ＯＩＳＴ
基本方針・ルール・手続

学校法人沖縄科学技術大学院大学学園

個人情報保護規則
理事長・学長決定
２０２３年８月１日（目的）第１条
本規則は個人情報の保護に関する法律（平成１５年法律第５７号。以下「法」という。）に基づき、学校法人沖縄科学技術大学院大学学園（以下「学園」という。）における個人情報の保護について必要な事項を定め、個人の権
利利益を保護することを目的とする。
（基本方針）
第２条
学園は、学園の有する全ての個人情報が個人の人格尊重の理念の下に慎重に取り扱われるべきものであることに鑑み、それらを適正に取扱わなければならない。
２ 学園の役職員（派遣職員を含む。以下同じ。）及び学生は、個人情報保護の重要性を認識し、本規則にしたがって適切に対応しなければならない。
３ 学園は、学園の業務を遂行するため必要な場合に限り、個人情報を取得、使用又は保有する。
４ 学園の役職員及び学生は、違法または不当な行為を助長し又は誘発するおそれがある方法により個人情報を取得又は使用してはならない。
５ 学園は、追加的に本規則の規定について更に制限を強化することはできるが、制限を緩和することはできない。
（定義）
第３条
本規則における用語の意義は、法第２条の定めるところによる。
（理事長）
第４条
理事長は、学園における法人の長として、法の規定に従い、内閣総理大臣
及びその他関係大臣又は国の個人情報保護委員会その他の政府機関等への報告
及び申請等並びにこれらに関する最終決定を行うものとする。
（個人情報統括保護管理者）
第５条 学園に、個人情報統括保護管理者（以下「統括管理者」という。）を置き、事務局長をもって充てるものとする。
２ 統括管理者は、理事長の命を受け、学園における保有個人情報の管理に関する事務を統括するものとする。
３ 統括管理者は、本規則の維持管理及びその施行のため必要となる規程等を策定
1
Ch11_Rules for Personal Information Protection_ja_20230801_cl

ＯＩＳＴ
基本方針・ルール・手続

４

するものとする。
統括管理者は、本規則の施行と個人情報保護に関する重要事項を決定する上で必要となる学園内の円滑なコミュニケーションの推進及び調整を実施するものとする。

（個人情報保護責任者）
第６条
各ディビジョン等の部門に、個人情報保護責任者（以下「責任者」という。）を置き、当該ディビジョン等の部門の長をもって充てる。
２ 責任者は、責任者が所管する各部門内における個人情報保護に関する必要なガ
イダンスの提供及び必要な監督を実施するものとする。
３ 責任者は、通常、ＰＲＰ第１７編で規定される情報資産管理責任者と同一の者が行うものとする。
（個人情報保護管理者）
第７条 各セクション等の部署に、個人情報保護管理者（以下「管理者」という。）
を置き、当該セクション等の部署の長をもって充てるものとする。
２ 管理者は、当該セクション等の部署における保有個人情報の管理に関する事務を統括し、各部署における保有個人情報の適切な管理を確保する任に当たるものとする。
３ 管理者は、次条第１項により、各部署内において保有個人情報の事務を行う担
当者を指名したときは、責任者にその旨を報告するとともに、指名した者について統括管理者に届出を行うものとする。
（個人情報保護担当者）
第８条 各セクション等の部署に、個人情報保護担当者（以下「担当者」という。）
１名を置き、法人文書管理規則に定める文書管理担当者の中から当該セクション等の部署の管理者により指名するものとする。
２ 担当者は、管理者を補佐し、各セクション等の部署における保有個人情報の管理に関する事務を担当するものとする。
（最高情報責任者）
第９条
学園の最高情報責任者（以下「ＣＩＯ」という。）は、学園の情報システ
ムの管理及びサイバーセキュリティープログラムに関して責任を負うものとする。
２ ＣＩＯは、統括管理者、責任者及び管理者と連携し、学園の情報システムを用いた保有個人情報の適切な管理及び適切な情報システムを整備する任に当たるものとする。
３ ＣＩＯは、統括管理者と協力し、個人情報が含まれる電子記録の適切な管理及び保護の確保のため必要な措置を講ずる責任を負うものとする。
2
Ch11_Rules for Personal Information Protection_ja_20230801_cl

ＯＩＳＴ
基本方針・ルール・手続（最高情報セキュリティ責任者）
第１０条 学園の最高情報セキュリティ責任者（以下「ＣＩＳＯ」という。）は、学園における情報セキュリティ方針、手続及び管理技術を策定し、情報セキュリ
ティ管理策の実効性をリスクアセスメントなどにより監督する任に当たるものとする。
２ ＣＩＳＯは、統括管理者及びＣＩＯと協力し、情報セキュリティを維持する責任を負うものとする。
（個人情報保護協議委員会）
第１１条 統括管理者は、保有個人情報の管理に係る重要事項の決定、連絡及び調整等を行うため、個人情報保護協議委員会（以下「協議委員会」という。）を設置し、定期に又は随時に開催することができる。
２ 協議委員会は、事務局長を委員長とし、以下の各号に掲げる者から議事ごとに委員長が必要と認める者により構成する。
（１） ＣＩＯ（２） ＣＩＳＯ（３） 統括弁護士（４） 研究科長（５） 副学長（人事担当）（６） 副学長（広報担当）（７） その他議題に関係する責任者、管理者又は役職員（監査責任者）
第１２条
学園に、個人情報保護監査責任者（以下「監査責任者」という。）を置き、学園の最高内部監査責任者をもって充てるものとする。
２ 監査責任者は、定期的に又は必要に応じて、学園の保有個人情報の管理状況に対する監査を実施するものとする。
（役職員の責務）
第１３条 学園の役職員は、法の趣旨に則り、関連する法令及び例規等の定めを遵守するとともに、統括管理者、責任者、管理者及び担当者の指示に従い、保有個
人情報を取り扱わなければならない。
（引継ぎ）第１４条 管理者及び担当者は、学園を離職する場合、その離職の前に、保管しているすべての保有個人情報を後任者又は直属の上司に引き継がなければならない。
（個人情報の取得）第１５条 学園は、個人情報を取得するときは、その利用目的を詳細に明示し又は本人に通知しなければならない。
3
Ch11_Rules for Personal Information Protection_ja_20230801_cl

ＯＩＳＴ
基本方針・ルール・手続

２
３

取得する個人情報が要配慮個人情報に該当するときは、利用目的に対する本人の同意を得るものとする。
取得する個人情報が特定個人情報に該当するときは、学園の個人番号及び特定
個人情報取扱規程にしたがって取得するものとする。

（個人情報ファイル）
第１６条 管理者は、前条により個人情報を取得したとき、当該保有個人情報に関する個人情報ファイルを作成するものとする。
２ 管理者は、前項により個人情報ファイルを作成したとき、ＣＩＳＯが提供する学園の個人情報ファイル登録リスト（以下「ＰＩＰＬ」という。）に登録するものとする。
３ 管理者は、ＰＩＰＬに登録した個人情報ファイルの内容に変更が生じたときは、
ＰＩＰＬの登録情報を速やかに更新するものとする。
４ 統括管理者は、学園が個人情報ファイルを保有するときは、あらかじめ国の個
人情報保護委員会に対し、次に掲げる事項を通知しなければならない。なお、通知した事項を変更しようとするときも、同様とする。
（１） 個人情報ファイルの名称（２） 学園の名称及び個人情報ファイルが利用に供される事務をつかさどる組織の名称（３） 個人情報ファイルの利用目的（４） 個人情報ファイルに記録される項目（以下、「記録項目」という。）及び本人（他の個人の氏名、生年月日その他の記述等によらないで検索し得る者に限る。以下、同じ。）として個人情報ファイルに記録される個人の範囲（以下、「記録範囲」という。）（５） 個人情報ファイルに記録される個人情報（以下、「記録情報」という。）の収集方法（６） 記録情報に要配慮個人情報が含まれるときは、その旨（７） 記録情報を当該独立行政法人等以外の者に経常的に提供する場合には、その提供先（８） 記録項目の一部若しくは第５号若しくは前号に掲げる事項を個人情報ファ
イル簿に記載しないこととするとき又は個人情報ファイルを個人情報ファ
イル簿に掲載しないこととするときは、その旨（９） 法第６７条第１項、第９０条第１項、又は第９８条第１項の規定による請求を受理する組織の名称及び所在地（１０） 法第９０条第１項ただし書き又は第９８条第１項ただし書きに該当するときは、その旨（１１） その他政令により定められた事項（個人情報ファイル簿の管理）
第１７条 学園は、保有している個人情報ファイルについて、それぞれ前条第４項に
4
Ch11_Rules for Personal Information Protection_ja_20230801_cl

ＯＩＳＴ
基本方針・ルール・手続

掲げる事項を記載した個人情報ファイル簿を作成し、公表しなければならない。
２ 個人情報ファイル簿は、法令・コンプライアンスセクションが整備し、保管及び公表する。ただし、次の各号に掲げる個人情報ファイルは個人情報ファイル
簿に掲載しないものとする。
（１） 国の安全、外交上の秘密等の国の重大な利益に関する事項を記録した個人情報ファイル（２） 犯罪の捜査、租税に関する犯則事件の調査等のために作成した個人情報フ
ァイル（３） 職員等の人事、給与等に関する事項を記録した個人情報ファイル（４） 試験的に作られた個人情報ファイル（５） 既に個人情報ファイル簿により公表されている個人情報ファイルのコピー
ファイル（６） 一年以内に消去される個人情報のみを記録している個人情報ファイル（７） 物品・金銭の送付や業務連絡のためのみに利用している個人情報ファイル（８） 専ら学術研究のために作成・取得され、利用される個人情報ファイル（９） 記録されている本人の数が１,０００人に満たない個人情報ファイル
３ 管理者は、個人情報ファイル簿に記載すべき個人情報ファイルを新たに保有したとき又は個人情報ファイル簿に記載されている事項を変更する必要があるときは、個人情報ファイル簿を更新するよう法令・コンプライアンスセクションに連絡しなければならない。
（アクセス制限）第１８条 管理者は、ＣＩＯと連携し、保有個人情報の秘匿性等その内容に応じて、当該保有個人情報にアクセスする権限を有する職員の範囲と権限の内容を、当該職員が業務を行う上で必要最小限の範囲に限るものとする。なお、内容の検討にあたっては、個人識別の容易性（匿名化の程度等）、要配慮個人情報の有
無、漏えい等が発生した場合に生じ得る被害の性質及び程度などを考慮しなければならない。
２ アクセス権限を有しない役職員は、保有個人情報にアクセスしてはならない。
３ アクセス権限を有する役職員であっても、業務上の目的以外の目的で保有個人情報にアクセスしてはならない。
（アクセス制御）第１９条 管理者は、ＣＩＯと連携し、保有個人情報を情報システムで取り扱うときは、その秘匿性等その内容に応じて、パスワード等（パスワード、ＩＣカード、生体情報等をいう。以下同じ。）を使用して権限を識別する機能（以下「認証機能」という。）を設定する等のアクセス制御のために必要な措置を講ずるものとする。
２ 管理者は、ＣＩＯと連携し、前項の措置を講ずる場合には、パスワード等の管理に関する定めを整備（その定期又は随時の見直しを含む。）するとともに、
5
Ch11_Rules for Personal Information Protection_ja_20230801_cl

ＯＩＳＴ
基本方針・ルール・手続

パスワード等の読取防止等を行うために必要な措置を講ずるものとする。
（アクセス記録）第２０条 管理者は、ＣＩＯと連携し、保有個人情報の秘匿性等その内容に応じて、当該保有個人情報へのアクセス状況を記録し、その記録（以下「アクセス記録」という。）を一定の期間保存し、アクセス記録を定期に分析するために必要な措置を講ずるものとする。
２ 管理者は、ＣＩＯと連携し、アクセス記録の改ざん、窃取又は不正な消去の防止のために必要な措置を講ずるものとする。
（アクセス状況の監視）
第２１条 管理者は、ＣＩＯと連携し、保有個人情報の秘匿性等その内容に応じて、当該保有個人情報への不適切なアクセスの監視のため、定期確認等の必要な措置を講ずるものとする。
（管理者権限の設定）
第２２条 管理者は、保有個人情報の秘匿性等その内容に応じて、情報システムの管理者権限の特権を不正に搾取された際の被害の最小化及び内部からの不正操作等の防止のため、不正操作を行った際は学園による懲戒的な処分の対象となることに同意する書面に署名を得る等の必要な措置を講ずるものとする。
（外部からの不正アクセスの防止）
第２３条 管理者は、ＣＩＯと連携し、保有個人情報の秘匿性等その内容に応じて、保有個人情報を取り扱う情報システムへの外部からの不正アクセスを防止するため、ファイアウォールの設定による経路制御等の必要な措置を講ずるものとする。
（不正による漏えい等の防止）第２４条 管理者は、ＣＩＯと連携し、ソフトウェアに関する公開された脆弱性の解消、把握された不正プログラムによる保有個人情報の漏えい、滅失又は毀損の防止のため、不正プログラムの感染防止等に必要な措置（導入したソフトウェ
アを常に最新の状態に保つことを含む。）を講ずるものとする。
（複製等の制限）第２５条 管理者は、役職員が業務上の目的で保有個人情報を取り扱う場合であっても、次の各号に掲げる行為については、当該保有個人情報の秘匿性等その内容に応じて、当該行為を行うことができる場合を限定しなければならない。
（１） 保有個人情報の複製（２） 保有個人情報の送信（３） 保有個人情報が記録されている媒体の外部への送付又は持出し
6
Ch11_Rules for Personal Information Protection_ja_20230801_cl

ＯＩＳＴ
基本方針・ルール・手続（４） その他保有個人情報の適切な管理に支障を及ぼすおそれのある行為
２ 学園の役職員は、前項各号の行為を行うときは、管理者の許可を得るものとする。
（誤りの訂正等）
第２６条 学園の役職員は、保有個人情報の内容に誤り等を発見した場合には、管理者の指示に従い、訂正等を行わなければならない。
（媒体の管理）第２７条 学園の役職員は、管理者の指示に従い、保有個人情報が記録されている媒体を管理者により定められた場所に保管するとともに、必要があると認めるときは、耐火金庫への保管又は戸棚の施錠等を行うものとする。
（消去及び廃棄）第２８条 学園の役職員は、保有個人情報又は保有個人情報が記録されている媒体（端末及びサーバに内蔵されているものを含む。）が不要となった場合には、管理者の指示に従い、当該保有個人情報の復元又は判読が不可能な方法により当該保有個人情報の消去又は当該媒体の廃棄を行わなければならない。
（保有個人情報の取扱状況の記録）
第２９条 管理者は、保有個人情報の秘匿性等その内容に応じて、各部署において台帳等を整備し、当該保有個人情報の使用及び保有の状況について体系的に記録しなければならない。
（情報システム等の管理における安全の確保）
第３０条 学園は、電磁的記録における適切な個人情報の保護を確保するため、その内容に応じて、情報システムへのアクセス制御、アクセス記録、外部からの不正アクセスの防止、コンピュータウィルスによる漏えい等の防止、その処理を行う端末の限定及び端末の盗難防止等のために必要な措置を講じなければならない。
２ ＣＩＯ及びＣＩＳＯは、統括管理者と協力し、電磁的記録における適切な保有
個人情報の保護を確保する責任を負うものとする。
３ ＣＩＯは、国が定めるガイドラインを順守し、必要な措置を講じなければならない。
４ ＣＩＯは、パスワード等の管理に関するガイドラインを整備するとともに、パスワード等の読取防止等を行うために必要な措置を行わなければならない。
５ ＣＩＯは、個人情報等の秘匿性等その内容に応じて、当該個人情報等へのアクセス状況を記録し、その記録を保管しなければならない。
６ 学園は、アクセス記録の改ざん、窃取又は不正な削除の防止のために必要な措置を行わなければならない。
7
Ch11_Rules for Personal Information Protection_ja_20230801_cl

ＯＩＳＴ
基本方針・ルール・手続

７

学園は、個人情報等を取り扱う情報システムへの外部からの不正アクセスを防止するため、経路制御等の必要な措置を行わなければならない。
８ 学園は、不正プログラムによる個人情報等の漏えい、把握された不正プログラ
ムの感染防止等に必要な措置を行わなければならない。
９ 学園は、個人情報等を取り扱う基幹的なサーバ室に立ち入る権限を有する者を定めるとともに、利用及び持ち出しの制限又は検査等の措置を行わなければならない。
１０
安全の確保の詳細については、ＣＩＯによりＰＲＰ第１７編において定めるものとする。
（情報システムにおける保有個人情報の処理）
第３１条 役職員は、保有個人情報について、情報システムにおいて一時的に加工等を行うため複製等の処理を行う場合には、その対象を必要最小限とし、処理終了後は、不要となった情報を速やかに消去するものとする。
２ 管理者は、前項の場合、当該保有個人情報の秘匿性等その内容に応じて、随時、
前項の処理に係る消去等の実施状況を重点的に確認するものとする。
（暗号化）
第３２条 管理者は、ＣＩＯと連携し、保有個人情報の秘匿性等その内容に応じて、その暗号化のために必要な措置を講ずるものとする。
２ 園の役職員は、前項の措置にしたがい、その処理する保有個人情報について、
当該保有個人情報の秘匿性等その内容に応じて、適切に暗号化（適切なパスワ
ードの選択、その漏えい防止の措置等を含む。）を行うものとする。
（入力情報の照合）第３３条 学園の役職員は、情報システムで取扱う保有個人情報の重要度に応じて、入力原票と入力内容との照合、処理前後の当該保有個人情報の内容の確認、既存の保有個人情報との照合等を行うものとする。
（バックアップ）
第３４条 管理者は、ＣＩＯと連携し、保有個人情報の重要度に応じて、バックアップを作成し、分散保管するために必要な措置を講ずるものとする。
（情報システム設計書等の管理）第３５条 管理者は、保有個人情報に係る情報システムの設計書及び構成図等の文書について外部に知られることがないよう、その保管、複製及び廃棄等について必要な措置を講ずるものとする。
（端末の限定）第３６条 管理者は、保有個人情報の秘匿性等その内容に応じて、その処理を行う端8
Ch11_Rules for Personal Information Protection_ja_20230801_cl

ＯＩＳＴ
基本方針・ルール・手続

末を限定するために必要な措置を講ずるものとする。
（端末の盗難防止等）
第３７条 管理者は、端末の盗難又は紛失の防止のため、必要に応じ、端末の固定、執務室の施錠等の措置を講ずるものとする。
２ 学園の役職員は、管理者が必要を認めるときを除き、端末を外部へ持ち出し又は外部から持ち込んではならない。
（第三者の閲覧防止）
第３８条 学園の役職員は、端末の使用に当たっては、保有個人情報が第三者に閲覧されることがないよう、使用状況に応じて情報システムからログオフを行うことを徹底する等の必要な措置を講ずるものとする。
（記録機能を有する機器及び媒体の接続制限）
第３９条 管理者は、ＣＩＯと連携し、保有個人情報の秘匿性等その内容に応じて、当該保有個人情報の漏えい、滅失又は毀損の防止のため、スマートフォン、Ｕ
ＳＢメモリ等の記録機能を有する機器及び媒体の情報システム端末等への接続の制限（当該機器の更新への対応を含む。）等の必要な措置を講じなければならない。
２ 管理者は、システム端末からのクラウドやその他オンラインサービスへの不適
切なアクセスをできる限り防止する措置を講ずるものとする。
（入退の管理）第４０条 管理者は、ＣＩＯと連携し、保有個人情報を取扱う基幹的なサーバ等の機器を設置する室その他の区域（以下「電子計算機室等」という。）に立入る権限を有する者を定めるとともに、用件の確認、入退の記録、部外者についての識別化、部外者が立ち入る場合の役職員の立会い又は監視設備による監視、外部電磁的記録媒体等の持ち込み、利用及び持ち出しの制限又は検査の措置を講ずるものとする。なお、保有個人情報を記録する媒体を保管するための施設を設けている場合においても、必要があると認めるときは、同様の措置を講ずるものとする。
２ 管理者は、ＣＩＯと連携し、必要があると認めるときは、電子計算機室等の出入口の特定化による入退の管理の容易化及び所在表示の制限等の措置を講ずるものとする。
３ 管理者は、ＣＩＯと連携し電子計算機室等及び保管施設の入退室の管理について、必要があると認めるときは、立入りに係る認証機能を設定し及びパスワー
ド等の管理に関する定めの整備（その定期又は随時の見直しを含む。）並びに
パスワード等の読取防止等を行うために必要な措置を講ずるものとする。

9
Ch11_Rules for Personal Information Protection_ja_20230801_cl

ＯＩＳＴ
基本方針・ルール・手続（電子計算機室等の管理）第４１条 管理者は、ＣＩＯと連携し、外部からの不正な侵入に備え、電子計算機室
等に施錠装置、警報装置及び監視設備の設置等の措置を講ずるものとする。
２ 管理者は、ＣＩＯと連携し、災害等に備え、電子計算機室等に、耐震、防火、防煙及び防水等の必要な措置を講ずるとともに、サーバ等の機器の予備電源の確保及び配線の損傷防止等の措置を講ずるものとする。
（保有個人情報の提供）
第４２条 管理者は、法第６９条第２項第３号及び第４号の規定に基づき行政機関等以外の者に保有個人情報を提供する場合には、原則として、提供先における利
用目的、利用する業務の根拠法令、利用する記録範囲及び記録項目及び利用形
態等について書面を取り交わすものとする。
２ 管理者は、前項の場合には、安全確保の措置を要求するとともに、必要があると認めるときは、提供前又は随時に実地の調査等を行い、措置状況を確認してその結果を記録するとともに、改善要求等の措置を講ずるものとする。
３ 管理者は、法第６９条第２項第３号の規定に基づき行政機関等に保有個人情報を提供する場合において、必要があると認めるときは、前二項に規定する措置を講ずるものとする。
４ 管理者は、保有個人情報を提供する場合には、漏えい等による被害発生のリスクを低減する観点から、提供先の利用目的、業務の内容、保有個人情報の秘匿性等その内容などを考慮し、必要に応じ、氏名を番号に置き換える等の匿名化措置を講ずるものとする。
５ 管理者は、外国にある第三者に個人データを提供する場合には、原則として、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。
６ 管理者は、前項の規定により本人の同意を得ようとする場合には、個人情報保
護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他
当該本人に参考となるべき情報を当該本人に提供しなければならない。
７ 学園は、個人データを外国にある第三者（第一項に規定する体制を整備している者に限る。）に提供した場合には、個人情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。
８ 学園は、第三者が個人関連情報（個人関連情報データベース等を構成するものに限る。）を個人データとして取得することが想定されるときは、原則として、次に掲げる事項について、あらかじめ個人情報保護委員会規則で定めるところ
により確認することをしないで、当該個人関連情報を当該第三者に提供してはならない。
10
Ch11_Rules for Personal Information Protection_ja_20230801_cl

ＯＩＳＴ
基本方針・ルール・手続（１） 当該第三者が個人関連情報取扱事業者から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていること（２） 外国にある第三者への提供にあっては、前号の本人の同意を得ようとする場
合において、個人情報保護委員会規則で定めるところにより、あらかじめ、
当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報が当該本人に提供されていること
９ 学園は、外国にある第三者に利用目的以外の目的のために保有個人情報を提供する場合には、次のいずれかに該当する場合を除き、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。
（１） 当該第三者が、我が国と同等の水準にあると認められる個人情報保護制度を有している国として規則で定める国にある場合（２） 当該第三者が、個人情報取扱事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして規則で定める基準に適合する体制を整備している場合（３） 法令に基づく場合（４） 専ら統計の作成又は学術研究の目的のために保有個人情報を提供する場合（５） 本人以外の者に提供することが明らかに本人の利益になる場合（６） その他保有個人情報を提供することについての特別な理由がある場合
１０ 学園は、保有個人情報を外国にある第三者に利用目的以外の目的のために提供した場合には、法令に基づく場合及び前項第４号に掲げる場合を除くほか、
個人情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。
（業務の委託等）
第４３条 管理者は、保有個人情報の取扱いに係る業務を外部に委託する場合には、個人情報の適切な管理を行う能力を有しない者を選定することがないよう、必要な措置を講じなければならない。
２ 管理者は、保有個人情報の取扱いに係る業務の外部委託に関する契約について、
本規則のほか、ＣＩＳＯが別に定めるガイドラインに基づき締結しなければならない。
３ 管理者は、特定個人情報の取扱等の外部委託に関する契約については、学園の個人番号及び特定個人情報取扱規程に基づき締結しなければならない。
４ 管理者は、選定した第三者と前項に規定する業務の委託契約を締結する際には、契約書に、次に掲げる事項を明記するとともに、委託先における業務責任者及び業務従事者の管理及び実施体制及び個人情報の管理の状況についての検査関する事項等の必要な事項について書面で確認するものとする。
11
Ch11_Rules for Personal Information Protection_ja_20230801_cl

ＯＩＳＴ
基本方針・ルール・手続（１） 個人情報に関する秘密保持及び目的外利用の禁止等の義務に関する事項（２） 再委託の制限又は条件に関する事項（３） 個人情報の複製等の制限に関する事項（４） 個人情報の漏えい等の事案の発生時における対応に関する事項（５） 委託終了時における個人情報の消去及び媒体の返却に関する事項（６） 契約に違反した場合における契約解除及び損害賠償責任その他必要な事項
５ 前項第２号の制限は、原則として再委託（再委託先が委託先の子会社（会社法（平成１７年法律第８６号）第２条第１項第３号に規定する子会社をいう。）
である場合も含む。本条において同じ。）を禁止するものとし、例外的に再委託を行う場合は、事前承認等再委託に係る条件に関する事項（再委託先が委託先の子会社であると否とにかかわらず、学園が委託先に求める事項について、再委託先もこれを遵守しなければならない旨）を明記するものとする。
６ 管理者は、保有個人情報の取扱いに係る業務を外部に委託する場合には、委託する業務に係る保有個人情報の秘匿性等その内容やその量等に応じて、委託先における管理体制及び実施体制や個人情報の管理の状況について、少なくとも
年１回以上、原則として実地検査により確認するものとする。
７ 管理者は、委託先において保有個人情報の取扱いに係る業務が再委託される場
合には、委託先に第１項及び第４項の措置を講じさせるとともに、再委託される業務に係る保有個人情報の秘匿性等その内容に応じて、委託先を通じて又は委託元自らが第６項の措置を実施する。なお、保有個人情報の取扱いに係る業務について再委託先が再々委託を行う場合以降も同様とする。
８ 管理者は、保有個人情報の取扱を派遣職員に行わせる場合、当該派遣職員に係る労働者派遣契約書に、秘密保持義務等個人情報の取扱に関する事項を明記しなければならない。
９ 管理者は、前条第４項に規定する匿名化措置については、業務を委託する場合
においても、必要に応じてこれを実施しなければならない。
（仮名加工情報の作成、取扱い及び制限）第４４条 学園は、仮名加工情報（仮名加工情報データベース等を構成するものに限る。）を作成するときは、他の情報と照合しない限り特定の個人を識別することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、個人情報を加工しなければならない。
２ 学園は、仮名加工情報を作成したとき又は仮名加工情報及び当該仮名加工情報に係る削除情報等（仮名加工情報の作成に用いられた個人情報から削除された記述等及び個人識別符号並びに前項の規定により行われた加工の方法に関する情報をいう。）を取得したときは、削除情報等の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、削除情報等の安全管理のための措置を講じなければならない。
３ 学園は、法第１８条の規定にかかわらず、法令に基づく場合を除くほか、法第12Ch11_Rules for Personal Information Protection_ja_20230801_cl

ＯＩＳＴ
基本方針・ルール・手続

１７条第１項の規定により特定された利用目的の達成に必要な範囲を超えて、仮名加工情報（個人情報であるものに限る。以下この条において同じ。）を取り扱ってはならない。
４ 学園は、仮名加工情報を作成したとき、当該個人情報の取得に際して明示又は通知した利用目的を公表するものとする。
５ 学園は、仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞なく消去するよう努めなければならない。なお、この場合においては、法第２２条の規定は、適用しない。
６ 学園は、原則として、仮名加工情報（個人情報であるものを除く。）を第三者（当該仮名加工情報の取扱いの委託を受けた者を除く。）に提供してはならな
い。
７ 学園は、仮名加工情報を取り扱うにあたっては、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、削除情報等を取得し又は当該
仮名加工情報を他の情報と照合してはならない。
８ 学園は、仮名加工情報を取扱うにあたっては、電話をかけ、郵便若しくは民間事業者による信書の送達に関する法律に規定する一般信書便事業者若しくは特定信書便事業者による信書便により送付し、電報を送達し、ファクシミリ装置
若しくは電磁的方法を用いて送信し又は住居を訪問するために、当該仮名加工
情報に含まれる連絡先その他の情報を利用してはならない。
９ 仮名加工情報、仮名加工情報である個人データ及び仮名加工情報である保有個人データについては、法第１７条第２項、第２６条及び第３２条から第３９条までの規定は、適用しないものとする。
１０ 前各項の規定は、学園から仮名加工情報の取扱いの委託（二以上の段階にわたる委託を含む。）を受けた者が受託した業務を行う場合について準用するものとする。
（特定個人情報の取扱）第４５条 特定個人情報の取扱いについては、学園の個人番号及び特定個人情報取扱規程に定める。
（行政機関等匿名加工情報の取扱）第４６条 行政機関等非識別加工情報の取扱いについては、学園の行政機関等匿名加
工情報の提供等に関する規程に定める。
（事案の報告）第４７条 学園の役職員は、個人情報の漏えい等、保有情報の安全確保の上で問題となる事案が発生した場合は、時間を要する事実確認を行う前に、直ちに所属する部署の管理者及び統括管理者に報告しなければならない。
２ 管理者は、前項の報告を受けたとき、直ちに責任者に報告しなければならない。
13
Ch11_Rules for Personal Information Protection_ja_20230801_cl

ＯＩＳＴ
基本方針・ルール・手続

３

４
５

６

７
８

また、当該報告が統括管理者に通知されている事を確認しなければならない。
管理者は、第１項の報告を受けたとき、ＣＩＳＯと協力し、外部からの不正ア
クセスや不正プログラム感染が疑われる当該端末等のＬＡＮケーブルを抜くな
ど、直ちに被害の拡大防止のために必要な措置を行うとともに（役職員に行わせることを含む。）、事案の発生した状況等を調査し、統括管理者に報告書を提出しなければならない。なお、報告書の提出後に判明した事項について、逐次追加報告することを妨げない。
統括管理者は前項の報告書を元に、管理者に本人へ対する通知を行うよう指示するものとする。
管理者は、前項の指示に基づき、本人に対し、本人の権利利益を保護するために必要な範囲において、事態の概要、保有個人情報の項目、原因、二次被害又はそのおそれの有無及びその内容並びにその他参考となる事項を速やかに通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権
利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。なお、当該通知は、必要に応じて本人の関係者又は所属団体等に対しても行うものとする。
統括管理者は、第１項の報告を受けたとき、ＣＩＳＯと連携し、事案の内容等に応じて、当該事案の内容、被害状況等を確認した上で、事案が軽微であるかどうかを判断する。
統括管理者は、前項において事案が軽微であると判断されたとき、当該事案の管理に関する責任者に対し、再発防止を含む注意喚起を行うこととする。
統括管理者は、第５項において軽微であると認められない事案が発生した場合、当該事案が生じた旨を速やかに理事長に報告しなければならない。

（政府速報等）第４８条 統括管理者は、前条第８項の事案が生じた場合には、事案の内容、経緯及び被害状況等に関する速報について、直ちに国の個人情報保護委員会及び内閣
府沖縄振興局その他関連省庁等に対して報告しなければならない。
２ 統括管理者は、前項の場合、事案の内容及び影響等に応じて、事実関係及び再発防止策等を直ちに公表するものとする。なお、前条第３項の調査分析を経て、当該公表の後に当該事案に関する新たな内容、経緯、被害状況等が明らかになった場合、再度公表を行うことを妨げない。
（再発防止措置）第４９条 管理者は、第４７条第３項の調査分析を経て、統括管理者に対し、再発防止策を含む最終報告書を速やかに提出しなければならない。
２ 管理者は、ＣＩＳＯ及び他関係職員とともに、前項において報告した再発防止策を実施しなければならない。

14
Ch11_Rules for Personal Information Protection_ja_20230801_cl

ＯＩＳＴ
基本方針・ルール・手続（政府報告）
第５０条 統括管理者は、前条第１項の最終報告書をもとに、内閣府沖縄振興局及び国の個人情報保護委員会に対し、当該事案について速やかに報告しなければならない。
２ 統括管理者は、第１項の報告に係る事案について公表を行うときは、速やかに
総務省行政管理局に情報提供を行うものとする。
３ 統括管理者は、第１項の報告を行ったときは、その内容について、協議委員会に報告するものとする。
４ 統括管理者は、第１項の報告を行ったときは、理事長に対し、当該事案に関する最終報告書を提出しなければならない。
（点検）第５１条 統括管理者は、責任者に対し、少なくとも年１回、所管する各部門における保有個人情報の利用及び保管状況に関する点検及び報告を求めることができる。
２ 責任者は、前項の求めがあったときは、所管する各部門の管理者に対し、各部署における保有個人情報の利用及び保管状況に関する点検及び報告を命じ、その結果を統括管理者に報告しなければならない。
３ 管理者は、前項の命を受けたときは、各部署における保有個人情報の利用及び保管状況に関する点検を実施し、その報告を責任者に報告しなければならない。
４ 管理者は、各部署等における保有個人情報の記録媒体、処理経路、保管方法等について、定期に及び必要に応じ随時に点検を行い、その結果を責任者に報告し、必要があると認めるときは、その結果について、責任者を通じて統括管理者に報告するものとする。
（監査）第５２条 監査責任者は、保有個人情報の管理の適切な管理を検証するため、学園における保有個人情報の管理状況について、定期に及び必要に応じ随時に監査（外部監査を含む。以下同じ。）を行い、その結果を統括管理者に報告するものとする。
（評価及び見直し）
第５３条 統括管理者、責任者、管理者等は、第４９条の点検又は前条の監査の結果等を踏まえ、実効性等の観点から保有個人情報の適切な管理のための措置について評価し、必要があると認めるときは、その見直し等を実施するものとする。
（行政機関との連携）
第５４条 学園は、「個人情報の保護に関する基本方針」（平成１６年４月２日閣議決定）４を踏まえ、内閣府沖縄振興局と緊密に連携して、その保有する個人情報の適切な管理を行うものとする。
15
Ch11_Rules for Personal Information Protection_ja_20230801_cl

ＯＩＳＴ
基本方針・ルール・手続（役職員の研修）第５５条 統括管理者は、保有個人情報の取扱いに従事する学園の役職員に対し、保有個人情報の取扱いについて理解を深め、個人情報の保護に関する意識の高揚を図るための啓発その他必要な研修を行うものとする。
２ 統括管理者は、ＣＩＯと連携し、保有個人情報を取り扱う情報システムの管理に関する事務に従事する学園の役職員に対し、保有個人情報の適切な管理のた
めに、情報システムの管理、運用及びセキュリティ対策に関して必要な研修を行うものとする。
３ 統括管理者は、管理者及び担当者に対し、所管する部署等の現場における保有
個人情報の適切な管理のための教育研修を実施する。
（事務局）
第５６条 本規則に関する事務は、ＣＩＯ及びＣＩＳＯが行う事務にあっては情報セ
キュリティセクションが、統括管理者が行う事務にあっては法令・コンプライ
アンスセクションが行う。
（懲戒）第５７条 学園の役職員又は学生が本規則の規定を故意に無視し又は意図的に違反する行為をとった場合、学園は、当該役職員又は学生について、学園の就業規則又は学則等に定める懲戒処分の対象とする。
（雑則）
第５８条 本規則に定めるもののほか、個人情報保護の事務処理並びに保有個人情報の開示、訂正、利用停止請求等に関して必要な事項は、事務局長が別に定める。

（旧沖縄科学技術研究基盤整備機構からの移行）
第５９条 旧独立行政法人沖縄科学技術研究基盤整備機構から学園へ移行する際に、機構が保有していた個人情報は、全て学園に引き継がれ、本規則が適用される。

附則
本規則は、２０２２年４月１日から施行する。
附則
本規則は、２０２３年１月１日から施行する。
附則
本規則は、２０２３年８月１日から施行する。
16
Ch11_Rules for Personal Information Protection_ja_20230801_cl