○東京藝術大学個人情報管理規則
平成17年３月28日
制定改正

平成17年７月21日
平成19年３月28日
平成20年４月15日
平成23年３月29日
平成25年３月28日
平成26年３月27日
平成27年４月７日
平成28年１月12日
平成28年10月11日
平成31年３月６日
令和５年３月16日

平成18年１月10日
平成19年７月23日
平成22年５月21日
平成24年４月１日
平成25年10月24日
平成26年11月１日
平成27年５月14日
平成28年３月24日
平成30年１月18日
令和４年４月12日
令和５年10月26日（趣旨）
第１条 この規則は、個人情報の保護に関する法律（平成15年法律第57号。以下「法」という｡)、個人情報の保護に関する法律施行令（平成15年政令第507号。
以下「政令」という｡)、個人情報の保護に関する法律施行規則（平成28年個人情報保護委員会規則第３号。以下「個人情報保護委員会規則」）という｡)、その他
関係法令等（以下「法令等」という｡)に基づき、本学の保有する個人情報の適切な管理について、必要な事項を定める。
（定義）
第２条 この規則において「個人情報」とは、法第２条第１項に規定するものをいう。
２ この規則において「個人識別符号」とは、法第２条第２項に規定するものをいう。
３ この規則において「要配慮個人情報」とは、法第２条第３項に規定するものをいう。
４ この規則において「本人」とは、法第２条第４項に規定するものをいう。
５ この規則において「仮名加工情報」とは、法第２条第５項に規定するものをいう。
６ この規則において「匿名加工情報」とは、法第２条第６項に規定するものをいう。
７ この規則において「個人関連情報」とは、法第２条第７項に規定するものをいう。
８ この規則において、「行政機関等」とは、法第２条第11項に規定するものをいう。
９ この規則において「保有個人情報」とは、法第60条第１項に規定する保有個人情報であって、本学が保有するものをいう。
１０ この規則において「教員保有個人情報」とは、前項に規定する保有個人情報のうち教員又は教員組織が主体となって、保有するものをいう。
１１ この規則において「個人情報ファイル」とは、法第60条第２項に規定するものをいう。
１２ この規則において「個人情報取扱事業者」とは、法第16条第２項に規定する

ものをいう。
１３ この規則において「個人データ」とは、法第16条第３項に規定するものをいう。
１４ この規則において「保有個人データ」とは、法第16条第４項に規定するものをいう。
１５ この規則において「部局等」とは、事務局、美術学部、音楽学部、大学院美術研究科、大学院音楽研究科、大学院映像研究科、大学院国際芸術創造研究科、附属図書館、大学美術館、社会連携センター、未来創造継承センター、言語・音
声トレーニングセンター、演奏芸術センター、保健管理センター、芸術情報セン
ター及び藝大アートプラザをいう。
（管理体制）
第３条 本学に総括保護管理者１人を置き、理事（総務・財務・施設担当）をもって充てる。総括保護管理者は、本学における保有個人情報及び行政機関等匿名加
工情報等（以下「保有個人情報等」という｡)の管理に関する事務を総括するものとする。
２ 本学に保護管理者を別表のとおり置くものとする。保護管理者は、保有個人情報等の適切な管理を確保する任に当たるものとする。保有個人情報等を情報シス
テムで取り扱う場合、保護管理者は、当該情報システムの管理者と連携して、その任に当たるものとする。
３ 本学に保護担当者を別表のとおり置くものとする。保護担当者は、保護管理者を補佐し、保有個人情報等の管理に関する事務を担当するものとする。
４ 第２項及び前項の規定にかかわらず、教員保有個人情報の管理にあたっては部局等の長を保護管理者とし、保有個人情報等を適切に管理するものとする。また、当該部局等の教員を保護担当者とし、保護管理者を補佐し、保有個人情報等の管理に関する事務を担当するものとする。
５ 本学に監査責任者を置き、監事をもって充てる。監査責任者は、保有個人情報等の管理の状況について監査するものとする。
（教育研修）
第４条 総括保護管理者は、保有個人情報等の取扱いに従事する職員（派遣労働者を含む。以下同じ｡)に対し、保有個人情報等の取扱いについて理解を深め、個人情報の保護に関する意識の高揚を図るための啓発その他必要な教育研修を行うものとする。
２ 総括保護管理者は、保有個人情報等を取り扱う情報システムの管理に関する事
務に従事する職員に対し、保有個人情報等の適切な管理のため、情報システムの管理、運用及びセキュリティ対策に関して必要な教育研修を行うものとする。
３ 総括保護管理者は、保護管理者及び保護担当者に対し、部局等の現場における保有個人情報等の適切な管理のための教育研修を実施するものとする。
４ 保護管理者は、職員に対して保有個人情報等の適切な管理のため、総括保護管
理者の実施する教育研修への参加の機会を付与するなど必要な措置を講ずるものとする。
（職員の責務）
第５条 職員は、法の趣旨に則り、関連する法令及び規則等の定め並びに総括保護

管理者、保護管理者及び保護担当者の指示に従い、保有個人情報等を取り扱わなければならない。
（アクセス制限）第６条 保護管理者は、保有個人情報等の秘匿性等その内容（個人識別の容易性（匿名化の程度等）、要配慮個人情報の有無、漏えい等が発生した場合に生じ得る被害の性質、程度等を考慮するものとする。以下同じ｡)に応じて、当該保有個
人情報等にアクセスする権限を有する職員の範囲と権限の内容を、当該職員が業務を行う上で必要最低限の範囲に限るものとする。
２ アクセスする権限を有しない職員は、保有個人情報等にアクセスしてはならな
い。
３ 職員は、アクセスする権限を有する場合であっても、業務上の目的以外の目的
で保有個人情報等にアクセスしてはならない。
（複製等の制限）第７条 職員が業務上の目的で保有個人情報等を取り扱う場合であっても、保護管理者は、次に掲げる行為については、当該保有個人情報等の秘匿性等その内容に応じて、当該行為を行うことができる場合を限定し、職員は、保護管理者の指示に従い行うものとする。
（１）保有個人情報等の複製（２）保有個人情報等の送信（３）保有個人情報等が記録されている媒体の外部への送付又は持ち出し（４）その他保有個人情報等の適切な管理に支障を及ぼすおそれのある行為（誤りの訂正等）
第８条 職員は、保有個人情報の内容に誤り等を発見した場合には、保護管理者の指示に従い、訂正等を行うものとする。
（媒体の管理等）
第９条 職員は、保護管理者の指示に従い、保有個人情報等が記録されている媒体を定められた場所に保管するとともに、必要があると認めるときは、耐火金庫への保管、施錠等を行うものとする。
（廃棄等）
第１０条 職員は、保有個人情報等又は保有個人情報等が記録されている媒体（端末及びサーバに内蔵されているものを含む｡)が不要になった場合には、保護管理者の指示に従い、当該保有個人情報等の復元又は判読が不可能な方法により当該情報の消去又は当該媒体の廃棄を行うものとする。
（保有個人情報等の取扱状況の記録）
第１１条 保護管理者は、保有個人情報等の秘匿性等その内容に応じて、台帳等を整備し、当該保有個人情報等の利用及び保管等の取扱いの状況について記録する
ものとする。
（アクセス制御）第１２条 保護管理者は、保有個人情報等（情報システムで取り扱うものに限る。
以下第２６条（第２４条を除く｡)まで同じ｡)の秘匿性等その内容に応じて、パスワード等（パスワード、ＩＣカード及び生体情報等をいう。以下同じ｡)を使用して権限を識別する機能（以下「認証機能」という｡)を設定する等のアクセス制御

のために必要な措置を講ずるものとする。
（アクセス記録）第１３条 保護管理者は、保有個人情報等の秘匿性等その内容に応じて、当該保有個人情報等へのアクセス状況を記録し、その記録（以下「アクセス記録」という｡)を一定の期間保存し、アクセス記録を定期的に分析するために必要な措置を講ずるものとする。
２ 保護管理者は、アクセス記録の改ざん、窃取又は不正な消去の防止のため、必要な措置を講ずるものとする。
（アクセス状況の監視）
第１４条 保護管理者は、保有個人情報等の秘匿性等その内容及びその量に応じて、当該保有個人情報等への不適切なアクセスの監視のため、保有個人情報等を含むか又は含むおそれがある一定量以上の情報が情報システムからダウンロード
された場合に警告表示がなされる機能の設定、当該設定の定期的確認等の必要な措置を講ずるものとする。
（管理者権限の設定）
第１５条 保護管理者は、保有個人情報等の秘匿性等その内容に応じて、情報シス
テムの管理者権限の特権を不正に窃取された際の被害の最小化及び内部からの不正操作等の防止のため、当該特権を最小限とする等の必要な措置を講ずるものとする。
（外部からの不正アクセスの防止）
第１６条 保護管理者は、保有個人情報等を取り扱う情報システムへの外部からの不正アクセスを防止するため、ファイアウォールの設定による経路制御等の必要な措置を講ずるものとする。
（不正プログラムによる漏えい等の防止）第１７条 保護管理者は、不正プログラムによる保有個人情報等の漏えい、滅失又は毀損の防止のため、ソフトウェアに関する公開された脆弱性の解消、把握された不正プログラムの感染防止等に必要な措置（導入したソフトウェアを常に最新の状態に保つことを含む｡)を講ずるものとする。
（情報システムにおける保有個人情報等の処理）
第１８条 職員は、保有個人情報等について、一時的に加工等の処理を行うため複製等を行う場合には、その対象を必要最小限に限り、処理終了後は不要となった情報を速やかに消去するものとする。保護管理者は、当該保有個人情報等の秘匿性等その内容に応じて、随時、消去等の実施状況を重点的に確認するものとする。
（暗号化）
第１９条 保護管理者は、保有個人情報等の秘匿性等その内容に応じて、暗号化のために必要な措置を講ずるものとする。職員は、これを踏まえ、その処理する保有個人情報等について、当該保有個人情報等の秘匿性等その内容に応じて、適切に暗号化を行うものとする。
（記録機能を有する機器・媒体の接続制限）
第２０条 保護管理者は、保有個人情報等の秘匿性等その内容に応じて、当該保有個人情報等の漏えい、滅失又は毀損の防止のため、スマートフォン、ＵＳＢメモ
リ等の記録機能を有する機器・媒体の情報システム端末等への接続の制限（当該機器の更新への対応を含む｡)等の必要な措置を講ずるものとする。
（端末の限定）第２１ 条 保護管 理 者は、 保有 個人情報等の秘匿性等その内容に応じて、そ の処理を行う端末を限定するために必要な措置を講ずるものとする。
（端末の盗難防止等）
第２２条 保護管理者は、端末の盗難又は紛失の防止のため、端末の固定又は執務室の施錠等の必要な措置を講ずるものとする。
２ 職員は、保護管理者が必要があると認めるときを除き、端末を外部に持ち出し、又は外部から持ち込んではならない。
（第三者の閲覧防止）
第２３条 職員は、端末の使用にあたっては、保有個人情報等が第三者に閲覧されることがないよう、使用状況に応じて情報システムからログオフを行うことを徹底する等の必要な措置を講ずるものとする。
（入力情報の照合等）
第２４条 職員は、情報システムで取り扱う保有個人情報の重要度に応じて、入力
原票と入力内容との照合、処理前後の当該保有個人情報の内容の確認、既存の保有個人情報との照合等を行うものとする。
（バックアップ）
第２５条 保護管理者は、保有個人情報等の重要度に応じて、バックアップを作成し、分散保管するために必要な措置を講ずるものとする。
（情報システム設計書等の管理）第２６条 保護管理者は、保有個人情報等に係る情報システムの設計書、構成図等の文書について外部に知られることがないよう、その保管、複製、廃棄等について必要な措置を講ずるものとする。
（入退管理）
第２７条 保護管理者は、保有個人情報等を取り扱う基幹的サーバ等の機器を設置する室その他の区域（以下「情報システム室等」という｡)に立ち入る権限を有する者を定めるとともに、用件の確認、入退の記録、部外者についての識別化、部外者が立ち入る場合の職員の立ち会い又は監視設備による監視、外部電磁的記録
媒体等の持込み、利用及び持ち出しの制限又は検査等の措置を講ずるものとする。また、保有個人情報等を記録する媒体を保管するための施設を設けている場
合においても、必要があると認めるときは、同様の措置を講ずるものとする。
２ 保護管理者は、必要があると認めるときは、情報システム室等の出入口の特定化による入退室の管理の容易化、所在表示の制限等の措置を講ずるものとする。
３ 保護管理者は、情報システム室等及び保管施設の入退室の管理について、必要があると認めるときは、入室に係る認証機能を設定し、パスワード等の管理に関する定めの整備（定期的又は随時の見直しを含む｡)、パスワード等の読取防止等を行うために必要な措置を講ずるものとする。
（情報システム室等の管理）第２８条 保護管理者は、外部からの不正侵入に備え、情報システム室等に施錠装
置、警報装置、監視設備の設置等の措置を講ずるものとする。
２ 保護管理者は、災害等に備え、情報システム室等に耐震、防火、防煙、防水等

の必要な措置を講ずるとともに、サーバ等の機器の予備電源の確保、配線の損傷防止等の措置を講ずるものとする。
（利用目的の特定）第２９条 職員は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という｡)をできる限り特定しなければならない。
２ 職員は、利用目的を変更する場合は、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。
（利用目的による制限）
第３０条 職員は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
２ 職員は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
３ 前２項の規定は、次に掲げる場合については、適用しない。
（１）法令に基づく場合（２）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
（３）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
（４）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得る
ことにより当該事務の遂行に支障を及ぼすおそれがあるとき。
（５）職員が、当該個人情報を学術研究の用に供する目的（以下この章において「学術研究目的」という｡)で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く｡)。
（６）学術研究機関等に個人データを提供する場合であって、当該学術研究機関等
が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く｡)。
（不適正な利用の禁止）
第３１条 保護管理者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。
（適正な取得）第３２条 職員は、偽りその他不正の手段により個人情報を取得してはならない。
２ 職員は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
（１）法令に基づく場合（２）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
（３）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
（４）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得る
ことにより当該事務の遂行に支障を及ぼすおそれがあるとき。
（５）職員が、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く｡)。
（６）学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く｡)（職員と当該学術研究機関等が共同して学術研究を行う場合に限る｡)。
（７）当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、
法第57条第１項各号に掲げる者その他個人情報の保護に関する法律施行規則（平成28年個人情報保護委員会規則第３号。以下「個人情報保護委員会規則」という｡)で定める者により公開されている場合（８）その他前各号に掲げる場合に準ずるものとして政令で定める場合（取得に際しての利用目的の通知等）
第３３条 職員は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。
２ 職員は、前項の規定にかかわらず、本学と本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ｡)に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。
３ 職員は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
４ 前３項の規定は、次に掲げる場合については、適用しない。
（１）利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合（２）利用目的を本人に通知し、又は公表することにより本学の権利又は正当な利益を害するおそれがある場合（３）国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
（４）取得の状況からみて利用目的が明らかであると認められる場合（データ内容の正確性の確保）
第３４条 職員は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人デー
タを遅滞なく消去するよう努めなければならない。

（安全管理措置）第３５条 保護管理者は、取り扱う個人データの漏えい、滅失又は毀損の防止その
他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
（委託先の監督）
第３６条 保護管理者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
２ 保護管理者は、個人データの取扱いを委託する場合には、個人情報の適切な管理を行う能力を有しない者を選定することがないよう必要な措置を講ずるものとする。また、契約書に次に掲げる事項を明記するとともに、委託先における責任者及び業務従事者の管理及び実施体制、個人情報の管理の状況についての検査に関する事項等の必要な事項について書面で確認するものとする。
（１）個人情報に関する秘密保持、目的外利用の禁止等の義務（２）再委託（再委託先が委託先の子会社（会社法（平成17年法律第86号）第２条
第１項第３号に規定する子会社をいう｡)である場合も含む。本号及び第３項において同じ｡)の制限又は事前承認等再委託に係る条件に関する事項（なお、再委託に際して委託先が再委託先に求める事項は、再委託先が子会社である場合も、同様に求めるべきことを明記すること。）（３）個人情報の複製等の制限に関する事項（４）個人情報の漏えい等の事案の発生時における対応に関する事項（５）委託終了時における個人情報の消去及び媒体の返却に関する事項（６）違反した場合における契約解除、損害賠償責任その他必要な事項
３ 保護管理者は、個人データの取扱いに係る業務を外部に委託する場合には、委託する業務に係る個人データの秘匿性等その内容やその量等に応じて、委託先における管理体制及び実施体制や個人情報の管理の状況について、少なくとも年１回以上、原則として実地検査により確認するものとする。
４ 保護管理者は、委託先において、個人データの取扱いに係る業務が再委託される場合には、委託先に第１項の措置を講じさせるとともに、再委託される業務に係る個人データの秘匿性等その内容に応じて、委託先を通じて又は委託元自らが前項の措置を実施する。個人データの取扱いに係る業務について再委託先が再々委託を行う場合以降も同様とする。
５ 個人データの取扱いに係る業務を派遣労働者によって行わせる場合には、保護管理者は、労働者派遣契約書に秘密保持義務等個人情報の取扱いに関する事項を明記するものとする。
６ 個人データを提供又は業務委託する場合には、保護管理者は、漏えい等による被害発生のリスクを低減する観点から、提供先の利用目的、委託する業務の内容、
個人データの秘匿性等その内容などを考慮し、必要に応じ、氏名を番号に置き換える等の匿名化措置を講じるものとする。
（保有個人情報の安全管理措置等)第３７条 第34条、第35条及び第36条の規定は、本学において保有個人情報を取り扱う業務を行う場合に準用する。この場合において、「個人データ」とあるのは「保有個人情報」と、法第34条第１項中「保つとともに、利用する必要がなくなったときは、当該個人データ（保有個人情報に該当しないものに限る｡)を遅滞なく消去するよう努めなければならない。」とあるのは、「保つものとする。」と読み替える。
（第三者提供の制限）
第３８条 職員は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、
個人データを第三者に提供してはならない。
（１）法令に基づく場合（２）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
（３）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
（４）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得る
ことにより当該事務の遂行に支障を及ぼすおそれがあるとき。
（５）職員による当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く｡)。
（６）職員が、当該個人データを学術研究目的で提供する必要があるとき（当該個
人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く｡)（職員と当該第三者が共同して学術研究を行う場合に限る｡)。
（７）当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う
目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く｡)。
２ 職員は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、
個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人デー
タを第三者に提供することができる。ただし、第三者に提供される個人データが要配慮個人情報又は第32条第１項の規定に違反して取得されたもの若しくは他の
個人情報取扱事業者からこの項本文の規定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む｡)である場合は、この限りでない（１）第三者への提供を行う職員の氏名及び住所並びに学長の氏名（２）第三者への提供を利用目的とすること。
（３）第三者に提供される個人データの項目（４）第三者に提供される個人データの取得の方法（５）第三者への提供の方法（６）本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
（７）本人の求めを受け付ける方法（８）その他個人の権利利益を保護するために必要なものとして個人情報保護委員

会規則で定める事項
３ 職員は、前項第１号に掲げる事項に変更があったとき又は同項の規定による個
人データの提供をやめたときは遅滞なく、同項第３号から第５号まで、第７号又は第８号に掲げる事項を変更しようとするときはあらかじめ、その旨について、
個人情報保護委員会規則で定めるところにより、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。
４ 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。
（１）保護管理者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合（２）合併その他の事由による事業の承継に伴って個人データが提供される場合（３）特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得る状
態に置いているとき。
５ 職員は、前項第３号に規定する個人データの管理について責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったときは遅滞なく、同号に規定する利用する者の利用目的又は当該責任を有する者を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。
（外国にある第三者への提供の制限）
第３９条 職員は、外国（本邦の域外にある国又は地域をいう。以下この条及び第42条第１項第２号において同じ｡)（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として
個人情報保護委員会規則で定めるものを除く。以下この条及び同号において同じ｡)にある第三者（個人データの取扱いについて法第４章第２節の規定により個
人情報取扱事業者が講ずべきこととされている措置に相当する措置（第３項において「相当措置」という｡)を継続的に講ずるために必要なものとして個人情報保
護委員会規則で定める基準に適合する体制を整備している者を除く。以下この項及び次項並びに同号において同じ｡)に個人データを提供する場合には、前条第１項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める
旨の本人の同意を得なければならない｡)の場合においては、同条の規定は、適用しない。
２ 職員は、前項の規定により本人の同意を得ようとする場合には、個人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本
人に参考となるべき情報を当該本人に提供しなければならない。
３ 職員は、個人データを外国にある第三者（第１項に規定する体制を整備している者に限る｡)に提供した場合には、個人情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。
（第三者提供に係る記録の作成等）
第４０条 保護管理者は、職員が個人データを第三者（法第16条第２項各号に掲げる者を除く。以下この条及び次条（第42条第３項において読み替えて準用する場
合を含む｡)において同じ｡)に提供したときは、個人情報保護委員会規則で定めるところにより、当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。ただし、当該個人データの提供が第38条第１項各号又は第５項各号のいずれか（前条第１項の規定による個人データの提供にあっては、第38条第１項各号のいずれか）に該当する場合は、この限りでない。
２ 保護管理者は、前項の記録を、当該記録を作成した日から個人情報保護委員会
規則で定める期間保存しなければならない。
（第三者提供を受ける際の確認等）
第４１条 保護管理者は、職員が第三者から個人データの提供を受けるに際しては、
個人情報保護委員会規則で定めるところにより、次に掲げる事項の確認を行わなければならない。ただし、当該個人データの提供が第38条第１項各号又は第５項各号のいずれかに該当する場合は、この限りでない。
（１）当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名（２）当該第三者による当該個人データの取得の経緯
２ 保護管理者は、前項の規定による確認を行ったときは、個人情報保護委員会規則で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。
３ 保護管理者は、前項の記録を、当該記録を作成した日から個人情報保護委員会
規則で定める期間保存しなければならない。
（個人関連情報の第三者提供の制限等）
第４２条 職員は、第三者が個人関連情報（個人関連情報データベース等を構成す
るものに限る｡)を個人データとして取得することが想定されるときは、第38条第１項各号に掲げる場合を除くほか、次に掲げる事項について、あらかじめ個人情報保護委員会規則で定めるところにより確認することをしないで、当該個人関連情報を当該第三者に提供してはならない。
（１）当該第三者が本学から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていること。
（２）外国にある第三者への提供にあっては、前号の本人の同意を得ようとする場
合において、個人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報が当該本人に提供されていること。
２ 第39条第３項の規定は、前項の規定により職員が個人関連情報を提供する場合
について準用する。この場合において、同条第３項中「講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供し」とあるのは、「講じ」と読み替えるものとする。
３ 前条第２項から第４項までの規定は、第１項の規定により個人関連情報取扱事業者が確認する場合について準用する。この場合において、同条第３項中「の提供を受けた」とあるのは、「を提供した」と読み替えるものとする。
（苦情の処理）第４３条 職員は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
２ 総括保護管理者は、前項の目的を達成するために、個人情報の取扱いに関する苦情窓口を置く。
（仮名加工情報の作成等）
第４４条 職員は、仮名加工情報（仮名加工情報データベース等を構成するものに限る｡)を作成するときは、他の情報と照合しない限り特定の個人を識別することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、個人情報を加工しなければならない。
２ 保護管理者は、所属の職員が、仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等（仮名加工情報の作成に用いられた個
人情報から削除された記述等及び個人識別符号並びに前項の規定により行われた加工の方法に関する情報をいう。以下この条及び次条第３項において読み替えて準用する第７項において同じ｡)を取得したときは、削除情報等の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、削除情報等の安全管理のための措置を講じなければならない。
３ 職員は、第30条の規定にかかわらず、法令に基づく場合を除くほか、第29条第１項の規定により特定された利用目的の達成に必要な範囲を超えて、仮名加工情報（個人情報であるものに限る。以下この条において同じ｡)を取り扱ってはならない。
４ 仮名加工情報についての第33条の規定の適用については、同条第１項及び第３項中「、本人に通知し、又は公表し」とあるのは「公表し」と、同条第４項第１号から第３号までの規定中「本人に通知し、又は公表する」とあるのは「公表する」とする。
５ 職員は、仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞なく消去するよう努めなけ
ればならない。この場合においては、第34条の規定は、適用しない。
６ 職員は、第38条第１項及び第２項並びに第39条第１項の規定にかかわらず、法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはならない。この場合において、第38条第４項中「前各項」とあるのは「第43条第６項」と、同項第３号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第５項中「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と、第40条第１項ただし書中「第38条第１項各号又は第４項各号のいずれか（前条第１項の規定による個人データの提供にあっては、第38条第１項各号のいずれか）」とあり、及び第41条第１項ただし書中「第38条第１項各号又は第４項各号のいずれ

か」とあるのは「法令に基づく場合又は第38条第４項各号のいずれか」とする。
７ 職員は、仮名加工情報を取り扱うに当たっては、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該仮名加工情報を他の情報と照合してはならない。
８ 職員は、仮名加工情報を取り扱うに当たっては、電話、郵便若しくは信書便、電報その他の法第41条第８項で掲げる方法を用いるため、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用してはならない。
９ 仮名加工情報、仮名加工情報である個人データ及び仮名加工情報である保有個人データについては、第十七条第二項、第二十六条及び第三十二条から第三十九条までの規定は、適用しない。
（仮名加工情報の第三者提供の制限等）
第４５条 職員は、法令に基づく場合を除くほか、仮名加工情報（個人情報であるものを除く。次項及び第三項において同じ｡)を第三者に提供してはならない。
２ 第38条第４項及び第５項の規定は、仮名加工情報の提供を受ける者について準用する。この場合において、同条第４項中「前各項」とあるのは「第44条第１項」と、同項第３号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と読み替えるものとする。
３ 第35条、第36条、第43条並びに前条第７項及び第８項の規定は、仮名加工情報取扱事業者による仮名加工情報の取扱いについて準用する。この場合において、第35条中「漏えい、滅失又は毀損」とあるのは「漏えい」と、前条第７項中「ために、」とあるのは「ために、削除情報等を取得し、又は」と読み替えるものとする。
（事案の報告及び再発防止措置）
第４６条 保有個人情報の漏えい等安全確保の上で問題となる事案（以下「事案」という｡)又は問題となる事案の発生のおそれを認識した場合に、その事案等を認識した職員は、直ちに当該保有個人情報を管理する保護管理者に報告しなければならない。
２ 保護管理者は、被害の拡大防止又は復旧等のために必要な措置を速やかに講ずるものとする。ただし、外部からの不正アクセスや不正プログラムの感染が疑われる当該端末等のＬＡＮケーブルを抜くなど、被害拡大防止のため直ちに行い得る措置については、直ちに行う（職員に行わせることを含む｡)ものとする。
３ 保護管理者は、事案の発生した経緯、被害状況等を調査し、総括保護管理者に報告するものとする。ただし、特に重大と認める事案が発生した場合には、直ちに総括保護管理者に報告するものとする。
４ 総括保護管理者は、前項の規定に基づく報告を受けた場合には、事案の内容等に応じて、当該事案の内容、経緯、被害状況等を学長にすみやかに報告するものとする。
５ 総括保護管理者は、第３項により受けた報告が、個人情報保護委員会規則に定めるものに該当する場合は、同規則に定めるところにより、当該事案の内容、経緯、被害状況等について、個人情報保護委員会及び関係省庁に報告しなければな
らない。

６

保護管理者は、事案の発生した原因を分析し、再発防止のために必要な措置を講ずるものとする。
（公表等）
第４７条 保護管理者は、個人情保護委員会規則で定めるところにより、総括保護管理者と相談のうえ、当該事態が生じた旨の本人への通知、事実関係及び再発防止策の公表等の措置を講じなければならない。
（行政機関等匿名加工情報及び削除情報の提供）
第４８条 保護管理者は，法第107条の規定により、法令に基づく場合を除き、利用目的以外の目的のために行政機関等匿名加工情報を自ら利用し、又は提供してはならない。
２ 保護管理者は、法第107条第１項及び第113条の規定（第106条の規定により第113条の規定を準用する場合を含む｡)により、行政機関等匿名加工情報の利用に関する契約を締結した者（以下「契約相手方」という｡)から法第110条第２項第７号の規定に基づき当該契約相手方が講じた行政機関等匿名加工情報の適切な管理に支障を及ぼすおそれがある旨の報告を受けたときは、直ちに総括保護管理者に報告するとともに、当該契約相手方がその是正のための講じた措置を確認しなければならない。
（監査）第４９条 監査責任者は、保有個人情報等の適切な管理を検証するため、本規則第３条から第３２条に規定する措置の状況を含む本学における保有個人情報等の管理の状況について、定期に及び必要に応じ随時に監査（外部監査を含む。以下同じ｡)を行い、その結果を総括保護管理者に報告するものとする。
（点検）第５０条 保護管理者は、各部局等における保有個人情報等の記録媒体、処理経路、保管方法等について、定期に及び必要に応じ随時に点検を行い、必要があると認めるときは、その結果を総括保護管理者に報告するものとする。
（評価及び見直し）第５１条 総括保護管理者、保護管理者等は、監査又は点検の結果等を踏まえ、実効性等の観点から保有個人情報等の適切な管理のための措置について評価し、必要があると認めるときは、その見直し等の措置を講ずるものとする。
（文部科学省との連携）
第５２条 本学は、「個人情報の保護に関する基本方針」（平成16年４月２日閣議決定）４を踏まえ、文部科学省と緊密に連携して、本学が保有する個人情報の適切な管理を行うものとする。
（個人情報ファイル簿）
第５３条 保護管理者は、個人情報ファイル（法第11条第２項各号に掲げるもの及び同条第３項の規定により個人情報ファイル簿に記載しないものを除く。以下同じ｡)を保有するに至ったときは、直ちに、別紙様式により個人情報ファイル簿を作成し、総括保護管理者に提出しなければならない。
２ 保護管理者は、個人情報ファイル簿に記載すべき事項に変更があったときは、直ちに当該個人情報ファイル簿を修正し、統括保護管理者に提出しなければならない。

３

保護管理者は、個人情報ファイル簿に掲載した個人情報ファイルの保有をやめたとき、又はその個人情報ファイルが法第11条第２項第７号に該当するに至った
ときは、遅滞なく、当該個人情報ファイルについての記載を削除するよう総括保護管理者に申し出なければならない。
４ 保護管理者は、行政機関等匿名加工情報を作成し、行政機関等匿名加工情報
ファイルを保有したときは、直ちに当該個人情報ファイル簿へ記載し、統括保護管理者に提出しなければならない。
５ 個人情報ファイル簿は、企画総務課において一般の閲覧に供するとともに、東京藝術大学ホームページにおいて公表するものとする。
（雑則）
第５４条 この規則に定めるもののほか、個人情報の管理に関し必要な事項は、別
に定める。
附 則
この規則は、平成17年４月１日から施行する。
附 則
この規則は、平成17年８月１日から施行する。
附 則
この規則は、平成18年１月10日から施行し、平成17年11月17日から適用する。
附 則
この規則は、平成19年４月１日から施行する。
附 則
この規則は、平成19年８月１日から施行する。
附 則
この規則は、平成20年４月15日から施行し、平成20年４月１日から適用する。
附 則
この規則は、平成22年５月21日から施行する。
附 則
この規則は、平成23年４月１日から施行する。
附 則
この規則は、平成24年４月１日から施行する。
附 則
この規則は、平成25年４月１日から施行する。
附 則
この規則は、平成25年10月24日から施行し、平成25年７月18日から適用する。
附 則
この規則は、平成26年４月１日から施行する。
附 則
この規則は、平成26年11月１日から施行する。
附 則
この規則は、平成27年４月７日から施行し、平成27年４月１日から適用する。
附 則

この規則は、平成27年５月14日から施行し、平成27年５月１日から適用する。
附 則
この規則は、平成28年１月12日から施行する。
附 則
この規則は、平成28年４月１日から施行する。
附 則
この規則は、平成28年10月17日から施行する。
附 則
この規則は、平成30年２月１日から施行する。
附 則
この規則は、平成31年３月６日から施行する。
附 則
この規則は、令和４年４月12日から施行し、令和４年４月１日から適用する。
附 則
この規則は、令和５年３月16日から施行する。
附 則
この規則は、令和５年11月１日から施行する。

別表（第３条関係）
部

事務局

局

等

保護管理者

保護担当者

企画総務課

企画総務課長

総務・広報係長

人事労務課

人事労務課長

人事係長

財務会計課

財務会計課長

財務総括係長

社会連携課

社会連携課長

社会連携係長

学生課

学生課長

総務係長

施設課

施設課長

施設企画係長

美術学部事務長

庶務係長

音楽学部事務長

庶務係長

映像研究科事務長

庶務係長

美術学部
美術学部附属古美術研究施設
音楽学部
演奏芸術センター
言語・音声トレーニングセンター
音楽学部附属音楽高等学校
大学院映像研究科
大学院国際芸術創造研究科

千住校地事務セン
ター事務長

庶務係長

附属図書館

附属図書館事務長

総務係長

大学美術館

大学美術館事務長

管理係長

社会連携センター

社会連携課長

社会連携係長保健管理センター

学生課長

総務係長

芸術情報センター

附属図書館事務長

総務係長

藝大アートプラザ

社会連携課長

社会連携係長別紙様式（第４１条関係）
部 局 名

東京藝術大学 個人情報ファイル簿
個人情報フ 担当部
ァイルの名 局称記録される 記録情報

利用目

記録項目

的

※各項目間 個人の範

の収集方

には、半角

法

カンマ「,」を
入力してく
ださい。

囲

記録情報を

開示請求等 他法令等に本学以外の を受理する

よる、訂正、者に経常的 担当部局の 利用停止等に提供する名称及び所 の手続等の場合の提供 在地
先

個人情報ファイルの種別

規定（ある場合）法第2 条第 法第2 条第4 項第1 号( 4 項第2 号(
電算処理ﾌｧ ﾏﾆｭｱﾙﾌｧｲﾙ)ｲﾙ)

記録情報に 独立行政法人 独立行政法

個人情報ファイ

要配慮個人 等非識別加工 人等非識別ルが第２条第９項 等非識別加工

行政法人等非行政法人等非第２号ロに該当

識別加工情報識別加工情報情報が含ま情報の提案の 加工情報のれるときは、 募集をする個 提案を受ける する場合には、その旨独立行政法人情報の概要作成された独立 作成された独立に関する提案を に関する提案を

人情報ファイ

組織の名称

意見書の提出機受ける組織の名 することができ

ルである旨

及び所在地

会が与えられる称及び所在地旨る期間