○広島県公立大学法人における個人情報の管理に関する規程
平成19年4月1日
法人規程第7号
目次
第1章 総則(第1条?第2条)
第2章 管理体制(第3条～第8条)
第3章 教職員等の責務(第9条)
第4章 保有個人情報の取扱い(第10条～第17条)
第5章 開示、訂正及び利用停止(第18条～第18条の5)
第6章 情報システムにおける安全の確保等(第19条～第29条)
第7章 情報システム室等の安全管理(第30条?第31条)
第8章 学術研究目的での取扱い(第31条の2)
第9章 個人情報ファイル(第31条の3?第31条の4)
第10章 安全確保上の問題への対応(第32条?第33条)
第11章 点検の実施(第34条?第35条)
第12章 補則(第36条?第37条)
第1章 総則
(趣旨)
第1条 この規程は、広島県公立大学法人(以下「法人」という。)における個人情報の保護に関する法律(平成15年法律第57号。以下「法」という。)、行政手続における特定の個人を識別するための番号の利用等に関する法律(平成25年法律第27号。以下「番号法」という。)の施行に関し必要な措置等について定めるものとする。
(定義)
第2条 この規定で使用する用語は、次に定めるもののほか、法及び番号法で使用する用語の例による。
2 「学部等」とは、法人、県立広島大学及び叡啓大学に置く学部?専攻科?研究科、高等教育推進機構、大学教育実践センター、地域基盤研究機構、コンピテンシー?ディベロップメントセンター、産学官連携?研究推進センター、本部学術情報センター、本部国際交流センター、デジタルリテラシー事業推進本部、広島県公立大学法人組織規程(平成19年法人規程第12号)第12条第2項に規定する本部(以下「本部」という。)及び同条第3項に規定する事務部をいう。
3 「教職員等」とは、教職員及び非常勤職員等の法人に勤務する者をいう。
第2章 管理体制
(総括保護管理者)
第3条 法人に、総括保護管理者1人を置く。
2 総括保護管理者は、総務担当理事をもって充てる。
3 総括保護管理者は、法人における保有個人情報(個人番号を含む。以下同じ。)の管理に関する事務を総括する。
(保護管理者)
第4条 学部等に保護管理者を置き、当該学部等の長(本部においては事務局次長)をもって充てる。
(保護担当者)
第5条 各所属に保護担当者1人(事務の遂行上必要と認められる場合にあっては複数人)を置く。
2 保護担当者は、保護管理者が指定する職にある者をもって充てる。
3 保護担当者は、保護管理者を補佐し、学部等における保有個人情報の管理に関する事務を行う。
(保護監査責任者)
第6条 法人に保護監査責任者を置く。
2 保護監査責任者は、監事をもって充てる。
3 保護監査責任者は、必要があると認めるときは、法人における保有個人情報の管理状況を監査する。
(保有特定個人情報の管理体制の整備)
第6条の2 保護管理者は、特定個人情報を取り扱う事務を行う場合には、当該特定個人情報を取り扱う教職員等(以下「特定個人情報取扱担当者」という。)並びに各特定個人情報取扱担当者の役割及び取り扱う特定個人情報の範囲を指定する。
2 保護管理者は、特定個人情報を取り扱う事務を行う場合には、次に掲げる措置を講じるものとする。
(1) 特定個人情報を取り扱う事務の流れを整理し、特定個人情報の具体的な取扱方法を整理すること。
(2) 特定個人情報取扱担当者が番号法、その他関係する法令及び要綱等に違反している事実又は兆候を把握した場合の所属内及び関係先への報告連絡体制を整備すること。
(3) 保有特定個人情報の漏えい、滅失又はき損(以下「漏えい等」という。)その他安全確保の上で問題となると思料する事案の発生又は兆候を把握した場合の所属内及び関係先への報告連絡体制を整備すること。
(4) 保有特定個人情報の漏えい等安全確保の上で問題となると思料する事案の発生又は兆候を把握した場合の所属内における対応体制を整備すること。
3 保護管理者は、特定個人情報を複数の部署で取り扱う場合には、関係する部署の保護管理者と協議し、各所属の任務分担及び責任を明確化するものとする。
(統括部署)
第7条 本部総務課は、総括保護管理者の指示の下、保有個人情報の管理の総括に関する事務を行う。
2 本部戦略推進課は、総括保護管理者の指示の下、情報システムの管理の総括に関する事務を行う。
(研修)
第8条 総括保護管理者は、保有個人情報の取扱いに従事する教職員等(派遣労働者を含む。以下同じ。)に対し、保有個人情報の取扱いについて理解を深め、個人情報の保護に関する意識の高揚を図るための啓発その他必要な研修を行う。
2 総括保護管理者は、保有個人情報を取り扱う情報システムの管理に関する事務に従事する教職員等に対し、保有個人情報の適正な管理のため、情報システムの管理、運用及びセキュリティ対策に関して必要な研修を行う。
3 保護管理者は、所属の教職員等に対し、保有個人情報の適正な管理のため、総括保護管理者の実施する研修への参加の機会を付与する等の必要な措置を講じる。
第3章 教職員等の責務
(教職員等の責務)
第9条 教職員等は、法の趣旨にのっとり、関連する法令及び要綱等の定め並びに総括保護管理者、保護管理者及び保護担当者の指示に従い、保有個人情報を取り扱わなければならない。
第4章 保有個人情報の取扱い
(アクセス制限)
第10条 保護管理者は、保有個人情報の重要度に応じて、当該保有個人情報にアクセス(情報に接する行為をいう。以下同じ。)する権限(以下「アクセス権限」という。)を有する教職員等及びその権限の内容を、当該保有個人情報を取り扱う事務の目的を達成するために必要最小限の範囲に限定するものとする。
2 アクセス権限を有しない教職員等は、保有個人情報にアクセスしてはならない。
3 教職員等は、アクセス権限を有する場合であっても、職務上の目的以外の目的で保有個人情報にアクセスしてはならない。
(複製等の制限)
第11条 教職員等が職務上の目的で保有個人情報を取り扱う場合であっても、保護管理者は、当該保有個人情報の重要度に応じて、次に掲げる行為を行うことができる場合を限定し、教職員等は、保護管理者の指示に従い当該行為を行うものとする。
(1) 保有個人情報の複製
(2) 保有個人情報の送信
(3) 保有個人情報が記録されている媒体の外部への送付又は持出し
(4) 前3号に掲げるもののほか、保有個人情報の適正な管理に支障を及ぼすおそれのある行為として保護管理者が定めるもの
(誤りの訂正等)
第12条 教職員等は、保有個人情報の内容に誤り等を発見した場合には、保護管理者の指示に従い、訂正等を行うものとする。
(媒体の管理等)
第13条 教職員等は、保護管理者の指示に従い、保有個人情報が記録されている媒体を定められた場所に保管するとともに、必要があると認めるときは、保管場所の施錠等保有個人情報の漏えい等を防止するための措置を講じるものとする。
(廃棄等)
第14条 教職員等は、保有個人情報又は保有個人情報が記録されている媒体(端末機器及びサーバに内蔵されているものを含む。)が不要となった場合には、保護管理者の指示に従い、当該保有個人情報の復元又は判読が不可能な方法により当該情報の消去又は当該媒体の廃棄を行うものとする。
2 保護管理者は、委託により廃棄等を行う場合は、教職員等の立会い等必要な措置を講じるものとする。
(保有個人情報の取扱状況の記録)
第15条 保護管理者は、保有個人情報(保有特定個人情報を除く。)の重要度に応じて、台帳等を整備し、当該保有個人情報の利用、保管等の取扱いの状況について記録するものとする。
2 保護管理者は、特定個人情報ファイルを取り扱う事務を行う場合には、特定個人情報ファイルの取扱状況を確認する手段を整備して、特定個人情報の利用、保管等の取扱いの状況について記録するものとする。
(個人番号の利用の制限)
第15条の2 保護管理者は、個人番号の利用に当たり、番号法があらかじめ限定的に定めた事務に限定するための措置を講じるものとする。
(個人番号の提供の求めの制限)
第15条の3 教職員等は、個人番号利用事務等を処理するために必要な場合その他番号法で定める場合を除き、個人番号の提供を求めてはならない。
(特定個人情報ファイルの作成の制限)
第15条の4 教職員等は、個人番号利用事務等を処理するために必要な場合その他番号法で定める場合を除き、特定個人情報ファイルを作成してはならない。
(特定個人情報の収集?保管の制限)
第15条の5 教職員等は、番号法第19条各号のいずれかに該当する場合を除き、他人の個人番号を含む個人情報を収集し、又は保管してはならない。
(取扱区域)
第15条の6 保護管理者は、保有特定個人情報を取り扱う事務を実施する区域(以下「取扱区域」という。)を明確にし、物理的な安全管理措置を講じるものとする。
(保有個人情報の提供)
第16条 保護管理者は、保有個人情報(保有特定個人情報を除く。)を法人以外のものに経常的に提供する場合には、次に掲げる措置を講じるものとする。
(1) 当該提供先における個人情報の使用目的、使用する業務の根拠法令、使用する個人情報の記録項目、使用形態、安全確保の措置等について確認すること。
(2) 必要があると認めるときは、提供前又は随時に実地の調査等を行うことにより、前号の措置状況を確認し、その結果を記録するとともに、所要の改善要求等を行うこと。
2 保護管理者は、番号法第19条各号のいずれかに該当する場合を除き、実施機関以外のものに保有特定個人情報が提供されないようにするための措置を講じるものとする。
(事務の委託等)
第17条 個人情報取扱事務を外部に委託する場合は、法令等に定めるもののほか、広島県個人情報取扱委託基準によるものとする。
2 個人情報の取扱いを伴う事務を派遣労働者によって行わせる場合には、労働者派遣契約書に秘密保持義務等個人情報の取扱いに関する事項を明記するものとする。
第5章 開示、訂正及び利用停止
(開示請求)
第18条 法第76条の規定に基づく保有個人情報の開示を請求する場合には、別途法人が定める開示請求書を提出して行わなければならない。
2 前項の開示請求書の提出に当たっては、法第77条第2項に定める書類の提示又は提出をしなければならない。
(手数料)
第18条の2 法第89条第7項の規定により納めなければならない手数料の区分及び金額は別表に定めるとおりとする。ただし、次に掲げる場合には、手数料を徴収しない。
(1) 法第82条第2項の決定をした場合
(2) その他理事長が認めた場合
(訂正)
第18条の3 法第90条の規定に基づく保有個人情報の訂正を請求する場合には、別途法人が定める訂正請求書を提出して行わなければならない。
2 前項の訂正請求書の提出に当たっては、法第91条第2項に定める書類の提示又は提出をしなければならない。
(利用停止請求)
第18条の4 法第98条の規定に基づく保有個人情報の利用の停止、消去又は提供の停止(以下この章において「利用停止」という。)を請求する場合には、別途法人が定める利用停止請求書を提出して行わなければならない。
2 前項の利用停止請求書の提出に当たっては、法第99条第2項に定める書類の提示又は提出をしなければならない。
(本人への保有個人情報の提供)
第18条の5 法人は、理事長が指定する保有個人情報を当該保有個人情報に係る本人又はその法定代理人に提供することができる。
2 前項の提供に当たっては、理事長が別途定める規定によるものとする。
第6章 情報システムにおける安全の確保等
(アクセス制御)
第19条 保護管理者は、保有個人情報(情報システムで取り扱うものに限る。以下この章及び次章において同じ。)の重要度に応じて、パスワード等(パスワード、ICカード、生体情報等をいう。以下同じ。)を使用して権限を識別する機能(以下「認証機能」という。)を設定する等の当該保有個人情報へのアクセスを制限するために必要な措置を講じるものとする。
2 保護管理者は、前項の措置を講じる場合には、パスワード等の管理に関する定めを整備(その定期又は随時の見直しを含む。)し、パスワード等の読取防止等を行うために必要な措置を講じるものとする。
(アクセス記録)
第20条 保護管理者は、保有個人情報(保有特定個人情報を除く。)の重要度に応じて、当該保有個人情報へのアクセスの状況を記録し、その記録(以下「アクセス記録」という。)を一定の期間保存し、及びアクセス記録を定期又は随時に分析するために必要な措置を講じるものとする。
2 保護管理者は、保有特定個人情報(情報システムで取り扱うものに限る。以下この章及び次章において同じ。)を取り扱う事務を行う場合には、当該保有特定個人情報へのアクセスの状況を記録し、アクセス記録を一定の期間保存し、定期に又は随時に分析するために必要な措置を講じるものとする。
3 保護管理者は、前2項に規定するアクセス記録の改ざん、窃取又は不正な消去の防止のために必要な措置を講じるものとする。
(管理者権限の設定)
第20条の2 保護管理者は、保有個人情報の重要度に応じて、情報システムの管理者権限の権限を不正に窃取された際の被害を最小化し、及び内部からの不正操作等を防止するため、当該権限を最小限とする等の必要な措置を講じるものとする。
(外部からの不正アクセスの防止)
第21条 保護管理者は、保有個人情報を取り扱う情報システムへの外部からの不正アクセスを防止するため、ファイアウォールの設定による経路制御等の必要な措置を講じるものとする。
(不正プログラムによる漏えい等の防止)
第22条 保護管理者は、不正プログラムによる保有個人情報の漏えい等の防止のため、ソフトウェアに関する公開された脆弱性の解消、把握された不正プログラムの感染防止等に必要な措置(導入したソフトウェアを常に最新の状態に保つことを含む。)を講じるものとする。
(情報システムにおける保有個人情報の処理)
第22条の2 教職員等は、保有個人情報について、一時的に加工等の処理を行うため複製等を行う場合には、対象とする情報を必要最小限にとどめ、処理終了後は不要となった情報を速やかに消去するものとする。
2 保護管理者は、保有個人情報の重要度に応じて、随時、前項の規定による消去等の実施状況を重点的に確認するものとする。
(暗号化)
第23条 保護管理者は、保有個人情報の重要度に応じて、その暗号化のために必要な措置を講じるものとする。
2 教職員等は、前項に規定する措置を踏まえ、取り扱う保有個人情報について、当該保有個人情報の重要度に応じて、適切なパスワードの設定その他の適切な暗号化を行うものとする。
(記録機能を有する機器?媒体の接続制限)
第23条の2 保護管理者は、保有個人情報の重要度に応じて、当該保有個人情報の漏えい等の防止のため、スマートフォン、USBメモリ等の記録機能を有する機器?媒体の情報システム端末等への接続制限(接続制限の機能を有する機器の更新への対応を含む。)等の必要な措置を講じるものとする。
(入力情報の照合等)
第24条 教職員等は、保有個人情報の重要度に応じて、入力原票と入力内容との照合、処理前後の当該保有個人情報の内容の確認、既存の保有個人情報との照合等を行うものとする。
(バックアップ)
第25条 保護管理者は、保有個人情報の重要度に応じて、バックアップを作成し、分散保管するために必要な措置を講じるものとする。
(情報システム設計書等の管理)
第26条 保護管理者は、保有個人情報に係る情報システムの設計書、構成図等の文書について外部に知られることがないよう、その保管、複製、廃棄等について必要な措置を講じるものとする。
(端末機器の限定)
第27条 保護管理者は、保有個人情報の重要度に応じて、当該保有個人情報の処理を行う端末機器を限定するために必要な措置を講じるものとする。
(端末機器の盗難防止等)
第28条 保護管理者は、端末機器の盗難又は紛失の防止のため、保有個人情報の重要度に応じて、端末機器の固定、執務室の施錠等の必要な措置を講じるものとする。
2 教職員等は、保護管理者が必要があると認めるときを除き、端末機器を外部へ持ち出し、又は外部から持ち込んではならない。
(閲覧防止)
第29条 教職員等は、端末機器の使用に当たっては、保有個人情報が当該教職員等以外の者に閲覧されることがないよう、使用状況に応じて情報システムからログオフを行うことを徹底する等の必要な措置を講じるものとする。
第7章 情報システム室等の安全管理
(入退室の管理)
第30条 保護管理者は、保有個人情報を取り扱う基幹的なサーバ等で保護管理者が指定する機器を設置する室(以下「情報システム室」という。)に入室する権限を有する者を定めるとともに、用件の確認、入退室の記録、部外者についての識別化、部外者が立ち入る場合の教職員等の立会い又は監視設備による監視、外部電磁的記録媒体等の持込み、利用及び持ち出しの制限又は検査等の措置を講じるものとする。また、保有個人情報を記録する媒体を保管するための施設(以下「保管施設」という。)を設けている場合においても、必要があると認めるときは、同様の措置を講じるものとする。
2 保護管理者は、情報システム室の出入口の特定化による入退室の管理の容易化、所在表示の制限等の情報システム室の安全を管理するための措置を講じるものとする。
3 保護管理者は、情報システム室及び保管施設の入退室の管理について、必要があると認めるときは、身分証明書の提示を求めるとともに、入室に係る認証機能を設定し、パスワード等の管理に関する定めの整備(その定期又は随時の見直しを含む。)及びパスワード等の読取防止等を行うために必要な措置を講じるものとする。
(情報システム室の管理)
第31条 保護管理者は、外部からの不正な侵入に備え、情報システム室に、保有個人情報の重要度に応じて、制御機能、施錠装置、警報装置及び監視設備の設置等の措置を講じるものとする。
2 保護管理者は、災害等に備え、情報システム室に、保有個人情報の重要度に応じて、耐震、防火、防煙、防水等の必要な措置を講じるとともに、サーバ等の機器の予備電源の確保、配線の損傷防止等の措置を講じるものとする。
第8章 学術研究目的での取扱い
(学術研究機関等の責務)
第31条の2 個人情報を学術研究の用に供する目的(以下「学術研究目的」という。)で取り扱う必要がある場合には、法の規定を遵守するとともに、適正を確保するための必要な措置を講じ、かつ、その措置の内容を公表するよう努めるものとする。
第9章 個人情報ファイル
(個人情報ファイル簿の作成及び公表)
第31条の3 保護管理者は、当該学部等が保有している個人情報ファイル(法第74条第2項各号に掲げるもの及び法第75条第3項の規定により個人情報ファイル簿に掲載しないものを除く。以下この章において同じ。)について、統括保護管理者が定めるところにより報告しなければならない。
2 統括保護管理者は、前項の報告を受けたときは、速やかに個人情報ファイル簿を作成し、公表しなければならない。
(個人情報ファイル簿の変更等)
第31条の4 保護管理者は、前条第1項の規定により報告した内容に変更があったとき、個人情報ファイルの保有をやめたとき又は個人情報ファイル簿の作成及び公表を要しないこととなったときは、速やかに統括保護管理者への報告を行うこととする。
2 統括保護管理者は、前項の報告を受けたときは、速やかに個人情報ファイル簿の修正又は記載の削除を行うこととする。
第10章 安全確保上の問題への対応
(事案の報告及び再発防止措置)
第32条 保有個人情報の漏えい等の事案の発生又は兆候を把握した場合及び特定個人情報取扱担当者が番号法その他関係する法令及び規程等に違反している事実又は兆候を把握した場合等、安全確保の上で問題となると思われる事案が発生した場合に、そのことを把握した教職員等は、直ちに当該保有個人情報を管理する保護管理者に報告するものとする。
2 保護管理者は、外部からの不正アクセスや不正プログラムの感染が疑われる端末機器等のLANケーブルを抜くことなど、被害の拡大防止のため直ちに行い得る措置についてはこれを直ちに行う(教職員等に行わせることを含む。)とともに、被害の拡大防止、復旧等のために必要なその他の措置を速やかに講じるものとする。
3 保護管理者は、事案の発生した経緯、被害状況等を調査し、直ちに保護管理者に報告するとともに、本部総務課に連絡し、対応を協議するものとする。
4 本部総務課は、前項の規定に基づく報告を受けた場合には、直ちに総括保護管理者に報告するものとする。
5 保護管理者は、漏えい等の影響が想定される保有個人情報の本人にその事実を連絡し、陳謝するとともに、二次被害の発生防止に努めるものとする。
6 保護管理者は、第3項の規定に基づく報告を受けた場合には、事案の内容等に応じて、当該事案の内容、経緯、被害状況等を理事長に速やかに報告するものとする。
7 保護管理者は、事案の発生した原因を分析し、再発防止のために必要な措置を講じるものとする。
8 統括保護管理者は、第4項による報告を受けた場合には、速やかに個人情報の保護に関する法律施行規則(平成28年個人情報保護委員会規則第3号)で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告するものとする。
(公表等)
第33条 保護管理者は、事案の内容、影響等に応じて、事実関係及び再発防止策の公表等の措置を講じるものとする。
第11章 点検及び監査の実施
(点検)
第34条 保護管理者は、自ら管理責任を有する保有個人情報の記録媒体、処理経路、保管方法等について、定期又は随時に点検を行い、必要があると認めるときは、その結果を総括保護管理者に報告するものとする。
第34条の2 保護監査責任者は、保有特定個人情報の管理の状況について、定期に又は随時に監査を行い、その結果を総括保護責任者に報告するものとする。
(評価及び見直し)
第35条 総括保護管理者又は保護管理者は、監査の結果、学部等の点検の結果等を踏まえ、保有個人情報の適正な管理のための措置について、実効性等の観点から評価し、必要があると認めるときは、その見直し等の措置を講じるものとする。
第12章 補則
(他の規程との関係)
第36条 他の規程等の規定により、情報システムの管理に関する事項について、この規程と別段の定めが設けられている場合にあっては、この規程に定めるもののほか、当該規程等の定めるところによる。
(細則)
第37条 この規程の施行に関し必要な事項は、別に総括保護管理者が定める。
附則
この規程は、平成19年4月1日から施行する。
附則(平成26年法人規程第11―3号)
この規程は、平成26年4月1日から施行する。
附則(平成27年法人規程第23号)
この規定は、平成27年12月1日から施行する。
附則(平成31年法人規程第20号)
(施行期日)
この規程は、平成31年4月1日から施行する。
附則(澳门皇冠3年法人規程第77号)
(施行期日)
この規程は、澳门皇冠3年4月1日から施行する。
附則(澳门皇冠4年法人規程第7号)
この規程は、澳门皇冠4年4月1日から施行する。
附則(澳门皇冠5年法人規程第64号)
この規程は、澳门皇冠5年5月30日から施行する。
別表(第18条の2関係)
区分 | 金額 |
カラーで複写され、又は出力された用紙の交付 | 用紙1枚につき20円(用紙の両面を用いるときは、40円) |
白黒で複写され、又は出力された用紙の交付 | 用紙1枚につき10円(用紙の両面を用いるときは、20円) |
電磁的記録を光ディスクに複写することによる交付 | 光ディスク1枚につき100円 |
交付に当たって送付に要する費用が発生する場合には、郵便切手により納付する。 | |