第２条本規程において使用する用語を以下のとおり定義する。特段定めがないものについては個人情報保護法により定義される用語を使用する。

第３条この規程は、媒体の種類を問わず、当財団が業務上取扱うすべての個人情報を対象とし、当財団の従業者および個人情報を取扱う協力社に適用される。

第４条理事長は、個人情報保護の理念を明確にした上で、次の事項を含む個人情報保護方針（プライバシーポリシー）を定めるとともに、これを実行し維持する。また、理事長は、この方針を文書化し、職員等に周知させる。

第６条当財団は、個人情報の取扱いに関する法令および関連するガイドラインを特定し遵守するとともに、参照する手順を確立し、維持しなければならない。

第７条当財団は、特定した個人情報について、目的外利用をおこなわないための対策を実施しなければならない。

第８条当財団は、個人情報保護を実施し、維持し、かつ改善するために不可欠な資源を用意しなければならない。

第９条当財団は、緊急事態を特定するための手順、また、それらにどのように対応するかの手順を確立すると共に、これを実施し維持する。

第11条当財団は、適法かつ公正な手段によって個人情報を取得しなければならない。

第12条当財団は、要配慮個人情報については、これを取得、利用または提供をおこなってはならない。但し、これらの取得、利用または提供について、あらかじめ書面による本人の同意がある場合および次のいずれかに該当する場合は、この限りではない。

第13条当財団は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、すみやかにその利用目的を、本人に通知し、または公表しなければならない。但し、次に示すいずれかに該当する場合は、この限りでない。

第14条前条の規定に関わらず、本人との間で契約を締結することに伴って契約書その他の書面（電子的方式、磁気的方式など人の知覚によっては認識できない方式で作成される記録を含む。以下、同じ）に記載された個人情報を直接取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合には、あらかじめ、書面によって本人にその利用目的を明示しなければならない。但し、人の生命、身体または財産の保護のために緊急に必要がある場合はこの限りではない。

第15条当財団は、特定した利用目的の達成に必要な範囲内で個人情報を利用しなければならない。特定した利用目的の達成に必要な範囲を超えて個人情報を利用する場合は、あらかじめ、本人に通知し、本人の同意を得なければならない。但し、本規程第12条の但書き①～④のいずれかに該当する場合は、この限りではない。

第16条当財団は、個人データを第三者に提供する場合には、あらかじめ、本人に対して、取得方法を通知し、本人の同意を得なければならない。但し、次に示すいずれかに該当する場合は、この限りではない。

第17条外国にある第三者（委託先を含む）に個人情報を提供する場合は、あらかじめ当該外国の第三者への提供を認める旨の本人同意を得なければならない。ただし、以下に該当する場合は、「外国にある第三者」に該当しないものとし、第16条を適用する。

第18条個人情報を第三者に提供したとき（第17条による外国にある第三者への提供も含む）は、例外事項に該当する場合を除き、第三者提供に係る記録を速やかに作成しなければならない。

第19条第三者から個人情報の提供を受けるに際しては、次に掲げる事項の確認を行わなければならない。

第20条当財団は、利用目的の達成に必要な範囲内において、個人情報を、正確かつ最新の状態で管理する。

第21条当財団は、その取り扱う個人情報のリスクに応じて、漏えい、滅失またはき損の防止その他の個人情報の安全管理のために必要、かつ、適切な措置を講ずるものとする。

第22条当財団は、その従業者に個人情報を取り扱わせるに当たっては、当該個人情報の安全管理が図られるよう、当該従業者に対し、必要かつ適切な措置を行わなければならない。

第23条当財団は、個人情報の取扱いの全部または一部を委託する場合は、十分な個人情報の保護水準を満たしている者を選定しなければならない。このため、当財団は、委託を受ける者を選定する基準を確立しなければならない。

第25条当財団は、開示等の求めに応じる手続として次の事項を定めなければならない。

第26条当財団は、取得した個人情報が保有個人データに該当する場合は、当該保有個人データに関し、次の事項を本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む）に置かなければならない。

第27条当財団は、本人から当該本人が識別される保有個人データについて、利用目的の通知を求められた場合には、遅滞なくこれに応じなければならない。但し、本規程第13条の但書き①～③のいずれかに該当する場合、または本規程第26条②によって本人が識別される保有個人データの利用目的が明らかな場合は利用目的の通知を必要としないが、そのときは、本人に遅滞なくその旨を通知するとともに、理由を説明しなければならない。

第28条当財団は、本人から当該本人が識別される保有個人データの開示（当該の本人が識別される保有個人データが存在しないときにその旨を知らせることを含む）を求められたときは、法令の規定により特別の手続きが定められている場合を除き、本人に対し、遅滞なく、当該保有個人データを書面（開示の求めを行った者が同意した方法があるときは、当該方法）によって開示しなければならない。但し、開示することによって次の各号のいずれかに該当する場合は、その全部または一部を開示する必要はないが、そのときは、本人に遅滞なくその旨を通知するとともに、理由を説明しなければならない。

第29条当財団は、本人から当該本人が識別される保有個人データの内容が事実でないという理由によって当該保有個人データの訂正、追加または削除（以下、本条において「訂正等」という）を求められた場合は、法令の規定によって特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づいて、当該保有個人データの訂正等を行わなければならない。また、当財団は、訂正等を行ったときは、その旨およびその内容を、本人に対し、遅滞なく通知し、訂正等を行わない旨の決定をしたときは、その旨およびその理由を、本人に対し、遅滞なく通知しなければならない。

第30条当財団が、本人から当該本人が識別できる保有個人データの利用の停止、消去または第三者への提供の停止（以下、本条において「利用停止等」という）を求められた場合は、これに応じなければならない。また、措置を講じた後は、遅滞なくその旨を本人に通知しなければならない。但し、本規程第28条の但書き①～③のいずれかに該当する場合は、利用停止等をおこなう必要はないが、そのときは、本人に遅滞なくその旨を通知するとともに、理由を説明しなければならない。

第35条当財団は、個人情報の保護が適切に実施されているかを調査するため、適宜に監査を実施しなければならない。

第38条この規程は、当財団が業務上取扱うすべての特定個人情報を対象とする。

第39条理事長は、特定個人情報の取扱いに関する基本方針を定める。また、理事長は、この方針を文書化し、職員等に周知させると共に、一般の人が入手可能な措置を講ずる。

第40条理事長は、財団における特定個人情報保護体制を確立すると共に、その責任と権限を定め、文書化し、財団に周知しなければならない。

第41条当財団は、特定個人情報を保護するために、当該個人情報に対するリスク（不正アクセス、特定個人情報の紛失・破壊・改ざんおよび漏えい等）を認識し、その対策をおこなわなければならない。

第42条当財団は、この規程の実施に際し、番号法および関連する法令ならびにガイドラインを遵守する。

第43条当財団は、法令の定める範囲で個人番号関係事務を処理するために必要がある場合に限って、本人又は他の個人番号関係事務実施者に対して個人番号の提供を求めることができる。

第44条当財団は、番号法で限定的に明記された場合を除き、個人番号の提供を求めてはならない。

第45条当財団は、番号法で限定的に明記された場合を除き、特定個人情報を提供してはならない。

第46条当財団は、番号法第19条各号のいずれかに該当する場合を除き、特定個人情報を収集又は保管してはならない。

第47条当財団は、本人確認について、以下の証跡を確認することにより、これをおこなう。

第48条当財団は、本人の同意があったとしても、法令に定める利用目的を超えて特定個人情報を利用してはならない。

第49条当財団は、個人番号関係事務を処理するために必要な範囲に限って、特定個人情報ファイルを作成することができる。

第50条当財団は、個人番号関係事務の全部又は一部の委託をする場合は、委託先において、番号法に基づき委託者自らが果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行わなければならない。