ベンチャーラボ法律事務所（以下「当事務所」といいます。）は、当事務所が定める以下の個人情報の取扱いに際し、関係法令を遵守するとともに、以下の方針に基づき適正な取扱い及び個人情報の保護に努めます。

第1条（個人情報）

「個人情報」とは、個人情報の保護に関する法律（平成十五年法律第五十七号、以下「個人情報保護法」といいます。）にいう「個人情報」を指し、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別できるもの又は個人識別符号が含まれるものを指します。

第2条（個人情報の利用目的）

当事務所は、以下の目的に必要な範囲で、個人情報を取得し、取得した情報を利用させていただきます。以下の目的の範囲を超えて個人情報を利用する場合には、事前に適切な方法で本人の同意を得るものとします。

• 弁護士業務の遂行
• 各種お問い合せへの対応
• 当事務所の挨拶状及び年賀状の送付
• 書籍等の出版物の案内及びセミナー等のご案内
• 各種郵便物の送付
• 契約の締結、履行及び管理
• 弁護士及び事務職員等の採用活動
• その他、上記の利用目的に付随する事項の遂行

第3条（個人情報の管理と保護）

個人情報の管理は、厳重に行うこととし、以下に掲げるときを除き、ご本人の同意がない限り、第三者に対し個人情報を開示・提供することはいたしません。また、安全性を考慮し、個人情報への不正アクセス、個人情報の紛失、破壊、改ざん及び漏えい等のリスクに対する予防並びに是正に関する対策を講じます。

1. (1)人の生命、身体又は財産の保護のために必要がある場合であって、ご本人の同意を得ることが困難であるとき。
2. (2)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、ご本人の同意を得ることが困難であるとき。
3. (3)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、ご本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
4. (4)その他法令で認められるとき。

第4条（個人情報の取扱いの委託）

当事務所は、利用目的の達成に必要な範囲内において、個人情報の取扱いの全部又は一部を委託する場合がございます。この場合、当事務所は、委託先としての適格性を十分審査するとともに、契約にあたって守秘義務に関する事項等を定め、委託先に対する必要かつ適切な監督を行います。

第5条（個人情報の開示）

当事務所に個人情報を提供された方（以下「利用者」といいます。）は、当事務所に対し、第10条に定める手続に従って、当事務所の保有する個人情報の開示を請求することができます。当事務所は、利用者から当該請求を受けたときは、利用者に対し、遅滞なくこれを開示します。ただし、開示することにより以下のいずれかに該当する場合は、その全部又は一部を開示しないこともあり、開示しない決定をした場合には、その旨を遅滞なく通知します。

1. (1)利用者又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
2. (2)当事務所の業務の適正な実施に著しい支障を及ぼすおそれがある場合
3. (3)その他法令に違反することとなる場合

第6条（個人情報訂正等）

1. 1.利用者は、当事務所の保有する個人情報が誤った情報である場合には、当事務所に対し、第10条に定める手続に従って、当該個人情報の訂正、追加又は削除（以下「訂正等」といいます。）を請求することができます。
2. 2.前項の請求を受けた場合、当事務所は遅滞なく必要な調査を行い、その結果前項の請求に理由があると判断した場合には、遅滞なく当該個人情報の訂正等を行います。
3. 3.当事務所は、前項に基づき訂正等の実施・不実施について判断した場合には、遅滞なく、ご本人に対してご連絡いたします。

第7条（個人情報の利用停止等）

1. 1.利用者は、当事務所に対し、第10条に定める手続に従って、当事務所の保有する個人情報の利用の停止、消去又は第三者提供の停止（以下「利用停止等」といいます。）を請求することができます。
2. 2.当事務所は、前項の請求を受けた場合には、遅滞なく必要な調査を行い、その結果前項の請求に理由があると判断した場合には、当該個人情報の利用停止等を行います。ただし、個人情報の利用停止等に多額の費用を要する場合その他利用停止等を行うことが困難な場合であって、利用者の権利利益を保護するために必要なこれに代わるべき措置をとれるときは、この代替策を講じます。
3. 3.当事務所は、前項に基づき利用停止等の実施・不実施について判断した場合には、遅滞なく、ご本人に対してご連絡いたします。

第8条（プライバシーポリシーの変更手続）

当事務所はこのプライバシーポリシーの内容を適宜見直し、変更することができるものとします。変更後のプライバシーポリシーは、当事務所所定の方法により通知し、又は当事務所ウェブサイトに掲載したときから効力を生じるものとします。

第9条（法令、規範の遵守）

当事務所は、保有する個人情報に関して適用される日本の法令、その他規範を遵守します。

第10条（個人情報の開示請求、苦情及び相談への対応）

当事務所は、個人情報の取扱いに関する苦情、相談を受け付け、適切かつ迅速に対応いたします。個人情報の開示、訂正、追加、削除、利用又は提供の拒否等に関するご連絡は、第13条に記載の窓口までご連絡ください。

第11条（安全管理措置）

当事務所がお預かりした個人情報は、個人情報ファイルへのアクセス制限の実施、アクセスログの記録及び外部からの不正アクセス防止のためのセキュリティ対策の実施等、組織的、物理的、人的、技術的施策を講じることで個人情報への不正な侵入、個人情報の紛失、破壊、改ざん、及び漏えい等を防止いたします。万一、個人情報の漏えい等の事故が発生した場合、当事務所は、個人情報保護法及び関連するガイドラインに則り、速やかに監督官庁への報告を行うとともに、当該監督官庁の指示に従い、類似事案の発生防止措置及び再発防止措置等の必要な対応を行います。

第12条（住所・代表者氏名・個人情報保護管理者）

当事務所住所、代表者及び個人情報保護管理者の氏名は以下のとおりです。

住所：〒107-0062
港区南青山2－22－17センテニアル青山5階
代表者及び個人情報管理責任者：淵邊 善彦

第13条（お問い合わせ窓口）

当事務所の個人情報の取扱いに関するお問い合せは以下までご連絡ください。

お客様対応窓口：info@venture-lab.net
個人情報管理責任者：淵邊 善彦
TEL：03-6434-5251

2019年1月1日制定・施行
2024年5月30日改定

本書は、当事務所の弁護士が職務を遂行する際に、情報セキュリティを確保するための基本的な取扱方法を定めるものです。当事務所は、本書に従い取扱情報を取り扱うとともに、当事務所で勤務する事務職員その他取扱情報に接する者（以下「事務職員等」という。）にも基本的な取扱方法を遵守させます。 なお、当事務所に所属する弁護士が、当該弁護士のみが取り扱う取扱情報を、当事務所の機器を利用せずに取り扱う場合は、必ずしも本書に従う必要はなく、当該弁護士が独自の基本的な取扱方法を定め遵守することもできます。

1.用語

本書で用いる用語は、日本弁護士連合会の弁護士情報セキュリティ規程（会規第１１７号。以下「規程」という。）で定義されたものと同様とします。本書で保護の対象となる「取扱情報」も規程で定義されているとおり「弁護士等がその職務上取り扱う情報」を広く含みますが、公開情報等の情報セキュリティを保持する必要のない情報は含みません。

2.安全管理措置

(1)組織的な安全管理措置

1. ①当事務所には、情報セキュリティ管理者を置きます。情報セキュリティ管理者は、補助者として情報セキュリティ管理補助者を置くことができます。
2. ②事務職員等に対し、本書をいつでも参照できるようにして、これを遵守することを求め、情報セキュリティを確保するために必要に応じて役割分担を与え、情報セキュリティの確保に関する指揮と監督を行います。
3. ③共同受任又は弁護団等で他の法律事務所の弁護士と共同で取扱情報を取り扱う場合には、当該他の弁護士と協議して、取扱情報の授受方法、共有方法等、当該案件の遂行に必要な場合に必要な範囲で、共同の基本的な取扱方法を定めます。

(2)人的な安全管理措置

1. ①日本弁護士連合会が発信する情報セキュリティに関する脅威や脆弱性についての情報等の情報セキュリティに関する注意情報を収集します。
2. ②取扱情報の情報セキュリティを維持するために必要な情報セキュリティに関する脅威や脆弱性についての情報収集を行い、教育及び訓練に参加するとともに、事務職員等に対しても、その機会を確保します。
3. ③事務職員等による取扱情報の漏えい等を防止するため、当事務所の許可なく取扱情報を外部に持ち出すことを禁止します。
4. ④弁護士が当事務所を退所する際には、保有している取扱情報のうち、当該弁護士が関与していない事件等の情報については、返還又は消去するものとします。
5. ⑤事務職員等が退職する際には、保有している取扱情報を返還させ、事務職員等に対し業務用に貸与したもの以外の機器の利用を許可した場合は、当該機器に保存された取扱情報を消去します。
6. ⑥取扱情報の取扱いを第三者に委託するときは、以下に定めるとおり行います。
1. (ア)適切な情報セキュリティ対策を行っている委託先を選定します。
2. (イ)委託先との間で、提供する取扱情報に関し、(a)内容、利用目的及び保管方式の定め、(b)第三者提供及び目的外利用の禁止、(c)委託終了時の返還又は消去に関する取り決めを行うか、これらの事項について適切に設定されていることを確認します。

(3)物理的な安全管理措置

1. ①取扱情報がみだりに第三者の目に触れないよう、会議室には取扱情報を置きません。
2. ②第三者が許可なく執務スペース等の取扱情報にアクセス可能な場所に立ち入らないようにするため、出入り口の施錠又は何らかの入退室確認ができる措置を講じます。
3. ③来訪した第三者を取扱情報にアクセス可能な場所に入室させる場合には、来訪者の氏名又は属性の確認を行います。

(4)技術的な安全管理措置

1. ①アカウント管理及びアクセス制御
1. (ア)当事務所で用いるソフトウェア、サービス又はハードウェアの利用に際して、必要かつ可能な場合は、ＩＤ、パスワード等を用いた認証及びアクセス権限・範囲の設定等によるアクセス制御を行います。
2. (イ)取扱情報にアクセスするためのアカウントは、当事務所が特に定める場合を除き、技術的に可能な範囲で、それを使用する人ごとに発行し、そのＩＤ及びパスワード等を共用いたしません。
3. (ウ)アカウント情報は、当該アカウント利用者以外の者の目に触れるところに書き記さないようにし、使い回しをしない等の適切な管理を行います。
4. (エ)アカウントのパスワードについては、適切な長さと複雑さを持たせ、第三者から推測されないようにします。
5. (オ)携帯電話へのコード送信、ワンタイムパスワード等の多要素認証又は生体認証を利用できる場合は、当該アカウントで取り扱う取扱情報の重要度に応じて利用します。
2. ②ソフトウェア及びサービス（以下「ソフトウェア等」という。）
1. (ア)事務職職員等に対し、次の各号のソフトウェア等の使用を禁じます。ただし、業務上使用の必要がある場合は、事前に報告させ、当事務所の承諾の上で使用します。
1. (1)無償で提供される無線LANサービス（弁護士会が提供するものを除く）
2. (2)無償で提供される電子メールサービス（Thunderbirdを除く）
2. (イ)ＯＳを含むソフトウェア等のアップデートを適切に設定し、必要な更新を行います。
3. (ウ)ウェブサイトを閲覧する際には、マルウェアに感染しないために、業務上必要な範囲を超えての不必要なサイトの閲覧又はファイルのダウンロードはいたしません。
3. ③ハードウェア
1. (ア)ファイアウォールの設定、セキュリティ対策ソフトのインストール等の適切な防御措置を施して、それを最新の状態に保ち、定期的にチェックを行います。
2. (イ)ネットワーク機器、複合機等のファームウェア等のアップデートを適切に設定し、必要な更新を行います。
3. (ウ)ハードウェアでもパスワードの設定等アクセス制御の機能がある場合は、必要に応じて第三者から容易に推測されない適切な強度のパスワード等を設定する等の措置を講じます。
4. (エ)取扱情報にアクセスできるルータ、ノートパソコン、スマートフォン等のハードウェアを、アクセス制御がなされていない状態で取扱情報へのアクセスが許容されない第三者に使用させません。
5. (オ)ハードウェアに対し外部からインターネットを経由したアクセスを許す場合に、通信の暗号化及び秘匿化、ＩＤとパスワードの設定等によるアクセス制御を行い、第三者に情報が漏えいしないようにします。
6. (カ)サーバに格納したデータのバックアップを取り、4か月に一度はバックアップデータを元の情報機器から隔離して保管します。
7. (キ)事務職員等が業務用に貸与されたハードウェア以外の自己所有のスマートフォン等を業務で使用する場合は、あらかじめ当事務所の許可を得るものとし、使用に際しては本書に規定された安全管理措置と同等の対策を施すものとします。

3.情報のライフサイクル管理

(1)情報の受領・取得

1. ①受領・取得（総論）
   取扱情報の受領又は取得に関し、その方法又は利用する情報機器の特性に応じ、次の②から⑤までに掲げる対策を取り、情報セキュリティの維持に注意を払います。
2. ②受領（ＦＡＸ）
1. (ア)受信がいつでも確実に行われるように機器の整備を行います。
2. (イ)受信する機器の受信ログ取得機能をオンにして60日間残す設定を行います。
3. ③受領（郵便、宅配便）
1. (ア)郵便及び宅配便（以下「郵便等」という。）を受領するときは、みだりに配達人を執務室内に立ち入らせないようにする等、情報漏えいを防止する措置を講じます。
2. (イ)郵便受その他これに相当するものには、錠を付ける等、郵便等の破損又は持ち去りを可及的に防ぐための措置を講じます。
4. ④受領（電子メール）
1. (ア)電子メールを受信するコンピュータ又はソフトウェア（ＯＳを含む。）に対し、あらかじめマルウェア等による攻撃を防ぐためのソフトウェア等の適用を行います。
2. (イ)電子メールを受信した場合において、送信者（氏名、メールアドレス等）の表示、文面、文面に記載されたリンク、添付ファイルの名称及びファイル形式、メールソフトウェアの警告表示等を注意深く確認する等して、不審であると判断したときは、電子メール又は添付ファイルを安易に開かず、リンクを安易にクリックせずに、発信者に電話、ショートメッセージ等電子メールとは異なる方法で発信の有無、内容等を確認する等サイバー攻撃を回避する措置を講じます。
5. ⑤取得（撮影、録音又は録画）
1. (ア)スマートフォン、デジタルカメラ等の撮影、録音又は録画の機能を有する機器（以下「スマートフォン等」という。）により取扱情報を撮影、録音又は録画する方法により記録する場合、情報の漏えい及び拡散の防止を図るため、使用するスマートフォン等を紛失しないようにする、スマートフォン等のパスワード等を設定する等の措置を講じます。
2. (イ)スマートフォン等をネットワークに接続させるときは、ネットワーク上の第三者からもアクセスできる領域に、写真、動画等の取扱情報がアップロードされないよう適切に設定する等、記録した取扱情報の漏えいを防止する措置を講じます。
3. (ウ)スマートフォン等に格納された写真、動画等の取扱情報を、当該取扱情報の性質及び重要度に応じて、適時に、サーバ等の安全な格納場所に移して保管します。

(2)情報の保管

1. ①保管（紙媒体記録等）
1. (ア)紙媒体記録等（取扱情報が記載された紙その他の有体物。以下同じ。）を第三者からのアクセスを適切に制御できる場所に保管し、容易に第三者が紙媒体記録等の内容を認識できる場所に放置しない等、紙媒体記録等の漏えい、改ざん及び紛失を防止するための措置を講じます。
2. (イ)紙媒体記録等の紛失又は漏えいを防止するため、紙媒体記録等に含まれる情報の秘匿の必要性に応じて、適切な保管場所及び保管方法を選択します。
2. ②保管（データ）
   データの性質等に応じて必要な場合は、当該データ又はフォルダにアクセスできる者をＩＤ、パスワード等により制限する等、データの漏えい、改ざん及び紛失を防止するための適切な措置を講じます。
3. ③保管（モバイル機器）
   モバイル機器（持ち運びが容易なＵＳＢメモリ、スマートフォン、タブレット、ノートパソコン等の情報機器）に格納して取扱情報を取り扱うときは、イのデータの保管に関する措置を講ずるほか、取扱情報及び使用するモバイル機器の特性に応じて、特に以下で定める措置を講じます。
1. (ア)モバイル機器に保存する目的を超えてデータをモバイル機器に格納しません。また、その格納する必要がなくなったときは、速やかにモバイル機器から当該データを消去します。
2. (イ)データをモバイル機器に格納して外部に持ち出すときは、個別のデータ又はモバイル機器全体にパスワードの設定、暗号化その他データの漏えいを防止する措置を講じます。
3. (ウ)モバイル機器の所在を常に把握する等モバイル機器について適切な管理を行い、遠隔操作によるデータの消去が可能な場合はその設定を行っておく等の相当な措置を講じます。
4. ④保管（外部サービス）
1. (ア)外部サービス（ファイル転送、クラウドストレージ、メッセージ交換等）を用いてデータを取り扱うときは、当該外部サービスの信頼性を十分に吟味し、外部サービスの利用により守秘義務違反を招かないように注意します。
2. (イ)外部サービスの利用を停止するときは、当該外部サービスで保管しているデータを確実に消去します。

(3)情報の発信・交付等

1. ①発信・交付（総論）
   取扱情報を発信する際には、宛先違い及び内容違いがないか確認します。
2. ②発信（ＦＡＸ）
1. (ア)繰り返し送信することが予定される送信先については、当該送信先のＦＡＸ番号をあらかじめ登録します。
2. (イ)取扱情報をＦＡＸで送信したときは、送信記録を作成して保管します。
3. ③発信（電子メール等）
1. (ア)電子メール、携帯電話又はスマートフォンのショートメッセージ、ＳＮＳのメッセージツール等インターネット経由の送信方法（以下「電子メール等」という。）により、その性質上漏えいにより深刻な結果を招くおそれのある取扱情報を発信する場合は、宛先違い、内容違いがないか十分に確認し、できるだけ安全な方法を選択します。
2. (イ)複数の宛先に電子メールを送信するために同報送信機能を利用する場合は、電子メールアドレスが個人情報に該当する場合があることに留意しつつ、ｃｃ（カーボン・コピー）機能とｂｃｃ（ブラインド・カーボン・コピー）機能を適切に使い分けます。
4. ④発信（ＳＮＳ）
   情報主体の承諾なく、公衆に向けて送信するＳＮＳにおいて取扱情報及びこれを推知させる情報を書き込みません。
5. ⑤交付
   取扱情報が記載又は記録された文書又は物品を交付（直接対面で渡すこと）する場合は、受領者の権限を確認した上で交付するものとし、受領証を取り付ける等当該文書又は物品の交付の事実及び受領者を確認できる措置を講じます。
6. ⑥マスキング
   取扱情報の一部にマスキングを施して相手方当事者や第三者に提示する場合は、開示すべきでない情報を確実にマスキングするよう注意します。特に、画像、ＰＤＦ又は文書ファイル等のデータを加工してマスキングするときは、提出先においてマスキングを除去することができないよう注意します。

(4)情報の持ち出し・複製

1. ①持ち出し
   紙媒体記録等及び取扱情報を格納したモバイル機器を必要な範囲を超えて外部に持ち出しません。
2. ②複製（紙媒体記録等のデータ化を含む。）
1. (ア)取扱情報を必要な範囲を超えて複製しません。
2. (イ)情報漏えい及び目的外利用の危険を考慮し、複製の可否及び範囲を慎重に判断します。
3. (ウ)複製物を適切に管理し、紛失の防止に必要な措置を講じます。

(5)情報の廃棄・返還

1. ①廃棄（総論）
1. (ア)保有する必要のない取扱情報は、速やかに廃棄します。
2. (イ)取扱情報を廃棄する場合は、廃棄の可否を慎重に判断し、誤って必要なデータを廃棄しないように注意します。
3. (ウ)取扱情報の廃棄を専門業者等に委託する際には、委託先が守秘義務を負っていること及び廃棄方法の適切さ等を確認する等して、委託先から取扱情報が漏えいすることを防ぐ措置を講じます。
4. (エ)外部業者に委託して廃棄したとき（例えば、業者に委託して紙媒体記録等を溶解したとき、業者に委託してパソコン、モバイル機器等のデータを消去したとき等）は、廃棄した取扱情報の概要、廃棄の時期、廃棄に際して講じた措置等を記録し、適切な期間保管します。
2. ②廃棄（紙媒体記録等）
1. (ア)取扱情報が記載された紙媒体記録等を廃棄するときは、漏えいを防止するためシュレッダによる裁断、溶解処理等の措置を講じます。溶解処理を委託する場合には、受託業者に守秘義務を負わせます。
2. (イ)取扱情報が記載された紙媒体記録等の裏面に印刷をして、他事件の記録への編綴、ＦＡＸ送信等をしません。
3. ③廃棄（データ）
   取扱情報に該当するデータが格納されている電子媒体を廃棄するときは、消去ソフトウェアを利用する、破壊処理を行います。等データを読み取ることを不可能とする等の措置を講じます。
4. ④返還
   情報主体から預かった書類又は物品を返還するときは、必要に応じて、返還する書類又は物品の内容を確認して記録し、その返還記録を適切に保管します。

(6)会議・期日出席

1. ①総論
   会議又は期日等（以下「会議等」という。）に際して、取扱情報が漏えいしないよう、盗み見、盗み聞きができない環境・設備で会議を実施し、以下で定める措置その他の相当な措置を講じます。
1. (ア)会議等から離席するときは、取扱情報が記載され又は記録された物品を、施錠又は監視等の情報セキュリティを保持する措置が講じられていない会議室内に放置しません。
2. (イ)会議等に際して、ホワイトボード等に取扱情報を記載したときは、当該取扱情報の保存の要否を確認し、保存を要するときは撮影その他の適宜の方法により保存した上で、ホワイトボード等の記載を確実に消去します。
3. (ウ)会議等に際して、ディスプレイ等で取扱情報を表示するときは、表示するべきでない取扱情報が表示されないようにします。
2. ②期日
1. (ア)期日への出席に際して、その性質上漏えいにより深刻な結果を招くおそれのある取扱情報が第三者の目に触れないように適切な措置を講じます。
2. (イ)期日への出席に際して、持参した証拠の原本を紛失しないよう適切な措置を講じます。
3. ③ウェブ会議
1. (ア)取扱情報にアクセスさせることが適切でない第三者との関係で、盗み見、盗み聞き、背景の映り込み、周囲での会話等により取扱情報の漏えいが発生しない環境及び設備でウェブ会議に出席します。
2. (イ)ウェブ会議の参加者の中に出席が予定されていない者が紛れ込んでいないかを、可能な範囲で確認します。
3. (ウ)ウェブ会議が許された者以外によって録音又は録画されないような措置（ウェブ会議ソフトウェアの録音・録画機能の停止等）を可能な範囲で講じます。
4. (エ)ウェブ会議において画面共有により取扱情報を共有するときは、表示するべきでない取扱情報が表示されないようにします。

4.点検及び改善

1. ①情報セキュリティ管理者は、毎年４月に、基本的な取扱方法の実施状況に関する点検の計画を立案し、各弁護士及び事務職員等に点検を行います。
2. ②前号の点検の結果、基本的な取扱方法が有効に実施されていないことが分かった場合は、その原因を特定し、改善計画を立案し、必要がある場合は基本的な取扱方法を改訂します。

5.漏えい等事故が発生した場合の対応

1. ①取扱情報の漏えい、滅失、毀損等の事故（以下「漏えい等事故」という。）が発生した場合には、情報セキュリティ管理者がその対応を指揮し、弁護士及び事務職員等の役割分担を決定します。
2. ②漏えい等事故が発生した場合、発見者は、情報セキュリティ管理者に対し、速やかに報告し、指示を仰ぎます。
3. ③原因を調査し、情報主体への連絡、マルウェアに感染した情報機器の停止若しくはネットワークからの遮断又はセキュリティ対策ソフトウェアによる検査若しくは駆除等の応急措置を実行します。
4. ④必要に応じ、外部の情報セキュリティの専門家等の助言又は補助を得ます。
5. ⑤調査の結果判明した原因についての対策を実行します。
6. ⑥情報セキュリティ管理補助者は、前各号の措置を講ずるに際し、情報セキュリティ管理者を補助し、情報セキュリティ管理者が不在の場合は、情報セキュリティ管理者に代わって、そのなすべき措置を講じます。

2024年6月1日施行