個人情報取扱規程

目次
第1章

総則

第2章

安全管理措置
第1節

組織的安全管理措置

第2節

人的安全管理措置

第3節

物理的安全管理措置

第4節

技術的安全管理措置

第3章

個人情報の取得、利用

第4章

個人データの第三者提供の制限

第5章

保有個人データの開示・訂正等・利用停止等

第6章

苦情等の手続き

第7章

雑則

附則

社会福祉法人わたぼうしの会

第1章

総則

（目的）
第１条

本規程は、社会福祉法人わたぼうしの会（以下「法人」という。
）が、「個人情報の保護に関する法律」（平成15 年法律第 57 号、以下「個人情報保護法」という。）、「個人情報の保護に関する法律施行令（平成 15 年政令第 507号、以下「政令」という。）、個人情報保護委員会が定める規則（以下「規則」という。）及び個人情報の保護に関する法律についてのガイドライン（以下「指針」という。）に基づき、法人の取り扱う個人情報等の「取得」、「利
用」、
「保存」
、
「提供」、
「開示、訂正等、利用停止等」の各段階における適正な取扱い及び安全管理措置を確保するために定めるものである。
なお、「行政手続きにおける特定の個人を識別するための番号の利用等に関する法律」（平成 25 年法律第 27 号、
以下「番号法」という。
）に基づく個人番号やその内容を含む個人情報に関しては、「特定個人情報取扱規程」において、別途定めるところに従うものとする。

（定義）
第2条
１

本規程で掲げる用語の定義は、次のとおりとする。

「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
（１）当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録に記載若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）
により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）（２）個人識別符号が含まれるもの２「個人識別符号」とは、次の各号のいずれかに該当する文字、番号、記号その他の符号をいう。

（１）特定の個人の身体の特徴（DNA、容貌、声帯、指紋等）を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの（２）対象者ごとに異なるものとなるように役務の利用若しくは商品の購入に関し割り当てられ、又は個人に発行されるカードその他の書類に記載された番号その他の符号であって、特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの（旅券番号、基礎年金番号、免許証番号、住民票コード、個人番号、被保険者証番号等）
３「要配慮個人情報」とは、本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要する個人情報であって、次の各号のいずれかの記述等が含まれるものをいう。
（１）本人の人種、信条又は社会的身分（２）病歴（３）身体障害、知的障害、精神障害（発達障害を含む。）その他の心身の機能の障害があること（４）本人に対して医師等により行われた健康診断その他の検査の結果（５）犯罪の経歴又は犯罪により害を被った事実（６）本人を被疑者又は被告人として、刑事事件に関する手続きが行われたこと（７）本人を罪を犯した少年又はその疑いのある少年として、少年の保護事件に関する手続きが行われたこと

４「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲がるもの（利用方法からみて

個人の権利利益を害するおそれが少ないものを除く。）をいう。
（１）特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの（２）前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したもの
５「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者をいう。ただし、次に掲げる者を除く。
（１）国の機関（２）地方公共団体（３）独立行政法人等（独立行政法人等の保有する個人情報の保護に関する法律（平成 15 年法律第 59 号）第 2 条
第 1 項に規定する独立行政法人等をいう。）（４）地方独立行政法人（地方独立行政法人法（平成 15 年法律第 118 号）第 2 条第 1 項に規定する地方独立行政法
人をいう。
）
６

「個人データ」とは、個人情報のうち、個人情報データベース等を構成するものをいう。

７「保有個人データ」とは、法人が、開示、内容の訂正、利用停止等を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるもの又は 6 か月以内に消去することとなるもの以外のものをいう。

８

個人情報について「本人」とは、個人情報によって識別される特定の個人をいう。

９「従業者」とは、法人の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者等をいい、雇用関係にある従業員（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、理事、監事、評議員等も含まれる。

１０「事務取扱担当者」とは、法人内において、個人情報を取り扱う業務に従事する者をいう。

１１「管理区域」とは、個人データを取り扱う情報システムを管理する区域をいう。

１２「取扱区域」とは、個人データを取り扱う事務を実施する区域をいう。

１３

本条に定めのない用語については個人情報保護法その他の関係法令等の定めに従う。

第2章
第1節

安全管理措置

組織的安全管理措置（組織体制）
第３条

法人は、設置経営する施設・事業所ごとに、個人情報管理責任者（以下「管理責任者」という。
）を置くものとし、理事長がそれを任命する。
２

管理責任者は、個人情報事務取扱責任者（以下「事務取扱責任者」という。）及び個人情報事務取扱担当者（以下「事務取扱担当者」という。）を指名する。

３

管理責任者は、事務取扱責任者及び事務取扱担当者を変更する場合、従前の事務取扱 責任者及び事務取扱担当者
から新たになる者に対して確実に引継ぎを行わせるものとする。管理責任者は係る引継ぎが行われたか確認するものとする。

（管理責任者）
第4 条

管理責任者は、個人情報等に関する監査を除き、法人における個人情報の取扱いについて総括的な責任と権限をもつ。
２

管理責任者は、以下の業務を所管する。
（１）本規程及び委託先の選定基準の承認及び従業者への周知（２）個人情報等に関する安全対策の策定・実施（３）個人情報の利用申請の承認及び記録等の管理（４）個人情報等の適正な取扱いの維持・推進などを目的とした諸施策の策定・実施（５）個人情報の取扱担当部署及び権限についての設定及び変更の管理（６）事故発生時の対応策の策定・実施（７）個人情報等の安全管理に関する教育・研修の企画（８）その他法人全体における個人情報の安全管理に関すること

３

管理責任者は、第 12 条による内部監査責任者より内部監査の報告を受け、必要に応じて個人情報管理体制の改善を行う。

（事務取扱責任者の責務）
第5 条

事務取扱責任者は、本規程に定められた事項を理解し遵守するとともに、法人における個人情報の保護について管理責任者を補佐するとともに、次に掲げる事項の責任と権限を有する。
（１）個人情報等が本規程に基づき適正に取り扱われるよう、事務取扱担当者及び職員に対し必要かつ適切な監督を行う。
（２）個人情報の取扱状況の把握（３）委託先における個人情報の取扱状況等の監督（事務取扱担当者の責務）
第6 条

事務取扱担当者は、個人情報の「取得」、
「保管」、
「利用」
、「提供」、「開示、訂正、利用停止」、「廃棄」又は委託処理等、個人情報を取扱う業務に従事する際、個人情報保 護法並びにその他の関連法令、政令、指針、本規程及びその他の法人内規程並びに管理 責任者及び事務取扱責任者の指示した事項に従い、個人データの保護に十分な注意を払ってその業務を行うものとする。
２

事務取扱担当者は、個人情報の漏えい等、個人情報保護法又はその他の関連法令、政令、指針、本規程又はその他の法人内規程に違反している事実又は兆候を把握した場合、速やかに管理責任者及び事務取扱責任者に報告するものとする。

（個人情報事務取扱担当部署）
第7条

法人は、次の施設及び事業所ごとに個人情報等に係る事務を行うものとする。

（１）たんぽぽの家（２）GoodJob！センター香芝（３）たんぽぽ生活支援センター（４）たんぽぽ相談支援センター（５）福祉ホームコットンハウス（６）福祉ホーム有縁のすみか

（７）たんぽぽ楽食サービス（運用状況の記録）
第8条

事務取扱担当者は、本規程に基づく運用状況を確認するため、次の項目につき記録するものとする。

（１）個人情報データベース等の利用・出力状況（２）個人データが記載又は記録された書類・媒体等の持ち運び等の状況（３）個人情報データベース等の削除・廃棄の状況（委託した場合の消去・廃棄を証明する記録を含む。）（４）個人情報データベース等を情報システムで取り扱う場合、事務取扱担当者の情報システムの利用状況（ログイン実績、アクセスログ等）（取扱状況の確認）
第9条

事務取扱担当者は、以下の個人データの取扱状況について確認をするものとする。

（１）個人情報データベース等の種類、名称（２）個人データの項目（３）責任者、取扱部署（４）利用目的（５）アクセス権を有する者（情報漏えい等事案への対応）
第１０条

管理責任者は、個人情報の漏えい、滅失又は毀損（以下「漏えい等」という。
）の事案の発生又は兆候を把握した場合の対応は、本規程に基づき、適切に対処するものとする。
２

管理責任者は、理事長と連携して漏えい等事案に対応する。

３

管理責任者は、漏えい等事案が発生したと判断した場合は、その旨及び調査結果を理事長に報告し、当該漏えい等事案の対象となった情報主体に対して、事実関係の通知、謝意の表明、原因関係の説明等を速やかに行うものとする。

４

管理責任者は、漏えい等事案が発生したと判断した場合、個人情報保護委員会及び所管官庁に対して必要な報告を速やかに行う。

５

管理責任者は、漏えい等事案が発生したと判断した場合は、情報漏えい等が発生した原因を分析し、再発防止に向けた対策を講じるものとする。

６

管理責任者は、漏えい等事案が発生したと判断した場合は、その事実を従業者に通知するとともに、必要に応じて公表する。

７

管理責任者は、他における漏えい事故等を踏まえ、類似事例の再発防止のために必要な措置の検討を行うものとする。

（苦情への対応）
第１１条

事務取扱担当者は、個人情報保護法、指針又は本規程に関し、情報主体から苦情の申出を受けた場合には、その旨を管理責任者に報告する。報告を受けた管理責任者は、適切に対応するものとする。

（内部監査の実施）
第１２条

理事長は、内部監査責任者を任命する。内部監査責任者は法人内の個人データを取り扱う業務において、関係法令、本規程等が遵守され、適法かつ適正に取り扱われているかについて、定期的に内部監査を行い、その結果を理事長及び管理責任者に報告する。
２

内部監査責任者は、個人データの取扱いに関する内部監査に必要な内部監査担当者を選任することができる。

（取扱状況の確認並びに安全管理措置の見直し）
第１３条
２

管理責任者は、年 1 回以上の頻度又は臨時に個人データの取扱状況の確認を行うものとする。

管理責任者は、前項の確認の結果及び前条の内部監査の結果に基づき、安全管理措置の評価、見直し及び改善に取り組むものとする。

第2節

人的安全管理措置（教育・研修）
第１４条

事務取扱責任者は、事務取扱担当者に本規程を遵守させるための教育訓練、安全対策の実施並びに周知徹

底等の措置を実施する責任を負う。
２

事務取扱担当者は、事務取扱責任者が主催する本規程遵守のための教育を受けなければならない。

３

法人は、従業者に対して、本規程を遵守させるために、定期的な研修の実施及び情報提供を行い、個人情報等の適正な取扱いを図るものとする。

４

法人は、個人情報についての秘密保持に関する事項を就業規則に盛り込むものとする。

（従業者の監督）第１５条

法人は、従業者に個人データを取り扱わせるにあたっては、当該個人データの安全管理が図られるよう、従業者に対する必要かつ適切な監督を行うものとする。

第3節

物理的安全管理措置（個人データを取り扱う区域の管理）
第１６条

法人は管理区域及び取扱区域を明確にし、それぞれの区域に対し、次の各号に従い次の措置を講じる。

（１）管理区域
入退室管理及び管理区域へ持ち込む機器及び電子媒体等の制限を行うものとする。
（２）取扱区域
可能な限り壁又は間仕切り等を設置、座席配置の工夫等を実施し、権限を有しない者による個人データの閲覧等を防止する。

（機器及び電子媒体等の盗難等の防止）
第１７条

法人は管理区域及び取扱区域における個人データを取扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、次の各号に掲げる措置を講じる。

（１）個人データを取扱う機器、電子媒体又は書籍等を、施錠できるキャビネット・書庫等に保管する。
（２）法人において個人データを取扱う情報システムは、外部ネットワークから遮断された専用のノートパソコンに限り、業務において使用しない場合には、施錠できるキャビネットに保管する。

（電子媒体等を持ち運ぶ場合の漏えい等の防止）
第１８条

法人の従業者が、個人データが記録された電子媒体又は書類等を持ち運ぶ場合には、次の安全策を講じる

ものとする。ただし、行政機関等に提出する書類を個人データで提出するに当たっては、行政機関等が指定する提出方法に従うものとする。
（１）個人データが記録された電子媒体を安全に持ち運ぶ方法①

持出しデータの暗号化②

持出しデータのパスワードによる保護③

施錠できる搬送容器の使用④

追跡可能な移送手段の利用（２）個人データが記載された書類等を安全に持ち運ぶ方法①

業務上出来る範囲で、封緘又は目隠しシールを貼付する。

②

個人データは、必ず鞄等に入れて搬送する。

（個人データの削除及び機器、電子媒体等の廃棄）
第１９条

個人データの削除及び機器、電子媒体等の廃棄における記録媒体等の管理は、次のとおりとする。

（１）個人データが記録された書類等を廃棄する場合、シュレッダー等による記載内容が復元不能までの裁断、焼却、溶解等の復元不可能な手段を用いるものとする。
（２）個人データが記録された機器及び電子媒体等を廃棄する場合、専用データ削除ソフトウエアの利用又は物理的な破壊等により、復元不可能な手段を用いるものとする。
（３）個人データを削除する場合、容易に復元できない手段を用いるものとする。

第4節

技術的安全管理措置（アクセス制御）第２０条

個人データ等へのアクセス制御は次のとおりとする。

（１）個人情報データベース等を取扱うことのできる情報システムを限定する。
（２）情報システムによってアクセスすることのできる個人情報データベース等を限定する。
（３）ユーザーID に付与するアクセス権により、個人情報データベース等を取り扱う情報システムを使用できる従業者を限定する。

（アクセス者の識別と認証）
第２１条

個人情報データベース等を取り扱う情報システムは、ユーザーID、パスワード等の識別方法により、当該

情報システムを使用する従業者が正当なアクセス権を有する者であることを、識別した結果に基づき認証するものとする。

（外部からの不正アクセス等の防止）
第２２条

法人は、次の各方法により、情報システムを外部からの不正アクセス又は不正ソフトウエアから保護するものとする。
（１）情報システムと外部ネットワークとの接続箇所に、ファイヤーウォール等を設置し、不正アクセスを遮断す
る方法（２）情報システム及び機器にセキュリティ対策ソフトウエア等（ウイルス対策ソフトウエア等）を導入する方法（３）導入したセキュリティ対策ソフトウエア等により、入出力データにおける不正ソフトウエアの有無を確認す
る方法（４）機器やソフトウエア等に標準装備されている自動更新機能等の活用により、ソフトウエア等を最新状態とする方法（５）ログ等の分析を定期的に行い、不正アクセス等を検知する方法（情報システムの使用に伴う漏えい等の防止）
第２３条

法人は、個人データの含まれるファイル等をインターネット等により外部に送信する場合、通信経路における情報漏えい等及び情報システムに保存されている個人データの情報漏えい等を防止するものとする。
（１）通信経路における情報漏えい等の防止策
通信経路の暗号化（２）情報システムに保存されている個人データの情報漏えい等の防止策
データの暗号化又はパスワードによる保護

第3章

個人情報の取得、利用（利用目的の特定）第２４条

法人は、個人情報を取り扱うにあたっては、その利用の目的（以下「利用目的」という。
）をできる限り特定しなければならない。
２

法人は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。

（利用目的による制限）
第２５条

法人は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
２

法人は、合併その他の事由により他の事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。

３

前 2 項の規定は、次に掲げる場合については、適用しない。
（１）法令、条例又はこれらに基づく行政通知等（以下「法令等」という。
）に基づく場合（２）出版、報道等により公にされているとき。

（３）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
（４）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
（５）法令等の定める事務を遂行することに対して法人が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

（適正な取得）第２６条
２

法人は、偽りその他不正な手段により個人情報を取得してはならない。

法人は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
（１）法令に基づく場合（２）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
（３）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
（４）法令等の定める事務を遂行することに対して法人が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
（５）当該要配慮個人情報が、本人、国の機関、地方公共団体、出版、報道等により公にされているとき。
（６）本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得するとき。
（７）個人情報保護法第 23 条第 5 項各号において、個人データである要配慮個人情報の提供を受けるとき。
３

法人は、個人情報を収集するとき（前項の規定により要配慮個人情報を取得する場合を除く。
）には、本人からこれを取得しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りではない。
（１）本人の同意があるとき。
（２）法令等に定めがあるとき。
（３）出版、報道等により公にされているとき。
（４）個人の生命、身体又は財産の安全を守るため、緊急かつやむを得ないと認められるとき。
（５）所在不明、その他の事由により、本人から取得することができないとき。
（６）争訟、選考、指導、相談等の事業で本人から取得したのではその目的を達成し得ないと認められるとき、又は事業の性質上本人から取得したのでは事業の適正な執行に支障が生じると認められるとき。

（利用目的の通知等）
第２７条

法人は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
２

法人は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電子的方式、
磁気的方式その他人の知覚によっては認識することができない方式で作られる記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

３

法人は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。

４

前 3 項の規定は、次に掲げる場合については、適用しない。
（１）利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（２）利用目的を本人に通知し、又は公表することにより法人の権利又は正当な利益を害するおそれがある場合（３）法令等の定める事務を遂行することに対して法人が協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
（４）取得の状況からみて利用目的が明らかであると認められる場合（データ内容の正確性の確保等）
第２８条

法人は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。

（委託先の監督）第２９条

法人は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

（委託等に伴う措置）
第３０条

法人は、委託を受けた者を監督するにあたっては、個人情報の保護に関し次の各号に定める措置を講じなければならない。
（１）再委託の禁止（２）第三者への提供の制限（３）委託された事業以外への使用の禁止（４）複写及び複製の制限（５）秘密保持の義務（６）返還及び廃棄の義務（７）事故発生時における報告の義務（受託者等の責務）
第３１条

法人から個人情報を取り扱う事業を受託した者は、前条に基づき個人情報の漏えい、滅失及びき損防止その他個人情報の適正な管理のために必要な措置を講ずるよう努めなければならない。
２

前項の受託事業に従事している者又は従事していた者は、その事業に関して知り得た個人情報をみだりに他人に知らせ、又は不当な目的に使用してはならない。

第4章

個人データの第三者提供の制限（第三者提供の制限）
第３２条

法人は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。

（１）法令等に基づく場合（２）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
（３）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
（４）法令等の定める事務を遂行することに対して法人が協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
２

次に掲げる場合において、当該個人データの提供を受ける者は、前項の規定の適用については、第三者に該当しないものとする。
（１）法人が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合（２）合併その他の事由による事業の承継に伴って個人データが提供される場合（３）特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人デー
タの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知りえる状態に置いているとき。

３

法人は、前項第 3 号に規定する利用する者の利用目的又は個人データの管理について責任を有する者の氏名若し
くは名称を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

（第三者提供をする際の記録）
第３３条

法人は、個人データを第三者に提供したときは、次に掲げる事項に関する記録を作成しなければならない。

ただし、当該個人データの提供が前条第 1 項各号又は第 2 項各号のいずれかに該当する場合は、この限りでない。
（１）前条第 1 項の本人の同意を得ている旨（２）当該第三者の氏名又は名称その他の当該第三者を特定するに足りる事項（不特定かつ多数の者に対して提供したときは、その旨）（３）当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項（４）当該個人データの項目
２

前項の記録は、個人データを第三者に提供した都度、速やかに作成しなければならない。

３

第 1 項の記録は、その作成日から 3 年間保存しなければならない。

（第三者提供を受ける際の確認及び記録）
第３４条

法人は、第三者から個人データの提供を受けるに際しては、次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供が第 32 条第 1 項各号又は第 2 項各号のいずれかに該当する場合は、この限りでない。
（１）当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名（２）当該第三者による当該個人データの取得の経緯
２

法人は、前項による確認を行ったときは、次に掲げる事項に関する記録を作成しなければならない。

（１）本人の同意を得ている旨（個人情報取扱事業者以外の第三者から個人データの提供を受けた場合を除く。）（２）前項各号に掲げる事項（３）当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項（４）当該個人データの項目
３

前項の記録は、第三者から個人データの提供を受けた都度、速やかに作成しなければならない。

４

第 2 項の記録は、その作成日から 3 年間保存しなければならない。

第5章

保有個人データの開示・訂正等・利用停止等（保有個人データに関する事項の公表等）
第３５条

法人は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
（１）法人の名称（２）すべての保有個人データの利用目的（第 27 条第 4 項第 1 号から第 4 号までに該当する場合を除く。
）（３）第 37 条第 1 項、第 43 条第 1 項又は第 44 条第 1 項もしくは第 2 項の規定による求めに応じる手続（第 39 条
第 2 項の規定により手数料の額を定めたときは、その手数料の額を含む。）（４）前 3 号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項
２

法人は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、
遅滞なく、これを通知しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りでない。
（１）前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合（２）第 27 条第 4 項第 1 号から第 4 号までに該当する場合

３

法人は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

（開示の請求）第３６条

本人は、法人に対し、法人の従業者が作成し、又は取得した文書等であって、組織的に用いるものとして、法人が保有しているもの（以下「請求対象文書」という。）に記録されている、当該本人が識別される保有個人データの開示を請求すること（以下 「開示請求」という。
）ができる。
２

保有個人データの開示請求は、本人に代わって、未成年者若しくは成年被後見人の法定代理人、又は開示請求をすることにつき本人が委任した代理人によって行うことができる。

（開示）
第３７条

法人は、前条第 1 項の規定による保有個人データの開示請求を受けたときは、本人に対し、第 41 条に定める方法により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
（１）法令等の定めるところにより本人に開示することができないと認められるとき。
（２）個人の評価、診断、判断、選考、指導、相談等に関する保有個人データであって、開示することにより、事業の適正な執行に支障が生ずるおそれがあるとき。

（３）調査、争訟等に関する保有個人データであって、開示することにより、事業の適正な執行に支障が生ずるおそれがあるとき。
（４）開示することにより、本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがあるとき。
（５）未成年者又は成年被後見人の法定代理人による開示請求がなされた場合であって開示することが当該未成年者又は成年被後見人の利益に反すると認められるとき。
２

法人は、前項の規定による開示請求に係る保有個人データの全部又は一部について開示しない旨の決定をしたとき又は当該保有個人データが存在しないときは、本人に対し、遅滞なく、その旨を通知しなければならない。

（開示請求の方法）
第３８条

第 36 条第 1 項の規定に基づき開示請求をしようとする者は、法人に対して、別に定める保有個人データ開

示等請求書を提出しなければならない。
２

開示請求をしようとする者は、法人に対して、自己が当該開示請求に係る保有個人データの本人又はその代理人であることを証明するために必要な書類を提出し、又は提示しなければならない。

３

法人は、本人に対し、開示請求に関し、その対象となる保有個人データを特定するに足りる事項の提示を求める
ことができる。この場合において、法人は、本人が容易かつ的確に開示請求をすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。

４

法人は、開示等請求書に形式上の不備があると認めるときは、開示請求をした者（以下「開示請求者」という。）
に対し、相当の期間を定めてその補正を求めることとし、開示請求者が補正を行わない場合には、当該開示請求に応じないことができる。

（手数料）
第３９条

法人は、第 35 条第 2 項の規定による利用目的の通知又は第 36 条第 1 項の規定による開示請求を受けたときは、当該措置の実施に関し、手数料を徴収することができる。
２

法人は、前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。

（開示請求に対する決定）
第４０条

法人は、開示請求があった日から原則として 10 日以内に、開示請求者に対して、開示請求に係る保有個人

データの全部若しくは一部を開示する旨の決定又は開示しない旨の決定（第 42 条の規定により開示請求を拒否するとき及び開示請求に係る保有個人データが記録された請求対象文書を保有していないときの当該決定を含む。）
をするものとする。ただし、第 38 条第 4 項の規定により、補正を求めた場合にあっては、当該補正に要した日数
は、当該期間に算入しない。
２

法人は、前項の決定（以下「開示決定等」という。
）をしたときは、開示請求者に対し、遅滞なく書面によりその旨通知するものとする。

３

法人は、やむを得ない理由により、第 1 項に規定する期間内に開示決定等をすることができないと認められる場
合には、30 日以内に決定するものとする。

４

法人は、第 1 項の規定により開示請求に係る保有個人データの全部又は一部を開示しないときは、開示請求者に対し、第 2 項に規定する書面によりその理由を示すものとする。

５

法人は、開示決定等をする場合において、当該決定に係る保有個人データに法人以外の者との間における協議、協力等により作成し、又は、取得した保有個人データがあるときは、あらかじめ、これらの者の意見を聴くことができる。

（開示の方法）第４１条

保有個人データの開示は、保有個人データが記録された請求対象文書の当該保有個人データに係る部分につき、文書、図画又は写真にあっては閲覧もしくは視聴又は写しの交付により、フィルムにあっては視聴又は写しの交付により、磁気テープ、磁気ディスク等にあっては視聴、閲覧、写しの交付等で適切な方法により行う。
２

前項の視聴又は閲覧の方法による保有個人データの開示にあっては、法人は、当該個人情報が記録された請求対象文書の保存に支障が生ずるおそれがあると認めるときその他合理的な理由があるときは、当該保有個人データが記録された請求対象文書の写しにより開示することができる。

（保有個人データの存否に関する情報）
第４２条

開示請求に対し、当該開示請求に係る保有個人データが存在しているか否かを答えるだけで、非開示情報を開示することとなるときは、法人は、当該保有個人データの存否を明らかにしないで、当該開示請求を拒否することができる。

（訂正等）
第４３条

本人は、法人に対し、当該本人が識別される保有個人データの内容が事実でないときは、当該保有個人データの内容の訂正、追加又は削除（以下この条において「訂正等」という。
）を請求することができる。
２

法人は、前項の規定による訂正等の請求を受けた場合は、その内容の訂正等に関して法令等の規定により特別の手続きが定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。

３

法人は、第 1 項の規定による請求に係る保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。
）を通知しなければならない。

（利用停止等）第４４条

本人は、法人に対し、当該本人が識別される保有個人データが第 25 条の規定に違反して取り扱われている

とき又は第 26 条の規定に違反して取得されたものであるときは、当該保有個人データの利用の停止又は消去（以下この条において「利用停止等」という。）を請求することができる。
２

法人は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するために必要なこれに代わるべき措置をとるときは、この限りでない。

３

本人は、法人に対し、当該本人が識別される保有個人データが第 32 条第 1 項の規定に違反して第三者に提供されているときは、当該保有個人データの第三者への提供の停止を請求することができる。

４

法人は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、

当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するために必要なこれに代わるべき措置をとるときは、この限りでない。
５

法人は、第 1 項の規定による請求に係る保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は第 3 項の規定による請求に係る保有個人データの全部若し
くは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

第6章

苦情等の手続き（苦情の処理）第４５条
２

法人は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。

法人は、前項の目的を達成するために必要な体制の整備に努めなければならない。

（理由の説明）
第４６条

法人は、第 35 条第 3 項、第 37 条第 2 項、第 43 条第 3 項又は第 44 条第 5 項の規定により、本人から求められ又は請求された措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、その理由を説明するよう努めなければならない。

（異議の申出）第４７条

第 35 条における利用目的を通知しない旨の決定、第 37 条における開示しない旨の決定、第 43 条における訂正等を行わない旨の決定又は第 44 条における利用停止等を行わない旨の決定及び第三者への提供停止を行わない旨の決定について異議があるときは、本人は、法人に対して書面により異議の申出（以下「異議申出」という。）
ができる。
２

前項の異議申出は、前項の決定があったことを知った日の翌日から起算して 60 日以内に行わなければならない。

３

第 1 項の異議申出があった場合は、法人は、当該異議申出のあった日から原則として 14 日以内に対象となった決定について再度の検討を行った上で、当該異議申出についての回答を書面により行うものとする。

４

法人は、やむを得ない理由により、前項の規定する期間内に異議申出に対する回答を行うことができないと認められる場合には、30 日以内に行うよう努めるものとする。

第7章

雑則

（他の制度との調整等）
第４８条

法令等の規定により、法人に対して保有個人データの開示等の請求その他これに類する請求ができる場合

は、その定めるところによる。

（規程の細目及び運用）
第４９条

本規程の実施に必要な事項は、理事長が別に定める。

（改廃）
第５０条

本規程の改廃は、理事会の決議による。

附則
本規程は、平成 30 年 5 月 1 日から施行する。