号）①

暴力団、いわゆる総会屋等、反社会的勢力若しくはその構成員等による不当要求行為を防止するためその他取引開始審査のために、協会員が当該団体等の個人デー
タを保有している場合②

いわゆる不審者、悪質クレーマー等からの不当要求行為を防止するため、当該行為を繰り返す者の個人データを保有している場合⑷ 「当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの」の具体例（第10項第⑷号）①

警察からの捜査関係事項照会の受理、回答の過程で容疑者等の個人データを保有している場合②

犯罪収益との関係が疑われる取引（疑わしい取引）の届出の対象となっている情報を保有している場合

５．個人関連情報（第11項）⑴ 「個人に関する情報」についてある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報である。「個人に関する情報」のうち、氏名、生年月日その他の記述等により特定の個人を識別することができるものは、個人情報に該当するため、個人関連情報には該当しない。
また、統計情報は、特定の個人との対応関係が排斥されている限りにおいては、「個
人に関する情報」に該当するものではないため、個人関連情報にも該当しない。
⑵ 「個人関連情報」に該当する例①

Cookie等の端末識別子を通じて収集された、ある個人のウェブサイトの閲覧履歴②

メールアドレスに結び付いた、ある個人の年齢・性別・家族構成等③

ある個人の商品購買履歴・サービス利用履歴④

ある個人の位置情報⑤

ある個人の興味・関心を示す情報

9

（注）個人情報に該当する場合は、個人関連情報に該当しないことになる。例えば、一般
的に、ある個人の位置情報それ自体のみでは個人情報には該当しないものではあるが、個人に関する位置情報が連続的に蓄積される等して特定の個人を識別することができる場合には、個人情報に該当し、個人関連情報には該当しないことになる。
６．個人関連情報取扱事業者（第12項）「個人関連情報を含む情報の集合物であって、特定の個人関連情報を電子計算機を用いて検索することができるように体系的に構成したもの」
特定の個人関連情報をコンピュータを用いて検索することができるように体系的に構成した、個人関連情報を含む情報の集合物をいう。また、コンピュータを用いていない場合であっても、紙媒体の個人関連情報を一定の規則に従って整理・分類し、特定の個
人関連情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当する。
ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。なお、法人格のない、権利能力のない社団（任意団体）又は個人であっても、個人関連情報データベース等を事業の用に供している場合は、個人
関連情報取扱事業者に該当する。
７．本人に通知（第15項）
本人への通知については、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。
本人への通知に該当する事例
事例1）ちらし等の文書を直接渡すことにより知らせること。
事例2）口頭又は自動応答装置等で知らせること。
事例3）電子メール、FAX等により送信し、又は文書を郵便等で送付することにより知らせること。
８．公表（第16項）
公表に当たっては、事業の性質及び個人情報の取扱状況に応じ、合理的かつ適切な方法によらなければならない。
公表に該当する事例
事例1）
自社のホームページのトップページから1回程度の操作で到達できる場所への掲載
事例2）自社の店舗や事務所等、顧客が訪れることが想定される場所におけるポスター
等の掲示、パンフレット等の備置き・配布
９．本人の同意（第17項）
10

本人の同意を得る場合には、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。
本人の同意を得ている事例
事例1）本人からの同意する旨の口頭による意思表示
事例2）本人からの同意する旨の書面（電磁的記録を含む。）の受領事例3）本人からの同意する旨のメールの受信
事例4）本人による同意する旨の確認欄へのチェック
事例5）本人による同意する旨のホームページ上のボタンのクリック
事例6）本人による同意する旨の音声入力、タッチパネルへのタッチ、ボタンやスイッチ等による入力
なお、与信事業において、保護法第18条第1項又は第27条第1項の同意を取得する際には、第4条の解説⑵に留意の上で対応することとする。
10．提供（第18項）
個人データ等が、物理的に提供されていない場合であっても、ネットワーク等を利用することにより、個人データ等を利用できる状態にあれば（利用する権限が与えられていれば）、「提供」に当たる。
（参照条文：保護法2条、16条、施行令1条、2条、4条、5条、施行規則2条、3条、4条、5条、通則ガイドライン2、ＥＵ等補完的ルール⑴、⑵、⑸）（ 利用目的の特定 ）第３条 協会員は、個人情報を取り扱うに当たっては、その利用目的をできる限り具体的に特定しなければならない。
２ 前項の利用目的の特定に当たって、「自社の所要の目的で用いる」といった抽象的な利用目的は、「できる限り特定」したものとはならないことから、協会員は、提供する金融
商品、サービスを示したうえで、利用目的を特定するよう努めなければならない。
３ 協会員は、利用目的（法令等の規定により変更した利用目的を含む。）を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲（変更後の利用目的が変更前の利用目的からみて、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲）を超えて行ってはならない。
（許容例）「商品案内等を郵送」→「商品案内等をメール送付」（認められない例）「アンケート集計に利用」→「商品案内等の郵送に利用」
なお、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱う場合は、保11

護法所定の例外事由に該当しない限り、本人の同意を得なければならない。
４ 協会員は、特定の個人情報の利用目的が、法令等に基づき限定されている場合には、その旨を明示しなければならない。
（ 解 説 ）
【協会員における利用目的の特定】
以下の例を参考に、協会員各社において個人情報の利用目的を特定する。
⑴ 利用目的の特定の例① 与信判断および与信後の債権管理に利用するため② 返済または支払能力に関する調査に利用するため③ 新たな商品やサービスの開発をお知らせするため④ 各種金融商品の口座開設等、金融商品やサービスの申込の受付のため⑤ 犯罪収益移転防止法に基づくご本人さまの確認等や、金融商品やサービスをご利用いただく資格等の確認のため⑥ 適合性の原則等に照らした判断等、金融商品・サービスの提供にかかる妥当性の判断のため⑦ お客様に対し、取引結果などの報告を行うため⑧ 他の事業者等から個人情報の処理の全部または一部について委託された場合等において、委託された当該業務を適切に遂行するため⑨ お客様との契約や法律等に基づく権利の行使や義務の履行のため⑩ 市場調査、ならびにデータ分析やアンケートの実施等による金融商品やサービスの研究や開発のため⑪ ダイレクトメールの発送等、金融商品やサービスに関する各種ご提案のため⑫ 提携会社等の商品やサービスの各種ご提案のため⑬ その他、お客様とのお取引を適切かつ円滑に履行するため⑵ 利用目的の特定に当たっては、利用目的を単に抽象的、一般的に特定するのではなく、個人情報が協会員において、最終的にどのような事業の用に供され、どのような目的で個人情報を利用されるのかが、本人にとって一般的かつ合理的に想定できる程度に具体的に特定することが望ましい。なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的の特定に当たっては、その旨が明確に分かるよう特定しなければならない。
⑶ 「利用目的の特定」の趣旨は、個人情報を取り扱う者が、個人情報が最終的にどのような事業の用に供され、どのような目的で利用されるかについて明確な認識を持ち、できるだけ具体的に明確にすることにより、個人情報が取り扱われる範囲を確定するとともに、本人の予測を可能とすることである。
本人が、自らの個人情報がどのように取り扱われることとなるか、利用目的から合理12

的に予測・想定できないような場合は、この趣旨に沿ってできる限り利用目的を特定したことにはならない。
例えば、本人から得た情報から、本人に関する行動・関心等の情報を分析する場合、協会員は、どのような取扱いが行われているかを本人が予測・想定できる程度に利用目的を特定しなければならない。
【本人から得た情報から、行動・関心等の情報を分析する場合に具体的に利用目的を特定している事例】
事例1）「取得した閲覧履歴や購買履歴等の情報を分析して、趣味・嗜好に応じた新商品・サービスに関する広告のために利用いたします。」
事例2）「取得した行動履歴等の情報を分析し、信用スコアを算出した上で、当該ス
コアを第三者へ提供いたします。」⑷ 定款等に規定されている事業の内容に照らして、個人情報によって識別される本人からみて、自分の個人情報が利用される範囲が合理的に予想できる程度に特定されている
場合や業種を明示することで利用目的の範囲が想定される場合には、これで足りるとされることもあり得るが、多くの場合、業種の明示だけでは利用目的をできる限り具体的に特定したことにはならないと解される。なお、利用目的の特定に当たり「○○事業」のように事業を明示する場合についても、社会通念上、本人からみてその特定に資すると認められる範囲に特定することが望ましい。また、単に「事業活動」、「お客様のサービスの向上」等のように抽象的、一般的な内容を利用目的とすることは、できる限り
具体的に特定したことにはならないと解される。
⑸ 利用目的の変更における「本人が通常予期し得る限度と客観的に認められる範囲」とは、本人の主観や協会員の恣意的な判断によるものではなく、一般人の判断において、当初の利用目的と変更後の利用目的を比較して予期できる範囲をいい、当初特定した利用目的とどの程度の関連性を有するかを総合的に勘案して判断される。
（参照条文：保護法17条、通則ガイドライン3-1-1、3-1-2、金融分野ガイドライン2条）（ 与信事業の利用目的 ）第４条 協会員は、貸金業務を行うに際して個人情報を取得する場合においては、利用目的を明示する書面（電磁的記録を含む。以下同じ。）に確認欄を設けること等により、利用目的について本人の同意を得るよう努めなければならない。この場合において、契約書等における利用目的は他の契約条項等と明確に分離して記載するものとする。
２ 協会員は、取引上の優越的な地位を不当に利用し、融資の条件として、これら業務において取得した個人情報について当該業務以外の金融商品のダイレクトメールの発送等に利用することを利用目的として同意させる行為を行ってはならない。
13

３ 協会員は、個人情報を個人信用情報機関（個人の返済能力に関する情報の収集及び与信事業を行う協会員に対する当該情報の提供を業とするものをいう。以下同じ。）に提供する場合には、その旨を利用目的に明示し、本人の同意を得なければならない。
（ 解 説 ）
⑴ 与信事業の利用目的の「明示」・「同意」を得る方法の具体例
例えば、顧客と融資取引を開始する際に、「当社は、融資取引のためにお客様の個人情報を取得する」旨の条項を記載した書面を交付し、次の⑵により同意を得る。この場
合、融資取引以外の利用目的について、併せて本人に列挙提示のうえ、同意を得ることが望ましい。
⑵ 「同意」を得る方法の具体例
例えば、次のような方法がある。
①

本人から直接個人情報を取得する書面上又は別の書面上に利用目的及び同意文言を記載し、本人の署名等を徴求して同意を得る方法② インターネット等の場合、画面上での同意の意思表示（了解ボタンをクリック等）
又は同意文言を記載した本人からの電子メールの受領等による方法③ 上記①又は②以外の電話等非対面の場合で、口頭による同意を得るときは、顧客本人の同意の意思表示について社内記録（聴取書等）を作成し、その後に当該顧客本人
からその内容について署名等で確認を得るか又は録音すること等により事後的に検証可能な体制をとる必要がある。
⑶ 適用関係
本条第1項は、平成17年4月1日以後に、新たに融資の申込を行った顧客の個人情報を取得する場合に適用する。
（参照条文：金融分野ガイドライン2条）（ 「同意」の形式 ）第５条 協会員は、次条、第16条及び第17条に定める本人の同意を得る場合には、原則として、書面によることとする。
（ 解 説 ）
⑴ 「同意」を得る方法の具体例
第4条の解説⑵と同様の方法により「同意」を得る。
⑵ あらかじめ作成された同意書面を用いる場合の留意事項
文字の大きさ及び文章の表現を変えること等により、個人情報の取扱いに関する条項が他と明確に区分され、本人に理解されることが望ましい。または、あらかじめ作成さ14

れた同意書面に確認欄を設け本人がチェックを行うこと等、本人の意思が明確に反映できる方法により確認を行うことが望ましい。
なお、本人が未成年者、成年被後見人、被保佐人及び被補助人であって、個人情報の取扱いに関して同意したことによって生ずる結果について判断できる能力を有していない場合などは、親権者や法定代理人等から同意を得る必要がある。
（参照条文：通則ガイドライン2-16、金融分野ガイドライン3条）（ 利用目的による制限 ）第６条 協会員は、保護法第17条第1項により特定した利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合は、あらかじめ本人の同意を得なければならない。ただし、当該同意を得るために個人情報を利用すること（メールの送信や電話をかけること等）は、当初特定した利用目的として記載されていない場合でも、目的外利用には該当しない。
２ 協会員は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
ただし、協会員が合併、分社化、事業譲渡等により他の個人情報取扱事業者から事業の承継をすることに伴って個人情報を取得した場合であって、当該個人情報に係る承継前の利用目的の達成に必要な範囲内で取り扱う場合は目的外利用にはならず、本人の同意を得る必要はない。
なお、事業の承継後に、承継前の利用目的の達成に必要な範囲を超えて、個人情報を取り扱う場合は、あらかじめ本人の同意を得る必要があるが、当該同意を得るために個人情報を利用すること（メールの送信や電話をかけること等）は、承継前の利用目的として記載されていない場合でも、目的外利用には該当しない。
３ 前二項は、次に掲げる場合については適用しない。
⑴ 法令に基づく場合⑵ 人の生命、身体又は財産（法人の財産を含む。）の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき⑶ 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき⑷ 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき⑸ 協会員が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取15

り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）⑹ 学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（ 解 説 ）
⑴ 例えば、協会員については、協会員が、新たに取扱いを行う業務に関して、既に取得
した個人情報を利用する場合、利用目的に明記した「貸金業者が営むことができる業務及びこれらに付随する業務（今後取扱いが認められる業務を含む。）」から外れない限り、第3条により特定した利用目的の達成に必要な範囲内と考えられる。
⑵ 「合併その他の事由」（第2項）には、合併のほか事業譲渡、営業の現物出資、会社
分割等、通常、事業に関する顧客情報等の個人データも一体的に承継される事業の承継が該当する。
⑶ 「法令に基づく場合」（第3項第⑴号）の具体例
例えば、次のようなものが該当する。
① 国税通則法第74条の2他（税務署の所得税等に関する調査に対応する場合）② 国税通則法第131条（質問、検査又は領置等）③ 刑事訴訟法第197条第2項④ 犯罪収益移転防止法第8条第1項（疑わしい取引の届出等）⑤ 民事訴訟法第223条（文書提出命令等）⑥ 刑事訴訟法第218条⑦ 所得税法第225条（支払調書及び支払通知書）⑧

地方税法第72条の63（総務省の職員の個人の事業税に関する調査に係る質問検査権）⑨ 国税徴収法第141条（質問及び検査）⑩ 貸金業法第24条の6の10（報告徴収及び立入検査）⑪ 預金保険法附則第7条（協定銀行に係る業務の特例）⑫ 民事執行法第147条（第三債務者の陳述の催告）⑬ 貸金業法等に基づく自主規制機関に対する情報提供⑭ 協会員が本協会の定款その他の規則の規定に基づく本協会への報告・届出、本協会の監査又は本協会の苦情相談･本協会の自主規制業務遂行のために本協会に個人情報の提供を行う場合⑮ 金融商品取引法第210条、第211条等に基づく証券取引等監視委員会の職員による犯則事件の調査に応じる場合
16

⑯ 弁護士法第23条の2に基づく弁護士会からの照会に対応する場合⑰ 感染症の予防及び感染症の患者に対する医療に関する法律第15条第1項に基づく保健所が行う積極的疫学調査に対応する場合⑱ 電気事業法第34条第1項に基づく災害発生時の停電復旧対応の迅速化等のため、経済産業大臣の求めに応じて、一般送配電事業者が、関係行政機関又は地方公共団体の長に対して必要な情報を提供する場合
なお、当該法令に、
第三者が個人情報の提供を求めることができる旨の規定はあるが、正当な事由に基づきそれに応じないことができる場合には、当該法令の趣旨に照らして目的外利用の必要性と合理性が認められる範囲内で対応するよう留意する。
⑷ 「人の生命、身体又は財産（法人の財産を含む。）の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき」の具体例（第3項第⑵号）
例えば、次のようなものが該当する。
① 暴力団等の反社会的勢力情報、業務妨害行為を行う悪質者情報、振り込め詐欺に利用された口座に関する情報を企業間で共有する場合② 顧客等の急病に対処するため医療機関へ情報提供する場合③ 強硬に意図的な業務妨害をする者について警察へ情報提供する場合④ 地震、災害等により本人が行方不明である状況が継続している場合における当該本人の家族への財産開示⑸ 「国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき」の具体例（第3項第⑷号）
例えば、次のようなものが該当する。
① 税務当局の任意調査に応じる場合② 警察の任意調査に応じる場合③ 一般統計調査に回答する場合（注）「協力する必要がある」か否かについては、協会員が個別に判断することとなるが、例えば税務当局から「有価証券取引等の照会書」その他の書面を受け入れ、対象となる個人情報を特定のうえ提供することが望ましい。
また、各当局からの任意による照会等の求めの趣旨に照らして目的外利用の必要性と合理性が認められる範囲内で対応するよう留意する。
（参照条文：保護法18条、通則ガイドライン3-1-3、3-1-4、3-1-5、金融分野ガイドライン4条）（不適正な利用の禁止）
第７条 協会員は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個17

人情報を利用してはならない。
（解 説）⑴ 「違法又は不当な行為」とは、保護法その他の法令に違反する行為、及び直ちに違法とはいえないものの、保護法その他の法令の制度趣旨又は公序良俗に反する等、社会通念上適正とは認められない行為をいう。
⑵ 「おそれ」の有無は、協会員による個人情報の利用が、違法又は不当な行為を助長又は誘発することについて、社会通念上蓋然性が認められるか否かにより判断される。この判断に当たっては、個人情報の利用方法等の客観的な事情に加えて、個人情報の利用時点における協会員の認識及び予見可能性も踏まえる必要がある。例えば、協会員が第三者に個人情報を提供した場合において、当該第三者が当該個人情報を違法な行為に用いた場合であっても、当該第三者が当該個人情報の取得目的を偽っていた等、当該個人情報の提供の時点において、提供した個人情報が違法に利用されることについて、当該協会員が一般的な注意力をもってしても予見できない状況であった場合には、「おそれ」は認められないと解される。
【協会員が違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例】
事例1）違法な行為を営むことが疑われる事業者（例：貸金業登録を行っていない貸金業者等）からの突然の接触による本人の平穏な生活を送る権利の侵害等、当該事業者の違法な行為を助長するおそれが想定されるにもかかわらず、当該事業者に当該本人の個人情報を提供する場合
事例2）裁判所による公告等により散在的に公開されている個人情報（例：官報に掲載される破産者情報）を、当該個人情報に係る本人に対する違法な差別が、不特定多数の者によって誘発されるおそれがあることが予見できるにもかかわらず、それを集約してデータベース化し、インターネット上で公開する場合
事例3）暴力団員により行われる暴力的要求行為等の不当な行為や総会屋による不当な要求を助長し、又は誘発するおそれが予見できるにもかかわらず、事業者間で共有している暴力団員等に該当する人物を本人とする個人情報や、不当要求による被害を防止するために必要な業務を行う各事業者の責任者の名簿等を、みだりに開示し、又は暴力団等に対しその存在を明らかにする場合
事例4）個人情報を提供した場合、提供先において保護法第27条第1項に違反する第三者
提供がなされることを予見できるにもかかわらず、当該提供先に対して、個人情報を提供する場合
事例5）採用選考を通じて個人情報を取得した事業者が、性別、国籍等の特定の属性のみにより、正当な理由なく本人に対する違法な差別的取扱いを行うために、個人
18

情報を利用する場合
事例6）広告配信を行っている事業者が、第三者から広告配信依頼を受けた商品が違法薬物等の違法な商品であることが予見できるにもかかわらず、
当該商品の広告配
信のために、自社で取得した個人情報を利用する場合（参照条文：保護法19条、通則ガイドライン3-2）（ 機微（センシティブ）情報について ）第８条 協会員は、要配慮個人情報並びに労働組合への加盟、門地、本籍地、保健医療及び性生活（これらのうち要配慮個人情報に該当するものを除く。）に関する情報（本人、国の機関、地方公共団体、学術研究機関等、保護法第57条第1項各号若しくは施行規則第6条各号に掲げる者により公開されているもの、又は、本人を目視し、若しくは撮影することにより取得するその外形上明らかなものを除く。以下「機微（センシティブ）情報」という。）については、次に掲げる場合を除くほか、取得、利用又は第三者提供を行わないものとする。
⑴ 法令等に基づく場合⑵ 人の生命、身体又は財産の保護のために必要がある場合⑶ 公衆衛生の向上又は児童の健全な育成の推進のため特に必要がある場合⑷ 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合⑸ 保護法第20条第2項第6号に掲げる場合に機微（センシティブ）情報を取得する場合、保護法第18条第3項第6号に掲げる場合に機微（センシティブ）情報を利用する場合、又は保護法第27条第1項第7号に掲げる場合に機微（センシティブ）情報を第三者提供する
場合⑹ 源泉徴収事務等の遂行上必要な範囲において、政治・宗教等の団体若しくは労働組合への所属若しくは加盟に関する従業員等の機微（センシティブ）情報を取得、利用又は第三者提供する場合⑺ 相続手続きによる権利義務の移転等の遂行に必要な限りにおいて、機微（センシティ
ブ）情報を取得、利用又は第三者提供する場合⑻ 協会員の貸金業務の適切な業務運営を確保する必要性から、本人の同意に基づき業務遂行上必要な範囲で機微（センシティブ）情報を取得、利用又は第三者提供する場合⑼ 機微（センシティブ）情報に該当する生体認証情報を本人の同意に基づき、本人確認に用いる場合２ 協会員は、機微（センシティブ）情報を前項各号に定める事由により取得、利用又は第三者提供する場合には、各号の事由を逸脱して、取得、利用又は第三者提供を行うことのないよう、特に慎重に取り扱うものとする。
19

３ 協会員は、機微（センシティブ）情報を、第1項に掲げる場合に取得、利用又は第三者提供する場合には、例えば、要配慮個人情報を取得するに当たっては、保護法第20条第2項に従い、あらかじめ本人の同意を得なければならないとされていることなど、個人情報の保護に関する法令等に従い適切に対応しなければならないことに留意する。
４ 協会員は、機微（センシティブ）情報を第三者へ提供するに当たっては、保護法第27条
第2項（オプトアウト）の規定を適用しないこととする。なお、機微（センシティブ）情報のうち要配慮個人情報については、同項において、オプトアウトを用いることができないとされていることに留意する。
（ 解 説 ）
⑴ 機微（センシティブ）情報に該当しない情報の例
例えば、次のようなものは該当しない。
① 新聞・テレビや官報等に記載された公知の情報② 相続手続及び納税義務の履行において準拠法を確認するために「国籍（永住権の有無を含む。）」を使用する場合の当該「国籍」情報⑵ 留意事項① 機微（センシティブ）情報の取得の時期は、協会員において、当該情報を事業の用に供するものとしてファイルに綴じる等により保管した段階である。
② 平成17年4月1日以後、顧客の本人確認を行うため、当該顧客から、本人確認書類として、本籍地が記載された書面等の写しの送付を受けた場合、ファイリング（保管）するまでの間に、速やかに、当該本籍地を黒塗りすれば、機微（センシティブ）情報の「取得」に当たらない。なお、平成17年4月1日前に取得した機微（センシティブ）
情報については、同日以後は、第8条第1項各号に掲げる場合を除くほか、利用又は第三者への提供はできないことに留意する。
⑶ 「法令等に基づく場合」の具体例（第1項第⑴号）
法律、政省令、条例、条約のほか、閣議決定や公務所により発出された指導文書で、
例えば、次のようなものが該当する。
① 顧客から「障害者等の少額貯蓄非課税制度」の利用資格を確認するため、身体障害者手帳（写）の提出を受けた場合② 暴力団員による不当な行為の防止等に関する法律に基づく暴力団追放運動推進セン
ターの会議等の場で文書等に記載された暴力団等、反社会的勢力若しくはその構成員の反社会的行為に関する情報を取得する場合③ 犯罪収益移転防止法第8条第1項に基づく疑わしい取引の届出により、個人情報を取得する場合④ 内部者取引の未然防止を図るために、顧客の勤務先情報として、政治・宗教等の団体若しくは労働組合への所属若しくは加盟に関する当該顧客の機微（センシティブ）
20

情報を取得する場合⑷ 「人の生命、身体又は財産の保護のために必要がある場合」の具体例（第1項第⑵号）
例えば、暴力団、いわゆる総会屋等、反社会的勢力若しくはその構成員等を把握する目的で、犯罪情報を取得する場合⑸ 「相続手続きによる権利義務の移転等の遂行に必要な限りにおいて、機微（センシティブ）情報を取得、利用又は第三者提供する場合」の具体例（第1項第⑺号）
例えば、相続手続きのための戸籍謄本を取得する場合（参照条文：金融分野ガイドライン5条）（ 適正な個人情報の取得及び要配慮個人情報の取得 ）第９条 協会員は、偽りその他不正の手段により個人情報を取得してはならない。
２ 協会員は、要配慮個人情報を取得する場合には、あらかじめ本人の同意を得なければならない。ただし、次に掲げる場合については、この限りではない。
⑴ 法令に基づく場合⑵ 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
⑶ 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
⑷ 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して、協会員が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
⑸ 協会員が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）⑹ 学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場
合を除く。）（協会員と当該学術研究機関等が共同して学術研究を行う場合に限る。）⑺ 当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、保護法第57条第1項各号に掲げる者その他施行規則で定める者により公開されている場合⑻ 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合⑼ 保護法第27条第5項各号（保護法第41条第6項の規定により読み替えて適用する場合及び保護法第42条第2項において読み替えて準用する場合を含む。）に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき。
21

（ 解 説 ）⑴ 協会員が不正の手段により個人情報を取得している事例
例えば、次のようなものが該当する。
なお、個人情報を含む情報がインターネット等により公にされている場合であって、単にこれを閲覧するにすぎず、転記等を行わない場合は、個人情報を取得しているとは解されない。
事例1）十分な判断能力を有していない子供や障害者から、取得状況から考えて関係のない家族の収入事情などの家族の個人情報を、家族の同意なく取得する場合
事例2）
保護法第27条第1項に規定する第三者提供制限違反をするよう強要して個人情報を取得する場合
事例3）個人情報を取得する主体や利用目的等について、意図的に虚偽の情報を示して、本人から個人情報を取得する場合
事例4）他の事業者に指示して不正の手段で個人情報を取得させ、当該他の事業者から個人情報を取得する場合
事例5）保護法第27条第1項に規定する第三者提供制限違反がされようとしていることを知り、又は容易に知ることができるにもかかわらず、個人情報を取得する場合
事例6）不正の手段で個人情報が取得されたことを知り、又は容易に知ることができるにもかかわらず、当該個人情報を取得する場合⑵ 要配慮個人情報を取得する場合において本人の同意を得る必要がない事例① 法令に基づく場合
事例）協会員が、労働安全衛生法に基づき健康診断を実施し、これにより従業員の身体状況、病状、治療等の情報を健康診断実施機関から取得する場合② 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
事例1）急病その他の事態が生じたときに、本人の病歴等を医師や看護師が家族から聴取する場合事例2）協会員その他の事業者間において、不正対策等のために、暴力団等の反社会的勢力情報、意図的に業務妨害を行う者の情報のうち、過去に業務妨害罪で逮捕された事実等の情報について共有する場合
事例3）不正送金等の金融犯罪被害の事実に関する情報を、関連する犯罪被害の防止のために、協会員その他の事業者から取得する場合③

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
事例1）健康保険組合等の保険者等が実施する健康診断等の結果判明した病名等について、健康増進施策の立案や保健事業の効果の向上を目的として疫学調査等の22

ために提供を受けて取得する場合
事例2）児童生徒の不登校や不良行為等について、児童相談所、学校、医療機関等の関係機関が連携して対応するために、ある関係機関において、他の関係機関から当該児童生徒の保護事件に関する手続が行われた情報を取得する場合
事例3）児童虐待のおそれのある家庭情報のうち被害を被った事実に係る情報を、児童相談所、警察、学校、病院等の関係機関が、他の関係機関から取得する場合④ 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して、協会員が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
事例）
協会員が警察の任意の求めに応じて要配慮個人情報に該当する個人情報を提出するために、当該個人情報を取得する場合⑤ 当該要配慮個人情報が、本人、国の機関、地方公共団体、保護法第57条第1項各号に掲げる者その他施行規則で定める者により公開されている場合
事例）要配慮個人情報が、次に掲げる者により公開されている場合。
イ

本人

ロ

国の機関

ハ

地方公共団体ニ

学術研究機関等

ホ 放送機関・新聞社・通信社その他の報道機関（報道を業として行う個人を含む。
）
ヘ

著述を業として行う者

ト

宗教団体

チ

政治団体

リ

外国政府、外国の政府機関、外国の地方公共団体又は国際機関

ヌ

外国において保護法第16条第8項に規定する学術研究機関等に相当する者

ル

外国において保護法第57条第1項各号に掲げる者に相当する者⑥ 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合
事例）身体の不自由な方が店舗に来店し、対応した店員がその旨をお客様対応録等に記録した場合（目視による取得）や、身体の不自由な方の様子が店舗に設置された防犯カメラに映りこんだ場合（撮影による取得）⑦ 保護法第27条第5項各号に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき⑶ 保護法第20条第2項に違反している事例
本人の同意を得ることなく、保護法第20条第2項第7号及び施行規則第6条で定める者
以外がインターネット上で公開している情報から本人の信条や犯罪歴等に関する情報を取得し、既に保有している当該本人に関する情報の一部として自己のデータベース等に23

登録すること。
⑷

協会員が要配慮個人情報を書面又は口頭等により本人から適正に直接取得する場合

は、本人が当該情報を提供したことをもって、当該協会員が当該情報を取得することについて本人の同意があったものと解される。また、協会員が要配慮個人情報を第三者提供の方法により取得した場合、提供元が保護法第20条第2項及び保護法第27条第1項に基づいて本人から必要な同意（要配慮個人情報の取得及び第三者提供に関する同意）を取得していることが前提となるため、提供を受けた当該協会員が、改めて本人から保護法
第20条第2項に基づく同意を得る必要はないものと解される。
（参照条文：保護法20条、施行令9条、施行規則6条、通則ガイドライン3-3-1、3-3-2）（ 個人情報取得時の利用目的の通知・公表、明示等 ）第10条 協会員は、個人情報を取得する場合は、あらかじめその利用目的を公表していることが望ましい。公表していない場合は、取得後速やかに、その利用目的を、本人に通知するか、又は公表しなければならない。協会員は、この場合において、「通知」の方法については、原則として書面によることとし、また、本項に定める「公表」の方法については、販売方法等の事業の態様に応じ、営業所の窓口等への書面の掲示・備付け、インターネッ
トのホームページ等での公表等適切な方法によるものとする。
２ 協会員は、前項の規定にかかわらず、契約書や懸賞応募はがき等の書面等による記載、
ユーザー入力画面への打ち込み等の電磁的記録により、直接本人から個人情報を取得する
場合には、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産（法人の財産を含む。）の保護のために緊急に必要がある場合は、
この限りでない。
３ 協会員は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
４ 前三項の規定は、次に掲げる場合については適用しない。
⑴ 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産（法人の財産を含む。）その他の権利利益を害するおそれがある場合⑵ 利用目的を本人に通知し、又は公表することにより当該協会員の権利又は正当な利益を害するおそれがある場合⑶ 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき⑷ 取得の状況からみて利用目的が明らかであると認められる場合（ 解 説 ）
24

⑴ 「通知」方法
原則として、書面による通知とする。
⑵ 本人への通知又は公表が必要な事例
例えば、次のような場合がある。
事例1）インターネット上で本人が自発的に公にしている個人情報を取得した場合（単に閲覧しただけの場合を除く。）
事例2）インターネット、官報、職員録等から個人情報を取得した場合（単に閲覧しただけの場合を除く。）
事例3）個人情報の第三者提供を受けた場合⑶ 本人への利用目的の明示が必要な事例
例えば、次のような場合がある。
事例1）本人の個人情報が記載された申込書・契約書等を本人から直接取得する場合
事例2）アンケートに記載された個人情報を直接本人から取得する場合
事例3）自社が主催するキャンペーンへの参加希望者が、参加申込みのために自社のホームページの入力画面に入力した個人情報を直接本人から取得する場合
なお、名刺などは、一般の慣行として、自身の個人情報を、本人の自発的な意思で、任意の簡便な形式により相手に提供するものであり、申込書、アンケート調査票、懸賞
応募はがき等のように、協会員が一定の書式や様式を準備した上で、本人が当該協会員の求めに沿う形で個人情報を提供する場合とは異なることから、利用目的の明示の義務を課するものではないが、その場合はあらかじめ利用目的を公表するか、取得後速やかに、その利用目的を、本人に通知するか、又は公表しなければならない（ただし、第4項参照）。口頭により個人情報を取得する場合についても同様とする。
⑷ 利用目的の明示に該当する事例
例えば、次のような方法がある。
事例1）利用目的を明記した契約書その他の書面を相手方である本人に手渡し、又は送付する場合
なお、契約約款又は利用条件等の書面（電磁的記録を含む。）中に利用目的条
項を記載する場合は、例えば、裏面約款に利用目的が記載されていることを伝える、又は裏面約款等に記載されている利用目的条項を表面にも記載し、かつ、社
会通念上、本人が認識できる場所及び文字の大きさで記載する等、本人が実際に利用目的を確認できるよう留意することが望ましい。
事例2）ネットワーク上において、利用目的を、本人がアクセスした自社のホームペー
ジ上に明示し、又は本人の端末装置上に表示する場合
なお、ネットワーク上において個人情報を取得する場合は、本人が送信ボタン
等をクリックする前等にその利用目的（利用目的の内容が示された画面に1回程度の操作でページ遷移するよう設定したリンクやボタンを含む。）が本人の目に留25

まるようその配置に留意することが望ましい。
⑸ 「明示」の内容等① 「本人に対し、その利用目的を明示」とは、本人に対し、その利用目的を明確に示すことをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法による必要がある。
② 「明示」する内容は、取得した個人情報の利用目的である。
「明示」は、当該契約書その他の書面に記載された個人情報の利用目的のみを示す
方法と、第3条により特定した包括的な利用目的の全部又は一部を示す方法のいずれかによるものとする。
③ 本人に対して、取引開始時等に包括的な利用目的を明示している場合で、当該契約書その他の書面に記載された個人情報の利用目的が、取引開始時等に明示された包括的な利用目的の範囲内にあるときは、当該書面による個人情報を取得する都度、あらためて利用目的の明示を行う必要はない。
⑹ 「利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産（法人の財産を含む。）その他の権利利益を害するおそれがある場合」の具体例（第4項第⑴号）
事例1）第三者から、暴力団等の反社会的勢力情報、疑わしい取引の届出の対象情報、振り込め詐欺に利用された口座に関する情報及び業務妨害行為を行う悪質者情報の提供者が逆恨みを買うおそれがある場合
事例2）児童虐待等に対応するために、児童相談所、学校、医療機関等の関係機関において、ネットワークを組んで対応する場合に、加害者である本人に対して当該本
人の個人情報の利用目的を通知・公表することにより、虐待を悪化させたり、虐待への対応に支障等が生じたりするおそれがある場合⑺ 「利用目的を本人に通知し、又は公表することにより当該協会員の権利又は正当な利益を害するおそれがある場合」の具体例（第4項第⑵号）
例えば、次のようなものが該当する。
事例1）暴力団等の反社会的勢力情報、疑わしい取引の届出の対象情報、業務妨害行為を行う悪質者情報を取得したことが明らかになることにより、情報提供を受けた
企業に害が及ぶ場合
事例2）通知又は公表される利用目的により、協会員が行う開発中の新サービス、営業ノウハウ等の企業秘密にかかわるようなものが明らかになる場合⑻ 「国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき」の具体例（第4項第⑶号）
事例）警察が、公開手配を行わないで、被疑者に関する個人情報を、被疑者の立ち回りが予想される協会員に限って提供した場合において、警察から当該個人情報を受26

け取った当該協会員が、利用目的を本人に通知し、又は公表することにより、捜査活動に支障を及ぼすおそれがある場合⑼ 「取得の状況からみて利用目的が明らかであると認められる場合」の具体例（第4項第⑷号）
例えば、次のようなものが該当する。
事例1）商品・サービス等を販売・提供するに当たって住所・電話番号等の個人情報を取得する場合で、その利用目的が当該商品・サービス等の販売・提供のみを確実に行うためという利用目的であるような場合
事例2）一般の慣行として名刺を交換する場合、直接本人から、氏名・所属・肩書・連絡先等の個人情報を取得することとなるが、その利用目的が今後の連絡や、所属する会社の広告宣伝のための冊子や電子メールを送付するという利用目的である
ような場合（参照条文：保護法21条、通則ガイドライン3-3-3、3-3-4、3-3-5、金融分野ガイドライン6条）（ データ内容の正確性の確保等 ）第11条 協会員は、利用目的の達成に必要な範囲内において、個人情報データベース等への個人情報の入力時の照合・確認の手続の整備、誤り等を発見した場合の訂正等の手続の整
備、記録事項の更新、保存期間の設定等を行うことにより、個人データを正確かつ最新の内容に保つよう努めなければならない。
２ 協会員は、保有する個人データについて利用する必要がなくなったとき(利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった
場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等)は、
当該個人データを遅滞なく消去するよう努めなければならない。このため、協会員は、顧客等の個人データの保存期間について契約終了後一定期間内とする等、保有する個人データの利用目的に応じ保存期間を定め、当該期間経過後の保有する個人データを消去することとする。ただし、法令等に基づく保存期間の定めがある場合には、この限りでない。
（ 解 説 ）
⑴ 「個人データを正確かつ最新の内容に保つ」方法の具体例
顧客からの届出内容を迅速かつ正確に個人情報データベース等に反映するとともに、各社の業務の態様等に応じ、例えば、次のような方法により、各社において必要な対応に努めるものとする。なお、保有する個人データを一律に又は常に最新化する必要はな
く、それぞれの利用目的に応じて、その必要な範囲内で正確性・最新性を確保すれば足
27

りる。
①

会員規約やホームページにおいて、顧客の氏名・住所等の変更届出手続きについて周知する。
⑵ 「消去」について「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないよ
うにすること等を含む。
⑶ 「保存期間」について
保存期間は合理的理由を伴う永久保存も該当する。
⑷ 「個人データについて利用する必要がなくなったとき」に該当する事例
事例）キャンペーンの懸賞品送付のため、当該キャンペーンの応募者の個人データを保有していたところ、懸賞品の発送が終わり、不着対応等のための合理的な期間が経過した場合（参照条文：保護法22条、通則ガイドライン3-4-1、金融分野ガイドライン7条）（ 安全管理措置 ）第12条 協会員は、その取り扱う個人データの漏えい、滅失又は毀損（以下「漏えい等」という。）の防止その他の個人データの安全管理のため、安全管理に係る基本方針・取扱規程等の整備及び安全管理措置に係る実施体制の整備等の必要かつ適切な措置を講じなければならない。必要かつ適切な措置は、個人データの取得・利用・保管等の各段階に応じた「組織的安全管理措置」、「人的安全管理措置」、「物理的安全管理措置」、「技術的安全管理措置」及び「外的環境の把握」を含むものでなければならない。
なお、当該措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質、個人データの取扱状況及び個人データを記録した媒体の性質等に起因するリスクに応じたものとする。
例えば、不特定多数者が書店で随時に購入可能な名簿で、協会員において全く加工をしていないものについては、
個人の権利利益を侵害するおそれは低いと考えられることから、それを処分するために文書細断機等による処理を行わずに廃棄し、又は廃品回収に出したとしても、協会員の安全管理措置の義務違反にはならない。
なお、保護法第23条における「その他の個人データの安全管理のために必要かつ適切な措置」には、協会員が取得し、又は取得しようとしている個人情報であって、当該協会員が個人データとして取り扱うことを予定しているものの漏えい等を防止するために必要か
つ適切な措置も含まれる。そのため、以下この条における「個人データ」には、当該個人情報も含まれることに留意する。
本条における用語の定義は、次のとおりである。
28

⑴ 組織的安全管理措置
個人データの安全管理措置について役職員（協会員の組織内にあって、直接又は間接に協会員の指揮監督を受けて協会員の業務に従事する者等をいい、雇用関係にある従業者（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、協会員との間の雇用関係にない者（取締役、執行役、監査役、派遣社員等）も含まれる。以
下同じ。）の責任と権限を明確に定め、安全管理に関する規程等を整備・運用し、その実施状況の点検・監査を行うこと等の協会員の体制整備及び実施措置をいう。
⑵ 人的安全管理措置
役職員との個人データの非開示契約等の締結及び役職員に対する教育・訓練等を実施
し、個人データの安全管理が図られるよう役職員を監督することをいう。
⑶ 物理的安全管理措置
個人データを取り扱う区域の管理、機器及び電子媒体等の盗難の防止、電子媒体等を持ち運ぶ場合の漏えい等の防止並びに機器及び電子媒体等の廃棄等の個人データの安全管理に関する物理的な措置をいう。
⑷ 技術的安全管理措置
個人データ及びそれを取り扱う情報システムへのアクセス制御及び情報システムの監
視等の個人データの安全管理に関する技術的な措置をいう。
⑸ 外的環境の把握
外国において個人データを取り扱う場合に、当該外国の個人情報の保護に関する制度等を把握することをいう。協会員は、外国において個人データを取り扱う場合には、外的環境を把握した上で、個人データの安全管理のために必要かつ適切な措置を講じなければならない。
２ 協会員は、個人データの安全管理に係る基本方針・取扱規程等の整備として、以下の「組織的安全管理措置」を講じなければならない。
⑴ 規程等の整備
イ

個人データの安全管理に係る基本方針の整備

ロ

個人データの安全管理に係る取扱規程の整備

ハ

個人データの取扱状況の点検及び監査に係る規程の整備ニ

外部委託に係る規程の整備⑵ 各管理段階における安全管理に係る取扱規程
イ

取得・入力段階における取扱規程

ロ

利用・加工段階における取扱規程

ハ保管・保存段階における取扱規程

ニ移送・送信段階における取扱規程

ホ消去・廃棄段階における取扱規程

へ漏えい等事案（漏えい等又はそのおそれのある事案をいう。以下同じ。）への対応
29

の段階における取扱規程
３ 協会員は、個人データの安全管理に係る実施体制の整備として、以下の「組織的安全管理措置」、「人的安全管理措置」、「物理的安全管理措置」及び「技術的安全管理措置」
を講じなければならない。
⑴ 組織的安全管理措置
イ

個人データの管理責任者等の設置ロ

就業規則等における安全管理措置の整備

ハ

個人データの安全管理に係る取扱規程に従った運用

ニ

個人データの取扱状況を確認できる手段の整備

ホ

個人データの取扱状況の点検及び監査体制の整備と実施

へ漏えい等事案に対応する体制の整備⑵ 人的安全管理措置
イ

役職員との個人データの非開示契約等の締結

ロ

役職員の役割・責任等の明確化

ハ役職員への安全管理措置の周知徹底、教育及び訓練ニ

役職員による個人データ管理手続きの遵守状況の確認⑶ 物理的安全管理措置
イ

個人データの取扱区域等の管理

ロ

機器及び電子媒体等の盗難等の防止

ハ

電子媒体等を持ち運ぶ場合の漏えい等の防止ニ

個人データの削除及び機器、電子媒体等の廃棄⑷ 技術的安全管理措置
イ

個人データの利用者の識別及び認証ロ

個人データの管理区分の設定及びアクセス制御

ハ

個人データへのアクセス権限の管理

ニ

個人データの漏えい等防止策

ホ

個人データへのアクセスの記録及び分析

へ

個人データを取り扱う情報システムの稼働状況の記録及び分析

ト

個人データを取り扱う情報システムの監視及び監査（解 説）
・ 漏えい、滅失及び毀損の定義については、第 15 条参照（参照条文：保護法23条、通則ガイドライン3-4-2、金融分野ガイドライン8条）（ 役職員の監督 ）30

第13条 協会員は、その役職員に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、適切な内部管理体制を構築し、その役職員に対する必要かつ適切な監督を行わなければならない。
２ 協会員は、前項の役職員に対する「必要かつ適切な監督」を以下の体制整備等により行うこととする。
⑴ 役職員が、在職中及びその職を退いた後において、当該協会員の業務等に関して知り得た個人データを第三者に知らせ、又は利用目的外に使用しないことを内容とする契約
等を採用時等に締結すること⑵ 個人データの適正な取扱いのための取扱規程の策定を通じた役職員の役割・責任の明確化及び役職員への安全管理義務の周知徹底、教育及び訓練を行うこと⑶ 役職員による個人データの持出し等を防ぐため、社内での安全管理措置に係る取扱規程に定めた事項の遵守状況等の確認及び役職員における個人データの取扱状況の点検及び監査制度を整備すること（ 解 説 ）
・ 役職員の定義については、第12条参照（参照条文：保護法24条、通則ガイドライン3-4-3、金融分野ガイドライン9条）（ 委託先の監督 ）第14条 協会員は、個人データの取扱いの全部又は一部を委託（契約の形態や種類を問わず、協会員が他の者に個人データの取扱いの全部又は一部を行わせることを内容とする契約の一切を含む。）する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
なお、当該監督は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人データの取扱状況等に起因するリスクに応じたものとする｡
２ 協会員は、個人データを適正に取り扱っていると認められる者を選定し委託するとともに、取扱いを委託する個人データの安全管理が図られるよう、個人データの安全管理のための措置を委託先においても確保しなければならない（二段階以上の委託が行われた場合には、委託先の事業者が再委託先等の事業者に対して十分な監督を行っているかについても監督を行うものとする。）。
具体的には、以下の対応等が必要である。
⑴ 個人データの安全管理のため、委託先における組織体制の整備及び安全管理に係る基本方針・取扱規程の策定等の内容を委託先選定の基準に定め、当該基準に従って委託先を選定するとともに、当該基準を定期的に見直すこと。
31

⑵ 委託者の監督・監査・報告徴収に関する権限、委託先における漏えい等の防止及び目的外利用の禁止、再委託に関する条件並びに漏えい等事案が発生した場合の委託先の責任を内容とする安全管理措置を委託契約に盛り込むとともに、定期的又は随時に当該委託契約に定める安全管理措置等の遵守状況を確認し、当該安全管理措置の見直しを行わなければならない。
（ 解 説 ）
・ 委託先には外国の委託先も含まれる。
（参照条文：保護法25条、通則ガイドライン3-4-4、金融分野ガイドライン10条））（漏えい等の報告等）
第15条 協会員は、その取り扱う個人データの漏えい等その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして次の各号のいずれかに該当するものが生じたときは、次項以下の定めに従って、当該事態が生じた旨を個人情報保護委員会（保護法第150条の規定により金融庁長官等が報告を受理する権限の委任を受けている場合にあっては金融庁長官等、保護法第170条の規定により地方公共団体の長等が報告を受理する権限に属する事務を行う場合にあっては地方公共団体の長等。第11項において同じ。）に報告しなければならない。ただし、協会員が、他の個人情報取扱事業者から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、当該事態が生じた旨を当該他の個人情報取扱事業者に通知したときは、この限りでない。
⑴ 要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下第1項各号及び次項において同じ。）の漏えい等が発生し、又は発生したおそれがある事態⑵ 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態⑶ 不正の目的をもって行われたおそれがある当該協会員に対する行為による個人データ（当該協会員が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、又は発生したおそれがある事態⑷ 個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態
２ 前項の規定による報告をする場合には、前項各号に定める事態を知った後、速やかに、当該事態に関する次の各号の事項（報告をしようとする時点において把握しているものに限る。第5項において同じ。）を報告しなければならない（この時点での報告を「速報」という。以下同じ。）。
32

⑴ 概要
⑵ 漏えい等が発生し、又は発生したおそれがある個人データ（前項第⑶号に定める事態については、同号に規定する個人情報を含む。次号において同じ。）の項目⑶ 漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数⑷ 原因⑸ 二次被害又はそのおそれの有無及びその内容⑹ 本人への対応の実施状況⑺ 公表の実施状況⑻ 再発防止のための措置⑼ その他参考となる事項
３ 前項の場合において、協会員は、当該事態を知った日から30日以内（当該事態が第1項第⑶号に定めるものである場合にあっては、60日以内）に、当該事態に関する前項各号に定める事項を報告しなければならない（この時点での報告を「確報」という。以下同じ。）。
４ 第1項による報告は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める方法により行うものとする。
⑴ 個人情報保護委員会に報告する場合
電子情報処理組織を使用する方法⑵ 保護法第150条第1項の規定により、第1項の規定による権限の委任を受けた事業所管大臣に報告する場合
施行規則第8条第3項第2号に定める報告書を提出する方法
５ 協会員は、第1項ただし書の規定による通知をする場合には、同項各号に定める事態を知った後、速やかに、第2項各号に定める事項を通知しなければならない。
６ 協会員は、その取り扱う個人である資金需要者等に関する個人データの漏えい等が発生し、又は発生したおそれがある事態を知ったときは、関係法令に従って、監督当局に報告しなければならない。
７ 協会員は、次の各号のいずれかの事態（第1項及び前項に規定する事態を除く。）を知ったときは、第1項及び前項の規定に準じて、監督当局に報告することとする。
⑴ その取り扱う個人情報の漏えい等が発生し、又は発生したおそれがある事態⑵ その取り扱う仮名加工情報に係る削除情報等（保護法第41条第1項の規定により行われた加工の方法に関する情報にあっては、その情報を用いて仮名加工情報の作成に用いられた個人情報を復元することができるものに限る。第9項において同じ。）又は匿名
加工情報に係る加工方法等情報の漏えいが発生し、又は発生したおそれがある事態
８ 第1項に規定する場合には、協会員（同項ただし書の規定による通知をした者を除く。）
は、本人に対し、第1項各号に定める事態を知った後、当該事態の状況に応じて速やかに、
当該本人の権利利益を保護するために必要な範囲において、次の各号に定める事項を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保33

護するため必要なこれに代わるべき措置をとるときは、この限りでない。
⑴ 概要⑵ 漏えい等が発生し、又は発生したおそれがある個人データの項目⑶ 原因⑷ 二次被害又はそのおそれの有無及びその内容⑸ その他参考となる事項
９ 協会員は、次の各号のいずれかの事態（第1項各号に定める事態を除く。）を知ったときは、前項に準じて、本人への通知等を行うこととする。
⑴ その取り扱う個人データ（仮名加工情報である個人データを除く。）の漏えい等が発生し、又は発生したおそれがある事態⑵ その取り扱う個人情報（仮名加工情報である個人情報を除く。
）の漏えい等が発生し、又は発生したおそれがある事態⑶

その取り扱う仮名加工情報に係る削除情報等又は匿名加工情報に係る加工方法等情報の漏えいが発生し、又は発生したおそれがある事態
10 協会員は、第1項、第6項及び第7項に規定する事態が発覚した場合は、当該事態の内容等に応じて、次の各号に掲げる事項について必要な措置を講じなければならない。
⑴ 事業者内部における報告及び被害の拡大防止⑵ 事実関係の調査及び原因の究明⑶ 影響範囲の特定⑷ 再発防止策の検討及び実施⑸ 個人情報保護委員会への報告及び本人への通知
11 協会員は、第1項、第6項又は第7項に基づき個人情報保護委員会又は監督当局に報告するときは、本協会に対しても同じ事項を報告しなければならない。
（解 説）⑴ 第1項に規定する「個人データ」とは、協会員が取り扱う個人データをいう。
ただし、同項第⑶号に規定する「個人データ」には、「当該協会員が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているもの」が含まれる。
そのため、同号に定める事態との関係では、解説⑵から⑷までにおける「個人データ」
は、協会員が取り扱う個人データに加え、「当該協会員が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているもの」
を含む。
同号に定める事態について、詳細は解説⑹を参照のこと。
⑵ 個人データの「漏えい」とは、個人データが外部に流出することをいう。
34

なお、個人データを第三者に閲覧されないうちに全てを回収した場合は、漏えいに該当しない。また、協会員が自らの意図に基づき個人データを第三者に提供する場合は、漏えいに該当しない。
【個人データの漏えいに該当する事例】
事例1）個人データが記載された書類を第三者に誤送付した場合
事例2）個人データを含むメールを第三者に誤送信した場合
事例3）システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となっていた場合
事例4）個人データが記載又は記録された書類・媒体等が盗難された場合
事例5）不正アクセス等により第三者に個人データを含む情報が窃取された場合
事例6）協会員のウェブサイトの入力ページが第三者に改ざんされ、ユーザーが当該ページに入力した個人情報が、当該第三者に送信された場合であり、かつ、当該協会員が、
当該ページに入力される個人情報を個人情報データベース等へ入力することを予定していたとき⑶ 個人データの「滅失」とは、個人データの内容が失われることをいう。
なお、下記の場合であっても、その内容と同じデータが他に保管されている場合は、滅失に該当しない。また、協会員が合理的な理由により個人データを削除する場合は、滅失に該当しない。
【個人データの滅失に該当する事例】
事例1）個人情報データベース等から出力された氏名等が記載された帳票等を誤って廃棄した場合（注）当該帳票等が適切に廃棄されていない場合には、個人データの漏えいに該当する場合がある。
事例2）個人データが記載又は記録された書類・媒体等を社内で紛失した場合（注）社外に流出した場合には、個人データの漏えいに該当する。
⑷ 個人データの「毀損」とは、個人データの内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となることをいう。
なお、下記事例2）及び事例3）の場合であっても、その内容と同じデータが他に保管されている場合は毀損に該当しない。
【個人データの毀損に該当する事例】
事例1）個人データの内容が改ざんされた場合
事例2）暗号化処理された個人データの復元キーを喪失したことにより復元できなくなった場合
事例3）ランサムウェア等により個人データが暗号化され、復元できなくなった場合
35

（注）同時に個人データが窃取された場合には、個人データの漏えいにも該当する。
⑸ 報告すべき事態が発覚した場合に講じるべき措置（第10項）
協会員が本条に基づき報告すべき事態（第1項、第6項及び第7項に規定する事態）が発覚した場合に当該事態の内容等に応じて講じるべき必要な措置の内容は、次のとおりである。
①

事業者内部における報告及び被害の拡大防止
責任ある立場の者に直ちに報告するとともに、漏えい等事案による被害が発覚時よりも拡大しないよう必要な措置を講ずる。
②

事実関係の調査及び原因の究明
漏えい等事案の事実関係の調査及び原因の究明に必要な措置を講ずる。

③

影響範囲の特定
上記②で把握した事実関係による影響範囲の特定のために必要な措置を講ずる。

④

再発防止策の検討及び実施
上記②の結果を踏まえ、漏えい等事案の再発防止策の検討及び実施に必要な措置を講ずる。
⑤

個人情報保護委員会への報告及び本人への通知
解説⑹から⒃を参照のこと。
なお、漏えい等事案の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、事実関係及び再発防止策等について、速やかに公表することが望ましい。
⑹ 保護法に基づく報告対象事態（第1項）
協会員は、次の①から④までに掲げる事態（以下「保護法報告対象事態」という。）
を知ったときは、個人情報保護委員会から権限の委任を受けている監督当局（財務局長
若しくは財務支局長又は都道府県知事）及び本協会に報告しなければならない（第1項、第11項）。
なお、保護法報告対象事態に該当しない漏えい等事案であっても、協会員は個人情報保護委員会及び本協会に任意の報告をすることができる。
保護法報告対象事態における「おそれ」については、その時点で判明している事実関係に基づいて個別の事案ごとに蓋然性を考慮して判断することになる。漏えい等が発生したおそれについては、その時点で判明している事実関係からして、漏えい等が疑われるものの漏えい等が生じた確証がない場合がこれに該当する。
①

要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態（第1項第⑴号関係）【報告を要する事例】
36

事例1）従業員の健康診断等の結果を含む個人データが漏えいした場合②

不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態（第1項第⑵号関係）財産的被害が生じるおそれについては、対象となった個人データの性質・内容等を踏まえ、財産的被害が発生する蓋然性を考慮して判断する。
【報告を要する事例】
事例1）ECサイトからクレジットカード番号を含む個人データが漏えいした場合
事例2）送金や決済機能のあるウェブサービスのログインIDとパスワードの組み合
わせを含む個人データが漏えいした場合③

不正の目的をもって行われたおそれがある当該協会員に対する行為による個人デー

タ（当該協会員が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、又は発生したおそれがある事態（第1項第⑶号関係）「不正の目的をもって行われたおそれがある当該協会員に対する行為」（以下「不正行為」という。）の主体には、第三者のみならず、従業者も含まれる。また、不正行為の相手方である「当該協会員」には、当該協会員が第三者に個人データの取扱いを委託している場合における当該第三者（委託先）及び当該協会員が個人データを取り扱うに当たって第三者の提供するサービスを利用している場合における当該第三者も含まれる。
当該協会員が「取得しようとしている個人情報」に該当するかどうかは、当該協会員が用いている個人情報の取得手段等を考慮して客観的に判断する。
個人情報データベース等へ入力すること等を予定していれば、最終的に個人情報に該当しない統計情報への加工を行うことを予定している場合等であっても、「個人データとして取り扱われることが予定されている」に該当する。
（注）協会員が、個人データとして取り扱うことを予定している個人情報の取扱いを第三者に委託する場合であって、当該第三者（委託先）が当該個人情報を個人データとして取り扱う予定はないときも、ここにいう「協会員が第三者に個人データの取扱いを委託している場合」に該当する。
【報告を要する事例】
事例1）不正アクセスにより個人データ（個人情報データベース等へ入力する予定の個人情報を含む。以下、事例5）まで同じ。）が漏えいした場合
事例2）ランサムウェア等により個人データが暗号化され、復元できなくなった場
37

合事例3）個人データが記載又は記録された書類・媒体等が盗難された場合
事例4）従業者が顧客の個人データを不正に持ち出して第三者に提供した場合（注）従業者による個人データ又は個人情報の持ち出しの事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、個人データ
又は個人情報を格納しているサーバや、当該サーバにアクセス権限を有する端末において、通常の業務で必要としないアクセスによりデータが窃取された痕跡が認められた場合が考えられる。
事例5）従業者の私用の端末又は取引先の端末が情報を窃取するマルウェアに感染し、その後、当該端末と協会員のサーバとの電気通信に起因して、当該サーバも当該マルウェアに感染し、個人データが漏えいした場合
事例6）協会員のウェブサイトの入力ページが第三者に改ざんされ、ユーザーが当該ページに入力した個人情報が当該第三者に送信された場合であり、かつ、当該協会員が、
当該ページに入力される個人情報を個人情報データベース等へ入力することを予定していたとき
事例7）協会員のウェブサイト上に設置された、入力ページに遷移するためのリンクやボタンが第三者に改ざんされ、当該リンクやボタンをユーザーがクリック
した結果、偽の入力ページに遷移し、当該ユーザーが当該偽の入力ページに入力した個人情報が当該第三者に送信された場合であり、かつ、当該協会員が、当該協会員の入力ページに入力される個人情報を個人情報データベース等へ入力することを予定していたとき
事例8）協会員が、第三者により宛先の改ざんされた返信用封筒を顧客に送付した
結果、当該返信用封筒により返信されたアンケート用紙に記入された個人情報が当該第三者に送付された場合であり、かつ、当該協会員が、当該個人情報を
個人情報データベース等へ入力することを予定していたとき（注）サイバー攻撃の事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、次のイからホが考えられる。
イ

個人データ（個人情報データベース等へ入力する予定の個人情報を含む。
ロにおいて同じ。）を格納しているサーバや、当該サーバにアクセス権限を有する端末において外部からの不正アクセスによりデータが窃取された痕跡が認められた場合

ロ

個人データを格納しているサーバや、当該サーバにアクセス権限を有する端末において、情報を窃取する振る舞いが判明しているマルウェアの感染
38

が確認された場合
ハ

マルウェアに感染したコンピュータに不正な指令を送り、制御するサーバ（C&Cサーバ）が使用しているものとして知られているIPアドレス・FQDN（Fully Qualified Domain Nameの略。サブドメイン名及びドメイン名からなる文字列であり、ネットワーク上のコンピュータ（サーバ等）を特定するもの。）への通信が確認された場合

ニ 個人情報の取得手段であるウェブページを構成するファイルを保存しているサーバや、当該サーバにアクセス権限を有する端末において、外部からの不正アクセスにより、当該ファイルに、当該ウェブページに入力された情報を窃取するような改ざんがされた痕跡が確認された場合
ホ

不正検知を行う公的機関、セキュリティ・サービス・プロバイダ、専門家
等の第三者から、漏えいのおそれについて、一定の根拠に基づく連絡を受けた場合④

個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態（第1項第⑷号関係）「個人データに係る本人の数」は、当該協会員が取り扱う個人データのうち、漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数をいう。「個人データに係る本人の数」について、事態が発覚した当初1,000人以下であっても、その後1,000人を超えた場合には、1,000人を超えた時点で第1項第⑷号に該当することになる。本人の数が確定できない漏えい等において、漏えい等が発生したおそれがある個人データに係る本人の数が最大1,000人を超える場合には、第1項第⑷号に該当する。
事例）
システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となり、当該個人データに係る本人の数が1,000人を超える場合
なお、漏えい等が発生し、又は発生したおそれがある個人データ又は個人情報について、高度な暗号化等の秘匿化がされている場合等、「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられている場合については、報告を要しない。
⑺ 報告義務の主体
漏えい等報告の義務を負う主体は、原則として、漏えい等が発生し、又は発生したおそれがある個人データを取り扱う協会員である。ただし、第1項第⑶号に定める事態について漏えい等報告の義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データ又は個人情報を取り扱い、又は取得しようとしている協会員である（解説
⑴参照）。
39

個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人データ又は個人情報を取り扱っており、又は取得しようとしていることになるため、保護法報告対象事態に該当する場合には、原則として委託元と委託先の双方が報告する義務を負う。この場合、委託元及び委託先の連名で報告することができる。なお、委託先が、報告義務を負っている委託元に当該事態が発生したことを通知したときは、委託先は報告義務を免除される（第1項ただし書参照）。
また、委託元から委託先にある個人データ（個人データＡ）の取扱いを委託している
場合であって、別の個人データ（個人データＢ）の取扱いを委託していないときには、
個人データＢについて、委託元において報告対象事態が発生した場合であっても、委託先は報告義務を負わず、委託元のみが報告義務を負うことになる。
⑻ 「速報」について（第2項）
協会員は、保護法報告対象事態を知ったときは、速やかに、個人情報保護委員会及び本協会に報告しなければならない。
報告期限の起算点となる「知った」時点については、個別の事案ごとに判断されるが、協会員が法人である場合には、いずれかの部署が当該事態を知った時点を基準とする。
「速やか」の日数の目安については、個別の事案によるものの、協会員が当該事態を知った時点から概ね3～5日以内である。
個人情報保護委員会への漏えい等報告については、
次の①から⑨までに掲げる事項を、原則として、個人情報保護委員会のホームページの報告フォームに入力する方法により行う。速報時点での報告内容については、報告をしようとする時点において把握している内容を報告すれば足りる。
①「概要」
当該事態の概要について、発生日、発覚日、発生事案、発見者、第15条第1項各号

該当性、委託元及び委託先の有無、事実経過等を報告する。
② 「漏えい等が発生し、又は発生したおそれがある個人データ（前項第⑶号に定める事態については、同号に規定する個人情報を含む。次号において同じ。）の項目」
漏えい等が発生し、又は発生したおそれがある個人データ（第1項第⑶号に定める事態については、同号に規定する個人情報を含む。）の項目について、媒体や種類（顧客情報、従業員情報の別等）とともに報告する。
③「漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数」
漏えい等が発生し、又は発生したおそれがある個人データ（第1項第⑶号に定める事態については、同号に規定する個人情報を含む。）に係る本人の数について報告す
る。
④

「原因」
当該事態が発生した原因について、当該事態が発生した主体（報告者又は委託先）

とともに報告する。
40

⑤「二次被害又はそのおそれの有無及びその内容」
当該事態に起因して発生する被害又はそのおそれの有無及びその内容について報告する。
⑥「本人への対応の実施状況」
当該事態を知った後、本人に対して行った措置（通知を含む。）の実施状況について報告する。
⑦「公表の実施状況」
当該事態に関する公表の実施状況について報告する。

⑧「再発防止のための措置」
漏えい等事案が再発することを防止するために講ずる措置について、実施済みの措置と今後実施予定の措置に分けて報告する。
⑨「その他参考となる事項」
上記の①から⑧までの事項を補完するため、個人情報保護委員会が当該事態を把握する上で参考となる事項を報告する。
⑼ 「確報」について（第3項）
協会員は、保護法報告対象事態を知ったときは、速報に加え、30日以内（第1項第⑶号の事態においては60日以内。同号の事態に加え、同条第⑴号、第⑵号又は第⑷号の事
態にも該当する場合も60日以内。）に個人情報保護委員会及び本協会に報告しなければならない。30日以内又は60日以内は報告期限であり、可能である場合には、より早期に報告することが望ましい。
報告期限の起算点となる「知った」時点については、速報と同様に、協会員が法人である場合には、いずれかの部署が当該事態を知った時点を基準とし、確報の報告期限の算定に当たっては、その時点を1日目とする。
確報においては、解説⑻①～⑨までに掲げる事項の全てを報告しなければならない。
確報を行う時点（保護法報告対象事態を知った日から30日以内又は60日以内）
において、合理的努力を尽くした上で、一部の事項が判明しておらず、全ての事項を報告することができない場合には、その時点で把握している内容を報告し、判明次第、報告を追完す
るものとする。
（注１）速報の時点で全ての事項を報告できる場合には、1回の報告で速報と確報を兼ねることができる。
（注２）確報の報告期限（30日以内又は60日以内）の算定に当たっては、土日・祝日も含める。ただし、30日目又は60日目が土日、祝日又は年末年始閉庁日（12月29日～1月3日）の場合は、その翌日を報告期限とする（行政機関の休日に関する法律（昭和6341年法律第91号）第2条）。
⑽ 委託元への通知による例外
委託先は、個人情報保護委員会への報告義務を負っている委託元に対し、解説⑻①～⑨までに掲げる事項のうち、その時点で把握しているものを通知したときは、報告義務を免除される（第1項ただし書参照）。委託元への通知については、速報としての報告と同様に、保護法報告対象事態を知った後、速やかに行わなければならない。
「速やか」の日数の目安については、個別の事案によるものの、委託先が当該事態の発生を知った
時点から概ね3～5日以内である。
この場合、委託先から通知を受けた委託元が報告をすることになる。委託元は、通常、遅くとも委託先から通知を受けた時点で、保護法報告対象事態を知ったこととなり、速やかに報告を行わなければならない。
なお、通知を行った委託先は、委託元から報告するに当たり、事態の把握を行うとともに、必要に応じて委託元の漏えい等報告に協力することが求められる。
⑾ 貸金業法及び金融分野ガイドラインに基づく報告（第6項及び第7項）
協会員は、その取り扱う個人である顧客等に関する個人データの漏えい等が発生し、又は発生したおそれがある事態を知ったときは、監督当局（財務局長若しくは財務支局
長又は都道府県知事）及び本協会に速やかに報告することその他の適切な措置を講じなければならない（第6項、第11項）。
また、協会員は、第7項各号のいずれかの事態（第1項及び第6項に規定する事態を除く。）を知った場合には、第1項及び第6項の規定に準じて、監督当局及び本協会に報告するものとする（第7項、第11項）。
第6項にいう「速やかに報告することその他の適切な措置」については、以下のとおり考えられる。
①

原則として、「速やかに」（当該事態を知った時点から概ね3～5日以内を目安として）、その時点で把握している当該事態の概要等を監督当局に報告する必要がある。
また、その後、当該事態の概要等が判明した場合には、判明次第、改めて監督当局及び本協会に報告する必要がある。
②

ＦＡＸの誤送信、郵便物等の誤送付、メールの誤送信等については、金融機関が個別の事案ごとに、漏えい等した情報の量、機微（センシティブ）情報の有無及び二次
被害や類似事案の発生の可能性等を検討し、「速やかに」報告を行う必要性が低いと判断したものであれば、業務の手続の簡素化を図る観点から、四半期に一回程度にまとめて監督当局に報告することも差し支えない。
③

郵便局員による誤配等、金融機関の責めに帰さない事案については、報告する必要はないと判断して差し支えない。ただし、「本人の権利利益が侵害されておらず、今42

後も権利利益の侵害の可能性がない又は極めて小さい」とはいえない場合には、（上記①又は②に従って）報告を行う必要がある。
④

他方で、いかなる場合でも、漏えい等事案の事実関係等を公表する場合には、都度「速やかに」監督当局及び本協会に報告する必要がある。
⑿ 本人への通知、通知対象となる事態及び通知義務の主体
協会員は、保護法報告対象事態を知ったときは、本人への通知を行わなければならな
い（第8項）。
通知義務を負う主体は、原則として、漏えい等が発生し、又は発生したおそれがある
個人データを取り扱う協会員である。ただし、第1項第⑶号に定める事態について本人への通知の義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人デー
タ又は個人情報を取り扱い、又は取得しようとしている協会員である（解説⑴参照）。
個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人データ又は個人情報を取り扱い、又は取得しようとしていることになるため、報告対象事態に該当する場合には、原則として委託元と委託先の双方が本人への通知を行う義務を
負う。
委託先が、
報告義務を負っている委託元に解説⑻①～⑨までに掲げる事項のうち、その時点で把握しているものを通知したときは、委託先は報告義務を免除されるとともに、本人への通知義務も免除される。なお、委託元への通知を行った委託先は、必要に応じて委託元による本人への通知に協力することが求められる。また、協会員は、第9項各号のいずれかの事態を知ったときも、
上記に準じて本人への通知等を行う努力義務を負う（第9項）。
金融機関が取り扱う情報の性質等に鑑み、基本的には全ての漏えい等事案について本人への通知等を行うことが望ましいとされる。なお、例えば、漏えい等した個人データについて、高度な暗号化等の秘匿化措置が講じられている場合や、漏えいした個人デー
タを即時に回収した場合等、本人の権利利益が侵害されておらず、今後も権利利益の侵害の可能性がない又は極めて小さい場合等には、本人への通知を要しない。
⒀ 通知の時間的制限
協会員は、保護法報告対象事態を知ったときは、当該事態の状況に応じて速やかに、本人への通知を行わなければならない。
「当該事態の状況に応じて速やかに」とは、速やかに通知を行うことを求めるものであるが、具体的に通知を行う時点は、個別の事案において、その時点で把握している事
態の内容、通知を行うことで本人の権利利益が保護される蓋然性、本人への通知を行う
ことで生じる弊害等を勘案して判断する。
【その時点で通知を行う必要があるとはいえないと考えられる事例】
事例1）インターネット上の掲示板等に漏えいした複数の個人データがアップロード
43

されており、協会員において当該掲示板等の管理者に削除を求める等、必要な初期対応が完了しておらず、本人に通知することで、かえって被害が拡大する
おそれがある場合
事例2）漏えい等のおそれが生じたものの、事案がほとんど判明しておらず、その時点で本人に通知したとしても、本人がその権利利益を保護するための措置を講じられる見込みがなく、かえって混乱が生じるおそれがある場合⒁ 通知の内容
本人へ通知すべき事項については、漏えい等報告における報告事項のうち、「概要」、「漏えい等が発生し、又は発生したおそれがある個人データ（前項第⑶号に定める事態については、同号に規定する個人情報を含む。次号において同じ。）の項目」、「原因」、「二次被害又はそのおそれの有無及びその内容」及び「その他参考となる事項」（解説⑻参照）に限られている。これらの事項が全て判明するまで本人への通知をする必要がないというものではなく、本人への通知は、「当該事態の状況に応じて速やかに」行う必要がある。
本人への通知については、「本人の権利利益を保護するために必要な範囲において」行うものである。
また、当初保護法報告対象事態に該当すると判断したものの、その後実際には保護法
報告対象事態に該当していなかったことが判明した場合には、本人への通知が「本人の権利利益を保護するために必要な範囲において」行うものであることに鑑み、本人への通知は不要である。
（注）第2項第⑼号に定める「その他参考となる事項」については、本人への通知を補完するため、本人にとって参考となる事項をいい、例えば、本人が自らの権利利益を保護するために取り得る措置が考えられる。
【本人の権利利益を保護するために必要な範囲において通知を行う事例】
事例1）不正アクセスにより個人データが漏えいした場合において、その原因を本人に通知するに当たり、個人情報保護委員会に報告した詳細な内容ではなく、必要な内容を選択して本人に通知すること。
事例2）漏えい等が発生した個人データの項目が本人ごとに異なる場合において、当該本人に関係する内容のみを本人に通知すること。
⒂ 通知の方法「本人への通知」とは、本人に直接知らしめることをいい、事業の性質及び個人デー
タの取扱状況に応じ、通知すべき内容が本人に認識される合理的かつ適切な方法によら44なければならない。また、漏えい等報告と異なり、本人への通知については、その様式が法令上定められていないが、本人にとって分かりやすい形で通知を行うことが望ましい。
【本人への通知の方法の事例】
事例1）文書を郵便等で送付することにより知らせること。
事例2）電子メールを送信することにより知らせること。
⒃ 通知の例外
本人への通知を要する場合であっても、本人への通知が困難である場合は、本人の権
利利益を保護するために必要な代替措置を講ずることによる対応が認められる。
（注）
代替措置として事案の公表を行わない場合であっても、当該事態の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、公表を行うことが望ましい。
【本人への通知が困難な場合に該当する事例】
事例1）保有する個人データの中に本人の連絡先が含まれていない場合
事例2）連絡先が古いために通知を行う時点で本人へ連絡できない場合【代替措置に該当する事例】
事例1）事案の公表（注）公表すべき内容は、個別の事案ごとに判断されるが、本人へ通知すべき内容を基本とする。
事例2）問合せ窓口を用意してその連絡先を公表し、本人が自らの個人データが対象となっているか否かを確認できるようにすること（参照条文：保護法26条、施行規則7条から10条、通則ガイドライン3-5、金融分野ガイド
ライン11条）（ 第三者提供の制限 ）第16条 協会員は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ることなく、個人データを第三者（個人データを提供しようとする協会員及び当該個人データに係る本人のいずれにも該当しないものをいい、自然人、法人その他の団体を問わない。以下同じ。）に提供してはならない。同意の取得に当たっては、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示さなければならない。
また、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的
において、その旨を特定しなければならない。
45

⑴ 法令に基づく場合⑵ 人の生命、身体又は財産（法人の財産を含む。）の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき⑶ 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき⑷ 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき⑸ 学術研究機関等が個人データを提供する場合であり、かつ、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ない場合（個人の権利利益を不当に侵害するおそれがある場合を除く。）⑹ 学術研究機関等が個人データを提供する場合であり、かつ、当該学術研究機関等と共同して学術研究を行う第三者（学術研究機関等であるか否かを問わない。）に当該個人データを学術研究目的で提供する必要がある場合（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場
合を除く。）⑺ 学術研究機関等が個人データの第三者提供を受ける場合であり、かつ、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要がある場合（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）
なお、個人データの第三者提供についての本人の同意を得る際には、原則として、書面によることとし、当該書面における記載を通じて、
イ

個人データの提供先の第三者

ロ

提供先の第三者における利用目的

ハ第三者に提供される個人データの項目

を本人に認識させた上で同意を得ることとする。
本人の同意を得ようとする時点において、①に掲げる事項が特定できない場合には、①に掲げる事項に代わる本人に参考となるべき情報を本人に認識させた上で、同意を得ることとする。当該情報としては、「提供先の第三者の範囲や属性に関する情報」が考えられる。
２ 個人信用情報機関に対して個人データが提供される場合には、個人信用情報機関を通じて当該機関の会員企業にも情報が提供されることとなるため、個人信用情報機関に個人データを提供する協会員が本人の同意を得ることとする。
本人から同意を得るに当たっては、本人が、個人データが個人信用情報機関を通じて当該機関の会員企業にも提供されることを明確に認識した上で、同意に関する判断を行うことができるようにすることとする。このため、協会員は、同意を得る書面に、前項に定め46る事項のほか、個人データが当該機関の会員企業にも提供される旨の記載及び当該機関の会員企業として個人データを利用する者の表示を行うこととする。
「当該機関の会員企業として個人データを利用する者」の表示は、「当該機関の会員企業として個人データを利用する者」の外延を本人に客観的かつ明確に示すものであることが必要であり、
会員企業の名称を記載する方法若しくは当該機関の規約等及び会員企業名を常時公表しているインターネットのホームページ（苦情処理の窓口の連絡先等、第 29条の内容を記載したもの）のアドレスを記載する方法等により、本人が同意の可否を判断するに足りる具体性をもって示すことをいう。また、本人に表示する個人信用情報機関の規約等においては、機関の加入資格及び会員企業の外延が明確に示されるとともに、個人
データの適正管理、情報の目的外利用の防止等の観点から、安全管理体制の整備、守秘義
務の遵守及び違反に対する制裁措置等を明確に記載することが適切である。
なお、協会員は、個人信用情報機関から得た資金需要者の返済能力に関する情報については、当該資金需要者の返済能力の調査以外の目的に使用することのないよう、慎重に取り扱うこととする。
３ 協会員は、与信事業に係る個人の返済能力に関する情報を個人信用情報機関へ提供するに当たっては、保護法第27条第2項（オプトアウト）の規定を適用しないこととし、前項に従い本人の同意を得ることとする。
４ 協会員は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているときは、個人情報保護委員会に届け出た上で、第1項にかかわらず、当該個人データを第三者に提供することができる。ただし、第三者に提供される個人データが要配慮個人情報又は第9条第1項の規定に違反して取得されたもの若しくは他の個人情報取扱事業者から
この項本文の規定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む。）である場合は、この限りでない。
⑴ 第三者への提供を行う協会員の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。以下この条において同じ。）の氏名⑵ 第三者への提供を利用目的とすること⑶ 第三者に提供される個人データの項目⑷ 第三者に提供される個人データの取得の方法⑸ 第三者への提供の方法⑹ 本人の求めに応じて第三者への提供を停止すること⑺ 本人の求めを受け付ける方法⑻ 第三者に提供される個人データの更新の方法⑼ 当該届出に係る個人データの第三者への提供を開始する予定日
47

５ 協会員は、
前項第⑴号に掲げる事項に変更があったとき又は同項の規定による個人デー
タの提供をやめたときは遅滞なく、同項第⑶号から第⑸号まで、第⑺号、第⑻号又は第⑼号に掲げる事項を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければな
らないものとする。また、協会員は、保護法第27条第3項に基づき、必要な事項を個人情報保護委員会に届け出たときは、その内容を自らも公表しなければならない。
６ 協会員は、保護法第27条第4項の規定による公表がされた後、速やかに、インターネッ
トの利用その他の適切な方法により、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項を公表しなければならない。
⑴ 第4項の規定による届出を行った場合同項各号に掲げる事項⑵ 前項の規定による変更の届出を行った場合
変更後の第4項各号に掲げる事項⑶ 前項の規定による個人データの提供をやめた旨の届出を行った場合
その旨
７ 次に掲げる場合において、当該個人データの提供を受ける者は、第三者に該当しない。
⑴ 協会員が、利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って、当該個人データが提供される場合⑵ 合併その他の事由による事業の承継に伴って個人データが提供される場合⑶ 特定の者との間で共同して利用される個人データを当該特定の者に提供する場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者（共同して利用する者において、第一次的に苦情を受け付け、その処理を行うとともに、開示、訂正等及び利用停止等の決定を行い、安全管理に責任を有する者をいう。第9項において「管理責任者」という。）の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき
また、既に特定の事業者が取得している個人データを他の事業者と共同して利用する
場合には、当該共同利用は、社会通念上、共同して利用する者の範囲や利用目的等が当該個人データの本人が通常予期し得ると客観的に認められる範囲内である必要がある。
その上で、当該個人データの内容や性質等に応じて共同利用の是非を判断し、既に取得している事業者が保護法第17条第1項の規定により特定した利用目的の範囲で共同して利用しなければならない。
８ 協会員が前項第⑶号の規定により行う通知は、原則として書面によることとする。協会員による「共同して利用する者の範囲」の通知等については、共同利用者を個別列挙する
よう努めなければならない。
48

９ 協会員は、第7項第⑶号に規定する管理責任者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったときは遅滞なく、同号に規定する利用する者の利用目的又は当該責任を有する者を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
（ 解 説 ）
⑴ 個人データを提供する場合の留意事項
協会員が取得した個人データを第三者に提供する場合には、あらかじめ本人の同意を得ることが必要となるが、本人の同意を得ることなく個人データを提供しようとするときは、次のいずれかに該当するかどうかを確認し必要な対応をとる。
① 法令に基づく場合等の適用除外の場合（第1項第⑴号～第⑺号）② オプトアウトによる場合（第4項）③ 委託の場合（第7項第⑴号）④ 合併等の事業承継の場合（第7項第⑵号）⑤ 共同利用の場合（第7項第⑶号）【第三者提供とされる事例】（ただし、保護法第27条第5項各号の場合を除く。）
事例1）親子兄弟会社、グループ会社の間で個人データを交換する場合
事例2）フランチャイズ組織の本部と加盟店の間で個人データを交換する場合
事例3）同業者間で、特定の個人データを交換する場合【第三者提供とされない事例】（ただし、利用目的による制限がある。）
事例）同一事業者内で他部門へ個人データを提供する場合
・ SNS等の取扱い
ブログやその他のSNSに書き込まれた個人データを含む情報については、当該情報を書き込んだ者の明確な意思で不特定多数又は限定された対象に対して公開されている情報であり、その内容を誰が閲覧できるかについて当該情報を書き込んだ者が指定していることから、その公開範囲について、インターネット回線への接続サービスを提供するプロバイダやブログその他のSNSの運営事業者等に裁量の余地はないため、このような場合は、当該事業者が個人データを第三者に提供しているとは解されない。
⑵ 同意を取得する際の留意事項
協会員は、その業務の性質や方法に応じて、次の各号にも留意しつつ、個人である資金需要者等から適切な同意の取得を図る必要がある。
① パソコン・スマートフォン等の非対面による方法で第三者提供の同意を取得する場
合、
同意文言や文字の大きさ、画面仕様その他同意の取得方法を工夫することにより、
49

第三者提供先、
当該提供先に提供される情報の内容及び当該提供先における利用目的について、個人である資金需要者等が明確に認識できるような仕様とすること。
② 過去に個人である資金需要者等から第三者提供の同意を取得している場合であっても、第三者提供先や情報の内容が異なる場合、又はあらかじめ特定された第三者提供先における利用目的の達成に必要な範囲を超えた提供となる場合には、改めて個人である資金需要者等の同意を取得すること。
③ 第三者提供先が複数に及ぶ場合や、第三者提供先により情報の利用目的が異なる場
合、個人である資金需要者等において個人データの提供先が複数に及ぶことや各提供先における利用目的が認識できるよう、同意の対象となる第三者提供先の範囲や同意の取得方法、時機等を適切に検討すること。
④ 第三者提供の同意の取得にあたって、優越的地位の濫用や個人である資金需要者等との利益相反等の弊害が生じるおそれがないよう留意すること。
例えば、個人である資金需要者等が、第三者提供先や第三者提供先における利用目
的、提供される情報の内容について、過剰な範囲の同意を強いられること等がないように留意すること。
⑶ 「法令に基づく場合」の具体例（第1項第⑴号）
例えば、次のようなものが該当する。
① 国税通則法第74条の2他（税務署の所得税等に関する調査に対応する場合）② 国税通則法第131条（質問、検査又は領置等）③ 刑事訴訟法第197条第2項④ 犯罪収益移転防止法第8条第1項（疑わしい取引の届出等）⑤ 民事訴訟法第223条（文書提出命令等）⑥ 刑事訴訟法第218条⑦ 所得税法第225条（支払調書及び支払通知書）⑧

地方税法第72条の63（総務省の職員の個人の事業税に関する調査に係る質問検査権）⑨ 国税徴収法第141条（質問及び検査）⑩ 貸金業法第24条の6の10（報告徴収及び立入検査）⑪ 預金保険法附則第7条（協定銀行に係る業務の特例）⑫ 民事執行法第147条（第三債務者の陳述の催告）⑬ 貸金業法等に基づく自主規制機関に対する情報提供⑭ 協会員が本協会の定款その他の規則の規定に基づく本協会への報告・届出、本協会の監査又は本協会の苦情相談･本協会の自主規制業務遂行のために本協会に個人情報の提供を行う場合⑮ 金融商品取引法第210条、第211条等に基づく証券取引等監視委員会の職員による犯則事件の調査に応じる場合
50

⑯ 弁護士法第23条の2に基づく弁護士会からの照会に対応する場合⑰ 感染症の予防及び感染症の患者に対する医療に関する法律第15条第1項に基づく保健所が行う積極的疫学調査に対応する場合⑱ 電気事業法第34条第1項に基づく災害発生時の停電復旧対応の迅速化等のため、経済産業大臣の求めに応じて、一般送配電事業者が、関係行政機関又は地方公共団体の長に対して必要な情報を提供する場合
なお、当該法令に、第三者が個人情報の提供を求めることができる旨の規定はあるが、正当な事由に基づきそれに応じないことができる場合には、当該法令の趣旨に照らして目的外利用の必要性と合理性が認められる範囲内で対応するよう留意する。
⑷ 「人の生命、身体又は財産（法人の財産を含む。）の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき」の具体例（第1項第⑵号）
例えば、次のようなものが該当する。
① 暴力団等の反社会的勢力情報、振り込め詐欺に利用された口座に関する情報、意図的に業務妨害を行う者の情報について共有する場合② 顧客等の急病に対処するため医療機関へ情報提供する場合③ 強硬に意図的な業務妨害をする者について警察へ情報提供する場合④ 地震、災害等により本人が行方不明である状況が継続している場合における当該本人の家族へ財産開示する場合⑸ 「国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき」の具体例（第1項第⑷号）
例えば、次のようなものが該当する。
① 税務当局の任意調査に応じる場合② 警察の任意調査に応じる場合③ 一般統計調査に回答する場合（注）「協力する必要がある」か否かについては、協会員が個別に判断することとなるが、例えば税務当局から「有価証券取引等の照会書」その他の書面を受け入れ、対象となる個人情報を特定のうえ提供することが望ましい。
また、各当局からの任意による照会等の求めの趣旨に照らして第三者提供の必要性と合理性が認められる範囲内で対応するよう留意する。
⑹ 「通知」の方法（第4項）
原則として、書面による通知とする。
⑺ オプトアウトに関する留意点【オプトアウトによる第三者提供の事例】
事例）住宅地図業者（表札や郵便受けを調べて住宅地図を作成・販売）やデータベース事業者（ダイレクトメール用の名簿等を作成・販売）が、あらかじめ第4項第51

⑴号から第⑼号までに掲げる事項を自社のホームページに常時掲載し、本人からの停止の求めを受け付けられる状態にし、個人情報保護委員会に必要な届出を行った上で、販売等を行う場合
要配慮個人情報をオプトアウトにより第三者に提供することや、オプトアウトにより提供を受けた個人データをオプトアウトにより再提供することはできず、第三者に提供するに当たっては、保護法第27条第1項各号又は同条第5項各号に該当する場合以外は、必ずあらかじめ本人の同意を得る必要があるので、注意を要する。また、不正取得された個人データについても、オプトアウトにより第三者に提供することはできない。オプ
トアウトにより提供を受けた個人データのオプトアウトによる再提供の禁止や、不正取得された個人データのオプトアウトによる提供の禁止については、
当該個人データの全部又は一部を複製・加工したものについても適用があるため、注意を要する。
オプトアウトによる第三者提供を行う際は、必要な事項をあらかじめ、第三者に提供される個人データによって識別される本人が当該提供の停止を求めるのに必要な期間をおかなければならないため、本人に通知し又は本人が容易に知り得る状態に置いた時点
から、極めて短期間の後に、第三者提供を行ったような場合は、「本人が当該提供の停止を求めるのに必要な期間」をおいていないと判断され得る。
具体的な期間については、業種、ビジネスの態様、通知又は容易に知り得る状態の態
様、本人と協会員との近接性、本人から停止の求めを受け付ける体制、提供される個人
データの性質などによっても異なり得るため、個別具体的に判断する必要がある。
また、「本人に通知し、又は本人が容易に知り得る状態に置く」時期と、「個人情報保護委員会に届け出」る時期は、必ずしも同時である必要はないが、本人に通知し、又は本人が容易に知り得る状態に置いた後、速やかに個人情報保護委員会に届け出ることが望ましい。
「保護法第27条第2項に基づき必要な事項を個人情報保護委員会に届け出たときは、その内容を自らもインターネットの利用その他の適切な方法により公表しなければならない」点については、基本的には「インターネットの方法」による「公表」が望ましい
が、協会員の特性、本人との近接性などにより、当該方法以外の適切な方法による公表も可能である。
「本人の求めを受け付ける方法」には、本人が求めを行う連絡先（事業者名、窓口名、郵送先住所又は送信先メールアドレス等。当該個人情報取扱事業者が外国に本拠地を置く場合においては国内代理人の氏名、連絡先等。）が含まれる。
⑻ 「本人が容易に知り得る状態」について（第4項及び第5項）「本人が容易に知り得る状態」とは、本人が知ろうと思えば、時間的にも、その手段においても、簡単に知ることができる状態をいい、事業の性質及び個人情報の取扱状況に応じ、本人が確実に認識できる適切かつ合理的な方法によらなければならない。
52

【本人が容易に知り得る状態に該当する事例】
事例1）本人が閲覧することが合理的に予測される協会員のホームページにおいて、本人が分かりやすい場所（例：ホームページのトップページから1回程度の操作で到達できる場所等）に保護法に定められた事項を分かりやすく継続的に掲載する場合
事例2）本人が来訪することが合理的に予測される事務所の窓口等への掲示、備付け等が継続的に行われている場合
事例3）本人に頒布されている定期刊行物への定期的掲載を行っている場合
事例4）電子商取引において、商品を紹介するホームページにリンク先を継続的に表示する場合① オプトアウト事項の変更
次のような方法であれば、オプトアウト事項を変更する際の「本人が容易に知り得る状態」に関し、適切かつ合理的な方法と解される。
イ

変更する内容を、例えば新旧対照表等により、分かりやすく明示した書面により本人に通知すること。

ロ 本人が閲覧することが合理的に予測される協会員のホームページにおいて、本人が分かりやすい場所に変更する内容を、例えば新旧対照表等により、分かりやすく
明示すること。
⑼ 「第三者への提供を利用目的とすること」について（第4項第⑵号）「等」や「その他」等のあいまいな表現の記入は望ましくなく、利用目的が具体的に分かる内容とする必要がある。
【望ましい記載例】
事例1）住宅地図帳、住宅地図データベース及び住宅地図関連商品（配信サービスを含む）を制作し、販売することで、個人データを第三者に提供すること。
事例2）年齢別、資産家、健康食品購入者、同窓会、弁護士、不動産投資者及びマンションオーナーの名簿を制作し、販売することで、個人データを第三者に提供すること。
⑽ 「第三者に提供される個人データの項目」について（第4項第⑶号）
オプトアウトにより第三者に提供される個人データの項目を網羅的に示す必要があり、提示されていない個人データの項目を、オプトアウトにより第三者に提供することはできないことに、注意を要する。
⑾ 「第三者に提供される個人データの取得の方法」について（第4項第⑷号）
オプトアウトにより第三者に提供される個人データについて、取得元（取得源）と取得の方法を示す必要がある。
事例1）新聞・雑誌・書籍・ウェブサイトの閲覧による取得
53事例2）官公庁による公開情報からの取得⑿ 「第三者への提供の方法」の具体例（第4項第⑸号）
例えば、次のようなものが該当する。
事例1）書籍（電子書籍を含む。）として出版
事例2）インターネットに掲載
事例3）プリントアウトして交付
事例4）各種通信手段による配信
事例5）その他外部記録媒体の形式での交付⒀ 「当該届出に係る個人データの第三者への提供を開始する予定日」について（第4項第⑼号）
新規の届出の場合には、オプトアウトによる第三者提供を開始する予定日を記入する。
変更届の場合には、変更届に基づいて第三者提供を開始する予定日を記入する。
⒁ オプトアウトに関する事項の変更及び個人データの提供をやめた場合（第5項）① 届出事項（第三者に提供される個人データの項目等）の変更があった場合第三者に提供される個人データの項目、第三者に提供される個人データの取得の方
法、第三者への提供の方法、第三者への提供を停止すべきとの本人の求めを受け付け
る方法、
個人データの更新の方法又は第三者への提供を開始する予定日を変更する場
合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
② 届出事項（氏名又は名称、住所、法人等の代表者の氏名）の変更があった場合
第三者への提供を行う協会員の氏名又は名称、住所、法人等の代表者の氏名に変更があったときは、遅滞なく、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
③ 個人データの提供をやめた場合
第16条第4項に基づく個人データの第三者提供をやめたときは、遅滞なく、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
⒂ 「利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って、当該個人データが提供される場合」について（第7項第⑴号）
利用目的の達成に必要な範囲内において、個人データの取扱いに関する業務の全部又は一部を委託することに伴い、当該個人データが提供される場合は、当該提供先は第三者に該当しない。この場合、当該提供先は、委託された業務の範囲内でのみ、本人との関係において提供主体である協会員と一体のものとして取り扱われることに合理性があるため、委託された業務以外に当該個人データを取り扱うことはできない。
なお、協会員には、保護法第25条により、委託先に対する監督責任が課される。
例えば、次のような場合が該当する。
54

事例1）データの打ち込み等、情報処理を委託するために個人データを提供する場合
事例2）百貨店が注文を受けた商品の配送のために、宅配業者に個人データを提供する場合⒃ 協会員が個人データの取扱いの全部又は一部の委託を受ける場合の具体例
例えば、次のような場合が該当する。
協会員が、M&AやTOBに関与する場合において、売り手側企業から、協会員との間の業務委託契約に基づき当該売り手側企業の従業員・株主に係る個人データの提供を受ける
場合⒄ 「合併その他の事由による事業の承継に伴って個人データが提供される場合」について（第7項第⑵号）
合併、分社化、事業譲渡等により事業が承継されることに伴い、当該事業に係る個人データが提供される場合は、当該提供先は第三者に該当しない。なお、事業の承継後も、個人データが当該事業の承継により提供される前の利用目的の範囲内で利用しなければならない。
また、事業の承継のための契約を締結するより前の交渉段階で、相手会社から自社の調査を受け、自社の個人データを相手会社へ提供する場合も、本号に該当し、あらかじめ本人の同意を得ることなく又は第三者提供におけるオプトアウト手続を行うことなく、
個人データを提供することができるが、当該データの利用目的及び取扱方法、漏えい等が発生した場合の措置、事業承継の交渉が不調となった場合の措置等、相手会社に安全管理措置を遵守させるために必要な契約を締結しなければならない。
例えば、次のような場合が該当する。
事例1）合併、分社化により、新会社に個人データを提供する場合
事例2）事業譲渡により、譲渡先企業に個人データを提供する場合⒅ 「共同利用」の留意点（第7項第⑶号）① 利用する者の利用目的
共同して利用する個人データについて、その利用目的を全て、本人に通知し、又は本人が容易に知り得る状態に置いていなければならない。なお、利用目的が個人デー
タの項目によって異なる場合には、当該個人データの項目ごとに利用目的を区別して記載することが望ましい。
② 管理責任者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
管理責任者とは、
開示等の請求及び苦情を受け付け、その処理に尽力するとともに、
個人データの内容等について、開示、訂正、利用停止等の権限を有し、安全管理等個
人データの管理について責任を有する者をいう。なお、ここでいう管理責任者とは、共同して利用する全ての事業者の中で、第一次的に苦情の受付・処理、開示・訂正等を行う権限を有する者をいい、共同利用者のうち一事業者の内部の担当責任者をいう
55

ものではない。また、管理責任者は、利用目的の達成に必要な範囲内において、共同利用者間で利用している個人データを正確かつ最新の内容に保つよう努めなければならない。
【共同利用に該当する事例】
事例1）グループ企業で総合的なサービスを提供するために取得時の利用目的（保護法第17条第2項の規定に従い変更された利用目的を含む。以下同じ。）の範囲内で情報を共同利用する場合
事例2）親子兄弟会社の間で取得時の利用目的の範囲内で個人データを共同利用する場合
事例3）使用者と労働組合又は労働者の過半数を代表する者との間で取得時の利用目的の範囲内で従業者の個人データを共同利用する場合③ 共同利用の対象となる個人データの提供については、必ずしも全ての共同利用者が双方向で行う必要はなく、一部の共同利用者に対し、一方向で行うこともできる。
④ 協会員が共同利用を実施する場合には、共同利用者における責任等を明確にし円滑に実施する観点から、例えば、次のイからヘまでの事項についても、あらかじめ取り
決めておくことが望ましい。
イ

共同利用者の要件（グループ会社であること、特定のキャンペーン事業の一員であること等、共同利用による事業遂行上の一定の枠組み）

ロ

各共同利用者の個人情報取扱責任者、問合せ担当者及び連絡先

ハ共同利用する個人データの取扱いに関する事項
・

個人データの漏えい等防止に関する事項

・

目的外の加工、利用、複写、複製等の禁止

・

共同利用終了後のデータの返還、消去、廃棄に関する事項

ニ 共同利用する個人データの取扱いに関する取決めが遵守されなかった場合の措置
ホ

共同利用する個人データに関する事件・事故が発生した場合の報告・連絡に関する事項

ヘ

共同利用を終了する際の手続⑤ 共同利用か委託かは、
個人データの取扱いの形態によって判断されるものであって、共同利用者の範囲に委託先事業者が含まれる場合であっても、委託先との関係は、共同利用となるわけではなく、委託元は委託先の監督義務を免れるわけではない。
⑥

協会員は、個人データを共同利用する場合において、「管理責任者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名」に変更があったときは遅滞なく、
56

当該変更後の内容について、「共同利用する者の利用目的」又は「当該責任を有する者」を変更しようとするときは変更する前に、変更しようとする内容について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
なお、「共同利用する者の利用目的」については、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内で変更することができる。
「共同して利用される個人データの項目」及び「共同して利用する者の範囲」について変更することは、原則として認められないが、例えば次のような場合は、引き続
き共同利用を行うことができる。
事例1）
共同利用を行う個人データの項目や共同して利用する者の範囲の変更につき、あらかじめ本人の同意を得た場合
事例2）共同利用を行う事業者の名称に変更があるが、共同して利用される個人デー
タの項目には変更がない場合
事例3）共同利用を行う事業者について事業の承継が行われた場合（共同利用する個
人データの項目等の変更がないことが前提）⒆ 「通知」及び「本人が容易に知り得る状態」の方法の具体例（第7項第⑶号）
上記⑹及び⑻と同様の方法⒇ 共同利用者の範囲について（第8項）① 本人から見て、当該個人データを提供する協会員と一体のものとして取り扱われることに合理性がある範囲で、当該個人データを共同して利用することが求められる。
したがって、共同利用者の範囲については、本人がどの事業者まで将来利用されるか判断できる程度に明確にする必要がある。
② 共同利用者を個別列挙することが望ましいが、個別に列挙しない場合は、本人から見て、共同して利用する者の範囲の外延を明確にするため、例えば、「当社及び有価証券報告書等に記載されている連結対象会社及び持分法適用会社」というように記載する。
③ 上記②の場合においては、ホームページに共同利用者名を記載する等により、共同利用者の範囲を分かりやすく示すことが考えられる。
(21) 「通知」及び「本人が容易に知り得る状態」の方法の具体例（第9項）
上記⑹及び⑻と同様の方法（参照条文：保護法27条、通則ガイドライン3-1-5、3-6-1、3-6-2-1、3-6-3、金融分野ガイドライン4条、12条、貸金業者向けの総合的な監督指針Ⅱ-2-2）（ 外国にある第三者への提供の制限 ）第17条 協会員は、個人データを外国にある第三者に提供するに当たっては、次の各号のいずれかに該当する場合を除き、あらかじめ「外国にある第三者への個人データの提供
57

を認める旨の本人の同意」を得なければならない。
⑴ 当該第三者が、我が国と同等の水準にあると認められる個人情報保護制度を有している国として施行規則で定める国にある場合⑵ 当該第三者が、次のいずれかの基準に適合する体制を整備している場合
イ

協会員と当該第三者との間で、当該第三者における当該個人データの取扱いについて、適切かつ合理的な方法により、保護法第4章第2節の規定の趣旨に沿った措置の実施が確保されていること

ロ 当該第三者が個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること⑶ 保護法第27条第1項各号に該当する場合
２ 協会員は、前項の規定により本人の同意を得ようとする場合には、あらかじめ、次に掲げる事項を当該本人に提供しなければならない。なお、情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。
⑴ 当該外国の名称⑵ 適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報⑶ 当該第三者が講ずる個人情報の保護のための措置に関する情報
３ 前項の規定にかかわらず、
第1項の規定により本人の同意を得ようとする時点において、前項第⑴号に定める事項が特定できない場合には、同号及び同項第⑵号に定める事項に代えて、次に掲げる事項について情報提供しなければならない。
⑴ 前項第⑴号に定める事項が特定できない旨及びその具体的な理由（提供先が定まる前に本人同意を得る必要性を含む。）⑵ 前項第⑴号に定める事項に代わる本人に参考となるべき情報がある場合には、当該情報４ 第2項の規定にかかわらず、
第1項の規定により本人の同意を得ようとする時点において、第2項第⑶号に定める事項について情報提供できない場合には、同号に定める事項に代えて、その旨及びその理由について情報提供しなければならない。
５ 協会員は、個人データを外国にある第三者（第1項第⑵号に規定する体制を整備している者に限る。）に提供した場合には、当該第三者による相当措置の継続的な実施を確保するために次に掲げる必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。なお、情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。
⑴ 当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること。
⑵ 当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ず
58

るとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データの当該第三者への提供を停止すること。
６ 協会員は、前項の規定による求めを受けたときは、本人に対し、遅滞なく、次に掲げる事項について情報提供しなければならない。ただし、情報提供することにより当該協会員の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、その全部又は一部を提供しないことができる。
⑴ 当該第三者による第1項第⑵号に規定する体制の整備の方法⑵ 当該第三者が実施する相当措置の概要⑶ 前項第⑴号の規定による確認の頻度及び方法⑷ 当該外国の名称⑸ 当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無
及びその概要⑹ 当該第三者による相当措置の実施に関する支障の有無及びその概要⑺ 前号の支障に関して前項第⑵号の規定により当該協会員が講ずる措置の概要
７ 協会員は、第5項の規定による求めに係る情報の全部又は一部について提供しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
８ 協会員は、前項の規定により、本人から求められた情報の全部又は一部について提供しない旨を通知する場合には、本人に対し、その理由を説明するよう努めなければならない。
（特則-第17条関係）
外国にある第三者提供の制限についての特則ＥＵ又は英国域内から十分性認定に基づき提供を受けた個人データを外国にある第三者へ提供するに当たっては、保護法第28条に従い、次の①から③のいずれかに該当する場合を除き、あらかじめ外国にある第三者への個人データの提供を認める旨の本人の同意を得ることとする。
① 当該第三者が、個人の権利利益の保護に関して、我が国と同等の水準にあると認められる個人情報保護制度を有している国として施行規則で定める国にある場合② 協会員と個人データの提供を受ける第三者との間で、当該第三者による個人データの取扱いについて、適切かつ合理的な方法（契約、その他の形式の拘束力のある取決
め又は企業グループにおける拘束力のある取扱い）により、ＥＵ等補完的ルールを含め保護法と同等水準の個人情報の保護に関する措置を連携して実施している場合③ 保護法第27条第1項各号に該当する場合（ 解 説 ）
⑴ 本人の同意について「本人の同意」とは、本人の個人データが、協会員によって外国にある第三者に提供
59

されることを承諾する旨の当該本人の意思表示をいう。
外国にある第三者への提供を認める旨の本人の同意を取得する際には、事業の性質及び個人情報の取扱状況に応じ、当該本人が当該同意に係る判断を行うために必要と考えられる適切かつ合理的な方法によらなければならない。
なお、個人データの第三者提供についての本人の同意を得る際には、原則として、書面によることとし、当該書面における記載を通じて、第2項から第4項までの規定により情報提供が求められる事項に加えて、① 個人データの提供先の第三者② 提供先の第三者における利用目的③ 第三者に提供される個人データの項目
を本人に認識させた上で同意を得ることとする。
本人の同意を得ようとする時点において、①に掲げる事項が特定できない場合には、①に掲げる事項に代わる本人に参考となるべき情報を本人に認識させた上で、同意を得ることとする。当該情報の例としては、「提供先の第三者の範囲や属性に関する情報」
が考えられる。
また、協会員があらかじめ作成された同意書面を用いる場合には、文字の大きさ及び文章の表現を変えること等により、外国にある第三者への提供に関する条項が他の個人情報の取扱いに関する条項等と明確に区別され、本人に理解されることが望ましい。
⑵ クラウドサービス等の取扱い
クラウドサービスの内容は契約により異なり得るため、一律に規定することはできないものと考えられるところ、一般論として、契約条項により「外国にある第三者」が個
人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等
においては、当該「外国にある第三者」は当該個人データの提供を受けて取り扱っているとはいえない場合も想定される。
⑶ 「我が国と同等の水準にあると認められる個人情報保護制度を有している国として施行規則で定める国」について（第1項第⑴号）
以下のいずれにも該当する国として個人情報保護委員会が定めた国がこれに該当する。
① 保護法における個人情報取扱事業者に関する規定に相当する法令その他の定めがあり、その履行が当該外国内において確保されていると認めるに足りる状況にあること② 個人情報保護委員会に相当する独立した外国執行当局が存在しており、かつ、当該外国執行当局において必要かつ適切な監督を行うための体制が確保されていること③ 我が国との間において、個人情報の適正かつ効果的な活用と個人の権利利益の保護に関する相互理解に基づく連携及び協力が可能であると認められるものであること④ 個人情報の保護のために必要な範囲を超えて国際的な個人データの移転を制限する
60

ことなく、かつ、我が国との間において、個人情報の保護を図りつつ、相互に円滑な
個人データの移転を図ることが可能であると認められるものであること⑤ ①から④までに定めるもののほか、当該外国を本条の規定による外国として定めることが、我が国における新たな産業の創出並びに活力ある経済社会及び豊かな国民生
活の実現に資すると認められるものであること（注）「我が国と同等の水準にあると認められる個人情報保護制度を有している国として施行規則で定める国」は、ＥＵ及び英国が該当する（ここでいうＥＵとは、「個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国等」（平成31年個人情報保護委員会告示第1号）に定める国を指す（ただし、英国は含まない。）。）。
⑷ 「適切かつ合理的な方法」について（第1項第⑵号）
個々の事例ごとに判断されるべきであるが、個人データの提供先である外国にある第三者が、我が国の個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずることを担保することができる方法である必要がある。例えば、次の事
例が該当する。
事例1）外国にある事業者に個人データの取扱いを委託する場合
提供元及び提供先間の契約、確認書、覚書等
事例2）同一の企業グループ内で個人データを移転する場合
提供元及び提供先に共通して適用される内規、プライバシーポリシー等
上記の方法を採用する場合、「保護法第4章第2節の規定の趣旨に沿った措置」として外国提供ガイドライン等に記述する事項について、
適切かつ合理的な方法に記述する方法によって担保されていなければならない。なお、協会員は、契約等に外国提供ガイド
ライン等に記述する全ての事項を規定しなければならないものではなく、「保護法第4章第2節の規定の趣旨」に鑑みて、実質的に適切かつ合理的な方法により、措置の実施が確保されていれば足りる。
提供元の協会員が越境プライバシールール（以下「CBPR」という。）の認証を取得しており、提供先の「外国にある第三者」が当該協会員に代わって個人情報を取り扱う者である場合には、当該協会員がCBPRの認証の取得要件を充たすことも、「適切かつ合理的な方法」の一つであると解される。
（参照条文：保護法28条、施行規則15条から18条、通則ガイドライン1-1、3-6-4、外国提供ガイドライン2-1、3、4-1、4-2、ＥＵ等補完的ルール⑷）（ 第三者提供に係る記録の作成等 ）第18条 協会員は、個人データを第三者（国の機関、地方公共団体、独立行政法人等及び地方独立行政法人を除く。以下この条及び次条において同じ。）に提供したときは、以下に61

定める事項に関する記録を都度、速やかに作成しなければならない。ただし、当該個人データの提供が第16条第1項各号又は同条第7項各号のいずれか（前条の規定による個人デー
タの提供にあっては、第16条第1項各号のいずれか）に該当する場合は、この限りでない。
⑴ 本人の同意に基づく個人データの第三者提供の場合
イ

保護法第27条第1項又は保護法第28条の本人の同意を得ている旨

ロ

当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名（不特定かつ多数の者に対して提供したときは、その旨）

ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
ニ

当該個人データの項目⑵ オプトアウトによる個人データの第三者提供の場合
イ

当該個人データを提供した年月日

ロ

当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名（不特定かつ多数の者に対して提供したときは、その旨）

ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
ニ

当該個人データの項目

２ 前項にかかわらず、協会員が一定の期間内に特定の事業者との間で継続的に又は反復して個人データを授受する場合は、個々の授受に係る記録を作成する代わりに、一括して記録を作成することができる。
３ 第1項にかかわらず、協会員が、本人に対する物品又は役務の提供に係る契約を締結し、かかる契約の履行に伴って、契約の締結の相手方を本人とする個人データを当該協会員から第三者に提供する場合は、当該提供の際に作成した契約書その他の書面をもって個人データの流通を追跡することが可能であることから、
当該契約書その他の書面をもって記録とすることができる。
４ 協会員は、第1項各号に定める事項のうち、既に前各項に規定する方法により作成した記録（当該記録を保存している場合におけるものに限る。）に記録されている事項と内容が同一であるものについては、第1項の当該事項の記録を省略することができる。
５ 協会員は、前四項に基づき作成した記録を、以下の各号の規定に基づく期間、保存しなければならない。
⑴ 第3項に規定する方法により記録を作成した場合
最後に当該記録に係る個人データの提供を行った日から起算して1年を経過する日までの間⑵ 第2項に規定する方法により記録を作成した場合
62

最後に当該記録に係る個人データの提供を行った日から起算して3年を経過する日までの間⑶ 前二号以外の場合
3年（ 解 説 ）
⑴ 本人による提供
事業者が運営するSNS等に本人が入力した内容が、自動的に個人データとして不特定多数の第三者が取得できる状態に置かれている場合は、実質的に「本人による提供」をしているものである。
したがって、協会員がSNS等を通じて本人に係る個人データを取得したときでも、SNS等の運営事業者及び取得した協会員の双方において、確認・記録義務は適用されない。
⑵ 本人に代わって提供
協会員が本人からの委託等に基づき当該本人の個人データを第三者提供する場合は、当該協会員は「本人に代わって」個人データの提供をしているものである。したがって、
この場合の第三者提供については、提供者・受領者のいずれに対しても確認・記録義務は適用されない。
協会員が本人からの委託等に基づいて個人データを提供しているものと評価し得るか否かは、主に、委託等の内容、提供の客体である個人データの内容、提供するとき及び提供先の協会員その他の個人情報取扱事業者等の要素を総合的に考慮して、本人が当該提供を具体的に特定できているか否かの観点から判断することになる。
【本人に代わって個人データを提供している事例】
事例1）本人から、別の者の口座への振込依頼を受けた仕向銀行が、振込先の口座を有する被仕向銀行に対して、当該振込依頼に係る情報を提供する場合
事例2）事業者のオペレーターが、顧客から販売商品の修理依頼の連絡を受けたため、提携先の修理業者につなぐこととなり、当該顧客の同意を得た上で当該顧客に代わって、当該顧客の氏名、連絡先等を当該修理業者に伝える場合
事例3）事業者が、取引先から、製品サービス購入希望者の紹介を求められたため、顧客の中から希望者を募り、購入希望者リストを事業者に提供する場合
事例4）本人がアクセスするサイトの運営業者が、本人認証の目的で、既に当該本人を認証している他のサイトの運営業者のうち当該本人が選択した者との間で、インターネットを経由して、当該本人に係る情報を授受する場合
事例5）保険会社が事故車の修理手配をする際に、本人が選択した提携修理工場に当該本人に係る情報を提供する場合
事例6）取引先・契約者から、専門業者・弁護士等の紹介を求められ、専門業者・弁護士等のリストから紹介を行う場合
63

事例7）事業者が、顧客から電話で契約内容の照会を受けたため、社内の担当者の氏名、連絡先等を当該顧客に案内する場合
事例8）本人から、取引の媒介を委託された事業者が、相手先の候補となる他の事業者に、価格の妥当性等の検討に必要な範囲の情報を提供する場合⑶ 「受領者」の考え方
本人の代理人又は家族等、本人と一体と評価できる関係にある者に提供する場合、本人側に対する提供とみなし、受領者に対する提供には該当せず、確認・記録義務は適用されない。なお、常に家族であることをもって本人側と評価されるものではな
く、個人データの性質、両者の関係等に鑑みて実質的に判断する必要がある。
また、提供者が、最終的に本人に提供することを意図した上で、受領者を介在して第三者提供を行い、本人がそれを明確に認識できる場合は、同じく、本人側に対する提供とみなし、確認・記録義務は適用されない。
【本人と一体と評価できる関係にある者に提供する事例】
事例）金融機関の営業員が、家族と共に来店した顧客に対して、保有金融商品の損益状況等を説明する場合【提供者が、最終的に本人に提供することを意図した上で、受領者を介在して提供を行う事例】
事例）振込依頼人の法人が、受取人の口座に振り込むため、個人の氏名、口座番号な
どの個人データを仕向銀行を通じて被仕向銀行に提供する場合⑷ 「提供」行為の考え方
不特定多数の者が取得できる公開情報は、本来であれば受領者も自ら取得できる情報であり、それをあえて提供者から受領者に提供する行為は、受領者による取得行為を提供者が代行しているものであることから、実質的に確認・記録義務を課すべき第三者提供には該当せず、同義務は適用されない。
例えば、ホームページ等で公表されている情報、報道機関により報道されている情報などが該当する。他方、特定の者のみアクセスできる情報、提供者の業務上取得し得た非公開の情報などについては、ここでの整理は当てはまらない。
なお、当初に、個人データを公開に供する行為については、提供者として記録を作成しなければならない（施行規則第20条第1項第1号ロ括弧書。）。
また、いわゆる公開情報であっても、「個人情報」に該当するため、保護法第4章第2節のうち、確認・記録義務以外の規定は適用されることには留意する必要がある。
⑸ 代行により記録を作成する方法
提供者・受領者のいずれも記録の作成方法・保存期間は同一であることに鑑みて、提64

供者（又は受領者）は受領者（又は提供者）の記録義務の全部又は一部を代替して行うことができる（提供者と受領者の記録事項の相違については留意する必要がある。）。
なお、この場合であっても、提供者及び受領者は自己の義務が免責されるわけではない
ことから、実質的に自らが記録作成義務を果たしているものと同等の体制を構築しなけ
ればならない。
（参照条文：保護法29条、施行規則19条から21条まで、通則ガイドライン3-6-5、第三者提供ガイドライン2-2-1-1、2-2-1-2、2-2-1-3、4-1-2-2、4-1-3、4-2-1-1、4-2-1-2）（ 第三者提供を受ける際の確認及び記録の作成等 ）第19条 協会員は、第三者から個人データの提供を受けるに際しては、以下の各号に定める方法により、次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供が第16条第1項各号又は同条第7項各号のいずれかに該当する場合は、この限りでない。
また、個人関連情報取扱事業者から個人関連情報の提供を受けて個人データとして取得する場合は、提供元の個人関連情報取扱事業者において、提供する個人関連情報を個人デー
タとして取得していないことから、第⑵号の確認は不要である。
⑴ 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名
個人データを提供する第三者から申告を受ける方法その他の適切な方法⑵ 当該第三者による当該個人データの取得の経緯
個人データを提供する第三者から当該第三者による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法
２ 協会員は、前項の規定による確認を行ったときは、以下に定める事項に関する記録を都度、速やかに文書、電磁的記録又はマイクロフィルムを用いて作成しなければならない。
⑴ 本人の同意に基づく個人データの第三者提供を受ける場合
イ

保護法第27条第1項又は保護法第28条第1項の本人の同意を得ている旨

ロ

当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名

ハ

当該第三者による当該個人データの取得の経緯

ニ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
ホ

当該個人データの項目⑵ オプトアウトによる個人データの第三者提供を受ける場合
イ

当該個人データを受けた年月日

ロ

当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でな65

い団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名
ハ

当該第三者による当該個人データの取得の経緯

ニ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
ホ

当該個人データの項目

ヘ

個人情報保護委員会により公表されている旨⑶ 個人関連情報取扱事業者から保護法第31条第1項の規定による個人関連情報の提供を受けて個人データとして取得した場合
イ 保護法第31条第1項第1号の本人の同意が得られている旨及び外国にある協会員にあっては、同項第2号の規定による情報の提供が行われている旨
ロ

当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名

ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
ニ当該個人関連情報の項目

３ 前項にかかわらず、協会員が一定の期間内に特定の事業者との間で継続的に又は反復して個人データを授受する場合は、個々の授受に係る記録を作成する代わりに、一括して記録を作成することができる。
４ 第2項にかかわらず、協会員が、本人に対する物品又は役務の提供に係る契約を締結し、かかる契約の履行に伴って、契約の締結の相手方を本人とする個人データについて他の事業者から提供を受ける場合は、当該提供の際に作成した契約書その他の書面をもって個人
データの流通を追跡することが可能であることから、当該契約書その他の書面をもって記録とすることができる。
５ 協会員は、第2項各号に定める事項のうち、既に前三項に規定する方法により作成した記録（当該記録を保存している場合におけるものに限る。）に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。
６ 協会員は、前四項に基づき作成した記録を、以下の各号の規定に基づく期間、保存しなければならない。
⑴ 第4項に規定する方法により記録を作成した場合
最後に当該記録に係る個人データの提供を受けた日から起算して1年を経過する日までの間⑵ 第3項に規定する方法により記録を作成した場合
最後に当該記録に係る個人データの提供を受けた日から起算して3年を経過する日までの間66

⑶ 前二号以外の場合
3年（特則-第19条関係）
１．個人データの提供を受けた場合の確認・記録義務⑴ ＥＵ又は英国域内から十分性認定に基づき個人データの提供を受ける場合、保護法
第30条第1項及び第3項の規定に基づき、ＥＵ又は英国域内から当該個人データの提供を受ける際に特定された利用目的を含め、その取得の経緯を確認し、記録することとする。
⑵ ＥＵ又は英国域内から十分性認定に基づき移転された個人データの提供を受けた他の個人情報取扱事業者から、当該個人データの提供を受ける場合、保護法第30条第1項及び第3項に基づき、当該個人データの提供を受ける際に特定された利用目的を含め、その取得の経緯を確認し、記録することとする。
２．利用目的の特定、利用目的による制限
第1項各号のいずれの場合においても、協会員は保護法第30条第1項及び第3項の規定に基づき確認し、記録した当該個人データを当初又はその後提供を受ける際に特定された利用目的の範囲内で利用目的を特定し、その範囲内で当該個人データを利用することとする。

（ 解 説 ）
⑴ 第三者の氏名等の確認方法の事例【第三者から申告を受ける方法に該当する事例】
事例1）口頭で申告を受ける方法
事例2）所定の申込書等に記載をさせた上で、当該申込書等の提出を受け入れる方法
事例3）本人確認書類の写しの送付を受け入れる方法【その他の適切な方法に該当する事例】
事例1）登記されている事項を確認する方法（受領者が自ら登記事項証明書・登記情報提供サービスで当該第三者の名称・住所・代表者の氏名を確認する方法）
事例2）法人番号（行政手続における特定の個人を識別するための番号の利用等に関する法律（平成25年法律第27号）第2条第15項に規定する法人番号をいう。）の提示を受けて、当該法人の名称、住所を確認する方法
事例3）当該第三者が自社のホームページなどで名称、住所、代表者の氏名を公開している場合において、その内容を確認する方法
事例4）信頼性のおける民間のデータ業者のデータベースを確認する方法
事例5）上場会社等の有価証券報告書等を確認する方法
67

⑵ 取得経緯の確認方法の事例【適切な方法に該当する事例】
事例1）提供者が別の者から個人データを買い取っている場合には売買契約書などを確認する方法事例2）提供者が本人から書面等で当該個人データを直接取得している場合に当該書面等を確認する方法
事例3）提供者による取得の経緯が明示的又は黙示的に示されている、提供者と受領者間の契約書面を確認する方法
事例4）提供者が本人の同意を得ていることを誓約する書面を受け入れる方法
事例5）提供者のホームページで公表されている利用目的、規約等の中に、取得の経緯が記載されている場合において、その記載内容を確認する方法
事例6）本人による同意書面を確認する方法⑶ 受領者となる協会員は、個人情報取扱事業者から個人データの提供を受ける際には、当該個人情報取扱事業者の保護法の遵守状況（例えば、利用目的、開示手続、問合せ・苦情の受付窓口の公表など）についても確認することが望ましい。
⑷ 保護法第30条の要件の該当性は、同条の名宛人である受領者を基準に判断する必要があるため、提供者にとって個人データに該当するが受領者にとって個人データに該当しない情報を受領した場合は、同条の確認・記録義務は適用されない。
したがって、例えば、協会員の営業担当者が、取引先を紹介する目的で、データベー
スとして管理しているファイルから名刺1枚を取り出してそのコピーを他の協会員の営業担当者に渡す場合、受領した側の協会員は確認・記録義務を負わない。
（参照条文：保護法30条、施行規則22条から25条まで、通則ガイドライン3-6-6、第三者提供ガイドライン3-1-1、3-1-2、ＥＵ等補完的ルール⑶）（個人関連情報の第三者提供の制限等）
第20条 個人関連情報取扱事業者は、第三者が個人関連情報（個人関連情報データベース等を構成するものに限る。以下同じ。）を個人データとして取得することが想定されるときは、第16条第1項各号に掲げる場合を除くほか、次に掲げる事項について、同各号に定める方法により確認することをしないで、当該個人関連情報を当該第三者に提供してはならない。
⑴

当該第三者が個人関連情報取扱事業者から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていること。
当該第三者から申告を受ける方法その他の適切な方法
68

⑵ 外国にある第三者への提供にあっては、前号の本人の同意を得ようとする場合において、あらかじめ、イからハに掲げる事項が当該本人に提供されていること。
イ

当該外国の名称

ロ 適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報
ハ

当該第三者が講ずる個人情報の保護のための措置に関する情報本号の規定による情報の提供が行われていることを示す書面の提示を受ける方法その他の適切な方法⑶ 前二号に定める方法にかかわらず、第三者に個人関連情報の提供を行うに際して既に前二号に定める方法による確認（当該確認について第5項に規定する方法による記録の作成及び保存をしている場合におけるものに限る。）を行っている事項の確認を行う方法は、当該事項の内容と当該提供に係る前二号に掲げる事項の内容が同一であることの確認を行う方法とする。
２ 前項第⑵号の規定により情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。
３ 第1項第⑵号の規定は、次の各号のいずれかの場合には適用されない。
⑴ 当該第三者が、我が国と同等の水準にあると認められる個人情報保護制度を有している国として施行規則で定める国にある場合⑵ 当該第三者が、次のいずれかの基準に適合する体制を整備している場合
イ

協会員との間で、当該第三者における当該個人データの取扱いについて、適切かつ合理的な方法により、保護法第4章第2節の規定の趣旨に沿った措置の実施が確保され
ていること

ロ

個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。

４ 個人関連情報取扱事業者は、個人関連情報を外国にある第三者（第3項第⑵号に規定する体制を整備している者に限る。）に提供した場合には、当該第三者による相当措置の継続的な実施を確保するために次に掲げる必要な措置を講じなければならない。
⑴ 当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること。
⑵ 当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人関連情報の当該第三者への提供を停止すること。
５ 個人関連情報取扱事業者は、第1項の規定による確認を行ったときは、次の各号に定めるところにより、次項で定める事項に関する記録を作成しなければならない。なお、「第三者」のうち、国の機関、地方公共団体、独立行政法人等、又は地方独立行政法人に個人
関連情報の提供を行う場合は、記録義務は適用されない。
69

⑴ 記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。
⑵ 記録は、個人関連情報を第三者に提供した都度、速やかに作成しなければならない。
ただし、当該第三者に対し個人関連情報を継続的に若しくは反復して提供したとき、又は当該第三者に対し個人関連情報を継続的に若しくは反復して提供することが確実であると見込まれるときの記録は、一括して作成することができる。
⑶ 前号の規定にかかわらず、第1項の規定により、本人に対する物品又は役務の提供に関連して当該本人に係る個人関連情報を第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に次項で定める事項が記載されているときは、当該書面をもってこの項の当該事項に関する記録に代えることができる。
６ 前項の「次項で定める事項」は、次に掲げる事項とする。
⑴ 第1項第⑴号の本人の同意が得られていることを確認した旨及び外国にある第三者への提供にあっては、同項第⑵号の規定による情報の提供が行われていることを確認した
旨⑵ 個人関連情報を提供した年月日（前項第⑵号ただし書の規定により、前項の記録を一括して作成する場合にあっては、当該提供の期間の初日及び末日）⑶ 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名⑷ 当該個人関連情報の項目
７ 前項各号に定める事項のうち、既に第5項各号に規定する方法により作成した第5項の記
録（当該記録を保存している場合におけるものに限る。）に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。
８ 個人関連情報取扱事業者は、第5項の記録を、当該記録を作成した日から、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める期間、保存しなければならない。
⑴ 第5項第⑶号に規定する方法により記録を作成した場合
最後に当該記録に係る個人関連情報の提供を行った日から起算して1年を経過する日までの間⑵ 第5項第⑵号ただし書に規定する方法により記録を作成した場合
最後に当該記録に係る個人関連情報の提供を行った日から起算して3年を経過する日までの間⑶ 前二号以外の場合
3年
９ 協会員は、第1項の規定による個人関連情報の提供を受けて個人データとして取得する場合（保護法第27条第1項各号に掲げる場合を除く。）は、第19条第1項及び第2項の確認・記録義務の適用を受ける。

70

（解 説）⑴ 提供先の第三者による同意の取得について
協会員は、第1項の規定による個人関連情報の提供を受けて個人データとして取得するに当たり、同項第⑴号の本人の同意を得る（提供元の個人関連情報取扱事業者に同意取得を代行させる場合を含む。）際には、原則として、書面によることとし、当該書面における記載を通じて、① 対象となる個人関連情報の項目② 個人関連情報の提供を受けて個人データとして取得した後の利用目的を本人に認識させた上で同意を得るように努める。
⑵ 提供先の第三者による適正取得
個人情報取扱事業者である提供先の第三者は、偽りその他不正の手段により、個人関
連情報を個人データとして取得してはならない。
【提供先の個人情報取扱事業者が偽りその他不正の手段により個人関連情報を個人デー
タとして取得している事例】
事例1）提供先の個人情報取扱事業者が、提供元の個人関連情報取扱事業者に個人データとして利用する意図を秘して、本人同意を得ずに個人関連情報を個人デー
タとして取得した場合
事例2）提供先の個人情報取扱事業者が、本人同意を取得していないにもかかわらず、同意取得していると提供元の個人関連情報取扱事業者に虚偽の申告をして、
個
人関連情報を個人データとして取得した場合
事例3）提供元の個人関連情報取扱事業者が同意取得を代行することを念頭に、実際には提供元の個人関連情報取扱事業者が適切に同意取得していない場合において、提供先の個人情報取扱事業者がこれを知り、又は容易に知ることができるにもかかわらず、当該個人関連情報を個人データとして取得した場合⑶ 記録事項の省略
複数回にわたって同一「本人」の個人関連情報の提供を受けて個人データとして取得する場合において、同一の内容である事項を重複して記録する必要はないことから、その旨を明確にするものである。すなわち、第6項に規定する方法により作成した記録（現に保存している場合に限る。）に記録された事項と内容が同一であるものについては、
当該事項の記録を省略することができる。
令和2年改正保護法の施行日の前に上記に規定する方法に相当する方法で作成した記録についても同様とする。
なお、記録事項のうち、一部の事項の記録の作成を施行規則第24条第2項に基づき省
略し、残りの事項の記録のみを作成した場合、記録全体としての保存期間の起算点は、
71

残りの事項を作成した時点とする。
（参照条文：通則ガイドライン3-7、金融分野ガイドライン14条）（ 保有個人データに関する事項の公表等 ）第21条 協会員は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。以下同じ。）に置かなければならない。なお、利用目的に第三者提供が含まれる場合には、第⑵号の内容として、その旨を記載しなければならない。
⑴ 協会員の名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名⑵ すべての保有個人データの利用目的（ただし、第10条第4項第⑴号から第⑶号に該当する場合を除く。）⑶ 次項、次条第1項若しくは第3項、第23条第1項又は第24条第1項の規定による求めに応じる手続（第27条の規定により手数料の額を定めたときは、その手数料の額を含む。）⑷ 保有個人データの安全管理のために講じた措置（ただし、本人の知り得る状態に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。
）⑸ 保有個人データの取扱いに関する自社における苦情の申出先⑹ 認定個人情報保護団体の名称及びその苦情の解決の申出先
２ 協会員は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知するものとする。ただし、次の各号のいずれかに該当する場合は、この限りではない。
⑴ 前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合⑵ 第10条第4項第⑴号から第⑶号に該当する場合
３ 協会員は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、遅滞なく、その旨を本人に通知しなければならない。
（ 解 説 ）
「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」の具体例（第1項）「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」とは、
ホームページへの掲載、パンフレットの配布、本人の求めに応じて遅滞なく回答を行う
こと等、本人が知ろうとすれば、知ることができる状態に置くことをいい、常にその時
点での正確な内容を本人の知り得る状態に置かなければならない。
必ずしもホームペー
ジへの掲載、又は事務所等の窓口等へ掲示すること等が継続的に行われることまでを必要とするものではないが、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認72識される合理的かつ適切な方法によらなければならない。
なお、普段から問合せ対応が多い協会員において、ホームページへ継続的に掲載する
方法は、「本人が容易に知り得る状態」及び「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）」の両者の趣旨に合致する方法である。
【本人の知り得る状態に該当する事例】
事例1）問合せ窓口を設け、問合せがあれば、口頭又は文書で回答できるよう体制を構築しておく場合
事例2）店舗にパンフレットを備え置く場合
事例3）電子商取引において、商品を紹介するホームページに問合せ先のメールアド
レスを表示する場合協会員は、保護法第32条に従い、保有個人データに関する事項を本人の知り得る状態に置く際には、販売方法等の事業の態様に応じて、例えば、次のような方法により、適切な措置を講ずる必要がある。
① 店頭での継続的なポスターの掲示、書面の備付け② パンフレット・リーフレットの継続的な配布③ ホームページへの継続的な掲載（第29条に定める「個人情報保護宣言」と一体として掲載する方法（保有個人データに関する事項が示された画面に1回程度の操作で遷移するよう設定したリンクを「個人情報保護宣言」に継続的に掲載することを含む。）
もある。）④ 本人の求めに応じた書面の交付、郵送、FAX等による送付⑤ 本人の求めに応じた口頭、電話、電子メールでの回答（参照条文：保護法32条、施行令10条、通則ガイドライン3-8-1、金融分野ガイドライン15条）（ 開 示 ）
第22条 協会員は、本人から、当該本人が識別される保有個人データについて開示（存在しないときにはその旨を知らせることを含む。）の請求を受けたときは、本人に対し、電磁的記録の提供による方法、書面の交付による方法その他当該協会員の定める方法のうち本人が請求した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
⑴ 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合⑵ 協会員の業務の適正な実施に著しい支障を及ぼすおそれがある場合
73

⑶ 他の法令に違反することとなる場合
２ 協会員は、前項の規定による請求に係る保有個人データの全部又は一部について開示しない旨の決定をしたとき又は請求に係る保有個人データが存在しないときは、遅滞なく、その旨を本人に通知しなければならない。また、本人が請求した方法による開示が困難であるときは、その旨を本人に通知した上で、書面の交付による方法により開示を行わなければならない。
３ 協会員は、本人から、当該本人が識別される個人データに係る第三者提供記録の開示（存在しないときにはその旨を知らせることを含む。）の請求を受けたときは、本人に対し、電磁的記録の提供による方法、書面の交付による方法その他当該協会員の定める方法のう
ち本人が請求した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）により、遅滞なく、当該第三者提供記録を開示しなければならない。なお、第三者提供記録には、次の各号に掲げるもの、及び保護法第29条第1項又は同法第30条第3項の規定が適用されない場合において任意に作成された記録は、含まれない。
⑴ 当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの⑵ 当該記録の存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの⑶ 当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国若しく
は国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの⑷ 当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの
４ 第三者提供記録を開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。これにより開示しない旨の決定をしたとき又は請求に係る第三者提供記録が存在しないときは、遅滞なく、その旨を本人に通知しなければならない。また、本人が請求した方法による開示が困難であるときは、その旨を本人に通知した上で、書面の交付による方法により開示を行わなければならない。
⑴ 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合⑵ 協会員の業務の適正な実施に著しい支障を及ぼすおそれがある場合⑶ 他の法令に違反することとなる場合（ 解 説 ）
⑴ 開示の請求を行った者から開示の方法について特に指定がなく、協会員が提示した方法に対して異議を述べなかった場合は、協会員が提示した方法で開示することができる。
⑵ 本人が請求する方法による開示が困難な場合に、直ちに書面の交付による開示を行う
74

のではなく、協会員が対応できる方法への変更を求めることが望ましい。また、開示の請求に際して提出すべき書面の様式において、協会員が対応できる方法や媒体等をあらかじめ示しておくといった対応も考えられる。
⑶ 電磁的記録の提供による方法について（第1項）
協会員がファイル形式や記録媒体などの具体的な方法を定めることができるが、開示請求等で得た保有個人データの利用等における本人の利便性向上の観点から、可読性・検索性のある形式による提供や、技術的に可能な場合には、他の事業者へ移行可能な形式による提供を含め、できる限り本人の要望に沿った形で対応することが望ましい。
【電磁的記録の提供による方法の事例】
事例1）電磁的記録をCD-ROM等の媒体に保存して、当該媒体を郵送する方法
事例2）電磁的記録を電子メールに添付して送信する方法
事例3）会員専用サイト等のウェブサイト上で電磁的記録をダウンロードしてもらう
方法【その他当該協会員の定める方法の事例】
事例1）協会員が指定した場所における音声データの視聴
事例2）協会員が指定した場所における文書の閲覧【当該方法による開示が困難である場合の事例】
事例1）本人が電磁的記録の提供による開示を請求した場合であって、協会員が当該開示請求に応じるために、大規模なシステム改修を行わなければならないような場合
事例2）本人が電磁的記録の提供による開示を請求した場合であって、書面で個人情報や帳簿等の管理を行っている小規模事業者が、電磁的記録の提供に対応することが困難な場合⑷ 「本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合」に該当する例（第1項第⑴号）
例えば、医療機関等において、病名等を患者に開示することにより、患者本人の心身状況を悪化させるおそれがある場合⑸ 「協会員の業務の適正な実施に著しい支障を及ぼすおそれがある場合」に該当する例（第1項第⑵号）
例えば、次のような場合が該当する。
① 与信審査内容等、協会員が付加した情報の開示請求を受けた場合② 保有個人データを開示することにより評価・試験等の適正な実施が妨げられる場合
75

③ 企業秘密の保護の必要性が、本人が協会員における保有個人データの取扱い等を把握する必要性を上回る特別の事情がある場合④ 同一の本人から複雑な対応を要する同一内容について繰り返し開示の請求があり、事実上問合せ窓口が占有されることによって他の問合せ対応業務が立ち行かなくなる
等、業務上著しい支障を及ぼすおそれがある場合⑤ 電磁的記録の提供にふさわしい音声・動画ファイル等のデータを、あえて書面で請求することにより、業務上著しい支障を及ぼすおそれがある場合⑹ 「協会員の業務の適正な実施に著しい支障を及ぼすおそれがある場合」に該当しない
例（第1項第⑵号）「著しい支障を及ぼすおそれ」に該当する場合とは、協会員の業務の実施に単なる支障ではなく、より重い支障を及ぼすおそれが存在するような例外的なときに限定される。
例えば、単に開示すべき保有個人データの量が多いという理由のみでは、一般には、これに該当しない。
⑺ 「他の法令に違反することとなる場合」に該当する例（第1項第⑶号）
例えば、犯罪収益移転防止法第8条第1項に基づいて、主務大臣に取引の届出を行っていたときに、
当該届出を行ったことが記録されている保有個人データを開示することが、
同条第3項の規定に違反する場合、刑法第134条（秘密漏示罪）や電気通信事業法第4条（通信の秘密の保護）に違反することとなる場合⑻ 第三者提供記録の開示方法（第3項）
第3項の請求を受けて協会員が第三者提供記録を本人に開示するに当たっては、保護法において記録事項とされている事項を本人が求める方法により開示すれば足り、それ以外の事項を開示する必要はない。例えば、契約書の代替手段による方法で記録を作成した場合には、当該契約書中、記録事項となっている事項を抽出した上で、本人が求める方法により開示すれば足り、契約書そのものを開示する必要はない。
⑼ 第三者提供記録の不開示事由としての「本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合」に該当する例（第4項第⑴号）
例えば次のような場合が該当する。
事例1）第三者提供記録に個人データの項目として本人が難病であることを示す内容が記載されている場合において、当該第三者提供記録を開示することにより、患者
本人の心身状況を悪化させるおそれがある場合
事例2）企業の与信判断等に用いられる企業情報の一部として代表者の氏名等が提供され、第三者提供記録が作成された場合において、当該第三者提供記録を開示することにより、提供を受けた第三者が与信判断、出資の検討、提携先・取引先の選定等を行っていることを含む秘密情報が漏えいするおそれがある場合⑽ 第三者提供記録の不開示事由としての「協会員の業務の適正な実施に著しい支障を及76

ぼすおそれがある場合」に該当する例（第4項第⑵号）
例えば次のような場合が該当する。
事例）
同一の本人から複雑な対応を要する同一内容について繰り返し開示の請求があり、事実上問合せ窓口が占有されることによって他の問合せ対応業務が立ち行かなくなる等、業務上著しい支障を及ぼすおそれがある場合
他の事業者と取引関係にあることが契約上秘密情報とされている場合であっても、記
録事項そのものを開示することについては、直ちにこれに該当するものではなく、個別具体的に判断する必要がある。
⑾ 第三者提供記録の不開示事由としての「他の法令に違反することとなる場合」に該当する例（第4項第⑶号）
例えば次のような場合が該当する。
事例）刑法（明治40年法律第45号）第134条（秘密漏示罪）に違反することとなる場合（参照条文：保護法33条、施行令11条、施行規則30条、通則ガイドライン3-8-2、3-8-3、金融分野ガイドライン16条）（ 訂正等 ）
第23条 協会員は、本人から、当該本人が識別される保有個人データに誤りがあり、当該本人が識別される保有個人データの内容が事実でないという理由によって当該保有個人デー
タの内容の訂正、追加又は削除（以下「訂正等」という。）の請求を受けた場合には、利用目的の達成に必要な範囲内において、遅滞なく、事実の確認等の必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。
２ 協会員は、前項の規定による請求に係る保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、遅滞なくその旨（訂正等を行ったときは、その内容を含む。）を本人に通知しなければならない。
（ 解 説 ）
⑴ 「訂正等」について① 訂正等は、利用目的の達成に必要な範囲で行うものであり、必要以上の訂正等を義務付けるものではない。利用目的からみて訂正等が必要ではない場合、保有個人デー
タが誤りである旨の指摘が正しくない場合には、訂正等を行う必要はない。
② 訂正等は、保護法に基づくものであり、顧客等からの氏名・住所変更等の届出にまで適用されるものではない。
⑵ 「削除」について不要な情報を除くことをいう。
77

（参照条文：保護法34条、通則ガイドライン3-8-4）（ 利用停止等及び第三者提供の停止 ）第24条 協会員は、次の各号のいずれかに該当する場合については、保有個人データの利用の停止若しくは消去（以下「利用停止等」という。）又は第三者提供の停止を行わなければならない。
⑴ 協会員は、本人から、当該本人が識別される保有個人データが、第6条の規定に違反して本人の同意なく目的外利用がされている若しくは第7条の規定に違反して不適正な利用が行われている、又は第9条の規定に違反して偽りその他不正の手段により個人情報が取得され若しくは本人の同意なく要配慮個人情報が取得されたものであるという理由によって、利用停止等の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として、遅滞なく、利用停止等を行わなければならない。
⑵ 協会員は、本人から、当該本人が識別される保有個人データが、第16条第1項又は第17条の規定に違反して本人の同意なく第三者に提供されているという理由によって、当該保有個人データの第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として、遅滞なく、第三者提供の停止を行わなければならない。
⑶ 協会員は、次に掲げるいずれかに該当するという理由によって、当該保有個人データの利用停止等又は第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、原則として、遅滞なく、利用停止等又は第三者提供の停止を行わなければならない。この場合には、協会員は、本人の権利利益の侵害を防止するために必要な限度で、利用停止等又は第三者提供の停止を行う。
イ

当該協会員が利用する必要がなくなった場合

ロ 当該本人が識別される保有個人データに係る第15条第1項本文に規定する事態が生じた場合
ハ

当該本人の権利又は正当な利益が害されるおそれがある場合

２ 前項各号のいずれかに該当する場合であっても、利用停止等又は第三者提供の停止を行うことが困難である場合であって、本人の権利利益を保護するために必要な代替措置を講ずるときは、利用停止等又は第三者提供の停止を行わないことができる。
３ 協会員は、第1項の規定に基づき利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は、第三者提供の停止を行ったとき若しくは第三者提供を停止
しない旨の決定をしたときは、遅滞なく、その旨を本人に通知しなければならない。
なお、消費者等、本人の権利利益保護の観点からは、事業活動の特性、規模及び実態を考慮して、保有個人データについて本人から求めがあった場合には、自主的に利用停止等
又は第三者提供の停止に応じる等、本人からの求めにより一層対応していくことが望まし
78

い。
（ 解 説 ）
⑴ 「消去」について
保有個人データを保有個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できないようにすること等を含む。
⑵ 第1項第⑴号の請求について、保護法違反である旨の指摘が正しくない場合は、利用停止等を行う必要はない。
⑶ 第1項第⑵号の請求について、保護法違反である旨の指摘が正しくない場合は、第三者提供を停止する必要はない。
⑷ 「当該協会員が利用する必要がなくなった」について（第1項第⑶号イ）
第11条と同様に、当該保有個人データについて利用する必要がなくなったとき、すな
わち、
利用目的が達成され当該目的との関係では当該保有個人データを保有する合理的な理由が存在しなくなった場合や利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等をいう。
⑸ 利用する必要がなくなったとして利用停止等又は第三者提供の停止が認められる事例（第1項第⑶号イ）
事例1）ダイレクトメールを送付するために協会員が保有していた情報について、当該協会員がダイレクトメールの送付を停止した後、本人が消去を請求した場合
事例2）電話勧誘のために協会員が保有していた情報について、当該協会員が電話勧誘を停止した後、本人が消去を請求した場合
事例3）キャンペーンの懸賞品送付のために協会員が保有していた当該キャンペーンの応募者の情報について、懸賞品の発送が終わり、不着対応等のための合理的な期間が経過した後に、本人が利用停止等を請求した場合
事例4）採用応募者のうち、採用に至らなかった応募者の情報について、再応募への対応等のための合理的な期間が経過した後に、本人が利用停止等を請求した場合⑹ 第1項第⑶号イについて、請求の対象となっている保有個人データにつき、複数の利用目的がある場合、全ての利用目的との関係で「利用する必要がなくなった」かどうかを判断する必要がある。
⑺ 本人の権利又は正当な利益が害されるおそれがあるとして利用停止等又は第三者提供の停止が認められると考えられる事例（第1項第⑶号ハ）
事例1）ダイレクトメールの送付を受けた本人が、送付の停止を求める意思を表示したにもかかわらず、協会員がダイレクトメールを繰り返し送付していることから、
79

本人が利用停止等を請求する場合
事例2）電話勧誘を受けた本人が、電話勧誘の停止を求める意思を表示したにもかかわらず、協会員が本人に対する電話勧誘を繰り返し行っていることから、本人が利用停止等を請求する場合
事例3）協会員が、安全管理措置を十分に講じておらず、本人を識別する保有個人デー
タが漏えい等するおそれがあることから、本人が利用停止等を請求する場合
事例4）協会員が、第16条第1項に違反して第三者提供を行っており、本人を識別する保有個人データについても本人の同意なく提供されるおそれがあることから、本人が利用停止等を請求する場合
事例5）協会員が、退職した従業員の情報を現在も自社の従業員であるようにホームページ等に掲載し、これによって本人に不利益が生じるおそれがあることから、本人が利用停止等を請求する場合⑻ 本人の権利又は正当な利益が害されるおそれがないとして利用停止等又は第三者提供の停止が認められないと考えられる事例（第1項第⑶号ハ）
事例1）過去に利用規約に違反したことを理由としてサービスの強制退会処分を受けた者が、再度当該サービスを利用するため、当該サービスを提供する協会員に対して強制退会処分を受けたことを含むユーザー情報の利用停止等を請求する場合
事例2）過去の信用情報に基づく融資審査により新たな融資を受けることが困難になった者が、新規の借入れを受けるため、当該信用情報を保有している協会員に対して現に審査に必要な信用情報の利用停止等又は第三者提供の停止を請求する場合⑼ 第1項第⑶号ハについて、「正当」かどうかは、相手方である個人情報取扱事業者との関係で決まるものであり、
個人情報取扱事業者に本人の権利利益の保護の必要性を上回る特別な事情がない限りは、個人情報取扱事業者は請求に応じる必要がある。本人の権利利益の保護の必要性を上回る特別な事情があるかどうかを判断するに当たっては、
例えば、以下のような事情を考慮することになる。
① 本人又は第三者の生命、身体、財産その他の権利利益を保護するために当該保有個人データを取り扱う事情② 法令を遵守するために当該保有個人データを取り扱う事情③ 契約に係る義務を履行するために当該保有個人データを取り扱う事情④ 違法又は不当な行為を防止するために当該保有個人データを取り扱う事情⑤ 法的主張、権利行使又は防御のために当該保有個人データを取り扱う事情⑽ 本人からの請求に対し、本人の権利利益の侵害を防止するために必要な限度での対応として考えられる事例（第1項第⑶号後段）
80

事例1）本人から保有個人データの全てについて、利用停止等が請求された場合に、一部の保有個人データの利用停止等によって、生じている本人の権利利益の侵害のおそれを防止できるものとして、一部の保有個人データに限定して対応を行う場
合事例2）
第16条第1項に違反して第三者提供が行われているとして保有個人データの消去を請求された場合に、利用停止又は第三者提供の停止による対応によって、生じている本人の権利利益の侵害のおそれを防止できるものとして、利用停止又は第三者提供の停止による対応を行う場合⑾ 「困難な場合」について（第2項）
利用停止等又は第三者提供の停止に多額の費用を要する場合のほか、協会員が正当な事業活動において保有個人データを必要とする場合についても該当し得る。
⑿ 「代替措置」について（第2項）
事案に応じて様々であるが、生じている本人の権利利益の侵害のおそれに対応するものであり、本人の権利利益の保護に資するものである必要がある。
⒀

本人の権利利益を保護するため必要なこれに代わるべき措置として考えられる事例（第2項）
事例1）個人情報保護委員会への報告の対象となる重大な漏えい等が発生した場合において、当該本人との契約が存続しているため、利用停止等が困難であるとして、以後漏えい等の事態が生じることがないよう、必要かつ適切な再発防止策を講じる場合
事例2）他の法令の規定により保存が義務付けられている保有個人データを遅滞なく消去する代わりに、
当該法令の規定による保存期間の終了後に消去することを約束する場合（参照条文：保護法35条、通則ガイドライン3-8-5）（ 理由の説明 ）第25条 協会員は、第21条第3項、第22条第2項若しくは第4項、第23条第2項又は前条第3項の規定により、本人から求められ、又は請求された措置の全部又は一部について、その措置をとらない旨又はその措置と異なる措置をとる旨を通知する場合において、本人に対しその理由を説明する際には、措置をとらないこととし、又は異なる措置をとることとした判断の根拠及び根拠となる事実を示すよう努めなければならない。
（参照条文：保護法36条、通則ガイドライン3-8-6、金融分野ガイドライン17条）
81

（ 開示等の請求等に応じる手続 ）第26条 協会員は、第21条第2項、第22条第1項若しくは第3項、第23条第1項又は第24条第1項の規定による開示等の請求等に関し、以下のとおり、その受付けの方法を定めることができる。この場合において、協会員は、第29条に定める個人情報保護宣言と一体として、
インターネットのホームページでの常時掲載を行うこと（保有個人データに関する事項が示された画面に1回程度の操作で遷移するよう設定したリンクを「個人情報保護宣言」に継続的に掲載することを含む。）、又は事務所の窓口等での掲示・備付け等を行うこと等
により本人の知り得る状態に置くこととする。
⑴ 開示等の請求等の申出先⑵ 開示等の請求等に際して提出すべき書面の様式、その他の開示等の請求等の受付方法⑶ 開示等の請求等をする者の本人確認方法⑷ 次条の手数料の金額とその徴収方法（無料とする場合を含む。）⑸ 開示等の請求等の対象となる保有個人データ又は第三者提供記録の特定に必要な事項⑹ 開示等の請求等に対する回答方法等
２ 協会員は、代理人（未成年者若しくは成年被後見人の法定代理人、又は本人が委任した任意代理人をいう。本項において同じ。）が開示等の請求等を行う場合の手続きとして、前項各号に加えて次の事項を定めるものとする。なお、代理人による開示等の請求等に対して、本人に直接開示等することは妨げられない。
⑴ 代理人の本人確認方法⑵ 代理人の代理権を確認する方法
３ 協会員は、前二項の規定に基づき開示等の請求等を受け付ける方法を定めるに当たっては、当該手続が、事業の性質、保有個人データの取扱状況、開示等の請求等の受付方法等に応じて適切なものになるよう配慮するとともに、必要以上に煩雑な書類を書かせたり、請求等を受け付ける窓口を他の業務を行う拠点とは別にいたずらに不便な場所に限定したりする等、本人に過重な負担を課するものとならないよう配慮しなければならない。
４ 協会員は、円滑に開示等の手続が行えるよう、本人に対し、開示等の請求等の対象となる当該本人が識別される保有個人データ又は第三者提供記録の特定に必要な事項（住所、ID、パスワード、会員番号等）の提示を求めることができる。ただし、本人に対し、開示を請求する保有個人データ又は第三者提供記録の範囲を一部に限定する義務を課すものではなく、また、協会員に対し、本人が開示を請求する範囲を限定させる権利を認めるものでもない。なお、特定に必要な事項の提示を求める際には、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データ又は第三者提供記録の特定に資する情報を提供するなど、本人の利便性を考慮しなければならない。
（ 解 説 ）
82

⑴ 「開示等の請求等」
保有個人データの利用目的の通知の求め、保有個人データの開示、訂正等、利用停止
等若しくは第三者提供の停止、又は第三者提供記録の開示の請求をいう。
⑵ 「開示等の請求等の申出先」の具体例（第1項第⑴号）
例えば、支店・営業所や事務センター等の部署名・住所・電話番号・電子メールアド
レス等⑶ 「開示等の請求等に際して提出すべき書面」（第1項第⑵号）
協会員は、本人が開示等の請求等に際し提出すべき書面を定めておくことが望ましい。
① 本人の場合
例えば、「保有個人データ」開示申請書、変更等申請書、利用停止等申請書及び本人確認書類② 代理人の場合
例えば、上記①の書面に加え、協会員所定の委任状及び代理人の本人確認書類⑷ 「その他の開示等の請求等の受付方法」の具体例（第1項第⑵号）
例えば、来店、郵送、電子的手段等の複数の手段が考えられる。
（注）開示等の請求等の方法を来店のみに限るのは、「本人に過重な負担を課する」（第3項）可能性もあるので、代替手段を用意することが望ましい。
⑸ 「本人確認方法」の具体例（第1項第⑶号）
犯罪収益移転防止法の規定に基づく確認手続き又は同レベルの手続など、十分かつ適切な確認手続を定めるものとする。なお、確認の方法としては、次のような事例が考えられるが、事業の性質、保有個人データの取扱状況、開示等の請求等の受付方法等に応じて、適切なものでなければならず、本人確認のために協会員が保有している個人デー
タに比して必要以上に多くの情報を求めないようにするなど、本人に過重な負担を課す
るものとならないよう配慮しなくてはならない。なお、代理人による来所や送付等の場
合にあっては、確認書類として、本人及び代理人についての次の事例に示す書類等のほか、代理人について、代理権を与える旨の委任状（親権者が未成年者の法定代理人であることを示す場合は、本人及び代理人が共に記載され、その続柄が示された戸籍謄抄本、
住民票の写し。
また、成年後見人が成年被後見人の法定代理人であることを示す場合は、登記事項証明書）が考えられる。
事例1）来所の場合：運転免許証、健康保険の被保険者証、個人番号カード（マイナン
バーカード）表面、旅券（パスポート）、在留カード、特別永住者証明、年金手帳、印鑑証明書と実印
事例2）オンラインの場合：あらかじめ本人が協会員に対して登録済みのIDとパスワー
ド、公的個人認証による電子署名
事例3）電話の場合：あらかじめ本人が協会員に対して登録済みの登録情報（生年月日等）、コールバック83事例4）送付（郵送、FAX等）の場合：運転免許証や健康保険の被保険者証等の公的証明書のコピーの送付を顧客等から受け、当該公的証明書のコピーに記載された顧客等の住所に宛てて文書を書留郵便により送付⑹ 「保有個人データ又は第三者提供記録の特定に必要な事項」の具体例（第1項第⑸号）
例えば、氏名、住所、生年月日、電話番号、取引店名、口座番号等が考えられる。
⑺ 「開示等の請求等に応じる回答方法等」の具体例（第1項第⑹号）
例えば、次のような方法がある。
① 郵送、電話、電子メール等の手段② 開示の対象となる情報によっては、回答はその場でなく後刻となること⑻ 「代理人の本人確認方法」の具体例（第2項第⑴号）
上記⑸と同様の確認手続きを定めるものとする。
⑼ 「代理人の代理権を確認する方法」の具体例（第2項第⑵号）
例えば、以下のことに注意して確認する。
① 協会員所定の委任状以外は認めない。
② 委任状等の提出があった場合でも代理権の存在を疑わせる特段の事情が認められる
ときは、電話等で本人からの代理権授与の意思確認をとることができるまで不開示とする。
③ 協会員所定の方法による代理権の確認ができない場合は、不開示とする。
（参照条文：保護法37条、施行令12条、13条、通則ガイドライン3-8-7、金融分野ガイド
ライン18条）（ 手数料 ）
第27条 協会員は、第21条第2項の規定による利用目的の通知を求められたとき又は第22条第1項若しくは第3項の規定による開示の請求を受けたときは、当該措置の実施に関し、手数料の額を定め、これを徴収することができる。なお、当該手数料の額を定めた場合には、
前条第1項に基づき、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置いておかなければならない。
２ 協会員は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。
（参照条文：保護法 38 条、通則ガイドライン 3-8-8）（ 協会員における苦情の処理 ）第28条 協会員は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
２ 協会員は、苦情の適切かつ迅速な処理を行うに当たり、苦情処理窓口の設置及び苦情処
84

理の手順を定めるほか、苦情処理に当たる役職員への十分な教育・研修等必要な体制の整備に努めなければならない。
（ 解 説 ）
「体制の整備」（第2項）
消費者等本人との信頼関係を構築し事業活動に対する社会の信頼を確保するためには、「個人情報保護を推進する上での考え方や方針（いわゆる、プライバシーポリシー、プラ
イバシーステートメント等）」を策定し、それをホームページへの掲載又は店舗の見やす
い場所への掲示等により公表し、あらかじめ、対外的に分かりやすく説明することや、委託の有無、委託する事務の内容を明らかにする等、委託処理の透明化を進めることも重要である。
（参照条文：保護法40条、通則ガイドライン3-9、金融分野ガイドライン19条）（ 個人情報保護宣言の策定 ）第29条 協会員は、個人情報に対する取組み方針をあらかじめ分かりやすく説明することの重要性に鑑み、協会員の個人情報保護に関する考え方及び方針に関する宣言（いわゆるプライバシーポリシー、
プライバシーステートメント等。以下「個人情報保護宣言」という。）
を策定し、公表するものとする。
２ 個人情報保護宣言には、例えば、以下の内容を記載することとする。
⑴ 関係法令等の遵守、個人情報を目的外に利用しないこと及び苦情処理に適切に取り組
むこと等、個人情報保護への取組方針の宣言⑵ 保護法第21条における利用目的の通知・公表等の手続についての分かりやすい説明⑶ 保護法第32条における開示等の手続等、個人情報の取扱いに関する諸手続についての分かりやすい説明⑷ 個人情報の取扱いに関する質問及び苦情処理の窓口
３ 個人情報保護宣言には、本人の権利利益保護の観点から、事業活動の特性、規模及び実態に応じて、
次に掲げる点を考慮した記述をできるだけ盛り込むよう努めるものとする。
⑴ 保有個人データについて本人から求めがあった場合には、ダイレクトメールの発送停止など、自主的に利用停止等に応じること。
⑵ 委託の有無、委託する事務の内容を明らかにする等、委託処理の透明化を進めること。
⑶ 協会員がその事業内容を勘案して顧客の種類ごとに利用目的を限定して示したり、協会員が本人の選択による利用目的の限定に自主的に取り組むなど、本人にとって利用目的がより明確になるようにすること。
⑷ 個人情報の取得元又はその取得方法（取得源の種類等）を、可能な限り具体的に明記
すること。
85

４ 個人情報保護宣言は、本人がこれを適切に理解した上で自らの判断により選択の機会を行使することができるような表示等により構成するのが望ましく、そのための工夫として次に掲げる例が考えられる。
⑴ 階層構造（要点を複数の項目にまとめ各項目を選択すると詳細な内容が見られる構造をいう。）による表示⑵ アイコン、イラスト、動画等の視覚的ツールの活用⑶ ポップアップによる同意取得（ 解 説 ）
○ 公表方法の具体例
例えば、次のような方法がある。
① 事務所の窓口等でのポスター・書面等の掲示・備付け② パンフレットへの記載・配布③ インターネットのホームページへの掲載（参照条文：保護法21条、32条、基本方針、金融分野ガイドライン20条）（ 仮名加工情報及び匿名加工情報の取扱い ）第 30 条 協会員による仮名加工情報及び匿名加工情報の取扱いについては、仮名加工情報
及び匿名加工情報に関連する法令等を遵守しなければならない。
（ 本協会への報告 ）第31条 本協会は、協会員による本指針の遵守を確認するために、適宜報告を求めることができる。
２ 本協会は、協会員に対し、本指針を遵守させるために必要な指導、勧告その他の措置を行うものとする。
３ 協会員は、本指針を遵守するとともに、本協会が行う必要な指導及び勧告その他の措置に従わなければならない。
附則
この指針は、平成19年12月19日から施行する。
附則
この改正は、平成20年5月1日から施行する。
（注）改正条項は、次のとおりである。
第2条（解説） 第4号⑶ の①
86

第3条（解説）⑴ の⑦第4条（解説）⑷第6条（解説）⑶ の④ 、⑷ の①
第7条（解説）⑵ の② 、⑶ の② 及び③ 、⑷第9条（解説）⑹、⑺ の①第14条（解説）⑵ の④ 、⑶ の①
第16条（解説）⑷
第20条（解説）⑷を改正する。
附則

この改正は、平成22年3月31日から施行する。
（注）改正条項は、次のとおりである。
第1条1項、（解説）⑷第2条1項、2項、4項、5項、6項（解説）1、2、3の⑴の②4の⑶⑷、7項
第3条2項、3項、4項(解説)⑴、5項
第4条2項、3項(解説)⑵の③
第5条（解説）⑵
第6条1項、2項、3項⑵、（解説）⑵、⑶の②⑯⑰、⑷の①、⑸
第7条 ⑸、⑹、⑺、⑼、（解説）⑴
第9条2項、4項⑴、（解説）⑹、⑺、⑻、⑼の③④
第11条1項、3項⑶
第13条1項、2項⑵
第14条1項⑵、（解説）⑵の②⑮⑯⑰、⑶の①、⑷、⑹、⑻、⑽
第15条1項
第16条2項、（解説）⑵の①②③
第19条
第20条（解説）⑻
第22条1項
第24条3項を改正する。
附則
この改正は、平成29年5月30日から施行する。
（注）改正条項は、次のとおりである。
87

第1条、（解説）⑷第2条1項、2項、3項、4項、5項、6項、7項、8項、9項、10項、11項、12項、13項、14項（解説）1、2、3、4、5、6、7、8
第3条1項、3項、5項（解説）⑵、⑶、⑷第4条1項、2項、3項（解説）⑵
第5条、（解説）
第6条1項、2項（解説）⑴、⑶、⑷、⑸
第7条1項、2項、3項、4項（解説）⑵、⑶、⑷、⑸第8条1項、2項（解説）⑴、⑵、⑶、⑷
第9条1項、2項（解説）⑴、⑵、⑶、⑷、⑸、⑹、⑺、⑻、⑼
第10条1項、2項（解説）⑴、⑵、⑶、⑷
第11条1項第12条（解説）第13条2項（解説）第14条1項、2項、3項、4項、5項、6項、7項、8項（解説）⑴、⑵、⑶、⑷、⑸、⑹、⑺、⑻、⑼、⑽、⑾、⑿、⒀、⒁、⒂第15条、（解説）⑴、⑵、⑶、⑷
第16条1項、2項、3項、4項（解説）⑴、⑵、⑶、⑷、⑸
第17条1項、2項、3項、4項、5項（解説）⑴、⑵、⑶、⑷
第18条1項、2項、3項（解説）⑴、⑵第19条1項、2項（解説）⑴、⑵、⑶、⑷、⑸
第20条1項、2項（解説）⑴、⑵第21条1項、2項、3項（解説）⑴、⑵、⑶
第22条、（解説）第23条1項、2項、3項、4項（解説）⑴、⑵、⑶、⑷、⑸、⑹、⑺、⑻、⑼
第24条1項、2項
第25条1項、2項（解説）第26条1項、2項、3項（解説）⑵、⑶、⑷、⑸
第27条1項、2項、3項（解説）
第28条
第29条3項を改正する。
附則
この改正は、平成31年4月1日から施行する。
（注）改正条項は、次のとおりである。
88

第1条、（解説）第2条（特則-第2条関係）（解説）
第6条（解説）⑶
第11条3項
第14条6項、（解説）⑵、⑼、⑽第15条（特則-第15条関係）（解説）⑶、⑷第17条（特則-第17条関係）（解説）
第18条（解説）
第19条（解説）⑷
第23条4項を改正する。
附則
この改正は、令和2年11月2日から施行する。
（注）改正条項は、次のとおりである。
第1条、（解説）
第2条（特則-第2条関係）、（解説）
第6条（解説）⑶
第9条（解説）⑶、⑼第14条1項、8項、（解説）⑴～⒅第15条（特則-第15条関係）、（解説）⑶第16条（解説）
第17条（特則-第17条関係）、（解説）を改正する。
附則
この改正は、令和4年5月20日から施行する。
（注）改正条項は、次のとおりである。
第1条
第2条、（解説）
第3条（解説）第5条、（解説）
第6条、（解説）
第7条、（解説）
第8条、（解説）
第9条、（解説）89

第10条、（解説）第11条、（解説）第12条、（解説）第13条、（解説）第14条、（解説）第15条、（解説）第16条、（解説）第17条、（解説）第18条、（解説）第19条、（解説）第20条、（解説）第21条、（解説）第22条、（解説）第23条、（解説）第24条、（解説）
第25条
第26条、（解説）第27条、（解説）第28条、（解説）第29条、（解説）
第30条
第31条を改正する。
附則
この改正は、令和4年7月20日から施行する。
（注）改正条項は、次のとおりである。
第2条
第6条3項
を改正する。
附則
この改正は、令和5年7月20日から施行する。
（注）改正条項は、次のとおりである。
第15条1項、4項第26条（解説）90

を改正する。
附則
この改正は、令和6年7月1日から施行する。
（注）改正条項は、次のとおりである。
第12条1項、（解説）
第13条2項
第14条2項
第15条1項、2項、（解説）を改正する。

91