個人情報保護に関する実施細則

○個人情報保護に関する実施細則

(平成17年4月1日細則(総)第11号)

改正	平成20年4月1日細則(総)第5号	平成20年11月14日細則（情）第51号
改正	平成21年3月16日細則(情)第8号	平成22年6月28日細則(情)第33号

第1章　総則(第1条・第2条)

第2章　個人情報保護の体制(第3条－第7条)

第3章　役職員等の責務(第8条)

第4章　個人情報の取扱い(第9条－第19条)

第5章　情報システム等における安全の確保等(第20条)

第6章　保有個人情報の取扱いに係る業務の委託等(第21条)

第7章　個人情報ファイル簿の作成及び公表(第22条)

第8章　保有個人情報の開示、訂正及び利用停止(第23条)

第9章　安全管理上の問題への対応(第24条)

第10章　教育研修(第25条)

第11章　点検の実施(第26条)

第12章　雑則(第27条)

附則

第1章　総則

第1条　この細則は、独立行政法人国際協力機構情報セキュリティ管理規程(平成17年規程(総)第6号。以下「管理規程」という。)第22条の規定及び独立行政法人等の保有する個人情報の保護に関する法律(平成15年法律第59号。以下「個人情報保護法」という。)に基づき、独立行政法人国際協力機構(以下「機構」という。)における個人情報の取扱いに関する基本的事項を定めるものとする。

[独立行政法人国際協力機構情報セキュリティ管理規程(平成17年規程(総)第6号。以下「管理規程」という。)第22条]

(用語の定義)

第2条　この細則における用語の意義は、それぞれ当該各号に定めるところによる。

(1)　個人情報　生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの(他の情報と照合することができ、それにより特定の個人を識別することができることとなるものを含む。)をいう。

(2)　保有個人情報　機構の役員又は職員が職務上作成し、又は取得した個人情報であって、役員又は職員が組織的に利用するものとして、機構が保有しているものをいう。ただし、独立行政法人等の保有する情報の公開に関する法律(平成13年法律第140号)第2条第2項に規定する法人文書(同項第3号に掲げるものを含む。以下単に「法人文書」という。)に記録されているものに限る。

(3)　個人情報ファイル　保有個人情報を含む情報の集合物であって、次に掲げるものをいう。

イ　一定の事務の目的を達成するために特定の保有個人情報を電子計算機を用いて検索することができるように体系的に構成したもの

ロ　イに掲げるもののほか、一定の事務の目的を達成するために氏名、生年月日、その他の記述等により特定の保有個人情報を容易に検索することができるように体系的に構成したもの

(4)　本人　個人情報によって識別される特定の個人をいう。

(5)　情報システム　管理規程第3条第2号に規定する情報システムをいう。

[管理規程第3条第2号]

(6)　部等　管理規程第3条第10号に規定する部等をいう。

[管理規程第3条第10号]

(7)　役職員等　管理規程第3条第11号に規定する役職員等をいう。

[管理規程第3条第11号]

(8)　独立行政法人等　個人情報保護法第2条第1項に規定する独立行政法人等をいう。

第2章　個人情報保護の体制

(個人情報保護管理体制の整備)

第3条　機構における個人情報保護体制を確保するための管理体制は、管理規程第4条に定めるところによる。

[管理規程第4条]

(総括管理責任者等)

第4条　情報セキュリティ総括管理責任者(以下「総括管理責任者」という。)は、管理規程第5条に定めるところにより、機構の保有個人情報の管理に関する事務を総括する。

[管理規程第5条]

2　情報セキュリティ副総括管理責任者(以下「副総括管理責任者」という。)は、管理規程第6条に定めるところにより、総括管理責任者を補佐し、関係事務を総括整理する。

[管理規程第6条]

3　情報セキュリティ主任管理責任者(以下「主任管理責任者」という。)は、管理規程第7条に定めるところにより、各部等の保有個人情報の管理に関する事務を総括する。

[管理規程第7条]

4　情報セキュリティ管理責任者(以下「管理責任者」という。)は、管理規程第8条に定めるところにより、主任管理責任者の命を受けて、当該課における保有個人情報を適切に管理する任に当たる。

[管理規程第8条]

第5条　削除

(個人情報保護委員会)

第6条　機構に個人情報保護委員会(以下「委員会」という。)を置く。

2　委員会の構成は、管理規程第10条第2項に定めるところによる。ただし、委員会の委員は、管理規程第10条第2項第3号に定める情報セキュリティ委員会の委員に加えて、国内事業部長、調達部長、国際協力人材部長及び青年海外協力隊事務局長をもって構成する。

[管理規程第10条第2項] [管理規程第10条第2項第3号]

3　委員会は、必要に応じ、他の役職員等若しくは第三者の専門家(以下「専門家」という。)から委員会の実施する内容に関連し適宜助言を受けること又は専門家を委員会に出席させることができる。

4　委員会は、事務局を情報政策部情報政策課に置き、情報政策課長を事務局長とする。

5　委員会は、定期的及び委員長が必要と認めたとき随時招集し、これを開催する。

6　委員会の実施する内容に関連し、必要に応じ、適宜、専門家による助言を受けるものとする。

7　議事の運営は、委員長がこれにあたる。ただし、委員長が必要と認めるときは、副委員長に委員会の運営の一部を代行させることができる。

8　委員長に事故あるときは、副委員長に委員会の運営を代行させることができる。

9　前2項により副委員長が一部若しくは全部の運営を代行した場合、副委員長は委員会終了後速やかにその結果を委員長に報告するものとする。

(個人情報相談窓口)

第7条　個人情報保護法に基づく開示、訂正、利用停止請求、及びその他相談等に対応する窓口として、個人情報相談窓口を設置する。

2　個人情報相談窓口は、法人文書の開示等の手続きに関する実施細則(平成15年細則(総)第2号)第4条に定める情報公開窓口が兼ねる。

[法人文書の開示等の手続きに関する実施細則(平成15年細則(総)第2号)第4条]

3　副総括管理責任者は、本部の個人情報相談窓口において、開示、訂正、利用停止請求、相談等に対応する個人情報相談窓口担当者を指名する。

第3章　役職員等の責務

(役職員等の責務)

第8条　役職員等は、個人情報保護法の趣旨に則り、関連する法令並びにこの細則等の定め及び第4条に掲げる者の指示に従い、保有個人情報を取り扱わなければならない。

2　役職員等は、以下に掲げる行為を行ってはならない。

(1)　その業務に関して知り得た個人情報の内容をみだりに他人に知らせ、又は不当な目的に利用すること。

(2)　その職権を濫用して、専らその職務の用以外の用に供する目的で個人の秘密に属する事項が記録された文書、図画又は電磁的記録を収集すること。

3　前項の規定は、役職員等がその職を退いた後について準用する。

第4章　個人情報の取扱い

(個人情報の保有の制限等)

第9条　個人情報を保有するに当たっては、法令の定める業務を遂行するため必要な場合に限り、かつ、その利用の目的をできる限り特定しなければならない。

2　前項の規定により特定された利用の目的(以下「利用目的」という。)の達成に必要な範囲を超えて、個人情報を保有してはならない。

3　利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。

4　次に掲げる個人情報は「特定個人情報」とし、その保有等を行わないものとする。ただし、明示的な本人の同意又は法令に特別の規定がある場合、司法手続上必要不可欠である場合、その他個人情報を取り扱う事務の目的を達成するために当該個人情報が必要かつ欠くことができない場合は、この限りではない。

(1)　思想、信条及び宗教に関する事項

(2)　人種、民族、門地、本籍地(所在都道府県に関する情報を除く。)、身体、精神障害、犯罪歴その他社会的差別の原因となる事項

(3)　勤労者の団結権、団体交渉及びその他団体行動の行為に関する事項

(4)　集団示威行為への参加、請願権の行使その他の政治的権利の行使に関する事項

(5)　保健医療及び性生活に関する事項

(利用目的の明示)

第10条　本人から直接書面(電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られる記録(以下「電磁的記録」という。)を含む。)に記録された当該本人の個人情報を取得するときは、次に掲げる場合を除き、あらかじめ、本人に対し、その利用目的を明示しなければならない。

(1)　人の生命、身体又は財産の保護のために緊急に必要があるとき。

(2)　利用目的を本人に明示することにより、本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがあるとき。

(3)　利用目的を本人に明示することにより、国の機関、独立行政法人等又は地方公共団体が行う事務又は事業の適正な遂行に支障を及ぼすおそれがあるとき。

(4)　取得の状況からみて利用目的が明らかであると認められるとき。

(適正な取得)

第11条　役職員等は、偽りその他不正の手段により個人情報を取得してはならない。

(正確性の確保)

第12条　役職員等は、利用目的の達成に必要な範囲内で、保有個人情報が過去又は現在の事実と合致するよう努めなければならない。

2　役職員等は、保有個人情報の内容に誤り等を発見した場合には、管理責任者の指示に従い、訂正等を行う。

(アクセス制限)

第13条　管理責任者は、保有個人情報の秘匿性等その内容に応じて、当該保有個人情報にアクセスする権限を有する者を、その利用目的を達成するために必要最小限の役職員等に限る。

2　アクセス権限を有しない役職員等は、保有個人情報にアクセスしてはならない。

3　アクセス権限を有する役職員等であっても、業務上の目的以外の目的で保有個人情報にアクセスしてはならない。

(複製等の制限)

第14条　役職員等は、業務上の目的で保有個人情報を取り扱う場合であっても、次に掲げる行為については、管理責任者の指示に従い行う。

(1)　保有個人情報の複製

(2)　保有個人情報の送信

(3)　保有個人情報が記録されている媒体の外部への送付又は持出し

(4)　その他保有個人情報の適切な管理に支障を及ぼすおそれのある行為

(媒体の管理)

第15条　役職員等は、管理責任者の指示に従い、保有個人情報が記録されている媒体を定められた場所に保管するとともに、必要があると認めるときは、施錠等を行う。

第16条　役職員等は、保有個人情報又は保有個人情報が記録されている媒体(端末及びサーバに内蔵されているものを含む。)が不要となった場合には、管理責任者の指示に従い、当該保有個人情報の復元又は判読が不可能な方法により当該情報の消去又は当該媒体の廃棄を行う。

(利用目的外の利用及び提供)

第17条　役職員等は、法令に基づく場合を除き、利用目的以外の目的のために保有個人情報を利用し、又は提供してはならない。

2　前項の規定にかかわらず、管理責任者が次の各号のいずれかに該当すると認めるときは、役職員等は利用目的以外の目的のために保有個人情報を利用することができる。ただし、保有個人情報を利用目的以外の目的のために利用することによって、本人又は第三者の権利利益を不当に侵害するおそれがあると認められるときは、この限りでない。

(1)　本人の同意があるとき。

(2)　法令の定める業務の遂行に必要な限度で保有個人情報を内部で利用する場合であって、当該保有個人情報を利用することについて相当な理由のあるとき。

3　前項の規定に基づき、保有個人情報を利用する場合には、管理責任者は、個人の権利利益を保護するため特に必要があると認めるときは、保有個人情報の利用目的以外の目的のための機構内における利用を特定の役員又は職員に限るものとする。

4　第1項の規定にかかわらず、主任管理責任者が次の各号のいずれかに該当すると認めるときは、管理責任者は利用目的以外の目的のために保有個人情報を提供することができる。ただし、保有個人情報を利用目的以外の目的のために提供することによって、本人又は第三者の権利利益を不当に侵害するおそれがあると認められるときは、この限りでない。

(1)　本人の同意があるとき、又は本人に提供するとき。

(2)　行政機関(行政機関の保有する個人情報の保護に関する法律(平成15年法律第58号)第2条第1項に規定する行政機関をいう。以下同じ。)、他の独立行政法人等又は地方公共団体に保有個人情報を提供する場合において、保有個人情報の提供を受ける者が、法令の定める事務又は業務の遂行に必要な限度で提供に係る個人情報を利用し、かつ、当該個人情報を利用することについて相当な理由のあるとき。

(3)　前2号に掲げる場合のほか、専ら統計の作成又は学術研究の目的のために保有個人情報を提供するとき、本人以外の者に提供することが明らかに本人の利益になるとき、その他保有個人情報を提供することについて特別の理由のあるとき。

5　前2項の規定は、保有個人情報の利用又は提供を制限する他の法令の規定の適用を妨げるものではない。

(保有個人情報の利用目的外の提供を受ける者に対する措置要求)

第18条　管理責任者は、前条第4項第2号又は第3号の規定に基づき、行政機関及び独立行政法人等以外の者に保有個人情報を提供する場合には、原則として、提供先における利用目的、利用する業務の根拠法令、利用する記録範囲及び記録項目、利用形態等について書面を取り交わすものとする。

2　管理責任者は、前条第4項第2号又は第3号の規定に基づき、行政機関及び独立行政法人等以外の者に保有個人情報を提供する場合には、安全確保の措置を要求しなければならない。必要があると認めるときは、提供前又は随時に実地の調査等を行い措置状況を確認し、その結果を記録するとともに、改善要求等の措置を講ずるものとする。

3　管理責任者は、前条第4項第2号の規定に基づき、行政機関又は独立行政法人等に保有個人情報を提供する場合において、必要があると認めるときは、前2項に規定する措置を講ずるものとする。第1項の書面の取り交わしを行わない場合は、管理責任者は、保有個人情報を提供したことについて、記録しなければならない。

(保有個人情報の取扱状況の記録)

第19条　管理責任者は、保有個人情報の秘匿性等その内容に応じて、台帳等を整備して、当該保有個人情報の利用及び保管等の取扱いの状況について記録する。

第5章　情報システム等における安全の確保等

(情報システム等における安全の確保等)

第20条　情報システムにおける安全の確保等及び保有個人情報を取り扱う基幹的なサーバ等の機器を設置する室等の安全管理に関しては、管理規程及び情報セキュリティ管理細則（平成20年細則（情）第39号）の定めるところによる。その際は保有個人情報の秘匿性等重要度に応じて必要な措置を講ずるものとする。

[管理規程] [情報セキュリティ管理細則（平成20年細則（情）第39号）]

第6章　保有個人情報の取扱いに係る業務の委託等

(業務の委託等)

第21条　主任管理責任者は、保有個人情報の取扱いに係る業務を外部に委託する場合には、個人情報の適切な管理を行う能力を有しない者を選定することがないよう、必要な措置を講ずるものとする。

2　主任管理責任者は、保有個人情報の取扱いに係る業務を外部に委託する場合には、契約書に、次に掲げる事項を明記しなければならない。

(1)　個人情報の安全確保の措置

(2)　個人情報に関する秘密保持等の義務

(3)　再委託の制限又は条件に関する事項

(4)　個人情報の複製等の制限に関する事項

(5)　個人情報の漏えい等の事案の発生時における対応に関する事項

(6)　委託終了時における個人情報の消去及び媒体の返却に関する事項

(7)　前各号に違反した場合における契約の解除権

(8)　委託先における個人情報の管理状況に関する機構の検査権

3　管理責任者は、委託先における責任者等の管理体制、個人情報の管理の状況についての検査に関する事項等の必要な事項について書面で確認するものとする。

4　管理責任者は、必要があると認めるときは、委託前又は随時に実地の調査等を行い措置状況を確認し、その結果を記録するとともに、改善要求等の措置を講ずるものとする。

5　派遣先責任者(労働者派遣事業の適正な運営の確保及び派遣労働者の就業条件の整備等に関する法律(昭和60年法律第88条)第41条に規定する者をいう。)は、保有個人情報の取扱いに係る業務を派遣労働者によって行わせる場合には、労働者派遣契約書に秘密保持義務等、個人情報の取扱いに関する事項を明記しなければならない。

第7章　個人情報ファイル簿の作成及び公表

(個人情報ファイル簿の作成及び公表)

第22条　第6条第4項における事務局(以下この条において「事務局」という。)は、機構が個人情報ファイル(第7項各号に掲げるもの及び第8項の規定により個人情報ファイル簿に掲載しないものを除く。以下第2項において同じ。)を保有するに至ったときは、それぞれ第6項に掲げる事項を記載した帳簿(以下「個人情報ファイル簿」という。)を直ちに作成しなければならない。

[第6条第4項]

2　個人情報ファイル簿は、機構が保有している個人情報ファイルを通じて一の帳簿とする。

3　個人情報ファイル簿に記載すべき事項に変更があったときは、当該個人情報を管理する管理責任者は直ちに事務局にその旨報告しなければならない。事務局は、報告があったときは直ちに、当該個人情報ファイル簿を修正しなければならない。

4　機構が個人情報ファイル簿に掲載した個人情報ファイルの保有をやめたとき、又はその個人情報ファイルが第7項第7号に該当するに至ったときは、当該個人情報を管理する管理責任者は、遅滞なく、事務局に報告しなければならない。事務局は、報告があったときは、遅滞なく、当該個人情報ファイルについての記載を消除しなければならない。

5　事務局は、個人情報ファイル簿を作成したときは、遅滞なく、これを機構に備えて置き一般の閲覧に供するとともに、インターネットの利用その他の情報通信の技術を利用する方法により公表しなければならない。

6　事務局は、機構が保有している個人情報ファイルについて、それぞれ次に掲げる事項を記載した個人情報ファイル簿を作成し、公表しなければならない。

(1)　個人情報ファイルの名称

(2)　機構の名称及び個人情報ファイルが利用に供される事務をつかさどる組織の名称

(3)　個人情報ファイルの利用目的

(4)　個人情報ファイルに記録される項目(以下この条において「記録項目」という。)及び本人(他の個人の氏名、生年月日その他の記述等によらないで検索し得る者に限る。次項第7号において同じ。)として個人情報ファイルに記録される個人の範囲(以下この条において「記録範囲」という。)

(5)　個人情報ファイルに記録される個人情報(以下この条において「記録情報」という。)の収集方法

(6)　記録情報を機構以外のものに経常的に提供する場合には、その提供先

(7)　次条に定める請求を受理する組織の名称及び所在地

(8)　個人情報保護法第27条第1項ただし書又は第36条第1項ただし書に該当するときは、その旨

(9)　第2条第3号イに係る個人情報ファイル又は同号ロに係る個人情報ファイルの別

[第2条第3号]

(10)　第2条第3号イに係る個人情報ファイルについて、次項第10号に規定する個人情報ファイルがあるときは、その旨

[第2条第3号]

7　前項の規定は、次に掲げる個人情報ファイルについては、適用しない。

(1)　役員若しくは職員又はこれらの職にあった者に係る個人情報ファイルであって、専らその人事、給与若しくは福利厚生に関する事項又はこれらに準ずる事項を記録するもの(職員の採用試験に関する個人情報ファイルを含む。)

(2)　専ら試験的な電子計算機処理の用に供するための個人情報ファイル

(3)　前項の規定による公表に係る個人情報ファイルに記録されている記録情報の全部又は一部を記録した個人情報ファイルであって、その利用目的、記録項目及び記録範囲が当該公表に係るこれらの事項の範囲内のもの

(4)　一年以内に消去することとなる記録情報のみを記録する個人情報ファイル

(5)　資料その他の物品若しくは金銭の送付又は業務上必要な連絡のために利用する記録情報を記録した個人情報ファイルであって、送付又は連絡の相手方の氏名、住所その他の送付又は連絡に必要な事項のみを記録するもの

(6)　役員又は職員が学術研究の用に供するためその発意に基づき作成し、又は取得する個人情報ファイルであって、記録情報を専ら当該学術研究の目的のために利用するもの

(7)　本人の数が千人に満たない個人情報ファイル

(8)　次のいずれかに該当する者に係る個人情報ファイルであって、専らその人事、給与若しくは福利厚生に関する事項又はこれらに準ずる事項を記録するもの(イに掲げる者の採用のための試験に関する個人情報ファイルを含む。)

イ　行政機関が雇い入れる者であって国以外のもののために労務に服するもの

ロ　イに掲げる者であった者

ハ　第1号に規定する者又はイ若しくはロに掲げる者の被扶養者又は遺族

(9)　第1号に規定する者及び前号イからハまでに掲げる者を併せて記録する個人情報ファイルであって、専らその人事、給与若しくは福利厚生に関する事項又はこれらに準ずる事項を記録するもの

(10)　第2条第3号ロに係る個人情報ファイルで、その利用目的及び記録範囲が第6項の規定による公表に係る第2条第3号イに係る個人情報ファイルの利用目的及び記録範囲の範囲内であるもの

[第2条第3号] [第2条第3号]

8　第6項の規定にかかわらず、事務局は、記録項目の一部若しくは同項第5号若しくは第6号に掲げる事項を個人情報ファイル簿に記載し、又は個人情報ファイルを個人情報ファイル簿に掲載することにより、利用目的に係る事務又は事業の性質上、当該事務又は事業の適正な遂行に著しい支障を及ぼすおそれがあると認めるときは、その記録項目の一部若しくは事項を記載せず、又はその個人情報ファイルを個人情報ファイル簿に掲載しないことができる。

第8章　保有個人情報の開示、訂正及び利用停止

(開示、訂正及び利用停止)

第23条　機構は、本人(未成年者又は成年被後見人が本人の場合は、その法定代理人を含む。)から保有個人情報の開示、訂正又は利用停止の請求を受けた場合は、個人情報保護法の趣旨に則り、当該請求への対応を行う。

2　本人からの請求の受理その他開示等の実施に必要な手続は、別途定めるものとする。

第9章　安全管理上の問題への対応

(事案の報告、再発防止措置及び公表等)

第24条　機構は、保有個人情報の漏えい等安全管理の上で問題となる事案若しくは事案の恐れのある事実（以下「事案等」）が発生した場合又は発見された場合は、必要な措置を講じる。

2　役職員等は、事案等を直ちに主任管理責任者に報告しなければならない。

3　主任管理責任者は、事案等の報告があったときは、速やかに原因を分析し、副総括管理責任者に報告する。副総括管理責任者は、当該事案等が機構の個人情報安全管理等に重大な影響を及ぼすおそれがあると判断した場合は、総括管理責任者に報告しなければならない。

4　総括管理責任者は、前項の規定による報告を受けたときは当該事案等への対策案を委員会の議に付し、必要な対策措置を講ずるものとする。

5　総括管理責任者は、事案の内容、影響等に応じて、事実関係及び再発防止策の公表、当該事案に係る本人への対応等の措置を講ずるものとする。

第10章　教育研修

第25条　総括管理責任者は、保有個人情報の取扱いに従事する役職員等に対し、保有個人情報の取扱いについて理解を深め、個人情報の保護に関する意識の高揚を図るための啓発その他必要な教育研修を行う。

2　総括管理責任者は、保有個人情報を取り扱う情報システムの管理に関する事務に従事する役職員等に対し、保有個人情報の適切な管理のために、情報システムの管理、運用及びセキュリティ対策に関して必要な教育研修を行う。

3　管理責任者は、当該課の職員に対し、保有個人情報の適切な管理のために、総括管理責任者の実施する教育研修への参加の機会を付与する等の必要な措置を講ずるものとする。

第11章　点検の実施

第26条　主任管理責任者は、自ら管理責任を有する保有個人情報の記録媒体、処理経路、保管方法等について、定期に又は随時に点検を行う。

2　主任管理責任者は、副総括管理責任者に前項の点検結果を報告し、改善措置を提案する。

3　副総括管理責任者は、前項に定める提案の内容に基づき、必要と判断する場合は、個人情報保護関連規程の改正の手続をとらなければならない。業務上重要な影響を及ぼすと認められるものについては、改正案を委員会の議に付さなければならない。

第12章　雑則

第27条　この細則の実施に必要な手続その他の細目は、情報政策部長が別に定める。

この細則は、平成17年4月1日から施行する。

附　則(平成20年4月1日細則(総)第5号)

1　この細則は、平成20年4月1日から施行する。

2　この細則の施行に伴い、第1条から第27条までの規定により改正される各細則の規定により、当該各細則の実施に係る細目の決定を理事長から授権又は委任される者(以下「授権者」という。)が異なることとなる場合であって、この細則の施行の際、現に制定済の準内部規程等の細目(以下「準内部規程等」という。)があるときは、当該準内部規程等に相当する準内部規程等が新たな授権者により別途制定されるまでの間、現に制定済の準内部規程等を当該新たな授権者により制定されたものとみなす。

附　則(平成20年11月14日細則（情）第51号)

この細則は、平成20年11月14日から施行し、平成20年10月1日から適用する。

附　則(平成21年3月16日細則(情)第8号)

この細則は、平成21年3月16日から施行する。

附　則(平成22年6月28日細則(情)第33号)

この細則は、平成22年6月28日から施行する。