個人情報保護対策基準

Ⅰ 総則

１ 目的
この基準は、当社の個人情報保護方針に基づく個人情報の取扱いの基本事項を定めたもので、個人情報の保護と適正な利用を図ることを目的とする。
ただし、特定個人情報に係る固有の取扱いについては「特定個人情報保護対策基準」に定めるものとする。

２ 定義
この基準において、次の各号に掲げる用語の定義は、当該各号に定めるところによる。
(1) 個人情報
個人情報の保護に関する法律（以下「法」という。）第２条第１項、第２項に規定する個人情報をいう。
(2) 要配慮個人情報法第２条第３項に規定する要配慮個人情報をいう。
(3) 機微情報
金融分野における個人情報保護に関するガイドラインに規定されている機微情報をいう。
(4) 個人データ法第１６条第３項に規定する個人データをいう。
(5) 保有個人データ法第１６条第４項に規定する保有個人データであり、当社が、開示、内容の訂正、追加または削除、利用の停止、消去および第三者提供の停止のすべてに応じることのできる権限を有する個人データであって、次のもの以外のものをいう。
① 当該個人データの存否が明らかになることにより、本人または第三者の生命、身体または財産に危害が及ぶおそれがあるもの② 当該個人データの存否が明らかになることにより、違法または不当な行為を助長し、または誘発するおそれがあるもの③ 当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国もしくは国際機関との信頼関係が損なわれるおそれまたは他国もしくは国際機関との交渉上不利益を被るおそれがあるもの④ 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧または捜査その他公共の安全と秩序の維持に支障が及ぶおそれがあるもの⑤ ６か月以内に消去するもの(6) 仮名加工情報法第２条５項に規定する仮名加工情報をいう。
(7) 匿名加工情報法第２条第６項に規定する匿名加工情報をいう。

株式会社 高知県農協電算センター－1－(8) 個人関連情報法第２条７項に規定する個人関連情報をいう。
(9) 本人
個人情報によって識別される特定の個人をいう。
(10)

従業員
当社の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者等をいい、雇用関係にある従業員(センター長、一般職員、嘱託職員、契約職員、出向職員等)のみならず、取締役、監査役、派遣職員等も含まれる。

Ⅱ管理組織・体制

３ 個人情報保護管理者等(1) 個人情報保護管理者として、個人情報の保護のための措置に関する業務を統括するものとする。
(2) 個人情報保護管理者の責務については、別途「情報セキュリティ対策基準」により定められた情報統括責任者（ＣＩＯ）が担う。
(3) 個人情報保護管理者は部門ごとに個人情報保護部門責任者を選任し、自らが管理している個人情報の保護に関する施策の計画・実施およびその評価・改善に当たらせる。
(4) 個人情報保護部門責任者の責務については、別途「情報セキュリティ対策基準」により定められた部署情報処理責任者が担う。

４ 個人情報保護管理者の職務
個人情報保護管理者の職務は、次のとおりとする。ただし、その一部は必要に応じ個人情報保護部門責任者に行わせることができる。この場合には、この者を適切に管理・監督
しなければならない。
(1) 個人データの安全管理措置の立案と実施の管理(2) 個人情報保護計画の策定と実施結果に基づく評価・改善(3) (2)の個人情報保護計画には次の事項を盛り込まなければならない。
① 個人情報資産の調査・分析に基づく対応策の策定、実施、評価、改善② 個人情報保護のための責任者、管理者、担当者の役割とその業務内容③ 研修実施計画

５ 研修の実施
個人情報保護部門責任者は、職員その他の関係者に対して、個人情報保護計画に基づく教育・研修を効果的に行い、個人情報の重要性を自覚させる手順・方法を確立し維持しなければならない。

Ⅲ

株式会社 高知県農協電算センター

個人情報の取得および利用－2－

６ 取得の原則(1) 個人情報の取得は、適法、かつ公正な手段によって行わなければならない。
(2) 個人情報の取得に当たっては、取得の状況からみて利用目的が明らかであると認められる場合を除き、あらかじめ目的を特定して、その目的の達成に必要な限度において行わなければならない。

７ 要配慮個人情報の取得
要配慮個人情報については、次に掲げる場合を除くほか、あらかじめ本人の同意を得な
いで取得してはならない。
(1) 法令等に基づく場合(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき(5) 当社と学術研究機関等が共同して学術研究を行う場合において、当該学術研究機関
等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）(6) 当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、法および個人情報保護委員会規則で定める者により公開されている場合(7) 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合(8) 法第 27 条第５項各号の規定により、個人データである要配慮個人情報の提供を受ける場合

８ 機微情報の取扱い
機微情報については、次に掲げる場合を除くほか、取得・利用または第三者提供を行わない。
(1) 法令等に基づく場合(2) 人の生命、身体または財産の保護のために必要がある場合(3) 公衆衛生の向上または児童の健全な育成の推進のため特に必要がある場合(4) 国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合(5) 法第 20 条第２項第６号に掲げる場合に機微情報を取得する場合、法第 18 条第３項
第６号に掲げる場合に機微情報を利用する場合、または法第 27 条第１項第７号に掲げる場合に機微情報を第三者提供する場合(6) 源泉徴収事務等の遂行上必要な範囲において、政治・宗教等の団体への所属若しくは加盟に関する従業員等の機微情報を取得し、利用し、または第三者提供する場合(7) 相続手続による権利義務の移転等の遂行に必要な限りにおいて、機微情報を取得、利用または第三者提供する場合(8) 会社の適切な業務運営を確保する必要性から、本人の同意に基づき業務遂行上必要な範囲で機微情報を取得し、利用し、または第三者提供する場合(9) 機微情報に該当する生体認証情報を本人の同意に基づき、本人確認に用いる場合

株式会社 高知県農協電算センター－3－

９ 特定の機微な個人情報の取得の禁止
当社が行う事業の特性上必要な場合を除き、原則として次に示す内容を含む個人情報の取得、利用または提供を行ってはならないものとする。
(1) 思想、信条および宗教に関する事項(2) 人種、民族、門地、本籍地（都道府県を除く）、要配慮個人情報、その他社会的差
別の原因となる事項

１０

本人から書面で個人情報を直接取得する場合の措置(1) 本人との契約を締結することに伴って契約書その他の書面（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られる記録を含む。
以下同じ。
）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、次の事項を明示した上でなければ、これを行ってはならないものとする。
① 利用目的
② 個人情報を第三者に提供することが予定される場合には、その旨(2) 利用目的の達成に必要な場合には、利用目的を変更することができるが、この場合には変更された利用目的について、本人に通知し、または公表しなければならない。
(3) 前(1)、（2）の規定は、次に掲げる場合については、適用しない。
① 利用目的を本人に通知し、または公表することにより本人または第三者の生命、身体、財産その他の権利利益を害するおそれがある場合② 利用目的を本人に通知し、または公表することにより当社の権利または正当な利益を害するおそれがある場合③ 国の機関または地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、または公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき④ 取得の状況からみて利用目的が明らかであると認められる場合

１１

書面以外の方法により個人情報を直接取得する場合の措置(1) 書面による方法以外の方法により個人情報を取得する場合には、あらかじめその利用目的を当社のインターネット、ホームページ、パンフレット等への掲載の方法によって公表している場合を除き、速やかに、その利用目的を本人に通知するか、または公表しなければならないものとする。
(2) 「１０ 本人から書面で個人情報を直接取得する場合の措置」(2)および(3)の規定
は、書面による方法以外の方法により取得した個人情報の取扱いにつき準用する。

１２ 目的外の利用の禁止とその例外
本人の同意を得た上でなければ、「１０ 本人から書面で個人情報を直接取得する場合の措置」および「１１ 書面以外の方法により個人情報を直接取得する場合の措置」
により特定された利用目的の達成に必要な範囲を超えて、個人情報を取扱ってはならな
いものとする。ただし、次に掲げる場合はこの限りではない。
(1) 法令に基づく場合(2) 人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき株式会社 高知県農協電算センター－4－(3) 公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき(4) 国の機関若しくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき(5) 学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が 当
該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）。

１３ 目的外の利用の場合の措置
取得目的の範囲を超えて個人情報の利用を行う場合においては、個人情報保護管理者の承認を受けたうえ、あらかじめ本人の同意を得なければならない。

１４ 不適正利用の禁止
違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。

１５ 従業員の個人情報にかかる取扱い
当社は、従業員の個人情報を収集する場合には、従業員から直接取得するものとする。
ただし、次に掲げる場合にあってはこの限りでない。
① 収集目的以外の利用又は提供の目的、提供の場合にあっては提供先等について、事前に本人に通知した上で、その同意を得て行う場合② 法令に定めがある場合③ 当社従業員の生命、身体又は財産の保護のために緊急に必要があると認められる
場合④ 業務の性質上従業員本人から取得したのでは業務の適正な実施に支障を生じ、その目的を達成することが困難であると認められる場合⑤ 各号に掲げる場合の他、従業員本人以外の者から取得することに相当の理由があると認められる場合(2) 当社は、破棄又は削除もしくは従業員本人に返却する場合を除き、取得目的の範囲を超えて、その個人情報を処理してはならない。
(3) 当社は、従業員の機微情報を収集してはならない。ただし、法令に定めがある場合
および特別な職業上の必要性があること、その他業務の適正な実施に必要不可欠であって、利用目的を示して本人から同意を得て収集する場合は、この限りでない。

１６ 仮名加工情報の作成等(1) 仮名加工情報（仮名加工情報データベース等を構成するものに限る。以下同じ。）を作成するときは、次により個人情報を加工するものとする。
(ア)
個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること（当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
(イ)
個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えるこ
とを含む。
）
。
(ウ)
個人情報に含まれる不正に利用されることにより財産的被害が生じるおそ株式会社 高知県農協電算センター－5－

れがある記述等を削除すること（当該記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
(2) 仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等(仮名加工情報の作成に用いられた個人情報から削除された記述等及び個人識別符号並びに前項の規定により行われた加工の方法に関する情報をいう。以下同じ。)を取得したときは、削除情報等の漏えいを防止するため、次の安全管理措置を講ずるものとする。
① 削除情報等を取り扱う者（以下「削除情報等取扱者」という。）は該当する情報の所
管部門の担当者とし、その上長（管理職）を責任者とする。
② 責任者を含む削除情報等取扱者に対しては、削除情報等の作成・取得時及び人事異動による着任時等において、適切な研修・引継ぎを行う。
③ 責任者者は、削除情報等の取扱状況を把握するとともに、削除情報等に対する安全管理措置が適切かを評価し、必要に応じ改善を行う。
④ 削除情報等については、パスワードによる管理等のアクセス制御の措置を講ずるほか、ISMS 資産管理手順書における個人データの取扱いに準じ取扱うものとする。
(3) 法令に基づく場合を除くほか、第 17 条第 1 項の規定により特定された利用目的の達成に必要な範囲を超えて、仮名加工情報(個人情報であるものに限る。以下この条において同じ。)を取り扱ってはならない。
(4) 個人情報である仮名加工情報を取得した場合には、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を公表するものとする。また、利用目
的の変更を行った場合には、変更後の利用目的を公表するものとする。ただし、法に定めがある場合にはこの限りでない。
(5) 仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、
当該個人データ及び削除情報等を遅滞なく消去するよう努めるものとする。
(6) 法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供しないものとする。
(7) 仮名加工情報を取り扱うに当たっては、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該仮名加工情報を他の情報と照合しないものとする。
(8) 個人情報である仮名加工情報を取り扱う場合には、電話をかけ、郵便若しくは信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報の利用を行わないものとする。
(9) 法令に基づく場合を除くほか、仮名加工情報(個人情報であるものを除く。)を第三者に提供してはならない。

１７ 匿名加工情報の作成等
匿名加工情報（匿名加工情報データベース等を構成するものに限る。以下同じ。）を作成するときは、特定の個人を識別することおよびその作成に用いる個人情報を復元することができないようにするために必要なものとして当該個人情報を加工しなければならない。
(2) 当社は、匿名加工情報を作成したときは、その作成に用いた個人情報から削除した記述等及び個人識別符号並びに前項の規定により行った加工の方法に関する情報の漏えいを防止するために必要なものとして、これらの情報の安全管理のための措置を講じなければならない。
(3) 当社は、匿名加工情報を作成したときは、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない。

株式会社 高知県農協電算センター－6－

(4) 当社は、匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。

１８ 識別行為の禁止
当社は、匿名加工情報を作成して自ら当該匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該匿名加
工情報を他の情報と照合してはならない。

１９ 個人データの共同利用(1) 法第２３条第１項に該当する場合を除いて、個人情報を第三者との間で共同利用する場合、当該個人情報保護部門責任者は、次の事項について個人情報保護管理者と協議し、その承認を得なければならない。
① 共同して利用する個人データの項目② 共同して利用する者の範囲③ 共同して利用する者の利用目的④ 共同して利用する個人データの管理について、責任を有する共同利用者の氏名または名称及び住所並びに法人にあっては、その代表者の氏名(2) 個人データの共同利用は、個人情報保護管理者の承認を得て、個人情報保護部門責任者が必要な措置を講じた後に行うこととする。

２０

共同利用についての公表等(1) 取得した個人情報に係る個人データを特定の者と共同して利用する場合にあっては、その旨並びに共同して利用される個人データ項目、共同で利用する者の範囲、利用する者の利用目的および当該個人データの管理について責任を有する者の氏名または名称及び住所並びに法人にあっては、その代表者の氏名について、あらか
じめ、「１１ 書面以外の方法により個人情報を直接取得する場合の措置」の定める方法により本人が容易に知り得る状態においておくかまたは本人に通知しなけ
ればならない。
(2) 前(1)の場合において、個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名に変更があったときは遅滞なく、利用目的又は当該責任を有する者を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

２１ 個人データの第三者への提供
個人データを第三者に提供する場合には、あらかじめ部門管理者を通じ事務管理者に届け出るものとする。ただし、第３項第３号に掲げる場合であって緊急を要する場合はこの限りでない。
(2) 前項の通知を受けた事務管理者は、統括管理者と協議し、その承認を得なければならない。
(3) 前項の承認は、次の各号に該当する場合を除き、行ってはならない。
① 本人の同意を得ている場合② 法令に基づく場合③ 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を株式会社 高知県農協電算センター－7－

得ることが困難であるとき④ 公衆衛生の向上又は児童の健全な育成の推進のための特に必要がある場合であって、本人の同意を得ることが困難であるとき⑤ 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき⑥ 当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）。
(4) 第３項第１号に規定する本人の同意を得る際には、次に掲げる事項を本人に認識させたうえで、原則として、書面により同意を得る。ただし、本人の同意を得ようとする時点において、提供先の第三者が特定できないような場合には、それに代わる
参考情報を本人に認識させたうえで、同意を得る。
(ア)
個人データの提供先の第三者(イ)
提供先の第三者における利用目的(ウ)
第三者に提供される個人データの項目

２２ 個人関連情報の第三者提供の制限等(1) 提供先の第三者が個人関連情報（個人関連情報データベース等を構成するものに限る。以下同じ。
）を個人データとして取得することが想定されるときは、法第 27 条第1 項各号に掲げる場合を除き、当該第三者が当社から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていることについてあらかじめ当該第三者から申告を受ける方法その他適切な方法により確認をしないで、当該個人関連情報を提供してはならない。
(2) 前項(1)により個人関連情報を第三者に提供した場合には、次の確認にかかる記録を作成・保存するものとする。
(ア)
本人の同意を得ている旨(イ)
当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。
）の氏名（不特定かつ多数の者に対して提供したときは、その旨）(ウ)
当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項(エ)
当該個人データの項目

２３ 個人関連情報を個人データとして取得する場合の対応(1)当社が第三者から個人関連情報を個人データとして取得することが想定されるときは、法第 27 条第 1 項各号に掲げる場合を除き、本人から、当該第三者から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の同意を取得するものとする。
(2)前項により第三者から個人関連情報を個人データとして取得する場合には、第 24 条に定めるところにより、確認および記録の作成・保存を行うものとする。

Ⅳ

株式会社 高知県農協電算センター

個人データの適正管理－8－

２４ 個人データの正確性の確保
個人情報保護部門責任者は、個人データを利用目的に応じ必要な範囲内において、正確かつ最新の状態で管理しなければならない。

２５ 個人データの入出力・保管等
個人データのコンピュータへの入力・出力、台帳・申込書等の個人情報を記載した帳票・帳表の保管・管理等は、具体的な権限を与えられたものが行わなければならない。

２６ 個人データの移送・送信
個人データの移送・送信は、具体的な権限を与えられたもののみが外部流出等の危険を防止するために必要かつ適切な方法により、業務の遂行上必要な限りにおいて行わなければならない。

２７ 文書の管理
個人情報保護部門責任者は、この基準に基づき作成される文書を適切に管理しなければならない。

２８ その他の安全管理措置
個人データの漏えい、滅失またはき損の防止その他の個人データの安全管理のための措置については、別に定める「情報セキュリティ基本方針」および「情報セキュリティ対策基準」の定めるところによる。

Ⅴ

保有個人データに関する本人からの開示請求等への対応

２９ 個人情報保護苦情・相談窓口の設置(1) 個人情報保護管理者は、個人情報の取扱いに関する苦情・相談を受け付けて対応する窓口を設置し、この連絡先を本人に通知または公表しなければなければならない。
(2) 前(1)の手続は、当社規定類の「苦情等対応要領」に定めるところによる。

３０ 利用目的の通知(1) 本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、次の各号のいずれかに該当する場合を除き、本人に対し、遅滞なく、これを通知しなければならない。
① あらかじめ本人が知り得る状態にしてあることにより、当該本人が識別される保有個人データの利用目的が明らかな場合② 次に掲げる場合(a)利用目的を本人に通知し、または公表することにより本人または第三者の生命、身体、財産その他の権利利益を害するおそれがある場合(b)利用目的を本人に通知し、または公表することにより当社の権利または正当な利益を害するおそれがある場合(c)国の機関または地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、または公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき(d)取得の状況からみて利用目的が明らかであると認められる場合

株式会社 高知県農協電算センター－9－(2) 前(1)の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

３１ 本人からの開示請求等への対応(1) 本人から、当該本人が識別される保有個人データの開示（当該本人が識別される保有個人データが存在しないときにその旨を知らせることを含む。以下同じ。）を求められたときは、本人に対し、電磁的記録の提供による方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）又は書面の交付のうち当該本人が請求した方法により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部または一部を開示しないことができる。
① 本人または第三者の生命、身体、財産その他の権利利益を害するおそれがある場
合② 当社の業務の適正な実施に著しい支障を及ぼすおそれがある場合③ 法以外の他の法令に違反することとなる場合(2) 前(1)の規定に基づき求められた保有個人データの全部若しくはは一部について開示しない旨の決定をしたとき、当該保有個人データが存在しないとき、又は前項の規定により本人が請求した方法による開示が困難であるときは、本人に対し、遅滞なく、その旨を通知しなければならない。
(3) 法以外の他の法令の規定により、本人に対し（1）に規定する方法に相当する方法により当該本人が識別される保有個人データの全部または一部を開示することとされている場合には、当該全部または一部の保有個人データについては、前（1）の規定は適用しない。

３２ 訂正等(1) 本人から、当該本人が識別される保有個人データの内容が事実でないという理由によって当該保有個人データの内容の訂正、追加または削除（以下「訂正等」という。）を求められた場合には、その内容の訂正等に関して法以外の他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。
(2) 前(1)の規定に基づき求められた保有個人データの内容の全部若しくは一部について訂正等を行ったとき、または訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を通知しなけ
ればならない。

３３ 利用停止等(1) 本人から、当該本人が識別される保有個人データが法第 18 条（利用目的の制限）
若しくは法第 19 条（不適正な利用の禁止）の規定に違反して取り扱われているという理由又は法第 20 条（適正な取得）の規定に違反して取得されたものであるという理由によって、当該保有個人データの利用の停止または消去（以下「利用停止等」という。）を求められた場合であって、その求めに理由があることが判明した
ときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多株式会社 高知県農協電算センター－10－

額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
(2) 本人から、当該本人が識別される保有個人データが法第 27 条（第三者提供の制限）
第１項の規定に違反して第三者に提供されているという理由によって、当該保有個人データの第三者への提供の停止を求められた場合であって、その求めに理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

(3) 本人から、当該本人が識別される保有個人データを当社が利用する必要がなくなったという理由、当該本人が識別される保有個人データに係る法第 26 条第 1 項本文に規定する事態が生じたという理由その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがあるとの理由によって、当該保有個人データの利用停止等又は第三者への提供の停止を求められた場合であって、その求めに理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの利用停止等
又は第三者への提供を停止しなければならない。ただし、当該保有個人データの利用停止等又は第三者への提供の停止に多額の費用を要する場合その他の利用停止
等又は第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
(4) 前(1) 若しくは(3)の規定に基づき求められた保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をした
とき、または(2) 若しくは(3)の規定に基づき求められた保有個人データの全部若
しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

３４ 理由の説明「３０ 利用目的の通知 (2) ※同(4)により準用する場合も含む」、「３１ 本人からの開示請求等への対応 (2)」、「３２ 訂正等 (2)」、「３３ 利用停止等 (4)」の規定
により、本人から求められた措置の全部または一部について、その措置をとらない旨を通知する場合またはその措置と異なる措置をとる旨を通知する場合は、本人に対し、その理由を説明するよう努めるものとする。

３５ 開示等の求めに応じる手続「３０ 利用目的の通知 (1) ※同(4)により準用する場合も含む」、「３１ 本人からの開示請求等への対応 (1)」、「３２ 訂正等 (1)」、「３３ 利用停止等 (1)」の規定による求めに応じる場合は、情報セキュリティ対策基準の情報セキュリティ管理体制で規定された個人情報保護部門責任者を通じて、個人情報保護管理者の許可を得て開示等の求めに応じるものとする。

３６ 個人情報保護苦情・相談窓口の設置(1) 統括管理者は、個人情報の取扱いに関する苦情・相談を受付けて対応する窓口を設置し、この連絡先を本人に通知又は公表しなければなければならない。
(2) 前項の手続の要領は、「苦情等対応要領」に定めるところによる。
株式会社 高知県農協電算センター－11－Ⅵ 消去・廃棄

３７ 漏えい事案への対応(1) 個人情報を廃棄する場合は、シュレッダーにかけて読み取り不能とするか、信頼できる廃棄物処理業者に廃棄を委託しなければならない。
(2) 個人情報を記録したコンピュータ、記憶媒体を破棄するときは、特別のソフトウェ
アーまたは消磁装置等を使用して個人情報を完全に消去するか、記憶媒体を破壊してから廃棄するものとする。
(3) 個人情報を記録したコンピュータを他に転用するときは、特別のソフトウェアーを使用して個人情報を完全に消去から転用しなければならない。
(4) 個人情報の廃棄作業は、所定の手続きにより行う。

Ⅶ

個人データの漏えい等発生時の対応等

３８ 統括管理者等への報告等
個人データの漏えい、滅失、 毀損その他の個人データの安全の確保に係る事態であって次に掲げる事態が発覚した場合には、事案を把握した者は直ちに部門管理者に報告しなければならない。この場合、報告を受けた部門管理者は事務管理者を通じて社長及び統括管理者に直ちに報告しなければならない。
(1) 要配慮個人情報が含まれる個人データ（高度な暗号化その他の 個人の権利利益を保護するために必要な措置を講じたものを除 く。以下この条において同じ。
）の漏えい、
滅失 若しくは毀損（以下「漏えい等」という。
）が発生し、又は発生したおそれがある事態(2) 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態(3) 不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態(4) 個人データに係る本人の数が千人を超える漏えい等が発生し、 又は発生したおそれがある事態(5) その他法令等において定めのある事態

３９ 再発防止策の策定等(1)「３６ 個人情報保護苦情・相談窓口の設置」の場合において、統括管理者は、個人データの漏えい等事案（おそれのある場合を含む。以下同じ。
）による被害が発覚時よりも拡大しないよう必要な措置を講ずるとともに、漏えい等事案の事実関係の調査及び原因の究明に必要な措置を講じなければならない。
(2) 統括管理者は、前項により把握した事実関係による影響範囲の特定のために必要な措置を講ずるとともに、個人データの漏えい等事案の再発防止策の検討及び実施に必要な措置を講じなければならない。

４０ 行政庁等への報告(1)当社は、「Ⅵ 個人データの漏えい等発生時の対応等」に掲げる事態を知ったときには、株式会社 高知県農協電算センター－12－速やか（概ね３～５日以内）に、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。次項において同じ。
）を行政庁に報告しなければならない。
①概要② 漏えい等が発生し、又は発生したおそれがある個人データの項目③ 漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数④ 原因⑤ 二次被害又はそのおそれの有無及びその内容⑥ 本人への対応の実施状況⑦ 公表の実施状況⑧ 再発防止のための措置⑨ その他参考となる事項(2)当社は、「Ⅵ 個人データの漏えい等発生時の対応等」に掲げる事態を知った日から 30
日以内（当該事態が３８ 統括管理者等への報告等(3)に定めるものである場合にあっては、60 日以内）に、当該事態に関する前項各号に定める事項（確報）を行政庁に報告しなければならない。なお、確報を行う時点において、合理的努力を尽くした上で、一部の事項が判明しておらず、全ての事項を報告することができない場合には、その時点で把握している内容を報告し、判明次第、報告を追完するものとする。
(3)前項の報告内容は、取締役会に報告することとする。
(4)(1)及び(2)の報告内容は、必要に応じ中央会及び関係連合会に報告することとする。
４１ 本人への通知(1)当社は、「３８ 統括管理者等への報告等」(1)から(4)に掲げる事態が生じた場合（法令で定める場合を除く）は、本人に対し、当該事態を知った後、当該事態の状況に応じて速やかに、当該本人の権利利益を保護するために必要な範囲において、次に掲げる事項を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
① 概要② 漏えい等が発生し、又は発生したおそれがある個人データの項目③ 原因④ 二次被害又はそのおそれの有無及びその内容⑤ その他参考となる事項(2) 「統括管理者等への報告等」(5)に掲げる事態が生じた場合の本人への通知は、必要に応じ、前項に準じ対応するものとする。

４２ 公表
当社は、
「３８ 統括管理者等への報告等」に掲げる事態が生じた場合、二次被害の防止、類似事案の発生防止等の観点から公表することが適当と判断した場合には、事実関係及び再発防止策等について、速やかに公表するものとする。

４３ 「３８ 統括管理者等への報告等」に該当しない個人データの漏えい等が発生した場合の対応(1)「３８ 統括管理者等への報告等」に該当しない個人データの漏えい等事案が生じた
場合の報告体制は、「３８ 統括管理者等への報告等」に準じる。
(2) 前項の場合においては、再発防止策のほか、必要な措置を講ずる。

４４ 主管部署
個人データの漏えい等事案が発生した場合の主管部署は総務部とする。

株式会社 高知県農協電算センター

－13－

Ⅷ

監査

４５ 監査の実施(1) 当社は、当社における個人情報保護に関する措置が適切に行われているかどうかについて、少なくとも年１回は監査を実施し、その結果を監査役および情報セキュリ
ティ委員会に報告しなければならないものとする。

(2) 前(1)の監査は、内部監査部署が担うものとする。ただし、外部の第三者に監査業務を委託することを妨げない。

４６ 監査計画等(1) 内部監査部署の長は、年１回個人情報保護のための監査計画を立案し、情報セキュリティ委員会の承認を得なければならない。

(2) 前(1)の監査計画および内部監査の実施は、別途「内部監査規程」に定めるところ
による。
Ⅸ

雑則

４７ 罰則
(1) 当社は、本基準に違反した職員に対して就業規則等に基づき懲戒その他の処分を行わなければならない。

(2) 前(1)の手続きは就業規則等に定めるところによる。
４８ 基準の改廃
この基準の改廃は、取締役会の決議をもって行う。

以上

附 則
この基準は、平成１７年４月１日より施行する。
この基準は、平成２７年１０月１日より施行する。
この基準は、平成２９年５月３０日より施行する。
この基準は、２０２０年８月１日から施行する。
この基準は、２０２２年４月１日から施行する。

株式会社 高知県農協電算センター－14－