放送大学学園の保有する個人情報の管理等に関する規程
平成１７年３月３１日
放送大学学園規程第４号
改正 平成 19 年３月 30 日、平成 21 年３月 31 日、
平成 22 年６月 30 日、平成 23 年３月 28 日、
平成 24 年３月 14 日、平成 27 年 11 月 10 日、
平成 29 年３月 28 日、平成 30 年５月 28 日、
令 和 ２ 年３ 月 16 日 、 令和 ４ 年 ３ 月 29 日

目次
第１章 総則（第１条－第４条）
第２章 組織体制（第５条－第１２条）
第３章 教育研修（第１３条）
第４章 職員等の責務（第１４条）
第５章 個人情報の取扱い（第１５条－第２３条）
第６章 安全管理措置
第１節 保有個人情報の適切な管理（第２４条－第２９条）
第２節 情報システムにおける安全の確保等（第３０条－第４４条）
第３節 情報システム室等の安全管理（第４５条－第４７条）
第４節 サイバーセキュリティの確保（第４８条）
第５節 外的環境の把握（第４９条）
第７章 個人情報の提供（第５０条－第５９条）
第８章 業務の委託等（第６０条）
第９章 安全確保上の問題への対応（第６１条・第６２条）
第１０章 苦情の処理（第６３条）
第１１章 監査及び点検の実施（第６４条－第６６条）
第１２章 雑則（第６７条・第６８条）
附則
第１章 総則（目的）
第１条 この規程は、個人情報の保護に関する法律（平成１５年法律第５７号。以下「法」という。
）
第２３条及び第５９条並びに行政手続における特定の個人を識別するための番号の利用等に関する法律（平成２５年法律第２７号。以下「番号法」という。
）第１２条の規定に基づき、放送大学学園（以下「学園」という。）が個人情報取扱事業者として講ずべき措置について、その適切かつ有効な実施を図るとともに、学術研究機関等として放送大学の教育、研究、社会貢献その他の学術研究活動を目的に行う個人情報の取扱いの適正を確保するために必要な事項を定め、もって個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする。
（適用）
第２条 法第１２３条第２項及び第３項の規定による法第５章第４節及び第５節の適用に関する規律については、この規程に定めるもののほか、放送大学学園の個人情報の開示等の手続等に関する規程（平成１６年放送大学学園規程第５号）及び放送大学学園における行政機関等匿名加工情報取扱規程（令和３年放送大学学園規程第４号）による。
（用語）
第３条 この規程において使用する用語は、法及び番号法において使用する用語の例によるほか、以下各号に定めるところによる。
一 職員 放送大学学園就業規則（平成１５年放送大学学園規則第４号）第２条第１項及び放送大

学学園期間業務・時間雇用職員就業規則（平成１５年放送大学学園規則第５号）第２条に規定する者をいう。
二 課等 事務局の部（課を置かない部に限る。）、課及び室並びに学習センターの事務室をいう。
三 情報システム 学園内において、ハードウェア、ソフトウェア、ネットワーク、記憶媒体で構成されるものであって、これら全体で業務処理を行うものをいう。
四 端末 学園内において保有個人情報及び個人番号（以下これらを「保有個人情報等」という。
）の処理を行う情報システムを構成する電子計算機をいう。
（個人情報保護方針）
第４条 学園は、個人情報の適正な取扱いの確保について組織として取り組むため、次に掲げる事項
を含む学園の個人情報の保護に関する基本方針（以下「個人情報保護方針」）を策定するものとする。
一 学園の事務又は事業の内容及び規模を考慮した適切な個人情報の取得、利用及び提供に関すること（利用目的以外の利用を行わないこと及びそのための措置を講じることを含む）。
二 個人情報の取扱いに関する法令、国が定める指針その他の規範を遵守すること。
三 個人情報の漏えい、滅失又は毀損等（以下「漏えい等」という。）の防止及び是正に関すること。
四 苦情及び相談への対応に関すること。
五 個人情報の保護の取扱いの継続的改善に関すること。
２ 前項の個人情報保護方針を策定し、又は変更したときは、次に掲げる事項とともに、一般に周知するものとする。
一 事業者の名称及び代表者氏名
二 制定年月日及び最終改正年月日
三 個人情報保護方針の内容についての問い合わせ先
第２章 組織体制（最高責任者）
第５条 理事長は、最高責任者として、学園における個人情報の保護に関する権限と責任を有する。
２ 理事長は、学園が取り扱う個人情報の保護体制の実施、運用等について監督を行う。
（総括個人情報保護管理者）
第６条 学園に、総括個人情報保護管理者（以下「総括保護管理者」という。
）を置き、理事長が指名する理事をもって充てる。
２ 総括保護管理者は、学園における個人情報の取扱いに関し、次に掲げる任務に当たる。
一 学園における個人情報の取扱いに関する事務の総括
二 個人情報の取得、利用目的の通知等、管理、第三者提供、開示等及び遵守状況の確認等
三 個人情報を取り扱う者に対する教育、啓発及び研修の企画
四 個人情報を複数の部署で取り扱う場合の役割分担及び責任の明確化
五 委託先の選定基準の承認及び周知
六 その他個人情報の安全管理に関すること
３ 総括保護管理者は、個人情報の取扱いに関して、学園の役員、職員その他学園の業務に従事する者（派遣労働者を含む。以下「職員等」という。）並びにその役割を指定するものとする。
４ 総括保護管理者は、個人番号及び特定個人情報を取り扱う事務の範囲及び当該特定個人情報を取り扱う事務を担当する職員等（以下「事務取扱担当者」という。）を指定するものとする。
５ 前２項の指定は、業務を行う上で必要最小限の範囲に限るものとする。
（副総括保護管理者）
第７条 理事長が必要と認めるときは、学園に、副総括個人情報保護管理者（以下、「副総括保護管理者」という。）を置くものとし、理事長が指名する理事及び事務局長をもって充てる。
２ 副総括保護管理者は、総括保護管理者を補佐し、総括保護管理者に事故があるときは、その職務を代行する。
（個人情報保護管理者）
第８条 個人情報を取り扱う職員等（以下「個人情報取扱者」という。）の属する課等その他組織（以下「各部署」という。
）に、個人情報保護管理者（以下「保護管理者」という。）を置き、当該各部署の長をもって充てる。
２ 役員関係保有個人情報等（保有個人情報等のうち役員が職務上作成し、又は取得したもの）の管理に当たっては、総務部総務課長を保護管理者とする。
３ 教育・研究関係保有個人情報等（保有個人情報等のうち教員が職務上作成し、又は取得したもの）の管理に当たっては、各教員を保護管理者とする。
４ 前３項に規定するもののほか、総括保護管理者は、必要に応じて特定の事項を処理する保護管理者を学園の職員の中から指定することができる。
５ 保護管理者は、総括保護管理者を補佐するとともに、各部署における個人情報の適切な管理を確保し、個人情報を情報システムで取り扱う場合には、当該情報システムの管理者と連携して、その任に当たる。
（個人情報保護担当者）
第９条 各部署に、個人情報保護担当者（以下「保護担当者」という。
）を置き、当該各部署の保護管理者が学園の職員の中から指定する者をもって充てる。
２ 保護担当者は、保護管理者を補佐し、各部署における保有個人情報等の管理に関する事務を担当する。
（情報システム管理者）
第１０条 情報システム管理者は、学園における保有個人情報等を取り扱う基盤的な情報システムを管理する任に当たり、情報部情報推進課長をもって充てる。
（監査責任者）
第１１条 学園に、保有個人情報等の管理の状況について監査する者（以下「監査責任者」という。
）を置き、理事長が指名する監事をもって充てる。
（個人情報の適切な管理のための委員会）
第１２条 総括保護管理者は、個人情報の管理に係る重要事項の決定及び連絡・調整等を行うために必要があると認めるときは、関係の職員等を構成員とする委員会に諮るものとする。
２ 前項の委員会に関する事項は、放送大学学園情報公開・個人情報保護委員会規程（平成１５年放送大学学園規程第７号）による。
第３章 教育研修（教育研修）
第１３条 総括保護管理者は、
個人情報取扱者に対し、保有個人情報等の取扱いについて理解を深め、個人情報の保護に関する意識の高揚を図るための啓発その他必要な教育研修を行う。
２ 総括保護管理者は、個人情報を取り扱う情報システムの管理に関する事務に従事する職員等に対し、個人情報の適切な管理のために、情報システムの管理、運用及びセキュリティ対策に関して必要な教育研修を行う。
３ 総括保護管理者は、保護管理者、事務取扱担当者及び保護担当者に対し、各部署における保有個
人情報等の適切な管理（特定個人情報の安全管理に関する事項を含む。次項において同じ。
）のための教育研修を実施する。
４ 保護管理者は、当該部署の職員等に対し、保有個人情報等の適切な管理のために、総括責任者の実施する教育研修への参加の機会を付与する等の必要な措置を講ずる。
５ 前各項の規定は、委託先について準用する。
第４章 職員等の責務（職員等の責務）
第１４条 職員等は、法及び番号法の趣旨に則り、関連する法令及び規程等の定め並びに総括保護管
理者、保護管理者及び保護担当者の指示に従い、個人情報を取り扱うとともに、次に掲げる項目を遵守しなければならない。
一 個人情報を含む書類等を机の上等に放置してはならない。
二 保護管理者が業務上特に必要があると認めた場合以外は、個人情報を含む書類等の複製、又は執務室その他の施設から持ち出してはならない。
三 業務上必要な範囲を超えて個人情報を取り扱ってはならない。

２ 職員等は、遵守すべき事項に不明な点がある場合は、保護管理者又は保護担当者に確認し、指示を仰ぐものとする。
３ 職員等は、個人情報の漏えい等の事案の発生若しくはその兆候を把握した場合又は他の職員等がこの規程等に違反している事実若しくはその兆候を把握した場合は、直ちに保護管理者を通じて総括保護管理者に報告しなければならない。
４ 職員等は、従事した業務に関して知り得た個人情報の内容をみだりに他人に知らせ、又は不当な目的に利用してはならない。その職を退いた後においても同様とする。
第５章 個人情報の取扱い（個人情報の利用目的等の公表等）
第１５条 職員等は、個人情報を取得する場合には、取得する個人情報の項目及びその利用目的並びに個人情報を取得する方法を特定するとともに、当該特定した事項、個人情報保護方針その他必要な事項（以下「プライバシーポリシー」と総称する。）を本人に通知し、公表し又は明示して、その利用についてあらかじめ本人の同意を得るものとする。
２ 前項のプライバシーポリシーの公表に当たっては、原則として、学園のウェブサイトに掲載する方法によるものとする。ただし、事務又は事業の性質及び個人情報の取扱状況に応じ、これによりがたい場合にはこの限りではない。
３ 第１項のプライバシーポリシーの通知又は明示に当たっては、事務又は事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法によるものとする。
（個人情報の利用の制限等）
第１６条 職員等は、個人情報を利用するに当たっては、その利用の目的をできる限り特定するものとする。
２ 職員等は、個人番号の利用は、番号法に規定する特定個人情報を取り扱う事務に限定するものとする。
３ 職員等は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
４ 職員等は違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。
５ 職員等は、利用目的を変更する場合は、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。
６ 職員等は、個人情報の利用目的を変更した場合は、変更した利用目的を本人に通知し、又は公表するものとする。ただし、学術研究目的その他の法令に基づく場合はこの限りではない。
（適正な取得）第１７条 職員等は、偽りその他不正の手段により個人情報を取得してはならない。
２ 職員等は、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。ただし、学術研究目的その他の法令に基づく場合等はこの限りではない。
（内容の正確性の確保）
第１８条 職員等は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去すること。
（個人情報を取り扱う業務の特定）
第１９条 職員等は、学園の事務又は事業において、個人情報を取得し、個人情報データベース等若しくは個人情報ファイル（以下「個人情報ファイル等」という。）を作成し、若しくは保有し、又はこれらを利用しようとするときは、あらかじめ次に掲げる事項を特定して、保護管理者の承認を得るものとする。
一 個人情報ファイル等の種類又は名称
二 責任者及び取扱部署
三 利用目的四 記録項目、記録範囲
五 記録情報の収集方法

六 要配慮個人情報が含まれるときは、その旨
七 記録情報の提供先
八 記録項目の一部若しくは特定事項の個人情報ファイル簿に記載しないこととするときは、その旨
九 開示、訂正又は利用停止の請求時の対応部署
十 保有開始予定年月日
十一 変更予定年月日
２ 前項の規定は、保護管理者の承認した内容を変更しようとするときについて準用する。
（個人情報の取扱状況の記録）
第２０条 保護管理者は、個人情報の秘匿性等その内容に応じて、その取扱状況を確認するため、台帳を整備するものとする。
２ 個人情報取扱者は、個人情報を取り扱うに当たっては、次の各号に掲げる事項について前項の台帳にその利用実績を記録するものとする。
一 個人情報ファイル等の利用の記録
二 個人情報が記載又は記録された書類・媒体等の持出し及び提供の記録
三 個人情報ファイル等の削除及び廃棄の記録
四 個人情報の取扱いの委託の記録
五 漏えい等の事案及び点検の記録
六 個人情報ファイル等を情報システムで取り扱う場合、個人情報取扱者の情報システムの利用状
況（ログイン実績及びアクセスログ等）の記録
３ 第１項の台帳には、次条第１項各号に規定する事項を含めて記載するものとする。ただし、特定
個人情報を記録してはならない。
（個人情報ファイル等の保有）第２１条 保護管理者は、個人情報ファイル等を保有するに当たっては、次の各号に掲げる事項を記録した台帳を整備し、総括保護管理者に届け出なければならない。届け出した事項を変更しようとするときも、同様とする。
一 個人情報ファイル等の種類及び名称
二 責任者及び取扱部署
三 利用目的
四 削除及び廃棄状況
五 アクセス権を有する者
六 管理区域の場所
七 特定個人情報を取り扱う事務を実施する場合にあっては、取扱区域の場所（個人情報ファイル簿の公表）
第２２条 学園は、学園が保有している個人情報ファイルについて、個人情報ファイル簿を作成し、公表しなければならない。
２ 前項の規定は、法第７５条第２項各号に掲げる個人情報ファイルについては、適用しない。
３ 第１項の規定にかかわらず、学園は、記録項目の一部若しくは記録情報の収集方法若しくは経常的提供先を個人情報ファイル簿に記載し、又は個人情報ファイルを個人情報ファイル簿に掲載することにより、利用目的に係る事務又は事業の性質上、当該事務又は事業の適正な遂行に著しい支障を及ぼすおそれがあると認めるときは、その記録項目の一部若しくは事項を記載せず、又はその個
人情報ファイルを個人情報ファイル簿に掲載しないことができる。
４ 保護管理者は、個人情報ファイル（法第７５条第２項各号に掲げるもの及び同条第３項の規定により個人情報ファイル簿に掲載しないものを除く。以下この条において同じ。
）を保有するに至った
ときは、直ちに、個人情報ファイル簿（単票）（別紙様式）を作成しなければならない。
５ 保護管理者は、個人情報ファイル簿（単票）に記載すべき事項に変更があったときは、直ちに、
当該個人情報ファイル簿（単票）を修正しなければならない。
６ 保護管理者は、前２項の規定により、個人情報ファイル簿（単票）の作成及び修正するに至った

ときは、総務部総務課へ個人情報ファイル簿（単票）を提出しなければならない。
７ 保護管理者は、個人情報ファイル簿（単票）に掲載した個人情報ファイルの保有をやめたとき、又はその個人情報ファイルが法第７４条第２項第９号に該当するに至ったときは、遅滞なく、当該個人情報ファイル（単票）を消除することを総務部総務課へ依頼しなければならない。
８ 個人情報ファイル簿の管理及び公表は、総務部総務課において行う。
（開示等請求の取扱い等）
第２３条 学園の保有する個人情報に係る開示請求、訂正請求又は利用停止請求（以下「開示等請求」という。）の取扱い、開示等請求に対する決定及びこれらに係る審査請求に関し必要な事項について
は、放送大学学園の個人情報の開示等の手続等に関する規程（平成１６年放送大学学園規程第５号）
による。
第６章 安全管理措置
第１節 保有個人情報の適切な管理（アクセス制限）第２４条 保護管理者は、保有個人情報等の秘匿性等その内容（個人識別の容易性、要配慮個人情報の有無、漏えい等が発生した場合に生じ得る被害の性質・程度などを考慮したものをいう。以下同じ。
）に応じて、当該保有個人情報等にアクセスする権限を有する職員等の範囲と権限の内容を、当該職員等が業務を行う上で必要最小限の範囲に限るものとする。
２ アクセス権限を有しない職員等は、保有個人情報等にアクセスしてはならない。
３ 職員等は、アクセス権限を有する場合であっても、業務上の目的以外の目的で保有個人情報等にアクセスしてはならない。
（複製等の制限）第２５条 保護管理者は、職員等が業務上の目的で保有個人情報等を取り扱う場合であっても、次に掲げる行為については、当該保有個人情報等の秘匿性等その内容に応じて、当該行為を行うことができる場合を限定するものとする。この場合において、職員等は、保護管理者の指示に従い当該行為を行うものとする。
一 保有個人情報等の複製
二 保有個人情報等の送信
三 保有個人情報等が記録されている媒体の外部への送付又は持出し
四 その他保有個人情報等の適切な管理に支障を及ぼすおそれのある行為（誤りの訂正等）
第２６条 職員等は、保有個人情報等の内容に誤り等を発見した場合には、保護管理者の指示に従い、訂正等を行うものとする。
（媒体の管理等）
第２７条 職員等は、保護管理者の指示に従い、保有個人情報等が記録されている媒体を定められた場所に保管するとともに、必要があると認めるときは、耐火金庫への保管、施錠等を行うものとする。
（誤送付等の防止）
第２８条 職員等は、保有個人情報等を含む電磁的記録又は媒体（付加情報に個人情報が含まれている場合を含む。）の誤送信、誤送付、誤交付又はウェブサイト等への誤掲載を防止するため、個別の事務又は事業において取り扱う個人情報の秘匿性等その内容に応じて、複数の職員等による確認、
チェックリストの活用等の必要な措置を講ずるものとする。
（廃棄等）
第２９条 職員等は、保有個人情報等又は保有個人情報等が記録されている媒体（端末及びサーバに内蔵されているものを含む。
）が不要となった場合には、保護管理者の指示に従い、当該保有個人情報等の復元又は判読が不可能な方法により当該情報の消去又は当該媒体の廃棄を行うものとする。
２ 保護管理者は、保有個人情報等の消去や保有個人情報等が記録されている媒体の廃棄を委託する
場合には、必要に応じて職員等を消去又は廃棄に立ち会わせ、又は写真等を付した消去若しくは廃棄を証明する書類を受け取るなど、委託先において消去又は廃棄が確実に行われていることを確認

するものとする。
第２節 情報システムにおける安全の確保等（アクセス制御）第３０条 保護管理者は、保有個人情報等（情報システムで取り扱うものに限る。
（以下本節（第４２条を除く。）において同じ。）の秘匿性等その内容に応じて、第２４条の規定により設定した必要最小限のアクセス権限を具体化するため、パスワード等（パスワード、ＩＣカード、生体情報等をいう。以下同じ。）を使用して権限を識別する機能（以下「認証機能」という。
）を設定する等のアクセス制御のために必要な措置を講ずるものとする。
２ 保護管理者は、前項の措置を講ずる場合には、パスワード等の管理に関する定めを整備（その定期又は随時の見直しを含む。）するとともに、パスワード等の読取防止等を行うために必要な措置を講ずるものとする。
（アクセス記録）第３１条 保護管理者は、保有個人情等報の秘匿性等その内容に応じて、当該保有個人情報等へのア
クセス状況を記録し、その記録（以下「アクセス記録」という。
）を一定の期間保存し、及びアクセス記録を定期的に分析するために必要な措置を講ずるものとする。
２ 保護管理者は、アクセス記録の改ざん、窃取又は不正な消去の防止のために必要な措置を講ずるものとする。
（アクセス状況の監視）
第３２条 保護管理者及び情報システム管理者は、保有個人情報等の秘匿性等その内容及びその量に応じて、当該保有個人情報等への不適切なアクセスの監視のため、保有個人情報等を含み、又は含む
おそれがある一定量以上の情報が情報システムからダウンロードされた場合に警告表示がなされる機能の設定、当該設定の定期的確認等の必要な措置を講ずるものとする。
（管理者権限の設定）
第３３条 保護管理者及び情報システム管理者は、保有個人情報等の秘匿性等その内容に応じて、情報システムの管理者権限の特権を不正に窃取された際の被害の最小化及び内部からの不正操作等の防止のため、当該特権を最小限とする等の必要な措置を講ずるものとする。
（外部からの不正アクセスの防止）
第３４条 保護管理者は、保有個人情報等を取り扱う情報システムへの外部からの不正アクセスを防止するため、ファイアウォールの設定による経路制御等の必要な措置を講ずるものとする。
（不正プログラムによる漏えい等の防止）第３５条 保護管理者及び情報システム管理者は、不正プログラムによる保有個人情報等の漏えい、滅失又は毀損の防止のため、ソフトウェアに関する公開された脆弱性の解消、把握された不正プロ
グラムの感染防止等に必要な措置（導入したソフトウェアを常に最新の状態に保つことを含む。）を講ずるものとする。
（情報システムにおける保有個人情報の処理）
第３６条 職員等は、保有個人情報等について、一時的に加工等の処理を行うため複製等を行う場合には、その対象を必要最小限に限り、処理終了後は不要となった情報を速やかに消去するものとする。
２ 保護管理者は、当該保有個人情報等の秘匿性等その内容に応じて、随時、消去等の実施状況を重点的に確認するものとする。
（暗号化）
第３７条 保護管理者は、保有個人情報等の秘匿性等その内容に応じて、暗号化のために必要な措置を講ずるものとする。
２ 職員等は、前項の措置を踏まえ、その処理する保有個人情報等について、当該保有個人情報等の秘匿性等その内容に応じて、適切に暗号化を行うものとし、当該暗号化に当たっては、適切なパス
ワードの選択及びその漏えい防止の措置等を講ずるものとする。
（記録機能を有する機器・媒体の接続制限）
第３８条 保護管理者及び情報システム管理者は、保有個人情報等の秘匿性等その内容に応じて、当該保有個人情報等の漏えい、滅失又は毀損の防止のため、スマートフォン、ＵＳＢメモリ等の記録機能を有する機器・媒体の情報システム端末等への接続の制限（当該機器の更新への対応を含む。
）
等の必要な措置を講ずるものとする。
（端末の限定）第３９条 保護管理者は、保有個人情報等の秘匿性等その内容に応じて、その処理を行う端末を限定するために必要な措置を講ずるものとする。
（端末の盗難防止等）
第４０条 保護管理者は、端末の盗難又は紛失の防止のため、端末の固定、執務室の施錠等の必要な措置を講ずるものとする。
２ 職員等は、保護管理者が必要であると認める場合を除き、端末を外部へ持ち出し、又は外部から持ち込んではならない。
３ 職員等は、保護管理者が必要であると認める場合を除き、情報システム管理者又は保護管理者が管理する端末以外の電子計算機を保有個人情報等の処理に使用し、又は個人情報を処理するために使用する情報システムに接続してはならない。
（第三者の閲覧防止）
第４１条 職員等は、端末の使用に当たっては、保有個人情報等が第三者に閲覧されることがないよ
う、使用状況に応じて情報システムからログオフを行うことを徹底する等の必要な措置を講ずるものとする。
（入力情報の照合等）
第４２条 職員等は、情報システムで取り扱う保有個人情報等の重要度に応じて、入力原票と入力内容との照合、処理前後の当該保有個人情報等の内容の確認、既存の保有個人情報等との照合等を行うものとする。
（バックアップ）
第４３条 保護管理者は、保有個人情報等の重要度に応じて、バックアップを作成し、分散保管するために必要な措置を講ずるものとする。
（情報システム設計書等の管理）第４４条 保護管理者は、保有個人情報等に係る情報システムの設計書、構成図等の文書について外部に知られることがないよう、その保管、複製、廃棄等について必要な措置を講ずるものとする。
第３節 情報システム室等の安全管理（入退管理）
第４５条 情報システム管理者及び個別の情報システムを保持・管理する保護管理者（以下「情報システム管理者等」という。
）は、保有個人情報等を取り扱う基幹的なサーバ等の機器を設置する室その他の区域（以下「情報システム室等」という。
）に立ち入る権限を有する者を定めるとともに、用件の確認、入退の記録、部外者についての識別化、部外者が立ち入る場合の職員等の立会い又は監視設備による監視、外部電磁的記録媒体等の持込み、利用及び持ち出しの制限又は検査等の措置を講ずるものとする。また、保有個人情報等を記録する媒体を保管するための施設を設けている場合においても、必要があると認めるときは、同様とする。
２ 情報システム管理者等は、必要があると認めるときは、情報システム室等の出入口の特定化による入退の管理の容易化、所在表示の制限等の措置を講ずる。
３ 情報システム管理者等は、情報システム室等及び保管施設の入退の管理について、必要があると認めるときは、立入りに係る認証機能を設定し、及びパスワード等の管理に関する定めの整備（その定期又は随時の見直しを含む。
）、パスワード等の読取防止等を行うために必要な措置を講ずるものとする。
（情報システム室等の管理）第４６条 情報システム管理者等は、外部からの不正な侵入に備え、情報システム室等に施錠装置、警報装置、監視設備の設置等の措置を講ずるものとする。
２ 情報システム管理者等は、災害等に備え、情報システム室等に、耐震、防火、防煙、防水等の必要な措置を講ずるとともに、サーバ等の機器の予備電源の確保、配線の損傷防止等の措置を講ずる

ものとする。
（情報システムに係る取扱い）
第４７条 サーバ機等を利用した情報システムに係る保有個人情報等の取扱いについては、この規程に定めるもののほか、放送大学学園情報システム利用規程（平成２７年放送大学学園規程第２号。
以下「システム利用規程」という。
）に定めるところによる。
第４節 サイバーセキュリティの確保（サイバーセキュリティに関する対策の基準等）
第４８条 職員等は、個人情報を取り扱い、又は情報システムを構築し、若しくは利用するに当たっては、システム利用規程等に則り、取り扱う保有個人情報等の性質等に照らして適正なサイバーセ
キュリティの水準を確保するものとする。
第５節 外的環境の把握（外的環境の把握）
第４９条 職員等は、保有個人情報等を外国において取り扱う場合（クラウドサービスにより保有個
人情報等を取り扱う場合であって、当該クラウドサービスの提供事業者が外国に所在し、又は個人
データが保存されるサーバが外国に所在するときを含む。）は、当該外国の個人情報の保護に関する制度等を把握した上で、保有個人情報等の安全管理のために必要かつ適切な措置を講ずるものとする。
第７章 個人情報の提供（個人情報の提供の制限）
第５０条 職員等は、あらかじめ本人の同意を得ないで、第三者に個人データを提供してはならない。
ただし、学術研究目的その他の法令に基づく場合はこの限りではない。
２ 職員等は、法第２７条第２項の規定に基づき第三者に個人データを提供しようとする場合には、次の事項について、あらかじめ保護管理者を通じて総括保護管理者の承認を得るものとする。同項第１号に掲げる事項に変更しようとする場合又は同項の規定による個人データの提供をやめようとする場合も同様とする。
一 本人への通知の方法、又は学園のウェブサイトへの掲載、窓口への継続的な掲示、備付けその他の本人が容易に知り得る状態に置くための方法
二 個人情報保護委員会への届け出る内容及び学園のウェブサイトに公表する内容等（個人情報の提供）
第５１条 保護管理者は、第三者（法第１６条第２項各号に掲げる者を除く。以下本条から第５３条
までにおいて同じ。
）に保有個人情報を提供する場合には、原則として、提供先における利用目的、利用する業務の根拠法令、利用する記録範囲及び記録項目、利用形態等について書面を取り交わすものとする。
２ 保護管理者は、第三者に保有個人情報を提供する場合には、安全確保の措置を要求するとともに、必要があると認めるときは、提供前又は随時に実地の調査等を行い、措置状況を確認してその結果を記録するとともに、改善要求等の措置を講ずるものとする。
３ 保護管理者は、法第１６条第２項各号に掲げる者に保有個人情報を提供する場合において、必要があると認めるときは、前２項に規定する措置を講ずるものとする。
（研究活動における保有個人情報の取扱い）
第５２条 保護管理者は、個人情報取扱者が共同研究で他の学術研究機関等（民間事業者等を含む。
）に保有個人情報を提供する場合には、理事長の承認を得るものとする。
２ 保護管理者は、前項の提供を行う場合には、第５１条各項の定めによるほか、提供先に対して、
次に掲げる事項について記載のある書面で安全確保のために講ずるべき措置を求めるとともに、当該書面の履行状況について、書面による報告等により確認するものとする。
一 提供した保有個人情報の暗号化等
二 提供した保有個人情報を利用する者の範囲の明確化
三 二次利用及び第三者提供の禁止（本人の同意を得ている場合は除く。）
四 共同研究終了時における廃棄等の方法

３ 総括保護管理者は、第１項の提供を行う場合であって、当該保有個人情報が第２２条の規定により個人情報ファイル簿を作成し、公表することとされているものであるときは、当該個人情報ファ
イル簿に、次に掲げる事項を記載するものとする。
一 共同研究で提供する旨
二 共同研究で提供する目的
三 共同研究で提供する保有個人情報の項目
四 共同研究で提供する者の範囲
五 本人の求めに応じて共同研究での保有個人情報の提供を停止することの適用の有無（第三者提供に係る記録の作成等）
第５３条 保護管理者は、個人データを第三者に提供したときは、第２０条に規定する台帳に、法第２９条第１項に定める事項に関する記録を作成し、保管するものとする。ただし、学術研究目的その他の法令に基づく場合等はこの限りではない。
（個人データの提供を受ける際の確認）
第５４条 保護管理者は、第三者から個人データの提供を受けるに際しては、当該第三者による個人情報の取得の経緯に係る所定の事項の確認を行い、当該提供を受けるごとに、第２０条に規定する
台帳に、速やかに当該確認に係る記録を作成し、保管するものとする。ただし、学術研究目的その他の法令に基づく場合等はこの限りではない。
２ 保護管理者は、法第１６条第２項各号に掲げる者から個人データの提供を受ける場合において、必要があると認めるときは、前項に規定する措置を講ずるものとする。
（個人関連情報の取扱い）
第５５条 保護管理者は、個人関連情報（個人関連情報データベース等を構成するものに限る。以下同じ。）を第三者に提供する場合に、提供先の第三者が個人関連情報を個人データとして取得することが想定されるときは、あらかじめ当該個人関連情報に係る本人の同意を得られていること等を確認するものとする。ただし、法令に基づく場合等はこの限りではない。
２ 前項の本人の同意を取得する主体は、情報を利用する主体となる提供先の第三者とする。
ただし、本人の権利利益の保護を図られるために必要なときは、保護管理者が本人同意の取得を代行することができる。
（仮名加工情報の取扱い）
第５６条 個人情報取扱者は、仮名加工情報（仮名加工情報データベースを構成するものに限る。以下この条において同じ。）を作成するときは、仮名加工情報の作成の方法に関する基準に従い、適正な個人情報の加工を行わなければならない。
２ 保護管理者は、次の場合に該当するときは、削除情報等の漏えいを防止するために、保有個人情報に準じた安全管理のための措置を講じるものとする。ただし、法令に基づく場合等はこの限りではない。
一 仮名加工情報を作成したとき。
二 仮名加工情報及び当該仮名加工情報に係る削除情報等を取得したとき。
３ 職員等は、法令に基づく場合を除き、仮名加工情報を第三者に提供してはならない。
４ 職員等は、仮名加工情報を取り扱う場合には、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別する目的で、当該仮名加工情報を他の情報と照合してはならない。
５ 職員等は、仮名加工情報を取り扱う場合には、当該仮名加工情報の作成に用いられた個人情報に係る本人へ連絡等をする目的で、当該仮名加工情報を利用してはならない。
６ 保護管理者は、仮名加工情報の適正な取扱いを確保するために、保有個人情報に準じた安全管理のための措置を講じるものとする。ただし、利用目的の変更及び漏えい等の報告等についてはこの
限りではない。
７ 第１５条から第２１条までの規定は、仮名加工情報の取扱いについて準用する。この場合において、「個人情報」とあるのは、「仮名加工情報」と、第１５条第１項の中、「本人に通知し、公表し」とあるのは、「公表し」と、第１６条第５項中、「本人に通知し、又は公表する」とあるのは「公表する」と、第１８条中、「個人データ」とあるのは、「個人データ及び削除情報等」と読み替える。

８ 第１項の仮名加工情報の作成に関し必要な事項については、別に定める。
（行政機関等匿名加工情報等の取扱い）
第５７条 個人情報取扱者は、行政機関等匿名加工情報を作成するときは、行政機関等匿名加工情報の作成の方法に関する基準に従い、適正な個人情報の加工を行わなければならない。
２ 保護管理者は、行政機関等匿名加工情報を作成したときは、行政機関等匿名加工情報等の漏えい等を防止するために、保有個人情報に準じた安全管理のための措置を講じるものとする。
３ 職員等は、行政機関等匿名加工情報等を取り扱う場合には、当該行政機関等匿名加工情報等の作成に用いられた個人情報に係る本人を識別する目的で、当該行政機関等匿名加工情報等を他の情報と照合してはならない。
４ 第１項の行政機関等匿名加工情報の作成に関し必要な事項については、別に定める。
（匿名加工情報の取扱い）
第５８条 保護管理者は、民間事業者等から匿名加工情報（行政機関等匿名加工情報を除く。以下この条において同じ。）を取得したときは、匿名加工情報及び当該匿名加工情報に係る加工の方法に関する情報の適正な取扱いを確保するために、保有個人情報に準じた安全管理のための措置を講じる
よう努めるものとする。ただし、法令に基づく場合はこの限りではない。
２ 職員等は、匿名加工情報を第三者に提供するときは、あらかじめ第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について、公表するものとする。この場
合において、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を適切な方法により明示するものとする。
３ 第１５条の規定は、前項の公表及び明示について準用する。この場合において「個人情報」とあるのは、「匿名加工情報に含まれる個人に関する情報」と読み替える。
４ 職員等は、匿名加工情報を取扱う場合には、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別する目的で、当該個人情報から削除された記述等若しくは個人識別符号及び当該匿名加工情報に係る加工の方法に関する情報を取得し、又は当該匿名加工情報を他の情報と照合してはならない。
５ 前各項の規定は、委託先について準用する。
（行政機関等匿名加工情報の提供）
第５９条 学園における行政機関等匿名加工情報の提供等に関し必要な事項については、放送大学学園における行政機関等匿名加工情報取扱規程（令和３年放送大学学園規程第４号）による。
第８章 業務の委託等（業務の委託等）
第６０条 保護管理者は、保有個人情報等の取扱いに係る業務を外部に委託する場合には、個人情報の適切な管理を行う能力を有しない者を選定することがないように必要な措置を講ずるものとする。
２ 前項の委託をする場合には、次に掲げる事項を明記した契約書を取り交わすとともに、委託先における責任者及び業務従事者の管理及び実施体制、個人情報の管理の状況についての検査に関する事項等の必要な事項について書面で確認するものとする。
一 個人情報に関する秘密保持、利用目的以外の目的のための利用の禁止等の義務
二 再委託（再委託先が委託先の子会社（会社法（平成１７年法律第８６号）第２条第３号に規定する子会社をいう。）である場合も含む。第４項において同じ。）の制限又は事前承認等再委託に係る条件に関する事項
三 個人情報の複製等の制限に関する事項
四 個人情報の安全管理措置に関する事項
五 個人情報の漏えい等の事案の発生時における対応に関する事項
六 委託終了時における個人情報の消去及び媒体の返却に関する事項
七 法令及び契約に違反した場合における契約解除、損害賠償責任その他必要な事項
八 契約内容の遵守状況についての定期的報告に関する事項及び委託先における委託された個人情報の取扱状況を把握するための監査に関する事項（再委託先の監査等に関する事項を含む。
）

２ 保護管理者は、保有個人情報等の取扱いに係る業務を外部に委託する場合には、取扱いを委託する個人情報の範囲を、委託する業務内容に照らして必要最小限としなければならない。
３ 保護管理者は、保有個人情報等の取扱いに係る業務を外部に委託する場合には、委託する業務に係る保有個人情報等の秘匿性等その内容やその量等に応じて、委託先における管理体制及び実施体
制や個人情報の管理の状況について、少なくとも年１回以上、原則として実地検査により確認するものとする。
４ 保護管理者は、委託先において、保有個人情報等の取扱いに係る業務が再委託される場合には、委託先に第１項の措置を講じさせるとともに、再委託される業務に係る保有個人情報等の秘匿性等
その内容に応じて、委託先を通じて又は委託元自らが前項の措置を実施するものとする。保有個人情報等の取扱いに係る業務について再委託先が再々委託を行う場合以降も同様とする。
５ 保護管理者は、保有個人情報等が記録されている媒体又は情報システム等の廃棄を外部に委託する場合は、前項に定めるもののほか、当該記録媒体等に記録された情報が復元又は判読できない方法を用いることを定めて契約しなければならない。
６ 保護管理者は、保有個人情報等の取扱いに係る業務を派遣労働者によって行わせる場合には、労働者派遣契約書に秘密保持義務等個人情報の取扱いに関する事項を明記するものとする。
７ 保護管理者は、前項の派遣労働者に保有個人情報等の取扱いに係る業務を行わせる場合は、当該派遣労働者に関係法令及び本規程等を遵守させるための指導及び監督を行うものとする。
８ 保護管理者は、保有個人情報の取扱いに係る業務を委託する場合には、漏えい等による被害発生のリスクを低減する観点から、提供先の利用目的、委託する業務の内容、保有個人情報の秘匿性等
その内容などを考慮し、必要に応じ、特定の個人を識別することができる情報の記載の全部又は一部を削除し、又は別の記号等に置き換える等の措置を講ずるものとする。
第８章 安全確保上の問題への対応（法人内部における報告及び被害の拡大防止）
第６１条 職員等は、保有個人情報等の漏漏えい等若しくは法令に違反する事案（以下「違反事案等」という。）又はそれらのおそれのある事案を認識した場合は、直ちに当該保有個人情報等を管理する
保護管理者に報告するものとする。この場合において、事実確認に時間を要するときは、事実確認の完了前であっても、速やかに保護管理者に報告するものとする。
２ 前項の報告を受けた保護管理者は、当該事案が他の保護管理者の所掌に属するものであるときは、速やかに当該個人情報等を保有する他の保護管理者に報告するものとする。
３ 保護管理者は、前２項の報告を受けたときは、被害の拡大防止、復旧等のために必要な措置を速やかに講ずるものとする。ただし、外部からの不正アクセスや不正プログラムの感染が疑われる端末等のＬＡＮケーブルを抜く等、被害拡大防止のため直ちに行い得る措置については、直ちに行う（職員等に行わせることを含む。）ものとする。
４ 保護管理者は、事案の発生した経緯、被害状況等を調査し、総括保護管理者に報告するものとする。ただし、特に重大と認める事案が発生した場合には、直ちに総括保護管理者に当該事案の内容等について報告するものとする。
５ 総括保護管理者又は副総括保護管理者は、前項の規定に基づく報告を受けた場合には、事案の内容等に応じて、当該事案の内容、経緯、被害状況等を理事長に速やかに報告するものとする。
６ 総括保護管理者は、事案の内容等に応じて、当該事案の内容、経緯、被害状況等について、文部科学省及び総務省に対し、速やかに情報提供を行うものとする。
７ 保護管理者は、事案の発生した原因を分析し、再発防止のために必要な措置を講ずるとともに、同種の業務を実施している他の部署等に再発防止措置を共有するものとする。
（漏えい等の報告等）
第６２条 総括保護管理者は、個人情報の漏えい等又は違反事案等が発生した場合は、次の各号の対応を行うものとする。
一 事実関係の調査
二 原因の究明
三 影響範囲の特定

四 再発防止策の検討及び速やかな実施
五 二次被害の防止、類似事案の発生回避
六 影響を受ける可能性のある本人への事実関係等の連絡
七 事実関係及び再発防止策等の速やかな公表
八 事実関係及び再発防止策等について、速やかに個人情報保護委員会へ報告
２ 総括保護管理者は、法で定める場合を除き、その取り扱う個人データの漏えい等その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして次の各号のいずれかに該当するものが生じたときは、個人情報保護委員会が定めるところにより、個人情報保護委員会に報告しなければならない。
一 要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下本条及び次条第１項において同じ。
）の漏えい等が発生し、又は発生したおそれがある事態
二 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、または発生したおそれがある事態
三 不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、または発生したおそれがある事態
四 個人データにかかる本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事
態
３ 前項各号に該当する事態が生じた場合には、総括保護管理者は、当該事態に係る個人データの本人に対し、個人情報保護委員会が定めるところにより、当該事態が生じた旨を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
第１０章 苦情の処理（苦情の処理）第６３条 総括保護管理者、保護管理者及び個人情報取扱者は、学園における個人情報、仮名加工情報又は匿名加工情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
２ 学園に前項の苦情の申出を受ける窓口（以下、「苦情相談窓口」という。
）を設け、総務部総務課
総務係をもって充てる。
第１１章 監査及び点検の実施（点検）第６４条 個人情報取扱者は、適切な個人情報の保護を維持するため、常に個人情報の取得等及び管理の状況を把握し、必要に応じて個人情報の保護のための措置の見直しについて、保護管理者を通じて総括保護管理者へ提案するものとする。
２ 保護管理者は、各課等における保有個人情報等の記録媒体、処理経路、保管方法等について、定期に及び必要に応じ随時に点検（他部署等による点検を含む。
）を行い、必要があると認めるときは、その結果を総括保護管理者に報告するとともに、次条に規定する監査受検時に、監査責任者の求めに応じ、その結果を提示するものとする。
（監査）第６５条 監査責任者は、保有個人情報等の適切な管理を検証するため、第３条から第６３条までに規定する措置の状況を含む学園における保有個人情報等の管理の状況について、定期に及び必要に応じ随時に自ら又は監査員を指名して監査（外部監査を含む。以下同じ。）を行うものとする。
２ 前項の監査は、保有個人情報等の秘匿性等その内容及びその量に応じて、実地監査を含めた重点的な監査として行うものとする。
３ 放送大学学園内部監査規程（平成２６年放送大学学園規程第１号）第７条及び第８条の規定は、第１項の監査について準用する。
４ 監査責任者は、監査の結果を総括保護管理者に報告するものとする。
（評価及び見直し）
第６６条 総括保護管理者、副総括保護管理者及び保護管理者は、点検又は監査の結果等を踏まえ、

実効性等の観点から保有個人情報等の適切な管理のための措置について評価し、必要があると認めるときは、その見直し等の措置を講ずるものとする。
第１３章 雑則（学術研究例外）
第６７条 個人情報の利用、取得及び提供に係る第１５条から第２１条まで及び第５０条から第５４条までの規定については、職員等が学術研究目的で個人情報を取り扱う必要がある場合で、かつ、本人又は第三者の権利利益を不当に侵害するおそれがない場合に限っては、当該各条の規定にかかわらず、事前の本人同意（利用目的の変更、要配慮個人情報の取得、個人データの第三者提供又は外国第三者への提供に係るものに限る。
）、第三者提供に係る確認又は記録の作成等を要しないものとする。
（個人番号及び特定個人情報の取扱いの特例）
第６８条 個人番号及び特定個人情報の取扱いの特例については、別に定める。
附 則
この規程は、平成１７年４月１日から施行する。
附 則（平成１９年３月３０日）
この規程は、平成１９年４月１日から施行する。
附 則（平成２１年３月３１日）
この規程は、平成２１年４月１日から施行する。
附 則（平成２２年６月３０日）
この規程は、平成２２年７月１日から施行する。
附 則（平成２３年３月２８日）
この規程は、平成２３年４月１日から施行する。
附 則（平成２４年３月１４日）
この規程は、平成２４年３月２２日から施行する。
附 則（平成２７年１１月１０日）
この規程は、平成２７年１１月１０日から施行する。
附 則（平成２９年３月２８日）
この規程は、平成２９年４月１日から施行する。
附 則（平成３０年５月２８日）
この規程は、平成３０年５月２８日から施行し、平成３０月５月１日から適用する。
附 則（令和２年３月１６日）
この規程は、令和２年３月１６日から施行する。
附 則（令和４年３月２９日）
この規程は、令和４年４月１日から施行する。

（別紙様式）個人情報ファイル簿
個人情報ファイルの名称
法人の名称
個人情報ファイルが利用に供される事務をつかさどる組
織の名称
個人情報ファイルの利用目
的

個人情報ファイルの記録項
目

記録範囲
記録情報の収集方法
要配慮情報が含まれるときは、その旨
記録情報の経常的提供先
開示請求等を受理する組織の名称及び所在地

(名 称)
(所在地)

訂正及び利用停止に関する他の法律又はこれに基づく命令の規定による特別の手
続等□ 法第60条第２項第１号（電算処理ファイル）
個人情報ファイルの種別

令第20条第７項に該当するファイ
ル□有□無□ 法第60条第２項第２号（マニュアルファイル）

行政機関等匿名加工情報の提案の募集をする個人情報
ファイルである旨

行政機関等匿名加工情報の提案を受ける組織の名称及び所在地
行政機関等匿名加工情報の概要作成された行政機関等匿名加工情報に関する提案を受ける組織の名称及び所在地作成された行政機関等匿名加工情報に関する提案をすることができる期間

備考