ＮＡＣＳ個⼈情報保護指針

第１章

総則

（⽬的）
第1 条

本指針は、個⼈情報の保護に関する法律（以下「法」という。
）第 54 条（個⼈情報保護指針）の定めに従い、公益社団法⼈⽇本消費⽣活アドバイザー・コンサルタント･相談員協会（以下「本会」という。
）の対象事業者が、個⼈情報の適正な取扱いの確保のために遵守する事項を定めたものであり、個⼈情報の有⽤性に配慮するとともに、個⼈の権利利益を保護することにより、消費者利益と企業活動の調和を図り社会経済の健全な発展及び国⺠⽣活の向上に寄与することを⽬的とする。

（適⽤範囲）
第 2 条 本指針の適⽤対象となる事業者とは、本指針に同意した本会の賛助会員であって、本会が対象事業者となることを認めた事業者をいう。対象事業者は、個⼈情報を取り扱う際の基準⼜は個⼈情報保護に関する規程を策定する際の参考として本指針を⽤いることができる。

（⽤語の定義及び定めのない事項）
第 3 条 本指針において使⽤する⽤語の定義は、特段の定めがない限り、法、個⼈情報の保護に関する基本⽅針（以下、「⽅針」という。
）、個⼈情報の保護に関する法律施⾏令（以下、「政令」という。
）、個⼈情報の保護に関する法律施⾏規則（以下、「規則」という。
）等の定めによるものとする。
また、本指針において規定のない事項、例えば「仮名加⼯情報、匿名加⼯情報及び個⼈関連情報の取扱い（法で定める個⼈情報取扱事業者の義務等）においては、法、⽅針、政令、規則及び個⼈情報保護委員会が公表している個⼈情報の保護に関する法律についてのガイドライン（各種）等の定めに準ずるものとし、対1

象事業者はそれらを参照の上、遵守するものとする。

第２章

個⼈情報の利⽤⽬的・取得等（利⽤⽬的の特定）第4 条

対象事業者は、取り扱う個⼈情報の利⽤⽬的をできる限り特定しなければならない。利⽤⽬的の特定に当たっては、利⽤⽬的を単に抽象的、⼀般的に特定するのではなく、個⼈情報取扱事業者において最終的にどのような⽬的で個⼈情報を利⽤するかを可能な限り具体的に特定する必要がある。
【具体例】
・ ○○事業におけるアンケート調査、新商品情報のお知らせ等を利⽤⽬的とすること。
しかしながら、単に「事業活動」、「お客様のサービスの向上」等を利⽤⽬的とすることでは、できる限り特定したことにはならない。なお、あらかじめ、個⼈情報を第三者に提供することを想定している
場合には、利⽤⽬的において、その旨特定しなければならない。
2

対象事業者は、取り扱う個⼈情報を適正に管理しなければならない。
【具体例】
・ 個⼈情報管理台帳等を作成し、作成した個⼈情報管理台帳等を定期的に⾒直す。
【ＮＡＣＳ⾃主ルール①】（利⽤⽬的の変更）
第5 条

対象事業者は、第 4 条により特定された利⽤⽬的を、変更前の利⽤⽬的と関連性を有すると合理的に認められる範囲を超えて変更してはならない。
2 対象事業者は、利⽤⽬的を変更した場合は、変更された利⽤⽬的について、本⼈に通知するか、⼜は公表しなければならない。
（利⽤⽬的による制限）
2

第6 条

対象事業者は、利⽤⽬的の達成に必要な範囲を超えて、個⼈情報を取り扱う場合は、あらかじめ本⼈の同意を得なければならない。
2 前項の規定は、次に掲げる場合については適⽤しない。
① 法令（条例を含む。以下、同様とする）に基づき、提出⼜は回答が義務付けられている場合。
【具体例】
・ 所得税法による税務署⻑に対する⽀払調書等の提出。
② ⼈の⽣命、⾝体、⼜は財産の保護のために必要がある場合であって、本⼈の同意を得ることが困難であ
るとき。
【具体例】
・ 急病その他の事態時に、本⼈について、その⾎液型や家族の連絡先等を医師や看護師に提供する場合。
③ 公衆衛⽣の向上⼜は児童の健全な育成の推進のために特に必要がある場合であって、本⼈の同意を得ることが困難であるとき。
【具体例】
・ 健康保険組合等の保険者等が実施する健康診断やがん検診等の保健事業について、精密検査の結果や受診状況等の情報を、健康増進施策の⽴案や事業の効果の向上を⽬的として疫学研究⼜は統計調査のために、個⼈名を伏せて研究者等に提供する場合。
④ 国の機関若しくは地⽅公共団体⼜はその委託を受けた者が法令の定める事務を遂⾏することに対して協⼒する必要がある場合であって、本⼈の同意を得ることにより当該事務の遂⾏に⽀障を及ぼすおそれがあるとき。
【具体例】
・ 事業者等が、税務署の職員等の任意調査に対し、個⼈情報を提出する場合。
⑤ 対象事業者が学術研究機関等である場合であって、当該個⼈情報を学術研究の⽤に供する⽬的（以下「学術研究⽬的」という。
）で取り扱う必要があるとき（当該個⼈情報を取り扱う⽬的の⼀部が学術研究⽬的である場合を含み、個⼈の権利利益を不当に侵害するおそれがある場合を除く。
）。
3

⑥ 学術研究機関等に個⼈データを提供する場合であって、当該学術研究機関等が当該個⼈データを学術研究⽬的で取り扱う必要があるとき（当該個⼈データを取り扱う⽬的の⼀部が学術研究⽬的である場合を含み、個⼈の権利利益を不当に侵害するおそれがある場合を除く。
）。

（不適正利⽤の禁⽌）第 7 条 対象事業者は、違法⼜は不当な⾏為を助⻑し、⼜は誘発するおそれがある⽅法により個⼈情報を利⽤してはならない。

（適正な取得）第8 条

対象事業者は、窃盗、脅迫、偽り等の不正の⼿段により個⼈情報を取得（以下、「不適正取得」という。
）

してはならない。
【具体例】
・ ⼗分な判断能⼒を有していない若年者や障がい者、⾼齢者等から、取得状況を鑑みて関係のない家族の収⼊状況などの個⼈情報を、家族の同意なく取得する場合【ＮＡＣＳ⾃主ルール②】

・ 上記に加え、取得状況を鑑みて関係のない友⼈・知⼈の名前や属性等の個⼈情報を、友⼈・知⼈の同意なく取得する場合。
2【ＮＡＣＳ⾃主ルール③】

対象事業者は、次に掲げる場合を除くほか、あらかじめ本⼈の同意を得ないで、要配慮個⼈情報を取得してはならない。
① 法令に基づき、提出⼜は回答が義務付けられている場合。
② ⼈の⽣命、⾝体、⼜は財産の保護のために必要がある場合であって、本⼈の同意を得ることが困難であるとき。
③ 公衆衛⽣の向上⼜は児童の健全な育成の推進のために特に必要がある場合であって、本⼈の同意を得ることが困難であるとき。
④ 国の機関若しくは地⽅公共団体⼜はその委託を受けた者が法令の定める事務を遂⾏することに対して協4

⼒する必要がある場合であって、本⼈の同意を得ることにより当該事務の遂⾏に⽀障を及ぼすおそれがあるとき。
⑤ 対象事業者が学術研究機関等である場合であって、当該要配慮個⼈情報を学術研究⽬的で取り扱う必要があるとき（当該要配慮個⼈情報を取り扱う⽬的の⼀部が学術研究⽬的である場合を含み、個⼈の権利利益を不当に侵害するおそれがある場合を除く。
）。
⑥ 学術研究機関等から当該要配慮個⼈情報を取得する場合であって、当該要配慮個⼈情報を学術研究⽬的で取得する必要があるとき（当該要配慮個⼈情報を取得する⽬的の⼀部が学術研究⽬的である場合を含み、個⼈の権利利益を不当に侵害するおそれがある場合を除く。
）（当該個⼈情報取扱事業者と当該学術研究機
関等が共同して学術研究を⾏う場合に限る。
）。
⑦ 当該要配慮個⼈情報が、本⼈、国の機関、地⽅公共団体、学術研究機関等、法第 57 条第 1 項各号に掲げる者その他個⼈情報保護委員会規則で定める者により公開されている場合（利⽤⽬的の通知⼜は公表）
第9 条

対象事業者は、個⼈情報を取得する場合は、あらかじめその利⽤⽬的を公表していることが望ましい。

公表していない場合は、取得後速やかに、その利⽤⽬的を本⼈に通知するか、⼜は公表しなければならない。
【具体例】
・ インターネット上で本⼈が⾃発的に公にしている個⼈情報を取得する場合。
・ 個⼈情報の第三者提供を受ける場合。
2

対象事業者は、個⼈情報を取得する場合は、個⼈情報を取得する主体について、あらかじめ公表し、⼜は取得後速やかに、本⼈に通知若しくは公表することが望ましい。

【ＮＡＣＳ⾃主ルール④】（書⾯等で本⼈から直接に取得する場合の措置）
第 10 条対象事業者は、書⾯等による記載、ユーザー⼊⼒画⾯への打ち込み等により、直接本⼈から個⼈情報を取得する場合には、あらかじめ、本⼈に対し、その利⽤⽬的を明⽰しなければならない。
5

対象事業者は、契約書等の書⾯により、直接本⼈から個⼈情報を取得する場合には、あらかじめ、本⼈に対し、当該個⼈情報を取得する主体について明⽰することが望ましい。

【ＮＡＣＳ⾃主ルール⑤】

なお、⼝頭による個⼈情報の取得にまで、当該義務を課すものではない。

（取得時及び利⽤⽬的等の変更時の措置の適⽤除外）
第 11 条 第 5 条、第 9 条及び第 10 条の規定は、次に掲げる場合にあっては適⽤しない。
① 利⽤⽬的を本⼈に通知し、⼜は公表することにより⼈の⽣命、⾝体、財産その他の権利利益が侵害されるおそれがある場合。
【具体例】
・ いわゆる総会屋等による不当請求等の被害を防⽌するため、当該個⼈に関する情報を取得し、相互に情報交換を⾏なっている場合で、利⽤⽬的を通知⼜は公表することにより、当該総会屋等の逆恨みにより、第三者たる情報提供者が被害を被る恐れがある場合。
② 利⽤⽬的を本⼈に通知し、⼜は公表することにより企業秘密に関すること等が他社に明らかになり、当該事業者の権利⼜は正当な利益が侵害される恐れがある場合。
【具体例】
・ 通知⼜は公表される利⽤⽬的の内容により、当該個⼈情報取扱事業者が⾏なう新商品等の開発内容、
営業ノウハウ等の企業秘密にかかわるようなものが明らかになる場合。
③ 国の機関等が法令の定める事務を実施する上で、⺠間企業等の協⼒を得る必要がある場合であって、協⼒する⺠間企業等が国の機関等から受け取った個⼈情報の利⽤⽬的を本⼈に通知し、⼜は公表することにより、当該事務の遂⾏に⽀障を及ぼすおそれがある場合。
【具体例】
・ 公開⼿配を⾏なわないで、被疑者に関する個⼈情報を、警察から被疑者の⽴ち回りが予想される事
業者に限って提供する場合、警察から受け取った当該事業者が、利⽤⽬的を本⼈に通知し、⼜は公表することにより、捜査活動に重⼤な⽀障を及ぼすおそれがある場合。
6

④ 個⼈情報が取得される状況から⾒て利⽤⽬的が⾃明であると認められる場合。
【具体例】
・ 商品・サービスの宅配・配送事業者に注⽂する場合､住所・電話番号等の個⼈情報を提供するが、その利⽤⽬的は商品・サービスを確実に配達するためという⾃明の利⽤⽬的であるような場合。

第３章

個⼈データの管理（データ内容の正確性の確保）
第 12 条 対象事業者は、利⽤⽬的の達成に必要な範囲内において、個⼈情報データベース等への個⼈情報の⼊⼒
時の照合・確認の⼿続きの整備、記録事項の更新、保存期間の設定等を⾏うことにより、個⼈データを正
確かつ最新の内容に保つよう努めなければならない。利⽤する必要がなくなったときは、当該個⼈データを遅滞なく消去するよう努めなければならない。

（安全管理措置）第 13 条 対象事業者は、その取り扱う個⼈データの漏洩、滅失⼜は毀損の防⽌その他の個⼈情報の安全管理のため、必要かつ適切な措置を講じなければならない。なお、必要かつ適切な措置は、本条第１項各号に定める安全管理措置に限らない。
（1） 対象事業者は、個⼈データの安全管理について、以下の事項に基づき、従業者の責任と権限を明確に定め、安全管理に対する規程や⼿順書（以下「規程等」という）を整備運⽤し、その実施状況を確認す
る等、組織的安全管理措置を⾏なわなければならない。
① 個⼈データの安全管理措置を講じるための組織的体制の整備② 組織責任者の定期的な研修受講による最新のリスク発⽣への準備【ＮＡＣＳ⾃主ルール⑥】③ 個⼈データの安全管理措置を定める規程等の整備と規程等に従った運⽤
7

④ 個⼈データの取扱台帳の整備⑤ 個⼈データの安全管理措置の評価、⾒直し及び改善⑥ 事故または違反への対処（2） 対象事業者は、以下の事項に基づき、従業者に対する、業務上秘密とされた個⼈データの⾮開⽰契約の締結や、教育・訓練等の⼈的安全管理措置を⾏なわなければならない。
① 雇⽤契約時及び委託契約時における⾮開⽰契約の締結② 従業者に対する教育・訓練の実施（3） 対象事業者は、以下の事項に基づき、⼊退館（室）の管理、個⼈データの盗難の防⽌等、物理的な安全管理措置を⾏なわなければならない。
① ⼊退館（室）の管理の実施② 盗難等の防⽌③ 機器・装置等の物理的な保護（4） 対象事業者は、以下の事項に基づき、個⼈データ及びそれを取り扱う情報システムへのアクセス制
御、不正ソフトウェア対策、情報システムの監視等、個⼈データに対する技術的な安全管理措置を⾏なわなければならない。
① 個⼈データへのアクセスにおける識別と認証② 個⼈データへのアクセス制御③ 個⼈データへのアクセス権限の管理④ 個⼈データへのアクセス記録⑤ 個⼈データを取り扱う情報システムについての不正ソフトウェア対策⑥ 個⼈データの移送・通信時の対策⑦ 個⼈データを取り扱う情報の動作確認時の対策⑧ 個⼈データを取り扱う情報システムの監視（5） 対象事業者は、個⼈データの漏洩等が発⽣した場合は、⼆次被害の防⽌、類似事案の発⽣回避等の8観点から、以下の措置を⾏なわなければならない。
① 事実調査及び原因究明を⾏なうこと。
② 事実関係を本⼈に速やかに通知すること。
③ 事実関係を本会等関係者に直ちに報告すること。
④ 事実関係及び再発防⽌策を公表すること。

（従業者の監督）
第 14 条 対象事業者は、その従業者に個⼈データを取り扱わせる時は、個⼈データの安全管理が図られるよう、従業者に対し必要かつ適切な監督を⾏わなければならない。

（委託先の監督）
第 15 条 対象事業者は、個⼈データの取扱いの全部⼜は⼀部を外部に委託する場合、その取扱いを委託した個⼈
データの安全管理が図られるよう、委託先に対し必要かつ適切な監督を⾏わなければならない。
「必要かつ適切な措置」には、委託契約において委託者である事業者が定める安全管理措置の内容を契約に盛り込むとともに、当該契約内容が遵守されていることを、予め定めた間隔で定期的に確認することも含まれる。
委託先に対する監督を⾏なうに際しては、契約書等の書⾯において、合意した内容を明確にすることが重要である。契約書等においては、個⼈データの取扱状況等に起因するリスクに応じて以下に掲げる項⽬及びその他必要と認められる項⽬について記載しなければならない。

【ＮＡＣＳ⾃主ルール⑦】

また、委託者が受託者について「必要かつ適切な措置」を⾏なっていない場合で、受託者が再委託をした
際に、再委託先が適切といえない取扱いを⾏なったことにより、何らかの問題が⽣じた場合は、元の委託先がその責めを負うことがあり得るので、再委託する場合は注意を要する。
【委託時に明確にする項⽬例】① 委託者及び受託者の責任の明確化
9② 個⼈データの安全管理に関する事項
ⅰ 個⼈データの漏洩防⽌、盗⽤禁⽌に関する事項
ⅱ 委託契約範囲外の加⼯、利⽤の禁⽌ⅲ 委託契約範囲外の複写、複製の禁⽌ⅳ 委託契約期間
ⅴ 委託契約終了後の個⼈データの返還･消去･廃棄に関する事項【ＮＡＣＳ⾃主ルール⑧】【再委託時に明確にすべき項⽬例】① 再委託に関する事項
ⅰ 再委託を⾏なうに当たっての委託者への⽂書による報告② 個⼈データの取扱状況に関する委託者への報告の内容及び頻度③ 契約内容が遵守されていることの確認④ 契約内容が遵守されなかった場合の措置⑤ セキュリティ事件・事故が発⽣した場合の報告・連絡に関する事項

第４章【ＮＡＣＳ⾃主ルール⑨】

個⼈データの第三者への提供（第三者提供の制限）
第 16 条 対象事業者は、次に掲げる場合を除くほか、あらかじめ本⼈の同意を得ないで、個⼈データを第三者に提供してはならない。
① 法令に基づく場合【具体例】
・ 法第 53 条第 2 項に基づき認定個⼈情報保護団体が対象事業者に資料提出等を求め、対象事業者がそれに応じて資料提出をする場合
10

② ⼈の⽣命、⾝体⼜は財産の保護のために必要がある場合であって、本⼈の同意を得ることが困難であ
るとき。
【具体例】
・ 私企業間において､意図的に業務妨害を⾏なうものの情報について情報交換される場合③ 公衆衛⽣の向上⼜は児童の健全な育成の推進のために特に必要がある場合であって、本⼈の同意を得ることが困難であるとき。
【具体例】
・ 健康保険組合などの保険者等が実施する健康診断等の保健事業について、精密検査の結果や受診状
況等の情報を、健康増進施策の⽴案や事業の効果の向上を⽬的として免疫研究⼜は統計調査のために、個⼈名を伏せて研究者等に提供する場合。
④ 国の機関若しくは地⽅公共団体⼜はその委託を受けた者が法令の定める事務を 遂⾏することに対して協⼒する必要がある場合であって、本⼈の同意を得ることにより当該事務の遂⾏に⽀障を及ぼすおそれがあるとき。
【具体例】
・ 税務署の職員⼜は地⽅公共団体の税務担当職員が、適正な課税の観点から、個々の質問検査権等の規程によらずに任意調査（課税上必要な資料情報の収集等）を⾏なう場合。
⑤ 対象事業者が学術研究機関等である場合であって、当該個⼈データの提供が学術研究の成果の公表⼜は教授のためやむを得ないとき（個⼈の権利利益を不当に侵害するおそれがある場合を除く。
）⑥ 対象事業者が学術研究機関等である場合であって、当該個⼈データを学術研究⽬的で提供する必要があるとき（当該個⼈データを提供する⽬的の⼀部が学術研究⽬的である場合を含み、個⼈の権利利益を不当に侵害するおそれがある場合を除く。
）（当該対象事業者と当該第三者が協働して学術研究を⾏う場
合に限る）。
⑦ 当該第三者が学術研究機関等である場合であって、当該第三者が当該個⼈データを学術研究⽬的で取り扱う必要があるとき（当該個⼈データを取り扱う⽬的の⼀部が学術研究⽬的である場合を含み、個⼈11

の権利利益を不当に侵害するおそれがある場合を除く。
）。
2

同意の取得にあたっては、事業の性質及び個⼈情報の取扱状況等に応じ、本⼈が同意に係る判断を⾏うために必要と考えられる合理的かつ適切な範囲の内容を明確に⽰さなければならない。なお、あらかじめ、個⼈情報を第三者に提供することを想定している場合には、利⽤⽬的において、その旨を特定しなければならない。

（オプトアウトに関する原則）
第 17 条 対象事業者は、第三者に提供される個⼈データ（要配慮個⼈情報、不適正取得された個⼈データ、他の
個⼈情報取扱い事業者から本条本⽂の規定により提供されたもの（その全部⼜は⼀部を複製し、⼜は加⼯したものを含む。
）を除く。
）について、本⼈の求めに応じて当該本⼈が識別される個⼈データの第三者への提供を停⽌することとしている場合であって、次に掲げる事項について、個⼈情報保護委員会規則で定めるところにより、あらかじめ本⼈に通知し、⼜は本⼈が容易に知り得る状態に置くとともに、個⼈情報保護委員会へ届け出たときは、前条の規定にかかわらず、当該個⼈データを第三者に提供することができる。
① 第三者への提供を⾏う対象事業者の⽒名⼜は名称及び住所並びに法⼈にあっては、その代表者（法⼈でない団体で代表者⼜は管理⼈の定めのあるものにあっては、その代表者⼜は管理⼈の⽒名。
）② 第三者への提供を利⽤⽬的とすること。
③ 第三者に提供される個⼈データの項⽬。
④ 第三者に提供される個⼈データの取得の⽅法。
⑤ 第三者への提供の⽅法。
⑥ 本⼈の求めに応じて第三者への提供を停⽌すること。
⑦ 本⼈の求めを受け付ける⽅法。
⑧ その他個⼈の権利利益を保護するために必要なものとして個⼈情報保護委員会規則で定める事項。

（第三者に該当しない場合）
12

第 18 条 次に掲げる場合において、当該個⼈データの提供を受ける者は、第 16 条及び第 17 条の適⽤について
は、第三者に該当しないものとする。
（1） 対象事業者が利⽤⽬的の達成に必要な範囲内において、個⼈データの取扱いの全部⼜は⼀部を委託することに伴い当該個⼈データが提供される場合。
【具体例】
・ データの打ち込み等、情報処理を委託するために個⼈データを渡す場合。
（2） 合併その他の事由による事業の承継に伴って個⼈データが提供される場合。
【具体例】
・ 合併、分社化により、新会社に個⼈データを渡す場合。
（3） 特定の者との間で共同して利⽤される個⼈データが当該特定の者に提供される場合であって、その旨並びに共同して利⽤される個⼈データの項⽬、共同して利⽤する者の範囲、利⽤する⽬的及び当該個⼈データの管理について責任を有する者の⽒名⼜は名称及び住所並びに法⼈にあっては、その代表者の⽒名について、あらかじめ本⼈に通知し、⼜は本⼈が容易に知り得る状態に置いている場合。

（外国にある第三者への提供の原則）
第 19 条 対象事業者は、外国（本邦の域外にある国⼜は地域をいう。以下、同様とする。
）（個⼈の権利利益を保護する上で我が国と同等の⽔準にあると認められる個⼈情報の保護に関する制度を有している外国として
個⼈情報保護委員会規則で定めるものを除く。以下、同様とする。
）にある第三者（個⼈データの取扱いについて法第４章２節の規定により対象事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして個⼈情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下、同様とする。
）に個⼈データを提供する場合には、第 16 条第 1 項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本⼈の同意を得なければならない。この場合においては、同条の規定は、適⽤しない。
2

対象事業者は、前項の規定により本⼈の同意を得ようとする場合には、個⼈情報保護委員会規則で定める
13

ところにより、あらかじめ、当該外国における個⼈情報の保護に関する制度、当該第三者が講ずる個⼈情報の保護のための措置その他当該本⼈に参考となるべき情報を当該本⼈に提供しなければならない。
3

対象事業者は、個⼈データを外国にある第三者（第 1 項に規定する体制を整備している者に限る。
）に提供した場合には、個⼈情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本⼈の求めに応じて当該必要な措置に関する情報を当該本⼈に提供しなければならない。
なお、本⼈の求めに応じて提供される当該必要な措置に関する情報は、具体的な項⽬を明記した様式等を整備すると共に、求めに応じる窓⼝も本⼈がアクセスしやすい Web サイト等に設置する等配慮することが
望ましい。

第５章

【ＮＡＣＳ⾃主ルール⑩】

保有個⼈データに関する事項の公表、保有個⼈データの開⽰・訂正・利⽤停⽌等（保有個⼈データに関する事項の公表等）
第 20 条 対象事業者は、保有個⼈データについて、以下の情報を本⼈の知り得る状態（本⼈の求めに応じて遅滞なく回答する場合を含む。
）に置かなければならない。
① 当該対象事業者の⽒名⼜は名称及び住所並びに法⼈にあっては、その代表者の⽒名。
② すべての保有個⼈データの利⽤⽬的。
③ 保有個⼈データの利⽤⽬的の通知及び保有個⼈データ及び第三者提供記録の開⽰、保有個⼈データの訂
正、追加または削除、利⽤停⽌等に係る⼿数料の額（定めた場合に限る）並びに開⽰等の求めの⼿続き。
④ 法第 23 条の規定により保有個⼈データの安全管理のために講じた措置（本⼈の知り得る状態に置くことにより当該個⼈データの安全管理に⽀障を及ぼすおそれがあるものを除く。
）⑤ 対象事業者が⾏う保有個⼈データの取扱いに関する苦情の申出先及び認定個⼈情報保護団体である本会の名称及び苦情の解決の申し出先。
14

ⅰ 対象事業者が⾏なう保有個⼈データの取扱いに関する苦情の申し出先。
ⅱ 当認定個⼈情報保護団体である本会の名称及び苦情の解決の申出先
公益社団法⼈⽇本消費⽣活アドバイザー・コンサルタント･相談員協会
認定個⼈情報保護団体事務局 nacs-nintei-pipo@nacs.or.jp
2

対象事業者は、本会の賛助会員でなくなった場合。対象事業者であることを辞退すべく届け出た場合は、本会の名称及び連絡先等認定個⼈情報保護団体の表記について、速やかに認定個⼈情報保護団団体に係る全ての表記を削除しなければならない。

【ＮＡＣＳ⾃主ルール⑪】（利⽤⽬的の通知）
第 21 条 対象事業者は、第 11 条に該当する場合を除いて、本⼈から⾃⼰が識別される保有個⼈データの利⽤⽬的の通知を求められた時は、遅滞なく、本⼈に通知しなければならない。なお、通知しない旨を決定したと
きも、遅滞なく、本⼈に通知しなければならない。

（保有個⼈データ及び第三者提供記録の開⽰）
第 22 条 対象事業者は、本⼈から、当該本⼈が識別される保有個⼈データ及び第三者提供記録の電磁的記録の提供による⽅法その他の個⼈情報保護委員会規則で定める⽅法により開⽰の請求を受けたときは、本⼈に対し、当該本⼈が識別される保有個⼈データの電磁的記録の提供による⽅法、その他の個⼈情報保護委員会
規則で定める⽅法により、遅滞なく、当該保有個⼈データを開⽰しなければならない。
但し、開⽰することにより次のいずれかに該当する場合は、その全部⼜は⼀部を開⽰しないことができるが、その場合は、遅滞なくその旨を本⼈に通知しなければならない。
① 本⼈⼜は第三者の⽣命、⾝体、財産、その他の権利利益を害するおそれがある場合。
【具体例】
・ 医療機関等において、病名等を開⽰することにより、本⼈の⼼⾝状況を悪化させるおそれがある場合
15

② 対象事業者の業務の適正な実施に著しい⽀障を及ぼすおそれがある場合。
【具体例】
・ 同⼀の本⼈から複雑な対応を要する同⼀内容について繰り返し開⽰の求めがあり、事実上問い合
わせ窓⼝が占有されることによって他の問い合わせ対応業務が⽴ち⾏かなくなる等、業務上著しい⽀障を及ぼすおそれがある場合③ 他の法令に違反することとなる場合。
【具体例】
・ ⾦融機関が「組織的な犯罪の処罰及び犯罪収益の規制等に関する法律」第 54 条第 1 項に基づいて、主務⼤⾂に取引の届出を⾏っていたときに、当該届出を⾏なったことが記録されている個⼈
データを開⽰することが同条第 2 項の規定に違反する場合（保有個⼈データの訂正等）
第 23 条 対象事業者は、本⼈から、保有個⼈データの内容が事実でないという理由で訂正、追加⼜は削除（この条において「訂正等」という。
）を求められたときには、利⽤⽬的の達成に必要な範囲内において、原則として合理的な期間内にこれに応ずるものとする。
2

訂正等を⾏うにあたって、調査が必要な場合は、遅滞なく調査を⾏い、その結果に基づき訂正等を⾏った
とき⼜は⾏わない旨の決定をしたときは、本⼈に対し、その旨（訂正等を⾏ったときはその内容を含む。
）
通知しなければならない。

（保有個⼈データの利⽤停⽌等）
第 24 条 対象事業者は、本⼈から、当該本⼈が識別される保有個⼈データが法第 18 条若しくは第 19 条の規定に違反して取り扱われているとき、⼜は第 20 条の規定に違反して取得されたものであるときに、当該保有個⼈データの利⽤の停⽌⼜は消去（この条において「利⽤停⽌等」という。
）を求められた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個
16

⼈データの利⽤停⽌等を⾏わなければならない。但し、当該保有個⼈データの第三者への提供の停⽌に多額の費⽤を要する場合その他の第三者への提供を停⽌することが困難な場合であって、本⼈の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りではない。
2

対象事業者は、本⼈から、当該本⼈が識別される保有個⼈データが法第 27 条第 1 項⼜は第 28 条の規定に違反して第三者に提供されているときに、当該保有個⼈データの第三者への提供の停⽌を求められた場
合であって、その請求に理由があることが判明したときは、、遅滞なく、当該保有個⼈データの第三者への提供を停⽌しなければならない。
但し、当該保有個⼈データの第三者への提供の停⽌に多額の費⽤を要する場合その他の第三者への提供を停⽌することが困難な場合であって、本⼈の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りではない。

3

対象事業者は、本⼈から、当該本⼈が識別される保有個⼈データを当該対象事業者が利⽤する必要がなくなったとき、当該本⼈が識別される保有個⼈データに係る法第 26 条第 1 項に規定する事態が⽣じたとき、
その他当該本⼈が識別される保有個⼈データの取扱いにより当該本⼈の権利⼜は正当な利益が害されるおそれがあるときに、当該保有個⼈データの利⽤停⽌等⼜は第三者への提供の停⽌を求められた場合であって、その請求に理由があることが判明したときは、本⼈の権利利益の侵害を防⽌するために必要な限度で、遅滞なく、当該保有個⼈データの利⽤停⽌等⼜は第三者への提供を停⽌しなければならない。
但し、当該保有個⼈データの利⽤停⽌等⼜は第三者への提供の停⽌に多額の費⽤を要する場合その他の利⽤停⽌等⼜は第三者への提供を停⽌することが困難な場合であって、本⼈の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りではない。

4

対象事業者は、第 1 項若しくは第 3 項の規定による請求に係る保有個⼈データの全部若しくは⼀部について利⽤停⽌等を⾏ったとき若しくは利⽤停⽌等を⾏わない旨の決定をしたとき、⼜は第 2 項若しくは第3 項の規定による請求に係る保有個 ⼈データの全部若しくは⼀部について第三者への提供を停⽌したとき
若しくは第三者への提供を停⽌しない旨の決定をしたときは、本⼈に対し、遅滞なく、その旨を通知しなけ
ればならない。
17（理由の説明）第 25 条 対象事業者は、保有個⼈データの公表・開⽰・訂正・利⽤停⽌等において、その措置をとらない旨⼜はその措置と異なる措置をとる旨を本⼈に通知する場合は、併せて、本⼈に対して、その理由を説明しなければならない。

【ＮＡＣＳ⾃主ルール⑫】（開⽰等の求めに応じる⼿続き）
第 26 条 対象事業者は、開⽰等の求めにおいて、その求めを受け付ける⽅法として、次の各号の事項を定めることができる。また、その求めを受け付ける⽅法を定めた場合には、本⼈の知り得る状態（本⼈の求めに応じて遅滞なく回答する場合を含む。
）においておかなければならない。なお、事業者が開⽰等の求めを受付ける⽅法を合理的な範囲で定めたときで、求めを⾏った者がそれに従わなかった場合は、開⽰等を拒否することができる。
① 開⽰等の求めの受付先② 開⽰等の求めに際して提出すべき書⾯（電磁的記録を含む。
）の様式、その他の開⽰等の求めの受付⽅
法③ 開⽰等の求めをする者が本⼈⼜はその代理⼈であることの確認の⽅法【具体例】
・ 本⼈の場合（来所）：マイナンバーカード、運転免許証
・ 本⼈の場合（オンライン）：⼀定の登録情報（会員ＩＤとパスワード等）
・ 本⼈の場合（電話）：⼀定の登録情報（⽣年⽉⽇等）、コールバック・ 代理⼈の場合（来所）：本⼈及び代理⼈について、マイナンバーカード、運転免許証のほか、代理⼈に代理権を与える旨の委任状（親権者が未成年者の法定代理⼈であることを⽰す場合は、本⼈及び代理⼈が共に記載され、その続柄が⽰された⼾籍謄抄本、住⺠票の写し。また、成年後⾒⼈が成年被後⾒⼈の法定代理⼈
18

であることを⽰す場合は、登記事項証明書）等④ 保有個⼈データの利⽤⽬的の通知、⼜は保有個⼈データ及び第三者提供記録の開⽰をする際に徴収する⼿数料の徴収⽅法
2

対象事業者は、円滑に開⽰等の⼿続きが⾏えるよう、本⼈に対し、⾃⼰のデータの特定に必要な事項の提⽰を求めることができる。なお、本⼈が容易に⾃⼰のデータを特定できるよう、⾃⼰の保有個⼈データの特定に資する情報の提供その他本⼈の利便性を考慮しなければならない。

（⼿数料）
第 27 条 対象事業者は、保有個⼈データの利⽤⽬的の通知、⼜は保有個⼈データ及び第三者提供記録の開⽰を求められたときは、当該措置の実施に関し、⼿数料の額を定め、徴収することができる。
2

対象事業者は、前項の規定により⼿数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その⼿数料の額を定めなければならない。⼿数料の額を定めた場合には、本⼈の知り得る状態（本⼈の求めに応じて遅滞なく回答する場合を含む。
）に置いておかなければならない。

（苦情処理）
第 28 条 対象事業者は、個⼈情報の取扱いに関する苦情の適切かつ迅速な処理を⾏わなければならない。
【ＮＡＣＳ⾃主ルール⑬】
2 苦情処理を⾏うに当たり、苦情処理窓⼝の設置や苦情処理の⼿順を定める等必要な体制の整備を⾏わなければならない。

【ＮＡＣＳ⾃主ルール⑭】

第６章

個⼈情報等の取扱いにおける事故等の報告（事故の報告）19

第 29 条 対象事業者は、その取り扱う個⼈データの漏洩等が発⽣し、個⼈の権利利益を害するおそれが⼤きいものとして個⼈情報保護委員会規則で定めたものが⽣じた場合は、個⼈情報保護委員会規則で定めるところにより、当該事態が⽣じた旨を個⼈情報保護委員会に報告するとともに、本⼈に対し、当該事態が⽣じた旨を通知しなければならない。
【上記の対象となる事態】 いずれの事案も漏洩等の「おそれ」がある場合も含む。
① 要配慮個⼈情報が含まれる個⼈データの漏洩等② 不正に利⽤されることにより財産的被害が⽣じるおそれがある個⼈データの漏洩等③ 不正の⽬的をもって⾏われたおそれがある個⼈データの漏洩等④ 1,000 件を超える漏洩等
2

対象事業者は、上記の報告を本会に対しても速やかに⾏わなければならない。なお、本会への報告は、本会が定める⽅法により⾏うものとする。

【ＮＡＣＳ⾃主ルール⑮】

20

第７章

指針及び⾃主ルールの⾒直し（指針の⾒直し）第 30 条 個⼈情報の保護についての考え⽅は、社会情勢の変化、国⺠の認識の変化、技術の進歩等に応じて変わり得るものであり、本指針及び⾃主ルール（【⾃主ルール⼀覧】を含む）は、法の施⾏後の状況等諸環境の変化を踏まえて毎年⾒直しを⾏うよう努めるものとする。

附則
1 本指針は、平成 18 年 1 ⽉ 27 ⽇から施⾏する。
2 この指針の改正部分は平成 23 年 4 ⽉ 1 ⽇から施⾏する。
3 この指針の改正部分は平成 27 年 3 ⽉ 7 ⽇から施⾏し、平成 26 年 11 ⽉ 30 ⽇から適⽤する。
4 この指針の改正部分は平成 30 年 10 ⽉ 9 ⽇から適⽤する
5 この指針の改正部分は 2020 年 6 ⽉ 13 ⽇から適⽤する。
6 この指針の改正部分は 2022 年 4 ⽉ 1 ⽇から適⽤する。

21

ＮＡＣＳ 個人情報保護指針【自主ルール一覧】
第 2 章 個人情報の利用目的・取得等第４条（利⽤⽬的の特定）対象事業者は、取り扱う個⼈情報を適正に管理しなければならない。
【具体例】
・個⼈情報管理台帳等を作成し、作成した個⼈情報管理台帳等を定期的に⾒直す。
【ＮＡＣＳ⾃主ルール①】
第８条（適正な取得）【不適正取得の具体例】
・⼗分な判断能⼒を有していない若年者や障がい者、⾼齢者等から、取得状況を鑑みて関係のない
家族の収⼊状況などの個⼈情報を、家族の同意なく取得する場合【ＮＡＣＳ⾃主ルール②】

・上記に加え、取得状況を鑑みて関係のない友⼈・知⼈の名前や属性等の個⼈情報を、友⼈・知⼈の同意なく取得する場合。

【ＮＡＣＳ⾃主ルール③】

第９条（利⽤⽬的の通知⼜は公表）
対象事業者は、個⼈情報を取得する場合は、個⼈情報を取得する主体について、あらかじめ公表し、⼜は取得後速やかに、本⼈に通知若しくは公表することが望ましい。

【ＮＡＣＳ⾃主ルール④】

第 10 条（書⾯等で本⼈から直接に取得する場合の措置）
対象事業者は、契約書等の書⾯により、直接本⼈から個⼈情報を取得する場合には、あらかじめ、本⼈に対し、当該個⼈情報を取得する主体について明⽰することが望ましい。
【ＮＡＣＳ⾃主ルール⑤】

第３章 個人データの管理
第 13 条（安全管理措置）(1)② 組織責任者が定期的に研修を受講することによる最新のリスク発⽣への準備【ＮＡＣＳ⾃主ルール⑥】
第 15 条（委託先の監督）
契約書等においては、個⼈データの取扱状況等に起因するリスクに応じて以下に掲げる項⽬及びその他必要と認められる項⽬について記載しなければならない。
【ＮＡＣＳ⾃主ルール⑦】【委託時に明確にする項⽬例】② 個⼈データの安全管理に関する事項
ⅰ 個⼈データの漏洩防⽌、盗⽤禁⽌に関する事項
ⅱ 委託契約範囲外の加⼯、利⽤の禁⽌ⅲ 委託契約範囲外の複写、複製の禁⽌ⅳ 委託契約期間
ⅴ 委託契約終了後の個⼈データの返還･消去･廃棄に関する事項【ＮＡＣＳ⾃主ルール⑧】【再委託時に明確にすべき項⽬例】①再委託に関する事項
ⅰ 再委託を⾏なうに当たっての委託者への⽂書による報告②個⼈データの取扱状況に関する委託者への報告の内容及び頻度③契約内容が遵守されていることの確認④契約内容が遵守されなかった場合の措置⑤セキュリティ事件・事故が発⽣した場合の報告・連絡に関する事項 【ＮＡＣＳ⾃主ルール⑨】22

第４章 個人データの第三者への提供
第 19 条（安全管理措置）
なお、本⼈の求めに応じて提供される当該必要な措置に関する情報は、具体的な項⽬を明記した様式等を整備すると共に、求めに応じる窓⼝も本⼈がアクセスしやすい Web サイト等に設置する等配慮することが望ましい。
⑩】【ＮＡＣＳ⾃主ルール

第 5 章 保有個人データに関する事項の公表、保有個人データの開示・訂正・利用停止等
第 20 条（保有個⼈データに関する事項の公表等）
対象事業者は、当協会の名称及び連絡先等認定個⼈情報保護団体の表記について、認証制度を中⽌した場合及び対象事業者であることを辞退すべく届け出た場合は、速やかに認定個⼈情報保護団滝に係る全ての表記を削除しなければならない。
【ＮＡＣＳ⾃主ルール⑪】
第 25 条（理由の説明）
対象事業者は、保有個⼈データの公表・開⽰・訂正・利⽤停⽌等において、その措置をとらない旨⼜はその措置と異なる措置をとる旨を本⼈に通知する場合は、併せて、本⼈に対して、その理由を説明しなければならない。

【ＮＡＣＳ⾃主ルール⑫】

第 28 条（苦情処理）
対象事業者は、個⼈情報の取扱に関する苦情の適切かつ迅速な処理を⾏わなければならない。
【ＮＡＣＳ⾃主ルール⑬】
2 苦情処理を⾏うに当たり、苦情処理窓⼝の設置や苦情処理の⼿順を定める等必要な体制の整備を⾏わなければならない。

【ＮＡＣＳ⾃主ルール⑭】

第 6 章 個人情報等の取扱いにおける事故等の報告
第 29 条（事故の報告）
2

対象事業者は、上記の報告を本会に対しても速やかに⾏わなければならない。なお、本会への報告は、本会が定める⽅法により⾏うものとする。

23【ＮＡＣＳ⾃主ルール⑮】