国立大学法人電気通信大学個人情報保護規程
全部改正

令和4年3月14日規程第66号

目次
第１章

総則

（第１条－第４条）

第２章

組織体制

（第５条－第12条）

第３章

教育研修

（第13条）

第４章

職員等の責務

第５章

個人情報の取扱い

第６章

安全管理措置（第14条）（第15条－第23条）

第１節

保有個人情報の適切な管理（第24条－第29条）

第２節

情報システムにおける安全の確保等

第３節

情報システム室等の安全管理（第45条、第46条）

第４節

サイバーセキュリティの確保（第47条）

第５節

外的環境の把握（第30条－第44条）（第48条）

第７章

個人情報の提供（第49条－第58条）

第８章

業務の委託等第９章

安全確保上の問題への対応（第59条）

第１０章

苦情の処理

第１１章

監査及び点検の実施

第１２章

行政機関との連携

第１３章

雑則（第60条－第63条）（第64条）（第65条－第67条）（第68条）（第69条、第70条）

附則
第１章

総則

（目的）
第１条

この規程は、個人情報の保護に関する法律（平成１５年法律第５７号。以下「法」という。）第２３条及び第５９条の規定に基づき、国立大学法人電気通信大学（以下「本学」という。）が個人情報取扱事業者として講ずべき措置について、その適切かつ有効な実施を図るとともに、学術研究機関等として本学の教育、研究、社会貢献その他の学術研究活動を目的に行う個人情報の取扱いの適正を確保するために必要な事項を定め、もって個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする。
（適用）
第２条

本学が保有する特定個人情報の取扱いに関する措置については、行政手続における特定の個人を識別するための番号の利用等に関する法律（平成２５年法律第２７号。
以下「番号法」という。）その他の法令に特別の定めがある場合を除き、この規程及び「国立大学法人電気通信大学個人番号関係事務実施規程」による。
２

法第１２３条第２項及び第３項の規定による法第５章第４節及び第５節の適用に関す
る規律については、この規程に定めるもののほか、「国立大学法人電気通信大学保有個

人情報開示等請求取扱規程」及び「国立大学法人電気通信大学における行政機関等匿名加工情報取扱規程」による。
（用語）
第３条

この規程において使用する用語は、法及び番号法において使用する用語の例による。
（個人情報保護方針）
第４条

学長は、個人情報の適正な取扱いの確保について組織として取り組むため、次に掲げる事項を含む本学の個人情報の保護に関する基本方針（以下「個人情報保護方針」）を策定するものとする。
(1) 本学の事務又は事業の内容及び規模を考慮した適切な個人情報の取得、利用及び提供に関すること（利用目的以外の利用を行わないこと及びそのための措置を講じることを含む。）(2) 個人情報の取扱いに関する法令、国が定める指針その他の規範を遵守すること(3) 個人情報の漏えい、滅失又は毀損等（以下「漏えい等」という。）の防止及び是正に関すること(4) 苦情及び相談への対応に関すること(5) 個人情報の保護の取扱いの継続的改善に関すること
２

前項の個人情報保護方針を策定し、又は変更したときは、次に掲げる事項とともに、一般に周知するものとする。
(1) 事業者の名称及び代表者氏名(2) 制定年月日及び最終改正年月日(3) 個人情報保護方針の内容についての問い合わせ先
第２章

組織体制

（最高責任者）
第５条

学長は、最高責任者として、本学における個人情報の保護に関する権限と責任を有する。
２

学長は、本学が取り扱う個人情報の保護体制の実施、運用等について監督を行う。
（総括個人情報保護管理者）

第６条

本学に、総括個人情報保護管理者（以下「総括保護管理者」という。）を置き、学長が指名する理事をもって充てる。
２

総括保護管理者は、本学における個人情報の取扱いに関し、次に掲げる任務に当たる。
(1) 本学における個人情報の取扱いに関する事務の総括(2) 個人情報の取得、利用の目的の通知等、管理、第三者提供、開示等及び遵守状況の確認等(3) 個人情報を取扱う者に対する教育、啓発及び研修の企画(4) 個人情報を複数の部署で取り扱う場合の役割分担及び責任の明確化(5) 委託先の選定基準の承認及び周知(6) その他個人情報の安全管理に関すること

３

総括保護管理者は、個人情報の取扱いに関して、本学の役員、職員その他本学の業務に従事する者（派遣労働者を含む。以下「職員等」という。）並びにその役割を指定す
るものとする。
４

総括保護管理者は、個人番号及び特定個人情報（個人番号をその内容に含む個人情報をいう。以下同じ。）を取り扱う事務の範囲及び当該特定個人情報を取り扱う事務を担当する職員等（以下「事務取扱担当者」という。）を指定するものとする。

５

前２項の指定は、業務を行う上で必要最小限の範囲に限るものとする。
（副総括保護管理者）

第７条

学長が必要と認めるときは、本学に、副総括保護管理者を置くものとし、学長が指名する理事又は副学長をもって充てる。
２

副総括保護管理者は、総括保護管理者を補佐し、総括保護管理者に事故あるときは、その職務を代行する。
（個人情報保護管理者）

第８条

個人情報を取り扱う職員等（以下「個人情報取扱者」という。）の属する課室等

その他組織（以下「各部署」という。）に、個人情報保護管理者（以下「保護管理者」という。）を置き、当該各部署の文書管理者（国立大学法人電気通信大学法人文書管理規程に規定する文書管理者をいう。）をもって充てる。
２

前項に規定するもののほか、総括保護管理者は、必要に応じて特定の事項を処理する
保護管理者を本学の職員の中から指定することができる。

３

保護管理者は、総括保護管理者を補佐するとともに、各部署における次に掲げる個人情報の適切な管理を確保し、個人情報を情報システムで取り扱う場合には、当該情報シ
ステムの管理者と連携して、その任に当たる。
(1) 個人情報取扱者に対する必要かつ適切な監督並びに個人情報の安全管理に関する教育及び研修の機会の付与(2) 個人情報の取扱いの規律に従った運用状況の確認(3) 個人情報の利用申請の承認及び記録等の管理(4) 個人情報ファイルを取り扱う情報システムを管理する区域（以下「管理区域」という。）の設定(5) 特定個人情報を取り扱う事務を実施する区域（以下「取扱区域」という。）の設定(6) 個人情報の取扱状況の把握(7) 委託先における個人情報の取扱状況等の監督（個人情報保護担当者）

第９条

各部署に、個人情報保護担当者（以下「保護担当者」という。）を置き、当該各部署の保護管理者が本学の職員の中から指定する。
２

保護担当者は、保護管理者を補佐し、各部署における保有個人情報の管理に関する事
務を担当する。

３

総務部総務企画課に置かれる保護担当者は、次に掲げる事項を処理するものとする。
(1) 保有個人情報の適切な管理に関する事務に係る各部署間の連絡調整(2) その他総括保護管理者が指定する事項（監査責任者）

第10条

本学に、保有個人情報の管理の状況について監査する者（以下「監査責任者」という。）を置き、監事、理事（総括保護管理者を除く。）又は内部監査室長のうちから学長が指名する者をもって充てる。
（個人情報の適切な管理のための委員会）
第11条

総括保護管理者は、個人情報の管理に係る重要事項の決定及び連絡・調整等を行うために必要があると認めるときは、関係の職員等を構成員とする委員会に諮るものとする。
２

前項の委員会に関する事項は、「国立大学法人電気通信大学情報公開・個人情報保護委員会規程」による。
（個人情報に関するその他組織体制の整備）

第12条

総括保護管理者は、第６条から前条までに規定するもののほか、次に掲げる組織

体制を整備するものとする。
(1) 法令、個人情報保護方針及びこの規程等に違反している事実又は兆候を把握した場合の総括保護管理者への報告連絡体制(2) 個人情報の漏えい等事案の発生又は兆候を把握した場合の職員等から総括保護管理者等への報告連絡体制及びその対応体制(3) 個人情報を複数の部署等で取り扱う場合の各部署の任務分担及び責任の明確化(4) 個人情報の漏えい等の事案の発生又は兆候を把握した場合の対応体制(5) 苦情受付窓口の設置及び苦情処理手順の策定等の整備
第３章

教育研修

（教育研修）
第13条

総括保護管理者は、個人情報取扱者に対し、個人情報の取扱いについて理解を深め、個人情報の保護に関する意識の高揚を図るための啓発その他必要な教育研修を行う。
２

総括保護管理者は、個人情報を取り扱う情報システムの管理に関する事務に従事する
職員等に対し、個人情報の適切な管理のために、情報システムの管理、運用及びセキュ
リティ対策に関して必要な教育研修を行う。

３

総括保護管理者は、保護管理者、事務取扱担当者及び保護担当者に対し、各部署における保有個人情報の適切な管理（特定個人情報の安全管理に関する事項を含む。次項において同じ。）のための教育研修を実施する。

４

保護管理者は、当該部署の職員等に対し、保有個人情報の適切な管理のために、総括責任者の実施する教育研修への参加の機会を付与する等の必要な措置を講ずる。

５

前各項の規定は、委託先について準用する。
第４章

職員等の責務

（職員等の責務）
第14条

職員等は、法及び番号法の趣旨に則り、関連する法令及び規程等の定め並びに総括保護管理者、保護管理者及び保護担当者の指示に従い、個人情報を取り扱うとともに、次に掲げる項目を遵守しなければならない。
(1) 個人情報を含む書類等を机の上等に放置してはならない。
(2) 保護管理者が業務上特に必要があると認めた場合以外は、個人情報を含む書類等を複製し、又は執務室その他の施設から持ち出してはならない。
(3) 業務上必要な範囲を超えて個人情報を取り扱ってはならない。
２

職員等は、遵守すべき事項に不明な点がある場合は、保護管理者又は保護担当者に確認し、指示を仰ぐものとする。

３

職員等は、個人情報の漏えい等の事案の発生又は兆候を把握した場合及び他の職員等がこの規程等に違反している事実又は兆候を把握した場合は、直ちに保護管理者を通じて総括保護管理者に報告しなければならない。

４

職員等又は職員等であった者は、従事した業務に関して知り得た個人情報の内容をみだりに他人に知らせ、又は不当な目的に利用してはならない。
第５章

個人情報の取扱い（個人情報の利用目的等の公表等）
第15条

職員等は、個人情報を取得する場合には、取得する個人情報の項目及びその利用

目的及び個人情報を取得する方法を特定するとともに、当該特定した事項及び個人情報保護方針その他必要な事項（以下「プライバシーポリシー」と総称する。）を本人に通知し、公表し又は明示して、その利用についてあらかじめ本人の同意を得るものとする。
２

前項のプライバシーポリシーの公表に当たっては、原則として、本学のウェブサイト
に掲載する方法によるものとする。ただし、事務又は事業の性質及び個人情報の取扱状
況に応じ、これによりがたい場合にはこの限りではない。

３

第１項のプライバシーポリシーの通知又は明示に当たっては、事務又は事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によるものとする。
（個人情報の利用の制限等）

第16条

職員等は、個人情報を利用するに当たっては、その利用の目的をできる限り特定するものとする。
２

職員等は、個人番号の利用は、番号法に規定する特定個人情報を取り扱う事務に限定するものとする。

３

職員等は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて、個人情報を取扱ってはならない。

４

職員等は、利用目的を変更する場合は、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。

５

職員等は、
個人情報の利用目的を変更した場合は、変更した利用目的を本人に通知し、又は公表するものとする。ただし、学術研究目的その他の法令に基づく場合等はこの限りではない。
（適正な取得）第17条
２

職員等は、個人情報の取得を適法かつ公正な手段によって行うものとする。

職員等は、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
ただし、学術研究目的その他の法令に基づく場合等はこの限りではない。

３

職員等は、特定個人情報を取り扱う事務を処理するために必要な場合その他番号法で定める場合を除き、個人番号の提供を求めてはならない。

（内容の正確性の確保）
第18条

職員等は、利用目的の達成に必要な範囲内において、次の状況となるよう努めなければならない。
(1) 個人情報を過去又は現在の事実と合致させる。
(2) 個人データを正確かつ最新の内容に保つ。
(3) 利用する必要がなくなったときは、当該個人データを遅滞なく消去する。
（個人情報を取扱う業務の特定）
第19条

職員等は、本学の事務又は事業において、個人情報を取得し、個人情報データベース等若しくは個人情報ファイル（以下「個人情報ファイル等」という。）を作成し、若しくは保有し、又はこれらを利用しようとするときは、あらかじめ次に掲げる事項を特定して、保護管理者の承認を得るものとする。
(1) 個人情報ファイル等の種類又は名称(2) 責任者及び取扱部署(3) 利用目的(4) 記録項目、記録範囲(5) 記録情報の収集方法(6) 要配慮個人情報が含まれるときは、その旨(7) 記録情報の提供先(8) 記録項目の一部若しくは特定事項の個人情報ファイル簿に記載しないこととするとき、その旨(9) 開示、訂正又は利用停止の請求時の対応部署(10) 保有開始予定年月日(11) 変更予定年月日
２

前項の規定は、保護管理者の承認した内容を変更しようとするときについて準用する。
（個人情報の取扱状況の記録）

第20条

保護管理者は、個人情報の秘匿性等その内容に応じて、その取扱状況を確認するため、台帳を整備するものとする。
２

前項の台帳には、次条第１項各号に規定する事項を含めて記載するものとする。ただし、特定個人情報を記録してはならない。

３

個人情報取扱者は、個人情報を取り扱うに当たっては、次の各号に掲げる事項について第１項の台帳にその利用実績を記録するものとする。
(1) 個人情報ファイル等の利用の記録(2) 個人情報が記載又は記録された書類・媒体等の持出し及び提供の記録(3) 個人情報ファイル等の削除及び廃棄の記録(4) 個人情報の取扱いの委託の記録(5) 漏えい等の事案及び点検の記録(6) 個人情報ファイル等を情報システムで取り扱う場合、個人情報取扱者の情報システ
ムの利用状況（ログイン実績及びアクセスログ等）の記録（個人情報ファイル等の保有）

第21条

保護管理者は、個人情報ファイル等を保有するに当たっては、次の各号に掲げる

事項を記録した台帳を整備し、総括保護管理者に届け出なければならない。届け出した事項を変更しようとするときも、同様とする。
(1) 個人情報ファイル等の種類及び名称(2) 責任者及び取扱部署(3) 利用目的(4) 削除及び廃棄状況(5) アクセス権を有する者(6) 管理区域の場所(7) 特定個人情報を取り扱う事務を実施する場合にあっては、取扱区域の場所
２

保護管理者は、特定個人情報を取り扱う事務を処理するために必要な場合その他番号法で定める場合を除き、特定個人情報ファイルを作成してはならない。
（個人情報ファイル簿の公表）

第22条

総括保護管理者は、本学が保有している個人情報ファイル等について、前２条に規定する台帳その他の記録等により、個人情報ファイル簿を作成し、必要な調製を行ったうえで公表するものとする。
（開示等請求の取扱い等）
第23条

本学の保有する個人情報に係る開示請求、訂正請求又は利用停止請求（以下「開示等請求」という。）の取扱い、開示等請求に対する決定及びこれらに係る審査請求に関し必要な事項については、「国立大学法人電気通信大学保有個人情報開示等請求取扱規程」による。
第６章
第１節

安全管理措置
保有個人情報の適切な管理（アクセス制限）第24条

保護管理者は、保有個人情報の秘匿性等その内容（個人識別の容易性（匿名化の程度等）、要配慮個人情報の有無、漏えい等が発生した場合に生じ得る被害の性質・程度などを考慮したものをいう。以下同じ。）に応じて、当該保有個人情報にアクセスする権限を有する職員等の範囲と権限の内容を、当該職員等が業務を行う上で必要最小限の範囲に限るものとする。
２

アクセス権限を有しない職員等は、保有個人情報にアクセスしてはならない。

３

職員等は、アクセス権限を有する場合であっても、業務上の目的以外の目的で保有個
人情報にアクセスしてはならない。
（複製等の制限）第25条

保護管理者は、職員等が業務上の目的で保有個人情報を取り扱う場合であっても、次に掲げる行為については、当該保有個人情報の秘匿性等その内容に応じて、当該行為を行うことができる場合を限定するものとする。この場合において、職員等は、保護管理者の指示に従い業務を行うものとする。
(1) 保有個人情報の複製(2) 保有個人情報の送信(3) 保有個人情報が記録されている媒体の外部への送付又は持出し

(4) その他保有個人情報の適切な管理に支障を及ぼすおそれのある行為（誤りの訂正等）
第26条

職員等は、保有個人情報の内容に誤り等を発見した場合には、保護管理者の指示に従い、訂正等を行うものとする。
（媒体の管理等）
第27条

職員等は、保護管理者の指示に従い、保有個人情報が記録されている媒体を定められた場所に保管するとともに、必要があると認めるときは、耐火金庫への保管、施錠等を行うものとする。
（誤送付等の防止）
第28条

職員等は、保有個人情報等を含む電磁的記録又は媒体（付加情報に個人情報が含まれている場合を含む。）の誤送信、誤送付、誤交付、又はウェブサイト等への誤掲載を防止するため、個別の事務又は事業において取扱う個人情報の秘匿性に応じて、複数の職員等による確認、チェックリストの活用等の必要な措置を講ずるものとする。
（廃棄等）
第29条

職員等は、保有個人情報又は保有個人情報が記録されている媒体（端末及びサー

バに内蔵されているものを含む。）が不要となった場合には、保護管理者の指示に従い、当該保有個人情報の復元又は判読が不可能な方法により当該情報の消去又は当該媒体の廃棄を行うものとする。
２

保護管理者は、保有個人情報の消去や保有個人情報が記録されている媒体の廃棄を委託する場合には、必要に応じて職員等を消去又は廃棄に立ち会わせて、又は写真等を付した消去又は廃棄を証明する書類を受け取るなど委託先において消去又は廃棄が確実に行われていることを確認するものとする。
第２節

情報システムにおける安全の確保等（アクセス制御）第30条

保護管理者は、保有個人情報（情報システムで取り扱うものに限る。以下本節（第４２条を除く。）において同じ。）の秘匿性等その内容に応じて、第２４条により設定した必要最小限のアクセス権限を具体化し、パスワード等（パスワード、ＩＣカード、生体情報等をいう。以下同じ。）を使用して権限を識別する機能（以下「認証機能」という。）を設定する等のアクセス制御するために必要な措置を講ずるものとする。
２

保護管理者は、前項の措置を講ずる場合には、パスワード等の管理に関する定めを整備（その定期又は随時の見直しを含む。）するとともに、パスワード等の読取防止等を行うために必要な措置を講ずるものとする。
（アクセス記録）第31条

保護管理者は、保有個人情報の秘匿性等その内容に応じて、当該保有個人情報へのアクセス状況を記録し、その記録（以下「アクセス記録」という。）を一定の期間保存し、及びアクセス記録を定期的に分析するために必要な措置を講ずるものとする。
２

保護管理者は、アクセス記録の改ざん、窃取又は不正な消去の防止のために必要な措置を講ずるものとする。
（アクセス状況の監視）

第32条

保護管理者は、保有個人情報の秘匿性等その内容及びその量に応じて、当該保有個人情報への不適切なアクセスの監視のため、保有個人情報を含むか又は含むおそれがある一定量以上の情報が情報システムからダウンロードされた場合に警告表示がなされる機能の設定、当該設定の定期的確認等の必要な措置を講ずるものとする。
（管理者権限の設定）
第33条

保護管理者は、保有個人情報の秘匿性等その内容に応じて、情報システムの管理者権限の特権を不正に窃取された際の被害の最小化及び内部からの不正操作等の防止のため、当該特権を最小限とする等の必要な措置を講ずるものとする。
（外部からの不正アクセスの防止）
第34条

保護管理者は、保有個人情報を取り扱う情報システムへの外部からの不正アクセスを防止するため、ファイアウォールの設定による経路制御等の必要な措置を講ずるものとする。
（不正プログラムによる漏えい等の防止）
第35条

保護管理者は、不正プログラムによる保有個人情報の漏えい、滅失又は毀損の防止のため、ソフトウェアに関する公開された脆弱性の解消、把握された不正プログラムの感染防止等に必要な措置（導入したソフトウェアを常に最新の状態に保つことを含む。）を講ずるものとする。
（情報システムにおける保有個人情報の処理）
第36条

職員等は、保有個人情報について、一時的に加工等の処理を行うため複製等を行う場合には、その対象を必要最小限に限り、処理終了後は不要となった情報を速やかに消去するものとする。
２

保護管理者は、当該保有個人情報の秘匿性等その内容に応じて、随時、消去等の実施
状況を重点的に確認するものとする。
（暗号化）

第37条

保護管理者は、保有個人情報の秘匿性等その内容に応じて、暗号化のために必要な措置を講ずるものとする。
２

職員等は、前項の措置を踏まえ、その処理する保有個人情報について、当該保有個人情報の秘匿性等その内容に応じて、適切に暗号化を行うものとし、当該暗号化に当たっては、適切なパスワードの選択及びその漏えい防止の措置等を講ずるものとする。
（記録機能を有する機器・媒体の接続制限）

第38条

保護管理者は、保有個人情報の秘匿性等その内容に応じて、当該保有個人情報の漏えい、滅失又は毀損の防止のため、スマートフォン、ＵＳＢメモリ等の記録 機能を有する機器・媒体の情報システム端末等への接続の制限（当該機器の更新への対応を含
む。）等の必要な措置を講ずるものとする。
（端末の限定）第39条

保護管理者は、保有個人情報の秘匿性等その内容に応じて、その処理を行う端末を限定するために必要な措置を講ずるものとする。
（端末の盗難防止等）
第40条

保護管理者は、端末の盗難又は紛失の防止のため、端末の固定、執務室の施錠等の必要な措置を講ずるものとする。

２

職員等は、保護管理者が必要であると認めるときを除き、端末を外部へ持ち出し、又は外部から持ち込んではならない。
（第三者の閲覧防止）
第41条

職員等は、端末の使用に当たっては、保有個人情報が第三者に閲覧されることがないよう、使用状況に応じて情報システムからログオフを行うことを徹底する等の必要な措置を講ずるものとする。
（入力情報の照合等）
第42条

職員等は、情報システムで取り扱う保有個人情報の重要度に応じて、入力原票と入力内容との照合、処理前後の当該保有個人情報の内容の確認、既存の保有個人情報との照合等を行うものとする。
（バックアップ）
第43条

保護管理者は、保有個人情報の重要度に応じて、バックアップを作成し、分散保管するために必要な措置を講ずるものとする。
（情報システム設計書等の管理）
第44条

保護管理者は、保有個人情報に係る情報システムの設計書、構成図等の文書について外部に知られることがないよう、その保管、複製、廃棄等について必要な措置を講ずるものとする。
第３節

情報システム室等の安全管理（入退管理）
第45条

保護管理者は、保有個人情報を取り扱う基幹的なサーバ等の機器を設置する室その他の区域（以下「情報システム室等」という。）に立ち入る権限を有する者を定めるとともに、用件の確認、入退の記録、部外者についての識別化、部外者が立ち入る場合の職員等の立会い又は監視設備による監視、外部電磁的記録媒体等の持込み、利用及び持ち出しの制限又は検査等の措置を講ずるものとする。保有個人情報を記録する媒体を保管するための施設を設けている場合において、必要があると認めるときは、同様とする。
２

保護管理者は、必要があると認めるときは、情報システム室等の出入口の特定化による入退の管理の容易化、所在表示の制限等の措置を講ずる。
３

保護管理者は、情報システム室等及び保管施設の入退の管理について、必要があると認めるときは、立入りに係る認証機能を設定し、及びパスワード等の管理に関する定めの整備（その定期又は随時の見直しを含む。）、パスワード等の読取防止等を行うために必要な措置を講ずるものとする。
（情報システム室等の管理）
第46条

保護管理者は、外部からの不正な侵入に備え、情報システム室等に施錠装置、警報装置、監視設備の設置等の措置を講ずるものとする。
２

保護管理者は、災害等に備え、情報システム室等に、耐震、防火、防煙、防水等の必要な措置を講ずるとともに、サーバ等の機器の予備電源の確保、配線の損傷防止等の措置を講ずるものとする。

第４節

サイバーセキュリティの確保（サイバーセキュリティに関する対策の基準等）
第47条

職員等は、個人情報を取り扱い又は情報システムを構築し、若しくは利用するに当たっては、本学のサイバーセキュリティに関する対策の基準等に則り、取り扱う保有
個人情報の性質等に照らして適正なサイバーセキュリティの水準を確保するものとする。
第５節

外的環境の把握（外的環境の把握）
第48条

職員等は、保有個人情報が、外国（クラウドサービス提供事業者が所在する外国

及び個人データが保存されるサーバが所在する外国を含む。）において取扱われる場合には、当該外国の個人情報の保護に関する制度等を把握した上で、保有個人情報の安全管理のために必要かつ適切な措置を講ずるものとする。
第７章

個人情報の提供（個人情報の提供）
第49条

保護管理者は、第三者（法１６条第２項各号に掲げる者を除く。以下この章において同じ。）に保有個人情報を提供する場合には、原則として、提供先における利用目
的、利用する業務の根拠法令、利用する記録範囲及び記録項目、利用形態等について書面を取り交わすものとする。
２

保護管理者は、第三者に保有個人情報を提供する場合には、安全確保の措置を要求するとともに、必要があると認めるときは、提供前又は随時に実地の調査等を行い、措置状況を確認してその結果を記録するとともに、改善要求等の措置を講ずるものとする。

３

保護管理者は、法１６条第２項各号に掲げる者に保有個人情報を提供する場合において、必要があると認めるときは、前２項に規定する措置を講ずるものとする。
（個人情報の提供の制限）

第50条

職員等は、あらかじめ本人の同意を得ないで、第三者に個人データを提供してはならない。ただし、学術研究目的その他の法令に基づく場合等はこの限りではない。
２

職員等は、法第２７条第２項の規定による第三者に個人データを提供しようとする場
合には、次の事項について、あらかじめ保護管理者を通じて総括保護管理者の承認を得るものとする。同条第３項の規定による変更又は提供の終了をしようとする場合も同様とする。
(1) 本人への通知、又は本学のウェブサイトへの掲載等若しくは窓口への継続的な掲示、備付け等の方法等(2) 個人情報保護委員会への届け出及び本学のウェブサイトに公表する内容等

３

職員等は、番号法で限定的に明記された場合を除き、特定個人情報を提供してはならない。
（研究活動における保有個人情報の取扱い）

第51条

保護管理者は、個人情報取扱者が共同研究で他の学術研究機関等（民間事業者等を含む。）に保有個人情報を提供する場合には、別に定めるところにより、学長の承認を得るものとする。

２

保護管理者は、前項の提供を行う場合には、第４９条各項の定めによるほか、提供先に対して、次に掲げる事項について記載のある書面で安全確保のために講ずるべき措置を求めるとともに、当該書面の履行状況について、書面による報告等により確認するものとする。
(1) 提供した保有個人情報の暗号化等(2) 提供した保有個人情報を利用する者の範囲の明確化(3) 二次利用及び第三者提供の禁止（本人の同意を得ている場合は除く。）(4) 共同研究終了時における廃棄等の方法

３

総括保護管理者は、第１項の提供を行う場合で、かつ、当該保有個人情報につき第２２条の規定により個人情報ファイル簿を作成し、公表することとされている場合には、
当該個人情報ファイル簿に、次に掲げる事項を記載するものとする。
(1) 共同研究で提供する旨(2) 共同研究で提供する目的(3) 共同研究で提供する保有個人情報の項目(4) 共同研究で提供する者の範囲(5) 本人の求めに応じて共同研究での保有個人情報の提供を停止することの適用の有無（第三者提供に係る記録の作成等）

第52条

保護管理者は、個人データを第三者に提供したときは、第２０条に規定する台帳に、速やかに当該個人データの提供に係る所定の事項の記録を作成し、保管するものとする。ただし、学術研究目的その他の法令に基づく場合等はこの限りではない。
（個人データの提供を受ける際の確認）
第53条

保護管理者は、第三者から個人データの提供を受けるに際しては、当該第三者による個人情報の取得の経緯に係る所定の事項の確認を行い、当該提供を受ける都度、第２０条に規定する台帳に、速やかに当該確認に係る記録を作成し、保管するものとする。
ただし、学術研究目的その他の法令に基づく場合等はこの限りではない。
２

保護管理者は、法１６条第２項各号に掲げる者から個人データの提供を受ける場合において、必要があると認めるときは、前項に規定する措置を講ずるものとする。
（個人関連情報の取扱い）
第54条

保護管理者は、個人関連情報（個人関連情報データベース等を構成するものに限る。以下同じ。）を第三者に提供する場合に、提供先の第三者が個人関連情報を個人データとして取得することが想定されるときは、あらかじめ当該個人関連情報に係る本人の同意を得られていること等を確認するものとする。ただし、法令に基づく場合等はこの限りではない。
２

前項の本人の同意を取得する主体は、情報を利用する主体となる提供先の第三者とする。ただし、本人の権利利益の保護を図られるために必要なときは、保護管理者が本人同意の取得を代行することができる。
（仮名加工情報の取扱い）
第55条

個人情報取扱者は、仮名加工情報（仮名加工情報データベースを構成するものに限る。以下この条において同じ。）を作成するときは、仮名加工情報の作成の方法に関する基準に従い、適正な個人情報の加工を行わなければならない。

２

保護管理者は、次の場合に該当するときは、削除情報等の漏えいを防止するために、
保有個人情報に準じた安全管理のための措置を講じるものとする。ただし、法令に基づく場合等はこの限りではない。
(1) 仮名加工情報を作成したとき。
(2) 仮名加工情報及び当該仮名加工情報に係る削除情報等を取得したとき。

３

職員等は、法令に基づく場合を除き、仮名加工情報を第三者に提供してはならない。

４

職員等は、仮名加工情報を取扱う場合には、当該仮名加工情報の作成に用いられた個

人情報に係る本人を識別する目的で、当該仮名加工情報を他の情報と照合してはならな
い。
５

職員等は、仮名加工情報を取扱う場合には、当該仮名加工情報の作成に用いられた個
人情報に係る本人へ連絡等をする目的で、当該仮名加工情報を利用してはならない。

６

保護管理者は、仮名加工情報の適正な取扱いを確保するために、保有個人情報に準じた安全管理のための措置を講じるものとする。ただし、利用目的の変更及び漏えい等の報告等についてはこの限りではない。

７

第１５条から第２１条までの規定は、仮名加工情報の取扱いについて準用する。この場合において、「個人情報」とあるのは、「仮名加工情報」と、第１５条第１項の中、「本人に通知し、公表し」とあるのは、「公表し」と、第１６条第５項中、「本人に通知し、又は公表する」とあるのは「公表する」と、第１８条中、「個人データ」とあるのは、「個人データ及び削除情報等」と読み替える。

８

第１項の仮名加工情報の作成に関し必要な事項については、別に定める。
（行政機関等匿名加工情報等の取扱い）

第56条

個人情報取扱者は、行政機関等匿名加工情報を作成するときは、行政機関等匿名加工情報の作成の方法に関する基準に従い、適正な個人情報の加工を行わなければならない。
２

保護管理者は、行政機関等匿名加工情報を作成したときは、行政機関等匿名加工情報等の漏えい等を防止するために、保有個人情報に準じた安全管理のための措置を講じるものとする。

３

職員等は、行政機関等匿名加工情報等を取扱う場合には、当該行政機関等匿名加工情報等の作成に用いられた個人情報に係る本人を識別する目的で、当該行政機関等匿名加
工情報等を他の情報と照合してはならない。
４

第１項の行政機関等匿名加工情報の作成に関し必要な事項については、別に定める。
（匿名加工情報の取扱い）

第57条

保護管理者は、民間事業者等から匿名加工情報（行政機関等匿名加工情報を除く。

以下この条において同じ。）を取得したときは、匿名加工情報及び当該匿名加工情報に係る加工の方法に関する情報加工方法等情報の適正な取扱いを確保するために、保有個人情報に準じた安全管理のための措置を講じるよう努めるものとする。ただし、法令に基づく場合はこの限りではない。
２

職員等は、匿名加工情報を第三者に提供するときは、あらかじめ第三者に提供される
匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について、公表す
るものとする。この場合において、当該第三者に対して、当該提供に係る情報が匿名加

工情報である旨を適切な方法により明示するものとする。
３

第１５条の規定は、前項の公表及び明示について準用する。この場合において「個人情報」とあるのは、「匿名加工情報に含まれる個人に関する情報」と読み替える。

４

職員等は、匿名加工情報を取扱う場合には、当該匿名加工情報の作成に用いられた個

人情報に係る本人を識別する目的で、当該個人情報から削除された記述等若しくは個人
識別符号及び当該匿名加工情報に係る加工の方法に関する情報を取得し、又は当該匿名加工情報を他の情報と照合してはならない。
５

前各項の規定は、委託先について準用する。
（行政機関等匿名加工情報の提供）

第58条

本学における行政機関等匿名加工情報の提供等に関し必要な事項については、「国立大学法人電気通信大学における行政機関等匿名加工情報取扱規程」による。
第８章

業務の委託等（業務の委託等）
第59条

保護管理者は、保有個人情報の取扱いに係る業務を外部に委託する場合には、個

人情報の適切な管理を行う能力を有しない者を選定することがないよう、必要な措置を講ずるものとする。この場合において、当該委託の契約書には、次に掲げる事項を明記
するとともに、委託先における責任者及び業務従事者の管理体制及び実施体制、個人情報の管理の状況についての検査に関する事項等の必要な事項について書面で確認するものとする。
(1) 個人情報に関する秘密保持、利用目的以外の目的のための利用の禁止等の義務(2) 再委託（再委託先が委託先の子会社（会社法（平成１７年法律第８６号）第２条第３号に規定する子会社をいう。）である場合も含む。第４項において同じ。）の制限
又は事前承認等再委託に係る条件に関する事項(3) 個人情報の複製等の制限に関する事項(4) 個人情報の安全管理措置に関する事項(5) 個人情報の漏えい等の事案の発生時における対応に関する事項(6) 委託終了時における個人情報の消去及び媒体の返却に関する事項(7) 法令及び契約に違反した場合における契約解除、損害賠償責任その他必要な事項(8) 契約内容の遵守状況についての定期的報告に関する事項及び委託先における委託された個人情報の取扱状況を把握するための監査に関する事項（再委託先の監査等に関する事項を含む。）
２

保護管理者は、保有個人情報の取扱いに係る業務を外部に委託する場合には、取扱いを委託する個人情報の範囲を、委託する業務内容に照らして必要最小限としなければならない。
３

保護管理者は、保有個人情報の取扱いに係る業務を外部に委託する場合には、委託する業務に係る保有個人情報の秘匿性等その内容やその量等に応じて、委託先における管理体制及び実施体制や個人情報の管理の状況について、少なくとも年１回以上、原則として実地検査により確認するものとする。

４

保護管理者は、委託先において、保有個人情報の取扱いに係る業務が再委託される場

合には、委託先に第１項の措置を講じさせるとともに、再委託される業務に係る保有個人情報の秘匿性等その内容に応じて、委託先を通じて又は委託元自らが前項の措置を実施するものとする。保有個人情報の取扱いに係る業務について再委託先が再々委託を行う場合以降も同様とする。
５

保護管理者は、保有個人情報の取扱いに係る業務を派遣労働者によって行わせる場合には、労働者派遣契約書に秘密保持義務等個人情報の取扱いに関する事項を明記するも
のとする。

６

保護管理者は、保有個人情報の取扱いに係る業務を委託する場合には、漏えい等による被害発生のリスクを低減する観点から、提供先の利用目的、委託する業務の内容、保有個人情報の秘匿性等その内容などを考慮し、必要に応じ、特定の個人を識別できる情報の記載の全部又は一部を削除し、又は別の記号等に置き換える等の措置を講ずる。
第９章

安全確保上の問題への対応（事案の報告及び再発防止措置）
第60条

個人情報の漏えい等若しくは法令に違反する事案（以下「違反事案等」という。）

又はそのおそれのある事案を認識した場合に、当該事案等を認識した職員等は、直ちに当該保有個人情報を管理する保護管理者に報告するものとする。この場合において、職員等は、時間を要する事実確認を行う前にまず保護管理者に報告するものとする。
２

保護管理者は、被害の拡大防止又は復旧等のために必要な措置を速やかに講ずるものとする。ただし、外部からの不正アクセスや不正プログラムの感染が疑われる当該端末
等のＬＡＮケーブルを抜くなど、被害拡大防止のため直ちに行い得る措置については、直ちに行う（職員等に行わせることを含む。）ものとする。

３

保護管理者は、事案の発生した経緯、被害状況等を調査し、総括保護管理者に報告す
るものとする。ただし、特に重大と認める事案が発生した場合には、直ちに総括保護管
理者に当該事案の内容等について報告するものとする。

４

保護管理者は、事案の発生した原因を分析し、再発防止のために必要な措置を講ずるとともに、同種の業務を実施している他の部署等に再発防止措置を共有するものとする。
（漏えい事案等への対応等）

第61条

総括保護管理者は、前条第３項の規定による報告を受けた場合若しくは個人情報の漏えい等若しくは違反事案等が発生した場合又はその可能性が高いと判断した場合には、直ちに学長及び監事に報告するとともに、被害の拡大を防止するものとする。
２

総括保護管理者は、個人情報の漏えい等又は違反事案等が発生した場合は、次の各号の対応を行うものとする。
(1) 事実関係の調査、(2) 原因の究明(3) 影響範囲の特定(4) 再発防止策の検討及び速やかな実施(5) 二次被害の防止、類似事案の発生回避(6) 影響を受ける可能性のある本人への事実関係等の連絡(7) 事実関係及び再発防止策等の速やかな公表

(8) 事実関係及び再発防止策等について、速やかに個人情報保護委員会へ報告
３

総括保護管理者は、当該漏えい等又は違反事案等が次に掲げる重大な事案である場合には、当該漏えい等又は違反事案等が発覚した時点で、直ちにその旨を個人情報保護委
員会に報告する。
(1) 個人番号を取り扱う情報システムで使用するネットワークから外部に漏えい等があった場合(2) 事案における特定個人情報の本人の数が１００人を超える場合(3) 特定個人情報を不特定多数の者が閲覧できる状態になり、かつ、その特定個人情報が閲覧された場合(4) 職員等が不正の目的で特定個人情報を持ち出し又は利用した場合(5) その他総括保護管理者が重大な事案であると判断した場合
４

総括保護管理者は、前項各号に掲げる事案に該当しない場合には、事案の内容等に応じて、事案の内容、経緯、被害状況等について、個人情報保護委員会に対し、速やかに情報提供を行うものとする。

５

総括保護管理者は、他の事業者等における漏えい事故等を踏まえ、類似事例の再発防止のために必要な措置の検討を行うものとする。
（公表等）
第62条

学長又は学長の指名する者は、前条の事案等の内容、影響等に応じて、事実関係及び再発防止策の公表、当該事案に係る保有個人情報の本人への対応等（漏えい等が生じた保有個人情報に係る本人への連絡等の対応を含む。）の措置を講ずるものとする。
２

前項の公表を行う事案については、当該事案の内容、経緯、被害状況等について、速やかに個人情報保護委員会に情報提供を行う。
（法令違反等に対する厳正な対処）

第63条

学長は、関連する法令又はこの規程に違反して個人情報を取り扱った職員等に対し、法令又は国立大学法人電気通信大学職員懲戒規程等の定めるところにより厳正に対処するものとする。
第１０章

苦情の処理

（苦情の処理）第64条

総括保護管理者、保護管理者及び個人情報取扱者は、本学における個人情報、仮名加工情報又は匿名加工情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
２

前項の処理のため、本学に苦情相談窓口を設置し、情報公開室をもって充てる。
第１１章

監査及び点検の実施（遵守状況の確認、点検）
第65条

個人情報取扱者は、適切な個人情報の保護を維持するため、常に個人情報の取得等及び管理の状況を把握し、必要に応じて個人情報の保護のための措置の見直しについて、保護管理者を通じて総括保護管理者へ提案するものとする。
２

保護管理者は、各課等における保有個人情報の記録媒体、処理経路、保管方法等について、定期に及び必要に応じ随時に点検（他部署等による点検を含む。）を行い、必要があると認めるときは、その結果を総括保護管理者に報告するとともに、次条に規定する監査受検時に、監査責任者の求めに応じ、その結果を提示するものとする。
（監査）
第66条

監査責任者は、保有個人情報の保護の遵守状況について、定期に及び必要に応じ随時に自ら又は監査員を指名して監査（外部監査を含む。以下同じ。）を行うものとする。
２

前項の監査は、保有個人情報の秘匿性等、その内容及びその量に応じて、実地監査を含めた重点的な監査として行うものとする。

３

国立大学法人電気通信大学内部監査室規程第１０条から第１２条までの規定は、第１項の監査員について準用する。

４

監査責任者は、監査の結果を総括保護管理者に報告するものとする。
（見直し）

第67条

総括保護管理者及び保護管理者は、監査又は点検結果等を踏まえ、実効性等の観点から保有個人情報の適切な管理のための措置について評価し、必要があると認めるときは、その見直し等の措置を講ずるものとする。
第１２章

行政機関との連携（行政機関との連携）
第68条

総括保護管理者は、「個人情報の保護に関する基本方針」（平成１６年４月２日

閣議決定）４を踏まえ、文部科学省と緊密に連携して、その保有する個人情報の適切な管理を行うものとする。
第１３章

雑則

（学術研究例外）
第69条

個人情報の利用、取得及び提供に係る第１５条から第２１条まで及び第４９条から第５３条までの規定については、職員等が学術研究目的で個人情報を取り扱う必要がある場合で、かつ、本人又は第三者の権利利益を不当に侵害するおそれがない場合に限っては、当該各条の規定にかかわらず、事前の本人同意（利用目的の変更、要配慮個人情報の取得、個人データの第三者提供又は外国第三者への提供に係るものに限る。）、第三者提供に係る確認又は記録の作成等を要しないものとする。
（雑則）
第70条

この規程に定めるもののほか、本学における個人情報の保護に関し必要な事項は、学長が別に定める。
附

則

この規程は、令和４年４月１日から施行する。