第１条　この規程は，「個人情報の保護に関する法律」（平成１５年法律第５７号。以下「保護法」という。）第２３条及び「行政手続における特定の個人を識別するための番号の利用等に関する法律（平成２５年法律第２７号。以下「番号法」という。）」に基づき，国立大学法人大阪教育大学（以下「本法人」という。）における個人情報の適切な管理に関する基本的事項について，法令等に定めるもののほか，必要な事項を定めることにより，本法人の事務及び事業の適正かつ円滑な運営を図りつつ，個人の権利利益を保護することを目的とする。

第２条　この規程における用語の定義は，次項から第２３項に定めるところによる。

第３条　本法人に総括保護管理者を置き，事務局長をもって充てる。

第４条　本法人の事務組織の課又は室に，保護管理者を置き，当該課長又は室長をもって充てる。

第５条　本法人の課又は室に，保護管理者が指名する保護担当者を１人以上置く。

第６条　前２条の規定にかかわらず，国立大学法人大阪教育大学法人文書管理規則第２条第２項に規定する教育・研究関係文書に記録されている個人情報等の管理を行う大学教員組織及び附属学校園教員組織にあっては，系又は部局等の長を保護管理者とし，当該系又は部局等の教員を保護担当者とする。

第７条　総括保護管理者は，第４条第１項，第５条第１項及び前条に規定する管理体制では適正な管理をし難いと認めるときは，状況に応じてその都度保護管理者及び保護担当者を定めることができる。

第８条　本法人に，監査責任者を置き，監事１人をもって充てる。

第９条　総括保護管理者は，個人情報等管理委員会（以下「委員会」という。）を置き，定期又は随時開催する。

第10条　総括保護管理者は，個人情報等の取扱いに従事する職員に対し，個人情報等の取扱いについて理解を深め，個人情報等及び特定個人情報の保護に関する意識の高揚を図るための啓発その他必要な教育研修を行う。

第11条　役員及び職員は，保護法及び番号法の趣旨に則り，関連する法令及び規程等の定め並びに総括保護管理者，保護管理者及び保護担当者の指示に従い，個人情報等を取り扱わなければならない。

第12条　保護管理者は，個人情報を取り扱うに当たっては，その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。

第13条　保護管理者は，あらかじめ本人の同意を得ないで，前条の規定により特定された利用目的の達成に必要な範囲を超えて，個人情報を取り扱ってはならない。

第14条　保護管理者は，違法又は不当な行為を助長し，又は誘発するおそれがある方法により個人情報を利用してはならない。

第15条　役員及び職員は，偽りその他不正の手段により個人情報を取得してはならない。

第16条　保護管理者は，個人情報を取得した場合は，あらかじめその利用目的を公表している場合を除き，速やかに，その利用目的を，本人に通知し，又は公表しなければならない。

第17条　役員及び職員は，利用目的の達成に必要な範囲内において，個人データを正確かつ最新の内容に保つとともに，利用する必要がなくなったときは，当該個人データを遅滞なく消去するよう努めなければならない。

第18条　保護管理者は，個人データ及び保有個人情報（以下「個人データ等」という。）の秘匿性等その内容に応じて，当該個人データ等にアクセスする権限を有する役員及び職員の範囲と権限の内容を，当該役員及び職員が業務を行う上で必要最小限の範囲に限る。

第19条　役員及び職員が，業務上の目的で個人データ等を取り扱う場合であっても，当該個人データ等の秘匿性等その内容に応じて，当該行為を想定し，役員及び職員は，保護管理者の指示に従い行う。

第20条　役員及び職員は，個人データ等の内容に誤り等を発見した場合には，保護管理者の指示に従い，訂正等を行う。

第21条　役員及び職員は，保護管理者の指示に従い，個人データ等が記録されている媒体を定められた場所に保管するとともに，必要があると認めるときは，耐火金庫等への保管，施錠等を行う。

第22条　役員及び職員は，個人データ等又は個人データ等が記録されている媒体（端末及びサーバに内蔵されているものを含む。）が不要となった場合には，保護管理者の指示に従い，当該個人データ等の復元又は判読が不可能な方法により当該情報の消去又は当該媒体の廃棄を行う。

第23条　保護管理者は，個人データ等の秘匿性等その内容に応じて，台帳等を整備して，当該個人データ等の利用及び保管等の取扱いの状況について記録する。

第24条　保護管理者は，特定個人情報等を取り扱う事務を実施する区域（以下「取扱区域」という。）を明確にし，物理的な安全管理措置を講ずる。

第25条　保護管理者は，個人データ等が外国において取り扱われる場合，当該外国の個人情報の保護に関する制度を把握したうえで，個人データ等の安全管理のために必要かつ適切な措置を講じなければならない。

第26条　保護管理者は，個人データ等（情報システムで取り扱うものに限る。以下本章（第２６条を除く。）において同じ。）の秘匿性等その内容に応じて，認証機能を設定する等のアクセス制御のために必要な措置を講ずる。

第27条　保護管理者は，個人データ等の秘匿性等その内容に応じて，当該個人データ等へのアクセス状況を記録し，その記録（以下「アクセス記録」という。）を一定の期間保存し，及びアクセス記録を定期に又は随時に分析するために必要な措置を講ずる。

第28条　保護管理者は，個人データ等の秘匿性等その内容及びその量に応じて，当該個人データ等への不適切なアクセスの監視のための必要な措置を講ずる。

第29条　保護管理者は，個人データ等の秘匿性等その内容に応じて，情報システムの管理者権限の特権を不正に窃取された際の被害の最小化及び内部からの不正操作等の防止のため，当該特権を最小限とする等の必要な措置を講ずる。

第30条　保護管理者は，個人データ等を取り扱う情報システムへの外部からの不正アクセスを防止するため，ファイアウォールの設定による経路制御等の必要な措置を講ずる。

第31条　保護管理者は，不正プログラムによる個人データ等の漏えい，滅失又はき損（以下「漏えい等」という。）の防止のため，ソフトウェアに関する公開された脆弱性の解消，把握された不正プログラムの感染防止等に必要な措置（導入したソフトウェアを常に最新の状態に保つことを含む。）を講ずる。

第32条　役員及び職員は，個人データ等について，一時的に加工等の処理を行うため複製等を行う場合には，その対象を必要最小限に限り，処理終了後は不要となった情報を速やかに消去する。

第33条　保護管理者は，個人データ等の秘匿性等その内容に応じて，その暗号化のために必要な措置を講ずる。

第34条　役員及び職員は，情報システムで取り扱う個人データ等の重要度に応じて，入力原票と入力内容との照合，処理前後の当該個人データ等の内容の確認，既存の個人データ等との照合等を行う。

第35条　保護管理者は，個人データ等の重要度に応じて，バックアップを作成し，分散保管するために必要な措置を講ずる。

第36条　保護管理者は，個人データ等に係る情報システムの設計書，構成図等の文書について外部に知られることがないよう，その保管，複製，廃棄等について必要な措置を講ずる。

第37条　保護管理者は，個人データ等の秘匿性等その内容に応じて，当該個人データ等の漏えい等の防止のため，スマートフォン，USBメモリ等の記録機能を有する機器・媒体の情報システム端末への接続の制限（当該機器の更新への対応を含む。）等の必要な措置を講ずる。

第38条　保護管理者は，個人データ等の秘匿性等その内容に応じて，その処理を行う端末を限定するために必要な措置を講ずる。

第39条　保護管理者は，端末の盗難又は紛失の防止のため，端末の固定，執務室の施錠等の必要な措置を講ずる。

第40条　役員及び職員は，端末の使用に当たっては，個人データ等が第三者に閲覧されることがないよう，使用状況に応じて情報システムからログオフを行うことを徹底する等の必要な措置を講ずる。

第41条　保護管理者は，特定個人情報等へのアクセス状況を記録し，その記録を一定の期間保存し，定期に又は随時に分析するために必要な措置を講ずる。また，アクセス記録の改ざん，窃盗又は不正な削除のために必要な措置を講ずる。

第42条　保護管理者は，個人データ等を取り扱う基幹的なサーバ等の機器を設置する室等（以下「情報システム室等」という。）に入室する権限を有する者を定めるとともに，用件の確認，入退室の記録，部外者についての識別化，部外者が入室する場合の役員及び職員の立会い又は外部電磁的記録媒体等の持ち込み，利用及び持ち出しの制限若しくは検査等の措置を講ずる。また，個人データ等を記録する媒体を保管するための施設を設けている場合においても，必要があると認めるときは，同様の措置を講ずる。

第43条　保護管理者は，外部からの不正な侵入に備え，情報システム室等に施錠装置，警報装置，監視設備の設置等の措置を講ずる。

第44条　保護管理者は，次の各号に掲げる場合を除くほか，あらかじめ本人の同意を得ないで，個人データ等を第三者に提供してはならない。　

第45条　保護管理者は，外国（本邦の域外にある国又は地域をいう。以下この条及び第４９条第１項第２号において同じ。）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則第１５条で定めるものを除く。以下この条及び同号において同じ。）にある第三者（個人データ等の取扱いについて保護法第４章第２節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置（第３項において「相当措置」という。）を継続的に講ずるために必要なものとして個人情報保護委員会規則第１６条で定める基準に適合する体制を整備している者を除く。以下この項及び次項において同じ。）に個人データ等を提供する場合には，前条第１項各号に掲げる場合を除くほか，あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては，同条の規定は，適用しない。　

第46条　保護管理者は，個人データ等を第三者（第２条第２１項各号に掲げる者を除く。以下この条及び次条（第４８条第３項において読み替えて準用する場合を含む。）において同じ。）に提供したときは，個人情報保護委員会規則第１９条で定めるところにより，当該個人データ等を提供した年月日，当該第三者の氏名又は名称その他の個人情報保護委員会規則第２０条で定める事項に関する記録を作成しなければならない。ただし，当該個人データ等の提供が第４４条第１項各号又は第４項各号のいずれか（前条第１項の規定による個人データ等の提供にあっては，第４４条第１項各号のいずれか）に該当する場合は，この限りでない。　

第47条　保護管理者は，第三者から個人データ等の提供を受けるに際しては，個人情報保護委員会規則第２２条で定めるところにより，次に掲げる事項の確認を行わなければならない。ただし，当該個人データ等の提供が第４４条第１項各号又は第４項各号のいずれかに該当する場合は，この限りでない。

第48条　保護管理者は，第三者が個人関連情報（個人関連情報データベース等を構成するものに限る。以下この章において同じ。）を個人データ等として取得することが想定されるときは，第４４条第１項各号に掲げる場合を除くほか，次に掲げる事項について，あらかじめ個人情報保護委員会規則第２６条で定めるところにより確認することをしないで，当該個人関連情報を当該第三者に提供してはならない。　

第49条　個人情報の取扱いに係る業務を外部に委託する場合には，個人情報の適切な管理を行う能力を有しない者を選定することがないよう，必要な措置を講ずるとともに，その取扱いを委託された個人情報の安全管理が図られるよう，委託先に対する必要かつ適切な監督を行わなければならない。また，契約書等に，次の各号に掲げる事項を明記するとともに，委託先における責任者等の管理体制，個人情報の管理の状況についての検査に関する事項等の必要な事項について書面で確認する。

第50条　個人情報の漏えい等の事案の発生又は兆候を把握した場合及び保護担当者が管理規程等に違反している事実又は兆候を把握した場合等，安全確保の上で問題となる事案又は問題となる事案の発生のおそれを認識した場合に，その事案等を認識した役員及び職員は，直ちに当該個人情報を管理する保護管理者に報告する。

第51条　事案の内容，影響等に応じて，事実関係及び再発防止策の公表，当該事案に係る個人情報の本人への対応等の措置を講ずる。公表を行う事案については，当該事案の内容，経緯，被害状況等について，速やかに個人情報保護委員会に情報提供を行う。

第52条　保護管理者は，個人情報ファイル（保護法第７５条第２項第１号に掲げるもの及び同条第３項の規定により個人情報ファイル簿に掲載しないものを除く。以下本条において同じ。）を保有するに至ったときは，直ちに，別記様式により個人情報ファイル簿を作成する。

第53条　本法人が個人番号を取り扱う事務の範囲は，番号法があらかじめ限定的に定めた事務の範囲のうち，次の各号に掲げる事務に限る。

第54条　前条に規定する事務において使用される特定個人情報は次の各号に掲げるとおりとする。

第55条　保護管理者は，番号法第１９条各号のいずれかに該当して特定個人情報の提供を受けることができる場合を除き，他人（自己と同一の世帯に属する者以外の者をいう。）に対し，個人番号の提供を求めてはならない。

第56条　保護管理者は，第５４条に規定する個人番号取扱事務を処理するために必要な場合その他番号法で定める場合を除き，特定個人情報ファイルを作成してはならない。

第57条　保護管理者は，番号法第１９条各号のいずれかに該当する場合を除き，他人の特定個人情報等を提供，収集又は保管してはならない。

第58条　保護管理者は，仮名加工情報（仮名加工情報データベース等を構成するものに限る。以下この章において同じ。）を作成する場合は，他の情報と照合しない限り特定の個人を識別することができないようにするために必要なものとして個人情報保護委員会規則第３１条で定める基準に従い，個人情報を加工しなければならない。　

第59条　保護管理者は，法令に基づく場合を除くほか，仮名加工情報（個人情報であるものを除く。次項及び第３項において同じ。）を第三者に提供してはならない。　

第60条　行政機関等匿名加工情報の作成及び提供等については，別に定める。

第61条　本法人は，匿名加工情報（行政機関等匿名加工情報を除く。以下この条において同じ。）を第三者に提供するときは，法令に基づく場合を除き，個人情報保護委員会規則第６６条で定めるところにより，あらかじめ，第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに，当該第三者に対して，当該提供に係る情報が匿名加工情報である旨を明示しなければならない。

第62条　監査責任者は，個人情報等の適切な管理を検証するため，第２章から前章に規定する措置の状況を含む本法人における管理の状況について，定期に及び必要に応じ随時に監査（外部監査を含む。以下同じ。）を行い，その結果を総括保護管理者に報告する。

第63条　保護管理者は，各課室等における個人情報等の記録媒体，処理経路，保管方法等について，定期に及び必要に応じ随時に点検を行い，必要があると認めるときは，その結果を総括保護管理者に報告する。

第64条　総括保護管理者，保護管理者等は，監査又は点検の結果等を踏まえ，実効性等の観点から個人情報等の適切な管理のための措置について評価し，必要があると認めるときは，その見直し等の措置を講ずる。

第65条　本法人は，個人情報の保護に関する基本方針（平成１６年４月２日閣議決定）を踏まえ，文部科学省と緊密に連携して，その保有する個人情報の適切な管理を行う。

第66条　総括保護管理者は，開示請求，訂正請求又は利用停止請求(以下「開示請求等」という。)をしようとする者がそれぞれ容易かつ的確に開示請求等をすることができるよう，本学が保有する保有個人情報の特定に資する情報の提供その他開示請求等をしようとする者の利便を考慮した適切な措置を講ずるものとする。

第67条　役員及び職員は，個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。

第68条　本法人は，学術研究目的で行う個人情報の取扱いについて，この法律の規定を遵守するとともに，その適正を確保するために必要な措置を自ら講じ，かつ，当該措置の内容を公表するよう努めなければならない。

第69条　この規程に定めるもののほか，必要な事項は，別に定める。