特定個人情報等取扱規程

第 1 条（目的）本規程は、株式会社 SHUHARI（以下「会社」という。）における「行政手続における特定の個人を識別するための番号の利用に関する法律」（平成 25 年法律第 27 号。以下「マイナンバー法」という。）、「個人情報の保護に関する法律」（平成 15 年法律第 57 号。
以下「個人情報保護法」という。）その他関係法令に基づく個人番号及び特定個人情報の適正な取扱いを確保するため、特定個人情報等の取扱いに関する基本的な事項を定める。
第 2 条（定義）
1. 本規程において、次に掲げる用語の定義は、以下の各号に定めるところによる。
(1) 「個人番号」とは、マイナンバー法第 2 条第 5 項に定める個人番号をいい、マイナンバー法第 2 条第 8 項括弧書きに定められたものを含む。
(2) 「特定個人情報」とは、マイナンバー法第 2 条第 8 項に定める特定個人情報をいう。
(3) 「特定個人情報等」とは、個人番号及び特定個人情報をいう。
(4) 「特定個人情報ファイル」とは、マイナンバー法第２条第９項に特定個人情報ファイルをいう。
(5) 「従業者」とは、会社の組織内にあって直接間接に会社の指揮監督を受けて会社の業務に従事している者をいい、会社の従業員（正社員、契約社員、臨時社員、嘱託、パートタイマー、第三者から派遣された派遣社員、会社への出向社員及び会社からの出向社員、その他会社と雇用契約又はそれに準ずる関係にある者）と会社の取締役、監査役、執行役員、理事、監事及び顧問等をいう。
(6) 「個人番号利用事務」とは、主として、行政機関等が、社会保障、税及び災害対策に関する特定の事務において、保有している個人情報の検索、管理のために個人番号を利用する事務をいう。
(7) 「個人番号関係事務」とは、会社が、法令に基づき、従業者等の個人番号を給与所得の源泉徴収票、支払調書、健康保険・厚生年金保険被保険者資格取得届等の書類に記載して、行政機関等及び健康保険組合等に提出する事務をいう。
2. 前項に定めるもののほか、本規程において用いられる用語はマイナンバー法及び個人情報保護法その他関連法令に定めるところによる。
第 3 条（適用範囲）
本規程は、従業者が会社の業務の遂行において取り扱うすべての特定個人情報等に適用される。

1

第 4 条（組織体制等）
1. 代表取締役は、個人番号関係事務に従事する従業者として、事務取扱責任者の任命等を行い、特定個人情報等の保護に関する責任体制の確立、運用及び改善のために必要な資源を用意する。
2. 事務取扱責任者は、次の各号に定める事項その他会社における特定個人情報等に関するすべての権限と責務を有し、特定個人情報等の取扱いが、マイナンバー法、個人情報保護法その他関係法令、本規程及び関連する社内規程に従って行われるよう、特定個人情報等に関する事務を取り扱う事務取扱担当者に対して必要かつ適切な監督を行う。
(1) 特定個人情報等の適正な取り扱いに関する基本方針の作成、従業者への周知及び公表(2) 特定個人情報等の取り扱いを管理する上で必要とされる事項の決定及び承認(3) 特定個人情報等の適正な取扱い、安全対策を維持推進するための施策の策定及び実施(4) 事務取扱担当者の選任及び研修等の教育の実施(5) 事故発生時の対応策の策定及び実施
3. 事務取扱担当者は、会社の就業規則等に定める秘密保持に関する義務を遵守し、マイナンバー法、個人情報保護法その他関係法令、本規程及び関連する社内規程に従って、特定個人情報等を取り扱う。
第 5 条（法令等の遵守）
従業者は、特定個人情報等を取り扱うに当たり適用のあるマイナンバー法、個人情報保護法その他関係法令、ガイドライン、本規程及び関連する社内規程を理解し、遵守しなければならない。
第 6 条（個人番号を利用する事務の範囲）
会社が特定個人情報等を取り扱う個人番号関係事務の範囲は、次の各号に定める範囲とする。
(1) 所得税法、相続税法、租税特別措置法及び内国税の適正な課税の確保を図るための国外送金等に係る調書の提出等に関する法律の規定に基づく法定調書作成事務(2) 健康保険法、国民健康保険法、高齢者の医療の確保に関する法律に基づく資格取得、資格喪失、給付等に関する事務(3) 雇用保険法に基づく資格取得、資格喪失、給付等に関する事務(4) 労働者災害補償保険法に基づく給付、社会復帰促進事業等に関する事務(5) 厚生年金保険法に基づく資格取得、資格喪失、給付等に関する事務(6) 確定給付企業年金法、確定拠出年金法に基づく給付等に関する事務(7) 介護保険法に基づく事務(8) 児童扶養手当法、母子及び父子並びに寡婦福祉法、障害者総合支援法、特別児童扶養手当法、生活保護法に基づく事務2(9) 勤労者財産形成促進法に基づく財産形成住宅貯蓄及び財産形成年金貯蓄に関する事務(10) 国民年金法に基づく第３号被保険者に関する事務(11) その他マイナンバー法第 19 条各号のいずれかに該当し、特定個人情報等の提供を受けることができる事務
第 7 条（基本方針の策定）
会社は、特定個人情報等の適正な取扱いを確保するため、特定個人情報等の適正な取扱いに関する基本方針を定める。
第 8 条（利用目的の特定及び通知等）
1. 会社は、個人番号関係事務を処理するために必要な範囲内で、予め通知又は公表する利用目的の範囲で特定個人情報等を利用するものとする。
2. 会社は、予め定めた利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。
3. 会社は、利用目的を変更した場合、変更された利用目的について、本人に通知、又は公表する。
4. 会社が合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って当該事業者の従業者等の特定個人情報等を取得した場合には、承継前における当該特定個人情報等の利用目的の達成に必要な範囲に限り、当該特定個人情報等を利用することができる。但し、本人の同意があったとしても、承継前に特定されていた利用目的を超えて、当該特定個人情報等を利用してはならない。
5. 本条の規定にかかわらず、会社は、人の生命、身体又は財産の保護のために必要がある場合において、本人の同意があり、又は本人の同意を得ることが困難であるときは、利用目的の範囲を超えて会社が保有している個人番号を利用することができる。
第 9 条（個人番号の取得及び本人確認措置）
1. 会社は、個人番号関係事務が発生したとき、個人番号関係事務を処理するために必要な範囲内で、本人又は他の個人番号関係事務実施者（マイナンバー法第 2 条第 12 項に定める者をいう。）若しくは個人番号利用事務実施者（マイナンバー法第 2 条第 11 項に定める者をいう。）に対して個人番号の提供を求めることができるものとする。但し、個人番号関係事務が発生することが明らかなときは、事前に個人番号の提供を求めることができる。
2. 会社は、前項に基づき本人から個人番号の提供を受けるときは、別途会社が定める本人確認の手順により従業者から個人番号の提供を受けるものとする。
3. 従業者は、個人番号の提供がマイナンバー法の定めにより個人番号関係事務に必要な範囲内で、会社が行う本人確認の措置に協力しなければならないものとする。
4. 会社は、個人番号関係事務を処理するために必要な範囲を超えて、他人の特定個人情報
3

等を収集し、又は保管してはならない。
第 10 条（特定個人情報ファイルの作成及び記録等）
1. 会社は、個人番号関係事務を処理するために必要な場合に限り、特定個人情報ファイルを作成することができる。
2. 会社は、特定個人情報ファイル等の取扱状況を確認するため、事務取扱責任者が別途定める方法により次に定める事項を記録する。なお、当該記録には、特定個人情報等は記載しないものとする。
(1) 特定個人情報ファイルの種類及び名称(2) 事務取扱責任者及び所管部署の氏名及び名称(3) 当該記録にアクセス権を有する者の氏名(4) 利用目的(5) 特定個人情報ファイルの削除又は廃棄状況
3. 会社は、特定個人情報ファイル等の運用状況を確認するため、事務取扱責任者が別途定める方法により次に定めるシステムログ又は利用実績を記録する。
(1) 特定個人情報ファイルの利用及び出力状況(2) 書類及び媒体等の持出しの状況(3) 特定個人情報ファイルの削除又は廃棄状況(4) 委託先が特定個人情報ファイルの削除又は廃棄したことの証明等(5) 特定個人情報ファイルを取り扱う情報システムにおける事務取扱担当者の情報シ
ステムの利用状況
第 11 条（特定個人情報等の保管及び廃棄等）
1. 会社は、個人番号関係事務を処理するため必要な期間の範囲内で、特定個人情報等を保管する。但し、所管の法令等によって一定期間保存が義務付けられている場合には、当該期間保管することとする。
2. 会社は、前項に定める保管期間が経過した場合、第 19 条に定める方法により、特定個人情報等をできるだけ速やかに削除又は廃棄しなければならない。
3. 会社は、特定個人情報等を削除又は廃棄した場合、第 10 条の規定に基づき削除又は廃棄状況を記録するものとする。
第 12 条（個人番号関係事務の委託）
1. 会社は、個人番号関係事務の全部又は一部を外部に委託する場合、委託先において、特定個人情報等の安全管理措置が適切に講じられるよう必要かつ適切な監督を行うものとする。
2. 前項の監督を行うため、次に定める措置を講じるものとする。
(1) 委託先の適切な選定(2) 委託先に安全管理措置を遵守させるために必要な契約の締結
4

(3) 委託先における特定個人情報等の取扱状況の把握
3. 会社は、個人番号又は特定個人情報ファイルの削除又は廃棄の作業を第三者に委託する
場合には、第 19 条に定める方法により、委託先が確実に削除又は廃棄したことを、証明書等により確認しなければならないものとする。
第 13 条（情報漏えい等事案に対応する体制の整備）
従業者は、情報漏洩等の発生又は兆候を把握した場合又はその可能性が高いと判断した場
合は、速やかに事務取扱責任者に報告し、事務取扱責任者は二次被害の防止、類似事案の発生防止等の観点から速やかに次に定める手法等により対策を講じるものとする。
(1) 事実関係の調査及び原因の究明(2) 影響を受ける可能性のある本人への連絡(3) 委員会及び主務大臣等への報告(4) 再発防止策の検討及び決定(5) 事実関係及び再発防止策等の公表
第 14 条（取扱状況の把握及び安全管理措置の見直し）
会社は、特定個人情報等の取扱状況を把握し、安全管理措置の評価、見直し及び改善のために特定個人情報等の取扱状況について、必要に応じて点検を行うものとする。なお、事務取扱責任者は、その判断により、外部機関による監査を実施することができる。
第 15 条（従業者の教育及び監督）事務取扱責任者は、事務取扱担当者に特定個人情報等の適正な取扱いを周知徹底するとともに適切な教育を行う。
第 16 条（特定個人情報等を取り扱う区域の管理）
1. 会社は、特定個人情報ファイルを取り扱う情報システムを管理する区域（以下「管理区域」という。）及び特定個人情報等を取り扱う事務を実施する区域（以下「取扱区域」という。）を明確にし、物理的な安全管理措置を講ずるものとする。
2. 管理区域においては、ＩＣカード、ナンバーキー等による入退室管理システムの設置及び管理区域へ持ち込む機器等の制限等の安全管理措置を講じる。
3. 取扱区域においては、壁又は間仕切り等の設置及び座席配置の工夫等の安全管理措置を講じる
第 17 条（機器及び電子媒体等の盗難等の防止）管理区域及び取扱区域における特定個人情報等を取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、次の各号に定める措置を講じる。
(1) 特定個人情報等を取り扱う機器を盗難防止用のセキュリティワイヤーにより固定する。
5

(2) 特定個人情報等を取り扱う機器、電子媒体又は書類等を、施錠できるキャビネット又は書庫等に保管する。
(3) 特定個人情報ファイルは、パスワードを付与する等の保護措置を講じたうえでこれを保存し、当該パスワードを適切に管理する。
第 18 条（電子媒体等を持ち出す場合の漏えい等の防止）
特定個人情報等が記録された電子媒体又は書類等を持ち出す場合、次の各号に定める容易に個人番号が判明しない措置の実施、追跡可能な移送手段の利用等の安全な方策を 講じる。なお「持出し」とは、特定個人情報等を、管理区域又は取扱区域の外へ移動させることをいい、事業所内での移動等であっても、紛失・盗難等に留意する。
(1) 特定個人情報等が記録された電子媒体は、持出しデータの暗号化、パスワードによる保護、施錠できる搬送容器の使用等を行う。
(2) 特定個人情報等が記録された書類は、外部から容易に閲覧されないよう封筒に入れる。
(3) 特定個人情報等を記録する書類を郵送等により発送するときは、簡易書留等の追跡可能な発送手段を利用する。
第 19 条（特定個人情報等の削除、機器及び電子媒体等の廃棄）会社は、本規程の定めにより特定個人情報等を削除又は廃棄する場合、次に定める方法により削除又は廃棄を行い、削除又は廃棄した記録を保存するものとする。
(1) 特定個人情報等が記載された書類等を廃棄する場合、焼却又は溶解等の容易に復元不可能な手段を採用する。
(2) 特定個人情報等が記録された機器及び電子媒体等を廃棄する場合、専用のデータ削除ソフトウェアの利用又は物理的な破壊等により、容易に復元不可能な手段を採用する。
(3) 特定個人情報ファイル中の個人番号又は一部の特定個人情報等を削除する場合、容易に復元不可能な手段を採用する。
(4) 特定個人情報等を取り扱う情報システムにおいては、保存期間経過後における個人番号の消去を前提とした情報システムを構築する。
(5) 個人番号が記載された書類等については、保存期間経過後における廃棄を前提とした保管手続を定める。
第 20 条（アクセス制御）
会社は、情報システムを使用して個人番号関係事務を行う場合、事務取扱担当者及び当該事務で取り扱う特定個人情報ファイルの範囲を限定するために、次に定める方法により適切なアクセス制御を行うものとする。
(1) 個人番号と紐付けてアクセスできる情報の範囲をアクセス制御により限定する。
(2) 特定個人情報ファイルを取り扱う情報システムを、アクセス制御により限定する。
6

(3) ユーザーID に付与するアクセス権により、特定個人情報ファイルを取り扱う情報システムを使用できる者を事務取扱担当者に限定する。
第 21 条（アクセス者の識別と認証）
会社の特定個人情報等を取り扱う情報システムは、事務取扱担当者が正当なアクセス権を有する者であることを、次に定める方法により識別した結果に基づき認証する。
(1) ユーザーＩＤ、パスワード、磁気・ＩＣカード等により、事務取扱担当者を識別及び認証する。
(2) 特定個人情報等を取り扱う情報システムを特定し、当該情報システムに標準搭載されているユーザー認証機能により、事務取扱担当者を限定する。
第 22 条（外部からの不正アクセス等の防止）
会社は、情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入し、次に定める方法により適切に運用するものとする。
(1) 情報システムと外部ネットワークとの接続箇所に、ファイアウォール等を設置し、不正アクセスを遮断する。
(2) 情報システム及び機器にセキュリティ対策ソフトウェア等（ウイルス対策ソフトウェア等）を導入する。
(3) 導入したセキュリティ対策ソフトウェア等により、入出力データにおける不正ソフトウェアの有無を確認する。
(4) 機器やソフトウェア等に標準装備されている自動更新機能等の活用により、ソフトウェア等を最新状態とする。
(5) ログ等の分析を定期的に行い、不正アクセス等を監視する。
第 23 条（情報漏えい等の防止）会社は、特定個人情報等をインターネット等により外部に送信する場合、通信経路における情報漏えい等を防止するため、次に定める事象の発生を防止する措置を講じるものとする。
(1) 不正な手段により特定個人情報等を収集すること(2) 利用目的に定める範囲を超えて特定個人情報等を利用すること(3) 業務上の必要なく管理区域及び取扱区域に立ち入ること(4) 業務上の必要及び権限なく特定個人情報ファイルにアクセス、閲覧し保管された特定個人情報等を記録すること
第 24 条（懲戒）会社の従業員が本規程に違反した場合、就業規則に定めるところにより懲戒処分を行う。
第 25 条（規程の所管）
7

本規程の所管は本社総務部とする。

付則

令和2年4月1日より施行する。
令和6年4月1日改訂

8