一般社団法人奈良県臨床検査技師会
個人情報保護管理規程
平成 17 年 12 月 15 日（制定）平成 26 年 9 月 11 日 （改正）第 1 章	  総則（第１条‐第２条）
第 2 章	  管理体制（第３条一第７条）
第 3 章	  個人情報の取扱い（第８条一第２０条）
第 4 章	  情報処理システムの安全管理（第２１条一第３１条）
第 5 章	  安全確保上問題発生時の対応（第３２条一第３３条）
第 6 章	  点検及び監査等（第３４条一第３６条）
第 7 章	  補則（第３７条）
（附則）
総則
（目的）
この規程は、個人情報の保護に関する法律（平成 15 年法律第５７号、以下「法」という）第２０条の規定に基づき、一般社団法人奈良県臨床検査技師会（以下「本会」という）における個人情報の取り扱いに関する基本事項を定め、個人の権利利益およびプライバシーの保護に資することを目的とする。
（定義）
第２条	  この規程において「個人情報」とは、法第２条に規定する個人情報をいう。学術研究などにおいて死者に関する情報が同時に遺族等の生存する個人に関する情報でもある場合には、当該生存する個人に関する情報とし「個人情報」に含まれる。
２	  この規程において「保有個人情報」とは、法第２条の個人情報のうち、この会が保有しているものをいう。
３	  この規程において「情報システム」とは、ハードウエア、ソフトウエア、ネットワーク及び記録媒体で構成されるものであって、これら全体で業務処理を行うものをいう。
４	  この規程において「従業者」とは、直接間接に本会の指揮監督を受けて、本会の業務に従事している者をいい、雇用関係にある従業員（正社員、パート社員、アルバイト社員等）のみならず、各種委員会委員派遣社員等も含まれる。
管理体制等

（役員）
第３条	  この規程の目的を達成するため、次に掲げる役員を置く。
（1）個人情報保護総括管理責任者（以下「総括管理責任者」という）（2）個人情報保護副総括管理責任者（以下「副総括管理責任者」という）（3）個人情報事務管理責任者（以下「事務管理責任者」という）（4）個人情報部門管理責任者（以下「部門管理責任者」という）（5）個人情報監査責任者（以下「監査責任者」という）
２ 総括管理責任者は、本会の会長とする。
３ 副総括管理責任者は、本会の副会長とする。
４ 事務管理責任者は、本会の事務局長とする。
５ 部門管理責任者は、各部に１名を置くこととし、当該部の長とする。
６ 個人情報監査責任者は、１名置くこととし、本会の監事とする。
（役員の任務）
第４条	  総括管理責任者は、本会における個人情報保護のための業務について、総括的責任と権限を有する。
２ 副総括管理責任者は、総括管理責任者を補佐し、本会の個人情報に関わる事務を総括する。
３ 事務管理責任者は、事務局に係る個人情報保護のための業務について責任を有する。
４ 部門管理責任者は、所管する部門に係る個人情報保護のための業務について責任を有する。
５ 個人情報監査責任者は、個人情報の管理・運用等の状況について監査する任に当たる。
（個人情報保護委員会）
第５条	  個人情報の管理・運用に係る重要事項の決定、連絡・調整等を行うため、個人情報保護委員会（以下「委員会」という）を設置する。
２ 委員会は、委員長、副委員長及び委員をもって構成する。
３ 委員長は、委員会を主宰し、総括管理責任者が就任する。
４ 副委員長は委員長を補佐し、副総括管理責任者が就任する。
５ 委員は、事務管理責任者、部門管理責任者並びに理事をもって構成する。
６ 委員会の事務は、事務局が担当する。
７ 本条に定めるもののほか、委員会の運営に関し必要な事項は、委員長が定める。
（責務）
第６条	  本会が保有する個人情報を取り扱う者は、法の趣旨に則り、関連する法令、各種ガイドライン及び規程等の定めに従い、個人情報を適正に取り扱う。
（教育研修）
第７条	  総括管理責任者は、個人情報の取扱いに従事する役員及び担当者に対し、個人情報の取扱いについて理解を深め、個人情報の保護に関する意識の高揚を図るための啓発その他必要な教育研修を行う。
２ 総括管理責任者は、個人情報を取り扱う情報システムの管理に関する事務に従事する役員及び担当者に対し、個人情報の適切な管理・運用のために、情報システムの管理、運用及びセキュリティ対策に関して必要な教育研修を行う。
３ 総括管理責任者は、役員及び従業者に対し、個人情報の適切な管理・運用のために、教育研修への参加の機会を付与する等の必要な措置を講ずる。
個人情報の取扱い（利用目的の特定）第８条	  個人情報を取り扱うにあたっては、本会の業務を遂行するため必要な場合に限り、かつ、その利用の目的をできる限り特定する。
２ 前項の規定により特定された利用の目的（以下「利用目的」という）の達成に必要な範囲を超えて、個人情報を利用しない。
３ 利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行わない。
（取得に際しての利用目的の通知等）
第９条	  個人情報を取得するにあたっては、あらかじめ利用目的を公表している場合を除き、速やかに、利用目的を本人に通知しまたは公表する。
２	  本人から直接文章等に記録された当該本人の個人情報を取得するときは、次に掲げる場合を除き、あらかじめ、本人に対し、その利用目的を明示する。
（1）人の生命、身体又は財産の保護のために緊急に必要があるとき。
（2）利用目的を本人に明示することにより、本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがあるとき。
（3）利用目的を本人に明示することにより、国の機関、独立行政法人等又は地方公共団体が行う事務又は事業の適正な遂行に支障を及ぼすおそれがあるとき。
（4）取得の状況からみて利用目的が明らかであると認められるとき。
（適正な取得）第１０条	  従業者は、偽りその他不正の手段により個人情報を取得しない。

（正確性の確保）
第１１条	  従業者は、利用目的の達成に必要な範囲内で、個人情報を正確かつ最新の内容に保つように努める。
（安全管理）
第１２条	  従業者は、本規程に定めるところにより、保有個人情報を安全に管理するよう努める。
（業務を委託等する場合の措置）
第１３条	  総括管理責任者は、個人情報の取扱いに係る業務を外部に委託（請負を含む。
以下同じ）する場合は、個人情報の適切な管理を行う者を選定するよう、必要な措置を講ずる。
２ 委託に関する契約書には、次に掲げる事項を記載するとともに、委託先における責任者等の管理体制及び個人情報の管理の状況についての調査に関する事項等の必要な事項について書面で確認する。
（1）個人情報に関する秘密保持等の義務（2）再委託の制限又は条件に関する事項（3）個人情報の複製等の制限に関する事項（4）個人情報の安全管理に関する事項（5）個人情報の取り扱い状況の定期的確認に関する事項（6）個人情報の漏えい等の事案の発生時における対応に関する事項（7）委託終了時における個人情報が記録された媒体の返却に関する事項（8）違反した場合における契約解除の措置その他必要な事項（個人情報の管理）第１４条	  個人情報管理者は、個人情報の取扱い方法について、次に掲げる事項を定める。
（1）個人情報のアクセス制限、アクセス記録の保存に関すること（2）個人情報の複製等の制限に関すること（3）個人情報が記録された媒体の管理等に関すること（4）個人情報の廃棄等に関すること（5）個人情報の暗号化に関すること（6）個人情報のバックアップに関すること
２ 個人情報保護管理者は、前項の規定により定めた保有個人情報の取扱い方法について、必要があると認めるときは、その見直し等を行う。

（アクセス制限）第１５条	  総括管理責任者は、個人情報にアクセスする権限を有する者をその利用目的を達成するために必要最小限に限定し、権限を付与する。
２ アクセス権限を有しない者は、個人情報にアクセスしてはならない。
３ アクセス権限を有する者であっても、業務上の目的以外の目的で個人情報にアクセスしてはならない。
（複製等の制限）第１６条	  従業者は、業務上の目的で個人情報を取り扱う場合であっても、次に掲げる行為については、総括管理責任者の指示に従い、必要最小限の範囲において行う。
（1）個人情報の複製（2）個人情報の送信（3）個人情報が記録されている媒体の外部への送付又は持ち出し（4）その他個人情報の適切な管理に支障を及ぼすおそれのある行為（誤りの訂正等）
第１７条	  従業者は、個人情報の内容に誤り等を発見した場合には、当該誤り等が明らかに軽微であるとみとめられる場合を除き、事務管理責任者の指示に従い、訂正等を行う。
（媒体の管理）第１８条	  従業者は、事務管理責任者の指示に従い、個人情報が記録されている媒体を定められた場所に保管するとともに、必要に応じ、耐火金庫等への保管、施錠等を行う。
（個人情報取扱い記録の管理）第１９条	  事務管理責任者は、必要に応じて個人情報の秘匿性等その内容に応じた台帳等を整備して、当核個人情報の利用及び保管等の取扱いの状況について記録する。
（廃棄等）
第２０条	  従業者は、個人情報又は個人情報が記録されている媒体（端末及びサーバに内蔵されているものを含む。）が不要となった場合には、総括管理責任者の指示に従い、当該個人情報の復元又は判読が不可能な方法により当該情報の消去又は当該媒体の廃棄を行う。
情報処理システムの安全管理（アクセス制御）第２１条	  事務管理責任者は、個人情報（情報システムで取り扱うものに限る）の秘匿性

等その内容に応じて、パスワード等（パスワード、ＩＣカード、生体情報等をいい、以下同じ）を使用して権限を識別する機能（以下「認証機能」という）を設定する等のアクセス制御のために必要な措置を講ずる。
２ 事務管理責任者は、前項の措置を講ずる場合には、パスワード等の管理、読取防止等を行うために必要な措置を講ずる。
（アクセス記録）第２２条	  事務管理責任者は、個人情報（情報システムで取り扱うものに限る）について、必要に応じて当該個人情報へのアクセス状況を記録し、その記録（以下「アクセス記録」という）を一定の期間保存し、及びアクセス記録を定期に又は随時に分析するために必要な措置を講ずる。
２ 事務管理責任者は、アクセス記録の改ざん、窃取又は不当な消去の防止のために必要な措置を講ずる。
（外部からの不正アクセス防止）第２３条	  事務管理責任者は、個人情報を取り扱う情報システムへの外部からの不正アクセスを防止するため、ファイアウォールの設定による経路制御等の必要な措置を講ずる。
（コンピュータウイルスによる漏えい等の防止）第２４条	  事務管理責任者は、コンピュータウイルスによる個人情報（情報システムで取り扱うものに限る）の漏えい、滅失又はき損の防止のため、コンピュータウイルスの感染防止等に必要な措置を講ずる。
（暗号化）
第２５条	  事務管理責任者は、個人情報を取り扱う情報システムについて、個人情報の秘匿性等その内容に応じて、その暗号化のために必要な措置を講ずる。
（入力情報の照合等）
第２６条	  従業者は、情報システムで取り扱う個人情報の重要度に応じて、入力原票と入力内容との照合、処理前後の当該個人情報の内容の確認、既存の個人情報との照合等を行う。
（バックアップ）
第２７条	  事務管理責任者は、個人情報（情報システムで取り扱うものに限る）の重要度に応じて、バックアップを作成し、分散保管するために必要な措置を講ずる。

（情報システム設計書等の管理）第２８条	  事務管理責任者は、個人情報に係る情報システムの設計書及び構成図等の文書について外部に知られることがないよう、その保管、複製及び廃棄等について必要な措置を講ずる。
（端末の限定）第２９条	  事務管理責任者は、個人情報（情報システムで取り扱うものに限る）の秘匿性等その内容に応じて、その処理を行う端末を限定するために必要な措置を講ずる。
（端末の盗難防止等）
第３０条	  事務管理責任者は、端末の盗難又は紛失の防止のため、端末の固定、執務室の施錠等の必要な措置を講ずる。
２ 従業者は、事務管理責任者が必要性を認めるときを除き、端末を外部へ持ち出し、又は外部から持ち込んではならない。
（第三者の閲覧防止）
第３１条	  従業者は、端末の使用にあたっては、個人情報が第三者に閲覧されることがないよう、使用状況に応じて情報システムからログオフを行うことを徹底する等の必要な措置を講ずる。
安全管理上問題発生時の対応（事故の報告）第３２条	  個人情報の漏えいその他個人情報の管理に関して問題となる事案が発生したことを知った従業者は、直ちに、当該個人情報を管理する事務管理責任者にその旨を報告する。
２ 事務管理責任者は、前項の規定により職員等から報告を受けたときは、速やかに総括管理責任者に報告するとともに被害の拡大防止及び復旧等のために必要な措置を講ずる。
３ 事務管理責任者は、前項の措置を講じた後、速やかに、事案の発生した経緯、被害状況等を調査し、その調査結果を総括管理責任者に報告する。
４ 事務管理責任者は、事案の内容等に応じ、総括管理責任者の指示に基づき当該事案の内容、経緯、被害状況等を所轄官庁に速やかに報告するとともに当該事案に係る本人への対応等の措置を講ずる。
（再発防止措置）第３３条	  事務管理責任者は、個人情報の漏えいその他個人情報の管理に関して問題となる事案が発生した場合には、前条第３項の規定により調査した結果に基づき、当該事案の発生した原因を分析し、再発防止のために必要な措置を講ずる。
２	  個人情報保護管理者は、事案の内容、影響等に応じて、前項の規定により講じた措置について公表を行なう。
第６章	  点検及び監査等（点検）第３４条	  事務管理責任者並びに部門管理責任者は、毎年、その部等で取り扱う個人情報について、点検を行い、その結果を総括管理責任者に報告する。
（監査）第３５条	  監査責任者は、定期に又は随時に個人情報保護管理者の個人情報の管理及び利用の状況について、監査を行う。
２	  監査責任者は、監査の結果を総括管理責任者に報告する。
（評価及び見直し）
第３６条	  総括管理責任者は、個人情報の適切な管理・運用のための措置について、点検又は監査の結果等を踏まえ、実効性等の観点から評価し、必要があると認めるときは、その見直し等の措置を講ずる。
第７章 補則（規程の細目の策定）
第３７条	  この会の個人情報の取り扱いに関し、この規程に定めるもののほか、個人情報の保護に関する必要な細目は、理事会承認により別に定める。

（附則）この規程は、平成１７年１２月５日から施行する。