(趣旨)

第1条　この規程は、国立大学法人大阪大学の保有する個人情報の管理に関する規程(以下「個人情報管理規程」という。)第43条に基づき、国立大学法人大阪大学(以下「本法人」という。)における特定個人情報の適正な取扱いを確保するため必要な事項を定めるものとする。

(法令等との関係)

第2条　この規程に定めのない事項については、行政手続における特定の個人を識別するための番号の利用等に関する法律(平成25年法律第27号。以下「番号法」という。)、個人情報の保護に関する法律(平成15年法律第57号。以下「個人情報保護法」という。)、特定個人情報の適正な取扱いに関するガイドライン(以下「ガイドライン」という。)及び個人情報管理規程その他の関係法令等の定めるところによる。

(定義)

第3条　この規程において、次の各号に掲げる用語の意義は、当該各号に定めるところによる。

(個人番号取扱事務)

第4条　本法人が個人番号を取り扱う事務の範囲は次の各号に掲げるとおりとする。

(特定個人情報取扱事務)

第5条　前条の本法人が個人番号を取り扱う事務において使用される個人番号及び個人番号と関連付けて管理される特定個人情報は次の各号に掲げるとおりとする。

(組織)

第6条　本法人に総括責任者を置き、事務担当理事をもって充てる。

(総括責任者の責務)

第7条　総括責任者は、次の各号に定める業務に従事するとともに、保護責任者及び事務取扱担当者にこれを理解させ、遵守させるための教育訓練、安全対策の実施及び周知徹底等の措置を実施する責任を負う。

(保護責任者の責務)

第8条　保護責任者は、次の各号に定める業務に従事するとともに、当該部局に所属する事務取扱担当者にこれを理解させ、遵守させるための教育訓練、当該部局における安全対策の実施及び周知徹底等の措置を実施する責任を負う。

(事務取扱担当者の責務)

第9条　事務取扱担当者は、特定個人情報の取得、保管、利用、提供、開示、訂正、利用停止、廃棄、削除又は委託処理等、特定個人情報を取扱う業務に従事する際、番号法、個人情報保護法その他の関係法令、ガイドライン、本規程並びに総括責任者及び保護責任者の指示した事項に従い、特定個人情報の保護に十分な注意を払ってその業務に従事しなければならない。

(役職員等の責務)

第10条　役職員等は、特定個人情報の漏えい等、番号法、個人情報保護法その他の関係法令、ガイドライン又は本規程に違反している事実又は兆候を把握した場合、速やかに保護責任者又は総括責任者に報告するものとする。

(調書等作成に係る事務フロー)

第11条　調書等を作成する場合の事務フローは、別に定める。

(運用状況の記録)

第12条　事務取扱担当者は、本規程に基づく運用状況を確認するため、次の各号に定める項目について利用状況等を記録し、その記録を一定期間保存し、分析するための体制を整備するものとする。

(取扱状況の確認手段)

第13条　事務取扱担当者は、特定個人情報ファイルの取扱状況を確認するための手段として、特定個人情報管理台帳を作成し、次の各号に定める事項を記録するものとする。なお、特定個人情報管理台帳には、特定個人情報は記載しないものとする。

(情報漏えい事案への対応)

第14条　総括責任者は、特定個人情報の漏えい、滅失又は毀損による事故(以下「漏えい事案等」という。)が発生したことを把握した場合又はその可能性が高いと判断した場合は、適切に対処するものとする。

(取扱い及び法令等の遵守状況の検証又は監査)

第15条　理事は、定期又は臨時に、本法人の特定個人情報の適正な取扱い並びに法令及び本規程の遵守状況について検証し、その結果及び必要に応じてその改善策等を総括責任者に報告又は提案するものとする。

(取扱状況の確認及び安全管理措置の見直し)

第16条　総括責任者は、定期的に特定個人情報の運用状況の記録及び特定個人情報ファイルの取扱状況の確認を実施しなければならない。

(監督)

第17条　総括責任者及び保護責任者は、第7条又は第8条の責務のほか、特定個人情報が本規程に基づき適正に取り扱われるよう、事務取扱担当者に対して必要かつ適切な監督を行うものとする。

(教育及び研修)

第18条　総括責任者及び保護責任者は、事務取扱担当者に、特定個人情報の適正な取扱いについて理解を深め、特定個人情報の保護に関する意識の高揚を図るための啓発その他必要な教育研修を行う。

(特定個人情報を取り扱う区域)

第19条　本法人は、特定個人情報の情報漏えい等を防止するため、次の各号に定める区域を明確にし、それぞれ当該各号に定める措置を講ずるものとする。

(機器及び電子媒体等の盗難等の防止)

第20条　本法人は管理区域及び取扱区域における特定個人情報を取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、次の各号に掲げる措置を講ずる。

(電子媒体等の取扱いにおける漏えい等の防止)

第21条　本法人は特定個人情報が記録された電子媒体又は書類等の持ち出し(特定個人情報を管理区域又は取扱区域から外へ移動させること又は当該区域の外から当該区域へ移動させることをいい、本法人内での移動等も含む。)は、次に掲げる場合を除き禁止する。

(個人番号の削除、機器及び電子媒体等の廃棄)

第22条　特定個人情報等が記録された電子媒体及び書類等の廃棄又は削除については、次の各号に掲げる措置を講ずる。

(アクセス制御)

第23条　本法人は、情報システムを使用して個人番号利用事務又は個人番号関係事務を行う場合、事務取扱担当者及び当該事務で取り扱う特定個人情報ファイルの範囲を限定するため、特定個人情報へのアクセス制御は次の各号に掲げる方法により適切に行うものとする。

(アクセス者の識別と認証)

第24条　特定個人情報を取り扱う情報システムは、ユーザーID、パスワード、磁気・ICカード、生体情報等の識別方法により、事務取扱担当者が正当なアクセス権を有する者であることを識別した結果に基づき認証するものとする。

(外部からの不正アクセス等の防止)

第25条　本法人は、次の各号に掲げる方法により、情報システムを外部等からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入し、適切に運用するものとする。

(情報漏えい等の防止)

第26条　本法人は、特定個人情報をインターネット等により外部に送信する場合、次の各号に掲げる方法により、通信経路における情報漏えい、情報システム内に保存されている特定個人情報の情報漏えい等を防止するものとする。

(特定個人情報の取得その他の各段階における安全管理措置)

第27条　第3章から第8章までに定める特定個人情報の取得、利用、保管、提供、開示、訂正等、利用停止等、削除及び廃棄の各管理段階における安全管理措置は、本章の各安全管理措置による。

(委託先における安全管理措置)

第28条　本法人は、委託先での特定個人情報の取得、利用、保管、提供、削除及び廃棄段階における安全管理措置について、前条による安全管理措置と同等の措置が講じられるよう委託先に必要かつ適切な監督を行わなければならない。

(特定個人情報の適正な取得)

第29条　本法人は、特定個人情報の取得を適法かつ公正な手段によって行うものとする。

(特定個人情報の利用目的)

第30条　本法人が、役職員等又は第三者から取得する特定個人情報の利用目的は、個人番号利用事務又は個人番号関係事務の範囲内とし、かつ、可能な限り特定するものとする。

(特定個人情報の取得時の利用目的の公表、明示又は通知)

第31条　本法人は、特定個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を情報主体に通知し、又は公表しなければならない。

(個人番号の提供の要求)

第32条　個人番号の提供の要求は、個人番号利用事務又は個人番号関係事務を処理するために必要がある場合に限り、本人又は他の個人番号利用事務実施者若しくは個人番号関係事務実施者に対し行うことができるものとする。

(個人番号の提供を求める時期)

第33条　個人番号利用事務実施者又は個人番号関係事務実施者は、個人番号利用事務又は個人番号関係事務を処理するために必要があるときに個人番号の提供を求めることとする。

(特定個人情報の提供の求めの制限)

第34条　本法人は、番号法第19条各号のいずれかに該当し特定個人情報の提供を受けることができる場合を除き、特定個人情報の提供を求めてはならない。

(情報提供ネットワークシステムによる特定個人情報の取得に伴う記録等)

第35条　番号法第19条第7号の規定により特定個人情報の提供があったとき、又は、その提供事実が番号法第31条第1項の規定により、「未成年者又は成年被後見人の法定代理人」に本人の委任による代理人を加えた「代理人」と読み替えて適用する個人情報保護法第78条(同法第123条第2項の規定によりみなして適用する場合を含む。)に規定する不開示情報に該当すると認めるときは、番号法第23条第1項各号に定める事項又は不開示情報に該当する旨を情報提供ネットワークシステムに接続されたその者の使用する電子計算機に記録し、当該記録を7年間保存しなければならない。

(特定個人情報の収集制限)

第36条　本法人は、個人番号利用事務又は個人番号関係事務の範囲を超えて、特定個人情報を収集しないものとする。

(本人等の確認)

第37条　本法人は番号法第16条に定める方法により、役職員等又は役職員等以外の個人の個人番号の確認及び当該者の身元確認を行うものとする。

(特定個人情報の利用制限)

第38条　本法人は、第30条に定める利用目的の範囲内でのみ特定個人情報を利用するものとする。

(特定個人情報ファイルの作成の制限)

第39条　本法人は、番号法第19条第12号から第16号までのいずれかに該当する場合を除き、個人番号利用事務又は個人番号関係事務を処理するために必要な範囲を超えて特定個人情報ファイルを作成しないものとする。

(特定個人情報の保管制限)

第40条　本法人は、個人番号利用事務又は個人番号関係事務を処理する必要がある範囲内に限り特定個人情報を保管することができるものとする。

(特定個人情報の正確性の確保)

第41条　事務取扱担当者は、特定個人情報を、第30条に掲げる利用目的の範囲内で、過去又は現在の事実と合致するよう、正確かつ最新の状態で管理するよう努めるものとする。

(情報提供ネットワークシステムによる特定個人情報の提供)

第42条　番号法第19条第7号の規定により特定個人情報の提供を求められた場合において、同法第21条第2項の規定による総務大臣からの通知を受けたときは、政令第28条で定めるところにより、情報照会者に対して求められた特定個人情報を提供しなければならない。

(情報提供ネットワークシステムによる特定個人情報の提供に伴う記録等)

第43条　第35条の規定は、前条において準用する。

(特定個人情報の提供制限)

第44条　本法人は、番号法第19条各号に掲げる場合を除き、本人の同意の有無に関わらず、特定個人情報を第三者に提供しないものとする。

(特定個人情報の開示、訂正等及び利用停止等)

第45条　特定個人情報の開示、訂正等(訂正、追加又は削除をいう。)、利用停止等(利用の停止、消去又は第三者への提供の停止をいう。)の取扱いについては、番号法第30条第1項、第31条第1項、個人情報保護法その他の関係法令、国立大学法人大阪大学の保有する個人情報の開示、訂正及び利用停止に係る手続に関する規程及び国立大学法人大阪大学の保有する個人情報の開示、訂正及び利用停止に係る審査基準によるものとする。

(特定個人情報の廃棄・削除)

第46条　個人番号利用事務又は個人番号関係事務を処理する必要がなくなった場合で、法令等において定められている保存期間を経過した場合には、個人番号をできるだけ速やかに廃棄又は削除しなければならない。

(委託又は再委託の取扱い)

第47条　個人番号利用事務又は個人番号関係事務の全部又は一部を委託する場合、当該特定個人情報の安全管理措置が適切に講じられるよう委託先に対し、必要かつ適切な監督を行わなければならない。

(雑則)

第48条　この規程に定めるもののほか、特定個人情報の取扱いに関し必要な事項は、別に定める。