国立研究開発法人 国際農林水産業研究センター | JIRCAS

国立研究開発法人国際農林水産業研究センターにおける個人情報の適正な取扱いのための措置に関する規程

16国研セ第3-118号
平成17年 3月28日
最終改正 27国研セ第16032246号
平成28年 3月31日

      第1章 総則
  (目的)
第1条 この規程は、独立行政法人等の保有する個人情報の保護に関する法律(平成15年法律第59号。以下「法」という。)及び独立行政法人等の保有する個人情報の適切な管理のための措置に関する方針(平成16年9月14日総管情第85号総務省行政管理局長通知)に基づき、国立研究開発法人国際農林水産業研究センター(以下「センター」という。)における個人情報の適正な取扱いの実施を確保するために必要な措置を定めることを目的とする。
2 保有個人情報の適切な管理に当たっては、所管する行政機関と緊密に連携して行うものとする。

  (定義)
第2条 この規程における用語の意義は、法第2条に定めるところによる。
2 次の各号に掲げる用語の意義は、当該各号に定めるところによる。
(1)本所 茨城県つくば市に所在するセンターをいう。
(2)拠点 国立研究開発法人国際農林水産業研究センターの組織に関する規程(13国研セ第4-25号。以下「組織規程」という。)第4条第2項に規定する熱帯・島嶼研究拠点をいう。

      第2章 管理体制
  (総括個人情報保護管理者)
第3条 センターに、総括個人情報保護管理者を1人置き、総務部長をもって充てる。
2 総括個人情報保護管理者は、センターにおける次に掲げる事務を行う。
(1)個人情報の適正な取扱いに関する事務を総括すること。
(2)個人情報の管理等に関する規程類の整備に関すること。
(3)個人情報の適正な取扱いについての指導監督等に関すること。
(4)法第11条に規定する個人情報ファイル簿の整備に関すること。
(5)その他個人情報の適正な取扱いに関すること。

  (個人情報保護管理者)
第4条 本所及び拠点に個人情報保護管理者を1人置き、本所にあっては庶務課長、拠点にあっては総務課長をもって充てる。
2 個人情報保護管理者は、本所又は拠点における次に掲げる事務を行う。
(1)保有個人情報の把握に関すること。
(2)保有個人情報に係る台帳の作成に関すること。
(3)職員に対する個人情報の適正な取扱いについての指導監督に関すること。
(4)その他個人情報の適正な取扱いに関すること。
3 個人情報保護管理者は、保有個人情報を情報システムで取り扱う場合は、当該情報シ ステムの管理者と連携して、その任に当たるものとする。

  (個人情報保護管理担当者)
第5条 本所及び拠点に個人情報保護管理担当者を1人置き、本所にあっては庶務課課長補佐とし、拠点にあっては庶務係長とする。
2 個人情報保護管理担当者は、それぞれの個人情報保護管理者を補佐し、保有個人情報の管理に関する事務を担当する。

  (監査責任者)
第6条 センターに、監査責任者を置き、監事をもって充てる。
2 監査責任者は、保有個人情報の管理の状況について監査する任に当たる。

  (個人情報の適正な取扱いのための会議)
第7条 総括個人情報保護管理者は、保有個人情報の適正な取扱いに係る重要事項の決定、連絡調整等を行うため必要があると認めるときは、関係職員を構成員とする会議を定期に又は随時に開催するものとする。

      第3章 教育研修
  (教育研修)
第8条 総括個人情報保護管理者は、保有個人情報の取扱いに従事する職員(派遣労働者を含む。以下同じ。)に対し、保有個人情報の取扱いについて理解を深め、個人情報の保護に関する意識の高揚を図るための啓発その他必要な教育研修を行うものとする。
2 総括個人情報保護管理者は、保有個人情報を取り扱う情報システムの管理に関する事務に従事する職員に対し、保有個人情報の適正な取扱いのために、情報システムの管理、運用及びセキュリティ対策に関して必要な教育研修を行うものとする。
3 総括個人情報保護管理者は、個人情報保護管理者及び個人情報保護管理担当者に対し、保有個人情報の適正な取扱いのための教育研修を実施するものとする。
4 個人情報保護管理者は、関係職員に対し、保有個人情報の適正な取扱いのために、総括個人情報保護管理者の実施する教育研修への参加の機会を付与する等の必要な措置を講ずるものとする。


      第4章 職員の責務
  (職員の責務)
第9条 職員は、法の趣旨に則り、関連する法令及び規程等の定め並びに総括個人情報保護管理者、個人情報保護管理者及び個人情報保護管理担当者の指示に従い、保有個人情報を適正に取り扱わなければならない。

第10条 職員は、その業務に関して知り得た個人情報の内容をみだりに他人に知らせ、又は不当な目的に利用してはならない。その職を退いた後においても同様とする。

      第5章 個人情報の取得及び利用
  (個人情報の取得)
第11条 職員は、個人情報の取得に当たっては、適正な方法で行わなければならず、職務権限を濫用して、専らその職務の用以外の用に供する目的で個人情報を取得してはならない。

  (個人情報の保有の制限等)
第12条 職員は、個人情報を保有するに当たっては、法令の定める所掌事務を遂行するため必要な場合に限り、かつ、その利用の目的をできる限り特定しなければならない。
2 職員は、前項の規定により特定された利用の目的(以下「利用目的」という。)の達成に必要な範囲を超えて、個人情報を保有してはならない。
3 職員は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。

  (利用目的の明示)
第13条 職員は、本人から直接書面(電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られる記録(以下「電磁的記録」という。)を含む。)に記録された当該本人の個人情報を取得するときは、次に掲げる場合を除き、あらかじめ、本人に対し、その利用目的を明示しなければならない。
(1)人の生命、身体又は財産の保護のために緊急に必要があるとき。
(2)利用目的を本人に明示することにより、本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがあるとき。
(3)利用目的を本人に明示することにより、国の機関、独立行政法人等、地方公共団体又は地方独立行政法人(地方独立行政法人法(平成15年法律第118号)第2条第1項に規定する地方独立行政法人をいう。以下同じ。)が行う事務又は事業の適正な遂行に支障を及ぼすおそれがあるとき。
(4)取得の状況からみて利用目的が明らかであると認められるとき。


  (利用及び提供の制限)
第14条 職員は、法令に基づく場合を除き、利用目的以外の目的のために保有個人情報を自ら利用し、又は提供してはならない。
2 前項の規定にかかわらず、職員は、次の各号のいずれかに該当すると認められるときは、利用目的以外の目的のために保有個人情報を自ら利用し、又は提供することができる。ただし、保有個人情報を利用目的以外の目的のために自ら利用し、又は提供することによって、本人又は第三者の権利利益を不当に害するおそれがあると認められるとき、若しくは他の法令の規定により保有個人情報の利用又は提供が制限されているときは、この限りでない。
(1)本人の同意があるとき、又は本人に提供するとき。
(2)法令の定める業務の遂行に必要な限度で保有個人情報を内部で利用する場合であって、当該保有個人情報を利用することについて相当な理由のあるとき。
(3)行政機関(行政機関の保有する個人情報の保護に関する法律(平成15年法律第58号。)第2条第1項に規定する行政機関をいう。以下同じ)、他の独立行政法人等、地方公共団体又は地方独立行政法人に保有個人情報を提供する場合において、保有個人情報の提供を受ける者が、法令の定める事務又は業務の遂行に必要な限度で提供に係る個人情報を利用し、かつ、当該個人情報を利用することについて相当な理由のあるとき。
(4)専ら統計の作成又は学術研究の目的のために保有個人情報を提供するとき、本人以外の者に提供することが明らかに本人の利益になるとき、その他保有個人情報を提供することについて特別の理由があるとき。
3 個人情報保護管理者は、前項第3号又は第4号の規定に基づき、行政機関及び他の独立行政法人等以外の者に保有個人情報を提供する場合には、次に掲げる事項を記載した書面を原則として取り交わすものとする。ただし、同項第4号に規定する明らかに本人の利益になるときであって、緊急やむを得ないときはこの限りでない。
(1)保有個人情報ファイル等の名称
(2)提供先の利用目的
(3)提供先の利用する業務の根拠法令
(4)提供先の利用する記録範囲及び記録項目
(5)提供先の利用形態
(6)提供先の利用期間
(7)利用後の廃棄又は返還等の方法
(8)提供先の利用する組織の名称(部、課、係等の名称)
4 個人情報保護管理者は、第2項第3号又は第4号の規定に基づき行政機関及び他の独立行政法人等以外の者に保有個人情報を提供する場合には、安全確保の措置を要求するとともに、必要があると認めるときは、提供前又は随時に実地の調査等を行い、措置状況を確認してその結果を記録するとともに、改善要求等の措置を講ずるものとする。
5 個人情報保護管理者は、第2項第3号の規定に基づき行政機関又は他の独立行政法人等に保有個人情報を提供する場合において、必要があると認めるときは、前2項に規定する措置を講ずるものとする。

  (アクセスの制限)
第15条 個人情報保護管理者は、保有個人情報の秘匿性等その内容に応じて、当該保有個人情報にアクセス(紙等に記録されたものであるか、電子計算機処理に係るものであるかを問わず、保有個人情報に接する行為をいう。以下同じ。)する権限を有する職員及びその内容を、当該職員が業務を行う上で必要最小限の範囲に限定するものとする。
2 アクセス権限を有しない職員は、保有個人情報にアクセスしてはならない。
3 職員は、アクセスの権限を有する場合であっても、業務上の目的以外の目的で保有個人情報にアクセスしてはならない。

  (複製等の制限)
第16条 個人情報保護管理者は、職員が業務上の目的で保有個人情報を取り扱う場合であっても、次に掲げる行為については、当該保有個人情報の秘匿性等その内容に応じて、当該行為を行うことができる場合を限定するものとし、職員は、個人情報保護管理者の指示に従ってこれを行うものとする。
(1)保有個人情報の複製
(2)保有個人情報の送信
(3)保有個人情報が記録されている媒体の外部への送付又は持ち出し
(4)その他保有個人情報の適正な管理に支障を及ぼすおそれのある行為

  (誤りの訂正等)
第17条 職員は、保有個人情報の内容に誤り等を発見した場合には、個人情報保護管理者に報告するとともに、その指示に従い、必要な訂正等を行うものとする。

  (媒体の管理等)
第18条 職員は、個人情報保護管理者の指示に従い、保有個人情報が記録されている媒体を定められた場所に保管するとともに、必要があると認めるときは、耐火金庫への保管、施錠等を行うものとする。

  (廃棄等)
第19条 職員は、保有個人情報又は保有個人情報が記録されている媒体(電子計算機及びサーバーに内蔵されているものを含む。)が不要となった場合には、個人情報保護管理者の指示に従い、当該保有個人情報の復元又は判読が不可能な方法により当該情報の消去又は当該媒体の廃棄を行う。


      第6章 保有個人情報の取扱状況の記録等
  (台帳)
第20条 個人情報保護管理者は、保有個人情報の漏えい等の防止その他適正な取扱いのため、保有個人情報台帳を整備し、当該保有個人情報の秘匿性等その内容に応じて、当該保有個人情報の利用及び保管等の取扱い状況について記録する。   

  (個人情報ファイル簿の作成及び公表)
第21条 個人情報保護管理者は、新たに保有個人情報を取得したときは、保有個人情報台帳に記録するとともに、遅滞なく総括個人情報保護管理者に報告するものとする。
2 総括個人情報保護管理者は、保有個人情報のうち、個人情報ファイルに該当するものについては、遅滞なく法第11条第1項第1号から第9号の事項を記載した個人情報ファイル簿を作成し、当該個人情報ファイルの利用及び保管等の取扱いの状況を記録するものとする。 
3 総括個人情報保護管理者は、前項により作成した個人情報ファイル簿を、一般の閲覧に供するため、センターに備え置くとともに、インターネット等情報通信の技術を利用して公表しなければならない。

      第7章 情報システムにおける安全の確保等
  (安全確保等)
第22条 個人情報保護管理者は、保有個人情報(情報システムで取り扱うものに限る。以下この章(第27条を除く。)において同じ。)の漏えい等の防止その他の保有個人情報の適切な管理のため、情報システム管理者の協力を得て、次に掲げる措置を講ずるものとする。
(1)保有個人情報の秘匿性等その内容に応じて、パスワード等(パスワード、ICカード、生体情報等をいう。以下同じ。)を使用して権限を識別する機能(以下「認証機能」という。)を設定する等のアクセス制御のために必要な措置
(2)前号の認証機能を設定する等のアクセス制御のために必要な措置を講ずる場合におけるパスワード等の管理に関する定めの整備(その定期又は随時の見直しを含む。)及びパスワード等の読取防止等を行うために必要な措置
(3)保有個人情報の秘匿性等その内容に応じて、当該保有個人情報へのアクセス状況を記録し、その記録(以下「アクセス記録」という。)を一定の期間保存し、及びアクセス記録を定期的に分析するために必要な措置
(4)アクセス記録の改ざん、窃取又は不正な消去の防止のために必要な措置
(5)保有個人情報の秘匿性等その内容及びその量に応じて、当該保有個人情報への不適 切なアクセスの監視のため、保有個人情報を含むか又は含むおそれがある一定量以上 の情報が情報システムからダウンロードされた場合には警告表示がなされる機能の設 定、当該設定の定期的確認等の必要な措置
(6)保有個人情報の秘匿性等その内容に応じて、情報システムの管理者権限の特権を不 正に窃取された際の被害の最小化及び内部からの不正操作等の防止のため、当該特権 を最小限とする等の必要な措置
(7)保有個人情報を取り扱う情報システムのうち外部からの不正アクセスを防止するためのファイアウォールの設定による経路制御等の措置
(8)不正プログラムによる保有個人情報の漏えい、滅失又は毀損の防止のためのソフトウェアに関する公開された脆弱性の解消、把握された不正プログラムの感染防止等に必要な措置(導入したソフトウェアを常に最新の状態に保つことを含む。)       
(9)保有個人情報の秘匿性等その内容に応じて、暗号化のために必要な措置
(10)保有個人情報の重要度に応じて、バックアップを作成し、分散保管するために必要な措置
(11)保有個人情報の秘匿性等その内容に応じて、当該保有個人情報の漏えい、滅失又は毀損の防止のため、スマートフォン、USBメモリ等の記録機能を有する機器・媒体の情報システム端末等への接続の制限(当該機器の更新への対応を含む。)等の必要な措置
2 職員は、保有個人情報について、一時的に加工等の処理を行うため、複製等を行う場合には、その対象を最小限に限るものとし、処理終了後は不要となった情報を速やかに消去するものとする。この場合において、個人情報保護管理者は、当該保有個人情報の秘匿性等その内容に応じて、随時、消去等の実施状況を重点的に確認するものとする。
3 職員は、第1項第9号により講じられた暗号化のために必要な措置を踏まえ、その処理する保有個人情報について、当該保有個人情報の秘匿性等その内容に応じて、適切に暗号化を行うものとする。

  (情報システム設計書等の管理)
第23条 個人情報保護管理者は、保有個人情報に係る情報システムの設計書、構成図等の文書を保管、複製、廃棄等する場合には、外部に知られることがないよう、情報システム管理者等の協力を得て、必要な措置を講ずるものとする。

  (端末の限定等)
第24条 個人情報保護管理者は、情報システム管理者の協力を得て、保有個人情報の秘匿性等その内容に応じて、その処理を行う情報システムを構築する電子計算機(以下「端末」という。)を限定するために必要な措置を講ずるものとする。
2 個人情報保護管理者は、情報システム管理者及び庁舎等を管理する者の協力を得て、端末の盗難又は紛失の防止のため、端末の固定、執務室の施錠等の必要な措置を講ずるものとする。

  (端末の持ち出し等)
第25条 職員は、次の各号のいずれかに該当するときでなければ、端末をその保管している施設の外部に持ち出してはならない。
(1)業務上、外部において当該業務を遂行する必要があると当該保有個人情報を管理する個人情報保護管理者が認める場合
(2)その他保有個人情報を管理する個人情報保護管理者が特に必要であると認める場 合
2 職員は、情報システム管理者が管理する端末以外の電子計算機を外部から持ち込み、個人情報の処理を行う情報システムに接続してはならない。

第26条 情報システムに接続されていない電子計算機については、第22条及び前2条の規定に準じて取り扱うものとする。

  (入力情報の照合等)
第27条 職員は、情報システム等で取り扱う保有個人情報の重要度に応じて、入力原票と入力内容との照合、処理前後の当該保有個人情報の内容の確認、既存の保有個人情報との照合等を行うものとする。

  (第三者の閲覧防止)
第28条 職員は、端末の使用に当たっては、保有個人情報が第三者に閲覧されることがないよう、使用状況に応じて情報システムからログオフを行うことを徹底する等の必要な措置を講ずるものとする。

      第8章 業務の委託
  (業務の委託等)
第29条 個人情報保護管理者は、個人情報又は保有個人情報の取扱い及び情報システム等の安全確保に係る業務を外部に委託する場合には、個人情報の適切な管理を行う能力を有しない者を選定することがないよう、必要な措置を講ずるものとする。
2 前項により業務を委託する場合は、次に掲げる事項を契約書に明記するものとする。
(1)個人情報に関する秘密保持、目的外利用の禁止等の義務に関する事項
(2)再委託の制限又は事前承認等再委託に係る条件に関する事項
(3)個人情報の複製等の制限に関する事項
(4)個人情報の漏えい等の事案の発生時における対応に関する事項
(5)委託終了時における個人情報の消去及び媒体の返却に関する事項
(6)違反した場合における契約解除、損害賠償責任その他必要な事項
3 個人情報保護管理者は、委託先に対し、個人情報の取扱いに関する責任者及び業務従事者の管理及び実施体制、個人情報の管理状況の検査に関する事項等を記載した書面を提出させ、確認するものとする。
4 保有個人情報が記録されている媒体又は情報システム等の廃棄を委託する場合は、第2項各号に掲げる事項のほか、当該記録媒体等に記録された情報が復元又は判読できない方法を用いることを定めて契約するものとする。
5 保有個人情報の取扱いに係る業務を外部に委託する場合には、委託する保有個人情報の秘匿性等その内容に応じて、委託先における個人情報の管理の状況について、年1回以上の定期的検査等により確認するものとする。
6 委託先において、保有個人情報の取扱いに係る業務が再委託される場合には、委託先に第2項及び第3項の措置を講じさせるとともに、再委託される業務に係る保有個人情報の秘匿性等その内容に応じて、委託先を通じて又は委託元自らが前項の措置を実施するものとする。保有個人情報の取扱いに係る業務について再委託先が再々委託を行う場合以降も同様とする。
7 保有個人情報の取扱いに係る業務を派遣労働者によって行わせる場合には、労働者派遣契約書に秘密保持義務等個人情報の適正な取扱いに関する事項を明記するものとする。

      第9章 情報システム室等の安全管理
  (入退室の管理)
第30条 個人情報保護管理者は、保有個人情報を取り扱う基幹的なサーバー等の機器を設置する室その他の区域(以下「情報システム室等」という。)の安全管理のため、情報システム管理者等の協力を得て、情報システム室等に立ち入る権限を有する者を定めるとともに、用件の確認、入退の記録、部外者についての識別化、部外者が立ち入る場合の職員の立会い又は監視設備による監視、外部電磁的記録媒体等の持込み、利用及び持ち出しの制限又は検査等の措置を講ずるものとする。また、保有個人情報を記録する媒体又は情報システム設計書等を保管する場所(以下「保管場所」という。)においても、必要があると認めるときは、同様の措置を講ずるものとする。
2 個人情報保護管理者は、必要があると認めるときは、情報システム管理者等の協力を得て、情報システム室等の出入口の特定化による入退の管理の容易化、所在表示の制限等の措置を講ずるものとする。
3 個人情報保護管理者は、情報システム室等及び保管場所の入退の管理について、必要があると認めるときは、情報システム管理者等の協力を得て、立入りに係る認証機能を設定し、及びパスワード等の管理に関する定めの整備(その定期又は随時の見直しを含む。)、パスワード等の読取防止等を行うために必要な措置を講ずるものとする。
4 個人情報保護管理者は、外部からの不正な侵入に備え、情報システム管理者等の協力を得て、情報システム室等に施錠装置、警報装置及び監視設備の設置等の措置を講ずるものとする。
5 個人情報保護管理者は、災害等に備え、情報システム管理者等の協力を得て、情報システム室等に、耐震、防火、防煙及び防水等の必要な措置を講ずるとともに、サーバー等の機器の予備電源の確保、配線等の損傷防止等の措置を講ずるものとする。

      第10章 安全確保上の問題への対応
  (事案の報告及び再発防止措置)
第31条 保有個人情報の漏えい等安全確保の上で問題となる事案又は問題となる事案の発生のおそれを認識した場合に、その事案等を認識した職員は、直ちに個人情報保護管理者に報告するものとする。
2 前項の規定により報告を受けた個人情報保護管理者は、当該事案が他の個人情報保護管理者が管理するものであるときは、直ちに当該個人情報保護管理者に報告するものとする。
3 個人情報保護管理者は、発生した事案による被害の拡大防止又は復旧等のために必要な措置を速やかに講ずるものとする。ただし、外部からの不正アクセスや不正プログラムの感染が疑われる当該端末等のLANケーブルを抜くなど、被害拡大防止のため直ちに行い得る措置については、直ちに行う(職員に行わせることを含む。)ものとする。
4 個人情報保護管理者は、事案の発生した経緯、被害状況等を調査し、総括個人情報保護管理者に直ちに報告するものとする。ただし、特に重大と認める事案が発生した場合には、直ちに総括個人情報管理者に当該事案の内容等について報告するものとする。
5 前項の規定により報告を受けた総括個人情報保護管理者は、当該事案の内容等に応じて、その内容、経緯、被害状況等を理事長に直ちに報告するものとするとともに、農林水産省(農林水産技術会議事務局)に速やかに情報提供を行うものとする。。
6 個人情報保護管理者は、総括個人情報保護管理者の指示に従い、当該事案の発生原因を分析し、再発防止のために必要な措置を講ずるものとする。なお、当該事案が情報システムに関わるものであるときは、当該情報システムの情報システム管理者の協力を得て措置を講ずるものとする。

  (公表等)
第32条 個人情報保護管理者は、総括個人情報保護管理者の指示に従い、前条の事案について、当該事案の内容、影響等に応じて、事実関係及び再発防止策の公表、当該事案に係る保有個人情報の本人へ対応等の措置を講ずるものとする。 
2 総括個人情報保護管理者は、公表を行う事案については、当該事案の内容、経緯、被害状況等について、速やかに総務省(行政管理局)に情報提供を行うものとする。

      第10章 監査及び点検の実施
  (監査及び点検)
第33条 監査責任者は、保有個人情報の適切な管理を検証するため、第2章から第9章に規定する措置の状況を含む保有個人情報の取扱状況について、定期に及び必要に応じ随時に監査(外部監査を含む。以下同じ。)を行い、その結果を総括個人情報保護管理者に報告するものとする。
2 個人情報保護管理者は、自ら管理責任を有する保有個人情報の取得経過、記録媒体、処理経路及び保管方法等について、定期に及び必要に応じ随時に点検を行い、必要があると認めるときは、その結果を総括個人情報保護管理者に報告するものとする。
3 総括個人情報保護管理者は、第1項の監査又は前項の点検の結果を踏まえ、個人情報の適正な取扱いの確保のための措置について、実効性等の観点から評価し、必要があると認めるときは、その見直し等の措置を講じ、又は個人情報保護管理者に対し、指導等を行うものとする。         

附 則(平成17年3月28日 16国研セ第3-118号)
この規程は、平成17年4月1日から施行する。

附 則(平成18年4月1日 18国研セ第4-58号)
この規程は、平成18年4月1日から施行する。

附 則(平成27年4月1日 26国研セ第15033013号)
この規程は、平成27年4月1日から施行する。

附 則(平成27年10月30日 27国研セ第15102909号)
この規程は、平成27年11月1日から施行する。

附 則(平成28年3月31日 27国研セ第16032246号)
この規程は、平成28年4月1日から施行する。

PDF