2　組合が行う個人番号関係事務は、番号法第9条第3項に規定する事務のうち、番号法その他の法令等に基づき、組合が職員等、外部有識者等、扶養親族その他の個人から個人番号の提供を受け、必要な限度で個人番号を利用する事務とする。

3　前2項に規定する事務の他番号法に基づく事務とする。

2　事務取扱担当者は、保護責任者の指示に従い事務に必要な限度で特定個人情報等を取り扱わなければならない。また、事務を行った後は、速やかにその文書等を適切に保管場所等に厳重に保管しなければならない。

3　事務取扱担当者その他職員等は、番号法、特定個人情報等を含む個人情報の保護を目的として定めた条例及び情報資産の適正な取扱いを目的として定めた情報セキュリティに関する規程の趣旨に則り、関連する法令、ガイドライン及び要領等の定め並びにこの規程の定めた事項に従い、特定個人情報等を適正に取り扱わなければならない。

2　事務取扱担当者は、職員等に対して個人番号の提供を求める場合の利用目的の明示の方法については、利用目的を明記した書類の提示の方法のほか、庁内LANを用いた掲載等の合理的な方法によることができる。ただし、掲載等は個人番号の提供を求める事務の対象者に限る。

3　事務取扱担当者は、個人番号を収集する際に、本人確認を行う。

2　保護責任者は、事務の目的を達成するために必要最小限の範囲で特定個人情報等を利用することができる。当該特定個人情報等は、事務の権限を有しない者に利用させてはならない。

3　事務取扱担当者は、特定個人情報等を取り扱う権限を有する場合であっても、業務上の目的以外の目的で特定個人情報等を取り扱ってはならない。

4　事務取扱担当者は、業務上の目的で特定個人情報等を取り扱う場合であっても、次に掲げる行為については、保護責任者の承認を必要とする。

2　保護責任者は、特定個人情報ファイルを作成する場合は、次に掲げる事項を記載した特定個人情報ファイル管理簿を整備するものとする。

3　保護責任者は、特定個人情報等を取り扱う権限を有する事務取扱担当者に限定して、特定個人情報等を管理しなければならない。

2　事務取扱担当者は、保有する特定個人情報等を他の個人番号利用事務実施者又は個人番号関係事務実施者に提供するとき(番号法第22条に規定する提供を除く。)は、送付簿等に必要事項を記載し、保護責任者の承認を必要とする。

3　事務取扱担当者は、特定個人情報等を提供する場合、持参等の方法によるときは、鍵のかかる鞄等に入れて提供先に持ち込むものとし、郵送等の方法によるときは、提供先の受け取り確認を必要とし、当該措置を講じた方法を用いる。

2　文書等に記録された特定個人情報等の削除又は廃棄に当たっては、保護責任者の承認を必要とし、次に掲げる方法により行う。

3　前項第2号に規定する保護責任者が指示する方法については、物理的破壊又はデータ削除ソフトウェア等の利用が困難な場合に限り選択しなければならない。

4　機器の障害又は更改その他の理由により、特定個人情報等が複写され複写元となった当該特定個人情報等が記録された電磁的記録媒体が不要となった場合は、第2項第2号に規定する方法により削除又は破棄を行うものとする。

5　保護責任者は、第1項に規定する処理を委託した場合、委託者が当該処理を実施した記録を必要とする。

6　保護責任者は、第1項に規定する処理を実施した場合、特定個人情報等を記録した書類又は特定個人情報ファイルの名称、件数、責任者及び部署、委託者による実施記録、実施年月日及び処理した方法等の記録を作成する。また、当該記録を一定期間保存し、定期に又は随時に分析する措置を講じなければならない。

2　統括責任者及び管理責任者は、特定個人情報等を取り扱う情報システムの管理に関する事務に従事する事務取扱担当者その他職員等に対し、情報システムの管理、運用及びセキュリティ対策に関して必要な教育研修を行う。

3　統括責任者及び管理責任者は、保護責任者に対し、特定個人情報等の適正な管理のために必要な教育研修を行う。

4　保護責任者は、事務を所管する課室等に所属する事務取扱担当者その他職員等に、特定個人情報等の適切な管理のために教育研修への参加の機会を付与するよう努めなければならない。

5　事務取扱担当者その他職員等は、統括責任者及び管理責任者が主催する又は保護責任者が付与した特定個人情報等の適切な管理を目的とした教育研修を受講するよう努めなければならない。

2　保護責任者は、特定個人情報ファイルを取り扱う情報システムを設置した情報システム室や特定個人情報等が記録された外部電磁的記録媒体を保管する保管庫(以下「管理区域」という。)の取り扱いを明確にしなければならない。

3　保護責任者は、所管する管理区域の入退室管理及び管理区域へ持ち込む機器等の制限等の措置を講じなければならない。

4　保護責任者は、基幹的な事務を担う重要な情報機器等は、情報システム室に設置しなければならない。ただし、やむを得ない場合を除く。

2　保護責任者は、特定個人情報等が記録された外部電磁的記録媒体及び書類等は、施錠可能な場所に保管する等の方法により適正に管理しなければならない。特定個人情報等が記録された情報を有するパソコン等も同様とする。

3　保護責任者は、盗難防止のため、特定個人情報等を利用する端末のセキュリティワイヤーによる固定等の物理的措置を講じなければならない。ただし、職員等が不在になる場合において、施錠可能な場所に保管する等の適正な措置を施す場合は、この限りでない。

2　保護責任者は、前項に規定する特定個人情報等を持ち出す場合の移送手段が第三者による場合は、追跡可能な移送手段を利用しなければならない。

3　保護責任者は、前2項に掲げる記録を一定期間保存し、定期に又は随時に分析する措置を講じなければならない。

2　保護責任者は、前項に規定するアクセス制御機能が適正に維持できるよう脆弱性等の検証を行う。

2　保護責任者は、特定個人情報ファイルを取り扱うサーバ及びパソコン等の端末に、コンピュータウィルス等の不正プログラム対策ソフトウェアを常駐させなければならない。また、常に最新の状態を保たなければならない。

3　事務取扱担当者は、外部電磁的記録媒体を用いて特定個人情報等データを取り扱う場合は、不正プログラム対策ソフトウェア等により、事前に不正ソフトウェアの有無を確認しなければならない。また、データ出力後も同様とする。

2　保護責任者は、個人のプライバシー等の権利利益に影響を与え得る特定個人情報等の漏えい、その他の事態を発生させるリスクを軽減するための措置として、特定個人情報等保護評価書に記載した全ての措置を講じなければならない。

2　保護責任者は、委託を受ける者に対して、必要かつ適切な監督を行うため、次に掲げる事項を契約に規定するとともに、適切な選定及び特定個人情報等の取扱い状況を把握する。

3　保護責任者は、委託を受けた者に対する監督義務を負い、再委託を受けた者に対しては、間接的に監督義務を負う。

2　保護責任者は、報告を受けた事案の発生した経緯及び被害状況等を管理責任者に報告する。ただし、特に重大と認める事案が発生した場合は、直ちに管理責任者及び統括責任者に報告する。

3　管理責任者は、報告を受けた事案の内容に応じて、統括責任者と協議し又は意見を求め、事案の内容及び影響等に応じて速やかに対応する。

4　保護責任者は、事案の発生した原因を調査・分析し、再発防止のために必要な措置を講じ、必要に応じて、当該事案の内容等を関係部署に報告する。

5　総括責任者は、報告を受けた事案が重大な場合は、「独立行政法人等及び地方公共団体等における特定個人情報の漏えい事案等が発生した場合の対応について(平成27年特定個人情報保護委員会告示第1号)」、「事業者における特定個人情報の漏えい事案等が発生した場合の対応について(平成27年特定個人情報保護委員会告示第2号)」及び「特定個人情報の漏えいその他の特定個人情報の安全確保に係る重大な事態の報告に関する規則(平成27年特定個人情報保護委員会規則第5号)の定めに基づき、個人情報保護委員会、主務大臣、地方公共団体の長等に報告する。

2　保護責任者は、自ら管理責任を有する特定個人情報等の管理について、定期に及び必要に応じ随時に点検を行い、必要があると認めるときは、その結果を管理責任者に報告する。

この規程は、平成28年11月1日から施行する。