Okinawa Institute of Science and Technology School Corporation
Rules on Handling Individual Numbers and Specific Personal Information
学校法人沖縄科学技術大学院大学学園
個人番号及び特定個人情報取扱規程
Article 1 Purpose
第１条 目的The objective of these Rules is to prescribe the necessary measures to ensure theappropriate handling of Individual Numbers and Specific Personal Information(hereinafter, the “Specific Personal Information”) at the Okinawa Institute of Science andTechnology School Corporation (hereinafter, referred to as the “Corporation”) in
accordance with the Act on the Use of Numbers to Identify a Specific Individual in
Administrative Procedures (hereinafter referred to as the “ID Act”).
本規程は、行政手続における特定の個人を識別するための番号の利用等に関する（以下「番号法」という。）に基づき、学校法人沖縄科学技術大学院大学学園（以下「学園」という。）における個人番号及び特定個人情報（以下「特定個人情報」という。）の適切な取扱の確保に関し必要な事項を定めることを目的とする。
Article 2 Definitions
第２条 定義1. The definitions of the terms used in these Rules shall be construed in accordance witheach of the following items.
本規程における用語の定義は、次の各号に定めるところによる。
(1) Individual Number
個人番号
Means the number obtained by converting a resident record code pursuant to Article
2 paragraph (5) of the ID Act in order to identify the person to whom the resident
record where said resident record code is stated pertains.
番号法第２条第５項が定める住民票コードを変換して得られる番号であって、当該住民票コードが記載された住民票に係る者を認識するために指定されるものをいう。
(2) Specific Personal Information
特定個人情報Means Personal Information that includes the Individual Number.
個人番号をその内容に含む個人情報をいう。
(3) Specific Personal Information File 特定個人情報ファイル
Means the Personal Information File that includes the Personal Information.
個人情報をその内容に含む個人情報ファイルをいう。
(4) Affairs Related to the Individual Number 個人番号関係事務
Means the affairs that are processed in relation to affairs using the Individual
1
Rules_Individual_Number_V2.1_20230801_cl

Number by using another person’s Individual Number to the extent necessary
pursuant to the provisions of Article 9, Paragraph 4 of the ID Act. (Affairs using theIndividual Number means affairs that persons processing administrative affairs,such as Government, local governments, or incorporated administrative agencies
or other individuals and organs assuming administrative functions process byusing the Individual Number to the extent necessary to search and manage efficiently
the Personal Information in the Specific Personal Information File that is kept bysaid persons pursuant to the provisions of Article 9, Paragraph 1 through Paragraph
3 of the ID Act.)
番号法第９条第４項の規定により個人番号利用事務（国、地方公共団体、独立行政法人等その他の行政事務を処理する者が同条第１項から第３項の規定によりその保有する特定個人情報ファイルにおいて個人情報を効率的に検索し及び管理するために必要な限度で個人番号を利用して処理する事務）に関して行われる他人の個人番号を必要な限度で利用して行う事務をいう。
(5) Person 本人
Means a specific individual who is or can be identified by an Individual Number.
個人番号によって識別され又は識別され得る特定の個人をいう。
(6) Worker 従業者
Means a person within the organization of the Corporation who is engaged in thebusiness of the Corporation under both the direct and indirect direction andsupervision of the Corporation. Specifically, apart from officers and employees of the
Corporation, this includes temporary employees, etc.
学園の組織内にあって直接間接に学園の指示監督を受けて学園の業務に従事している者をいう。具体的には、学園の役職員のほか、派遣職員等を含む。
2. The definitions of terms in the following items shall be as set out in the Corporation’s
Rules for Personal Information Protection.
次の各号に掲げる用語の意義は、個人情報の保護に関する法律（平成１５年法律第５７号）の定義による。
(1) Personal Information 個人情報
(2) Personal Information File
個人情報ファイル
Article 3 Specifying and Changing Purpose of Use
第３条 利用目的の特定及び変更
1. The Corporation shall use Specific Personal Information only for the following purposes(hereinafter, the “Purpose of Use”).
学園は、次に掲げる目的（以下「利用目的」という。）においてのみ、特定個人情報を利用するものとする。
(1) Specific Personal Information about officers and employees, students and their
2
Rules_Individual_Number_V2.1_20230801_clspouses and families of the Corporation
学園の役職員、学生及びその配偶者並びにその親族にかかる特定個人情報
a. Affairs concerning tax withholding at the source for earned income and retirement
income
給与所得及び退職所得の源泉徴収に関する事務
b. Affairs concerning the creation of declaration of tax exemption for salaried
employee, notification of insurance premium deduction and notification of special
exemptions for the spouse of the income earner
給与所得者の扶養控除等（異動）申告書、保険料控除申告書兼給与所得者の配偶者特別控除申告書作成に関する事務
c. Affairs concerning mutual aid business (Private School Mutual Aid) in accordancewith the Promotion and Mutual Aid Corporation for Private Schools of Japan
日本私立学校振興・共済事業団による共済事業（私学共済）に関する事務
d. Affairs concerning the notification, application and claim for health insurance andwelfare pension insurance
国民健康保険や国民年金等、健康保険及び厚生年金保険の届出及び申請、請求に関する事務e. Affairs concerning the notification, application, claim and creation ofcertificates for employment insurance
雇用保険の届出、申請、請求及び証明書作成に関する事務
f. Affairs concerning the creation of certificates for worker’s accident insurance
労災保険の証明書作成に関する事務
g. Affairs concerning the creation of notification, registration and the application forproperty accumulation savings, and property accumulation pension savings
財産形成住宅貯蓄、財産形成年金貯蓄の申告書、届出書及び申込書作成に関する事務h. Affairs concerning notification of Category III insured persons for the National
Pension
国民年金の第３号被保険者届出に関する事務(2) Specific Personal Information concerning individuals other than pursuant to theprovisions of the preceding paragraph
前項に規定するもの以外の個人に関する特定個人情報
a. Affairs concerning the creation of payment records for remuneration and fees, etc.
報酬及び料金等の支払調書作成に関する事務
b. Affairs concerning tax withholding at the source for remuneration (including
gratuities and allowances) paid by the Corporation
学園から支給する報酬（謝金及び手当を含む。）の源泉徴収に関する事務(3) Specific Personal Information relating to real estate or other transaction
不動産又はその他の取引にかかる特定個人情報
3
Rules_Individual_Number_V2.1_20230801_cl

a. Affairs concerning the creation of payment records for real estate rents or for othertransaction
不動産の使用料又はその他の取引にかかる支払調書作成に関する事務
b. Affairs concerning the creation of payment records for consideration paid for
acquisition of real estate or for other transaction
不動産又はその他の取引における譲受けの対価の支払調書作成に関する事務2. If the Corporation proposes to change the Purpose of Use, this shall be done within
the scope of what is considered to be reasonably equivalent to the Purpose of Useprior to the change.
学園は、利用目的を変更しようとする場合は、変更前の利用目的と相当の関係性を有すると合理的に認められる範囲で行うものとする。
3. If the Corporation changes the Purpose of Use, the changed Purpose of Use shall be
notified to the Person or publicly announced.
学園は、利用目的を変更した場合は、変更した利用目的について、本人に通知し又は公表するものとする。
Article 4 Notice or Announcement of the Purpose of Use at the Time of Acquisition
第４条 取得に際しての利用目的の通知又は公表
1. If the Corporation acquires Specific Personal Information, it shall notify the Person of
the Purpose of Use or publicly announce it beforehand.
学園は、特定個人情報を取得するときは、予めその利用目的を本人に通知又は公表す
るものとする。
2. The provisions of the preceding paragraph shall not apply to the following cases.
前項の規定は、次に掲げる場合については、適用しない。
(1) Cases in which it is necessary to cooperate with Government, local government,
incorporated administrative agencies or other individuals and organs assuming
administrative functions in executing the affairs pursuant to the provisions of laws
and regulations and when notifying the Person of the Purpose of Use or publicly
announcing it risks impeding the execution of the affairs.
国、地方公共団体、独立行政法人等その他の行政事務を処理する者が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し又は公表することにより、当該事務の遂行に支障を及ぼすおそれがある場合(2) Cases in which it is considered that the Purpose of Use is clear in consideration of
the circumstances of the acquisition.
取得の状況からみて利用目的が明らかであると認められる場合

4
Rules_Individual_Number_V2.1_20230801_clArticle 5 Restrictions on Acquisition
第５条 取得の制限
The Corporation shall not collect another person’s Specific Personal Information, except
in cases that fall under any of the items in Article 19 of the ID Act.
学園は、番号法第１９条各号のいずれかに該当する場合を除き、他人の特定個人情報を収集しないものとする。
Article 6 Restrictions on Request of Provision of Individual Number
第６条 個人番号の提供の求めの制限
The Corporation shall not request another person to provide an Individual Number,
except in cases where the person falls under any of the items of Article 19 of the ID Act andmay receive provision of Specific Personal Information.
学園は、番号法第１９条各号に該当して特定個人情報の提供を受けることができる場合
を除き、他人に対し、個人番号の提供を求めないものとする。
Article 7 Personal Identification
第７条 本人確認
When the Corporation receives provision of an Individual Number from the Person or that
Person’s agent, the Person shall be identified in accordance with the provisions of Article
16 of the ID Act, using the following method.
学園は、本人又はその代理人から個人番号の提供を受けるときは、番号法第１６条の規定に従い、以下の方法により本人確認を行うものとする。
(1) Cases where the person has an Individual Number Card, by presentation of the
Individual Number card or the copy
個人番号カードを有する場合は、個人番号カードの提示又はその写しの提出(2) Cases where the person does not have an Individual Number Card, by presentationof each of the following documents or the copy (However, in the case that the
Corporation finds that such person is the Person based on consideration of theemployment relation with that person or other circumstances, there shall be norequirement to receive provision of the documents to verify the identity.)
個人番号カードを有さない場合は、以下の各書類の提示又はその写しの提出（ただし、その者と雇用関係にあることその他の事情を勘案し、その者が本人である
ことが明らかであると学園が認める場合には、身元を確認するための書類の提示を受ける事を要しない。）
a. Either the Notification Card or resident record with Individual Number attached
通知カード又は個人番号が付された住民票のいずれか１点
b. Any document (limited to currently valid documents) such as a driver’s license,
passport or other document that verifies identity
運転免許証、旅券その他の身元を確認するための書類（失効していないものに限
5
Rules_Individual_Number_V2.1_20230801_clる。）のいずれか１点
Article 8 Security Control Measures at acquisition
第８条 取得時の安全管理措置
When acquiring Specific Personal Information, the Corporation shall undertake thesecurity control measures as pursuant to the provisions of Article 21, Article 22, Article
25, Article 26 and Article 31.学園は、特定個人情報の取得に際し、第２１条、第２２条、第２５条、第２６条及び第３１条に定める安全管理措置を講ずるものとする。
Article 9 Restrictions on Use other than the Purpose of Use
第９条 利用目的外の利用の制限
1. The Corporation shall not handle Specific Personal Information beyond the scopenecessary for achievement of the Purpose of Use specified by the provisions of Article
3.
学園は、第３条の規定により特定された利用目的の達成に必要な範囲を超えて特定個人情報を取り扱わないものとする。
2. Notwithstanding the provisions of the preceding paragraph, in cases that fall under
any of the following items, the Corporation may handle Specific Personal Information
beyond the scope of the Purpose of Use specified pursuant to the provisions of Article3.
前項の規定にかかわらず、次の各号のいずれかに該当する場合、学園は、第３条の規定により特定された利用目的の範囲を超えて特定個人情報を取り扱うことができる。
(1) When there is a disaster of extreme severity (however, restricted to affairs to theextent necessary for the payment of money such as mutual aid money based on acontract that has been concluded in advance)
激甚災害が発生したとき（ただし、共済金の支払い等、予め締結した契約に基づく金銭の支払いを行うために必要な事務の範囲内に限る。）(2) In cases where it is necessary for protecting the life, body or property of humans,
when the consent of the Person is obtained or when it is difficult to obtain theconsent of the Person
人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意があり又は本人の同意を得ることが困難であるとき
Article 10 Restrictions on Generation of Specific Personal Information Files
第１０条 特定個人情報ファイル作成の制限
The Corporation shall not generate a Specific Personal Information File beyond the extent
necessary for processing Affairs Related to the Individual Numbers except in cases where
he or she falls under any of Article 19, items (xi) through (xiv) of the ID Act and can provide
6
Rules_Individual_Number_V2.1_20230801_cl

or receive provision of Specific Personal Information.
学園は、番号法第１９条１１号から１４号までのいずれかに該当して特定個人情報を提供し又はその提供を受けることができる場合を除き、個人番号関係事務を処理するために必要な範囲を超えて特定個人情報ファイルを作成しないものとする。
Article 11 Security Control Measures at Use
第１１条 利用時の安全管理措置
When using Specific Personal Information, the Corporation shall undertake the security
control measures as pursuant to the provisions of Article 21, Article 22, Article 25, Article
26, Article 27, Article 28, Article 29 and Article 31.
学園は、特定個人情報の利用に関し、第２１条、第２２条、第２５条、第２６条、第２７条、第２８条、第２９条及び第３１条に定める安全管理措置を講じるものとする。
Article 12 Keeping Specific Personal Information
第１２条 特定個人情報の保管
The Corporation shall not keep Specific Personal Information, except in cases falling under
any of the items of Article 19 of the ID Act.
学園は、番号法第１９条各号に該当する場合を除くほか、特定個人情報を保管しないものとする。
Article 13 Ensuring Accuracy of the Data
第１３条 データ内容の正確性の確保
The Corporation shall endeavor to hold accurate and up to date Specific Personal
Information to the extent necessary for achievement of the Purpose of Use specified by
the provisions of Article 3.
学園は、第３条の規定により特定された利用目的の達成に必要な範囲内において、特定個人情報を正確かつ最新の情報に保つよう努めるものとする。
Article 14 Provision of Specific Personal Information
第１４条 特定個人情報の提供
The Corporation shall not provide Specific Personal Information except in cases fallingunder any of the items of Article 19 of the ID Act.
学園は、番号法第１９条各号に該当する場合を除くほか、特定個人情報を提供しないものとする。
Article 15 Deletion and Disposal of Specific Personal Information
第１５条 特定個人情報の削除及び廃棄
The Corporation shall as quickly as possible dispose or delete the Individual Number incases where the need to process Affairs Related to the Individual Number has ceased andthe retention period pursuant to the provisions of laws and ordinances has passed.
However, retention may continue in the case that it is possible to mask or delete so thatsuch Individual Number portion cannot be reconstructed.
7
Rules_Individual_Number_V2.1_20230801_cl

学園は、個人番号関係事務を処理する必要がなくなった場合で、かつ、所管法令において定められている保存期間を経過した場合には、個人番号をできるだけ速やかに廃棄又は削除するものとする。ただし、その個人番号部分を復元できない程度にマスキ
ング又は削除した場合には、保管を継続することができるものとする。
Article 16 Security Control Measures at Retention, Provision, Deletion and
Disposal
第１６条 保存、提供、削除、廃棄時の安全管理措置
When retaining, providing, deleting or disposing of Specific Personal Information, theCorporation shall undertake the security control measures as pursuant to the provisionsof Article 21, Article 22, Article 25, Article 26, Article 27, Article 28, Article 29, Article 30
and Article 31.
学園は、特定個人情報の保存、提供、削除、廃棄に関し、第２１条、第２２条、第２５条、第２６条、第２７条、第２８条、第２９条、第３０条及び第３１条に定める安全管理措置を講じるものとする。
Article 17 The Person in Charge of and the Person Responsible for HandlingAffairs
第１７条 事務取扱担当者及び責任者
1. As prescribed separately, the Corporation shall clarify the extent of affairs for handlingSpecific Personal Information, and after clarifying the extent of Specific Personal
Information to be handled for identified affairs, identify the Worker to be engaged insuch affairs (hereinafter referred to as the “Person Responsible for Handling Affairs”)
and the person in charge of handling such affairs (hereinafter referred to as the “Person
in Charge of Handling Affairs”). In addition, the operational procedures when acquiring
Individual Numbers shall be prescribed separately.

学園は、別途定めるとおり、特定個人情報を取り扱う事務の範囲を明確化し、明確化した事務において取り扱う特定個人情報の範囲を明確にした上で、当該事務に従事する従業者（以下「事務取扱責任者」という。）及び当該事務の取扱担当者（以下「事務取扱担当者」という。）を明確にするものとする。また、個人番号を取得する際の事務手続は、別途定めるとおりとする。
2. The Corporation may outsource some operational procedures when acquiring
Individual Numbers to business operators that provide cloud services. However, evenin the case of outsourcing operational procedures to a business operator, the Personal
Identification pursuant to the provisions of Article 7 shall in principle be conducted by
a Corporation’s employee.
学園は、個人番号を取得する際の事務手続の一部を、クラウドサービスを提供する事業者に委託することができる。ただし、事務手続を事業者に委託する場合であっても、第７条に定める本人確認は原則として学園の職員が行うものとする。

8
Rules_Individual_Number_V2.1_20230801_clArticle 18 Person Responsible for Managing Specific Personal Information
第１８条 特定個人情報管理責任者
1. The Corporation shall have a Person Responsible for Managing Specific Personal
Information for the security control of Specific Personal Information, and theSecretary General shall serve in this position.
学園は、特定個人情報の安全管理のため特定個人情報管理責任者を置き、事務局長をもってこれに充てる。
2. The Person Responsible for Managing Specific Personal Information shall havejurisdiction over the following areas.
特定個人情報管理責任者は、次に掲げる業務を所管する。
(1) Ensure awareness of these Rules
本規程の周知(2) In cases where revisions to these Rules are proposed, draft such proposed revisions
本規程を改正しようとする場合、その改正案の立案(3) Draft, formulate and ensure awareness of regulations concerning the security
control of Specific Personal Information, etc. (except these Rules)
特定個人情報の安全管理に関する規程（ただし本規程を除く。）の立案、制定及びその周知(4) Collect reports from the Person Responsible for Handling Affairs and give advice andguidance
事務取扱責任者からの報告の徴収及び助言並びに指導(5) Educate and train the Person in Charge of Handling Affairs concerning theappropriate handling of Specific Personal Information
特定個人情報の適切な取扱いに関する事務取扱担当者に対する教育及び研修の実施(6) Matters concerning other security controls for Specific Personal Information
その他特定個人情報の安全管理に関する事項
Article 19 Obligations of Workers
第１９条 従業者の義務
1. No current or former Workers shall disclose the details of the Specific Personal
Information, etc. that they have come to know in the course of business to anotherperson without due cause or use such information for unjust purpose.
従業者又は従業者であった者は、業務上知り得た特定個人情報の内容をみだりに
他人に知らせ又は不当な目的に使用してはならない。
9
Rules_Individual_Number_V2.1_20230801_cl2. A Worker who understands that there has been or there is indication of leakage, loss
or damage of Specific Personal Information shall report to that effect to the Person
Responsible for Handling Affairs or the Person Responsible for Managing Specific
Personal Information.
特定個人情報等の漏えい又は滅失若しくは毀損の発生又は兆候を把握した従業者
は、その旨を事務取扱責任者又は特定個人情報管理責任者に報告するものとする。
3. A Worker who understands that there has been or there is indication of a violation ofthese Rules, shall report to that effect to the Person Responsible for Handling Affairs
or the Person Responsible for Managing Specific Personal Information.
本規程に違反している事実又は兆候を把握した従業者は、その旨を事務取扱責任者又は特定個人情報管理責任者に報告するものとする。
4. On receiving a report as set forth in the preceding two paragraphs, the Person
Responsible for Handling Affairs shall immediately report such matter to the Person
Responsible for Managing Specific Personal Information.
事務取扱責任者は、前二項の報告を受けた際には、直ちにそれを特定個人情報管理責
任者に報告するものとする。
5. The Person Responsible for Managing Specific Personal Information shall examine thedetails of the reports as set forth in the preceding three paragraphs, and in the casethat it is ascertained that these Rules were in fact violated, report without delay to the
CEO/President, while instructing the relevant departments to take the appropriate
measures.
特定個人情報管理責任者は、前三項による報告の内容を調査し、本規程に違反する事実が判明した場合には、遅滞なく理事長・学長に報告するとともに、関係部署に適切な措置をとるよう指示するものとする。
Article 20 Security Control for Specific Personal Information
第２０条 特定個人情報の安全管理
The Corporation shall take the measures pursuant to the provisions from Article 21 to
Article 24 and Article 31 to prevent leakage, loss or damage of Specific Personal
Information, and other security control of Specific Personal Information.
学園は、特定個人情報の漏えい、滅失又は毀損の防止その他の特定個人情報の安全管理のために、第２１条から第２４条及び第３１条に定める措置を講じるものとする。
Article 21 Record of Handling Specific Personal Information
第２１条 特定個人情報の取扱状況の記録
1. The Corporation shall record the following using the separately prescribed format“Management Register for Specific Personal Information”.
学園は、別途定める様式「特定個人情報管理台帳」を用いて、以下を記録する。
10
Rules_Individual_Number_V2.1_20230801_cl

(1) Type and name of Specific Personal Information File
特定個人情報ファイルの種類及び名称(2) Person responsible and handling department
責任者及び取扱部署(3) Purpose of use
利用目的(4) Status of deletion and disposal
削除及び廃棄状況(5) Persons with access rights
アクセス権を有する者
2. Specific Personal Information must not be recorded in the Management Register
for Specific Personal Information.
特定個人情報管理台帳には、特定個人情報を記載してはならない。
Article 22 Record of Management Status
第２２条 運用状況の記録
The Corporation shall record the following items as the system log or using one of theseparately prescribed formats: “Management Register for Specific Personal Information”
or “Record for Taking Out Specific Personal Information” to verify the status ofmanagement based on these Rules.
学園は、本規程に基づく運用状況を確認するため、以下の項目をシステムログ又は別途定める様式「特定個人情報管理台帳」又は「特定個人情報持出記録簿」のいずれかを用いて記録する。
(1) Record the use and output of the Specific Personal Information File
特定個人情報ファイルの利用及び出力状況の記録(2) Record documents and media taken outside
書類及び媒体の持ち出しの記録(3) Record deletion and disposal of Specific Personal Information File
特定個人情報ファイルの削除及び廃棄の記録(4) Record the proof in the case that deletion or disposal is externally outsourced
from the Corporation
削除又は廃棄を学園以外の者に委託した場合、これを証明する記録(5) Record the usage (such as login history or access log) of the information system for
the Person Responsible for Handling Affairs or the Person in Charge of Handling Affairs in
the case that Specific Personal Information File is handled in the information system.

特定個人情報ファイルを情報システムで取り扱う場合、事務取扱責任者又は事務取扱担当者の情報システムの利用状況（ログイン実績又はアクセスログ等）の記録
11
Rules_Individual_Number_V2.1_20230801_clArticle 23 Responding to Events such as Information Leaks
第２３条 情報漏えい等の事案への対応
1. A Worker who understands that there has been or there is indication of an event suchas an information leak shall promptly report to the Person Responsible for Managing
Specific Personal Information or a person designated by such person.
従業者が情報漏えい等の事案の発生又は兆候を把握した場合には、速やかに特定
個人情報管理責任者又は同人が指名する者に連絡しなければならない。
2. When a report is received as set forth in the preceding paragraph, the Person
Responsible for Managing Specific Personal Information shall promptly convene ameeting of the Specific Personal Information Incident Investigation Committee.
前項の報告を受けたときは、特定個人情報管理責任者は、速やかに特定個人情報事故調査委員会を招集する。
3. The Specific Personal Information Incident Investigation Committee shall comprisemembers from the following list as deemed necessary for each matter by theCommittee chair, with the Secretary General serving as the Committee chair.
特定個人情報事故調査委員会は、事務局長を委員長とし、以下の中から案件ごとに委員長が必要と認める者で構成する。
(1) Dean of Faculty Affairs
教員担当学監(2) Vice-President for Human Resource Development
副学長（人事担当）(3) Vice President for Financial Management
副学長（財務担当）(4) Vice President for Communication and Public Relations
副学長（広報担当）(5) General Counsel
統括弁護士(6) Chief Information Officer (CIO)
最高情報責任者（CIO）(7) Other persons that the Person Responsible for Managing Specific Personal
Information considers to be necessary
その他、特定個人情報管理責任者が必要であると認めた者
4. The Specific Personal Information Incident Investigation Committee shallappropriately and promptly deal with the following matters as required.
特定個人情報事故調査委員会は、必要に応じ、下記の事項について適切かつ迅速に対応する。
(1) Examine the facts and determine the cause
12
Rules_Individual_Number_V2.1_20230801_cl事実関係の調査及び原因の究明(2) Notify persons who could be impacted
影響を受ける可能性のある者への連絡(3) Notify the Specific Personal Information Protection Commission and the competentcabinet minister
特定個人情報保護委員会及び主務大臣等への連絡(4) Investigate and set measures to prevent reoccurrence
再発防止策の検討及び決定(5) Publicly announce the facts and measures to prevent reoccurrence.
事実関係及び再発防止策の公表
Article 24 Understanding of the Status of Handling and Revision of the Security
Control Measures
第２４条 取扱状況の把握及び安全管理措置の見直し
1. The Corporation shall appoint the Chief Internal Audit Officer as the audit manager
who understand the status of handling Specific Personal Information to be involved in
evaluating, revising and improving the security control measures.
学園は、特定個人情報の取扱状況を把握し、安全管理措置の評価及び見直し並びに改善に取り組むため、学園に監査責任者を置き、最高内部監査責任者をもって充てる。
2. The audit manager shall inspect the status of handling Specific Personal Information
while giving advice concerning revisions to the security control measures.
監査責任者は、特定個人情報の取扱状況を点検するとともに、安全管理措置の見直しに関する助言を行う。
Article 25 Supervision and Training of Workers
第２５条 従業者の監督及び教育
The Corporation shall provide the necessary and appropriate supervision and training of
the Worker for security control of Specific Personal Information.
学園は、特定個人情報の安全管理のために、従業者に対する必要かつ適切な監督及び教育を行うものとする。
Article 26 Supervision of Entrustees
第２６条 委託先の監督
1. When outsourcing all or part of the handling of Specific Personal Information, theCorporation shall, as a general rule, clarify the measures that the outsourcer should
undertake in relation to the security control of Specific Personal Information in theoutsourcing contract after previously verifying whether or not the measures being
undertaken at the entrustee are at an equivalent level to the security control measures that the
Corporation should be discharging in accordance with the ID Act, and carry out the necessary
and appropriate supervision over the outsourcer.

学園は、特定個人情報の取扱の全部又は一部を学園以外の者に委託するときは、委託
13
Rules_Individual_Number_V2.1_20230801_cl先において番号法に基づき学園が果たすべき安全管理措置と同等の措置が講じられているか否かについて予め確認したうえで、原則として、委託契約において特定
個人情報の安全管理について受託者が講ずべき措置を明らかにし、受託者に対する必要かつ適切な監督を行うものとする。
2. The entrustee shall obtain the consent of the Corporation in the case that all or part of
the handling of Specific Personal Information has been further outsourced by theentrustee. In addition, in the case of further outsourcing, the Corporation shallsupervise to ensure the entrustee carries out the necessary and appropriate
supervision over the further outsourcer.
委託先が特定個人情報の取扱の全部又は一部を再委託する場合には、学園の承諾を得るものとする。なお、再委託が行われた場合、学園は、委託先が再委託先に対して必要かつ適切な監督を行っているかについて委託先を監督するものとする。
Article 27 Control of Areas Handling Specific Personal Information
第２７条 特定個人情報を取り扱う区域の管理
The Corporation shall clarify the areas of control for information systems that handle
Specific Personal Information File (hereinafter referred to as the “Control Areas”) andareas for implementing affairs for handling Specific Personal Information (hereinafterreferred to as the “Handling Areas”) and undertake each of the following security control
measures.
学園は、特定個人情報ファイルを取り扱う情報システムを管理する区域（以下「管理区域」という。）及び特定個人情報を取り扱う事務を実施する区域（以下「取扱区域」という。）を明確にし、それぞれ以下のとおりの安全管理措置を講ずる。
(1) Control Areas 管理区域
Entry/exit control and restrictions on carrying devices, etc. into Control Areas
入退室管理及び管理区域へ持ち込む機器等の制限(2) Handling Areas 取扱区域
Undertake measures such as placing walls and room dividers, stationing seats inlocations with few comings and goings other than the Person in Charge of HandlingAffairs, moving seats to locations with a low possibility of being able to peek frombehind, and affixing privacy filters to prevent being able to peek at computer displays.
壁又は間仕切り等の設置及び事務取扱担当者以外の者の往来が少ない場所への座席配置や、背後から覗き見される可能性が低い場所への座席移動、コンピュータディスプレイ覗き見防止フィルター（プライバシーフィルター）の設置等
Article 28 Prevention of Theft or Loss
第２８条 盗難及び紛失の防止
The Corporation shall undertake the following security control measures to prevent theftor loss of devices, electronic media and documents that handle Specific Personal
14
Rules_Individual_Number_V2.1_20230801_cl

Information in the Control Areas and Handling Areas.
学園は、管理区域及び取扱区域における特定個人情報を取り扱う機器、電子媒体及び書類の盗難又は紛失を防止するため、以下の安全管理措置を講ずる。
(1) Keep electronic media and documents that handle Specific Personal Information incabinets and archives that can be locked.
特定個人情報を取り扱う電子媒体又は書類は、施錠できるキャビネット・書庫に保管する。
(2) Fix devices that handle Specific Personal Information File with a security wire.
特定個人情報ファイルを取り扱う機器は、セキュリティワイヤーにより固定する。
Article 29 Prevention of Leaks when Taken Outside
第２９条 持ち出す場合の漏えいの防止
1. The Corporation shall undertake the following measures in the case of carrying
electronic media and documents in which Specific Personal Information is recorded
outside Control Areas and Handling Areas.
学園は、特定個人情報が記録された電子媒体又は書類を管理区域又は取扱区域の外に持ち出す場合、以下の措置を講ずる。
(1) Protect through encryption or password data that is carried or use lockabletransportation containers. However, when having to submit legal records in theform of data to administrative agencies, follow the method of submission stipulatedby the administrative agencies.
持ち出しデータの暗号化、パスワードによる保護又は施錠できる搬送容器を使用する。ただし、行政機関に法定調書をデータで提出するにあたっては、行政機関が指定する提出方式に従う。
(2) Documents in which Specific Personal Information is recorded shall be carried witha seal.
特定個人情報が記載された書類は、封緘して持ち出す。
2. In principle, electronic media and documents in which Specific Personal Informationis recorded shall not be taken outside, except in the cases of the submission toadministrative agencies.
特定個人情報が記録された電子媒体又は書類は、原則として行政機関に提出する場合を除いてはこれを持ち出してはならない。
Article 30 Deletion of Individual Number, Disposal of Documents, Devices andElectronic Media
第３０条 個人番号の削除、書類、機器及び電子媒体の廃棄
15
Rules_Individual_Number_V2.1_20230801_cl1. When deleting or disposing of an Individual Number, the Corporation shall delete or
dispose of such using an unrestorable method in accordance with the following.
学園は、個人番号を削除又は廃棄する際には、以下に従って、復元できない手段で削除又は廃棄する。
(1) In the case of disposing of documents in which Specific Personal Information isrecorded, incinerate, dissolve, use a shredder that can cut to the extent thatreconstruction is impossible or mask to the extent that the Individual Number
portion cannot be reconstructed.
特定個人情報が記載された書類を廃棄する場合、焼却、溶解、復元不可能な程
度に裁断可能なシュレッダーの利用又は個人番号部分を復元できない程度のマ
スキングを行う。
(2) In the case of disposing of devices or electronic media in which Specific Personal
Information is recorded, use dedicated data deletion software or destroy physically.
特定個人情報が記録された機器又は電子媒体を廃棄する場合、専用のデータ削除ソフトウェアを利用する又は物理的な破壊を行う。
(3) In the case of deleting the Individual Number or some Specific Personal Information
within a Specific Personal Information File, delete using a method that cannot bereconstructed unless using dedicated software, program or equipment for data
reconstruction.
特定個人情報ファイル中の個人番号又は一部の特定個人情報を削除する場合、データ復元用の専用ソフトウェア、プログラム又は装置を用いなければ復元できない手段で削除する。
2. In the case where an Individual Number or Specific Personal Information File wasdeleted or in the case where the documents or the electronic media were disposed of,
the Corporation shall retain a record of the deletion or disposal. In addition, in the casethat such affairs are outsourced, the Corporation shall verify the definite deletion or
disposal by the entrustee with a certificate of proof.
学園は、個人番号又は特定個人情報ファイルを削除した場合若しくは書類又は電子媒体を廃棄した場合には、削除又は廃棄した記録を保存する。また、これらの作業を委託する場合、学園は、委託先が確実に削除又は廃棄したことについて、証明書により確認するものとする。
Article 31 Technical Security Control Measures
第３１条 技術的安全管理措置
1. The Corporation shall control appropriate access to limit the person in charge ofhandling affairs and the scope of Specific Personal Information File handled in suchaffairs.
学園は、事務取扱担当者及び当該事務で取り扱う特定個人情報ファイルの範囲を
16
Rules_Individual_Number_V2.1_20230801_cl限定するために、適切なアクセス制御を行うものとする。
2. The Corporation’s information system for handing Specific Personal Information shallauthenticate that the Person in Charge of Handling Affairs is the person with thecorrect access rights based on the identified results.
学園の特定個人情報を取り扱う情報システムは、事務取扱担当者が正当なアクセ
ス権を有する者であることを、識別した結果に基づき認証するものとする。
3. The Corporation shall undertake the following measures to protect the information
system against unauthorized external access and malware.
学園は、情報システムを外部からの不正アクセス又は不正ソフトウェアから保護するため、以下の措置を講じる。
(1) Measures such as firewall shall be established at the connection point between the
Corporation’s information system and external networks to block unauthorizedaccess.
学園の情報システムと外部ネットワークとの接続箇所にファイアウォール等を設置し、不正アクセスを遮断する。
(2) Security software (such as anti-virus software) shall be installed on the information
system and devices.
情報システム及び機器にセキュリティ対策ソフトウェア（ウィルス対策ソフト
ウェア等）を導入する。
(3) The use of automatic upgrading functions installed as standard on devices will keep
software up to date.
機器やソフトウェアに標準装備されている自動更新機能の活用により、ソフト
ウェアを最新状態とする。
(4) Regular analysis of logs, to detect unauthorized access.
ログの分析を定期的に行い、不正アクセスを検知する。
4. In the case that Specific Personal Information is transmitted externally through theInternet, the Corporation shall endeavor to have an encrypted communication
channel.
学園は、特定個人情報をインターネットにより外部に送信する場合、通信経路の暗号化を行うよう努める。
Article 32 Disclosure of Specific Personal Information
第３２条 特定個人情報の開示
The disclosure, correction, addition, deletion, suspension of use, and erasure of theSpecified Personal Information shall be stipulated separately in the "Rules for Disclosure
17
Rules_Individual_Number_V2.1_20230801_cl

of Retained Personal Information" of the Corporation.
特定個人情報の開示、訂正、追加、削除、利用停止及び消去に関しては、学園の「保有個人情報開示規程」において別に定める。
Article 33 Secretariat
第３３条 事務局
The secretariat for the procedures of these Rules shall be conducted by the Rules andCompliance Section.
本規程の手続に関する事務局は、法令・コンプライアンスセクションが行う。
Article 34 Disciplinary Actions
第３４条 懲戒
In case of finding that a Corporation’s employee willfully ignored or intentionally violated
the provisions of these Rules, the said employee shall be subject to disciplinary action
stipulated in the Corporation’s Rules of Employment, etc.
学園の職員が本規程の規定を故意に無視し又は意図的に違反する行為をとった場合、学園は、当該職員について、学園の就業規則等に定める懲戒処分の対象とする。
Article 35 Miscellaneous Provisions
第３５条 雑則In addition to the provisions of this Rules, other necessary matters related to the Specific
Personal Information shall be stipulated separately by the Secretary General.
本規程に定めるもののほか、特定個人情報に関して必要な事項は、事務局長が別に定める。

Supplementary Provisions (Version 1.0)
附則（第1.0版）
Approved by the CEO/President
理事長・学長決定
These Rules shall come into force as from January 1, 2016.
本規程は、平成２８年１月１日から施行する。
Supplementary Provisions (Version 1.1)
附則（第1.1版） Partial Amendment 一部改正
These Rules shall come into force as from February 8, 2016.
本規程は、平成２８年２月８日から施行する。
Supplementary Provisions (Version 1.2)
附則（第1.2版） Partial Amendment 一部改正
These Rules shall come into force as from April 1, 2018.
本規程は、平成３０年４月１日から施行する。
18
Rules_Individual_Number_V2.1_20230801_clSupplementary Provisions (Version 1.3)
附則（第1.3版） Partial Amendment 一部改正
These Rules shall come into force as from April 1, 2021.
本規程は、令和３年４月１日から施行する。
Supplementary Provisions (Version 2.0)
附則（第2.0版）
Revised by the Secretary General
事務局長改訂These Rules shall come into force as from April 1, 2022.
本規程は、２０２２年４月１日から施行する。
Supplementary Provisions (Version 2.1)
附則（第2.1版）
Revised by the Secretary General
事務局長改訂These Rules shall come into force as from August 1, 2023.
本規程は、２０２３年８月１日から施行する。

19
Rules_Individual_Number_V2.1_20230801_cl