公益財団法人 鹿児島県住宅・建築総合センター
個人情報保護規程（規程第１９号）
特定個人情報挿入JIS版
第１章

総 則

（目 的）
第１条 この規程は、公益財団法人鹿児島県住宅・建築総合センター（以下「当法人」という。）定款第56条に従い、個人情報の適正な取扱いの確保に関し必要な事項を定めることにより、事業の適正かつ円滑な運営を図りつつ、個人の権利利益を保護することを目的とする。
（適用範囲）(1) （J.1.4、J.1.5）
第２条 この規程は、当法人の個人情報保護マネジメントシステムに関する要求事項について定める。
(1) 当法人の事業の用に供している個人情報をこの個人情報保護マネジメントシステムの適用範囲とし、当法人の全役職員の個人情報は事業の用に供している個人情報とする(2) 当法人の全役職員をこの個人情報保護マネジメントシステムの人的適用範囲とする
２ 当法人は、次の事項を行う際に、「JIS Q15001:2017 個人情報保護マネジメントシステムの要求事項（以下｢JIS｣という。
）」を用いることとする。
(1) 個人情報保護マネジメントシステムを確立し、実施し、維持し、かつ、改善すること(2) JIS と個人情報保護マネジメントシステムとの適合性について自ら確認し、適合していることを自ら表明すること(3) 組織外部又は本人に、JIS と個人情報保護マネジメントシステムの適合性について確認を求めること(4) 外部機関（経済産業省が所管するプライバシーマーク付与機関又は付与指定機関）による個人情報
保護マネジメントシステムの認証又は登録を求めること（用語及び定義）(3)
第３条 この規程で用いる主な用語及び定義は、次表のとおりとする。ただし、次表で定めがある場合を除き、JIS及び個人情報の保護に関する法律（以下「個人情報保護法」という。
）の第２条に定義がある
ものについては、当該定義を準用する。
号
1

規程の用語
個人情報

本規程の定義「個人情報」とは、次の各号のいずれかに該当するものをいう。
ア 個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等(文書、図画若しくは電磁的記録(電磁的方式(電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。次号イにおいて同じ。)で作られる記録をいう。)に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項(個人識別符号を除く。)をいう。以下同じ。)により特定の個人を識別することができるもの(他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）
イ 個人識別符号が含まれるもの- 119 -

号
2

規程の用語
個人識別符号本規程の定義「個人識別符号」とは次のいずれかに該当する文字、番号、記号その他の符号のうち政令で定めるものをいう。
ア 特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、
番号、記号その他の符号であって、当該特定の個人を識別することができるもの
イ 個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ、又は個人に発行されるカードその他の書類に記載され、若しくは電磁的方式により記録された文字、番号、記号その他の符号であって、その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され、若しくは記録されることにより、特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの

3

本人

個人情報によって識別される特定の個人をいう。

4

組織

責任及び権限をもつトップマネジメントが存在し、自らの目的を達成するため、責任、権限及び相互関係を伴う独自の機能をもつ、個人又は人々の集まりをいう。当規程では、「当法人」と記載する。

5

要配慮個人情 本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その報
他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。

6

個人情報保護 理事長によって当法人の内部の者から指名された者であって、個人情報保護マネジメ
管理者
ントシステムの計画及び運用に関する責任及び権限を持つ者をいう。

7

個人情報保護 理事長によって当法人の内部の者から指名された者であって、公平かつ客観的な立場
監査責任者にあり、監査の実施及び報告を行う責任及び権限を持つ者をいう。(個人情報保護管理者を兼ねることはできない)。

8

本人の同意

本人が、個人情報の取扱いに関する情報を与えられた上で、自己に関する個人情報の取扱いについて承諾する意思表示をいう。
本人が子ども又は事理を弁識する能力を欠く者(精神障害など物事のよしあしを区別することができないか、できるとしてもそれによって行動することができない者)の場合は、法定代理人等の同意も得なければならない。

9

個人情報保護
マネジメントシステム(ＰＭＳ)

当法人が、自らの事業の用に供する個人情報について、その有用性に配慮しつつ、個

10

不適合

ＪＩＳ及びＪＩＳに準拠した当法人の規程等に定めた要求を満たしていないことをいう。

11

役職員(従業者)

当法人の組織内にあって直接間接に当法人の指揮監督を受けて当法人の業務に従事している者などをいい、雇用関係にある従業員(正職員、嘱託職員、非常勤嘱託職
員、臨時職員）だけでなく、雇用関係にない従事者(理事、監事、派遣社員など)も人の権利利益を保護するための方針、体制、計画、実施、点検及び見直しを含むマネ
ジメントシステムをいう。
個人情報保護マネジメントシステム(Personal information protection Management
Systems)の略称はＰＭＳという。

含まれる。

- 120 -

号
12

規程の用語
本規程の定義個人情報デー 個人情報を含む情報の集合物であって、次に掲げるもの(利用方法からみて個人
タベース等の権利利益を害するおそれが少ないものとして政令で定めるものを除く。)をいう。
ア 特定の個人情報を電子計算機を用いて検索することができるように体系的にしたもの
イ 前号に掲げるもののほか、特定の個人情報を容易に検索することができるよ
うに体系的に構成したものとして政令で定めるもの
個人情報データベース等を構成する個人情報をいう。
個人データより個人情報の方が広義となる。

13

個人データ

14

保有個人デー 当法人が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者へのタ提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの又は一年以内の政令で定める期間以内に消去することとなるもの以外のものをいう。
15

個人情報保護 個人情報の取扱いの各局面(個人情報の取得・入力、移送・送信、利用・加工、
リスク
保管・バックアップ、消去・廃棄に至る個人情報の取扱いの一連の流れ)における、個人情報の漏えい、滅失又はき損、関連する法令、国が定める指針その他の規範に対する違反、想定される経済的な不利益及び社会的な信用の失墜、本人の権利利益の侵害など、好ましくない影響をいう。
個人情報保護リスクの脅威が顕在化した状況をいう。

16

緊急事態

17

トップマネジ 最高位で組織を指揮し、管理する個人又は人々の集まりをいう。当規程では、当法人
メントの理事長をいう。

第３条の２ 個人番号及び特定個人情報に関して用いる主な用語及び定義は、次表のとおりとする。ただし、次表で定めがある場合を除き、行政手続きにおける特定の個人を識別するための番号の利用等に関する法律（以下「番号法」という。
）の第２条に定義があるものについては、当該定義を準用する。
号
1

規程の用語
個人番号

2

特定個人情報3

特定個人情報 個人番号及び特定個人情報を併せたものをいう。
等
特定個人情報 個人番号をその内容に含む個人情報ファイルをいう。
ファイル

4

本規程の定義番号法第７条第１項又は第２項の規定により、住民票コードを変換して得られる番号であって、当該住民票コードが記載された住民票に係る者を識別するために指定されるものをいう（番号法第２条第６項及び第７項、第８条並びに第67 条並びに附則第３条第１項から第３項まで及び第５項における個人番号）。
個人番号(個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号であって、住民票コード以外のものを含む。番号法第７条第１項及び第２項、第８条並びに第 67 条並びに附則第３条第１項から第３項まで及び第５項を除く。)をその内容に含む個人情報をいう。

5 個人番号関係 番号法第９条第３項の規定により個人番号利用事務に関して行われる他人の個
事務
人番号を必要な限度で利用して行う事務をいう。

- 121 -

号

6

規程の用語

本規程の定義事務取扱責任 理事長によって当法人の内部の者から指名された者であって、個人番号を取り扱う事務の担当課長をいう。
者

7 事務取扱担当 理事長によって当法人の内部の者から指名された者であって、個人番号を取り者扱う事務に従事する者をいう。

第２章

一般

（一般）（J.2.4）(A.3.1.1)
第４条 当法人は、個人情報保護マネジメントシステムを確立し、実施し、維持し、かつ、改善するものとする。その要求事項は、本規程、個人情報保護方針、個人情報保護マネジメントシステム運用マニュ
アル等に定めるものとし、理事長により権限を与えられた個人情報保護管理者により、当法人の事務決裁規程に従い、承認を得るものとする。
第３章

個人情報保護方針（個人情報保護方針）（J.2.2）(A.3.2.1)
第５条 理事長は、個人情報保護方針を文書化し、次の事項を含めるものとする。なお、当該個人情報保護方針は内部向け及び外部向けのいずれにも対応するものとする。
(1) 当法人の事業の内容及び規模を考慮した適切な個人情報の取得、利用及び提供に関すること[特定された利用目的の達成に必要な範囲を超えた個人情報の取扱い（以下、｢目的外利用｣という。）を行わないこと及びそのための措置を講じることを含む。](2) 個人情報の取扱いに関する法令、国が定める指針その他の規範を遵守すること(3) 個人情報の漏えい、滅失又はき損の防止及び是正に関すること(4) 苦情及び相談への対応に関すること(5) 個人情報保護マネジメントシステムの継続的改善に関すること(6) 理事長の氏名(7) 制定年月日及び最終改正年月日(8) 当該方針の内容についての問合せ先２ 理事長は、個人情報保護方針を文書（電子的方式、磁気的方式その他人の知覚によっては認識できない方式で作られる記録を含む。以下、同じ。）化し、事務所内に掲示し、役職員に周知させるとともに、一般の人が入手可能な措置として、当法人のホームページに掲載し、送付要求にも応じるものとする。
第４章

計 画

（個人情報の特定）（J.3.1.1）(A.3.3.1)
第６条 当法人は、事業の用に供している全ての個人情報を特定するための手順を確立し、かつ、維持す
るものとする。
２ 当法人は，個人情報の項目、利用目的、保管場所、保管方法、アクセス権を有する者、利用期限、保管期限などを記載した、個人情報を管理するための台帳を整備するとともに、当該台帳の内容を少なく
とも年一回、及び必要に応じて適宜に確認し、最新の状態で維持するものとする。
３ 当法人は、特定した個人情報については、個人データと同様に取り扱うものとする。
（法令、国が定める指針その他の規範）（J.1.3）(A.3.3.2)
第７条 当法人は、ＪＩＳ、個人情報の取扱いに関する法令（条例を含む。）、国が定める指針、その他の規範等（以下、｢法令等｣という。）を特定し参照できる手順を確立し、かつ、維持するものとする。
（リスクアセスメント及びリスク対策）（J.3.1.3）(A.3.3.3)
第８条 当法人は、特定した個人情報について、利用目的の達成に必要な範囲を超えた利用を行わないた
め、必要な対策を講じる手順を確立し、かつ、維持するものとする。
２ 当法人は、特定した個人情報の取扱いについて、個人情報保護リスクを特定し、分析し、必要な対策- 122 -

を講じる手順を確立し、かつ、維持するものとする。
３ 当法人は、現状で実施し得る対策を講じた上で、未対応部分を残留リスクとして把握し、管理するものとする。
４ 当法人は、
個人情報保護リスクの特定、分析及び講じた個人情報保護リスク対策を少なくとも年一回、適宜に見直すものとする。
（資源、役割、責任及び権限）（J.2.3.2）(A.3.3.4)
第９条 理事長は、少なくとも、次の責任及び権限を割り当てるものとする。
(1) 個人情報保護管理者(2) 個人情報保護監査責任者
２ 理事長は、ＪＩＳ及び個人情報保護マネジメントシステムの内容を理解し実践する能力のある個人情報保護管理者を組織内部に属する者の中から指名し、個人情報保護マネジメントシステムの実施及び運用に関する責任及び権限を他の責任にかかわりなく与え、業務を行わせるものとする。
３ 個人情報保護管理者は、個人情報保護マネジメントシステムの見直し及び改善の基礎として、理事長に個人情報保護マネジメントシステムの運用状況を報告するものとする。
４ 理事長は、公平、かつ、客観的な立場にある個人情報保護監査責任者を組織内部に属する者の中から指名し、監査の実施及び報告を行う責任及び権限を他の責任にかかわりなく与え、業務を行わせるものとする。
５ 個人情報保護監査責任者は、監査を指揮し、監査報告書を作成し、理事長に報告しなければならない。
監査員の選定及び監査の実施においては、監査の客観性及び公平性を確保しなければならない。
６ 個人情報保護監査責任者と個人情報保護管理者とは異なる者でなければならない。
第９条の２ 事務取扱担当者は、特定個人情報の保護に十分な注意を払ってその業務を行うものとする。
２ 事務取扱担当者が変更することになる場合、理事長は新たに事務取扱担当者となる者を指名するものとする。この場合、従前の事務取扱担当者は新たに事務取扱担当者となる者に対して確実に引継ぎを行わせるものとする。理事長はかかる引継ぎが行われたか確認するものとする。
（内部規程）（J.4.5.4）(A.3.3.5)
第 10 条 当法人は、次の事項を含む内部規程を「個人情報保護マネジメントシステム運用マニュアル」として文書化し、かつ、維持するものとする。
(1) 個人情報を特定する手順に関する規定(2) 法令、国が定める指針その他の規範の特定、参照及び維持に関する規定(3) 個人情報保護リスクアセスメント及びリスク対策の手順に関する規定(4) 当法人の各部門及び階層における個人情報を保護するための権限及び責任に関する規定(5) 緊急事態（個人情報が漏えい、滅失又はき損をした場合）への準備及び対応に関する規定(6) 個人情報の取得、利用及び提供に関する規定(7) 個人情報の適正管理に関する規定(8) 本人からの開示等の請求等への対応に関する規定(9) 認識（教育）などに関する規定(10) 文書化した情報の管理に関する規定(11) 苦情及び相談への対応に関する規定(12) 点検(パフォーマンス評価)に関する規定(13) 是正処置に関する規定(14) マネジメントレビュー(代表者による見直し)に関する規定(15) 内部規程の違反に関する罰則の規定（この規定は、｢職員就業規程｣及び｢職員の懲戒処分に関する要綱｣を準用する。）
２ 当法人は、事業の内容に応じて、個人情報保護マネジメントシステムが確実に適用されるように、｢個人情報保護マネジメントシステム運用マニュアル｣を改正するものとする。
（計画書）（J.3.3）(A.3.3.6)
第 11 条 当法人は、個人情報保護マネジメントシステムを確実に実施するために、少なくとも年一回、次の事項を含めて、必要な計画を立案し、文書化し、かつ、維持するものとする。
(1) 第 33 条に規定する事項を踏まえた教育実施計画の立案及びその文書化(2) 第 39 条に規定する事項を踏まえた内部監査実施計画及びその文書化- 123 -

（緊急事態への準備）（J.4.4.2）(A.3.3.7)
第 12 条 当法人は、緊急事態を特定するための手順、及び、特定した緊急事態にどのように対応するかの手順を確立し、実施し、かつ、維持するものとする。
２ 当法人は、個人情報保護リスクを考慮し、その影響を最小限とするための手順を確立し、かつ、維持するものとする。
３ 当法人は、緊急事態が発生した場合に備え、次の事項を含む対応手順を定め、かつ、維持するものとする。
(1) 漏えい、滅失又はき損が発生した個人情報の内容を本人に速やかに通知するか、又は本人が容易に知り得る状態に置くこと(2) 二次被害の防止、類似事案の発生回避の観点から、可能な限り事実関係、発生原因及び対応策を、
遅滞なく公表すること(3) 事実関係、発生原因及び対応策を関係機関に直ちに報告すること
４ 当法人は、緊急事態が発生した場合、前項の規定により定めた手順に従って緊急事態への対応を実施するものとする。
第５章

実施及び運用第１節 運用手順（J.5）（運用手順）（J.5.1）(A.3.4.1)
第13条 当法人は、個人情報マネジメントシステムを確実に実施するために、運用の手順を明確にするものとする。
第２節 取得、利用及び提供に関する原則（J.8）(A.3.4.2)（利用目的の特定）（J.8.1）(A.3.4.2.1)
第 14 条 当法人は、個人情報を取り扱うに当たっては、その利用目的をできる限り特定し、その目的の達成に必要な範囲内において行うものとする。利用目的の特定に当たっては、取得した情報の利用及び提供によって本人の受ける影響を予測できるように、利用及び提供の範囲を可能な限り具体的に明らかにするよう配慮するものとする。
（個人番号を取り扱う事務の範囲）
第 14 条の２ 当法人が個人番号を取り扱う事務の範囲は以下のとおりとする。
号

区分

1 役職員に係る個人番号関係事務

利 用 目 的・給与所得・退職所得の源泉徴収票に関する事務
・雇用保険に関する事務
・労働者災害補償保険法に基づく請求に関する事務

・健康保険・厚生年金保険に関する事務
2 役職員以外の個人に係る個人番号関 ・報酬・料金・契約金及び賞金の支払調書に関する事務
係事務・公営住宅管理受託事業に係る諸手続きに関する事務（取り扱う特定個人情報等の範囲）
第 14 条の３ 前条の個人番号を取り扱う事務において使用される個人番号及び個人番号と関連付けて管理される特定個人情報は以下のとおりとする。
(1) 役職員又は役職員以外の個人から、番号法 16 条に基づく本人確認の措置を実施する際に提示を受けた本人確認書類（個人番号カード、通知カード、身元確認書類等）及びこれらの写し(2) 税務署等の行政機関等に提出するために作成した法定調書及びこれらの控え(3) 法定調書を作成するうえで役職員又は役職員以外の個人から受領する個人番号が記載された申告書等(4) その他個人番号と関連づけて保存される情報
２ 前項各号に該当するか否かが定かでない場合は、事務取扱責任者が判断する。
- 124 -

（適正な取得）（J.8.2）(A.3.4.2.2)
第15条 個人情報は、適法かつ公正な手段によって取得するものとする。
（特定個人情報の取得の制限）
第 15 条の２ 第 14 条の２に定める事務の範囲を超えて、特定個人情報を取得しないものとする。
（本人確認）
第 15 条の３ 特定個人情報を取得するときは、番号法第 16 条に定める各方法により、役職員又は第三者の個人番号の確認及び当該本人の身元確認を行うものとする。また、代理人については、同条に定める各方法により、当該代理人の身元確認、代理権の確認及び本人の個人番号の確認を行うものとする。
（要配慮個人情報）（J.8.3）(A.3.4.2.3)
第 16 条 当法人は、新たに要配慮個人情報を取得する場合、あらかじめ書面による本人の同意を得ないで、
要配慮個人情報を取得しないものとする。ただし、次に掲げるいずれかに該当する場合には、書面による本人の同意を得ることを要しない。
(1) 法令に基づく場合(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることによって当該事務の遂行に支障を及ぼすおそれがあるとき(5) 当該要配慮個人情報が、法令等により個人情報取扱事業者の義務などの適用除外とされている者
及び個人情報保護委員会規則で定めた者によって公開された要配慮個人情報であるとき(6) 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得又は利用するとき(7) 第 21 条の３第１項の(1)～(3)に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき
２ 当法人は、要配慮個人情報の利用又は提供についても、前項と同様に実施するものとする。さらに、
要配慮個人情報のデータの提供についても、同様に実施するものとする。
（個人情報を取得した場合の措置）（J.8.4）(A.3.4.2.4)
第 17 条 当法人は、個人情報を取得した場合は、あらかじめ、その利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知するか、又は公表するものとする。ただし、次に掲げるいずれかに該当する場合には、本人への利用目的の通知又は公表は要しない。
(1) 利用目的を本人に通知するか、又は公表することによって本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合(2) 利用目的を本人に通知するか、又は公表することによって当法人の権利又は正当な利益を害する
おそれがある場合(3) 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知するか、又は公表することによって当該事務の遂行に支障を及ぼす
おそれがある場合(4) 取得の状況からみて利用目的が明らかであると認められる場合（前条のうち本人から直接書面によって取得する場合の措置）（J.8.5）(A.3.4.2.5)
第18条 当法人は、前条の措置を講じた場合において、本人から、書面（電子的方式、磁気的方式など人の知覚によっては認識できない方式で作られる記録を含む。以下、同じ。）に記載された個人情報を直接取得する場合には、少なくとも、次に示す事項又はそれと同等以上の内容の事項を、あらかじめ、書面によって本人に明示し、書面によって本人の同意を得るものとする。
ただし、人の生命、身体若しくは財産の保護のために緊急に必要がある場合、又はただし書き第 17条の(1)から(4) のいずれかに該当する場合は、本人に明示し、本人の同意を得ることを要しない。
(1) 当法人の名称(2) 個人情報保護管理者（若しくはその代理人）の氏名又は職名、所属及び連絡先- 125 -

(3) 利用目的(4) 個人情報を第三者に提供することが予定される場合の事項① 第三者に提供する目的② 提供する個人情報の項目③ 提供の手段又は方法④ 当該情報の提供を受ける者又は提供を受ける者の組織の種類、及び属性⑤ 個人情報の取扱いに関する契約がある場合はその旨(5) 個人情報の取扱いの委託を行うことが予定される場合には、その旨(6) 第 29 条～第 32 条に該当する場合（個人情報の開示等に応じる必要がある場合）には、その請求等に応じる旨及び問合せ窓口(7) 本人が当法人に個人情報を与えることの任意性及び当該情報を与えなかった場合に本人に生じる
結果(8) 本人が容易に知覚できない方法によって個人情報を取得する場合には、その旨（利用に関する措置）（J.8.6）(A.3.4.2.6)
第 19 条 当法人は、本人の同意の有無に関わらず、違法又は不当な行為を助長し、又は誘発するおそれのある方法により個人情報を利用しないものとする。
２ 特定した利用目的の達成に必要な範囲内で個人情報を利用するものとする。
３ 特定した利用目的の達成に必要な範囲を超えて個人情報を利用する場合は、
あらかじめ、
少なくとも、
第 18 条(1)～(6)に示す事項又はそれと同等以上の内容の事項を本人に通知し、本人の同意を得るものとする。ただし、以下のいずれかに該当する場合に限り、特定した利用目的の達成に必要な範囲を超えて個人情報を利用する場合に本人の同意を得ることを要しない。
(1) 法令に基づく場合(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（特定個人情報の利用目的）
第19条の２ 当法人が、役職員又は第三者から取得する特定個人情報の利用目的は、第14条の２に掲げた
個人番号を取り扱う事務の範囲内とする。
（個人番号の利用制限）
第 19 条の３ 当法人は、個人番号を第 14 条の２に掲げる利用目的の範囲内でのみ利用するものとする。
２ 当法人は、人の生命、身体又は財産の保護のために必要がある場合を除き、本人の同意があったとしても、利用目的を超えて特定個人情報を利用してはならないものとする。
（特定個人情報ファイルの作成の制限）
第 19 条の４ 当法人が特定個人情報ファイルを作成するのは、第 14 条の２に定める事務を実施するために必要な範囲に限り、これらの場合を除き特定個人情報ファイルを作成しないものとする。
（本人に連絡又は接触する場合の措置）（J.8.7）(A.3.4.2.7)
第 20 条 当法人は、個人情報を利用して本人に連絡又は接触する場合には、本人に対して、第 18 条(1)～(6)に示す事項又はそれと同等以上の内容の事項及び取得方法を通知し、本人の同意を得るものとする。ただし、次に掲げるいずれかに該当する場合は、本人に通知し、本人の同意を得ることを要しない。
(1) 第 18 条(1)～(6)に示す事項又はそれと同等以上の内容の事項を明示又は通知し、既に本人の同意を得ているとき(2) 個人情報の取扱いの全部又は一部を委託された場合であって、当該個人情報を、その利用目的の達成に必要な範囲内で取扱うとき(3) 合併その他の事由による事業の承継に伴って個人情報が提供され、個人情報を提供する事業者が、既に第 18 条(1)～(6)に示す事項又はそれと同等以上の内容の事項を明示又は通知し、本人の同意を- 126 -

得ている場合であって、承継前の利用目的の範囲内で当該個人情報を取扱うとき(4) 個人情報が特定の者との間で共同して利用され、共同して利用する者が、既に第 18 条(1)～(6)に示す事項又はそれと同等以上の内容の事項を明示又は通知するか、本人の同意を得ている場合であって、次に示す事項又はそれと同等以上の事項を、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき（以下、｢共同利用｣という。）① 共同して利用すること② 共同して利用される個人情報の項目③ 共同して利用する者の範囲④ 共同して利用する者の利用目的⑤ 共同して利用する個人情報の管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名⑥ 取得方法(5) 第 17 条の(4)に該当するため、利用目的などを本人に明示、通知又は公表することなく取得した
個人情報を利用して、本人に連絡又は接触するとき(6) 第 16 条のただし書き(1)～(4)のいずれかに該当する場合（個人データの提供に関する措置）（J.8.8）(A.3.4.2.8)
第 21 条 当法人は、個人データを第三者に提供する場合には、あらかじめ、本人に対して、第 18 条(1)～(4) に示す事項又はそれと同等以上の内容の事項、及び取得方法を通知し、本人の同意を得るものとする。ただし、次に掲げるいずれかに該当する場合は、本人に通知し、本人の同意を得ることを要しない。
(1) 第 18 条又は第 20 条の規定によって、既に第 18 条(1)～(4)の事項又はそれと同等以上の内容の事
項を本人に明示又は通知し、本人の同意を得ているとき(2) 本人の同意を得ることが困難な場合であって、法令等が定める手続に基づいた上で、次に示す事
項又はそれと同等以上の内容の事項を、あらかじめ本人に通知するか、又はそれに代わる同等の措置を講じているとき① 当法人の名称、住所及び代表者の氏名② 第三者への提供を利用目的とすること③ 第三者に提供される個人データの項目④ 第三者への提供の手段又は方法⑤ 本人の請求などに応じて当該本人が識別される個人データの第三者への提供を停止すること⑥ 取得方法⑦ 本人からの請求などを受け付ける方法⑧ その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則で定める事項(3) 法人その他の団体に関する情報に含まれる当該法人その他の団体の役員及び株主に関する情報であって、かつ、本人又は当該法人その他の団体自らによって公開又は公表された情報を提供する場合
であって、法令等が定める手続に基づいた上で、前号の①～⑧で示す事項又はそれと同等以上の内容の事項を、あらかじめ、本人に通知するか、又は本人が容易に知り得る状態に置いているとき(4) 特定した利用目的の達成に必要な範囲内において、個人データの取扱いの全部または一部を委託するとき(5) 合併その他の事由による事業の承継に伴って個人データが提供された場合であって、承継前の利用目的の範囲内で当該個人データを取り扱うとき(6) 個人データを共同利用している場合であって，共同して利用する者の間で、第 20 条に規定する共同利用について契約によって定めているとき(7) 第 16 条のただし書き(1)～(4)のいずれかに該当する場合
２ 前項の(2)の適用に当たっては、以下の(1)～(3)を除く。
(1) 要配慮個人情報(2) 偽りその他不正な手段により取得された個人データ(3) 個人情報保護法第 27 条第 2 項又は前項の(2)により提供された個人データ（提供されたデータに対して、その全部又は一部を複製し、又は加工したものを含む。）（外国にある第三者への提供の制限）（J.8.8.1）(A.3.4.2.8.1)
第 21 条の２ 当法人は、外国にある第三者に個人データの提供を行わないものとする。
（第三者提供に係る記録の作成など）（J.8.8.2）(A.3.4.2.8.2)- 127 -

第 21 条の３ 当法人は、個人データを第三者に提供したときは、法令等の定めるところにより記録を作成するとともに、当該記録を必要な期間保管するものとする。ただし、第 16 条の(1)～(4)のいずれかに該当する場合、又は次に掲げるいずれかに該当する場合は、記録の作成を要しない。
(1) 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合(2) 合併その他の事由による事業の承継に伴って個人データが提供される場合(3) 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知するか、又は本人が容易に知り得る状
態に置いているとき
２ 当法人は、個人データを第三者に提供したときは、提供先が実施する第三者提供を受ける際の確認等に対し、適切に応じるものとする。
（第三者提供を受ける際の確認など）（J.8.8.3）(A.3.4.2.8.3)
第 21 条の４ 当法人は、第三者から個人データの提供を受ける際には、法令等の定めるところにより確認を行うものとする。ただし、第 16 条の(1)～(4)のいずれかに該当する場合、又は第 21 条の３の(1)～(3)のいずれかに該当する場合は、確認を要しない。
２ 当法人は、法令等の定めるところにより確認の記録を作成し、保管するものとする。
（個人関連情報）（J.8.8.4）
第 21 条の５ 当法人は、個人関連情報（生存する個人に関連する情報であって、個人情報、仮名加工情報
及び匿名加工情報のいずれにも該当しないものをいう。）の取扱いを行わないものとする。
（匿名加工情報）（J.8.9）(A.3.4.2.9)
第 21 条の６ 当法人は、匿名加工情報の取扱いを行わないものとする。
（仮名加工情報）（J.8.10）
第 21 条の 7 当法人は、仮名加工情報（各区分ごとに定める措置を講じて他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報をいう。
）の取扱いを行わないものとする。
（特定個人情報の提供制限）
第21条の８ 当法人は、番号法第19条各号に掲げる場合を除き、本人の同意の有無に関わらず、特定個人情報を第三者に提供しないものとする。
第３節 適正管理（J.9）(A.3.4.3)（正確性の確保）（J.9.1）(A.3.4.3.1)
第 22 条 当法人は、利用目的の達成に必要な範囲内において、個人データを、正確、かつ、最新の状態で管理するものとする。
２ 当法人は、個人データを利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めるものとする。
（安全管理措置）（J.9.2）(A.3.4.3.2)
第 23 条 当法人は、個人情報保護リスクに応じて、漏えい、滅失又はき損の防止その他の個人情報の安全管理のために、法令に基づき必要かつ適切な措置を講じるものとする。
（役職員の監督）（J.9.3）(A.3.4.3.3)
第 24 条 当法人は、役職員に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該役職員に対し必要かつ適切な監督を行うものとする。

- 128 -

（委託先の監督）（J.9.4）(A.3.4.3.4)
第 25 条 当法人は、個人データの取扱いの全部又は一部を委託する場合、特定した利用目的の範囲内で委託契約を締結するものとする。
２ 当法人は、個人データの取扱いの全部又は一部を委託する場合は、十分な個人データの保護水準を満たしている者を選定するものとする。このため、委託を受ける者を選定する基準を確立するものとする。
また、委託を受ける者を選定する基準には，少なくとも委託する当該業務に関しては、当法人と同等以上の個人情報保護の水準にあることを客観的に確認できることを含めるものとする。
３ 当法人は、個人データの取扱いの全部又は一部を委託する場合は、委託する個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行うものとする。
４ 当法人は、次に示す事項を契約によって規定し、十分な個人データの保護水準を担保するものとする。
(1) 委託者及び受託者の責任の明確化(2) 個人データの安全管理に関する事項(3) 再委託に関する事項(4) 個人データの取扱状況に関する委託者への報告の内容及び頻度(5) 契約内容が遵守されていることを委託者が、定期的に、及び適宜に確認できる事項(6) 契約内容が遵守されなかった場合の措置(7) 事件・事故が発生した場合の報告・連絡に関する事項(8) 契約終了後の措置
５ 当法人は、当該契約書などの書面を個人データの保有期間にわたって保存するものとする。
（特定個人情報の委託）
第 25 条の２ 当法人は、特定個人情報の取扱いを委託しないものとする。
第４節 個人情報に関する本人の権利（J.10）(A.3.4.4)（個人情報に関する権利）（J.10.1）(A.3.4.4.1)
第 26 条 当法人は、保有個人データ又は第三者提供記録（第 21 条の 3 及び第 21 条の 4 の規定により作成したものをいう。以下に同じ。）に関して、本人から開示等の請求等を受け付けた場合は、第 29 条から第 32 条の規定によって、遅滞なくこれに応じるものとする。ただし、次に掲げるいずれかに該当する場合は、保有個人データ又は第三者提供記録には当たらない。
(1) 当該個人データ又は当該第三者提供記録の存否が明らかになることによって、本人又は第三者の生命、身体又は財産に危害が及ぶおそれのあるもの(2) 当該個人データ又は当該第三者提供記録の存否が明らかになることによって、違法又は不当な行為を助長し、又は誘発するおそれのあるもの(3) 当該個人データ又は当該第三者提供記録の存否が明らかになることによって、国の安全が害されるおそれ、
他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれのあるもの(4) 当該個人データ又は当該第三者提供記録の存否が明らかになることによって、犯罪の予防、鎮圧
又は捜査その他の公共の安全及び秩序維持に支障が及ぶおそれのあるもの
２ 当法人は、保有個人データに該当しないが、本人から求められる利用目的の通知、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止の請求などのすべてに応じることができる
権限を有する個人情報についても、保有個人データと同様に取り扱うものとする。
（開示等の請求等に応じる手続）（J.10.2）(A.3.4.4.2)
第 27 条 当法人は、本人からの保有個人データ又は第三者提供記録の開示等の請求等に応じる手続として、次の事項を定めるものとする。
(1) 開示等の請求等の申し出先(2) 開示等の請求等に際して提出すべき書面の様式その他の開示等の請求等の方式(3) 開示等の請求等をする者が、本人又は代理人であることの確認の方法(4) 第 29 条又は第 30 条による場合の手数料の徴収方法
２ 当法人は、手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮するものとする。
３ 当法人は、
第 29 条又は第 30 条によって本人からの請求等に応じる場合に、手数料を徴収するときは、実費を勘案して合理的であると認められる範囲内において、その額を定めるものとする。
- 129 -

（保有個人データ又は第三者提供記録に関する事項の周知など）（J.10.3）(A.3.4.4.3)
第 28 条 当法人は、当該保有個人データ又は第三者提供記録に関し、次の事項を本人の知り得る状態（本人の請求など求めに応じて遅滞なく回答する場合を含む。）に置くものとする。
(1) 当法人の名称、住所及び代表者の氏名(2) 個人情報保護管理者（若しくはその代理人）の氏名又は職名、所属及び連絡先(3) 全ての保有個人データの利用目的。ただし、第 17 条(1)～(3)に該当する場合を除く(4) 保有個人データの取扱いに関する苦情の申し出先(5) 第 27 条によって定めた手順(6) 保有個人データの安全管理のために講じた措置（本人の知り得る状態に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。）（保有個人データの利用目的の通知）（J.10.4）(A.3.4.4.4)
第 29 条 当法人は、本人から、当該本人が識別される保有個人データについて、利用目的の通知を求められた場合には、遅滞なくこれに応じるものとする。ただし、第 17 条(1)～(3)のいずれかに該当する場
合又は第 28 条(3)によって当該本人が識別される保有個人データの利用目的が明らかな場合は、利用目的の通知を必要としないが、そのときは、本人に遅滞なくその旨を通知するとともに、理由を説明する
ものとする。
（保有個人データ又は第三者提供記録の開示）（J.10.5）(A.3.4.4.5)
第 30 条 当法人は、本人から、当該本人が識別される保有個人データ又は第三者提供記録の開示（当該本
人が識別される保有個人データ又は第三者提供記録が存在しないときにその旨を知らせることを含む。）の請求を受けたときは、法令の規定によって特別の手続きが定められている場合を除き、本人に対し、遅滞なく、電磁的記録の提供も含めて当該本人が指定した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面での交付による方法）
によって開示するものとする。ただし、開示することによって次の(1)～(3)のいずれかに該当する場合
は、全部又は一部の開示を必要としないものとする。
(1) 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合(2) 当法人の業務の適正な実施に著しい支障を及ぼすおそれがある場合(3) 法令に違反する場合
２ 前項の本人が指定した方法について、当該方法による開示が困難であるとして、書面での交付とした
場合、若しくは、前項ただし書きの(1)～(3)のいずれかに該当する場合、本人に遅滞なくその旨を通知するとともに、理由を説明する。なお、本人が書面での開示を要望した場合を除く。
（保有個人データの訂正、追加又は削除）（J.10.6）(A.3.4.4.6)
第 31 条 当法人は、本人から、当該本人が識別される保有個人データの内容が事実でないという理由によって当該保有個人データの訂正、追加又は削除（以下、本条において「訂正等」という。）の請求を受けた場合は、法令の規定によって特別の手続きが定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づいて、当該保有個人データの訂正等を行うものとする。
２ 当法人は、前項の訂正等を行ったときは、その旨及びその内容を、本人に対し、遅滞なく通知し、訂正等を行わない旨の決定をしたときは、その旨及びその理由を、本人に対し、遅滞なく通知するものとする。
（保有個人データの利用又は提供の拒否権）（J.10.7）(A.3.4.4.7)
第 32 条 当法人は、本人から当該本人が識別される保有個人データの利用の停止、消去又は第三者への提供の停止（以下、本条において「利用停止等」という。）の請求を受けた場合は、これに応じるものとする。
２ 当法人は、前項の措置を講じた後は、遅滞なくその旨を本人に通知するものとする。ただし、第 30条(1)～(3)のいずれかに該当する場合は、利用停止等を行う必要はないが、そのときは、本人に遅滞なくその旨を通知するとともに、理由を説明するものとする。
第５節 認 識（J.4.3）(A.3.4.5)（認 識）
第 33 条 当法人は、役職員が JIS7.3 に規定する「認識」をもつために、関連する各部門及び階層におけ- 130 -

る次の事項を認識させる手順を確立し、かつ、維持するものとする。
(1) 個人情報保護方針(2) 個人情報保護マネジメントシステムに適合することの重要性及び利点(3) 個人情報保護マネジメントシステムに適合するための役割及び責任(4) 個人情報保護マネジメントシステムに違反した際に予想される結果
２ 当法人は、認識させる手順に、全ての役職員に対する教育を少なくとも年一回、適宜に行うことを含めるものとする。
第６章 文書化した情報（文書化した情報の範囲）（J.4.5.1）(A.3.5.1)
第 34 条 当法人の、個人情報保護マネジメントシステムの基本となる要素を記述した文書（以下、「マネジメントシステム文書」という。）を次のとおり定める。
(1) 個人情報保護方針(2) 個人情報保護規程(3) 個人情報保護マネジメントシステム運用マニュアル(4) 計画書(5) ＪＩＳが要求する記録及び当法人が個人情報保護マネジメントシステムを実施する上で必要と判断した文書及び記録等（文書化した情報(記録を除く。)の管理）（J.4.5.3）(A.3.5.2)
第 35 条 当法人は、ＪＩＳが要求する全ての文書化した情報（記録を除く。）を管理する手順を確立し、実施し、かつ、維持するものとする。
２ 文書化した情報（記録を除く。）の管理の手順には、次の事項が含まれなければならない。
(1) 文書化した情報（記録を除く。）の発行及び改正に関すること(2) 文書化した情報（記録を除く。）の改正の内容と版数との関連付けを明確にすること(3) 必要な文書化した情報（記録を除く。）が必要なときに容易に参照できること（文書化した情報のうち記録の管理）（J.4.5.5）(A.3.5.3)
第 36 条 当法人は、個人情報保護マネジメントシステム及びＪＩＳの要求事項への適合を実証するために必要な記録として次の事項を含む記録を作成し、かつ、維持するものとする。
(1) 個人情報の特定に関する記録(2) 法令等の特定に関する記録(3) 個人情報保護リスクの認識、分析及び対策に関する記録(4) 計画書(5) 利用目的の特定に関する記録(6) 保有個人データに関する開示等（利用目的の通知、開示、内容の訂正、追加又は削除、利用の停止又は消去、第三者提供の停止）の請求等への対応記録(7) 教育などの実施記録(8) 苦情及び相談への対応記録(9) 運用の確認の記録(10) 内部監査報告書(11) 是正処置の記録(12) マネジメントレビューの記録
２ 当法人は、前項の記録の管理についての手順を確立し、実施し、かつ、維持するものとする。
第７章 苦情及び相談への対応（苦情及び相談への対応）（J.11.1）(A.3.6)
第 37 条 当法人は、個人情報の取扱い及び個人情報保護マネジメントシステムに関して、本人からの苦情及び相談を受付けて、適切かつ迅速な対応を行う手順を確立し、かつ、維持するものとする。
２ 前項の目的を達成するために必要な体制の整備を行うものとする。

- 131 -

第８章 パフォーマンス評価（J.6）(A.3.7)（運用の確認）（J.6.1）(A.3.7.1)
第 38 条 当法人は、個人情報保護マネジメントシステムが適切に運用されていることが各部門及び階層において定期的に、及び適宜に確認されるための手順を確立し、実施し、かつ、維持するものとする。
２ 各部門及び各階層の管理者は、定期的に、及び適宜にマネジメントシステムが適切に運用されているかを確認し、不適合が確認された場合は、その是正処置を行わなければならない。
３ 個人情報保護管理者は、理事長による個人情報保護マネジメントシステムの見直しに資するため、定期的に、及び適宜に理事長にその状況を報告しなければならない。
（内部監査）（J.6.2）(A.3.7.2)
第 39 条 当法人は、個人情報保護マネジメントシステムのＪＩＳへの適合状況及び個人情報保護マネジメ
ントシステムの運用状況を少なくとも年一回、適宜に監査するものとする。
２ 当法人は、監査の計画及び実施、結果の報告並びにこれに伴う記録の保持に関する責任及び権限を定める手順を確立し、実施し、かつ、維持するものとする。
３ 個人情報保護監査責任者は、監査員に、自己の所属する部署の内部監査をさせてはならない。
（マネジメントレビュー）（J.6.3）(A.3.7.3)
第 40 条 理事長は、JIS9.3 に規定するマネジメントレビューを実施するために、少なくとも年一回、適宜に個人情報保護マネジメントシステムを見直すものとする。
２ マネジメントレビューにおいては、次の事項を考慮するものとする。
(1) 監査及び個人情報保護マネジメントシステムの運用状況に関する報告(2) 苦情を含む外部からの意見(3) 前回までの見直しの結果に対するフォローアップ(4) 個人情報の取扱いに関する法令、国の定める指針その他の規範の改正状況(5) 社会情勢の変化、国民の認識の変化、技術の進歩などの諸環境の変化(6) 当法人の事業領域の変化(7) 内外から寄せられた改善のための提案
第９章 是正処置（是正処置）（J.7.1）(A.3.8)
第 41 条 当法人は、不適合に対する是正処置を確実に実施するための責任及び権限を定める手順を確立し、実施し、かつ、維持するものとする。その手順には、次の(1)～(5)の事項を含めなければならない。
(1) 不適合に対処し、該当する場合は、次の事項を行うこと① 不適合を管理し、修正するための処置をとる② 不適合によって起こった結果に対処する(2) 不適合の原因を除去するための次の事項を検討すること① 不適合の調査分析② 不適合の原因の特定③ 類似の不適合の有無又はそれが発生する可能性の検討(3) 是正処置を計画し、計画された処置を実施すること(4) 実施された全ての是正処置の有効性を調査、分析及び評価すること(5) 必要な場合には、個人情報保護マネジメントの改善を行うこと
２ 前項各号の実施結果について、理事長又は個人情報保護管理者の承認を得た上で文書化し、かつ、維持するものとする。
第 10 章 雑 則（委任）第 42 条 この規程に定めるもののほか、必要な事項は理事長が定める。

- 132 -

附

則

（施行期日）
１ この規程は、平成１７年４月１日から施行する。
附則（施行期日）
１ この規程は、平成２０年２月２５日から施行する。
附則（施行期日）
１ この規程は、平成２０年４月１５日から施行する。
附則（施行期日）
１ この規程は、平成２３年２月１４日から施行する。
附則（施行期日）
１ この規程は、平成２４年４月１日から施行する。
附則（施行期日）
１ この規程は、平成２７年８月１日から施行する。
附則（施行期日）
１ この規程は、平成２７年１２月１日から施行する。
附則（施行期日）
１ この規程は、令和元年８月１日から施行する。
附則（施行期日）
１ この規程は、令和４年７月１日から施行する。
附則（施行期日）
１ この規程は、令和６年４月１日から施行する。

- 133 -

- 134 -