(目的)

第1条　この規程は、行政手続における特定の個人の識別をするための番号の利用等に関する法律(平成25年法律第27号。以下「法」という。)、個人情報の保護に関する法律(平成15年法律第57号。以下「保護法」という。)、須崎市個人情報保護法施行条例(令和5年須崎市条例第2号)。以下「保護法施行条例」という。)及び須崎市議会の個人情報の保護に関する条例(令和5年須崎市条例第14号。以下「議会保護条例」という。)の施行に関し、須崎市特定個人情報等安全管理基本方針を踏まえ、須崎市(以下「市」という。)が取り扱う個人番号及び特定個人情報の安全管理について必要な事項を定めることにより、その適切な措置及び適正な運用を目的とする。

(定義)

第2条　この規程において、次の各号に掲げる用語の意義は、当該各号に定めるところによる。

(総括保護責任者)

第3条　特定個人情報等に係る総合的な安全管理措置を行うため、総括保護責任者を置く。

(総括保護管理者)

第4条　総括保護責任者を補佐するため、総括保護管理者を置く。

(副総括保護管理者)

第5条　総括保護管理者を補佐し、前条第2項各号に掲げる事項を実施するため、副総括保護管理者を置く。

(保護管理者)

第6条　課等に保護管理者を置く。

(副保護管理者)

第7条　保護管理者を補佐するため、課等に副保護管理者を置くことができる。

(事務取扱担当者)

第8条　保護管理者は、特定個人情報等を取り扱う職員(以下「事務取扱担当者」という。)を指定し、当該事務取扱担当者が取り扱う特定個人情報等の範囲を定めなければならない。

(個人情報等保護研修)

第9条　総括保護管理者は、事務取扱担当者に対し、特定個人情報等の取扱いについて理解を深め、特定個人情報等の保護に関する意識の高揚を図るための啓発その他必要な教育研修を行う。

(事務取扱担当者の責務)

第10条　事務取扱担当者は、法、保護法、保護法施行条例及び議会保護条例の趣旨に則り、関連する法令及び須崎市情報セキュリティポリシー等の各種規程を遵守するとともに、総括保護責任者、総括保護管理者及び保護管理者の指示に従い、特定個人情報等を取り扱わなければならない。

(アクセスの制限)

第11条　保護管理者及び事務取扱担当者以外の者は、特定個人情報等にアクセスをしてはならない。

(複製等の制限)

第12条　事務取扱担当者は、取扱事務の目的の範囲内で特定個人情報等を取り扱う場合であっても次に掲げる行為については、保護管理者の指示に従い行わなればならない。

(誤りの訂正等)

第13条　事務取扱担当者は、特定個人情報等の内容に誤りを発見した場合には、保護管理者の指示に従い、訂正等を行わなければならない。

(媒体の管理等)

第14条　事務取扱担当者は、保護管理者の指示に従い、特定個人情報等が記録されている媒体を定められた場所に保管するとともに、必要があると認めるときは、耐火金庫への保管、施錠等により、情報漏えい等を防止するための措置を講じなければならない。

(廃棄等)

第15条　事務取扱担当者は、特定個人情報等が記録されている媒体(情報機器に内蔵されているものを含む。)が不要となった場合には、保護管理者の指示に従い、当該特定個人情報等の復元又は判読が不可能な方法により当該情報の削除又は当該媒体の廃棄を行わなければならない。

(取扱状況の記録)

第16条　保護管理者は、特定個人情報ファイルの取扱状況を確認する手段を整備して、当該特定個人情報等の利用及び保管等の取扱状況について記録しなければならない。

(個人番号の利用の制限)

第17条　事務取扱担当者は、法、保護法又は議会保護条例の定める場合を除き、個人番号を利用してはならない。

(特定個人情報の提供の求めの制限)

第18条　事務取扱担当者は、個人番号利用事務又は個人番号関係事務(以下「個人番号利用事務等」という。)を処理するために必要な場合その他の法で定める場合を除き、個人番号の提供を求めてはならない。

(特定個人情報ファイルの作成の制限)

第19条　事務取扱担当者は、個人番号利用事務等を処理するために必要な場合その他の法で定める場合を除き、特定個人情報ファイルを作成してはならない。

(特定個人情報等の収集及び保管の制限)

第20条　事務取扱担当者は、法第19条各号のいずれかに該当する場合を除き、他人の個人番号を含む個人情報を収集又は保管してはならない。また、本人又は代理人から個人番号の提供を受ける際には、成りすましを防止するため、当該本人確認及び個人番号の確認を確実に行わなければならない。

(取扱区域)

第21条　保護管理者は、特定個人情報等を取り扱う事務を実施する区域を明確にし、必要に応じて物理的な安全管理措置を講じなければならない。

(業務の委託契約)

第22条　市長は、個人情報等の取扱いに係る業務(以下「個人情報等取扱業務」という。)について外部に委託する場合、個人情報等の適切な管理を行う能力を有しない委託先を選定することがないよう、適切に選定を行わなければならない。

(委託先の監督)

第23条　保護管理者は、個人情報等取扱業務について外部に委託する場合、委託する個人情報等の秘匿性、重要性その他の性質に応じて、年に1回以上委託先における個人情報等の管理の状況を確認しなければならない。

(再委託先の監督)

第24条　保護管理者は、個人情報等取扱業務の委託先において、当該業務が再委託される場合には、当該委託先に第22条第3項の措置を講じさせるとともに、再委託される個人情報等取扱業務の秘匿性、重要性その他の性質に応じて、自らが、又は委託先を通じて前条の規定により確認及び監督を行わなければならない。再委託先以降の委託先についても、同様とする。

第25条　情報システムにおける個人情報及び特定個人情報等の安全管理については、須崎市情報セキュリティポリシー及び須崎情報システム管理運営要綱によるものとする。

(事案の報告)

第26条　事務取扱担当者は、次に掲げる場合は、速やかに当該個人情報等を管理する保護管理者に報告しなければならない。

(法令等の違反に対する厳正な対処)

第27条　市長は、職員が法令又は内部規定等に違反する行為を確認した場合には、法令又は内部規定等に基づき厳正に対処するものとする。

(事案の再発防止措置)

第28条　保護管理者は、事案の発生した原因を分析し、再発防止のために必要な措置を講ずるとともに、その内容を副総括保護管理者に報告しなければならない。

(公表等)

第29条　総括保護管理者は、第26条第1項及び第2項に規定する事案の内容、影響等に応じて、事実関係及び再発防止策の公表、当該事案に係る本人への対応等の措置を講ずるものとする。

(監査)

第30条　総括保護管理者は、個人情報等の適正な取扱い並びに法、保護法、保護法施行条例、議会保護条例及びこの規程の遵守状況について、定期及び臨時に副総括保護管理者に監査(外部監査を含む。)を行わせ、その結果を総括保護責任者に報告するものとする。

(点検)

第31条　保護管理者は、自ら管理責任を有する個人情報等の記録媒体、処理経路、保管方法等について、定期及び臨時に点検を行い、必要があると認めるときは、その結果を副総括保護管理者に速やかに報告しなければならない。

(評価及び見直し)

第32条　総括保護責任者、総括保護管理者、副総括保護管理者及び保護管理者は、特定個人情報等の適切な管理のための措置について、監査又は自ら行う点検の結果を踏まえ、実効性の観点から評価し、必要があると認めるときは、その見直し等の適切な措置を講じなければならない。