２　個人情報は、個人の人格尊重の理念の下に慎重に取り扱われるべきものであることに鑑み、その適正な取扱いが図られなければならない。

２　この規則において、「個人識別符号」とは、次の各号のいずれかに該当する文字、番号、記号その他の符号のうち、政令で定めるものをいう。

３　この規則において、「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。

４　この規則において、個人情報について「本人」とは、個人情報によって識別される特定の個人をいう。

５　この規則において「仮名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報をいう。

６　この規則において「匿名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。

７　この規則において、「個人関連情報」とは、生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。

８　この規則において、「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるもの（利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものを除く。）をいう。

９　この規則において、「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者をいう。ただし、次に掲げる者を除く。

10　この規則において、「個人データ」とは、個人情報データベース等を構成する個人情報をいう。

11　この規則において、「個人関連情報データベース等」とは、個人関連情報を含む情報の集合物であって、特定の個人関連情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の個人関連情報を容易に検索することができるように体系的に構成したものとして政令で定めるものをいう。

12　この規則において、「個人関連情報取扱事業者」とは、個人関連情報データベース等を事業の用に供している者で、第９項各号に掲げる者を除く。

13　この規則において、「保有個人情報」とは、本学の職員等（第17項の定義による。以下、同じ。）が職務上作成し、又は取得した個人情報であって、職員等が組織的に利用するものとして、本学が保有しているものをいう。ただし、法人文書（独立行政法人等の保有する情報の公開に関する法律（平成13年法律第140号。以下「独立行政法人等情報公開法」という。）第２条第２項に規定する法人文書）に記録されているものに限る。

14　この規則において、「個人情報ファイル」とは、保有個人情報を含む情報の集合物であって、次に掲げるものをいう。

15　この規則において、「行政機関等匿名加工情報」とは、次の各号のいずれにも該当する個人情報ファイルを構成する保有個人情報の全部又は一部（これらの一部に独立行政法人等情報公開法第５条に規定する不開示情報（同条第１号に掲げる情報を除き、同条第２号ただし書に規定する情報を含む。）が含まれているときは、これらの不開示情報に該当する部分を除く。）を加工して得られる匿名加工情報をいう。

16　この規則において、「行政機関等匿名加工情報ファイル」とは、行政機関等匿名加工情報を含む情報の集合物であって、次に掲げるものをいう。

17　この規則において、「職員等」とは、本学の役員又は職員（派遣労働者を含む。）をいう。

18　この規則において、「管理区域」とは、個人情報データベース等を取り扱うサーバやメインコンピュータ等の重要な情報システムを設置又は管理する区域をいう。

19　この規則において、「取扱区域」とは、個人データを取り扱う事務を実施する区域をいう。

20　この規則において、「部局」とは、各学部、各大学院研究科、大学院研究部・教育部、経済研究所、附属図書館、研究機構、社会科学高等研究院、森有礼高等教育国際流動化機構、情報基盤センター、社会科学古典資料センター、保健センター、学生支援センター及び事務局をいう。

21　この規則において、「部局長」とは、前項に規定する部局の長をいう。

22　この規則において、「漏えい等」とは、漏えい、滅失又は毀損をいう。

２　総括責任者は、法令遵守の観点から、保護責任者に対して指導、助言する。

２　副総括責任者は、前条に掲げる事務について総括責任者を補佐するものとする。

２　個人データを情報システムで取り扱う場合、保護責任者は、当該情報システムの管理者と連携して、その任に当たる。

３　保護責任者は、個人データを複数の部署で取り扱う場合の各部署の任務分担及び責任を明確化する。

４　保護責任者は、個人データの秘匿性等その内容に応じて、当該個人データを取り扱う権限を有する職員等の範囲と権限の内容を、当該職員等が業務を行う上で必要最小限の範囲に限るものとする。

２　保護担当者は、個人データの取得、保管、利用、提供、開示、訂正、利用停止、廃棄、削除又は委託処理等、個人データを取り扱う業務に従事する際、法令等、本規則並びに総括責任者、副総括責任者及び保護責任者の指示した事項に従い、個人データの保護に十分な注意を払い、その業務に従事しなければならない。

３　保護担当者は、個人データの漏えい等、法令等及び本規則に違反している事実又は兆候を把握した場合、速やかに保護責任者に報告するものとする。

２　監査責任者は、第４条の総括責任者を兼ねることはできない。

２　保護責任者は、前項の報告を受けた場合、被害の拡大防止又は復旧等のために必要な措置を速やかに講ずるものとする。ただし、外部からの不正アクセスや不正プログラムの感染が疑われる当該端末等のＬＡＮケーブルを抜くなど、被害拡大防止のため直ちに行い得る措置については、直ちに行う（当該部局等の職員等に行わせることを含む。）ものとする。

３　保護責任者は、発生した事案の経緯、被害状況等を調査し、総括責任者に報告するものとする。ただし、被害状況等から特に重大と認められる場合には、直ちに総括責任者に当該事案について報告しなければならない。

４　総括責任者は、前項の規定に基づく報告を受けた場合には、事案の内容等に応じて、当該事案の内容、経緯、被害状況等を学長に速やかに報告するものとする。

５　総括責任者は、事案の内容等に応じて、事案の内容、経緯、被害状況等について、個人情報保護委員会及び文部科学省に対し、速やかに報告を行う。

６　保護責任者は、事案の発生した原因を分析し、再発防止のために必要な措置を講じなければならない。

２　総括責任者は、個人データを取り扱う情報システムの管理に関する事務に従事する職員等に対し、個人データの適切な管理のために、情報システムの管理、運用及びセキュリティ対策に関して必要な教育研修を行う。

３　保護責任者は、当該部局等の職員等に対し、個人データの適切な管理のために総括責任者の実施する教育研修への参加の機会を付与する等の必要な措置を講ずるものとする。

４　個人データを取り扱う職員等は、総括責任者が主催する教育研修を受講するものとする。

２　権限を有しない職員等は、個人データを取り扱ってはならない。

３　職員等は、取り扱う権限を有する場合であっても、業務上の目的以外の目的で個人データを取り扱ってはならない。

２　保護責任者は、必要があると認めるときは、管理区域の出入口の特定化による入退の管理の容易化、所在表示の制限等の措置を講ずるものとする。

３　保護責任者は、管理区域及び保管施設の入退の管理について、必要があると認めるときは、立入りに係る認証機能の設定、パスワード等の管理に関する定めの整備（その定期又は随時の見直しを含む。）及びパスワード等の読取防止等を行うために必要な措置を講ずるものとする。

２　保護責任者は、災害等に備え、管理区域に、耐震、防火、防煙、防水等の必要な措置を講ずるとともに、サーバ等の機器の予備電源の確保、配線の損傷防止等の措置を講ずるものとする。

２　職員等は、保護責任者が必要と認めるときを除き、端末を外部へ持ち出し、又は外部から持ち込んではならない。

２　前項により個人データが記録された電子媒体又は書類等の持ち運びを行う場合には、以下の安全策を講じるものとする。

２　保護責任者は、個人データの削除、又は電子媒体等の廃棄を委託した場合には、委託先が確実に削除又は廃棄したことについて、証明書等により確認するものとする。

２　保護責任者は、前項の措置を講ずる場合には、パスワード等の管理に関する定めを整備（その定期又は随時の見直しを含む。）するとともに、パスワード等の読取防止等を行うために必要な措置を講ずるものとする。

２　保護責任者は、アクセス記録の改ざん、窃取又は不正な消去の防止のために必要な措置を講ずるものとする。

２　保護責任者は、当該個人データの秘匿性等その内容に応じて、随時、消去等の実施状況を重点的に確認するものとする。

２　職員等は、個人データの内容に誤り等を発見した場合には、保護責任者の指示に従い、訂正等を行うものとする。

２　個人データに該当しない個人情報及び仮名加工情報を取り扱う場合についても、本章の各安全管理措置に準じ、必要な措置を講じるものとする。

２　本学は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。

２　本学は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。

２　本学は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

３　本学は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。

４　前三項の規定は、次に掲げる場合については、適用しない。

２　本学は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。

３　前二項の規定は、次に掲げる場合については、適用しない。

２　本学は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。ただし、第三者に提供される個人データが要配慮個人情報又は第45条第１項の規定に違反して取得されたもの若しくは他の個人情報取扱事業者からこの項本文の規定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む。）である場合は、この限りでない。

３　本学は、前項第１号に掲げる事項に変更があったとき又は同項の規定による個人データの提供をやめたときは遅滞なく、同項第３号から第５号まで、第７号又は第８号に掲げる事項を変更しようとするときはあらかじめ、その旨について、個人情報保護委員会規則で定めるところにより、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出なければならない。

４　次に掲げる場合において、当該個人データの提供を受ける者は、前３項の規定の適用については、第三者に該当しないものとする。

５　本学は、前項第３号に規定する個人データの管理について責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったときは遅滞なく、同号に規定する利用する者の利用目的又は当該責任を有する者を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

２　本学は、前項の規定により本人の同意を得ようとする場合には、個人情報保護委員会規則で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。

３　本学は、個人データを外国にある第三者（第１項に規定する体制を整備している者に限る。）に提供した場合には、個人情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。

２　本学は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。

２　本学は、前項の規定による確認を行ったときは、別記様式第３号の個人データ受領記録簿により記録を作成しなければならない。

３　本学は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。

２　第52条第３項の規定は、前項の規定により本学が個人関連情報を提供する場合について準用する。この場合において、同条第３項中「講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供し」とあるのは、「講じ」と読み替えるものとする。

３　前条第２項及び第３項の規定は、第１項の規定により本学が確認する場合について準用する。この場合において、同条第２項中「別記様式第３号の個人データ受領記録簿」とあるのは、「別記様式第４号の個人関連情報提供記録簿」と読み替えるものとする。

２　前項の「必要かつ適切な監督」には次に掲げる事項が含まれる。

３　前項第１号の委託先の適切な選定に当たっては、委託先の安全管理措置が、本学における安全管理措置と同等であることを確認するため、本規則に定める各項目が、委託する業務内容に沿って、確実に実施されることについて、あらかじめ確認しなければならない。

４　第２項第３号の「委託先における個人データの取扱状況の把握」については、委託契約の内容として、以下の規定等を盛り込むものとし、当該契約の遵守状況について、１年に１回以上（当該委託先との契約期間が１年に満たない場合は、契約期間中に１回程度）の頻度で、委託先から報告を受けるものとする。

５　本学は、委託先において個人データの安全管理が適切に行われていることについて、１年に１回以上（当該委託先との契約期間が１年に満たない場合は、契約期間中に１回程度）の頻度で、委託先の実地調査等を行うものとする。

６　本学は、委託先において情報漏えい事故等が発生した場合に、適切な対応がなされ、速やかに本学に報告される体制になっていることを確認するものとする。

７　委託先は、本学の許諾を得た場合に限り、委託を受けた個人データの全部又は一部を再委託することができるものとする。再委託先が更に再委託する場合も同様とする。

８　本学は、再委託先の適否の判断のみならず、委託先が再委託先に対しても必要かつ適切な監督を行っているかどうかについても監督する。

９　本学は、委託先が再委託をする場合、当該再委託契約の内容として、第４項と同等の規定等を盛り込ませるものとする。

10　個人データの取扱いに係る業務を派遣労働者によって行わせる場合には、労働者派遣契約書に秘密保持義務等個人情報の取扱いに関する事項を明記するものとする。

２　本学は、仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等（仮名加工情報の作成に用いられた個人情報から削除された記述等及び個人識別符号並びに前項の規定により行われた加工の方法に関する情報をいう。以下この条において同じ。）を取得したときは、削除情報等の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、削除情報等の安全管理のための措置を講じなければならない。

３　本学は、第48条の規定にかかわらず、法令に基づく場合を除くほか、第46条第１項の規定により特定された利用目的の達成に必要な範囲を超えて、仮名加工情報（個人情報であるものに限る。以下この条において同じ。）を取り扱ってはならない。

４　仮名加工情報についての第47条の規定の適用については、同条第１項及び第３項中「、本人に通知し、又は公表し」とあるのは「公表し」と、同条第４項第１号から第３号までの規定中「本人に通知し、又は公表する」とあるのは「公表する」とする。

５　本学は、仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞なく消去するよう努めなければならない。この場合においては、第50条の規定は、適用しない。

６　本学は、第51条第１項及び第２項並びに第52条第１項の規定にかかわらず、法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはならない。この場合において、第51条第４項中「前３項」とあるのは「第60条第６項」と、同項第３号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第６項中「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と、第53条第１項ただし書中「第51条第１項各号又は第４項各号のいずれか（前条第１項の規定による個人データの提供にあっては、第51条第１項各号のいずれか）」とあり、及び第54条第１項ただし書中「第51条第１項各号又は第４項各号のいずれか」とあるのは「法令に基づく場合又は第51条第４項各号のいずれか」とする。

７　本学は、仮名加工情報を取り扱うに当たっては、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該仮名加工情報を他の情報と照合してはならない。

８　本学は、仮名加工情報を取り扱うに当たっては、電話をかけ、郵便若しくは民間事業者による信書の送達に関する法律（平成14年法律第99号）第２条第６項に規定する一般信書便事業者若しくは同条第９項に規定する特定信書便事業者による同条第２項に規定する信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法（電子情報処理組織を使用する方法その他の情報通信の技術を利用する方法であって個人情報保護委員会規則で定めるものをいう。）を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用してはならない。

９　仮名加工情報及び仮名加工情報である個人データについては、第46条第２項及び第65条の規定は、適用しない。

２　第51条第４項及び第５項の規定は、本学が仮名加工情報の提供を受ける場合に準用する。この場合において、同条第４項中「前３項」とあるのは「第61条第１項」と、同項第３号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第５項中「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と読み替えるものとする。

２　前項の規定は、次に掲げる個人情報ファイルについては、適用しない。

３　第１項の規定にかかわらず、本学は、記録項目の一部若しくは法第74条第１項第５号若しくは第７号に掲げる事項を個人情報ファイル簿に記載し、又は個人情報ファイルを個人情報ファイル簿に掲載することにより、利用目的に係る事務又は事業の性質上、当該事務又は事業の適正な遂行に著しい支障を及ぼすおそれがあると認めるときは、その記録項目の一部若しくは事項を記載せず、又はその個人情報ファイルを個人情報ファイル簿に掲載しないことができる。

２　行政機関等匿名加工情報の作成及び提供等に関し、必要な事項は別に定める。

２　前項の事態が発生した場合の対応は、別に定めるところによる。

２　本学は、前項の目的を達成するために必要な体制の整備に努めるものとする。