個人情報保護計画案
制定 2024年12月12日
第1条【目的】
会社（以下「当社」という）で収集・管理される顧客の個人情報を安全に保護し、利用・管理するとともに、顧客の権利を保護することを目的とする。
第2条【適用範囲】
本指針は、当社が個人情報を処理するにあたり、「個人情報保護法」、情報通信網利用促進及び情報保護等に関する法律等の法令に関連規定がある場合には、該当法律、施行令、施行規則が定めるところによる。
第3条【個人情報保護責任者の指定】
個人情報保護及びセキュリティ業務を総括管理し、実施する個人情報保護責任者を当社の代表者とする。ただし、「情報通信網利用促進及び情報保護等に関する法律」第27条に基づく個人情報管理責任者を指定している場合には、個人情報保護責任者を別途置かないことができる。
第4条【個人情報保護責任者の義務と責任】
1. 個人情報保護責任者は次の各号の業務を遂行する。
01) 個人情報保護計画の策定及び実施
02) 個人情報処理の実態及び慣行の定期的な調査及び改善
03) 個人情報処理に関する苦情の処理及び被害救済
04) 個人情報漏洩及び誤用・乱用防止のための内部統制システムの構築
05) 個人情報保護教育計画の策定及び実施
06) 個人情報ファイルの保護及び管理・監督
2. 第1項の規定に違反した場合、関係法律による不利益を受けることがある。
第5条【個人情報取扱者の範囲及び義務と責任】
1. 個人情報取扱者とは、当社で診療、検査、収納等を担当するすべての者を含む。
2. 個人情報取扱者は職務上知り得た個人情報を漏洩したり、他人に提供するなど不当な目的のために使用してはならず、収集した個人情報が安全に保管され利用されるよう、管理的、技術的措置を尽くさなければならない。
3. 個人情報を取り扱う者は、規定で定める各自の責任と義務を明示したセキュリティ（機密保持）誓約書を作成し、これを維持・管理しなければならず、人事異動等により個人情報取扱者の業務が変更される場合には、個人情報へのアクセス権限を変更または抹消しなければならない。
第6条【技術的保護措置】
1. 個人情報について、紛失、盗難、漏洩または毀損されないよう安全性確保のため、以下のような技術的対策を講じなければならない。
01) 業務遂行に必要な最小限の範囲で権限を差別的に付与
02) ファイアウォール等アクセス制御システムの設置・運用
(業務用コンピュータのみを利用して個人情報処理を行う場合、OS、セキュリティプログラムのアクセス制御機能を利用)
03) 個人情報が安全に保存・送信されるようにするための暗号化等の措置
(暗号化対象：固有識別情報、パスワード、バイオ情報)
04) アクセス記録の保管及び偽造・変造防止のための措置(最低6ヶ月以上保管)
05) セキュリティプログラムの設置及び定期的な更新・点検措置
(ウイルス対策ソフトウェア等セキュリティプログラムの設置、自動または1日1回以上の更新)
2. 情報セキュリティのための生活規則を義務化する。
01) 自動更新可能なウイルス対策ソフトウェアのインストール及びリアルタイム監視機能の使用
02) 発信元、添付ファイルが疑わしいE-mailは開封せずに削除
03) オペレーティングシステム（Windowsなど）が提供する自動更新及びファイアウォール機能の使用
04) パスワードは英文字、数字、特殊記号等を組み合わせて推測が困難となるように設定し、定期的に変更
05) 個人コンピュータの起動、ログイン、スクリーンセーバーのパスワードを設定し、必ず使用
06) 共有フォルダの使用は最小限とし、必要な場合は必ずパスワードを設定して使用
07) ウェブサイト訪問時にインストールするプログラムは認証書及びデジタル署名を必ず確認後にインストール
08) 重要なデータはパスワードを設定して保存し、インターネットに接続されたPCへの保存を禁止
09) 正規ソフトウェアの使用
10) 重要なデータはメールでやり取りせず、やむを得ない場合は添付ファイルにパスワードを設定
第7条【物理的アクセス制限】
1. 情報が管理される電算室、資料保管室等は入退室管理システムを設置し、出入りを制限する。
2. 紙文書形態の個人情報ファイルが保管される場所は施錠装置を設置し、出入り及び閲覧を制限する。
第8条【自己監査周期及び手続き】
年1回以上、個人情報責任者が期間を定めて自己監査を実施する。
第9条【自己監査結果の反映】
1. 個人情報責任者は自己監査結果に基づき導出された不備改善事項について直ちに反映する。
01) 不適合な内容を確認する
02) 不適合の原因を特定し、是正措置及び予防措置対策を講じる
03) 期限を定めて講じられた措置を実施する
04) 実施された是正措置及び予防措置の結果を記録する
第10条【個人情報保護教育の実施】
1. 情報保護及びセキュリティ教育と訓練の対象は、個人情報とサービスに関連するすべての役職員及び受託者とする。
2. 情報保護及びセキュリティ教育と訓練は定期的に実施し、情報保護方針や手続き及び役割の変更がある場合には随時実施する。
株式会社ジオエンジニアリング
