個人情報及び機密情報の取扱いに関する付帯条項
改正 令和２年２月４日
個人情報及び機密情報を取り扱う事務を受託した者又は公の施設の指定管理者（地方自治法第 244条の２第３項に規定する指定管理者をいう。）（以下「受託者」という。）は、この契約又は協定（以下「契約」という。）の履行に当たり、この付帯条項を遵守し、個人情報及び機密情報を適正に取り扱わなければならない。
（用語の定義）
第１条 本付帯条項における用語の定義は、次に定めるところによる。
(１) 個人情報 個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等（個人識別符号を含む。
）により特定の個人を識別できるもの（他の情報と照合することにより特定の個人を識別することができることとなるものを含む。）をいい、 次号に定める特定個人情報を含むものとする。
(２) 特定個人情報 行政手続における特定の個人を識別するための番号の利用等に関する法律（平成 25 年法律第 27 号。以下「法」という。）第２条第８項に規定する個人番号をその内容に含む個人情報をいう。
(３) 機密情報 公開されることにより、契約を委託したもの（以下「委託者」という。
）の行政運用に支障を及ぼすおそれのある情報をいう。
(４) 従業者 受託者の組織内にあって直接間接に受託者の指揮監督を受けて受託者の業務に従事している者（第 12 条に規定する再委託先において従事している者を含む。
）をいう。
（機密情報の範囲）
第２条 本契約における機密情報は、必要に応じ、あらかじめ委託者が指定の上受託者に提示するものとし、本契約の履行の過程で生じた機密情報のうち、本契約に基づく受託者から委託者への帰属の移行が完了していないものについても、本付帯条項の対象とする。ただし、次のいずれかに該当する情報についてはこの限りでない。
ア 機密保持義務を負うことなく第三者から正当に入手した情報
イ 本契約に違反することなく、かつ、契約の前後を問わず公知となった情報
ウ その他、委託者と受託者の協議及び両者了解の上、対象としないこととした情報（個人情報及び機密情報の保護）第３条 受託者は、この契約に基づく受託業務又は公の施設の管理業務（以下「受託業務」という。
）の履行に当たっては、取り扱う個人情報及び機密情報に関して、次条から第 23 条までの定めに従わなければならない。
２ 受託者は、この契約に基づく個人情報を取り扱う受託業務の履行に当たっては、大田区個人情報保護条例（平成 10 年条例第 66 号。以下「条例」という。）を、特定個人情報を取り扱う受託業務の履行に当たっては、法、条例及び特定個人情報の適正な取扱いに関するガイドライン（地方公共団体等・行政機関等編）（平成 26 年特定個人情報保護委員会告示第６号）を遵守し、個人情報の漏えい、滅失及び毀損の防止その他の個人情報の適正な管理のために必要かつ適切な措置（以下「安全管理措置」という。
）を講じなければならない。
（秘密の保持）第４条 受託者は、受託業務に関して知り得た個人情報及び機密情報を他人に知らせ、又は不当な目的に使用してはならない。この契約が終了し、又は解除された後も同様とする。
２ 受託者は、受託業務の従業者又は従業者であった者についても、前項の規定による義務を遵守させなければならない。
(収集の制限)第５条 受託者は、受託業務に係り個人情報及び機密情報を収集及び作成するときは、当該受託業務を達成するために必要な最小限の範囲内で、適法かつ公正な手段により、行わなければならない。
(受託業務以外の利用等の禁止)
第６条 受託者は、受託業務に係る個人情報及び機密情報を受託業務以外の用途に利用又は加工してはならない。
（第三者への提供禁止）
第７条 受託者は、受託業務に係る個人情報及び機密情報を第三者に提供してはならない。
（安全管理措置体制の報告）
第８条 受託者は、受託業務履行上の安全管理措置体制について、委託者の求めに応じ、氏名入り体制図等を委託者に報告しなければならない。また、受託者の人員の変更など体制の変更があった場

1

合は、速やかに報告するものとする。
（責任者等の特定）第９条 受託者は、安全管理措置体制上の業務責任者（以下「業務責任者」という。）の氏名、役職、安全管理措置の職責、所属等を、業務開始前までに書面により委託者に報告しなければならない。
２ 業務責任者は、本付帯条項に定める事項を適切に実施するよう、他の従業者を監督しなければならない。
（個人情報取扱者の特定）
第 10 条 受託者は、受託業務履行に当たり個人情報を取り扱う場合において、個人情報を取り扱う従業者（以下「個人情報取扱者」という。）を特定し、第８条の報告と合わせて個人情報取扱者の名簿を委託者に報告しなければならない。なお、個人情報取扱者以外に個人情報を取り扱わせてはならない。
２ 個人情報取扱者は、業務責任者の指示に従い、本付帯条項に定める事項を遵守しなければならない。
（教育の実施）第 11 条 受託者は、第８条に規定する安全管理措置体制を維持するために、同条の規定に基づき報告した安全管理措置体制に関係する従業者に対して適切な情報セキュリティ教育を計画に基づき実施し、必要な安全管理措置に対する意識の向上及び知識を習得させるものとする。
２ 委託者は、必要があると認めたときは、前項の規定に基づく実施時期、対象者、内容等の実施状況について、受託者に書面による報告を求めることができる。この場合において、受託者はこれに応じなければならない。
（再委託）
第 12 条 受託者は、受託業務の全部又は主要な部分を一括して第三者に委託することができない。
２ 受託者は、やむを得ず受託業務の一部を第三者に委託をしようとするときは、あらかじめ当該再委託先の名称、住所及び再委託業務内容、再委託先において取り扱う情報、再委託先との安全管理措置対策及びその体制等を記載した書面による委託者の承諾を受けなければならない。ただし、緊急対応時における特定個人情報を取り扱わない契約に限り、事後すみやかに委託者に報告し、承諾を得ることを条件に委託者による事前承諾を省略することができる。
３ 受託者は、当該再委託先との間で、再委託に係る業務を遂行させることについて、本契約に基づいて受託者が委託者に対して負担するのと同様の義務を、再委託先に負わせる契約を締結するものとする。
４ 受託者は、再委託先の履行について委託者に帰責事由がある場合を除き、自ら業務を遂行した場合と同様の責任を負うものとするとともに、必要かつ適切な監督を行わなければならない。
（派遣労働者等の利用時の措置）
第 13 条 受託者は、受託業務を派遣労働者、契約社員その他の正社員以外の者（以下「正社員以外の者」という。）に行わせる場合は、正社員以外の者に本契約に基づく一切の義務を遵守させなければならない。
２ 受託者は委託者に対して、正社員以外の者の行為及びその結果について責任を負うものとする。
（取扱区域の指定及び持出しの禁止）
第 14 条 受託者は、受託業務に係る個人情報及び機密情報を取り扱う場所（以下「取扱区域」という。）を定め、業務の着手前に書面により委託者に報告しなければならない。ただし、特定個人情報を取り扱わない契約に限り、あらかじめ委託者の承認を受けた場合は、この限りでない。
２ 受託者は、受託業務に係る個人情報及び機密情報を取扱区域以外に持ち出してはならない。ただし、特定個人情報を取り扱わない契約に限り、あらかじめ委託者の承認を受けた場合は、この限りでない。
３ 受託者は、取扱区域を変更する場合は、事前に書面により委託者に申請し、その承認を受けなければならない。
（複写及び複製の禁止）
第 15 条 受託者は、個人情報及び機密情報を複写し、又は複製してはならない。ただし、あらかじめ委託者の承認を受けた場合は、この限りでない。
２ 前項ただし書きの規定に基づき複写又は複製した個人情報及び機密情報についても、この付帯条項を遵守し、適正に取り扱わなければならない。
（提供資料等の返還及び廃棄）
第 16 条 受託者は、この契約が終了したとき、又はこの契約が解除されたときは、受託業務に係り提供、収集及び作成された個人情報及び機密情報を速やかに委託者に返還しなければならない。た2だし、あらかじめ委託者が返還することが困難と認めた場合は、この限りでない。
２ 前項ただし書きの場合においては、受託業務に係り提供、収集及び作成された個人情報及び機密情報を委託者からあらかじめ承認を得た方法等により廃棄し、廃棄情報の項目、媒体名、数量、廃棄日時、廃棄方法、廃棄場所及び廃棄担当者名等を記載した廃棄証明書等の証跡を委託者に提出しなければならない。
（施設・設備の管理）
第 17 条 受託者は、受託業務の適正かつ円滑な履行を図るため、サーバ室、執務室等の施設・設備の管理体制について、施錠その他の必要な措置を講じなければならない。
（善良なる管理者の注意義務）
第 18 条 受託者は、善良なる管理者の注意をもって、次に掲げるものの維持管理に当たらなければならない。
(１) 電子機器、外部記録媒体、紙等に記録されている個人情報及び機密情報(２) 電子計算処理に関するドキュメント（諸手続文書等）及びプログラム(３) その他委託者が第２条の規定により指定したもの（定期及び事故発生時の報告）
第 19 条 受託者は、書面等により定期的に個人情報及び機密情報の管理状況、履行状況等について報告の手順を定めるとともに、委託者に報告しなければならない。
２ 前項の規定にかかわらず、受託者は、受託業務に関し事故が発生し、又は発生したおそれがあるときは、その事故の発生に係る帰責の有無に関わらず、直ちにその状況を委託者に報告するものとする。このとき、委託者及び受託者は、事故の拡大又は再発を防止するために合理的に必要と認められる措置を講じなければならない。
３ 前項の報告義務は、この契約が終了し、又は解除された後も同様とする。
（監査及び調査）
第 20 条 委託者は、本契約の規定に基づき必要な措置が講じられているかどうか検証及び確認をするために必要があると認めたときは、受託者及び再委託先に対して、個人情報及び機密情報の管理状況、履行状況等について報告を求め、又は委託者及び委託者の指定する第三者による監査又は調査をすることができる。この場合において、受託者は、これに応じなければならない。
２ 委託者は、前項の目的を達成するため、受託者に対して必要な情報を求め、又は本委託業務の処理に関して必要な指示をすることができる。
（相互遵守）
第 21 条 委託者及び受託者は、両者の情報セキュリティ対策上の障害とならない範囲内において、互いの情報セキュリティ対策上の規定の確認を行い、その規定を遵守しなければならない。
２ 前項の規定に基づき確認した互いの情報セキュリティ対策に相違がある場合は、両者協議の上、守るべき対策を別途規定することとする。
（公表措置及び損害賠償義務）
第 22 条 委託者は、受託者が第 1 条から前条までに掲げる個人情報の保護及び機密情報の取扱いに関する義務に違反し、又は怠った場合若しくは第 19 条第２項に規定する事故が発生したときは、委託者の決定に基づき、その事実を公表することができる。
２ 前項の義務に違反し、又は怠った場合において、受託者は、委託者又は第三者に損害を与えたときは、その損害を賠償しなければならない。
（疑義解釈）
第 23 条 この付帯条項に定めのない事項又は定めに疑義のある事項は、委託者及び受託者双方で協議して定める。

3