JA福岡京築トップ > 個人情報保護に関して > 個人情報取扱規程

個人情報保護に関して

個人情報取扱規程

平成25年4月1日制定

目次
第1章 総則
第2章 管理組織・体制
第3章 個人情報の取得および利用
第4章 個人データの適正管理
第5章 保有個人データに関する本人からの開示請求等への対応
第6章 個人情報保護にかかるその他の措置
第7章 監査
第8章 雑則

第1章 総則
(目的)
第1条 この規程は、当組合の個人情報保護方針に基づく個人情報の取扱いの基本事項を定めたもので、個人情報の保護と適正な利用を図ることを目的とする。
ただし、特定個人情報に係る固有の取扱いについては、「特定個人情報取扱規程」に定めるものとする。
(定義)
第2条 この規程において、次の各号に掲げる用語の定義は、当該各号に定めるところによる。
  1. 個人情報
    個人情報の保護に関する法律(以下「保護法」という。)第2条第1項、第2項に規定する個人情報をいう。
  2. 要配慮個人情報
    保護法第2条第3項に規定する要配慮個人情報をいう。
  3. 機微(センシティブ)情報
    金融分野における個人情報保護に関するガイドラインに規定されている機微(センシティブ)情報
  4. 個人データ
    保護法第16条第3項に規定する個人データをいう。
  5. 保有個人データ
    保護法第16条第4項に規定する保有個人データをいう。
  6. 仮名加工情報
    保護法第2条第5項に規定する仮名加工情報をいう。
  7. 匿名加工情報
    保護法第2条第6項に規定する匿名加工情報をいう。
  8. 個人関連情報
    保護法第2条7項に規定する個人関連情報をいう。
  9. 本人
    個人情報によって識別される特定の個人をいう。
  10. 10職員
    当組合の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者等をいい、雇用関係にある職員(正職員、契約職員、嘱託職員、パート職員、アルバイト職員等)のみならず、理事、監事、派遣職員等も含まれる。
第2章 管理組織・体制
(個人情報保護統括管理者等)
第3条 個人情報保護管理者として、理事会の決議に基づき理事の中から個人情報保護統括管理者(情報セキュリティ統括管理者と兼任。以下「統括管理者」という。)を選任し、個人情報の保護のための措置に関する業務を統括させるものとする。
  1. 統括管理者は、リスク管理部門長を個人情報保護統括責任者(以下「統括責任者」という。)として選任し、統括管理者を補佐し、個人情報保護に関する施策の立案とその実施についての指揮・監督に当たらせる。
  2. 統括責任者は個人情報保護部門責任者(以下「部門責任者」という。)を選任し、自らが管理している個人情報の保護に関する施策の実施およびその評価・改善に当たらせる。
  3. 統括責任者は、各支店・事業所に所属する者の中から、個人情報保護支店・事業所等責任者(以下「支店・事業所等責任者」という。)を選任する。
(統括管理者の職務)
第4条 統括管理者の職務は、次のとおりとする。ただし、その一部は必要に応じ統括責任者等に行わせることができる。この場合には、これらの者を適切に管理・監督しなければならない。
  1. (1)個人情報の安全管理措置の立案と実施の管理。
  2. (2)個人情報保護計画の策定と実施結果に基づく評価・改善。
  3. 前項の個人情報保護計画には次の事項を盛り込まなければならない。
  4. (1)個人情報保護に関する対応策の策定、実施、評価、改善。
  5. (2)個人データ取扱台帳の整備。
  6. (3)研修実施計画。
(教育・研修の実施)
第5条 統括管理者は、職員その他の関係者に対して、個人情報保護計画に基づく教育・研修を効果的に行い、個人情報の重要性を自覚させる手順・方法を確立し維持しなければならない。
第3章 個人情報の取得および利用
(取得の原則)
第6条 個人情報の取得は、適法、かつ公正な手段によって行わなければならない。

② 個人情報の取得に当たっては、取得の状況からみて利用目的が明らかであると認められる場合を除き、あらかじめ目的を特定して、その目的の達成に必要な限度において行わなければならない。
③ 新しい目的で個人情報を取得・収集するときには、職員は支店・事業所等責任者を通じ部門責任者に届け出なければならない。
④ 前項の届け出を受けた部門責任者は、直ちに統括責任者との協議を経て、統括管理者の承諾を得なければならない。

(要配慮個人情報の取得)
第7条 要配慮個人情報については、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで取得してはならない。
  1. 法令等に基づく場合
  2. 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
  3. 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
  4. 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
  5. 当組合と学術研究機関等が共同して学術研究を行う場合において、当該学術研究機関等から当該要配慮個人情報を取得する場合であって当該要配慮個人関連情報を学術研究目的で取得する必要があるとき(当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)
  6. 当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、法に掲げる者により公開されている場合
  7. 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合
  8. 法第27条第5項各号の規程により、個人データである要配慮個人情報の提供を受ける場合
(機微(センシティブ)情報の取扱い)
第7条の2 機微(センシティブ)情報については、次に掲げる場合を除くほか、取得・利用または第三者提供を行わない。
  1. 法令等に基づく場合
  2. 人の生命、身体又は財産の保護のために必要がある場合
  3. 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合
  4. 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合
  5. 法第20条第2項第6号に掲げる場合に機微情報を取得する場合、法第18条第3項6号に掲げる場合に機微情報を利用する場合、または法第27条第1項第7号の掲げる場合に機微情報を第三者提供する場合
  6. 源泉徴収事務等の遂行上必要な範囲において、政治・宗教等の団体若しくは労働組合への所属若しくは加盟に関する従業員等の機微情報を取得し、利用し、または第三者提供する場合
  7. 相続手続きによる権利義務の移転等の遂行に必要な限りにおいて、機微情報を取得、利用又は第三者提供する場合
  8. 共済事業その他組合の適切な業務運営を確保する必要性から、本人の同意に基づき業務遂行上必要な範囲で機微(センシティブ)情報を取得し、利用し、または第三者提供する場合
  9. 機微(センシティブ)情報に該当する生体認証情報を本人の同意に基づき、本人確認に用いる場合
(本人から書面で個人情報を直接取得する場合の措置)
第8条 本人との契約を締結することに伴って契約書その他の書面(電子的方式、磁気的方式その他の他人の知覚によっては認識することができない方式で作られる記録を含む。以下同じ。)に記載された当該本人の個人情報を取得する場合その他本人から直書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、次の事項を明示したうえでなければ、これを行ってはならないものとする。
  1. 利用目的
  2. 個人情報を第三者に提供することが予定される場合には、その旨
  1. 利用目的の達成に必要な場合には、前項で特定した利用目的と関連性を有すると合理的に認められる範囲において利用目的を変更することができるが、この場合には変更された利用目的について、本人に通知し、又は公表しなければならない。
  2. 前2項の規定は、次に掲げる場合については、適用しない。
  1. (1)利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
  2. (2)利用目的を本人に通知し、又は公表することにより当組合の権利又は正当な利益を害するおそれがある場合
  3. (3)国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき
  4. (4)取得の状況からみて利用目的が明らかであると認められる場合
(書面以外の方法により個人情報を直接取得する場合の措置)
第9条 統括管理者は、当組合が書面による方法以外の方法により個人情報を取得する場合には、あらかじめその利用目的を当組合のインターネット・ホームページへの掲載、店頭における掲示又はパンフレット等への掲載の方法によって公表している場合を除き、速やかに、その利用目的を本人に通知するか、又は公表しなければならないものとする。
  1. 前条第2項および第3項の規定は、書面による方法以外の方法により取得した個人情報の取扱いにつき準用する。
(目的外の利用の禁止とその例外)
第10条 本人の同意を得たうえでなければ、前2条により特定された利用目的の達成に必要な範囲を超えて、個人情報を取扱ってはならないものとする。ただし、次に掲げる場合はこの限りではない。
  1. (1)法令に基づく場合
  2. (2)人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
  3. (3)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
  4. (4)国の機関もしくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
  5. (5)学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が、当該個人データを学術研究目的で取り扱う必要があるとき(当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く)
(目的外の利用の場合の措置)
第11条 取得目的の範囲を超えて個人情報の利用を行う場合においては、統括管理者の承認を受けた上、あらかじめ本人の同意を得なければならない。
(不適正利用の禁止)
第11条の2 違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない
(職員の個人情報にかかる取扱い)
第12条 当組合は、職員の個人情報を収集する場合には、職員本人から直接取得するものとする。ただし、次に掲げる場合にあってはこの限りでない。
  1. 取得目的、取得先、取得項目等を事前に職員本人に通知したうえで、その同意を得て行う場合
  2. 法令に定めがある場合
  3. 職員本人の生命、身体又は財産の保護のために緊急に必要があると認められる場合
  4. 業務の性質上職員本人から取得したのでは業務の適正な実施に支障を生じ、その目的を達成することが困難であると認められる場合
  5. 前各号に掲げる場合の他、職員本人以外の者から取得することに相当の理由があると認められる場合
  1. 当組合は、破棄又は削除もしくは職員本人に返却する場合を除き、取得目的の範囲を超えてその個人情報を処理してはならない。
  2. 当組合は、職員の機微(センシティブ)情報を収集してはならない。ただし、法令に定めがある場合および特別な職業上の必要性があること、その他業務の適正な実施に必要不可欠であって、利用目的を示して本人から同意を得て収集する場合は、この限りでない。
(仮名加工情報の作成等)
第12条の2 仮名加工情報(仮名加工情報データベース等を構成するものに限る。以下同じ。)を作成するときは、個人情報取扱細則で定める基準に従い、個人情報を加工するものとする。
  1. 仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等(仮名加工情報の作成に用いられた個人情報から削除された記述等及び個人識別符号並びに前項の規定により行われた加工の方法に関する情報をいう。以下同じ。)を取得したときは、削除情報等の漏えいを防止するため、個人情報取扱細則で定める安全管理措置を講ずるものとする。
  2. 法令に基づく場合を除くほか、第17条第1項の規定により特定された利用目的の達成に必要な範囲を超えて、仮名加工情報(個人情報であるものに限る。以下この条において同じ。)を取り扱ってはならない。
  3. 個人情報である仮名加工情報を取得した場合には、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を公表するものとする。また、利用目的の変更を行った場合には、変更後の利用目的を公表するものとする。ただし、法に定めがある場合にはこの限りではない。
  4. 仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞なく消去するよう努めるものとする。
  5. 法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供しないものとする。
  6. 仮名加工情報を取り扱うに当たっては、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該仮名加工情報を他の情報と照合しないものとする。
  7. 個人情報である仮名加工情報を取り扱う場合には、電話をかけ、郵便若しくは信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報の利用を行わないものとする。
  8. 法令に基づく場合を除くほか、仮名加工情報(個人情報であるものを除く。)を第三者に提供してはならない。
(匿名加工情報の作成等)
第13条 匿名加工情報(匿名加工情報データベース等を構成するものに限る。以下同じ。)を作成するときは、特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにするために必要なものとして個人情報取扱細則で定める基準に従い、当該個人情報を加工しなければならない。
  1. 当組合は、匿名加工情報を作成したときは、その作成に用いた個人情報から削除した記述等及び個人識別符号並びに前項の規定により行った加工の方法に関する情報の漏えいを防止するために必要なものとして個人情報取扱細則で定める基準に従い、これらの情報の安全管理のための措置を講じなければならない。
  2. 当組合は、匿名加工情報を作成したときは、個人情報取扱細則で定めるところにより、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない。
  3. 当組合は、匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは、個人情報取扱細則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。
(識別行為の禁止)
第14条 当組合は、匿名加工情報を作成して自ら当該匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該匿名加工情報を他の情報と照合してはならない。
第4章 個人データの適正管理
(個人データの正確性の確保)
第15条 統括責任者は、個人データを利用目的に応じ必要な範囲内において、正確かつ最新の状態で管理しなければならない。また、その取り扱う個人データについて、利用目的の達成に必要な範囲内で保存期間を定めるよう努め、当該保存期間経過後又は利用目的を達成した後は、遅滞なくこれを消去するよう努めなければならない。
(安全管理措置)
第16条 当組合は、個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のため、必要かつ適切な措置(安全管理措置)を講じなければならない。この場合において、安全管理措置は、個人データが漏洩、滅失又は棄損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質、個人データの取扱状況および個人データを記録した媒体の性質等に起因するリスクに応じたものとする。
  1. 前項の安全管理措置は、以下の5つの観点から講じる。
  1. 組織的安全管理措置
    個人データの安全管理措置について役職員の責任と権限を明確に定め、安全管理に関する規程等を整備・運用し、その実施状況の点検・監査を行うこと等の体制整備および実施措置をいう。
  2. 人的安全管理措置
    役職員との個人データの非開示契約等の締結および役職員に対する教育・訓練等を実施し、個人データの安全管理が図られるよう役職員を監督することをいう。
  3. 物理的安全管理措置
    個人データを取扱う区域の管理、個人データの盗難の防止、電子媒体等を持ち運ぶ場合の漏えい等の防止、個人データの削除および機器、電子媒体の廃棄等の措置をいう。
  4. 技術的安全管理措置
    個人データおよびそれを取り扱う情報システムへのアクセス制御および情報システムの監視等の個人データの安全管理に関する技術的な措置をいう。個人データにかかる技術的安全管理措置については、別に定める「情報セキュリティ基本方針」および「情報セキュリティ基本規程」の定めるところによる。
  5. 外的環境の把握
    外国において個人データを取り扱う場合、個人データの安全管理のために必要かつ適切な措置を講じられるよう、当該外国の個人情報の保護に関する制度等を把握するものとする。
(個人データの具体的取扱い)
第17条 統括管理者は、個人データの取得・入力、利用・加工、保管・保存、移送・送信、消去・廃棄等にかかる具体的取扱いを「個人情報取扱細則」において定め、その運用については統括責任者、部門責任者および支店・事業所等責任者により監督させなければならない。
(個人データ取扱台帳の整備)
第18条 個人データの取扱状況を確認できる手段の整備として、保管場所、期間等を管理する台帳(以下、「個人データ取扱台帳」という。)を整備する。
  1. 個人データ取扱台帳の内容については、定期的に確認することにより最新状態を維持する。
(個人データの共同利用)
第19条 個人データを第三者との間で共同利用する場合、職員は共同して利用する個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名を支店・事業所等責任者および部門責任者を通じ統括責任者に届け出なければならない。
  1. 前項の通知を受けた統括責任者は、統括管理者と協議し、その承認を得なければならない。
  2. 個人データの共同利用は、統括管理者の承認を得て、統括責任者が必要な措置を講じた後でなければならない。
(共同利用についての公表等)
第20条 取得した個人情報に係る個人データを特定の者と共同して利用する場合にあっては、その旨ならびに共同して利用される個人データ項目、共同で利用する者の範囲、利用する者の利用目的および当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、第9条の定める方法により本人が容易に知り得る状態においておくか又は本人に通知しなければならない。
  1. 前項の場合において、個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名に変更があったときは遅滞なく、利用目的又は当該責任を有する者を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
(個人データの第三者への提供)
第21条 個人データを第三者に提供する場合には、あらかじめ支店・事業所等責任者および部門責任者を通じ統括責任者に届け出るものとする。ただし、第3項第3号に掲げる場合であって緊急を要する場合はこの限りでない。
  1. 前項の通知を受けた統括責任者は、統括管理者と協議し、その承認を得なければならない。
  2. 前項の承認は、次の各号のいずれかに該当する場合を除き、行ってはならない。
    1. (1)本人の同意を得ている場合
    2. (2)法令に基づく場合
    3. (3)人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
    4. (4)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
    5. (5)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
    6. (6)当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき(当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く)
  3. 第3項第1号に規定する本人の同意を得る際には、次に掲げる事項を本人に認識させたうえで、原則として、書面により同意を得る。
    ただし、本人の同意を得ようとする時点において、提供先の第三者が特定できないような場合には、それに代わる参考情報を本人に認識させたうえで、同意を得る。
    1. 1個人データの提供先の第三者
    2. 2提供先の第三者における利用目的
    3. 3第三者に提供される個人データの項目
(外国にある第三者への提供の制限)
第22条 当組合は、個人データを外国にある第三者に提供するに当たっては、次の各号のいずれかに該当する場合を除き、あらかじめ「外国にある第三者への個人データの提供を認める旨の本人の同意」を得なければならない。
  1. 1当該第三者が、わが国と同等の水準にあると認められる個人情報保護制度を有している国として施行規則で定める国にある場合(平成31年1月23日個人情報保護委員会公示第1号参照)
  2. 2当該第三者が、個人情報取扱事業者が講ずべき措置に相当する措置(以下「相当措置」という。)を継続的に講ずるために必要な体制として施行規則で定める基準に適合する体制を整備している場合
  3. 3次に掲げる場合
  1. (1)法令(外国法令は含まない。)にもとづく場合
  2. (2)人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難である場合
  3. (3)公衆衛生の向上または児童の健全な育成の推進のために必要がある場合であって、本人の同意を得ることが困難である場合
  4. (4)国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがある場合
  1. 前項に規定する本人の同意を得ようとする場合には、あらかじめ次に掲げる情報を電磁的記録の提供による方法、書面の交付による方法その他適切な方法により、本人に提供する。この場合において、提供先の第三者が所在する外国が特定できない場合には、金融共済部に相談する。
    1. 1当該国の名称
    2. 2適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報
    3. 3当該第三者が講ずる個人情報の保護のための措置に関する情報
  2. 前項の本人の同意を得る際には、書面における記載を通じて、次に掲げる事項を本人に認識させたうえで同意を得る。この場合において、本人の同意を得ようとする時点で、提供先の第三者が特定できない場合には金融共済部に相談する。
    1. 1個人データの提供先の第三者
    2. 2提供先の第三者における利用目的
    3. 3第三者に提供される個人データの目的
  3. 第1項第2号の「個人情報取扱事業者が講ずべき措置に相当する措置(以下「相当措置」という。)を継続的に講ずるために必要な体制は、次に掲げるいずれかをいう。
    この場合において、外国にある第三者に個人データを提供する場合には法第28条(外国にある第三者への提供の制限)の規程は適用されないが、当該各号に従い、当該提供の時点で、⑴当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無およびその内容、⑵当該制度がある場合、当該第三者による相当措置の継続的な実施の確保の可否を、適切かつ合理的な方法により確認しなければならない。また、当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、相当措置も継続的な実施の確保が困難となったときは、個人データの当該第三者への提供を停止する。
    1. 1当組合と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第4章第2節に規定の趣旨に沿った措置の実施が確保されていること。
    2. 2個人データの提供を受ける者が、個人情報の取扱いにかかる国際的な枠組みに基づく認定を受けていること。
  4. 前項に場合において、本人からの求めに応じて、当組合は事後的に外国にある第三者への提供に関する情報を提供しなければならないが、当該求めがあった場合は、金融共済部に相談する。
(第三者提供に係る記録の作成等)
第23条 個人データを第三者(国の機関、地方公共団体、独立行政法人等、地方独立行政法人を除く。以下第24条から第25条の2において同じ。)に提供したときは、当該個人データを提供した年月日等の個人情報取扱細則で定める事項に関する記録を作成しなければならない。
  1. 前項の記録を、当該記録を作成した日から個人情報取扱細則で定める期間保存しなければならない。
(第三者提供を受ける際の確認等)
第24条 第三者から個人データの提供を受けるに際しては、個人情報取扱細則で定めるところにより、次に掲げる事項の確認をしなければならない。ただし、当該個人データの提供が保護法第27条第1項各号による場合又は同第5項各号に該当する場合は、この限りではない。
  1. 当該第三者の氏名または名称及び住所並びに法人にあっては、その代表者(法人でない団体で代表者または管理人の定めのあるものにあっては、その代表者または管理人)の氏名
  2. 当該第三者による当該個人データの取得の経緯
  1. 第1項による確認を行ったときは、当該個人データの提供を受けた年月日等の個人情報取扱細則で定める事項に関する記録を作成しなければならない。
  2. 前項の記録を、当該記録を作成した日から個人情報取扱細則で定める期間保存しなければならない。
(個人関連情報の第三者提供の制限等)
第25条 提供先の第三者が個人関連情報(個人関連情報データベース等を構成するものに限る。以下同じ。)を個人データとして取得することが想定されるときは、保護法第27条第1項各号に掲げる場合を除き、当該第三者が当組合から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていることについてあらかじめ個人情報保護委員会規則で定めるところにより確認をしないで、当該個人関連情報を提供してはならない。
  1. 前項により個人関連情報を第三者に提供した場合には、個人情報取扱細則に定めるところにより、その確認にかかる記録を作成・保存するものとする。
(個人関連情報を個人データとして取得する場合の対応)
第25条の2 当組合が第三者から個人関連情報を個人データとして取得することが想定されるときは、保護法第27条第1項各号に掲げる場合を除き、本人から、当該第三者から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の同意を取得するものとする。
  1. 前項により第三者から個人関連情報を個人データとして取得する場合には、第24条に定めるところにより、確認および記録の作成・保存を行うものとする。
(個人データの取扱いの委託)
第26条 当組合は、個人データの処理を第三者に委託する場合には、当該個人データについて安全管理措置が適切に講じられるよう、委託先に対し必要かつ適切な監督を行わなければならない。
  1. 前項による監督は、取扱いを委託する個人データの内容及び個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質等に起因するリスクに応じたものとし、具体的な取り扱いは、個人情報取扱細則の定めるところによる。
第5章 保有個人データに関する本人からの開示請求等への対応
(保有個人データに関する事項の公表等)
第27条 保有個人データに関し、次に掲げる事項について、本人の知り得る状態(本人の求めに応じて遅滞なく回答する場合を含む。以下同じ。)に置くものとする。
  1. (1)当組合の名称及び住所並びに代表者の氏名
  2. (2)すべての保有個人データの利用目的(保護法第21条第4項第1号から第3号までに該当する場合を除く)
  3. (3)第32条の開示等の手続に関する事項(第33条の規定により手数料の額を定めたときは、その手数料の額を含む。)
  4. (4)保有個人データの取扱いに関する当組合における苦情の申出先
  5. (5)保有個人データの安全管理のために講じた措置
② 本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、次の各号のいずれかに該当する場合を除き、本人に対し、遅滞なく、これを通知しなければならない。
  1. (1)あらかじめ本人が知り得る状態にしてあることにより、当該本人が識別される保有個人データの利用目的が明らかな場合
  2. (2)次に掲げる場合
    1.  ⅰ利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
    2.  ⅱ利用目的を本人に通知し、又は公表することにより当組合の権利又は正当な利益を害するおそれがある場合
    3.  ⅲ国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき
③ 前項の規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
(本人からの開示請求等への対応)
第28条 本人から、当該本人が識別される保有個人データの開示(当該本人が識別される保有個人データが存在しないときにその旨を知らせることを含む。以下同じ。)を求められたときは、本人に対し、個人情報取扱細則に定める電磁的記録の提供による方法(当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法)又は書面の交付のうち当該本人が請求した方法により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
  1. (1)本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
  2. (2)当組合の業務の適正な実施に著しい支障を及ぼすおそれがある場合
  3. (3)法以外の他の法令に違反することとなる場合
  1. 前項の規定に基づき求められた保有個人データの全部若しくは一部について開示しない旨の決定をしたとき、当該保有個人データが存在しないとき、又は前項の規定により本人が請求した方法による開示が困難であるときは、本人に対し、遅滞なく、その旨を通知しなければならない。
  2. 法以外の他の法令の規定により、本人に対し第1項本文に規定する方法に相当する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている場合には、当該全部又は一部の保有個人データについては、同項の規定は適用しない。
  3. 第1項から第3項までの規定は、第22条及び第23条の規定により作成する第三者提供にかかる記録(その存否が明らかになることにより公益その他の利害が害されるものとして政令で定めるものを除く。)について準用する。
(訂正等)
第29条 本人から、当該本人が識別される保有個人データの内容が事実でないという理由によって当該保有個人データの内容の訂正、追加又は削除(以下この条において「訂正等」という。)を求められた場合には、その内容の訂正等に関して法以外の他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。
  1. 前項の規定に基づき求められた保有個人データの内容の全部もしくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨(訂正等を行ったときは、その内容を含む。)を通知しなければならない。
(利用停止等)
第30条 本人から、当該本人が識別される保有個人データが保護法第18条(利用目的の制限)若しくは保護法第19条(不適正な利用の禁止)の規定に違反して取扱われているという理由又は法第20条(適正な取得)の規定に違反して取得されたものであるという理由によって、当該保有個人データの利用の停止又は消去(以下この条において「利用停止等」という。)を求められた場合であって、その求めに理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
  1. 本人から、当該本人が識別される保有個人データが保護法第27条(第三者提供の制限)第1項の規定に違反して第三者に提供されているという理由によって、当該保有個人データの第三者への提供の停止を求められた場合であって、その求めに理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
  2. 本人から、当該本人が識別される保有個人データを当組合が利用する必要がなくなったという理由、当該本人が識別される保有個人データに係る法第 26 条第1項本文に規定する事態が生じたという理由その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがあるとの理由によって、当該保有個人データの第三者への提供の停止を求められた場合であって、その求めに理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
  3. 第1項若しくは第3項の規定に基づき求められた保有個人データの全部もしくは一部について利用停止等を行ったときもしくは利用停止等を行わない旨の決定をしたとき、又は第2項若しくは第3項の規定に基づき求められた保有個人データの全部もしくは一部について第三者への提供を停止したときもしくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。
(理由の説明)
第31条 第27条第3項、第28条第2項(同条第4項により準用する場合を含む。)第29条第2項又は前条第4項の規定により、本人から求められた措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、その理由を説明するよう努めるものとする。
(開示等の求めに応じる手続)
第32条 第27条第2項、第28条第1項(同条第4項により準用する場合を含む。)第29条第1項又は第30条第1項から第3項の規定による求め(以下「開示等の求め」という。)に応じる手続については、別に定める「保有個人データの開示等に関する手続規程」にて定めるほか、以下の事項に関して第27条第1項に基づき本人の知り得る状態に置くものとする。
  1. 開示等の求めの申出先
  2. 開示等の求めに際して提出すべき書面の様式その他の開示等の求めの方式
  3. 開示等の求めをする者(代理人を含む。)の本人確認の方法
  4. 利用目的の通知又は開示にかかる手数料金額とその徴収方法(無料とする場合を含む。)
  1. 前項の規定に基づき開示等の求めに関する手続を定めるにあたっては、本人に過重な負担を課すものとならないよう配慮するものとする。
(手数料)
第33条 第27条の利用目的の通知又は第28条の開示を求められたときは、別に定める手続により手数料を徴する。
(個人情報保護苦情・相談窓口の設置)
第34条 統括管理者は、個人情報の取扱いに関する苦情・相談を受付けて対応する窓口を設置し、この連絡先を本人に通知又は公表しなければならない。
  1. 前項の手続の細目は、「個人情報に係る苦情等対応手続規程」に定めるところによる。
第6章 個人情報保護にかかるその他の措置
(統括管理者への報告等)
第35条 個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって次に掲げる事態が発覚した場合には、事案を把握した者は直ちに部門責任者に報告しなければならない。この場合、報告を受けた部門責任者は統括責任者を通じて組合長及び統括管理者に直ちに報告しなければならない。
  1. 要配慮個人情報が含まれる個人データ(高度な暗号化その他個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条において同じ。)の漏えい、滅失若しくは毀損(以下「漏えい等」という。)が発生し、又は発生したおそれがある事態。
  2. 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
  3. 不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
  4. 個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態
  5. その他法令等において定めのある事態
(再発防止策の策定等)
第35条の2 前条の場合において、統括管理者は、個人データ漏えい等事実(おそれのある場合を含む。以下同じ)による被害が発覚時よりも拡大しないよう必要な措置を講ずるとともに、漏えい等事案の事実関係の調査及び原因  の究明に必要な措置を講じなければならない。
  1. 統括管理者は、前項により把握した事実関係による影響範囲の特定のために必要な措置を講ずるとともに、個人データの漏えい等事案の再発防止策の検討及び実施に必要な措置を講じなければならない。
(行政庁等への報告)
第35条の3 当組合は、第35条各号に掲げる事態を知ったときには、速やか(概ね3~5日以内)に、当該事態に関する次に掲げる事項(報告しようとする時点において把握しているものに限る。次項において同じ。)行政庁に報告しなければならない。
  1. 概要
  2. 漏えい等が発生し、又は発生したおそれがある個人データの項目
  3. 漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数
  4. 原因
  5. 二次被害又はそのおそれの有無及びその内容
  6. 本人への対応の実施状況
  7. 公表の実施状況
  8. 再発防止のための措置
  9. その他参考となる事項
  1. 当組合は、第35条各号に掲げる事態を知った日から30日以内(当該事態が第35条第3号に定めるものである場合にあっては、60日以内)に、当該事態に関する前項各号に定める事項(確報)を行政庁に報告しなければならない。なお、確報を行う時点において、合理的努力を尽くしたう上で、一部の事項が判明しておらず、全ての事項を報告することができない場合には、その時点で把握している内容を報告し、判明次第、報告を追完するものとする。
  2. 前項の報告内容は、理事会に報告することとする。
  3. 第1項及び第2項の報告内容は、必要に応じ中央会及び関係連合会に報告することとする。
(本人への通知)
第35条の4 当組合は、第35条第1号から第4号に掲げる事態が生じた場合(法令で定める場合を除く)は、本人に対し、当該事態を知った後、当該事態の状況に応じて速やかに、当該本人の権利利益を保護するために必要な範囲において、次に掲げる事項を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するためこれに代わるべき措置をとるときは、この限りではない。
  1. 1概要
  2. 2漏えい等が発生し、又は発生したおそれがある個人データの項目
  3. 3原因
  4. 4二次被害又はそのおそれの有無及びその内容
  5. 5その他参考となる事項
  1. 第35条第5号に掲げる事態が生じた場合の本人への通知は、必要に応じ、前項に準じ対応するものとする。
(公表)
第35条の5 当組合は、第35条各号に掲げる事態が生じた場合、二次被害の防止、類似事案の発生防止等の観点から公表することが適当と判断した場合には、事実関係及び再発防止策等について、速やかに公表するものとする。
(第35条の該当しない個人データの漏えい等が発生した場合の対応)
第35条の6 第35条各号に該当しない個人データの漏えい等事案が生じた場合の報告体制は、第35条に準じる。
  1. 前項の場合においては、再発防止策のほか、必要な措置を講ずる。
(主管部署)
第35条の7 個人データの漏えい等事案が発生した場合の主管部署は総務部とする。
(子会社において漏えい等が発生した場合の対応)
第36条 当組合は子会社において個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態の発生を把握した場合には、事態を総合的に勘案し、必要に応じて当該子会社に対して必要な支援をするように努める。
第7章 監査
(監査の実施)
第38条 当組合は、当組合における個人情報保護に関する措置が適切に行われているかどうかについて、少なくとも年1回は監査を実施し、その結果を常勤役員会に報告するとともに理事会に報告しなければならないものとする。
  1. 前項の監査は、内部監査担当部署が担うものとする。ただし、組合外の第三者に監査業務を委託することを妨げない。
(監査計画等)
第39条 内部監査部署の長は、年1回個人情報保護を含む監査計画を立案し、理事会に報告し理事会の承認を得なければならない。
  1. 前項の監査計画および内部監査の実施細則は、別に定める「個人情報保護に係る内部監査細則」による。
第8章 雑則
(個人情報の廃棄)
第39条の2 個人情報の廃棄については、個人情報取扱細則第12条に準じて取り扱う。
(職員の責務)
第40条 当組合の職員は、本規程その他個人情報の取扱いに関する諸規程を遵守し、個人情報を適切に取り扱わなければならない。
  1. 本規程およびその他の規程に定めるところと異なる取扱いを必要とする場合および当該規程に定めのない事項で取扱いに疑義等があるものについては、部門責任者又は統括責任者に相談し、その指示を仰ぐものとする。
(罰則)
第41条 当組合は、本規程に違反した職員に対して就業規則等に基づき懲戒その他の処分を検討しなければならない。
  1. 前項の手続は就業規則等に定めるところによる。
(規程の改廃)
第42条 この規程の改廃は、理事会の決議をもって行う。

附 則                 
この規程は、平成25年4月1日から施行する。

附 則                    
この規程の改正は、平成27年4月1日から施行する。

附 則                    
この規程の改正は、平成28年1月4日から施行する。

附 則
この規程の改正は、平成28年7月25日から施行する。

附 則
この規程の改正は、平成29年5月31日に施行し、平成29年5月30日から適用する。

附 則
この規程の改正は、平成30年1月1日から施行する。

附 則
この規程の改正は、令和 4年4月1日から施行する。

ページ先頭へ戻る
個人情報保護に関して行動計画書LINE利用規約 反社会的勢力等への対応苦情処理措置の概要金融円滑化への取組み利益相反管理方針の概要
top