大学共同利用機関法人高エネルギー加速器研究機構
個人情報取扱要項
平成２８年３月１４日
制定
改正 平成２９年９月２１日
改正 令和 ４年８月１日（目的）
第１条 この要項は、大学共同利用機関法人高エネルギー加速器研究機構個人情報保護規程（平成１７年規程第３１号。以下「規程」という。）第６２条の規定に基づき、個人情報を適正に取り扱うために必要な事項を定めることを目的とする。
（定義）
第２条 この要項における用語の意義は、規程第２条の定めるところによる。
（秘匿性に応じた取扱い）
第３条 機構の役職員が個人データを取り扱う場合は、次に掲げる秘匿性の分類に応じた取扱いとする。
（１）秘匿性の分類
１）秘匿性１情報（秘匿性が低いもの）
ア．氏名、性別、所属、メールアドレスのみを記録したメールのアドレス帳
イ．管理者本人に関する情報のみを記録した個人情報ファイル
ウ．３００人未満の名刺に書かれている内容（氏名、所属、肩書き、性別、所属先住所、所属電話、ＦＡＸ、メールアドレス）に限定される個人情報ファイル（退職した者等で自宅を連絡先にしている場合を含む。）
エ．Ｒｅｓｅａｒｃｈｍａｐ、ＫＡＫＥＮ等不特定多数の人が知ることができる情報に関する３００人未満の部分集合体情報
２）秘匿性３情報（秘匿性が特に高いもの）
ア．健康診断データ
イ．管理局データ（給与、扶養情報、人事情報等）
ウ．要配慮個人情報
エ. 特定個人情報
３）秘匿性２情報（上記１）及び２）以外のもの）
上記１）、２）以外の、職員の勤務評価、大学院学生の成績評価、３００人以上の名刺に書かれている内容（氏名、所属、肩書き、性別、所属先住所、所属電話、ＦＡＸ、メールアドレス）に限定される個人情報ファイル（退職した者等で自宅を連絡先にしている場合を含む。
）等（２）取扱い１）秘匿性１情報機構の個人情報関係規程等（秘匿性に応じて行うこととされているもの以外）を遵守することを前提に、複製、送信、外部への送付又は持ち出しに係る保護管理者の特別な指示は求めない。
２）秘匿性３情報機密性の高いサーバーを保護管理者又は保護担当者の指示の下で管理し、原則として、機構外への持ち出しを禁止し、情報システムに組み込まれていない役職員レベルでのパーソナルコンピューター（以下「ＰＣ」という。）、サーバーでの利用は制限する。
３）秘匿性２情報
ア．３００人以上の名刺に書かれている内容（氏名、所属、肩書き、性別、所属先住所、所属電話、ＦＡＸ、メールアドレス）に限定される個人情報ファイル（退職した者等で自宅を連絡先にしている場合を含む。）については、保有していることを保護管理者に通知する。
イ．原則として、機構外への持ち出し（勤務地間の移動を除く。
）を禁止し、秘匿性があるものとして保護管理者の指示に従い管理する。
（外部への持ち出し等の取扱い）
第４条 漏えいリスクは、外部へ持ち出した時に紛失、盗難にあう確率が一番高いことから、秘匿性
２以上の情報については、機構外への持ち出しを原則禁止とする。
２

持ち出す場合は、保護管理者の指示を受け、セキュリティＵＳＢ又はセキュリティ機構を有する外付ＨＤＤやＳＳＤ等に保管し、外部にＰＣを持ち出す際には、ＰＣと別に管理することとする。

（点検項目）
第５条 総括保護管理者、保護管理者、保護担当者、役職員等による個人情報関係規程等の遵守状況の点検は、別に定める点検項目により適切に実施することとする。
（一時的作業のための複製等）
第６条 第３条で規定する秘匿性２情報及び秘匿性３情報に該当する個人データについて、一時的に加工等の作業を行うため複製等を行う場合には、当該作業に関係する保護管理者及び職員は、以下の手順により適切に個人データを取り扱うこととする。
（１）職員は、規程第４４条により、個人データの複製を行う場合には、別紙のチェックシートを保護管理者に提出する。
（２）保護管理者は、前項の提出があった場合、特に留意する事項を付記し、当該職員に写しを返却する。
（３）当該職員は作業の終了時に、前項により返却されたチェックシートに必要事項を記載した上、保護管理者に提出する。
（４）保護管理者は、第１項のチェックシートに記載された作業終了時までに前項の提出がなかった場合、当該職員から書類の提出を求めなければならない。

（５）保護管理者は、職員が作業終了後、複製した個人データを消去していない場合、複製した個人データを基に新たな個人データを作成している場合等については、規定による手続きが行われていることを確認する。
（６）個人データを取り扱う職員が所属する組織の保護管理者（以下、「提供先保護管理者」という。
）と当該個人データを保有する組織の保護管理者（以下、「提供元保護管理者」という。
）が異なる場合においては、それらの組織毎にこの作業を行う。
提供元保護管理者による提供した個人データの提供先での取扱状況の確認は、提供先保護管理者による通知（提供先の職員の作業終了時の報告を提供先保護管理者が確認した際のチェックシートの写し）の受領をもって行うこととする。
なお、複製した個人データを保存するファイルサーバーが自動暗号化の機能を有するなど情報セキュリティが強固な場合や、定常的な確認方法が定型化しているなど総括保護管理者が実効性を損なわないと判断した場合は、この通知を省略できるものとする。
（７）保護管理者は、これらの作業について当該組織内の保護担当者に委任することができる。保
護担当者は、職員がこの手順に従わない場合等は、保護管理者にその旨を連絡しなければならない。
（８）これらの手続きについては、電子データにより行うことができる。
（廃棄等）
第７条 廃棄については、規程第２９条において、個人データ又は個人データが記録されている媒体（端末及びサーバーに内蔵されているものを含む。
）が不要となった場合には、保護管理者の指示に従い、当該個人データの復元又は判読が不可能な方法により当該情報の消去又は当該媒体の廃棄等を行うと規定しているが、第３条で規定する秘匿性２情報及び秘匿性３情報に該当する場合は、消去又は廃棄の実績を記録することとする。

附 記
この要項は、平成２８年４月１日から実施する。
附 記（平成２９年９月２１日）
この要項は、平成２９年９月２１日から実施し、平成２９年５月３０日から適用する。

附 記（令和４年８月１日）
この要項は、令和４年８月１日から実施する。

（別紙）個人データの複製のチェックシート

１．職員から保護管理者への指示伺い
１．個人データを複製する職員の所属、氏名
２．複製する個人データ
３．複製して行う作業内容
４．個人データの取り扱い
複製した個人データ複製した個人データを基に作成した個人データ（消去、保管、外部に持ち出し、他に提供等の取り扱いの予定を記載）
５．作業終了予定

年月日
年月日

年
月
保護管理者

日

２．保護管理者から職員への指示
本件取扱いについての指示事項（あり／なし）（ありの場合）３．作業終了時の職員から保護管理者への報告
今回の作業は終了したことを報告します。
複製した個人データの取扱い
複製した個人データを基に作成した個人データ年月日

【記載要領】
職員は、個人情報保護規程第４４条により、個人データの複製を行う場合には、チェックシートを保護管理者に提出することとなっています。
（１）個人データの複製を行う場合には、チェックシート「１．職員から保護管理者への指示伺い」に必要事項を記入し、保護管理者に提出します。
（２）保護管理者は、必要に応じ、特に留意する事項について「２．保護管理者から職員への指示」欄に付記し、提出した職員に写しを返却してください。
（３）当該職員は作業の終了時に、保護管理者から返却されたチェックシートの写しの「３．作業終了時の職員から保護管理者への報告」に必要事項を記入し、保護管理者に提出します。
（４）保護管理者は、職員が作業終了後、複製した個人データを消去していない場合、複製した個人データを基に新たな個人データを作成している場合等については、規定による手続きが行われていることを確認してください。

＜備考＞＊

個人データを取り扱う職員が所属する組織の保護管理者（以下、「提供先保護管理者」という。
）と当該個人データを保有する組織の保護管理者（以下、「提供元保護管理者」という。
）が異なる場合においては、それらの組織毎に本チェックシートによる手続を行ってください。
＊

提供元保護管理者による提供した個人データの提供先での取扱状況の確認は、提供先保護管理者による通知（提供先の職員の作業終了時の報告を提供先保護管理者が確認した際のチェックシートの写し）の受領をもって行うこととします。
＊

複製した個人データを保存するファイルサーバーが自動暗号化の機能を有するなど情報セキュリィティが強固な場合や、定常的な確認方法が定型化しているなど総括保護管理者が実効性を損なわないと判断した場合は、この通知を省略できるものとします。
＊

保護管理者は、これらの作業について当該組織内の保護担当者に委任することができます。

＊

これらの手続きについては、電子データにより行うことが可能です。