(趣旨)

第1条　この訓令は、個人情報の保護に関する法律(平成15年法律第57号。以下「法」という。)、個人情報の保護に関する法律施行令(平成15年政令第507号。以下「政令」という。)、飯田市個人情報の保護に関する法律施行条例(令和4年飯田市条例第26号。以下「条例」という。)及び飯田市個人情報の保護に関する法律施行細則(令和5年飯田市規則第8号。以下「規則」という。)に定めるもののほか、飯田市が保有する個人情報の取扱いに関し必要な事項を定めるものとする。

(用語の意義)

第2条　この訓令において用いる用語の意義は、法、政令、条例及び規則において使用する用語の例による。

(所管課との役割分担)

第3条　総務部総務文書課(以下「総務文書課」という。)は、保有個人情報の保護に係る事務(次項において「個人情報保護事務」という。)のうち、おおむね次の事務を行うものとする。

(個人情報ファイル簿の作成及び公表の手続)

第4条　個人情報ファイル簿の作成及び公表の手続は、次の各号に掲げるとおりとする。

(取得及び利用又は提供の制限に係る手続)

第5条　所管課は、本人以外から個人情報を取得する場合又は法第69条第2項第2号から第4号までの規定により利用目的以外に保有個人情報を自ら利用し若しくは提供する場合であって、その行為が経常的なものでない場合その他疑義がある場合には、次の各号に掲げる事項について、総務文書課及び関係課と協議するものとする。

(開示請求の相談)

第6条　所管課又は総務文書課は、開示請求をしようとする者からその請求をする旨の相談があったときは、開示請求書(規則第4条第2項に規定するものをいう。以下同じ。)によることなく次の各号に掲げる対応ができることを説明するものとする。

(開示請求の方法)

第7条　開示請求は、法第77条及び政令第22条第1項から第3項までの規定により、開示請求をしようとする者が開示請求書に必要事項を記入し、提出することにより行うものとし、口頭、電話又はファクシミリによる請求は、受け付けないものとする。

(保有個人情報の特定)

第8条　開示請求に係る保有個人情報の特定については、開示請求をしようとする者から開示請求に係る保有個人情報を特定するために必要な事項を十分聴き取ることにより行うものとする。

(窓口における開示請求の受付)

第9条　開示請求の受付は、所管課又は行政資料コーナーにおいて行うものとする。

(開示請求者への説明)

第10条　開示請求の受付に際しては、開示請求者に次の各号に掲げる事項について説明を行うものとする。

(開示請求書を実施機関に送付して開示請求をする場合の取扱い)

第11条　政令第22条第2項に規定する送付による開示請求の取扱いは、所管課又は行政資料コーナーにおいて次のように行うものとする。

(開示請求書受付時の確認事項)

第12条　所管課は、所管課において受け付け、又は行政資料コーナーから送付された開示請求書について、次の事項を確認するものとする。

(事案の移送)

第13条　開示請求に係る保有個人情報が他の実施機関から提供されたものであるときその他他の実施機関において開示決定等をすることにつき正当な理由があるときに法第85条第1項の規定により行う事案の移送は、次のように行うものとする。

(開示決定等の起案及び決裁)

第14条　開示決定等は、総務文書課に合議の上、所管課において行うことを原則とする。

(保有個人情報の存否に関する情報)

第15条　開示請求に対し、当該開示請求に係る保有個人情報が存在しているか否かを答えるだけで、不開示情報を開示することとなるときは、法第81条の規定により、当該保有個人情報の存否を明らかにしないで、当該開示請求を拒否することができる。この場合において、当該開示請求に係る保有個人情報の性質、内容、開示請求書の記載内容等を踏まえ、当該保有個人情報の存否を明らかにすることにより不開示情報を開示することになる理由を示し、規則第5条第2項の開示をしない旨の決定通知書により開示請求者に通知するものとする。

(文書不存在による不開示)

第16条　開示請求に係る保有個人情報を保有していない場合は、その旨及び当該保有個人情報を取得しておらず、又は廃棄したことその他の当該個人情報を保有していない理由を示し、規則第5条第2項の開示をしない旨の決定通知書により開示請求者に通知するものとする。

(決定期間の延長に係る協議)

第17条　法第83条第2項の規定による通知及び法第84条の規定による通知を行うに際しては、所管課、総務文書課及び関係課が協議するものとする。

(開示の日時及び場所)

第18条　保有個人情報の開示の日時は、開示決定通知書が開示請求者に到達する予定の日までの日数を考慮し、当該日以後の飯田市の休日を定める条例(平成元年飯田市条例第40号)第1条の市の休日以外の日であって、飯田市職員服務規程(昭和45年飯田市訓令第6号)第4条の2の勤務時間内の日時とする。

(個人情報等の開示の実施)

第19条　保有個人情報を開示する際は、所管課又は総務文書課の職員が立ち会うものとし、開示請求者に対して開示決定通知書の提示を求め、その内容を確認するものとする。

(保有個人情報の訂正に係る事務)

第20条　訂正請求の受付に係る事務手続は、開示請求の受付事務に準じて取り扱うものとする。この場合において、次の事項について留意するものとする。

(保有個人情報の利用停止に係る事務)

第21条　利用停止請求の受付に係る事務手続は、開示請求の受付事務に準じて取り扱うものとする。この場合において、次の事項について留意するものとする。

(審査請求)

第22条　審査請求に係る事務手続きは、法第104条から第107条までの規定及び行審法の規定に定めるところによる。この場合において、次の事項に留意するものとする。

(安全管理措置に係る体制)

第23条　法第66条第1項の規定による保有個人情報の漏えい、滅失又は毀損の防止その他の保有個人情報の安全管理のために講ずる必要かつ適切な措置(以下「安全管理措置」という。)について組織を通じて実施するため、総括保護管理者を設置し、総務部長をもって充てる。

(安全管理措置に係る教育研修)

第24条　総括保護管理者は、保有個人情報の取扱いに従事する職員(労働者派遣事業の適正な運営の確保及び派遣労働者の保護等に関する法律(昭和60年法律第88号)第2条第2号に規定する派遣労働者(第52条第6項において「派遣労働者」という。)を含む。以下同じ。)に対し、保有個人情報の取扱いについて理解を深め、個人情報の保護に関する意識の高揚を図るための啓発その他必要と認める教育研修を行うものとする。

(安全管理措置に係る職員の責務)

第25条　職員は、法の趣旨を鑑み、政令その他の関連する法令及び条例、規則その他の関連する規程並びに総括保護管理者、保護管理者及び保護担当者の指示するところにより、保有個人情報を取り扱わなければならない。

(保有個人情報へのアクセス制限)

第26条　保護管理者は、保有個人情報に係る次の各号に掲げる事項(以下「秘匿性等」という。)の内容及び程度に応じて、閲覧、情報システムを用いた接続その他の方法により保有個人情報の取扱いを開始すること(以下「アクセス」という。)を行う権限を有する職員の範囲と権限の内容を、当該職員が業務を行う上で必要最小限の範囲に限るものとする。

(保有個人情報の複製等の制限)

第27条　職員が業務上の目的で保有個人情報を取り扱う場合であっても、保護管理者は、次の各号に掲げる行為については、当該保有個人情報の秘匿性等の内容及び程度に応じて、当該行為を行うことができる場合を必要最小限に限定するものとする。

(保有個人情報に係る誤りの訂正等)

第28条　職員は、保有個人情報の内容に誤りその他の不備を発見した場合には、保護管理者の指示するところにより、誤りの訂正その他の保護管理者が必要と認める措置を行うものとする。

(保有個人情報が記録された媒体の管理等)

第29条　職員は、保護管理者の指示するところにより、保有個人情報が記録されている媒体を定められた場所に保管するとともに、必要があると認めるときは、耐火金庫への保管、施錠その他保護管理者が必要と認める措置を行うものとする。

(保有個人情報の誤送付等の防止)

第30条　職員は、保有個人情報を含む電磁的記録又は媒体を誤って送信し、送付し、交付し、又はウェブサイト等に掲載することを防止するため、個別の事務又は事業において取り扱う個人情報の秘匿性の内容及び程度に応じて、複数の職員による確認、チェックリストの活用その他の保護管理者が必要と認める措置を講ずるものとする。

(保有個人情報の廃棄等)

第31条　職員は、保有個人情報又は保有個人情報が記録されている媒体(電子計算機又は電子計算機の用に供する端末に内蔵されているものを含む。)が不要となった場合には、保護管理者の指示するところにより、当該保有個人情報の復元又は判読が不可能な方法により当該情報の消去又は当該媒体の廃棄を行うものとする。

(保有個人情報の取扱状況の記録)

第32条　保護管理者は、保有個人情報の秘匿性等の内容及び程度に応じて、台帳等を整備して、当該保有個人情報の利用、保管等の取扱いの状況について記録するものとする。

(保有個人情報に係る外的環境の把握)

第33条　保護管理者は、保有個人情報が外国において取り扱われる場合は、当該外国の個人情報の保護に関する制度等を確認し、保有個人情報の安全管理のために必要かつ適切な措置を講ずるものとする。

(保有個人情報のアクセス制御)

第34条　保護管理者は、保有個人情報(情報システムで取り扱うものに限る。以下この条から第45条まで並びに第47条及び第48条において同じ。)の秘匿性等の内容及び程度に応じて、認証機能を設定することその他のアクセス権限の制御のために必要な措置を講ずるものとする。

(保有個人情報のアクセス記録)

第35条　保護管理者は、保有個人情報の秘匿性等の内容及び程度に応じて、当該保有個人情報のアクセスに係る状況を記録するものとする。

(保有個人情報のアクセス状況の監視)

第36条　保護管理者は、保有個人情報の秘匿性等の内容、程度及び量に応じて、当該保有個人情報への不適切なアクセスの監視のため、次の各号に掲げる措置その他の必要と認める措置を講ずるよう努めるものとする。

(管理者権限の設定)

第37条　保護管理者は、保有個人情報の秘匿性等の内容及び程度に応じて、情報システムの管理者が有する特別な権限を不正に窃取された際の被害を最小に抑え、及び内部からの不正な操作等を防止するため、当該権限を最小限とすることその他の必要と認める措置を講ずる。

(外部からの不正アクセスの防止)

第38条　保護管理者は、保有個人情報を取り扱う情報システムへの外部からの不正なアクセスを防止するため、アクセスを行うための情報通信の経路を制御するプログラムの設定その他の必要と認める措置を講ずるよう努めるものとする。

(不正プログラムによる保有個人情報の漏えい等の防止)

第39条　保護管理者は、不正なプログラムによる保有個人情報の漏えい等を防止するため、次の各号に掲げる措置を講ずるものとする。

(情報システムにおける保有個人情報の処理)

第40条　職員は、保有個人情報について、一時的に加工その他の事務に必要な処理を行うため複製その他の保護管理者が必要と認める行為を行う場合には、当該行為の対象を必要最小限に限り、当該処理の終了後は不要となった情報を速やかに消去するものとする。

(保有個人情報の暗号化)

第41条　保護管理者は、保有個人情報の秘匿性等の内容及び程度に応じて、暗号化(第三者により情報の内容を解読できないよう加工することをいう。次項において同じ。)のために必要と認める措置を講ずるものとする。

(記録機能を有する機器及び媒体への接続制限)

第42条　保護管理者は、保有個人情報の秘匿性等の内容及び程度に応じて、当該保有個人情報の漏えい等の防止のため、記録機能を有する機器及び媒体を情報システムの用に供する端末その他の機器への接続を制限することその他の必要と認める措置を講ずるものとする。

(保有個人情報を取り扱う端末の限定)

第43条　保護管理者は、保有個人情報の秘匿性等の内容及び程度に応じて、当該保有個人情報を取り扱う電子計算機その他の端末(以下「端末」という。)を限定するために必要と認める措置を講ずるものとする。

(保有個人情報を取り扱う端末の盗難防止等)

第44条　保護管理者は、端末の盗難又は紛失の防止のため、端末の固定、執務室の施錠等の必要と認める措置を講ずるものとする。

(保有個人情報の第三者の閲覧防止)

第45条　職員は、端末の使用に当たっては、保有個人情報が第三者に閲覧されることがないよう、当該使用の状況に応じて情報システムへの接続を終了することを徹底することその他の必要と認める措置を講ずるものとする。

(情報システムに入力された保有個人情報に係る情報の照合等)

第46条　職員は、情報システムで取り扱う保有個人情報の重要度に応じて、次の各号に掲げる措置その他の保護管理者が必要と認める措置を行うものとする。

(保有個人情報のバックアップ)

第47条　保護管理者は、保有個人情報の重要度に応じて、漏えい等に備えるための当該保有個人情報の複製を作成し、及び分散して保管するために必要と認める措置を講ずるものとする。

(保有個人情報を取り扱う情報システム設計書等の管理)

第48条　保護管理者は、保有個人情報を取り扱う情報システムの設計書、構成図等の文書について外部に知られることがないようにするため、当該文書の保管、複製、廃棄その他の取扱いについて必要と認める措置を講ずるものとする。

(情報システム室等の入退管理)

第49条　保護管理者は、保有個人情報を取り扱う電子計算機であって重要度の高い機器(次条第2項において「サーバ等」という。)を設置する室その他の保護管理者が指定する区域(以下この条及び次条において「情報システム室等」という。)について、次の各号に掲げる措置を講ずるものとする。

(情報システム室等の管理)

第50条　保護管理者は、外部からの不正な侵入に備えるため、情報システム室等に施錠装置、警報装置及び監視設備を設置することその他必要と認める措置を講ずるものとする。

(保有個人情報の提供に係る措置)

第51条　保護管理者は、法第69条第2項第3号又は第4号の規定により行政機関等以外の者に保有個人情報の提供を行う場合には、法第70条の規定により、原則として、提供先における利用目的、利用する業務の根拠法令、利用する記録範囲及び記録項目、利用形態その他保護管理者が必要と認める事項について提供先との間で書面(電磁的記録を含む。)を取り交わすものとする。ただし、保護管理者が別に定める場合にはこの限りでない。

(保有個人情報を取り扱う業務の委託等)

第52条　保護管理者は、保有個人情報の取扱いに係る業務の外部への委託(以下この条及び次条において「委託」という。)を行う場合には、保有個人情報の適切な管理を行う能力を有しない者を委託の相手方(以下この条において「委託先」という。)に選定することがないよう、必要と認める措置を講ずるものとする。

(保有個人情報の提供又は委託を行う場合の留意事項)

第53条　保護管理者は、保有個人情報を提供し、又は委託を行う場合には、保有個人情報の漏えい等による被害発生のリスクを低減するため、提供先の利用目的、委託する業務の内容、保有個人情報の秘匿性等の内容及び程度等を考慮し、必要に応じ、特定の個人を識別することができる記載の全部又は一部を消除し、又は別の符号に置き換えることその他の必要と認める措置を講ずるものとする。

(サイバーセキュリティに関する対策の基準等)

第54条　実施機関は、保有個人情報を取り扱い、又は情報システムを構築し、若しくは利用するに当たっては、サイバーセキュリティ基本法(平成26年法律第104号)第26条第1項第2号に掲げられたサイバーセキュリティに関する対策の基準等を参酌して、取り扱う保有個人情報の性質等を考慮して適正なサイバーセキュリティの水準を確保するものとする。

(漏えい等の事案に係る報告及び再発防止のための措置)

第55条　保有個人情報の漏えい等その他の保有個人情報の安全管理の上で問題となる事案(以下「事案」という。)又は事案の発生のおそれを認識した場合に、当該事案又は当該おそれを認識した職員は、直ちに当該保有個人情報を管理する保護管理者に報告するものとする。

(漏えい等の事案に係る法に基づく報告及び通知)

第56条　保護管理者は、事案が生じた場合であって、法第68条第1項の規定による個人情報保護委員会に対する報告及び同条第2項の規定による本人に対する通知を要するときは、その旨を速やかに総括保護管理者に報告するものとする。この場合において、保護管理者は、前条の規定による事務と並行して、速やかに当該報告及び通知に係る所定の手続を行い、個人情報保護委員会による事案の把握等の活動に協力するものとする。

(漏えい等の事案に係る公表等)

第57条　保護管理者は、前項の報告及び通知を要しない場合であっても、事案の内容、影響等に応じて、実施機関が定めるところにより、次の各号に掲げる措置を講ずるものとする。

(保有個人情報の管理状況に係る監査)

第58条　監査責任者は、保有個人情報の適切な管理について検証するため、実施機関における保有個人情報の管理の状況(第23条から前条までの規定による措置その他の安全管理措置に係る事務の執行に係る状況を含む。)について、必要に応じて監査を行い、その結果を総括保護管理者に報告するものとする。

(保有個人情報の記録媒体等に係る点検)

第59条　保護管理者は、課等における保有個人情報に係る記録媒体、電子計算機を用いて行う事務処理の経路、保管方法等について、必要に応じて点検を行うものとする。

(安全管理措置に係る評価及び見直し)

第60条　総括保護管理者、保護管理者又は監査責任者は、第58条の規定による監査の結果、前条第1項の点検の結果等を考慮し、安全管理措置としての実効性等の観点から、保有個人情報の適切な管理のための措置について評価を行い、必要があると認めるときは、その見直し等の措置を講ずるものとする。

(安全管理措置について適用される規程)

第61条　安全管理措置については、第23条から前条までに規定するもののほか、個人情報保護委員会が定める行政機関等の保有する個人情報の適切な管理のための措置に関する指針その他実施機関が定めるところによる。

(補則)

第62条　この訓令に定めるもののほか、保有個人情報の取扱いについて必要な事項は、総務文書課長が別に定める。