個人情報に関する基本規程

個人情報に関する基本規程
平成 31 年 2 月 21 日制定
第１章 総 則（基本理念）
第１条 法人は、個人情報が、個人の人権尊重の理念の下に慎重に取り扱われるべきものであることに鑑み、その適正な取扱いを図るものとする。
（目的）
第２条 本規程は、社会福祉法人松本ハイランド（以下「法人」 という。）が保有する利用者、職員等（以下「本人」という。）の個人情報につき、個人情報の保護に関する法律（以下「個人情報保護法」という。）その他関連法規及び介護保険法等の趣旨の下、これを適正に取扱い、個人の権利利益を保護することを目的とする基本規程である。
（定義）
第３条 本規程において、次の各号に掲げる用語の定義は、当該各号に定めるところによる。
１ 個人情報生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。ただし、本人が死亡した後においてもその本人の情報を保存している場合及びその情報が同時に遺族等の生存する個人の情報と関連がある場合には、個人情報と同様に扱う。
イ 当該情報に含まれる氏名、生年月日その他の記述等（文書、図画もしくは電磁的記録に記載・記録されたもの、または口述、動作その他の方法を用いて表された一切の事項をいう。）により特定の個人を識別することができるもの、及び他の情報と容易に照合することができ、それにより特定の個人を識別できるもの
ロ 個人識別符号が含まれるもの
２ 個人識別符号
次の各号のいずれかに該当する文字、番号、記号その他の符号をいう。
イ 特定の個人の身体の一部の特徴（DNA、容貌、声帯、指紋等）を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの
ロ 個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ、または個人に発行されるカードその他の書類に記載され、若しくは電磁的方式により記載された文字、番号、記号その他の符号であって、特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの（旅行番号、基礎年金番号、免許証番号、住民票コード、個人番号、被保険者証の記号番号等。）
３ 要配慮個人情報
本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要する
個人情報であって、次の各号のいずれかの記述等が含まれるものをいう
イ 本人の人種、信条または社会的身分
ロ 病歴
ハ 身体障害、知的障害、精神障害（発達障害を含む。）その他の心身の機能の障害があること
1個人情報に関する基本規程

ニ 本人に対して医師その他医療に関連する職務に従事する者（次号において「医師等」という。）により行われた疾病の予防及び早期発見のために健康診断その他の検査（次号において「健康診断等」という。）の結果
ホ 健康診断等の結果に基づき、または疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと
へ 犯罪の経歴または犯罪により害を被った事実
ト 本人を被疑者または被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続きが行われたこと
チ 本人を、罪を犯した少年又はその疑いのある者として、調査、看護の措置、審判、保護処分その他の少年の保護事件に関する手続きが行われたこと
４ 個人情報データベース等
個人情報を含む情報の集合物であって、次に掲げるものをいう。
イ 特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの
ロ イに掲げるもののほか個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するもの
５ 個人データ
個人情報データベース等を構成する個人情報をいう。
６ 保有個人データ
法人が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、個人情報保護法第２条第７項の「保有個人データ」をいう。
７ 本人
個人情報によって識別される特定の個人をいう。
（適用範囲）
第４条 本規程は、コンピュータ処理がなされているか否か、及び書面に記録されているか否かを問わず、法人において処理される全ての本人の個人情報、個人データ及び保有個人データ（以下「個人情報等」という。）の取扱いにつき定めるものとする。

第２章 個人情報等の取扱いについて
第１節 個人情報等の利用について（利用目的の特定）第５条 法人は、個人情報を取扱うに当たっては、利用の目的（以下「利用目的」という。）をできる限り特定するとともに、それを公表する。
２ 法人は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行わない。

2

個人情報に関する基本規程（利用目的による制限）
第６条 法人は、あらかじめ本人の同意を得ることなく、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱わない。
２

法人は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ることなく、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱わない。

３

前２項の規定は、次に揚げる場合については、適用しない。
イ 法令に基づく場合
ロ 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難である場合
ハ 公衆衛生の向上のために特に必要がある場合であって、本人の同意を得ることが困難である場合
ニ 国の機関若しくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼす恐れがある場合（適正な取得）第７条 法人は、偽りその他不正の手段により個人情報を取得しない。
２ 法人は、次に掲げる場合を除き、あらかじめ本人の同意を得ないで、要配慮個人情報を取得しない。
イ 法令に基づく場合
ロ 人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
ハ 公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
ニ 国の機関若しくは地方公共団体またはその委託を受けたものが法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼす恐れがあるとき
ホ 当該要配慮個人情報が、本人、国の機関、地方公共団体、保護法第76条第1項各号に掲げる者その他個人情報保護委員会規則第6条各号で定める者により公開されている場合
ヘ 本人を目視し、または撮影することにより、その外形上明らかな要配慮個人情報を取得する場合
ト 本規程第９条第２項各号（第三者提供にかかわる規定の中で、第三者に該当しない場合の規定）に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき（取得に際しての利用目的の通知等）
第８条 法人は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合及び取得の状況からみて利用目的が明らかであると認められる場合を除き、速やかに、その利用目的を本人に通知し、又は公表する。
２ 法人は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書及びその他の書面（住民票、通帳、年金手帳等、或いは電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られる記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示する。
3

個人情報に関する基本規程

３ 法人は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表する。
４ 前 3 項の規定は、次に掲げる場合については、適用しない。
イ 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害する恐れがある場合
ロ 利用目的を本人に通知し、又は公表することにより法人の権利又は当該業務の遂行に支障を及ぼす恐れがある場合
ハ 国の機関若しくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼす恐れがある場合。
ニ 取得の状況からみて利用目的が明らかであると認められる場合
５ 前四項の規定によらず、人の生命、身体または財産の保護のために緊急に必要があり事前に通知することが困難な場合は、取得後速やかに通知する。
（第三者提供の制限）
第９条 法人は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供しない。
イ 法令に基づく場合
ロ 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難である場合
ハ 公衆衛生の向上のために特に必要がある場合であって、本人の同意を得ることが困難である場合
ニ 国の機関若しくは地方公共団体またはその委託を受けたものが、法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがある場合
２ 次に掲げる場合において、当該個人データの提供を受ける基については、前項の規定の適用については第三者に該当しないものとする。
イ 利用目的の達成に必要な範囲内において、個人データの取り扱いの全部または一部を委託することに伴って当該個人データが提供される場合
ロ 合併その他の事由による事業の継承に伴って個人データが提供される場合
ハ 保護法第23条第5項第3号及び同第6号に規定する、共同利用の方法による場合。なお、共同利用の実施にあたっては、利用者の範囲、利用の目的、共同利用する個人データの範囲、管理責任を有する者の氏名名称を本人に通知、または本人が容易に知りえるよう公表しなければならない。また、これらの事項を変更する必要が生じた場合にも同様とする
３

法人は、個人データの第三者提供について本人の同意があった場合で、その後、本人から第三者提供の範囲の一部についての同意を取り消す旨の申出があった場合は、その個人データの取扱については、本人の同意のあった範囲に限定して取り扱う。

（第三者提供に係る記録の作成等）
第１０条 法人は、個人データを第三者（国の機関、地方公共団体、独立行政法人等及び地方独立行政法人を除く。以下この条及び次条について同じ。）に提供したときには、次に掲げる事項に関する記録を作成しなければならない。ただし、当該個人データの提供が前条第１項各号又は第２項各号のいずれかに4個人情報に関する基本規程該当する場合は、この限りではない。
イ 前条第１項の本人の同意を得ている旨
ロ 当該第三者の氏名または名称その他の当該第三者を特定するに足る事項（不特定かつ多数の者に対して提供したときには、その旨）
ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足る事項
ニ 当該個人データの項目
２ 前項の記録は、以下の方法による記録に変えることができる。
イ 第三者に対し、個人データを継続的にもしくは反復して提供したとき、又は当該第三者に対し個人データを継続的にもしくは反復して提供することが確実であると見込まれるときの記録は、一括して作成することができる。
ロ 法人と契約を締結した本人の個人データを第三者に提供した場合において、当該本人との契約書その他の書面に個人データの流通を追跡することが可能な事項が記載されている場合には、当該書面をもって記録に変えることができる。
ハ 第1項に定める事項のうち、すでに以前に作成され、保存している記録事項と内容が同一であるものについては、当該事項の記録を省略することができる。
３ 第１項によらず、個人データの提供が以下の条件に適合する場合、当該記録を行わない。
イ 本人からの委託等に基づき、本人に代わって第三者へ提供していると判断される場合
ロ 代理人、主介護者等本人と一体と評価できる関係にあるものに提供する場合
４ 当該記録は、個人データを第三者に提供した際、速やかに作成しなければならない。
５ 当該記録は、作成日から３年間（契約書等による場合は１年間）保存しなければならない。
（第三者提供を受ける際の確認及び記録）
第１１条 法人は、第三者から個人情報の提供を受ける際には、次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供が第9条第１項各号又は第２項各号のいずれかに該当する場合は、この限りではない。
イ 提供元第三者の氏名又は名称及び住所、並びに法人にあってはその代表者（法人以外の団体で代表者、管理者の定めがある場合はその代表者、管理者）の氏名
ロ 当該第三者による当該個人データの取得の経緯
２ 法人は、前項の規定による確認を行ったときには、次に掲げる確認を行ったときは、次に掲げる事項に関する記録を作成しなければならない。
イ 本人の同意を得ている旨
ロ 前項各号に掲げる事項
ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足る事項
ニ 当該個人データの項目
３ 前項の記録は、前条第２項各号に準じる方法による記録に変えることができる。
４ 第１項によらず、個人データの受領が以下の条件に適合する場合、当該記録を行わない。
イ 本人に代わって、提供された個人データを受ける場合
ロ 本人と一体と評価できる関係にあるものに該当する場合
ハ 受領者にとって個人データ、個人情報に該当しない場合
5個人情報に関する基本規程

５ 当該記録は、第三者から個人データの提供を受けたとき、速やかに作成しなければならない。
６ 当該記録は、作成日から３年間（契約書等による場合は１年間）保存しなければならない。
（匿名化した個人データの利用）
第１２条 法人は、職員の研修や経営分析等を行うために個人データを利用する場合は、個人を特定されないよう匿名化するよう努めるともに、匿名化が困難な場合は利用について本人の同意を得る。

第２節 個人情報等の登録・保管・廃棄について（データ内容の正確性の確保）
第１３条 法人は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つように努める。
（安全管理措置）第１４条 法人は、取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じる。
（文書等管理に関する細則の整備）
第１５条 法人は、文書等の登録・保管・廃棄に関し、前二条の趣旨に照らし必要な事項について『個人情報に関する文書管理細則』を別途定め、これに基づき必要な措置を行うものとする。
（データの破棄・消去）
第１６条 法人は、当該個人データの利用及び保管の必要がなくなったときは、遅滞なく適切な方法で破棄・消去するよう努める。

第３節 職員及び委託先の監督（職員に対する指導・監督）第１７条 法人は、第２章第１節及び第２節の各規定にかかる各事項を具体的に実践するために必要な事項について『個人情報取り扱い細則』を別途定め、全ての職員にこれを遵守させるものとする。
２ 法人は、職員が個人情報等を取り扱うに当たり、これが適切に行われるよう監督を行う。
（委託先の監督）
第１８条 法人は、個人データの取扱いの全部又は一部を委託する場合は、委託事業者における個人情報保護へ向けた対応の状況等に照らし、委託を行うことの適切性を検討するとともに、委託事業者との間で業務委託における個人情報に関わる契約書を締結した上で提供を行うものとし、かつ、委託先に対しては適切な監督を行うものとする。

第４節 本人からの開示等の申請に対する対応（本人からの請求に対する対応）
第１９条 法人は、保有個人データについて保護法第２８条、第２９条ないし第３０条の規定に基づき、開示、訂正および利用停止、削除等の申請が行われた場合は、これが個人情報に関する本人の権利に基づく
6個人情報に関する基本規程ものであることを十分に理解したうえで、遅滞なく、適正な範囲でこれに適切に応ずるものとする。
（細則の整備）第２０条 法人は、前条の規定にかかる義務を適切に履行するため、必要な事項について『個人情報にかかる開示申請等に関する細則』を別途定め、これに基づき必要な措置を行うものとする。

第５節 法人に対する相談・苦情への対応（法人による相談・苦情の対応）
第２１条

法人は、個人情報の取扱いに関する相談・苦情の適切かつ迅速な対応に努める。

２ 法人は、前項の目的を達成するために、法人及び各事業所に個人情報相談窓口を設け、その他必要な体制の整備に努める。

第３章 個人情報管理に向けた体制（個人情報管理）第２２条

法人は、法人に個人情報統括責任者、各事業所に個人情報管理責任者、各部署に個人情報管理者を置く。
２ 個人情報統括責任者及び個人情報管理責任者は、個人情報の保護に関し、内部規則の整備、安全対策及び教育・訓練を推進し、かつ、周知徹底することを任務とする。
３ 個人情報統括責任者及び個人情報管理責任者は、この規程に定められた事項を遵守するとともに、個人情報の取得、利用、提供又は委託処理につき、全ての役員及び職員にこれを理解させ、遵守させなければならない。
４ 個人情報統括責任者及び個人情報管理責任者は、個人データの安全管理措置について定期的に自己評価を行い、見直しや改善を行う。
５ 個人情報統括責任者及び個人情報管理責任者は、個人情報漏えい等の問題が発生した場合において、法人の理事長及び事業所長に報告・協議し、二次被害の防止対策を講じるとともに、個人情報の保護に配慮しつつ、可能な限り事実関係を公表するとともに、都道府県等の所管課に速やかに報告する。
６ 個人情報管理者は、個人情報統括責任者及び個人情報管理責任者の指示のもと、実務の実施及び実務を行う職員の監督を通じ、部署内での業務における個人情報の適切な利用と個人データの安全管理の徹底を図る。
７ 個人情報管理責任者は個人情報管理者を兼ねることができる。
（教育研修）
第２３条 個人情報統括責任者及び個人情報管理責任者は、法人の業務に従事する全ての役員及び職員に対し、個人情報にかかる個人の権利保護の重要性を理解させ、かつ、個人情報管理の適正で確実な実施を図るため、教育担当者を指名し、継続的かつ定期的に教育・訓練を行うように努める。
２ 個人情報管理責任者及び個人情報管理者は、教育担当者を兼ねることができる。
３ 法人は、職員の個人情報保護に係る資質向上のために、以下の研修を実施しなければならない。
イ 採用時研修7

個人情報に関する基本規程

ロ 採用後の少なくとも年１回開催される継続研修
４ 職員は、法人が前項に定める研修を実施するときには、これを受講しなければならない。
（監 査）
第２４条 個人情報統括責任者及び個人情報管理責任者は、個人情報の管理の状況を法人監事に報告し、その監査を受ける。
２ 法人監事は、監査により個人情報の管理について改善すべき事項があると認めるときは、理事長に報告し、関係する役員あるいは職員に対し、改善のための必要な指示を行わなければならない。
３ 前項の指示を受けた者は、速やかに、改善のため必要な措置を講じ、かつ、その内容を法人監事に報告しなければならない。
（役職員の義務）
第２５条 法人の役員及び職員等は、個人情報保護法その他関連法規及び介護保険法等の趣旨の下、本規程、職務上の守秘義務等を遵守し、法人の有する個人情報について、業務上の正当な目的以外に利用、開示等をしてはならない。
２ 役職員等は、前項の義務を退職後も遵守することを誓約しなければならない。

附 則
１．本規程は、平成３１年 2 月 21 日から施行する。

8