2　本学における個人情報の取扱いに関して、この規程に定めのない事項については、個人情報の保護に関する法律(平成15年法律第57号。以下「個人情報保護法」という。)、行政手続における特定の個人を識別するための番号の利用等に関する法律(平成25年法律第27号。以下「番号法」という。)その他関係法令の定めるところによる。

2　総括保護管理者は、総長が指名する理事をもって充てる。

3　総括保護管理者は、個人情報、仮名加工情報及び個人関連情報(以下「個人情報等」という。)の管理に関する事務を総括するものとする。

2　保護管理者は、個人情報等の適切な管理を確保するものとし、個人情報等を情報システムで取り扱う場合は、当該情報システムの管理者と連携して、その任に当たるものとする。

3　保護担当者は、保護管理者を補佐し、個人情報等の管理に関する事務を担当するものとする。

2　監査責任者は、総長が指名する監事をもって充てる。

3　監査責任者は、個人情報等の管理の状況について監査を実施するものとする。

2　個人情報管理委員会の組織及び運営については、総長が別に定める。

2　役員及び職員は、その業務に関して知り得た個人情報等の内容をみだりに他人に知らせ、又は不当な目的に利用してはならない。その職を退いた後においても同様とする。

3　役員及び職員は、個人情報等の漏えい、滅失又は毀損等(第38条及び第43条において「情報漏えい等」という。)の事案の発生若しくは役員及び職員がこの規程に違反している事実又はそれらの兆候を把握した場合は、速やかに保護管理者に報告しなければならない。

2　役員及び職員は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。

2　役員及び職員は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。

3　前2項の規定は、次に掲げる場合については、適用しない。

2　役員及び職員は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。

2　役員及び職員は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面(電磁的記録を含む。以下この項において同じ。)に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

3　役員及び職員は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。

4　前3項の規定は、次に掲げる場合については、適用しない。

2　アクセス権限を有しない役員及び職員は、個人データにアクセスしてはならない。

3　役員及び職員は、アクセス権限を有する場合であっても、業務上の目的以外の目的で個人データにアクセスしてはならない。

2　役員及び職員は、個人データが記録されている媒体(端末及びサーバに内蔵されているものを含む。次条及び第32条第2項において同じ。)を持ち運ぶ場合には、紛失、盗難等を防ぐための安全な方策を講じなければならない。

2　保護管理者は、当該個人データの秘匿性等その内容に応じて、随時、消去等の実施状況を重点的に確認しなければならない。

2　保護管理者は、事案の発生防止又は発生した事案による被害の拡大防止若しくは復旧等のために必要な措置を速やかに講ずるものとする。ただし、被害の拡大防止のため直ちに行い得る措置については、直ちに講じるものとする。

3　保護管理者は、事案が発生した場合にあっては、当該事案の発生した経緯、被害状況等を調査し、総括保護管理者に報告しなければならない。ただし、特に重大と認める事案が発生した場合には、直ちに総括保護管理者に当該事案の内容等について報告しなければならない。

4　総括保護管理者は、前項の規定に基づく報告を受けた場合には、事案の内容等に応じて、当該事案の内容、経緯、被害状況等を総長に速やかに報告しなければならない。

5　保護管理者は、事案の発生した原因を分析し、再発防止のために必要な措置を講じなければならない。

6　保護管理者は、総括保護管理者の指示に従い、発生した事案の内容、影響等に応じて、事実関係及び再発防止策の公表、当該事案に係る個人データの本人への対応等の措置を講ずるものとする。

7　総括保護管理者は、その取り扱う個人データの漏えいその他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きい次に掲げるものが生じたときは、速やかに、当該事態に関する概要、個人データの項目、個人データに係る本人の数、原因、被害状況等(報告をしようとする時点において把握しているものに限る。)について、個人情報保護委員会(個人情報保護法第127条第1項に規定する個人情報保護委員会をいう。以下同じ。)へ報告しなければならない。

8　前項の場合において、総括保護管理者は、前項の規定による報告に加え、当該事態を知った日から30日以内(当該事態が前項第3号に掲げる事態である場合にあっては、60日以内)に、当該事態に関する個人データの項目、個人データに係る本人の数、原因、被害状況等について、個人情報保護委員会へ報告しなければならない。

9　第7項の場合において、総括保護管理者は、本人に対し、当該事態の状況に応じて速やかに、当該本人の権利利益を保護するために必要な範囲において、当該事態に関する概要、個人データの項目、原因、被害状況等を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

2　総括保護管理者及び保護管理者は、前項の評価の結果を踏まえ、必要があると認めるときは、その見直しの措置を講ずるものとする。

2　総括保護管理者は、前項の教育研修の実施に当たり、個人番号及び特定個人情報(以下「特定個人情報等」という。)の保護及び適切な管理に関する研修について、対象者が確実に受講することができるよう、必要な措置を講ずるものとする。

3　保護管理者は、その所属する組織の職員に対し、個人情報等の適切な管理のために、総括保護管理者の実施する教育研修への参加の機会を付与する等の必要な措置を講じなければならない。

2　保護管理者は、個人データを記録する媒体を保管するための施設(第4項において「保管施設」という。)を設けている場合において、必要があると認めるときは、前項と同様の措置を講じなければならない。

3　保護管理者は、情報システム室等及び保管施設の入退の管理について、必要があると認めるときは、立入りに係る認証機能(主体認証情報(主体を識別するために、情報システムが認識する情報をいう。第34条第2項において同じ。)を用いて権限を識別する機能をいう。同条第1項において同じ。)の設定、パスワードの管理に関する定めの整備(その定期又は随時の見直しを含む。)、パスワードの読取防止等の必要な措置を講じなければならない。

4　保護管理者は、外部からの不正な侵入に備え、情報システム室等に施錠装置、警報装置又は監視設備の設置等の必要な措置を講じなければならない。

5　保護管理者は、災害等に備え、情報システム室等に、耐震、防火、防煙、防水等の必要な措置を講ずるとともに、サーバ等の機器の予備電源の確保、配線の損傷防止等の措置を講じなければならない。

2　役員及び職員は、保護管理者の指示に従い、個人データが記録されている媒体を定められた場所に保管するとともに、必要があると認めるときは、耐火金庫への保管、施錠等を行わなければならない。

2　保護管理者は、前項に規定する措置を講ずる場合には、当該部局等において、主体認証情報の管理に関する定めを整備(その定期又は随時の見直しを含む。)するとともに、必要な措置を講じなければならない。

2　保護管理者は、個人データのアクセスログの改ざん、窃取又は不正な消去を防止するために必要な措置を講じなければならない。

2　役員及び職員は、前項の措置を踏まえ、その処理する個人データについて、当該個人データの秘匿性等その内容に応じて、適切に暗号化(適切なパスワードの選択、その漏えい防止の措置等を含む。)を行わなければならない。

2　保護管理者は、前項の規定により業務の委託先を選定し、契約を締結するときは、次に掲げる事項を契約書に明記するとともに、委託先における責任者及び業務従事者の管理及び実施体制、委託先の設備、技術水準、個人情報を取り扱う従業者の明確化、従業者に対する監督及び教育の状況、経営環境その他の必要な事項について書面で確認するものとする。

3　保護管理者は、個人情報が記録されている媒体又は情報システム等の廃棄を外部に委託する場合は、前項に定めるもののほか、当該記録媒体等に記録された情報が復元又は判読できない方法を用いることを定めて契約しなければならない。

4　保護管理者は、個人情報の取扱いに係る業務を外部に委託する場合には、委託する業務に係る個人情報の秘匿性等その内容、その量等に応じて、委託先における管理体制及び実施体制並びに個人情報の管理の状況について、少なくとも年1回以上、原則として実地検査により確認するものとし、当該委託の内容等の見直しを検討することを含め、適切に評価するものとする。

5　保護管理者は、委託先において、個人情報の取扱いに係る業務が再委託される場合には、委託先に第1項及び第2項に規定する措置を講じさせるとともに、再委託される業務に係る個人情報の秘匿性等その内容、その量等に応じて、委託先を通じて又は委託元自らが前項に規定する措置を実施するものとし、個人情報の取扱いに係る業務について再委託先が再々委託を行う場合以降も同様とする。

6　保護管理者は、個人情報等の取扱いに係る業務を派遣労働者によって行わせる場合には、労働者派遣契約書に秘密保持義務等個人情報等の取扱いに関する事項を明記するものとする。

7　保護管理者は、前項に規定する場合において、当該派遣労働者に関係法令及びこの規程等を遵守させるための指導及び監督を行うものとする。

2　総括保護管理者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。ただし、第三者に提供される個人データが要配慮個人情報又は第11条第1項の規定に違反して取得されたもの若しくは他の個人情報取扱事業者からこの項本文の規定により提供されたもの(その全部又は一部を複製し、又は加工したものを含む。)である場合は、この限りでない。

3　総括保護管理者は、前項第1号に掲げる事項に変更があったとき又は同項の規定による個人データの提供をやめたときは遅滞なく、同項第3号から第5号まで、又は第7号から第9号までに掲げる事項を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。

4　次に掲げる場合において、当該個人データの提供を受ける者は、前3項の規定の適用については、第三者に該当しないものとする。

5　保護管理者は、前項第3号に規定する個人データの管理について責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったときは遅滞なく、同号に規定する利用する者の利用目的又は当該責任を有する者を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

6　保護管理者は、第4項第3号に規定する共同して利用される個人データの提供先において、個人データの提供する目的以外での利用、他の者への再提供、複写複製、改ざん、漏えい、盗用等がなされないように、個人データの安全管理のために講ずべき措置について、提供先と契約書を締結する等、適切な措置を講じなければならない。

2　役員及び職員は、前項第1号の同意を得ようとする場合には、次に掲げる事項を、あらかじめ、本人に通知しなければならない。

3　役員及び職員は、個人データを外国にある第三者に提供した場合(第1項第3号又は第4号に規定する場合に限る。)には、当該第三者による相当措置の継続的な実施を確保するため、次に掲げる措置を講ずるとともに、本人の求めに応じて当該措置に関する情報を当該本人に提供しなければならない。

2　役員及び職員は、前項本文の記録を、個人データを第三者に提供した都度、速やかに作成しなければならない。ただし、当該第三者に対し個人データを継続的に若しくは反復して提供(第45条第2項の規定による提供を除く。以下この項において同じ。)したとき、又は継続的に若しくは反復して提供する確実な見込みがあるときは、一括して作成することができる。

3　役員及び職員は、第1項本文の記録を、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間保存しなければならない。

2　役員及び職員は、前項の規定により個人データの提供を受けたときは、次に掲げる事項に関する記録(以下この項において単に「記録」という。)を作成しなければならない。ただし、本学が本人に対する物品又は役務の提供に関連して第三者から当該本人に係る個人データの提供を受けた場合において、当該提供に関して作成された契約書その他の書面(以下この項及び第4項第1号において「契約書等」という。)に次に掲げる事項が記載されているときは、契約書等で記録に代えることができるものとし、次に掲げる事項のうち、契約書等に記録されている事項と内容が同一であるものについては、記録を省略することができる。

3　役員及び職員は、前項本文の記録を、第三者から個人データの提供を受けた都度、速やかに作成しなければならない。ただし、当該第三者から継続的に若しくは反復して個人データの提供(第45条第2項の規定による提供を除く。以下この項において同じ。)を受けたとき、又は継続的に若しくは反復して提供を受ける確実な見込があるときは、一括して作成することができる。

4　役員及び職員は、第1項本文の記録を、次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間保存しなければならない。

2　第46条第3項の規定は、前項の規定により役員及び職員が個人関連情報を提供する場合について準用する。この場合において、同条第3項中「講ずるとともに、本人の求めに応じて当該措置に関する情報を当該本人に提供し」とあるのは、「講じ」と読み替えるものとする。

3　前条第2項から第4項までの規定は、第1項の規定により役員及び職員が確認する場合について準用する。この場合において、同条第2項から第4項中「の提供を受けた」とあるのは、「を提供した」と読み替えるものとする。

2　前項の規定は、次に掲げる個人情報ファイルについては、適用しない。

3　第1項の規定にかかわらず、本学は、記録項目の一部若しくは個人情報保護法第74条第1項第5号若しくは第7号に掲げる事項を個人情報ファイル簿に記載し、又は個人情報ファイルを個人情報ファイル簿に掲載することにより、利用目的に係る事務又は事業の性質上、当該事務又は事業の適正な遂行に著しい支障を及ぼすおそれがあると認めるときは、その記録項目の一部若しくは事項を記載せず、又はその個人情報ファイルを個人情報ファイル簿に掲載しないことができる。

4　個人情報ファイル簿は、本学が保有している個人情報ファイルを通じて一の帳簿とする。

5　本学は、個人情報ファイル簿に記載すべき事項に変更があったときは、直ちに当該個人情報ファイル簿を修正しなければならない。

6　本学は、個人情報ファイル簿に掲載した個人情報ファイルの保有をやめたとき、又はその個人情報ファイルの本人の数が1,000人に満たなくなったときは、遅滞なく、当該個人情報ファイルについての記載を消除しなければならない。

7　本学は、個人情報ファイル簿を作成したときは、遅滞なく、これを一　般の閲覧に供するとともに、インターネットの利用その他の情報通信の技術を利用する方法により公表しなければならない。

2　保護管理者は、前項で特定した事務において取り扱う特定個人情報等の範囲を指定するものとする。

2　保護管理者は、各特定個人情報等事務取扱担当者が取り扱う特定個人情報等の範囲を指定するものとする。

2　役員及び職員は、仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等(仮名加工情報の作成に用いられた個人情報から削除された記述等及び個人識別符号並びに前項の規定により行われた加工の方法に関する情報をいう。以下この条において同じ。)を取得したときは、削除情報等に係る安全管理措置については、第4章から第7条までの規定を準用する。

3　役員及び職員は、第9条の規定にかかわらず、法令に基づく場合を除くほか、第8条第1項の規定により特定された利用目的の達成に必要な範囲を超えて、仮名加工情報(個人情報であるものに限る。以下第6項を除き同じ。)を取り扱ってはならない。

4　仮名加工情報についての第12条の規定の適用については、同条第1項及び第3項中「、本人に通知し、又は公表し」とあるのは「公表し」と、同条第4項第1号から第3号までの規定中「本人に通知し、又は公表する」とあるのは「公表する」とする。

5　役員及び職員は、仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞なく消去するよう努めなければならない。この場合においては、第18条の規定は、適用しない。

6　役員及び職員は、第45条第1項及び第2項並びに第46条第1項の規定にかかわらず、法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはならない。この場合において、第45条第4項中「前3項」とあるのは、「第56条第6項」と、同項第3号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第5項中「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と、第47条第1項ただし書中「第45条第1項各号又は第4項各号のいずれか(前条第1項の規定による個人データの提供にあっては、第45条第1項各号のいずれか)」とあり、及び第48条第1項ただし書中「第45条第1項各号又は第4項各号のいずれか」とあるのは「法令に基づく場合又は第45条第4項各号のいずれか」とする。

7　役員及び職員は、仮名加工情報を取り扱うに当たっては、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該仮名加工情報を他の情報と照合してはならない。

8　役員及び職員は、仮名加工情報を取り扱うに当たっては、電話をかけ、郵便等により送付し、電磁的方法を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用してはならない。

9　仮名加工情報、仮名加工情報である個人データ及び仮名加工情報である保有個人情報については、第8条第2項及び第24条第7項から第9項までの規定は、適用しない。

2　総括保護管理者は、前項の目的を達成するために必要な体制の整備に努めなければならない。

この規程は、平成17年4月1日から施行する。

この規程は、平成18年4月1日から施行する。

この規程は、平成19年4月1日から施行する。

この規程は、平成19年10月1日から施行する。

この規程は、平成21年4月1日から施行する。

この規程は、平成22年7月1日から施行する。

この規程は、平成22年10月1日から施行する。

この規程は、平成23年4月1日から施行する。

この規程は、平成26年2月1日から施行する。

この規程は、平成26年4月1日から施行する。

この規程は、平成27年4月1日から施行する。

この規程は、平成27年7月1日から施行する。

この規程は、平成28年1月1日から施行する。

この規程は、平成28年10月1日から施行する。

この規程は、平成28年12月1日から施行し、平成28年10月1日から適用する。

この規程は、平成29年5月22日から施行し、平成29年4月1日から適用する。

この規程は、平成30年2月26日から施行する。

この規程は、平成30年4月1日から施行する。

この規程は、平成30年5月11日から施行し、平成30年4月1日から適用する。

この規程は、平成30年12月20日から施行し、平成30年10月23日から適用する。

この規程は、令和元年10月1日から施行する。

この規程は、令和2年2月10日から施行する。

この規程は、令和2年10月1日から施行する。

この規程は、令和2年10月16日から施行する。

この規程は、令和3年4月1日から施行する。

この規程は、令和3年8月1日から施行する。

この規程は、令和4年1月1日から施行する。

この規程は、令和4年4月1日から施行する。

この規程は、令和4年7月1日から施行する。

この規程は、令和4年10月1日から施行する。