個人情報取扱規定

第１章　総則

（目的）

第１条　本規定は、当機構における個人情報の適法かつ適正な取扱いの確保に関する基本的事項を定めることにより、個人の権利・利益を保護することを目的とする。

（定義）

第２条　本規定における、各用語の定義は次のとおりとする。

(1) 個人情報

生存する「個人に関する情報」であり、特定の個人を識別することができるもの、または他の情報と容易に照合することができ、それにより特定の個人を識別することができるものをいう。

「個人に関する情報」は、氏名、性別、生年月日等個人を識別する情報に限られず、個人の身体、財産、職種、肩書き等の属性に関して、事実、判断、評価を表す全ての情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声も含まれ、暗号化されているかどうかを問わない。

なお、死者に関する情報が、同時に、遺族等の生存する個人に関する情報である場合には、当該生存する個人に関する情報となる。

また、「生存する個人」は日本国民に限られず、外国人も含まれるが、法人その他の団体は「個人」に該当しないため、法人などの団体に関する情報は含まれない。

(2) 個人情報データベース

特定の個人情報を、コンピュータを用いて検索することができるように体系的に構成した、個人情報を含む情報の集合物、またはコンピュータを用いてない場合であっても、ファイルやカルテ、運転従事者様台帳など個人情報を一定の規則（例えば、運転事業者様別、五十音順、生年月日順、作成日順等）に従って整理・分類し、他人によっても容易に検索可能な状態においているものをいう。

(3) 個人データ

当機構が管理する「個人情報データベース等」を構成する個人情報をいう。

(4) 保有個人データ

当機構が、開示、内容の訂正、追加または削除、利用の停止、消去及び第三者への提供の全てを行うことができる権限を有する「個人データ」をいう。ただし、以下に該当するものは除く。

• ア　当該個人データの存否が明らかになることにより、違法または不法な行為を助長し、または誘発するおそれのあるもの。
• イ　当該個人データの存否が明らかになることにより、本人または第三者の生命、身体または財産に危害が及ぶおそれがあるもの。
• ウ　取引先である運転事業者より請求があり、当該個人データを消去することとなったもの。（更新することは除く）

(5) 本人

個人情報によって識別される特定の個人をいう。

(6) 個人情報取扱責任者

個人情報を取り扱う部門の長をいう。

(7) 従業者

当機構にあって、直接間接に当機構の指揮監督を受けて、当機構の業務に従事している者をいい、雇用関係にある従業員（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、理事、監事、派遣社員、当機構より業務の委託を受けた受託者も含まれる。

(8) 利用目的

一連の個人情報の取扱いにより達成しようとする目的をいう。

(9) 個人情報の取扱い

個人情報の取得、整理、分類、照合、処理、複製、委託、第三者提供、共同利用その他一切の利用、保有及び個人情報の廃棄、消去、破壊をいう。

(10) 本人の同意

本人の個人情報が、当機構によって示された取扱方法で取り扱われることを承諾する旨の当該本人の意思表示をいう。

具体的には、本人の所属する運転事業者にて、当機構によって示された「脳ＭＲＩ健診に関連する情報預託の経緯説明兼同意書」または、運転事業者にて作成した同様の内容の同意書への署名、捺印により承諾を得ること等が挙げられる。

(11) 通知

直接知らしめることをいう。具体的には、本人が所属する運転事業者に対し健診予約申込み時間の可否などを電子メール、ファックスにて送信すること、健診結果レポートを郵便することをいう。

（適用）

第３条　本規定は、従業者に適用する。

本規定は、当機構が現に保有している個人情報、及びその取扱いを委託している個人情報を対象とする。

（個人情報保護方針）

第４条　当機構における個人情報の適法かつ適正な取扱いを確保するため、次の事項を含む個人情報保護方針を定める。

(1) 個人情報に関する法令を遵守するとともに、当機構の事業内容に照らし適切に個人情報を取り扱う旨の宣言文

(2)「個人情報の保護に関する法律」により「公表」すること、「容易に知り得る状態」にすること、または「本人の知り得る状態」に置くことを義務付けられている下記各号に関する事項

利用目的の特定

• 当機構は、個人情報の利用目的を、脳ＭＲＩ健診に必要な個人情報のみに特定する。
• 個人情報は、あらかじめ運転事業者を通して本人の同意を得ずに、特定された利用目的範囲を超えて取り扱ってはならない。利用目的の範囲か否か不明な場合は、都度、個人情報取扱管理者に判断を求めなければならない。
• 利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると認められる範囲を超えて行ってはならず、変更された利用目的は遅滞なく運転事業者を通して本人に通知または公表しなければならない。

第２章　管理体制

（個人情報保護責任者等）

第５条

１．代表理事は、個人情報保護責任者を含む個人情報保護のために必要な組織を定め、役職員へ周知させる。

２．代表理事は、事務局長を個人情報保護責任者に任命する。

３．個人情報保護責任者は、本マニュアルに定められた事項を理解し、遵守するとともに、次の事項を実施する責任と権限をもつ。

• （1）個人情報を取り扱う者に対する指導を統括すること
• （2）本マニュアルを管理すること
• （3）個人情報保護のための合理的な安全管理措置を講ずること
• （4）苦情及び相談対応を統括すること
• （5）その他個人情報保護のために効果的な事項を実施すること

４．個人情報保護管理者は、前項の責務を果たすため、各部門の個人情報取扱責任者及び苦情対応担当者を指名し、それぞれの責任者又は担当者としての責務を行わせる。

（個人情報取扱責任者）

第６条

１．個人情報保護責任者は、個人情報を取り扱う部門の管理職をその部門の個人情報取扱責任者に指名する。

２．個人情報取扱責任者は、担当部門における次の事項を実施する責任と権限をもつ。

• （1）本マニュアルを周知し、日常の安全対策の実施状況を管理すること
• （2）部門の担当者及び個別業務の委託先の従事者並びに派遣会社社員に対する指導を実施すること

（監査責任者）

第７条

１．監査責任者は、代表理事が任命し、当機構の個人情報を取扱う業務において、本規程に定める個人情報取扱が順守され、個人情報の取扱いが適法かつ適切に行われているかについて、公平かつ客観的な立場で調査・確認・評価（以下「個人情報の取扱いに関する監査」という）する責務を負い、その結果を個人情報保護管理者に報告する義務を負う。

２．監査責任者は個人情報の取扱いに関する監査に必要な調査権限を有する。

３．監査責任者は個人情報の取扱いに関する監査に必要な監査担当者を選任することができる。

４．代表理事は、業務部長を監査責任者に任命する。

第３章　計画

（計画）

第８条

１．個人情報保護責任者並びに個人情報取扱責任者は、個人情報の適正な取扱いを維持・推進するため、定期に教育・訓練計画を策定する。

２．監査責任者は、定期に個人情報の取扱いに関する監査の計画を策定する。

第４章　運用

（管理原則）

第９条　個人情報は、本規定に従い適切に分類・管理し、その重要度に応じて適切に取得、移送、利用、保管、廃棄されなければならない。

（利用目的）

第１０条

１．当機構は、個人情報の利用目的をできる限り特定する。個人情報は、あらかじめ本人の同意を得ずに、特定された利用目的の達成に必要な範囲を超えて取扱ってはならない。利用目的の範囲内か否かが不明な場合は、都度、個人情報保護管理者に判断を求めなければならない。

２．利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると認められる範囲を超えて行ってはならず、変更された利用目的は遅滞なく本人に通知または公表しなければならない。

（適正な取得）

第１１条　個人情報は、偽りその他不正の手段により取得してはならない。

（特定の個人情報の取得の禁止）

第１２条　原則として、下記各号に示す内容を含む個人情報は、これを取得し、または第三者に提供してはならない。但し、業務上必要であり、かつ、本人に対し当該情報の利用目的及びその必要性等について適切な情報を明示した上で明確に本人の同意を得た場合、または法令に特別の規定がある場合、あるいは司法手続上必要不可欠な場合はこの限りでない。

• （1）思想、信条及び信教に関する事項
• （2）人種、民族、家柄、本籍地、身体・精神障害、犯罪歴その他社会的差別の原因となる事項
• （3）勤労者の団結権の行使、団体交渉及びその他団体行動に関する事項
• （4）集団示威行為（デモ等）への参加、国または地方公共団体に対する請願権の行使及びその他の政治的権利の行使に関する事項
• （5）その他個人情報保護管理者の定める事項

（本人から直接個人情報を取得する際の措置）

第１３条　申込書・アンケート・契約書等、書面（電子メール、自社ホームページへの記入等電磁的方法も含む）により本人から直接個人情報を取得する場合は、本人に対してあらかじめ利用目的を明示しなければならない。但し、下記各号に該当する場合はこの限りでない。

• （1）人の生命、身体または財産その他の権利利益を保護するため必要な場合
• （2）当社の権利または正当な利益を害するおそれがある場合
• （3）国または地方公共団体の法令に定める事務の遂行に支障を及ぼすおそれがある場合
• （4）取得の状況に照らし、利用目的が明らかであると認められる場合

（間接的に個人情報を取得する際の措置）

第１４条　本人以外の第三者から個人情報を取得する場合は、当該個人情報が当該第三者において適法、適正に取得されたものでなければならず、かつ、当該第三者において、当機構への個人情報の提供につき、適法な措置が講じられていなければならない。

（個人データの正確性の確保）

第１５条　個人データは、利用目的の達成に必要な範囲内において、正確かつ最新の内容に保つよう努めなければならない。

（安全管理措置）

第１６条

１．当機構においては、取扱う個人情報の漏洩、滅失または毀損の防止その他の安全管理のために、人的、物理的、技術的に適切な措置を講じるものとする。

２．各部門においては、下記号に従って適切に個人情報を取り扱わなければならない。

• （1）各部門において保管する個人情報を含む文書（磁気媒体を含む）は、施錠できる場所への保管、パスワード管理等により、散逸、紛失、漏洩の防止に努めなければならない。
• （2）情報機器は適切に管理し、正式な利用権限のない者には使用させてはならない。
• （3）個人情報を含む文書であって、保管の必要のないものは、速やかに廃棄しなければならない。
• （4）個人情報を含む文書の廃棄は、シュレッダー裁断、焼却、溶解等により、完全に抹消しなければならない。
• （5）個人情報を含む文書を送付する場合には個人情報に係る事故を防止するために、次の各号を遵守しなければならない。
  • ア　送付先及び送付物に誤りがないか確認すること。
  • イ　送付先の情報及び送付内容が第三者に知られないようにする。
  • ウ　FAXにより受け渡しをする場合、受取者を記名し、当該受取者から受信確認をすること。
  • エ　その他個人情報管理責任者が指示した安全対策を講じること。
• （6）個人情報を含む文書は、みだりに複写してはならない。

（従業者の監督）

第１７条　個人情報保護責任者は、従業者が個人データを取扱うにあたり、必要かつ適切な監査を行わなければならない。

（社内教育）

第１８条

１．従業者に対する個人情報の保護及び適正な取扱いに関する教育方針は、個人情報保護責任者が決定する。

２．従業者は、個人情報保護責任者の指名した部門が主催し、また個人情報保護責任者が決定した方針に基づく研修を受けなければならない。

（第三者提供の制限）

第１９条

１．あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。但し、下記各号に該当する場合、本人の同意なく第三者提供ができる。

• （1）人の生命、身体または財産の保護のために必要があり、かつ、本人の同意を得ることが困難であるとき
• （2）その他法令に基づく場合

２．第三者提供する場合、個人情報保護責任者の承認を得ること。

（保有個人データの開示）

第２０条

１．当機構は、当該本人が識別される「保有個人データ」の開示（保有の有無を含む）請求には、本人のプライバシー保護のため、本人（代理人を含み、以下本条及び次条において本人という）から開示等請求に対し、原則として本人確認書類を添付した開示請求書により請求があった場合にのみ応じるものとする。

• （1）開示請求書の様式は、個人情報保護責任者が定めるものとする。
• （2）本人確認書類は、個人情報保護責任者が定めるものとする。但し、開示請求者が本人であることが明らかな場合には、本人確認書類の提出を求めないことができる。

２．前項により本人による開示請求であることを確認した場合は、本人に対して書面または本人が同意した他の方法により、遅滞なく当該「保有個人データ」を開示するものとする。また、開示する書面の様式は、個人情報保護責任者が定めるものとする。

３．前項にかかわらず、開示することにより次の各号のいずれかに該当する場合は、個人情報保護責任者の決定により、その全部または一部を開示しないことができる。

• （1）本人または第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
• （2）当社の業務の適正な実施に著しい支障を及ぼすおそれのある場合
• （3）法令に違反することとなる場合

４．前項の定めに基づき「保有個人データ」の全部または一部を開示しない旨の決定をしたときは、遅滞なく、本人に対しその旨通知するものとする。この場合、その理由を説明するよう努めなければならない。

５．他の法令により、本人に対し当該本人が識別される「保有個人データ」を開示することとされている場合には、第３項は適用しない。

６．本人に対し「保有個人データ」を開示する場合には、手数料を請求できるものとする。この手数料は、実費を勘案して、合理的な範囲で個人情報保護責任者が定めるものとする。

（保有個人データの訂正等）

第２１条

１．本人から、当該本人が識別される「保有個人データ」の内容が事実でないという理由によって、当該「保有個人データ」の訂正、追加または削除（以下「訂正等」という）を求められた場合には、所属事業者を通して遅滞なく必要な調査を行い、その結果に基づき当該「保有個人データ」の内容の訂正等を行うものとする。但し、以下の場合には訂正等の求めに応じないことができる。

• （1）利用目的の達成に必要な範囲を超えている場合。
• （2）他の法の規定により、特別の手続が定められている場合。

２．当該本人が識別される「保有個人データ」の訂正等の請求に対しては、本人のプライバシー保護のため、本人から訂正等請求に対し、原則として本人確認書類を添付した訂正等請求書により請求があった場合にのみ応じるものとする。

• （1）訂正等請求書の様式は、個人情報保護責任者が定めるものとする。
• （2）本人確認書類は、個人情報保護責任者が定めるものとする。但し、訂正等請求者が本人であることが明らかな場合には、本人確認書類の提出を求めないことができる。

３．前２項により、「保有個人データ」の訂正等を行ったとき、または訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なくその旨（訂正等を行ったときはその内容を含む）を通知するものとする。

４．第１項ただし書により訂正等の求めに応じない場合は、その理由を説明するよう努めなければならない。

（苦情の処理）

第２２条　苦情対応担当者は、事業所外からの個人情報に関する苦情及び相談等を受け付けて対応するとともに、苦情及び相談等の内容を分析し再発防止等を検討・立案し、個人情報保護責任者へ報告するなど本マニュアルの運営に反映させる責任を負う。

（緊急時の対応）

第２３条

１．個人情報保護に緊急事態が発生した場合、個人情報保護責任者又は個人情報取扱責任者へ報告し、指示を受ける。

２．個人情報保護責任者は、事業所に与える影響の大きさによって代表理事に報告し、かつ・適切に対応する。

第５章　その他

（所管官庁への報告）

第２４条　個人情報保護責任者は、個人データの漏洩の事実または漏洩のおそれを把握した場合には、直ちに所管官庁に報告しなければならない。

（罰則）

第２５条　当機構は、本規定に違反した従業員に対して就業規則に基づき処分を行い、その他の従業者に対しては、契約または法令に照らして決定する。

（改廃及び所管等）

第２６条　本規定の改廃は、個人情報保護責任が立案し、審議を経て代表理事が決定する。