J-02

文書番号

IOS－M－007

制定日

２０１０．４．１

改定日

２０２３．４．１

改訂版数

第7版

主管部署

管理部

個人情報保護規定㈱イカイアウトソーシング

配布先：管理部
社長
専務
各事業本部
各事業所

沼津事業所
富士事務所
三島事務所
豊川事務所
三重事務所
小山事務所

承認

確認

作成

イカイアウトソーシング

イカイアウトソーシング

2023/04/1
伊海

2023/04/01

イカイアウトソーシング

望月
イカイアウトソーシング

2023/04/01

大川洋i

2023/04/01
小林

J-02

目次
本規定文書の目的 ............................................................. 1
J.0 用語および定義 ........................................................... 1J.1 当社の状況 ............................................................... 6
J.1.1

当社及びその状況の理解（JISQ15001 4.1） .................................. 6

J.1.2

利害関係者のニーズ及び期待の理解(JISQ15001

J.1.3

法令、国が定める指針その他の規範（JISQ15001 附属書 A.3.3.2） ............... 6

J.1.4

個人情報保護マネジメントシステムの適用範囲（JISQ15001 4.3） ............... 7

J.1.5

個人情報保護マネジメントシステム（JISQ15001 4.4） ........................ 8J.2

4.2) .......................... 6

リーダーシップ ...................................................... 8

J.2.1

リーダーシップ及びコミットメント（JISQ15001 5.1） ......................... 8

J.2.2

個人情報保護方針(JISQ15001 5.2.1 、 5.2.2 、附属書 A.3.2.1 、A.3.2.2) ...... 8

J.2.3

組織 ...................................................................... 9J.2.3.1 組織の役割、責任及び権限（JISQ15001 5.3） .............................. 9J.2.3.2

個人情報保護管理者、個人情報保護監査責任者及びその他の役割 （JISQ15001

附属書 A.3.3.4） ................................................................. 9
J.2.4
J.3

管理目的及び管理策（一般）（JISQ15001

附属書 A.3.1.1） .................... 11

計画 ................................................................ 11

J.3.1

計画 ..................................................................... 11

J.3.1.1 個人情報の特定（（JISQ15001 附属書 A.3.3.1） ............................... 11
J.3.1.2 リスク及び機会に対処する活動（JISQ15001

6.1.1） ........................ 12

J.3.1.3 個人情報保護リスクアセスメント（6.1.2、附属書 A.3.3.3） ................. 12
J.3.1.4 個人情報保護リスク対応（6.1.3、附属書 A.3.3.3） ......................... 13
J.3.2

個人情報保護目的及びそれを達成するための計画策定（6.2） .................. 15J.3.3

計画策定（JISQ15001 附属書 A.3.3.6） ...................................... 15

J.4

支援（表題） ........................................................ 16

J.4.1

資源（7.1） .............................................................. 16

J.4.2

力量（7.2） .............................................................. 16

J.4.3

認識（7.3） .............................................................. 16

J.4.4

コミュニケーション ....................................................... 17

J.4.4.1 コミュニケーション(7.4) ................................................ 17
J.4.4.2 緊急事態への準備（JISQ15001 附属書 A.3.3.7） ............................ 17
J.4.5

PMS 文書 .................................................................. 21

ii

J-02

J.4.5.1 文書化した情報（一般）（JISQ15001 7.5.1、附属書 A.3.5.1） ................ 21
J.4.5.2 文書化した情報の管理（JISQ15001 7.5.3） ................................ 21
J.4.5.3 文書化した情報（記録を除く）の管理（JISQ15001 7.5.2、附属書 A.3.5.2） ... 22
J.4.5.4 内部規定（JISQ15001 附属書 A.3.3.5） ................................... 23
J.4.5.5 文書化した情報のうち、記録の管理（JISQ15001 附属書 A.3.5.3） ............ 23
J.5 運用.................................................................... 24
J.5.1
J.6

運用（JISQ15001 8.1、8.2、8.3、附属書 A.3.4.1） ........................... 24
パフォーマンス評価（表題） .......................................... 24

J.6.1

監視、測定、分析及び評価（JISQ15001 9.１、附属書 A.3.7.1） ................ 24

J.6.2

内部監査（JISQ15001 9.2、附属書 A.3.7.2） ................................. 25

J.6.3

マネジメントレビュー（JISQ15001 9.3、附属書 A.3.7.3） ..................... 27

J.7

改善 ................................................................ 27

J.7.1

不適合及び是正処置（JISQ15001 10.1、附属書 A.3.8） ........................ 27

J.7.2

継続的改善 ............................................................... 28

J.8

取得、利用及び提供に関する原則 ...................................... 28

J.8.1

利用目的の特定（JISQ15001 附属書 A.3.4.2.1） .............................. 28

J.8.2

適正な取得（JISQ15001 附属書 A.3.4.2.2） .................................. 28

J.8.3

要配慮個人情報（JISQ15001 附属書 A.3.4.2.3） .............................. 29

J.8.4

個人情報を取得した場合の措置（JISQ15001 附属書 A.3.4.2.4） ................ 30

J.8.5

J.8.4 のうち本人から直接書面によって取得する場合の措置（JISQ15001 附属書A.3.4.2.5） ...................................................................... 31
J.8.6

利用に関する措置（JISQ15001 附属書 A.3.4.2.6） ............................ 33

J.8.7

本人に連絡又は接触する場合の措置（JISQ15001 附属書 A.3.4.2.7） ............ 34

J.8.8

個人データの提供に関する措置（JISQ15001 附属書 A.3.4.2.8） ................ 35

J.8.8.1 外国にある第三者への提供の制限（JISQ15001 附属書 A.3.4.2.8.1） .......... 37
J.8.8.2 第三者提供に係る記録の作成など（JISQ15001 附属書 A.3.4.2.8.2） ......... 39
J.8.8.3 第三者提供を受ける際の確認など（JISQ15001 附属書 A.3.4.2.8.3） ......... 40
J.8.8.4 個人関連情報の第三者提供の制限など .................................... 42
J.8.9

匿名加工情報 ............................................................. 43

J.8.10 仮名加工情報 .............................................................. 44
J.9 適正管理 ............................................................... 46
J.9.1

正確性の確保（JISQ15001 附属書 A.3.4.3.1） ................................ 46

J.9.2

安全管理措置（JISQ15001 附属書 A.3.4.3.2） ................................ 47

J.9.3

従業者の監督（JISQ15001 附属書 A.3.4.3.3） ................................ 48

J.9.4

委託先の監督（JISQ15001 附属書 A.3.4.3.4） ................................ 48

J.10 個人情報に関する本人の権利 ............................................. 50

iii

J-02

J.10.1 個人情報に関する権利（JISQ15001 附属書 A.3.4.4.1） ......................... 50
J.10.2 開示等の請求等に応じる手続（JISQ15001 附属書 A.3.4.4.2） ................... 50
J.10.3 保有個人データ又は第三者提供記録に関する事項の周知など .................... 52（JISQ15001 附属書 A.3.4.4.3） .................................................... 52
J.10.4 保有個人データの利用目的の通知（JISQ15001 附属書 A.3.4.4.4） ............... 52
J.10.5 保有個人データ又は第三者提供記録の開示（JISQ15001 附属書 A.3.4.4.5） ....... 53
J.10.6 保有個人データの訂正、追加又は削除（JISQ15001 附属書 A.3.4.4.6） ........... 54
J.10.7 保有個人データの利用又は提供の拒否（JISQ15001 附属書 A.3.4.4.7） ........... 54
J.11

苦情及び相談への対応 ................................................ 55

J.11.1 苦情及び相談への対応（JISQ15001 附属書 A.3.6） ............................. 55
J.12

雑則 ................................................................ 56

J.12.1 改廃 ...................................................................... 56

iv

J-02

本規定文書の目的
本規定は、業務上取扱う個人情報の適切な使用と保護のため、個人情報の保護に関する法律（以下、個人情報保護法という。
）日本情報経済社会推進協会が策定した「プライバシーマー
クにおける個人情報保護マネジメントシステム構築・運用指針」（以下、PMS 運用指針とい
（以下、
う。
）
、日本産業規格 JIS Q15001「個人情報保護マネジメントシステム－要求事項」
JISQ15001 という。
）に準拠した個人情報保護マネジメントシステムを策定し、実施し、維持し、及び改善するために必要な基本的事項を定めることを目的とする。

J.0 用語および定義・規定で用いる主な用語及び定義は次の通りとする。
(1) 個人情報：
生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述などによって特定の個人を識別できるもの（他の情報と容易に照合することができ、それによって特定の個人を識別することができることとなるものを含む）。
又、下記の「個人情報の保護に関する法律施行令」第一条で定められた個人識別符号も個人情報に含まれる。
① 次に掲げる身体の特徴のいずれかを電子計算機の用に供するために変換した文字、
番号、記号その他の符号であって、特定の個人を識別するに足りるものとして個人情報保護委員会規則で定める基準に適合するもの
ア) 細胞から採取されたデオキシリボ核酸（別名ＤＮＡ）を構成する塩基の配列イ) 顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状によって定まる容貌ウ) 虹彩の表面の起伏により形成される線状の模様エ) 発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化オ) 歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様カ) 手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状キ) 指紋又は掌紋② 旅券法（昭和 26 年法律第 267 号）第６条第１項第１号の旅券の番号③ 国民年金法（昭和 34 年法律第 141 号）第 14 条に規定する基礎年金番号④ 道路交通法（昭和 35 年法律第 105 号）第 93 条第１項第１号の免許証の番号⑤ 住民基本台帳法（昭和 42 年法律第 81 号）第７条第 13 号に規定する住民票コード⑥ 行政手続における特定の個人を識別するための番号の利用等に関する法律（平成 25 年法律第 27 号）第２条第５項に規定する個人番号⑦ 次に掲げる証明書にその発行を受ける者ごとに異なるものとなるように記載された

1/57

J-02

個人情報保護委員会規則で定める文字、番号、記号その他の符号ア) 国民健康保険法（昭和 33 年法律第 192 号）第９条第２項の被保険者証イ) 高齢者の医療の確保に関する法律（昭和 57 年法律第 80 号）第 54 条第３項の被保険者証ウ) 介護保険法（平成９年法律第 123 号）第 12 条第３項の被保険者証⑧ その他前各号に準ずるものとして個人情報保護委員会規則で定める文字、番号、記号その他の符号⑨ その他、当社では、GDPR（General Data Protection Regulation：EU 一般データ
保護規則）の定義に従い、データ単体では個人が識別できなくても、複数のデータが組み合わせることで個人識別につながると考えられる場合、それらも個人情報として取り扱う。
ア) 位置データイ) オンライン識別子のような識別子（cookie など）
ウ) 当該本人に関する物理的、生理的、遺伝子的、精神的、経済的、文化的若しく
は社会的アイデンティティに特有な一つ若しくは複数の要素(2) 個人データ：
個人情報を検索することができるように体系的に構成した情報の集合物又は一定の規則に従って整理、分類し、目次、索引、符合などを付すことによって特定の個人情報を容易に検索できるように体系的に構成した情報の集合物（「個人情報データベース」という）を構成する個人情報をいう。いわゆるコンピュータシステムのデータベース、パソ
コンやスマートフォン、携帯電話の電話帳、検索可能な紙情報の集合体（名簿、名刺入れ）に格納された個人情報をいう。
(3) 保有個人データ：
本人からの請求に基づき“利用目的の通知”、“開示”、“内容の訂正、追加又は削除”、“利用の停止、消去及び第三者への提供の停止”を行うことのできる権限を有する個人情報、個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの以外のものをいう。
(4) 要配慮個人情報：
本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他
本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして以下に示すような政令で定める記述等が含まれる個人情報をいう。
また、当社は下記に示す以外の情報でも差別のもとになる可能性ある個人情報は、要配慮個人情報と同等に扱う。
a) 人種
b) 信条
c) 社会的身分

2/57

J-02

d) 病歴（病歴に準ずるもの）診療情報、調剤情報、健康診断の結果、保健指導の内容、障害（身体障害、知的障
害、精神障害（含む発達障害））e) ゲノム情報
1) 遺伝子検査により判明する情報のうち差別、偏見につながり得るもの（例えば、将来発症し得る可能性のある病気、治療薬の選択に関する情報等）は、個人の現の健康状態のみならず、将来発症する可能性や非発症保因者として子孫へ遺伝子変異を伝える可能性があることを勘案するもの
f) 犯罪の経歴（犯罪の経歴に準ずるもの）
1) 被疑者又は被告人として刑事手続きを受けた事実
2) 非行少年として承認保護事件の手続きを受けた事実
g) 犯罪により害を被った事実h) 当社は JIS Q15001:2006 で規定する「特定の機微な個人情報」に該当する事項も「要配慮個人情報」と同様に扱う。
1) 思想，信条又は宗教に関する事項
2) 人種，民族，門地，本籍地（所在都道府県に関する情報を除く。），身体・精神障害，犯罪歴その他社会的差別の原因となる事項
3) 勤労者の団結権，団体交渉その他団体行動の行為に関する事項
4) 集団示威行為への参加，請願権の行使その他の政治的権利の行使に関する事項
5) 保健医療又は性生活に関する事項(5) 匿名加工情報：
上記(1)で定義する個人情報から、含まれる記述等の一部を削除するなど（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）の措置を講じて、特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。
(6) 仮名加工情報：
上記(1)で定義する個人情報から、含まれる記述等の一部を削除するなど（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。
）の措置を講じて、他の措置を講じて他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報をいう。
(7) 個人情報関連情報：
生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。
(8) 本人：
個人情報によって識別される特定の個人。

3/57

J-02

通常、個人情報の主体とされる場合が多いが、JISQ15001 附属書 A.3.6 などでは、苦情や相談をする本人と解釈されている。
(9) 代表者：
当社における個人情報保護マネジメントシステムの総責任者。JIS の要求事項でいうトップマネジメントを指す。
(10)個人情報保護責任者：
代表者の委任を受け、代表者権限を代行する。
(11)個人情報保護管理者：
代表者によって当社の内部から指名された者であって、個人情保護マネジメントシステ
ムの実施及び運用に関する責任及び権限を持つ者。
保護管理者と称する場合がある。
(12)個人情報保護監査責任者：
代表者によって当社の内部の者から指名された者であって、公平、かつ、客観的な立場にあり、監査の実施及び報告を行う責任及び権限をもつ者。
監査責任者と称する場合がある。
(13)個人番号
住民基本台帳法に記載された住民票コードを変換して得られる番号であって、当該住民票コードが記載された住民票に係る者を識別するために指定されるもの。
(14)特定個人情報
個人番号をその内容に含む個人情報をいう。
(15)事務取扱担当者：
法令で求められている、個人番号、特定個人情報を取り扱う事務を行うことが出来る担
当者(16)従業者：
当社の組織内にあって直接間接に組織の指揮監督を受けて組織の業務に従事している者などをいい、雇用関係にある従業員（執行役、正社員、契約社員、嘱託社員、パート社員、アルバイト社員など）だけでなく、雇用関係にない従事者（取締役、執行役員、理事、監査役、監事、派遣社員など）も含まれる。
(17)本人の同意：
本人が、個人情報の取扱いに関する情報を与えられた上で、自己に関する個人情報の取扱いについて本人に明示し、本人の承諾を得る意思表示。
また、本人の同意によって生ずる結果について判断能力がない場合（未成年、成年被後見人、被保佐人、被補助人等）は、親権者や法定代理人から同意を得ることとする。
(18)個人情報保護マネジメントシステム：
当社が、自らの事業の用に供する個人情報について、その有用性に配慮しつつ、個人の権利利益を保護するための方針、体制、計画、実施、監査及び見直しを含むマネジメン

4/57

J-02

トシステム。
「PMS」と略して使用することがある。
(19)利害関係者：
本人 及び 個人情報保護マネジメントシステムに関連する 個人、 事業者 及び 団体（委託元（及び委託元の顧客）
、委託先）
、等を指す
(20)個人情報保護リスク：
個人情報の取扱いの各局面（個人情報の取得・入力、移送・送信、利用・加工、保管・
バックアップ、消去・廃棄に至る個人情報の取扱いの一連の流れ）における個人情報の漏えい、滅失又はき損、関連する法令・国が定める指針その他の規範に対する違反、想定される経済的な不利益及び社会的な信用の失墜、本人の権利利益の侵害など好ましくない影響をいう。
(21)リスク所有者：
リスクが顕在化したとき責任を取る担当者(22)内部監査：
監査基準が満たされている程度を判定するために、監査証拠を収集し、それを客観的に評価するための体系的で独立し、文書化したプロセスをいう。
(23)適合：個人情報保護法、PMS 運用指針、JISQ15001 の要求を満たしていること。
(24)是正処置：
不適合の原因を除去し、再発を防止するための処置をいう。
(25)管理策：
リスクを修正する対策をいう。
(26)脅威：システム又は組織に損害を与える可能性がある望ましくないインシデントの潜在的な原因。
(27)ぜい弱性：
一つ以上の脅威によって付け込まれる可能性のある資産又は管理策の弱点をいう。
(28)残留リスク：
リスク対応後に残っているリスクをいう。
(29)リスク対応：
リスクを修正するプロセスをいう。
（リスクの回避、リスクを取得または増加、リスク源の除去、起こりやすさの変更、結果の変更、リスクの共有、リスクの保有など）(30)緊急事態：
個人情報保護リスクの脅威が顕在化した状態をいう。
(31)様式：個人情報保護マネジメントシステムの運用に利用する書式(32)補完的ルール：

5/57

J-02

「ＥＵ域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルー
ル」をいう。
(33)「ＥＵ域内から十分性認定に基づき提供を受けた個人情報」：
この場合の「提供」とは、ＥＵ域内から日本へ越境された個人情報を指し、同一事業者内での移転や、個人情報の第三者提供、委託、事業継承等といった越境の形態に因らない。

J.1 当社の状況
J.1.1 当社及びその状況の理解（JISQ15001 4.1）
(1) 当社は、個人情報を取り扱う事業に関して、個人情報保護の目的を明確にし、構築・維持している個人情報保護マネジメントシステムに影響を与えるような外部及び内部の課
題を特定する。
(2) 個人情報保護管理者は、個人情報保護マネジメントシステムを維持するうえで、外内部からの課題を整理し、個人情報保護の目的と「J0110A_PMS 課題一覧表」にまとめ、個
人情報保護責任者の承認を得る。
J.1.2 利害関係者のニーズ及び期待の理解(JISQ15001

4.2)(1) 当社は、個人情報保護マネジメントシステムを運用するにあたり、次の事項を特定する。
a) 個人情報保護マネジメントシステムに関連する利害関係者b) その利害関係者の、個人情報保護に関連する要求事項「J0110A_PMS 課題一覧表」(2) 個人情報保護管理者は、本項(1)の a)、b)について検討し、にまとめ、個人情報保護責任者の承認を得る。
J.1.3 法令、国が定める指針その他の規範（JISQ15001 附属書 A.3.3.2）(1) 当社は、個人情報の取扱いに関する法令、国が定める指針その他の規範（以下、「法令等」という。
）を特定し参照し、個人情報保護マネジメントシステムに反映する。
(2) 特定する法令/ガイドラインに少なくとも以下の内容を含める。
「個人情報の保護に関する法律」）a) 「個人情報保護法」（
及び必要に応じて関連する「個人情報の保護に関する法律施行令」、「個人情報の保護に関する法律施行規則」（「行政手続における特定の個人を識別するための番号の利用等に関すb) 「番号法」
る法律」）
及び必要に応じて関連する「行政手続における特定の個人を識別するための番号の利用等に関する法律施行令」、「行政手続における特定の個人を識別するための番号の利用等に関する法律施行規則」
c) 個人情報保護委員会法ガイドライン

6/57

J-02

1) 「個人情報の保護に関する法律についてのガイドライン（通則編）」
2) 「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」
3) 「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」
4) 「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」5) 「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」
d) 事業者分野の個人情報に関係し、必要と判断する法令・ガイドライン等（自治体から個人情報を取り扱う業務を受託する事業者（指定管理者含む）では、該当する自治体の個人情報保護条例など）e) 「労働安全衛生法」
及び必要に応じて「労働安全衛生法施行令」、「労働安全衛生規則」、「心理的な負担の程度を把握するための検査及び面接指導の実施並びに面接指導結果に基づき事業者が講ずべき措置に関する指針」
f) 厚生労働省の留意事項通達「雇用管理分野における個人情報のうち健康情報を取り扱うに当たっての留意事項」
g) 個人情報保護委員会が公表している漏えい事案の対応手順
1) 「個人データの漏えい等の事案が発生した場合等の対応について」
2) 「事業者における特定個人情報の漏えい事案等が発生した場合の対応について」(3) 法令等の特定は以下の要領にて行う。
① 対象とする法令等は、個人情報保護法、マイナンバー法、個人情報保護委員会や一部の関係省庁が示す基準、ガイドライン、及び業界が示す指針等、並びに自治体からの業務を受注する場合には当該自治体の個人情報保護条例等を、個人情報保護管理者が「J0130A_個人情報保護に関する法令・規範一覧表」に特定するものとする。
② 特定した法令等は「J0130A_個人情報保護に関する法令・規範一覧表」の URL に基づいて全従業者が閲覧可能な状態とする。
「J0330A_個人情報保護マネジメン③ ①で特定した法令等は、個人情報保護管理者が、
トシステム業務年間計画書」に定めた時期及び必要に応じて随時、(2)項に示す法
律、ガイドライン、指針、条例等の告示、改訂等を確認し、必要に応じて「J0130A_個人情報保護に関する法令・規範一覧表」を改訂するものとする。
④ 個人情報保護管理者は、法令・規範等の改定を評価し、関連する規定文書や及び様式の改定が必要となる場合は、合わせて改定するものとする。
J.1.4 個人情報保護マネジメントシステムの適用範囲（JISQ15001 4.3）

7/57

J-02

（1） 本規定の適用範囲は、全社、全ての従業者とする。
（2） 本規定の適用範囲は、当社が自らの事業の用に供している全ての個人情報とする。
なお、外部の組織に取り扱いを委託している個人情報も含むものとする。
J.1.5 個人情報保護マネジメントシステム（JISQ15001

4.4）(1) 当社は、PMS 運用指針に従って、個人情報保護マネジメントシステムを確立し、実施し、維持し、かつ、継続的に改善する。
(2) 具体的な手順は、本規定 J.2～J.11 に定める。

J.2 リーダーシップ
J.2.1 リーダーシップ及びコミットメント（JISQ15001 5.1）
(1) 代表者は、次の事項について統率し、その結果について責任を持つものとする。
a) 当社の戦略的な方向性と両立した、個人情報保護方針及び個人情報保護目的を確立
するb) 個人情報保護マネジメントシステムの要求事項を当社の業務手順に適切に組み入れるc) 個人情報保護マネジメントシステムに必要な資源を確保する
d) 有効な個人情報保護マネジメント及び個人情報保護マネジメントシステム要求事項への適合の重要性を利害関係者に周知するe) 個人情報保護マネジメントシステムを適切に運用できるようにする
f) 個人情報保護マネジメントシステムが計画通りに実施できるように、従業者を指揮･支援するg) 継続的改善を促進するh) その他の関連する管理者がその職務領域において、統率力を発揮できるよう、その管理者に割り当てられた役割をサポートする
J.2.2 個人情報保護方針(JISQ15001 5.2.1 、 5.2.2 、附属書 A.3.2.1 、A.3.2.2)(1) 代表者は、次の事項を考慮して、個人情報保護方針を策定する。
a) 事業の目的に対して適切であること
b) J.3.2 で定めた個人情報保護目的を含むか、又は個人情報保護目的の設定のための枠組みを示すことc) 個人情報保護に関連して適用される要求事項を実施することd) 個人情報保護マネジメントシステムの継続的改善を実施すること(2) 個人情報保護方針を文書化した情報には、次の事項を含める。
a) 事業の内容及び規模を考慮した適切な個人情報の取得、利用及び提供に関すること［特定された利用目的の達成に必要な範囲を超えた個人情報の取扱い（以下、「目

8/57

J-02

的外利用」という。
）を行わないこと及びそのための措置を講じることを含む］
b) 個人情報の取扱いに関する法令その他の規範の遵守c) 個人情報の漏えい、滅失又はき損の防止及び是正に関する事項
d) 苦情及び相談への対応に関する事項e) 個人情報保護マネジメントシステムの継続的改善に関する事項
f) 代表者の氏名
g) 制定年月日及び最終改正年月日h) 個人情報保護方針の内容についての問合せ先(3) 代表者は、個人情報保護方針を文書化し、会議や定期的な教育等で当社内に周知させるとともに、必要に応じて社外の利害関係者及び一般の人が容易に入手可能な措置（ウェブページへの掲載や店頭等での掲示等）を講じる。
J.2.3 組織J.2.3.1 組織の役割、責任及び権限（JISQ15001 5.3）
(1) 代表者および個人情報保護責任者は、個人情報保護に関連する役割に対して、責任及び権限を従業者へ割り当てるとともに、その結果を、定期教育などを利用して利害関係者に周知するものとする。
(2) 責任及び権限を、次の事項を実施するために割り当てること。
a) 個人情報保護マネジメントシステムを、本指針の要求事項に適合させる。
b) 個人情報保護マネジメントシステムの運用の成果を代表者に報告させる。
(3) 代表者は(2)を実施するため、個人情報保護管理者及び個人情報保護監査責任者を指名
し、PMS を実施、監査させる。
代表者の承認権限に関しては、個人情報保護方針の策定・改定以外は、しかるべき職務権限を持つ者に委譲することができる。権限委譲する場合は、当社が別途定める手順による。
(4) 個人情報保護管理者、個人情報保護監査責任者は与えられた役割を行うために、必要な担当者を任命することができる。
J.2.3.2 個人情報保護管理者、個人情報保護監査責任者及びその他の役割（JISQ15001 附属書 A.3.3.4）(1) 代表者は、本指針の内容を理解し実践する能力のある個人情報保護管理者を当社内部に属する者の中から指名し、個人情報保護マネジメントシステムの実施及び運用に関する責任及び権限を他の責任にかかわりなく与え、業務を行わせる。
(2) 個人情報保護管理者は、個人情報保護マネジメントシステムの見直し及び改善の基礎として、代表者に個人情報保護マネジメントシステムの運用状況の報告を定期的、または適宜行うこととする。

9/57

J-02

(3) 代表者は、公平、かつ、客観的な立場にある個人情報保護監査責任者を当社内部に属する者の中から指名し、監査の実施及び報告を行う責任及び権限を他の責任にかかわりな
く与え、業務を行わせる。
(4) 個人情報保護監査責任者は、監査を指揮し、監査報告書を作成し、1 ヵ月以内に個人情報保護責任者に報告を行うこととする。また、個人情報保護監査責任者は、監査員の選定及び監査の実施においては、監査の客観性及び公平性を確保しなくてはならない。
(5) 代表者は個人情報保護監査責任者と個人情報保護管理者とは異なる者を任命するものとする。
(6) 個人情報保護管理者は，できるだけ社外に責任をもつことができる者を指名する。
また、個人情報保護監査責任者は，できるだけ社外に責任をもつことができる者であって，個人情報保護管理者と同格又は上席者の中から指名する。
(7) 上記(1)～(6)に加え、個人情報保護に関する主たる責任と権限は以下の通りとする。各
責任者の氏名は「J0232A_個人情報保護体制図」に記述する。
a) 個人情報保護管理者（保護管理者）
当社 PMS の統括責任者として、PMS の構築、維持および個人情報取扱いの管理全般について責任を負う。
（公表は、氏名または役職名で行う）
あわせて、全ての PMS 文書の改廃、及び記録を管理する。
また、個人情報保護マネジメントシステムの見直し及び改善の基礎として、代表者に個人情報保護マネジメントシステムの運用状況の報告を行う。
b) 事務局
個人情報保護管理者の補佐を行う。
個人情報保護責任者が任命する。
c) 個人情報保護監査責任者（監査責任者）
全部門の監査を計画、実行し、個人情報保護責任者に報告する。
d) 部門管理者
部門における個人情報取扱いに関する責任を負う。
部門長が任命する。
e) 個人情報保護教育責任者（教育責任者）
全従業者に対する PMS 教育の計画の作成、実施、結果の報告及びそのレビュー、計画の見直し並びにこれらの記録に関する責任と権限し、その内容は個人情報保護管理者に報告する。
個人情報保護管理者が任命する。
f) 苦情相談窓口責任者（窓口責任者）
個人データに関する問合せや、各種依頼への対応、及び個人情報取扱についての苦情相談等に対応する。
個人情報保護管理者が任命する。

10/57

J-02

g) システム管理責任者
PMS を維持するため安全管理対策及び情報システムの管理を実施する。
個人情報保護管理者が任命する。
h) 監査員
個人情報保護監査責任者の指示に基づき監査を行う。
個人情報保護監査責任者が任命する。
i) 事務取扱担当者
個人番号・特定個人情報の取扱うことが出来るもので、これ以外の者は個人番号・
特定個人情報の取扱いができない。
また、個人番号、特定個人情報を取り扱う区域を設定し、これ以外の者が特定個人情報の取扱い、参照などをできない様に管理を行う。
個人情報保護責任者が任命する。
また、複数の事務取扱責任者を任命した場合には、個人情報保護責任者はそのうちの一名を事務取扱責任者に任命し、個人番号・特定個人情報全体の管理を行わせる。
J.2.4 管理目的及び管理策（一般）（JISQ15001

附属書 A.3.1.1）(1) J.1 から J.11 の管理策及びその結果について、個人情報保護責任者によって、当社が定めた手段に従って承認するものとする。
(2) 承認者（決裁権限者）は、承認内容に照らし合わせて、適切に定める。
(3) 本規定では、J.1 から J.11 の管理策及びその結果の承認者、承認手順は、各項におい
て定める。

J.3

計画

J.3.1 計画
J.3.1.1 個人情報の特定（（JISQ15001 附属書 A.3.3.1）(1) 当社は、当社が自らの事業の用に供する全ての個人情報を特定するための手順を確立し、かつ、維持する。
(2) 当社は、個人情報の項目、利用目的、保管場所、保管方法、アクセス権を有する者、利用期限、保管期限などを記載した個人情報を管理するための台帳を整備する。
(3) 個人情報の特定は、以下の要領にて実施する。
① 個人情報の取扱い担当者は、業務の流れの中で使用する帳票類を考慮し、「J0311B_
個人情報管理台帳」に(2)の項目等を記載する。
② 部門管理者は、上記「J0311B_個人情報管理台帳」に特定漏れがないかを確認の上、個人情報保護管理者の承認を得る。
③ 新種の個人情報は、「J0311A_個人情報取得申請書」によって個人情報保護管理者の「J0311B_個人情報管理台帳」に遅滞なく記録し管理するものとする。
承認を得た後、

11/57

J-02

、
「J0311B_個人情報管理台帳」の更新(4) 「J0311A_個人情報取得申請書」① 利用目的変更・取扱い方法等の変更の場合「J0311B_個人a) 部門管理者は、変更する前の「J0311A_個人情報取得申請書」、
情報管理台帳」を参考に、「J0311B_個人情報管理台帳」、「J0311B_個人情報管理台帳」の変更のあった項目の内容を修正する。
b) 個人情報保護管理者の承認を得る。
② 個人情報を削除する場合a) 「J0311B_個人情報管理台帳」から当該個人情報を削除する。この際、保管期間を再確認するとともに、削除履歴が残るようにしておく。
b) 個人情報保護管理者の承認を得る。
(5) 「J0311B_個人情報管理台帳」は、少なくとも年一回「J0330A_個人情報保護マネジメ
ントシステム業務年間計画書」に定めた時期及び必要に応じて随時、部門管理者が見直しを行い、個人情報保護管理者の承認を得ることで、最新の状態を維持する。
(6) 見直しを行なう際は、個人情報の利用目的、アクセス権限者、利用期限、保管期限等の各記載事項が適切かに留意する。
J.3.1.2 リスク及び機会に対処する活動（JISQ15001

6.1.1）(1) 当社は、個人情報保護マネジメントシステムの計画の策定にあたって、J.1.1 で把握した課題及び J.1.2 で特定した要求事項を考慮し、次の事項を実現できるよう個人情報保護リスクアセスメント及び個人情報保護リスク対応を行うものとする。
a)当社が意図した成果を達成できるようなマネジメントシステムの策定b)望ましくない影響の防止
c)個人情報保護マネジメントシステムの継続的な改善(2) 当社は、個人情報保護マネジメントシステムの計画の策定にあたって、J.1.1 で把握した課題及び J.1.2 で特定した要求事項を考慮し、次の事項を実現できるよう個人情報保護リスクアセスメント及び個人情報保護リスク対応を行うものとする。
d)リスクに対する対策の内容e)“d)”の対策を個人情報保護マネジメントシステムの手順に含めて実施する方法f)“d)”の対策の評価
J.3.1.3 個人情報保護リスクアセスメント（6.1.2、附属書 A.3.3.3）(1) 当社は、個人情報に関するリスクについて、次の事項を踏まえて、個人情報保護リスク
アセスメント（リスクを特定、分析及び評価）をするために以下の a)～d)の手順を本
規定 J.3.1.4 に定め、かつ実施する。
a) 次の観点を、個人情報保護のリスク基準とする。
1) 本規定に定める事項

12/57

J-02

2) 法令及び国が定める指針その他の規範に関する事項
3) 個人情報の漏えい、滅失又はき損等に関する事項b) 個人情報保護リスクアセスメントを行う際に、繰り返し実施した個人情報保護リス
クアセスメントに、一貫性及び妥当性があり、かつ、比較可能な結果を生み出すことを確認し、必要に応じて手順を見直す。
c) 個人情報保護リスクを特定する
1) 当社は、事業毎に、個人情報の取扱いを特定する
2) 個人情報の取得、保管、利用及び消去等に至る各局面において、適正な保護措置を講じない場合に想定されるリスクを特定する
3) 上記 2)で特定したリスクのリスク所有者を特定するd) 個人情報保護リスクを分析・評価する
1) “c)”で特定したリスクと、“a)”のリスク基準とを比較する
2) リスク対応の優先順位を明らかにする(2) 個人情報を特定する手順は本規定 J.3.1.1 に定める。
J.3.1.4 個人情報保護リスク対応（6.1.3、附属書 A.3.3.3）(1) リスクの認識、リスクアセスメント、リスク対策は、以下の要領で行い、「J0314A_個人
情報リスク分析対策表」に記述し、個人情報保護管理者が承認した後に、「J0314A_個人
情報リスク分析対策表」のリスク対応策の内容に、人･物･金等の経営資源の観点から代表者または、個人情報保護責任者の承認を得る。
a) 個人情報の業務の流れの類型化を図る「J0311B_個人情報管理台帳」に特定した個人情報の取扱いごとに以下の手順でリスクアセスメントを行い、検討したリスク対策と「J0314A_個人情報リスク分析対策表」にまとめる。この際、業務の流れ（ライフサイクル局面）が同じ個人情報についてグループ化しリスク分析を集約することが可能である。
b) ライフサイクル局面ごとのリスクを記述する
個人情報のライフサイクル（取得・入力、移送・送信、利用・加工、保管・バック
アップ、消去・廃棄）それぞれについて考えられるリスクを想定リスクとして「J0314A_個人情報リスク分析対策表」に記述する。
なお、想定リスクには、本規定 J.3.1.3(1)の(a)1)、2)の事項に違反に違反するリ
スク及び(a)3)の事項による発生リスクを含めるとものとする。
特定したリスクの所有者は個人情報保護管理者または個人情報保護管理者が指定した部門管理者とする。
c) リスクのレベルを判定する。
1) 想定リスクの発生可能性を“高”、“中”、“低”に分類する。
2) 取扱う個人情報の想定リスクにおける影響度合いを“大”、“中”、“小”に分類

13/57

J-02

する。
“中”、“低”に分類し、「J0314A_個人情報
3) 下表を用いてリスクレベルを“高”、
リスク分析対策表」に記入する。
リスク
レベル
影響

大
中
小

高
高
高
中

発生可能性
中
低
高
中
中
低
中
低

d) リスク対策を記述する
1) 想定リスクごとに対策を「J0314A_個人情報リスク分析対策表」に記入する。
なお、対策を立案する場合には、本規定 J.3.1.2(1)の a)～c)の内容を加味す
るものとする。
2) リスクの対策は、リスクレベルに応じて実施負荷などを踏まえ決定する。
3) リスクレベルは同時に、リスク対策の優先度とする。
e) 関連する規定類の記入講じるとしたリスクの対策を定めた規定文書名、項番を「J0314A_個人情報リスク
分析対策表」に記入する
f) 残留リスクの記述
1) 対策後においても人・物・金等の制約でリスクを完全には回避できない未対応部分を、残留リスクとして「J0314A_個人情報リスク分析対策表」に記述する。
2) 記述した残留リスクは、定期的にその脅威や脆弱性が増加していないかを定期的に確認する手段も検討するし、記録する。
3) 但し、天災、交通事故、ヒューマンエラーや従業者の悪意によるリスクは当社として管理不能のため、これらに配慮した教育や監査・点検などの対策を実施
し、残留リスクとしては記載しないものとする。
(2) 「J0314A_個人情報リスク分析対策表」の更新① 利用目的変更・取扱い方法変更の場合
a) 部門管理者は、変更する前の「J0314A_個人情報リスク分析対策表」を参考に、当該部門の取り扱う個人情報の想定リスク、リスク対策、リスク対策の規定、残留リスク等のリスク分析の見直しを行う。
b) 個人情報保護管理者の承認の後に、リスク対策に個人情報保護責任者の承認を受ける。
② 個人情報を削除する場合
a)「J0314A_個人情報リスク分析対策表」から当該個人情報を削除する。この際、削除履歴が残るようにしておく。

b)

個人情報保護管理者の承認の後に個人情報保護責任者に報告する。

(3)「J0314A_個人情報リスク分析対策表」の見直し

14/57

J-02

「J0314A_個人情報リスク分析対策表」は、「J0330A_個人情報保護マネジメントシ
ステム業務年間計画書」に定めた時期に、部門管理者が見直しを行い、個人情報保護管理者の承認の後に、リスク対策に個人情報保護責任者の承認を受ける。
随時見直しは部門管理者が新業務の追加や既存業務の変更、外部環境の変化などか
らリスクの見直しを実施することを決め、実施し、個人情報保護管理者の承認の後に、リスク対策に個人情報保護責任者の承認を受ける。
(4)「ＥＵ域内から十分性認定に基づき提供を受けた個人情報」の取扱いがある場合
リスクアセスメント及びリスク対策を行うための手順に基づき「ＥＵ域内から十分
性認定に基づき提供を受けた個人情報」を特定し、リスクアセスメント及びリスク対策を行った記録を残すこと。
J.3.2 個人情報保護目的及びそれを達成するための計画策定（6.2）(1) 代表者は個人情報保護目的を達成するために、教育、内部監査、安全管理計画（情報セキュリティ対策）、委託先の監督、マネジメントレビューの実施などを、以下の a)～e)
含めた計画を策定することを、個人情報保護管理者、個人情報保護監査責任者等に指示する。
a)実施事項b)必要な資源c)責任者d)達成期限e)結果の評価方法(2) 具体的な計画手順は、本規定 J.3.3、J.6.2、J.6.3、J.9.4 などに定める。
J.3.3 計画策定（JISQ15001 附属書 A.3.3.6）(1) 個人情報保護マネジメントシステムを確実に実施するために、個人情報保護管理者は毎
年、各担当者の意見を反映した「J0330A_個人情報保護マネジメントシステム業務年間計画書」を作成し、代表者の承認を得る。
(2) 個人情報保護教育責任者は「J0330A_個人情報保護マネジメントシステム業務年間計画書」に定められた時期に、本規定 J.3.2 の a)～e)を含めた「J0430A_個人情報保護教育計画書」にて教育計画を作成し、個人情報保護管理者を経由して代表者の承認を得る。
(3) 教育計画を立案する場合には、本規定 J.3.2 の a)～d)を JISQ15001 の附属書 B.3.3.6に記載されている“研修の年間カリキュラム，個別の研修プログラム（研修名，開催日
時，場所，講師，受講対象者及び予定参加者数，研修の概要，使用テキスト，任意参加か否かの別など），予算など”に置き換えても差し支えない。
(4) 個人情報保護責任者は「J0330A_個人情報保護マネジメントシステム業務年間計画書」に定められた時期に、本規定 J.3.2 の a)～e)を含めた「J0620A_内部監査計画書」にて

15/57

J-02

内部監査計画を作成し、個人情報保護責任者の承認を得る。
(5) 内部監査計画を立案する場合には、本規定 J.3.2 の a)～d)を JISQ15001 の附属書
B.3.3.6 に記載されている“当該年度に実施する監査テーマ，監査対象，目的，範囲，
手続，スケジュールなど” に置き換えても差し支えない。

J.4

支援（表題）

J.4.1 資源（7.1）(1) 当社は、個人情報保護マネジメントシステムの確立、実施、維持及び継続的改善に必要な資源を決定・確保し、利害関係者へ提供するものとする。
J.4.2 力量（7.2）(1) 当社は、個人情報保護マネジメントシステムを適切に運用するため、次の事項を行う。
a) 当社の個人情報保護に影響を与える業務をその管理下で遂行する者に対して、個人情報保護の観点から、従業者に必要とされる能力を決定するb) “a)”の者に対して、“a)”で決定した能力及び J.4.3 を充足するための処置を行い、必要な能力を備えることを確実にするc) “b)”を実施した結果、必要な能力が備わっていない場合は、必要な能力を身につけるための処置をとるとともに、とった処置の有効性を評価する
d) “a)～c)”を実施した記録を保持する
J.4.3 認識（7.3）(1) 個人情報保護教育責任者は、「J0430A_個人情報保護教育計画書」に従って、全ての従業者に対して、以下の内容を認識させるため、少なくとも年一回及び必要に応じて適宜に教育を実施する。
a) 個人情報保護方針b) 個人情報保護マネジメントシステムに適合することの重要性及び利点c) 個人情報保護マネジメントシステムに適合するための役割及び責任d) 個人情報保護マネジメントシステムに違反した際に予想される結果(2) 教育の実施
a) 教育は、教育計画に基づいて定期教育は「J0330A_個人情報保護マネジメントシス
テム業務年間計画書」に定めた時期に、受入教育は随時に実施し、「J0430C_個人情
報保護教育受講者名簿」にて受講対象者が全て受講したことを記録する。
b) 個人情報保護教育責任者は、受講者に教育受講時、理解度、自覚度を確認するために理解度テストやアンケートを受けさせるものとする。
c) 個人情報保護教育責任者はテスト等にて受講者の理解度を把握する。その際、理解度の低い受講者に対しては再教育等を行い、所定の水準に達したことを確認するも

16/57

J-02

のとする。
(3) 実施報告
個人情報保護教育責任者は、「J0430A_個人情報保護教育計画書」、「J0430C_個人情報保
護教育受講者名簿」で教育の実施記録「J0430B_教育報告書」を作成し、個人情報保護管理者を経由して個人情報保護責任者に提出し、承認を得る。
(4) 記録の保持
個人情報保護教育責任者は、「J0430A_個人情報保護教育計画書」、「J0430C_個人情報保
護教育受講者名簿」、「J0430B_教育報告書」及び教材、理解度テスト等の教育関係の記録を所定の期間保管することとする。
(5) 次回教育計画への反映
理解度テストやアンケートの結果については、必要に応じて次回の計画へ反映させるものとする。
J.4.4 コミュニケーション
J.4.4.1 コミュニケーション(7.4)(1) 当社は、個人情報マネジメントシステムを構築・運用するにあたり、次の事項を考慮して、内外の利害関係者と意思疎通や情報共有を行うこととする。
a) コミュニケーションの内容（伝達する内容）b) コミュニケーションの実施時期
c) コミュニケーションの対象者
d) コミュニケーションの実施者e) コミュニケーションの実施手順f) コミュニケーションの実施方法
J.4.4.2 緊急事態への準備（JISQ15001 附属書 A.3.3.7）(1) 当社は、緊急事態を特定するための手順、及び、特定した緊急事態にどのように対応するかの手順を確立し、実施し、かつ、維持する。
(2) 当社は、個人情報保護リスクを考慮し、その影響を最小限とするための手順を確立し、かつ、維持するものとする。
当社は、緊急事態が発生した場合に備え、法令等の定めに基づき、次の事項を含む対応手順を確立し、かつ、維持するものとする。
a) 漏えい、滅失又はき損が発生した個人情報の内容を本人に速やかに通知するか、又はウェブサイトにて公表するなど本人が容易に知り得る状態に置く。
b) 二次被害の防止、類似事案の発生回避などの観点から、事案の内容などに応じて、可能な限り事実関係、発生原因及び対応策を、速やかに公表を行う。
c) 事実関係，発生原因及び対応策を関係機関に直ちに報告を行う。

17/57

J-02

(3) 緊急事態の特定
当社では緊急事態とは以下の場合を指すものとする。
① 個人情報の漏えい、紛失、滅失又はき損の発生② 個人情報の改ざん、正確性の未確保状態の発生③ 不正・不適正取得の発生④ 目的外利用・提供の発生（適用除外事項に該当する場合を除く）⑤ 不正利用の発生⑥ 開示などの求め等の拒否（適用除外事項に該当する場合を除く）⑦ 上記①～⑥の恐れ⑧ 火災や地震等により、個人情報を取り扱う業務に重大な支障をきたすと思われる場
合⑨ システム上、もしくはネットワーク上に重大な障害が発生し、個人情報の適正管理に支障をきたすと、システム管理責任者が判断した場合⑩ 個人情報に関連する脅迫行為が行われた場合(4) 緊急時の組織体制
緊急時における組織体制は、以下の通りとする。
① 緊急連絡緊急事態又はその疑いがあることを発見した従業者は、出来る限り緊急事態を把握し、すみやかに部門管理者に連絡し、部門管理者は個人情報保護管理者に連絡し、個人情報保護管理者は個人情報保護責任者に報告する。
必要に応じて緊急時の連絡網を定め、従業者に周知する。
② 緊急事態対策会議
代表者、個人情報保護責任者、関係役員、個人情報保護管理者、部門管理者等を構成メンバーとし、代表者又は個人情報保護責任者が議長となる。また必要に応じて、その他の要員及び外部の専門家を加えることもある。
(5) 基本的な対応方針① 対応は、緊急事態又はその疑いのあるとき、事態の拡大防止等のための一次対応と、再発防止のための恒久的対応に分けて行う。
② 緊急対応後の全ての対応は、緊急事態対策会議の決定に基づいて行う。
③ 被害の対象となる本人に対しては、誠意ある対応を第一とする。
④ マスコミ等外部への対応は緊急事態対策会議で決定した問合せ窓口が当たり、個人や特定部署での対応を禁ずる。
(6) 緊急時の一次対応
緊急時における一次対応は、被害状況の把握及び被害の拡大防止、二次被害の防止の観点により、経済的な不利益及び社会的な信用の失墜、本人への影響などのおそれを考慮し以下の手順で行う。

18/57

J-02

① 緊急事態の類型による初期対応a) 警察への通知（盗難、強盗などの事件の場合）b) 対象となった個人情報、被害規模、範囲の特定（全ての場合）
c) システム停止等の応急措置（システム障害の場合）
d) 受託業務の場合は委託元への報告により協議の上、委託元の指示に従う。
e) 漏えい等が発生し、本人の権利利益を害するおそれが大きい以下のいずれかに該当する事故等が発生した場合には、個人情報保護委員会、本人および審査機
関へ事故報告を行う。
（「速報」として発覚日から概ね 3～5 日以内）
1）要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生した
おそれがある事態
2)不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
3)不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
4)個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生した
おそれがある事態
5)上記 e)の 1)～4)及び P マーク付与機関が P マーク審査基準における重大な違反のおそれがあると認めた事態
f)上記 e)の事故等の対象となった個人情報に特定個人情報（マイナンバー）が含まれており、以下の事故等に該当する場合は、個人情報保護委員会、本人および審査機関へ事故報告を行う。
（「速報」として発覚日から概ね 3～5 日以内）
1) 情報提供ネットワークシステム等からの漏えい、滅失、き損
2) 不特定多数の者に閲覧された
3) 不正の目的による漏えい、滅失、き損
4) 100 人を超える場合② 緊急事態対策会議の開催a) 対応方針決定b) 対応策の実施と記録③ 本人への通知（当社が直接取得した個人情報や提供を受けた個人情報の場合）
a) 特定された本人に対し電話やメール等で連絡を行い、事実関係及び、具体的な対応策を説明して了承を得る。
b) 了承を得られない場合には、緊急事態対策会議にて改めて対応を協議の上、決定事項に基づいて本人への対応を行う。
c) 連絡がつかない場合、及び本人特定ができない場合は、ウェブページでの公表など内容を本人が容易に知りうる状態に置く。
④ 本人への通知（受託業務などで預かっている個人情報の場合）

19/57

J-02

a) 委託元に事故内容の連絡を行い、本人への通知も委託元の指示に従う。
b) 本人への連絡事項には少なくとも以下の事項を含める。
1)事故概要2)個人データの項目
3)事故原因4)二次被害の有無及びその内容
5)その他参考となる事項⑤ 公表a) 緊急事態対策会議において公表が必要と判断した場合には、当社ウェブページ
を通じて事実関係及び、発生原因、対応状況、再発防止策などを公表する。
b) 影響範囲が広範囲かつ深刻な場合は、マスコミへの公表を行う。
c) 公表を行う場合は、マスコミ等外部に対する問合せ窓口を設置する。
⑥ 関係機関への確定報告a) 緊急事態対策会議における決定に基づき、①の e)、f)の続報として個人情報保護委員会及び P マーク審査機関に確定報告を行う。なお、P マーク審査機関
への確定報告は、すべての緊急事態を対象とする。
（原則として発覚日から 30日（不正の目的をもって行われたおそれがある事故等の場合は 60 日）以内）
報告内容には以下の内容を含める。
1)事故概要2)個人データの項目
3)個人データに係る本人の数
4)事故原因5)二次被害の有無及びその内容
6)本人への対応の実施状況
7)公表の実施状況
8)再発防止のための措置
9)その他参考となる事項
報告先

報告窓口など個人情報保護委員会
個人データの事故連絡先
個人データ漏えい等報告窓口
特定個人情報の事故連絡先
特定個人情報漏えい等報告窓口
P マーク審査機関（JIPDEC）
一般財団法人日本情報経済社会推進協会
プライバシーマーク推進センター
20/57

個人データの事故報告入力フォーム

https://www.ppc.go.jp/personalinfo/legal/leakAction/

特定個人情報の事故報告入力フォーム
https://roueihoukoku.ppc.go.jp/incident/?top=r2.
Mynumber〒106－0032
東京都港区六本木一丁目 9 番 9 号
六本木ファーストビル内

J-02

事故報告担当TEL:03-5860-7565(7) 関係機関より、対応について指示のある場合は、すみやかにそれに従う。
(8) 認定個人情報保護団体への連絡は、各認定個人情報保護団体の指示に従う。
(9) 緊急事態発生時における作業記録
個人情報保護管理者は、事後の係争への対処および業務改善のため、緊急事態発生時における、対応内容を「J0442A_個人情報事故報告書」にまとめて、その記録を保管するものとする。
① 外部からの問い合わせ、クレームの内容など② 対外連絡、報告、協議に関する事項③ 社内における連絡、報告、協議に関する事項(10)緊急事態への恒久的対応
緊急事態における一次対応が収束し、被害の拡大がないと代表者が判断した場合には、
緊急事態対策会議は、再発防止のため、以下の対応を行う。
① 原因の究明② 原因が不適合などによる場合は、本規定 J.7.1 に基づく、是正処置の実施③ 必要に応じて臨時の教育、及び監査(11)緊急事態対策会議の解散
代表者は、(6)～(10)の緊急事態対策が完了したことを確認し、緊急事態対策会議を解散する。
J.4.5 PMS 文書
J.4.5.1 文書化した情報（一般）（JISQ15001 7.5.1、附属書 A.3.5.1）(1) 当社は個人情報保護マネジメントシステムの基本となる次の要素に対応する書面を作成する。
a) 個人情報保護方針b) 内部規定c) 内部規定に定める手順上で使用する様式d) 計画書e) PMS 運用指針が要求する記録
f) その他、当社が個人情報保護マネジメントシステムを実施する上で必要と判断した文書（記録を含む。
）
J.4.5.2 文書化した情報の管理（JISQ15001 7.5.3）(1) 当社は、個人情報保護マネジメントシステム及び PMS 運用指針で要求されている文書化した情報に対し、以下の対策を行う
21/57

J-02

a) 必要な時に、必要な所で、入手可能かつ利用できるように、紙媒体は指定されたキャビネット、また電子データは共用サーバの専用フォルダーなどに保管する。
b) 紙媒体を保管したキャビネットは施錠管理を行う。
共用サーバの専用フォルダーに保管している電子データは、アクセス権限やアクセ
許可範囲で不要な変更への対策を行う。
(2) 文書化した情報の管理にあたっては、次の事項を実施する。
具体的な手順は、本規定 J.4.5.3 に定める。
c)

配付、アクセス、検索及び利用d)

読みやすさが保たれることを含む、保管及び保存

e)

変更の管理（例えば、版の管理）

f)

保持及び廃棄(3) 個人情報保護マネジメントシステムに必要となる外部からの文書化した情報は、必要に応じて特定し、社内で作成した文書と同様に管理する。
J.4.5.3 文書化した情報（記録を除く）の管理（JISQ15001 7.5.2、附属書 A.3.5.2）(1) 当社は、PMS 運用指針が要求する全ての文書化した情報（記録を除く。）を管理する手順を、実施し、維持する。文書管理の手順には、次の事項を含むものとする。
a) 文書化した情報（記録を除く。
）の発行及び改正に関すること
b) 文書化した情報（記録を除く。
）の改正の内容と版数との関連付けを明確にすることc) 必要な文書化した情報（記録を除く。）が必要なときに容易に参照できること
d) 適切性及び妥当性に関する、適切なレビュー及び承認を行うこと(2) 文書管理は以下の手順にて行う。
① 文書の発行a) 新規に PMS 文書を発行するに際しては、原則として、文書番号、版番号、制定
日、発行者を明記しておくものとする。ただし、記録類を除く。
b) 発行の際は、事前に「J0453A_PMS 文書体系表」に定めた所定の承認を得る。
② 文書の改訂a) 個人情報保護管理者は、PMS 文書を必要に応じて適宜改訂するものとする。改訂に際しては、改訂履歴に改訂日と改訂内容を記載し、版番号を更新することとする。
b) 改訂は以下の要因を把握して行うものとする。
1) 本規定 J.6.3 に定めるマネジメントレビュー
2) PMS の管理方法、手順に変更が生じた場合
3) 文書の正確性や文書間の整合性を維持するために必要な場合
c) 本規定 J.6.2 で定める内部監査、及び J.6.3 で定めるマネジメントレビューで、

22/57

J-02

規定の適切性、妥当性及び J.4.5.2(2)c)～f)を確認し、レビュー及び承認を行う。
③ 個人情報保護管理者は、必要に応じて関係者の誰もが PMS 文書にアクセスできるよ
うな手段を講ずる。また、PMS 文書は、常に最新版の閲読または入手可能な便宜を図る。
a) 参照用の規定文書を従業者がアクセス可能なキャビネットに保管する。
b) 変更ができない様に設定した参照用データをイントラネットで公開する。
④ 旧版あるいは無効の PMS 文書の返却または廃棄の指示と管理を関係者に対して行う。
J.4.5.4 内部規定（JISQ15001 附属書 A.3.3.5）(1) 当社は、次の事項を含む内部規定を文書化し、かつ維持する。
a) 個人情報を特定する手順に関する規定b) 法令、国が定める指針その他の規範の特定、参照及び維持に関する規定c) 個人情報保護リスクアセスメント及びリスク対策の手順に関する規定d) 当社の各部門及び階層における個人情報を保護するための権限及び責任に関する規定e) 緊急事態への準備及び対応に関する規定f) 個人情報の取得、利用及び提供に関する規定g) 個人情報の適正管理に関する規定h) 本人からの開示等の請求等への対応に関する規定
i) 教育などに関する規定j) 文書化した情報の管理に関する規定k) 苦情及び相談への対応に関する規定l) 点検に関する規定m) 是正処置に関する規定n) マネジメントレビューに関する規定o) 内部規定の違反に関する罰則の規定(2) 当社は、事業の内容に応じて、個人情報保護マネジメントシステムが確実に適用される
ように内部規定を改正する。
J.4.5.5 文書化した情報のうち、記録の管理（JISQ15001 附属書 A.3.5.3）(1) 個人情報保護管理者は、当社の個人情報保護マネジメントシステム及び PMS 運用指針の要求事項への適合を実証するために、以下に示す必要な記録を作成し、かつ、維持するものとする。
a) 個人情報の特定に関する記録
b) 法令、国が定める指針及びその他の規範の特定に関する記録

23/57

J-02

c) 個人情報保護リスクの認識、分析及び対策に関する記録
d) 計画書e) 利用目的の特定に関する記録f) 保有個人データに関する開示等（利用目的の通知、開示、内容の訂正、追加又は削除、利用の停止又は消去、第三者提供の停止）の請求等への対応記録g) 教育などの実施記録h) 苦情及び相談への対応記録
i) 運用の確認の記録
j) 内部監査報告書k) 是正処置の記録l) マネジメントレビューの記録(2) 個人情報保護管理者は、記録の取扱いについての手順を確立し、実施し、維持するものとする。
① (1)の記録について具体的な書類、データ等を取りまとめ、保管期間、保管場所を定めて「J0455A_PMS 記録管理対象一覧」で管理、維持する。
② 記録類は、必要とするときにはすぐに検証できるようにしておく。
③ 記録に特定の個人の情報を含む場合は、当該記録は個人情報として特定し、関連規定に従って取り扱う。

J.5 運用J.5.1 運用（JISQ15001 8.1、8.2、8.3、附属書 A.3.4.1）(1) 当社は、本指針の要求事項を満たすため及び J.3 で計画した活動について、実施するものとする。
(2) 当社は、計画した変更を管理し、意図しない変更によって生じた結果をレビューし、必要に応じて、有害な影響を軽減する処置をとるものとする。
(3) 当社は、外部委託した業務がある場合は、管理の対象とする。
(4) 個人情報保護管理者は本項 (1)～(3) についての記録を保持する。

J.6

パフォーマンス評価（表題）J.6.1 監視、測定、分析及び評価（JISQ15001 9.１、附属書 A.3.7.1）(1) 各部門及び階層の管理者が定期的に、及び適宜にマネジメントシステムが適切に運用されていることを確認する。
(2) 当社は、個人情報保護マネジメントシステムが適切に運用されているかどうかを確認するために、次の事項を決定する。
a) 対象とする個人情報保護マネジメントシステムの運用状況b) “a)”で対象とした運用状況の監視、測定、分析及び評価の方法

24/57

J-02

c) “a)”で対象とした運用状況の監視及び測定の実施時期d) “a)”で対象とした運用状況の監視及び測定の実施者e) “a)”で対象とした運用状況の分析及び評価の時期
f) “a)”で対象とした運用状況の分析及び評価の実施者(3) 部門管理者は、本項(2)の手順として日常の業務で個人情報が部門内で規定通り取り扱
われているか、また法令等に違反していないかを部門毎に作成した「J0610A_個人情報保護運用チェックリスト」により、「J0330A_個人情報保護マネジメントシステム業務
年間計画書」に定めた時期に確認し、その結果を個人情報保護管理者に報告し、承認を得るものとする。
なお、当社が管理する就業場所（請負業務等のために顧客事業所等内の集合場所を含む）
を対象とする。
(4) 確認した結果に不適合を確認した場合は、本規定 J.7.1 に基づき、是正処置を行う。
(5) 各部門は、監視及び測定の結果の証拠として、文書化した情報を定められた期間保管する。 保管期間は「J0455A_PMS 記録管理対象一覧」に定める。
(6) 個人情報保護管理者は、不適合が発見された場合には適時に、またそれ以外の場合は代表者による個人情報保護マネジメントシステムの見直しに資するため、定期的に代表者にその状況を報告する。
J.6.2

内部監査（JISQ15001 9.2、附属書 A.3.7.2）(1) 当社は、個人情報保護マネジメントシステムが以下の事項の状況にあるか否かについて、
少なくとも年一回「J0330A_個人情報保護マネジメントシステム業務年間計画書」に定「J0620A_内部監査計画書」に基づき内部監査を実施する。また、必要に応めた時期に、
じて適宜に内部監査を実施する。
a) 適合性監査
当社が規定した要求事項及び PMS 運用指針の要求事項に適合しているか。
b) 運用状況の監査
個人情報保護マネジメントシステムを有効に実施し、維持しているか。
(2) 個人情報保護監査責任者は、内部監査の実施に当たり、次の事項を行う。
c) 内部監査実施計画を策定、確立、実施及び維持する。その内部監査実施計画は、関連するプロセスの重要性及び前回までの監査の結果を考慮する 。
d) 計画時に、監査基準及び監査範囲を明確にする。
e) 監査プロセスの客観性及び公平性を確保する監査員を選定し、内部監査実施計画に従って、内部監査を実施する。
f) なお、監査員が、自己の所属する部署の内部監査を行わないよう、監査対象部門を割り当てる。
g) 内部監査の結果を監査報告書としてまとめ、管理層及び個人情報保護責任者に報告

25/57

J-02

する。
h) 内部監査実施計画及び監査結果の証拠として、文書化した情報を保持する(3) 監査に関する詳細は以下の通りとする。
① 監査対象範囲
監査対象範囲は、当社の全ての事業所、部署、及び個人情報保護管理者とする。
なお、事業所には、当社の管理下にある顧客内の就業場所を含める。
② 監査計画
監査計画は J.3.3 により作成する。
③ 監査時期監査の実施時期は、次のとおりとする。
a) 個人情報保護マネジメントシステムの PMS 運用指針への適合状況及び運用状況の監査は年１回、原則として「J0330A_個人情報保護マネジメントシステム業務年間計画書」に定めた時期にこれを実施する。 なお、運用状況の監査には、リスク分析の結果、講じることとした対策の実施状況の監査も含める。
b) 個人情報保護マネジメントシステムの修正等が実施された場合は、それに即して適時に監査を実施する。
c) その他必要に応じて随時監査を実施する。
④ 監査の準備「J0620C_内部監査チェックa) 監査員は「J0620A_内部監査計画書」の内容に基づき、リスト（適合性監査）」及び「J0620D_内部監査チェックリスト（運用状況）」を作成し、個人情報保護監査責任者の承認を得る。
b) 個人情報保護監査責任者及び監査員は、各部門の「J0610A_個人情報保護運用チェ
ックリスト」のコピーを収集し、事前に運用状況を把握する。
⑤ 監査実施
監査員は、「J0620A_内部監査計画書」に基づき、「J0620C_内部監査チェックリスト（適合性監査）」及び「J0620D_内部監査チェックリスト（運用状況）」を用い、現場責任者へのヒアリング、文書記録類の確認、現場視察により監査を実施する。
顧客内の就業場所の監査にあたり、顧客から監査員の立ち入りを拒否された場合、その就業場所の「J0610A_個人情報保護運用チェックリスト」の結果を、内部監査の結果として用いるものとする。
⑥ 監査報告個人情報保護監査責任者は、監査結果を「J0620B_内部監査報告書」に取りまとめ、1ヶ月以内を目安として、個人情報保護責任者に報告し承認を得るとともに、承認結果の写しを被監査部門長に配布する。
⑦ 監査記録の保管
個人情報保護監査責任者は、「J0620A_内部監査計画書」、「J0620B_内部監査報告書」
、

26/57

J-02

「J0620C_PMS 内部監査チェックリスト（適合性監査）」、「J0620D_PMS 内部監査チェックリスト（運用状況）」その他の監査実施記録を保管する。
J.6.3 マネジメントレビュー（JISQ15001 9.3、附属書 A.3.7.3）(1) 代表者は、当社の個人情報保護マネジメントシステムが、引き続き、適切、妥当かつ有効であることを確実にするために、毎年「J0330A_個人情報保護マネジメントシステム
業務年間計画書」に定め、また、必要に応じて適宜にマネジメントレビューを実施する。
(2) マネジメントレビューの実施にあたっては、次の事項を考慮する。
a) 前回までのマネジメントレビューの結果を踏まえた見直しの状況b) 個人情報保護マネジメントシステムに関連する外部及び内部の問題点の変化
c) 以下の状況を踏まえた、現在の個人情報保護マネジメントシステムの運用状況の評
価1) 不適合及び是正処置
2) 確認及び点検の結果
3) 監査結果
4) 個人情報保護目的の達成
d) 利害関係者からのフィードバックe) リスクアセスメントの結果及びリスク対応計画の状況
f) 継続的改善の機会(3) 代表者は、マネジメントレビューからのアウトプットに、継続的改善の機会及び個人情報保護マネジメントシステムのあらゆる変更の必要性に関する決定を含める。
(4) 代表者は、マネジメントレビューの結果を踏まえて、改善が必要だと考えているところがあるか否かを検証し、必要に応じて対策を指示する。
(5) 個人情報保護管理者は、マネジメントレビューの結果を「J0630A_マネジメントレビュ
ー議事録」にまとめ、文書化した情報を保持すること。

J.7

改善

J.7.1 不適合及び是正処置（JISQ15001 10.1、附属書 A.3.8）(1) 個人情報保護管理者は、外部機関による審査、緊急事態の発生、リスクアセスメント、
苦情・相談、運用の確認、監査等で発見した不適合に対して、次の事項を含めて、是正処置を実施する。
a) その不適合に対処し、該当する場合には、必ず、次の事項を行う
1) その不適合を管理し、修正するための処置をとる
2) その不適合によって起こった結果に対処する
b) 次の事項によって、その不適合の原因を除去するための処置を検討する
1) その不適合を調査及び分析する

27/57

J-02

2) その不適合の原因を特定する
3) 類似の不適合の有無、又はそれが発生する可能性を検討する
c) 是正処置を計画し、計画された処置を実施する
是正処置の立案にあたっては、発見した不適合が他の所でも発生しないようにするための措置を検討する。
d) 実施された全ての是正処置の有効性を調査、分析及び評価するe) 必要な場合には、個人情報保護マネジメントシステムの改善を行う「J0710A_是正処置計画･報告書」に記録するとと(2) a)～e)の各局面の実施結果について、
もに、原則として、個人情報保護責任者の承認を得る。
なお、外部の組織から是正処置に利用する様式を指定された場合は、その様式を利用する。
J.7.2 継続的改善(1) 当社は、マネジメントレビューの結果などに基づき、個人情報保護マネジメントシステ
ムの適切性、妥当性及び有効性を継続的に改善していくものとする。

J.8

取得、利用及び提供に関する原則

J.8.1 利用目的の特定（JISQ15001 附属書 A.3.4.2.1）(1) 個人情報を取り扱うに当たっては、その利用目的をできる限り特定し、その目的の達成に必要な範囲内において行う。
(2) 利用目的等の特定に当たっては、取得した情報及びデータの紐づけにより確認された情報の利用及び提供によって本人の受ける影響を予測できるように、利用及び提供の範囲
を可能な限り具体的に明らかにするよう、本人に通知するか容易に参照できるように公表するなどの対策を行う。
(3) 当社は、個人情報の公序良俗に反する利用は行わない。
(4) 利用目的等の特定手順① 既存の個人情報は、個人情報の特定時に「J0311B_個人情報管理台帳」に利用目的を明記し、個人情報保護管理者の承認を得る。
「J0311A_個人情報取得申請書」に利用目的を明記し、個人情報② 新種の個人情報は、「J0311B_個人情報管理台帳」に記録する。
保護管理者の承認を得た後、③ なお、取得する個人情報が、項目ごとにその利用目的が異なる場合、利用目的は項目ごとに区別して特定する④ 利用目的を変更する際の手順は、J.8.6(3)に定める。
J.8.2 適正な取得（JISQ15001 附属書 A.3.4.2.2）(1) 当社は、適法かつ公正な手段によって個人情報を取得する。

28/57

J-02

(2) 個人情報を本人から取得する場合には、J.8.4(2)の a)～d)の場合を除いて、本人への利用目的の通知または公表などを行う。
(3) 個人情報を本人以外から取得する場合で、委託・提供・共同利用により個人情報を取得する場合は、委託元・提供元またはその他の共同利用者が個人情報保護法及び個人情報保護委員会のガイドライン等に沿って適切に個人情報を取り扱っていることを確「J0311A_個人情報取得申請書」の“取得の適切性”欄に確認結果を記載し、個認し、人情報保護管理者の承認を得る。
(4) 個人情報を取得する場合には、事前に次に示す取得に該当しないか、確認するものとする。
a) 利用目的を偽るなど不公正な手段によって個人情報を取得すること。
b) 優越的な地位を利用して個人情報を取得すること。
c) 十分な判断能力のない状態の者(子供、身障者、高齢者、心身膠着状態の者等）
から取得すること。
d) 委託元の許可を得ていないマイナンバーの再委託を受けること。
J.8.3 要配慮個人情報（JISQ15001 附属書 A.3.4.2.3）(1) 当社は、新たに要配慮個人情報を取得、利用又は提供並びに要配慮個人情報のデータを提供する場合、あらかじめ書面による本人の同意を得るものとする。ただし、本項(2)、(3)に該当する場合を除く。
(2) 要配慮個人情報を取得、利用する際、書面による本人の同意を得ることを要しないときとは、以下の場合に限定する。
a) 法令に基づく場合b) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
c) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
d) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることによって当該事務の遂行に支障を及ぼすおそれがあるときe) 当該要配慮個人情報が、法令等により個人情報取扱事業者の義務などの適用除外とされている者及び個人情報保護委員会規則で定めた者によって公開された要配慮個
人情報であるときf) 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得又は利用する場合
g) 個人情報保護法 27 条第 5 項各号に掲げる場合において、個人データである要配慮
個人情報の提供を受けるとき

29/57

J-02

h) 個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）
i) 学術研究機関等から当該要配慮個人情報を取得 し、利用 する場合であって、当該要配慮個人情報を学術研究目的で取得 し、利用する必要があるとき（当該要配慮
個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。
）(3) 要配慮個人情報を提供する際、書面による本人の同意を得ることを要しないときとは、
本項(2)の a)～d)、または以下の場合に限定する。
j)

個人情報取扱事業者が学術研究機関等である場合であって、個人データの提供が学
術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）

k)

個人情報取扱事業者が学術研究機関等である場合であって、個人データを学術研究目的で提供する必要があるとき（個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（個人情報取扱事業者と第三者が共同して学術研究を行う場合に限る。）

l) 第三者が学術研究機関等である場合であって、第三者が個人データを学術研究目的で取り扱う必要があるとき（個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）(4) 業務の必要上、やむを得ない理由で要配慮個人情報を取得、利用又は提供する場合には、「J0311A_個人情報取得申請書」で、利用目的等を明示し個人情報保護管理者の承認を得た後にその目的を示し、要配慮個人情報の取得、利用又は提供について、明示的な本
人の同意を書面で取得した場合は、要配慮慮情報の取得、利用及び提供等を行うことができる。
同意を得るための書面は適宜作成する(5) 取得、利用の場合は本項(2)の a)～i)を、提供の場合は本項(2)の a)～ｄ)又は本項(3)「J0311A_個人情報取得の j)～l）を本人の同意が不要な場合とし、適用する場合には、申請書」に適用するただし書きを記載し、個人情報保護管理者の承認を得る。
J.8.4 個人情報を取得した場合の措置（JISQ15001 附属書 A.3.4.2.4）(1) 個人情報を取得した場合は、あらかじめ、その利用目的を公表している場合を除き、速やかにその利用目的を本人に通知し、又は公表するものとする。 ただし、本項(2)に該当する場合を除く。
(2) 本人に利用目的を通知し、又は公表を要しないのは、以下の場合に限定する。

30/57

J-02

a) 利用目的を本人に通知し、又は公表することによって本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合b) 利用目的を本人に通知し、又は公表することによって当社の権利又は正当な利益を害するおそれがある場合
c) 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することによって当該事務の遂行に支障を及ぼすおそれがある場合
d) 取得の状況からみて利用目的が明らかであると認められる場合(3) 社内承認の手続き
a) 新種の個人情報を取得する場合、取得にあたる部門の責任者は「J0311A_個人情報取得申請書」に必要事項を記入の上、個人情報保護管理者の承認を得る。
「J0311A_個人情報b) 本項(1)の a)～d)に該当するため本人の同意を要しない場合は、取得申請書」に適用するただし書きを記載し、部門管理者を経由して、個人情報保護管理者の承認を得る。
(4) 予め利用目的を公表する方法及び取得後速やかに通知又は公表する方法①

予め公表する方法
取得する個人情報の利用目的を含む文面について個人情報保護管理者の承認を得た上で、当社ウェブページ上で公表する。
防犯カメラ、監視カメラを利用する場合には、被撮影者が容易にわかる位置に利用目的を掲示するものとする。

②

取得後速やかに通知又は公表する方法
取得した個人情報の利用目的を含む文面について個人情報保護管理者の承認を得た
上で、以下のうち合理的かつ適切な方法を選択して通知又は公表を行う。
a) 文書での連絡b) 電話又は面談による口頭通知c) 当社ウェブページ上での公表(5) 当社は(2)の d)を適用する場合は以下の場合に限定する① 名刺交換により取得した個人情報② 見積書・請求書・領収書等に業務上慣例化した書類に記載された個人情報(6) 定型業務において、直接書面で個人情報を取得する場合には、チェックリストなどを用いて個人情報や同意書等の取得漏れなどの単純ミスが起きないようにする。
J.8.5 J.8.4 のうち本人から直接書面によって取得する場合の措置（JISQ15001 附属書A.3.4.2.5）(1) 本人から書面（電子的方式，磁気的方式などの知覚によっては認識できない方式で作られる記録を含む。以下、同じ。
）に記載された個人情報を直接取得する場合には、少な

31/57

J-02

くとも、次に示す事項又はそれと同等以上の内容の事項を、あらかじめ、書面によって本人に明示し、書面によって本人の同意を得るものとする。ただし、本項(2)に該当す
る場合を除く。
a)

当社の名称又は氏名b)

個人情報保護管理者（若しくはその代理人）の氏名又は職名、所属及び連絡先

c)

利用目的

d)

個人情報を第三者に提供することが予定される場合の事項‐第三者に提供する目的‐提供する個人情報の項目‐提供の手段又は方法‐当該情報の提供を受ける者又は提供を受ける者の組織の種類、及び属性‐個人情報の取扱いに関する契約がある場合はその旨

e)

個人情報の取扱いの委託を行うことが予定される場合には、その旨

f)J10.4～J10.7 に該当する場合には、その請求等に応じる旨及び問合せ窓口

g)本人が個人情報を与えることの任意性及び当該情報を与えなかった場合に本人に生
じる結果

h)

本人が容易に知覚できない方法によって個人情報を取得する場合には、その旨(2) あらかじめ書面によって本人に明示し、書面によって本人の同意を得ないのは、人の生命、身体若しくは財産の保護のために緊急に必要がある場合、又は J.8.4（2）の a)～d)のいずれかの場合に限定する。
(3) 社内承認の手続き① 新種の個人情報を取得する場合、取得にあたる部門の責任者は「J0311A_個人情報取得申請書」に必要事項を記入の上、個人情報の利用目的等を明記した「J0850X_
個人情報の取扱い同意書」等を添付し、個人情報保護管理者の承認を得る。
②

人の生命、身体又は財産の保護のために緊急に必要がある場合、J.8.4(2)の a)～「J0311A_個人情報取得申請書」にd)に該当するため本人の同意を要しない場合は、適用するただし書きを記載し、部門管理者を経由して、個人情報保護管理者の承認を得る。

(4) 本人からの同意取得方法
本人から同意を取得する際は、(3)①で承認を得た「J0850X_個人情報の取扱い同意書」
等を用いて、以下の方法で必要事項を本人に明示し、本人の同意を得る。
「J0850X_個人情報の取扱い同意書」等を明示① 顧客等から紙媒体で取得する場合は、した上で同意の署名若しくは同意欄へのチェックを必要とする。
② ウェブページのフォームに入力させることにより取得する場合は、画面上で同意文面を読んだ上で「同意欄」をクリックした後、入力フォームに入力して送信する方
式とする。

32/57

J-02

「J0850A_採用応募者用同意書」により本③ 採用応募者から個人情報を取得する際は、人の同意を取得する。
「J0850B_従業者用同意書」により本人の④ 当社従業者から個人情報を取得する際は、同意を取得する。
⑤ 当社の指揮監督を受けて一部の業務に従事する個人事業主から個人情報を取得する「J0850C_個人事業主用同意書」により本人の同意を取得する
際は、J.8.6 利用に関する措置（JISQ15001 附属書 A.3.4.2.6）(1) 当社は、特定した利用目的の達成に必要な範囲内で個人情報を利用するものとする。
(2) 当社は、(1)に該当する場合でも、本人の同意の有無に関わらず違法又は不当な行為を助長し、または誘発するおそれがある方法により個人情報を利用しない。
(3) 特定した利用目的の達成に必要な範囲を超えて個人情報を利用する場合は、あらかじめ少なくとも、J.8.5(1)a)～f)に示す事項又はそれと同等以上の内容の事項を本人に通知
し、本人の同意を得る。ただし、本項(4)に該当する場合を除く。
(4) 特定した利用目的の達成に必要な範囲を超えて個人情報を利用する場合に、本人の同意を得ることを要しないのは、次の場合に限定する。
a) 法令に基づく場合b) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
c) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
d) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるときe) 当該個人情報取扱事業者が学術研究機関等である場合であって、学術研究目的で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）
f) 学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う
目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。
）(5) 社内承認の手続き「J0311A_個人情報取得申請書」に必要事項を記入の上、① 利用目的を変更する場合、利用目的を改訂した本項(1)a)～f)の通知事項を含む同意書様式を作成・添付し、部門管理者を経由して、個人情報保護管理者の承認を得る。
「J0311A_個人情報取得申請② 本項(4)の項目を適用し、本人の同意を得ない場合は、

33/57

J-02

書」に適用するただし書きを記載し、部門管理者を経由して、個人情報保護管理者の承認を得る。
(6) 本人からの同意取得方法
J.8.5(4)と同様の手順で同意を取得する。
(7) 目的外利用に該当するかどうか疑わしい場合には、個人情報保護管理者に相談し、指示を仰ぐものとする。
J.8.7 本人に連絡又は接触する場合の措置（JISQ15001 附属書 A.3.4.2.7）(1) 個人情報を利用して本人に連絡又は接触する場合には、本人に対して、J.8.5(1)a)～f)に示す事項又はそれと同等以上の内容の事項、及び取得方法を通知し、本人の同意を得る。ただし、本項(2)に該当する場合を除く。
(2) 個人情報を利用して本人に連絡又は接触する場合のうち、本人に通知し、本人の同意を得ることを要しない場合を、利用する個人情報が以下の場合に限定する
a) J.8.5(1)a)～f)に示す事項又はそれと同等以上の内容の事項を明示又は通知し、既に本人の同意を得ているときb) 個人情報の取扱いの全部又は一部を委託された場合であって、当該個人情報を、その利用目的の達成に必要な範囲内で取り扱うときc) 合併その他の事由による事業の承継に伴って個人情報が提供され、個人情報を提供する組織が、既に J.8.5(1) a)～f) に示す事項又はそれと同等以上の内容の事項を明示又は通知し、本人の同意を得ている場合であって、承継前の利用目的の範囲内で当該個人情報を取り扱うときd) 個人情報が特定の者との間で共同して利用され、共同して利用する者が、既にJ.8.5(1) a)～f) に示す事項又はそれと同等以上の内容の事項を明示又は通知し、本人の同意を得ている場合であって、次に示す事項又はそれと同等以上の内容の事
項を、あらかじめ、本人に通知するか、又は本人が容易に知り得る状態に置いているとき（以下、“共同利用”という。）‐ 共同して利用すること‐ 共同して利用される個人情報の項目‐ 共同して利用する者の範囲‐ 共同して利用する者の利用目的‐ 共同して利用する個人情報の管理について責任を有する者の氏名又は名称及び住所、法人にあっては、その代表者の氏名‐ 取得方法e) J.8.4(2) の d) に該当するため，利用目的などを本人に明示，通知又は公表することなく取得した個人情報を利用して，本人に連絡又は接触するとき
f) J.8.3(2) の a)～d) のいずれかに該当する場合

34/57

J-02

(3) 社内承認の手続き① 本人に連絡又は接触する場合は「J0311A_個人情報取得申請書」に必要事項を記入し、利用目的の変更内容及び取得方法を明記した同意書様式を作成・添付し、当該個人情報を用いて本人に連絡又は接触することを個人情報保護管理者の承認を得る。
② 本人に連絡又は接触する目的が、J.8.6(3)に該当する場合は、J.8.6 に基づき、利用目的変更の手続きを行う。
「J0311A_個人③ (2)の b)～f)に該当するため本人への通知と同意を要しない場合は、情報取得申請書」に適用するただし書きを記載し、個人情報保護管理者の承認を得る。
(4) 本人からの同意取得方法
本人に文書等により、当該個人情報を用いて連絡又は接触する必要が生じたことを説明し、作成した同意書様式を送付し同意文書を返送により取得する。
なお、書面で同意を得ることができない場合は、口頭で同意を得ても良いが、同意を得た記録を書面にて残すこととする。
(5) 本項(2)の d)を適用する場合
当社は個人情報の共同利用を行わない。
もし、共同利用する必要が生じた場合には、共同利用に関する必要事項を記載してウェブページに掲載し、本人が容易に知りうる状態におく。
J.8.8 個人データの提供に関する措置（JISQ15001 附属書 A.3.4.2.8）(1) 個人データを第三者に提供する場合には、あらかじめ、本人に対して、J.8.5(1)a) ～d)に示す事項又はそれと同等以上の内容の事項、及び取得方法を通知し、本人の同意を得なければならない。ただし、本項(2)に該当する場合を除く。
(2) 個人データを第三者に提供する場合に、本人に通知し、本人の同意を得ることを要しない場合は、以下の場合に限定する。
なお、第三者が個人関連情報を個人データとして取得することが想定されるときは、法令等の定めに基づき、法令等で定めるところにより確認することをしないで、当該個人関連情報を当該第三者に提供してはならない。
a) J.8.5 の規定によって、 既に J.8.5(1)a)～d)の事項又はそれと同等以上の内容の事項を本人に明示又は通知し、本人の同意を得ているときb) 本人の同意を得ることが困難な場合であって、法令等が定める手続に基づいた上で、次に示す事項又はそれと同等以上の内容の事項を、あらかじめ、本人に通知するか、又はそれに代わる同等の措置を講じているとき
1) 当社の名称及び住所並びにその代表者の氏名
2) 第三者への提供を利用目的とすること
3) 第三者に提供される個人データの項目

35/57

J-02

4) 第三者への提供の手段又は方法
5) 本人の請求などに応じて当該本人が識別される個人データの第三者への提供を停止すること
6) 第三者に提供される個人データの取得の方法
7) 本人からの請求などを受け付ける方法
8) その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則で定める事項
ただし、以下に対して本項は適用しない① 要配慮個人情報② 偽りその他不正の手段により取得された個人データ③個人情報保護法 27 条第 2 項、又は本項により提供された個人データ（提供されたデータに対して、その全部又は一部を複製し、又は加工したものを含む。）
c) 法人その他の団体に関する情報に含まれる当該法人その他の団体の役員及び株主に関する情報であって、かつ、本人又は当該法人その他の団体自らによって公開又は公表された情報を提供する場合であって、b)の 1)～8)で示す事項又はそれと同等
以上の内容の事項を、あらかじめ、本人に通知するか、又は本人が容易に知り得る状態に置いているときd) 特定した利用目的の達成に必要な範囲内において、個人データの取扱いの全部又は一部を委託するときe) 合併その他の事由による事業の承継に伴って個人データを提供する場合であって、承継前の利用目的の範囲内で当該個人データを取り扱うときf) 個人データを共同利用している場合であって、共同して利用する者の間で、J.8.7に規定する共同利用について契約によって定めているとき
g) J.8.3(2)の a)～d)、又は、J.8.3(3)の j)～l)のいずれかに該当する場合(3) 社内承認の手続き① 個人データを第三者へ提供する場合は、「J0311A_個人情報取得申請書」に必要事項を記入し、取得方法及び第三者提供の要領を明記した同意書様式を作成・添付し、当該個人情報を用いて第三者に個人データを提供することを個人情報保護管理者の承認を得る。
② 個人データを第三者へ提供する目的が、J.8.6(3)に該当する場合は、J.8.6 に基づき、利用目的変更の手続きを行う。
③(2)の b)～g)に該当するため通知と同意を要しない場合は「J0311A_個人情報取得申請書」に適用するただし書きを記載し、個人情報保護管理者の承認を得る。

(4) 本人からの同意取得方法
本人に文書等により、当該個人情報を提供する必要が生じたことを説明し、作成した同意書様式を送付し同意文書を返送により取得する。

36/57

J-02

なお、書面で同意を得ることができない場合は、口頭で同意を得ても良いが、同意を得た記録を書面にて残すこととする。
(5) 本項(2) の項目 b）（オプトアウトによる個人データの提供）を適用する場合は、第三者に提供する個人データ（要配慮個人情報を除く）を、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について個人情報保護委員会規則で定めるところにより、予め本人に通知し、又は当社ウェブページに掲載し、本人が容易に知り得る状態に置くと共に、個人情報保護委員会に届け出たときは、前項の規定にもかかわらず、当該個人データを第三者に提供することができるものとする。
1) 当社の名称及び従所並びにその代表者の氏名
2) 第三者への提供を利用目的とすること
3) 第三者に提供される個人データの項目
4) 第三者に提供される個人データの取得の方法
5) 第三者への提供の手段又は方法
6) 本人の請求などに応じて当該本人が識別される個人データの第三者への提供を停止
すること
7) 本人からの請求などを受け付ける方法
8) その他法令等で定める事項(6) 当社は本項(2) の項目 c)を適用することはない。
もし、c)を適用する必要が生じた場合には、第三者提供に関する必要事項を記載して当社ウェブページに掲載し、本人が容易に知りうる状態におく。
(7) 本項(2) の項目 f)を適用する場合
当社は個人情報の共同利用を行わない。もし、共同利用する必要が生じた場合には、共同利用に関する必要事項を記載して当社ウェブページに掲載し、本人が容易に知りうる状態におく。
また、共同利用会社間で J.8.7(2)の d）に規定されている共同利用に関する事項について契約を締結すること。
J.8.8.1 外国にある第三者への提供の制限（JISQ15001 附属書 A.3.4.2.8.1）(1) 外国にある第三者に個人データを提供する場合、以下のいずれかを満たしていることを確認した上で行う。ただし、J.8.3(2)の a)～d)、又は、J.8.3(3)の j)～l)のいずれかに該当する場合を除く。
a)

あらかじめ外国にある第三者への提供を認める旨の本人の同意がある場合b)

個人データの取扱いについて個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者への提供をする場合

37/57

J-02

c)

個人の権利利益を保護する上で我が国と同等の水準にある外国として個人情報保護委員会規則で定める国・地域にある第三者への提供をする場合(2) 本項(1)の a)によって外国にある第三者に個人データを提供する場合は、あらかじめ、
法令等の定めるところによって、次に掲げる事項について、当該本人に必要な情報を提供した上で同意を得る。
d)

当該外国の名称e)

当該外国における個人情報の保護に関する制度に関する情報f)

当該第三者が講ずる個人情報の保護のための措置に関する情報

g)d)～f)に定める事項が特定できない場合、その旨及びその理由h)g)に該当する場合について、d)～f)の事項に代わる本人に参考となるべき情報がある場合には、当該情報i)g)及び h)に該当する場合であって、情報提供できない場合には、g)及び h)に定める事項に代えて、その旨及びその理由(3) 本項(1)の b)によって外国にある第三者に個人データを提供する場合には、あらかじめ、
法令等の定めるところによって、次に掲げる事項について、必要な措置を講じる。
j)当該第三者による相当措置の実施状況並びに相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容について、適切かつ合理的な方法による
定期的な確認k)

当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データの当該第三者への提供の停止

l)本人の求めを受けた場合には、情報提供することにより当社の業務の適正な実施に著しい支障を及ぼすおそれがある場合を除き、遅滞なく、以下の情報の提供
1) 当該第三者による体制の整備の方法
2) 当該第三者が実施する相当措置の概要
3) j)による確認の頻度及び方法
4) 当該外国の名称
5) 当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要
6) 当該第三者による相当措置の実施に関する支障の有無及びその概要
7) 前号の支障に関して、k)により講ずる措置の概要(4) 本項(3)の l)で、本人の求めに係る情報の全部又は一部について提供しない旨の決定をしたときは、本人に対して、遅滞なく、その旨を通知するとともに、その理由を説明する。
(5) 社内承認の手続き
将来、個人情報を外国にある第三者への提供を行う必要が出た場合に備えて以下の手順

38/57

J-02

を定める。
① 個人データを外国の第三者へ提供（個人情報を委託、共同利用、事業継承を含む）
する場合は予め「J0311A_個人情報取得申請書」に必要事項を記載し、J.8.5(1)のa)～d)、取得方法並びに本項(2)の d)～i)を明記した文面の案を添付し、個人情報保護管理者の承認を得る。
② J.8.3(2)の a)～d)、又は、J.8.3(3)の j)～l)に該当するため通知と同意を要しな「J0311A_個人情報い場合及びその他法令等によって除外事項が適用される場合は、取得申請書」に適用する項目を記載し、個人情報保護管理者の承認を受ける。
(6) 本人からの同意取得方法
本人に文書等により、当該個人情報を外国にある第三者へ提供する必要が生じたことを説明し、作成した同意書様式を送付し同意文書を返送により取得する。
なお、書面で同意を得ることができない場合は、口頭で同意を得ても良いが、同意を得た記録を書面にて残すこととする。
J.8.8.2 第三者提供に係る記録の作成など（JISQ15001 附属書 A.3.4.2.8.2）(1) 当社は、個人データを第三者に提供したときに、法令等の定めるところによって当該個
人データの提供について必要な記録を作成する。ただし、本項(2)に該当する場合を除く。
(2) 次に掲げるいずれかに該当する場合は、記録の作成を要しない。
a) 特定した利用目的の達成に必要な範囲内において、個人データの取扱いの全部又は一部を委託するとき
b) 合併その他の事由による事業の承継に伴って個人データを提供する場合であって、承継前の利用目的の範囲内で当該個人データを取り扱うときc) 個人データを共同利用している場合であって、共同して利用する者の間で、J.8.7に規定する共同利用について契約によって定めているときd) 法令に基づく場合e) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
f) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
g) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることによって当該事務の遂行に支障を及ぼすおそれがあるときh) 個人情報取扱事業者が学術研究機関等である場合であって、個人データの提供が学
術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く｡）

39/57

J-02

i) 個人情報取扱事業者が学術研究機関等である場合であって、個人データを学術研究目的で提供する必要があるとき（個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利を不当に侵害するおそれがある場合を除く｡）（個人情報取扱事業者と第三者が共同して学術研究を行う場合に限る｡）
j) 第三者が学術研究機関等である場合であって、第三者が個人データを学術研究目的で取り扱う必要があるとき（個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く｡）「J0311A_個人情報取得申請書」に第三者(3) 本項(2)の a)～j)いずれかに該当する場合は、提供の目的、相手企業名、適用するただし書きを記載し、個人情報保護管理者の承認を得る。
(4) 第三者提供の記録の保持
個人データを第三者に提供したことに関する個人データを第三者に提供したことに関する記録を作成した場合、個人情報保護管理者の承認を受け、当該記録を必要な期間保管する。
記録に残す内容は以下のとおりとする。

オプトアウトによる第三者提供
本人の同意による第三者提供

提供年月日

第三者
の氏名等

本人
の氏名等

個人データ
の項目

○

○

○

○

○

○

○

本人
の同意

○

なお、
「個人情報の保護に関する法律施行規則」第 19 条により、継続的に若しくは反復して提供を受けた時は、一括して作成することも出来る。また、同第 3 項に該当する場
合は、当該提供に関して作成された契約書その他の書面をもって記録に代えることができる。なお、記録方法、記録媒体、記録事項、保存期間などは「個人情報の保護に関する法律施行規則」の第 20 条および第 21 条によるものとする。また、同第 3 項に該当する場合は、当該提供に関して作成された契約書その他の書面をもって記録に代えることができるものとする。また、記録方法、記録媒体、記録事項、保存期間などは同規則の第 21 条によるものとする。
(5) 個人データを提供したときに、提供先が実施する第三者提供を受ける際の確認等に対し、適切に応じるもととする。
J.8.8.3 第三者提供を受ける際の確認など（JISQ15001 附属書 A.3.4.2.8.3）(1) 当社は、第三者から個人データの提供を受けるに際して、法令等の定めるところによって、必要な確認を行う。ただし、本項(2)に該当する場合を除く。
(2) 第三者から個人データの提供を受けるに際して、確認を要しないのは、以下の場合に限

40/57

J-02

定する
a) 特定した利用目的の達成に必要な範囲内において、個人データの取扱いの全部又は一部を委託されたときb) 合併その他の事由による事業の承継に伴って個人データを提供される場合であって、承継前の利用目的の範囲内で当該個人データを取り扱うときc)

個人データを共同利用している場合であって、共同して利用する者の間で、J.8.7に規定する共同利用について契約によって定めているときd) 法令に基づく場合e) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
f) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
g) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることによって当該事務の遂行に支障を及ぼすおそれがあるときh) 個人情報取扱事業者が学術研究機関等である場合であって、個人データの提供が学
術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く｡）
i) 個人情報取扱事業者が学術研究機関等である場合であって、個人データを学術研究目的で提供する必要があるとき（個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利を不当に侵害するおそれがある場合を除く｡）（個人情報取扱事業者と第三者が共同して学術研究を行う場合に限る｡）
j) 第三者が学術研究機関等である場合であって、第三者が個人データを学術研究目的で取り扱う必要があるとき（個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く｡）(3) 社内承認の手続き① 本項(2)の a)～j) のいずれかに該当する場合は、「J0311A_個人情報取得申請書」に第三者提供を受ける目的、相手企業名、記録を要しない理由に適用するただし書きを記載し、個人情報保護管理者の承認を得る。
(4) 第三者提供受領の記録の保持
第三者提供受領の都度、受領内容を確認し、書面で第三者提供の受領記録を作成し、個人情報保護管理者の承認を受け保管するものとする。
記録に残す内容は以下のとおりとする。

41/57

J-02

オプトアウトによる
第三者提供
本人の同意による
第三者提供
私人などからの
第三者提供

提供を
受けた
年月日

第三者
の
氏名等

取得
の経緯

本人の
氏名等

個人
データ
の項目

○

○

○

○

○

○

○

○

○

○

○

○

○

個人情報 本人の保護委員 同意等
会による
公表

○
○

なお、「個人情報の保護に関する法律施行規則」第 23 条に、継続的に若しくは反復して提供を受けた時は、一括して作成することも出来る。また、同第 3 項に該当する場合
は、当該提供に関して作成された契約書その他の書面をもって記録に代えることができる。なお、記録方法、記録媒体、記録事項、保存期間などは「個人情報の保護に関する
法律施行規則」の第 25 条によるものとする。
(5) 「ＥＵ域内及びイギリス等から十分性認定に基づき提供を受けた個人情報」については、
当該個人情報の提供を受ける際に特定された利用目的を含め、その取得の経緯を確認し、記録すること。また、受領を記録する際に、提供元から特定された利用目的を含めること。
J.8.8.4 個人関連情報の第三者提供の制限など(1) 当社は、個人関連情報を取り扱う場合には、法令等の定めるところによって、適切な取扱いを行う手順を以下の様に定める。
(2) 提供先の第三者が個人関連情報を個人データとして取得することが想定される場合、当該個人関連情報を当該第三者に提供するに際しては、 J.8.3(2)の a)～d)、又は、
J.8.3(3)の j)～l) のいずれかに該当する場合を除き、あらかじめ、次に掲げる事項又はそれと同等以上の内容の事項について、確認を行う。
a)

当該第三者が個人関連情報取扱事業者から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていること。

b)

外国にある第三者への提供にあっては、a)の本人の同意を得ようとする場合において、法令等で定めるところによって、以下の 1)～ 3)に示す事項について、あらか
じめ、当該本人に提供されていること。
1)

当該外国 における個人情報の保護に関する制度

2)

当該第三者が講ずる個人情報の保護のための措置

3)

その他当該本人に参考となるべき情報(3) 個人関連情報を外国にある第三者に提供した場合には、 J.8.8.1 で定めるところによ

42/57

J-02

って、当該第三者による相当措置の継続的な実施を確保するために必要な措置を、契約を締結することなどで、講じる。
(4) 個人関連情報を提供する場合には、以下の事項について、確認の記録を作成、保管する。
①

個人関連情報の提供元の確認の記録事項c)a)で本人の同意を得ている旨及び外国にある個人情報取扱事業者にあっては、
本項(2)b)で本人に情報の提供が行われていることを確認した旨②

d)

個人関連情報を提供した年月日

e)

当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名

f)

当該個人関連情報の項目

個人関連情報の提供先の確認の記録事項g)a)で本人の同意を得られている旨、及び外国にある個人情報取扱事業者にあっては、本項(2)の b)で本人に 情報の提供が行われている旨h)当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名

i)

当該個人データ（個人関連情報）によって識別される本人の氏名その他当該本人を特定するに足りる事項

j)

当該個人関連情報の項目

J.8.9 匿名加工情報(1) 当社では当面の間、匿名加工情報の取扱いを行わない。
(2) 当社は、匿名加工情報を取り扱う場合には、本人の権利利益に配慮し、かつ、法令等の定めるところによって、以下に示す適切な取扱いを行う手順を確立する。
① 当社で匿名加工情報の取扱いを開始する際は、②～⑤遵守事項等の対処方法を社内で定められた稟議書等に記載して、個人情報保護管理者経由で個人情報保護責任者の承認を得るものとする。
② 匿名加工を行う場合は下記の事項を遵守する。
1) 匿名加工情報を作成する場合は下記③の適正な加工を行わなければならない。
2) 匿名加工情報を作成したときは加工方法等の情報の安全管理措置を講じなければならない。
3) 匿名加工情報を作成したときは、当該情報に含まれる情報の項目を公表しなければならない。
4) 匿名加工情報を第三者提供するときは、提供する情報の項目及び提供方法について公表すると共に、提供先に当該情報が匿名加工情報である旨を明示しなければならない。
5) 匿名加工情報を自ら利用するときは、元の個人情報に係る本人を識別する目的
で他の情報と照合することを行ってはならない。
6) 匿名加工情報を作成したときは、匿名加工情報の適正な取扱いを確保するため、

43/57

J-02

安全管理措置、苦情の処理などの措置を自主的に講じて、その内容を公表するように努めなければならない。
③ 匿名加工情報を作成する場合は下記の手順を実施する。
1) 特定の個人を識別することの出来る記述（例：氏名）等の全部又は一部を削除すること。
2) 個人識別符号（マイナンバー、運転免許証番号等）の全部を削除すること。
3) 個人情報と他の情報との連結する符号（例：委託先に渡すために分割したデー
タとひも付ける ID）を削除すること。
4) 特異な記述(例：年齢 116 歳や極少病歴など)を削除すること。
5) 以上のほか、個人情報とデータベースの内の他の個人情報との差異等の性質を勘案し適切な措置を講ずること。
④ 匿名加工情報データベース等を事業の用に供している匿名加工情報取扱事業者が遵守すべき義務等は以下の通りする。
1) 匿名加工情報を第三者提供する時は提供する情報の項目及び提供方法について公表すると共に、提供先に当該情報が匿名加工情報である旨を明示しなければならない。
2) 匿名加工情報を利用するときは、元の個人情報に係る本人を識別する目的で、加工方法等の情報を取得し、又は他の情報と照合することを行ってはならない。
3) 匿名加工情報の適正な取扱いを確保するため、安全管理措置、苦情の処理などの措置を自主的に講じて、その内容を公表するように努めなければならない。
⑤ 匿名加工情報を取り扱っている場合には、その以下の確認の記録を作成、保管する
1) 匿名加工情報の取り扱いを定めた稟議書など
2) 匿名加工情報のもとになる個人情報及び加工方法
3) 匿名加工情報に含まれる情報の項目
4) 匿名加工情報を提供先及び提供方法、時期などの提供に関する項目
5) 苦情があった場合、その内容と対応内容
J.8.10 仮名加工情報(1) 当社は当面の間、仮名加工情報を取り扱わない。
(2) 仮名加工情報を取り扱う場合には、法令等の定めるところによって、適切な取扱いを行う手順を以下のように定める。
①

当社が仮名加工情報の取扱いを行う場合には、以下の②～⑦の遵守事項等の対処方法を社内で定められた稟議書等に記載して、個人情報保護管理者経由で個人情報保護責任者の承認を得るものとする。

②

仮名加工情報を作成する場合には、他の情報と照合しない限り特定の個人を識別することができないようにするために必要なものとして、個人情報保護委員会規則で

44/57

J-02

定める基準に従い、個人情報を加工する。
1) 個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除する。（当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）
2) 個人情報に含まれる個人識別符号の全部を削除する。（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）
3) 個人情報に含まれる不正に利用されることにより財産的被害が生じるおそれがある記述等を削除する。（当該記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）③ 仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等を取得したときは、削除情報等の漏えいを防止するために必要なものとして個人情報保護委員会規則定める基準に従い、削除情報等の安全管理のための措置を講じる。
1) 個人情報保護管理者が任命した担当者が、削除情報等を取り扱う。
2) 削除情報等の取扱いは、本規定及び「J-03_安全管理措置規定」に基づいて取り扱うものとする。
3) 削除情報等の取扱う担当者は、J.6.1に基づき、削除情報などの取扱い状況を確認し、個人情報保護管理者に報告するものとする。
4) 削除情報等の取扱う担当者及び個人情報保護管理者は、J.6.1に基づき確認した際に、不備、不適合を発見した場合は、J.7.1に基づき是正処置を行う。
④ 仮名加工情報を利用する場合には、以下を実施すること。
a) 利用目的をできる限り特定し、法令に基づく場合を除くほか、 その目的の達成に必要な範囲内において行う。
b) あらかじめその利用目的を公表している場合及び法令に基づく場合を除き、速やかに、その利用目的を公表する。
c) 仮名加工情報を取り扱うに当たっては、当該仮名加工情報の作成に用いられた
個人情報に係る本人を識別するために、当該仮名加工情報を他の情報と照合しない。
d) 電話をかけ、郵便若しくは信書便により送付し、電報を送達し、ファクシミリ
装置若しくは電磁的方法を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用しない。
⑤ 仮名加工情報を提供する場合には、以下の場合を除き、仮名加工情報である個人データを第三者に提供を行わない。
e) 仮名加工情報の取扱いの全部又は一部を、J.9.4 と同等の措置を講じたうえで委託する場合

45/57

J-02

f) 仮名加工情報が特定の者との間で共同して利用され、共同して利用する者が、既に共同して利用する場合（ J.8.5 (1)の a)～ f) に示す事項又はそれと同等以上の内容の事項を明示又は通知し、本人の同意を得ている場合であって、以下の 1)～ 6) に示す事項又はそれと同等以上の内容の事項を、あらかじめ、
本人に通知し、又は本人が容易に知り得る状態に置く場合）
1) 共同して利用すること
2) 共同して利用される仮名加工情報の項目
3) 共同して利用する者の範囲
4) 共同して利用する者の利用目的
5) 共同して利用する仮名加工情報の管理について責任を有する者の氏名又は名称及び住所、法人にあっては、その代表者の氏名
6) 取得方法g) 合併その他の事由による事業の継承に伴って仮名加工情報を提供する場合
h) 法令に基づく場合(3) 仮名加工情報の取扱いに関する苦情の適切かつ迅速な対応を行う。
苦情の対応に関してはJ.11.1に準ずる。
(4) 仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞なく消去する。

J.9 適正管理J.9.1 正確性の確保（JISQ15001 附属書 A.3.4.3.1）(1) 当社は、利用目的の達成に必要な範囲内において、個人データを、正確、かつ最新の状態で管理するものとする。
(2) 当社は、個人データを利用する必要がなくなったときは、当該個人データを遅滞なく消去することを含む管理を、規定に基づいて適切に行うものとする。
(3) 当社では個人データの入出力管理時に以下の対策を行う① 情報システムへの個人データの入力処理を行う者は、業務責任者の説明と指導を受ける。
② 入力の際は誤りの無いよう入力者又は別の担当者が入力データを見直し、誤入力チ
ェックを行うなど、常に正確性の確保に努める。
③ 他帳票に個人データを転記する場合には、転記後に誤記載がないか確認をおこない、
常に正確性の確保に努める。
④ 情報システムからの出力情報の正確性を確保するとともに、出力情報の不正使用を防止し、出力データの取扱いについて適正かつ厳重な管理を行う。
⑤ 電話など、音声で情報を取得する場合には、復唱するなどして、聞き取り間違いの対策をおこなう。

46/57

J-02

(4) 当社は、以下の内容で個人情報・個人データを保管する。
① 既存の個人情報・個人データは「J0311B_個人情報管理台帳」に、新種の個人情報・個人データは「J0311A_個人情報取得申請書」に保管期限を記入し、個人情報保護管理者の承認を得る。
② 保管期限を決める際は、下表を参考にする。法令によるものはそれに従う。
③ 保存期限終了後、当該個人情報・個人データは遅滞なく消去・廃棄するものとする。
記入例
退職後速やかに取得後 6 ヶ月間以内
取得後１年間
法定起算日から 3 年間
法定起算日から 5 年間

内容（選択の基準と例）
個人番号（マイナンバー）申請書類
なお、以下に示す書類に個人番号が記載されている場合には、各書類の法定保管期間となる。
アンケート等イベント的に取得した個人情報等
定めのないもので、1 年間を目途に見直すもの等
労働関係に関する重要な書類等
勤怠記録、勤務評定や教育訓練に関する書類等

法定起算日から 5 年間

健康診断書、ストレスチェック結果

法定起算日から 5 年間

身元保証書、誓約書など

法定起算日から 7 年間取引に関する帳簿や会社の請求書・見積書・納品書、扶養控除等（異動）申告書、源泉徴収票・支払調書など
従業員の履歴書等
取引先との業務内容に関する契約書等
委託先との個人情報の取扱いに関する契約書
委託先との特定個人情報の取扱いに関する契約書

退職後 3 年
契約更新後 3 年間
個人情報の保管中

J.9.2 安全管理措置（JISQ15001 附属書 A.3.4.3.2）(1) 当社は、個人情報保護管理者を通じて、その取り扱う個人情報のリスクに応じて、漏えい、滅失又はき損の防止その他の個人情報の安全管理のために必要、かつ、適切な措置を講じるものとする。
「J-03_安全管理措置規定」に定める。
(2) 安全管理措置の詳細は、
J.9.3 従業者の監督（JISQ15001 附属書 A.3.4.3.3）(1) 当社の従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対し必要、かつ、適切な監督を行うものとする。
(2) 従業者との雇用契約に、個人情報の非開示契約として、従業者から「J0930A_秘密保持誓約書」を取得する。なお、「J0930A_秘密保持誓約書」には、雇用契約等の終了後においても非開示条項が一定期間有効である旨を定める。
(3) フィルタリングとオンラインモニタリング
従業者の業務に関連のないウェブサイトへのアクセスを制限するフィルタリングを実施することが出来る。
また、社内の安全管理のためにオンラインモニタリングを実施することが出来る。その

47/57

J-02

際は、モニタリングの目的を特定し、従業者に通知する。
(4) 内部規定違反時の罰則
J.4.5.4 の内部規定及び当社の PMS の運用内容に対する違反の疑いが生じた場合には、個人情報保護管理者の指示の下、調査と確認を行う場合は従業者に通知した上で実施する。
調査と確認の結果、違反の事実が明白となった場合には、その影響と損失の度合いに応「就業規則」（又は、従業員代表の合意した罰則規定）に則り、懲戒等を行うものとじ、する。
(5) 派遣社員等については、派遣事業者との契約に基づいて責任を負わせるものとする。
J.9.4 委託先の監督（JISQ15001 附属書 A.3.4.3.4）(1) 当社は、個人データの取扱いの全部又は一部を委託する場合、十分な個人データの保護水準を満たしている者を選定するための委託先選定基準を確立し、委託先を選定する。
(2) 個人データの取扱いの全部又は一部を委託する場合に委託を受ける者を選定する基準を以下の手順で定める。
① 個人情報保護管理者は、委託業務担当部門の責任者と協議し、委託業務の性格、委託先の業種、必要性、および業者の信用度等を勘案し、評価項目を決定する。
具体的な選定項目は「J0940B_個人データ委託先審査票」に定める。なお、「J0940B_個人データ委託先審査票」の評価の項目は、業種により必須項目を決定する。
② ①で定めた当社の取引先資格要件の水準は、個人情報の取扱いに関する法令等の改正状況や社会情勢の変化、技術の進歩等を考慮し、当該取引に関与する部門の責任者及び個人情報保護管理者の協議に基づき、毎年「J0330A_個人情報保護マネジメ
ントシステム業務年間計画書」に定めた時期に見直す。
(3) 委託先の選定① 個人データの取扱いの全部又は一部を委託する場合、業務委託部門の責任者は、委託先候補企業の管理体制について「J0940B_個人データ委託先審査票」で評価し、個人情報保護管理者の承認を得る。
② 評価の結果、基準点に達しない委託先でも、特別なノウハウを保持している委託先や、長年の実績で信用がある委託先については、例外として「J0940B_個人データ
委託先審査票」の特記事項にその旨を記載し、個人情報保護管理者の承認（内容によっては代表者の承認）を得れば委託することが出来る。
③ なお、クラウドサービスにおいて「J0940B_個人データ委託先審査票」で評価が難「J0940C_クラウドチェックシート」を用いることでも可とする。
しい場合には、④ ①で選定した委託先は、「J0940A_個人データ委託先管理台帳」に記載し管理する。
⑤ 選定した委託先とは本項(4)、(5)に基づき、個人情報などの取扱いに関して契約を

48/57

J-02

締結する。
⑥ 全ての委託先を毎年「J0330A_個人情報保護マネジメントシステム業務年間計画書」に定めた時期に、「J0940B_個人データ委託先審査票」または「J0940C_クラウドチ
ェックシート」を用いて再評価を行い個人情報保護管理者の承認を得る。
(4) 委託先との覚書による契約① 当社は、個人データの委託先と、特定した利用目的の範囲内で委託する目的、業務範囲、委託内容、及び以下の項目を含む契約を「J0940D_個人データ取扱いの委託に関する覚書」にて締結し、十分な個人データの保護水準を担保する。
a) 委託者及び受託者の責任の明確化
b) 個人データの安全管理に関する事項
c) 再委託に関する事項
d) 個人データの取扱状況に関する委託者への報告の内容及び頻度e) 契約内容が遵守されていることを委託者が，定期的に，及び適宜に確認できる事項
f) 契約内容が遵守されなかった場合の措置
g) 事件・事故が発生した場合の報告・連絡に関する事項h) 契約終了後の措置②

個人番号、特定個人情報に関する委託を行う際は、特定した利用目的の範囲内で委託する目的、業務範囲、委託内容、上記①の a)～h)の内容及び個人情報保護委員」に定めら会の「特定個人情報の適正な取扱いに関するガイドライン（事業者編）
れた下記の事項など含んだ「J0940E_特定個人情報取扱いの委託に関する覚書」などを締結し、十分な保護水準を担保する。
この契約は、法令等で情報の機密保持定めている士業等に対しても必要である。
a)

秘密保持義務b)

事業者内からの特定個人情報の委託業務以外での持ち出しの禁止

c)

特定個人情報の目的外利用の禁止d)

再委託における条件

e)

漏えい事案等が発生場合の委託先の責任f)

委託契約終了後の特定個人情報の返却または廃棄g)

従業者に対する監督･教育h)

契約内容の遵守状況について報告を求める規定③ 委託する業務に関して、法令等で情報の機密保持定めている士業等の場合は、特定個人情報の取扱いがない場合に限り、上記①で定めた契約（覚書）の締結は行わな
くても良い。
④

委託先のサービスを利用するケースで、上記で定めた内容での選定評価及び契約や覚書を個々に締結できない場合には、法的に有効な当該委託先企業の利用するサー

49/57

J-02

ビス約款・利用規約等で個人データの管理状況を確認し、「J0940B_個人データ委託先審査票」の特記事項にその旨を記載し、また、「J0940A_個人データ委託先管理台帳」の“契約等の締結状況”欄に記載し、個人情報保護管理者の承認を得れば委託することが出来るものとする。なお、この場合は約款や利用規約が委託先の都合での変更に対応するため、定期的に内容を確認することとする。
(5) 当該部門の部門管理者は、当該契約書などの書面を個人データの保管期間にわたって保管する。
(6) 再委託する場合の委託元に対する承認
受託した個人情報に関する業務を再委託する場合には、委託元に対して、書面で承認を得る。
(7) 委託先の確認
委託契約に基づき、定期的に個人情報の取扱い状況の報告を得るなど、委託先を適切に監督するものとする。

J.10 個人情報に関する本人の権利
J.10.1 個人情報に関する権利（JISQ15001 附属書 A.3.4.4.1）(1) 当社は、本人から開示等の請求等を受け付けた場合、J.10.4 ～J.10.7 の規定によって、遅滞なくこれに応じる。
(2) 当社は、J.8.8.2 及び J.8.8.3 で作成した第三者提供記録に関して、本人から開示等の請求等を受けた場合、J.10.5 の規定によって、遅滞なくこれに応じる。
(3) 保有個人データ又は第三者提供記録の条件を満たすが、開示等の対象として取り扱わない場合は以下の場合と定めていること。
a) 保有個人データ又は第三者提供記録の存否が明らかになることによって、本人又は第三者の生命、身体又は財産に危害が及ぶおそれのあるものb)

保有個人データ又は第三者提供記録の存否が明らかになることによって、違法又は不当な行為を助長する、又は誘発するおそれのあるもの

c) 保有個人データ又は第三者提供記録の存否が明らかになることによって，国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれのあるもの
d) 保有個人データ又は第三者提供記録の存否が明らかになることによって、犯罪の予防、鎮圧又は捜査その他の公共の安全及び秩序維持に支障が及ぶおそれのあるもの(4) 上記の例外を適用する場合には、部門管理者が「J0311A_個人情報取得申請書」にその旨を記載し、個人情報保護管理者の承認を得る。
J.10.2 開示等の請求等に応じる手続（JISQ15001 附属書 A.3.4.4.2）(1) 当社は、保有個人データ又は第三者提供記録の開示等の請求等に応じる手続として以下

50/57

J-02

の事項を定める。
a) 開示等の請求等の申し出先b) 開示等の請求に際して提出すべき書面の様式とその他の開示等の請求の方式
c) 開示等の請求をする者が、本人又は代理人であることの確認の方法
d) J.10.4 又は J.10.5 による場合の手数料（定めた場合に限る。）の徴収方法(2) (1)の手続きを定めるに当たっては、本人の過重な負担を課するものとならないよう配慮する。
(3) 当社は、J.10.4 又は J.10.5 によって本人からの請求などに応じる場合に手数料を徴収するときは、実費を勘案して合理的であると認められる範囲内において、その額を定めるものとする。
(4) 開示等の請求に応じる詳細は以下の通りとする。
① 開示等の請求の申し出先本人からの開示等の請求の申出先は、苦情・相談窓口責任者とする。
② 開示等の請求に際して提出すべき書面の様式
本人には、「J1020A_個人情報開示等請求書」の提出を依頼する。
③ 本人又は代理人であることの確認方法
a) 個人情報の開示等の請求に応じる場合の本人確認
以下の本人確認書類のいずれかの写しを同封することとする（本籍地の情報は
都道府県のみとして、その他は黒塗りで収集するものとする）。
・運転免許証・マイナンバーカード（表面）・その他本人確認できる写真入りの公的証明書b) 代理人による開示等の請求の場合
代理人による開示等の請求の場合、代理権が確認できる下記 1)の書類の写しいずれか及び代理人自身を証明する 2)の書類の写しのいずれかを必要とする。
1) 代理人である事を証明する書類＜開示等の請求をすることにつき本人が委任した代理人の場合＞‐本人の委任状＜代理人が未成年者の法定代理人の場合＞‐戸籍謄本‐登記事項証明書‐その他法定代理権の確認ができる公的書類＜代理人が成年被後見人の法定代理人の場合＞‐後見登記等に関する登記事項証明書‐その他法定代理権の確認ができる公的書類
2) 代理人自身を証明する書類（本籍地の情報は都道府県のみとして、その他

51/57

J-02

は黒塗りで収集するものとする。）‐運転免許証‐マイナンバーカード（表面）‐その他本人確認できる写真入りの公的証明書④ 開示等の請求の手数料および徴収方法
利用目的の通知の請求及び開示の請求に関しては、郵送料等として請求内容１件につき、手数料として、１，０００円分の郵便定額小為替を請求書類の郵送時に同封してください。
J.10.3 保有個人データ又は第三者提供記録に関する事項の周知など（JISQ15001 附属書 A.3.4.4.3）(1) 当社は、保有個人データに関し、次の事項を本人が知り得る状態（本人の請求などに応じて遅滞なく回答する場合を含む）に置く。
a) 当社の名称及び住所、法人にあっては、その代表者の氏名b) 個人情報保護管理者（若しくは代理人）の氏名又は職名、所属及び連絡先c) 全ての保有個人データの利用目的（J.8.4(2)の a)～c)に該当する場合を除く）
d) 保有個人データの取扱いに関する苦情の申し出先e) 当社が認定個人情報保護団体の対象事業社である場合は、当該認定個人情報保護団
体の名称及び苦情の解決の申出先f) J.10.2 によって定めた手続きg) 保有個人データの安全管理のために講じた措置（本人の知り得る状態に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。）(2) 本人が知り得る状態とする方法① (1)の a)～g)の事項については、当社ウェブページにて公表することとする。
② 本人からの求めがあった場合には苦情・相談窓口責任者が応じることとし、遅滞なく文書にて送付することとする。
J.10.4 保有個人データの利用目的の通知（JISQ15001 附属書 A.3.4.4.4）(1) 本人から、当該本人が識別される保有個人データについて利用目的の通知を求められた場合には、遅滞なくこれに応じるもととする。ただし、本項(2)に該当する場合を除く。
(2) 本人から、当該本人が識別される保有個人データについて、利用目的の通知を求められた場合であって、利用目的の通知を必要としないのは以下の場合に限定する。
‐J.8.4 (2)の a)～c)のいずれかに該当する場合‐J.10.3 (1)の c)によって当該本人が識別される保有個人データの利用目的が明らかな場合
なお、上記内容で請求に応じない場合は、本人に遅滞なくその旨を通知するとともに、

52/57

J-02

理由の説明を行う。
(3) 利用目的の通知を求められた際の対応手順
保有個人データについて利用目的の通知を求められた場合、原則として本人から「J1020A_個人情報開示等請求書」を提出してもらい、その記載内容に基づいて以下の通り処理を実施する。
①

保有個人データを調査の上、必要事項を確認する。

②「J1110A_個人情報対応記録」に必要事項を記入する。

③

苦情・相談窓口責任者と個人情報保護管理者で対応を協議し、本人への回答内容を立案する。但し、本項(2)に該当する場合で、利用目的通知の求めに応じない場合、「J1110A_個人情報対応記録」に記入する。
その理由の説明について立案し、④

上記③について、個人情報保護管理者の承認を得る。

⑤

利用目的についての本人への回答（求めに応じない場合はその旨の回答と③で立案した理由の説明）は、以下のいずれかの適切な方法を選択し行う。
a) 登録されている本人住所に回答文面を郵送する。
b) 登録されている本人の FAX 番号に回答文面を FAX する。
c) 登録されている本人のＥメールアドレスに回答文面をメールする。
d) 登録されている本人の電話番号に電話をかけ、口頭にて回答する。

J.10.5 保有個人データ又は第三者提供記録の開示（JISQ15001 附属書 A.3.4.4.5）(1) 本人から、当該本人が識別される保有個人データ又は第三者提供記録の開示の請求を受けた場合、法令によって特別の手続が定められている場合を除き、本人に対し、遅滞なく、電磁的記録の提供も含めて当該本人が指定した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）によって開示するものする。ただし、本項(2)に該当する場合を除く。
(2) 本人から、当該本人が識別される保有個人データ又は第三者提供記録の開示の請求を受けた場合であって、全部又は一部の開示を必要としないのは以下の場合に限定する。
a)

本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合b)

当社の業務の適正な実施に著しい支障を及ぼすおそれがある場合

c) 法令に違反する場合
なお、上記内容で請求に応じない場合は、本人に遅滞なくその旨を通知するとともに、理由の説明を行う。
(3) 本項(1)の当該本人が指定した方法について、当該方法による開示が困難であるとして、書面での交付とした場合、もしくは、本項(2)の各事由のいずれかに該当する場合、本人に遅滞なくその旨を通知するとともに、理由を説明する。
(4) 開示を求められた場合の対応手順
開示を求められた場合、原則として本人から「J1020A_個人情報開示等請求書」を提出

53/57

J-02

してもらい、その記載内容に基づいて以下の通り処理を実施する。
① 保有個人データ又は第三者提供記録を調査の上、必要事項を確認する② 「J1110A_個人情報対応記録」に必要事項を記入する。
③ 苦情・相談窓口責任者と個人情報保護管理者で対応を協議し、本人への回答内容を立案する。但し、本項(2)の a)～c)に該当する場合で開示の求めに応じない場合、「J1110A_個人情報対応記録」に記入する。
その理由の説明について立案し、④ 上記③の記入内容について、個人情報保護管理者の承認を得る。
⑤ 開示についての本人への回答（求めに応じない場合はその旨の回答と③で立案した理由の説明）は、本項(3)に示す場合を除き、当該本人が指定した方法にて行う。
本項(3)に示す場合は、書面で郵送する。
J.10.6 保有個人データの訂正、追加又は削除（JISQ15001 附属書 A.3.4.4.6）(1) 本人から、当該本人が識別される保有個人データの内容が事実でないという理由によって当該保有個人データの訂正、追加又は削除（以下、この項において“訂正等”という。
）の請求を受けた場合は、法令の規定によって特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づいて、当該保有個人データの訂正等を行うものとする。
(2) 訂正等を行ったときは、その旨及びその内容を、本人に対し、遅滞なく通知し、訂正等を行わない旨の決定をしたときは、その旨及びその理由を、本人に対し遅滞なく通知する。
(3) 訂正等を行う際、及び訂正等を行わない旨を決定した際の手順
訂正等は、原則として本人から「J1020A_個人情報開示等請求書」を提出してもらい、その記載内容に基づいて、以下の通り処理を実施する。
① 訂正内容、訂正目的、保有する現データとの違いを確認し、必要な訂正事項を確認する。また、訂正等を行わないと決定した場合はその旨を確認する。
② 「J1110A_個人情報対応記録」に必要事項を記入する。
③ 苦情・相談窓口責任者と個人情報保護管理者で対応を協議し、本人への回答内容（訂正等を実施しない場合を含む）を立案する。その際、法令の規定によって特別の手続きが定められている場合はその旨を立案し、また、訂正等を行わないと決定「J1110A_個人情報対応記録」に記入する。
したときも、その旨及び理由を立案し、① 上記③について、個人情報保護管理者の承認を得る。
④ 訂正等についての本人への回答は J.10.4(3)の⑤に準じて行う。
J.10.7 保有個人データの利用又は提供の拒否（JISQ15001 附属書 A.3.4.4.7）(1) 本人から、当該本人が識別される保有個人データの利用停止等（利用の停止、消去又は第三者への提供の停止）の請求に応じるものとする。ただし、本項(3)に該当する場合

54/57

J-02

を除く。
(2) 本人からの当該本人が識別される保有個人データの利用停止等の請求に応じた場合、遅滞なくその旨を本人に通知する
本人からの当該本人が識別される保有個人データの利用停止等の請求に応じなかった場合は J.10.5(2)の a)～c)に該当する場合に限定する。
なお、上記内容で請求に応じない場合は、本人に遅滞なくその旨を通知するとともに、理由の説明を行う。
(3) 利用停止等を求められた場合の処理手順
利用停止等を求められた場合、原則として本人から「J1020A_個人情報開示等請求書」を提出してもらい、その記載内容に基づいて、以下の通り処理を実施する。
① 保有する現データと利用目的、提供先等を確認し、依頼の妥当性を確認する。
② 「J1110A_個人情報対応記録」に必要事項を記入する。
③ 苦情・相談窓口責任者と個人情報保護管理者で対応を協議し、本人への回答内容を立案する。但し、J.10.5(2)の書き a)～c)に該当する場合で利用停止等の求めに応「J1110A_個人情報対応記録」に記入
じない場合、その理由の説明について立案し、する。
④ 上記③について、個人情報保護管理者の承認を得る。
⑤ 利用停止等についての本人への回答（求めに応じない場合はその旨の回答と③で立案した理由の説明）は、J.10.4(3)の⑤に準じて行なう。

J.11

苦情及び相談への対応

J.11.1 苦情及び相談への対応（JISQ15001 附属書 A.3.6）(1) 苦情相談窓口責任者は、個人情報の取扱い及び個人情報保護マネジメントシステムに関して、本人からの苦情及び相談を受け付けた場合、適切、かつ迅速な対応を行うものとする。
(2) 個人情報保護管理者は、上記の目的を達成するために、苦情相談窓口責任者及び必要な体制の整備を行う。
(3) 苦情及び相談への対応の詳細は以下の通りとする。
① 体制a) 苦情及び相談には、苦情相談窓口が対応する。苦情相談窓口責任者は、苦情相談窓口を統括する。
b) 苦情及び相談の受付窓口をウェブページで公表する。
c) 認定個人情報保護団体の対象事業者の場合は、当該団体の苦情解決の申し出先もウェブサイトで公表する。
② 対応手順a) 苦情及び相談の受け付け

55/57

J-02

受付者は、苦情及び相談の内容を「J1110A_個人情報対応記録」に記入する。
b) 電話の場合、受付者は問い合わせ内容等を確認したら、一旦電話を切り、苦情相談窓口責任者に報告する。
なお、具体的な本人が特定できる苦情や相談の場合には、できるだけ、苦情申立者又は相談者の本人確認を行う。
c) 苦情相談窓口責任者は、事業への影響度を含めて苦情等の内容を代表者および個人情報保護管理者に報告する。
d) 問合せ内容に応じて、苦情相談窓口責任者は関連部門と協議を行い、回答方針
案を作成する。
e) 回答内容について、個人情報保護管理者の承認を得た上で、J.10.4(3)⑤ a)～d)の方法で速やかに本人へ連絡する。
f) 苦情相談窓口責任者は、苦情や相談の内容と対応結果を、代表者および個人情報保護管理者に報告する。
③ 処理結果の記録
苦情・相談等の対応結果は、「J1110A_個人情報対応記録」に記録し、苦情・相談窓
口責任者が保管する。
④ 苦情の処理が終わった後、本規定 J.7.1（不適合及び是正処置）に基づき、再発防止のため苦情の根本原因を明確にし、必要に応じ是正処置を実施することとする。

J.12

雑則

J.12.1 改廃
本規定の改廃は、個人情報保護管理者によって起案され、個人情報保護責任者によって承認されるものとする。
附則
本規定の施行日は、２０２３年４月１日とする。

56/57

J-02

IOS-M-007㈱イカイ
アウトソーシング

個人情報保護規定

全 57 頁

改定日

第7版
2023.4.1

改
版数

改訂日

訂

履

歴

ページ

改訂概要

１

２０１０．４．１

新規制定

２

２０１３．４．１

全

全面見直し

３

２０１６．４．１.

全全面見直し改訂

４

２０１７．４．１

5

新規追加（第１０条）

５

２０１８．４．１

１

組織改編のため、配布先の変更

６２０２０．１０．１

全７

２０２３．４.１

全

全 面 見 直 し 改 訂 （ JIS Q 15001 対
応）
JIPDEC 公表のプライバシーマークにおける個人情報保護マネジメントシ
ステム構築・運用指針に基づき全面
改訂

57/57