公益財団法人京都大学iPS細胞研究財団個人情報取扱規程

（目的）
第１条 この規程は、公益財団法人京都大学 iPS 細胞研究財団（以下「財団」という。）における、財団の従業者、財団の賛助会員、財団への寄附者等に係る個人情報、その他財団が事業の遂行に伴い入手する個人情報の適正な取扱いを確保するために定めたものである。
なお、行政手続における特定の個人を識別するための番号の利用等に関する法律（平成 25 年法律第 27 号）に基づく個人番号やその内容を含む個人情報に関しては「京都大学 iPS 細胞研究財団特定個人情報等取扱規程」において別途定めるところに従うものとし、財団が事業として遂行する iPS 細胞ストック・プロジェクトに係る検体提供者関連の個人情報の取扱いについても別途定めるところに従うものとする。

（定義）
第２条 この規程で掲げる用語の定義は次のとおりとする。
（１）「個人情報」とは、個人情報の保護に関する法律（平成 15 年法律第 57 号）（以下「個人情報保護法」という。）第 2 条第 1 項に規定する個人に関する情報であって、生存する 個人に関する情報であり、特定の個人を識別（氏名、生年月日等）することができるものをいう。また、他の情報と容易に照合することができ、それにより特定の個人を識別することができるものをいう。
（２）「個人データ」とは、個人情報データベース等を構成する個人情報をいう。
（３）「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じない ようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。
（４）「匿名加工情報」とは、次の各号に掲げる個人情報の区分に応じて定められた措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。
（５）「役職員」とは、財団の組織内にあって直接又は間接に財団の指揮監督を受けて財団の業務に従事している者をいい、雇用関係にある従業者（職員、非常勤職員等）のみ ならず、財団との間に雇用関係のない者（理事、監事、評議員等）を含む。
（６）「iPS細胞ストック・プロジェクト」とは、組織提供者の体細胞組織より作製したiPS細胞を再生医療に用いるために保管し、必要に応じて、国内外の医療機関、研究機 関、企業等に対して提供すると共に、これらの機関と研究を行う財団により実施されるプロジェクトをいう。
（７）「財団の賛助会員」とは、「京都大学iPS細胞研究財団賛助会員規程」において対象とする、財団の理念に賛同し、これを援助する個人をいう。
（８）「財団への寄附者」とは、「京都大学 iPS 細胞研究財団寄附金等取扱規程」において対象とする、財団への寄付を行う個人をいう。

（適用範囲）
第３条 この規程は、個人情報を取り扱う財団の役職員に適用する。

（規程等の遵守）
第４条 役職員は、この規程、関係法令、対象契約その他の規範を遵守し、かつ個人情報の保護に努めるものとし、個人情報を不正又は不当に取得、使用、開示又は漏洩してはならない。

（安全管理体制）
第５条 事務部門長を個人情報等の取扱いに関しての個人情報保護責任者（以下「保護責任者」とする。）とする。
２ 保護責任者は、財団における個人情報の取扱いにつき、管理責任を負うものとする。
３ 保護責任者は、個人情報を適正に管理するものとする。
４ 保護責任者は、個人情報につき、不正アクセス、紛失、破壊、改ざん、漏洩などに対して、合理的な安全対策を講じるものとする。
５ 保護責任者は、個人情報の取扱い（取得・入力・移送・利用・加工、保管・バックアップ、消去・廃棄等の作業）における事務取扱担当者を選任し、事務取扱者に限定して作業 を行わせるものとする。
６ 保護責任者は、個人情報の安全管理措置の評価、見直し及び改善をする上で監査を実施
し、監査責任者から受ける結果をとりまとめ、理事長に報告することとする。
７ 監査責任者から受ける監査報告、個人情報に関する社会通念の変化及び情報技術の進歩に応じた安全管理措置の見直し及び改善を図ることとする。

（利用目的の特定）
第６条 役職員は、職務上個人情報を作成し、又は取得するにあたっては、財団の業務を遂行するため必要な場合に限り、かつ、その利用の目的をできる限り特定しなければならな い。

２ 役職員は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。

（利用目的による制限）
第７条 役職員は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用の目的（以下「利用目的」という。）の達成に必要な範囲を超えて、個人情報を利用してはならない。

２ 前項の規定は、次に掲げる場合については、適用しない。
（１）法令に基づく場合
（２）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
（３）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
（４）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

（適正な取得）
第８条 役職員は、偽りその他不正の手段により個人情報を取得してはならない。

（取得に際しての利用目的の通知等）
第９条 役職員は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

２ 役職員は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。

ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

３ 役職員は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。

４ 前三項の規定は、次に掲げる場合については、適用しない。
（１）利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
（２）利用目的を本人に通知し、又は公表することにより財団又は役職員の権利又は正当な利益を害するおそれがある場合
（３）国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
（４）取得の状況からみて利用目的が明らかであると認められる場合

（データ内容の正確性の確保等）
第１０条 役職員は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去 するよう努めなければならない。

（第三者提供の制限）
第１１条 役職員は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
（１）法令に基づく場合
（２）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
（３）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
（４）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

２ 役職員は、第三者に提供される個人データ（要配慮個人情報を除く。以下この項において同じ。）について、本人の求めに応じて当該本人が識別される個人データの第三者への 提供を停止することとしている場合であって、次に掲げる事項について、個人情報の保護に関する法律施行規則（平成 28 年 10 月 5 日個人情報保護委員会規則第 3 号。以下、「個 人情報保護委員会規則」という。）で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。
（１）第三者への提供を利用目的とすること。
（２）第三者に提供される個人データの項目
（３）第三者への提供の方法
（４）本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
（５）本人の求めを受け付ける方法

３ 役職員は、前項第２号、第３号又は第５号に掲げる事項を変更する場合は、変更する内容について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、取扱責任者を通じて個人情報保護委員会に届け出なければならない。

４ 次に掲げる場合において、個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。
（１）財団が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合
（２）合併その他の事由による事業の承継に伴って個人データが提供される場合
（３）特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

５ 役職員は、前項第３号に規定する利用する者の利用目的又は個人データの管理について責任を有する者の氏名若しくは名称を変更する場合は、変更する内容について、あらか じめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

（第三者提供に係る記録の作成等）
第１２条 役職員は、個人データを第三者（個人情報保護法第 2 条第 5 項各号に掲げる者を除く。以下この条及び次条において同じ。）に提供したときは、個人情報保護委員会規 則で定めるところにより、当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。
ただし、当該個人データの提供が個人情報保護法第 23 条第 1 項各号又は第 5 項各号のいずれか（前条の規定による個人データの提供にあっては、第 23 条第 1 項各号のいずれか）に該当する場合は、この限りでない。

２ 役職員は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。

（匿名加工情報の作成等）
第１３条 役職員は、匿名加工情報（匿名加工情報データベース等を構成するものに限る。以下同じ。）を作成するときは、特定の個人を識別すること及びその作成に用いる個人情 報を復元することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、当該個人情報を加工しなければならない。

２ 役職員は、匿名加工情報を作成したときは、その作成に用いた個人情報から削除した記述等及び個人識別符号並びに前項の規定により行った加工の方法に関する情報の漏えい を防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、これらの情報の安全管理のための措置を講じなければならない。

３ 役職員は、匿名加工情報を作成したときは、個人情報保護委員会規則で定めるところにより、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない。

４ 役職員は、匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは、個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情 報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。

５ 役職員は、匿名加工情報を作成して自ら当該匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該匿名加 工情報を他の情報と照合してはならない。

６ 役職員は、匿名加工情報を作成したときは、当該匿名加工情報の安全管理のために必要かつ適切な措置、当該匿名加工情報の作成その他の取扱いに関する苦情の処理その他の 当該匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。

（委託先における安全管理措置）
第１４条 財団は、個人情報の取扱いの全部又は一部を委託する場合は、財団と同等の措置が委託先において適切に講じられていることを確認のうえ委託するものとする。
２ 委託先が財団の許諾を得て個人情報の取扱の全部又は一部を再委託するときには、委託先が再委託先に対して必要かつ適切な監督をおこなっているかについて監督するものと する。

（その他）
第１５条 この規程に定めるもののほか、個人情報保護に必要な事項は理事長が別に定める。

附則
１ この規程は、令和２年４月１日から施行する。