1. ②統括管理者は、リスク管理部門長を個人情報保護統括責任者（以下「統括責任者」という。）として選任し、統括管理者を補佐し、個人情報保護に関する施策の立案とその実施についての指揮・監督に当たらせる。
2. ③統括責任者は個人情報保護部門責任者（以下「部門責任者」という。）を選任し、自らが管理している個人情報の保護に関する施策の実施およびその評価・改善に当たらせる。
3. ④統括責任者は、各支店・事業所に所属する者の中から、個人情報保護支店・事業所等責任者（以下「支店・事業所等責任者」という。）を選任する。

1. (1)個人情報の安全管理措置の立案と実施の管理。
2. (2)個人情報保護計画の策定と実施結果に基づく評価・改善。
3. ②前項の個人情報保護計画には次の事項を盛り込まなければならない。
4. (1)個人情報保護に関する対応策の策定、実施、評価、改善。
5. (2)個人データ取扱台帳の整備。
6. (3)研修実施計画。

②　個人情報の取得に当たっては、取得の状況からみて利用目的が明らかであると認められる場合を除き、あらかじめ目的を特定して、その目的の達成に必要な限度において行わなければならない。
③　新しい目的で個人情報を取得・収集するときには、職員は支店・事業所等責任者を通じ部門責任者に届け出なければならない。
④　前項の届け出を受けた部門責任者は、直ちに統括責任者との協議を経て、統括管理者の承諾を得なければならない。

1. １法令等に基づく場合
2. ２人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
3. ３公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
4. ４国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
5. ５当組合と学術研究機関等が共同して学術研究を行う場合において、当該学術研究機関等から当該要配慮個人情報を取得する場合であって当該要配慮個人関連情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）
6. ６当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、法に掲げる者により公開されている場合
7. ７本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合
8. ８法第２７条第５項各号の規程により、個人データである要配慮個人情報の提供を受ける場合

1. １法令等に基づく場合
2. ２人の生命、身体又は財産の保護のために必要がある場合
3. ３公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合
4. ４国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合
5. ５法第２０条第２項第６号に掲げる場合に機微情報を取得する場合、法第１８条第３項６号に掲げる場合に機微情報を利用する場合、または法第２７条第１項第７号の掲げる場合に機微情報を第三者提供する場合
6. ６源泉徴収事務等の遂行上必要な範囲において、政治・宗教等の団体若しくは労働組合への所属若しくは加盟に関する従業員等の機微情報を取得し、利用し、または第三者提供する場合
7. ７相続手続きによる権利義務の移転等の遂行に必要な限りにおいて、機微情報を取得、利用又は第三者提供する場合
8. ８共済事業その他組合の適切な業務運営を確保する必要性から、本人の同意に基づき業務遂行上必要な範囲で機微（センシティブ）情報を取得し、利用し、または第三者提供する場合
9. ９機微（センシティブ）情報に該当する生体認証情報を本人の同意に基づき、本人確認に用いる場合

1. １利用目的
2. ２個人情報を第三者に提供することが予定される場合には、その旨

1. ②利用目的の達成に必要な場合には、前項で特定した利用目的と関連性を有すると合理的に認められる範囲において利用目的を変更することができるが、この場合には変更された利用目的について、本人に通知し、又は公表しなければならない。
2. ③前2項の規定は、次に掲げる場合については、適用しない。

1. （1）利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
2. （2）利用目的を本人に通知し、又は公表することにより当組合の権利又は正当な利益を害するおそれがある場合
3. （3）国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき
4. （4）取得の状況からみて利用目的が明らかであると認められる場合

1. ②前条第2項および第3項の規定は、書面による方法以外の方法により取得した個人情報の取扱いにつき準用する。

1. （1）法令に基づく場合
2. （2）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
3. （3）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
4. （4）国の機関もしくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
5. （5）学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が、当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く）

1. １取得目的、取得先、取得項目等を事前に職員本人に通知したうえで、その同意を得て行う場合
2. ２法令に定めがある場合
3. ３職員本人の生命、身体又は財産の保護のために緊急に必要があると認められる場合
4. ４業務の性質上職員本人から取得したのでは業務の適正な実施に支障を生じ、その目的を達成することが困難であると認められる場合
5. ５前各号に掲げる場合の他、職員本人以外の者から取得することに相当の理由があると認められる場合

1. ②当組合は、破棄又は削除もしくは職員本人に返却する場合を除き、取得目的の範囲を超えてその個人情報を処理してはならない。
2. ③当組合は、職員の機微（センシティブ）情報を収集してはならない。ただし、法令に定めがある場合および特別な職業上の必要性があること、その他業務の適正な実施に必要不可欠であって、利用目的を示して本人から同意を得て収集する場合は、この限りでない。

1. ②仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等（仮名加工情報の作成に用いられた個人情報から削除された記述等及び個人識別符号並びに前項の規定により行われた加工の方法に関する情報をいう。以下同じ。）を取得したときは、削除情報等の漏えいを防止するため、個人情報取扱細則で定める安全管理措置を講ずるものとする。
2. ③法令に基づく場合を除くほか、第17条第1項の規定により特定された利用目的の達成に必要な範囲を超えて、仮名加工情報（個人情報であるものに限る。以下この条において同じ。）を取り扱ってはならない。
3. ④個人情報である仮名加工情報を取得した場合には、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を公表するものとする。また、利用目的の変更を行った場合には、変更後の利用目的を公表するものとする。ただし、法に定めがある場合にはこの限りではない。
4. ⑤仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞なく消去するよう努めるものとする。
5. ⑥法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供しないものとする。
6. ⑦仮名加工情報を取り扱うに当たっては、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該仮名加工情報を他の情報と照合しないものとする。
7. ⑧個人情報である仮名加工情報を取り扱う場合には、電話をかけ、郵便若しくは信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報の利用を行わないものとする。
8. ⑨法令に基づく場合を除くほか、仮名加工情報（個人情報であるものを除く。）を第三者に提供してはならない。

1. ②当組合は、匿名加工情報を作成したときは、その作成に用いた個人情報から削除した記述等及び個人識別符号並びに前項の規定により行った加工の方法に関する情報の漏えいを防止するために必要なものとして個人情報取扱細則で定める基準に従い、これらの情報の安全管理のための措置を講じなければならない。
2. ③当組合は、匿名加工情報を作成したときは、個人情報取扱細則で定めるところにより、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない。
3. ④当組合は、匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは、個人情報取扱細則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。

1. ②前項の安全管理措置は、以下の５つの観点から講じる。

1. １組織的安全管理措置
   個人データの安全管理措置について役職員の責任と権限を明確に定め、安全管理に関する規程等を整備・運用し、その実施状況の点検・監査を行うこと等の体制整備および実施措置をいう。
2. ２人的安全管理措置
   役職員との個人データの非開示契約等の締結および役職員に対する教育・訓練等を実施し、個人データの安全管理が図られるよう役職員を監督することをいう。
3. ３物理的安全管理措置
   個人データを取扱う区域の管理、個人データの盗難の防止、電子媒体等を持ち運ぶ場合の漏えい等の防止、個人データの削除および機器、電子媒体の廃棄等の措置をいう。
4. ４技術的安全管理措置
   個人データおよびそれを取り扱う情報システムへのアクセス制御および情報システムの監視等の個人データの安全管理に関する技術的な措置をいう。個人データにかかる技術的安全管理措置については、別に定める「情報セキュリティ基本方針」および「情報セキュリティ基本規程」の定めるところによる。
5. ５外的環境の把握
   外国において個人データを取り扱う場合、個人データの安全管理のために必要かつ適切な措置を講じられるよう、当該外国の個人情報の保護に関する制度等を把握するものとする。

1. ②個人データ取扱台帳の内容については、定期的に確認することにより最新状態を維持する。

1. ②前項の通知を受けた統括責任者は、統括管理者と協議し、その承認を得なければならない。
2. ③個人データの共同利用は、統括管理者の承認を得て、統括責任者が必要な措置を講じた後でなければならない。

1. ②前項の場合において、個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名に変更があったときは遅滞なく、利用目的又は当該責任を有する者を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

1. ②前項の通知を受けた統括責任者は、統括管理者と協議し、その承認を得なければならない。
2. ③前項の承認は、次の各号のいずれかに該当する場合を除き、行ってはならない。
   1. （1）本人の同意を得ている場合
   2. （2）法令に基づく場合
   3. （3）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
   4. （4）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
   5. （5）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
   6. （6）当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く）
3. ④第3項第1号に規定する本人の同意を得る際には、次に掲げる事項を本人に認識させたうえで、原則として、書面により同意を得る。
   ただし、本人の同意を得ようとする時点において、提供先の第三者が特定できないような場合には、それに代わる参考情報を本人に認識させたうえで、同意を得る。
   1. 1個人データの提供先の第三者
   2. 2提供先の第三者における利用目的
   3. 3第三者に提供される個人データの項目

1. 1当該第三者が、わが国と同等の水準にあると認められる個人情報保護制度を有している国として施行規則で定める国にある場合（平成31年1月23日個人情報保護委員会公示第1号参照）
2. 2当該第三者が、個人情報取扱事業者が講ずべき措置に相当する措置（以下「相当措置」という。）を継続的に講ずるために必要な体制として施行規則で定める基準に適合する体制を整備している場合
3. 3次に掲げる場合

1. （1）法令（外国法令は含まない。）にもとづく場合
2. （2）人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難である場合
3. （3）公衆衛生の向上または児童の健全な育成の推進のために必要がある場合であって、本人の同意を得ることが困難である場合
4. （4）国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがある場合

1. ②前項に規定する本人の同意を得ようとする場合には、あらかじめ次に掲げる情報を電磁的記録の提供による方法、書面の交付による方法その他適切な方法により、本人に提供する。この場合において、提供先の第三者が所在する外国が特定できない場合には、金融共済部に相談する。
   1. 1当該国の名称
   2. 2適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報
   3. 3当該第三者が講ずる個人情報の保護のための措置に関する情報
2. ③前項の本人の同意を得る際には、書面における記載を通じて、次に掲げる事項を本人に認識させたうえで同意を得る。この場合において、本人の同意を得ようとする時点で、提供先の第三者が特定できない場合には金融共済部に相談する。
   1. 1個人データの提供先の第三者
   2. 2提供先の第三者における利用目的
   3. 3第三者に提供される個人データの目的
3. ④第1項第2号の「個人情報取扱事業者が講ずべき措置に相当する措置（以下「相当措置」という。）を継続的に講ずるために必要な体制は、次に掲げるいずれかをいう。
   この場合において、外国にある第三者に個人データを提供する場合には法第28条（外国にある第三者への提供の制限）の規程は適用されないが、当該各号に従い、当該提供の時点で、⑴当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無およびその内容、⑵当該制度がある場合、当該第三者による相当措置の継続的な実施の確保の可否を、適切かつ合理的な方法により確認しなければならない。また、当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、相当措置も継続的な実施の確保が困難となったときは、個人データの当該第三者への提供を停止する。
   1. 1当組合と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、法第4章第2節に規定の趣旨に沿った措置の実施が確保されていること。
   2. 2個人データの提供を受ける者が、個人情報の取扱いにかかる国際的な枠組みに基づく認定を受けていること。
4. ⑤前項に場合において、本人からの求めに応じて、当組合は事後的に外国にある第三者への提供に関する情報を提供しなければならないが、当該求めがあった場合は、金融共済部に相談する。

1. ②前項の記録を、当該記録を作成した日から個人情報取扱細則で定める期間保存しなければならない。

1. １当該第三者の氏名または名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者または管理人の定めのあるものにあっては、その代表者または管理人）の氏名
2. ２当該第三者による当該個人データの取得の経緯

1. ②第１項による確認を行ったときは、当該個人データの提供を受けた年月日等の個人情報取扱細則で定める事項に関する記録を作成しなければならない。
2. ③前項の記録を、当該記録を作成した日から個人情報取扱細則で定める期間保存しなければならない。

1. ②前項により個人関連情報を第三者に提供した場合には、個人情報取扱細則に定めるところにより、その確認にかかる記録を作成・保存するものとする。

1. ②前項により第三者から個人関連情報を個人データとして取得する場合には、第24条に定めるところにより、確認および記録の作成・保存を行うものとする。

1. ②前項による監督は、取扱いを委託する個人データの内容及び個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質等に起因するリスクに応じたものとし、具体的な取り扱いは、個人情報取扱細則の定めるところによる。

1. （1）当組合の名称及び住所並びに代表者の氏名
2. （2）すべての保有個人データの利用目的（保護法第21条第4項第1号から第3号までに該当する場合を除く）
3. （3）第32条の開示等の手続に関する事項（第33条の規定により手数料の額を定めたときは、その手数料の額を含む。）
4. （4）保有個人データの取扱いに関する当組合における苦情の申出先
5. （5）保有個人データの安全管理のために講じた措置

1. （1）あらかじめ本人が知り得る状態にしてあることにより、当該本人が識別される保有個人データの利用目的が明らかな場合
2. （2）次に掲げる場合
   1. 　ⅰ利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
   2. 　ⅱ利用目的を本人に通知し、又は公表することにより当組合の権利又は正当な利益を害するおそれがある場合
   3. 　ⅲ国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき

1. （1）本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
2. （2）当組合の業務の適正な実施に著しい支障を及ぼすおそれがある場合
3. （3）法以外の他の法令に違反することとなる場合

1. ②前項の規定に基づき求められた保有個人データの全部若しくは一部について開示しない旨の決定をしたとき、当該保有個人データが存在しないとき、又は前項の規定により本人が請求した方法による開示が困難であるときは、本人に対し、遅滞なく、その旨を通知しなければならない。
2. ③法以外の他の法令の規定により、本人に対し第１項本文に規定する方法に相当する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている場合には、当該全部又は一部の保有個人データについては、同項の規定は適用しない。
3. ④第1項から第3項までの規定は、第22条及び第23条の規定により作成する第三者提供にかかる記録（その存否が明らかになることにより公益その他の利害が害されるものとして政令で定めるものを除く。）について準用する。

1. ②前項の規定に基づき求められた保有個人データの内容の全部もしくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を通知しなければならない。

1. ②本人から、当該本人が識別される保有個人データが保護法第27条（第三者提供の制限）第１項の規定に違反して第三者に提供されているという理由によって、当該保有個人データの第三者への提供の停止を求められた場合であって、その求めに理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
2. ③本人から、当該本人が識別される保有個人データを当組合が利用する必要がなくなったという理由、当該本人が識別される保有個人データに係る法第 26 条第1項本文に規定する事態が生じたという理由その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがあるとの理由によって、当該保有個人データの第三者への提供の停止を求められた場合であって、その求めに理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合その他の第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
3. ④第１項若しくは第3項の規定に基づき求められた保有個人データの全部もしくは一部について利用停止等を行ったときもしくは利用停止等を行わない旨の決定をしたとき、又は第2項若しくは第3項の規定に基づき求められた保有個人データの全部もしくは一部について第三者への提供を停止したときもしくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

1. １開示等の求めの申出先
2. ２開示等の求めに際して提出すべき書面の様式その他の開示等の求めの方式
3. ３開示等の求めをする者（代理人を含む。）の本人確認の方法
4. ４利用目的の通知又は開示にかかる手数料金額とその徴収方法（無料とする場合を含む。）

1. ②前項の規定に基づき開示等の求めに関する手続を定めるにあたっては、本人に過重な負担を課すものとならないよう配慮するものとする。

1. ②前項の手続の細目は、「個人情報に係る苦情等対応手続規程」に定めるところによる。

1. ②統括管理者は、前項により把握した事実関係による影響範囲の特定のために必要な措置を講ずるとともに、個人データの漏えい等事案の再発防止策の検討及び実施に必要な措置を講じなければならない。

1. １概要
2. ２漏えい等が発生し、又は発生したおそれがある個人データの項目
3. ３漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数
4. ４原因
5. ５二次被害又はそのおそれの有無及びその内容
6. ６本人への対応の実施状況
7. ７公表の実施状況
8. ８再発防止のための措置
9. ９その他参考となる事項

1. ②当組合は、第35条各号に掲げる事態を知った日から30日以内（当該事態が第35条第3号に定めるものである場合にあっては、60日以内）に、当該事態に関する前項各号に定める事項（確報）を行政庁に報告しなければならない。なお、確報を行う時点において、合理的努力を尽くしたう上で、一部の事項が判明しておらず、全ての事項を報告することができない場合には、その時点で把握している内容を報告し、判明次第、報告を追完するものとする。
2. ③前項の報告内容は、理事会に報告することとする。
3. ④第1項及び第2項の報告内容は、必要に応じ中央会及び関係連合会に報告することとする。

1. 1概要
2. 2漏えい等が発生し、又は発生したおそれがある個人データの項目
3. 3原因
4. 4二次被害又はそのおそれの有無及びその内容
5. 5その他参考となる事項

1. ②第35条第5号に掲げる事態が生じた場合の本人への通知は、必要に応じ、前項に準じ対応するものとする。

1. ②前項の場合においては、再発防止策のほか、必要な措置を講ずる。

1. ②前項の監査は、内部監査担当部署が担うものとする。ただし、組合外の第三者に監査業務を委託することを妨げない。

1. ②前項の監査計画および内部監査の実施細則は、別に定める「個人情報保護に係る内部監査細則」による。

1. ②本規程およびその他の規程に定めるところと異なる取扱いを必要とする場合および当該規程に定めのない事項で取扱いに疑義等があるものについては、部門責任者又は統括責任者に相談し、その指示を仰ぐものとする。

1. ②前項の手続は就業規則等に定めるところによる。