「金融サービスにおける顧客情報の利用を巡る法律問題研究会」報告書：
顧客情報の利活用に関する行為規範のあり方
金融サービスにおける顧客情報の利用を巡る法律問題研究会
要旨

本稿は、日本銀行金融研究所が設置した「金融サービスにおける顧客情報の利用を巡る法律問題研究会」（メンバー〈50 音順、敬称略〉：井上聡、加毛明、
神作裕之、神田秀樹〈座長〉、事務局：日本銀行金融研究所）の報告書である。
近年、情報通信技術の飛躍的な発展等を背景に、業種・業態を問わず幅広い
主体で情報を利用しようとする動きが進展している。こうした変化に対応していく環境を整備するため、2019 年に銀行法が改正され、銀行は従前許容されていなかった顧客情報を第三者に提供することを目的とする業務を営むことが可能となった。
改正銀行法のもとで、顧客の権利利益の保護や利便性の向上を図りつつ、情報の利活用を促進していくためには、銀行がこうした業務を営む際に遵守すべ
き行為規範を明らかにする必要があると考えられる。そうした行為規範としては、銀行の守秘義務や個人情報保護法に基づくものが想定されるが、改正銀行法における顧客情報の第三者提供業務において、それらがどのように機能するかは、現状、必ずしも明らかではない。この点に関する検討を深めることは、銀行が顧客情報の第三者への提供を行っていくうえでも、重要な視点を提供すると思われる。
以上のような問題意識を踏まえ、本報告書では、認定情報銀行制度といった足許の顧客情報の第三者提供に関する動きも視野に入れつつ、顧客情報の第三者提供業務の銀行法上の位置付けや同業務における銀行の守秘義務および個人情報保護法の適用関係を整理したうえで、それらの行為規範の内容について検討するとともに、新たな行為規範の必要性およびそのあり方について論じている。

..................................
本報告書の内容や意見は、日本銀行あるいは金融研究所の公式見解を示すものではない。

日本銀行金融研究所/金融研究/2021.2
無断での転載・複製はご遠慮下さい。

1

1.

はじめに

2019 年 5 月、情報の利活用に関する社会的ニーズの拡大を受け、銀行の業務範
囲規制を緩和し、銀行本体がその保有する情報を第三者に提供することを可能とす
る改正銀行法が成立した1 。これによって、銀行は、従前許容されていなかった顧客情報の第三者への提供を目的とする業務を営むことが可能となった。
もっとも、法改正により、こうした業務が可能となるとされた一方、銀行が遵守すべき行為規範の内容については、現状、必ずしも明確ではないと考えられる。具体的には、改正銀行法のもとで、銀行が顧客情報を第三者に提供することは可能となるものの、銀行の守秘義務の観点からの行為規範の内容、またこれにかかる個人情報の保護に関する法律（以下「個人情報保護法」という。）等との関係が必ずしも明らかではないように見受けられる。これらの点に関する検討を深めることは、銀行が顧客情報の第三者への提供を行っていくうえでも、重要な視点を提供すると思われる。なお、本報告書においては、行為規範との用語を、一定の行為について
何らかの法的効果が発生しうる規範を意味するものとして用いることとする。
こうした問題意識のもと、日本銀行金融研究所では、2020 年 2 月に「金融サービ
スにおける顧客情報の利用を巡る法律問題研究会」を設置し、認定情報銀行制度といった足許の顧客情報の第三者提供に関する動きも視野に入れつつ、銀行を対象として、顧客情報を第三者に提供する業務を行う際の行為規範の内容について整理・検討するとともに、新たな行為規範の必要性およびそのあり方を検討した。
本報告書は、同研究会における議論を事務局の責任において取りまとめたものである。なお、本報告書において意見にわたる部分は、日本銀行または金融研究所の公式見解を示すものではない。
「金融サービスにおける顧客情報の利用を巡る法律問題研究会」メンバー（五十音順、敬称略、2020 年 7 月時点）
井上聡 弁護士（長島・大野・常松法律事務所パートナー）

加毛

明 東京大学大学院法学政治学研究科教授

神作 裕之 東京大学大学院法学政治学研究科教授（座長）

神田 秀樹 学習院大学法務研究科教授..................................
1 金融庁［2019］4 頁では、「利用者ニーズに即した金融サービスが提供されるよう、情報銀行の活用
や手数料収入につながる情報ビジネスも含め、様々なデータの利活用に関する金融機関の戦略的取組みを促進する」とされている。

2

金融研究/2021.2

「金融サービスにおける顧客情報の利用を巡る法律問題研究会」報告書（事務局）2
関根 敏隆 日本銀行金融研究所長
井上 広隆 日本銀行金融研究所参事役
林

健司 日本銀行検査室検査役（前日本銀行金融研究所参事役）

髙野 裕幸 日本銀行金融研究所制度基盤研究課長
宇根 正志 日本銀行金融研究所情報技術研究センター情報技術研究グ
ループ長
千葉

誠 日本銀行金融研究所法制度研究グループ長

髙本 泰弘 日本銀行金融研究所企画役
小薗めぐみ 日本銀行金融研究所
本報告書の構成は、次のとおりである。まず、検討の前提として、 2 節において
改正銀行法の概要について、 3 節において個人情報保護法における個人情報の第三者提供等に関する行為規範について整理する。続く 4 節では銀行の守秘義務について、個人情報保護法と比較しつつ整理し、 5 節では、銀行が顧客情報を第三者提供する際の守秘義務の解釈について検討する。 6 節では、5 節までの検討を踏まえ、守秘義務とは異なる行為規範の必要性について検討し、 7 節で、以上を総括する。

2.

銀行による顧客情報の第三者提供業務（1） 銀行法改正による第三者提供業務の可能化
イ.

金融審議会「金融制度スタディ・グループ」による報告書

2019 年の銀行法の改正は、同年 1 月 16 日の金融審議会「金融制度スタディ・グ
ループ」による「金融機関による情報の利活用に係る制度整備についての報告」が契機となっている。同報告では、伝統的な金融機関を含むいずれの主体であっても、情報の利活用に取り組んでいくことは自然な流れである中で、こうした社会全体の変化に適切に対応していく環境を整備するため、銀行の業務範囲について見直しが必要とされた。
具体的には、利用者から情報の提供を受けて、それらを保管・分析し、自らの業務に活用する、さらには（必要に応じ当該利用者の同意を得たうえで）第三者に提供するといった業務を、銀行の本体で営めるようにするべきというものである。
..................................
2 本報告書の作成に当たっては、大和田将吾（金融研究所）、林眞子（同）より協力を得た。

3

もっとも、同報告では、①利益相反取引の防止、②優越的地位濫用の防止および③他業リスクの排除といった銀行の業務範囲規制の趣旨を踏まえ、情報の利活用に関する業務すべてを銀行が営むことについては、適当ではないとされた。
こうした点も踏まえ、銀行が新たに営むことができる業務としては、さしあた
り、保有する情報を第三者に提供する業務であって銀行業に何らかの形で関連するものとすることが適当であると結論付けられた。
ロ.

改正法の概要本節（1）イ．の報告を受けて、 2019 年の銀行法改正により、銀行の業務として10 条 2 項 20 号に「顧客から取得した当該顧客に関する情報を当該顧客の同意を得て第三者に提供する業務その他当該銀行の保有する情報を第三者に提供する業務であって、当該銀行の営む銀行業の高度化又は当該銀行の利用者の利便の向上に資するもの」との定めが追加され、銀行本体がその保有する情報を第三者に提供する業
務（以下「第三者提供業務」という。）を営むことが可能となった3 、4 。
（イ） 付随業務としての第三者提供業務
第三者提供業務は、銀行法に定める付随業務の範囲内で行うこととされている。
すなわち、現行制度では、銀行が営むことができる業務の範囲は銀行法 10 条以下で定められており、12 条においてそれ以外の業務を営むことが禁じられている5 。
このうち、10 条 1 項は、銀行免許の取得が必要となる銀行業に該当する業務を定めており6 、これらは銀行の固有業務とされている7 。また、同条 2 項は、銀行は固有業務のほか、「次に掲げる業務その他の銀行業に付随する業務を営むことができる」と定めているが、これは、銀行業を営んでいくうえで、併せ営む必要性が想定される業務を、付随業務として許容するためのものである8 。
銀行の付随業務は、①質的に固有業務との関連性または親近性があること、②分..................................
3 「情報通信技術の進展に伴う金融取引の多様化に対応するための資金決済に関する法律等の一部を改正する法律」の成立に伴うもの。2019 年 5 月 31 日成立、6 月 7 日公布、2020 年 5 月 1 日施行。なお、同法により、銀行以外の預金取扱金融機関の一部、第一種金融商品取引業者・投資運用業者、保険会社についても、第三者提供業務が可能となった。
4 髙山・野口［2019］5 頁は、従来は銀行の業務範囲規制との関係で困難であった銀行本体が情報銀行業務を営むことについて、一定の範囲のものについて可能となったと指摘している。この点、横山［2019］3 頁は、銀行本体が外部から情報を取得する業務が認められたわけではなく、あくまで銀行
本体が保有する情報を外部に提供することが認められたに過ぎないため、情報の利活用の範囲には限界があり、情報銀行への活用は難しいとしている。
5 銀行法 12 条「銀行は、前二条の規定により営む業務及び担保付社債信託法その他の法律により営む業務のほか、他の業務を営むことができない。」
6 預金または定期積金等の受入れ（1 号）、資金の貸付けまたは手形の割引（2 号）および為替取引（3号）が該当。
7 神田・森田・神作［2016］49 頁。
8 神田・森田・神作［2016］50 頁。

4

金融研究/2021.2

「金融サービスにおける顧客情報の利用を巡る法律問題研究会」報告書

量において固有業務に対して従たる程度を超えないことが必要であるとされている。また、③付随業務の範囲は、社会経済の変化に伴いその要求される機能に応じ、個別具体的かつ、柔軟に考慮されるべきものであると考えられており、④固有
業務との関連性または親近性は、各時代における社会的・経済的機能からみて、一般通念のうえで当然に行ってしかるべきであるという程度のもので十分とされている9 。
付随業務に関して、こうした整理がなされている中、改正銀行法では、第三者提供業務について、銀行業の高度化または銀行の利用者の利便の向上に資するものであることが要件として規定されている。これは、第三者提供業務について、多種多様なものが想定されうるもとで、中には銀行業との関係を何ら見出すことのできないものも存在するため、銀行業と関係性のあるものに限定する目的で定められたものである10 。ここで「銀行業の高度化」とは、銀行業の効率性・収益性の改善や銀行業にかかるリスク管理の高度化を、「利用者の利便の向上」とは、利用者の経済活動の質が向上することを、それぞれ示すものとされている11 、12 。
なお、これまでも銀行は、例えば、融資業務を営むに当たり、年齢層別の融資実
績や返済実績に関して保有している情報を個人顧客に対して提供するといったことを行ってきた13 。こうした第三者提供はあくまで固有業務や既存の付随業務に従属して行われてきたものであり、情報を提供すること自体を目的として行われるものではない。銀行法改正後、銀行が従来行ってきた第三者提供については引き続き固有業務や既存の付随業務であると整理し、従来営むことができなかった情報を提供することを目的とした業務については、改正銀行法で新設された第三者提供業務であるとすることが自然であるとされている14 。

..................................
9 荒井ほか［2019］46 頁。なお、従前より、銀行は子会社・兄弟会社として銀行業高度化等会社（情報通信技術その他の技術を活用した、銀行業の高度化・利用者利便の向上に資する（と見込まれる）業務を営む会社）を設立することで、情報の利活用に関する業務を営むことが可能であるほか、当該業務の範囲も、銀行本体で営む場合とは異なり制限はない（金融審議会金融制度スタディ・グループ［2019］4 頁）。もっとも、銀行業高度化等会社へ銀行本体の顧客情報を移転するに当たっては、守秘義務解除のための顧客の同意が必要であるほか、顧客情報の内容によっては個人情報保護法上の同意を取得する必要がある（大澤ほか［2019］14〜15 頁）。
10 荒井ほか［2019］47〜48 頁。
11 荒井ほか［2019］47〜48 頁。
12 「利用者」とは、将来的に取引を行う可能性のある者も含めた幅広い範囲を指す用語として、「顧客」とは、現に取引関係を有する者または既に銀行との間で取引を前提とした接触関係にある者を指す用語として用いられている中、改正銀行法では銀行の保有情報を第三者に提供することで、より幅広
い範囲の利便性の向上に資する業務を可能とすることが望ましいとの考えから、「『利用者』の利便の向上に資する」との用語が用いられている（荒井ほか［2019］48 頁）。
13 荒井ほか［2019］46 頁。
14 荒井ほか［2019］46〜47 頁。

5

（ロ） 対象となる情報の範囲
改正銀行法のもとで、銀行は顧客の個人情報を第三者に提供することも想定され
15る 。この点に関し、改正銀行法では、前述のとおり「当該顧客の同意を得て」と規定されているが、これは、個人情報を第三者に提供するに当たっては、個人情報保護法上、原則として本人同意を要するため、例として示したものとされている（詳細は 3 節参照）16 。一方で、「その他当該銀行の保有する情報」については、顧客の個人情報に限らず広く銀行の保有する情報が対象となっていることから、運用次
第で活用の幅が広くなることも想定され、付随業務の範囲内で、銀行が情報を取得
して第三者に提供する業務を営みうるとも指摘されている17 。
ハ.

想定される第三者提供業務のイメージ

改正銀行法のもとで銀行が行う第三者提供業務としては、多様なものが考えられるが、例えば以下のような目的のサービスを想定しうる。
（イ） マーケティング目的
顧客の同意を得て、銀行が、個々の個人顧客・法人顧客の決済情報ならびに当該情報を分析した個人顧客の趣味・嗜好情報および法人顧客の購買傾向に関する情報を、これらの情報に関連する事業を営む事業者に提供するサービス。
（ロ） クレジット・スコアリング目的
顧客の指示を受けて、銀行が、個々の個人顧客・法人顧客の決済情報や口座情報を、クレジット・スコアリング事業者に提供するサービス18 。

..................................
15 個人情報とは、生存する個人に関する情報であって、①当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの、または②個人識別符号が含まれるものをいう（個人情報保護法 2 条 1 項）。また、個人識別符号とは、①特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した符号であって、当該特定の個人を識別することができるもの（同条 2項 1 号）、または②個人による役務の利用もしくは商品の購入に関し割り当てられ、または個人に発行されるカードに記載され、もしくは電磁的方式により記録された符号であって、特定の利用者、購入者または発行を受ける者を識別することができるもの（同項 2 号）のうち、政令で定めるものをいう。なお、①には、指紋認証データや顔認証データなどが該当し、②には、マイナンバー、運転免許
証番号、旅券番号、基礎年金番号、保険証番号などが該当する（神田・森田・神作［2016］30 頁）。
16 荒井ほか［2019］47 頁。
17 梅澤・九本［2019］57 頁。この点、前掲脚注 4 のように、銀行本体が外部から情報を取得する業務を認められたわけではなく、付随業務の範囲内で、あくまで銀行本体が保有する情報を外部に提供することが認められたに過ぎないとの指摘もある（横山［2019］3 頁）。
18 例えば、銀行が個人顧客の指示を受けて、クレジット・スコアリング事業者に対して決済情報や口座情報を提供することが考えられる。これにより、当該個人は、当該事業者から信用スコアの付与を受け、そのスコアによって算出された貸付利率・契約極度額にて貸付を受けることが考えられる（梅澤・九本［2019］55 頁）。

6

金融研究/2021.2

「金融サービスにおける顧客情報の利用を巡る法律問題研究会」報告書（2） 銀行に課される情報管理規制
本節（1）で示したように、改正銀行法により第三者提供業務にかかる規定が追加されたが、顧客情報の管理を含め、銀行には従前よりさまざまな情報管理規制が課されている。
銀行法上、銀行は、銀行業務に関して取得した顧客に関する情報の適正な取扱いを確保するための措置が求められている19 。具体的には、個人顧客情報の安全管
理、従業員の監督および当該情報の取扱いを委託する場合には、その委託先の監督について、情報の漏洩、滅失または毀損の防止を図るために必要かつ適切な措置を講じなければならない20 。また、同法上、銀行には顧客の利益保護のための体制整
備義務も課されており21 、顧客情報へのアクセス管理の徹底、持出し防止対策の実施、不正アクセスの防御等のシステムの堅牢化といった顧客情報管理のための体制整備が求められている22 。
このほか、銀行は、金融商品取引法（以下「金商法」という。）上、登録金融機関としての登録を受けることで、登録金融機関業務を営むことが可能となるが23 、その立場上、取り扱いうる法人関係情報につき24 、厳格な管理と25 、インサイダー取引等の不公正な取引の防止をするよう求められている26 。
こうした情報管理規制が課されている背景については、銀行業務は顧客情報等に基づいて営まれており、そうした情報が適切かつ有効に利用されることが銀行の健全かつ効率的な経営の前提になるとともに、公共的な業務を営む銀行に対する信頼の基礎になるためとされている27 。

..................................
19 銀行法 12 条の 2 第 2 項。なお、同項で規定する顧客に関する情報は、自然人の情報とされており、個人情報保護法上の個人情報との重なりが大きい（個人情報保護法における行為規範については 3節参照）。もっとも、銀行法は、銀行業務の公共性にかんがみ、その業務の健全かつ適切な運営を確保することを目的としており、違反の際に業務改善命令を発するか否かといった法的効果に違いがある（神田・森田・神作［2016］41 頁）。
20 銀行法施行規則 13 条の 6 の 5。
21 銀行法 13 条の 3 の 2 第 1 項。
22 神田・森田・神作［2016］41〜42 頁。
23 金商法 33 条の 2。なお、登録金融機関業務とは、顧客の書面による注文を受けてその計算において行う有価証券の売買、有価証券関連のデリバティブ取引、投資助言業務、公共債等の売買やその取次、投資信託受益権の募集・売出し等の業務を指す（同法 33 条の 3 第 1 項 6 号イ）。
24 法人関係情報とは、上場会社等の運営、業務または財産に関する公表されていない重要な情報であって顧客の投資判断に影響を及ぼすと認められるものおよび公開買い付けの実施・中止の決定にかかる公表されていない情報をいう（金融商品取引業務等に関する内閣府令〈以下「金商業等府令」という。〉1 条 4 項 14 号）。
25 金商法 40 条 2 項、金商業等府令 123 条 1 項 5 号。
26 金商法 38 条 9 号、金商業等府令 117 条 1 項 14 号および 16 号。
27 神田・森田・神作［2016］37〜38 頁。

7

3.

個人情報保護法における個人情報の第三者提供等に関する行為規範

改正銀行法のもとで、銀行が第三者提供業務を行う場合においても、提供する情報が個人情報保護法に定める個人情報に当たるときには、同法の適用を受けることとなる。

（1） 個人データの第三者提供に関する行為規範イ.

個人情報保護法

個人情報保護法 23 条は、原則として、個人本人の同意を得ることなく、個人情報取扱事業者が個人データを第三者に提供することを禁じている28 。なお、この第三者とは、自然人であるか法人であるかを問わず、また、個人情報取扱事業者であるか否かを問わないとされる29 。
個人データの第三者提供を規制している背景（保護法益）には、本人の権利利益の侵害の防止がある。個人データが本人に無断で第三者に提供された場合、本人はその認識がないままに個人データが流通・使用される不透明な状態に置かれることになり、これは個人の権利利益に重大な被害を及ぼす可能性があるためである30 。
もっとも、個人データを第三者に提供するに際し、本人同意を得なければならな
いという原則は、個人の権利利益の侵害の防止のためのものであり、本人同意のない第三者提供が、常に直接的に個人の権利利益の侵害を惹起するわけではない。したがって、事前の本人同意を義務付けることによって生ずる弊害との比較衡量により、そうした義務付けが適切でないと認められる場合（法令に基づく第三者提供な..................................
28 個人データとは、個人情報データベース等（個人情報を含む情報の集合物であって、特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの等）を構成する個人情報をいう（個人情報保護法 2 条 4 項、6 項）。また、個人情報取扱事業者とは、個人情報データベース等を事業の用に供している者をいう（同条 5 項）。なお、金融機関は通常、個人情報取扱事業者に当たるとされている（神田・森田・神作［2016］31 頁）。
29 宇賀［2018］164 頁。
30 宇賀［2018］164 頁。

8

金融研究/2021.2

「金融サービスにおける顧客情報の利用を巡る法律問題研究会」報告書

ど）には、適用除外を認めることが合理的であるとされている31 、32 。
ロ.

金融ガイドライン

個人情報取扱事業者である金融機関は、金融分野における個人情報保護に関するガイドライン（以下「金融ガイドライン」という。）により、前述の個人情報保護法上の義務に上乗せされた義務が課されている。具体的には、金融ガイドライン 11条において、努力義務として、金融分野における個人情報取扱事業者は、原則として書面により、①個人データを提供する第三者、②提供を受けた第三者における利用目的、③第三者に提供される情報の内容を本人に認識させたうえで本人同意を得ることとされている。
このほか、個人情報保護法が、事前の本人同意があれば要配慮個人情報を含む個
人情報の第三者提供を可能としている中33 、金融ガイドライン 5 条は、個人情報のうち要配慮個人情報ならびに労働組合への加盟、門地、本籍地、保健医療および性生活に関する情報を総称して「機微（センシティブ）情報」（以下「センシティブ情報」という。）と定義したうえで、当該情報について、本人同意がある場合であっても、事業の適切な業務運営を確保する必要性から、業務遂行上必要な範囲であるなどといった事由がある場合に限り、第三者への提供を行うことができるとしている34 。
このように金融ガイドラインが個人情報保護法の規定を上乗せする形で設けられている趣旨は、金融分野における個人情報の性質および利用方法にかんがみ、事業者が講ずべき措置の適切かつ有効な実施を図ることにあるとされている35 。
ハ.

「主要行等向けの総合的な監督指針」等

銀行法改正を踏まえ、金融庁では、個人データの第三者提供における本人からの..................................
31 適用除外事由として、法令に基づく場合（個人情報保護法 23 条 1 項 1 号）、人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（同項 2 号）、
公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（同項 3 号）および国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（同項 4 号）が規定されている。
32 岡村［2017］182〜183 頁、252 頁。
33 要配慮個人情報とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事
実、その他本人に対する不当な差別、偏見その他の不利益が生じないように、その取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう（個人情報保護法 2 条 3 項）。
34 保険業その他金融分野の事業の適切な業務運営を確保する必要性から、本人の同意に基づき業務遂行上必要な範囲でセンシティブ情報を取得、利用または第三者に提供する場合に第三者提供が可能と規定している（金融ガイドライン 5 条 1 項 7 号）。このほか、本人同意がある場合で、センシティ
ブ情報の第三者提供が可能な事由として、センシティブ情報に該当する生体認証情報を本人確認に用いる場合が挙げられている（同項 8 号）。
35 金融ガイドライン 1 条 2 項。

9

同意取得に関する取扱いを規定するため、「主要行等向けの総合的な監督指針」等を改正した36 。具体的には、着眼点として、個人データの第三者提供における個人
本人からの同意取得に関し、金融ガイドライン 11 条等を遵守するための措置が講じられているかといった点が規定されている37 。

（2） 個人データの正確性確保に関する行為規範
適正かつ効果的な個人データの利活用を図る観点からは、第三者提供される個人データが正確であることがその前提となる。この点、個人情報保護法 19 条において、個人情報取扱事業者は、個人データを利用目的の達成に必要な範囲内において、正確かつ最新の情報に保つ等の努力義務（以下「正確性確保義務」という。）が課されている38 。
また、同法 29 条 1 項は、本人に対して、当該本人が識別される保有個人データの内容が事実でないときは39 、個人情報取扱事業者に訂正、追加または削除（以下「訂正等」という。）を請求する権利（以下「訂正等請求権」という。）を認めている40 、41 。なお、この訂正等請求権は、同法 19 条の正確性確保義務を担保するため、自己に関する情報を最も正確に知りうる立場にある本人に訂正等の請求を認めたも..................................
36 2020 年 3 月 4 日に施行（金融庁「『主要行等向けの総合的な監督指針』等の一部改正（案）に対するパブリックコメントの結果等について〈https://www.fsa.go.jp/news/r1/20200304/daisansya.html〉」）。
37 金融庁「主要行等向けの総合的な監督指針 令和 2 年 7 月」III−3−3−3−2（2）④。
38 正確性確保義務について、宇賀［2018］154〜155 頁は次のように説明する。「個人情報取扱事業者が取り扱う個人データの中には、最新の情報に常に更新する必要はなく、過去の一定時点の事実を記録しておくことが利用目的の達成に必要である場合もある。また、個人データを更新することが必要な場合においても、利用目的に照らして、常に最新の状態に更新し続けることまで必要でない場合もありうる。利用目的の達成に必要がないにもかかわらず、常に最新の情報に更新することを求める
必要はない。」
39 宇賀［2018］215 頁は、訂正等の請求の対象となるのは「事実」であり、「評価」は対象外としながらも、評価に関する個人データに合わせて評価の基礎となった事実が記載されていることは少なくな
く、その場合当該事実は訂正等の請求の対象としている。なお、「評価」の基礎となっている「事実」が訂正された場合、必要に応じて個人情報取扱事業者の判断で「評価」も訂正することは妨げられないが、当該「評価」の訂正は、本条の規定に基づく訂正等の請求の対象にはならないとしている。
40 個人情報保護法 29 条 2 項は、本人からの請求を受けた場合、個人情報取扱事業者は遅滞なく必要な調査を行い、その結果に基づき、内容の訂正等を行わなければならないと規定している。
41 このほか、本人は個人情報取扱事業者が個人情報を目的外利用した場合や、不正手段により取得した
場合には、利用の停止や消去（以下「停止等」という。）を請求することができる（個人情報保護法30 条 1 項）。この点、2020 年 6 月 12 日に公布された「個人情報の保護に関する法律等の一部を改正する法律」（公布から 2 年以内に施行予定。）により、同法 30 条 5 項が追加され、個人の権利または正当な利益が害されるおそれがある場合にも停止等の請求が可能となった。なお、こうした要件の緩和は、現行の規定では本人の権利利益が侵害された場合、停止等の請求ができないことがある点につき、消費者から強い不満が寄せられたことを受けて行われた（片岡［2020］218 頁）。

10

金融研究/2021.2

「金融サービスにおける顧客情報の利用を巡る法律問題研究会」報告書のであるとされている42 。

（3） 認定情報銀行制度と個人情報保護法との関係
個人情報の第三者提供に関しては、個人情報を含むパーソナル・データの流通・活用を促進することを目的とした、いわゆる情報銀行が注目されている43 。
情報銀行とは、前述の目的のもとで、本人が同意した一定の範囲において、本人から委任を受けて、個人情報の第三者提供を行う事業者であり44 、銀行法上の銀行とは関係なく45 、いずれの事業者も営むことができる。また、その機能は、個人からの委任を受けて、当該個人に関する個人情報を含むデータを管理するとともに、
当該データを第三者に提供し、直接的または間接的な便益を個人が受け取ることとされている46 。
イ.

経緯

情報通信審議会のもとに設置された検討体において、情報銀行の制度のあり方が検討された。そこでは、情報銀行にかかる制度としては、法に基づくものではな
く、ルール作成に当事者が関与可能であり、自主的な取組みの促進が可能な、任意の認定制度（認定情報銀行制度）として、民間団体によるルールのもとで実施されることが望ましいとの指摘がなされた47 。
そうした指摘を受けて、2018 年 6 月に、総務省および経済産業省が合同で開催
した、「情報信託機能の認定スキームの在り方に関する検討会」により「情報信託機能の認定に係る指針 ver1.0」が公表され、2019 年 10 月に「情報信託機能の認定に係る指針 ver2.0」（以下「認定指針」という。）が公表された。
ロ.

認定指針の概要

認定指針では、認定情報銀行（認定指針に基づき認定団体による認定を受けた情報銀行をいう48 。以下同じ。）である事業者の行うサービスは、既に保有または新たに取得した個人情報につき、個人本人の包括または個別の同意を得て第三者に提供..................................
42 宇賀［2018］217〜218 頁。
43 データ流通環境整備検討会 AI、IoT 時代におけるデータ活用ワーキンググループ［2017］8〜11 頁。
44 情報信託機能の認定スキームの在り方に関する検討会［2019b］3 頁。
45 銀行法 6 条 2 項において、銀行でない者は、名称または商号中に銀行であることを示す文字の使用が禁止されていることから、情報銀行としての事業を営むことによって、「○○銀行」といった名称
または商号を使用することができるようになるわけではない（梅澤・九本［2019］54 頁）。
46 データ流通環境整備検討会 AI、IoT 時代におけるデータ活用ワーキンググループ［2017］11 頁。
47 情報通信審議会情報通信政策部会 IoT 政策委員会基本戦略ワーキンググループデータ取引市場等サ
ブワーキンググループ［2017］5〜7 頁。
48 一般社団法人日本 IT 団体連盟が認定団体となっている。

11

するものとされている49 、50 。また、（包括的な同意も想定される中）当該事業者自身に強いガバナンスが要求されること（後述の③参照）、および当該事業者が情報提供先である第三者に対してガバナンスのための強い権限を有することが示されているほか51 、認定基準も示されている52 。
認定基準は、認定情報銀行としての認定を希望する事業者が充足する必要がある要件であり、①事業者の適格性53 、②情報セキュリティ・プライバシー54 、③ガバ
ナンス体制および④認定情報銀行の義務等が挙げられる。
このうち、③ガバナンス体制については、データ倫理審査会を設置し、同審査会によるチェック体制を整備すること等が挙げられる。なお、データ倫理審査会とは、エンジニア、セキュリティ専門家、法律実務家等を構成員とする審査会（社外の構成員は必須である。）で、認定情報銀行の事業内容が個人の利益に反していな
いかという観点から審議を行う機関であり、認定情報銀行ごとに設置する必要がある。
また、④認定情報銀行の義務等については、認定情報銀行が個人に代わって個人情報を取り扱うことに着目し、個人情報保護法を遵守した適切な同意取得と、個人のコントローラビリティを高めるための機能提供をすることについての条件が設..................................
49 認定情報銀行となるための要件として、個人本人との間で、情報の提供先である第三者の帰責事由によって損害が発生した場合に、損害賠償責任を負うことや、個人情報保護法上の同意取得などを遵守することを内容とする委任契約を締結する必要がある（情報信託機能の認定スキームの在り方に関する検討会［2019b］18〜23 頁）。
50 銀行が認定情報銀行として、個人本人の包括的な同意を得て個人情報を第三者に提供することも想定されるが、その場合、前述の金融ガイドライン 11 条との抵触が問題となりうる。この点、認定情報銀行制度における包括同意が、個人のコントローラビリティを高めるための機能の提供と紐付いていることや、同制度において認定情報銀行が強いガバナンスのもとで活動していることをもって同条の努力義務を果たしているとの解釈論も考えられる。もっとも、同制度においてコントローラ
ビリティやガバナンスの確保が図られている実態を踏まえ、また、法的安定性を確保するという観点から、金融ガイドライン 11 条の特則として明文化することが望ましいとの考え方はありえよう。
51 認定情報銀行となるための要件として、情報の提供先である第三者との間で、①第三者における情報の利用範囲や取扱条件の制限に関する規定、②これに関する認定情報銀行の第三者への確認・調査実施に関する規定、③第三者による情報漏洩等インシデント発生時の認定情報銀行への通知に関する規定等を内容とする契約を締結する必要がある（情報信託機能の認定スキームの在り方に関する検討会［2019b］23 頁）。
52 認定指針による認定は、個人が安心して事業者を選択できるようにすることを企図したものであり、当該認定を得ずとも事業者は個人情報保護法等の規定に基づく限りにおいて第三者に個人情報を提供する業務を自由に営むことができる（梅澤・九本［2019］54 頁）。
53 法人格を有すること、損害賠償請求があった場合に対応できる能力があることおよび個人情報保護法を含む必要となる法令を遵守していること等が挙げられる（情報信託機能の認定スキームの在り方に関する検討会［2019b］7 頁）。
54 個人情報を取り扱う業務を的確に遂行することができる知識および経験を有し、例えばプライバシー
マーク（日本情報経済社会推進協会が、日本産業規格「JISQ15001 個人情報保護マネジメントシステ
ム―要求事項」に定める個人情報について適切な保護措置を講ずる体制を整備している者として評価した事業者に付与するもの）を取得している等、社会的信用を有する体制が整っていること等が挙げられる（情報信託機能の認定スキームの在り方に関する検討会［2019b］8 頁）。

12

金融研究/2021.2

「金融サービスにおける顧客情報の利用を巡る法律問題研究会」報告書

けられている。具体的には、コントローラビリティを高めるという観点から、認定
情報銀行は個人に対して操作容易なインターフェースにより、 a．第三者提供にかかる条件の指定および変更機能、 b．提供履歴の閲覧機能、 c．同意の撤回機能および d．認定情報銀行に委任した個人情報の開示機能を提供することが求められてい
る55 。
ハ.

個人情報保護法との関係

前述のとおり、個人情報保護法上、個人情報の第三者提供に当たっては本人同意を得ることとされているが、認定情報銀行制度は、本人が自身の指示またはあらか
じめ指定した条件の範囲で認定情報銀行が第三者提供を行うことに同意しているのであれば、同法にいう本人同意があるものとして整理している。このような整理を支える前提として、前述のガバナンス体制の整備や本人のコントローラビリティを高めるための機能提供が位置付けられている56 。

4.

銀行の守秘義務3 節で整理したように、銀行は個人情報の第三者提供業務を行うに当たり、個人情報保護法の規制を受ける。それに限らず、銀行は法人顧客情報および個人顧客情報の第三者提供業務を行う場合、いずれについても、守秘義務の規制を受けると一般的に解されている。これら個人情報保護法と守秘義務の規制範囲は、一部重複するものの、それぞれ規制対象および規制内容が異なっている。そこで本節では、（1）で個人情報保護法と守秘義務の違いおよび両者の関係について整理した
後、（2）以下で守秘義務の内容を詳述する。

（1） 守秘義務と個人情報保護法の関係
イ.

規制対象の違い

個人情報保護法の規制対象である個人情報とは、「生存する個人に関する情報」
であって、①「当該情報に含まれる氏名、生年月日その他の記述等により特定の個..................................
55 前述のとおり、個人情報保護法上、個人本人は、個人情報取扱事業者が有する当該本人にかかる情報の内容が事実でないときは、訂正等を請求することができる（同法 29 条 1 項）。これに対し、認定情報銀行制度では、こうした機能によって、個人本人による、より広範なコントローラビリティの確保が図られている。
56 宍戸［2019］3〜4 頁。

13

人を識別することができるもの」または②「個人識別符号が含まれるもの」をいう（2 条 1 項）。そのため、銀行の取引先である顧客が法人である場合には、法人の役
員や従業員等の特定の個人を識別可能な情報は、個人情報に当たるが、法人それ自体に関する情報は個人情報保護法の対象とはならない。また、個人の識別可能性を前提としない情報や死者に関する情報は対象に含まない57 。他方、一般に公開されている情報であっても、要件を満たすものは対象に含む58 。
守秘義務は、本節（5）において後述するとおり、銀行が顧客との取引に関連して取得した顧客情報を規制対象とするが59 、その中には、個人顧客情報のみならず、
法人顧客情報も含むとされる60 。そして、個人顧客情報は、個人の識別可能性を前提としない情報や死者に関する情報も対象に含む。また、一般に公開されている公開情報は対象に含まない61 。なお、銀行が取引に関連して得た顧客情報であれば、顧客から直接取得したか、第三者から取得したかを問わないとされる。
このように、個人情報保護法は、規制対象を個人情報のみに限っており、個人情報保護法で定義する個人情報に該当しない顧客情報については、法の規制が及ばない形となっている。他方、守秘義務は、個人顧客情報のみならず法人顧客情報も規制対象としており、銀行が第三者提供業務の対象としうる顧客情報に対して、広く規制が及ぶこととなる。また、個人情報保護法の対象となる個人情報と、守秘義務の対象となる個人顧客情報が重ならない部分、すなわち、個人情報でない個人顧客情報については、個人情報保護法が適用されないものの、守秘義務の規制が及ぶ。
一方、個人情報保護法の対象となる個人情報と、守秘義務の対象となる個人顧客情報とは、部分的に重なり合う場面もある。もっとも、両者は法的には別個独立の観点から、保護の対象となるものであり、規制対象が重なる部分についても、それぞれに即した個別の検討が必要とされる62 、63 。
ここで、口座情報・決済情報を例に示すと、個人顧客の口座情報・決済情報については、守秘義務の対象となるとともに、個人情報保護法の対象となる。一方、法人顧客の口座情報・決済情報については、守秘義務の対象とはなるが、個人情報保護法の対象とはならない（表）。

..................................
57 ただし、生存する遺族についての個人情報に該当する可能性があるため、留意が必要となる（奥［2007］11 頁）。
58 神田・森田・神作［2016］31 頁。
59 本報告書では、銀行が顧客との取引を通じて、または取引に関連して取得する、取引内容に関する情報や顧客の情報を「顧客情報」と呼ぶ（最決平成 19 年 12 月 11 日民集 61 巻 9 号 3364 頁田原睦夫裁
判官補足意見参照）。
60 山下［2008］27 頁。
61 神田・森田・神作［2016］28 頁。
62 神田・森田・神作［2016］30 頁。
63 小山［2018］253 頁。

14

金融研究/2021.2

「金融サービスにおける顧客情報の利用を巡る法律問題研究会」報告書

表守秘義務と個人情報保護法の関係
個人顧客の口座情報・決済情報

法人顧客の口座情報・決済情報

守秘義務

対象となる

対象となる

個人情報保護法

対象となる

対象とならない64

ロ.

規制内容の違い銀行による個人顧客情報の第三者提供業務については、その個人顧客情報が個人データに該当する場合には、個人情報保護法上、あらかじめ本人の同意を得ることが必要とされる（23 条 1 項）。こうした規定について、金融ガイドラインでは、書面による記載を通じて、「①個人データを提供する第三者」、「②提供を受けた第三者における利用目的」、「③第三者に提供される情報の内容」を本人に認識させたう
えで同意を得ることとされている（11 条）。
他方、守秘義務との関係では、本節（6）において後述するとおり、顧客の同意の有無に加え、提供する情報の内容や顧客に及ぼす影響等、さまざまな要素を総合考慮したうえで、情報を提供することが許容される正当な理由が認められない場合には、守秘義務違反に当たるとされる。
このように、個人情報保護法は、あらかじめ法の要件を満たす本人の同意を取得しているか否かのみを問うており、銀行が提供する情報の内容や、情報を提供することにより本人に及ぼす影響の大小により、規制内容が変わることはない65 。他方、守秘義務の規制内容は、顧客の同意の有無だけでなく、個別具体的な状況に照らした柔軟な判断が必要となる。こうした守秘義務の柔軟性は、改正銀行法の目的である銀行が保有する情報の利活用の促進と個人の権利利益の保護のバランスを図るうえで有用ではないかと考えられる。なお、前述のとおり、個人情報保護法と守秘義務の規制内容は異なっていることから、それぞれへの対応が重畳的に必要となる66 、67 。

..................................
64 個人情報が含まれないことを前提として整理している。
65 もっとも、個人情報保護法においても、要配慮個人情報（個人情報保護法 2 条 3 項）については、その他の個人情報と異なり、オプトアウト方式による第三者提供が禁じられており（同法 23 条 2 項）、同意の取得方法について提供する情報の内容に応じて規制内容を変えている例として注目される。
66 神田・森田・神作［2016］32 頁。
67 もっとも、個人情報保護法と金融機関の守秘義務における保護法益がいずれもプライバシー権にあるとして、個人情報保護法において第三者提供についてのルール整備が詳細になされていることをもって、同法を遵守する限り、守秘義務違反が問題となることは事実上少ないとする見解もみられる（西村あさひ法律事務所［2009］132 頁）。

15

（2） 守秘義務の定義
銀行が顧客との取引に関連して得た顧客情報について守秘義務を負うかに関しては、これを定める法令上の規定は存在しないが、これを認めるのが通説である68 。
最決平成 19 年 12 月 11 日民集 61 巻 9 号 3364 頁（以下「平成 19 年決定」という。）
は、「金融機関は、顧客との取引内容に関する情報や顧客との取引に関して得た顧客の信用にかかわる情報などの顧客情報につき、商慣習上又は契約上、当該顧客との関係において守秘義務を負い、その顧客情報をみだりに外部に漏らすことは許されない」とし、守秘義務とは「顧客情報をみだりに外部に漏らすことは許されない」義務であると判示している。
なお、銀行以外も与信取引等を行う事業者は守秘義務を負うものとされているが、特に銀行については、与信取引、受信取引および為替取引が関連付けて行われることにより顧客情報が集積する性質を有することを背景に、顧客情報の保護に関する守秘義務が論じられている69 。

（3） 守秘義務の法的根拠（学説・判例）
守秘義務の法的根拠については、いくつかの理論構成が存在する70 、71 。なお、平成 19 年決定では、守秘義務の根拠は「商慣習又は契約」であると判示している。
イ.

信義則説

銀行が社会共同生活の一員として負っている信義則に基づく義務であるとする考え方である。守秘義務は銀行と顧客との間にある特殊な信頼関係により基礎付けられるとされる。
ロ.

商慣習説

銀行の守秘義務は金融界の永年の商慣習であるという考え方である。
ハ.

契約説

銀行取引契約において銀行と顧客は付随的に明示あるいは黙示に秘密保持の契約を結んでいると解する考え方である。銀行が顧客の財産状態や取引内容等をみだり..................................
68 神田・森田・神作［2016］27 頁。
69 神田・森田・神作［2016］28 頁。
70 内海［2007］8〜9 頁。
71 森下［2008］39〜40 頁。

16

金融研究/2021.2

「金融サービスにおける顧客情報の利用を巡る法律問題研究会」報告書に外部に漏らさないというのは顧客の正当な期待であり、信義誠実の原則により、そのような顧客の正当な期待に適うべく秘密を守る義務が発生するとされる。
ニ.

プライバシー権説

特に個人顧客との間では、プライバシー権が守秘義務の根拠となるという考え方である72 。

（4） 守秘義務により保護されるべき利益（保護法益）
本節（3）の守秘義務の法的根拠とも関連するが、守秘義務により保護される利益（保護法益）が具体的に何を指すかという点についても、いくつかの見解がみられる。
イ.

個人顧客と法人顧客とで保護法益が異なるという考え方

個人顧客との関係では、保護法益を人格権としてのプライバシー権とする一方、法人顧客との関係では、保護法益を顧客の経済的利益とする考え方である73 。すな
わち、個人情報の保護では、その根拠の 1 つとしてプライバシー権といった人格権が挙げられるが、プライバシー権は自然人的属性から導かれるとして、法人にプライバシー権はないと捉える。法人情報の保護は、もっぱら顧客と銀行との間の契約関係や顧客の経済的利益を侵害する可能性の有無という観点から考察すべきものとされる。守秘義務の法的根拠としては、プライバシー権説と結びつきやすい。
ロ.

個人顧客と法人顧客とで保護法益が同一であるという考え方（イ） 顧客の情報コントロール権
プライバシー権を、自己にかかわる情報をコントロールする権利という、より積
極的なものとして把握し、法人についてもそのような意味でのプライバシー権を認めるという考え方であり、この場合、顧客が個人であるか法人であるかを区別して検討する必要はないと考えられる。守秘義務の法的根拠としては、プライバシー権説と結びつきやすいが、プライバシー権を人格権としてのものより広く捉える必要がある。
（ロ） 顧客の信頼
銀行と顧客との間には、取引を通じて得た情報を他に漏らさないという顧客側の信頼に基礎付けられた特別の関係があり、その関係性が、銀行が守秘義務を負うべ..................................
72 森下［2008］39 頁、河本［1975］8 頁。
73 貸出債権市場における情報開示に関する研究会［2004］4〜5 頁。

17

き実質的な理由となるとする考え方であり74 、顧客が個人であるか法人であるかを区別して検討する必要はないと考えられる。守秘義務の法的根拠としては、信義則説または契約説と結びつきやすい。
（ハ） 銀行の固有の利益
銀行の守秘義務にかかる保護法益については、顧客の利益のほか、銀行にも固有の利益が認められる。具体的には、顧客情報を開示することで銀行が被る不利益として、①顧客との信頼関係が破壊され、守秘義務違反を理由に損害賠償請求を受けること、②顧客以外の取引先にも銀行は秘密を守ってくれないとの不安感を与え取引自体を拒否されることが挙げられる75 。

（5） 守秘義務の対象となる情報の内容
平成 19 年決定の田原睦夫裁判官補足意見（以下「補足意見」という。）は、顧客情報を以下のとおり類型化しており、学説でもこうした考え方は肯定されている76 。
そして、守秘義務はこれらの顧客情報を対象とすると解されており、本節（1）イ．
のとおり、その中には、個人顧客情報および法人顧客情報が含まれるほか77 、銀行が取引に関連して得た顧客情報であれば、顧客から直接に取得したか、第三者から取得したかを問わないとされる。
① 顧客との取引内容に関する情報（預金取引や貸付取引の明細、銀行取引約
定書、金銭消費貸借契約書等）② 取引に付随して銀行が取引先より得た取引先の情報（決算書、附属明細書、担保等設定状況一覧表、事業計画等）③ 取引の過程で銀行が得た取引先の関連情報（顧客の取引先の信用に関する情報、取引先役員の個人情報等）④ 銀行が行った顧客の財務状況等についての分析評価情報や第三者から入手した顧客の信用情報..................................
74 森下［2008］39〜40 頁。
75 神田・森田・神作［2016］28〜29 頁。
76 神田・森田・神作［2016］28 頁。
77 山下［2008］27 頁。

18

金融研究/2021.2

「金融サービスにおける顧客情報の利用を巡る法律問題研究会」報告書

他方で、そもそも守秘義務の対象となる顧客情報に含まれない情報もある。例えば、一般に公表されている公開情報は守秘義務の対象となる顧客情報には含まれない78 。また、複数の債権をプールしたうえで証券化する場合に、マクロ的な債権全体のパフォーマンス・データを格付機関等に提供することがあるが、こうした場合の情報は、個別債務者が識別できるものでない限りは、債務者に対する守秘義務の対象外となる79 。

（6） 守秘義務の限界
銀行の守秘義務は、顧客情報をみだりに外部に漏らさないという顧客の信頼を保護するものであることから、一般的に、①顧客の明示または黙示の同意がある場
合、②顧客が第三者との関係で、顧客情報につき開示義務を負っている場合、③金融機関が法令の規定に基づいて顧客情報について開示義務を負う場合など、開示することが許容される正当な理由が認められる場合には、第三者に顧客情報を開示しても、守秘義務違反には当たらないと解されている80 。なお、①の「顧客の同意」
や②の「顧客の開示義務」は、③の「正当な理由」の 1 つの例として整理されると考えられる。
また、守秘義務違反に当たらないとされる正当な理由の有無について、近年は、「従来のように銀行の守秘義務を画一的・硬直的に画することで、一様に情報開示に消極的な対応とすることは、守秘義務のルール自体が含意するところではない」とされ81 、個別具体的に考慮する見解が多くみられる82 。
例えば、吉田・関根［2001］では、債権譲渡において、債権にかかる情報を、銀行が債務者の承諾なくして譲受人に開示する場面に限った検討ではあるが、守秘義
務の具体的内容を見直す見解が示されている。すなわち、「銀行その他の金融機関
は顧客との間になした取引およびこれに関連して知り得た情報を正当な理由なくして他に漏らしてはならない」という場合の「正当な理由」としては、従来、法令の規定に基づき公権が発動される場合や銀行が自らの利益を守るために訴訟提起するような場合等が挙げられてきたが、「守秘義務における正当事由は、必ずしも制限的、限定的に解する必然性はなく、顧客情報の開示の必要性が高く、他方におい..................................
78 神田・森田・神作［2016］28 頁。
79 貸出債権市場における情報開示に関する研究会［2004］5 頁。
80 神田・森田・神作［2016］32〜33 頁。
81 貸出債権市場における情報開示に関する研究会［2004］10 頁。
82 本報告書で提示する例に加え、顧客の同意については、単にあらかじめ同意があるか否かのみならず、守秘義務の機密性の具体的な程度に応じて、同意の取得時期と第三者提供の時期の時間的近接性が問題になりうるし、守秘義務の機密性の程度そのものについても時間の経過とともに変化している可能性があることにも留意が必要であるとの指摘もある（奥［2007］11 頁）。

19

て、開示により顧客に及ぶ悪影響も少ない場合には、情報開示が守秘義務違反を構成しないと考える余地は十分にあるのであり、正当事由の存否の判断は、さまざまな要因を総合的に考慮したうえ、より実質的になされる必要がある」とする。
また、森下［2008］は、「守秘義務は、たとえば、『顧客情報の取り扱いに関して顧客の正当な利益を不当に害してはならないという契約上、信義則上の義務』として把握し直すことが考えられる。どのような利益が正当であり、不当であるかは、個々の取引状況や顧客の状況、開示の具体的な状況と必要性・正当性等を総合的に考量して判断されることになる」と指摘している83 。

第三者提供業務にかかる守秘義務の解釈

5.

（1） 総説4 節（6）のように、守秘義務の限界となる正当な理由の有無にかかる判断は、さまざまな要素を総合的に考慮したうえ、実質的になされるべきであるというのが、近年の多数の見解である。
この点に関連して、法人顧客を念頭に、その明示または黙示の同意がない場合に、その顧客情報を開示することが許容される正当な理由を検討したものとして、「貸出債権市場における情報開示に関する研究会報告書」（以下「全銀協報告書」という。）がある。全銀協報告書では、債権譲渡において、債務者である企業の顧客情報を、銀行が当該債務者の承諾なくして譲受人に開示する場合について検討している。

（2） 全銀協報告書が提示する判断基準イ.

判断アプローチ

銀行と顧客の間の取引態様や状況を考慮することなく、当然に情報開示が認められる場合として、①債務者が貸出債権の譲渡等に当たって、当該債権にかかる情報等の開示について債権者（譲渡人）に承諾を与えている場合、②開示する情報が公
開情報である場合を挙げている。①または②に該当しない場合には、顧客情報の開示の是非を、銀行と顧客との取引関係等に応じて個別具体的に判断していくこと..................................
83 森下［2008］53 頁。

20

金融研究/2021.2

「金融サービスにおける顧客情報の利用を巡る法律問題研究会」報告書になる。債務者の承諾のほかに、情報開示が認められる根拠としては、銀行による顧客情報の開示が必要かつ正当な理由を有する行為（正当行為）であること、情報開示により顧客が経済的損害を被る予見可能性がないこと等が挙げられるとしている。
そのうえで、情報開示が認められるか否か、すなわち前述のような根拠に適合するか否かは、情報開示の必要性・正当性と開示により顧客に及ぼす影響とを、具体的な場面に即して総合的に考量して判断すべきものとしている。
そして、総合判断をするうえで、検討を要する具体的な項目は前述の根拠から導かれるものであるが、個々の事例においては、おのおのの判断要素を検討したうえ
で、①情報開示の目的、②開示する情報の内容、③債務者企業に及ぼす影響、④情報の開示先、⑤情報の管理体制の 5 つの要素を、その要素間の関係も含め総合的に考慮し、情報開示の正当性を判断するというアプローチが有効であるとしている。
なお、全銀協報告書上、かかる 5 つの要素に基づいた判断アプローチは、貸出債権取引に限らず、銀行の守秘義務と顧客情報の開示について、一般的、普遍的な考え方を提供するものとしている。
ロ.

5 つの判断要素

全銀協報告書が提示する 5 つの判断要素は以下のとおりである。
① 情報開示の目的
債権譲渡に際しては、譲渡人から譲受人に対する一定の情報開示が不可欠であることから、債権譲渡における譲渡上必要な一定範囲の情報開示は、正当な行為として認められる。
また、債務者企業が債務不履行に陥っている場合には、債権保全・回収のための権利実行などの種々の措置を講ずる必要に迫られることが想定され、そのような場合の債権の保全・回収を目的とした一定範囲の情報開示も認められると考えられる。
② 開示する情報の内容
債権譲渡が特約により禁止されていない状況で債権譲渡を行う場合、譲渡対象となる債権を特定するための債権情報、例えば、債務者企業名、元本残高、返済スケジュール、利率等の開示は可能であると考えられる。
これに対し、金銭消費貸借証書などの契約書類についても情報開示が可能か否かは、若干の検討を要する。金銭消費貸借証書などの契約書類について
は、実務上、債権の譲渡に当たっては開示が不可欠な情報として位置付けられているが、契約書類の中にはさまざまな性質の規定が含まれており、信用情報と考えられる内容も存在する。したがって、契約書類については、後述

21

する債務者企業へ及ぼす影響、開示先の範囲および守秘義務契約の締結を含
む開示先における情報管理の態様など他の要素が、情報開示の可否を判断す
るうえで重要となる。
他方、信用情報の提供に当たっては、債権情報よりさらに慎重な諸要素の検討が要求されることになる。これらの情報については、情報が開示されることによる顧客への影響は債権譲渡の場合に比して大きいと考えられる。もっとも、債権譲渡という目的に加え、開示先を例えば、当局による一定の監督下にある金融機関など一定の範囲に限定し、また、守秘義務契約の締結など
開示先における情報管理体制を整えている場合には、信用情報の開示は許容され、開示先の限定や開示先の情報管理体制の程度に応じて、開示範囲も広がるものと考えられる。
また、債務不履行状態に陥っている債務者企業の債権譲渡に関しては、債権回収のためという開示目的も付加されることから、諸要素を勘案したうえで、情報の開示範囲が広がるものと考えられる。ただし、この場合、債務者
企業に風評被害等を生ぜしめないよう、慎重な取扱いが求められる。
③ 債務者企業に及ぼす影響
情報の漏洩によって債務者企業に風評被害が生じる場合等については、慎重な取扱いが求められる。例えば、債務者企業の状況によって、情報開示の方
法、開示情報の範囲、開示先の範囲、情報開示の時期等を考慮する必要がある。他方、開示内容によっては、債務者企業に及ぼす影響はないと判断できる場合もあろう。前述のように、開示先を限定することや、守秘義務契約を譲受人と締結し、債務者企業に損害を与えうるような情報漏洩を回避するといった手当てをとることで、より広範な情報の開示が認められる場合もありうる。
④ 情報の開示先
貸出債権の取引においては、例えば、金融市場において適格な投資家としての認知を受けている者や、当局による一定の監督下にある金融機関のように、情報管理体制の整備に対するインセンティブが制度的に手当てされている者といった条件で情報開示先を一定範囲に限定し、当事者間で守秘義務契約を締結する場合には、その範囲内での情報開示については自由度・許容度が増すと考えることも可能である。他方、情報開示先をできるだけ限定しな
い方向で考える場合には、他の 4 つの要素についてより厳格な取扱いが求められることになる。
また、貸出債権市場では、取引仲介機関や情報取扱機関も重要な当事者とし

22

金融研究/2021.2

「金融サービスにおける顧客情報の利用を巡る法律問題研究会」報告書て表れる可能性がある。このような場合も、守秘義務契約を締結のうえ、適切な情報管理体制が確保されていること、当該機関の情報提供先も限定されることを前提に、債権情報や対象債権の評価に関する情報などを集約し、提供することは可能と考えられる。
⑤ 情報の管理体制
債権の譲渡人と譲受人との間で守秘義務契約を締結することは、情報管理体制の方策として有効であり、情報開示が可能であるという結論を導くうえで重要な要素となる。守秘義務契約においては、目的外使用の禁止、情報漏洩の禁止、損害が生じた場合の賠償責任などを規定することが考えられる。
守秘義務契約のほかにも、貸出債権市場の健全な発展という観点から、例えば、情報開示にかかる自主ルールを制定することによって健全な市場慣行の形成を促すことや、市場参加者によって情報開示に関する枠組みを用意することなどは、情報開示の是非を判断するうえで考慮すべき要素となりうる。
ハ.

本報告書の検討対象との違い

前述のとおり、全銀協報告書は、債権譲渡や債権保全・回収を目的として、法人顧客情報であって、債権特定のための債権情報または信用リスク判断のための信用情報等を、銀行が顧客の承諾なくして債権の譲受人に開示する場合について検討している。他方、本報告書が検討対象としている銀行の業務は、改正銀行法のもとで、第三者提供そのものを目的として、法人顧客情報および個人顧客情報を第三者に提供する業務であり、全銀協報告書の検討対象とは大きく異なる。このため、全銀協報告書の判断アプローチをそのまま適用することは難しいと考えられる。
その一方で、全銀協報告書の 5 要素（①情報提供の目的、②提供する情報の内
容、③顧客に及ぼす影響、④情報の提供先、⑤情報の管理体制）に着目した判断ア
プローチには、一定の汎用性が認められる。そこで、銀行の第三者提供業務における守秘義務の限界に関する正当な理由の有無の判断においても、これらの要素に着目して、個別的な事情の検討を行うことが考えられる。以下では、個人顧客情報および法人顧客情報それぞれについて、全銀協報告書の 5 つの判断要素を参考に、銀行が第三者提供業務を行う場合の正当な理由の有無を整理する。
なお、全銀協報告書では、情報の「開示」という用語が使用されているが、改正銀行法では、情報の「提供」という用語が使用されていることを踏まえ、本報告書
では、情報の「提供」という用語で統一する。

23

（3） 個人顧客情報の場合① 情報提供の目的
改正銀行法のもとでの銀行による第三者提供業務の目的は、「銀行の営む銀
行業の高度化又は当該銀行の利用者の利便の向上に資する」（銀行法 10 条 2
項 20 号）ことが前提である。
そうしたもとで、銀行が行う第三者提供業務としては、大別して、（i）銀行業の効率性・収益性の向上に資するもの、（ii）利用者の利便の向上に資するもの、（iii）広く社会便益の向上に資するものが想定される。
例えば、マーケティング目的の第三者提供業務の場合、情報提供を受けた事業者が顧客網を広げたり、自らのサービスのニーズが高い顧客を掘り起こしたりすることで、（ii）サービスの受け手である利用者の利便の向上に資することが考えられる84 。また、情報提供を受けた事業者の経営改善につながれば85 、（iii）地域経済の活性化も期待でき、そのような好循環の結果として、（i）銀行業の効率性や収益性の向上に資することも考えられよう。マーケティング目的の情報提供の目的をこのように考えれば、その正当な理由は認めうるものと考えられる。もっとも、その目的を達成するために必要な範囲で、情報の内容（②）や情報提供先（④）が画される点には留意が必要となる。
また、クレジット・スコアリング目的の第三者提供業務においては、銀行が、クレジット・スコアリング事業者と協働して、決済情報のビッグデータと AIを組み合わせて与信費用（信用コスト）の発生確率の分析精度を向上させる
ことが検討されている86 。こうしたことが実現すれば、これまで融資実行が困難と判断された利用者への資金供給を行うことにより87 、（ii）利用者の利便の向上や（iii）金融サービスの高度化、ひいては経済全体の発展に資することが期待されるほか、（i）銀行業の効率性・収益性の向上も期待されよう。
こうした目的と提供する情報の内容（②）や情報提供先の範囲（④）との関係は、マーケティング目的と同様と考えられる。
..................................
84 法人顧客に係る銀証間の情報共有のあり方に関する研究会［2008］12 頁では、マーケティング目的
での銀証間の情報共有において、法人顧客が享受するメリットとして、「デット・エクイティ双方の商品について、これまでのように銀行・証券会社それぞれに相談・申込を行う等の煩雑さが解消されるとともに、銀証それぞれの商品・サービスを組み合わせた、あるいは具体的な条件を比較した資金調達等の提案を機動的に受けることが可能となる、といったことが挙げられる。加えて、情報が共有されることにより、金融グループにおいて複合的な商品・サービスの開発が促進され、法人顧客は自己の金融ニーズにより適合した提案等を受けられるというメリットも享受できよう」とする。
85 荒井ほか［2019］43〜44 頁。
86 情報信託機能の認定スキームの在り方に関する検討会［2019a］7 頁。
87 情報信託機能の認定スキームの在り方に関する検討会［2019a］7 頁。

24

金融研究/2021.2

「金融サービスにおける顧客情報の利用を巡る法律問題研究会」報告書② 提供する情報の内容
平成 19 年決定の補足意見に沿って考えると、銀行が取得する顧客情報としては、（a）顧客との取引情報、（b）顧客の財務情報、（c）取引過程で取得した顧客の関連情報、（d）顧客の信用情報等が想定される。また、金融ガイド
ライン 5 条で規定するセンシティブ情報に該当する個人顧客情報も含まれう
る88 。
（a）および（b）については、顧客の信用情報を推認することができる場合には、当該顧客への影響（③）が大きくなることから、このような情報を提供するに当たっては、情報の提供先（④）や情報の管理体制（⑤）に留意する必要が生じよう。（c）については、例えば、顧客の取引先の信用に関する情報が漏洩した場合に顧客の信用力に及ぼす影響（③）が大きいため、情報の提供先（④）や情報の管理体制（⑤）に留意する必要が生じよう。（d）は、いずれも顧客の信用力に及ぼす影響（③）が大きいため、情報の提供先（④）
や情報の管理体制（⑤）に留意する必要が生じよう。
次に、センシティブ情報については、顧客の識別可能性の有無にかかわらず、漏洩した場合に、個人の人格権を害しうるものであり、他の性質の情報に比して、顧客への影響（③）が最も大きいため、情報の提供先（④）や情報の管理体制（⑤）に留意する必要が生じると考えられる。
③ 顧客に及ぼす影響
個人顧客に及ぼす影響としては、顧客の信用情報が漏洩することにより、当該顧客が与信を受ける可能性が左右される場合や、顧客のセンシティブ情報が漏洩することにより、顧客の人格権が害される場合が挙げられる。
その点を踏まえると、提供する情報の内容（②）が、（d）の場合には、情報の漏洩により顧客に与える損害（③）の程度が大きいと考えられ、情報の提供先（④）や情報の管理体制（⑤）に留意する必要が生じよう。また、（a）や（b）についても、顧客の信用情報を推認できるときは、同様に、情報の漏洩により顧客に与える損害（③）の程度が大きく、情報の提供先（④）や情報の管理体制（⑤）に留意する必要が生じると考えられる。
さらに、提供する情報の内容（②）が顧客のセンシティブ情報である場合には、顧客の人格権が害され、情報の漏洩により顧客に与える損害（③）の程..................................
88 金融ガイドライン 5 条では、
「機微（センシティブ）情報」の第三者提供ができる場合として、「保険業その他金融分野の事業の適切な業務運営を確保する必要性から、本人の同意に基づき業務遂行上必要な範囲で機微（センシティブ）情報を…第三者提供する場合」または「機微（センシティブ）情報に該当する生体認証情報を本人の同意に基づき、 本人確認に用いる場合」と規定している（1 項 7号、8 号）。改正銀行法下での第三者提供業務が、金融ガイドライン上、機微（センシティブ）情報を提供できる場合に該当するかは別途の検討を要する。

25

度が大きいと考えられ、情報の提供先（④）や情報の管理体制（⑤）に留意する必要が生じよう。
そのため、銀行が顧客の信用情報やセンシティブ情報を第三者に提供するに際しては、顧客への影響を最小化する措置、例えば、情報提供の方法、提供
情報の範囲、提供先における利用目的、提供先の範囲、情報提供の時期等を考慮することにより、求められる情報の管理体制（⑤）の程度が変わることも考えられる。また、情報漏洩を回避する措置、例えば、情報提供先を限定する（④）ことや、守秘義務契約を提供先と締結する（⑤）ことにより、より広範な情報の提供（②）が認められる場合もありうる。なお、顧客に及ぼす影響に対して、これらの措置の内容が適切であることを確保する観点からは、措置の内容を具体的に特定したうえで、顧客の同意を取得しておくことも有用と考えられる。
④、⑤ 情報の提供先および情報の管理体制
情報の提供先に関しては、当該提供先が情報セキュリティやプライバシーにかかるガバナンス体制等、情報の管理体制の程度が厳格に整備されているか
により、情報提供が許容される範囲（②）が変わりうると考えられる。この点については、認定情報銀行制度の情報セキュリティやプライバシーにかかるガバナンス体制等の審査基準が 1 つの目線となりえよう。
そのほかに、銀行が情報の提供先の情報管理体制確保の一環として、例えば、第三者との間で守秘義務契約を締結し、目的外利用の禁止、情報漏洩の禁止、損害が生じた場合の賠償責任などを規定する場合は、情報提供の正当な理由が認められやすいと考えられる。
他方、そうした対応をとらない場合には、提供する情報の内容を限定する（②）ことや、情報の提供先を限定することにより、顧客に及ぼす影響を最小限にする（③）ための措置が必要となりえよう。

（4） 法人顧客情報の場合
法人顧客情報についても、基本的には個人顧客情報に関する前述の整理が妥当すると考えられる。
個人顧客情報との相違点としては、次の 3 点がある。第 1 に、法人顧客の場合、銀行は取引過程で取得した顧客の関連情報として、当該顧客の取引先に関する情報を取得することが想定されるが、そうした情報が漏洩した場合には、顧客に与える損害（③）の程度が大きいと考えられ、情報の提供先（④）や情報の管理体制（⑤）

26

金融研究/2021.2

「金融サービスにおける顧客情報の利用を巡る法律問題研究会」報告書に留意する必要が生じよう89 。第 2 に、法人顧客情報が漏洩した場合には、その情報の内容（②）によっては、当該顧客が与信を受ける可能性が左右されることを含
め、その事業に関して広範に風評被害が生じる可能性があり、そのような観点からも顧客に及ぼす影響（③）に留意する必要があると考えられる90 。第 3 に、個人顧客情報に関する検討で挙げたセンシティブ情報は個人を前提としているため、法人顧客については考慮する必要がない91 。

6.

守秘義務とは異なる行為規範の必要性（1） 銀行固有の守秘義務に関する議論の限界
5 節では、全銀協報告書が提示する、①情報提供の目的、②提供する情報の内容、③顧客に及ぼす影響、④情報の提供先、⑤情報の管理体制の 5 つの要素を参考に、
個人顧客情報および法人顧客情報の第三者提供業務にかかる守秘義務の範囲を検討した。この点、今般の銀行法改正は、銀行が保有する情報の利活用の促進を目的としており92 、かかる目的のもとで行う銀行の第三者提供業務の行為規範を検討する
際に必要な要素としては、前述の 5 つの要素では不十分ではないかとの指摘もありうる。
こうした背景には、銀行業における第三者提供の位置付けの変化があると考えられる。
すなわち、全銀協報告書は、①銀行の固有業務である与信取引、受信取引および為替取引に従属して第三者提供を行う場合または②かかる固有業務に質的に関連性
または親近性がある、銀行の付随業務に従属して第三者提供を行う場合における守秘義務の範囲を検討したものといえよう93 。
他方、銀行法改正により、銀行が従来営むことができなかった、顧客情報を提供..................................
89 法人顧客の事業内容や規模によって、顧客に及ぼす影響が異なる点にも留意が必要と考えられる。
90 脚注 89 と同じ。
91 厳密には、「法人顧客のセンシティブ情報」 として、法人顧客の役職員や法人顧客の取引先の役職員のセンシティブ情報が想定しうる。これらについては、個人顧客のセンシティブ情報に関する整理が妥当すると考えられる。
92 荒井ほか［2019］43 頁では、銀行法改正の背景として、「情報・データの利活用は今日の経済社会において広く一般的に行われるようになっており、一般事業会社、フィンテック事業者、伝統的な金融機関のいずれの主体であれ、それに取り組んでいくことは自然な流れとなっている。…こうした中、銀行…についても、…こうした社会全体の変化に適切に対応していく環境を整備する必要がある」と説明する。
93 荒井ほか［2019］47 頁では、固有業務や既存の付随業務に従属して行われる第三者提供は、情報を提供すること自体を目的として行われるものではないため、従来から適法とされたとする。他方、金27

すること自体を目的とした第三者提供業務を行えるようになったもとでは、かかる業務に関して銀行が遵守すべき行為規範を、従来から存在してきた守秘義務の範囲の中で論じることには限界があるとも考えられる。すなわち、これまでの検討からもわかるように、銀行固有の守秘義務は、顧客の信用情報を中心として銀行との取引関係情報を主たる対象として議論されてきた概念であるため、改正銀行法における第三者提供業務とは想定する対象が異なる。かかる業務に関して銀行が遵守すべ
き行為規範を検討する際には、この点に留意する必要があると考えられる。

（2） 情報の利活用に関する新たな行為規範の必要性
本節（1）を踏まえ、銀行による第三者提供業務との関係で問題となる行為規範を考えた場合、これまで銀行固有の守秘義務において論じられてきた顧客情報をみだりに漏洩することにより顧客の権利利益を害しないという点だけでなく、改正銀行法の目的である、銀行が保有する情報の利活用の促進に寄与するものである必要があると考えられる。そうした観点からは、情報の正確性や本人のコントローラビ
リティを確保することも、銀行が遵守すべき新たな行為規範と考えうる94 。
イ.

情報の正確性を確保する行為規範

個人情報保護法には、「個人情報の有用性に配慮しつつ、個人の権利利益を保護する」（1 条）という目的のもと、個人情報取扱事業者が保有する情報の正確性を企図した規定が存在する。具体的には、3 節（2）で整理したとおり、19 条において、「個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない」とし、正確性確保義務を規定している。また、29 条 1 項は、「本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの内容が事実でないときは、当該保有個人データの訂
正、追加又は削除を請求することができる」とし、本人が個人情報取扱事業者に対して、訂正等請求権を有すると規定している。
.................................................................................................................................................
融機関が従来営むことができなかった（情報を提供すること自体を目的とした）第三者提供業務については、今回の改正により新設される「保有情報の第三者提供業務」であると整理されるとする。
94 銀行による情報の正確性確保義務については、当座貸越契約にかかる個人顧客の信用情報を、銀行が信用情報機関に提供する場合において、銀行の顧客に対する責任について判示した裁判例（大阪高裁
平成 17 年 2 月 3 日金融・商事判例 1221 号 51 頁）に関し、神作［2008］は次のように解説する。顧客が金融機関との間で当座貸越契約を締結していることを前提として、「金融機関は、顧客との間でも正確かつ最新の情報を提供すべき注意義務を負っていると解するべきであろう。…金融機関には、
事故情報かどうかにかかわりなく信用情報機関に提供する情報一般について正確かつ最新の情報を提供すべき義務があるのであって、そのような注意義務の一環として、顧客に対し確認したり問い合
わせたりすべき場合が生じ得るものと考えられる」。

28

金融研究/2021.2

「金融サービスにおける顧客情報の利用を巡る法律問題研究会」報告書

銀行が保有する情報の利活用の促進を図るためには、情報の正確性が確保されていることが不可欠の前提であり、これらの行為規範は、改正銀行法のもとでの第三者提供業務において必要となる行為規範の内容を検討する際の要素になりうると考えられる。
この点、正確性確保義務や訂正等請求権を、全銀協報告書の 5 つの要素のうち、「⑤情報の管理体制」に位置付け、守秘義務の枠組みの中で議論することが考えられる。もっとも、前述のとおり、全銀協報告書は、銀行の固有業務や付随業務に従属して行われる顧客情報の第三者提供との関係で守秘義務の範囲を検討したものである。そのため、顧客情報を提供すること自体を目的とした第三者提供業務との関係で問題となる正確性確保義務や訂正等請求権を、⑤の要素に含め、守秘義務の枠組みの中で検討することには、少々難があると考えられる。
もっとも、顧客が第三者提供につき同意する際には、当該同意の合理的な意思解釈として、自己の情報の正確性が確保されていることや必要に応じて訂正等を請求できることを期待していると考えられる。このように考えれば、正確性確保義務や顧客からの訂正等の請求に応じる義務は、守秘義務とは別個の行為規範として位置付けることができると考えられる。
ロ.

本人のコントローラビリティを高める行為規範

銀行が保有する情報の利活用を促進するために必要な行為規範を考えるに当たり、参考とするべきは個人情報保護法のみに限られない。例えば、認定情報銀行制
度は「実効的な本人関与（コントローラビリティ）を高めて、パーソナル・データの流通・活用を促進する」という目的のもと成立した経緯があり、こうした情報銀行の成立経緯との関係では、第三者提供業務においても、実効的な本人関与（コントローラビリティ）を高めるという点が重要となりうる。
この点について、認定情報銀行の認定基準においては、本人のコントローラビリ
ティを確保するため、操作容易なインターフェースにより、①第三者提供にかかる条件の指定および変更機能、②提供履歴の閲覧（トレーサビリティ）機能、③第三者提供・利用の停止（同意の撤回）機能、④情報銀行に委任した個人情報の開示機
能の提供が求められている。
今後、認定情報銀行制度における本人のコントローラビリティ確保が普及してい
けば、第三者提供業務においても、顧客が同意する際には同様のコントローラビリ
ティが付与されることを期待していると評価される可能性も生じうると考えられ
る95 。
..................................
95 さらに、顧客の利便性を向上させるために必要な行為規範として、EU 一般データ保護規則（General
Data Protection Regulation: GDPR）を参考に、データ・ポータビリティの権利（データ主体において、管理者に提供した自己に関する個人データについて、構造化され、共通に利用され機械で判読可能な形式により受け取る権利、及び、当該データを、個人データの提供を受けた管理者に妨害されること

29

（3） 小括以上のように、改正銀行法の目的である銀行が保有する情報の利活用の促進を図るためには、銀行に対して従来から論じられてきた守秘義務の行為規範を及ぼすだ
けでは不十分とも考えられ、そこを補う行為規範として、顧客の同意の合理的な意思解釈から導き出される個人情報保護法を参考にした、情報の正確性を確保する行為規範や、認定情報銀行制度を参考にした、本人のコントローラビリティを高める
行為規範を観念することが有用と考えられる96 。
もっとも、こうした行為規範については、法令やガイドライン上の明文規定がない。そのような状況下では、顧客が自らの情報が第三者に提供されることに過度に保守的になったり、銀行が必要以上に第三者提供業務に慎重になったりするおそれがある。こうした事態を回避し、改正銀行法の目的である、銀行が保有する情報の利活用の促進を達成するためには、銀行と顧客間のモデル契約の策定や、業界関係者による自主ルールが市中慣行として定着していくことなどによって、銀行による第三者提供業務について必要な行為規範を明確化することも選択肢となりえよう。

7.

おわりに

本報告書では、銀行が、改正銀行法により可能となった顧客情報の第三者提供業
務を行う際、遵守すべき行為規範について検討した。以下では、検討の結果を総括することで、本報告書の結びとしたい。
まず、2 節において銀行法改正の経緯や概要について整理し、続く 3 節では、個
人情報保護法上、個人情報を第三者に提供する場合は、原則として本人同意を得る必要があることや、これに上乗せした義務を課している金融ガイドラインでは、情報の提供先である第三者等を認識させたうえで書面により本人同意を得る必要があ
ることを確認した。また、足許の動きとして、認定情報銀行制度を取り上げ、個人情報保護法との関係を整理した。
.................................................................................................................................................
なく、他の管理者に移す権利〈石井［2017］117〜118 頁〉）を取り上げることも考えられる。この点については、正確性確保義務や訂正等請求権、コントローラビリティの権利に加えて、データ・ポー
タビリティの権利も問題にすることが適当なのか、個人情報保護法を巡る今後の議論も参照しつつ検討を深める必要があるほか、データ移転のため標準化やプラットフォーム整備など技術面の検討も必要となろう。
96 銀行固有の守秘義務とは異なり、こうした行為規範の名宛人は銀行に限定されない可能性もある。
情報銀行業務を含め、情報を提供すること自体を目的とした第三者提供業務は、銀行のみならず、事業者全般が行いうるのであり、そのような事業者は、同様の行為規範を遵守することが望ましいと考
えられる。

30

金融研究/2021.2

「金融サービスにおける顧客情報の利用を巡る法律問題研究会」報告書

4 節では、銀行が顧客情報を第三者に提供する場合には、個人情報保護法と守秘義務が重畳的に適用されることを指摘し、同法の規制対象や規制内容との相違を示しつつ、守秘義務の内容を検討した。規制対象の違いについては、同法が対象を個人情報に限定しているのに対し、守秘義務は、個人情報であるか否かを問わず、法人顧客情報を含む顧客情報を広く対象とすることを指摘した。また、規制内容の違いについては、同法が事前の本人同意の取得の有無のみを問うているのに対し、守秘義務については、その解除のための要件として「正当な理由」を要するとしたうえで、その判断に当たっては個別具体的に考慮する必要があることを指摘した。

5 節では、4 節で指摘した正当な理由の有無の判断のための個別具体的な考慮要素として、全銀協報告書が提示する 5 つの要素（①情報開示の目的、②開示する情報の内容、③顧客に及ぼす影響、④情報の開示先、⑤情報の管理体制）を挙げ、これらの要素を参考に、第三者提供業務における銀行の守秘義務について、個人顧客
情報と法人顧客情報とに分けて検討を行った。
続く 6 節では、今回の銀行法改正で可能となった銀行による顧客情報の第三者提供業務は、従来の銀行固有の守秘義務の延長線上で論ずることは難しい可能性があることを指摘した。そのうえで、改正銀行法が、銀行が保有する情報の利活用の促進に寄与することを目的としていることとの関係から、その前提となる情報の正確性確保に関する行為規範や本人のコントローラビリティを高める行為規範を考える
必要性を示した。
銀行が顧客情報を第三者提供する際、銀行が遵守すべき行為規範について考えるにあたっては、銀行固有の守秘義務の枠にとどまらず、情報の利活用に関する新たな行為規範も考慮に入れる必要があると考えられる。こうした行為規範が不明確なもとでは、顧客が自らの情報が第三者に提供されることに過度に保守的になった
り、銀行が必要以上に第三者提供業務に慎重になったりするおそれがある。こうした事態を回避し、改正銀行法の目的である、銀行が保有する情報の利活用の促進を達成するためには、例えば、銀行と顧客間のモデル契約の策定や、業界関係者による自主ルールが市中慣行として定着していくことなどによって情報の利活用に関す
る新たな行為規範を明確化していくことが期待される。

31

参考文献
荒井伴介・野口雄司・本間 晶・末広賢司・政平英雄・小宮山圭介、「『情報通信技術の進展に伴う金融取引の多様化に対応するための資金決済に関する法律等の一部を改正する法律』の解説―情報・データの利活用の社会的な進展を踏まえた制度整備―」、『金融法務事情』 2122 号、金融財政事情研究会、 2019 年、43〜49 頁
石井夏生利、『新版

個人情報保護法の現在と未来―世界的潮流と日本の将来像―』、勁草書房、2017 年
宇賀克也、『個人情報保護法の逐条解説（第 6 版）』、有斐閣、2018 年
内海順太、「金融機関の守秘義務とは」、『金融法務事情』 1802 号、金融財政事情研究会、2007 年、8〜9 頁
梅澤

拓・九本博延、「デジタルプラットフォームの法律問題

第 11 回・完プ

ラットフォーム事例研究⑤―情報銀行・RegTech/SupTech プラットフォーム」、『NBL』1151 号、商事法務、2019 年、52〜58 頁
大澤正和・落合孝文・加藤貴仁・加毛 明・坂 勇一郎・瀧 俊雄・丸山弘毅・森
下哲朗、「金融法制の現代的課題（上）―情報、決済、プラットフォーマーをめぐって―」、『金融法務事情』 2109 号、金融財政事情研究会、 2019 年、6〜23 頁
岡村久道、『個人情報保護法（第 3 版）』、商事法務、2017 年
奥 国範、「金融機関の守秘義務と個人情報保護法」、『金融法務事情』 1802 号、金融財政事情研究会、 2007 年、10〜11 頁
貸出債権市場における情報開示に関する研究会、「貸出債権市場における情報開示に関する研究会報告書」、全国銀行協会、2004 年（https://www.zenginkyo.or.jp/

fileadmin/res/news/news160490-1.pdf 、2020 年 11 月 20 日）
片岡秀実、「個人情報保護法制度改正大綱について」、『信託』281 号、信託協会、
2020 年、217〜236 頁
河本一郎、「銀行の秘密保持義務」、『金融法務事情』 744 号、金融財政事情研究会、

1975 年、4〜13 頁
神作裕之、「商事判例研究

平成 17 年度 24

信用情報機関への顧客情報の提供等に係る銀行の責任」、『ジュリスト』 1364 号、有斐閣、2008 年、150〜153 頁
神田秀樹・森田宏樹・神作裕之編、『金融法概説』、有斐閣、2016 年
金融審議会金融制度スタディ・グループ、「金融機関による情報の利活用に係る制度整備についての報告」、金融庁、2019 年（https://www.fsa.go.jp/singi/singi_kinyu/

tosin/20190116/houkoku.pdf 、2020 年 11 月 20 日）
金融庁、「利用者を中心とした新時代の金融サービス〜金融行政のこれまでの実践と今後の方針〜（令和元事務年度）」、金融庁、2019 年（https://www.fsa.go.jp/news/

r1/190828.pdf 、2020 年 11 月 20 日）
小山嘉昭、『銀行法精義』、金融財政事情研究会、 2018 年

32

金融研究/2021.2

「金融サービスにおける顧客情報の利用を巡る法律問題研究会」報告書

宍戸常寿、「情報銀行（情報信託機能）―検討の経緯と今後の課題―」、『野村資本市場クォータリー』 22 巻 4 号、野村資本市場研究所、 2019 年、3〜4 頁
情報信託機能の認定スキームの在り方に関する検討会、「金融データワーキンググ
ループ報告」、総務省、2019 年 a（https://www.soumu.go.jp/main_content/000607504.

pdf 、2020 年 11 月 20 日）、「情報信託機能の認定に係る指針 ver2.0」、総務省、2019 年 b（https://www.

soumu.go.jp/main_content/000648734.pdf 、2020 年 11 月 20 日）
情報通信審議会情報通信政策部会 IoT 政策委員会基本戦略ワーキンググループ
データ取引市場等サブワーキンググループ、「データ取引市場等サブワーキンググループ取りまとめ」、総務省、2017 年（https://www.soumu.go.jp/main_content/

000501149.pdf 、2020 年 11 月 20 日）
髙山崇彦・野口香織、「銀行本体による情報提供業務の解禁と情報銀行」、『金融法務事情』2114 号、金融財政事情研究会、 2019 年、4〜5 頁
データ流通環境整備検討会 AI、IoT 時代におけるデータ活用ワーキンググループ、「AI、IoT 時代におけるデータ活用ワーキンググループ中間とりまとめ」、内閣府、

2017 年（https://www.kantei.go.jp/jp/singi/it2/senmon_bunka/data_ryutsuseibi/dai2/
siryou2.pdf 、2020 年 11 月 20 日）
西村あさひ法律事務所編、『最新金融レギュレーション』、商事法務、2009 年
法人顧客に係る銀証間の情報共有のあり方に関する研究会、「法人顧客に係る銀証間の情報共有のあり方に関する研究会報告書」、全国銀行協会、2008 年（https://www.zenginkyo.or.jp/fileadmin/res/news/news200416_2.pdf 、2020 年 11 月

20 日）
森下哲朗、「金融機関の守秘義務の本質―債権譲渡を題材に」、『金融機関の情報利用と守秘義務をめぐる法的問題』、全国銀行協会、 2008 年、38〜60 頁
山下友信、「個人情報保護と守秘義務の関係」、『金融機関の情報利用と守秘義務をめぐる法的問題』、全国銀行協会、2008 年、22〜37 頁
横山 淳、「資金決済法等改正法案 情報利活用に伴う金融機関の業務範囲見直し 保
有する情報を第三者に提供する業務を追加」、大和総研、2019 年（https://www.dir.

co.jp/report/research/law-research/regulation/20190516_020795.pdf 、 2020 年 11 月
20 日）
吉田正之・関根良太、「金融機関の顧客情報についての守秘義務と貸付債権の譲渡」、『金融法務事情』 1626 号、金融財政事情研究会、 2001 年、37〜44 頁

33

34

金融研究/2021.2