個人情報保護要綱

第１章　総則

（目的）

第１条　この要綱は、公益財団法人東京都スポーツ文化事業団（以下「事業団」という。）の事業の用に供している個人情報の適切な保護に対する取組として、個人情報の適切な取扱い及び個人情報保護マネジメントシステムを確立し、実施し、維持し、かつ改善するための具体的な手順を定めるものである。本要綱に、個人情報保護マネジメントシステムの具体的な手順を定めるとともに、個人情報保護マネジメントシステム上利用する、記録類等との関係を示す。

（適用範囲）

第２条　この要綱の適用は事業団全体に渡るものであり、従業者を対象とする。

（定義）

第３条　この要綱中の用語の定義は次のとおりとする。
（１）「個人情報」　個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等によって特定の個人を識別できるもの（他の情報と容易に照合することができ、それによって特定の個人を識別することができることとなるものを含む。）
（２） 「本人」　個人情報によって識別される特定の個人
（３） 「個人情報保護管理者」　理事長によって事業団の内部の者から指名された者であって、個人情報保護マネジメントシステムの実施及び運用に関する責任及び権限をもつ者
（４） 「個人情報保護監査責任者」　理事長によって事業団の内部の者から指名された者であって、公平かつ客観的な立場にあり、監査の実施及び報告を行う責任及び権限をもつ者
（５） 「本人の同意」　本人が、個人情報の取扱いに関する情報を与えられた上で、自己に関する個人情報の取扱いについて承諾する意思表示。本人が子供又は事理を弁識する能力を欠く者の場合は、法定代理人等の同意も得なければならない。
（６） 「個人情報保護マネジメントシステム」　事業団が、自らの事業の用に供する個人情報について、その有用性に配慮しつつ、個人の権利利益を保護するための方針、体制、計画、実施、点検及び見直しを含むマネジメントシステム
（７） 「不適合」　本要綱の要求を満たしていないこと
（８） 「従業者」　事業団の組織内にあって直接間接に事業団の指揮監督を受けて事業団の業務に従事している者をいい、雇用関係にある従業員（事業団固有職員、都派遣職員、嘱託職員、パート職員、アルバイト等）のみならず、理事、監事、顧問、評議員、派遣社員等も含まれる。

第２章　組織の状況

（組織及びその状況の理解）

第４条　事業団は、個人情報保護に関する内外の課題を第１６条に定める個人情報保護リスクアセスメントの取組を通じて明確にする。

（利害関係者のニーズ及び期待の理解）

第５条　事業団は、個人情報保護に関する利害関係者並びに当該利害関係者のニーズ及び期待を第１６条に定める個人情報保護リスクアセスメントの取組を通じて明確にする。

（法令、国が定める指針その他の規範）

第６条　事務局は、毎年４月並びに新規法令等制定時及び既存法令等改正時に、インターネットや新聞等の情報から法令等の改正・新規制定の情報を得て、個人情報保護マネジメントシステムへの関連性があるものについて、個人情報に関する法令、国が定める指針その他の規範（第１号様式）に登録・更新し、個人情報保護管理者の承認を得る。
２　個人情報保護管理者は、登録・更新した個人情報に関する法令、国が定める指針その他の規範（第１号様式）をサーバ内の所定のフォルダに格納し、従業者が閲覧可能な状態を維持する。

（個人情報保護マネジメントシステムの適用範囲の決定）

第７条　この要綱の適用は事業団全体に渡るものであり、事業団が事業の用に供するすべての個人情報の取扱いを対象とする。また、事業の用に供する仮名加工情報、匿名加工情報、個人関連情報（当該個人関連情報が提供先の第三者において個人情報になることが想定される場合）がある場合は、これらを適用対象とする。適用範囲は、本要綱に明示することにより文書化した情報として利用可能な状態にする。

（個人情報保護マネジメントシステム）

第８条　事業団は、本要綱全般の定めに従い、必要なプロセス及びそれらの相互作用を含む個人情報保護マネジメントシステムを構築し、運用し、維持する。

第３章　リーダーシップ

（リーダーシップ及びコミットメント）

第９条　事業団は、代表者のリーダーシップ及びコミットメントを個人情報保護方針に明示する。

（個人情報保護方針）

第１０条　理事長は、個人情報保護の理念及び制改定日を明確にした上で、次の事項を含む個人情報保護方針を定めるとともに、これを実行し、かつ維持する。
（１） 事業の内容及び規模を考慮した適切な個人情報の取得、利用及び提供に関すること（特定された利用目的の達成に必要な範囲を超えた個人情報の取扱い（以下「目的外利用」という。）を行わないこと及びそのための措置を講じることを含む。）。
（２） 個人情報の取扱いに関する法令、国が定める指針その他の規範を遵守すること。
（３） 個人情報の漏えい、滅失又はき損の防止及び是正に関すること。
（４） 苦情及び相談への対応に関すること。
（５） 個人情報保護マネジメントシステムの継続的改善に関すること。
（６） 代表者の氏名
（７） 個人情報保護方針についてのお問合せを受け付ける窓口
２　理事長は、この方針を文書化し、次の手段等により従業者及び利害関係者に周知させるとともに一般の人が容易に入手可能な状態にする。
（１） 事業団ホームページ等への掲載

（組織の役割、責任及び権限）

第１１条　理事長は、次に個人情報保護マネジメントシステムにおける各担当者の役割、責任及び権限を定める。
　 ア　個人情報保護に関するすべての指揮権限を有し、事業団の保有する個人情報の保護に関する最終的な責任を負う。
　 イ　個人情報保護方針を制定し、公表するとともに、これを実行し維持する。
　 ウ　個人情報保護マネジメントシステムの見直しを定期的に行い、必要な場合改善の指示を出す。
（２） 個人情報保護管理者　事務局長　次の責任及び権限を持つ
　 ア　理事長により、個人情報保護マネジメントシステム構築・運用指針の内容を理解し実践する能力のある者が事業団の内部から指名され、個人情報保護マネジメントシステムの実施並びに運用に関する責任及び権限を他の責任にかかわりなく持つ。
　 イ　個人情報保護マネジメントシステム事務局を主催する。
　 ウ　理事長による個人情報保護マネジメントシステムの見直し及び改善の基礎となる個人情報保護マネジメントシステムの実績に関する情報を取得し、状況を報告する。また見直し結果の改善指示の結果を確認する。
（３）個人情報保護監査責任者　事務局総務担当課長　次の責任及び権限を持つ。理事長により内部から指名され、公平かつ客観的な立場で、個人情報保護マネジメントシステムとその実施状況に係わる監査を計画・実施し、その結果を理事長に報告する。
（４） 個人情報窓口責任者　個人情報保護管理者が指定する者　次の責任及び権限を持つ。
　 ア　個人情報に関する開示等の手続き及び苦情・相談の窓口を運用する。
　 イ　相談窓口の運用について、個人情報保護管理者に報告し、必要な場合対応する。
（５） 教育責任者　事務局人事給与担当課長　次の責任及び権限を持つ。従業者等に対する個人情報保護に関する教育を計画し、実施及び指導を行う。
（６） システム責任者　事務局総務担当課長　次の責任及び権限を持つ。事業団内情報システムを管理するとともに、情報システムの適正な利用が行えるよう、必要な対策を講じ、実施を指示する。
（７） 個人番号統括責任者　事務局次長　次の責任及び権限を持つ。個人番号の取扱いに関する手順の決定、従業者への周知教育及び指示並びに個人番号の取扱いに関する情報漏えい、規定違反及びその兆候の発見時に、報告を受けて対応を指揮する責任と権限を有する。
（８）個人番号事務取扱者　事務局経理担当課長　次の責任及び権限を持つ。収集した個人番号を安全管理手順に従い、利用目的の範囲内で適切に利用し、情報漏えい、規定違反及びその兆候を発見した場合、速やかに理事長に報告し、指示に従って対処を行う。
（９） 個人情報保護マネジメントシステム事務局　事務局次長　次の責任及び権限を持つ。
　 ア　個人情報保護マネジメントシステムの策定及びその実施のために個人情報保護管理者を補佐する。
　 イ　個人情報保護マネジメントシステム文書の作成及び見直しをする。

（個人情報保護管理者と個人情報保護監査責任者）

第１２条　理事長は、個人情報保護管理者と個人情報保護監査責任者を任命する。個人情報保護管理者と個人情報保護監査責任者の責任及び権限については、第１１条に定めるとおりとする。

（管理目的及び管理策（一般））

第１３条　事業団は、第１６条に定める個人情報リスクアセスメントの取組を通じて、個人情報保護の目的のために必要な管理策を明示し、運営する。

第４章　計画

（個人情報の特定）

第１４条　各担当課長は、毎年４月並びに新規個人情報取得時及び既存個人情報の取扱変更時に、個人情報フロー及び個人情報リスク分析対応表（第２号様式）に業務ごとの個人情報の取扱いの流れを特定し、個人情報保護管理者の承認を得る。
２　各担当課長は、毎年４月並びに新規個人情報（仮名加工情報、匿名加工情報、個人関連情報（当該個人関連情報が提供先の第三者において個人情報になることが想定される場合）を含む。）取得時及び既存個人情報の取扱変更時並びに必要に応じて適宜に、個人情報管理台帳（第３号様式）に個人情報の利用目的、管理する個人情報の件数（概数でも可）、内容、取得方法、媒体の把握及び取扱状況（保管方法・利用/保管期間・廃棄方法）等を記録し、個人情報保護管理者の承認を得る。
３　特定した個人情報は、個人情報保護法に規定される個人データと同様に取り扱うものとする。

（リスク及び機会に対処する活動（一般））

第１５条　事業団は、第１６条の定めに従い、事業団が意図した成果を達成し、望ましくない影響を防止し、また個人情報保護マネジメントシステムの継続的な改善を実現するために、個人情報保護リスクアセスメントを行う。

（個人情報保護リスクアセスメント）

第１６条　次の観点を個人情報保護のリスク基準とする。
（１） 本人の権利利益の侵害
（２） 本要綱に定める事項
（３） 法令及び国が定める指針その他の規範に関する事項
（４） 個人情報の漏えい、紛失、滅失・毀損、改ざん、正確性の未確保、不正・不適正取得、目的外利用・提供、不正利用、開示等の求め等の拒否に関する事項
２　個人情報保護管理者は、毎年３月並びに新規個人情報取得時及び既存個人情報の取扱変更時並びに必要に応じて適宜に、個人情報フロー及び個人情報リスク分析対応表（第２号様式）により、個人情報ライフサイクル、個人情報の性質、個人情報に係る情報処理施設及び個人情報に係る情報システム（あらゆる情報処理のシステム、サービス若しくは基盤又はこれらを収納する物理的場所）、事業者が既に講じている安全管理措置の観点から、個人情報保護リスクを特定し、リスク分析を実施し、リスクに応じた対策を講じ、未対応部分を残存リスクとして把握して結果を記録し、文書化した情報として利用可能な状態にする。

（個人情報保護リスク対応）

第１７条　事業団は、第１６条の定めに従い、個人情報フロー及び個人情報リスク分析対応表（第２号様式）に個人情報保護リスクへの対応計画や残留リスクを明示して管理（文書化し、モニタリングし、レビューし、対応可能となった場合に追加的対応の対象とすること）し、リスク対応活動として記録し、文書化した情報として利用可能な状態にする。

（個人情報保護目的及びそれを達成するための計画策定）

第１８条　事業団は、第１０条に定める個人情報保護方針に事業団の個人情報保護目的を定めて、その達成のために個人情報保護マネジメントシステムの運営を行う。

（計画策定）

第１９条　教育責任者は、理事長の承認のもとに、第２３条の定めに従い、教育計画書（第４号様式）を少なくとも年1回作成し、関係者への周知を確実にし、教育を実施する。
２　個人情報保護監査責任者は、理事長の承認のもとに、第３３条の定めに従い、監査計画書（第５号様式）を少なくとも年1回作成し、関係者への周知を確実にし、監査を実施する。

（変更の計画策定）

第２０条　事業団は、内部監査やマネジメントレビューの実施及び是正処置等の改善活動の実施を通じて、個人情報保護マネジメントシステムの変更を計画的に取り扱う。

第５章　支援

（資源）

第２１条　事業団は、第１１条の定めに従い、個人情報保護マネジメントシステムの運営に必要な人的資源を提供する。

（力量）

第２２条　事業団は、第２３条の定めに従い、個人情報保護マネジメントシステムに関する従業者の力量の管理を行う。力量の記録は、文書化した情報として利用可能な状態にする。

（認識）

第２３条　教育責任者は、全ての従業者に毎年１回以上（新入従業者には入職時）及び必要に応じて適宜に個人情報保護に関する適切な教育を実施する。事業団は、従業者に、関連する各部門及び階層における次の事項を理解させる手順を確立し、かつ維持しなければならない。
（１） 個人情報保護方針（内部向け/外部向け）
（２） 個人情報保護マネジメントシステムに適合することの重要性及び利点
（３） 個人情報保護マネジメントシステムに適合するための役割及び責任
（４） 個人情報保護マネジメントシステムに違反した際に予想される結果
２　教育責任者は、次の手順で教育を実施する。
（１） 計画　教育実施１週間前までに教育計画書（第４号様式）を作成し、理事長の承認を得て教育内容を周知する。
（２） 実施　当初指定した参加者全員に教育が行われるようにし、教育の有効性の確認のため、全体の７割を合格点とする理解度テストを実施する。
（３） 結果の報告・レビュー　実施した教育の内容、参加者及び理解度テスト結果等を教育実施記録（第６号様式）に記録する。
（４） 計画の見直し　前年の教育結果を元に教育計画書（第４号様式）の内容を見直し、教育計画を立案する。
（５） 記録の保持　教育に関する記録は、教育責任者が事業継続中保管する。

（コミュニケーション）

第２４条　事業団は、第２３条に定める認識のための取組及び第２５条に定める緊急事態への準備に関する取組を通じて、個人情報保護に関する内外とのコミュニケーションを実施する。

（緊急事態への準備）

第２５条　従業者は、第１６条の定めに従い、個人情報フロー及び個人情報リスク分析対応表（第２号様式）によって、経済的不利益、社会的信用の失墜及び本人への影響の高さを判断し、すべての個人情報に関して、漏えい、紛失、滅失・き損、改ざん、正確性の未確保、不正・不適正取得、目的外利用・提供、不正利用、開示等の求め等の拒否及びこれらのおそれが発生した場合、それらを緊急事態として特定する。次に、特定した緊急事態が発生した場合の対応手順を定める。
２　従業者は、緊急事態が発生した場合は、個人情報保護管理者及び理事長に報告する。
３　個人情報保護管理者及び理事長は、報告を受け、速やかに事実関係、発生原因及び対応策を十分に調査・検討し、想定される経済的な不利益及び社会的な信用の失墜、本人への影響等のおそれを考慮し、その影響を最小限するための手順として、個人情報保護管理者を中心とした情報収集を速やかに行い、下記連絡先へ迅速に連絡するものとする。
（１） プライバシーマーク審査機関：一般財団法人放送セキュリティセンター
　　　　　　　　　　　　　　　　 　プライバシーマーク推進部　03-5213-4712
（２） 主務官庁：総務省大臣官房:03-5253-5111
（３） 個人情報及び特定個人情報に関わる重大事故の場合：個人情報保護委員会
　　 　個人情報
　　 　https://www.ppc.go.jp/personalinfo/legal/leakAction/#leak_report
　　 　特定個人情報
　　 　https://www.ppc.go.jp/legal/rouei/
（４） 東京都所管局：03-5321-1111
４　個人情報保護管理者及び理事長は、次の（１）から（９）までの事項に該当する事故等が発生した場合は、事故発覚から概ね 3-5 日以内に速報として個人情報保護委員会及び審査機関へ報告する。また、事故発覚から原則30日以内（（３）の場合は60日以内）にも確報として個人情報保護委員会及び審査機関へ報告する。審査機関へは、次の（１）から（９）までに該当しない場合も確報を行うものとする。
＜個人情報の場合＞
（１） 要配慮個人情報が含まれる事故等が発生し、又は発生したおそれがある事態
（２） 不正に利用されることにより財産的被害が生じるおそれがある事故等が発生し、又は発生したおそれがある事態
（３） 不正の目的をもって行われたおそれがある事故等が発生し、又は発生したおそれがある事態
（４） 個人情報に係る本人の数が1,000人を超える事故等が発生し、又は発生したおそれがある事態
（５） その他、付与機関がプライバシーマーク付与適格性審査基準における重大な違反又は重大な違反のおそれがあると認めた事態（※審査機関への報告のみ）
＜特定個人情報の場合＞
（６） 情報提供ネットワークシステム等からの漏えい、滅失、き損
（７） 不特定多数の者に閲覧された
（８） 不正の目的による漏えい、滅失、き損
（９） 100人を超える場合
５　個人情報保護管理責任者及び理事長は、漏えい、滅失又はき損等が発生した個人情報の本人へ、対面又は電子メール等による通知を行うとともに、第３項に定める事業団内外の関係者に、次の事項を遅滞無く、ウェブサイトへの掲載や個人情報の取扱いに関する事故等の報告書（第７号様式）により通知・公表する。
（１） 事件・事故の情報（経緯・原因・規模）
（２） 被害に遭った情報に対する機微情報の有無
（３） 事件・事故に関する相談窓口の連絡先
（４） 被害に遭った個人情報の内容とそれにより予想される被害者への影響
（５） 事業団が現在までに行なった対策・今後の予定

（文書化した情報（一般））

第２６条　事業団は、次の個人情報保護マネジメントシステムの基本となる要素を書面で記述しなければならない。
（１） 内部向け個人情報保護方針（第１０条参照）
（２） 外部向け個人情報保護方針（第１０条参照）
（３） 内部規程（第２９条参照）
（４） 内部規程上定める手順上で使用する様式（文書・様式一覧表（第８号様式）参照）
（５） 計画書（第１９条参照）
（６） この規格が要求する記録及び事業団が個人情報保護マネジメントシステムを実施する上で必要と判断した記録
２　第１項（１）から（６）までで規定する文書様式の名称については文書・様式一覧表（第８号様式）に定めるものとする。

（文書化した情報の管理）

第２７条　文書作成者は、次の手順を実施する。
（１） 発行・改訂
　 ア　文書を作成し、定められた承認者の承認を得る。
　 イ　文書の改訂が必要な場合は、文書を改訂し、定められた承認者の承認を得る。定められた承認者は、適切性及び妥当性の観点から改訂文書をレビューし、承認を行う。
（２） 版管理　文書に改訂日を記録する。
（３） 参照　文書の原本をサーバの共有フォルダで管理する。

（文書化した情報（記録を除く）の管理）

第２８条　事業団は第２７条の定めに従い、個人情報保護マネジメントシステムに関連する文書を管理し、その改訂が必要な場合には、定められた承認者が、適切性・妥当性の観点から十分なレビューを行った上で承認するものとする。

（内部規程）

第２９条　個人情報保護管理者は、次に示す、個人情報保護マネジメントシステム構築・運用指針が要求する内部規程及び事業団が必要と判断した内部規程を定め、第２７条に従って作成、承認、配付、改訂を行い維持する。
（１） 個人情報を特定する手順に関する規定（第１４条参照）
（２） 法令、国が定める指針その他の規範の特定、参照及び維持に関する規定（第６条参照）
（３） 個人情報に関するリスクの認識、分析及び対策の手順に関する規定（第１６条参照）
（４） 事業団の各部門及び階層における個人情報を保護するための権限及び責任に関する規定（第１１条参照）
（５） 緊急事態（個人情報が漏えい、滅失又はき損をした場合）への準備及び対応に関する規定（第２５条参照）
（６） 個人情報の取得、利用及び提供に関する規定（第３８条から第４４条まで参照）
（７） 個人情報の適正管理に関する規定（第５１条から第５４条まで参照）
（８） 本人からの開示等の求めへの対応に関する規定（第５５条から第６１条まで参照）
（９） 教育に関する規定（第２３条参照）
（10）個人情報保護マネジメントシステム文書の管理に関する規定（第２６条から第２８条まで及び第３０条参照）
（11）苦情及び相談への対応に関する規定（第６２条参照）
（12）点検に関する規定（第３２条及び第３３条参照）
（13）是正処置及び予防処置に関する規定（第３５条参照）
（14）代表者による見直しに関する規定（第３４条参照）
（15）内部規程の違反に関する罰則の規定（事業団就業規則参照）
２　個人情報保護管理者は、事業の内容に応じて、個人情報保護マネジメントシステムが確実に適用されるように内部規程を改訂する。

（文書化した情報のうち、記録の管理）

第３０条　従業者は、文書・様式一覧表（第８号様式）に指定された記録類を検索しやすく識別し、破損しにくい状態でファイル等に保管する。記録には、次のものを含むものとする。
（１） 国が定める指針及びその他の規範の特定に関する記録
（２） 個人情報の特定に関する記録
（３） 個人情報保護リスクアセスメント及び個人情報保護リスク対応に関する記録
（４） 次の事項を含む管理策で要求する記録
　 ア　利用目的の特定に関する記録
　 イ　保有個人データに関する開示等（利用目的の通知、開示、内容の訂正、追加又は削除、利用の停止又は消去、第三者提供の停止）の請求等への対応記録
　 ウ　第三者提供に係る記録
　 エ　第三者提供に関する開示等の請求等への対応記録
　 オ　個人情報の適正管理への対応記録
（５） 教育等の実施記録
（６） 苦情及び相談への対応記録
（７） 緊急事態への対応記録
（８） 監視、測定、分析及び評価の記録
（９） 内部監査の記録
（10）マネジメントレビューの記録
（11）不適合及び是正処置の記録

第６章　運用

（運用）

第３１条　個人情報保護管理者は、個人情報保護マネジメントシステムを確実に実施するために、本要綱全般に運用のための手順を明確にする。運用に関して、次の事項に関する記録を利用可能な状態にする。
（１） 本要綱の要求事項を満たすため、第１４条から第２０条までで決定した活動について、計画し、実施し、管理する。
（２） 計画した変更を管理し、意図しない変更によって生じた結果をレビューし、必要に応じて、有害な影響を軽減する処置をとる。
（３） 外部委託した業務がある場合は、管理の対象とする。

第７章　パフォーマンス評価

（監視、測定、分析及び評価）

第３２条　事業団は、運用の確認として次の事項を実施する。
（１） 各部門長は、運用状況を確認し、３ヶ月に１度及び適宜、個人情報保護マネジメントシステム運用状況報告書（第９号様式）に記録して個人情報保護管理者に報告する。
（２） 個人情報保護管理者は、報告を受けて個人情報保護マネジメントシステム運用状況報告書（第９号様式）を確認し、運用が不十分な点等があった場合、第３５条に従って是正処置・予防処置を指示する。

（内部監査）

第３３条　事業団は、個人情報保護マネジメントシステムの個人情報保護マネジメントシステム構築・運用指針への適合状況及び個人情報保護マネジメントシステムの運用状況を毎年１回及び理事長・個人情報保護管理者・個人情報保護監査責任者が必要と認めた場合に監査を行う。
２　理事長は、公平かつ客観的な立場にある個人情報保護監査責任者を事業団の内部の者から指名し、監査の実施及び報告を行う責任及び権限を他の責任にかかわりなく与え、業務を行わせなければならない。
３　個人情報保護監査責任者は、内部監査を指揮し、監査報告書を作成し、理事長に報告しなければならない。監査員の選定及び内部監査の実施においては、自ら所属する部門を監査しないこととし、監査の客観性及び公平性を確保しなければならない。
４　事業団は、次の手順を実施する。
（１） 計画　内部監査実施の１週間前までに監査計画書（第５号様式）を作成し、理事長の承認を得る。
（２） 実施　監査チェックシート（第１０号様式）及び構築・運用指針に基づく内部監査チェックリスト（第１１号様式）を使用して監査を行い、文書類及び個人情報保護マネジメントシステム構築・運用指針との整合性が確認できない部分を不適合として指摘する。
（３） 是正処置　発見した不適合について是正・予防措置報告書（第１２号様式）によって該当部門に改善を指示する。該当部門長は、第３５条に従って是正処置を行い、是正・予防措置報告書（第１２号様式）に記録する。
（４） 報告　内部監査の結果及び改善結果を監査報告書（第１３号様式）に記録して理事長に報告する。
（５） 記録　内部監査に係る記録は、個人情報保護監査責任者が事業継続中保管する。

（マネジメントレビュー）

第３４条　理事長は、毎年３月及び理事長又は個人情報保護管理者が必要と認めた場合に、個人情報保護管理者から報告を受けてマネジメントレビューを行い、結果を個人情報保護マネジメントシステム見直し表（第１４号様式）に記録する。
２　マネジメントレビューにおいては、次の事項を含めなければならない。
（１） 前回までのマネジメントレビューの結果に対するフォローアップ
（２） 個人情報保護マネジメントシステムに関連する外部及び内部の問題点の変化
（３） 次の状況を踏まえた現在の個人情報保護マネジメントシステムの運用状況の評価
　 ア　不適合及び是正処置
　 イ　監視及び測定の結果
　 ウ　監査結果
　 エ　個人情報目的の達成
（４） 利害関係者からのフィードバック（利害関係者のニーズ及び期待の理解の変化等を含む。）
（５） リスクアセスメントの結果及びリスク対応計画の状況
（６） 継続的改善の機会

第８章　改善

（不適合及び是正措置）

第３５条　個人情報保護管理者及び個人情報保護監査責任者は、次の事項に対して、理事長の承認を得た上で是正・予防措置報告書（第１２号様式）を発行し、期限を定めて是正処置・予防措置を指示する。
（１） 内部・外部監査結果
（２） 苦情
（３） 緊急事態
（４） 運用点検の結果
（５） 確認された不適合
（６） 情報システム等の不具合
（７） 事業団内の組織変更
（８） 新システムの導入
（９） 内部・外部監査での改善指示事項
（10）他組織の事例
（11）セキュリティ技術動向
（12）適用する法の制定・改正
２　従業者は、次の手順を実施する。
（１） 確認した不適合の内容について是正・予防措置報告書（第１２号様式）により理事長の承認を得る。
（２） 不適合の原因を特定し、類似の不適合の有無又はそれが発生する可能性を検討した上で、立案した是正・予防処置（必要に応じて、個人情報保護マネジメントシステムの改善となる処置を行う。）について是正・予防措置報告書（第１２号様式）により理事長の承認を得る。
（３） その不適合に対処し、該当する場合には、必ず次の事項を行う。
　 ア　その不適合を管理し、修正するための処置をとる（手直し等の一次対応）。
　 イ　その不適合によって起こった結果に対処する（本人・相手方への影響への対処等）。
（４） 期限を定め、立案された処置を実施する。
（５） 是正・予防措置報告書（第１２号様式）に結果の記録を残す。
（６） 是正・予防処置の有効性をレビューし、是正・予防措置報告書（第１２号様式）に記録する。

（継続的改善）

第３６条　事業団は、本要綱全般の定めに従い、個人情報保護マネジメントシステムの運営を行うことで、継続的改善を実現する。

第９章　取得、利用及び提供に関する原則

（利用目的の特定）

第３７条　個人情報保護管理者は、個人情報を取得するに当たっては、第１４条の手順に従い、個人情報管理台帳（第３号様式）にその利用目的をできる限り特定し、その目的の達成に必要な限度において行う。利用目的の特定にあたっては、利用及び提供によって本人が受ける影響を予測できるように、利用及び提供の範囲を可能な限り具体的に明らかにするように配慮する。

（適正な取得）

第３８条　従業者は、個人情報の取得を次の手順により適法かつ公正な手段によって行う。
（１） 個人情報保護管理者は、業務担当者から新規個人情報取得又は既存個人情報の取扱変更の必要性の連絡を受け、状況を調査する。
（２） 個人情報保護管理者は、個人情報の内容、取得方法、取扱方法及び第３９条から第４４条までに関するただし書への該当の確認を含めて調査を行い、承認可否を検討する。
（３） 個人情報保護管理者は、本人から直接取得する以外の方法で個人情報を取得する場合（受託による取得を含む。）は、提供元又は委託元が適正に個人情報を取り扱っているか確認する。
（４） 承認した場合は、必要な指示事項を担当者に伝達し、実施を確認する。
（５） 調査や承認の記録は個人情報取得・取扱届出書（第１５号様式）に明記する。

（要配慮個人情報等の取得）

第３９条　要配慮個人情報（本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報）を取得する場合、第４１条に従ってあらかじめ書面により同意を取得しなければならない。ただし、次のいずれかに該当する場合は、同意を取得することを要しない。
（１） 法令に基づく場合
（２） 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
（３） 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
（４） 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることによって当該事務の遂行に支障を及ぼすおそれがあるとき
（５） 当該個人情報が、法令等により個人情報取扱事業者の義務等の対象外とされている者及び個人情報保護委員会規則で定めた者によって公開された要配慮個人情報であるとき
（６） 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得又は利用する場合
（７） 特定した利用目的の達成に必要な範囲内において、要配慮個人情報の取扱いの 全部又は一部を委託することに伴って当該要配慮個人情報の提供を受けるとき
（８） 合併その他の事由による事業の承継に伴って要配慮個人情報の提供を受ける場合であって、承継前の利用目的の範囲内で当該要配慮個人情報を取り扱うとき
（９） 第４３条第１項（４）によって、特定の者との間で共同して利用される要配慮個人情報を当該特定の者から提供を受けるとき
（10）事業団が学術研究機関である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）
（11）学術研究機関等から要配慮個人情報を取得し、利用する場合であって、当該要配慮個人情報を学術研究目的で取得し、利用する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（事業団と当該学術研究機関が共同して学術研究を行う場合に限る。）
２　個人情報に、性生活、性的指向又は労働組合に関する情報が含まれる場合には、当該情報を要配慮個人情報と同様に取り扱う。
３　従業者は、第１項のただし書きを適用する場合は、第３８条に従って個人情報取得・取扱届出書（第１５号様式）により個人情報保護管理者の承認を得る。

（個人情報を取得した場合の措置）

第４０条　事業団は、個人情報を取得した場合は、あらかじめ、その利用目的を公表している場合を除き、速やかにその利用目的を本人に通知し、又は公表する。ただし、次に示すいずれかに該当する場合は、この限りではない。
（１） 利用目的を本人に通知し、又は公表することによって本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
（２） 利用目的を本人に通知し、又は公表することによって事業団の権利又は正当な利益を害するおそれがある場合
（３） 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することによって当該事務の遂行に支障を及ぼすおそれがあるとき（４） 取得の状況からみて利用目的が明らかであると認められる場合
２　従業者は、第１項のただし書きを適用する場合は、第３８条に従って個人情報取得・取扱届出書（第１５号様式）により個人情報保護管理者の承認を得る。
３　個人情報保護管理者は、次の利用目的に関する公表内容を事業団公式ウェブサイトに掲載して公表する。

４　事業団は、委託、提供又は共同利用により個人情報を取得した場合は、委託元、提供元又は他の共同利用者が個人情報保護法及び個人情報保護委員会ガイドライン等に沿って適切に個人情報を取り扱っていることを確認する。

（本人から直接書面によって取得する場合の措置）

第４１条　従業者は、直接書面により、新規の種類の個人情報を取得する場合、第３８条の手順に従い、個人情報取得・取扱届出書（第１５号様式）により個人情報保護管理者の承認を得た上で行うものとし、あらかじめその利用目的を公表するものとする。
２　従業者は、本人から書面（電子的方式、磁気的方式等人の知覚によっては認識できない方式で作られる記録を含む。以下同じ。）に記載された個人情報を直接に取得する場合には、少なくとも、次に示す事項又はそれと同等以上の内容の事項をあらかじめ、書面によって本人に明示し、本人の同意を得なければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合、第４０条第１項（１）から（４）までのいずれかに該当し、第４０条に定める措置を要しない場合は、この限りではない。
（１） 事業団の名称
（２） 個人情報保護管理者（若しくはその代理人）の氏名又は職名、所属及び連絡先
（３） 利用目的
（４） 個人情報を第三者に提供することが予定される場合の事項
　 ア　第三者に提供する目的
　 イ 提供する個人情報の項目
　 ウ　提供の手段又は方法
　 エ　当該情報の提供を受ける者又は提供を受ける者の組織の種類及び属性
　 オ　個人情報の取扱いに関する契約がある場合はその旨
（５） 個人情報の取扱いの委託を行うことが予定される場合には、その旨
（６） 第５８条から第６１条までに該当する場合には、その求めに応じる旨及び問合せ窓口
（７） 本人が個人情報を与えることの任意性及び当該情報を与えなかった場合に本人に生じる結果
（８） 本人が容易に認識できない方法によって個人情報を取得する場合には、その旨
３　特定個人情報の事務取扱担当者は、特定個人情報を取得する場合は、利用目的等の必要事項を明示し、必要に応じて国が定める本人確認の措置により、本人確認の上取得する。
４　従業者は、第２項のただし書きを適用する場合は、第３８条に従って個人情報取得・取扱届出書（第１５号様式）により個人情報保護管理者の承認を得る。

（利用に関する措置）

第４２条　事業団は、個人情報を利用する場合には、本人の同意の有無にかかわらず、違法又は不当な行為（法令に違反する行為、法令の制度趣旨や公序良俗に反している等、社会通念上適正とは認められない行為）を助長し、又は誘発するおそれのある目的では利用しないものとする。
２　事業団は、特定した利用目的の達成に必要な範囲内で個人情報を利用しなければならない。特定した利用目的の達成に必要な範囲を超えて個人情報を利用する場合は、あらかじめ、個人情報の利用目的外の利用及び提供に関する同意書（第１６号様式）により、少なくとも、第４１条第２項（１）から（６）までに規定する事項又はそれと同等以上の内容の事項を本人に通知し、本人の同意を得なければならない。ただし、次のただし書きに該当する場合は、この限りではない。
（１） 法令に基づく場合
（２） 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
（３） 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
（４） 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることによって当該事務の遂行に支障を及ぼすおそれがあるとき
（５） 事業団が学術研究機関である場合であって、当該個人情報を学術研究目的で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）
（６） 第三者が学術研究機関である場合であって、第三者が個人データを学術研究目的で取り扱う必要があるとき（個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）
３　従業者は、第２項により利用目的の変更が生じる場合には、第３８条に従って個人情報取得・取扱届出書（第１５号様式）により個人情報保護管理者の承認を得る。
４　従業者は、第２項のただし書きを適用する場合は、第３８条に従って個人情報取得・取扱届出書（第１５号様式）により個人情報保護管理者の承認を得る。
５　従業者は、目的外利用にあたるかどうか判断に迷う場合は、第３８条に従って個人情報取得・取扱届出書（第１５号様式）により個人情報保護管理者の判断を求め、承認を得る。

（本人に連絡又は接触する場合の措置）

第４３条　事業団は、個人情報を利用して本人に連絡又は接触する場合には、本人に対して、個人情報の利用目的外の利用及び提供に関する同意書（第１６号様式）により、第４１条第２項（１）から（６）までに規定する事項又はそれと同等以上の内容の事項、及び取得方法を通知し、本人の同意を得なければならない。ただし、次に示すいずれかに該当する場合は、この限りではない。
（１） 第４１条第２項（１）から（６）までに規定する事項又はそれと同等以上の内容の事項を明示し、既に本人の同意を得ているとき
（２） 個人情報の取扱いの全部又は一部を委託された場合であって、当該個人情報を、その利用目的の達成に必要な範囲内で取り扱うとき
（３） 合併その他の事由による事業の承継に伴って個人情報が提供され、個人情報を提供する事業団が、既に第４１条第２項（１）から（６）までに規定する事項又はそれと同等以上の内容の事項を明示又は通知し、本人の同意を得ている場合であって、承継前の利用目的の範囲内で当該個人情報を取り扱うとき
（４） 個人情報が特定の者との間で適法かつ公正な手段によって、共同して利用されている場合であって、既に次のアからオまでに規定する事項をあらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとともに、共同して利用する者との間で共同利用について契約によって定めているとき
　 ア　共同して利用すること
　 イ　共同して利用される個人情報の項目
　 ウ　共同して利用する者の範囲
　 エ　共同して利用する者の利用目的
　 オ　共同して利用する個人情報の管理について責任を有する者の氏名又は名称及び住所並びに法人にあたっては、その代表者の氏名
（５） 第４０条第１項（４）の規定に該当するため、利用目的等を本人に明示、通知又は公表することなく取得した個人情報を利用して、本人に連絡又は接触するとき
（６） 法令に基づく場合
（７） 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
（８） 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
（９） 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることによって当該事務の遂行に支障を及ぼすおそれがあるとき
２　従業者は、個人情報を利用して本人に連絡又は接触する場合は、第３８条に従って個人情報取得・取扱届出書（第１５号様式）により個人情報保護管理者の承認を得る。
３　従業者は、第１項のただし書き（１）から（９）までを適用する場合は、第３８条に従って個人情報取得・取扱届出書（第１５号様式）により個人情報保護管理者の承認を得る。
４　第１項のただし書き（４）に関する例外事項は該当が無いため適用せず、共同利用が発生したときに手順を明確にする。

（個人データの提供に関する措置）

第４４条　事業団は、個人データを第三者に提供する場合には、あらかじめ、本人に対して、個人情報の利用目的外の利用及び提供に関する同意書（第１６号様式）により、取得方法及び第４１条第２項（１）から（４）までに規定する事項又はそれと同等以上の内容の事項を通知し、本人の同意を得なければならない。ただし、次に示すいずれかに該当する場合は、この限りではない。
（１） 第４１条の規定によって、既に第４１条第２項（１）から（４）までに規定する事項又はそれと同等以上の内容の事項を本人に明示し、本人の同意を得ているとき。又は、第４３条の規定によって既に第４１条第２項（１）から（４）までに規定する事項又はそれと同等以上の内容の事項を本人に通知し、本人の同意を得ているとき。
（２） 本人の同意を得ることが困難な場合、かつ本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、法令等が定める手続に基づいた上で、次に示す事項又はそれと同等以上の内容の事項をあらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たとき。ただし、第三者に提供される個人データが要配慮個人情報又は偽りその他不正の手段により取得された個人データ若しくは他の個人情報取扱事業者から本項の規定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む。）である場合は、この限りでない。
　 ア　第三者への提供を行う事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
　 イ　第三者への提供を利用目的とすること
　 ウ　第三者に提供される個人データの項目
　 エ　第三者に提供される個人データの取得の方法
　 オ　第三者への提供の方法
　 カ　本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること
　 キ　本人からの請求等を受け付ける方法
　 ク　第三者に提供される個人データの更新の方法
　 ケ　当該届出に関わる個人データの第三者への提供を開始する予定日
（３） 特定した利用目的の達成に必要な範囲内において、個人データの取扱いの全部又は一部を委託するとき
（４） 合併その他の事由による事業の承継に伴って個人データを提供する場合であって、承継前の利用目的の範囲内で当該個人データを取り扱うとき
（５） 第４３条第１項（４）によって、特定の者との間で共同して利用される個人データが当該特定の者に提供されるとき
（６） 法令に基づく場合
（７） 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
（８） 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
（９） 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることによって当該事務の遂行に支障を及ぼすおそれがあるとき
（10）事業団が学術研究機関等である場合であって、個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）
（11）事業団が学術研究機関等である場合であって、個人データを学術研究目的で提供する必要があるとき（個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（事業団と第三者が共同して学術研究を行う場合に限る。）
（12）第三者が学術研究機関等である場合であって、第三者が個人データを学術研究目的で取り扱う必要があるとき（個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害する おそれがある場合を除く。）
２　従業者は、個人データを第三者に提供する場合は、第３８条に従って個人情報取得・取扱届出書（第１５号様式）により個人情報保護管理者の承認を得る。
３　従業者は、第１項のただし書き（２）から（１２）までを適用する場合は、第３８条に従って個人情報取得・取扱届出書（第１５号様式）により個人情報保護管理者の承認を得る。
４　従業者は、第１項のただし書き（２）を適用する場合、必要な措置を講じる手順は書面によるものとし、第３８条に従ってその旨を個人情報取得・取扱届出書（第１５号様式）に明示する。
５　従業者は、第１項のただし書き（２）を適用する場合、あらかじめ本人に通知し、又は本人が容易に知り得る状態に置く手順は書面又はウェブサイトによる公表によるものとし、第３８条に従ってその旨を個人情報取得・取扱届出書（第１５号様式）に明示する。
６　第１項のただし書き（５）に関する例外事項は該当が無いため適用せず、共同利用が発生したときに手順を明確にする。

（外国にある第三者への提供の制限）

第４５条　法令の定めに基づき、外国にある第三者に個人データを提供する場合には、次のいずれかの事項を満たすこととする。ただし、第４４条第１項（６）から（１２）までのただし書きのいずれかに該当する場合は、この限りではない。
（１） あらかじめ外国にある第三者への提供を認める旨の本人の同意がある場合。この場合、法令の定めるところによって次に掲げる事項について、当該本人に必要な情報を提供する。
　 ア　当該外国の名称
　 イ　適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報（制度の有無、制度についての指標となり得る情報の存在等を含む。なお、次に示す事項又はそれらと同等以上の内容も情報提供することが望ましい。
① OECDプライバシーガイドライン8原則に対応する事業者の義務又は本人の権利の不存在
② その他本人の権利利益に重大な影響を及ぼす可能性のある制度の存在）
　 ウ　当該第三者が講ずる個人情報の保護のための措置に関する情報
　 エ　アからウまでに定める事項が特定できない場合、その旨及びその理由
　 オ　エに該当する場合であって、アからウまでの事項に代わる本人に参考となるべき情報がある場合には、当該情報
　 カ　エ及びオに該当する場合について情報提供できない場合には、エ及びオに定める事項に代えて、その旨及びその理由
（２） 個人データの取扱いについて個人情報取扱事業者が講ずべきこととされている　措置に相当する措置を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者への提供をする場合。この場合、あらかじめ、法令の定めるところによって、次に掲げる事項について必要な措置を講じる。
　 ア　当該第三者による相当措置の実施状況並びに相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容について、適切かつ合理的な方法による定期的な確認
　 イ　当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データの当該第三者への提供の停止
　 ウ　本人の求めを受けた場合には、情報提供することにより当該組織の業務の適正な実施に著しい支障を及ぼすおそれがある場合を除き、遅滞なく、次の情報の提供
① 当該第三者による体制の整備の方法
② 当該第三者が実施する相当措置の概要
③ アによる確認の頻度及び方法
④ 当該外国の名称
⑤ 当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要
⑥ 当該第三者による相当措置の実施に関する支障の有無及びその概要
⑦ ⑥の支障に関して、イにより講ずる措置の概要
（３） 個人の権利利益を保護する上で我が国と同等の水準にある外国として個人情報保護委員会規則で定める国・地域にある第三者への提供をする場合
２　第１項第２号ウにおいて、本人の求めに係る情報の全部又は一部について提供しない旨の決定をしたときは、本人に対して、遅滞なく、その旨を通知するとともに、その理由を説明する。

（第三者提供に係る記録の作成等）

第４６条　個人データを第三者に提供したときは、法令等の定めるところによって記録を作成し、保管する。ただし、次に掲げるいずれかに該当する場合は、記録の作成を要しない。
（１） 事業団が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合であって、承継前の利用目的の範囲内で当該個人データを取り扱うとき。
（２） 合併その他の事由による事業の承継に伴って個人データを提供する場合であって、承継前の利用目的の範囲内で当該個人データを取り扱うとき
（３） 第４３条第１項（４）によって、特定の者との間で共同して利用される個人データが提供される場合であって、承継前の利用目的の範囲内で当該個人データを取り扱うとき
（４） 法令に基づく場合
（５） 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
（６） 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
（７） 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることによって当該事務の遂行に支障を及ぼすおそれがあるとき
（８） 事業団が学術研究機関等である場合であって、個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）
（９） 事業団が学術研究機関等である場合であって、個人データを学術研究目的で提供する必要があるとき（個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（事業団と第三者が共同して学術研究を行う場合に限る。）
（10）第三者が学術研究機関等である場合であって、第三者が個人データを学術研究目的で取り扱う必要があるとき（個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）

（第三者提供を受ける際の確認等）

第４７条　第三者から個人データの提供を受けるに際しては、法令の定めるところによって確認する。ただし、次に掲げるいずれかに該当する場合は、確認を要しない。
（１） 事業団が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託されることに伴って、当該個人データが提供された場合
（２） 合併その他の事由による事業の承継に伴って個人データが提供された場合であって、承継前の利用目的の範囲内で当該個人データを取り扱うとき。
（３） 第４３条第１項（４）によって、特定の者との間で共同して利用される個人データが提供される場合であって、承継前の利用目的の範囲内で当該個人データを取り扱うとき
（４） 法令に基づく場合
（５） 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
（６） 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
（７） 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることによって当該事務の遂行に支障を及ぼすおそれがあるとき
（８） 事業団が学術研究機関等である場合であって、個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）
（９） 事業団が学術研究機関等である場合であって、個人データを学術研究目的で提供する必要があるとき（個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（事業団と第三者が共同して学術研究を行う場合に限る。）
（10）第三者が学術研究機関等である場合であって、第三者が個人データを学術研究目的で取り扱う必要があるとき（個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）
２　第三者から個人データの提供を受けるに際しては、法令の定めるところによって確認の記録を作成・保管しなければならない。
３　記録にあたっては、当該個人データの提供を受ける際に特定された利用目的を含め確認し、記録する。合わせて、当該個人データの提供を受ける際に特定された利用目的の範囲内で利用目的を特定し、その範囲内で当該個人データを利用する。

（個人関連情報の第三者提供の制限等）

第４８条　事業団は、個人関連情報を取り扱う場合には、法令の定めるところにより、適切な取扱いを行う手順を内部規定として次に文書化する。
（１） 第三者が個人関連情報を個人データとして取得することが想定される場合、次に示す事項又はそれと同等の事項をあらかじめ、本人に対して通知又は明示し、本人が識別される個人データとして取得することを認める旨の同意を得る。
＜同意を取得する主体が個人関連情報の提供先である場合に、提供先が本人に対して通知又は明示する事項＞
　 ア　提供先の事業者の名称又は氏名
　 イ　提供先の事業者の個人情報保護管理者（若しくはその代理人）の氏名又は職名、所属及び連絡先
　 ウ　個人関連情報の提供を受けて個人データとして取得した後の利用目的
　 エ　個人関連情報の項目
　 オ　個人関連情報の取得方法
　 カ　個人関連情報の取扱いに関する契約がある場合はその旨
＜同意を取得する主体が個人関連情報の提供元である場合に、提供元が本人に対して通知又は明示する事項＞
　 ア　提供元の事業者の名称又は氏名
　 イ　提供元の事業者の個人情報保護管理者（若しくはその代理人）の氏名又は職名、所属及び連絡先
　 ウ　個人関連情報の提供を受けて個人データとして取得した後の利用目的
　 エ　個人関連情報の項目
　 オ　提供する手段又は方法
　 カ　個人関連情報の提供を受けて個人データとして取得する者
　 キ　個人関連情報の取扱いに関する契約がある場合はその旨
（２） 第三者が個人関連情報を個人データとして取得することが想定される場合、当該個人関連情報を当該第三者に提供するに際しては、第４２条第１項（６）から（１２）までのいずれかに該当する場合を除き、あらかじめ、次に掲げる事項又はそれと同等以上の内容の事項について、法令の定めるところによって確認を行う。
　 ア　第１項（１）に基づき、当該第三者が個人関連情報取扱事業者から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていること。（原則として提供先による同意。同等の本人の権利利益の保護が図られることを前提に、提供元が代行してもよい。）
　 イ　外国にある第三者への提供にあっては、アの本人の同意を得ようとする場合において、法令等で定めるところによって、次の①から③までに示す事項について、あらかじめ、当該本人に提供されていること。
① 当該外国の名称
② 当該外国における個人情報の保護に関する制度
③ 当該第三者が講ずる個人情報の保護のための措置
　 ウ　個人関連情報を外国にある第三者に提供した場合には、第４６条で定めるところによって、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずること。
（３） 次の事項について、確認の記録を作成、保管すること。
　 ア　個人関連情報の提供元の確認の記録事項
① 第１項（２）アで本人の同意を得られていることを確認した旨及び外国にある個人情報取扱事業者にあっては、第１項（２）イで本人に情報の提供が行われていることを確認した旨
② 個人関連情報を提供した（提供を受けた）年月日
③ 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
④ 当該個人関連情報の項目
　 イ　個人関連情報の提供先の確認の記録事項
① 第１項（２）アで本人の同意を得られていることを確認した旨及び外国にある個人情報取扱事業者にあっては、第１項（２）イで本人に情報の提供が行われていることを確認した旨
② 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
③ 当該個人データ（個人関連情報）によって識別される本人の氏名その他当該本人を特定するに足りる事項
④ 当該個人関連情報の項目

（匿名加工情報）

第４９条　事業団は、匿名加工情報を取り扱わないものとする。匿名加工情報を取り扱う場合には、本人の権利利益に配慮し、かつ法令の定めるところによって適切な取扱いを行うため、次の手順を確立し、実施し、維持する。
（１） 適切な加工方法の決定及び加工の実施
（２） 加工方法等情報の安全管理措置
　　　 加工方法等情報のうち、次に示すその情報を用いて当該個人情報を復元することができるものについては、匿名加工情報の作成後に破棄する。
　 ア　氏名等を仮IDに置き換えた場合における氏名と仮IDの対応表
　 イ　氏名等の仮IDへの置き換えに用いた乱数等のパラメータ　等
（３） 匿名加工情報を作成及び提供することに関する公表
（４） 匿名加工情報の取扱いにおいて識別行為を防止する措置
（５） 匿名加工情報の安全管理、苦情処理、その他の適正な取扱いのための措置及び　当該措置の公表

（仮名加工情報）

第５０条　事業団は、仮名加工情報を取り扱わないものとする。仮名加工情報を取り扱う場合には、法令等の定めるところによって、適切な取扱いを行う手順を内部規定として次に文書化する。
（１） 仮名加工情報を作成する場合には、他の情報と照合しない限り特定の個人を識別することができないようにするために必要なものとして、個人情報保護委員会規則で定める基準に従い、個人情報を加工する。
（２） 仮名加工情報を作成したとき又は仮名加工情報及び当該仮名加工情報に係る削除情報等を取得したときは、削除情報等の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、削除情報等の安全管理のための措置を講じる。
（３） 仮名加工情報を利用する場合には、次を実施する。
　 ア　利用目的をできる限り特定し、法令に基づく場合を除くほか、その目的の達成に必要な範囲内において行う（本人を識別しない、内部での分析・利用であることを条件とすることを含む。）。
　 イ　あらかじめその利用目的を公表している場合及び第４０条第１項（１）から（４）までのいずれかに該当する場合を除き、速やかに、その利用目的を公表する（作成に用いた個人情報の利用目的とは異なる目的で利用する場合）。
　 ウ　仮名加工情報を取り扱うにあたっては、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該仮名加工情報を他の情報と照合しない。
　 エ　電話をかけ、郵便若しくは信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用しない。
（４） 仮名加工情報を提供する場合には、次の場合を除き、仮名加工情報である個人データを第三者に提供しない。
　 ア　仮名加工情報の取扱いの全部又は一部を第５４条と同等の措置を講じた上で委託する場合
　 イ　仮名加工情報が特定の者との間で、適法かつ公正な手段によって、共同して利用されている場合であって、次の ①から⑤までに示す事項をあらかじめ公表するとともに、共同して利用する者との間で共同利用について契約によって定めているとき
① 共同して利用すること
② 共同して利用される仮名加工情報の項目
③ 共同して利用する者の範囲
④ 共同して利用する者の利用目的
⑤ 共同して利用する仮名加工情報の管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
　 ウ　合併その他の事由による事業の承継に伴って仮名加工情報を提供する場合
　 エ　法令に基づく場合
（５） 仮名加工情報の取扱いに関する苦情の適切かつ迅速な対応を行う。
（６） 仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞なく消去する（取扱いのリスクを踏まえ、実施すべきかどうか判断する。）。
（７） 漏えい等の報告については、第２５条を踏まえて対応する。なお、利用目的の変更に伴う同意の取得（第４２条）及び開示・利用停止の請求への対応（第５９条，第６１条）は、適用除外とする。

第１０章　適正管理

（正確性の確保）

第５１条　従業者は、利用目的の達成に必要な範囲内において、個人情報を正確かつ最新の状態で管理しなければならない。
２　従業者は、データベース等に個人情報を入力する場合は、一度入力したデータを元の資料と照合して確認してから保存する。
３　従業者は、個人情報管理台帳（第３号様式）に定められた保管期間を遵守する。必要がなくなった場合、遅滞なく消去する様努める。

（安全管理措置）

第５２条　事業団は、その取り扱う個人情報のリスクに応じて、漏えい、滅失又はき損の防止その他の個人情報の安全管理のために、次に定める必要かつ適切な措置を講じなければならない（学術研究目的で行う個人データの取扱いについても対象となる。）。
（１） 入退管理
　 ア　従業者は、次の入退室管理を行う。
① 入退館管理台帳（第１７号様式）に外来者の入館・退館の記録を残す。
② 室内管理簿（第１８号様式）に、従業者の最初入室・最終退室及び電源・火の元等のチェック記録を残す。
③ 特定個人番号の管理区域・取扱区域は、事務室のみとする。
（２） 盗難防止
　 ア　携帯可能なコンピュータ等の盗難防止として、次のいずれかの事項を行う。
① 本体をワイヤーロック等で固定する。
② 帰宅時に、机、キャビネット等に格納し施錠する。
　 イ　パソコンのパスワード付きスクリーンセーバーを１０分に設定する。
　 ウ　個人情報管理台帳（第３号様式）に定められた保管方法を遵守し、物理的な媒体は施錠保管を行う。
　 エ　廃棄する場合は個人情報管理台帳（第３号様式）に定められた廃棄方法を遵守し、シュレッダー等による物理的廃棄及びデータの完全削除によりセキュリティを保つ。
　 オ　施設の鍵を管理鍵一覧表（第１９号様式）に一覧化し、貸与状況を管理する。
　 カ　携帯電話には、パスコードロック等を設定する。
（３） 物理的保護
　 ア　システム責任者は、機器及び装置には次の盗難、破壊、停電及び地震等への対策を実施する。
① サーバには転倒防止策を実施する。
② 事業団内利用中の携帯可能なコンピュータ等はワイヤーロックによる固定や施錠保管を行う。
③ サーバには無停電電源装置を設置する。
④ コピー機及びファクシミリ等は外部の者に容易に見られない場所に設置する。
（４） バックアップ
　 ア　システム責任者は、個人情報を格納するサーバについて、毎日外部サーバにバックアップを取る。バックアップに不具合が生じた場合は、システム管理委託先から連絡を受け、対処を実施する。
（５） アクセス権限管理
　 ア　システム責任者は、ユーザID及びアクセス権限の申請を受け、承認可否を検討する。アクセス権は必要最小限とし、承認した場合はセキュリティカードを発行する。セキュリティカードの発行情報はシステム責任者が管理する。
　 イ　従業者は、ログオンパスワードについて、次の管理を実施する。
① パスワードを紙に記録して保管しない。ただし、記録がセキュリティを確保して保管される場合はその限りではない。
② パスワードが漏えいした場合又はそのおそれのある場合、システム責任者に報告し、すみやかにパスワードを変更する。
③ パスワードは、８文字以上で設定する。
④ パスワードは、３か月に１回以上変更する。
⑤ パスワードには英数字や記号等を混在させる。
⑥ 本人の関連情報（例えば、名前、電話番号、誕生日）等他の者が容易に推測できる文字は使用しない。
⑦ 機能キーにパスワードを記憶させる等、自動ログオン処理にパスワードを含めない。
（６） アクセスログ管理
　 ア　システム責任者は、サーバ上のデータに対するアクセスのログを確保し、３か月に１回の運用点検時及び必要に応じて適宜分析し、個人情報保護マネジメントシステム運用状況報告書（第９号様式）に記録を残す。
　 イ　システム責任者は、サーバ上のデータに対するアクセスのログを機密性を保って保管する。
（７）不正ソフトウェア対策
　 ア　セキュリティ上問題のあるソフトウェア及びフリーソフトのインストールは禁止とする。
　 イ　事業団指定のウイルス対策ソフトを常駐させ、パターンファイルの随時更新を指示する。
　 ウ　セキュリティパッチの適用を随時指示する。
　 エ　ウイルス感染が疑われる場合は、次の措置を取る。
① 情報システムの利用を中止する。
② 電源は落とさずに、ネットワークケーブルを抜いて機器を隔離する。
③ 直ちにシステム責任者に報告する。
オ　事業団の公式ソーシャルネットワークサービスの利用はシステム責任者が指名した者（外部委託先を含む。）が行うこととし、同意の無い個人情報の掲載を行わない様に配慮する。また、従業員の私的なソーシャルネットワークサービスアカウントにおいて業務上知り得た個人情報や機密情報を掲載することは禁止とする。
カ　公式ソーシャルネットワークサービスの運用を外部業者に委託する場合は、第５４条に従って委託先の選定及び機密保持契約の取り交わしを行う。
（８） 移送・送信対策
ア　宅配伝票やメール、ファクシミリの送受信履歴により、個人情報の授受記録を残す。
イ　電子メールに個人情報の含まれた添付ファイルを添付する場合には、ファイルにパスワードを掛けて送付する。
ウ　リモートアクセス又は無線LANによる通信を行う場合は、システム責任者が許可した仮想専用回線を利用するものとし、暗号化等のセキュリティ設定を実施した上で利用する。
エ　インターネットを通じて個人情報を取得する場合は、SSLによる暗号化措置を講じる。
２　外部サービスを利用する場合であって、当該サービス提供事業者が当該個人データを取り扱わないことになっているサービスを利用する場合は、適切な安全管理措置が図られるよう、第５４条に従ってあらかじめサービス内容の把握、評価等を行ったうえで選定する。

（従業者の監督）

第５３条　事業団は、その従業者に個人情報を取り扱わせるに当たっては、次に定める監督を行うことで、当該個人情報の安全管理が図られるようにする。
２　事務局人事給与担当は、採用が決定した従業者及び雇用契約を結んだ従業者と公益財団法人東京都スポーツ文化事業団就業規則第５条第１号による誓約書、公益財団法人東京都スポーツ文化事業団常勤嘱託員設置要綱第５第３項第１号による誓約書、公益財団法人東京都スポーツ文化事業団非常勤職員設置要綱第５条第１号による誓約書又は公益財団法人東京都スポーツ文化事業団契約職員設置要綱第５条第１号による誓約書を締結し、保管・管理する。当該誓約の効力は、従業者の退職後も一定期間有効であるものとする。
３　職員の服務の宣誓に関する条例（昭和２６年東京都条例第１５号）第２条による宣誓書は前項に規定する誓約書とみなす。個人情報に関する秘密保持を含めたもので前項の誓約書に類するものを徴した場合も同様とする。
４　事業団は、従業者が個人情報保護マネジメントシステムに違反した場合は、就業規則に従い措置を行う。
５　事業団は、ビデオ及びオンラインによる従業者のモニタリングを実施しない。実施する場合は、次の手順を定める。
（１） モニタリングの目的を特定し、事業団内規程に定め、目的を従業者に明示する。
（２） モニタリング実施に関する責任及び権限を定める。
（３） モニタリングの実施に関する事業団内規程案を策定し、事前に事業団内に徹底する。モニタリングが適切に行われているか、監査又は確認を行う。

（委託先の監督）

第５４条　個人情報保護管理者は、個人情報委託先選定確認書（第２０号様式）に委託先の選定基準を定める。毎年３月に選定基準の見直しを行う。選定基準は、当該業務について事業団と同等以上の水準であることを客観的に確認できるものとする。
２　個人情報保護管理者は、毎年３月に個人情報委託先選定確認書（第２０号様式）により、委託先の評価を行う。
３　個人情報保護管理者は、個人情報委託先選定確認書（第２０号様式）に定める選定基準を満たした委託先に対して、特定した利用目的の範囲内で契約を締結する。契約においては、次に示す事項を機密保持契約書（第２１号様式）に規定して取り交わし、十分な個人情報の保護水準を担保する。
（１） 委託者及び受託者の責任の明確化
（２） 個人情報の安全管理に関する事項
（３） 再委託に関する事項
（４） 個人情報の取扱状況に関する委託者への報告の内容及び頻度
（５） 契約内容が遵守されていることを定期的に及び適宜に委託者が確認できる事項
（６） 契約内容が遵守されなかった場合の措置
（７）事件・事故が発生した場合の報告・連絡に関する事項
（８） 契約終了後の措置
４　事業団は、機密保持契約書（第２１号様式）や委託先が定める約款等の書面を少なくとも個人情報の保有期間にわたって保存する。
５　事業団は、都が保有する個人情報を取り扱う業務を受託しようとするとき（指定管理者（地方自治法（昭和２２年法律第６７号）第２４４条の２第３項に規定する指定管理者をいう。以下同じ。）として公の施設の管理を行うときを含む。）は、本条の規定に従い、個人情報の保護に関し必要な措置を講じなければならない。

第１１章　個人情報に関する本人の権利

（個人情報に関する権利）

第５５条　事業団は、保有個人データに関して、本人から利用目的の通知、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止（以下「開示等」という。）を求められた場合は、第５８条から第６１条までの規定によって、遅滞なくこれに応じる。また、第４６条及び第４７条で作成した第三者提供記録の開示を求められた場合は、第５９条の規定によって、遅滞なくこれに応じる。
２　保有個人データに該当しないものであっても、本人から求められる利用目的の通知、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止の請求等のすべてに応じる権限を事業団が有するものは、保有個人データと同様に扱うものとする。ただし、次のいずれかに該当する場合は、保有個人データ又は第三者提供記録ではない。
（１） 当該個人データ又は当該第三者提供記録の存否が明らかになることによって、本人又は第三者の生命、身体又は財産に危害が及ぶおそれのあるもの
（２） 当該個人データ又は当該第三者提供記録の存否が明らかになることによって、違法又は不当な行為を助長し、又は誘発するおそれのあるもの
（３） 当該個人データ又は当該第三者提供記録の存否が明らかになることによって、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれのあるもの
（４） 当該個人データ又は当該第三者提供記録の存否が明らかになることによって、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序維持に支障が及ぶおそれのあるもの
３　部門長は、開示対象への該当性（ただし書きに該当するか否かを含む。）について、個人情報管理台帳（第３号様式）を用いて個人情報保護管理者の承認を得なければならない。

（開示等の請求等に応じる手続）

第５６条　個人情報保護管理者は、開示等の求めに応じる手続として次の事項を定める。
（１） 開示等の求めの申し出先
　 ア　名称　公益財団法人東京都スポーツ文化事業団　お客さま相談窓口
　 イ　住所　〒151-0051　東京都渋谷区千駄ヶ谷1-29-9 日本パーティビル３階
　 ウ　電話番号　03-6380-4955
　 エ　FAX番号　03-6380-4877
　 オ　メールアドレス　privacy@tef.or.jp
（２） 開示等の求めに際して提出すべき書面の様式その他の開示等の求めの方式は、個人情報開示等申請書（第２２号様式）を相談窓口に提出することによる。
（３） 開示等の求めをする者が、本人又は代理人であることの確認の方法は、次のとおりとする。
　 ア　本人の確認は、運転免許証等の顔写真付きの証明書等と個人情報開示等申請書（第２２号様式）の記載内容を照合して行う。
　 イ　代理人の確認は、委任状及び委任状に押印されている印鑑の印鑑証明等をもって行う。
２　事業団は、本人からの開示等の求めに応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。開示等の請求にあたっては、その対象となる保有個人データ又は第三者提供記録を特定するに足る事項の提示を求めることができる。
３　事業団は、第５９条によって本人からの求めに応じ、保有個人データの開示を写しの交付の方法により行うときは、公益財団法人東京都スポーツ文化事業団情報公開要綱の定めるところにより手数料を徴収する。

（保有個人データ又は第三者提供記録に関する事項の周知等）

第５７条　個人情報保護管理者は、保有個人データ又は第三者提供記録に関し、手続きのために必要な事項を事業団ホームページに掲載し、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
２　ウェブサイトへの掲載文面は、次のとおりとする。

（保有個人データの利用目的の通知）

第５８条　事業団は、本人から当該本人が識別される保有個人データについて、利用目的の通知を求められた場合には、遅滞なくこれに応じなければならない。ただし、第４０条第１項（１）から（３）までのいずれかに該当する場合又は第５７条第２項によって当該本人が識別される保有個人データの利用目的が明らかな場合は利用目的の通知を必要としないが、そのときは、本人に遅滞なくその旨を通知するとともに、個人情報保護管理者の承認を得た上でその理由を個人情報開示等報告書（第２３号様式）によって本人に報告する。
２　個人情報窓口責任者は、求めに応じない場合を含め、本人への回答内容について個人情報開示等報告書（第２３号様式）により個人情報保護管理者の承認を得る。
３　個人情報窓口責任者は、受け付け、回答内容についての個人情報保護管理者による承認（ただし書きにより利用目的を通知しない場合の承認を含む。）に関する事項を個人情報開示等報告書（第２３号様式）に記録しなければならない。

（保有個人データ又は第三者提供記録の開示）

第５９条　事業団は、本人から当該本人が識別される保有個人データ（個人情報の特定において、当該個人情報を保有個人データと同様に取り扱うことが適切であると判断されたものを含む。）又は第三者提供記録の開示（当該本人が識別される保有個人データ又は第三者提供記録が存在しないときにその旨を知らせることを含む。）を求められたときは、法令の規定によって特別の手続が定められている場合を除き、本人に対し、遅滞なく、電磁的記録の提供も含めて当該本人が指定した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）によって開示しなければならない（学術研究目的で行う個人データの取扱いを含む。）。また、当該本人が識別される保有個人データ又は第三者提供記録が存在しないときは、その旨を本人に遅滞なく通知する。ただし、開示することによって次のいずれかに該当する場合は、その全部又は一部を開示する必要はないが、そのときは、本人に遅滞なくその旨を通知するとともに、個人情報保護管理者の承認を得た上でその理由を個人情報開示等報告書（第２３号様式）によって本人に報告する。
（１） 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
（２） 事業団の業務の適正な実施に著しい支障を及ぼすおそれがある場合
（３） 法令に違反することとなる場合
２　個人情報窓口責任者は、求めに応じない場合及び本人が指定した方法による開示が困難である場合として書面の交付とした場合を含め、それらの理由を含む本人への回答内容について個人情報開示等報告書（第２３号様式）により個人情報保護管理者の承認を得る。

（保有個人データの訂正，追加又は削除）

第６０条　事業団は、本人から当該本人が識別される保有個人データの内容が事実でないという理由によって当該保有個人データの訂正、追加又は削除（以下この項において「訂正等」という。）を求められた場合は、法令の規定によって特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づいて、当該保有個人データの訂正等を行わなければならない。また、事業団は、訂正等を行ったときは、その旨及びその内容を本人に対し遅滞なく通知し、個人情報保護管理者の承認を得た上でその理由を個人情報開示等報告書（第２３号様式）によって本人に報告する。訂正等を行わない旨の決定をしたときは、その旨及びその理由を本人に対し遅滞なく通知し、個人情報保護管理者の承認を得た上でその理由を個人情報開示等報告書（第２３号様式）によって本人に報告する。
２　個人情報窓口責任者は、求めに応じない場合を含め、本人への回答内容について個人情報開示等報告書（第２３号様式）により個人情報保護管理者の承認を得る。

（保有個人データの利用又は提供の拒否権）

第６１条　事業団が、本人から当該本人が識別される保有個人データの利用の停止、消去又は第三者への提供の停止（以下この項において「利用停止等」という。）を求められた場合は、これに応じなければならない。また、措置を講じた後は、遅滞なくその旨を本人に通知しなければならない。ただし、次のいずれかに限り、該当する場合は、利用停止等を行う必要はないが、本人に遅滞なくその旨を通知し、個人情報保護管理者の承認を得た上でその理由を個人情報開示等報告書（第２３号様式）によって本人に報告する。
（１） 当該保有個人データの利用停止等に多額の費用を要する場合等の理由により、利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるとき
（２） 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
（３） 当該事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
（４） 法令に違反する場合
２　個人情報窓口責任者は、求めに応じない場合を含め、本人への回答内容について個人情報開示等報告書（第２３号様式）により個人情報保護管理者の承認を得る。

第１２章　苦情及び相談への対応

（苦情及び相談への対応）

第６２条　個人情報窓口責任者は、個人情報の取扱い及び個人情報保護マネジメントシステムに関して苦情があった際は、その内容を個人情報保護マネジメントシステム苦情・相談処理報告書（第２４号様式）に記録して、適切かつ迅速に対応する。
２　個人情報窓口責任者は、事実関係を調査し、本人に回答する対応内容を検討して個人情報保護管理者の承認を得た上で、謝罪及び対応を実施する。その際不当な要求等には十分注意し、必要に応じて個人情報保護管理者、理事長、警察に相談する。
３　個人情報窓口責任者は、対応内容を個人情報保護マネジメントシステム苦情・相談処理報告書（第２４号様式）に記録し、理事長に報告する。

（改廃）

第６３条　この要綱の改廃は、公益財団法人東京都スポーツ文化事業団諸規程管理規程に従うものとする。

　附　則　

１　この要綱は、令和7年４月１日から施行する。
２　公益財団法人東京都スポーツ文化事業団個人情報保護要綱（令和６年4月1日理事長決定）は、 廃止する。

　附　則　

この要綱は、令和８年４月１日から施行する。