制定:平成17年9月12日
本 部 長 裁 定
施行:平成17年9月12日
改正:平成24年 3月 6日
改正:令和5年12月26日
第1章 総則(第1条・第2条)
第2章 個人情報等の管理体制(第3条-第5条)
第3章 教職員等の責務(第6条)
第4章 教育研修(第7条・第8条)
第5章 個人情報等の管理・取扱い(第9条-第20条)
第6章 情報システムにおける安全の確保等(第21条-第23条)
第7章 個人情報等の開示、訂正及び利用停止(第24条)
第8章 安全確保上の問題への対応(第25条-第29条)
第9章 点検の実施等(第30条・第31条)
第10章 苦情等への対応(第32条)
第11章 その他(第33条)
第一章 総則
(目的)
第1条 この内規は、「個人情報の保護に関する法律」(平成15年法律第57号。以下「個人情報保護法」という。)、「東京大学の個人情報等に関する取扱規則」(平成17年3月17日東大規則第333号。以下「東大規則第333号」という。)及び「東京大学個人情報開示等に関する規則」(平成17年3月17日東大規則第328号。以下「東大規則第328号」という。)に基づき、東京大学保健・健康推進本部(以下「本部」という。)が管理運用する個人情報、仮名加工情報、匿名加工情報、個人関連情報その他の個人情報保護法により定義され、同法の対象となる情報(以下、「個人情報等」という。)について、その保護及び適正な管理運用に関し、必要な基本的事項を定め、個人の権利利益を保護することを目的とする。
(定義)
第2条 この内規における用語の定義は、 個人情報保護法第2条、東大規則第328号第2条及び東大規則第333号第2条の定めるところによる。
第2章 個人情報等の管理体制
(部局等総括保護管理者)
第3条 本部における部局等総括保護管理者は、本部長をもって充てる。
(保護管理者)
第4条 本部における保護管理者は、一般診療室長、健康管理室長及び部局等総括保護管理者が指定する者をもって充てる。
2 保護管理者のうち健康管理室長は、電子カルテ、健康管理システム、放射線画像検査システム、心電図検査データビューワー、健診結果通知システム、本部業務の予約にかかるシステム の運用責任者を兼ねる。
(保護担当者)
第5条 本部における保護担当者は、一般診療室副室長、健康管理室副室長、本郷地区診療責任者、駒場地区診療責任者、柏地区診療責任者及び保護管理者が指定する者をもって充てる。
第3章 教職員等の責務
第6条 教職員等(派遣労働者を含む。以下同じ。)は、個人情報保護法の趣旨に則り、関連する法令、規程及び内規等の定め並びに部局等総括保護管理者、保護管理者及び保護担当者の指示に従い、個人情報等を取り扱わなければならない。
2 教職員等は、その業務に関して知り得た個人情報等の内容をみだりに他人に知らせ、又は不当な目的に利用してはならない。
第4章 教育研修
第7条 部局等総括保護管理者は、個人情報等を取り扱う教職員等に対し、個人情報等の取扱いについて理解を深め、個人情報等の保護に関する意識の高揚を図るための啓発その他必要な教育研修を行う。
2 部局等総括保護管理者及び保護管理者は、教職員等に対し、個人情報等の適切な管理のために、総括保護管理者の実施する教育研修への参加の機会を付与する等の必要な措置を講ずる。
第8条 部局等総括保護管理者及び保護管理者は、個人情報等を取り扱う情報システムの管理に関する事務に従事する教職員等に対し、個人情報等の適切な管理のために、情報システムの管理、運用及びセキュリティ対策に関して必要な教育研修への参加の機会を付与する等の必要な措置を講ずる。
第5章 個人情報等の取扱い
(個人情報等の管理・取扱いの原則)
第9条 教職員等は、職務上作成し、又は取得した個人情報を取り扱うに当たっては、個人情報の漏洩等の危険に留意し、適切に管理し取り扱わなければならない。
(利用目的の特定)
第10条 教職員等は、個人情報を取り扱うに当たっては、当該個人情報を取り扱う事務を遂行するため必要な場合に限り、かつその利用の目的(以下「利用目的」という。)をできる限り特定しなければならない。
2 本部で取り扱う健康診断対象者、一般診療室、健康管理室利用者その他の本部利用者(以下、本部利用者という)の個人情報にかかる利用目的は、「保健・健康推進本部の個人情報取扱いに関するお知らせ」に明記し、各地区保健センター及び健康診断会場内掲示及びホームページへの掲載により公表する。
3 既に保有する個人情報の利用目的の変更は、変更前の利用目的と関連性を有すると合理的に認められる範囲に限るものとする。
(利用目的による制限)
第11条 教職員等は、東大規則第333号第19条第1項に掲げる場合及びあらかじめ本人から同意を得た場合を除き、前条の規定により特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない。
(取得に際しての利用目的の通知等)
第12条 本部は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人への通知又は本部等施設内およびホームページ上への掲出等により公表しなければならない。
2 本部は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面(電磁的記録を含む。)に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記録された当該本人の個人情報を取得するときは、あらかじめ、本人に対し、その利用目的を明示しなければならない。
3 本部は、個人情報を取得後にその利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。
4 前3項の規定は、東大規則第333号第20条第4項に掲げる場合については、適用しない。
(不適正な利用の禁止)
第13条 教職員等は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。
(適正な取得)
第14条 教職員等は、偽りその他不正の手段により個人情報を取得してはならない。
2 教職員等は、東大規則第333号第22条第2項に掲げる場合を除き、あらかじめ本人の同意を得ないで、 要配慮個人情報を取得してはならない。
(正確性の確保)
第15条 教職員等は、利用目的の達成に必要な範囲内で、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。
2 教職員等は、個人データの内容に誤り等を発見した場合には、保護管理者の指示に従い、訂正等を行わなければならない。
3 教職員等は、個人データ又は個人データが記録されている媒体(端末及びサーバに内蔵されているものを含む。)が不要となった場合には、当該個人情報の復元又は判読が不可能な方法により当該個人データの削除又は当該媒体の廃棄を行わなければならない。
(業務の委託等)
第16条 部局等総括保護管理者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託先に対する必要かつ適切な監督を行う。
2 保護管理者は、個人データの取扱いに係る業務を外部に委託する場合には、選定の際に個人データの管理能力の確認を行うなどの必要な措置を講ずるとともに、契約書に次に掲げる事項を明記し、委託先における責任者及び業務従事者の管理、実施体制並びに個人情報の管理の状況等の必要な事項について、書面によって確認するものとする。
(1) 本学が講ずべき安全管理措置と同等の措置を講じること
(2) 個人データに関する秘密保持、目的外利用の禁止等の義務
(3) 再委託(再委託先が委託先の子会社(会社法(平成17年法律第86号)第2条第1項第3号に規定する子会社をいう。)である場合を含む。以下同じ。)の制限又は事前承認等再委託に係る条件に関する事項
(4) 個人データの複製等の制限に関する事項
(5) 個人データの漏えい等の事案の発生時における対応に関する事項(委託先による保護管理者に対する漏えい等の事案の発生に係る報告を含むがこれに限られない。)
(6) 委託終了時における個人データの消去及び媒体の返却に関する事項
(7) 違反した場合における契約解除、損害賠償責任その他必要な事項
(8) 前各号に掲げるもののほか、委託する個人データの取扱いの性質から必要な事項
3 保護管理者は、個人データの取扱いに係る業務を外部に委託する場合には、委託する業務に係る個人情報の秘匿性等その内容及びその量等に応じて、委託先における管理体制及び実施体制並びに個人情報の管理の状況について、少なくとも年1回以上、原則として実地検査により確認するものとする。
4 保護管理者は、委託先において、個人データの取扱いに係る業務が再委託される場合(再委託先が再々委託を行う場合を含む。)には、委託先に本条の措置を講じさせるとともに、再委託される業務に係る個人データの秘匿性等の内容及びその量等に応じて、委託先を通じて、又は自ら本条の措置を実施するものとする。
5 保護管理者は、個人データの取扱いに係る業務を派遣労働者によって行わせる場合には、労働者派遣契約書に秘密保持義務等個人データの取扱いに関する事項を明記するものとする。
(アクセス制限)
第17条 保護管理者は、個人データの秘匿性等その内容(匿名化の程度等による個人識別の容易性、要配慮個人情報の有無並びに漏えい等が発生した場合に生じ得る被害の性質及びその程度等を含む。以下同じ。)に応じて、当該個人データにアクセスする権限を有する教職員等の範囲と権限の内容を、当該教職員等が業務を行う上で必要最小限の範囲に限る。
2 アクセス権限を有しない教職員等は、個人データにアクセスしてはならない。
3 教職員等は、アクセス権限を有する場合であっても、業務上の目的以外の目的で個人データにアクセスしてはならない。
4 保護管理者は、各職種等のアクセス権限を別に定める。
(複製等の制限)
第18条 教職員等が業務上の目的で個人データを取り扱う場合であっても、次に掲げる行為については、当該個人データの秘匿性等その内容に応じて、当該行為を行うことができる場合を限定し、教職員等は、保護管理者の指示に従い行う。
(1) 個人データの複製
(2) 個人データの送信
(3) 個人データが記録されている媒体の外部への送付又は持出し
(4) その他個人データの適切な管理に支障を及ぼすおそれのある行為
(媒体の管理等)
第19条 教職員等は、保護管理者の指示に従い、個人データが記録されている媒体を定められた場所に保管するとともに、必要があると認めるときは、耐火金庫への保管、施錠等を行う。
(第三者提供の制限)
第20条 教職員等は、次に掲げる場合を除き、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
(1) 法令に基づく場合
(2) 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
(3) 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
(4) 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(5) 当該個人データの提供が学術研究の成果を公表し、又は教授するためにやむを得ないとき(個人の権利利益を不当に侵害するおそれがある場合を除く。)。
(6) 当該個人データを学術研究目的で提供する必要があるとき(当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)(本学と当該第三者が共同して学術研究を行う場合に限る。)。
(7) 当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき(当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。)。
第6章 情報システムにおける安全の確保等
(アクセスの管理)
第21条 保護管理者は、個人データを取り扱う端末及びサーバ等の機器を設置する場所等(以下「情報区域」という。)を定め、情報区域にアクセスする権限を有する者を定めるとともに、用件の確認、アクセスの記録、部外者についての識別化、部外者が入室する場合の教職員の立会い等の措置を講ずる。また、個人データを記録する媒体を保管するための施設を設けている場合においても、同様の措置を講ずる。
2 保護管理者は、情報区域の出入口の特定化によるアクセスの管理の容易化、所在表示の制限等の措置を講ずる。
3 保護管理者は、情報区域へのアクセス管理について、アクセスに係る認証機能を設定し、及びパスワード等の管理に関する定めの整備(その定期又は随時の見直しを含む。)、パスワード等の読取防止等を行うために必要な措置を講ずる。
(アクセス記録)
第22条 保護管理者は、本部が利用する電子カルテ、健康管理システムでは、当該システムで管理する個人情報等へのアクセス状況を記録し、その記録(以下「アクセス記録」という。)を一定の期間保存し、アクセス記録を定期に及び必要に応じ随時に分析するために必要な措置を講ずる。
(情報区域の管理)
第23条 保護管理者は、外部からの不正な侵入に備え、情報区域に施錠装置、警報装置、監視設備の設置等の措置を講ずる。
2 保護管理者は、災害等に備え、情報区域に、耐震、防火、防煙、防水等の必要な措置を講ずるとともに、サーバ等の機器の予備電源の確保、配線の損傷防止等の措置を講ずる。
第7章 個人情報等の開示、訂正及び利用停止
第24条 本部が取得した個人情報等について、開示、訂正及び利用停止の請求があった場合には、東大規則第328号の定めるところにより措置を講ずる。
第8章 安全確保上の問題への対応
(事案の報告及び再発防止措置)
第25条 教職員等は、個人情報等の漏えい等の事案の発生又は兆候を把握した場合及び事務取扱担当者が関連する法令及び規程等の定めに違反している事実又は兆候を把握した場合等、安全確保の上で問題となる事案を認識した場合には、直ちに当該個人情報等を管理する保護管理者に報告又は相談しなければならない。
第26条 保護管理者は、被害の拡大防止又は復旧等のために必要な措置を速やかに講ずるとともに部局等総括保護管理者に報告する。ただし、外部からの不正アクセスや不正プログラムの感染が疑われる当該端末等のLANケーブルを抜くなど、被害拡大防止のため直ちに行い得る措置については、直ちに行う(教職員等に行わせることを含む。)ものとする。
第27条 部局等総括保護管理者は、事案の発生した経緯、被害状況等を調査し、総括保護管理者に報告する。ただし、特に重大と認める事案が発生した場合には、直ちに総括保護管理者に当該事案の内容等について報告する。
第28条 保護管理者は、部局等総括保護管理者の監督のもと、事案の発生した原因を分析し、再発防止のために必要な措置を講ずる。
(公表等)
第29条 部局等総括保護管理者は、事案の内容、影響等に応じて、事実関係及び再発防止策の公表、当該事案に係る個人情報等の本人への対応等の措置を講ずる。公表を行う事案については、当該事案の内容、経緯、被害状況等について、速やかに総括保護管理者に報告を行う。
第9章 点検の実施等
(点検)
第30条 保護管理者は、本部における個人情報等の記録媒体、処理経路、保管方法等について、定期に又は随時に点検を行い、必要があると認めるときは、その結果を部局等総括保護管理者に報告する。
2 前項の報告を受けた部局等総括保護管理者は、当該報告のうち重要なものについて、総括保護管理者に報告する。
(評価及び見直し)
第31条 部局等総括保護管理者は、前条に定める点検又は東大規則第333号第82条に定める監査の結果等を踏まえ、実効性等の観点から個人情報等の適切な管理のための措置について評価し、必要があると認めるときは、その見直し等の措置を講ずる。
第10章 苦情等への対応
第32条 本部における個人情報の取扱いに関する苦情及び相談については「保健・健康推進本部の個人情報取扱いに関するお知らせ」に連絡先等を明記する。
第11章 その他
(雑則)
第33条 この内規に定めるもののほか、個人情報等の取扱いに関し必要な事項は、別に定める。
附 則
(施行期日)
この内規は、平成17年9月12日から施行する。
附 則
(施行期日)
この内規は、平成24年4月1日から施行する。
附 則
(施行期日)
この内規は、令和6年1月1日から施行する。