その他令和6年7月22日
金融分野における個人情報保護法ガイドライン（抜粋）：報告義務及び本人への通知に関する解説
掲載日
令和6年7月22日
号種
号外
原文ページ
p.28 - p.29
号外p.28-p.29
出典：官報発行サイト（内閣府）の掲載情報をもとに整理しています。重要な確認は公式原文を基準にしてください。
出典・注意
官報発行サイト（内閣府）の掲載情報をもとに整理しています。重要な確認は公式原文を基準にしてください。
抽出要点
個人情報の漏えい等事案に係る報告及び本人への通知に関するガイドライン解説
抽出された基本情報
発行機関金融庁
抽出された基本情報
- 発行機関
- 金融庁
本文と原文の対照
まず左側の本文を読み、必要な箇所だけ原文ページで確認できる構成です。
← 同日の官報に戻る
原文対照の表示オプション
金融分野における個人情報保護法ガイドライン（抜粋）：報告義務及び本人への通知に関する解説
令和6年7月22日|p.28-29
左の本文を選ぶと、右側の官報原文画像で該当箇所を照合できます。
⑫ 本人への通知、通知対象となる事態及び通知義務の主体
協会員は、保護法報告対象事態を知ったときは、本人への通知を行わなければならない(第8項)。
通知義務を負う主体は、原則として、漏えい等が発生し、又は発生したおそれがある個人データを取り扱う協会員である。ただし、第1項第3号に定める事態について本人への通知の義務を負う主体は、漏えい等が発生し、又は発生したおそれがある個人データ又は個人情報を取り扱い、又は取得しようとしている協会員である(解説⑪参照)。
個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人データ又は個人情報を取り扱い、又は取得しようとしていることになるため、報告対象事態に該当する場合には、原則として委託元と委託先の双方が本人への通知を行う義務を負う。委託先が、報告義務を負っている委託元に解説⑧①~⑨までに掲げる事項のうち、その時点で把握しているものを通知したときは、委託先は報告義務を免除されるとともに、本人への通知義務も免除される。なお、委託元への通知を行った委託先は、必要に応じて委託元による本人への通知に協力することが求められる。また、協会員は、第9項各号のいずれかの事態を知ったときも、上記に準じて本人への通知等を行う努力義務を負う(第9項)。
金融機関が取り扱う情報の性質等に鑑み、基本的には全ての漏えい等事案について本人への通知等を行うことが望ましいとされる。なお、例えば、漏えい等した個人データについて、高度な暗号化等の秘匿化措置が講じられている場合や、漏えいした個人データを即時に回収した場合等、本人の権利利益が侵害されておらず、今後も権利利益の侵害の可能性がない又は極めて小さい場合等には、本人への通知を要しない。
⑬ 通知の時間的制限
協会員は、保護法報告対象事態を知ったときは、当該事態の状況に応じて速やかに、本人への通知を行わなければならない。
「当該事態の状況に応じて速やかに」とは、速やかに通知を行うことを求めるものであるが、具体的に通知を行う時点は、個別の事案において、その時点で把握している事態の内容、通知を行うことで本人の権利利益が保護される蓋然性、本人への通知を行うことで生じる弊害等を勘案して判断する。
【その時点で通知を行う必要があるとはいえないと考えられる事例】
事例1) インターネット上の掲示板等に漏えいした複数の個人データがアップロードされており、協会員において当該掲示板等の管理者に削除を求める等、必要な初期対応が完了しておらず、本人に通知することで、かえって被害が拡大するおそれがある場合
事例2) 漏えい等のおそれが生じたものの、事案がほとんど判明しておらず、その時点で本人に通知したとしても、本人がその権利利益を保護するための措置を講じられる見込みがなく、かえって混乱が生じるおそれがある場合
⑭ 通知の内容
本人へ通知すべき事項については、漏えい等報告における報告事項のうち、「概要」、「漏えい等が発生し、又は発生したおそれがある個人データ(前項第3号に定める事態については、同号に規定する個人情報を含む。次号において同じ。)の項目」、「原因」、「二次被害又はそのおそれの有無及びその内容」及び「その他参考となる事項」(解説⑱参照)に限られている。これらの事項が全て判明するまで本人への通知をする必要がないというものではなく、本人への通知は、「当該事態の状況に応じて速やかに」行う必要がある。
本人への通知については、「本人の権利利益を保護するために必要な範囲において」行うものである。
また、当初保護法報告対象事態に該当すると判断したものの、その後実際には保護法報告対象事態に該当していなかったことが判明した場合には、本人への通知が「本人の権利利益を保護するために必要な範囲において」行うものであることに鑑み、本人への通知は不要である。
注) 第2項第(9)号に定める「その他参考となる事項」については、本人への通知を補完するため、本人にとって参考となる事項をいい、例えば、本人が自らの権利利益を保護するために取り得る措置が考えられる。
【本人の権利利益を保護するために必要な範囲において通知を行う事例】
事例1) 不正アクセスにより個人データが漏えいした場合において、その原因を本人に通知するに当たり、個人情報保護委員会に報告した詳細な内容ではなく、必要な内容を選択して本人に通知すること。
事例2) 漏えい等が発生した個人データの項目が本人ごとに異なる場合において、当該本人に関係する内容のみを本人に通知すること。
⑮ 通知の方法
「本人への通知」とは、本人に直接知らせることをいい、事業の性質及び個人データの取扱状況に応じ、通知すべき内容が本人に認識される合理的かつ適切な方法によらなければならない。また、漏えい等報告と異なり、本人への通知については、その様式が法令上定められていないが、本人にとって分かりやすい形で通知を行うことが望ましい。
【本人への通知の方法の事例】
事例1) 文書を郵便等で送付することにより知らせること。
事例2) 電子メールを送信することにより知らせること。
⑯ 通知の例外
本人への通知を要する場合であっても、本人への通知が困難である場合は、本人の権利利益を保護するために必要な代替措置を講ずることによる対応が認められる。
注) 代替措置として事案の公表を行わない場合であっても、当該事案の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、公表を行うことが望ましい。
【本人への通知が困難な場合に該当する事例】
事例1) 保有する個人データの中に本人の連絡先が含まれていない場合
事例2) 連絡先が古いために通知を行う時点で本人へ連絡できない場合
【代替措置に該当する事例】
事例1) 事案の公表
注) 公表すべき内容は、個別の事案ごとに判断されるが、本人へ通知すべき内容を基本とする。
事例2) 問合せ窓口を用意してその連絡先を公表し、本人が自らの個人データが対象となっているか否かを確認できるようにすること
(参照条文:保護法26条、施行規則7条から10条、通則ガイドライン3-5、金融分野ガイドライン11条)
(第三者提供の制限)
第16条 協会員は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ることなく、個人データを第三者（個人データを提供しようとする協会員及び当該個人データに係る本人のいずれにも該当しないものをいい、自然人、法人その他の団体を問わない。以下同じ。）に提供してはならない。同意の取得に当たっては、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）等に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な範囲の内容を明確に示さなければならない。また、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的において、その旨を特定しなければならない。
(1) 法令に基づく場合
(2) 人の生命、身体又は財産（法人の財産を含む。）の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに 対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
(5) 学術研究機関等が個人データを提供する場合であり、かつ、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ない場合（個人の権利利益を不当に侵害するおそれがある場合を除く。）
(6) 学術研究機関等が個人データを提供する場合であり、かつ、当該学術研究機関等と共同して学術研究を行う第三者（学術研究機関等であるか否かを問わない。）に当該個人データを学術研究目的で提供する必要がある場合（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）
(7) 学術研究機関等が個人データの第三者提供を受ける場合であり、かつ、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要がある場合（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）
なお、個人データの第三者提供についての本人の同意を得る際には、原則として、書面によることとし、当該書面における記載を通じて、
イ 個人データの提供先の第三者
ロ 提供先の第三者における利用目的
ハ 第三者に提供される個人データの項目
を本人に認識させた上で同意を得ることとする。
本人の同意を得ようとする時点において、①に掲げる事項が特定できない場合には、①に掲げる事項に代わる本人に参考となるべき情報を本人に認識させた上で、同意を得ることとする。当該情報としては、「提供先の第三者の範囲や属性に関する情報」が考えられる。
2 個人信用情報機関に対して個人データが提供される場合には、個人信用情報機関を通じて当該機関の会員企業にも情報が提供されることとなるため、個人信用情報機関に個人データを提供する協会員が本人の同意を得ることとする。
本人から同意を得るに当たっては、本人が、個人データが個人信用情報機関を通じて当該機関の会員企業にも提供されることを明確に認識した上で、同意に関する判断を行うことができるようにすることとする。このため、協会員は、同意を得る書面に、前項に定める事項のほか、個人データが当該機関の会員企業にも提供される旨の記載及び当該機関の会員企業として個人データを利用する者の表示を行うこととする。
「当該機関の会員企業として個人データを利用する者」の表示は、「当該機関の会員企業として個人データを利用する者」の外延を本人に客観的かつ明確に示すものであることが必要であり、会員企業の名称を記載する方法若しくは当該機関の規約等及び会員企業名を常時公表しているインターネットのホームページ（営利処理の窓口の連絡先等、第29条の内容を記載したもの）のアドレスを記載する方法等により、本人が同意の可否を判断するに足りる具体性をもって示すことをいう。また、本人に表示する個人信用情報機関の規約等においては、機関の加入資格及び会員企業の外延が明確に示されるとともに、個人データの適正管理、情報の目的外利用の防止等の観点から、安全管理体制の整備、守秘義務の遵守及び違反に対する制裁措置等を明確に記載することが適切である。
なお、協会員は、個人信用情報機関から得た資金需要者の返済能力に関する情報については、当該資金需要者の返済能力の調査以外の目的に使用することのないよう、慎重に取り扱うこととする。
3 協会員は、与信事業に係る個人の返済能力に関する情報を個人信用情報機関へ提供するに当たっては、保護法第27条第2項（オプトアウト）の規定を適用しないこととし、前項に従い本人の同意を得ることとする。
4 協会員は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているときは、個人情報保護委員会に届け出た上で、第1項にかかわらず、当該個人データを第三者に提供することができる。ただし、第三者に提供される個人データが要配慮個人情報又は第9条第1項の規定に違反して取得されたもの若しくは他の個人情報取扱事業者からこの項本文の規定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む。）である場合は、この限りでない。
(1) 第三者への提供を行う協会員の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。以下この条において同じ。）の氏名
(2) 第三者への提供を利用目的とすること
(3) 第三者に提供される個人データの項目
(4) 第三者に提供される個人データの取得の方法
(5) 第三者への提供の方法
(6) 本人の求めに応じて第三者への提供を停止すること
(7) 本人の求めを受け付ける方法
(8) 第三者に提供される個人データの更新の方法
(9) 当該届出に係る個人データの第三者への提供を開始する予定日
5 協会員は、前項第(1)号に掲げる事項に変更があったとき又は同項の規定による個人データの提供をやめたときは遅滞なく、同項第(3)号から第(5)号まで、第(7)号、第(8)号又は第(9)号に掲げる事項を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならないものとする。また、協会員は、保護法第27条第3項に基づき、必要な事項を個人情報保護委員会に届け出たときは、その内容を自らも公表しなければならない。
6 協会員は、保護法第27条第4項の規定による公表がされた後、速やかに、インターネットの利用その他の適切な方法により、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項を公表しなければならない。
(1) 第4項の規定による届出を行った場合
同項各号に掲げる事項
(2) 前項の規定による変更の届出を行った場合
変更後の第4項各号に掲げる事項
(3) 前項の規定による個人データの提供をやめた旨の届出を行った場合
その旨
p.28 / 2
読み込み中...
テキスト領域
選択中
非公開 (PII)
金融庁の新着公告を見逃さないために
Pro プランでは会社名・機関名・キーワードを監視条件として保存し、新着掲載を継続確認できます。14日間無料で試せます。
監視機能の詳細を見る →