1
別紙３
PMDA セキュアメール ID 電子証明書発行サービス利用規則
目 次 第1章 はじめに（第 1 条～第 3 条） 第2章 利用企業の遵守事項（第 4 条～第 9 条） 第3章 利用者の遵守事項（第 10 条～第 16 条） 第4章 機構の保証と保証の制限（第 17 条～第 18 条） 第5章 その他の事項（第 19 条～第 34 条） 第1 章 はじめに 第1 条 文書の定義と適用 独立行政法人医薬品医療機器総合機構（以下「機構」といいます。）は、医薬品及び医療 機器の審査等の業務において、機構と当該申請を行う企業との間で審査に関する情報をは じめ様々な情報をやりとりしています。これらの情報の中には、申請に係る情報の他、申 請企業に関する情報も含まれています。 機構では、申請企業との間で電子メールにより情報を安全に効率的に交換できるように することを目的とし、電子メール（S/MIME）の暗号化に用いる電子証明書を発行するサー ビスを提供します。このサービスを「PMDA セキュアメール ID 電子証明書発行サービス 」 （以下「本サービス」といいます。）と呼びます。S/MIME とは、電子メールに対して暗号 化及び電子署名の機能を付加するための国際的な標準規格です。 本規則は、法人又は個人を問わず、本サービスを利用する者（機構の業務に従事する者 を除きます。）の義務や責任、また本サービスによって機構が保証する内容を記載した規約 文書です。 機構は、機構が認める者に対して本サービスを提供します。本サービスを利用する者（機 構の業務に従事する者を除きます。）は、本規則の内容を理解し承諾した上で、本サービス を利用しなければなりません。本規則の内容を承諾できない者は、本サービスを利用して はなりません。 機構は、本サービスを実施する上で機構が行う各種運用ポリシーを「PMDA セキュアメ2 ールID 電子証明書発行サービス 認証業務運用規程」（以下「PMDA 運用規程」といいま す。）において定め、これを公開しています。本サービスを利用する全ての者は、本サービ スが、PMDA 運用規程に定められた各種運用ポリシーに従って運用されていることを理解 し、承諾しなければなりません。 第2 条 用語の定義 本規則では、次の用語を、以下の意味で利用します。
(1) 「シマンテック CPS」 シマンテック社が提供する「Symantec Managed PKI」サ ービスの認証業務運用規程。詳細については同社のホームページ等を参照1。 (2) 「PMDA 運用規程」 機構が定める「PMDA セキュアメール ID 電子証明書発行サ ービス 認証業務運用規程」。詳細については機構のホームページ等を参照2。 (3) 「CPS 等」 シマンテック CPS 及び PMDA 運用規程の両方を示す。 (4)「利用企業」 本サービスを利用する法人等の組織。 (5)「利用者」 本サービスによって電子証明書を発行される者。利用企業に所属し、暗 号化及び電子署名のため、自身の専用の秘密鍵を持つ。 (6) 「申請責任者」 利用企業の代表として本サービスに関する手続きを行う者。 (7) 「申請企業」 医薬品及び医療機器の承認審査等の業務において、機構に対し申請等 を行う法人。 (8) 「申請企業等」 申請企業及びその他機構が認める者の総称。 第3 条 電子証明書の適切な用途 本サービスにおいて機構が発行する電子証明書は、以下の用途で利用されることを目的 としています。 (1) 機構と申請企業等の間で交換される電子メールの暗号化 (2) 機構と申請企業等の間で交換される電子メールへの電子署名 第2 章 利用企業の順守事項 第4 条 申請責任者の登録 利用企業は、所属する者のうちから申請責任者を選任し、機構に登録しなければなりま せん。 2 利用企業は、虚偽の申告や虚偽の記載を行った書類を機構に提出してはなりません。 3 利用企業は、申請責任者の登録の申込みに際して、正確かつ最新の情報を機構に届け出 1 https://www.symauth.com/cps/ 2 http://www.pmda.go.jp/0051.html
3 なければなりません。登録後にも届出事項に変更があった場合には、所定の手続に従い、 速やかに機構に届け出ることにより、届出情報の正確性及び最新性の維持に努めなけれ ばなりません。 4 機構は、第 1 項又は前項の届出があった場合、利用企業が提出した書類について、所定 の方法により当該利用企業の審査を行います。機構が、利用企業からの届出を不適切と 判断した場合には、申請責任者の登録又は登録内容の変更を拒絶する場合があります。 第5 条 利用者の申請 利用企業は、電子証明書の発行を希望する利用者を、所定の手続に従い、機構に申請し なければなりません。 2 利用企業は、虚偽の申告や虚偽の記載を行った書類を機構に提出してはなりません。 3 利用企業が利用者として申請を行うことができる者は、当該企業に所属する者に限りま す。 4 利用企業は、利用者の申請を行った場合、当該申請に係る利用者に電子証明書の利用を 認めたこと及び申請書類に記載された事項が正確かつ最新の情報であることを機構に保 証しなければなりません。 第6 条 電子証明書の発行審査及び発行 機構は、電子証明書の発行審査に際し、申請内容について疑義が生じたときは、利用企 業に対して必要な資料の提出を求めることができるものとします。利用企業は、正当な理 由がない限り資料の提出を拒めないものとします。 2 利用企業は、機構が申請責任者及び利用者に付与した本人確認のための符号を、申請責 任者及び当該利用者に厳重に管理させるものとします。これらの情報を使用して発行申 請、電子証明書のダウンロード等が行われた場合、機構は、これらの行為が当該本人に より行われたものとみなして取り扱うことができるものとします。 第7 条 電子証明書の利用範囲（利用企業） 本サービスにより機構が発行する電子証明書は、第 3 条に規定する用途を目的としたも のです。利用者が第 3 条に規定する用途以外の用途に電子証明書を利用した場合、利用企 業は、機構が提供するサポートサービスの恩恵を享受できない可能性があることを理解し 承認しなければなりません。 2 機構は、本サービスにより発行した電子証明書を利用して作成された電子署名が付与さ れた電子データについて、利用企業が申請をした利用者本人が作成したものとみなして 取り扱うことができるものとします。 3 利用企業は、自組織に所属する電子証明書を利用して作成された電子署名について、利 用者が利用企業の所属者として行った行為であると機構又は第三者に理解されること、
4 当該行為について利用者及びその他の者に対して責任を負う可能性があることを十分認 識し、これを承諾した上で利用者に電子証明書を利用させるものとします。 第8 条 電子証明書の失効（利用企業） 利用企業は、以下の各号に定める事由が生じた場合、機構が別途定める手続きに従って、 遅滞なく、機構に電子証明書の失効の申請を行うものとします。ただし、電子証明書の失 効の申請が、利用者自身によって既に実施済みである場合を除きます。 (1) 利用者の秘密鍵が危殆化した場合、若しくはその恐れがある場合 (2) 利用者が電子証明書の利用を終了する場合 (3) 利用者が、人事異動、退職等により、電子証明書を利用する業務から離れた場合 (4) 利用者の登録に際して申請した重要な事実（情報）に誤りが含まれていた場合 (5) 電子証明書に記載された情報に誤りがある場合 (6) 電子証明書に記載された情報に変更が発生した場合 (7) 利用者が、本規則に違反したと信じられる場合 2 利用者の秘密鍵が危殆化したなどの理由により、電子証明書を早急に失効する必要があ ると考える場合、利用企業は利用者に指示し、機構が別途指定する方法により、当該電 子証明書の失効の申請をオンラインで行わせなければなりません。ただし、次項に定め る場合を除きます。 3 利用企業は、やむを得ない事由により前項のオンラインによる失効申請のサービスを利 用しない場合、機構が別途定める方法によって、電子証明書の失効を申請することがで きます。この場合において、機構が行う当該処理に要する時間（当該電子証明書の失効 情報が掲載された CRL が公開されるまでに必要な時間をいいます。）は、前項の方法に よる場合よりもはるかに大きなものとなる可能性があることを理解し、承諾しなければ なりません。 4 利用企業は、電子証明書の失効申請を自ら行った場合はその時点から、その他の事由に より電子証明書を失効された場合は失効を知った時点から、利用者に対して、当該電子 証明書の利用を停止させなければなりません。 第9 条 申請責任者及び利用者の管理統制 利用企業は、本規則に定める申請責任者及び利用者の義務及び責任について、自組織に 所属する当該者が誠実に実施するように、これらの者を管理統制する義務と責任を有しま す。 第3 章 利用者の順守事項
5 第10 条 電子証明書の申請 利用者は電子証明書の利用の申請にあたり、利用企業と協力のもと、機構が別途定める 手続きに従って、必要な書類及びデータを、機構に提出しなければなりません。 2 利用者は、虚偽の申告や虚偽の記載を含んだ書類及びデータを機構に提出してはなりま せん。 3 機構は、電子証明書の発行申請書類を受理した後、本人確認のためのパスコードを記載 した発行申請承認通知を当該利用者及び利用企業の申請責任者に各々電子メールにて送 付します。利用者は、当該電子メールの送付日より20 日以内にパスコードを使用してオ ンラインにて電子証明書の発行申請を行わなければなりません。 4 利用者は、電子証明書のオンラインでの申請時において、当該電子証明書の失効に利用 するためのチャレンジフレーズを機構に登録しなければなりません。利用者は、登録を 行ったチャレンジフレーズを、厳重に管理するものとします。チャレンジフレーズによ って電子証明書の失効の申請が行われた場合、機構は、当該申請が、利用者本人により 実施されたものとみなします。 第11 条 電子証明書の利用範囲（利用者） 本サービスにより機構が発行する電子証明書は、第 3 条に規定する用途を目的としたも のです。利用者が第 3 条に規定する用途以外の用途に電子証明書を利用した場合、利用者 は、機構が提供するサポートサービスの恩恵を享受できない可能性があることを理解し承 認しなければなりません。 第12 条 電子証明書の効果についての理解と秘密鍵の保護 電子証明書を利用し作成された電子署名は、自署や押印に相当する法的効果が認められ 得るものです。利用者は、電子署名の効果について十分に理解した上で、本サービスを利 用しなければなりません。 2 機構は、本サービスにより発行された電子証明書を利用して作成された電子署名が付与 された電子データについて、利用者本人が作成したものとみなして取り扱うことができ るものとします。 3 利用者は、自身の意思と一致しない電子署名が作成されることを避けるため、自身の秘 密鍵が他人に使用されないように十分な管理を行わなければなりません。利用者は、自 身の秘密鍵が記録された装置を適切に管理し、秘密鍵の複製などが行われないように安 全に保護する義務があります。 第13 条 電子証明書の有効期間と利用の制限 電子証明書の有効期間の開始日と終了日は、当該電子証明書上に記載されています。電 子証明書の有効期間が満了した後、又は電子証明書が失効された場合、利用者は当該電子
6 証明書を利用してはなりません。 第14 条 電子証明書の失効 利用者は、以下の各号に定める事由が生じた場合、機構が別途定める手続きに従って、 遅滞なく、機構に電子証明書の失効の申請を行うものとします。ただし、電子証明書の失 効の申請が、利用者の所属する利用企業によって既に実施済みである場合を除きます。 (1) 利用者の秘密鍵が危殆化した場合、若しくはその恐れがある場合 (2) 利用者が電子証明書の利用を終了する場合 (3) 利用者が、人事異動、退職等により、電子証明書を利用する業務から離れた場合 (4) 利用者の登録に際して申請した重要な事実（情報）に誤りが含まれていた場合 (5) 電子証明書に記載された情報に誤りがある場合 (6) 電子証明書に記載された情報に変更が発生した場合 (7) 利用者が、本規則に違反した場合 2 利用者の秘密鍵が危殆化したなどの理由により、利用企業又は利用者が電子証明書を早 急に失効する必要があると考える場合、利用者は、利用企業の指示に基づき、又は自ら の判断により、機構が別途指定する方法を用いて、当該電子証明書の失効の申請をオン ラインで行わなければなりません。ただし、次項に定める場合を除きます。 3 利用者は、やむを得ない事由により前項のオンラインによる失効申請のサービスを利用 しない場合、機構が別途定める方法によって、利用企業と協力し電子証明書の失効を申 請することができます。ただし、この場合において、機構が行う当該処理に要する時間 （当該電子証明書の失効情報が掲載されたCRL が公開されるまでに必要な時間をいいま す。）は、前項の方法よりもはるかに大きなものとなる可能性があることを理解し、承諾 しなければなりません。 4 利用者は、電子証明書の失効申請を自ら行った場合はその時点から、その他の事由によ り電子証明書を失効された場合は失効を知った時点から、失効された電子証明書を他人 に対して提示したり、その他の方法で利用してはならないものとします。 第15 条 電子証明書の失効権限の付与 利用者は、発行された電子証明書の失効を申請する権利を、自身が所属する利用企業に 付与することに同意するものとします。 2 機構は、利用企業から電子証明書の失効の申請が行われた場合、別途定める手続きに従 って、これを処理し実施するものとします。 第16 条 個人情報の利用への同意 利用者は、第30 条に規定する本サービスにおける個人情報の利用の方法について同意し なければなりません。
7 第4 章 機構の保証と保証の制限 第17 条 機構の保証 機構は、利用者及び利用企業に対して、以下の各号の内容を保証します。 (1) 利用者の電子証明書に掲載される情報には、機構が、電子証明書の申請書の取り扱い 又は電子証明書の生成過程において相当な注意を払わなかったことにより生じた誤り が含まれないこと。 (2) 利用者の電子証明書は、すべての重要な事項において、CPS 等に準拠していること。 (3) 機構が提供する電子証明書の失効サービスが、すべての重要な点において、CPS 等に 準拠していること。 第18 条 保証の排除、免責、責任の制限 利用者及び利用企業は、本サービスを自己の責任において利用することに同意しなけれ ばなりません。 2 機構は、前条で定める保証を除き、第 3 条に規定する用途以外の用途への適合性を含む いかなる保証も行いません。 3 機構は、利用者及び利用企業が第三者から購入する製品・サービスについて、一切の保 証を行いません。 4 利用者又は利用企業が本規則に定める義務及び保証を順守しなかった場合、当該利用者 又は当該利用企業に対して、機構は一切の保証を行いません。 5 利用者又は利用企業が、本サービスに関し、請求、訴訟、仲裁その他の法的手続きを開 始した場合、利用者、利用企業又は第三者が電子証明書の使用又は電子証明書への依拠 により被った損害について、機構が負担することのある損害賠償額の上限は、別途定め られた場合を除き、本サービスの利用にあたり当該利用者又は当該利用企業が機構に支 払った金額を超えないものとします。 第5 章 その他の事項 第19 条 電子証明書の失効の権利 機構は、CPS 等に利用者証明書の取消し事由として定められたいずれかが発生した場合、 当該電子証明書を失効させることができるものとします。 2 機構は、前項の規定に従い、利用者又は利用企業からの申請を受けずに電子証明書を失 効させた場合、遅滞なく、機構が別途定める方法により利用者及び利用企業にその旨及
8 び理由を通知するものとします。ただし、通知が不可能又は困難な場合はこの限りでは ありません。 第20 条 電子証明書の有効期間 電子証明書の有効期間は 366 日とします。有効期間の開始日及び終了日は電子証明書に 記載されたとおりとします。 第21 条 料金 本サービスの利用料金は、機構が別途定めるものとします。 第22 条 サービスの一次的な休止 機構は、本サービスの提供用設備に定期的な保守等を行うに当たり、必要な場合には、 一時的に本サービスの全部又は一部を停止できるものとします。 2 機構は、以下の各号に定める事由のいずれかが発生したときは、利用者及び利用企業に 事前に通知することなく、一時的に本サービスの全部又は一部を停止できるものとしま す。 (1) 機構が利用する本サービスの提供用設備に緊急の保守が必要な場合 (2) 火災、停電、天変地異（地震、水害等）、戦争、暴動、労働争議等により、本サービ スの全部又は一部の提供が不能又は困難となった場合 (3) 電気通信事業者が本サービスの提供に必要な電気通信サービスを中断又は中止した 場合 (4) 前 3 号に掲げるもののほか、技術上又は運用上の理由により、機構が必要であると判 断した場合 3 機構は、前 2 項に定める本サービスの停止により発生する損害について一切の責任を負 わないものとします。 第23 条 業務の廃止 機構は、本サービスに関する業務を廃止する場合、利用者及び利用企業に対して廃止す る日の30 日前までに通知します。ただし、緊急時等やむを得ない事由がある場合には、機 構はこの期間を短縮し、又は事後に通知することができるものとします。 2 機構は本サービスに関する業務を廃止する場合、当該業務を廃止する日までに、利用者 に発行した電子証明書について失効を行う場合があります。 第24 条 禁止事項 利用者及び利用企業は、次の各号のいずれかに該当する行為又は該当するおそれのある 行為を行ってはならないものとします。
9 (1) 法令に違反する行為 (2) 本サービスの運営を妨げ、又は機構の信用を毀損する行為 (3) 本サービスの他の利用者又は依拠当事者に不当に不利益を及ぼす行為 (4) 他人名義又は架空名義により本サービスを利用する行為 (5) 前 4 号に掲げるもののほか、機構が利用企業又は利用者の行為として不適切であると 認めた行為 第25 条 損害賠償 利用者、申請責任者及び利用企業は、本規則に違反し、又はその他の故意若しくは過失 により直接、間接を問わず機構に損害を被らせた場合には、その損害の賠償責任を負うも のとします。 2 利用企業は、前項に規定する利用者又は申請責任者が負う賠償責任について連帯して負 うものとします。 第26 条 権利譲渡等の禁止 利用者及び利用企業は、本規則で定める地位又はこれに基づく権利若しくは義務のいか なる一部についても、これを第三者に譲渡し、又は担保を設定する等一切の処分を行って はならないものとします。 第27 条 知的財産権 本サービスに関する各種マニュアル、本規則、PMDA 運用規程等についての著作権その 他一切の知的財産権は機構に留保され、本規則に基づく利用契約の締結の有無にかかわら ず、利用者及び利用企業には移転又は帰属しないものとします。ただし、別途定められた 場合を除きます。 第28 条 解除 機構は、利用者が本規則に違反した場合には、利用者に何らの催告をせず直ちに本規則 に基づく機構と利用者との契約を解除できるものとします。 2 機構は、以下の各号に定める事由のいずれかが発生した場合は、利用者及び利用企業に 催告をせず直ちに本規則に基づき機構と利用企業との契約を解除できるものとします。 (1) 利用企業が本規則に違反したとき。 (2) 利用企業に所属する利用者が本規則に違反したとき。 (3) 利用企業について支払の停止又は破産、民事再生手続開始、会社更正手続開始、会社 整理開始若しくは特別清算開始の申立てがあったとき。 (4) 利用企業が手形交換所の取引停止処分を受けたとき。 (5) 利用企業の財産について、仮差押え、保全差押え、強制執行、担保権の実行又は公租
10 公課の滞納処分がなされたとき。 (6) 利用企業が廃業又は解散したとき。 3 前項に基づき契約が解除された場合、機構は当該利用企業に所属する利用者全員の電子 証明書を失効させることができるものとします。 4 第 2 項各号の事由に起因して機構が損害を被った場合、利用企業はこれを賠償するもの とします。 第29 条 通知及び公表 機構から利用者及び利用企業への本サービス等の変更等に関わる通知は、書面の送付又 はホームページへの掲載など、機構が適当と判断した方法により行ないます。 2 機構は、本規則その他の本サービスを利用するにあたって必要又は重要な情報をリポジ トリにおいて公開します。利用者及び利用企業は、定期的にリポジトリを閲覧してこれ ら の情 報を取 得す るもの とし ます。 リポ ジトリ につ いては 、機 構のホ ーム ペ ー ジ （http://www.pmda.go.jp/）等を参照ください。 第30 条 個人情報と組織情報の取り扱い 機構は、利用者及び利用企業から機構に提供される利用者の個人情報（氏名その他利用 者個人を特定できる情報をいいます。以下同じ。）及び利用企業についての情報を適切に管 理し、本サービスに必要な限りでこれを使用します。 2 利用者及び利用企業が機構に提出した情報のうち、利用企業（アルファベット表記）、 利用者の氏名（アルファベット表記）、利用者の電子メールアドレスは、利用者の電子証 明書に記載されます。電子証明書はリポジトリに登録され公開される場合があります。 また、電子証明書のステータスに関する情報（電子証明書の失効情報等）は、リポジト リに掲載され公開されます。 3 機構が、利用者より当該利用者の個人情報の開示を求められた場合は、『独立行政法人 医薬品医療機器総合機構の電磁的記録たる保有個人情報の開示の方法及び保有個人情報 開示手数料を定める規程』に基づき処理を行います。個人情報の開示に関する連絡先に ついては機構ホームページ（http://www.pmda.go.jp/）を参照してください。 第31 条 準拠法及び管轄裁判所 本規則及び本規則に基づく契約の成立、解釈及び履行等は全て日本法に準拠し、本サー ビスに関する一切の紛争については、東京地方裁判所を第一審の専属的合意管轄裁判所と します。 第32 条 協議 本規則に定めのない事項、又は本規則の条項の解釈についての疑義等が生じた場合は、
11 訴訟に先立ち、機構と利用者及び利用企業が協議の上、円満な解決を図るものとします。 第33 条 有効性 利用者は、機構に電子証明書の申請を行う時点から、当該利用者に発行された電子証明 書の有効期間が満了するまでの間又は電子証明書が失効されるまでの間、本規則に定めら れるすべての利用者の義務及び保証の内容について、実施しなければなりません。また、 電子証明書の有効期間が満了した後、又は電子証明書が失効された後においても、第12 条、 第13 条、第 16 条、第 24 条から第 27 条まで、第 30 条から第 32 条までの内容は有効なも のとします。 2 利用企業は、機構に申請責任者の申請を行う時点から、機構が申請責任者の登録の取消 しを実施するまでの間、本規則に定めるすべての利用企業の義務及び保証の内容につい て、これを実施しなければなりません。前記の取り消しが行われた場合であっても、当 該企業に所属する利用者に発行された電子証明書が有効な間（失効が行われず、有効期 間が満了していない間）は、本規則に定められた全ての事項を順守しなければなりませ ん。また、申請責任者の取り消しが行われ、かつ当該企業に所属する利用者に発行され た全ての電子証明書が有効ではなくなった場合であっても、第 9 条、第 24 条から第 27 条まで、第30 条から第 32 条までの内容は有効なものとします。 第34 条 本規則の変更 機構は、必要に応じて本規則を変更できるものとし、利用者及び利用企業は、予めこれ を承諾するものとします。 2 機構は、前項に基づく変更を行った場合、機構の判断により変更後の本規則を利用企業 に書面送付により通知するとともにリポジトリに掲載します。ただし軽微な変更の場合 にはリポジトリへの掲載のみを行います。利用者及び利用企業は、本規則に基づく契約 の締結後に変更が行われた場合であっても、かかる通知又はリポジトリ掲載後は変更後 の本規則が適用されることに同意するものとします。 平成27 年 9 月 18 日 制定 平成27 年 9 月 18 日 施行
