○東員町が取り扱う個人情報、個人番号及び特定個人情報の管理に関する規程
平成27年12月28日
訓令第8号
目次
第1章 総則(第1条・第2条)
第2章 管理体制(第3条―第7条)
第3章 教育研修(第8条―第10条)
第4章 個人情報等の取扱い(第11条―第21条)
第5章 情報システムにおける安全の確保等(第22条―第36条)
第6章 管理区域等の安全管理(第37条―第40条)
第7章 個人情報等の提供(第41条)
第8章 個人情報等取扱業務の委託(第42条―第44条)
第9章 安全確保上の問題への対応(第45条―第48条)
第10章 監査及び点検の実施(第49条―第51条)
第11章 雑則(第52条)
附則
第1章 総則
(目的)
第1条 この規程は、行政手続における特定の個人を識別するための番号の利用等に関する法律(平成25年法律第27号。以下「法」という。)、個人情報の保護に関する法律(平成15年法律第57号。以下「個人情報保護法」という。)、東員町個人情報保護法施行条例(令和5年東員町条例第3号。以下「個人情報保護法施行条例」という。)及び東員町議会の個人情報の保護に関する条例(令和5年東員町条例第2号。以下「議会個人情報保護条例」という。)に定めるもののほか、町が取り扱う個人情報、個人番号及び特定個人情報の安全管理に関し必要な事項を定めることにより、その適切な措置及び適正な運用を図ることを目的とする。
(1) 実施機関 個人情報保護法施行条例第2条第2項に規定する実施機関及び議会個人情報保護条例第1条に規定する議会をいう。
(2) 課 東員町課設置条例(平成30年東員町条例第19号)第1条に定める課、東員町行政組織等に関する規則(平成28年東員町規則第8号)第19条に定める課、東員町教育委員会事務局組織規則(平成5年教育委員会規則第1号)第3条に定める課、選挙管理委員会事務局、議会事務局、監査委員事務局をいう。
(3) 課長 前号に掲げる課の長をいう。ただし、議会事務局にあつては事務局長をいう。
(4) 個人情報 個人情報保護法第2条第1項及び議会個人情報保護条例第2条第1項に規定する個人情報をいう。
(5) 個人番号 法第2条第5項に規定する個人番号をいう。
(6) 特定個人情報 法第2条第8項に規定する特定個人情報をいう。
(7) 特定個人情報ファイル 法第2条第9項に規定する特定個人情報ファイルをいう。
(8) 保有特定個人情報等 個人番号及び実施機関の職員が職務上作成し、又は取得した特定個人情報であつて、当該実施機関の職員が組織的に利用するものとして、当該実施機関が保有しているものをいう。ただし、地方公共団体等行政文書に記録されているものに限る。
(9) 個人情報等 個人情報及び保有特定個人情報等であつて町が取り扱うものをいう。
(10) 取扱区域 保有特定個人情報等を取り扱う事務を実施する区域をいう。
(11) 管理区域 特定個人情報ファイルを取り扱う情報システムを管理する区域をいう。
(12) 情報漏えい等 個人情報等の漏えい、滅失、毀損等をいう。
2 前項各号に規定するもののほか、この規程において使用する用語は、法、個人情報保護法及び議会個人情報保護条例において使用する用語の例による。
第2章 管理体制
(総括保護責任者)
第3条 個人情報等に係る総合的な安全管理措置を行うため、総括保護責任者を置く。
2 総括保護責任者は、副町長をもつて充てる。
3 総括保護責任者は、次に掲げる事項を所掌する。
(1) 個人情報等の安全管理に関する教育、訓練及び研修の企画及び実施に関すること。
(2) 個人情報等の取扱状況の把握に関すること。
(3) 個人情報等の安全管理措置の状況についての監査及び監督に関すること。
(4) 個人情報等の安全管理措置についての指示、指導及び助言に関すること。
(5) その他町全体における個人情報等の安全管理措置に関すること。
(保護管理者)
第4条 課に保護管理者を置く。
2 保護管理者は、所管する課における個人情報等の安全管理のために必要な措置を講ずるため、次に掲げる事務を行う。
(1) 保有特定個人情報等の利用の申請の承認及び記録等の管理に関すること。
(2) 取扱区域及び管理区域の設定に関すること。
(3) 保有特定個人情報等の取扱区分及び権限についての設定及び変更の管理に関すること。
(4) 個人情報等の安全管理に関する教育、訓練及び研修についての企画及び実施に関すること。
(5) 個人情報等の取扱状況の把握に関すること。
(6) 第45条に規定する報告並びに措置に関する組織体制及び手順の整備に関すること。
(7) 委託先における個人情報等の取扱状況等の監督に関すること。
(8) その他個人情報等の安全管理措置に関すること。
3 前項の規定にかかわらず、同一の個人情報等を複数の課において管理する場合において当該課における保護管理者は、互いに連携し、個人情報等に関する安全管理措置を行うとともに、各課における任務を分担し、及び責任を明確にするものとする。
4 保護管理者は、課長又はこれに準ずる者をもつて充てる。
(監査責任者)
第5条 個人情報等の管理の状況について監査を行うため、監査責任者を置く。
2 監査責任者は、総務課長をもつて充てる。
3 監査責任者は、個人情報等の適正な取扱い並びに法、個人情報保護法、個人情報保護法施行条例、議会個人情報保護条例及びこの規程の遵守状況について、定期及び必要に応じ随時に点検又は監査を行い、その結果を総括保護責任者に報告するものとする。
(事務取扱担当者)
第6条 保護管理者は、保有特定個人情報等を取り扱う職員(以下「事務取扱担当者」という。)を指定し、当該事務取扱担当者が取り扱う保有特定個人情報等の範囲を定めなければならない。
2 事務取扱担当者は、課の個人情報等の安全管理措置を講ずるため、個人情報等を取得し、保管し、利用し、提供し、開示し、訂正し、利用停止し、若しくは廃棄し、又は委託処理等の個人情報等を取り扱う業務に従事する際、法、個人情報保護法、議会個人情報保護条例その他の関係法令並びにこの規程その他の庁内規程並びに総括保護責任者及び保護管理者の指示した事項(以下「法令等事項」という。)に従い、個人情報等の保護に十分な注意を払つてその業務を行うものとする。
(職員)
第7条 職員は、法令等事項に従い、個人情報等を取り扱わなければならない。
第3章 教育研修
(個人情報等保護研修)
第8条 総括保護責任者は、保護管理者に対し、課における個人情報等の適正な管理のために必要な教育研修を行う。
2 総括保護責任者及び保護管理者は、個人情報等の取扱いに従事する職員(派遣労働者を含む。)に対し、個人情報等の取扱いについて理解を深め、個人情報等の保護に関する意識の高揚を図るため、啓発その他必要な教育研修を行う。
(情報セキュリティ等の研修及び訓練)
第9条 総括保護責任者及び保護管理者は、個人情報等を取り扱う情報システムの管理に関する事務に従事する職員に対し、個人情報等の適正な管理及び保護のために、情報システムの管理、運用及び情報セキュリティ対策に関して必要な教育研修、事故障害時等の対応訓練を行う。
(研修参加機会の付与)
第10条 保護管理者は、課の職員に対し、個人情報等の適正な管理及び保護のために、総括保護責任者の実施する教育研修への参加の機会を付与する等の必要な措置を講ずるものとする。
第4章 個人情報等の取扱い
(アクセスの制限)
第11条 保護管理者は、個人情報等の秘匿性、重要性その他の性質に応じて、当該個人情報等にアクセスをする権限を有する者をその利用目的を達成するために必要最小限の職員に限らなければならない。
2 保護管理者は、職員にアクセスをする権限を付与する場合であつても、業務上必要な最小限度の個人情報等のみにアクセスを許可する対策を講じなければならない。
3 アクセスをする権限を有しない職員は、個人情報等にアクセスをしてはならない。
(複製等の制限)
第12条 職員は、情報漏えい等の事案の発生を防止するため、次に掲げる行為をしてはならない。
(1) 個人情報等の複製
(2) 個人情報等の送信
(3) 個人情報等が記録されている媒体の外部への送付又は持出し
(4) その他個人情報等の適切な管理に支障を及ぼすおそれのある行為
(誤りの訂正等)
第13条 職員は、正確かつ最新の状態に保つ対応をする際に個人情報等の内容に誤りを発見した場合は、すみやかにその訂正等を行い、個人情報等を正確かつ最新の状態に保つよう努めなければならない。
(媒体の管理等)
第14条 職員は、個人情報等が記録されている媒体を定められた場所に厳重に保管し、及び施錠しなければならない。
(廃棄等)
第15条 職員は、個人情報等が記録されている媒体(情報機器に内蔵されているものを含む。)が不要となつた場合には、当該個人情報等の復元又は判読が不可能となる方法により当該情報の削除又は当該媒体の廃棄を行わなければならない。
(個人情報等の取扱状況の記録)
第16条 保護管理者は、個人情報等の秘匿性、重要性その他の性質に応じて、台帳を整備し、当該個人情報の利用、保管、廃棄等の取扱いの状況について記録しなければならない。
2 前項の規定において、保護管理者は、特定個人情報ファイルについての取扱状況を確認する手段を整備し、当該保有特定個人情報等の利用、保管、廃棄等の取扱状況について記録しなければならない。
(個人番号の利用の制限)
第17条 職員は、法又は東員町個人番号の利用及び特定個人情報の提供に関する条例(平成27年東員町条例第23号)の定める場合を除き、個人番号を利用してはならない。
(特定個人情報の提供の求めの制限)
第18条 職員は、個人番号利用事務又は個人番号関係事務(以下「個人番号利用事務等」という。)を処理するために必要な場合その他の法で定める場合を除き、個人番号の提供を求めてはならない。
(特定個人情報ファイルの作成の制限)
第19条 職員は、個人番号利用事務等を処理するために必要な場合その他の法で定める場合を除き、特定個人情報ファイルを作成してはならない。
(保有特定個人情報等の収集及び保管の制限)
第20条 職員は、法第19条各号のいずれかに該当する場合を除き、他人の個人番号を含む個人情報を収集し、又は保管してはならない。
(取扱区域)
第21条 保護管理者は、取扱区域を明確にし、必要に応じて物理的な安全管理措置を講じなければならない。
第5章 情報システムにおける安全の確保等
(パスワード等の管理)
第22条 保護管理者は、個人情報等(情報システムで取り扱うものに限る。以下この章において同じ。)の秘匿性、重要性その他の性質に応じて、パスワード等(パスワード、ICカード認証情報、生体情報及びこれらに準ずるものをいう。以下同じ。)を使用して権限を識別する機能(以下「認証機能」という。)の設定を行うほか、アクセスの制御のために必要な措置を講ずるものとする。
2 保護管理者は、前項の規定によりパスワード等を使用した場合、当該パスワード等の読取防止を行うほか、必要な措置を講ずるものとする。
(アクセス記録)
第23条 保護管理者は、個人情報等の秘匿性、重要性その他の性質に応じて、当該個人情報等へのアクセスの状況を記録し、当該記録(以下「アクセス記録」という。)を一定の期間保存し、定期及び臨時に分析するために必要な措置を講じ、並びにアクセス記録の改ざん、窃取若しくは不正な消去の防止のために必要な措置を講ずるものとする。
(アクセス状況の監視)
第24条 保護管理者は、個人情報等の秘匿性、重要性その他の性質に応じて、当該個人情報等への不適切なアクセスを監視するために必要な措置を講ずるものとする。
(管理者権限の設定)
第25条 保護管理者は、個人情報等の秘匿性、重要性その他の性質に応じて、情報システムの管理者権限の特権を最小限とし、当該特権が不正に窃取された際の被害を最小化し、及び内部からの不正操作等を防止する措置を講ずるものとする。
(外部からの不正アクセスの防止)
第26条 保護管理者は、個人情報等を取り扱う情報システムへの外部からの不正アクセスを防止するため、ファイアウォールの設定による経路制御等の必要な措置を講ずるものとする。
2 町は、保有特定個人情報等を取り扱う情報システムについて、外部ネットワークから独立する等の高いセキュリティ対策を講じ、不正なアクセス等の被害又はその兆候を把握した場合においては、当該被害を最小化する措置をあらかじめ講ずるものとする。
(不正プログラムによる漏えい等の防止)
第27条 保護管理者は、不正プログラムによる情報漏えい等の防止のため、不正プログラムの感染防止等に必要な措置を講じなければならない。
(暗号化)
第28条 保護管理者は、個人情報等の秘匿性、重要性その他の性質に応じて、その暗号化のために次に掲げる措置を講ずるものとする。
(1) 通信経路における情報漏えい等の防止
(2) 情報システムに保存されている記録における情報漏えい等の防止
(入力情報の照合等)
第29条 職員は、情報システムで取り扱う個人情報等の重要度に応じて、入力原票と入力内容との照合、処理前後の当該個人情報等の内容の確認、既存の個人情報等との照合等を行うものとする。
(バックアップ)
第30条 保護管理者は、個人情報等の重要度に応じて、バックアップを作成し、分散保管するために必要な措置を講ずるものとする。
(情報システム設計書等の管理)
第31条 保護管理者は、個人情報等に係る情報システムの設計書、構成図等の文書について外部に知られることがないよう、その保管、複製、廃棄等について必要な措置を講ずるものとする。
(端末の限定)
第32条 保護管理者は、個人情報等の秘匿性、重要性その他の性質に応じて、その処理を行う端末(情報システム又は情報システムに接続して情報を操作し、閲覧できる全ての情報機器を含む。以下同じ。)を限定するために必要な措置を講ずるものとする。
(端末の盗難防止等)
第33条 保護管理者は、端末の盗難又は紛失の防止のため、端末の仕様、使用目的等に応じて端末の固定等の必要な措置を講ずるものとする。
2 職員は、保護管理者が必要があると認めるときを除き、端末を外部へ持ち出し、又は外部から持ち込んではならない。
(第三者の閲覧防止)
第34条 職員は、端末の使用に当たつては、個人情報等が第三者に閲覧されることがないように使用状況に応じて情報システムからログオフを行うことを徹底する等の必要な措置を講じなければならない。
(記録機能を有する機器及び媒体の接続制限)
第35条 保護管理者は、個人情報等の秘匿性、重要性その他の性質に応じて、当該個人情報等の情報漏えい等の防止のため、記録機能を有する機器及び媒体の情報システム端末機器への接続の制限(当該機器の更新への対応を含む。)等の必要な措置を講じなければならない。
(保護管理者の責務)
第36条 保護管理者は、個人情報等の秘匿性、重要性その他の性質に応じて、この章に規定する措置の内容(第4条第3項に規定する任務の分担により他の保護管理者が行つている措置の内容を含む。)を、定期及び臨時に確認し、管理しなければならない。
第6章 管理区域等の安全管理
(管理区域)
第37条 保護管理者は、管理区域を明確に設定しなければならない。
2 保護管理者は、管理区域のうち保有特定個人情報等を取り扱う基幹的なサーバ等の情報システムを設置する区域(以下「指定管理区域」という。)について、この章に規定する安全管理のための措置を講ずるものとする。
3 保護管理者は、指定管理区域以外の管理区域については、可能な限り前項の規定に準じて安全管理のために必要な措置を講ずるものとする。
(指定管理区域の入退管理)
第38条 保護管理者は、指定管理区域の入退管理について次に掲げる措置を講じなければならない。個人情報等を記録する媒体を保管するための施設(以下「保管施設」という。)を設けている場合においても、同様とする。
(1) 指定管理区域に立ち入る権限を有する者の指定
(2) 入退する者の用件の確認
(3) 入退に関する記録
(4) 部外者(第1号に規定する者以外の者をいう。以下同じ。)についての識別化
(5) 部外者が立ち入る場合の職員の立会い又は監視設備による監視
(6) 外部電磁的記録媒体及び情報機器の持ち込み、利用及び持出しの制限及び検査
2 保護管理者は、必要があると認めるときは、指定管理区域の出入口の特定化による入退の管理の容易化、所在表示の制限等の措置を講ずるものとする。
3 保護管理者は、指定管理区域及び保管施設の入退の管理について、必要があると認めるときは、次に掲げる事項を行うものとする。
(1) 認証機能の設定
(2) 前号の設定により使用するパスワード等の管理
(3) 前号の管理に係る規定の整備
4 前項第3号の規定により行う規定の整備は、定期及び臨時に見直すものとする。
(指定管理区域の管理)
第39条 保護管理者は、外部からの不正な侵入に備え、指定管理区域に施錠装置、警報装置及び監視設備の設置等の措置を講ずるものとする。
2 保護管理者は、災害等に備え、指定管理区域に、耐震、防火、防煙、防水等の必要な措置を講ずるとともに、サーバ等の機器の予備電源の確保、配線の損傷防止等の措置を講ずるものとする。
(取扱区域の管理)
第40条 保護管理者は、取扱区域において、情報漏えいを防止するために次に掲げる措置を講ずるものとする。
(1) 区域への部外者の立ち入りの原則禁止又は部外者が立ち入る場合の職員の立会い
(2) 個人情報等の部外者による閲覧、のぞき見等を防止する環境の設営
(3) 個人情報等を取り扱う機器、媒体又は書籍等の施錠保管等の管理
(4) 前3号に掲げる管理に係る規程の整備
(5) その他必要な措置
第7章 個人情報等の提供
(個人情報の提供)
第41条 保護管理者は、町以外のものに個人情報を提供する場合には、原則として次に掲げる事項を行わなければならない。
(1) 次に掲げる事項を記載した書面を提供先と取り交わすこと。
ア 提供先での利用目的
イ 利用する業務の根拠法令
ウ その他保護管理者が必要と認める事項
(2) 提供先への安全管理措置の要求
2 前項の場合において、保護管理者は、必要があると認めるときは、実地の調査を行い、状況を確認し、その結果を記録するとともに、改善要求等の措置を講ずるものとする。
3 保護管理者は、法第19条各号のいずれかに該当する場合を除き、保有特定個人情報等を提供してはならない。
第8章 個人情報等取扱業務の委託
(業務の委託等)
第42条 町は、個人情報等の取扱いに係る業務(以下「個人情報等取扱業務」という。)について外部に委託する場合は、個人情報等の適切な管理を行う能力を有しない委託先を選定することがないよう、適切な選定を行わなければならない。
2 保護管理者は、個人情報等取扱業務について外部に委託する場合は、委託先と交わす契約書に次に掲げる事項を明記するとともに、委託先における責任者及び業務従事者の管理及び実施体制、個人情報等の管理の状況についての検査に関する事項等の必要な事項について書面で確認しなければならない。
(1) 個人情報等に関する秘密保持、目的外利用の禁止等の義務
(2) 再委託の制限又は事前承認等再委託に係る条件に関する事項
(3) 個人情報等の複製等の制限に関する事項
(4) 情報漏えい等の事案の発生時における対応に関する事項
(5) 委託終了時における個人情報等の消去及び媒体の返却に関する事項
(6) 違反した場合における契約解除、損害賠償責任その他必要な事項
(7) その他保護管理者が必要と認める事項
3 保護管理者は、個人情報等取扱業務の全部又は一部を委託する場合は、当該委託先において、法に基づき実施機関が果たすべき安全管理措置と同等の措置が講じられるか否かについて、あらかじめ確認しなければならない。
4 町は、個人情報等取扱業務を派遣労働者によつて行わせる場合は、労働者派遣契約書に秘密保持義務等個人情報の取扱いに関する事項を明記する。
(委託先の監督)
第43条 保護管理者は、個人情報等取扱業務について外部に委託する場合は、委託する個人情報等の秘匿性、重要性その他の性質に応じて、年に1回以上委託先における個人情報等の管理の状況を確認しなければならない。
2 保護管理者は、個人情報等取扱業務の全部又は一部の委託をする場合は、当該委託先において、実施機関が果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行わなければならない。
2 町は、個人情報等取扱業務の全部又は一部の委託先において、当該業務が再委託される場合には、当該業務において取り扱う保有特定個人情報等の適切な安全管理が図られることを確認した上で再委託の諾否を判断しなければならない。
第9章 安全確保上の問題への対応
(事案の報告)
第45条 職員は、次に掲げる場合は、すみやかに当該個人情報等を管理する保護管理者に報告しなければならない。
(1) 情報漏えい等の発生又は兆候を把握した場合
(2) その他安全確保上で問題となる事案が発生した場合
2 事務取扱担当者は、この規程等に違反している事実又は兆候を把握した場合は、すみやかに当該個人情報等を管理する保護管理者に報告しなければならない。
3 保護管理者は、前2項の規定により報告を受けた場合は、直ちに総括保護責任者に当該事案について報告するとともに、すみやかに被害の拡大防止又は復旧等のために必要な措置を講じなければならない。この場合において、保護管理者は、事案の発生した経緯、被害状況等を調査し、当該調査内容も併せて総括保護責任者に報告するものとする。
(法令等の違反に対する厳正な対処)
第46条 町は、職員が法令又は内部規程等に違反する行為を確認した場合には、法令又は内部規程等に基づき厳正に対処するものとする。
(事案の再発防止措置)
第47条 保護管理者は、事案の発生した原因を分析し、再発防止のために必要な措置を講じるともに、その内容を総括保護責任者に報告しなければならない。
2 総括保護責任者は、実施機関及び実施機関以外の機関における事案発生状況を分析し、類似事例の再発防止のために必要な措置の検討を行うものとする。
(公表等)
第48条 総括保護責任者は、第45条に規定する事案の内容、影響等に応じて、事実関係及び再発防止策の公表し、及び当該事案に係る保有特定個人情報等の本人への対応等の措置を講ずるものとする。
第10章 監査及び点検の実施
(監査)
第49条 総括保護責任者は、個人情報等の適正な取扱い並びに法、個人情報保護法、個人情報保護法施行条例、議会個人情報保護条例及びこの規程の遵守状況について、監査責任者に監査を行わせるものとする。
2 保護管理者及び職員は、前項の監査の実施に協力しなければならない。
(点検)
第50条 保護管理者は、自ら管理責任を有する個人情報等の記録媒体、処理経路、保管方法等について、定期及び臨時に点検を行い、必要があると認めるときは、その結果を総括保護責任者に報告しなければならない。
(評価及び見直し)
第51条 総括保護責任者及び保護管理者は、個人情報等の適切な管理のための措置について、監査又は自ら行う点検の結果を踏まえ、実効性の観点から評価し、必要があると認めるときは、その見直し等の適切な措置を講じなければならない。
第11章 雑則
(その他)
第52条 この規程に定めるもののほか、必要な事項は、町長が別に定める。
附則
この規程は、平成28年1月1日から施行する。
附則(平成31年3月5日訓令第18号)
この規程は、平成31年4月1日から施行する。
附則(令和5年3月31日訓令第6号)
この訓令は、デジタル社会の形成を図るための関係法律の整備に関する法律(令和3年法律第37号)附則第1条第7号に掲げる規定(同法第51条の規定に限る。)の施行の日から施行する。
附則(令和5年3月31日訓令第7号)
この規程は、令和5年4月1日から施行する。
