学校法人日本工業大学

個人情報保護基本規程

目 次
第１章 総 則第１条 （目的）第２条 （定義）
第３条 （基本理念）
第４条 （適用範囲）
第２章 個人情報等の取扱いについて
第１節 個人情報等の利用について
第５条 （利用目的の特定）第６条 （利用目的による制限）
第７条 （要配慮個人情報の取得）
第８条 （適正な取得）
第９条 （取得に際しての利用目的の通知等）
第２節 個人データの委託、共同利用、第三者提供
第10条 （委託）第11条 （共同利用）第12条 （第三者提供の制限）
第13条 （第三者提供の適用除外）
第14条 （外国の第三者への提供）
第15条 （第三者への提供に係る記録の作成等）
第16条 （第三者からの提供を受ける際の確認等）
第16条の２ （個人関連情報の第三者提供の制限等）
第16条の３ （個人関連情報を個人データとして取得する場合）
第３節 個人情報等の登録・保管・廃棄について
第17条 （データ内容の正確性の確保）
第18条 （安全管理措置）
第19条 （文書管理）第４節 職員及び委託先の監督
第20条 （職員に対する指導・監督）第21条 （委託先の監督）
第５節 本人からの開示等の請求に対する対応
第22条 （保有個人データに関する事項の公表等）
第23条 （開示）第24条 （訂正等）
第25条 （利用停止等）
第26条 （請求の方法等）
第27条 （不服申し立て）第６節 当学園に対する苦情への対応
第28条 （当学園による苦情の処理）
第３章 個人情報保護へ向けた体制
第29条 （個人情報保護責任者）
第30条 （個人情報保護管理者）
第31条 （個人情報保護委員会）
第32条 （教育）第33条 （監査）第34条 （情報漏洩への対応）
第35条 （廃棄）第36条 （懲戒）第４章 仮名加工情報及び匿名加工情報の作成等及び義務第37条 （仮名加工情報の作成等）
第38条 （匿名加工情報の作成等）
第39条 （匿名加工情報の第三者提供）
第40条 （識別行為の禁止）

1

第41条

（匿名加工情報の安全管理措置等）

第１章

総

則

（目的）
第１条 本規程は、高度情報通信社会の進展に伴い個人情報の利用が著しく拡大していることにかんがみ、
学校法人日本工業大学（以下「本法人」という。）が保有する個人情報について、個人情報の保護に関する法律（以下「個人情報保護法」という。）その他関連法令等の趣旨の下、これを適正に取得、保管、管理、利用等取扱い、個人の権利利益を保護するための基本となる事項を定めることを目的とする。
（定義）
第２条 本規程において、次の各号に掲げる用語の定義は、当該各号に定めるところによる。
（１）個人情報 生存する個人に関する情報であって、次のいずれかに該当するものをいう。
イ 当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの。
ロ 他の情報と容易に照合することができ、それにより特定の個人を識別できるもの。
ハ 個人識別符号が含まれるもの。
（２）個人識別符号 次のいずれかに該当する文字、番号、記号その他の符号のうち、個人情報保護法施行令（以下「政令」という。）で定めるものをいう。
イ 特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの。
ロ 個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ、又は個人に発行されるカードその他の書類に記載され、若しくは電磁的方式により記録された文字、番号、記号その他の符号であって、その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され、若しくは記録されることにより、特定の利用者
若しくは購入者又は発行を受ける者を識別することができるもの。
（３）要配慮個人情報 本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪による被害の事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取り扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。
（４）個人情報データベース等 個人情報を含む情報の集合物であって、①特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの又は②特定の個人情報を容易に検索することができるように体系的に構成したものであって、これに含まれる個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するものをいう。但し、利用方法
からみて個人の権利利益を害するおそれが少ないものとして次の各号のいずれにも該当するものを除く。
イ 不特定かつ多数の者に販売することを目的として発行されたものであって、かつ、その発行が法又は法に基づく命令の規定に違反して行われたものでないこと。
ロ 不特定かつ多数の者により随時に購入することができ、又はできたものであること。
ハ 生存する個人に関する他の情報を加えることなくその本来の用途に供しているものであること。
（５）個人情報取扱事業者 個人情報データベース等を事業の用に供している者をいう。ただし、次の各号に掲げる者を除く。
イ 国の機関ロ 地方公共団体
ハ 独立行政法人等
二 地方独立行政法人（６）個人データ 個人情報データベース等を構成する個人情報をいう。
（７）保有個人データ 本法人が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データをいう。ただし、次のいずれかに該当するものを除く。
イ 当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの。
ロ 当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの。
ハ 当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは2

国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの。
ニ 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの。
（８）本人 個人情報によって識別される特定の個人をいう。
（９）仮名加工情報 次に掲げる個人情報の区分に応じて当該各号に定める措置を講じて他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報をいう。
イ 第１号イ及びロに該当する個人情報 当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
ロ 第１号ハに該当する個人情報 当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
（10）仮名加工情報データベース等 仮名加工情報を含む情報の集合物であって、次のいずれかに掲げるものをいう。
イ 特定の仮名加工情報を電子計算機を用いて検索することができるように体系的に構成したもの。
ロ 特定の仮名加工情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するもの。
（11）仮名加工情報取扱事業者 仮名加工情報データベース等を事業の用に供している者をいう。ただし、第５号イからニまでに掲げる者を除く。
（12）匿名加工情報 次に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元できないようにしたものをいう。
イ 第１号イ及びロに該当する個人情報 当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
ロ 第１号ハに該当する個人情報 当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
（13）匿名加工情報データベース等 匿名加工情報を含む情報の集合物であって、次のいずれかに掲げるものをいう。
イ 特定の匿名加工情報を電子計算機を用いて検索することができるように体系的に構成したもの。
ロ 特定の匿名加工情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するもの。
（14）匿名加工情報取扱事業者 匿名加工情報データベース等を事業の用に供している者をいう。ただし、第５号イからニまでに掲げる者を除く。
（15）個人関連情報 生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。
（16）個人関連情報データベース等 個人関連情報を含む情報の集合物であって、次のいずれかに掲げるものをいう。
イ 特定の個人関連情報を電子計算機を用いて検索することができるように体系的に構成したもの。
ロ 特定の個人関連情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するもの。
（17）個人関連情報取扱事業者 個人関連情報データベース等を事業の用に供している者をいう。ただし、第５号イからニまでに掲げる者を除く。
（基本理念）
第３条 本法人は、個人情報が、個人の人格尊重の理念の下に慎重に取り扱われるべきものであることにかんがみ、その適正な取扱いを図るものとする。
（適用範囲）
第４条 本規程は、コンピュータ処理をなされているか否か、及び書面に記録されているか否かを問わず、本法人において処理される全ての個人情報、個人データ、保有個人データ、仮名加工情報、匿名加工情報
及び個人関連情報（以下「個人情報等」という。）の取扱いについて定めるものとし、本法人の業務に従事する全ての役員及び職員（専任職員のほかアルバイト職員、パート職員、契約職員等も含む、以下同じ。）

3

に対しこれを適用するものとする。
第２章

個人情報等の取扱いについて

第１節

個人情報等の利用について（利用目的の特定）第５条 本法人は、個人情報を取り扱うに当たっては、利用の目的（以下「利用目的」という。）をできる限り特定する。
２ 本法人は、個人情報を第三者に提供することを想定している場合には、利用目的の特定にあたり、その旨が分かるように特定する。
３ 本法人は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行わない。
（利用目的による制限）
第６条 本法人は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱わない。
２ 本法人は、他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱わない。
３ 前２項の規定は、次に掲げる場合については、適用しない。
（１）法令に基づく場合（２）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
（３）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
（４）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
（５）個人情報を学術研究の用に供する目的（以下「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
（６）大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者（以下「学術研究機関
等」という。）に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
（要配慮個人情報の取得）
第７条 要配慮個人情報は、合理的な理由がない限り取得しないように努めるものとする。
２ 要配慮個人情報を取得するときは、次に掲げる場合を除き、あらかじめ本人の同意を得なければならない。
（１）前条第３項第１号から第５号までに該当する場合（２）学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
（３）当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等その他個人情報保護法施行規則で定める者により公開されている場合（４）本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合（５）第13条各号に該当する場合において、個人データである要配慮個人情報の提供を受けるとき。
（適正な取得・適正な利用）
第８条 本法人は、偽りその他不正の手段により個人情報を取得しない。
２ 本法人は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用しない。
（取得に際しての利用目的の通知等）
第９条 本法人は、個人情報を取得した場合は、あらかじめその利用目的を通知又は公表している場合を除き、速やかに、その利用目的を本人に通知し、又は公表する。

4

２

本法人は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られる記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示する。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。
３ 本法人は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表する。
４ 前３項の規定は、次に掲げる場合については、適用しない。
（１）利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権
利利益を害するおそれがある場合（２）利用目的を本人に通知し、又は公表することにより本法人の権利又は正当な利益を害するおそれがある場合（３）国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
（４）取得の状況からみて利用目的が明らかであると認められる場合
第２節

個人データの委託、共同利用、第三者提供（委託）第10条 本法人は利用目的の達成に必要な範囲内で、個人データの取扱いの全部または一部を外部業者等に委託する場合には、委託先となる当該外部業者等に対して、個人データを提供することができる。
（共同利用）
第11条 本法人は、個人データを特定の者との間で共同して利用する場合には、当該特定の者に個人データを提供することができる。
２ 前項の場合において、本法人は、次に掲げる事項を、あらかじめ本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
（１）個人データを共同利用する旨（２）共同利用する個人データの項目（３）共同利用する者の範囲（４）共同利用する者の利用目的（５）共同利用する個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
３ 本法人は、前項第５号に規定する個人データの管理について責任を有する者の氏名、名称若しくは住所又は代表者の氏名に変更があったときは遅滞なく、同号に規定する利用する者の利用目的又は当該責任を有する者を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置くものとする。
（第三者提供の制限）
第12条 本法人は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供しない。
（１）法令に基づく場合（２）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
（３）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
（４）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
（５）当該個人データの提供が学術成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）。
（６）個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
（７）当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

5

２

本法人は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、あらかじめ、
本人に通知し、又は本人が容易に知り得る状態に置くとともに、内閣府個人情報保護委員会へ届け出たとき（以下「オプトアウト」という。）は、前項の規定にかかわらず、当該個人データを第三者に提供することができる。
（１）本法人の名称、住所、理事長の氏名。
（２）第三者への提供を利用目的とすること。
（３）第三者に提供される個人データの項目。
（４）第三者に提供される個人データの取得の方法。
（５）第三者への提供の手段又は方法。
（６）本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
（７）前号の本人の求めを受け付ける方法。
（８）第三者に提供される個人データの更新の方法。
（９）当該届出に係る個人データの第三者への提供を開始する予定日。
３ 前項の規定は、次に掲げる事項については適用しない。
（１）要配慮個人情報（２）偽りその他不正の手段により取得された個人データ（３）他の個人情報取扱事業者からオプトアウト規定により提供された個人データ（その全部又は一部を複製・加工したものを含む。）
４ 本法人は、第２項第１号に掲げる事項に変更があったとき又は同項の規定による個人データの提供をやめたときは遅滞なく、同項第３号から第５号まで、第７号、第８号又は第９号に掲げる事項を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置くとともに、内閣府個人情報保護委員会に届け出るものとする。また、本法人は、オプトアウトによる個人データの第三者提供を行う場合には、個人情報保護法その他の法令の定めを遵守するものとする。
（第三者提供の適用除外）
第13条 次に掲げる場合において、当該個人データの提供を受ける者は、本規程においては、第三者に該当せず、本法人は、あらかじめ本人の同意なくして、当該個人データの提供を受ける者に対して当該個人データを提供することができる。
（１）第10条の定めにより本法人が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託する場合（２）合併その他の事由による事業の承継に伴って個人データが提供される場合（３）第11条の定めにより個人データを特定の者との間で共同して利用する場合（外国の第三者への提供）
第14条 本法人は、次の各号のいずれかに該当する場合を除き、外国にある第三者に個人データを提供する
場合には、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。
（１）個人情報保護法施行規則において個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国であると定められた国にある第三者への提供。
（２）当該外国にある第三者が、個人データの取扱いについて個人情報保護法第４章第２節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置（以下「相当措置」という。）
を継続的に講ずるために必要なものとして次項で定める基準に適合する体制を整備している場合（３）第12条第１項各号に掲げる場合
２ 第１項第２号で定める基準は、次の各号のいずれかに該当するものとし、詳細は別途定める。
（１）本法人と外国にある第三者との間で当該第三者における個人データの取扱いについて、適切かつ合理的な方法により、個人情報保護法第４章第２節の規定（個人情報保護法第17条から第40条まで（ただし、第29条、第30条及び第39条を除く。）。本規程第５条から第14条まで、第18条、第20条及び第21条から第28条まで。）の趣旨に沿った措置の実施が確保されていること。
（２）外国にある第三者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。
３ 本法人は、第１項の規定により本人の同意を得ようとする場合には、あらかじめ、当該外国における個
人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。
４ 本法人は、個人データを外国にある第三者（第１項第２号に規定する体制を整備している者に限る。）に提供した場合には、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。

6

（第三者への提供に係る記録の作成等）
第15条 個人データを第三者（国の機関、地方公共団体、独立行政法人等、地方独立行政法人を除く。）に提供したとき（第６条第３項各号に該当する場合又は第13条各号に該当する場合を除く。）には、次の事
項に関する記録を作成しなければならない。但し、本法人が本人に対する物品又はサービスの提供に関連して当該本人の個人データを第三者へ提供する場合において当該提供に関して作成された契約書等に次の事項が記載されているときは、当該契約書等で代替可能とし、また、既に記録されている事項と内容が同一のものについては、当該事項の記録を省略することができる。
（１）本人の同意を得ている旨（第12条第２項の規定により個人データを提供した場合は提供した年月日）（２）当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名（不特定かつ多数の者に対して提供したときは、その旨）（３）当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項（４）当該個人データの項目
２ 前項の記録は、個人データを第三者に提供した都度、速やかに作成しなければならない。但し、個人データを第三者に継続的に若しくは反復して提供（第12条第２項の規定により個人データを提供した場合は除く。）したとき、又はその確実な見込みがあるときは、一括して作成することができる。
３ 本法人は、前２項により作成した記録を、次の各号に応じて、次の各号に定める期間、保存しなければならない。
（１）第１項但し書きに基づき契約書等で記録に代えた場合 最後に個人データの提供を行った日から起算して１年を経過する日までの間（２）前項但し書きに基づき一括して記録を作成した場合 最後に個人データの提供を行った日から起算
して３年を経過する日までの間（３）前２号以外の場合 当該記録を作成した日から３年間
４ 本人は、第１項の記録について、開示を請求することができる。請求の手続きについては、第23条の規定を準用する。
（第三者からの提供を受ける際の確認等）
第16条 第三者（国の機関、地方公共団体、独立行政法人等、地方独立行政法人を除く。）から個人データの提供を受けるに際しては、次の事項を、それぞれ次の各号に定める方法で確認し、その取得方法が適法なものであることを確認しなければならない。但し、当該個人データの提供が第６条第３項各号又は第13条各号に該当する場合は、この限りでない。
（１）当該第三者の氏名又は名称及び住所並びに法人にあってはその代表者の氏名 個人データを提供する第三者から申告を受ける方法その他の適切な方法（２）当該第三者による当該個人データの取得の経緯 個人データを提供する第三者から当該第三者による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法
２ 前項により個人データの提供を受けた場合、次の事項に関する記録を作成しなければならない。但し、本法人が本人に対する物品又はサービスの提供に関連して第三者から個人データの提供を受けた場合において当該提供に関して作成された契約書等に次の事項が記載されているときは、当該契約書等で代替可能とし、また、既に記録されている事項と内容が同一のものについては、当該事項の記録を省略することができる。
（１）本人の同意を得ている旨（第12条第２項の規定により個人データの提供を受けた場合は提供を受けた年月日）（２）前項各号に掲げる確認事項（３）当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項（４）当該個人データの項目（５）第12条第２項の規定により個人データの提供を受けた場合は、内閣府個人情報保護委員会による公表がされている旨
３ 前項の記録は、第三者から個人データの提供を受けた都度、速やかに作成しなければならない。但し、第三者から継続的に若しくは反復して個人データの提供（第12条第２項の規定により個人データを提供した場合は除く。）を受けたとき、又はその確実な見込みがあるときは、一括して作成することができる。
４ 本法人は、前２項により作成した記録を、次の各号に応じて、次の各号に定める期間、保存しなければならない。
（１）第２項但し書きに基づき契約書等で記録に代えた場合 最後に個人データの提供を受けた日から起算して１年を経過する日までの間（２）前項但し書きに基づき一括して記録を作成した場合 最後に個人データの提供を受けた日から起算
して３年を経過する日までの間（３）前２号以外の場合 当該記録を作成した日から３年間

7（個人関連情報の第三者提供の制限等）
第16条の２ 本法人は、第三者が個人関連情報（個人関連情報データベース等を構成するものに限る。以下
本条において同じ。）を個人データとして取得することが想定されるときは、第12条第１項各号に掲げる場合を除くほか、次に掲げる事項について、あらかじめ第２項で定めるところにより確認することをしな
いで、当該個人関連情報を当該第三者に提供してはならない。
（１）当該第三者が本法人から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていること。
（２）外国にある第三者への提供にあっては、前号の本人の同意を得ようとする場合において、第３項及び第４項で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報が当該本人に提供されていること。
２ 前項の規定による同項各号に掲げる事項の確認を行う方法は、次のとおりとする。
（１）第１号に掲げる事項の確認を行う方法 個人関連情報の提供を受ける第三者から申告を受ける方法
その他の適切な方法（２）第２号に掲げる事項の確認を行う方法 同号の規定による情報の提供が行われていることを示す書面の提示を受ける方法その他の適切な方法（３）前２号の規定にかかわらず、第三者に個人関連情報の提供を行うに際して既に前２号に規定する方法による確認（当該確認について法令の定めに従った方法による記録の作成及び保存をしている場合
におけるものに限る。）を行っている事項の確認を行う方法は、当該事項の内容と当該提供に係る前項各号に掲げる事項の内容が同一であることの確認を行う方法とする。
３ 第14条第４項の規定は、第１項の規定により本法人が個人関連情報を提供する場合について準用する。
この場合において、同条第４項中「講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供し」とあるのは、「講じ」と読み替えるものとする。
４ 前条第２項、第３項及び第４項の規定は、第１項の規定により本法人が確認する場合について準用する。
この場合において、同条第２項及び第３項中「の提供を受けた」とあるのは、「を提供した」と読み替えるものとする。
（個人関連情報を個人データとして取得する場合）
第16条の３ 本法人は、個人関連情報取扱事業者から提供を受ける個人関連情報を個人データとして取得する場合は、第12条第１項各号に掲げる場合を除き、当該個人データにより識別される本人から、当該個人関連情報取扱事業者から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の同意を取得しなければならない。
２ 本法人は、個人関連情報取扱事業者から提供を受ける個人関連情報を個人データとして取得する場合には、第16条及び法令の定めに従い、必要な確認を行い、記録を作成するものとする。
第３節

個人情報等の登録・保管・廃棄について（データ内容の正確性の確保）
第17条 本法人は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったとき（利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合等）は、当該個人データを遅滞なく消去（当該個人データを個人データとして使えなくすることであり、当該データを削除することのほか、当該データから特定の個人を識別できな
いようにすること等を含む。）するよう努めなければならない。ただし、法令の定めにより保存期間等が定められている場合は、この限りではない。
（安全管理措置）第18条 本法人は、取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じる。
（文書管理）
第19条 本法人は文書の記録・保管・廃棄に関し、前二条の趣旨に照らし必要な事項について別に定め、これに基づき必要な措置を行うものとする。
第４節

職員及び委託先の監督（職員に対する指導・監督）8

第20条 本法人は、職員に対する指導・監督をするために必要な事項について別に定め、全ての職員にこれを遵守させるものとする。
２ 本法人は、職員に個人情報等を取り扱わせるに当たり、これが適切に行われるよう監督を行う。
（委託先の監督）
第21条 本法人は、個人データの取扱いの全部又は一部を委託する場合は、当該委託を受ける者における個
人情報保護へ向けた対応の状況等に照らし、委託を行うことの適切性を検討するとともに、当該委託を受ける者との間で秘密保持契約を締結した上で提供を行うものとし、かつ、委託先に対しては適切な監督を行うものとする。
２ 前項の適切性の判断に当たっては、本法人の定めの水準を基にこれを行うものとする。
第５節

本人からの開示等の請求に対する対応（保有個人データに関する事項の公表等）
第22条 本法人は、保有個人データに関し、次に掲げる事項を、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合も含む。）に置くものとする。
（１）本法人の名称、住所、理事長の氏名（２）全ての保有個人データの利用目的（第９条第４項第１号から第３号までの場合を除く。）（３）次項から第25条までに定める請求等に応じる手続（個人情報保護法第38条第２項の規定により手数料の額を定めたときはその手数料の額を含む。）（４）保有個人データの安全管理のために講じた措置（本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合も含む。）に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。）（５）本法人における保有個人データの取扱いに関する苦情の申出先
２ 本法人の保有個人データについて、本人は、本法人に対し当該本人が識別される保有個人データの利用目的の通知を求める（以下この条において「利用目的通知の求め」という。）ことができる。
３ 本法人は、本人から利用目的通知の求めがあったときは、本人に対し、遅滞なく、これを通知する。ただし、次の各号のいずれかに該当する場合は、この限りでない。
（１）第１項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合（２）第９条第４項第１号から第３号までに該当する場合
４ 前項の規定に基づき、保有個人データの利用目的を通知しない旨の決定をしたときは、本法人は、本人に対し、遅滞なく、その旨を通知する。
５ 本法人は、前項の規定により、保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、その理由を説明するよう努めるものとする。
（開示）
第23条 本法人の保有個人データについて、本人は、当該本人が識別される保有個人データの開示請求（以下この条において「開示請求」という。）することができる。
２ 本人は、開示請求において、当該保有個人データの電磁的記録の提供による方法、書面の交付による方法その他本法人の定める方法による開示を請求することができる。
３ 前項に基づき本人から開示請求を受けたときは、本法人は、別に定める方法により、遅滞なく、前項の規定により本人が請求した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）により、当該保有個人データを開示する。
４ 開示の請求を受けたときであっても、開示することにより次の各号のいずれかに該当する場合は、本法
人は、その全部又は一部を開示しないことができる。
（１）本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（２）本法人の業務の適正な実施に著しい支障を及ぼすおそれがある場合（３）他の法令に違反することとなる場合
５ 前項の規定に基づき、保有個人データの全部又は一部について開示しない旨の決定をしたとき、当該保有個人データが存在しないとき、又は本人が請求した方法による開示が困難であるときは、本法人は、本人に対し、遅滞なく、その旨を通知する。
６ 他の法令の規定により、本人に対し第２項本文に規定する方法に相当する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている場合には、当該全部又は一部の保有個人
データについては、第２項の規定は、適用しない。
７ 本法人は、第４項の規定により、本人から求められた措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、その理由を説明

9８するよう努めるものとする。
第１項から第５項の規定は、当該本人が識別される個人データに係る第15条第１項及び第16条第２項の記録について準用する。ただし、次の各号に掲げるものを除く。
（１）当該記録の存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの。
（２）当該記録の存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの。
（３）当該記録の存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの。
（４）当該記録の存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの。

（訂正等）
第24条 本法人の保有個人データについて、当該本人が識別される保有個人データの内容が事実でないとき
は、本人は、本法人に対し、当該保有個人データの内容の訂正、追加又は削除（以下この条において「訂正等」という。）を請求することができる。
２ 前項に基づき本人から訂正等の請求を受けた場合には、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行う。
３ 前項の調査の結果、当該保有個人データの内容が事実でないことが判明したときは、本法人は、直ちに訂正等を行う。
４ 前項に基づき、求められた保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を通知する。
５ 本法人は、前項の規定により、本人から求められた措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、その理由を説明するよう努めるものとする。
（利用停止等）第25条 本法人の保有個人データについて次に掲げる事由があるときは、本人は本法人に対し、当該本人が識別される保有個人データの利用の停止又は消去もしくは第三者への提供の停止（以下この条において「利用停止等」という。）を請求することができる。
（１）当該本人が識別される保有個人データが、第６条の規定に違反して取扱われているとき。
（２）当該本人が識別される保有個人データが、第７条の規定に違反して要配慮個人情報が取得されたとき。
（３）当該本人が識別される保有個人データが、第８条の規定に違反して不正の手段により取得されたものであるとき又は不適正な方法により利用されているとき。
（４）当該本人が識別される保有個人データが、第12条又は第14条の規定に違反して第三者に提供されているとき。
（５）当該本人が識別される保有個人データを、本法人が利用する必要がなくなった場合（６）当該本人が識別される保有個人データについて、漏えい、滅失、毀損等の事態が発生した場合（７） 当該本人が識別される保有個人データの取扱いにより、本人の権利又は正当な利益が害されるおそれがある場合２ 前項に基づき本人から利用停止等の請求を受けたときは、本法人は、前項各号に掲げる事由として具体的に主張された事実の有無について、必要な調査を行うものとする。
３ 前項の調査の結果、本人からの利用停止等の請求に理由があることが判明したときは、本法人は、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行うものとする。
４ 第１項各号に掲げる事由が認められた場合であっても、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合には、当該保有個人データの利用停止等を行わないことができる。ただし、本人の権利利益を保護するため必要なこれに代わるべき措置をとることを要する。
５ 第３項に基づき、保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたときは、本法人は、本人に対し、遅滞なく、その旨を通知するものとする。
６ 本法人は、前項の規定により、本人から求められた措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、その理由を説明す10

るよう努めるものとする。
（請求の方法等）
第26条 本人が第22条第２項、第23条第１項、第24条第１項及び第25条第1項に定める各請求等を行う方法、本法人がその請求を受け付ける方法、手数料、その他各請求に関する手続き等の詳細については、本法人が別に定める。
２ 本人は、本法人が定めた手続き及び方法に従い、各請求をしなければならない。
３ 本法人は、本人に対し、第22条第２項、第23条第１項、第24条第１項及び第25条第１項に定める各請求等に関し、その対象となる保有個人データ又は第三者提供記録を特定するに足りる事項の提示を求めることができる。この場合において、本法人は、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データ又は第三者提供記録の特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。
（不服申し立て）第27条 第22条第２項、第23条第１項、第24条第１項及び第25条第１項に定める各請求等に基づいて本法人が行った措置に不服がある本人は、本法人に対し、不服の申し立てを行うことができる。
２ 前項に基づく不服申し立てを受けたときは、本法人は、遅滞なく申し立ての理由の有無について審理を行う。
３ 本法人は、審理のため必要がある場合には、本人その他関係者から意見を徴することができる。
４ 本人が第１項の不服申し立てを行う方法、本法人がその申し立てを受け付ける方法、手数料その他各請
求に関する手続き等の詳細については、本法人が別に定める。
５ 本人は、本法人が定めた手続き及び方法に従い、申し立てをしなければならない。
第６節

本法人に対する苦情への対応（本法人による苦情の処理）
第28条 本法人は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努める。
２ 本法人は、前項の目的を達成するために、苦情処理窓口を設け、その他必要な体制の整備に努める。
第３章

個人情報保護へ向けた体制（個人情報保護責任者）
第29条 本法人に個人情報保護責任者を置く。
２ 個人情報保護責任者は、理事長とし、個人情報の保護に関し、内部規程の整備、安全対策及び教育・訓練を推進し、かつ、周知徹底することを任務とする。
３ 個人情報保護責任者は、この規程に定められた事項を遵守するとともに、個人情報の収集、利用、提供
又は委託処理について、全ての役員及び職員にこれを理解させ、遵守させなければならない。
（個人情報保護管理者）
第30条 本法人の次の各号の区分ごとに個人情報保護管理者１名を置く。
（１）学園事務局（２）日本工業大学（３）日本工業大学駒場高等学校・日本工業大学駒場中学校
２ 個人情報保護管理者は、個人情報保護責任者の命を受け、所管する区分における個人情報の適切な管理
その他必要な措置を行う。
（個人情報保護委員会）
第31条 本法人に個人情報保護委員会を置く。
２ 個人情報保護委員会については、別に定める。
（教育）第32条 個人情報保護責任者は、本法人の業務に従事する全ての役員及び職員に対し、個人情報にかかる個
人の権利保護の重要性を理解させ、かつ、個人情報保護の確実な実施を図るため、個人情報保護管理者を通じ、継続的かつ定期的に教育・訓練を行うように努める。
（監査）第33条 個人情報保護責任者は、本法人における個人情報の管理の状況について監査させるため、監査責任者を指名し、年1回監査を行う。

11

２
３
４

監査責任者の指名に当たっては被監査部門からの独立性に配慮しなければならない。
監査責任者は、監査計画を作成し、かつ、実施する。
監査責任者は、監査結果について、監査報告書を作成して個人情報保護責任者に報告しなければならない。
５ 個人情報保護責任者は、前項の報告により、個人情報の管理について改善すべき事項があると思料する
ときは、関係する役員あるいは職員に対し、改善のため必要な指示を行わなければならない。
６ 前項の指示を受けた者は、速やかに、改善のため必要な措置を講じ、かつ、その内容を個人情報保護責任者に報告しなければならない。
（情報漏洩への対応）
第34条 個人データの漏えい、滅失若しくは毀損（以下「漏えい等」という。）が発生した場合又はそのおそれがある場合は、直ちに個人情報保護管理者に報告しなければならない。
２ 前項の報告を受けた個人情報保護管理者は、個人情報保護責任者に報告するとともに、速やかに次の措置を講じなければならない。
（１）事実関係の調査及び原因の究明（２）影響範囲の特定（３）影響を受ける可能性のある本人への連絡（４）再発防止策の検討及び実施（５）事実関係及び再発防止策等の公表
３ 個人データの漏えい等が発生し、個人の権利利害を害するおそれが大きいものとして次に掲げる事態が発生したときは、当該事態を知った後、速やかに内閣府個人情報保護委員会及び文部科学省に報告しなけ
ればならない。
（１）要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下同じ。）の漏えい等が発生し、又は発生したおそれがある事態（２）不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態（３）不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態（４）個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態
４ 前項の場合における報告事項は、次に掲げるもの（報告をしようとする時点において把握しているものに限る。）とする。
（１）概要（２）漏えい等が発生し、又は発生したおそれがある個人データの項目（３）漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数（４）原因（５）二次被害又はそのおそれの有無及びその内容（６）本人への対応の実施状況（７）公表の実施状況（８）再発防止のための措置（９）その他参考となる事項
５ 本法人は、前項の場合において、当該事態を知った日から30日以内（当該事態が第３項第３号に定めるものである場合にあっては、60日以内）に、当該事態に関する前項各号に定める事項を報告しなければならない。
６ 第３項の規定による報告は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める方法により行うものとする。
（１）内閣府個人情報保護委員会に報告する場合 電子情報処理組織(内閣府個人情報保護委員会の使用に係る電子計算機と報告をする者の使用に係る電子計算機とを電気通信回線で接続した電子情報処理組織をいう。以下この項において同じ。）を使用する方法（電気通信回線の故障、災害その他の理由により電子情報処理組織を使用することが困難であると認められる場合にあっては、個人情報保護法施行規則が定める報告書を提出する方法）（２）事業所管大臣（文部科学省）に報告する場合 個人情報保護法施行規則が定める報告書を提出する方法（当該事業所管大臣が別に定める場合にあっては、その方法）
７ 本法人は、第３項に定める事態を知った後、当該事態の状況に応じて速やかに、当該本人の権利利益を保護するために必要な範囲において、本人に対し、第４項第１号、第２号、第４号、第５号及び第９号に定める事項を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

12

（廃棄）
第35条 本法人は、次に掲げる方法によりそれぞれ保有する個人情報を廃棄するものとする。
（１）個人情報が記載された書面を廃棄する場合は、シュレッダー等にかけてその内容を読み取ることができない状態にした上で、適切な方法により廃棄するものとする。
（２）個人情報が記録されたコンピュータ、記憶媒体を廃棄する場合は、記録された個人情報を完全に消去するか、物理的に破壊するものとする。
２ 個人情報を廃棄する基準、手続き等については、別に定めるものとする。
（懲戒）第36条 本法人の職員が、その職務を遂行するにあたり、本規程その他関連規程に重大な違反をした場合は、当該職員に対し、就業規則の定めに従い懲戒処分を行う。
第４章

仮名加工情報及び匿名加工情報の作成等及び義務（仮名加工情報の作成等）
第37条 本法人は、仮名加工情報（仮名加工情報データベース等を構成するものに限る。以下同じ。）を作成するときは、他の情報と照合しない限り特定の個人を識別することができないようにするために必要なものとして個人情報保護法施行規則で定める基準に従い、個人情報を加工しなければならない
２ 本法人は、仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等（仮名加工情報の作成に用いられた個人情報から削除された記述等及び個人識別符号並びに前項の規定により行われた加工の方法に関する情報をいう。以下同じ。）を取得したときは、削除情報等の漏えいを防止するために必要なものとして個人情報保護法施行規則で定める基準に従い、削除情報等の安全管理のための措置を講じなければならない。
３ 本法人は、法令に基づく場合を除くほか、特定された利用目的の達成に必要な範囲を超えて、仮名加工
情報（個人情報であるものに限る。以下同じ。）を取り扱ってはならない。
４ 仮名加工情報については、あらかじめその利用目的を公表している場合を除き、速やかにその利用目的を公表しなければならない。
５ 本法人は、仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞なく消去するよう努めなければならない。この場合には第17条の規定は適用しない。
６ 本法人は、法令に基づく場合を除くほか、仮名加工情報（個人情報でないものを含む。）を第三者に提供してはならない。この場合において、第11条第２項中「本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と、同条第３項中「、本人に通知し、又は本人が容易に知り得る状態に置く」とあるのは「公表する」と、第15条第１項中「第６条第３項各号に該当する場合又は第13条各号に該当する場合」とあり、及び第16条第１項ただし書中「第６条第３項各号に該当する場合
又は第13条各号に該当する場合」とあるのは「法令に基づく場合又は第13条各号のいずれか」とする。
７ 本法人は、仮名加工情報を取り扱うに当たっては、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該仮名加工情報を他の情報と照合してはならない。
８ 本法人は、仮名加工情報を取り扱うに当たっては、電話をかけ、郵便等により送付し、若しくは電磁的方法を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用してはならない。
９ 仮名加工情報、仮名加工情報である個人データ及び仮名加工情報である保有個人データについては、第６条第２項、第22条から第26条まで及び第34条の規定は、適用しない。
（匿名加工情報の作成等）
第38条 本法人は、匿名加工情報（匿名加工情報データベース等を構成するものに限る。以下同じ。）を作成するときは、特定の個人を識別すること及びその作成に用いる個人情報を復元することができないよう、
当該個人情報を加工するものとする。この場合において、当該匿名加工情報に含まれる個人に関する情報の項目を公表するものとする。
（匿名加工情報の第三者提供）
第39条 本法人は、作成した匿名加工情報を第三者に提供するときは、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示するものとする。
（識別行為の禁止）
第40条 本法人は、匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報

13

に係る本人を識別するために、当該個人情報から削除された記述等若しくは個人識別符号若しくは匿名加
工情報の作成において行われた加工の方法に関する情報を取得し、又は当該匿名加工情報を他の情報と照合してはならない。
（匿名加工情報の安全管理措置等）
第41条 本法人は、匿名加工情報の安全管理のために必要かつ適切な措置、当該匿名加工情報の取扱いに関する苦情の処理その他の当該匿名加工情報の適正な取扱いを確保するために必要な措置を講じ、かつ、当該措置の内容を公表するものとする。
付 則
この規程は、平成17年4月1日から施行する。
付 則
この規程は、平成20年4月1日から施行する。
付 則
この規程は、令和2年7月1日から施行する。
付 則
この規程は、令和4年4月1日から施行する。

14