2　前項に規定にかかわらず、この訓令において、次の各号に掲げる用語の意義は、当該各号に定めるところによる。

2　特定個人情報保護統括責任者は、企画部長をもって充てる。

3　特定個人情報保護統括責任者は、特定個人情報等の取扱いに関して総合調整を行う任に当たる。

4　特定個人情報保護統括責任者は、特定個人情報等の取扱いに関する重要な決定、連絡調整等を行うために必要があるときは、関係職員を構成員とする会議を開催することができる。

5　統括情報セキュリティ責任者は、特定個人情報等を取り扱う情報システム、ネットワーク等の統括責任者として、第23条から第40条までの規定その他の特定個人情報ファイルの適切な管理状況について監督する任に当たる。

6　統括情報セキュリティ責任者は、特定個人情報等の情報セキュリティ全般に関する重要な決定、連絡調整等を行うために必要があるときは、関係職員を構成員とする会議を随時に開催することができる。

2　保護管理者は、次の任務を行う。

2　特定個人情報保護統括責任者は、保護管理者に対し、所属における特定個人情報等の適正な管理のために必要な教育研修を行う。

3　統括情報セキュリティ責任者は、事務取扱担当者に対し、特定個人情報等の適切な管理のために、情報システムの管理、運用及びセキュリティ対策に関して必要な教育研修を行う。

2　職員は、特定個人情報等の漏えい等の事案の発生若しくは兆候を把握した場合又は事務取扱担当者が法令等に違反している事実若しくは兆候を把握した場合には、速やかに保護管理者に報告しなければならない。

2　取扱権限を有しない職員は、特定個人情報等を取り扱ってはならない。

3　事務取扱担当者は、取扱権限を有する場合であっても、業務上の目的以外の目的で特定個人情報等を取り扱ってはならない。

4　事務取扱担当者は、業務上の目的で特定個人情報等を取り扱う場合であっても、次に掲げる行為については、保護管理者の指示に従い行う。

2　特段の事情によりサーバ室等への入退室の記録ができない場合であっても、サーバの盗難防止及び不正アクセス防止のために、施錠可能なサーバラックに収納する。

2　事務取扱担当者は、特定個人情報等が記載された紙媒体を保存期間経過後に速やかに焼却、細断、粉砕等の復元不可能な方法により廃棄しなければならない。

2　事務取扱担当者は、法令等により定められた方法以外の方法で特定個人情報等を利用してはならない。

2　保護管理者は、取扱区域が幸田町の管理外となる場合であっても、幸田町と同等以上の安全管理措置が講じられるよう、取扱区域の管理先を監督する。

2　事務取扱担当者は、特定個人情報等の印刷された紙媒体において、第三者が個人番号を閲覧できないよう必要な措置を講ずる。

2　特定個人情報等を取扱区域外へ持ち出す場合には、特定個人情報等を含む紙媒体及び外部記録媒体を封かんし、第三者が容易に特定個人情報等を閲覧できないよう必要な措置を講ずる。

3　個人番号利用事務における特定個人情報等を含む紙媒体及び外部記録媒体の出先機関間の搬送は、職員による搬送を原則とし、同一日に完了する。

4　個人番号利用事務における特定個人情報等を含む紙媒体及び外部記録媒体の搬送に当たっては、管理簿等により、搬送内容、搬送担当者、搬送方法、発着日時等を記録する。

5　特定個人情報等を含む紙媒体及び外部記録媒体の搬送を委託する場合には、厳封するとともに紛失又は盗難による漏えい等に対する必要な措置を講ずる。

6　特定個人情報等を含む外部記録媒体を搬送する場合には、必ず特定個人情報ファイルを暗号化し、復号化に必要となるパスワード等(パスワード、ICカード、生体情報等をいう。以下同じ。)を外部記録媒体と別に搬送し、又は電子的な方法等により搬送先に通知する。

2　保護管理者は、職員が異動、退職、死亡等により特定個人情報等へのアクセスが不要となった場合には、特定個人情報システムを即時に利用できなくなるよう必要な措置を講ずる。

3　保護管理者は、パスワード等の管理に関する定め(定期又は随時の見直しを含む。)を規定し、漏えい等パスワード等の読取防止等を行うために必要な措置を講ずる。

4　事務取扱担当者は、特定個人情報システムを利用する場合には、利用者を一意に特定できるアカウントを利用して特定個人情報等へのアクセスを行う。

5　事務取扱担当者は、特定個人情報システムのアカウントを共用してはならない。

6　保護管理者は、データベースに記録している特定個人情報等へのアクセスを事務取扱担当者に限定するために必要な措置を講ずる。

2　保護管理者は、アクセス記録の分析、搾取等による特定個人情報等の漏えい等を防止するため、アクセス記録に特定個人情報等を記録してはならない。

2　保護管理者は、事務取扱担当者が特定個人情報システムを使用する必要がない場合には、アクセスしないよう指導監督する。

3　事務取扱担当者は、業務上の必要がない場合には、特定個人情報システムを使用してはならない。

2　保護管理者は、特定個人情報システムの記録等の分析を定期的に行い、不正アクセス等の痕跡を確認する。

2　保護管理者は、システムで使用しているオペレーティングシステム、ミドルウェア等のメーカーサポートの有効期限が切れることのないよう必要な措置を講ずる。

3　保護管理者は、その他不正プログラムの感染防止等に必要な措置を講ずる。

2　前項の規定にかかわらず、事務取扱担当者は、インターネットと接続されたネットワークに特定個人情報ファイルを保存しなければならない場合には、暗号化するものとする。

3　保護管理者は、インターネットと接続されたネットワークに特定個人情報ファイルを暗号化できない状態で保存するやむを得ない理由がある場合には、統括情報セキュリティ責任者と協議の上、必要な措置を講ずる。

4　事務取扱担当者は、インターネットと接続されたネットワークにおいて暗号化された特定個人情報ファイルを復号化して平文で操作する必要がある場合には、真に必要な操作のみに限定し、操作後は、直ちにファイルを暗号化しなければならない。

2　職員は、保護管理者が必要があると認めるときを除き、特定個人情報等が保存された端末を外部へ持ち出し、又は外部から持ち込んではならない。

2　保護管理者は、システムの使用中に操作されることなく一定時間を経過した場合には、認証機能により職員の正当性を再度確認する等の必要な措置を講ずる。

2　保護管理者は、特定個人情報ファイルのうち個人番号を含む一部の特定個人情報等を削除する場合であっても、容易に復元できない手段を採用する。

3　保護管理者は、特定個人情報システムに引き続き保存すべき個人情報が含まれる場合であっても、保存期間を経過した特定個人情報等については、速やかに削除する。

4　保護管理者は、削除又は破棄の作業を委託する場合には、委託先が確実に削除又は破棄をしたことについて証明書等により確認する。

2　統括情報セキュリティ責任者は、情報システム室等に立ち入る権限を有する者を定めるとともに、用件の確認、入退の記録、部外者についての識別化、部外者が立ち入る場合の職員の立会い又は監視設備による監視、外部記録媒体等の持込み、利用及び持出しの制限又は検査等の措置を講ずる。

3　保護管理者は、特定個人情報等を記録する媒体等の保管を施錠可能な机又は書庫、施錠可能な保管庫等に限定し、事務取扱担当者以外が容易に持ち出すことができない措置を講ずる。

4　保護管理者は、情報システム室等の出入口の特定化による入退管理の容易化、所在表示の制限等の措置を講ずる。

2　統括情報セキュリティ責任者は、庁外の情報システム室等において適切な特定個人情報等の取扱いが担保されない可能性があると判断する場合には、情報システム室等の設置を許可してはならない。

3　統括情報セキュリティ責任者が整備する情報システム室は、幸田町情報セキュリティポリシーに定める情報システム室のセキュリティ対策と同等以上の安全管理措置を講ずる。

2　保護管理者は、番号法の規定により特定個人情報等を提供する場合には、通信経路における情報漏えい等を防止するための措置を講ずる。

3　保護管理者は、情報提供ネットワークシステム以外の手段で、同一の執行機関内において個人番号利用事務における特定個人情報等の提供の求め又は提供があったときは、次に掲げる事項を記録し、当該記録を必要な期間保存する。

2　保護管理者は、個人番号利用事務等の全部又は一部の委託をする場合には、委託を受けた者において、特定個人情報保護統括責任者が別に定める個人情報取扱事務委託基準を遵守させるとともに、幸田町が果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行わなければならない。

3　保護管理者は、個人番号利用事務等の全部又は一部の委託を受けた者が再委託をする場合には、幸田町が果たすべき安全管理措置と同等の措置が講じられることを確認した上で再委託の諾否を判断しなければならない。

2　保護管理者は、事案の発生した経緯、被害状況等を部長、特定個人情報保護統括責任者及び統括情報セキュリティ責任者に報告する。

3　統括情報セキュリティ責任者は、保護管理者に対し、被害の拡大防止又は復旧等のために必要となる助言又は指導を行う。

4　特定個人情報保護統括責任者は、必要があると認めるときは、個人情報保護委員会(個人情報の保護に関する法律(平成15年法律第57号)第130条第1項に規定する個人情報保護委員会をいう。)に事案を報告する。

5　保護管理者は、自ら管理責任を有する特定個人情報等が外部に流出した可能性があるときは、速やかにその事実を当該特定個人情報等の本人に対して連絡するとともに、本人及びその関係者が二次的な被害に遭うことを防止するための必要な措置を講ずる。

2　保護管理者は、特定個人情報保護統括責任者又は統括情報セキュリティ責任者から改善の必要があると指摘された事項について、速やかに必要な措置を講じなければならない。

2　特定個人情報保護統括責任者又は統括情報セキュリティ責任者は、必要があると認めるときは、保護管理者に対し、点検結果の報告を求めることができる。

この訓令は、平成28年1月1日から施行する。

この訓令は、令和4年4月1日から施行する。ただし、第2条の規定は、デジタル社会の形成を図るための関係法律の整備に関する法律(令和3年法律第37号)第51条の規定の施行の日から施行する。