個人情報取扱規程
第１章

総則

（目的）
第１条 本規程は、特定非営利活動法人消費者支援機構関西（以下、当機構）が、「個人情報の保護に関する法律」及びその他関係法令・ガイドラインに基づき、当機構の取扱う個人データの適正な取扱いを確保するために定める。
なお、「行政手続における特定の個人を識別するための番号の利用等に関する法律」に基づく個人番号やその内容を含む個人情報に関しては、当機構の「特定個人情報取扱規程」において、別途定めるところに従うものとする。
（定義）
第２条 本規程において、用語の定義は、他に特段の定めのない限り「個人情報の保護に関する法律」及びその他の関係法令の定めに従う。なお、以下の用語に定義については、それぞれ当該各号に定めるところによる。
一 「従業者」とは、当機構の事務局にあって当機構の業務に従事している者及び理事・監事等の役員をいう。
二 「事務取扱担当者」とは、当機構の事務局にあって個人データを取扱う事務に従事する者をいう。
三 「事務取扱責任者」とは、当機構の個人データの管理に関する責任を担う者をいう。
四 「法」とは、「個人情報の保護に関する法律」をいう。
五 「政令」とは、「個人情報の保護に関する法律施行令」をいう。
六 「規則」とは、個人情報保護委員会が定める規則をいう。
七 「ガイドライン」とは、「個人情報の保護に関する法律についてのガイドライン（通則編）」をいう。

第２章
第１節

安全管理措置

組織的安全管理措置（組織体制）
第３条 当機構は、事務局にあって当機構の業務に従事している者を事務取扱担当者とする。
２ 事務取扱責任者には、事務取扱担当者のうち、事務局長をもってこれにあてるものとする。
（事務取扱責任者の責務）
第４条 事務取扱責任者は、当機構における個人情報の取得及び個人データの保護管理に関する業務を統括するとともに、本規程に定められた事項を理解し、遵守し、事務取扱担当者に本規程を遵守させるための教育訓練、安全対策の実施並びに周知徹底等の措置を実施する責任を負う。
２ 事務取扱責任者は、個人データが、本規程及び別途定める運用ルールに基づき適正に取扱われるよう、事務取扱担当者に対して必要かつ適切な監督を行うものとする。
（事務取扱担当者の任務）
第５条 事務取扱担当者は、当機構の個人データの取扱い又は委託処理等、個人データを取扱う業務に従事する際、法、政令及び規則並びに関連法令、ガイドライン、本規程及び別途定める運用ルール並びに事務取扱責任者の指示した事項に従い、個人データの保護に十分な注意を払ってその業務を行うものとする。
２ 事務取扱担当者は、個人情報の漏えい等、法、政令及び規則並びに関連法令、ガイドライン、本規程及び別途定める運用ルールに違反している事実又は兆候を把握した場合、速やかに事務取扱責任者に報告するものとする。
（取扱い状況の確認と改善）
第６条 事務取扱責任者は、一年に一回以上の頻度で、当機構の個人データの取扱い又は委託処理等個人データを取扱う業務が、法、政令及び規則並びに関連法令、ガイドライン、本規程及び別途定める運用ルールに基づき適切に実施されているか確認をするものとする。
２ 事務取扱責任者は、前項の確認の結果に基づき、安全管理措置を評価し、改善に取り組むものとする。
（情報漏えい事案等への対応）
第７条 個人データの漏えい、滅失又は毀損（以下「漏えい等」という。）の事
案の発生又は兆候を把握した場合の対応は、「個人データの漏えい等の事案が発生した場合等の対応について」（平成２９年個人情報保護委員会告示第１号）に基づき、理事長の責任により以下の対応を行う。
一 被害の拡大の防止
二 事実関係の調査、原因の究明
三 影響範囲の特定
四 再発防止策の検討・実施
五 影響を受ける可能性のある本人への連絡等
六 事実関係、再発防止策等の公表
七 関係当局への報告
第２節

人的安全管理措置（教育・研修）
第８条 事務取扱責任者は、本規程に定められた事項を理解し、遵守するとともに、従業者に本規程を遵守させるための教育訓練を企画・運営する責任を負う。
２ 従業者は、事務取扱責任者が主催する本規程を遵守させるための教育を受けなければならない。研修の内容及びスケジュールは、事業年度毎に事務取扱責任者が定める。

３

当機構は、別途定める個人データについての秘密保持に関する誓約書を従業者と締結するものとする。
第３節

物理的安全管理措置（個人データを取扱う区域の管理）第９条 当機構は、事務取扱担当者及び本人以外が容易に個人データを閲覧等できないような措置を講ずるものとする。
（機器及び電子媒体等の盗難等の防止）第１０条 当機構は、個人データを取扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、次の各号に掲げる措置を講じる。
一 個人データを取扱う機器、電子媒体又は書籍等を、施錠できるキャビネット・書庫等に保管する。
二 個人データを取扱う情報システムが機器のみで運用されている場合は、セキュリティワイヤー等により固定する。
（電子媒体等を持ち運ぶ場合の漏えい等の防止）第１１条 当機構の事務取扱担当者が、個人データが記録された電子媒体又は個人データが記載された書類等を持ち運ぶ場合、パスワードの設定、封筒に封入し鞄に入れて搬送する等、紛失・盗難等を防ぐための安全な方策を講ずるものとする。
（個人データ及び機器、電子媒体等の廃棄）第１２条 個人データを削除し、又は、個人データが記録された機器、電子媒体等を廃棄した場合には、事務取扱責任者がこれを確認するものとする。
第４節

技術的安全管理措置（アクセス制御）第１３条 当機構は、個人データへの不正なアクセスを防止するため、個人データを取扱うことのできる機器及び当該機器を取扱う事務取扱担当者を明確化するものとする。
（アクセス者の識別と認証）
第１４条 当機構は、機器に標準装備されているユーザー制御機能（ユーザーアカウント制御）により、個人情報データベース等を取扱う情報システムを使用する事務取扱担当者を識別・認証するものとする。
（外部からの不正アクセス等の防止）第１５条 当機構は、以下の各方法により、情報システムを外部からの不正アクセス又は不正ソフトウェアから保護するものとする。
一 個人データを取扱う機器等のオペレーティングシステムを最新の状態に保持する。
二 個人データを取扱う機器等にセキュリティ対策ソフトウェア等を導入し、自動更新機能等の活用により、これを最新状態とする。
（情報システムの使用に伴う漏えい等の防止）第１６条 当機構は、メール等により個人データの含まれるファイルを送信する場合に、当該ファイルへのパスワードを設定するものとする。

第３章

個人情報の取扱い（個人情報の利用目的、取得、第三者提供の制限）
第１７条 当機構は、個人情報の利用目的、取得、第三者提供の制限については、他に特段の定めのない限り「個人情報の保護に関する法律」及びその他の関係法令の定めに従う。
（委託先における安全管理措置）
第１８条 当機構は、個人データの全部又は一部を委託する場合には、当機構自らが果たすべき安全管理措置と同等の措置が委託先において適切に講じられるよう、必要かつ適切な監督を行うものとする。
２ 前項の「必要かつ適切な監督」には、次に掲げる事項が含まれる。
一 委託先の適切な選定
二 委託先に安全管理措置を遵守させるために必要な契約の締結
三 委託先における個人データの取扱い状況の把握

第４章

保有個人データの開示等の請求等及び相談対応（個人情報に関する請求・お問い合わせ・相談・苦情の窓口の設置等）
第１９条 保有個人データの開示請求、訂正請求、利用停止請求及びその他相談・苦情に対応する窓口として、個人情報保護相談窓口（以下、相談窓口）を事務局に置き、当機構における個人情報の取扱い等に係る相談等の受付及び事務を行うものとする。
２ 相談窓口の住所、電話番号、Ｅ-mail アドレス、受付時間は以下のとおりとする。
一 住所：〒５４０－００２４ 大阪市中央区南新町一丁目２-４ 椿本ビル５階５０２号室 特定非営利活動法人 消費者支援機構関西事務局
二 電話番号：０６－６９２０－２９１１
三 Ｅ-mail アドレス：info@kc-s.or.jp
四 受付時間：月曜～金曜（祝日、年末年始休は除く）、９時３０分～１８時（保有個人データに関する事項の公表等）
第２０条 当機構は、保有個人データに関し、次に掲げる事項について、「個人情報の取扱いについて」としてインターネットのホームページでの常時掲載を行うこと、又は事務所の窓口等での掲示・備付け等を行うこととする。
一 関係法令・ガイドライン等の遵守
二 個人情報の利用目的について

三四五六七２

安全管理措置について
第三者提供の制限について委託の取扱いについて
個人情報の開示、訂正、削除の請求について
個人情報保護相談窓口
当機構は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知するものとする。ただし、次の各号のいずれかに該当する場合は、この限りでない。
一 前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合
二 法第１８条第４項第１号から第３号までに該当する場合
３ 当機構は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知するものとする。
（保有個人データの開示、訂正、利用停止等）
第２１条 当機構は、本人から、当該本人が識別される保有個人データの開示、訂正、利用停止等に係る請求を受けたときの取扱いは、他に特段の定めのない限り「個人情報の保護に関する法律」及びその他の関係法令の定めに従う。
（苦情対応）
第２２条 当機構は、事務局長を個人情報保護責任者とする。
２ 個人情報保護責任者は、当機構における保有個人データの取扱いに関する苦情の適切かつ迅速な処理に努めるものとする。

第５章

雑則

（規程の細目若しくは運用ルール）
第２３条 本規程の実施に必要な事項は、別途定める。
（規程の改廃）第２４条 本規程の改廃は、理事会において行う。

附則
本規程は、２０１７年５月３０日から施行する。