3-3-1

個人情報保護規程
平成２８年４月１日
２８（規程）第４７号
最終改正 令和６年４月１日
令０６（規程）第２６号
目次
第１章 総則（第１条・第２条）
第２章 個人情報保護の体制（第３条―第８条）
第３章 個人情報の取扱い（第９条―第２７条）
第４章 個人情報ファイルの保有に関する通知等（第２８条―第３０条）
第５章 開示、訂正、利用停止及び相談対応（第３１条―第３４条）
第６章 相談対応（第３５条）
第７章 教育研修（第３６条）
第８章 雑則（第３７条―第４０条）
附則
第１章

総則

（目的）
第１条 本規程は、「個人情報の保護に関する法律」（平成１５年法律第５７号。以下「法」という。）で要請される個人情報の取扱いに関し、国立研究開発法人量子科学技術研究開発機構（以下「機構」という。
）における基本的事項を定め、機構の業務の適切かつ円滑な運営を図りつつ、個人の権利利益を保護することを目的とする。
（定義）
第２条 この規程における用語の定義は、次のとおりとする。
（１）「個人情報」とは、生存する個人に関する情報であって当該情報に含まれる氏名、生年月日その他の記述等（文書、図面若しくは電磁的記録で作られる記録をいう。）
により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をい
い、文書によるものの他、映像、音声による情報も含まれ、符号化、暗号化されているか否かを問わない。
なお、当該個人が死亡した後においても、当該個人の情報が他の者の個人情報である場合には本規程を適用し、それ以外の場合にあっても当該個人の情報を保存して

3-3-1いる場合には、漏えい、消失又はき損等の防止のため本規程と同等の安全管理措置を講ずるよう努めるものとする。
（２）「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるものをいう。
イ

特定の個人情報を電子計算機を用いて検索することができるように体系的に構

成したもの
ロ

イに掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものであり、これに含まれる個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを
有するもの
（３）
「個人データ」とは、機構が管理する個人情報データベース等を構成する個人情報をいう。
（４）「保有個人データ」とは、機構が、開示、内容の訂正、追加または削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして次に掲げるもの以外のものをいう。
イ 当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの
ロ

当該個人データの存否が明らかになることにより、違法又は不当な行為を助長

し、又は誘発するおそれがあるもの
ハ 当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、
他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機
関との交渉上不利益を被るおそれがあるもの
ニ 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの
ホ ６か月以内に消去することとなるもの（５）「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要する記述等が含まれる個人情報をいう。
（６）「本人」とは、個人情報によって識別される特定の個人をいう。
（７）「個人関連情報取扱事業者」とは、個人関連情報データベース等を事業の用に供している者をいう。ただし、次に掲げる者を除く。
イ 国の機関ロ 地方公共団体
ハ 独立行政法人等（法別表第２に掲げる法人を除く）

3-3-1

二 地方独立行政法人

第２章

個人情報保護の体制（総括個人情報保護管理者）
第３条

保有個人データの管理を統括するため、総括個人情報保護管理者を一人置くこととし、理事長が指名する理事をもって充てる。総括個人情報保護管理者は、保有個人デー
タの管理に関する事務を総括する任に当たる。
（個人情報保護管理者）
第４条

保有個人データの管理を適切に行うため、本部部長及び各研究所相当組織の長を

個人情報保護管理者とする。
２

総務部長は、個人情報保護管理者の取りまとめを行う。
（個人情報保護責任者）

第５条

研究組織の部又は部に相当する組織の長を個人情報保護責任者とし、個人情報保護管理者の事務を補助するとともに、各組織における保有個人データの適切な管理の確保に関する事務を担当する。
（個人情報保護担当者）
第６条

各課室等の長を個人情報保護担当者とし、個人情報保護管理者及び個人情報保護責任者を補佐し、各課室等における保有個人データの適切な管理の確保に関する事務を担当する。
２

個人情報保護管理者又は個人情報保護責任者は、所掌する組織において課室等が設置されていないことにより保護担当者が存在しない場合は、所属職員のうちから個人情報保護担当者を一人又は複数人置くことができる。
（監査責任者）
第７条 保有個人データの管理の状況について監査するため、監査責任者を置く。
２

監査責任者は内部監査室長をもって充てる。

３

監査責任者は、保有個人データの管理の状況について、定期又は随時に監査を行い、その結果を総括個人情報保護管理者に報告する。
（委員会）

第８条 総括個人情報保護管理者は、保有個人データの管理（開示決定、審査請求等の法に

3-3-1

定める手続きを含む。
）に係わる重要事項の決定、連絡・調整等を行うため必要があると認めるときは、個人情報保護対応委員会を開催する。
２

個人情報保護対応委員会の設置及び運営については別に定める。
第３章

個人情報の取扱い（利用目的の特定）
第９条 機構は、個人情報を取り扱うにあたっては、その利用の目的（以下「利用目的」という。
）をできる限り特定しなければならない。
２

個人情報は、原則として利用目的の範囲内で、具体的な権限を与えられた者のみが、業務の遂行上必要な限りにおいて利用できるものとし、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。
（利用目的による制限）
第１０条 機構は、次に掲げる場合を除き、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
（１）法令に基づく場合（２）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
（３）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
（４）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
（５）当該個人情報を学術研究の用に供する目的（以下、「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
（６）大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者（以下、「学術研究機関等」という。
）に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人デー
タを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
（個人情報の取扱いの原則）
第１１条 個人情報の取得は、適法かつ公正な方法により行うものとし、また、違法若しく3-3-1

は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。
（取得に際しての利用目的の通知等）
第１２条 機構は、個人情報を取得した場合は、様式にあらかじめ記載する、窓口に掲示す
る、口頭で説明するなどにより、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
２

機構は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ。
）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

３

機構は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。

４

前三項の規定は、次に掲げる場合については、適用しない。
（１）利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（２）利用目的を本人に通知し、又は公表することにより量研の権利又は正当な利益を害するおそれがある場合（３）国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
（４）取得の状況からみて利用目的が明らかであると認められる場合（誤りの訂正）第１３条 機構の役員又は職員（以下、「職員」という。
）は、保有個人データの内容に誤り等を発見した場合には、個人情報保護管理者の指示に従い、訂正等を行うものとする。
（複製等の制限）第１４条

職員は、利用目的であって業務上の目的で保有個人データを取り扱う場合であっても、次の各号に掲げる行為については、個人情報保護管理者の指示に従って、外部流失等の危険を防止するために必要最低限かつ適切な方法により業務の遂行上必要な限り
において行う。
（１）保有個人データの複製（２）保有個人データの送信（３）保有個人データが記録されている媒体の外部への送付又は持出し

3-3-1（４）保有個人データの受入研究員等への提供又は共同研究、受託研究、委託研究等の相手方への提供（利用の許諾も含む。
）（５）その他保有個人データの適切な管理に支障を及ぼすおそれのある行為（媒体の管理等）
第１５条 職員は、個人情報保護管理者の指示に従い、保有個人データが記録されている媒体を定められた場所に保管するとともに、必要があると認めるときは、耐火金庫への保管、施錠等を行う。
（廃棄等）
第１６条 職員は、保有個人データ又は保有個人データが記録されている媒体（端末及びサーバに内蔵されているものを含む。
）を利用する必要がなくなった場合には、個人情報保護管理者の指示に従い、当該保有個人データの復元又は判読が不可能な方法により当該情報の消去又は当該媒体の廃棄を行う。
（個人情報管理台帳の整備）
第１７条 個人情報保護管理者は、別に総務課長が示す様式により、保有個人データの秘匿性等その内容に応じて、個人情報管理台帳を整備して、当該保有個人データの利用及び保管等の取扱いの状況について記録する。
（情報システムの安全確保等）
第１８条

機構は、情報システムの安全確保等及び情報システム室等の安全管理等について、次項から第２４項に規定する措置を講ずる。
２

個人情報保護管理者は、情報システム管理者と協力の上、情報システムで取り扱う保有
個人データの秘匿性等その内容に応じて、パスワードやＩＣカード、生体情報等を使用して権限を識別する機能（以下「認証機能」という。
）を設定する等のアクセス制御のために必要な措置を講ずる。

３

個人情報保護管理者は、情報システム管理者と協力の上、パスワード等の定期又は随時の見直しを含む管理ルールを整備し、またパスワード等の読取防止等を行うために必要な措置を講ずる。

４

個人情報保護管理者は、情報システム管理者と協力の上、保有個人データの秘匿性等その内容に応じて、当該保有個人データへのアクセス状況の記録（以下「アクセス記録」という。
）を一定の期間保存し、定期的に分析するために必要な措置を講ずる。

５

個人情報保護管理者は、アクセス記録の改ざん、窃取又は不正な消去の防止のために必要な措置を講ずる。

６

個人情報保護管理者は、情報システム管理者と協力の上、保有個人データの秘匿性等そ

3-3-1の内容及び量に応じて、当該保有個人データへの不適切なアクセスの監視のため、一定量以上の情報が情報システムからダウンロードされた場合に警告表示がなされる機能の設定、若しくは定期的なアクセス記録の確認によるアクセスの監視を行う等の必要な措置を講ずる。
７

個人情報保護管理者は、情報システム管理者と協力の上、保有個人データの秘匿性等その内容に応じて、情報システムの管理者権限の特権を不正に窃取された際の被害の最小化、及び内部からの不正操作等の防止のため、当該特権を最小限とする等の必要な措置を講ずる。

８

個人情報保護管理者は、情報システム管理者と協力の上、保有個人データを取り扱う情報システムへの外部からの不正アクセスを防止するため、ファイアウォールの設定による経路制御等の必要な措置を講ずる。

９

個人情報保護管理者は、情報システム管理者と協力の上、不正プログラムによる保有個人データの漏えい、滅失又はき損の防止のため、ソフトウェアに関する公開された脆弱性の解消、把握された不正プログラムの感染防止等に必要な措置を講ずる。

１０

職員は、保有個人データについて一時的に加工等の処理を行うため複製等を行う場

合には、その対象を必要最小限に限り、処理終了後は不要となった情報を速やかに消去する。個人情報保護管理者は当該保有個人データの秘匿性等その内容に応じて、随時、消去
等当の実施状況を重点的に確認する。
１１ 個人情報保護管理者は、情報システム管理者と協力の上、保有個人データの秘匿性等
その内容に応じて、その暗号化のために必要な措置を講ずる。職員はこれを踏まえ、当該保有個人データの秘匿性等その内容に応じて、適切に暗号化を行う。
１２ 職員は、情報システムで取り扱う保有個人データの重要度に応じて、入力原票と入力
内容との照合、処理前後の当該保有個人データの内容の確認、既存の保有個人データとの照合等を行う。
１３ 個人情報保護管理者は、情報システム管理者と協力の上、保有個人データの重要度に応じて、バックアップを作成し、分散保管するために必要な措置を講ずる。
１４ 個人情報保護管理者は、情報システム管理者と協力の上、保有個人データに係る情報システムの設計書、構成図等の文書について外部に知られることがないよう、その保管、複製、廃棄等について必要な措置を講ずる。
１５ 個人情報保護管理者は、保有個人データの秘匿性等その内容に応じて、その処理を行
う端末を限定するために必要な措置を講ずる。
１６ 個人情報保護管理者は、情報システム管理者と協力の上、端末の盗難又は紛失の防止のため、端末の固定、執務室の施錠等の必要な措置を講ずる。
１７ 職員は、個人情報保護管理者が必要と認めるときを除き、端末を外部へ持ち出し、又は外部から持ち込んではならない。
１８ 職員は、端末の使用に当たっては、保有個人データが第三者に閲覧されることがない3-3-1

よう、使用状況に応じて情報システムからログオフを行うことを徹底する等の必要な措置を講ずる。
１９ 個人情報保護管理者は、情報システム管理者と協力の上、保有個人データの秘匿性等
その内容に応じて、当該保有個人データの漏えい、滅失又はき損の防止のため、スマート
フォン、ＵＳＢメモリ等の記録機能を有する機器・媒体の情報システム端末等への接続の制限（当該機器の更新への対応を含む。
）等の必要な措置を講ずる。
２０ 個人情報保護管理者は、情報システム管理者と協力の上、保有個人データを取り扱う
基幹的なサーバ等の機器を設置する室その他の区域（以下「情報システム室等」という）に立ち入る権限を有する者を定めるとともに、用件の確認、入退の記録、部外者についての識別化、部外者が立ち入る場合の職員の立会い又は監視設備による監視、外部電磁的記
録媒体等の持込み、利用及び持ち出しの制限又は検査等の措置を講ずる。また、保有個人データを記録する媒体を保管するための施設を設けている場合においても、必要があると認めるときは、同様の措置を講ずる。
２１ 個人情報保護管理者は、情報システム管理者と協力の上、必要があると認めるときは、
情報システム室等の出入口の特定化による入退の管理の容易化、所在表示の制限等の措置を講ずる。
２２ 個人情報保護管理者は、情報システム管理者と協力の上、情報システム室等及び保管施設の入退の管理について、必要があると認めるときは、立入りに係る認証機能の設定、及びパスワード等の定期又は随時の見直しを含む管理ルールを整備し、パスワード等の読取防止等を行うために必要な措置を講ずる。
２３ 個人情報保護管理者は、情報システム管理者と協力の上、外部からの不正な侵入に備え、情報システム室等に施錠装置、警報装置、監視設備の設置等の措置を講ずる。
２４ 個人情報保護管理者は、情報システム管理者と協力の上、災害等に備え、情報システ
ム室等に、耐震、防火、防煙、防水等の必要な措置を講ずるとともに、サーバ等の機器の予備電源の確保、配線の損傷防止等の措置を講ずる。
（アクセス制限）第１９条 個人情報保護管理者は、保有個人データの秘匿性等その内容（匿名化の程度等による個人識別の容易性、要配慮個人情報の有無並びに漏えい等が発生した場合に生じ得る被害の性質及びその程度等を含む。以下同じ。
）に応じて、当該保有個人データにアクセスする職員の範囲と権限内容を、当該職員が業務を行う上で必要最低限の範囲に限る
ものとする。
２

保有個人データにアクセスする職員は、個人情報保護責任者が指名するものとし、アクセス権限を有しない職員は、保有個人データにアクセスしてはならない。

３

職員は、アクセス権限を有する場合であっても、業務上の目的以外の目的で保有個人データにアクセスしてはならない。

3-3-1（従事者の義務）第２０条

次の各号に掲げる者は、その業務に関して知り得た個人情報の内容をみだりに

他人に知らせ、又は不当な目的に利用してはならない。
（１）個人情報の取扱いに従事する機構の職員又はかつてこれらの職にあった者（２）第２１条第２項の受託業務に従事している者又は従事していた者
２

委託業務を行う職員、派遣職員を受け入れる職員及び受入研究員等を受け入れ、指導する職員は、個人情報を取り扱うこれらの者に対して、本規程を順守するとともに、その業務に関して知り得た個人情報の内容をみだりに他人に知らせ、又は不当な目的に利用しないよう指導・監督しなければならない。
（個人情報の取扱いに関する委託）第２１条 職員は、個人情報の取扱いを派遣職員又は第三者（役務職員を含む。以下本条において同じ。
）に委託する場合は、個人情報保護管理者の承認を得るものとする。
２

保有個人データの取扱いに係る業務を派遣職員又は第三者に委託する場合には、個人情報の適切な管理を行う能力を有しない者を選定することがないよう、必要な措置を講ずる。
３

保有個人データの取扱いに係る業務を第三者に委託する場合には、契約書に、次の各号に掲げる事項を明記するとともに、委託先における責任者及び業務従事者の管理及び実
施体制、個人情報の管理の状況についての検査に関する事項等の必要な事項について書面で確認する。
（１）個人情報に関する秘密保持、目的外利用の禁止等の義務（２）再委託（再委託先が委託先の子会社（会社法（平成１７年法律第８６号）第２条第１項第３号に規定する子会社をいう。）である場合も含む。本号及び第４項において同じ。
）の制限又は事前承認等再委託に係る条件に関する事項（３）個人情報の複製の制限に関する事項（４）個人情報の漏えい等の事案の発生時における対応に関する事項（５）委託終了時における個人情報の消去及び媒体の返却に関する事項（６）違反した場合における契約解除、損害賠償責任その他必要な事項

４

保有個人データの取扱いに係る業務を第三者に委託する場合には、委託する業務に係

る保有個人データの秘匿性等その内容やその量等に応じて、委託先における管理体制及び実施体制や個人情報の管理の状況について、少なくとも年１回以上、原則として実地検査により確認する。
５

委託先において、保有個人データの取扱いに係る業務が再委託される場合には、委託先に第２項に規定する措置を講じさせるとともに、再委託される業務に係る保有個人デー

タの秘匿性等その内容に応じて、委託先を通じて又は委託元自らが第４項に規定する措

3-3-1

置を実施する。
６

保有個人データの取扱いに係る業務を派遣職員によって行わせる場合には、労働者派

遣契約書に秘密保持義務等個人情報の取扱いに関する事項を明記する。
７

保有個人データを提供又は業務委託する場合には、漏えい等による被害発生のリスクを低減する観点から、提供先の利用目的、委託する業務の内容、保有個人データの秘匿性等その内容などを考慮し、必要に応じ、氏名を番号に置き換える等の匿名化措置を講ずる。
（事案の報告及び再発防止措置）
第２２条

保有個人データの漏えい等安全確保の上で問題となる事案が発生した場合又は問題となる事案の発生のおそれの事実を知った職員は、直ちに当該保有個人データを管理する個人情報保護管理者に報告する。
２

個人情報保護管理者は、被害の拡大防止又は復旧等のために必要な措置を速やかに講ずる。ただし、外部からの不正アクセスや不正プログラムの感染が疑われる当該端末等のＬＡＮケーブルを抜くなど、被害拡大防止のため直ちに行い得る措置については直ちに行うものとする。
３

個人情報保護管理者は、事案の発生した経緯、被害状況等を調査し、総括個人情報保護
管理者に報告する。ただし、特に重大と認める事案が発生した場合には、直ちに総括個人情報保護管理者に当該事案の内容等について報告する。

４

総括個人情報保護管理者は、前項の規定に基づく報告を受けた場合には、事案の内容等に応じて、当該事案の内容、経緯、被害状況等を理事長に速やかに報告又は文部科学省へ情報提供する。

５

個人情報保護管理者は、事案の発生した原因を分析し、再発防止のために必要な措置を講ずる。

６

総括個人情報保護管理者は、発生した事案の内容、影響等に応じて、事実関係及び再発防止策の公表、当該事案に係る保有個人データの本人への対応等の措置を講ずる。

７

総括個人情報保護管理者は、次に掲げる事案が生じたときは、当該事案が生じた旨を個

人情報保護委員会に報告しなければならない。
（１）要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下、本項において同じ。
）の漏えい等が発生し、又は発生したおそれがある事案（２）不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事案（３）不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事案（４）個人データに係る本人の数が１，０００人を超える漏えい等が発生し、又は発生したおそれがある事案

3-3-1

８

理事長は、前項に該当する事案が生じた場合には、本人に対し、本人の権利利益を保護するために必要な範囲において、事案の概要、保有個人データの項目、二次被害又はそのおそれの有無及びその内容並びにその他参考となる事項を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
（第三者提供の制限）

第２３条 機構は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
（１）法令に基づく場合（２）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
（３）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
（４）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
（５）当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）。
（６）当該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（機構と当該第三者が共同して学術研究を行う場合に限る。
）。
（７）当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場
合を除く。
）
。
２

機構は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。ただし、第三者に提供される個人データが要配慮個人
情報又は偽りその他不正の手段により取得されたもの若しくは他の個人情報取扱事業者
からこの項本文の規定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む。
）である場合は、この限りでない。
（１）第三者への提供責任者である機構の名称、住所及び理事長の氏名

3-3-1（２）第三者への提供を利用目的とすること。
（３）第三者に提供される個人データの項目（４）第三者に提供される個人データの取得の方法（５）第三者への提供の方法（６）本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
（７）本人の求めを受け付ける方法（８）第三者に提供される個人データの更新の方法（９）当該届出に係る個人データの第三者への提供を開始する予定日
３

機構は、前項第１号に掲げる事項に変更があったとき又は同項の規定による個人デー

タの提供をやめたときは遅滞なく、同項第３号から第５号まで、第７号又は第８号に掲げる事項を変更しようとするときはあらかじめ、その旨について、別に定める方法により、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
４

次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。
（１）機構が、利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データを提供する場合（２）特定の者との間で共同して利用される個人データが当該特定の者に提供される場
合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

５

機構は、前項第２号に規定する個人データの管理について責任を有する者の氏名、名称
若しくは住所又は法人にあっては、その代表者の氏名に変更があったときは遅滞なく、同号に規定する利用する者の利用目的又は当該責任を有する者を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
（外国にある第三者への提供の制限）

第２４条 機構は、外国（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報の保護に関する法
律施行規則（平成２８年個人情報保護委員会規則第３号。以下、「個人情報保護委員会規則」という。
）で定めるものを除く。以下この条及び同号において同じ。
）にある第三者（個人データの取扱いについて法第４章第２節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置（第３項において「相当措置」という。）を継続的

3-3-1に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この項及び次項において同じ。）に個人データを提供する
場合には、前条第１項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は、適用しない。
２

機構は、前項の規定により本人の同意を得ようとする場合には、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。

３

機構は、個人データを外国にある第三者（第１項に規定する体制を整備している者に限る。
）に提供した場合には、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。
（第三者提供に係る記録の作成等）

第２５条 個人情報保護管理者は、個人データを第三者（国の機関、地方公共団体、独立行
政法人等及び地方独立行政法人を除く。以下この条及び次条（第２８条第３項において読み替えて準用する場合を含む。
）において同じ。）に提供したときは、次の各号に掲げる場
合の区分に応じ、それぞれ当該各号に定める事項に関する記録を作成しなければならない。ただし、当該個人データの提供が第２３条第１項各号又は第４項各号のいずれか（前条第１項の規定による個人データの提供にあっては、第２３条第１項各号のいずれか）に該当する場合は、この限りでない。
（１）第２３条第２項の規定により個人データを第三者に提供した場合
イ 当該個人データを提供した年月日
ロ 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。）の氏名（不特定かつ多数の者に対して提供したときは、その旨）
ハ

当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
ニ 当該個人データの項目（２）第２３条第１項又は第２４条第１項の規定により個人データを第三者に提供した
場合
イ 第２３条第１項又は第２４条第１項の本人の同意を得ている旨
ロ 第１号ロからニまでに掲げる事項（第三者提供を受ける際の確認等）
第２６条 機構は、第三者から個人データの提供を受けるに際しては、次に掲げる事項の確

3-3-1

認を行わなければならない。ただし、当該個人データの提供が第２３条第１項各号又は第４項各号のいずれかに該当する場合は、この限りでない。
（１）当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名（２）当該第三者による当該個人データの取得の経緯
２

個人情報保護管理者は、前項の規定による確認を行ったときは、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項に関する記録を作成しなければならない。
（１）個人情報取扱事業者から法第２７条第２項の規定による個人データの提供を受けた場合 次のイからホまでに掲げる事項
イ 個人データの提供を受けた年月日
ロ

法第３０条第１項各号に掲げる事項

ハ

当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
ニ

当該個人データの項目

ホ

法第２７条第４項の規定により公表されている旨（２）個人情報取扱事業者から法第２７条第１項又は法第２８条第１項の規定による個
人データの提供を受けた場合 次のイ及びロに掲げる事項
イ 法第２７条第１項又は法第２８条第１項の本人の同意を得ている旨
ロ 前号ロからニまでに掲げる事項（３）個人関連情報取扱事業者から法第３１条第１項の規定による個人関連情報の提供を受けて個人データとして取得した場合 次のイからニまでに掲げる事項
イ

法第３１条第１項第１号の本人の同意が得られている旨及び外国にある個人情報取扱事業者にあっては、同項第２号の規定による情報の提供が行われている旨
ロ

法第３０条第１項第１号に掲げる事項

ハ第１号ハに掲げる事項

ニ当該個人関連情報の項目（４）第三者（個人情報取扱事業者に該当する者を除く。）から個人データの提供を受けた場合 第１号ロからニまでに掲げる事項（個人関連情報の第三者提供の制限等）
第２７条 機構は、第三者が個人関連情報（生存する個人に関する情報であって、個人情報、法第２条第５項に定める仮名加工情報及び法第２条第６項に定める匿名加工情報のいずれにも該当しないものをいい、個人関連情報データベース等を構成するものに限る。以下
この条において同じ。
）を個人データとして取得することが想定されるときは、第２３条第１項各号に掲げる場合を除くほか、次に掲げる事項について、あらかじめ確認することをしないで、当該個人関連情報を当該第三者に提供してはならない。
（１）当該第三者が個人関連情報取扱事業者から個人関連情報の提供を受けて本人が識3-3-1

別される個人データとして取得することを認める旨の、当該本人の申告その他の適切な方法による同意が得られていること。
（２）外国にある第三者への提供にあっては、前号の本人の同意を得ようとする場合において、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報が書面により当該本人に提供されていること。
２

第２４条第３項の規定は、前項の規定により機構が個人関連情報を提供する場合について準用する。この場合において、同条第３項中「講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供し」とあるのは、「講じ」と読み替えるものとする。
３

個人情報保護管理者は、前項の規定による確認を行ったときは、次に掲げる事項に関する記録を作成しなければならない。
（１）前項第１号の本人の同意が得られていることを確認した旨及び外国にある第三者への提供にあっては、同項第２号の規定による情報の提供が行われていることを確認した旨（２）個人関連情報を提供した年月日（３）当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名（４）当該個人関連情報の項目
第４章 個人情報ファイルの保有に関する通知等（定義）

第２８条 この章及び第５章における用語の定義は、次のとおりとする（１）「保有個人情報」とは、機構の役員又は職員並びに役務・派遣職員（以下「職員等」という。
）が職務上作成し、又は取得した個人情報であって、組織的に利用するもの
として、機構が保有しているもの（研究員等受入規程で定める受入研究員、役務職員、派遣職員等が作成し、又は取得した個人情報であって、機構が組織的に利用するものを含む。
）をいう。ただし、法人文書管理規程第２条第１号に規定する法人文書に記録されているものに限る。
（２）「個人情報ファイル」とは、保有個人情報を含む情報の集合物であって、次に掲げるものをいう。
イ 一定の事務の目的を達成するために特定の保有個人情報を電子計算機を用いて検索することができるように体系的に構成したもの
ロ イに掲げるもののほか、一定の事務の目的を達成するために氏名、生年月日、その他の記述等により特定の保有個人情報を容易に検索することができるように体系的に構成したもの

3-3-1（３）「個人情報ファイル簿」とは、機構が保有している個人情報ファイルについて、それぞれ、
個人情報ファイルの名称、個人情報ファイルの利用目的、個人情報ファイルに記録される
項目その他法令の示す事項を記載した帳簿をいう。

（個人情報ファイルの保有に関する通知）
第２９条 職員は、個人情報ファイルを作成、譲受等により保有するときは、あらかじめ、
当該組織の個人情報保護管理者及び総務課長に対し、別に定める個人情報ファイル簿に
次の各号に掲げる事項等を記載し、通知しなければならない。これらの通知事項に変更があったとき、個人情報ファイルの保有をやめたとき及び個人情報ファイルが第２項第７号に該当するに至ったときも同様とする。
（１）個人情報ファイルの名称（２）当該組織等の名称及び個人情報ファイルが利用に供される事務をつかさどる組織の名称（３）個人情報ファイルの利用目的（４）個人情報ファイルに記録される項目（以下この条において「記録項目」という。
）
及び本人として個人情報ファイルに記録される個人の範囲（以下この条において「記録範囲」という。
）（５）個人情報ファイルに記録される個人情報（以下この条において「記録情報」という。）の収集方法（６）記録情報を機構以外の者に経常的に提供する場合には、その提供先（７）第２８条第２号イに係る個人情報ファイル（電子計算機処理ファイル）又は第２８条第２号ロに係る個人情報ファイル（マニュアル処理ファイル）の別（８）第２８条第２号イに係る個人情報ファイル（電子計算機処理ファイル）について、当該ファイルの利用目的及び記録範囲の範囲内である第２８条第２号ロに係る個人情報ファイル（マニュアル処理ファイル）があるときは、その旨
２

前項の規定は、次の各号に掲げる個人情報ファイルについては、適用しない。

（１）専ら人事、給与若しくは福利厚生に関する事項又はこれらに準ずる事項を記録する
もの（２）専ら試験的な電子計算機処理の用に供するための個人情報ファイル（３）前項の規定による事前通知に係る当該組織の個人情報ファイルに記録されている記録情報の全部又は一部を記録した個人情報ファイルであって、その利用目的、記録
項目及び記録範囲が当該事前通知に係るこれらの事項の範囲内のもの（４）一年以内に消去することとなる記録情報のみを記録する個人情報ファイル（５）資料その他の物品若しくは金銭の送付又は業務上必要な連絡のために利用する記
録情報を記録した個人情報ファイルであって、送付又は連絡の相手方の氏名、住所そ

3-3-1の他の送付又は連絡に必要な事項のみを記録するもの（６）役員又は職員が学術研究の用に供するためその発意に基づき作成し、又は取得する
個人情報ファイルであって、記録情報を専ら当該学術研究の目的のために利用するもの（７）本人の数が１，０００人に満たない個人情報ファイル（個人情報ファイル簿の作成及び公表）
第３０条

総務課長は、前条第１項の通知があった場合には、直ちに個人情報ファイル簿を作成し、又は記載を削除し、総括個人情報保護管理者に通知の上、遅延なく、これを公表しなければならない。
第５章 開示、訂正、利用停止及び相談対応（開示及び訂正等）
第３１条 総括個人情報保護管理者は、法の定めるところにより、保有個人情報の開示、訂正及び利用停止（以下「開示等」という。）を行うものとする。
２

法に定める事務処理を行うに当たっては、開示決定等期限を順守するなど、法の規定に従って適切に行うものとする。

３

事務処理に当たっての書式等については、別に定める。

４

第１項に定める開示等の事務手続は総務部総務課で行う。
（個人情報相談窓口）

第３２条

開示等の受付及び第３５条に定める個人情報の取扱いに関する相談の受付等を行う窓口（以下「個人情報相談窓口」という。）を、総務部総務課及び各地区を所管する研究所の管理部庶務課に置く。
２

前項の管理部庶務課は、開示等の請求及び相談を受け付けた場合は、その旨を速やかに
総務部総務課に通知した後、総務部総務課の事務手続に関して以下の協力を行う。
イ

総務部総務課及び個人情報保護管理者との連絡調整

ロ

開示等及び相談に係る事案の処理の進行管理

ハ開示等及び相談に係る窓口業務

二

その他適切かつ迅速な処理に必要な連絡調整業務（手数料の額）第３３条

法第８９条第１項の手数料の額は、開示請求に係る法人文書１件につき３００

円とする。

3-3-1（審査請求）
第３４条

法第５章第４節第４款の規定に基づく行政不服審査法による審査請求は、総務部総務課で受けるものとする。
第６章 相談対応（相談対応）
第３５条 機構は、外部からの個人情報の取扱いに関する苦情、相談等（以下「相談」という。
）について適切かつ迅速な処理に努めなければならない。
２

外部から相談を受け付け、又は個人情報相談窓口から相談を受け付けた旨の通知を受けたときは、総務部総務課及び関係する個人情報保護管理者は、相談に関する当該個人情報の取扱いの状況等を迅速に調査し、その適切な措置について、総括個人情報保護管理者に協議しなければならない。
第７章 教育研修（教育研修）
第３６条 総括個人情報保護管理者は、保有個人データの取扱いに従事する職員に対し、保有個人データの取扱いについて理解を深め、個人情報の保護に関する意識の高揚を図る
ための啓発その他必要な教育研修を行う。
２

総括個人情報保護管理者は、保有個人データを取り扱う情報システムの管理に関する事務に従事する職員に対し、保有個人データの適切な管理のために、情報システムの管理、運用及びセキュリティ対策に関して必要な教育研修を行う。
３

総括個人情報保護管理者は個人情報保護管理者及び個人情報保護担当者に対し、課室等の現場における保有個人データの適切な管理のための教育研修を行う。
４

個人情報保護管理者は、当該組織の職員等に対し、保有個人データの適切な管理のために、総括個人情報保護管理者の実施する教育研修への参加の機会を付与する等の必要な措置を講ずる。
第８章 雑則（点検、評価及び見直し）

第３７条 個人情報保護管理者は、自ら管理責任を有する保有個人データの記録媒体、処理
経路、保管方法等について、定期に又は随時に点検を行い、必要があると認めるときは、その結果を総括個人情報保護管理者に報告する。
２

総括個人情報保護管理者は、保有個人データの適切な管理のための措置についての監

3-3-1

査又は点検の結果等を踏まえ、実効性等の観点から保有個人データの適切な管理のための措置について評価し、必要があると認めるときは、その見直し等の措置を講ずる。
（懲戒）
第３８条

理事長は、法第８章（法第１７１条、法第１７５条及び法第１７６条を除く。）に規定する行為を行った者又はこれに準ずる行為を行った者について、懲戒等が相当と判断した場合には、懲戒規程に基づき行うものとする。
（行政機関との連携）
第３９条 機構は「個人情報の保護に関する基本方針」（平成１６年４月２日閣議決定）４を踏まえ、機構を所管する行政機関と緻密に連携して、その保有する個人情報の適切な管
理を行う。
（雑則）
第４０条 本規程の施行に関する事務は、総務部総務課が行う。
２

総務課は個人情報保護に係る法令、ガイドライン等の状況について常に把握するよう努めるものとする。
附則

この規程は、平成２８年４月１日から施行する。
附則（平成２９年４月１日 ２９（規程）第１４号）

この規程は、平成２９年４月１日から施行する。
附則（平成３１年４月１日 ３１（規程）第２９号）

この規程は、平成３１年４月１日から施行する。
附則（令和４年４月１日 令０４（規程）第６号）

この規程は、令和４年４月１日から施行する。
附則（令和６年４月１日 令０６（規程）第２６号）

この規程は、令和６年４月１日から施行する。