公益社団法人 全国助産師教育協議会 特定個人情報取扱規程
第１章総則（目的）第１条 この規程は、「行政手続における特定の個人を識別するための番号の利用等に関する法律」（以下「番号法」という。）及び「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」に基づき、公益社団法人全国助産師教育協議会（以下「この法人」という。）における特定個人情報等の取扱いについて定めたものである。
（定義）
第２条 この規程で掲げる用語の定義は、次のとおりとする。なお、この規程における用語は、他に特段の定めのない限り番号法その他の関係法令の定めに従う。
①個人情報
生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう。
②個人番号
住民票コードを変換して得られる番号であって、当該住民票コードが記載された住民票に係る者を識別するために指定されるもの（個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号であって、住民票コード以外のものを含む。以下同じ。）をいう。
③特定個人情報
個人番号をその内容に含む個人情報をいう。
④特定個人情報等
個人番号及び特定個人情報を併せたものをいう。
⑤個人情報ファイル
個人情報データベース等であって、行政機関及び独立行政法人等以外の者が保有するものをいう。
⑥特定個人情報ファイル
個人番号をその内容に含む個人情報ファイルをいう。
⑦個人番号利用事務
行政機関、地方公共団体、独立行政法人等その他の行政事務を処理する者が、その保有する特定個人情報ファイルにおいて個人情報を効率的に検索し、及び管理するために必要な限度で個人番号を利用して処理する事務をいう。
⑧個人番号関係事務
個人番号利用事務に関して行われる他人の個人番号を必要な限度で利用して行う事務をいう。
⑨個人番号利用事務実施者
個人番号利用事務を処理する者及び個人番号利用事務の全部又は一部の委託を受けた者をいう。
⑩個人番号関係事務実施者
個人番号関係事務を処理する者及び個人番号関係事務の全部又は一部の委託を受けた者をいう。
⑪従業者

この法人にあって、直接又は間接にこの法人の指揮監督を受けて、この法人の業務に従事しているものをいい、雇用関係にある従業員（正職員、契約職員、パートタイマー、アルバイト）のみならず、この法人との間の雇用関係にない者（役員、派遣社員等）を含む。
⑫事務取扱担当者
この法人において、個人番号を取り扱う事務に従事する者をいう。
⑬事務取扱責任者
特定個人情報等の管理に関する責任を担うものをいう。
⑭管理区域
特定個人情報を取り扱う情報システムを管理する区域をいう。
⑮取扱区域
特定個人情報等を取り扱う事務を実施する区域をいう。
⑯特定個人情報の取扱い
特定個人情報の取得、安全管理措置、保管、利用、提供、委託、廃棄及び消去をいう。
（適用関係）
第３条 この規程は、この法人のすべての従業者に適用する。
２ この規程は、この法人が取り扱うすべての特定個人情報等に適用する。
３ この規程は、特定個人情報等の取り扱いに関し、その他の内部規程に優先して適用される。
（取扱事務の範囲）
第４条 この法人が取扱う個人番号関係事務は、以下の範囲とする。
①従業者の所得税法等の税務関連の届け出事務②社会保険及び労働保険関連の届け出事務③報酬・料金等の支払調書作成事務④不動産の使用料等の支払調書作成事務⑤上記に付随する行政機関への届け出事務
第２章

組織体制等

（法令等の遵守）第５条 この法人は、番号法その他の法令を遵守し、特定個人情報等を適正に取扱うため、必要な組織体制を整備するとともに、本規程その他の内部規程を定め、これを運用する。
（事務取扱責任者）
第６条 この法人は、特定個人情報等の管理に関する責任者として事務取扱責任者を置く。
２ 事務取扱責任者は、会長とする。
３ 事務取扱責任者は、次の各号に定める事項及びその他この法人における特定個人情報等に関するすべての権限と責務を有する。
①特定個人情報等の適正な取り扱いに関する基本方針の作成、従業員等への周知、一般への公表②本規程に基づき特定個人情報等の取り扱いを管理する上で必要とされる事項の決定・承認③特定個人情報等の適正な取り扱い、安全対策を維持・推進するための施策の策定・実施④事故発生時の対応策の策定・実施（事務取扱担当者）
第７条 この法人は、特定個人情報等に関する事務を取り扱う者として、事務取扱担当者を置く。
２ 事務取扱担当者は、その取り扱う事務の範囲を定めた上で、事務取扱責任者が選任する。
３ 事務取扱担当者は、特定個人情報を取扱う業務に従事する際、番号法及び個人情報保護法並びにその他の関連法令、特定個人情報ガイドライン、本規程及びその他の社内規程並びに事務取扱責任者の指示した事項に従い、特定個人情報の保護に十分な注意を払ってその業務を行うものとし、特定個人情報の漏えい等の関係法令等に違反している事実又は兆候を把握した場合、速やかに事務取扱責任者に報告するものとする。
（規程に基づく運用状況の記録）
第８条 事務取扱担当者は、本規程に基づく運用状況を確認するため、次に掲げる事項につき、システムログ及び利用実績を記録するものとする。
特定個人情報の取得及び特定個人情報ファイルへの入力状況①特定個人情報ファイルの利用・出力状況の記録②書類・媒体等の持ち出し記録③特定個人情報ファイルの削除・廃棄記録④削除・廃棄を委託した場合、これを証明する記録等⑤特定個人情報ファイルを情報システムで取り扱う場合、事務取扱担当者の情報システムの利用状況（ログイン実績、アクセスログ等）の記録（取扱状況の確認手段）
第９条 事務取扱担当者は、特定個人情報ファイルの取扱状況を確認するための手段として、特定個人情報台帳に次の事項を記録するものとする。なお、特定個人情報台帳には、特定個人情報等は記載しないものとする。
①特定個人情報ファイルへの種類、名称②責任者、取扱部署③利用目的④削除・廃棄状況⑤アクセス権を有する者⑥特定個人情報ファイルを取り扱う情報システムの「管理区域」の場所⑦特定個人情報等を取り扱う事務を実施する「取扱区域」の場所
第３章 特定個人情報等の取得、利用等（個人番号の取得、提出の求め）
第１０条 この法人は、個人番号関係事務を処理するために必要がある場合に限って、本人又は他の個人番号関係事務実施者若しくは個人番号利用事務実施者に対して個人番号の提供を求めることができるものとする。
（本人確認措置）第１１条 この法人は、前条に基づき本人から個人番号の提供を受けるときは、関係法令等に基づき従業者から個人番号の提供を受けるものとする。
２ 従業者は、個人番号の提供が番号法の定めにより個人番号関係事務に必要なものである限り、この法人が行う本人確認の措置に協力しなければならない。
３ 前項にかかわらず個人番号の提供の要求又は本人確認に応じない場合には、番号法に基づくマイナンバー制度の意義について説明をし、個人番号の提供及び本人確認に応ずるように求めるものとし、協力しなかったことによる不利益は当該従業者が負うものとする。

（提供を求める時期）
第１２条 個人番号の提供を求める時期は、個人番号関係事務が発生したときとする。ただし、個人番号関係事務が発生することが明らかなときは、事前に個人番号の提供を求めることができる。
（収集制限）
第１３条 この法人は、番号法に基づき許される場合を除き、他人の特定個人情報を収集し、又は保管してはならない。
（特定個人情報の利用制限）
第１４条 この法人は、個人番号関係事務を処理するために必要な場合に、予め通知又は公表する利用目的の範囲で個人番号の利用をするものとする。人の生命、身体又は財産の保護のために必要がある場合を除き、たとえ本人の同意があったとしても、利用目的を超えて特定個人情報を利用してはならないものとする。
（利用目的の変更）
第１５条 この法人は、利用目的を変更した場合、変更された利用目的について、本人に通知又は公表するものとする。
（特定個人情報ファイル作成の制限）
第１６条 この法人は、個人番号関係事務を処理するために必要な場合に限り、特定個人情報ファイルを作成することができる。
第４章 特定個人情報等の提供、保管、管理、廃棄等（特定個人情報等の提供）
第１７条 この法人は、法令で認められた場合を除き、本人の同意の有無に関わらず特定個人情報を第三者に提供しない。
（保管期間）
第１８条 この法人は、個人番号関係事務を処理するために必要な期間に限り、特定個人情報等を保管する。ただし、所管法令等により一定期間保存が義務付けられている場合は当該期間保管することとする。
（廃棄）第１９条 この法人は、前条に定める保管期間が経過したときは第２９条に定める方法により、特定個人情報をできるだけ速やかに廃棄又は削除しなければならない。
第５章

特定個人情報の委託の取扱い（委託の取り扱い）
第２０条 この法人は、個人番号関係事務の全部又は一部を委託する場合、委託先において特定個人情報等の安全管理措置が適切に講じられるよう、必要かつ適切な監督を行なうものとする。
２ この法人は、前項の監督を行うため、次の各号の措置を講じる。
（１）委託先の適切な選定

（２）委託先に安全管理措置を遵守させるために必要な契約の締結（３）委託先における特定個人情報の取扱状況の把握
３ 第２項第２号の「委託先に安全管理措置を遵守させるために必要な契約の締結」については、委託契約の内容として、以下の規定等を盛り込むものとする。
①秘密保持義務に関する規定②事業所内からの特定個人情報の持出しの禁止③特定個人情報の目的外利用の禁止④再委託における条件⑤漏えい事案等が発生した場合の委託先の責任に関する規定⑥委託契約終了後の特定個人情報の返却又は廃棄に関する規定⑦従業者に対する監督・教育に関する規定⑧契約内容の遵守状況について報告を求める規定に関する規定⑨特定個人情報を取り扱う従業者の明確化に関する規定⑩委託者が委託先に対して実地の調査を行うことができる規定
４ 委託先は、この法人の許諾を得た場合に限り、委託を受けた個人番号関係事務又は個人番号利用事務の全部又は一部を再委託することができるものとする。再委託先が更に再委託する場合も同様とする。
５ この法人は、委託先が再委託をする場合、当該再委託契約の内容として第３項と同等の規定等を盛り込ませるとともに、委託先が再委託先に対して必要かつ適切な監督を行っているかどうかについても監督する。
第６章 安全管理措置
第１節 組織的安全管理措置（情報漏えい等に対応する体制の整備）
第２１条 すべての従業者は、情報の漏えいの発生又は兆候を把握した場合又はその可能性が高いと判断した場合は、速やかに事務取扱責任者に報告するものとする。
２ 前項の報告を受けた事務取扱責任者は、二次被害の防止、類似事案の発生防止等の観点から速やかに次の各号の手法等により対策を講じるものとする。
①事実関係の調査及び原因の究明②影響を受ける可能性のある本人への連絡③再発防止策の検討及び決定④事実関係及び再発防止策等の公表（取扱状況の把握及び安全管理措置の見直し）
第２２条 この法人は、特定個人情報等の取扱状況を把握し、安全管理措置の評価、見直し及び改善のために特定個人情報等の取扱状況について、必要に応じて点検を行うものとする。
なお、事務取扱責任者は、その判断により外部機関による監査を実施することができる。
（苦情等への対応）
第２３条 この法人における特定個人情報等の取扱いに関する苦情等に対する窓口を設け、適切に対応する。
２ 特定個人情報事務取扱責任者は、前項の目的を達成するために必要な体制の整備を行うものとする。
第２節

人的安全管理措置（従業者の教育・監督）
第２４条 この法人は、特定個人情報等が本規程に基づき適正に取り扱われるよう、従業者に対し必要かつ適切な教育及び監督を行うものとする。
（秘密保持）
第２５条 この法人は、特定個人情報等を秘密として保持し、本規程第１７条に基づく場合及び第三者に委託する場合を除き、第三者に提供、開示、漏えい等をしないものとする。
２ この法人は、特定個人情報等に関する秘密を保持するため、本規程その他の内部規定における定め、誓約書の徴収などにより、従業員に対して特定個人情報等についての秘密保持に関する事項を周知徹底するものとする。
第３節 物理的安全管理措置（特定個人情報等を取り扱う区域の管理）
第２６条 この法人は、特定個人情報等の情報漏えい等を防止するため、管理区域及び取扱区域を明確にし、それぞれの区域に対し、次の各号に従い以下の安全管理措置を講じる。
①管理区域入退室管理及び管理区域へ持ち込む機器及び電子媒体等の制限を行うものとする。
②取扱区域
壁又は間仕切り等の設置及び座席配置を工夫するものとする。
（機器及び電子媒体等の盗難等の防止）第２７条 この法人は管理区域及び取扱区域における特定個人情報等を取扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、次の各号に掲げる措置を講じる。
①特定個人情報等を取扱う機器、電子媒体又は書類等は、施錠できるキャビネット・書庫等に保管するか、又は盗難防止用のセキュリティワイヤー等により固定する。
②特定個人情報ファイルは、パスワードを付与する等の保護措置を講じたうえでこれを保存し、当該パスワードを適切に管理する。
（電子媒体等を持ち出す場合の漏えい等の防止）第２８条 この法人は特定個人情報等が記録された電子媒体又は書類等を持出す場合、次の各号に掲げるような安全な方策を講じる。なお、「持出し」とは、特定個人情報等を、管理区域又は取扱区域の外へ移動させることをいい、事業所内での移動等も持出しに該当するもので紛失・盗難等に留意する。
（１）特定個人情報等が記録された電子媒体は、持出しデータの暗号化、パスワードによる保護、施錠できる搬送容器の使用等を行う。
（２）特定個人情報等が記録された書類は、外部から容易に閲覧されないよう封筒に入れる。
（３）特定個人情報等を記録する書類を郵送等により発送するときは、簡易書留等の追跡可能な移送手段を利用する。
（電子媒体・書類の削除・廃棄）第２９条
この法人は、第１９条に基づき特定個人情報等を削除又は廃棄する場合、次の各号の方法によるものとし、削除又は廃棄した記録を保存するものとする。
①特定個人情報等が記録された書類等を廃棄する場合、シュレッダー等による記載内容が復元不能までの裁断、焼却又は溶解等の復元不可能な手段を用いるものとする。

②特定個人情報等が記録された機器及び電子媒体等を廃棄する場合、専用データ削除ソフトウェアの利用又は物理的な破壊等により、復元不可能な手段を用いるものとする。
③特定個人情報ファイル中の個人番号又は一部の特定個人情報等を削除する場合、容易に復元できない手段を用いるものとする。
２ この法人は、前項の削除又は廃棄を第三者に委託する場合には、委託先が確実に削除又は廃棄したことについて証明書等により確認する。
第４節

技術的安全管理措置（アクセス制御）第３０条 この法人は、情報システムを使用して個人番号関係事務を行う場合、事務取扱担当者及び当該事務で取り扱う特定個人情報ファイルの範囲を限定するため、次の各号の措置に沿って適切なアクセス制御を行うものとする。
①個人番号と紐付けてアクセスできる情報の範囲をアクセス制御により限定する。
②特定個人情報ファイルを取り扱う情報システムをアクセス制御により限定する。
③ユーザーＩＤに付与するアクセス権により、特定個人情報ファイルを取り扱う情報システムを使用できる者を事務取扱担当者に限定する。
（アクセス者の識別と認証）
第３１条 特定個人情報等を取り扱う情報システムは、事務取扱担当者が正当なアクセス権を有する者であることを次の各号の措置等によって識別した結果に基づき認証するものとする。
①ユーザーＩＤ、パスワード又は磁気・ＩＣカード等による事務取扱担当者の識別と認証を行う。
②特定個人情報等を取り扱う機器を特定し、その機器を取り扱う事務取扱担当者を限定する。
③機器に標準装備されているユーザー制御機能（ユーザーアカウント制御）により、機器システムを取り扱う事務取扱担当者を限定する。
（外部からの不正アクセス等の防止）第３２条 この法人は、次の各号に定める方法により、情報システムを外部からの不正アクセス又は不正ソフトウェアから保護するものとする。
①情報システムと外部ネットワークとの接続箇所に、ファイアウォール等を設置し、不正アクセスを遮断する方法。
②情報システム及び機器にセキュリティ対策ソフトウェア等（ウイルス対策ソフトウェア等）を導入する方法。
③導入したセキュリティ対策ソフトウェア等により、入出力データにおける不正ソフトウェアの有無を確認する方法。
④機器やソフトウェア等に標準装備されている自動更新機能等の活用により、ソフトウェア等を最新状態とする方法。
⑤ログ等の分析を定期的に行い、不正アクセス等を検知する方法。
（情報漏えい等の防止）第３３条 この法人は、特定個人情報等をインターネット等により外部に送信する場合、通信経路における情報漏えい等を防止するため、次の各号の措置を講じるものとする。
①通信経路における情報漏えい等の防止策として、通信経路の暗号化等を行う。
②情報システムに保存されている特定個人情報等の情報漏えい等の防止策として、データの暗号化又はパスワードによる保護を行う。
第５節

その他

（禁止事項）
第３４条 この法人はすべての従業者に対し、特定個人情報等の次に掲げる事項を禁止 する。
①不正な手段により特定個人情報等を収集すること②当初の収集目的以外で特定個人情報等を利用すること③業務上に必要なく、管理区域及び取扱地域に立ち入ること④業務上の必要及び制限がなく特定個人情報ファイルにアクセス又は閲覧し、保管された特定個人情報等を記録すること（罰則及び損害賠償）第３５条 この法人は、本規程に違反した従業者に対して処分を行い、その他の者に対しては、契約又は法令に照らして処分を決定する。
２ 前項の場合、この法人に損害が生じた場合は、違反した従業者に対して損害賠償を請求するものとする。
（改廃）
第３６条
附

この規程の改廃は、理事会の決議による。

則
１ この規程は、平成２８年１月１１日より施行する。
２ この規程は、令和元年７月１８日から施行する。