学校法人東北学院個人情報保護規程
平成17年４月１日制定第８号
改正
平成28年３月22日改正第65号
平成30年３月28日改正第36号
令和２年12月24日改正第164号
令和３年３月31日改正第51号
令和４年２月９日改正第12号
令和５年６月27日改正第167号
令和５年９月20日改正第191号

目次
第１章

総則（第１条―第５条）

第２章

安全管理体制（第６条―第10条）

第３章

個人情報の利用目的、取得、管理等（第11条―第17条）

第４章

個人データの取扱いの委託、第三者提供、共同利用等（第18条―第25条）

第５章

保有個人データの公表、開示、訂正、利用停止等（第26条―第30条）

第６章

仮名加工情報及び匿名加工情報の取扱い（第31条―第32条）

第７章

雑則（第33条・第34条）

附則

第１章

総則

（目的）
第１条

この規程は、個人情報の保護に関する法律（平成15年法律第57号。以下「法」という。）

及び個人情報の保護に関する法律施行規則（平成28年個人情報保護委員会規則第３号。以下「規則」という。）に基づき、学校法人東北学院（以下「本院」という。）における個人情報の適正な取扱いに関し必要な事項を定め、本院の責務を明確にするとともに、個人の権利利益を保護することを目的とする。
２

この規程に定めのない個人情報の取扱いについては、法、個人情報の保護に関する法律施1/26

行令（平成15年政令第507号。以下「政令」という。）、規則その他の関係法令に定めるところによる。
３

行政手続における特定の個人を識別するための番号の利用等に関する法律（平成25年法律第27号）に基づく個人番号及び特定個人情報の取扱いについては、別に定める。
（定義）

第２条

この規程において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
(１)

当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録に記載若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（次項に定める個人識別符号を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別できることとなるものを含む。）(２)２

次項に定める個人識別符号が含まれるもの

この規程において「個人識別符号」とは、次の各号のいずれかに該当する文字、番号、記号その他の符号のうち、政令で定めるものをいう。
(１)

特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの(２)

個人に提供される役務の利用に関し割り当てられ、又は個人に発行されるカードその他の書類に記載され、若しくは電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。）により記録された文字、番号、記号その他の符号であって、その利用者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され、若しくは記録されることにより特定の利用者又は発行を受ける者を識別することができるもの
３

この規程において「要配慮個人情報」とは、本人の人種、思想、信条、宗教、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要する記述等が含まれる個人情報をいう。

４

この規程において「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次の各号に掲げるもの（利用方法からみて個人の権利利益を害するおそれが少ないもの
として政令で定めるものを除く。）をいう。
(１)

特定の個人情報を電子計算機を用いて検索することができるように体系的に構成した

2/26

もの
(２)

前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するもの
５

この規程において「個人データ」とは、個人情報データベース等を構成する個人情報をいう。

６

この規程において「保有個人データ」とは、本院が、開示、内容の訂正、追加又は削除、
利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データをいう。ただし、その存否が明らかになることにより公益その他の利益が害されるものを除く。

７

この規程において「匿名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたも
のをいう。
(１)

第１項第１号に該当する個人情報

当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
(２)

第１項第２号に該当する個人情報

当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
８

この規程において「匿名加工情報データベース等」とは、匿名加工情報を含む情報の集合物であって、特定の匿名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の匿名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるものをいう。

９

この規程において「仮名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて他の情報と照合しない限り特定の個人を識別することができない
ように個人情報を加工して得られる個人に関する情報をいう。
(１)

第１項第１号に該当する個人情報

当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
(２)

第１項第２号に該当する個人情報

当該個人情報に含まれる個人識別符号の全部を削3/26

除すること（当該個人情報に含まれる個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
10

この規程において「仮名加工情報データベース等」とは、個人関連情報（生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。以下同じ。）を含む情報の集合物であって、特定の個人関連情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の個人関連情報を容易に検索することができるように体系的に構成したものとして政令で定めるものをいう。
11

この規程において「本人」とは、現在又は過去のいずれかの時点で本院において次の各号のいずれかに該当し、個人情報によって識別される特定の個人をいう。
(１)

役員、評議員、教職員その他これに準じる者（非常勤講師、嘱託職員、派遣職員等をいう。以下「役職員等」という。）(２)

本院が設置する学校の園児、生徒、学生及び受講者（以下「学生等」という。）(３)

学生等の保護者及び保証人(４)

本院が設置する学校に入学を志願した者(５)

本院に寄付を行う、又は行った者(６)

本人と取引上の関係その他の利害関係を有し、又は有した者

12

この規程において「部署」とは、法人事務局（内部監査室を含む。以下同じ。）、本院を構成する学校、大学事務部局、学部、研究科等、個人情報を取り扱う組織上の単位をいう。
（本院の責務）
第３条

本院は、法第３条の基本理念に基づき、個人情報取扱事業者としての責務を誠実に果たすものとする。
（役職員等の責務）
第４条

役職員等は、本院における教育、研究、社会貢献その他これらに関わる業務を遂行するに当たって、法令及びこの規程その他の本院諸規程を遵守し、個人情報の保護、安全管理及び適正な取扱いに努めて、個人の権利利益を保護しなければならない。
２

役職員等は、職務上知り得た個人情報の内容をみだりに漏えい、改ざん、滅失若しくは毀損し又は不当な目的に利用してはならない。その職を退いた後においても同様とする。
（学術研究における適用除外）

第５条

この規程は、本院が学術研究の用に供する目的で個人情報及び個人データを取り扱う場合であって、次の各号に掲げる場合には適用しない。ただし、個人の権利利益を不当に侵4/26

害するおそれがある場合を除く。
(１)

あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超

えて個人情報を取り扱うことができる場合として次に掲げるもの
ア

本院が個人情報を学術研究目的で取り扱う必要があるとき。

イ

学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき。

(２)

あらかじめ本人の同意を得ることなく、要配慮個人情報を取得することができる場合

として次に掲げるもの
ア

本院が要配慮個人情報を学術研究目的で取り扱う必要があるとき。

イ

本院と共同して学術研究を行う学術研究機関等から要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき。

(３)

あらかじめ本人の同意を得ることなく、個人データを第三者に提供することができる

場合として次に掲げるもの
ア

個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき。

イ

本院と共同して学術研究を行う学術研究機関等へ個人データを学術研究目的で提供する必要があるとき。

ウ

当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術目的で取り扱う必要があるとき。

２

本院は、学術研究目的で行う個人情報の取扱いについて、この規程を遵守するとともに、その適正を確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努
めなければならない。
第２章

安全管理体制（個人情報統括管理責任者）
第６条

本院は、第３条の責務を果たすため、本院における個人情報の保護、安全管理及び適正な取扱いを統括する責任者として個人情報統括管理責任者（以下「統括管理責任者」という。）を置き、常任理事（総務担当）をもって充てる。
（個人情報管理責任者）
第７条

統括管理責任者の下に、個人情報管理責任者（以下「管理責任者」という。）を置き、法人事務局においては法人事務局長、学校においては各学校の長をもって充てる。
２

管理責任者は、法人事務局及び各学校が所管する個人情報の保護、安全管理及び適正な取5/26

扱いに関する責任を負う。
３

管理責任者は、その所管する個人情報の漏えい、改ざん、滅失又は毀損の防止その他個人情報の安全管理のために必要かつ適切な措置を講じなければならない。
（個人情報管理者）

第８条

情報管理責任者の下に、個人データの安全管理を図るため、個人情報管理者（以下「情報管理者」という。）を置き、次に掲げる者をもって充てる。

２

(１)

法人事務局

法人事務局次長、部長及び室長

(２)

大学

(３)

中学校・高等学校(４)榴ケ岡高等学校(５)幼稚園

副学長（総務担当）、部長及び室長
副校長のうち管理責任者が指名する者１名
副校長

教頭

情報管理者は、所管する部署において次の各号に掲げる業務を管理する。
(１)

個人データを取り扱う役職員等の範囲及び権限の設定(２)

個人データを取り扱う役職員等の教育及び研修（個人情報保護委員会）
第９条

本院における個人情報の取扱いを統一的かつ適正に行うため、学校法人東北学院個人情報保護委員会（以下「委員会」という。）を置く。
２

委員会は、次に掲げる者をもって組織する。
(１)

統括管理責任者

(２)

管理責任者

(３)

法人事務局次長、庶務部長、人事部長、財務部長及び広報部長(４)

副学長（総務担当）(５)

学長室長、総務部長、研究支援部長、学務部長、国際交流部長、入試部長、学生部長、就職キャリア支援部長、図書部長及び情報システム部長

３(６)

中学校・高等学校副校長(７)

榴ケ岡高等学校副校長

(８)

幼稚園教頭

(９)

幼稚園事務長(10)

その他委員長が必要と認めた者

委員会に委員長を置き、統括管理責任者をもって充てる。

6/26

４

委員会に副委員長を置き、法人事務局長をもって充てる。

５

副委員長は、委員長の職務を補佐し、委員長に事故あるときは委員長の職務を代行する。

６

委員長は、委員会を招集し、議長となる。

７

委員会の定足数は、委員の過半数とする。

８

委員会の議決は、出席者の過半数をもって行う。ただし、賛否同数の場合には、議長が決するものとする。

９

委員長は、審議に必要な場合には、委員以外の者を陪席させることができる。
（委員会の審議事項等）

第10条

２

委員会は、次の各事項について審議する。

(１)

個人情報保護の施策に関する事項(２)

本院の各部署が作成した個人情報保護に関する諸規程の点検に関する事項(３)

その他個人情報の保護に関して必要な事項

統括管理責任者及び管理責任者は、この規程に定める個人情報の取扱いについて疑義が生じた場合、委員会に意見を求めることができる。

３

委員会は、審議に当たって必要な場合には、原案作成その他の目的のため、小委員会を設置することができる。

４

委員長は、本院において法令及び規程違反行為があった場合、理事長、院長及び違反行為に関係する学校の長に対し、速やかに報告しなければならない。
第３章

個人情報の利用目的、取得、管理等（不適正な利用の禁止）
第11条

管理責任者は、違法又は不適正な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。
（利用目的の特定及び利用の範囲）
第12条

個人情報の取扱いに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。
２

前項の利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。

３

あらかじめ本人の同意を得ないで、前２項の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。

４

前項の規定は、次に掲げる場合については、適用しない。

7/26

(１)

法令に基づく場合(２)

人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
(３)

公衆衛生の向上又は学生等の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
(４)

国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
（適正な取得）第13条
２

個人情報の取得に当たっては、偽りその他不正の手段を用いてはならない。

前条第４項に掲げる場合及び次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
(１)

当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等により公開されている場合(２)

本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合（利用目的の通知等）
第14条

個人情報の取得は、原則としてあらかじめその利用目的を公表して行うものとし、あらかじめ公表しない場合は、取得後速やかに本人にその利用目的を通知し、又は公表するものとする。
２

前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

３

取得した情報の利用目的を変更した場合は、変更された利用目的を速やかに本人に通知し、又は公表しなければならない。

４

前各項の規定は、次に掲げる場合については、適用しない。
(１)

利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

8/26

(２)

利用目的を本人に通知し、又は公表することにより本院の権利又は正当な利益を害す

るおそれがある場合(３)

国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(４)

取得の状況からみて利用目的が明らかであると認められる場合（データ内容の正確性の確保等）
第15条

管理責任者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努め、又は努めさせなければならない。
２

管理責任者は、取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために、個人情報の電子計算機処理時における入力、参照、更新、削除等の権限を明らかにする等必要かつ適切な措置を講じなければならない。

３

前項に規定する個人データの安全管理に必要な情報システムの構築及び管理は、学校法人
東北学院情報システムセキュリティ基本規程によるものとする。
（個人データの管理）

第16条

情報管理者は、所管する部署の保有する個人データを適正に管理するため、個人デー

タ管理台帳（別記様式１）及び個人データ取扱記録簿（別記様式２）を作成し、当該部署に備え置かなければならない。ただし、他に情報資産管理資料として同様の資料を作成している場合は、それをもって代替することができる。
２

各部署の個人データを取り扱う担当者（以下「取扱担当者」という。）は、個人データについて次の取扱いを行った場合、個人データ取扱記録簿（別記様式２）にその内容を記録す
るとともに、当該部署の情報管理者から確認を受けるものとする。

３(１)

新たな書式等による個人データの取得(２)

個人データの第三者への提供並びに個人データの委託先及び共同利用先への提供(３)

個人データが記載又は記録された書類、媒体等の持出し(４)

個人データの削除及び廃棄情報管理者は、定期的に又は必要に応じて随時、個人データの管理及び取扱いの状況を確認しなければならない。

４

他の部署が管理している個人データを利用する場合は、個人データ利用申請書（別記様式

9/26

３）を当該部署に提出し、個人データ利用承諾書（別記様式３）による情報管理者の承諾を得なければならない。
（情報漏えい等への対応）
第17条

取扱担当者は、所管する個人データの漏えい、改ざん、滅失又は毀損が発生した場合

又はそのおそれがある場合は、直ちに情報管理者に報告しなければならない。
２

前項の報告を受けた情報管理者は、管理責任者に報告するとともに、速やかに次の措置を講じなければならない。

３(１)

被害拡大及び二次被害の防止(２)

事実関係の調査及び原因の究明(３)

影響範囲の特定及び影響を受ける可能性のある本人への連絡(４)

再発防止策の検討

前項の報告を受けた管理責任者は、前項による措置の状況を確認の上、必要に応じて追加措置を講じるとともに、速やかに統括管理責任者に報告しなければならない。

４

前項の報告を受けた統括管理責任者は、速やかに理事長に報告するとともに、当該事案への対応を検証の上再発防止策を実施しなければならない。

５

統括管理責任者は、所管する個人データの漏えい、改ざん、滅失、毀損その他の個人デー
タの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして規則で定めるものが生じたときは、規則で定めるところにより、次に掲げる事項について個人情報保護委員会（内閣府外局）に報告するとともに、速やかに理事長に報告しなければならな
い。

６

(１)

概要

(２)

漏えい等が発生し、又は発生したおそれがある個人データの項目(３)

漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数

(４)

原因

(５)

二次被害又はそのおそれの有無及びその内容(６)

本人への対応の実施状況(７)

公表の実施状況(８)

再発防止のための措置(９)

その他参考となる事項

前項に規定する場合には、統括管理責任者は、本人に対し、規則で定めるところにより、

10/26

次に掲げる事項について通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限り
でない。
(１)

概要

(２)

漏えい等が発生し、又は発生したおそれがある個人データの項目

(３)

原因

(４)

二次被害又はそのおそれの有無及びその内容(５)

その他参考となる事項
第４章

個人データの取扱いの委託、第三者提供、共同利用等（個人データの取扱いの委託）
第18条

管理責任者は、第12条に基づき特定された利用目的の達成に必要な範囲において、個

人データの取扱いの全部又は一部を外部業者等（以下「委託先」という。）に委託することができる。
２

前項により委託を行う場合、管理責任者は、委託先において取り扱われる個人データの安全管理が確保されるよう、次に掲げる措置を講じなければならない。
(１)

委託先における個人データの安全管理体制が確保されていることの確認(２)

委託先における個人データの安全管理を確保するための委託先との「個人情報の取扱

いに関する覚書」（別記様式４）の取り交わし（当該覚書の内容が委託契約に含まれてい
ない場合）
(３)

前号の覚書に基づく委託先における個人データの安全管理状況に関する報告書の徴求、必要に応じた委託先への立入調査その他委託先における安全管理状況を確認するための措
置
（再委託）
第19条

委託先は、本院の許諾を得た場合に限り、取扱いを委託された個人データの全部又は一部について、利用目的の達成に必要な範囲内において他の外部業者等（以下「再委託先」という。）にその取扱いを再委託できるものとする。
２

委託先が前項による再委託を行った場合、管理責任者は、委託先に対し、再委託先との間において前条第２項に定める個人データの安全管理確保のための措置が講じられていることの確認及び報告を定期的に求めなければならない。

３

再委託先は、取扱いの再委託を受けた個人データの全部又は一部について、他の第三者に

11/26

対し更に委託を行ってはならないものとする。
（第三者への提供）
第20条

管理責任者は、第12条第４項各号に該当する場合を除き、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
２

前項の規定にかかわらず、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、あらかじめ本人に通知し又は本人が容易に知り得る状態に置くとともに、法第23条第２項及び第23条第３項の定めに従い個人情報保護委員会（内閣府外局）へ届け出たとき（以下「オプトアウト」という。）は、当該個人データ（要配慮個人情報を除く。以下この項において同じ。）を第三者に提供することができる。ただし、第三者に提供される個人データが要配慮個人情報又は第13条第１項の規定に違反して取得されたもの若しくは他の個人情報取扱事業者からオプ
トアウト規定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む。）
である場合は、この限りではない。
(１)

本院の名称及び住所並びに理事長の氏名(２)

第三者への提供を利用目的とすること。

(３)

第三者に提供される個人データの取得の方法(４)

第三者に提供される個人データの項目(５)

第三者への提供の方法(６)

本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止するこ

と。

３

(７)

本人の求めを受け付ける方法(８)

その他個人の権利利益を保護するために必要なものとして規則で定める事項

次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする（以下この章において同じ。）。
(１)

本院が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合(２)

特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

12/26

（外国にある第三者への提供の制限）
第21条

管理責任者は、外国にある第三者に個人データを提供する場合には、第12条第４項各号に掲げる場合を除くほか、あらかじめ当該外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合において、前条の規定は、適用しない。
２

前項に定める外国とは、本邦の域外にある国又は地域をいう（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として規則で定めるものを除く。）。

３

管理責任者は、第１項の規定により本人の同意を得ようとする場合には、規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講じる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。

４

管理責任者は、個人データを外国にある第三者（個人データの取扱いについて個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講じるために必要なものとして規則で定める基準に適合する体制を整備している者に限る。）に提供した場合には、規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講じるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。
（第三者への提供に係る記録の作成等）

第22条

管理責任者は、個人データを第三者（国の機関、地方公共団体、独立行政法人等及び地方独立行政法人を除く。以下この条及び次条において同じ。）へ提供したとき（第12条第４項各号の場合に該当する場合を除く。）は、次の事項に関する記録を作成し、又は作成させなければならない。ただし、本院が本人に対する物品又はサービスの提供に関連して当該本人の個人データを第三者へ提供する場合において当該提供に関して作成された契約書等（電磁的記録を含む。以下この条及び次条において同じ。）に次の事項が記載されているときは、当該契約書等で代替可能とし、また、既に記録されている事項と内容が同一のものについては、当該事項の記録を省略することができる。
(１)

本人の同意を得ている旨（第20条第２項の規定により個人データを提供した場合は提供した年月日）(２)

当該第三者の氏名又は名称その他の当該第三者を特定するに足りる事項（不特定かつ多数の者に対して提供したときは、その旨）

13/26

(３)

当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる

事項
(４)
２

当該個人データの項目

前項の記録は、個人データを第三者に提供した都度、作成しなければならない。ただし、個人データを第三者に継続的に若しくは反復して提供したとき、又はその確実な見込みがあるときは、一括して作成することができる。

３

管理責任者は、前２項により作成した記録を、当該記録を作成した日から原則として、３年間保存しなければならない。
（個人関連情報の第三者提供の制限等）

第23条

管理責任者は、第三者が個人関連情報を個人データとして取得することが想定される

ときは、第12条第４項各号に掲げる場合を除くほか、当該第三者が個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていることについて、規則で定めるところによりあらかじめ確認することをしないで、当該個人関連情報を当該第三者に提供してはならない。
（第三者からの提供）
第24条

管理責任者は、第三者から個人データの提供を受けるに際しては、次の事項を確認しなければならない。

２(１)

当該第三者の氏名又は名称及び住所並びに法人にあってはその代表者(２)

当該第三者による当該個人データの取得の経緯

前項により第三者から個人データの提供を受けた場合、管理責任者は、次の事項に関する記録を作成し、又は作成させなければならない。ただし、本院が本人に対する物品又はサービスの提供に関連して第三者から個人データの提供を受けた場合において、当該提供に関して作成された契約書等に次の事項が記載されているときは、当該契約書等で代替可能とし、また、既に記録されている事項と内容が同一のものについては、当該事項の記録を省略することができる。
(１)

本人の同意を得ている旨（第20条第２項に規定する方法により個人データの提供を受けた場合は個人データの提供を受けた年月日）(２)

前項各号に掲げる確認事項(３)

当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる

事項

14/26

(４)

当該個人データの項目(５)

第20条第２項に規定する方法により個人データの提供を受けた場合は、個人情報保護委員会（内閣府外局）による公表がされている旨
３

前項の記録は、第三者から個人データの提供を受けた都度、作成しなければならない。ただし、第三者から継続的に若しくは反復して個人データの提供を受けたとき、又はその確実な見込みがあるときは、一括して作成することができる。

４

管理責任者は、前２項により作成した記録を、当該記録を作成した日から原則として、３年間保存しなければならない。
（共同利用）

第25条

管理責任者は、第20条の規定にかかわらず、個人データを第三者との間で共同利用することができる。ただし、次に掲げる事項をあらかじめ本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
(１)

個人データを特定の第三者との間で共同利用する旨(２)

共同利用する個人データの項目(３)

共同利用する者の氏名又は名称(４)

共同利用する者の利用目的(５)

共同利用する個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
２

管理責任者は個人データを共同利用する第三者に対しても、前項ただし書きの措置を講じさせなければならない。
第５章

保有個人データの公表、開示、訂正、利用停止等（保有個人データに関する事項の公表等）
第26条

管理責任者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
(１)

全ての保有個人データの利用目的（第14条第４項第１号から第３号までに該当する場合を除く。）(２)

この規程に定める次に掲げる請求に関する手続（手数料の額を定めたときはその額を含む。）
ア第４項に規定する保有個人データの利用目的の通知

イ第20条第２項第６号に規定する個人データの第三者提供の停止

15/26

ウ

次条に規定する保有個人データ及び第三者への提供に係る記録の開示

エ

第28条に規定する保有個人データの内容の訂正等

オ

第29条に規定する保有個人データの利用停止等(３)

前２号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し、政令上必要とされる事項
２

前項の公表措置は、掲示、印刷物の配布又は本院のウェブサイトへの掲載をもって行う。

３

第１項第２号に掲げる手続については、別に定める。

４

管理責任者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なくこれを通知しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りでない。

５(１)

第１項の規定により保有個人データの利用目的が明らかな場合(２)

第14条第４項第１号から第３号までに該当する場合

管理責任者は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なくその旨を通知しなければならない。
（保有個人データ及び第三者への提供に係る記録の開示）

第27条

本人は、本院に対し、当該本人が識別される保有個人データ及び第22条に規定する第三者への提供に係る記録について、電磁的記録の提供による方法その他の規則で定める方法
によるの開示を請求することができる。
２

管理責任者は、前項の請求を受けたときは、本人に対し、同項の規定により当該本人が請求した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）により、遅滞なく当該保有個人データ等を開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する
場合は、その全部又は一部を開示しないことができる。

３(１)

本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合(２)

本院の業務の適正な実施に著しい支障を及ぼすおそれがある場合(３)

法令に違反することとなる場合

管理責任者は、保有個人データの全部若しくは一部を開示しない旨の決定をしたとき、当該保有個人データが存在しないとき、又は前項の規定により本人が請求した方法による開示が困難であるときは、本人に対し、遅滞なくその旨を通知しなければならない。
（保有個人データの内容の訂正等）

16/26

第28条

本人は、本院に対し、当該本人が識別される保有個人データの内容が事実でないときは、その内容の訂正、追加又は削除（以下この条において「訂正等」という。）を請求することができる。
２

管理責任者は、前項の請求を受けた場合には、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。

３

管理責任者は、第１項の請求に係る保有個人データの全部若しくは一部の訂正等を行ったとき又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なくその結果（訂正等を行ったときはその内容、又は訂正等を行わなかったときはその理由を含む。）を通知しなければならない。
（保有個人データの利用停止等）

第29条

本人は、本院に対し、当該本人が識別される保有個人データが次のいずれかに該当する場合は、その利用の停止、消去又は第三者提供の停止（以下「利用停止等」という。）を請求することができる。

２(１)

第12条の規定に違反して目的外利用されているとき。

(２)

第13条第１項の規定に違反して不正の手段により取得されたものであるとき。

(３)

第13条第２項の規定に違反して要配慮個人情報が取得されているとき。

(４)

第20条及び第21条の規定に違反して第三者に提供されているとき。

(５)

本院において利用する必要がなくなったとき。

(６)

第17条第５項に規定する事態が生じたとき。

(７)

その他当該本人の権利又は正当な利益が害されるおそれがあるとき。

管理責任者は、前項の請求を受け、その請求に理由があると判明したときは、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく当該保有個人データの利用停止等を行わなければならない。ただし、利用停止等に多額の費用を要する場合その他利用停止等を行うことが困難な場合であって本人の権利利益を保護するため必要な代替措置をとるときはこの限りではない。

３

管理責任者は、第１項の規定に基づき請求された保有個人データの全部若しくは一部について利用停止等を行ったとき又は利用停止等を行わない旨の決定をしたときは、本人等に対し、遅滞なくその旨を通知しなければならない。
（苦情処理）

第30条

管理責任者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければ

17/26

ならない。
２

本院は、苦情処理等の窓口を法人事務局庶務部企画課に設置し、その窓口において苦情の申出を受けた場合は、直ちにその旨を当該個人情報を所管する管理責任者に報告するものとする。
第６章

仮名加工情報及び匿名加工情報の取扱い（仮名加工情報の作成等）
第31条

管理責任者は、仮名加工情報（仮名加工情報データベース等を構成するものに限る。

以下同じ。）を作成するときは、他の情報と照合しない限り特定の個人を識別することができないようにするために必要なものとして規則で定める基準に従い、個人情報を加工しなければならない。
２

管理責任者は、仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等（仮名加工情報の作成に用いられた個人情報から削除された記述等及び個人識別符号並びに前項の規定により行われた加工の方法に関する情報をいう。以下同じ。）を取得したときは、削除情報等の漏えいを防止するために必要なものとして規則で定める基準に従い、削除情報等の安全管理のための措置を講じなければならない。

３

管理責任者は、第11条の規定にかかわらず、法令に基づく場合を除くほか、第12条第１項の規定により特定された利用目的の達成に必要な範囲を超えて、仮名加工情報を取り扱ってはならない。

４

仮名加工情報については、あらかじめその利用目的を公表している場合を除き、速やかにその利用目的を公表しなければならない。

５

管理責任者は、仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞なく消去するよう努めなければならない。

６

本院は、法令に基づく場合を除くほか、仮名加工情報（個人情報でないものを含む。）を第三者に提供してはならない。

７

管理責任者は、仮名加工情報を取り扱うに当たっては、当該仮名加工情報を他の情報と照合してはならない。

８

管理責任者は、仮名加工情報を取り扱うに当たっては、電話をかけ、郵便若しくは民間事業者による信書の送達に関する法律第２条第６項に規定する一般信書便若しくは同条第９項に規定する特定信書郵便事業者による同条第２項に規定する信書便により送付し、電報を送
達し、ファクシミリ装置若しくは電磁的方法（電子情報処理組織を使用する方法その他の情

18/26

報通信の技術を利用する方法であって規則で定めるものをいう。）を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用してはならない。
９

仮名加工情報、仮名加工情報である個人データ及び仮名加工情報である保有個人データについては、第12条、第17条第５項、同条第６項及び第26条から第29条までの規定は、適用しない。
（匿名加工情報の作成等）

第32条

管理責任者は、匿名加工情報（匿名加工情報データベース等を構築するものに限る。

以下同じ。）を作成するときは、特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにするために、適切な方法により当該個人情報を加工しなければならない。
２

管理責任者は、匿名加工情報を作成したときは、その作成に用いた個人情報から削除した記述等及び個人識別符号並びに前項の規定により行った加工の方法に関する情報の漏えいの防止その他これらの情報の安全管理のために必要な措置を講じなければならない。

３

管理責任者は、匿名加工情報を作成したときは、必要かつ適切な方法により、当該匿名加
工情報に含まれる個人に関する情報の項目を公表しなければならない。

４

管理責任者は、匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは、必要かつ適切な方法により、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。

５

管理責任者は、匿名加工情報を作成して自ら当該匿名加工情報を取り扱うに当たっては、
当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該匿名加工
情報を他の情報と照合してはならない。

６

管理責任者は、匿名加工情報の安全管理のために必要かつ適切な措置、匿名加工情報の取扱いに関する苦情の処理その他匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
第７章

雑則

（事務）
第33条

委員会及びこの規程に関する事務は、法人事務局庶務部企画課において処理する

（改廃）

19/26

第34条

この規程の改廃は、委員会の議を経て理事会において行うものとする。
附則

この規程は、2005（平成17）年４月１日から施行する。
附則（平成28年３月22日改正第65号）

この規程は、平成28(2016)年４月１日から施行する。
附則（平成30年３月28日改正第36号）

この規程は、平成30(2018)年３月28日から施行する。
附則（令和２年12月24日改正第164号）

この規程は、2020年12月24日から施行する。
附則（令和３年３月31日改正第51号）

この規程は、2021年４月１日から施行する。
附則（令和４年２月９日改正第12号）

この規程は、2022年４月１日から施行する。
附則（令和５年６月27日改正第167号）

この規程は、2023年６月27日から施行し、2023年６月１日から適用する。
附則（令和５年９月20日改正第191号）

この規程は、2023年９月20日から施行する。

別記様式１（第16条関係）

20/26

別記様式２（第16条関係）

21/26

別記様式３（第16条関係）

22/26

別記様式４（第18条及び第19条関係）

23/26

24/26

25/26

26/26