個人情報取扱規程
第１章

総則

（目的)
第１条 本規程は、「個人情報の保護に関する法律」（平成 15 年法律第 57 号、以下「個人情報保護法」という）及び同法に関係する法令に基づき、個人情報の適正な取扱いに関して公益財団法人国際高等研究所（以下「この法人」という。）の取り扱う個人情報等の適正な取扱いを確保するために定めるものである。なお、「行政手続きにおける特定の個人を識別するための番号の利用等に関する法律」（平成 25 年法律第 27 号）に基づく個人番号やその内容を含む個人情報に関しては、「特定個人情報取扱規則」において、別途定めるところに従うものとする。
（定義）
第２条 本規程において使用する用語については、次のとおりとする。なお、本規程における用語は、他に特段の定めのない限り個人情報保護法その他の関係法令の定めに従うものとする① 「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
(1) 当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識できない方式をいう。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて評された一切の事項（個人識別符号を除く。以下同じ。）により特定の個人を識別することができるもの（他の情報と照合することができ、それにより特定の個人を識別することができることとなるものを含む。）(2) 個人識別符号が含まれるもの② 「個人識別符号」とは、次の各号のいずれかに該当する文字、番号、記号その他の符号をいう。
(1) 次に掲げる身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができる水準が確保されるよう、適切な範囲を適切な手法により電子計算機の用に供するために変換されたもの。
(ア) ＤＮＡを構成する塩基の配列(イ) 顔の骨格および皮膚の色ならびに目、鼻、口その他の顔の部位の位置および形状によって定まる容貌(ウ) 虹彩の表面の起伏により形成される線状の模様(エ) 発声の際の声帯の振動、声門の開閉ならびに声道の形状およびその変化(オ) 歩行の際の姿勢および両腕の動作、歩幅その他の歩行の態様(カ) 手のひらまたは手の甲もしくは指の皮下の静脈の分岐および端点によって定まるその静脈の形状(キ) 指紋または掌紋(2) 旅券の番号、基礎年金番号、運転免許証の番号、住民票コードおよび個人番号(3) 国民健康保険の被保険者証の記号、番号および保険者番号(4) 後期高齢者医療制度および介護保険の被保険者証の番号および保険者番号(5) 健康保険の被保険者証等の記号、番号および保険者番号、在留カードの番号、公務員共済組合の組合員証等の記号、番号および保険者番号、雇用保険被保険者証の被保険者番
1

号ならびに特別永住者証明書の番号(6) その他個人情報保護委員会規則で定める文字、番号、記号その他の符号③ 「配慮個人情報」とは、不当な差別や偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして次に掲げる事項のいずれかの記述等が含まれる個人情報をいう。
(1) 身体障害、知的障害、精神障害（発達障害を含む。）その他の次に掲げる心身の機能の障害があること。
(ア) 身体障害者福祉法における身体上の障害(イ) 知的障害者福祉法における知的障 害(ウ) 精神保健および精神障害者福祉に関する法律における精神障害(エ) 治療方法が確立していない疾病等であって、その障害の程度が厚生労働大臣
が定める程度であるもの(2) 本人に対して医師その他医療に関連する職務に従事する者により行われた健康診断その他の検査の結果(3) 健康診断その他の検査の結果に基づき、または疾病、負傷その他の心身の変化を理由として、本人に対して医師その他医療に関連する職務に従事する者により心身の状態の改善のための指導または診療もしくは調剤が行われたこと。
(4) 本人を被疑者または被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと。
(5) 本人を非行少年またはその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと。
④「個人情報データベース等」とは、(ⅰ)特定の個人情報をコンピュータ等を用いて検索できるように体系的に構成したもの及び(ⅱ)これに含まれる個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するものをいう。ただし、利用方法からみて個人の権利利益を害するおそれが少ないものなど法令に定めるものを除く。
⑤ ｢個人データ｣とは、個人情報データベース等を構成する個人情報をいう。
⑥ 「保有個人データ」とは、個人データのうち、開示、追加または削除、利用の停止、消去
および第三者への提供の停止を行うことのできる権限を有する個人データをいう。ただし、６カ月以内に消去するもの、及びその存否が明らかになることにより本人に危害が及ぶおそれがあるものや公益その他の利益が害されるものなど法令に定めるものを除く。
⑦ 「匿名加工情報」とは、個人情報の区分に応じて定められた措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。
⑧「匿名加工情報データベース等」とは、これに含まれる匿名加工情報を一定の規則に従って整理することにより特定の匿名加工情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するものをいう。
⑨ ｢本人｣とは、当該個人情報によって識別される、又は識別され得る、生存する特定の個人をいう。
⑩「役職員等」とは、常勤理事及び就業規則第３条・契約職員等就業規則第３条に規定する者をいう。
⑪ ｢個人情報事務取扱責任者｣とは、理事長によって指名された者であって、個人情報保護
コンプライアンス・プログラムの運用に関する責任と権限を有する者をいう。
⑫ 「従業者」とは、この法人において、直接間接にこの法人の指揮監督を受けて、この法人の業務に従事している者をいい、雇用関係にある従業員（職員、契約職員等）のみならず、
理事、監事、派遣社員等も含まれる。
2

(範囲)
第３条 本規程は、すべての役職員等に適用する。また、退職後においても在任又は在籍中に取得・アクセスした個人情報については、本規程に従うものとする。
２ この法人の事業について委嘱又は依頼を受けた者が、この法人の業務に従事する場合には、当該従事者は、この規程を遵守しなければならない。
３ 前項の従事者を管理する立場にある者は、当該従事者に対し、この規程の遵守を確保するために必要な措置を講じなければならない。
（安全管理措置）
第４条 個人情報の取得、保管、利用、提供、廃棄・削除の各段階における安全管理措置は第２章（安全管理）に従うものとする。
第２章
第１節

安全管理

組織的安全管理措置（組織体制）
第５条 この法人は、総務部を、個人情報等を管理する責任部署とする。
２ 個人情報事務取扱責任者は、理事長が任命し、総務部長をもって充てる。
３ 個人情報事務取扱責任者の責務は、以下のとおりとする。
① 個人情報等の安全かつ適正な取扱いに必要な措置を実施するために必要な手続の設定個
人情報等の利用申請の承認および記録等の管理② 個人情報等の取扱状況の把握③ 従業者に対する教育・訓練等④ 委託先の選定及び委託先における個人情報の取扱状況等の監督⑤ 個人情報等の安全かつ適正な取扱いに必要な措置についての定期的な評価、見直し又は改善の実施⑥ その他個人情報等の安全かつ適正な取扱いに必要な措置
４ 個人情報事務取扱担当者は、個人情報事務取扱責任者が任命し、総務及び会計担当者をもって充てる。
５ 個人情報事務取扱担当者が変更となる場合は個人情報事務取扱責任者は、前任の個人情報事務取扱担当者から後任の個人情報事務取扱担当者に対して、個人情報等に係る業務の引継ぎを、確実に行わせるものとする。
(運用状況・取扱状況の記録・確認)第６条 個人情報事務取扱担当者は、以下の個人データの運用状況について定期的に確認をするものとする。
① 個人情報データベース等の利用・出力状況② 個人データを含む書類・媒体等の持ち運びの状況③ 個人情報データベース等の削除・廃棄の状況④ 削除・廃棄を委託した場合、これを証明する記録⑤ 個人情報データベース等を情報システムで取り扱う場合、情報システムの利用状況（ログイン実績、アクセスログ等）
２ 個人情報事務取扱担当者は、以下の個人データの取扱状況について定期的に確認をするものとする。
① 個人情報データベース等の種類、名称② 個人データの項目③ 責任者、取扱部署④ 利用目的⑤ 保管場所3

⑥ アクセス権を有する者（情報漏えい等事案への対応）
第７条 個人情報事務取扱担当者は、個人情報等の漏えい、滅失又は毀損による事故等（以下「漏えい事故等」という。）が発生したことを知った場合又はその可能性が高いと判断した場合は、直ちに個人情報事務取扱責任者に報告し、 個人情報事務取扱責任者は常勤の理事及び理事長に報告するとともに被害の拡大を防止する措置を講じるものとする。
２ 個人情報事務取扱責任者は、漏えい事故等が発生したと判断した場合は、事実関係及び原因を調査のうえ、影響が及ぶ範囲を特定し、再発防止措置を講じるものとする。
３ 個人情報事務取扱責任者は、漏えい事故等が発生したと判断した場合は、必要に応じて本人にその旨を通知し、公表する。
４ 個人情報事務取扱責任者は、漏えい事故等が発生した場合、必要に応じて個人情報保護委員会等に報告を行うものとする。
第２節

人的安全管理措置（個人情報事務取扱責任者の責務）
第８条 個人情報事務取扱責任者は、個人情報の安全管理のため、個人情報の不正アクセス、漏洩、滅失又は毀損防止に努めるものとする。
２ 個人情報事務取扱責任者は、必要に応じて個人情報の安全管理のため、必要かつ適正な措置を定めるものとし、当該個人情報を取り扱う役職員等に遵守させなければならない。
（教育・研修）
第９条 個人情報事務取扱責任者は、本規程に定められた事項を理解し、遵守するとともに、従業者に本規程を遵守させるための教育訓練を企画・運営する責任を負う。
２ 従業者は、個人情報事務取扱責任者が主催する本規程を遵守させるための教育を受けなければならない。研修の内容は、事業年度毎に個人情報事務取扱責任者が定める。
第３節

物理的安全管理措置（個人情報等を取り扱う区域の管理）
第 10 条 この法人は、個人情報事務取扱責任者及び担当者並びに本人以外が個人データを閲覧等できないような措置を講ずるものとする。
（書類及び電子媒体等の盗難等の防止）
第 11 条 個人情報事務取扱担当者は、個人データを取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、個人データを取り扱う機器、電子媒体及び書類等が、本人があらかじめ個人情報事務取扱責任者に届け出た場所で適正に使用されまた保管されていることを定期的に点検しなければならない。
２ この法人において個人データを取り扱うパソコンは使用する本人が離れる場合は、本人以外の者に使用されたり、画面を目視されたりしないよう、シャットダウンするかパスワ
ードで保護する方法をとらなければならない。
（書類及び電子媒体等を持ち出す場合の漏えい等の防止）第 12 条 個人データが記載されたノートパソコンの法人外部への持ち出しは原則禁止する。
２ 個人データが記載された電子媒体または個人データが記載された書類等をもち運ぶ場合、
パスワードの設定、封筒に封入し鞄に入れて搬送する等、紛失・盗難を防ぐための安全な方策を講じずるものとする。
4

（個人データの削除及び機器、電子媒体等の廃棄）
第 13 条 個人データを削除し、または、個人データが記録された機器、電子媒体等を廃棄する場合には、個人情報事務取扱担当者に届け出、その許可を受けたうえで行われなればなければならない。
２ 個人データが記録されている媒体（端末及びサーバ内に内蔵されているものを含む。）
を廃棄する場合には、焼却・溶解処理、シュレッダーの利用、個人番号部分のマスキング、専用のデータ削除ソフトウェアの利用、媒体の物理的な破壊等の個人データが復元不可能な手段で行うものとする。
３ 前項において、当該媒体の廃棄に係る業務を外部に委託するとき、個人情報事務取扱担
当者は委託先が確実に消去又は当該媒体を廃棄したことにつき、委託先からその事実を証明する書類を取得して確認しなければならない。
第４節
技術的安全管理措置（アクセス制御・アクセス者の識別と認証）
第 14 条 この法人は、個人データを取り扱う機器を特定し、その機器を取り扱う従業者を限定し、アクセス権としてユーザーID・パスワードを付与する。
（外部からの不正アクセス等の防止）
第 15 条 この法人は、以下の各方法により、情報システムを外部からの不正アクセスまたは不正アクセスから保護するものとする。
① 個人データを取り扱う機器等のオペレーティングシステムを最新の状態に保持する。
② 個人データを取り扱う機器等にセキュリティ対策ソフト等を導入し、自動更新機能等の活用により、これを最新状態とする。
第３章

個人情報の取得・利用（個人情報の適正取得）
第 16 条 個人情報の取得は、適法かつ公正な方法によって行い、偽りその他不正な手段 によって取得してはならない。
（利用目的の特定）
第 17 条 従業者は、個人情報を取得するに当たっては、その利用の目的をできる限り特定しなければならない。
２ 従業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると認められる範囲を超えて行ってはならない。
３ 従業者は、あらかじめ本人の同意を得ずに、特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。なお、利用目的の範囲内か否かが不明な場合
は、都度、個人情報事務取扱責任者に判断を求めなければならない。
４ 以下の各号のいずれかに該当し、かつ各部門において個人情報事務取扱責任者の承認を得た場合は、前項の規定は適用されないものとする。
① 法令に基づく場合② 人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき③ 公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき④ 国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（利用目的の通知等）
5

第１８条 従業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している
場合を除き、速やかに、その利用目的を、本人に通知し、または公表しなければならない。
２ 従業者は、本人から直接に個人情報を取得する場合には、本人（本人が未成年者の場合はその 保護者。以下「本人等」という。）に対して、次に掲げる事項又はそれと同等以上の 内容の事項を、書面又はこれに代わる方法で明示しなければならない。
① この法人の名称、個人情報事務取扱責任者の氏名及び連絡先②個人情報の利用目的③ 保有個人データに関する次に掲げる権利の存在及び当該権利行使のための方法(1)当該データの利用目的の通知を求める権利(2)当該データの開示を求める権利及び第三者提供の停止を求める権利(3)当該データに誤りがある場合にその内容の訂正、追加又は削除を求める権利(4)当該データの利用の停止又は消去を求める権利
３ 従業者は、利用目的を変更した場合は、変更された利用目的を遅滞なく本人に通知または公表しなければならない。
４ 以下の各号のいずれかに該当し、かつ各部門において個人情報取扱責任者の承認を得た
場合は、前３項は適用されないものとする。
① 人の生命、身体または財産その他の権利利益を保護するため必要な場合② この法人の権利または正当な利益を害するおそれがある場合③ 国または地方公共団体の法令に定める事務の遂行に支障を及ぼすおそれがある場合④ 取得の状況に照らし、利用目的が明らかであると認められる場合（要配慮個人情報の取得）
第１９条 従業者は、次の各号のいずれかに該当し、かつ各部門において個人情報取扱責任者の承認を得た場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
① 法令に基づく場合② 人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
③ 公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
④ 国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
⑤ 当該要配慮個人情報が、次に掲げる者により公開されている場合(1) 本人(2) 国の機関(3) 地方公共団体(4) 放送機関・新聞社・通信社その他の報道機関（報道を業として行う個人を含む。）、(5) 著述を業として行う者(6) 大学その他の学術研究を目的とする機関・団体またはそれらに属する者(7) 宗教団体(8) 政治団体(9) 外国政府、外国の政府機関、外国の地方公共団体または国際機関(10) 外国において報道機関、著述を業として行う者、学術研究を目的とする機関、宗教団体
または政治団体に相当する者⑥ 本人を目視し、または撮影することにより、その外形上明らかな要配慮個人情報を取得する場合⑦ 委託、事業承継または共同利用に伴って個人データの提供を受ける場合において、個人データである要配慮個人情報の提供を受ける場合
6第４章

第三者からの個人データの受領（第三者から提供を受ける際の確認）
第 20 条 第三者から個人データの提供を受けるに際しては、次に掲げる事項について、それぞれに定める方法により、確認を行わなければならない。但し、提供を受ける情報が、提供元において個人データであったとしても、この法人にとって個人情報又は個人データに該当しない場合はこの限りでない。
① 「当該第三者の氏名または名称および住所ならびに法人にあっては、その代表者（法人でない団体で代表者または管理人の定めのあるものにあっては、その代表者または管理人）の氏名」については、当該第三者から申告を受ける方法その他の適切な方法②「当該第三者による当該個人データの取得の経緯」については、当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法
２ 次に掲げるいずれかに該当し、かつ各部門において個人情報取扱責任者の承認を得た場
合は、前項の規定は適用しないものとする。
① 法令に基づく場合② 人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき③ 公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき④ 国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき⑤ 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部または一部を委託することに伴って当該個人データが提供される場合⑥ 合併その他の事由による事業の承継に伴って個人データが提供される場合⑦ 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨ならびに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的および当該個人データの管理について責任を有する者の氏名または名称について、あらかじめ、本人に通知し、または本人が容易に知り得る状態に置いている
とき
３ 次に掲げるいずれかに該当し、かつ各部門において個人情報保護管理者の承認を得た場
合は、第 1 項の規定は適用しないものとする。
① SNS 等を通じて本人に係る個人データの提供を受ける場合等、本人による提供に該当する
場合② 本人からの委託等に基づいて本人の個人データを第三者から提供を受ける場合③ 最終的に本人に提供することを意図した上で、この法人を介在して第三者提供を行う場合
で、本人がそれを明確に認識できる場合（第三者提供を受ける際の記録）
第 21 条 前条第１項の規定による確認を行ったときは、文書、電磁的記録またはマイクロフ
ィルムを用いて作成する方法により、第三者から個人データの提供を受けた都度、速やかに、次に掲げる確認に係る事項に関する記録を作成しなければならない。
① オプトアウト手続による個人データの提供を受けた場合(1) 当該個人データの提供を受けた年月日(2) 3.4.1 の各号の事項(3) 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事
項(4) 当該個人データの項目(5) オプトアウト手続による個人データの第三者提供に係る届出等の個人情報保護委員会に7

よる公表がされている旨② 本人の同意を得た個人データの提供を受けた場合(1) 本人の同意を得ている旨(2) 上記①(2)～(4)の事項③ 個人情報取扱事業者に該当しない第三者から提供を受けた場合
上記①の(1)～(4)の事項
２ 前項にかかわらず、当該第三者から継続的にもしくは反復して個人データの提供（オプ
トアウト手続による提供を除く。）を受けたとき、または当該第三者から継続的にもしくは反復して個人データの提供を受けることが確実であると見込まれるときの記録は、一括して作成することができる。
３ 前２項にかかわらず、本人に対する物品または役務の提供に関連して第三者から当該本人に係る個人データの提供（オプトアウト手続による提供を除く。）を受けた場合において、当該提供に関して作成された契約書その他の書面に第１項の②または③に定める事項が記載されているときは、当該書面をもって当該事項に関する記録に代えることができる。
４ 前３項の記録を、次に掲げる期間保存しなければならない。
① 第２項による場合
最後に当該記録に係る個人データの提供を受けた日から起算して３年を経過する日までの間② 第３項による場合
最後に当該記録に係る個人データの提供を受けた日から起算して１年を経過する日までの間③ 上記以外の場合
当該記録を作成した日から３年間
第５章 個人データの保管（個人データの正確性確保）第 18 条 個人データは、利用目的を達成するのに必要な範囲内において、正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。
（従業者の監督）
第 19 条 個人情報事務取扱責任者および個人情報事務取扱担当者は、従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう当該従業者に対する必要かつ適切な監督を行わなければならない。
２ 第６章第 20 条第２項ないし第４項の定めに従い、個人データを取り扱う業務を第三者に委託した場合には、 この法人が当該業務委託先に課した個人データの適切な管理義務が、確実に遵守されるよう適時、確認・指導するものとする。
第６章 個人データの提供（個人データの提供の制限）
第 20 条 従業者は、以下の各号のいずれかに該当し、かつ部門長の承認を得た場合を除き、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。なお、この法人は、オプトアウト手続による提供は行わないものとする。
① 法令に基づく場合② 人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき③ 公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき④ 国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行す
8

ることに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
２ 前項の定めにかかわらず、以下の各号のいずれかに該当し、かつ各部門において個人情報保護管理者の承認を得た場合は、前項は適用されないものとする。
① 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部または一部を委託することに伴って当該個人データが提供される場合。
② 合併その他の事由による事業の承継に伴って個人データが提供される場合③ 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨ならびに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的および当該個人データの管理について責任を有する者の氏名または名称について、あらかじめ、本人に通知し、または本人が容易に知り得る状態に置いているとき
３ 前項①号の委託を行う場合、業務委託先については次に掲げる条件を満たす業務委託先に限り個人データを当該業務委託先に対して提供できるものとする。
①社会通念上相当な事業活動を営む者であること②個人データの保護に関し、この規程と同等以上の規程を有し、かつその適正な運用及び実施がなされている者であること③この法人との間に、適正な内容の個人データの保護に関する定めを締結し、これを遵守す
ることが見込まれる者であること
４ 従業者は、第２項①の業務委託を行う場合は、事前に個人情報事務取扱責任者による承諾を得なければならない。
（外国にある第三者への個人データの提供の制限）
第 21 条 従業者は、外国（本邦の域外にある国または地域をいう。以下同じ。）にある第三者に個人データを提供する場合には、以下の各号のいずれかに該当し、かつ個人情報保護管
理者の承認を得た場合を除き、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。
① 個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものに属する者へ提供する場合② 個人データの提供先との間で、当該提供先における当該個人データの取扱いについて、適切かつ合理的な方法により、法第 4 章第 1 節の規定の趣旨に沿った措置の実施が確保されている場合③ 個人データの提供先が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けている場合④ 前条 1 項各号に掲げる場合（第三者提供にかかる記録の作成等）
第 22 条 従業者は、個人データを第三者に提供したときは、文書、電磁的記録またはマイクロフィルムを用いて作成する方法により、提供した都度、速やかに次に掲げる確認に係る事項に関する記録を作成しなければならない。
① 本人の同意を得ている旨② 当該第三者の氏名または名称その他当該第三者を特定するに足りる事項（不特定かつ多数の者に対して提供したときは、その旨）③ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事
項④ 当該個人データの項目
２ 次に掲げるいずれかに該当し、かつ各部門において個人情報事務取扱責任者の承認を得た場合は、前項の規定は適用しないものとする。
9

① 法令に基づく場合② 人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき③ 公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき④ 国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき⑤ 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部または一部を委託することに伴って当該個人データが提供される場合⑥ 合併その他の事由による事業の承継に伴って個人データが提供される場合⑦ 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨ならびに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的および当該個人データの管理について責任を有する者の氏名または名称について、あらかじめ、本人に通知し、または本人が容易に知り得る状態に置いている
とき
３ 次に掲げる者に対して提供する場合は、第 1 項の規定は適用しないものとする。
① 国の機関② 地方公共団体③ 独立行政法人等④ 地方独立行政法人
４ 次に掲げるいずれかに該当し、かつ各部門において個人情報事務取扱責任者の承認を得た場合は、第 1 項の規定は適用しないものとする。
① 本人からの委託等に基づいて本人の個人データを第三者に提供する場合② 本人の代理人又は家族等、本人と一体と評価できる関係にある者に提供する場合③ 最終的に本人に提供することを意図した上で、受領者を介在して第三者提供を行う場合で、本人がそれを明確に認識できる場合
５ 第 1 項の規定にかかわらず、当該第三者に対し継続的にもしくは反復して個人データを提供したとき、または当該第三者に対し継続的にもしくは反復して個人データを提供することが確実であると見込まれるときの記録は、一括して作成することができる。
６ 第１項および第５項にかかわらず、本人に対する物品または役務の提供に関連して当該本人に係る個人データを第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に第 1 項に定める事項が記載されているときは、当該書面をもって当該事項に関する記録に代えることができる。
７ 従業者は、第１項、第５項及び第６項の記録を、次に掲げる期間保存しなければならない。
① 第５項による場合
最後に当該記録に係る個人データの提供を行った日から起算して３年を経過する日までの間② 第６項による場合
最後に当該記録に係る個人データの提供を行った日から起算して１年を経過する日までの間③ 上記以外の場合
当該記録を作成した日からは３年間（第三者提供の際の確認への対応）
第 23 条 従業者は、個人情報取扱事業者に対し、個人データの提供を行う際に、当該提供先から、この法人の名称および住所ならびに代表者の氏名、この法人による当該個人データの取得の経緯について確認を受けたときは、当該確認に係る事項を偽りなく回答するもの10

とする。ただし、当該個人データの提供が前条第２項各号のいずれかに該当し、かつ各部門において個人情報事務取扱責任者の承認を得た場合は、この限りでない。
第７章

個人情報の廃棄・削除（個人情報の廃棄・削除）
第 24 条 従業者は、保有する必要のなくなった個人情報等は、自己の責任において速やかに廃棄・削除しなければならない。この場合の手続きは、第２章第３節第 13 条の手続きによる。
第８章

個人データの委託の取扱い（業務の委託）第 25 条 この法人が個人データの取扱業務を第三者に委託する場合は、委託先個人情報の適切な管理を行う能力を有すると認める者に限るものとし、個人情報に関する取得、保管、利用、提供、廃棄・削除の各事務において、安全管理措置を遵守させるため、別途委託契約を締結するものとする。
（再委託）
第 26 条 委託先が再委託する場合には、再委託先が個人データの適切な管理を行う能力を有すると認める場合に限り、承諾するものとする。
２ 委託先がこの法人の承諾を得て再委託するときは、事務取扱責任者は、委託先を通じて、再委託先に対し必要かつ適切な監督を行うものとし、再委託先の監督については、前条の規定を準用する。
第９章 保有個人データの開示、訂正・追加・削除・利用停止（保有個人データの開示等）
第 27 条 本人から、当該本人に係る保有個人データについて、書面又は口頭により、その開示（当該本人が識別される個人情報を保有していないときにその旨を知らせることを含む。
以下同じ。）の請求があったときは、身分証明書等により本人であることを確認の上、開示をするものとする。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
① 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合②この法人の事業の適正な実施に著しい支障を及ぼすおそれがある場合③他の法令に違反することとなる場合
２ 開示は、書面により行うものとする。ただし、開示の請求をした者の同意があるときは、書面以外の方法により開示をすることができる。
３ 保有個人データの開示又は不開示の決定の通知は、本人に対し書面により遅滞なく行うものとする。
（保有個人データの訂正、追加、削除、利用停止、等）
第 28 条 保有個人データの開示を受けた者から、書面又は口頭により、開示に係る個人デー
タの訂正、追加、削除又は利用停止の請求があったときは、利用目的の達成に必要な範囲内において遅滞なく調査を行い、その結果を請求をした者に対し、書面により通知するものとする。
２ 前項の通知を受けた者から、再度請求があったときは、前項と同様の処理を行うものとする。
第１０章 匿名加工情報の取扱（匿名加工情報の作成等）
第 29 条 従業者は、匿名加工情報（匿名加工情報データベース等を構成するものに限る。以下同じ。）を作成するときは、個人情報保護管理者の承認を得たうえで、以下に定める基準
11

に従い、当該個人情報を加工するものとする。
① 個人情報に含まれる特定の個人を識別することができる記述等の全部または一部を削除すること（当該全部または一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
② 個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
③ 個人情報と当該個人情報に措置を講じて得られる情報を連結する符号（現に個人情報取扱
事業者において取り扱う情報を相互に連結する符号に限る。）を削除すること（当該符号を復元することのできる規則性を有しない方法により当該個人情報と当該個人情報に措置を講じて得られる情報を連結することができない符号に置き換えることを含む。）。
④ 特異な記述等を削除すること（当該特異な記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
⑤ 上記①～④の措置のほか、個人情報に含まれる記述等と当該個人情報を含む個人情報デー
タベース等を構成する他の個人情報に含まれる記述等との差異その他の当該個人情報デー
タベース等の性質を勘案し、その結果を踏まえて適切な措置を講ずること。
２ 匿名加工情報を作成したときは、直ちに個人情報保護管理者に報告するとともに、以下に定める基準に従い、その作成に用いた個人情報から削除した記述等および個人識別符号ならびに前項の規定により行った加工の方法に関する情報の安全管理のための措置を講じるものとする。
① 加工方法等情報（匿名加工情報の作成に用いた個人情報から削除した記述等および個人識
別符号ならびに加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。）をいう。）を取り扱う者の権限および責任を明確に定めること。
② 加工方法等情報の取扱いに関する規程類を整備し、当該規程類に従って加工方法等情報を適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果に基づき改善を図るために必要な措置を講ずること。
③ 加工方法等情報を取り扱う正当な権限を有しない者による加工方法等情報の取扱いを防止するために必要かつ適切な措置を講ずること。
３ 個人情報取扱責任者は、匿名加工情報を作成したときは、匿名加工情報を作成した後、遅滞なく、インターネットの利用その他の適切な方法により当該匿名加工情報に含まれる個
人に関する情報の項目を公表するものとする。
４ 匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは、個人情報取扱責
任者の承認を得るものとし、かつ当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。
５ 個人情報取扱責任者は、各部門において匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは、インターネットの利用その他の適切な方法により、あらかじめ、
第三者に提供される匿名加工情報に含まれる個人に関する情報の項目およびその提供の方
法について公表するものとする。
６ 従業者は、匿名加工情報を作成して自ら当該匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該匿名加工
情報を他の情報と照合してはならない。
７ 個人情報取扱責任者は、各部門において匿名加工情報を作成したときは、当該匿名加工
情報の安全管理のために必要かつ適切な措置、当該匿名加工情報の作成その他の取扱いに関する苦情の処理その他の当該匿名加工情報の適正な取扱いを確保するために必要な措置を講じ、かつ、当該措置の内容を公表するよう努めるものとする。
（匿名加工情報の提供）
第 30 条 匿名加工情報（自ら個人情報を加工して作成したものを除く。以下同じ。）を第三者に提供するときは、個人情報保護管理者の承認を得るものとし、かつ当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。
12

２

個人情報取扱責任者は、各部門において匿名加工情報を第三者に提供するときは、インターネットの利用その他の適切な方法により、あらかじめ、第三者に提供される匿名加工
情報に含まれる個人に関する情報の項目およびその提供の方法について公表するものとする。

（識別行為の禁止）
第 31 条 従業者は、匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該個人情報から削除された記述等もしくは個人識別符号もしくは第 29 条 1 項により行われた加工の方法に関する情報を取得し、または当該匿名加工情報を他の情報と照合してはならない。
（安全管理措置）第 32 条 個人情報取扱責任者は、匿名加工情報の安全管理のために必要かつ適切な措置、匿名加工情報の取扱いに関する苦情の処理その他の匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならな
い。
第１１章

その他

（規程の細目及び運用）
第 33 条 この規程の実施に必要な事項は、別に定めるものとする。
附則 この規程は 2017.5.30 より施行する。

13