○長崎大学個人情報管理規程

目次
第１章 総則（第１条・第２条）
第２章 管理体制（第３条―第７条）
第３章 教育研修（第８条）
第４章 職員の責務（第９条）
第５章 保有個人情報の取扱い（第１０条―第１５条）
第６章 情報システムにおける安全の確保等（第１６条―第２６条の２）
第７章 情報システム室等の安全管理（第２７条・第２８条）
第８章 保有個人情報の提供及び業務の委託等（第２９条・第３０条）
第９章 安全確保上の問題への対応（第３１条・第３２条）
第１０章 監査及び点検の実施（第３３条―第３５条）
第１１章 雑則（第３６条）
附則
第１章 総則（趣旨）
第１条 この規程は，長崎大学個人情報保護規則（平成１７年規則第６号。以下「規則」という。）
第７条の規定に基づき，長崎大学（以下「本学」という。）の保有する個人情報の適切な管理に関し必要な事項を定めるものとする。
２

本学の保有する個人情報の適切な管理については，独立行政法人等の保有する個人情報の保護に関する法律（平成１５年法律第５９号。以下「法」という。）その他の法令等に別段の定めがあるもののほか，この規程の定めるところによる。
（定義）

第２条 この規程において「個人情報」，「保有個人情報」，「本人」及び「部局等」とは，規則第２条に規定する個人情報，保有個人情報，本人及び部局等をいう。

第２章 管理体制（総括保護管理者）
第３条 本学に，総括保護管理者を置き，学長が指名する理事又は副学長をもって充てる。
２

総括保護管理者は，本学における保有個人情報の管理に関する事務を総括する。

1/9

（保護管理者）
第４条 保有個人情報を取り扱う各部局等の事務部（課又は室を置くときは，当該課又は室とする。以下「課室等」という。）に，保護管理者を置き，当該課室等の長をもって充てる。
２

保護管理者は，各課室等における保有個人情報を適切に管理する。

３

前２項の規定にかかわらず，教育研究関係又は医療関係の保有個人情報の管理については，当該部局等の長を保護管理者とする。

（保護担当者）
第５条 保有個人情報を取り扱う各課室等に，保護担当者を置き，当該課室等の保護管理者が指名する者をもって充てる。
２

保護担当者は，保護管理者を補佐し，各課室等における保有個人情報の管理に関する事務を担当する。

３

前２項の規定にかかわらず，教育研究関係又は医療関係の保有個人情報の管理に関する事務については，当該部局等の長が指名する者を保護担当者とする。

（監査責任者）
第６条 本学に，監査責任者を置き，学長が指名する監事をもって充てる。
２

監査責任者は，本学における保有個人情報の管理の状況について監査する。
（保有個人情報の適切な管理のための委員会）

第７条 本学における保有個人情報の管理に係る重要事項の決定，連絡，調整等は，長崎大学情報公開・個人情報保護委員会において行う。

第３章 教育研修（教育研修）
第８条 総括保護管理者は，保有個人情報の取扱いに従事する職員に対し，保有個人情報の取扱いについて理解を深め，個人情報の保護に関する意識の高揚を図るための啓発その他必要な教育研修を行う。
２総括保護管理者は，保有個人情報を取り扱う情報システムの管理に関する事務に従事する職員に対し，保有個人情報の適切な管理のために，情報システムの管理，運用及びセキュリティ対策に関して必要な教育研修を行う。

３

保護管理者は，当該部局等又は課室等の職員に対し，保有個人情報の適切な管理のために，総括保護管理者の実施する教育研修への参加の機会を付与する等の必要な措置を講ずる。

４

前３項の措置を講ずる場合には，保有個人情報の取扱いに従事する派遣労働者についても，2/9職員と同様の措置を講ずる。

第４章 職員の責務（職員の責務）
第９条 職員は，法の趣旨に則り，関連する法令，規程等の定め並びに総括保護管理者，保護管理者及び保護担当者の指示に従い，保有個人情報を取り扱わなければならない。

第５章 保有個人情報の取扱い（アクセス制限）第１０条 保護管理者は，保有個人情報の秘匿性等その内容に応じて，当該保有個人情報にアクセスする権限を有する者をその利用目的を達成するために必要最小限の職員に限るものとする。
２

アクセス権限を有しない職員は，保有個人情報にアクセスしてはならない。

３

職員は，アクセス権限を有する場合であっても，業務上の目的以外の目的で保有個人情報にアクセスしてはならない。

（複製等の制限）第１１条 職員は，業務上の目的で保有個人情報を取り扱う場合であっても，次に掲げる行為については，保護管理者の指示に従い行うものとする。
(1) 保有個人情報の複製(2) 保有個人情報の送信(3) 保有個人情報が記録されている媒体の外部への送付又は持ち出し(4) その他保有個人情報の適切な管理に支障を及ぼすおそれのある行為（誤りの訂正等）
第１２条 職員は，保有個人情報の内容に誤り等を発見した場合には，保護管理者の指示に従い，訂正等を行うものとする。

（媒体の管理等）
第１３条 職員は，保護管理者の指示に従い，保有個人情報が記録されている媒体を定められた場所に保管するとともに，必要があると認めるときは，耐火金庫への保管，施錠等を行うものとする。

3/9

（廃棄等）
第１４条 職員は，保有個人情報又は保有個人情報が記録されている媒体（端末及びサーバに内蔵されているものを含む。）が不要となった場合には，保護管理者の指示に従い，当該保有個人情報の復元又は判読が不可能な方法により当該情報の消去又は当該媒体の廃棄を行うものとする。

（保有個人情報の取扱状況の記録）
第１５条 保護管理者は，保有個人情報の秘匿性等その内容に応じて，台帳等を整備して，当該保有個人情報の利用及び保管等の取扱いの状況について記録するものとする。

第６章 情報システムにおける安全の確保等（アクセス制御）第１６条 保護管理者は，保有個人情報（情報システムで取り扱うものに限る。第６章（第２３条を除く。）において同じ。）の秘匿性等その内容に応じて，パスワード等（パスワード，ICカード，生体情報等をいう。以下同じ。）を使用して権限を識別する機能（以下「認証機能」という。）を設定する等のアクセス制御のために必要な措置を講ずるものとする。
２

保護管理者は，前項の措置を講ずる場合には，パスワード等の管理に関する定めの整備（その定期又は随時の見直しを含む。），パスワード等の読取防止等を行うために必要な措置を講ずるものとする。

（アクセス記録）第１７条 保護管理者は，保有個人情報の秘匿性等その内容に応じて，当該保有個人情報へのアクセス状況を記録し，その記録（以下「アクセス記録」という。）を一定の期間保存し，及びアクセス記録を定期的に分析するために必要な措置を講ずるものとする。
２

保護管理者は，アクセス記録の改ざん，窃取又は不正な消去の防止のために必要な措置を講ずるものとする。

（外部からの不正アクセスの防止）
第１８条 保護管理者は，保有個人情報を取り扱う情報システムへの外部からの不正アクセスを防止するため，ファイアウォールの設定による経路制御等の必要な措置を講ずるものとする。

（アクセス状況の監視）
第１８条の２ 保護管理者は，保有個人情報の秘匿性等その内容に応じて，当該保有個人情報へ4/9

の不適切なアクセスの監視のため，一定数以上の保有個人情報がダウンロードされた場合に警告表示がなされる機能の設定，当該機能の定期的確認等の必要な措置を講ずる。

（管理者権限の設定）
第１８条の３ 保護管理者は，保有個人情報の秘匿性等その内容に応じて，情報システムの管理者権限の特権を不正に窃取された際の被害の最小化，内部からの不正操作等の防止のため，当該特権を最小限とする等の必要な措置を講ずる。

（不正プログラムによる漏えい等の防止）第１９条 保護管理者は，不正プログラムによる保有個人情報の漏えい，滅失又は毀損の防止のため，不正プログラムの感染防止等に必要な措置を講ずるものとする。

（暗号化）
第２０条 保護管理者は，保有個人情報の秘匿性等その内容に応じて，その暗号化のために必要な措置を講ずるものとする。

（入力情報の照合等）
第２１条 職員は，情報システムで取り扱う保有個人情報の重要度に応じて，入力原票と入力内容との照合，処理前後の当該保有個人情報の内容の確認，既存の保有個人情報との照合等を行うものとする。

（バックアップ）
第２２条 保護管理者は，保有個人情報の重要度に応じて，バックアップを作成し，分散保管するために必要な措置を講ずるものとする。

（情報システム設計書等の管理）第２３条 保護管理者は，保有個人情報に係る情報システムの設計書，構成図等の文書について外部に知られることがないよう，その保管，複製，廃棄等について必要な措置を講ずるものとする。

（端末の限定）第２４条 保護管理者は，保有個人情報の秘匿性等その内容に応じて，その処理を行う端末を限定するために必要な措置を講ずるものとする。

5/9

（端末の盗難防止等）
第２５条 保護管理者は，端末の盗難又は紛失の防止のため，端末の固定，執務室の施錠等の必要な措置を講ずるものとする。
２

職員は，保護管理者が必要があると認めるときを除き，端末を外部へ持ち出し，又は外部から持ち込んではならない。

（第三者の閲覧防止）
第２６条 職員は，端末の使用に当たっては，保有個人情報が第三者に閲覧されることがないよう，使用状況に応じて情報システムからログオフを行うことを徹底する等の必要な措置を講ずるものとする。
（記録機能を有する機器・媒体の接続制限）
第２６条の２ 保護管理者は，保有個人情報の秘匿性等その内容に応じて，当該保有個人情報の漏えい，滅失又は毀損の防止のため，スマートフォン，USBメモリ等の記録機能を有する機器・媒体の情報システム端末等への接続の制限（当該機器の更新への対応を含む。）等の必要な措置を講ずる。

第７章 情報システム室等の安全管理（入退管理）第２７条 保護管理者は，保有個人情報を取り扱う基幹的なサーバ等の機器を設置する室その他の区域（以下「情報システム室等」という。）に立ち入る権限を有する者を定めるとともに，用件の確認，入退の記録，部外者についての識別化，部外者が立ち入る場合の職員の立会い又は監視設備による監視，外部電磁的記録媒体等の持込み，利用及び持ち出しの制限又は検査等の措置を講ずるものとする。
２

保護管理者は，保有個人情報を記録する媒体を保管するための施設を設けている場合において，必要があると認めるときは，前項と同様の措置を講ずるものとする。

３

保護管理者は，必要があると認めるときは，情報システム室等の出入口の特定化による入退の管理の容易化，所在表示の制限等の措置を講ずるものとする。

４

保護管理者は，情報システム室等及び保管施設の入退の管理について，必要があると認めるときは，立入りに係る認証機能を設定し，及びパスワード等の管理に関する定めの整備（その定期又は随時の見直しを含む。），パスワード等の読取防止等を行うために必要な措置を講ずるものとする。

6/9

（情報システム室等の管理）第２８条 保護管理者は，外部からの不正な侵入に備え，情報システム室等に施錠装置，警報装置，監視設備の設置等の措置を講ずるものとする。
２

保護管理者は，災害等に備え，情報システム室等に，耐震，防火，防煙，防水等の必要な措置を講ずるとともに，サーバ等の機器の予備電源の確保，配線の損傷防止等の措置を講ずるものとする。

第８章 保有個人情報の提供及び業務の委託等（保有個人情報の提供）
第２９条 保護管理者は，法第９条第２項第３号及び第４号の規定に基づき行政機関及び独立行政法人等以外の者に保有個人情報を提供する場合には，原則として，提供先における利用目的，利用する業務の根拠法令，利用する記録範囲及び記録項目，利用形態等について書面を取り交わすものとする。
２ 保護管理者は，法第９条第２項第３号及び第４号の規定に基づき行政機関及び独立行政法人等以外の者に保有個人情報を提供する場合には，安全確保の措置を要求するとともに，必要があると認めるときは，提供前又は随時に実地の調査等を行い措置状況を確認し，その結果を記録するとともに，改善要求等の措置を講ずるものとする。
３

保護管理者は，法第９条第２項第３号の規定に基づき行政機関又は独立行政法人等に保有個人情報を提供する場合において，必要があると認めるときは，前２項に規定する措置を講ずるものとする。

（業務の委託等）
第３０条 保護管理者は，保有個人情報の取扱いに係る業務を外部に委託する場合には，個人情報の適切な管理を行う能力を有しない者を選定することがないよう，必要な措置を講ずるほか，契約書等に次に掲げる事項を明記するとともに，委託先における責任者及び業務従事者の管理及び実施体制，個人情報の管理の状況についての検査に関する事項等の必要な事項について書面で確認するものとする。
(1) 個人情報に関する秘密保持，目的外利用の禁止等の義務(2) 再委託の制限又は事前承認等再委託に係る条件に関する事項(3) 個人情報の複製等の制限に関する事項(4) 個人情報の漏えい等の事案の発生時における対応に関する事項(5) 委託終了時における個人情報の消去及び媒体の返却に関する事項(6) 違反した場合における契約解除，損害賠償責任その他必要な事項

7/9

２

保護管理者は，保有個人情報の取扱いに係る業務を外部に委託する場合には，委託する保有個人情報の秘匿性等その内容に応じて，委託先における個人情報の管理の状況について，年１回以上の定期的検査等により確認する。

３

保護管理者は，委託先において，保有個人情報の取扱いに係る業務が再委託される場合には，委託先に第１項の措置を講じさせるとともに，再委託される業務に係る保有個人情報の秘匿性等その内容に応じて，委託先を通じて又は委託元自らが第２項の措置を実施する。保有個人情報の取扱いに係る業務について再委託先が再々委託を行う場合以降も同様とする。

４

保護管理者は，保有個人情報の取扱いに係る業務を派遣労働者によって行わせる場合には，労働者派遣契約書に秘密保持義務等個人情報の取扱いに関する事項を明記するものとする。

第９章 安全確保上の問題への対応（事案の報告及び再発防止措置）
第３１条 保有個人情報の漏えい等安全確保の上で問題となる事案が発生した場合に，その事実を知った職員は，速やかに当該保有個人情報を管理する保護管理者に報告するものとする。
２

保護管理者は，被害の拡大防止，復旧等のために必要な措置を講ずるものとする。

３

保護管理者は，事案の発生した経緯，被害状況等を調査し，総括保護管理者に報告するものとする。ただし，特に重大と認める事案が発生した場合には，直ちに総括保護管理者に当該事案の内容等について報告するものとする。

４

総括保護管理者は，前項の規定に基づく報告を受けた場合には，事案の内容等に応じて，当該事案の内容，経緯，被害状況等を学長に速やかに報告するものとする。

５

保護管理者は，事案の発生した原因を分析し，再発防止のために必要な措置を講ずるものとする。

（公表等）
第３２条 総括保護管理者及び保護管理者は，事案の内容，影響等に応じて，事実関係及び再発防止策の公表，当該事案に係る本人への対応等の措置を講ずるものとする。

第１０章 監査及び点検の実施（監査）第３３条 監査責任者は，保有個人情報の管理の状況について，定期に又は随時に監査を行い，その結果を総括保護管理者に報告するものとする。

8/9

（点検）
第３４条 保護管理者は，自ら管理責任を有する保有個人情報の記録媒体，処理経路，保管方法等について，定期に又は随時に点検を行い，必要があると認めるときは，その結果を総括保護管理者に報告するものとする。
（評価及び見直し）第３５条 保有個人情報の適切な管理のための措置については，総括保護管理者，保護管理者等
は，監査又は点検の結果等を踏まえ，実効性等の観点から評価し，必要があると認めるときは，その見直し等の措置を講ずるものとする。

第１１章 雑則（補則）
第３６条 この規程に定めるもののほか，保有個人情報の管理に関し必要な事項は，別に定めることができる。

9/9