2　この規程において，「各部署」とは，各講座(分野が置かれている講座においては分野)・学科目，国立大学法人旭川医科大学組織及び運営規則(平成16年旭医大達第148号)第26条から第28条に規定する部署，病院に置かれる部署(領域が置かれている診療科においては領域)，事務局各課及び監査室をいう。

2　総括保護管理者は，本学における保有個人情報，個人番号，保護法第2条に規定する仮名加工情報及び匿名加工情報(以下「保有個人情報等」という。)の管理に関する事務を総括する。

2　保護管理者は，各部署における保有個人情報等を適切に管理しなければならない。

3　保護管理者は，個人番号及び特定個人情報(以下「特定個人情報等」という。)を取り扱う職員(以下「事務取扱担当者」という。)並びにその役割を指定するものとする。

4　保護管理者は，各事務取扱担当者が取り扱う特定個人情報等の範囲を指定するものとする。

5　保護管理者は，保有個人情報等を情報システムで取り扱う場合には，当該システムの管理者と連携して，その任に当るものとする。

2　保護担当者は，保護管理者を補佐し，各部署における保有個人情報等の管理に関する事務を行う。

2　監査責任者は，保有個人情報等の管理の状況について監査を行う。

2　委員会に関し必要な事項は，別に定める。

2　総括保護管理者は，保有個人情報等を取扱う情報システムの管理に従事する役職員に対し，保有個人情報等の適切な管理のため，情報システムの管理，運用及びセキュリティ対策に関し，必要な教育研修を行わなければならない。

3　保護管理者は，当該部署の職員に対し，保有個人情報等の適切な管理のために，総括保護管理者の実施する教育研修への参加の機会を付与する等，必要な措置を講じなければならない。

4　前3項の措置を講ずる場合には，保有個人情報等の取扱いに従事する派遣労働者についても，職員と同様の措置を講ずるものとする。

5　総括保護管理者は，保護管理者及び保護担当者に対し，課室等の現場における保有個人情報等の適切な管理のための教育研修を実施するものとする。

2　アクセス権を有しない役職員は，保有個人情報等にアクセスしてはならない。

3　役職員は，アクセス権を有する場合であっても，業務上の目的以外の目的で保有個人情報等にアクセスしてはならない。

4　保護管理者は，特定個人情報等へのアクセス状況を記録し，その記録を一定の期間保存し，定期に又は随時に分析するために必要な措置を講じなければならない。また，アクセス記録の改ざん，窃取又は不正な削除の防止のために必要な措置を講じなければならない。

5　保護管理者は，保有個人情報等(情報システムで取り扱うものに限る。以下同じ。)の秘匿性等その内容に応じて，パスワード等(パスワード，ICカード，生体情報等を言う。以下同じ。)を使用して権限を識別する機能を設定する等のアクセス制御のために必要な措置を講ずるものとする。

6　保護管理者は前項の措置を講ずる場合には，パスワードの管理に関する定めを整備(その定期又は随時の見直しを含む。)するとともに，パスワード等の読取防止等を行うために，必要な措置を講ずるものとする。

7　保護管理者は，保有個人情報等の秘匿性等その内容に応じて，当該保有個人情報等へのアクセス状況を記録し，その記録(以下「アクセス記録」という。)を一定の期間保存し，及びアクセス記録を定期的に分析するために必要な措置を講ずるものとする。

8　保護管理者は，アクセス記録の改ざん，窃取又は不正な消去の防止のために必要な措置を講ずるものとする。

9　保護管理者は，保有個人情報等の秘匿性等その内容及び量に応じて，当該保有個人情報等への不適切なアクセスの監視のため，保有個人情報等を含むか又は含むおそれのある一定量以上の情報が情報システムからダウンロードされた場合に，警告表示がなされる機能の設定，当該機能の定期的確認等の必要な措置を講ずるものとする。

10　保護管理者は，保有個人情報等の秘匿性等その内容に応じて，情報システムの管理者権限の特権を不正に窃取された際の被害の最小化及び内部からの不正操作等の防止のため当該特権を最小限とする等の必要な措置を講ずるものとする。

11　保護管理者は，不正プログラムによる保有個人情報等の漏えい，滅失又は毀損の防止のため，ソフトウェアに関する公開された脆弱性の解消，把握された不正プログラムの感染防止等に必要な措置(導入したソフトウェアを常に最新の状態に保つことを含む。)を講ずるものとする。

12　役職員は，保有個人情報等について，一時的に加工等の処理を行うため複製等を行う場合には，その対象を必要最小限に限り，処理終了後は不要となった情報を速やかに消去するものとする。また，保護管理者は，当該保有個人情報等の秘匿性等その内容に応じて，随時，消去等の実施状況を重点的に確認するものとする。

13　保護管理者は，保有個人情報等の秘匿性等その内容に応じて，暗号化のために必要な措置を講ずるものとする。また，役職員は，これを踏まえ，その処理する保有個人情報等について，当該保有個人情報等の秘匿性等その内容に応じて，適切に暗号化を行うものとする。

14　保護管理者は，保有個人情報等の秘匿性等その内容に応じて，当該保有個人情報等の漏えい，滅失又は毀損の防止のため，スマートフォン，USBメモリ等の記録機能を有する機器・媒体の情報システム端末等への接続の制限(当該機器の更新への対応を含む。)等の必要な措置を講ずるものとする。

15　保護管理者は，保有個人情報等を取り扱う基幹的なサーバ等の機器を設置する室その他の区域(以下「情報システム室等」という。)に立ち入る権限を有する者を定めるとともに，用件の確認，入退の記録，部外者についての識別化，部外者が立ち入る場合の職員の立会又は監視設備による監視，外部電磁的記録媒体等の持込み，利用及び持ち出しの制限又は検査等の措置を講ずるものとする。また，保有個人情報等を記録する媒体を保管するための施設を設けている場合においても，必要があると認めるときは，同様の措置を講ずるものとする。

16　保護管理者は，情報システム室等の出入口の特定化による入退の管理の容易化，所在表示の制限等の情報システム室等の安全を管理するための措置を講ずるものとする。

17　保護管理者は，情報システム室等及び保管施設の入退の管理について，必要があると認めるときは，立入りに係る認証機能を設定し，並びにパスワード等の管理に関する定めの整備(その定期又は随時の見直しを含む。)及びパスワード等の読取防止等を行うために必要な措置を講ずるものとする。

18　保護管理者は，外部からの不正な侵入に備え，情報システム室等に施錠機能，警報装置及び監視設備の設置等の措置を講ずるものとする。

19　保護管理者は，災害等に備え，情報システム室等に，耐震，防火，防煙，防水等の必要な措置を講ずるとともに，サーバ等の機器の予備電源の確保，配線の損傷防止等の措置を講ずるものとする。

20　保護管理者は，保有個人情報等の秘匿性等その内容に応じて，当該保有個人情報等の処理を行う端末機器を限定するために必要な措置を講ずるものとする。

21　役職員は，端末機器の使用に当たっては，保有個人情報等が当該役職員以外の第三者に閲覧されることがないよう，使用状況に応じて情報システムからログオフを行うことを徹底する等の必要な措置を講ずるものとする。

22　保護管理者は，保有個人情報等の重要度に応じて，バックアップを作成し，分散保管するために必要な措置を講ずるものとする。

23　保護管理者は，保有個人情報等に係る情報システムの設計書，構成図等の文書について外部に知られることがないよう，その保管，複製，廃棄等について必要な措置を講ずるものとする。

2　保護管理者は，特定個人情報等を取り扱う事務を実施する区域を明確にし，物理的な安全管理措置を講じなければならない。

2　保護管理者は，特定個人情報ファイルの取扱状況を確認する手段を整備して，当該特定個人情報等の利用及び保管等の取扱状況について記録しなければならない。

2　保護管理者は，保護法第69条第2項第4号の規定に基づき行政機関等以外の者に保有個人情報等を提供する場合には，安全確保の措置を要求するとともに，必要があると認めるときは，提供前又は提供後にその実地の調査等を行い措置状況を確認し，その結果を記録するとともに，改善要求等の措置を講じなければならない。

3　保護管理者は，保護法第69条第2項第4号の規定に基づき行政機関等以外の者に保有個人情報等を提供する場合において，必要があると認めるときは，前2項に規定する措置を講じなければならない。

4　保護管理者は，番号法で限定的に明記された場合を除き，特定個人情報等を提供してはならない。

2　役職員は，仮名加工情報を取り扱うに当たっては，法令に基づく場合を除き，当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために，削除情報等(仮名加工情報の作成に用いられた個人情報から削除された記述等及び個人識別符号並びに保護法第41条第1項の規定により行われた加工の方法に関する情報をいう。)を取得し，又は当該仮名加工情報を他の情報と照合してはならない。

2　学長は，次の各号のいずれかに該当する場合を除き，行政機関等匿名加工情報を提供してはならない。

3　学長は，法令に基づく場合を除き，利用目的以外の目的のために削除情報(保有個人情報に該当するものに限る。)を自ら利用し，又は提供してはならない。

4　前項の「削除情報」とは，行政機関等匿名加工情報の作成に用いた保有個人情報から削除した記述等及び個人識別符号をいう。

2　役職員は，匿名加工情報を取り扱うに当たっては，法令に基づく場合を除き，当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために，当該個人情報から削除された記述等若しくは個人識別符号を取得し，又は当該匿名加工情報を他の情報と照合してはならない。

3　前項の規定は，行政機関等から匿名加工情報の取扱いの委託(二以上の段階にわたる委託を含む。)を受けた者が受託した業務を行う場合について準用する。

2　保有個人情報等の取扱いに係る業務を派遣労働者によって行わせる場合には，労働者派遣契約書に秘密保持義務等保有個人情報等の取扱いに関する事項を明記しなければならない。

3　保有個人情報等の取扱いに係る業務を外部に委託する場合には，委託する業務に係る保有個人情報等の秘匿性等その内容やその量等に応じて，委託先における管理体制及び実施体制や保有個人情報等の管理の状況について，少なくとも年1回以上，原則として実地検査により確認するものとする。

4　受託者において，保有個人情報等の取扱いに係る業務が再委託される場合には，受託者に第1項の措置を講じさせるとともに，再委託される業務に係る保有個人情報等の秘匿性等その内容に応じて，受託者を通じて又は本学自らが前項の措置を実施するものとする。保有個人情報等の取扱いに係る業務について再委託先が再々委託先を行う場合も同様とする。

5　個人番号利用事務等の全部又は一部を委託する場合には，委託先において，番号法に基づき本学が果たすべき安全管理措置と同等の措置が講じられるか否かについて，あらかじめ確認しなければならない。

6　個人番号利用事務等の全部又は一部を委託する際には，受託者において，本学が果たすべき安全管理措置と同等の措置が講じられるよう，必要かつ適切な監督を行わなければならない。

7　個人番号利用事務等の全部又は一部の受託者が再委託をする際には，委託をする個人番号利用事務等において取り扱う特定個人情報の適切な安全管理が図られることを確認した上で，再委託の諾否を判断しなければならない。

8　保有個人情報を提供又は業務委託する場合には，漏えい等による被害発生のリスクを低減する観点から，提供先の利用目的，委託する業務の内容，保有個人情報の秘匿性等その内容などを考慮し，必要に応じ，氏名を番号に置き換える等の匿名化措置を講ずるものとする。

2　保護管理者は，被害の拡大防止又は復旧等のために必要な措置を速やかに講じなければならない。ただし，外部からの不正アクセスや不正プログラムの感染が疑われる当該端末等のLANケーブルを抜くなど，被害拡大防止のため直ちに行い得る措置については，直ちに行う(役職員に行わせることを含む。)ものとする。

3　保護管理者は，事案の発生した経緯，被害状況等を調査し，総括保護管理者に報告する。ただし，特に重大と認める事案が発生した場合には，直ちに総括保護管理者に当該事案の内容について報告しなければならない。

4　総括保護管理者は，前項の規定に基づく報告を受けた場合には，事案の内容等に応じて，当該事案の内容，経緯，被害状況等を学長に速やかに報告しなければならない。

5　総括保護管理者は，事案の内容等に応じて，当該事案の内容，経緯，被害状況等について，文部科学省に速やかに報告するものとする。

6　保護管理者は，事案の発生した原因を分析し，再発防止のために必要な措置を講じなければならない。

7　事案の内容，影響等に応じて，事案関係及び再発防止策の公表，当該事案に係る保有個人情報等の本人への対応等の措置を講じなければならない。また，公表を行う事案については，当該事案の内容，経緯，被害状況等について，速やかに総務省(行政管理局)又は個人情報保護委員会事務局に情報提供を行うものとする。

2　前項の規定にかかわらず，保護管理は，次の各号のいずれかに該当すると認めるときは，利用目的以外の目的のために保有個人情報を自ら利用し，又は提供することができる。ただし，保有個人情報を利用目的以外の目的のために自ら利用し，又は提供することによって，本人又は第三者の権利利益を不当に侵害するおそれがあると認められるときは，この限りでない。

2　保護管理者は，自ら管理責任を有する保有個人情報等の記録媒体，処理経路，保管方法等について，定期に，及び必要に応じ臨時に点検を行い，必要があると認めるときは，その結果を総括保護管理者に報告しなければならない。

3　総括保護管理者，保護管理者等は，監査又は点検の結果等を踏まえ，実効性等の観点から保有個人情報等の適切な管理のための措置について評価し，必要があると認めるときは，その見直し等の措置を講じなければならない。

この規程は，平成17年4月1日から施行する。

この規程は，平成22年1月1日から施行する。

この規程は，平成27年10月1日から施行する。

この規程は，平成30年2月14日から施行する。

この規程は，平成30年11月26日から施行する。

この規程は，平成31年1月31日から施行し，改正後の第2条第2項の規定は，平成30年12月6日から適用する。

この規程は，令和4年5月25日から施行し，改正後の第2条第2項の規定は，令和4年4月1日から適用する。

この規程は，令和4年7月4日から施行し，改正後の旭川医科大学個人情報管理規程は，令和4年4月1日から適用する。