１．目 的

このガイドラインは、カナヤママシナリー株式会社が、その事業を展開していく上で取り扱う個人情報について、適正な利用・管理・保護等の徹底を図れるようにし、顧客及び従業員等の個人の権利・利益を保護することを目的とする。

２．定 義

(1) 個人情報（法第２条第１項）

・「個人に関する情報」には、氏名、性別、生年月日等、個人を識別する情報のみならず、個人

の身体、財産、職種、肩書き等の属性について、その事実や評価、判断を表す全ての情報であり、評価情報や公刊物等（例えば、官報、電話帳、職員録等）によって公になっている情報や映像、音声による情報も含まれる。

・死者に関する情報が、同時に、遺族に関する情報でもある場合には、当該生存する個人に関する情報となる。

・「生存する個人」には日本人に限られず、外国人も含まれるが、法人その他の団体は、「個人」に該当しない。（ただし、法人その他団体の役員、従業員等に関する情報は「個人情報」に該当する。

(2) 個人情報データベース等（法第２条第２項）

・電子メールに保管されているメールアドレス帳（メールアドレスと氏名を組み合わせた情報を

入力している場合）

・名刺等を業務用パソコンに入力・整理し、他人でも検索が可能なもの

・氏名、住所、企業別に分類整理されている市販の人名録

等が「個人情報データベース等」の例としてあげられる。

(3) 個人情報取扱事業者（法第２条第３項）

・個人情報データベース等により識別される特定の個人の数の合計が、過去６ヶ月以内のいずれ

の日においても5000 人を超えない者は、個人の権利・利益を害するおそれが少ない者として個

人情報取扱事業者から除外される。

・ここでいう「事業」とは、単に「営利事業」のみを対象とするものではなく、一般社会通念上

事業と認められるものをいう。

・また、「個人情報データベース等が、次の要件を全て満たしている場合には、特定の個人数と

して算入しない。

�@全部または一部を他人が作成している

生存する「個人に関する情報」であり、特定の個人を識別できるものをいう。また、他の情報と容易に照合する（例えば、通常の作業範囲において、個人情報データベース等にアクセスし、照合できる等）ことができ、それによって特定の個人を識別できるものをいう。

特定の個人情報がコンピュータを用いて検索できるように体系的に構成した個人情報を含む情報の集合物をいう。コンピュータを用いない場合であっても、カルテや指導要領等、紙面で処理した個人情報を五十音順あるいは年月日順等一定の規則で整理・分類したもの、また、目次や索引、符号等を付し、他人でも簡単に検索できるようにしたものも「個人情報データベース等」に該当する。

個人情報の量及び利用方法からみて個人の権利・利益を害するおそれが少ない者を除いた、個人情報データベース等を事業の用に供している者をいう。

�A個人情報として氏名、住所または電話番号のみを含んでいる。

�B個人情報データベース等を事業の用に供するに当たり、新たに個人情報を加え、識別される特定の個人を増やしたり、他の個人情報を付加したりして、個人情報データベース等そのものを変更するようなことをしていない。

例えば、電話帳や市販の電話帳CD-ROM 等に掲載されている氏名及び電話番号、氏名または住所から検索できるような市販の情報等がこれらに該当する。

(4) 個人データ（法第２条第４項関連）

・個人情報データベース等から他の媒体にバックアップした個人情報や、コンピュータ処理による個人情報データベース等から出力された帳票等に印字された「個人情報」は「個人データ」に該当する。

(5) 保有個人データ（法第２条第５項関連）

※「その存否が明らかになることで、公益その他の利益が害されるもの」とは、

・その個人データの存否が明らかになることで、本人または第三者の生命、身体、または財産に危害が及ぶおそれがあるもの。例えば、家庭内暴力や児童虐待の支援団体が、加害者や被害者を本人とする個人データを持っている場合等が挙げられる。

・その個人データの存否が明らかになることで、違法または不当な行為を助長し、または誘発するおそれがあるもの。例えば、いわゆる総会屋、不審者あるいは悪質なクレーマー等からの不当要求被害を防止するために、それらを本人とする個人データを持っている場合が挙げられる。

・その個人データの存否が明らかになることで、国の安全が害されるおそれ、他国もしくは国際

機関との信頼が損なわれるおそれ、または、交渉上不利益を被るおそれのあるもの。

・その個人データの存否が明らかになることで、犯罪の予防、鎮圧または捜査その他の公共の安

全と秩序の維持に支障が及ぶおそれのあるもの。例えば、警察からの捜査関係事項照会や捜査差押令状の対象となった事業者が、その対応の過程で捜査対象者または被疑者を本人とする個人データを保有している場合等が挙げられる。

(6) 本人（法第２条第６項関連）

個人情報取扱事業者が管理する「個人情報データベース等」を構成する個人情報をいう。

個人情報取扱事業者が、開示、内容の訂正、追加または削除、利用の停止、消却及び第三者への提供の停止を行うことができる権限を有する「個人データ」をいう。ただし、

・その存否が明らかになることにより、公益その他の利益が害されるもの、

・６ヶ月以内に消却（更新することは除く）することとなるもの、は除く

(7) 本人への通知

・本人に直接知らしめることをいう。事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。

・面談の場合は、口頭またはちらし等の文書を渡すこと。電話による場合は、口頭または自動応答装置で知らせること。

・隔地者間では、電子メールやファックス等により送信、または文書を郵便等で送付すること。

・電話勧誘販売では、電話で口頭により勧誘すること。電子商取引では、取引の確認を行うための自動応答の電子メールに記載して送信すること。

(8) 公表

広く一般に自己の意思を知らせることをいう。ただし、事業の性質及び個人情報の取扱状況に応じて、合理的かつ適切な方法によらなければならない。

例えば

・自社のウェブ画面中のトップページから一回程度の操作で到達できる画面への掲載、店舗・事

務所内のポスター、パンフレット等の備え置き

・店舗販売においては、店舗の見やすい場所への掲示

・通信販売においては、通信販売用のパンフレット等への記載

等が、合理的かつ適切な方法といえる。

(9) 本人に対し、その利用目的を明示（法第１８条第２項）

本人に対し、その利用目的を明示することとし、事業の性質及び個人情報の取扱状況に応じ内容が本人に認識される合理的かつ適切な方法によらなければならない。

例えば、利用目的を明記した契約書その他の書面を相手方に手渡し、または送付する場合で、書面中に利用目的条項を記載する場合は、本人が実際に利用目的を目にできるよう留意すること。

(10) 本人の同意

・同意する旨を本人から口頭または書面（電子的・磁気的方式等の記録も含む）で確認すること。

・本人が署名または記名押印した同意する旨の申込書等文書を受領し確認する。

・本人から同意する旨のメールを受信する。

・本人が同意する旨の確認欄へチェックする。あるいは、ウェブ画面上のボタンのクリック。

等が、合理的かつ適切な方法といえる。

（参考）

「同意」については、「明示の同意」と「黙示の同意」がある。「明示の同意」とは、上記の例のように、個人情報の取得について、本人から同意の意思表示をもらうことを意味する。これに対して、「黙示の同意」とは、本人が特段の反対の意思表示をしなければ同意したものとみなす個人情報取扱事業者は、個人情報を取得した場合はあらかじめその利用目的を公表している場

合を除き、速やかにその利用目的を本人に通知し、または公表しなければならない。

個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかにその目的を本人に通知し、または公表しなければならない。

本人の個人情報が、個人情報取扱事業者によって示された取扱方法で取扱われることを承諾するその本人の意思表示をいう。また、「本人の同意を得る」とは、その本人の承諾する旨の意思表示を個人情報取扱事業者として認識することいい、その方法は、事業の性質及び個人情報の取扱状況に応じ、本人が同意に関する判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。

「黙示の同意」も「同意」と解釈できるが、個人情報を取得する場合、できる限り本人から「明示の同意」を得ることが望ましい。

(11) 本人が容易に知り得る状態

例えば

・ウェブ画面中のトップページから一回程度の操作で到達できる画面への掲載等が継続的に行われている。

・事務所の窓口等への掲示、備付け等が継続的に行われている。

・広く頒布されている定期刊行物へ定期的に掲載している。

・電子商取引において、商品を紹介するウェブ画面にリンク先を継続的に掲示している。

等が、合理的かつ適切な方法といえる。

(12) 本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）

・問い合わせ窓口を設け、問い合わせがあれば、口頭または文書で回答できる体制を構築しておく。

・店舗販売においては、店舗にパンフレットを備え置く。

・電子商取引において、問い合せ先のメールアドレスを明記する。

等が、合理的かつ適切な方法といえる。

(13) 提供

本人が知ろうとすれば、時間的にも、その他手段においても、簡単に知ることができる状態に置いていることをいう。事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。

ウェブ画面への掲載、パンフレットの配布、本人の求めに応じて遅滞なく回答する等、本人が知ろうとすれば、知ることができる状態に置くことをいい、常にその時点での正確な内容を本人の知り得る状態に置かなければならない。事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。

個人データを利用可能な状態に置くことをいう。個人データが物理的に提供されなくても、ネットワーク等を利用することで、個人データを利用できる状態にあれば「提供」にあたる。

３．個人情報取扱事業者の義務等

３−１ 個人情報の利用目的に関するルール（法第１５条〜１６条関連）

(1) 利用目的の特定（法第１５条第１項関連）

具体的には、商品の発送・新商品情報のお知らせ・関連するアフターサービス・各種イベントのお知らせ等が挙げられるが、単に営業活動やサービス向上のため等は利用目的を特定したことにはならない。

(2) 利用目的の変更（法第１５条第２項 法第１８条第３項関連）

(3) 事業の承継（法第１６条第２項関連）

合併その他の事由により個人情報取扱事業者の事業を承継することに伴って個人情報を取得した場合、当該承継前の利用目的達成に必要な範囲内で利用することは目的外利用にはならず、本人の同意を得る必要はない。

(4) 適用除外（法第１６条第３項関連）

下記の場合、同意は不要。

�@法令に基づく場合…税務署・警察の強制力の伴った調査・捜査に対応する場合

�A人の生命、身体または財産の保護…事態時に本人の血液型や家族の連絡先を医師に提供する場合

�B公衆衛生の向上等…健康診断・健康増進・疫学研究等のために個人名を伏せて研究者等に提供する場合

�C国の機関等への協力…税務署や警察の求めに応じて個人情報を提出する場合

３−２ 個人情報の取得に関するルール（法第１７条・１８条関連）

(1) 適正取得

違法な手段は当然含まれるが、社会倫理に反する手段等も含まれる。

取得した後に違法な手段で取得したことを知った場合は本条に該当しない。しかし、違法取得を知った以上は使うべきではない。

(2) 特定の機微（ハイリーセンシティブ）な個人情報の取得の禁止

プライバシー侵害のおそれのある情報は取得してはならない

�@思想、信条及び宗教に関する事項

�A人種、民族、門地、本籍地（所在都道府県を除く）

�B身体、精神障害、犯罪暦その他社会的差別の原因となる事項

�C勤労者の団結権、団体交渉及びその他団体行動に関する事項

�D政治的権利の行使に関する事項

�E保健医療及び性生活に関する事項

あらかじめ本人の同意を得ないで特定された利用目的達成に必要な範囲を超えて利用してはならないとされている。利用目的の特定は、単に抽象的、一般的に特定するのではなく、可能な限り具体的に特定する必要がある。

変更前の利用目的と相当の関連性があると合理的に認められる範囲内であれば変更は可能であるが、変更された利用目的については、本人に通知するか公表しなければならない。偽り等の不正の手段により個人情報を取得してはならない。

(3) 直接書面等による取得（法第１８条第２項関連）

直接本人から個人情報を取得する場合（申込書・契約書・アンケート・懸賞の応募はがき等に記載された個人情報を直接本人から取得する場合）には、あらかじめ本人に対し、その利用目的を明示した上で、当該個人情報の利用に関する本人の同意を得なければならない。

(4) 間接的な個人情報の取得

インターネット上で本人が自発的に公にしている個人情報や、官報・職員録・電話帳・高額納税者名簿・住民基本台帳等から個人情報を取得する場合、本人の同意を得ることが困難なため、あらかじめその利用目的を公表していることが望ましい。

公表していない場合は、取得後速やかにその利用目的を本人に通知するか、または公表しなければならない。

３−３ 個人データの管理に関するルール（法第１９条〜２２条関連）

(1) 個人データの取扱実態の把握

取扱う個人データを特定し、その情報を取得し管理する必要があるかを検討すること。

不要な個人データは完全に破棄すれば、その分、漏洩のリスクは低くなる。

(2) 個人データ内容の正確性の確保（法第１９条関連）

保有する個人データをそれぞれの利用目的に応じて、その必要な範囲内で正確性・最新性を確保する。

(3) 安全管理措置（法第２０条関連）

個人データの漏洩・滅失等の防止その他安全管理のため、組織的、人的、物理的及び技術的な安全管理措置を講じなければならない。（詳細については、Ｐ１３「５．安全管理措置の内容と措置を講じる上でのポイント」を参照）

(4) 従業員の監督（法第２１条関連）

教育研修制度の整備

・教育研修責任者の指名

・教育研修の実施に必要なプログラム及びカリキュラムの作成

・教育研修の対象者は従業員のみならず、必要に応じ外部委託先等に対しても実施する

社内規定の整備

・就業規則等に個人情報の取扱いに関する管理手続、秘密保持、漏洩に対する処置等を定める

・従業員より、個人情報の管理及び秘密保持に関する誓約書を取得する

従業員への研修、教育が終了した後、守られているかどうかの確認をする。

従業員とは

個人情報取扱事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者をいい、雇用関係にある従業員（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、取締役、執行役、理事、監査役、監事、派遣社員等も含まれる。

個人データの安全管理措置を守るよう従業員に対し必要かつ適切な監督をしなければならない。 (5) 委託先の監督（法第２２条関連）

委託契約において、委託者・受託者双方が同意した内容を契約に盛り込むとともに、同内容が適切に遂行されていることを定期的に確認すること。なお、受託者に不当な負担を課すことがあってはならない。

受託者が再委託した際に何らかの問題が生じた場合は、元の委託者がその責めを負うことがあり得る。

委託契約に盛り込むことが望まれる事項

・委託者及び受託者の責任の明確化

・個人データの安全管理に関する事項

漏洩防止・盗用防止

委託契約範囲外の加工・利用・複写・複製の禁止

契約期間

委託契約終了後の個人データの返還・消去・廃棄に関する事項

・再委託に関する事項

再委託を行うについての委託者への文書による報告

・個人データの取扱状況について委託者への報告内容と頻度

・罰則

３−４ 個人データの第三者提供に関するルール（法第２３条関連）

(1) 第三者提供の原則

◎第三者提供とされない事例

・同一事業者内で他部門へ提供すること

・個人情報の取扱業務の全部または一部を委託する場合

・合併、分社化、営業譲渡などで事業が承継され個人データが移転する場合

・個人データを特定者間で共同利用している場合

◎第三者提供とされる事例

・親子兄弟会社、グループ会社の間で個人データを交換する場合

・同業者間で個人データを交換する場合

・外国の会社に、国内に居住している個人の個人データを提供する場合

(2) 本人の同意なく第三者に提供できる場合

・法令に基づいて個人情報を取扱う場合

・人の生命、身体または財産の権利、利益が侵害されるおそれがあり、それを保護するために個人データの提供が必要で、本人の同意を得ることが困難である場合。

・公衆衛生の向上または児童の健全な育成のために特に必要な場合で、本人の同意を得ることが困難である場合。

・国の機関等が法令の定める事務を実施することに対して協力する必要があって、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合。

個人データの取扱いの全部または一部を委託する場合、「個人データの安全管理措置」を遵守

するよう委託者に対し適切な監督をしなければならない。

あらかじめ本人の同意を得ないで個人データを第三者に提供してはならない。

(3) 第三者提供におけるオプトアウト（法第２３条第２項関連）

第三者提供におけるオプトアウトを行っている場合には、本人の同意なく個人データを第三者に提供することができる。

「第三者提供におけるオプトアウト」とは、あらかじめ以下の事項を本人に通知し、または本人が知り得る状態に置いておくとともに、本人の求めに応じて第三者への提供を停止することをいう。

�@第三者への提供を利用目的とすること

�A第三者に提供される個人データの項目

（例）氏名・住所・電話番号・商品購入履歴

�B第三者への提供の手段または方法

（例）書籍として出版・インターネットに掲載・プリンアウトして手交する

�C本人の求めに応じて第三者への提供を停止すること

(4) 共同利用

�@個人情報を特定の者との間で共同して利用する旨

�A共同して利用される個人データ項目（例えば、「氏名・住所・電話番号」、「生年月日・性別・商品購入履歴」等）

�B共同利用者の範囲

�C利用する者の利用目的（共同して利用する個人データの全ての利用目的）

�D個人データの管理について責任を有する者の氏名または名称

上記、�A、�Bについては変更することができない。

�C、�Dについては変更する前に本人に通知または本人の容易に知り得る状態に置いておかなければならない。

共同利用を行うことがある事例

・親子兄弟会社間で、または専門店と取引先が利用目的の範囲内で個人データを共同利用する場合

(5) 雇用管理に関する個人データの第三者への提供

従業員の子会社への出向に際し、出向先に当該従業員の個人データを提供する場合、提供先において得た個人情報を漏らし、また盗用してはならない。

提供先における保管期間等を明確化する。

提供先における個人データの複写・複製を禁止。

利用目的達成後の個人データの返却または破棄・削除を事業者において確認する。

３−５ 保有個人データに関する事項の公表・開示・訂正・利用停止等に関するルール（法第２４条

〜第３０条関連）

(1) 保有個人データに関する事項の公表等（法第２４条関連）

保有個人データについて、以下の�@〜�Bの情報を本人の知り得る状態に置かなければならない

�@ 保有個人データの利用目的

�A 保有個人データの利用目的の通知及び開示に係る手数料の額と開示等の求めの手続

�B 保有個人データの取扱いに関する苦情及び問い合わせの申出先

個人データを特定の者との間で共同して利用する場合、以下の情報をあらかじめ本人に通知し、または、本人が容易に知り得る状態に置いておくこととともに、共同して利用することを明らかにしている場合は、第三者に該当しない。

(2) 保有個人データの開示（法第２５条関連）

個人情報取扱事業者は、本人から自己が識別される保有個人データの開示を求められたときは、本人に対し、書面の交付による方法で遅滞なく当該保有個人データを開示しなければならない。

以下の場合は開示を拒否することができる。

�@ 本人または第三者の生命、身体、財産その他の権利や利益を害するおそれがある場合

�A 個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合

�B 他の法令に違反することとなる場合

(3) 保有個人データの訂正・追加・削除（法第２６条関連）

本人から保有個人データに誤りがあり事実でないという理由でその内容の訂正等を求められたときは、遅滞なくその調査を行い、その結果に基づき当該保有個人データの内容の訂正等を行わなければならない。

調査の結果、保有個人データの内容の訂正等を行ったとき、または行わない旨を決定したときは、本人に対し遅滞なくその旨の通知をしなければならない。

(4) 保有個人データの利用停止・消去または第三者提供停止（法第２７条関連）

・「手続違反」とは、同意のない目的外利用、不正な取得、または同意のない第三者提供をいう。

・「利用停止等」とは、保有個人データの利用の停止、消去または第三者への提供の停止をいう。

・違反を是正するための必要な限度を超えている場合（例えば、利用停止等の措置を講じるにあたり多額の費用がかかるなど）や手続違反である旨の申出が正しくない場合には、利用停止等の措置を講じる必要はない。ただし、その場合には、利用停止等を行わない旨を本人に通知しなければならない。

(5) 理由の説明（法第２８条関連）

(6) 開示等の求めに応じる手続（法第２９条関連）

保有個人データの利用目的の通知・保有個人データの開示・保有個人データの内容の訂正・追加または削除・保有個人データの利用停止または消去・保有個人データの第三者への提供の停止の求めを受け付ける方法として、下記の事項を定めることができる。また、その場合、本人の知り得る状態に置いておかなければならない。

�@開示等の求めの受付窓口

�A開示等の求めに際して提出すべき書面

�B開示等の求めをする者が本人またはその代理人であることの確認の方法

�C開示等を行う際に徴収する手数料と徴収方法

手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲とし、その額を本人の

知り得る状態に置いておかなければならない。

なお、開示等の求めを受け付ける方法を定めない場合には、自由な申請を認めることとなる。

本人から、手続違反の理由により保有個人データの利用停止等を求められた場合には、原則として、当該措置を講じなければばらない。なお、利用停止等を行った場合は、遅滞なくその旨を本人に通知しなければならない。

保有個人データの公表・開示・訂正・利用停止等において、その措置を講じない旨またはその措置と異なる措置を講じる旨を本人に通知する場合は、併せて、本人に対して、その理由を説明するように努めなければならない。

(7) 苦情の処理（法第３１条関連）

個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。また、苦情の適切かつ迅速な処理を行うにあたり、苦情処理窓口の設置や苦情処理の手順を定めるなどの必要な体制の整備に努めること。

もっとも、無理な要求にまで応じなければならないものではない。

４．ガイドラインの見直し

個人情報の保護についての考え方は、社会情勢の変化、国民の認識の変化、技術の進歩に応じ変わり得るもので、したがって本ガイドラインも毎年必要に応じ見直しを行うよう努める。

５．安全管理措置の内容と措置を講じる上でのポイント（法第２０条関連）

取扱う個人データの漏洩、滅失または毀損の防止、そして、安全に管理するために、組織的、人的、物理的及び技術的な安全管理措置を講じなければならない。その際、本人の個人データが漏洩、滅失または毀損した場合の本人が被る権利利益の侵害の程度や、個人情報取扱事業者の事業の性質や個人データの取扱状況に応じたリスクを勘案した上、各事業者の実情に応じた安全管理措置を自ら講じることとする。

５−１ 組織的安全管理措置

【組織的安全管理措置として講じなければならない事項】

(1) 個人データの安全管理措置を講じるための組織体制の整備

(2) 個人データの安全管理措置を定める規程等（基準書）の整備と運用

(3) 個人データの取扱い状況を一覧できる手段の整備

(4) 個人データの安全管理措置評価、見直し及び改善

(5) 事故または違反への対応

【各項目について講じることが望まれる事項】

安全管理について従業員の責任と権限を定め、規程や手順書を整備運用し、その実施状況を確認すること。

(1)個人データの安全管理措置を講じるための組織体制の整備をする上で望まれる事項

従業員の役割・責任の明確化

a. 職務分掌規程、職務権限規程などの内部規程、契約書、職務記述書など具体的に定めること

b. 個人情報管理者の設置

c. 個人情報の取扱い（取得・入力、移送・送信、利用・加工、保管・バックアップ、消去・廃棄などの作業）における作業責任者の設置及び作業担当者の限定

d. 個人情報を取扱う情報システム運用責任者の設置及び担当者の限定

e. 個人情報の取扱いに係るそれぞれの部署の役割と責任の明確化

f. 監査責任者の設置

g. 監査実施体制の整備

h. 個人情報の取扱いに関する規程などに違反している事実または兆候があることに気づいた場合の、代表者への報告連絡体制の整備

i. 個人情報の漏洩などの事故が発生した、または発生の可能性が高いと判断した場合の、代表者への報告連絡体制の整備

j. 漏洩等の影響を受ける可能性のある本人への情報提供体制の整備

k. 漏洩などの事故発生時における主務大臣及び認定個人情報保護団体に対する報告体制の整備

(2)個人データの安全管理措置を定める規程等（基準書）の整備と運用をする上で望まれる事項

a. 個人情報の取扱いに関する規程などの整備とそれらに従った運用

b. 個人情報を取扱う情報システムの安全管理措置に関する規程などの整備とそれらに従った運用

※なお、これらについてのより詳細な記載事項については、下記の【個人データの取扱いに関する規定等に記載することが望まれる事項】を参照。

c. 個人情報の取扱いに係る建物、部屋、保管庫などの安全管理に関する規程などの整備とそれらに従った運用

組織的安全管理措置とは、個人データの安全管理について従業員の「責任と権限」を明確に定め、安全管理に対する規程や手順書を整備運用し、その実施状況を確認することをいう。

措置を講じるに際し、参考とすべきポイントは以下の通りである。

d. 個人情報の取扱いを委託する場合における受託者の選定基準、委託契約書のひな型などの整備とそれらに従った運用

e. 定められた規程等に従って業務手続きが適切に行われたことを示す監査証跡の保持

［保持しておくことが望ましい監査証跡としては、個人情報に関する情報システム利用申請書、

ある従業員に特別な権限を付与するための権限付与申請書、情報システム上の利用者とその権

限の一覧表、建物などへの入退館記録、個人情報へのアクセスの記録（例えば、誰がどのよう

な操作を行ったかを記録）、教育受講者一覧表が考えられる。］

(3)個人データの取扱い状況を一覧できる手段の整備をする上で望まれる事項

a. 個人情報について、取得する項目、通知した利用目的、保管場所、保管方法、アクセス権限を有する者、利用期限、その他個人情報の適正な取扱いに必要な情報を記した個人情報取扱台帳

の整備

b. 個人情報取扱台帳の内容の定期的な確認による最新状態の維持

(4)個人データの安全管理措置評価、見直し及び改善をする上で望まれる事項

a. 監査計画の立案と、計画に基づく監査（内部監査または外部監査）の実施

b. 監査実施結果の取りまとめと、代表者への報告

c. 監査責任者から受ける監査報告、個人情報に対する社会通念の変化及び情報技術の進歩に応じた定期的な安全管理措置の見直し及び改善

(5)事故または違反への対処をする上で望まれる事項

a. 事実関係、再発防止策などの公表

b. その他、以下の項目などの実施

1) 事実調査

2) 影響範囲の特定

3) 影響を受ける可能性のある本人及び主務大臣への報告

4) 原因の究明

5) 再発防止の検討・実施

【個人データの取扱いに関する規程等に記載することが望まれる事項】

以下、a.取得・入力、b.移送・送信、c.利用・加工、d.保管・バックアップ、e.消去・廃棄という、個人データの取扱いの流れに従い、そのそれぞれにつき規程等に記載することが望まれる事項を

列記する。

a. 取得・入力

1)作業責任者の明確化

●個人データを取得する際の作業責任者の明確化

●取得した個人データを情報システムに入力する際の作業責任者の明確化

（以下、併せて「取得・入力」という。）

2)手続の明確化と手続に従った実施

●取得・入力する際の手続の明確化

●定められた手続による取得・入力の実施

●権限を与えられていない者が立ち入れない建物、部屋（以下「建物等」という。）での入力

作業の実施。

●個人データを入力できる端末の、業務上の必要性に基づく限定

●個人データを入力できる端末に付与する機能の、業務上の必要性に基づく限定

（例えば、個人データを入力できる端末では、ＣＤ−Ｒ、ＵＳＢメモリ等の外部記録媒体を接続できないようにする。）

3)作業担当者の識別、認証、権限付与

●個人データを取得・入力できる作業担当者の、業務上の必要性に基づく限定

●ＩＤとパスワードによる認証、生体認証等による作業担当者の識別

●作業担当者に付与する権限の限定

●個人データの取得・入力業務を行う作業担当者に付与した権限の記録

4)作業担当者及びその権限の確認

●手続の明確化と手続に従った実施及び作業担当者の識別、認証、権限付与の実施状況の確認

●アクセスの記録、保管と、権限外作業の有無の確認