キャッシュレスサービスにおける個人情報の利用目的の通知・公表、同意取得等に関するガイドライン

Ver. 1.02021 年 3 月 31 日
一般社団法人キャッシュレス推進協議会

1

【履歴】
2021 年 3 月 31 日 新規制定（Ver. 1.0）

2

目次【用語集】................................................................................................................................ 41
はじめに ............................................................................................................................ 7
本ガイドライン策定の背景 ............................................................................................ 7
本ガイドライン策定の目的 ............................................................................................ 8
本ガイドラインの位置付け ............................................................................................ 82キャッシュレスサービスにおける個人情報と個人データ ................................................. 10
個人情報と個人データの種類 ...................................................................................... 10
個人データの流れ ........................................................................................................ 103

個人情報の取扱いに関する考え方.................................................................................... 12
個人情報の取扱いに関する考え方の範囲 .................................................................... 12
個人情報 ....................................................................................................................... 12
個人データ ................................................................................................................... 17
保有個人データ ............................................................................................................ 23

4

今後について ................................................................................................................... 25
本ガイドラインの改訂方針 .......................................................................................... 25
キャッシュレスサービスにおけるデータ利活用に向けて ........................................... 253

【用語集】
本ガイドラインにおける個人情報に関わる用語は、個人情報保護委員会及び金融庁の「金融分野における個人情報保護に関するガイドライン」に準ずるものとし、以下の通りの意味を有する。
以下に定めるもののほか、本ガイドラインにおける用語は、他に特段の定めのない限り、法及び施行令の定義に従う。
表 1 用語の定義
用語
アクワイアラ定義

加盟店等

加盟店等に対して、キャッシュレス手段を提供し、イシュアへの購入代金請
求や加盟店等への代金支払いを行う事業者
サービス利用者に対して、キャッシュレス手段を提供し、請求等を行う事業者
IP アドレス、Cookie、Web ビーコン、デバイスフィンガープリント、GPS
や Wi-Fi の位置情報等、他の個人情報と照合することで、オンライン上で個人を識別することが可能な情報
キャッシュレスサービスを利用可能な店舗や法人

決済事業者等

サービス利用者に対してキャッシュレスサービスを提供する事業者

決済代行業者

加盟店等に対して、決済代行サービスを提供する事業者

公表

広く一般に自己の意思を知らせること（不特定多数の人々が知ることができるように発表すること）をいい、公表にあたっては、事業の性質及び個人情報の取扱状況に応じ、合理的かつ適切な方法によらなければならない
世界各地に数多くの加盟店等を持ち、国際的にキャッシュレスサービス（主にクレジットカード）を提供する事業者
当該情報単体から特定の個人を識別できるものとして個人情報の保護に関する法律施行令（平成 15 年政令第 507 号。以下「政令」という。）に定められた文字、番号、記号その他の符号をいい、これに該当するものが含まれる
情報は個人情報となる
生存する個人に関する情報であって、特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）又は個人識別符号が含まれるもの
企業名等、法人その他の団体に関する情報は、基本的に「個人情報」には該当しないが、役員の氏名などの個人に関する情報が含まれる場合には、その部分については、「個人情報」に該当する
個人情報を含む情報の集合物であって、特定の個人情報を電子計算機（コンピュータ）を用いて検索することができるように体系的に構成したもの、又はコンピュータを用いていない場合であっても、個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるよう体系的に構成したものであって、目次、索引その他検索を容易にするためのものを有するもの（例：五十音順に索引を付して並べられた顧客カード等）（ただし、利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるもの（市販の電話帳、住宅地図等）は除く。）

イシュア
オンライン識別子

国際ブランド
個人識別符号

個人情報

個人情報
データベース等

4

用語
個人情報取扱事業者

個人信用情報機関
個人データ

個人に関する情報

サービス利用者
端末識別情報

通知
同意

保有個人データ

本人

定義
個人情報データベース等を事業の用に供している者
ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ、社会通念上事業と認められるものをいい、営利事業のみを対象とするものではない。
尚、本ガイドラインでは次に掲げる者をこの対象としない① 国の機関② 地方公共団体③ 独立行政法人等（独立行政法人等の保有する個人情報の保護に関する法
律（平成 15 年法律第 59 号）第２条第１項に規定する独立行政法人等をいう。）④ 地方独立行政法人（地方独立行政法人法（平成 15 年法律第 118 号）第２条第１項に規定する地方独立行政法人をいう。）
個人の返済能力に関する情報の収集及び与信事業を行う個人情報取扱事業者に対する当該情報の提供を業とするもの
個人情報データベース等を構成する個人情報
なお、個人情報データベース等から記録媒体へダウンロードされたもの及び紙面に出力されたもの（そのコピーを含む。）も含まれる
氏名、住所、性別、生年月日、顔画像等個人を識別する情報に限られず、個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報であり、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化等によって秘匿かされているかどうかを問わない
これら「個人に関する情報」が、氏名等と相まって「特定の個人を識別することができる」ことになれば、それが「個人情報」となる
キャッシュレスサービスを利用する個人
OS が生成するデバイス ID、独自端末識別番号（UDID）、端末識別 ID（IMEI）、加入者識別 ID（IMSI）、MAC アドレス等の端末を特定可能な情報
本人に直接知らしめることをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない
本人の個人情報が、個人情報取扱事業者によって示された取扱方法で取扱われることを承諾する旨の当該本人の意思表示をいう（当該本人であることを確認できていることが前提となる。）
個人情報取扱事業者が、本人又はその代理人から求められる開示、内容の訂
正、追加又は削除、利用の停止、消去及び第三者への提供の停止の全てに応じることのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして次に掲げるもの以外の
もの及び６か月以内に消去すること（更新することを除く。）となるもの以外のもの① 存否が明らかになることで、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの② 存否が明らかになることで、違法又は不当な行為を助長し、又は誘発するおそれがあるもの③ 存否が明らかになることで、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの④ 存否が明らかになることで、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの
個人情報によって識別される特定の個人

5

用語
要配慮個人情報定義
不当な差別や偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして次の（1）から（11）までの記述等が含まれる個人情報
（1）人種
（2）信条
（3）社会的身分（4）病歴（5）犯罪の経歴（6）犯罪により害を被った事実（7）身体障害、知的障害、精神障害（発達障害を含む。）その他の個人情報保護委員会規則で定める心身の機能の障害があること（政令第 2 条第 1 号
関係）（8）本人に対して医師その他医療に関連する職務に従事する者（次号において「医師等」という。）により行われた疾病の予防及び早期発見のための
健康診断その他の検査（同号において「健康診断等」という。）の結果（政令第 2 条第 2 号関係）
（9）健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診
療若しくは調剤が行われたこと（政令第 2 条第 3 号関係）
（10）本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと（犯罪の経歴を除く。）（政令第 2 条第 4 号関係）
（11）本人を少年法（昭和 23 年法律第 168 号）第 3 条第 1 項に規定する少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと（政令第 2 条第 5 号関係）

6

1 はじめに本ガイドライン策定の背景
決済事業者等は、近年、以下のようなインターネットやスマートフォンアプリケーシ
ョンを活用したサービスを提供することで、様々な個人データを収集し保有している。
• 購買履歴データの収集と第三者への分析データの提供• 加盟店等と連携した割引クーポンの配布• ジオターゲティング広告（位置情報広告）の提供• キャッシュレスサービスの利用者獲得に関わる成果報酬型広告（アフィリエイ
トプログラム）の提供• 加盟店等への紹介アフィリエイトモールの運営• 応募型キャンペーンプログラムの提供• Web アクセス情報（検索履歴、閲覧履歴等）、デバイスフィンガープリント等の収集サービス利用者は、決済事業者等がキャッシュレスサービスの利用を通じて取得した個人情報を流出させてしまうことや望まないデータ活用が行われることに懸念を持っており、このことがキャッシュレスサービスの利用・普及を妨げる一因になっていると考えられる。
表 2 キャッシュレス決済の懸念
キャッシュレス決済を利用するにあたって不便に感じていたり、懸念したりしていること

割合

個人情報の流出や不正使用等の被害が発生するおそれがあること

61.4%

カード等の紛失・盗難のおそれがあること

48.5%

お金を使っている感覚がせず、使いすぎてしまうおそれがあること

41.4%

自身の購入・決済履歴等の個人情報が事業者等に取得・利用されること

33.2%

決済手段・サービスによって利用できる店舗が異なっており、利用可能な範囲が分かりにくいこと

31.2%

決済手段・サービスが乱立しており、自分に最適なものが分かりにくいこと

29.7%

出典：消費者庁「キャッシュレス決済に関する意識調査結果（令和元年 8 月 15 日）」

7本ガイドライン策定の目的
決済事業者等の多くは、従来からサービス利用者の個人の属性情報や与信情報を取扱い、また、加盟店等へ個人データ等の第三者提供を行ってきたことから、個人情報の重要性を認識し個人情報保護に取り組んできたものと認識している。一方で、サービス利用者に対する利用目的の通知・公表や同意取得等の取扱いについては、決済事業者等
ごとにそれぞれの対応を行ってきたものと考える。
本ガイドラインは、キャッシュレスサービスを提供する上での利用目的の通知・公表
や同意取得等の取扱いに関わる考え方を示すことで、決済事業者等の対応の底上げを促し、サービス利用者の懸念を低減しキャッシュレスサービスのさらなる利用・普及に資することを目的として策定する。

本ガイドラインの位置付け
本ガイドラインは、日本国内の決済事業者等に向けて策定するものとする。なお、本ガイドラインは個人情報保護法の全ての事項を網羅するものではなく、個人情報の利用目的の通知・公表や同意取得に関わる事項を対象とする。
キャッシュレス推進協議会（以下、協議会）に加盟する企業に対して遵守を必須とす
る自主規制の位置付けではなく、決済事業者等が個人情報の取扱いや個人情報保護に取り組む上で参考となる考え方（守るべき事項、考慮すべき事項）を示すものとする。
海外のプライバシー関連法規制（EU 一般データ保護規則、カリフォルニア州消費者
プライバシー法）に関連する事項については、サービス利用者が日本国外でキャッシュレスサービスを利用すること、訪日外国人が日本国内でキャッシュレスサービス利用することを踏まえて、キャッシュレスサービスにおいて考慮すべき事項のみを対象とする。
■

守るべき事項• 個人情報保護法（平成 29 年 5 月 30 日施行）及びそのガイドラインにおいて、対応が求められる事項• 「金融分野における個人情報保護に関するガイドライン（個人情報保護委員会
及び金融庁）」において、『しなければならない』と記載されている事項• 「信用分野における個人情報保護に関するガイドライン（個人情報保護委員会
及び経済産業省）において、『しなければならない』と記載されている事項• 前述の法令やガイドラインでは努力義務とされているが、協議会として、キャッシュレスサービスにおいて守るべきものと考える事項
8■

考慮すべき事項（推奨事項）• 改正個人情報保護法（令和 2 年 6 月 12 日公布）において、対応が求められる事項• 「金融分野における個人情報保護に関するガイドライン（個人情報保護委員会
及び金融庁）」において、『こととする』、『適切である』、『～望ましい』と記載される事項• 「信用分野における個人情報保護に関するガイドライン（個人情報保護委員会
及び経済産業省）において、『こととする』と記載されている事項• EU 一般データ保護規則（General Data Protection Regulation：GDPR）及びカ
リフォルニア州消費者プライバシー法（California Consumer Privacy Act：CCPA）
で対応が求められている事項のうち、日本国内の決済事業者等がキャッシュレ
スサービスにおいて対応を検討すべき事項

なお、本ガイドラインは個人情報の利用目的の通知・公表や同意取得に関わる事項を記載するものであり、本ガイドラインの遵守により、キャッシュレスサービスに適用のあるプライバシー関連法規制の適合性を保証するものではない。決済事業者等は、自己の責任と負担においてプライバシー関連法規制を調査し、これらを遵守しなければならない。

92 キャッシュレスサービスにおける個人情報と個人デー
タ
個人情報と個人データの種類
個人情報保護法においては、「個人情報」、「個人データ」、「保有個人データ」の3 種類の概念が定義されている。決済事業者等においては、以下の個人情報、個人デー
タ、保有個人データが取扱われているものと想定される。
表 3 決済事業者等における個人情報と個人データの例
分類
個人情報

個人データ

保有個人データ

個人情報保護法における定義生存する特定の個人を識別できる情報
他の情報と容易に照合でき、その結果、特定の個人が識別できることとなる情報も含まれる
個人識別符号を含む情報
個人情報のうち、特定の個人情報を検索できるように体系的に構成したもの（個人情報データ
ベース等）に含まれるもの

個人データのうち、開示、訂正、消去等の権限を有し、かつ6 か月を超えて保有するもの

決済事業者等における個人情報と個人データの例
利用者の属性情報（氏名、住所、性別、生年月日、等）
個人識別情報（顔画像、等）
サービス利用者のアカウント情報（アカウント ID、クレジット/デビットカ
ード番号、電子メールアドレス等）
利用者データ（利用者の属性情報、個
人識別情報、個人識別符号）
決済データ（個人識別符号、金額、日付、等）
オンライン識別データ（オンライン識
別子、端末識別情報、等）
利用者データ
決済データ（6 か月を超えて保有する
場合）※ 個人を識別できる電子メールアドレスはそれのみで個人情報に該当するが、アカウント ID やクレジット／デビットカード番号は単体では個人情報に該当しない（但し、他の個人情報とともに扱われる場合は該当する）※ 決済データについては、特定の個人を識別できないものであり、かつ特定の個人との対応関係が排斥されている場合においては、個人データに該当しない。
※ 改正個人情報保護法（令和 2 年 6 月 12 日公布）では、保有個人データの定義から保持期間の条件が外されている点に留意が必要となる。

個人データの流れ
個人データの取扱いに関しては、通常、サービス利用者とイシュア間における契約（会員規約等）によって、収集、保有、利用の目的等が定められる。また、イシュアとアクワイアラ間は、通常、国際ブランドのブランドメンバー契約によって個人データの取扱いが規定される。

10

アクワイアラと加盟店等間における契約（加盟店規約等）においては、個人情報の守秘義務や安全管理措置等が規定され、委託先である決済代行業者に対しても、通常、加盟店契約と同様の守秘義務並びに安全管理措置等が課される。
図 1 【例】クレジットカードにおける個人データの流れ

11

3 個人情報の取扱いに関する考え方
個人情報の取扱いに関する考え方の範囲「個人情報」、「個人データ」、「保有個人データ」の各々で守るべき義務が異なる
ため、本ガイドラインで定める個人情報の取扱いに関する考え方は、以下の通り分類ごとに整理する。
表 4 個人情報の取扱いに関する考え方の範囲
分類

個人情報の取扱いに関する考え方

3.2. 個人情報

3.2.1. 利用目的の特定
3.2.2. 利用目的の公表
3.2.3. 利用目的の通知
3.2.4. 利用目的の変更
3.2.5. 個人情報の適正取得
3.2.6. 利用目的外の取得
3.2.7. 要配慮個人情報の取得

3.3. 個人データ

3.4. 保有個人データ

3.3.1. データ内容の正確性の確保等
3.3.2. 漏えい時の対応
3.3.3. 第三者提供の同意取得
3.3.4. オプトアウトによる第三者提供
3.3.5. 共同利用
3.3.6. 第三者提供に関わる記録の作成等
3.3.7. 第三者提供を受ける際の確認等
3.4.1. 保有個人データに関する事項の公表等
3.4.2. 保有個人データの開示、訂正、停止、理由の説明

個人情報
3.2.1 利用目的の特定■

概要
キャッシュレスサービスは、そのサービスの特性上から、個人情報並びに個人データを取扱うことが必要である。決済事業者等は、取扱う個人情報並びに個人データとその利用目的をサービス利用者に提示して理解してもらうことが求められる。
■

守るべき事項①

キャッシュレスサービスにおいて取扱う個人情報の種類とその利用目的を、
サービス利用者が想定できる程度まで具体的に特定すること。

12

②

サービス利用者向けの Web サイトやモバイルアプリケーションにおいて、オンライン識別子や端末識別情報を取得し、個人情報と照合することで個人を識別する場合は、取扱う個人情報の種類とその利用目的を記載すること。

③

違法または不当な行為を助長する等の不適正な方法により個人情報を利用し
ないこと。

■

考慮すべき事項（推奨事項）① プライバシーポリシー等に記載する利用目的は、サービス利用者にとって理解しやすい記載にすることが望ましい。
②

長文の記載や専門用語の記載は避け、以下のような方法等によって、読み易
さ、わかり易さを考慮した簡潔な文章にすることが望ましい。
✓ 親切な説明：専門用語を使用する場合は説明を付加する✓ 視覚的な説明：図表や解説動画を加えて視覚的に理解できるようにする✓ 変更箇所の明確化：記載内容を変更する場合、変更内容の概要や新旧比較表
を用いて対比できるようにする

3.2.2 利用目的の公表■

概要
決済事業者等は、自社の Web サイト上に掲載するプライバシーポリシーや個人情報保護方針等への記載を通じて、取扱う個人情報並びに個人データの種類とその利用目的を公表している。
決済事業者等は、サービス利用者がプライバシーポリシーや個人情報保護方針等を容易に参照できるように努める。
■

守るべき事項① キャッシュレスサービスにおいて取扱う個人情報の種類とその利用目的をプ
ライバシーポリシーや個人情報保護方針等（以下、プライバシーポリシー
等）に記載し、自社の Web サイトで公表すること。
② 与信事業において、本人から直接書面（電磁的記録を含む。）に記載された
当該本人の個人情報を取得する場合、利用目的の同意を取得すること。
✓ 利用目的は会員規約等と明確に分離して記載する✓ 与信の条件として、与信事業において取得した個人情報を当該事業以外の金融商品のダイレクトメールの発送等に利用することを利用目的として同意させない✓ 与信事業の申込み時の同意取得以降に取得する情報については、あらかじめ利用目的を公表していない限り、利用目的を通知、又は、公表する
13■

考慮すべき事項（推奨事項）① プライバシーポリシー等を掲載する Web ページは、以下のような方法等によって、サービス利用者が認識でき、容易に参照できるようにすることが望ましい。
✓ 企業サイト、サービスサイト、会員向け Web サイト等のトップページにURL リンクを設置する✓ モバイルアプリの初期表示画面、メニューにリンクを設置する✓ プライバシー関連の Web ディレクトリを作成することで、統一的かつ構造的に公表事項等を配置する② 与信事業以外において個人情報を取得する場合も、以下のような方法等によって、利用目的の同意を取得することが望ましい。
✓ 利用目的は、会員規約等と明確に分離して記載する✓ サービス提供に関わる同意と利用目的に関わる同意を一括りせず、個別に取得する✓ 個人情報の利用目的に対する同意の記録を取得する③ 与信事業・与信事業以外の双方において、同意の記録を一定期間保管することが望ましい。

3.2.3 利用目的の通知■

概要
決済事業者等は、電子メールやモバイルアプリ等のオンラインサービスや書面を通じて、サービス利用者に案内を通知している。決済事業者等は、この案内等を通じ、サービス利用者のサービス利用に際して利用目的の通知を行うことが期待される。
■

守るべき事項
個人情報保護法では、利用目的の公表を行えば、本人（サービス利用者）への通知は必須とはしていない。
■

考慮すべき事項（推奨事項）① サービス利用者がアカウント等を作成しキャッシュレスサービスの利用を開始する際に、以下のような方法等によって、個人情報の利用目的を通知することが望ましい。
✓ 会員向け Web サービスやモバイルアプリのサービス利用開始前に、当該画面において取扱う個人情報の種類とその利用目的を示す✓ サービス利用開始に関する案内を電子メールや書面で送付する際に、取扱う個人情報の種類とその利用目的を示す
14✓ サービス利用開始時に、サービス規約等と合わせてプライバシーポリシー
をサービス利用者に提示し、その中に記載された取扱う個人情報の種類とその利用目的を示す
3.2.4 利用目的の変更■

概要
決済事業者等が取扱う個人情報並びに個人データの利用目的を変更する場合は、原則として本人の同意を得ることが求められる。ただし、変更前の利用目的と関連性を有すると合理的に認められる範囲に限り、本人の同意を取得することなく変更することができる。決済事業者等は、利用目的の変更に際して、適時にかつ確実に通知・公表を行い、サービス利用者へ説明することとする。
■

守るべき事項① キャッシュレスサービスにおいて取扱う個人情報の利用目的を、関連性を有すると合理的に認められる範囲で変更する場合は、以下のような方法でサービス利用者に変更内容を通知、又は公表すること。
✓ 自社の Web サイトで、変更内容を公表する✓ 電子メール、SMS、書面を用いて、サービス利用者に通知する✓ 会員向け Web サイトやモバイルアプリの"お知らせ"機能やポップアップ画
面を用いて、サービス利用者に通知する■

考慮すべき事項（推奨事項）① 利用目的の変更内容の公表を行う上では、ログイン等の操作が不要な Web ページに掲載し、サービス利用者が容易にアクセスできるようにすることが望ましい。
② サービス利用者が変更内容を理解できるように、利用目的の新旧比較や変更する利用目的を説明するための Web ページを設けることが望ましい。
③ 会員向け Web サイトやモバイルアプリの"お知らせ"機能を用いる場合は、件名に”重要”等の表現を記載することで、サービス利用者が閲覧するように工夫することが望ましい。

3.2.5 個人情報の適正取得■

概要
決済事業者等は、サービス利用者の信頼を確保し、不適切な取扱いによる権利侵害を未然に防止するために、個人情報を適正な手段により取得しなければならない。

15

■

守るべき事項① インターネットに公開されている情報を含め、以下のような情報を個人から同意を得ずに取得し、決済事業者等が所有する個人情報と紐づけてはならな
い。
✓ 本人の信条や犯罪歴等に関する情報✓ SNS アカウントの紐付けや SNS に書き込まれた内容、等■考慮すべき事項（推奨事項）① 未成年者、成年被後見人、被保佐人及び被補助人など、本人が個人情報の取扱いに関して同意したことによって生ずる結果について判断できる能力を有していない場合、親権者や法定代理人等から同意を得た上で取得することが望ましい。尚、要配慮個人情報が含まれる場合など本人からの同意が法令上求められる場面においては、本事項を「守るべき事項」と読み替える必要がある点に留意すること。
② キャッシュレスサービスを子どもに提供する場合は、以下のように個人情報を取得せずに提供できるサービスに限定するなどの考慮を行うことが望ましい。
✓ 提供するサービスは、個人情報を取得せずに提供できる無記名式のアカウントに限定する✓ サービス提供にあたり個人情報を取得する場合には、現金チャージに限定
する、利用限度額を低額に抑える、などの制限を設ける✓ 信用情報等が必要となる送金や貸付等のサービスは、利用できないように制限する

3.2.6 利用目的外の取得■

概要
決済事業者等は、利用者データや決済データを含むデータの利活用を進めている。通知、公表している利用目的の範囲を超えて個人情報を取得する場合、サービス利用者へ
個人情報の利用目的を改めて示し、目的外利用が生じないようにする。
■

守るべき事項① ユーザー入力画面への打ち込み等によって、利用目的に記載されていない個
人情報を新たに直接取得する以下のような場合には、サービス利用者が個人情報の入力を行う前に画面上で利用目的を明示すること。
✓ 新規サービスの追加申込み✓ キャンペーンの申込み
16

✓ 個人情報を含むアンケートの募集② 本人との間で契約書その他の書面や入力画面等に入力された当該本人の個人情報を取得する場合以外で、公表された利用目的以外の目的で個人情報を取得したものについては、速やかにその利用目的を本人に通知し、又は公表すること。
3.2.7 要配慮個人情報の取得■

概要
決済事業者等は、キャッシュレスサービス以外の商品・サービスを提供するために要

配慮個人情報を取得することがある。決済事業者等は、要配慮個人情報の取得に際して、サービス利用者本人の同意を取得しなければならない。
■

守るべき事項① 原則として、要配慮個人情報の取得、利用、第三者提供を行わないこと。
② キャッシュレスサービスの適切な業務運営を確保する必要性から、要配慮個
人情報の取得を行う場合、利用目的を明示した上で、サービス利用者から同意を取得すること。

個人データ
3.3.1 データ内容の正確性の確保等■

概要
決済事業者等は、サービス利用者に請求等を行うために、利用者情報等を管理する必要がある。また、サービス利用者がキャッシュレスサービスを利用する上では決済情報の正確性を担保する必要がある。決済事業者等は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つように努める。
■

守るべき事項① 保有する個人データを、利用目的の達成に必要な範囲内において、可能な限
り正確かつ最新の状態に保つこと。
② 個人データの保存期間については契約終了後一定期間内とする等、保有する個人データの利用目的に応じ保存期間を定め、当該期間を経過した個人デー
タを消去すること。
③ 個人データを利用する必要がなくなった際は、当該個人データを可能な限り
遅滞なく消去すること。
17■

考慮すべき事項（推奨事項）① 保有する個人データの利用目的に応じて保存期間を定め、その保存期間をプ
ライバシーポリシー等で公表することが望ましい。この公表において記載を推奨する項目は以下の通り。
✓ 対象となる個人データの内容✓ 保存期間✓ 契約終了後などの保存期間の起点

3.3.2 漏えい時の対応■

概要
決済事業者等は、取扱う個人情報が漏えい、滅失又はき損の危険にさらされることのないような措置を講じ、個人情報の漏えい等が生じた場合には、個人情報保護委員会や監督官庁等に速やかに報告する。
■

守るべき事項① 個人データの漏えい、滅失、き損 等が発生した場合、遅滞なく個人情報保護委員会や監督官庁等へ報告すること。また、影響を受ける可能性のあるサービス利用者に対しても通知、連絡すること。
② 以下に示すような事案の性質、事情等を考慮し、漏えい等の事実関係及び再発防止策を策定した上で公表すること。
✓ サービス利用者本人に被害が生じるおそれの有無✓ 被害が拡大するおそれ、二次被害が発生するおそれの有無■考慮すべき事項（推奨事項）① サービス利用者に対して漏えい、滅失、き損 等が発生した旨を以下のような方法で通知することが望ましい。
✓ 訪問・電話・書面・電子メール等✓ 会員向け Web サイトやモバイルアプリのお知らせ機能やポップアップ画面

3.3.3 第三者提供の同意取得■

概要
決済事業者等がデータ利活用を進める上で、個人データを第三者に提供することが想定される。決済事業者等は、第三者提供に際して、事前にサービス利用者本人の同意を取得する。

18

なお、外国にある第三者への提供については、移転先のプライバシー関連法規制を考慮する必要があり、共通的な考え方を設けることが困難であるため、本ガイドラインでは対象外とする。
■

守るべき事項① 個人データの第三者提供を行う際は、以下の内容をプライバシーポリシー等
で明示・公表し、第三者に提供される情報の内容をサービス利用者本人に認識させた上で、事前にサービス利用者から同意を取得すること。
✓ 利用目的として、第三者提供を行う旨✓ 第三者に提供する個人データの項目✓ データ伝送等、第三者への提供の方法✓ 第三者提供の停止の権利と停止方法✓ 提供先（第三者）の氏名等の当該第三者を特定するに足りる事項✓ 提供先（第三者）の具体的な個人データの利用目的■考慮すべき事項（推奨事項）① 提供先によって、提供する個人データの種類が異なる場合は、提供先ごとに以下の項目を明示することが望ましい。
✓ 第三者提供先✓ 第三者に提供する個人データの種類✓ データ伝送等の第三者への提供の方法② 第三者提供に関わる同意取得は、オプトイン方式を採用し、サービス利用者の意向を反映できることが望ましい。
✓ サービス提供に関わる同意と第三者提供に関わる同意を一括りにせず、個別に取得する✓ 会員向け Web サイトやモバイルアプリなどのオンライン上で、サービス利用者が同意内容を変更できるようにする✓ サービス利用者が第三者提供先を選択できるようにする③ 以下の場合には、サービス利用者の同意を得ずに第三者へデータ提供することがある旨を、あらかじめプライバシーポリシー等に公表しておくことが望ましい。
✓ 法令に基づく場合✓ 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき✓ 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
19

✓ 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
3.3.4 オプトアウトによる第三者提供■

概要
オプトアウトによる第三者提供は個人の便益を増大させ社会経済の発展に資する意義のもと、特則として認められている。決済事業者等は、個人情報保護法に定める手続に従ってオプトアウトを行う場合、サービス利用者に対して必要な情報を公表することに努める。
■

守るべき事項① オプトアウトによる第三者提供を行う場合は、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとし、かつ、以下の内容をあらかじめ本人に通知し、又はウェブサイト等で継続的に公表するなど本人が容易に知り得る状態に置くこと。
✓ 第三者への提供を利用目的とすること✓ 第三者に提供される個人データの項目✓ 第三者への提供の方法✓ 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること✓ 本人の求めを受け付ける方法② 与信事業に関わる個人の信用情報、要配慮個人情報等の情報を取得する場合
は、オプトアウトによる第三者提供は行わないものとすること。
③ オプトアウトによる第三者提供を行う場合、個人情報保護委員会へ届け出を
行うこと。

■

考慮すべき事項（推奨事項）① 個人情報保護委員会で公開しているオプトアウト届出書へのリンクを示すな
どの対応を取ることが望ましい。
② 要配慮個人情報やオプトアウトによって取得した個人情報は、オプトアウト
による第三者提供を行わないこととする（改正個人情報保護法（令和 2 年 6月 12 日公布）では、要配慮個人情報やオプトアウトによって取得した個人情報は、オプトアウトによる第三者提供が行えなくなる）。

20

3.3.5 共同利用■

概要
キャッシュレスサービスの利便性を向上させるため、決済事業者等は、取得した個人

データを加盟店等や提携先等と共同利用することがある。この場合、決済事業者等は、サービス利用者に対してあらかじめ、共同利用の目的や範囲等を通知又は本人の知り得る状態に置くなどの個人情報保護法上の手続を経た上で公表する。
■

守るべき事項① 共同利用を行う場合は、共同利用に関する以下の内容をプライバシーポリシ
ー等で継続的に公表、又は、サービス利用者に通知すること。
✓ 共同利用を行う旨✓ 共同利用の目的✓ 共同利用者の範囲✓ 共同利用する個人データ項目✓ 共同利用する個人データの管理について責任を有する者の氏名、部署名等の名称② 共同利用の目的や共同利用の範囲が複数あり、共同利用先も異なる場合、共同利用の目的・範囲・共同利用先ごとに分離してプライバシーポリシー等に公表すること。

3.3.6 第三者提供に関わる記録の作成等■

概要
決済事業者等が第三者に個人データ等を提供した場合、提供先の第三者において漏えい等の問題等が発生するおそれもある。決済事業者等は、個人の権益への侵害を防止
し、個人データの移転経緯を迅速に把握するために、個人データの第三者提供に関わる取引記録を作成する。
■

守るべき事項① サービス利用者の個人データを第三者に提供する場合、以下の内容その他法
令等に定める事項を文書又は電磁的記録として作成することにより記録し、一定期間保管すること。
✓ 提供先（第三者）の氏名等の当該第三者を特定するに足りる事項✓ サービス利用者の氏名等の当該本人を特定するに足りる事項✓ 個人データの項目✓ サービス利用者の同意の有無
21■

考慮すべき事項（推奨事項）① 決済事業者等は、自社では個人を特定できない情報で、提供先の第三者においてのみ個人データに該当しうる個人関連情報を提供する場合において、提供先の第三者において本人の同意が取得されていることを確認し、記録を作成・保管しておくことが望ましい。

3.3.7 第三者提供を受ける際の確認等■

概要
決済事業者等が第三者から個人データ等を受領する場合、第三者提供と同様に、個人の権益への侵害を防止していることを確認し個人データの移転経緯を迅速に把握するために、個人データを第三者から受領した取引記録についても作成する。
■

守るべき事項① 第三者から個人データを受領する場合、以下の内容を文書又は電磁的記録として作成することにより記録し、一定期間保管すること。
✓ 受領元（第三者）の氏名、名称及び住所並びに法人にあってはその代表者の氏名✓ 取得の経緯✓ サービス利用者の氏名等当該本人を特定するに足りる事項✓ 個人データの項目✓ サービス利用者の同意の有無② オプトアウトにより第三者から個人データを受領する場合、①に加えて、下記の記録し、一定期間保管すること。
✓ 受領年月日✓ 個人情報保護委員会による公表③ 第三者から個人データを受領する場合、それが適正な方法で取得されたものであることを確認するとともに、提供者が第三者提供を利用目的としていること（あるいは第三者提供の同意を得ていること）についても確認すること。

22

保有個人データ
3.4.1 保有個人データに関する事項の公表等■

概要
決済事業者等は、サービス利用者に対して、保有個人データの取扱いに関し、その利用目的の他に、開示等の請求に応じる手続を公表する。
■

守るべき事項
① 個人情報保護宣言やプライバシーポリシー等の公表事項では、保有個人デー
タとその利用目的の他に以下を公表すること。
✓ 決済事業者等の名称✓ 開示等の請求に応じる手続✓ 開示等の請求に関わる手数料の額（定める場合）✓ 保有個人データの取扱いに関する苦情の申出先✓ 認定個人情報保護団体に加盟している場合、団体の名称及び苦情解決の申出先■考慮すべき事項（推奨事項）① サービス利用者から開示等の請求を受けた場合の具体的な対応方法や回答の通知方法等をあらかじめ定めておき、公表しておくことが望ましい。
② 決済事業者等の名称に加え、住所及び代表者の氏名、保有個人データの安全管理のために講じた措置を公表することとする（改正個人情報保護法（令和2 年 6 月 12 日公布）では、住所、代表者氏名が公表事項に追加される）。

3.4.2 保有個人データの開示、訂正、利用停止、理由の説明■

概要
決済事業者等は、サービス利用者から開示、訂正、利用停止等の請求・申し入れに対して応じる義務がある。決済事業者等は、サービス利用者からの請求・申し入れに対して確実に対応できるように準備し対応する。
■

守るべき事項
サービス利用者から保有個人データの開示、訂正、利用停止等の申し入れを受けた場

合、遅滞なく対応すること。

23

■

考慮すべき事項（推奨事項）① サービス利用者から保有個人データの開示、訂正、利用停止等の申し入れを受けた場合、サービス利用者が望む方法で対応を行うことが望ましい。
② サービス利用者からの申し入れを受け付けられない場合は、その理由をサー
ビス利用者に説明することが望ましい。
③ サービス利用者から、保有個人データの開示、訂正、利用停止等の申し入れをオンライン上で手続が行えるようにし、オンライン上で一貫して対応でき
ることが望ましい。
✓ 問い合わせ Web ページの提供✓ 電子メールでの手続④ サービス利用者から保有個人データの開示、訂正、利用停止等の申し入れを受け付けた場合、電子メール等で対応を通知することが望ましい。
✓ 申し入れを受け付けた旨✓ 対応に関わる目標時間24

4 今後について
本ガイドラインの改訂方針
本ガイドラインは、個人情報保護法等の法規制の改正やキャッシュレスサービスを巡る環境の変化、技術の発展等に応じ改訂が必要である。協議会は適時、本ガイドラインの改訂についての検討を行うものとする。

キャッシュレスサービスにおけるデータ利活用に向けてキャッシュレスサービスにおけるデータ利活用を進める上では、決済事業者等の個
人データの取扱いが重要であると考える。
個人データの主体であるサービス利用者に対して、利用目的を通知・公表し、同意を取得することで、透明性のあるキャッシュレスサービスを提供し、決済事業者等のみならず、加盟店等の事業者と連携することで、サービス利用者、決済事業者等及び加盟店
等がともに利益を享受できるような姿を今後も引き続き模索していきたい。
本ガイドラインがキャッシュレス社会の発展の一助になれば幸いである。

25