個人情報の取扱いについて

◇個人情報保護方針◇
1.アイ企業年金基金（以下「基金」という。）は、個人情報保護の重要性にかんがみ、基金における加入者ならびに受給待期者・受給者（以下「加入者等」という。）の皆さまの個人情報の保護に努めます。
2.基金は、あらかじめ公表した利用目的の範囲内で、公正かつ適正な方法で個人情報を取り扱うものとします。
3.基金は、あらかじめ加入者等の同意を得た場合を除き、加入者等の個人情報を第3者に提供しません。ただし、次の各号に該当する場合は、加入者等の事前の同意を得ることなく、加入者等の個人情報を第3者に提供する場合があります。
（1）法令に基づく場合
（2）人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難である場合
（3）公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難である場合
（4）国の機関、若しくは地方公共団体またはその委託を受けたものが法令の定める事務を遂行することに協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがある場合
4.基金は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つように努めます。
5.基金は個人情報管理責任者を置き、保有する個人データの漏洩や滅失を防ぐために、安全管理措置を講じ、個人データの取扱いについて委託する場合は、委託先に対し必要かつ適正な監督を行います。
6.基金は加入員、受給待期者または受給権者のみなさまより当該個人データの開示等の申し出をいただいた場合には、ご本人を確認のうえ、合理的な範囲内で速やかに対処いたします。
7.基金は個人情報保護に関して適用される法令、規範を遵守し、個人情報保護管理規程を定め、これを実効あるものとして運用するとともに、必要に応じて随時改善に努めます。
【当基金における個人情報の取扱いについて】
◆個人情報取扱事業者の名称
　アイ企業年金基金
◆個人データの利用目的
　年金および一時金の給付管理、年金裁定請求書の送付、現況届および支払通知書の送付、広報紙の送付、実施事業所との共同利用
◆実施事業所との共同利用について
　利用目的：年金相談、退職給付会計にかかる計算
　共同利用する個人データ：生年月日、性別、加入年月日、その他退職給付会計に係る計算に必要な項目
【個人情報の開示等の請求手続】
1.「個人情報開示請求書」の請求
　企業年金基金あてに、「個人情報開示請求書」を請求してください
2.「個人情報開示請求書」の返送
　「個人情報開示請求書」に必要事項および開示内容を記入のうえ、添付書類（免許証等のコピー）を同封して当基金宛に返送してください。
3.個人情報の開示
　後日、当基金が管理する電話番号、および住所あてにご連絡いたします。
【個人情報に関する苦情・ご相談　お問い合わせ窓口】
■面談：アイ企業年金基金事務局受付（時間：月曜日～金曜日9：00～12：00、13：00～17：00）
■手紙：〒453-0804愛知県名古屋市中村区黄金通1丁目18番地アイ企業年金基金あて
■電話：052-481-5608
■FAX：052-481-7271
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
◇個人情報保護管理規程◇
第１章　総則
（目的）
第１条　本規程は、個人情報の保護に関する法律（平成１５年５月３０日法律第５７号。以下「法」という。）、個人情報の保護に関する法律についてのガイドライン及び関連する法令等（以下「法令等」という。）に基づき、個人情報保護の重要性に鑑み、アイ企業年金基金（以下「当企業年金」という。）における加入者及び加入者であった者（以下「加入者等」という。）の個人情報の漏えい、滅失及びき損等（以下「漏えい等」という。）を防止し、個人情報保護の徹底を図ることを目的とする。
（定義）
第２条　本規程において「個人情報」とは、法第２条第１項に規定する個人情報をいう。
２　本規程において「個人情報データベース等」とは、法第２条第４項に規定する個人情報データベース等をいう。
３　本規程において「個人データ」とは、法第２条第６項に規定する個人データをいう。
４　本規程において「保有個人データ」とは、法第２条第７項に規定する保有個人データをいう。
５　本規程において「本人」とは、法第２条第８項に規定する本人をいう。
６　本規程において「従業者」とは、当企業年金にあって、直接又は間接に当企業年金の指揮監督を受けて、当企業年金の業務に従事している者をいう。
（適用）
第３条　本規程は、従業者に適用する。
２　本規程は、当企業年金が取り扱う個人情報を対象とする。
３　本規程に定めのない当企業年金における特定個人情報（行政手続における特定の個人を識別するための番号の利用等に関する法律（平成２５年５月３１日法律第２７号）第２条第５項に規定する個人番号及びこれをその内容に含む個人情報をいう。）の取扱いに関しては、別に定める特定個人情報取扱規程の定めに従う。
４　本規程に定めのない事項については、法令等に従う。
第２章　組織体制等
（個人データ管理責任者）
第４条　当企業年金は、個人データの取扱いに関して総括的な責任を有する個人データ管理責任者を置き、理事長をもってこれに充てる。
２　個人データ管理責任者は、個人データの取扱いの管理を担当する事務取扱責任者を指名し、個人データを取り扱う事務取扱担当者の管理に関する業務を分担させることができる。
３　個人データ管理責任者は、個人データに関する監査を除き、次に掲げる事項その他当企業年金における個人データに関する権限と責務を有するものとする。
一　本規程に基づき個人データの取扱いを管理する上で必要とされる細則等の策定
二　個人データに関する安全対策の策定・実施
三　個人データの適正な取扱いの維持・推進等を目的とした諸施策の策定・実施
四　事故発生時の対応策の策定・実施
（事務取扱責任者）
第５条　事務取扱責任者は、次に掲げる事項の権限と責務を有するものとする。
一　個人データが本規程に基づき適正に取り扱われるよう、事務取扱担当者に対して必要かつ適切な監督を行うこと
二　個人データの利用申請の承認及び個人データの利用に関する記録等の承認、管理を行うこと
三　個人データの取扱状況等を把握すること
四　委託先における個人情報の取扱状況等を監督すること
五　個人情報の安全管理に関する教育及び研修を実施すること
六　前各号に掲げるもののほか、当企業年金における個人データの安全管理に関する事項について、個人データ管理責任者を補佐すること
（事務取扱担当者）
第６条　当企業年金における個人データを取り扱う事務については、事務取扱担当者が行うこととし、当企業年金における事務取扱担当者は職員とする。
２　事務取扱担当者は、個人データを取り扱う業務に従事する際、法令等、本規程等及び事務取扱責任者の指示に従い、個人データの保護に十分な注意を払うものとする。
（管理区域及び取扱区域）
第７条　当企業年金は、個人データの漏えい等を防止するため、個人情報データベース等を取り扱うサーバやメインコンピュータ等の重要な情報システムを管理する区域（以下「管理区域」という。）及び個人データを取り扱う事務を実施する区域（以下「取扱区域」という。）を明確にし、次に掲げる方法により安全管理措置を講じるものとする。
一　管理区域については、入退室管理及び管理区域に持ち込む機器等を制限する等の安全管理措置を講じる
二　取扱区域については、他の区域との間仕切りを設置する等の措置及び座席配置等による安全管理措置を講じる
（従業者の教育）
第８条　当企業年金は、従業者に対して定期的な研修の実施又は情報提供等を行い、個人データの適正な取扱いを図るものとする。
（従業者の監督）
第９条　当企業年金は、個人データの適正な取扱いがなされるよう、従業者の監督を行う。
（個人情報保護管理規程等に基づく運用）
第10条　当企業年金は、個人データの取扱状況を明確にするため、次の事項に係るシステムログ又は利用実績を記録する。
一　個人情報データベース等の入力・出力状況の記録
二　書類・媒体等の持ち運びの記録
三　個人データの削除・廃棄記録
四　削除・廃棄を委託した場合、これを証明する記録等
五　個人情報データベース等に係る情報システムの利用状況（ログイン実績、アクセスログ等）の記録
（個人データの取扱状況の確認）
第11条　個人データ管理責任者は、当企業年金における個人データの取扱いが法令等及び本規程等に基づき適正に運用されていることを定期的に確認する。
（監査の実施）
第12条　監査責任者（監事）は、当企業年金における個人データの取扱いが法令等及び本規程等と合致していることを定期的に確認する。
２　監査責任者（監事）は、個人データの取扱いに関する監査結果を個人データ管理責任者に報告する。
（情報漏えい等事案への対応）
第13条　当企業年金は、個人データの漏えい等の事案が発覚した場合は、次に掲げる事項について必要な措置を講ずるよう努めるものとする。
　一　事実関係の調査及び原因の究明
　二　影響範囲の特定
　三　再発防止策の検討及び実施
　四　影響を受ける可能性のある本人への連絡等
　五　事実関係及び再発防止策等の公表
　六　個人情報保護委員会への報告
（苦情等への対応）
第14条　当企業年金は、当企業年金における個人データの取扱いに関する苦情等に対する窓口を設け、迅速な解決を図るものとする。
２　個人データ管理責任者は、前項の目的を達成するために必要な体制の整備を行うものとする。
（体制の見直し）
第15条　当企業年金は、必要に応じて個人データの取扱いに関する体制等について見直しを行い、改善を図るものとする。
第３章　個人情報の取得、利用等
（利用目的に基づく取扱い）
第16条　当企業年金は、あらかじめ公表した利用目的の達成に必要な範囲で個人情報を取り扱うものとする。ただし、次に掲げる場合は、本人の同意を得ないで、利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。
一　法令に基づく場合
二　人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
三　公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
四　国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
（個人情報の取得等）
第17条　当企業年金は、偽りその他の不正の手段により個人情報を取得しないものとする。また、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めるものとする。
（利用目的の通知等）
第18条　当企業年金は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知又は公表するものとする。また、本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示するものとする。ただし、次に掲げる場合については、この限りでない。
一 　利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
二 　利用目的を本人に通知し、又は公表することにより当企業年金の権利又は正当な利益を害するおそれがある場合
三 　国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき
四 　取得の状況からみて利用目的が明らかであると認められる場合
（公表等）
第19条　当企業年金は、個人情報を取り扱うにあたって、当企業年金のホームページに掲載することにより（基金の窓口に備え付けることにより）、次に掲げる事項を公表することとする。
一　当企業年金の名称
二　保有個人データの利用目的
三　加入者等からの保有個人データの利用目的の通知の求め又は当該本人を識別する保有個人データの開示、訂正、追加若しくは削除、利用の停止若しくは消去若しくは第三者提供の停止（以下「開示等」という。）の請求に応じる手続
四　苦情又は相談の窓口
２　前項第三号の開示等の請求を受け付ける方法は、理事長が別に定める。
第４章　個人データの保管、管理等
（個人データの保管及び管理）
第20条　当企業年金は、漏えい等の防止その他の個人データの安全管理のために必要かつ適切な措置を講じるものとする。
２　当企業年金は、情報システム（パソコン等の機器を含む。）を使用して個人データを取り扱う場合（インターネット等を通じて外部と送受信等する場合を含む。）、次に掲げる措置を講じる。
一　担当者及び取り扱う個人情報データベース等の範囲を限定するために、適切なアクセス制御を行うこと
二　個人データを取り扱う情報システムを使用する者が正当なアクセス権を有する者であることを、識別した結果に基づき認証すること
三　個人データを取り扱う情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入し、適切に運用すること
四　情報システムの使用に伴う個人データの漏えい等を防止するための措置を講じ、適切に運用すること
五　個人データをインターネット等により外部に送信するときは、通信経路における情報漏えい等を防止するため、通信経路の暗号化等の措置を講じること
六　加入者等の個人データを取り扱う基幹システムに接続されたネットワークとインターネットに接続されたネットワークを物理的又は論理的に分離すること。また、基幹システムに保管されている個人情報を直接取り扱う作業は、インターネットに接続されたパソコン等では行わないこと
七　基幹システムにある個人データを外部機関等へ電磁的方法により移送する場合は、暗号化・パスワードの設定等を必ず行い、原則として、インターネット等を介した電子メール等での送信は行わず、電磁的記録媒体を使用する、又は専用線等のセキュリティが確保された通信を使用すること。また、作業に当たって一時的にパソコン等に個人情報を保存した場合は、作業終了後のデータ消去を徹底すること
（個人データの持ち運び等）
第21条　当企業年金において保有する個人データを持ち運ぶとき（郵送等により発送するときを含む。）は、次に掲げる方法により管理する。
一　個人データを含む書類等を持ち運ぶときは、封緘・目隠しシールの貼付等の容易に個人データが判明しない措置を講じる
二　個人データを磁気媒体等又は機器にて持ち運ぶときは、ファイルへのパスワードの付与等又はパスワードを付与できる機器の利用等の措置を講じる
第５章　個人データの第三者提供等
（第三者提供）
第22条　当企業年金は、第三者が次に掲げる事項を遵守することを了承した場合に限り、個人データ（個人番号を除く。以下この章において同じ。）を当該第三者に提供することができる。
一　当該個人データの改ざん及び複写又は複製（安全管理上必要なバックアップを目的とするものを除く）をしないこと
二　当該個人データの保管期間を明確にすること
三　利用目的達成後の当該個人データは、当企業年金に返却又は提供先において適切かつ確実に廃棄若しくは消去すること
四　当該個人データの漏えい等又は盗用をしないこと
２　前項の第三者提供を行う場合は、当企業年金は、あらかじめ本人の同意を得ることとする。
３　前２項の規定にかかわらず、当企業年金は、次に掲げる場合は、本人の同意を得ないで、個人データを第三者に提供することができる。
一　法令に基づく場合
二　人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
三　公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
四　国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
４　第２項の規定にかかわらず、当企業年金は、あらかじめ次に掲げる事項を本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出た場合は、本人の同意を得ることなく、個人データ（法第２条第３項に規定する要配慮個人情報を除く。）を当該第三者に提供することができる。
一　第三者への提供を利用目的とすること
二　第三者に提供する個人データの項目
三　第三者への提供の方法
四　本人の求めに応じて当該本人の識別される個人データの第三者への提供を停止すること
五　本人の求めを受け付ける方法
５　当企業年金は、他の個人情報取扱事業者（法第２条第５項に規定する個人情報取扱事業者をいう。）又は行政機関が保有する個人データ等の提供を受ける場合は、第１項各号の規定を遵守するものとする。
（第三者提供に係る記録の作成等）
第23条　当企業年金は、個人データを第三者に提供したときは、次に掲げる事項に関する記録を作成しなければならない。ただし、当該個人データの提供が、前条第３項各号に該当する場合は、この限りでない。
　一　当該個人データを提供した年月日
　二　当該第三者の氏名又は名称
　三　その他個人情報保護委員会規則で定める事項
２　当企業年金は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。
（第三者提供を受ける際の確認等）
第24条　当企業年金は、第三者から個人データの提供を受けるとき（第22条第３項各号に該当する場合を除く。）は、次に掲げる事項を確認しなければならない。
一　当該第三者の氏名又は名称並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名
　二　当該第三者による当該個人データの取得の経緯
２　当企業年金は、前項の確認を行ったときは、次に掲げる事項に関する記録を作成しなければならない。
　一　当該個人データの提供を受けた年月日
　二　当該確認に係る事項
　三　その他個人情報保護委員会規則で定める事項
３　当企業年金は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。
（委託等に基づく提供）
第25条　次に掲げる場合において、当企業年金から個人データの提供を受ける者は、前3条の規定の適用については、第三者に該当しないものとする。
一　当企業年金が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合
　二　合併その他の事由による事業の承継に伴って個人データが提供される場合
三　特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき
（外国にある第三者への提供の制限）
第26条　当企業年金は、個人データを外国にある第三者に提供しないものとする。
第６章　個人データの開示、訂正、利用停止等
（開示）
第27条　当企業年金は、本人から当企業年金が保有する当該本人を識別する個人データについて開示の請求があったときは、遅滞なく、当該個人データを開示しなければならない。ただし、次に掲げる場合は、その全部又は一部を開示しないことができる。
一　本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
二　当企業年金の業務の適正な実施に著しい支障を及ぼすおそれがある場合
三　法令に違反することとなる場合
（訂正等）
第28条　当企業年金は、本人から当企業年金が保有する当該本人を識別する個人データについて訂正、追加又は削除（以下「訂正等」という。）の請求があったときは、利用目的の達成に必要な範囲内において、遅滞なく調査を行い、その結果に基づき、当該個人データの内容の訂正等を行わなければならない。
（利用停止等）
第29条　当企業年金は、本人から当企業年金が保有する当該本人を識別する個人データが違法に取り扱われている又は違法に取得されたものであるとして、当該個人データの利用の停止又は消去（以下「利用停止等」という。）の請求があった場合で、その請求に理由があることが判明したときは、違反を是正するために必要な範囲で、遅滞なく、当該個人データの利用停止等を行わなければならない。
２　当企業年金は、本人から当企業年金が保有する当該本人の個人データが違法に第三者に提供されているとして、当該第三者への提供の停止の請求があった場合、その請求に理由があることが判明したときは、遅滞なく、当該個人データの第三者への提供を停止しなければならない。
３　前２項の規定にかかわらず、当企業年金は、当該個人データの利用停止等又は第三者への提供の停止について、多額の費用を要することなどにより当該措置をとることが困難な場合は、本人の権利利益を保護するために必要なそれに代わるべき措置をとることができる。
（本人あて通知）
第30条　当企業年金は、前３条の開示等に関する対処について決定したときは、本人に対し、遅滞なく、その旨を通知する。
２　前項の決定が、本人から求められ、又は請求されたものと異なるものである場合は、本人に対し、その理由を説明するよう努めるものとする。
第７章　削除、廃棄
（個人データの削除、廃棄等）
第31条　当企業年金は、個人データを利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めるものとする。
２　個人データが記載された文書等の廃棄を行う場合は、個人データを復元不可能な状態にしなければならない。
３　コンピュータ及び磁気媒体等の廃棄又は転売・譲渡等（リースの場合は返却）を行う場合は、コンピュータ及び磁気媒体等の中の個人データを復元不可能な状態にしなければならない。
４　当企業年金は、個人データが記載又は記録された文書等又は磁気媒体等を廃棄した場合には、当該廃棄及びこれに伴って個人データを復元不可能な状態としたことに係る記録を保存するものとする。
第８章　委託
（委託先の監督）
第32条　当企業年金は、当企業年金における個人データを取り扱う事務の全部又は一部を委託するときは、委託先と書面による委託契約の締結、または誓約書や合意書による合意をするとともに、委託先において安全管理が図られるよう、委託先に対する必要かつ適切な監督を行うこととする。
２　当企業年金は、委託先における個人データの保護体制が十分であることを確認した上で委託先を選定する。
３　第１項の委託契約又は合意においては、委託先に対する次に掲げる事項を盛り込むこととする。
一　委託先の個人データの取扱いに関する事項
二　委託先の秘密の保持に関する事項
三　委託された個人データの再委託に関する事項
四　契約終了時の個人データの返却等に関する事項
五　契約内容が遵守されなかった場合の措置
（再委託）
第33条　当企業年金は、委託先が、委託を受けた個人データを取り扱う事務の全部又は一部の再委託を行おうとする場合に、事前に当企業年金の承認を得、又は事前に当企業年金に報告することを求めることとする。
２　委託先が再委託するとき又は再委託先が再々委託するときは、委託先による再委託先の監督又は再委託先による再々委託先の監督について前条の規定を準用する。
３　当企業年金は、委託先による再委託先又は再委託先による再々委託先への必要かつ適切な監督の実施について監督するものとする。
第９章　その他
（要配慮個人情報の取扱い）
第34条　当企業年金は、あらかじめ本人の同意を得ないで要配慮個人情報（法第２条第３項に規定する要配慮個人情報をいう。）を取得しないものとする。ただし、法第１７条第２項各号に基づき取得する場合は、この限りでない。
（匿名加工情報の取扱い）
第35条　当企業年金は、加入者等の個人情報を加工して得られる匿名加工情報（法第２条第９項に規定する匿名加工情報をいう。）を作成しないものとする。
（罰則）
第36条　当企業年金は、従業者が本規程に違反する行為を行ったときは、当企業年金の就業規則等に基づき処分する。
（実施規定）
第37条　この規程に定めるもののほか、当企業年金の個人情報の取扱いに関し必要な事項は、理事長が別に定める。
（附則）
この規程は、平成19年1月23日から施行する。
この規約は、平成29年7月21日から施行し、平成29年5月30日から適用する。
（改正個人情報保護法の全面施行に伴う変更）