特定個人情報安全管理細則

第１章 総 則（目 的）
第 1 条 本細則は、「特定個人情報保護規程」（以下「保護規程」という。）に基づき、当連盟における個人番号その他の特定個人情報の適切な管理のためにとるべき具体的事項を定めることを目的とする。

第２章 組織的安全管理措置（従業者の役割と責任）
第 2 条 特定個人情報の取得、利用、保存、提供、削除・廃棄等の作業は、個人番号取扱責任者（保護規程第 5 条。以下「取扱責任者」という。）が責任者となり、その監督のもとで実施する。
２．個人番号事務取扱担当者（保護規程第 4 条。以下「事務取扱担当者」という。）
以外の従業者は、当連盟の個人番号関係事務（保護規程第 2 条第(12)号）に従事することができない。
３．事務取扱担当者は、当連盟の個人番号関係事務を処理するために必要な限度で、個人番号及び特定個人情報（以下「特定個人情報等」という。）の取得、利用、保存、提供、削除・廃棄等の作業に従事することができる。
４. 当連盟が個人番号関係事務を外部に委託する場合の委託先に関する監督は、取扱責任者が責任者となり、その監督のもとで実施する。
（特定個人情報の取得）
第 3 条 特定個人情報等の取得を担当する事務取扱担当者は、保護規程第 13 条及び第14 条により当連盟が他人から個人番号の提供を受ける場合に、情報漏えい等を防止するため、下記各号を遵守して個人番号その他の特定個人情報を取得する。
(1) 本人等から個人番号が記載された書類等（個人番号カードの IC チップを読み取る等による電子的方式を含む。
）の提出を受けるときは、原則として、事務取扱担当者が直接受け取るものとする。
(2) 本人等から個人番号が記載された書類等の提出を受けるときは、当該書類等を封筒に入れた状態で直接受領する等、他人が特定個人情報等を容易に確
1

認できない状態で提出を受けるものとする。
(3) 本人等から個人番号が記載された書類等の提出を受けて取りまとめる作業のみを担当する事務取扱担当者を定めることができる。この事務取扱担当者
は、書類の不備がないかの確認等の必要な事務を行った後は、速やかに入力等を担当する事務取扱担当者に受け渡しを行い、自分の手元に特定個人情報等を残してはならない。
(4) 事務取扱担当者以外の従業者は、特定個人情報等が記載された書類等又はその可能性のある書類等を受け取った場合は、速やかに事務取扱担当者に受け渡さなければならない。
(5) 事務取扱担当者は、従事している個人番号関係事務の処理以外の目的で、取得した個人番号を含むメモ、複写、印刷物、データのコピーその他の控えを作成してはならない。
（特定個人情報の入力）
第 4 条 取得した特定個人情報等を情報システムに入力する作業を担当する事務取扱担当者は、情報漏えい及び個人番号の不正利用等を防止するため、下記各号を遵守するものとする。
(1) 物理的安全管理措置（本規程第３章）及び技術的安全管理措置（本規程第４章）が施された場所及び機器で、入力作業を実施する。
(2) 取扱責任者が承認した場合を除き、入力を行う端末に、ＣＤ－Ｒ、ＵＳＢメモリ等の外部記憶媒体又はスマートフォン、パソコン等の記録機能を有する機器を接続してはならない。
(3) 従事している個人番号関係事務の処理以外の目的で、個人番号を含むメモ、複写、印刷物、データのコピーその他の控えを作成してはならない。
(4) 従事している個人番号関係事務の処理以外の目的で、特定個人情報ファイル（保護規程第 2 条第(7)号）を複製し、加工し、又は新たに特定個人情報ファイルを作成してはならない。
（特定個人情報の利用等）
第 5 条 特定個人情報等の利用・加工、保存等（以下「利用等」という。
）の作業を担当する事務取扱担当者は、情報漏えい等を防止するため、下記各号を遵守して作業を実施する。
(1) 物理的安全管理措置（本規程第３章）及び技術的安全管理措置（本規程第４章）が施された場所及び機器で、利用等の作業を実施する。
(2) 取扱責任者が承認した場合を除き、利用等の作業を行う端末に、ＣＤ－Ｒ、ＵＳＢメモリ等の外部記憶媒体又はスマートフォン、パソコン等の記録機能
2

を有する機器を接続してはならない。
(3) 従事している個人番号関係事務の処理以外の目的で、個人番号を含むメモ、複写、印刷物、データのコピーその他の控えを作成してはならない。
(4) 従事している個人番号関係事務の処理以外の目的で、特定個人情報ファイル（保護規程第 2 条第(7)号）を複製し、加工し、又は新たに特定個人情報ファイルを作成してはならない。
(5) 特定個人情報等を管理するシステムの複製データ、特定個人情報等の利用等の作業のために作成した電子データ及び行政機関へ提出する書類を作成する
ために出力したチェックリスト等は、利用等の必要がなくなり次第速やかに削除し、必要のない複製データ等が存在しないようにしなければならない。
（特定個人情報の提供等）
第 6 条 特定個人情報等の移送・送信・提供の作業を担当する事務取扱担当者は、紛失・盗難による情報漏えい等を防止するため、下記各号を参照し、適宜の保護措置を遵守して作業を実施する。
(1) 特定個人情報等が記載された書類を本人に返却・交付する場合や行政機関等の個人番号利用事務実施者に提出する場合（以下「提供」という。
）は、封筒への封緘、目隠しシールの貼付等により、他人が特定個人情報等を容易に確認できない状態で交付・提出する。ただし、個人番号利用事務実施者（保護規程第 2 条第(16)号）に提出する場合は、当該個人番号利用事務実施者の指定する提出方法に従う。
(2) 郵送等の方法により特定個人情報等を提供する場合には、あて先を複数回確認のうえ送付する。ただし、個人番号利用事務実施者に提出する場合は、当該個人番号利用事務実施者の指定する提出方法に従う。
(3) 特定個人情報等が記載された書類を取扱区域外に持ち出す場合は、封筒への封入をし、鞄で搬送する等、紛失・盗難を防ぐための方策を講ずる。
(4) 特定個人情報等が記録された機器・電子媒体等を取扱区域外に持ち出す場合は、施錠できる搬送容器を利用する等、紛失・盗難を防ぐための方策を講ずる。
(5) 特定個人情報等が記録されたデータをインターネット・メール等により外部に送信する場合は、取扱責任者の承認を得た上で、第 12 条第 2 項による技術的安全管理措置を講じ、送信先のメールアドレスに間違いないかを複数回確認のうえ送信する。ただし、個人番号利用事務実施者にデータを提出する場合は、当該個人番号利用事務実施者の指定する提出方法に従う。
（特定個人情報の削除・廃棄）3

第 7 条 特定個人情報等の削除又は廃棄（以下「廃棄等」という。
）の作業を担当する事務取扱担当者は、個人番号を確実に削除又は破棄するために、下記各号を参照し、適宜の方法で作業を実施する。
(1) 特定個人情報が記載された書類等を、焼却、溶解、復元不可能な程度に裁断可能なシュレッダーによる裁断等の復元不可能な手段で廃棄する。
(2) 特定個人情報等が記載された書類等の個人番号部分を復元不可能な程度にマスキングする。
(3) 特定個人情報等が記載された書類又は電子媒体等の中の個人番号を、容易に復元できない手段で削除する。
(4) 特定個人情報等が記録されたデータのバックアップ内の個人番号も削除する。
(5) 特定個人情報等が記録された機器及び電子媒体等を廃棄する場合は、専用のデータ削除ソフトウェアの利用等によりデータを完全消去し、又は物理的な破壊等によりデータを復元不可能にして廃棄する。
(6) 特定個人情報等が記録された機器及び電子媒体等をリース会社等に返却する場合は、専用のデータ削除ソフトウェアの利用等によりデータを完全消去する。
(7) 削除又は廃棄の担当者が取扱責任者に廃棄等の完了を報告し、取扱責任者が確認する。
(8) 個人番号若しくは特定個人情報ファイルを削除し、又はこれらのものが記録された電子媒体を廃棄した場合は、削除又は廃棄した記録を保存する。
(9) 削除又は廃棄の作業を委託する場合は、委託先が確実に削除又は廃棄を実施したことについて証明書等により確認し、前号の廃棄の記録に証明書等を添付する。
（特定個人情報の取扱状況の記録）
第 8 条 特定個人情報等の取得、利用、保存、提供及び削除・廃棄等にあたっては、後に取扱状況を確認できるように、適宜の方法で、特定個人情報の取扱状況が分かる記録を保存するものとする。取扱状況の記録には、個人番号を記載してはならない。
２．特定個人情報の取扱状況については、取扱責任者が、定期的に点検する。
第３章 物理的安全管理措置（入退館等の管理）
第 9 条 事務局の入退館は、不審者の立入を予防して情報漏えい等を防止するととも
4

に、後に入退館状況の確認ができるように、下記各号を参照し、適宜の方法で管理するものとする。
(1) 従業者は、業務終了後は速やかに退社し、業務終了後に事務局にみだりに立ち入ってはならない。
(2) 事務局を最後に退館した記録（従業者名・退館時刻等）を残す。
(3) 当連盟の休日等、事務局が閉鎖されている間に入館する場合は、上長の承認を得なければならない。
(4) 訪問者を事務局に入館させる場合は、個人情報や個人番号を取り扱う事務を実施する区域及び個人情報や個人番号を取り扱う機器等に訪問者が近づくことのないように注意しなければならない。
(5) 事務局長は、入退館の状況を定期的に確認する。
（情報取扱区域の管理）
第 10 条 特定個人情報ファイルを取り扱う情報システム（以下「情報システム」という。）を管理する区域及び特定個人情報を取り扱う事務を実施する区域（以下「情報取扱区域」という。
）は、情報漏えい等を防止するために、下記各号を参照し、適宜の方法で管理するものとする。
(1) 外部からは容易に入室できない室内とする。
(2) 壁又は間仕切り等の設置や作業を覗き見されにくい座席配置などの保護措置を講じた区域とする。
(3) 情報取扱区域は取扱責任者が管理する。
(4) 取扱責任者は、情報取扱区域の状況を定期的に点検する。
（情報取扱区域における機器等の管理）
第 11 条 情報取扱区域において特定個人情報等を取り扱う機器・電子媒体等は、紛失・盗難による情報漏えい等を防止するため、下記各号を参照し、適宜の方法で管理するものとする。
(1) 特定個人情報等を取り扱う機器は、離席時にロックするとともに、10 分程度でパスワード付きのスクリーンセーバー等が起動するように設定する。
(2) 特定個人情報等を取り扱う機器は、ＣＤ－Ｒ、ＵＳＢメモリ等の外部記憶媒体又はスマートフォン、パソコン等の記録機能を有する機器を接続できない措置を講じ、又は取扱責任者の承認を得ずに接続することを禁ずる。
(3) 特定個人情報等が記載された書類及び特定個人情報等が記録された電子媒
体は、施錠できる保管場所に保管し、机上等に放置してはならない。
(4) 特定個人情報等を取り扱う機器を情報取扱区域外に持ち出す場合は、取扱責任者の承認を得なければならない。
5(5) 当連盟が管理すべき特定個人情報等は、従業者の私物パソコン等で取り扱ってはならない。

第４章 技術的安全管理措置（情報システムへのアクセス管理）第 12 条 特定個人情報ファイルを情報システムで取り扱う場合は、情報漏えい等を防止するため、下記各号を参照し、適宜の安全管理措置を講ずるものとする。
(1) 特定個人情報等を取り扱う機器を特定する。
(2) 前号の機器を使用する事務取扱担当者を限定する。
(3) 事務取扱担当者が使用する機器に装備されているユーザーアカウント制御機能により、情報システムを取り扱うことのできる事務取扱担当者を限定する。
(4) 前号のユーザーアカウント制御機能におけるＩＤ・パスワードは付与される者ごとに異なるものとする。
(5) パスワードは、氏名、職員番号、生年月日等、他人に推測されやすいものを使用してはならない。
(6) パスワードは、メモを机上等に放置するなど他人が容易に認識可能な状態で管理してはならない。
(7) 退職・配転等により不要となったＩＤは速やかに削除・停止し、再利用してはならない。
(8) 情報システム及びパソコン等の機器にセキュリティ対策ソフトウェア等を導入して適切な設定をする。
(9) 情報システム及びパソコン等の機器のオペレーティングシステム、ソフトウェア等を常に最新の状態に更新する。
(10) 端末には取扱責任者が認めるソフトウェアのみをインストールできることとする。
２．特定個人情報等を外部に送信する場合に、通信経路における情報漏えいを防止するために、下記各号を参照し、適宜の技術的安全管理措置を講ずるものとする。
(1) 通信経路を暗号化する。
(2) 送信するデータを暗号化する。
(3) 送信するデータにパスワードによる保護をかける。

6

第５章 委託先の監督（委託先の選定及び委託契約の締結）
第13条 当連盟が個人番号利用事務等を外部に委託する場合は、委託先からの情報漏えい等を防止するため、取扱責任者の監督下で、委託先に対して次の各号の事項を実施するものとする。
(1) 委託先の選定にあたり、特定個人情報等に関して当社が実施する安全管理措置と同等の安全管理措置が委託先においても講じられているかを確認する。
(2) 委託先との間で次の事項を含む契約を締結する。
① 委託した特定個人情報等に関する秘密保持義務② 委託した特定個人情報等の事業所内からの持ち出しの禁止③ 委託した業務以外の目的で特定個人情報等を利用することの禁止④ 再委託に関する事項
再委託は原則として禁止し、再委託がやむを得ない場合は、書面による当社の許諾を得て再委託するものとし、委託先が再委託先と連帯して責任を負うことの確認⑤ 再委託先が更に再委託する場合も、書面による当社の許諾を得て再委託するとともに、再々委託先が再委託先及び委託先と連帯して責任を負うことを要し、更に再委託が繰り返される場合も同様である旨の確認⑥ 委託先の従業者に対する監督・教育を実施すること⑦ 契約内容の遵守状況についての報告⑧ 委託した特定個人情報等に関する漏えい事故等が生じた際の委託先の責任⑨ 委託契約終了時の特定個人情報等の返却、抹消及び廃棄附 則
第 1 条 本規程は、２０１５年１０月２９日より実施する。

7