○桜川市が保有する特定個人情報の適正な取扱いに関する規程
令和5年11月20日
訓令第13号
目次
第1章 総則(第1条―第3条)
第2章 管理体制(第4条―第13条)
第3章 人的安全管理措置(第14条―第28条)
第4章 物理的安全管理措置(第29条―第38条)
第5章 技術的安全管理措置(第39条―第44条)
第6章 安全確保上の問題への対応(第45条)
第7章 監査及び点検の実施(第46条―第48条)
第8章 その他(第49条・第50条)
附則
第1章 総則
(目的)
第1条 この規程は、行政手続における特定の個人を識別するための番号の利用等に関する法律(平成25年法律第27号。以下「番号法」という。)、桜川市個人番号の利用及び特定個人情報の提供に関する条例(平成27年桜川市条例第28号。以下「番号利用条例」という。)及び桜川市個人情報の保護に関する法律施行条例(令和5年桜川市条例第1号。以下「個人情報保護条例」という。)の規程に基づき、桜川市(以下「本市」という。)の保有する個人番号及び特定個人情報(以下「特定個人情報」という。)の適切な管理のために必要な措置を定めることにより、当該特定個人情報の漏えい、滅失又は毀損(以下「情報漏えい等」という。)を防止し、適正な管理を図ることを目的とする。
(定義)
第2条 この規程で使用する用語は、番号利用条例、個人情報保護条例、桜川市が保有する特定個人情報の適正管理に関する基本方針、桜川市情報セキュリティ基本方針(令和3年桜川市訓令第29号。以下「セキュリティ基本方針」という。)及び番号法第2条で使用する用語の例による。
(適用範囲)
第3条 この規程が適用される行政機関は、市長、教育委員会、選挙管理委員会、公平委員会、監査委員、農業委員会、固定資産評価審査委員会及び議会とする。
第2章 管理体制
(最高総括保護責任者)
第4条 最高総括保護責任者は、副市長の職にある者をもって充て、本市が保有する特定個人情報の管理に関する権限と責任を有し、次に掲げる事務を行うものとする。
(1) 本市が取り扱う特定個人情報の管理に関する最高決定権限及び責任を有すること。
(2) 特定個人情報の管理に係る重要事項の決定、連絡調整等を行うため必要があると認める場合に、特定個人情報安全管理委員会を招集すること。
(3) 最高総括保護責任者は、必要に応じ、特定個人情報の保護に関する専門的な知識及び経験を有する専門家の意見を聴くことができること。
2 最高総括保護責任者に事故があるとき、又は最高総括保護責任者が欠けたときは、総括保護責任者がこれに代わる。
(総括保護責任者)
第5条 総括保護責任者は、総務部長の職にある者をもって充て、次に掲げる事務を行うものとする。
(1) 最高総括保護責任者を補佐すること。
(2) 各所属が保有する特定個人情報を把握するとともに、各所属が実施している安全管理措置に関する指導及び助言を行うこと。
(3) 統括情報セキュリティ責任者、保護責任者及び保護管理者に対して、特定個人情報の安全管理に関する指導及び助言を行うこと。
(4) 特定個人情報の管理に関する事務の総括に関すること。
(5) 緊急時等の円滑な情報共有を図るため、最高総括保護責任者、総括保護責任者、統括情報セキュリティ責任者、保護責任者及び保護管理者を網羅する連絡体制を含めた緊急連絡網を整備すること。
(6) 特定個人情報の安全管理に対するセキュリティ侵害が発生した場合又はセキュリティ侵害のおそれがある場合に、最高総括保護責任者の指示に従い、最高総括保護責任者が不在の場合には自らの判断に基づき、必要かつ十分な措置を行う権限及び責任を有すること。
(7) 緊急時には最高総括保護責任者に早急に報告を行うとともに、回復のための対策及び再発防止のための措置等を講じること。
(統括情報セキュリティ責任者)
第6条 統括情報セキュリティ責任者は、市長公室長の職にある者をもって充て、次に掲げる事務を行うものとする。
(1) 情報セキュリティ対策に関する権限及び責任を有すること。
(2) 本市のネットワーク及び共通的な情報システムにおける開発、設定の変更、運用、見直し等を行う権限及び責任を有すること。
(3) 本市のネットワーク及び共通的な情報システムに係る情報セキュリティ実施手順の維持及び管理を行うこと。
(4) 総括保護責任者、保護責任者及び保護管理者に対して情報セキュリティに関する指導及び助言を行うこと。
(保護責任者)
第7条 保護責任者は、特定個人情報を取り扱う事務を所掌する所属の部局長の職にある者をもって充て、所管する部局において保有している特定個人情報の適切管理に関する総括的な権限及び責任を有する。
(保護管理者)
第8条 保護管理者は、特定個人情報を取り扱う事務を所掌する所属の長をもって充て、次に掲げる業務に当たるものとする。
(1) 所管する課で保有する特定個人情報を適切に管理する責任を有すること。
(2) 所管する課で保有する特定個人情報を取り扱う者(事務取扱担当者)及びその役割を指定すること。
(3) 事務取扱担当者が取り扱う特定個人情報の範囲を明確にし、特定個人情報の取扱いに関する実施手順を定めること。
(4) 所管する部局において保有しているネットワーク及び特定個人情報を取り扱う情報システムにおける開発、設定の変更、運用、更新及び情報システムで取り扱う特定個人情報についての安全の確保等について統括的な権限及び責任を有すること。
(5) 所管する部局において保有しているネットワーク及び特定個人情報を取り扱う情報システムについて、緊急時等における連絡体制の整備、セキュリティ基本方針の遵守に関する意見の集約及び職員等(職員、非常勤職員及び臨時職員をいう。以下同じ。)に対する教育、訓練、助言及び指示を行うこと。
(事務取扱担当者)
第9条 事務取扱担当者は、関連する法令並びに最高総括保護責任者及び総括保護責任者の指示に従い、特定個人情報を適正に取り扱わなければならない。
(監査責任者)
第10条 保有する特定個人情報の管理の状況についての監査をさせるために、監査責任者を置くこととし、市民生活部長の職にある者をもって充てる。
(特定個人情報安全管理委員会)
第11条 本市の保有する特定個人情報の管理を統一的に行うため、最高総括保護責任者、総括保護責任者、統括情報セキュリティ責任者及び保護責任者を構成員とする特定個人情報安全管理委員会を定期に又は随時に開催し、特定個人情報の安全管理に関する重要な事項を審議する。
(事務取扱担当者が取扱規程等に違反している事実又は兆候を把握した場合の責任者への報告連絡体制)
第12条 総括保護責任者は、事務取扱担当者が取扱規程等に違反している事実又は兆候を把握した場合の責任者への報告連絡体制を整備する。
(1) 情報漏えい等の事案の発生又は兆候を把握した場合の職員から責任者等への報告連絡体制
(2) 特定個人情報を複数の部署で取り扱う場合の各部署の任務分担及び責任の明確化
(3) 特定個人情報の情報漏えい等の事案の発生又は兆候を把握した場合の対応体制
(兼務の禁止)
第13条 特定個人情報の取扱いに関する管理対策の実施において、やむを得ない場合を除き、承認及び許可の申請を行う者とその承認者又は許可者は、同じ者が兼務してはならない。
2 監査を受ける者とその監査を実施する者は、やむを得ない場合を除き、同じ者が兼務してはならない。
第3章 人的安全管理措置
(教育研修)
第14条 最高総括保護責任者は、事務取扱担当者に対し、保有する特定個人情報の取扱いについて理解を深め、特定個人情報の保護に関する意識の高揚を図るための啓発その他必要な教育研修を行う。
2 最高総括保護責任者は、保有する特定個人情報を取り扱う情報システムの管理に関する事務に従事する職員に対し、保有する特定個人情報の適切な管理のために、情報システムの管理、運用及びセキュリティ対策に関して必要な教育研修を行う。
3 最高総括保護責任者は、保護管理者に対し、各所属が保有する特定個人情報の適切な管理のための教育研修を実施する。
4 保護管理者は、事務取扱担当者に対し、保有する特定個人情報の適切な管理のために、最高総括保護責任者の実施する教育研修への参加の機会を与える等の必要な措置を講ずる。
(事務取扱担当者の監督)
第15条 保護管理者は、特定個人情報が法令、条例、本規程等(以下「安全管理規程等」という。)の規定に基づき適正に取り扱われるよう、事務取扱担当者に対して必要かつ適切な監督を行う。
(個人番号の利用の制限)
第16条 個人番号の利用は、番号法があらかじめ限定的に定めた事務に限定する。
(特定個人情報の提供の求めの制限)
第17条 職員は、個人番号利用事務又は個人番号関係事務(以下「個人番号利用事務等」という。)を処理するために必要な場合その他番号法で定める場合を除き、個人番号の提供を求めてはならない。
(特定個人情報ファイルの作成の制限)
第18条 職員は、個人番号利用事務等を処理するために必要な場合その他番号法で定める場合を除き、特定個人情報ファイルを作成してはならない。
(特定個人情報の収集・保管の制限)
第19条 職員は、番号法第19条各号のいずれかに該当する場合を除き、他人の特定個人情報を収集又は保管してはならない。
(アクセスの制限)
第20条 事務取扱担当者は、あらかじめ定められた範囲内で特定個人情報にアクセスすることができる。
2 前項に規定する権限を付与された者であっても、取り扱う事務の目的以外で当該特定個人情報にアクセスしてはならない。
3 事務取扱担当者は、異動、退職等により特定個人情報を取り扱う事務を離れた場合には、当該特定個人情報にアクセスしてはならない。
(第三者の閲覧等防止)
第21条 事務取扱担当者は、特定個人情報を取り扱うに際して、特定個人情報が自己以外の第三者に閲覧等をされることがないようにしなければならない。
(複製等の制限)
第22条 事務取扱担当者は、取り扱う事務の目的の範囲内で特定個人情報を取り扱う場合であっても、次に掲げる行為については、総括保護責任者の指示に従い行うものとする。
(1) 特定個人情報の複製
(2) 特定個人情報の送信
(3) 特定個人情報が記録されている公文書の送付又は持ち出し
(4) その他特定個人情報の適切な管理に支障を及ぼすおそれのある行為として総括保護責任者が定めるもの
(入力情報の照合等)
第23条 事務取扱担当者は、情報システムで取り扱う特定個人情報について、入力原票と入力内容との照合、処理前後の当該特定個人情報の内容の確認、既存の特定個人情報との照合等を行い、情報の正確性を保持するものとする。
(誤りの訂正等)
第24条 事務取扱担当者は、特定個人情報の誤りを発見した場合には、総括保護責任者の指示に従い、訂正等を行わなければならない。
(特定個人情報の取扱い状況の記録)
第25条 最高総括保護責任者は、台帳等を整備し、当該特定個人情報の利用、保管、提供、廃棄等の取扱いの状況について記録し、定期又は随時に確認するとともに、記録の改ざん、窃取又は不正な削除の防止のために必要な措置を講ずるものとする。
(保有特定個人情報の提供)
第26条 事務取扱担当者は、番号法で限定的に明記された場合を除き、市が保有する特定個人情報(以下「保有特定個人情報」という。)を提供してはならない。
(事務の委託等)
第27条 保護責任者は、特定個人情報を取り扱う事務の全部又は一部を、実施機関以外のものに委託する場合又は指定管理者に行わせる場合には、委託を受けた者又は指定管理者(以下「委託先等」という。)において安全管理措置が十分に行われることを事前に審査するとともに、委託先等が契約又は協定において取り決めた事項を遵守しているか監督する。
2 委託先等が特定個人情報を取り扱う事務の全部又は一部を再委託する場合には、保護責任者は、再委託の内容及び委託先等と同程度の安全管理措置の実施が確保できることを確認の上、承諾するものとし、再委託先における特定個人情報の取扱いが適正であるか監督する。
(法令等違反事案への対応)
第28条 安全管理規程等の規定に違反した職員、当該職員の違反行為を隠ぺい又は黙認した職員及び違反行為を行った職員を指導監督する地位にある職員については、地方公務員法(昭和25年法律第261号)第29条の規定に基づく懲戒処分の対象とするとともに、違反行為の悪質性に応じて刑事告発の対象とする等厳正に対応する。
第4章 物理的安全管理措置
(取扱区域及び管理区域)
第29条 情報漏えい等を防止するために、特定個人情報を取り扱う事務を実施する区域(以下「取扱区域」という。)及び特定個人情報ファイルを取り扱う情報システムを管理する区域(以下「管理区域」という。)を明確にするよう努めるものとする。
2 取扱区域及び管理区域における特定個人情報を取り扱う情報機器及び特定個人情報が記録された公文書、媒体、情報システム等の盗難、紛失等を防止するために、施錠装置、警報装置、監視設備等の設置、立入権限を有する者の指定、立入りの記録等の措置を講ずるものとする。
(管理区域)
第30条 管理区域における特定個人情報を取り扱う情報機器及び特定個人情報が記録された公文書の盗難又は紛失等を防止するために、施錠装置、警報装置、監視設備等の設置、立入権限を有する者の指定、立入りの記録等の措置を講ずるものとする。
(取扱区域)
第31条 保護管理者は、特定個人情報を取り扱う事務を実施する区域を明確にし、物理的な安全管理措置を講ずる。
(媒体の管理等)
第32条 事務取扱担当者は、保護管理者の指示に従い、特定個人情報が記録されている媒体(公文書を含む。)を定められた場所に、原則として施錠した上で保管する。
(公文書等の盗難等の防止)
第33条 特定個人情報を取り扱う情報機器及び特定個人情報が記録された公文書を庁舎内外に移動等する場合には、容易に個人番号が判明しない措置の実施、追跡可能な移送手段の利用等、安全対策を講ずるものとする。
(端末の限定)
第34条 統括情報セキュリティ責任者及び保護管理者は、保有特定個人情報の秘匿性等その内容に応じて、その処理を行う端末を限定するために必要な措置を講ずる。
(端末の盗難防止等)
第35条 統括情報セキュリティ責任者及び保護管理者は、端末の盗難又は紛失の防止のため、端末の固定、事務室の施錠等の必要な措置を講ずる。
2 職員は、最高総括保護責任者が必要と認めるときを除き、端末を外部へ持ち出し、又は外部から持ち込んではならない。
(バックアップ)
第36条 統括情報セキュリティ責任者及び保護管理者は、保有特定個人情報の重要度に応じて、バックアップを作成し、分散保管するために必要な措置を講ずる。
(情報システム設計書等の管理)
第37条 統括情報セキュリティ責任者及び保護管理者は、保有特定個人情報に係る情報システムの設計書、構成図等の文書について外部に知られることがないよう、その保管、複製、廃棄等について必要な措置を講ずる。
(廃棄等)
第38条 職員は、特定個人情報が記録されている公文書(情報システムに内蔵されているものを含む。)が桜川市文書管理規程(平成17年桜川市訓令第4号)により定められている保存期間を経過した場合には、総括保護責任者の指示に従い、当該特定個人情報の復元又は判読が不可能な方法により当該特定個人情報の消去又は当該公文書の廃棄を行うものとする。
2 消去又は廃棄を委託する場合には、委託先が確実に消去又は廃棄を行ったことについて証明書等を記録し確認する。
第5章 技術的安全管理措置
(アクセス制御)
第39条 統括情報セキュリティ責任者は、保有特定個人情報(情報システムで取り扱うものに限る。以下この章において同じ。)については、パスワード等(パスワード、ICカード、生体情報等をいう。以下同じ。)を使用して権限を識別する機能(以下「認証機能」という。)を設定する等のアクセス制御のために必要な措置を講ずる。
2 統括情報セキュリティ責任者は、前項の措置を講ずる場合には、パスワード等の管理に関する規程を定め、パスワード等の読み取り防止等を行うために必要な措置を講ずる。
(アクセス記録)
第40条 統括情報セキュリティ責任者は、保有特定個人情報へのアクセス状況を記録し、その記録(以下「アクセス記録」という。)を一定の期間保存し、及びアクセス記録を定期又は随時に分析するために必要な措置を講ずる。
2 統括情報セキュリティ責任者は、アクセス記録の改ざん、窃取又は不正な消去の防止のために必要な措置を講ずる。
(アクセス状況の監視)
第41条 統括情報セキュリティ責任者は、特定個人情報への不適切なアクセスの監視のために必要な措置を講ずる。
(不正アクセス等による被害の防止)
第42条 統括情報セキュリティ責任者は、保有特定個人情報を取り扱う情報システムへの外部からの不正アクセス又は不正ソフトウェアから保護するため、特定個人情報を取り扱う情報システムについて、インターネットから独立する等の高いセキュリティ対策を行うとともに、適切な運用を行う。
(情報漏えい等の防止)
第43条 統括情報セキュリティ責任者及び保護管理者は、特定個人情報をインターネット等により外部に送信する場合は、通信経路における情報漏えい等を防止するために必要な措置を講ずる。
2 統括情報セキュリティ責任者及び保護管理者は、不正プログラムによる保有特定個人情報の情報漏えい等の防止のため、不正プログラムの感染防止等に必要な措置を講ずる。
3 特定個人情報ファイルを情報機器又は電子媒体等に保存する必要がある場合は、原則として、暗号化又はパスワードにより秘匿するものとする。
(記録機能を有する機器・媒体の接続制限)
第44条 統括情報セキュリティ責任者及び保護管理者は、保有特定個人情報の秘匿性等その内容に応じて、当該保有特定個人情報の情報漏えい等の防止のため、スマートフォン、USBメモリ等の記録機能を有する機器・媒体の情報システム端末等への接続の制限(当該機器の更新への対応を含む。)等の必要な措置を講ずる。
第6章 安全確保上の問題への対応
(事案の報告及び再発防止措置)
第45条 保有する特定個人情報の情報漏えい等の事案の発生又は兆候を把握した場合は、職員は直ちに保有する特定個人情報を管理する保護管理者に報告する。この場合において、情報漏えい等が外部からの不正アクセスや不正プログラムの感染によるものであるときは、保護管理者は、総括保護責任者及び統括情報セキュリティ責任者に報告するものとする。
2 保護管理者は、被害の拡大防止又は復旧等のために必要な措置を速やかに講ずる。ただし、外部からの不正アクセスや不正プログラムの感染が疑われる当該端末等のLANケーブルを抜く等被害拡大防止のため直ちに行い得る措置については、直ちに行う(職員に行わせることを含む。)ものとする。
3 保護管理者は、事案の発生した経緯、被害状況等を調査し、総括保護責任者及び統括情報セキュリティ責任者に報告する。ただし、特に重大と認める事案が発生した場合には、直ちに最高総括保護責任者に当該事案の内容等について報告しなければならない。
4 最高総括保護責任者は、前項の規定に基づく報告を受けた場合には、事案の内容等に応じて、当該事案の内容、経緯、被害状況等を市長に速やかに報告するものとする。
5 最高総括保護責任者は、事案の内容等に応じて、二次被害の防止、類似事案の発生回避等の観点から、事実関係及び再発防止策等について、関係機関に事案の報告後、速やかに公表する。
6 最高総括保護責任者は、事案の発生した原因を分析し、再発防止のために必要な措置を講ずるとともに、事実関係等について、速やかに、事案の対象となった特定個人情報の本人へ連絡する。
第7章 監査及び点検の実施
(監査)
第46条 監査責任者は、保有する特定個人情報の管理を検証するため、本市が保有する特定個人情報の管理及び利用の状況について、定期又は随時に監査を行う。
2 監査責任者は、監査の対象とする事務及び所属を決定する。この場合において、実施機関以外の者に委託又は指定管理を行っているときは、委託先等における特定個人情報の取扱状況についても監査の対象とする。
3 監査の対象となった所属は、監査の実施に協力しなければならない。
4 監査責任者は、監査結果を取りまとめ、最高総括保護責任者に報告するとともに、監査の対象となった所属の保護管理者に送付する。
5 監査責任者は、監査の実施を通して収集した監査証拠、監査報告書の作成のための監査調書を紛失等が発生しないように適切に保管しなければならない。
6 最高総括保護責任者は、監査結果を踏まえ、改善を要する事項につき関係する所属の保護管理者に対し対応を指示しなければならない。指示を受けた保護管理者は、改善策を作成し、最高総括保護責任者に提出し、承認を受けなければならない。
(点検)
第47条 保護管理者は、各所属が保有する特定個人情報の記録媒体、処理経路、保管方法等について、定期に及び必要に応じ随時に点検を行い、必要があると認めるときは、その結果を最高総括保護責任者に報告する。
(評価及び見直し)
第48条 保護管理者は、監査又は点検の結果等を踏まえ、必要があると認めるときは、実施手順の見直し等の措置を講ずるものとする。
2 最高総括保護責任者は、監査又は点検の結果等を踏まえ、必要があると認めるときは、この規程等の見直し等の措置を講ずるものとする。
第8章 その他
(他の規程等との調整)
第49条 情報システムに係るセキュリティ対策については、桜川市が保有する特定個人情報の適正管理に関する基本方針及びこの規程に定めるもののほか、セキュリティ基本方針の規定を適用する。
(細則)
第50条 この規程に定めるもののほか、この規程の実施のための手続その他について必要な事項は、別に定める。
附則
この訓令は、公布の日から施行する。