代理店における顧客情報取扱規程
２０１６年４月１日 制定
代理店名：㈱保険グル―ヴ
情報管理責任者：隼田 智貴
１．個人情報の保護に関する規程
第１条（目的）
本規程は、当店が業務上取り扱う個人情報の取り扱いに関して遵守すべき事項および個人情報保護に係る体制を定め、もって個人情報の適正な取扱いを確保することを目的とする。
第２条（定義）
本規程における各用語の定義は、「個人情報の保護に関する法律」および関係各省庁の個人情報保護に関するガイドラインの例によるものとする。
第３条（適用対象者）
本規程は、すべての従業者に適用する。
第４条（利用目的）
１．当店の定める個人情報の利用目的は、個人情報を利用する範囲を本人が合理的に予想できる程度に特定するものとする。
２．当店は、利用目的を事務所内の見やすい場所に掲示等により公表するとともに、書面を通じて個人情報を取得するときは、当該書面または添付書面に利用目的を明示する。
３．当店は、利用目的を変更するときは、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲内で行い、変更後の利用目的を前項の定めるところにより公表、明示する。
第５条（個人情報の取得）
当店は、業務上必要な範囲内で、かつ、適法で公正な手段により個人情報を取得する。
第６条（個人情報の利用）
１．当店は、利用目的の達成に必要な範囲を超えて個人情報を取り扱わない。
２．当店は、前項に定める範囲を超えて個人情報を取り扱うときは、あらかじめ本人の同意を得る。
第７条（データ内容の正確性の確保）
当店は、利用目的の達成に必要な範囲内において個人データを正確かつ最新の内容に保つように努める。
第８条（第三者への提供）
当店は、法令で定められた場合を除き、あらかじめ本人の同意なく個人データを第三者に提供しない。
第９条（センシティブ情報の取扱い）
当店は、政治的見解、信教（宗教、思想および信条をいう。）、労働組合への加盟、人種および民族、門地および本籍地、保健医療および性生活ならびに犯罪歴に関する個人情報（以下「センシティブ情報」という。）の取扱いが保険業の適切な業務運営を確保するために必要であり、当該業務の遂行に必要な範囲内で取得、利用または第三者への提供を行うときは、本人の同意を得る。
第１０条（安全管理措置）
１．当店は、取り扱う個人データの漏えい、滅失または毀損の防止その他の個人データの安全管理のため、組織的、人的、技術的に適切な措置を講じるものとする。
２．その他の安全管理措置に関する事項は、個人データの安全管理に係る取扱規程に定めるものとする。
第１１条（開示等請求への対応）
１．当店は、委託元である保険会社の保有個人データに係る開示等を求められたときは、これを所属保険会社に取り次ぐものとする。
２．当店の保有個人データに関する開示等請求に関する手続、その他の事項は別途定める。
第１２条（苦情への対応）
１．当店は、個人情報の取扱いに関する苦情を受けたときは、迅速かつ適切に対応する。
２．前項の目的を達成するため、苦情の申出先を公表するほか必要な体制を整備する。
第１３条（プライバシーポリシー）
当店は、次の事項を含むプライバシーポリシーを策定・公表し、実効性あるものとするための体制整備に努める。
（１）事業者の名称
（２）安全管理措置に関する質問および苦情処理の窓口
（３）個人データの安全管理に関する宣言
（４）基本方針の継続的改善の宣言
（５）関係法令遵守の宣言
（６）個人情報の利用目的
第１４条（情報管理責任者の設置）
１．当店は、個人情報保護の取組みを総括する情報管理責任者を設置する。
２．情報管理責任者は、次の事項を担当する。
（１）個人情報の適正な取扱いを確保するための全社的な施策の立案およびその実施状況の監督
（２）本規程その他の個人情報保護に係る規程の整備およびその遵守状況の監督
（３）情報管理者の任命または兼務。任命した場合においては報告徴求、助言および指導
（４）従業者に対する教育・研修の企画
（５）個人情報漏えい等事案への対応
（６）その他個人データの安全管理に関する事項のうち事業全体に関するもの
３．次に掲げる事項は、情報管理責任者が決定する。
（１）前条に定めるプライバシーポリシーの制定および改正
（２）前項第３号に掲げる者の任命または兼務
（３）本規程第４条に定める個人情報の利用目的の制定および改正
（４）個人データの安全管理に係る取扱規程の制定および改正
（５）個人データの開示等請求への対応に関する規程等の制定および改正
（６）漏えい事案等が発生した場合における対応（事実関係の調査、原因・責任の究明、委託元（保険会社）との相談、対応方針の決定など）
第１５条（情報管理者）
情報管理者は次の事項を所管する。
（１）個人データの取扱者の指定および変更等の管理
（２）個人データの利用申請の承認および記録等の管理
（３）個人データを取り扱う保管媒体の設置場所の指定および変更等
（４）個人データの管理区分および権限についての設定および変更の管理
（５）個人データの取扱状況の把握
（６）委託先における個人データの取扱状況等の監督
（７）個人データの安全管理に関する教育・研修の実施
（８）情報管理責任者に対する報告
（９）その他所管部署における個人データの安全管理に関すること
（１０）本人確認機能の整備
（１１）本人確認に関する情報の不正使用防止機能の整備
（１２）本人確認に関する情報が他人に知られないための対策
第１６条（個人データ管理台帳）
情報管理者は、次の事項を記載した「個人データ管理台帳」を作成し、情報管理責任者に提出する。
（１）取得するデータの項目
（２）利用目的
（３）保管場所・保管方法・保管期限
（４）管理部署
（５）アクセス制御の状況
第１７条（個人データ取扱状況の点検）
１．情報管理責任者は、個人データの取扱状況の点検に関する計画を立案し、情報管理者に定期的および臨時の点検を実施するよう指示しなければならない。
２．情報管理者は、規程に違反する事項について、情報管理責任者に報告するとともに、改善のための措置を講じなければならない。
第１８条（漏えい等事案への対応）
１．個人情報取扱部署またはその従業者は、顧客情報の漏えい、滅失または毀損の可能性がある事案（以下「漏えい等事案」という。）を把握したときは、直ちに情報管理責任者に報告する。
２．情報管理責任者は、前項の報告を受けた事案が個人情報の漏えい、滅失または毀損につながる可能性があると認められるときは、事実内容の確認、原因の調査、内外への報告、事後対策・再発防止策の検討を行う。
第１９条（委託にあたっての所属保険会社への申請および承認）
情報管理責任者は、個人データの委託にあたって、所属保険会社に申請し、承認を得なければならない。 ただし、所属保険会社が別に定める場合はこの限りではない。
第２０条（委託先の選定基準）
１．情報管理者は、委託先を選定するにあたって、「委託先選定チェックリスト」を別に定め、これに基づき委託先を選定するとともに、「委託先選定チェックリスト」を定期的に見直さなければならない。
２．情報管理者は、「委託先選定チェックリスト」の策定および見直しにあたっては情報管理責任者の承認を得なければならない。
３．情報管理責任者は、承認した「委託先選定チェックリスト」を組織内に周知しなければならない。
第２１条（委託先における選定基準の遵守状況の確認）
情報管理者は、委託契約後に「委託先選定チェックリスト」に定められた事項の委託先における遵守状況を定期的または随時に確認するとともに、委託先が当該基準を満たしていない場合には、委託先に対して改善を求めなければならない。
第２２条（委託契約）
１．情報管理責任者は、選定した委託先との間で、以下の安全管理に関する事項を盛り込んだ委託契約の締結等をしなければならない。
（１）委託先に対する監督および監査報告徴収に関する権限
（２）委託先における個人データの漏えい、盗用、改竄および目的外利用の禁止
（３）再委託における条件
（４）漏えい等が発生した際の委託先の責任
２．情報管理責任者は、定期的に委託契約等に盛り込む安全管理に関する事項を見直さなければならない。
第２３条（委託先における委託契約上の安全管理措置の遵守状況の確認）
情報管理者は、定期的または随時に委託先における委託契約上の安全管理の遵守状況を確認するとともに、委託先が遵守していない場合には、委託先に対して改善を求めなければならない。
第２４条（違反行為に対する処置）
当店は、従業者が本規程に違反した場合は、誓約書等の内容に従い懲戒処分を行うことがある。
第２５条（本規程の改定）
本規程の改廃は情報管理責任者の決定により効力を発する。
附則
本規定は２０１６年４月１日から実施する。
２．個人データの安全管理に係る取扱規程
第１条 目的
本規程は、当店における個人データの安全管理措置について定めたものである。
第２条 定義
１．「取得・入力」 「取得」とは、本人または第三者から個人情報を物理的および電子的手段により取得することなどをいう（店内の他部門からの取得は含まない）。「入力」とは、取得した個人情報をデータベース等の情報システムに物理的および電子的に入力することなどをいう。
２．「利用・加工」 「利用」とは、個人データを利用目的の範囲内で取扱うことなどをいう。「加工」とは、個人データの更新を行うこと、または個人データを利用し、新たなデータベースを作成することなどをいう。
３．「管理区域」とは、営業範囲を勘案して予め指定した区域をいう。
４．「保管・保存」 「保管」とは、個人データを加工せず、オフィスフロア内に置き管理することなどをいい、「保存」とは、個人データを加工せず、オフィスフロア外（書庨等）に置き廃棄に至るまで管理すること、およびパソコンや電子媒体等に電子データを格納し消去にいたるまで管理すること（個人データのバックアップを含む。）などをいう。
５．「移送・送信」 「移送」とは、物理的な手段により個人データを異なる場所や人に移すことなどをいい、「送信」とは、電子的な手段により個人データを異なる場所や人に移すことなどをいう。
６．「消去・廃棄」 「消去」とは、個人データが保存されている媒体の個人データを電子的な方法その他の方法により削除することなどをいい、「廃棄」とは、個人データが保存されている媒体を物理的に廃棄することなどをいう。
７．「漏えい事案等」 「漏えい事案等」とは、顧客情報が記載・収録された帱票や電子記録媒体（FD、CD等）の盗難または紛失、郵便物の誤送付、電子メールやファックスの誤送信等の事敀により、顧客情報の漏えい、滅失または毀損が生じ、または生じるおそれが高い場合をいう。
第３条 取扱者の役割・責任および取扱者の限定
１．情報管理責任者は、個人情報の「取得・入力」および個人データの「利用・加工」「保管・保存」「移送・送信」「消去・廃棄」について取扱段階毎に取扱者の役割・責任を定め、組織内に周知しなければならない。
２．情報管理者は、各部署において業務上必要な者に限り個人情報の「取得・入力」および個人データの「利 用・加工」「保管・保存」「移送・送信」「消去・廃棄」が行われるよう取扱段階毎に取扱者を限定しなければならない。
第４条 センシティブ情報に関する取扱者の限定
情報管理者は、個人情報のうち、政治的見解、信教（宗教、思想および信条をいう。）、労働組合への加盟、人種および民族、門地および本籍地、保健医療および性生活、ならびに犯罪歴に関する情報（以下、「セン シティブ情報」という。）の「取得・入力」およびセンシティブ情報に該当する個人データの「利用・加工」「保管・保存」「移送・送信」「消去・廃棄」については、取扱段階毎の取扱者を必要最小限に限定しなければならない。
第５条 取得・入力の対象となる個人データの限定
情報管理者は、各取扱段階について「取得・入力」する個人情報、「利用・加工」「保管・保存」「移送・送信」する個人データを業務上必要な範囲内のものに限定しなければならない。
第６条 照合および確認手続き
１．個人データの取扱者は、個人情報を「取得」するときには、情報提供者の本人確認および権限等の確認を行わなければならない。
２．個人データの取扱者は、個人情報を「入力」するときには、入力データが正確であることを確認しなければならない。
３．個人データの取扱者は、個人データの「移送・送信」するときには、移送・送信先に相違がないか照合および確認を行わなければならない。
４．個人データの取扱者は、「利用」する個人データが対象データとして正しいかについて確認しなければならない。
５．個人データの取扱者は、「利用」する個人データが正しく「加工」されたかについて元データと照合しなければならない。
６．個人データの取扱者は、個人データの「消去・廃棄」に際し、「消去・廃棄」する個人データについて、個人データ管理台帳等により保管期間を照合または消去・廃棄理由を確認のうえ、「消去・廃棄」しなければならない。
７．個人データの取扱者は、個人データを「消去・廃棄」する際には、当該データが保存されている機器・記録媒体等の性質に応じ適正な方法で消去・廃棄しなければならない。
第７条 規程外作業に関する申請および承認手続き
個人データの取扱者は、個人情報を「取得・入力」または個人データを「利用・加工」「保管・保存」「移送・送信」「消去・廃棄」するに際し、本規程に定める以外の方法で取り扱う必要があるときは、情報管理者に申請し、承認を得たうえで行わなければならない。
第８条 機器・記録媒体等の管理手続き
１．情報管理者は、「取得・入力」した個人情報、「利用・加工」された個人データまたは「消去・廃棄」する個人データが保存された機器・記録媒体等の設置場所の指定ならびに管理区分および権限の設定をし、必要に応じ変更しなければならない。
２．個人データの取扱者は、前項の指定および設定に従い、個人情報が保存された機器・記録媒体等を適切に保管しなければならない。
第９条 個人データへのアクセス制御
１．情報管理者は、「取得・入力」した個人情報、「利用・加工」、「保管・保存」、「移送・送信」「消去・廃棄」する個人データへのアクセスを制御するために、個人データが保存された機器・記録媒体等に関して以下の措置を講じなければならない。
（１）アクセスに必要なＩＤおよびパスワードの管理を徹底する。
（２）機器・記録媒体等を保管するスペースへの部外者の立ち入りを制限する。
（３）受信した郵便物やＦＡＸ等の個人情報について適切な管理を行う。
２．情報管理者は、センシティブ情報へのアクセス制御について、当該情報の「利用・加工」「保管・保存」「移送・送信」を認められた必要最小限の取扱者に限りそれぞれの取り扱いが行われるようＩＤおよびパスワードを付与すると共に、ＩＤおよびパスワードの管理を徹底しなければならない。
第１０条 取扱状況の記録および分析
１．個人データの取扱者は、個人情報を「取得・入力」する場合、個人データを「利用・加工」「保管・保存」「移送・送信」「消去・廃棄」する場合、情報の種類や形態等に応じて、必要に応じ、かつ適切に「取得・入力」「利用・加工」「保管・保存」「移送・送信」「消去・廃棄」の状況について記録を行わなければならない。
２．情報管理者は、個人情報の漏えい等の防止のため、必要に応じ、記録された状況を確認する。
第１１条 センシティブ情報の「取得」「利用・加工」「移送・送信」の制限
個人データの取扱者は、センシティブ情報については、次に掲げる場合を除くほか、「取得」「利用・加工」「移送・送信」してはならない。
（１）保険業の適切な業務運営を確保する必要性から、本人の同意に基づき業務遂行上必要な範囲でセンシティブ情報を「取得」「利用・加工」「移送・送信」する場合
（２）相続手続を伴う保険金支払事務等の遂行に必要な限りにおいて、センシティブ情報を「取得」「利用・加工」「移送・送信」する場合
（３）保険料収納事務等の遂行上必要な範囲において、政治・宗教等の団体もしくは労働組合への所属もしくは加盟に関する従業員等のセンシティブ情報を「取得」「利用・加工」「移送・送信」する場合
（４）前各号のほか、金融庁ガイドライン第６条第１項各号に掲げる場合
第１２条 センシティブ情報の「取得」「利用」に関わる本人同意の取得および説明事項
１．個人データの取扱者は、前条（１）に基づきセンシティブ情報を「取得」または「利用」する場合には、当該センシティブ情報を保険業の適切な業務運営を確保する必要性から、本人の同意（原則として書面による。）に基づき業務遂行上必要な範囲で「取得」または「利用」しなければならない。
２．個人データの取扱者は、前項において本人の同意に基づかない場合には、当該センシティブ情報を「取得」または「利用」してはならない。
３．個人データの取扱者は、郵送等により取得した個人データが含まれる文書等にセンシティブ情報が含まれている場合は、原則として、本人の指定した方法により、当該情報を速やかに本人に返却もしくは廃棄する。ただし、当該文書等に記載された他の情報が業務遂行上必要な場合、個人データの取扱者は、直ちに当該センシティブ情報の記載部分を判読可能な状態にして取得するものとする。
第１３条 個人データの管理区域外への持ち出しに関する措置
１．情報管理責任者は、個人データの管理区域外への持ち出しに関する取扱者の役割・責任を定め、組織内に周知しなければならない。
２．情報管理者は、個人データの管理区域外への持ち出しに関する取扱者を必要最小限に限定しなければならない。
３．情報管理者は、管理区域外に持ち出すことが可能な個人データを業務上必要最小限の範囲に限定しなければならない。
４．情報管理者は、個人データの管理区域外への持ち出しに際し、個人データを持ち出す者が第２項で限定された取扱者本人であることを確認しなければならない。 また、情報管理者は、持ち出す個人データが第３項により持ち出すことを限定した個人データの範囲内であるか確認しなければならない。
５．個人データの取扱者は、個人データを管理区域外に持ち出す場合には、情報管理者に申請し、承認を得たうえで行わなければならない。
６．個人データの取扱者は、個人データを管理区域外に持ち出す場合には、別に定める件数等に限ると共に、個人データが保存された機器・媒体等を常時携行するなど適切に管理しなければならない。
７．個人データの取扱者は、個人データを管理区域外に持ち出す場合には、データの種類や形態等に応じて、必要かつ適切に持ち出した個人データの状況について報告および記録を行わなければならない。 情報管理者は、個人データの漏えい等の防止のため、必要に応じ、報告および記録された状況を確認する。
第１４条 個人データに関する障害発生時の対応・復旧手続き
１．情報管理者は、「保管・保存」「移送・送信」する個人データについて、取扱者に対し定期的にバックアップ等を行うよう徹底すると共に、「保管・保存」「移送・送信」する個人データに障害が発生した際にはバックアップデータ等により復旧させなければならない。
２．個人データの取扱者は、作成したバックアップデータ等を適切に管理しなければならない。
第１５条 個人データの利用者の識別および認証
情報管理者は、個人データを「利用・加工」「保管・保存」「移送・送信」する取扱者についてそれぞれ識別および認証機能を設けなければならない。
第１６条 個人データの管理区分の設定およびアクセス制御
１．情報管理者は、個人データの「利用・加工」「保管・保存」「移送・送信」の各段階における管理区分の設定およびアクセス制御機能を設けなければならない。
２．情報管理者は、前項のアクセス制御機能の設定にあたっては、センシティブ情報の取扱者が必要最小限の者に限定されるよう設定しなければならない。
第１７条 個人データへのアクセス権限の管理
１．情報管理者は、個人データの「利用・加工」「保管・保存」「移送・送信」の各段階におけるアクセス権限に関する機能を設けなければならない。
２．情報管理者は、前項のアクセス権限に関する機能の設定にあたっては、センシティブ情報の取扱者が必要最小限の者に限定されるよう設定しなければならない。
第１８条 個人データの漏えい・き損等防止策
情報管理者は、個人データの「利用・加工」「保管・保存」「移送・送信」の各段階における漏えい・き損等の防止策を講じなければならない。
第１９条 個人データへのアクセス記録および分析
情報管理者は、個人データの「利用・加工」「保管・保存」「移送・送信」の各段階におけるアクセス記録を取得し、必要な期間保管するとともに、個人データの漏えい等の防止のため、必要に応じてこれを分析しなければならない。
第２０条 個人データを取扱う情報システムの稼動状況の記録および分析
情報管理者は、個人データの「利用・加工」「保管・保存」の各段階におけるシステムの稼動状況に関し記録を取得し、必要な期間保管するとともに、個人データの漏えい等の防止のため、必要に応じてこれを分析しなければならない。
第２１条 漏えい事案等への対応に関する対応部署の役割・責任および取扱者の限定
１．情報管理責任者は、漏えい事案等への対応に関する対応部署（以下、「対応部署」という。）の役割・責任を定め、組織内に周知しなければならない。
２．対応部署の情報管理者は、各部署において、業務上必要な者に限り漏えい事案等への対応が行われるよう取扱者を限定しなければならない。
第２２条 漏えい事案等への対応の規程外作業に関する申請および承認手続き
個人データの取扱者は、本規程に定める以外の方法で漏えい事案等に対応する場合は、情報管理者に申請し、承認を得たうえで行わなければならない。
第２３条 漏えい事案等の影響等に関する調査手続き
漏えい事案等が発生した部署の情報管理者は、情報管理責任者および対応部署と連携のうえ漏えいした個人データの取扱状況の記録内容の分析を行い、漏えいした個人データの量、質、事敀の原因、態様、被害の程度等漏えい事案等の内容および影響の調査を行うこととする。
第２４条 再発防止策・事後対策の検討に関する手続き
漏えい事案等が発生した部署の情報管理者は、対応部署と協議のうえ、漏えいした個人データの取扱状況の記録内容の分析を踏まえた再発防止策・事後対策を策定し、情報管理責任者へ報告することとする。
第２５条 報告に関する手続き
１．漏えい事案等が発生した場合、発見者は、漏えい範囲の拡大防止等必要な措置をとると共に、直ちに対応部署に報告しなければならない。
２．対応部署は、報告を受けた漏えい事案等について、直ちに取引保険会社に報告しなければならない。
３．対応部署の情報管理者は取引保険会社の指示に従い、社外への報告等（警察への届出、本人への通知等、二次被害の防止・類似事案の発生回避の観点からの漏えい事案等の事実関係および再発防止策の公表）の要否およびその方法について決定しなければならない。
第２６条 漏えい事案等への対応記録および分析
１．対応部署の個人データの取扱者は、漏えい事案等へ対応する場合、データの種類や形態等に応じて、必要に応じ、かつ適切に漏えい事案等への対応状況について記録を行わなければならない。
２．対応部署の情報管理者は、個人データの漏えい等の防止のため、必要に応じ、記録された状況を確認する。
第２７条（本規程の改定） 本規程の改廃は情報管理責任者の決定により効力を発する。
附則
本規程は、２０１６年４月１日から実施する。
３．個人データの取扱状況の点検および監査に係る規程
第１条 目的
本規程は、当店における個人データの取扱状況に関する点検および監査について定めたものである。
第２条 実施部署
１．情報管理責任者は、個人データを取り扱う部署において個人データの点検に関する点検責任者および点検担当者を選任し、当該部署が自ら点検を実施するよう指示しなければならない。
２．点検責任者と点検担当者は兼務することができる。
３．情報管理責任者は、監査を実施する部署を指定し、その部署から個人データの監査に関する監査責任者および監査担当者を選任し、監査を実施するよう指示しなければならない。 ただし、監査を実施する部署が個人データを取り扱うときには、情報管理責任者は、当該部署以外の部署から当該部署を監査する監査責任者および監査担当者を選任しなければならない。
第３条 点検
１．情報管理責任者は、個人データの取扱状況の点検に関する計画を立案し、点検責任者に対し、定期的および臨時の点検を実施するよう指示しなければならない。
２．点検担当者は、点検責任者の指示に基づいて確実に点検を実施しなければならない。
３．点検担当者は、点検により個人データの取扱いに関する規程に違反する事項などを発見した場合には、点検責任者に報告しなければならない。
４．点検責任者は、規程に違反する事項について、情報管理責任者に報告すると共に情報管理責任者の指示を踏まえ、改善のための措置を講じなければならない。
第４条 監査
１．情報管理責任者は、個人データの取扱状況の監査に関する計画を立案し、監査責任者に対し、定期的および臨時の監査を実施するよう指示しなければならない。
２．監査担当者は、監査責任者の指示に基づいて確実に監査を実施しなければならない。
３．監査担当者は、監査により個人データの取扱いに関する規程に違反する事項などを発見した場合には、監査責任者に報告しなければならない。
４．監査責任者は、規程に違反する事項について、情報管理責任者に報告すると共に情報管理責任者の指示に従い、改善のための措置を講じなければならない。
４．個人データの外部委託に係る規程
第１条 目的
本規程は、当店における個人データの取扱いの全部または一部を委託する場合の取扱いについて定めたものである。
第２条 定義
１．「委託」とは、契約の形態や種類を問わず、代理店が第三者に個人データの取扱いの全部または一部を行わせることを内容とする契約の一切を含む。
２．「委託先」とは、代理店が、個人データの取扱いの全部または一部を第三者に委託する場合の当該第三者のことをいう。
第３条 委託にあたっての所属保険会社への申請および承認
情報管理責任者は、個人データの委託にあたって、所属保険会社に申請し、承認を得なければならない。
第４条 委託先選定の基準
１．情報管理者は、委託先を選定するにあたって、「委託先選定チェックリスト」を別に定め、これに基づき委託先を選定するとともに、「委託先選定チェックリスト」を定期的に見直さなければならない。
２．情報管理者は、「委託先選定チェックリスト」の策定および見直しにあたっては情報管理責任者の承認を得なければならない。
３．情報管理責任者は、承認した「委託先選定チェックリスト」を組織内に周知しなければならない。
第５条 委託先における選定基準の遵守状況の確認
情報管理者は、委託契約後に「委託先選定チェックリスト」に定められた事項の委託先における遵守状況を定期的または随時に確認するとともに、委託先が当該基準を満たしていない場合には、委託先に対して改善を求めなければならない。
第６条 委託契約
１．情報管理責任者は、選定した委託先との間で、以下の安全管理に関する事項を盛り込んだ委託契約の締結等をしなければならない。 ① 委託先に対する監督および監査報告徴収に関する権限 ② 委託先における個人データの漏えい、盗用、改ざんおよび目的外利用の禁止 ③ 再委託における条件 ④ 漏えい等が発生した際の委託先の責任
２．情報管理責任者は、定期的に委託契約等に盛り込む安全管理に関する事項を見直さなければならない
第７条 委託先における委託契約上の安全管理措置の遵守状況の確認
情報管理者は、定期的または随時に委託先における委託契約上の安全管理の遵守状況を確認するとともに、委託先が遵守していない場合には、委託先に対して改善を求めなければならない。