答 申 第 １ ５ １ 号
令和５年５月３１日
兵庫県知事 齊 藤 元 彦

様
情報公開・個人情報保護審議会
会長 中 川 丈 久

保有個人情報の適切な管理のための措置について（答申）

令和５年４月14日付け諮問第４号で諮問のあった標記のことについて、当審議会の意見を下記のとおり答申します。
記１ 意見
個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「法」という。）第 66
条第１項において、地方公共団体の機関は、保有個人情報の安全管理のため、必要かつ適切な措置（以下「安全管理措置」という。
）を講じなければならないとされ、法のガイドライン等が示す指針（以下「ガイドライン指針」という。）に基づいて実施することとされている。
ガイドライン指針では、安全管理措置の実施項目が共通項目ごとに分類され多岐にわたって示されている。これらの実施項目を機関内部で確実に実施していくためには、機関内部での実施主体を明確にした規範として職員の理解を十分に得ることができるように、条文形式の規程として整備することが適切と認められる。
また、当該規程については、県民に対して公表しておくべきである。
２ 規程内容整備する規程は、ガイドライン指針の実施項目と重複している機関内部の既存の規範規程との整合性をとり、管理体制での役割や取扱いを明確にすべきである。
ガイドライン指針の実施項目において、機関内部の既存の規程（公文書管理及び情報セキュリティに係る規程）や取扱いとの整合を図るべきところは、ガイドライ
ン指針の共通項目ごとに次のとおりと認められ、別紙の規程を基に整備することが適当と認められる。
(1) 管理体制
保有個人情報は、公文書として管理されることから、公文書管理体制とあわせた管理体制とすることが適当である。
(2) 教育研修

人的な安全確保の対応である職員への教育研修は、(10)及び(11)の組織的な安全確保の対応と合わせて、共通項目名を「安全確保のための対応」としてまとめ、定めることが適当である。なお、法第 67 条の従事者の義務が適用される派遣労働者に対する教育研修については、(8)において定めることが適当である。
(3) 職員の責務(1)において定めることが適当である。
(4) 保有個人情報の取扱い
公文書管理及び情報セキュリティに係る規程と整合のとれた安全管理に係る原則的な取扱いを定めるため、共通項目名を「保有個人情報の安全管理」とすることが適当である。また、「外的環境の把握」についての実施項目は、(7)と(8)を合わせた共通項目で定めることが適当である。
(5) 情報システムにおける安全の確保等
保有個人情報を取り扱う情報システムの運用に当たっては、情報セキュリティに係る規程が定められ、同規程が定める管理体制のもとで情報セキュリティ対策をとることとされている。同規程と整合のとれた安全管理に係る取扱いを一括して定めるため、共通項目名を「情報システムにおける保有個人情報の安全管理」として、(6)と(9)を合わせた共通項目とすることが適当である。
(6) 情報システム室等の安全管理(5)と(9)を合わせた共通項目で定めることが適当である。
(7) 保有個人情報の提供
保有個人情報を外部で取り扱う場合の実施項目を一括し、(8)のほか、(4)の実施項目「外的環境の把握」を加えた共通項目で定めることが適当である。
この共通項目において、新たな情報通信技術において保有個人情報を取り扱う場合の安全管理措置について定めておくことが適当である。
(8) 個人情報の取扱いの委託契約条項に盛り込んでいる既存の取扱との整合をとって定めることが適当である。また、(7)と合わせた共通項目で定めることが適当である。
(9) サイバーセキュリティの確保(5)と(6)を合わせた共通項目で定めることが適当である。
(10) 安全管理上の問題への対応
法第 68 条の報告及び通知を要しない場合の対応について、既存の取扱との整合をとって定めることが適当である。また、人的・組織的な安全確保の対応をまとめた共通項目「安全確保のための対応」において定めることが適当である。
(11) 監査及び点検の実施
点検結果の報告は、実務上、監査責任者に対して行うものとすることが適当である。また、人的・組織的な安全確保の対応をまとめた共通項目「安全確保のための対応」において定めることが適当である。
(12) その他
この規程で定めるもののほか、個人情報の保護に関して必要な事項に対応できるよう、総括保護管理者による権限を定めておくことが適当である。

（参考）
年 月 日
令和５年４月 24 日

審 議 の 経 過経・諮問書の受領・審議
・審議

令和５年５月 29 日
第１部会（第 92 回）
令和５年５月 31 日 ・答申

主に調査審議に関与した委員
情報公開・個人情報保護審議会 第１部会
部会長
井 上 典 之委 員申吉 浩委 員
園 田寿委 員中 本 浩 一委 員
西 片 和 代過

保有個人情報の適切な管理のための措置に関する規程

目次
第１章 総則（第１条・第２条）
第２章 管理体制（第３条－第７条）
第３章 保有個人情報の安全管理（第８条－第10条）
第４章 情報システムにおける保有個人情報の安全管理（第11条・第12条）
第５章 保有個人情報の提供及び業務の委託等（第13条－第15条）
第６章 安全確保のための対応（第16条－第18条）
第７章 補則（第19条）

第１章 総則（趣旨）
第１条 この規程は、知事の事務部局（以下「知事部局」という。）における個人情報の保護に関する法律（平成15年法律第57号。以下「個人情報保護法」という。）に基づく保有個人情報の適切な管理のために講ずる措置について必要な事項を定めるものとする。
（定義）
第２条 この規程において使用する用語は、個人情報保護法において使用する用語の例による。

第２章 管理体制（総括保護管理者）
第３条 知事部局に総括保護管理者１人を置く。
２

総括保護管理者は、総務部長をもって充てる。

３

総括保護管理者は、次に掲げる事務を行うものとする。
(1) 保有個人情報（知事部局の職員（以下「職員」という。）が職務上作成し、又は取得したものに限る。以下同じ。）の管理に関する必要な措置の実施(2) 保有個人情報の管理に関する研修の実施(3) 保有個人情報の管理に係る重要な連絡、調整等を行うための会議の開催(4) 前各号に掲げるもののほか、保有個人情報の管理に関する事務の総括（保護管理者）

第４条 所掌事務に関する保有個人情報の管理の実施責任者として、次に掲げる組織（以下「課室等」という。）ごとに保護管理者１人を置く。
(1) 行政組織規則（昭和36年兵庫県規則第40号）第２章に規定する本庁の課又は室（秘書広報室、元町プロジェクト室及び感染症等対策室を除く。）(2) 行政組織規則第４章に規定する地方機関のうち、県民局及び県民センターの次に掲げる内部組織
ア 行政組織規則第75条に規定する室イ 行政組織規則第75条の２に規定する事務所
ウ 消費生活センター、新温泉健康福祉事務所、但馬水産事務所、普及指導センター、土地改良事務所、土地改良センター及び六甲治山事務所-1-(3) 行政組織規則第４章に規定する地方機関（県民局及び県民センターを除く。）
２

保護管理者は、課室等の長をもって充てる。

３

保護管理者は、その担任する事務に関する保有個人情報の管理について、次に掲げる事務を行うものとする。
(1) 課室等における保有個人情報の管理に係る体制の整備(2) 保有個人情報の管理に関する課室等の職員の指導(3) 課室等における保有個人情報の適正な管理(4) 課室等における保有個人情報の管理状況の点検(5) 前各号に掲げるもののほか、保有個人情報の管理に関し必要な事務

４

保護管理者は、情報システムを利用して課室等における保有個人情報を取り扱うに当たっては、当該情報システムを管理する課室等の長（以下「情報システム管理者」という。）と連携して、前項各号の事務を行うものとする｡（保護主任）

第５条 課室等に保護主任１人以上を置く。
２

保護主任は、本庁にあっては副課長、班長、主幹又は保護管理者が指名する者をもって充て、地方機関にあっては副所長、課長その他の職員のうちから保護管理者が命ずる。

３

保護主任は、その担任する事務に関する保有個人情報の管理について、保護管理者の事務を補佐する。
（監査責任者）

第６条 知事部局に監査責任者１人を置く。
２

監査責任者は、法務文書課県民情報官をもって充てる。

３

監査責任者は、知事部局における保有個人情報の管理状況の監査を行うものとする。
（職員の責務）

第７条 職員は、個人情報保護法のほか、関連する法令並びに条例、規則、訓令及び規程並びに総括保護管理者、保護管理者及び保護主任の指示に従い、保有個人情報を適正に管理しなければならない。

第３章 保有個人情報の安全管理（保有個人情報の取扱いの制限）
第８条 保護管理者は、職員が所掌事務又は業務を遂行する目的で保有個人情報を取り扱うに当たって、当該保有個人情報を取り扱う職員をあらかじめ指定しておくものとする。
２

前項で指定した職員は、保有個人情報について次に掲げる行為を行う場合には、保護管理者及び保護主任の指示に従い、複数の職員による確認を経ること等必要な措置を行うものとする。
(1) 保有個人情報の複製、加工及び訂正（個人情報保護法第90条第１項に規定する訂正をいう。）(2) 保有個人情報が記録されている電磁的記録の送信(3) 保有個人情報が記録されている文書（電磁的記録媒体（電磁的記録に係る記録媒体をいう。以下同じ。）を含む。以下同じ。）の庁外への送付又は持ち出し(4) 前３号に掲げるもののほか、保有個人情報の適切な管理に支障を及ぼすおそれのある行為（安全管理に必要な措置）

第９条 保護管理者は、保有個人情報が記録されている文書を安全に保管することができる場所を確保-2-

するものとする。
２

保護管理者は、保有個人情報が記録されている電磁的記録について、職員が前条第２項第２号及び第３号に掲げる行為を行う場合には、当該電磁的記録にみだりに第三者に知らせてはならないものとされている符号を設定することその他必要な措置を講ずるものとする。

３

保護管理者は、保有個人情報を取り扱う所掌事務又は業務の状況に応じて、当該保有個人情報の利用、保管その他の取扱いの状況について職員に記録させるものとする。
（廃棄に必要な措置）

第10条 保護管理者は、保有個人情報が記録されている文書（次項の電磁的記録媒体を除く。）又は電磁的記録であって保存期間が満了したものについて、廃棄するものとする。
２

保護管理者は、保有個人情報が記録されている電磁的記録媒体を廃棄しようとするときは、当該保有個人情報の復元することができない方法により確実に行うものとする。

３

保護管理者は、保有個人情報が記録されている文書の廃棄の業務を委託（２以上の段階にわたる委託（以下「再委託」という。）を含む。以下この項において同じ。）する場合には、当該委託に係る業務の委託先において当該廃棄が確実に行われていることを確認するものとする。

第４章 情報システムにおける保有個人情報の安全管理（情報システムの適正な管理の確保）
第11条 保護管理者は、保有個人情報を取り扱う情報システムを構築し、又は情報システムにおいて保有個人情報を利用するに当たっては、情報システムにおける電磁的記録の適切な保持並びに情報システムの安全性及び信頼性の確保のため講じられている方針及び基準を遵守するものとする。
２

保護管理者は、次に掲げる措置について情報システムにおける前項の方針及び基準を遵守することにより、保有個人情報の安全管理を図るものとする。
(1) 情報システムに接続する権限の設定のための措置(2) 情報システムの接続状況の記録及び監視のための措置(3) 情報システムへの不正な接続を防止するための措置(4) 情報システムに接続する機器等の安全管理のための措置(5) 情報システムに接続する機器等を設置する区域の安全管理のための措置(6) その他情報システムで取り扱う保有個人情報の安全管理のために必要な措置（情報システムに接続する機器及び入力する情報の取扱い）

第12条 職員は、情報システム管理者が許可するときを除き、保有個人情報を取り扱う情報システムに接続する機器を庁外へ持ち出すこと、又は庁外から持ち込んだ機器を当該情報システムに接続することをしてはならない。
２

職員は、情報システムに接続する機器の使用に当たっては、保有個人情報が当該職員以外の第三者に閲覧されることがないよう、必要な措置を講じて使用するものとする。

３

職員は、情報システムで取り扱う保有個人情報を情報システムに入力するに当たって、入力する保有個人情報を十分に照合して入力処理を行い、入力処理を行った当該保有個人情報の内容を情報システムにおいて確認する取り扱いを行うものとする。

第５章 保有個人情報の提供及び業務の委託等-3-

（保有個人情報等の提供）
第13条 保護管理者は、個人情報保護法第69条第２項第３号及び第４号の規定に基づき行政機関等以外の者に保有個人情報を提供する場合、個人情報保護法第70条の規定に基づき、次に掲げる措置を講ずるものとする。
(1) 提供先における利用目的、利用する業務の根拠法令、利用する記録範囲及び記録項目、利用形態等について原則として書面（電磁的記録を含む。以下同じ。）を取り交わすこと。
(2) 前号の書面を取り交わすに当たって、提供先の措置状況を確認する必要がある場合、提供先に対して行う調査等の措置(3) 前号の調査等の結果に応じて提供先に対して改善を求める措置
２

保護管理者は、個人情報保護法第69条第２項第３号の規定に基づき他の行政機関等に保有個人情報を提供する場合において、必要があると認めるときは、個人情報保護法第70条の規定に基づき、前項各号に掲げる措置を講ずるものとする。
（業務の委託等）

第14条 保護管理者は、個人情報の取扱いに係る業務を委託する場合には、当該委託の業務に係る委託先において個人情報を適切に取り扱わせるため、次に掲げる事項をその内容に含む当該委託に係る契約を締結し、当該事項に基づき当該委託に係る個人情報の取扱いに係る業務を確認するものとする。
(1) 取扱いを委託する個人情報の範囲及び当該個人情報の適法かつ公正な手段による収集の義務(2) 個人情報に関する秘密保持、利用目的以外の目的のための利用の禁止等の義務(3) 個人情報の漏えい、滅失又はき損の防止その他の個人情報の安全管理措置(4) 個人情報の複製等の制限、個人情報の消去、廃棄等に関する事項(5) 委託先における責任者及び事務従事者の管理体制及び実施体制の報告に関する事項(6) 再委託の制限又は事前承認等再委託に係る条件に関する事項(7) 法令及び契約に違反した場合における契約解除、損害賠償責任その他必要な事項(8) 契約内容の遵守状況についての定期的報告に関する事項及び委託先における委託された個人情報の取扱状況を把握するための監査等に関する事項（再委託先の監査等に関する事項を含む。）
２

保護管理者は、保有個人情報の取扱いに係る業務を派遣労働者によって行わせる場合には、労働者派遣に係る契約において、前項各号に掲げる事項に準じる事項を定めるものとする。

３

保護管理者は、保有個人情報の取扱いに係る業務に従事している派遣労働者に対する研修の機会を講ずるものとする。
（取り扱う環境への対応）

第15条 保護管理者は、デジタル社会形成基本法（令和３年法律第35号）第２条に規定する情報通信技術を利用した環境において保有個人情報を取り扱う場合、前２条の規定に基づく措置その他の保有個人情報の安全管理のために必要かつ適切な措置をとるものとする。
２

保護管理者は、保有個人情報が外国において取り扱われる環境にある場合、当該外国の個人情報の保護に関する制度等を把握した上で、保有個人情報の安全管理のために必要かつ適切な措置を講じなければならない。
３

前２項による措置が講じられていない場合には、職員は、保有個人情報を前２項の環境において取り扱ってはならない。

-4-第６章 安全確保のための対応（研修）
第16条 総括保護管理者は、保有個人情報の取扱いに従事する職員に対し、保有個人情報の管理及び取扱いを適切かつ円滑に行うために必要な知識及び技能を習得させ、及び向上させるために必要な研修を行うものとする。
２

保護管理者は、前項の研修に職員を積極的に参加させなければならない。
（点検及び監査）第17条 保護管理者及び保護主任は、その管理する保有個人情報の管理状況について、定期及び臨時に点検を行い、その結果を監査責任者に報告するものとする。
２

監査責任者は、保有個人情報の管理状況について、定期及び臨時に監査を行い、その結果を総括保護管理者に報告するものとする。

３

総括保護管理者は、第１項の点検又は前項の監査の結果を踏まえ、保有個人情報の適切な管理について必要な措置を講ずるものとする。
（漏えい等に対する措置）

第18条 職員は、保有個人情報の漏えい、滅失、毀損その他の保有個人情報の安全の確保に係る事態が生じたときは、直ちに保護管理者又は保護主任に当該事態の状況を報告するとともに、保護管理者又は保護主任の指示に従い、個人情報保護法第68条第２項各号に該当する場合を除き、本人に対し当該事態が生じた旨を通知する等被害の拡大を防止するために必要な措置を講ずるものとする。
２

保護管理者は、前項の事態が生じた原因及び被害の状況を調査し、当該調査の結果明らかになった当該事態の状況を知事及び総括保護管理者に速やかに報告するとともに、当該事態の状況を公表するものとする。

３

総括保護管理者は、前項の報告を受けたときは、再発の防止のため必要な措置を講ずるものとする。

４

総括保護管理者は、第１項の事態が個人情報保護法第68条第１項の規定による報告をしなければならないものであるときは、同項の規定による報告及び同条第２項の規定による通知を速やかに行うものとする。

第７章 補則（補則）第19条 この規程に定めるもののほか、個人情報の保護に関して必要な事項は、総括保護管理者が別に定める。
附則

この規程は、令和５年６月１日から適用する。

-5-