国立大学法人奈良先端科学技術大学院大学特定個人情報取扱規程
平成２７年１１月２６日
規程第１０号
目次
第１章 総則（第１条－第５条）
第２章 安全管理措置
第１節 組織的安全管理措置（第６条－第１４条）
第２節 人的安全管理措置（第１５条・第１６条）
第３節 物理的安全管理措置（第１７条－第１９条）
第４節 技術的安全管理措置（第２０条－第２２条）
第３章 特定個人情報の取得（第２３条・第２４条）
第４章 特定個人情報の利用（第２５条・第２６条）
第５章 特定個人情報の削除及び廃棄（第２７条）
第６章 特定個人情報の委託等（第２８条）
第７章 雑則（第２９条）
附則

第１章

総則

（目的）
第１条 この規程は、国立大学法人奈良先端科学技術大学院大学（以下「本学」という。）における個人番号その他の特定個人情報の取扱いが安全かつ適正に行われるよう国立大学法人奈良先端科学技術大学院大学個人情報管理規程（平成１７年規程第５号。以下「個人情報管理規程」という。）及び国立大学法人奈良先端科学技術大学院大学保有個人情報保護規程（平成１７年規程第６号。以下「個人情報保護規程」という。）の特例を定めることを目的とする。
（法令等との関係）
第２条 この規程に定めのない事項については、行政手続における特定の個人を識別するための番号の利用等に関する法律（平成２５年法律第２７号。以下「番号法」という。）、個人情報の保護に関する法律（平成１５年法律第５７号。
以下「個人情報保護法」という。）、特定個人情報の適正な取扱いに関するガイドライン（行政機関等・地方公共団体等編）（平成２６年１２月１８日公布）、個人情報管理規程、個人情報保護規程その他関係法令等（以下「法令等」という。）の定めるところによる。
（定義）
第３条 この規程において、次の各号に掲げる用語の意義は、それぞれ当該各号の定めるところによる。
（１）個人情報生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
イ 当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。）で作られる記録をいう。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号（個人情報保護法第２条第２項に規定するものをいう。ロにおいて同じ。）を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）
ロ 個人識別符号が含まれるもの（２）保有個人情報
本学の役員又は職員（派遣職員を含む。以下「職員等」という。）が職務上作成し、又は取得した個人情報であって、職員等が組織的に利用するものとして、本学が保有しているものをいう。
（３）個人番号
番号法第７条第１項又は第２項に規定する住民票コード（住民基本台帳法（昭和４２年法律第８１号）第７条第１３号に規定する住民票コードをいう。以下同じ。）を変換して得られる番号であって、当該住民票コードが記載された住民票に係る者を識別するために指定されるものをいう。
（４）特定個人情報
個人番号（個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号であって、住民票コード以外のものを含む。）をその内容に含む個人情報をいう。
（５）本人個人番号によって識別される特定の個人をいう。
（６）個人情報ファイル
保有個人情報を含む情報の集合物であって、次に掲げるものをいう。
イ 一定の事務の目的を達成するために特定の保有個人情報を電子計算機を用いて検索することができるように体系的に構成したもの
ロ イに掲げるもののほか、一定の事務の目的を達成するために氏名、生年月日、その他の記述等により特定の保有個人情報を容易に検索することができるように体系的に構成したもの（７）特定個人情報ファイル
個人番号をその内容に含む個人情報ファイルをいう。
（８）個人番号利用事務
番号法第９条第１項から第３項までの規定によりその保有する特定個人情報ファイルにおいて個人情報を効率的に検索し、及び管理するために必要な限度で個人番号を利用して処理する事務をいう。
（９）個人番号関係事務
番号法第９条第４項の規定により個人番号利用事務に関して行われる他人の個人番号を必要な限度で利用して行う事務をいう。

（１０）情報システム
ハードウェア及びソフトウェアから成るシステムであって、情報処理及び通信の用に供するもので、本学が調達又は開発するもの（管理を外部委託しているシステムを含む。）のうち、次条に定める本学が取り扱う個人番号関係事務を行うために必要な個人番号を管理するシステムのことをいう。
（個人番号取扱事務）
第４条 本学が取り扱う個人番号関係事務（以下「個人番号取扱事務」という。）
は、次に掲げるとおりとする。
（１）給与所得・退職所得の源泉徴収関係事務（２）住民税関係事務（３）雇用保険関係事務（４）共済組合関係事務（５）健康保険・厚生年金保険関係事務（６）財産形成貯蓄関係事務（７）国民年金第３号被保険者関係事務（８）報酬・料金等の支払調書関係事務（特定個人情報の範囲）
第５条 個人番号取扱事務において使用される特定個人情報の範囲は、個人番号並びに個人番号と関連付けて管理される氏名、生年月日、性別及び住所とする。

第２章 安全管理措置
第１節 組織的安全管理措置（総括責任者）
第６条 本学に、特定個人情報に関する事務を総括する責任者として、総括責任者を置く。
２ 総括責任者は、理事（事務総括担当）をもって充てる。
（保護責任者）
第７条 本学に、特定個人情報を適切に管理する責任者として、保護責任者を置く。
２ 保護責任者は、人事課長をもって充てる。
（監査責任者）
第８条 本学に、特定個人情報の管理の状況について監査する責任者として、監査責任者を置く。
２ 監査責任者は、学長が指名する監事をもって充てる。

（事務取扱担当者）
第９条 個人番号取扱事務に従事する者（以下「事務取扱担当者」という。）は、次に掲げる者とする。
（１）管理部人事課課長補佐（２）管理部人事課給与・共済係所属職員（事務取扱担当者の責務）
第１０条 事務取扱担当者は、特定個人情報の取得、利用、保存、提供、削除及び廃棄等、特定個人情報を取り扱う業務に従事する際は、法令等及びこの規程（以下「本規程等」という。）並びに総括責任者及び保護責任者の指示した事項に従い、特定個人情報の取扱いに十分な注意を払ってその業務に従事するものとする。
２ 事務取扱担当者は、本規程等に違反している事実又は兆候を把握した場合は、速やかに保護責任者に報告するものとする。
（運用状況の記録等）
第１１条 本規程等に基づく運用状況を確認するため、次の各号に掲げる項目を記録し、その記録を一定の期間保存するものとする。
（１）ログイン実績、アクセスログ等、特定個人情報ファイルの利用及び出力状況の記録（２）個人番号を含む書類、媒体等の持出しの記録（３）特定個人情報の削除及び廃棄記録（４）特定個人情報の削除又は廃棄を委託した場合は、これを証明する記録等
２ 総括責任者は、前項により保存された記録をもとに、定期又は随時に分析するために必要な措置を講ずるものとする。
３ 総括責任者は、第１項により保存された記録の改ざん、窃取又は不正な削除の防止のために必要な措置を講ずるものとする。
（取扱状況の確認）
第１２条 事務取扱担当者は、特定個人情報ファイルの取扱状況を確認するため、次の各号に掲げる事項を記録するものとする。この場合において、その記録には、特定個人情報を記載してはならない。
（１）特定個人情報ファイルの名称（２）特定個人情報ファイルが利用に供される事務をつかさどる組織の名称（３）特定個人情報ファイルの利用目的（４）特定個人情報ファイルに記録される項目及び本人として特定個人情報フ
ァイルに記録される個人の範囲（５）特定個人情報ファイルに記録される特定個人情報の収集方法

（情報漏えい等事案への対応）
第１３条 職員等は、個人番号の漏えい、滅失又は毀損等（以下「情報漏えい等」という。）の事案の発生又は兆候を把握した場合は、直ちに保護責任者に報告するものとする。
２ 保護責任者は、前項の規定に基づき報告を受けた場合は、被害の拡大防止及び復旧等のために必要な措置を講ずるものとする。
３ 保護責任者は、第１項の事案が発生した経緯、被害状況等を調査するとともに、その調査で把握した事実関係による影響の範囲を特定し、総括責任者に報告するものとする。
４ 総括責任者は、前項の規定に基づき報告を受けた場合は、速やかに、当該事案の内容、経緯、被害状況等を学長に報告するものとする。
５ 学長は、前項の報告を受けた場合は、速やかに内閣府個人情報保護委員会に必要な報告を行うものとする。
６ 次の各号に掲げる特定個人情報に関する重大事案又はそのおそれのある事案が発覚した場合は、保護責任者は、直ちにその旨を学長に報告するものとする。この場合においても、第２項及び第３項に規定する報告等を行うものとする。
（１）情報システムで使用するネットワークから外部に情報漏えい等があった場合（不正アクセス又は不正プログラムによるものを含む。）（２）事案における特定個人情報の本人の数が１０１人以上であった場合（３）不特定多数の人が閲覧できる状態になった場合（４）職員等が不正の目的で持ち出し、又は利用した場合
７ 学長は、前項の報告を受けた場合は、直ちにその旨を内閣府個人情報保護委員会に報告するものとする。
８ 総括責任者は、情報漏えい等事案の事実を本人に連絡するものとする。
９ 総括責任者は、事案の発生した原因を分析し、再発防止のために必要な措置を講ずるものとする。
１０ 総括責任者は、事案の内容、影響等に応じて、事実関係及び再発防止策の公表、当該事案に係る本人への対応等の措置を講ずるものとする。
（監査）第１４条 監査責任者は、特定個人情報の管理の状況について、定期的に又は必要に応じて監査を行い、その結果を総括責任者に報告するものとする。
２ 総括責任者は、前項の監査の結果を踏まえ、必要があると認めるときは、安全管理措置の改善等の措置を講ずるものとする。
第２節 人的安全管理措置（事務取扱担当者の監督）第１５条 保護責任者は、特定個人情報が本規程等に基づき適正に取り扱われるよう、事務取扱担当者に対して必要かつ適切な監督を行うものとする。

（事務取扱担当者等の教育及び研修）
第１６条 総括責任者は、事務取扱担当者に、特定個人情報の適正な取扱いについて理解を深め、特定個人情報の保護に関する意識の高揚を図るための啓発その他必要な教育及び研修を行うものとする。
２ 総括責任者は、情報システムの管理に関する事務に従事する職員に対し、特定個人情報の適切な管理のために、情報システムの管理、運用及びセキュリティ対策に関して必要な教育及び研修を行うものとする。
第３節 物理的安全管理措置（特定個人情報を取り扱う区域の管理）
第１７条 総括責任者は、特定個人情報の情報漏えい等を防止するために、次の各号に掲げる区域に応じ、それぞれ当該各号に掲げる措置を講ずるものとする。
（１）事務取扱担当者が個人番号取扱事務を実施する区域（以下「取扱区域」という。）
可能な限り壁、間仕切り等を設置し、及び座席配置を工夫すること。
（２）情報システムを管理する区域（以下「管理区域」という。）
入退室管理、管理区域へ持ち込む機器及び電子媒体の制限等を行うこと。
２ 総括責任者は、管理区域において、次の各号に掲げる安全管理に関する措置を講ずるものとする。
（１）管理区域に入る権限を有する者を定めるとともに、用件の確認、入退室の記録、部外者についての識別化、部外者が入る場合の職員の立会い等を行うこと。
（２）必要があると認めるときは、管理区域の出入口の特定化による入退室の管理の容易化、所在表示の制限等を行うこと。
（３）必要があると認めるときは、管理区域に入る際の認証機能の設置、パス
ワード等の管理に関する定めの整備及びパスワード等の読取防止対策等を行うための必要な措置を行うこと。
（４）管理区域への外部からの不正な侵入に備え、施錠装置の設置等を行うこと。
（機器及び電子媒体等の盗難等の防止）第１８条 事務取扱担当者は、取扱区域及び管理区域における特定個人情報を取り扱う機器、電子媒体、書類等の盗難又は紛失等を防止するために、これらの機器、電子媒体、書類等を、施錠できるキャビネット、書庫等に保管するものとする。
（機器及び電子媒体等の取扱いにおける情報漏えい等の防止）第１９条 事務取扱担当者は、情報システムを使用して個人番号取扱事務を行う場合は、許可された機器及び電子媒体等以外のものについて使用しないものとする。
２ 事務取扱担当者は、記録機能を有する機器、電子媒体等を情報システムへ接続する必要がある場合は、保護責任者に許可を得るものとする。
３ 事務取扱担当者は、特定個人情報が記録された機器、電子媒体等を取扱区域又は管理区域の外へ持ち出す必要が生じた場合は、容易に個人番号が判明しない措置の実施、追跡可能な移送手段の利用等、安全性を確保するための方策を講ずるものとする。
第４節 技術的安全管理措置（アクセス制御等）
第２０条 総括責任者は、事務取扱担当者が情報システムを使用して個人番号取扱事務を行う場合は、適切なアクセス制御のために、次の各号に掲げる措置を講ずるものとする。
（１）ユーザーＩＤに付与するアクセス権により、情報システムを使用できる者を事務取扱担当者に限定すること。
（２）特定個人情報ファイルへのアクセス権を付与すべき者を最小化すること。
（３）アクセス権を有する者に付与する権限を最小化すること。
（４）情報システムは、ユーザーＩＤ、パスワード等の識別方法により、事務取扱担当者が正当なアクセス権を有する者であることを認証できる機能を有するものとすること。
（５）情報システムに導入したアクセス制御機能の脆弱性等を検証すること。
（不正アクセス等による被害の防止等）
第２１条 総括責任者は、情報システムを外部等からの不正アクセス、不正ソフトウェア、標的型攻撃等から保護するために、次の各号に掲げる措置を講ずるものとする。
（１）情報システムと外部ネットワークとの接続箇所に、ファイアウォール等を設置し、不正アクセスを遮断すること。
（２）情報システム及び機器にセキュリティ対策ソフトウェア等を導入すること。
（３）導入したセキュリティ対策ソフトウェア等により、入出力データにおける不正ソフトウェアの有無を確認すること。
（４）機器やソフトウェア等に標準装備されている自動更新機能等の活用により、ソフトウェア等を最新状態とすること。
（５）定期的に又は必要に応じログ等の分析を行い、不正アクセス等を検知すること。
（６）不正アクセス等の被害に遭った場合であっても、被害を最小化する仕組みを導入し、これを適切に運用すること。

（７）許可されていない機器、電子媒体等の接続、ソフトウェアのインストール等、情報システムの不正な構成変更に対し、それを防止するために必要な措置を講ずること。
（情報漏えい等の防止）第２２条 総括責任者は、情報システム内に保存されている特定個人情報の情報漏えい等を防止するため、次の各号に掲げる措置を講ずるものとする。
（１）インターネットにより外部に特定個人情報を送信する場合は、通信経路の暗号化等を行うこと。
（２）特定個人情報を情報システム内に保存する場合は、データを暗号化又はパスワードにより保護すること。
（３）特定個人情報ファイルを機器、電子媒体等に保存する必要がある場合は、暗号化又はパスワードにより保護すること。
（４）前各号に規定する暗号化又はパスワードによる保護を行う場合において、不正に入手した者が容易に復元できないように、暗号鍵及びパスワードの運用管理並びにパスワードに用いる文字の種類及び桁数等の適切な設定を行うこと。

第３章 特定個人情報の取得（個人番号の提供の要求等）
第２３条 事務取扱担当者は、個人番号取扱事務を処理するために必要がある場合に限り、個人番号の提供を求めることができるものとする。
２ 事務取扱担当者は、前項により個人番号の提供を求める場合は、原則として書面により利用目的を明示するものとする。
（本人確認）
第２４条 事務取扱担当者は、前条の規定により本人から個人番号の提供を受けるときは、法令等に定める方法により、その者が本人であることを確認するものとする。

第４章 特定個人情報の利用（個人番号の利用制限）
第２５条 事務取扱担当者は、個人番号取扱事務を行うために必要な限度で個人番号を利用するものとする。
（特定個人情報ファイルの作成の制限）
第２６条 事務取扱担当者は、番号法第１９条第１３号から第１７号までのいずれかに該当して特定個人情報を提供できる場合を除き、個人番号取扱事務を処理するために必要な範囲を超えて特定個人情報ファイルを作成してはならない。

第５章 特定個人情報の削除及び廃棄（特定個人情報の削除及び廃棄）第２７条 事務取扱担当者は、特定個人情報が記録された電子媒体、書類等について、個人番号取扱事務を処理する必要がなくなった場合で、国立大学法人奈良先端科学技術大学院大学法人文書管理規程（平成２３年規程第３号）において定められている保存期間を経過したときは、個人番号をできるだけ速やかに復元できない手段で削除又は廃棄するものとする。
２ 事務取扱担当者は、前項の規定により削除又は廃棄を行う場合は、次の各号に掲げる区分に応じ、それぞれ当該各号に掲げる方法により行うものとする。
（１）特定個人情報ファイル中の個人番号又は一部の特定個人情報の削除
削除した情報を容易に復元できない手段（２）特定個人情報が記載された書類等の廃棄
焼却又は溶解等（３）特定個人情報が記録された機器、電子媒体等の廃棄専用のデータ削除ソフトウェアの利用又は物理的な破壊等
３ 事務取扱担当者は、個人番号若しくは特定個人情報ファイルを削除した場
合又は電子媒体等を廃棄した場合は、削除又は廃棄した記録を保存するものとする。
４ 事務取扱担当者は、削除又は廃棄の作業を委託する場合は、委託先が確実に削除又は廃棄したことについて、証明書等により確認するものとする。

第６章 特定個人情報の委託等（委託又は再委託の取扱い）
第２８条 総括責任者は、個人番号取扱事務の全部又は一部を委託する場合は、委託先が特定個人情報の保護に関して本学が果たすべき安全管理措置と同等の措置が講じられているか否かについて、あらかじめ確認するものとする。
２ 総括責任者は、個人番号取扱事務の全部又は一部を委託する場合は、本学が果たすべき安全管理措置と同等の措置が委託先において適切に講じられるよう、安全管理措置を遵守させるものとする。
３ 委託先に前項の安全管理措置を遵守させるために締結する委託契約には、次の各号に掲げる事項を明記するものとする。
（１）秘密保持義務に関する事項（２）事業所内から特定個人情報の持出しの禁止に関する事項（３）特定個人情報の目的外利用の禁止に関する事項

（４）再委託における条件に関する事項（５）情報漏えい等事案が発生した場合の委託先の責任に関する事項（６）委託契約終了後の特定個人情報の返却又は廃棄に関する事項（７）特定個人情報を取り扱う従事者の明確化に関する事項（８）従業者に関する監督及び教育に関する事項（９）契約内容の遵守状況の報告に関する事項（１０）委託者の委託先に対する実地の調査に関する事項
４ 総括責任者は、第２項により委託をした場合は、委託先における特定個人情報の取扱状況の把握を行うものとする。
５ 総括責任者は、委託先において情報漏えい等が発生した場合は、適切な対応がなされ、速やかに本学に報告される体制になっていることを確認するものとする。
６ 総括責任者は、委託先が再委託をする場合は、当該再委託契約の内容として、第３項各号と同等の事項を委託先に定めさせるものとする。
７ 総括責任者は、委託先が再委託をする場合は、再委託先の適否の判断のみならず、委託先が再委託先に対して必要かつ適切な監督を行っているかどうかについても監督するものとする。

第７章

雑則（雑則）
第２９条 この規程に定めるもののほか、特定個人情報の取扱いに関し必要な事項は、別に定める。

附 則
この規程は、平成２７年１２月１日から施行する。
附 則
この規程は、平成２９年５月３０日から施行する。
附 則
この規程は、令和４年４月１日から施行する。
附 則
この規程は、令和６年４月１日から施行する。