個人データの安全管理措置に関する規程（目的）第１条 本規程は、一般社団法人鳥取県バスケットボール協会(以下、本協会という)が、その取り扱う個人データについて、適正な安全管理措置を講じることを目的とする。
第１章 組織的安全管理措置（個人情報保護管理者等）
第２条

本協会の個人情報の安全管理については、個人情報保護管理者が責任をもってこれを行う。
２ 個人情報保護管理者は、事務局長とする。
３ 各部門の責任者は、各部門の長とする。
（個人情報保護管理者等の任務）
第３条 個人情報保護管理者は、次の業務を所掌する。
① 本規程及び委託先の選定基準の承認及び周知② 個人データの安全管理に関する教育・研修の企画・実施③ 個人データの保管場所および取扱区域の指定および変更④ 個人データの取扱状況の把握⑤ 委託先における個人データの取扱状況等の監督⑥ その他本協会における個人データの安全管理に関すること
２

各部門の部門責任者は、当該部門における個人情報の取得及び個人データを適切に管理する任に当たり、個人データの安全な管理のために必要かつ適切な措置を講じる責任を負う。

３ 個人情報保護管理者は、法令遵守の観点から、部門責任者に対して指導、助言する。
（従業者等の監督）
第４条 個人情報保護管理者は、個人データが本規程に基づき適正に取り扱われるよう、従業者に対して必要かつ適切な監督を行うものとする。
２ 各部門の部門責任者は、当該各部門の従業者に対して必要かつ適切な監督を行い、個人情報保護管理者に対して必要な報告を行う。
（従業者の責務）
第５条

従業者は、法令等および本規程その他の社内規程を理解してこれらを遵守するものとする。
２従業者は、個人情報の漏えい等又は法令等もしくは本規程その他の社内規程に違反する事実又はその兆候を把握した場合、速やかに所属部門の部門責任者又は個人情報保護管理者に報告するものとする。当該報告を受けた部門責任者は速やかに個人情報保護管理者にその旨および内容を報告するものとする。

（取扱状況の確認手段）
第６条 従業者は、個人情報データベース等の取扱状況を確認するための手段として、「個人情報管理台帳」に以下の事項を記録するものとする。
① 個人情報データベース等の種類、名称② 個人データの項目③ 利用目的④ 記録媒体
⑤ 保管場所（管理区域）⑥ 責任者⑦ 取扱部署⑧ アクセス権を有する者（情報漏えい事案等への対応）
第７条 個人データの漏えい、滅失又は毀損（以下「漏えい等」という。
）の事案が生じた場合の対応については、個人情報保護委員会が定める「個人データの漏えい等の事案が発生した場合等の対応について」のっとって行うものとする。
（取扱状況の確認並びに安全管理措置の見直し）
第８条 個人情報保護管理者は、2 年に１回以上の頻度で又は必要に応じて個人データの取扱いにかかる安全管理措置の状況の確認を実施しなければならない。
２ 個人情報保護管理者は、前項の確認の結果または、「個人情報の保護に関する監査規程」に基づく監査の結果に基づき、安全管理措置の評価、見直し及び改善に取り組むものとする。

第２章 人的安全管理措置（教育・研修）
第９条

個人情報保護管理者は、従業者に本規程を遵守させるための教育訓練を企画し実施する責任を負う。

２

従業者は、個人情報保護管理者が主催する本規程を遵守させるための教育を受けなければならない。
第３章 物理的安全管理措置（個人データを取り扱う区域の管理）
第 10 条 本協会は、個人データを保管する保管場所及び個人データを取扱う取扱区域を明確にし、それぞれについて施錠、入退室管理等、適切な安全管理措置を講じる。
（機器及び電子媒体等の盗難等の防止）
第 11 条 本協会は、個人データを取扱う機器（PC 等、以下同じ）、電子媒体及び書類等の盗難又は紛失等を防止するために、次の各号に掲げる措置を講じる。
一 個人データを取扱う機器、電子媒体又は書類等を、施錠できるキャビネット・書庫等に保管する。
二

個人データを取扱う機器または電子媒体につき、セキュリティワイヤー等により固定する場合には、前号の措置を要しない。

（電子媒体等を持ち運ぶ場合の漏えい等の防止）第 12 条 本協会は、個人データが記録された機器、電子媒体又は書類等（以下、併せて「電子媒体等」という。
）の持ち運び（取扱区域の外へ移動させることをいう。）を行う場合には、以下の安全策のうち有効・適切なものを適宜講じるものとする。
①

持ち運びデータの暗号化②持ち運びデータのパスワードによる保護③

施錠できる搬送容器の使用④

追跡可能な移送手段の利用⑤

封緘、目隠しシールの貼付（個人データの削除及び機器、電子媒体等の廃棄）
第 13 条 個人データが記載された書類等を廃棄する方法は、焼却、溶解、適切なシュレッダー処理等の復元不可能な手段による。
２ 情報システム（機器を含む。
）において、個人データを削除する場合、容易に復元できない手段を採用する。
３

個人データが記録された機器または電子媒体等を廃棄する場合、専用のデータ削除ソフトウェアの利用又は物理的な破壊等の手段を採用する。
第４章 技術的安全管理措置

（アクセス制御）
第 14 条 本協会は、個人データへのアクセスの制御につき、以下の措置を行う。
①

個人データを取り扱うことのできる機器及び当該機器を取り扱う従業者を明確化し、個人データへの不要なアクセスを防止する。

② 機器に標準装備されているユーザー制御機能（ユーザーアカウント制御）により、個人情報データベース等を取り扱う情報システムを使用する従業者を識別・認証する。
（外部からの不正アクセス等の防止）第15条 本協会は、外部からの不正アクセス等を防止するため、以下の措置を行う。
①個人データを取り扱う機器等のオペレーティングシステムを最新の状態に保持する。
②個人データを取り扱う機器等にセキュリティ対策ソフトウェア等を導入し、自動更新機能等の活用により、これを最新状態とする（情報システムの使用に伴う漏えい等の防止）
第 16 条 本協会は、情報システムの使用に伴う個人データの漏えい等を防止するため、メール等により個人データの含まれるファイルを送信する場合に、当該ファイルへのパスワードを設定する。
第５章 委託先における安全管理（委託先における安全管理措置）
第 17 条 本協会は、個人データの取扱いを委託する場合には、本協会自らが果たすべき安全管理措置と同等の措置が委託先において適切に講じられるよう、必要かつ適切な監督を行なうものとする。
２ 前項の「必要かつ適切な監督」には次に掲げる事項が含まれる。
一 委託先の適切な選定
二 委託先に安全管理措置を遵守させるために必要な契約の締結
三 委託先における個人データの取扱状況の把握
３ 前項第１号の「委託先の適切な選定」に当たっては、委託先の安全管理措置が、少なくとも法第 20 条及び「個人情報の保護に関する法律についてのガイドライン（通則編）」
で求められるものであることを確認するものとする。
４ 第２項第二号の「委託先に安全管理措置を遵守させるために必要な契約の締結」については、委託契約の内容として、以下の規定等を盛り込むものとする。
① 秘密保持義務に関する規定② 事業所内からの個人データの持出しの禁止

③ 個人データの目的外利用の禁止④ 再委託における条件⑤ 漏えい事案等が発生した場合の委託先の責任に関する規定⑥ 委託契約終了後の個人データの返却又は廃棄に関する規定⑦ 従業者に対する監督・教育に関する規定⑧ 契約内容の遵守状況について報告を求める規定に関する規定⑨ 個人データを取り扱う従業者の明確化に関する規定⑩ 委託者が委託先に対して実地の調査を行うことができる規定
５ 本協会は、委託先の管理については、管理グループを責任部署とする。
６

本協会は、委託先において個人データの安全管理が適切に行われていることについて必要に応じてモニタリングを実施するものとする。

７ 本協会は、委託先において情報漏えい等が発生した場合に、適切な対応がなされると共に、速やかに本協会に報告される体制になっていることを確認するものとする。
８ 委託先は、本協会の許諾を得た場合に限り、委託を受けた個人データの全部又は一部を再委託することができるものとする。
９ 本協会は、再委託先の適否の判断のみならず、委託先が再委託先に対しても必要かつ適切な監督を行っているかどうかについても監督する。
10 本協会は、委託先が再委託をする場合、当該再委託契約の内容として、第４項と同等の規定等を盛り込ませるものとする。