2　本学の情報システムにおける個人情報の適切な管理については、国立大学法人東北大学における情報システムの運用及び管理に関する規程(平成21年規第42号)の定めるもののほか、この規程の定めるところによる。

2　この規程において「個人識別符号」とは、次の各号のいずれかに該当する文字、番号、記号その他の符号のうち、個人情報の保護に関する法律施行令(平成15年政令第507号。以下「施行令」という。)第1条各号に掲げる文字、番号、記号その他の符号をいう。

3　この規程において、「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして施行令第2条各号に定める記述等が含まれる個人情報をいう。

4　この規程において個人情報について「本人」とは、個人情報によって識別される特定の個人をいう。

5　この規程において「仮名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報をいう。

6　この規程において「匿名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。

7　この規程において、「個人関連情報」とは、生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう。

8　この規程において「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるもの(利用方法からみて個人の権利利益を害するおそれが少ないものとして施行令第4条第1項各号に定めるものを除く。)をいう。

9　この規程において、「個人データ」とは、個人情報データベース等を構成する個人情報をいう。

10　この規程において「保有個人情報」とは、本学の役員又は職員(以下この条において「役職員」という。)が職務上作成し、又は取得した個人情報であって、役職員が組織的に用いるものとして、本学が保有しているものをいう。ただし、国立大学法人東北大学法人文書管理規程(平成23年規第68号。以下「文書管理規程」という。)第2条第1号に定める法人文書に記録されているものに限るものとする。

11　この規程において「個人情報ファイル」とは、保有個人情報を含む情報の集合物であって、次に掲げるものをいう。

12　この規程において「部局」とは、総長・プロボスト室、各研究科、各附置研究所、附属図書館、同各分館、病院、国立大学法人東北大学組織運営規程(平成16年規第1号。以下「組織運営規程」という。)第20条第1項に規定する各機構、同条第3項に規定する研究組織、組織運営規程第21条に規定する各学内共同教育研究施設等、組織運営規程第22条から第26条までに規定するセンター等、本部事務機構の課、室及び川内キャンパス事務センター並びに監査室をいう。

13　この規程において「行政機関等匿名加工情報」とは、次の各号のいずれにも該当する個人情報ファイルを構成する保有個人情報の全部又は一部(これらの一部に独立行政法人等の保有する情報の公開に関する法律(平成13年法律第140号。以下「独立行政法人等情報公開法」という。)第5条に規定する不開示情報(同条第1号に掲げる情報を除き、同条第2号ただし書に規定する情報を含む。)が含まれているときは、これらの不開示情報に該当する部分を除く。)を加工して得られる匿名加工情報をいう。

14　この規程において「行政機関等匿名加工情報ファイル」とは、行政機関等匿名加工情報を含む情報の集合物であって、次に掲げるものをいう。

2　最高管理責任者は、個人情報総括保護管理者及び個人情報保護管理者が責任をもって個人データ等の適切な管理が行えるよう必要な措置を講じなければならない。

2　総括保護管理者は、総長が指名する理事又は副学長をもって充てる。

2　保護管理者は、当該部局の長をもって充てる。

3　個人データ等を情報システムで取り扱う場合、保護管理者は、当該情報システムの管理者と連携して個人データ等の適切な管理を確保させるものとする。

2　保護担当者は、前項本文の規定に定める場合にあっては当該部局の保護管理者の指名する当該部局の職員をもって、前項ただし書の規定に定める場合にあっては当該複数の部局の保護管理者が指名する当該複数の部局の職員をもって充てる。

3　第1項の規定により置く保護担当者の数は、保護管理者が必要と認めた数とする。

2　前項に定めるもののほか、総括保護管理者は、個人データ等を取り扱う情報システムの管理に関する事務に従事する職員その他本学の業務に従事している者に対し、個人データ等の適切な管理に資するため、情報システムの管理、運用及び安全対策に関して必要な教育研修を行うものとする。

3　前二項に定めるもののほか、総括保護管理者は、保護管理者及び保護担当者に対し、各部局における個人データ等の適切な管理のための教育研修を行うものとする。

4　保護管理者は、当該部局の役職員等に対し、個人データ等の適切な管理のため、前三項の規定により総括保護管理者が実施する教育研修への参加の機会を付与する等必要な措置を講ずるものとする。

2　委員長は、委員会の会務を総理する。

3　副委員長は、委員長を補佐し、委員長に事故があるときは、その職務を代行する。

2　前項の委員は、再任されることができる。

2　専門委員会について必要な事項は、別に定める。

2　保護管理者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。

2　前項の規定により個人データ等を取り扱う権限を有する役職員等以外の者は、個人データ等を取り扱ってはならない。

3　役職員等は、個人データ等を取り扱う権限を有する場合であっても、その業務上の目的以外の目的で保有個人情報を取り扱ってはならない。

4　本学は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱わないものとする。

5　前二項の規定は、次に掲げる場合については、適用しない。

2　役職員等は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。

2　保護管理者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面(電磁的記録を含む。以下この項において同じ。)に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

3　総括保護管理者又は保護管理者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。

4　前三項の規定は、次に掲げる場合について適用しない。

2　国立大学法人東北大学会計規程(平成16年規第77号)第4条第2項に規定する財務総括責任者(以下「財務総括責任者」という。)は、委託契約を締結する場合には、次に掲げる事項を明記するとともに、委託先における責任者及び業務従事者の管理及び実施体制、個人情報の管理状況についての検査に関する事項等について書面で確認するものとする。

3　保護管理者は、個人データ等の取扱いに係る業務を外部に委託する場合には、委託する業務に係る個人データ等の秘匿性等その内容又はその量等に応じて、委託先における管理及び実施体制並びに個人情報の管理状況について、必要に応じて定期的に監査を行う等により確認するものとする。

4　委託先において、個人データ等の取扱いに係る業務が再委託される場合には、保護管理者は、委託先に第2項の規定に基づく措置を講じさせるとともに、再委託される業務に係る個人データ等の秘匿性等その内容に応じて、委託先を通じて又は保護管理者自らが前項の規定に基づく措置を実施するものとする。個人データ等の取扱いに係る業務について再委託先が再々委託を行う場合以降も同様とする。

5　保護管理者は、個人データ等の取扱いに係る業務を外部に委託する場合には、漏えい等による被害発生のリスクを低減する観点から、提供先の利用目的、委託する業務の内容、個人データ等の秘匿性等その内容等に応じて、当該個人データ等を加工し、仮名加工情報として提供する等の措置を講ずるものとする。

2　財務総括責任者は、労働者派遣契約を締結する場合には、秘密保持義務等個人情報の取扱いに関する事項を明記するものとする。

2　次に掲げる場合において、当該個人データ等の提供を受ける者は、前項の規定の適用については、第三者に該当しないものとする。

3　保護管理者は、前項第3号に規定する個人データ等の管理について責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったときは遅滞なく、同号に規定する利用する者の利用目的又は当該責任を有する者を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければならない。

2　保護管理者は、前項の規定により本人の同意を得ようとする場合には、電磁的記録の提供、書面の交付その他適切な方法により、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。

3　保護管理者は、個人データ等を外国にある第三者(第1項に規定する体制を整備している者に限る。)に提供した場合には、個人情報保護委員会規則第18条第1項に定める当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。

2　保護管理者は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則第21条に定める期間保存しなければならない。

2　保護管理者は、前項の規定による確認を行ったときは、文書又は電磁的記録を用いて作成する方法により、当該個人データの提供を受けた年月日、当該確認に係る事項その他の別に定める事項に関する記録を作成しなければならない。

3　保護管理者は、前項の記録を、当該記録を作成した日から個人情報保護委員会規則第25条で定める期間保存しなければならない。

2　保護管理者は、個人関連情報を外国にある第三者(法第28条第1項に規定する体制を整備している者に限る。)に提供した場合には、個人情報保護委員会規則第18条第1項に規定する当該第三者による相当措置の継続的な実施を確保するために必要な措置を講じなければならない。

3　前条第2項の規定は、第1項の規定により保護管理者が確認する場合について準用する。この場合において、同項中「の提供を受けた」とあるのは、「を提供した」と読み替えるものとする。

2　役職員等は、仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等(仮名加工情報の作成に用いられた個人情報から削除された記述等及び個人識別符号並びに前項の規定により行われた加工の方法に関する情報をいう。以下この条及び次条第3項において読み替えて準用する第7項において同じ。)を取得したときは、削除情報等の漏えいを防止するために必要なものとして個人情報保護委員会規則第32条に定める基準に従い、削除情報等の安全管理のための措置を講じなければならない。

3　役職員等は、第19条の規定にかかわらず、法令に基づく場合を除くほか、第18条第1項の規定により特定された利用目的の達成に必要な範囲を超えて、仮名加工情報(個人情報であるものに限る。以下この条において同じ。)を取り扱ってはならない。

4　保護管理者は、仮名加工情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を公表しなければならない。

5　保護管理者は、仮名加工情報の利用目的を変更した場合は、変更された利用目的について公表しなければならない。

6　役職員等は、仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ等及び削除情報等を遅滞なく消去するよう努めなければならない。

7　役職員等は、第31条第1項及び第32条第1項の規定にかかわらず、法令に基づく場合を除くほか、仮名加工情報である個人データ等を第三者に提供してはならない。この場合において、第31条第2項中「前項」とあるのは「第36条第7項」と、同項第3号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第3項中「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と、第33条第1項ただし書中「第31条第1項各号又は第2項各号のいずれか(前条第1項の規定による個人データの提供にあっては、第31条第1項各号のいずれか)」とあり、及び第34条第1項ただし書中「第31条第1項各号又は第2項各号のいずれか」とあるのは「法令に基づく場合又は第31条第2項各号のいずれか」とする。

8　役職員等は、仮名加工情報を取り扱うに当たっては、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該仮名加工情報を他の情報と照合してはならない。

9　役職員等は、仮名加工情報を取り扱うに当たっては、電話をかけ、郵便若しくは民間事業者による信書の送達に関する法律(平成14年法律第99号)第2条第6項に規定する一般信書便事業者若しくは同条第9項に規定する特定信書便事業者による同条第2項に規定する信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法(電子情報処理組織を使用する方法その他の情報通信の技術を利用する方法であって個人情報保護委員会規則第33条各号に定めるものをいう。)を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用してはならない。

10　仮名加工情報及び仮名加工情報である個人データ等については、第18条第2項及び第39条の規定は、適用しない。

2　役職員等は、次の各号のいずれかに掲げる場合を除き、行政機関等匿名加工情報を提供してはならない。

3　第19条の規定にかかわらず、役職員等は法令に基づく場合を除き、利用目的以外の目的のために削除情報(保有個人情報に該当するものに限る。)を自ら利用し又は提供してはならない。

4　前項の「削除情報」とは、行政機関等匿名加工情報の作成に用いた保有個人情報から削除した記述等及び個人識別符号をいう。

5　前三項に定めるもののほか、行政機関等匿名加工情報の作成及び提供等については、国立大学法人東北大学における行政機関等匿名加工情報の提供等に関する取扱規程(平成30年規第22号。以下「取扱規程」という。)の定めるところによる。

2　総括保護管理者は、前項の規定により保護管理者から提出のあった個人情報ファイル簿を一の帳簿として整理し、その後遅滞なくこれを別に定める場所に備えて置き、一般の閲覧に供するとともに、ネットワーク上のデータベースとして整備する等の方法により公表するものとする。

3　前二項の規定は、次に掲げる個人情報ファイルに関しては適用しない。

4　保護管理者は、個人情報ファイル簿に記載すべき事項に変更があったときは、直ちに、当該個人情報ファイル簿を修正し、総括保護管理者に提出しなければならない。

5　保護管理者は、個人情報ファイル簿に掲載した個人情報ファイルの保有をしなくなったとき、又はその個人情報ファイルに含まれる個人情報により識別される本人の数が1,000人に満たない場合は、遅滞なく、当該個人情報ファイルについての記載を削除し、総括保護管理者に提出しなければならない。

6　総括保護管理者は、行政機関等匿名加工情報を作成したときは、当該行政機関等匿名加工情報の作成に用いた保有個人情報を含む個人情報ファイル(個人情報ファイル簿に法第110条第1号に掲げる事項の記載があるものに限る。)については、個人情報ファイル簿に法第117条各号に掲げる事項を記載しなければならない。

2　保護管理者は、前項の規定に基づく報告を受けた場合には、被害の拡大防止又は復旧等のために必要な措置を速やかに講ずるものとする。ただし、当該事案等が、不正アクセス、不正プログラムの感染又はこれに類する重大なセキュリティ侵害の事案であると疑われる場合は、当該端末等のネットワークからの遮断その他被害拡大防止のため直ちに行い得る措置を直ちに講ずるものとする。

3　保護管理者は、事案等の発生した経緯、被害状況等を調査し、速やかに総括保護管理者に報告しなければならない。ただし、特に重大と認める事案等が発生した場合には、直ちに総括保護管理者に当該事案等の内容等について報告しなければならない。

4　総括保護管理者は、前項の規定に基づく報告を受けた場合には、事案等の内容等に応じて、当該事案の内容、経緯、被害状況等を速やかに総長に報告するものとする。

5　総括保護管理者は、その取り扱う個人データ等の漏えい、滅失、毀損その他の個人データ等の安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則第7条に定めるものが生じたときは、個人情報保護委員会規則第8条第1項に定めるところにより、当該事態が生じた旨を個人情報保護委員会(法第130条第1項に規定する個人情報保護委員会をいう。第8項及び次条第2項において同じ。)に報告しなければならない。ただし、本学が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則第8条第1項に定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。

6　前項に規定する場合には、保護管理者(同項ただし書の規定による通知をした者を除く。)は、本人に対し、個人情報保護委員会規則第10条に定めるところにより、当該事態が生じた旨を通知しなければならない。ただし、本人への通知が困難な場合であって本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

7　保護管理者は、第3項の規定により総括保護管理者に報告した後は、事案等の発生した原因を分析し、再発防止のために必要な措置を講じなければならない。この場合において、その事案等が、行政機関等匿名加工情報、行政機関等匿名加工情報の作成に用いた保有個人情報から削除した記述等及び個人識別符号並びに取扱規程第9条第1項の規定により行った加工の方法に関する情報(以下次条までにおいて「行政機関等匿名加工情報等」という。)に係るものである場合には、直ちに総括保護管理者に当該措置の内容等について報告しなければならない。

8　総括保護管理者は、行政機関等匿名加工情報等に係る第3項の報告及び前項の報告を受けた場合並びに第4項の報告をする場合には、直ちに法第141条第1項に規定する事務局(以下「個人情報保護委員会事務局」という。)に報告しなければならない。

2　前項に規定する公表を行う場合には、当該事案等の内容、経緯、被害状況等について、個人情報保護委員会事務局に対し、速やかに情報提供を行うものとする。

1　この規程は、平成17年4月1日から施行する。

2　この規程施行の際現に本学が保有している個人情報ファイルについての第20条第1項の規定の適用については、同項中「直ちに」とあるのは、「この規程の施行後遅滞なく」とする。

この規程は、平成17年4月1日から施行する。

1　この規程は、平成18年1月1日から施行する。

この規程は、平成18年4月26日から施行し、改正後の第2条第5項の規定は、平成18年4月1日から適用する。

1　この規程は、平成18年7月26日から施行する。

2　この規程の施行後最初に委嘱される委員会の委員の任期は、改正後の第13条第1項本文の規定にかかわらず、平成20年3月31日までとする。

この規程は、平成18年12月22日から施行し、改正後の第25条第2項及び第26条第2項の規定は、平成18年11月6日から適用する。

この規程は、平成19年4月1日から施行する。

この規程は、平成19年4月10日から施行し、改正後の第2条第5項の規定は、平成19年4月1日から適用する。

この規程は、平成20年1月9日から施行し、改正後の第2条第5項の規定は、平成19年10月1日から適用する。

この規程は、平成20年4月22日から施行し、改正後の第2条第5項、第10条第2号から第4号まで及び第16条の規定は、平成20年4月1日から適用する。

この規程は、平成20年10月1日から施行する。

この規程は、平成21年4月1日から施行する。

この規程は、平成21年4月14日から施行し、改正後の第2条第5項の規定は、平成21年4月1日から適用する。

この規程は、平成21年4月28日から施行し、改正後の第10条第4号及び第16条の規定は、平成21年4月1日から適用する。

この規程は、平成21年12月8日から施行し、改正後の第2条第5項の規定は、平成21年12月1日から適用する。

この規程は、平成22年4月13日から施行し、改正後の第2条第5項の規定は、平成22年4月1日から適用する。

この規程は、平成23年3月31日から施行する。

この規程は、平成23年4月28日から施行し、改正後の第10条第4号の規定は、平成23年4月1日から適用する。

この規程は、平成24年5月8日から施行し、改正後の第2条第5項の規定は、平成24年2月1日から適用する。

この規程は、平成24年10月1日から施行する。

この規程は、平成24年10月23日から施行し、改正後の第2条第5項の規定は、平成24年10月1日から適用する。

この規程は、平成25年4月23日から施行し、改正後の第2条第5項、第10条第4号及び第16条の規定は、平成25年4月1日から適用する。

この規程は、平成26年4月22日から施行し、改正後の第2条第5項、第10条第4号及び第16条の規定は、平成26年4月1日から適用する。

この規程は、平成26年7月8日から施行し、改正後の第2条第5項の規定は、平成26年7月1日から適用する。

この規程は、平成26年12月22日から施行し、改正後の第2条第5項の規定は、平成26年10月1日から適用する。

この規程は、平成27年4月1日から施行する。

この規程は、平成27年4月28日から施行し、平成27年4月1日から適用する。

この規程は、平成27年5月26日から施行し、平成27年4月28日から適用する。

この規程は、平成28年3月1日から施行する。

この規程は、平成28年4月26日から施行し、［中略］平成28年4月1日から適用する。

この規程は、平成29年4月25日から施行し、改正後の第2条第5項の規定は、平成29年4月1日から適用する。

この規程は、平成29年5月30日から施行する。

1　この規程は、平成30年2月27日から施行する。

2　国立大学法人東北大学個人番号及び特定個人情報取扱規程(平成27年規第97号)の一部を次のように改正する。

この規程は、平成30年6月28日から施行し、改正後の第2条第6項の規定(「第29条」を「第27条」に改める部分及び「規定するセンター等」の次に「、材料科学高等研究所、学際科学フロンティア研究所」を加える部分に限る。)は、平成30年1月30日から、改正後の同項の規定(「総長室」を「総長・プロボスト室」に改める部分及び「、教育情報学教育部、教育情報学研究部」を削る部分に限る。)は、平成30年4月1日から適用する。

この規程は、平成31年4月23日から施行し、改正後の第2条第6項の規定は、平成31年4月1日から適用する。

この規程は、令和元年10月1日から施行する。

この規程は、令和元年11月26日から施行し、改正後の第2条第6項及び第11条第2号の規定(「総長室」を「総長・プロボスト室」に改める部分を除く。)は、令和元年10月1日から適用する。

この規程は、令和3年10月1日から施行する。

この規程は、令和4年1月1日から施行する。

この規程は、令和4年4月1日から施行する。

この規程は、令和5年5月16日から施行し、改正後の第2条第13項第3号、第38条第1項及び第6項並びに第39条第5項及び第8項の規定は、令和5年4月1日から適用する。