一般財団法人熊本県教育会館

個人番号及び特定個人情報取扱いに関する規程
平成２８年２月９日一部改訂

第１章 総則（目的）
第１条 本規程は、個人番号及び特定個人情報（以下「特定個人情報等」という）の適切な取扱いの確保に関し必要な事項を定めることにより、一般財団法人熊本県教育会館（以下「会館」という）の事業の適正かつ円滑な運営を図りつつ、個人の権利利益を保護することを目的とする。
２ 「行政手続における特定の個人を識別するための番号の利用等に関する法律」、「個人情報の保護に関する法律」、「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」、その他の規範を遵守し、全役職員等が特定個人情報等の保護の重要性を理解し、適切な取扱い方法を実施する。
（定義）
第２条 本規程の用語の定義は、次の各号に定めたものとする。
（１）個人情報
個人に関する情報であって、当該情報に含まれる氏名、生年月日、その他の記述又は個人別に付された番号、記号その他の符号により当該個人を識別できるもの（当該情報のみでは識別できないが、他の情報と容易に照合することができ、それにより、当該個人を識別できることとなるものを含む）をいう。
（２）個人番号
行政手続における特定の個人を識別するための番号の利用等に関する法律（以下「番号法」という）第２条第５項が定める住民票コードを変換して得られる番号であって、当該住民票コードが記載された住民票に係るものを識別するために指定されるものをいう。
（３）特定個人情報
個人番号（個人番号に対応し、当該個人番号に代わって用いられる番号、記号、その他の符号であって、住民票コード以外のものも含む）をその内容に含む個人情報をいう。
（４）個人情報ファイル
個人情報を含む情報の集合物であって、特定の個人情報についてコンピューターシステムを用いて検索することができるように体系的に構成したもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして「個人情報の保護に関する法令施行令」で定めるものをいう。
（５）特定個人情報ファイル
個人番号をその内容に含む個人情報ファイルをいう。
（６）個人番号関係事務
番号法第９条第３項の規定により個人番号利用事務（行政機関、地方公共団体、独立行政法人等その他の行政事務を処理する者が同条第１項又は第２項の規定によりその保有する特定個人情報ファイルにおいて個人情報を効率的に検索し、及び管理するために必要な限度で個人番号を利用して処理する事務）に関して行われる他人の個人番号を必要な限度で利用して行う事務をいう。
（７）本人
個人番号によって識別され、又は識別され得る特定の個人をいう。
（８）役職員
会館の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者をいう。具体的には、正規職員、契約職員、嘱託職員、アルバイト職員のほか、理事、監事、派遣社員等を含む。
（責務と適用範囲）
第３条 番号法その他の個人情報保護に関する法令等を遵守するとともに、実施するあらゆる事業を通じて特定個人情報の保護に努めるものとする。本規程の適用範囲は、コンピューターシステムにより処理
1

されるか否か、書面に記載されるか否かを問わず、個人情報を取り扱う会館の役職員に対して適用する。又、特定個人情報を取り扱う業務を外部に委託する場合、及び委託労働者を受け入れる場合等も、この規程の目的とするところに従って、特定個人情報の適切な保護を図るものとする。

第２章 特定個人情報等の取得（利用目的の特定、変更）
第４条 特定個人情報等を取扱うに当たっては、その利用の目的（以下「利用目的」という）をできる限り限定するものとする。
２ 利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲で行うものとする。
３ 利用目的を変更した場合は、変更した利用目的について本人に通知し、又は公表するものとする。
（取得に際しての利用目的の通知等）
第５条 特定個人情報等を取得した場合は、あらかじめその利用目的を通知又は公表している場合を除き、速やかに、その利用目的を本人に通知し、又は公表するものとする。
２ 前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電子的方式等で作られる記録を含む）に記載された当該本人の特定個人情報を取得する場合その他本人から直接書面に記載された当該本人の特定個人情報等を取得する場合は、あらかじめ本人に対しその利用目的を明示するものとする。但し、人の生命、身体又は財産の保護のために緊急に必要がある場合はこの限りでない。
３ 前２項の規定は、次に掲げる場合については、適用しない。
（１）利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（２）利用目的を本人に通知し、又は公表することにより会館の権利又は正当な利益を害するおそれがある場合（３）国の機関又は地方公共団体が法令に定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき（４）取得の状況からみて利用目的が明らかであると認められる場合（取得の制限）第６条 特定個人情報等を取得するときは、適法かつ適正な方法で行うものとする。
２ 番号法第１９条各号のいずれかに該当する場合を除き、他人の特定個人情報を収集しないものとする。
（個人番号の提供の求めの制限）
第７条 番号法第１９条各号のいずれかに該当して特定個人情報の提供を受けることができる場合を除くほか、他人に対し、個人番号の提供を求めないものとする。
（本人確認）
第８条 本人又はその代理人から個人番号の提供を受けるときは、番号法第１６条の規定に従い、本人確認を行うものとする。
（取得における安全管理措置）
第９条 特定個人情報等の取得に際し、第２１条（特定個人情報等の取扱い状況の記録）、第２２条（本規程に基づく運用状況の記録）、第２５条（役職員の監督・教育）、第２６条（委託先の監督）、及び第３１条（技術的安全管理措置）に定める安全管理措置を講じるものとする。

2

第３章 特定個人情報等の利用（利用目的外の利用の制限）
第１０条 第４条の規定により特定された利用目的の達成に必要な範囲を越えて特定個人情報等は取扱わないものとする。
２ 他の法人等から事業を継承すること等に伴って特定個人情報等を取得した場合は、継承前における当該特定個人情報等の利用目的の達成に必要な範囲を越えて当該特定個人情報を取扱わないものとする。
３ 前２項の規定にかかわらず、次に各号のいずれかに該当する場合には、第４条の規定により特定された利用目的の範囲を越えて特定個人情報等を取扱うことができるものとする。
（１）番号法第９条第４項の規定に基づく場合（２）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意があり、又は本人の同意を得ることが困難であるとき（特定個人情報ファイルの作成の制限）
第１１条 番号法第１９条第１１号から第１４号までのいずれかに該当して特定個人情報を提供し、又はその提供を受けることができる場合を除き、個人番号関係事務を処理するために必要な範囲を超えて特定個人情報ファイルを作成しないものとする。
（利用における安全管理措置）
第１２条 特定個人情報等の利用に関し、第２１条（特定個人情報等の取扱い状況の記録）、第２２条（本規程に基づく運用状況の記録）、第２５条（役職員の監督・教育）、第２６条（委託先の監督）、第２７条（特定個人情報等を取扱う区域の管理）、第２８条（機器及び電子媒体等の盗難等の防止）、第２９条（電子媒体等を持ち出す場合の漏洩等の防止）、及び第３１条（技術的安全管理措置）に定める安全管理措置を講じるものとする。

第４章 特定個人情報等の保存（特定個人情報等の保管）第１３条 番号法第１９条各号に該当する場合を除くほか、特定個人情報等を保管しないものとする。
（データ内容の正確性の確保）
第１４条 第４条の規定により特定された利用目的の達成に必要な範囲内において、特定個人情報等を正確かつ最新の内容に保つように努めるものとする。
（保存における安全管理措置）
第１５条 特定個人情報等の保存に関し、第２１条（特定個人情報等の取扱い状況の記録）、第２２条（本規程に基づく運用状況の記録）、第２５条（役職員の監督・教育）、第２６条（委託先の監督）、第２７条（特定個人情報等を取扱う区域の管理）、第２８条（機器及び電子媒体等の盗難等の防止）、第２９条（電子媒体等を持ち出す場合の漏洩等の防止）、及び第３１条（技術的安全管理措置）に定める安全管理措置を講じるものとする。

第５章 特定個人情報等の提供（特定個人情報等の第三者提供）
第１６条 番号法第１９条各号のいずれかに該当する場合を除くほか、特定個人情報等を第三者に提供しないものとする。
（提供における安全管理措置）
第１７条 特定個人情報等の提供に関し、第２１条（特定個人情報等の取扱い状況の記録）、第２２条（本規3

程に基づく運用状況の記録）、第２５条（役職員の監督・教育）、第２６条（委託先の監督）、第２７条（特定個人情報等を取扱う区域の管理）、第２８条（機器及び電子媒体等の盗難等の防止）、第２９条（電子媒体等を持ち出す場合の漏洩等の防止）、及び第３１条（技術的安全管理措置）に定める安全管理措置を講じるものとする。

第６章 特定個人情報等の削除・廃棄（特定個人情報等の削除・廃棄）第１８条 個人番号関係事務を処理する必要がなくなった場合で、かつ、所管法令において定められている保存期間を経過した場合には、個人番号をできるだけ速やかに廃棄または削除するものとする。
但し、その個人番号部分を復元できない程度にマスキング又は削除した場合には、保管を継続できるものとする。
（削除・廃棄における安全管理措置）
第１９条 特定個人情報等の削除・廃棄に関し、第２１条（特定個人情報等の取扱い状況の記録）、第２２条（本規程に基づく運用状況の記録）、第２５条（役職員の監督・教育）、第２６条（委託先の監督）、第２７条（特定個人情報等を取扱う区域の管理）、
第２９条（電子媒体等を持ち出す場合の漏洩等の防止）、第３０条（個人番号の削除、機器及び電子媒体等の廃棄）、及び第３１条（技術的安全管理措置）に定める安全管理措置を講じるものとする。

第７章 安全管理措置
第１節 安全管理措置の総則（特定個人情報等の安全管理）第２０条 特定個人情報等の漏洩、滅失又は毀損の防止その他の特定個人情報等の安全管理のために、第２節から第５節に定める措置を講じるものとする。
２ 特定個人情報等を取扱う事務の範囲を明確化し、明確化した事務において取扱う特定個人情報等の範囲を明確にした上で、当該事務に従事する従業者（以下「事務取扱担当者」という）を明確にするものとする。
第２節 組織的安全管理措置（特定個人情報等の取扱い状況の記録）
第２１条 別途定める様式「特定個人情報等管理台帳」を用いて、以下を記録する。尚、「特定個人情報等管理台帳」には特定個人情報等記載しないものとする。
（１）特定個人情報のファイルの種類、名称（２）責任者、取扱い部署（３）利用目的（４）削除・廃棄状況（５）アクセス権を有する者（本規程に基づく運用状況の記録）
第２２条 本規程に基づく運用状況を確認するため、別途定めるところに従い、以下の項目をシステムログ又は利用実績として記録する。
（１）特定個人情報ファイルの利用・出力状況の記録（２）書類・媒体等の持出しの記録（３）特定個人情報ファイルの削除・廃棄の記録（４）削除・廃棄を委託した場合、これを証明する記録等（５）特定個人情報ファイルを情報システムで取扱う場合、事務取扱担当者の情報システムの利用状
況（ログイン実績、アクセスログ等）の記録
4

（情報漏洩等事案への対応）
第２３条 情報漏洩等の事案の発生又は兆候を把握した場合に、必要に応じて、適切かつ迅速に以下の対応を行う。
（１）事実関係の調査及び原因の究明（２）影響を受ける可能性のある本人への連絡（３）特定個人情報保護委員会及び主務大臣等への報告（４）再発防止策の検討及び決定（５）事実関係及び再発防止策等の公表（取扱い状況の把握及び安全管理措置の見直し）
第２４条 特定個人情報等の取扱い状況を把握し、安全管理措置の評価、見直し及び改善に取組むため、少なくとも毎年１回、取扱い状況を点検し、安全管理措置を見直す。
第３節 人的安全管理措置（役職員の監督・教育）第２５条 特定個人情報等の安全管理のために、役職員に対する必要かつ適切な監督・教育を行うものとする。
（委託先の監督）
第２６条 特定個人情報等の取扱いの全部又は一部を会館以外の者に委託するときは、委託先において番号法に基づき会館が果たすべき安全管理措置と同等の措置か講じられているか否かについてあらかじめ確認した上で、原則として委託契約において、特定個人情報等の安全管理について受託者が講ずべき措置を明らかにし、受託者に対する必要かつ適切な監督を行うものとする。
２ 特定個人情報等の取扱い状況を確認するため、別途定めるところに従い利用実績及び取扱い状況を記録するものとする。
３ 委託先が特定個人情報等の取扱いの全部又は一部を再委託した場合には、委託先が再委託先に対して必要かつ適切な監督を行っているかについて監督するものとする。
第４節 物理的安全管理措置（特定個人情報等を取扱う区域の管理）
第２７条 特定個人情報ファイルを取扱う情報システム等を管理する区域（以下「管理区域」という）及び特定個人情報等を取扱う事務を実施する区域（以下「取扱区域」という）を明確にし、それぞれ以下の通りの安全管理措置を講じる。
（１）管理区域
入退室管理及び管理区域へ持込む機器等の制限（２）取扱区域
壁又は間仕切り等の設置、又は事務取扱担当者以外の者の往来が少ない場所への座席配置や、後ろから覗き見される可能性が低い場所への座席配置等に努める。
（機器及び電子媒体等の盗難等の防止）第２８条 管理区域及び取扱区域における特定個人情報等を取扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、以下の安全管理措置を講じる。
（１）特定個人情報を取扱う機器は、施錠できるキャビネット・書庫等で保管又はセキュリティワイヤー等により固定する。
（２）特定個人情報等を取扱う電子媒体又は書類等は、施錠できるキャビネット・書庫等で保管する。
（電子媒体等を持出す場合の漏洩等の防止）第２９条 特定個人情報等が記録された電子媒体又は書類等を管理区域または取扱区域の外に持出す場合は、5以下の安全管理措置を講じる。
（１）持出しデータの暗号化、パスワードによる保護、又は施錠できる搬送容器を使用する。但し、行政機関等に法定調書等をデータで提出するに当たっては、行政機関等が指定する提出方法に従う。
（２）特定個人情報等が記載された書類等は、封緘して持出す。
（個人番号の削除、機器及び電子媒体等の廃棄）第３０条 個人番号を削除又は廃棄する際には、以下に従って、復元できない手段で行う。
（１）特定個人情報等が記載された書類を廃棄する場合は、焼却、溶解、復元不可能な程度に細断可能なシュレッダーの利用又は個人番号を復元できない程度のマスキングを行う。
（２）特定個人情報等が記録された機器又は電子媒体等を廃棄する場合は、専用のデータ削除ソフトウェアを利用するか、又は物理的な破壊を行う。
（３）特定個人情報ファイル中の個人番号又は一部の特定個人情報等を削除する場合は、データ復元用ソフトウェア、プログラム、装置等を用いなければ復元できない手段で削除する。
２ 個人番号若しくは特定個人情報ファイルを削除した場合、又は電子媒体等を廃棄した場合には、削除又は廃棄した記録を保存する。又、これらの作業を委託する場合には、委託先が確実に削除又は廃棄したことについて、証明書等により確認する。
第５節 技術的安全管理措置（技術的安全管理措置）
第３１条 事務取扱担当者及び当該事務で取扱う特定個人情報ファイルの範囲を限定するために、適切なアクセス制御を行う。
２ 会館の特定個人情報等を取扱う情報システムは、事務取扱担当者が正当なアクセス権を有する者であることを、識別した結果に基づき認証するものとする。
３ 情報システムを外部からの不正アクセス又は不正ソフトウェアから保護するため、以下の措置を講じる。
（１）情報システムと外部ネットワークとの接続箇所に、ファイアーウォール等を設置し、不正アクセスを遮断する。
（２）情報システム及び機器にセキュリティ対策ソフトウェア等（ウイルス対策ソフトウェア等）を導入する。
（３）機器やソフトウェア等に標準装備されている自動更新機能等の活用により、ソフトウェア等を最新状態とする。
（４）ログ等の分析を定期的に行い、不正アクセス等を検知する。
４ 特定個人情報等をインターネット等により外部に送信する場合、通信経路の暗号化を行うよう努める。

第８章 特定個人情報等の開示、訂正、利用停止等（特定個人情報等の開示等）
第３２条 本人から、当該本人が識別される特定個人情報等に係る保有個人データについて、書面又は口頭により、その開示（当該本人が識別される特定個人情報等に係る個人データを保有していないときにその旨を知らせることも含む、以下同じ）の申出があったときは、身分証明書等により本人であることを確認の上、開示をするものとする。但し、開示することにより次の各号のいずれかに該当する場
合は、その全部又は一部を開示しないことができる。
（１）本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（２）会館の事業の適正な実施に著しい支障を及ぼすおそれがある場合（３）他の法令に違反することとなる場合
２ 開示は、書面により行うものとする。但し、開示を申出した者の同意があるときは、書面以外の方法により開示をすることができる。
３ 特定個人情報等に係る保有個人データの開示又は不開示の決定の通知は、本人に対し、書面により6遅滞なく行うものとする。
（特定個人情報等の訂正等）
第３３条 本人から、当該本人が識別される特定個人情報等に係る保有個人データの内容が事実でないという理由によって当該特定個人情報等に係る保有個人データの内容の訂正、追加または削除（以下「訂正等」という）を求められた場合には、その内容の訂正等に関して他の法令の規定により特別の手続きが定められている場合を除き、利用目的の達成の必要な範囲において、遅滞なく必要な調査を行い、その結果に基づき、当該特定個人情報等に係る保有個人データの内容の訂正等を行うものとする。
２ 前項の規定に基づき求められた特定個人情報等に係る保有個人データの内容の訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときはその内容を含む）を通知するものとする。
３ 前項の通知を受けた者から、再度申出があったときは、前項と同様の処理を行うものとする。
４ 前第２項の規定により、本人から求められた措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、その理由を説明するよう努めるものとする。
（特定個人情報等の利用停止等）
第３４条 本人から、当該本人が識別される特定個人情報等に係る保有個人データが第１０条の規定に違反して取扱われているという理由又は第６条の規定に違反して取得されたものであるという理由によって、当該特定個人情報等に係る保有個人データの利用の停止又は消去（以下「利用停止等」という）を求められた場合、又は第１６条の規定に違反して第三者に提供されているという理由によって、当該特定個人情報等に係る保有個人データの第三者への提供の停止（以下「第三者提供の停止」という）を求められた場合で、その求めに正当な理由があることが判明したときは、遅滞なく、当該特定個人情報等に係る保有個人データの利用停止等又は第三者提供の停止を行うものとする。但し、当該特定個人情報等に係る保有個人データの利用停止等又は第三者提供の停止に多額の費用を要する場合、あるいはその他の利用停止等又は第三者提供の停止を行うことが困難な場合において、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときはこの限りでない。
２ 前項の規定に基づき求められた特定個人情報等に係る保有個人データについて、利用停止等を行ったときもしくは利用停止等を行わない旨の決定をしたとき、又は第三者提供の停止を行ったときもしくは第三者提供の停止を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知するものとする。
３ 前項の通知を受けた者から、再度申出があったときは、前項と同様の処理を行うものとする。
４ 前第２項の規定により、本人から求められた措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、その理由を説明するよう努めるものとする。

第９章 組織及び体制（事務取扱責任者）
第３５条 本規程第２０条第２項により定められた各事務における事務取扱責任者を明確にするものとする。
２ 事務取扱責任者は、次に掲げる業務を所管する。
（１）特定個人情報の利用申請の承認及び記録等の管理（２）特定個人情報等を取扱う保管媒体の設置場所の指定及び変更の管理（３）特定個人情報等の管理区分及び権限についての設定及び変更の管理（４）特定個人情報等の取扱い状況の把握（５）委託先における特定個人情報等の取扱い状況等の監督（６）特定個人情報等の管理に関する教育・研修の実施（７）特定個人情報等管理責任者に対する報告（８）その他所管部署における特定個人情報等の安全管理に関する事項
7

（特定個人情報等管理責任者）
第３６条 特的個人情報等の安全管理のため特定個人情報等管理責任者を定め、専務理事を特定個人情報等管理責任者とする。
２ 特定個人情報等管理責任者は、次に掲げる業務を所管する。
（１）特定個人情報等の安全管理に関する規程の作成及び周知（２）事務取扱責任者からの報告徴集及び助言・指導（３）特定個人情報等の適正な取扱いに関する事務取扱担当者に対する教育・研修の企画（４）その他特定個人情報等の安全管理に関する事項（苦情対応）
第３７条 特的個人情報等の取扱いに関する苦情（以下「苦情」という）について必要な体制整備を行い、苦情があったときは、適切かつ迅速な対応に努めるものとする。
２ 苦情対応の責任者は、特定個人情報等管理責任者とする。
（役職員の義務）
第３８条 役職員又は役職員であった者は、業務上知り得た特定個人情報等の内容を正当な理由なく他人に知らせ、又は不当な目的に使用してはならない。
２ 特定個人情報の漏洩、滅失もしくは毀損の発生又は兆候を把握した役職員は、その旨を特定個人情報等管理責任者に報告するものとする。
３ 本規程に違反している事実又は兆候を把握した役職員は、その旨を特定個人情報等管理責任者に報告するものとする。
４ 特定個人情報等管理責任者は、前２項による報告の内容を調査し、本規程に違反する事実が判明した場合には遅滞なく理事長に報告するとともに、関係事業部門等に適切な措置をとるよう指示するものとする。

第１０章 雑則（細則）
第３９条 本規程の運用に必要な細則等は、別途定めるものとする。
（規程の改廃）第４０条 本規程の改廃は、理事会が議決する。
附則 本規程は、平成２７年１１月２４日より施行する。
一 平成２７年１１月２４日 第１４回理事会にて制定
一 平成２８年２月９日 第１５回理事会にて一部改訂

8