(趣旨)

第1条　この規程は、行政手続における特定の個人を識別するための番号の利用等に関する法律(平成25年法律第27号。以下「番号法」という。)、個人情報の保護に関する法律(平成15年法律第57号。以下「個人情報保護法」という。)、「特定個人情報の適正な取扱いに関するガイドライン(行政機関等・地方公共団体等編))」(平成26年特定個人情報保護委員会告示第6号。以下「ガイドライン」という。)、行政機関の保有する個人情報の適切な管理のための措置に関する指針(平成16年9月14日総管情第84号総務省行政管理局長通知)及び柳泉園組合特定個人情報等の安全管理に関する基本方針(以下「基本方針」という。平成28年4月制定)に基づき、柳泉園組合(以下「組合」という。)が取り扱う職員の特定個人情報等(以下「職員の特定個人情報」という。)の適正な取扱い並びに職員の特定個人情報の取得、保存、利用、提供、廃棄の各段階における留意点及び職員の特定個人情報の取扱いに係る詳細な安全管理措置について必要な事項を定めるものとする。

(定義)

第2条　この規程において、次の各号に掲げる用語の定義は、当該各号に定めるところによる。なお、この規程における用語は、他に特段の定めのない限り番号法その他の関係法令の定めに従う。

(組合が取り扱う職員の特定個人情報の範囲)

第3条　組合が取り扱う職員の特定個人情報は、次の第1号から第3号までの書類に含まれている特定個人情報及び第4号の特定個人情報とする。

(組合の責務)

第4条　組合は、番号法及び個人情報保護法その他の個人情報保護に関する法令並びにガイドライン及び基本方針を遵守し、職員の特定個人情報の保護に努めるものとする。

(職員の特定個人情報の適正な取得)

第5条　組合は、職員の特定個人情報の取得を適法かつ公正な手段によって行うものとする。

(利用目的の特定及び明示並びに変更)

第6条　組合が職員から取得する特定個人情報の利用目的及び事務の範囲は、できる限り特定するものとし、あらかじめ職員に通知又は公表することにより明示するものとする。ただし、人の生命、身体又は財産の保護のために緊急に職員の特定個人情報の利用の必要がある場合は、この限りでない。

(職員の特定個人情報の取得時の利用目的の通知等)

第7条　組合は、職員の特定個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかにその利用目的を前条第2項の方法により職員に通知し、又は公表しなければならない。

(個人番号の提供を求める時期)

第8条　組合は、番号法第14条第1項により、職員の特定個人情報を利用する事務を処理するため必要がある場合に限り、本人又は他の個人番号関係事務実施者若しくは個人番号利用事務実施者に対して個人番号の提供を求めることができるものとする。

(職員の特定個人情報の提供の求めの制限)

第9条　組合は、番号法第19条各号のいずれかに該当し職員の特定個人情報の提供を受けることができる場合を除き、他人(「他人」とは、「自己と同一の世帯に属する者以外の者」をいう。)の特定個人情報の提供を求めてはならない。

(職員の特定個人情報の収集制限)

第10条　組合は、特定した事務の範囲を超えて、職員の特定個人情報を収集しないものとする。

(本人確認)

第11条　組合は、番号法第16条に定める各方法により、職員又は第三者の個人番号の確認及び当該人の身元確認を行うものとする。また、代理人については、同条に定める各方法により、当該代理人の身元確認、代理権の確認及び本人の個人番号の確認を行うものとする。

(取得段階における安全管理措置)

第12条　職員の特定個人情報の取得段階における安全管理措置は、「第7章　安全管理措置」「第2節　組織的安全管理措置」中第26条(職員の個人番号を取り扱うための組織体制)、第27条(保護責任者の責務)、第28条(事務取扱担当者の責務)、第29条(情報漏えい等事案に対応する体制等の整備)、第30条(法令違反等事案に対応する体制等の整備)、第31条(取扱状況の把握及び安全管理措置の見直し)、「第3節　組織的安全管理措置」中第32条(事務処理手順及び様式の制定)、第33条(この規程に基づく取扱状況の記録及び運用状況の記録)、第34条(法令及び内部規程違反等に対する厳正な対処)、「第4節　物理的安全管理措置」中第35条(職員の特定個人情報を取り扱う区域の管理)、「第5節　技術的安全管理措置」中第39条(技術的安全管理措置における組合の責務)の各規定にそれぞれ従うものとする。

(職員の特定個人情報の利用制限)

第13条　組合は、取得した職員の特定個人情報を第6条で特定した利用目的の範囲内でのみ利用するものとする。

(職員の特定個人情報ファイルの作成の制限)

第14条　組合は、番号法第19条第11号から第14号までのいずれかに該当して特定個人情報を提供し、又はその提供を受けることができる場合を除き、職員の特定個人情報ファイルを作成するのは、特定した利用事務を実施するために必要な範囲に限り、これらの場合を除いて職員の特定個人情報ファイルを作成しないものとする。

(利用段階における安全管理措置)

第15条　職員の特定個人情報の利用段階における安全管理措置は、「第7章　安全管理措置」「第2節　組織的安全管理措置」中第26条(職員の個人番号を取り扱うための組織体制)、第27条(保護責任者の責務)、第28条(事務取扱担当者の責務)、第29条(情報漏えい等事案に対応する体制等の整備)、第30条(法令違反等事案に対応する体制等の整備)、第31条(取扱状況の把握及び安全管理措置の見直し)、「第3節　組織的安全管理措置」中第32条(事務処理手順及び様式の制定)、第33条(この規程に基づく取扱状況の記録及び運用状況の記録)、第34条(法令及び内部規程違反等に対する厳正な対処)、「第4節　物理的安全管理措置」中第35条(職員の特定個人情報を取り扱う区域の管理)、第36条(機器及び電子媒体等の盗難等の防止)、第37条(電子媒体等の取扱いにおける漏えい等の防止)、「第5節　技術的安全管理措置」中第39条(技術的安全管理措置における組合の責務)、第40条(アクセス制御)、第41条(アクセス者の識別及び認証)、第42条(外部からの不正アクセス等の防止)、第43条(情報漏えい等の防止)の各規定にそれぞれ従うものとする。

(職員の特定個人情報の正確性の確保)

第16条　組合は、第6条により特定した利用目的を達成する範囲において、職員の特定個人情報を正確かつ最新の内容で保存するよう努めるものとする。

(職員の特定個人情報の保存制限)

第17条　組合は、番号法第19条各号に該当する場合を除くほか、特定した利用事務の範囲を超えて、職員の特定個人情報を保存してはならない。

(保存段階における安全管理措置)

第18条　職員の特定個人情報の保存段階における安全管理措置は、「第7章　安全管理措置」「第2節　組織的安全管理措置」中第26条(職員の個人番号を取り扱うための組織体制)、第27条(保護責任者の責務)、第28条(事務取扱担当者の責務)、第29条(情報漏えい等事案に対応する体制等の整備)、第30条(法令違反等事案に対応する体制等の整備)、第31条(取扱状況の把握及び安全管理措置の見直し)、「第3節　組織的安全管理措置」中第32条(事務処理手順及び様式の制定)、第33条(この規程に基づく取扱状況の記録及び運用状況の記録)、第34条(法令及び内部規程違反等に対する厳正な対処)、「第4節　物理的安全管理措置」中第35条(職員の特定個人情報を取り扱う区域の管理)、第36条(機器及び電子媒体等の盗難等の防止)、第37条(電子媒体等の取扱いにおける漏えい等の防止)、「第5節　技術的安全管理措置」中第39条(技術的安全管理措置における組合の責務)、の各規定にそれぞれ従うものとする。

(職員の特定個人情報の提供制限)

第19条　組合は、番号法第19条各号に掲げる場合を除き、本人の同意の有無に関わらず、職員の特定個人情報を提供しないものとする。

(提供段階における安全管理措置)

第20条　職員の特定個人情報の提供段階における安全管理措置は、「第7章　安全管理措置」「第2節　組織的安全管理措置」中第26条(職員の個人番号を取り扱うための組織体制)、第27条(保護責任者の責務)、第28条(事務取扱担当者の責務)、第29条(情報漏えい等事案に対応する体制等の整備)、第30条(法令違反等事案に対応する体制等の整備)、第31条(取扱状況の把握及び安全管理措置の見直し)、「第3節　組織的安全管理措置」中第32条(事務処理手順及び様式の制定)、第33条(この規程に基づく取扱状況の記録及び運用状況の記録)、第34条(法令及び内部規程違反等に対する厳正な対処)、「第4節　物理的安全管理措置」中第35条(職員の特定個人情報を取り扱う区域の管理)、第36条(機器及び電子媒体等の盗難等の防止)、第37条(電子媒体等の取扱いにおける漏えい等の防止)、「第5節　技術的安全管理措置」中第39条(技術的安全管理措置における組合の責務)、の各規定にそれぞれ従うものとする。

(職員の特定個人情報の廃棄・削除)

第21条　組合は、個人番号関係事務を処理する必要がある範囲内に限り職員の特定個人情報を収集又は保管し続けるものとする。なお、書類等について所管法令によって一定期間保存が義務付けられているものについては、これらの書類等に記載された個人番号については、その期間保管するものとし、それらの事務を処理する必要がなくなった場合で、所管法令において定められている保存期間を経過したときには、個人番号をできるだけ速やかに廃棄又は削除するものとする。ただし、その個人番号部分を廃棄・削除した場合には、保管を継続することができるものとする。

(職員の特定個人情報を誤って収集した場合の措置)

第22条　事務取扱担当者が誤って職員の特定個人情報の提供を受けた場合又は誤った書類を受け取った場合は、自ら当該特定個人情報を削除又は廃棄してはならず、保護責任者に報告を行う。

(廃棄・削除段階における安全管理措置)

第23条　職員の特定個人情報の廃棄・削除段階における安全管理措置は、「第7章　安全管理措置」「第2節　組織的安全管理措置」中第26条(職員の個人番号を取り扱うための組織体制)、第27条(保護責任者の責務)、第28条(事務取扱担当者の責務)、第31条(取扱状況の把握及び安全管理措置の見直し)、「第3節　組織的安全管理措置」中第32条(事務処理手順及び様式の制定)、第33条(この規程に基づく取扱状況の記録及び運用状況の記録)、第34条(法令及び内部規程違反等に対する厳正な対処)、「第4節　物理的安全管理措置」中第35条(職員の特定個人情報を取り扱う区域の管理)、第36条(機器及び電子媒体等の盗難等の防止)、第38条(個人番号の削除、機器及び電子媒体等の廃棄)、「第5節　技術的安全管理措置」中第39条(技術的安全管理措置における組合の責務)の各規定にそれぞれ従うものとする。

(職員の特定個人情報の安全管理措置)

第24条　組合は、第2章から第6章までの職員の特定個人情報が取り扱われる各段階において職員の特定個人情報の漏えい、滅失又は毀損の防止その他の職員の特定個人情報の適切な管理のために、第2節から第5節までに定める措置を講ずるものとする。

(委託先における安全管理措置)

第25条　組合は、個人番号関係事務又は個人番号利用事務の全部又は一部を委託する場合には、組合が果たすべき安全管理措置と同等の措置が委託先において適切に講じられるよう、必要かつ適切な監督を行うものとする。

(職員の個人番号を取り扱うための組織体制)

第26条　組合は、職員の個人番号を取り扱う責任者としての総括責任者を設置し、助役をもってこれにあてる。総括責任者は、次の事務を所掌する。

(保護責任者の責務)

第27条　保護責任者は、この規程に定められた事項を理解し、遵守するとともに、事務取扱担当者にこれを理解させ、遵守させるための教育訓練、安全対策の実施及び周知徹底等の措置を実施する責任を負う。

(事務取扱担当者の責務)

第28条　事務取扱担当者は、次の事務を所掌する。

(情報漏えい等事案に対応する体制等の整備)

第29条　職員の特定個人情報の漏えい、滅失若しくは毀損の発生又は兆候がある場合において、事務取扱担当者は保護責任者に報告を行うものとする。

(法令違反等事案に対応する体制等の整備)

第30条　番号法その他の関連法令、ガイドライン、柳泉園組合個人情報の保護に関する法律施行条例(令和5年柳泉園組合条例第3号)、基本方針、この規程又はその他の事務処理手順等に違反している事実又は兆候がある場合において、事務取扱担当者は保護責任者に報告するものとする。

(取扱状況の把握及び安全管理措置の見直し)

第31条　総括保護責任者は、職員の特定個人情報の管理状況について、定期に及び必要に応じ随時に点検又は監査を行い、その結果を総括責任者に報告する。総括責任者は、点検又は監査の結果等を踏まえ、必要があると認めるときは、この規程における安全管理措置の見直し等の措置を講ずる。

(事務処理手順及び様式の制定)

第32条　組合が利用目的を特定した利用事務に係る書類を作成する場合の事務処理手順及びその際に使用する様式については、別に定める。

(この規程に基づく取扱状況の記録及び運用状況の記録)

第33条　事務取扱担当者は、この規程に基づく取扱状況を確認するため、以下の項目について、別に定める様式に職員の特定個人情報に係る取得等の経過、取扱状況を記録する。なお、職員の特定個人情報の取扱状況記録には、職員の個人番号を記載しないものとする。

(法令及び内部規程違反等に対する厳正な対処)

第34条　この規程の取扱いに当たり、遵守すべき関係法令及び内部規程等の違反者に対しては、それぞれの法令における処罰規定により、厳正に処分する。

(職員の特定個人情報を取り扱う区域の管理)

第35条　保護責任者は、総務課の事務室内における事務処理スペース中後ろから覗き見をされることのない事務取扱担当者以外の者の往来が少ない場所又は別室を管理区域及び取扱区域として指定し、別に定める様式でその区域を明らかにするものとする。

(機器及び電子媒体等の盗難等の防止)

第36条　保護責任者は、管理区域及び取扱区域における職員の特定個人情報を取扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、次に掲げる措置を講じる。

(電子媒体等の取扱いにおける漏えい等の防止)

第37条　保護責任者は、職員の特定個人情報が記録された電子媒体又は書類等の持出しは、次に掲げる場合を除き禁止する。

(個人番号の削除、機器及び電子媒体等の廃棄)

第38条　職員の特定個人情報の廃棄・削除段階での事務取扱担当者が行う記録媒体等の管理は、次のとおりとする。

(技術的安全管理措置における組合の責務)

第39条　組合は、技術的安全管理措置を講じる際においては、職員の特定個人情報の保護に努めるものとする。

(アクセス制御)

第40条　職員の特定個人情報へのアクセス制御の方法は、次のとおりとする。

(アクセス者の識別及び認証)

第41条　職員の特定個人情報を取り扱う情報システムは、ユーザーID、パスワード、磁気・ICカード等の識別方法により、事務取扱担当者が正当なアクセス権を有する者であることを、識別した結果に基づく認証を行うものとする。

(外部からの不正アクセス等の防止)

第42条　組合は、情報システムを外部と接続する場合には次の各号に定める方法により、外部からの不正アクセス又は不正ソフトウェアから保護するものとする。

(情報漏えい等の防止)

第43条　組合は、職員の特定個人情報をインターネット等により外部に送信する場合は、通信経路における情報漏えい等及び情報システムに保存されている職員の特定個人情報の情報漏えい等を防止するものとする。