1
一般社団法人日本専門店協会
個人情報保護指針

第１章 総則第１条（目的）
この指針は、個人情報の保護に関する法律に基づき、一般社団法人日本専門店協会（以下単に「協会」という。）における個人情報の適切な取扱いに関する具体的な指針として定めるものであり、これにより個人情報の適切な保護と専門店の健全な発展を図ることを目的とする。
第２条（適用の範囲）
この指針は、一般社団法人日本専門店協会会員企業（以下単に「会員企業」という。）であって、個人情報保護法に定められている個人情報取扱事業者に適用されるものとする。
第３条（定義）
この指針における各用語の定義は次の通りとするほか、この指針に定めのない定義については、個人情報保護法の定めによる。
１．「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、住所、電話番（携帯電話含む）に関する情報、その他の記述等により特定の個人を識別することができるものをいう。また、個人識別符号が含まれる生存する個人に関する情報も「個人情報」に該当する。
２．「本人」とは、個人情報によって識別される特定の個人をいう。
３．「個人情報データベース等」とは、個人情報を含む情報の集合物であって、特定の個人情報を、電子計算機を用いて検索することができるように体系的に構成したもの、その他特定の個人情報を容易に検索することが出来るように体系的に構成したものをいう。
４．「個人データ」とは、個人情報データベース等を構成する個人情報をいう。
５．「保有個人データ」とは、個人に関する情報であって、会員企業が開示、内容の訂正、追加または削除、利用の停⽌消去及び第三者への提供の停⽌ができる権限を有する個人データをいう。ただし、次のものを除く(1)当該個人データの存否が明らかになることにより、本人または第三者の生命、身体または財産に危害が及ぶおそれがあるもの。
(2)当該個人データの存否が明らかになることにより、違法または不当な⾏為を助⻑し、または誘発するおそれがあるもの。
(3)当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国もしくは国際機関との信頼関係が損なわれるおそれまたは他国もしくは国際機関との交渉上不利益を被るおそれがあるもの。
(4)当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧または捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの。

2第２章 個人情報の利用目的の特定及び変更
第４条（利用目的の特定及び変更）
会員企業が⼊⼿した個人情報は、適切に管理し、会員企業が適当と判断する⽅法により提供者が同意を与えた目的の範囲内でのみ利用する。会員企業は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的な範囲を超えて変更してはならず、個人情報の利用目的を変更した場合においては、変更された利用目的を本人に通知または公表しなければならない。また、違法・不適当な⾏為を助⻑・誘発するおそれがある⽅法により個人情報を利用してはならない。
第５条（利用目的による制限）
個人情報の利用は、第４条に特定された範囲内で⾏い、利用目的の範囲を超えて利用をせざるを得ないと判断される場合は、あらかじめ本人の同意を得なければならない。ただし、次に掲げる場合その他法第１８条第３項各号に規定する場合には、適用しない。
(1)法令に基づく場合。
(2)人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
(3)公衆衛生の向上、または児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
(4）国の機関もしくは地⽅公共団体またはその委託を受けた者が法令の定める事務を遂⾏することに対して協⼒する必要がある場合であって、本人の同意を得ることにより当該事務遂⾏に支障を及ぼすおそれがあるとき。
第３章 個人情報の取得に関する措置
第６条（適正な取得）
１．会員企業は、個人情報を、偽りその他の不正な⼿段により取得してはならない。
２．また、要配慮個人情報を取得する場合は、あらかじめ本人の同意を得なければならない。ただし、次に掲げる場合その他法第２０条第２項各号に規定する場合には適用しない。
(1)法令に基づく場合。
(2)人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
(3)公衆衛生の向上、または児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
(4)国の機関もしくは地⽅公共団体またはその委託を受けた者が法令の定める事務を遂⾏することに対して協⼒する必要がある場合であって、本人の同意を得ることにより当該事務遂⾏に支障を及ぼすおそれがあるとき。
(5)当該要配慮個人情報が、本人、国の機関、地⽅公共団体、法第５７条第１項各号に掲げるものその他個人情報保護委員会規則で定めるものにより公開されている場合(6)その他前各号に掲げる場合に準ずるものとして個人情報保護法施⾏令で定める場合

3
第７条（利用目的の通知または公表）
１．会員企業は、取り扱う個人情報については、第４条により特定された個人情報の利用目的をあらかじめホームページなどで公表するものとする。
２．会員企業は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、その利用目的を速やかに本人に通知し、または公表しなければならない。直接本人から個人情報を取得する場合は、あらかじめ、本人に対しその利用目的を明示しなければならない。ただし、以下の場合は適用されない。
(1)利用目的を本人に通知し、または公表することにより本人または第三者の生命、身体、財産その他の権利利益を害するおそれがある場合。
(2)利用目的を本人に通知し、または公表することにより当該会員企業の権利または正当な利益を害するおそれがある場合。
(3)国の機関または地⽅公共団体が法令の定める事務を遂⾏することに対して協⼒する必要がある場合であって、利用目的を本人に通知しまたは公表することにより当該事務の遂⾏に支障を及ぼすおそれがある場合。
(4)取得の状況からみて利用目的が明らかであると認められる場合。
第４章 個人データの適正管理義務
第８条（個人データの内容の正確性の確保）
会員企業は、利用目的の達成に必要な範囲内において個人データの内容を正確かつ最新に保つよう努めなければならない。また、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。
第９条（安全管理措置）
会員企業は、個人データへの不正アクセス、紛失、破壊、改ざん、盗難または漏えいの防⽌その他の個
人データの安全管理のための必要かつ適切な措置を講じなければならない。適切な措置とは、以下の安全管理措置をいう。
(1)組織的安全管理措置①個人データの安全管理措置を講じるための組織体制の整備②個人データの安全管理措置を定める規程等の整備と規程等に従った運用③個人データの取扱い状況を一覧できる⼿段の整備④個人データの安全管理措置の評価、⾒直し及び改善⑤事故または違反への対応(2）人的安全管理措置①雇用契約時及び委託契約時における非開示契約の締結②従業者に対する教育・訓練の実施(3）物理的安全管理措置①⼊退店（室）管理の実施②盗難等の防⽌4③機器・装置等の物理的な保護(4）技術的安全管理措置①個人データへのアクセスにおける識別と認証②個人データへのアクセス制御③個人データへのアクセス権限の管理④個人データのアクセスの記録⑤個人データを取り扱う情報システムについての不正ソフトウェア対策⑥個人データの移送・送信時の対策⑦個人データを取り扱う情報システムの動作確認時の対策⑧個人データを取り扱う情報システムの監視(5）外的環境の把握
外国において個人データを取り扱う場合、当該外国の個人情報の保護に関する制度等を把握した上で、個人データの安全管理のために必要かつ適切な措置を講じなければならない。
第１０条（従業者の監督）
会員企業は、その従業者に個人データを取扱わせるに当たっては、当該個人データに関する安全管理が図られるよう、従業者に対する必要かつ適切な監督を⾏わなければならない
第１１条（委託先の監督）
会員企業が、個人データの取り扱いの全部または一部を外部に委託する場合は、当該会員企業と等しい個人情報の保護⽔準を満たしているものを選定し、安全管理が図られるよう必要かつ適切な監督を⾏う。
保護⽔準を担保できない状況が発生した時は委託を解除する。前項の監督にあたっては、少なくとも次の事項を実施する。
(1)選定の基準（外部委託者が、社内で個人情報保護についてのマニュアルを作成しているか、社員教育がなされているか、技術的に個人情報が保護されているかなど総合的に判断）に照らして委託先の評価を⾏う。
(2)委託先と当該会員企業間おいて個人情報の保護に関する契約書を締結する。契約書では、秘密保持、事故時の責任分担、契約終了時の個人情報の返却及び消去などの内容を規定する。
(3)必要に応じて個人情報保護に関する誓約書の提出を受ける。
第５章 第三者提供の制限
第１２条（第三者提供の制限）
１．会員企業は、取扱う個人データを、あらかじめ本人から同意を得た場合を除き第三者に提供してはならない。
ただし、次のいずれかに該当する場合その他法第２７条第１項各号に規定する場合は適用されない。
(1)法令に基づく場合。
(2)人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
(3)公衆衛生の向上、または児童の健全な育成の推進のために特に必要がある場合であって、本人の同5
意を得ることが困難であるとき。
(4)国の機関もしくは地⽅公共団体またはその委託を受けた者が法令の定める事務を遂⾏することに対して協⼒する必要がある場合であって、本人の同意を得ることにより当該事務遂⾏に支障を及ぼすおそれがあるとき。
２．以下に掲げる場合において、個人データの提供を受ける者は第三者に該当しないものとする。
(1)会員企業が、利用目的の達成に必要な範囲内において、個人データの取り扱いの全部または一部を委託する場合。
(2)合併その他の事由による事業の承継に伴って個人データが提供される場合。
(3)個人データを特定の者との間で共同して利用する場合であって、次の事項をあらかじめ本人に通知し、または本人が容易に知り得る状態に置いている場合。ただし、次の事項のうち、④または⑤を変更する場
合は、変更する内容についてあらかじめ本人に通知し、または本人が容易に知り得る状態に置かなければならない。
①個人データを特定の者との間で共同して利用すること。
②共同して利用される個人データの項目。
③共同して利用する者の範囲。
④共同して利用する者の利用目的。
⑤共同して利用される個人データの管理について責任を有する者の氏名または名称及び住所ならびに法人にあっては代表者の氏名。
３．会員企業は、取扱う個人データを第三者に提供する場合または第三者から個人データの提供を受ける場合には、個人情報保護法第２９条及び第３０条の定めに従い必要な確認及び記録を⾏わなければならない。
４．会員企業は、データの取得時に個人データに該当しないものの、提供先で個人データとなることが想定される情報の第三者提供に関しては、本人の同意を得なければならない。
第６章 保有個人データに関する対応
第１３条（保有個人データに関する事項の公表等）
１．会員企業は、保有個人データに関し、次の事項を本人の知り得る状態に置かなければならない。
本人の知り得る状態には、本人の求めに応じて遅滞なく回答する場合も含む。
(1)当該会員企業の氏名または名称及び住所ならびに法人にあっては代表者の氏名。
(2)すべての保有個人データの利用目的（第７条第２項第１号から第３号までに該当する場合を除く）。
(3)保有個人データの利用目的の通知、又は当該保有個人データの開示、内容の訂正、追加もしくは削除、利用停⽌、消去もしくは第三者への利用停⽌の請求、または第三者提供記録の開示に応じる⼿続き。
(4)保有個人データの安全管理のために講じた措置（本人の知り得る状態に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。）(5)当該会員企業が⾏う保有個人データの取り扱いに関する苦情の申出先。
(6)当該会員企業が認定個人情報保護団体の対象事業者である場合にあっては、当該認定個人情報6
保護団体の名称、および苦情の解決の申出先。
２．会員企業は、本人またはその代理人から当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なくこれを通知しなければならない。ただし次の各号のいずれかに該当する場合はこの限りでない。
(1)前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合。
(2)第７条第２項第１号から第３号までに該当する場合。
３．会員企業は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なくその旨を通知しなければならない。この場合において、会員企業は本人に対し、遅滞なく保有個人データの利用目的を通知しない理由を説明しなければならない。
第１４条（開示・訂正・利用停⽌等）
１．会員企業は、取扱う保有個人データに関し、本人またはその代理人から当該本人が識別される保有個人データの内容が事実でないという理由によって当該保有個人データの内容の訂正、追加または削除を請求された場合は、遅滞なく必要な調査を⾏い、その結果に基づき当該保有個人データの内容の訂正等を⾏わなければならない。
２．会員企業は、取扱う保有個人データに関し、本人または代理人から当該本人が識別される保有個人データの開示を請求された場合は、本人またはその代理人に対し、書⾯の交付あるいは電磁記録提供による⽅法により遅滞なく開示しなければならない。ただし開示することにより次の各号のいずれかに該当する場合は、その全部または一部を開示しないことができる。
(1)本人または第三者の生命、身体、財産その他の権利利益を害するおそれがある場合。
(2)当該会員企業の業務の適正な実施に著しい支障を及ぼす恐れがある場合。
(3)個人情報保護法以外の法令に違反することとなる場合。
３．前項の規定は、当該本人が識別される個人データに係る個人情報保護法第２９条第１項及び第３０条第３項の記録について準用する。ただし次の各号のいずれかに該当するものを除く。
(1)当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの(2)当該記録の存否が明らかになることにより、違法又は不当な⾏為を助⻑し、又は誘発するおそれがあるもの(3)当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの(4)当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの
４．会員企業は、取扱う保有個人データに関し、本人またはその代理人から当該本人が識別される保有個人データが第５条の規定に違反して取り扱われているという理由または第６条の規定に違反して取得されたものであるという理由によって、当該保有個人データの利用停⽌等を請求された場合、その請求の理由を確認し、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく当該保有個人データの利用停⽌等を⾏わなければならない。
５．会員企業は、取扱う保有個人データに関し、本人またはその代理人から当該本人が識別される保有個人データが第１２条の規定に違反して第三者に提供されているという理由によって、当該保有個人デ7ータの第三者への提供の停⽌を請求された場合、その請求の理由を確認し、その請求に理由があることが判明したときは、遅滞なく当該保有個人データの第三者への提供を停⽌しなければならない。
６．会員企業は、取扱う保有個人データに関し、本人又はその代理人から当該本人が識別される保有個人データが、会員企業が利用する必要がなくなった、当該本人が識別される保有個人データに係る個人情報保護法第２６条第 1 項本⽂に規定する事態が生じた場合その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがあるという理由によって、当該保有個人データの利用停⽌等又は第三者への提供の停⽌を請求された場合、その請求の理由を確認し、その請求に理由があることが判明したときは、遅滞なく当該保有個人データの利用停⽌等又は第三者への提供を停⽌しなければならない。
７．会員企業は、以下の措置をとった場合、本人またはその代理人に対し、遅滞なくその旨（訂正等を⾏ったときはその内容を含む。）を通知しなければならない。また以下の場合において、本人から求められた措置の全部または一部について、その措置をとらない旨を通知する場合またはその措置と異なる措置をとる旨を通知する場合は、本人またはその代理人に対し、その理由を説明するよう努めなければならない。
(1)求められた保有個人データの全部または一部について開示しない旨の決定をしたとき。
(2)求められた保有個人データの全部もしくは一部について訂正等を⾏ったとき、または訂正等を⾏わない旨の決定をしたとき。
(3)求められた保有個人データの全部または一部について、利用停⽌等を⾏ったときもしくは利用停⽌等を⾏わない旨の決定をしたとき、または第三者への提供を停⽌したときもしくは第三者への提供を停⽌しない旨の決定をしたとき。
８．本人またはその代理人から利用目的の通知を求められたとき、または開示の請求を受けたときは、当該措置の実施に関し、実費を勘案して合理的であると認められる範囲内において定めた額を徴収することができる。
第１５条（苦情の処理）
１．会員企業は、取扱う個人情報に関する本人またはその代理人からの苦情を受けた苦情処理相談窓⼝に対して、当協会への説明責任及び社会的信頼確保のため協⼒しなければならない。
２．会員企業は、取扱う個人情報について、苦情窓⼝責任者の設置等必要な体制の整備に努めるとともに、苦情が発生した場合にはその適切かつ迅速な処理に努めなければならない。
第１６条（仮名加⼯情報・匿名加⼯情報）
会員企業は、仮名加⼯情報または匿名加⼯情報を作成もしくは利用する場合には、個人情報保護法に従うものとする。
第７章 一般規定
第１７条（個人情報保護⽅針の策定および公表）
会員企業は、個人情報保護⽅針を策定し、その公表を⾏うよう努めるものとする。
第１８条（コンプライアンス・プログラムの構築）
会員企業は、個人情報保護法の遵守を経営課題とし、苦情窓⼝責任者の設置、規定または作業⼿

8
順書等による安全管理措置の実施、従業者への教育及び管理体制の継続的な改善を図るように努めるものとする。
第１９条（罰則等）
会員企業は、第１７条及び第１８条により策定した⽅針や内部規定に違反し、個人情報流出等の事故を起こした従業者に対して、就業規則に基づき懲戒を⾏うことがありうることを事業所内に周知徹底しなければならない。なお、会員企業は、個人情報の漏えい・滅失・毀損等の事故が発生した場合（そのおそれがある場合を含む。）は、速やかに個人情報保護委員会に報告するとともに本人に通知しなければならない。
第２０条（関連規範の遵守）
１．会員企業は、本⽅針の他、個人情報保護法関係法令及びこれに関連して個人情報保護委員会等が定めるガイドライン、地⽅公共団体の条例等のうち、会員企業に適用されるものを遵守しなければならない。
２．会員企業は、個人情報を取扱うにあたっては、苦情処理相談窓⼝に適用される個人情報保護委員会等のガイドライン、地⽅公共団体の条例および業界のガイドライン等の動向を参照し会員企業に適用されるものを遵守し、適切に個人情報を保護するものとする。
第２１条（教育、研修活動等の実施）
会員企業は、従業者が個人情報保護制度について体系的、計画的に研修、学習できる教育・訓練体制を作り、個人情報保護の必要性と重要性について認識と理解を深めるとともに、日常業務のなかで個人情報保護に⼗分に配慮した業務遂⾏ができるような体制を整えるものとする。