個人情報保護基本規程

（目的）第１条

本規程は、個人情報が個人の人格尊重の理念の下に慎重に取り扱われるべきものであることに鑑み、大黒屋ホールディングス株式会社（以下｢当社｣という）における、当社が保有する個人情報の適正な取扱いの確保に関し必要な事項を定めることにより、当社の事業の適正かつ円滑な運営を図りつつ、個人の権利利益を保護することを目的とする。

（基本原則）第２条

当社は、事業活動において、国や地方公共団体が制定する個人情報の保護に関する法律（以下「個人情報保護法」という）をはじめとする個人情報の保護のための法令、ガイドライン、指針及びルール（以下「法令等」という）を遵守することとする。

２　この規程は、法令等及び経営環境の変化などに照らして、適切な個人情報の保護を実現するために、定期的に見直しを行うものとする。

（適用範囲）第３条

この規程は、当社の取締役、監査役（以下「役員」という）並びに従業員及び契約社員（以下「従業員」という）が、業務として個人情報を取扱う場合に適用する。

２　この規程は、当社が保有している個人情報、当社がその取扱いを受託している個人情報及び当社がその取扱いを委託している個人情報を対象とする。

（定義）第４条

本規程で用いる用語の定義は次のとおりとする。

1. (1)「個人情報」　氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む）をいう。
2. (2)「個人情報データベース等」　個人情報を含む情報の集合物であって、特定の個人情報をコンピュータ処理により容易に検索することができるように体系的に構成したもの及びマニュアル処理により特定の個人情報を容易に検索することができるように体系的に構成したものをいう。
3. (3)「個人データ」　個人情報データベース等を構成する個人情報をいう。
4. (4)「保有個人データ」　当社が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、６ヶ月以内に消去することとなるものを除く個人データをいう。
5. (5)「当社グループ会社」　当社の親会社、子会社、関連会社等「会社計算規則」（平成18年法務省令第13号）第２条第３号第25号の「関係会社」をいう。
6. (6)「パートナー会社」　当社が、事業提携等当社とアライアンス関係を締結している会社をいう。
7. (7)「本人」　当該個人情報によって識別される特定の個人をいう。
8. (8)「個人情報保護管理責任者」　個人情報保護対策の実施及び運用に関する責任と権限を持つ者として代表取締役に指名されたものをいう。
9. (9)「匿名化」　個人情報から当該情報に含まれる氏名、生年月日、住所の記述等、個人を識別する情報を取り除くことで特定の個人を識別できないようにすることをいう。

（利用目的の特定等）第５条

個人情報保護管理者は、会社が取扱う個人情報の利用目的をできる限り特定しなければならない。

２　個人情報保護管理者は、会社が特定した利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を越えて行ってはならない。

３　従業者は、あらかじめ本人の同意を得ないで、会社が特定した利用目的の達成に必要な範囲を越えて、個人情報を取扱ってはならない。

４　会社が合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、従業者は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。

５　前二項の規定は、次に掲げるときには、適用しない。

1. (1)法令に基づくとき
2. (2)人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
3. (3)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
4. (4)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき

（利用目的の公表等）第６条

個人情報保護管理者は、第５条の規定により特定された個人情報の利用目的をプライバシーポリシーで公表しなければならない。

２　個人情報保護管理者は、利用目的を変更した場合は、変更された利用目的について、プライバシーポリシーで公表しなければならない。

３　従業者は、本人から直接書面（電磁的記録を含む。）に記載された当該本人の個人情報を取得する場合、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

４　前３項の規定は、次に掲げるときには、適用しない。

1. (1)利用目的を本人に通知し又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがあるとき
2. (2)利用目的を本人に通知し又は公表することにより会社の権利又は正当な利益を害するおそれがあるとき
3. (3)国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき
4. (4)取得の状況からみて利用目的が明らかであると認められるとき

（利用目的）第７条

当社は、個人情報を次の目的で利用する。

1. (1)業務上の連絡
2. (2)契約の履行（商品・サービスの提供）
3. (3)当社及び当社グループ会社並びにパートナー会社が取り扱う商品・サービスに関する案内
4. (4)当社及び当社グループ会社並びにパートナー会社が開催（主催・共催・協賛）するセミナー・展示会等に関する案内
5. (5)顧客満足度調査等のアンケートの依頼
6. (6)問い合わせ・依頼への対応
7. (7)その他事前に本人が利用を同意した目的

２　当社は、違法又は不当な行為を助長し又は誘発するおそれがある方法により個人情報を利用しないものとする。

（利用目的の変更）第８条

個人情報は、前条において明示又は公表した利用目的と相当な関連性を有すると合理的に認められる範囲内で利用しなければならない。

２　利用目的を越えて利用する場合は、あらかじめ本人に変更した利用目的を通知し又は公表しなければならない。

（取得）第９条

個人情報を取得する場合は、利用目的をできる限り特定し、適法かつ公正な手段によって行われなければならない。

２　本人から書面（Webを含む）により直接個人情報を取得する場合は、あらかじめ本人に対し、前項の利用目的を明示しなければならない。

３　本人以外から間接的に個人情報を取得する場合又は書面（Webを含む）によらない取得の場合は、利用目的を当社ホームページで公表する。

４　前２項の規定は、次に掲げる場合については、適用しない。

1. (1)利用目的を本人に明示し又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
2. (2)利用目的を本人に明示し又は公表することにより当社の権利又は正当な利益を害するおそれがある場合
3. (3)国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を情報主体に明示し又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
4. (4)取得の状況からみて利用目的が明らかであると認められる場合

（特定の機微な個人情報の取得の禁止）第10条

本規程において「特定の機微な個人情報」とは、次に掲げる情報をいう。

1. (1)個人情報保護法第２条第３項が定める「要配慮個人情報」
2. (2)勤労者の団結権、団体交渉その他団体行動に関する事項
3. (3)政治的権利の行使、請願権の行使などに関する事項

２　「特定の機微な個人情報」については、取得、利用又は第三者提供を行ってはならない。

（個人データの適正管理）第11条

当社は、利用目的の達成に必要な範囲内で、常に個人データを正確かつ最新の状態に保つものとする。

２　当社は、個人データの漏えい、滅失、毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講ずるものとする。

３　当社は、個人データの安全管理のために、個人データを取扱う従業員に対する必要かつ適切な監督を行うものとする。

４　当社は、利用目的に関し保存する必要がなくなった個人データを、確実かつ速やかに破棄又は削除するものとする。

（安全管理措置）第12条

個人情報管理責任者は、その取扱う個人データの漏洩、滅失又はき損の防止その他の個人情報の管理のために、必要かつ適切な措置を講じなければならない。

（役員及び従業員の監督）第13条

個人情報管理責任者は、役員及び従業員に個人データを取り扱わせるに当たっては、必要かつ適切な監督として、以下に定める事項を実施しなければならない。

1. (1)雇用契約時及び委託契約時における非開示契約の締結と保管
2. (2)役員及び従業員に対する定期的な教育・訓練の実施及び実施記録の保管

２　個人情報管理責任者は、役員及び従業員の教育・訓練につき、「情報セキュリティ及び個人情報保護管理策運用細則」に基づき実施する。

（委託先の監督）第14条

個人情報管理責任者は、個人データの取扱を委託する場合は、以下に定める事項を実施することで、個人データの安全管理が図られるよう、当該委託先の必要かつ適切な監督を行わなければならない。

1. (1)委託先選定基準および選定手続を策定する
2. (2)委託先と当社間での個人データの安全管理に関する契約の締結

２　個人情報管理責任者は、委託先の安全管理状態につき、定期的に調査を行い、確認しなければならない。

３　個人情報管理責任者は、委託先の選定及び監督につき、「情報セキュリティ及び個人情報保護管理策運用細則」に基づき実施する。

（漏えい等の報告等）第15条

当社は、その取扱う個人データの漏えい、滅失、毀損（以下「漏えい等」という）その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして、次に定めるものが生じたときは、個人情報保護委員会規則第８条で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。

1. (1)要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第１項において同じ。）の漏えい等が発生し又は発生したおそれがある事態
2. (2)不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し又は発生したおそれがある事態
3. (3)不正の目的をもって行われたおそれがある個人データの漏えい等が発生し又は発生したおそれがある事態
4. (4)個人データに係る本人の数が千人を超える漏えい等が発生し又は発生したおそれがある事態

２　前項に規定する場合には、当社は、本人に対し、個人情報保護委員会規則第10条で定めるところにより、当該事態が生じた旨を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

（個人情報の提供の原則）第16条

当社は、以下の場合を除き、あらかじめ本人の同意を得ないで、個人データを第三者に提供しない。

1. (1)法令に基づく場合
2. (2)人の生命、身体又は財産の保護のために必要がある場合であって、情報主体の同意を得ることが困難であるとき
3. (3)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、情報主体の同意を得ることが困難であるとき
4. (4)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、情報主体の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき

２　当社は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、個人情報保護委員会規則第11条で定めるところにより、あらかじめ本人に通知し又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。ただし、第三者に提供される個人データが第６条に定める「特定の機微な個人情報」に該当するもの又は偽りその他不正の手段で取得されたもの若しくは他の個人情報取扱事業者からこの項本文の規定により提供されたもの（その全部又は一部を複製し又は加工したものを含む。）である場合は、この限りでない。

1. (1)第三者への提供を行う個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名
2. (2)第三者への提供を利用目的とすること
3. (3)第三者に提供される個人データの項目
4. (4)第三者に提供される個人データの取得の方法
5. (5)第三者への提供の方法
6. (6)本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること
7. (7)本人の求めを受け付ける方法
8. (8)第三者に提供される個人データの更新の方法
9. (9)当該届出に係る個人データの第三者への提供を開始する予定日

３　当社は、前項第1号に掲げる事項に変更があったとき又は同項の規定による個人データの提供をやめたときは遅滞なく、同項第３号から第５号まで、第７号又は第８号に掲げる事項を変更しようとするときはあらかじめ、その旨について、個人情報保護委員会規則第11条で定めるところにより、本人に通知し又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。

４　前３項にかかわらず、以下の場合は第三者に該当しないものとする。

1. (1)利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託する場合
2. (2)合併その他の事由による事業の承継に伴って個人データが提供される場合
3. (3)個人データを特定のものとの間で共同して利用する場合で、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ本人に明示し取得している場合か又は通知、公表している場合
4. (4)当社及び当社グループ会社

５　当社は、前項第３号に規定する個人データの管理について責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったときは遅滞なく、同号に規定する利用する者の利用目的又は当該責任を有する者を変更しようとするときはあらかじめ、その旨について、本人に通知し又は本人が容易に知り得る状態に置かなければならない。

（第三者提供に係る記録の作成等）第17条

当社は、個人データを第三者（国の機関、地方公共団体、独立行政法人等及び地方独立行政法人を除く）に提供したときは、次に掲げる事項の記録を作成する。ただし、当該個人データの提供が第16条第１項のいずれかに該当する場合は、この限りでない。

1. (1)当該個人データを提供した年月日
2. (2)当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者（法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人）の氏名（不特定かつ多数の者に対して提供したときは、その旨）
3. (3)当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
4. (4)当該個人データの項目
5. (5)個人情報保護法第27条第１項又は法第28条第１項の本人の同意を得ている旨

２　当社は、前項の記録を、当該記録を作成した日から３年間保存しなければならない。

（第三者提供を受ける際の確認）第18条

当社は、第三者から個人データの提供を受けるに際しては、次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供が個人情報保護法第27条第１項各号又は第５項各号のいずれかに該当する場合は、この限りでない。

1. (1)当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
2. (2)当該第三者による当該個人データの取得の経緯

２　当社は、前項の規定による確認を行ったときは、次に掲げる事項の記録を作成する。

1. (1)個人データの提供を受けた年月日
2. (2)当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
3. (3)当該第三者による当該個人データの取得の経緯
4. (4)当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
5. (5)当該個人データの項目
6. (6)個人情報保護法第27条第４項の規定により公表されている旨、同法第27条第１項又は法第28条第１項の本人の同意を得ている旨、同法第31条第１項第１号の本人の同意が得られている旨
7. (7)当該個人関連情報の項目

３　当社は、前項の記録を、当該記録を作成した日から３年間保存する。

（個人関連情報の第三者提供の制限等）第19条

当社は、第三者が個人関連情報（個人関連情報データベース等を構成するものに限る。）を個人データとして取得することが想定されるときは、第９条第１項各号に掲げる場合を除くほか、当該第三者が個人関連情報取扱事業者から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていることについて、あらかじめ確認することをしないで、当該個人関連情報を当該第三者に提供しないものとする。

２　前条第２項及び第３項は、前項の規定による確認を行ったときは、準用する。

（公表等）第20条

個人情報管理責任者は、以下の事項を当社ホームページで公表することとする。

1. (1)大黒屋ホールディングス個人情報保護方針
2. (2)大黒屋ホールディングス個人情報基本規程
3. (3)当社所有の個人情報についての当社への請求先・苦情の申出先及び請求の手続

（開示等の求めへの対応）第21条

前条第３号に定める個人情報の請求先・苦情の申出先は、代表電話番号（03-6451-4300）とする。

２　個人情報管理責任者は、本人より、保有個人データ又は当該本人が識別される保有個人データの利用目的（以下「本人個人データ又はその利用目的」という。）の開示を求められたときは、第５条第４項各号のいずれかに該当する場合又は当社の業務の適正な実施に著しい支障を及ぼすおそれがある場合若しくは他の法令に違反することとなる場合を除き、連絡者が本人であることを確認した上で、本人に対し、遅滞なく、電磁的記録の提供による方法を含めた本人が求める方法で、当該本人個人データ又はその利用目的を開示する。

３　個人情報管理責任者は、開示が第５条第４項各号のいずれかに該当する場合又は当社の業務の適正な実施に著しい支障を及ぼすおそれがある場合若しくは他の法令に違反することとなる場合には、その全部又は一部を開示しないことができる。

４　個人情報管理責任者は、本人より、保有個人データの内容が事実でないという理由によって当該保有個人データの内容の訂正、追加又は削除を求められた場合には、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行う。

５　個人情報管理責任者は、本人より、当該本人が識別される保有個人データの利用の停止又は消去を求められた場合であって、その理由が正当であることが判明したときは、違反を是正するために必要な限度で、当該保有個人データの利用停止等を行う。

６　個人情報管理責任者は、前４項の規定による請求に係る保有個人データの全部若しくは一部について開示しない旨の決定をしたとき、当該保有個人データが存在しないとき又は同項の規定により本人が請求した方法による開示が困難であるとき、当該保有個人データの内容の訂正、追加又は削除をしないとき、当該保有個人データの利用停止等をしないときは、本人に対し、遅滞なく、その旨を通知しなければならない。この場合、本人に対し、その理由を説明するよう努めるものとする。

７　第２項から第６項までの規定は、当該本人が識別される個人データに係る第三者提供記録について準用する。

８　第２項から第７項に基づき、個人情報管理責任者が当該措置を取った場合には、当社は、実費を勘案して合理的範囲内と認められる範囲内の額として定めた手数料を徴収することができる。

（問合せ）第22条

個人情報担当部署は、情報主体からの個人情報に関する問い合わせを受け付けて、速やかに対応する。

（責任体制）第23条

個人情報保護の取組を推進するために以下の体制を定め、責任と権限を付与する。

1. (1) 代表取締役
   個人情報保護管理者の任命等を行い、個人情報保護に関する責任体制の確立、運用及び改善のために必要な資源を用意する。
2. (2) 個人情報保護管理者
   会社における個人情報の取扱が個人情報を取扱うに当たり適用のある個人情報保護法その他の法令、ガイドライン、プライバシーポリシー、本規程及び関連する社内規程に従って行われることを確保するため、全社的な対策を講じる。
3. (3) 顧客対応窓口責任者
   会社の個人情報の取扱いにかかる問合せ及び苦情等を受け付けて対応するとともに、当該問合せ及び苦情等の内容を分析し、事実関係の調査及び原因の究明並びに再発防止策の検討及び実施等を行い、本規程の内容及び運用に反映させる。

（個人情報保護管理責任者）第24条

当社は、個人情報の適正管理のため個人情報保護管理責任者を定め、当社における個人情報の適正管理に必要な措置を行わせるものとする。

２　個人情報保護管理責任者は、管理部長とする。

３　個人情報保護管理責任者は、取締役会の指示及びこの規程の定めに基づき、適正管理対策の実施、従業員に対する教育・事業訓練等を行う責任を負うものとする。

４　個人情報保護管理責任者は、適正管理に必要な措置について定期的に評価を行い、見直し又は改善を行うものとする。

５　個人情報保護管理責任者は、個人情報の適正管理に必要な措置の一部を各事業を分掌する従業員に委任することができる。

（個人情報担当部署の責務）第25条

個人情報担当部署は、個人情報保護責任者の命令に基づき、以下の事項を定め、実施しなければならない。

1. (1)個人情報保護基本方針を社内に普及する。
2. (2)個人情報保護規程等を作成する。
3. (3)本人からの個人情報に関する問い合わせ、苦情、開示等に対応する体制をつくる。

（部門長の責務）第26条

部門長は、自部門の業務が規程に基づき遂行されるよう、従業員並びに管理監督責任を有するアルバイト、パート及び派遣社員の個人情報の取扱いを適切に管理・監督する責任を有する。

（従業員の義務）第27条

当社の従業員又は従業員であった者は、業務上知り得た個人情報の内容をみだりに他人に知らせ又は不当な目的に使用してはならない。

２　この規程に違反する事実又は違反するおそれがあることを発見した従業員は、その旨を個人情報保護管理責任者に報告するものとする。

３　個人情報保護管理責任者又は内部監査室は、前項による報告の内容を調査し、違反の事実が判明した場合には遅滞なく代表取締役に報告するとともに、関係部署に適切な措置をとるよう指示するものとする。

（懲戒）第28条

会社の従業員が本規程に違反した場合、就業規則に定めるところにより懲戒処分を行う。

（規程の所管）第29条

本規程の所管は、管理部とする。