個人情報取扱規程

第１章

総則

（趣旨）
第１条

本規程は、日本貸金業協会（以下「協会」という。）が、「法」、「政令」、「規則」

及び「ガイドライン」に基づき、協会の取り扱う個人情報の適正な取扱いを確保するために講ずべき具体的措置等を定めることをその趣旨とする。
「行政手続における特定の個人を識別するための番号の利用等に関する法律」（平成25 年法律第 27 号）に基づく個人番号及び個人番号を含む個人情報の取扱いに関しては、「特定個人情報取扱規程」に定めるところによる。
（定義）
第２条

この規程において、「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
一

当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。次項第２号において同じ。
）で作られる記録をいう。以下同じ。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）

二

個人識別符号が含まれるもの

２ 「個人識別符号」とは、次の各号のいずれかに該当する文字、番号、記号その他の符号のうち、別紙１で定めるものをいう。
一

特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの
二

個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ、又は個人に発行されるカードその他の書類に記載され、若しくは電磁的方式により記録された文字、番号、記号その他の符号であって、その利用者若しくは購入者
又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され、若しくは記録されることにより、特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの
３「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じない
1

ようにその取扱いに特に配慮を要するものとして別紙２で定める記述等が含まれる個人情報をいう。
４「個人情報データベース等」とは、個人情報を含む情報の集合物であって、①特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの及び②①に掲げるもののほか、情報の集合物に含まれる個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成したものであって、目次、索引その他検索を容易にするためのものを有するものをいう。ただし、次のいずれにも該当するものを除く。
一

不特定かつ多数の者に販売することを目的として発行されたものであって、かつ、
その発行が法又は法に基づく命令の規定に違反して行われたものでないこと。

二

不特定かつ多数の者により随時に購入することができ、又はできたものであること。

三

生存する個人に関する他の情報を加えることなくその本来の用途に供しているもの
であること。

５ 「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者をいう。ただし、次に掲げる者を除く。
一

国の機関

二

地方公共団体三独立行政法人等（独立行政法人通則法（平成 11 年法律第 103 号）第２条第１項に規定する独立行政法人及び法別表第１に掲げる法人）
地方独立行政法人（地方独立行政法人法（平成 15 年法律第 118 号）第２条第１項に四規定する地方独立行政法人）
６「個人データ」とは、個人情報データベース等を構成する個人情報をいう。

７「保有個人データ」とは、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、
利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人デー
タをいう。ただし、以下に掲げるものを除く。
一

当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの

二

当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの

三

当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの

四

当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの

８

個人情報について「本人」とは、個人情報によって識別される特定の個人をいう。

９ 「従業者」とは、協会の組織内にあって直接間接に協会の指揮監督を受けてその業務に2

従事している者等をいい、雇用関係にある従業員（正職員、契約職員、嘱託職員、パート職員、アルバイト職員等）のみならず、理事、監事、派遣職員等も含まれる。
10 「個人情報取扱責任者」とは、協会の個人データの管理に関する責任を担う者をいう。
11「個人情報部門責任者」とは、本部各部及び支部における個人データの管理に関する責任を負う者をいう。

12「個人情報取扱担当者」とは、協会内において、個人データを取り扱う事務に従事する者をいう。

13「管理区域」とは、個人情報データベース等を取り扱うサーバやメインコンピュータ
等の重要な情報システムを管理する区域をいう。

14 「取扱区域」とは、個人データを取り扱う事務を実施する区域をいう。
15 「法」とは、個人情報の保護に関する法律（平成 15 年法律第 57 号）をいう。
16 「政令」とは、個人情報の保護に関する法律施行令（平成 15 年政令第 507 号）をいう。
17 「規則」とは、個人情報保護委員会が定める規則をいう。
18 「ガイドライン」とは、「個人情報の保護に関する法律についてのガイドライン（通則編）」（平成 28 年個人情報保護委員会告示第６号）、「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」（平成 28 年個人情報保護委員会告示第７号）、「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」（平成 28 年個人情報保護委員会告示第８号）及び「金融分野における個人情報保護に関するガイドライン」（平成 29 年個人情報保護委員会・金融庁告示第 1 号）を総称したものをいう。

第２章

安全管理措置

第１節

総則（個人データの安全管理）
第３条

協会は、個人データ（協会が取得し、又は取得しようとしている個人情報であって協会が個人データとして取り扱われることが予定されているものを含む。以下本章において同じ。
）について、個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
第２節

組織的安全管理措置（個人情報取扱責任者等）
第４条

総務部を協会における個人データの取扱いに関する責任部署とする。

3

２

協会に、個人情報取扱責任者１人を置く。

３

個人情報取扱責任者には、事務局長をもってこれに充てるものとする。

４

個人情報部門責任者には、個人データを取り扱う本部の各部門長及び支部の事務長がその任にあたる。

（個人情報取扱責任者等の責務）
第５条

個人情報取扱責任者は、協会における個人情報の取得及び個人データの保護管理に関する業務を統括するとともに、法、政令、規則、ガイドライン及び本規程に定められた事項を理解し、遵守するとともに、個人情報取扱担当者にこれらを理解させ、遵守させるための教育訓練、安全対策の実施並びに周知徹底その他法令遵守及び本規程の理解確保のために必要な措置を実施する責任を負う。
２

個人情報取扱責任者は、次の業務を所掌する。
一

本規程及び委託先の選定基準の策定及び周知

二

個人データの安全管理に関する教育・研修の企画・実施

三

個人データの記録等の管理

四

管理区域及び取扱区域の設定

五

個人データの取扱区分及び権限についての設定及び変更の管理

六

個人データの取扱状況の把握

七

委託先における個人データの取扱状況等の監督

八

その他協会における個人データの取扱いに関する業務全般

３

個人情報部門責任者である本部の各部門長及び支部の事務長は、当該部門又は支部における個人情報の取得及び個人データを適切に管理する任にあたり、個人データの適切な管理のために必要な措置を講じ、個人データの安全確保に努める責任を負う。

４

個人情報取扱責任者は、法令遵守の観点から、本部各部門及び支部の個人情報部門責任者に対して指導、助言する。

（個人情報取扱担当者等の監督）
第６条

個人情報取扱責任者は、個人データが本規程に基づき適正に取り扱われるよう、

個人情報取扱担当者に対して必要かつ適切な監督を行うものとする。
２

本部各部門及び支部の個人情報部門責任者は、当該各部門及び支部の個人情報取扱担当者に対して必要かつ適切な監督を行い、個人情報取扱責任者に対して必要な報告を行う。

（個人情報取扱担当者の責務）
第７条 個人情報取扱担当者は、協会の個人データの取扱い又は委託処理等、個人データを取扱う業務に従事する際、法、政令、規則その他の関連法令、ガイドライン、本規程
4

その他の協会内規程並びに個人情報取扱責任者の指示した事項に従い、個人データの保護に十分な注意を払って、その業務を行うものとする。
２

個人情報取扱担当者は、個人データの漏えい等、法、政令及び規則又はその他の関連法令、ガイドライン、本規程又はその他の協会内規程に違反している事実又は兆候を把握した場合、速やかに所属部門又は支部の個人情報部門責任者若しくは個人情報取扱責
任者に報告するものとする。所属部門又は支部の個人情報取扱担当者から、当該報告を受けた個人情報部門責任者は速やかに個人情報取扱責任者に報告するものとする。

（本規程に基づく運用状況の記録）
第８条

個人情報取扱担当者等は、本規程に基づく運用状況を確認するため、以下の項目につき、項目①・③については、「個人データの運用状況記録票」（別紙３）により、項目②については、「個人データ持ち運び記録簿」（別紙５）により記録するものとする。
項目④については、委託先から受領した証明書等により、項目⑤については別途情報シ
ステムのログにより、確認するものとする。ただし、項目①から③の記録については、他の協会内規程又はマニュアルにより規定されている様式がある場合等で、かつ、個人情報部門責任者の承認を得た場合は、この限りでない。
① 紙媒体の個人情報データベース等の利用・出力状況② 個人データが記載又は記録された書類・媒体等の持ち運び等の状況③ 紙媒体の個人情報データベース等の削除・廃棄の状況④ 削除・廃棄を委託した場合、これを証明する記録等⑤ 個人情報データベース等をサーバで取り扱う場合、サーバの利用状況（ログイン実
績、アクセスログ等）
２

個人情報部門責任者は、前項①から④までの記録について定期的に、⑤の記録については必要に応じ、確認しなければならない。

（取扱状況の確認手段）
第９条

個人情報取扱担当者は、個人情報データベース等の取扱状況を確認するための手段として、「個人データ取扱台帳」（別紙４）に以下の事項を記録するものとする。なお、
個人データ取扱台帳には、個人データ自体は記載しないものとする。
一

個人情報データベース等の種類、名称

二

個人データの範囲

三

利用目的

四

記録媒体

五

保管場所（管理区域）

六

責任者

七

取扱部署
5

八

個人情報取扱担当者（アクセス権者）

九

保存期間

十

削除・廃棄方法

十一その他個人データの適正な取扱いに必要な情報
２

個人情報部門責任者は、前項の台帳について、その内容が最新の状態に保たれている
ことを定期的に確認しなければならない。

（情報漏えい事案等への対応）
第 10 条

個人データの漏えい、滅失又は毀損（以下「漏えい等」という。）の事案の発生又は兆候を把握した場合の対応は、法第 26 条及びガイドラインに基づき、別途定める「個人情報取扱規程付属規程（情報漏えい等事案等対応関係）」に定めるところによる。
（苦情への対応）
第 11 条

個人情報取扱担当者は、協会における個人情報の取扱いに関し、本人から苦情の申出を受けた場合には、その旨及びその内容を所属部門又は支部の個人情報部門責任者に報告する。報告を受けた個人情報部門責任者は、遅滞なく当該苦情について事実関係を調査しその結果に応じて対処するなど、適切に対応するものとする。
（取扱状況の確認並びに安全管理措置の見直し）
第 12 条

個人情報取扱責任者は、１年に１回以上の頻度で又は臨時に第８条に規定する個

人データの運用状況の記録及び第９条に規定する個人情報データベース等の取扱が適正に行われているかの確認を実施しなければならない。
２

個人情報取扱責任者は、前項の確認の結果及び次条の監査の結果、並びに他社における漏えい事故の事例等を考慮に入れた上で、安全管理措置の評価、見直し及び改善に取り組むものとする。

（監査）第 13 条内部監査部門は、協会の個人データの適正な取扱いその他法令及び本規程の遵守状況について検証し、その改善を個人情報取扱責任者及び本部各部並びに支部の個人情報部門責任者に促す。
第３節

人的安全管理措置（教育・研修）
第 14 条

個人情報取扱責任者は、法、政令、規則、ガイドライン、及び本規程に定められた事項を理解し、遵守するとともに、従業者に本規程を遵守させるための教育訓練を企
6

画・運営する責任を負う。
２

従業者は、個人情報取扱責任者が主催する本規程を遵守させるための教育を受けなければならない。研修の内容及びスケジュールは、定期的に個人情報取扱責任者が定める。
第４節

物理的安全管理措置（個人データを取り扱う区域の管理）
第 15 条協会は管理区域及び取扱区域を明確にし、それぞれの区域に対し、次の各号に従い以下の措置を講じるものとし、従業者は係る措置に従わなければならない。
一管理区域
入退室管理及び管理区域へ持ち込む機器及び電子媒体等の制限を行うものとする。

二

取扱区域
可能な限り壁又は間仕切り等の設置をしたり、個人情報取扱担当者以外の者の往来が少ない場所への座席配置や、後ろから覗き見される可能性が低い場所への座席配置
等をするなど座席配置を工夫することにより、権限を有しない者による個人データの閲覧等を防止する。

（機器及び電子媒体等の盗難等の防止）
第 16 条協会は管理区域及び取扱区域における個人データを取扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、次の各号に掲げる措置を講じる。
一

個人データを取扱う機器、電子媒体又は書籍等を、施錠できるサーバ室・キャビネ
ット・書庫等に保管する。

二

個人データを取扱う情報システムが機器のみで運用されている場合は、セキュリティワイヤー等により固定する。

（電子媒体等を持ち運ぶ場合の漏えい等の防止）
第 17 条

個人データが記録された電子媒体又は書類等の持ち運びは、次に掲げる場合を除き行ってはならないものとし、従業者はこれを厳守しなければならない。
一

個人データに係る外部委託先に、委託事務を実施する上で必要と認められる範囲内
でデータを提供する場合

二２

利用目的の範囲で個人データを利用する場合
前項により個人データが記録された電子媒体又は書類等の持ち運びを行う場合には、「個人データ持ち運び記録簿」（別紙５）に記録するとともに、以下の安全策を講じるものとする。
一個人データが記録された電子媒体を安全に持ち運ぶ方法①

持ち運びデータの暗号化
7持ち運びデータのパスワードによる保護③

施錠できる搬送容器の使用④

追跡可能な移送手段の利用

二②

個人データが記載された書類等を安全に持ち運ぶ方法①

封緘、目隠しシールの貼付（個人データの削除及び機器、電子媒体等の廃棄）
第 18 条一

個人データの廃棄・削除段階における記録媒体等の管理は次のとおりとする。

個人情報取扱担当者は、個人データが記録された書類等を廃棄する場合、シュレッ
ダー等による記載内容が復元不能までの裁断、外部の焼却場での焼却・溶解等の復元
不可能な手段を用いるものとする。

二

個人情報取扱担当者は、個人データが記録された機器及び電子媒体等を廃棄する場
合、専用データ削除ソフトウェアの利用又は物理的な破壊等により、復元不可能な手段を用いるものとする。

三

個人情報取扱担当者は、個人情報データベース等中の個人データを削除する場合、容易に復元できない手段を用いるものとする。

四個人データを取り扱う情報システムにおいては、法令及び協会が別途定める保存期
間経過後に個人データを削除するものとする。

五

個人情報が記載された書類等については、当該関連する書類等について法令及び協会が別途定める保存期間経過後に廃棄をするものとする。

２

個人情報取扱担当者は、個人データが記録された書類等を廃棄した場合には、別紙３の「個人データの運用状況記録票」に記録するものとする。廃棄の記録としては、個人情報データベース等の種類・名称、責任者・取扱部署、廃棄状況を記録するものとし、
当該個人データ自体は含めないものとする。ただし、他の協会内規程又はマニュアルにより規定されている様式がある場合等で、かつ、個人情報部門責任者の承認を得た場合
は、この限りでない。
第５節

技術的安全管理措置（アクセス制御）
第 19 条

個人データへのアクセス制御は以下のとおりとする。

一 個人情報データベース等を取り扱うことができる情報システムを限定する。
二 個人データと紐付けてアクセスできる情報の範囲をアクセス制御により限定する。
三 ユーザーＩＤに付与するアクセス権により、個人情報データベース等を取り扱う情報システムを使用できる者を個人情報取扱担当者等に限定する。

8

（アクセス者の識別と認証）
第 20 条

個人データを取り扱う情報システムは、ユーザーＩＤ、パスワード、磁気・ＩＣカード等の識別方法により、個人情報取扱担当者等が正当なアクセス権を有する者であることを、識別した結果に基づき認証するものとする。
（外部からの不正アクセス等の防止）
第 21 条協会は、以下の各方法により、情報システムを外部からの不正アクセス又は不正ソフトウェアから保護するものとする。
一 情報システムと外部ネットワークとの接続箇所に、ファイアウォール等を設置し、不正アクセスを遮断する方法
二 情報システム及び機器にセキュリティ対策ソフトウェア等（ウイルス対策ソフトウェ
ア等）を導入する方法
三 導入したセキュリティ対策ソフトウェア等により、入出力データにおける不正ソフト
ウェアの有無を確認する方法
四 機器やソフトウェア等に標準装備されている自動更新機能等の活用により、ソフトウ
ェア等を最新状態とする方法
五 ログ等の分析を定期的に行い、不正アクセス等を検知する方法（情報システムの使用に伴う漏えい等の防止）
第 22 条協会は、情報システムの使用に伴う個人データの漏えい等を防止するために以下の措置を講じ、適切に運用するものとする。
一

情報システムの設計時に安全性を確保し、継続的に見直す（情報システムのぜい弱性を突いた攻撃への対策を講じることも含む。
）。

二

個人データを含む通信の経路又は内容を暗号化する。

三移送する個人データについて、パスワード等による保護を行う。

第３章
第１節

個人情報の取扱い

個人情報の取得・保有等（利用目的の特定）
第 23 条協会は、個人情報を取り扱うに当たっては、業務を遂行するため必要な場合に限り、かつ、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。
２

協会が取扱う個人情報の利用目的は、別紙６のとおりとする。
9

３

協会は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。

（利用目的による制限）
第 24 条協会は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
２

協会は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。

３

前二項の規定は、次に掲げる場合については、適用しない。
一

法令に基づく場合

二人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

三

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

四国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

（不適正な利用の禁止）
第 24 条の２ 協会は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。
（利用目的の通知等）
第 25 条協会は、個人情報を取得した場合は、あらかじめその利用目的を公表している場

合を除き、速やかに、その利用目的を、本人に通知し、又は公表するものとする。
２

前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場
合は、あらかじめ、本人に対し、その利用目的を明示するものとする。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

３

協会は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。

４

前三項の規定は、次に掲げる場合については、適用しない。
一

利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
10

二利用目的を本人に通知し、又は公表することにより協会の権利又は正当な利益を害するおそれがある場合

三国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。

四取得の状況からみて利用目的が明らかであると認められる場合（適正な取得）第 26 条２

協会は、偽りその他不正な手段により個人情報を取得してはならない。

協会は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
一

法令に基づく場合

二人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

三

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

四国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

五

当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、法第 57
条第１項各号に掲げる者、外国政府、外国の政府機関、外国の地方公共団体又は国際機関、外国における学術研究機関等に相当する者、外国における法第 57 条第１項各号に掲げる者に相当する者により公開されている場合

六

本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取
得する場合

七

法第 27 条第５項各号において、個人データである要配慮個人情報の提供を受けるとき。

（データ内容の正確性の確保等）
第 27 条協会は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。
第２節

第三者提供の制限（第三者提供の制限）
11

第 28 条協会は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
一

法令に基づく場合

二人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

三

公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

四国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

２

次に掲げる場合において、当該個人データの提供を受ける者は、前項の規定の適用については、第三者に該当しないものとする。
一協会が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合

二

合併その他の事由による事業の承継に伴って個人データが提供される場合

三

特定の者との間で共同して利用される個人データが当該特定の者に提供される場
合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

３

協会は、前項第３号に規定する個人データの管理について責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったときは遅滞なく、同号に規定する利用する者の利用目的又は当該責任を有する者を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

（外国にある第三者への提供の制限）
第 29 条前条にかかわらず、協会が外国（本邦の域外にある国又は地域をいう。以下同じ。）にある第三者に個人データを提供する場合は、前条第１項各号に該当する場合を除き、あらかじめ当該外国の第三者への提供を認める旨の本人同意を得なければならない。ただし、協会が個人の権利利益を保護する上で我が国と同等の水準にあると認められる個
人情報の保護に関する制度を有している外国として規則で定める外国にある第三者に個
人データを提供する場合又は外国にある事業者が「適切かつ合理的な方法」により、「法
第４章第２節の規定の趣旨に沿った措置」を講じている場合は、前条を適用するものとする。
２ 前項における「適切かつ合理的な方法」及び「法第４章第２節の規定の趣旨に沿った措
12

置」は、別紙７（「適切かつ合理的な方法」及び「法第４章第２節の規定の趣旨に沿った措置」）に規定するところに従う。
３

協会は、第１項の規定により本人の同意を得ようとする場合には、あらかじめ、当該本人に参考となるべき情報として以下に掲げる事項を電磁的記録の提供による方法、書面の交付による方法その他の適切な方法により当該本人に提供しなければならない。
一

当該外国の名称二

適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報

三４

当該第三者が講ずる個人情報の保護のための措置に関する情報
前項の規定にかかわらず、協会は、第１項の規定により本人の同意を得ようとする時

点において、前項第１号に定める事項が特定できない場合には、同号及び同項第２号に定める事項に代えて、次に掲げる事項について情報提供しなければならない。
一

前項第１号に定める事項が特定できない旨及びその理由

二

前項第１号に定める事項に代わる本人に参考となるべき情報がある場合には、当該情報５第３項の規定にかかわらず、協会は、第１項の規定により本人の同意を得ようとする
時点において、第３項第３号に定める事項について情報提供できない場合には、同号に定める事項に代えて、その旨及びその理由について情報提供しなければならない。

６

協会は、個人データを外国にある第三者（第１項及び第２項に規定する体制を整備している者に限る。）に提供した場合には、別紙７に規定するところに従い、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。

（第三者提供をする際の記録）
第 30 条協会は、個人データを第三者に提供したときは、第三者提供に係る記録を作成しなければならない。ただし、当該個人データの提供が第 28 条第１項各号又は第２項各号のいずれか（前条第１項の規定による個人データの提供にあっては、第 28 条第１項各号のいずれか）に該当する場合は、この限りでない。
２

前項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法によるものとする。

３

第１項の記録は、次項又は第５項に該当する場合を除き、第三者に個人データの提供をした都度、速やかに作成しなければならない。

４

第１項の記録は、当該第三者に継続的に若しくは反復して個人データの提供（法第 27条第２項の方法により個人データの提供をした場合を除く。）をしたとき、又は当該第三者に継続的に若しくは反復して個人データの提供をすることが確実であると見込まれる
ときの記録は、一括して作成することができる。
13

５

第１項の記録は、本人に対する物品又は役務の提供に関連して当該本人に係る個人データを第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に記録すべき事項が記載されているときは、当該書面をもって第三者から個人データの提供を受けたときの記録に代えることができる。

６

第 28 条第１項又は前条に基づく本人の同意を得て個人データを第三者に提供したときは別紙８の「個人データ提供記録簿」に以下の事項を記録するものとする。
一 本人の同意を得ている旨
二 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。以下、第 31 条において同じ。）の氏名（不特定かつ多数の者に対して提供したときは、その旨）
三 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
四 当該個人データの項目

７

前項の記載事項のうち、第２項から第５項までの方法により作成した記録（保存している場合に限る。）に記録されている事項と内容が同一であるものについては、当該事項の記録を省略することができる。

８

協会は、第６項から前項までの規定により作成した記録を、以下の場合に応じて、当該記録を作成した日から所定の期間保存するものとする。
場合
①

保存期間

本人を当事者とする契約書等に基づく

個人データの提供の場合

最後に当該記録に係る個人データの提供を行った日から起算して１年を経過する日までの間②

個人データを継続的に若しくは反復して提供する場合

最後に当該記録に係る個人データの提供を行った日から起算して３年を経過する日までの間③

上記①又は②以外の場合当該記録を作成した日から３年間（第三者提供を受ける際の確認及び記録）
第 31 条協会は、第三者から個人データの提供を受けるに際しては、次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供が第 28 条第１項各号又は第２項各号のいずれかに該当する場合は、この限りでない。

２

一

当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名

二

当該第三者による当該個人データの取得の経緯

協会は、第三者から個人データの提供を受ける際の確認を行う方法は、確認を行う事
14

項の区分に応じて、それぞれ次のとおりとする。
事項
①

方法

前項１号に該当する事項

個人データを提供する第三者から申告を受ける方法その他の適切な方法②

前項２号に該当する事項

個人データを提供する第三者から当該第三者による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法
その他の適切な方法

３

前項にかかわらず、第三者から他の個人データの提供を受けるに際して前項の方法による確認（当該確認について記録の作成及び保存をしている場合におけるものに限る。）
を行っている事項の確認を行う場合は、当該事項の内容と当該提供に係る確認事項の内容が同一であることの確認を行う方法によるものとする。

４

協会は、前３項に基づく確認を行ったときは、以下の区分に応じて以下の事項を記録しなければならない。
一

法第 27 条第２項の方法により個人データの提供を受けた場合（別紙９－１の「個人データ受領記録簿」に記録するものとする。）①

個人データの提供を受けた年月日②

当該第三者の氏名又は名称③

当該第三者の住所④

当該第三者が法人である場合は、その代表者の氏名⑤

当該第三者による当該個人データの取得の経緯⑥

当該個人データによって識別される本人の氏名その他の当該本人を特定するに
足りる事項

二

⑦

当該個人データの項目⑧

法第 27 条第４項に基づき個人情報保護委員会による公表がされている旨

第 28 条第１項又は第 29 条に基づく本人の同意を得て第三者から提供を受けた場合（別紙９－２の「個人データ受領記録簿」に記録するものとする。）①

本人の同意を得ている旨②

当該第三者の氏名又は名称③

当該第三者の住所④

当該第三者が法人である場合は、その代表者の氏名⑤

当該第三者による当該個人データの取得の経緯⑥ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
15

⑦ 当該個人データの項目
三

個人情報取扱事業者ではない第三者から提供を受けた場合（別紙９－３の「個人データ受領記録簿」に記録するものとする。）①

当該第三者の氏名又は名称②

当該第三者の住所③

当該第三者が法人である場合は、その代表者の氏名④

当該第三者による当該個人データの取得の経緯⑤ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項⑥ 当該個人データの項目
５

前項各号の記載事項のうち、既に作成した記録（保存している場合に限る。
）に記録されている事項と内容が同一であるものについては、当該事項の記録を省略することができる。

６

第４項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法によるものとする。

７

第４項の記録は、次項又は第８項に該当する場合を除き、第三者から個人データの提供を受けた都度、速やかに作成しなければならない。

８

第４項の記録は、当該第三者から継続的に若しくは反復して個人データの提供（法第27 条第２項の方法により個人データの提供を受けた場合を除く。）を受けたとき、又は当該第三者から継続的に若しくは反復して個人データの提供を受けることが確実であると見込まれるときの記録は、一括して作成することができる。

９

第４項の記録は、本人に対する物品又は役務の提供に関連して第三者から当該本人に係る個人データの提供を受けた場合において、当該提供に関して作成された契約書その他の書面に記録すべき事項が記載されているときは、当該書面をもって第三者から個人データの提供を受けたときの記録に代えることができる。

10

協会は、第４項又は第５項により作成した記録を、以下の場合に応じて、当該記録を作成した日から所定の期間保存するものとする。
場合
①

保存期間

本人を当事者とする契約書等に基づく

個人データの提供の場合

最後に当該記録に係る個人データの提供を受けた日から起算して１年を経過する日までの間②

個人データを継続的に若しくは反復して提供する場合

最後に当該記録に係る個人データの提供を受けた日から起算して３年を経過する日までの間③

上記①又は②以外の場合当該記録を作成した日から３年間
16

第４章

保有個人データの開示等の請求等及び苦情処理（個人情報保護窓口の設置等）
第 32 条保有個人データの開示請求、訂正請求、利用停止請求及びその他相談等に対応する窓口として、個人情報保護相談窓口（以下「相談窓口」という。）を貸金業相談・紛争
解決センター及び都道府県各支部に置き、協会における個人情報の取扱い等に係る相談等の受付及び事務を行うものとする。
２

相談窓口の主たる住所、電話番号、受付時間は以下のとおりとする。
一

主たる住所

〒１０８－００７４

東京都港区高輪３－１９－１５

二

電話番号

０５７０－０５１－０５１

三

受付時間

月曜～金曜

二葉高輪ビル

9 時～17 時（祝休日、年末年始休業日を除く。）（保有個人データに関する事項の公表等）
第 33 条協会は、保有個人データに関し、次に掲げる事項について、「個人情報保護宣言」と一体としてインターネットのホームページでの常時掲載を行うこと（第３号については、「保有個人データの開示等の請求手続」としてホームページに掲載する。）、又は事務所の窓口等での掲示・備付け等を行うこととする。
一協会の名称、住所及び代表者の氏名

二

全ての保有個人データの利用目的（第 25 条第４項第１号から第３号までに該当する
場合を除く。
）

三

次項、次条第１項、第 35 条第１項、第 36 条第１項又は同条第２項の規定による請求に応じる手続四 法第 23 条の規定により保有個人データ（協会が取得し、又は取得しようとしている
個人情報であって協会が個人データとして取り扱われることが予定されているものを含む。）の安全管理のために講じた措置（本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。
）
五協会が行う保有個人データの取扱いに関する苦情の申出先

２ 協会は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知するものとする。ただし、次の各号のいずれかに該当する場合は、この限りでない。
一

前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場
合二第 25 条第４項第１号から第３号までに該当する場合
17

３

協会は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知するものとする。

（保有個人データの開示）
第 34 条協会は、本人から、当該本人が識別される保有個人データの開示に係る請求を受けたときは、本人に対し、電磁的記録の提供、書面の交付又はその他本人が請求した方法（当該方法による開示に多額の費用を要する場合その他当該方法による開示が困難である場合にあっては、書面の交付による方法）により、遅滞なく、当該保有個人データを開示するものとする。ただし、開示することにより次の各号のいずれかに該当する場
合は、その全部又は一部を開示しないことができる。
一

本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

二協会の業務の適正な実施に著しい支障を及ぼすおそれがある場合

三

他の法令に違反することとなる場合

２

協会は、前項の規定に基づき求められた保有個人データの全部若しくは一部について開示しない旨の決定をしたとき、当該保有個人データが存在しないとき、又は同項の規定により本人が請求した方法による開示が困難であるときは、本人に対し、遅滞なく、その旨を通知するものとする。

３

他の法令の規定により、本人に対し第一項本文に規定する方法に相当する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている場合には、当該全部又は一部の保有個人データについては、同項の規定は、適用しない。

４ 第１項及び第２項の規定は、当該本人が識別される個人データに係る第 30 条第１項及び第 31 条第４項の記録について準用する。ただし、その存否が明らかになることにより
公益その他の利益が害されるものとして次に掲げるものを除く。
一

当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの

二

当該記録の存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの

三

当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国若し
くは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの

四

当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの（保有個人データの訂正等）
第 35 条協会は、当該本人が識別される保有個人データの内容が事実でないことを理由に当該本人からその内容の訂正、追加又は削除（以下「訂正等」という。）に係る請求を受18けた場合には、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行うものとする。
２

協会は、前項の請求に係る保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を通知するものとする。

（保有個人データの利用停止等）
第 36 条協会は、本人から、当該本人が識別される保有個人データが、法第 18 条若しくは第 19 条の規定に違反して取り扱われているという理由、又は法第 20 条の規定に違反して取得されたものであるという理由によって、当該保有個人データの利用の停止、消去（以下、本条において「利用停止等」という。）に係る請求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行うものとする。但し、当該保有個人データの利用停止等を行うことに多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとる
ときは、この限りではない。
２

協会は、本人から、当該本人が識別される保有個人データが法第 27 条第１項又は第 28条の規定に違反して第三者に提供されているという理由によって、当該保有個人データの第三者への提供の停止に係る請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止するものとする。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合
その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

３

協会は、本人から、当該本人が識別される保有個人データを協会が利用する必要がな
くなった場合、当該本人が識別される保有個人データに係る法第 26 条第１項本文に規定する事態が生じた場合その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがあるという理由によって、当該保有個人データの利用停止等又は第三者への提供の停止の請求を受けた場合であって、その請求に理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行うものとする。ただし、当該保有個人データの利用停止等又は第三者への提供の停止に多額の費用を要する場合その他の利用停止等又は第三者への提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

４

協会は、第１項若しくは第３項の規定に基づき求められた保有個人データの全部若し
19

くは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は第２項若しくは第３項の規定に基づき求められた保有個人データの全部若
しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知するものとする。
第 36 条の２ 協会は、第 33 条第３項、第 34 条第２項（同条第４項において準用する場合を含む。）、第 35 条第２項、前条第４項の規定により、本人から求められ、又は請求された措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合には、本人に対し、その理由を説明するよう努めるものとする。
（開示等の請求等に応じる手続）
第 37 条協会は、第 33 条第 2 項の規定による求め又は第 34 条第 1 項（同条第４項において準用する場合を含む。
）、第 35 条第 1 項若しくは第 36 条第１項、第２項若しくは第３項の規定による請求（以下「開示等の請求等」という。）に関して、以下の手続のとおり
応ずるものとする。
一

相談窓口への郵送
本人に対して、以下のものを相談窓口宛に郵送することを求める。
①「保有個人データ等開示等請求書」（別紙 10）②本人確認書類③手数料等相当分の郵便切手

二

本人確認手続・本人確認書類
本人確認は以下の本人確認書類の写しを確認することによる。
①運転免許証、パスポート、在留カード、特別永住者証明書、個人番号カード（個人
番号の記載された面は送付しないことを求める。）等の官公庁が発行した顔写真付き
本人確認書類の写し・・・１点の送付を求める②健康保険被保険者証、年金手帳等の官公庁が発行した顔写真のない本人確認書類の写し・・・２点の送付を求める

三

手数料等
本人から開示等の請求等があった場合、次の手数料及び開示に係る費用を郵便切手により収受する（複数の請求が同時にある場合はその合計金額に相当する郵便切手を収受する。）。なお、開示等の請求等に応じられない場合も手数料等は返金しないものとする。
① 開示請求（ア）事務手数料（１件につき）……３００円（イ）郵送による回答の場合は、簡易書留郵便料金
20

② 利用目的の通知、訂正等、利用停止等請求（ア）郵送による回答の場合は、簡易書留郵便料金
四

代理人による開示等の請求等の場合
開示等の請求等をする者が、未成年、成年被後見人等の本人の法定代理人、本人から委任を受けた本人が指定した任意代理人である場合、第２号に掲げる書類のほか、次の書類を郵送させるものとする。
①代理権を確認するための書類
ア

法定代理人の場合（ア）未成年の場合本人の戸籍抄本又は扶養家族が記入された保険証(写)（イ）成年被後見人の場合
後見登記等に関する法律第 10 条に規定する登記証明事項
イ

任意代理人の場合
委任状（別紙 11）及び本人の印鑑登録証明書②代理人の本人確認をするための本人確認書類
代理人について第２号に掲げる本人確認書類を求める。
２ 協会は、開示等の請求等を受け付けたときは、当該受け付けをした日から起算して１週間以内に、請求に係る可否について決定する。
３

協会は、開示等の請求等のあった保有個人データの利用目的の通知をする旨決定したとき又は全部又はその一部を除いた部分について開示、訂正等若しくは利用停止等若し
くは第三者提供の停止をする旨決定したときは、請求者である本人又は代理人に対し、「保有個人データ等開示等決定通知書」（別紙 12）の送付により通知する。

４ 協会は、開示等の請求等のあった保有個人データの利用目的の通知をしない旨決定したとき又は全部について、開示、訂正等若しくは利用停止等若しくは第三者提供の停止をしない旨決定したときは、請求者である本人又は代理人に対し、「保有個人データ等不開示等決定通知書」（別紙 13）の送付により通知する。
５

協会は、第３項の「保有個人データ等開示等決定通知書」（別紙 12）及び前項の「保有個人データ等不開示等決定通知書」（別紙 13）が請求者である本人又は代理人に対して２週間以内に送付するよう努めるものとする。

（苦情処理）
第 38 条協会は、協会における保有個人データの取扱いに関する苦情の適切かつ迅速な処理に努めるものとする。
２ 苦情処理に関する協会の態勢整備は、第 11 条に定めるところに従う。
（個人情報保護宣言の策定）
21

第 39 条協会は、次の事項を含む個人情報保護宣言を策定し、協会のホームページへの掲

載、事務所における掲示等により、公表するものとする。
一

個人情報保護への取組方針①

本規程及び関係法令を遵守すること②

個人情報を目的外に利用しないこと③

個人情報の保護に関する苦情処理に適切に取り組むこと

二

個人情報の利用目的の通知・公表等の手続

三

保有個人データの開示等の手続等、個人情報の取扱いに関する諸手続

四

個人情報の取扱いに関する質問及び苦情処理の窓口

第５章

個人データの委託の取扱い（委託先における安全管理措置）
第 40 条協会が、個人データ（協会が取得し、又は取得しようとしている個人情報であって協会が個人データとして取り扱われることが予定されているものを含む。以下本条において同じ。
）の全部又は一部を委託する場合には、協会自らが果たすべき安全管理措置と同等の措置が委託先において適切に講じられるよう、委託業務の所管部門の個人情報部門責任者が必要かつ適切な監督を行うものとする。
２

前項の「必要かつ適切な監督」には次に掲げる事項が含まれる。
一

委託先の適切な選定

二

委託先に安全管理措置を遵守させるために必要な契約の締結

三

委託先における個人データの取扱状況の把握

３

前項第１号の「委託先の適切な選定」に当たっては、委託先の安全管理措置が、少なくとも法第 23 条及び「個人情報の保護に関する法律についてのガイドライン（通則編）」
で委託元に求められるものと同等であることを確認するため、同ガイドライン「10（（別添）講ずべき安全管理措置の内容）」に定める各項目が、委託する業務内容に沿って、確実に実施されることについて、あらかじめ確認しなければならない。

４

第２項第３号の「委託先における個人データの取扱状況の把握」については、委託契約の内容として、以下の規定等を盛り込むものとする。なお、外国にある第三者に委託をする場合には、別紙７（「適切かつ合理的な方法」及び「法第４章第２節の規定の趣旨に沿った措置」）に定める規定等も盛り込むものとする。
一

秘密保持義務に関する規定

二

事業所内からの個人データの持出しの禁止

三

個人データの目的外利用の禁止

四

再委託における条件
22

五

漏えい事案等が発生した場合の委託先の責任に関する規定

六

委託契約終了後の個人データの返却又は廃棄に関する規定

七

従業者に対する監督・教育に関する規定

八

契約内容の遵守状況について報告を求める規定に関する規定

九

個人データを取り扱う従業者の明確化に関する規定

十

委託者が委託先に対して実地の調査を行うことができる規定

５

協会は、委託先の管理については、委託業務の所管部門を責任部署とする。

６

協会は、委託先において個人データの安全管理が適切に行われていることについて、
必要に応じてモニタリングをするものとする。

７

協会は、委託先において情報漏えい事故等が発生した場合に、適切な対応がなされ、
速やかに協会に報告される体制になっていることを確認するものとする。

８

委託先は、協会の許諾を得た場合に限り、委託を受けた個人データの全部又は一部を再委託することができるものとする。再委託先が更に再委託する場合も同様とする。

９

協会は、再委託先の適否の判断のみならず、委託先が再委託先に対しても必要かつ適切な監督を行っているかどうかについても監督する。

10

協会は、委託先が再委託をする場合、当該再委託契約の内容として、第４項と同等の規定等を盛り込ませるものとする。

第６章

雑則

（規程の細目及び運用）
第 41 条

この規程の実施に必要な事項は、別に定める。

（規程の改廃）第 42 条附

この規程の改廃は、あらかじめ常任役員会で協議し、会長が行う。

則

1 この規程は、平成 30 年 1 月 1 日から施行する。ただし、第 31 条第 2 項第 3 号の受付時間については、平成 30 年 2 月 1 日から施行するものとし、それまでの間の受付時間については、9 時から 17 時 30 分までとする。
2

この規程の施行に伴い、「個人情報の保護に関する規則」を同日付で廃止する。
附則

この規程は、令和元年 10 月 1 日から改正施行する。
23

（改正条項）
・第３６条第１項第３号

附則

この規程は、令和 4 年 4 月 1 日から改正施行する。
（改正条項）
・第２条第１項第１号、同条第４項本文、同条第５項第３号及び第４号、同条第７項第１号乃至５号、同条第９項、同条第 13 項、第７条第１項第５号、同条第２項、第８条第２項、第９条、第 13 条第２項、第 15 条第１号、第 22 条第１項、第 23 条第１項、第 23条の２（新設）、第 24 条第２項、第 25 条第２項第５号及び第７号、第 27 条第２項第１号及び第３号、同条第３項、第 28 条第１項及び第２項、同条第３項乃至第６号（新設）、
第 29 条第１項乃至第５項、同条第６項本文及び第２号、第 30 条本文及び第１号、同条第４項第１号④、同項第２号④、同項第３号③、同条第６項（新設）、同条第７項乃至第10 項、第 32 条第１項第１号、同項第４号（新設）、同項第５号、第 33 条本文、同条第２項、同条第４項（新設）、第 34 条第１項及び第２項、第 35 条第１項及び第２項、同条第３項（新設）、同条第４項、第 35 条の２（新設）、第 36 条第１項本文及び第１号①、
同条第３項乃至第５項、第 39 条第３項及び第４項
・（別紙７）「適切かつ合理的な方法」及び「法第４章第２節の規定の趣旨に沿った措置」
・（別紙８）個人データ提供記録簿
・（別紙９－１～９－３）個人データ受領記録簿・（別紙 10）保有個人データ等開示等請求書・（別紙 11）保有個人データ等開示等請求書

委任状

・（別紙 12）保有個人データ等開示等決定通知書
・（別紙 13）保有個人データ等不開示等決定通知書
・個人情報取扱規程付属規程（情報漏えい等事案等対応関係）
附則

この規程は、令和 5 年 11 月 1 日から改正施行する。
（改正条項）
・（別紙６）個人情報の利用目的
附 則
この規程は、令和 6 年 8 月 1 日から改正施行する。
（改正条項）
・第３条（新設、以下節番号、条文番号繰下げ）、第 10 条、第 32 条第２項、第 33 条
第１項、第 34 条第１項、第 37 条第１項、第 40 条第１項
・【別紙２】要配慮個人情報
・個人情報取扱規程付属規程（情報漏えい等事案等対応関係）24【別紙１】個人識別符号１

特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの（第２条第２号①）
下記（１）から（８）に該当するもののうち、特定の個人を識別することができる水準が確保されるよう、適切な範囲を適切な手法により電子計算機の用に供するために変換されたもの。具体的には、下記（１）から（８）において具体的に説明するものである。
（１）細胞から採取されたデオキシリボ核酸（別名ＤＮＡ）を構成する塩基の配列

ゲノムデータ（細胞から採取されたデオキシリボ核酸（別名 DNA）を構成する塩基の配列を文字列で表記したもの）のうち、全核ゲノムシークエンスデータ、全エクソームシー
クエンスデータ、全ゲノム SNP データ、互いに独立な 40 箇所以上の SNP から構成される
シークエンスデータ、9 座位以上の 4 塩基 STR 等の遺伝型情報により本人を認証することができるようにしたもの（２）顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状によって定まる容貌
顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状から抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの（３）虹彩の表面の起伏により形成される線状の模様
虹彩の表面の起伏により形成される線状の模様から、赤外光や可視光等を用い、抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの（４）発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化
音声から抽出した発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化に関する特徴情報を、話者認識システム等本人を認証することを目的とした装置やソフトウ
ェアにより、本人を認証することができるようにしたもの（５）歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様
歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様から抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの（６）手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状
手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状等から、赤外光や可視光等を用い抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの
1（７）指紋又は掌紋（指紋）指の表面の隆線等で形成された指紋から抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの（掌紋）手のひらの表面の隆線や皺等で形成された掌紋から抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの（８）組み合わせ上記（１）から（７）までに掲げるものから抽出した特徴情報を、組み合わせ、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの
２

個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ、又は個人に発行されるカードその他の書類に記載され、若しくは電磁的方法により記録された文字、番号、記号その他の符号であって、その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され、若しくは記録されることにより、特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの（第２条第２号②）

下記に該当するもの。
（１）旅券番号（２）基礎年金番号（３）運転免許証番号（４）住民票コード（５）個人番号（６）国民健康保険の被保険者証の記号、番号及び保険者番号（７）後期高齢者医療制度の被保険者証の番号及び保険者番号（８）介護保険の被保険者証の番号及び保険者番号（９）健康保険の被保険者証の記号、番号及び保険者番号（10）高齢受給者証の記号、番号及び保険者番号（11）船員保険の被保険者証の記号、番号及び保険者番号（12）船員保険の高齢受給者証の記号、番号及び被保険者番号（13）旅券番号（日本国政府が発行したもの以外）（14）在留カードの番号（15）私立学校教職員共済の加入者証の加入者番号（16）私立学校教職員共済の高齢受給者証の加入者番号（17）国民健康保険の高齢受給者証の記号、番号及び保険者番号2

（18）国家公務員共済組合の組合員証の記号、番号及び保険者番号（19）国家公務員共済組合の組合員被扶養者証の記号、番号及び保険者番号（20）国家公務員共済組合の船員組合員証及び船員組合員被扶養者証の記号、番号及び保険者番号（21）地方公務員等共済組合の組合員証の記号、番号及び保険者番号（22）地方公務員等共済組合の組合員被扶養者証の記号、番号及び保険者番号（23）地方公務員等共済組合の高齢受給者証の記号、番号及び保険者番号（24）地方公務員等共済組合の船員組合員証及び船員組合員被扶養者証の記号、番号及び保険者番号（25）雇用保険被保険者証の被保険者番号（26）特別永住者証明書の番号3

【別紙２】要配慮個人情報
１

人種

２

信条

３

社会的身分

４

病歴

５

犯罪の経歴

６

犯罪により害を被った事実

７

身体障害、知的障害、精神障害（発達障害を含む。）その他の個人情報保護委員会規則で定める心身の機能の障害があること。
①

身体障害者福祉法における身体上の障害②

知的障害者福祉法における知的障害③

精神保健及び精神障害者福祉に関する法律における精神障害（発達障害者支援法における発達障害を含み、２に掲げるものを除く。）④

治療方法が確立していない疾病その他の特殊の疾病であって障害者の日常生活及び社会生活を総合的に支援するための法律４条１項の政令で定めるものによる障害の程度が同項の主務大臣が定める程度であるもの

８

本人に対して医師その他医療に関連する職務に従事する者（「医師等」）により行われた疾病の予防及び早期発見のための健康診断その他の検査（「健康診断等」）の結果
９

健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと。
10

本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと。
11 本人を少年法に規定する少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと。

【別紙３】
確認日：

年

月

日

部署名：
個人情報部門責任者：

年度 個人データの運用状況記録票≪個人情報取扱規程 第8条≫
個人情報取扱担当者等は、本規程に基づく運用状況を確認するため、以下の項目につき、項目①・③については、「個人データの運用状況記録票」により、（省略） 記録するものとする。（省略）。ただし、項目①から③の記録については、他の協会内規程又はマニュアルにより規定されている様式がある場合等
で、且つ、個人情報部門責任者の承認を得た場合については、この限りではない。
①紙媒体の個人情報データベース等の利用・出力状況 ③紙媒体の個人情報データベース等の削除・廃棄の状況

個人データの名称(「個人データ取扱台帳」の名称）※記録媒体が「電子」の場合は、本票の作成は不要。

運用状況
Ｎｏ

例

個人情報取扱担当者等

日付

山田太郎

利用
（閲覧のみの場合は記入不要）（個人データを運用したもの）

月日

加筆・修正・
一部廃棄

7

4

●

出力
転記・印刷等

左記運用を行った理由
廃棄※入力方法は、「例」の□を使用した選択方式に限らず、ドロップダウンリ
個人データ全体の ストによる選択や直接入力等も可
削除・廃棄
代議員変更のため代議員チェックのため
その他（

）

1
2
3
4
5
6
7
8
9
10
11
12
【保存期間：10年】

【別紙４】
確認日：部署名：
個人情報部門責任者：

年度 個人データ取扱台帳

年

月

日

≪個人情報取扱規程 第9条≫
個人情報取扱担当者は、個人情報データベース等の取扱状況を確認するための手段として、「個人データ取扱台帳」に以下の項目を記録するものとする。なお、個人データ取扱台帳には、個人データ自体は記載しないものとする。 一個人情報データベース等の種類、名称 二個人データの範囲 三利用目的 四記録媒体 五保管場所（管理区域） 六責任者 七取扱部署 八個人情報取扱担当者（アクセス権者）九保存期間 十削除・廃棄方法 十一その他個人データの適正な取扱いに必要な情報
2 個人情報部門責任者は、前項の台帳について、その内容が最新の状態に保たれていることを定期に確認しなければならない。

Ｎｏ

名称

個人データの範囲

利用目的

記録媒体
（紙・電子）

保管場所

アクセス
権者

保存
期間

削除・廃棄
方法

削除・廃棄日
運用状況の※個人データ全体の記録方法
削除・廃棄日※記録媒体が「電子」の場
合は記入不要月

1□「個人データの運用状
況記録票」
□その他
（
）

2

□「個人データの運用状
況記録票」
□その他
（
）

3

□「個人データの運用状
況記録票」
□その他
（
）

4

□「個人データの運用状
況記録票」
□その他
（
）

5

□「個人データの運用状
況記録票」
□その他
（
）

6

□「個人データの運用状
況記録票」
□その他
（
）

日

【保存期間：10年】

【別紙５】（本規程第 17 条第２項関連）
個人データ持ち運び記録簿

No書類・ファイル名

記録媒体

持出日

返却日

【紙・電子（外部

確認者印

確認者印

記憶媒体）
】

理由

持出者

備考

【 別 紙 6】

個人情報の利用目的（日本貸金業協会）
個人情報の分類
1. 貸 金 業 者 の 登 録 を 受 け ようとする者の個人情報
2. 協 会 に 加 入 し よ う と す る

利用目的
・貸金業登録のための審査
・登録の実施・入会資格の審査及び会員管理者の個人情報3. 協 会 員 業 者 に 関 す る 個 人

・協会員の管理・監督その他の協会事業の遂行情報（個人業者における当該貸金業者の個人情報のほか、法人業者における役員等の個人情報を含む。）
4. 資 格 試 験 の 受 験 申 込 者 の・資格試験の管理事務

個人情報
5. 貸 金 業 務 取 扱 主 任 者 の 登

・主任者登録の管理事務録申請者の個人情報
6. 登 録 講 習 受 講 希 望 者 の 個・登録講習の管理事務

人情報
7. 債 務 者 等 の 個 人 情 報・相談・苦情の対応及び紛争解決その他の協会事業の遂行

8. 協 会 役 員 ・ 委 員 ・ 顧 問 等

・選任、業務に関する連絡等の個人情報
9. 協 会 従 業 員 の 個 人 情 報

・労 務 管 理 、福 利 厚 生 そ の 他 の 人 事 の 判 断 資 料

10.従 業 員 と な ろ う と す る 者

・採否の判断資料の個人情報

【別紙 7】「適切かつ合理的な方法」及び「法第４章第２節の規定の趣旨に沿った措置」

個人情報取扱規程第 29 条に定める「適切かつ合理的な方法」及び「法第４章第２節の規定の趣旨に沿った措置」は以下のとおりとする。
１

適切かつ合理的な方法「外国にある事業者に個人データの取扱いを委託する場合」及び「同一の企業グループ

内で個人データを移転する場合」について、それぞれ以下に定めるとおりとする。
（１）外国にある事業者に個人データの取扱いを委託する場合
提供元及び提供先間の契約、確認書、覚書等において定める。
（２）同一の企業グループ内で個人データを移転する場合
提供元及び提供先に共通して適用される内規、プライバシーポリシー等において定める。
２

法第４章第２節の規定の趣旨に沿った措置協会が、外国にある事業者に顧客データの入力業務を委託する場合についての具体的な措置は、以下に定める事項のとおりとする。
法第 17 条利用目的の特定委託契約において、外国にある事業者による利用目的を特定する。

法第 18 条利用目的による制限

委託契約において、委託の内容として、外国にある事業者による利用目的の範囲内での事務処理を規定する。

法第 19 条不適正な利用の禁止

委託契約により外国にある事業者による違法又は不当な行為を助長し、又は誘発するおそれがある方法による利用を禁止する。

法第 20 条

適正な取得

外国にある事業者に対し、委託契約に基づき協会から適切に提供された個人情報以外に、当該委託業務に係る個人情報を取得しないことを委託契約において義務付ける。

法第 21 条取得に際しての利用

協会から顧客に対して利用目的の通知等をする。

目的の通知等法第 22 条

データ内容の正確性

委託契約によりデータ内容の正確性の確保等について規定するか、の確保等

又は、データ内容の正確性の確保等に係る責任を個人データの提供
元たる個人情報取扱事業者が負うこととする。

法第 23 条

安全管理措置委託契約により外国にある事業者が安全管理措置を講ずる旨を規定する。GL（通則編）「（別添）講ずべき安全管理措置の内容」を参照。

1

法第 24 条

従業者の監督委託契約により外国にある事業者の従業者の監督に係る措置を規定する。

法第 25 条

委託先の監督委託契約により外国にある事業者の再委託先の監督に係る措置を規定する。
①適切な委託先の選定②委託契約の締結③委託先における個人データ取扱状況の把握

法第 26 条漏えい等の報告等

委託契約により、外国にある事業者において法第 26 条第１項に定める報告義務の対象となる個人データの漏えい、滅失又は毀損その他の個人データの安全の確保に係る事態が発生した場合に、協会が個人情報保護委員会への報告及び本人通知に係る措置を講ずることについて明確にする。

法第 27 条

第三者提供の制限

委託契約により外国にある事業者からの個人データの第三者提供を禁止する。

法第 28 条外国にある第三者へ委託契約により外国にある事業者からの個人データの第三者提供の提供の制限を禁止する。
外国の事業者から更に外国にある第三者に個人データの取扱いを再委託する場合には、法第 25 条の委託先の監督義務のほか、法第4 章第 2 節の規定の趣旨に沿った措置の実施を確保する。

法第 32 条保有個人データに関提供する個人データが外国にある事業者にとって「保有個人デー～第 38 条、 する事項の公表等、開タ」に該当する場合には、委託契約により、協会が保有個人データ

第 40 条示、訂正等、利用停止に関する事項の公表等、開示、訂正等、利用停止等、理由の説明、等、理由の説明、開示

開示等の請求等に応じる手続、手数料、苦情の処理に係る義務を履等の請求等に応じる

行することについて明確にする。

手続、手数料、苦情のなお、提供する個人データが外国にある事業者にとって「保有個人処理データ」に該当しない場合には、結果として「措置」としての対応は不要である。

相当措置の継続的な実施を確保するために必要な措置（法第 28 条第３項、規則第 18３条第１項関係）
協会は、提供先が基準適合体制を整備していることを根拠として外国にある第三者に個
人データを提供した場合、当該第三者による相当措置の継続的な実施を確保するために必要な措置として、次の（1）及び（2）の措置を講じなければならない。
(1)当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれ
2

のある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること（規則第 18 条第 1 項第 1 号関係）
協会は、個人データの提供先である外国にある第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及び内容を、適切かつ合理的な方法により、定期的に確認（年に１回程度）しなければならない。
相当措置の実施状況は、個人データを取り扱う場所に赴く方法、書面により報告を受ける方法又はこれらに代わる合理的な方法（口頭による確認を含む。）により確認する。
また、外国にある第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及び内容は、当該第三者に対して照会する方法（当該第三者の回答に依拠することが相当ではないと認める場合を除く。
）又は我が国若しくは外国の行政機関等が公表している情報その他の適切かつ合理的な方法により確認する。
参考【相当措置の実施状況の確認に該当する事例】
事例）外国にある事業者に個人データの取扱いを委託する場合において、提供元及び提供先間の契約を締結することにより、当該提供先の基準適合体制を整備している
場合は、当該契約の履行状況を確認すること
参考【相当措置の実施に影響を及ぼすおそれのある外国の制度に該当する事例】
事例１）事業者に対し政府の情報収集活動への広範な協力義務を課すことにより、事業者が保有する個人情報について政府による広範な情報収集が可能となる制度
事例２）事業者が本人からの消去等の請求に対応できないおそれがある個人情報の国内保存義務に係る制度(2)当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データの当該第三者への提供を停止すること（規則第 18 条第 1 項第 2 号関係）
協会は、個人データの提供先である外国にある第三者による相当措置の実施に支障が生じたときは、当該支障の解消又は改善のために必要かつ適切な措置を講じなければならない。
また、外国にある第三者による相当措置の継続的な実施の確保が困難となった場合、当該第三者は、実質的に、基準適合体制を整備しているとはいえないと考えられることから、それ以降、当該第三者への個人データの提供を停止しなければならない。
参考【支障発生時の必要かつ適切な措置に該当する事例】
3事例）日本にある個人情報取扱事業者が提供先である外国にある事業者との間で委託契約を締結することにより、当該提供先の基準適合体制を整備している場合で、当該提供先が当該委託契約上の義務の一部に違反して個人データを取り扱っている
場合に、これを是正するよう要請すること
参考【相当措置の継続的な実施の確保が困難となった場合に該当する事例】
事例１）日本にある個人情報取扱事業者が提供先である外国にある事業者との間で委託契約を締結することにより、当該提供先の基準適合体制を整備している場合で、当該提供先が当該委託契約上の義務の一部に違反して個人データを取り扱っている場合に、これを是正するよう要請したにもかかわらず、当該提供先が合理的な期間内にこれを是正しない場合
事例２）外国にある事業者において日本にある個人情報取扱事業者から提供を受けた個
人データに係る重大な漏えい等が発生した後、同様の漏えい等の発生を防止するための必要かつ適切な再発防止策が講じられていない場合
４

相当措置の継続的な実施を確保するために必要な措置に関する情報提供（法第 28 条第３項、規則第 18 条第２項・第３項関係）(1)情報提供の方法（規則第 18 条第２項関係）
本人に対する情報提供は、規則第 18 条第３項の規定により本人への提供が求められる情報を本人が確実に認識できると考えられる適切な方法で行う。なお、提供する情報は本人にとって分かりやすいものであることが重要である。
参考【適切な方法に該当する事例】
事例１）必要な情報を電子メールにより本人に送付する方法
事例２）必要な情報を記載した書面を本人に直接交付する方法
事例３）必要な情報を本人に口頭で説明する方法
事例４）必要な情報をホームページに掲載し、本人に閲覧させる方法(2)提供すべき情報協会は、法第 28 条第３項の規定による本人の求めを受けた場合には、遅滞なく、次の①から⑦までの情報を本人に提供しなければならない。
ただし、情報提供することにより当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、その全部又は一部を提供しないことができる。
参考【情報提供することにより当該個人情報取扱事業者の業務の適正な実施に著しい支4

障を及ぼすおそれがある場合に該当する事例】
事例）同一の本人から複雑な対応を要する同一内容について繰り返し情報提供の求めがあり、事実上問合せ窓口が占有されることによって他の問合せ対応業務が立ち行かなくなる等、業務上著しい支障を及ぼすおそれがある場合①「当該第三者による法第 28 条第１項に規定する体制の整備の方法」（規則第 18 条第３項第１号関係）
個人データの提供先である外国にある第三者が基準適合体制を整備する方法について情報提供しなければならない。
参考【基準適合体制を整備する方法についての情報提供に該当する事例】
日本にある個人情報取扱事業者が外国にある事業者に個人データの取扱いを委託する場合において、提供元及び提供先間の契約を締結することにより、当該提供先の基準適合体制を整備している場合事例）「提供先との契約」である旨の情報提供を行うこと②「当該第三者が実施する相当措置の概要」（規則第 18 条第３項第２号関係）
個人データの提供先である外国にある第三者が実施する相当措置の概要について情報提供しなければならない。提供すべき情報は、個々の事例ごとに判断されるべきであるが、当該外国にある第三者において、法第４章第２節の規定の趣旨に沿った措置がどのように確保されているかが分かるような情報を提供する必要がある。
なお、個人情報取扱事業者が当該外国にある第三者との間で締結している契約等の全ての規定の概要についての情報提供を求めるものではない。
参考【相当措置の概要についての情報提供に該当する事例】
日本にある個人情報取扱事業者が外国にある事業者に個人データの取扱いを委託する場合において、提供元及び提供先間の契約を締結することにより、当該提供先の基準適合体制を整備している場合事例）「契約において、特定した利用目的の範囲内で個人データを取り扱う旨、不適
正利用の禁止、必要かつ適切な安全管理措置を講ずる旨、従業者に対する必要かつ適切な監督を行う旨、再委託の禁止、漏えい等が発生した場合には提供元が個人情報保護委員会への報告及び本人通知を行う旨、個人データの第三者提供の禁止等を定めている」旨の情報提供を行うこと③「第１項第１号の規定による確認の頻度及び方法」（規則第 18 条第３項第３号関係）
5個人データの提供先である外国にある第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある制度の有無及びその内容の確認に関して、その方法及び頻度について情報提供しなければならない。
なお、外国にある第三者による相当措置の実施状況の確認の方法及び頻度と、当該相当措置の実施に影響を及ぼすおそれのある制度の有無及びその内容の確認の方法及び頻度が異なる場合には、それぞれについて情報提供する必要がある。
参考【確認の方法及び頻度についての情報提供に該当する事例】
事例）①外国にある第三者による相当措置の実施状況についての確認の方法及び頻度「毎年、書面による報告を受ける形で確認している」旨の情報提供を行うこと②当該相当措置の実施に影響を及ぼすおそれのある制度の有無及びその内容の確認の方法及び頻度「毎年、我が国の行政機関等が公表している情報を確認している」旨の情報提供を行うこと④「当該外国の名称」（規則第 18 条第 3 項第 4 号関係）
個人データの提供先の第三者が所在する外国（※１）の名称について情報提供しなければならない（※２）
。必ずしも正式名称を求めるものではないが、本人が自己の個
人データの移転先を合理的に認識できると考えられる形で情報提供を行う必要がある。
（※１）「外国」とは、本邦の域外にある国又は地域をいい、我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として規則で定めるものを除く（法第 28 条第１項）。
（※２）ここでいう「外国の名称」の情報提供においては、提供先の第三者が所在する外国の名称が示されていれば足りるものとする。ただし、州法に関する情報提供が本人による当該第三者における個人データの取扱状況等の把握に資する
場合には、当該第三者が所在する州を示した上で、可能な場合には当該州の制度についても情報提供を行うよう努める。
⑤「当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要」（規則第 18 条第３項第５号関係）
個人データの提供先である外国にある第三者による相当措置の実施に影響を及ぼす
おそれのある当該外国の制度の有無及びその概要について情報提供しなければならな6

い。
参考【相当措置の実施に影響を及ぼすおそれのある外国の制度の概要についての情報提供に該当する事例】
事例１）「事業者に対し政府の情報収集活動への広範な協力義務を課すことにより、事業者が保有する個人情報について政府による広範な情報収集が可能となる制度が存在する」旨の情報提供を行うこと
事例２）「事業者が本人からの消去等の請求に対応できないおそれがある個人情報の国内保存義務に係る制度が存在する」旨の情報提供を行うこと⑥「当該第三者による相当措置の実施に関する支障の有無及びその概要」（規則第 18 条
第３項第６号関係）
個人データの提供先である外国にある第三者による相当措置の実施に関する支障の有無及びその概要について情報提供しなければならない。
【相当措置の実施に関する支障の概要についての情報提供に該当する事例】
日本にある個人情報取扱事業者が外国にある事業者に個人データの取扱いを委託する場合において、提供元及び提供先間の契約を締結することにより、当該提供先の基準適合体制を整備しているものの、当該提供先が当該契約において特定された
利用目的の範囲を超えて、当該個人データを取り扱っていた場合
事例）「提供先が契約において特定された利用目的の範囲を超えて個人データの取扱いを行っていた」旨の情報提供を行うこと⑦「前号の支障に関して第１項第２号の規定により当該個人情報取扱事業者が講ずる措置の概要」（規則第 18 条第３項第７号関係）
個人データの提供先である外国にある第三者による相当措置の実施に支障が生じた場合において、当該支障の解消・改善のために提供元の個人情報取扱事業者が講ずる措置の概要について情報提供しなければならない。
参考【相当措置の実施に関する支障に関して個人情報取扱事業者が講ずる措置の概要についての情報提供に該当する事例】
日本にある個人情報取扱事業者が外国にある事業者に個人データの取扱いを委託する場合において、提供元及び提供先間の契約を締結することにより、当該提供先の基準適合体制を整備しているものの、当該提供先が当該契約において特定された
7

利用目的の範囲を超えて、当該個人データを取り扱っていた場合
事例１）「提供先が契約において特定された利用目的の範囲を超えて個人データの取扱いを行っていたため、速やかに当該取扱いを是正するように要請した」
旨の情報提供を行うこと
事例２）「提供先が契約において特定された利用目的の範囲を超えて個人データの取扱いを行っていたため、速やかに当該取扱いを是正するように要請したものの、これが合理的期間内に是正されず、相当措置の継続的な実施の確保が困難であるため、〇年〇月〇日以降、個人データの提供を停止した上で、既に提供した個人データについて削除を求めている」旨の情報提供を行う
こと(3) 情報提供しない旨の決定を行った際の通知等（規則第 18 条第４項・第５項関係）
協会は、法第 28 条第３項の規定による本人の求めに係る情報の全部又は一部について情報提供しない旨の決定をしたときは、遅滞なく、その旨を本人に通知しなければならない。
この場合、個人情報取扱事業者は、本人に対し、情報提供をしない理由を説明するよう努めなければならない。

8

【別紙８】
個人データ提供記録簿① 法第 27 条第１項又は法第 28 条の本人の同意を得ている旨② 当該第三者の氏名又は名称③

当該第三者の住所④

当該第三者が法人である場合は、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名⑤ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項例）本人ごとに番号・ID などを付して個人データの管理をしている場合において、当該番
号・ID などにより本人を特定できるときの当該番号・ID⑥ 当該個人データの項目
例）氏名、住所、電話番号、年齢例）氏名、商品購入履歴※１

不特定かつ多数の者に対して提供したときには、②右欄に不特定かつ多数の者に提供した旨を記録するとともに、③及び④右欄を斜線で抹消すること。なお、不特定かつ多数の者に提供している場合とは例えば下記のような場合をいう。
例）個人データをインターネット上に公開し、不特定多数の者が閲覧できる状態に置いている場合例）住宅地図を市販する場合※２

上記①から⑥の記録事項のうち、既に作成した「個人データ提供記録簿」（保存している場合に限る。）に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。

【別紙９－１】
個人データ受領記録簿①

個人データの提供を受けた年月日②

当該第三者の氏名又は名称③

当該第三者の住所④

当該第三者が法人である場合は、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名⑤

当該第三者による当該個人データの取得の経緯⑥

当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
例）本人ごとに番号・ID などを付して個人データの管理をしている場合において、当該番
号・ID などにより本人を特定できるときの当該番号・ID⑦

当該個人データの項目

例）氏名、住所、電話番号、年齢例）氏名、商品購入履歴⑧

法第 27 条第４項に基づき個人情報保護委員会による公表がされている旨※②から④までの事項については、個人データを提供する第三者から申告を受ける方法により確認するものとする。⑤の事項については個人データを提供する第三者から当該第三者による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法
その他の適切な方法により確認をするものとする。
※上記①から⑧の記録事項のうち、既に作成した「個人データ提供記録簿」（保存している場合に限る。
）に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。

【別紙９－２】
個人データ受領記録簿①

本人の同意を得ている旨②

当該第三者の氏名又は名称③

当該第三者の住所④

当該第三者が法人である場合は、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名⑤

当該第三者による当該個人データの取得の経緯⑥

当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
例）本人ごとに番号・ID などを付して個人データの管理をしている場合において、当該番
号・ID などにより本人を特定できるときの当該番号・ID⑦

当該個人データの項目

例）氏名、住所、電話番号、年齢例）氏名、商品購入履歴※②から④までの事項については、個人データを提供する第三者から申告を受ける方法により確認するものとする。⑤の事項については、個人データを提供する第三者から当該第三者による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法により確認をするものとする。
※上記①から⑦の記録事項のうち、既に作成した「個人データ提供記録簿」（保存している場合に限る。
）に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。

【別紙９－３】
個人データ受領記録簿①

当該第三者の氏名又は名称②

当該第三者の住所③

当該第三者が法人である場合は、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名④

当該第三者による当該個人データの取得の経緯⑤

当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
例）本人ごとに番号・ID などを付して個人データの管理をしている場合において、当該番
号・ID などにより本人を特定できるときの当該番号・ID⑥

当該個人データの項目

例）氏名、住所、電話番号、年齢例）氏名、商品購入履歴※①から③までの事項については、個人データを提供する第三者から申告を受ける方法により確認するものとする。④の事項については、個人データを提供する第三者から当該第三者による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法により確認をするものとする。
※上記①から⑥の記録事項のうち、既に作成した「個人データ提供記録簿」（保存している場合に限る。
）に記録された事項と内容が同一であるものについては、当該事項の記録を省略することができる。

【別紙 10】
保有個人データ等開示等請求書
年
日本貸金業協会

貸金業相談・紛争解決センター又は都道府県各支部

個人情報保護相談窓口

月

日

御中

１ 請求者（該当する□にはレ印を記入してください。
）
住所

□本人
□未成年者の法定代理人□成年被後見人の法定代理人

氏名□本人が委任した代理人
請求者が代理人の場合は本人の氏名・住所も記載してください。
住所
氏名２ 保有個人データ等の開示等の請求等に関する事項□保有個人データの利用目的の通知□保有個人データの開示
請求の目的□保有個人データの内容の訂正・追加・削除（該当する□にはレ印を記入してく□保有個人データの利用停止、消去
ださい（複数可））□保有個人データの第三者提供の停止□第三者提供記録の開示請求の対象となる保有個人データの名称、内容、その他請求に係る保有個人データを特定するに足りる事項
又は第三者提供の記録もしくは第三者提供を受ける際の確認記録の別、請求の対象となる第三者提供記録の期間その他第三者提供記録の範囲に関する事項
決定のご連絡の方法「保有個人データ等開示等決定通知書」又は「保有個人データ等不開示等決定通知書」でご連絡いたします。

＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊（協会使用欄）（ご請求者は記載しないでください。
）
本人の本人確認書類（＊） □運転免許証 □パスポート □個人番号カード □在留カード □特別永住者証明書□健康保険被保険者証
代理人による場合、代理

□年金手帳

□その他（

）

□運転免許証 □パスポート □個人番号カード □在留カード □特別永住者証明書

人の本人確認書類（＊）□健康保険被保険者証

代理権の確認書類□委任状＋印鑑登録証明書□戸籍抄本

証明書 □その他（

）

担当者
備考

（＊）顔写真なしのものは２点確認

□年金手帳

□その他（

）

□扶養家族が記入された保険証 □登記事項（内線）

【別紙 11】年

月日

保有個人データ等 開示等請求書 委任状
日本貸金業協会貸金業相談・紛争解決センター又は都道府県各支部
個人情報保護相談窓口 御中
私（委任者）は以下の者を代理人と定め、日本貸金業協会が保有する、私（委任者）の保有個人データ又は第三者提供記録に関して以下の請求をいたします。
１

委任者（住所と氏名を記載した上、実印を押印してください。）

（住所）

ふりがな
（氏名）

２

㊞

代理人（住所と氏名を記載してください。）

（住所）

ふりがな
（氏名）

３ 委任に関する事項（該当する□にはレ印を記入してください。複数可）□保有個人データの利用目的の通知□保有個人データの開示□保有個人データの内容の訂正・追加・削除□保有個人データの利用停止、消去□保有個人データの第三者提供の停止□第三者提供記録の開示＊代理人の確認につきましては、本委任状のほか、下記の本人確認書類及び実印の印鑑登録証明書が必要になります。
（本人確認書類）〇顔写真付きの本人確認書類（運転免許証、パスポート、個人番号カード、在留カード、特別永住者証明書 等）
・・・１点のみで可。
〇顔写真のない本人確認書類（健康保険被保険者証、年金手帳等）・・・２点必要。

【別紙 12】年

月日

保有個人データ等開示等決定通知書（ご請求者） 様
日本貸金業協会
年月日付けで請求のありました保有個人データの【利用目的通知、開示、訂正、追加、削除、利用停止、消去、第三者への提供停止】又は第三者提供記録の開示について、
下記のとおり（一部）【利用目的通知、開示、訂正、追加、削除、利用停止、消去、第三者への提供停止】することとしましたので通知します。
１

ご請求のあった保有個人データ等の名称等

２（一部）【利用目的通知、開示、訂正、追加、削除、利用停止、消去、第三者への提供停止】する保有個人データの内容又は開示する第三者提供記録の範囲

３

一部【利用目的通知、開示、訂正、追加、削除、利用停止、消去、第三者への提供停止】しないこととした理由

【別紙 13】年

月日

保有個人データ等不開示等決定通知書（ご請求者） 様
日本貸金業協会
年月日付けで請求のありました保有個人データの【利用目的通知、開示、訂正、追加、削除、利用停止、消去、第三者への提供停止】又は第三者提供記録の開示について、
下記のとおりその全部を【利用目的通知、開示、訂正、追加、削除、利用停止、消去、第三者への提供停止】しないことと決定いたしましたので通知します。
１

ご請求のあった保有個人データ等の名称等

２【利用目的通知、開示、訂正、追加、削除、利用停止、消去、第三者への提供停止】

しない理由