１．目 的

このガイドラインは、カナヤママシナリー株式会社が、その事業を展開していく上で取り扱う個人情報について、適正な利用・管理・保護等の徹底を図れるようにし、顧客及び従業員等の個人の権利・利益を保護することを目的とする。

２．定 義

(1) 個人情報（法第２条第１項）

・「個人に関する情報」には、氏名、性別、生年月日等、個人を識別する情報のみならず、個人

の身体、財産、職種、肩書き等の属性について、その事実や評価、判断を表す全ての情報であり、評価情報や公刊物等（例えば、官報、電話帳、職員録等）によって公になっている情報や映像、音声による情報も含まれる。

・死者に関する情報が、同時に、遺族に関する情報でもある場合には、当該生存する個人に関する情報となる。

・「生存する個人」には日本人に限られず、外国人も含まれるが、法人その他の団体は、「個人」に該当しない。（ただし、法人その他団体の役員、従業員等に関する情報は「個人情報」に該当する。

(2) 個人情報データベース等（法第２条第２項）

・電子メールに保管されているメールアドレス帳（メールアドレスと氏名を組み合わせた情報を

入力している場合）

・名刺等を業務用パソコンに入力・整理し、他人でも検索が可能なもの

・氏名、住所、企業別に分類整理されている市販の人名録

等が「個人情報データベース等」の例としてあげられる。

(3) 個人情報取扱事業者（法第２条第３項）

・個人情報データベース等により識別される特定の個人の数の合計が、過去６ヶ月以内のいずれ

の日においても5000 人を超えない者は、個人の権利・利益を害するおそれが少ない者として個

人情報取扱事業者から除外される。

・ここでいう「事業」とは、単に「営利事業」のみを対象とするものではなく、一般社会通念上

事業と認められるものをいう。

・また、「個人情報データベース等が、次の要件を全て満たしている場合には、特定の個人数と

して算入しない。

�@全部または一部を他人が作成している

生存する「個人に関する情報」であり、特定の個人を識別できるものをいう。また、他の情報と容易に照合する（例えば、通常の作業範囲において、個人情報データベース等にアクセスし、照合できる等）ことができ、それによって特定の個人を識別できるものをいう。

特定の個人情報がコンピュータを用いて検索できるように体系的に構成した個人情報を含む情報の集合物をいう。コンピュータを用いない場合であっても、カルテや指導要領等、紙面で処理した個人情報を五十音順あるいは年月日順等一定の規則で整理・分類したもの、また、目次や索引、符号等を付し、他人でも簡単に検索できるようにしたものも「個人情報データベース等」に該当する。

個人情報の量及び利用方法からみて個人の権利・利益を害するおそれが少ない者を除いた、個人情報データベース等を事業の用に供している者をいう。

�A個人情報として氏名、住所または電話番号のみを含んでいる。

�B個人情報データベース等を事業の用に供するに当たり、新たに個人情報を加え、識別される特定の個人を増やしたり、他の個人情報を付加したりして、個人情報データベース等そのものを変更するようなことをしていない。

例えば、電話帳や市販の電話帳CD-ROM 等に掲載されている氏名及び電話番号、氏名または住所から検索できるような市販の情報等がこれらに該当する。

(4) 個人データ（法第２条第４項関連）

・個人情報データベース等から他の媒体にバックアップした個人情報や、コンピュータ処理による個人情報データベース等から出力された帳票等に印字された「個人情報」は「個人データ」に該当する。

(5) 保有個人データ（法第２条第５項関連）

※「その存否が明らかになることで、公益その他の利益が害されるもの」とは、

・その個人データの存否が明らかになることで、本人または第三者の生命、身体、または財産に危害が及ぶおそれがあるもの。例えば、家庭内暴力や児童虐待の支援団体が、加害者や被害者を本人とする個人データを持っている場合等が挙げられる。

・その個人データの存否が明らかになることで、違法または不当な行為を助長し、または誘発するおそれがあるもの。例えば、いわゆる総会屋、不審者あるいは悪質なクレーマー等からの不当要求被害を防止するために、それらを本人とする個人データを持っている場合が挙げられる。

・その個人データの存否が明らかになることで、国の安全が害されるおそれ、他国もしくは国際

機関との信頼が損なわれるおそれ、または、交渉上不利益を被るおそれのあるもの。

・その個人データの存否が明らかになることで、犯罪の予防、鎮圧または捜査その他の公共の安

全と秩序の維持に支障が及ぶおそれのあるもの。例えば、警察からの捜査関係事項照会や捜査差押令状の対象となった事業者が、その対応の過程で捜査対象者または被疑者を本人とする個人データを保有している場合等が挙げられる。

(6) 本人（法第２条第６項関連）

個人情報取扱事業者が管理する「個人情報データベース等」を構成する個人情報をいう。

個人情報取扱事業者が、開示、内容の訂正、追加または削除、利用の停止、消却及び第三者への提供の停止を行うことができる権限を有する「個人データ」をいう。ただし、

・その存否が明らかになることにより、公益その他の利益が害されるもの、

・６ヶ月以内に消却（更新することは除く）することとなるもの、は除く

 (7) 本人への通知

・本人に直接知らしめることをいう。事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。

・面談の場合は、口頭またはちらし等の文書を渡すこと。電話による場合は、口頭または自動応答装置で知らせること。

・隔地者間では、電子メールやファックス等により送信、または文書を郵便等で送付すること。

・電話勧誘販売では、電話で口頭により勧誘すること。電子商取引では、取引の確認を行うための自動応答の電子メールに記載して送信すること。

(8) 公表

広く一般に自己の意思を知らせることをいう。ただし、事業の性質及び個人情報の取扱状況に応じて、合理的かつ適切な方法によらなければならない。

例えば

・自社のウェブ画面中のトップページから一回程度の操作で到達できる画面への掲載、店舗・事

務所内のポスター、パンフレット等の備え置き

・店舗販売においては、店舗の見やすい場所への掲示

・通信販売においては、通信販売用のパンフレット等への記載

等が、合理的かつ適切な方法といえる。

(9) 本人に対し、その利用目的を明示（法第１８条第２項）

本人に対し、その利用目的を明示することとし、事業の性質及び個人情報の取扱状況に応じ内容が本人に認識される合理的かつ適切な方法によらなければならない。

例えば、利用目的を明記した契約書その他の書面を相手方に手渡し、または送付する場合で、書面中に利用目的条項を記載する場合は、本人が実際に利用目的を目にできるよう留意すること。

(10) 本人の同意

・同意する旨を本人から口頭または書面（電子的・磁気的方式等の記録も含む）で確認すること。

・本人が署名または記名押印した同意する旨の申込書等文書を受領し確認する。

・本人から同意する旨のメールを受信する。

・本人が同意する旨の確認欄へチェックする。あるいは、ウェブ画面上のボタンのクリック。

等が、合理的かつ適切な方法といえる。

（参考）

「同意」については、「明示の同意」と「黙示の同意」がある。「明示の同意」とは、上記の例のように、個人情報の取得について、本人から同意の意思表示をもらうことを意味する。これに対して、「黙示の同意」とは、本人が特段の反対の意思表示をしなければ同意したものとみなす個人情報取扱事業者は、個人情報を取得した場合はあらかじめその利用目的を公表している場

合を除き、速やかにその利用目的を本人に通知し、または公表しなければならない。

個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかにその目的を本人に通知し、または公表しなければならない。

本人の個人情報が、個人情報取扱事業者によって示された取扱方法で取扱われることを承諾するその本人の意思表示をいう。また、「本人の同意を得る」とは、その本人の承諾する旨の意思表示を個人情報取扱事業者として認識することいい、その方法は、事業の性質及び個人情報の取扱状況に応じ、本人が同意に関する判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。

「黙示の同意」も「同意」と解釈できるが、個人情報を取得する場合、できる限り本人から「明示の同意」を得ることが望ましい。

(11) 本人が容易に知り得る状態

例えば

・ウェブ画面中のトップページから一回程度の操作で到達できる画面への掲載等が継続的に行われている。

・事務所の窓口等への掲示、備付け等が継続的に行われている。

・広く頒布されている定期刊行物へ定期的に掲載している。

・電子商取引において、商品を紹介するウェブ画面にリンク先を継続的に掲示している。

等が、合理的かつ適切な方法といえる。

(12) 本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）

・問い合わせ窓口を設け、問い合わせがあれば、口頭または文書で回答できる体制を構築しておく。

・店舗販売においては、店舗にパンフレットを備え置く。

・電子商取引において、問い合せ先のメールアドレスを明記する。

等が、合理的かつ適切な方法といえる。

(13) 提供

本人が知ろうとすれば、時間的にも、その他手段においても、簡単に知ることができる状態に置いていることをいう。事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。

ウェブ画面への掲載、パンフレットの配布、本人の求めに応じて遅滞なく回答する等、本人が知ろうとすれば、知ることができる状態に置くことをいい、常にその時点での正確な内容を本人の知り得る状態に置かなければならない。事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によらなければならない。

個人データを利用可能な状態に置くことをいう。個人データが物理的に提供されなくても、ネットワーク等を利用することで、個人データを利用できる状態にあれば「提供」にあたる。

３．個人情報取扱事業者の義務等

３−１ 個人情報の利用目的に関するルール（法第１５条〜１６条関連）

(1) 利用目的の特定（法第１５条第１項関連）

具体的には、商品の発送・新商品情報のお知らせ・関連するアフターサービス・各種イベントのお知らせ等が挙げられるが、単に営業活動やサービス向上のため等は利用目的を特定したことにはならない。

(2) 利用目的の変更（法第１５条第２項 法第１８条第３項関連）

(3) 事業の承継（法第１６条第２項関連）

合併その他の事由により個人情報取扱事業者の事業を承継することに伴って個人情報を取得した場合、当該承継前の利用目的達成に必要な範囲内で利用することは目的外利用にはならず、本人の同意を得る必要はない。

(4) 適用除外（法第１６条第３項関連）

下記の場合、同意は不要。

�@法令に基づく場合…税務署・警察の強制力の伴った調査・捜査に対応する場合

�A人の生命、身体または財産の保護…事態時に本人の血液型や家族の連絡先を医師に提供する場合

�B公衆衛生の向上等…健康診断・健康増進・疫学研究等のために個人名を伏せて研究者等に提供する場合

�C国の機関等への協力…税務署や警察の求めに応じて個人情報を提出する場合

３−２ 個人情報の取得に関するルール（法第１７条・１８条関連）

(1) 適正取得

違法な手段は当然含まれるが、社会倫理に反する手段等も含まれる。

取得した後に違法な手段で取得したことを知った場合は本条に該当しない。しかし、違法取得を知った以上は使うべきではない。

(2) 特定の機微（ハイリーセンシティブ）な個人情報の取得の禁止

プライバシー侵害のおそれのある情報は取得してはならない

�@思想、信条及び宗教に関する事項

�A人種、民族、門地、本籍地（所在都道府県を除く）

�B身体、精神障害、犯罪暦その他社会的差別の原因となる事項

�C勤労者の団結権、団体交渉及びその他団体行動に関する事項

�D政治的権利の行使に関する事項

�E保健医療及び性生活に関する事項

あらかじめ本人の同意を得ないで特定された利用目的達成に必要な範囲を超えて利用してはならないとされている。利用目的の特定は、単に抽象的、一般的に特定するのではなく、可能な限り具体的に特定する必要がある。

変更前の利用目的と相当の関連性があると合理的に認められる範囲内であれば変更は可能であるが、変更された利用目的については、本人に通知するか公表しなければならない。偽り等の不正の手段により個人情報を取得してはならない。

 (3) 直接書面等による取得（法第１８条第２項関連）

直接本人から個人情報を取得する場合（申込書・契約書・アンケート・懸賞の応募はがき等に記載された個人情報を直接本人から取得する場合）には、あらかじめ本人に対し、その利用目的を明示した上で、当該個人情報の利用に関する本人の同意を得なければならない。

(4) 間接的な個人情報の取得

インターネット上で本人が自発的に公にしている個人情報や、官報・職員録・電話帳・高額納税者名簿・住民基本台帳等から個人情報を取得する場合、本人の同意を得ることが困難なため、あらかじめその利用目的を公表していることが望ましい。

公表していない場合は、取得後速やかにその利用目的を本人に通知するか、または公表しなければならない。

３−３ 個人データの管理に関するルール（法第１９条〜２２条関連）

(1) 個人データの取扱実態の把握

取扱う個人データを特定し、その情報を取得し管理する必要があるかを検討すること。

不要な個人データは完全に破棄すれば、その分、漏洩のリスクは低くなる。

(2) 個人データ内容の正確性の確保（法第１９条関連）

保有する個人データをそれぞれの利用目的に応じて、その必要な範囲内で正確性・最新性を確保する。

(3) 安全管理措置（法第２０条関連）

個人データの漏洩・滅失等の防止その他安全管理のため、組織的、人的、物理的及び技術的な安全管理措置を講じなければならない。（詳細については、Ｐ１３「５．安全管理措置の内容と措置を講じる上でのポイント」を参照）

(4) 従業員の監督（法第２１条関連）

教育研修制度の整備

・教育研修責任者の指名

・教育研修の実施に必要なプログラム及びカリキュラムの作成

・教育研修の対象者は従業員のみならず、必要に応じ外部委託先等に対しても実施する

社内規定の整備

・就業規則等に個人情報の取扱いに関する管理手続、秘密保持、漏洩に対する処置等を定める

・従業員より、個人情報の管理及び秘密保持に関する誓約書を取得する

従業員への研修、教育が終了した後、守られているかどうかの確認をする。

従業員とは

個人情報取扱事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者をいい、雇用関係にある従業員（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、取締役、執行役、理事、監査役、監事、派遣社員等も含まれる。

個人データの安全管理措置を守るよう従業員に対し必要かつ適切な監督をしなければならない。 (5) 委託先の監督（法第２２条関連）

委託契約において、委託者・受託者双方が同意した内容を契約に盛り込むとともに、同内容が適切に遂行されていることを定期的に確認すること。なお、受託者に不当な負担を課すことがあってはならない。

受託者が再委託した際に何らかの問題が生じた場合は、元の委託者がその責めを負うことがあり得る。

委託契約に盛り込むことが望まれる事項

・委託者及び受託者の責任の明確化

・個人データの安全管理に関する事項

漏洩防止・盗用防止

委託契約範囲外の加工・利用・複写・複製の禁止

契約期間

委託契約終了後の個人データの返還・消去・廃棄に関する事項

・再委託に関する事項

再委託を行うについての委託者への文書による報告

・個人データの取扱状況について委託者への報告内容と頻度

・罰則

３−４ 個人データの第三者提供に関するルール（法第２３条関連）

(1) 第三者提供の原則

◎第三者提供とされない事例

・同一事業者内で他部門へ提供すること

・個人情報の取扱業務の全部または一部を委託する場合

・合併、分社化、営業譲渡などで事業が承継され個人データが移転する場合

・個人データを特定者間で共同利用している場合

◎第三者提供とされる事例

・親子兄弟会社、グループ会社の間で個人データを交換する場合

・同業者間で個人データを交換する場合

・外国の会社に、国内に居住している個人の個人データを提供する場合

(2) 本人の同意なく第三者に提供できる場合

・法令に基づいて個人情報を取扱う場合

・人の生命、身体または財産の権利、利益が侵害されるおそれがあり、それを保護するために個人データの提供が必要で、本人の同意を得ることが困難である場合。

・公衆衛生の向上または児童の健全な育成のために特に必要な場合で、本人の同意を得ることが困難である場合。

・国の機関等が法令の定める事務を実施することに対して協力する必要があって、本人の同意を得ることが当該事務の遂行に支障を及ぼすおそれがある場合。

個人データの取扱いの全部または一部を委託する場合、「個人データの安全管理措置」を遵守

するよう委託者に対し適切な監督をしなければならない。

あらかじめ本人の同意を得ないで個人データを第三者に提供してはならない。

 (3) 第三者提供におけるオプトアウト（法第２３条第２項関連）

第三者提供におけるオプトアウトを行っている場合には、本人の同意なく個人データを第三者に提供することができる。

「第三者提供におけるオプトアウト」とは、あらかじめ以下の事項を本人に通知し、または本人が知り得る状態に置いておくとともに、本人の求めに応じて第三者への提供を停止することをいう。

�@第三者への提供を利用目的とすること

�A第三者に提供される個人データの項目

（例）氏名・住所・電話番号・商品購入履歴

�B第三者への提供の手段または方法

（例）書籍として出版・インターネットに掲載・プリンアウトして手交する

�C本人の求めに応じて第三者への提供を停止すること

(4) 共同利用

�@個人情報を特定の者との間で共同して利用する旨

�A共同して利用される個人データ項目（例えば、「氏名・住所・電話番号」、「生年月日・性別・商品購入履歴」等）

�B共同利用者の範囲

�C利用する者の利用目的（共同して利用する個人データの全ての利用目的）

�D個人データの管理について責任を有する者の氏名または名称

上記、�A、�Bについては変更することができない。

�C、�Dについては変更する前に本人に通知または本人の容易に知り得る状態に置いておかなければならない。

共同利用を行うことがある事例

・親子兄弟会社間で、または専門店と取引先が利用目的の範囲内で個人データを共同利用する場合

(5) 雇用管理に関する個人データの第三者への提供

従業員の子会社への出向に際し、出向先に当該従業員の個人データを提供する場合、提供先において得た個人情報を漏らし、また盗用してはならない。

提供先における保管期間等を明確化する。

提供先における個人データの複写・複製を禁止。

利用目的達成後の個人データの返却または破棄・削除を事業者において確認する。

３−５ 保有個人データに関する事項の公表・開示・訂正・利用停止等に関するルール（法第２４条

〜第３０条関連）

(1) 保有個人データに関する事項の公表等（法第２４条関連）

保有個人データについて、以下の�@〜�Bの情報を本人の知り得る状態に置かなければならない

�@ 保有個人データの利用目的

�A 保有個人データの利用目的の通知及び開示に係る手数料の額と開示等の求めの手続

�B 保有個人データの取扱いに関する苦情及び問い合わせの申出先

個人データを特定の者との間で共同して利用する場合、以下の情報をあらかじめ本人に通知し、または、本人が容易に知り得る状態に置いておくこととともに、共同して利用することを明らかにしている場合は、第三者に該当しない。

 (2) 保有個人データの開示（法第２５条関連）

個人情報取扱事業者は、本人から自己が識別される保有個人データの開示を求められたときは、本人に対し、書面の交付による方法で遅滞なく当該保有個人データを開示しなければならない。

以下の場合は開示を拒否することができる。

�@ 本人または第三者の生命、身体、財産その他の権利や利益を害するおそれがある場合

�A 個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合

�B 他の法令に違反することとなる場合

(3) 保有個人データの訂正・追加・削除（法第２６条関連）

本人から保有個人データに誤りがあり事実でないという理由でその内容の訂正等を求められたときは、遅滞なくその調査を行い、その結果に基づき当該保有個人データの内容の訂正等を行わなければならない。

調査の結果、保有個人データの内容の訂正等を行ったとき、または行わない旨を決定したときは、本人に対し遅滞なくその旨の通知をしなければならない。

(4) 保有個人データの利用停止・消去または第三者提供停止（法第２７条関連）

・「手続違反」とは、同意のない目的外利用、不正な取得、または同意のない第三者提供をいう。

・「利用停止等」とは、保有個人データの利用の停止、消去または第三者への提供の停止をいう。

・違反を是正するための必要な限度を超えている場合（例えば、利用停止等の措置を講じるにあたり多額の費用がかかるなど）や手続違反である旨の申出が正しくない場合には、利用停止等の措置を講じる必要はない。ただし、その場合には、利用停止等を行わない旨を本人に通知しなければならない。

(5) 理由の説明（法第２８条関連）

(6) 開示等の求めに応じる手続（法第２９条関連）

保有個人データの利用目的の通知・保有個人データの開示・保有個人データの内容の訂正・追加または削除・保有個人データの利用停止または消去・保有個人データの第三者への提供の停止の求めを受け付ける方法として、下記の事項を定めることができる。また、その場合、本人の知り得る状態に置いておかなければならない。

�@開示等の求めの受付窓口

�A開示等の求めに際して提出すべき書面

�B開示等の求めをする者が本人またはその代理人であることの確認の方法

�C開示等を行う際に徴収する手数料と徴収方法

手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲とし、その額を本人の

知り得る状態に置いておかなければならない。

なお、開示等の求めを受け付ける方法を定めない場合には、自由な申請を認めることとなる。

本人から、手続違反の理由により保有個人データの利用停止等を求められた場合には、原則として、当該措置を講じなければばらない。なお、利用停止等を行った場合は、遅滞なくその旨を本人に通知しなければならない。

保有個人データの公表・開示・訂正・利用停止等において、その措置を講じない旨またはその措置と異なる措置を講じる旨を本人に通知する場合は、併せて、本人に対して、その理由を説明するように努めなければならない。

 (7) 苦情の処理（法第３１条関連）

個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。また、苦情の適切かつ迅速な処理を行うにあたり、苦情処理窓口の設置や苦情処理の手順を定めるなどの必要な体制の整備に努めること。

もっとも、無理な要求にまで応じなければならないものではない。

４．ガイドラインの見直し

個人情報の保護についての考え方は、社会情勢の変化、国民の認識の変化、技術の進歩に応じ変わり得るもので、したがって本ガイドラインも毎年必要に応じ見直しを行うよう努める。

５．安全管理措置の内容と措置を講じる上でのポイント（法第２０条関連）

取扱う個人データの漏洩、滅失または毀損の防止、そして、安全に管理するために、組織的、人的、物理的及び技術的な安全管理措置を講じなければならない。その際、本人の個人データが漏洩、滅失または毀損した場合の本人が被る権利利益の侵害の程度や、個人情報取扱事業者の事業の性質や個人データの取扱状況に応じたリスクを勘案した上、各事業者の実情に応じた安全管理措置を自ら講じることとする。

５−１ 組織的安全管理措置

【組織的安全管理措置として講じなければならない事項】

(1) 個人データの安全管理措置を講じるための組織体制の整備

(2) 個人データの安全管理措置を定める規程等（基準書）の整備と運用

(3) 個人データの取扱い状況を一覧できる手段の整備

(4) 個人データの安全管理措置評価、見直し及び改善

(5) 事故または違反への対応

【各項目について講じることが望まれる事項】

安全管理について従業員の責任と権限を定め、規程や手順書を整備運用し、その実施状況を確認すること。

(1)個人データの安全管理措置を講じるための組織体制の整備をする上で望まれる事項

従業員の役割・責任の明確化

a. 職務分掌規程、職務権限規程などの内部規程、契約書、職務記述書など具体的に定めること

b. 個人情報管理者の設置

c. 個人情報の取扱い（取得・入力、移送・送信、利用・加工、保管・バックアップ、消去・廃棄などの作業）における作業責任者の設置及び作業担当者の限定

d. 個人情報を取扱う情報システム運用責任者の設置及び担当者の限定

e. 個人情報の取扱いに係るそれぞれの部署の役割と責任の明確化

f. 監査責任者の設置

g. 監査実施体制の整備

h. 個人情報の取扱いに関する規程などに違反している事実または兆候があることに気づいた場合の、代表者への報告連絡体制の整備

i. 個人情報の漏洩などの事故が発生した、または発生の可能性が高いと判断した場合の、代表者への報告連絡体制の整備

j. 漏洩等の影響を受ける可能性のある本人への情報提供体制の整備

k. 漏洩などの事故発生時における主務大臣及び認定個人情報保護団体に対する報告体制の整備

(2)個人データの安全管理措置を定める規程等（基準書）の整備と運用をする上で望まれる事項

a. 個人情報の取扱いに関する規程などの整備とそれらに従った運用

b. 個人情報を取扱う情報システムの安全管理措置に関する規程などの整備とそれらに従った運用

※なお、これらについてのより詳細な記載事項については、下記の【個人データの取扱いに関する規定等に記載することが望まれる事項】を参照。

c. 個人情報の取扱いに係る建物、部屋、保管庫などの安全管理に関する規程などの整備とそれらに従った運用

組織的安全管理措置とは、個人データの安全管理について従業員の「責任と権限」を明確に定め、安全管理に対する規程や手順書を整備運用し、その実施状況を確認することをいう。

措置を講じるに際し、参考とすべきポイントは以下の通りである。

d. 個人情報の取扱いを委託する場合における受託者の選定基準、委託契約書のひな型などの整備とそれらに従った運用

e. 定められた規程等に従って業務手続きが適切に行われたことを示す監査証跡の保持

［保持しておくことが望ましい監査証跡としては、個人情報に関する情報システム利用申請書、

ある従業員に特別な権限を付与するための権限付与申請書、情報システム上の利用者とその権

限の一覧表、建物などへの入退館記録、個人情報へのアクセスの記録（例えば、誰がどのよう

な操作を行ったかを記録）、教育受講者一覧表が考えられる。］

(3)個人データの取扱い状況を一覧できる手段の整備をする上で望まれる事項

a. 個人情報について、取得する項目、通知した利用目的、保管場所、保管方法、アクセス権限を有する者、利用期限、その他個人情報の適正な取扱いに必要な情報を記した個人情報取扱台帳

の整備

b. 個人情報取扱台帳の内容の定期的な確認による最新状態の維持

(4)個人データの安全管理措置評価、見直し及び改善をする上で望まれる事項

a. 監査計画の立案と、計画に基づく監査（内部監査または外部監査）の実施

b. 監査実施結果の取りまとめと、代表者への報告

c. 監査責任者から受ける監査報告、個人情報に対する社会通念の変化及び情報技術の進歩に応じた定期的な安全管理措置の見直し及び改善

(5)事故または違反への対処をする上で望まれる事項

a. 事実関係、再発防止策などの公表

b. その他、以下の項目などの実施

1) 事実調査

2) 影響範囲の特定

3) 影響を受ける可能性のある本人及び主務大臣への報告

4) 原因の究明

5) 再発防止の検討・実施

【個人データの取扱いに関する規程等に記載することが望まれる事項】

以下、a.取得・入力、b.移送・送信、c.利用・加工、d.保管・バックアップ、e.消去・廃棄という、個人データの取扱いの流れに従い、そのそれぞれにつき規程等に記載することが望まれる事項を

列記する。

a. 取得・入力

1)作業責任者の明確化

●個人データを取得する際の作業責任者の明確化

●取得した個人データを情報システムに入力する際の作業責任者の明確化

（以下、併せて「取得・入力」という。）

2)手続の明確化と手続に従った実施

●取得・入力する際の手続の明確化

●定められた手続による取得・入力の実施

●権限を与えられていない者が立ち入れない建物、部屋（以下「建物等」という。）での入力

作業の実施。

●個人データを入力できる端末の、業務上の必要性に基づく限定

●個人データを入力できる端末に付与する機能の、業務上の必要性に基づく限定

（例えば、個人データを入力できる端末では、ＣＤ−Ｒ、ＵＳＢメモリ等の外部記録媒体を接続できないようにする。）

3)作業担当者の識別、認証、権限付与

●個人データを取得・入力できる作業担当者の、業務上の必要性に基づく限定

●ＩＤとパスワードによる認証、生体認証等による作業担当者の識別

●作業担当者に付与する権限の限定

●個人データの取得・入力業務を行う作業担当者に付与した権限の記録

4)作業担当者及びその権限の確認

●手続の明確化と手続に従った実施及び作業担当者の識別、認証、権限付与の実施状況の確認

●アクセスの記録、保管と、権限外作業の有無の確認

b. 移送・送信

1)作業責任者の明確化

●個人データを移送・送信する際の作業責任者の明確化

2)手続の明確化と手続に従った実施

●個人データを移送・送信する際の手続の明確化

●定められた手続による移送・送信の実施

●個人データを移送・送信する場合の個人データの暗号化（例えば、公衆回線を利用して個人データを送信する場合）移送時におけるあて先確認と受領確認（例えば、配達記録郵便等の利用）

●ＦＡＸ等におけるあて先番号確認と受領確認

●個人データを記した文書をＦＡＸ等に放置することの禁止

●暗号鍵やパスワードの適切な管理

3)作業担当者の識別、認証、権限付与

●個人データを移送・送信できる作業担当者の、業務上の必要性に基づく限定

●ＩＤとパスワードによる認証、生体認証等による作業担当者の識別

●作業担当者に付与する権限の限定（例えば、個人データを、コンピュータネットワークを介して送信する場合、送信する者は個人データの内容を閲覧、変更する権限は必要ない。）

●個人データの移送・送信業務を行う作業担当者に付与した権限の記録

4)作業担当者及びその権限の確認

●手続の明確化と手続に従った実施及び作業担当者の識別、認証、権限付与の実施状況の確認

●アクセスの記録、保管と、権限外作業の有無の確認

c. 利用・加工

1)作業責任者の明確化

●個人データを利用・加工する際の作業責任者の明確化

2)手続の明確化と手続に従った実施

●個人データを利用・加工する際の手続の明確化

●定められた手続による利用・加工の実施

●権限を与えられていない者が立ち入れない建物等での利用・加工の実施

●個人データを利用・加工できる端末の、業務上の必要性に基づく限定

●個人データを利用・加工できる端末に付与する機能の、業務上の必要性に基づく限定（例えば、個人データを閲覧だけできる端末では、ＣＤ−Ｒ、ＵＳＢメモリ等の外部記録媒体を接続できないようにする。）

3)作業担当者の識別、認証、権限付与

●個人データを利用・加工する作業担当者の、業務上の必要性に基づく限定

●ＩＤとパスワードによる認証、生体認証等による作業担当者の識別

●作業担当者に付与する権限の限定（例えば、個人データを閲覧することのみが業務上必要とされる作業担当者の対し、個人データの複写、複製を行う権限は必要ない。）

●個人データを利用・加工する作業担当者に付与した権限（例えば、複写、複製、印刷、削除、変更等）の記録

4)作業担当者及びその権限の確認

●手続の明確化と手続きに従った実施及び作業担当者の識別、認証、権限付与の実施状況の確認

●アクセスの記録、保管と権限外作業の有無の確認

d. 保管・バックアップ

1)作業責任者の明確化

●個人データを保管・バックアップする際の作業責任者の明確化

2)手続の明確化と手続に従った実施

●個人データを保管・バックアップする際の手続※の明確化

※情報システムで個人データを処理している場合は、個人データのみならず、オペレーティングシステム（ＯＳ）やアプリケーションのバックアップも必要となる場合がある。

●定められた手続による保管・バックアップの実施

●個人データを保管・バックアップする場合の個人データの暗号化

●暗号鍵やパスワードの適切な管理

●個人データを記録している媒体を保管する場合の施錠管理

●個人データを記録している媒体を保管する部屋、保管庫等の鍵の管理

●個人データを記録している媒体の遠隔地保管

●個人データのバックアップから迅速にデータが復元できることのテストの実施

●個人データのバックアップに関する各種事象や障害の記録

3)作業担当者の識別、認証、権限付与

●個人データを保管・バックアップする作業担当者の、業務上の必要性に基づく限定

●ＩＤとパスワードによる認証、生体認証等による作業担当者の識別

●作業担当者に付与する権限の限定（例えば、個人データをバックアップする場合、その作業担当者は個人データの内容を閲覧、変更する権限は必要ない。）

●個人データの保管・バックアップ業務を行う作業担当者に付与した権限（例えば、バックアップの実行、保管庫の鍵の管理等）の記録

4)作業担当者及びその権限の確認

●手続の明確化と手続に従った実施及び作業担当者の識別、認証、権限付与の実施状況の確認

●アクセスの記録、保管と権限外作業の有無の確認

e. 消去・廃棄

1)作業責任者の明確化

●個人データを消去する際の作業責任者の明確化

●個人データを保管している機器、記録している媒体を廃棄する際の作業責任者の明確化

2)手続の明確化と手続に従った実施

●消去・廃棄する際の手続の明確化

●定められた手続による消去・廃棄の実施

●権限を与えられていない者が立ち入れない建物等での消去・廃棄作業の実施

●個人データを消去できる端末の、業務上の必要性に基づく限定

●個人データが記録された媒体や機器をリース会社に返却する前の、データの完全消去（例え

ば、意味のないデータを媒体に１回または複数回上書きする。）

●個人データが記録された媒体の物理的は破壊（例えば、シュレッダー、メディアシュレッダー等で破壊する。）

3)作業担当者の識別、認証、権限付与

●個人データを消去・廃棄できる作業担当者の、業務上の必要性に基づく限定

●ＩＤとパスワードによる認証、生体認証等による作業担当者の識別

●作業担当者に付与する権限の限定

●個人データの消去・廃棄を行う作業担当者に付与した権限の記録

4)作業担当者及びその権限の確認

●手続の明確化と手続に従った実施及び作業担当者の識別、認証、権限付与の実施状況の確認

●アクセスの記録、保管、権限外作業の有無の確認

５−２ 人的安全管理措置

【人的安全管理措置として講じなければならない事項】

(1) 雇用契約時及び委託契約時における非開示契約の締結

(2) 従業員に対する周知・教育・訓練の実施

人的安全管理措置

従業員に対する個人情報の非開示契約の締結や教育・訓練等を行うこと。

個人情報は個人情報管理者が管理し、原則として持出し・提供・配送・伝送を禁止する

必要な場合は個別の承認を得て行うものとし、その際の記録は残すこと

人的安全管理措置とは、従業員に対する、業務上の機密保持のあり方、教育・研修、従業員に対する適切な監督、事故者・違反者に対する罰則のあり方等を指す。措置を講じるに際し、参考とすべきポイントは以下の通りである。

【各項目について望まれる事項】

(1)雇用契約時及び委託契約時における非開示契約の締結をする上で望まれる事項

●従業員の採用時または委託契約時における非開示契約の締結

※雇用契約または委託契約等における非開示条項は、契約終了後も一定期間有効であるよう

にすることが望ましい。

●非開示契約に違反した場合の措置に関する規程の準備

※個人データを取扱う従業員ではないが、個人データを保有する建物等に立ち入る可能性がある者、個人データを取扱う情報システムにアクセスする可能性のある者についてもアクセス可能な関係者の範囲及びアクセス条件について契約書等に明記することが望ましい。

なお、個人データを取扱う従業員以外の者には、情報システムの開発・保守関係者、清掃担当者、警備員等が含まれる。

(2)従業員に対する周知・教育・訓練を実施する上で望まれる事項

●個人データ及び情報システムの安全管理に関する従業員の役割及び責任を定めた内部規程等についての周知

●個人データ及び情報システムの安全管理に関する従業員の役割及び責任についての教育・訓練の実施

●従業員に対する必要かつ適切な教育・訓練が実施されていることの確認

５−３ 物理的安全管理措置

【人的安全管理措置として講じなければならない事項】

(1) 入退館（室）の管理

(2) 盗難等の防止

(3) 機器・装置等の物理的な保護対策

物理的安全管理措置

個人情報の盗難の防止等の措置

【各項目について望まれる事項】

(1)入退館（室）管理を実施する上で望まれる事項

●個人データを取扱う業務上の、入退館（室）管理を実施している物理的に保護された室内での実施

●個人データを取扱う情報システム等の、入退館（室）管理を実施している物理的に保護された室内等への設置

(2)盗難等を防止する上で望まれる事項

●離席時の個人データを記した書類、媒体、携帯可能なコンピュータ等の、机上等への放置の

禁止

●離席時のパスワード付きスクリーンセーバー等の起動

●個人データを含む媒体の施錠保管

●氏名、住所、メールアドレス等を記載した個人データとそれ以外の個人データの分離保管

●個人データを取扱う情報システムの操作マニュアルの、机上等への放置の禁止

物理的安全管理措置とは、具体的には、入退館（室）の管理、個人データ盗難の防止等の措置をいう。措置を講じるに際し、参考とすべきポイントは以下の通りである。

 (3)機器・装置等を物理的に保護する上で望まれる事項

●個人データを取扱う機器・装置等の、安全管理上の脅威（例えば、盗難、破壊、破損）や環境上の脅威（例えば、漏水、火災、停電）からの物理的な保護

５−４ 技術的安全管理措置

【技術的安全管理措置として講じなければならない事項】

(1) 個人データへのアクセスにおける識別と認証

(2) 個人データへのアクセスの制御

(3) 個人データへのアクセス権限の管理

(4) 個人データへのアクセス記録

(5) 個人データを取扱う情報システムについての不正ソフトウェア対策

(6) 個人データの移送・送信等の対策

(7) 個人データを取扱う情報システムの動作確認時の対策

(8) 個人データを取扱う情報システムの監視

【各項目について望まれる事項】

(1)個人データへのアクセスにおける識別と認証を行う上で望まれる事項

●個人データに対する正当なアクセスであることを確認するためにアクセス権限を有する従業員本人であることの識別と認証（例えば、ＩＤとパスワードによる認証、生体認証等）の実施

※ＩＤとパスワードを使用する場合には、パスワードの有効期限の設定、同一または類似パスワードの再利用の制限、最低パスワード文字数の設定、一定回数以上ログインに失敗したＩＤを停止する等の措置を講じることが望ましい。

●個人データへのアクセス権限を有する各従業員が使用できる端末またはアドレス等の識別と認証（例えば、ＭＡＣアドレス認証、ＩＰアドレス認証、電子証明書や秘密分散技術を用いた認証等）の実施

(2)個人データへのアクセス制御を行う上で望まれる事項

●個人データへのアクセス権限を付与すべき従業員数の最小化

●識別に基づいたアクセス制御（パスワード設定をしたファイルがだれでもアクセスできる状態は、アクセス制御はされているが、識別されていないことになる。このような場合には、パスワードを知っている者が特定され、かつ、アクセスを許可する者に変更があるたびに、適切にパスワードを変更する必要がある。）

●従業員に付与するアクセス権限の最小化

●個人データを格納した情報システムへの同時利用者数の制限

●個人データを格納した情報システムの利用時間の制限（例えば、休業日や業務時間外等の時間帯には情報システムにアクセスできないようにする等）

●個人データを格納した情報システムへの無権限アクセスからの保護（例えば、ファイアウォール、ルータ等の設定）

技術的安全管理措置とは、具体的には、個人データ及びそれを取扱う情報システムへのアクセス制御、不正ソフトウェア対策、情報システムの監視等をいう。措置を講じるに際し、参考とすべきポイントは以下の通りである。

●個人データにアクセス可能なアプリケーションの無権限利用の防止（例えば、アプリケーションシステムに認証システムを実装する、業務上必要となる従業員が利用するコンピュータのみに必要なアプリケーションシステムをインストールする、業務上必要な機能のみメニューに表示させる等）

※情報システムの特権ユーザであっても、情報システムの管理上個人データの内容を知らなくてもよいのであれば、個人データへ直接アクセスできないようにアクセス制御をすることが望ましい。

※特権ユーザに対するアクセス制御については、例えば、トラステッドＯＳやセキュアＯＳ、アクセス制御機能を実現する製品等の利用が考えられる。

●個人データを取扱う情報システムに導入したアクセス制御機能の有効性の検証（例えば、ウェブアプリケーションのぜい弱性有無の検証）

(3)個人データへのアクセス権限の管理を行う上で望まれる事項

●個人データにアクセスできる者を許可する権限管理の適切かつ定期的な実施（例えば、定期的に個人データにアクセスする者の登録を行う作業担当者が適当であることを十分に審査し、その者だけが、登録等の作業を行えるようにする。）

●個人データを取扱う情報システムへの必要最小限のアクセス制御の実施

(4)個人データへのアクセスの記録を行う上で望まれる事項

●個人データへのアクセスや操作の成功と失敗の記録（例えば、個人データへのアクセスや操作を記録できない場合には、情報システムへのアクセスの成功と失敗の記録）

●採取した記録の漏洩、滅失及び毀損からの適切な保護

※個人データを取扱う情報システムの記録が個人情報に該当する場合があることに留意する。

(5)個人データを取扱う情報システムについて不正ソフトウェア対策を実施する上で望まれる事項

●ウィルス対策ソフトウェアの導入

●オペレーティングシステム（ＯＳ）、アプリケーション等に対するセキュリティ対策用修正ソフトウェア（いわゆるセキュリティパッチ）の適用

●不正ソフトウェア対策の有効性・安定性の確認（例えば、パターンファイルや修正ソフトウェアの更新の確認）

(6)個人データの移送（運搬、郵送、宅配便等）・送信時の対策の上で望まれる事項

●移送時における紛失・盗難が生じた際の対策（例えば、媒体に保管されている個人データの暗号化）

●盗聴される可能性のあるネットワーク（例えば、インターネットや無線ＬＡＮ等）で個人データを送信（例えば、本人及び従業員による入力やアクセス、メールに添付してファイルを送信する等を含むデータの転送等）する際の、個人データの暗号化

(7)個人データを取扱う情報システムの動作確認時の対策の上で望まれる事項

●情報システムの動作確認時のテストデータとして個人データを利用することの禁止

●情報システムの変更時に、それらの変更によって情報システムまたは運用環境のセキュリティが損なわれないことの検証

 (8)個人データを取扱う情報システムの監視を行う上で望まれる事項

●個人データを取扱う情報システムの使用状況の定期的な監視

●個人データへのアクセス状況（操作内容も含む。）の監視

※個人データを取扱う情報システムを監視した結果の記録が個人情報に該当する場合があることに留意する。

【個人情報安全管理の組織図】

代表者

個人情報安全管理委員会

・代表者への助言

・安全管理対策の企画、立案、評価、見直し

・その他個人情報の安全管理に関する事項全般

委員長

委員長は個人情報管理責任者

・自社用マニュアルの策定、ポイントを分かりやすくしたマニュアルの配布

・取扱手順書の作成、周知徹底

・社内規程の策定、周知徹底

・従業員からの誓約書の取得

・委託先からの契約書の取得

個人情報管理責任者（複数名）

・作業責任者の選定、権限の設定・管理

・保管場所

・個人情報の変更などの管理

・パスワード、識別コードの管理

・教育、研修

・保管、破棄

・取扱いに関する義務状況の報告

・委託、委託先に関する監督

・安全管理に関する事項

社内監査役

社外監査役

教育・研修責任者

・従業員に対する教育、研修

本社

作業責任者

作業担当者

個人情報取扱事業者は、その事業規模及び活動に応じて、個人情報を保護するためのコンプライ

アンス・プログラムを策定し、実施、維持・改善していくような体制を構築することが望ましい。

なお、その体制整備・運営に際しては経済産業省ガイドラインに準拠する