Ⅰ-7 個人情報保護規則

社会福祉法人特別区社会福祉事業団 個人情報の保護に関する規則
平成３１年３月２０日
規
目

則

第

１

号

次
第１章

総則（第１条－第４条）

第２章

計画 （第５条－第１１条）

第３章

実施及び運用（第１２条－第３７条）

第４章

文書化した情報（第３８条－第４０条）

第５章

苦情及び相談への対応（第４１条）

第６章

パフォーマンス評価（第４２条－第４５条）

第７章

是正処置（第４６条）

第８章

雑則（第４７条－第５１条）

附

則

第１章

総

則

（目的及び適用範囲）
第１条

この規則は、社会福祉法人特別区社会福祉事業団（以下「事業団」という｡）

が、自らの事業の用に供している個人情報に関する個人情報保護マネジメントシステ
ムを確立し、実施し、維持し、かつ、改善するための活動の基本的な枠組みを定めることを目的とする。
２

この規則は、前項の目的を達成するために個人情報の保護に関する法律（平成１５年法律第５７号。以下「個人情報保護法」という。）及び行政手続における特定の個人を識別するための番号の利用等に関する法律（平成２５年法律第２７号。以下「番号法」という。）並びに個人情報保護マネジメントシステムの要求事項（JISQ15001:
2017。以下「JIS規格」という。）等、個人情報の取扱いに関する法令、国が定める指針その他の規範に基づき作成されたものである。

３

この規則は、事業団が行う事業において処理する利用者の個人情報並びに事業団の役員及び事業団の業務に従事する職員（以下「従業者等」という。）、従業者等になろうとした者（採用応募者等）並びに過去において従業者等であった者の雇用等管理
情報（これらの者の雇用等管理のために取得、保管、利用等をする個人情報であって、病歴、収入、家族関係等の情報を含む従業者等の個人に関する全ての情報をいう。）
等、事業の用に供する全ての個人情報を適用対象とする。

４

この規則は、事業団の従業者等に適用する。
（用語及び定義）第２条

この規則において用いる用語及び定義は、以下のとおりとする。

Ⅰ-7 個人情報保護規則（１）個人情報
個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより当該個人を識別することができることとなるものを含む。）及び個人識別符号が含まれるものをいう。
（２）個人識別符号
政令で定めるものであって、顔認識・指紋データ等の生体情報等、特定の個人を識別することができるもの又は個人に発行されるカード等に記載され、若しくは電磁的方式により記録された文字、番号、記号その他の符号であって、特定の本人を識別することができるものをいう。
（３）本人
個人情報によって識別される特定の個人をいう。
（４）本人の同意
本人が、個人情報の取扱いに関する情報を与えられた上で、自己に関する個人情報の取扱いについて承諾する意思表示をいう。本人が子ども又は事理を弁識する能力を欠く者の場合は、法定代理人等の同意も得なければならない。
（５）要配慮個人情報
本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。
（６）個人情報データベース等
個人情報を含む情報の集合物であって、電子計算機を用いて検索することができる
ように体系的に構成したもの又は一定の規則に従って整理、分類、目次、索引、符号等を付すことによって特定の個人情報を容易に検索できるように体系的に構成したものをいう。
（７）個人データ
個人情報データベース等を構成する個人情報をいう。
（８）保有個人データ

個人情報法の改正（１）

事業団が、利用目的の通知、開示、内容の訂正、追加又は削除、利用の停止、消去
及び第三者への提供の停止（以下「開示等」という。）を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの以外のものをいう。なお、指定管理及び受託事業における保有個人データについては、事業団にその開示等を行う権限はない。
（９）個人番号
番号法第７条第１項又は第２項の規定により、住民票コードを変換して得られる番号であって、当該住民票コードが記載された住民票に係る者を識別するために指定されるものをいう。
（10）特定個人情報
個人番号（個人番号に対応し、当該個人番号に代わって用いられる番号、記号その

Ⅰ-7 個人情報保護規則
他の符号であって、住民票コード以外のものを含む。）をその内容に含む個人情報をいう。（以下、特定個人情報と個人番号を併せて「特定個人情報等」という。）（11）匿名加工情報
個人情報に含まれる記述等の一部を、個人情報保護委員会規則に従って、復元することのできない方法により削除し、若しくは他の記述等に置き換え、又は個人識別符号の全部を削除することにより、特定の個人を識別することができないようにしたものをいう。
（12）匿名加工情報取扱事業者
匿名加工情報を事業の用に供している者をいい、事業団はこれに該当する。
（13）個人情報保護管理者
理事長によって事業団の内部の者から指名された者であって、個人情報保護マネジ
メントシステムの実施及び運用に関する権限をもつ者をいう。
（14）個人情報保護監査責任者
理事長によって事業団の内部の者から指名された者であって、公平かつ客観的な立場にあり、監査の実施及び報告を行う権限をもつ者をいう。
（15）不適合個人情報保護法をはじめとする法令、規範及びJIS規格を満たしていないことをいう。
（16）個人情報保護マネジメントシステム
事業団が、自らの事業の用に供する個人情報について、その有用性に配慮しつつ、個人の権利利益を保護するための方針、体制、計画、実施、点検及び見直しを含むマ
ネジメントシステムをいう。
（17）提供委託を通じた提供、第三者への提供及び共同利用のための提供をいい、それぞれの概念は以下のとおりである。
事業団と同等の安全管理措置が講じられている組(1)

委託を通じた提供

織との間で個人情報を受け渡す。個人情報の管理責
任は委託元にある。
個人情報を渡した後の管理責任は第三者に渡る。あ(2)

第三者への提供

らかじめ、本人の同意を得ないで第三者提供を行う
ことは、個人情報保護法に違反する。
個人情報を複数の組織と共同で利用する。本人の同(3)

共同利用のための提供 意を得た後に共同して利用する者を追加する場合
は、再度本人の同意が必要となる。

（一般要求事項等）
第３条

事業団は、JIS規格に規定する「組織」（責任及び権限をもつトップマネジメン

トが存在し、自らの目的を達成するため、責任、権限及び相互関係を伴う独自の機能をもつ個人又は人々の集まり）に該当する。
２

理事長は、JIS規格に規定する「トップマネジメント」（最高位で組織を指揮し、管Ⅰ-7 個人情報保護規則
理する個人又は人々の集まり）に該当する。
３

事業団は、この規則に規定する個人情報保護マネジメントシステムを確立し、実施し、維持し、かつ、改善しなければならない。

４

この規則に規定する個人情報保護マネジメントシステムは、理事長によって権限を与えられた者によって、別に定める手順に従って承認されなければならない。

５

事業団は、この規則に規定する個人情報保護マネジメントシステムを確実に実施するために、運用の手順として関連各規程を定めなければならない。
（個人情報保護方針）

第４条

理事長は、個人情報保護の理念を明確にした個人情報保護方針を定めるとともに、これを実行し、かつ、維持しなければならない。
２

事業団は、個人情報保護方針を各事業所内等に掲示するとともに、事業団のイント
ラネット及びホームページに掲載するなど、従業者等及び一般の人が入手可能な措置を講じなければならない。

３

前２項に規定する個人情報保護方針には、内部向け個人情報保護方針及び外部向け
個人情報保護方針がある。

４

前項の内部向け個人情報保護方針には、以下の事項を定める。

（１）事業団の事業の内容を勘案した個人情報保護の理念（２）事業団の事業の内容及び規模を考慮した適切な個人情報の取得、利用及び提供に関すること（特定された利用目的の達成に必要な範囲を超えた個人情報の取扱い（以下「目的外利用」という。）を行わないこと及びそのための措置を講じることを含む。）。
（３）個人情報の取扱いに関する法令、国が定める指針その他の規範を遵守すること。
（４）個人情報の漏えい、滅失又はき損の防止及び是正に関すること。
（５）苦情及び相談への対応に関すること。
（６）個人情報保護マネジメントシステムの継続的改善に関すること。
（７）理事長の氏名
５第３項の外部向け個人情報保護方針には、前項に定めるもののほか、次の事項を明記しなければならない。

（１）制定年月日及び最終改正年月日（２）外部向け個人情報保護方針の内容についての問合せ先
第２章

計画（個人情報の特定等）
第５条

事業団は、事業の用に供しているすべての個人情報を洩れなく特定し管理するため、かつ、目的外利用を行わないための手順を定めなければならない。
２

前項の手順は別に定める。

３

事業団は、個人情報の項目、利用目的、保管場所、保管方法、アクセス権を有する

Ⅰ-7 個人情報保護規則
者、利用期限、保管期限等を記載した個人情報を管理するための台帳を整備するとともに、当該台帳の内容を少なくとも毎年度１回、適宜に確認し、最新の状態で維持されるようにしなければならない。
４

事業団は、特定した個人情報については、個人データと同様に取り扱わなければならない。

（法令、国が定める指針その他の規範）
第６条

事業団は、個人情報の取扱いに関する法令、国が定める指針その他の規範を特定し参照できる手順を確立し、かつ、維持しなければならない。
２

法令、国が定める指針その他の規範の調査及び特定を行うための実施担当者、調査
時期及び方法、結果報告の具体的な手順は別に定める。
（リスクアセスメント）

第７条

事業団は、第５条において特定した個人情報について、目的外利用を行わないため、必要な対策を講じる手順を確立し、かつ、維持しなければならない。
２

事業団は、特定した個人情報の取扱いについて、個人情報保護のリスクを特定し、分析し、必要な対策を講じる手段（以下「リスクアセスメント」という。）を確立し、かつ、維持しなければならない。

３

事業団は、現状で実施し得る対策を講じた上で、未対応部分を残留リスクとして把握し、管理しなければならない。

４

事業団は、個人情報保護リスクの特定、分析及び講じた個人情報保護リスク対策を
少なくとも毎年度１回、適宜に見直さなければならない。

５

個人情報保護のリスクアセスメントの具体的な手順は別に定める。
（資源、役割、責任及び権限）

第８条

理事長は、個人情報保護マネジメントシステムを確立し、実施し、維持し、かつ、改善するために不可欠な資源を用意しなければならない。
２

理事長は、個人情報保護マネジメントシステムを効果的に実施するために次の者を置き、それぞれの役割、責任及び権限を定めなければならない。

（１）個人情報保護管理者（２）個人情報保護監査責任者
３

理事長は、この規則に規定する個人情報保護マネジメントシステムの内容を理解し実践する能力のある個人情報保護管理者を事業団内部に属する者の中から指名し、個人情報保護マネジメントシステムの実施及び運用に関する責任及び権限を他の責任にかかわりなく与え、業務を行わせなければならない。

４

個人情報保護管理者は、個人情報保護マネジメントシステムの見直し及び改善の基礎として、理事長に個人情報保護マネジメントシステムの運用状況を報告しなければならない。

Ⅰ-7 個人情報保護規則５

理事長は、公平かつ客観的な立場にある個人情報保護監査責任者を事業団内部に属する者の中から指名し、監査の実施及び報告を行う責任及び権限を他の責任にかかわりなく与え、業務を行わせなければならない。

６

個人情報保護監査責任者は、監査を指揮し、監査報告書を作成し、理事長に報告しなければならない。監査員の選定及び監査の実施においては、監査の客観性及び公平性を確保しなければならない。

７

理事長は、個人情報保護管理者及び個人情報保護監査責任者を兼務してはならない。
個人情報保護管理者は、個人情報保護監査責任者を兼務してはならない。

８

前各項に規定する資源並びに役割、責任及び権限等についての具体的な組織体制は別に定める。
（内部規程）

第９条

事業団は、次の事項を含む内部規程を文書化し、かつ、維持しなければならな

い。
（１）個人情報を特定し管理するため、かつ、目的外利用を行わないための手順に関する事項（第５条関係）（２）法令、国が定める指針その他の規範の調査及び特定を行うための実施担当者、調査時期及び方法、結果報告の具体的な手順に関する事項（第６条関係）（３）個人情報保護のリスクアセスメントの具体的な手順に関する事項（第７条関係）（４）理事長の用意する資源並びに個人情報保護管理者及び個人情報保護監査責任者の役割、責任及び権限等についての具体的な組織体制に関する事項（第８条関係）（５）計画の立案及び策定の具体的な手順に関する事項（第１０条関係）（６）緊急事態への準備及び対応手順に関する事項（第１１条関係）（７）利用目的の特定並びに個人情報の取得、利用及び提供等に関する事項（第１３条、第１５条ないし第２４条関係）（８）個人情報の適正管理（正確性の確保、安全管理等）等に関する事項（第２５条ないし第２８条関係）（９）本人からの開示等の請求等への対応等に関する事項（第３０条ないし第３６条関係）（10）従業者等に認識させるための具体的な手順（教育を含む。）に関する事項（第３７条関係）（11）文書化した情報の管理等に関する事項（第３８条ないし第４０条関係）（12）苦情及び相談への対応の具体的な手順及び体制の整備に関する事項（第４１条関係）（13）個人情報保護マネジメントシステムの運用の確認及び内部監査の具体的な手順に関する事項（第４３条、第４４条関係）（14）マネジメントレビューの具体的な手順に関する事項（第４５条関係）（15）是正処置の具体的な手順に関する事項（第４６条関係）（16）内部規程違反の場合の罰則（制裁その他の措置）に関する事項（第２７条関係）

Ⅰ-7 個人情報保護規則
２

事業団は、個人情報保護マネジメントシステムが確実に運用されるように、必要に応じ、内部規程を改正しなければならない。
（計画策定）

第10条

事業団は、個人情報保護マネジメントシステムを確実に実施するために、毎年度１回、次の事項を含む必要な計画を立案し、文書化し、かつ、維持しなければならない。
（１）第３７条に規定する事項を踏まえた教育実施計画の立案及びその文書化（２）第４４条に規定する内容を踏まえた内部監査実施計画の立案及びその文書化
２

前項に定めるもののほか、事業団は、個人情報保護マネジメントシステムを確実に実施するための計画が必要と認めた場合、当該計画を策定しなければならない。

３

前各項の計画の立案及び策定の具体的な手順は別に定める。
（緊急事態への準備等）個人情報法の改正（３）個人情報法の改正（４）（改正）

第11条

事業団は、緊急事態を特定するための手順及び特定した緊急事態にどのように対応するかの手順を確立し、実施し、かつ、維持しなければならない。
２

事業団は、個人情報保護リスクを考慮し、その影響を最小限とするための手順を確立し、かつ、維持しなければならない。

３

事業団は、緊急事態が発生した場合に備え、次の事項を含む対応手順を確立し、かつ、維持しなければならない。

（１）漏えい、滅失又はき損が発生した個人情報の内容を本人に速やかに通知し、又は本人が容易に知り得る状態におくこと。
（２）事実関係、発生原因及び対応策を関係機関に直ちに報告すること。
（３）二次被害の防止、類似事案の発生回避等の観点から、可能な限り事実関係、発生
原因及び対応策を、遅滞なく公表すること。
（４）個人データの漏洩、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きい場合は、当該事態が生じた旨を個人情報保護委員会に報告すること。
４

緊急事態への準備及び対応手順については別に定める。
（要綱第11条の改正が必要）

第３章

実施及び運用（運用の手順）第12条

事業団は、個人情報保護マネジメントシステムを確実に実施するために、運用の手順を明確にしなければならない。
（利用目的の特定）第13条

事業団は、個人情報の目的外利用を行わないためにも、個人情報を取り扱うに当たっては、その利用目的をできるだけ特定し、その目的の達成に必要な範囲内におⅠ-7 個人情報保護規則
いて行わなければならない。
２

事業団は、利用目的の特定に当たっては、取得した個人情報の利用及び提供によって本人の受ける影響が予測できるように、利用及び提供の範囲を可能な限り具体的に明らかにするよう配慮しなければならない。

３

特定個人情報等の利用目的は、番号法で定める税、社会保障、災害対策に関わるものに制限される。

４

利用目的の特定を行うための具体的な手順は別に定める。
（適正な取得）第14条

事業団は、次の各号を遵守し、適法かつ公正な手段によって個人情報を取得しなければならない。
（１）利用目的を偽るなど不公正な手段によって個人情報を取得することは許されない。また、優越的な地位を利用して取得することも許されない。なお、個人情報の取得に関しては、直接書面による取得とそれ以外の場合がある。
（２）特定個人情報等を取得する場合は、番号法第１６条に基づき、本人確認を行わなければならない。
（３）直接書面による取得の場合は、本人に通知すべき事項を書面により明示し、本人の同意を得なければならない。なお、直接書面による取得には、ウェブサイトからの入力も含まれる。
（４）直接書面による取得以外の場合は、利用目的を本人に通知又は公表する必要がある。
（５）個人情報を取得する場合は、提供元又は委託元が適切な取得をしているかにつき、
以下の方法で確認を行わなければならない。
ア

提供元又は委託元の個人情報保護方針（プライバシーポリシー）や利用目的がホームページ等で公表されているか確認を行う。

イ

アで確認が取れない、又は確認が取れたが不審に感じられる場合は、直接提供
元又は委託元に問い合わせて確認を行う。

（６）個人情報の取得に当たり本人の同意を得ることが必要な場合において、同意を得ることが困難なとき（本人が意識障害、精神障害、乳幼児等のとき）は、業務の遂行上の必要性を十分検討し、その記録をした上で情報の取得を行わなければならない。親権者及び保護者等が定まっている場合は、可能な限り、その者の了承を得るよう努めなければならない。
（要配慮個人情報の取得、利用及び提供の制限）
第15条

事業団は、新たに要配慮個人情報を取得する場合は、あらかじめ書面による本人の同意を得ないで、その取得をしてはならない。ただし、次のいずれかに該当する
場合は、書面による本人の同意を得ることを要しない。
（１）法令に基づく場合

Ⅰ-7 個人情報保護規則（２）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
（３）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
（４）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることによって当該事務の遂行に支障を及ぼすおそれがあるとき。
（５）前各号に定めるもののほか、個人情報取扱事業者の義務等の適用除外とされている者及び個人情報保護委員会規則で定めた者によって公開された要配慮個人情報又は政令で定められた要配慮個人情報であるとき。
２

事業団は、要配慮個人情報の利用又は提供についても、前項と同様に実施しなければならない。さらに、要配慮個人情報のデータの提供についても、同様に実施しなけ
ればならない。

３

要配慮個人情報の取得、利用及び提供の具体的な手順は別に定める。
（個人情報を取得した場合の措置）

第16条

事業団は、個人情報を取得した場合は、あらかじめ、その利用目的を公表している場合を除き、速やかに、その利用目的を本人に通知し、又は公表しなければならない。ただし、次のいずれかに該当する場合は、この限りでない。
（１）利用目的を本人に通知し、又は公表することによって、本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（２）利用目的を本人に通知し、又は公表することによって、事業団の権利又は正当な利益を害するおそれがある場合（３）国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することによって、当該事務の遂行に支障を及ぼすおそれがある場合（４）取得の状況からみて利用目的が明らかであると認められる場合
２

個人情報を取得した場合の措置に関する具体的な手順は別に定める。
（本人から直接書面によって取得する場合の措置）

第17条

事業団は、前条の措置を講じた場合において、本人から書面（電子的方式、磁気的方式その他知覚によっては認識できない方式で作られる記録を含む。以下この条において同じ。）に記載された個人情報を直接に取得する場合には、少なくとも次に掲げる事項又はそれと同等以上の内容の事項を、あらかじめ書面によって本人に明示し、書面によって本人の同意を得なければならない。ただし、人の生命、身体若しくは財産の保護のために緊急の必要がある場合、又は前条第１項各号のいずれかに該当する場合は、この限りでない。
（１）事業団の名称（２）個人情報保護管理者の氏名又は職名、所属及び連絡先

Ⅰ-7 個人情報保護規則（３）利用目的（４）個人情報を第三者に提供することが予定される場合の事項
ア

第三者に提供する目的

イ

提供する個人情報の項目

ウ

提供の手段又は方法

エ

当該個人情報の提供を受ける者又は提供を受ける者の組織の種類及び属性

オ

個人情報の取扱いに関する契約がある場合は、その旨（５）個人情報の取扱いの委託を行うことが予定されている場合は、その旨（６）第３３条から第３６条までに該当する場合には、その請求等に応じる旨及び問合せ窓口（７）本人が個人情報を与えることの任意性及び当該情報を与えなかった場合に本人に生じる結果（８）本人が容易に知覚（認識）できない方法によって個人情報を取得する場合は、その旨
２

特定個人情報等を取得する場合は、番号法第１６条に基づく本人確認を行わなければならない。

３

本人から直接書面によって取得する場合の措置の具体的な手順は別に定める。
（利用に関する措置）個人情報法の改正（２）（改正）

第18条

事業団は、特定した利用目的の達成に必要な範囲内で個人情報の利用を行うことを原則とし、違法又は不正な行為を助長し、又は誘発するおそれがある方法により利用してはならない。
２

特定した利用目的の達成に必要な範囲を超えて個人情報を利用する場合は、あらか
じめ、少なくとも前条第１項第１号から第６号までに規定する事項又はそれと同等以上の内容の事項を本人に通知し、本人の同意を得なければならない。ただし、第１５条第１項第１号から第４号までのいずれかに該当する場合は、この限りでない。

３

特定個人情報等の利用範囲は、番号法第９条に規定する範囲に限定され、本人の同意があったとしても、当該利用範囲を超えた利用は認められない。

４

利用に関する措置の具体的な手順は別に定める。
（本人に連絡又は接触する場合の措置）
第19条

事業団は、個人情報を利用して本人に連絡又は接触する場合には、本人に対して、第１７条第１項第１号から第６号までに規定する事項又はそれと同等以上の内容の事項、及び取得方法を通知し、本人の同意を得なければならない。ただし、次のいずれかに該当する場合は、この限りでない。
（１）既に第１７条第１項第１号から第６号までに規定する事項又はそれと同等以上の内容の事項を明示又は通知し、本人の同意を得ているとき。
（２）個人情報の取扱いの全部又は一部を委託された場合であって、当該個人情報を、その利用目的の達成に必要な範囲内で取り扱うとき。

Ⅰ-7 個人情報保護規則（３）合併その他の事由による事業の承継に伴って個人情報が提供され、個人情報を提供する事業者が、既に第１７条第１項第１号から第６号までに規定する事項又はそれと同等以上の内容の事項を明示又は通知し、本人の同意を得ている場合であって、承継前の利用目的の範囲内で当該個人情報を取り扱うとき。
（４）個人情報が特定の者との間で共同して利用され、共同して利用する者が、既に第１７条第１項第１号から第６号までに規定する事項又はそれと同等以上の内容の事項を明示又は通知し、本人の同意を得ている場合であって、次に掲げる事項又はそれと同等以上の内容の事項を、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。（以下「共同利用」という。）
ア

共同して利用すること。

イ

共同して利用される個人情報の項目

ウ

共同して利用する者の範囲

エ

共同して利用する者の利用目的

オ

共同して利用する個人情報の管理について責任を有する者の氏名又は名称

カ

取得方法

（５）第１６条第１項第４号に該当するため、利用目的等を本人に明示、通知又は公表することなく取得した個人情報を利用して、本人に連絡又は接触するとき。
（６）第１５条第１項第１号から第４号までのいずれかに該当する場合
２

本人に連絡又は接触する場合の具体的な手順は別に定める。
（個人データの提供に関する措置）

第20条

事業団は、個人データを第三者に提供する場合には、あらかじめ、本人に対して、第１７条第１項第１号から第４号までに規定する事項又はそれと同等以上の内容の事項、及び取得方法を通知し、本人の同意を得なければならない。ただし、次のいずれかに該当する場合は、この限りでない。
（１）第１７条又は第１９条の規定によって、既に第１７条第１項第１号から第４号までに規定する事項又はそれと同等以上の内容の事項を本人に明示又は通知し、本人の同意を得ているとき。
（２）本人の同意を得ることが困難な場合であって、法令等が定める手続に基づいた上で、次に掲げる事項又はそれと同等以上の内容の事項を、あらかじめ、本人に通知し、又はそれに代わる同等の措置を講じているとき。
ア

第三者への提供を利用目的とすること。

イ

第三者に提供される個人データの項目

ウ

第三者への提供の手段又は方法

エ

本人の請求等に応じて当該本人が識別される個人データの第三者への提供を停止すること。

オ

取得方法

カ

本人からの請求等を受け付ける方法（３）法人その他の団体に関する情報に含まれる当該法人その他の団体の役員及び株主

Ⅰ-7 個人情報保護規則に関する情報であって、かつ、本人又は当該法人その他の団体自らによって公開又は公表された情報を提供する場合であって、前号アからカまでの事項又はそれと同等以上の内容の事項を、あらかじめ、本人に通知し、又は本人が容易に知り得る状
態に置いているとき。
（４）特定した利用目的の達成に必要な範囲内において、個人データの取扱いの全部又は一部を委託するとき。
（５）合併その他の事由による事業の承継に伴って個人データを提供する場合であって、承継前の利用目的の範囲内で当該個人データを取り扱うとき。
（６）個人データを共同利用している場合であって、共同して利用する者の間で、前条に規定する共同利用について契約によって定められているとき。
（７）第１５条第１項第１号から第４号までのいずれかに該当する場合
２

事業団は、番号法第１９条各号のいずれかに該当する場合に限り、事業団以外のものへの特定個人情報等の提供をすることができる。ただし、共同利用は認められない。

３

個人データの提供に関する措置の具体的な手順は別に定める。
（外国にある第三者への提供の制限）

第21条

事業団は、法令等の定めに基づき、外国にある第三者に個人データを提供する

場合には、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。ただし、第１５条第１項第１号から第４号までのいずれかに該当する場
合及びその他の法令等によって除外事項が適用される場合は、この限りでない。
２

外国にある第三者への提供についての具体的な手順は別に定める。
（第三者提供に係る記録の作成等）

第22条

事業団は、個人データを第三者に提供したときは、法令等に定めるところによって記録を作成し、保管しなければならない。ただし、第１５条第１項第１号から第４号までのいずれかに該当する場合、又は次のいずれかに該当する場合は、この限りでない。
（１）個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱
いの全部又は一部を委託することに伴って、当該個人データが提供される場合（２）合併その他の事由による事業の承継に伴って個人データが提供される場合（３）特定の者との間で共同して利用される個人データが当該特定の者に提供される場
合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。
２

第三者提供に係る記録の作成等の具体的な手順は別に定める。
（第三者提供を受ける際の確認等）

第23条

事業団は、第三者から個人データの提供を受けるに際しては、法令等に定める

Ⅰ-7 個人情報保護規則
ところによって確認を行わなければならない。ただし、第１５条第１項第１号から第４号までのいずれかに該当する場合、又は前条第１項各号のいずれかに該当する場合
は、この限りでない。
２

事業団は、法令等の定めることによって確認の記録を作成、保管しなければならない。

３

第三者提供を受ける際の確認等の具体的な手順は別に定める。
（匿名加工情報）第24条

事業団は、匿名加工情報を取り扱う場合には、本人の権利利益に配慮し、かつ、

法令等の定めるところによって適切な取扱いを行う手順を確立し、維持しなければならない。
２

事業団は、匿名加工情報を作成する場合は、次の対応を行わなければならない。

（１）法令で定める基準に従って、適正な加工を施すこと。
（２）法令で定める基準に従って、削除した情報及び加工の方法に関する情報の漏えいを防止するための安全管理措置を講じること。
（３）作成した匿名加工情報に含まれる情報の項目を公表すること。
（４）作成の元となった個人情報に対し、本人を識別するための行為を行わないこと。
３

事業団は、匿名加工情報を第三者に提供する場合には、提供しようとする匿名加工
情報に含まれる個人に関する情報の項目及び提供の方法を公表するとともに、提供先となる第三者に対して、提供する情報が匿名加工情報であることを明示しなければならない。

４

匿名加工情報の作成及び提供に関する具体的な手順は別に定める。
（正確性の確保）第25条

事業団は、利用目的の達成に必要な範囲内において、個人データを正確に、かつ、最新の状態で管理するための措置を講じなければならない。
２

事業団は、個人データを利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。

３

正確性の確保のための措置に関する具体的な手順は別に定める。
（安全管理措置）第26条

事業団は、その取り扱う個人情報の個人情報保護リスクに応じて、漏えい、滅失又はき損の防止その他の個人情報の安全管理のために必要かつ適切な措置を講じなければならない。
２

安全管理のための措置に関する具体的な手順は別に定める。
（従業者等の監督）

第27条

事業団は、その従業者等に個人データを取り扱わせるに当たって、当該個人データの安全管理が図られるよう、当該従業者等に対する必要かつ適切な監督を行わな

Ⅰ-7 個人情報保護規則
ければならない。
２

事業団は、従業者等との間で、機密保持の誓約についての書面を取り交わし、従業者等は、当該取り交わした書面に従って、個人情報の安全管理に努めなければならない。

３

機密保持の誓約に関し必要な事項は別に定める。

４

職員が機密保持等の内部規程に違反した場合には、事業団は、当該職員に対し、就業規則の定めに従い、制裁その他の措置を行う。
（委託先の監督）第28条

事業団は、個人データの取扱いの全部又は一部を委託する場合、特定した利用目的の範囲内で委託契約を締結しなければならない。
２

事業団は、個人データの取扱いの全部又は一部を委託する場合、十分な個人データの保護水準を満たしている者を選定しなければならない。このため、事業団は、委託を受ける者を選定する基準を確立しなければならない。

３

委託を受ける者を選定する基準には、少なくとも委託する当該業務に関しては、事業団と同等以上の個人情報保護の水準にあることを客観的に確認できることを含めなければならない。

４

事業団は、個人データの取扱いの全部又は一部を委託する場合、委託する個人デー
タの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

５

事業団は、次に掲げる事項を契約によって規定し、十分な個人データの保護水準を担保しなければならない。

（１）委託者及び受託者の責任の明確化（２）個人データの安全管理に関する事項（３）再委託に関する事項（４）個人データの取扱状況に関する委託者への報告の内容及び頻度（５）契約内容が遵守されていることを委託者が、定期的に、及び適宜に確認できる事
項（６）契約内容が遵守されなかった場合の措置（７）事件・事故が発生した場合の報告・連絡に関する事項（８）契約終了後の措置
６

事業団は、当該契約書等の書面を、少なくとも個人データの保有期間にわたって保存しなければならない。

７

委託先の監督に関する具体的な手順は別に定める。
（受託者等の責務）

第29条

事業団から個人データを取り扱う事務を受託したものは、事業団の指示を誠実に遵守するとともに、個人データの漏えい、滅失及びき損の防止その他の個人データの適正な管理のために、必要かつ具体的な措置を講じなければならない。

Ⅰ-7 個人情報保護規則
２

前項の受託事務に従事している者又は従事していた者は、その事務に関して知り得た個人データをみだりに他人に知らせ、又は不当な目的に使用してはならない。
（個人情報に関する権利）

第30条

事業団は、保有個人データに関して、本人から開示等の請求を受け付けた場合

は、第３３条から第３６条までの規定によって、遅滞なくこれに応じなければならない。ただし、次のいずれかに該当する場合は、保有個人データには該当しない。
（１）当該個人データの存否が明らかになることによって、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの（２）当該個人データの存否が明らかになることによって、違法又は不当な行為を助長
し、又は誘発するおそれのあるもの（３）当該個人データの存否が明らかになることによって、国の安全が害されるおそれ、
他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機
関との交渉上不利益を被るおそれのあるもの（４）当該個人データの存否が明らかになることによって、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序維持に支障が及ぶおそれのあるもの
２

事業団は、保有個人データには該当しないが、本人から求められる利用目的の通知、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止の請求等の全てに応じることができる権限を有する個人情報についても、保有個人データと同様に取り扱わなければならない。

３

開示等の請求等に応じるための具体的な手順は別に定める。
（開示等の請求等に応じる手続）

第31条

事業団は、開示等の請求等に応じる手続として次の事項を定め、事業団のホームページで公表しなければならない。
（１）開示等の請求等の申出先（２）開示等の請求等に際して提出すべき書面の様式その他の開示等の請求等の方式（３）開示等の請求等をする者が、本人又は代理人であることの確認の方法（４）第３３条又は第３４条による場合の手数料の徴収方法
２

事業団は、本人からの開示等の請求等に応じる手続を定めるにあたっては、本人に過重な負担を課するものとならないよう配慮しなければならない。

３第３３条又は第３４条によって本人からの開示等の請求等に応じる場合に、手数料を徴収するときは、実費を勘案して合理的であると認められる範囲内において、その額を定めなければならない。

４

開示等の請求等に応じる手続の具体的な手順は別に定める。
（保有個人データに関する事項の周知等）

第32条

個人情報法の改正（５）（改正）

事業団は、当該保有個人データに関し、次の事項を本人が知り得る状態（本人の請求等に応じて遅滞なく回答する場合を含む。）に置かなければならない。

Ⅰ-7 個人情報保護規則（１）事業団の名称及び住所、代表者の氏名（２）個人情報保護管理者の氏名又は職名、所属及び連絡先（３）全ての保有個人データの取扱いに関する利用目的（第１６条第１項第１号から第３号までに該当する場合を除く。）（４）保有個人データの取扱いに関する苦情の申出先（５）保有個人データの安全管理のために講じた措置（本人の知り得る状態に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。）（６）事業団が個人情報保護法第４７条第１項の認定を受けた者（以下「認定個人情報保護団体」という。）の対象事業者である場合にあっては，当該認定個人情報保護団体の名称及び苦情の解決の申出先（７）前条によって定めた手続
２

保有個人データに関する事項の周知等の具体的な手順は別に定める。
（保有個人データの利用目的の通知）

第33条

事業団は、本人から、当該本人が識別される保有個人データについて、利用目的の通知を求められた場合には、遅滞なくこれに応じなければならない。ただし、第１６条第１項第１号から第３号までのいずれかに該当する場合、又は前条第１項第３号によって当該本人が識別される保有個人データの利用目的が明らかな場合は、利用目的の通知を必要としないが、そのときは、本人に遅滞なくその旨を通知するとともに、理由を説明しなければならない。
２

保有個人データの利用目的の通知の具体的な手順は別に定める。

（保有個人データの開示） 個人情報法の改正（６）個人情報法の改正（７）（改正）
第34条

事業団は、本人から、当該本人が識別される保有個人データの開示（当該本人が識別される保有個人データが存在しないときにその旨を知らせることを含む。）の請求を受けたときは、法令の規定によって特別の手続が定められている場合を除き、本人に対し、遅滞なく、当該保有個人データを電磁的記録又は書面（開示の請求を行った者が同意した方法があるときは、当該方法）によって開示しなければならない。
ただし、開示することによって次のいずれかに該当する場合は、その全部又は一部を開示する必要はないが、そのときは、本人に遅滞なくその旨を通知するとともに、理由を説明しなければならない。
（１）本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（２）事業団の業務の適正な実施に著しい支障を及ぼすおそれがある場合（３）法令に違反する場合
２

保有個人データの開示の具体的な手順は別に定める。
３

第１項及び第２項の規定は、当該本人が識別される個人データに係る第２２条及び第２３条の記録について、準用する。ただし、次のいずれかに該当する場合は、
この限りでない。

Ⅰ-7 個人情報保護規則（１）本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの（２）違法又は不当な行為を助長し、又は誘発するおそれがあるもの（３）国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれる
おそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの（４）犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの（保有個人データの訂正、追加又は削除）
第35条

事業団は、本人から、当該本人が識別される保有個人データの内容が事実でないという理由によって当該保有個人データの訂正、追加又は削除（以下この条において「訂正等」という。）の請求を受けた場合は、法令の規定によって特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づいて、当該保有個人データの訂正等を行わなければならない。
２

事業団は、前項の訂正等を行ったときは、その旨及びその内容を、本人に対し、遅滞なく通知し、訂正等を行わない旨の決定をしたときは、その旨及びその理由を、本人に対し、遅滞なく通知しなければならない。

３

保有個人データの訂正等の具体的な手順は別に定める。

（保有個人データの利用停止等と又は提供の拒否権） 個人情報法の改正（８）（改正）第36条

本人から、事業団に対し、当該本人が識別される保有個人データが第１３条若しくは第１４条の規定に違反して取得されたものであるときは、当該保有個人データの利用の停止又は消去（以下「利用停止等」という。）を請求することができる。
２

事業団が前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行うものとする。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

３

本人は、事業団に対し、当該本人が識別される保有個人データが第２０条第１項の規定に違反して第三者に提供されているときは、当該保有個人データの第三者への提供の停止を請求することができる。

４

事業団が前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止するものとする。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する
場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

Ⅰ-7 個人情報保護規則
５

本人は、事業団に対し、当該本人が識別される保有個人データを事業団が利用する必要がなくなった場合、当該本人が識別される保有個人データに係る第１１条第３項に規定する事態が生じた場合その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合には、当該保有個人データ利用停止等又は第三者への提供の停止を請求することができる。

６

事業団が前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、
当該保有個人データの利用停止等又は第三者への提供の停止を行うものとする。ただし、当該保有個人データの利用停止等又は第三者への提供の停止に多額の費用を要する場合その他の利用停止等又は第三者への提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

７

事業団が第１項若しくは第５項の規定による請求に係る保有個人データの全部若
しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は第３項若しくは第５項の規定による請求に係る保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知するものとする。

８

保有個人データの利用又は提供の拒否権に関する具体的な手順は別に定める。
（認識）

第37条

事業団は、従業者等がこの規則を認識するために、関連する各部門及び階層

における次の事項を認識させる手順を確立し、かつ、維持しなければならない。
（１） 個人情報保護方針（内部向け個人情報保護方針及び外部向け個人情報保護方針）（２）個人情報保護マネジメントシステムに適合することの重要性及び利点（３）個人情報保護マネジメントシステムに適合するための役割及び責任（４）個人情報保護マネジメントシステムに違反した際に予想される結果
２

事業団は、認識させる手順に、従業者等に対する教育を適宜に行うことを含めなければならない。

３

従業者等に認識させるための具体的な手順（教育を含む。）は別に定める。

第４章

文書化した情報（文書化した情報の範囲）
第38条

事業団は、個人情報保護マネジメントシステムを構築し、かつ、維持するために、次の個人情報保護マネジメントシステムの基本となる要素を書面で記述しなけ
ればならない。

Ⅰ-7 個人情報保護規則（１）内部向け個人情報保護方針（２）外部向け個人情報保護方針（３）内部規程（４）内部規程に定める手順上で使用する様式（５）計画書（６）JIS規格が要求する記録及び事業団が個人情報保護マネジメントシステムを実施する上で必要と判断した記録
２

文書化した情報の作成及び維持管理の具体的な手順は別に定める。
（文書化した情報（記録を除く。）の管理）

第39条

事業団は、この規則が要求する全ての文書化した情報（記録を除く。）を管理する手順を確立し、実施し、かつ、維持しなければならない。
２

文書化した情報（記録を除く。）の管理の手順には、次の事項が含まなければならない。

（１）文書化した情報（記録を除く。）の発行及び改正に関すること。
（２）文書化した情報（記録を除く。）の改正の内容と版数との関連付けを明確にすること。
（３）必要な文書化した情報（記録を除く。）が必要なときに容易に参照できること。
３

文書化した情報（記録を除く。）の管理の具体的な手順は別に定める。
（文書化した情報のうち記録の管理）

第40条

事業団は、個人情報保護マネジメントシステム及びこの規則への適合を実証するために必要な記録として、次の事項を含む記録を作成し、かつ、維持しなければならない。
（１）個人情報の特定に関する記録（２）法令、国が定める指針その他の規範の特定に関する記録（３）個人情報保護リスクの認識、分析及び対策に関する記録（４）計画書（５）利用目的の特定に関する記録（６）保有個人データに関する開示等の請求等への対応記録（７）教育等の実施記録（８）苦情及び相談への対応記録（９）運用の確認の記録（10）内部監査報告書（11）是正処置の記録（12）マネジメントレビューの記録
２

事業団は、記録の管理についての手順を確立し、実施し、かつ、維持しなければならない。

３

記録の管理についての手順は別に定める。

Ⅰ-7 個人情報保護規則

第５章

苦情及び相談への対応（苦情及び相談への対応）
第41条

事業団は、苦情及び相談に対応するため、個人情報の取扱い及び個人情報保護

マネジメントシステムに関して、本人からの苦情及び相談を受け付けて、適切かつ迅
速な対応を行う手順を確立し、かつ、維持しなければならない。
２

事業団は、前項の目的を達成するために必要な体制の整備を行わなければならない。

３

苦情及び相談への対応の具体的な手順及び体制の整備は別に定める。
第６章

パフォーマンス評価（パフォーマンス評価）
第42条

事業団は、パフォーマンス評価として、事業団による個人情報保護マネジメン

トシステムの運用の確認及び内部監査並びに理事長によるマネジメントレビューをそれぞれ実施する。
（運用の確認）第43条

事業団は、個人情報保護マネジメントシステムが適切に運用されていることが事業団の各部門及び階層において定期的に、及び適宜に確認されるための手順を確立し、実施し、かつ、維持しなければならない。
２

各部門及び各階層の管理者は、定期的に、及び適宜に個人情報保護マネジメントシ
ステムが適切に運用されているかを確認し、不適合が確認された場合は、その是正処置を行わなければならない。

３

個人情報保護管理者は、理事長による個人情報保護マネジメントシステムの見直しに資するため、定期的に、及び適宜に、理事長にその状況を報告しなければならない。

４

個人情報保護マネジメントシステムの運用の確認の具体的な手順は別に定める。
（内部監査）

第44条

事業団は、自ら定めた個人情報保護マネジメントシステムのこの規則への適合状況及び個人情報保護マネジメントシステムの運用状況を適宜に監査しなければならない。
２

事業団は、監査の計画及び実施、結果の報告並びにこれに伴う記録の保持に関する責任及び権限を定める手順を確立し、実施し、かつ、維持しなければならない。

３

個人情報保護監査責任者は、監査員に、自己の所属する部門の内部監査をさせては
ならない。

４

内部監査の具体的な手順は別に定める。
（マネジメントレビュー）Ⅰ-7 個人情報保護規則
第45条

理事長は、この規則に規定するマネジメントレビューを実施するために適宜に

個人情報保護マネジメントシステムを見直さなければならない。
２

マネジメントレビューおいては、次の事項を考慮しなければならない。

（１）監査及び個人情報保護マネジメントシステムの運用状況に関する報告（２）苦情を含む外部からの意見（３）前回までの見直しの結果に対するフォローアップ（４）個人情報の取扱いに関する法令、国が定める指針その他の規範の改正状況（５）社会情勢の変化、国民の認識の変化、技術の進歩等の諸環境の変化（６）事業団の事業領域の変化（７）内外から寄せられた改善のための提案
３

マネジメントレビューの具体的な手順は別に定める。
第７章

是正処置

（是正処置）
第46条

事業団は、不適合に対する是正処置を確実に実施するための責任及び権限を定める手順を確立し、実施し、かつ、維持しなければならない。
２

前項の手順には、次の事項を含めなければならない。

（１）不適合の内容の確認（２）不適合の原因の特定及び是正処置の立案（３）立案された適切な処置についての期限を定めた実施（４）実施された是正処置の結果の記録（５）実施された是正処置の有効性のレビュー
３

是正処置の具体的な手順は別に定める。
第８章

雑

則

（出資法人としての責務）
第47条

削除

（指定管理における個人情報の保護に関する措置）
第48条

事業団は、特別区人事・厚生事務組合（以下「人厚組合」という。）が設置す

る公の施設の管理を行うに当たって個人情報を取り扱う場合、個人情報保護法（等個
人情報保護関連法令）及び協定書等に記載されている個人情報の保護に関する条項を遵守しなければならない。
２

前２項の規定は、事業団が人厚組合以外の公共団体が設置する指定管理施設の管理を行う場合に準用する。
（受託事業における個人情報の保護に関する措置）

Ⅰ-7 個人情報保護規則
第49条

事業団は、受託事業を行うに当たって個人情報を取り扱う場合、個人情報保護法（等個人情報保護関連法令）及び委託契約書等に記載されている個人情報の保護に関する条項を遵守しなければならない。
（改廃）
第50条

この規則の改廃は、理事会の決議を経て行う。

（委任）
第51条

この規則に定めるもののほか、この規則の施行に関し必要な事項は別に定める。
附則

この規則は、平成３１年４月１日から施行する。
附則

この規則は、令和３年４月１日から施行する。
附則

この規則は、令和５年４月１日から施行する。ただし、改正後の第２条、第１１条、第１８条、第３２条、第３４条及び第３６条の規定は、令和４年４月１日から適用する。