○太良町特定個人情報の取扱いに関する管理規程

平成28年6月14日

訓令第20号

目次

第1章 総則

第1節 通則(第1条・第2条)

第2節 特定個人情報の管理体制等(第3条―第9条)

第2章 特定個人情報の管理

第1節 特定個人情報の取得、利用等の制限(第10条―第13条)

第2節 情報システム管理課において行う安全管理措置(第14条―第23条)

第3節 特定個人情報を保有する課等において行う安全管理措置(第24条―第35条)

第3章 特定個人情報の業務の委託等(第36条・第37条)

第4章 安全確保上の問題への対応(第38条・第39条)

第5章 監査及び点検の実施(第40条―第43条)

附則

第1章 総則

第1節 通則

(目的)

第1条 この規程は、本町の保有する特定個人情報(行政手続における特定の個人を識別するための番号の利用等に関する法律(平成25年法律第27号。以下「番号法」という。)第2条第8項に規定する特定個人情報をいう。以下同じ。)について、その適切な管理に必要な事項を定めることにより、本町の行政の適正かつ円滑な運営を図りつつ、個人の権利利益を保護することを目的とする。

(定義)

第2条 この規程において使用する用語は、番号法において使用する用語の例によるほか、次に掲げる用語の意義は、それぞれ当該各号に定めるところによる。

(1) 実施機関 太良町個人情報保護条例(平成15年太良町条例第28号)第2条第1号に規定する実施機関をいう。

(2) 課等 太良町課設置条例(昭和30年太良町条例第25号)に規定する課並びに教育委員会、議会事務局、会計課、選挙管理委員会事務局、監査委員事務局、農業員委員会事務局及び地方公営企業法(昭和27年法律第292号)第4条の規定により設置される公営企業をいう。

(3) 統括情報セキュリティ責任者 太良町情報セキュリティポリシー(以下「情報セキュリティポリシー」という。)に規定する統括情報セキュリティ責任者をいう。

(4) 情報セキュリティ管理者 情報セキュリティポリシーに規定する情報セキュリティ管理者をいう。

第2節 特定個人情報の管理体制等

(最高総括特定個人情報保護責任者等)

第3条 最高総括特定個人情報保護責任者(以下「最高総括責任者」という。)は、副町長をもって充てる。

2 特定個人情報を取り扱う課等に総括特定個人情報保護責任者(以下「総括責任者」という。)を1人置くこととし、課等の長をもって充てる。

3 特定個人情報を取り扱う課等に当該課等の保護責任者が指定する職員(以下「事務取扱担当者」という。)を1人又は複数置く。

4 監査責任者は、総務課長をもって充てる。

(最高総括責任者等の任務)

第4条 最高総括責任者は、本町の保有する特定個人情報の管理に関する事務を総括する。

2 総括責任者は、最高総括責任者を補佐し、課等における特定個人情報の管理に関する事務を総括する任に当たる。

3 保護責任者は、課等における特定個人情報の適切な管理を確保する任に当たる。特定個人情報を情報システムで取り扱う場合、保護責任者は、情報セキュリティ管理者と連携して、その任に当たる。

4 事務取扱担当者は、保護責任者を補佐し、課等における特定個人情報の管理に関する事務を担当する。

5 監査責任者は、特定個人情報の管理の状況について監査する任に当たる。

(組織体制)

第5条 最高総括責任者は、本町の保有する特定個人情報の管理に係る重要事項の決定のためその他必要があると認めるときは、関係職員を構成員とする委員会を設け、定期に又は随時に開催する。

2 最高総括責任者は、次に掲げる場合の組織体制等を整備する。

(1) 事務取扱担当者がこの規程等に違反している事実又は兆候を把握した場合の最高総括責任者への報告連絡体制

(2) 特定個人情報等の漏えい、滅失又は毀損等(以下「情報漏えい等」という。)事案の発生又は兆候を把握した場合の最高総括責任者への報告連絡体制

(3) 特定個人情報等を複数の課等で取り扱う場合の任務分担及び責任の明確化

(4) 特定個人情報等の情報漏えい等の事案の発生又は兆候を把握した場合の対応の体制及び手順等

(事務取扱担当者等の指定)

第6条 保護責任者は、特定個人情報を取り扱う事務取扱担当者及びその役割を指定する。

2 保護責任者は、事務取扱担当者取り扱う特定個人情報の範囲を指定する。

(職員の責務)

第7条 職員(非常勤職員及び臨時職員を含む。以下この条において同じ。)は、番号法の趣旨に則り、関連する条例及び規程等の定め並びに最高総括責任者、総括責任者、保護責任者及び事務取扱担当者の指示に従い、特定個人情報を取り扱わなければならない。

2 職員は、個人番号利用事務又は個人番号関係事務(以下「個人番号利用事務等」という。)を処理するために必要な場合その他番号法で定める場合を除き、特定個人情報ファイルを作成してはならない。

3 職員は、特定個人情報の情報漏えい等の事案の発生又は兆候を把握した場合及び事務取扱担当者がこの規程等に違反している事実又は兆候を把握した場合は、速やかに保護責任者に報告しなければならない。

(統括情報セキュリティ責任者等との連携)

第8条 統括情報セキュリティ責任者は、本町において取り扱う特定個人情報の適切な管理のため、情報セキュリティポリシーにおいて、次に掲げる事項を定めるものとする。

(1) 特定個人情報のアクセス制限に関すること。

(2) 特定個人情報の暗号化に関すること。

(3) 特定個人情報の複製等の制限に関すること。

(4) 特定個人情報が記録された媒体の保管等に関すること。

(5) 特定個人情報の廃棄等に関すること。

(6) 特定個人情報のバックアップに関すること。

2 特定個人情報ファイル等を取り扱う課等において実施されるセキュリティ対策は、情報セキュリティポリシーの規定に従うとともに、情報セキュリティ管理者による指導及び監督のもとで行われなければならない。

(教育研修)

第9条 最高総括責任者は、保護責任者に対し、課等における特定個人情報の適正な管理のために必要な研修を行うとともに、特定個人情報を取り扱う事務取扱担当者に対し、特定個人情報の取扱いについて理解を深め、特定個人情報の保護に関する意識の高揚を図るための啓発その他必要な教育研修を行う。

2 情報セキュリティ管理者は、特定個人情報を取り扱う情報システムの管理に関する事務に従事する職員に対し、特定個人情報の適切な管理のために、情報システムの管理、運用及びセキュリティ対策に関して必要な教育研修(民間事業者等が行う情報セキュリティ研修を含む。)に参加する機会を付与する等の必要な措置を講ずる。

3 保護責任者は、当該課等の職員に対し、保有する特定個人情報の適切な管理のために、最高総括責任者の実施する教育研修への参加の機会を付与する等の必要な措置を講ずる。

第2章 特定個人情報の管理

第1節 特定個人情報の取得、利用等の制限

(個人番号の利用の制限及び特定個人情報保護評価の実施)

第10条 実施機関の長は、個人番号の利用に当たっては、番号法によりあらかじめ限定的に定められた事務に限定しなければならない。

2 実施機関の長は、特定個人情報ファイル(専ら当該実施機関の長等の職員又は職員であった者の人事、給与又は福利厚生に関する事項を記録するものその他の特定個人情報保護委員会規則で定めるものを除く。以下この条において同じ。)を保有しようとするときは、当該特定個人情報ファイルを保有する前に、番号法第28条の規定による特定個人情報保護評価を実施しなければならない。当該特定個人情報ファイルについて、特定個人情報保護委員会規則で定める重要な変更を加えようとするときも、同様とする。

(特定個人情報の提供の求めの制限)

第11条 実施機関の長は、個人番号利用事務等を処理するために必要な場合その他番号法で定める場合を除き、個人番号の提供を求めてはならない。

(特定個人情報ファイルの作成の制限)

第12条 実施機関の長は、個人番号利用事務等を処理するために必要な場合その他番号法で定める場合を除き、特定個人情報ファイルを作成してはならない。

(特定個人情報等の収集・保管の制限)

第13条 実施機関の長は、番号法第19条各号のいずれかに該当する場合を除き、他人の個人番号を含む個人情報を収集又は保管してはならない。

第2節 情報システム管理課において行う安全管理措置

(アクセス制限)

第14条 情報セキュリティ管理者は、課等において取り扱う特定個人情報(情報システムで取り扱うものに限る。以下第2節において同じ。)について、パスワード等(パスワード、ICカード、生体情報等をいう。以下同じ。)を使用して権限を識別する機能(以下「認証機能」という。)を設定する等アクセス制限のために必要な措置を講じなければならない。

(アクセス記録)

第15条 情報セキュリティ管理者は、特定個人情報へのアクセス状況を記録し、その記録(以下アクセス記録」という。)を一定の期間保存し、定期に又は随時に分析するために必要な措置を講じなければならない。

2 情報セキュリティ管理者は、アクセス記録の改ざん、窃取又は不正な消去の防止のために必要な措置を講じなければならない。

(暗号化)

第16条 情報セキュリティ管理者は、特定個人情報ファイルの内容に応じて、その暗号化のために必要な措置を講じなければならない。

(バックアップ)

第17条 情報セキュリティ管理者は、特定個人情報ファイルのバックアップの作成等、必要に応じて特定個人情報ファイルの分散保管のための措置を講ずるものとする。

(管理者権限の設定)

第18条 情報セキュリティ管理者は、情報システムの管理者権限の特権を不正に窃取された際の被害の最小化及び内部からの不正操作等の防止のため、当該特権を最小限とする等の必要な措置を講じなければならない。

(外部からの不正アクセスの防止)

第19条 情報セキュリティ管理者は、特定個人情報を取り扱う事務において使用する情報システムについて、インターネットから独立する等の高いセキュリティ対策を踏まえたシステム構築及び運用体制整備のために必要な措置を講じなければならない。

2 情報セキュリティ管理者は、特定個人情報を取り扱う情報システムへの外部からの不正アクセスを防止するため、ファイアウォールの設定による経路制御等の必要な措置を講じなければならない。

(不正プログラムによる漏えい等の防止)

第20条 情報セキュリティ管理者は、不正プログラムによる特定個人情報の情報漏えい等の防止のため、ソフトウェアに関する公開された脆弱性の解消、把握された不正プログラムの感染防止等に必要な措置(導入したソフトウェアを常に最新の状態に保つことを含む。)を講じなければならない。

(管理区域の立入り等)

第21条 情報セキュリティ管理者は、特定個人情報を取り扱う基幹的なサーバ等の機器を設置する室及びその他の区域(以下「情報システム室等」という。)に立ち入る権限を有する者を定めるとともに、用件の確認、入退の記録、部外者についての識別化、部外者が立ち入る場合の職員の立会い又は監視設備による監視、外部電磁的記録媒体等の持込み、利用及び持ち出しの制限又は検査等の措置を講じなければならない。

2 情報セキュリティ管理者は、必要があると認めるときは、情報システム室等の出入口の特定化による入退の管理の容易化、所在表示の制限等の措置を講じなければならない。

3 情報セキュリティ管理者は、情報システム室等及び保管施設の入退の管理について、立入りに係る認証機能等を設定するとともに、パスワード等の管理に関する定めの整備(その定期又は随時の見直しを含む。)及びその読取防止等を行うために必要な措置を講じなけれならない。

(情報システム室等の管理)

第22条 情報セキュリティ管理者は、外部からの不正な侵入に備え、情報システム室等に施錠装置、警報装置、監視設備の設置等の措置を講じなければならない。

2 情報セキュリティ管理者は、災害等に備え、情報システム室等に、耐震、防火、防煙、防水等の必要な措置を講ずるとともに、サーバ等の機器の予備電源の確保、配線の損傷防止等の措置を講じなければならない。

(端末の限定及び盗難防止)

第23条 情報セキュリティ管理者は、特定個人情報等の処理を行う端末を限定するために必要な措置を講じなければならない。

2 情報セキュリティ管理者は、端末の盗難又は紛失の防止のため、課等の状況に応じ、端末の固定等必要な措置を講じなければならない。

第3節 特定個人情報を保有する課等において行う安全管理措置

(特定個人情報の取扱い)

第24条 保護責任者は、課等で取り扱う特定個人情報について、情報セキュリティポリシー等により定められる特定個人情報の取扱方法に準拠し、必要な措置を講じなければならない。

(アクセス制限)

第25条 保護責任者は、特定個人情報にアクセスする権限を有する者をその利用目的を達成するために必要最小限の範囲に限定するとともに、パスワード等の適切な管理及びパスワード等の読取防止等を行うために必要な措置を講じなければならない。

2 アクセス権限を有しない職員は、特定個人情報にアクセスしてはならない。

3 事務取扱担当者は、アクセス権限を有する場合であっても、業務上の目的以外の目的で特定個人情報にアクセスしてはならない。

(暗号化)

第26条 保護責任者は、次に掲げる行為については、情報セキュリティポリシーにおいて定められた方法に従い、特定個人情報(情報システムに係るものに限る。)の暗号化を行わなければならない。

(1) 特定個人情報のファイルサーバ(当該特定個人情報に係るアクセス権限を有する課員のみがアクセスすることが可能なファイルサーバを除く。)への保存

(2) 特定個人情報の外部電磁的記録媒体(電磁的記録を記録する媒体であって、電子計算機や通信回線装置に内蔵されるもの(内臓電磁的記録媒体)以外の電磁的記録媒体をいう。)等への記録

(3) 特定個人情報が記録されている外部電磁的記録媒体等の外部への持出し

(4) その他特定個人情報の適切な管理に支障を及ぼすおそれのある行為

(複製等の制限)

第27条 保護責任者は、次に掲げる行為については、情報セキュリティポリシーにおいて定められた方法によりこれを行わなければならない。

(1) 特定個人情報の複製

(2) 特定個人情報の送信

(3) 特定個人情報が記録されている媒体の外部への送付又は持出し

(4) その他特定個人情報の適切な管理に支障を及ぼすおそれのある行為

(媒体の管理等)

第28条 事務取扱担当者は、保護責任者の指示に従い、特定個人情報が記録されている媒体を定められた場所に保管するとともに、必要があると認めるときは、耐火金庫への保管、施錠等の措置を講じなければならない。

(記録機能を有する機器・媒体の接続制限)

第29条 保護責任者は、特定個人情報の情報漏えい等の防止のため、スマートフォン、USBメモリ等の記録機能を有する機器・媒体の情報システム端末等への接続の制限(当該機器の更新への対応を含む。)等の必要な措置を講じなければならない。

(第三者の閲覧防止)

第30条 保護責任者は、端末の使用に当たっては、特定個人情報が第三者に閲覧されることがないよう、使用状況に応じて情報システムからログオフを行うことを徹底する等の必要な措置を講じなければならない。

(特定個人情報の取扱い状況等の記録)

第31条 保護責任者は、特定個人情報が含まれるファイルの利用及び保管等の取扱状況を確認するため、次に掲げる事項を含めて台帳等に記録(特定個人情報を除く。)しなければならない。

(1) 当該課等の名称

(2) 特定個人情報ファイルの利用目的

(3) 特定個人情報ファイルに記載される項目及び本人として特定個人情報ファイルに記載される個人の範囲

(4) 特定個人情報ファイルに記載される特定個人情報の収集方法

(特定個人情報を取り扱う区域等の管理)

第32条 保護責任者は、特定個人情報を取り扱う事務を実施する区域(以下「取扱区域」という。)を明確にし、物理的な安全管理措置を講じなければならない。

2 保護責任者は、特定個人情報ファイルを取り扱う情報システムを管理する区域(以下「管理区域」という。)を明確にし、入退室管理及び管理区域へ持ち込む機器等の制限等、物理的な安全管理措置を講じなければならない。

(機器及び電子媒体等の盗難等の防止等)

第33条 保護責任者は、取扱区域及び管理区域において特定個人情報が記録されている機器、電子媒体及び書類等の盗難又は紛失等を防止するため、耐火金庫等への保管、施錠等、物理的な安全管理措置を講じなければならない。

(誤りの訂正等)

第34条 事務取扱担当者は、特定個人情報の内容に誤りを発見した場合には、保護責任者の指示に従い、当該誤りの訂正等を行わなければならない。

(廃棄等)

第35条 保護責任者は、特定個人情報又は特定個人情報が記録されている媒体(端末及びサーバに内蔵されている者を含む。)及び書類等が不要となった場合には、当該特定個人情報の復元又は判読が不可能な方法により当該情報の消去又は当該媒体の廃棄を行わなければならない。

2 保護責任者は、特定個人情報が記録されている媒体(端末及びサーバに内蔵されている者を含む。)及び書類等について、太良町文書事務取扱規程(平成3年太良町訓令第2号)第33条第1項において定める保存期間又は法令等により定められた保存期間を経過したときは、速やかに当該特定個人情報の復元又は判読が不可能な方法により当該情報の消去又は当該媒体の廃棄を行わなければならない。

第3章 特定個人情報の業務の委託等

(委託・再委託)

第36条 特定個人情報の取扱いに係る業務を外部に委託(請負契約のための発注を含む。以下この条において同じ。)する者は、番号法の規定に基づき本町が果たすべき安全管理措置と同等の措置が講じられるよう、特定個人情報の適切な管理を行う能力を有すると認める者と契約しなければならない。

2 委託に関する契約書には、次に掲げる事項を記載する。

(1) 特定個人情報に関する秘密保持、目的外利用の禁止等の義務

(2) 再委託の制限又は事前承認等再委託に係る条件に関する事項

(3) 特定個人情報の複製等の制限に関する事項

(4) 特定個人情報の安全確保に関する事項

(5) 特定個人情報の漏えい等の事案の発生時における対応に関する事項

(6) 特定個人情報の管理の状況についての調査に関する事項

(7) 契約終了時における特定個人情報が記録された媒体の返却に関する事項

(8) 違反した場合における契約解除の措置、損害賠償責任その他必要な事項

3 特定個人情報の取扱いに係る業務を外部に委託する者は、委託先において、番号法に基づき本町が果たすべき安全管理措置と同等の措置が講じられるか否かについて、あらかじめ確認するとともに、必要かつ適切な監督を行わなければならない。

4 特定個人情報の取扱いに係る業務を外部に委託をする者は、委託を受けた者が個人番号利用事務等の全部又は一部の事務を再委託しようとする場合、委託をする個人番号利用事務等において取り扱う特定個人情報の適切な安全管理措置が図られることを確認した上で再委託の諾否を判断しなければならない。

5 特定個人情報の取扱いに係る業務を外部に委託する者は、契約を締結した後、委託先における管理体制等必要な事項について書面で確認するとともに、委託先における特定個人情報の管理の状況について、年1回以上の定期的検査等により確認しなければならない。

(派遣労働者の派遣を受ける場合の措置)

第37条 特定個人情報の取扱いに係る業務を派遣労働者に行わせる者は、労働者派遣契約書に秘密保持義務等個人情報の取扱いに関する事項を明記しなければならない。

第4章 安全確保上の問題への対応

(事故の報告)

第38条 特定個人情報の情報漏えい等の事案の発生又は兆候を把握した場合及び事務取扱担当者がこの規程等に違反している事実又は兆候を把握した場合等、安全確保上で問題となる事案が発生したことを知った職員は、速やかに当該特定個人情報を管理する保護責任者にその旨を報告しなければならない。

2 保護責任者は、前項の規定により職員から報告を受けたときは、速やかに直属の総括責任者(情報セキュリティに関する事故の場合は情報セキュリティ管理者への報告を含む。次項において同じ。)及び最高総括責任者に報告するとともに、被害の拡大防止又は復旧等のために必要な措置を講じなければならない。

3 保護責任者は、前項の措置を講じた後、速やかに、事案の発生した経緯、被害状況等を調査し、その調査結果を直属の総括責任者及び最高総括責任者に報告しなければならない。ただし、軽易な事案としてこの規程のほかに定めのある事項については、最高総括責任者への報告を要しない。

4 保護責任者は、事案の内容、影響等に応じて、事実関係の公表、当該事案に係る本人への対応等の措置を講じなければならない。

(再発防止措置)

第39条 保護責任者は、特定個人情報の漏えいその他特定個人情報の管理に関して問題となる事案が発生した場合には、前条第3項の調査結果に基づき、当該事案の発生した原因を分析し、再発防止のために必要な措置を講じなければならない。

2 保護責任者は、事案の内容、影響等に応じて、前項の規定により講じた措置を公表しなければならない。

第5章 監査及び点検の実施

(点検)

第40条 保護責任者は、自ら管理責任を有する特定個人情報等の記録媒体、処理経路、保管方法等について、定期に及び必要に応じ随時に点検を行い、その結果を総括責任者に報告するものとする。

2 総括責任者は、必要があると認めるときは、前項の点検の結果を最高総括責任者に報告する。

(監査)

第41条 監査責任者は、特定個人情報の管理及び利用の状況について、定期に及び必要に応じ随時に監査を行い、その結果を最高総括責任者に報告する。

2 監査責任者は、被監査部門から独立した者(次項において「監査事務実施者」という。)をもって、前項の監査に必要な事務を行わせることができる。

3 監査事務実施者は、前項の規定により監査を行った場合には、その結果を監査責任者に報告する。

(評価及び見直し)

第42条 最高総括責任者は、特定個人情報の適切な管理のための措置について、点検又は監査の結果等を踏まえ、実効性等の観点から評価し、必要があると認めるときは、その見直し等を行う。

(委任)

第43条 この規程に定めるもののほか、この規程の施行に関し必要な事項は、実施機関が別に定める。

附 則

この規程は、公布の日から施行し、平成28年3月31日から適用する。

附 則(平成29年9月15日訓令第35号)

この規程は、公布の日から施行し、平成29年5月30日から適用する。

太良町特定個人情報の取扱いに関する管理規程

平成28年6月14日 訓令第20号

(平成29年9月15日施行)

体系情報
第3編 執行機関/第1章 長/第6節 番号制度
沿革情報
平成28年6月14日 訓令第20号
平成29年9月15日 訓令第35号