調布市保有個人情報の適正な取扱いに関する規程
令和５年３月31日訓令第８号
第１章 総則
（通則）
第１条
保有個人情報の管理については，別に定めがあるもののほか，この規程の定めるところによる。
（定義）
第２条
この規程における用語の意義は，個人情報の保護に関する法律（平成15年法律第57号。以下「個人情報保護法」という。）及び行政手続における特定の個人を識別するための番号の利用等に関する法律（平成25年法律第27号。以下「番号法」という。）の例による。
第２章 管理体制
（総括個人情報保護管理者）
第３条
市に総括個人情報保護管理者（以下「総括保護管理者」という。）を置き，総務部を所掌する副市長をもって充てる。
２ 総括保護管理者は，保有個人情報の管理に関する事務を総括する。
（個人情報保護管理責任者）
第４条
課（調布市文書管理規則（平成16年調布市規則第12号）第２条第６号に掲げる課をいう。以下同じ。）に個人情報保護管理責任者（以下「保護管理責任者」という。）を置き，当該課の長をもって充てる。
２ 保護管理責任者は，課における保有個人情報の適切な管理に関する事務を総括する。この場合において，当該保有個人情報を情報システムで取り扱うときは，保護管理責任者は，当該情報システムの管理者と連携するものとする。
３ 保護管理責任者は，次の各号に掲げる事項を指定する。
(１) 特定個人情報を取り扱う職員（以下「特定個人情報取扱者」という。）及びその役割
(２) 特定個人情報取扱者が取り扱う特定個人情報の範囲
（個人情報保護管理者）
第５条
課に個人情報保護管理者（以下「保護管理者」という。）を置き，課の庶務を担当する係長又は保護管理責任者が指定する者をもって充てる。
２ 保護管理者は，課における保有個人情報の管理に関する事務を担当する
（個人情報監査責任者）
第６条
市に個人情報監査責任者（以下「監査責任者」という。）を置き，総務部総務課長をもって充てる。
２ 監査責任者は，保有個人情報の管理の状況について監査する。
３ 監査責任者は，前項の規定による監査を監査対象となる保有個人情報の事務に直接関係のない者に行わせることができる
（調布市個人情報保護管理委員会）
第７条
保有個人情報の管理に係る重要事項の決定，連絡，調整等を行うため，調布市個人情報保護管理委員会（以下「委員会」という。）を置く。
２ 委員会は，次の各号に掲げる者をもって構成する。
(１) 総務部長
(２) 各部の次長
(３) 会計課長
(４) 選挙管理委員会事務局次長
(５) 監査事務局次長
(６) 議会事務局次長
(７) 調布市情報セキュリティポリシーに定める情報セキュリティ責任者
(８) 監査責任者
３ 委員会に委員長及び副委員長を置く。
４ 委員長は総務部長を，副委員長は総務部次長をもって充てる。
５ 委員長は，委員会を代表し，会務を総理する。
６ 副委員長は委員長を補佐し，委員長に事故があるときは，その職務を代理する。
７ 委員会は，委員長が招集し，副委員長が委員会の進行をつかさどる。
８ 委員長は，委員会の運営上必要があると認めたときは，関係職員の出席を求めることができる。
９ 委員会の庶務は，総務部総務課において処理する。
第３章 教育研修
第８条
総括保護管理者は，保有個人情報の取扱いに従事する職員（派遣労働者を含む。以下同じ。）に対し，保有個人情報の取扱いについて理解を深め，保有個人情報の保護に関する意識の高揚を図るための啓発等を目的として必要な教育研修を実施するものとする。
２ 総括保護管理者は，保有個人情報を取り扱う情報システムの管理に関する事務に従事する職員に対し，保有個人情報の適切な管理のために，情報システムの管理，運用及びセキュリティ対策について必要な教育研修を実施するものとする。
３ 総括保護管理者は，保護管理責任者及び保護管理者に対し，課における保有個人情報の適切な管理のための教育研修を定期的に実施するものとする。
４ 保護管理責任者は，課の職員に対し，保有個人情報の適切な管理のために，総括保護管理者の実施する教育研修への参加の機会の付与等の必要な措置を講ずるものとする。
第４章 職員の責務
第９条
職員は，個人情報保護法及び番号法の趣旨にのっとり，関連する法令の定め並びに総括保護管理者，保護管理責任者及び保護管理者（以下「総括保護管理者等」という。）の指示に従い，保有個人情報を取り扱わなければならない。
第５章 保有個人情報の取扱い
（アクセス制限）
第10条
保護管理責任者は，保有個人情報の秘匿性等に応じ，当該保有個人情報へのアクセス（紙等に記録されている保有個人情報に接する行為を含む。以下同じ。）をする権限を有する職員の範囲及び権限の内容を，当該職員が業務を行ううえで必要最小限の範囲に限るものとする。
２ 前項に規定するアクセス権限を有しない職員は，保有個人情報にアクセスをしてはならない。
３ 職員は，第１項に規定するアクセス権限を有する場合であっても，業務上の目的以外の目的で保有個人情報にアクセスをしてはならず，アクセスは必要最小限としなければならない。
（複製等の制限）
第11条
保護管理責任者は，次の各号に掲げる行為について，保有個人情報の秘匿性等に応じ，当該行為を行うことができる場合を必要最小限に限定するものとし，職員は，保護管理責任者の指示に従わなければならない。
(１) 保有個人情報の複製
(２) 保有個人情報の送信
(３) 保有個人情報が記録されている媒体の外部への送付又は持ち出し
(４) 前３号に掲げるもののほか，保有個人情報の適切な管理に支障を及ぼすおそれのある行為
（誤りの訂正等）
第12条
職員は，保有個人情報の内容に誤り等を発見した場合には，保護管理責任者の指示に従い，訂正等を行わなければならない。
（媒体の管理等）
第13条
職員は，保護管理責任者の指示に従い，保有個人情報が記録されている媒体を定められた場所に保管するとともに，必要があると認めたときは，耐火金庫への保管，施錠等を行うものとする。
２ 職員は，保有個人情報が記録されている媒体を外部へ送付し，又は持ち出す場合には，原則として，パスワード，ＩＣカード，生体情報等（以下「パスワード等」という。）を使用して権限を識別する機能（以下「認証機能」という。）の設定その他のアクセス制御のために必要な措置を講ずるものとする。
３ 職員は，保有個人情報が記録されている媒体を庁舎内で移動させる場合には，紛失，盗難等に留意するものとする。
（誤送付等の防止）
第14条
職員は，保有個人情報を含む電磁的記録又は媒体の誤送信，誤送付，誤交付及びウェブサイト等への誤掲載を防止するため，個別の事務・事業において取り扱う個人情報の秘匿性等に応じ，複数の職員による確認，チェックリストの活用その他の必要な措置を講ずるものとする。
（廃棄等）
第15条
職員は，保有個人情報又は保有個人情報が記録されている媒体（端末及びサーバに内蔵されているものを含む。）が不要となった場合には，保護管理責任者の指示に従い，当該保有個人情報の復元又は判読が不可能な方法により当該情報の消去又は当該媒体の廃棄を行うものとする。
２ 保有個人情報の消去及び保有個人情報が記録されている媒体の廃棄の委託（２以上の段階にわたる委託を含む。）をする場合には，必要に応じ，消去及び廃棄への立ち会い，写真等を付した消去及び廃棄を証明する書類の受取りその他の委託先において消去及び廃棄が確実に行われていることの確認を行うものとする。
（保有個人情報の取扱状況の記録）
第16条
保護管理責任者は，保有個人情報の秘匿性等に応じ，台帳等を整備して，当該保有個人情報の利用，保管等の取扱いの状況について記録する。
（外的環境の把握）
第17条
保有個人情報が，外国において取り扱われる場合，当該外国の個人情報等の保護に関する制度等を把握したうえで，保有個人情報の安全管理のために必要かつ適切な措置を講じなければならない。
（特定個人情報の安全管理措置） ）
第18条
保護管理責任者は，特定個人情報を取り扱う事務を実施する区域を明確にし，物理的な安全管理措置を講ずる。
第６章 情報システムにおける安全の確保等
（アクセス制御）
第19条
保護管理責任者は，保有個人情報（情報システムで取り扱うものに限る。以下この章（第31条を除く。）において同じ。）の秘匿性等に応じ，認証機能の設定その他のアクセス制御のために必要な措置を講ずるものとする。
２ 保護管理責任者は，前項の措置を講ずる場合には，パスワード等の管理に関する定めを整備するとともに，パスワード等の読取防止等を行うために必要な措置を講ずるものとする。
（アクセス記録）
第20条
保護管理責任者は，保有個人情報の秘匿性等に応じ，当該保有個人情報へのアクセスの状況を記録し，その記録（以下「アクセス記録」という。）を一定の期間保存し，及びアクセス記録を効率的かつ確実に分析するために必要な措置を講ずるものとする。
２ 保護管理責任者は，アクセス記録の改ざん，窃取，不正な消去等の防止のために必要な措置を講ずるものとする。 （アクセス状況の監視）
第21条
保護管理責任者は，保有個人情報の秘匿性，量等に応じ，当該保有個人情報への不適切なアクセスの監視のため，保有個人情報を含む又は含むおそれがある一定量以上の情報が情報システムからダウンロードされた場合に警告表示がなされる機能の設定，当該設定の定期的確認その他の必要な措置を講ずるものとする。
（管理者権限の設定）
第22条
保護管理責任者は，保有個人情報の秘匿性等に応じ，情報システムの管理者の権限を不正に窃取された際の被害の最小化及び内部からの不正操作等の防止のため，当該権限の最小化その他の必要な措置を講ずるものとする。
（外部からの不正アクセスの防止）
第22条
保護管理責任者は，保有個人情報を取り扱う情報システムへの外部からの不正アクセスを防止するため，ファイアウォールの設定による経路制御その他の必要な措置を講ずるものとする。
（不正プログラムによる漏えい等の防止）
第24条
保護管理責任者は，不正プログラムによる保有個人情報の漏えい，滅失及び毀損の防止のため，ソフトウェアに関する公開された脆弱性の解消，把握された不正プログラムの感染防止等に必要な措置（導入したソフトウェアを常に最新の状態に保つことを含む。）を講ずるものとする
（情報システムにおける保有個人情報の処理）
第25条
職員は，保有個人情報について，一時的に加工等の処理を行うため複製等を行う場合には，その対象を必要最小限に限り，処理終了後は不要となった情報を速やかに消去するものとする。この場合において，保護管理責任者は，当該保有個人情報の秘匿性に応じ，随時，消去等の実施状況を重点的に確認するものとする。
（暗号化等）
第26条
保護管理責任者は，保有個人情報の秘匿性等に応じ，その暗号化のために必要な措置を講ずるものとする。
２ 職員は，前項の措置を踏まえ，その処理する保有個人情報について，当該保有個人情報の秘匿性等に応じ，適切に暗号化又はパスワードの付与を行うものとする。
（記録機能を有する機器・媒体の接続制限）
第27条
保護管理責任者は，保有個人情報の秘匿性等に応じ，当該保有個人情報の漏えい等の防止のため，スマートフォン，ＵＳＢメモリ等の記録機能を有する機器・媒体の情報システム端末等への接続の制限（当該機器の更新への対応を含む。）等の必要な措置を講ずるものとする。
（端末の限定）
第28条
保護管理責任者は，保有個人情報の秘匿性等に応じ，その処理を行う端末を限定するために必要な措置を講ずるものとする。
（端末の盗難防止等）
第29条
保護管理責任者は，端末の盗難及び紛失の防止のため，端末の固定，執務室の施錠等の必要な措置を講ずるものとする。
２ 職員は，保護管理責任者が必要があると認めたときを除き，端末を外部へ持ち出し，又は外部から持ち込んではならない。
（第三者の閲覧防止）
第30条
職員は，端末の使用に当たっては，保有個人情報が第三者に閲覧されることがないよう，使用状況に応じた情報システムからのログオフの徹底その他の必要な措置を講ずるものとする。
（入力情報の照合等）
第31条
職員は，情報システムで取り扱う保有個人情報の重要度に応じ，入力原票と入力内容との照合，処理前後の当該保有個人情報の内容の確認，既存の保有個人情報との照合等を行うものとする。
（バックアップ）
第32条
保護管理責任者は，保有個人情報の重要度に応じ，バックアップを作成し，分散保管するために必要な措置を講ずるものとする。
（情報システム設計書等の管理）
第33条
保護管理責任者は，保有個人情報に係る情報システムの設計書，構成図等の文書について外部に知られることがないよう，その保管，複製，廃棄等について必要な措置を講ずるものとする。
第７章 サーバ室等の安全管理
（入退管理）
第34条
保護管理責任者は，保有個人情報を取り扱う基幹的なサーバ等の機器を設置する室その他の区域（以下「サーバ室等」という。）に立ち入る権限を有する者を定めるとともに，用件の確認，入退の記録，部外者についての識別化，部外者が立ち入る場合の職員の立会い又は監視設備による監視，外部電磁的記録媒体等の持込み，利用及び持ち出しの制限又は検査等の措置を講ずるものとする。保有個人情報を記録する媒体を保管するための施設を設けている場合において，必要があると認めたときも，また同様とする。
２ 保護管理責任者は，必要があると認めたときは，サーバ室等の出入口の特定化による入退の管理の容易化，所在表示の制限等の措置を講ずるものとする。
３ 保護管理責任者は，サーバ室等の入退の管理について，必要があると認めたときは，立入りに係る認証機能を設定し，及びパスワード等の管理に関する定めの整備（その定期又は随時の見直しを含む。），パスワード等の読取防止等を行うために必要な措置を講ずるものとする。
（サーバ室等の管理）
第35条
保護管理責任者は，外部からの不正な侵入に備えるため，サーバ室等に施錠装置の設置等の措置を講ずるものとする。
２ 保護管理責任者は，災害等に備えるため，サーバ室等に，耐震，防火，防煙，防水等の必要な措置を講ずるとともに，サーバ等の機器の予備電源の確保，配線の損傷防止等の措置を講ずるものとする。
第８章 保有個人情報の提供及び業務の委託等
（保有個人情報の提供）
第36条
保護管理責任者は，個人情報保護法第69条第２項第３号及び第４号の規定により行政機関及び独立行政法人等以外の者に保有個人情報を提供する場合には，個人情報保護法第70条の規定により，安全確保の措置を要求するとともに，原則として提供先における利用目的，利用する業務の根拠法令，利用する記録の範囲及び項目，利用形態等について書面を取り交わすものとする。この場合において，保護管理責任者は，必要があると認めたときは，提供前又は随時に実地の調査等を行い，措置状況を確認してその結果を記録するとともに，改善要求等の措置を講ずるものとする。
２ 保護管理責任者は，個人情報保護法第69条第２項第３号の規定により行政機関又は独立行政法人等に保有個人情報を提供する場合において，必要があると認めたときは，個人情報保護法第70条の規定により，前項に規定する措置を講ずるものとする。
（業務の委託等）
第37条
保護管理責任者は，保有個人情報の取扱いに係る業務を外部に委託する場合には，個人情報の適切な管理を行う能力を有しない者を選定することがないよう，必要な措置を講ずるものとする。この場合においては，契約書に次の各号に掲げる事項を明記するとともに，委託先における責任者及び業務従事者の管理体制及び実施体制，個人情報の管理の状況についての検査に関する事項等の必要な事項について書面で確認するものとする。
(１) 個人情報に関する秘密保持，利用目的以外の目的のための利用の禁止等の義務
(２) 再委託（委託を受けたものが子会社（会社法（平成17年法律第86号）第２条第３号に掲げる子会社をいう。）に委託する場合を含む。以下この項及び第４項において同じ。）の制限，事前承認その他の再委託に係る条件に関する事項
(３) 個人情報の複製，持出し等の制限に関する事項
(４) 個人情報の安全管理措置に関する事項
(５) 個人情報の漏えい等の事案の発生時における対応に関する事項
(６) 委託終了時における個人情報の消去及び媒体の返却に関する事項
(７) 違反した場合における契約解除，損害賠償責任その他必要な事項
(８) 契約内容の遵守状況についての定期的報告に関する事項及び委託先における委託された個人情報の取扱状況を把握するための監査等に関する事項（再委託を受けたものに対する監査等に関する事項を含む。）
２ 保有個人情報の取扱いに係る業務を外部に委託する場合には，取扱いを委託する個人情報の範囲は，委託する業務内容に照らして必要最小限でなければならない。
３ 保護管理責任者は，保有個人情報の取扱いに係る業務を外部に委託する場合には，委託する業務に係る保有個人情報の秘匿性，量等に応じ，委託先における管理体制及び実施体制並びに個人情報の管理の状況について，少なくとも年１回以上，原則として実地検査により確認するものとする。
４ 委託を受けたものが，保有個人情報の取扱いに係る業務の再委託をする場合には，委託を受けたものに第１項に規定する措置を講じさせるとともに，再委託される業務に係る保有個人情報の秘匿性等に応じ，委託を受けたもの又は市が前項に規定する措置を実施するものとする。保有個人情報の取扱いに係る業務について再委託先が再々委託を行う場合以降も同様とする。
５ 保有個人情報の取扱いに係る業務を派遣労働者によって行わせる場合には，労働者派遣契約書に秘密保持義務等個人情報の取扱いに関する事項を明記するものとする。
６ 保有個人情報を提供し，又は保有個人情報の取扱いに係る業務を委託する場合には，漏えい等による被害発生のリスクを低減するため，提供先の利用目的，委託する業務の内容，保有個人情報の秘匿性等を考慮し，必要に応じ，特定の個人を識別することができる記載の全部若しくは一部の削除又は別の記号等への置換え等の措置を講ずるものとする。
第９章 サイバーセキュリティの確保
第38条
保護管理責任者は，保有個人情報を取り扱い，又は情報システムを構築し，若しくは利用するに当たっては，サイバーセキュリティ基本法（平成26年法律第104号）第26条第１項第２号に規定するサイバーセキュリティに関する対策の基準等を参考として，取り扱う保有個人情報の性質等に照らして適正なサイバーセキュリティの水準を確保するものとする。
第10章 安全確保上の問題への対応
（事案の報告及び再発防止措置）
第39条
職員は，保有個人情報の漏えいその他の安全確保のうえで問題となる事案又は問題となる事案の発生のおそれを認識したときは，直ちに調布市情報セキュリティポリシーに定める情報セキュリティインシデントに対処するための組織（以下「ＣＳＩＲＴ」という。）に報告し，その指示に従わなければならない。
２ 保護管理責任者は，ＣＳＩＲＴと連携し，関係部署への報告及び被害の拡大防止又は復旧等のために必要な措置を速やかに講ずるものとする。ただし，外部からの不正アクセス又は不正プログラムの感染が疑われる当該端末等のＬＡＮケーブルを抜き，又は無線ＬＡＮを無効化したうえでのＣＳＩＲＴへの連絡等の被害拡大防止のため直ちに行い得る措置については，直ちに行い，又は職員に行わせるものとする。
３ 保護管理責任者は，ＣＳＩＲＴと連携し，事案の発生した経緯，被害状況等を調査し，総括保護管理者に報告するものとする。ただし，特に重大と認める事案が発生した場合には，直ちに総括保護管理者に当該事案の内容等について報告するものとする。
４ 総括保護管理者は，ＣＳＩＲＴと連携し，前項の規定による報告を受けた場合には，事案の内容等に応じ，当該事案の内容，経緯，被害状況等を市長に速やかに報告するものとする。
５ 保護管理責任者は，ＣＳＩＲＴと連携し，事案の発生した原因を分析し，再発防止のために必要な措置を講ずるとともに，同種の業務を実施している部署に再発防止措置を共有するものとする。
（法に基づく報告及び通知）
第40条
総括保護管理者は，漏えい等が生じた場合において，個人情報保護法第68条第１項の規定による報告及び同条第２項の規定による本人への通知を要するときは，前条の措置と並行して，速やかに所定の手続を行うとともに，個人情報保護委員会による事案の把握等に協力するものとする。
（公表等）
第41条
保護管理責任者は，個人情報保護法第68条第１項の規定による報告及び同条第２項の規定による本人への通知を要しない場合であっても，事案の内容，影響等に応じ，事実関係及び再発防止策の公表，当該事案に係る保有個人情報の本人への対応等の措置を講ずるものとする。
２ 保有個人情報の漏えい，個人情報保護に係る内部規程に対する違反行為，委託先における個人情報の適切な管理に関する契約条項等に対する違反行為その他の市民の不安を招きかねない事案が発生した場合において，公表を行うときは，当該公表を行う事案の内容，経緯，被害状況等について，速やかに個人情報保護委員会に情報提供を行うものとする。
第11章 監査及び点検の実施
（監査）
第42条
監査責任者は，保有個人情報の適切な管理を検証するため，課における保有個人情報の管理の状況（第２章から前章までに規定する措置の状況を含む。）について，定期的に，及び必要に応じて随時に監査を行い，その結果を総括保護管理者に報告するものとする。
（点検）
第43条
保護管理責任者は，課における保有個人情報の記録媒体，処理経路，保管方法等について，定期的に，及び必要に応じて随時に点検を行い，必要があると認めたときは，その結果を総括保護管理者に報告するものとする。
（評価及び見直し）
第44条
総括保護管理者等は，監査又は点検の結果等を踏まえ，実効性等の観点から保有個人情報の適切な管理のための措置について評価し，必要があると認めたときは，その見直し等の措置を講ずるものとする。
第12章 雑則
第45条
この規程に定めるもののほか必要な事項は，別に定める。
附 則
この訓令は，令和５年４月１日から施行する。
