2　保護最高責任者は、次に掲げる事項についての権限及び責任を有する。

3　保護最高責任者は、保有個人情報の管理に係る重要事項の決定、連絡・調整等を行うため必要があると認めるときは、委員会(奥州市情報セキュリティ委員会設置規程(平成22年奥州市訓令第1号)第1条に規定する奥州市情報セキュリティ委員会をいう。以下同じ。)の承認を得なければならない。

2　保護統括責任者は、保護最高責任者を補佐し、保護最高責任者に事故があるとき、又は欠けたときは、その職務を代理する。

3　保護統括責任者は、次に掲げる事項についての権限及び責任を有する。

2　保護統括管理者は、保護統括責任者を補佐し、保有個人情報の保護管理及び電子計算組織等の管理を行う。

2　保護責任者は、次に掲げる事項についての権限及び責任を有する。

2　保護管理者は、所管する課等における保有個人情報の適正な管理及び運用について必要な措置を講ずるとともに、次に掲げる組織体制を整備する。

3　保護管理者は、事務取扱担当者及びその役割を指定するものとする。

4　保護管理者は、各事務取扱担当者が取り扱う個人情報等の範囲を指定するものとする。

5　保護管理者は、前2項の規定による指定をしたときは、事務取扱担当者一覧(様式第1号)により統括保護管理者に報告しなければならない。

2　保護担当者は、保護管理者を補佐し、課等における保有個人情報の管理に関する事務を所掌するものとする。

2　保護監査統括責任者は、保有個人情報の管理の状況について、定期的に監査を行わなければならない。

2　保護最高責任者は、保有個人情報を取り扱う情報システムの管理に関する事務に従事する職員に対し、保有個人情報の適切な管理のために、情報システムの管理、運用及びセキュリティ対策に関して必要な教育研修を行うものとする。

3　保護最高責任者は、保護管理者及び保護担当者に対し、課等における保有個人情報の適切な管理のために必要な教育研修を行うものとする。

4　保護最高責任者は、毎年度1回、委員会に対して、職員の研修等の受講状況について報告しなければならない。

5　保護管理者は、所管課の職員に対し、保有個人情報の適切な管理のために、保護最高責任者の実施する教育研修への参加の機会を付与する等の必要な措置を講ずるものとする。

2　保護管理者は、前項の申請により保有個人情報の目的外利用又は外部提供の可否を決定しようとするときは、保護統括管理者の承認を得たうえで可否を決定し、保有個人情報提供承認(不承認)通知書(様式第5号)により保有個人情報の提供を受けようとするものに通知しなければならない。この場合において、当該通知書には、個人情報保護法第70条の規定により次に掲げる事項について利用の条件を付し、及び当該条件に違反した場合における利用の停止、保有個人情報の返還その他必要な事項を記載しなければならない。

3　前項前段の規定にかかわらず、個人情報保護法第69条第2項第1号の規定に該当するときは、保護統括管理者の承認を要しないものとする。

4　保護管理者は、個人情報保護法第69条第2項第3号又は第4号の規定により個人情報を提供する場合は、個人情報の提供を受けようとするものに対して個人情報保護法第70条の規定により安全確保の措置を要求するとともに、必要があると認めるときは、提供前又は随時に実地の調査等を行うものとする。この場合において、保護管理者は、調査等の結果を記録するとともに、必要があると認めるときは、改善要求等の措置を講ずるものとする。

2　保護管理者は、前項の提供の可否を決定しようとするときは、保護統括管理者の承認を得たうえで可否を決定し、特定個人情報等提供承認(不承認)通知書(様式第7号)により特定個人情報等の提供を受けようとする者に通知しなければならない。この場合において、当該通知書には、次に掲げる事項について利用の条件を付し、及び当該条件に違反した場合における利用の停止、特定個人情報等の返還その他必要な事項を記載しなければならない。

2　アクセス権限を有しない職員は、保有個人情報にアクセスしてはならない。

3　職員は、アクセス権限を有する場合であっても、業務上の目的以外の目的で保有個人情報にアクセスしてはならない。

4　職員は、業務上の目的で保有個人情報を取り扱う場合であっても、次に掲げる行為については、保護管理者の指示に従い行うものとする。

5　職員は、保有個人情報の内容に誤り等を発見した場合には、保護管理者の指示に従い、訂正等を行うものとする。

6　職員は、保護管理者の指示に従い、保有個人情報が記録されている媒体を定められた場所に保管するとともに、必要があると認めるときは、耐火金庫への保管、施錠等を行うものとする。

7　職員は、保有個人情報又は保有個人情報が記録されている媒体(端末及びサーバに内蔵されているものを含む。)が不要となった場合には、保護管理者の指示に従い、当該保有個人情報の復元又は判読が不可能な方法により当該情報の消去又は当該媒体の廃棄を行うものとする。

8　保護管理者は、保有個人情報の秘匿性等その内容に応じて、台帳等を整備して、当該保有個人情報の利用及び保管等の取扱いの状況について記録するものとする。

9　保護管理者は、保有個人情報を含む電磁的記録又は媒体の送信等を行う場合には、取り扱う保有個人情報の秘匿性等その内容に応じて、必要な措置を講ずるものとする。

10　保護管理者は、保有個人情報が外国において取り扱われる場合は、当該外国の個人情報の保護に関する制度等を把握したうえで、保有個人情報の安全管理のために必要な措置を講ずるものとする。

11　保護管理者は、個人番号利用事務又は個人番号関係事務(以下「個人番号利用事務等」という。)を処理するために必要な場合その他番号法で定める場合を除き、個人番号の提供を求めてはならない。

12　職員は、情報システムで取り扱う保有個人情報の秘匿性等その内容に応じて、入力原票と入力内容との照合、処理前後の当該保有個人情報の内容の確認、既存の保有個人情報との照合等を行うものとする。

13　保護管理者は、個人番号利用事務等を処理するために必要な場合その他番号法で定める場合を除き、特定個人情報ファイルを作成してはならない。

14　保護管理者は、番号法第19条各号のいずれかに該当する場合を除き、他人の個人番号を含む個人情報等を収集又は保管してはならない。

15　保護管理者は、個人情報等を取り扱う事務を実施する区域(以下「取扱区域」という。)を明確にし、物理的な安全管理措置を講ずるものとする。

2　保護管理者は、前項の委託に係る契約書において、次に掲げる事項を約定しなければならない。当該個人情報等を取り扱う事務の委託を受けた者が、市があらかじめ承認した再委託の契約をする場合も、同様とする。

3　保護管理者は、奥州市財務規則(平成18年奥州市規則第57号)第132条の規定により契約書の作成を省略するときは、前項各号に掲げる事項を契約事項として受託者に交付しなければならない。ただし、個人情報等保護の観点から特に必要と認めるときは、契約書を作成しなければならない。

4　保護管理者は、委託先の選定に当たり、あらかじめ必要な調査を行い、第2項各号に掲げる事項を確実に遵守できることが見込まれる者を選定しなければならない。

5　保護管理者は、個人情報等を取り扱う事務の全部又は一部の委託をする場合には、委託先において、個人情報保護法、番号法その他関係法令に基づき市が果たすべき安全管理措置と同等の措置が講じられるか否かについて、あらかじめ確認するものとする。

6　保護管理者は、個人情報等を取り扱う事務の全部又は一部の委託をする際には、委託を受けた者において、市が果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行うものとする。

7　保護管理者は、個人番号利用事務等の全部又は一部の委託を受けた者が再委託をする際には、委託をする個人番号利用事務等において取り扱う個人情報等の適切な安全管理が図られることを確認した上で再委託の諾否を判断するものとする。

8　保護管理者は、個人情報等を取り扱う事務を実施機関以外の者に委託する際には、当該委託において提供する保有個人情報の範囲を必要最小限にしなければならない。

9　保護管理者は、個人情報等を取り扱う事務を実施機関以外の者に委託する場合は、当該委託において提供する保有個人情報の秘匿性等その内容に応じて、保有個人情報の取扱いについて、原則として年に1回以上、実施検査により確認するものとする。

10　保護管理者は、個人情報等を取り扱う事務を派遣労働者によって行わせる場合は、労働者派遣契約書に秘密保持義務その他の個人情報等の取扱いに関する事項を明記するものとする。

2　保護管理者は、前項に規定する取扱者を指名したとき又は指名を解いたときは、電子計算機取扱者指名(解任)届(様式第10号)により保護統括管理者に届け出なければならない。

3　保護統括管理者は、前項による指名の届出があったときは、取扱者に対し、当該業務の操作権限を与えるものとし、解任の届出があったときは、取扱者の当該業務の操作権限を解除しなければならない。

4　保護統括管理者は、前項により操作権限を与えた取扱者に対し、電子計算組織を操作するための暗証番号を付与しなければならない。

5　取扱者は、前項により付与された暗証番号を他に漏らしてはならない。

6　保護統括管理者は、第2項による指名又は解任の届出があったときは、暗証番号設定台帳(様式第11号)に必要事項を記入し、取扱者の指名状況等を明らかにしておかなければならない。

7　保護管理者は、保有個人情報の秘匿性等その内容に応じて、当該保有個人情報にアクセスした記録を定期的に分析するために必要な措置を講ずるものとする。

2　保護管理者は、取扱者が当該業務を行わなくなったときは、解任しなければならない。

2　前項の規定に基づく申請を受けた保護管理者は、端末装置の使用の可否を決定し、端末装置使用承認(不承認)通知書(様式第13号)により当該申請をした保護管理者に通知しなければならない。

3　前項の規定に基づき申請を承認した保護管理者は、保護統括管理者に対し、第19条第2項の規定に基づく届出を行わなければならない。

2　保護管理者は、被害の拡大防止又は復旧等のために必要な措置を講ずるものとする。

3　保護管理者は、事案の発生した経緯、被害状況等を調査し、事案発生(処理結果)報告書(様式第14号)により保護最高責任者に報告する。ただし、特に重大と認める事案が発生した場合には、直ちに保護最高責任者に当該事案の内容等について報告するものとする。

4　保護最高責任者は、前項の報告があったときは、適切な指示をするほか必要な措置を講じ、事案の内容等に応じて、当該事案の内容、経緯、被害状況等を市長に速やかに報告するものとする。

5　保護管理者は、事案が復旧したときは、事案発生(処理結果)報告書を保護最高責任者に提出しなければならない。

6　保護管理者は、事案の発生した原因を分析し、再発防止のために必要な措置を講ずるものとする。

7　保護管理者は、事案の内容、影響等に応じて、事実関係及び再発防止策の公表、当該事案に係る保有個人情報の本人への対応等の措置を講ずるものとする。

2　監査を受ける組織は、監査の実施に協力しなければならない。

3　保護監査統括責任者は、別に監査人を指名し、又は依頼したうえで、監査を行わなければならない。

4　監査人は、監査を受ける組織から独立し、かつ、監査及び保有個人情報の管理に関する専門知識を有する者でなければならない。

5　保護監査統括責任者は、監査の実施を通して収集した監査証拠及び監査報告書の作成のための監査調書を適切に保管しなければならない。

6　保護管理者は、保有個人情報の記録媒体、処理経路、保管方法等について、定期に又は随時に点検を行い、必要があると認めるときは、その結果を保護最高責任者に報告しなければならない。

7　保有個人情報の適切な管理のための措置については、保護最高責任者及び保護管理者等は、監査又は点検の結果等を踏まえ、実効性等の観点から評価し、必要があると認めるときは、その見直し等の措置を講ずるものとする。

(施行期日)

1　この訓令は、平成18年4月1日から施行する。

(経過措置)

2　この訓令の施行の前日までに、合併前の水沢市個人情報保護管理規程(平成17年水沢市訓令第8号)の規定によりなされた保護管理者、情報管理者及び保護責任者が行った手続その他の行為は、この訓令の相当規定によりなされた手続その他の行為とみなす。

この訓令は、平成19年4月1日から施行する。

この訓令は、平成20年4月1日から施行する。

この訓令は、平成20年10月1日から施行する。

この訓令は、平成22年4月1日から施行する。

この訓令は、平成23年4月1日から施行する。ただし、第2条の改正規定は、同年9月1日から施行する。

この訓令は、平成24年4月1日から施行する。

この訓令は、平成27年4月1日から施行する。

この訓令は、平成28年3月24日から施行する。ただし、第5条第2項の改正規定(「奥州市個人情報保護審査会」を「奥州市情報公開・個人情報保護審査会」に改める部分に限る。)は、平成28年4月1日から施行する。

この訓令は、平成30年4月1日から施行する。ただし、第2条の改正規定は、平成30年2月5日から施行する。

この訓令は、平成31年4月1日から施行する。

この訓令は、令和2年4月1日から施行する。ただし、第13条第2項、第14条第1項、様式第3号及び様式第4号の改正規定は、令和2年3月24日から施行する。

この訓令は、令和4年4月1日から施行する。

この訓令は、令和5年4月1日から施行する。

この訓令は、令和6年4月1日から施行する。