○飯塚市特定個人情報取扱規程
平成31年3月18日
飯塚市訓令第1号
改正 R4―4
目次
第1章 総則(第1条・第2条)
第2章 管理体制(第3条―第7条)
第3章 教育及び研修(第8条)
第4章 特定個人情報の取扱い(第9条―第18条)
第5章 情報システムにおける安全の確保(第19条―第30条)
第6章 業務の委託(第31条)
第7章 安全確保上の問題への対応(第32条)
第8章 監査及び点検の実施(第33条―第35条)
附則
第1章 総則
(趣旨)
第1条 この訓令は、別に定めるものを除くほか、行政手続における特定の個人を識別するための番号の利用等に関する法律(平成25年法律第27号。以下「番号法」という。)の規定に基づき、特定個人情報の取扱いに関し必要な事項を定めるものとする。
(定義)
第2条 この訓令における用語の意義は、番号法、特定個人情報の適正な取扱いに関するガイドライン(行政機関等・地方公共団体等編)(平成26年特定個人情報保護委員会告示第6号)に定めるところによる。
第2章 管理体制
(総括責任者及び副総括責任者)
第3条 特定個人情報の管理に関する事務を総括する者として総括責任者を置き、飯塚市副市長の事務分担及び市長の職務代理に関する規則(令和3年飯塚市規則第25号)第2条に規定する総務部を担任する副市長の職にある者をもって充てる。
2 総括責任者を補佐する者として副総括責任者を置き、総務部長の職にある者をもって充てる。
(R4―4一改)
(事務取扱管理者及び事務取扱担当者)
第4条 特定個人情報を取り扱う課(以下「関係課」という。)に事務取扱管理者及び事務取扱担当者を置く。
2 事務取扱管理者は、関係課の課長の職にある者をもって充てる。
3 事務取扱管理者は、特定個人情報を適切に管理するため必要な措置を講ずるものとする。
4 事務取扱管理者は、特定個人情報を取り扱う職員及び当該職員が取り扱う特定個人情報の範囲を指定するものとする。
5 事務取扱担当者は、事務取扱管理者を補佐し、特定個人情報の管理に関する事務を担当する。
(特定個人情報システム管理者)
第5条 特定個人情報を取り扱う情報システムを管理する課(以下「システム管理課」という。)に特定個人情報システム管理者を置く。
2 特定個人情報システム管理者は、システム管理課の課長の職にある者をもって充てる。
3 特定個人情報システム管理者は、特定個人情報のうち情報システムで取り扱うものについて、安全の確保に必要な措置を講ずるものとする。
(監査責任者)
第6条 特定個人情報の管理状況に関する監査をさせるため、監査責任者を置く。
2 監査責任者は、情報管理課長の職にある者をもって充てる。
(R4―4一改)
(事務取扱担当者の監督)
第7条 総括責任者、副総括責任者及び事務取扱管理者は、特定個人情報がこの訓令に基づき適正に取り扱われるよう、事務取扱担当者に対して、必要かつ適切な監督を行うものとする。
第3章 教育及び研修
(教育及び研修)
第8条 総括責任者及び事務取扱管理者は、事務取扱担当者に対し、特定個人情報の取扱いについて理解を深め、特定個人情報の保護に関する意識の高揚を図るため、啓発その他必要な教育研修を行うものとする。
2 総括責任者及び事務取扱管理者は、特定個人情報を取り扱う情報システムの管理に関する事務に従事する職員に対し、情報システムの管理、運用及びセキュリティ対策に関して必要な教育及び研修を行うものとする。
3 総括責任者及び事務取扱管理者は、特定個人情報ファイルを取り扱う事務に従事する職員に対し、番号法第29条の2に定めるサイバーセキュリティの確保に関する事項その他の事項に関する研修を行うものとする。
4 総括責任者は、事務取扱管理者及び事務取扱担当者に対し、特定個人情報の適切な管理に関して必要な教育及び研修を行うものとする。
第4章 特定個人情報の取扱い
(アクセス及び複製等の制限)
第9条 事務取扱管理者は、特定個人情報にアクセスする権限を有する職員を限定し、その権限を業務を行う上で必要最小限の範囲に限るものとする。
2 権限を有しない職員は、特定個人情報にアクセスしてはならない。
3 職員は、権限を有する場合であっても、業務上の目的以外で特定個人情報にアクセスしてはならない。
4 職員が業務上の目的で特定個人情報を取り扱う場合であっても、事務取扱管理者は、アクセス、複製、外部への送信及び持ち出しについて必要に応じて制限を加えることができる。
(訂正等)
第10条 職員は、特定個人情報の内容に誤り等を発見した場合には、事務取扱管理者の指示に従い訂正し、その事実を記録しなければならない。
(廃棄等)
第11条 職員は、特定個人情報又は特定個人情報が記録されている媒体(端末及びサーバに内蔵されているものを含む。)が不要となった場合には、事務取扱管理者の指示に従い、当該特定個人情報の復元又は判読が不可能となる方法により、当該情報を消去し、又は当該媒体を廃棄しなければならない。
2 前項の規定により、特定個人情報ファイルを消去した場合又は電子媒体等を廃棄した場合には、その消去又は廃棄した記録を保存するものとする。
3 前項の特定個人情報ファイルの消去又は電子媒体の廃棄作業を委託する場合は、委託先が確実に消去又は廃棄したことについて、証明書等により確認するものとする。
(取扱状況の記録)
第12条 事務取扱管理者は、特定個人情報ファイルの取扱状況を確認する手段を整備し、当該特定個人情報の利用及び保管等の取扱状況について記録するものとする。
(個人番号の利用の制限)
第13条 個人番号の利用は、番号法及び飯塚市個人番号の利用及び特定個人情報の提供に関する条例(平成27年飯塚市条例第37号)に定められた事務に限定するものとする。
(特定個人情報の提供の求めの制限)
第14条 個人番号利用事務又は個人番号関係事務(以下「個人番号利用事務等」という。)を処理するために必要な場合その他の番号法又は条例で定める場合を除き、個人番号の提供を求めてはならない。
(特定個人情報ファイルの作成の制限)
第15条 個人番号利用事務等を処理するために必要な場合その他番号法又は条例で定める場合を除き、特定個人情報ファイルを作成してはならない。
(特定個人情報の収集・保管の制限)
第16条 番号法第19条各号のいずれかに該当する場合を除き、特定個人情報を収集又は保管してはならない。
(媒体等の管理)
第17条 事務取扱管理者は、特定個人情報又は特定個人情報ファイルを取り扱う機器、書類、電子媒体等(以下「媒体等」という。)を定められた場所に保管しなければならない。この場合において、事務取扱管理者は、媒体等の形状に応じて、キャビネット、書庫その他の保管庫に格納した上で当該保管庫を施錠しなければならない。
(取扱区域)
第18条 事務取扱管理者は、特定個人情報を取り扱う事務を実施する区域を明確にし、物理的な安全管理措置を講ずるものとする。
第5章 情報システムにおける安全の確保
(アクセス制御)
第19条 特定個人情報システム管理者は、特定個人情報(情報システムで取り扱うものに限る。)の取扱いにあたり、パスワード、ICカード等(以下「パスワード等」という。)を使用した権限を識別する機能(以下「認証機能」という。)の設定その他アクセス制御のために必要な措置を講ずるものとする。
2 特定個人情報システム管理者は、前項の措置を講ずるに当たっては、パスワード等の管理に関する規定を整備するとともに、パスワード等の読取防止等を行うために必要な措置を講ずるものとする。
(アクセス記録及び分析)
第20条 特定個人情報システム管理者は、特定個人情報へのアクセス状況を記録し、その記録を一定の期間保存し、定期に及び随時に分析するために必要な措置を講ずるものとする。
(管理者権限の設定)
第21条 特定個人情報システム管理者の権限は、その権限が不正に窃取された場合の被害を最小化するため、必要最低限のものとする。
(外部からの不正アクセスの防止)
第22条 特定個人情報システム管理者は、特定個人情報を取り扱う情報システムへの外部からの不正アクセスを防止するため、ファイアウォールの設定による経路制御その他必要な措置を講ずるものとする。
(情報漏えい等の防止)
第23条 特定個人情報システム管理者は、インターネット等により外部に送信する場合の通信経路における特定個人情報の漏えい、滅失又は毀損による事故(以下「情報漏えい等」という。)を防止するための措置を講ずるものとする。
(不正プログラムによる情報漏えい等の防止)
第24条 特定個人情報システム管理者は、不正プログラムによる情報漏えい等を防止するため、ソフトウェアに関する公開された脆弱性の解消、把握された不正プログラムの感染防止等に必要な措置を講ずるものとする。
(入力情報の照合等)
第25条 職員は、情報システムで取り扱う特定個人情報について、入力原票と入力内容との照合、処理前後の当該特定個人情報の内容の確認、既存の特定個人情報との照合等を行うものとする。
(情報システム仕様書等の管理)
第26条 事務取扱管理者は、特定個人情報に係る情報システムの仕様書、ネットワーク構成図、マニュアル等の文書について外部に知られることがないよう、その保管、複製、廃棄等について必要な措置を講ずるものとする。
(端末の限定)
第27条 事務取扱管理者は、特定個人情報の処理を行う端末を限定するために必要な措置を講ずるものとする。
(端末の盗難防止等)
第28条 事務取扱管理者は、端末の盗難又は紛失の防止のため、端末の固定、執務室の施錠等の必要な措置を講ずるものとする。
2 職員は、特定個人情報システム管理者が必要があると認めるときを除き、端末を外部へ持ち出し、又は外部から持ち込んではならない。
(電子記録媒体の接続制限)
第29条 特定個人情報システム管理者は、情報漏えい等の防止のため、USBメモリ、スマートフォン等の記録機能を有する機器・媒体の情報システム端末等への接続の制限(当該機器の更新への対応を含む。)その他の必要な措置を講ずるものとする。
(入退室の管理)
第30条 特定個人情報システム管理者は、特定個人情報を取り扱う基幹的なサーバ等の機器を設置する区域(以下「サーバ室」という。)に立ち入る権限を有する者を定めるとともに、用件の確認、入退室の記録、部外者についての識別化、部外者が立ち入る場合の職員の立会い又は監視設備による監視、外部電磁的記録媒体等の持込み、利用及び持ち出しの制限、検査等の措置を講ずるものとする。特定個人情報を記録する媒体を保管するための施設を設けている場合においても、必要があると認めるときは、同様の措置を講ずるものとする。
第6章 業務の委託
(業務の委託)
第31条 市が、個人番号利用事務等の全部又は一部を委託する場合は、委託先において、番号法に基づき市が果たすべき安全管理措置と同等以上の措置が講じられることを、あらかじめ確認するものとする。
2 個人番号利用事務等の全部又は一部を委託する場合は、契約書等に特定個人情報等の特記事項を定めるなどし、委託先に安全管理措置を遵守させるための必要な契約を締結するものとする。
3 個人番号利用事務等の全部又は一部を委託する場合は、委託先における特定個人情報の取扱状況を把握するものとする。
4 個人番号利用事務等の全部又は一部の委託を受けた者が再委託する場合は、委託する個人番号利用事務等において取り扱う特定個人情報の適切な安全管理が図られることを確認した上で再委託の諾否を判断する。再委託先が再々委託を行う場合以降も同様とする。
第7章 安全確保上の問題への対応
(情報漏えい事案等への対応)
第32条 職員は、情報漏えい等が発生したことを知ったとき又はその可能性が高いと判断したときは、直ちに当該特定個人情報を管理する事務取扱管理者に報告するものとする。この場合において、情報漏えい等が外部からの不正アクセス又は不正プログラムの感染によるものであるときには、事務取扱管理者は、直ちに特定個人情報システム管理者に報告しなければならない。
2 事務取扱管理者は、事案の発生した経緯、被害状況等を調査し、副総括責任者に報告するものとする。ただし、特に重大と認める事案が発生した場合には、直ちに副総括責任者に当該事案の内容等について報告しなければならない。
3 副総括責任者は、前項の規定に基づく報告を受けた場合は、必要に応じて総括責任者に報告するものとする。
4 総括責任者は、情報漏えい等が発生した原因を分析し、及び再発防止のために必要な措置を講ずるものとする。
第8章 監査及び点検の実施
(自己点検)
第33条 事務取扱管理者及び特定個人情報システム管理者は、関係課における特定個人情報の記録媒体、処理経路、保管方法、マニュアル等について、定期点検及び必要に応じた随時点検を行い、必要があると認めるときは、その結果を総括責任者に報告するものとする。
(監査)
第34条 監査責任者は、特定個人情報等の管理の状況について、定期監査及び必要に応じた随時監査(外部監査を含む。)を行い、必要があると認めるときは、その結果を総括責任者に報告するものとする。
(評価及び見直し)
第35条 総括責任者は、自己点検及び監査の結果を踏まえ、必要があると認めるときは、この訓令の見直し等の措置を講ずるものとする。
附則
この訓令は、平成31年3月18日から施行する。
附則(令和4年3月31日 訓令第4号)
この訓令は、令和4年4月1日から施行する。