東京大学保健・健康推進本部の保有する個人情報の適切な管理のための措置に関する内規

制定:平成十七年九月十二日
本 部 長 裁 定
施行:平成十七年九月十二日
改正:平成二十四年三月六日


目次
第一章 総則(第一条・第二条)
第二章 管理体制(第三条・第四条)
第三章 職員等の責務(第五条)
第四章 教育研修(第六条)
第五章 保有個人情報の管理・取扱い(第七条-第十四条)
第六章 情報取扱い室等の安全管理(第十五条・第十六条)
第七章 保有個人情報の提供及び業務の委託等(第十七条-第十九条)
第八章 安全確保上の問題への対応(第二十条・第二十一条)
第九章 点検の実施等(第二十二条・第二十三条)
第十章 苦情等への対応(第二十四条)
第十一章 その他(第二十五条)
附則

第一章 総則

(趣旨)
第一条 この内規は、「独立行政法人等の保有する個人情報の保護に関する法律」(平成15年法律第59号。以下「法」という。)、「東京大学個人情報開示等に関する規則」(平成17年3月17日東大規則第328号。以下「東大規則第328号」という。)及び「東京大学の保有個人情報の適切な管理のための措置に関する規則」(平成17年3月17日東大規則第333号。以下「東大規則第333号」という。) に基づき、東京大学保健・健康推進本部(以下「本部」という。)が管理運用する保有個人情報について、その保護及び適正な管理運用に関し、必要な基本的事項を定めるものとする。

(定義)
第二条 この内規における用語の定義は、 法第2条及び東大規則第328号第2条の定めるところによる。

第二章 管理体制

(保護管理者)
第三条 東大規則第333号第4条に基づき、本部に、保護管理者を置き、本部長をもって充てる。
 保護管理者は、本部の管理運用する保有個人情報を適切に管理する任に当たる。

(保護担当者)
第四条 本部に、保護担当者を複数名置き、保護管理者の指名した者をもって充てる。
 保護担当者は、保護管理者を補佐し、本部における保有個人情報の管理運用に関する事務等を担当する。

第三章 職員等の責務

第五条 職員等(管理運用される保有個人情報を取り扱う短時間勤務有期雇用職員及び外部委託職員を含む。以下同じ。)は、法の趣旨に則り、関連する法令及び規程等の定め並びに総括保護管理者、保護管理者及び保護担当者の指示に従い、本部における保有個人情報を適切に管理し取り扱わなければならない。

第四章 教育研修

第六条 保護管理者は、取り扱う個人データの保護が確保されるよう、職員等に対する教育研修を継続的に実施し、職員等の啓発を図り個人情報保護の意識を徹底する。

 保護管理者は、職員等に対し、保有個人情報の適切な管理のために、総括保護管理者が実施する教育研修等への参加の機会を付与する等の必要な措置を講ずる。

第五章 保有個人情報の管理・取扱い

(保有個人情報の管理・取扱いの原則)
第七条 職員等は、職務上作成し、又は取得した個人情報を取り扱うに当たっては、個人情報の漏洩等の危険に留意し、適切に管理し取り扱わなければならない。

(取扱い制限)
第八条 職員等は、本部規則に定める業務上の目的以外の目的で保有個人情報を取扱ってはならない。
 個人情報の個人的な管理を極力避け、不要な個人情報の収集は禁止する。
 保有個人情報のセンター外への持出し及び転退職後の保有については、禁止する。

(アクセス制限)
第九条 保護管理者は、保有個人情報の秘匿性等その内容に応じて保有個人情報にアクセスする権限を有する者をその利用目的を達成するために必要最小限の職員に制限する。
 アクセス権限を有しない職員等は、保有個人情報にアクセスしてはならない。
 職員等は、アクセス権限を有する場合であっても、業務上の目的以外の目的で保有個人情報にアクセスしてはならない。
 保護管理者は、各職種等のアクセス権限を別に定める。

(複製等の制限)
第十条 職員等は、業務上の目的で保有個人情報を取り扱う場合であっても、次に掲げる行為については、保護管理者の指示に従い行う。
(1) 保有個人情報の複製
(2) 保有個人情報の送信
(3) 保有個人情報が記録されている媒体の外部への送付又は持出し
(4) その他保有個人情報の適切な管理に支障を及ぼすおそれのある行為

(誤りの訂正等)
第十一条 職員等は、保有個人情報の内容に誤り等を発見した場合には、保護管理者の指示に従い、訂正等を行う。

(媒体の管理等)
第十二条 職員等は、保護管理者の指示に従い、保有個人情報が記録されている媒体を定められた場所に保管するとともに、必要があると認めるときは、耐火金庫への保管、施錠等を行う。

(廃棄等)
第十三条 職員等は、保有個人情報又は保有個人情報が記録されている媒体(端末及びサーバに内蔵されているものを含む。)が不要となった場合には、保護管理者の指示に従い、復元又は判読が不可能な方法により当該情報の消去を行ってから当該媒体の廃棄を行う。

(保有個人情報の取扱状況の記録)
第十四条 保護管理者は、保有個人情報の秘匿性等その内容に応じて、台帳等を整備して、保有個人情報の利用及び保管等の取扱いの状況について記録する。

第六章 情報取扱い室等の安全管理

(アクセスの管理)
第十五条 保護管理者は、保有個人情報を取り扱う端末及びサーバ等の機器を設置する場所等(以下「情報区域」という。)を定め、情報区域にアクセスする権限を有する者を定めるとともに、用件の確認、アクセスの記録、部外者についての識別化、部外者が入室する場合の職員の立会い等の措置を講ずる。また、保有個人情報を記録する媒体を保管するための施設を設けている場合においても、同様の措置を講ずる。
 保護管理者は、情報区域の出入口の特定化によるアクセスの管理の容易化、所在表示の制限等の措置を講ずる。
 保護管理者は、情報区域へのアクセス管理について、アクセスに係る認証機能を設定し、及びパスワード等の管理に関する定めの整備(その定期又は随時の見直しを含む。)、パスワード等の読取防止等を行うために必要な措置を講ずる。

(情報区域の管理)
第十六条 保護管理者は、外部からの不正な侵入に備え、情報区域に施錠装置、警報装置、監視設備の設置等の措置を講ずる。
 保護管理者は、災害等に備え、情報区域に、耐震、防火、防煙、防水等の必要な措置を講ずるとともに、サーバ等の機器の予備電源の確保、配線の損傷防止等の措置を講ずる。

第七章 保有個人情報の提供及び業務の委託等

(保有個人情報の提供)
第十七条 保護管理者は、法第9条第2項第1号の規定に基づき保有個人情報の提供を求められた場合は、請求された個人情報を提供することができる。
 保護管理者は、法第9条第2項第2号の規定に基づき東京大学内部での利用について保有個人情報の提供を求められた場合は、別に定めるところにより、請求された個人情報を提供することができる。
 保護管理者は、法第9条第2項第3号及び第4号の規定に基づき行政機関及び独立行政法人等以外の者に保有個人情報を提供する場合には、原則として、提供先における利用目的、利用する業務の根拠法令、利用する記録範囲・記録項目及び利用形態等について書面を取り交わす。
 保護管理者は、法第9条第2項第3号及び第4号の規定に基づき行政機関及び独立行政法人等以外の者に保有個人情報を提供する場合には、安全確保の措置を要求するとともに、必要があると認めるときは、提供前又は随時に実地の調査等を行い、措置状況を確認し、その結果を記録するとともに、改善要求等の措置を講ずる。
 保護管理者は、法第9条第2項第3号の規定に基づき行政機関又は独立行政法人等に保有個人情報を提供する場合において、前2項に規定する措置を講ずる。

(開示、訂正及び利用停止)
第十八条 保護管理者は、法第12条、第27条及び第36条の規定に基づく保有個人情報の開示、訂正及び利用停止の請求に対しては、東大規則第328号の定めるところにより措置を講ずる。

(業務の委託等)
第十九条 保有個人情報の取扱いに係る業務を外部に委託する場合には、個人情報の適切な管理を行う能力を有しない者を選定することがないよう、必要な措置を講ずる。また、契約書に、次に掲げる事項を明記するとともに、委託先における責任者等の管理体制、個人情報の管理の状況についての検査に関する事項等の必要な事項について書面で確認する。
 (1) 個人情報に関する秘密保持等の義務
 (2) 再委託の制限又は条件に関する事項
 (3) 個人情報の複製等の制限に関する事項
 (4) 個人情報の漏えい等の事案の発生時における対応に関する事項
 (5) 委託終了時における個人情報の消去及び媒体の返却に関する事項
 (6) 違反した場合における契約解除の措置その他必要な事項
 保有個人情報の取扱いに係る業務を派遣労働者によって行わせる場合には、労働者派遣契約書に秘密保持義務等個人情報の取扱いに関する事項を明記する。

第八章 安全確保上の問題への対応

(事案の報告及び再発防止措置)
第二十条 保有個人情報の漏えい等安全確保の上で問題となる事案が発生した場合に、その事実を知った職員等は、速やかに保護管理者に報告する。
 保護管理者は、被害の拡大防止又は復旧等のために必要な措置を講ずる。
 保護管理者は、事案の発生した経緯、被害状況等を調査し、総括保護管理者に報告する。ただし、特に重大と認める事案が発生した場合には、直ちに総括保護管理者に当該事案の内容等について報告する。
 保護管理者は、事案の発生した原因を分析し、再発防止のために必要な措置を講ずる。

(公表等)
第二十一条 保護管理者は、総括保護管理者と協議の上、事案の内容、影響等に応じて、事実関係及び再発防止策の公表、当該事案に係る本人への対応等の措置を講ずる。

第九章 点検の実施等

(点検)
第二十二条 保護管理者は、自ら管理責任を有する保有個人情報の記録媒体、処理経路、保管方法等について、定期に又は随時に点検を行い、必要があると認めるときは、その結果を総括保護管理者に報告する。

(評価及び見直し)
第二十三条 保護管理者は、保有個人情報の適切な管理のための措置については、点検又は東大規則第333号第49条に定める監査の結果等を踏まえ、実効性等の観点から評価し、必要があると認めるときは、その見直し等の措置を講じ、総括保護管理者に報告する。

第十章 苦情等への対応

第二十四条 保護管理者は、学生・職員等のセンター利用者に対して、個人情報の取得時、利用開始時に当該個人情報の利用目的を説明するとともに、個人情報の取扱いに関する苦情について、迅速かつ適切に対応できるよう体制整備を行う。

第十一章 その他

(雑則)
第二十五条 この内規に定めるもののほか、保有個人情報の取扱いに関し必要な事項は、別に定める。

附 則

(施行期日)
この内規は、平成十七年九月十二日から施行する。