24101○日本下水道事業団個人情報保護規程
平成 17 年 4 月 22 日
規程第 3 号

〔沿革〕 平成18年３月31日規程第11号改正
平成25年４月１日規程第16号改正
平成28年３月４日規程第１号改正
令和２年３月30日規程第５号改正
令和４年３月３１日規程第２号改正

平成23年３月31日規程第36号改正
平成27年３月31日規程第10号改正
平成29年12月27日規程第７号改正
令和２年６月３０日規程第9号改正
令和４年１２月１日規程第８号改正

第１章 総則（目的）
第１条 この規程は、個人情報の保護に関する法律（平成15年法律第57号。以下「個人情報保護法」という。）及び行政手続における特定の個人を識別するための番号の利用等に関する法律（平成25年法律第27号。以下「番号法」という。）の日本下水道事業団（以下「事業団」という。）における適正な実施を図るため事業団における個人情報（個人番号を含む。以下同じ。）の取扱いに関する基本的な事項を定めることにより、事業団の業務及び事業の適正かつ円滑な運営を図りつつ、事業団がその情報を保有する個人の権利利益を保護することを目的とする。
（平28規程１・一部改正）（個人情報の保護に関する方針等）
第１条の２ 理事長は、個人情報保護法、番号法、個人情報保護法及び番号法の関連法
令、個人情報の保護に関する基本方針（平成16年４月閣議決定）、個人情報の保護に関する法律についてのガイドライン（通則編）（平成28年個人情報保護委員会告示第６号）
及び特定個人情報の適正な取扱いに関するガイドライン（事業者編）（平成26年特定個
人情報保護委員会告示第５号）等を踏まえ、事業団の事業活動の特性、規模及び実態を考慮し、事業団の個人情報の保護に関する考え方や方針を策定し、公表するものとする。
（平27規程10・平28規程１・追加・平29規程７・一部改正）（定義）
第２条 この規程において「職員等」とは、職員、事務員、技術員、非常勤事務員、嘱託員、
会計年度業務支援員及び派遣職員等で、事業団の指揮監督を受けて業務を遂行している者をいう。
２ この規程における用語の定義は、前項に定めるもののほか、個人情報保護法及び番号法において使用する用語の例による。
（平28規程１・令４規程８・一部改正・平29規程７・全改）第２章 管理体制

1

24101（管理体制）
第３条 事業団に総括保護管理者一人を置くこととし、経営企画担当理事をもって充てる。
総括保護管理者は事業団における保有個人データ（個人番号を含む。以下同じ。）の適切な管理に関する事務を総括する。
２ 保有個人データを取り扱う本社の部、技術開発室、国際戦略室、監査室、研修センター、
設計センター及び総合事務所に保護管理者を置くこととし、当該組織の長をもって充てる。
保護管理者は、当該組織における保有個人データを適切に管理する。
３ 保有個人データを取り扱う本社、研修センター、設計センター及び総合事務所の各課室（事務所及び分室を含む。以下同じ。）に当該組織の保護管理者が指定する保護担当者を置く。保護担当者は、保護管理者を補佐し、各課室における保有個人データの管理に関する事務を担当する。
（平18規程程11・平23規程程36・平25規程程16・平27規程10・平28規程１・平29規程７・令２規程５・
令２規程９・令４規程２・一部改正）（役職員等の義務）
第４条 役員及び職員等（以下「役職員等」という。）は、その業務に関して知り得た個人情報の内容をみだりに他人に知らせ、又は不当な目的に利用してはならない。
（平27規程10・平29規程７・一部改正）

第３章 個人情報の取扱い（利用目的の特定）
第５条 役職員等は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。
２ 前項の利用目的の特定に当たっては、個人情報が最終的にどのような事業の用に供され、どのような目的で利用されるのかが本人にとって一般的かつ合理的に想定できる程
度に具体的であるよう努めなければならない。
３ 役職員等は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。
（平27規程10・２号繰下３号追加・平29規程７・一部改正）（取得に際しての利用目的の通知又は公表）
第６条 役職員等は、個人情報を取得した場合は、あらかじめその利用目的を公表している
場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
２ 役職員等は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでないが、その場合には、前項の規定に基づいて、取得後速やかにその利用目的を本人に通知し、又は公表しなければならない。
３ 役職員等は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
４ 前３項の規定は、次に掲げる場合については、適用しない。
一 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財224101
産その他の権利利益を害するおそれがある場合
二 利用目的を本人に通知し、又は公表することにより事業団の権利又は正当な利益を害するおそれがある場合
三 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
四 取得の状況からみて利用目的が明らかであると認められる場合
５ 役職員等は、取得した個人情報の内容及び利用目的を保護担当者に報告しなければならない。
（平27規程10・一部改正・平29規程７・一部改正及び第５項追加）（利用目的による制限）
第７条 役職員等は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
２ 前項の規定は、次に掲げる場合については、適用しない。
一 法令に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
（平27規程10・平29規程７・一部改正）（適正な取得）第８条 役職員等は、偽りその他不正の手段により個人情報を取得してはならない。
２ 役職員等は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個
人情報を取得してはならない。
一 法令に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
五 当該要配慮個人情報が、次に掲げる者により公開されている場合
イ 本人
ロ 国の機関ハ 地方公共団体
ニ 放送機関・新聞社・通信社その他の報道機関（報道を業として行う個人を含む。）
ホ 著述を業として行う者
へ 大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者
ト 宗教団体3

24101
チ 政治団体リ 外国政府、外国の政府機関、外国の地方公共団体又は国際機関
ヌ 外国において上記ニからチに相当する者
六 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合
七 第13条第５項各号に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき（平29規程７・一部改正及び第２項追加）（正確性の確保等）
第９条 役職員等は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するように努めなければならない。
（平27規程10・平29規程７・一部改正）（物理的及び技術的安全管理措置）
第10条 総括保護管理者は、取り扱う個人データの漏えい、滅失又はき損（以下「漏えい等」という。）の防止その他の個人データの安全管理措置のため、別紙の物理的及び技術
的安全管理措置を、保護管理者及びDX戦略部長にそれぞれ講じさせるものとする。
（平成27規程10・平28規程１・平29規程７・令４規程２・一部改正）（職員等の監督及び研修等）
第11条 保護管理者は、当該組織に属する職員等に対し、個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該職員等に対する必要かつ適切な監督を行うとともに、個人データを取り扱う職員等に対する教育及び研修等必要かつ適切な措置を講ずるものとする。
（平27規程10・平29規程７・一部改正）（委託先の監督）
第12条 保護担当者は、個人データの取扱いの全部又は一部を外部に委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者（以下「委託先」という。）に対する必要かつ適切な監督を行うほか、必要かつ適切な措置を講じなければならない。
２ 個人データの取扱いの全部又は一部を外部に委託する契約を締結するに当たっては、
適切な者を選定して委託契約を結ぶとともに、当該契約等において次の各号に掲げる事項について定めるものとする。
一 委託先の個人データの取扱いに関する事項
二 委託先の秘密の保持に関する事項
三 委託された個人データの再委託先に関する事項
四 契約終了時の個人データの返却等に関する事項
五 契約内容の遵守に関する事項（平27規程10・２項追加・平28規程１・平29規程７・一部改正）（第三者提供の制限）
第13条 役職員等は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人
424101
データを第三者に提供してはならない。
一 法令に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を求めることが困難であるとき。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
２ 保護担当者は、第三者に提供される個人データ（要配慮個人情報を除く。以下この項において同じ。）について、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、次項に定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、総括保護管理者を通じて個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。
一 第三者への提供を利用目的とすること。
二 第三者に提供される個人データの項目
三 第三者への提供の方法
四 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
五 本人の求めを受け付ける方法
３ 前項の通知又は容易に知り得る状態に置く措置は、次の各号に定めるところにより、行う
ものとする。
一 第三者に提供される個人データによって識別される本人（次号において「本人」という。）が当該提供の停止を求めるのに必要な期間をおくこと。
二 本人が、前項各号に掲げる事項を確実に認識できる適切かつ合理的な方法によること。
４ 保護担当者は、第２項第２号、第３号又は第５号に掲げる事項を変更する場合は、変更する内容について、前項に定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、総括保護管理者を通じて個人情報保護委員会に届け出なければならない。
５ 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。
一 事業団が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合
二 合併、分社化、営業譲渡等による事業の承継に伴って個人データが提供される場合
三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状
態に置いているとき。
６ 保護担当者は、前項第３号に規定する共同して利用される個人データの項目又は共同して利用する者の範囲を変更する場合は、あらかじめ本人の同意を得なければならない。
７ 保護担当者は、第５項第３号に規定する利用する者の利用目的又は当該個人データの524101
管理について責任を有する者の氏名若しくは名称を変更する場合は、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
（平27規程10・平29規程７・一部改正）（外国にある第三者への提供の制限）
第13条の２ 保護担当者は、外国にある第三者（個人データの取扱いについてこの章の規定により事業団が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして次の各号に定める基準に適合する体制を整備している者を除く。以下この条において同じ。）に個人データを提供する場合には、前条第１項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては、同条の規定は、適用しない。
一 事業団と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、この章の規定の趣旨に沿った措置の実施が確保されていること。
二 個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。
（平29規程７・追加）（第三者提供に係る記録の作成等）
第13条の３ 保護担当者は、個人データを第三者（次の各号に掲げる者を除く。以下この条及び次条において同じ。）に提供したときは、次項から第４項までの規定で定めるところにより、当該個人データを提供した年月日、当該第三者の氏名又は名称その他の第５項で定める事項に関する記録を作成しなければならない。ただし、当該個人データの提供が第13条第１項各号又は第５項各号のいずれか（前条の規定による個人データの提供にあっては、第13条第１項各号のいずれか）に該当する場合は、この限りでない。
一 国の機関二 地方公共団体
三 独立行政法人等（独立行政法人等の保有する個人情報の保護に関する法律（平成15年法律第59号）第２条第１項に規定する独立行政法人等をいう。）
四 地方独立行政法人（地方独立行政法人法（平成15年法律第118号）第２条第１項に規定する地方独立行政法人をいう。）
２ 前項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成す
る方法とする。
３ 第１項の記録は、個人データを第三者に提供した都度、速やかに作成しなければならない。ただし、当該第三者に対し個人データを継続的に若しくは反復して提供（第13条第２項の規定による提供を除く。以下この項において同じ。）したとき、又は当該第三者に対し個人データを継続的に若しくは反復して提供することが確実であると見込まれるときの記
録は、一括して作成することができる。
４ 前項の規定にかかわらず、第13条第１項又は前条の規定により、本人に対する物品又は役務の提供に関連して当該本人に係る個人データを第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に次項第１号イからニに定める事項が記載されているときは、当該書面をもって第１項の当該事項に関する記録に代えることができる。
５ 第１項の記録を要する事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各6

24101号に定める事項とする。
一 第13条第２項の規定により個人データを第三者に提供した場合 次のイからニまでに掲げる事項
イ 当該個人データを提供した年月日
ロ 当該第三者の氏名又は名称その他の当該第三者を特定するに足りる事項（不特定かつ多数の者に対して提供したときは、その旨）
ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
ニ 当該個人データの項目
二 第13条第１項又は前条の規定により個人データを第三者に提供した場合 次のイ及びロに掲げる事項
イ 第13条第１項又は前条の本人の同意を得ている旨
ロ 前号ロからニまでに掲げる事項
６ 前項各号に定める事項のうち、既に第２項から第４項までに規定する方法により作成した第１項の記録（当該記録を保存している場合におけるものに限る。）に記録されている事項と内容が同一であるものについては、第１項の当該事項の記録を省略することができる。
７ 保護担当者は、第１項及び第４項の記録を、当該記録を作成した日から次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間保存しなければならない。
一 第４項に規定する方法により記録を作成した場合 最後に当該記録に係る個人デー
タの提供を行った日から起算して１年を経過する日までの間
二 第３項ただし書に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を行った日から起算して３年を経過する日までの間
三 前２号以外の場合 ３年（平29規程７・追加）（第三者提供を受ける際の確認等）
第13条の４ 保護担当者は、第三者から個人データの提供を受けるに際しては、次項で定めるところにより、次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供が第13条第１項各号又は第５項各号のいずれかに該当する場合は、この限りでない。
一 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名
二 当該第三者による当該個人データの取得の経緯
２ 前項各号の事項の確認を行う方法は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める方法とする。
一 前項第１号に掲げる事項の確認 個人データを提供する第三者から申告を受ける方法その他の適切な方法
二 前項第２号に掲げる事項の確認 個人データを提供する第三者から当該第三者による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法
三 前２号の規定にかかわらず、第三者から他の個人データの提供を受けるに際して既に前２号に規定する方法による確認（当該確認について第４項から第６項までの規定で定める方法による記録の作成及び保存をしている場合におけるものに限る。）を行っている事項の確認 当該事項の内容と当該提供に係る前項各号に掲げる事項の内容が7

24101
同一であることの確認を行う方法
３ 保護担当者は、第１項の規定による確認を行ったときは、次項から第６項までの規定で定めるところにより、当該個人データの提供を受けた年月日、当該確認事項に係る事項その他の第７項で定める事項に関する記録を作成しなければならない。
４ 前項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成す
る方法とする。
５ 第３項の記録は、第三者から個人データの提供を受けた都度、速やかに作成しなければならない。ただし、当該第三者から継続的に若しくは反復して個人データの提供（第13条第２項の規定による提供を除く。以下この項において同じ。）を受けたとき、又は当該第三者から継続的に若しくは反復して個人データの提供を受けることが確実であると見込まれるときの記録は、一括して作成することができる。
６ 前項の規定にかかわらず、本人に対する物品又は役務の提供に関連して第三者から当該本人に係る個人データの提供を受けた場合において、当該提供に関して作成された契約書その他の書面に次項各号に定める事項が記載されているときは、当該書面をもって第３項の当該事項に関する記録に代えることができる。
７ 第３項の記録を要する事項は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項とする。
一 個人情報取扱事業者（個人情報保護法第２条第５項で定める個人情報取扱事業者をいう。以下同じ。）である第三者から第13条第２項の規定による個人データの提供を受けた場合 次のイからホまでに掲げる事項
イ 個人データの提供を受けた年月日
ロ 第１項各号に掲げる事項
ハ 当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
ニ 当該個人データの項目
ホ 個人情報保護法第23条第４項の規定により公表されている旨
二 個人情報取扱事業者である第三者から第13条第１項又は第13条の２の規定による個
人データの提供を受けた場合 次のイ及びロに掲げる事項
イ 第13条第１項又は第13条の２の本人の同意を得ている旨
ロ 前号ロからニまでに掲げる事項
三 第三者（個人情報取扱事業者に該当する者を除く。）から個人データの提供を受けた
場合 第１号ロからニまでに掲げる事項
８ 前項各号に定める事項のうち、既に第４項から第６項までに規定する方法により作成した第３項の記録（当該記録を保存している場合におけるものに限る。）に記録されている事項と内容が同一であるものについては、第３項の当該事項の記録を省略することができる。
９ 保護担当者は、第３項の記録を、当該記録を作成した日から次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間保存しなければならない。
一 第６項に規定する方法により記録を作成した場合 最後に当該記録に係る個人デー
タの提供を受けた日から起算して１年を経過する日までの間
二 第５項ただし書に規定する方法により記録を作成した場合 最後に当該記録に係る個人データの提供を受けた日から起算して３年を経過する日までの間
三 前２号以外の場合 ３年（平29規程７・追加）（保有個人データに関する事項の公表等）
8

24101
第14条 総括保護管理者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
一 事業団の氏名又は名称
二 全ての保有個人データの利用目的（第６条第４項第１号から第３号までに該当する場合を除く。）
三 次項の規定による求め又は次条第１項、第16条第１項若しくは第17条第１項若しくは第３項の規定による請求に応じる手続（第20条第２項の規定により手数料の額を定めた
ときは、その手数料の額を含む。）
四 前３号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事
項として次に掲げるもの。
イ 事業団が行う保有個人データの取扱いに関する苦情の申出先
ロ 削除
２ 総括保護管理者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、次の各号のいずれかに該当する場合は、この限りではない。
一 前項の規定により当該本人が識別される保有個人データの利用目的が明らかな場合
二 第６条第４項第一号から第三号までに該当する場合
３ 総括保護管理者は、前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
（平27規程10・平29規程７・一部改正）

第４章 開示、訂正及び利用停止（開示）第15条 総括保護管理者は、本人から、当該本人が識別される保有個人データの開示を請求されたときは、本人に対し、書面の交付による方法（開示の求めを行った者が同意した方法があるときは、当該方法）により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合はその全部又は一部を開示しないことができる。
一 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
二 事業団の業務の適正な実施に著しい支障を及ぼすおそれがある場合
三 他の法令に違反することとなる場合
２ 総括保護管理者は、前項の規定による請求に係る保有個人データの全部又は一部について開示しない旨の決定をしたとき又は当該保有個人データが存在しないときは、本人に対し、遅滞なく、その旨を通知しなければならない。
３ 他の法令の規定により、本人に対し第１項本文に規定する方法に相当する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている場合には、当該全部又は一部の保有個人データについては、同項の規定は、適用しない。
（平27規程10・平29規程７・一部改正）（保有個人データの訂正等）
第16条 総括保護管理者は、本人から、当該本人が識別される保有個人データの内容が9

24101
事実でないという理由によって当該保有個人データの内容の訂正、追加又は削除（以下この条において「訂正等」という。）を請求された場合には、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。
２ 総括保護管理者は、前項の規定による請求に係る保有個人データの内容の全部若しく
は一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を通知しなければならない。
（平27規程10・平29規程７・一部改正）（保有個人データの利用停止等）
第17条 総括保護管理者は、本人から、当該本人が識別される保有個人データが第７条の規定に違反して取り扱われているという理由又は第８条の規定に違反して取得されたものであるという理由によって、当該保有個人データの利用の停止又は消去（以下この条において「利用停止等」という。）を請求された場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人デー
タの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
２ 総括保護管理者は、本人から、当該本人が識別される保有個人データが第１３条第１項
又は第１３条の２の規定に違反して第三者に提供されているという理由によって、当該保有個人データの第三者への提供の停止を請求された場合であって、その請求に理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
３ 総括保護管理者は、第１項の規定による請求に係る保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は前項の規定による請求に係る保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
（平27規程10・平29規程７・一部改正）（理由の説明）
第18条 総括保護管理者は、第14条第３項、第15条第２項、第16条第２項又は前条第３項の規定により、本人から求められ、又は請求された措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、その理由を説明するよう努めなければならない。
（平27規程10・平29規程７・一部改正）（開示等の請求等に応じる手続）
第19条 理事長は、第14条第２項の規定による求め又は第15条第１項、第16条第１項若しくは第17条第１項若しくは第２項の規定による請求（以下この条において「開示等の請求等」という。）を受け付ける方法について、別に定めるものとする。
10

24101
２ 総括保護管理者は、本人に対し、開示等の請求等に関し、その対象となる保有個人データを特定するに足りる事項の提示を求めることができる。この場合において、総括保護管理者は、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。
３ 開示等の請求等は、次に掲げる代理人によってすることができる。
一 未成年者又は成年被後見人の法定代理人
二 開示等の請求等をすることにつき本人が委任した代理人（平27規程10・平29規程７・一部改正）（手数料）第20条 理事長は、第14条第２項の規定による利用目的の通知を求められたとき又は第15条第１項の規定による開示の請求を受けたとき、当該措置の実施に関する手数料の徴収について、別に定めるものとする。
２ 前項の手数料の額を実費を勘案して合理的であると認められる範囲内において、別に定める。
（平29規程７・一部改正）

第５章 匿名加工情報の取扱い（匿名加工情報の作成等）
第20条の２ 役職員等は、匿名加工情報（匿名加工情報データベース等を構成するものに限る。以下同じ。）を作成するときは、特定の個人を識別すること及びその作成に用いる
個人情報を復元することができないようにするために必要なものとして、以下の各号に掲げる基準に従い、当該個人情報を加工しなければならない。
一 個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること（当該全部又は一部の記述等を復元することのできる規則性を有しない方法
により他の記述等に置き換えることを含む。）。
二 個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
三 個人情報と当該個人情報に措置を講じて得られる情報とを連結する符号（現に事業団において取り扱う情報を相互に連結する符号に限る。）を削除すること（当該符号を復元することのできる規則性を有しない方法により当該個人情報と当該個人情報に措置を講じて得られる情報を連結することができない符号に置き換えることを含む。）。
四 特異な記述等を削除すること（当該特異な記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
五 前各号に掲げる措置のほか、個人情報に含まれる記述等と当該個人情報を含む個
人情報データベース等を構成する他の個人情報に含まれる記述等との差異その他の
当該個人情報データベース等の性質を勘案し、その結果を踏まえて適切な措置を講ずること。
２ 匿名加工情報を作成したときは、その作成に用いた個人情報から削除した記述等及び個人識別符号並びに前項の規定により行った加工の方法に関する情報の漏えいを防止するために必要なものとして、次の各号で定めるこれらの情報の安全管理のための措置を講じるものとする。
一 理事長は、加工方法等情報（匿名加工情報の作成に用いた個人情報から削除した
11

24101
記述等及び個人識別符号並びに前項により行った加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。）をいう。以下この項において同じ。）の取扱いに関する規程類を整備する。
二 総括保護管理者は、加工方法等情報を適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果に基づき改善を図るために必要な措置を講ずる。
三 保護管理者は、当該組織内で加工方法等情報を取り扱う正当な権限を有しない者による加工方法等情報の取扱いを防止するために必要かつ適切な措置を講ずる。
３ 総括保護管理者は、匿名加工情報を作成したときは、遅滞なく、当該匿名加工情報に含まれる個人に関する情報の項目をホームページで公表しなければならない。
４ 総括保護管理者は、匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項
目及びその提供の方法についてホームページで公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を、電子メールを送信する方法又は書面を交付する方法その他の適切な方法により明示しなければならない。
５ 役職員等は、匿名加工情報を作成して自ら当該匿名加工情報を取り扱うに当たっては、
当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該匿名加工情報を他の情報と照合してはならない。
６ 総括保護管理者は、匿名加工情報を作成したときは、当該匿名加工情報の安全管理のために必要かつ適切な措置、当該匿名加工情報の作成その他の取扱いに関する苦情の処理その他の当該匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
（平29規程７・追加）

第６章 雑則（個人データの安全管理措置の評価、見直し及び改善）第21条 総括保護管理者は、個人データの安全管理措置の評価、見直し及び改善を行うものとする。
（平29規程７・一部改正）（苦情の処理）第22条 総括保護管理者は、個人情報の取扱いに関する苦情について、適切かつ迅速な処理に努めなければならない。
（平27規程10・平29規程７・一部改正）（法違反又は法違反のおそれが発生した場合の対応）
第23条 理事長は、その取扱う個人情報（委託を受けた者が取り扱うものを含む。）について、法違反又は法違反のおそれが発覚した場合には、次に掲げる措置を適切に実施するものとする。
一 事実関係を調査し、法違反又は法違反のおそれは把握できた場合には、その原因究明にあたること。
二 事実関係に基づき、影響が及ぶ範囲を特定すること。
三 第一号の規定で究明した原因を踏まえ、再発防止策を検討し、速やかに実施すること。
12

24101
四 影響を受ける可能性のある本人へ速やかに連絡し、又は本人が容易に知り得る状態に置くこと。
五 事実関係及び再発防止策等について、速やかに公表すること。
２ 理事長は、個人情報の漏えい等が発生した場合は、二次被害の防止、類似事案の発生
回避等の観点から、可能な限り事実関係等を公表するものとする。
３ 理事長は、法違反又は法違反のおそれが発覚した場合には、事実関係及び再発防止策等について、速やかに国土交通大臣に報告するものとする。
（平27規程10・平29規程７・一部改正）（その他）
第24条 この規程に定めるもののほか、この規程の実施のため必要な事項は、別に定める。

附 則 （平成17年４月22日規程第３号）
この規程は、平成17年４月１日から適用する。
附 則 （平成18年３月31日規程第11号）
この規程は、平成17年４月１日から適用する。
附 則 （平成23年３月31日規程36号）
この規程は、平成23年４月１日から適用する。
附 則 （平成25年４月１日規程16号）
この規程は、平成25年４月１日から適用する。
附 則 （平成27年３月31日規程第10号）
この規程は、平成27年４月１日から適用する。
附 則 （平成28年３月４日規程第１号）
この規程は、平成28年１月１日から適用する。
附 則 （平成29年12月27日規程第７号）
この改正規程は、平成30年１月１日から適用する。
附 則 （令和２年３月30日規程第５号）
この改正規程は、令和２年４月１日から適用する。
附 則 （令和２年６月30日規程第９号）
この改正規程は、令和２年７月１日から適用する。
附 則 （令和４年３月３１日規程第２号）
この改正規程は、令和４年４月１日から適用する。
附 則 （令和４年１２月１日規程第８号）（施行期日）
１ この改正規程は、令和４年１２月１日から適用する。
（経過措置）
２ この改正規程の適用の際会計年度業務支援員の雇用等に関する取扱要領（令和４年１２月１日付け経人発第２１３号）附則第３項により現に事務補助員として採用されている者
及びアルバイトについては、なお従前の例による。

13

24101
別紙 （平29規程７・追加、令４規程２・一部改正）
１．物理的安全管理措置として、保護管理者は次の各号に掲げる措置を講じる。
（１）個人情報を取扱う区域の管理
一 個人情報の情報漏えい等を防止するため、個人情報を取り扱う情報システム（日本下水道事業団情報セキュリティ管理規程（平成２３年規程第４号）第２条第３号に定める情報システムをいう。以下同じ。）を管理する区域（以下「管理区域」という。）及び個人情報を取り扱う事務を実施する区域（以下「取扱区域」という。）を明確にする。
二 管理区域では、入退室の管理を行うとともに、管理区域へ持ち込む電磁的記録媒体（日本下水道事業団情報セキュリティ管理規程実施細則（平成２３年７月２９日情発第２号。以下「セキュリティ細則」という。）第２条第８号に定める電磁的記録媒体をいう。以下同じ）の制限を行う。
三 取扱区域では、個人情報を取扱う役職員等の適当な作業スペースの確保、間仕切りの設置、情報システム機器画面への保護フィルタ設置等の措置を講じることなどにより、作業時における当該役職員等以外の者による個人情報等の覗き見を防止する。
四 取扱区域外において、役職員等が個人情報に関する業務を行うことを禁止すること。
（２）機器及び電子媒体等の盗難等の防止
一 個人情報を取扱うハードウェア、電磁的記録媒体、書類等は、施錠可能な書棚等に保管する。
二 個人情報データベース等を取扱う情報システムが一つのハードウェアのみで運用されている場合は、当該ハードウェアをセキュリティワイヤー等により固定する。
（３）電子媒体等を持ち運ぶ場合の漏えい等の防止
個人データが記録された電磁的記録媒体又は書類等の持出しは以下に掲げる方法による。
一 電磁的記録媒体にあっては、データの暗号化又はパスワードによる保護を行い、施錠できる搬送容器を使用する。
二 書類等にあっては、当該書類等を入れた封筒等を封緘する。
三 電磁的記録媒体又は書類等を郵送する場合は、前２号の措置を行ったうえで、特定記録郵便、書留郵便又は本人限定受取郵便など追跡可能な郵送手段により行う。
（４）個人データの削除及び機器、電子媒体の廃棄
一 個人データが記載された書類等の廃棄は、焼却、溶解、シュレッダー処理等の復元
不可能な手段により実施する。
二 個人データを削除し、又は、個人データが記録された機器、電子媒体の廃棄は、専用のデータ削除ソフトウェアの利用又は物理的な破壊等の復元できない方法により実施する。
２．技術的安全管理措置として、DX戦略部長は次の各号に掲げる措置を講じる。
一 個人情報を取扱う職員等のユーザーＩＤ（セキュリティ細則第２条第１５号に定めるユーザーＩＤをいう。）にアクセス権を付与することによりアクセス制御を行う。
二 個人情報データベース等を取扱う情報システムを、外部からの不正アクセス又は不正ソフトウェアから保護するため、情報システムに最新のセキュリティ対策を導入する。
三 ログ等の分析を行い、不正アクセスの検知に努める。

14