生協について

トップ > 個人情報保護規定

個人情報保護規定

個人情報保護規定

第１章　総則
（目　的）
第　1条この規定は京都大学生活協同組合（以下生協という）が有する個人情報につき、当生協の個人情報保護方針に基づく適正な保護を実現する基本規定である。
 
（定　義）
第　2条この規定おいて、次の各号に掲げる用語の意義は、当該各号に定めるところによる。
（1）個人情報
　生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述又は個人別に付された番号、記号その他の符号、画像若しくは音声により当該個人を識別できるもの（当該情報のみでは識別できないが、他の情報と容易に照合することができ、それにより当該個人を識別できるものを含む）をいう。
 
（2）個人情報データベース等
　個人情報を含む情報の集合物であって、特定の個人情報について電子計算を用いて検索できるように体系的に構成したもの及び一定の規則にしたがって整理することにより特定の個人情報を容易に検索できるように体系的に構成した情報の集合物であって、目次、牽引その他の検索を容易にするためのものを有するものをいう。
 
（3）個人データ
　個人情報データベース等を構成する個人情報をいう。
 
（4）保有個人データ
　当生協が開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供を行うことのできる権限を有する個人データをいう。ただし、その存否が明らかになることによりその公益その他の利益が害されるものとして以下のものに該当する場合及び６ヶ月以内に消去することになるものは除く。
  1. 当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの。
     
  2. 当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの。
     
  3. 当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれのあるもの。
     
  4. 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの。
     
（5）本人
個人情報によって識別される特定の個人をいう。
 
（6）役職員
当生協の役員、正規職員、嘱託職員、パートタイマー職員、アルバイト、派遣社員をさす。
 
（適用範囲）
第　3条本規程は、当生協の役職員に対して適用する。
2　個人情報を取り扱う業務を外部に委託する場合も、この規程の趣旨に従って、個人情報の適正な保護を図るものとする。
 
第2章　管理体制及び細則
（管理体制）
第　4条本規程を遵守し推進するため、次の者を定める。
（1）個人情報保護管理責任者
当生協の理事会によって指名された者であって、当生協の個人情報保護方針・規定を実施・運用を行う総合責任者。当生協の個人情報保護の管理について決定する責任と権限を有する者をいう。
（2）個人情報保護管理担当者
個人情報保護管理責任者によって指名された者であって、当生協各部の個人情報保護の実施・運用を行う責任者。各部の個人情報保護の管理について決定する責任と権限を有する者をいう。
（3）個人情報苦情対応責任者
（細則の設定）
第　5条本規程を実施・運用するために、下記の細則を設ける。
（1）役職員の行動基準
日常の業務遂行にあたり、個人情報に関わる内容についてその遵守すべき事項を定める。
（2）個人情報台帳
各個人データ毎に作成し、その各々についての取扱について定める。
（3）役職員の個人情報保護に関する規定
2　取引先等外部団体との契約がある場合は、その契約を遵守することとする。
第3章　個人情報の取得等
（利用目的の特定）
第　6条個人情報を取り扱うにあたっては、本人がその取り扱いについての諾否を判断できる程度にその目的（以下利用目的という）を特定するものとする。
2　利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲に限ることとする。
（利用目的の制限）
第　7条あらかじめ本人の同意を得ないで前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱わないこととする。
 
2　合併その他の事由により他の事業者事業を承継することに従って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱わないこととする。
3　前項の規定は、次に掲げる場合については、適用しない。
  1. 法令に基く場合
     
  2. 人の生命、身体又は財産の保護のために必要がある場合であって、本人との同意を得ることが困難であるとき。
     
  3. 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
     
  4. 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
     
（適正な取得）
第　8条偽りその他不正の手段により個人の情報を取得してはならない。
（取得に対しての利用目的の通知等）
第　9条直接的又は間接的に個人情報を取得した場合は、あらかじめその利用目的を公表している
場合を除き、速やかにその利用目的を本人に通知し、公表することとする。
（書面やインターネット等の情報ネットワーク上等で本人から直接に取得する場合の措置）
第10条書面やインターネット等の情報ネットワークで本人から直接当該本人の個人情報を取得する場合は、あらかじめ本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合はこの限りではない。
（利用目的の変更時の措置）
第11条利用目的を変更した場合は、その変更された利用目的について、本人に通知し、又は公表することとする。
（取得時及び利用目的の変更時の措置の適用除外）
第12条利用目的を本人に通知し、又は公表することにより次の各号に掲げるおそれがある場合については、第9条、第10条、第11条の規定は、適用しない。
（1）本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合。
 
（2）当生協の権利又は正当な利益を害するおそれがある場合
（3）国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、その遂行に支障をきたすおそれがあるとき
（4）取得の状況からみて、利用目的が明らかであると認められる場合
第4章　個人データの管理
（個人データの正確性の確保）
第13条利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めることとする。
（安全管理措置）
第14条当生協は、その取り扱う個人データの漏洩、減失又は棄損の防止その他の安全管理（情報セキュリティ）のために、情報セキュリティポリシーを策定し、次の各号について合理的な措置を講じるなど必要かつ適切な措置を講じることとする。
（1）入退室管理に関する事項
（2）アクセス管理（ウィルス防止を含む）に関する事項
（3）データ管理（バックアップ、保管、廃棄等）に関する事項
（4）委託処理に関する事項
（職員の監督）
第15条職員に個人データを取り扱わせるにあたっては、当該個人データの安全管理が図られるよう当該職員に対する必要かつ適切な監督を行うこととする。
（1）内部規定を策定し職員に周知すること
（2）職員に対して定期的に個人情報の保護に関する教育を実施すること
（3）個人データが適切に取り扱われているかを必要に応じて確認すること
（委託先の監督）
第16条個人データの取り扱いの全部又は一部を委託する場合は、その取り扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行うこととする。
 
2　前項の監督に当っては、この規定に従い少なくとも次の各号を行うこととする。
（1）委託先の選定基準を策定する。選定基準には以下の事項を含め、委託後も継続的に把握する。
  1. 委託業者の経営状況、設備の状況、処理・開発能力及び技術水準
     
  2. 委託しようとする業務領域の実績
     
  3. 委託業者の安全対策に関する規定整備状況及び実施状況
     
（2）前項の各号に照らして委託先の評価を定期的に行う。評価には以下の事項を含める。
  1. 外部認証の取得状況
     
  2. 未取得の場合は、個人情報保護に向けた会社の動き、取り組み
     
  3. 個人情報保護研修の実施状況
     
（3）個人情報の保護に関する事項を契約書に明記する。
  1. 秘密保持に関する事項
     
  2. 委託業務の委託場所に関する事項
     
  3. データ等の取り扱いに関する事項
     
  4. データの返却及び消去に関する事項
     
  5. 会員生協による書面での承認なしでの再委託の禁止に関する事項
     
  6. 監査への協力に関する事項
     
  7. 損害賠償に関する事項
     
（4）再委託する場合も含めて実効的な監督体制を確保する。
  1. 運用基準書等による、預託及び中間媒体としての個人情報の管理場所、管理方法の明確化と実施確認
     
  2. 預託及び中間媒体としての個人情報について個人情報保護責任者の明確化と実態確認
     
  3. 委託先における内部点検計画の事前確認、方法及び結果についての報告受領
     
  4. やむを得ず再委託が必要な場合は、再委託先に対する監査計画の事前確認、方法及び結果についての報告受領
     
第5章　個人データの第三者提供
（第三者提供の制限）
第17条次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで個人データを第三者に提供してはならない。
（1）法令に基く場合
（2）人の生命、身体又は財産の保護のために必要がある場合であって、本人との同意を得ることが困難であるとき
 
（3）公衆衛生の向上又は児童の健全な育成のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
（4）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき

 
（第三者に提供できる場合）
第18条第三者に提供される個人データについて、本人の求めに応じてその提供を停止することとなっている場合であって、次の各号に掲げる事項について、あらかじめ本人に通知し、又は本人が容易に知り得る状態に置いているときは、前条の規定にかかわらず、当該個人データを第三者へ提供することができる。
（1）第三者への提供を利用目的とすること
（2）第三者へ提供される個人データの項目
（3）第三者への提供の手段又は方法
（4）本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。

 
2　前項（2）又は（3）に掲げる事項を変更する場合は、変更する内容についてあらかじめ本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
（第三者提供に該当しない場合）
第19条次の各号のいずれかに該当する場合は、第三者提供に該当しないものとする。
（1）当生協が利用目的の達成のために必要な範囲において個人データの取り扱いの全部又は一部を委託する場合
 
（2）合併その他の事由による事業の継承に伴って個人データが提供される場合
（3）個人データを特定の者との間で共同して利用する場合で以下の事項をあらかじめ本人に通知し、又は本人が容易に知り得る状態に置いているとき
  1. 共同利用する旨
     
  2. 共同して利用される個人データの項目
     
  3. 共同して利用する者の範囲
     
  4. 利用する者の利用目的
     
  5. 当該個人データの管理について責任を有する者の氏名又は名称
2　前項（3）に規定する項目のうち4.または5.を変更する場合は、変更する内容について、あらかじめ本人に通知し、又は本人が容易に知り得る状態に置くこととする。
 
第6章　保有個人データに関する開示・変更・利用停止等の求めへの対応
（保有個人データに関する事項の公表等）
第20条保有個人データに関し、次の各号に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合も含む）に置くこととする。
（1）当生協の名称
（2）すべての保有個人データの利用目的
（3）保有個人データの開示、訂正、利用停止等の手続き及び保有個人データの開示、利用目的の通知を求められたときの手数料の額
（4）当生協が行う、保有個人データの取り扱いに関する苦情の申し出先及び認定
2　本人から、当該本人が識別される個人データの利用目的の通知を求められたときは、本人に対し遅滞なくこれを通知することとする。ただし、第20条（1）から（3）までのいずれかに該当する場合はこの限りでなく、利用目的を通知しない旨の決定をしたときは、本人に対し遅滞なくその旨を通知することとする。
（開示）
第21条保有個人情報に関し、本人から自己の情報について開示を求められた場合は、遅滞なくこれに応じることとする。ただし、開示することにより次の各号に該当する場合はその全部又は一部を開示しないことができる。その場合はその旨を本人に対して遅滞なく通知を行う。開示にあたっては書面により交付することとする。ただし、開示の求めを行った者が同意した方法があるときは、当該方法で行うこととする。
（1）本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
（2）当組合の業務の適正な実施に著しい支障を及ぼすおそれがある場合
（3）他の法令に違反することとなる場合
2　前項の規定に基き求められた保有個人データの全部又は一部について開示しない旨の決定をしたときは、本人に対し、遅滞なくその旨を通知しなければならない。
（訂正等）
第22条保有個人データに関し、本人から自己の情報に関して事実でないという理由で訂正、追加又は削除（以下訂正等という）を求められたときは、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基きこれに応じることとする。
2　前項の規定に基き訂正等を行ったとき又は訂正を行わない旨の決定をしたときは、本人に対し遅滞なくその旨（訂正等を行ったときはその内容を含む）を通知することとする。
 
（利用停止等）
第23条保有個人データに関し、本人から自己の情報に関してその利用目的に関してその利用目的の制限や適正な取得に違反して取り扱われているという理由及び、第三者への提供が違反して行われているという理由により、利用停止又は消去（以下利用停止等という）を求められた場合で、その求めに理由があると判明したときには、違反を是正するために必要な限度で、遅滞なくこれに応じ、その旨を本人に対し通知することとする。ただし、多額の費用を要する等その実施について困難である場合であって、本人の権利利益を保護するために必要なこれに代わるべき措置をとるときはこの限りでない。
 
2　前項の規定に基き、すでに保有している個人データについて利用停止等を行ったとき又は利用停止等を行わない旨の決定をしたときは、本人に対し、遅滞なくその旨を通知することとする。
（理由の説明）
第24条開示、訂正等及び利用停止等（以下開示等という）の規定により、本人から求められた措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨通知する場合は、本人に対しその理由を説明するよう努めることとする。
（開示等の求めに応じる手続き）
第25条保有個人データについての本人からの開示等の求めに関し、その求めを受け付ける方法として、次の各号について定めることができる。この場合において、当生協は、当該方法に従って行われる本人の求めを受け付けることとする。
（1）開示等の求めの申し出先
（2）開示等の求めに際して提出すべき書類（電子的方式、磁気的方式その他の知覚によっては認識することができない方式で作られる方式を含む）の様式その他の開示等の求めについての方式
（3）開示の求めをする者が本人又は本条第4項に規定する代理人であることの確認方法
（4）手数料の徴収方法
2　本人に対し、開示等の求めに関し、その対象となる保有個人データを特定するに足りうる事項の提示を求めることができる。この場合において、当生協は、本人が容易かつ的確に開示等の求めをすることができるよう、当該保有個人データの特定に資する情報の提供その他、本人の利便を考慮した適切な措置をとることとする。
3　本人の求めに対する利用目的の通知及び開示について、その実施に関し、実費を勘案して合理的であると認められる範囲において定められた手数料を徴収することができる。なお、手数料を定める場合は、第20条（3）により本人の知り得る状態に置かなければならない。
4　次の各号に掲げる代理人による開示の求めに応じなければならない。
（1）未成年者又は成年被後見人の法定代理人
（2）開示等の求めをすることにつき、本人が委任した代理人
第7章　個人の情報の取り扱いに関する苦情処理
（苦情処理）
第26条個人情報苦情対応責任者は、個人情報の取り扱いに関する苦情の適切かつ迅速な処理を行うとともに、苦情全般の管理に努めなければならない。
2　当生協は、前項の目的を達成するために必要な体制の整備に努めることとする。
（個人データの紛失等発生時の対応）
第27条個人データが紛失又は漏洩した場合には、速やかに個人情報保護管理者に報告するとともに、適切な措置をとらなければならない。
第8章　規定の改廃
（規定の改廃）
第28条この規定の改廃は、理事会によって行うものとする。
附則
　本規定は、2005年4月1日より施行する。