|
通信販売における個人情報保護ガイドライン
第１章ガイドラインの目的
（目的）
第１条このガイドラインは、社団法人日本通信販売協会（以下「当協会」という。）の会員である通信販売会社（以下「会員社」という。）が取り扱う個人情報の適切な保護のための指針となる事項を定め、会員社がその活動の実態に応じた個人情報保護のための実践遵守計画（コンプライアンス・プログラム）を策定することを支援し、促進することを目的をする。
第２章定義
（定義）
第２条このガイドラインにおいて、次の各号に掲げる用語の意義は、当該各号に定めるところによる。
(1)個人情報
個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述又は個人別に付された番号、記号その他の符号、画像若しくは音声により当該個人を識別できるもの（当該情報のみでは識別できないが、他の情報と容易に照合することができ、それにより当該個人を識別できるものを含む。）をいう。ただし、法人その他の団体に関して記録された情報に含まれる当該法人その他の団体の役員に関する情報を除く。
(2)個人情報管理者
会員社の内部において代表者により指名された者であって、個人情報の収集、利用又は提供の目的及び手段等を決定する権限を有する者をいう。
(3)受領者
個人情報の提供を受ける者をいう。
(4)情報主体の同意
情報主体が自己に関する個人情報の取扱いを承諾する意思表示を行うことをいう。ただし、通信販売の取引における意思表示には、署名押印、口頭による回答等の明示的方法による意思表示のほか、反対の意思を表明しない等の黙示的方法による意思表示を含めることができるものとする。
第３章ガイドラインの適用範囲
（対象となる個人情報）
第３条このガイドラインは、会員社の内部において、その全部又は一部が電子計算機、光学式情報処理装置等の自動処理システムにより処理されている個人情報を対象とし、自動処理システムによる処理を行うことを目的として書面等により処理されている個人情報についてもこれを適用する。
（ガイドラインの拡張）
第４条会員社は、このガイドラインに基づく実践遵守計画を策定する場合において、個人情報の適切な保護の目的の範囲内において、会員社の活動の実態に応じた項目を追加し、又は修正することができる。
第４章メール・プリファランス・サービス
（メール・プリファランス・サービス）
第５条会員社は、当協会がプライバシー保護のため行なっているメール・プリファランス・サービスへの申込者に対しては、カタログ、ダイレクトメール等の送付を行なわないものとする。また、会員社に対するメール・プリファランス・サービスの申込者についても、当該会員社は、カタログ、ダイレクトメール等の送付を行なわないものとする。
第５章個人情報の収集に関する措置
（収集範囲の制限）
第６条個人情報の収集は、収集する会員社の正当な事業の範囲内で、収集目的を明確に定め、その目的の達成に必要な限度においてこれを行うものとする。
（収集方法の原則）
第７条個人情報の収集は、適法かつ公正な手段によって行うものとする。
（特定の機微な個人情報の収集の禁止）
第８条次に掲げる種類の内容を含む個人情報については、これを収集し、利用し又は提供してはならない。ただし、当該情報の収集、利用又は提供についての情報主体の明確な同意がある場合、法令に特段の規定がある場合及び司法手続上必要不可欠である場合については、この限りではない。
(1)人種及び民族
(2)門地及び本籍地（所在都道府県に関する情報を除く）
(3)信教（宗教、思想及び信条）、政治的見解及び労働組合への加盟
(4)保健医療及び性生活
（情報主体から直接収集する場合の措置）
第９条情報主体から直接に個人情報を収集する際には、情報主体に対して、少なくとも、次に掲げる事項又はそれと同等以上の内容の事項を書面により通知し、当該個人情報の収集、利用又は提供に関する同意を得るものとする。ただし、既に情報主体が、次に掲げる事項の通知を受けていることが明白である場合及び情報主体により不特定多数の者に公開された情報からこれを収集する場合には、この限りでない。
(1)会員社内部の個人情報管理者又はその代理人の氏名又は職名、所属及び連絡先
(2)個人情報の収集及び利用の目的
(3)個人情報の提供を行うことが予定される場合には、その目的、当該情報の受領者又は受領者の組織の種類及び属性
(4)個人情報の提供に関する情報主体の任意性及び当該情報を提供しなかった場合に生じる結果
(5)個人情報の開示を求める権利及び開示の結果、当該情報が誤っている場合に訂正又は削除を要求する権利の存在並びに当該権利を行使するための具体的方法
（情報主体以外から間接的に収集する場合の措置）
第10条情報主体以外から間接的に個人情報を収集する際には、情報主体に対して、少なくとも、前条(1)から(3)まで及び(5)に掲げる事項を書面により通知し、当該個人情報の収集、利用又は提供に関する同意を得るものとする。ただし、次の(1)から(4)までに掲げるいずれかの場合においては、この限りではない。
(1)情報主体からの個人情報の収集時に、あらかじめ自己への情報の提供を予定している旨前条(3)に従い情報主体の同意を得ている提供者から収集を行う場合
(2)提供される個人情報に関する守秘義務、再提供禁止及び事故時の責任分担等の契約の締結により、個人情報に関して提供者と同等の取扱いを担保することによって個人情報の提供を受け、収集を行う場合
(3)既に情報主体が、前条(1)から(5)までに掲げる事項の通知を受けていることが明白である場合及び情報主体により不特定多数の者に公開された情報からこれを収集する場合
(4)正当な事業の範囲内であって、情報主体の保護に値する利益が侵害されるおそれのない収集を行う場合
第６章個人情報の利用に関する措置
（利用範囲の制限）
第11条個人情報の利用は、原則として収集目的の範囲内で行うものとする。
（目的内の利用の場合の措置）
第12条収集目的の範囲内で行う個人情報の利用は、次の(1)から(6)までに掲げるいずれかの場合にのみこれを行うものとする。
(1)情報主体が同意を与えた場合
(2)情報主体が当事者である契約の準備又は履行のために必要な場合
(3)会員社が従うべき法的義務のために必要な場合
(4)情報主体の生命、健康、財産等の重大な利益を保護するために必要な場合
(5)公共の利益の保護又は会員社若しくは個人情報の開示の対象となる第三者の法令に基づく権限の行使のために必要な場合
(6)情報主体の利益を侵害しない範囲内において、会員社及び個人情報の開示の対象となる第三者その他の当事者の合法的な利益のために必要な場合
（目的外の利用の場合の措置）
第13条収集目的の範囲を超えて個人情報の利用を行う場合又は前条(1)から(6)までに掲げるいずれの場合にも当たらない個人情報の利用を行う場合においては、少なくとも、第９条(1)から(3)まで及び(5)に掲げる事項を書面により通知し、あらかじめ情報主体の同意を得、又は利用より前の時点で情報主体に拒絶の機会を与える等、情報主体による事前の了解の下に行うものとする。
第７章個人情報の提供に関する措置
（提供範囲の制限）
第14条個人情報の提供は、原則として収集目的の範囲内で行うものとする。
（目的内の提供の場合の措置）
第15条収集目的の範囲内で行う個人情報の提供は、少なくとも、第９条(1)から(3)まで及び(5)に掲げる事項を書面により通知し、あらかじめ情報主体の同意を得、又は提供より前の時点で情報主体に拒絶の機会を与える等、情報主体による事前の了解の下に行うものとする。ただし、次の(1)から(4)までに掲げるいずれかの場合においては、この限りではない。
(1)情報主体からの個人情報の収集時に、あらかじめ当該情報の提供を予定している旨第９条(3)に従い情報主体の同意を得ている受領者に対して提供を行う場合
(2)提供した個人情報に関する守秘義務、再提供禁止及び事故時の責任分担等の契約の締結により、個人情報に関する自己と同等の取扱いが担保されている受領者に対して提供を行う場合
(3)受領者が当該個人情報について改めて第９条(1)から(5)までに掲げる事項を提供し、情報主体の同意を得る措置を採ることが明白である場合
(4)正当な事業の範囲内であって、情報主体の保護に値する利益が侵害されるおそれのない提供を行う場合
（目的外の提供の場合の措置）
第16条収集目的の範囲を超えて個人情報の提供を行う場合又は前条(1)から(4)までに掲げるいずれの場合にも当たらない個人情報の提供を行う場合においては、情報主体に対して、少なくとも、個人情報の受領者に関する第９条(1)から(3)まで及び(5)に相当する事項を書面により通知し、情報主体の同意を得るものとする。この場合において、第９条(1)中「会員社」とあるのは「受領者」と、第９条(3)中「提供」とあるのは「再提供」と読み替えるものとする。ただし、既に情報主体が、当該事項の通知を受け包括的な同意を与えていることが明白な場合は、この限りでない。
第８章個人情報の適正管理義務
（個人情報の正確性の確保）
第17条個人情報は利用目的に応じ必要な範囲内において、正確かつ最新の状態で管理するものとする。
（個人情報の利用の安全性の確保）
第18条個人情報への不当なアクセス又は個人情報の紛失、破壊、改ざん、漏えい等の危険に対して、技術面及び組織面において合理的な安全対策を講ずるものとする。
（個人情報の秘密保持に関する従事者の責務）
第19条会員社の内部において個人情報の収集、利用及び提供に従事する者は、法令の規定又は会員社の内部の個人情報管理者が定めた規程若しくは指示した事項に従い、個人情報の秘密の保持に十分な注意を払いつつその業務を行うものとする。
（個人情報の委託処理に関する措置）
第20条会員社が、情報処理を委託する等のため個人情報を外部に預託する場合においては、十分な個人情報の保護水準を提供する者を選定し、契約等の法律行為により、個人情報管理者の指示の遵守、個人情報に関する秘密の保持、再提供の禁止及び事故時の責任分担等を担保するとともに、当該契約書等の書面又は電磁的記録を個人情報の保有期間にわたり保存するものとする。
第９章自己情報に関する情報主体の権利
（自己情報に関する権利）
第21条情報主体から自己の情報について開示を求められた場合は、原則として合理的な期間内にこれに応ずる。また開示の結果、誤った情報があった場合で、訂正又は削除を求められた場合には、原則として合理的な期間内にこれに応ずるとともに、訂正又は削除を行った場合には、可能な範囲内で当該個人情報の受領者に対して通知を行うものとする。
（自己情報の利用又は提供の拒否権）
第22条会員社が既に保有している個人情報について、情報主体から自己の情報についての利用又は第三者への提供を拒まれた場合は、これに応ずるものとする。ただし、公共の利益の保護又は会員社若しくは個人情報の開示の対象となる第三者の法令に基づく権限の行使又は義務の履行のために必要な場合については、この限りでない。
第１０章組織及び実施責任
（代表者による個人情報管理者の指名）
第23条会員社の代表者は、このガイドラインの内容を理解し実践する能力のある者を会員社の内部から１名指名し、個人情報管理者としての業務を行わせるものとする。
（個人情報管理者の責務）
第24条会員社における個人情報管理者は、このガイドラインに定められた事項を理解し、及び遵守するとともに、従事者にこれを理解させ、及び遵守させるための教育訓練、内部規程の整備、安全対策の実施並びに実践遵守計画（コンプライアンス・プログラム）の策定及び周知徹底の措置を実施する責任を負うものとする。
第１１章その他
（通信網を利用して電磁的記録を送受信する場合の通知）
第25条通信網を利用して電磁的記録を送受信する場合において、送受信の相手先に関する個人情報を通信網により収集する会員社については、送受信の相手先たる情報主体に対しては、このガイドライン第９条、第10条、第13条、第15条及び第16条に定める情報主体への書面による通知に代えて、電磁的記録の送信の方法による通知を行うことができる。
附則
１．このガイドラインは、平成１０年３月１０日から施行する。
２．平成３年７月９日制定の通信販売における個人情報保護ガイドラインは、このガイドラインの施行の時をもって廃止する。
|
