一般社団法人日本筋ジストロフィー協会 個人情報保護規程

第1章 総 則（目 的）
第 1 条 この規程は、個人情報を取り扱う事業者たる一般社団法人日本筋ジストロフ
ィー協会（以下、協会という。）における個人情報の正確性及び安全性の確保、個人情報の秘密保持に関する従業者の責務並びに個人情報を取り扱う受託処理に関する措置等を講ずることにより、個人情報の適正管理を継続的に維持し、その品質を向上させることを目的とする。
（定 義）
第 2 条 この規程における用語の意義は、次の各号に掲げるとおりとする。
(1)事業者…事業を営む法人その他団体又は個人をいう。
(2)従業者…次の者を総称したものをいう。
①協会の役員②協会に使用されている従業員③協会の指揮監督を受ける派遣労働者等(3)個人情報…生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
① 当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（②の個人識別符号を除く。）をいう。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）② 個人情報の保護に関する法律施行令第 1 条で定める個人識別符号（指紋認識
データ、顔認識データ、個人番号、旅券番号、免許証番号等が該当する。）
が含まれるもの(4)個人情報保護管理者…この規程に定める安全管理体制の構築及びその運用に関する責任及び権限を有する者をいう。
(5)事務取扱担当者…個人情報保護管理者によって選任され、個人情報保護管理者を補助し、それぞれの部署若しくは事業所ごとに、又は個人情報の種別ごとに、個人情報保護の取得から廃棄に至るまでの各プロセスにおける取扱いと安全管理措置等の業務を遂行する者をいう。

-1-

(6)個人情報データベース等…個人情報を含む情報の集合物であって、次に掲げるものをいう。ただし、利用方法からみて個人の権利利益を害するおそれが少ない
ものを除く。
① 特定の個人情報をコンピュータを用いて検索することができるように体系的に構成したもの② ①に掲げるもののほか、個人情報を一定の規則に従って整理、分類し、目次、索引、符号等を付すことによって特定の個人情報を容易に検索することができる
ように体系的に構成したもの(7)個人データ…個人情報データベース等を構成する個人情報をいう。
(8)保有個人データ…事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データをいう。ただし、次に掲げるものを除くものとする。
① 当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの② 当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの③ 当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しく
は国際機関との交渉上不利益を被るおそれがあるもの④ 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの(9)本人…個人情報について「本人」とは、個人情報によって識別される特定の個人をいう。
(10)本人の同意…本人が、個人情報の取扱いに関する情報を与えられたうえ
で、自己に関する個人情報の取扱いについて承諾する意思表示をいう。なお、本人が未成年又は事理を弁識する能力を欠く者の場合は、法定代理人等の同意も得なければならない。
(11) 特定個人情報…個人番号（マイナンバー）を含む個人情報をいう。
(12)法令等…個人情報の取扱いに関する法令、国が定める指針その他の規範をいう。
なお、国が定める指針とは、主に次のものをいう。
①特定個人情報の適正な取扱いに関するガイドライン（事業者編）（個人情報保
護委員会）②個人情報の保護に関する法律についてのガイドライン（通則編）（個人情報保
護委員会）③個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）（個人情報保護委員会）-2-

④個人情報の保護に関する法律についてのガイドライン（匿名加工情報編）（個人情報保護委員会）⑤個人情報の保護に関する法律についてのガイドライン（外国第三者提供編）（個人情報保護委員会）（適用範囲）
第 3 条 この規程は、協会及び従業者に適用する。
2 この規程は、協会において、手作業により処理されている個人情報及びその全部又は一部がコンピュータにより処理されている個人情報であって、組織的に保有するファイリングシステムの全部又は一部をなすものを対象とする。ただし、特定個人情報及び雇用管理情報については、この規程の一部は適用せず、別に定めるマイナンバー
取扱規程に定めるところによる。
（基本理念）
第 4 条 個人情報は、個人の人格尊重の理念の下に慎重に取り扱われるべきものであることにかんがみ、その適正な取扱いが図られなければならない。
2

協会は、この規程の定めを組織的に取り組むこと等を明らかにするため、個人情報保護方針を定めるものとする。
（従業者の責務）
第 5 条 従業者は、協会の事業に従事するに当たり、法令等を遵守するとともに、この規程を遵守しなければならない。
2

個人データを取り扱う者は、業務上知り得た個人データの内容をみだりに第三者に知らせ、又は不当な目的に使用してはならない。その業務に係る職を退いた後も同様とする。
3

従業員が、故意に個人情報定める個人番号その他の特定個人情報を含む。）を漏え

いし、又は転売目的で第三者に提供したとき、又はしようとしたときは、協会は、就業規則に定めるところにより、懲戒を行う。
4

従業員が、第 1 項及び第 2 項に違反したときは、協会は、就業規則に定めるところにより、当該従業員に対して懲戒を行うことがある。
（規程の改定）第 6 条 協会は、法令の改正、運用方法の見直しその他業務上の必要に応じて、この規程を改定するものとする。

-3-

第 2 章 安全管理体制（個人情報保護管理者）
第 7 条 個人情報の安全管理のための総責任者である個人情報保護管理者は、代表理事とし、次の各号に掲げる業務を行うものとする。
(1)この規程の作成及び運用に関すること。
(2)次条に定める事務取扱担当者への助言及び指導(3)委託先及び再委託先の監督に関すること。
(4)その他個人情報の安全管理に関する事項全般に関すること。
（安全管理体制の構築）
第 8 条 協会は、個人情報の安全管理のための組織体制を定めるものとし、その権限及び責任は、この規程に定めるものとする。
2

協会は、個人情報の取得・入力、移送・送信、利用・加工、保管・バックアップの各局面ごとに、取扱方法、事務取扱担当者（事務取扱担当者が複数いるときはそのうちの 1 名を責任者とする。
）及びその任務等について定める個人情報取扱マニュアルを策定するものとする。
3

事務取扱担当者は、代表理事、理事、事務局長とし、前条各号の事項につき、個人情報保護管理者を補佐する。
4

協会は、個人情報データベース等の取扱状況を確認し、その取扱い上のリスクを特定し、適切に対応するため、個人情報の項目、利用目的、保管場所、保管方法、ア
クセス権を有する者、利用期限、保管期限、廃棄方法等を記載した個人情報管理台帳（様式第 1 号）を調製するとともに、当該台帳の内容を少なくとも年 1 回、適宜に確認し、最新の状態で維持されるようにしなければならない。
（安全管理措置）第 9 条 協会は、協会が管理する個人情報に関する漏えい、滅失又はき損等のリスクを回避するために、次に掲げる区分に応じて、適切な安全管理措置を講じなければならない。
(1)組織的安全管理措置(2)人的安全管理措置(3)物理的安全管理措置(4)技術的安全管理措置-4-

（組織的安全管理措置）
第 10 条 協会は、組織的安全管理措置として、前条各号の措置を講ずるための組織体制を整備する。
2

協会及び従業者は、あらかじめ整備された個人データの取扱いに係るルールに従って個人データを取り扱わなければならない。
3

個人情報保護管理者は、個人データの取扱状況を確認するための手段を整備しなければならない。
4

個人情報保護管理者は、漏えい等の事案の発生又は兆候を把握した場合に適切か

つ迅速に対応するための体制を整備しなければならない。
5

個人情報の漏えい等の事案が発生した場合、二次被害の防止、類似事案の発生防止等の観点から、個人情報保護管理者は、事案に応じて、事実関係及び再発防止策等
を早急に公表しなければならない。
6

個人情報保護管理者は、個人データの取扱状況を把握し、安全管理措置の評価、見直し及び改善に取り組まなければならない。
（人的安全管理措置）
第 11 条 協会は、人的安全管理措置として、次の各号に掲げる措置を講ずる。
(1)従業者への適切な監督(2)従業者への教育研修（従業者の監督）
第 12 条 協会は、その従業者に個人情報を取り扱わせるに当たっては、当該個人情報の安全管理を図るために当該従業者に対して必要かつ適切な監督を行わなければならない。
（従業者の教育研修）
第 13 条 協会は、従業者に対し、継続的、かつ、定期的に個人情報に関する教育研修を実施するものとする。また、入職時の教育研修を実施するものとする。
（物理的安全管理措置）
第 14 条 協会は、物理的安全管理措置として、次項以下の措置を講ずる。
2

協会は、個人情報データベース等を取り扱うサーバやメインコンピュータ等の重要な情報システムを管理する区域（以下「管理区域」という。）及びその他の個
人データを取り扱う事務を実施する区域（以下「取扱区域」という。）を定め、これを管理する。個人情報保護管理者は、それぞれの区域に応じて適切な管理を行わなければならない。

-5-

3

協会は、機器及び電子媒体等の盗難等の防止措置を講ずる。従業者は、個人データを取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、適切な管理を行わなければならない。

4

協会は、電子媒体等を持ち運ぶ（個人データを管理区域又は取扱区域から外へ移動させること又は当該区域の外から当該区域へ移動させることをいう。以下同じ。）場合の漏えい等の防止策を講じる。従業者は、個人データが記録された電子媒体又は書類等を持ち運ぶ場合、容易に個人データが判明しないよう、安全な方策を講じなければならない。また、事業所内で持ち運ぶ場合であっても、個人データの紛失・盗難等に留意しなければならない。

5

協会は、個人データの削除及び機器、電子媒体等の廃棄ルールを定める。従業者は、個人データを削除し又は個人データが記録された機器、電子媒体等を廃棄する場合は、復元不可能な手段で行わなければならない。また、廃棄に当たっては、
あらかじめ個人情報保護管理者に届け出て、その指示を仰がなければならない。

6

前項の場合において、個人情報保護管理者は、個人データを削除した場合、又は、個人データが記録された機器、電子媒体等を廃棄した場合には、削除又は廃棄した記録を保存しなければならない。また、それらの作業を委託する場合には、委託先が確実に削除又は廃棄したことについて証明書等により確認しなければならない。

（技術的安全管理措置）
第 15 条 協会は、情報システム（パソコン等の機器を含む。
）を使用して個人データを取り扱う場合（インターネット等を通じて外部と送受信等する場合を含む。）、技
術的安全管理措置として、次項以下の措置を講ずる。
2

担当者及び取り扱う個人情報データベース等の範囲を限定するために、協会は、

適切なアクセス制御措置を講ずる。個人情報保護管理者は、適切なアクセス権限の付
与等アクセス制御を管理する。
3

協会は、アクセス者の識別と認証を行う。個人情報保護管理者は、個人データを取り扱う情報システムを使用する従業者が正当なアクセス権を有する者であることを、識別した結果に基づき認証しなければならず、不正なアクセスが認められたときは、直ちに協会及び全従業者に報告し、適切な防御措置を講ずる。
4

協会は、外部からの不正アクセス等を防止するため、個人データを取り扱う情報システムを外部からの不正アクセス又は不正ソフトウエアから保護する仕組みを導入する。従業者は、これらを適切に運用するため、常に次の各号に掲げる対策を講じなければならない。

-6-

(1)マルウエア対策ソフトを常に最新版に更新すること。
(2) OS、アプリケーションのアップデートを実行すること。
5

協会は、情報システムの使用に伴う個人データの漏えい等を防止するための措置を講ずる。従業者は、情報システムの使用に当たっては、協会の定める手順に従い適切に運用しなければならない。

（委託先に対する安全管理措置）
第 16 条 個人情報保護管理者は、個人情報の取扱いの全部又は一部を協会外の業者に委託（再委託を含む。以下同じ。）するときは、適切な業者を選定するための基準を定めるものとする。
2

個人情報保護管理者は、個人情報の取扱いを委託する場合は、委託契約において、法令を遵守し協会が定める安全管理措置を講ずることを契約に盛り込むとともに、あらかじめ定めた間隔で定期的に確認する等の方法等により、委託先に対する必要かつ適切な監督を行うものとする。

3

個人情報保護管理者は、従業者が個人情報の取扱いを委託する場合において、委託する業務内容に対して必要のない個人データを提供しないよう必要かつ適切な監督を行うものとする。

第 3 章 個人情報の取得（個人情報の取得原則）
第 17 条 個人情報の取得は、協会が行う事業の範囲内に限り、かつ、あらかじめ利用
目的を明確に定め、その目的の達成に必要な限度内において行うものとする。
（適正な取得）第 18 条 個人情報の取得は適正な手段により行うものとし、窃取、脅迫、偽りその他
不正な手段により個人情報を取得してはならない。
2

要配慮個人情報の取得等に関しては、第 22 条に定めるところによる。

（利用目的の特定）第 19 条 協会は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。

-7-

（取得に際しての利用目的の公表）
第 20 条 次条に定める場合を除き、個人情報を取得する場合は、利用目的をできる限り特定し、あらかじめその利用目的を公表しなければならない。
2

前項にかかわらず、あらかじめ利用目的を公表（ウェブサイト上の掲載、パン
フレット等への記載、協会内における掲示、備付けの方法等によるものとする。本条及び第 25 条において同じ。）することが困難である場合は、個人情報を取得した
後、速やかにその利用目的を本人に通知し、又は公表しなければならない。ただし、次の各号に掲げる場合を除く。
(1) 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合(2) 利用目的を本人に通知し、又は公表することにより協会の権利又は正当な利益を害するおそれがある場合(3) 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(4)取得の状況からみて利用目的が明らかであると認められる場合（直接本人から文書等により取得する場合）
第 21 条 本人との間で契約を締結することに伴い契約書その他の書面（電磁的記録を含む。）に記載された本人の個人情報を取得する場合は、あらかじめ本人に対し、次のいずれかの方法により、利用目的を明示しなければならない。ただし、本人又は第三者の生命、身体又は財産の保護のために緊急の必要がある場合は、この限りでない。
(1)相手方に手交し、又は送付する契約書等にその利用目的を記載する方法(2)ホームページ上の入力画面にその利用目的を明記する方法（要配慮個人情報の取得及び提供の制限）
第 22 条 協会は、次の各号に掲げる内容を含む個人情報（以下「要配慮個人情報」という。）の取得は、行わないものとする。ただし、これらの情報の取得について、明示的な本人の同意がある場合又は法令等の要請からやむを得ない事情があるときは、この限りでない。 要配慮個人情報のうち、病歴、身体障害・知的障害・精神障害（発達障害を含む。）等については、予め本人の同意を得た上で、原則取得す
るものとする。
(1)人種
(2)信条

-8-

(3)社会的身分(4)犯罪の経歴(5)犯罪により害を被った事実(6)本人に対して医師その他医療に関連する職務に従事する者（次号において「医師等」という。）により行われた疾病の予防及び早期発見のための健康診断その他の検査（同号において「健康診断等」という。）の結果(7)健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと。
(8)本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと。
(9)本人を少年法第 3 条第 1 項に規定する少年又はその疑いのある者として、調査、観護の措置、審判、保護処分その他の少年の保護事件に関する手続が行われたこと。
2

前項ただし書のやむを得ない事情とは、次のいずれかに該当する場合とする。

(1) 法令に基づく場合(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(5) 当該要配慮個人情報が、本人、国の機関、地方公共団体、個人情報保護法第 76
条第 1 項各号に掲げる者、外国政府、外国の政府機関、外国の地方公共団体又は国際機関、外国における個人情報保護法第 76 条第 1 項各号に掲げる者に相当する者により公開されている場合(6) 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合(7) 委託、事業承継又は共同利用により、個人データである要配慮個人情報の提供を受けるとき。
3

要配慮個人情報については、第 27 条（第三者提供のオプトアウト）の規定は適用
しない。

-9-

第 4 章 個人情報の利用及び第三者提供の制限（個人情報の利用原則）
第 23 条 個人情報の利用は、原則として、特定された利用目的の達成に必要な範囲内
で、具体的な業務に応じ権限を与えられた者のみが、業務の遂行上必要な限りにおいて行うものとする。
（利用目的による制限）
第 24 条 協会は、あらかじめ本人の同意を得ないで、協会が特定した利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない。
2

協会が合併その他の事由により他の個人情報取扱事業者の事業を承継することに伴って個人情報を取得した場合には、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。

3

前二項の規定は、次の各号のいずれかに該当する場合については、適用しない。
(1) 法令に基づく場合(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

4

特定個人情報については、本条は適用せず、本人の同意の有無にかかわらず、目的外の利用は、これを禁ずる。
（利用目的の変更）
第 25 条 協会は、利用目的を変更する場合は、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えた変更を行ってはならない。また、利用目的を変更した場合は、変更後の利用目的について、本人に通知し、又は公表しなければならない。
（第三者提供の制限）
第 26 条 協会は、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。ただし、次の各号のいずれかに該当する場合は、この限りでない。

- 10 -

(1)法令に基づく場合(2)人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
(3)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
(4)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
2

次に掲げる場合において、当該個人データの提供を受ける者は、前項の規定の適用については、第三者に該当しないものとする。以下、本章において同じとする。
(1)委託の場合…個人情報取扱事業者が利用目的の達成に必要な範囲内において個
人データの取扱いの全部又は一部を委託する場合(2)事業承継の場合…合併その他の事由による事業の承継に伴って個人データが提供される場合(3)共同利用の場合…特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、第 28 条第 1 項各号の事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

3

特定個人情報の提供については、マイナンバー取扱規程に定めるものとし、本条及び第 27 条（第三者提供のオプトアウト）の規定は適用しない。

（第三者提供のオプトアウト）
第 27 条 協会は、第三者に提供される個人データ（要配慮個人情報を除く。以下本条において同じ。）について、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前条の規定にかかわらず、当該個人データを第三者に提供することができる。
(1)第三者への提供を利用目的とすること。
(2)第三者に提供される個人データの項目(3)第三者への提供の方法(4)本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
(5)本人の求めを受け付ける方法(6)取得方法- 11 -

（共同利用）第 28 条 協会は、特定の者との間で共同して利用される個人データが当該特定の者に提供される場合は、以下の事項をあらかじめ本人に通知するか、本人が容易に知り得る状態に置くとともに、共同利用する第三者にも同様の措置を講じさせなければならない。
(1)個人データを特定の者との間で共同して利用する旨(2)氏名、住所等の共同利用される個人データの項目(3)共同して利用する者の範囲(4)共同して利用する個人データのすべての利用目的(5)個人データの管理について責任を有する者の氏名又は名称(6)取得方法
2

協会は、前項に規定する利用する者の利用目的又は個人データの管理について責任を有する者の氏名若しくは名称を変更する場合は、変更する内容について、あらかじめ本人に通知し、又は本人が容易に知り得る状態に置くとともに、共同利用する第三者にも同様の措置を講じさせなければならない。

3

特定個人情報については、共同利用は、これを禁ずる（外国にある第三者への提供の制限）
第 29 条 協会は、外国（本邦の域外にある国又は地域をいう。以下同じ。）にある第三者に個人データを提供する場合には、第 26 条第 1 項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合、あらかじめ本人に対し、①当該外国の名称、②適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報、及び③当該第三者が講ずる個人情報の保護のための措置に関する情報を提供しなければならない。ただし、当該外国にある第三者が、次の各号のいずれかに該当する場合は、第 26 条（第三者提供の制限）、第 27 条（第三者提供のオプトアウ
ト）を適用するものとし、第 26 条第 1 項の本人の同意による第三者提供及び第 27条のオプトアウトによる第三者提供を認める。
(1)当該第三者が、我が国と同等の水準にあると認められる個人情報保護制度を有している国として個人情報の保護に関する法律施行規則で定める国にある場合(2)当該第三者が、個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制を整備し、かつ、次のいずれかの基準を満たしている場
合- 12 -

① 個人情報取扱事業者と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、個人情報保護法に定める個人情報取扱事業者の義務等の趣旨に沿った措置の実施が確保されているとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供することとされていること。
② 個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。
（第三者提供に係る記録の作成等）
第 30 条 協会は、個人データを第三者に提供したときは、次の各号の区分に応じ、当該各号に掲げる事項を記録しなければならない。ただし、当該個人データの提供が第
26 条第 1 項各号又は同条第 2 項各号のいずれか（前条の規定による個人データの提供にあっては、同条第 1 項各号のいずれか）に該当する場合は、この限りでない。
(1) オプトアウトにより個人情報を第三者に提供した場合①当該個人データを提供した年月日②当該第三者の氏名又は名称その他の当該第三者を特定するに足りる事項（不特定かつ多数の者に対して提供したときは、その旨）③当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項④当該個人データの項目(2) 本人の同意により個人情報を第三者に提供した場合及び海外に第三者提供した
場合①本人の同意を得ている旨②当該第三者の氏名又は名称その他の当該第三者を特定するに足りる事項（不特定かつ多数の者に対して提供したときは、その旨）③当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項④当該個人データの項目
2

協会は、前項各号の記録を、原則として、3 年間保存しなければならない。

- 13 -

（第三者提供を受ける際の確認等）
第 31 条 協会は、第三者から個人データの提供を受けるに際しては、次の各号の区分に応じ、当該各号に掲げる事項の確認をしなければならない。ただし、当該個人データの提供が第 26 条第 1 項各号又は同条第 2 項各号のいずれかに該当する場合
は、この限りでない。
(1) オプトアウトによる個人データの第三者提供を受ける場合①当該個人データの提供を受けた年月日②当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名③当該第三者による当該個人データの取得の経緯④当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項⑤当該個人データの項目⑥個人情報保護委員会により公表されている旨(2) 本人の同意に基づき第三者提供を受ける場合①本人の同意を得ている旨②当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名③当該第三者による当該個人データの取得の経緯④当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項⑤当該個人データの項目(3) 私人などから第三者提供を受ける場合①当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名② 当該第三者による当該個人データの取得の経緯③ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項④当該個人データの項目
2

協会は、前項各号の記録を、原則として、3 年間保存しなければならない。

（個人データに該当しない個人情報の第三者提供）
第 32 条 協会は、あらかじめ本人の同意を得ないで、個人データに該当しない個人情- 14 -

報を第三者に提供しないようにするものとする。ただし、業務上の必要性がある場
合には、協会が別に定める所定の手続を経て、事前に個人情報保護管理者の了承を得たうえで第三者に提供することができる。

第 5 章 保有個人データ等の管理（正確性の確保）
第 33 条 協会は、利用目的の達成に必要な範囲内において、個人情報を、正確かつ最新の状態で管理するよう努めなければならない。
（保有個人データに関する事項の公表等）
第 34 条 協会は、保有個人データに関し、次に掲げる事項をホームページ上に掲載
し、パンフレット等に記載し、又は本人の求めに応じて遅滞なく回答するようにしなければならない。
(1)協会の名称、住所及び代表者の氏名(2)すべての保有個人データの利用目的（次のいずれかに該当する場合を除く。）①利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合②利用目的を本人に通知し、又は公表することにより協会の権利又は正当な利益を害するおそれがある場合③国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
④取得の状況からみて利用目的が明らかであると認められる場合(3)次条（保有個人データの開示）、第 37 条（保有個人データの利用目的の通知）、第 38 条（保有個人データの訂正、追加、削除）及び第 39 条（保有個人データの利用停止、消去、第三者提供の停止）の規定による求めに応じる手続及びこれらの手続に係る手数料の定め（手数料を定めた場合に限る。）(4) 保有個人データの安全管理のために講じた措置（本人に知りうる状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置くことにより当該保有個人デー
タの安全管理に支障を及ぼす恐れがあるものを除く。）- 15 -

(5) 保有個人データの取扱いに関する苦情の申出先及び協会が認定個人情報保護団体に所属している場合は、その団体の名称及び苦情の申出先（保有個人データの開示）
第 35 条 本人からの当該本人が識別される保有個人データ開示の請求の方法は、①電磁的記録の提供による方法、②書面の交付による方法、③その他当社が定める方法とする。
2 協会は、本人から当該個人が識別される保有個人データの開示（当該保有個人デー
タが存在しないときにはその旨を含む。）を求められたときは、当該本人が請求した方法(当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法)により、所定の本人確認手続を経たうえで、当該保有個人データを開示しなければならない。ただし、開示すること
により、次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
(1)本人又は第三者の生命、身体、財産その他の権利や利益を害するおそれがある場合(2)協会の業務の適正な実施に著しい障害を及ぼすおそれがある場合(3)他の法令に違反することとなる場合
3

前項各号に該当し、保有個人データの全部又は一部を開示しない旨の決定をした
ときは、本人に対し、遅滞なくその旨を通知するとともに、その理由を説明しなけ
ればならない。

（保有個人データの利用目的の通知）
第 36 条 協会は、本人から当該個人が識別される保有個人データの利用目的の通知を求められたときは、本人に通知しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りでない。
(1) 保有個人データを本人の知り得る状態に置いていることにより保有個人データの利用目的が明らかな場合(2) 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合(3) 利用目的を本人に通知し、又は公表することにより協会の権利又は正当な利益を害するおそれがある場合(4) 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。

- 16 -

2 前項各号に該当し、求められた保有個人データの利用目的を通知しない旨を決定したときは、遅滞なくその旨を通知しなければならない。

（保有個人データの訂正、追加、削除）
第 37 条 協会は、本人から当該本人が識別される保有個人データの内容が事実と異なるという理由で、訂正、追加、削除（以下「訂正等」という。）を求められたときは、本人確認手続を経たうえで遅滞なく調査を行い、その結果に基づいて訂正等を行わなければならない。
2 調査の結果、保有個人データの訂正等を行ったとき又は行わない旨を決定したときは、本人に対し、遅滞なくその旨を通知しなければならない。
（保有個人データの利用停止、消去、第三者提供の停止）
第 38 条 協会は、本人から、当該本人が識別される保有個人データが利用目的の制限に違反するという理由、不正の手段により取得したものであるという理由又は本人の同意なく要配慮個人情報を取得したという理由で利用停止又は消去（以下「利用停止等」という。）を求められたときは、本人確認手続を経たうえで、遅滞なく調査を行い、その結果に基づいてデータの利用停止等を行わなければならない。
2 協会は、本人から、当該本人が識別される保有個人データが個人情報の取扱いに関する法令上の第三者提供制限に違反（特定個人情報については、番号利用法に定める提供制限の違反）するとの理由で、第三者への提供の停止を求められたときは、
本人確認手続を経たうえで遅滞なく調査を行い、その結果に基づいてこれを停止しなければならない。
3 前二項の場合において、保有個人データの利用停止等の措置を行ったとき又は行わない旨を決定したときは、本人に対し遅滞なくその旨の通知をしなければならない。
4 ①当該本人が識別される保有個人データを当該個人情報取扱事業者が利用する必要がなくなった場合、②当該本人が識別される保有個人データに関し個人情報保護法
上個人データの漏洩等による報告義務が生じた場合、その他当該本人が識別される
保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合であって、本人から当該保有個人データの利用停止等又は第三者への提供の停止に係る請求があった場合、これに応じるものとする。
5 当社は、本人から前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行うものとする。

- 17 -

第 6 章 危機管理体制その他（情報漏えい等事案に対応する体制の整備）
第 39 条 協会は、従業者が個人情報保護法、この規程、その他個人情報に関する社内規程に違反するおそれ又は違反する事実を知った場合、その旨を個人情報保護管理者に報告しなければならない。
2 個人データの漏えい等の事案が発生したときは、安全管理体制全般、この規程の見直しを図らなければならない。
（危機管理対応）
第 40 条 従業者は、個人情報の漏えいの事故が発生した場合及び個人情報保護法、この規程、その他個人情報に関する社内規程に違反する事実が生じた場合は、被害拡大防止のための措置を講ずる。
（苦情・相談窓口）
第 41 条 個人情報保護管理者は、個人情報の保護に関して苦情や相談を受け付け、対応する相談窓口を常設し、当該相談窓口の連絡先を本人に告知するものとする。
2 前項の相談窓口の運営責任者は、個人情報保護管理者とする。
（所管及び改廃）
第 42 条 本規程の改廃は、理事会にて付議して決定する。
附 則
この規程は、令和４年３月６日に全部改正する。
この規程は、令和４年７月１日から施行する。

- 18 -

様式第 1 号

No.

例

個人情報デー
タベース
等の種類・名称

個人データの
範囲

件数

会員名簿

氏名、住所、
メールアドレス、携帯電話
番 号 、 他

1,500

個 人 情 報 管 理 台 帳
記
保管場所
利用
録
管理責
（管理区
目的
媒
任者
域）
体
事務局
総会
（サーバ
委任
HDD ー＝ＮＡ
○○
状送
Ｓ）
付

取扱部
署

事務取扱
担当者
（アクセ
ス権者）

保存期
間

事務局

○○

６月

削除・
廃棄
方法

摘
要

- 19 -