会の動き
INFORMATION

新型コロナウイルス感染症拡大状では︑北海道全体として目標をの閣議決定で定められている︒現

国保総合・情報集約システムブロック別説明会（８月４日）

対応急務の業務を重点説明

防 止 の 観 点 か ら︑ 国 保 総 合・情 報
達成しているが︑達成していない％まであとわずかの保者 か ら 委 託 さ れ て い る﹁ 医 薬 品 利

険者も多いことから︑本会が保険保険者や集約システムブロック別説明会が書面開催され︑説明資料データと説明音声データが８月４日付けで各保険者に送付された︒
用 差 額 通 知 書﹂の 作 成 条 件 の 見 直

第３条

国保担当者が国民健康保険業務

また︑保険者努力支援制度にお第３条

しなどについて説明した︒
いて︑後発医薬品促進の取り組みと使用割合が評価の対象となって（一般）を効率的に遂行できるよう国保総合システムと国保情報集約システ
ムの運用等について︑例年︑説明を行っている︒

いるため︑加点を支援するための新規提供データや既存データの活用方法なども併せて説明した︒
国保情報集約システムについて
は︑令和３年３月から始まる医療機関の﹁オンライン資格確認﹂に向けて︑同システムにおける機能概要を含め︑被保険者の資格情報を

連合会は個人情報保護マネジメントシス（一般）

この管理策に規定する個人情報保護方針

送 付 さ れ た 資 料 は﹁ 後 発 医 薬 品︵ジェネリック︶﹂﹁外来年間合算療養費﹂﹁高額介護合算療養費﹂﹁外字︵ 被 保 険 者 氏 名 な ど の 取 り 扱 い︶﹂
﹁ 国 保 情 報 集 約 シ ス テ ム﹂﹁ 国 保 情報集約システムから出力される帳票・データ﹂
で︑それぞれ説明が行われた︒

整備することの重要性などを説明した︒併せて︑同システムにおける資格情報に関するエラーの対処方法を事例を用いて紹介した︒
担当課は両システムの運用をめぐる保険者からの質疑を取りまと

個人情報保護基本規程の一部改正について
北海道国民健康保険団体連合会

行

現

正

改

後発医薬品については︑利用促
進などについて説明︒先発医薬品に比べて薬価が安い後発医薬品を普及させることで患者および保険者の負担が軽減されることから︑
令和２年９月までに後発医薬品のめ︑９月中旬をめどに全保険者に

告
公

80

回答を提供することにしている︒

連合会は個人情報保護マネジメントシステム

２

使用割合︵数量シェア率︶ ％を達成することが目標と平成 年６月

29 80

規程第６号

北海道国民健康保険団体連合会個人情報保護基本規程（平成 31 年規程第５号）の一部を次のとおり改正する。
（傍線部分は改正個所）

第 3 条を次のように改める。

から是正措置は、理事会の承認を得なければな

テムを確立し、実施し、維持し、かつ改善する。

らない。

その要求事項については、本章に規定するところによる。

を確立し、実施し、維持し、かつ、改善する。

その要求事項については、本章に規定するとこ

ろによる。

14

ℿℽℿℽ℻ⅅ会の動き
INFORMATION

改

正

現

行

（内部向け個人情報保護方針）（内部向け個人情報保護方針）

第４条

第４条

代表者は、規定する内部向け個人情報保代表者は、個人情報保護の理念を明確に護方針に、次の各号に掲げる事項を含めなけれした上で、次の各号に掲げる事項を含む内部向ばならない。

け個人情報保護方針を確立するとともに、これを実行し、かつ維持するものとする。

(1) （略）(1) （略）(2)（新設）

個人情報の取り扱いに関する法令、国が定める指針その他の規範を遵守すること(3) （略）(2) （略）(4) （略）(3) （略）（削る）(4)

個人情報の取り扱いに関する法令、国が定める指針及びその他の規範 ( 以下「個人情報の取り扱いに関する法令等」という。) を遵守すること(5)・(6) （略）(5)・(6) （略）
２ （略）

２ （略）

（法令・国が定める指針及びその他の規範）（法令・国が定める指針及びその他の規範）

第７条

第７条

連合会は、個人情報の取扱に関する法令、連合会は、個人情報の取扱に関する法令

国が定める指針その他の規範（以下「法令等」

等を特定し、参照できる手順を確立し、かつ維という。
）を特定し、参照できる手順を確立し、持するものとする。

かつ、維持するものとする。
（リスクアセスメント及びリスク対策）（リスクアセスメント及びリスク対策）

第８条

第８条

連合会は、第６条で特定した個人情報に連合会は、第６条で特定した個人情報について、利用目的の達成に必要な範囲を超えた

ついて、目的外利用を行わないための必要な対利用を行わないため、必要な対策を講じる手順

策を講じる手順を確立し、かつ維持するものとを確立し、かつ、維持するものとする。

する。

２〜４ （略）

２〜４ （略）（個人情報保護管理者等の役割、責任及び権限）（個人情報保護管理者等の役割、責任及び権限）第９条 （略）

第９条 （略）２２

代表者は、JIS Q15001：2017 個人情報保護

代表者は、JIS Q15001：2017 個人情報保護

マネジメントシステムの内容を理解し実践する

マネジメントシステムの内容を理解し実践する能力のある個人情報保護管理者を連合会の幹部能力のある個人情報保護管理者を連合会の幹部

職員の中から指名し、個人情報保護マネジメン

職員の中から指名し、個人情報保護マネジメン

トシステムの実施及び運用に関する責任及び権トシステムの実施及び運用に関する責任及び権限を他の責任にかかわりなく与え、業務を行わ限を与え、業務を行わせるものとする。

せるものとする。
３

個人情報保護管理者は、個人情報保護マネジ
メントシステムの見直し及び改善の基礎として、代表者に個人情報保護マネジメントシステムの運用状況を報告しなければならない。

15౮Ͷઇÿ‫׷‬డ

⅛ⅽ℻⅄⅀ℾ（新設）

会の動き
INFORMATION

改４

正

代表者は、公平、かつ、客観的な立場にある

現
３

行

代表者は、公平、かつ、客観的な立場にある

個人情報保護監査責任者を連合会の役員又は幹個人情報保護監査責任者を連合会の役員又は幹部職員の中から指名し、監査の実施及び報告を

部職員の中から指名し、監査の実施及び報告を行う責任及び権限を他の責任にかかわりなく与行う責任及び権限を与え、業務を行わせるもの

え、業務を行わせるものとする。ただし、外部とする。ただし、外部の第三者に監査業務を委の第三者に監査業務を委託することを妨げない。

託することを妨げない。

５ （略）

４ （略）

６ （略）

５ （略）

（内部取扱）（内部取扱）

第 11 条 （略）第 11 条 （略）(1) 「北海道国民健康保険団体連合会個人情報(1) 「北海道国民健康保険団体連合会個人情報

取扱要綱」

取扱要綱」

ア （略）

ア （略）

イ

イ

個人情報保護リスクアセスメント及びリスク対策の手順に関すること（第８条関係）ウ〜ケ （略）

個人情報に関するリスクの認識、分析及び対策の手順に関すること（第 8 条関係）

ウ〜ケ （略）(2) 「北海道国民健康保険団体連合会個人情報(2) 「北海道国民健康保険団体連合会個人情報

保護マネジメントシステム運用管理取扱要保護マネジメントシステム運用管理取扱要綱」

綱」

ア・イ （略）ア・イ （略）ウウ

文書化した情報の管理に関すること（第40 条及び第 41 条関係）

個人情報保護マネジメントシステム文書の管理に関すること（第 40 条及び第 41 条
関係）エ

是正処置に関すること（第 46 条関係）エ

是正措置に関すること（第 46 条関係）

オ

マネジメントレビューに関すること（第オ

個人情報マネジメントシステムの代表者による見直しに関すること（第 45 条関係）

45 条関係）カ〜ケ （略）カ〜ケ （略）(3) （略）(3) （略）(4) 「北海道国民健康保険団体連合会個人情報(4) 「北海道国民健康保険団体連合会個人情報保護苦情相談対応マニュアル」

保護苦情相談対応マニュアル」

アア

本人からの開示等の請求などへの対応に関すること（第 32 条関係）

関すること
（第 32 条関係）
イ・ウ （略）(5) 「北海道国民健康保険団体連合会個人情報

本人からの開示請求等の求めへの対応に

イ・ウ （略）(5) 「北海道国民健康保険団体連合会個人情報

保護教育取扱要綱」

保護教育取扱要綱」

アア

教育などに関すること（第 38 条関係）

個人情報保護の教育に関すること
（第 38
条関係）

イ （略）
(6) 「北海道国民健康保険団体連合会内部監査

イ （略）(6) 「北海道国民健康保険団体連合会内部監査

取扱要綱」

取扱要綱」

ア

ア

点検に関すること（第 43 条関係）

個人情報保護の点検に関すること
（第 43
条関係）
ℿℽℿℽ℻ⅅ16

会の動き
INFORMATION

改

正

現

イ・ウ （略）行

イ・ウ （略）(7) 「北海道国民健康保険団体連合会服務規程」(7) 「北海道国民健康保険団体連合会服務規程」

内部取扱の違反に関する罰則の規定

内部取扱の違反に対する懲戒処分に関すること(8) 〜 (10) （略）(8) 〜 (10) （略）
２ （略）

２ （略）

３

３

連合会は、事業の内容に応じて、個人情報保連合会は、個人情報保護マネジメントシステ

護マネジメントシステムが確実に適用されるよムが確実に事業内容に適用されるように内部取

うに内部取扱を改定するものとする。

扱を改定するものとする。

４ （略）

４ （略）

（緊急事態への準備）（緊急事態への準備）

第 13 条 （略）第 13 条 （略）２２

連合会は、個人情報保護リスクを考慮し、そ連合会は、個人情報保護リスクを考慮し、その影響を最小限とするための手順を確立し、かの影響を最小限とするための手順を確立し、かつ、維持する。また、連合会は緊急事態が発生つ維持する。また、緊急事態が発生した場合にした場合に備え、次の各号に掲げる事項を含む

備え、次の各号に掲げる事項を含む対応手順を

対応手順を確立し、かつ、維持するものとする。

確立し、かつ維持するものとする。

(1)

(1)

漏えい、滅失又はき損が発生した個人情報

漏えい、滅失又はき損が発生した内容を本の内容を本人に速やかに通知するか、又は本人に速やかに通知し、又は本人が容易に知り人が容易に知り得る状態に置くことえる状態に置くこと(2)

二次被害の防止、類似事案の発生回避等の(2)

二次被害の防止、類似事案の発生回避等の観点から、可能な限り事実関係、発生原因及ため、可能な限り事実関係、発生原因及び対び対応策を遅滞なく公表すること

応策を遅滞なく公表すること(3) （略）(3) （略）（要配慮個人情報）（要配慮個人情報）

第 17 条

第 17 条連合会は、新たに要配慮個人情報を取得

連合会は、新たに要配慮個人情報を取得する場合、あらかじめ書面による本人の同意をする場合、あらかじめ書面による本人の同意を得ないで、要配慮個人情報を取得してはならな得なければならない。ただし、次に掲げるいずい。ただし、次に掲げるいずれかに該当する場

れかに該当する場合には、書面による本人の同合には、書面による本人の同意を得ることを要

意を得ることを要しない。

しない。
(1) 〜 (5)２略

連合会は、要配慮個人情報の利用又は提供に(1) 〜 (5)２略

連合会は、要配慮個人情報の利用又は提供についても、前項と同様に実施するものとする。

ついても、前項と同様に実施するものとする。

さらに、要配慮個人情報のデータの提供についさらに、要配慮個人情報のデータの提供についても、同様に実施する。ただし、提供する場合ても、同様に実施する。

に書面により本人の同意を得ることを要しないのは、同条第 1 項第 1 号から第 4 号の場合のみとする。
（個人情報を取得した場合の措置）
17౮Ͷઇÿ‫׷‬డ

⅛ⅽ℻⅄⅀ℾ（個人情報を取得した場合の措置）

会の動き
INFORMATION

改第 18 条正連合会は、個人情報を取得した場合は、

現第 18 条行

連合会は、個人情報を取得した場合は、

あらかじめ、その利用目的を公表している場合

あらかじめ、その利用目的を公表している場合

を除き、速やかに、その利用目的を本人に通知を除き、速やかに、その利用目的を本人に通知するか、又は公表するものとする。ただし、次又は公表するものとする。ただし、次に掲げるに掲げるいずれかに該当する場合には、本人へいずれかに該当する場合には、本人への利用目の利用目的の通知又は公表を要しない。

的の通知又は公表は要しない。

(1) 〜 (4)(1) 〜 (4)略略

（本人から直接書面によって取得する場合の措（本人から直接書面によって取得する場合の措置）

置）

第 19 条連合会は、第 18 条の措置を講じた場合

第 19 条連合会は、第 18 条の措置を講じた場合において、本人から書面（電子的方式、磁気的において本人から書面（電子的方式、磁気的方方式など人の知覚によっては認識できない方式

式など人の知覚によっては認識できない方式でで作られる記録を含む。以下同じ。）に記載され作られる記録を含む。以下同じ。
）に記載された個人情報を直接取得する場合には、少なくとた個人情報を直接取得する場合には、少なくとも、次の各号に掲げる事項又はそれと同等以上

も、次の各号に掲げる事項又はそれと同等以上の内容の事項を、あらかじめ、書面によって本の事項を、あらかじめ、書面によって本人に明人に明示し書面によって本人の同意を得なけれ

示し書面によって本人の同意を得なければならばならない。

ない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合、又は第 18 条
ただし書第１号から第４号までのいずれかに該当する場合は、本人に明示し、本人の同意を得ることを要しない。

(1) 〜 (3) （略）(1) 〜 (3) （略）

(4)

(4)

個人情報を第三者に提供することが予定さ

個人情報を第三者に提供されることが予定れる場合の事項される場合の事項

ア〜ウ （略）ア〜ウ （略）エエ

当該情報の提供を受ける者又は提供を受及び属性ける者の組織の種類及び属性
オ （略）当該情報の提供を受ける者の組織の種類

オ （略）(5) （略）(5) （略）(6)(6)

第 34 条から第 37 条までに該当する場合に第 34 条から第 37 条までに該当する場合には、その求めに応じる旨及び問合せ窓口

は、その請求等に応じる旨及び問合せ窓口(7) （略）(7) （略）(8)(8)

本人が容易に認識できない方法により個人情報を取得する場合にはその旨。ただし、人本人が容易に認識できない方法により個人情報を取得する場合にはその旨の生命、身体若しくは財産の保護のために緊急に必要がある場合又は第 18 条ただし書の各号のいずれかに該当する場合は、本人に明示し本人の同意を得ることを要しない（利用に関する措置）（利用に関する措置）

第 20 条

第 20 条連合会は、特定した利用目的の達成に必連合会は、特定した利用目的の達成に必ℿℽℿℽ℻ⅅ18

会の動き
INFORMATION

改

正

現

行

要な範囲内で個人情報を利用するものとする。

要な範囲内で個人情報を利用するものとし、目特定した利用目的の達成に必要な範囲を超えて的外利用は禁止する。

個人情報を利用する場合は、あらかじめ、少な
くとも、第 19 条第 1 号から第 6 号に示す事項
又はそれと同等以上の内容の事項を本人に通知
し、本人の同意を得なければならない。ただし、第 17 条第 1 項第 1 号から第 4 号のいずれかに該当する場合には、本人の同意を得ることを要
しない。
２ （略）

２ （略）

（本人に連絡又は接触する場合の措置）（本人に連絡又は接触する場合の措置）

第 21 条

第 21 条連合会は、個人情報を利用して本人に連絡又は接触する場合は、本人に対して第 19 条

絡又は接触することを禁止する。

第 1 号から第 6 号までに示す事項又はそれと同等以上の内容の事項及び取得方法を通知し、本人の同意を得なければならない。ただし、次の各号に掲げるいずれかに該当する場合は、本人に通知し、本人の同意を得ることを要しない。
(1)

第 19 条第 1 号から第 6 号に示す事項又は（新設）

それと同等以上の内容の事項を明示又は通知し、既に本人の同意を得ているとき(2)

個人情報の取り扱いの全部又は一部を委託（新設）された場合であって、当該個人情報を、その利用目的の達成に必要な範囲で取り扱うとき(3)

合併その他の事由による事業の承継に伴っ（新設）て個人情報が提供され、個人情報を提供する組織が既に第 19 条第１号から第 6 号に示す事項又はそれと同等以上の内容の事項を明示又は通知し、本人の同意を得ている場合であって承継前の利用目的の範囲内で当該個人情報を取り扱うとき(4)

個人情報が特定の者との間で共同して利用され、共同して利用する者が既に第 19 条第１号から第６号に示す事項又はそれと同等以上の内容の事項を明示又は通知し、本人の同意を得ている場合であって、次に示す事項又はそれと同等以上の内容の事項を、あらかじめ本人に通知するか、又は本人が容易に知り得る状態に置いているとき（以下「共同利用」
という｡）

19

ア

共同して利用することイ

共同して利用される個人情報の項目౮Ͷઇÿ‫׷‬డ

⅛ⅽ℻⅄⅀ℾ

連合会は、個人情報を利用して本人に連

（新設）

会の動き
INFORMATION

改

正

ウ

共同して利用する者の範囲

エ

共同して利用する者の利用目的

オ

共同して利用する個人情報の管理につい

現

行て、責任を有する者の氏名又は名称
カ
(5)

取得方法
第 18 条第４号に該当するため、利用目的（新設）などを本人に明示、通知又は公表することなく取得した個人情報を利用して、本人に連絡又は接触するとき(6)

第 17 条第１項のただし書に掲げる第１号（新設）

から第４号のいずれかに該当する場合（削る）

２

個人情報を利用して本人に連絡又は接触する
場合は、あらかじめ本人に対して第 19 条第１号
から第６号までに示す事項又はそれと同等以上の内容の事項及び取得方法を通知し、本人の同意を得なければならない。ただし、次の各号に掲げるいずれかに該当する場合は、本人に通知
し、本人の同意を得ることを要しない。

(1)

第 19 条第１号から第６号までに示す事項
又はそれと同等以上の内容の事項を明示又は通知し、既に本人の同意を得ているとき(2)

個人情報の取り扱いの全部又は一部を委託された場合であって、当該個人情報を、その利用目的の達成に必要な範囲で取り扱うとき(3)

合併その他の事由による事業の承継に伴って個人情報が提供され、個人情報を提供する組織が既に第 19 条第１号から第６号に示す事項又はそれと同等以上の内容の事項を明示し、又は通知し、本人の同意を得ている場合であって、承継前の利用目的の範囲内で当該個人情報を取り扱うとき(4)

個人情報が特定の者との間で共同して利用され、共同して利用する者が既に第 19 条第１号から第６号までに示す事項又はそれと同等以上の内容の事項を明示又は通知し、本人の同意を得ている場合であって、次に示す事
項又はそれと同等以上の内容の事項を、あら
かじめ本人が容易に知り得る状態に置いているとき

ア

共同して利用することイ

共同して利用される個人情報の項目

ウ

共同して利用する者の範囲

エ

共同して利用する者の利用目的ℿℽℿℽ℻ⅅ20

会の動き
INFORMATION

改

正

現
オ

行

共同して利用する個人情報の管理について、責任を有する者の氏名又は名称

カ

取得方法

(5)

第 18 条第４号に該当するとき(6)

第 17 条第１項ただし書き第１号から第４号までのいずれかに該当するとき

２ （略）

３ （略）

（個人データの提供に関する措置）（個人データの提供に関する措置）

第 22 条 連合会は、個人データを第三者に提供す

第 22 条 連合会は、個人情報を第三者に提供するる場合には、あらかじめ本人に対して第 19 条

ことを禁止する。

第 1 号から第 4 号に示す事項又はそれと同等以上の内容の事項、及び取得方法を通知し、本人の同意を得なければならない。ただし、次に掲
げるいずれかに該当する場合は、本人に通知し、本人の同意を得ることを要しない。
(1)

第 19 条又は第 21 条の規定によって既に第（新設）

19 条第１号から第４号までの事項又はそれと同等以上の内容の事項を本人に明示又は通知
し、本人の同意を得ているとき(2)

本人の同意を得ることが困難な場合であっ（新設）て、法令等が定める手続きに基づいた上で、次に示す事項又はそれと同等以上の内容の事
項を、あらかじめ、本人に通知するか、又はそれに代わる同等の措置を講じているとき
ア

第三者への提供を利用目的とすること

イ

第三者に提供される個人データの項目

ウ

第三者への提供の手段又は方法

エ

本人の請求などに応じて当該本人が識別される個人データの第三者への提供を停止
すること

オ

取得方法

カ

本人からの請求などを受け付ける方法(3)

法人その他の団体に関する情報に含まれる（新設）

当該法人その他の団体の役員及び株主に関する情報であって、かつ、本人又は当該法人その他の団体自らによって公開又は公表された情報を提供する場合であって、前号で示す事
項又はそれと同等以上の内容の事項を、あら
かじめ本人に通知し、又は本人が容易に知り得る状態に置いているとき(4)

特定した利用目的の達成に必要な範囲内において、個人データの取り扱いの全部又は一21౮Ͷઇÿ‫׷‬డ

⅛ⅽ℻⅄⅀ℾ（新設）

会の動き
INFORMATION

改

正

現

行

部を委託するとき(5)

合併その他の事由による事業の承継に伴っ（新設）て個人データを提供する場合であって、承継前の利用目的の範囲内で当該個人データを取
り扱うとき
(6)

個人データを共同利用している場合であっ（新設）て、共同して利用する者の間で、第 21 条に規定する共同利用することについて契約によって定めているとき(7)

第 17 条第１項のただし書に掲げる第１号（新設）

から第４号のいずれかに該当するとき（削る）

２

個人情報を第三者に提供する場合には、あらかじめ本人に対して、第 19 条第１号から第４号までに示す事項又はそれと同等以上の内容の事
項、及び取得方法を通知し、本人の同意を得なければならない。ただし、次の各号に掲げるいずれかに該当する場合は、本人に通知し、本人の同意を得ることを要しない。
(1)

第 19 条又は第 21 条の規定によって既に第
19 条第１号から第４号までの事項又はそれと同等以上の内容の事項を本人に明示又は通知
し、本人の同意を得ているとき(2)

本人の同意を得ることが困難な場合であって、法令等が定める手続きに基づいた上で、次に示す事項又はそれと同等以上の内容の事
項を、あらかじめ、本人に通知すること、又はそれに代わる同等の措置を講じているとき

ア

第三者への提供を利用目的とすること

イ

第三者に提供される個人データの項目

ウ

第三者への提供の手段又は方法

エ

本人の請求などに応じて当該本人が識別される個人データの第三者への提供を停止
すること

オ

取得方法

カ

本人からの請求などを受け付ける方法(3)

法人その他の団体に関する情報に含まれる
当該法人その他の団体の役員及び株主に関する情報であって、かつ、本人又は当該法人その他の団体自らによって公開又は公表された情報を提供する場合であって、前号で示す事
項又はそれと同等以上の内容の事項を、あら
かじめ本人に通知し、又は本人が容易に知り得る状態に置いているときℿℽℿℽ℻ⅅ22

会の動き
INFORMATION

改

正

現
(4)

行

特定した利用目的の達成に必要な範囲内において、個人データの取り扱いの全部又は一部を委託するとき(5)

合併その他の事由による事業の承継に伴って個人データを提供する場合であって、承継前の利用目的の範囲内で当該個人データを取
り扱うとき

(6)

個人データを共同して利用している場合であって、共同して利用する者の間で、第 21条に規定する共同して利用することについて契約によって定めているとき

ア

共同して利用することイ

共同して利用される個人情報の項目

ウ

共同して利用する者の範囲

エ

共同して利用する者の利用目的

オ

共同して利用する個人情報の管理について、責任を有する者の氏名又は名称

カ
(7)

取得方法
第 17 条第１項ただし書き第１号から第４号までのいずれかに該当するとき。
２ （略）

３ （略）

（外国にある第三者への提供の制限）（外国にある第三者への提供の制限）

第 23 条

第 23 条連合会は、法令等の定めに基づき、外連合会は、法令等の定めに基づき、外国にある第三者に個人データを提供する場合に国にある第三者に個人データを提供する場合には、あらかじめ外国にある第三者への提供を認

は、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得るものとする。ただし、める旨の本人の同意を得るものとする。ただし、第 17 条第１項第１号から第４号までのいずれ

第 17 条第１号から第４号までのいずれかに該かに該当する場合及びその他法令などによって当する場合及びその他法令などによって除外事

除外事項が適用される場合には、本人の同意を項が適用される場合には、本人の同意を得るこ得ることを要しない。

とを要しない。

（第三者提供に係る記録の作成など）（第三者提供に係る記録の作成など）

第 24 条

第 24 条連合会は、個人データを第三者に提供し連合会は、個人データを第三者に提供したときは、法令等の定めるところによって記録たときは、法令等の定めるところによって記録を作成し、保管しなければならない。ただし、を作成し、保管しなければならない。ただし、第 17 条第１項第１号から第４号のいずれかに次に掲げるいずれかに該当する場合は、記録の該当する場合、又は次に掲げるいずれかに該当作成を要しない。

する場合は、記録の作成を要しない。
(1)

（削る）

第 17 条第１項第１号から第４号までのいずれかに該当する場合

23(1) （略）(2) （略）(2) （略）(3) （略）౮Ͷઇÿ‫׷‬డ

⅛ⅽ℻⅄⅀ℾ

会の動き
INFORMATION

改
(3)

正

現

特定の者との間で共同して利用される個人(4)

行

特定の者との間で共同して利用される個人データが、当該特定の者に提供される場合でデータが、当該特定の者に提供される場合であって、その旨並びに共同して利用される個

あって、その旨並びに共同して利用される個

人データの項目、共同して利用する者の範囲、人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称

管理について責任を有する者の氏名又は名称について、あらかじめ本人に通知するか、又について、あらかじめ本人に通知し、又は本は本人が容易に知り得る状態に置いていると人が容易に知り得る状態に置いているときき（匿名加工情報）（匿名加工情報）

第 26 条

第 26 条連合会は、匿名加工情報の取り扱いを行

わないものとする。

わないものとする。
２

連合会は、やむを得ず匿名加工情報を取り扱連合会は、匿名加工情報の取り扱いを行（新設）

う場合には、本人の権利利益に配慮し、かつ、
法令等の定めるところによって適切な取扱いを行う手順を確立し、かつ、維持しなければならない。
（正確性の確保）（正確性の確保）

第 27 条 （略）第 27 条 （略）２２

連合会は、個人データを利用する必要がなく

個人データを利用する必要がなくなったときなったときは、当該個人データを遅滞なく消去

は、当該個人データを遅滞なく消去するものとするものとする。

する。

（委託先の監督）（委託先の監督）

第 30 条 （略）第 30 条 （略）２２

連合会は、個人データの取り扱いの全部又は連合会は、個人データの取り扱いの全部又は一部を委託する場合、十分な個人データの保護一部を委託する場合、十分な個人データの保護水準を満たしている者を選定しなければならな水準を満たしている者を選定するための基準をい。このため、委託を受ける者を選定する基準

確立するのものとする。なお、委託を受ける者を確立するものとする。委託を受ける者を選定を選定する基準には、少なくとも委託する当該する基準には、少なくとも委託する当該業務に業務に関して連合会と同等以上の個人情報保護

関して、連合会と同等以上の個人情報保護の水水準にあることを客観的に確認できるものとす

準にあることを客観的に確認できることを含める。

なければならない。
３・４ （略）

３・４ （略）５５

連合会は、当該契約書などの書面を少なくと連合会は、当該契約書などの書面を個人デー

も個人データの保有期間にわたって保存する。

タの保有期間にわたって保存する。

（個人情報に関する権利）（個人情報に関する権利）

第 31 条

第 31 条連合会は、保有個人データに関して本人から開示等の請求書を受け付けた場合は、第 34

連合会は、保有個人データに関して本人から開示等の請求書を受け付けた場合は、第 34ℿℽℿℽ℻ⅅ24

会の動き
INFORMATION

改

正

現

行

条から第 37 条までの規定によって、遅滞なく条から第 37 条までの規定によって、遅滞なくこれに応じなければならない。

これに応じなければならない。
ただし、次に掲げるいずれかに該当する場合

ただし、次に掲げるいずれかに該当する場合
は、保有個人データには当たらない。

は、開示等の請求に応じないことができる。

(1) 〜 (4) （略）(1) 〜 (4) （略）

２・３ （略）

２・３ （略）（開示等の請求などに応じる手続き）（開示等の請求などに応じる手続き）

第 32 条 （略）第 32 条 （略）(1) （略）(1) （略）(2)(2)

開示等の請求に際して提出すべき書面の様開示等の求めに際して提出すべき書面の様式、その他の開示等の請求などの方式

式、その他の開示等の請求などの方式(3)・(4) （略）(3)・(4) （略）
２・３ （略）

２・３ （略）（保有個人データに関する事項の周知など）（保有個人データに関する事項の周知など）

第 33 条連合会は、当該保有個人データに関し、

第 33 条 連合会は、取得した個人情報が保有個人

次の各号に掲げる事項を本人の知り得る状態

データに該当する場合は当該保有個人データに（本人の請求などに応じて遅滞なく回答する場

関し、次の各号に掲げる事項を本人の知り得る合を含む。
）に置くものとする。

状態（本人の求めに応じて遅滞なく回答する場
合を含む。）に置くものとする。

(1) （略）(1) （略）(2)(2)

個人情報保護管理者（若しくはその代理人）

個人情報保護管理者の氏名、職名、所属及び連絡先の氏名、職名、所属及び連絡先
(3)

(3)

全ての保有個人データの利用目的（第 18 条

当該保有個人データの利用目的（第 18 条第1 号から第 3 号までに該当する場合を除く。）

第 1 号から第 3 号までに該当する場合を除く。
）(4)・(5) （略）(4)・(5) （略）２（削る）

取得した個人データが保有個人データに該当する場合は、当該保有個人データに関し前項各号の内容をホームページの掲示等により本人の知り得る状態に置き、また本人からの求めがあった場合は苦情処理責任者が遅滞なく回答を行う
ものとする。

25（保有個人データの利用目的の通知）（保有個人データの利用目的の通知）

第 34 条

第 34 条連合会は、本人から、当該本人が識別さ連合会は、本人から、当該本人が識別される保有個人データについて、利用目的の通知れる保有個人データについて、利用目的の通知を求められた場合には、遅滞なくこれに応じなを求められた場合には、遅滞なくこれに応じなければならない。ただし、第 18 条第１号からければならない。ただし、第 18 条第１号から第３号までのいずれかに該当する場合、又は第第３号までのいずれかに該当する場合、又は第33 条第３号によって、当該本人が識別される保33 条第３号によって、当該本人が識別される保有個人データの利用目的が明らかな場合は、利

有個人データの利用目的が明らかな場合は、利౮Ͷઇÿ‫׷‬డ

⅛ⅽ℻⅄⅀ℾ

会の動き
INFORMATION

改

２

正

現

行

用目的の通知を必要としないが、そのときは、用目的の通知をしないことができるが、そのと本人に遅滞なくその旨を通知するとともに、理きは、本人に遅滞なくその旨及びその理由を通由を説明しなければならない。

知するものとする。

利用目的の回答内容の承認は、従業者からの

２

利用目的の回答の要否及び内容については、
苦情相談記録票に基づき個人情報保護管理者がのとする。

判断するものとする。

３

申請に基づき個人情報保護管理者が承認するも第１項ただし書きにある、本人に当該個人情

３第１項ただし書きに規定する利用目的の通知報に関わる利用目的について除外事項として通の要否については、苦情相談記録票に基づき個知しないとする判断は、従業者からの申請に基人情報保護管理者が判断するものとする。

づき、個人情報保護管理者が判断し承認するものとする。
（保有個人データの開示）( 保有個人データの開示 )第 35 条

第 35 条連合会は、本人から、当該本人が識別連合会は、本人から、当該本人が識別される保有個人データの開示（当該本人が識別される保有個人データの開示（当該本人が識別される保有個人データが存在しないときにそのされる保有個人データが存在しないときにその旨を知らせることを含む。）の請求を受けたとき

旨を知らせることを含む。）の請求を受けたときは、法令の規定によって特別の手続きが定めは、法令の規定によって特別の手続きが定めらられている場合を除き、本人に対し遅滞なく、れている場合を除き、本人に対し遅滞なく、当当該保有個人データを書面（開示の請求などを該保有個人データを書面（開示の求めを行った

行った者が同意した方法があるときは、当該方者が同意した方法があるときは、当該方法）に法）によって開示するものとする。ただし、開よって開示するものとする。ただし、開示する示することによって次の各号に掲げるいずれか

ことによって次の各号に掲げるいずれかに該当に該当する場合は、その全部又は一部を開示すする場合は、全部又は一部を開示しないことがる必要はないが、そのときは、本人に遅滞なくできるが、そのときは、本人に遅滞なくその旨その旨を通知するとともに、理由を説明しなけ及びその理由を通知するものとする。

ればならない。
(1) 〜 (3) （略）２

保有個人データの開示の回答内容は、従業者(1) 〜 (3) （略）２

保有個人データの開示又は非開示の回答内容
は、苦情相談記録票に基づき個人情報保護管理

報保護管理者が判断し承認するものとする。

者が判断するものとする。

３からの申請（苦情・相談記録票）に基づき個人情
第１項ただし書きにある、本人に当該個人情

３第１項ただし書きに規定する事項に該当する報に関わる利用目的について除外事項として開か否かは、苦情相談記録票に基づき個人情報保示しないとする判断は、従業者からの申請（苦情・

護管理者が判断するものとする。

相談記録票）に基づき個人情報保護管理者が判断し承認するものとする。
（保有個人データの訂正、追加又は削除）（保有個人データの訂正、追加又は削除）

第 36 条 （略）第 36 条 （略）２

２

保有個人データの訂正、追加又は削除の回答

保有個人データの訂正等は、苦情相談記録票

内容の承認は、従業者からの申請（苦情・相談に基づき個人情報保護管理者が判断するものと記録票）に基づき個人情報保護管理者が判断しする。

承認するものとする。
ℿℽℿℽ℻ⅅ26

会の動き
INFORMATION

改３

正

保有個人データを訂正しないとする回答の承

現

行

（新設）

認は、従業者からの申請（苦情・相談記録票）に基づき個人情報保護管理者が判断し承認するものとする。
（保有個人データの利用又は提供の拒否権）（保有個人データの利用又は提供の拒否権）

第 37 条

第 37 条２

連合会が、本人から当該本人が識別され連合会が、本人から当該本人が識別される保有個人データの利用停止、消去又は第三者る保有個人データの利用停止、消去又は第三者への提供の停止（以下、この条において「利用への提供の停止（以下、この条において「利用停止等」という。
）の請求を受けた場合は、これ停止等」という。）の請求を受けた場合は、これに応じなければならない。また、措置を講じたに応じなければならない。また、利用停止等の後は、遅滞なくその旨を本人に通知しなければ措置を講じた後は、遅滞なくその旨を本人に通ならない。ただし、第 35 条第１項各号のいず知しなければならない。ただし、第 35 条第１

れかに該当する場合は利用停止等を行う必要は項第１号から第３号までのいずれかに該当する

ないが、そのときは、本人に遅滞なくその旨を場合は利用停止等を行わないことができるが、通知するとともに、理由を説明しなければならそのときは、本人に遅滞なくその旨及び理由をない。

通知するものとする。

保有個人データの利用停止、消去の回答内容

２

保有個人データの利用停止等の回答内容は、の承認は、従業者からの申請（苦情・相談記録票）

苦情相談記録票に基づき個人情報保護管理者がに基づき個人情報保護管理者が判断し承認する

判断するものとする。

ものとする。
３第１項ただし書きにある、本人に当該個人情

３第１項ただし書きに規定する本人に当該個人報に関わる利用目的について除外事項として利データに関わる利用目的について除外事項とし用停止等をしないとする判断は、従業者からのて利用停止等をしないとする判断は、苦情相談

申請（苦情・相談記録票）に基づき個人情報保護

記録票に基づき個人情報保護管理者が行うもの

管理者が判断し承認するものとする。

とする。

（教育）

（教育）

第 38 条連合会は、従業者が次の各号に掲げる認第 38 条 連合会は、全ての従業者に対する教育を識をもつために、関連する各部門及び階層にお少なくとも年一回、適宜に行うものとする。

ける手順を確立し、実施し、かつ、維持するも
のとする。
(1)

個人情報保護方針（内部向け個人情報保護（新設）

方針及び外部向け個人情報保護方針）(2)

個人情報保護マネジメントシステムに適合（新設）することの重要性及び利点(3)

個人情報保護マネジメントシステムに適合（新設）するための役割及び責任(4)

個人情報保護マネジメントシステムに違反（新設）した際に予想される結果
２

27

連合会は、認識させる手順に全ての従業者に

２

連合会は、従業者が次の各号に掲げる認識を対する教育を少なくとも年一回、適宜に行うももつために、関連する各部門及び階層におけるのとする。

手順を確立し、実施し、かつ維持するものとする。

౮Ͷઇÿ‫׷‬డ

⅛ⅽ℻⅄⅀ℾ

会の動き
INFORMATION

改

正

現

（削る）

(1)

行

内部向け個人情報保護方針及び外部向け個
人情報保護方針(2)（削る）

個人情報保護マネジメントシステムに適合することの重要性及び利点

(3)

（削る）

個人情報保護マネジメントシステムに適合するための役割及び責任

(4)

（削る）

個人情報保護マネジメントシステムに違反した際に予想される結果

３ （略）

３ （略）

（文書化する情報の範囲）（文書化する情報の範囲）

第 39 条

第 39 条連合会は、次の個人情報保護マネジメン

連合会は、次の個人情報保護マネジメン

トシステムの基本となる要素を書面で記述する

トシステムの基本となる要素を文書化するものものとする。

とする。

(1) 〜 (6) （略）(1) 〜 (6) （略）（文書化した情報（記録を除く。
）の管理）（文書化した情報（記録を除く。）の管理）

第 40 条 （略）第 40 条 （略）２２

文書化した情報（記録を除く。
）管理の手順に文書化した情報管理の手順には、次の各号に掲げる事項が含まれなければならない。

は、次の各号に掲げる事項が含まれなければな
らない。
(1)

(1)

文書化した情報（記録を除く。）の発行及び文書化した情報の発行及び改訂に関すること改正に関すること(2)(2)

文書化した情報（記録を除く。）の改正の内文書化した情報の改正の内容と版数との関連付けを明確にすること

容と版数との関連付けを明確にすること
(3)

(3)

必要な文書化した情報（記録を除く。）が必必要な文書化した情報が必要なときに容易に参照できること

要なときに容易に参照できること（文書化した情報のうち記録の管理）（文書化した情報のうち記録の管理）

第 41 条

第 41 条連合会は、個人情報保護マネジメントシ

連合会は、個人情報保護マネジメントシ

ステム及びこの規格の要求事項への適合を実証

ステム及びこの規程の要求事項への適合を実証するために必要な記録として、次に掲げる事項するために必要な記録として、次に掲げる事項

を含む記録を作成し、かつ、維持するものとすを含む記録を作成し、維持するものとする。

る。
(1)・(2) （略）(1)・(2) （略）

(3)

(3)

個人情報保護リスク認識、分析及び対策に

個人情報保護リスク認識、分析及び対策に関すること(4) 〜 (12) （略）(4) 〜 (12) （略）

２

関する記録
連合会は、記録の管理についての手順を確立

２

連合会は、記録の取り扱いについての手順をし、実施し、かつ、維持するものとする。

確立し、実施し、かつ維持するものとする。

（苦情及び相談への対応）（苦情及び相談への対応）

第 42 条

第 42 条連合会は、個人情報の取り扱い及び個人連合会は、個人情報の取り扱い及び個人ℿℽℿℽ℻ⅅ28

会の動き
INFORMATION

改

正

現

行

情報保護マネジメントシステムに関して、本人情報保護マネジメントシステムに関して、本人から苦情及び相談を受け付けて、適切かつ迅速から苦情及び相談を受け付けて、適切かつ迅速な対応を行う手順を確立し、かつ、維持するもな対応を行う手順を確立し、実施し、かつ維持のとする。

するものとする。

２ （略）

２ （略）

（運用の確認）（運用の確認）第 43 条

第 43 条連合会は、個人情報保護マネジメントシ

連合会は、個人情報保護マネジメントシ

ステムが適切に運用されていることが各部門及ステムが適切に運用されていることを各部門及び階層において定期的及び適宜に確認するため

び階層において定期的に及び適宜に確認するたの手順を確立し、実施し、かつ、維持するもの

めの手順を確立し、かつ維持するものとする。

とする。
２・３ （略）

２・３ （略）（マネジメントレビュー）（マネジメントレビュー）

第 45 条

第 45 条代 表 者 は、 連 合 会 の マ ネ ジ メ ン ト レ

代表者は、連合会のマネジメントシステ

ビューを実施するために少なくとも年一回（4

ムが、引き続き適切、妥当かつ有効であること

月）及び適宜に個人情報保護マネジメントシスを確実にするために、少なくとも年一回（4 月）

テムを見直すものとする。

及び適宜に個人情報保護マネジメントシステムを見直すものとする。

２

マネジメントレビューにおいては、次の事項

２

マネジメントレビューにおいては、次の事項を考慮するものとする。

を考慮しなければならない。

(1) 〜 (3) （略）(1) 〜 (3) （略）

(4)

(4)

個人情報の取り扱いに関する法令、国の定

個人情報の取り扱いに関する法令等の改正状況

める指針その他の規範の改正状況(5) 〜 (8) （略）(5) 〜 (8) （略）（是正処置）（是正処置）

第 46 条 （略）第 46 条 （略）(1)

不適合の内容を確認する(1)

不適合の内容を確認すること。

(2)

不適合の原因を特定し、是正処置を立案す(2)

不適合の原因を特定し、是正処置を立案す
ること。

る
(3)

期限を定め、立案された処置を実施する(3)

期限を定め、立案された適切な処置を実施
すること。

(4)

実施された是正処置の結果を記録する(4)実施された是正処置の結果を記録すること。

(5)

実施された是正処置の有効性をレビューす

則

この規程は、公布の日から施行する。

29౮Ͷઇÿ‫׷‬డ

実施された是正処置の有効性をレビューす
ること。

る
附

(5)

⅛ⅽ℻⅄⅀ℾ