公立大学法人大阪における個人情報の取扱い及び管理に関する規程
平成31年４月１日
規程第13号（目的）第１条

この規程は、個人情報の保護に関する法律（平成15年法律第57号。以下「個人情報保護法」という。）、個人情報の保護に関する法律施行令（平成15年政令第507号。以下「令」という。）、個人情報の保護に関する法律施行規則（平成28年個人情報保護委員会規則３号。以下「施行規則」という。）、及び大阪府個人情報の保護に関する法律施行条
例（令和４年大阪府条例第60号。以下「条例」という。）、大阪府個人情報の保護に関する法律施行細則（令和５年大阪府規則第18号。以下、「施行細則」という。）に定めるもののほか、公立大学法人大阪（以下「法人」という。）における個人情報の取扱いに関し必要な事項を定め、個人情報取扱事務の適正な執行を図ることを目的とする。
２

学術研究の用に供する目的で取り扱う個人情報について、個人情報保護法第18条第１項および第２項（利用目的による制限）、第20条第２項（要配慮個人情報取得の制限）、第27条第１項（個人情報の第三者提供の制限）においては、個人の権利利益を不当に侵害する恐れがある場合を除き例外規定により適用除外となるが、学問の自由の趣旨を尊重しつつ、適切な取扱いに努めるものとする。
（定義）

第２条

この規程の用語は、次に定めるもののほか、個人情報保護法、行政手続における特定の個人を識別するための番号の利用等に関する法律（平成25年法律第27号。以下「番号法」という。）、その他関連法令、条例及び施行細則において定めるところによる。
２

この規程において、次の各号に掲げる用語の意義は、当該各号に定めるところによる。
1 部局等 別表に掲げるものをいう。
2 教職員等 法人の役員、教職員及び非常勤職員等法人に勤務するものをいう。
3 個人情報 個人情報保護法第２条第１項に規定する個人情報をいう。
4 要配慮個人情報 個人情報保護法第２条第３項及び令第２条に規定する要配慮個人情報をいう。
5 特定個人情報 番号法第２条第８項に規定する特定個人情報をいう。
（医学部附属病院に関する特例）

第３条

医学部附属病院が診療行為に伴い業務上取得又は作成した患者（死亡した者を含む。

以下同じ。）、患者の関係者その他の利用者等の個人情報については、別に定める。

（管理体制等）
第４条

法人における個人情報取扱事務の適正な執行を図るため、個人情報総括保護管理者（以下「総括者」という。）を置き、総務を担当する理事をもって充てる。
２

総括者は、法人における個人情報の適正な管理を総括する。

３

部局等における個人情報保護の適正な執行を図るため、部局等に個人情報保護管理者（以下「保護管理者」という。）を置き、部局等の長の職にある者をもって充てる。

４

管理者の事務を補助するため、部局等に個人情報保護担当者（以下「保護担当者」という。）を置き、管理者が指定する教職員等をもって充てる。

５

前２項の規定により保護管理者及び保護担当者を置いた場合は、保護管理者から総括者へ報告する。

６

法人における個人情報保護の適正な執行を監査するため、法人に個人情報保護監査責任者（以下「情報監査責任者」という。）を置き、理事長が指名する監事をもって充てる。
（教職員等の責務）

第５条

個人情報を取り扱う教職員等（以下「担当教職員」という。）は、法令、施行規則、条例、施行細則、法人規程等及び総括者、保護管理者、保護担当者その他上司の指示により、個人情報を適正に取り扱わなければならない。
２担当教職員又は担当教職員であった者は、職務上知り得た個人情報をみだりに他人に知らせ、又は不当な目的に使用してはならない。
（取扱区域）

第６条

保護管理者は、個人情報を取り扱う事務を実施する区域を明確にするなど物理的安全管理措置を講ずる。
（個人情報の取扱いにおける条例等の確認等）
第７条

部局等において、新たに個人情報の収集、利用及び提供の事務を伴う業務（以下「個人情報取扱事務」という。）を行おうとするときは、当該担当教職員及び保護担当者は、個人情報の取扱いが個人情報保護法、番号法及び条例に適合することを確認しなければならない。個人情報取扱事務における個人情報の取扱いを変更しようとするときも同様とする。
２

保護担当者は、前項の場合において個人情報の取扱いに疑義がある場合は、保護管理者と協議しなければならない。

３

前項の協議を受けた保護管理者は、個人情報取扱事務における個人情報の取扱いが個人情報保護法、番号法及び条例に適合しているかを確認しなければならない。保護管理者は、個人情報の取扱いに疑義がある場合は、総括者と協議しなければならない。
４

前項の協議を受けた総括者は、個人情報取扱事務における個人情報の取扱いが個人情報保護法、番号法及び条例に適合しているかを確認しなければならない。総括者は、個人情報の取扱いに疑義がある場合は、理事長へ報告しなければならない。
（個人情報取扱事務等の明確化等）

第８条

保護管理者は、個人情報取扱事務を行うに当たっては、個人情報取扱事務の範囲、当該事務において取り扱う個人情報の範囲、当該事務の担当教職員を明確にしておかなければならない。なお、担当教職員の範囲と権限の内容、及び保有個人情報へのアクセスについては、当該個人情報取扱事務の実施に当たり必要最小限とする。
２

個人情報を複数の部局等において取り扱う場合は、当該個人情報を取り扱う部局等の管理者間において、その分担及び責任の明確化を図る。
（個人情報ファイル簿の作成及び公表）

第９条

部局等において、個人情報ファイルを保有しようとするときは、個人情報保護法第75条及び令第21条の規定に基づき、個人情報ファイルを作成し、管理者を通じ総括者に届けなければならない。総括者は、保有している個人情報ファイルについて、個人情報ファイル簿を作成し、公表しなければならない。
２

部局等において、個人情報ファイル簿に記載すべき事項に変更があった時は、直ちに当該個人情報ファイル簿を修正しなければならない。また、個人情報ファイル簿に掲載した個人情報ファイルの保有を止めたとき、もしくは当該個人情報ファイル簿に含まれる本人の数が1,000人未満となった場合、遅滞なく当該個人情報ファイルについての記載を削除しなければならない。
（個人情報取扱事務登録簿）

第10条

部局等において、個人情報取扱事務を開始しようとするときは、条例第４条の規定による個人情報取扱事務登録簿（以下、登録簿）を作成し、保護管理者を通じ総括者に届けなければならない。総括者は、登録簿を登録しなければならない。登録した事項を変更しようとするときも、同様とする。
２

部局等において、登録した個人情報取扱事務を廃止したときは、遅滞なく総括者に届け、当該個人情報取扱事務に係る登録を登録簿から抹消しなければならない。

３

登録簿の作成、登録及び変更については、大阪府個人情報取扱事務登録簿作成要領の規定の例による。
（収集の制限）第11条

担当教職員は、個人情報を収集するときは、法人の業務（公立大学法人大阪定款第23条に定める業務をいう。）を遂行する目的のため必要な場合に限り、あらかじめ個人情報を取り扱う目的を具体的に明らかにし、当該目的の達成のために必要な範囲内で収集しなければならない。
２担当教職員は、個人情報を収集するときは、偽りその他不正の手段により個人情報を取得してはならない。

３

担当教職員は、本人から直接当該本人の個人情報を収集するときは、あらかじめ、本人に対し、当該個人情報を取り扱う目的を具体的に明示するよう努めなければならない。

４担当教職員は、あらかじめ本人の同意を得ることなく要配慮個人情報（番号法第20条の規定により収集してはならない特定個人情報を除く。）を収集してはならない。ただし、個人情報保護法第20条第２項各号に掲げられる場合を除くほか、法令若しくは条例の規定に基づくとき、又は個人情報取扱事務の目的を達成するために当該個人情報が必要であり、かつ、欠くことができないと法人が認めるときは、この限りでない。

５

前各項の規定にかかわらず、担当教職員は、番号法に基づき法人による収集が認められた場合を除き特定個人情報を収集してはならない。また、特定個人情報の収集に際しては、番号法、条例及びこの規程をはじめとする法人規程等を遵守しなければならない。
（特定個人情報の利用の制限）

第12条

法人は、番号法第19条各号に該当する場合を除き、特定個人情報を提供してはならない。
（適正管理）
第13条

担当教職員は、個人情報取扱事務において収集した個人情報の適切な管理を行うため、個人情報が記録された、公立大学法人大阪公文書管理規程第２条第１号の規定による公文書（以下「公文書」という。）を、保護管理者が定めた原則として施錠可能な保管庫等で保管しなければならない。
２

保護管理者は、前項の保管庫等について、担当教職員等のみが立ち入ることのできる区域に設置する。

３

担当教職員は、特定個人情報及び要配慮個人情報が記録された公文書については、当該保管庫等に施錠して保管することや電磁的記録媒体に記録する場合には暗号化するなど、より厳重に保管しなければならない。

４

保護管理者は、保有する個人情報について、個人情報取扱事務の目的を達成するために必要な範囲内で、正確かつ最新の状態に保つよう努めなければならない。

５

保護管理者は、個人情報の送付、送信、複製、持出し等については、必要最小限の教職員のみ当該行為を行う事ができるように限定し、保有個人情報を含む電磁的記録又は媒体の誤送信・誤送付・誤交付、又はウェブサイト等への誤掲載を防止するため、複数の教職員による確認やチェックリストの活用等の必要な措置を講じなければならない。

６

保護管理者は、部局等における個人情報取扱事務に応じて、具体的な個人情報の取扱方法を整備し、また、個人情報の利用及び保管等の取扱状況を記録しなければならない。
（利用及び提供の制限）

第14条

法人は、個人情報を取り扱うに当たっては、その利用の目的を出来る限り特定しなければならない。また、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。
２

法人は、あらかじめ本人の同意を得ないで、前項の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。ただし、個人情報保護法第18条第３項各号に掲げる場合を除く。

３

法人は、個人情報保護法第27条第１項各号に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
（特定個人情報の利用の制限）

第15条

担当教職員は、個人情報取扱事務の目的以外に特定個人情報を法人内において利用してはならない。
２

前項の規定にかかわらず、法人は、個人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意があり、又は本人の同意を得ることが困難であるときは、個人情報取扱事務の目的以外に特定個人情報（情報提供等の記録を除く。）を法人内において利用することができる。ただし、特定個人情報を当該目的以外に法人内において利用することによって、本人又は第三者の権利利益を不当に侵害するおそれがあると認められるときは、この限りでない。
（廃棄）

第16条

担当教職員は、保有個人情報又は保有個人情報が記録されている媒体（端末及びサーバに内蔵されているものを含む）が不要となった場合には、速やかに当該保有個人情報の復元又は判読が不可能な方法により当該情報の消去又は当該媒体の廃棄を行わなければならない。ただし、歴史的文化的価値を有する資料として保存されるものについては、この限りでない。
２

個人情報を含むデータ（電子計算機若しくは情報システムを利用して作成され、若しくは記録され、又は情報通信ネットワークを利用して処理される情報をいう。）の廃棄は、本条に定めるもののほか、公立大学法人大阪情報セキュリティの基本方針に関する規程及び公立大学法人大阪情報セキュリティ対策規程等の定めるところによる。
（点検及び監査）第17条

保護管理者は、部局等が保有する個人情報が記録されている媒体、処理経路、保管方法等について定期に又は随時に（特定個人情報を取り扱う事務にあっては定期に及び必要に応じ随時に）点検を行い、その結果を総括者に報告する。
２

情報監査責任者は、部局等が保有する個人情報の管理の状況について、定期に又は随時に（特定個人情報を取り扱う事務にあっては定期に及び必要に応じ随時に）監査を行い、その結果を総括者に報告する。

３

総括者は、第１項の点検及び前項の監査の結果等を踏まえ、必要があると認めるときは、個人情報の取扱いについて必要な見直し等の措置を講じる。
（情報システムにおける安全の確保等）

第18条

電子計算機又は情報通信ネットワーク（以下「情報システム」という。）を利用して個人情報を取り扱う場合においては、公立大学法人大阪情報セキュリティの基本方針に関する規程及び公立大学法人大阪情報セキュリティ対策規程等に基づき、情報システムの安全の確保等の措置を講じる。
（研修の実施）第19条

総括者は、部局等に対し、個人情報の適正な取扱いのために必要な教育研修を実施する。
２

保護管理者及び保護担当者は、担当教職員等に対し、個人情報の適正な取扱いのために必要な研修を実施する。
（委託に伴う措置等）

第20条

個人情報取扱事務を法人以外のものに委託する場合は、委託先に対して必要かつ適切な監督を行う。
２

個人情報取扱事務を派遣労働者によって行わせる場合は、保護管理者は、労働者派遣契約書に秘密保持義務等個人情報の取扱いに関する事項が明記されるよう必要な措置を講じるものとする。
（情報漏えい等への対応）

第21条

担当教職員は、情報漏えい等の事案の発生若しくは兆候を把握した場合又は個人情報保護法、令、施行規則、条例、施行細則、法人規程等に違反している事実若しくは兆候を把握した場合は、直ちに保護管理者及び保護担当者に報告する。
２

前項の規定により報告を受けた保護管理者及び保護担当者は、直ちに、事務局総務部総務課（以下、「総務課」という。）に報告するとともに、被害の拡大防止又は復旧、情報漏えい等の対象となった本人への対応等のための必要な措置を講じ、また、情報漏えい等に係る事実関係の調査、原因の分析、影響範囲の特定並びに再発防止策の策定及び実施を行う。また、報告を受けた総務課より、直ちに総括者へ報告を行い、総括者の指示に基づき、関連部署へと連絡調整を行う。

３

前項の規定により報告を受けた総括者は特に重大と認める事案が発生した場合には、速やかに情報漏えい等に係る内容等に関して理事長へ報告する。
４

保護管理者もしくは保護担当者は、漏えい等の事案の内容、影響等に応じて、個人情報保護委員会に報告するとともに、二次被害の防止、類似事案の発生防止の観点から、速やかに、情報漏えい等に係る事実関係、再発防止策等について公表を行う。

５

個人情報取扱事務を委託する事業者において情報漏えい等が発生した場合は、前各項の取扱いに準じて適切に対応するとともに、当該事業者に対して、個人情報の適正管理に関しての指導を行い、また、事実関係、再発防止策等が記載された報告書の提出を求める。
（縦覧、開示、訂正及び利用停止手続等）

第22条

個人情報の開示、訂正及び利用停止（以下「開示等」という。）に係る手続その他

個人情報保護法の施行については、令、施行規則の例による。また、条例が定める縦覧並びに開示等に係る写しの交付に要する費用、その他条例の施行については、施行細則の例による。
２ 個人情報保護法第89条第２項に定める手数料の額は、零円とする。
３

開示等の手続に係る事務は、総務課において行う。
（継続的改善）第23条

この規程は、継続的に見直し、その改善に努める。

（苦情の処理）第24条

法人は、現に保有している個人情報の取扱いについて苦情の申出があったときは、適切かつ迅速にこれを処理するよう努めなければならない。
（委任）
第25条

この規程に定めるもののほか、個人情報保護法、令、施行規則、又は条例、施行細則の実施に関し、法人において必要な事項は、総括者が定める。
附則

この規程は、平成31年４月１日から施行する。
附 則 (令和4年4月1日規程第301号)
この規程は、令和４年４月１日から施行する附 則(令和5年4月1日規程第83号)（施行期日）
１

この規程は、令和５年４月１日から施行する（経過措置）
２

この条件の施行の際現に改正前の大阪府個人情報保護条例（以下「旧条例」という。）

第12条第１項若しくは第２項（旧条例第23条第３項、第31条第３項若しくは第32条第２項において準用する場合を含む）、第23条第1項第31条第１項又は第32条第１項（これらの規定を旧条例第53条の３において読み替えて準用する場合を含む。）の規定によりなされている
開示請求、訂正請求、利用停止請求又は是正の申し出については、改正後の大阪府個人情報の保護に関する法律施行条例の規定にかかわらず、なお従前の例による。
３

この条例の施行の際現に旧条例第35条第１項の規定により大阪府個人情報保護審議会に対してなされている諮問は、法第105条第３項において読み替えて準用する同条第１項の規定によりなされた諮問とみなす。

別表（第２条関係）(1) 現代システム科学研究科・現代システム科学域(2) 文学研究科・文学部(3) 法学研究科・法学部(4) 経営学研究科・商学部(5) 経済学研究科・経済学部(6) 都市経営研究科(7) 情報学研究科(8) 理学研究科・理学部(9) 工学研究科・工学部(10)

農学研究科・農学部(11)

獣医学研究科・獣医学部(12)

医学研究科・医学部(13)

リハビリテーション学研究科

(14)

看護学研究科・看護学部(15)

生活科学研究科・生活科学部(16)

国際基幹教育機構長(17)

研究推進機構

(18)

図書館機構

(19)

監査室

(20)

事務局総務部(21)

事務局企画部(22)

事務局学務部(23)

事務局学術研究支援部(24)

事務局高専事務部(25)

医学部・附属病院事務局