•

E02 個人情報保護規程

個人情報保護規程

第１章 総則第１条 （目的）
本規程は、「個人情報保護法（以下、「法」という。）」に則り、法人が取り扱う個人情報（顧客関係個人情報・社員個人情報・取引先、その他関係者個人情報）の適法、かつ適正な取扱いの確保に関する基本的事項を定めることにより、個人の権利・利益を保護することを目的とする。

第２条 （本規程の対象）
本規程は、法人において、その全部、または一部がコンピュータ等の自動的手段により処理されている個人情報、及び手作業により処理されている個人情報であって、組織的に保有するファイリングシステムの全部、または一部をなすものを対象とする。
２ 特定個人情報については、別に定める。

第３条 （定義）
本規程おいて、次の各号に掲げる用語の意義は、次の各号に定めるところによる。
(1) 個人情報
生存する個人に関する情報であって、当該情報に含まれる氏名・生年月日、その他の記述等により特定の個人を識別することができるもの（他の情報と照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう。
(2) 要配慮個人情報
本人の人種・信条・社会的身分・病歴・犯罪の経歴・犯罪により害を被った事実、その他本人に対する不当な差別・偏見、その他の不利益が生じないように、その取扱いに特に配慮を要するものとして政令で定める記述等が含まれる
個人情報で、下記のものをいう。
ア 思想・信条、及び宗教に関する事項
イ 人種・民族・門地・身体・精神障害・犯罪歴、その他社会的差別の原因となる事項

•E02 個人情報保護規程(3) 情報主体
一定の情報によって識別される、または識別され得る個人をいう。
(4) 法人社員
直接・間接に法人の指揮監督を受けて、法人の業務に従事している者をいい、雇用関係にある社員のみならず、役員・顧問・派遣労働者・委託契約に基づき法人の業務を行う者も含まれる。
(5) 個人情報管理責任者
個人情報保護のための業務について、統括的責任と権限を有する者をいい、個人情報管理責任者には、法人の代表取締役が就任する。
(6) 個人情報管理者
個人情報管理責任者によって選任され、個人情報管理責任者に代わり個人情報保護のための業務を遂行する者をいう。原則として、各部門の長、及び各店舗の店長が、個人情報管理者に就任する。
(7) 個人情報処理担当者
個人情報のコンピュータへの入力・出力・修正・削除、台帳・申込書等の個人情報を記載した帳票・帳表の保管・管理等をする担当者をいう。個人情報処理担当者は、各部門、及び各店舗に定めることができる。
(8) 利用者
法人の業務遂行のために、雇用契約・委任契約・委託契約に基づき個人情報を取り扱い、あるいは利用する者をいう。

第２章 個人情報の収集・利用・安全管理第４条 （収集の原則）
個人情報の収集は、収集目的を明確に定め、その目的の達成に必要な限度において行わなければならない。

第５条 （収集方法の制限）
個人情報の収集は、適法、かつ公正な手段によって行わなければならない。

第６条 （特定の機微な個人情報の収集の禁止）
法人は、あらかじめ本人の同意を得ないで、次に示す内容を含む個人情報の収集・利用、または提供を行ってはならない。
(1) 要配慮個人情報(2) 勤労者の団結権・団体交渉、及びその他団体行動の行為に関する事項(3) 集団示威行為への参加・請願権の行使、及びその他の政治的権利の行使に関•

E02 個人情報保護規程する事項(4) 保健医療、及び性生活に関する事項
２ 前項の規定は、次の各号に掲げる場合には、この限りではない。
(1) 法令に基づく場合(2) 人の生命・身体、または財産の保護のために必要である場合であって、本人の同意を得ることが困難であるとき。
(3) 公衆衛生の向上、または児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
(4) 国の機関・地方公共団体、またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(5) 当該要配慮個人情報が、本人・国の機関・地方公共団体・法第７６条１項各号に掲げる者・外国政府・外国の政府機関・外国の地方公共団体、または国際機関・外国における法第７６条第１項各号に掲げる者に相当する者により公開されている場合(6) 本人を目視し、または撮影することにより、その外形上明らかな要配慮個人情報を取得する場合(7) 法第２３条第５項各号において、個人データである要配慮個人情報の提供を受けるとき。

第７条 （対面で個人情報を直接収集する場合の措置）
情報主体から対面で直接に個人情報を収集する場合、情報主体から個人情報を入手する者は、情報主体に対して、利用目的、その他法令で定める事項を告知し、同意を得なければならない。

第８条 （その他の方法により個人情報を収集する場合の措置）
個人情報管理責任者は、前条に定めた方法での同意がとれなかったときのために、別に定める「個人情報保護方針」、及び前条に掲げる事項を法人インターネットホームページに掲示し、かつ最新の状態を維持しなければならない。

第９条 （間接的に個人情報を収集する場合の措置）
情報主体以外から間接的に個人情報を収集する場合、個人情報管理責任者は、以下の措置を講じ、監督しなければならない。
(1) 法人インターネットホームページに、第７条に掲げる事項を掲示すること。
(2) 個人情報を入手する者が、適法、かつ公正な手段によって当該個人情報を収集するように監督すること。

•E02 個人情報保護規程(3) 第三者から入手する当該個人情報が、適法、かつ公正な手段により収集されたものであることを確認すること。

第１０条 （利用範囲の制限）
個人情報の利用は、原則として収集目的の範囲内で、具体的な業務に応じ権限を与えられた者のみが、業務の遂行上必要な限りにおいて行うものとする。

第１１条 （目的内の利用の場合の措置）
収集目的の範囲内で行う法人の個人情報の利用は、次の各号に掲げるいずれかの場合についてのみ、これを行うことができる。
(1) 情報主体から同意を得た場合、もしくは同等の措置を講じた場合(2) 情報主体が当事者である契約の準備、または履行のために必要な場合(3) 法人が従うべき法的義務の履行のために、必要な場合(4) 情報主体の生命・健康・財産等の重大な利益を保護するために必要な場合(5) 警察・税務署・裁判所等の公的機関からの、法令に基づく権限の行使による開示請求等があった場合

第１２条 （目的外の利用の場合の措置）
収集目的の範囲を超えて個人情報の利用を行う場合、または前条第１号から第５号までに掲げる、いずれの場合にも当たらない個人情報の利用を行う場合においては、個人情報管理責任者は、第７条に掲げる事項、その他必要な事項を個人情報の主体へ通知し、あらかじめ情報主体の同意を得るか、またはその旨を事前に法人インターネットホームページに掲示して、情報主体に拒絶の機会を与えなければならない。

第１３条 （個人情報の入出力・保管等）
個人情報のコンピュータへの入力・出力、台帳・申込書等の個人情報を記載した帳票・帳表の保管・管理等は、個人情報処理担当者が行わなければならない。ただし、個人情報処理担当者は、個人情報管理者の承諾を得て信頼できる履行補助者にこれを代行させることができる。

第１４条 （個人情報の正確性の確保）
個人情報管理責任者は、個人情報を利用目的に応じ、必要な範囲内において、正確、かつ最新の状態に保つとともに、利用する必要がなくなったときは、当該個人情報を遅滞なく消去するよう努めなければならない。
２ 定期的に情報主体に通知等をしている場合、個人情報管理者は、通知の中に次の•E02 個人情報保護規程事項を記した届出様式を入れて通知しなければならない。
(1) 個人情報の開示を求める権利、及び開示の結果、当該情報が誤っている場合に訂正・追加・削除を要求する権利の存在、並びに情報主体が当該権利を行使するための具体的な方法(2) 個人情報の収集後における利用を拒絶する権利の存在、及び情報主体からの当該個人情報の消去・利用停止等の具体的な方法

第１５条 （個人情報の安全性の確保）
個人情報管理責任者は、法人の個人情報を格納したコンピュータへの不当なアクセス、または個人情報の紛失・破壊・改ざん・漏えい等の危険に対して、委託先等への指示等、必要な措置を講じなければならない。
２ 個人情報管理責任者は、法人社員に個人情報保護体制の重要性を理解させ、確実な実施を図るため、継続的に教育・訓練を行わなければならない。

第１６条 （自己情報に関する権利）法人が保有している個人情報について、情報主体から自己の情報について開示を求められた場合、個人情報管理責任者は、遅滞なく当該情報主体に対して、法人が保有している当該情報主体の個人情報（当該個人情報が存在しない場合は、その旨）を、当該情報主体に開示しなければならない。
２ 開示した結果、誤った情報があった場合で、訂正・追加、または削除を求められたときは、個人情報管理責任者は、遅滞なく訂正等を行い、訂正等の後、遅滞なく情報主体に対して通知をしなければならない。

第１７条 （自己情報の利用、または提供の拒否権）
法人が保有している個人情報について、情報主体から自己情報についての利用、または第三者への提供を拒まれた場合、これに応じなければならない。ただし、警察・税務署・裁判所等の公的機関からの、法令に基づく権限の行使による開示請求等、または法人の法令に定められている義務の履行のために必要な場合については、この限りでない。

第１８条 （個人情報保護苦情・相談窓口の設置）
個人情報管理責任者は、個人情報の取り扱い苦情・相談を受け付けて対応する窓口を常設し、この連絡先を情報主体に告知しなければならない。

第１９条 （報告義務、及び罰則）
個人情報保護体制に違反する事実、または違反するおそれがあることを発見した

•

E02 個人情報保護規程者は、その旨を個人情報管理者に報告しなければならない。
２ 個人情報管理者は、前項による報告の内容を調査し、違反の事実が判明した場合には、遅滞なく、関係部署に適切な措置を講じるよう指示する。また、当該違反が重要な事項の場合は、遅滞なく個人情報管理責任者に報告し、その指示に従わなければならない。
３ 法人社員が本規程に違反をした場合には、法、及び別に定める「就業規則（正社員）」、及び委託契約等に従い、懲戒処分・損害賠償請求の対象にすることがある。

第２０条 （個人情報の廃棄）
個人情報を廃棄する場合は、シュレッダーにかけて読み取り不能にした上で、 廃棄する。
２ 個人情報を記録したコンピュータ・記憶媒体を廃棄するときは、特別のソフトウェアを使用して個人情報を完全に消去するか、記憶媒体を物理的に破壊してから廃棄する。
３ 個人情報を記録したコンピュータを他に転用するときは、特別のソフトウェアを使用して、個人情報を完全に消去してから転用する。
４ 個人情報の廃棄作業は、個人情報処理担当者が行う。

第３章 個人情報の利用等の手続き

第２１条 （新しい目的での収集手続き）
新しい目的で個人情報を収集するときは、利用者は、個人情報管理者に届け出なければならない。
２ 前項の届け出を受けた個人情報管理者は、直ちに個人情報管理責任者と協議して、個人情報管理責任者の承諾を得なければならない。
３ 新しい目的での個人情報の収集は、個人情報管理責任者の承諾を得て、個人情報管理責任者が必要な措置を講じた後でなければならない。

第２２条 （間接的に収集する場合の収集手続き）
新しい方法、または間接的に個人情報を収集するときは、利用者は個人情報管理者に届け出なければならない。
２ 前項の届け出を受けた個人情報管理者は、直ちに個人情報管理責任者と協議して、個人情報管理責任者の承諾を得なければならない。
３ 新しい方法、または間接的な個人情報の収集は、個人情報管理責任者の承諾を得て、個人情報管理者が必要な措置を講じた後でなければならない。

•E02 個人情報保護規程

第２３条 （個人情報の利用手続き）
利用者が個人情報を利用する場合、以下の事項を個人情報管理者に届け出て、その承諾を得なければならない。
(1) 利用する個人情報の範囲(2) 利用目的(3) 利用時期
２ 利用者は、個人情報管理者の承諾を得ないで、個人情報の目的外利用、第三者への提供・預託、通常の利用場所からの持ち出し、外部への送信等の行為をしてはならない。

第４章 個人情報の委託処理・第三者提供

第２４条 （個人情報の第三者提供の禁止）
法人は、あらかじめ本人の同意を得ないで、個人情報の第三者提供を行ってはならない。ただし、当該個人情報の提供が次の各号に該当する場合、本人の同意なしに第三者提供ができる。
(1) 法令に基づく場合(2) 人の生命・身体、または財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
(3) 公衆衛生の向上、または児童の健全な育成の推進のために特に必要がある場
合であって、本人の同意を得ることが困難であるとき。
(4) 国の機関、もしくは地方公共団体、またはその委託を受けた者が、法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより、当該事務の遂行に支障を及ぼすおそれがあるとき。

第２５条 （個人情報の委託処理等に関する手続き）
情報処理や作業を第三者に委託するために、個人情報を第三者に預託する場合においては、利用者は、事前に個人情報管理者に届け出なければならない。
２ 個人情報管理者は、個人情報管理責任者の承諾を得てから第三者に委託しなければならない。
３ 個人情報を第三者に預託する場合、個人情報管理者は以下の措置を講じなければならない。
(1) 新規の会社組織の個人情報の預託先については、預託先責任者との面接・預託先の情報処理施設の現場視察を実施し、個人情報保護、及びセキュリティ管理の水準が適正であることを確認すること。
(2) 次の事項について、契約すること。

•E02 個人情報保護規程

ア 守秘義務の存在・取り扱うことのできる者の範囲に関する事項
イ 預託先における個人情報の秘密保持方法・管理方法についての事項
ウ 契約終了時の個人情報の返却、及び複製物の消去に関する事項
エ 個人情報漏えい、その他事故の場合の措置・責任分担についての事項
オ 再委託に関する事項
４ 委託中、利用者は、必要に応じ預託先が法人との契約を遵守しているかどうかを確認し、万一、契約に抵触する事項を発見したときは、その旨を個人情報管理者に通知しなければならない。
５ 前項の通知を受けた個人情報管理者は、直ちに個人情報管理責任者と協議して、個人情報の預託先に対して必要な措置を講じなければならない。

第２６条 （個人情報の第三者への提供手続き）
第２４条に基づき、個人情報の第三者提供を行う場合、利用者は、以下の手続きを行わなければならない。
(1) 個人情報管理者への届け出(2) 前項の通知を受けた個人情報管理者は、直ちに個人情報管理責任者と協議して、個人情報管理責任者の承諾を得なければならない。
(3) 第三者への提供は、個人情報管理責任者の承諾を得て、個人情報管理責任者が必要な措置を講じた後でなければならない。
２ 前項の通知を受けた個人情報管理者は、直ちに個人情報管理責任者と協議して、個人情報管理責任者の承諾を得なければならない。
３ 第三者への提供は、個人情報管理責任者の承諾を得て、個人情報管理責任者が必要な措置を講じた後でなければならない。

第２７条 （第三者への提供にかかる記録の作成）法人は、前条により個人情報を第三者に提供したときは、第三者提供にかかる記録を作成しなければならない。
２ 第三者に個人情報を提供する場合の記録の作成方法は、文書・電磁的記録、またはマイクロフィルムを用いて作成する方法によるものとする。
３ 前項の記録は、個人情報を第三者に提供した都度、速やかに作成しなければならない。ただし、個人情報を第三者に継続的に、もしくは反復して提供したとき、またはその確実な見込みがあるときは、一括して作成することができる。
４ 前２項により作成した記録は、本人に対する物品、または役務の提供に関連して当該本人に対する個人情報を第三者に提供した場合において、当該提供に関して作成された契約書、その他の書面に記録すべき事項が記載されているときは、当該書面をもって、第三者から個人情報の提供を受けた時の記録に変えることができる。

•E02 個人情報保護規程

５ 本人の同意を得て個人データを第三者に提供した場合は、別に定める「個人情報提供記録簿」に次の各号に応じて保存しなければならない。
(1) 本人の同意を得ている旨(2) 当該個人情報を提供した年月日(3) 当該第三者の氏名、または名称、その他当該第三者を特定するに足りる事項(4) 当該個人情報の項目
６ 法人は、前２項により作成した記録を、次の各号に応じて保存しなければならない。
(1) 同条第３項但し書きに基づき、契約書等で記録に代えた場合
最後に個人情報の提供を行った日から起算して１年を経過する日までの間(2) 個人情報を継続的に、もしくは反復して提供する場合
最後に個人情報の提供を行った日から起算して３年を経過する日まで。
(3) 前２号以外の場合当該記録を作成した日から３年間

第２８条 （第三者から提供を受ける際の確認、及び記録）法人は、第三者から個人情報の提供を受けるに際しては、次に掲げる事項の確認を行わなければならない。
(1) 当該第三者の氏名、または名称、及び住所、並びに法人にあってはその代表者(2) 当該第三者による当該個人データの取得の経緯
２ 前項により個人情報の提供を受けた場合、法人は、次の事項に関する記録を作成しなければならない。ただし、本人に対する物品、または役務の提供に関連して当該第三者から個人情報の提供を受けた場合において、当該提供に関して作成された契約書等に次の事項が記載されているときは、当該契約書等で代替可能とし、また、既に記録されている事項と内容が同一のものについては、当該事項の記録を省略することができる。
(1) 本人の同意を得ている旨（個人情報の提供を受けた場合は、個人情報の提供を受けた年月日）(2) 前項各号に掲げる確認事項(3) 個人情報によって識別される本人の氏名、その他の当該本人を特定するに足りる事項(4) 当該個人情報の項目
３ 前項の記録は、第三者から個人情報の提供を受けた都度、すみやかに作成しなければならない。ただし、第三者から継続的に、もしくは反復して個人情報の提供を受けたとき、またはその確実な見込みがあるときは、一括して作成することができ•E02 個人情報保護規程る。
４ 法人は、前２項により作成した記録を、次の各号に応じて保存しなければならない。
(1) 同条第３項但し書きに基づき、契約書等で記録に代えた場合
最後に個人情報の提供を行った日から起算して１年を経過する日までの間(2) 個人情報を継続的にもしくは反復して提供する場合
最後に個人情報の提供を行った日から起算して３年を経過する日まで(3) 前２号以外の場合当該記録を作成した日から３年間

第２９条 （個人情報の共同利用）
個人情報を第三者との間で共同利用する場合、利用者は、個人情報管理者に届け出なければならない。
２ 前項の通知を受けた個人情報管理者は、直ちに個人情報管理責任者と協議して、個人情報管理責任者の承諾を得なければならない。
３ 個人情報の共同利用は、個人情報管理責任者の承諾を得て、個人情報管理責任者が必要な措置を講じた後でなければならない。

第３０条 （通知・届け出手続き）
本規程に基づく通知・届け出は、所定の電子メール、または書面をもって行う。

第５章 監

査

第３１条 （個人情報保護監査責任者）
個人情報保護監査責任者は、個人情報管理責任者から独立した公平、かつ客観的な立場にあり、監査の実施、及び報告を行う権限を有し、法人取締役会が必要に応じて選任する。ただし、社外の第三者に監査業務を委託することを妨げない。
２ 個人情報保護監査責任者は、年１回、個人情報保護計画に従い監査を実施し、監査結果を取締役会に報告しなければならない。

第３２条 （監査計画）
個人情報保護監査責任者は、年１回、個人情報保護のための監査計画を立案し、取締役会の承認を得なければならない。
２ 監査計画には、次の事項を入れなければならない。
(1) 監査体制(2) 日程•

E02 個人情報保護規程(3) 監査方法(4) 監査報告様式

第３３条 （監査の実施）
個人情報保護監査責任者は、本規程、及び個人情報保護計画が、日本工業規格「個人情報保護に関するコンプライアンス・プログラムの要求事項」（JIS Q 15001）の要求事項と合致していること、及びその運用状況を監査しなければならない。
２ 個人情報保護監査責任者は、監査を指揮し、監査報告書を作成し、取締役会に報告しなければならない。
３ 個人情報管理責任者は、監査報告書を管理し、保管しなければならない。

第６章 雑則第３４条 （主管部署）
本規程の主管部署は、総務機能担当部門とする。

第３５条 （解釈上の疑義）
本規程に定められた事項の解釈に疑義を生じたときは、代表取締役がこれを裁定する。

第３６条 （改廃）
本規程の改廃は、取締役会の決議により行うものとする。

第３７条 （附則）
平成１６年１１月１２日制定
平成３１年１ 月１日改定