個人情報保護規程
第１章 総則（目的）第１条

この規程は、一般社団法人佐久産業支援センター（以下「本センター」という。）が扱う個人情報及び匿名加工情報について、適正な保護を実現するための基本となる事項と遵守すべき義務等を定めることを目的とする。

（用語の定義）
第２条 本規程における用語の定義は、次の各号に定めるところによる。
（１）「個人情報」 生存する個人に関する情報であって、次のア又はイのいずれかに該当するもの
ア

当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。）で作られる記録をいう。
）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。
）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む）

イ

個人識別符号（個人情報の保護に関する法律（以下「個人情報保護法」という。）第２条第２項が定めるもの）が含まれるもの（２）「要配慮個人情報」

本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報（３）「個人情報データベース等」

個人情報を含む情報の集合物であって、次に掲げるもの（利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものを除く。
）
ア

特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの

イ

前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（４）「個人データ」 個人情報データベース等を構成する個人情報（５）「保有個人データ」 本センターが、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして関係政令で定められるもの又は６月以内の政令で定める期間以内に消去することとなるもの以外のもの。
（６）「匿名加工情報」 次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、1

当該個人情報を復元することができないようにしたものをいう。
ア

本条（１）アに該当する個人情報

当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）。
イ

本条（１）イに該当する個人情報当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）。
（７）「加工方法等情報」 匿名加工情報の作成に用いた個人情報から削除した記述等及び個人識別符号並びに個人情報保護法第３６条第１項の規定により行った加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。
）（８）「本人」 個人情報によって識別される特定の個人（９）「従業者」 本センターの組織内でその指揮監督を受け、個人情報の取扱いに従事する者（職員、役員、派遣職員等を含む）（適用範囲）
第３条 本規程は、本センターの従業者に対して適用する。
２

個人情報及び匿名加工情報を取扱う業務を外部に委託する場合も、この規程の趣旨に従って、個人情報の適正な保護を図るものとする。

第２章 組織及び体制（個人情報保護管理者）
第４条 業務執行理事は、役職員の中から個人情報保護管理者を任命し、本センター内における個人情報及び匿名加工情報の管理業務を行わせるものとする。
２

個人情報保護管理者は、業務執行理事の指示及び本規程に定めるところに基づき、必要に応じて、個人情報保護に関する内部規程の整備、安全対策の実施、教育訓練、従業者からの報告徴収及び助言・指導等を行う。

３

個人情報保護管理者は、前項の実施のため、補佐を行う者を任命できるものとする。

（報告義務、改善措置及び罰則）
第５条 本規程に違反する事実又は違反するおそれがあることを発見した者は、その旨を個人情報保護管理者に報告するものとする。
２

個人情報保護管理者は、前項による報告の内容を調査し、違反の事実が判明した場合には、遅滞なく、業務執行理事に報告する。

３

業務執行理事は、本規程に違反する事実があった場合には、個人情報保護管理者及び関係者に対し、
2

改善指示を行うものとする。
４

前項に基づき改善指示を受けた者は、速やかに適正な改善措置を講じ、その内容を個人情報保護管理者に報告するものとする。

５

個人情報保護管理者は、前項によりなされた改善措置を評価し業務執行理事に報告するものとする。

６

本規程に違反した従業者は、就業規則の定めるところにより懲戒に処するものとする。

（見直し）
第６条 業務執行理事は、監査報告書及びその他の事業環境などに照らして、適切な個人情報の保護を維持するために、定期的に、本規程の改廃を含む見直しを、個人情報保護管理者に指示するものとする。

第３章 個人情報の取得（個人情報取得の原則）
第７条 個人情報の取得は、利用目的を明確に定め、その目的の達成のために必要な限度においてのみ行うものとする。
２

個人情報の取得は、適法かつ公正な方法により行うものとする。

（要配慮個人情報の取得の禁止）
第８条 要配慮個人情報を取得してはならない。ただし、これらの取得について、本人の同意がある場
合、及び次の各号に掲げる場合は、この限りでない。
（１）法令に基づく場合（２）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
（３）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
（４）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
（５）当該要配慮個人情報が、本人、国の機関、地方公共団体、個人情報保護法第７６条第１項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合（６）本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合（７）委託、事業承継又は共同利用に伴って個人データの提供を受ける場合において、要配慮個人情報の提供を受ける場合
3

（取得の手続）第９条 業務において新たに個人情報を取得する場合には、あらかじめ、個人情報保護管理者に利用目的及び実施方法を届け出、承認を得るものとする。

（本人から直接に個人情報を取得する場合の措置）
第１０条 本人から直接に個人情報を取得する場合は、本人に対して、次の各号に掲げる事項を書面又はこれに準ずる方法によって通知又は公表するものとする。
（１）個人情報保護管理者又はその代理人の氏名又は職名、所属及び連絡先（２）個人情報の取得及び利用目的（３）個人情報の提供を行うことが予定されている場合は、その目的、当該情報の受領者又は受領者の組織の種類、属性及び個人情報の取扱いに関する契約の有無（４）個人情報を与えることは本人の任意であること（５）個人情報の開示を求める権利、及び開示の結果当該情報が誤っている場合に訂正又は削除を要求する権利の存在、並びに当該権利を行使するための具体的な手続き（本人以外から間接的に個人情報を取得する場合の措置）
第１１条 本人以外から間接に個人情報を取得する場合は、前条第１号ないし第３号及び第５号に掲げる事項を書面又はこれに準ずる方法によって通知又は公表するものとする。ただし、次の各号に該当する場合は、この限りでない。
（１）前条第３号に掲げる事項を書面又はこれに準ずる方法によって通知した上、本人の同意を得ている者から取得する場合（２）個人情報の取扱いを委託される場合（３）本人の保護に値する利益が侵害されるおそれのない場合（第三者提供を受ける場合の記録の作成等）
第１２条 第三者から個人データの提供を受けるに際しては、個人情報保護委員会規則で定めるところにより、次に掲げる事項の確認を行う。ただし、当該個人データの提供が第８条第１号ないし第４号のいずれかに該当する場合、または委託、事業承継又は共同利用に伴って行われる場合は、この限りでない。
（１）当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名（２）当該第三者による当該個人データの取得の経緯
２

前項に定める確認により当該個人情報が適法に取得されたことが確認できない場合は、その取得を自粛する。
4

３

第１項の規定による確認を行ったときは、個人情報保護委員会規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委員会規則で定める事項に関する記録を作成する。

４

前項の記録は、当該記録を作成した日から個人情報保護委員会規則で定める期間保存する。

第４章 個人情報の移送･送信（個人情報の移送･送信の原則）
第１３条

個人情報及び匿名加工情報の移送･送信は、具体的な権限を与えられた者のみが、外部流出の危険を防止するために必要かつ適切な方法により、業務の遂行上必要な限りにおいてなし得るものとする。

第５章 個人情報の利用（個人情報の利用の原則）
第１４条 個人情報は、利用目的の範囲内で、具体的な権限を与えられた者のみが、業務の遂行上必要な限りにおいて利用できるものとする。
２

合併その他の事由により他の法人等から事業を継承することに伴って個人情報を取得した場合は、継承前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱わないものとする。

（個人情報の目的外の利用）
第１５条 利用目的の範囲を超えて個人情報を利用する場合は、第１０条第１号ないし第３号及び第５号に掲げる事項を書面又はこれに準ずる方法によって本人に通知し、事前の本人の同意を得るものとする。
２

利用目的の範囲を超えて個人情報を利用するために本人の同意を求める場合は、個人情報保護管理者の承認を得るものとする。

（個人情報の共同利用）第１６条 個人情報を第三者との間で共同利用する場合は、個人情報保護管理者の承認を得るものとする。

（個人情報の取扱いの委託）第１７条 個人情報の取扱いを第三者に委託する場合は、「外部委託管理規程」に定める手続きに従う。
5

第６章 個人情報の第三者提供（個人情報の第三者提供の原則）
第１８条 個人情報は、法令に基づく場合を除き、事前に本人の同意を得ることなく、第三者（外国にある第三者を含む。
）に提供してはならない。
２

個人情報を第三者に提供する場合には、その利用目的並びに第１０条第１号ないし第３号及び第５号に掲げる事項を書面又はこれに準ずる方法によって通知し、本人の同意を得るものとする。

３

前項に基づき個人情報を第三者に提供する場合は、個人情報保護管理者の承認を得るものとする。

（第三者提供に係る記録の作成等）
第１９条

個人データを第三者（個人情報保護法２条５項各号に掲げる国の機関等を除く。）に提供したときは、個人情報保護委員会規則で定めるところにより、当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成する。
ただし、当該個人データの提供が法令に基づいて行われた場合は、この限りでない。
２

前項の記録は、個人情報保護委員会規則で定める期間保存する。

第７章 個人情報の管理（個人情報の管理の原則）
第２０条 個人情報は、利用目的の達成に必要な範囲内において、正確かつ最新の状態で管理するとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するものとする。

（個人情報の安全管理対策）
第２１条 個人情報保護管理者は、個人情報及び匿名加工情報に関するリスク（個人情報への不正アクセス、個人情報の紛失、破壊、改ざん及び漏えいなど）に対して、必要かつ適切な安全管理対策を講じるものとする。

第８章 個人情報の開示･訂正・利用停止･消去（自己情報の開示等）
第２２条 本人から、当該本人が識別される個人情報に係る保有個人データについて、書面又は口頭により、その開示（当該本人が識別される個人情報に係る保有個人データを保有していないときにその旨を知らせることを含む。以下同じ。
）の申出があったときは、合理的な期間内に、身分証明書等により本人であることを確認の上、開示をするものとする。ただし、開示することにより次の各号
6

のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
（１）本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（２）事業の適正な実施に著しい支障を及ぼすおそれがある場合（３）他の法令に違反することとなる場合
２

開示は、書面により行うものとする。ただし、開示の申出をした者の同意があるときは、書面以外の方法により開示をすることができる。

３

個人情報に係る保有個人データの開示又は不開示の決定の通知は、本人に対し、遅滞なく行うものとする。

（自己情報の訂正等）
第２３条 本人から、当該本人が識別される個人情報に係る保有個人データの内容が事実でないという理由によって当該個人情報に係る保有個人データの内容の訂正、追加又は削除（以下「訂正等」という。
）を求められた場合は、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該個人情報に係る保有個人データの内容の訂正等を行うものとする。
２

前項の規定に基づき求められた個人情報に係る保有個人データの内容の訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。
）を通知するものとする。

３

前項の通知を受けた者から、再度申出があったときは、前項と同様の処理を行うものとする。

４

第２項の規定により、本人から求められた措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、その理由を説明するよう努めるものとする。

（自己情報の利用又は提供の拒否）
第２４条

本人から当該本人が識別される個人情報に係る保有個人データが第１４条の規定に違反して取り扱われているという理由又は第８条の規定に違反して取得されたものであるという理由によって、当該個人情報に係る保有個人データの利用の停止又は消去（以下「利用停止等」という。）を求められた場合、又は第１８条の規定に違反して第三者に提供されているという理由によって、当該個人情報に係る保有個人データの第三者への提供の停止（以下「第三者提供の停止」という。
）を求められた場合で、その求めに理由があることが判明したときは、遅滞なく、当該個人情報に係る保有個人データの利用停止等又は第三者提供の停止を行うものとする。ただし、当該個人情報に係る保有個人データの利用停止等又は第三者提供の停止に多額の費用を要する場合その他の利用停止等又は第三者提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
２

本センターは、前項の規定に基づき求められた個人情報に係る保有個人データについて、利用停止
7等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は第三者提供の停止を行ったとき若しくは第三者提供の停止を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知するものとする。
３

前条第３項及び第４項は本条に準用する。

第９章 個人情報の消去・廃棄（消去･廃棄の手続き）
第２５条 個人情報及び匿名加工情報の消去及び廃棄は、具体的な権限を与えられた者のみが、外部流出等の危険を防止するために必要かつ適切な方法により、業務の遂行上必要な限りにおいてなし得るものとする。

第１０章 匿名加工情報（匿名加工情報の作成）
第２６条 匿名加工情報を作成するときには、特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、個人情報を加工するものとする。
２

本センターは、匿名加工情報を作成したときは、個人情報保護委員会規則で定めるところにより、当該匿名加工情報に含まれる個人に関する情報の項目を公表するものとする。

（匿名加工情報と加工方法等情報の保存）第２７条 匿名加工情報を作成したときには、別途定めるところに従い、加工方法等情報を匿名加工情報と異なる場所に保存しなければならない。

（照合の禁止）第２８条 匿名加工情報を作成して自ら当該匿名加工情報を取り扱うに当たって、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該匿名加工情報を他の情報と照合してはならない。
２

第三者が作成した匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該個人情報から削除された記述等若しくは個人識別符号若しくは個人情報保護法３６条１項の規定により行われた加工の方法に関する情報を取得し、又は当該匿名加工情報を他の情報と照合してはならない。

8

（第三者に提供する際の措置）
第２９条 匿名加工情報を第三者に提供するときは、施行規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するものとする。
２

匿名加工情報を第三者に提供するときは、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。

３匿名加工情報の取扱いの全部又は一部を本センター以外の者に委託するときは、本センターと同等の措置が委託先において適切に講じられるよう、必要かつ適切な監督を行うものとする。

（改廃および変更）
第３０条 この規程の改廃および変更は、理事会の決議を経るものとする。

附則
（施行日）
この規程は、平成３０年６月１日から施行する。

9