福井大学 規程集(公開用)

トップページに戻る
最上位 > 第3編 総務 > 第2章 情報
国立大学法人福井大学の保有する個人情報の保護に関する規程
平成28年7月20日
福大規程第100号
目 次
第1章 総則
(趣旨)
第1条 この規程は,「独立行政法人等の保有する個人情報の保護に関する法律」(平成15年法律第59号,以下「独法等個人情報保護法」という。)及び「行政手続における特定の個人を識別するための番号の利用等に関する法律」(平成25年法律第27号,以下「番号法」という。)に基づき,国立大学法人福井大学(以下「本法人」という。)における個人情報の取扱いその他個人情報の保護に関し必要な事項を定めるものとする。
(定義)
第2条 この規程において「個人情報」とは,生存する個人に関する情報であって,次の各号のいずれかに該当するものをいう。
(1) 当該情報に含まれる氏名,生年月日その他の記述等(文書,図画若しくは電磁的記録(電磁的方式(電子的方式,磁気的方式その他人の知覚によっては認識することができない方式をいう。)で作られる記録をいう。以下同じ。)に記載され,若しくは記録され,又は音声,動作その他の方法を用いて表された一切の事項(個人識別符号を除く。)をいう。以下同じ。)により特定の個人を識別することができるもの(他の情報と照合することができ,それにより特定の個人を識別することができることとなるものを含む。)
(2) 個人識別符号が含まれるもの
2 この規程において「個人識別符号」とは,次の各号のいずれかに該当する文字,番号,記号その他の符号のうち,独立行政法人等の保有する個人情報の保護に関する法律施行令(以下「独法等保護法施行令」という。)で定めるものをいう。
(1) 特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字,番号,記号その他の符号であって,当該特定の個人を識別することができるもの
(2) 個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ,又は個人に発行されるカードその他の書類に記載され,若しくは電磁的方式により記録された文字,番号,記号その他の符号であって,その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ,又は記載され,若しくは記録されることにより,特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの
3 この規程において「保有個人情報」とは,本法人の職員(役員を含む。以下同じ。)が職務上作成し,又は取得した個人情報であって,本法人の職員が組織的に利用するものとして保有しているものをいう。ただし,独立行政法人等の保有する情報の公開に関する法律(平成13年法律第140号。以下「情報公開法」という。)第2条第2項に規定する法人文書(同項第3号に掲げるものを含む。)に記録されているものに限る。
4 この規程において「要配慮個人情報」とは,本人の人種,信条,社会的身分,病歴,犯罪の経歴,犯罪により害を被った事実その他本人に対する不当な差別,偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして,独法等保護法施行令で定める記述等が含まれる個人情報をいう。
5 この規程において「非識別加工情報」とは,次に掲げる個人情報(他の情報と照合することができ,それにより特定の個人を識別することができることとなるもの(他の情報と容易に照合することができ,それにより特定の個人を識別することができることとなるものを除く。)を除く。以下この号において同じ。)の区分に応じて次に定める措置を講じて特定の個人を識別することができない(個人に関する情報について,当該個人に関する情報に含まれる記述等により,又は当該個人に関する情報が他の情報と照合することができる個人に関する情報である場合にあっては他の情報(当該個人に関する情報の全部又は一部を含む個人情報を除く。)と照合することにより,特定の個人を識別することができないことをいう。)ように個人情報を加工して得られる個人に関する情報であって,当該個人情報を復元することができないようにしたものをいう。
(1) 第2項第1号に該当する個人情報 当該個人情報に含まれる記述等の一部を削除すること(当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。)。
(2) 第2項第2号に該当する個人情報 当該個人情報に含まれる個人識別符号の全部を削除すること(当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。)。
6 この規程において「独立行政法人等非識別加工情報」とは, 次の各号のいずれにも該当する個人情報ファイルを構成する保有個人情報の全部又は一部(これらの一部に情報公開法第5条に規定する不開示情報(同条第1号に掲げる情報を除く。以下この号において同じ。)が含まれているときは,当該不開示情報に該当する部分を除く。)を加工して得られる非識別加工情報をいう。
(1) 独法等個人情報保護法第11条第2項各号のいずれかに該当するもの又は同条第3項の規定により同条第1項に規定する個人情報ファイル簿に掲載しないこととされるものでないこと。
(2) 本法人に対し,当該個人情報ファイルを構成する保有個人情報が記録されている法人文書の情報公開法第3条の規定による開示の請求があったとしたならば,本法人が次のいずれかを行うこととなるものであること。
イ 当該法人文書に記録されている保有個人情報の全部又は一部を開示する旨の決定をすること。
ロ 情報公開法第14条第1項又は第2項の規定により意見書の提出の機会を与えること。
7 この規程において「独立行政法人等非識別加工情報ファイル」とは,独立行政法人等非識別加工情報を含む情報の集合物であって,次に掲げるものをいう。
(1) 特定の独立行政法人等非識別加工情報を電子計算機を用いて検索することができるように体系的に構成したもの
(2) (1)に掲げるもののほか,特定の独立行政法人等非識別加工情報を容易に検索することができるように体系的に構成したものとして独法等保護法施行令で定めるもの
8 この規程において「個人情報ファイル」とは,保有個人情報を含む情報の集合物であって,次に掲げるものをいう。
(1) 一定の事務の目的を達成するために特定の保有個人情報を電子計算機を用いて検索することができるように体系的に構成したもの
(2) 前号に掲げるもののほか,一定の事務の目的を達成するために氏名,生年月日,その他の記述等により特定の保有個人情報を容易に検索することができるように体系的に構成したもの
9 この規程において「個人番号」とは,番号法第7条第1項又は第2項の規定により,住民票コードを変換して得られる番号であって,当該住民票コードが記載された住民票に係る者を識別するために指定されるものをいう。
10 この規程において「本人」とは,個人番号によって識別される特定の個人をいう。
11 この規程において「個人番号カード」とは,氏名,住所,生年月日,性別,個人番号その他政令で定める事項が記載され,本人の写真が表示され,かつ,これらの事項その他総務省令で定める事項(以下「カード記録事項」という。)が電磁的方法(電子的方法,磁気的方法その他の人の知覚によって認識することができない方法をいう。)により記録されたカードであって,番号法又は番号法に基づく命令で定めるところによりカード記録事項を閲覧し,又は改変する権限を有する者以外の者による閲覧又は改変を防止するために必要なものとして総務省令で定める措置が講じられたものをいう。
12 この規程において「特定個人情報」とは,個人番号(個人番号に対応し,当該個人番号に代わって用いられる番号,記号その他の符号であって,住民票コード以外のものを含む。番号法第7条第1項及び第2項,第8条並びに第67条並びに附則第3条第1項から第3項まで及び第5項を除く。)をその内容に含む個人情報をいう。
13 この規程において「特定個人情報ファイル」とは,個人番号をその内容に含む個人情報ファイルをいう。
14 この規程において「個人番号利用事務」とは,行政機関,地方公共団体,独立行政法人等その他の行政事務を処理する者が番号法第9条第1項又は第2項の規定によりその保有する特定個人情報ファイルにおいて個人情報を効率的に検索し,及び管理するために必要な限度で個人番号を利用して処理する事務をいう。
15 この規程において「個人番号関係事務」とは,番号法第9条第3項の規定により個人番号利用事務に関して行われる他人の個人番号を必要な限度で利用して行う事務をいう。
16 この規程において「部局」とは,各学部・研究科(附属学校及び附属教育研究施設等を含み,医学部附属病院を除く。),共通教育部,各部門,医学部附属病院,附属図書館,産学官連携本部,学内共同教育研究施設等,保健管理センター及び事務局(監査室を含む。)をいう。
第2章 本法人の管理体制
(総括保護管理者)
第3条 本法人に総括保護管理者1人を置き,事務局長をもって充てる。
2 総括保護管理者は,本法人における保有個人情報及び個人番号(以下「保有個人情報等」という。)の管理に関する事務を総括する。
(保護管理者)
第4条 保有個人情報等を取り扱う部局に,それぞれ保護管理者1人を置き,当該部局の長をもって充てる。
2 保護管理者は,それぞれの部局における保有個人情報等の適切な管理を確保する。保有個人情報等を情報システムで取り扱う場合,保護管理者は,当該情報システムの管理者と連携し必要な措置を講ずるものとする。
3 保護管理者は,個人番号及び特定個人情報(以下「特定個人情報等」という。)を取り扱う職員(以下「事務取扱担当者」という。)並びにその役割を指定する。
4 保護管理者は,各事務取扱担当者が取り扱う特定個人情報等の範囲を指定する。
5 保護管理者は,次に掲げる組織体制を整備するものとする。
(1) 事務取扱担当者が取扱規程等に違反している事実又は兆候を把握した場合の責任者への報告連絡体制
(2) 特定個人情報等の漏えい,滅失又は毀損等(以下「情報漏えい等」という。)事案の発生又は兆候を把握した場合の職員から責任者等への報告連絡体制
(3) 特定個人情報等を複数の部署で取り扱う場合の各部署の任務分担及び責任の明確化
(4) 特定個人情報等の情報漏えい等の事実の発生又は兆候を把握した場合の対応体制
(保護担当者)
第5条 保有個人情報等を取り扱う部局に,当該部局の職員のうちから保護管理者が指名する保護担当者1人又は複数人を置く。
2 保護担当者は,保護管理者を補佐し,各部局における保有個人情報等の管理に関する事務を担当する。
(監査責任者)
第6条 監査責任者1人を置き,監査室長をもって充てる。
2 監査責任者は,保有個人情報等の管理の状況について監査する。
(保有個人情報等の適切な管理のための委員会)
第7条 総括保護管理者は,保有個人情報等の管理に係る重要事項の決定,連絡・調整等を行うため必要があると認めるときは,別に定める情報公開等委員会を開催するものとする。
(電子計算機利用に関する支援)
第8条 本法人における電子計算機を利用した個人情報及び特定個人情報等の取扱いについて,総合情報基盤センターは保護管理者に対する支援を行うものとする。
(教育研修)
第9条 総括保護管理者は,保有個人情報等の取扱いに従事する職員(派遣労働者を含む。以下同じ。)に対し,保有個人情報等の取扱いについて理解を深め,個人情報及び特定個人情報等の保護に関する意識の高揚を図るための啓発その他必要な教育研修を行う。
2 総括保護管理者は,保有個人情報等を取り扱う情報システムの管理に関する事務に従事する職員に対し,保有個人情報等の適切な管理のために,情報システムの管理,運用及びセキュリティ対策に関して必要な教育研修を行う。
3 総括保護管理者は,保護管理者,保護担当者及び事務取扱担当者に対し,部局等の現場における保有個人情報等の適切な管理のための教育研修を実施する。
4 保護管理者は,当該部局の職員に対し,保有個人情報等の適切な管理のために,総括保護管理者の実施する教育研修への参加の機会を付与する等の必要な措置を講ずる。
第3章 個人情報保護に関する基本的取扱い
(従事者の義務)
第10条 職員は,独法等個人情報保護法及び番号法の趣旨に則り,関連する法令及びこの規程等の定め並びに総括保護管理者,保護管理者及び保護担当者の指示に従い,保有個人情報等を取り扱わなければならない。
第11条 次に掲げる者は,その業務に関して知り得た個人情報の内容をみだりに他人に知らせ,又は不当な目的に利用してはならない。
(1) 個人情報の取扱いに従事する本法人の職員又はこれらの職にあった者
(2) 第24条第2項に規定する受託業務に従事している者又は従事していた者
(個人情報の保有の制限等)
第12条 職員は,個人情報を保有するに当たっては,法令の定める業務を遂行するため必要な場合に限り,かつ,その利用の目的をできる限り特定しなければならない。
2 職員は,前項の規定により特定された利用の目的(以下「利用目的」という。)の達成に必要な範囲を超えて,個人情報を保有してはならない。
3 職員は,利用目的を変更する場合には,変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。
(利用目的の明示)
第13条 職員は,本人から直接書面(電子的方式,磁気的方式その他人の知覚によっては認識することができない方式で作られる記録を含む。)に記録された当該本人の個人情報を取得するときは,次に掲げる場合を除き,あらかじめ,本人に対し,その利用目的を明示しなければならない。
(1) 人の生命,身体又は財産の保護のために緊急に必要があるとき。
(2) 利用目的を本人に明示することにより,本人又は第三者の生命,身体,財産その他の権利利益を害するおそれがあるとき。
(3) 利用目的を本人に明示することにより,国の機関,独立行政法人等又は地方公共団体が行う事務又は事業の適正な遂行に支障を及ぼすおそれがあるとき。
(4) 取得の状況からみて利用目的が明らかであると認められるとき。
(適正な取得)
第14条 職員は,偽りその他不正の手段により個人情報を取得してはならない。
(正確性の確保)
第15条 職員は,利用目的の達成に必要な範囲内で,保有個人情報等が過去又は現在の事実と合致するよう努めなければならない。
2 職員は,保有個人情報等の内容に誤り等を発見した場合には,保護管理者の指示に従い,訂正等を行う。
(利用及び提供の制限)
第16条 職員は,法令に基づく場合を除き,利用目的以外の目的のために保有個人情報等を自ら利用し,又は提供してはならない。
2 前項の規定にかかわらず,職員は,次の各号のいずれかに該当すると認めるときは,保護管理者の了承を得て,利用目的以外の目的のために保有個人情報を自ら利用し,又は提供することができる。ただし,保有個人情報を利用目的以外の目的のために自ら利用し,又は提供することによって,本人又は第三者の権利利益を不当に侵害するおそれがあると認められるときは,この限りでない。
(1) 本人の同意があるとき,又は本人に提供するとき。
(2) 本法人が法令の定める業務の遂行に必要な限度で保有個人情報を内部で利用する場合であって,当該保有個人情報を利用することについて相当な理由のあるとき。
(3) 行政機関(行政機関の保有する個人情報の保護に関する法律(平成15年法律第58号。)第2条第1項に規定する行政機関をいう。以下同じ。),他の独立行政法人等又は地方公共団体に保有個人情報を提供する場合において,保有個人情報の提供を受ける者が,法令の定める事務又は業務の遂行に必要な限度で提供に係る個人情報を利用し,かつ,当該個人情報を利用することについて相当な理由のあるとき。
(4) 前3号に掲げる場合のほか,専ら統計の作成又は学術研究の目的のために保有個人情報を提供するとき,本人以外の者に提供することが明らかに本人の利益になるとき,その他保有個人情報を提供することについて特別の理由のあるとき。
3 前項の規定は,保有個人情報の利用又は提供を制限する他の法令の規定の適用を妨げるものではない。
4 総括保護管理者又は保護管理者は,個人の権利利益を保護するため特に必要があると認めるときは,保有個人情報の利用目的以外の目的のための本法人の内部における利用を特定の職員に限るものとする。
(保有個人情報の提供を受ける者に対する措置要求)
第17条 保護管理者は,前条第2項第3号又は第4号の規定に基づき,保有個人情報を提供する場合において,必要があると認めるときは,保有個人情報の提供を受ける者に対し,提供に係る個人情報について,その利用の目的若しくは方法の制限その他必要な制限を付し,又はその漏えいの防止その他の個人情報の適切な管理のために必要な措置を講ずることを求めるものとする。
(行政機関等への保有個人情報提供の取扱い)
第18条 保護管理者は,第16条第2項第3号及び第4号の規定に基づき行政機関及び独立行政法人等以外の者に保有個人情報を提供する場合には,原則として,提供先における利用目的,利用する業務の根拠法令,利用する記録範囲及び記録項目,利用形態等について書面を取り交わすものとする。
2 保護管理者は,第16条第2項第3号及び第4号の規定に基づき行政機関及び独立行政法人等以外の者に保有個人情報を提供する場合には,安全確保の措置を要求するとともに,必要があると認めるときは,提供前又は随時に実地の調査等を行い,措置状況を確認してその結果を記録するとともに,改善要求等の措置を講ずるものとする。
3 保護管理者は,第16条第2項第3号の規定に基づき行政機関又は独立行政法人等に保有個人情報を提供する場合において,必要があると認めるときは,第1項及び第2項に規定する措置を講ずるものとする。
4 保護管理者は,独法等個人情報保護法第44条の2第2項の規定により,法令に基づく場合を除き,利用目的以外の目的のために独立行政法人等非識別加工情報及び削除情報(保有個人情報に該当するものに限る。)を自ら利用し,又は提供してはならない。
5 保護管理者は,独法等個人情報保護法第44条の2第1項及び第44条の9の規定(第44条の12の規定により第44条の9の規定を準用する場合を含む。)により,独立行政法人等非識別加工情報の利用に関する契約を締結した者(以下「契約相手方」という。)から独法等個人情報保護法第44条の5第2項第7号の規定に基づき当該契約相手方が講じた独立行政法人等非識別加工情報の適切な管理に支障を及ぼすおそれがある旨の報告を受けたときは,直ちに総括保護管理者に報告するとともに,当該契約相手方がその是正のために講じた措置を確認するものとする。
(個人情報ファイル簿の作成及び公表)
第19条 総括保護管理者は,個人情報ファイルを保有するに至ったときは,直ちに,独法等個人情報保護法第11条に規定する帳簿(以下「個人情報ファイル簿」という。)を作成し,公表するものとする。
2 個人情報ファイル簿は,本法人が保有している個人情報ファイルを通じて一の帳簿とする。
3 個人情報ファイル簿の作成にあたっては,要配慮個人情報が含まれるときはその旨を記載する等,独法等個人情報保護法第11条の定めるところにより行われなければならない。
4 総括保護管理者は,個人情報ファイル簿に記載すべき事項に変更があったときは,直ちに,当該個人情報ファイル簿を修正するものとする。
5 総括保護管理者は,個人情報ファイル簿に掲載した個人情報ファイルの保有をやめたとき,又はその個人情報ファイルに含まれる個人情報によって識別される特定の個人の数が1,000人未満となったときは,遅滞なく,当該個人情報ファイルについての記載を消除するものとする。
6 総括保護管理者は,個人情報ファイル簿を作成したときは,遅滞なく,これを本法人の閲覧所に備えて置き一般の閲覧に供するとともに,本法人のホームページに掲載する等の方法により公表するものとする。
(個人番号の利用の制限)
第20条 保護管理者は,個人番号の利用に当たり,番号法があらかじめ限定的に定めた事務に限定するものとする。
(特定個人情報の提供の求めの制限)
第21条 個人番号利用事務又は個人番号関係事務(以下「個人番号利用事務等」という。)を処理するために必要な場合その他番号法で定める場合を除き,個人番号の提供を求めてはならない。
(特定個人情報ファイルの作成の制限)
第22条 個人番号利用事務等を処理するために必要な場合その他番号法で定める場合を除き,特定個人情報ファイルを作成してはならない。
(特定個人情報等の収集・保管の制限)
第23条 番号法第19条各号のいずれかに該当する場合を除き,他人の個人番号を含む個人情報を収集又は保管してはならない。
第4章 安全確保の措置
(安全確保の措置)
第24条 本法人は,保有個人情報等の情報漏えい等の防止その他の保有個人情報等の適切な管理のために必要な措置を講ずるものとする。
2 前項の規定は,本法人から個人情報の取扱いの委託を受けた者が受託した業務を行う場合について準用する。
(アクセス制限)
第25条 保護管理者は,保有個人情報等の秘匿性等その内容(個人識別の容易性(匿名化の程度等),要配慮個人情報の有無,漏えい等が発生した場合に生じ得る被害の性質・程度などを考慮する。以下同じ。)に応じて,当該保有個人情報等にアクセスする権限を有する職員の範囲と権限の内容を,当該職員が業務を行う上で必要最小限の範囲に限るものとする。
2 アクセス権限を有しない職員は,保有個人情報等にアクセスしてはならない。
3 職員は,アクセス権限を有する場合であっても,業務上の目的以外の目的で保有個人情報等にアクセスしてはならない。
(複製等の制限)
第26条 職員が業務上の目的で保有個人情報等を取り扱う場合であっても,保護管理者は,次に掲げる行為については,当該保有個人情報等の秘匿性等その内容に応じて,当該行為を行うことができる場合を限定し,職員は,保護管理者の指示に従い行うものとする。
(1) 保有個人情報等の複製
(2) 保有個人情報等の送信
(3) 保有個人情報等が記録されている媒体の外部への送付又は持出し
(4) その他保有個人情報等の適切な管理に支障を及ぼすおそれのある行為
(媒体の管理等)
第27条 職員は,保護管理者の指示に従い,保有個人情報等が記録されている媒体を定められた場所に保管するとともに,必要があると認めるときは,耐火金庫への保管,施錠等を行うものとする。
(廃棄等)
第28条 職員は,保有個人情報等又は保有個人情報等が記録されている媒体(端末及びサーバに内蔵されているものを含む。)が不要となった場合には,保護管理者の指示に従い,当該保有個人情報等の復元又は判読が不可能な方法により当該情報の消去又は当該媒体の廃棄を行うものとする。
(保有個人情報等の取扱状況の記録)
第29条 保護管理者は,保有個人情報の秘匿性等その内容に応じて,台帳等を整備して,当該保有個人情報の利用及び保管等の取扱いの状況について記録するものとする。
2 保護管理者は,特定個人情報ファイルの取扱状況を確認するため台帳等を整備して,当該特定個人情報等の利用及び保管等の取扱状況について記録するものとする。
(アクセス制御)
第30条 保護管理者は,保有個人情報等(情報システムで取り扱うものに限る。以下次条から第45条までにおいて同じ。)の秘匿性等その内容に応じて,パスワード,ICカード,生体情報等(以下「パスワード等」という。)を使用して権限を識別する機能(以下「認証機能」という。)を設定する等のアクセス制御のために必要な措置を講ずるものとする。
2 保護管理者は,前項の措置を講ずる場合には,パスワード等の管理に関する定めを整備(その定期又は随時の見直しを含む。)するとともに,パスワード等の読取防止等を行うために必要な措置を講ずるものとする。
(アクセス記録)
第31条 保護管理者は,保有個人情報等の秘匿性等その内容に応じて,当該保有個人情報等へのアクセス状況を記録し,その記録(以下「アクセス記録」という。)を一定の期間保存し,及びアクセス記録を定期的に分析するために必要な措置を講ずるものとする。
2 保護管理者は,アクセス記録の改ざん,窃取又は不正な消去の防止のために必要な措置を講ずるものとする。
(アクセス状況の監視)
第32条 保護管理者は,保有個人情報等の秘匿性等その内容及びその量に応じて,当該保有個人情報等への不適切なアクセスの監視のため,アクセスログ等の定期的な確認等の措置を講ずるものとする。
(管理者権限の設定)
第33条 保護管理者は,保有個人情報等の秘匿性等その内容に応じて,情報システムの管理者権限の特権を不正に窃取された際の被害の最小化及び内部からの不正操作等の防止のため,当該特権を最小限とする等の必要な措置を講ずるものとする。
(外部からの不正アクセスの防止)
第34条 保護管理者は,保有個人情報等を取り扱う情報システムへの外部からの不正アクセスを防止するため,ファイアウォールの設定による経路制御等の必要な措置を講ずるものとする。
(不正プログラムによる漏えい等の防止)
第35条 保護管理者は,不正プログラムによる保有個人情報等の情報漏えい等の防止のため,ソフトウェアに関する公開された脆弱性の解消,把握された不正プログラムの感染防止等に必要な措置(導入したソフトウェアを常に最新の状態に保つことを含む。)を講ずるものとする。
(情報システムにおける保有個人情報等の処理)
第36条 職員は,保有個人情報等について,一時的に加工等の処理を行うため複製等を行う場合には,その対象を必要最小限に限り,処理終了後は不要となった情報を速やかに消去する。保護管理者は,当該保有個人情報等の秘匿性等その内容に応じて,随時,消去等の実施状況を重点的に確認するものとする。
(暗号化)
第37条 保護管理者は,保有個人情報等の秘匿性等その内容に応じて,その暗号化のために必要な措置を講ずるものとする。
職員は,これを踏まえ,その処理する保有個人情報等について,当該保有個人情報等の秘匿性等その内容に応じて,適切に暗号化を行うものとする。
(入力情報の照合等)
第38条 職員は,情報システムで取り扱う保有個人情報等の重要度に応じて,入力原票と入力内容との照合,処理前後の当該保有個人情報等の内容の確認,既存の保有個人情報等との照合等を行うものとする。
(バックアップ)
第39条 保護管理者は,保有個人情報等の重要度に応じて,バックアップを作成し,分散保管するために必要な措置を講ずるものとする。
(情報システム設計書等の管理)
第40条 保護管理者は,保有個人情報等に係る情報システムの設計書,構成図等の文書について外部に知られることがないよう,その保管,複製,廃棄等について必要な措置を講ずるものとする。
(端末の限定)
第41条 保護管理者は,保有個人情報等の秘匿性等その内容に応じて,その処理を行う端末を限定するために必要な措置を講ずるものとする。
(端末の盗難防止等)
第42条 保護管理者は,端末の盗難又は紛失の防止のため,端末の固定,執務室の施錠等の必要な措置を講ずるものとする。
2 職員は,保護管理者が必要があると認めるときを除き,端末を外部へ持ち出し,又は外部から持ち込んではならない。
(第三者の閲覧防止)
第43条 職員は,端末の使用に当たっては,保有個人情報等が第三者に閲覧されることがないよう,使用状況に応じて情報システムからログオフを行うことを徹底する等の必要な措置を講ずるものとする。
(記録機能を有する機器・媒体の接続制限)
第44条 保護管理者は,保有個人情報等の秘匿性等その内容に応じて,当該保有個人情報等の情報漏えい等の防止のため,スマートフォン,USBメモリ等の記録機能を有する機器・媒体の情報システム端末等への接続の制限(当該機器の更新への対応を含む。)等の必要な措置を講ずるものとする。
(入退管理)
第45条 保護管理者は,保有個人情報等を取り扱う基幹的なサーバ等の機器を設置する室その他の区域(以下「情報システム室等」という。)に立ち入る権限を有する者を定めるとともに,用件の確認,入退の記録,部外者についての識別化,部外者が立ち入る場合の職員の立会い又は監視設備による監視,外部電磁的記録媒体等の持込み,利用及び持ち出しの制限又は検査等の措置を講ずる。また,保有個人情報等を記録する媒体を保管するための施設を設けている場合においても,必要があると認めるときは,同様の措置を講ずるものとする。
2 保護管理者は,必要があると認めるときは,情報システム室等の出入口の特定化による入退の管理の容易化,所在表示の制限等の措置を講ずるものとする。
3 保護管理者は,情報システム室等及び保管施設の入退の管理について,必要があると認めるときは,立入りに係る認証機能を設定し,及びパスワード等の管理に関する定めの整備(その定期又は随時の見直しを含む。),パスワード等の読取防止等を行うために必要な措置を講ずるものとする。
(情報システム室等の管理)
第46条 保護管理者は,外部からの不正な侵入に備え,情報システム室等に施錠装置,警報装置,監視設備の設置等の措置を講ずるものとする。
2 保護管理者は,災害等に備え,情報システム室等に,耐震,防火,防煙,防水等の必要な措置を講ずるとともに,サーバ等の機器の予備電源の確保,配線の損傷防止等の措置を講ずるものとする。
(取扱区域)
第47条 保護管理者は,特定個人情報等を取り扱う事務を実施する区域を明確にし,物理的な安全管理措置を講ずるものとする。
第5章 業務の委託等
(業務の委託等)
第48条 独立行政法人等非識別加工情報の作成に係る業務又は保有個人情報等若しくは独立行政法人等非識別加工情報の取扱いに係る業務を外部に委託する場合には,個人情報又は独立行政法人等非識別加工情報の適切な管理を行う能力を有しない者を選定することがないよう,必要な措置を講ずるとともに,契約書に,次に掲げる事項を明記し,委託先における責任者及び業務従事者の管理及び実施体制,個人情報又は独立行政法人等非識別加工情報の管理の状況についての検査に関する事項その他必要な事項について書面で確認するものとする。
(1) 個人情報又は独立行政法人等非識別加工情報に関する秘密保持,目的外利用禁止等の義務
(2) 再委託(再委託先が委託先の子会社(会社法(平成17年法律第86号)第2条第1項第2号に規定する子会社をいう。)である場合も含む。以下同じ。)の制限又は事前承認等再委託に係る条件に関する事項
(3) 個人情報又は独立行政法人等非識別加工情報の複製等の制限に関する事項
(4) 個人情報又は独立行政法人等非識別加工情報の漏えい等の事案の発生時における対応に関する事項
(5) 委託終了時における個人情報又は独立行政法人等非識別加工情報の消去及び媒体の返却に関する事項
(6) 違反した場合における契約解除,損害賠償責任の措置その他必要な事項
2 保有個人情報等又は独立行政法人等非識別加工情報の取扱いに係る業務を外部に委託する場合には,委託する業務に係る保有個人情報等又は独立行政法人等非識別加工情報の秘匿性等その内容やその量等に応じて,委託先における管理体制及び実施体制や個人情報の管理の状況について,少なくとも年1回以上,原則として実地検査により確認する。
3 委託先において,独立行政法人等非識別加工情報の作成に係る業務又は保有個人情報等若しくは独立行政法人等非識別加工情報の取扱いに係る業務が再委託される場合には,委託先に第1項の措置を講じさせるとともに,再委託される業務に係る保有個人情報等又は独立行政法人等非識別加工情報の秘匿性等その内容に応じて,委託先を通じて又は委託元自らが第2項の措置を実施する。保有個人情報等若しくは独立行政法人等非識別加工情報の取扱いに係る業務について再委託先が再々委託を行う場合以降も同様とする。
4 保有個人情報等の取扱いに係る業務を派遣労働者によって行わせる場合には,労働者派遣契約書に秘密保持義務等個人情報の取扱いに関する事項を明記するものとする。
5 保有個人情報を提供又は業務委託する場合には,漏えい等による被害発生のリスクを低減する観点から,提供先の利用目的,委託する業務の内容,保有個人情報の秘匿性その他その内容等を考慮し,必要に応じ,氏名を番号に置き換える等の匿名化措置を講じなければならない。
6 個人番号利用事務等の全部又は一部を委託する場合には,委託先において,番号法に基づき本法人が果たすべき安全管理措置と同等の措置が講じられるか否かについて,あらかじめ確認する。
7 個人番号利用事務等の全部又は一部の委託をする際には,「委託を受けた者」において,本法人が果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行う。
8 個人番号利用事務等の全部又は一部の「委託を受けた者」が再委託をする際には,委託をする個人番号利用事務等において取り扱う特定個人情報の適切な安全管理が図られることを確認した上で再委託の諾否を判断する。
第6章 安全確保上の問題への対応
(事案の報告及び再発防止措置)
第49条 保有個人情報等の情報漏えい等安全確保の上で問題となる事案又は問題となる事案の発生のおそれを認識した場合に,その事案等を認識した職員は,直ちに当該保有個人情報等を管理する保護管理者に報告するものとする。
2 保護管理者は,被害の拡大防止又は復旧等のために必要な措置を速やかに講ずるものとする。
ただし,外部からの不正アクセスや不正プログラムの感染が疑われる当該端末等のLANケーブルを抜くなど,被害拡大防止のため直ちに行い得る措置については,直ちに行う(職員に行わせることを含む。)ものとする。
3 保護管理者は,事案の発生した経緯,被害状況等を調査し,総括保護管理者に報告するものとする。ただし,特に重大と認める事案が発生した場合には,直ちに総括保護管理者に当該事案の内容等について報告するものとする。
4 総括保護管理者は,前項の規定に基づく報告を受けた場合には,事案の内容等に応じて,当該事案の内容,経緯,被害状況等を学長に速やかに報告するものとする。
5 総括保護管理者は,事案の内容等に応じて,事案の内容,経緯,被害状況等について,文部科学省に速やかに情報提供を行うものとする。
6 番号法違反の事案又は番号法違反のおそれのある事案を把握した場合には,事実関係及び再発防止策等について,速やかに特定個人情報保護委員会に報告するものとする。
また,特定個人情報等に関する重大事案(①情報提供ネットワークシステム又は個人番号を取り扱う情報システムで使用するネットワークから外部に情報漏えい等があった場合(不正アクセス又は不正プログラムによるものを含む。),②事案における特定個人情報の本人の数が101人以上である場合,③不特定多数の人が閲覧できる状態になった場合,④職員等が不正の目的で持ち出したり利用したりした場合,⑤その他各機関において重大事案と判断される場合)又はそのおそれのある事案が発覚した時点で,直ちにその旨を特定個人情報保護委員会に報告するものとする。
7 保護管理者は,事案の発生した原因を分析し,再発防止のために必要な措置を講ずるものとする。
(公表等)
第50条 学長は,前条の事案が発生したときは,その内容,影響等に応じて,事実関係及び再発防止策の公表,当該事案に係る保有個人情報の本人への対応等の措置を講ずるものとする。なお,公表を行う事案については,当該事案の内容,経緯,被害状況等について,速やかに総務省に情報提供を行うものとする。
(独立行政法人等非識別加工情報の作成,提供等)
第51条 本法人は,独法等個人情報保護法の規定に従い,独立行政法人等非識別加工情報(独立行政法人等非識別加工情報ファイルを構成するものに限る。以下同じ。)を作成し,及び提供することができる。
2 職員は,法令に基づく場合を除き,利用目的以外の目的のために独立行政法人等非識別加工情報及び削除情報(保有個人情報に該当するものに限る。)を自ら利用し,又は提供してはならない。
3 学長は,独立行政法人等非識別加工情報について次に掲げるときは,直ちに個人情報保護委員会に報告するものとする。
(1) 保護管理者が第18条第5項の報告をするとき。
(2) 保護管理者が第49条第7項の措置を講じたとき。
(3) 第49条第1項の措置を講じたとき。
(4) 契約相手方が独法等個人情報保護法第44条の14各号に該当すると認められ契約を解除しようとするとき及び解除したとき。
4 独立行政法人等非識別加工情報の作成,提供等に関し,必要な事項は,別に定める。
第7章 監査及び点検の実施
(監査)
第52条 監査責任者は,保有個人情報等の適切な管理を検証するため,第2章から第6章に規定する措置の状況を含む本法人における保有個人情報等の管理の状況について,定期に及び必要に応じ随時に監査(外部監査を含む。以下同じ。)を行い,その結果を総括保護管理者に報告するものとする。
(点検)
第53条 保護管理者は,各部局等における保有個人情報等の記録媒体,処理経路,保管方法等について,定期に及び必要に応じ随時に点検を行い,必要があると認めるときは,その結果を総括保護管理者に報告するものとする。
(評価及び見直し)
第54条 総括保護管理者,保護管理者等は,監査又は点検の結果等を踏まえ,実効性等の観点から保有個人情報等の適切な管理のための措置について評価し,必要があると認めるときは,その見直し等の措置を講ずるものとする。
第8章 その他
(行政機関との連携)
第55条 本法人は,「個人情報の保護に関する基本方針」(平成16年4月2日閣議決定)4を踏まえ,文部科学省と緊密に連携して,その保有個人情報等の適切な管理を行うものとする。
(懲戒)
第56条 学長は,職員がこの規程その他法令に定める個人情報の取扱いに関する基本的事項に違反したときは,国立大学法人福井大学職員就業規則(平成16年福大規則第7号)の規定に基づき懲戒を行うことができるものとする。
(雑則)
第57条 この規程に定めるもののほか,個人情報の取扱いに関し必要な事項は,別に定める。
 
附 則
1 この規程は,平成28年7月28日から施行する。
2 国立大学法人福井大学の保有する個人情報の保護に関する規則(平成17年福大規則第3号)は,廃止する。
附 則(福大規程第9号)
この規程は,平成30年4月1日から施行する。ただし,改正後の第2条,第18条,第19条,第48条及び第51条から第57条までの規定は,平成29年5月30日から適用する。
附 則(平成31年3月30日福大規程第25号) 
この規程は,平成31年4月1日から施行する。 
附 則(令和元年5月17日福大規程第106号) 
この規程は,令和元年5月17日から施行する。