(趣旨)

第1条　この規程は、独立行政法人等の保有する個人情報の保護に関する法律(平成15年法律第59号。以下「法」という。)に基づき、国立大学法人京都大学(以下「本学」という。)における個人情報の取扱い及び国立大学法人京都大学非識別加工情報(国立大学法人京都大学非識別加工情報ファイルを構成するものに限る。)の提供に関する事項その他個人情報の保護に関し必要な事項を定める。

(定義)

第2条　この規程において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。

(職員等の責務)

第2条の2　職員等は、関係法令、規程等を遵守するとともに、総括保護管理者、保護管理者及び保護担当者の指示に従い、保有個人情報を取り扱わなければならない。

(総括保護管理者)

第3条　本学に、保有個人情報の適正な管理を行うため、総括保護管理者を置き、総務担当の理事をもって充てる。

(保護管理者)

第4条　保有個人情報を取り扱う部局(各研究科等(研究科、附置研究所、附属図書館、医学部附属病院又はセンター等(国立大学法人京都大学の組織に関する規程(平成16年達示第1号。以下この項において「組織規程」という。)第3章第7節から第12節までに定める施設等をいう。)をいい、組織規程第56条第1項の部局事務部等を含む。)、事務本部の課若しくは室又は共通事務部の課若しくはセンターをいう。以下同じ。)に保護管理者を置き、当該部局の長(全学教員部にあっては、総長が指名する理事)をもって充てる。

(保護担当者)

第5条　各部局に保護担当者を置き、当該部局の職員(学系、学域及び全学教員部にあっては、当該組織の事務を処理する事務組織の職員を含む。)のうちから保護管理者が指名する。

(監査責任者)

第6条　本学に監査責任者を置き、総長が指名する監事をもって充てる。

(委員会)

第6条の2　総括保護管理者は、必要と認めるときは、保有個人情報の管理に係る重要事項の決定、連絡・調整等を行うため、委員会を置くことができる。

第6条の3　総括保護管理者は、次の各号に掲げる者に対し、当該各号に掲げる教育研修を行うものとする。

(個人情報の保有の制限等)

第7条　職員等は、職務上個人情報を作成し、又は取得するにあたっては、本学の業務(国立大学法人法(平成15年法律第112号)第22条の規定により本学が実施する業務をいう。以下同じ。)を遂行するため必要な場合に限り、かつ、その利用の目的をできる限り特定しなければならない。

(利用目的の明示)

第8条　職員等は、本人から直接書面(電磁的記録を含む。)に記録された当該本人の個人情報を取得するときは、次に掲げる場合を除き、あらかじめ、本人に対し、その利用目的を明示しなければならない。

(適正な取得)

第9条　職員等は、偽りその他不正の手段により個人情報を取得してはならない。

(正確性の確保)

第10条　保有個人情報を取り扱う職員等は、利用目的の達成に必要な範囲内で、当該保有個人情報(国立大学法人京都大学非識別加工情報(国立大学法人京都大学非識別加工情報ファイルを構成するものに限る。)及び削除情報(第46条の2第3項に規定する削除情報をいう。)に該当するものを除く。次条第1項、第13条及び第20条第1項において同じ。)が過去又は現在の事実と合致するよう努めなければならない。

(安全確保の措置等)

第11条　保護管理者は、当該部局における保有個人情報の漏えい、滅失又は毀損の防止その他保有個人情報の適切な管理のために必要な措置を講じるとともに、必要に応じ、保有個人情報の利用者の制限、保有個人情報の取扱いに関する必要な指示その他の合理的な安全対策を講じるものとする。

(従事者の義務)

第12条　保有個人情報の取扱いに従事する職員等又はこれらの職にあった者は、その業務に関して知り得た個人情報の内容をみだりに他人に知らせ、又は不当な目的に利用してはならない。

(利用及び提供の制限)

第13条　職員等は、法令に基づく場合を除き、利用目的以外の目的のために保有個人情報を自ら利用し、又は提供してはならない。

(保有個人情報の提供を受ける者に対する措置要求)

第14条　前条第2項第3号又は第4号の規定による保有個人情報の提供は、当該行政機関等からの申請に基づき、保護管理者が行う。この場合において、保護管理者は、必要があると認めるときは、保有個人情報の提供を受ける者に対し、提供に係る個人情報について、その利用の目的若しくは方法の制限その他必要な制限を付し、又はその漏えいの防止その他の個人情報の適切な管理のために必要な措置を講ずることを求めるものとする。

(保有個人情報取扱い業務受託業者に対する措置要求)

第15条　保護管理者は、保有個人情報の取扱いに係る業務を外部に委託する場合は、委託先において保有個人情報の漏えい、滅失又は毀損の防止その他の保有個人情報の適切な管理のために必要な措置が講じられていることを確認し、かつ、書面により、委託先における責任者及び業務従事者の管理並びに実施に係る体制、個人情報の管理の状況についての検査に関する事項その他個人情報の管理に関し必要な事項を確認し、個人情報の適切な管理を行う能力を有する者が選定され、及び当該委託に係る契約書に次に掲げる事項が明記されるよう必要な措置を講じるものとする。

(事案の報告及び再発防止措置)

第16条　保有個人情報の漏えい、滅失若しくは毀損その他の保有個人情報の安全確保の上で問題となる事案が発生し、又は発生するおそれがある場合に、その事実を知った職員等は、直ちに当該保有個人情報を管理する保護管理者に報告しなければならない。

(監査)

第17条　監査責任者は、保有個人情報の管理の状況について、定期に及び必要に応じて随時に監査(外部監査を含む。以下第3項において同じ。)を行い、その結果を総括保護管理者に報告する。

(個人情報ファイル簿の作成及び公表)

第18条　保護管理者は、当該部局において個人情報ファイル(法第11条第2項各号に掲げるもの及び同条第3項の規定により個人情報ファイル簿に掲載しないものを除く。以下この条において同じ。)を保有するに至ったときは、直ちに、別記様式1に必要事項を記載し、総括保護管理者に届け出なければならない。

(個人情報ファイル簿の変更等)

第19条　保護管理者は、前条第1項の規定により届け出た内容に変更があったとき、保有個人情報ファイルの保有をやめたとき又はその個人情報ファイルが法第11条第2項第7号に該当するに至ったときは、直ちに、別記様式2に必要事項を記載し、総括保護管理者に届け出なければならない。

(開示請求)

第20条　法第12条の規定に基づき、保有個人情報の開示を請求しようとする者(以下「開示請求者」という。)は、所定の開示請求書を開示窓口に提出して行わなければならない。

(開示請求書の補正)

第21条　前条第1項により提出された開示請求書に形式上の不備があると認めるときは、開示窓口(診療情報等開示窓口を含む。第23条を除き、以下同じ。)において、開示請求者に対し、相当の期間を定めて、その補正を求めることができる。この場合において、開示請求者に対し、必要に応じて補正の参考となる情報を提供するものとする。

(開示請求書の写しの交付)

第22条　開示窓口において開示請求書を受理したときは、開示請求者に開示請求書の写しを交付するものとする。

(開示請求書の写しの送付)

第23条　開示窓口において開示請求書を受理したときは、当該個人情報を管理する保護管理者に開示請求書の写しを送付するものとする。

(保有個人情報の提出)

第24条　保護管理者は、前条により開示請求書の写しの送付を受けたときは、当該保有個人情報を総括保護管理者に提出しなければならない。

(開示等の決定)

第25条　総括保護管理者は、第21条の規定による補正に要した日数を除き、開示請求があった日から30日以内に、法第14条から第17条までに定める保有個人情報の開示、不開示又は拒否の決定(以下「開示決定等」という。)を行うものとする。

(開示等の決定通知)

第26条　総括保護管理者は、開示決定等を行ったときは、開示請求者に対し、所定の様式により通知しなければならない。

(期限の延長)

第27条　総括保護管理者は、法第19条第2項又は法第20条の規定により第25条に定める期限を延長するときは、所定の様式により、開示請求者に通知しなければならない。

(事案の移送)

第28条　総括保護管理者は、法第21条第1項又は第22条第1項の規定により事案を他の独立行政法人等又は行政機関の長に移送するときは、所定の様式により、開示請求者に通知しなければならない。

(第三者の意見聴取等)

第29条　法第23条第1項又は第2項の規定により、開示決定等をするに当たって第三者に意見書を提出する機会を与えるときは、総括保護管理者は、事前に所定の様式により、当該第三者に通知するものとする。

(開示の実施)

第30条　保有個人情報の開示は、法第24条第3項による申出に基づき、当該保有個人情報が、文書又は図画に記録されているものにあっては閲覧又は写しの交付により開示窓口において(写しの交付について送付の方法によることを申し出た場合にあっては郵送により)行い、電磁的記録に記録されているものにあっては当該保有個人情報ごとに総括保護管理者が定めるところにより行う。

(手数料)

第31条　開示請求者は、第20条の規定による請求を行うに当たっては、総長が別に定める方法により手数料を納付しなければならない。

(権限及び事務の専決)

第31条の2　総括保護管理者は、診療情報等開示窓口における開示請求に係る第25条から第30条までに規定する権限及び事務について病院の保護管理者に専決させる。

(訂正請求)

第32条　法第27条の規定に基づき、保有個人情報の訂正(追加又は削除を含む。以下同じ。)を請求しようとする者(以下「訂正請求者」という。)は、所定の訂正請求書を開示窓口に提出して行わなければならない。

(訂正請求書の補正等に係る準用)

第33条　第21条から第23条まで及び第31条の2の規定は、訂正請求書の補正、訂正請求者への訂正請求書の写しの交付、保護管理者への訂正請求書の写しの送付及び訂正請求に係る権限及び事務の専決について準用する。この場合において、第21条から第23条までの規定中「開示請求書」とあるのは「訂正請求書」と、「開示請求者」とあるのは「訂正請求者」と、第31条の2中「開示請求」とあるのは「訂正請求」と、「第25条から第30条まで」とあるのは「第35条から第38条まで」と読み替えるものとする。

(保有個人情報の訂正)

第34条　前条において準用する第23条の規定により訂正請求書の写しの送付を受けた保護管理者は、当該訂正請求に係る保有個人情報を調査し、当該訂正請求に理由があると認めるときは当該保有個人情報を訂正して総括保護管理者に提出し、理由がないと認めるときはその理由を総括保護管理者に報告しなければならない。

(訂正等の決定)

第35条　総括保護管理者は、前条の提出又は報告に基づき、第33条において準用する第21条の規定による補正に要した日数を除き、訂正請求があった日から30日以内に、保有個人情報の訂正又は訂正をしない旨の決定を行うものとする。

(訂正等の決定通知)

第36条　総括保護管理者は、前条の決定を行ったときは、訂正請求者に対し、所定の様式により通知しなければならない。

(期限の延長)

第37条　総括保護管理者は、法第31条第2項又は第32条の規定により第35条に定める期限を延長するときは、所定の様式により、訂正請求者に通知しなければならない。

(事案の移送)

第38条　総括保護管理者は、法第33条第1項及び第34条第1項の規定により事案を他の独立行政法人等又は行政機関の長に移送するときは、所定の様式により、訂正請求者に通知しなければならない。

(利用停止請求)

第39条　法第36条の規定に基づき、保有個人情報の利用の停止、消去又は提供の停止(以下「利用停止」という。)を請求しようとする者(以下「利用停止請求者」という。)は、所定の利用停止請求書を開示窓口に提出して行わなければならない。

(利用停止請求書の補正等に係る準用)

第40条　第21条から第23条まで及び第31条の2の規定は、利用停止請求書の補正、利用停止請求者への利用停止請求書の写しの交付、保護管理者への利用停止請求書の写しの送付及び利用停止請求に係る権限及び事務の専決について準用する。この場合において、第21条から第23条までの規定中「開示請求書」とあるのは「利用停止請求書」と、「開示請求者」とあるのは「利用停止請求者」と、第31条の2中「開示請求」とあるのは「利用停止請求」と、「第25条から第30条まで」とあるのは「第42条から第44条まで」と読み替えるものとする。

(保有個人情報の利用停止)

第41条　前条において準用する第23条の規定により利用停止請求書の写しの送付を受けた保護管理者は、当該利用停止請求に係る保有個人情報を調査し、当該利用停止請求に係る理由の存否、その理由及び当該利用停止請求に理由があると認めるときは、当該利用停止が事務又は事業の適正な遂行に及ぼす影響について総括保護管理者に報告しなければならない。

(利用停止等の決定)

第42条　総括保護管理者は、前条の報告に基づき、第40条において準用する第21条の規定による補正に要した日数を除き、利用停止請求があった日から30日以内に、保有個人情報の利用停止又は利用停止をしない旨の決定を行うものとする。

(利用停止等の決定通知)

第43条　総括保護管理者は、前条の決定を行ったときは、利用停止請求者に対し、所定の様式により通知しなければならない。

(期限の延長)

第44条　総括保護管理者は、法第40条第2項又は法第41条の規定により第42条に定める期限を延長するときは、所定の様式により、利用停止請求者に通知しなければならない。

(診療情報等開示窓口における開示請求等に係る処理)

第44条の2　この章に定めるもののほか、診療情報等開示窓口における開示請求等に係る処理に関し必要な事項は、病院の保護管理者が定める。

(審査請求に対する措置)

第45条　総括保護管理者は、法第42条第1項の規定による審査請求が行われ、法第43条第1項の規定により情報公開・個人情報保護審査会に諮問したときは、所定の様式により、審査請求人その他法第43条第2項各号に掲げる者(次項において「審査請求人等」という。)に対し、諮問をした旨を通知しなければならない。

(第三者からの審査請求を棄却する場合等における手続)

第46条　第29条第2項の規定は、次の各号のいずれかに該当する裁決をする場合について準用する。

(国立大学法人京都大学非識別加工情報の作成及び提供等)

第46条の2　本学は、国立大学法人京都大学非識別加工情報(国立大学法人京都大学非識別加工情報ファイルを構成するものに限る。以下この章において同じ。)を作成し、及び提供することができる。

(提案の募集)

第46条の3　総括保護管理者は、毎年度1回以上、募集の開始の日から30日以上の期間を定めて、インターネットの利用その他の適切な方法により、本学が保有している個人情報ファイル(個人情報ファイル簿に法第44条の3第1号に掲げる事項の記載があるものに限る。以下この章において同じ。)について、次条の提案を募集するものとする。

(国立大学法人京都大学非識別加工情報をその用に供して行う事業に関する提案)

第46条の4　前条の規定による募集に応じて国立大学法人京都大学非識別加工情報取扱事業者になるための提案を行おうとする者は、所定の提案書その他必要な書面を開示窓口に提出しなければならない。

(提案の審査等)

第46条の5　総括保護管理者は、前条の提案があったときは、当該提案が法第44条の7第1項各号に掲げる基準に適合するかどうかを審査する。

(第三者に対する意見書提出の機会の付与等)

第46条の6　法第44条の8第1項において準用する独立行政法人等情報公開法第14条第1項又は第2項の規定により、個人情報ファイル簿に法第44条の3第3号に掲げる事項の記載がある個人情報ファイルに係る第46条の4の提案に係る審査をするに当たって第三者に意見書を提出する機会を与えるときは、総括保護管理者は、事前に所定の様式により、当該第三者に通知するものとする。

(国立大学法人京都大学非識別加工情報の作成等)

第46条の7　総括保護管理者は、本学が第46条の4の提案をした者と国立大学法人京都大学非識別加工情報の利用に関する契約を締結したときは、当該提案に係る個人情報ファイルを保有する部局の保護管理者に、国立大学法人京都大学非識別加工情報の作成を指示するものとする。

(国立大学法人京都大学非識別加工情報に関する事項の個人情報ファイル簿への記載)

第46条の8　保護管理者は、当該部局において国立大学法人京都大学非識別加工情報を作成したときは、当該国立大学法人京都大学非識別加工情報の作成に用いた保有個人情報を含む個人情報ファイルについては、直ちに別記様式2に当該国立大学法人京都大学非識別加工情報の概要を記載し、総括保護管理者に届け出なければならない。

(作成された国立大学法人京都大学非識別加工情報をその用に供して行う事業に関する提案等)

第46条の9　第46条の4及び第46条の5の規定は、前条第2項の規定により個人情報ファイル簿に同項第1号に掲げる事項が記載された国立大学法人京都大学非識別加工情報をその事業の用に供する国立大学法人京都大学非識別加工情報取扱事業者になろうとする者が行う提案について準用する。当該国立大学法人京都大学非識別加工情報について法第44条の9の規定により本学と国立大学法人京都大学非識別加工情報の利用に関する契約を締結した者が、当該国立大学法人京都大学非識別加工情報をその用に供する事業を変更しようとするときも、同様とする。

(手数料)

第46条の10　法第44条の9(法第44条の12第2項において準用する場合を含む。次条において同じ。)の規定により本学と国立大学法人京都大学非識別加工情報の利用に関する契約を締結する者は、総長の定めるところにより、21,000円に次に掲げる額の合計額を加算した額の手数料を納めなければならない。

(国立大学法人京都大学非識別加工情報の利用に関する契約の解除)

第46条の11　総長は、法第44条の9の規定により本学と国立大学法人京都大学非識別加工情報の利用に関する契約を締結した者が次の各号のいずれかに該当するときは、当該契約を解除することができる。

(安全確保の措置)

第46条の12　保護管理者は、当該部局における国立大学法人京都大学非識別加工情報、国立大学法人京都大学非識別加工情報の作成に用いた保有個人情報から削除した記述等及び個人識別符号並びに第46条の7第2項の規定により行った加工の方法に関する情報(以下この条及び次条において「国立大学法人京都大学非識別加工情報等」という。)の漏えいを防止するために必要な措置を講じるものとする。

(従事者の義務)

第46条の13　非識別加工情報等の取扱いに従事する職員等又はこれらの職にあった者は、その業務に関して知り得た国立大学法人京都大学非識別加工情報等の内容をみだりに他人に知らせ、又は不当な目的に利用してはならない。

(移送された事案の取扱い)

第47条　他の独立行政法人等又は行政機関から移送された事案に係る開示、訂正又は利用停止に係る手続は、第23条から前条までの規定に準じて取り扱うものとする。

(関係省庁との連携)

第47条の2　本学は、保有個人情報の適切な管理にあたって、個人情報の保護に関する基本方針(平成16年4月2日閣議決定)を踏まえ、関係省庁と緊密に連携して行うものとする。

(法務・コンプライアンス担当の副学長の協力)

第47条の3　総括保護管理者は、本学における個人情報の保護に関し必要があると認めるときは、法務・コンプライアンス担当の副学長に対して協力を求めることができる。

(適用除外)

第48条　本学における行政手続における特定の個人を識別するための番号の利用等に関する法律(平成25年法律第27号)に基づく特定個人情報等の取扱いその他特定個人情報等の保護については、京都大学における個人番号及び特定個人情報の保護に関する規程(平成27年達示第49号)の定めるところによる。

(その他)

第49条　この規程に定めるもののほか、本学における個人情報の保護に関し必要な事項は、総括保護管理者が定める。