個人情報保護基本規程
第１章 総 則第１条（目的）
本規程は、一般財団法人下越総合健康開発センター（以下、「当センター」という。）が事業活動において取扱う個人情報の適切な利用と保護のための基本事項を定めることを目的とする。
第２条（適用範囲）（１）対象者
本規程は、当センターの全従業者に適用する。ここで従業者とは、役員（理事・監事・評議員）並びに職員、再任用を含む嘱託職員、通年臨時職員、パートタイマー、及びアルバイ
ト、契約職員等、雇用形態を問わず当センターに勤務するすべての者を指す。
（２）対象個人情報
本規程は、当センターにおいて事業の用に供している個人情報を適用対象とする。ここで事業の用に供している個人情報とは、健診・検査受診者の個人情報等外部の個人情報に留まらず、従業者に関する個人情報及び職員等採用募集に対する問合せ、または応募した人の連
絡先、履歴等の個人情報を含む。
（３）対象業務
本規程は、当センターにおいて事業の用に供している個人情報を取扱う全ての業務に適用する。
第３条（引用規格）
本規程は、日本工業規格「個人情報保護マネジメントシステム－要求事項（JISQ 15001:2017）」
を引用規格とする。
第４条（用語の定義）
本規程及び関連規程、計画書、記録等で用いる用語及び定義は、個人情報保護法及び日本工業
規格「個人情報保護マネジメントシステム－要求事項（JISQ15001:2017）」による。その他の主な用語及び定義は、次による。
（１）個人情報保護統括責任者
トップマネジメントによって当センターの内部の者から指名された者であって、個人情報保護マネジメントシステムの実施及び運用に関する責任及び権限をもつ者。
（２）本人の同意
本人が、個人情報の取扱いに関する情報を与えられた上で、自己に関する個人情報の取扱いについて承諾する意思表示。
本人が子どもまたは事理を弁識する能力を欠く者の場合は、法定代理人等の同意も得なけ
ればならない。当センターにおいて、法定代理人等の同意を得るべき子どもの年齢は１２歳以下とする。
1

（３）番号法「行政手続における特定の個人を識別するための番号の利用等に関する法律」（平成 25 年
法律第 27 号）をいう。
（４）個人番号
住民票コードを変換して得られる番号であって、当該住民票コードが記載された住民票に係る者を識別するために指定されるものをいう。
（５）特定個人情報
個人番号をその内容に含む個人情報をいう。
（６）特定個人情報等
個人番号及び特定個人情報を併せたものをいう。
（７）特定個人情報ファイル
個人番号をその内容に含む個人情報ファイルをいう。
（８）番号事務取扱責任者
特定個人情報等の管理に関する責任を担うものをいう。
（９）番号事務取扱担当者
個人番号を取扱う事務に従事する者をいう。
（１０）個人番号関係事務
個人番号利用事務に関して行われる他人の個人番号を必要な限度で利用して行う事務をいう。
（１１）個人番号関係事務実施者
個人番号関係事務を処理する者及び個人番号関係事務の全部又は一部の委託を受けた者をいう。
（１２）再任用
当センター職員就業規則第61条により、定年後再雇用された者をいう。
第５条（一般要求事項）
個人情報保護マネジメントシステムを確立し、実施し、維持し、かつ、改善しなければならない。
第６条（個人情報保護方針）
トップマネジメントは、個人情報保護の理念を明確にした上で、次の事項を含む内部向け及び外部向け個人情報保護方針を定めるとともに、これを実行し、かつ、維持しなければならない。
また、この方針を書面等（電子的方式、磁気的方式など人の知覚によっては認識できない方式で作られる記録を含む。以下、「書面等」という。）化し、全従業者に周知させるとともに、パネルなどへ表示し、健診施設内および移動健診会場などに掲示する。併せて、当センターホームペー
ジに掲載する等により一般の人が入手可能な措置を講じなければならない。
（１）事業の内容及び規模を考慮した適切な個人情報の取得、利用及び提供に関すること（特定された利用目的の達成に必要な範囲を超えた個人情報の取扱い（以下、「目的外利用」という。
）を行わないこと及びそのための措置を講じることを含む。）。
2

（２）個人情報の取扱いに関する法令、国が定める指針その他の規範を遵守すること。
（３）個人情報の漏えい、滅失またはき損の防止及び是正に関すること。
（４）苦情及び相談への対応に関すること。
（５）個人情報保護マネジメントシステムの継続的改善に関すること。
（６）トップマネジメントの氏名第２章 計 画第７条（個人情報の特定）
自らの事業の用に供するすべての個人情報を特定するための手順を確立し、かつ、維持しなけ
ればならない。
第８条（法令、国が定める指針その他の規範）
個人情報の取扱いに関する法令、国が定める指針その他の規範を特定し参照できる手順を確立し、かつ、維持しなければならない。
第９条（リスクアセスメント及びリスク対策）
第７条で特定した個人情報について、目的外利用を行わないため、必要な対策を講じる手順を確立し、かつ、維持しなければならない。また、その取扱いの個人情報保護リスクを特定し、分析し、必要な対策を講じる手順を確立し、かつ、維持しなければならない。
第１０条（資源、役割、責任及び権限）
トップマネジメントは、個人情報保護マネジメントシステムを確立し、実施し、維持し、かつ、改善するために不可欠な資源を用意しなければならない。また、個人情報保護マネジメントシス
テムを効果的に実施するために役割、責任及び権限を定め、文書化し、かつ、従業者に周知しなければならない。
トップマネジメントは、この規格の内容を理解し実践する能力のある個人情報保護統括責任者を当センターの内部の者から指名し、個人情報保護マネジメントシステムの実施及び運用に関する責任及び権限を他の責任にかかわりなく与え、業務を行わせなければならない。
個人情報保護統括責任者は、個人情報保護マネジメントシステムの見直し及び改善の基礎として、トップマネジメントに個人情報保護マネジメントシステムの運用状況を報告しなければならない。
第１１条（内部規程）
次の内部規程を文書化し、かつ、維持しなければならない。なお、「参照すべき法令規範一覧・確認表」(PMS003-010)に記載の法令等（厚生労働省、医療情報システムの安全管理に関するガイ
ドライン」を含む）の要件について、当センターが取り扱う個人情報のリスクを勘案して必要な措置を以下の内部規程に盛り込まなければならない。また、本条（１７）の「特定個人情報取扱3

規程」については、当センター「特定個人情取扱規程」に準ずる。
（１）個人情報を特定する手順に関する規定「個人情報の特定及びリスク評価対策規程」(PMS004)として策定。
（２）法令、国が定める指針その他の規範の特定、参照及び維持に関する規定「法令等の特定、参照、維持に関する規程」(PMS003)として策定。
（３）個人情報保護リスクアセスメント及びリスク対策の手順に関する規定「個人情報の特定及びリスク評価対策規程」として策定。
（４）各部門及び階層における個人情報を保護するための権限及び責任に関する規定「個人情報保護組織規程」(PMS005)として策定。
（５）緊急事態への準備及び対応に関する規定「個人情報緊急事態対応規程」(PMS006)として策定。
（６）個人情報の取得、利用及び提供に関する規定「個人情報取扱規程」(PMS007)として策定。
（７）個人情報の適正管理に関する規定「個人情報安全管理規程」(PMS008)及び「個人情報委託管理規程」(PMS009)として策定。
（８）本人からの開示等の求めへの対応に関する規定「個人情報開示等対応規程」(PMS010)として策定。
（９）教育に関する規定「個人情報保護教育規程」(PMS011)として策定。
（１０）文書化した情報の管理に関する規定「個人情報保護文書管理規程」(PMS014)として策定。
（１１）苦情及び相談への対応に関する規定「個人情報開示等対応規程」として策定。
（１２）点検に関する規定「個人情報保護点検規程」(PMS012)として策定。
（１３）是正処置に関する規定「個人情報保護是正及び見直し規程」(PMS013)として策定。
（１４）マネジメントレビューに関する規定「個人情報保護是正及び見直し規程」として策定（１５）内部規程の違反に関する罰則の規定
本規程第２７条（罰則）に規定。
（１６）医療情報システムの安全管理に関するガイドラインに則る旨の規定「医療情報システムの安全管理に関するガイドライン」に則った規程の整備は、個人情報保護基本規程及び他の個人情報保護に係る規程全体で対応。
（１７）特定個人情報の取扱に関する規定
当センター「特定個人情報取扱規程」に準ずる。
第１２条（計画書）
個人情報保護マネジメントシステムを確実に実施するために必要な教育、監査などの計画を4

立案し、文書化し、かつ、維持しなければならない。
第１３条（緊急事態への準備）
緊急事態を特定するための手順、また、それらにどのように対応するかの手順を確立し、実施
し、かつ、維持しなければならない。
また、個人情報保護リスクを考慮し、その影響を最小限とするための手順を確立し、かつ、維持しなければならない。
さらに、緊急事態が発生した場合に備え、次の事項を含む対応手順を確立し、かつ、維持しなければならない。
（１）当該漏えい、滅失またはき損が発生した個人情報の内容を本人に速やかに通知し、または本人が容易に知り得る状態に置くこと。
（２）二次被害の防止、類似事案の発生回避などの観点から、可能な限り事実関係、発生原因及び対応策を、遅滞なく公表すること。
（３）事実関係、発生原因及び対応策を関係機関に直ちに報告すること。

第３章 実施及び運用第１４条（運用手順）
当センターは、個人情報保護マネジメントシステムを確実に実施するために、運用の手順を明
確にしなければならない。
第１５条（取得、利用及び提供に関する原則）（１）利用目的の特定
個人情報を取得するに当たっては、その利用目的をできる限り特定し、その目的の達成に必要な限度において行わなければならない。
（２）適正な取得
適法、かつ、公正な手段によって個人情報を取得しなければならない。
（３）要配慮個人情報
新たに要配慮個人情報を取得する場合、あらかじめ書面による本人の同意を得ないで、要配慮個人情報を取得してはならない。ただし、本条（６）①～④のいずれかに該当する場合
及び個人情報取扱事業者の義務などの適用除外とされている者及び個人情報保護委員会規則で定めた者によって公開された個人情報、又は政令で定められた要配慮個人情報である
ときは、この限りではない。本条（６）①～④のいずれかに該当する場合は、本規程第２８条（個人情報取扱の例外事項に係る申請及び報告）の手続に従って、申請し承認を得なければならない。
また、要配慮個人情報の利用又は提供についても、同様に実施しなければならない。さらに、要配慮個人情報のデータの提供についても、同様に実施しなければならない。
（４）本人から直接書面等によって取得する場合の措置
本人から、書面等に記載された個人情報を直接に取得する場合には、少なくとも、次に示
5

す事項またはそれと同等以上の内容の事項を、あらかじめ、書面等によって本人に明示し、本人の同意を得なければならない。ただし、人の生命、身体または財産の保護のために緊急に必要がある場合、本条（５）①～④のいずれかに該当する場合は、この限りではない。このただし書きに係る例外状況が発生した場合は、本規程第２８条（個人情報取扱の例外事項に係る申請及び報告）の手続に従って、申請し承認を得なければならない。
①当センターの名称②個人情報保護統括責任者（若しくはその代理人）の氏名または職名、所属及び連絡先③利用目的④個人情報を第三者に提供することが予定される場合の事項－ 第三者に提供する目的－ 提供する個人情報の項目－ 提供の手段または方法－ 当該情報の提供を受ける者または提供を受ける者の組織の種類、及び属性－ 個人情報の取扱いに関する契約がある場合はその旨⑤個人情報の取扱いの委託を行うことが予定される場合には、その旨⑥本規程第１７条（４）～（７）に該当する場合には、その求めに応じる旨及び問合せ窓口⑦本人が個人情報を与えることの任意性及び当該情報を与えなかった場合に本人に生じる
結果⑧本人が容易に認識できない方法によって個人情報を取得する場合には、その旨（５）本条の（４）以外の方法によって取得した場合の措置
保健医療福祉分野の個人情報を本条（４）以外の方法によって取得する場合は、本人から明示的な同意を得なければならない。保健医療福祉分野以外の個人情報を本条（４）以外の方法によって取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかにその利用目的を、本人に通知し、または公表しなければならない。ただし、次に示すいずれかに該当する場合は、この限りではない。このただし書きに係る例外状況が発生した場合
は、本規程第２８条（個人情報取扱の例外事項に係る申請及び報告）の手続に従って、申請し承認を得なければならない。
①利用目的を本人に通知し、または公表することによって本人または第三者の生命、身体、財産その他の権利利益を害するおそれがある場合②利用目的を本人に通知し、または公表することによって当センターの権利または正当な利益を害するおそれがある場合③国の機関または地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、または公表することによって当該事務の遂行に支障を及ぼすおそれがあるとき④取得の状況からみて利用目的が明らかであると認められる場合（６）利用に関する措置
特定した利用目的の達成に必要な範囲内で個人情報を利用しなければならない。また、特定した利用目的の達成に必要な範囲を超えて個人情報を利用する場合は、あらかじめ、少な
くとも本条（４）①～⑥に示す事項またはそれと同等以上の内容の事項を本人に通知し、本6

人の同意を得なければならない、ただし、次に示すいずれかに該当する場合は、この限りではない。このただし書きに係る例外状況が発生した場合は、本規程第２８条（個人情報取扱の例外事項に係る申請及び報告）の手続に従って、申請し承認を得なければならない。
①法令に基づく場合②人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき③公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき④国の機関若しくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることによって当該事務の遂行に支障を及ぼすおそれがあるとき（７）本人に連絡又は接触する場合の措置
個人情報を利用して本人に連絡又は接触する場合には、本人に対して、本条（４）①～⑥に示す事項又はそれと同等以上の内容の事項、及び取得方法を通知し、本人の同意を得なけ
ればならない。ただし、次に掲げるいずれかに該当する場合は、本人に通知し、本人の同意を得ることを要しない。この場合、個人情報取扱規程、第１７条（本人に連絡又は接触する
場合の承認手続と同意の取得等）にあるように、「本人への連絡又は接触許可願い」（PMS007100）で申請し、承認を得なければならない。
保健医療福祉分野の個人情報を利用して本人に連絡又は接触する場合で、次に示すいずれかに該当する場合においても、原則、本人に対して、本条（４）①～⑥に示す事項またはそれと同等以上の内容の事項、及び取得方法を通知し、本人の同意を得なければならない。本
人の同意を得られない場合は、個人情報保護統括責任者に相談して対応策を協議し、当該状況に関して記録をとらなければならない。
①本条（４）①～⑥に示す事項またはそれと同等以上の内容の事項を明示または通知し、既に本人の同意を得ているとき②個人情報の取扱いの全部または一部を委託された場合であって、当該個人情報を、その利用目的の達成に必要な範囲内で取り扱うとき③合併その他の事由による事業の承継に伴って個人情報が提供され、個人情報を提供する事業者が、既に本条（４）①～⑥に示す事項またはそれと同等以上の内容の事項を明示または通知し、本人の同意を得ている場合であって、承継前の利用目的の範囲内で当該個人情報を取り扱うとき④個人情報が特定の者との間で共同して利用され、共同利用者が、既に本条（４）①～⑥に示す事項またはそれと同等以上の内容の事項を明示または通知し、本人の同意を得ている
場合であって、次に示す事項またはそれと同等以上の内容の事項を、あらかじめ、本人に通知し、または本人が容易に知り得る状態に置いているとき－ 共同して利用すること－ 共同して利用される個人情報の項目－ 共同して利用する者の範囲－ 共同して利用する者の利用目的
7

－ 共同して利用する個人情報の管理について責任を有する者の氏名または名称－ 取得方法⑤本条（５）④ に該当するため、利用目的などを本人に明示、通知または公表することなく取得した個人情報を利用して、本人に連絡又は接触するとき⑥本条（６）①～④のいずれかに該当する場合（８）提供に関する措置
個人データを第三者に提供する場合には、あらかじめ、本人に対して、取得方法及び本条（４）①～④の事項またはそれと同等以上の内容の事項を通知し、本人の同意を得なければならない。ただし、次に示すいずれかに該当する場合は、この限りではない。このただし書
き②～⑥により提供する場合は、個人情報取扱規程、第２０条（個人情報の提供において本人の同意を不要とする場合の手続）に従う。ただし書き⑦により提供する場合は、本規程第２８条（個人情報取扱の例外事項に係る申請及び報告）の手続に従って、申請し承認を得なければならない。
①本条（４）または（７）の規定によって、既に本条（４）①～④の事項またはそれと同等
以上の内容の事項を本人に明示または通知し、本人の同意を得ているとき②大量の個人情報を広く一般に提供するため、本人の同意を得ることが困難な場合であって、次に示す事項またはそれと同等以上の内容の事項を、あらかじめ、本人に通知し、またはそれに代わる同等の措置を講じているとき－ 第三者への提供を利用目的とすること－ 第三者に提供される個人データの項目－ 第三者への提供の手段または方法－ 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること－ 取得方法③法人その他の団体に関する情報に含まれる当該法人その他の団体の役員及び株主に関する情報であって、かつ、法令に基づきまたは本人若しくは当該法人その他の団体自らによって公開または公表された情報を提供する場合であって、本項②で示す事項またはそれと同等以上の内容の事項を、あらかじめ、本人に通知し、または本人が容易に知り得る状態に置いているとき④特定した利用目的の達成に必要な範囲内において、個人データの取扱いの全部または一部を委託するとき⑤合併その他の事由による事業の承継に伴って個人データを提供する場合であって、承継前の利用目的の範囲内で当該個人情報を取り扱うとき⑥個人データを特定の者との間で共同して利用する場合であって、次に示す事項またはそれと同等以上の内容の事項を、あらかじめ、本人に通知し、または本人が容易に知り得る状態に置いているとき－ 共同して利用すること－ 共同して利用される個人情報の項目－ 共同して利用する者の範囲
8

－ 共同して利用する者の利用目的－ 共同して利用する個人情報の管理について責任を有する者の氏名または名称－ 取得方法⑦本条（６）①～④のいずれかに該当する場合（８．１）外国にある第三者への提供の制限
個人データを外国にある第三者に提供する場合には、本条（８）のただし書き⑦を除いて、あらかじめ外国にある第三者への提供を認める旨の本人同意を得なければならない。提供の手続については、個人情報取扱規程、第１９条（提供の手続）に従う。ただし書き⑦により提供する場合は、本規程第２８条（個人情報取扱の例外事項に係る申請及び報告）の手続に従って、申請し承認を得なければならない。
（８．２）第三者提供に係る記録の作成
個人データを第三者に提供したときは、法令等の定めるところによって記録を作成し、保管しなければならない。提供に係る手続については、個人情報取扱規程、第１９条に従い、「個人情報提供・取得申請書」（PMS007-020）によって記録を残さなければならない。ただし、次に示すいずれかの場合は、この限りではない。ただし書き①に該当する業務については少なくとも年に一度、個人情報取扱規程、第１９条に従って申請し、承認を得なければならない。ただし書き②～④に係る例外状況が発生した場合は、本規定第２８条（個人情報取扱の例外に係る申請及び報告）の手続に従って、申請し承認を得なければならない。
①個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部または一部を委託することに伴って当該個人データが提供される場合②合併その他の事由による事業の継承に伴って個人データが提供される場合③特定の者との間で共同して利用される個人データが当該特定の者との間で共同して利用される場合であって、その旨並びに共同して利用される個人データ項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知するか、又は本人が容易に知り得る状態においているとき④本条（６）①～④のいずれかに該当する場合（８．３）第三者提供を受ける際の確認
第三者から個人データの提供を受けるに際しては法令等の定めるところによって確認を行い、その記録を作成、保管しなければならない。提供を受ける際の手続については、個人情報取扱規程、第１１条～第１３条に従い、「個人情報取得・変更申請書」（PMS007-010）によって記録を残さなければならない。ただし、本条（８．２）①～④のいずれかの場合は、
この限りではない。ただし書き①に該当する業務については少なくとも年に一度、個人情報取扱規程、第６条（健診業務等を受託する場合の間接取得）に従って申請し、承認を得なければならない。ただし書き②～④に係る例外状況が発生した場合は、本規定第２８条（個人情報取扱の例外に係る申請及び報告）の手続に従って、申請し承認を得なければならない。
（９）匿名加工情報の取扱い
当センターは個人情報を加工して得られる匿名加工情報を取り扱わないものとする。

9

第１６条（適正管理）（１）正確性の確保
利用目的の達成に必要な範囲内において、個人情報を、正確、かつ、最新の状態で管理しなければならない。
（２）安全管理措置
取り扱う個人情報の個人情報保護リスクに応じて、漏えい、滅失またはき損の防止その他の個人情報の安全管理のために必要、かつ、適切な措置を講じなければならない。
（３）従業者の監督
従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対し必要、かつ、適切な監督を行わなければならない。
（４）委託先の監督
個人データの取扱いの全部または一部を委託する場合は、十分な個人情報の保護水準を満たしている者を選定しなければならない。このため、委託を受ける者を選定する基準を確立しなければならない。
また、個人データの取扱いの全部または一部を委託する場合は、委託する個人データの安全管理が図られるよう、委託を受けた者に対する必要、かつ、適切な監督を行わなければならない。さらに、次に示す事項を契約によって規定し、十分な個人情報の保護水準を担保しなければならない。当該契約書などの書面は、少なくとも個人データの保有期間にわたって
保存しなければならない。
①委託者及び受託者の責任の明確化②個人データの安全管理に関する事項③再委託に関する事項④個人データの取扱状況に関する委託者への報告の内容及び頻度⑤契約内容が遵守されていることを委託者が確認できる事項⑥契約内容が遵守されなかった場合の措置⑦事件・事故が発生した場合の報告・連絡に関する事項⑧契約終了後の措置
第１７条（個人情報に関する本人の権利）（１）個人情報に関する権利
保有個人データに関して、本人から利用目的の通知、開示、内容の訂正、追加または削除、
利用の停止、消去及び第三者への提供の停止（以下、「開示等」という。）を求められた場合は、本条（４）～（７）の規定によって、遅滞なくこれに応じなければならない。ただし、次のいずれかに該当する場合は、保有個人データではない。このただし書きに該当する個人
データであることを理由に本条（４）～（７）で規定する手続をとらない場合は、本規程第２８条（個人情報取扱の例外事項に係る申請及び報告）の手続に従って、申請し承認を得なければならない。
①当該個人データの存否が明らかになることによって、本人または第三者の生命、身体または財産に危害が及ぶおそれのあるもの
10

②当該個人データの存否が明らかになることによって、違法または不当な行為を助長し、または誘発するおそれのあるもの③当該個人データの存否が明らかになることによって、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれまたは他国若しくは国際機関との交渉
上不利益を被るおそれのあるもの④当該個人データの存否が明らかになることによって、犯罪の予防、鎮圧または捜査その他の公共の安全と秩序維持に支障が及ぶおそれのあるもの（２）開示等の求めに応じる手続
本人からの開示等の求めに応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。また、本条（４）または（５）によって本人からの求めに応じる場合に、手数料を徴収するときは、実費を勘案して合理的であると認められる範囲内において、その額を定めなければならない。開示等の求めに応じる手続として次の事項を定めなければならない。
①開示等の求めの申し出先②開示等の求めに際して提出すべき書面の様式その他の開示等の求めの方式③開示等の求めをする者が、本人または代理人であることの確認の方法④本条（４）または（５）による場合の手数料（定めた場合に限る。
）の徴収方法（３）保有個人データに関する事項の周知など取得した個人データが保有個人データに該当する場合は、当該保有個人データに関し、次の事項を本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。
）に置かなければならない。
①当センターの名称②個人情報保護統括責任者（若しくはその代理人）の氏名または職名、所属及び連絡先③すべての保有個人データの利用目的（本規程第１５条（５）①～③に該当する場合を除く）④保有個人データの取扱いに関する苦情の申し出先⑤本条（２）によって定めた手続（４）保有個人データの利用目的の通知
本人から、当該本人が識別される保有個人データについて、利用目的の通知を求められた場合には、遅滞なくこれに応じなければならない。ただし、本規程第１５条（５）①～③のいずれかに該当する場合、または本条（３）の③によって当該本人が識別される保有個人データの利用目的が明らかな場合は利用目的の通知を必要としないが、そのときは、本人に遅滞なくその旨を通知するとともに、理由を説明しなければならない。このただし書きに係る例外状況により利用目的を通知しない場合は、本規程第２８条（個人情報取扱の例外事項に係る申請及び報告）の手続に従って、申請し承認を得なければならない。
（５）保有個人データの開示
本人から、当該本人が識別される保有個人データの開示（当該本人が識別される保有個人
データが存在しないときにその旨を知らせることを含む。
）を求められたときは、法令の規定によって特別の手続が定められている場合を除き、本人に対し、遅滞なく、当該保有個人データを書面（開示の求めを行った者が同意した方法があるときは、当該方法）によって開11

示しなければならない。ただし、開示することによって次の①～③のいずれかに該当する場
合は、その全部または一部を開示する必要はないが、そのときは、本人に遅滞なくその旨を通知するとともに、理由を説明しなければならない。このただし書きに係る例外状況により開示しない場合は、本規程第２８条（個人情報取扱の例外事項に係る申請及び報告）の手続に従って、申請し承認を得なければならない。また、法令上の義務について本人の同意を得られない場合は、個人情報保護統括責任者に相談して対応策を協議し、当該状況に関して記録をとらなければならない。
①本人または第三者の生命、身体、財産その他の権利利益を害するおそれがある場合②当センターの業務の適正な実施に著しい支障を及ぼすおそれがある場合③法令に違反することとなる場合（６）保有個人データの訂正、追加または削除
本人から、当該本人が識別される保有個人データの内容が事実でないという理由によって当該保有個人データの訂正、追加または削除（以下、この項において「訂正等」という。
）を求められた場合は、法令の規定によって特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づいて、当該保有個人データの訂正等を行わなければならない。また、訂正等を行ったときは、その旨及びその内容を、本人に対し、遅滞なく通知し、訂正等を行わない旨の決定をしたときは、その旨及びその理由を、本人に対し、遅滞なく通知しなければならない。訂正等を行わない旨の決定をした場合は、本規程第２８条（個人情報取扱の例外事項に係る申請及び報告）の手続に従って、申請し承認を得なければならない。
（７）保有個人データの利用または提供の拒否権
本人から当該本人が識別される保有個人データの利用の停止、消去または第三者への提供の停止（以下、この項において「利用停止等」という。）を求められた場合は、これに応じなければならない。また、措置を講じた後は、遅滞なくその旨を本人に通知しなければならない。ただし、本条（５）①～③のいずれかに該当する場合は、利用停止等を行う必要はな
いが、そのときは、本人に遅滞なくその旨を通知するとともに、理由を説明しなければならない。このただし書きに係る例外状況が発生した場合は、本規程第２８条（個人情報取扱の例外事項に係る申請及び報告）の手続に従って、申請し承認を得なければならない。また、
法令上の義務について本人の同意を得られない場合は、個人情報保護統括責任者に相談して対応策を協議し、当該状況に関して記録をとらなければならない。
第１８条（教育）
従業者に、定期的に適切な教育を行わなければならない。また、従業者に、関連する各部門及び階層における次の事項を理解させる手順を確立し、かつ、維持しなければならない。さらに、教育の計画及び実施、結果の報告及びそのレビュー、計画の見直し並びにこれらに伴う記録の保持に関する責任及び権限を定める手順を確立し、実施し、かつ、維持しなければならない。
（１）個人情報保護方針（内部向け個人情報保護方針及び外部向け個人情報保護方針）（２）個人情報保護マネジメントシステムに適合することの重要性及び利点（３）個人情報保護マネジメントシステムに適合するための役割及び責任12

（４）個人情報保護マネジメントシステムに違反した際に予想される結果

第４章 文書化した情報第１９条（文書の範囲）
次の個人情報保護マネジメントシステムの基本となる要素を書面で記述しなければならない。
（１）内部向け個人情報保護方針（２）外部向け個人情報保護方針（３）内部規程（４）内部規定に定める手順上で使用する様式（５）計画書（６）本規程及び関連規程が定める記録第２０条（文書化した情報（記録を除く。）の管理）本規程及び関連規程が定めるすべての文書化した情報（記録を除く。
）を管理する手順を確立し、実施し、かつ、維持しなければならない。
文書管理の手順には、次の事項が含まれなければならない。
（１）文書の発行及び改訂に関すること（２）文書の改訂の内容と版数との関連付けを明確にすること（３）必要な文書が必要なときに容易に参照できること
第２１条（文書化した情報のうち記録の管理）
個人情報保護マネジメントシステム及びこの規格の要求事項への適合を実証するために必要な記録を作成し、かつ、維持しなければならない。また、記録の管理についての手順を確立し、実施し、かつ、維持しなければならない。

第５章 苦情及び相談第２２条（苦情及び相談への対応）
個人情報の取扱い及び個人情報保護マネジメントシステムに関して、本人からの苦情及び相談を受け付けて、適切、かつ、迅速な対応を行う手順を確立し、かつ、維持しなければならない。
また、これらの目的を達成するために必要な体制の整備を行わなければならない。

第６章 点検13第２３条（運用の確認）
個人情報保護マネジメントシステムが適切に運用されていることが当センターの各部門及び階層において定期的に確認されるための手順を確立し、実施し、かつ、維持しなければならない。
第２４条（内部監査）
個人情報保護マネジメントシステムのこの規格への適合状況及び個人情報保護マネジメント
システムの運用状況を定期的に監査しなければならない。また、監査の計画及び実施、結果の報
告並びにこれに伴う記録の保持に関する責任及び権限を定める手順を確立し、実施し、かつ、維持しなければならない。
トップマネジメントは、公平、かつ、客観的な立場にある個人情報保護監査責任者を当センタ
ーの内部の者から指名し、監査の実施及び報告を行う責任及び権限を他の責任にかかわりなく与え、業務を行わせなければならない。
個人情報保護監査責任者は、監査を指揮し、監査報告書を作成し、トップマネジメントに報告しなければならない。監査員の選定及び監査の実施においては、監査の客観性及び公平性を確保しなければならない。

第７章 是正処置
第２５条（是正処置）
不適合に対する是正処置を確実に実施するための責任及び権限を定める手順を確立し、実施
し、かつ、維持しなければならない。その手順には、次の事項を含めなければならない。
（１）不適合の内容を確認する。
（２）不適合の原因を特定し、是正処置を立案する。
（３）期限を定め、立案された処置を実施する。
（４）実施された是正処置の結果を記録する。
（５）実施された是正処置の有効性をレビューする。

第８章 マネジメントレビュー
第２６条（マネジメントレビュー）
トップマネジメントは、個人情報の適切な保護を維持するために、「個人情報保護実施基準」(PMS020)で定めた時期に個人情報保護マネジメントシステムを見直さなければならない。
マネジメントレビューにおいては、次の事項を考慮しなければならない。
（１）監査及び個人情報保護マネジメントシステムの運用状況に関する報告（２）苦情を含む外部からの意見（３）前回までの見直しの結果に対するフォローアップ（４）個人情報の取扱いに関する法令、国の定める指針その他の規範の改正状況
14

（５）社会情勢の変化、国民の認識の変化、技術の進歩などの諸環境の変化（６）事業領域の変化（７）内外から寄せられた改善のための提案

第９章 罰則第２７条（罰則）
本規程及び関連規程に違反のあった従業者に対して、就業規則等に基づく制裁手続を適用する。

第１０章 個人情報取扱の例外事項に係る申請等第２８条（個人情報取扱の例外事項に係る申請及び報告）本規程及び第１１条（内部規程）で定めたすべての規程において、「ただし書き」で記述されている例外事項に関して個別の手続、様式を規定していない場合は、すべて「個人情報取扱の例外事項に係る申請報告書」（PMS002－010）で申請し承認を得なければならない。

承認を得て実施した結果については、「個人情報取扱の例外事項に係る申請報告書」で報告し承認を得なければならない。
申請時及び報告時の承認者は、個人情報保護管理者または窓口対応責任者を一次承認者とし最終承認者を個人情報保護統括責任者とする。

第１１章 附則
第２９条（改廃）
この規程の改廃は、個人情報保護委員会の決議を経なければならない。
第３０条（施行）
この規程は、平成２８年 ４月 １日から施行する。
この規程は、平成２８年 ９月１５日から施行する。
この規程は、平成２９年１０月 ２日から施行する。
この規程は、令和 ２年 １月 １日から施行する。

【 関連文書･帳票一覧 】
・「法令等の特定、参照、維持に関する規程」(PMS003)
・「個人情報の特定及びリスク評価対策規程」(PMS004)
・「個人情報保護組織規程」(PMS005)
15

・「個人情報緊急事態対応規程」(PMS006)
・「個人情報取扱規程」(PMS007)
・「個人情報安全管理規程」(PMS008)
・「個人情報委託管理規程」(PMS009)
・「個人情報開示等対応規程」(PMS010)
・「個人情報保護教育規程」(PMS011)
・「個人情報保護点検規程」(PMS012)
・「個人情報保護是正及び見直し規程」(PMS013)
・「個人情報保護文書管理規程」(PMS014)
・「個人情報保護実施基準」(PMS020)
・「個人情報取扱の例外事項に係る申請報告書」（PMS002－010）
・「参照すべき法令規範一覧・確認表」(PMS003-010)
・「特定個人情報取扱規程」(一般財団法人 下越総合健康開発センター 特定個人情報取扱規程を準ずる)

16