群馬県公立大学法人における特定個人情報等の適正な管理に関する規程
平成30年４月１日
群馬県公立大学法人規程第35号（趣旨）
第１条 この規程は、行政手続における特定の個人を識別するための番号の利用等に関する法律（平成25年法律第27号。以下「番号法」という。）及び群馬県個人情報保護条例（平成12年群馬県条例第85号。以下「条例」という。）等の関係法令に基づき、群馬県公立大学法人における個人情報の適正な管理に関する規程（群馬県公立大学法人規程第号）に定めるもののほか、群馬県公立大学法人（以下「法人」という。）における個人番号及び特定個人情報（以下「特定個人情報等」という。）の取扱い及びその他の特定個人情報等の適正な管理に関し必要な事項を定めるものとする。
（定義）
第２条

この規程で使用する用語は、特段の定めのない限り番号法及びその他関係法令の定めるところによる。
（事務の範囲）第３条 法人が個人番号を取り扱う事務の範囲は、次のとおりとする。
（１）所得税の支払調書・源泉徴収票の提出に関する事務（２）個人住民税の特別徴収に係る給与支払報告書等の提出に関する事務（３）雇用保険の届出等に関する事務（４）健康保険・厚生年金保険届出等に関する事務（５）地方公務員等共済組合法に基づく届出等に関する事務（６）国民年金第３号被保険者の届出等に関する事務（７）労働者災害補償保険法に基づく請求に関する事務（８）地方公務員災害補償法に基づく請求に関する事務（９）財産形成住宅貯蓄・財産形成年金貯蓄の申込等に関する事務（対象範囲）
第４条

法人が前条において取り扱う個人番号及び当該個人番号に係る特定個人情報の対象者は、以下のとおりとする。
（１）職員等（法人と雇用関係にある職員（専任教員、非常勤講師、事務職員等）のみならず、法人との間に雇用関係がない者（理事、監事等）を含む者をいう。以下「職員等」という。）及び職員等の扶養親族（２）職員等以外で法人に人的役務の提供をする者及び法人が不動産の賃貸・譲受け等の取引をする者（特定個人情報の範囲）

1

第５条

第３条の法人が個人番号を取り扱う事務において使用される特定個人情報の範囲は、次のとおりとする。
（１）前条各号に規定する者から、番号法第16条に基づく本人確認を実施する際に提示を受けた本人確認書類の写し及び個人番号が記載された申告書並びに当該書類の記載情報（２）法人が行政機関等に提出するために作成した個人番号が記載された届出書等及びこれらの控え並びに当該書類の記載情報（３）その他個人番号と関連付けて保存される情報（総括責任者）
第６条 法人に総括責任者を置くこととし、理事長をもって充てる。
２ 総括責任者は、法人における特定個人情報等の安全管理に関する事務を総括し、保護責任者及び事務取扱担当者に対して特定個人情報等の適正な取扱いが行われるよう必要かつ適切な指導を行う。
（保護責任者）
第７条

法人事務局、女子大学、県民健康科学大学に保護責任者を一人置くこととし、事務局長をもって充てる。
２ 保護責任者は、所属組織における特定個人情報等の管理に関する事務を総括し、特定個人情報等の適切な取扱いについて事務取扱担当者を監督する。
（監査責任者）
第８条 法人に監査責任者を置くこととし、法人事務局長をもって充てる。
２ 監査責任者は、法人における特定個人情報等の安全管理の状況について監査する。
（事務取扱担当者）
第９条 法人事務局、女子大学、県民健康科学大学に、特定個人情報等を取り扱う事務取扱担当者を置く。
２ 事務取扱担当者は、保護責任者が指定する者とする。
３ 保護責任者は、事務取扱担当者の役割及び取り扱う特定個人情報等の範囲を指定する。
４ 事務取扱担当者は番号法の趣旨に則り、関連する法令、条例並びに規程等の定め並びに総括責任者及び保護責任者の指示に従い、特定個人情報等を取り扱わなければならない。
（職員等の責務）
第10条 職員等は、特定個人情報等の漏えい、滅失又は毀損等（以下「漏えい等」という。）の事案の発生又は兆候を把握した場合及び事務取扱担当者がこの規程等に違反している事実又は兆候を把握した場合は、速やかに保護責任者に報告しなければならない。
（特定個人情報等の漏えい事故発生時の対応）
第11条

特定個人情報等の漏えい等安全確保の上で問題となると思われる事案又は兆候（以下「事案等」という。）が発生した場合、その事実を知った職員等は、直ちに当該特定個人情報等を管理する保護責任者に報告しなければならない。

2２前項の報告を受けた保護責任者は、被害の拡大防止又は復旧等のために必要な措置を講ずるとともに、事案等の発生した経緯、被害状況等を調査し、総括責任者に報告しなければならない。ただし、特に重大と認める事案等が発生した場合には、直ちに総括責任者に当該事案等の概要について報告するものとする。

３ 保護責任者は、事案等の発生した原因を究明し、再発防止のために必要な措置を講ずるとともに、その結果を総括責任者に報告しなければならない。
４ 総括責任者は、事案等の発生の報告を受けた場合は、事実関係及び再発防止策等について、速やかに個人情報保護委員会に報告するものとする。
５ 総括責任者は、事案の内容等に応じて、二次被害の防止、類似事案の発生回避等の観点から、事実関係及び再発防止策の公表、当該事案に係る本人への対応等の措置を講じるものとする。
（特定個人情報等の取扱状況の記録）
第12条 保護責任者は、特定個人情報等の取扱いの状況を明確にするため、次の事項について、事務取扱担当者にその取扱い実績を記録させるものとする。
（１）特定個人情報等の取得及び特定個人情報ファイルへの入力の状況（２）特定個人情報ファイルの利用及び出力の状況（３）電子媒体又は書類等の持出しの状況（４）特定個人情報ファイルの削除又は廃棄の状況（５）削除又は廃棄を委託した場合、これを証明する記録等の状況（６）特定個人情報ファイルを情報システムで取り扱う場合、事務取扱担当者の情報システ
ムの利用の状況（ログイン実績、アクセスログ等）（７）特定個人情報等の提供の状況（取扱区域）
第13条 保護責任者は、特定個人情報等を取り扱う事務を実施する区域を明確にし、特定個人情報等の漏えい等を防止するために必要な物理的な安全管理措置を講ずるものとする。
（端末及び電子媒体等の盗難等の防止）第14条 保護責任者は、特定個人情報等を取り扱う端末、電子媒体及び書類等の盗難又は紛失を防止するため、次の各号に掲げる措置を講じ、事務取扱担当者に周知徹底させる。
（１）特定個人情報等が記録されている電子媒体及び書類等を、施錠できるロッカー、書庫、金庫等に保管する。
（２）特定個人情報等を取り扱う情報システム（以下「情報システム」という。）を操作する端末をセキュリティワイヤー等により固定する。
（電子媒体等の漏えい等の防止）
第15条

法人が取り扱う特定個人情報等が記録された電子媒体又は書類等は、次に掲げる場合を除き、第17条に定める取扱区域の外への持出しを禁止する。
（１）行政機関等へ法定調書等を提出等法人が実施する個人番号関係事務のため、個人番号3

利用事務実施者に対しデータ又は書類等を提出する場合（２）法人の個人番号関係事務に係る外部委託先に、委託事務の実施のために必要と認められる範囲内でデータ又は書類等を提供する場合（３）保護責任者が必要と認める場合
２

前項各号により特定個人情報等が記録された電子媒体又は書類等の持出しを行う場合には、電子媒体はパスワードの設定、書類等は封筒に封入して搬送する等、情報の漏えい、紛失等を防ぐ対策を講ずるものとする。ただし、行政機関等へ法定調書等をデータで提出する場合は、当該行政機関等が指定する提出方法に従うものとする。
（不正アクセス等の防止）
第16条

法人は、特定個人情報ファイルを取り扱う端末及び情報システムのサーバ等機器について、不正アクセス又は不正ソフトウェアから保護する仕組みを導入し、適切に運用しなければならない。
２ 事務取扱担当者は、情報システムに接続する、又は特定個人情報ファイルを取り扱う端末を安全管理上適正に使用しなければならない。
（情報漏えい等の防止）
第17条 法人は、情報漏えい等の防止のため、特定個人情報ファイルを取り扱う端末及び情報システムのサーバ等機器には、記録機能を有する端末及びＵＳＢメモリ等電子媒体の接続を制限する等必要な措置を講じなければならない。
２ 法人は、特定個人情報等をインターネット等により外部に送信する場合は、通信経路の暗号化、特定個人情報ファイルへのパスワード設定等により情報漏えい等を防止する措置を講じなければならない。
（利用の目的及び制限）第18条 法人が取得する特定個人情報等の利用目的は、第３条に定める事務の範囲内とし、本人の同意があったとしても利用目的以外の目的のために利用してはならない。ただし、人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意があり、又は本人の同意を得ることが困難であるときは、この限りでない。
（利用目的の明示）
第19条 法人は、特定個人情報等を取得する場合は、書面を交付又は送付する等の方法により、あらかじめ、その利用目的を明示しなければならない。
２

法人が当初の利用目的と相当の関連性を有すると合理的に認められる範囲内で利用目的の変更を要する場合、本人への利用目的変更の通知又は明示を行うことにより、変更後の利用目的の範囲内で特定個人情報等を利用することができる。

（個人番号の提供の要求）
第20条 法人は、第３条に定める事務を処理するために必要がある場合に限り、本人又は他の個人情報利用事務実施者若しくは個人情報関係事務実施者に対して個人番号の提供を求めることができる。

4

（特定個人情報等の収集・保管の制限）
第21条

事務取扱担当者は、第３条に定める事務を処理するために必要な場合その他番号法で定める場合を除き、特定個人情報等を収集又は保管してはならない。
（本人確認）
第22条

事務取扱担当者は、番号法第16条に定める方法により個人番号及び身元の確認を行うものとする。この場合において、代理人については、同条に定める方法により当該代理人の身元及び代理権並びに本人の個人番号の確認を行うものとする。
（特定個人情報ファイルの作成の制限）
第23条

事務取扱担当者は、第３条に定める事務を処理するために必要な場合その他番号法で定める場合を除き、特定個人情報ファイルを作成してはならない。
（特定個人情報等の提供の制限）
第24条 法人は、番号法で限定的に明記された場合を除き、保有する特定個人情報等を提供してはならない。
（個人番号を取り扱う事務の委託等）
第25条

保護責任者は、第３条に定める個人番号を取り扱う事務の全部又は一部を委託する場合には、委託先において、番号法に基づき法人が果たすべき安全管理措置と同等の措置が講じられることをあらかじめ確認しなければならない。
２

保護責任者は、第３条に定める個人番号を取り扱う事務の全部又は一部を委託する際には、受託者において、法人が果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行わなければならない。
３ 保護責任者は、第３条に定める個人番号を取り扱う事務の全部又は一部の受託者が再委託をする際には、委託をする個人番号利用事務等において取り扱う特定個人情報等の適切な安全管理が図られることを確認した上で再委託の諾否を判断しなければならな
い。再委託先が再々委託を行う場合以降も同様とする。
４

保護責任者は、再委託先において法人が果たすべき安全管理措置と同等の措置が講じられるよう、委託先が再委託先に対し必要かつ適切な監督を行っているかどうかを監督しなければならない。再委託先が再々委託を行う場合以降も同様とする。
（監査）第26条 監査責任者は、法人における特定個人情報等の管理の状況について、定期又は随時に監査を行い、その結果を総括責任者に報告するものとする。
（点検）
第27条

保護責任者は、自ら管理責任を有する特定個人情報等を記録した電子媒体又は書面等の処理経路、保管方法等について、定期又は随時に点検を行い、必要があると認めるときは、その結果を総括責任者に報告するものとする。
（見直し）
第28条

総括責任者及び保護責任者は、前２条の結果を踏まえ、必要があると認めるとき

5

は、特定個人情報等の適切な管理のための措置について見直し等を講ずるものとする。
（委任）
第29条

この規程に定めるもののほか、特定個人情報等の管理及び取扱いに関し必要な事項については、理事長が別に定める。
附 則
この規程は、平成30年４月１日から施行する。

6