特定個人情報等取扱いに関する規程

特定非営利活動法人

ＮＰＯ高知市民会議

平成２８年１０月２０日 制定
令和０５年０４月２０日 改訂

1特定個人情報等取扱いに関する規程
第１章 総則（目的）
第１条 この規程は、特定非営利活動法人ＮＰＯ高知市民会議（以下、「市民会議」という。
）
における個人番号および特定個人情報（以下、「特定個人情報等」という。）の適正な取扱いを確保するため、必要な事項を定める。
（定義）
第２条 この規程における用語の定義は、次の各号に定めるところによる。
（１）「個人番号」とは、行政手続きにおける特定の個人を識別するための番号の利用等に関する法律（以下、「マイナンバー法」という。
）第２条第５項に定める個人番号をいい、同条第８項括弧書きに定められたものを含む。
（２）「特定個人情報」とは、マイナンバー法第２条第８項に定める特定個人情報をいう。
（３）「特定個人情報等」とは、個人番号および特定個人情報をいう。
（４）「本人」とは、マイナンバー法第２条第６項に定める本人をいう。
（５）「特定個人情報ファイル」とは、マイナンバー法第２条第９項に定める特定個人情報ファイルをいう。
（６）「個人番号関係事務」とは、マイナンバー法第２条第１１項に定める個人番号関係事務をいう。
（７）「個人番号利用事務実施者」とは、マイナンバー法第２条第１１項に定める個人番号利用事務実施者をいう。
（８）「個人番号関係事務実施者」とは、マイナンバー法第２条第１２項に定める個人番号関係事務実施者をいう。
（９）「従業者等」とは、市民会議の業務に従事する者をいい、役員、正社員、パートタイマー、アルバイト、派遣社員等（以下、「役職員等」という。
）のすべての者を含む。
（適用関係）
第３条 本規程は、市民会議のすべての従業者等に適用する。
２ 本規程は、市民会議が取り扱うすべての特定個人情報等に適用する。
３ 本規程は、特定個人情報等の取扱いに関し、「個人情報保護に関する規程」およびその他の内部規程に優先して適用される。

第２章 組織体制等（法令等の遵守）2第４条 市民会議は、マイナンバー法その他の法令を遵守し、特定個人情報等を適正に取り扱うため、必要な組織体制を整備するとともに、本規程その他の内部規程を定め、これを運用する。
（事務取扱責任者）
第５条 市民会議は、特定個人情報等の管理に関する責任者として、事務取扱責任者を置く。
２ 事務取扱責任者は、事務局長とする。
３

事務取扱責任者は、次の各号に定める事項その他市民会議における特定個人情報等に関するすべての権限と責務を有する。
（１）特定個人情報等の適正な取扱いに関する基本方針の作成、従業者等への周知および一般への公表（２）本規程に基づき特定個人情報等の取扱いを管理するうえで必要とされる事項の決定および承認（３）特定個人情報等の適正な取扱い、安全対策を維持・推進するための施策の策定および実施（４）事故発生時の対応策の策定および実施（事務取扱担当者）
第６条 市民会議は、特定個人情報等に関する事務を取り扱う者として、事務取扱担当者を置く。
２ 事務取扱担当者は、その取扱う事務の範囲を定めたうえで、事務取扱責任者が選任する。
３

事務取扱担当者は、特定個人情報等を取り扱う情報システムおよび機器等を適切に管理し、利用権限のない者には使用させてはならない。
４ 事務取扱担当者は、特定個人情報等に関する事務の運用状況を明確にするため、第９条に定める記録を作成する。
（基本方針の策定）
第７条 市民会議は、市民会議における特定個人情報等の適正な取扱いを確保するため、特定個人情報等の適正な取扱いに関する基本方針を定める。
（個人番号を取り扱う事務の範囲）
第８条 市民会議が、個人番号関係事務を行う事務の範囲は、次の各号に定めるところとする。
（１）雇用保険法に関する資格取得、資格喪失、給付等の事務手続きに使用するため（２）労働者災害補償保険法に関する給付、社会復帰促進事業等の事務手続きに使用するため3

（３）健康保険法、国民健康保険法、高齢者の医療の確保に関する法律に関する資格取得、資格喪失、給付等の事務手続きに使用するため（４）厚生年金保険法に関する資格取得、資格喪失、給付等の事務手続きに使用するため（５）確定給付企業年金法、確定拠出年金法に関する給付等の事務手続きに使用するため（６）介護保険法に関する事務手続きに使用するため（７）相続税法に関する退職手当等受給者別支払調書等の事務手続きに使用するため（８）租税特別措置法に関する法定調書等の事務手続きに使用するため（９）所得税法に関する法定調書、源泉徴収票の作成等の事務手続きに使用するため（１０） 児童扶養手当法、母子および父子ならびに寡婦福祉法、障害者総合支援法、特別児童扶養手当、生活保護法、被災者生活再建支援金に関する事務等に使用するため（１１） 被災者台帳の作成に関する事務（１２）その他マイナンバー法第１９条各号のいずれかに該当し、特定個人情報の提供を受けることができる関連事務（取扱状況を確認する手段の整備）
第９条 市民会議は、特定個人情報ファイル等の取扱状況を確認するため、次の各号に定めるものを記録するものとする。
（１）特定個人情報ファイルの入力および出力状況（２）特定個人情報ファイルの削除および廃棄（３）特定個人情報ファイルを情報システムで取扱う場合、事務取扱担当者の情報システムの利用状況（ログイン実績、アクセスログ等）
２ 特定個人情報ファイルの取扱状況を確認するための手段として、ファイルの種類・名称、利用目的、事務取扱責任者、事務取扱担当者、保存期間、削除および廃棄方法等について記録するものとする。なお、取扱状況を確認するための記録等には、特定個人情報等は記載しないものとする。

第３章 特定個人情報等の取得・利用等（個人番号の取得および提供）
第１０条 市民会議は、個人番号関係事務を処理するために必要がある場合に限って、本人または他の個人番号関係事務実施者もしくは個人番号利用事務実施者に対して、個人番号の提供を求めることができるものとする。
（本人確認措置）第１１条

従業者等は、個人番号の提供がマイナンバー法の定めにより個人番号関係事務に必要なものである限り、市民会議が行う本人確認の措置に協力しなければならない。
２ 前項の規定にかかわらず、個人番号の提供に協力しなかったことによる不利益は、当該4

従業者等が負うものとする。
（通知カードまたは個人番号カードの取扱い）
第１２条

すべての従業者等は自らの通知カードまたは個人番号カードを、本人の責任を持って保管しなければならない。また、市民会議の責めによらない紛失は、従業者等各自が、責任および対応を負うものとする。
２

市民会議は、従業者等の通知カードまたは個人番号カードを保管してはならないものとする。
（提供を求める時期）
第１３条 個人番号の提供を求める時期は、個人番号関係事務が発生したときとする。ただし、個人番号関係事務が発生することが明らかなときは、事前に個人番号の提供を求めることができる。
（収集制限）
第１４条 市民会議は、マイナンバー法に基づき許される場合を除き、他人の特定個人情報収集し、または保管してはならない。
（利用目的を超えた利用の禁止）
第１５条 市民会議は、個人番号関係事務を処理するために必要な場合に、あらかじめ通知または公表する利用目的の範囲で、個人番号を利用するものとする。なお、たとえ本人の同意があったとしても、利用目的を超えて個人番号を利用してはならない。
２ 前項の規定にかかわらず、人の生命、身体または財産の保護のために必要がある場合において、本人の同意があり、または本人の同意を得ることが困難であるときは、市民会議が保有している個人番号を利用することができる。
（利用目的の変更）
第１６条 市民会議は、利用目的を変更する場合、本人の同意を取得個人番号関係事務の範囲内で、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。
２ 市民会議は、利用目的を変更した場合、変更された利用目的について、本人に通知または公表する。
（特定個人情報ファイルの作成の制限）
第１７条 市民会議は、個人番号関係事務を処理するために必要な場合に限り、特定個人情報ファイルを作成することができる。
5

第４章 特定個人情報等の提供・保管・管理・廃棄等（特定個人情報等の提供）
第１８条 市民会議は、法令で認められた場合を除き、特定個人情報を提供しない。
（保管期間）
第１９条 市民会議は、個人番号関係事務を処理するため必要な期間に限り、特定個人情報等を保管する。ただし、所管法令等によって一定期間保存が義務付けられている場合、当該期間保管することとする。
（廃棄）第２０条 市民会議は、前条に定める保管期間が経過した場合、第２８条に定める方法により、特定個人情報等をできるだけ速やかに廃棄または削除しなければならない。

第５章 安全管理措置（情報漏えい等事案に対応する体制の整備）
第２１条

すべての従業者等が情報漏えいの発生または兆候を把握した場合、またはその可能性が高いと判断した場合は、速やかに事務取扱責任者に報告し、事務取扱責任者は二次被害の防止、類似事案の発生防止等の観点から、速やかに次の各号の手法等により対策を講じるものとする。
（１）事実関係の調査および原因の究明（２）影響を受ける可能性のある本人への連絡（３）委員会および主務大臣等への報告（４）再発防止策の検討および決定（５）事実関係および再発防止策等の公表（取扱状況の把握および安全管理措置の見直し）
第２２条 市民会議は、特定個人情報等の取扱状況を把握し、安全管理措置の評価、見直しおよび改善のために特定個人情報等の取扱状況について、必要に応じて点検を行うものとする。
（従業者等の教育・監督）
第２３条 市民会議では、特定個人情報等が本指針に基づき適正に取り扱われるよう、従業者等に対し、必要かつ適切な教育および監督を行うものとする。
（秘密保持）
第２４条 市民会議は、特定個人情報等を秘密として保持し、第１８条に基づく場合および6第三者に委託する場合を除き、第三者に提供、開示、漏えい等をしないものとする。
２ 市民会議は、特定個人情報等に関する秘密を保持するため、本規程その他の内部規程における定め等により、従業者等に対し、特定個人情報等についての秘密保持に関する事項を周知徹底するものとする。
（特定個人情報等を取り扱う区域の管理）
第２５条 市民会議では、特定個人情報等の情報漏えい等を防止するために、特定個人情報ファイルを管理する区域（以下、「管理区域」という。）および特定個人情報等を取り扱う事務を実施する区域（以下、「取扱区域」という。
）を明確にする。
２ 管理区域においては、間仕切りの設置、座席配置の工夫等、区域の明確化およびキャビネット等の施錠等の安全管理措置を講じる。
３

取扱区域においては、壁または間仕切り等の設置および座席配置の工夫等の安全管理措置を講じる。
（機器および電子媒体等の盗難等の防止）
第２６条

管理区域および取扱区域における特定個人情報等を取り扱う機器、電子媒体および書類等の盗難または紛失等を防止するために、次の各号の措置を講じる。
（１）特定個人情報等を取り扱う機器は、施錠できるキャビネット等に保管する（２）特定個人情報等を含む書類および電子媒体等は、施錠できるキャビネット・書庫等に保管する（３）特定個人情報ファイルは、パスワードを付与する等の保護措置を講じたうえで、これを保存し、当該パスワードを適切に管理する（電子媒体等を持ち出す場合の漏えい等の防止）
第２７条

特定個人情報等が記録された電子媒体または書類等を持ち出す場合、次の各号に例示するような容易に個人番号が判明しない措置の実施、追跡可能な移送手段の利用等の安全な方策を講じる。なお持ち出しとは、特定個人情報等を管理区域または取扱区域の外へ移動させることをいい、事業所内での移動等であっても、紛失・盗難等に留意する。
（１）特定個人情報等が記録された電子媒体は、持ち出しデータの暗号化、パスワードによる保護、施錠できる搬送容器の使用等を行う（２）特定個人情報等が記録された書類は、外部から容易に閲覧されないよう封筒に入れる（３）特定個人情報等を記録する書類を郵送等により発送するときは、簡易書留等の追跡可能な移動手段を利用する（特定個人情報等の削除、機器および電子媒体等の廃棄）第２８条 市民会議は、第２０条に基づき特定個人情報等を廃棄または削除する場合、次の7各号に掲げる方法によるものとし、また、削除または廃棄した記録を保存するものとする。
（１）特定個人情報等が記載された書類等を廃棄する場合、焼却または溶解等の復元不可能な手段による（２）特定個人情報が記載された機器および電子媒体等を廃棄する場合、専用のデータ削減ソフトウェアの利用または物理的な破壊等により、復元不可能な手段による（３）特定個人情報ファイル中の個人番号または一部の特定個人情報等を削除する場合、容易に復元できない手段による
２ 市民会議は、前項の廃棄または削除を第三者に委託する場合には、委託先が確実に削除または廃棄したことについて、証明書等により確認する。
３ 市民会議は、保存期間経過後に速やかに特定個人情報等を廃棄または削除するため、特定個人情報等を取り扱う情報システムにおいては、保存期間経過後における個人番号の削除を前提とした情報システムを構築し、また、特定個人情報等が記載された書類等については、保存期間経過後における廃棄を前提とした手続きを定めるものとする。
（アクセス制御）第２９条 市民会議は、情報システムを使用して個人番号関係事務を行う場合、事務取扱担当者および当該事務で取り扱う特定個人情報ファイルの範囲を限定するために、次の各号の措置に沿って適切なアクセス制御を行うものとする。
（１）個人番号と紐付けてアクセスできる情報の範囲をアクセス制御により限定する（２）特定個人情報ファイルを取り扱う情報システムを、アクセス制御により限定する（外部からの不正アクセス等の防止）
第３０条

市民会議は、次の各号に定める情報システムを外部からの不正アクセスまたは不正ソフトウェアから保護する仕組みを導入し、適切に運用するものとする。
（１）情報システムと外部ネットワークとの接続箇所に、ファイアーウォール等を設置し、不正アクセスを遮断する（２）情報システムおよび機器にセキュリティ対策ソフトウェア等（ウイルス対策ソフトウェア等）を導入する（３）導入したセキュリティ対策ソフトウェア等により、入出力データにおける不正ソフトウェアの有無を確認する（４）機器やソフトウェア等に標準装備されている自動更新機能等の活用により、ソフトウェア等を最新状態とする（５）ログ等の分析を定期的に行い、不正アクセス等を監視する（情報漏えい等の防止）第３１条 市民会議は、特定個人情報等をインターネット等により外部に送信する場合、通8

信経路における情報漏えい等を防止するために、次の各号の措置を講じるものとする。
（１）通信経路における情報漏えい等の防止策として、通信経路の暗号化等を行う（２）情報システム内に保存されている特定個人情報等の情報漏えい等の防止策としては、データの暗号化またはパスワードによる保護等を行う

第６章 その他（禁止事項）
第３２条 市民会議はすべての従業者等に対し、特定個人情報等について、次の各号に掲げる事項を禁止する。
（１）不正な手段により特定個人情報等を収集すること（２）当初の収集目的以外で特定個人情報等を利用すること（３）業務上の必要なく管理区域および取扱区域に立ち入ること（４）業務上の必要および権限がなく特定個人情報ファイルにアクセス・閲覧し、保管された特定個人情報等を記録すること（罰則および損害賠償）第３３条 市民会議は、本規程に違反した従業者等に対して「就業規則」に基づき処分を行い、従業者等以外の者に対しては、契約または法令に照らして、処分を決定する。
２ 市民会議に損害を与えた者は、前項の処分内容にかかわりなく、重ねて損害賠償請求を行うものとする。
（改廃）第３４条 この規程の改廃は、理事会の決議によるものとする。
[附 則]
１．この規程は、平成２８年１０月２０日から施行する。
２．令和５年０４月２０日の理事会にて、各章・各条の文言修正・追記を改訂し、同日より適用する。

9