個人情報の保護に関する指針(令和4年12月22日制定)（目的）
第１条 この指針は、個人情報の保護に関する法律（以下「保護法」という。）、個人情報の保護に関する法律施行令（以下「施行令」という。）、個人情報の保護に関する法律施行規則（平成28年個人情報保護委員会規則第３号。以下「施行規則」という。）、個人情報の保護に関する基本方針（平成16年４月２日閣議決定。）、個人情報の保護に関する法律についてのガイドライン（通則編）（平成28年個人情報保護委員会告示第６号）、同ガイドライン（外国にある第三者への提供編）（平成28年個人情報保護委員会告示第７号）、同ガイドライン（第三者提供時の確認・記録義務編）（平成28年個人情報保護委員会告示第８号。以下「確認・記録
義務ガイドライン」という。）、同ガイドライン（仮名加工情報・匿名加工情報編）（平成28年個人情報保護委員会告示第９号）及び同ガイドライン（認定個人情報保護団体編）（令和３年個人情報保護委員会告示第７号）並びに金融分野における個人情報保護に関するガイドライン（平成29年個人情報保護委員会・金融庁告示第１号）及び金融分野における個人情報保護に関するガイドラインの安全管理措置等についての実務指針（平成29年個人情報保護委員会・金融庁告示第２号。）等（以下「個人情報の保護に関する法令等」という。）を踏まえ、会員の銀行法第２条第17項に規定される電子決済等代行業（以下「協会員の電子決済等代行業」という。）における個人情報の適正な取扱いの確保のために、個人情報に係る利用目的の特定、安全管理のための措置その他の事項を定めるとともに、協会員が講ずべき具体的措置等を定めるものである。
２

協会員は、個人情報の漏えい、滅失又は毀損（以下「漏えい等」という。）を防止等するため、個人情報の保護に関する法令等並びに関係法令及びガイドライン等に従い、個人情報の適正な管理体制を整備する必要がある。

（定義）
第２条 この指針において、次の各号に掲げる用語の定義は、当該各号に定めるところによる。
(１) 個人情報保護法第２条第１項に定める「個人情報」をいう。
(２) 個人識別符号
保護法第２条第２項に定める「個人識別符号」をいう。
(３) 個人情報データベース等保護法第16条第１項に定める「個人情報データベース等」をいう。
(４) 個人データ保護法第16条第３項に定める「個人データ」をいう。

1

(５) 保有個人データ保護法第16条第４項に定める「保有個人データ」をいう。
(６) 本人
個人情報によって識別される特定の個人をいう。
(７) 要配慮個人情報保護法第２条第３項に定める「要配慮個人情報」をいう。
(８) 機微（センシティブ）情報
金融分野において、要配慮個人情報並びに労働組合への加盟、門地、本籍地、保健医療及び性生活（これらのうち要配慮個人情報に該当するものを除く。）に関する情報（本人、国の機関、地方公共団体、学術研究機関等、保護法第57条第１項各号若しくは施行規則第６条各号に掲げる者により公開されているもの、又は本人を目視し、若しくは撮影することにより取得す
るその外形上明らかなものを除く。）のことをいう。
(９) 仮名加工情報保護法第２条第５項に定める「仮名加工情報」をいう。
(10) 匿名加工情報保護法第２条第６項に定める「匿名加工情報」をいう。
(11) 個人関連情報保護法第２条第７項に定める「個人関連情報」をいう。
(12) 個人関連情報データベース等保護法第16条第７項に定める「個人関連情報データベース等」をいう。

（利用目的の特定）第３条 協会員は、個人情報の取扱いに当たっては、個人情報がどのような事業の用に供され、どのような目的で利用されるかを本人が一般的かつ合理的に予想できる程度に具体的に特定しなければならない。
２ 前項の利用目的の特定に当たって、「自社の所要の目的で用いる」といった抽象的な利用目
的は、前項に規定する利用目的の特定として不十分であることから、協会員は、提供するサービスを示したうえで、利用目的を特定するよう努めなければならない。
３ 協会員は、利用目的を変更する場合には、保護法第17条第２項に定める「変更前の利用目的と関連性を有すると合理的に認められる範囲」を超えてはならない。
４ 協会員は、特定の個人情報の利用目的が、法令等に基づき限定されている場合には、その旨を明示するよう努めなければならない。

（「同意」の形式）

2

第４条 協会員は、本指針第５条、第14条、第15条及び第18条第２項に定める本人の同意を得る
場合には、原則として、書面（電磁的記録を含む。第21条を除き、以下同じ。）によることとする。なお、本人が未成年者、成年被後見人、被保佐人及び被補助人であって、個人情報の取扱いに関して同意したことによって生ずる結果について判断できる能力を有していない場合などは、親権者や法定代理人等から同意を得る必要がある。

（利用目的による制限）
第５条 協会員は、あらかじめ本人の同意を得ることなく、本指針第３条により特定した利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。ただし、あらかじめ本人の同意を得るために個人情報を利用すること（電子メールの送信や電話をかけること等）は、当初特定した利用目的にない場合でも、目的外利用には当たらない。
２

協会員は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該他の個
人情報取扱事業者の個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。また、承継前の利用目的の達成に必要な範囲内で取り扱う場合は目的外利用にならず、本人の同意を得る必要はない。
３ 前２項は、次に掲げる場合については適用しない。
(１) 法令に基づく場合(２) 人の生命、身体又は財産（法人の財産を含む。）の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
(３) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
(４) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(５) 学術研究機関等（大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者をいう。以下同じ。）に個人データを提供する場合であって、当該学術研究機関
等が当該個人データを学術研究の用に供する目的（以下「学術研究目的」という。）で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

（機微（センシティブ）情報の取扱いについて）
第６条 協会員は、機微（センシティブ）情報については、次に掲げる場合を除くほか、取得、

3

利用又は第三者への提供を行わないものとする。
(１) 法令等に基づく場合(２) 人の生命、身体又は財産の保護のために必要がある場合(３) 公衆衛生の向上又は児童の健全な育成の推進のため特に必要がある場合(４) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合(５) 保護法第20条第２項第６号に掲げる場合に機微（センシティブ）情報を取得する場
合、保護法第18条第３項第６号に掲げる場合に機微（センシティブ）情報を利用する場合
又は保護法第27条第１項第７号に掲げる場合に機微（センシティブ）情報を第三者提供する場合(６) 源泉徴収事務等の遂行上必要な範囲において、政治・宗教等の団体若しくは労働組合への所属若しくは加盟に関する従業員等の機微（センシティブ）情報を取得し、利用し、又は第三者提供する場合(７) 相続手続による権利義務の移転等の遂行に必要な限りにおいて、機微（センシティ
ブ）情報を取得し、利用し、又は第三者提供する場合(８) 協会員の電子決済等代行業の適切な業務運営を確保する必要性から、本人の同意に基づき業務遂行上必要な範囲で機微（センシティブ）情報を取得し、利用し、又は第三者提供する場合(９) 機微（センシティブ）情報に該当する生体認証情報を本人の同意に基づき、本人確認に用いる場合２ 協会員は、機微（センシティブ）情報を、前項に掲げる場合に取得、利用又は第三者に提供する場合には、同項に掲げる事由を逸脱した取得、利用又は第三者提供を行うことのないよう、特に慎重に取り扱うものとする。
３ 協会員は、機微（センシティブ）情報を、本条第１項に掲げる場合に取得、利用又は第三者に提供する場合には、個人情報の保護に関する法令等に従い適切に対応しなければならない。
なお、当該適切な対応には、要配慮個人情報を取得するに当たり保護法第20条第２項に従ってあらかじめ本人の同意を得ることを含むが、これに限られない。
４ 協会員は、機微（センシティブ）情報を第三者に提供するに当たっては、保護法第27条第２項（オプトアウト）の規定を適用してはならない。

（不適正な利用の禁止）

4第７条 協会員は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。

（適正な個人情報の取得）
第８条 協会員は、偽りその他不正の手段により個人情報を取得してはならない。また、協会員
は、第三者から個人情報を取得するに際しては、本人の利益の不当な侵害を行ってはならない。
２ 協会員は、第三者からの提供により個人情報を取得する場合には、提供元の法令遵守状況を確認するとともに、当該個人情報が適法に取得されたものであることを確認するものとする。

（個人情報取得時の利用目的の通知・公表、明示等）
第９条 協会員は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を本人に通知し、又は公表しなければならない。この場合において、「通知」の方法については、原則として書面によることとし、「公表」の方法については、自らの事業の態様に応じ、インターネットのホームページ等での公表、本店その他の営業所の窓口等への書面の掲示・備付け等適切な方法によらなければならない。
２ 協会員は、前項の規定にかかわらず、本人との間で契約を締結すること等に伴って契約書その他の書面に記載された個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。
３ 協会員は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
４ 前３項の規定は、次に掲げる場合については適用しない。
(１) 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合(２) 利用目的を本人に通知し、又は公表することにより当該協会員の権利又は正当な利益を害するおそれがある場合(３) 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(４) 取得の状況からみて利用目的が明らかであると認められる場合（データ内容の正確性の確保等）

5

第10条 協会員は、利用目的の達成に必要な範囲内において、個人情報データベース等への個人情報の入力時の照合・確認の手続の整備、誤り等を発見した場合の訂正等の手続きの整備、記録事項の更新、保存期間の設定等を行うことにより、個人データを正確かつ最新の内容に保つよう努めなければならない。
なお、保有する個人データを一律に又は常に最新化する必要はなく、それぞれの利用目的に応じて、その必要な範囲内で正確性・最新性を確保すれば足りる。
また、協会員は、保有する個人データについて利用する必要がなくなったとき、すなわ
ち、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等は、当該個人データを遅滞なく消去するよう努めなければならない。
なお、法令の定めにより保存期間等が定められている場合は、この限りではない。
（安全管理措置）第11条 協会員は、その取り扱う個人データの漏えい等の防止その他の個人データの安全管理のため、安全管理に係る基本方針・取扱規程等の整備及び安全管理措置に係る実施体制の整備等の必要かつ適切な措置を講じなければならない。また、必要かつ適切な措置は、個人データの取得・利用・保管等の各段階に応じた「組織的安全管理措置」、「人的安全管理措置」、「物理的安全管理措置」、「技術的安全管理措置」及び「外的環境の把握」を含むものでなければならない。当該措置は、個人データが漏えい、滅失又は毀損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人のデータの性質及び量を含む）並びに個人データを記録した媒体の性質等に起因するリスクに応じたものとする。なお、本条における用語の定義は、次のとおりである。
(１) 組織的安全管理措置
個人データの安全管理措置について役職員（協会員の組織内にあって、直接又は間接に協会員の指揮監督を受けて協会員の業務に従事する者をいい、雇用関係にある従業者（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、協会員との間の雇用関係にない者（取締役、会計参与（会計参与が法人であるときは、その職務を行うべき社員）、監査役、執行役又は派遣社員等も含まれる。以下同じ。）の責任と権限を明確に定め、安全管理に関する規程等を整備・運用し、その実施状況の点検・監査を行うこと等の協会員の体制整備及び実施措置をいう。
(２) 人的安全管理措置
役職員との個人データの非開示契約等の締結及び役職員に対する教育・訓練等を実施
し、個人データの安全管理が図られるよう役職員を監督することをいう。
(３) 物理的安全管理措置
個人データを取り扱う区域の管理、機器及び電子媒体等の盗難の防止、電子媒体等を持6

ち運ぶ場合の漏えい等の防止並びに機器及び電子媒体等の廃棄等の個人データの安全管理に関する物理的な措置をいう。
(４) 技術的安全管理措置
個人データ及びそれを取り扱う情報システムへのアクセス制御及び情報システムの監視
等の個人データの安全管理に関する技術的な措置をいう。
(５) 外的環境の把握
外国において個人データを取り扱う場合に、当該外国の個人情報の保護に関する制度等を把握することをいう。
２ 協会員は、個人データの安全管理に係る基本方針・取扱規程等の整備として、以下の「組織的安全管理措置」を講じなければならない。
(１) 規程等の整備① 個人データの安全管理に係る基本方針の整備② 個人データの安全管理に係る取扱規程の整備③ 個人データの取扱状況の点検及び監査に係る規程の整備④ 外部委託に係る規程の整備(２) 各管理段階における安全管理に係る取扱規程の整備① 取得・入力段階における取扱規程の整備② 利用・加工段階における取扱規程の整備③ 保管・保存段階における取扱規程の整備④ 移送・送信段階における取扱規程の整備⑤ 消去・廃棄段階における取扱規程の整備⑥ 漏えい等事案（漏えい等又はそのおそれのある事案をいう。以下同じ。）への対応の段階における取扱規程の整備
３

協会員は、個人データの安全管理に係る実施体制の整備として、以下の「組織的安全管理措置」、「人的安全管理措置」、「物理的安全管理措置」及び「技術的安全管理措置」
を講じなければならない。
(１) 組織的安全管理措置① 個人データの管理責任者等（個人データの安全管理に係る業務遂行の総責任者である個
人データ管理責任者、個人データを取り扱う各部署における個人データ管理者）の設置② 就業規則等における安全管理措置の整備

7

③ 個人データの安全管理に係る取扱規程に従った運用④ 個人データの取扱状況を確認できる手段の整備⑤ 個人データの取扱状況の点検及び監査体制の整備と実施⑥ 漏えい等事案に対応する体制の整備(２) 人的安全管理措置① 役職員との個人データの非開示契約等の締結② 役職員の役割・責任等の明確化③ 役職員への安全管理措置の周知徹底、教育及び訓練④ 役職員による個人データ管理手続きの遵守状況の確認(３) 物理的安全管理措置① 個人データの取扱区域等の管理② 機器及び電子媒体等の盗難等の防止③ 電子媒体等を持ち運ぶ場合の漏えい等の防止④ 個人データの削除及び機器、電子媒体等の廃棄(４) 技術的安全管理措置① 個人データの利用者の識別及び認証② 個人データの管理区分の設定及びアクセス制御③ 個人データへのアクセス権限の管理④ 個人データの漏えい等防止策⑤ 個人データへのアクセスの記録及び分析⑥ 個人データを取り扱う情報システムの稼動状況の記録及び分析⑦ 個人データを取り扱う情報システムの監視及び監査（役職員の監督）
第12条 協会員は、その役職員に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、適切な内部管理体制を構築し、その役職員に対する必要かつ適切な監督を行わなければならない。当該監督は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人データの取扱状況等に起因するリスクに応8

じたものとする。
２ 協会員は、前項の役職員に対する「必要かつ適切な監督」を以下の体制整備等により行わなければならない。
(１) 役職員が、在職中及びその職を退いた後において、当該協会員の電子決済等代行業に関して知り得た個人データを第三者に知らせ、又は利用目的外に使用しないことを内容とする契約等を採用時等に締結すること。
(２) 個人データの適正な取扱いのための取扱規程の策定を通じた役職員の役割・責任の明確化及び役職員への安全管理義務の周知徹底、教育及び訓練を行うこと。
(３) 役職員による個人データの持出し等を防ぐため、社内での安全管理措置に定めた事項の遵守状況等の確認及び役職員における個人データの保護に対する点検及び監査制度を整備すること。

（委託先の監督）
第13条 協会員は、個人データの取扱いの全部又は一部を委託（契約の形態や種類を問わず、協会員が他の者に個人データの取扱いの全部又は一部を行わせることを内容とする契約の一切を含む。また、形式上、委託契約が結ばれていなくともその実態において委託と同視しうる場合も含む。）する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。当該監督は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質並びに個人データの取扱状況等に起因するリスクに応じたものとする。
２ 協会員は、個人データを適正に取り扱っていると認められる者を選定し委託するとともに、委託先において取扱いを委託した個人データの安全管理措置が図られることを確保しなければならない（二段階以上の委託が行われた場合には、委託先の事業者が再委託先等の事業者に対して十分な監督を行っているかについても監督を行わなければならない。）。なお、具体的には、例えば以下の対応等を行わなければならない。
(１) 個人データの安全管理のため、委託先における組織体制の整備及び安全管理に係る基本方針・取扱規程の策定等の内容を委託先選定の基準に定め、当該基準を定期的に見直すこと。なお、委託先の選定に当たっては、必要に応じて個人データを取り扱う場所に赴く
方法（テレビ会議システム等（映像と音声の送受信により相手の状態を相互に認識できる方法をいう。）を利用する方法を含む。以下同じ。）又はこれに代わる合理的な方法による確認を行った上で、個人データ管理責任者等が適切に評価することが望ましい。
(２) 委託元の監督・監査・報告徴収に関する権限、委託先における個人データの漏えい等

9

の防止及び目的外利用の禁止、再委託に関する条件並びに漏えい等事案が発生した場合の委託先の責任を内容とする安全管理措置を委託契約に盛り込むとともに、定期的に監査を行う等により、定期的又は随時に当該委託契約に定める安全管理措置の遵守状況を確認し、当該安全管理措置を見直すこと。なお、委託契約に定める安全管理措置等の遵守状況については、個人データ管理責任者等が、当該安全管理措置等の見直しを検討することを含め、適切に評価することが望ましい。
委託先が再委託を行おうとする場合は、委託元は委託を行う場合と同様、再委託の相手方、再委託する業務内容及び再委託先の個人データの取扱方法等について、委託先に事前報告又は承認手続きを求め、かつ直接又は委託先を通じて定期的に監査を実施する等により、委託先が再委託先に対して本条の委託先の監督を適切に果たすこと及び再委託先が安全管理措置を講ずることを十分に確認することが望ましい。再委託先が再々委託を行う場
合以降も、再委託を行う場合と同様とする。

（第三者提供の制限）
第14条 協会員は、個人データの第三者（個人データを提供しようとする協会員及び当該個人データに係る本人のいずれに該当しないものをいい、自然人、法人その他の団体を問わない。第15条から第19条を除き、以下同じ。）への提供にあたり、あらかじめ本人の同意（原則として①個人データを提供する第三者、②提供を受けた第三者における利用目的、③第三者に提供される情報の内容を含む書面での同意を指す。）を得ないで提供してはならない。同意の取得にあたっては、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示さなければならない。
なお、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的
において、その旨を特定しなければならない。ただし、次に掲げる場合には、第三者への個
人データの提供にあたって本人の同意は不要である。
(１) 法令に基づく場合(２) 人の生命、身体又は財産（法人の財産を含む。）の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
(３) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
(４) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

10

(５) 当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
２ 協会員は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項にかかわらず、当該個人データを第三者に提供することができる。
また、協会員は、当該届出の内容を自らもインターネットの利用その他の適切な方法により公表するものとする。
なお、機微（センシティブ）情報、要配慮個人情報に該当するもの、及び偽りその他不正の手段により取得された個人データは、オプトアウトにより第三者に提供することや、オプトア
ウトにより提供を受けた個人データ（その全部又は一部を複製し、又は加工したものを含む。）をオプトアウトにより再提供することはできない。
(１) 協会員の名称、住所及び代表者の氏名(２) 第三者への提供を利用目的とすること。
(３) 第三者に提供される個人データの項目(４) 第三者に提供される個人データの取得の方法(５) 第三者への提供の手段又は方法(６) 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
(７) 本人の求めを受け付ける方法(８) 第三者に提供される個人データの更新の方法(９) 当該届出に係る個人データの更新の第三者への提供を開始する予定日
３ 協会員は、前項第１号に掲げる事項に変更があったとき又は同項の規定による個人データの提供をやめたときは遅滞なく、同項第３号から第５号まで、第７号又は第８号に掲げる事項を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
なお、協会員は、本項に従い、必要な事項を個人情報保護委員会に届け出たときは、その内容を自らも公表するものとする。
４ 次に掲げる場合において、当該個人データの提供を受ける者は、第三者に該当しない。

11

(１) 協会員が、利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合(２) 合併その他の事由による事業の承継に伴って個人データが提供される場合（事業の承継後も、別途本人の同意を得ない限り、個人データが当該事業の承継により提供される前の利用目的の範囲内で利用する場合に限る。）(３) 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範
囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者（共同して利用する者において、第一次的に苦情を受け付け、その処理を行うとともに、開示、訂正等及び利用停止等の決定を行い、安全管理に責任を有する者をいう。第６項において「管理責任者」という。）の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。
５ 協会員が前項第３号の規定により行う通知については、原則として書面によることとする。
協会員による「共同して利用する者の範囲」の通知等については、共同利用者を個別列挙する
よう努めなければならない。
６ 協会員は、第４項第３号に規定する管理責任者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったときは遅滞なく、同号に規定する利用する者の利用目的又は当該管理責任者を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

（外国にある第三者への提供の制限）
第15条

協会員は、外国（本邦の域外にある国又は地域をいう。以下同じ。）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している国として施行規則第15条で定めるものを除く。以下、本条及び第18条第１項第２号において同じ。）にある第三者（個人データの取扱いについて個人情報取扱事業者が講ずべきこととされている措置に相当する措置（以下「相当措置」という。）を継続的に講ずるために必要なものとして施行規則第16条で定める基準に適合する体制を整備している者を除く。以下、本項から第４項まで及び第18条第１項第２号において同じ。）に個人データを提供する場合には、
前条第１項各号に定める場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、前条の規定は適用しない。
２ 協会員は、前項の規定により本人の同意を得ようとする場合には、あらかじめ、次に掲げる情報を当該本人に提供しなければならない。ただし、第３号に掲げる情報の提供ができない場
合には、その旨及びその理由について情報提供しなければならない。

12

(１) 当該外国の名称(２) 適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報(３) 当該第三者が講ずる個人情報の保護のための措置に関する情報(４) 個人データの提供先の第三者(５) 提供先の第三者における利用目的(６) 第三者に提供される個人データの項目
３ 前項の規定にかかわらず、協会員は、第１項の規定により本人の同意を得ようとする時点において、提供先の第三者が所在する外国を特定できない場合には、次に掲げる情報を当該本人に提供しなければならない。ただし、第２号に掲げる情報の提供は、当該情報の提供が可能である場合に限る。
(１) 特定できない旨及びその具体的な理由（提供先が定まる前に本人同意を得る必要性を含む。）(２) 提供先の第三者が所在する外国の名称に代わる本人に参考となるべき情報
４ 協会員は前項に規定する場合において、事後的に提供先の第三者が所在する外国が特定できたときには、本人の求めに応じて第２項第１号及び第２号に掲げる事項について情報を提供することとし、事後的に提供先の第三者が講ずる個人情報の保護のための措置についての情報提供が可能となったときには、本人の求めに応じて同項第３号に掲げる事項について情報を当該本人に提供しなければならない。また、このような情報提供の求めが可能である旨を同意を得る際の書面における記載を通じて本人に認識させるとともに、本指針第30条に定める「個人情報保護宣言」に記載の上インターネットのホームページへの常時掲載又は事務所の窓口等での掲示・備付け等により、公表しなければならない。ただし、本人から情報提供の求めがあった場合であっても、情報提供することにより協会員の業務の適正な実施に著しい支障を及ぼすおそれがある場合等は、情報の全部又は一部について情報提供しないことができる。その場合、協会員は、本人に対し、遅滞なくその旨を通知するとともに、その理由を説明しなければならない。
５ 協会員は、個人データを外国にある第三者（第１項に規定する体制を整備している者に限る。以下、本項から第７項までにおいて同じ。）に提供する場合には、当該提供の時点で、当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及び内容、
当該制度がある場合においては、当該第三者による相当措置の実施の確保の可否を、適切かつ合理的な方法により、確認しなければならない。
６ 協会員は前項の規定により、第三者に個人データを提供した場合、当該第三者による相当措

13

置の継続的な実施を確保するために必要な措置として、次の措置を講じなければならない。
(１) 当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること(２) 当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データの当該第三者への提供を停止すること
７ 協会員は、第５項の規定により第三者に個人データを提供した場合、本人の求めを受けたと
きには、遅滞なく、次に掲げる情報を本人に提供しなければならない。また、このような情報提供の求めが可能である旨を、本指針第30条に定める「個人情報保護宣言」に記載の上インタ
ーネットのホームページへの常時掲載又は事務所の窓口等での掲示・備付け等により、公表しなければならない。ただし、情報提供することにより当該協会員の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、その全部又は一部を提供しないことができる。その場合、協会員は、本人に対し、遅滞なくその旨を通知するとともに、その理由を説明しなければならない。
(１) 外国にある第三者が第１項に規定する体制を整備する方法(２) 外国にある第三者が実施する相当措置の概要(３) 外国にある第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある制度の有無及びその内容の確認に関して、その頻度及び方法(４) 当該外国の名称(５) 外国にある第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要(６) 外国にある第三者による相当措置の実施に関する支障の有無及びその概要(７) 外国にある第三者による相当措置の実施に支障が生じた場合において、当該支障の解消・改善のために提供元の協会員が講ずる措置の概要（第三者提供に係る記録の作成等）
第16条 協会員は、保護法第29条の定めに従い、第三者（保護法第16条第２項各号に掲げる者を除く。以下、本条から第19条まで同じ。） に個人データを提供した場合には、個人データを提供した年月日、当該第三者の氏名又は名称その他の施行規則で定める事項に関する記録を作成しなければならない。ただし、国内にある第三者への提供においては、次の各号のいずれか

14

に該当する場合､記録の作成を要しないものとする｡
また､外国にある第三者への提供においては､次の第１号から第４号のいずれかに該当する
場合、又は当該第三者が施行規則第15条で定める我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国に所在する場合、若しくは施行規則第16条で定める相当する措置を継続的に講ずるために必要なものとして定める基準を満たしているものであって、次の第５号から第７号のいずれかに該当する場合、記録の作成を要しないものとする。なお、確認・記録義務ガイドライン２－２－１－１から２－２－１－３に定める場合について
は、確認・記録義務は適用されない。
(１) 法令に基づく場合(２) 人の生命、身体又は財産（法人の財産を含む。）の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
(３) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
(４) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(５) 当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
(６) 協会員が、利用目的の達成に必要な範囲内において個人データ取扱いの全部又は一部を委託することに伴って当該個人データが提供されるとき。
(７) 合併その他の事由による事業の承継に伴って個人データが提供されるとき。
(８) 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範
囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

（第三者提供を受ける際の確認等）
第17条 協会員は、保護法第30条の定めに従い、第三者から個人データの提供を受けるに際し、次に掲げる場合を除き、当該第三者の氏名又は名称及び住所並びに法人にあってはその代表者（法人でない団体で代表者又は管理人の定めのあるものにあってはその代表者又は管15理人）の氏名、当該第三者による当該個人データの取得の経緯の確認を行い、保護法第30条
第３項に定める事項に関する記録を作成しなければならない。ただし、実質的に「提供者」
による提供ではない場合（確認・記録義務ガイドライン２－２－１－１から２－２－１－３に定める場合）については、確認・記録義務は適用されない。また、確認・記録義務ガイド
ライン２－２－１－１及び２－２－２－２についても、受領者である協会員には確認・記録義務は適用されない。
(１) 法令に基づく場合(２) 人の生命、身体又は財産（法人の財産を含む。）の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
(３) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
(４) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(５) 当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
(６) 協会員が、利用目的の達成に必要な範囲内において個人データ取扱いの全部又は一部を委託することに伴って当該個人データが提供されるとき。
(７) 合併その他の事由による事業の承継に伴って個人データが提供されるとき。
(８) 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範
囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

（個人関連情報の第三者提供の制限）
第18条 協会員は、第三者が個人関連情報（本指針第２条第12号に掲げる個人関連情報データベース等を構成するものに限る。以下、本条において同じ。）を個人データとして取得することが想定されるときは、本指針第14条第１項各号に掲げる場合を除くほか、次に掲げる事項について、あらかじめ確認しないで、当該個人関連情報を当該第三者に提供してはならない｡(１) 当該第三者が協会員から個人関連情報の提供を受けて本人が識別される個人データと16

して取得することを認める旨の当該本人の同意が得られていること(２) 外国にある第三者への提供にあっては、前号の本人の同意を得ようとする場合において、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個
人情報の保護のための措置その他当該本人に参考となるべき情報が当該本人に提供されていること
２ 協会員は個人関連情報取扱事業者から個人関連情報の提供を受けて個人データとして取得するに当たり、本人の同意を得ようとする場合（提供元の個人関連情報取扱事業者に同意取得を代行させる場合を含む。）には、次に掲げる情報を本人に提供しなければならない。
(１) 対象となる個人関連情報の項目(２) 個人関連情報の提供を受けて個人データとして取得した後の利用目的
３ 本指針第15条第６項の規定は、第１項の規定により協会員が個人関連情報を提供する場合について準用する。
４ 前条の記録義務の規定は、第１項の規定により協会員が確認する場合について準用する。

（第三者提供時の記録に係る保存期間）
第19条 本指針第16条、第17条及び第18条に従い作成した記録については、当該記録を作成した日から施行規則で定める期間保存しなければならない。

（保有個人データに関する事項の公表等）
第20条 協会員は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。なお、利用目的に第三者提供が含まれる場合には、第２号の内容として、その旨を明らかにしなければならない。
(１) 協会員の名称及び住所並びに代表者の氏名(２) 全ての保有個人データの利用目的（ただし、第９条第４項第１号から第３号に該当する場合を除く。）(３) 次項の規定による求め又は次条第１項（同条第３項において準用する場合を含
む。）、第22条第１項若しくは第23条第１項から第３項の規定による請求に応じる手続（第26条の規定により手数料の額を定めたときは、その手数料の額を含む。）(４) 保有個人データの安全管理のために講じた措置（本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。）

17

(５) 保有個人データの取扱いに関する自社における苦情の申出先(６) 認定個人情報保護団体がある場合にはその名称及びその苦情の解決の申出先
２ 協会員は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りではない。
(１) 前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合(２) 本指針第９条第４項第１号から第３号に該当する場合
３ 協会員は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。また、その決定の理由について、根拠とした法の条文、判断の根拠及び判断の基準となる事実を示して説明することとする。

（開示）第21条 協会員は、本人から、当該本人が識別される保有個人データの開示（存在しないときにはその旨を知らせることを含む。）の請求を受けたときは、本人に対し、電磁的記録の提供による方法、書面の交付による方法、その他協会員が定める方法のうち本人が請求した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
(１) 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合(２) 協会員の業務の適正な実施に著しい支障を及ぼすおそれがある場合(３) 他の法令に違反することとなる場合
２ 協会員は、前項の規定による請求に係る保有個人データの全部若しくは一部について開示しない旨の決定をしたとき、当該保有個人データが存在しないとき又は本人が請求した方法による開示が困難であるときは、本人に対し、遅滞なく、その旨を通知しなければならない。なお、本人が請求した方法による開示が困難であるときは、その旨を本人に通知したうえで、書面の交付による方法により開示を行わなければならない。また、その決定の理由について、根拠とした法の条文、判断の根拠及び判断の基準となる事実を示して説明することとする。
３ 前２項の規定は当該本人が識別される個人データに係る本指針第16条及び第17条の規定による第三者提供記録（その存否が明らかになることにより公益その他の利益が害されるものとして施行令で定めるものを除く。）について準用する。

18

（訂正等）
第22条 協会員は、本人から、当該本人が識別される保有個人データに誤りがあり、事実でないという理由によって、内容の訂正、追加又は削除（以下「訂正等」という。）の請求を受けた
場合は、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく、事実の確認等の必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。
２ 協会員は、前項の請求に係る保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を通知しなければならない。なお、協会員は、訂正等を行わない場合は、訂正等を行わない根拠とした法の条文、判断の根拠及び判断の基準となる事実を示し、その理由を説明することとする。

（利用停止等）第23条 協会員は、本人から、当該本人が識別される保有個人データが本指針第５条若しくは第７条の規定に違反して取り扱われたものであるという理由又は本指針第８条の規定に違反して取得されたという理由によって、当該保有個人データの利用の停止又は消去（以下「利用停止等」という。）の請求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
２ 協会員は、本人から、当該本人が識別される保有個人データが本指針第14条第１項又は第15条の規定に違反して第三者に提供されているという理由によって、当該保有個人データの第三者提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
３ 協会員は、本人から、当該本人が識別される保有個人データを当該協会員が利用する必要がなくなったという理由、当該本人が識別される保有個人データに係る本指針第28条第１項に規定する漏えい等の事態が生じたという理由その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがあるという理由によって当該保有個人データの利用停止等又は第三者への提供の停止の請求を受けた場合であって、その請求に19

理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行わなければならない。ただし、当該保有個人データの利用停止等又は第三者への提供の停止に多額の費用を要する場合その他の利用停止等又は第三者への提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
４ 協会員は、第１項若しくは前項の規定による請求に係る保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき又は第２項若しくは前項の規定による請求に係る保有個人データの全部若しくは一部について第三者提供を停止したとき若しくは第三者提供を停止しない旨を決定したときは、本人に対し、遅滞なく、その旨（本人から求められた措置と異なる措置を行う場合には、その措置内容を含む。）
を通知しなければならない。また、その決定の理由について、根拠とした法の条文、判断の根
拠及び判断の基準となる事実を示して説明することとする。

（理由の説明）
第24条 協会員は、本指針第20条第３項、第21条第２項（同条第３項において準用する場合を含む）、第22条第２項、前条第３項及び同条第４項の規定により、本人から求められ、又は請求された措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合において、本人に対しその理由を説明する際には、措置をとらないこととし、又は異なる措置をとることとした根拠とした法の条文、判断の根拠及び根拠となる事実を示すこととする。

（開示等の請求等に応じる手続）
第25条 協会員は、本指針第20条第２項の規定による求め又は第21条第１項（同条第３項において準用する場合を含む）、第22条第１項、第23条第１項、第２項若しくは第３項の規定による請求（以下「開示等の請求等」という。）に関し、以下のとおり、その受け付けの方法を定めることができる。この場合において、協会員は、本指針第30条に定める個人情報保護宣言と一体として、インターネットのホームページでの常時掲載（保有個人データに関する事項が示された画面に１回程度の操作で遷移するよう設定したリンクを「個人情報保護宣言」に継続的に掲載することを含む。）や営業所の窓口等での掲示・備付け等を行うこととする。
(１) 開示等の請求等の申出先(２) 開示等の請求等に際して提出すべき書面の様式、その他の開示等の請求等の受付方法(３) 開示等の請求等をする者が本人又は代理人（未成年者若しくは成年被後見人の法定代理人、又は本人が委任した任意代理人をいう。以下、本条において同じ。）であることの

20

確認方法
(４) 保護法第38条第１項の手数料の金額とその徴収方法（無料とする場合を含む。）(５) 開示等の請求等の対象となる保有個人データ又は第三者提供記録の特定に必要な事項(６) 開示等の請求等に対する回答方法等
２ 協会員は、代理人が開示等の請求等を行う場合の手続として、前項各号に加えて次の事項を定めるものとする。なお、施行令第11条第２号に定める代理人による開示等の請求等に対して、本人にのみ直接開示等することは妨げない。
(１) 代理人の本人確認方法(２) 代理人の代理権を確認する方法
３ 協会員は、前２項の規定に基づき開示等の請求等に関する手続を定めるにあたっては、本人に過重な負担を課するものとならないよう配慮しなければならない。
４ 協会員は、本条第１項第５号に関して、その対象となる保有個人データを特定するに足りる事項の提示を本人に求める場合には、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。

（手数料）
第26条 協会員は、本指針第20条第２項の規定による利用目的の通知を求められたとき又は第21条第１項若しくは同条第３項の規定による開示の請求を受けたときは、当該措置の実施に関し、手数料を徴収することができる。
２ 協会員は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。

（協会員による苦情の処理）
第27条 協会員は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
２ 協会員は、苦情受付窓口の設置や苦情処理手順の策定、苦情処理に当たる役職員への十分な教育・研修等により、前項の目的を達成するために必要な体制の整備に努めなければならな
い。

（個人情報等の漏えい事案等への対応）
第28条 協会員は、施行規則第７条各号に定める事態を知ったときは、個人情報の保護に関す

21

る法律についてのガイドライン（通則編） ３－５－３（個人情報保護委員会への報告）に従って、個人情報保護委員会（保護法第147条の規定により金融庁長官等が報告を受理する権限の委任を受けている場合にあっては金融庁長官、財務局長又は財務支局長、保護法第165条の規定により地方公共団体の長等が報告を受理する権限に属する事務を行う場合にあっては地方公共団体の長等）及び本協会に報告しなければならない。また、協会員は、その取り扱う個人である顧客等に関する個人データの漏えい等が発生し、又は発生したおそれがある事態を知ったときは、監督当局及び本協会に報告しなければならない。なお、行政手続における
特定の個人を識別するための番号の利用等に関する法律（以下、「番号法」という。）第２条第８項に定める特定個人情報が漏えいした場合には、あわせて個人情報保護委員会にも報告するものとする。
２ 協会員は、次に掲げる事態（前項に規定する事態を除く。）を知ったときは、前項の規定に準じて、監督当局及び本協会に報告することとする。
(１) その取り扱う個人情報の漏えい等が発生し、又は発生したおそれがある事態(２) その取り扱う仮名加工情報に係る削除情報等（保護法第41条第１項の規定により行われた加工の方法に関する情報にあっては、その情報を用いて仮名加工情報の作成に用いられた個人情報を復元することができるものに限る。次項において同じ。）又は匿名加工情報に係る加工方法等情報の漏えいが発生し、又は発生したおそれがある事態
３ 協会員は、施行規則第７条各号に定める事態を知ったときは、個人情報の保護に関する法律についてのガイドライン（通則編） ３－５－４（本人への通知）に従い、本人への通知等を行わなければならない。 また、協会員は、次に掲げる事態（施行規則第７条各号に定める事態を除く。）を知ったときも、これに準じて、本人への通知等を行うこととする。
(１) その取り扱う個人データ（仮名加工情報である個人データを除く。）の漏えい等が発生し、又は発生したおそれがある事態(２) その取り扱う個人情報（仮名加工情報である個人情報を除く。）の漏えい等が発生し、又は発生したおそれがある事態(３) その取り扱う仮名加工情報に係る削除情報等又は匿名加工情報に係る加工方法等情報の漏えいが発生し、又は発生したおそれがある事態
４ 協会員は、第１項及び第２項に規定する事態が発覚した場合は、当該事態の内容等に応じて、次に掲げる事項について必要な措置を講じなければならない。
(１) 事業所内部における報告及び被害の拡大防止(２) 事実関係の調査及び原因の究明(３) 影響範囲の特定

22

(４) 再発防止策の検討及び実施
また、当該事態の内容等に応じて、二次被害の防止、類似事案の発生回避等の観点から、当該事態の事実関係及び再発防止策等について、速やかに公表することとする。
５ 上記以外の事項については、個人情報の保護に関する法律についてのガイドライン（通則編）の例による（施行規則第７条各号関係に限る。）。

（仮名加工情報についての本指針の適用関係）
第29条 仮名加工情報（個人情報であるものに限る。以下、本項において同じ。）に関する本指針の適用については、次のとおりとする。
(１) 本指針第５条の規定にかかわらず、法令に基づく場合を除くほか、第３条第１項の規定により特定された利用目的の達成に必要な範囲を超えて、仮名加工情報を取り扱ってはならない。
(２) 本指針第９条の仮名加工情報についての規定の適用については、同条第１項及び第３項中「本人に通知し、又は公表し」とあるのは「公表し」と、同条第４項第１号から第３号までの規定中「本人に通知し、又は公表する」とあるのは「公表する」とする。
(３) 協会員は、仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞なく消去するよう努めなければならない。この場合において、本指針第10条の規定は、適用しない。
(４) 協会員は、本指針第14条第１項及び第２項並びに第15条第１項の規定にかかわらず、
法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはならない。この場合において、第14条第４項第３号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第６項中「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と、第16条中「国内にある第三者への提供においては、次の各号のいずれかに該当する場合､記録の作成を要しないものとする｡また、外国にある第三者への提供においては、次の第１号から第４号のいずれかに該当する場合、又は当該第三者が施行規則第15条で定める我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国に所在する場
合、若しくは施行規則第16条で定める相当する措置を継続的に講ずるために必要なものとして定める基準を満たしているものであって、次の第６号から第８号のいずれかに該当する場合」とあるのは、「次の第１号又は第５号から第７号に掲げる場合」と第17条中「次に掲げる場合」とあるのは「次の第１号又は第５号から第７号に掲げる場合」と読み替えるものとする。

23

(５) 仮名加工情報、仮名加工情報である個人データ及び仮名加工情報である保有個人デー
タについては、本指針第３条第３項、第20条から第26条及び第28条の規定は、適用しない。
２ 仮名加工情報（個人情報であるものを除く。以下、本項において同じ。）に関する本指針の適用については、次のとおりとする。
(１) 協会員は、法令に基づく場合を除くほか、仮名加工情報を第三者に提供してはならない。
(２) 本指針第14条第４項及び第６項の規定は、仮名加工情報の提供を受ける者について準用する。この場合において、同条第４項第３号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第６項中「、本人に通知し、又は本人が容易に知り得る状態に置いているとき」とあるのは「公表しているとき」と読み替えるものとする。
(３) 本指針第11条から第13条まで、及び第27条の規定は、協会員による仮名加工情報の取扱いについて準用する。

（個人情報保護宣言の策定）
第30条 協会員は、個人情報に対する取組方針をあらかじめ分かりやすく説明することの重要性に鑑み、協会員の個人情報保護に関する考え方及び方針に関する宣言（いわゆるプライバシー
ポリシー、プライバシーステートメント等。以下「個人情報保護宣言」という。）を策定し、インターネットのホームページへの常時掲載又は事務所の窓口等での掲示・備付け等により公表することとする。
２ 個人情報保護宣言には、例えば、以下の内容を記載することとする。
(１) 関係法令等の遵守、個人情報を目的外に利用しないこと及び苦情処理に適切に取り組
むこと等、個人情報保護への取組方針の宣言(２) 保護法第21条及び本指針第９条における利用目的の通知・公表等の手続についての分
かりやすい説明(３) 保護法第32条及び本指針第25条における開示等の手続等、個人情報保護の取扱いに関する諸手続についての分かりやすい説明(４) 個人情報の取扱いに関する質問及び苦情処理の窓口
３ 個人情報保護宣言には、本人の権利利益保護の観点から、事業活動の特性、規模及び実態に応じて、次に掲げる点を考慮した記述をできるだけ盛り込むよう努めるものとする。
(１) 保有個人データについて本人から求めがあった場合には、ダイレクトメールの発送停

24止など、自主的に利用停止等に応じること。
(２) 委託の有無、委託する事務の内容を明らかにする等、委託処理の透明化を進めること。
(３) 協会員がその事業内容を勘案して顧客の種類ごとに利用目的を限定して示したり、協会員が本人の選択による利用目的の限定に自主的に取り組むなど、本人にとって利用目的がより明確になるようにすること。
４ 個人情報保護宣言は、本人がこれを適切に理解した上で自らの判断により選択の機会を行使することができるような表示等により構成するのが望ましい。
５ 個人情報の取得元又はその取得方法（取得源の種類等）を可能な限り具体的に明記すること。

（本協会への報告等）
第31条 本協会は、協会員に対し、当該協会員による本指針の遵守を確認するために、適宜報告を求めることができる。
２ 本協会は、協会員に対し、本指針を遵守させるために必要な指導及び勧告その他の措置を行う。
３ 協会員は、本指針を遵守するとともに、本協会が行う必要な指導及び勧告その他の措置に従わなければならない。

附 則
この指針は、理事会の決議の日（令和4年12月22日）から適用する。

25