久留米工業高等専門学校

独立行政法人国立高等専門学校機構個人情報取扱業務契約遵守事項

当事項は，独立行政法人国立高等専門学校機構個人情報管理規則（独立行政法人国立高等専門学校機構規則第６５号）第１９条に基づき，独立行政法人国立高等専門学校機構本部及び独立行政法人国立高等専門学校機構が設置する学校（以下「機構」という。）が保有する個人情報（死者の個人番号を含む。以下，単に「保有個人情報」という。）の取扱いに係る業務を機構以外のものに委託するすべての契約に関する遵守事項等を示すものである。

（個人情報取扱業務契約遵守事項の周知等）
第１

機構は，入札の方法による契約にあっては入札の前，また，随意契約にあっては見積書を徴取する前に，相手方に対し，当事項の内容を周知する。
２

契約を受託しようとする者は，当事項の内容を確認のうえ，入札及び見積書の提出を行わなければならない。

（責任者等の確認）
第２機構は，保有個人情報の取扱いに係る業務を外部に委託する場合には，個人情報の適切な管理を行う能力を有しない者を選定することがないよう，必要な措置を講ずる。また，契約書に第３から第９に掲げる事項を明記するとともに，委託先における責任者及び業務従事者の管理及び実施体制，個人情報の管理の状況についての検査に関する事項等の必要な事項について書面（様式１「個人情報管理状況等確認書」（以下「確認書」という。
））で確認する。
２

受託者は，契約書に第３から第９に掲げる事項を明記するとともに，受託先における責任者及び業務従事者の管理及び実施体制，個人情報の管理の状況についての検査に関する事項等の必要な事項について，「確認書」を機構に提出しなければならない。

（個人情報に関する秘密保持，目的外利用の禁止等の義務）
第３受託者は，当該契約による業務の処理に当たって，個人情報の管理を適正に実施するため，責任者を定め業務従事者を管理するための実施体制等を適正に整備しなければならない。
２

受託者は，当該契約による業務に関して知り得た個人情報を他人に知らせ，又は不当な目的に使用してはならない。当該契約が終了し，又は解除された後においても同様とする。
３

受託者は，当該契約による業務を行うために個人情報を収集するときは，当該業務の目的を達成するた

めに必要な範囲内で，適法かつ公正な手段により行わなければならない。
４

受託者は，業務従事者に対し，在職中及び退職後においても当該契約による業務に関して知り得た個人情報を他人に知らせ，又は不当な目的に使用してはならないこと，個人情報の違法な利用及び提供に対して罰則が適用される可能性があることその他個人情報の保護に関して必要な事項を周知しなければならない。
また，受託者は当該契約による業務を処理するために取り扱う個人情報の適切な管理が図られるよう，業務従事者に対して必要かつ適切な監督を行わなければならない。
５

受託者は，機構の指示がある場合を除き，当該契約による業務によって知り得た個人情報を当該契約の目的以外の目的に利用し，又は機構の承諾無しに第三者に提供してはならない。
６

受託者は，当該契約による業務により知り得た個人情報について，漏洩，滅失及び毀損の防止その他個人情報の適切な管理のために必要な措置を講ずるよう努めなければならない。
７

受託者は，業務従事者に対し，電磁的記録の資料等は暗号化等個人情報の漏洩防止対策を十分に講じた上で運搬することその他の安全確保のために必要な指示を行わなければならない。
８

受託者は，保有個人情報の取扱いに係る業務を派遣労働者によって行わせる場合には，労働者派遣契約書に秘密保持義務等個人情報の取扱いに関する事項を明記しなければならない。

（再委託の制限又は事前承認等再委託に係る条件に関する事項）
第４受託者は，当該契約による業務の全部又は一部について第三者に再委託（再委託先が委託先の子会社（会社法（平成１７年法律第８６号）第２条第１項第３号に規定する子会社をいう。）である場合を含む。以下、再委託先の第三者を単に「再委託先」という。）をしてはならない。ただし，受託者が再委託先及び委託の範囲を機構に対して報告し，予め機構の書面による承諾を得た場合はこの限りでない。保有
個人情報の取扱いに係る業務を再委託先が再々委託を行う場合以降も同様とする。

（個人情報の複製等の制限に関する事項）
第５受託者は，当該契約による業務を処理するために機構から引き渡された個人情報が記録された資料等を機構の承諾無しに複写し，又は複製してはならない。

（個人情報の漏えい等の事案の発生時における対応に関する事項）
第６受託者は，個人情報の漏洩，滅失又は毀損その他の事故が発生し，又は発生するおそれのあることを知ったときは，速やかに機構に報告し，機構の指示に従わなければならない。

（委託終了時における個人情報の消去及び媒体の返却に関する事項）

第７受託者は，当該契約による業務を処理するために，機構から提供を受け，又は自らが収集し，若しくは作成した個人情報を記録した資料等は，法令に特別の定めがある場合を除いて，当該契約による業務処理の完了後，直ちに機構に返還し，又は引き渡すものとし，機構の承諾を得て行った複写又は複製物については，廃棄又は消去しなければならない。ただし，機構が別に指示したときは当該方法によるものとする。

（違反した場合における契約解除の措置その他必要な事項）
第８機構は，受託者がその責めに帰すべき事由により，第２から第７に違反したときは，当該契約を解除することができる。
２

受託者は，その責めに帰すべき事由により，当該契約による業務の処理に関し，機構又は第三者に損害を与えたときは，その損害を賠償しなければならない。再委託先の責めに帰する事由により機構又は第三者に損害を与えたときも同様とする。

（特定個人情報の取扱い）
第９受託者は，特定個人情報の取扱いに係る業務に当たっては，特定個人情報に関する適正な取扱いのため，当該契約による業務の遂行にあたり，特定個人情報に関する管理責任者を定めるものとする。
２

受託者は，特定個人情報を取扱う従業員等の範囲を限定し，当該従業員等に対して必要かつ適切な監督及び教育をおこなうものとする。
３

受託者は，特定個人情報の授受媒体，授受方法，授受記録の方法及び取扱い場所等を安全管理の観点から，書面により別途定めるものとする。
４

受託者は，機構の書面による承諾なしに，前項に定める特定個人情報の取扱い場所から，特定個人情報を持ち出してはならないものとする。
５

機構は，受託者における本契約の遵守状況を確認するために必要な限度において，受託者に対する書面による事前の通知により，報告等を求めることができるものとする。この場合，受託者は，事業の運営に支障が生ずるときその他の正当な理由がある場合を除き，これに応じるものとする。

（実地検査）
第１０ 機構は，保有個人情報の取扱いに係る業務を外部に委託する場合には，委託する業務に係る保有個人情報等の秘匿性等その内容やその量等に応じて，受託者における管理体制及び実施体制や個人情報管理の状況について，少なくとも年１回以上，契約期間中の適切な時期において，原則として実地検査により確認（様式２「個人情報の取扱いに係る委託契約に関する検査確認書」により確認）する。
２

受託者は，特別の事情がある場合を除き，前項の実地検査に協力するものとする。

３

特別の事情等により第１項に定める実地検査が行えない場合は，書面（様式３「個人情報の取扱いに係る委託契約に関する報告書」）による確認をもって代えることができるものとする。

（再委託先等への措置）
第１１ 受託者が，保有個人情報の取扱いに係る業務を再委託する場合には，再委託先に第２から第９の措置を講じさせるとともに，再委託される業務に係る保有個人情報の秘匿性等その他の内容に応じて，受託者が第１０の措置を実施しなければならない。保有個人情報の取扱いに係る業務を再委託先が再々委託を行う場合以降も同様とする。

（その他）
第１２ 機構は，保有個人情報を提供又は業務委託する場合には，漏えい等による被害発生のリスクを低減する観点から，提供先の利用目的，委託する業務の内容，保有個人情報の秘匿性等その内容などを考慮し，必要に応じ，氏名を番号に置き換える等の匿名化措置を講ずるものとする。