個人情報保護プログラム

個人情報保護プログラム
Braccoグループの個人情報保護ポリシーは、原則・権利・義務そして責任等についてまとめて概説しており、これはこの文書を受け取った全ての人が遵守しなければならない事項です。
Braccoグループでは適切な組織的措置を講じることで、個人情報保
護と保全のための要件を実施しています。
Braccoグループ各社は 上記原則を実施し、適用されるポリシーに準拠して、ITセキュリティを含むがそれに限定されない適切な技術的措置を講じ、情報保護プログラムに適応させるために、ニーズや地域毎の社会的背景、法律や規制の枠組みに沿った附則を定義することができます。但し、いずれの場合も法律や本文書によって定められた原則の枠を越えて義務を課すことはできません。

“私たちは当社グループ内で働く全ての人はビジネス上の取引、またその関係において最高水準の国際的個人情報保護基準を遵守する必要があると考えています。私たちはビジネスの場がどこであれ、個
人情報保護を保証するために効果的なシステムを導入し、それを強化していくことを目指しています。“Diana Bracco
Chairwoman and CEO of the Bracco Group

4

5

6

ブラッコは、あらゆるデータ対象者の個人情報を保護することにコミットしています。顧客、従業員
臨床試験参加者及び、ビジネス・パートナーの個
人情報を含め、データ対象者の個人情報を、私たちがビジネスを行っている各国で適用される最高水準の個人情報保護法および規制に従って保護します。
Fulvio Renoldi Bracco
Vice Chairman and CEO of Bracco Imaging SpA

1

目的This document provides guidance

本プログラムは、個人情報保護に関するブラッコグ
ループ倫理規定を、下記にあげる諸事項と併せて(general principles) to Companies of the

理解して頂くものです:

Bracco Group to follow when processing(i) 用語集 (関連する用語や略語の定義)(ii) 個人情報保護ガイドライン

Personal Data, at global and local levels,(iii) 適用される個人情報保護に関する各国のSOP (実際には、本プログラムおよび個人情報保to ensure compliance with applicable laws

護ガイドラインに記載された原則および手順を展開するために、Braccoグループ各社は、個人情報保and regulations, and to enable the uniform

護ガイドラインに添付されたテンプレートに基づいて、その国のSOPを採用する必要があるかどうかを評価

management of activities involving

する必要があります)。

the Processing of Personal Data across

Braccoの個人情報保護プログラムは、個人情報

the Bracco Group.

イントラネットで公開され、またプライバシー及び個人保護の重要性を従業員に伝えるために、Braccoの
情報保護のコミットメントを果たすために、Bracco
グループが講じた措置を第三者に説明するためにグ
ループのウェブサイトで公開されています。

8

2

適用範囲
Braccoグループ各社は個人情報の収集・使用・保存・開示に当たっては本プログラムを遵守する必要があります。これは当該情報の対象が従業員・医療関係者・臨
床研究に係る患者・顧客またはビジネス・パートナー等、いずれに関わるものであっても適用され、且つその情報処理を自らのために行っている場合も（つまり情報管理者として）第三者のために行っている場合も（つまり情報処理者として）同様です。更に情報管理者としてのBraccoグループ各社が、個人情報を含む情報の処理を処理業者に任せた場合も適用されることになります。

and local SOPs.

情 報 保 護 の 分 野 に お い て は Centro Diagnostico
Italianoが、その固有の事業に鑑み、独自のポリシーと手順を実行しています。
適用される法律や規制条項と本プログラムの条項の間で矛盾や不整合が生じた場合には、法律や規制が優先されます。グループ各社は、本プログラムの原則を遵守することを妨げるような法律や規制を確認した場合は、グループの情報保護責任者に遅滞なく通知しなくてはなりません。(但しその様な通知をすることが 管轄の監督
当局から禁止されている場合を除きます)。
適用される個人情報保護法や規制より本プログラムの方が厳しい場合は、本稿に述べた一般原則が優先されることとします。
9

3

関連部門
GroupPrivacyCommittee;GroupDataProtection
Officer; Local Data Protection Officers or Privacy
Focal Points; Processing Owners; Delegatesof Processing Owners; Information Technology
Services (ITS) Department.

4

責任本プログラム、個人情報保護ガイドライン及び関連 従業員もしくは代理人が個人情報保護規則の違SOPを遵守することは、全ての部門、管理職者、従 反に関する申し立てをした場合、その人はいかなる業員（雇用形態・役職に拘わらず）、協力者、並び ハラスメント、報復、差別からも保護され、身元はにBraccoグループのためにもしくはグループの名のもと機密保持されます。

に働いている全ての人の責任です。

本個人情報保護プログラム、情報保護ガイドライン及本プログラム、個人情報保護グローバルガイドライン、 び各国のSOPや適用法等を遵守しないことにより、結SOP、または適用される法律や規制に対する違反 果として違法行為に当たる可能性があります。
の申し立ては、グループ情報保護責任者

Braccoグループ各社 は意図的もしくは過失から情（dpo@bracco.com）及び／または内部告発

報保護基準に違反した従業員に対し適正な懲罰

チャネルを通じて送ることができます。

処分を科す権利を有しており、適切な改善を求め

email: corporateIA@bracco.com

ることができます。

IT tool: http://bracco.mrowhistle.com
ホットライン: tel. +39 02. 21772607

10

11

5

一般原則

Braccoグループ各社は以下の一般原則を遵守する

データ主体に提供される情報は簡潔で分かりやすく必要があり、これは個人情報を自らのために（つまり情明確でなければなりません。情報は口頭・書面その他

報管理者として）扱う場合も第三者のために（つまり（必要に応じて電子的な方法）の方法で提供され情報処理者として）扱う場合も収集・処理・保存・移ます。

転または開示する場合には常に適用されます。本稿に適用される法律では情報管理者がデータ主体に記載されている原則及び適用される法律または規

通知することを必要としていない場合でも、Bracco

制を遵守していることを示すために必要な文書はグループ各社は情報処理が透明性を以って行われ全て保存するものとします。

るよう適切な対策を取らなくてはなりません。
（例：情報通知を管理者である会社のwebサイトに掲載し、電子メールの最後にリンクを張る等）

5.1. 処理の合法性、公正性、透明性
個人情報は透明性のある方法で公正に収集し処理する必要があります。
Braccoグループ各社が情報管理者として作業をする場合は個人情報を処理するための合法的根拠を有している必要があります。処理活動の合法的な根拠が「正当な利益」である場合は、特定された正当な利益が情報対象者の利益または権利、自由に優先するものであることを確認するため、正当な利益評価を実施する必要があります。処理作業の法的根拠が同意に基づいたものである場合、当該処理の管理に携わる部門はその同意が自由意思に基づいてなされ、具体的かつ十分に情報が与えられたうえで同意されたこと、曖昧なものではな
く、またその同意が適切に文書化されていることを確認しなければなりません。
また処理作業の管理に携わる部門は適用される
個人情報保護法に基づき、データ主体が情報処理及び第三者への開示の目的に係わる必要な情報を全て受領することを保証する必要があります。

12

5.2. 目的の制限
個人情報は特定の正当な目的のためにのみ収集・処理することができます。データ主体は情報管理者から個人情報処理に関する適切な情報を全て受け取る必要があります。個人情報はデータ主体に連絡したのとは適合しない方法で処理することはできません。
個人情報がBraccoグループ各社間で転送される
場合:• 開示者は受取者に処理の当初の目的を伝える
こととします。

• 受取者は情報処理・保存に当たっては当初の目的を考慮に入れなければなりません。
目的の変更は新しい目的に関する適切な情報がデータ主体に対し伝えられてその同意が得られた場
合、もしくは別の適切な法的根拠が適用される場合のみ可能です。

5.5. 保存の制限
個人情報の保存期間は目的を達成するために厳密に必要な期間に限定されます。
個人情報の匿名化は早い段階で使用目的に照らし可能かつ適切な範囲において、特に要配慮カテゴリの個人情報に対して行われなければなりません。
個人情報の匿名化が可能でないもしくは適切では5.3. データの最小化

ない場合、情報処理に携わる部門は適切な保存期間を確定し、そのための適切な手順を定義する

Braccoグループ各社は処理の目的に必要な適切必要があります。当該保存期間が終了した時点でで関連性のある情報のみを収集または取得しなけ

手順に従い情報を消去しなくてはなりません。

ればなりません。
また個人情報を使って更に処理をする明確な目的を確定せず「念のため」という理由で保持することは許されません。

5.6. 個人情報の要配慮カテゴリの処理に関する制限
個人情報の要配慮カテゴリにはデータ主体の人種

5.4. 情報の品質と完全性
Braccoグループ各社 は収集・取得した個人情報が事実上正しいことを確認し、可能な限り最新の状態であることを確実にしなければなりません。特にデータ主体から自身の情報が不正確である旨連絡があった場合は速やかに修正・訂正等適切な対応を取る必要があります。

的または民族的出自、政治的見解、宗教または哲学的信念または労働組合への加入状況等を、
直接的・間接的に明らかにする情報や、遺伝子情報、人を特定することだけが目的で使用されるバイ
オメトリックデータ、データ主体の健康状態、性生
活、性的志向に関する情報が含まれます。要配慮
カテゴリ情報及び有罪判決と犯罪に関する情報は配慮を要する性質であること、またその機密性の高さのため特別な規則のもと取り扱うこととします。

13

• 不定期に発生する移転の場合

要配慮カテゴリ及び犯罪歴情報を合法的に処理するため、合法的な根拠及び別途規定する条件• データ主体が明確に移転に合意している場合

は、適用される保護の法や規制に沿って特定する• データ主体 と情報管理者間の契約履行に移必要があります。

転が必要な場合または データ主体からの要求による契約締結前の措置の実施に移転が必
要な場合• 移転がデータ主体の利益になる、管理者もしく

5.7. 登録、承認及び通知

は他の人または法人との契約締結または履行

Braccoグループ各社は事業を行う国の登録・承に必要な場合認また通知義務を適切に行う責任があります。情• 移転が公共の利益の重要な事由のために必報処理に携わる部門はそのため、個人情報処理を

要な場合

含むプロジェクトまたは取り組み開始の前に、また処• 移転が法的主張の立証、行使または抗弁の理業務を行う全期間において、必要な登録届出ために必要な場合書を提出し必要な承認を取得し、適用される法、• データ主体が物理的もしくは法的に同意を与え規制及び勧告に従って管轄情報保護機関に通知ることができない場合において移転が情報対を送ることとします。

象者やその他の人の重大利益の保護のため必要な場合• 登録機関からの移転が公衆への情報提供を

5.8. 個人情報の移転目的とし、且つその移転につき、一般公衆もし国をまたいでの個人情報の移転 (Braccoグループ

くは正当な利益があることを説明できる者いず

各社間を含む) は当該情報が適切に保護されてれからの相談にも対応できる場合。ただし、いる場合のみ許されます。EU圏内における個人情

個々の案件において適用法により定められた

報の移転は、情報が合法的に収集され、適用され条件を充足する場合

る法及び規制に沿って処理されたものであれば基EU加盟国からそれ以外の国に移転された個人情

本的に許容されます。

報の更なる移転は、上記条件のいずれかを充足す

EU諸国からそれ以外の国に移転する場合は以下の条件のいずれかに当てはまる場合のみ許されます。
• 欧州委員会が受領国について十分な個人情報る場合のみ許容されます。いずれの場合も、
Braccoグループ各社からEU加盟国以外の国へ
個人情報を移転する場合は、個人情報を送る前

保護水準を確保していると認定した国に適切な情報を得ることとします。 スイスまたは英• 情 報 送 信者と 受信者の 間で 標準契約条項

国から個人情報を移転する場合も同様の規則を（SCC）もしくは拘束的企業基準（BCR）が適用します。これらの国においては現地の法律、規合意されている場合制、および勧告が変更された場合はそれに従うこととします。
その他のEU非加盟国（例えば中国本土）からの個人情報の移転はそれが現地国の法律、規制、及び勧告に則って行われる場合のみ許容されます。
14

5.9. セキュリティ対策
Braccoグループ各社は個人情報保護リスクの防止と情報侵害の影響軽減のため各処理活動に対して適切な管理メカニズムとセキュリティ対策を定義し実施する必要があります。
Braccoグループ各社は既存の活動ごとに、または個人情報処理に係わる新しい活動の実施の前に 、個人情報への偶発的もしくは違法な破壊や紛失、改ざん、不正な開示やアクセスを避けるため、適切な技術的・組織的対策を取る必要があります。 セキュリティ対策は特に下記事項を含んでいる必要があります。
• 個人情報の仮名化、匿名化、暗号化;• 技術的・組織的なセキュリティ対策の有効性を定期的にテスト・評価・査定する適切なプロセス

5.10. 従業員に対する研修
Braccoグループ各社は個人情報を取り扱う全ての従業員に対して教育研修を実施する必要があります。
データ保護研修において当該従業員はBraccoグ
ループ内において遵守すべきデータ保護基準に係わる全ての必要な情報並びに本プログラム、個人
情報保護ガイドライン、関連手順やSOP並びに適用される法や規制に係わるリスクについて学ぶ必要があります。

• 情報セキュリティ（例：個人情報への物理的論
理的アクセスの制御• 処理システムの機密性・完全性を保護するための適切なプロセス• 物理的または技術的なインシデントが発生した
場合、適時に個人情報の可用性及びそれに対するアクセスを復元する適切なプロセス

15

6

付加的原則
上記に記した一般原則に加えて、Braccoグループ

本プログラムを遵守する責任があります。

各社は情報保護ガイドライン及び適用されるSOPに示されている通り、下記事項に関する追加的原則も遵守する必要があります。
(i)

情報侵害

(ii)

プライバシー “バイデザイン”と”バイデフォルト”

A. 情報侵害報告

従業員による情報侵害報告
Braccoグループ各社は従業員及び事業協力者に(iii) データ主体の権利の管理

対し、情報侵害が実際に起きたまたは潜在的に存(iv) 処理活動の記録の管理と更新(v)

在する或いは疑いがある場合は以下の通り報告を情報保存行うよう周知徹底しなければなりません: (i) ITに係わる事項の場合は速やかにサービスデスクに報告す(vi) 情報処理業者との関係の管理

る ( 例： サ イバー アタッ ク、PCの紛失 等 ) ;(ii)IT関連以外の場合は当該管轄部門に報告す

6.1 情報侵害に関する一般原則

る (例 権限のない人の物理的侵入)

Braccoグループ各社は下記原則に従って潜在的な情報侵害の防止、特定及び是正のための適切なプロセス及び手順を導入する必要があります。
Braccoグループ各社の従業員やコントラクターは
情報侵害が実際に起きた、もしくは潜在的に存在する或いは疑わしい場合には管轄の部門に報告す
る責任があります。
また情報侵害を管理し、個人情報保護ガイドライン及び関連手順やSOPの実施に携わる部門には
16

情報処理業者による情報侵害報
告情報処理業者との契約交渉及び締結をする担当
部門は、処理者が管理者から託された個人情報に関する情報侵害またはその疑いに気づいた場合、速やかに管理者に報告する義務が契約書に盛り込まれていることを確認する必要があります。

他の対象者による情報侵害報告
Braccoグループ各社はデータ主体並びにその他外部の利害関係者に対し、情報侵害が実際に起きた、または潜在的或いは疑いがある場合の報告手段及び、それぞれの国における情報保護管理者もしくは統括部門のemailアドレスを通知する必要があります。

B. 情報侵害の管理
情報侵害の管理に携わる全ての部門はその影響を最小限に留め再発を防止するため、当該事象が速やか且つ適切に 処理されていることを確認しなけ
ればなりません。

社内通知
Bracco各社は個人情報侵害が確認または認識された場合、速やかにグループの情報管理責任者、
当該国の情報管理責任者または個人情報管理の中心となっている部門及びIT部門に報告する必要があります。

リスクアセスメント
個人情報侵害の管理に携わる部門は速やかにリスクアセスメントを行う必要があります。アセスメントには少なくとも下記要素が含まれている必要があります。
(i) 侵害の詳細及びその状況 (つまり 機密性の喪失、完全性の喪失、可用性の喪失、悪意等)(ii) 侵害の対象になった個人情報のカテゴリ（基本個人情報、職歴／経済的情報、要配慮カ
テゴリ個人情報または有罪判決及び犯罪行為等）(iii) 侵害されたデータ主体の推定数(iv) データ主体の識別の容易さの評価

侵害した個人情報が分かりやすいか否か（つまり暗号化や仮名化で保護されているか否か）(vi) 上記要素に基づいた、関連するリスクレベルの評
価(v)

管轄の個人情報保護当局への通知
情報侵害は個人情報保護を管轄する当局及び場合によっては適用される法と規制に沿って、その他の監督機関に通知する必要があります。
通知は遅滞なく行う必要があり、いずれの場合も各国の法律や規制で指定された期間内に行う必要があります。
通知は少なくとも下記内容を含んでいる必要があります:
侵害された個人情報の性質、該当するデータ
主体のカテゴリと概数及び侵害された個人情報のカテゴリ(ii) 必要に応じて、グループの情報保護管理責任者、当該地区の情報保護管理責任者名前と連絡先詳細(iii) 個人情報侵害の結果として起こりうる事項(iv) 侵害への対処及びその影響を最小限に留めるために管理者によって講じられたまたは提案
された対策
(i)

データ主体への連絡

Braccoグループ各社 は 適 用 さ れ る 法 や 規 制に基づいて、または当局から要請された場
合は個人情報侵害をデータ主体に連絡することとします。
データ主体への連絡はデータ主体に対して高いリス
クがあると思われる場合には特に必要です。 但し
矛盾する法律または規制の規定に従い、下記に示
す条件にあてはまればデータ主体への連絡は必要
ではありません。

17

(i)

被害にあった法人が侵害前に適切な技術的且つ組織的保護対策を講じていた場合（例：
暗号化等によって情報へのアクセスを許可されていない人には理解できないような対策が施さ
れていた）

(ii)

被害にあった法人がデータ主体に対するリスクが具現化する可能性が無いように事後的な措置を講じた場合 (例 情報を不正利用した人物を特定し、それ以上その個人が当該情報を使用することはいかなる方法でも無くなった)(iii) データ主体に連絡するために過度の尽力が必要な場合。この場合は情報対象者に対し効率的に情報が伝わる様な公的な連絡手段または同様の方法をとることとします（例 被害にあった法人のwebサイトのバナーを通しての連絡）
データ主体への連絡は明確で明瞭な言語でなされ、且つ少なくとも下記情報を含むものとします。
(i)

グループの情報保護管理責任者、当該国の情報保護管理責任者または個人情報管轄部門の名前、連絡先等詳細(ii)

すなわち、個人情報保護対策を、プロジェクトや新たな取り組みの開始前から考慮に入れておくということです。各法人は本グローバル・プログラムもしくは適用される法や規制によって必要とされる場合はデータ保護
影響評価（または現地法によって求められる同様の分析）を実施し、データ主体の権利を守るための
適切な保護手段を特定しなければなりません。
新しいプロジェクトの開始や既存の処理活動を変更するために関連するグローバル手順や当該SOPを実施するにあたり、本プログラム及びグローバル個
人情報保護ガイドラインを遵守する責任は全ての関連部門にあります。

A. プライバシー・バイデザインとバイデフォルト
Braccoグループ各社は個人情報処理を伴う新しい活動の場合はバイデザイン、既存の活動についてはバイデフォルトで、適用される個人情報保護法および規制を効果的に遵守し、個人情報を保護する
ための適切な措置を実施することとします。
処理活動を管理する部門は処理活動の目的に必要な個人情報のみが収集され処理されていることを徹底する必要があります。また個人情報保護と情報侵害の結果起こり得る事象(iii) 侵害に対処し影響を最小限に留めるために管理者が講じた対策または講じる予定の対策

情報侵害を防ぐために、安全対策を含む適切な保護対策が取られていることを確認しなければなりません。

B. データ主体に対するリスク分析及びデータ保護影響評価

6.2 プライバシー・バイデザインとバイデフォルトに係わる一般原則
Braccoグループ各社はプライバシー・バイデザインと新規プロジェクトまたは既存のプロジェクト

バイデフォルトからアプローチする必要があります。

や活動に関するリスクアセスメント
個人情報処理を含む新規プロジェクト開始前または
18

既存の活動の更新の際(例 既存プロジェクトに対し新しい方法を使用する)、関連部門は新しい、もしくは更新された取り組みのリスクを確定しなければ(vi) 処理に複数のデータセットの組み合わせや照合が含まれる場合(vii) 個人情報が大規模で処理されている - 処理が大規模に行われているかどうかを定義するためになりません。こうした評価はプライバシーツールを利は、以下の要因を考慮する必要があります: 当

用して実行することも可能です。

該データ主体の人数; 情報量及び／又は異データ主体に対し高いリスクの可能性がある新たななる情報項目の範囲、情報処理期間または永処理活動は、更なる分析が行われない限り開始することは出来ません。この分析は適用される法や規制によって必要となる、情報対象者の権利を保護

続性、処理活動の地理的範囲(viii) 処理が技術的または組織的なソリューションの革新的な利用や活用を含む場合(例 物理的なアするための措置を特定することを目的に実施する情クセスコントロールのための指紋と顔認証の組み報保護影響評価を含むものとします。

情報保護影響評価が必要であるか否かの評価

合わせ);(ix) 処理自体がデータ主体の権利の行使、サービスや契約の利用を妨げる場合

情報保護影響評価 (“DPIA”) (もしくは同等の、適用される法や規制により必要な分析) は処理活動がその内容、範囲、状況や目的等からデータ主体の権利や自由に対し高いリスクがあると判断されるものに対して開始前に行う必要があります。
DPIAを実施するかの判断には特に以下の基準を考慮する必要があります。
(i)

DPIAの目的は処理活動に係わるリスクレベルを特定し、処理の必要性及び比率性を評価することです。
DPIA実施には少なくとも以下のステップを含むこととします。
(i)

処理に法的または同等の重大な影響のある自動意思決定が含まれる場合（例 処理が個人に対する疎外や差別につながる可能性がある場合）(iii) 処理に体系的なモニタリングが含まれる場合（つまりデータ主体を監視、観察、管理する目的で使用されるもの）(iv) 処理に個人情報の要配慮カテゴリもしくは高度処理状況の分析。この分析には、処理の性
質、範囲、状況、目的、およびリスクの原因の処理に評価や採点が含まれる場合（プロファイリ
ングや活動予測が含まれるもの）(ii)

DPIAの実行

特定を含むものとします。
(ii)

データ主体にとっての固有のリスクの可能性及び重大さの評価。

(iii) リスクを軽減し、個人情報を保護し、適用される法令を遵守するために考慮された措置。
DPIA は単一の処理活動、または性質、範囲、状況、目的、リスクの点で類似した一連の処理活動を対象とします。

に個人的な要素が強い情報が含まれる場合(v)

処理に脆弱なデータ主体の個人情報が含まれる場合（例 子供に関する情報）

19

各DPIAは定期的に、特に評価が行われた新しい A. 一般原則
取り組みに変更があった場合には、見直しを行う必要請の収集
要があります。
高いリスクをもたらす可能性のある処理活動は、DPIA データ主体には、自らの権利を行使するために利用によって、内在するリスクが実際には起こりえない、また できる公式の手段（グループ情報保護責任者及びは深刻な結果をもたらさないことが実証された場合に 該当する場合は各国の情報保護責任者への電子メールの送信、関連会社への手紙の送付、会社のウェのみ実施することができます。
ブサイト上のオンラインフォームへの記入など）について説明しなければなりません。要請の中には、公式では監督当局への相談
関係部署は、リスクを最小化するための対策が無 ない方法で受け取ることができるものもあります（デいと処理が高リスクになることがDPIAで示されてい ータ主体とBraccoグループ各社の従業員との電話る場合、および適用される法令で予見される場合 または対面での会話、会社のウェブサイトのコンタクには、処理の実施に先立って管轄の個人情報保 トセクション、従業員へのemailなど）そのような要求は、直ちにグループ情報保護責任者に、また該
護監督当局に相談するものとします。
Braccoグループ各社は個人情報保護監督当局 当する場合は各国の情報保護責任者に転送されからのいかなる助言にも従い決定を遵守 することと るものとします。
します。

要請の取り扱い

6.3 情報対象者の権利の管理に係わる一般原則

Braccoグループ各社はデータ主体が、適用される
個人情報護法および規制によって与えられた権利を行使できるようにしなければなりません。またデータ主体からの要請が効率的かつタイムリーに処理される
ように、適切なプロセスを実施する必要があります。
データ主体からの問い合わせや要請を管理し、関連するグローバル手順ガイドライン及び関連する各国のSOPを実施する際に、本プログラム及び個人情報保護グローバルガイドラインに従うことは、関係する全ての部門の責任です。

20

データ主体の権利に関する要求の管理に関わる部門
は、要請を処理する前に、申請者(申請者でない場
合はデータ主体)の身元を確認し、データ主体に関する個人情報が実際にBraccoグループによって収集ま
たは保存されていることを確認するものとします。その後、その要請が法令上有効かどうか、また、その要請に応えることが可能かどうかを、ITS部門と協力して評価しなければなりません。関係する部門が、データ主体の権利の行使に関する要請に対して否定的な回答を行うことができるのは、以下の場合のみです: (i) 要
請に応えるために十分な情報を申請者から得られな
かった場合; または (ii) 適用される法律または規制により、要求に応じることを拒否することができる場合
データ主体からの要請および問い合わせは、常に秘密裡に取り扱われます（Braccoグループ各社の従業員は、知る必要がある場合にのみ関与します）

タイムリーな 回答
データ主体の権利に関連する要請の管理に携わる部門は、各要請に対し不適切な遅延が生じないよ

る要請に応えることで、他のデータ主体の権利に悪影響を与えないことを確認しなければなりません。

う、遅くとも要請受領から1ヶ月以内に対応しなくて訂正・消去の権利に係わる要請はなりません (ただし、適用される法令により異なる

Braccoグループ各社は修正の権利に係わる要請

期限が定められている場合を除きます)。この期間を受けた場合、不完全または不正確な個人情報

は、要請の複雑さと数を考慮して必要に応じて2ヶを完成または修正するものとします。また以下の場

月間延長することができます。関係部門は、要請を合は消去権に係わる要請のもと、当該個人情報受けてから1ヶ月以内にデータ主体に延長する旨を通を消去するものとします。

知し、遅延の理由を説明することとします。

(i)

当該個人情報を収集または処理した目的に関連して、その個人情報が必要でなくなった場合(ii)

B. デ ー タ 主 体 の 権 利 に 関 す る 要 請 の種類
アクセス権に関する要請
Braccoグループ各社はアクセス権の要請を受けた
場合、データ主体に対して個人情報が処理されているかどうかの確認を行い、処理されている場合には個人データのコピー及び適用される法律に基づく全ての承認された関連情報を提供するものとします。アクセス権要請の管理に関わる部門は、以下の基準に基づいて要請に応じるための最も適切な手段を特定するものとします:(i) 関連する個人情報のカテゴリ (ii) 個人情報の書
式 (iii) 情報対象者が自らの権利を行使するために使用する手段 (iv) データ主体に転送される個人情報の量
データ主体に送信された個人情報のコピーには、他のデータ主体に関する情報や、適用される法律
および規制の下でアクセス権が免除されている情報が含まれていないこと、及びアクセス権に係わデータ主体が同意を撤回し、以降の処理に法的根拠がなくなった場合(iii) データ主体が処理に異議を唱えたため、処理を行うための法的根拠がない場合(iv) 個人情報が不法に処理された場合(v)

適用される法律や規制を遵守するために個人情報を消去する必要がある場合関係部門は、適用される法令に基づき消去権の行使を制限できるか否かをケースバイケースで評価しなければなりません。
個人情報が他の情報管理者または情報処理業
者に転送された場合関係する部門は、データ主体
が修正または消去の権利を行使したことを受取者に通知するための適正な措置を講じなければなりま
せん。
データポータビリティ（軽便化）の権利に係わる要請
Braccoグループ各社はポータビリティに係わる要請を受けた場合、データ主体に個人情報を構造化され且つ機械で読み取り可能なフォー

21

マットで送付し、及び/または、技術的に可能であ
れば、データ主体が指定する別の情報管理者に個
人情報を転送することとします。
ポータビリティの要請の管理に関わる部門は、以下

またデータ主体の個人情報のマーケティング目的の処理に関しては、情報対象者に正当な理由を求めることなく、異議申し立ての通知を受けた後、速やかに停止しなければなりません.

の基準に基づいて要請に応えるための最も適切な代替手段を特定するものとします。: (i) 個人情報のカテゴリ (ii) 個人情報のフォーマット (iii) データ

C. 要請の管理運営

主体が自らの権利を行使するために使用する手段(iv) データ主体または他の管理者に転送される個
人情報の量。 ポータビリティは他の管理者に送られた個人情報に他のデータ主体に関する情報が含まれていないこと、及びポータビリティの要請に応えることが他のデータ主体の権利に悪影響を及ぼさないことを徹底しなければなりません。

管理コスト
データ主体の権利の行使に関連する問い合わせま
たは要請の管理について、データ主体に費用を請求してはなりません。ただし、データ主体からの要求が根拠のないものや過剰なものである場合（データ主体が同一の管理者の法人に対し繰り返し要求を送っている場合など）、要請の管理に関わる処理の制限に係わる要請

部門は、情報の提供や必要な措置を取るために

Braccoグループ各社は、制限する権利に関する発生する管理コストに基づいて、合理的な料金を要請を受けた場合、適用される法令に定められた請求することができます。

条件が満たされていることを確認の上、データ主体の個人情報の処理を制限するものとします。
権利の制限要請の管理に携わる部門は、要請を記録の保存遵守するための最も適切な代替手段を特定するもブラッコグループ各社は、データ主体からのとします(例 情報が処理されない別の情報シス受け取った要請、関連する内部検証および監査

テムに情報を移し、より厳格なアクセス制御手段をに関連する全ての文書の記録を保管しなければ適用すること 等)。

なりません。

処理に対して異議を唱える権利に関する要請

6.4 処理活動の記録の管理および更新に関する一般原則

Braccoグループ各社は、異議を唱える
権利に係わる要請を受けた場合、処理関連するグローバル手順及び関連する各国のSOPが公共の利益または正当な利益に基づを実施し、処理活動の記録を作成、維持、更新まいており、データ主体の特定の状況によたはレビューする際に、本プログラム及びグローバル

り制限が正当化されることを確認した上個人情報保護ガイドラインに従うことは、関係するで、当該データ主体の個人情報の処理

全ての部門の責任です。

を停止するものとします。
22

A. 処理活動の記録の内容

新規事業のプロジェクトまたは取り組み

Braccoグループ各社は、少なくとも以下の情報を含む処理活動の記録を保存するものとします。(プライバシーツールは、グローバルおよび各国レベルでカス
タマイズすることができます。)(i) 会社の連絡先(i)

処理活動に関わる部門、グループの情報保護責任者及び各国の保護責任者/プライバシ
ーフォーカルポイントの連絡先(iii) 各処理活動について(vi) 個人情報の新規移転

(ii)

(i)

処理の目的

(ii) 個人情報のカテゴリ及び当該のデータ主体(iii) 個人情報が開示される、または開示される予定の受取人または受取人のカテゴリ(iv) 該当する場合、個人情報の第三国への移転(v) 個人情報の各カテゴリの保存期間(vi) 処理に関連して収集、使用または保持された個人情報を保護するために実施された技術的及び組織的なセキュリティ対策

B. 記録の更新

Braccoグループ各社は記録に含まれる情報が常に最新の状態であることを徹底するものとします。

新規または変更された処理活動に関連した記録の更新
Braccoグループ各社は、個人情報の処理を伴う
新しい活動または既存の活動の変更が実施される
たびに、適切に記録を更新するものとします。記録
は、特に以下の事象が発生した場合に更新されます。

(ii) 会社組織図の変更(iii) 情報システムの変更(iv) 新しいカテゴリの個人情報の収集(v) 新規サプライヤーとの契約(vii) その他影響を与える可能性のある事象

記録の年次レビュー
上記の更新に加えて、処理活動の記録を維持する責任のある部門は、少なくとも年1回これらの記録をレビューする必要があります。担当部門は各レ
ビューにおいて、既存の記録に加えられた変更、及び以前は含まれていなかった個人情報の処理を伴う新しい活動を考慮して記録を更新するものとします。

6.5 グローバルデータの保存に関する

一般原則

情報及び記録の保存、削除または匿名化を管理
し、関連するグローバル手順および関連する各国のSOPを実施する際に、本プログラムおよび個人情報保護ガイドラインに従うことは、関係する部門の責任です。

適切な保存期間の定義
Braccoグループ各社は、個人情報を含む各カテゴ
リの記録または情報が、適用される法律及び規制に従って、必要な期間のみ保持されることを保証します。
特に個人情報は、データ主体の識別が可能な形で、情報を処理する目的に必要な期間を超えて保存してはなりません。

23

.
Braccoグループ各社は、関連する個人情報保護
ガイドラインに含まれる情報保持の付則に指定された保持期間を遵守するものとします。
ただし各地域で適用される法令により、より短い保存期間が課されている場合、またはより長い期間
情報を保持する必要がある場合はこの限りではありません。 (特に、法律上の義務を遵守するため、または法的請求の確立、行使、答弁のための証拠を維持するため。)

6.6 情報処理業者との関係の管理に関する一般原則
情報処理業者を選任して契約を締結し、関連する手順並びにローカルのSOPを実施する際は、関係する全ての部門に、このプログラム及び個人情報保護ガイドラインを遵守する責任があります。

情報処理業者の選定

情報及び記録の削除と匿名化

Braccoグループ各社は、処理が本個人情報保護プ
ログラムおよび適用される法令の要件に準拠する方法で、適切な技術的・組織的な対策及び手順を実施することを十分に保証する情報処理業者のみを選択し使うものとします。
情報処理業者を選任する際には、Braccoグルー
プ各社は特に、処理業者が当該個人情報に対して最先端の技術や処理の性質、範囲、状況、目的に照らして、適切なセキュリティ対策を実施することを確認しなければなりません。

情報及び記録の管理に携わる部門は、定められた保存期間が終了した時点で、全ての情報及び記録が安全な方法で破壊、削除、または匿名化されていることを確認するものとします。情報及び記録
は、財務/統計関連業務を確実に行うために、定義された保存期間が終了した時点で仮名化されることもあります。このような場合は個人情報へのアクセスを、特に定義された状況下でシステム管理者のみに制限する手順を実施する必要があります。
データ及び記録を破壊または削除するための手段は、その後の情報への不正アクセスを防止するものでなけ
ればなりません（例：紙の記録はシュレッダーにかける等）。
同じ情報や記録の全てのコピーは、そのフォーマットにかかわらず、同時に破壊、削除、匿名化されなければなりません。

情報処理業者との契約
情報処理者の選任および管理に関わる部門は、情報処理者との間で交わされる全ての契約において、処理者が行う処理活動、処理の目的、及び処理者に転送される個人情報を明確かつ正確に特定することを保証しなければなりません。また契約書には、適用される法律や規則に準拠した全ての必須条項が含まれていることを確認しなければなりません（例GDPR第28条 GDPRの情報処理活動に関する条項）。

第三者によって保存されている情報及び 記録
Braccoグループ各社が、自社に代わって記録や情報管理、ITシステムの管理のために第三者を任命する場合、この第三者との間で締結した契約において、会社の要求に応じて、あるいは遅くとも契約が終了した時点で、すべての記録や情報、そのコピーを削除することを明確に規定する必要があります。
24

Braccoグループ各社はまた、情報管理者である第三の不履行について全面的に責任を負うことを表明し、者に代わって個人情報を処理する場合は、情報管理保証するよう求めなければなりません。またデータ処者との契約において、情報処理者として実行しなけれ理業者は、EU圏外に所在する下請業者に対してばならない処理活動が適切に記述され、適用されるは標準契約基準の履行を求めることを表明し、保法律及び規則で要求される条項が含まれていることを証することとします。

確認しなければなりません。Braccoグループ各社が情報処理者として業務を行う時は、いかなる場合も個人情報保護プログラムを遵守するものとします。

下請業者との契約
Braccoグループ各社と情報処理業者との間で締結された全ての契約には、情報処理業者から下請の処理業者への委託が許されるのは、当該のBraccoグループ各社の承認を得た上で（または必要に応じて適切な情報を提供した上で）のみであることが明記されていなければなりません。Braccoグ
ループ各社は、情報処理業者に対して、情報管理者である法人との契約に定められたものと実質的に同一の個人情報保護義務を下請業者とのに契約で謳うこと、及び下請業者が個人情報の保護に関する義務を遵守しなかった場合には、情報処理業
者は管理者である法人に対して下請業者の義務

情報処理業者に対する監査
情報処理業者に対しては、Bracco内の契約締結
及びこうした処理業者との関係の管理を担当する部門の責任のもと、各国／グループの情報保護責任者や、場合によってはITSの支援を受けて定期的に監査を行うこととします。

記録の保管処理業者との契約締結および関係管理に携わる部
門は、処理業者との間で締結された情報処理契約書のコピー、および管理者である法人と処理業者との間で交わされた通信文書を保管するものとします。

7

その他 関連資料• 用語集• “個人情報保護”ガイドライン• Bracco グループ 倫理規定

26

目次

1. 目的

8

2. 適用範囲

9

3. 関連部門

10

4. 責任

10

5. 一般原則12

6. 付加的原則

16

7. その他 関連資料

26

27

data protection program
Edited by:
Edited by Global Legal, Compliance and Corporate Affairs
Bracco Group Image&Communication© September 2021 Bracco Spa | All rights reserved