国立大学法人群馬大学個人情報の取扱いに係る業務委託内規

令和元. 9.26 制定
改正 令和 2. 7. 3 令和 4. 4. 1
（趣第１条

旨）
国立大学法人群馬大学個人情報管理規程（以下「規程」という。）第 31 条に規定する個人データの取扱いに係る業務を外部に委託する場合（以下「個人情報の業務委託」という。）の取扱いについては，規程で定めるもののほか，この内規の定めるところによる。
（対第２条

象）
この内規において対象とする業務は，次の各号のいずれかに該当するものとする。

（１）国立大学法人群馬大学（以下「本学」という。）が保有する個人情報を委託先に引き渡し，入力・加工・編集・保管等何らかの作業をさせるもの（２）委託先が，委託業務の履行過程において個人情報を取得し，当該個人情報を取り扱うもの（この場合において，本学の個人データを引き渡していないものを含む。
）（取引業者への周知）
第３条

本学ホームページ又は掲示板に，個人情報の取扱いに関する業務委託契約基準（別紙，以下「個人情報委託契約基準」という。）を掲示し，本学の個人情報の業務委託の取扱いについて，取引業者に対し周知を行う。
（委託先の選定）
第４条

委託先の選定は，次の各号のいずれかに掲げる方法により，委託先が個人情報の適切な管理を行う能力を有するかを確認した上で行うものとする。
（１）一般競争入札により委託先を選定する場合は，競争参加資格として個人情報の適切な管理を行う能力を有することを条件に加え，応札時に，責任者及び業務従事者の管理及び実施体制等証明書（別紙様式第１号，以下「管理体制等証明書」という。
）を提出させる。
（２）一般競争入札によらず委託先を選定する場合は，契約締結までに，管理体制等証明書又は同様の内容が確認できる書面（様式任意）を提出させる。
（契約の締結）第５条

個人情報の業務委託について，契約書等（覚書及び請書を含む。以下同じ。）により契約の締結を行う場合は，当該契約書等に「個人情報委託契約基準」を遵守する旨を記載する。
２

契約書等を取り交わさずに契約の締結を行う場合は，契約時に委託先に対し「個人情報委託契約基準」を遵守する旨を確認するものとする。
（実地検査等）第６条

規程第 31 条第２項に規定する実地検査は，委託先を選定した契約担当役補助者（国立大学法人群馬大学契約事務取扱規程第６条に規定する契約担当役補助者。以下同じ。）- 1 -の指示に基づき，契約期間中に年１回以上，次の各号により行うものとする。
（１）委託先（再委託先を含む。以下同じ。）が個人情報を取り扱っている現場又は事業場に立ち入り，個人情報取扱状況の確認書（実地検査）（別紙様式第２－１号）を使用し，検査を行う。
（２）実地検査の結果，委託先において改善が必要な事項があると判断した場合は，委託先に対し改善を要求するほか，事案票（別紙様式第３号）を作成し，規程第 34 条第１項に基づき，業務内容を所管する保護管理者（規程第４条に規定する保護管理者。）へ報告を行う。
２

前項に規定する実地検査について，次の各号のいずれかに該当すると契約担当役補助者が判断した場合は，個人情報取扱状況の確認書（書面検査）（別紙様式第２－２号）を委託先に送付することによる検査（以下「書面検査」という。）に代えることができる。
書面検査の実施については，前項の規定を準用するものとする。

（１）匿名化措置を講じていない（又は容易に照合可能な程度の匿名化措置）情報，秘匿性が高い情報，個人識別符号が含まれる情報，要配慮個人情報又は多量の個人情報を取扱うこととなる契約ではない等の理由により，漏えい，滅失又は毀損等が発生した
場合に生じる被害が大きいと想定されない場合（２）履行期間が短くかつ至急の案件であって，委託先が実地検査の対応を行うことにより納期が遅れてしまう場合（３）契約期間が１年を超える案件であって，契約初年度に実施した実地監査の結果，改善を要する事項がなく，次年度以降は書面検査で足りる場合（４）その他実地検査の妥当性に欠ける場合
３

委託先が管理体制等証明書に記載した自主的検査を実施した場合，当該検査に係る委託先内における報告書等の写しを本学に提出させ，その検査項目が本学の書面検査と同等以上であると契約担当役補助者が判断した場合，前項に規定する書面検査に代えることができる。

４第２項に規定する書面検査は，次の各号のいずれかに該当する場合に省略することができる。

（１）契約書等により契約を締結していない場合（２）契約期間が１年未満である場合

附

則

この内規は，令和元年９月 26 日から施行する。
附

則

この内規は，令和２年７月３日から施行し，令和２年４月１日から適用する。
附則

この内規は，令和４年４月１日から施行する。

- 2 -（別 紙）

個人情報の取扱いに関する業務委託契約基準
この基準は，国立大学法人群馬大学（以下「発注者」という。
）と個人情報の取扱いに関する業務委託契約の一般的約定事項を定めるものである。
（趣 旨）
第１ 発注者から発注者の保有する個人情報の取扱いに関する業務の依頼を受け承諾（以下「契約」という。
）した者（以下「受注者」という。
）は，個人情報の取扱いに関し，委託する業務における契約書等において特段の定めがない場合は，本基準によるものとする。
（定 義）
第２ 本基準における用語の定義は，個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「個人情報保護法」という。
）第２条の定めるところによる。ただし発注者医学部附属病院において保有している診療に関する情報のうち死亡した者の情報については，個人情報と同等のものとして準用する。

（秘密保持義務）
第３ 受注者は，個人情報を秘密として保持し，法令に特に定める場合を除き，これを発注者及び受注者以外の如何なる者（以下「第三者」という。
）にも開示してはならない。
２ 受注者が個人情報保護法に基づく保有個人データの開示，訂正及び利用停止等の請求を受けた場合においては，受注者は，当該請求を発注者に対して行うべき旨本人に対して教示するものとする。
（利用目的の公表等）
第４ 受注者が契約に基づく業務において，本人より直接個人情報を取得する場合，発注者及び受注者は，あらかじめその利用目的を公表している場合を除き，個人情報保護法，その附属規則，関連するガイドライン等（以下「個人情報保護法令等」という。
）に従い，個人情報保護法令等所定の方法にて個人情報の利用目的を公表，通知又は明示等するものとする。
（適正取得）
第５ 受注者が契約に基づく業務において個人情報を取得する場合，個人情報保護法令等に従い，適正な方法にて当該個人情報を取得しなければならない。
２ 受注者が契約に基づく業務において個人情報を取得する場合，発注者が指定する項目以外の項目を取得してはならない。
（個人情報の取扱者の限定）
第６ 受注者は，個人情報の取扱者を契約の履行に必要最小限の者に限定しなければならない。
（目的外利用等の禁止）
第７ 受注者は，個人情報を契約の履行の目的以外に利用してはならない。
２ 受注者は，個人情報の漏えい，盗用，改ざん等に繋がる行為をしてはならない。
３ 受注者は，個人情報を契約の履行の目的以外の目的のために書面に記載し若しくは記録媒体に記録し，又は個人情報が記載又は記録された書面若しくは記録媒体を複写・複製してはならず，契約の履行の目的の範囲内であっても，記載，記録，複写及び複製は発注者が事前に承諾した内容に従い最小限にとどめるものとする。
（持ち出しの禁止）
第８ 受注者は，個人情報を発注者の事前の承諾なく所定の場所から持ち出してはならない。
（個人情報の保管・管理）
第９ 受注者は，善良な管理者としての注意義務をもって個人情報を管理しなければならず，保管にあたっては施錠等の措置を取らなければならない。
（報告及び検査）第 10 発注者は，発注者が必要と認めた場合には，受注者に対して個人情報の取扱状況について報告を求めることができる。この場合，受注者は速やかに報告しなければならない。
２ 発注者は，発注者が必要と認めた場合には，受注者の事業所に立ち入り，個人情報の取扱状況を検査することができる。この場合，受注者は当該立入検査に協力しなければならない。
３ 前２項の報告及び検査並びにその他の行政処分を踏まえ，受注者の個人情報の取扱いについて改善が必要と判断さ- 3 -れる合理的理由がある場合，発注者は受注者に対して改善を要求することができる。受注者は当該改善要求に対し速やかに改善策を講じなければならない。
（個人情報が記録された資料の返還等）
第 11 契約の履行が終了，中断又は中止した場合，受注者は，発注者の指示に従い，個人情報及び個人情報を記録又は記載した一切の資料，写し，複製等を直ちに返還し，又は，完全に消去若しくは廃棄し，その状況を発注者に報告しなければならない。
（従業者等の監督）
第 12 受注者は，受注者の役員，従業員，出向者等受注者の指揮監督下にある全ての者及び受注者に派遣された派遣労働者（以下「従業者等」という。
）に対して，本基準に定める事項を遵守させなければならない。
（再委託の禁止）第 13 受注者は，発注者の書面による事前の承諾なく，個人情報の取扱いを第三者に委託してはならない。
２ 受注者が前項による承諾を得て，個人情報の取扱いが必要な業務を第三者に委託する場合，受注者は当該第三者（以下「再委託先」という。
）に対して，本基準に定める受注者の義務と同等又はそれ以上の義務を課すものとする。
３ 発注者又は受注者が必要と認める場合，発注者又は受注者は再委託先に対して個人情報の取扱状況の報告又は事業所への立入検査を求めることができる。この場合，再委託先は速やかに報告又は立入検査に協力しなければならない。
４ 前項の報告及び検査並びにその他の行政処分を踏まえ，再委託先の個人情報の取扱いについて改善が必要と判断される合理的理由がある場合，発注者又は受注者は再委託先に対して改善を要求することができる。再委託先は当該改善要求に対し速やかに改善策を講じなければならない。
（漏えい事案等の対応）
第 14 受注者は，契約の履行に係る個人情報を漏えい，滅失又は毀損（以下「漏えい等」という。
）をすることがないよう必要な措置を講ずるものとし，契約の履行に係る個人情報の漏えい等に関し責任を負うものとする。
２ 受注者又はその従業者等が，漏えい等をした場合又はその恐れがある場合には，受注者は直ちに発注者に報告しなければならない。この場合，受注者は速やかに必要な調査を行うとともに，再発防止策を策定し，発注者に対し調査結果及び再発防止策を報告する。
３ 再委託先が契約の履行に係る個人情報の漏えい等をした場合又はその恐れがある場合には，受注者は再委託先に対し，直ちに発注者及び受注者へ報告させるものとする。この場合，受注者は再委託先に対し，速やかに必要な調査を行わせるとともに，再発防止策を策定させるものとし，発注者及び受注者に対し調査結果及び再発防止策を報告させるものとする。
４ 契約の履行に係る個人情報の漏えい等に関し，訴訟上又は訴訟外において発注者に対する損害賠償請求等の申立がされた場合，受注者は当該申立の調査解決等につき発注者に合理的は範囲で協力するものとする。
５ 前項の発注者に対する申立が，第１項に定める受注者の責任範囲に属するときは，受注者は，発注者が当該申立を解決するのに要した一切の費用を負担する。
６ 契約の履行に係る個人情報の漏えい等に関し，訴訟上又は訴訟外において受注者に対する損害賠償請求等の申立がされた場合，受注者は，申立を受け，それを認識した日から５日以内に発注者に対し，申立の事実及び内容を書面で報告するものとする。
７ 前項の受注者に対する申立がされた場合，発注者が必要と判断する時は，発注者は受注者に対し，相当かつ合理的と認められる範囲で当該申立の解決に関する指示又は援助を行うことができる。
（安全管理措置）
第 15 受注者は，個人情報の安全管理を確保するため，個人情報保護法第 127 条に定める個人情報保護委員会が策定した「個人情報の保護に関する法律についてのガイドライン」（平成 28 年 11 月策定）に定める組織的安全管理措置を講じるものとする。
（損害賠償）
第 16 受注者又は受注者の従業者等若しくは再委託先が本基準に違反し，発注者又は第三者に損害を発生させた場合，当該損害の一切を受注者は賠償しなければならない。
（契約解除）
第 17 発注者は，受注者が本基準に規定される義務を遵守しなかった場合には，受注者に対する事前の通知がなくとも直ちに契約を解除することができる。
（有効期間）
第 18 本基準は，契約終了後，第 11 に定める返還等の受注者の業務が完了した時をもって終了する。ただし，第 14，第 16 及び本条はその後も有効に存続する。

- 4 -

別紙様式第１号（第４条関係）責任者及び業務従事者の管理及び実施体制等証明書

年

国立大学法人群馬大学

月日殿受注者（又は競争加入者）
住所
名称及び代表者名

印「（契約件名）」の履行に当たっての責任者及び業務従事者の管理体制・実施体制並びに個人情報の管理の状況に係る検査については、下記のとおり証明します。

記
１．責任者

部署名：
役職名：

氏名：

２．責任者及び業務従事者の管理体制・実施体制
（記載例）
発注者
（群馬大学）

責任者
（受注者）

○○担当
リーダー

○○業務担当（○名）○○業務担当（○名）○○業務担当（○名）

○○担当
リーダー

○○業務担当（○名）○○業務担当（○名）○○業務担当（○名）

３．受注者（又は競争加入者）における個人情報の管理の状況に係る検査※個人情報の管理状況について自主的に検査（内部監査等）を行っている（又は行う予定がある）場合は，その内容及び時期を記載してください。後日，自主的な検査に係る受注者内における報告書等の写しの提出を依頼する場合がありますので，ご了承ください。

- 5 -別紙様式第２－１号 （第６条関係）

個人情報管理状況の確認書 （実地検査）
契約件名

受注者名

確認方法

実地検査点検項

受注者が取扱う個人情報の内容

目

点検結果

・履行時(実際)の責任者･業務従事者の管理･実施体制が受注者における業務責任者及び業務従事者 契約書、仕様書に沿って適切に行われているか①
・委託先から事前に届出をされている責任者･業務従事者の管理体制及び実施体制の管理体制･実施体制の内容に相違はないか

②

管理
体
制

再委
託

適・

否

個人情報に関する秘密保持、目的外利用の・契約書、仕様書に沿って適切に行われているか
禁止等

適・

否

・契約書、仕様書に沿って適切に行われているか

適・

否③ 個人情報の複製(･複写･改変)等の制限④

委託終了時における個人情報の消去及び媒 ・契約書、仕様書に沿って適切に行われているか（行われる体制となっているか）
体の返却

適・否

⑤

個人情報の漏えい等の事案の発生時におけ ・契約書、仕様書に沿って適切に行われているか（行われる体制となっているか）
る対応

適・否

⑥

契約書等において独自に規定している事項
・契約書、仕様書に沿って適切に行われているか（規定している場合のみ）

適・否

適・否再委託を禁止している場合、契約に反して再委託が行われていないか⑦ （又は契約書等で再委託(子会社を含む)を行う場合は事前承認が必要となっているにもかかわらず、事前承認なく再委託が行われていないか）

検査実施日
年月日

受注者検査対応者

群馬大学検査実施者

職名：

所属：

氏名： （署名）

氏名：

- 6 -

点検した内容を具体的に記載※点検結果が「否」である場合は、「事案票」を記載すること。

別紙様式第２－２号 （第６条関係）

個人情報管理状況の確認書 （書面検査）
契約件名

受注者名
委託先からの報告書及び関係書類等による点検確認方法

点

項目

点検結果

①

受注者における業務責任者及び業務従事者の管理体制及び実施体制・履行時(実際)の責任者･業務従事者の管理･実施体制が契約書、仕様書に沿って適切に行われているか・委託先から事前に届出をされている責任者･業務従事者の管理体制･実施体制の内容に相違はないか

適・否②

個人情報に関する秘密保持、目的外利用の禁止等

・契約書、仕様書に沿って適切に行われているか

適・否・契約書、仕様書に沿って適切に行われているか

適・

否③ 個人情報の複製(･複写･改変)等の制限

管理体
制

検

受注者が取扱う個人情報の内容④

委託終了時における個人情報の消去及び媒体の返却・契約書、仕様書に沿って適切に行われているか（行われる体制となっているか）

適・

否

⑤

個人情報の漏えい等の事案の発生時における対応・契約書、仕様書に沿って適切に行われているか（行われる体制となっているか）

適・

否

⑥

契約書等において独自に規定している事項（規定している場合のみ）

・契約書、仕様書に沿って適切に行われているか

適・

否

適・

否

再委託を禁止している場合、契約に反して再委託が行われていないか⑦ （又は契約書等で再委託(子会社を含む)を行う場合は事前承認が必要となっているにもかかわらず、事前承認なく再委託が行われていないか）

再委託（回答日）
年月日

国立大学法人群馬大学 殿

受注者

上記のとおり報告します。

職名：
氏名：

印

- 7 -

点検した内容を具体的に記載（根拠となる規律等がある場合はその規律等名を記載してください）別紙様式第３号（第６条関係）

事案

票

職名：
氏名：
１．事案の概要（１）委託先及び再委託先の事業者名※委託、再委託の別も記載（２）契約件名及び委託業務の内容（３）委託先に引き渡した個人データ又は本件業務に関して委託先が収集若しくは作成した個人情報の内容及び本人の数※・個人情報の内容は氏名、住所などの項目を記載
・本人の数は、のべ人数ではなく実人数を記載（４）契約における再委託の制限の内容※再委託先の事案の場合のみ記載（５）不適切と判断された事項（６）不適切な事案が発生した時期（年月日）及びその期間（７）不適切な事案に係る被害状況※個人情報の漏えい、滅失、毀損の有無（そのおそれを含む）等について記載（８）本人への連絡等の状況（９）公表
・事案の公表□有り（予定を含む）公表（予定）

年月日

□無し
□未定
・公表方法

※「有り（予定を含む）」を選択した場合のみ記載□web サイトに掲載

□記者会見

□その他（

□記者クラブ等への資料配布）

２．対応策（１）委託先（再委託先）に対して講じた措置等※違反した場合における契約解除、損害賠償責任その他必要な事項等に関する措置等について記載（２）再発防止策等- 8 -