第１章　総則

（基本規程の目的）

第１条
基本規程は、有限会社バンビ学園（ローズ・ヴィラ）（以下「本事業者」 という。）が保有する個人情報につき、個人情報の保護に関する法律（以下「個人情報保護法」という。）その他関連法規及び厚生労働省の「医療・介護関係事業者における個人情報の適切な取扱いのためのガイドライン」、ならびに介護保険法等の趣旨の下、これを適正に取扱い、本事業者が掲げる「個人情報に関する基本方針」がめざす個人の権利利益を保護することを目的とします。

（適用対象）

第２条
本規程は、本事業者の業務に従事する全ての従事者（役員、常勤職員、非常勤職員、パート職員、契約職員、派遣職員、アルバイト等も含む。以下同じ。）に対しこれを適用するものとします。また、個人情報を取り扱う業務に関して外部に委託する場合においては、本規程の目的とするところに従い、個人情報の適切な取扱いと保護を図るものとします。

（定義）

第３条
本規程における用語の定義は、次の各号で定める通りとします。

1. 個人情報
   生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述、写真、映像、音声等により特定の個人を識別することができるもの及び他の情報と容易に照合することができ、それにより特定の個人を識別できるものをいいます。
   なお、本人が死亡した後においても、故人の個人情報に生存する遺族等の個人情報が記載されている、あるいは特定できる記載がある場合には、個人情報と同様に取り扱います。
2. 個人情報データベース等
   個人情報を含む情報の集合物であって、次に掲げるものをいいます。
   1. 特定の個人情報をコンピュータを用いて検索することができるように体系的に構成したもの
   2. コンピュータを用いていない場合であっても、紙媒体に記録した個人情報を一定の規則（目次、索引など）に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成したもの
   3. 個人データ
      個人情報データベース等を構成する個人情報をいいます。
   4. 保有個人データ
      本事業者が、開示、訂正、追加、削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、６ヶ月を超えて継続利用を行うものをいいます。
   5. 本人の同意
      本人とは個人情報によって識別される特定の利用者をいい、本人の同意とは、個人情報利用の「基本方針」及び「利用の目的」の明示を受け、個人情報の収集（取得）、利用、提供について承諾する意思表示をいいます。
   6. 利用目的の明示
      本人に対して、個人情報の利用目的を明確に示すことをいい、契約時における書面での明示や事業所内の掲示等を行い、本人及び家族が知り得る状況に置くようにします。
   7. 匿名化
      個人情報から個人を特定できる氏名、生年月日、住所の記述等を取り除くことで特定の個人を識別できないようにすることをいいます。

（本事業者の責務）

第４条
本事業者は、個人情報が、個人の人権尊重の理念の下に慎重に取り扱われるべきものであることに鑑み、実施するすべての事業において個人情報の適正な取扱いと保護に努めるものとします。

（適用範囲）

第５条
本規程は、コンピュータ処理がなされているか否か、及び書面に記録されているか否かを問わず、本事業者において処理される全ての個人情報データベース等、個人データ及び保有個人データ（以下「個人情報等」という。）の取扱いにつき定めるものとします。

第２章　個人情報等の取扱い

第１節　個人情報等の取得・利用・第三者提供

（利用目的の特定）

第６条

1. 本事業者は、個人情報を取り扱うにあたり、利用の目的（以下「利用目的」という。）をできる限り特定するとともに、それを公表します。
2. 本事業者は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲で行うこととします。
3. 本事業者は、利用目的を変更した場合には、変更した利用目的について、本人に通知をし、それを公表します。

（利用目的外による利用の制限）

第７条

1. 本事業者は、あらかじめ本人の同意を得ることなく、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱いません。
2. 本事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴い個人情報を取得した場合には、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて当該個人情報を取り扱いません。
3. 前２項の規定に関わらず、次の各号のいずれかに該当する場合については、あらかじめ本人の同意を得ないで特定された利用目的の範囲を超えて個人情報を取り扱うことができるものとします。
   1. 法令に基づく場合
   2. 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
   3. 公衆衛生の向上のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
   4. 国の機関もしくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼす恐れがある場合
4. 本事業者は、前項３の規定に該当して利用目的の範囲を超えて個人情報を取り扱う場合には、その取り扱う範囲については必要最小限の範囲に限定するものとします。

（適正な取得）

第８条

1. 本事業者は、個人情報を取得するときには、利用目的を明示するとともに、適法かつ適正な方法で行います。
2. 本事業者は、思想、信条及び宗教に関する個人情報については取得しないものとします。
3. 本事業者は、原則として本人から個人情報を取得します。しかし次の各号のいずれかに該当する場合には、この限りではありません。
   1. 本人の同意がある場合
   2. 本人の生命、身体又は財産の安全を守るために緊急かつやむを得ないと判断されるとき
   3. 判断能力が不十分等の事由により、本人から取得することが困難と判断されるとき
   4. 相談、援助、指導、代理、代行等を含む業務において、本人から取得したのではその目的を達成し得ないと判断されるとき
   5. 法令等の規定にもとづくとき
4. 本事業者は、前項の第３・４号に規定に該当し、本人以外の者から個人情報を取得したときには、その趣旨及び当該の個人情報に関する利用目的を本人に通知するよう努めます。

（取得に際しての利用目的の明示等）

第９条

1. 本事業者は、本人から個人情報を取得する場合は、あらかじめその利用目的を明示及び公表します。
2. 本事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書及びその他の書面（住民票、通帳、年金手帳等、あるいは電子的方式、磁気的方式で作られる記録を含む）に記載された当該本人の個人情報を取得する場合、その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ本人に対し、その利用目的を明示します。
3. 本事業者は、利用目的を変更した場合は、変更された利用目的について本人に通知し、又は公表します。
4. 前３項の規定は、次に掲げる場合については適用しません。
   1. 利用目的を本人に通知し、又は公表することにより、本人又は第三者の生命、身体、財産その他の権利利益を害する恐れがある場合
   2. 利用目的を本人に通知し、又は公表することにより、本事業者の権利又は当該業務の遂行に支障を及ぼす恐れがある場合
   3. 国もしくは地方公共団体に協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該業務の遂行に支障を及ぼす恐れがある場合
   4. 取得の状況からみて利用目的が明らかであると認められる場合

（個人データの第三者提供）

第10条

1. 本事業者は、次に掲げる場合を除くほかは、あらかじめ本人の同意を得ないで個人デー タを第三者に提供することはありません。
   1. 法令に基づく場合
   2. 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難である場合
   3. 公衆衛生の向上のために特に必要がある場合であって、本人の同意を得ることが困難である場合
   4. 個人情報の保護に関する法律第23条第２項（オプトアウト）ないし同第４項（共同利用）の方法による場合
2. 本事業者は、個人データの第三者提供について本人の同意があった場合で、その後、本人から第三者提供の範囲の一部についての同意を取り消す旨の申出があった場合は、その個人データの取扱いについては、本人の同意のあった範囲に限定して取り扱うこととします。
3. 個人データの提供を受ける者で、次の各号に該当する場合は、第三者に該当しません。
   1. 同一の事業者内で行う場合
   2. 本事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託する場合
   3. 合併その他の事由による事業の承継に伴い個人データが提供される場合
   4. 個人データを特定の者との間で共同して利用する場合。その際、その趣旨と共同利用される個人データの項目、共同利用する者の範囲、利用する者の利用目的と個人データの管理についての責任者の氏名・名称などについて、あらかじめ本人に通知をするか、本人が容易に知り得る状態においていること。

第２節　個人データの登録・保管・廃棄

（個人データの正確性の確保）

第11条
本事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つように努めます。なお、訂正等についてはその履歴が確認できるように行います。

（安全管理措置）

第12条
本事業者は、取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のために、必要かつ適切な措置を講じます。

（文書等管理）

第13条
本事業者は、文書等の登録・保管・廃棄に関し、前項の11、12条の趣旨に照らし必要な事項について規則を別途定め、これに基づき必要な措置を行うものとします。また利用目的に照らし保存する必要がなくなった個人データは、確実かつ速やかに廃棄又は消去するものとします。

第３節　職員及び委託先の監督

（従事者に対する指導・監督）

第14条

1. 本事業者は、第２章第１節及び第２節の各規定にかかる各事項を具体的に実践するために必要な事項について従事者規程を別途定め、全ての従事者（役員、常勤職員、非常勤職員、パート職員、契約職員、派遣職員、アルバイト等も含む）にこれを遵守させるものとします。
2. 本事業者は、従事者が個人情報等を取り扱うにあたり、これが適切に行われるよう定期的に教育を行うとともに監督をします。

（委託事業者の監督）

第15条

1. 本事業者は、個人データの取扱いの全部又は一部を委託する場合は、本事業者の「基本方針」と利用目的に基づき、第三者における個人情報保護へ向けた対応の状況等に照らし、委託を行うことの適切性を検討します。
2. 委託にあたり、秘密保持契約を締結した上で個人データ等の提供を行うものとし、かつ、委託先に対しては適切な監督を行うものとします。
3. 前項の適切性の判断にあたっては、本事業者の従事者規程を準用し、これを行うものとします。

第４節　保有個人データの開示、訂正・追加・削除・利用停止・第三者提供停止

（保有個人データの開示等）

第16条

1. 本事業者は、本人ないし代理人から、本人に係る保有個人データについて書面又は口頭にて開示の申請が行われた場合は、介護保険証、身分証明書等により本人ないしは代理人であることを確認の上、合理的な期間、適切な範囲で開示に応じます。
2. ただし、次の各号のいずれかに該当する場合には、その全部又は一部を開示しないことができるものとします。
   1. 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
   2. 他の法令に違反することとなる場合
   3. 業務の適正な実施に著しい支障を及ぼすおそれがある場合
3. 開示については書面により行うものとしますが、開示を申請した本人ないしは代理人の 同意があれば、書面以外の方法（書類、モニターの閲覧等）により開示をします。
4. 保有個人データの非開示の決定の通知については、書面により本人ないしは代理人に遅滞なく行うこととします。

（保有個人データの訂正・追加・削除・利用停止・第三者提供停止）

第17条

1. 本事業者は、保有個人データについて、訂正・追加・削除・利用停止・第三者提供停止の申請が書面にて行われた場合は、利用目的の達成に必要な範囲内において適切であるか否かを調査及び検討を行い、合理的な期間、適切な範囲で書面により通知します。
2. 本事業者は、第三者提供停止の場合には、提供していた個人データを回収するとともに、該当する個人データ等を消去・削除あるいは使用しないように確認をとるとともに、必要に応じて覚書あるいは取り決め等の見直しなどの対応を行います。

（規程の整備）

第18条
本事業者は、第１６、１７条の規定にかかる義務を適切に履行するため必要な事項について規程を別途定め、これに基づき必要な措置を行うものとします。

（相談・苦情の対応）

第19条

1. 本事業者は、個人情報の取扱いに関する相談及び苦情への適切かつ迅速な対応に努めます。
2. 本事業者は、前項の目的を達成するために、個人情報相談窓口を設け、その他必要な体制の整備に努めます。

（報告連絡体制）

第20条
本事業者は、個人データの漏えい等の事故が発生した場合又は発生の可能性が高いと判断した場合、個人データの取扱いに関する規程等に違反している事項が生じた場合又はその可能性が高いと判断した場合においては、個人情報管理責任者、管理責任者等へ速やかに報告・連絡を行う体制を整備します。

第３章　個人情報管理に向けた体制

（個人情報管理者）

第21条

1. 本事業者は個人情報管理者を置きます。
2. 個人情報管理者は、個人情報の保護に関し、内部規程の整備、安全対策及び教育・訓練を推進し、かつ、周知徹底することを業務とします。
3. 個人情報管理者は、この規程に定められた事項を遵守するとともに、個人情報の取得、利用、提供又は委託事務につき、全ての役員及び従事者にこれを理解させ、遵守させるように努めます。
4. 個人情報管理者は、個人データの安全管理措置について定期的な内部評価を行い、必要に応じて見直しや改善を行い、その内容を役員及び従事者に周知徹底します。
5. 本規程に違反する事実あるいはおそれがある事実を発見した従事者は速やかに個人情報管理者に報告します。
6. 個人情報管理者は、個人情報漏えい等の事実及びおそれが発見された場合には、本事業者の管理責任者に遅滞なく報告し、対応を協議するとともに、適切な対応を図るだけでなく二次被害の防止対策等を講じます。
7. 個人情報の保護に配慮しつつ、可能な限り事実関係を公表するとともに、都道府県の所管課等に速やかに報告します。

（施行）

第22条
本規程は平成28年8月1日より施行します。