○日本私立学校振興・共済事業団個人情報管理規程（平成十七年三月三十一日理事長決裁）［沿革］平成一八年

五月三一日

改正

平成二七年

三月三一日

改正

平成二七年一二月二四日

改正

平成二八年

三月三○日

改正

令和

三年

三月二五日

改正

令和

四年

三月三〇日

改正

目次
第一章

総則（第一条―第二条の二）

第二章

管理組織（第三条―第七条）

第三章

教育研修（第八条）

第四章

役職員の責務（第九条）

第五章

保有個人情報等の取扱い（第十条―第十六条）

第六章

情報システムにおける安全の確保等（第十七条―第三十一条）

第七章

情報システム室等の安全管理（第三十二条・第三十三条）

第八章

保有個人情報等の提供（第三十四条・第三十四条の二）第九章

保有個人情報等の取扱いの委託等（第三十五条・第三十五条の二）第十章

サイバーセキュリティの確保（第三十五条の三）

第十一章

安全管理上の問題への対応（第三十六条―第三十七条）

第十二章

監査及び点検の実施（第三十八条―第四十条）

第十三章

懲戒等（第四十一条―第四十三条）

第十四章

雑則（第四十四条）

目次追加［平成二七年一二月二四日］、目次一部改正［令和四年三月三〇日改正］
第一章

総則

（目的）
第一条

この規程は、日本私立学校振興・共済事業団個人情報保護方針（平成十七年三月三十一日理事長裁定）及び日本私立学校振興・共済事業団における特定個人情報等の安全管理に関する基本方
針（平成二十七年十二月二十四日理事長決裁）並びに個人情報の保護に関する基本方針（平成十六年四月二日閣議決定）に基づき、日本私立学校振興・共済事業団（以下「事業団」という。）が保有する個人情報（以下「保有個人情報」という。）及び個人番号の適切な管理に関する事項を定め、もって個人情報の保護に関する法律（平成十五年法律第五十七号。以下「保護法」という。）及び行政手続における特定の個人を識別するための番号の利用等に関する法律（平成二十五年法律第- 1 -二十七号。以下「番号法」という。）の適正かつ円滑な運用に資することを目的とする。
本条一部改正［平成二七年三月三一日・二七年一二月二四日・令和四年三月三〇日］
（定義）
第二条

この規程における用語の意義は、特に定めるものを除き、保護法第二条及び第六十条並びに番号法第二条の定めるところによる。
本条一部改正［平成二七年一二月二四日・令和四年三月三〇日］（個人番号を取り扱う事務の範囲等）
第二条の二

事業団における個人番号利用事務及び個人番号関係事務（以下「個人番号利用事務等」という。）の範囲、個人番号利用事務等において使用する特定個人情報の範囲並びに個人番号利用
事務等を取り扱う部署（以下「事務取扱担当部署」という。）は、別に定める。
本条追加［平成二七年一二月二四日］
第二章

管理組織

（総括保護管理者及び副総括保護管理者）
第三条
２

事業団に総括保護管理者及び副総括保護管理者を置く。

総括保護管理者は、理事（企画・総務担当）とし、事業団における保有個人情報及び個人番号（
以下「保有個人情報等」という。）の管理に関する事務を総括する任に当たる。

３

副総括保護管理者は、企画室長、総務部長及び審議役とし、総括保護管理者を補佐する。
第三項一部改正［平成二七年三月三一日］、本条見出し削除・追加・第二項一部改正［平成二七年一二月二四日］、第三項一部改正［令和三年三月二五日］、第二項一部改正［令和四年三月三〇日］第三条の二
一

総括保護管理者は、次の各号に掲げる場合における組織体制等を整備する。

保有個人情報等の情報漏えい、滅失若しくは毀損等（以下「情報漏えい等」という。）又はこの規程その他の内部規程への違反等の事実又は兆候を把握した場合における総括保護管理者への連絡報告体制

二

個人番号及び特定個人情報（以下「特定個人情報等」という。）を複数の部署で取り扱う場合の各部署の任務分担及び責任の明確化

三

特定個人情報等の情報漏えい等の事案の発生又は兆候を把握した場合の対応の体制及び手順等
本条追加［平成二七年一二月二四日］（保護管理者）
第四条

課、班、室及び施設（事業団の主たる事務所及び従たる事務所の事務組織に係る課、班及び室並びに事業団の設置する医療施設及び宿泊施設をいう。以下同じ。）に保護管理者を置く。
２

保護管理者は、課、班、室及び施設の長又は総括保護管理者が別に定める者とする。

３

保護管理者は、課、班、室及び施設における保有個人情報等の適切な管理を確保するための責任を負うものとする。

- 2 -

４

保有個人情報等を情報システムで取り扱う場合においては、保護管理者は、当該情報システムの管理者と連携して、その任に当たるものとする。
第一項一部改正［平成一八年五月三一日］、第一項―第三項一部改正［平成二七年三月三一日］、本条見出し削除・追加・第三項一部改正・第四項追加［平成二七年一二月二四日］
第四条の二

事務取扱担当部署における保護管理者（以下「事務取扱担当保護管理者」という。）は、特定個人情報等を取り扱う職員（労働者派遣契約その他の契約により事業団に役務を提供する労働者を含む。以下同じ。）（以下「事務取扱担当者」という。）及び当該事務取扱担当者の役割を指定する。
２

事務取扱担当保護管理者は、各事務取扱担当者が取り扱う特定個人情報等の範囲を指定する。
本条追加［平成二七年一二月二四日］（保護担当者）

第五条

課、班、室及び施設に保護担当者を置く。

２

保護担当者は、保護管理者がこれを定める。

３

保護担当者は、保護管理者を補佐し、課、班、室及び施設における保有個人情報等の管理に関する事務を行うものとする。
第一項・第三項一部改正［平成二七年三月三一日］、第三項一部改正［平成二七年一二月二四日］（監査責任者）

第六条
２

事業団に、監査責任者を置く。

監査責任者は、監査室長とし、保有個人情報等の管理の状況について監査するものとする。
第二項一部改正［平成二七年一二月二四日・二八年三月三○日］（保有個人情報等の適切な管理のための委員会）

第七条

総括保護管理者は、保有個人情報等の管理に係る重要事項の決定又は連絡調整を行うため、

個人情報管理委員会を定期に又は随時に開催する。
本条見出し一部改正・本条一部改正［平成二七年一二月二四日］
第三章

教育研修

（教育研修）
第八条

総括保護管理者は、保有個人情報等の取扱いに従事する職員に対し、保有個人情報等の取扱いについて理解を深め、個人情報及び特定個人情報等の保護に関する意識の高揚を図るための啓発
その他必要な教育研修を行う。
２

総括保護管理者は、保有個人情報等を取り扱う情報システムの管理に関する事務に従事する職員に対し、保有個人情報等の適切な管理のために、情報システムの管理、運用及びセキュリティ対策に関して必要な教育研修を行う。

３

総括保護管理者は、保護管理者及び保護担当者に対し、課、班、室及び施設における保有個人情報等の適切な管理のための教育研修を行う。

- 3 -

４

保護管理者は、その所属する課、班、室及び施設の職員に対し、保有個人情報等の適切な管理のために、総括保護管理者の実施する教育研修への参加の機会を付与する等の必要な措置を講ずる。
第三項一部改正・第四項追加［平成二七年三月三一日］、第一項・第二項一部改正・第三項
追加・旧第三項を一部改正し第四項に繰下・旧第四項削除［平成二七年一二月二四日］
第四章

役職員の責務（役職員の責務）
第九条

役職員は、法の趣旨にのっとり、関連する法令及び規程等の定め並びに総括保護管理者、保護管理者及び保護担当者の指示に従い、保有個人情報等を取り扱わなければならない。
本条一部改正［平成二七年一二月二四日］、本条全部改正［令和四年三月三〇日］
第五章

保有個人情報等の取扱い

章名一部改正［平成二七年一二月二四日］（アクセス制限）第十条

保護管理者は、保有個人情報等の秘匿性、特定の個人の識別の容易性の程度、要配慮個人情報の有無、情報漏えい等が発生した場合に生じうる被害の性質及び程度等（以下「秘匿性等」という。）その内容に応じて、当該保有個人情報等にアクセスする権限を有する職員の範囲と権限の内容を、当該職員が業務を行う上で必要最小限の範囲に限定しなければならない。
２

アクセス権限を有しない職員は、保有個人情報等にアクセスしてはならない。

３

職員は、アクセス権限を有する場合であっても、業務上の目的以外の目的で保有個人情報等にアクセスしてはならず、アクセスは必要最小限としなければならない。
第一項―第三項一部改正［平成二七年一二月二四日］、第一項一部改正［令和三年三月二五日］、第一項・第三項一部改正［令和四年三月三〇日］（個人番号の利用の制限）
第十条の二

個人番号利用事務等を処理するために必要な場合その他番号法で定める場合を除き、個人番号を利用してはならない。
本条追加［平成二七年一二月二四日］（個人番号の提供の求めの制限）
第十条の三

個人番号利用事務等を処理するために必要な場合その他番号法で定める場合を除き、個人番号の提供を求めてはならない。
本条追加［平成二七年一二月二四日］（特定個人情報ファイルの作成の制限）
第十条の四

個人番号利用事務等を処理するために必要な場合その他番号法で定める場合を除き、特定個人情報ファイルを作成してはならない。
本条追加［平成二七年一二月二四日］（特定個人情報等の収集又は保管の制限）
第十条の五

番号法第十九条各号のいずれかに該当する場合を除き、特定個人情報等（他人の個人番- 4 -号を含むものに限る。）を収集又は保管してはならない。
本条追加［平成二七年一二月二四日］（複製等の制限）第十一条

保護管理者は、職員が業務上の目的で保有個人情報等を取り扱う場合であっても、次に掲げる行為については、当該保有個人情報等の秘匿性等その内容に応じて、当該行為を行うことができる場合を必要最小限に限定し、職員は、保護管理者の指示に従い行う。
一保有個人情報等の複製

二保有個人情報等の送信

三保有個人情報等が記録されている媒体の外部への送付又は持出し

四その他保有個人情報等の適切な管理に支障を及ぼすおそれのある行為
本条一部改正［平成二七年一二月二四日・令和四年三月三〇日］（誤りの訂正等）
第十二条

職員は、保有個人情報等の内容に誤り等を発見した場合には、保護管理者の指示に従い、訂正等を行う。
本条一部改正［平成二七年一二月二四日］（特定個人情報等を取り扱う区域に対する安全管理措置）
第十二条の二事務取扱担当保護管理者は、事務取扱担当部署において特定個人情報等を取り扱う区域を明確にし、当該区域に物理的な安全管理措置を講ずる。
本条追加［平成二七年一二月二四日］（媒体の管理等）
第十三条

職員は、保護管理者の指示に従い、保有個人情報等が記録されている媒体を定められた場所に保管するとともに、必要があると認めるときは、耐火金庫への保管、施錠等を行う。
２保有個人情報等が記録されている媒体を外部へ送付し、又は持ち出す場合には、原則として、パスワード等（パスワード、ＩＣカード、生体情報等をいう。以下同じ。）を使用して権限を識別する機能（以下「認証機能」という。）を設定する等のアクセス制御のために必要な措置を講ずる。
本条一部改正［平成二七年一二月二四日］、第二項追加［令和四年三月三〇日］（誤送付等の防止）第十三条の二職員は、保有個人情報等を含む電磁的記録又は媒体の誤送信、誤送付、誤交付又はウェブサイト等への誤掲載を防止するため、個別の事務及び事業において取り扱う保有個人情報等の秘匿性等その内容に応じ、複数の職員による確認やチェックリストの活用等の必要な措置を講ずる。
本条追加［令和四年三月三〇日］
（廃棄等）
第十四条

職員は、保有個人情報等又は保有個人情報等が記録されている媒体（端末及びサーバに内蔵されているものを含む。）が不要となった場合には、保護管理者の指示に従い、当該保有個人情報等の復元又は判読が不可能な方法により当該情報の消去又は当該媒体の廃棄を行う。

- 5 -

２

事務取扱担当者は、個人番号利用事務等を処理する必要がなくなった場合であって、法令又は規程等に基づく保存期間を経過したときは、速やかに当該保存期間を経過した個人番号若しくは特定
個人情報又は個人番号若しくは特定個人情報が記録された媒体を、前項の規定に基づき、消去し、又は廃棄する。
３

事務取扱担当者は、個人番号若しくは特定個人情報を消去し、又は個人番号若しくは特定個人情報が記録された媒体を廃棄したときは、当該消去又は廃棄に関する記録を行う。

４

第一項及び第二項の規定による消去又は廃棄を委託（二以上の段階にわたる委託を含む。）する
場合にあっては、必要に応じて職員が消去及び廃棄に立ち会い、又は写真等を付した消去及び廃棄を証明する書類を受け取る等、委託先において消去及び廃棄が確実に行われたことを確認する。
本条一部改正・第二項―第四項追加［平成二七年一二月二四日］、第四項全部改正［令和四年三月三〇日］（保有個人情報等の取扱状況の記録）
第十五条

保護管理者は、保有個人情報等の秘匿性等その内容に応じて、当該保有個人情報等の取扱状況を確認する手段を整備して、当該保有個人情報等の利用及び保管等の取扱いの状況について記録する。
本条見出し一部改正・本条一部改正［平成二七年一二月二四日］（外的環境の把握）
第十五条の二保有個人情報等が外国において取り扱われる場合、当該外国の個人情報の保護に関する制度等を把握した上で、保有個人情報等の安全管理のために必要かつ適切な措置を講じなければならない。
本条追加［令和四年三月三〇日］（他の規程による取扱いとの調整）
第十六条

保有個人情報等が記録されている媒体の管理、保管及び廃棄又は保有個人情報等の取扱状

況の記録について、他の規程の規定において第十三条から前条までに規定する方法と同様の方法で取り扱うこととされている場合には、当該他の規程の規定に基づく取扱いは、第十三条から前条までの規定に基づく取扱いとみなす。
本条一部改正［平成二七年一二月二四日］
第六章

情報システムにおける安全の確保等（アクセス制御）第十七条

保護管理者は、保有個人情報等（情報システムで取り扱うものに限る。以下この章（第二十四条を除く。）において同じ。）の秘匿性等その内容に応じて、認証機能を設定する等のアクセス制御のために必要な措置を講ずる。
２

保護管理者は、前項の措置を講ずる場合には、パスワード等の管理に関する定めを整備（その定期又は随時の見直しを含む。）するとともに、パスワード等の読取防止等を行うために必要な措置

を講ずる。

- 6 -

第一項一部改正［平成二七年三月三一日］、第一項・第二項一部改正［平成二七年一二月二四日］、第一項一部改正［令和四年三月三〇日］（アクセス記録）第十八条

保護管理者は、保有個人情報の秘匿性等その内容に応じて、当該保有個人情報へのアクセ

ス状況を記録し、その記録を一定の期間保存し、及びその記録を定期的に分析するために必要な措置を講ずる。
２

事務取扱担当保護管理者は、特定個人情報等へのアクセス状況を記録し、その記録を一定期間保存し、及びその記録を定期に又は随時に分析するために必要な措置を講ずる。

３

保護管理者及び事務取扱担当保護管理者は、前二項の規定による記録の改ざん、窃取又は不正な消去の防止のために必要な措置を講ずる。
第一項一部改正［平成二七年三月三一日］、第一項一部改正・第二項追加・旧第二項一部改正し繰下［平成二七年一二月二四日］（アクセス状況の監視）第十九条

保護管理者は、保有個人情報等の秘匿性等その内容及びその量に応じて、当該保有個人情報等への不適切なアクセスの監視のため、保有個人情報等を含む又は含むおそれがある一定量以上の情報が情報システムからダウンロードされた場合に警告表示がなされる機能の設定、当該設定の定期的確認等の必要な措置を講ずる。
本条追加［平成二七年三月三一日］、本条一部改正［平成二七年一二月二四日］（管理者権限の設定）
第二十条

保護管理者は、保有個人情報等の秘匿性等その内容に応じて、情報システムの管理者権限の特権を不正に窃取された際の被害の最小化及び内部からの不正操作等の防止のため、当該特権を最小限とする等の必要な措置を講ずる。
本条追加［平成二七年三月三一日］、本条一部改正［平成二七年一二月二四日］（外部からの不正アクセスの防止）
第二十一条

保護管理者は、保有個人情報等を取り扱う情報システムへの外部からの不正アクセスを防止するため、ファイアウォールの設定による経路制御等の必要な措置を講ずる。
旧第一九条繰下［平成二七年三月三一日］、本条見出し削除・追加・本条一部改正［平成二七年一二月二四日］
第二十一条の二事務取扱担当保護管理者は、個人番号利用事務を取り扱う情報システムについて、

インターネットから独立する等の高いセキュリティ対策を踏まえたシステムの構築及び運用体制の整備等の必要な措置を講ずる。
本条追加［平成二七年一二月二四日］（不正プログラムによる漏えい等の防止）
第二十二条

保護管理者は、不正プログラムによる保有個人情報等の情報漏えい等の防止のため、ソフトウェアに関する公開された脆弱性の解消、把握された不正プログラムの感染防止等に必要な措- 7 -

置（導入したソフトウェアを常に最新の状態に保つことを含む。）を講ずる。
本条見出し一部改正・旧第二〇条一部改正し繰下［平成二七年三月三一日］、本条一部改正［平成二七年一二月二四日］（情報システムにおける保有個人情報等の処理）
第二十二条の二

職員は、保有個人情報等について、一時的に加工等の処理を行うため複製等を行う

場合には、その対象を最小限に限り、処理終了後は不要となった情報を速やかに消去する。保護管理者は、当該保有個人情報等の秘匿性等その内容に応じて、随時、消去等の実施状況を重点的に確認する。
本条追加［平成二七年一二月二四日］
（暗号化）
第二十三条

保護管理者は、保有個人情報等の秘匿性等その内容に応じて、暗号化のために必要な措置を講ずる。
２

職員は、前項の規定に基づき、その処理する保有個人情報等について、当該保有個人情報等の秘匿性等その内容に応じて、適切に暗号化（適切なパスワードの選択及びその漏えい防止の措置等を含む。）を行う。
旧第二一条繰下［平成二七年三月三一日］、本条一部改正・第二項追加［平成二七年一二月二四日］（入力情報の照合等）

第二十四条

職員は、情報システムで取り扱う保有個人情報等の重要度に応じて、入力原票と入力内容との照合、処理前後の当該保有個人情報等の内容の確認、既存の保有個人情報等との照合等を行う。
旧第二二条繰下［平成二七年三月三一日］、本条一部改正［平成二七年一二月二四日］（バックアップ）
第二十五条

保護管理者は、保有個人情報等の重要度に応じて、バックアップを作成し、分散保管す

るために必要な措置を講ずる。
旧第二三条繰下［平成二七年三月三一日］、本条一部改正［平成二七年一二月二四日］（情報システム設計書等の管理）
第二十六条

保護管理者は、保有個人情報等に係る情報システムの設計書、構成図等の文書について

外部に知られることがないよう、その保管、複製、廃棄等について必要な措置を講ずる。
旧第二四条繰下［平成二七年三月三一日］、本条一部改正［平成二七年一二月二四日］（端末の限定）第二十七条

保護管理者は、保有個人情報等の秘匿性等その内容に応じて、その処理を行う端末を限定するために必要な措置を講ずる。
旧第二五条繰下［平成二七年三月三一日］、本条一部改正［平成二七年一二月二四日］- 8 -（端末の盗難防止等）
第二十八条

保護管理者は、端末の盗難又は紛失の防止のため、執務室の施錠等の必要な措置を講ずる。
旧第二六条繰下［平成二七年三月三一日］
第二十九条

職員は、保護管理者が必要があると認めるときを除き、端末を外部へ持ち出し、又は外部から持ち込んではならない。
旧第二七条繰下［平成二七年三月三一日］（第三者の閲覧防止）
第三十条

職員は、端末の使用に当たっては、保有個人情報等が第三者に閲覧されることがないよ

う、使用状況に応じて情報システムからログオフを行うことを徹底する等の必要な措置を講ずる。
旧第二八条繰下［平成二七年三月三一日］、本条一部改正［平成二七年一二月二四日］（記録機能を有する機器・媒体の接続制限）
第三十一条

保護管理者は、保有個人情報等の秘匿性等その内容に応じて、当該保有個人情報等の情

報漏えい等の防止のため、スマートフォン、ＵＳＢメモリ等の記録機能を有する機器・媒体の情報システム端末等への接続の制限（当該機器の更新への対応を含む。）等の必要な措置を講ずる。
本条追加［平成二七年三月三一日］、本条一部改正［平成二七年一二月二四日］
第七章

情報システム室等の安全管理（入退管理）
第三十二条

保護管理者は、保有個人情報等を取り扱う基幹的なサーバ等の機器を設置する室その他の区域（以下「情報システム室等」という。）に立ち入る権限を有する者を定めるとともに、用件の確認、入退の記録、部外者についての識別化、部外者が立ち入る場合の職員立会い又は監視設備による監視、外部電磁的記録媒体等の持込み、利用及び持ち出しの制限又は検査等の措置を講ずる。また、保有個人情報等を記録する媒体を保管するための施設を設けている場合においても、必要があると認めるときは、同様の措置を講ずる。
２

保護管理者は、必要があると認めるときは、情報システム室等の出入口の特定化による入退の管理の容易化、所在表示の制限等の措置を講ずる。
３

保護管理者は、情報システム室等及び保管施設の入退の管理について、必要があると認めるとき
は、立入りに係る認証機能を設定し、当該認証機能に係るパスワード等の管理に関する定めを整備（その定期又は随時の見直しを含む。）するとともに、パスワード等の読取防止等を行うために必要な措置を講ずる。
本条見出し一部改正・第一項・第二項・第三項一部改正・旧第二九条繰下［平成二七年三月三一日］、第一項・第三項一部改正［平成二七年一二月二四日］（情報システム室等の管理）
第三十三条

保護管理者は、外部からの不正な侵入に備え、情報システム室等に施錠装置、警報装置

及び監視設備の設置等の措置を講ずる。

- 9 -

２

保護管理者は、災害等に備え、情報システム室等に、耐震、防火、防煙、防水等の必要な措置を講ずるとともに、配線の損傷防止等の措置を講ずる。
旧第三〇条繰下［平成二七年三月三一日］、第一項一部改正［令和四年三月三〇日］
第八章

保有個人情報等の提供

章名一部改正［平成二七年一二月二四日］、章名全部改正［令和四年三月三〇日］（保有個人情報の提供）
第三十四条

保護管理者は、保護法第六十九条第二項第三号及び第四号の規定に基づき行政機関等以外の者に保有個人情報を提供する場合には、保護法第七十条の規定に基づき、原則として、提供先における利用目的、利用する業務の根拠法令、利用する記録範囲及び記録項目、利用形態等について提供先との間で書面（電磁的記録を含む。）を取り交わす。
２

保護管理者は、保護法第六十九条第二項第三号及び第四号の規定に基づき行政機関等以外の者に保有個人情報を提供する場合には、保護法第七十条の規定に基づき、安全確保の措置を要求するとともに、必要があると認めるときは、提供前又は随時に実地の調査等を行い、措置状況を確認してその結果を記録するとともに、改善要求等の措置を講ずる。
３

保護管理者は、保護法第六十九条第二項第三号の規定に基づき他の行政機関等に保有個人情報を提供する場合において、必要があると認めるときは、保護法第七十条の規定に基づき、前二項に規定する措置を講ずる。
旧第三一条繰下［平成二七年三月三一日］、第二項一部改正［平成二七年一二月二四日］、
第一項―第三項一部改正［令和四年三月三〇日］（特定個人情報等の提供の制限）

第三十四条の二

番号法第十九条各号のいずれかに該当する場合を除き、特定個人情報等を提供してはならない。
本条追加［平成二七年一二月二四日］
第九章

保有個人情報等の取扱いの委託等

章名追加［令和四年三月三〇日］（業務の委託等）
第三十五条

保有個人情報等の取扱いに係る業務を外部に委託する場合には、個人情報の適切な管理を行う能力を有しない者を選定することがないよう、必要な措置を講ずる。また、契約書に、次に掲げる事項を明記するとともに、当該委託を受ける者（以下「委託先」という。）における責任者
及び業務従事者の管理体制及び実施体制、個人情報の管理の状況についての検査に関する事項等の必要な事項について書面で確認する。
一

個人情報に関する秘密保持、利用目的以外の目的のための利用の禁止等の義務

二

再委託（委託先の子会社（会社法（平成十七年法律第八十六号）第二条第三号に規定する子会社をいう。）への再委託を含む。以下同じ。）の制限又は事前承認等再委託に係る条件に関する事項- 10 -

三

個人情報の複製等の制限に関する事項

四

個人情報の安全管理措置に関する事項

五

個人情報の漏えい等の事案の発生時における対応に関する事項

六

委託終了時における個人情報の消去及び媒体の返却に関する事項

七

法令及び契約に違反した場合における契約解除及び損害賠償責任その他必要な事項

八

契約内容の遵守状況についての定期的報告に関する事項及び委託先における委託された個人情報の取扱状況を把握するための監査等に関する事項（再委託先の監査等に関する事項を含む。）

２

個人番号利用事務等の全部又は一部を外部に委託する場合には、委託先において番号法に基づく安全管理措置が適切に講じられるか否かについて、当該委託先の設備、技術水準、従業者（当該委

託先の組織内にあって直接間接に当該委託先の指揮監督を受けて業務に従事している者をいう。）
に対する監督及び教育の状況その他当該委託先の経営環境等をあらかじめ確認する。また、当該委託に係る契約書に、前項各号に掲げる事項のほか次の各号に掲げる事項を明記する。
一

特定個人情報等を取り扱う従業者の明確化に関する事項

二

従業者に対する監督及び教育並びに契約内容の遵守事項に係る報告に関する事項

三

事業団の委託先に対する実地調査に関する事項

３

保有個人情報等の取扱いに係る業務を外部に委託する場合には、取扱いを委託する個人情報の範囲は、委託する業務内容に照らして必要最小限度でなければならない。

４

保有個人情報等の取扱いに係る業務を外部に委託する場合には、委託する業務に係る保有個人情報等の秘匿性等その内容及びその量等に応じて、作業の管理体制及び実施体制並びに個人情報の管理の状況（個人番号利用事務等の全部又は一部を外部に委託する場合にあっては、委託先において番号法に基づく安全管理措置が適切に講じられていることの確認を含む。）について、年一回以上の定期的検査（原則として、実地検査とする。）及び必要に応じた随時検査により確認する。
５

個人番号利用事務等の全部又は一部を外部に委託する場合には、事業団自らが果たすべき安全管理措置と同等の措置が、委託先においても適切に講じられるよう、必要かつ適切な監督を行う。

６

委託先において、保有個人情報等の取扱いに係る業務が再委託される場合には、委託先に第一項及び第二項に定める措置を講じさせるとともに、再委託される業務に係る保有個人情報等の秘匿性等その内容に応じて、委託先を通じて又は事業団自らが前二項に定める措置を実施する。保有個人情報等の取扱いに係る業務について再委託先が再々委託を行う場合以降も同様とする。
７

委託先より番号法第十条第一項の規定に基づく再委託の許諾を求められたときは、委託する個人

番号利用事務等において取り扱う特定個人情報等の適切な安全管理が図られることを確認した上で再委託の諾否を判断する。
８

保有個人情報等の取扱いに係る業務を派遣労働者によって行わせる場合には、労働者派遣契約書に秘密保持義務等個人情報の取扱いに関する事項を明記する。
第一項一部改正・第二項・第三項追加・旧第二項一部改正し繰下・旧第三二条繰下［平成二七年三月三一日］、第一項一部改正・第二項追加・旧第二項を一部改正し第三項に繰下・第- 11 -

四項追加・旧第三項を一部改正し第五項に繰下・第六項追加・旧第四項を一部改正し第七項に繰下［平成二七年一二月二四日］、第一項・第三項一部改正［令和三年三月二五日］、第一項一部改正・第三項追加・旧第三項を一部改正し第四項に繰下・旧第四項を第五項に繰下・旧第五項を一部改正し第六項に繰下・旧第六項を第七項に繰下・旧第七項を第八項に繰下［令和四年三月三〇日］（保有個人情報の匿名化措置）第三十五条の二

保有個人情報を提供し、又は保有個人情報等の取扱いに係る業務を外部に委託する

場合には、情報漏えい等による被害発生のリスクを低減する観点から、提供先の利用目的、委託する業務の内容及び保有個人情報等の秘匿性等その内容を考慮し、必要に応じ、特定の個人を識別することができる記載の全部又は一部を削除し、又は別の記号等に置き換える等の措置を講ずる。
本条追加［令和三年三月二五日］、本条一部改正［令和四年三月三〇日］
第十章

サイバーセキュリティの確保

本章追加［令和四年三月三〇日］（サイバーセキュリティに関する対策の基準等）
第三十五条の三

個人情報及び特定個人情報等を取り扱い、又は情報システムを構築し、若しくは利用するに当たっては、サイバーセキュリティ基本法（平成二十六年法律第百四号）第二十六条第一項第二号に規定するサイバーセキュリティに関する対策の基準等を参考として、取り扱う保有個人情報等の性質等に照らして適正なサイバーセキュリティの水準を確保する。
本条追加［令和四年三月三〇日］
第十一章

安全管理上の問題への対応

章名全部改正し旧第九章繰下［令和四年三月三〇日］（事案の報告及び再発防止措置）
第三十六条

保有個人情報等の情報漏えい等若しくはこの規程その他の内部規程への違反等安全管理の上で問題となる事案又は問題となる事案の発生のおそれを認識した職員は、直ちに当該保有個人情報等を管理する保護管理者に報告する。
２

保護管理者は、被害の拡大防止又は復旧等のために必要な措置を速やかに講ずる。ただし、外部からの不正アクセスや不正プログラムの感染が疑われる端末等のＬＡＮケーブルを抜く等被害の拡大防止のために直ちに行い得る措置については、直ちに行う（職員に行わせることを含む。）。
３

保護管理者は、事案の発生した経緯、被害状況等を調査し、速やかに総括保護管理者に当該事案の内容等について報告する。ただし、特に重大と認める事案が発生した場合には、直ちに総括保護管理者に当該事案の内容等について報告する。
４

総括保護管理者は、前項の報告を受けた場合には、事案の内容等に応じて、当該事案の内容、経緯、被害状況等を理事長に速やかに報告する。
５

保護管理者は、事案の発生した原因を分析し、再発防止のために必要な措置を講ずるとともに、同種の業務を実施している部署に再発防止措置を共有する。

- 12 -

第三項一部改正・旧第四項削除・旧第五項・旧第六項繰上・旧第三三条繰下［平成二七年三月三一日］、第一項・第二項一部改正・第五項追加・旧第五項繰下［平成二七年一二月二四日］、第一項・第三項一部改正・旧第五項削除・旧第六項繰上［令和四年三月三〇日］（保護法に基づく報告及び通知）第三十六条の二情報漏えい等が生じた場合であって保護法第六十八条第一項の規定による個人情報保護委員会（保護法第百三十条に規定する個人情報保護委員会をいう。以下同じ。）への報告及び保護法第六十八条第二項の規定による本人への通知を要する場合には、前条に規定する対応と並行して、速やかに所定の手続を行うとともに、個人情報保護委員会による事案の把握等に協力する。
本条追加［令和四年三月三〇日］
（公表等）
第三十七条

保護法第六十八条第一項の規定による個人情報保護委員会への報告及び同条第二項の規定による本人への通知を要しない場合であっても、事案の内容、影響等に応じて、事実関係及び再発防止策の公表並びに当該事案に係る保有個人情報の本人への連絡等の措置を講ずる。
２

公表を行う事案及びこれに相当する事案については、当該事案の内容、経緯、被害状況等について、個人情報保護委員会に対し、速やかに情報提供を行う。
旧第三四条繰下［平成二七年三月三一日］、本条一部改正・第二項追加［平成二七年一二月二四日］、第一項・第二項一部改正［令和四年三月三〇日］
第十二章

監査及び点検の実施

旧第一〇章繰下［令和四年三月三〇日］
（監査）
第三十八条

監査責任者は、保有個人情報等の適切な管理を検証するため、保有個人情報等の管理の状況（第二章から第十一章までに規定する措置の状況を含む。）について、定期に及び必要に応じ随時に監査を行い、その結果を総括保護管理者に報告する。
旧第三五条一部改正し繰下［平成二七年三月三一日］、本条一部改正［平成二七年一二月二四日・令和四年三月三〇日］
（点検）
第三十九条

保護管理者は、課、班、室及び施設における保有個人情報等の記録媒体、処理経路、保管方法等について、定期に及び必要に応じ随時に点検を行い、必要があると認めるときは、その結果を総括保護管理者に報告する。
旧第三六条繰下［平成二七年三月三一日］、本条一部改正［平成二七年一二月二四日］（評価及び見直し）
第四十条

総括保護管理者、保護管理者等は、監査又は点検の結果等を踏まえ、実効性等の観点から

保有個人情報等の適切な管理のための措置について評価し、必要があると認めるときは、その見直し等の措置を講ずる。
旧第三七条一部改正し繰下［平成二七年三月三一日］、本条一部改正［平成二七年一二月二- 13 -

四日］
本章追加［平成二七年一二月二四日］、旧第十一章削除［令和四年三月三〇日］
本条追加［平成二七年一二月二四日］、旧第四一条削除［令和四年三月三〇日］
第十三章

懲戒等

旧第一一章繰下［平成二七年一二月二四日］、旧第一二章繰下［令和四年三月三〇日］（職員がこの規程に違反した場合の対処）
第四十一条

職員がこの規程その他の内部規程に違反した場合においては、就業規則又は労働者派遣

契約その他の契約に基づき、懲戒する。
旧第三八条繰下［平成二七年三月三一日］、旧第四一条一部改正し繰下［平成二七年一二月二四日］、旧第四二条繰上［令和四年三月三〇日］（役員がこの規程に違反した場合の対処）
第四十二条

役員がこの規程に違反した場合においては、理事長は、必要な措置を厳正に行う。

旧第三九条繰下［平成二七年三月三一日］、旧第四二条繰下［平成二七年一二月二四日］、
旧第四三条繰下［令和四年三月三〇日］（損害賠償）
第四十三条

役職員は、故意又は重大な過失による保有個人情報等の情報漏えい等により、事業団に損害を及ぼしたときは、賠償の責を負う。
旧第四〇条繰下［平成二七年三月三一日］、旧第四三条一部改正し繰下［平成二七年一二月二四日］、旧第四四条繰上［令和四年三月三〇日］
第十四章

雑則

旧第一二章繰下［平成二七年一二月二四日］、旧一三章繰下［令和四年三月三〇日］（実施に関する必要な事項）
第四十四条

この規程の実施に関し必要な事項は、別に定める。

旧第四一条繰下［平成二七年三月三一日］、旧第四四条一部改正し繰下［平成二七年一二月二四日］、旧第四五条繰上［令和四年三月三〇日］
附則

この規程は、平成十七年四月一日から実施する。
附則［平成一八年五月三一日］

この改正規定は、平成十八年五月三十一日から実施し、平成十八年四月一日から適用する。
附則［平成二七年三月三一日］

この改正規定は、平成二十七年四月一日から実施する。
附則［平成二七年一二月二四日］

この改正規定は、平成二十八年一月一日から実施する。
附則［平成二八年三月三○日］

この改正規定は、平成二十八年四月一日から実施する。

- 14 -

附

則［令和三年三月二五日］

この改正規定は、令和三年三月二五日から実施する。
附則［令和四年三月三〇日］

この改正規定は、令和四年四月一日から実施する。

- 15 -