独立行政法人国立青少年教育振興機構が保有する個人情報の適切な管理に関する規程

平成 18 年 4 月 1 日
独立行政法人国立青少年教育振興機構規程第 1－12 号
平成 19 年 4 月 1 日一部改正 平成 21 年 3 月 19 日一部改正
平成 23 年 4 月 1 日一部改正 平成 25 年 4 月 1 日一部改正
平成 27 年 4 月 1 日一部改正 平成 27 年 10 月 1 日一部改正
平成 29 年 4 月 1 日一部改正 令和元年 7 月 1 日一部改正
令和 2 年 8 月 1 日一部改正 令和 3 年 4 月 1 日一部改正
令和 4 年 9 月 29 日一部改正

第 1 章 総 則 (第 1 条 -第 2 条 )第 2 章 組 織 的 及 び人 的 安 全 管 理 措 置 (第 3 条 -第 13 条 )第 3 章 物 理 的 及 び技 術 的 安 全 管 理 措 置 等 (第 14 条 -第 42 条 )第 4 章 個人情報及び特定個人情報の収集及び提供等(第 43 条-第 50 条)
第 5 章 安 全 確 保 上 の問 題 事 案 の報 告 及 び対 応 (第 53 条-第 55 条)
第 6 章 監 査 及 び点 検 (第 56 条-第 59 条)
第 7 章 雑 則 (第 60 条-第 61 条)

第 1 章 総則（趣旨）
第 1 条 この規程は、個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「個人情報保護法」という。）第 66 条第１項及び行政手続における特定の個人を識別するための番号の利用等に関する法律（平成 25 年法律第 27 号。以下「番号法」という。）第 6 条、特定個人情報の適正な取扱いに関するガイドライン（平成 26 年 12 月個人情報保護委員会。以下「ガイドライン」という。）並びに行政機関等の保有する個人情報の適切な管理のための措置に関する指針（（個人情報保護委員会事務局発出「個人情報の保護に関する法律についての事務対応ガイド（令和 4 年 2 月）」。以下、「個人情報管理措置指針」という。）の規定に基づき、独立行政法人国立
青少年教育振興機構（以下「機構」という。）における保有個人情報の適正な管理に関し、必要な事項を定める。
（定義）
第 2 条 この規程において、次の各号に掲げる用語の意義は、当該各号の定めるところによる。
一 「個人情報」とは、個人情報保護法第 2 条第 1 項に規定する個人情報をいう。
二 「保有個人情報」とは、個人情報保護法第 60 条第 1 項に規定する保有個人情報をいう。

1 / 16

三 「個人番号」とは、番号法第 7 条第 1 項又は第 2 項の規定により、住民票コードを変換して得られる番号であって、当該住民票コードが記載された住民票に係る者を識別するために指定されるものをいう。
四 「特定個人情報」とは、個人番号をその内容に含む個人情報をいう。
五 「特 定 個 人 情 報 等 」とは、個 人 番 号 及 び特 定 個 人 情 報 を併 せたものをいう。
六 「職員等」とは、機構職員（役員、非常勤職員、臨時雇用職員、再雇用職員及び派遣職員を含む。）及び保有個人情報を取り扱う業務に係る委託事業者をいう。
七 「個人情報ファイル」とは、保有個人情報を含む情報の集合物であって、一定の事務の目的を達成するために特定の保有個人情報を電子計算機を用いて検索することが出来るように体系的に構成したもの、また、氏名、生年月日、その他の記述等により特定の保有個人情報を容易に検索することが出来るように体系的に構成したものをいう。
八 「特定個人情報ファイル」とは、個人番号をその内容に含む個人情報ファイルをいう。
九 「個人番号利用事務」とは、行政機関、地方公共団体、独立行政法人等その他の行政事務を処理する者が番号法第 9 条第 1 項又は第 2 項の規定によりその保有する特定個人情報ファイルにおいて個人情報を効率的に検索し、及び管理するために必要な限度で個人番号を利用して処理する事務をいう。
十 「個人番号関係事務」とは、番号法第 9 条第 3 項の規定により個人番号利用事務に関して行
われる他人の個人番号を必要な限度で利用して行う事務をいい、別表 1-1 に定めるものをいう。
十一 「個人情報取扱事業者」とは、特定個人情報ファイルを事業の用に供している者（国の機関、地方公共団体、独立行政法人等及び地方独立行政法人を除く。）であって、特定個人情報ファ
イルを構成する個人情報によって識別される特定の個人の数（個人情報保護法施行令で定める者を除く。）の合計が過去６か月以内のいずれの日においても 5,000 を超えない者以外の者をいう。
十二 「管理区域」とは、特定個人情報ファイルを取り扱う情報システムを管理する区域をいう。
十三 「取扱区域」とは、特定個人情報等を取り扱う事務を実施する区域をいう。

第 2 章 組 織 的 及 び人 的 安 全 管 理 措 置
Ⅰ 組織的安全管理措置（保有個人情報の管理体制）
第 3 条 機構における保有個人情報を適切に管理するため、機構に保有個人情報総括保護管理者（以下「総括保護管理者」という。）、主任保有個人情報保護管理者（以下「主任保護管理者」という。）、保有個人情報保護管理者（以下「保護管理者」という。）及び保有個人情報保護担当者（以下「保護担当者」という。）を置く。
2 前項に加え、総括保護管理者の下、特定個人情報の適切な管理を行うため、統括個人番号関係事務責任者（以下「統括事務取扱責任者」という。）、個人番号関係事務取扱責任者（以下「事務取扱責任者」という。）、個人番号関係事務取扱担当者（以下「事務取扱担当者」という。）、を置く。

2 / 16

（総括保護管理者）
第 4 条 総括保護管理者は、総務担当理事とする。
2 総括保護管理者は、機構における保有個人情報の管理に関する事務を総括する。
（主任保護管理者）
第 5 条 主任保護管理者は、機構本部にあっては総務企画部長を、各施設にあっては所長をもって充てる。
2 主任保護管理者は、当該組織における保有個人情報を適切に管理する。
（保護管理者）
第 6 条 保護管理者は、機構本部の課長、室長、参事、広報官、主幹及び各施設の次長を、青少年教育研究センターにあっては、副センター長をもって充てる。
2 保護管理者は、当該組織の保有個人情報の適切な管理を確保するため、次の各号に掲げる業
務を行う。
一 個人情報ファイル簿の作成に関すること
二 保有個人情報の取扱状況の記録に関すること
三 情報システムにおける安全の確保等に関すること
四 保有個人情報の提供に関すること
五 保有個人情報の点検に関すること
3 前第 2 項第 3 号に関し、当該情報システムの管理者と連携してその任に当たる。
（保護担当者）
第 7 条 保護担当者は、前条の保護管理者が当該組織の課長補佐、専門職又は係長等のうちから指名する者をもって充てる。
2 保護担当者は、保護管理者を補佐し、当該組織における保有個人情報の管理に関する事務を担当する。
（事務取扱担当者等）
第 8 条 統括事務取扱責任者、事務取扱責任者、事務取扱担当者に関し必要な事項を次の各項に定める。
2 「統括事務取扱責任者」は、事務取扱責任者の属する部署の長とし、本部においては総務企画部長及び財務部長を充て、施設においては所長を充てるものとし、次の各号に掲げる事項を遂行する。
一 特定個人情報の取扱いが本規程に則って適切に行われるよう事務取扱責任者及び事務取扱担当者の監督二 特定個人情報の取扱いに関する教育研修の実施
三 特定個人情報の適切な管理等のために必要な手段の措置
3 「事務取扱責任者」は、事務取扱担当者の属する課室等の長とし、本部においては課長を充て、施設においては次長を充てるものとし、次の各号に掲げる事項を遂行する。
一 特定個人情報の取扱いについて十分な注意を払ってその業務を行わせる
二 事務取扱担当者が変更となる場合は、引き継ぎを確実に行わせる
4 「事務取扱担当者」は、個人番号関係事務を取り扱う業務に従事することとし、別表 1-2 に定める。この者の他は、個人番号関係事務を取扱うことが出来ない。

3 / 16

（監査責任者）
第 9 条 機構に、監査責任者を１人置き、監事をもって充てる。
2 監査責任者は、保有個人情報の管理の状況について監査する。
（保有個人情報の適切な管理のための委員会）
第 10 条 総括保護管理者は、保有個人情報の管理に係る重要事項の決定、連絡・調整等を行うために必要があると認めるときは、関係職員等を構成員とする委員会を設け、定期に又は随時に開催する。
（個人情報の保有の制限及び利用目的の明示等）
第 11 条 職員等は、個人情報を保有するに当たっては、利用目的をできる限り特定しなければならない。また、利用目的の達成に必要な範囲を超えて個人情報を保有してはならない。
2 職員等は、本人から直接書面（電磁的記録を含む。）に記録された当該本人の個人情報を取得するときは、個人情報保護法第 62 条各号に掲げる場合を除き、あらかじめ本人に対し、その利用目的を明示しなければならない。
3 前項により取得した保有個人情報は、利用目的と相当の関連性を有すると合理的に認められる範囲に限り、その利用目的を変更することができる。
Ⅱ 人的安全管理措置（教育研修）
第 12 条 総括保護管理者は、保有個人情報の取扱い及び情報システムの管理に関する事務に従事する職員等に対して、保有個人情報の取扱いについて理解を深め、個人情報の保護に関する意識の高揚を図るための啓発その他必要な教育研修を行う。なお、派遣労働者等についても、従事者の義務（法第 67 条）が適用されるところであり、保有個人情報の取扱いに従事する派
遣労働者についての労働者派遣契約は、保有個人情報の適切な取扱いを行うことに配慮するものとする必要がある。
2 総括保護管理者は、保有個人情報を取り扱う情報システムの管理に関する事務に従事する職員に対し、保有個人情報の適切な管理のために、情報システムの管理、運用及びセキュリティ対策に関して必要な教育研修を行う。
3 総括保護管理者は、保護管理者及び保護担当者に対し、課室等の現場における保有個人情報の適切な管理のための教育研修を定期的に実施する。
4 保護管理者は、当該課室等の職員等に対し、保有個人情報の適切な管理のために、総括保護管理者の実施する教育研修への参加の機会を付与する等の必要な措置を講ずる。
（職員等の責務）
第 13 条 職員等は、個人情報保護法の趣旨に則り、関連する法令及び規程等の定め並びに総括保護管理者、主任保護管理者、保護管理者及び保護担当者の指示に従い、保有個人情報を取り扱わなければならない。
2 職員等のうち、個人番号関係事務を取り扱う事務取扱担当者は、番号法の趣旨に則り、関連する法令及び規程等の定め並びに事務取扱責任者、統括事務取扱責任者の指示に従い、特定個人情報を適切に取り扱わなければならない。

4 / 16

第 3 章 物 理 的 及 び技 術 的 安 全 管 理 措 置 等
Ⅰ 物理的安全管理措置（入退管理等）
第 14 条 保護管理者は、保有個人情報を取り扱う基幹的なサーバ等の機器を設置する室その他の区域（以下「コンピュータ管理室等」という。）に立ち入る権限を有する者を定めるとともに、用件の確認、入退の記録、部外者についての識別化、部外者が立ち入る場合の職員等の立会い又は監視設備による監視、外部電磁的記録媒体等の持込み、利用及び持ち出しの制限又は検査等の措置を講ずる。また、保有個人情報を記録する媒体を保管するための施設を設けている
場合においても、必要があると認めるときは、同様の措置を講ずる。
2 保護管理者は、必要があると認めるときは、コンピュータ管理室等の出入口の特定化による入退の管理の容易化、所在表示の制限等の措置を講ずる。
3 保護管理者は、コンピュータ管理室等及び保管施設の入退の管理について、必要があると認めるときは、立入りに係る認証機能を設定し、及びパスワード等の管理に関する定めの整備（その定期又は随時の見直しを含む。）、パスワード等の読取防止等を行うために必要な措置を講ずる。
（コンピュータ管理室等の管理）
第 15 条 保護管理者は、外部からの不正な進入に備え、コンピュータ管理室等に施錠装置、警報
装置、監視設備の設置等の措置を講ずる。
2

保護管理者は、災害等に備え、コンピュータ管理室等に、耐震、防火、防煙、防水等の必要な措置を講ずるとともに、サーバ等の機器の予備電源の確保、配線の損傷防止等の措置を講ずる。

（特定個人情報等を取り扱う区域の管理）
第 16 条 機構は、特定個人情報等を取り扱う管理区域及び取扱区域を明確にし、それぞれの区域に対し、次の各号に掲げる措置を講じる。
一 管理区域は、入退室管理及び管理区域へ持ち込む機器及び電子媒体等の制限を行う
二 取扱区域は、可能な限り壁又は間仕切り等の設置、事務取扱担当者以外の者の往来が少ない場所への座席配置、後ろから覗き見される可能性が低い場所への座席配置等をするなど座席配置を工夫する
三 その他安全管理に必要な事項は、前 2 条の規定に準じて取扱う（特定個人情報を取扱う電子媒体等を持ち出す場合の漏えい等の防止）
第 17 条 機構は、特定個人情報等が記録された電子媒体又は書類等の持出しは、次の各号に掲げる場合を除き禁止する。なお、「持出し」とは、特定個人情報等を、管理区域又は取扱区
域の外へ移動させることをいい、事業所内での移動等も持出しに該当する。
一 個人番号関係事務に係る外部委託先に、委託事務を実施する上で必要と認められる範囲内
でデータを提供する場合
二 行政機関等への法定調書の提出等、機構が実施する個人番号関係事務に関して個人番号
利用事務実施者に対しデータ又は書類を提出する場合
5 / 16

2 事務取扱担当者は、特定個人情報等が記録された電子媒体又は書類等を持ち出す場合、パスワードの設定、封筒に封入し鞄に入れて搬送する等、紛失・盗難等を防ぐための安全な方策を講ずる。
（個人番号の削除、機器及び電子媒体等の廃棄）
第 18 条 統括事務取扱責任者は、事務取扱担当者又は外部委託先が特定個人情報等を削除・廃棄したことを確認する。
Ⅱ 技術的安全管理措置等（アクセス制限）第 19 条 保護管理者は、保有個人情報の秘匿性等その内容（個人識別の容易性（匿名化の程度
等）、要配慮個人情報の有無、漏えい等が発生した場合に生じ得る被害の性質・程度などを考慮する。以下同じ。）に応じ、当該保有個人情報にアクセスする権限を有する職員等の範囲と権限の内容を、当該職員等が業務を行う上で必要最小限の範囲に限る。
2 アクセス権限を有しない職員等は、保有個人情報にアクセスしてはならない。
3 職員等は、アクセス権限を有する場合であっても、業務上の目的以外の目的で保有個人情報にアクセスしてはならず、アクセスは必要最小限としなければならない。
4 特定個人情報等を取り扱う機器及びシステムについては次の各号に掲げる事項により取り扱う。
一 特定個人情報等を取り扱う機器を特定し、その機器を取り扱う事務取扱担当者を限定する
二 端末使用者制御機能（ユーザーアカウント制御）等により、情報システムを取り扱う事務取扱担当者を限定する（複製等の制限）第 20 条 職員等が、業務上の目的で保有個人情報を取り扱う場合であっても、保護管理者は、次に掲げる行為については、当該保有個人情報の秘匿性等その内容に応じて、当該行為を行う
ことができる場合を必要最小限に限定し、職員は、保護管理者の指示に従い行う。
一 保有個人情報の複製
二 保有個人情報の送信
三 保有個人情報が記録されている媒体の外部への送付又は持出し
四 その他保有個人情報の適切な管理に支障を及ぼすおそれのある行為
2 第 2 条第 10 号に規定する事務以外の用務及び第 8 条 2 項に規定する職員等以外の者においては、いかなる場合も前項に規定する行為を行ってはならない。
（誤りの訂正等）
第 21 条 職員等は、保有個人情報の内容に誤り等を発見した場合には、保護管理者の指示に従い、訂正等を行う。
（媒体の管理等）
第 22 条 職員等は、保護管理者の指示に従い、保有個人情報が記録されている媒体を定められた場所に保管するとともに、必要があると認めるときは、耐火金庫への保管、施錠を行う。また、保有個人情報が記録されている媒体を外部へ送付し又は持ち出す場合には、原則として、パスワード等（パスワード、ＩＣカード、生体情報等を使用して権限を識別する機能をいう。以下同じ。）
を使用して権限を識別する機能（以下「認証機能」という。）を設定する等のアクセス制御のために必要な措置を講ずる。
（誤送付等の防止）
第 23 条 職員等は、保有個人情報を含む電磁的記録又は媒体（文書の内容の他、PDF ファイル
6 / 16

のしおり機能表示やプロパティ情報等を含む。）の誤送信・誤送付・誤交付、又はウェブサイト等
への誤掲載を防止するため、個別の事務・事業において取り扱う個人情報の秘匿性等その内容に応じ、複数の職員による確認やチェックリストの活用等の必要な措置を講ずる。
（廃棄等）
第 24 条 職員等は、保有個人情報又は保有個人情報が記録されている媒体（端末及びサーバに内蔵されているものを含む。）が不要となった場合には、保護管理者の指示に従い、当該保有個人情報の復元又は判読が不可能な方法により当該情報の消去又は当該媒体の廃棄を行う。
特に、保有個人情報の消去や保有個人情報が記録されている媒体の廃棄を委託する場合（二以上の段階にわたる委託を含む。）には、必要に応じて職員が消去及び廃棄に立ち会い、又は写真等を付した消去及び廃棄を証明する書類を受け取るなど、委託先において消去及び廃棄が確実に行われていることを確認する。
2 前項による廃棄等の対象に特定個人情報が含まれる保有個人情報の場合は、第 19 条の規定により取り扱う。
（保有個人情報の取扱状況の記録）
第 25 条 保護管理者は、保有個人情報の秘匿性等その内容に応じて、台帳等を整備して、当該保有個人情報の利用及び保管等の取扱いの状況について記録する。
（外的環境の把握）
第 26 条 保有個人情報が、外国（クラウドサービス提供事業者が所在する外国及び個人情報が保存されるサーバが所在する外国を含む。）において取り扱われる場合、当該外国の個人データの保護に関する制度等を把握した上で、保有個人情報の安全管理のために必要かつ適切な措置を講じなければならない。
（アクセス制御）
第 27 条 保護管理者及び事務取扱責任者は、情報システムで取り扱う保有個人情報の秘匿性等
その内容に応じて、認証機能を設定する等のアクセス制御のために必要な措置を講ずる。
2 保護管理者は、前項の措置を講ずる場合には、パスワード等の管理に関する定めの整備（その定期又は随時の見直しを含む。）及びパスワード等の読取防止等を行うために必要な措置を講ずる。
（アクセス記録）
第 28 条 保護管理者及び事務取扱責任者は、保有個人情報の秘匿性等その内容に応じて、当該保有個人情報へのアクセス状況の記録（以下「アクセス記録」という。）を一定の期間保存するとともに、アクセス記録を定期的に分析するために必要な措置を講ずる。
2 保護管理者は、アクセスの改ざん、窃取又は不正な消去の防止のために必要な措置を講ずる。
（アクセス状況の監視）第 29 条 保護管理者及び事務取扱責任者は、保有個人情報の秘匿性等その内容及びその量に応じて、当該保有個人情報への不適切なアクセスの監視のため、保有個人情報を含むか又は含むおそれがある一定量以上の保有個人情報がダウンロードされた場合に警告表示がなされる機能の設定、当該機能の定期的確認等の必要な措置を講ずる。
（管理者権限の設定）
第 30 条 保護管理者及び事務取扱責任者は、保有個人情報の秘匿性等その内容に応じて、情報システムの管理者権限の特権を不正に窃取された際の被害の最小化及び内部からの不正操作等の防止のため、当該特権を最小限とする等の必要な措置を講ずる。
7 / 16

（外部からの不正アクセスの防止）第 31 条 保護管理者は、保有個人情報及び特定個人情報を取り扱う情報システムへの外部からの不正アクセスを防止するため、ファイアウォールの設定による経路制御等の必要な措置を講ずる。
（不正プログラムによる漏えい等の防止）
第 32 条 保護管理者は、不正プログラムによる保有個人情報の漏えい等の防止のため、ソフトウェ
アに関する公開された脆弱性の解消、把握された不正プログラムの感染防止等に必要な措置（導入したソフトウェアを常に最新の状態に保つことを含む。）を講ずる。
（情報システムにおける保有個人情報の処理）
第 33 条 職員等は、保有個人情報について、一時的に加工等の処理を行うため複製等を行う場
合は、その対象を必要最小限に限り、処理終了後は不要となった情報を速やかに消去する。
2

保護管理者は、当該保有情報の秘匿性等その内容に応じて、随時、消去等の実施状況を重点的に確認する。

（暗号化）
第 34 条 保護管理者及び事務取扱責任者は、保有個人情報の秘匿性等その内容に応じて、その暗号化のために必要な措置を講ずる。
2

職員等は、前項を踏まえ、その処理する保有個人情報について、当該保有個人情報の秘匿性等その内容に応じて、パスワード付圧縮ファイル等適切に暗号化を行う。

（記 録機 能 を有 する機 器 ・媒 体 の接 続 制 限 ）第 35 条 保 護 管 理 者 は、保 有 個 人 情 報 の秘 匿 性 等 その内 容 に応 じて、当 該 保 有 個 人
情 報 の漏 え い等 の 防 止 の ため、スマ ート フォン 、ＵＳ Ｂメモリ等 の記 録 機 能 を有 する 機
器 ・媒 体 の情 報 システム端 末 等 への接 続 の制 限 （当 該 機 器 の更 新 への対 応 を含 む。）
等 の必 要 な措 置 を講 ずる。
2

職員等は、保護管理者の許可なく、情報システム端末等へスマートフォン、ＵＳＢメモリ等の記録機能を有する機器・媒体等を接続してはならない。

（端末の限定）第 36 条 保護管理者及び事務取扱責任者は、保有個人情報の秘匿性等その内容に応じて、その処理を行う端末（機械、機器、装置）を限定するために必要な措置を講ずる。
（保有個人情報を取扱う機器及び電子媒体等の盗難等の防止）第 37 条 機構は、保有個人情報を取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、次の各号に掲げる措置を講じる。
一 特定個人情報等を取扱う機器、電子媒体又は書籍等について、執務室を施錠又はキャビネッ

8 / 16

ト・書庫等において確実に保管する。
二 特定個人情報ファイルを取扱う情報システムを機器のみで運用する場合は、セキュリティワイヤー等により固定する。
2 職員等は、保護管理者又は事務取扱責任者が必要を認めるときを除き、機器及び電子媒体を外部へ持ち出し、又は外部から持ち込んではならない。
（第三者の閲覧防止）
第 38 条 職員等は、端末の使用に当たっては、保有個人情報が第三者に閲覧されることがないよ
う、使用状況に応じて情報システムからログオフを行うことを徹底する等の必要な措置を講ずる。
（入力情報の照合等）
第 39 条 職員等は、情報システムで取り扱う保有個人情報の重要度に応じて、入力原票と入力内容との照合、処理前後の当該保有個人情報の内容の確認、既存の保有個人情報との照合等を行う。
（バックアップ）
第 40 条 保護管理者は、保有個人情報の重要度に応じて、バックアップを作成し、分散保管するために必要な措置を講ずる。
2

前項に規定する事項は、特定個人情報が含まれる保有個人情報には適用しない。

（情報システム設計書等の管理）
第 41 条 保護管理者及び事務取扱責任者は、保有個人情報に係る情報システムの設計書、構成
図等の文書について外部に知られることがないよう、その保管、複製、廃棄等について必要な措置を講ずる。
（サイバーセキュリティに関する対策の基準等）
第 42 条 個人情報を取り扱い、又は情報システムを構築し、若しくは利用するに当たっては、サイバーセキュリティ基本法第 26 条第 1 項第 2 号に掲げられたサイバーセキュリティに関する対策の基準等を参考として、取り扱う保有個人情報の性質等に照らして適正なサイバーセキュリティの水準を確保する。

第 4 章 個 人 情 報 及 び特 定 個 人 情 報 の収 集 及 び提 供 等（個人情報の収集等）
第 43 条 個人情報の収集に際し、適法かつ公正な手段によって行うものとし、第 13 条に規定する事項に準じて取り扱う。

9 / 16

（特定個人情報の収集及び制限）
第 44 条 特定個人情報の収集に際し、適法かつ公正な手段によって行う。
2

職員等又は第三者から取得する特定個人情報の利用目的は、第 2 条第 10 号に定める個人
番号関係事務の遂行に必要な範囲とする。

3

前項に定める利用目的は、予め公表しなければならない。

4

その他特定個人情報の収集及び個人番号関係事務の取扱いに関し必要な事項は別に定める。

5第 8 条第 2 項に定める個人番号関係事務の範囲を超えて、特定個人情報を収集してはならない。

6

収集した特定個人情報は、第 2 条第 10 項に定める個人番号関係事務にかかる提出先を超えて第三者に提供してはならない。

（特定個人情報の求めの制限）
第 45 条 番号法第 19 条各号のいずれかに該当し特定個人情報の提供を受けることができる場合
を除き、特定個人情報の提供を求めてはならない。
(特定個人情報の提供を受ける際の本人確認)
第 46 条 番号法第 16 条の規定により、職員等又は第三者の個人番号の確認及び当該人の身元確認を次の各号により行う。また、代理人については、同条に定める各方法により、当該代理人の身元確認、代理権の確認及び本人の個人番号の確認を行う。
一 職員等又は第三者が「個人番号カード」を持っている場合、本カードのみで番号確認及び身元確認を行う
二 前号によらない場合、番号確認は「通知カード」又は「個人番号が明記された住民票」で確認を行い、身元確認は、法令に定める書類等をもって行う（特定個人情報の正確性の確保）
第 47 条 事務取扱担当者は、特定個人情報を、第 2 条第 10 号に定める個人番号関係事務の遂行に必要な範囲において、正確かつ最新の状態で管理するよう努める。
（保有個人情報に関する事項の公表等）
第 48 条 個人情報保護法第 32 条第 1 項に基づき、特定個人情報に係る保有個人情報に関する事項を本人の知り得る状態に置く。
（特定個人情報の保管制限）
第 49 条 機構は、第 2 条第 10 号に定める事務の範囲を超えて、特定個人情報を保管してはならない。
2

所管法令で定められた個人番号を記載する書類等の保存期間を経過するまでの間は、支払調書の再作成等の個人番号関係事務を行うために必要があると認められるため、当該書類だけ

10 / 16

でなく、支払調書を作成するシステム内においても保管することができる。
3

番号法上の本人確認の措置を実施する際に提示を受けた本人確認書類（個人番号カード、通知カード、身元確認書類等）の写しや機構が行政機関等に提出する法定調書の控え、当該法定調書を作成するうえで事業者が受領する個人番号が記載された申告書等を特定個人情報として保管する。これらの書類については、法定調書の再作成を行うなど個人番号関係事務の一環として利用する必要があると認められるため、関連する所管法令で定められた個人番号を記載する書類等の保存期間を経過するまでの間保存することができる。

（保管段階における安全管理措置）
第 50 条 特定個人情報の保管段階における組織的及び人的安全管理措置並びに、物理的及び技術的安全管理措置は、第 2 章及び第 3 章の規定に従う。
（保有個人情報の提供）
第 51 条 保護管理者は、個人情報保護法第 69 条第 2 項第 3 号又は第 4 号の規定に基づき行政機関等以外の者に保有個人情報を提供する場合には、個人情報保護法第 70 条の規定に基づき、原則として、提供先における利用目的、利用する業務の根拠法令、利用する記録範囲及び記録項目、利用形態等について書面（電磁的記録を含む。）を取り交わす。
2

保護管理者は、個人情報保護法第 69 条第 2 項第 3 号又は第 4 号の規定に基づき行政機関
等以外の者に保有個人情報を提供する場合には、個人情報保護法第 70 条の規定に基づき、安全確保の措置を要求するとともに、必要があると認めるときは、提供前又は随時に実地の調査等を行い、措置状況を確認し、その結果を記録するとともに、改善要求等の措置を講ずる。

3

保護管理者は、個人情報保護法第 69 条第 2 項第 3 号の規定に基づき行政機関等に保有個
人情報を提供する場合において、必要があると認めるときは、個人情報保護法第 70 条に基づき、前 2 項に規定する措置を講ずる。

4

前 3 項 に定 めるもののほか、行 政 機 関 等 が実施 する研究 のために保 有 個 人 情 報 を提供 する場 合 の保 有 個 人 情 報 を適 切 に管 理 するための必 要 な措 置 については、別 に定めるものとする。

（保有個人情報の取扱いに係る業務の委託等）
第 52 条 保有個人情報の取扱いに係る業務を外部に委託する場合には、機構自らが果たすべき
安全管理措置と同等の措置が委託先において適切に講じられるよう、必要かつ適切な監督を行う。必要かつ適切な監督とは、個人情報の適切な管理を行う能力を有しない者を選定することがないよう、必要な措置を講じ、契約書に、次に掲げる事項を明記するとともに、委託先における責任者及び業務従事者の管理及び実施体制、個人情報の管理の状況についての検査に関する事項等の必要な事項について書面で確認することをいう。
一 個人情報に関する秘密保持、目的外利用の禁止等の義務
二 再委託（再委託先が委託先の子会社（会社法（平成 17 年法律第 86 号）第 2 条第１項第 3 号に規定する子会社をいう。）である場合も含む。本号及び第 50 条第 4 項において同じ。）の11 / 16

制限又は事前承認等再委託に係る条件に関する事項
三 個人情報の複製等の制限に関する事項
四 個人情報の安全管理措置に関する事項
五

個人情報の漏えい等の事案の発生時における対応に関する事項

六 委託終了時における個人情報の消去及び媒体の返却に関する事項
七 法令及び契約に違反した場合における契約解除、損害賠償責任その他必要な事項
八 契約内容の遵守状況等についての定期的報告に関する事項及び委託先における委託された個人情報の取扱状況を把握するための監査等に関する事項（再委託先の監査等に関する事項を含む。）
2 保有個人情報の取扱いに係る業務を外部に委託する場合には、取扱いを委託する個人情報の範囲は、委託する業務内容に照らして必要最小限でなければならない。
3 保有個人情報の取扱いに係る業務を外部に委託する場合には、委託する業務に係る保有個人情報の秘匿性等その内容やその量等に応じて、委託先における管理体制及び実施体制や個
人情報の管理の状況について、少なくとも年１回以上、原則として実地検査により確認する。なお、委託先の選定に際しては、以下の事項について本規程の水準を満たすことを予め確認することとする。
一 設備
二 技術水準三 従業者（事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者をいう。具体的には、従業員のほか、取締役、監査役、理事、監事、派遣社員等を含む。）に対する監督・教育の状況
四 経営環境状況
五 特定個人情報の安全管理の状況（「個人番号を取り扱う事務の範囲の明確化」、「特定個人情報等の範囲の明確化」、「事務取扱担当者の明確化」、「個人番号の削除、機器及び電子媒体等の廃棄」を含むがこれらに限らない。）
六 暴力団、暴力団員、暴力団員でなくなった時から５年を経過しない者、暴力団準構成員、暴力団関係企業、総会屋等、社会運動等標ぼうゴロ又は特殊知能暴力集団等、その他これらに準ずる者（以下総称して「暴力団員等」という。）又は以下の１）から５）までのいずれにも該当しないこと
1）暴力団員等が経営を支配していると認められる関係を有すること
2）暴力団員等が経営に実質的に関与していると認められる関係を有すること
3）自己、自社もしくは第三者の不正の利益を図る目的又は第三者に損害を加える目的をもってするなど、不当に暴力団員等を利用していると認められる関係を有すること
4）暴力団員等に対して資金等を提供し、又は便宜を供与するなどの関与をしていると認められる関係を有すること
5）役員又は経営に実質的に関与している者が暴力団員等と社会的に非難されるべき関係を有すること
4 保有個人情報を提供又は業務委託する場合には、漏えい等による被害発生のリスクを低減す

12 / 16

る観点から、提供先の利用目的、委託する業務の内容、保有個人情報の秘匿性等その内容などを考慮し、必要に応じ、特定の個人を識別することができる記載の全部又は一部を削除し、又は番号や別の記号等に置き換える等の匿名化措置を講ずる。
5 機構は、委託先の管理については、財務部を責任部署とする。
6 機構は、委託先において情報漏えい事故等が発生した場合に、適切な対応がなされ、速やかに機構に報告される体制になっていることを確認する。
7 委託先は、機構の許諾を得た場合に限り、委託を受けた保有個人情報の取扱いに係る事務の全部又は一部を再委託することができる。再委託先が更に再委託する場合も同様とする。
8保有個人情報の取扱いに係る業務を派遣労働者によって行わせる場合には、労働者派遣契約書に秘密保持義務等個人情報の取扱いに関する事項を明記する。

9 機構は、再委託先の適否の判断のみならず、委託先が再委託先に対しても必要かつ適切な監督を行っているかどうかについても監督する。
10 機構は、委託先が再委託をする場合、当該再委託契約の内容として、前第 1 項と同等の規定を盛り込ませる。
11

委託先において、保有個人情報の取扱いに係る業務が再委託される場合には、委託先に第52 条第１項の措置を講じさせるとともに、再委託される業務に係る保有個人情報の秘匿性等その内容に応じて、委託先を通じて又は委託元自らが第 52 条第 3 項の措置を実施する。保有個
人情報の取扱いに係る業務について再委託先が再々委託を行う場合以降も同様とする。

第 5 章 安 全 確 保 上 の問 題 事 案 の報 告 及 び対 応（事案の報告及び再発防止措置）
第 53 条 保有個人情報の漏えい等安全確保の上で問題となる事案又は問題となる事案の発生のおそれを認識した場合に、その事案等を認識した職員等は、直ちに当該保有個人情報を管理する保護管理者、特定個人情報を含む場合には事務取扱責任者に報告する。時間を要する場
合は、事実確認を行う前にまず保護管理者及び事務取扱責任者に報告する。
2

保護管理者又は事務取扱責任者は、被害の拡大防止又は復旧等のために必要な措置を速やかに講ずる。ただし、外部からの不正アクセスや不正プログラムの感染が疑われる当該端末
等のＬＡＮケーブルを抜くなど、被害拡大防止のため直ちに行い得る措置については、直ちに行う。

3

保護管理者又は事務取扱責任者は、発生した事案の経緯、被害状況等を調査し、総括保護管理者又は統括事務取扱責任者に報告する。ただし、特に重大と認める事案が発生した場合には、直ちに総括保護管理者又は統括事務取扱責任者に当該事案の内容等について報告する。

4

総括保護管理者は、前項による報告を受けた場合には、発生した事案の内容等に応じて、当該事案の内容、経緯、被害状況等を理事長及び文部科学省に対し、速やかに報告する。

5

保護管理者又は事務取扱責任者は、発生した事案の原因を分析し、再発防止のために必要な措置を講ずるとともに、同種の業務を実施している部署等に再発防止措置を共有する。

13 / 16（法に基づく報告及び通知）
第 54 条 漏えい等が生じた場合であって個人情報保護法第 68 条第１項の規定による委員会への報告及び同条第 2 項の規定による本人への通知を要する場合には、前条と並行して、速やかに所定の手続きを行うとともに、個人情報保護委員会による事案の把握等に協力する。
（公表等）
第 55 条 個人情報保護法第 68 条第 1 項の規定による委員会への報告及び同条第 2 項の規定による本人への通知を要しない場合であっても、発生した事案の内容、影響等に応じて、事実関係及び再発防止策の公表、当該事案に係る保有個人情報の本人への連絡等の措置を講ずる。
2

国民の不安を招きかねない事案（例えば、公表を行う事案、個人情報保護に係る内部規程に対する違反、委託先において個人情報の適切な管理に関する契約条項等に対する違反があったとき等）については、当該事案の内容、経緯、被害状況等について、速やかに個人情報保護委員会に情報提供を行うことが望ましい。

第 6 章 監 査 及 び点 検 の実 施
（監査）第 56 条 監査責任者は、保有個人情報の適切な管理を検証するため、第 2 章及び第 3 章に規定する措置の状況を含む機構における保有個人情報の管理の状況について、定期に及び必要に応じ随時に監査（外部監査を含む。）を行い、その結果を総括保護管理者に報告する。
（点検）第 57 条 保護管理者及び事務取扱責任者は、各課室等における保有個人情報の記録媒体、処
理経路、保管方法等について、定期に及び必要に応じ随時に点検を行い、必要があると認める
ときは、その結果を総括保護管理者に報告する。
（評価及び見直し）
第 58 条 総括保護管理者、保護管理者及び事務取扱責任者等は、監査又は点検の結果等を踏
まえ、実効性等の観点から保有個人情報の適切な管理のための措置について、評価し、必要があると認めるときは、その見直し等の措置を講ずる。
（文 部科 学 省 との連 携 ）第 59 条 機 構 は、「個 人 情 報 の保護 に関する基本 方 針 」（平 成 16 年 4 月 2 日 閣 議 決 定 ）を踏まえ、文 部 科 学 省 と緊 密 に連 携 して、その保 有 する個 人 情 報 の適 切 な管 理 を行 う。

14 / 16

第 7 章 補則（補則）
第 60 条 この規程に定めるもののほか、機構の保有個人情報の取扱いに関し必要な事項は、理事長が別に定める。
（庶務）
第 61 条 この規程に関する庶務は、総務企画課において処理する。

附 則
この規程は、平成 18 年 4 月 1 日から施行する。
附 則
この規程は、平成 19 年 4 月 1 日から施行する。
附 則
この規程は、平成 21 年 3 月 19 日から施行する。
附 則
この規程は、平成 23 年 4 月 1 日から施行する。
附 則
この規程は、平成 25 年 4 月 1 日から施行する。
附 則
この規程は、平成 27 年 4 月 1 日から施行する。
附 則
この規程は、平成 27 年 10 月 1 日から施行する。
附 則
この規程は、平成 29 年 4 月 1 日から施行する。
附 則
この規程は、令和元年 7 月 1 日から施行する。
附 則
この規程は、令和 2 年 8 月 1 日から施行する。
附 則
この規程は、令和 3 年 4 月 1 日から施行する。
附 則
この規程は、令和 4 年 9 月 29 日から施行する。

15 / 16

別 表 1-1（第 2 条 第 10 号 関 係 ）給与所得・退職所得の源泉徴収票作成事務
財産形成住宅貯蓄・財産形成年金貯蓄に関する申告書作成事
職員等にかかる個人番号関務

係事務及び職員等の被扶養雇用保険届出事務者に係る個人番号関係事務

労働者災害補償保険法に基づく請求に関する事務
健康保険・厚生年金保険届出事務
国民年金の第三号被保険者の届出事務職員等以外の個人に係る報酬・料金等の支払調書及び源泉徴収票作成事務

個人番号関係事務

別 表 1-2（第 8 条 第 4 項 関 係 ）統括事務取扱責任者

事務取扱責任者

総務企画部長

人事課長

財務部長

財務課長

所長

次長

事務取扱担当者
人事課給与係
人事課福祉係
財務課出納係
総務係、管理係、総務・管理係のうち、次長が指名する者

16 / 16