第 79 回
加古川市情報公開・個人情報保護審査会（ 資 料 ）

【議題（１）関係】
１ 諮問第 51 号にかかる審査について
加古川市議会の個人情報保護制度における対応について諮問書 ････････････････････････････････････････････････････････････

１【議題（２）関係】
２ 諮問第 52 号にかかる審査について
個人情報の保護に関する法律の改正に伴う安全管理措置について
諮問書 ････････････････････････････････････････････････････････････

令和５年１月 31 日
加古川市総務部総務課

７

1

（別紙）
加古川市議会の個人情報保護制度における対応について
１

諮問の概要

加古川市が保有する個人情報については加古川市個人情報保護条例（平成10年条例第28号。以下「保護条例」という。）に基づき取り扱っているところ、令和３年５月に個人情報の保護に関する法律（平成15年法律第57号）が改正され、令和５年度からは国、民間事業者及び全ての地方公共団体等が、改正後の個人情報の保護に関する法律（以下「法」という。）に基づき、個人情報を取り扱うこととなった。
法では、原則として、議会は適用除外となっているが、「国の施策との整合性に配慮しつつ、その地方公共団体の区域の特性に応じて、…個人情報の適正な取扱いを確保するために必要な施策を策定し、及びこれを実施する責務を有する」(法第５条)とされた。これを踏まえ、法の規定を参考に、議会独自の個人情報保護条例の制定を進める必要がある。
加古川市情報公開・個人情報保護審査会条例施行規則第５条第１項第１号では、加古川市情報
公開・個人情報保護審査会（以下「審査会」という。）の所掌事務として、「情報公開制度及び個人情報保護制度の運営に関すること」と規定されているため、同号の規定により審査会へ諮問するものである。

２

基本的な考え方（１）目的
個人情報の適正な取扱いに関し必要な事項を定めるとともに、議会が保有する個人情報の開示、訂正及び利用停止を求める個人の権利を明らかにすることにより、議会の事務の適正かつ円滑な運営を図りつつ、個人の権利利益を保護することを目的とする。

（２）法との整合性の確保
全国共通の個人情報に関するルールを定めるという法の趣旨を尊重し、法の内容に沿ったものとする。

（３）市内部の統一性の確保
市民にとってわかりやすい制度とするため、議会以外の市の機関に適用される加古川市個
人情報保護法施行条例（以下「施行条例」という。
）の内容に沿ったものとする。

（４）条例の対象となる個人情報
条例は事務局の職員が作成、取得した個人情報を対象とする。議員が作成、取得した個人情報は対象としない。

2

３

加古川市議会個人情報保護条例に定める主な規定内容

（１）総則
項目
定
義

個人情報

法

議会条例（案）

保護条例

生存する個人に関する情法と同じ規定を置く

個人に関する情報で報であって、特定の個人をあって、特定の個人

識別することができるもを識別することがでの、又は個人識別符号が含

きるもの

まれるもの
個人識別

個人に関する文字、番号、 法と同じ規定を置く

符号記号その他の符号等

要配慮個

本人の人種、信条等本人に人情報対する不当な差別、偏見そ（以下の規定は収集の他の不利益が生じないを制限）ようにその取扱いに特に・思想、信条、宗教、配慮を要する記述等が含

病歴、犯罪歴等に関まれる個人情報する個人情報保有個人

行政機関等の職員が職務情報上作成、取得した情報で、法と同じ規定を置く（規定なし）（規定なし）

法と同じ規定を置く

法に同じ

法と同じ規定を置く（規定なし）

法と同じ規定を置く（規定なし）

法と同じ規定を置く（規定なし）

個人関連

個人情報、仮名加工情報、 法と同じ規定を置く（規定なし）

情報

匿名加工情報に該当しな

組織的に利用、保有するもの個人情報

保有個人情報を含む情報

ファイルの集合物であって、事務の目的を達成するために体系的に構成したもの

仮名加工

他の情報と照合しない限

情報(※)

り特定の個人を識別することができないように加
工した情報

匿名加工

特定の個人を識別するこ

情報(※)とができないように加工し、かつ復元することができないようにした情報

いもの

3

特定個人

（規定なし）

マイナンバーをそのマイナンバーをその情報（番号法によって定義さ内容に含む個人情報

内容に含む個人情報れている）（番号法との整合性
を図る）

保有特定

（規定なし）

個人情報

職員が職務上作成、取職員が職務上作成、得した特定個人情報取得した特定個人情で議会が保有するも報で実施機関が保有のするもの（番号法との整合性を図る）※ 議会の保有個人情報を加工して、仮名加工情報や匿名加工情報を作成し、流通させることは想定していないが、仮名加工情報や匿名加工情報を受領する可能性があるため、定義を設ける。

（２）個人情報等の取扱い
項目

法

議会条例（案）

利用目的の明個人情報の取得は、原則として利用目的

法と同じ規定を示、適正な取得を明示しなければならず、偽りその他不

置く

保護条例
法に同じ

正の手段による取得の禁止（第 62・64条）
安全管理措置

保有個人情報の漏えい、滅失又は毀損の法と同じ規定を防止その他の保有個人情報の安全管理

置く

法に同じ

のために必要かつ適切な措置を講じる
必要（業務委託者にも適用）（第 66 条）
従事者の義務業務に関して知り得た個人情報の内容

法と同じ規定をについて、漏えい又は不当な目的利用禁

置く

法に同じ

止（第 67 条）
漏えいの通知保有個人情報の漏えい、滅失、毀損等で 法 と 同 じ 規 定 を権利利益の損害が大きいものが生じた（規定なし）

置く

ときは本人に通知する（第 68 条２）
利用及び提供の法令に基づく場合を除き、利用目的以外

法と同じ規定を制限の目的のための個人情報の利用不可

置く（例外）本人同意があるとき、行政機関の他の業務に必要で相当の理由がある
とき、本人の利益になるときなど（第 69
条）

4

法に同じ

（３）個人情報ファイル等項目

法

議会条例（案）

保護条例

個人情報ファイ

保有個人情報ファイルについて、

法と同じ規定を（規定なし）

ル簿の作成及び名称等法定の事項を記載した帳簿置く

公表を作成・公表（対象者が 1,000 人以上となる場合）（第 75 条）（４）開示、訂正及び利用停止
項目
開
示
・
訂
正
・
利
用
停
止
請
求

請求権者

法

議会条例（案）

請求権者は本人のみ保護条例

法と同じ規定を置く

法に同じ

法と同じ規定を置く

法に同じ（法定代理人及び委任代理人
を含む）
不開示情

情報公開条例との整合性を図報の範囲るため、開示・不開示情報を条例に追加することが可能

決定期限

開示請求があった日から 30

開示請求があった日

請求日から起算し(※)

日以内（延長 30 日以内）

から 15 日以内（延長て 15 日以内（延長30 日以内）45 日以内）（施行条例との整合
性を図る）
開示請求

条例で定める額の手数料を納手数料は無料

手数料は無料におけるめなければならない（施行条例との整合（明記なし）

手数料
審査請求性を図る、明記なし）
情報公開・個人情報保護審査法と同じ規定を置く

法に同じ

会（行政不服審査法に基づく機関）に諮問（第 105 条～第107 条）※議長及び副議長が共に欠けている期間は、開示請求等における決定期限の期間に含めない。
（５）その他項目

法

議会条例（案）

個人情報の適正な取審議会その他の合議

情報公開・個人情報（規定なし）

扱いを確保するため制の機関に諮問する保護審査会に諮問（審査会は加古川市に専門的知見が必要

ことができる（施行条例との整合

情報公開・個人情報保性を図る）

護審査会条例で規定）

な場合

5

保護条例

（６）罰則項目

法

正当な理由なく２年以下の懲役、又は個人情報ファイ

100 万円以下の罰金（第ルを提供

176 条）

不正な利益を図

１年以下の懲役、又は 50

る目的で情報を万円以下の罰金（第 180

提供盗用

条）

職員が職務と異

１年以下の懲役、又は 50なる目的で秘密万円以下の罰金

文書等収集（第 181 条）

区域外における

議会条例（案）

保護条例

法と同じ規定を置く

法に同じ

法と同じ規定を置く

法に同じ

法と同じ規定を置く

法に同じ

日本国外における罪にも市の区域外における罪（規定なし）罪に対する罰則

罰則を適用（第 183 条）にも罰則を適用

不正な手段によ10 万円以下の過料（第５万円以下の過料（地り個人情報の開185 条）

方自治法の規定によ示を受けた者り、条例で規定できる過料の上限は５万円）

附則○ 施行日 令和５年４月１日とする

6

５万円以下の過料

7（別紙）
個人情報の保護に関する法律の改正に伴う安全管理措置について
１ 諮問の概要
加古川市が保有する個人情報について、令和５年度から改正後の個人情報の保護に関する法
律（以下「改正保護法」という。）に基づき、個人情報を取り扱うこととなったことに伴い、安全管理措置についての改正保護法に基づく対応が必要となった。
現在、加古川市においては、「加古川市情報セキュリティポリシー」等を踏まえ、個人情報保護も含めたセキュリティ対策を講じているが、令和５年度からは、このことに加えて、改正保護法第66条第１項により、保有個人情報の漏えい、滅失又は毀損の防止その他の保有個人情報の安全管理のために必要かつ適切な措置を行うための整備が必要である。
加古川市情報公開・個人情報保護審査会条例施行規則第５条第１号では、加古川市情報公開・個人情報保護審査会（以下「審査会」という。）の所掌事務として、「情報公開制度及び個人情報保護制度の運営に関すること」が規定されていること、及び令和５年４月１日改正（令和４年12月20日公布）の加古川市個人情報保護法施行条例第６条第２号の規定により改正
保護法第66条１項の規定に基づく講ずる措置の基準を定めようとする場合と規定されていることから審査会へ諮問するものである。

２

基本的な考え方（１）改正保護法についての事務対応ガイドとの整合性の確保
個人情報保護委員会が作成した事務対応ガイドに、保有個人情報の安全管理措置の指針が示されていることから、この指針に沿ったものとする。
（２）加古川市情報セキュリティポリシー等との整合性の確保
以下の規定に講じられている場合は、当該措置はこの指針によって講じられたものみなす。
・加古川市情報セキュリティポリシー
・加古川市教育情報セキュリティポリシー
・加古川市文書取扱規程（３）議会の取扱い
議会について、個人情報の取扱いは改正保護法の対象ではないため別途条例を定める
が、ネットワークや情報システムにおける管理は一元的に行っていることからこの指針の適用対象となる機関には含める。

8

安全管理措置
事務対応ガイド（個人情報保護委員会）
加古川市版≪案≫
4-8 （別添）行政機関等の保有する個人情報の適切 加古川市の保有する個人情報の適切な管理のためのな管理のための措置に関する指針
措置に関する指針
4-8-1 指針の意義
１ 趣旨
この指針は、法第66条第1項の規定等を踏まえ、行政機関等の保有する個人情報の安全管理のために必要かつ適切な措置として最小限のものを示すものであ
この指針は、個人情報の保護に関する法律（平成15る。各行政機関等においては、この指針を参考とし
年法律第57号。以下「法」という。）第66条第1項及て、個人情報の適切な管理に関する定めを整備する
び加古川市議会個人情報保護条例（令和４年条例第とともに、保有個人情報の漏えい等が生じた場合に●号。以下「議会条例」という。）第●条の規定に本人が被る権利利益の侵害の大きさを考慮し、事務基づき、市の機関が保有する個人情報に関し、滅失又は業務の規模及び性質、保有個人情報の取扱状況
又は毀損の防止その他の安全管理のために講じる必（取り扱う保有個人情報の性質及び量を含む。）、
要かつ適切な措置について定めるものとする。
保有個人情報を記録した媒体の性質等に起因するリ
スクに応じて、個人情報の安全管理のために必要か
つ適切な措置を講じなければならない。
２ 定義
この指針における用語の意義は、法及び議会条例の例による。
２－２ 適用対象等（1）この指針の対象となる市の機関は、市長、上下水道事業管理者、消防長、選挙管理委員会、公平委
員会、監査委員、農業委員会、教育委員会、固定資産評価審査委員会及び議会とする。
（2）この指針の規定により総括保護責任者、保護管理責任者、保護管理者又は職員が講ずべき措置と同等の措置が、加古川市情報セキュリティポリシー若
しくは加古川市教育情報セキュリティポリシー又は
加古川市文書取扱規程（昭和63年訓令甲第７号）の規定により講じられている場合は、当該措置はこの指針によって講じられたものとみなす。
4-8-2 管理体制

３ 管理体制【総括保護管理者】【総括保護責任者】（1） 各行政機関等に、総括保護管理者を一人置くこととし、組織を通じて保有個人情報の管理の任に当たる者として適当と判断される者（官房長、総務担当役員等）をもって充てる。
総括保護管理者は、行政機関の長等を補佐し、各行政機関等における保有個人情報の管理に関する事務を総括する任に当たる。なお、各府省に設置される公文書監理官が個人情報の保護に関する事務を担当する場合には、公文書監理官は、総括保護管理者を助け、各府省における保有個人情報の管理の実質責任者としての任に当たる。

（1） 市の機関の保有個人情報に関し、その取扱いを管理する事務を統括する任に当たるため、総括保護責任者を置き、総務部を所管する副市長をもって充てる。

【保護管理責任者】（２）総括保護責任者を補佐し、保護管理者を管理監督するため、保護管理責任者を置き、別表第１に掲げる者をもって充てる。
【別表第１】
秘書室長、防災部長、企画部長、総務部長、税務部長、市民協働部長、産業経済部長、環境部長、福祉部長、健康医療部長、こども部長、建設部長、都市計画部長、会計室長、上下水道局長、消防次長、議会事務局長、選挙管理委員会事務局長、公平委員会事務局長、監査事務局長、農業委員会事務局長、教育総務部長、教育指導部長

9安全管理措置
事務対応ガイド（個人情報保護委員会）【保護管理者】

加古川市版≪案≫【保護管理者】（３）保有個人情報を取り扱う課等（加古川市事務分掌規則（昭和44年規則第24号）第４条第１項に規定する課等並びに同条第２項に規定する市民セン
ター、こども療育センター、市立認定こども園及び市立保育所、加古川市会計管理者の補助組織設置規則（平成20年規則第28号）第２条第２項に規定する
会計課、加古川市上下水道局の分課規程（昭和39年
水道事業管理規程第1号）第２条に規定する課、加古
川市消防本部組織に関する規則（昭和42年規則第22号）第７条に規定する課及び防災センター並びに消（2） 保有個人情報を取り扱う各課室等に、保護管防署組織規程（昭和49年消防本部訓令第１号）第１
理者を一人置くこととし、当該課室等の長又はこれ条に規定する消防署、選挙管理委員会事務局、公平に代わる者をもって充てる。
委員会事務局、監査事務局、農業委員会事務局、加古川市教育委員会事務局事務分掌規則（昭和61年教育委員会規則第３号）第２条に規定する課等並びに市立幼稚園、小学校、中学校及び特別支援学校並びに加古川市議会事務局処務規程（昭和42年議会規程第２号）第２条に規程する課をいう。以下同じ。）に、保有個人情報を適正に管理する任に当たる保護管理者を置き、課等の長（選挙管理委員会事務局、公平委員会事務局、監査事務局、農業委員会事務局にあっては次長）をもって充てる。
保護管理者は、各課室等における保有個人情報の適切な管理を確保する任に当たる。保有個人情報を情保護管理者は、課等における保有個人情報の適切な報システムで取り扱う場合、保護管理者は、当該情管理を確保する任に当たる。
報システムの管理者と連携して、その任に当たる（注）。
（注）例えば、4-8-6（情報システムにおける安全の確保等）、4-8-7（情報システム室等の安全管理）、
4-8-11（安全管理上の問題への対応）（2）、4-8-12（監査及び点検の実施）（2）及び（3）その他保有
個人情報を情報システムで取り扱う場合、保護管理者は、情報システムの管理者と連携して、それぞれの措置を講ずる。
【保護担当者】【課等の副課長、係長等】（3） 保有個人情報を取り扱う各課室等に、当該課室等の保護管理者が指定する保護担当者を一人又は複数人置く。保護担当者は、保護管理者を補佐し、各課室等における保有個人情報の管理に関する事務を担当する。
【監査責任者】（4） 各行政機関等に、監査責任者を一人置くこととし、内部監査等を担当する部局の長、幹事等をもって充てる。
監査責任者は、保有個人情報の管理の状況について監査する任に当たる。
【保有個人情報の適切な管理のための委員会】（5） 総括保護管理者は、保有個人情報の管理に係る重要事項の決定、連絡・調整等を行うため必要があると認めるときは、関係職員を構成員とする委員会を設け、定期に又は随時に開催する。なお、必要に応じて情報セキュリティ等について専門的な知識及び経験を有する者等の参加を求めることが望ましい。

（４） 保有個人情報を取り扱う課等の副課長、担当
副課長、係長及び担当係長等（以下「副課長等」という。）は、それぞれの職責に応じて、保護管理者を補佐し、課等の職員の保有個人情報の取扱いを管理監督するものとする。
【監査責任者】（５）保有個人情報の管理の状況について監査する任に当たるため、監査責任者を置き、総務部長をもって充てる。

【保有個人情報管理委員会】（６）総括保護責任者は、保有個人情報の管理に係る重要事項の決定、連絡・調整等を行うため必要があると認めるときは、保護管理責任者を構成員とする委員会に諮るものとする。

10

安全管理措置
事務対応ガイド（個人情報保護委員会）
4-8-3 教育研修
（1） 総括保護管理者は、保有個人情報の取扱いに従事する職員（派遣労働者（注）を含む。以下同じ。）に対し、保有個人情報の取扱いについて理解を深め、個人情報の保護に関する意識の高揚を図る
ための啓発その他必要な教育研修を行う。
（注）派遣労働者についても、従事者の義務（法第67条）が適用されるところであり、保有個人情報の取扱いに従事する派遣労働者についての労働者派遣
契約は、保有個人情報の適切な取扱いを行うことに配慮されたものとする必要がある。
（2） 総括保護管理者は、保有個人情報を取り扱う
情報システムの管理に関する事務に従事する職員に対し、保有個人情報の適切な管理のために、情報シ
ステムの管理、運用及びセキュリティ対策に関して必要な教育研修を行う。

加古川市版≪案≫
４ 教育研修（1） 総括保護管理者は、保有個人情報の取扱いに従事する職員（派遣労働者（注）を含む。以下同じ。）に対し、保有個人情報の取扱いについて理解を深め、個人情報の保護に関する意識の高揚を図る
ための啓発その他必要な教育研修を行う。
（注）派遣労働者についても、従事者の義務（法第67条）が適用されるところであり、保有個人情報の取扱いに従事する派遣労働者についての労働者派遣
契約は、保有個人情報の適切な取扱いを行うことに配慮されたものとする必要がある。
（2） 総括保護管理者は、保有個人情報を取り扱う
情報システムの管理に関する事務に従事する職員に対し、保有個人情報の適切な管理のために、情報シ
ステムの管理、運用及びセキュリティ対策に関して必要な教育研修を行う。

（3） 総括保護管理者は、保護管理者及び保護担当 （3） 総括保護管理者は、保護管理者に対し、課等者に対し、課室等の現場における保有個人情報の適 の現場における保有個人情報の適切な管理のための切な管理のための教育研修を定期的に実施する。
教育研修を定期的に実施する。
（4） 保護管理者は、当該課室等の職員に対し、保有個人情報の適切な管理のために、総括保護管理者の実施する教育研修への参加の機会を付与する等の必要な措置を講ずる。
4-8-4 職員の責務（4） 保護管理者は、課等の職員に対し、保有個人情報の適切な管理のために、総括保護管理者の実施する教育研修への参加の機会を付与する等の必要な措置を講ずる。
５ 職員の責務

職員は、法の趣旨にのっとり、関連する法令及び規程等の定め並びに総括保護管理者、保護管理者及び保護担当者の指示に従い、保有個人情報を取り扱わなければならない。

職員は、法及び議会条例の趣旨にのっとり、関連する法令及び規程等の定め並びに総括保護管理者、保護管理責任者、保護管理者及び副課長等の指示に従い、保有個人情報を取り扱わなければならない。

4-8-5 保有個人情報の取扱い【アクセス制限】

６ 保有個人情報の取扱い【アクセス制限】（1） 保護管理者は、保有個人情報の秘匿性等その内容（注）に応じて、当該保有個人情報にアクセスする権限を有する職員の範囲と権限の内容を、当該職員が業務を行う上で必要最小限の範囲に限る。

（1） 保護管理者は、保有個人情報の秘匿性等その内容（注）に応じて、当該保有個人情報にアクセスする権限を有する職員の範囲と権限の内容を、当該職員が業務を行う上で必要最小限の範囲に限る。

（注）特定の個人の識別の容易性の程度、要配慮個 （注）特定の個人の識別の容易性の程度、要配慮個
人情報の有無、漏えい等が発生した場合に生じ得る 人情報の有無、漏えい等が発生した場合に生じ得る被害の性質・程度などを考慮する。以下同じ。
被害の性質・程度などを考慮する。以下同じ。
（2） アクセス権限を有しない職員は、保有個人情報にアクセスしてはならない。
（3） 職員は、アクセス権限を有する場合であっても、業務上の目的以外の目的で保有個人情報にアクセスしてはならず、アクセスは必要最小限としなけ
ればならない。
【複製等の制限】（2） アクセス権限を有しない職員は、保有個人情報にアクセスしてはならない。
（3） 職員は、アクセス権限を有する場合であっても、業務上の目的以外の目的で保有個人情報にアクセスしてはならず、アクセスは必要最小限としなけ
ればならない。
【複製等の制限】（4） 職員が業務上の目的で保有個人情報を取り扱う場合であっても、保護管理者は、次の行為については、当該保有個人情報の秘匿性等その内容に応じて、当該行為を行うことができる場合を必要最小限に限定し、職員は、保護管理者の指示に従い行う。

（4） 職員が業務上の目的で保有個人情報を複製及び送信する場合は、誤配布、誤送付等がないように慎重に取り扱う。また、保有個人情報が記録されている媒体を外部へ送付し、又は持ち出す場合、その他保有個人情報の適切な管理に支障を及ぼすおそれのある場合は、保護管理者の指示に従い行う。

① 保有個人情報の複製② 保有個人情報の送信③ 保有個人情報が記録されている媒体の外部への送付又は持ち出し④ その他保有個人情報の適切な管理に支障を及ぼす
おそれのある行為11

安全管理措置
事務対応ガイド（個人情報保護委員会）【誤りの訂正等】（5） 職員は、保有個人情報の内容に誤り等を発見した場合には、保護管理者の指示に従い、訂正等を行う。
【媒体の管理等】

加古川市版≪案≫【誤りの訂正等】（5） 職員は、保有個人情報の内容に誤り等を発見した場合には、上司の指示に従い、訂正等を行う。
【媒体の管理等】（6） 職員は、保護管理者の指示に従い、保有個人 （6） 職員は、保護管理者の指示に従い、保有個人情報が記録されている媒体を定められた場所に保管 情報が記録されている媒体を定められた場所に保管するとともに、必要があると認めるときは、耐火金 するとともに、必要があると認めるときは、耐火金庫への保管、施錠等を行う。また、保有個人情報が 庫への保管、施錠等を行う。また、保有個人情報が記録されている媒体を外部へ送付し又は持ち出す場 記録されている媒体を外部へ送付し又は持ち出す場
合には、原則として、パスワード等（パスワード、 合には、原則として、パスワード等（パスワード、
IC カード、生体情報等をいう。以下同じ。）を使用 IC カード、生体情報等をいう。以下同じ。）を使用
して権限を識別する機能（以下「認証機能」とい
して権限を識別する機能（以下「認証機能」という。）を設定する等のアクセス制御のために必要な う。）を設定する等のアクセス制御のために必要な措置を講ずる。
措置を講ずる。
【誤送付等の防止】【誤送付等の防止】（7） 職員は、保有個人情報を含む電磁的記録又は （7） 職員は、保有個人情報を含む電磁的記録又は媒体（注）の誤送信・誤送付、誤交付、又はウェブ 媒体（注）の誤送信・誤送付、誤交付、又はウェブサイト等への誤掲載を防止するため、個別の事務・ サイト等への誤掲載を防止するため、個別の事務・事業において取り扱う個人情報の秘匿性等その内容 事業において取り扱う個人情報の秘匿性等その内容に応じ、複数の職員による確認やチェックリストの に応じ、複数の職員による確認やチェックリストの活用等の必要な措置を講ずる。
活用等の必要な措置を講ずる。
（注）文書の内容だけでなく、付加情報（PDF ファ （注）文書の内容だけでなく、付加情報（PDF ファ
イルの「しおり機能表示」やプロパティ情報等）に イルの「しおり機能表示」やプロパティ情報等）に個人情報が含まれている場合があることに注意す
個人情報が含まれている場合があることに注意す
る。
る。
【廃棄等】
【廃棄等】
（8） 職員は、保有個人情報又は保有個人情報が記 （8） 職員は、保有個人情報又は保有個人情報が記録されている媒体（端末及びサーバに内蔵されてい 録されている媒体（端末及びサーバに内蔵されているものを含む。）が不要となった場合には、保護管 るものを含む。）が不要となった場合には、保護管理者の指示に従い、当該保有個人情報の復元又は判 理者の指示に従い、当該保有個人情報の復元又は判読が不可能な方法により当該情報の消去又は当該媒 読が不可能な方法により当該情報の消去又は当該媒体の廃棄を行う。
体の廃棄を行う。
特に、保有個人情報の消去や保有個人情報が記録されている媒体の廃棄を委託する場合（二以上の段階にわたる委託を含む。）には、必要に応じて職員が消去及び廃棄に立ち会い、又は写真等を付した消去
及び廃棄を証明する書類を受け取るなど、委託先において消去及び廃棄が確実に行われていることを確認する。
【保有個人情報の取扱状況の記録】（9） 保護管理者は、保有個人情報の秘匿性等その内容に応じて、台帳等を整備して、当該保有個人情報の利用及び保管等の取扱いの状況について記録する。
【外的環境の把握】

特に、保有個人情報の消去や保有個人情報が記録されている媒体の廃棄を委託する場合（二以上の段階にわたる委託を含む。）には、必要に応じて職員が消去及び廃棄に立ち会い、又は写真等を付した消去
及び廃棄を証明する書類を受け取るなど、委託先において消去及び廃棄が確実に行われていることを確認する。
【保有個人情報の取扱状況の記録】（9） 保護管理者は、保有個人情報の秘匿性等その内容に応じて、台帳等を整備して、当該保有個人情報の利用及び保管等の取扱いの状況について記録する。
【外的環境の把握】（10） 保有個人情報が、外国（※）において取り扱 （10） 保有個人情報が、外国（※）において取り扱われる場合、当該外国の個人情報の保護に関する制 われる場合、当該外国の個人情報の保護に関する制度等を把握した上で、保有個人情報の安全管理のた 度等を把握した上で、保有個人情報の安全管理のために必要かつ適切な措置を講じなければならない。 めに必要かつ適切な措置を講じなければならない。
（※）近年、行政機関等においても民間事業者が提供するクラウドサービスを利用する場合があり得る
ところであり、こうした場合においてはクラウドサービス提供事業者が所在する外国及び個人データが保存されるサーバが所在する外国が該当する。

（※）近年、行政機関等においても民間事業者が提供するクラウドサービスを利用する場合があり得る
ところであり、こうした場合においてはクラウドサービス提供事業者が所在する外国及び個人データが保存されるサーバが所在する外国が該当する。

1212

安全管理措置
事務対応ガイド（個人情報保護委員会）
4-8-6 情報システムにおける安全の確保等

加古川市版≪案≫
７ 情報システムにおける安全の確保等【対象】「７ 情報システムにおける安全の確保等」「８情報システム室等の安全管理」において対象とする保護管理者は、加古川市情報セキュリティポリシー
に規定する情報システム管理者及び加古川市教育情報セキュリティポリシーに規定する教育情報システム管理者である保護管理者とする。
【アクセス制御】【アクセス制御】（1） 保護管理者は、保有個人情報（情報システム （1） 保護管理者は、保有個人情報（情報システム
で取り扱うものに限る。以下4-8-6（情報システムに で取り扱うものに限る。以下「７ 情報システムにおける安全の確保等）（（16）を除く。）において おける安全の確保等」（（16）を除く。）において同じ。）の秘匿性等その内容に応じて、認証機能を 同じ。）の秘匿性等その内容に応じて、認証機能を設定する等のアクセス制御のために必要な措置を講 設定する等のアクセス制御のために必要な措置を講ずる（注）。
ずる（注）。
（注）アクセス制御の措置内容は、4-8-5（保有個人 （注）アクセス制御の措置内容は、「６ 保有個人情報の取扱い）（1）により設定した必要最小限のア 情報の取扱い（1）」により設定した必要最小限のア
クセス権限を具体化するものである必要がある。
クセス権限を具体化するものである必要がある。

（2） 保護管理者は、上記（1）の措置を講ずる場合 （2） 保護管理者は、上記（1）の措置を講ずる場合には、パスワード等の管理に関する定めを整備（そ には、パスワード等の管理に関する定めを整備（その定期又は随時の見直しを含む。）するとともに、 の定期又は随時の見直しを含む。）するとともに、
パスワード等の読取防止等を行うために必要な措置 パスワード等の読取防止等を行うために必要な措置
を講ずる。
を講ずる。

【アクセス記録】【アクセス記録】（3） 保護管理者は、保有個人情報の秘匿性等その内容に応じて、当該保有個人情報へのアクセス状況を記録し、その記録（以下「アクセス記録」という。）を一定の期間保存し、及びアクセス記録を定期的に分析するために必要な措置を講ずる。

（3） 保護管理者は、保有個人情報の秘匿性等その内容に応じて、当該保有個人情報へのアクセス状況を記録し、その記録（以下「アクセス記録」という。）を一定の期間保存し、及びアクセス記録を定期的に分析するために必要な措置を講ずる。

（4） 保護管理者は、アクセス記録の改ざん、窃取又は不正な消去の防止のために必要な措置を講ずる。
【アクセス状況の監視】（5） 保護管理者は、保有個人情報の秘匿性等その内容及びその量に応じて、当該保有個人情報への不適切なアクセスの監視のため、保有個人情報を含む
又は含むおそれがある一定量以上の情報が情報シス
テムからダウンロードされた場合に警告表示がなされる機能の設定、当該設定の定期的確認等の必要な措置を講ずる。
【管理者権限の設定】（6） 保護管理者は、保有個人情報の秘匿性等その内容に応じて、情報システムの管理者権限の特権を不正に窃取された際の被害の最小化及び内部からの不正操作等の防止のため、当該特権を最小限とする
等の必要な措置を講ずる。
【外部からの不正アクセスの防止】（7） 保護管理者は、保有個人情報を取り扱う情報システムへの外部からの不正アクセスを防止するため、ファイアウォールの設定による経路制御等の必要な措置を講ずる。

（4） 保護管理者は、アクセス記録の改ざん、窃取又は不正な消去の防止のために必要な措置を講ずる。
【アクセス状況の監視】（5） 保護管理者は、保有個人情報の秘匿性等その内容及びその量に応じて、当該保有個人情報への不適切なアクセスの監視のため、保有個人情報を含む
又は含むおそれがある一定量以上の情報が情報シス
テムからダウンロードされた場合に警告表示がなされる機能の設定、当該設定の定期的確認等の必要な措置を講ずる。
【管理者権限の設定】（6） 保護管理者は、保有個人情報の秘匿性等その内容に応じて、情報システムの管理者権限の特権を不正に窃取された際の被害の最小化及び内部からの不正操作等の防止のため、当該特権を最小限とする
等の必要な措置を講ずる。
【外部からの不正アクセスの防止】（7） 保護管理者は、保有個人情報を取り扱う情報システムへの外部からの不正アクセスを防止するため、ファイアウォールの設定による経路制御等の必要な措置を講ずる。

13 13
13

安全管理措置
事務対応ガイド（個人情報保護委員会）【不正プログラムによる漏えい等の防止】

加古川市版≪案≫【不正プログラムによる漏えい等の防止】（8） 保護管理者は、不正プログラムによる保有個
人情報の漏えい等の防止のため、ソフトウェアに関する公開された脆弱性の解消、把握された不正プロ
グラムの感染防止等に必要な措置（導入したソフト
ウェアを常に最新の状態に保つことを含む。）を講ずる。

（8） 保護管理者は、不正プログラムによる保有個
人情報の漏えい等の防止のため、ソフトウェアに関する公開された脆弱性の解消、把握された不正プロ
グラムの感染防止等に必要な措置（導入したソフト
ウェアを常に最新の状態に保つことを含む。）を講ずる。

【情報システムにおける保有個人情報の処理】【情報システムにおける保有個人情報の処理】（9） 職員は、保有個人情報について、一時的に加工等の処理を行うため複製等を行う場合には、その対象を必要最小限に限り、処理終了後は不要となった情報を速やかに消去する。保護管理者は、当該保有個人情報の秘匿性等その内容に応じて、随時、消去等の実施状況を重点的に確認する。

（9） 職員は、保有個人情報について、一時的に加工等の処理を行うため複製等を行う場合には、その対象を必要最小限に限り、処理終了後は不要となった情報を速やかに消去する。保護管理者は、当該保有個人情報の秘匿性等その内容に応じて、随時、消去等の実施状況を重点的に確認する。

【暗号化】

【暗号化】

（10） 保護管理者は、保有個人情報の秘匿性等その （10） 保護管理者は、保有個人情報の秘匿性等その内容に応じて、暗号化のために必要な措置を講ず
内容に応じて、暗号化のために必要な措置を講ずる。職員（注）は、これを踏まえ、その処理する保 る。職員（注）は、これを踏まえ、その処理する保有個人情報について、当該保有個人情報の秘匿性等 有個人情報について、当該保有個人情報の秘匿性等
その内容に応じて、適切に暗号化を行う。
その内容に応じて、適切に暗号化を行う。
（注）職員が行う暗号化には、適切なパスワードの （注）職員が行う暗号化には、適切なパスワードの選択、その漏えい防止の措置等が含まれる。
選択、その漏えい防止の措置等が含まれる。
【記録機能を有する機器・媒体の接続制限】【記録機能を有する機器・媒体の接続制限】（11） 保護管理者は、保有個人情報の秘匿性等その （11） 保護管理者は、保有個人情報の秘匿性等その内容に応じて、当該保有個人情報の漏えい等の防止 内容に応じて、当該保有個人情報の漏えい等の防止のため、スマートフォン、USB メモリ等の記録機能 のため、スマートフォン、USB メモリ等の記録機能を有する機器・媒体の情報システム端末等への接続 を有する機器・媒体の情報システム端末等への接続の制限（当該機器の更新への対応を含む。）等の必 の制限（当該機器の更新への対応を含む。）等の必要な措置を講ずる。
要な措置を講ずる。
【端末の限定】【端末の限定】（12） 保護管理者は、保有個人情報の秘匿性等その （12） 保護管理者は、保有個人情報の秘匿性等その内容に応じて、その処理を行う端末を限定するため 内容に応じて、その処理を行う端末を限定するために必要な措置を講ずる。
に必要な措置を講ずる。
【端末の盗難防止等】【端末の盗難防止等】（13） 保護管理者は、端末の盗難又は紛失の防止の （13） 保護管理者は、端末の盗難又は紛失の防止のため、端末の固定、執務室の施錠等の必要な措置を ため、端末の固定、執務室の施錠等の必要な措置を
講ずる。
講ずる。
（14） 職員は、保護管理者が必要であると認めると （14） 職員は、保護管理者が必要であると認めるときを除き、端末を外部へ持ち出し、又は外部から持 きを除き、端末を外部へ持ち出し、又は外部から持ち込んではならない。
ち込んではならない。
【第三者の閲覧防止】【第三者の閲覧防止】（15） 職員は、端末の使用に当たっては、保有個人 （15） 職員は、端末の使用に当たっては、保有個人情報が第三者に閲覧されることがないよう、使用状 情報が第三者に閲覧されることがないよう、使用状
況に応じて情報システムからログオフを行うことを 況に応じて情報システムからログオフを行うことを徹底する等の必要な措置を講ずる。
徹底する等の必要な措置を講ずる。
【入力情報の照合等】【入力情報の照合等】（16） 職員は、情報システムで取り扱う保有個人情 （16） 職員は、情報システムで取り扱う保有個人情報の重要度に応じて、入力原票と入力内容との照報の重要度に応じて、入力原票と入力内容との照合、処理前後の当該保有個人情報の内容の確認、既 合、処理前後の当該保有個人情報の内容の確認、既存の保有個人情報との照合等を行う。
存の保有個人情報との照合等を行う。
【バックアップ】【バックアップ】（17） 保護管理者は、保有個人情報の重要度に応じ （17） 保護管理者は、保有個人情報の重要度に応じて、バックアップを作成し、分散保管するために必 て、バックアップを作成し、分散保管するために必要な措置を講ずる。
要な措置を講ずる。
【情報システム設計書等の管理】【情報システム設計書等の管理】（18） 保護管理者は、保有個人情報に係る情報シス （18） 保護管理者は、保有個人情報に係る情報シス
テムの設計書、構成図等の文書について外部に知ら テムの設計書、構成図等の文書について外部に知られることがないよう、その保管、複製、廃棄等につ れることがないよう、その保管、複製、廃棄等について必要な措置を講ずる。
いて必要な措置を講ずる。

14

安全管理措置
事務対応ガイド（個人情報保護委員会）
4-8-7 情報システム室等の安全管理【入退管理】

加古川市版≪案≫
８ 情報システム室等の安全管理【入退管理】（1） 保護管理者は、保有個人情報を取り扱う基幹的なサーバ等の機器を設置する室その他の区域（以下「情報システム室等」という。）に立ち入る権限を有する者を定めるとともに、用件の確認、入退の記録、部外者についての識別化、部外者が立ち入る
場合の職員の立会い又は監視設備による監視、外部
電磁的記録媒体等の持込み、利用及び持ち出しの制限又は検査等の措置を講ずる。また、保有個人情報を記録する媒体を保管するための施設を設けている
場合においても、必要があると認めるときは、同様の措置を講ずる。

（1） 保護管理者は、保有個人情報を取り扱う基幹的なサーバ等の機器を設置する場所その他の区域（以下「情報システム室等」という。）に立ち入る
権限を有する者を定めるとともに、用件の確認、入退の記録、部外者についての識別化、部外者が立ち入る場合の職員の立会い又は監視設備による監視、
外部電磁的記録媒体等の持込み、利用及び持ち出しの制限又は検査等の措置を講ずる。また、保有個人情報を記録する媒体を保管するための施設を設けている場合においても、必要があると認めるときは、同様の措置を講ずる。

（2） 保護管理者は、必要があると認めるときは、 （2） 保護管理者は、必要があると認めるときは、
情報システム室等の出入口の特定化による入退の管 情報システム室等の出入口の特定化による入退の管理の容易化、所在表示の制限等の措置を講ずる。
理の容易化、所在表示の制限等の措置を講ずる。
（3） 保護管理者は、情報システム室等及び保管施設の入退の管理について、必要があると認めるとき
は、立入りに係る認証機能を設定し、及びパスワー
ド等の管理に関する定めの整備（その定期又は随時の見直しを含む。）、パスワード等の読取防止等を行うために必要な措置を講ずる。
【情報システム室等の管理】（4） 保護管理者は、外部からの不正な侵入に備え、情報システム室等に施錠装置、警報装置及び監視設備の設置等の措置を講ずる。
（5） 保護管理者は、災害等に備え、情報システム
室等に、耐震、防火、防煙、防水等の必要な措置を講ずるとともに、サーバ等の機器の予備電源の確保、配線の損傷防止等の措置を講ずる。
4-8-8 保有個人情報の提供【保有個人情報の提供】（3） 保護管理者は、情報システム室等及び保管施設の入退の管理について、必要があると認めるとき
は、立入りに係る認証機能を設定し、及びパスワー
ド等の管理に関する定めの整備（その定期又は随時の見直しを含む。）、パスワード等の読取防止等を行うために必要な措置を講ずる。
【情報システム室等の管理】（4） 保護管理者は、外部からの不正な侵入に備え、情報システム室等に施錠装置、警報装置及び監視設備の設置等の措置を講ずる。
（5） 保護管理者は、災害等に備え、情報システム
室等に、耐震、防火、防煙、防水等の必要な措置を講ずるとともに、サーバ等の機器の予備電源の確保、配線の損傷防止等の措置を講ずる。
９ 保有個人情報の提供【保有個人情報の提供】（1） 保護管理者は、法第69条第２項第３号及び第（1） 保護管理者は、法第69条第2項第3号及び第4号４号並びに議会条例第●条第●項第●号の規定に基の規定に基づき行政機関等以外の者に保有個人情報
づき行政機関等以外の者に保有個人情報を提供するを提供する場合には、法第70条の規定に基づき、原場合には、法第70条の規定に基づき、原則として、則として、提供先における利用目的、利用する業務
提供先における利用目的、利用する業務の根拠法の根拠法令、利用する記録範囲及び記録項目、利用
令、利用する記録範囲及び記録項目、利用形態等に形態等について提供先との間で書面（電磁的記録をついて提供先との間で書面（電磁的記録を含む。）
含む。）を取り交わす。
を取り交わす。
（2） 保護管理者は、法第69条第２項第３号及び第（2） 保護管理者は、法第69条第2項第3号及び第4号４号並びに議会条例第●条第●項第●号の規定に基の規定に基づき行政機関等以外の者に保有個人情報
づき行政機関等以外の者に保有個人情報を提供するを提供する場合には、法第70条の規定に基づき、安場合には、法第70条の規定に基づき、安全確保の措
全確保の措置を要求するとともに、必要があると認置を要求するとともに、必要があると認めるときめるときは、提供前又は随時に実地の調査等を行は、提供前又は随時に実地の調査等を行い、措置状
い、措置状況を確認してその結果を記録するととも況を確認してその結果を記録するとともに、改善要に、改善要求等の措置を講ずる。
求等の措置を講ずる。
（3） 保護管理者は、法第69 条第2 項第3 号の規定 （3） 保護管理者は、法第69条第２項第３号及び議に基づき他の行政機関等に保有個人情報を提供する 会条例第●条第●項第●号の規定に基づき他の行政場合において、必要があると認めるときは、法第70 機関等に保有個人情報を提供する場合において、必条の規定に基づき、上記（1）及び（2）に規定する 要があると認めるときは、法第70条の規定に基づ措置を講ずる。
き、上記（1）及び（2）に規定する措置を講ずる。

15

安全管理措置
事務対応ガイド（個人情報保護委員会）
加古川市版≪案≫
4-8-9 個人情報の取扱いの委託
10 個人情報の取扱いの委託【業務の委託等】【業務の委託等】（1） 個人情報の取扱いに係る業務を外部に委託（1） 個人情報の取扱いに係る業務を外部に委託（注1）する場合には、個人情報の適切な管理を行う （注1）する場合には、個人情報の適切な管理を行う能力を有しない者を選定することがないよう、必要 能力を有しない者を選定することがないよう、必要な措置（注2）を講ずる。また、契約書に、次の事項 な措置（注2）を講ずる。また、契約書に、次の事項を明記するとともに、委託先における責任者及び業 を明記するとともに、委託先における責任者及び業務従事者の管理体制及び実施体制、個人情報の管理 務従事者の管理体制及び実施体制、個人情報の管理の状況についての検査に関する事項等の必要な事項 の状況についての検査に関する事項等の必要な事項について書面で確認する。
について書面で確認する。
① 個人情報に関する秘密保持、利用目的以外の目的 ① 個人情報に関する秘密保持、利用目的以外の目的のための利用の禁止等の義務のための利用の禁止等の義務② 再委託（再委託先が委託先の子会社（会社法（平 ② 再委託（再委託先が委託先の子会社（会社法（平成17年法律第86号）第2条第1項第3号に規定する子会 成17年法律第86号）第２条第１項第３号に規定する社をいう。）である場合も含む。4-8-9（個人情報の 子会社をいう。）である場合も含む。「10 個人情
取扱いの委託）（1）及び（4）において同じ。）
報の取扱いの委託」（1）及び（4）において同（※）の制限又は事前承認等再委託に係る条件に関 じ。）（※）の制限又は事前承認等再委託に係る条する事項
件に関する事項（※）委託先との契約書に、再委託に際して再委託 （※）委託先との契約書に、再委託に際して再委託先に求める事項は、再委託先が子会社である場合
先に求める事項は、再委託先が子会社である場合も、同様に求めるべきことを明記すること。
も、同様に求めるべきことを明記すること。

③ 個人情報の複製等の制限に関する事項③ 個人情報の複製等の制限に関する事項④ 個人情報の安全管理措置に関する事項④ 個人情報の安全管理措置に関する事項⑤ 個人情報の漏えい等の事案の発生時における対応 ⑤ 個人情報の漏えい等の事案の発生時における対応に関する事項に関する事項⑥ 委託終了時における個人情報の消去及び媒体の返 ⑥ 委託終了時における個人情報の消去及び媒体の返却に関する事項
却に関する事項⑦ 法令及び契約に違反した場合における契約解除、 ⑦ 法令及び契約に違反した場合における契約解除、損害賠償責任その他必要な事項（注3）
損害賠償責任その他必要な事項（注3）⑧ 契約内容の遵守状況についての定期的報告に関す ⑧ 契約内容の遵守状況についての定期的報告に関する事項及び委託先における委託された個人情報の取 る事項及び委託先における委託された個人情報の取扱状況を把握するための監査等に関する事項
扱状況を把握するための監査等に関する事項（再委（再委託先の監査等に関する事項を含む。）
託先の監査等に関する事項を含む。）（注1）「委託」とは、契約の形態・種類を問わず、 （注1）「委託」とは、契約の形態・種類を問わず、行政機関等が他の者に個人情報の取扱いを行わせる 市が他の者に個人情報の取扱いを行わせることをいことをいう。具体的には、個人情報の入力（本人か う。具体的には、個人情報の入力（本人からの取得
らの取得を含む。）、編集、分析、出力等の処理を を含む。）、編集、分析、出力等の処理を行うこと行うことを委託すること等が想定されるが、これら を委託すること等が想定されるが、これらに限られに限られない。
ない。
（注2）例えば、4-8-10（サイバーセキュリティの確 （注2）例えば、「11 サイバーセキュリティの確保）に記載したサイバーセキュリティに関する対策 保」に記載したサイバーセキュリティに関する対策の基準等を参考に、委託先によるアクセスを認める の基準等を参考に、委託先によるアクセスを認める
情報及び情報システムの範囲を判断する基準や委託 情報及び情報システムの範囲を判断する基準や委託先の選定基準を整備すること等が挙げられる。
先の選定基準を整備すること等が挙げられる。
（注3）準拠法や裁判管轄について日本国内法令とす （注3）準拠法や裁判管轄について日本国内法令とす
べきかについてもあらかじめ検討する必要がある。 べきかについてもあらかじめ検討する必要がある。
（2） 保有個人情報の取扱いに係る業務を外部に委託する場合には、取扱いを委託する個人情報の範囲
は、委託する業務内容に照らして必要最小限でなければならない。

（2） 保有個人情報の取扱いに係る業務を外部に委託する場合には、取扱いを委託する個人情報の範囲
は、委託する業務内容に照らして必要最小限でなければならない。

16

安全管理措置
事務対応ガイド（個人情報保護委員会）（3） 保有個人情報の取扱いに係る業務を外部に委託する場合には、委託する業務に係る保有個人情報の秘匿性等その内容やその量等に応じて、作業の管理体制及び実施体制や個人情報の管理の状況について、少なくとも年1 回以上、原則として実地検査により確認する。

加古川市版≪案≫（3） 保有個人情報の取扱いに係る業務を外部に委託する場合には、委託する業務に係る保有個人情報の秘匿性等その内容やその量等に応じて、作業の管理体制及び実施体制や個人情報の管理の状況について、少なくとも年１回以上、原則として実地検査により確認する。

（4） 委託先において、保有個人情報の取扱いに係 （4） 委託先において、保有個人情報の取扱いに係る業務が再委託される場合には、委託先に上記（1） る業務が再委託される場合には、委託先に上記（1）の措置を講じさせるとともに、再委託される業務に の措置を講じさせるとともに、再委託される業務に係る保有個人情報の秘匿性等その内容に応じて、委 係る保有個人情報の秘匿性等その内容に応じて、委託先を通じて又は委託元自らが上記（3）の措置を実 託先を通じて又は委託元自らが上記（3）の措置を実施する。保有個人情報の取扱いに係る業務について 施する。保有個人情報の取扱いに係る業務について
再委託先が再々委託を行う場合以降も同様とする。 再委託先が再々委託を行う場合以降も同様とする。
（5） 保有個人情報の取扱いに係る業務を派遣労働者によって行わせる場合には、労働者派遣契約書に秘密保持義務等個人情報の取扱いに関する事項を明
記する。
【その他】
（6） 保有個人情報を提供し、又は業務委託する場
合には、漏えい等による被害発生のリスクを低減する観点から、提供先の利用目的、委託する業務の内
容、保有個人情報の秘匿性等その内容などを考慮し、必要に応じ、特定の個人を識別することができる記載の全部又は一部を削除し、又は別の記号等に置き換える等の措置を講ずる。
4-8-10 サイバーセキュリティの確保（5） 保有個人情報の取扱いに係る業務を派遣労働者によって行わせる場合には、労働者派遣契約書に秘密保持義務等個人情報の取扱いに関する事項を明
記する。
【その他】
（6） 保有個人情報を提供し、又は業務委託する場
合には、漏えい等による被害発生のリスクを低減する観点から、提供先の利用目的、委託する業務の内
容、保有個人情報の秘匿性等その内容などを考慮し、必要に応じ、特定の個人を識別することができる記載の全部又は一部を削除し、又は別の記号等に置き換える等の措置を講ずる。
11 法令遵守【サイバーセキュリティに関する対策の基準等】（1） 個人情報を取り扱い、又は情報システムを構築し、若しくは利用するに当たっては、サイバーセ
キュリティ基本法第26条第1項第2号に掲げられたサ
イバーセキュリティに関する対策の基準等を参考として、取り扱う保有個人情報の性質等に照らして適正なサイバーセキュリティの水準を確保する。

4-8-11 安全管理上の問題への対応【事案の報告及び再発防止措置】（1） 保有個人情報の漏えい等安全管理の上で問題となる事案又は問題となる事案の発生のおそれを認識した場合に、その事案等を認識した職員は、直ちに当該保有個人情報を管理する保護管理者に報告する（注）。
（注）職員は、当該事案の発生（事案発生のおそれを含む。）を認識した場合、時間を要する事実確認を行う前にまず保護管理者に報告する。
（2） 保護管理者は、被害の拡大防止又は復旧等のために必要な措置を速やかに講ずる。ただし、外部からの不正アクセスや不正プログラムの感染が疑われる当該端末等のLAN ケーブルを抜くなど、被害拡大防止のため直ちに行い得る措置については、直ちに行う（職員に行わせることを含む。）ものとする。

（1）職員は、個人情報を取り扱い、又は情報システ
ムを構築し、若しくは利用するに当たっては、職務の遂行において使用する情報資産を保護するために、次の法令のほか関係法令を遵守し、これに従わなければならない。
①地方公務員法昭和 25 年法律第261号）②著作権法（昭和45年法律第4 号）③不正アクセス行為の禁止等に関する法律（平成11年法律第128 号）④個人情報の保護に関する法律（平成15年法律第 57号）⑤行政手続における特定の個人を識別するための番号の利用等に関する法律（平成25年法律第27 号）⑥サイバーセキュリティ基本法（平成26年法律第104 号）
12 安全管理上の問題への対応【事案の報告及び再発防止措置】（1） 保有個人情報の漏えい等安全管理の上で問題となる事案又は問題となる事案の発生のおそれを認識した場合に、その事案等を認識した職員は、直ちに当該保有個人情報を管理する保護管理者に報告する（注）。
（注）職員は、当該事案の発生（事案発生のおそれを含む。）を認識した場合、時間を要する事実確認を行う前にまず保護管理者に報告する。
（2） 保護管理者は、被害の拡大防止又は復旧等のために必要な措置を速やかに講ずる。ただし、外部からの不正アクセスや不正プログラムの感染が疑われる当該端末等のLANケーブルを抜くなど、被害拡大防止のため直ちに行い得る措置については、直ちに行う（職員に行わせることを含む。）ものとする。

17

安全管理措置
事務対応ガイド（個人情報保護委員会）

加古川市版≪案≫（3） 保護管理者は、事案の発生した経緯、被害状（3） 保護管理者は、事案の発生した経緯、被害状況等を調査し、保護管理責任者を通じて総括保護管
況等を調査し、総括保護管理者に報告する。ただ理者に報告する。ただし、特に重大と認める事案がし、特に重大と認める事案が発生した場合には、直発生した場合には、直ちに保護管理責任者を通じてちに総括保護管理者に当該事案の内容等について報総括保護管理者に当該事案の内容等について報告す
告する。
る。
（4） 総括保護管理者は、上記（3）による報告を受（4） 総括保護管理者は、上記（3）による報告を受けた場合には、事案の内容等に応じて、当該事案のけた場合には、事案の内容等に応じて、当該事案の内容、経緯、被害状況等を行政機関の長等（独立行
内容、経緯、被害状況等を市の機関の長に速やかに政法人等にあっては法人の長、地方独立行政法人に報告する。
あっては理事長）に速やかに報告する。
（5） 保護管理者は、事案の発生した原因を分析し、再発防止のために必要な措置を講ずるとともに、同種の業務を実施している部局等に再発防止措置を共有する。
【法に基づく報告及び通知】（5） 保護管理者は、事案の発生した原因を分析し、再発防止のために必要な措置を講ずるとともに、同種の業務を実施している部局等に再発防止措置を共有する。
【法に基づく報告及び通知】（6） 漏えい等が生じた場合であって法第68条第１（6） 漏えい等が生じた場合であって法第68条第1項項の規定による個人情報保護委員会（以下「委員の規定による委員会への報告及び同条第2項の規定に会」という。）への報告及び同条第２項の規定によよる本人への通知を要する場合には、上記(1)からる本人への通知を要する場合には、上記(1)から(5)(5)までと並行して、速やかに所定の手続を行うととまでと並行して、速やかに所定の手続を行うととももに、委員会による事案の把握等に協力する。
に、委員会による事案の把握等に協力する。
【公表等】

【公表等】

（7） 法第68条第1項の規定による委員会への報告及 （7） 法第68条第1項の規定による委員会への報告及び同条第2項の規定による本人への通知を要しない場 び同条第2項の規定による本人への通知を要しない場
合であっても、事案の内容、影響等に応じて、事実 合であっても、事案の内容、影響等に応じて、事実関係及び再発防止策の公表、当該事案に係る保有個 関係及び再発防止策の公表、当該事案に係る保有個
人情報の本人への連絡等の措置を講ずる。国民の不 人情報の本人への連絡等の措置を講ずる。市民の不安を招きかねない事案（例えば、公表を行う漏えい 安を招きかねない事案（例えば、公表を行う漏えい等が発生したとき、個人情報保護に係る内部規程に 等が発生したとき、個人情報保護に係る内部規程に対する違反があったとき、委託先において個人情報 対する違反があったとき、委託先において個人情報の適切な管理に関する契約条項等に対する違反がの適切な管理に関する契約条項等に対する違反があったとき等）については、当該事案の内容、経あったとき等）については、当該事案の内容、経緯、被害状況等について、速やかに委員会へ情報提 緯、被害状況等について、速やかに委員会へ情報提供を行うことが望ましい。
供を行うことが望ましい。
4-8-12 監査及び点検の実施【監査】

13 監査及び点検の実施【監査】（1） 監査責任者は、保有個人情報の適切な管理を （1） 監査責任者は、保有個人情報の適切な管理を検証するため、4-8-2（管理体制）から4-8-11（安全 検証するため、３（管理体制）から12（安全管理上
管理上の問題への対応）までに記載する措置の状況 の問題への対応）までに記載する措置の状況を含むを含む当該行政機関等における保有個人情報の管理 当該行政機関等における保有個人情報の管理の状況の状況について、定期に、及び必要に応じ随時に監 について、定期に、及び必要に応じ随時に監査（外査（外部監査を含む。以下同じ。）（注）を行い、 部監査を含む。以下同じ。）（注）を行い、その結その結果を総括保護管理者に報告する。
果を総括保護管理者に報告する。
（注）保有個人情報の秘匿性等その内容及びその量に応じて、実地監査を含めた重点的な監査として行うものとする。
【点検】（注）保有個人情報の秘匿性等その内容及びその量に応じて、実地監査を含めた重点的な監査として行うものとする。
【点検】（2） 保護管理者は、各課室等における保有個人情報の記録媒体、処理経路、保管方法等について、定期に、及び必要に応じ随時に点検を行い、必要があると認めるときは、その結果を総括保護管理者に報告する。

（2） 保護管理者は、課等における保有個人情報の記録媒体、処理経路、保管方法等について、定期に、及び必要に応じ随時に点検を行い、必要があると認めるときは、その結果を総括保護管理者に報告する。

【評価及び見直し】（3） 総括保護管理者、保護管理者等は、監査又は点検の結果等を踏まえ、実効性等の観点から保有個
人情報の適切な管理のための措置について評価し、必要があると認めるときは、その見直し等の措置を講ずる。

【評価及び見直し】（3） 総括保護管理者、保護管理者等は、監査又は点検の結果等を踏まえ、実効性等の観点から保有個
人情報の適切な管理のための措置について評価し、必要があると認めるときは、その見直し等の措置を
講ずる。

18

個人情報取扱特記事項（委託契約）
加古川市版現行

指針「10 個人情報の取扱いの委託」関係

事務対応ガイドによる必須項目加古川市版≪案≫（基本事項）（基本事項）

第１ この契約による事務の処理の委託を受けたもの（以下「受注者」という。）は、個人情報保護の重要性を認識し、この契約による個人情報（行政手続における特定の個人を識別するための番号の利用等に関する法律（平成25年法律第27号）第２条第８項に規定する特定個人情報を含む。以下同じ。）の取扱いに当たっては、個人の権利利益を侵害することのないよう適切に行わなければならない。

第１ この契約による事務の処理の委託を受けたもの（以下「受注者」という。）は、個人情報の保護に関する法
律（平成15年法律第57号。以下「法」という。）（注：議会においては「議会条例（令和４年条例第●号。以下「議会条例」という。）」とする。）に基づき、個人情報保護の重要性を認識し、この契約による個人情報（行政手続における特定の個人を識別するための番号の利用等に関する法律（平成25年法律第27号）第２条第８項に規定
する特定個人情報を含む。以下同じ。）の取扱いに当たっては、個人の権利利益を侵害することのないよう適切に行わなければならない。

（収集の制限）第２ 受注者は、この契約に係る事務に関して、個人情報を収集するときは、当該契約に係る事務を処理するために必要な範囲内で、適法かつ公正な手段により収集しなければならない。
（目的外利用の禁止）
第３ 受注者は、あらかじめ加古川
市（以下「発注者」という。）の指示又は承諾があった場合を除き、この契約による事務に関して知り得た個人情報を、当該事務を処理する目
的以外の目的のために利用してはならない。
（適正な管理）第４ 受注者は、この契約による事
務に係る個人情報の漏えい、滅失、改ざん、損傷等を防止するために必要な措置を講じなければならない。

（従事者の明確化）

第５ 受注者は、この契約による事務に従事する者（以下「従事者」という。）を明確にし、発注者から求めがあったときは、発注者に報告しなければならない。

（収集の制限）第２ 受注者は、この契約に係る事務に関して、個人情報を収集するときは、当該契約に係る事務を処理するために必要な範囲内で、適法かつ公正な手段により収集しなければならない。
（目的外利用の禁止）
第３ 受注者は、あらかじめ加古川市① 個人情報に関する秘 （以下「発注者」という。）の指示又密保持、利用目的以外 は承諾があった場合を除き、この契約の目的のための利用の による事務に関して知り得た個人情報禁止等の義務を、当該事務を処理する目的以外の目的のために利用してはならない。
（適正な管理）第４ 受注者は、法第66条第２項（注：議会においては「議会条例第●条第●項第●号」とする。）の規定に④ 個人情報の安全管理 基づき、この契約による事務に係る個措置に関する事項
人情報の漏えい、滅失、改ざん、損傷等の防止、その他の個人情報の安全管理のために必要かつ適切な措置を講じなければならない。
（従事者の明確化）
第５ 受注者は、この特記事項を履行する責任を負う者（以下「責任者」という。）及び個人情報の取扱いに従事する者（以下「従事者」という。）を定（1）・・・・、また、
めるとともに、それらの者の氏名、役
契約書に、次の事項を
職を、書面により、あらかじめ発注者
明記するとともに、委に届け出なければならない。責任者又託先における責任者及は従事者を変更するときも、同様とすび業務従事者の管理体る。
制及び実施体制、個人
２ 受注者は、責任者及び従事者以外の情報の管理の状況につ者を個人情報の取扱いに従事させてはいての検査に関する事ならない。
項等の必要な事項につ３ 作業従事者は、責任者の指示に従いて書面で確認する。
い、法（注：議会においては「議会条例」とする。）及びこの契約に則して適正に委託業務の処理に当たらなければならない。

19

19

個人情報取扱特記事項（委託契約）
加古川市版現行

指針「10 個人情報の取扱いの委託」関係

事務対応ガイドによる必須項目加古川市版≪案≫（従事者の監督及び教育）
第６ 受注者は、従事者に対し、個
人情報の適正な取扱いに関して必要な監督及び教育を行わなければならない。
（秘密の保持）（従事者の監督及び教育）
第６ 受注者は、責任者及び従事者に対し、個人情報の適正な取扱いに関して必要な監督及び教育を行わなければならない。
（秘密の保持）第７ 受注者は、この契約による事務に関して知り得た個人情報をみだ
りに他人に知らせ、又は不当な目的に使用してはならない。

① 個人情報に関する秘 第７ 受注者は、この契約による事務
密保持、利用目的以外 に関して知り得た個人情報をみだりにの目的のための利用の 他人に知らせ、又は利用目的以外の目禁止等の義務的に使用してはならない。

２ 受注者は、従事者が在職中及び退職後においても、この契約による事務に関して知り得た個人情報をみだりに他人に知らせ、又は不当な目的に使用しないように必要な措置を講じなければならない。

２ 受注者は、従事者が在職中及び退職後においても、この契約による事務に関して知り得た個人情報をみだりに
他人に知らせ、又は不当な目的に使用しないように必要な措置を講じなければならない。

３ 前２項の規定は、この契約が終了し、又は解除された後においても同様とする。
（再委託の禁止）
第８ 受注者は、あらかじめ発注者の承諾があった場合を除き、この契約による事務を第三者に委託してはならない。

３ 前２項の規定は、この契約が終了
し、又は解除された後においても同様とする。
（再委託の禁止）② 再委託（再委託先が 第８ 受注者は、あらかじめ発注者の委託先の子会社（会社 承諾があった場合を除き、この契約に法（平成17 年法律第86 よる事務を第三者に委託してはならな
号）第2 条第1 項第3い。
号に規定する子会社を ２
受注者は、前項の規定により発注いう。）である場合も 者の承諾を得て、この契約による事務含む。4-8-9（個人情報 を第三者に委託するときは、この契約の取扱いの委託）（1） により受注者が負う個人情報の取扱い
及び（4）において同に関する義務を再委託先（再委託先がじ。）（※）の制限又 委託先の子会社（会社法（平成17年法は事前承認等再委託に 律第86号）第2条第1項第3号に規定する係る条件に関する事項 子会社をいう。）である場合を含（※）委託先との契約 む。）にも遵守させるものとし、受注書に、再委託に際して 者はそのために必要かつ適切な監督を再委託先に求める事項 行うものとする。なお、再委託先がは、再委託先が子会社 再々委託を行う場合以降も同様とす
である場合も、同様に る。
求めるべきことを明記すること。

（複写、複製の禁止）
第９ 受注者は、あらかじめ発注者の指示又は承諾があった場合を除き、この契約による事務に関し、発注者から提供された個人情報が記録された資料等を複写し、又は複製してはならない。
（持出しの禁止）第10 受注者は、この契約による事務を処理するために必要な範囲を超えて、この契約による事務に係る個人情報を取扱う事務所その他の場所
から個人情報を持ち出してはならない。

（複写、複製の禁止）
第９ 受注者は、あらかじめ発注者の指示又は承諾があった場合を除き、こ③ 個人情報の複製等の の契約による事務に関し、発注者から制限に関する事項提供された個人情報が記録された資料等を複写し、又は複製してはならない。
（持出しの禁止）第10 受注者は、この契約による事務を処理するために必要な範囲を超えて、この契約による事務に係る個人情報を取扱う事務所その他の場所から個人情報を持ち出してはならない。

20

20

個人情報取扱特記事項（委託契約）
加古川市版現行

事務対応ガイドによる必須項目（資料等の返還）
第11 受注者は、この契約による事
務に関し、発注者から提供を受け、又は自らが収集し、若しくは作成した個人情報が記録された資料等は、
当該契約が終了し、又は解除された
ときは直ちに発注者に返還し、又は引き渡すものとする。ただし、発注者が別に指示したときは当該方法によるものとする。
（報告及び立入調査）
第12 受注者は、発注者から求めがあったときは、この契約による事務に係る個人情報の取扱い状況について、発注者に報告しなければならない。

指針「10 個人情報の取扱いの委託」関係
加古川市版≪案≫（資料等の返還）

第11 受注者は、この契約による事務に関し、発注者から提供を受け、又は自らが収集し、若しくは作成した個人⑥ 委託終了時における情報が記録された資料等は、当該契約
個人情報の消去及び媒が終了し、又は解除されたときは直ち体の返却に関する事項に発注者に返還し、又は引き渡すものとする。ただし、発注者が別に指示したときは当該方法によるものとする。
（報告及び立入調査）

２ 発注者は、受注者に対し、この契約による事務に係る個人情報の取扱い状況について、随時調査することができる。

⑧ 契約内容の遵守状況 第12 受注者は、発注者から求めがについての定期的報告 あったときは、この契約による事務にに関する事項及び委託 係る個人情報の取扱い状況について、先における委託された 発注者に報告しなければならない。
個人情報の取扱状況を把握するための監査等 ２ 発注者は、受注者に対し、この契に関する事項約による事務に係る個人情報の取扱い（再委託先の監査等に 状況について、随時調査することがで関する事項を含む。） きる。

（事故発生時における報告）
第13 受注者は、この契約に違反する事態が生じ、又は生ずるおそれのあることを知ったときは、速やかに発注者に報告し、発注者の指示に従うものとする。
（契約解除及び損害賠償）（事故発生時における報告）
第13 受注者は、この契約に違反する⑤ 個人情報の漏えい等 事態が生じ、又は生ずるおそれのあるの事案の発生時におけ ことを知ったときは、速やかに発注者る対応に関する事項に報告し、発注者の指示に従うものとする。
（契約解除及び損害賠償）

第14 発注者は、受注者がこの契約に違反していると認めたときは、契約を解除し、及び損害賠償を請求することができる。

⑦ 法令及び契約に違反 第14 発注者は、受注者がこの契約にした場合における契約 違反していると認めたときは、契約を解除、損害賠償責任そ 解除し、及び損害賠償を請求することの他必要な事項（注3） ができる。

２ 受注者は、この契約による事務に係る個人情報の漏えい、滅失、改ざん、損傷その他の事態が発生した
場合において、その責に帰すべき事
由により発注者又は第三者に損害を与えたときは、その損害を賠償しなければならない。

２ 受注者は、この契約による事務に（注3）準拠法や裁判管 係る個人情報の漏えい、滅失、改ざ轄について日本国内法 ん、損傷その他の事態が発生した場合令とすべきかについて において、その責に帰すべき事由によもあらかじめ検討する り発注者又は第三者に損害を与えたと必要がある。
きは、その損害を賠償しなければならない。

21
21