個人情報取扱指針について

  大阪市では、平成7年に「大阪市個人情報保護条例」を制定し、個人情報保護の重要性について事業者及び市民への啓発に努めるとともに、事業者及び事業者団体が個人情報保護のために必要な措置を講ずるよう、指導・助言をおこなっています。
  平成17年4月には、個人情報保護法の全面施行にあわせ、この条例を改定し、事業者が個人情報の取り扱いについて必要な措置を講じるための「個人情報取扱指針」を策定のうえ、事業者がこの指針に反して、不適切な個人情報の取り扱いをおこなった場合、調査・勧告・公表などの措置をおこなうこととしております。

1．目的

　この指針は、事業者の個人情報の取扱いについての基準を定めることにより、事業者が個人情報の保護のために必要な措置を講ずる際の指針とするとともに、大阪市長が大阪市個人情報保護条例第50条第1項に基づく調査又は第51条第1項に基づく勧告を実施する際の基準とすることを目的とする。

2．利用目的の特定

事業者は、個人情報を取り扱うに当たっては、利用目的をできる限り具体的に特定しなければならない。

3．利用目的による制限

（1）行政手続における特定の個人を識別するための番号の利用等に関する法律（平成25年法律第27号。以下「番号法」という。）第2条第8項に規定する特定個人情報（以下「特定個人情報」という。）を除く個人情報について

事業者は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない。

　ただし、以下の場合を除く。

ア　法令に基づく場合

イ　人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき

ウ　公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき

エ　国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき

（2）特定個人情報について

事業者は、番号法により認められる場合を除き、特定された利用目的の達成に必要な範囲を超えて特定個人情報を取り扱ってはならない。

4．不適正な利用の禁止について

事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。

5．特に配慮を要する個人情報（要配慮個人情報）

事業者は、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実及び個人情報の保護に関する法律施行令(平成15年政令第507号)第2条で定める記述等が含まれる個人情報（以下「要配慮個人情報」という。）の取得については、個人情報の保護に関する法律（平成15年法律第57号。以下「個人情報保護法」という。）第20条第2項の規定に基づき個人情報保護法第16条第2項に規定する個人情報取扱事業者（以下「個人情報取扱事業者」という。）が遵守すべき事項を遵守するとともに、要配慮個人情報の取扱全般について、個人の権利利益を侵害することのないよう特に配慮して取り扱わなければならない。

6．適正な取得等

（1）適正な取得について

事業者は、偽りその他不正の手段により個人情報を取得してはならない。

（2）特定個人情報に係る収集等の制限について

事業者は、番号法により認められる場合を除き、特定個人情報を収集し、又は保管してはならない。

7．利用目的の公表等

事業者は、個人情報の利用目的を公表し、又は本人に通知しなければならない。

　ただし、以下の場合を除く。

（1）本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

（2）当該事業者の権利又は正当な利益を害するおそれがある場合

（3）国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、当該事務の遂行に支障を及ぼすおそれがあるとき

（4）取得の状況からみて利用目的が明らかであると認められる場合

8．正確性の確保等

事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。

9．安全管理措置

（1）事業者は、事業の性質及び個人データの取扱い状況等に応じて、漏えい、滅失、毀損及び改ざん（以下「漏えい等」という。）の防止その他の安全管理措置を講ずるとともに、個人データの取扱いを委託するときは、安全管理措置を遵守させるよう、委託先の監督を行わなければならない。なお、特定個人情報の取扱いを委託するときは、番号法に基づき自ら果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行わなければならない。

（2）ア　事業者は、その取り扱う個人データ（個人情報保護法第2条第5項に定める仮名加工情報である個人データを除く。この(2)において同じ。）について、個人情報保護委員会規則で定める漏えい等が生じたときは、本人に通知しなければならない。

　ただし、本人への通知が困難な場合であって、これに代わるべき措置をとるときを除く。

イ　個人情報取扱事業者は、その取り扱う個人データについて、個人情報保護委員会規則で定める漏えい等が生じたときは、同規則で定めるところにより、個人情報保護委員会に報告しなければならない。

　ただし、個人情報取扱事業者が、他の個人情報取扱事業者から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該漏えい等が生じた旨を当該他の個人情報取扱事業者に通知したときを除く。

10．提供の制限

（1）特定個人情報を除く個人情報について

ア　事業者は、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。

　ただし、以下の場合を除く。

（ア）法令に基づく場合

（イ）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき

（ウ）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき

（エ）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき

（オ）第三者に提供される個人データ（要配慮個人情報又は6.の定めに反して取得された情報若しくは他の個人情報取扱事業者からこの（オ）により第三者に提供できるものとして提供された情報（その全部又は一部を複製し、又は加工したものを含む。）に係るものを除く。以下この（オ）において同じ。）について、第三者提供を利用目的としている場合であって、次に掲げる事項を、あらかじめ本人に通知し、又は本人が容易に知りうる状態に置くとともに、個人情報取扱事業者にあっては、必要な事項を個人情報保護委員会に届け出たとき

A　第三者への提供を行う個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名

B　当該利用目的

C　第三者に提供される個人データの項目

D　第三者に提供される個人データの取得の方法

E　第三者への提供の方法

F　本人の求めに応じて当該個人データの第三者への提供を停止することとしていること

G　本人の求めを受け付ける方法

H　その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則で定める事項

（カ）委託、事業の承継又は共同利用による個人データの提供の場合

イ　事業者は、外国にある第三者への個人データの提供、個人データの第三者への提供に係る記録の作成並びに第三者から個人データの提供を受ける際の当該第三者の氏名等の確認、当該第三者による当該個人データの取得の経緯の確認及びこれらの確認事項の記録等に関しては、個人情報保護法第28条から第30条までの規定に基づき個人情報取扱事業者が遵守すべき事項を遵守しなければならない。

（2）特定個人情報について

事業者は、番号法により認められる場合を除き、特定個人情報の提供をしてはならない。

11．開示等

（1）番号法第23条第1項及び第2項に規定する記録に記録された特定個人情報（以下「特定個人情報の情報提供ネットワークに係る提供等記録」という。）を除く個人情報について

ア　事業者は、本人から、自己に関する開示等対象個人データ【注】の開示、訂正又は利用停止を求められたときは、これに応じなければならない。

　ただし、以下の場合を除く。

（ア）　本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

（イ）　当該事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合

（ウ）　他の法令に違反することとなる場合

イ　アの開示に当たっては、本人が電磁的記録の提供による方法その他の個人情報保護委員会規則で定める方法による開示を希望する場合は、これに応じなければならない。

ただし、本人が請求した方法での開示に多額の費用を要する場合など実施が困難な場合には、本人にその旨を通知した上で、書面の交付により開示することができる。

【注】開示等対象個人データ：事業者が開示等の権限を有する個人データ（仮名加工情報である個人データを除く。）のこと。なお、開示に係る開示等対象個人データには、「第三者への提供時の記録と第三者からの受領時の記録」も含まれる。

（2）特定個人情報の情報提供ネットワークに係る提供等記録について

事業者は、本人から、自己に関する特定個人情報の情報提供ネットワークに係る提供等記録で当該事業者が保有するものの開示又は訂正を求められたときは、これに応じなければならない。

　ただし、以下の場合を除く。

ア　本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

イ　当該事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合

ウ　他の法令に違反することとなる場合

12．苦情の処理

事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。

13．適用範囲

この指針は、個人情報を事業の用に供している市内で活動するすべての事業者を対象とする。ただし、報道活動、著述活動、学術活動、宗教活動、政治活動のために、個人情報を取り扱う場合には本基準は適用されないので、事業者はそれらの活動に係る個人情報については、本基準を参考とし、自ら活動実態等に応じた保護措置を講ずるよう努めなければならない。

　また、学術活動のために、個人情報を取り扱う場合（個人の権利利益を不当に侵害するおそれがある場合を除く。）には、3．、5．及び10．は適用しない。

14．個人情報保護法等との調整

個人情報取扱事業者については、1．から13．までに定める事項のほか、個人情報保護法を順守しなければならない。また、個別の事業分野等に関わり、個人情報保護委員会又は事業者団体等による個人情報保護に関する事業者指針(ガイドライン)が策定されているときは、該当する指針に基づき更なる個人情報保護措置を講ずるよう努めなければならない。さらに、すべての事業者は、番号法その他の個別の法令及び特定個人情報の適正な取扱いに関するガイドライン（事業者編）（平成26年特定個人情報保護委員会告示第5号）その他の個別の法令に基づき定められた指針（ガイドライン）等（以下「個別の法令等」という。）に基づき、この指針とは異なる個人情報の取扱いが求められる場合は、個別の法令等に則った対応をしなければならない。