2　保有個人情報の保護及び管理状況を把握し、最高個人情報統括管理者を補佐するため個人情報統括管理責任者を設置し、当該保有個人情報を取り扱う部等の長をもってこれに充てる。

3　保有個人情報の保有目的に応じた適正な管理を確保するため、個人情報管理責任者を設置し、当該保有個人情報を取り扱う課等の長をもってこれに充てる。

4　個人情報管理責任者を補佐し、保有個人情報の管理に関する事務を行うため、個人情報取扱監督者を設置し、当該保有個人情報を取り扱う係等の長又はそれに準ずる者をもってこれに充てる。

5　市の保有個人情報の管理の状況について監査を行うため、監査責任者を設置し、総務部長をもってこれに充てる。

6　市が保有する電子計算機器及び情報ネットワークを管理し、厳重にシステムの運用を行い、保有個人情報を適正に管理するため、情報システム管理者を設置し、情報管理担当課長をもってこれに充てる。

2　最高個人情報統括管理者は、情報システム管理者を含む保有個人情報を取り扱う情報システム管理業務に従事する職員に対し、情報システムの管理、運用及びセキュリティ対策に関して必要な教育研修を実施しなければならない。

3　最高個人情報統括管理者は、個人情報管理責任者及び個人情報取扱監督者に対し、各所属における保有個人情報の適切な管理のための教育研修を実施しなければならない。

4　個人情報管理責任者は、職員に対し保有個人情報の適切な管理のために、最高個人情報統括管理者の実施する教育研修への参加の機会を付与しなければならない。

2　職員は、業務上の目的以外の目的で保有個人情報にアクセスしてはならない。

3　職員は、次の各号に掲げる行為をするときは、個人情報管理責任者の承認を得るものとする。

4　職員は、保有個人情報の内容に誤り等を発見した場合には、個人情報管理責任者の指示により訂正等を行うものとする。

5　個人情報管理責任者は、職員が保有個人情報を含む電磁的記録又は記録媒体を誤って送付、送信、掲載等をしないよう必要な措置を講じなければならない。

2　職員は、記録媒体を外部へ持ち出す場合には、個人情報管理責任者の承認を得た上で、パスワードを使用する等アクセス制御のために必要な措置を講ずるとともに、返却後に個人情報管理責任者へ報告を行うものとする。

3　個人情報管理責任者は、記録媒体の内容及び種類に応じて保管の期間を定めるとともに、保有個人情報又は記録媒体が不要となった場合には、復元又は判読が不可能な方法により速やかに消去又は廃棄を行わなければならない。

4　前項の保有個人情報の消去又は記録媒体の廃棄を委託する場合(再委託を含む。)は、職員が消去若しくは廃棄に立ち会い、又は写真等を付した消去若しくは廃棄を証明する書類を提出させ、委託先において消去又は廃棄が確実に行われていることを確認しなければならない。

2　特定個人情報取扱事務担当者は、特定個人情報を含む電磁的記録をインターネットに接続された情報通信機器及び端末にその情報を保存してはならない。

3　特定個人情報を含む記録媒体は、施錠可能な場所に保管する等の方法により適正に管理するものとする。

4　個人情報管理責任者は、情報漏えい等を防止するため、特定個人情報を取り扱う事務を実施する区域を明確にし、物理的な安全管理措置を講ずるものとする。

5　前項に定める区域は、個人情報管理責任者が管理する場所であって、原則として施錠できる場所でなければならない。

2　情報システム管理者は、基幹システムへの不正なアクセスを防止するため、管理者権限の特権を最小限とし、通信経路制御等の必要な措置を講じなければならない。

3　情報システム管理者は、基幹情報へのアクセス状況を記録したもの(以下、「アクセス記録」という。)を一定の期間保存し、分析するとともに、アクセス記録の改ざん、窃取又は不正な消去の防止のために必要な措置を講じなければならない。

4　情報システム管理者は、基幹情報への不適切なアクセスを監視するために必要な措置を講じなければならない。

5　情報システム管理者は、不正プログラムによる基幹情報の漏えい等の防止のため、ソフトウェアに関する公開された脆弱性の解消、把握された不正プログラムの感染防止等に必要な措置を講じなければならない。

6　情報システム管理者は、基幹情報の漏えい等の防止のため、USBメモリ等の外部記録媒体の基幹情報を取り扱う端末等(以下、「基幹端末」という。)への接続制限等必要な措置を講じなければならない。

2　職員は、情報システム管理者が必要であると認めるときを除き、基幹端末を外部へ持ち出し、又は外部から持ち込んではならない。

3　職員は、基幹端末の使用に当たって基幹情報が第三者に閲覧されることがないよう必要な措置を講じなければならない。

2　情報システム管理者は、基幹情報に係るシステムの設計書、構成図等の文書について外部に知られることがないよう、その保管、複製、廃棄等について必要な措置を講じなければならない。

2　情報システム管理者は、部外者を情報システム室等に入室させる際には、次の各号に定める措置を講じなければならない。

3　情報システム管理者は、災害等に備え電子計算機室等に耐震、防火、防煙、防水等の対策に必要な設備を設置し、サーバ等の機器の予備電源の確保、配線の損傷防止等の措置を講じなければならない。

2　個人情報管理責任者は、事案が発生したときは、当該事案の発生した経緯、被害状況等を調査し、情報システム管理者及び個人情報統括管理責任者を通じて最高個人情報統括管理者に対し、速やかにその旨を報告しなければならない。

3　最高個人情報統括管理者は、前項の報告を受けたときはその内容に応じて市長及び個人情報保護委員会等の関係機関へ報告しなければならない。

4　個人情報管理責任者は、情報システム管理者と共に事案の発生した原因を分析し、再発防止策を講ずるとともに、庁内にて再発防止措置を共有するものとする。

5　事案が発生したときは、事実関係及び再発防止策の公表、当該事案に係る保有個人情報の本人への通知を行うものとする。

2　最高個人情報統括管理者は、前項に規定する協議を受けたときは、法第69条第2項各号のいずれかに該当すると認めた場合に限り、次の各号に掲げる事項を義務づけ、その利用又は提供を行わせることができる。

3　保有個人情報を実施機関等以外の者に提供しようとする個人情報管理責任者は、提供方法について情報システム管理者に協議を行わなければならない。

4　個人情報管理責任者は、実施機関等以外の者に保有個人情報を提供する場合は、次の各号に掲げる事項を相互に書面(電磁記録を含む。)で確認するとともに、安全確保の措置を要求し、必要があると認めるときは、実地調査を行わなければならない。

5　保有個人情報を利用又は提供した個人情報管理責任者は、当該保有個人情報に係る業務が終了したときは、個人情報の利用・提供実績報告書(様式第2号)により速やかに最高個人情報統括管理者に報告しなければならない。

2　個人情報管理責任者は、所管する特定個人情報取扱業務を外部に委託するときは、市が果たすべき安全管理措置と同等の措置が講じられていることをあらかじめ確認するとともに、前項に規定する事項に加え、次に掲げる事項を委託契約書に明記しなければならない。

3　個人情報管理責任者は、保有個人情報の取扱いに係る業務を外部に委託する場合は、取扱いを委託する個人情報の範囲を業務内容に照らして必要最小限としなければならない。

4　個人情報管理責任者は、保有個人情報の取扱いに係る業務を外部に委託する場合は、委託業務に係る保有個人情報の秘匿性等に応じて、作業の管理体制及び実施体制並びに個人情報の管理の状況について、年1回以上、原則として実地検査により確認しなければならない。

5　個人情報管理責任者は、保有個人情報を提供又は業務委託する場合には、漏えい等による被害発生リスクを軽減するため、提供先の利用目的、委託業務の内容、保有個人情報の秘匿性等に応じて、個人情報の全部若しくは一部を削除し、又は別の記号等に置き換える等の措置を講ずるものとする。

6　委託先へ保有個人情報を提供する場合において、個人情報管理責任者は、提供方法について情報システム管理者に協議を行わなければならない。

7　個人情報管理責任者は、特定個人情報取扱業務の委託を受けた者について、市が果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行うものとする。

2　委託先において、特定個人情報の取扱いに係る業務を再委託しようとする場合には、個人情報管理責任者は、再委託先において特定個人情報等の適切な安全管理措置が実施されることを確認した上で再委託の諾否を判断するものとする。

3　前2項の規定は、保有個人情報の取扱いに係る業務について再委託先が再々委託を行う場合以降も同様とする。

2　個人情報管理責任者は、各課等における保有個人情報の記録媒体、処理経路、保管方法等について、定期に、及び必要に応じ随時に点検を行い、必要があると認めるときは、その結果を最高個人情報統括管理者に報告するものとする。

3　最高個人情報統括管理者は、監査又は点検の結果を踏まえ、実効性等の観点から保有個人情報の適切な管理のための措置について評価し、必要があると認めるときは、その措置を見直すものとする。

2　個人情報管理責任者は、個人のプライバシー等の権利利益に影響を与え得る特定個人情報等の漏えいその他の事態を発生させるリスクを軽減するための措置として、特定個人情報保護評価書に記載した全ての措置を講ずるものとする。

(施行期日)

1　この規程は、令和5年4月1日から施行する。

(小野市電子計算機処理に係る情報処理要領の廃止)

2　小野市電子計算機処理に係る情報処理要領(平成14年小野市訓令第18号)は、廃止する。

(経過措置)

3　この規程の施行前にこの規程による改正前の小野市個人情報の保護に関する取扱規程の規定及び附則第2項の規定による廃止前の小野市電子計算機処理に係る情報処理要領の規定によりなされた協議、報告その他の行為は、この規程の相当規定によりなされた協議、報告その他の行為とみなす。