日本摂食嚥下リハビリテーション学会個人情報取扱規程

第１章 総則（目的）
第１条 本規程は、個人情報の保護に関する法律（平成 15 年法律第 57 号）（以下、「法」という。）、個人情報の保護に関する法律施行令（平成 15 年政令第 507 号）（以下、「政令」という。
）、（個
人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第３号）（以下、「規則」という。
）、並びに個人情報の保護に関する法律についてのガイドライン（通則編）（平成 28年個人情報保護委員会告示第６号）、個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」（平成 28 年個人情報保護委員会告示第７号）及び「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」（平成 28 年
個人情報保護委員会告示第８号）を総称したもの（以下、「ガイドライン」という。
）に基づき、一般社団法人日本摂食嚥下リハビリテーション学会（以下、「本学会｝という。
）が取り扱う個人情報の適正な取扱いを確保するために定めるものである。
（定義）
第２条 この規程において、次の各号に掲げる用語の定義は、当該各号に定めるところによる。
(１)「個人情報」、「個人識別符号」、「要配慮個人情報」、「仮名加工情報」、「匿名加工情報」及び「個人関連情報」の定義は、法第２条各項の定めに従う。
(２)「個人情報データベース等」、「個人データ」、「保有個人データ」及び「個人情報取扱事業者」の定義は、法第16条各項の定めに従う。
（適用範囲）
第３条

本規程は、本学会定款第２４条に規定された理事及び監事、並びに本学会の事務職員に適用する。

第２章

安全管理措置（事務取扱責任者）
第４条 本学会の事務局を個人データの取扱いに関する責任部署とする。
２

本学会に、事務取扱責任者１人を置き、事務局担当理事をこれに充てるものとする。

３

事務取扱責任者は、個人データ取扱い担当者等を監督すると共に、次の各号を統括管理する。

（１）本規程及び個人情報の取扱いに関する周知（２）個人データの安全管理措置の実施（３）個人データの安全管理に関する教育・研修の企画・実施（４）個人データの利用申請の承認及び記録等の管理（５）個人データの取扱区分及び権限についての設定及び変更の管理（６）個人データの取扱状況の把握（７）委託先における個人データの取扱状況等の監督（８）その他、本学会における個人データの安全管理に関すること
４

事務取扱責任者は、１年に１回以上の頻度又は臨時に個人データの運用状況、個人情報デー
1

タベース等の取扱状況の確認を実施し、安全管理措置の評価、見直し及び改善に取り組むものとする。
（事務取扱担当者等の監督）
第５条

事務取扱責任者は、個人データが本規程に基づき適正に取り扱われるよう、事務取扱担当者に対して必要かつ適切な監督を行うものとする。
（事務取扱担当者の責務）
第６条 事務取扱担当者は、本学会の個人データの取扱い又は委託処理等、個人データを取扱う業務に従事する際、法、政令及び規則並びにその他の関連法令、ガイドライン、本規程並びに事務取扱責任者の指示した事項に従い、個人データの保護に十分な注意を払ってその業務を行うものとする。
２

事務取扱担当者は、個人情報の漏えい、苦情等、法、政令及び規則又はその他の関連法令、ガイドライン、本規程に違反している事実又は兆候を把握した場合、速やかに事務取扱責任者に報告するものとする。

（本規程に基づく運用状況の記録）
第７条

事務取扱担当者は、本規程に基づく運用状況を確認するため、以下の各号につき、第１号、第２号及び第４号項目については、「個人データの運用状況記録票」（別紙１）により、第３号については、「個人データ持ち運び記録簿」（別紙２）により記録するものとする。第５号
については、委託先から受領した証明書等により、第６号については別途情報システムのログにより、確認するものとする。
（１）個人情報の取得及び個人情報データベース等ファイルへの入力状況（２）個人情報データベース等の利用・出力状況の記録（３）個人データが記載又は記録された書類・媒体等の持ち運び等の状況（４）個人情報データベース等の削除・廃棄記録（５） 削除・廃棄を委託した場合、これを証明する記録等（６）個人情報データベース等を情報システムで取り扱う場合、事務取扱担当者の情報システ
ムの利用状況（ログイン実績、アクセスログ等）
２ 事務取扱担当者は、個人情報データベース等の取扱状況を確認するために、「個人情報管理台帳」（別紙３）に以下の事項を記録するものとする。なお、「個人情報管理台帳」には、個人データ自体は記載しないものとする。
（１）個人情報データベース等の種類と名称（２）記録媒体（３）件数（４）保管場所（５）事務取扱担当者（アクセス権者）（６）保存期間（７）削除・廃棄方法（個人データの削除及び機器、電子媒体等の廃棄）
第８条 個人データの廃棄・削除段階における記録媒体等の管理は次のとおりとする。
2

（１）事務取扱担当者は、個人データが記録された書類等を廃棄する場合、シュレッダー等による記載内容が復元不能までの裁断等の復元不可能な手段を用いるものとする。
（２）事務取扱担当者は、個人データが記録された機器及び電子媒体等を廃棄する場合、専用データ削除ソフトウェアの利用又は物理的な破壊等により、復元不可能な手段を用いるものとする。
（３）事務取扱担当者は、個人情報データベース等中の個人データを削除する場合、容易に復元できない手段を用いるものとする。
（４）個人情報が記載された書類等については、１０年保存期間経過後の毎年度末に廃棄をするものとする。
２

事務取扱担当者は、個人データ若しくは個人情報データベース等を削除した場合、又は電子媒体等を廃棄した場合には、「個人データの運用状況記録票」（別紙 1）に記録するものとする。
削除・廃棄の記録としては、個人情報データベース等の種類・名称、責任者・取扱部署、削除・廃棄状況を記録するものとし、当該個人データ自体は含めないものとする。

（アクセス制御）第９条 個人データへのアクセス制御は以下のとおりとする。
（１）個人情報データベース等を取り扱うことができる情報システムを限定する。
（２）個人データと紐付けてアクセスできる情報の範囲をアクセス制御により限定する。
（３）ユーザーＩＤに付与するアクセス権により、個人情報データベース等を取り扱う情報システムを使用できる者を事務取扱担当者に限定する。
（アクセス者の識別と認証）
第１０条

個人データを取り扱う情報システムは、ユーザーＩＤ、パスワード等の識別方法により、事務取扱担当者が正当なアクセス権を有する者であることを、識別した結果に基づく認証するものとする。
（情報システムの使用に伴う漏えい等の防止）第１１条

本学会は、情報システムの使用に伴う個人データの漏えい等を防止するために以下の措置を講じ、適切に運用するものとする。
（１）情報システムの設計時に安全性を確保し、継続的に見直す。
（２）個人データを含む通信の経路又は内容を暗号化する。
（３）移送する個人データについて、パスワード等による保護を行う。

第３章

個人情報の取扱い（利用目的の特定）
第１２条

本学会は、個人情報の保有に当たっては、業務を遂行するため必要な場合に限り、かつ、その利用の目的（以下「利用目的」という。
）をできる限り特定しなければならない。
２

本学会は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。

（利用目的による制限）
3

第１３条

本学会は、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を保有してはならない。
２ 本学会は、当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
３ 前項の規定は、次に掲げる場合については、適用しない。
（１）法令に基づく場合（２）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
（３）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
（４）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
（利用目的の通知等）
第１４条

本学会は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表するものとする。
２

本学会は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。

（不適正な利用の禁止）
第１５条

本学会は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならないものとする。
（適正な取得）第１６条 本学会は、偽りその他不正な手段により個人情報を取得しないものとする。
２

本学会は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報（個人情報保護法第 2 条第 3 項）を取得してはならない。

（１）法令に基づく場合（２）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
（３）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
（３）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
（データ内容の正確性の確保等）
第１７条

本学会は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。

4

第4章

第三者提供の制限（第三者提供の制限）
第１８条

本学会は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
（１）法令に基づく場合（２）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
（３）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
（４）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
（５）当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）（６）当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限り、当該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）（７）当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）。
２

本学会は、第三者に提供される個人データ（要配慮個人情報を除く。以下この項において同じ。
）について、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、規則に定める所定の方法により、理事長に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。

（１）第三者への提供を利用目的とすること。
（２）第三者に提供される個人データの項目（３）第三者への提供の方法（４）本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
（５）本人の求めを受け付ける方法
３

次に掲げる場合において、当該個人データの提供を受ける者は、第１項の規定の適用については、第三者に該当しないものとする。

（１）個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合。
（２）合併その他の事由による事業の承継に伴って個人データが提供される場合。
（３）特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。
5

４

本学会は、前項第３号に規定する個人データの管理について、責任を有する者の氏名、名称若しくは住所に変更があったときは遅滞なく、同号に規定する者の利用目的又は当該責任を有する者を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置くものとする。

（外国にある第三者への提供の制限）
第１９条

前条にかかわらず、本学会が外国（本邦の域外にある国又は地域をいう。以下同じ。）にある第三者に個人データを提供する場合は、前条第１項各号に該当する場合を除き、あらかじめ当該外国の第三者への提供を認める旨の本人同意を得なければならない。この場合、あらかじめ本人に対し、①当該外国の名称、②適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報、及び③当該第三者が講ずる個人情報の保護のための措置に関する情報を提供しなければならない。
（第三者提供をする際の記録）
第２０条

本学会は、個人データを第三者に提供したときは、速やかに第三者提供に係る記録を電磁的に作成しなければならない。ただし、当該個人データの提供が前第１８条第１項各号に該当する場合又は同条第４項のいずれかに該当する場合は、この限りでない。
２

前項の記録は、当該第三者から継続的に若しくは反復して個人データの提供をしたとき、又は当該第三者から継続的に若しくは反復して個人データの提供を受けることが確実であると見込まれるときの記録は、一括して作成することができる。

３

第１８条第２項から第３項までに基づき個人データを第三者に提供した場合は以下の事項を記録するものとする。また、第 1 項に基づく場合には、さらに本人の同意を得ている旨を記録しなければならない。

（１）当該個人データを提供した年月日（２）当該第三者の氏名又は名称その他の当該第三者を特定するに足りる事項（不特定かつ多数の者に対して提供したときは、その旨）（３）当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項（４）当該個人データの項目
４

本学会は、前第１項から第３項までの規定により作成した記録を、以下の場合に応じて、当該記録を作成した日から所定の期間保存するものとする。

（１）本人を当事者とする契約書等に基づく個人データの提供の場合、最後に当該記録に係る個人データの提供を行った日から起算して１年を経過する日までの間保存する。
（２）個人データを継続的に若しくは反復して提供する場合、最後に当該記録に係る個人データの提供を行った日から起算して３年を経過する日までの間保存する。
（３）前第１号及び第２号以外の場合には、当該記録を作成した日から３年間保存する。
（第三者提供を受ける際の確認及び記録）
第２１条

本学会は、第三者から個人データの提供を受けるに際しては、次の各号の確認を行わなければならない。ただし、当該個人データの提供が第１８条第１項各号に該当する場合又は同条４項のいずれかに該当する場合は、この限りでない。
（１）当該第三者の氏名又は名称及び住所並びに法人にあってはその代表者の氏名（２）当該第三者による当該個人データの取得の経緯
6

２

本学会は、第三者から個人データの提供を受ける際の確認を行う方法は、確認を行う事項の区分に応じて、それぞれ次のとおりとする。

（１）前項第 1 号に該当する場合、個人データを提供する第三者から申告を受ける方法その他の適切な方法（２）前項第２号に該当する場合、個人データを提供する第三者から当該第三者による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法
３

本学会は、前３項に基づく確認を行ったとき、第１８条第３項の方法により個人データの提供を受けた場合には、次の各号を記録しなければならない。

（１）個人データの提供を受けた年月日（２）当該第三者の氏名又は名称（３）当該第三者の住所（４）当該第三者が法人である場合は、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名（５）当該第三者による当該個人データの取得の経緯（６）当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項（７）当該個人データの項目（８）法に基づき個人情報保護委員会による公表がされている旨
第１８条第 1 項の方法による場合には、次の各号を記録しなければならない。

４（１）本人の同意を得ている旨（２）当該第三者の氏名又は名称（３）当該第三者の住所（４）当該第三者が法人である場合は、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名（５）当該第三者による当該個人データの取得の経緯（６）当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項（７）当該個人データの項目
５

個人情報取扱事業者ではない第三者から提供を受けた場合には、次の各号を記録しなければならない。

（１）当該第三者の氏名又は名称（２）当該第三者の住所（３）当該第三者が法人である場合は、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名（４）当該第三者による当該個人データの取得の経緯（５）当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項（６）当該個人データの項目
６

本学会は、第２項から前項までの規定により作成した記録を、以下の場合に応じて、当該記録を作成した日から所定の期間保存するものとする。

（１）本人を当事者とする契約書等に基づく個人データの提供の場合、最後に当該記録に係る個人データの提供を行った日から起算して１年を経過する日までの間（２）個人データを継続的に若しくは反復して提供する場合、最後に当該記録に係る個人データの提供を行った日から起算して３年を経過する日までの間（３）前第 1 号及び第 2 号以外の場合、当該記録を作成した日から３年間
7第５章

保有個人データの開示等の請求等及び苦情処理（保有個人データに関する事項の公表等）
第２２条

本学会は、保有個人データに関し、次に掲げる事項について、インターネットのホームページに常時掲載することとする。
（１）本学会の名称（２）全ての保有個人データの利用目的（３）個人データの開示請求に応じる手続（４）本学会の保有個人データの取扱いに関する苦情の申出先２ 本学会は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、これを通知するものとする。ただし、当該個人データの利用目的が明らかな場合は、この限りでない。
（保有個人データの開示）
第２３条

本学会は、本人から、当該本人が識別される保有個人データの開示（当該本人が識別される保有個人データが存在しないときにその旨を知らせることを含む。以下同じ。）に係る書面による請求を受けたときは、本人に対し、遅滞なく、当該保有個人データを、書面の交付による方法により、開示するものとする。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
（１）本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（２）本学会の業務の適正な実施に著しい支障を及ぼすおそれがある場合（３）他の法令に違反することとなる場合２ 本学会は、前項の規定に基づき求められた保有個人データの全部又は一部について開示しない旨の決定をしたときは、本人に対し、その旨を理由と共に通知するものとする。
（保有個人データの訂正等）
第２４条

本学会は、当該本人が識別される保有個人データの内容が事実でないことを理由に当該本人から訂正、追加又は削除（以下「訂正等」という。）に係る書面による請求を受けた場合には、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲の調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行うものとする。
２ 本学会は、前項の請求に係る保有個人データの内容の全部又は一部について訂正等を行ったとき、又は訂正等を行わない旨を決定したときは、本人に対し、その旨（訂正等を行ったときは、その内容を含む。
）を通知するものとする。この場合、本学会は本人に対して、当該通知においてその理由を説明するものとする。
（保有個人データの利用停止等）
第２５条

本学会は、本人から、当該保有個人データの利用の停止、消去（以下、「利用停止等」という。
）について、利用停止等の理由を明記した書面による請求を受けた場合であって、当該理由が妥当であると判明したときは、違反を是正するために必要な限度で、保有個人データの利用停止等を行うものとする。但し、利用停止等を行うことに多額の費用を要する場合その他
8

の利用停止等を行うことが困難な場合であって、当該本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りではない。
２

本学会は、本人から、当該保有個人データの第三者への提供の停止に係る請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該保有個人データの提供を停止するものとする。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

３

本学会は、第一項の規定に基づき求められた保有個人データの全部若しくは一部について利用停止等、第三者への提供停止を行ったときは、本人に対し、その旨を通知するものとする。
この場合、本学会は本人に対して、当該通知においてその理由を説明するものとする。

（苦情処理）
第２６条

本学会は、本学会における保有個人データの取扱いに関する苦情の適切かつ迅速な処理に努めるものとする。
２

事務取扱担当者は、本規程に関し苦情の申出を受けた場合には、その旨を事務取扱責任者に報告する。報告を受けた事務取扱責任者は、理事長に報告し適切に対応するものとする。
第６章 個人データの委託の取扱い（委託先における安全管理措置）
第２７条

本学会は、個人データの全部又は一部の委託する場合には、本学会自らが果たすべき安全管理措置と同等の措置が委託先において適切に講じられるよう、必要かつ適切な監督を行なうものとする。
２

前項の「必要かつ適切な監督」には次に掲げる事項が含まれる。
（１）委託先の適切な選定（２）委託先に安全管理措置を遵守させるために必要な契約の締結（３）委託先における個人データの取扱状況の把握

３

前項第１号の「委託先の適切な選定」に当たっては、委託先の安全管理措置が、本学会と同等であって、委託する業務内容に沿って、確実に実施されることについて、あらかじめ確認しなければならない。

４

本学会は、委託先において個人データの安全管理が適切に行われていることについて、１年に１回以上及び必要に応じてモニタリングをするものとする。

５

本学会は、委託先において情報漏えい事故等が発生した場合に、適切な対応がなされ、速やかに本学会に報告される体制になっていることを確認するものとする。

第７章 雑則（規程の細目及び運用）
第２８条 この規程の実施に必要な事項は、別に定める。
附則

この規程は、平成４年８月１日から施行する。

9