個人情報管理規程
| （目 的） | |
| 第１条 | この規程は、社会福祉法人イエス団における個人情報の適性な取扱いに関し、役職員が遵守すべき事項を定め、個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする。 |
| （適用範囲） | |
| 第２条 | この規程は、当法人のすべての役職員に適用する。ボランティア、実習生等当法人に属さないスタッフに対しても本規程の趣旨を踏まえた適切な取扱いを求めるものとする。また、個人情報を取り扱う業務を第三者に委託する場合には、委託先の第三者にも遵守させるよう努めるものとする。 |
| （用語の定義） | |
| 第３条 | この規程において、各項目の定義は次のとおりとする。
(１)個人情報
(２)個人情報データベース等 ① 特定の個人情報をコンピュータを用いて検索することができるように体系的に構成 したもの ② 紙面で処理した個人情報を一定の規則に従って整理し、特定の個人情報を容易に 検索することができるように、目次、索引、符号等を付けて体系的に構成したもの
(３)個人情報取扱事業者
(４)個人データ
(５)保有個人データ
(６)本人
(７)役職員 |
| （プライバシーポリシーの制定と公表） | |
| 第４条 | 当法人は、個人情報保護方針を定め、これを実施する。 |
| ２ | 当法人は、個人情報保護方針をプライバシーポリシーとして、文書等で各施設の役職員に周知徹底させるとともに、法人のウェブ上に公表する。 |
| ３ | 各施設は、プライバシーポリシーを定め、これを実施する。 |
| （規程の改定） | |
| 第５条 | 個人情報保護法、監督官庁のガイドライン等の変更及びその他必要性に応じて、本規程を改定するものとする。 |
| （個人情報管理体制の構築） | |
| 第６条 | 当法人は、各施設ごとに個人情報の安全管理のための組織体制を定める。その権限及び責任は、本規程その他個人情報に関する規定に定めるものとする。 |
| （個人情報管理責任者） | |
| 第７条 | 理事長は、施設長を個人情報の安全管理のための総責任者として、個人情報管理責任者に任命し、以下の業務を行わせるものとする。
(１)個人情報安全管理措置に関する事項 (２)役職員の監督に関する事項 (３)委託先の監督に関する事項 (４)危機管理に関する事項 (５)個人情報の教育、研修に関する事項 (６)苦情受付担当者からの報告徴収に関する事項 (７)その他個人情報の安全管理に関する事項全般 |
| （苦情受付担当者） | |
| 第８条 | 個人情報の取り扱いに関する苦情や相談を適切かつ迅速に解決するために、対応する相談窓口を各施設に常設し、当該相談窓口の連絡先を公表するものとする。 |
| ２ | 施設長は、前項の相談窓口の担当者として、職員の中から苦情受付担当者を１名任命するものとする。 |
| （安全管理措置） | |
| 第９条 | 当法人は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のために必要な措置として、次に掲げる適切な措置を講じるものとする。
(１)個人情報保護に関する規程の整備及び公表 (２)個人情報保護推進のための組織体制等の整備 (３)個人データの漏えい等の問題が発生した場合等における報告連絡体制の整備 (４)雇用契約締結時における個人情報保護に関する規程の整備 (５)職員等に対する教育研修の実施
(６)物理的安全管理措置
(７)技術的安全管理措置 (８)個人データの適切な保存 (９)不要となった個人データの廃棄及び消去 |
| （職員の教育研修） | |
| 第10条 | 施設長は、職員に対し、継続的に個人情報に関する教育研修を実施する。また、個人データを取り扱わせる職員に対し、個人データの安全管理のために必要かつ適切な監督を行うものとする。 |
| ２ | 職員は、前項の教育研修に参加しなければならない。 |
| （役職員の責務） | |
| 第11条 | 役職員は、各施設の事業に従事するにあたり、個人情報保護法、本規程その他の社内規程を遵守しなければならない。 |
| （委託先に対する安全管理措置） | |
| 第12条 | 施設長は、個人情報を委託する場合の委託先の選定基準を定める。 |
| ２ | 施設長は、個人情報の委託先の選定基準及び個人情報の安全管理に関する報告徴収の結果等により、委託先の選定の見直しを実施する。 |
| ３ | 施設長は、個人情報を委託するときは、個人情報に関する権利義務を明確にし、個人 情報の安全管理に関する事項を契約条項に盛り込む方法、又委託先に対して随時個人 情報の安全管理に関する報告徴収を行う方法等により、委託先の個人情報の安全管理に関する監督を行うものとする |
| （個人情報の取得原則） | |
| 第13条 | 個人情報を取得するときには、その利用目的を具体的に特定して明示し、適法かつ適正な方法で行うものとし、窃取、脅迫、偽りその他不正な手段により取得してはならない。 ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合には、利用目的を具体的に特定して明示することなく、個人情報を取得できるものとする。 |
| ２ | 下記のセンシティブ情報及び本人識別情報でプライバシーの侵害のおそれのある情報は原則として取得してはならない。ただし、これらの情報を取得する事業上の必要性があり、かつ、あらかじめ本人の明確な同意がある場合、又は法令の規定による場合はこの限りではない。
(１)思想、信条及び宗教に関する事項 (２)人種、民族、門地、本籍地、身体、精神障 害、犯罪歴、その他社会的差別の原因 となる事項 (３)勤労者の団結権、団体交渉及びその他団体行動の行為に関する事項 (４)集団示威行為への参加等、その他の政治的権利行使に関する事項 (５)保険医療に関する事項 |
| （利用目的の公表） | |
| 第14条 | 個人情報を取得したときには、あらかじめその利用目的を公表している場合を除き、速やかにその利用目的を本人に通知又は公表するものとする。ただし、次の各号のいずれかに該当する場合には、本人に通知または公表しなくてもよいものとする。
(１)利用目的を本人に通知又は公表することによって、本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがあるとき (２)利用目的を本人に通知又は公表することによって、当法人の権利又は正当な利益を害するおそれがあるとき (３)国の機関又は地方公共団体が 法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知又は公表することによって、当該事務の遂行に支障を及ぼすおそれがあるとき (４)取得の状況からみて利用目的が明らかであると認められるとき |
| ２ | 本人との間で契約を締結することに伴い契約書その他の書面（電子的方式、磁気的方式、その他人の知覚によっては認識することができない方式で作られる記録を含む。）に記載された当該本人の個人情報を取得する場合、その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合はこの限りでない。 |
| （利用範囲） | |
| 第15条 | あらかじめ本人の同意を得ることなく、特定した利用目的を超えて個人情報を取り扱ってはならないものとする。 |
| ２ | 前項の規定にかかわらず、次の各号のいずれかに該当する場合には、あらかじめ本人の同意を得ることなく、特定した利用目的の範囲を超える必要かつ合理的な範囲において、個人情報を取り扱うことができるものとする。
(１)法令に基づくとき (２)人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき (３)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき (４)国の機関若しくは地方公共団体 又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき |
| （利用目的の変更） | |
| 第16条 | 利用目的を変更しようとする場合は、従前の目的と比較して相当な関連性を有すると合理的に認められる範囲を超えた変更を行ってはならない。また、利用目的を変更する場合は本人に通知し、又は公表しなければならない。 |
| （第三者提供の制限） | |
| 第17条 | 次の各号のいずれかに該当する場合を除き、あらかじめ本人の同意を得ることなく、個人データを第三者に提供してはならない。
(１)法令に基づくとき (２)人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき (３)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき (４)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき |
| ２ | 次に掲げる場合において、当該個人データの提供を受ける者は、前項の第三者に該当しないものとする。
(１)当法人が利用目的の達成に必要な範囲内において個人データの取り扱いの全部又は一部 を委託する場合。 (２)合併その他の事由による事業の承継に伴って個人データが提供される場合。 (３)個人データを特定の者との間で共同して利用する場合。 |
| （共同利用） | |
| 第18条 | 個人データを第三者と共同で利用しようとする場合、以下の事項をあらかじめ本人に通知するか、又は本人が容易に知り得る状態に置くとともに、共同利用する第三者にも同様の措置を講じさせなければならない。なお、利用目的又は個人データの管理について責任 を有する者の氏名若しくは名称を変更する場合には、変更する内容について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くものとする。
(１)個人データを特定の者との間で共同して利用する旨 (２)共同利用される個人データの項目 (３)共同して利用する者の範囲 (４)利用する者の利用目的 (５)個人データの管理について責任を有する者の氏名又は名称 |
| （適正管理） | |
| 第19条 | 当法人は、利用目的の達成に必要な範囲内において、常に個人データを正確かつ最新の内容に保つよう努めるものとする。 |
| ２ | 利用目的に関して保有する必要のなくなった個人データについては、６月を超えて保有することのないよう、確実かつ速やかに消去することとする。 |
| （公表義務） | |
| 第20条 | 当法人は、保有個人データに関して、以下の事項を公表する。
(１)当法人の名称、住所及び代表者の氏名並びに各施設の名称 (２)すべての保有個人データの利用目的（取得に際して、通知等の例外に該当する場合を除く。） (３)保有個人データの利用目的の通知、開示、内容の訂正、追加又は削除、利用の停止又は消去、第三者への提供の停止の手続及び開示等に係る手数料の定め (４)個人データの安全管理のために講じた措置（本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。） (５)保有個人デー タの取り扱いに関する苦情の申出先 |
| （保有個人データの利用目的の通知） | |
| 第21条 | 本人から、当該個人が識別される保有個人データの利用目的の通知を求められたときは、次の各号のいずれかに該当する場合を除き、その利用目的を本人に通知しなければならない。また、通知しない旨を決定したときは、遅滞なくその旨を通知しなければならない。
(１)保有個人データを本人の知り得る状態に置いていることにより保有個人データの利用目的が明らかなとき (２)利用目的を本人に通知又は公表することによって、本人又は第三者の生命、身体、財産その他の権利や利益を害するおそれがあるとき (３)利用目的を本人に通知又は公表することによって、当法人の権利又は正当な利益を害するおそれがあるとき (４)国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知又は公表することによって、当該事務の遂行に支障を及ぼすおそれがあるとき |
| （保有個人データの開示） | |
| 第22条 | 本人から、当該本人が識別される保有個人データの開示 （当該本人が識別される保有個人データが存在しないときにその旨を知らせることを含む。以下同じ。） を求められたときは、所定の本人確認手続を経た上で、本人に当該保有個人データを開示するものとする。ただし、開示することによって次の各号のいずれかに該当する場合には、その全部又は一部を開示しないものとする。
(１)本人又は第三者の生命、身体、財産その他の権利や利益を害するおそれがある場合 (２)当法人の業務の適正な実施に著しい支障を及ぼすおそれがある場合 (３)他の法令に違反することとなる場合 |
| ２ | 前項に定める開示の方法は、書面の交付による方法とする。ただし、あらかじめ本人と の間で口頭での回答による開示を合意によって定めている場合には、その方法によるものとする。また、通知しない旨を決定したときは、遅滞なくその旨を通知しなければならない。 |
| （開示申出に対する決定） | |
| 第23条 | 施設長は、開示申出があった日から原則として１０日以内に、開示申出者に対して、 開示申出に係る個人情報の全部若しくは一部を開示する旨の決定又は開示しない旨の決定 （前条の規定により開示申出を拒否するとき及び開示申出に係る個人情報が記録された個人情報データベース等を保有していないときの決定を含む。）をするものとする。 |
| ２ | 施設長は、前項の決定 （以下「開示決定等」という。） をしたときは、開示申出者に対し、遅滞なく書面によりその旨通知するものとする。 |
| ３ | 施設長は、やむを得ない理由により、第１項に規定する期間内に開示決定等をすることができないと認められる場合には、３０日以内に決定するものとする。 |
| ４ | 施設長は、第１項の規定により開示請求に係る個人情報の全部又は一部を開示しないときは、開示申出者に対し、第２項に規定する書面によりその理由を示すものとする。 |
| ５ | 施設長は、開示決定等をする場合において、当該決定に係る個人情報に法人以外のものとの間における協議、協力等により作成し、又は、取得した個人情報があるときは、あらかじめ、これらのものの意見を聴くことができる。 |
| （開示の方法） | |
| 第24条 | 個人情報の開示は、個人情報が記録された個人情報データベース等の当該個人情報に係る部分につき、当該本人が請求した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）により行う。 |
| ２ | 前項の視聴又は閲覧の方法による個人情報の開示にあっては、当該個人情報が記録された個人情報データベース等の保存に支障が生ずるおそれがあると認めるときその他合理的な理由があるときは、当該個人情報が記録された請求対象文書の写しにより開示することができる。 |
| （保有個人データの訂正、追加、削除） | |
| 第25条 | 本人から当該本人が識別される保有個人データの内容が事実と異なるという理由で、訂正、追加、削除（以下「訂正等」という。）を求められたときは、本人確認手続きを経た上で遅滞なく調査を行い、その結果に基づいて訂正等を行わなければならない。 |
| ２ | 調査の結果、保有個人データの訂正等を行ったとき又は行わない旨を決定したときは、本人に対し、遅滞なくその旨を通知しなければならない。 |
| （保有個人データの利用停止、消去、第三者提供の停止） | |
| 第26条 | 本人から、当該本人が識別される保有個人データが利用目的の制限に違反するという理由、又は不正の手段により取得したものであるという理由で利用停止又は消去 （以下「利用停止等」という。） を求められたときは、本人確認手続を経た上で、遅滞なく調査を行い、その結果に基づいてデータの利用停止等を行わなければならない。 |
| ２ | 本人から当該本人が識別される保有個人データが第三者提供違反であるとの理由で、第三者への提供の停止を求められたときは、本人確認手続を経た上で遅滞なく調査を行い、その結果に基づいてこれを停止しなければならない。 |
| ３ | 保有個人データの利用停止等の措置を行ったとき又は行わない旨を決定したときは、本人に対し遅滞なくその旨の通知をしなければならない。 |
| （異議の申出） | |
| 第27条 | 開示申出者又は訂正等の申出者は、開示決定等又は訂正決定等について不服があるときは、施設長に対して書面により異議の申出ができる。 |
| ２ | 前項の異議の申出は、開示決定等又は訂正決定等があったことを知った日の翌日から起算して６０日以内に行わなければならない。 |
| ３ | 第１項の異議の申出があった場合は、施設長は、当該異議の申出のあった日から原則として１４日以内に対象となった開示決定等又は訂正決定等について再度の検討を行なった上で、当該異議申出についての回答を書面により行うものとする。 |
| ４ | 施設長は、やむを得ない理由により、前項に規定する期間内に異議の申出に対する回答を行うことができないと認められる場合には、３０日以内に決定するよう努めるものとする。 |
| （報告義務） | |
| 第28条 | 役職員が個人情報保護法、本規程、その他個人情報に関する社内規程に違反するおそれ又は違反する事実を知った場合、その旨を施設長に報告しなければならない。 |
| （危機管理対応） | |
| 第29条 | 理事長は、個人情報の漏洩の事故が発生した場合及び個人情報保護法、本規程、その他個人情報に関する社内規程に違反する事実が生じた場合は、速やかに事実関係を調査し、漏洩の対象となった本人に対する対応を行うとともに、被害拡大防止のための措置を講ずるものとする。また、再発防止措置、社内処分を決定し、必要に応じて公表する等の対応を行うものとする。 |
| （罰則・損害賠償） | |
| 第30条 | 故意又は過失により本規程に違反した場合、その他個人情報保護法及びその他の個人情報に関する社内規程に違反した役職員に対しては就業規則又は契約等により処分を行うとともに、施設に損害を与えた場合には、損害賠償を請求するものとする。 |
| （附 則） | |
| この規定は2006年2月16日の理事会承認され、2006年4月１日から施行する。 この規定は2022年6月8日の理事会承認され、2022年4月１日から施行する。 |
|