個人情報保護法に基づく通知及び第三者提供の制限に関するガイドライン（金融分野）
令和7年4月22日|p.22
左の本文を選ぶと、右側の官報原文画像で該当箇所を照合できます。
20
(13)通知の時間的制限
協会員は、保護法報告対象事態を知ったときは、当該事態の状況に応じて速やかに、本人
への通知を行わなければならない。
「当該事態の状況に応じて速やかに」とは、速やかに通知を行うことを求めるものである
が、 個別の事案において、その時点で把握している事態の内容、
通知を行うことで本人の権利利益が保護される蓋然性、本人への通知を行うことで生じる弊
害等を勘案して判断する。
【その時点で通知を行う必要があるとはいえないと考えられる事例】
事例1) インターネット上の掲示板等に漏えいした複数の個人データがアップロードされ
ており、協会員において当該掲示板等の管理者に削除を求める等、必要な初期対
(合O6 場合)
応が完了しておらず、本人に通知することで、かえって被害が拡大するおそれが
ある場合
事例2)漏えい等のおそれが生じたものの、事案がほとんど判明しておらず、その時点で
本人に通知したとしても、本人がその権利利益を保護するための措置を講じられ
る見込みがなく、かえって混乱が生じるおそれがある場合
(14)通知の内容
本人へ通知すべき事項については、漏えい等報告における報告事項のうち、「概要」、「漏え
い等が発生し、又は発生したおそれがある個人データ(前項第(3)号に定める事態については、
同号に規定する個人情報を含む。次号において同じ。)の項目」、「原因」、「二次被害又はそのお
それの有無及びその内容」及び「その他参考となる事項」(解説(8)参照)に限られている。こ
れらの事項が全て判明するまで本人への通知をする必要がないというものではなく、本人へ
07 106 金 〃 127 月曜日曜日 127
の通知は、「当該事態の状況に応じて速やかに」行う必要がある。
本人への通知については、「本人の権利利益を保護するために必要な範囲において」行うも
のである。
また、当初保護法報告対象事態に該当すると判断したものの、その後実際には保護法報告
官口
対象事態に該当していなかったことが判明した場合には、本人への通知が「本人の権利利益
を保護するために必要な範囲において」行うものであることに鑑み、本人への通知は不要で
ある。
(注)第2項第(9)号に定める「その他参考となる事項」については、本人への通知を補完するた
め、本人にとって参考となる事項をいい、例えば、本人が自らの権利利益を保護するために
取り得る措置が考えられる。
【本人の権利利益を保護するために必要な範囲において通知を行う事例】
事例1) その原因を本人に通
知するに当たり、個人情報保護委員会に報告した詳細な内容ではなく、必要な内
容を選択して本人に通知すること。
日曜日 日 金曜日
事例2)漏えい等が発生した個人データの項目が本人ごとに異なる場合において、当該本
人に関係する内容のみを本人に通知すること。
(15)通知の方法
「本人への通知」 とは、 本人に直接知らしめることをいい、 事業の性質及び個人データの
取扱状況に応じ、通知すべき内容が本人に認識される合理的かつ適切な方法によらなければ
ならない。また、漏えい等報告と異なり、本人への通知については、その様式が法令上定め
られていないが、本人にとって分かりやすい形で通知を行うことが望ましい。
【本人への通知の方法の事例】
事例1)文書を郵便等で送付することにより知らせること。
事例2)電子メールを送信することにより知らせること。
(16)通知の例外
本人への通知を要する場合であっても、本人への通知が困難である場合は、本人の権利利
益を保護するために必要な代替措置を講ずることによる対応が認められる。
(注)代替措置として事案の公表を行わない場合であっても、当該事態の内容等に応じて、二次
被害の防止、類似事案の発生防止等の観点から、公表を行うことが望ましい。
【本人への通知が困難な場合に該当する事例】
事例1)保有する個人データの中に本人の連絡先が含まれていない場合
事例2)連絡先が古いために通知を行う時点で本人へ連絡できない場合
【代替措置に該当する事例】
事例1)事案の公表
(注)公表すべき内容は、個別の事案ごとに判断されるが、本人へ通知すべき内容を基本と
する。
事例2)問合せ窓口を用意してその連絡先を公表し、本人が自らの個人データが対象と
なっているか否かを確認できるようにすること
(参照条文:保護法26条、 施行規則7条から10条、 金融分野ガイド
ライン11条)
(第三者提供の制限)
第16条協会員は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ることなく、個人データ
を第三者(個人データを提供しようとする協会員及び当該個人データに係る本人のいずれにも該当
しないものをいい、自然人、法人その他の団体を問わない。以下同じ。)に提供してはならない。同
意の取得に当たっては、事業の規模及び性質、個人データの取扱状況(取り扱う個人データの性質
及び量を含む。)等に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な
範囲の内容を明確に示さなければならない。また、あらかじめ、個人情報を第三者に提供すること
を想定している場合には、利用目的において、その旨を特定しなければならない。
(1)法令に基づく場合
(2)人の生命、身体又は財産(法人の財産を含む。)の保護のために必要がある場合であって、本人
の同意を得ることが困難であるとき
(3)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同
意を得ることが困難であるとき
(4)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに
対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を
及ぼすおそれがあるとき
(5)学術研究機関等が個人データを提供する場合であり、かつ、当該個人データの提供が学術研究
の成果の公表又は教授のためやむを得ない場合(個人の権利利益を不当に侵害するおそれがある
場合を除く。)
(6)学術研究機関等が個人データを提供する場合であり、かつ、当該学術研究機関等と共同して学
術研究を行う第三者(学術研究機関等であるか否かを問わない。)に当該個人データを学術研究目
的で提供する必要がある場合(当該個人データを提供する目的の一部が学術研究目的である場合
を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)
(7) 当該学術研究機関等が
当該個人データを学術研究目的で取り扱う必要がある場合(当該個人データを取り扱う目的の-
部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除
く。)