2014年4月号 別冊　2014年度保存版情報

公益財団法人　日本野鳥の会
個人情報保護運用マニュアル　2012.11.2（抜粋）

■１．本マニュアルについて

１）目的
個人情報保護法が施行され、事業者には個人情報の適切な取扱いが求められている。当会においても、個人情報の漏洩や不適切な取扱いにより問題が発生すると社会的な信用が低下し、会員・支援者を失うことにもなりかねない。各事業所において個人情報を扱う際の留意事項について、本マニュアルにまとめた。
２）対象
本マニュアルの記載事項は、個人情報保護規程およびプライバシーポリシーに基づき、当会の全事業およびボランティアを含む全従業員について適用される。
３）運用
(1)各事業所において、個人情報を取り扱う際には必ず本マニュアルの記載事項に従うこととする。
(2)〜（6）（略）
(7)以下の場合は本マニュアルに記載の限りではないものとする。
�@法令に基づく場合
�A人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
�B公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
�C国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

■２．（略）
■３．個人情報の収集について
１）個人情報収集時の制限
(1)個人情報収集時には必要以上の個人情報を収集しないこと。例えば、行事の受付名簿で居住地域だけわかればいいのであれば、住所・電話番号まで収集しないこと。
(2)利用計画のない個人情報は収集しないこと。「とりあえず集めておく」はしないようにすること。
２）収集時の利用目的の明示
(1)個人情報収集時には、利用目的を明示すること。また必要性を第三者に説明できるようにすること。例えば行事参加者名簿の場合、「万一の事故対応に必要です」など。
(2)電話での資料請求に対応する際には利用目的を説明することは困難な場合もあるし、郵便で請求がきた場合にはその時点で説明はできないので、このような場合には、実際に資料を送る際に、個人情報保護の案内用紙などの同封により対応する。
(3)個人情報収集時に利用目的が明確な場合（例えば会員からの各種変更、退会の連絡を受ける場合など）は、利用目的は明確なので都度目的を示す必要はない。
�@この場合、原則として本人からの申し出にのみ対応することとするが、家族など代理人からの申し出も可とする。
�A会員番号と名前は確実に聞くようにする。会員番号がわからない場合は、住所（または生年月日）を聞く（この際も、こちらから話して確認を得ることはしない）。
�B代理人からの申し出により対応した場合は、その理由をきいて、記録も残すようにする（例えば会員管理システムへの入力時に「本人病気のため、ご家族からの申し出により退会」としておくなど）。

※電話対応例：
「ご本人様でしょうか？」
→（本人の場合）「会員番号とお名前をお願いいたします」
→（会員番号がわからない場合）「では、ご住所（または生年月日）をお願いいたします」
→（代理人の場合）「原則としてご本人からのお申し出とさせていただいておりますが、理由をお伺いしてもよろしいでしょうか？」…「かしこまりました。退会（変更）される方の会員番号とお名前をお願いいたします」

３）ＤＭ用名簿収集時の注意
　行事などの事後にダイレクトメール等を送る可能性のある場合、個人情報収集時にその旨を明示すること。例えば、ホームページ、申し込み用紙などの各種フォームには、「今後お知らせをお送りすることがあります」などの説明文を必ず入れること。また送付を拒否できる仕組みにすること。
４）イベント受付時の注意
　イベント受付時などに、受付名簿を自由に閲覧、または持ち出せる状態にしないこと。例えば、受付担当者は離席時には別の者に代わるか、名簿を鍵付金庫等に収納すること。

■４．個人情報の利用･提供について
１）個人情報利用時の記録
　個人情報を利用する際は、その日時、担当者、承認者、目的や内容について、書面または電子媒体上での記録をつけること。
２）問い合わせ対応時の注意
(1)会員、支援者、職員など、当会が保有する個人情報について、第三者からの問い合わせには原則回答しないこと。例えば、「会員に連絡を取りたいので連絡先を教えてほしい」「この人が会員かどうか教えてほしい」など。このような場合、「個人情報保護の観点からお教えすることは控えさせていただいております。ご理解ください」などと返答する。
(2)連携団体（支部）連絡先については、公開可のもののみ対応し、それ以外は回答しないこと。
(3)やむを得ない場合のみ、あらかじめ本人または連携団体（支部）に連絡をとり、了解を得たうえで話をつなぐこと。
（中略）
３）外部業者を使用する場合の注意
(1)業者選定時
　ＤＭ発送などの業者を選定する際は、価格だけでなく信頼性も考慮すること。この際、プライバシーマーク取得を必須とする。以前から契約しており、今後も継続して取引を続ける業者がプライバシーマーク未取得の場合、定期的に監査を実施すること。監査にあたっては個人情報保護担当者または同担当者の承認を受けた当該業務の担当職員が訪問して当会関連の業務状況を視察し、必要に応じて書面の提出を求めること。
(2)業者との契約時
　ＤＭ発送などの業者とは、必ず個人情報保護に関する契約書・覚書等を取り交わすこと。原則として添付の「個人情報保護に関する特約としての標準契約書」により当会主導で契約することとし、同標準契約書によらない場合は、弁護士または個人情報保護カウンセリング業者等の助言を受けて契約するものとする。個人情報保護に関する契約は事務局長決裁とする。また、既存の契約については再度見直しを行い、再委託先の監督や再委託先での事故の責任を取らない契約については差し替えを依頼すること。この際、可能ならば標準契約書に差し替えること。
(3)個人情報提供時の注意
�@業者に個人情報を貸し出すなどの場合は、必要最低限の情報のみを提供するようにすること。
�A電子データで提供する場合は、原則として個人情報が記録された電子媒体を直接手渡すこととし、止むを得ず電子メールで送信する場合は【４）−(1)電子メール送信時の注意】に従うこと。
�B業者と個人情報を書類や電子媒体でやり取りする際には、授受の記録をとること。添付の「個人情報受け渡し管理票」を利用してもよい。なお、授受した個人情報の内容は、万一の漏洩時に範囲を特定しやすいように、具体的に記録しておくこと（例：「60歳以上の会員○○件」「○○県在住の○○円以上の商品購入者○○件」など）。
�C業者に提供するなどのために一時的に抽出した電子データは、使用後速やかに削除すること。
�D業者委託による業務終了後は、必ず提供した個人情報を返却もしくは廃棄してもらうこと。この場合、コピーが残されていないこと、第三者に漏洩しないよう適切に処理し廃棄したことについて、委託先から証明書の発行を受けること。
４）利用･提供時のその他の注意
(1)電子メール送信時の注意
�@個人情報は極力電子メール送信しないこと。
�Aやむを得ず電子メールで送る際にはパスワードをかけ、またパスワードは別の電子メールまたは電話等で伝えるようにすること。なお、パスワードは原則として、英数４文字以上で設定すること。
�B電子メール送信後、個人情報の電子データをメールの履歴などからも速やかに削除すること。
�C会員・支援者などメールアドレス情報の保護が必要な多人数に電子メールを一斉に送信する場合、「ＢＣＣ」欄に宛先を入力し、他の送信先が識別できないようにすること。
(2)郵送時の注意
　個人情報を郵送等で送付する必要がある場合は、簡易書留などを使用すること。
(3)ＦＡＸ時の注意
�@個人情報をＦＡＸで送付することはできるだけ避けること。業務上、やむを得ず送付する場合は、ＦＡＸ文面に記載する個人情報は極力最小限に留め、送信前後に電話をして確実に担当者まで届いたかどうか確認をすること。
�A先方の都合上、ＦＡＸのみで電話がつながらない場合、個人情報は明確にわからない形で送るようにすること（例えば支部事務局への支部会員の住所変更連絡などではＦＡＸでのやり取りにならざるを得ない場合があるが、この際には住所は変更のあった番地などの一部のみを記載することで対応する）。
�BＦＡＸで連絡をもらう場合、個人情報が載っているにも関わらず電話確認が無い場合、こちらから極力着信確認の連絡をすること。

■５．個人情報の保管等（記録、変更等を含む）について
１）個人情報全般について
(1)取扱者の限定
　個人情報を取扱う者を限定すること。（書類等による作業を含む）
(2)私有物の使用禁止
�@〜�B（略）
�C特に、手帳やノートなど、万一紛失した場合に備えたパスワード管理などができないものには、個人のフルネーム、自宅住所、自宅電話番号、個人携帯番号などの重要な情報を原則として記載しないこと。
(3)情報の施錠管理
　個人情報の含まれるノートパソコン、モバイル端末、携帯電話、電子媒体、書面等は、退出時に施錠保管するかワイヤーロックをかけるなどの盗難防止措置を講じること。
(4)個人情報の持ち出し禁止
個人情報をコンピュータ等の電子機器、電子媒体、書面等で、事業所等の外へ持ち出さないこと。やむを得ず持ち出す場合は、以下のとおりとする。
�@持ち出す情報は必要最低限にすること。特に、個人のフルネーム、自宅住所、自宅電話番号、個人携帯番号などの重要な情報は極力持ち出さないこと。
�A万一紛失等した場合に備え極力、パスワードをかけたり、暗号化したり、遠隔操作でロックできる機能などを使うこと。
�B（略）
�C持ち出しの日時、担当者、承認者、目的や内容について、書面または電子媒体上での記録をつけること。特に、万一漏洩等した場合に範囲を特定し当該顧客への連絡等を迅速に行えるように、内容を具体的に記録しておくこと。
�DＤＭ発送等のために業者に渡すために個人情報を外部へ持ち出す場合は前述の【■４−３)外部業者を使用する場合の注意】の規定も遵守すること。
(5)情報の更新
　名簿等に掲載されている情報の更新を適正に行うこと。この際、古い情報が誤って二重に残らないようにすること。
(6)不要情報の破棄
　必要のない名簿、個人情報は持たないこと。必要がなくなったら破棄すること。消失等に備えたバックアップ(控え）等も同様とする。
(7)端末等廃棄時の注意
�@コンピュータ、モバイル端末、携帯電話等の電子機器を廃棄する時には、専用ソフトを利用してデータを完全消去するか、内蔵ハードディスク等を物理的に破壊すること。
�A外付けハードディスク、フロッピーディスク、ＭＯディスク、コンパクトディスク、ＵＳＢメモリ等の電子媒体を廃棄する際は、破砕するなどしてデータを再生不能の状態にすること。
�B書面等（各種帳票、郵便振替用紙、宛名の書かれた封筒、電話で住所氏名などをお伺いした際の手書きメモなど、およびこれらのコピー等も含む）を廃棄する際は、そのままゴミ箱に捨てず、シュレッダーを使用するか、焼却処分や溶解処分等とすること。
(8)個人情報の裏紙使用等禁止
　個人情報が書かれた紙を裏紙使用等しないこと。印刷したＥメール等も含む。
(9)離席時の注意
�@離席時に個人情報の書かれた書類等を机の上に出しっぱなしにしないこと。
�A離席時にはパソコン等の画面上に個人情報を表示したままにせず、画面をロックすること。ただし、やむを得ない場合は、無操作状態が５分程度以上続くとパスワードによる解除が必要なスクリーンセーバが起動するように、あらかじめ設定しておくこと。
２）電子データの個人情報全般について
(1)ＩＤおよびパスワードの設定
�@個人情報の電子データを取り扱うコンピュータ、モバイル端末、携帯電話等には、必ずＩＤおよびパスワードを設定すること。起動時、個人情報ファイル、メールソフトなど各種のソフトにもそれぞれに設定すること。
�AＩＤおよびパスワードは、他人に漏らしたり、モニターに付箋で貼りつけたりしないこと。
�BＩＤおよびパスワードは複数人で共有しないこと。
�Cパスワードは、原則として９０日を目安に、定期的に変更すること。
�D略
(2)ウィルス対策ソフトの導入
　インターネットに接続するコンピュータ等には必ずウィルス対策ソフト等をインストールして、外部からの不正アクセスやウィルス感染を防ぐこと。ウィルス対策ソフト等は常に最新のものに自動更新するものを使用すること。
(3)ファイル交換ソフトの禁止
　ウィニーなどファイル交換ソフトを絶対にインストールしないこと。
(4)無線ＬＡＮ機能の停止
無線ＬＡＮ機能は停止すること。
(5)インターネットへの接続禁止
�@個人情報データが保存されているコンピュータ等はインターネットに接続しないこと。インターネットに接続しているＬＡＮにも、接続しないこと。
�A個人情報データが保存されているか否かに関わらず、個人情報関係の作業中のコンピュータ等は、インターネットにも、インターネットに接続しているＬＡＮにも、接続しないこと。
(6)データ保存先等の制限
�@略
�A複数人で共用するパソコン端末等は、管理が曖昧になりやすいため、内臓ハードディスク等に個人情報データを原則として保存しないこと。
�B持ち出しや盗難のリスクが高いため、ノートパソコン、モバイル端末、携帯電話、外付けハードディスク、その他の電子媒体等には原則として個人情報データを保存しないこと。
（以下略）
以上

【マニュアルの補足】
　特に、■５−2）−(4) 「無線ＬＡＮ機能の停止」、および、■５−2）−(5) 「インターネットへの接続禁止」、の項目については、支部では対応困難な場合が多いと思われますが、「なるべく無線ＬＡＮは使わない」、「なるべくインターネットには接続しない」などに努めていただくようお願いいたします。