○鳥取大学特定個人情報等に関する取扱規程
平成27年12月15日
鳥取大学規則第106号
目次
第1章 総則(第1条―第4条)
第2章 安全管理措置
第1節 組織的安全管理措置(第5条―第13条)
第2節 人的安全管理措置(第14条―第17条)
第3節 物理的安全管理措置(第18条―第21条)
第4節 技術的安全管理措置(第22条―第25条)
第3章 特定個人情報等の取得(第26条―第33条)
第4章 特定個人情報等の利用(第34条・第35条)
第5章 特定個人情報等の保管(第36条・第37条)
第6章 特定個人情報の提供(第38条)
第7章 特定個人情報の開示，訂正及び利用停止(第39条)
第8章 特定個人情報等の廃棄・削除(第40条)
第9章 特定個人情報の委託の取扱い(第41条)
第10章 その他(第42条・第43条)
附則
第1章 総則
(趣旨)
第1条 この規程は，行政手続における特定の個人を識別するための番号の利用等に関する法律(平成25年法律第27号。以下「番号法」という。)，個人情報の保護に関する法律(平成15年法律第57号。以下「個人情報保護法」という。)及び「特定個人情報の適正な取扱いに関するガイドライン」(行政機関等・地方公共団体等編)(以下「ガイドライン」という。)に基づき，鳥取大学(以下「本学」という。)における個人番号及び特定個人情報の取扱いについて定めるものとする。
2 個人番号及び特定個人情報については，番号法，個人情報保護法，ガイドライン及びこの規程に定めるもののほか，鳥取大学個人情報保護の取扱規則(平成17年鳥取大学規則第48号。以下「個人情報保護取扱規則」という。)を適用する。
(定義)
第2条 この規程における用語の定義は，次に掲げるところによる。
一 個人情報 生存する個人に関する情報であって，次のいずれかに該当するものをいう。
ア 当該情報に含まれる氏名，生年月日その他の記述等(文書，図画若しくは電磁的記録(電磁的方式(電子的方式，磁気的方式その他人の知覚によって認識することができない方式をいう。次号イにおいて同じ。)で作られる記録をいう。)に記載され，若しくは記録され，又は音声，動作その他の方法を用いて表された一切の事項(個別識別符号を除く。)をいう。)により特定の個人を識別することができるもの(他の情報と容易に照合することができ，それにより特定の個人を識別することができることとなるものを含む。)
イ 個別識別符号が含まれるもの
二 個人識別符号 次のいずれかに該当する文字，番号，記号その他の符号のうち，個人情報の保護に関する法律施行令(平成15年政令第507号)で定めるものをいう。
ア 特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字，番号，記号その他の符号であって，当該特定の個人を識別することができるもの
イ 個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ，又は個人に発行されるカードその他の書類に記載され，若しくは電磁的方式により記録された文字，番号，記号その他の符号であって，その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ，又は記載され，若しくは記録されることにより，特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの
三 個人情報ファイル 個人情報を含む情報の集合物であって，次に掲げるものをいう。
ア 一定の事務の目的を達成するために特定の保有個人情報を電子計算機を用いて検索することができるように体系的に構成したもの
イ アに掲げるもののほか，一定の事務の目的を達成するために氏名，生年月日その他の記述等により特定の保有個人情報を容易に検索することができるように体系的に構成したもの
四 個人番号 番号法第7条第1項又は第2項の規定により指定される番号をいう。
五 特定個人情報 個人番号(当該個人番号に代わって用いられる番号，記号その他の符号を含む。)をその内容に含む個人情報をいう。
六 特定個人情報等 個人番号及び特定個人情報をいう。
七 特定個人情報ファイル 個人番号をその内容に含む個人情報ファイルをいう。
八 取扱部署 特定個人情報等を取り扱う課又は係をいう。
(個人番号を取り扱う事務の範囲)
第3条 本学において個人番号を取り扱う事務の範囲は，次のとおりとする。
一 役員及び職員(以下「職員等」という。)に係る個人番号関係事務
ア 給与所得・退職所得の源泉徴収事務
イ 国家公務員共済組合届出・申請事務
ウ 健康保険・厚生年金保険届出・申請事務
エ 雇用保険届出・申請事務
オ 勤労者財産形成促進法(昭和46年法律第92号)に基づく財形貯蓄に関する事務
二 職員等の配偶者に係る国民年金の第3号被保険者の届出事務
三 第1号以外の個人に係る報酬・料金等の支払調書作成事務
(特定個人情報等の範囲)
第4条 前条に規定する事務において取り扱う特定個人情報等の範囲は，次のとおりとする。
一 職員等又はその他の個人から，番号法第16条に基づく本人確認の措置を実施する際に提示を受けた本人確認書類(個人番号カード，通知カード，身元確認書類等)及びこれらの写し
二 本学が行政機関等に提出するために作成した届出書等及びこれらの控え
三 本学が届出書等を作成する上で職員等又はその他の個人から受領する個人番号が記載された申告書等
四 その他個人番号と関連付けて保存される情報
第2章 安全管理措置
第1節 組織的安全管理措置
(組織体制)
第5条 本学に，特定個人情報等の管理に関する事務を総括する者(以下「総括責任者」という。)を置き，理事(総務担当)をもって充てる。
2 取扱部署に，特定個人情報等の管理を担う者(以下「保護責任者」という。)を置き，その範囲は別に定めるものとする。
3 取扱部署に特定個人情報等に係る事務に従事する者(個人番号が付された書類等を受領する担当者を含む。以下「事務取扱担当者」という。)を置き，職員(派遣労働者を含む。)のうちから保護責任者が指名する。事務取扱担当者以外の者は，いかなる理由があろうとも特定個人情報等に係る事務に携わることはできない。
4 本学に，特定個人情報等の運用状況及び取扱状況を監査する責任を担う者(以下「監査責任者」という。)を置き，監査室長をもって充てる。
(総括責任者の責務)
第6条 総括責任者は，この規程を遵守するとともに，保護責任者及び事務取扱担当者にこれを遵守させるための教育，安全対策の実施並びに周知徹底等の措置を実施する責任を負う。
2 総括責任者は，保護責任者及び事務取扱担当者について，番号法，個人情報保護法，ガイドライン，この規程及び個人情報保護取扱規則に反する行為があるなど，特定個人情報の取扱いに適していないと判断した場合には，当該者が特定個人情報の取扱いに携わることを禁ずることができる。この場合，総括責任者は，前条第2項及び第3項の規定にかかわらず，代わりの者を指名しなければならない。
3 総括責任者は，次の業務を行う。
一 特定個人情報等の安全管理に関する教育研修の企画及び実施
二 特定個人情報の利用申請の承認及び管理
三 保護責任者の指名，監督及び管理
四 特定個人情報ファイルを取り扱う情報システムを管理する区域(以下「管理区域」という。)及び特定個人情報等を取り扱う事務を実施する区域(以下「取扱区域」という。)の設定
五 委託先における特定個人情報等の取扱状況等の監督
六 その他本学における特定個人情報等の安全管理
(保護責任者の責務)
第7条 保護責任者は，この規程を遵守するとともに，事務取扱担当者がこれを遵守しているかを常時把握し，管理する責任を負う。
2 保護責任者は，次の業務を行う。
一 特定個人情報等の運用状況の把握及び管理
二 特定個人情報ファイルの取扱状況の把握及び管理
三 事務取扱担当者の指名，監督及び管理
四 「管理区域」及び「取扱区域」の安全管理措置及び管理
(特定個人情報の運用状況の記録)
第8条 事務取扱担当者は，この規程に基づく運用状況を確認するため，次の項目につき，システムログ及び利用実績を記録し，保護責任者がこれを管理，保管するものとする。
一 特定個人情報等の取得及び特定個人情報ファイルへの入力状況
二 特定個人情報ファイルの利用・出力状況の記録
三 書類及び特定個人情報記録媒体等の持出しの記録
四 特定個人情報ファイルの削除・廃棄記録
(取扱状況の確認)
第9条 事務取扱担当者は，特定個人情報ファイルの取扱状況を確認するため，特定個人情報ファイル管理台帳に次の事項を記録し，保護責任者がこれを管理，保管するものとする。
一 特定個人情報ファイルの種類，名称
二 取扱部署，事務取扱担当者
三 管理区域，取扱区域
四 利用目的
五 削除・廃棄状況
(情報漏えい事案等への対応)
第10条 職員等は，特定個人情報等の漏えい，滅失若しくは毀損による事故又は番号法違反若しくはそのおそれのある事案(以下「漏えい事案等」という。)が発生したことを知った場合又はその可能性が高いと判断した場合は，直ちに当該保有特定個人情報等を管理する保護責任者に報告する。
2 保護責任者は，被害の拡大防止又は復旧等のために必要な措置を講ずる。
3 保護責任者は，事案の発生した経緯，被害状況等を調査し，総括責任者に報告するものとする。ただし，特に重大と認める事案が発生した場合には，直ちに総括責任者に当該事案の内容等について報告するものとする。
4 総括責任者は，前項の規定に基づく報告を受けた場合には，直ちに学長に報告するものとする。
5 保護責任者は，当該漏えい事案等の影響を受ける可能性のある本人に対して，事実関係及び原因の説明等を速やかに通知又は本人が容易に知り得る状態に置くものとする。
6 保護責任者は，情報漏えい等が発生した原因を分析し，再発防止に向けた対策を講じるものとする。
7 学長又は総括責任者は，二次被害の防止，類似事案の発生回避等の観点から，事実関係及び再発防止策を速やかに公表するものとする。
8 学長は，当該漏えい事案等について，その事実関係及び再発防止策等を速やかに個人情報保護委員会及び文部科学省に報告するものとする。また，次に掲げる重大事案又はそのおそれのある事案については，発覚した時点で直ちにその旨を報告しなければならない。
一 個人番号を取り扱う情報システムで使用するネットワークから外部に情報漏えい等があった場合(不正アクセス又は不正プログラムによるものを含む。)
二 当該漏えい事案等における特定個人情報の本人の数が100人を超える場合
三 不特定多数の人が閲覧できる状態になった場合
四 職員等が個人番号その他の特定個人情報を不正の目的で持ち出し，又は利用した場合
五 その他重大事案として判断した場合
(苦情への対応)
第11条 学長は，本学における番号法，個人情報保護法，ガイドライン又はこの規程に基づく特定個人情報等の取扱いに関し，情報主体からの苦情申出を受ける窓口(以下「苦情受付窓口」という。)を設ける。
2 前項に規定する苦情受付窓口は，総務企画部総務企画課に置くものとする。
3 苦情受付窓口担当者が情報主体からの苦情を受け付けた場合には，その旨を総括責任者に報告するものとし，報告を受けた総括責任者は，適切に対応するものとする。
(監査)
第12条 監査責任者は，特定個人情報等の管理の状況について，1年に1回定期に及び必要に応じ監査を行い，その結果を総括責任者に報告する。
(安全管理措置の見直し)
第13条 保護責任者は，運用状況の記録及び特定個人情報ファイルの取扱状況の点検を随時行い，必要に応じて総括責任者に報告する。総括責任者は，1年に1回定期に特定個人情報の運用状況の記録及び特定個人情報ファイルの取扱状況の確認を行うほか，必要に応じて臨時に確認をしなければならない。
第2節 人的安全管理措置
(事務取扱に関する監督及び管理)
第14条 総括責任者は，特定個人情報等がこの規程に基づき適正に取り扱われるよう，保護責任者に対して必要かつ適切な監督を行うものとする。
2 保護責任者は，特定個人情報等がこの規程に基づき適正に取り扱われるよう，事務取扱担当者に対して必要かつ適切な監督を行うものとする。
3 保護責任者は，前項の監督及び事務取扱従事状況の管理を行うため，必要に応じ管理区域及び取扱区域の巡視を行うものとする。
(事務取扱担当者の責務)
第15条 事務取扱担当者は，特定個人情報等を取り扱う業務に従事するに当たっては，特定個人情報等を保護するため，番号法，個人情報保護法，ガイドライン，この規程及び個人情報保護取扱規則を遵守するとともに，総括責任者及び保護責任者の指示に従わなければならない。
2 取扱部署において個人番号が記載された書類等の受領をする事務取扱担当者は，自分の手元に個人番号(個人番号が記された書面の写し，メモ等を含む。)を残してはならないものとする。
(教育研修)
第16条 総括責任者は，保護責任者及び事務取扱担当者に対し，特定個人情報等の適正な取扱いについて理解を深め，特定個人情報等の保護に関する意識の高揚を図るための啓発その他必要な教育研修を行うものとする。
2 前項の教育研修は，1年に1回実施するほか，必要に応じて実施するものとする。
3 保護責任者は，当該取扱部署の事務取扱担当者に，特定個人情報等の適正な管理のために，総括責任者の実施する教育研修への参加の機会を付与する等の必要な措置を講じなければならない。
(法令違反等に対する厳正な対処)
第17条 学長は，番号法，個人情報保護法，ガイドライン，この規程及び個人情報保護取扱規則に違反した職員等に対し，本学の規則等に従い，適切な処分を行う。
第3節 物理的安全管理措置
(管理区域及び取扱区域)
第18条 本学における管理区域及び取扱区域は総括責任者が設定し，保護責任者は，それぞれの区域に対し，次の各号に掲げる措置を講じるものとする。
一 管理区域
管理区域であることを明示するとともに，入退室管理及び管理区域への機器・電子媒体等の持ち込み，利用及び持ち出しの制限等の措置を講じる。
二 取扱区域
事務取扱担当者以外の者の往来が少ない場所を割り当て，取扱区域であることを明示するとともに，壁，間仕切り等を設置し，事務取扱担当者以外の者が出入りすることを禁ずる。ただし，保護責任者が特定個人情報等の保護に当たって問題ないと認めた場合はこの限りではない。
2 特定個人情報等を情報システムで取り扱う場合，保護責任者は，当該情報システムの管理者と連携し措置を講じるものとする。
(機器及び電子媒体等の盗難等の防止)
第19条 保護責任者は，管理区域及び取扱区域における特定個人情報等を取り扱う機器，電子媒体及び書類等の盗難又は紛失等を防止するために，次の各号に掲げる措置を講じる。
一 特定個人情報等を取り扱う機器，電子媒体又は書類等は，施錠できるキャビネット・書庫等に保管する。
二 特定個人情報ファイルを取り扱う情報システム機器は，セキュリティワイヤー等により固定する。
2 事務取扱担当者が，短時間であっても管理区域及び取扱区域を離れるときは，前項各号に規定する措置を遵守し，特定個人情報等の盗難等を防止しなければならない。
(電子媒体等を持ち出す場合の漏えい等の防止)
第20条 本学は，特定個人情報等が記録された電子媒体又は書類等の持出し(特定個人情報等を管理区域又は取扱区域の外へ移動させることをいい，学内での移動も含む。)は，次に掲げる場合を除き禁止する。
一 個人番号関係事務に係る外部委託先に，委託事務を実施する上で必要と認められる範囲内でデータを提供する場合
二 行政機関等への届出書等の提出等，本学が実施する個人番号関係事務に関して個人番号利用事務実施者に対しデータ又は書類を提出する場合
三 事務取扱担当者間において特定個人情報等が記載された書類等を移送する場合
一 特定個人情報等が記録された電子媒体を安全に持ち出す方法
ア 持出しデータの暗号化
イ 持出しデータのパスワードによる保護
ウ 施錠できる搬送容器の使用
エ 追跡可能な移送手段の利用
二 特定個人情報等が記載された書類等を安全に持ち出す方法
封かん，目隠しシールの貼付(各取扱部署の事務取扱担当者間において特定個人情報等が記載された書類等を移送する場合を含む。)
(廃棄・削除)
第21条 特定個人情報等の廃棄・削除段階における記録媒体等の管理は，次のとおりとする。
一 事務取扱担当者は，特定個人情報等が記録された書類等を廃棄する場合，シュレッダーによる裁断又は焼却場での焼却・溶解等の復元不可能な手段を用いなければならない。
二 事務取扱担当者は，特定個人情報等が記録された機器及び電子媒体等を廃棄する場合，専用データ削除ソフトウェアの利用又は物理的な破壊等により，復元不可能な手段を用いなければならない。
三 事務取扱担当者は，特定個人情報ファイル中の個人番号又は一部の特定個人情報等を削除する場合，容易に復元できない手段を用いなければならない。
四 特定個人情報ファイルを取り扱う情報システムにおいては，当該関連する法定調書の法定保存期間経過後の最初に到来する年度末に個人番号を削除又は削除警告機能付きの情報システムを構築するものとする。
五 個人番号が記載された書類等については，鳥取大学法人文書管理規程(平成23年鳥取大学規則第41号。以下「法人文書管理規程」という。)による保存期間経過後の最初に到来する年度末に廃棄をするものとする。
2 事務取扱担当者は個人番号若しくは特定個人情報ファイルを削除した場合，又は電子媒体等を廃棄した場合には，第9条に規定する特定個人情報ファイル管理台帳に記録するものとする。
第4節 技術的安全管理措置
(アクセス制御)
第22条 特定個人情報ファイルを取り扱う情報システムへのアクセス制御は，次のとおりとする。
一 個人番号と紐付けてアクセスできる情報の範囲をアクセス制御により限定する。
二 特定個人情報ファイルを取り扱う情報システムを，アクセス制御により限定する。
三 ユーザーIDに付与するアクセス権により，特定個人情報ファイルを取り扱う情報システムを使用できる者を事務取扱担当者に限定する。
(アクセス者の識別と認証)
第23条 特定個人情報ファイルを取り扱う情報システムは，ユーザーID，パスワード，磁気・ICカード等の識別方法により，事務取扱担当者が正当なアクセス権を有する者であることを識別した結果に基づき認証するものとする。
2 事務取扱者が異動等によって変更となった場合には，即時にパスワードを変更，磁気・ICカードを変更するなどし，アクセス権の変更設定を行わなければならない。
3 アクセス権を有しない者は，いかなる理由があっても，特定個人情報を取り扱う情報システムにアクセスしてはならない。
(外部からの不正アクセス等の防止)
第24条 本学は，次の各方法により，特定個人情報ファイルを取り扱う情報システムを外部からの不正アクセス又は不正ソフトウェアから保護するものとする。
一 情報システムと外部ネットワークとの接続箇所に，ファイアウォール等を設置し，不正アクセスを遮断する方法
二 情報システム及び機器にセキュリティ対策ソフトウェア等(ウイルス対策ソフトウェア等)を導入する方法
三 導入したセキュリティ対策ソフトウェア等により，入出力データにおける不正ソフトウェアの有無を確認する方法
四 機器やソフトウェア等に標準装備されている自動更新機能等の活用により，ソフトウェア等を最新状態とする方法
五 ログ等の分析を定期的に行い，不正アクセス等を検知する方法
(情報漏えい等の防止)
第25条 本学は，特定個人情報等をインターネット等により外部に送信する場合，通信経路及びデータの暗号化又はパスワードによる保護等により，通信経路における情報漏えい等及び情報システムに保存されている特定個人情報等の情報漏えい等を防止するものとする。
第3章 特定個人情報等の取得
(特定個人情報等の適正な取得)
第26条 本学は，特定個人情報等の取得を適法かつ公正な手段によって行うものとする。
(特定個人情報等の利用目的)
第27条 本学が，職員等又はその他の個人から取得する特定個人情報等の利用目的は，第3条に規定する個人番号を取り扱う事務の範囲内とする。
(特定個人情報等の取得時の利用目的の通知)
第28条 本学は，特定個人情報等を取得する場合は，あらかじめ利用目的を情報主体に明示しなければならない。
2 利用目的の変更を要する場合，変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。
(個人番号の提供の要求)
第29条 本学は，第3条に規定する事務を処理するために必要がある場合に限り，個人番号の提供を求めることができるものとする。
(個人番号の提供を求める時期)
第30条 前条の提供は，本人との法律関係等に基づき，個人番号関係事務の発生が予想される場合には，当該事務の発生が予想できた時点で個人番号の提供を求めることが可能であるものとする。
(特定個人情報の提供の求めの制限)
第31条 本学は，番号法第19条各号のいずれかに該当し特定個人情報の提供を受けることができる場合を除き，特定個人情報の提供を求めてはならない。
(特定個人情報の取得制限)
第32条 本学は，第3条に規定する事務の範囲を超えて，特定個人情報を取得しないものとする。
(本人確認)
第33条 本学が個人番号を取得するに当たっては，番号法第16条に規定する各方法により，個人番号の確認及び当該人の身元確認を行うものとする。また，代理人については，同条に規定する各方法により，当該代理人の身元確認，代理権の確認及び本人の個人番号の確認を行うものとする。
第4章 特定個人情報等の利用
(個人番号の利用制限)
第34条 本学は，第27条に規定する利用目的の範囲内でのみ個人番号を利用するものとする。
2 本学は，人の生命，身体又は財産の保護のために必要がある場合を除き，本人の同意があったとしても，利用目的を超えて個人番号を利用してはならないものとする。
(特定個人情報ファイルの作成の制限)
第35条 本学は，第3条に規定する事務を実施するために必要な範囲内でのみ特定個人情報ファイルを作成する。
第5章 特定個人情報等の保管
(特定個人情報等の正確性の確保)
第36条 事務取扱担当者は，特定個人情報等を，第27条に規定する利用目的の範囲において，正確かつ最新の状態で管理するよう努めるものとする。
(特定個人情報等の保管制限)
第37条 本学は，第3条に規定する事務の範囲を超えて，特定個人情報等を保管してはならない。
2 本学は，法人文書管理規程で定められた個人番号を記載する書類等の保存期間を経過するまでの間は，届出書等の書類の再作成等の個人番号関係事務を行うために必要があると認められるため，当該書類及び書類を作成するシステム内においても保管することができる。
3 本学は，番号法上の本人確認の措置を実施する際に提示を受けた本人確認書類(個人番号カード，通知カード，身元確認書類等)の写し，本学が行政機関等に提出する届出書等の書類の控え及び当該書類を作成する上で本学が受領する個人番号が記載された申告書等を特定個人情報として保管するものとし，これらの書類については，法定調書の再作成等のため必要があると認められるときは，法人文書管理規程で定められた個人番号を記載する書類等の保存期間を経過するまでの間，保存することができる。
第6章 特定個人情報の提供
(特定個人情報の第三者への提供制限)
第38条 本学は，番号法第19条各号のいずれかに規定する場合を除き，本人の同意の有無に関わらず，特定個人情報を第三者に提供しないものとする。
第7章 特定個人情報の開示，訂正及び利用停止
(開示，訂正及び利用停止)
第39条 本学は，個人情報保護法の規定に基づき，特定個人情報の開示，訂正及び利用停止の求めがあった場合には，鳥取大学個人情報の開示，訂正及び利用停止の手続に関する規則(平成17年鳥取大学規則第49号)に基づき，個人情報の例に準じて取り扱う。
第8章 特定個人情報等の廃棄・削除
第9章 特定個人情報の委託の取扱い
(委託先における安全管理措置)
第41条 総括責任者は，個人番号関係事務の全部又は一部を委託する場合には，本学自らが果たすべき安全管理措置と同等の措置が委託先において適切に講じられるよう，必要かつ適切な監督を行うものとする。
第10章 その他
(事務)
第42条 この規程に関する事務は，取扱部署等の協力を得て総務企画部総務企画課が処理する。
(雑則)
第43条 番号法，個人情報保護法，ガイドライン，この規程及び個人情報保護取扱規則に定めるもののほか，本学における特定個人情報等の取扱いに関し必要な事項は，別に定める。
附則
この規程は，平成27年12月15日から施行する。
附則(平成29年6月28日鳥取大学規則第55号)
この規程は，平成29年6月28日から施行し，改正後の鳥取大学特定個人情報等に関する取扱規程の規定は，平成29年5月30日から適用する。
附則(平成30年3月27日鳥取大学規則第58号)
この規程は，平成30年4月1日から施行する。
附則(令和2年3月24日鳥取大学規則第33号)
この規程は，令和2年4月1日から施行する。
附則(令和4年5月24日鳥取大学規則第69号)
この規程は，令和4年6月1日から施行する。