社会福祉法人
Ⅳ-5-2

福 祉 楽 団

特 定 個 人 情 報 取 扱 規 程

第1章

総則

（目的）
第1条

この規程は、社会福祉法人福祉楽団及びその設置する施設（以下「法人」という。）において、個人番号及び特定個人情報の適正な取り扱いを確保することを目的とする。
（定義）

第2条

この規程において、各用語の定義は次のとおりとする。
①

個人情報：本法人の利用者及び家族、並びに役員、職員、その他これらに準ずる者に関する情報であって、法人が業務上取得し、又は作成したもののうち、特定の個人が識別され、又は識別され得るものをいう。

②

個人番号：住民票コードが記載された住民票に係る者を識別するために指定されるものをいう。

③

特定個人情報：個人番号（個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号であって、住民票コード以外のものを含む。）をその内容に含む個人情報をいう。

④

特定個人情報等：個人番号及び特定個人情報をいう。

⑤

個人情報ファイル：特定個人情報ファイルであって、行政機関及び独立行政法人等以外の者が保有するものをいう。

⑥

特定個人情報ファイル：個人番号をその内容に含む個人情報ファイルをいう。

⑦

個人番号利用事務：行政機関、地方公共団体、独立行政法人等その他の行政事務を処理する者が、その保有する特定個人情報ファイルにおいて個人情報を効率的に検索し、及び管理するために必要な限度で個人番号を利用して処理する事務をいう。

⑧

個人番号関係事務：個人番号利用事務に関して行われる他人の個人番号を必要な限度で利用して行う事務をいう。

⑨

個人番号利用事務実施者：個人番号利用事務を処理する者及び個人番号利用事務の全部又は一部の委託を受けた者をいう。

⑩

個人番号関係事務実施者：個人番号関係事務を処理する者及び個人番号関係事務の全部又は一部の委託を受けた者をいう。

⑪

職員等：法人にあって、直接又は間接に法人の指揮監督を受けて、法人の業務に従事している者をいい、理事、評議員、監事等の役員、正職員、パートタイマー、などのすべての者を含む。

（適用関係）
第3条

本規程は、当法人のすべての職員等に適用する。
2

本規程は、当法人が取り扱うすべての特定個人情報等に適用する。

3

本規程は、特定個人情報等の取り扱いに関し、個人情報の保護に関する規程、その他の内部規程に優先して適用される。

第2章

組織体制

（法令等の遵守）第4条

法人は、行政手続における特定の個人を識別するための番号の利用等に関する法律（以下、「番号法」という。）その他の法令を遵守し、特定個人情報等を適正に取り扱うため、必要な組織体制を整備するとともに、本規程その他の内部規程を定め、これを運用する。
（事務取扱責任者）

第5条

法人は、特定個人情報等の管理に関する責任者として事務取扱責任者を置く。
2

事務取扱責任者は、サポートセンター長とする。

3

事務取扱責任者は、次の各号に定める事項及びその他法人における特定個人情報等に関するすべての権限と責務を有する。
①

特定個人情報等の適正な取り扱いに関する基本方針の作成、職員等への周知、一般への公表②

規 程に 基 づ き 特定 個 人 情 報等 の 取 扱 いを 管 理 す る上 で 必 要 とさ れ る
事項の決定・承認③

特定個人情報等の適正な取扱い、安全対策を維持・推進するための施策の策定・実施④

事故発生時の対応策の策定・実施（事務取扱担当者）
第6条

法人は、特定個人情報等に関する事務を取り扱う者として、事務取扱担当者を置く。
2

事務取扱担当者は、その取り扱う事務の範囲を定めた上で、事務取扱責任者が選任する。

3

事務取扱担当者は、特定個人情報等を取り扱う情報システム及び機器等をパスワードを定期的に変更するなど適切に管理し、利用権限のない者には使用させてはならない。
4

事務取扱担当者は、特定個人情報等に関する事務の運用状況を明確にするため、第 9 条に定める記録を作成する。

5

事務取扱担当者は、個人番号事務を行うにあたり別途定める誓約書を当法人へ提出しなければならない。
（基本方針の策定）

第7条

法人は、当法人における特定個人情報等の適正な取扱いを確保するため、特定個人情報等の適正な取扱いに関する基本方針を定める。
（法人が個人番号を取り扱う事務の範囲）

第8条

法 人 が 、個 人 番 号 関係 事 務 を 行う 事 務 の 範囲 は 以 下 に定 め る と ころ と する。
役職員（扶養家族を含む）

給与所得・退職所得の源泉徴収票作成事に係る個人番号関係事務

務及び所得税法に関する法廷調書作成事
務
扶養控除（異動）申告書作成事務
雇用保険届出事務
労働者災害補償保険法に基づく請求に関する事務
健康保険・厚生年金保険届出事務及び介護保険法に関する事務
国民年金第三号被保険者の届出事務
社会福祉施設等職員退職共済制度・確定拠出年金に関する事務

役職員以外の個人に係る個報酬・料金等の支払調書作成事務

人番号関係事務

不動産の使用料等の支払調書作成事務
不動産等の譲受けの対価の支払調書作成
事務

その他、番号法第 19 条各号のいずれかに該当し、特定個人情報の提供を受けることができる関連事務（取扱状況を確認する手段の整備）
第9条

法人は、特定個人情報ファイル等の取扱状況を確認するため、事務取扱責任者が別途定める事項を記録する。なお、取扱状況を確認するための記録等には、特定個人情報等は記載しない。
（本規程に基づく運用）

第 10 条法人は、当規程等に基づく運用状況を確認するため、利用実績を記録する。

第3章

特定個人情報等の取得、利用（個人番号の取得、提供の求め）
第 11 条法人は、個人番号関係事務を処理するために必要がある場合に限って、本人 又 は 他の 個 人 番 号関 係 事 務 実施 者 若 し くは 個 人 番 号利 用 事 務 実施 者 に対して個人番号の提供を求めることができる。
（本人確認措置）第 12 条法人は、前条に基づいて本人から個人番号の提供を受けるときは、別途定める「本人確認の手順」により職員等から個人番号の提供を受けるものとする。
2

職員等は、個人番号の提供が番号法の定めにより個人番号関係事務に必要なものである限り、当法人が行う本人確認の措置に協力しなければならない。

3

前 項 に かか わ ら ず 個人 番 号 の 提供 に 協 力 しな か っ た こと に よ る 不利 益 は当該職員等が負うものとする。
（通知カードまたは個人番号カードの取扱い）第 13 条

すべての職員等は自らの通知カード又は個人番号カードを、本人の責任により保管しなければならない。また、当法人の責めによらない紛失、毀損については、職員等の各自が、責任および対応を負うものとする。
2

法人は、原則として職員等の通知カード又は個人番号カードを保管してはならないものとする。
（提供を求める時期）

第 14 条個 人 番 号の 提 供 を 求め る 時 期 は、 個 人 番 号関 係 事 務 が発 生 し た とき と する。ただし、個人番号関係事務が発生することが明らかなときは、事前に個人番号の提供を求めることができるものとする。

第 15 条（収集制限）
法人は、番号法に基づき許される場合を除き、他人の特定個人情報を収集し、又は、保管してはならないものとする。
（利用目的を超えた利用の禁止）

第 16 条当法人は、個人番号関係事務を処理するために必要な場合に、予め通知又は公表する利用目的の範囲で個人番号を利用するものとする。なお、たとえ本人の同意があったとしても、利用目的を超えて個人番号を利用してはならないものとする。
2

前項の規定にかかわらず、人の生命、身体又は財産の保護のために必要がある場合において、本人の同意があり、又は本人の同意を得ることが困難であるときは、法人が保有している個人番号を利用することができるものとする。
（利用目的の変更）
第 17 条人は、利用目的を変更した場合、変更された利用目的について、本人に通知又は公表するものとする。
（特定個人情報ファイルの作成の制限）

第 18 条法人は、個人番号関係事務を処理するために必要な場合に限り、特定個人情報ファイルを作成することができる。

第4章

特定個人情報等の提供、保管、管理、廃棄等（特定個人情報等の提供）
第 19 条

法人は、法令で認められた場合を除き、特定個人情報を第三者に提供してはならないものとする。
（保管期間）

第 20 条法人は、個人番号関係事務を処理するため必要な期間に限り、特定個人情報等を保管する。ただし、所管法令等によって一定期間保存が義務付けられている場合には当該期間保管することとする。
（廃棄）第 21 条法人は、前条に定める保管期間が経過した場合、第 30 条に定める方法により、特定個人情報等をできるだけ速やかに廃棄又は削除しなければならないものとする。

第5章

委託の取り扱い（委託の取り扱い）
第 22 条法人は、個人番号関係事務の全部又は一部を外部に委託をする場合、委託先において、特定個人情報等の安全管理措置が適切に講じられるよう必要かつ適切な監督を行う。
2

法人は、前項の監督を行うため、次の各号の措置を講じる。
①

委託先の適切な選定②

委託先に安全管理措置を遵守させるために必要な契約の締結③

委託先における特定個人情報の取扱状況の把握

3

前項２号に定める契約は、その内容に、秘密保持義務、特定個人情報の持出しの禁止、特定個人情報の目的外利用の禁止、再委託における条件（再々委託について最初の委託先の許諾を要することを含む。）、漏えい事故等が発生した場合の委託先の責任、委託契約終了後の特定個人情報等の返却又は廃棄、従業者に対する監督・教育、契約内容の遵守状況について報告を求める規定等を盛り込まなければならない。

第6章

安全管理措置（情報漏えい等事案に対応する体制の整備）
第 23 条すべての職員等は、情報の漏えいの発生または兆候を把握した場合またはその可能性が高いと判断した場合は、速やかに事務取扱責任者に報告するものとする。
2

前 項 の 報告 を 受 け た事 務 取 扱 責任 者 は 、 二次 被 害 の 防止 、 類 似 事案 の 発
生 防 止 等の 観 点 か ら速 や か に 次の 各 号 の 手法 等 に よ り対 策 を 講 じる も のとする。
①

事実関係の調査及び原因の究明②

影響を受ける可能性のある本人への連絡③

再発防止策の検討及び決定④

事実関係及び再発防止策等の公表（取扱状況の把握及び安全管理措置の見直し）
第 24 条法人は、特定個人情報等の取扱状況を把握し、安全管理措置の評価、見直し及び改善のために特定個人情報等の取扱状況について、必要に応じて点検を行うものとする。なお、事務取扱責任者は、その判断により、外部機関による監査を実施することができるものとする。
（職員等の教育・監督）

第 25 条法人は、特定個人情報等が本規程に基づき適正に取り扱われるよう、職員等に対し必要かつ適切な教育及び監督を行うものとする。

第 26 条（秘密保持）
法人は、特定個人情報等を秘密として保持し、本規程第 19 条に基づく場合及び第三者に委託する場合を除き、第三者に提供、開示、漏えい等をしないものとする。
2

法人は、特定個人情報等に関する秘密を保持するため、本規程その他の内部規程による定めまたは誓約書の徴収などにより、職員等に対し、特定個人情報等についての秘密保持に関する事項を周知徹底するものとする。

第 27 条

（特定個人情報等を取り扱う区域の管理）
法人は、特定個人情報等の情報漏えい等を防止するために、特定個人情報ファイルを管理する区域（以下「管理区域」という。）及び特定個人情報等を取り扱う事務を実施する区域（以下「取扱区域」という。）を明確にするものとする。
2

管理区域においては、座席配置の工夫等、区域の明確化及びキャビネット等への施錠等を行うなどの安全管理措置を講じるものとする。

3

取扱区域においては、座席配置の工夫等により安全管理措置を講じるものとする。

第 28 条（機器及び電子媒体等の盗難等の防止）管理区域及び取扱区域における特定個人情報等を取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、次の各号の措置を講じるものとする。
①

特定個人情報等を取り扱う機器は、施錠できるキャビネット等に保管するか、又は、盗難防止用のセキュリティワイヤーにより固定する。

②

特定個人情報等を含む書類及び電子媒体等は、施錠できるキャビネット・書庫等に保管する。

③

特定個人情報ファイルは、パスワードを付与する等の保護措置を講じたうえでこれを保存し、当該パスワードを適切に管理する。

第 29 条（電子媒体等を持ち出す場合の漏えい等の防止）
特定個人情報等が記録された電子媒体又は書類等を持ち出す場合、次の各号の手法等により容易に個人番号が判明しない措置の実施、追跡可能な移送手段の利用等安全な方策を講じる。なお「持出し」とは、特定個人情報等を、管理区域又は取扱区域の外へ移動させることをいい、事業所内での移動等であっても、紛失・盗難等に留意する。
①

特定個人情報等が記録された電子媒体は、持出しデータの暗号化、パスワードによる保護、施錠できる搬送容器を使用する。

②

特定個人情報等が記録された書類は、外部から容易に閲覧されないような措置を講じること。

③

特定個人情報等を記録する書類を郵送等により発送するときは、簡易書留等の追跡可能な移送手段を利用する。

第 30 条（特定個人情報等の削除、機器及び電子媒体等の廃棄）法人は、第 21 条に基づき特定個人情報等を廃棄又は削除する場合、次の各 号 の 方法 に よ る もの と し 、 削除 又 は 廃 棄し た 記 録 を保 存 す る もの と する。
①

特定個人情報等が記載された書類等を廃棄する場合、焼却又は溶解等の復元不可能な手段による。

②

特定個人情報等が記録された機器及び電子媒体等を廃棄する場合、専用のデータ削除ソフトウェアの利用又は物理的な破壊等により、復元不可能な手段による。

③

特 定個 人 情 報 ファ イ ル 中 の個 人 番 号 又は 一 部 の 特定 個 人 情 報等 を 削除する場合、容易に復元できない手段による。

2

法人は、前項の廃棄又は削除を第三者に委託する場合には、委託先が確実に削除又は廃棄したことについて、証明書等により確認する。

3

法人は、保存期間経過後に速やかに特定個人情報等を廃棄又は削除するため、特定個人情報等を取り扱う情報システムにおいては、保存期間経過後における個人番号の削除を前提とした情報システムを構築し、また、特定個人情報等が記載された書類等については、保存期間経過後における廃棄を前提とした手続を定めるものとする。

第 31 条（アクセス制御）
法人は、情報システムを使用して個人番号関係事務を行う場合、事務取扱
担 当 者 及び 当 該 事 務で 取 り 扱 う特 定 個 人 情報 フ ァ イ ルの 範 囲 を 限定 す る
ために、次の各号の措置に沿って適切なアクセス制御を行うものとする。
①

個 人番 号 と 紐 付け て ア ク セス で き る 情報 の 範 囲 をア ク セ ス 制御 に より限定する。

②

特定個人情報ファイルを取り扱う情報システムを、アクセス制御により限定する。

③

ユーザーＩＤに付与するアクセス権により、特定個人情報ファイルを取り扱う情報システムを使用できる者を事務取扱担当者に限定する。

第 32 条（アクセス者の識別と認証）
特定個人情報等を取り扱う情報システムは、事務取扱担当者が正当なアクセ ス 権 を有 す る 者 であ る こ と を次 の 各 号 の措 置 等 に よっ て 識 別 した 結 果に基づき認証するものとする。
①

事務取扱担当者の識別方法としては、ユーザーＩＤ、パスワード又は磁気・ＩＣカード等による識別と認証を行う。

②

特定個人情報等を取り扱う機器を特定し、その機器を取り扱う事務取扱担当者を限定する。

③

機器に標準装備されているユーザー制御機能（ユーザーアカウント制御）により、情報システムを取り扱う事務取扱担当者を限定する。

第 33 条（外部からの不正アクセス等の防止）法人は、次の各号に定める情報システムを外部からの不正アクセス又は不正 ソ フ トウ ェ ア か ら保 護 す る 仕組 み を 導 入し 、 適 切 に運 用 す る もの と する。
①

情報システムと外部ネットワークとの接続箇所に、ファイアウォール等を設置し、不正アクセスを遮断する。
②

情報システム及び機器にセキュリティ対策ソフトウェア等（ウイルス対策ソフトウェア等）を導入する。

③

導入したセキュリティ対策ソフトウェア等により、入出力データにおける不正ソフトウェアの有無を確認する。

④

機 器や ソ フ ト ウェ ア 等 に 標準 装 備 さ れて い る 自 動更 新 機 能 等の 活 用により、ソフトウェア等を最新状態とする。

⑤
第 34 条ログ等の分析を定期的に行い、不正アクセス等を検知する。

（情報漏えい等の防止）法人は、特定個人情報等をインターネット等により外部に送信する場合、
通 信 経 路に お け る 情報 漏 え い 等を 防 止 す るた め に 次 の各 号 の 措 置を 講 じるものとする。
①

通信経路における情報漏えい等の防止策として、通信経路の暗号化等を行う。

②

情 報シ ス テ ム 内に 保 存 さ れて い る 特 定個 人 情 報 等の 情 報 漏 えい 等 の防止策としては、データの暗号化又はパスワードによる保護等を行う。

第7章
第 35 条

その他（禁止事項）
法人はすべての職員等に対し、特定個人情報等について、次の各号に掲げる事項を禁止する。
①

不正な手段により特定個人情報等を収集すること②

当初の収集目的以外で特定個人情報等利用すること③

業務上の必要なく管理区域および取扱区域に立ち入ること④

業 務上 の 必 要 及び 権 限 が なく 特 定 個 人情 報 フ ァ イル に ア ク セス 又 は閲覧し、保管された特定個人情報等を記録すること

第 36 条（罰則及び損害賠償）
法人は、本規程に違反した職員等に対して就業規則に基づき処分を行い、その他の者に対しては、契約又は法令に照らして処分を決定する。
2

前項の場合、当法人に損害が生じた場合は、違反した職員等に対して、損害賠償を請求するものとする。

第 37 条（規程の改廃）この規程の改廃は、理事会の決議により行う。

第 38 条

（委任）
この規程に定めるもののほか、特定個人情報取扱に関し、必要な事項は、別に理事長が定める。

附則

この規程は、2017 年 1 月 1 日から施行する。