(目的)

第1条　この規程は、行政手続における特定の個人を識別するための番号の利用等に関する法律(平成25年法律第27号。以下「番号法」という。)、個人情報の保護に関する法律(平成15年法律第57号。以下「個人情報保護法」という。)、智頭町個人情報保護法施行条例(令和5年条例第9号。以下「法施行条例」という。)、智頭町情報セキュリティポリシー(平成27年策定)、智頭町特定個人情報の安全管理に関する基本方針(平成27年策定)、智頭町CSIRT設置要綱(平成29年要綱第149号)及び特定個人情報の適正な取扱いに関するガイドライン(行政機関等・地方公共団体等編)に基づき、特定個人情報の取得、保管、利用、提供、開示、訂正、利用停止、廃棄の各段階における留意事項及び安全管理措置について定め、町の取り扱う特定個人情報等の適正な取扱いを確保することを目的とするものである。なお、個人番号及び特定個人情報等に関しては、町の個人情報保護に関する他の規程又はマニュアルに優先してこの規程が適用される。

(定義)

第2条　この規程で掲げる用語の定義は、次のとおりとする。なお、この規程における用語は、他に特段の定めのない限り番号法その他の関係法令の定めに従う。

(個人番号の取扱事務の範囲)

第3条　町が個人番号利用事務実施者として個人番号を取り扱う事務の範囲は番号法に規定されている範囲とし、個人番号関係事務実施者として個人番号を取り扱う事務の範囲は別表のとおりとする。

(取り扱う特定個人情報等の範囲)

第4条　町が個人番号関係事務において使用する個人番号及び個人番号と関連付けて管理される特定個人情報は以下のとおりとする。

(組織体制)

第5条　安全管理措置については、以下の組織・体制とする。

(総括責任者の責務)

第6条　総括責任者は、この規程に定められた事項を理解し、遵守するとともに、保護責任者及び事務取扱担当者にこれを理解させ、遵守させるための教育訓練、安全対策の実施並びに周知徹底等の措置を実施する責任を負う。

(保護責任者の責務)

第7条　保護責任者は、この規程に定められた事項を理解し、遵守するとともに、所属する事務取扱担当者にこれを理解、遵守させる責任を負い、また、必要かつ適切な監督を行うものとする。

(事務取扱担当者の責務)

第8条　事務取扱担当者は、特定個人情報の取得、保管、利用、提供、開示、訂正、利用停止、廃棄又は委託処理等、特定個人情報を取扱う業務に従事する際、番号法及び個人情報保護法並びにその他の関連法令、特定個人情報ガイドライン、この規程及びその他の規程並びに総括責任者の指示した事項に従い、特定個人情報の保護に十分な注意を払ってその業務を行うものとする。

(研修)

第9条　総括責任者は、事務取扱担当者にこの規程を遵守させるための教育又は研修を企画・運営する責任を負う。

(運用状況・取扱状況の記録)

第10条　保護責任者は、特定個人情報を取り扱う業務について「特定個人情報管理台帳(様式第1号)」を整備し、以下の項目につき記録するものとする。(ただし、第8号については、委託先から受領した証明書等により、第9号については別途情報システムのログにより、確認するものとする。)なお、特定個人情報管理台帳には、特定個人情報等は記載しないものとする。

(情報漏えい事案等への対応)

第11条　総括責任者は、特定個人情報の漏えい、滅失又は毀損による事故(以下「漏えい事案等」という。)が発生したことを知った場合又はその可能性が高いと判断した場合は、智頭町CSIRT設置要綱に基づき、適切に対処するものとする。

(苦情への対応)

第12条　事務取扱担当者は、番号法、個人情報保護法、法施行条例、特定個人情報保護ガイドライン又はこの規程に関し、情報主体から苦情の申出を受けた場合には、その旨を総括責任者に報告する。報告を受けた総括責任者は、適切に対応するものとする。

(監査)

第13条　監査責任者は、町の特定個人情報の適正な取扱いその他法令及びこの規程の遵守状況について検証し、その改善を総括責任者に促す。

(取扱状況の確認並びに安全管理措置の見直し)

第14条　総括責任者は、年1回以上の頻度で又は臨時に特定個人情報の運用状況の記録及び特定個人情報ファイルの取扱状況の確認を実施しなければならない。

(特定個人情報等を取り扱う区域の管理)

第15条　町は管理区域及び取扱区域を明確にし、それぞれの区域に対し、次の各号に従い以下の措置を講じる。

(電子データを取り扱うネットワーク)

第16条　個人番号が含まれる電子データは、原則としてネットワークから遮断された独立した端末又は住基系ネットワーク上でのみ取り扱うこととする。

(機器及び電子媒体等の盗難等の防止)

第17条　町は管理区域及び取扱区域における特定個人情報等を取扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、次の各号に掲げる措置を講じる。

(電子媒体等を持ち出す場合の漏えい等の防止)

第18条　町は特定個人情報等が記録された電子媒体又は書類等の持出し(特定個人情報等を、管理区域又は取扱区域の外へ移動させることをいい、庁舎内での移動等も含まれる。)は、次に掲げる場合を除き禁止する。

(廃棄・削除段階における物理的安全管理措置)

第19条　特定個人情報等の廃棄・削除段階における記録媒体等の管理は次のとおりとする。

(アクセス制御)

第20条　特定個人情報へのアクセス制御は以下のとおりとする。

(アクセス者の識別と認証)

第21条　特定個人情報等を取り扱う情報システムは、ユーザーID、パスワード、ICカード、生体認証等の識別方法により、事務取扱担当者が正当なアクセス権を有する者であることを、識別した結果に基づき認証するものとする。

(不正アクセス等の防止)

第22条　町は、以下の方法により、情報システムを外部からの不正アクセス又は不正ソフトウェアから保護するものとする。

(情報漏えい等の防止)

第23条　町は、特定個人情報等をインターネット等により外部に送信する場合、通信経路における情報漏えい等及び情報システムに保存されている特定個人情報等の情報漏えい等を防止するものとする。

(特定個人情報の適正な取得)

第24条　町は、特定個人情報等の取得を適法かつ公正な手段によって行うものとする。

(特定個人情報の利用目的)

第25条　町が、職員等又は第三者から取得する特定個人情報の利用目的は、第3条に掲げた個人番号を取り扱う事務の範囲内とする。

(特定個人情報の取得時の利用目的の通知等)

第26条　町は、特定個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を情報主体に通知し、又は公表しなければならない。この場合において、通知の方法については、原則として書面(電子的方式、磁気的方式、その他人の知覚によっては認識することができない方式で作られた記録を含む。以下同じ。)によることとし、公表の方法については、掲示板への書面の掲示・備付け、ホームページ等での公表等適切な方法によるものとする。職員から特定個人情報を取得する場合には、メールにおける通知、利用目的を記載した書類の提示等の方法による。

(個人番号の提供の要求)

第27条　町は、第3条に掲げる事務を処理するために必要がある場合に限り、本人又は他の個人番号関係事務実施者若しくは個人番号利用事務実施者に対して個人番号の提供を求めることができるものとする。

(個人番号の提供を求める時期)

第28条　町は、第3条に定める事務を処理するために必要があるときに個人番号の提供を求めることとする。

(特定個人情報の提供の求めの制限)

第29条　特定個人情報の「提供」とは、法的な人格を超える特定個人情報の移動を意味するものであり、庁内の内部等の法的な人格を超えない特定個人情報の移動は提供ではなく利用に該当し、個人番号の利用制限(第35条)に従うものとする。

(特定個人情報の収集制限)

第30条　町は第3条に定める事務の範囲を超えて、特定個人情報を収集しないものとする。

(本人確認)

第31条　町は番号法第16条に定める各方法及び町が定める要綱により、職員又は第三者の個人番号の確認及び当該人の身元確認を行うものとする。また、代理人については、同条に定める各方法により、当該代理人の身元確認、代理権の確認及び本人の個人番号の確認を行うものとする。なお、本人確認の状況を記録するものとする。

(取得段階における安全管理措置)

第32条　特定個人情報の取得段階における組織的安全管理措置及び人的安全管理措置は第2章第5条から第14条に従うものとする。

第33条　特定個人情報の利用段階における物理的安全管理措置は第2章第15条から第19条に従うものとする。

第34条　特定個人情報の利用段階における技術的安全管理措置は第2章第20条から第23条に従うものとする。

(個人番号の利用制限)

第35条　町は、第25条に掲げる利用目的の範囲内でのみ利用するものとする。

(特定個人情報ファイルの作成の制限)

第36条　町が特定個人情報ファイルを作成するのは、第3条に定める事務を実施するために必要な範囲に限り、これらの場合を除き特定個人情報ファイルを作成しないものとする。

(利用段階における安全管理措置)

第37条　特定個人情報の利用段階における組織的安全管理措置及び人的安全管理措置は第2章第5条から第14条に従うものとする。

第38条　特定個人情報の利用段階における物理的安全管理措置は第2章第15条から第19条に従うものとする。

第39条　特定個人情報の利用段階における技術的安全管理措置は第2章第20条から第23条に従うものとする。

(特定個人情報の正確性の確保)

第40条　事務取扱担当者は、特定個人情報を第25条に掲げる利用目的の範囲において、正確かつ最新の状態で管理するよう努めるものとする。

(保有個人情報に関する事項の公表等)

第41条　町は、個人情報保護法第32条第1項に基づき、特定個人情報に係る保有個人情報に関する事項を本人の知り得る状態に置くものとする。

(特定個人情報の保存制限)

第42条　町は、第3条に定める事務の範囲を超えて、特定個人情報を保管してはならない。

(保管段階における安全管理措置)

第43条　特定個人情報の保管段階における組織的安全管理措置及び人的安全管理措置は第2章第5条から第14条に従うものとする。

第44条　特定個人情報の保管段階における物理的安全管理措置は第2章第15条から第19条に従うものとする。

第45条　特定個人情報の保管段階における技術的安全管理措置は第2章第20条から第23条に従うものとする。

(特定個人情報の提供制限)

第46条　町は、番号法第19条各号に掲げる場合を除き、本人の同意の有無に関わらず、特定個人情報を第三者に提供(法的な人格を超える特定個人情報の移動を意味し、内部等の法的な人格を超えない特定個人情報の移動は該当しないものとする。)しないものとする。なお、本人の事前同意があっても特定個人情報の第三者提供ができないことに留意するものとする。

(提供段階における安全管理措置)

第47条　特定個人情報の提供段階における組織的安全管理措置及び人的安全管理措置は第2章第5条から第14条に従うものとする。

第48条　特定個人情報の提供段階における物理的安全管理措置は第2章第15条から第19条に従うものとする。

第49条　特定個人情報の提供段階における技術的安全管理措置は第2章第20条から第23条に従うものとする。

(特定個人情報の開示)

第50条　町は、本人から当該本人が識別される特定個人情報に係る保有個人情報について開示を求められた場合は、次条に規定する手続き及び方法により、遅滞なく、当該情報の情報主体であることを厳格に確認した上で、当該本人が開示を求めてきた範囲内でこれに応ずるものとする。なお、当該本人に法定調書の写しを送付する際、法定調書の写しに本人以外の個人番号が含まれている場合には、その部分についてはマスキング等をするものとする。

(保有個人情報の開示請求処理手順)

第51条　前条に基づき本人又はその代理人(未成年者若しくは成年被後見人の法定代理人、又は本人が委任した任意代理人をいう。以下同じ。)から当該本人が識別される特定個人情報に係る保有個人情報について開示請求を受けた場合は、個人情報保護法第77条によって応ずることとする。

(保有個人情報の訂正等)

第52条　町は、当該本人が識別される保有個人情報の内容が事実でないことを理由に当該本人から訂正、追加又は削除を求められた場合は、必要な調査を行い、その結果に基づき、遅滞なくこれに応ずることとする。かかる訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、当該本人に対し、遅滞なくその旨(訂正等を行ったときは、その内容を含む。)を通知するものとする。なお、訂正等を行わない場合又は当該本人の求めと異なる措置をとる場合は、その判断の根拠及びその根拠となる事実を示し、その理由を説明することとする。

(保有個人情報の訂正等処理手順)

第53条　前条に基づき、開示の結果、特定個人情報に係る保有個人情報が事実ではないとして、訂正、追加又は削除(以下「訂正等」とする。)を求められた場合は、次の手順にて応ずることとする。

(保有個人情報の利用停止等)

第54条　町は、本人から、当該本人が識別される保有個人情報が、個人情報保護法第18条の規定に違反して取り扱われているという理由、同法第20条の規定に違反して取得されたものであるという理由又は番号法第19条の規定に違反して第三者に提供されているという理由によって、当該保有個人情報の利用の停止、消去又は第三者への提供の停止(以下、本条において「利用停止等」という。)を求められた場合であって、利用停止等に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該特定個人情報の利用停止等を行わなければならない。ただし、利用停止等を行うことに多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、当該本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りではない。

(開示等を求める手続)

第55条　町は、特定個人情報に関して、個人情報保護法第37条第1項の開示等の求めを受け付ける方法を定めた場合には、町における特定個人情報等の安全管理に関する基本方針と一体としてインターネットのホームページでの常時掲載を行うこと、又は窓口等での掲示・備付け等を行うこととする。

(特定個人情報の廃棄・削除)

第56条　町は第3条に規定する事務を処理する必要がある範囲内に限り特定個人情報等を収集又は保管し続けるものとする。なお、書類等について所管法令によって一定期間保存が義務付けられているものについては、これらの書類等に記載された個人番号については、その期間保管するものとし、それらの事務を処理する必要がなくなった場合で、所管法令において定められている保存期間を経過した場合には、個人番号をできるだけ速やかに廃棄又は削除するものとする。

(廃棄・削除段階での安全管理措置)

第57条　特定個人情報の廃棄・削除段階における組織的安全管理措置及び人的安全管理措置は第2章第5条から第14条に従うものとする。

第58条　特定個人情報の廃棄・削除段階における物理的安全管理措置は第2章第2節の第15条から第19条に従うものとする。

第59条　特定個人情報の廃棄・削除段階における技術的安全管理措置は第2章第20条から第23条に従うものとする。

(委託先における安全管理措置)

第60条　町は、個人番号関係事務又は個人番号利用事務の全部又は一部の委託する場合には、町自らが果たすべき安全管理措置と同等の措置が委託先において適切に講じられるよう、必要かつ適切な監督を行うものとする。