○学校法人東京医科大学特定個人情報取扱規程（平成27年12月8日制定）
学校法人東京医科大学特定個人情報取扱規程
平成27年12月８日制定
改正
平成28年２月22日東医大発第54号
第１章 総則（趣旨）
第１条 この規程は、学校法人東京医科大学（以下「本学」という。）が行政手続における特定の個人を識別するための番号の利用等に関する法律（平成25年法律第27号。以下「番号法」という。）、個人情報の保護に関する法律（平成15年法律第57号。以下「個人情報保護法」という。）及び特定個人情報の適正な取扱いに関するガイドライン（事業者編）（以下「特定個人情報ガイドライン」という。）に基づき、本学の取り扱う特定個人情報等の適正な取扱いを確保するため に定める。
２ この規程は、特定個人情報の取得、利用、保管、提供、開示、訂正、利用停止、廃棄・削除の各段階における留意事項及び安全管理措置について定める。
３ 特定個人情報等に関しては、本学の個人情報保護に関する他の規程等に優先してこの規程が適用される。また、この規程が個人情報保護に関する他の本学の規程等と矛盾抵触する場合には、この規程が優先して適用されるものとする。
（定義）
第２条 この規程における用語の定義は、次のとおりとする。
(１) 「個人情報」とは、個人情報保護法第２条第１項に規定する個人情報をいう。
(２) 「個人番号」とは、番号法第２条第５項の規定に定めるものをいう。
(３) 「特定個人情報」とは、個人番号をその内容に含む個人情報をいう。
(４) 「特定個人情報等」とは、個人番号及び特定個人情報をいう。
(５) 「個人情報ファイル」とは、個人情報を含む情報の集合物であって、特定の個人情報について電子計算機を用いて検索することができるように体系的に構成したもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものをいう。
(６) 「特定個人情報ファイル」とは、個人番号をその内容に含む個人情報ファイルをいう。
(７) 「個人番号利用事務」とは、行政機関、地方公共団体、独立行政法人等その他の行政事務を処理する者が番号法第９条第１項又は第２項の規定によりその保有する特定個人情報ファイルにおいて個人情報を効率的に検索し、及び管理するために必要な限度で個人番号を利用して処理する事務をいう。
(８) 「個人番号関係事務」とは、番号法第９条第３項の規定により個人番号利用事務に関して行われる他人の個人番号を必要な限度で利用して行う事務をいう。
(９) 「個人番号利用事務実施者」とは、個人番号利用事務を処理する者及び個人番号利用事務の全部又は一部の委託を受けた者をいう。
(10) 「個人番号関係事務実施者」とは、個人番号関係事務を処理する者及び個人番号関係事務の全部又は一部の委託を受けた者をいう。
(11) 「職員等」とは、本学の組織内にあって直接又は間接に本学の指揮監督を受けて本学の業務に従事している者をいい、雇用関係にある職員（正職員、嘱託職員、臨時職員等）のほか雇用関係にない者（役員、派遣職員等も含む。）をいう。
(12) 「統括責任者」とは、本学において、特定個人情報等の管理に関する統括を担う者をいう。
(13) 「事務取扱責任者」とは、本学において特定個人情報等の管理に関する責任を担う者をいう。
(14) 「事務取扱担当者」とは、本学において個人番号を取り扱う事務に従事する者をいう。
(15) 「管理区域」とは、特定個人情報ファイルを取り扱う情報システムを管理する区域をいう。
(16) 「取扱区域」とは、特定個人情報等を取り扱う事務を実施する区域をいう。
（個人番号を取り扱う事務の範囲）
第３条 本学において個人番号を取り扱う事務の範囲は、次のとおりとする。
(１) 法定調書作成事務

1/7

(２) 源泉所得税関係事務(３) 住民税特別徴収関係事務(４) 健康保険・厚生年金保険関係事務(５) 国民年金第３号被保険者関係事務(６) 雇用保険・労働者災害補償保険関係事務(７) 財産形成貯蓄関係事務（特定個人情報等の範囲）
第４条 前条の定めにより、本学が個人番号を取り扱う事務において使用される個人番号及び個人番号と関連付けて管理される特定個人情報は、次のとおりとする。
(１) 職員等又は職員等以外の個人から提出を受けた本人確認書類及び写し(２) 税務署等の法定調書及び控え(３) 職員等又は職員等以外の個人から受領する個人番号が記載された申告書等(４) その他個人番号と関連づけて保存される情報
２ 前項各号に該当するか否かが定かでない場合は、事務取扱責任者が判断する。
第２章 安全管理措置
第１節 組織的安全管理措置・人的安全管理措置（組織体制）
第５条 本学は、各施設（法人本部・大学、大学病院、茨城医療センター（霞ヶ浦看護専門学校を含む。）、八王子医療センター）人事担当課を特定個人情報等を管理する責任部署とする。
２ 本学に統括責任者を置き、学長をもって充てる。
３ 本学は、各施設人事担当課の長を事務取扱責任者とする。
４ 本学は、各施設人事担当課の係員を事務取扱担当者とする。
（統括責任者の責務）
第６条 統括責任者は、番号法、個人情報保護法その他の関連法令及びこの規程の趣旨に則り、特定個人情報等の適正な取扱いを確保するために必要な施策を策定、実施するとともに、安全管理について統括する。
（事務取扱責任者の責務）
第７条 事務取扱責任者は、この規程に定められた事項を理解し、遵守するとともに、事務取扱担当者にこれを理解させ、遵守させるための教育訓練、安全対策の実施及び周知徹底の措置を実 施する責務を負う。
２ 事務取扱責任者は、次の業務を所管する。
(１) この規程の周知(２) 委託先の選定基準の設定(３) 特定個人情報等の安全管理に関する教育・研修の企画及び実施(４) 特定個人情報等の利用の承認及び記録等の管理(５) 管理区域及び取扱区域の設定(６) 特定個人情報等の取扱者及び権限についての設定及び変更(７) 特定個人情報等の取扱状況の把握(８) 事務取扱担当者に対する特定個人情報等の取扱状況等の監督(９) 委託先における特定個人情報等の取扱状況等の監督（事務取扱担当者の責務）
第８条 事務取扱担当者は、特定個人情報等の取得、利用、保管、提供、開示、訂正、利用停止、廃棄・削除又は委託処理等、特定個人情報等を取り扱う業務に従事する際は、番号法、個人情報保護法その他の関連法令、特定個人情報ガイドライン、この規程及びその他の学内規程等並びに事務取扱責任者の指示した事項に従い、特定個人情報等の保護に十分な注意を払ってその業務を行うものとする。
２ 事務取扱担当者は、特定個人情報等の漏えい等、番号法、個人情報保護法その他の関連法令、特定個人情報ガイドライン、この規程若しくはその他の学内規程等に違反している事実又は兆候を把握した場合、速やかに事務取扱責任者に報告するものとする。
（教育・研修）

2/7

第９条 事務取扱責任者は、事務取扱担当者にこの規程を遵守させるための教育・研修を行うものとする。
２ 事務取扱担当者は、事務取扱責任者が行う教育・研修を受けなければならない。
（特定個人情報等の取扱事務に係る作業手順）
第10条 特定個人情報等の取扱事務に係る作業手順は、別に定める。
（運用状況の記録）
第11条 事務取扱担当者は、次に掲げるシステムログ及び利用実績を記録するものとする。
(１) 特定個人情報ファイルの利用・出力状況の記録(２) 書類・媒体等の持出しの記録(３) 特定個人情報ファイルの削除・廃棄記録(４) 削除・廃棄を委託した場合、これを証明する記録等(５) 特定個人情報ファイルを情報システムで取り扱う場合、事務取扱担当者の情報システムの利用状況（ログイン実績、アクセスログ等）の記録（取扱状況の確認手段）
第12条 事務取扱担当者は、特定個人情報ファイルの取扱状況を確認するための手段として、特定個人情報管理台帳に次に掲げる事項を記録するものとする。ただし、特定個人情報管理 台帳には、特定個人情報等は記載しないものとする。
(１) 特定個人情報ファイルの種類、名称(２) 責任者、取扱部署(３) 利用目的(４) 削除・廃棄状況(５) アクセス権を有する者(６) 管理区域の場所(７) 取扱区域の場所（特定個人情報等の漏えい事案等への対応）
第13条 事務取扱責任者は、特定個人情報等の漏えい、滅失、毀損による事故若しくは番号法違反の事案（以下「漏えい事案等」という。）が発生した場合又はその可能性が高いと判断した場合は、この規程及び事業者における特定個人情報の漏えい事案等が発生した場合の対応について（平成27年特定個人情報保護委員会告示第２号）に基づき、適切に対処するものとする。
２ 事務取扱責任者は、統括責任者と連携して漏えい事案等に対応する。
３ 事務取扱責任者は、漏えい事案等が発生したと判断した場合は、その旨及び調査結果を統括責任者、当該漏えい事案等の対象となった施設長及び事務（局）部長に報告する。
４ 事務取扱責任者は、漏えい事案等が発生した場合、主務大臣のガイドライン等の規定に従い必要な報告を速やかに行う。
５ 事務取扱責任者は、漏えい事案等が発生したと判断した場合は、情報漏えい等が発生した事実関係の調査及び原因の究明を行い、再発防止に向けた対策を講じるものとする。
６ 事務取扱責任者は、漏えい事案等が発生したと判断した場合は、その事実を本人に通知するとともに、必要に応じて公表する。
（苦情への対応）
第14条 事務取扱担当者は、特定個人情報等の取扱いに関し本人から苦情の申出を受けた場合には、その旨を事務取扱責任者に報告し、報告を受けた事務取扱責任者は、適切に対応するものとする。
（監査）第15条 統括責任者は、必要に応じて本学の特定個人情報等の取扱状況並びに番号法その他の法令及びこの規程の遵守状況について、統括責任者が指名する者に監査を行わせることができる。
（取扱状況の確認及び安全管理措置の見直し）
第16条 事務取扱責任者は、年１回以上又は臨時に特定個人情報等の取扱記録及び特定個人情報ファイルの取扱状況の確認を実施しなければならない。
２ 事務取扱責任者は、前項の確認の結果及び前条の監査の結果に基づき、安全管理措置の見直し及び改善に取り組むものとする。
第２節 物理的安全管理措置

3/7

（特定個人情報等を取り扱う区域の管理）
第17条 本学は、管理区域及び取扱区域を明確にし、それぞれの区域に対し次の措置を講じる。
(１) 管理区域
入退室管理並びに管理区域へ持ち込む機器及び電子媒体等の制限を行うものとする。
(２) 取扱区域
壁若しくは間仕切り等の設置又は事務取扱担当者以外の者の往来が少ない場所への座席配置若しくは後ろから覗き見される可能性が低い場所への座席配置等の措置を行うものとする。
（機器及び電子媒体等の盗難等の防止）
第18条 本学は、管理区域及び取扱区域における特定個人情報等を取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、次の措置を講じる。
(１) 特定個人情報等を含む電子媒体又は書類等は、施錠できる書庫等に保管する。
(２) 特定個人情報等を取り扱う機器は、セキュリティワイヤー等により固定する。
（電子媒体等を持ち出す場合の漏えい等の防止）
第19条 本学は、特定個人情報等が記録された電子媒体又は書類等の持出し（特定個人情報等を管理区域又は取扱区域の外へ移動させることをいい、事業所内での移動等も含む。）は、次の場合を除き禁止する。
(１) 個人番号関係事務に係る外部委託先に、委託事務を実施する上で必要と認められる範囲内でデータを提供する場合(２) 行政機関等への法定調書の提出等、本学が実施する個人番号関係事務に関して個人番号利用事務実施者に対しデータ又は書類を提出する場合
２ 前項により特定個人情報等が記録された電子媒体又は書類等の持出しを行う場合には、次の安全策を講じるものとする。ただし、行政機関等に法定調書等をデータで提出するに当たっては、行政機関等が指定する提出方法に従うものとする。
(１) 特定個人情報等が記録された電子媒体を持ち出す場合① 持出しデータの暗号化② 持出しデータのパスワードによる保護③ 施錠できる搬送容器の使用④ 書留郵便等の追跡可能な移送手段の利用(２) 特定個人情報等が記載された書類等を持ち出す場合① 封緘、目隠しシールの貼付（廃棄・削除段階における措置）
第20条 特定個人情報等の廃棄・削除段階における記録媒体等の管理は、次のとおりとする。
(１) 事務取扱担当者は、特定個人情報等が記録された書類等を廃棄する場合、シュレッダー等による裁断又は外部の焼却場での焼却・溶解等の復元不可能な手段を用いるものとする。
(２) 事務取扱担当者は、特定個人情報等が記録された機器及び電子媒体等を廃棄する場合、データ削除ソフトウェアの利用又は物理的な破壊等、復元不可能な手段を用いるものとする。
(３) 事務取扱担当者は、特定個人情報ファイル中の個人番号又は一部の特定個人情報等を削除する場合、容易に復元できない手段を用いるものとする。
(４) 特定個人情報等を取り扱う情報システムにおいては、法定保存期間経過後１年以内に個人番号を削除するよう情報システムを構築するものとする。
(５) 個人番号が記載された書類等については、法定保存期間経過後１年以内に廃棄をするものとする。
２ 事務取扱担当者は、個人番号若しくは特定個人情報ファイルを削除した場合又は電子媒体等を廃棄した場合は、削除又は廃棄した記録を保存するものとする。
第３節 技術的安全管理措置（アクセス制御）第21条 特定個人情報等へのアクセス制御は、次のとおりとする。
(１) 個人番号と紐付けてアクセスできる情報の範囲を限定する。
(２) 特定個人情報ファイルを取り扱う情報システムを限定する。
(３) 特定個人情報ファイルを取り扱う情報システムを使用できる者を事務取扱担当者に限定する。

4/7

（アクセス者の識別と認証）
第22条 特定個人情報等を取り扱う情報システムは、ユーザーＩＤ、パスワード、磁気・ＩＣカード等の識別方法により、事務取扱担当者が正当なアクセス権を有する者であることを識別した結果に基づき認証するものとする。
（外部からの不正アクセス等の防止）第23条 本学は、次の方法により、情報システムを外部からの不正アクセス又は不正ソフトウェアから保護するものとする。
(１) 情報システムのネットワークは、閉鎖型とする。
(２) 情報システム及び機器にセキュリティ対策ソフトウェア等（ウイルス対策ソフトウェア等）を導入する。
(３) 導入したセキュリティ対策ソフトウェア等により、入出力データにおける不正ソフトウェアの有無を確認する。
(４) ログ等の確認を定期的に行い、不正アクセス等を検知する。
（情報漏えい等の防止）第24条 本学は、特定個人情報等をインターネット等により外部に送信する場合、次の方法により、通信経路における情報漏えい等及び情報システムに保存されている特定個人情報等の情報漏えい等を防止するものとする。
(１) 通信経路の暗号化(２) データの暗号化又はパスワードによる保護
第３章 特定個人情報等の取得（特定個人情報等の適正な取得）第25条 本学は、特定個人情報等の取得を適法かつ公正な手段によって行うものとする。
（特定個人情報等の利用目的）
第26条 本学が職員等又は職員等以外の個人から取得する特定個人情報等の利用目的は、第３条に定める事務の範囲内とする。
（特定個人情報等の取得時の利用目的の通知等）
第27条 本学が利用目的の変更を要する場合は、当初の利用目的と相当の関連性を有すると合理的に認められる範囲内で利用目的を変更し、職員等への通知、公表又は明示を行うことにより、変更後の利用目的の範囲内で特定個人情報等を利用することができる。
（個人番号の提供の要求）
第28条 本学は、第３条に定める事務を処理するために必要がある場合に限り、職員等又は他の個人番号関係事務実施者若しくは個人番号利用事務実施者に対して個人番号の提供を求めることができるものとする。
（個人番号の提供を求める時期）
第29条 本学は、第３条に定める事務を処理するために必要があるときに個人番号の提供を求めることとする。
２ 前項にかかわらず、個人番号関係事務の発生することが明らかな場合には、事前に個人番号の提供を求めることができるものとする。
（特定個人情報等の提供の求めの制限）
第30条 本学は、番号法第19条各号のいずれかに該当し、特定個人情報等の提供を受けることができる場合を除き、特定個人情報等の提供を求めてはならない。
（特定個人情報等の収集制限）
第31条 本学は、第３条に定める事務の範囲を超えて、特定個人情報等を収集しないものとする。
（本人確認）
第32条 本学は、番号法第16条に定める方法により、職員等の個人番号の確認及び身元確認を行うものとする。また、代理人については、同条に定める各方法により、当該代理人の身元確認、代理権の確認及び本人の個人番号の確認を行うものとする。
第４章 特定個人情報等の利用（特定個人情報等の利用制限）
第33条 本学は、第26条に定める利用目的の範囲内で利用するものとする。

5/7

２

本学は、人の生命、身体又は財産の保護のために必要がある場合を除き、本人の同意があったとしても、利用目的を超えて特定個人情報等を利用してはならない。
（特定個人情報ファイルの作成の制限）
第34条 本学が特定個人情報ファイルを作成するのは、第３条に定める事務を実施するために必要な範囲に限るものとし、これらの場合を除き特定個人情報ファイルを作成してはならない。
第５章 特定個人情報等の保管（特定個人情報等の正確性の確保）
第35条 事務取扱担当者は、特定個人情報等を正確かつ最新の状態で保持するよう努めるものとする。
（保有個人情報に関する事項の公表等）
第36条 本学は、個人情報保護法第24条第１項の規定に基づき、特定個人情報等に係る保有個人情報に関する事項を本人の知り得る状態に置くものとする。
（特定個人情報等の保管制限）
第37条 本学は、第３条に定める事務の範囲を超えて、特定個人情報等を保管してはならない。
２ 本学は、法定保存期間を経過するまでの間は、特定個人情報等を保管するものとする。
第６章 特定個人情報等の提供（特定個人情報等の提供制限）
第38条 本学は、番号法第19条各号のいずれかに該当する場合を除き、本人の同意の有無にかかわらず、特定個人情報等を第三者に提供しないものとする。ただし、人の生命、身体又は財産の保護のために必要がある場合についてはこの限りでない。
第７章 特定個人情報等の開示、訂正等、利用停止等（特定個人情報等の開示）
第39条 本学は、本人から当該本人が識別される特定個人情報等に係る保有個人情報について開示を求められた場合には、遅滞なく、当該本人が開示を求めてきた範囲内でこれに対応するものとする。
２ 本学は、次の事由に該当する場合には、当該開示請求の全部又は一部を不開示とすることができる。
(１) 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合(２) 本学の業務の適正な実施に著しい支障を及ぼすおそれがある場合(３) 他の法令に違反することとなる場合（特定個人情報等の訂正等）
第40条 本学は、本人が識別される保有個人情報の内容が事実でないことを理由に当該本人から訂正、追加又は削除を求められた場合には、遅滞なくこれに対応するものとする。
（特定個人情報等の利用停止等）
第41条 本学は、本人から当該本人の特定個人情報等が違法に取得されている、又は利用されている、若しくは第三者に違法に提供されているという理由により、利用の停止、消去又は第三者への提供の停止（以下この条において「利用停止等」という。）を求められた場合には、遅滞なく、当該特定個人情報等の利用停止等を行わなければならない。ただし、利用停止等を行うことに多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、当該本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
第８章 特定個人情報等の廃棄・削除（特定個人情報等の廃棄・削除）
第42条 本学は、特定個人情報等について、法定保存期間を経過した場合には、特定個人情報等をできるだけ速やかに廃棄・削除するものとする。
第９章 特定個人情報等の委託の取扱い（委託先における安全管理措置）
第43条 本学は、個人番号関係事務又は個人番号利用事務の全部又は一部を委託する場合には、本学自らが果たすべき安全管理措置と同等の措置が委託先において講じられるよう、必要かつ適切な監督を行うものとする。
２ 前項の委託先に対して次の事項を実施するものとする。
(１) 委託先の選定は、特定個人情報等の保護体制が十分であるかを確認の上行うこと。
(２) 委託先との間で次の事項を記載した契約を締結すること。

6/7

① 特定個人情報等に関する秘密保持義務② 特定個人情報等の適正な保管管理義務③ 事業所内からの特定個人情報等の持ち出しの禁止④ 特定個人情報等の目的外利用の禁止⑤ 漏えい事案等が発生した場合の委託先の責任及び報告体制⑥ 委託契約終了後の特定個人情報等の返却又は廃棄⑦ 特定個人情報取扱者に対する監督・教育⑧ 契約内容の遵守状況について報告⑨ その他重要事項
３ 委託先が本学の許諾を得て再委託する場合には、再委託先の監督については、前２項の規定を準用する。
４ 委託先の管理については、法人本部人事部人事課を責任部署とする。
第10章 その他（雑則）
第44条 この規程に定めのない事項が発生した場合は、事務取扱担当者等は統括責任者の指示を得て対応しなければならない。
（改廃）第45条 この規程の改廃は、理事会の議を経て理事長が決定する。
附 則
この規程は、平成27年12月８日から施行する。
附 則（平成28年２月22日東医大発第54号）
この規程は、平成28年４月１日から施行する。（第５条第１項の改正）

7/7