一般財団法人世田谷トラストまちづくり個人情報保護マネジメントシステム規程
令和 ５年 ３月１５日
世トま規程第１２２号（J.0目的）第１条 この規程は、一般財団法人世田谷トラストまちづくり（以下、「財団」という。）が取扱う個人情報の適切な保護と利活用のため、日
本産業規格「個人情報保護マネジメントシステム――要求事項」（ JISQ15001:2017） （ 以 下 、 「 JISQ15001要 求 事 項 」 と い う 。 ） に 準 拠した「プライバシーマークにおける個人情報保護マネジメントシステム
構築・運用指針 (一般財団法人日本情 報経済社会推進協会 )」(以下、「PMS構築・運用指針」という。) を基準にして策定したものである。
（J.1.1組織及びその状況の判断）
第２条 財団は、個人情報を取扱う事業に関して、個人情報保護マネジメ
ントシステムに影響を与えるような外部及び内部の課題を特定しなければならない。
２ 個人情報保護マネジメントシステムに影響を与えるような課題の把握とは、個人情報の取扱いに関する法令、国が定める指針その他の規範、
個人情報保護マネジメントシステムの確立、実施、維持及び継続的改善に必要な資源 (人員・組織基盤・資金)、セキュリティ対策等の観点から、現状のみならず、将来実施する見込みの事業も踏まえて洗い出ししなければならない。
（J.1.2利害関係者のニーズ及び期待の理解）
第３条 財団は、次の事項を特定しなければならない。
（１）個人情報保護マネジメントシステムに関連する利害関係者（２）その利害関係者の個人情報保護に関連する要求事項
２ 利害関係者とは、本人及び個人情報保護マネジメントシステムに関連する個人、事業者及び団体 (委託元(及び委託元の顧客)、委託先)等をいう。
３ 利害関係者の要求事項には、法令、官公庁等のガイドライン、事業者の所属団体による自主規制、商慣習に基づき遵守が求められる事項、取引先等との間の契約上の義務等が含まれるものとする。
（J.1.3法令、国が定める指針その他の規範）
第４条 財団は、個人情報の取扱いに関する法令、国が定める指針その他の規範(以下、「法令等」という。) を特定し参照する手順を内部規定として文書化しなければならない。
２ 財団は、法令等を特定して参照しなければならない。
３ 法令等の参照とは、特定した法令等の内容を財団が遵守することを含むものとする。
４ 財団の個人情報保護マネジメントシステムを運用する上で参照すべき
法令等は、「法令等その他の規範一覧表」(第２号様式)に特定する。な
お、当該様式の作成・改訂においては個人情報保護管理責任者の承認を得なければならない。
５ 個人情報保護管理責任者は、特定した法令等について常に最新版を維持し、財団関係者が必要に応じて参照、閲読又は入手できるよう管理しなければならない。なお、最新版への定期的な見直しは毎年６月に行ない、法令等の制定・改廃にあたり必要な事項についてはこの規程に反映させるものとする。
（J.1.4個人情報保護マネジメントシステムの適用範囲の決定）
第５条 財団は、事業の用に供する全ての個人情報の取扱いを個人情報保
護マネジメントシステムの適用範囲として定め、その旨を文書化しなければならない。
２ 財団は、個人情報が紙媒体又は電子媒体の如何を問わず、財団が事業の用に供する全ての個人情報を適用対象とし、その保護のために構築する個人情報保護マネジメントシステムの運用に適用する。
３ この規程において適用される財団関係者の範囲は、直接又は間接に財団の指揮監督を受けて財団の業務に従事している者をいい、雇用関係にある職員(常勤職員 、世田谷区からの派 遣職員、有期契約職 員、臨時職員)、理事、評議員、監事、調整役を対象とする。
（J.1.5個人情報保護マネジメントシステム）
第６条 財団は、この規程に従い、個人情報保護マネジメントシステムを確立し、実施し、維持し、かつ、継続的に改善しなければならない。
（J.2.1リーダーシップ及びコミットメント）
第７条 トップマネジメントは、次の事項について統率し、その結果について責任を持たなければならない。
（１）財団の戦略的な方向性と両立した個人情報保護方針及び個人情報保護目的を確立すること。
（２）個人情報保護マネジメントシステム要求事項を財団の業務手順に適切に組み入れること。
（３）個人情報保護マネジメントシステムに必要な資源を確保すること。
（４）有効な個人情報保護マネジメント及び個人情報保護マネジメントシ
ステム要求事項への適合の重要性を利害関係者に周知すること。
（５）個人情報保護マネジメントシステムを適切に運用できるようにすること。
（６）個人情報保護マネジメントシステムが計画通りに実施できるように従業者を指揮・支援すること。
（７）継続的改善を促進すること。

（８）その他の関連する管理者がその職務領域において、統率力を発揮できるよう、その管理者に割り当てられた役割をサポートすること。
２ トップマネジメントとは、最高位で財団を指揮し、管理する個人又は人々の集まりのことをいい、財団内で権限を委譲し、資源を提供する力を持つ者である。財団にあっては、理事を代表する理事長をいう。
３ 個人情報保護目的とは、個人情報保護方針を達成するための目的、あるいは目標として、財団全体若しくは部門毎等に定めるものとする。
４ 利害関係者とは、第３条で特定したものをいう。
５ 従業者とは、財団の組織内において、財団の業務に従事している者をいう。
（J.2.2個人情報保護方針）
第８条 トップマネジメントは、次の事項を考慮して、個人情報保護方針を策定しなければならない。
（１）事業の目的に対して適切であること。
（２）第16条に定める個人情報保護目的を含む、又は個人情報保護目的の設定のための枠組みを示すこと。
（３）個人情報保護に関連して適用される要求事項を実施すること。
（４）個人情報保護マネジメントシステムの継続的改善を実施すること。
２ 個人情報保護方針を文書化した情報には、次の事項を含めなければならない。
（１）事業の内容及び規模を考慮した適切な個人情報の取得、利用及び提供に関すること（特定された利用目的の達成に必要な範囲を超えた個人情報の取扱い(以下、「目的外利用」という。)を行わないこと及びそのための措置を講じることを含む。）。
（２）個人情報の取扱いに関する法令その他の規範を遵守すること。
（３）個人情報の漏えい、滅失又はき損の防止及び是正に関すること。
（４）苦情及び相談への対応に関すること。
（５）個人情報保護マネジメントシステムの継続的改善に関すること。
（６）トップマネジメントの氏名（７）制定年月日及び最終改正年月日（８）個人情報保護方針の内容についての問合せ先
３ トップマネジメントは、個人情報保護方針を文書化した情報を財団内に周知するとともに、一般の人が入手可能な措置を講じなければならない。
４ トップマネジメントは、文書化した個人情報保護方針を印刷物の配布などの方法により、利害関係者が入手可能な状態に置くものとする。
５ トップマネジメントは、文書化した個人情報保護方針を一般の人が入手できるようにするため、財団の公式ホームページに掲載しなければならない。

（J.2.3.1組織の役割、責任及び権限）
第９条 トップマネジメントは、個人情報保護に関する役割に対して、責任及び権限を従業者 に割り当てるととも に、その結果を利害 関係者(従業者)に周知しなければならない。
２ トップマネジメントは、責任及び権限を次の事項を実施するために割り当てなければならない。
（１）個人情報保護 マネジメントシステ ムを「PMS構築・運 用指針」の要求事項に適合させること。
（２）個人情報保護マネジメントシステムの運用の成果をトップマネジメ
ントに報告させること。
３ 財団は、役割及び役割に対する責任及び権限を内部規定として文書化しなければならない。
４ トップマネジメントは、次に掲げる役割及び役割に対する責任及び権限を従業者に割り当て、「個人情報保護社内体制図」を別に策定し従業者に周知しなければならない。
（１）個人情報保護管理責任者(第10条の規定による者)（２）個人情報保護監査責任者(第10条の規定による者)（３）個人情報保護部門管理者
個人情報保護部門管理者を各部門につき１名割り当てることができる。個人情報保護部門管理者は、個人情報保護管理責任者を補佐し、この規程に定められた事項を理解するとともに、各部門における個
人情報の取扱いに従事する者にこれを理解させ、個人情報保護に関する安全対策を実施させる責任を負う。
（４）教育責任者
教育責任者を１名割り当てることができる。教育責任者は、この規程に定められた事項を理解するとともに、全ての従業者に対してこの規程を遵守させるための教育研修を企画し実施する責任を負う。
（５）情報システム管理者
情報システム管理者を１名割り当てることができる。情報システム
管理者は、個人データを含む情報資産に関し財団における情報シス
テムの運用、維持、管理に関して指導、統制する責任を負う。
（６）苦情相談窓口責任者
苦情相談窓口責任者を１名割り当てることができる。苦情相談窓口
責任者は、この規程に定められた事項を理解するとともに、情報主
体本人からの保有個人データに関する苦情及び相談その他の問い合
わせを受付け、その内容に対処する責任を負う。
（７）事務取扱担当者
事務取扱担当者を１名割り当てることができる。事務取扱担当者は、財団の管理部門の中から限定して指名され、番号法（「行政手続における特定の個人を識別するための番号の利用等に関する法律」(平成25年法律第27号。)）に規定する財団の特定個人情報についての事務処理に関する責任を負う。

（J.2.3.2個人情報保護管理責任者と個人情報保護監査責任者）
第10条 トップマネジメントは、この規程に定める内容を理解し実践する能力のある個人情報保護管理責任者を財団内部に属する者の中から指名
し、個人情報保護マネジメントシステムの実施及び運用に関する責任及び権限を他の責任にかかわりなく与え、業務を行わせなければならない。
２ 個人情報保護管理責任者は、個人情報保護マネジメントシステムの見直し及び改善の基礎として、トップマネジメントに個人情報保護マネジ
メントシステムの運用状況を報告しなければならない。
３ トップマネジメントは、公平、かつ、客観的な立場にある個人情報保護監査責任者を財団内部に属する者の中から指名し、監査の実施及び報告を行う責任及び権限を他の責任にかかわりなく与え、業務を行わせなければならない。
４ 個人情報保護監査責任者は、監査を指揮し、監査報告書を作成し、トップマネジメントに報告しなければならない。
５ 監査員の選定及び監査においては、監査の客観性及び公平性を確保しなければならない。
６ 個人情報保護管理責任者と個人情報保護監査責任者とは、異なる者でなければならない。
（J.2.4管理目的及び管理策）
第11条 管理策については、トップマネジメント又はトップマネジメント
によって権限が与えられた者によって財団が定めた手順に従い承認されなければならない。
２ 管理策とは、この規程に定める事項のうち、個人情報保護リスク対策に関する事項及び財団が必要であると決定した事項が対象となり、リスクを修正するためのあらゆるプロセス、方針、実務、その他の処置を含むものとする。
（J.3.1.1個人情報の特定）第12条 財団は、自らの事業の用に供している全ての個人情報を特定するための手順を内部規定として文書化しなければならない。
２ 財団は、個人情報を管理するための台帳を整備しなければならない。
３ 台帳には、少なくとも次の項目を含めなければならない。
・個人情報の項目
・利用目的
・保管場所
・保管方法
・アクセス権を有する者
・利用期限
・保管期限
４ 台帳の内容は少なくとも年１回、必要に応じて適宜に確認し、最新の状態で維持しなければならない。

５

財団は、自らの事業の用に供している全ての個人情報を特定するための手順を、｢個人情報の特定に関する手順書｣別に定めるものとする。
６ 特定すべき個人情報の範囲は、財団が取得した個人情報及び財団が外部の取引先から業務委託などにより取扱いを委託された個人情報など財団が業務遂行上取扱う全ての個人情報を対象とする。
７ 個人情報保護部門管理者は、台帳として様式「個人情報管理台帳」(第1号様式)を作成 し、個人情報保護管 理責任者がこれを承 認するものとする。
８ 個人情報保護部 門管理者は、毎年６ 月に「個人情報管理 台帳」(第１号様式)に特定され た個人情報の内容の 適否につき見直しを 行うものとする。
（J.3.1.2リスク及び機会に対処する活動）
第13条 財団は、個人情報保護マネジメントシステムの計画の策定にあたって、第２条で把握した課題及び第３条で特定した要求事項を考慮し、次の事項を実施できるよう個人情報保護リスクアセスメント及び個人情報保護リスク対応を行うものとする。
（１）財団が意図した成果を達成できるようなマネジメントシステムの策
定（２）望ましくない影響の防止（３）個人情報保護マネジメントシステムの継続的な改善
２ 財団は、個人情報保護マネジメントシステムの計画の策定にあたって、次の事項を含め
なければならない。
（１）リスクに対する対策の内容（２）前号の対策を個人情報保護マネジメントシステムの手順に含めて実施する方法（３）同項第１号の対策の評価（J.3.1.3個人情報保護リスクアセスメント）
第14条 財団は、個人情報に関するリスクについて、次の事項を踏まえて、
個人情報保護リスクアセスメント (リスクを特定、分析及び評価)をするための手順を定め、かつ実施しなければならない。手順及び実施した
内容については、少なくとも年１回、及び必要に応じて適宜に見直ししなければならない。
（１）財団は、次の観点を個人情報保護のリスク基準とすること。
①この規程に定める事項②法令及び国が定める指針その他の規範に関する事項③個人情報の漏えい、滅失又はき損等に関す事項（２）繰り返し実施した個人情報保護リスクアセスメントに、一貫性及び妥当性があり、かつ、比較可能な結果を生み出すことを確実にすること。
（３）個人情報保護リスクを特定すること。

①財団の事業毎に、個人情報の取扱いを特定する。
②個人情報の取得、保管、利用及び消去等に至る各局面において、適正な保護措置を講じない場合に想定されるリスクを特定する。
③前号で特定したリスクのリスク所有者を特定する。
（４）個人情報保護リスクを分析・評価すること。
①前号で特定したリスクとa)同項第１号のリスク基準とを比較する。
②リスク対応の優先順位を明らかにする。
２ 財団は、個人情報保護のリスクを特定、分析及び評価をするための手順を内部規定として文書化しなければならない。
３ 個人情報保護リ スクとは、個人情報 の取扱いの各局面 (個人情報の取得・入力、移送・送信、利用・加工、保管・バックアップ、消去・廃棄等に至る個人情報 の取扱いの一連の流 れ)において、適正 な保護措置を講じない場合に想定されるリスクをいう。
４ リスク所有者とは、当該リスクに関して対応を行う責任及び権限を有する者をいう。
５ 財団は、第12条によって特定した個人情報の取扱いについて、個人情報保護リスクを特定し、分析し、必要な対策を講じる手順を「リスク分析のための手順書」(第３号様式)に定めるものとする。
６ 個人情報保護部門管理者は、前項までの手順に従って得られた結果を「個人情報リスク認識表」(第４号様式)に記載するものとする。なお、「個人情報リスク認識表」(第４号様式)は、個人情報保護管理者及びトップマネジメントの承認を得なければならない。
７ 個人情報保護管理責任者は、「個人情報リスク認識表」(第４号様式)に特定した「リスク対策」を内部規定等に規定化し、財団の全ての部門にそれを実行させるよう指導してリスクの未然防止のための安全管理に努めなければならない。
８ 個人情報保護部門管理者は、前項までの当該手順に従って認識されたリスクや特定された「リスク対策」等が適切かつ有効であるかについて、
毎年６月及び以下に示す事案が生じた時期に、「個人情報リスク認識表」(第４号様式)の定期的見直しを行わなければならない。
（１）「個人情報管理台帳」(第１号様式)の見直しにより追加及び削除等があったこと。
（２）保有する個人情報の管理方法に変化があったこと。
（J.3.1.4個人情報保護リスク対応）
第15条 財団は、次の事項について個人情報保護リスクへの対応手順を内部規定として文書化し、かつ実施しなければならない。また、手順及び実施した内容については、適宜見直ししなければならない。
（１）個人情報保護リスクへの対応にあたっては、個人情報保護リスクア
セスメントの結果を考慮して、必要な対応策（この規程及び財団が必要であると決定した個人情報保護に関するリスクを修正する対策を含む。)を策定すること。

（２）前号を踏まえて、個人情報保護リスクへの対応計画を策定し、実施すること。
（３）個人情報保護 リスクへの対応計画 及び実施した内容(現状で実施し得る対策を講じた上で、未対応部分を残留リスクとして把握し、管理することを含む。)に ついて、原則として 、トップマネジメン トの承認を得ること。
２ 財団は、前項各号を実施した記録を保存しなければならない。
３ 残留リスクとは、リスク対策後に残っているリスクのことであり、受容するリスク(放置しておいてよいリスク)ではなく、現時点では困難であるが、短期的もしくは中長期的に対応していくリスクのことをいう。
なお、個人情報の不適切な取扱い(不正な取得・利用など)に関するリス
クについては、法令遵守の観点から、全て対応する必要があるため、残留リスクとすることは認められないものとする。
（J.3.2個人情報保護目的及びそれを達成するための計画策定）
第16条 財団は、次の事項を含めて、個人情報保護目的を達成するために計画しなければならせない。
（１）実施事項（２）必要な資源（３）責任者（４）達成時期（５）結果の評価方法
２ 個人情報保護目的を達成するために必要となる計画は、第17条において、 第８条及び第14条の結果を踏まえ、前項各号を含めて策定しなけ
ればならない。
（J.3.3計画策定）
第17条 財団は、個人情報保護マネジメントシステムを確実に実施するために、次の事項を含めて少なくとも年１回、及び必要に応じて適宜に必要な計画を立案し、文書化しなければならない。
（１）教育実施計画（２）内部監査実施計画
２ 教育責任者は､教育実施計画の立案 及びその文書化を確 実に実施するために、「個人情報保護教育計画書」(第５号様式)を作成しトップマネ
ジメントの承認を得なければならない。
３ 個人情報保護監 査責任者は､内部監査実施計画及びその 文書化を確実に実施するために、「個人情報保護監査計画書」(第６号様式)を作成しトップマネジメントの承認を得なければならない。
（J.4.1資源）第18条 財団は、個人情報保護マネジメントシステムの確立、実施、維持及び継続的改善に必要な資源を決定・確保し、利害関係者へ提供しなけ

ればならない。
２ 資源とは、人員、組織基盤(規程、体制、施設、設備など)、資金などをいう。
３ 利害関係者とは、第３条で特定したものをいう。
（J.4.2力量）第19条 財団は、次の事項を行うものとする。
（１）財団の個人情報保護に影響を与える業務をその管理下で遂行する者に対して、個人情報保護の観点から、従業者に必要とされる能力を決定すること。
（２）前号の者に対して、前号で決定した能力及び第20条を充足するための処置を行い、必要な能力を備えることを確実にすること。
（３）前号を実施した結果、必要な能力が備わっていない場合は、必要な能力を身につけるための処置をとるとともに、とった処置の有効性を評価すること。
（４）第１号から第３号を実施した記録を保存すること。
２ 前項第１号で決定した能力及び第20条を充足するための処置とは、例
として、現在雇用している者に対する教育訓練の機会提供、指導の実施、配置転換の実施などがあり、また、力量を備えた者の雇用又はその者との契約締結などをいう。
（J.4.3認識）第20条 財団は、従業者に対して、少なくとも年１回、及び必要に応じて適宜に教育を実施する手順(教育の理解度を確認する方法を含む。)を内部規定として文書化しなければならない。
２ 財団は、従業者に対して、次の事項を認識させなければならない。
（１）個人情報保護方針（２）個人情報保護マネジメントシステムに適合することの重要性及び利点（３）個人情報保護マネジメントシステムに適合するための役割及び責任（４）個人情報保護マネジメントシステムに違反した際に予想される結果
３ 前項までの規定は、第19条と一体として捉えて運用しなければならない。
４ 財団は、前項までの関連する処理手続きは、「個人情報保護教育規則（世トま規則第51号)」に定める。
（J.4.4.1コミュニケーション）
第21条 財団は、個人情報保護マネジメントシステムを構築・運用するにあたり、次の事項を考慮して、内外の利害関係者と意思疎通や情報共有を行わなければならない。
（１）コミュニケーションの内容(何を伝達するか。)（２）コミュニケーションの実施時期

（３）コミュニケーションの対象者（４）コミュニケーションの実施者（５）コミュニケーションの実施手順（６）コミュニケーションの実施方法
２ コミュニケーションとは、平常時における、本人を含む外部とのコミュニケーション(個 人情報保護方針の公 表、個人情報の開示 ・訂正・利用停止、苦情及び相談への対応等)及び内部とのコミュニケーション(報告・連絡・相談・承 認等)、あるいは緊 急時における、個人 データの漏
えい、滅失、き損その他の個人データの安全確保にかかる場面（主に、第22条の規定によるもの。)をいう。
（J.4.4.2 緊急事態への準備）
第22条 財団は、緊急事態を特定するための手順及び特定した緊急事態にどのように対応するかの手順を内部規定として文書化しなければならない。
２ 財団は、緊急事態への準備及び対応に関する規定には、個人情報保護
リスクを考慮し、その影響を最小限とするための手順を含めなけばならない。
３ 緊急事態への準備及び対応に関する規定には、緊急事態が発生した場合に備え、次の事項を対応手順に含めるものとする。
（１）漏えい、滅失、き損等が発生した個人情報の内容を本人に速やかに通知する、又は本人が容易に知り得る状態に置くこと。
（２）二次被害の防止、類似事案の発生回避などの観点から、可能な限り事実関係、発生原因及び対応策を、遅滞なく公表すること。
（３）事実関係、発生原因及び対応策を関係機関に直ちに報告すること。
４ 緊急事態が発生した場合、定めた手順に従い緊急事態への対応を実施すること。
５ 前項までに関する具体的な対応手順は、「個人情報事故発生対応規則(世トま規則第55号)」に定める。
（J.4.5.1文書化した情報）
第23条 財団は、個人情報保護マネジメントシステムの基本となる次の要素に対応する書面を作成しなければならない。
（１）個人情報保護方針（２）内部規定（３）内部規定に定める手順上で使用する様式（４）計画書（５）この規程が要求する記録（６）その他、財団が個人情報保護マネジメントシステムを実施する上で必要と判断した文書(記録を含む。)

（J.4.5.2文書化した情報の管理）第24条 財団は、個人情報保護マネジメントシステム及びこの規程で要求されている文書化した情報は、次の事項を確実にするために管理しなけ
ればならない。
（１）必要な時に、必要な所で、入手可能かつ利用に適した状態であること。
（２）十分に保護されている (例として機密性の喪失、不適切な使用及び完全性の喪失からの保護)こと。
２ 財団は、文書化した情報の管理にあたっては、次の事項を実施しなけ
ればならない。
（１）配布、アクセス、検索及び利用（２）読みやすさが保たれていることを含む、保管及び保存（３）変更の管理 (例として版の管理)（４）保持及び廃棄
３ 財団は、個人情報保護マネジメントシステムに必要となる外部からの文書化した情報は、必要に応じて特定し、管理しなければならない。
４ アクセスとは、文書化した情報の閲覧だけの許可に関する決定、文書化した情報の閲覧、変更の許可及び権限に関する決定等いう。
（J.4.5.3文書化した情報(記録を除く。)の管理）
第 25 条 財 団 は 、 こ の 規 程 が 要 求 す る 全 て の 文 書 化 し た 情 報 (記 録 を 除く。)を管理する手 順を、次の事項を含 む内部規定として文 書化しなければならない。
（１）文書化した情報(記録を除く。)の発行及び改正に関すること。
（２）文書化した情報(記録を除く。)の改正の内容と版数との関連付けを明確にすること。
（３）必要な文書化した情報(記録を除く。)が必要なときに容易に参照できること。なお、容 易に参照できること とは、適切な形式(例として、
言語、ソフトウェア の版、図表)及び媒体(例として、紙、電子媒体)に関することを含むものとする。
（４）適切性及び妥当性に関する、適切なレビュー及び承認を行うこと。
２ 財団は、文書化した情報(記録を除く。)の管理を実施しなけれはならない。
３ 個人情報保護管理者は、文書化した情報の改正の内容と版数との関連付けにあたっては、各内部規定に改訂履歴を記述し、「個人情報保護マ
ネジメントシステム文書構成表」(第11号様式)を整備して文書化した情報（記録を除く。）全体の管理を一覧化して行うものとする。
４ 個人情報保護管理責任者は、文書化した情報（記録を除く。）のうち内部規定の発行及び改正にあたっては、トップマネジメントの承認を得るものとする。
５ 個人情報保護管理責任者は、文書化した情報（記録を除く。）として「個人情報保護マネジメントシステム文書構成表」(第11号様式)に記載

する全ての文書を財団の従業者が閲覧できるようにしなければならない。
（J.4.5.4内部規定）
第26条 財団は、次の事項を含む内部規定を文書化しなければならない。
（１）個人情報を特定する手順に関する規定（２）法令、国が定める指針その他の規範の特定、参照及び維持に関する規定（３）個人情報保護リスクアセスメント及びリスク対策の手順に関する規定（４）財団の各部門及び階層における個人情報を保護するための権限及び責任に関する規定（５）緊急事態への準備及び対応に関する規定（６）個人情報の取得、利用及び提供に関する規定（７）個人情報の適正管理に関する規定（８）本人からの開示等の請求等への対応に関する規定（９）教育などに関する規定（10）文書化した情報の管理に関する規定（11）苦情及び相談への対応に関する規定（12）点検に関する規定（13）是正処置に関する規定（14）マネジメントレビューに関する規定（15）内部規定の違反に関する罰則の規定
２ 財団は、事業内容に応じて個人情報保護マネジメントシステムが確実に適用されるように内部規定を改正しなければならない。
（J.4.5.5文書化した情報のうち、記録の管理）
第27条 財団は、個人情報保護マネジメントシステム及びこの規程で要求されている記録の管理についての手順を内部規定として文書化しなければならない。
２ 財団は、次の事項を含む必要な記録を文書化しなければならない。
（１）個人情報の特定に関する記録（２）法令、国が定める指針及びその他の規範の特定に関する記録（３）個人情報保護リスクの認識、分析及び対策に関する記録（４）計画書（５）利用目的の特定に関する記録（６）保有個人データに関する開示等（利用目的の通知、開示、内容の訂
正、追加又は削除、利用の停止又は消去、第三者提供の停止）の請求等への対応記録（７）教育などの実施記録（８）苦情及び相談への対応記録（９）運用の確認の記録（10）内部監査報告書

（11）是正処置の記録（12）マネジメントレビューの記録
３ 財団は、記録の管理について次の事項を確実に実施しなければならない。
（１）記録が、必要なときに、必要な所で、入手可能かつ利用に適した状態であること。
（２）記録が十分に保護されていること。
４ 記録の管理はその記録を必要とする事案の発生部署が行い、発生部署を管轄する個人情報保護部門管理者がこれを承認するものとする。
（J.5.1運用）
第28条 財団は、個人情報保護マネジメントシステムを確実に実施するために、運用の手順を内部規定として文書化しなければならない。
２ 財団は、この規程の要求事項を満たすため及び第12条から第17条で決定した活動について、計画し、実施し、管理するものとする。
３ 財団は、計画した変更を管理し、意図しない変更によって生じた結果をレビューし、必要に応じて、有害な影響を軽減する処置を取らなければならない。
４ 財団は、外部委託した業務がある場合は、これを管理の対象としなければならない。
５ 財団は、前項までに関する記録を保持しなければならない。
（J.6.1監視、測定、分析及び評価）
第29条 財団は、各部門及び階層の管理者が定期的に、及び適宜にマネジ
メントシステムが適切に運用されていることを確認する手順を内部規定として文書化しなければならない。
２ 財団は、個人情報保護マネジメントシステムが適切に運用されているかどうかを確認するために、次の事項を決定しなければならない。
（１）対象とする個人情報保護マネジメントシステムの運用状況（２）前号で対象とした運用状況の監視、測定、分析及び評価の方法（３）同項第１号で対象とした運用状況の監視及び測定の実施時期（４）同項第１号で対象とした運用状況の監視及び測定の実施者（５）同項第１号で対象とした運用状況の分析及び評価の時期（６）同項第１号で対象とした運用状況の分析及び評価の実施者
３ 財団の各部門及び階層の管理者は、定期的及び適宜に個人情報保護マ
ネジメントシステムが適切に運用されているかを確認し、不適合が確認された場合は、その是正処置を行わなければならない。
４ 財団の各部門及び階層の管理者は、監視及び測定の結果の証拠として、文書化した情報を保持しなければならない。
５ 個人情報保護管理責任者は、定期的に、及び適宜にトップマネジメン
トに運用の確認の状況を報告しなければならない。
６ 財団の各部門及び各階層の管理者は、同条第２項の適用に際し、運用

状況等を、それぞれ点検する項目ごとに月次ごと、又は日次ごと等に区分して点検するもの とし、確認した結果 を「運用確認点検表 」(第12号
様式)に記録し保存しなければならない。
（J.6.2内部監査）
第30条 財団は、監査の計画及び実施、結果の報告並びにこれを伴う記録の保存に関する責任及び権限を定める手順を内部規定として文書化しなければならない。
２ 財団は、個人情報保護マネジメントシステムが次の事項の状況にあるか否かについて、少なくとも年１回、及び必要に応じて適宜に内部監査を実施しなければならない。
（１）財団が規定し た要求事項及び「PMS構築・運用指針」 の要求事項に適合していること。
（２）個人情報保護マネジメントシステムが有効に実施され、維持されていること。
３ 個人情報保護監査責任者は、次の事項を行わなければならない。
（１）内部監査実施計画を策定、確立、実施及び維持すること。その内部
監査実施計画は、関連するプロセスの重要性及び前回までの監査の結果を考慮すること。
（２）各監査について、監査基準及び監査範囲を明確にすること。
（３）監査プロセスの客観性及び公平性を確保する監査員を選定し、内部監査実施計画に従って、監査を実施すること。
（４）監査の結果を監査報告書としてまとめ、管理層及びトップマネジメ
ントに報告すること。
（５）内部監査実施計画及び監査結果の証拠として、文書化した情報を保持すること。
４ 個人情報保護監査責任者は、監査員に、自己の所属する部署の内部監査をさせてはならない。
５ 財団は、内部監査についての計画、実施、報告などの処理手順を「個人情報保護監査規則(世トま規則第52号)」に定める。
（J.6.3マネジメントレビュー）
第31条 財団は、マネジメントレビューを実施する手順を内部規定として文書化しなければならない。
２ トップマネジメントは、財団の個人情報保護マネジメントシステムが引き続き、適切、妥当かつ有効であることを確実にするために、少なくとも年１回、及び必要に応じて適宜にマネジメントレビューを実施しなければならない。
３ トップマネジメントは、マネジメントレビューを実施するにあたっては、次の事項を考慮しなければならない。
（１）前回までのマネジメントレビューの結果を踏まえた見直しの状況（２）個人情報保護マネジメントシステムに関連する外部及び内部の問題

点の変化（３）次の状況を踏まえた、現在の個人情報保護マネジメントシステムの運用状況の評価①不適合及び是正処置②確認及び点検の結果③監査結果④個人情報保護目的の達成（４）利害関係者からのフィードバック（５）リスクアセスメントの結果及びリスク対応計画の状況（６）継続的改善の機会
４ マネジメントレビューからのアウトプットには、継続的改善の機会及び個人情報保護マネジメントシステムのあらゆる変更の必要性に関する決定を含めなければならない。
５ 財団は、マネジメントレビューの結果の証拠として、文書化した情報を保持しなければならない。
６ 個人情報保護管理責任者は、マネジメントレビューの基礎としてトッ
プマネジメントに対し、「マネジメントレビュー報告書」(第13号様式)に基づき、同条第３項に掲げる事項の報告を行うものとする。
７ トップマネジメントは、マネジメントレビューを毎年６月に行い、「マネジメントレビュー報告書」(第13号様式)にその結果を記録するものとする。
８ 個人情報保護管 理責任者は、「マネ ジメントレビュー報 告書」(第13号様式)に記録されたトップマネジメン トからの指示事項が ある場合は、速やかに、個人情報保護マネジメントシステムに反映しなければならな
い。
（J.7.1 不適合及び是正処置）
第32条 財団は、次の事項を含めて、不適合に対する是正処置を実施するための責任及び権限を定める手順を内部規定として文書化しなければならない。
（１）その不適合に対し該当する場合は、必ず次の事項を行うこと。
①不適合を管理し、修正するための処置をとる。
②その不適合によって起こった結果に対処する。
（２）次の事項によって、その不適合の原因を除去するための処置を検討する。
①その不適合を調査及び分析する。
②その不適合の原因を特定する。
③類似の不適合の有無、又はそれが発生する可能性を検討する。
（３）是正処置を計画し、計画された処置を実施する。
（４）実施された全ての是正処置の有効性を調査、分析及び評価する。
（５）必要な場合には、個人情報保護マネジメントシステムの改善を行う。
２ 財団は、不適合が明らかとなった場合は、前項各号の事項を実施しな

ければならない。
３ 財団は、同条第１項の事項の実施結果について、文書化した情報を保持するとともに、原則として、トップマネジメントがこれを承認しなけ
ればならない。
４ 不適合が明らかとなった場合とは、第29条のほか、個人情報に関わる事故や苦情の発生等が契機となることに留意しなければならない。
５ 財団は、不適合に対する是正処置を実施するときは、発見された不適合（運用の確認、内部監査、緊急事態の発生、外部機関からの指摘及び苦情等）に対して、次に掲げる手順に基づき、再発防止のための是正処置を確実に実施するものとする。
（１）不適合が発生した部門の個人情報保護部門管理者は、不適合の内容を確認し、トップマネジメントの承認を得る。
（２）不適合が発生した部門の個人情報保護部門管理者は、不適合の原因を特定し、是正処置を立案し、トップマネジメントの承認を得る。
（３）不適合が発生した部門の個人情報保護部門管理者は、期限を定め、立案された是正処置を実施する。
（４）不適合が発生した部門の個人情報保護部門管理者は、実施した是正処置の結果を記録する。
（５）不適合が発生した部門の個人情報保護部門管理者は、実施した是正処置の有効性を測定する。
（６）不適合が発生した部門の個人情報保護部門管理者は、実施した是正処置及びについて、個人情報保護管理者及びトップマネジメントの承認を得る。
６ 個人情報保護管理責任者は、不適合の是正処置のための記録について
は、「是正処置実施記録」(第14号様式)に必要な事項を記載し、それぞれの過程において承認を得て、これを保存しなければならない。
（J.7.2継続的改善）
第33条 財団は、個人情報保護マネジメントシステムの適切性、妥当性及び有効性を継続的に改善しなければならない。
（J.8.1利用目的の特定）第34条 財団は、個人情報の利用目的をできる限り特定し、その目的の達成に必要な範囲内において取り扱わなければならない。
２ 利用目的は、取得した情報の利用及び提供によって本人の受ける影響を予測できるように、利用及び提供の範囲を可能な限り具体的に明らかにしなければならない。
３ 特定された個人情報の利用目的は、第12条に定める「個人情報管理台帳」(第1号様式)の所定欄に具体的に明記しなければならない。
（J.8.2適正な取得）第35条 財団は、適法かつ公正な手段によって個人情報を取得しなければならない。
２ 本人以外から個人情報を取得する場合（受託による取得を含む。）に
おいては、当該部門の担当者は、当該個人情報につきその提供元又は委託元が、その個人情報の取扱いについて、個人情報保護法及び各種のガイドライン等（以下「法令等」という。）に沿って適切に取扱っている旨を確認して入手しなければならない。なお、この場合においてその提供元又は委託元が明らかに「法令等」に違反している場合は、その提供又は委託を受けてはならない。
（J.8.3要配慮個人情報）第36条 財団は、新たに要配慮個人情報の取得、利用又は提供並びに要配慮個人情報のデータを提供する場合、あらかじめ書面による本人の同意を得なければならない
２ 財団は、要配慮個人情報を取得、利用する際、書面による本人の同意を得ることを要しないときとは、以下の場合に限定しなければならない。
（１）法令に基づく場合（２）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
（３）公衆衛生の向上又は児童の健全な育成の増進のために特に必要があ
る場合であって、本人の同意を得ることが困難であるとき。
（４）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることによって当該事務の遂行に支障を及ぼすおそれがあるとき。
（５）当該要配慮個人情報が、法令等により個人情報取扱事業者の義務などの適用除外とされている者及び「個人情報保護委員会規則」で定めた者によって公開された要配慮個人情報であるとき。
（６）本人を目視し、又は撮影することにより、その外形上明らかな要配
慮個人情報を取得又は利用するとき。
（７）個人情報保護 法第27条第5項各号に掲げる場合におい て、個人デー
タである要配慮個人情報の提供を受けるとき。
（８）個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術 研究目的で取扱う必 要があるとき(当該 要配慮個人情報を取扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害する場合を除く。)。
（９）学術研究機関等から当該要配慮個人情報を取得し、利用する場合であって、当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限り、当該要配慮個人情報を学術研究目的で取得し、利用する必要がある とき(当該要配慮個 人情報を取得する目 的の一部が学術研究目的である場合を含み、個人の権利利を不当に侵害するおそれがある場合を除く。)。
３ 要配慮個人情報を提供する際、書面による本人の同意を得ることを要しないときは、前項第１号から第４号又は以下の場合に限定するものとする。
（１）個人情報取扱事業者が学術研究機関等である場合であって、個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき(個人の権利利益を不当に侵害するおそれがある場合を除く。)。
（２）個人情報取扱事業者が学術研究機関等である場合であって、個人情報取扱事業者と第三者が共同して学術研究を行う場合に限り、個人デー
タを学術研究目的で 提供する必要がある とき(個人データを 提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)。
（３）第三者が学術研究機関等である場合であって、第三者が個人データを学術研究目的で取扱う必要があるとき (個人データを取扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)。
４ 学術研究機関とは、大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者をいう。
５ 学術研究目的とは、学術研究の用に供する目的をいう。
６ 要配慮個人情報の取得、利用又は提供を行う場合においては、第38条に定める方法により、「個人情報の取扱いについての同意書」（第７号
様式）により、本人に対し必要事項を通知の上、あらかじめ書面よる同
意を得なければならない。
７ 同条第２項第１号から第９号に掲げる事由により要配慮個人情報の取得、利用及び提供において書面による本人の同意を得ることを要せず行う
場合は、「個人情報の取扱い申請書」(第８号様式)により、個人情報保護管理責任者の承認を得なければならない。
（J.8.4個人情報を取得した場合の措置）
第37条 財団は、個人情報を取得した場合は、あらかじめ、その利用目的を公表している場合を除き、速やかにその利用目的を本人に通知し、又は公表しなければならない。
２ 財団は、本人に利用目的を通知し、又は公表を要しないのは、以下の場合に限定するものとする。
（１）利用目的を本人に通知し、又は公表することによって本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがあるとき。
（２）利用目的を本人に通知し、又は公表することによって当該組織の権利又は正当な利益を害するおそれがあるとき。
（３）国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することによって当該事務の遂行に支障を及ぼすおそれがあるとき。
（４）取得の状況からみて利用目的が明らかであると認められるとき。
３ 前項第１号から第３号を適用し、本人に利用目的を通知する、又は公表を要しない場合は、「個人情報の取扱い申請書」(第８号様式)により

個人情報保護管理責任者の承認を得てから行なわなければならない。
(J.8.5第37条のうち本人から直接書面によって取得する場合の措置)
第38条 財団は、本人から、書面に記載された個人情報を直接取得する場
合は、少なくとも、次に示す事項又はそれと同等以上の内容の事項を、あらかじめ、書面によって本人に明示し、書面によって本人の同意を得なければならない。
（１）組織の名称又は氏名（２）個人情報保護管理責任者（若しくはその代理人）の氏名又は職名、所属及び連絡先（３）利用目的（４）個人情報を第三者に提供することが予定される場合の事項－第三者に提供する目的－提供する個人情報の項目－提供の手段又は方法－当該情報の提供を受ける者又は提供を受ける者の組織の種類、及び属性－個人情報の取扱いに関する契約がある場合はその旨（５）個人情報の取扱いの委託を行うことが予定される場合は、その旨（６）第55条から第58条に該当する場合は、その請求等に応じる旨及び問合せ窓口（７）本人が個人情報を与えることの任意性及び当該情報を与えなかった
場合に本人に生じる結果（８）本人が容易に知覚できない方法によって個人情報を取得する場合は、その旨
２ 財団は、あらかじめ書面によって本人に明示し、書面によって本人の同意を得ないのは、次の場合に限定しなければならない。
（１）人の生命、身体若しくは財産の保護のために緊急に必要があるとき。
（２）次に掲げるいずれかに該当し、第37条の措置を要しないとき。
①利用目的を本人に通知する、又は公表することによって本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがあるとき。
②利用目的を本人に通知する、又は公表することによって当該組織の権利又は正当な利益を害するおそれがあるとき。
③国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知する、又は公表することによって当該事務の遂行に支障を及ぼすおそれがあるとき。
④取得の状況からみて利用目的が明らかであると認められるとき。
３ 財団は、本人から直接書面により個人情報を取得するにおいては、次に掲げる手順によりそれぞれの方法によって行うものとする。
（１）本人から直接、財団の所定書面様式により取得する場合
財 団の 「 個 人 情報 の 取 扱い に つ い ての 同 意 書」 (第7号 様 式)に より

同条第１項第１号から第８号に掲げる事項を含む内容を明示し、これに同意する意思を署名にて確認する方法により取得する。
（２）本人から直接、財団の公式ホームページによる入力画面により取得
する場合
財団の公式ホームページの入力画面において同条第１項第１号から第８号に掲げる事項を含む内容を明示し、これに同意する意思を同意
ボタン等のクリック等にて確認する方法により取得する。
４ 同条第２項第２号①から③の適用に際し書面によって本人の同意を得ない場合は、「個人情報の取扱い申請書」(第８号様式)により、個人情報保護管理責任者の承認を得て行わなければならない。
（J.8.6利用に関する措置）
第39条 個人情報を利用する場合は、本人の同意の有無にかかわらず、違法又は不当な行為を助長し、又は誘発するおそれのあるものを除くものとする。
２ 財団は、特定した利用目的の達成に必要な範囲内で個人情報を利用しなければならない。
３ 財団は、特定した利用目的の達成に必要な範囲を超えて個人情報を利用する場合は、あらかじめ、少なくとも、第38条第１項第１号から第６号に示す事項又はそれと同等以上の内容の事項を本人に通知し、本人の同意を得なければならない。
４ 財団は、特定した利用目的の達成に必要な範囲を超えて個人情報を利用する場合に、本人の同意を得ることを要しないのは、次のいずれかに該当する場合に限定するものとする。
（１）法令に基づく場合（２）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
（３）公衆衛生の向上又は児童の健全な育成の増進のために特に必要があ
る場合であって、本人の同意を得ることが困難であるとき。
（４）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることによって当該事務の遂行に支障を及ぼすおそれがあるとき。
（５）当該個人情報取扱事業者が学術研究機関等である場合であって、学術研究目的で取扱う 必要があるとき(当 該個人情報を取扱う 目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)。
（６）学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人 データを学術研究目 的で取扱う必要があ るとき(当該個人データを取扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)。
５ 違法又は不当な行為とは、個人情報保護法その他の法令に違反する行

為や、直ちに違法とは言えないものの、個人情報保護法その他の法令の制度趣旨や公序良俗に反している等、社会通念上、適正とは認められない行為をいう。
６ 違法又は不当な行為を助長し、又は誘発する「おそれ」の有無は、社会通念上、蓋然性が認められるか否かにより判断される。この判断に当たっては、個人情報の利用方法などの客観的な事情を加えて、個人情報の利用時点における財団の認識及び予見可能性も踏まえなければならない。
７ 財団は、特定した利用目的の達成に必要な範囲内かどうか判断に迷う
場合においては、個人情報保護管理責任者にその判断を求めなければならない。
８ 特定した利用目的の達成に必要な範囲を超えて個人情報を利用する場
合は、「個人情報の取扱いについての同意書」(第７号様式)により本人の同意を得なければならない。
９ 特定した利用目的の達成に必要な範囲を超えて個人情報を利用する場
合は、「個人情報の取扱い申請書」(第８号様式)により個人情報保護管理責任者の承認を得なければならない。
（J.8.7本人に連絡又は接触する場合の措置）
第40条 財団は、個人情報を利用して本人に連絡又は接触する場合は、本人に対して、第38条第１項第１号から第６号に示す事項又はそれと同等
以上の内容の事項、及び取得方法を通知し、本人の同意を得なければならない。
２ 財団は、個人情報を利用して本人に連絡又は接触する場合のうち、本人に通知し、本人の同意を得ることを要しない場合を、利用する個人情報が次の場合に限定するものとする。
（１）第38条において、あらかじめ、利用目的として個人情報を利用して本人に連絡又は接触することを含め、第38条第１項第１号から第６号に示す事項又はそれと同等以上の内容の事項を明示し、既に本人の同意を得ているとき。
（２）個人情報の取扱いの全部又は一部を委託された場合であって、当該個人情報を、その利用目的の達成に必要な範囲内で取扱うとき。
（３）合併その他の事由による事業の承継に伴って個人情報が提供され、個人情報を提供する組織が、既に第38条第１項第１号から第６号に示す事項又はそれと同等以上の内容の事項を明示又は通知し、本人の同意を得ている場合であって、承継前の利用目的の範囲内で当該個人情報を取扱うとき。
（４）個人情報が特定の者との間で共同して利用され、共同して利用する者が、既に共同して利用することに関して、第38条第１項第１号から第６号に示す事項又はそれと同等以上の内容の事項を明示又は通知し、本人の同意を得ている場合であって、次に示す事項又はそれと同等以上の内容の事項を、あらかじめ本人に通知する、又は本人が容易に知り得る

状態に置いているとき。（以下、「共同利用」という。）①共同して利用すること②共同して利用される個人情報の項目③共同して利用する者の範囲④共同して利用する者の利用目的⑤共同して利用する個人情報の管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名⑥取得方法（５）第37条第２項第４号に該当し利用目的などを明示、通知又は公表することなく取得した個人情報を利用して、本人に連絡又は接触するとき。
（６）第36条第２項第１条から第４号のいずれかに該当するとき。
３ 前項第４号の「個人情報が特定の者との間で共同して利用され、共同して利用する者が、既に共同して利用することに関して、第38条第１項第１号から第６号に示す事項又はそれと同等以上の内容の事項を明示又は通知し、本人の同意を得ている場合）」とは、共同利用する事業者のうち、何れかの事業者が実施することが求められる事項である。
４ 同条第２項第４号の「次に示す事項又はそれと同等以上の内容の事項
を、あらかじめ本人に通知する、又は本人が容易に知り得る状態においているとき」とは、共同利用する全ての事業者に対して求められる事項である。
５ 共同して利用する者の利用目的の変更を行う場合は、共同利用する事業者のうち、何れかの事業者が第39条で定める利用目的の変更の措置を行うとともに、変更した内容については、共同して利用する全ての事業者が、本人に通知する、又は本人が容易に知り得る状態に置かなければならない。
６ 共同利用の実施においては、共同して利用する者の間で、共同して利用する者の要件、各共同して利用する者の個人情報取扱責任者・問合せ
担当者及び連絡先、共同利用する個人情報の取扱いに関する事項、共同利用する個人情報に関する取決めが遵守されなかった場合の措置、共同利用する個人情報の事件・事故が発生した場合の報告・連絡に関する事
項、共同利用を終了する際の手続き等をあらかじめ取り決めて置かなけ
ればならない。
７ 財団は、財団が保有する個人情報を利用して本人に連絡又は接触する
場合は、本人に対し て「個人情報の取扱 いについての同意書 」(第７号
様式)を利用し、本人の同意を得なければならない。
８ 財団が保有する個人情報を利用して本人に連絡又は接触する場合は、「個人情報の取扱い申請書」(第８号様式)を利用して個人情報保護管理責任者の承認を得なければならない。
９ 財団は、個人情報を特定の者との間で共同して利用する予定がないた
めその手順を定めないが、共同して利用する予定が発生した場合は、速やかに同条第２項第４号に定める事項を共同利用者との間で取り決め、必要な手順を定めるものとする。

（J.8.8個人データの提供に関する措置）
第41条 財団は、個人データを第三者に提供する場合は、あらかじめ、本人に対して、当該個人データを第三者に提供することに関して、第38条
第１項第１号から第４号に示す事項又はそれと同等以上の内容の事項、及び取得方法を通知し、本人の同意を得なければならわない。
２ 財団は、個人データを第三者に提供する場合に、本人に通知し、本人の同意を得ることを要しない場合は、次の場合に限定しなければならない。
（１）第38条の規定によって、個人データを第三者に提供することに関して、既に第38条第１項第１号から第４号の事項又はそれと同等以上の内容の事項を本人に明示し、本人の同意を得ているとき、又は第40条の規定によって、既に第38条第１項第１号から第４号の事項又はそれと同等
以上の内容の事項を本人に通知し、本人の同意を得ているとき。
（２）本人の同意を得ることが困難な場合であって法令等が定める手順に基づいた上で、次に示す事項又はそれと同等以上の内容の事項を、あらかじめ、本人に通知する、又はそれに代わる同等の措置を講じているとき。
①事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名②第三者への提供を利用目的とすること③第三者に提供される個人データの項目④第三者への提供の手段又は方法⑤本人の請求などに応じて当該本人が識別される個人データの第三者への提供を停止すること⑥取得方法⑦本人からの請求などを受け付ける方法⑧その他個人の権利利益を保護するために必要なものとして「個人情報保護委員会規則」で定める事項（３）法人その他の団体に関する情報に含まれる当該法人その他の団体の役員及び株主に関する情報であって、かつ、本人又は当該法人その他の団体自らによって公開又は公表された情報を提供する場合であって、法令等が定める手続きに基づいた上で、前号①から⑧で示す事項又はそれと同等以上の内容の事項を、あらかじめ本人に通知する、又は本人が容易に知り得る状態においているとき。
（４）特定された利用目的の達成に必要な範囲内において、個人データの取扱いの全部または一部を委託するとき。
（５）合併その他の事由による事業の承継に伴って個人データが提供する場合であって、承継前の利用目的の範囲内で当該個人データを取扱うとき。
（６）個人データを共同して利用する場合であって、共同して利用する者の間で、第40条に規定する共同利用について契約によって定めているとき。

（７）第36条第２項第１号から第４号又は第36条第３項第１号から第３号のいずれかに該当するとき。
３ 前項第２号の運用にあたっては、次に掲げる事項を除くものとする。
（１）要配慮個人情報（２）偽りその他の不正の手段により取得されたデータ（３）個人情報保護法第27条第２項又は第41条第２項第２号により提供された個人データ(提 供されたデータに対 して、その全部又は 一部を複製し、又は加工したものを含む)
４ 個人データに対する要求事項であっても、第12条において特定した個
人情報については、当該要求事項の対象としなければならない。
５ 同条第２項第６号は、第40条をもって代替することができる。
６ 財団は、個人情報を第三者に提供する場合は、あらかじめ、本人に対して、「個人情報の取扱いについての同意書」(第７号様式)により、本人の同意を得なければならない。
７ 財団は、個人情報を第三者に提供する場合は、「個人情報の取扱い申請書」(第８号様式)により事前に個人情報保護管理責任者の承認を得る
ものとする。
（J.8.8.1外国にある第三者への提供の制限）
第42条 財団は、外国にある第三者に個人データを提供する場合は、次のいずれかを満たさなければならない。但し、第36条第２項第１号から第４号又は第36条第３項第１号から第３号のいずれかに該当する場合はこれに限らない。
（１）あらかじめ外国にある第三者への提供を認める旨の本人同意があるとき。
（２）個人データの取扱いについて個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして「個人情報保護委員会規則」で定める基準に適合する体制を整備している者への提供をするとき。
（３）個人の権利利益を保護する上で我が国と同等の水準にある外国として「個人情報保護委員会規則」で定める国・地域にある第三者への提供をするとき。
２ 前項第１号によって外国にある第三者に個人データを提供する場合は、
あらかじめ、法令等の定めるところにより、次に掲げる事項について、当該本人に必要な情報を提供しなければならない。
（１）当該外国の名称（２）当該外国における個人情報の保護に関する制度に関する情報（３）当該第三者が講ずる個人情報の保護のための措置に関する情報（４）同項第１号から第３号に定める事項が特定できない場合、その旨及びその理由（５）前号に該当する場合であって、同項第１号から第３号の事項に代わる本人に参考となるべき情報がある場合は、当該情報

（６）同項第４号及び第５号に該当する場合について情報提供できない場
合は、同項第４号及び第５号に定める事項に代えて、その旨及びその理
由
３ 同条第１項第２号によって外国にある第三者に個人データを提供する
場合は、あらかじめ、法令等で定めるところによって、次に掲げる事項
について、必要な措置を講じなければならない。
（１）当該第三者による相当措置の実施状況並びに相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容について、適切かつ合理的な方法による定期的な確認。
（２）当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データの当該第三者への提供の停止。
（３）本人の求めを受けた場合は、情報提供することにより当該組織の業
務の適正な実施に著しい支障を及ぼすおそれがある場合を除き、遅滞な
く、以下の情報の提供。
①当該第三者による体制の整備の方法②当該第三者が実施する相当措置の概要③同条第３項第１号による確認の頻度及び方法④当該外国の名称⑤当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要⑥当該第三者による相当措置の実施に関する支障の有無及びその概要⑦前号の支障に関して、同条第３項第２号により講ずる措置の概要
４ 前項第３号で、本人の求めに係る全部又は一部について提供しない旨の決定をしたときは、本人に対して、遅滞なく、その旨を通知するとともに、その理由を説明しなければならない。
５ 個人データに対する要求事項であっても、第12条において特定した個
人情報については、当該要求事項の対象にしなければならない。
６ 財団は、外国にある第三者に個人データを提供する場合は、あらかじめ、本人に対して、 「個人情報の取扱い についての同意書」 (第７号様式)により、本人の同意を得なければならない。
７ 財団は、本人の同意を得ることを要せず外国にある第三者に個人デー
タを提供する場合は、「個人情報の取扱い申請書」(第８号様式)により個人情報保護管理責任者の承認を得なければならない。
（J.8.8.2第三者提供に係る記録の作成など）
第43条 財団は、個人データを第三者に提供した場合は、当該個人データの提供について必要 な記録として、「個 人情報の提供の記録 」(第９号
様式)を作成し、保存しなければならない。
２ 財団は、個人データを第三者に提供したときに、当該個人データの提供に関する記録の作成を要しない場合を、次の場合に限定するものとする。

（１）特定した利用目的の達成に必要な範囲内において個人データの取扱
いの全部又は一部を委託するとき。
（２）合併その他の事由による事業の承継に伴って個人データを提供する場合であって、承継前の利用目的の範囲内で当該個人データを取扱うとき。
（３）個人データを共同利用している場合であって、共同して利用する者の間で、第40条に規定する共同利用について契約によって定めているとき。
（４）法令に基づく場合。
（５）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
（６）公衆衛生の向上又は児童の健全な育成の増進のために特に必要があ
る場合であって、本人の同意を得ることが困難であるとき。
（７）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることによって当該事務の遂行に支障を及ぼすおそれがあるとき。
（８）個人情報取扱事業者が学術研究機関である場合であって、個人デー
タの提供が学術研究 の成果の公表又は教 授のためやむを得な いとき(個人の権利利益を不当に侵害するおそれがある場合を除く。)（９）個人情報取扱事業者が学術研究機関である場合であって、個人情報取扱事業者と第三者が共同して学術研究を行う場合に限り、個人データを学術研究目的で提 供する必要があると き。(個人データを 提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)（10）第三者が学術研究機関である場合であって、第三者が個人データを学術研究目的で取扱 う必要があるとき。 (個人データを取扱 う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)
３ 個人データを第三者に提供したことに関する記録を作成した場合、当該記録を必要な期間保管しなければならない。
４ 個人データを第三者に提供したときに、提供先が実施する第三者提供を受ける際の確認等に対し、適切に応じなければならない。
５ 個人データに対する要求事項であっても、第12条において特定した個
人情報については、当該要求事項の対象にしなければならない。
６ 同条第１項第４号の「法令に基づく場合」には、第36条第３項第１号
から第３号を含むものとする。
７ 財団は、当該個人データの提供の記録の作成を要しない場合は、「個人情報の取扱い申請書」(第８号様式)により個人情報保護管理責任者の承認を得なければならない。

（J.8.8.3第三者提供を受ける際の確認など）
第44条 財団は、第三者から個人データの提供を受ける場合は、必要な確認を行わなければならない。
２ 財団は、第三者から個人データの提供を受ける場合に、確認を要しな
いのは次の場合に限定しなければならない。
（１）特定した利用目的の達成の範囲内において、個人データの取扱いの全部又は一部を委託されたとき。
（２）合併その他の事由による事業の承継に伴って個人データを提供される場合であって、承継前の利用目的の範囲内で当該個人データを取扱う
とき。
（３）個人データを共同している場合であって、共同して利用する者の間で、第40条に規定する共同利用について契約によって定めているとき。
（４）法令等に基づく場合。
（５）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
（６）公衆衛生の向上又は児童の健全な育成の増進のために特に必要があ
る場合であって、本人の同意を得ることが困難であるとき。
（７）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることによって当該事務の遂行に支障を及ぼすおそれがあるとき。
（８）個人情報取扱事業者が学術研究機関である場合であって、個人デー
タの提供が学術研究 の成果の公表又は教 授のためやむを得な いとき(個人の権利利益を不当に侵害するおそれがある場合を除く。)。
（９）個人情報取扱事業者が学術研究機関である場合であって、個人情報取扱事業者と第三者が共同して学術研究を行う場合に限り、個人データを学術研究目的で提 供する必要があると き(個人データを提 供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)。
（10）第三者が学術研究機関である場合であって、第三者が個人データを学術研究目的で取扱 う必要があるとき(個人データを取扱う 目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)。
３ 財団は、第三者から個人データの提供を受ける場合に確認を行ったときは、「個人データの受領の記録」(第10号様式)を作成し、保管しなけ
ればならない。
４ 財団は、第三者から個人データの提供を受ける場合に確認を行った記録は、必要な期間保管しなければならない。
５ 個人データに対する要求事項であっても、第12条において特定した個
人情報については、当該要求事項の対象にしなければならない。
６ 財団は、第三者から個人データの提供を受けるに際し、当該個人デー
タの受領の記録は、「個人情報の取扱い申請書」(第８号様式)により個

人情報保護管理責任者の承認を得なければならない。
（J.8.8.4個人関連情報の第三者提供の制限など）
第45条 個人関連情報を取扱う場合は、法令等の定めるところによって、適切な取扱いを行う手順を内部規定として文書化しなければならない。
２ 第三者が個人関連情報を個人データとして取得することが想定される場合、当該個人関連情報を当該第三者に提供する場合は、第36条第２項第１号から第４号又は第36条第３項第１号から第３号のいずれかに該当する場合を除き、あらかじめ、次に掲げる事項又はそれと同等以上の内容の事項について、法令等の定めるところによって、確認しなければならない。
（１）当該第三者が個人関連情報取扱事業者から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていること。
（２）外国にある第三者への提供にあっては、前号の本人の同意を得ようとする場合において、法令等で定めるところによって、次に示す事項について、あらかじめ、当該本人に提供されていること。
①当該外国における個人情報の保護に関する制度②当該第三者が講ずる個人情報の保護のための措置③その他当該本人に参考となるべき情報
３ 個人関連情報を外国にある第三者に提供した場合は、42条で定めるところによって、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講じなければならない。
４ 法令等の定めるところによって、次の事項について、確認の記録を作成、保管しなければ ならない。(個人関 連情報の提供元の確 認の記録事項。)（１）同条第２項第１号で本人の同意が得られていることを確認した旨及び外国にある個人情報取扱事業者にあっては、同条第２項第２号で本人に情報の提供が行われていることを確認した旨（２）個人関連情報を提供した年月日（３）当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名（４）当該個人関連 情報の項目。(個人関連情報の提供先の 確認の記録事
項)（５）同条第２項第１号で本人の同意が得られている旨及び外国にある個
人情報取扱事業者にあっては、同条第２項第２号で本人に情報の提供が行われている旨（６）当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名（７）当該個人データ(個人関連情報)によって識別される本人の氏名その他当該本人を特定するに足りる事項（８）当該個人関連情報の項目

５

個人関連情報とは、生存する個人に関連する情報であって、個人情報、
仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。
６ 同条第２項の「個人データとして取得する」とは、提供先の第三者において、個人データに個人関連情報を付加する等、個人データとして利用しようとする場合 をいう。(提供先の 第三者が、個人関連 情報を直接
個人データに紐づけて利用しない場合は、提供先の第三者が保有する個人データとの容易照合性が排除しきれないとしても、直ちに「個人デー
タとして取得する」に該当しない。)
７ 同条第２項第１号で同意を取得する主体は、本人と接点を持ち、情報を利用する主体となる提供先であるが、同等の本人の権利利益の保護が図られることを前提に、提供元が代行することできる。
８ 同条第２項は、個人関連情報の提供元が、当該第三者から申告を受ける方法その他の適切な方法によって本人同意が得られていることを確認することになるが、提供先の第三者から申告を受ける場合、提供元は、
その申告内容を一般的な注意力をもって確認することで足りるものとする。
（J.8.9匿名加工情報）
第46条 財団は、匿名加工情報の取扱いを行うか否かの方針を定めなければならない。
２ 財団は、匿名加工情報を取扱う場合は、法令等の定めるところによって、次の事項に関する適切な取扱いを行う手順を内部規定として文書化しなければならない。
（１）適切な加工方法の決定及び加工の実施（２）加工方法等情報の安全管理措置（３）匿名加工情報を作成及び提供することに関する公表（４）匿名加工情報の取扱いにおいて識別行為を防止する措置（５）匿名加工情報の安全管理、苦情処理、その他の適正な取扱いのための措置、及び当該措置の公表
３ 匿名加工情報を取扱う場合は、定めた手順に従わなければならない。
４ 匿名加工情報とは、区分ごとに定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。
（１）個人情報保護第2条第1項第1号に該当する個人情報
当該個人情報に含まれる記述等の一部を削除すること。(当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。)（２）同条第1項第2号に該当する個人情報
当該個人情報 に含まれる個人識別 符号の全部を削除す ること。(当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。)

５

匿名加工情報、及び加工方法等の情報は、リスクアセスメントを実施した上で適切な取扱いを行わなければならない。
６ 同条第２項第３項については、取扱いのリスクを踏まえて実施すべきかどうかを判断するものとする。
７ 財団は、方針として匿名加工情報の取扱いは行わないものとする。なお、匿名加工情報の取扱いを行う予定が発生した場合は、速やかに、同条第２項に定める取扱いを行う手順を定めなければならない。
８ 財団は、匿名加工情報の取扱いを行う場合は、「個人情報の取扱い申請書」(第８号様式)により個人情報保護管理責任者の承認を受けなければならない。
（J.8.10仮名加工情報）
第47条 仮名加工情報を取扱う場合は、法令等の定めるところによって、適切な取扱いを行う手順を内部規定として文書化しなければならない。
２ 仮名加工情報を作成する場合は、他の情報と照合しない限り、特定の個人を識別することができないようにするために必要なものとして、「個人情報保護委員会規則」で定める基準に従い、個人情報を加工しなければならない。
３ 仮名加工情報を作成したとき又は仮名加工情報及び当該仮名加工情報に係る削除情報等を取得したときは、削除情報等の漏えいを防止するために必要なものとして「個人情報保護委員会規則」で定める基準に従い、削除情報等の安全管理のための措置を講じなければならない。
４ 仮名加工情報を利用する場合は、次に掲げる事項を実施しなければならない。
（１）利用目的をできる限り特定し、法令に基づく場合を除くほか、その目的の達成に必要な範囲内において行うこと。
（２）あらかじめその利用目的を公表している場合及び法令に基づく場合
を除き、速やかに、その利用目的を公表すること。
（３）仮名加工情報を取扱う場合は、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該仮名加工情報を他の情報と照合しないこと。
（４）電話をかけ、郵便若しくは信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用しないこと。
５ 仮名加工情報を提供する場合は、次の場合を除き、仮名加工情報である個人データを第三者に提供してはならない。
（１）仮名加工情報の取扱いの全部又は一部を、第51条と同等の措置を講じた上で委託するとき。
（２）仮名加工情報が特定の者との間で共同して利用され、共同して利用する者が、既に共同 して利用するとき。 (第38条第１項第１ 号から第６号)に示す事項又は それと同等以上の内 容の事項を明示又は 通知し、本人の同意を得ている場合であって、次に示す事項又はそれと同等以上の内容の事項を、あらかじめ本人に通知する、又は本人が容易に知り得る状態に置くとき。)①共同して利用すること②共同して利用される仮名加工個人情報の項目③共同して利用する者の範囲④共同して利用する者の利用目的⑤共同して利用する仮名加工個人情報の管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、そのトップマネジメ
ントの氏名
⑥取得方法
（３）合併その他の事由による事業の承継に伴って仮名加工情報を提供するとき。
（４）法令に基づく場合
６ 仮名加工情報の取扱いに関する苦情の適切かつ迅速な対応を行わなければならない。
７ 仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞なく消去しなければならない。
８ 仮名加工情報とは、各区分ごとに定める措置を講じて他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報をいう。
（１）個人情報保護法第２条第１項第１号に該当する個人情報
当該個人情報に含まれる記述等の一部を削除すること。(当該一部の記述等を復元することができる規則性を有しない方法により他の記述等に置き換えることを含む。)（２）個人情報保護法第２条第１項第２号に該当する個人情報
当該個人情報 に含まれる個人識別 符号の全部を削除す ること。(当該個人識別符号を復元することができる規則性を有しない方法により他の記述等に置き換えることを含む。)
９ 同条第４項第１号は、本人を識別しない、内部での分析・利用であることを条件とすることが含まれることに留意しなければならない。
10 同条４項第２号は、作成に用いた個人情報の利用目的とは異なる目的で利用する場合に、利用目的の公表を行わなければならない。
11 同条第７項は、取扱いのリスクを踏まえて実施すべきかどうかを判断しなければならない。
12 漏えい等の報告等については、第22条を踏まえて対応しなければならない。
13 仮名加工情報は次の事項については、適用除外されることに留意しなければならない。
①利用目的の変更②開示・利用停止の請求対応

14

財団は、仮名加工情報の取扱いを行う場合は、「個人情報の取扱い申請書」(第８号様式)により個人情報保護管理責任者の承認を受けなければならない。

（J.9.1正確性の確保）
第48条 財団は、利用目的の達成に必要な範囲内において個人データを正
確かつ最新の状態で管理しなければならない。
２ 財団は、個人デ ータの管理(利用する必要なくなった場 合の消去を含む。)は、定めた手順に基づいて適切に行わなければならない。
３ 個人データに対する要求事項であっても、第12条において特定した個
人情報については、当該規定の対象にしなければならない。
４ 財団は、個人情報の正確性の確保のための具体的措置は、「情報セキュリティ管理規則(世トま規則第49号)」に定める。
（J.9.2安全管理措置）
第49条 財団は、取扱う個人情報保護リスクに応じて、漏えい、滅失又はき損の防止その他の個人情報の安全管理のために、法令に基づき必要か
つ適切な措置を講じなければならない。
２ 必要かつ適切な安全措置とは、個人情報が漏えい等の緊急事態が発生した場合に被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、
個人データの取扱状況、個人情報の性質及び量、記録した媒体の性質等に起因するリスクに応じた必要かつ適切な措置を講じることをいう。なお、この定義は法令で定められている事項であり、必要かつ適切な安全管理措置を講じていないことで法令に違反することがあることに留意しなければならない。
３ 学術研究目的で行う個人データの取り扱いについても、同条第１項及び第２項と同様に対応しなければならない。
４ 財団における物理的、技術的、組織的及び人的面からの安全管理のための具体的措置は、「入退セキュリティ管理規則(世トま規則48号)」及び「情報セキュリティ管理規則(世トま規則49号)」に定める。
（J.9.3従業者の監督）第50条 財団は、個人データを取扱うに従業者に対して必要かつ適切な監督を行わなければならない。
２ 財団は、財団の従業者との雇用契約時又は委託契約時において、個人情報の非開示契約（契約終了後も一定期間有効である主旨のもの）を「誓約書」等において、その締結を求めることができるものとする。
３ 財団は、個人情報の安全管理措置を定める規定等に従って業務が実施されること、不正・不法・怠慢などの行為の結果、個人情報の保護が損なわれないこと等、多岐にわたって指揮・指導を行うものとする。なお、財団は、ビデオ及びオンラインによる財団内関係者のモニタリングは実施しないものとする。

４

財団は、従業者を監督することに関連してこの規程に故意に違反した事実が発生した場合は、第60条に定める懲戒の対象とする。
５ 財団は、従業者を監督する具体的な処理手順については、「財団関係者個人情報取扱い規則(世トま規則第47号)」に定める。
（J.9.4委託先の監督）第51条 財団は、個人データの取扱いの全部又は一部を委託する場合、十分な個人データの保護水準を満たしている者を選定するための委託先選定基準を確立し、委託先を選定しなければならない。
２ 財団は、個人データの取扱いの全部又は一部を委託する場合、特定した利用目的の範囲内で委託契約を締結しなければならない。
３ 財団は、個人データの取扱いの全部又は一部を委託する場合、次に示す事項が盛り込まれた契約を締結しなければならない。
（１）委託者及び受託者の責任の明確化（２）個人データの安全管理に関する事項（３）再委託に関する事項（４）個人データの取扱状況に関する委託者への報告の内容及び頻度（５）契約内容が遵守されていることを委託者が、定期的に、及び適宜に確認できる事項（６）契約内容が遵守されなかった場合の措置（７）事件・事故が発生した場合の報告･連絡に関する事項（８）契約終了後の措置
４ 財団は、全ての委託先を漏れなく特定しなければならない。
５ 財団は、同条第３項に関する委託契約書を当該個人データの保有期間にわたって保存しなければならない。
６ 委託契約に基づき、委託先を適切に監督しなければならない。
７ 個人データに対する要求事項であっても、第12条において特定した個
人情報については、当該規定の対象にしなければならない。
８ 委託先選定基準には、次の内容を含めなければならない。
（１）少なくとも委託する当該業務に関しては、財団と同等以上の個人情
報保護の水準にあること。
（２）契約に定める事項に対応可能であることを客観的に確認できること。
９ 財団は、委託先の監督に関する具体的な処理手順を、「個人情報保護
委託処理規則(世トま規則第50号)」に定める。
（J.10.1個人情報に関する権利）
第52条 財団は、保有個人データに関して、本人から開示等の請求等を受け付けた場合、第55条から第58条の規定によって、遅滞なくこれに応じなければならない。
２第43条及び第44条で作成した第三者提供記録に関して、本人から開示等の請求等を受けた場合、第56条の規定によって、遅滞なくこれに応じなければならない。

３

財団は、保有個人データに当たらないものとして、次に掲げるいずれかに限定しなければならない。
（１）当該個人データ又は当該第三者提供記録の存否が明らかになること
によって、本人又は第三者の生命、身体又は財産に危害が及ぶおそれのあるもの。
（２）当該個人データ又は当該第三者提供記録の存否が明らかになること
によって、違法又は不当な行為を助長する、又は誘発するおそれのあるもの。
（３）当該個人データ又は当該第三者提供記録の存否が明らかになること
によって、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれのあるもの。
（４）当該個人データ又は当該第三者提供記録の存否が明らかになること
によって、犯罪の予防、鎮圧又は捜査その他の公共の安全及び秩序維持に支障が及ぶおそれがあるもの。
４ 財団は、前項各号の適用において、保有個人データには該当しないものとして本人から開示等の請求等を受け付けない場合は、「個人情報の取扱い申請書」(第８号様式)により個人情報保護管理者の承認を得て行わなければならない。
５ 財団は、前項までの具体的な処理手続き及びその他の事項は関しては、「保有個人データ取扱い規則(世トま規則第53号)」に定める。
（J.10.2開示等の請求に応じる手続き）
第53条 財団は、保有個人データ又は第三者提供記録の請求等に応じる手続として、次の事項を文書化しなければならない。
（１）開示等の請求の申し出先（２）開示等の請求等において提出すべき書面の様式、その他の開示等の請求等の方式（３）開示等の請求等をする者が、本人又は代理人であることの確認の方
法（４）第55条又は第56条による場合の手数料（定めた場合に限る。）の徴
収方法
２ 財団は、保有個人データ又は第三者提供記録の開示の請求等に応じる手続を定めるに当たっては、本人に過重な負担を課するものとならない
よう配慮しなければならない。
３ 財団は、本人からの請求などに応じる場合に、手数料を徴収するときは、実費を勘案して合理的であると認められる範囲内において、その額を定めなければならない。
４ 同条第１項から第３号までの具体的な処理手続き及びその他の事項に関しては、「保有個人データ取扱い規則(世トま規則第53号)」に定める。

（J.10.3財団保有個人データ又は第三者提供記録に関する事項の周知など）
第54条 財団は、保有個人データ又は第三者提供記録に関し、次の事項を本人の知り得る状態（本人の請求などに応じて遅滞なく回答する場合を含む。）に置かなければならない。
（１）組織の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名（２）個人情報保護管理責任者（若しくはその代理人）の氏名又は職名、所属及び連絡先（３）全ての保有個人データの利用目的第37条第２項第１号から第３号に該当する場合を除く。）（４）保有個人データの取扱いに関する苦情の申出先（５）財団が認定個人情報保護団体の対象事業者である場合においては、
当該認定個人情報保護団体の名称及び苦情の解決の申出先（６）第53条によって定めた手続き（７）保有個人デー タの安全管理のため に講じた措置(本人の知り得る状
態に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。)
２ 財団は、前項各号の具体的な処理手続き及びその他の事項は関しては、「保有個人データ取扱い規則(世トま規則第53号)」に定める。
（J.10.4保有個人データの利用目的の通知）
第55条 財団は、本人から、当該本人が識別される保有個人データについて、利用目的の通知を求められた場合は、遅滞なくこれに応じなければならない。
２ 本人から、当該本人が識別される保有個人データについて、利用目的の通知を求められた場合であって、利用目的の通知を要しないのは次の場合に限定しなければならない。
（１）第37条第１項第１号から第３号のいずれかに該当するとき。
（２）第54条第１項第３号によって当該本人が識別される保有個人データの利用目的が明らかなとき。
３ 前項各号のいずれかに該当する場合、本人に遅滞なくその旨を通知するとともに、理由を説明しなければならない。
４ 同条第２項において利用目的の通知を行わない場合は、「個人情報の取扱い申請書」(第８号様式)により、個人情報保護管理者の承認を得なければならない。
５ 財団は、前項までの具体的な処理手続き及びその他の事項は関しては、「保有個人データ取扱い規則(世トま規則第53号)」に定める。
（J.10.5保有個人データ又は第三者提供記録の開示）
第56条 財団は、本人から当該本人が識別される保有個人データ又は第三者提供記録の開示の請求を受けた場合、法令によって特別の手続が定められている場合を除き、本人に対し、遅滞なく、電磁的記録の提供も含

めて当該本人が指定 した方法(当該方法 による開示に多額の 費用を要する場合その他の当該方法による開示が困難である場合は、書面の交付による方法)によって開示しなければならない。
２ 財団は、本人から当該本人が識別される保有個人データ又は第三者提供記録の開示の請求を受けた場合に、全部又は一部の開示を必要としないのは次の場合に限定しなければならない。
（１）本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがあるとき。
（２）財団の業務の適正な実施に著しい支障を及ぼすおそれがあるとき。
（３）法令に違反する場合
３ 同条第１項の当該本人が指定した方法について、当該方法による開示が困難であるとして、書面での交付とした場合、若しくは前項各号のいずれかに該当する場合、本人に遅滞なくその旨を通知するとともに、理由を説明しなければならない。
４ 学術研究目的で行う保有個人データの取り扱いについても前項までの規定に従い取扱うものとする。
５ 財団は、本人が識別される保有個人データの開示を行わない場合は、「個人情報の取扱い申請書」(第８号様式)により、個人情報保護管理責
任者の承認を得なければならない。
６ 財団は、前項までの具体的な処理手続き及びその他の事項は「保有個人データ取扱い規則(世トま規則第53号)」に定める。
（J.10.6保有個人データの訂正、追加又は削除）
第57条 財団は、本人から、当該本人が識別される保有個人データの訂正等(訂正、追加又は削除)の請求を受けた場合、法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づいて、当該保有個人データの訂正等を行わなければならない。
２ 財団は、本人から保有個人データの訂正等の請求を受けて訂正等を行った場合は、その旨及びその内容を本人に遅滞なく通知しなければならない。
３ 財団は、本人から保有個人データの訂正等の請求を受けたが応じなかった場合、その旨及びその理由を本人に遅滞なく通知しなければならない。
４ 財団は、前項の訂正等を行なわない旨の決定をしたときは、「個人情報の取扱い申請書」(第８号様式)により、個人情報保護管理責任者の承認を得なければならない。
５ 財団は、前項までの具体的な処理手続き及びその他の事項は「保有個人データ取扱い規則(世トま規則第53号)」に定める。
（J.10.7保有個人データの利用又は提供の拒否権）
第58条 財団は、本人から当該本人が識別される保有個人データの利用停止等(利用の停止、消去又は第三者への提供の停止)の請求に応じなけれ

ばならない。
２ 財団は、本人から当該本人が識別される保有個人データの利用停止等の請求に応じた場合、遅滞なくその旨を本人に通知しなければならない。
３ 財団は、本人から当該本人が識別される保有個人データの利用停止等の請求に応じなかった場合は、第56条第２項第１号から第３号に該当する場合に限定しなければならない。
４ 財団は、第56条第２項第１号から第３号のいずれかに該当する場合、本人に遅滞なくその旨を通知しなければならない。
５ 財団は、保有個人データの利用停止等を行なうとき又は利用停止等を行なわない旨の決定 をしたときは、「個 人情報の取扱い申請 書」(第８号様式)により、個人情報保護管理責任 者の承認を得なけれ ばならない。
６ 財団は、前項までの具体的な処理手続き及びその他の事項は「保有個人データ取扱い規則(世トま規則第53号)」に定める。
（J.11苦情及び相談への対応）
第59条 財団は､個人情報の取扱い及び 個人情報保護マネジ メントシステ
ムに関して、本人からの苦情及び相談を受け付けて、適切にかつ迅速な対応を行う手順を内部規定として文書化しなければならない。
２ 財団は、苦情及び相談への対応を実施しなければならない。
３ 財団は､苦情の申立て先を本人とって明確にしなければならない。
４ 財団は､認定個人情報保護団体の対 象事業者となってい る場合は、当該団体の苦情解決の申出先も明示しなければならない。
５ 財団は､本人からの苦情及び相談を 受け付けて、適切か つ迅速な対応を行うための体制を整備しなければならない。
６ 財団は、苦情相談窓口を設置し、その対応を苦情相談窓口責任者に実施させるとともに、その連絡先を財団の公式ホームページ等に公表するものとする。
７ 財団は、前項までの具体的な処理手続き及びその他の事項は「苦情相談受付処理規則(世トま規則第54号)」に定める。
（J.12違反した場合の処置）
第60条 この規程に故意に違反した財団関係者、又は自己の職務を適正に遂行していればこの規程の違反及び財団への損害を防止し得た財団関係者は、法令等及び財団の諸規定に定めるところに基づき懲戒の措置を科せられるものとする。
（J.13委任）第61条 この規程の施行に関し必要な事項は別に定める。
附

則（施行期日）
この規程は、令和５年３月15日から施行する。

附則
この規程の施行に伴い、一般財団法人世田谷トラストまちづくり個人
情報保 護マ ネジメ ン トシス テム 規程(平 成31年 ３月 １日世 ト ま規程 第89号)を廃止する。