文書番号 05_02
認定特定非営利活動法人育て上げネット

個人情報保護規程
第１章 総則(目的)第１条

本規程は、認定特定非営利活動法人育て上げネット（以下、「当法人」という。）の保有する個人情報の適切な管理のために必要な事項を定めることにより、当法人の業務の適正かつ円滑な運営を図るとともに、個人の権利利益を保護することを目的とする。

２

当法人における個人情報の取扱いに関しては、個人情報の保護に関する法律（平成１５年法律第５７号。以下「法」という。
）その他関係法令の定めるもののほか、この規程に定めるところによる。

(定義)
第２条

本規程において、次の各号に掲げる用語の意義は、当該各号のとおりとする。
①

個人情報
生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日、その他の 記述等により特定の個人を識別することができるもの（他の情報と照合することができ、それにより特定の個人を識別することができることとなるものを含む。
）をいう。

②

保有個人情報当法人の職員（④のとおり。以下同じ。
）が職務上作成し、又は取得した個人情報であって、当法人の職員が組織的に利用するものとして、当法人が保有しているものをいう。

③

保有個人データ
一定の事務の目的を達成するために特定の保有個人情報を電子計算機を用いて検索することができるように体系的に構成したものをいう。

④

職員
役員、職員、インターン等名称や雇用条件にかかわらず、当法人の業務及び活動にかかわるすべてのものをいう。

第２章 個人情報保護体制

(総括保護管理者)
第３条

当法人に、総括保護管理者１名を置き、事務局長をもって充てる。

２

総括保護管理者は、当法人における保有個人情報の管理に関する事務を総括する。

(個人情報保護担当者)
第４条

当法人に個人情報保護担当者１名を置き、総務担当プロジェクトマネージャーをもって充てる。

２

総括保護管理者の指揮、監督の下で保護管理者と連携を取り、保有個人情報保護管理の維持および充実に努める。

(保護管理者)
第５条

保有個人情報を取り扱う事業所に保護管理者１名を置き、当該事業所の長をもって充てる。

２

保護管理者は、事業所における保有個人情報を適切に管理しなければならない。

３

保護管理者は、自ら管理責任を有する保有個人情報の記録媒体、処理経路、保管方法等について、点検を行いその結果を個人情報保護担当者および担当執行役員に報告するものとする。保護管理者は必要に応じて総括保護管理者に報告する。

(監査責任者)
第６条

当法人に監査責任者１名を置き、総務担当執行役員をもって充てる。

２

監査責任者は、年１回定期的に全事業所の保有個人情報の管理の状況について監査を行い、また必要に応じて監査を行う。

３

前項の監査結果を総括保護管理者に報告する。

４

監査責任者は、監査の実施方法、内容、時期など監査実施計画書を作成する。

(重要事項の決定等)
第７条

当法人における情報セキュリティ・管理に係る重要事項の決定および変更は経営ボード会議にて行う。
２

前項の決定および変更の通達等は総務担当執行役員が行う。

第３章 保有個人情報の取扱い(職員の責務)第８条

職員は、法の趣旨に則り、関連する法令、この規程等の定めおよび総括保護管理者並びに保護管理者の指示に従い、保有個人情報を取り扱わなければならない。

２

職員は、その業務に関して知り得た個人情報の存否及び内容をみだりに他人に知らせ、又は不当な目的に利用してはならない。

(個人情報の保有の制限等)
第９条

職員は、個人情報を保有するに当たっては、業務を遂行するため必要な場合に限るものとし、かつ、保護管理者により許可された利用目的を特定し、個人情報収集時に明示しなければならない。

２

職員は、前項の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を保有してはならない。

３

職員が利用目的を変更するに当たっては、変更前の利用目的と関連性を有すると保護管理者並びに個人情報保護担当者に認められた範囲を超えて行ってはならない。

(利用目的の明示)
第１０条

職員が個人情報を取得するときは、法第１８条第４項各号に規定する場合を除き、あらかじめ、本人に対し、その利用目的を明示し同意を得なければならない。

２

職員が取得済の個人情報の利用目的変更を行う場合には、変更前の利用目的と関連性を合理的に有すると認められる範囲を超えて行う場合には、本人に対し、変更後の利用目的を明示し同意を得なければならない。

(適正な取得)第１１条

職員は、偽りその他不正の手段により個人情報を取得してはならない。

(正確性の確保)
第１２条

職員は、利用目的の達成に必要な範囲内で、保有個人情報が過去又は現在の事実と合致するよう努めなければならない。

２

職員は、保有個人情報の内容に誤り等を発見した場合には、保護管理者の指示に従い、訂正等を行わなければならない。

(利用及び提供の制限)
第１３条

職員は、法令に基づく場合を除き、利用目的以外の目的のために保有個人情報を自ら利用し、又は提供してはならない。但し、やむを得ず利用目的外に使用する場合は総括保護管理者の許可を得なければならない。

２

総括保護管理者は、個人情報保護担当者、保護管理者との協議の上、真にやむを得ないと判断した場合にのみ許可するものとする。

３

保有個人情報を提供あるいは共有するときは、保護管理者を通じて個人情報保護担当者の許可を得るものとし、原則として、提供あるいは共有先における利用目的、利用する業務の根拠法令、利用する記録範囲及び記録項目、利用形態等について書面を取り交わすものとする。
４

保有個人情報を提供あるいは共有する場合には、必要な安全確保の措置を要求し、必要があると認めるときは、提供前又は随時に実地の調査等を行い措置状況を確認して、その結果を記録するとともに、改善要求等の措置を講ずるものとする。

(業務の委託等)
第１４条

保有個人情報の取扱いに係る業務を外部に委託する場合には、個人情報の適切な管理を行う能力を有しない者を選定することがないよう、必要な措置を講じなければならない。

２

前項により外部に委託する場合には、当該契約書に、次に掲げる事項を明記するとともに、委託先における責任者等の管理体制、個人情報の管理の状況についての検査に関する事項等の必要な事項について書面で確認しなければならない。
（１） 個人情報に関する秘密保持等の義務（２） 再委託の制限又は条件に関する事項（３） 個人情報の複製等の制限に関する事項（４） 個人情報の漏えい等の事案の発生時における対応に関する事項（５） 委託終了時における個人情報の消去及び媒体の返却に関する事項（６） 違反した場合における契約解除その他必要な措置(取扱い制限)第１５条

保護管理者は、保有個人情報の秘匿性等その内容に応じて、当該保有個人情報を取り扱う権限を有する者をその利用目的を達成するために必要最小限の職員に限らなければならない。

２

取扱い権限を有しない職員は、保有個人情報を取り扱ってはならない。

３

職員は、取扱い権限を有する場合であっても、業務上の目的以外の目的で保有個人情報を取り扱ってはならない。

(複製等の制限)第１６条

職員は、業務上の目的で保有個人情報を取り扱う場合であっても、次に掲げる行為については、原則として禁止する。但し、やむを得ない場合は保護管理者の指示に従って行わなければならない。
（１） 保有個人情報の複製（２） 保有個人情報の送信（３） 保有個人情報が記録されている媒体の外部への送付又は持出し（４） その他保有個人情報の適切な管理に支障を及ぼすおそれのある行為

(媒体の管理等)
第１７条

職員は、保護管理者の指示に従い、保有個人情報が記録されている媒体を定められた場所に保管するとともに、必要があると認めるときは、耐火金庫への保管、施錠等を行わなければならない。

２

職員は、保有個人情報又は保有個人情報が記録されている媒体(端末及びサーバに内蔵されているものを含む。)が、不要となった場合には保護管理者の指示に従い、当該保有個人情報の復元又は判読が不可能な方法により、当該情報の消去又は当該媒体の廃棄を行わなければならない。

(消去の努力義務)
第１８条

職員は、保有個人情報を利用する必要が無くなったときは、遅滞なく消去するよう努めなければならない。

第４章 情報システムにおける安全の確保等(アクセス制御)第１９条

職員は、情報システムにおける保有個人情報にアクセスする際のパスワードは厳重に管理しなければならない。また、使用する PC 等にパスワードを記憶させてはならない。

(不正アクセス等の防止)
第２０条

総括保護管理者は、保有個人情報を取り扱う情報システムへの外部からの不正アクセスを防止するために必要な措置を講じ、保護管理者に実行させなければならない。

２

総括保護管理者は、コンピュータウイルスによる保有個人情報の漏えい、滅失又はき損の防止のため、コンピュータウイルスの感染防止等に必要かつ適切な措置を講じなければならない。

(入力情報の照合等)
第２１条

職員は、保有個人情報の重要度に応じて、入力原票と入力内容との照合、処理前後の保有個人情報の内容の確認、既存の保有個人情報との照合等を行わなければならない。

(バックアップ)
第２２条

保護管理者は、保有個人情報の重要度に応じて、バックアップを作成し、分散保管するために必要かつ適正な措置を講じなければならない。

(アクセス制限)
第２３条

保有個人情報を取り扱う情報システムへのアクセスは所属課所内及びその管理者に限るものとする。

(端末の管理)第２４条

保護管理者は、端末の盗難又は紛失の防止のため、端末の固定、執務室の施錠等の必要かつ適正な措置を講じなければならない。

２

職員は、保護管理者が必要と認めるときを除き、端末を外部へ持ち出し、又は外部から持ち込んではならない。

３

保護管理者は、職員が端末を使用に当たって、保有個人情報が第三者に閲覧されることがないよう、使用状況に応じて情報システムからログオフを行うことを徹底する等の必要かつ適正な措置を講じなければならない。

第５章 開示等請求への対応等(開示対象等)第２５条

個人情報の開示等の対象は、保有個人情報のうち、対象者本人の申告書面、職員の聞き取り等によって作成した書面及び保有個人データとする。但し、法第２５条各号に該当する場合には、開示等を行わないことができる。

(開示方法・担当部署)
第２６条

本人またはその代理人が個人情報の開示等を請求するときは、別紙「個人情報開示等請求書」を本部個人情報担当宛てに提出するものとする。

第６章 問題への対応等(安全確保上の問題への対応)
第２７条

保有個人情報の漏えい等安全確保の上で問題となる事案が発生した場合に、その事実を知った職員は、速やかに当該保有個人情報を管理する保護管理者に報告しなければならない。

２

保護管理者は、被害の拡大防止又は復旧等のために必要な措置を講ずるとともに、事案の発生した経緯、被害状況等について調査し、速やかに個人情報保護担当者を通じて総括保護管理者に報告しなければならない。ただし、特に重大と認める事案が発生したときは、直ちに 総括保護管理者に当該事案の内容等について報告しなければならない。
３

総括保護管理者は、前項の規定に基づく報告を受けたときは、事案の内容等に応じて、当該事案の内容、経緯、被害状況等について理事長に速やかに報告するものとする。

４

総括保護管理者並びに保護管理者は、個人情報保護担当者と協力の上で、事案の発生した原因を分析し、再発防止のために必要な措置を講じなければならない。

５

上記の実際の運用方法については、別途「危機管理マニュアル」に定めるものとする。

(安全確保上の問題の報告・公表)
第２８条

理事長は、前条の事案が発生したときは、事案の内容、影響等に応じて、総括保護責任者の助言のもとに事実関係及び再発防止策を公表し、当該事案に係る本人への対応等の措置を講ずるものとする。

２

理事長は、総括保護責任者の助言のもとにかかる事案について法令に基づく報告を行うものとする。

(苦情処理)
第２９条

保護管理者は、個人情報の取扱いに関する苦情又は意見があったときは、速やかに個人情報保護担当者に報告し、適切かつ迅速に処理するよう努めなければならない。

２

個人情報保護担当者は事案の内容、対応及び処理について、速やかに総括保護管理者に報告しなければならない。

（罰則）
第３０条

本規程に違反した者は、「情報セキュリティ・管理規程」に基づき処罰する。

付 則
この規程は、平成２６年８月１日から施行する。
平成２６年１０月１日 改定
平成２８年１１月１日 改定
平成３１年４月１日

改定