特定個人情報事務取扱規程

[平成27年12月18日]

第1章 総則

（目的）

第1条 この規程は、公益社団法人犬山市シルバー人材センター（以下「センター」という。）における、特定個人情報に関する基本方針に基づき、特定個人情報の取扱いに関する基本的事項を定めることを目的とする。

（定義）

第2条 この規程において用いる用語の定義は、次のとおりとする。なお、この規程における用語は、他に特段の定めがない限り、行政手続における特定の個人を識別するための番号の利用等に関する法律（以下「番号法」という。）その他の関係法令の定めに従う。

1. 個人情報: 個人情報の保護に関する法律（以下「個人情報保護法」という。）に規定する個人情報であって、生存する個人に関する情報であり、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの。
2. 個人番号: 番号法の規定により、住民票コードを変換して得られる番号であって、当該住民票コードが記載された住民票に係る者を識別するために指定されたもの。
3. 特定個人情報: 個人番号をその内容に含む個人情報。
4. 特定個人情報等: 個人番号及び特定個人情報を合わせたもの。
5. 個人情報ファイル: 個人情報保護法に規定する個人情報データベース等であって、行政機関及び独立行政法人等以外の者が保有するもの。
6. 特定個人情報ファイル: 個人番号をその内容に含む個人情報ファイル。
7. 保有個人情報: センター等の個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人情報であって、その存否が明らかになることにより公益その他の利益が害されるもの。
8. 個人番号利用事務: 行政機関、地方公共団体、独立行政法人等その他の行政事務を処理する者が番号法の規定によりその保有する特定個人情報ファイルにおいて個人情報を効率的に検索し、及び管理するために必要な限度で個人番号を利用して処理する事務。
9. 個人番号関係事務: 番号法の規定により、個人番号利用事務に関して行われる他人の個人番号を必要な限度で利用して行う事務。
10. 個人番号利用事務実施者: 個人番号利用事務を処理する者及び個人番号利用事務の全部又は一部の委託を受けた者。
11. 個人番号関係事務実施者: 個人番号関係事務を処理する者及び個人番号関係事務の全部又は一部の委託を受けた者。
12. 個人情報取扱事業者: 個人情報ファイルを事業の用に供している者であって、個人情報ファイルを構成する個人情報によって識別される特定の個人の数の合計が過去6か月以内のいずれの日においても5,000を超えない者以外の者。
13. 役職員: センターの組織内にあって直接又は間接にセンターの指揮命令を受けて業務に従事している者をいい、雇用関係にある従業者のみならず、センターとの間の雇用関係にない者（理事、監事、派遣職員等）を含む。
14. 事務取扱責任者: センター内において、個人番号を取り扱う事務に従事する者で、その事務を統括する者。
15. 事務取扱担当者: センター内において、個人番号を取り扱う事務に従事する者。
16. 管理区域: 特定個人情報ファイルを取り扱う情報システムを管理する区域。
17. 取扱区域: 特定個人情報等を取り扱う事務を実施する区域。

（個人番号を取り扱う事務の範囲）

第3条 センターが個人番号を取り扱う事務の範囲は、次のとおりとする。

（取り扱う特定個人情報の範囲）

第4条 前条においてセンターが個人番号を取り扱う事務において使用される個人番号及び個人番号と関連付けて管理される特定個人情報は、次のとおりとする。

1. 役職員又は役職員以外の個人から、番号法第16条に基づく本人確認の措置を実施する際に提示を受けた本人確認書類（個人番号カード、通知カード、身元確認書類等）及びこれらの写し
2. センターが税務署等の行政機関等に提出するために作成した法定調書及びこれらの控え
3. センターが法定調書を作成する上で役職員又は役職員以外の個人から受領する個人番号が記載された申告書等
4. その他個人番号と関連付けて保存される情報

第2章 安全管理措置

（組織体制）

第5条 センターの事務取扱責任者及び事務取扱担当者（以下「事務取扱担当者等」という。）は、会長が指名する。

2 事務取扱担当者等は、特定個人情報の保護に十分な注意を払ってその業務を行うものとする。

3 事務取扱担当者等を変更する場合、従前の事務取扱担当者等は、新たに事務取扱担当者等となる者に対して確実に引継ぎを行うものとする。

（事務取扱担当者等の監督）

第6条 センターは、特定個人情報等がこの規程に基づき適正に取り扱われるよう、事務取扱担当者等に対して必要かつ適切な監督を行うものとする。

（教育・研修）

第7条 センターは、この規程に定められた事項を理解し、遵守するとともに、事務取扱担当者等にこの規程を遵守させるための教育訓練を企画・運営する責任を負う。

2 事務取扱担当者等は、センターが主催するこの規程を遵守させるための教育を受けなければならない。

（取扱状況及び運用状況の記録及び保管）

第8条 事務取扱担当者は、次に掲げる特定個人情報等の取扱状況及び運用状況を別に定める様式に記録し、保管するものとする。

1. 特定個人情報等の取得日
2. 法定調書等の作成日
3. 法定調書等の関係行政機関等への提出日
4. 特定個人情報等の廃棄日

（情報漏えい事案等への対応）

第9条 事務取扱担当者等は、特定個人情報の漏えい、滅失又は毀損による事故が発生したことを知った場合又はその可能性が高いと判断した場合は、会長に直ちに報告する。

（取扱状況の確認）

第10条 事務取扱責任者は、特定個人情報等の取扱状況について、1年に1回以上の頻度で確認を行うものとする。

第2節 物理的安全管理措置

（特定個人情報等を取り扱う区域の管理）

第11条 センターは、管理区域及び取扱区域を明確にし、それぞれの区域に対し、次に掲げる措置を講じる。

1. 管理区域: 管理区域へ持ち込む機器及び電子媒体等の制限を行う。
2. 取扱区域: 可能な限り壁又は間仕切り等の設置を行い、事務取扱担当者等以外の者の往来が少ない場所への座席配置や、後ろから覗き見される可能性が低い場所への座席配置等をするなど座席配置を工夫する。

（機器及び電子媒体等の盗難等防止）

第12条 センターは、管理区域及び取扱区域における特定個人情報等を取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、次に掲げる措置を講ずる。

1. 特定個人情報等を取り扱う機器、電子媒体又は書類等を、施錠できるキャビネット・書庫等に保管する。
2. 特定個人情報ファイルを取り扱う情報システムが機器のみで運用されている場合は、セキュリティワイヤー等により固定する。

（電子媒体等を持ち出す場合の漏えい等の防止）

第13条 センターは、特定個人情報等が記録された電子媒体又は書類等の持出しは、次に掲げる場合を除き禁止する。なお、持出しとは、特定個人情報等を、管理区域又は取扱区域の外へ移動させることをいい、事業所内での移動等も持出しに該当するものとする。

1. 個人番号関係事務に係る外部委託先に、委託事務を実施する上で必要と認められる範囲内でデータを提供する場合
2. 行政機関等への法定調書の提出等、センターが実施する個人番号関係事務に関して個人番号利用事務実施者に対しデータ又は書類を提出する場合

2 事務取扱担当者等は、特定個人情報等が記録された電子媒体又は書類等を持ち出す場合、パスワードの設定、封筒に封入し鞄に入れて搬送する等、紛失・盗難等を防ぐための安全な方策を講ずるものとする。

（個人番号の削除、機器及び電子媒体等の廃棄）

第14条 事務取扱責任者は、事務取扱担当者又は外部委託先が特定個人情報等を削除・廃棄したことを確認するものとする。

第3節 技術的安全管理措置

（アクセス制御・アクセス者の識別と認証）

第15条 センターにおける特定個人情報へのアクセス制御及びアクセス者の識別と認証は、次のとおりとする。

1. 特定個人情報等を取り扱う機器を特定し、その機器を取り扱う事務取扱担当者等を限定する。
2. 機器の標準装備されているユーザー制御機能（ユーザーアカウント制御）により、情報システムを取り扱う事務取扱担当者等を限定する。

（外部からの不正アクセス等の防止）

第16条 センターは、次に掲げる方法により、情報システムを外部からの不正アクセス又は不正ソフトウェアから保護するものとする。

1. 情報システムと外部ネットワークとの接続箇所に、ファイアウォール等を設置し、不正アクセスを遮断する方法
2. 情報システム及び機器にセキュリティ対策ソフトウェア等（ウイルス対策ソフトウェア等）を導入する方法
3. 導入したセキュリティ対策ソフトウェア等により、入出力データにおける不正ソフトウェアの有無を確認する方法
4. 機器やソフトウェア等に標準装備されている自動更新機能等の活用により、ソフトウェア等を最新状態とする方法
5. ログ等の分析を定期的に行い、不正アクセス等を検知する方法

（情報漏えいの防止）

第17条 センターは、特定個人情報等をインターネット等により外部に送信する場合、次に掲げる方法により、情報漏えい等を防止するものとする。

1. 通信経路における情報漏えい等の防止策として、通信経路の暗号化等の措置を講ずる方法
2. 情報システムに保存される特定個人情報等の情報漏えい等の防止策として、データの暗号化又はパスワードによる保護等の措置を講ずる方法

第3章 特定個人情報等の取得

（特定個人情報の適正な取得）

第18条 センターは、特定個人情報等の取得を適法かつ公正な手段によって行うものとする。

（特定個人情報の利用目的）

第19条 センターが役職員又は第三者から取得する特定個人情報の利用目的は、第3条に掲げた個人番号を取り扱う事務の範囲内とする。

（特定個人情報の利用目的の通知等）

第20条 センターは、特定個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を情報主体に通知し、又は公表しなければならない。この場合において、通知の方法については、原則として書面（電子的方式、磁気的方式、その他人の知覚によって認識することができない方式で作られた記録を含む。以下同じ。）によることとし、公表の方法については、センターの窓口等への書面の掲示・備付け、インターネット上のホームページ等での公表等、適切な方法によるものとする。センターの役職員から特定個人情報を取得する場合には、所内LANにおける通知、利用目的を記載した書類の提示、就業規則への明記等の方法による。

2 センターは、利用目的の変更をする場合、当初の利用目的と相当の関連性を有すると合理的に認められる範囲内で利用目的を変更して、本人への通知、公表又は明示を行うことにより、変更後の利用目的の範囲内で特定個人情報を利用することができる。

（個人番号の提供の要求）

第21条 センターは、第3条に掲げる事務を処理するために必要がある場合に限り、本人又は他の個人番号関係事務実施者若しくは個人番号利用事務実施者に対して個人番号の提供を求めることができるものとする。

（個人番号の提供を求める時期）

第22条 センターは、第3条に定める事務を処理するために必要があるときに個人番号の提供を求めることとする。

2 前項にかかわらず、本人との法律関係等に基づき、個人番号関係事務の発生が予想される場合には、契約を締結した時点等の当該事務の発生が予想できた時点で個人番号の提供を求めることが可能であるものとする。

（特定個人情報の提供の求めの制限）

第23条 特定個人情報の提供とは、法的な人格を超える特定個人情報の移動を意味するものであり、同一法人の内部等の法的な人格を超えない特定個人情報の移動は提供ではなく、利用に該当し、個人番号の利用制限に従うものとする。

2 センターは、番号法第19条各号のいずれかに該当し特定個人情報の提供を受けることができる場合を除き、特定個人情報の提供を求めてはならない。

（特定個人情報の収集制限）

第24条 センターは、第3条に定める事務の範囲を超えて、特定個人情報を収集しないものとする。

（本人確認）

第25条 センターは、番号法第16条に定める各方法により、役職員又は第三者の個人番号の確認及び当該人の身元確認を行うものとする。また、代理人については、同条に定める各方法により、当該代理人の身元確認、代理権の確認及び本人の個人番号の確認を行うものとする。

（取得段階における安全管理措置）

第26条 特定個人情報の取得段階における組織的安全管理措置、人的安全管理措置、物理的安全管理措置及び技術的安全管理措置は、第2章（安全管理措置）第1節（組織的安全管理措置・人的安全管理措置）、第2節（物理的安全管理措置）及び第3節（技術的安全管理措置）に従うものとする。

第4章 特定個人情報の利用

（特定個人情報の利用制限）

第27条 センターは、特定個人情報を、第19条に掲げる利用目的の範囲内でのみ利用するものとする。

2 センターは、人の生命、身体又は財産の保護のために必要がある場合を除き、本人の同意があったとしても、利用目的を超えて特定個人情報を利用してはならないものとする。

（特定個人情報ファイルの作成の制限）

第28条 センターが特定個人情報ファイルを作成するのは、第3条に定める事務を実施するために必要な範囲に限り、これらの場合を除き特定個人情報ファイルを作成しないものとする。

（利用段階における安全管理措置）

第29条 特定個人情報の利用段階における組織的安全管理措置、人的安全管理措置、物理的安全管理措置及び技術的安全管理措置は、第2章（安全管理措置）第1節（組織的安全管理措置・人的安全管理措置）、第2節（物理的安全管理措置）及び第3節（技術的安全管理措置）に従うものとする。

第5章 特定個人情報の保管

（特定個人情報の正確性の確保）

第30条 事務取扱担当者等は、特定個人情報を、第19条に掲げる利用目的の範囲内において、正確かつ最新の状態で管理するよう努めるものとする。

（保有個人情報に関する事項の公表等）

第31条 センターは、個人情報保護法第24条第1項に基づき、特定個人情報に係る保有個人情報に関する事項を本人の知り得る状態に置くものとする。

（特定個人情報の保管制限）

第32条 センターは、第3条に定める事務の範囲を超えて、特定個人情報を保管してはならない。

2 センターは、所管法令で定められた個人番号を記載する書類等の保存期間を経過するまでの間は、支払調書の再作成等の個人番号関係事務を行うために必要があると認められるため、当該書類だけでなく、支払調書を作成するシステム内においても特定個人情報を保管することができる。

3 センターは、番号法上の本人確認の措置を実施する際に提示を受けた本人確認書類（個人番号カード、通知カード、身元確認書類等）の写し、センターが行政機関等に提出する法定調書の控え、当該法定調書を作成する上で事業者が受領する個人番号が記載された申告書等を特定個人情報として保管するものとする。これらの書類については、法定調書の再作成を行うなど個人番号関係事務の一環として利用する必要があると認められるため、関連する所管法令で定められた個人番号を記載する書類等の保存期間を経過するまでの間保存することができる。

（保管段階における安全管理措置）

第33条 特定個人情報の保管段階における組織的安全管理措置、人的安全管理措置、物理的安全管理措置及び技術的安全管理措置は、第2章（安全管理措置）第1節（組織的安全管理措置・人的安全管理措置）、第2節（物理的安全管理措置）及び第3節（技術的安全管理措置）に従うものとする。

第6章 特定個人情報の提供

（特定個人情報の提供制限）

第34条 センターは、番号法第19条各号に掲げる場合を除き、本人の同意の有無に関わらず、特定個人情報を第三者（法的な人格を超える特定個人情報の移動を意味し、同一法人の内部等の法的な人格を超えない特定個人情報の移動は該当しないものとする。）に提供しないものとする。なお、本人の同意があっても特定個人情報の第三者提供ができないことに留意するものとする。

（提供段階における安全管理措置）

第35条 特定個人情報の提供段階における組織的安全管理措置、人的安全管理措置、物理的安全管理措置及び技術的安全管理措置は、第2章（安全管理措置）第1節（組織的安全管理措置・人的安全管理措置）、第2節（物理的安全管理措置）及び第3節（技術的安全管理措置）に従うものとする。

第7章 特定個人情報の開示、訂正等、利用停止等

（特定個人情報の開示）

第36条 センターは、本人から、当該本人が識別される特定個人情報に係る保有個人情報について開示を求められた場合は、次条に規定する手続き及び方法により、遅滞なく、当該情報の情報主体であることを厳格に確認した上で、当該本人が開示を求めてきた範囲内でこれに応ずるものとする。なお、当該本人に法定調書の写しを送付する際、法定調書の写しに本人以外の個人番号が含まれている場合には、その部分についてはマスキング等をするものとする。

2 センターは、次の事由に該当する場合には、当該開示請求の全部又は一部を不開示とすることができ、その場合には請求者に対してその旨及び理由（根拠とした個人情報保護法の条文及び判断の基準となる事実を示すこととする。）を説明することとする。

1. 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
2. センターの業務の適正な実施に著しい支障を及ぼす恐れがある場合
3. 他の法令に違反することとなる場合

（保有個人情報の開示請求処理手順）

第37条 前条に基づき本人又はその代理人（未成年者若しくは成年被後見人の法定代理人、又は本人が委任した任意代理人をいう。以下同じ。）から当該本人が識別される特定個人情報に係る保有個人情報について開示請求を受けた場合は、次の手順で応ずることとする。

1. 受付時の確認
2. 開示の可否の決定
3. 不開示の場合の対応
4. 請求者に対する通知時期

（保有個人情報の訂正等）

第38条 センターは、本人から、当該本人が識別される特定個人情報に係る保有個人情報の内容が事実でないことを理由に当該保有個人情報の内容の訂正、追加又は削除（以下「訂正等」という。）を求められた場合は、必要な調査を行い、その結果に基づき、遅滞なくこれに応ずることとする。これによる訂正等を行ったとき、又は訂正等を行わない旨の決定したときは、当該本人に対し、遅滞なくその旨（訂正等を行ったときは、その内容を含む。）を通知するものとする。

（保有個人情報の訂正等処理手順）

第39条 前条に基づき、開示の結果、特定個人情報に係る保有個人情報が事実でないとして、当該保有個人情報の内容の訂正等を求められた場合は、次に掲げる手順にて応ずることとする。

1. 当該請求者に対し、訂正等すべき内容が事実である旨を証明できる資料の提出を求める。
2. 事務取扱責任者は、提出された資料に基づき、利用目的の達成に必要な範囲内において遅滞なく必要な調査を行い、訂正等を行うかどうか決定する。
3. 決定した結果については、遅滞なく当該請求者に対して書面にて、郵送又はこれに代わる方法により通知する。また、訂正等の措置をとらない場合は、判断の根拠及び根拠となる事実を示し、その理由についても説明することとする。

（保有個人情報の利用停止等）

第40条 センターは、本人から、当該本人が識別される特定個人情報に係る保有個人情報が、個人情報保護法第17条の規定に違反して取得されているという理由、同法第16条の規定に違反して取り扱われたものであるという理由又は番号法第19条の規定に違反して第三者に提供されているという理由によって、当該保有個人情報の利用の停止、消去又は第三者への提供の停止（以下、「利用停止等」という。）を求められた場合であって、その求めに理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人情報の利用停止等を行わなければならない。ただし、利用停止等を行うことに多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、当該本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

2 前項の規定に基づき求められた利用停止等の全部若しくは一部を行ったとき若しくは行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（当該本人から求められた措置と異なる措置を行う場合にはその措置内容を含む。）を通知しなければならない。なお、利用停止等を行わない場合又は本人の求めと異なる措置をとる場合は、その判断の根拠及びその根拠となる事実を示し、その理由を説明することとする。

（開示等を求める手続及び手数料）

第41条 センターは、特定個人情報に関して、個人情報保護法第29条第1項の開示等の求めを受ける方法を定めた場合には、個人情報保護方針と一体としてインターネットのホームページでの常時掲載を行うこと、又は事務所の窓口等での掲示・備付け等を行うこととする。

2 開示等の求めをする者が本人又は代理人であることの確認の方法を定めるに当たっては、十分かつ適切な確認手続とするよう留意する。

3 個人情報保護法第30条に基づき手数料を徴収する場合には、同様の内容の開示等手続の平均的実績の予測に基づき、合理的な手数料額を算定する等の方法により、実費を勘案して合理的であると認められる範囲において手数料の額を定めなければならない。

第8章 特定個人情報の廃棄・削除

（特定個人情報の廃棄・削除）

第42条 センターは、第3条に規定する事務を処理する必要がある範囲内に限り特定個人情報等を収集又は保管し続けるものとする。

2 個人番号等が記載された書類等で所管法令によって一定期間保存が義務付けられているものに係る個人番号については、その期間保管するものとする。

3 前2項の事務を処理する必要がなくなった場合で、所管法令において定められている保存期間を経過した場合には、個人番号をできるだけ速やかに廃棄又は削除するものとする。

（廃棄・削除段階における安全管理措置）

第43条 特定個人情報の廃棄・削除段階における組織的安全管理措置、人的安全管理措置、物理的安全管理措置及び技術的安全管理措置は、第2章（安全管理措置）第1節（組織的安全管理措置・人的安全管理措置）、第2節（物理的安全管理措置）及び第3節（技術的安全管理措置）に従うものとする。

第9章 特定個人情報の委託の取扱い

（委託先における安全管理措置）

第44条 センターは、個人番号関係事務又は個人番号利用事務の全部又は一部を委託する場合には、センター自らが果たすべき安全管理措置と同等の措置が委託先において適切に講じられるよう、必要かつ適切な監督を行うものとする。

2 前項の必要かつ適切な監督には、次に掲げる事項が含まれる。

1. 委託先の適切な選定
2. 委託先に安全管理措置を遵守させるために必要な契約の締結
3. 委託先における特定個人情報の取扱状況の把握

3 委託先の適切な選定としては、設備、技術水準、従業者の監督・教育の状況、経営環境状況、特定個人情報の安全管理の状況、暴力団等との関係の有無などを確認する。

4 必要な契約には、秘密保持義務、特定個人情報の目的外使用の禁止、再委託の条件、事故発生時の責任、廃棄方法などの規定が含まれる。

5 センターは、委託先の管理を行い、1年に1回以上の頻度で及び必要に応じてモニタリングを行う。

6 委託先において情報漏えい事故等が発生した場合に、適切な対応がなされ、速やかにセンターに報告される体制になっていることを確認する。

7 委託先は、センターの許諾を得た場合に限り、委託を受けた個人番号関係事務又は個人番号利用事務の全部又は一部を再委託できるものとする。再委託先が更に再委託する場合も同様とする。

8 センターは、再委託先の適否の判断及び委託先の監督を行い、再委託先に対しても適切な監督が行われているかどうかを確認する。

第10章 その他

（改廃）

第45条 この規程の改廃は、理事会の決議による。

附則

この規程は、平成28年1月1日から施行する。