○臼杵市特定個人情報の取扱いに関する管理規程
平成27年12月28日
訓令第16号
(目的)
第1条 この規程は、臼杵市特定個人情報保護条例(平成27年臼杵市条例第27号。以下「条例」という。)に基づき、臼杵市の保有する特定個人情報及び特定個人情報ファイルの適切な管理に必要な事項を定めることにより、市の行政の適正かつ円滑な運営を図り、もって個人の権利利益を保護することを目的とする。
(最高統括保護管理者)
第3条 臼杵市における特定個人情報の管理に関する事務を統括するため、最高統括保護管理者1人を置き、副市長をもって充てる。
(統括保護管理者)
第4条 最高統括保護管理者を補佐し、部局等における特定個人情報の管理に関する事務を統括するため、特定個人情報等を取り扱う部局等に統括保護管理者1人を置き、各部局等の長をもって充てる。
(保護管理者)
第5条 課室等における特定個人情報を適切に管理するため、特定個人情報を取り扱う課室等に保護管理者1人を置き、各課室等の長又はこれに代わる者をもって充てる。
2 保護管理者は、特定個人情報の適切な管理を確保する任にあたる。また、特定個人情報を情報システムで取り扱う場合、システム管理者と連携して、その任にあたる。
3 保護管理者は、特定個人情報を取り扱う職員(臨時的任用職員等を含む。以下同じ。)及び各職員が取り扱う特定個人情報の範囲を指定する。
4 保護担当者は、保護管理者を補佐し、各課における特定個人情報の管理に関する事務を担当する。
(システム管理者)
第6条 システム管理者は総務課長をもって充てる。
2 システム管理者は、特定個人情報のうち情報システムで取り扱うものについての安全の確保等について必要な措置を講ずる。
(監査責任者)
第7条 市長は、特定個人情報の管理の状況についての監査をさせるために、監査責任者を置く。
2 監査責任者は、総務課長をもって充てる。
(管理体制)
第8条 最高統括保護管理者は、次に掲げる組織体制を整備する。
(1) 職員がこの規程等に違反している事実又は兆候を把握した場合の最高統括保護管理者への報告体制及び連絡体制
(2) 特定個人情報の漏えい、滅失又は毀損(以下「情報漏えい等」という。)の事案の発生又は兆候を把握した場合の職員から最高統括保護管理者等への報告体制及び対応体制
(3) 特定個人情報を複数の部署で取り扱う場合の各部署の任務分担及び責任の明確化
(教育研修)
第9条 最高統括保護管理者は、職員に対し、特定個人情報の取扱いについて理解を深め、特定個人情報の保護に関する意識の高揚を図るための啓発その他必要な教育研修を行う。
2 最高統括保護管理者は、特定個人情報を取り扱う情報システムの管理に関する事務に従事する職員に対し、特定個人情報の適切な管理のために、情報システムの管理、運用及びセキュリティ対策に関して必要な教育研修を行う。
3 保護管理者は、当該課の職員に対し、特定個人情報の適切な管理のために、最高統括保護管理者の実施する教育研修への参加の機会を与える等の必要な措置を講ずる。
(職員の責務)
第10条 職員は、条例及び番号法の趣旨に則り、関連する法令及び規程等の定め並びに最高統括保護管理者、統括保護管理者、保護管理者及び保護担当者の指示に従い、特定個人情報を取り扱わなければならない。
2 職員は、特定個人情報の情報漏えい等の事案の発生又は兆候を把握した場合及び職員がこの規程等に違反している事実又は兆候を把握した場合は、速やかに保護管理者に報告しなければならない。
3 最高統括保護管理者、統括保護管理者及び保護管理者は、特定個人情報がこの規程等に基づき適正に取り扱われるよう、職員に対して必要かつ適切な監督を行う。
(アクセス制限・制御)
第11条 保護管理者は、特定個人情報にアクセスする権限(以下「アクセス権」という。)を有する職員とその権限の内容を、当該職員が業務を行う上で必要最小限の範囲に限るものとする。また、システム管理者はアクセス権を有するものを必要最小限の職員に限る。
2 アクセス権を有しない職員は、特定個人情報にアクセスしてはならない。
3 職員は、アクセス権を有する場合であっても、業務上の目的以外の目的で特定個人情報にアクセスしてはならない。
(複製等の制限)
第12条 職員が業務上の目的で特定個人情報を取り扱う場合であっても、次に掲げる行為については、保護管理者の指示に従い行うものとする。
(1) 特定個人情報の複製
(2) 特定個人情報の送信
(3) 特定個人情報が記録されている媒体の外部への送付又は持出し
(4) その他特定個人情報の適切な管理に支障を及ぼすおそれのある行為
(訂正)
第13条 職員は、特定個人情報の内容に誤り等を発見した場合には、保護管理者の指示に従い、訂正等を行う。
(媒体の管理)
第14条 職員は、保護管理者の指示に従い、特定個人情報が記録されている媒体を定められた場所に保管するとともに、必要があると認めるときは、耐火金庫への保管、施錠等を行う。
(廃棄等)
第15条 職員は、特定個人情報又は特定個人情報が記録されている媒体(端末及びサーバに内蔵されているものを含む。)が不要となった場合には、保護管理者の指示に従い、当該特定個人情報の復元又は判読が不可能な方法により当該情報の消去又は当該媒体の廃棄を行う。
2 特定個人情報ファイルを削除した場合又は電子媒体等を廃棄した場合には、削除又は廃棄した記録を保存する。これらの作業を委託する場合には、委託先が確実に削除又は廃棄したことについて、証明書等により確認するものとする。
(取扱状況の記録)
第16条 保護管理者は、特定個人情報ファイルの取扱状況を確認する手段を整備し、当該特定個人情報の利用及び保管等の取扱状況について記録する。
(個人番号の利用の制限)
第17条 保護管理者は、個人番号の利用に当たり、条例及び番号法に定められた事務に限定する。
(特定個人情報の提供の求めの制限)
第18条 個人番号利用事務又は個人番号関係事務(以下「個人番号利用事務等」という。)を処理するために必要な場合その他番号法で定める場合を除き、個人番号の提供を求めてはならない。
(特定個人情報ファイルの作成の制限)
第19条 個人番号利用事務等を処理するために必要な場合その他番号法で定める場合を除き、特定個人情報ファイルを作成してはならない。
(特定個人情報の収集・保管の制限)
第20条 番号法第19条各号のいずれかに該当する場合を除き、特定個人情報を収集又は保管してはならない。
(取扱区域)
第21条 保護管理者は、特定個人情報を取り扱う事務を実施する区域を明確にし、物理的な安全管理措置を講ずる。
(アクセス記録)
第22条 システム管理者は、特定個人情報へのアクセス状況を記録し、その記録を一定の期間保存し、定期又は随時の分析に必要な措置及びアクセス記録の改ざん、窃取又は不正な削除の防止に必要な措置を講ずる。
(暗号化)
第23条 システム管理者は、特定個人情報ファイルを暗号化するために必要な措置を講ずる。
2 職員は、前項の規定を踏まえ、その処理する特定個人情報ファイルについて、適切に暗号化を行う。
(情報システム室等の管理)
第24条 システム管理者は、特定個人情報を取り扱う基幹的なサーバ等の機器を設置する室その他の区域に立ち入る権限を有する者を定めるとともに、安全管理について必要な措置を講ずる。また、特定個人情報を記録する媒体を保管するための施設を設けている場合においても、必要があると認めるときは、同様の措置を講ずる。
(業務の委託等)
第25条 特定個人情報の取扱いに係る業務を外部に委託する場合には、特定個人情報の適切な管理を行う能力を有しない者を選定することがないよう、委託先において番号法に基づき臼杵市が果たすべき安全管理措置と同等の措置が講じられるか否かについてあらかじめ確認する等の必要な措置を講じ、委託先における特定個人情報等の管理の状況について、臼杵市が果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行うものとする。
(事案の報告及び再発防止措置)
第26条 情報漏えい等の事案の発生又は兆候を把握した場合及び職員がこの規程等に違反している事実又は兆候を把握した場合その他安全確保の上で問題となる事案が発生した場合に、その事実を知った職員は、速やかに当該特定個人情報等を管理する保護管理者に報告するものとする。
2 保護管理者は、前項の規定による報告を受けた場合は、統括保護管理者及び最高統括保護管理者に報告するとともに、被害の拡大防止又は復旧等のために必要な措置を講ずるものとする。
3 保護管理者は、前項の規定による措置を講じた後、速やかに、事案の発生した経緯、被害状況等を調査し、統括保護管理者及び最高統括保護管理者に報告するとともに、再発防止のために必要な措置を講ずるものとする。
4 最高統括保護管理者は、前2項の規定による報告を受けた場合には、事案の内容等に応じて、必要な措置を講ずるものとする。
(監査)
第27条 監査責任者は、特定個人情報の管理を検証するため、この規程に定める措置の状況を含む本市における特定個人情報の管理の状況について、定期に、及び必要に応じ随時に監査を行い、その結果を最高統括保護管理者に報告する。
(点検)
第28条 保護管理者及びシステム管理者は、各課における特定個人情報の記録媒体、処理経路、保管方法等について、定期に、及び必要に応じ随時に点検を行い、必要があると認めるときは、その結果を最高統括保護管理者に報告する。
(評価等)
第29条 最高統括保護管理者は、監査又は点検の結果等を踏まえ、特定個人情報の適切な管理のための措置について評価し、必要があると認めるときは、適切な措置を講ずるものとする。
(その他)
第30条 この規程に定めるもののほか、必要な事項は、別に定める。
附則
この訓令は、平成28年1月1日から施行する。
附則(平成29年4月3日訓令第6号)抄
(施行期日)
1 この訓令は、公示の日から施行する。