２．個人データの安全管理に係る取扱規程

第１条 目的
本規程は、当店における個人データの安全管理措置について定めたものである。

第２条 定義
「取得・入力」
「取得」とは、本人または第三者から個人情報を物理的および電子的手段により取得することなどをいう
（店内の他部門からの取得は含まない）。「入力」とは、取得した個人情報をデータベース等の情報システ
ムに物理的および電子的に入力することなどをいう。
２ 「利用・加工」
「利用」とは、個人データを利用目的の範囲内で取り扱うことなどをいう。「加工」とは、個人データの
更新を行うこと、または個人データを利用し、新たなデータベースを作成することなどをいう。
３ 「管理区域」とは、当該個人データを取り扱う店舗・事務所、客先等及びその間の往復過程とする。なお、
特段の定めが必要な場合は、別途規定する。
４ 「保管・保存」
「保管」とは、個人データを加工せず、オフィスフロア内に置き管理することなどをいい、「保存」とは、
個人データを加工せず、オフィスフロア外（書庫等）に置き廃棄に至るまで管理すること、およびパソコンや電子媒体等に電子データを格納し消去にいたるまで管理すること（個人データのバックアップを含む。）などをいう。
５ 「移送・送信」
「移送」とは、物理的な手段により個人データを異なる場所や人に移すことなどをいい、「送信」とは、
電子的な手段により個人データを異なる場所や人に移すことなどをいう。
６ 「消去・廃棄」
「消去」とは、個人データが保存されている媒体の個人データを電子的な方法その他の方法により削除す
ることなどをいい、「廃棄」とは、個人データが保存されている媒体を物理的に廃棄することなどをいう。
７ 「漏えい事案等」
「漏えい事案等」とは、顧客情報が記載・収録された帳票や電子記録媒体（CD 等）の盗難または紛失、
郵便物の誤送付、電子メールやファックスの誤送信等の事故により、顧客情報の漏えい、滅失または毀損
が生じ、または生じるおそれが高い場合をいう。

第３条 取扱者の役割・責任および取扱者の限定
情報管理責任者は、個人情報の「取得・入力」および個人データの「利用・加工」「保管・保存」「移送・送
信」「消去・廃棄」について取扱段階毎に取扱者の役割・責任を定め、組織内に周知しなければならない。
２ 情報管理者は、各部署において業務上必要な者に限り個人情報の「取得・入力」および個人データの「利
用・加工」「保管・保存」「移送・送信」「消去・廃棄」が行われるよう取扱段階毎に取扱者を限定しなければ
ならない。

第４条 センシティブ情報に関する取扱者の限定
情報管理者は、要配慮個人情報（人種・信条・社会的身分・病歴・犯罪の経歴・犯罪被害の事実、その他本
人に対する不当な差別、偏見、不利益が生じないように配慮が必要な情報）と、要配慮個人情報に該当しな
い労働組合への加盟、門地、本籍地、保健医療、性生活に関する情報（以下、「センシティブ情報」という。）
の「取得・入力」およびセンシティブ情報に該当する個人データの「利用・加工」「保管・保存」「移送・送
信」「消去・廃棄」については、取扱段階毎の取扱者を必要最小限に限定しなければならない。

第５条 取得・入力の対象となる個人データの限定
情報管理者は、各取扱段階について「取得・入力」する個人情報、「利用・加工」「保管・保存」「移送・送信」
する個人データを業務上必要な範囲内のものに限定しなければならない。

第６条 照合および確認手続き
個人データの取扱者は、個人情報を「取得」するときには、情報提供者の本人確認および権限等の確認を行
わなければならない。
２ 個人データの取扱者は、個人情報を「入力」するときには、入力データが正確であることを確認しなけれ
ばならない。
３ 個人データの取扱者は、個人データの「移送・送信」するときには、移送・送信先に相違がないか照合お
２．個人データの安全管理に係る取扱規程
社外秘
よび確認を行わなければならない。
４ 個人データの取扱者は、「利用」する個人データが対象データとして正しいかについて確認しなければな
らない。
５ 個人データの取扱者は、「利用」する個人データが正しく「加工」されたかについて元データと照合しな
ければならない。
６ 個人データの取扱者は、個人データの「消去・廃棄」に際し、「消去・廃棄」する個人データについて、
個人データ管理台帳等により保管期間を照合または消去・廃棄理由を確認のうえ、「消去・廃棄」しなけれ
ばならない。
７ 個人データの取扱者は、個人データを「消去・廃棄」する際には、当該データが保存されている機器・
記録媒体等の性質に応じ適正な方法で消去・廃棄しなければならない。

第７条 規程外作業に関する申請および承認手続き
個人データの取扱者は、個人情報を「取得・入力」または個人データを「利用・加工」「保管・保存」「移送・
送信」「消去・廃棄」するに際し、本規程に定める以外の方法で取り扱う必要があるときは、情報管理者に申
請し、承認を得たうえで行わなければならない。

第８条 機器・記録媒体等の管理手続き
情報管理者は、「取得・入力」した個人情報、「利用・加工」された個人データまたは「消去・廃棄」する個
人データが保存された機器・記録媒体等の設置場所の指定ならびに管理区分および権限の設定をし、必要に
応じ変更しなければならない。
２ 個人データの取扱者は、前項の指定および設定に従い、個人情報が保存された機器・記録媒体等を適切に
保管しなければならない。

第９条 個人データへのアクセス制御
情報管理者は、「取得・入力」した個人情報、「利用・加工」、「保管・保存」、「移送・送信」「消去・廃棄」す
る個人データへのアクセスを制御するために、個人データが保存された機器・記録媒体等に関して以下の措
置を講じなければならない。
（１）アクセスに必要なＩＤおよびパスワードの管理を徹底する。
（２）機器・記録媒体等を保管するスペースへの部外者の立ち入りを制限する。
（３）受信した郵便物やＦＡＸ等の個人情報について適切な管理を行う。
２ 情報管理者は、センシティブ情報へのアクセス制御について、当該情報の「利用・加工」「保管・保存」「移送・送信」を認められた必要最小限の取扱者に限りそれぞれの取扱いが行われるようＩＤおよびパスワー
ドを付与すると共に、ＩＤおよびパスワードの管理を徹底しなければならない。

第１０条 取扱状況の記録および分析
個人データの取扱者は、個人情報を「取得・入力」する場合、個人データを「利用・加工」「保管・保存」「移
送・送信」「消去・廃棄」する場合、情報の種類や形態等に応じて、必要に応じ、かつ適切に「取得・入力」
「利用・加工」「保管・保存」「移送・送信」「消去・廃棄」の状況について記録を行わなければならない。
２．情報管理者は、個人情報の漏えい等の防止のため、必要に応じ、記録された状況を確認する。

第１１条 センシティブ情報の「取得」「利用・加工」「移送・送信」の制限
個人データの取扱者は、センシティブ情報については、次に掲げる場合を除くほか、「取得」「利用・加
工」「移送・送信」してはならない。
（１）保険業の適切な業務運営を確保する必要性から、本人の同意に基づき業務遂行上必要な範囲でセンシ
ティブ情報を「取得」「利用・加工」「移送・送信」する場合
（２）相続手続を伴う保険金支払事務等の遂行に必要な限りにおいて、センシティブ情報を「取得」「利用・
加工」「移送・送信」する場合
（３）保険料収納事務等の遂行上必要な範囲において、政治・宗教等の団体もしくは労働組合への所属もし
くは加盟に関する従業員等のセンシティブ情報を「取得」「利用・加工」「移送・送信」する場合
（４）前各号のほか、金融庁ガイドライン第５条第１項各号に掲げる場合

第１２条 センシティブ情報の「取得」「利用」に関わる本人同意の取得および説明事項
個人データの取扱者は、前条（１）に基づきセンシティブ情報を「取得」または「利用」する場合には、当
該センシティブ情報を保険業の適切な業務運営を確保する必要性から、本人の同意（原則として書面による。）
に基づき業務遂行上必要な範囲で「取得」または「利用」しなければならない。
２ 個人データの取扱者は、前項において本人の同意に基づかない場合には、当該センシティブ情報を「取
社外秘
得」または「利用」してはならない。
３ 個人データの取扱者は、郵送等により取得した個人データが含まれる文書等にセンシティブ情報が含ま
れている場合は、原則として、本人の指定した方法により、当該情報を速やかに本人に返却もしくは廃棄
する。ただし、当該文書等に記載された他の情報が業務遂行上必要な場合、個人データの取扱者は、直ち
に当該センシティブ情報の記載部分を判読不能な状態にして取得するものとする。

第１３条 意図せず個人番号・特定個人情報を取得した場合の措置
個人データの取扱者は、必ず記載された個人番号を復元できない程度にマスキングする。対面で取得した場
合は、その場で返却し、マスキングしたものを取得する。

第１４条 個人データの管理区域外への持ち出しに関する措置
情報管理責任者は、個人データの管理区域外への持ち出しに関する取扱者の役割・責任を定め、組織内に周
知しなければならない。
２ 情報管理者は、個人データの管理区域外への持ち出しに関する取扱者を必要最小限に限定しなければな
らない。
３ 情報管理者は、管理区域外に持ち出すことが可能な個人データを業務上必要最小限の範囲に限定しなけ
ればならない。
４ 情報管理者は、個人データの管理区域外への持ち出しに際し、個人データを持ち出す者が第２項で限定
された取扱者本人であることを確認しなければならない。
また、情報管理者は、持ち出す個人データが第３項により持ち出すことを限定した個人データの範囲内
であるか確認しなければならない。
５ 個人データの取扱者は、個人データを管理区域外に持ち出す場合には、情報管理者に申請し、承認を得
たうえで行わなければならない。
６ 個人データの取扱者は、個人データを管理区域外に持ち出す場合には、別に定める件数等に限ると共に、
個人データが保存された機器・媒体等を常時携行するなど適切に管理しなければならない。
７ 個人データの取扱者は、個人データを管理区域外に持ち出す場合には、データの種類や形態等に応じて、
必要かつ適切に持ち出した個人データの状況について報告および記録を行わなければならない。
情報管理者は、個人データの漏えい等の防止のため、必要に応じ、報告および記録された状況を確認す
る。

第１５条 個人データに関する障害発生時の対応・復旧手続き
情報管理者は、「保管・保存」「移送・送信」する個人データについて、取扱者に対し定期的にバックアップ
等を行うよう徹底すると共に、「保管・保存」「移送・送信」する個人データに障害が発生した際にはバック
アップデータ等により復旧させなければならない。
２ 個人データの取扱者は、作成したバックアップデータ等を適切に管理しなければならない。

第１６条 個人データの利用者の識別および認証
情報管理者は、個人データを「利用・加工」「保管・保存」「移送・送信」する取扱者についてそれぞれ識別
および認証機能を設けなければならない。

第１７条 個人データの管理区分の設定およびアクセス制御
情報管理者は、個人データの「利用・加工」「保管・保存」「移送・送信」の各段階における管理区分の設定
およびアクセス制御機能を設けなければならない。
２ 情報管理者は、前項のアクセス制御機能の設定にあたっては、センシティブ情報の取扱者が必要最小限の
者に限定されるよう設定しなければならない。

第１８条 個人データへのアクセス権限の管理
情報管理者は、個人データの「利用・加工」「保管・保存」「移送・送信」の各段階におけるアクセス権限に
関する機能を設けなければならない。
２ 情報管理者は、前項のアクセス権限に関する機能の設定にあたっては、センシティブ情報の取扱者が必要
最小限の者に限定されるよう設定しなければならない。

第１９条 個人データの漏えい・き損等防止策
情報管理者は、個人データの「利用・加工」「保管・保存」「移送・送信」の各段階における漏えい・き損等
の防止策を講じなければならない。なお、特に個人データの「保管・保存」においては、別途、当社で保
管ルールを定め、同ルールを遵守しなければならない。
社外秘

第２０条 個人データへのアクセス記録および分析
情報管理者は、個人データの「利用・加工」「保管・保存」「移送・送信」の各段階におけるアクセス記録を
取得し、必要な期間保管するとともに、個人データの漏えい等の防止のため、必要に応じてこれを分析しな
ければならない。

第２１条 個人データを取り扱う情報システムの稼動状況の記録および分析
情報管理者は、個人データの「利用・加工」「保管・保存」の各段階におけるシステムの稼動状況に関し記録
を取得し、必要な期間保管するとともに、個人データの漏えい等の防止のため、必要に応じてこれを分析し
なければならない。

第２２条 漏えい事案等への対応に関する対応部署の役割・責任および取扱者の限定
情報管理責任者は、漏えい事案等への対応に関する対応部署（以下、「対応部署」という。）の役割・責任を
定め、組織内に周知しなければならない。
２ 対応部署の情報管理者は、各部署において、業務上必要な者に限り漏えい事案等への対応が行われるよう
取扱者を限定しなければならない。

第２３条 漏えい事案等への対応の規程外作業に関する申請および承認手続き
個人データの取扱者は、本規程に定める以外の方法で漏えい事案等に対応する場合は、情報管理者に申請し、
承認を得たうえで行わなければならない。

第２４条 漏えい事案等の影響等に関する調査手続き
漏えい事案等が発生した部署の情報管理者は、情報管理責任者および対応部署と連携のうえ漏えいした個人
データの取扱状況の記録内容の分析を行い、漏えいした個人データの量、質、事故の原因、状況、被害の程
度等漏えい事案等の内容および影響の調査を行うこととする。

第２５条 再発防止策・事後対策の検討に関する手続き
漏えい事案等が発生した部署の情報管理者は、対応部署と協議のうえ、漏えいした個人データの取扱状況の
記録内容の分析を踏まえた再発防止策・事後対策を策定し、情報管理責任者へ報告することとする。

第２６条 報告に関する手続き
漏えい事案等が発生した場合、発見者は、漏えい範囲の拡大防止等必要な措置をとると共に、直ちに対応部
署に報告しなければならない。
２ 対応部署は、報告を受けた漏えい事案等について、直ちに取引保険会社に報告しなければならない。
３ 対応部署の情報管理者は取引保険会社の指示に従い、社外への報告等（警察への届出、本人への通知等、
二次被害の防止・類似事案の発生回避の観点からの事実関係および再発防止策の公表）の要否およびその
方法について決定しなければならない。

第２７条 漏えい事案等への対応記録および分析
対応部署の個人データの取扱者は、漏えい事案等へ対応する場合、データの種類や形態等に応じて、必要に
応じ、かつ適切に漏えい事案等への対応状況について記録を行わなければならない。
２ 対応部署の情報管理者は、個人データの漏えい等の防止のため、必要に応じ、記録された状況を確認する。

第２８条（本規程の改定）
本規程の改廃は情報管理責任者の決定により効力を発する。
 

​