個人情報保護基本規則(平成 30 年 8 月 1 日制定)

(目的)第 1 条 本規則は、個人情報の保護に関する法律(平成 15 年法律第 57 号)(以下｢法｣という。)、個人情報の保護に関する法律施行令(平成 15 年政令第 507 号)(以下｢施行令｣という。)、個人情報の保護に関する法律施行規則(以下｢施行規則｣という。)及び個人情報の保護に関する基本方針(平成 16 年 4 月 2 日閣議決定)に基づき、個人情報の保護に関する法律についてのガイドライン(通則編)(平成 28 年個人情報保護委員会告示第 6 号)、同ガイドライン(外国にある第三者への提供編)(平成 28 年個人情報保護委員会告示第 7 号)、同ガイドライン(第三者提供時の確認・記録義務編)(平成 28 年個人情報保護委員会告示第 8 号)、同ガイドライン(仮名加工情報・匿名加工情報編)(平成 28 年個人情報保護委員会告示第 9 号)、金融庁が指針として定めた金融分野における個人情報保護に関するガイドライン(平成 29 年 2 月 28 日個人情報保護委員会・金融庁告示第1 号)及び金融分野における個人情報保護に関するガイドラインの安全管理措置等についての実務指針(平成 29 年個人情報保護委員会・金融庁告示第 2 号)等を踏まえ、一般社団法人電子決済等代行事業者協会(以下｢本協会｣という。)の取り扱う個人情報の適正な取扱いについて、本協会職員等が遵守すべき基本的事項を定めるとともに、その適切な運用によって本協会の信頼性を高め、もって社会的信頼を得つつ本協会の活動の向上を図ることを目的とする。
(用語の定義)第 2 条 本規則における用語の定義は次のとおりとする。
1.｢個人情報｣とは、法第 2 条第 1 項に定める「個人情報」をいう。
2.｢個人識別符号｣とは、法第 2 条第 2 項に定める「個人識別符号」をいう。
3.｢要配慮個人情報｣とは、法第 2 条第 3 項に定める「要配慮個人情報」をいう。
4.「仮名加工情報」とは、法第 2 条第 5 項に定める「仮名加工情報」をいう。
5.「匿名加工情報」とは、法第 2 条第 6 項に定める「匿名加工情報」をいう。
6.「個人関連情報」とは、法第 2 条第 7 項に定める「個人関連情報」をいう。
7.｢個人情報データベース等｣とは、法第 16 条第 1 項に定める「個人情報データベース等」をいう。
8.｢個人データ｣とは、法第 16 条第 3 項に定める「個人データ」をいう。
9.｢保有個人データ｣とは、法第 16 条第 4 項に定める「保有個人データ」をいう。
10.｢個人関連情報データベース等｣とは、法第 16 条第 7 項に定める「個人関連情報データベース等」をいう。
11.個人情報について｢本人｣とは、個人情報によって識別される特定の個人をいう。
12.「学術研究機関等」とは、法第 16 条第 8 項に定める「学術研究機関等」をいう。
13.「第三者提供記録」とは、法第 33 条第 5 項に定める「第三者提供記録」をいう。
14.「開示等の請求等」とは、法第 32 条第 2 項の規定による求め又は法第 33 条第 1 項(同条第 5項において準用する場合を含む。)、法第 34 条第 1 項若しくは法第 35 条第 1 項、第 3 項若しくは第 5 項の規定による請求をいう。
15.「漏えい等」とは、漏えい、滅失又は毀損をいう。
(個人情報の利用目的の特定)

1

第 3 条 本協会が個人情報を取り扱うに当たっては、次の利用目的のみに利用することとし、他の目的に利用してはならない。
(1)本協会の会員管理(2)電子決済等代行業に関する調査研究業務(3)電子決済等代行業に関する苦情・相談業務(4)電子決済等代行業に関する各種の登録申請・届出(もしあれば)に関する手続き業務(5)電子決済等代行業に関する広報啓発業務(6)電子決済等代行業に関する研修・セミナー等(7)電子決済等代行業の法令遵守指導業務(8)本協会が実施するビジネスマッチングを含む会員向け事業支援サービス提供の案内(9)官公庁、関係団体等への政策、制度提言及び意見交換(10)その他本協会の組織運営に関する業務(個人情報管理の総括)
第 4 条 個人情報管理責任者は、本協会全体の個人情報の管理を統括する。
(職員等の責務)
第 5 条 職員等は、法令及び本規則等に従い、個人情報を管理しなければならない。
(個人情報の取扱いに関する基本原則)
第 6 条 本協会は、次の各号に定めるところにより、個人情報を適正に取り扱わなければならない。
(1)本協会は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。
(2)本協会は、偽りその他不正の手段により個人情報を取得してはならない。また、第三者から個人情報を取得するに際しては、本人の利益の不当な侵害を行ってはならず、個人情報の不正取得等の不当な行為を行っている第三者から、当該情報が漏えいされた個人情報であること等を知った上で当該情報を取得してはならない。
(3)本協会は、個人情報を取り扱うに当たっては、その利用目的を特定しなければならない。また、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
(4)本協会は、あらかじめ本人に同意を得ることなく、個人データを第三者(本協会及び本人のいずれにも該当しないものをいう。以下本条において同じ。)に提供してはならない。ただし、法令に定めのある場合や本規則で定めるところにより、個人情報の取扱いを第三者に委託する場合を除く。
(5)本協会は、あらかじめ、法令に定める情報を提供した上で、本人に外国にある第三者への提供を認める旨の同意を得ることなく、個人データを外国にある第三者に提供してはならない。ただし、法令に定めのある場合を除く。
(6)本協会は、個人データを第三者に提供したときは、法令に従い、第三者提供に係る記録を作成し、保存する。
(7)本協会は、第三者から個人データの提供を受けるに際しては、法令に従い、必要な確認を行い、当該確認に係る記録を作成し、保存する。

2

(8)本協会は、第三者が個人関連情報（個人関連情報データベース等を構成するものに限る。）を個人データとして取得することが想定されるときは、あらかじめ法令に定めるところにより確認することをしないで、当該個人関連情報を当該第三者に提供してはならない。
(9)本協会は、利用目的の達成に必要な範囲内において、個人情報を正確かつ最新の内容に保つよう努めなければならない。また、理事会が定める文書保存期間経過後の個人情報を速やかに廃棄又は消去しなければならない。
(10)本協会は、本規則で定めるところにより、本人が当該本人に係る個人情報に適正に関与できるように配慮しなければならない。
(11)本協会は、本規則で定めるところにより、個人情報データベース等及び個人データについて、不当なアクセス、紛失、破棄、改ざん、漏えい等の防止その他の安全管理のための必要かつ適正な措置を講じなければならない。
(12)本協会は、匿名加工情報を取り扱う場合又は第三者に提供する場合には、法令等を遵守し、適切に取り扱わなければならない。
(機微(センシティブ)情報の取扱い)
第 7 条 本協会は、要配慮個人情報並びに、労働組合への加盟、門地、本籍地、保険医療及び性生活(これらのうち要配慮個人情報に該当するものを除く。)に関する情報(本人、国の機関、地方公共団体、学術研究機関等、法第 57 条第 1 項各号に掲げる者若しくは施行規則第 6 条各号に掲げる者により公開されているもの、又は、本人を目視し、若しくは撮影することにより取得するその外形上明らかなものを除く。以下｢機微情報｣という。)については、次に掲げる場合を除くほか、取得、利用又は第三者提供を行わないものとする。
(1)法令等に基づく場合(2)人の生命、身体又は財産の保護のために必要がある場合(3)公衆衛生の向上又は児童の健全な育成の推進のため特に必要がある場合(4)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合(5)法第 20 条第 2 項第 6 号に掲げる場合に機微情報を取得する場合、法第 18 条第 3 項第 6 号に掲げる場合に機微情報を利用する場合、又は法第 27 条第 1 項第 7 号に掲げる場合に機微情報を第三者提供する場合(6)源泉徴収事務等の遂行上必要な範囲において、政治・宗教等の団体若しくは労働組合への所属若しくは加盟に関する従業員等の機微情報を取得、利用又は第三者提供する場合(7)相続手続きによる権利義務の移転等の遂行に必要な限りにおいて、機微情報を取得、利用又は第三者提供する場合(8)本協会の銀行法に定める適切な業務運営を確保する必要性から、本人の同意に基づき業務遂行上必要な範囲で機微情報を取得、利用又は第三者提供する場合(9)機微情報に該当する生体認証情報を本人の同意に基づき、本人確認に用いる場合
2 本協会は、機微情報を前項各号に定める事由により取得、利用又は第三者提供する場合には、各号の事由を逸脱して、取得、利用又は第三者提供を行うことのないよう、特に慎重に取り扱うものとする。
3 本協会は、機微情報を、第 1 項に掲げる場合に取得、利用又は第三者提供する場合には、例えば、要配慮個人情報を取得するに当たっては、法第 20 条第 2 項に従い、あらかじめ本人の同意を得なければならないとされていることなど、個人情報の保護に関する法令等に従い適切に対応しなければならないことに留意する。

3

4 本協会は、機微情報を第三者へ提供するに当たっては、法第 27 条第 2 項の規定を適用しないこととする。
(情報の取得における留意事項)
第 8 条 本協会は、個人情報を取得した場合、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を本人に通知し、又は公表しなければならない。
2 利用目的の通知の方法については、原則として書面によることとし、公表の方法については、インターネット上のホームページ等での公表等、本人が知りうる適切な方法によるものとする。
3 本協会は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。なお、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行わないものとする。
4 本協会は、本規則に定める本人の同意を得る場合には、原則として、書面(電磁的記録を含む。)によることとする。
(組織的安全管理措置に係る体制の整備)
第 9 条 本協会は、個人情報の組織的安全管理を維持していくために、次の管理体制を整えるものとする。
1.個人情報管理責任者に、個人情報の内容及びその取扱い状況について次に掲げる事項を把握・管理させること(1)個人情報の名称・内容(2)保存場所・保存方法(3)保存期間
2.個人情報管理責任者に、本規則の遵守状況について定期的に監査及び点検させること(人的安全管理措置に係る体制の整備)
第 10 条 本協会は、個人情報の人的安全管理を維持していくために、次の管理体制を整えるものとする。
1.個人情報保護宣言(個人情報保護に関する運用指針)を事務室内に掲示する等、職員等に対し、安全管理措置を周知すること。
2.職員等に対し、安全管理措置に関する教育・研修を定期的に実施すること。
3.職員等が、在職中及びその職を退いた後において、その業務に関して知り得た個人情報を第三者に知らせ、又は利用目的外に使用しないことを内容とする契約等を採用時等に締結すること。
4.別に定める場合を除き、職員等に個人情報を本協会外に持ち出させないこと。
(物理的安全管理措置に係る体制の整備)
第 11 条 本協会は、個人情報の物理的安全管理を維持していくために、次の管理体制を整えるものとする。
1.個人情報については、施錠管理できる保管庫に収納し、個人情報管理責任者が許可する職員等のみに施開錠及び取扱いをさせること。
2.情報処理機器等については、必要かつ十分な盗難防止措置を講じること。
3.情報処理機器等を処分または再利用する前に、個人情報を情報処理機器等から適切な方法により消去すること。
4.職員等に、クリアデスク方針及びクリアスクリーン方針を遵守させること。

4

(技術的安全管理措置に係る体制の整備)
第 12 条 本協会は、個人情報の技術的安全管理を維持していくために、次の管理体制を整えるものとする。
1.個人データを取り扱う情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入し、適切に運用すること。
2.パスワードの設定その他の方法により、個人情報へのアクセスを制限すること。
(1)個人情報に漏えい等が発生した場合を想定した対応措置及び漏えい等発生時の復旧作業手順について、別に定めること。
(2)コンピューターウイルス等不正プログラムへの防御及び被害時の対策のために適切な措置を講じること。
3. 個人データを取り扱う情報システムを使用する職員等が正当なアクセス権を有する者であることを、適切に認証すること。
(外的環境の把握)
第 13 条 本協会は、外国において個人データを取り扱う場合、当該外国の個人情報の保護に関する制度等を把握した上で、個人データの安全管理のために必要かつ適切な措置を講じるものとする。
(委託先の監督)
第 14 条 本協会は、個人情報の取扱いの全部又は一部を委託(本協会に所属する職員等以外の者に個人情報の取扱いの全部又は一部を行わせることを内容とする契約の一切を含む。)する場合は、その取扱いを委託された個人情報の安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
2 本協会は、前項の場合において、個人情報を適正に取り扱っていると認められる者を選定して委託するとともに、委託契約において、取り扱いを委託した個人情報の安全管理措置を確保するよう委託先に義務付けなければならない。
(開示)
第 15 条 本協会は、本人から当該本人が識別される保有個人データ(当該本人に係るものに限る。
以下第 17 条までにおいて同じ。)について開示を求められたときは、次の場合を除き、本人に対し、本人が請求した方法法(当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法)により、遅滞なく、当該保有個人データを開示しなければならない。
(1)本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合(2)本協会の業務の適正な実施に著しい支障を及ぼすおそれがある場合(3)法以外の法令に違反することとなる場合
2 本協会は、保有個人データを開示できない場合は、本人に遅滞なくその旨を通知するとともに、その判断の根拠及び根拠となる事実を示して、その理由を説明しなければならない。
3

前二項の規定は、第三者提供記録について準用する。

(訂正等)

5

第 16 条 本協会は、本人から、保有個人データの内容が事実でないという理由によって当該保有個人データの内容の訂正、追加又は削除(以下この条において｢訂正等｣という。)を求められた場
合には、遅滞なく、事実の確認等の必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければない。
2 本協会は、本人から求められた保有個人データの訂正等を行ったとき、又は訂正等を行わない旨を決定したときは、本人に対し、遅滞なく、その旨(訂正等を行わない旨を決定したときは、その判断の根拠及び根拠となる事実を含む。)を通知しなければならない。
(利用停止等、第三者への提供の停止)
第 17 条 本協会は、本人から、保有個人データが法第 18 条若しくは法第 19 条の規定に違反して取り扱われている、又は法第 20 条の規定に違反して取得されたものであることを理由として当該保有個人データの利用停止又は消去(以下この条において｢利用停止等｣という。)を求められた場合であって、その求めに理由があることが判明したときは、遅滞なく、当該保有個人データの利用停止等を行わなければならない。
2 本協会は、本人から、保有個人データが法第 27 条第 1 項又は法第 28 条の規定に違反して第三者に提供されていることを理由として当該保有個人データの第三者への提供の停止を求められた場合であって、その求めに理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。
3 本協会は、本人から、保有個人データを本協会が利用する必要がなくなった、当該本人が識別される保有個人データに係る法第 26 条第 1 項本文に規定する事態が生じたその他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合にはことを理由として当該保有個人データの利用停止等又は第三者への提供の停止を求められた場合であって、その求めに理由があることが判明したときは、遅滞なく、当該保有個人データの利用停止等又は第三者への提供を停止しなければならない。
4 前三項の規定について、当該保有個人データの利用停止又は第三者への提供の停止に多額の費用を要する場合その他の利用停止等又は第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
5 本協会は、本人から求められた利用停止等若しくは第三者への提供の停止を行ったとき、又は利用停止等若しくは第三者への提供の停止を行わない旨を決定したときは、本人に対し、遅滞なく、その旨(利用停止等又は第三者への提供の停止を行わない旨を決定したときは、その判断の根拠及び根拠となる事実を含む。)を通知しなければならない。
(開示等の請求等に応じる手続)
第 18 条 本協会は、開示等の請求等に関し、次の事項を定めなければならない。
(1)開示等の請求等に際して提出すべき書面の様式(2)開示等の請求等をする者の本人確認方法(3)手続の手数料の金額とその徴収方法(4)開示等の請求等に対する回答方法等
2 本協会は、前項各号の開示等の請求等に応じる手続を、インターネットのホームページでの常時掲載や事務所での備付けにより公表しなければならない。
(苦情の処理)第 19 条 本協会は、個人情報の取扱いに関する苦情を受けたときは、その内容について調査し、合理的な期間内に、適切かつ迅速な処理に努めなければならない。

6

2 本協会は、苦情処理手順の策定、苦情受付窓口の設置、苦情処理に当たる職員等への十分な教育・研修等、苦情処理を適切かつ迅速に行うために必要な体制の整備に努めなければならない。
(漏えい等発生時における対応)
第 20 条 個人情報管理責任者は、漏えい等が発生した場合には、直ちに次の各号に掲げる措置を講じなければならない。
(1)代表理事に漏えい等の内容を報告し、その指示を仰ぐこと。
(2)施行規則第 7 条に定める事態が生じた場合には、法令に従い、所管庁に漏えい等の内容を報告すること。
(3)前号に定める事態が生じた場合には、漏えい等に係る個人情報で特定される本人に対して、法令に従い、漏えい等の事実を通知し、謝罪すること。
(4)必要に応じて、漏えい等の事実を公表すること。
(5)二次被害が生じた場合に備えて、相談窓口を設置するとともに、対応策を講じること。
(6)漏えい等の事実関係を調査すること。
(7)漏えい等が発生したことを踏まえて、本協会の体制を見直す等、再発防止策を講じること。
2

前項第 7 号の再発防止策の策定に当たっては、客観性を確保する観点から、外部の専門家等を含む調査委員会を設置して行うものとする。

3

情報管理責任者は、前二項の措置(第 1 項第 2 号及び第 3 号に掲げるものを除く。)を講じるに当たっては、適宜、代表理事に報告して、その了承を求め、また、所管庁に報告しなければならない。また、漏えい等の概要(事実関係、発生原因分析、対応策及び再発防止策を含む。)を記録するものとする。

(個人情報保護方針の策定)
第 21 条 本協会員は、個人情報に対する取組方針をあらかじめ分かりやすく説明することの重要性に鑑み、本協会の個人情報保護に関する考え方及び方針を策定し、インターネットのホームページへの常時掲載等により公表することとする。
(懲戒)第 22 条 本協会は、職員等が故意または重大な過失により、本規則に違反した場合、懲戒する。
(安全管理措置の見直し)
第 23 条 個人情報管理責任者は、個人情報保護の水準を維持・向上するために、必要に応じ安全管理措置の内容を見直さなければならない。
(下位規程の制定)
第 24 条 本規則に定めるもののほか、個人情報の安全管理に必要な事項については、代表理事が別に定める。
附 則
この規則は、理事会の決議の日(平成 30 年 8 月 1 日)から施行する。
令和 4 年 12 月 22 日 一部改正
令和 5 年 9 月 28 日 一部改正

7