公益財団法人青森県総合健診センター個人情報保護規程
第1章

総則

（目的）
第 1 条 本規程は、公益財団法人青森県総合健診センター（以下「センター」という。）が、「個人情報の保護に関する法律（平成 15 年法律第 57 号）」、「個人情報の保護に関する法
律施行令（平成 15 年政令第 507 号）」及び「個人情報保護委員会が定める規則」等に基づき、センターの取扱う個人データの適正な取扱いを確保するために定めるものである。
なお、「行政手続きにおける特定の個人を識別するための番号の利用等に関する法律（平成 25 年法律第 27 号）」に基づく個人番号やその内容を含む個人情報に関しては、「特定個人情報取扱規程」において、別途定めるところに従うものとする。
（定義）
第 2 条 この規程において、次の各号に掲げる用語の意義は、それぞれ当該各号に定めるところによる。
（１）「個人情報」とは、生存する個人に関する情報であって、次のいずれかに該当するものをいう。
① 当該情報に含まれる氏名、生年月日、性別、その他の記述等により特定の個人を識別することができるもの、及び他の情報と容易に照合することができ、それにより特定の個人を識別することができるもの、② 個人識別符号が含まれるもの（２）「個人識別符号」とは、次のいずれかに該当する文字、番号、記号その他の符号のうち、法第 2 条第 2 項に定めるものをいう。
①

特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの②

個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ、又は個人に発行されるカードその他の書類に記載され、若しくは電磁的方式により記録された文字、番号、記号その他の符号であって、その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され、若しくは記録されることにより、特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの（３）「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じない
ようにその取扱いに特に配慮を要するものとして、法第 2 条第 3 項に定める記述等が含まれる個人情報をいう。
1

（４）「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるもの（利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものを除く。
）をいう。
①

特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの②

前記のほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（５）「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者をいう。ただし、次に掲げるものを除く。
① 国の機関② 地方公共団体③ 独立行政法人等（独立行政法人等の保有する個人情報の保護に関する法律(平成 15 年
法律第 59 号)第 2 条第 1 項に規定する独立行政法人等をいう。以下同じ。
）④ 地方独立行政法人（地方独立行政法人法(平成 15 年法律第 118 号)第 2 条第 1 項に規定する地方独立行政法人をいう。以下同じ。
）（６）「個人データ」とは、個人情報データベース等を構成する個人情報をいう。
（７）「保有個人データ」とは、センターが開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、次に掲げるもの以外のものをいう。
① 六か月以内に消去することとなるもの② 当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの③ 当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの④ 当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国
若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの⑤ 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの（８）個人情報について「本人」とは、個人情報によって識別される特定の個人をいう。
（９）「従業者」とは、センターの組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者等をいい、雇用関係にある従業員（職員、非常勤職員、臨時職員、嘱託職員、再任用職員、パート職員等）のみならず、役員、評議員等も含まれる。
（10）「個人情報保護事務取扱責任者」とは、センターの個人データの管理に関する責任を担う者をいう。
（11）「部門責任者」とは、各部門における個人データの管理に関する責任を負う者をいう。
2

（12）「事務取扱担当者」とは、センター内において、個人データを取扱う事務に従事する
者をいう。
（13）
「管理区域」とは、個人情報データベース等を取扱うサーバやメインコンピュータ等の重要な情報システムを管理する区域をいう。
（14）「取扱区域」とは、個人テータを取扱う事務を実施する区域をいう。
（15）「法」とは、個人情報の保護に関する法律(平成 15 年法律第 57 号)をいう。
（16）「政令」とは、個人情報の保護に関する法律施行令(平成 15 年政令第 507 号)をいう。
（17）「規則」とは、個人情報保護委員会が定める規則をいう。
（18）「ガイドライン」とは、「個人情報の保護に関する法律についてのガイドライン(通則編)」(平成 28 年個人情報保護委員会告示第 6 号)、「個人情報の保護に関する法律についてのガイドライン(外国にある第三者への提供編)」(平成 28 年個人情報保護委員会告示第7 号)及び「個人情報の保護に関する法律についてのガイドライン(第三者提供時の確認・記録義務編)」(平成 28 年個人情報保護委員会告示第 8 号)を総称したものをいう。
（適用範囲）
第 3 条 この規程は、センターの従業者、その他センターの委嘱を受けてセンターが保有する個人情報を利用するその他の者に対して適用する。
（基本理念）
第 4 条 個人情報は、個人の人格尊重の理念の下に慎重に取り扱われるべきものであることに鑑み、その適正な取扱いが図られなければならない。
第2章
第1節

安全管理措置

組織的安全管理措置（安全管理措置）第 5 条 センターは、その取扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
（個人情報保護事務取扱責任者等の設置）
第 6 条 総務部をセンターにおける個人データの取扱いに関する責任部署とする。
２ センターに個人情報保護事務取扱責任者(以下、「事務取扱責任者」という)を１人置く。
３ 事務取扱責任者には、総務部長をもってこれに充てるものとする。
４ 部門責任者には、個人データを取扱う各部における部長がその任にあたる。

3

（事務取扱責任者等の任務）
第７条

事務取扱責任者は、センターにおける個人情報の取得及び個人データの保護管理に関する業務を統括するとともに、本規程に定められた事項を理解し、遵守するとともに、事務取扱担当者にこれを理解させ、遵守させるための教育訓練、安全対策の実施並びに周知徹底等の措置を実施する責任を負う。
２ 事務取扱責任者は、次の業務を所掌する。
① 本規程及び委託先の選定基準の承認及び周知② 個人データの安全管理に関する教育・研修の企画・実施③ 個人データの利用申請の承認及び記録等の管理④ 管理区域及び取扱区域の設定⑤ 個人データの取扱い区分及び権限についての設定及び変更の管理⑥ 個人データの取扱状況の管理⑦ 委託先における個人データの取扱状況等の監督⑧ その他センターにおける個人データの安全管理に関すること
３

部門責任者である各部門における部長は、当該部門における個人情報の取得及び個人
データを適切に管理する任に当たり、個人データの適切な管理のために必要な措置を講じ、個人データの安全確保に努める責任を負う。

４ 事務取扱責任者は、法令遵守の観点から、各部門の部門責任者に対して指導、助言する。
（事務取扱担当者の監督）第８条 事務取扱責任者は、個人データが本規程に基づき適正に取り扱われるよう、事務取扱担当者に対して必要かつ適切な監督を行うものとする。
２

各部門の部門責任者は、当該各部門の事務取扱担当者に対して必要かつ適切な監督を行い、事務取扱責任者に対して必要な報告を行う。

（事務取扱担当者の責務）
第９条 事務取扱担当者は、センターの個人データの取扱い又は委託処理等、個人データを取扱う業務に従事する際、法、政令及び規則並びにその他の関係法令、ガイドライン、本規程及びその他の社内規程並びに事務取扱責任者の指示した事項に従い、個人データの保護に十分な注意を払ってその業務を行うものとする。
２ 事務取扱担当者は、個人情報の漏えい等、法、政令及び規則又はその他の関連法令、ガイドライン、本規程又はその他の社内規程に違反している事実又は兆候を把握した場合、速やかに所属部門の部門責任者又は事務取扱責任者に報告するものとする。所属部門の事務取扱担当者から、当該報告を受けた部門責任者は速やかに事務取扱責任者に報告す
るものとする。

4

（本規程に基づく運用状況の記録）
第 10 条 事務取扱担当者は、
本規程に基づく運用状況を確認するため、以下の項目につき、
項目①・②・④については、「個人データの運用状況記録票」(様式 1)により、項目③については、「個人データ持ち運び記録簿」(様式 2)により記録するものとする。項目⑤については、委託先から受領した証明書等により、項目⑥については別途情報システムのログにより、確認するものとする。
① 個人情報の取得及び個人情報データベース等ファイルへの入力状況② 個人情報データベース等の利用・出力状況の記録③ 個人情報データが記載又は記録された書類・媒体等の持ち運び等の状況④ 個人情報データベース等の削除・廃棄記録⑤ 削除・廃棄を委託した場合、これを証明する記録等⑥

個人情報データベース等を情報システムで取り扱う場合、事務取扱担当者の情報シ

ステムの利用状況(ログイン実績・アクセスログ等)（取扱状況の確認手段）
第 11 条 事務取扱担当者は、個人情報データベース等の取扱状況を確認するための手段として、「個人情報管理台帳」(様式 3)に以下の事項を記録するものとする。なお、個人情報管理台帳には、個人データ自体は記載しないものとする。
① 個人情報データベース等の種類、名称② 個人データの範囲③ 利用目的④ 記録媒体
⑤ 保管場所(管理区域)⑥ 責任者⑦ 取扱部署⑧ 事務取扱担当者(アクセス権者)⑨ 保存期間⑩ 削除・廃棄方法（情報漏えい事案等への対応）
第 12 条 個人データの漏えい、滅失又は毀損(以下「漏えい等」という)の事案の発生又は兆候を把握した場合の対応は、「個人データの漏えい等の事案が発生した場合等の対応について」(平成 29 年個人情報保護委員会告示第 1 号)に基づき、別途定める「情報漏えい事案等対応手続(別紙 1)」に定めるところによる。
（苦情への対応）5

第 13 条 事務取扱担当者は、法、ガイドライン又は本規程に対し、本人から苦情の申出を受けた場合には、その旨を部門責任者に報告する。報告を受けた部門責任者は、適切に対応するものとする。
（取扱状況の確認並びに安全管理の見直し）
第 14 条 事務取扱責任者は、1 年に 1 回以上の頻度で又は臨時に第 10 条に規定する個人データの運用状況記録及び第 11 条に規定する個人情報データベース等の取扱状況の確認を実施しなければならない。
２ 事務取扱責任者は、前項の確認の結果及び次条の監査の結果に基づき、安全管理措置の評価、見直し及び改善に取り組むものとする。
（監査）第 15 条 事務局次長は、様式 4 に定めるモニタリングシートに基づき、センターの個人データの適正な取扱いその他法令及び本規程の遵守状況について検証し、その改善を事務取扱責任者及び各部門の部門責任者に促す。
第2節

人的安全管理措置（教育・研修）
第 16 条 事務取扱責任者は、本規程に定められた事項を理解し、遵守するとともに、従業者に本規程を遵守させるための教育訓練を企画・運営する責任を負う。
２

従業者は、事務取扱責任者が主催する本規程を遵守させるための教育を受けなければならない。研修の内容及びスケジュールは、事業年度毎に事務取扱責任者が定める。
３

センターは、個人情報についての秘密保持に関する事項を就業規則に盛り込むものと

する。
第3節

物理的安全管理措置（個人データを取扱う区域の管理）
第 17 条 センターは管理区域及び取扱区域を明確にし、それぞれの区域に対し、以下の措置を講じる。
（１）管理区域
入退室管理及び管理区域へ持ち込む機器及び電子媒体等の制限を行うものとする。
なお、入退室管理については、様式 5 に定める入退室管理簿への記録による。
（２）取扱区域
可能な限り壁又は間仕切り等を設置するほか、事務取扱担当者以外の者の往来が6

少ない場所への座席配置や、後ろから覗き見される可能性が低い場所への座席配置
等をするなど座席配置を工夫することにより、権限を有しない者による個人データの閲覧等を防止する。
（機器及び電子媒体等の盗難等の防止）
第 18 条 センターは管理区域及び取扱区域における個人データを取扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、次に掲げる措置を講じる。
（１）個人データを取扱う機器、電子媒体又は書類等を、施錠できるキャビネット・書庫等に保管する。
（２）個人データを取扱う情報システムが機器のみで運用されている場合は、セキュリティワイヤー等により固定する。
（電子媒体を持ち運ぶ場合の漏えい等の防止）
第 19 条 センターは個人データが記録された電子媒体又は書類等の持ち運び(個人データ
を、管理区域又は取扱区域の外へ移動させることをいい、事業所内での移動等も含まれる)は、次に掲げる場合を除き禁止する。なお、「持ち運ぶ」とは、個人データを、管理区
域又は取扱区域の外へ移動させること又は当該区域の外から当該区域へ移動させることをいい、事業所内での移動であっても持ち運びに該当するものとする。
（１）個人データに係る外部委託先に、委託事務を実施する上で必要と認められる範囲
でデータを提供する場合（２）利用目的の範囲で個人データを利用する場合
２

前項により個人データが記録された電子媒体又は書類等の持ち運びを行う場合には「個人データ持ち運び記録簿」(様式 2)に記録するとともに、以下の安全策を講じるものとする。
（１）個人データが記録された電子媒体を安全に持ち運ぶ方法① 持ち運びデータの暗号化② 持ち運びデータのパスワードによる保護③ 施錠できる搬送容器の使用④ 追跡可能な移送手段の利用（２）個人データが記載された書類等を安全に持ち運ぶ方法① 封緘、目隠しシールの貼付(各部署の事務取扱担当者から他の部署の事務取扱担
当者に個人データが記載された書類等を移送する場合を含む。)（個人データの削除及び機器、電子媒体等の廃棄）
第 20 条 個人データの廃棄・削除段階における記録媒体等の管理は次のとおりとする。
（１）事務取扱担当者は、個人データが記録された書類等を廃棄する場合、シュレッダ
7

ー等による記載内容が復元不可能なまでの裁断、センター又は外部の焼却場での焼却・溶解等の復元不可能な手段を用いるものとする。
（２）事務取扱担当者は、個人データが記録された機器及び電子媒体等を廃棄する場合、専用データ削除ソフトウェアの利用又は物理的な破壊等により、復元不可能な手段を用いるものとする。
（３）事務取扱担当者は、個人情報データベース等の中の個人データを削除する場合、容易に復元できない手段を用いるものとする。
（４）個人データを取扱う情報システムにおいては、法令及びセンターが別途定める保存期間経過後の毎年度末に個人データを削除するよう情報システムを構築するものとする。
（５）個人データが記載された書類等については、当該関連する書類等についてセンターが別途定める保存期間経過後の毎年度末に廃棄をするものとする。
２ 事務取扱担当者は、個人データ若しくは個人情報データベース等を削除した場合、又は電子媒体等を廃棄した場合には、様式 1 の「個人データの運用状況記録票」に記録するものとする。削除・廃棄の記録としては、削除・廃棄日、対象となる書類・個人情報デー
タベース等、廃棄方法を記録するものとし、当該個人データ自体は含めないものとする。
第4節

技術的安全管理措置（アクセス制御）
第 21 条 個人データへのアクセス制御は以下のとおりとする。
（１）個人情報データベース等を取扱うことができる情報システムを限定する。
（２）個人データと紐付けてアクセスできる情報の範囲をアクセス制御により限定する。
（３）ユーザーＩＤに付与するアクセス権により、個人情報データベース等を取扱う情報システムを使用できる者を事務取扱担当者に限定する。
（アクセス者の識別と認証）
第 22 条 個人データを取扱う情報システムは、ユーザーＩＤ、パスワード、磁気・ＩＣカード等の識別方法により、事務取扱担当者が正当なアクセス権を有する者であることを、識別した結果に基づき認証するものとする。
（外部からの不正アクセス等の防止）
第 23 条 センターは、次のいずれかの方法により、情報システムを外部からの不正アクセ
ス又は不正ソフトウェアから保護するものとする。なお、当センターにおいて個人デー
タを取扱う情報システムは、外部ネットワークから遮断された専用のパソコンに限る。
（１）情報システムと外部ネットワークとの接続箇所に、ファイアウォール等を設置し、8

不正アクセスを遮断する方法（２）情報システム及び機器にセキュリティ対策ソフトウェア等(ウイルス対策ソフトウ
ェア等)を導入する方法（３）導入したセキュリティ対策ソフトウェア等により、入出力データにおける不正ソフ
トウェアの有無を確認する方法（４）機器やソフトウェア等に標準装備されている自動更新機能等の活用により、ソフト
ウェア等を最新状態とする方法（５）ログ等の分析を定期的に行い、不正アクセス等を検知する方法（情報システムの使用に伴う漏えい等の防止）
第 24 条 センターは、情報システムの使用に伴う個人データの漏えい等を防止するために以下の措置を講じ、適切に運用するものとする。
（１）情報システムの設計時に安全性を確保するとともに、情報システムの脆弱性を突いた攻撃への対策も講じ、継続的に見直す。
（２）個人データを含む通信の経路又は内容を暗号化する。
（３）移送する個人データについて、パスワード等による保護を行う。
第3章
第1節

個人情報の取扱い

個人情報の取得・保有等（利用目的の特定）第 25 条 センターは、個人情報の取扱いに当たっては、その利用の目的(以下「利用目的」という)をできる限り特定しなければならない。
２ センターは、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。
（利用目的による制限）
第 26 条 センターは、あらかじめ本人の同意を得ないで、前条の規定により特定された利
用目的の達成に必要な範囲を超えて、個人情報を取扱ってはならない。
２

センターは、合併その他の事由により他の個人情報取扱事業者から事業を承継するに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取扱ってはならない。

３

前二項の規定は、次に掲げる場合については、適用しない。
（１）法令に基づく場合
9（２）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（３）公衆衛生の向上又は児童の健全な育成推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（４）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（適正な取得）第 27 条 センターは、偽りその他の手段により個人情報を取得してはならない。
２ センターは、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個
人情報を取得してはならない。
（１）法令に基づく場合（２）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（３）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（４）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（５）当該要配慮個人情報が、本人、国の機関、地方公共団体、法第 76 条第 1 項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合（６）その他前各号に掲げる場合に準ずるものとして政令で定める場合（取得に際しての利用目的の通知等）
第 28 条 センターは、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
２ センターは、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面(電磁的記録を含む。以下この項において同じ)に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。
３ センターは、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
４ 前三項の規定は、次に掲げる場合については、適用しない。
（１）利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、10財産その他の権利利益を害するおそれがある場合（２）利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合（３）国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
（４）取得の状況から見て利用目的が明らかであると認められる場合（データ内容の正確性の確保等）
第 29 条 センターは、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。
第２節

第三者提供の制限（第三者提供の制限）
第 30 条 センターは、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、
個人データを第三者に提供してはならない。
（１）法令に基づく場合（２）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（３）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（４）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
２ センターは、第三者に提供される個人データ(要配慮個人情報を除く。以下この項において同じ)について、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、規則に定める所定の方法
により、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人デー
タを第三者に提供することができる。
（１）第三者への提供を利用目的とすること（２）第三者に提供される個人データの項目（３）第三者への提供の方法（４）本人の求めに応じて、当該本人が識別される個人データの第三者への提供を停止
11

すること
（５）本人の求めを受け付ける方法
３ センターは、前項第 2 号、第 3 号又は第 5 号に掲げる事項を変更する場合は、変更する
内容について、規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
４ 第 2 項及び前項における「あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置く」とは以下のいずれかの措置を講ずることをいう。
（１）第三者に提供される個人データによって識別される本人が当該提供の停止を求めるのに、必要な期間を置くこと（２）本人が第三者に提供される個人データの項目等の第１項各号の事項を確実に認識できる適切かつ合理的な方法によること
５

センターは、第２項及び第３項による個人情報保護委員会に対する届出事項が同委員会により公表された後、速やかに、インターネットの利用その他の適切な方法により、第三者に提供される第２項各号の事項(変更があったときは、変更後の事項)を公表する
ものとする。

６ 次に掲げる場合において、当該個人データの提供を受ける者は、第１項の規定の適用については、第三者に該当しないものとする。
（１）センターが利用目的の達成に必要な範囲内において個人テータの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合（２）合併その他の事由による事業の継承に伴って個人データが提供される場合（３）特定の者との間で共同して利用される個人テータが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき
７

センターは、前項第３号に規定する利用する者の利用目的又は個人データの管理について責任を有する者の氏名若しくは名称を変更する場合は、変更する内容について、
あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

（第三者提供をする際の記録）
第 31 条 センターは、個人データを第三者に提供したときは、第三者提供に係る記録を作成しなければならない。ただし、当該個人データの提供が第 30 条第 1 項各号に該当する場合又は同条第 6 項各号のいずれかに該当する場合は、この限りでない。
２ 第三者に個人データの提供をする場合の記録の作成方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法によるものとする。
３ 前項の記録は、次項又は第 5 項に該当する場合を除き、第三者から個人データの提供を12した都度、速やかに作成しなければならない。
４ 第 2 項の記録は、
当該第三者から継続的に若しくは反復して個人テータの提供(第 30 条
第 2 項の方法により個人データの提供を受けた場合を除く)をしたとき、又は当該第三者から継続的に若しくは反復して個人データの提供を受けることが確実であると見込まれるときの記録は、一括して作成することができる。
５

第 2 項の記録は、本人に対する物品又は役務の提供に関連して当該本人に係る個人データを第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に記録すべき事項が記載されているときは、当該書面をもって第三者から個人デー
タの提供を受けたときの記録に代えることができる。

６ 第 30 条第 2 項に基づき個人データを第三者に提供した場合は様式 6－1 の「個人デー
タ提供記録簿」に以下の事項を記録するものとする。
（１）当該個人データを提供した年月日（２）当該第三者の氏名又は名称その他の当該第三者を特定するに足る事項(不特定かつ多数の者に対して提供したときは、その旨)（３）当該個人データによって識別される本人の氏名その他の当該本人を特定するに足る事項（４）当該個人データの項目
７ 第 30 条第 1 項に基づく本人の同意を得て個人データを第三者に提供した場合は様式 6－2 の「個人データ提供記録簿」に以下の事項を記録するものとする。
（１）本人の同意を得ている旨（２）当該第三者の氏名又は名称その他の当該第三者を特定するに足る事項(不特定かつ多数の者に対して提供したときは、その旨)（３）当該個人データによって識別される本人の氏名その他の当該本人を特定するに足る事項（４）当該個人データの項目
８ 第 6 項及び前項の記載事項のうち、第 2 項から第 5 項までの方法により作成した記録(保存している場合に限る)に記録されている事項と内容が同一である物については、当該事項の記録を省略することができる。
９ センターは、第 6 項から前項までの規定により作成した記録を、以下の場合に応じて、当該記録を作成した日から所定の期間保存するものとする。
（１）本人を当事者とする契約書等に基づく個人データの提供の場合
最後に当該記録に係る個人データの提供を行った日から起算して 1 年を経過する日までの間（２）個人データを継続的に若しくは反復して提供する場合
最後に当該記録に係る個人データの提供を行った日から起算して 3 年を経過する
日までの間
13

（３）上記各号以外の場合当該記録を作成した日から 3 年間
（第三者提供を受ける際の確認及び記録）
第 32 条 センターは、第三者から個人データの提供を受けるに際しては、次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供が第 30 条第 1 項各号に該当する場合又は同条第 6 項各号のいずれかに該当する場合は、この限りではない。
（１）当該第三者の氏名又は名称及び住所、並びに法人にあってはその代表者(法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人)の氏名（２）当該第三者による当該個人データの取得の経緯
２

センターが、第三者から個人データの提供を受ける際の確認を行う方法は、確認を行う事項の区分に応じて、それぞれ次のとおりとする。
（１）前項第 1 号に該当する事項
個人データを提供する第三者から申告を受ける方法その他の適切な方法（２）前項第 2 号に該当する事項
個人データを提供する第三者から当該第三者による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法

３

前項にかかわらず、第三者から他の個人データの提供を受けるに際して既に前項の方法による確認(当該確認について記録の作成および保存をしている場合におけるものに限る)を行っている事項の確認を行う場合は、当該事項の内容と当該提供に係る確認事項の内容が同一であることの確認を行う方法によるものとする。

４ センターは、前 3 項に基づく確認を行ったときは、以下の区分に応じて以下の事項を記録しなければならない。
（１）第 30 条第 2 項の方法により個人データの提供を受けた場合(様式 7-1 の「個人デー
タ受領記録簿」に記録するものとする。)① 個人データの提供を受けた年月日② 当該第三者の氏名又は名称③ 当該第三者の住所④ 当該第三者が法人である場合は、その代表者(法人でない団体で代表者又は管理人の定めのある物にあっては、その代表者又は管理人)の氏名⑤ 当該第三者による当該個人データの取得の経緯⑥

当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項⑦ 当該個人データの項目⑧ 法第 23 条第 4 項に基づき個人情報保護委員会による公表がされている旨
14

（２）第 30 条第 1 項に基づく本人の同意を得て第三者から提供を受けた場合（様式 7-2の「個人データ受領記録簿」に記録するものとする）① 本人の同意を得ている旨② 当該第三者の氏名又は名称③ 当該第三者の住所④ 当該第三者が法人である場合は、その代表者(法人でない団体で代表者又は管理人の定めのある物にあっては、その代表者又は管理人)の氏名⑤ 当該第三者による当該個人データの取得の経緯⑥

当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項⑦ 当該個人データの項目（３）個人情報取扱事業者ではない第三者から提供を受けた場合(様式 7-3 の「個人デー
タ受領記録簿」に記録するものとする。)① 当該第三者の氏名又は名称② 当該第三者の住所③ 当該第三者が法人である場合は、その代表者(法人でない団体で代表者又は管理人の定めのある物にあっては、その代表者又は管理人)の氏名④ 当該第三者による当該個人データの取得の経緯⑤

当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項⑥ 当該個人データの項目
５

前項各号の記載事項のうち、既に作成した記録(保存している場合に限る)に記録されている事項と内容が同一である物については、当該事項の記録を省略することができる。

６ 第 4 項の記録は、次項又は第 8 項に該当する場合を除き、第三者から個人データの提供を受けた都度、速やかに作成しなければならない。
７ 第 4 項の記録は、
当該第三者から継続的に若しくは反復して個人データの提供(第 30 条
第 2 項の方法により個人テータの提供を受けた場合を除く)を受けたとき、又は当該第三者から継続的に若しくは反復して個人データの提供を受けることが確実であると見込まれるときは、一括して作成することができる。
８ 第 4 項の記録は、本人に対する物品又は役務の提供に関連して第三者から当該本人に係る個人データの提供を受けた場合において、当該提供に関して作成された契約書その他の書面に記録すべき事項が記載されているときは、当該書面をもって第三者から個人データの提供を受けたときの記録に代えることができる。
９ センターは、第 4 項及び第 5 項により作成した記録を、以下の場合に応じて、当該記録を作成した日から所定の期間保存するものとする。
（１）本人を当事者とする契約書等に基づく個人データの提供の場合
15

最後に当該記録に係る個人データの提供を行った日から起算して１年を経過する
日までの間（２）個人データを継続的に若しくは反復して提供する場合
最後に当該記録に係る個人データの提供を行った日から起算して３年を経過する
日までの間（３）上記各号以外の場合当該記録を作成した日から３年間
第４章

保有個人データの開示等の請求等及び苦情処理（個人情報保護窓口の設置等）
第 33 条 保有個人データの開示請求、訂正請求、利用停止請求及びその他相談等に対応する窓口として、個人情報保護相談窓口(以下「相談窓口」という)を総務部総務課におき、センターにおける個人情報の取扱い等に係る相談等の受付並びに、次に掲げる各担当部
門への取次ぎ事務を行うものとする。
（１）健診事業等に関する保有個人データについて
① 事業部

健診管理課
センター健診課
人間ドック健診課

② 事務部

健診課

（２）前号以外の保有個人データについては、総務部総務課が担当する。
２ 相談窓口の住所、電話番号、受付時間は以下のとおりとする。
（１）住所〒030-0962 青森県青森市佃二丁目 19 番 12 号
公益財団法人青森県総合健診センター
総務部総務課 個人情報保護相談窓口（２）電話番号 017-741-2336（３）受付時間 月曜～金曜（祝日、年末年始は除く）
8 時 30 分～12 時、12 時 45 分～17 時 15 分
（保有個人データに関する事項の公表等）
第 34 条 センターは、保有個人データに関し、次に掲げる事項について、「個人情報保護基本方針」と一体としてインターネットのホームページでの常時掲載を行うこと、又は事務所の窓口等での掲示・備付け等を行うこととする。
（１）センターの名称（２）すべての保有個人データの利用目的(第 28 条第 4 項第 1 号から第 3 号までに該当
16

する場合を除く。)（３）次項、次条第 1 項、第 36 条第 1 項、第 37 条第 1 項又は同条第 2 項の規定による請求に応じる手続（４）センターが行う保有個人データの取扱いに関する苦情の申出先
２

センターは、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知するものとする。ただし、次の各号のいずれかに該当する場合は、この限りでない。
（１）前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場
合（２）第 28 条第 4 項第 1 号から第 3 号までに該当する場合
３

センターは、前項の規定に基づき求められた保有個人データの利用目的を通知しない
旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知するものとする。この場
合、センターは本人に対し、当該通知においてその理由を説明するものとする。

（保有個人データの開示）
第 35 条 センターは、本人から、当該本人が識別される保有個人データの開示(当該本人が識別される保有個人データが存在しない時にその旨を知らせることを含む。以下同じ)に係る請求を受けたときは、本人に対し、政令で定める書面の交付による方法により、遅滞なく、当該保有個人データを開示するものとする。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。(様式 8、様式 10-1、10-2)（１）本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（２）センターの業務の適正な実施に著しい支障を及ぼすおそれがある場合（３）他の法令に違反することとなる場合
２

センターは、前項の規定による請求に係る保有個人データの全部または一部について開示しない旨の決定をしたとき又は当該保有個人データが存在しないときは、本人に対し、遅滞なく、その旨を通知するものとする。この場合、センターは本人に対し、当該通知においてその理由を説明するものとする。

３ 他の法令の規定により、本人に対し第 1 項本文に規定する方法に相当する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている場合には、当該全部又は一部の保有個人データについては、同項の規定は、適用しない。
（保有個人データの訂正等）
第 36 条 センターは、当該本人が識別される保有個人データの内容が事実でない事を理由に当該本人から訂正、追加又は削除(以下「訂正等」という)に係る請求を受けた場合には、その内容の訂正等に関して他の法令の規定により特別の手続きが定められている場
17

合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行うものとする。(様式 11、様式 12－1、12－2)
２

センターは、前項の請求に係る保有個人データの内容の全部又は一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨(訂正等を行ったときは、その内容を含む)を通知しなければならない。この場合、センターは本人に対し、当該通知においてその理由を説明するものとする。

（保有個人データの利用停止等）
第 37 条 センターは、本人から、当該本人が識別される保有個人データが法第 16 条の規定に違反して取り扱われているとき又は法第 17 条の規定に違反して取得されたものであるときで、当該保有個人データの利用の停止又は消去(以下この条において「利用停止等」という)に係る請求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する
場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護する
ため必要なこれに代わるべき措置をとるときは、この限りでない。(様式 13、様式 14-1、
14-2)
２ センターは、本人から、当該本人が識別される保有個人データが法第 23 条第 1 項又は
法第 24 条の規定に違反して第三者に提供されていることによって、当該保有個人データの第三者への提供の停止に係る請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
３

センターは、第一項の規定による請求に係る保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は前項の規定による請求に係る保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。この場合、センターは本人に対して、当該通知においてその理由を説明するものとする。

（開示等の請求等に応じる手続）
第 38 条 センターは、法第 27 条第 2 項の規定による求め又は法第 28 条第 1 項、法第 29 条
第 1 項若しくは法第 30 条第 1 項若しくは第 3 項の規定による請求(以下本条において「開示等の請求等」という)に関し、政令で定めるところにより、その求め又は請求を受け付ける方法を定めることができる。この場合において、本人は、当該方法に従って、開示等
18

の請求等を行わなければならない。
（１）開示等の請求等の申出先（２）開示等の請求等に際して提出すべき書面(電磁的記録を含む)の様式(「保有個人データ開示等請求書」様式 8)その他の開示等の請求等の方式（３）開示等の請求等をする者が本人又は次項に規定する代理人であることの確認の方法（４）法第 33 条第 1 項の手数料の徴収方法
２

センターは、開示等の請求等をした本人に対し、その対象となる保有個人データを特定するに足る事項の提示を求めることができる。この場合センターは、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。

３ 開示等の請求等は、政令で定めるところにより、代理人によってすることができる。
（１）未成年者又は成年被後見人の法定代理人（２）開示等の請求等をすることにつき本人が委任状(様式 9)により委任した代理人
４

センターは、前三項の規定に基づき開示等の請求等の請求等に応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。
また、センターは、開示等の請求等を受け付けたときは、当該受付をした日から起算して1 週間以内に、請求に係る可否について決定する。

５

センターは、開示等の請求等のあった保有個人データの利用目的の通知をする旨決定したとき又は全部又はその一部を除いた部分について開示、訂正等若しくは利用停止等
若しくは第三者提供の停止をする旨決定したときは、請求者である本人又は代理人に対し、「保有個人データ開示等決定通知書」(様式 10-1)の送付により通知する。

６

センターは、開示等の請求等のあった保有個人データの利用目的の通知をしない旨決定したとき又は全部について開示、訂正若しくは利用停止等若しくは第三者提供の停止をしない旨決定したときは、請求者である本人又は代理人に対し、「保有個人データ不開
示等決定通知書」(様式 10-2)の送付により通知する。

７ センターは、第 5 項の「保有個人データ開示等決定通知書」及び前項の「保有個人デー
タ不開示等決定通知書」が請求者である本人又は代理人に対して 2 週間以内に送付するよう努めるものとする。これらの通知が諸事情により、請求者である本人又は代理人に 2週間以内に送付することが困難である場合は、事前に当該請求者である本人又は代理人に連絡をするよう努めるものとする。
（手数料）
第 39 条 センターは、法第 27 条第 2 項の規定による利用目的の通知を求められたとき又は法第 28 条第 1 項の規定による開示の請求を受けたときは、当該措置の実施に関し、手数料を徴収することができる。
２

前項の規定により手数料を徴収する場合は、実費を勘案して合理的であると認められ19

る範囲内において、別に定めるものとする。
（苦情の処理）第 40 条センターは、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めるものとする。
２ センターは、前項の目的を達成するために必要な体制の整備に努めるものとする。
３ 前項の苦情処理に関するセンターの体制整備は、第 13 条並びに第 33 条に定めるところに従うものとする。
第5章

個人データの委託の取扱い（委託先における安全管理措置）
第 41 条 センターは、個人データの取扱いの全部または一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要
かつ適切な監督を行うものとする。
２ 前項の「必要かつ適切な監督」には次に掲げる事項が含まれる。
（１）適切な委託先の選定（２）委託契約の締結（３）委託先における個人データ取扱状況の把握
３ 前項第 1 号の「適切な委託先の選定」に当たっては、委託先の安全管理措置が、少なくとも法第 20 条及び「個人情報の保護に関する法律についてのガイドライン(通則編)」
で委託元に求められるものと同等であることを、あらかじめ確認しなければならない。
４ 第 2 項第 2 号の「委託契約の締結」については、委託契約の内容として、以下の規定を盛り込むものとする。
（１）秘密保持義務に関する規程（２）事業所内からの個人データの持出しの禁止（３）個人データの目的外利用の禁止（４）再委託における条件（５）漏えい事案等が発生した場合の委託先の責任に関する規定（６）委託契約終了後の個人データの返却又は廃棄に関する規定（７）従業者に対する監督・教育に関する規定（８）契約内容の遵守状況について報告を求める規定に関する規定（９）個人データを取扱う事業者の明確化に関する規定（10）委託者が委託先に対して実地の調査を行うことができる規定
５ センターは、委託先の管理については、第 33 条第 1 項に準ずるものとし、それぞれを責任部署とする。
６

センターは、委託先において個人データの安全管理が適切に行われていることについ20

て、必要に応じてモニタリングを行うものとする。
７ センターは、委託先において情報漏えい事故等が発生した場合に、適切な対応がなされ、速やかにセンターに報告される体制になっていることを確認するものとする。
８ 委託先は、センターの許諾を得た場合に限り、委託を受けた個人データの全部または一部を再委託することができるものとする。再委託先が更に再委託する場合も同様とする。
９ センターは、再委託先の適否の判断のみならず、委託先が再委託先に対しても必要かつ適切な監督を行っているかどうかについても監督する。
10 センターは、委託先が再委託をする場合、当該再委託契約の内容として、第 4 項と同等の規定等を盛り込ませるものとする。
第6章

雑則

（補則）
第 42 条 この規程に定めるもののほか、この規程の施行に関し必要な事項は、理事長が別に定める。
附則（施行期日）
１ この規程は、平成 16 年 4 月 1 日から施行する。
２ この規程は、平成 17 年 6 月 1 日から施行する。
３ この規程は、平成 23 年 7 月 1 日から施行する。
４ この規程は、平成 24 年 4 月 1 日から施行する。
５ この規程は、平成 31 年 4 月 1 日から施行する。

21

【 別紙 及び 様式 】

別紙 １

情報漏えい事案等対応手続 (第 12 条関連)

様式 １

個人データの運用状況記録票 (第 10 条関連)

様式 ２

個人データ持ち運び記録簿 (第 10 条関連)

様式 ３

個人情報管理台帳

様式 ４モニタリングシート

様式 ５

入退室管理簿(第 11 条関連)
(第 15 条関連)

(第 17 条関連)

様式 ６－１ 個人データ提供記録簿(第 31 条第 6 項関連)

様式 ６－２ 個人データ提供記録簿(第 31 条第 7 項関連)

様式 ７－１ 個人データ受領記録簿(第 32 条第 4 項第１号関連)

様式 ７－２ 個人データ受領記録簿(第 32 条第 4 項第２号関連)

様式 ７－３ 個人データ受領記録簿(第 32 条第 4 項第 3 号関連)

様式 ８

保有個人データ開示等請求書 (第 35 条関連)

様式 ９

委任状 (第 38 条第 3 項第 2 号関連)

様式１０－１保有個人データ開示等決定通知書(第 35 条関連、開示等承諾)

様式１０－２保有個人データ不開示等決定通知書 (第 35 条関連、開示等不承諾)

22

別紙 １
情報漏えい事案等対応手続（第 12 条関連）（目的）
第１条 本手続きは、「個人データの漏えい等の事案が発生した場合等の対応について」（平
成 29 年個人情報保護委員会告示第 1 号）に基づき、漏えい等の事案（第２条に定める「漏えい等の事案」をいう。
）が発生した場合における当センターにおける対応についての手
続きについて定める。なお、特定個人情報の漏えい事案等が発覚した場合については、「事業者における特定個人情報の漏えい事案等が発生した場合の対応について」（平成 27 年
特定個人情報保護委員会告示第 2 号）による。
（対象とする事案）
第２条 本規程は、次の（１）から（３）までのいずれかに該当する事案（以下「漏えい等の事案」という。
）を対象とする。
（１）センターが保有する個人データ（特定個人情報に係るものを除く。）の漏えい、滅失又は毀損（２）センターが保有する加工方法等情報の漏えい（３）上記（１）又は（２）のおそれ（所轄部署）
第 3 条 総務部を本手続の所管部署とし、以下の対応について、関係部署と連携して責任をもって行う。
（１）センター内部における報告・被害の拡大の防止（２）事実関係の調査、原因の究明（３）影響範囲の特定（４）再発防止策の検討・実施（５）影響を受ける可能性のある本人への連絡等（６）事実関係、再発防止策等の公表（７）関係当局への報告
２

事務取扱責任者である総務部長が本手続に定める対応を率先して行う。総務部長が不在の場合は、総務課長が対応を代行する。

３ 事務取扱責任者は、本手続について定期的（年 1 回程度）に見直しを行う。
（第一報）
第４条 センターの従業者は、漏えい等の事案の発生を認識した場合には、総務部に報告をしなければならない。

23

（被害の拡大の防止）
第５条 事務取扱責任者は、前条の第一報があった場合、速やかに漏えい等の事案の防止その他の暫定措置を講ずるように関係部署に対して指示をする。
２

外部からの不正アクセスや不正プログラムの感染が疑われる場合には、当該端末等のＬＡＮケーブルを抜いてネットワークからの切り離しを行う等、適切な対応について、関係部署に対して指示をする。

（経営陣への報告）
第６条 事務取扱責任者は、必要と認められる場合、直ちに、理事長及び業務執行理事に対して報告を行う。
（事実関係の調査、原因の究明）
第７条 事務取扱責任者は、関係部署と連携のうえ、以下の観点において事実関係の調査を行う。
（１）漏えい等があった個人情報を取扱う部署及び担当者の特定（２）漏えい等のルートの解明（３）漏えい等の有無の確認（漏えい等していた場合には、漏えい先の特定を含む。
）（４）漏えい等の対象となる本人、情報の項目及び人数の特定
２ 事務取扱責任者は、原因の究明にあたっては、以下の観点により検討を行う。
（１）センター全体のレベルの問題か・各部レベルの問題か（２）センター社内規程等に不備はなかったか（３）安全管理措置（組織的・人的・物理的・技術的）に不備はなかったか（特に不正アクセスの場合は、技術的安全管理措置において情報システムの脆弱性・不備はなかったか）（４）組織全体の問題か、個人に起因する問題か
３

センターの情報システムに対する不正アクセスが認められる場合は、外部のフォレン
ジック専門業者に委託して事実関係の調査及び原因の究明を行う。

４ 事務取扱責任者は、必要に応じて、警察、弁護士等に対して相談を行う。
（影響範囲の特定）
第８条 事務取扱責任者は、前条で把握した事実関係に関して、漏えい等の対象となる情報の本人の数、漏えいした情報の内容、漏えいした手段、漏えいした原因等を踏まえ、影響範囲を特定する。
（再発防止策の検討及び実施）
第９条 事務取扱責任者は、第７条で究明した原因及び前条で特定した影響範囲を踏まえ、再発防止策を検討し、速やかに実施する。
24

２ 再発防止策は以下の観点に留意して策定するものとする。
（１）センター全体レベルの見直しが必要か、各部レベルの見直しで足りるか（２）センター社内規程等の見直しが必要か（３）安全管理措置（組織的・人的・物理的・技術的）の見直しが必要か（４）運用の見直しやモニタリングで足りるか（関係者の処分）
第 10 条 理事長は、就業規則に基づき、関係者を処分する。
２ 理事長は、必要に応じて関係者について刑事告発を行う。
（影響を受ける可能性のある本人への連絡等）
第 11 条 事務取扱責任者は、漏えい等の事案が発生した場合、二次被害の防止、類似事案の発生の回避等の観点から、事実関係等について、速やかに、本人へ謝罪の連絡をし、又は、センターホームページに事実の概要及び専用窓口を公表することにより本人が容易に知り得る状態に置くものとする。
２ 前項にかかわらず、本人の権利利益が侵害されていないと認められる場合（以下の場合をも含むがこれらの場合に限らない）には、本人への連絡等を省略することができる。
なお、サイバー攻撃による場合等で、公表することで却って被害の拡大につながる可能性があると考えられる場合には、専門機関等に相談するものとする。
（１）紛失したデータを第三者に見られることなく速やかに回収した場合（２）高度な暗号化等の秘匿化が施されていて紛失したデータだけでは本人の権利利益が侵害されていないと認められる場合（影響を受ける可能性のある本人への賠償）
第 12 条 事務取扱責任者は、漏えい等の事案が発生した場合、漏えい等の対象となった情報の内容、漏えい等の態様等の事実関係及び究明した原因、他の同種事案における賠償額等を考慮して、影響を受ける可能性のある本人への賠償額（金銭以外の賠償を含む。）
及び賠償方法を決定する。
（事実関係及び再発防止策の公表）
第 13 条 事務取扱責任者は、漏えい等の事案が発生した場合、二次被害の防止、類似事案の発生回避等の観点から、事実関係及び再発防止策等について、速やかに公表するものとする。
２ 前項にかかわらず、本人の権利利益が侵害されていないと認められる場合（以下の場
合をも含むがこれらの場合に限らない）には、事実関係及び再発防止策等についての公表を省略することができる。なお、サイバー攻撃による場合等で、公表することで却って25

被害の拡大につながる可能性があると考えられる場合には、専門機関等に相談するものとする。
（１）紛失したデータを第三者に見られることなく速やかに回収した場合（２）高度な暗号化等の秘匿化が施されていて紛失したデータだけでは本人の権利利益が侵害されていないと認められる場合（個人情報保護委員会への報告）
第 14 条 事務取扱責任者は、漏えい等の事案が発生した場合、速やかに、個人情報保護委
員会に報告する。
２ 前項にかかわらず、以下の（１）又は（２）のいずれかに該当する場合には、個人情報保護委員会に報告することを要しない。
（１）実質的に個人データ又は加工方法などの情報が外部に漏えいしていないと判断される場合
なお、「実質的に個人データ又は加工方法などの情報が外部に漏えいしていないと判断される場合」には、例えば、次のような場合が該当する。
・漏えい等の事案に係る個人データ又は加工方法などの情報について高度な暗号化等の秘匿化が施されている場合
・漏えい等の事案に係る個人データ又は加工方法などの情報によって特定の個人を識別することが漏えい等の事案を生じた事業者以外ではできない場合（ただし、漏えい等の事案に係る個人データ又は加工方法などの情報のみで、本人に被害が生じるおそれのある情報が漏えいした場合等を除く。）
・個人データ又は加工方法などの情報の滅失又は毀損にとどまり、第三者が漏えい等の事案に係る個人データ又は加工方法などの情報を閲覧することが合理的に予測できない場合（２）ＦＡＸ若しくはメールの誤送信、又は荷物の誤配等のうち軽微なものの場合
なお、「軽微なもの」には、例えば、次のような場合が該当する。
・ＦＡＸ若しくはメールの誤送信、又は荷物の誤配等のうち、宛名及び送信者以外に個
人データ又は加工方法などの情報が含まれていない場合（補則）
第 15 条 本規程に定めるもののほか、この規程の施行に関し必要な事項は、理事長が別に定める。
附則
本規程は、平成 31 年 4 月 1 日から施行する。

26