○個人情報の保護に関する規程
平成17年3月7日
制定
第1章 総則(目的)
第1条 この規程は、個人情報保護法に基づき学校法人五島育英会(以下「法人」という。)が設置する学校(法人本部を含み、東急自動車学校を除く。以下「学校」という。)における個人情報の取扱いに関する基本的事項を定めることにより、個人情報を適切に保護することを目的とする。なお、「行政手続における特定の個人を識別するための番号の利用等に関する法律(平成25年法律第27号)」に基づく「個人番号」及び「特定個人情報」の取扱いに関しては別に定める。
(適用範囲)
第2条 個人情報の処理形態にかかわらず、学校が個人情報を自ら主体となって取得、利用又は提供する個人情報に適用する。
(適用除外)
第2条の2 この規程は、東京都市大学が学術研究の用に供する目的で個人情報を取り扱う場合には、適用しない。ただし、その場合においても、この規程に準じて個人情報を取り扱わねばならない。
(定義)
第3条 この規程で掲げる用語の定義は、次の各号のとおりとする。
(1) 個人情報
生存する個人(役員、職員、学生等を始め、入学志願者、説明会参加者、業務受託者等を含み、現在及び過去に法人と関わったすべての者)に関する情報であって、次のいずれかに該当するものをいう。ただし既に死亡している個人に関する情報であっても、他の生存する個人に関する個人情報であれば、本規程にいう個人情報に該当する。
ア 当該情報に含まれる氏名、生年月日、住所、電話番号等により特定の個人を識別することができるもの
イ 当該情報自体からは特定の個人を識別することができなくても、他の情報と容易に照合することができ、それにより特定の個人を識別することができるもの
ウ 個人識別符号(身体の一部の特徴を電子計算機用に変換した符号、又はカードその他の書類等に対象者ごとに異なるものとなるように記載等された公的な符号のうち、個人情報保護法施行令(以下「政令」という。)で定めるものをいう。)が含まれるもの(2) 要配慮個人情報
本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪に拠る被害の事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。
(3) 個人情報データベース等個人情報を含む情報の集合物であって、次に掲げるものをいう。ただし、政令に基づき、利用方法からみて個人の権利利益を害するおそれが少ないと認められるものを除く。
ア 特定の保有個人情報を、電子計算機を用いて検索することができるように、体系的に構成したもの
イ 目次、索引等により特定の保有個人情報を容易に検索することができるように体系的に構成した帳票・文書等(4) 個人データ
個人情報データベース等を構成する個人情報をいう。
(5) 保有個人データ
学校が、開示、内容の訂正、追加又は削除、利用の停止、消去若しくは第三者への提供の停止を行うことのできる権限を有する個人データ(6カ月以内に消去するものを除く。)をいう。
(6) 本人
個人情報の対象となっている本人をいう。
(7) 提供外部の第三者に自ら保有する個人情報を利用可能にすることをいう。
(8) 個人情報責任者
学校を代表し、個人情報保護に関する責任と権限を有する者をいう。
(9) 個人情報管理責任者
教学並びに事務部門を代表し、個人情報保護の実施及び運用に関する責任と権限を有する者をいう。
(10) 個人情報管理者
各学校の組織上の部署毎等におき、個人情報の管理運営に関する責任を有する者をいう。
第2章 個人情報保護の実施主体(個人情報責任者)
第4条 個人情報責任者は、学(校・園)長とする。ただし、法人本部にあっては、法人本部長とする。
2 個人情報責任者は、本規程に定められた事項を理解及び遵守するとともに、学校における個人情報の取得、利用又は提供の状況を把握し、個人情報を取り扱う者に個人情報保護施策を理解及び遵守させるための教育訓練、安全対策の実施等の措置を行う。
(個人情報管理責任者及び個人情報管理者)
第5条 個人情報管理責任者は、園長、学部長、学科長、教頭及び事務責任者とする。
2 個人情報管理責任者は、所管する業務の範囲における個人情報の取得、利用又は提供の状況を把握し、安全対策の実施等の措置を行う。
3 個人情報管理者は、個人情報責任者が決定し、原則として組織上の部署毎におく。
4 個人情報管理者は、所属する職員が個人情報を適正に取り扱うように指導し、それに関連する問題が生じた場合には、迅速かつ適正に対処するものとする。
(個人情報相談担当者)
第6条 原則として各学校の組織上の部署毎等に、個人情報に関する相談担当者を明確にし、その担当者は個人情報責任者が決定する。
2 相談担当者は、本人から自己の個人情報に関する照会等があった場合、本人の利益のために自ら対応し、必要に応じて他の職員に対応させる責務を有する。
(職員の責務)第7条 個人情報を取り扱う職員は、法令及びこの規程を遵守して、個人情報を適正に取り扱うとともに、保有個人情報の正確性及び安全性の確保に努めなければならない。
2 個人情報を取り扱う職員は、業務上知り得た個人情報の内容をみだりに他人に知らせ、又は不当な目的に使用してはならない。
3 前項の規定は、職員がその職を退いた場合にあっても、同様とする。
(報告義務)
第8条 職員は、個人情報漏えいの発生等、個人情報保護に関する何らかの問題を発見した場合には、ただちに個人情報責任者等にその旨を報告しなければならない。
(個人情報保護委員会)
第9条 学校における個人情報の保護に関する重要事項を審議するため、学校毎に個人情報保護委員会(以下「委員会」という。)を置く。
2 委員会の規則は、別に定める。
第3章 個人情報の取得、利用及び管理(適正な取得)第10条 個人情報を取得するにあたっては、適法かつ公正な手段によって取得しなければならない。
(利用目的の特定)第11条 個人情報を取得するにあたっては、正当な事業及び学校運営の範囲内で利用目的を明確に定めなければならない。
2 前項の利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。
3 前項の規定により利用目的を変更した場合には、変更した利用目的について、あらかじめ本人に明示しなければならない。
(利用目的の明示)
第12条 個人情報を取得する際には、あらかじめ本人にその利用目的を明示しなければならない。ただし、次に掲げる場合は除く。
(1) 人の生命、身体又は財産の保護のために緊急に必要があるとき。
(2) 利用目的を本人に明示することにより、当該本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがあるとき。

(3) 出版、報道等により当該個人情報が既に公開されているとき。
(4) 法令の規定に基づくとき、又は司法手続き上必要なとき。
(5) 取得の状況からみて利用目的が明らかであると認められるとき。
(要配慮個人情報の取得等の制限)
第13条 要配慮個人情報は、合理的な理由がない限り取得、利用又は提供してはならない。
2 要配慮個人情報を取得するときは、次の各号に該当する場合を除き、あらかじめ本人の同意を得なければならない。
(1) 前条第1号から第4号に該当する場合(2) 当該要配慮個人情報が、本人、国の機関、地方公共団体等により公開されている場合(3) 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合(4) 次条第2項各号に該当する場合(第三者からの提供)
第14条 第三者から個人データの提供を受けるに際しては、個人情報管理者は、次の事項を確認し、その取得方法が適法なものであることを確認しなければならない。
(1) 当該第三者の氏名又は名称及び住所並びに法人にあってはその代表者(法人格のない団体においては代表者又は責任者)の氏名(2) 当該第三者による当該個人データの取得の経緯、管理状況
2 当該個人データの提供が、次条第2項に該当する場合又は次の各号に該当する場合、第三者からの提供に該当しない。
(1) 学校が、当該第三者の利用目的の達成に必要な範囲内において個人データの全部又は一部を、受託するとき(2) 合併その他の事由による事業の継承に伴って個人データが提供される場合(3) 特定の者との間で共同して個人データを利用する場合に、第19条第2項各号をあらかじめ本人に通知又は本人が容易に知り得る状態に置いて、当該特定の者から当該共同利用の目的物として提供されるとき
3 第1項により個人データの提供を受けた場合、個人情報管理者は、次の事項に関する記録を作成しなければならない。ただし、学校が、本人に対する物品又はサービスの提供に関連して第三者から個人データの提供を受けた場合において当該提供に関して作成された契約書等に次の事項が記載されているときは、当該契約書等で代替可能とし、また、既に記録されている事項と内容が同一のものについては、当該事項の記録を省略することができる。
(1) 本人の同意を得ている旨(第三者が第21条に相当する規定により個人データを提供した場合は個人データの提供を受けた年月日)(2) 第1項各号に掲げる確認事項(3) 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項(4) 当該個人データの項目(5) 第三者が第21条に相当する規定により個人データを提供した場合は、個人情報保護委員会(内閣府外局)による公表がされている旨
4 前項の記録は、第三者から個人データの提供を受けた都度、すみやかに作成しなければならない。ただし、第三者から継続的に若しくは反復して個人データの提供を受けたとき、又はその確実な見込みがあるときは、一括して作成することができる。
5 学校は、前2項により作成した記録を、次の各号に応じて保存しなければならない。
(1) 第3項ただし書きに基づき契約書等で記録に代えた場合 最後に個人データの提供を受けた日から起算して1年を経過する日まで(2) 前項ただし書きに基づき一括して記録を作成した場合 最後に個人データの提供を受けた日から起算して3年を経過する日まで(3) 前2号以外の場合 当該記録を作成した日から3年間(利用範囲の制限)第15条 個人情報の利用は、明示した利用目的の範囲内でのみ行う。
2 明示した利用目的の範囲を超えて、他の目的で利用する場合は、次に掲げる場合を除き、あらかじめ本人の同意を得なければならない。
(1) 法令に基づいて利用が必要となるとき。
(2) 本人や公衆の生命、健康、財産等の重大な利益を保護するために必要な場合であって、本人の同意を得ることが困難であるとき。
(3) 公衆衛生の向上又は在学生等の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
(4) 国や地方公共団体等が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(個人情報の管理)第16条 保有個人データの管理は、次の各号にしたがって学校毎に適正に行うものとする。
(1) 職員は、保有個人データを利用目的に応じ必要な範囲内において、正確かつ最新の状態で管理するとともに、利用する必要がなくなったときは、当該保有個人データを遅滞なく消去するよう努めなければならない。
(2) 学校は、保有個人データへの不当なアクセス又は個人情報の盗難、紛失、破壊、改ざん、漏えい等を防止するための安全管理措置を実施する。
(3) 学校は、個人情報の安全対策に係る管理マニュアル等を文書化し、学校内に徹底を図る。
(4) 個人情報管理者は、個人データの秘匿性等その内容に応じて、台帳等を整備し、当該保有個人データの利用及び保管等の取扱いの状況について記録するものとする。
(新たな個人情報ファイルの作成時の義務)
第17条 現に保有する個人情報データベース等以外の個人情報データベース等を自ら主体となって作成する場合は、事前に取得する個人情報の種類、利用目的、提供の有無、外部委託の有無、個人データを取り扱う者の範囲、本人への通知文書、等の必要な事項を明確にしたうえで、原則として事前に個人情報管理者に届け出なければならない。
2 前項の規程にかかわらず、やむをえず事前に個人情報管理者に届け出ることができなかった場合、事後遅滞なく届け出なければならない。
(委託)第18条 学校が利用目的の達成に必要な範囲内で、自らが保有する個人データの全部又は一部を委託することができる。
2 前項の場合、学校は、次の各号に定めるような項目について確認し、当法人と同等以上の個人情報保護水準にあると認められる委託先を選定しなければならない。
(1) 委託先の業務・管理体制(2) 規程整備等の状況
3 第1項の場合、学校は、委託先に提供された個人データ(以下、本条で「委託個人データ」という。)の安全管理が図られるよう、委託先に対する必要かつ適切な監督を行うため、委託先と締結する委託契約書に明記するものとする。
(1) 個人情報管理者の指示の遵守(2) 委託契約後を含めた委託個人データの守秘義務(3) 委託先の安全管理措置義務(4) 委託個人データの委託範囲外の利用、加工、複写又は複製、並びに改ざんの禁止(5) 不要になった委託個人データの返却、破棄又は削除に関する事項(6) 委託個人データの保管期間に関する事項(7) 学校の事前の了承のない再提供の禁止(8) 委託個人データの漏えい等が発生した場合等の報告義務及び責任に関する事項(9) 委託先の学校による監査を受ける義務
4 前項委託契約書は、前項第6号に定める期間の間は破棄してはならない。
(共同利用)
第19条 学校は、保有個人データを特定の者との間で共同利用することができる。
2 前項の場合において、学校は、次にかかげる事項を、あらかじめ本人に通知し、又は本人が容易に知り得る状態にしなければならない。
(1) 保有個人データを共同利用する旨(2) 共同利用する保有個人データの項目(3) 共同利用する者の範囲(4) 共同利用する者の利用目的(5) 共同利用する個人データの管理について責任を有する者の氏名又は名称
第4章 個人データの第三者提供(第三者への提供)

第20条 学校は、第15条第2項各号に該当する場合を除き、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
2 次の各号に該当する場合は、前項にいう第三者への提供に当らないものと見なす。
(1) 第18条の定めによる委託に伴って個人データを提供する場合(2) 前条の定めによる共同利用に伴って個人データを当該特定の者に提供する場合(3) 合併その他の事由による事業の承継に伴って個人データを提供する場合
3 学校は、個人データを第三者に提供するにあたって、次に掲げる事項を含む契約を提供先と締結する等の適切な措置を講じなければならない。
(1) 提供する目的範囲外の利用、他の者への再提供、加工、複写又は複製、並びに改ざんの禁止(2) 個人情報の漏えい等が生じた際の通知義務(外国の第三者への提供)
第21条 前条の規定に基づき個人データを提供する場合であって、次のいずれかに該当する場合に限り、外国の第三者に提供することができる。
(1) 外国にある第三者へ提供することについて、本人の同意を得ていること。
(2) 学校と外国にある第三者との間で当該第三者における個人データについて、適切かつ合理的な方法により、個人情報保護法の趣旨に沿った措置の実施が確保されていること。
(3) 外国にある第三者が、個人データの取扱いに係る国際的な枠組みに基づく認定を受けていること。
(4) 第15条第2項各号に該当すること。
(第三者への提供に係る記録の作成等)第22条 個人データを第三者へ提供したとき(第15条第2項各号又は第20条第2項各号に該当する場合を除く)には、個人情報管理者は、次の事項に関する記録を作成しなければならない。ただし、学校が本人に対する物品又はサービスの提供に関連して当該本人の個人データを第三者へ提供する場合において当該提供に関して作成された契約書等に次の事項が記載されているときは、当該契約書等で代替可能とし、また、既に記録されている事項と内容が同一のものについては、当該事項の記録を省略することができる。
(1) 本人の同意を得ている旨(2) 当該第三者の氏名又は名称その他の当該第三者を特定するに足りる事項(不特定かつ多数の者に対して提供したときは、その旨)(3) 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項(4) 当該個人データの項目
2 前項の記録は、個人データを第三者に提供した都度、速やかに作成しなければならない。ただし、個人データを第三者に継続的に若しくは反復して提供したとき、又はその確実な見込みがあるときは、一括して作成することができる。
3 学校は、前2項により作成した記録を、次の各号に応じて保存しなければならない。
(1) 第1項ただし書きに基づき契約書等で記録に代えた場合 最後に個人データの提供を行った日から起算して1年を経過する日まで(2) 前項ただし書きに基づき一括して記録を作成した場合 最後に個人データの提供を行った日から起算して3年を経過する日まで(3) 前2号以外の場合 当該記録を作成した日から3年間
第5章 個人情報の開示、訂正等(開示請求)
第23条 本人から自己に関する保有個人データ(利用目的を含む。)の開示を請求された場合は、学校の相談担当者が速やかに対応する。
2 開示にあたっては、身分証明書、免許証等により本人確認を実施し、本人からの開示請求のみを受け付ける。ただし、本人の同意があるとき、本人が既に死亡しているとき、又は本人が未成年である場合には、当該本人の保護者、保証人、又は法定代理人による開示の請求を妨げない。
3 開示請求の方法は、面談、郵送等、本人確認が取れる方法で実施する。
4 個人情報責任者は、開示請求を受けたとき、次の各号のいずれかに該当する場合を除き、7日(祝祭日を除く。)以内に開示請求に応じることとする。
(1) 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがあるとき。
(2) 開示請求の対象となる保有個人データに、第三者の個人情報が含まれているとき。
(3) 個人の指導、評価、診断、選考等に関する個人情報であって、開示をすることによって当該指導、評価、診断、選考等に支障を及ぼすおそれがあるとき。
(4) 委員会が、開示をすることによって法人又は学校の業務の適正な執行に支障を及ぼすおそれがあると認めたとき。
(5) 他の法令に違反することとなるとき。
5 個人情報責任者は、個人データの開示請求に対して、全部又は一部について開示しない旨の決定をしたときは、開示請求をした者に対し、その理由を通知しなければならない。
(開示の方法)第24条 保有個人情報の開示は、当該個人情報が文書又は図画に記録されているときは閲覧又は写しの交付により、電磁的に記録されているときは印字装置による出力物の閲覧又は写しの交付により、開示請求を行った者に対してのみ行う。ただし、それらの方法による開示が困難である場合には、他の適切な方法により行うことができる。
(訂正等の請求)第25条 第23条の規定に基づき開示した情報に誤りがあり、本人から自己情報の訂正、追加又は削除(以下「訂正等」という。)を請求された場合には、学校の相談担当者が速やかに対応する。
2 前項の訂正等の請求を受けた場合の本人確認については、第23条第2項を準用する。
3 個人情報責任者は、第1項の請求を受けたときは、その内容の訂正等に関して他の法令の規定により特別の手続きが定められている場合を除き、利用目的の達成に必要な範囲内において、10日(祝祭日を除く。)以内に当該保有個人データの内容の訂正等を行わなければならない。申請内容に疑義がある場合は、利用目的の達成に必要な範囲において当該請求に関わる事実を調査・確認する。
4 前項の規定に基づく調査が、正当な理由により10日(祝祭日を除く。)以内に終了しなかった場合には、速やかに本人に対して状況報告を行うこととする。
5 個人情報責任者は、個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、訂正等を請求した者に対し、その旨及び理由(訂正等を行った場合にはその内容を含む。)を通知しなければならない。
(利用・提供停止の請求)第26条 本人から自己に関する保有個人情報の利用・提供の停止又は消去(以下「利用停止等」という。)を請求された場合には、学校の相談担当者が速やかに対応する。
2 前項の利用停止等の請求を受けた場合についての本人確認は、第23条第2項を準用する。
3 個人情報責任者は、第1項の請求を受けたときは、その保有個人データが利用目的の達成に必要な範囲を超えて取り扱われているか、不当な提供を行っているかどうかを調査しなければならない。調査の結果、利用目的に必要な範囲を超えて取り扱われていること、又は不当な提供を行っていることが認められたときは、請求を受けた日から10日(祝祭日を除く。)以内に利用停止等を行わなければならない。
ただし、当該措置の実施に多額の費用を要する場合又は当該措置の実施が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
4 前項の規定に基づく調査が、正当な理由により10日(祝祭日を除く。)以内に終了しなかった場合には、速やかに本人に対して状況報告を行うこととする。
5 個人情報責任者は、個人データの利用停止等の実施について、又は行わない旨の決定をしたときは、利用停止等を請求した者に対し、原則としてその旨及び理由を通知しなければならない。
第6章 事故発生時の対応(事故発生時の対応)
第27条 個人情報の漏えい等、個人情報保護に関する何らかの事故が発生した場合には、個人情報責任者を中心とした事故対応体制をすみやかに構築し、次に掲げる措置等の必要な対応を行う。
(1) 事実関係の調査及び原因の究明(2) 影響範囲の特定(3) 影響を受ける可能性のある本人への連絡(4) 再発防止策の検討及び実施(5) 事実関係及び再発防止策等の公表
2 個人データの漏えい等のうち、その影響が重大なものであると理事長が判断した場合は、個人情報保護委員会(内閣府外局)及び所轄庁に対し、事実関係及び再発防止策等の報告をする。
第7章 雑則(教育・研修)第28条 個人情報責任者は、この規程及び関係法令等の趣旨に則り、個人情報の適正な取扱いを確保するため、職員に対する必要な教育・研修等を実施しなければならない。
(その他)
第29条 個人情報保護等に関して、この規定に定めのない事項については、個人情報保護に関する法律、その他の法令の定めるところによる。
(所管部署)
第30条 この規程は、法人本部総務部人事課が所管する。
(規程の改廃)第31条 この規程の改廃は、常務会の議を経て、理事長が行う。
付 則(平成28年2月5日)
1 この規程は、平成28年1月1日から適用する。
2 東急自動車学校については、別に定める。
付 則(平成30年5月16日)
この規程は、平成30年4月1日から適用する。