○国立大学法人熊本大学個人情報保護規則
(平成17年3月24日規則第60号)
改正
平成18年6月30日規則第231号
平成22年9月30日規則第211号
平成24年7月9日規則第88号
平成27年12月16日規則第297号
平成28年3月18日規則第45号
平成28年11月8日規則第425号
平成29年3月27日規則第83号
平成29年12月27日規則第262号
平成30年3月22日規則第145号
平成31年3月28日規則第220号
令和元年5月7日規則第300号
令和元年7月1日規則第366号
令和元年9月13日規則第381号
令和2年10月1日規則第215号
令和4年3月30日規則第68号
令和4年9月26日規則第150号
令和5年9月28日規則第176号
令和7年3月27日規則第118号
目次
第1章　総則(第1条・第2条)
第2章　個人情報の取扱い(第3条－第11条)
第3章　特定個人情報の取扱い(第12条－第22条)
第4章　開示、訂正及び利用停止(第23条－第53条)
第5章　行政機関等匿名加工情報の提供等(第53条の2－第53条の17)
第6章　雑則(第54条－第57条)
附則

第1章　総則
(趣旨)
第1条　国立大学法人熊本大学(以下「本学」という。)における個人情報の取扱いに関する基本的事項については、個人情報の保護に関する法律(平成15年法律第57号。以下「個人情報保護法」という。)、個人情報の保護に関する法律施行令(平成15年政令第507号)、個人情報の保護に関する法律施行規則(平成28年個人情報保護委員会規則第3号)、行政手続における特定の個人を識別するための番号の利用等に関する法律(平成25年法律第27号。以下「番号法」という。)又はその他の法令等に定めるもののほか、この規則の定めるところによる。
(定義)
第2条　この規則において、次に掲げる用語の意義は、当該各号に定めるところによる。
(1)　個人情報　個人情報保護法第2条第1項に規定するものをいう。
(2)　個人識別符号　個人情報保護法第2条第2項に規定するものをいう。
(3)　要配慮個人情報　個人情報保護法第2条第3項に規定するものをいう。
(4)　本人　個人情報保護法第2条第4項に規定する者をいう。
(5)　仮名加工情報　個人情報保護法第2条第5項に規定するものをいう。
(6)　匿名加工情報　個人情報保護法第2条第6項に規定するものをいう。
(7)　個人関連情報　個人情報保護法第2条第7項に規定するものをいう。
(8)　行政機関　個人情報保護法第2条第8項に規定する機関をいう。
(9)　行政機関等　個人情報保護法第2条第11項に規定する機関をいう。
(10)　個人情報取扱事業者　個人情報保護法第16条第2項に規定する者をいう。
(11)　個人データ　個人情報保護法第16条第3項に規定する個人情報をいう。
(12)　保有個人情報　個人情報保護法第60条第1項に規定するものをいう。
(13)　個人情報ファイル　個人情報保護法第60条第2項に規定するものをいう。
(14)　行政機関等匿名加工情報　個人情報保護法第60条第3項に規定するものをいう。
(15)　個人番号　番号法第2条第5項に規定するものをいう。
(16)　特定個人情報　番号法第2条第8項に規定するものをいう。
(17)　保有特定個人情報　本学の役職員がその分掌する業務に対して職務上作成し、又は取得した特定個人情報であって、本学の役職員が組織的に利用するものとして、本学が保有しているもの(法人文書に記録されているものに限る。)をいう。
(18)　特定個人情報ファイル　番号法第2条第9項に規定するものをいう。
第2章　個人情報の取扱い
(利用目的の特定)
第3条　本学は、個人情報を取り扱うに当たっては、その利用の目的(以下「利用目的」という。)をできる限り特定するものとする。
2　本学は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行わないものとする。
(利用目的による制限)
第4条　本学は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱わないものとする。
2　本学は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱わないものとする。
3　前2項の規定は、個人情報保護法第18条第3項各号に掲げる場合については、適用しない。
(不適正な利用の禁止)
第4条の2　本学は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用しないものとする。
(適正な取得)
第5条　本学は、偽りその他不正の手段により個人情報を取得しないものとする。
2　本学は、個人情報保護法第20条第2項各号に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得しないものとする。
(取得に際しての利用目的の通知等)
第5条の2　本学は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表するものとする。
2　本学は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面(電磁的記録(電磁的方式(電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。)で作られる記録をいう。)を含む。以下この項において同じ。)に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示するものとする。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。
3　本学は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表するものとする。
4　前3項の規定は、個人情報保護法第21条第4項各号に掲げる場合については、適用しない。
(データ内容の正確性の確保等)
第6条　本学は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めるものとする。
(安全管理措置)
第7条　本学は、その取り扱う個人データの漏えい、滅失又は毀損(以下「漏えい等」という。)の防止その他の個人データの安全管理のために必要かつ適切な措置を講ずるものとする。
2　前項の個人データの安全管理のために必要かつ適切な措置に関し必要な事項は、別に定める。
(従業者の監督)
第8条　本学は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行うものとする。
(委託先の監督)
第8条の2　本学は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行うものとする。
(漏えい等の報告等)
第8条の3　本学は、その取り扱う個人データの漏えい等その他の個人データの安全の確保に係る事態であって次の各号のいずれかに該当するものが生じたときは、当該事態が生じた旨を個人情報保護委員会に報告するものとする。ただし、本学が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。
(1)　要配慮個人情報が含まれる個人データ(高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この項及び第3項において同じ。)の漏えい等が発生し、又は発生したおそれがある事態
(2)　不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
(3)　不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
(4)　個人データに係る本人の数が1,000人を超える漏えい等が発生し、又は発生したおそれがある事態
2　前項本文の規定による報告をする場合において、本学は、同項各号に定める事態を知った日から30日以内(当該事態が同項第3号に定めるものである場合にあっては、60日以内)に報告するものとする。
3　本学は、第1項ただし書の規定による通知をする場合には、同項各号に定める事態を知った後、速やかに、次に掲げる事項を通知するものとする。
(1)　概要
(2)　漏えい等が発生し、又は発生したおそれがある個人データの項目
(3)　漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数
(4)　原因
(5)　二次被害又はそのおそれの有無及びその内容
(6)　本人への対応の実施状況
(7)　公表の実施状況
(8)　再発防止のための措置
(9)　その他参考となる事項
4　第1項に規定する場合(同項ただし書の規定による通知をした場合を除く。)には、本学は、本人に対し、当該事態が生じた旨を通知するものとする。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
5　本学は、前項本文の規定による通知をする場合には、第1項各号に定める事態を知った後、当該事態の状況に応じて速やかに、当該本人の権利利益を保護するために必要な範囲において、第3項第1号、第2号、第4号、第5号及び第9号に定める事項を通知するものとする。
(第三者提供の制限)
第9条　本学は、個人情報保護法第27条第1項各号に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供しないものとする。
2　本学は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、個人情報保護法第27条第2項各号に掲げる事項について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。ただし、第三者に提供される個人データが要配慮個人情報又は第5条第1項の規定に違反して取得されたもの若しくは他の個人情報取扱事業者からこの項本文の規定により提供されたもの(その全部又は一部を複製し、又は加工したものを含む。)である場合は、この限りでない。
3　本学は、個人情報保護法第27条第2項第1号に掲げる事項に変更があったとき又は前項の規定による個人データの提供をやめたときは遅滞なく、個人情報保護法第27条第2項第3号から第5号まで、第7号又は第8号に掲げる事項を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出るものとする。
4　第2項又は前項の規定による通知又は容易に知り得る状態に置く措置は、次に掲げるところにより、行うものとする。
(1)　第三者に提供される個人データによって識別される本人が当該提供の停止を求めるのに必要な期間をおくこと。
(2)　第三者に提供される個人データによって識別される本人が個人情報保護法第27条第2項各号に掲げる事項を確実に認識できる適切かつ合理的な方法によること。
5　本学は、個人情報保護法第27条第4項の規定による公表がされた後、速やかに、インターネットの利用その他の適切な方法により、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項を公表するものとする。
(1)　第2項の規定による届出を行った場合　個人情報保護法第27条第2項各号に掲げる事項
(2)　第3項の規定による変更の届出を行った場合　変更後の個人情報保護法第27条第2項各号に掲げる事項
(3)　第3項の規定による個人データの提供をやめた旨の届出を行った場合　その旨
6　個人情報保護法第27条第5項各号に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。
7　本学は、個人情報保護法第27条第5項第3号に規定する個人データの管理について責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったときは遅滞なく、同号に規定する利用する者の利用目的又は当該責任を有する者を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置くものとする。
(外国にある第三者への提供の制限)
第9条の2　本学は、外国(本邦の域外にある国又は地域をいう。以下この条において同じ。)(個人情報保護委員会が定める外国を除く。以下この条において同じ。)にある第三者(個人データの取扱いについて第3条から第10条の4までの規定により本学が講ずべきこととされている措置に相当する措置(第7項、第8項及び第10項において「相当措置」という。)を継続的に講ずるために必要なものとして次の各号のいずれかに適合する体制を整備している者を除く。以下この項及び次項において同じ。)に個人データを提供する場合には、個人情報保護法第27条第1項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得るものとする。この場合においては、前条の規定は、適用しない。
(1)　本学と個人データの提供を受ける者との間で、当該提供を受ける者における当該個人データの取扱いについて、適切かつ合理的な方法により、第3条から第10条の4までの規定の趣旨に沿った措置の実施が確保されていること。
(2)　個人データの提供を受ける者が、個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること。
2　本学は、前項の規定により本人の同意を得ようとする場合には、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供するものとする。
3　前項の規定により情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。
4　第2項の規定による情報の提供は、次に掲げる事項について行うものとする。
(1)　当該外国の名称
(2)　適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報
(3)　当該第三者が講ずる個人情報の保護のための措置に関する情報
5　前項の規定にかかわらず、本学は、第1項の規定により本人の同意を得ようとする時点において、前項第1号に掲げる事項が特定できない場合には、同号及び同項第2号に掲げる事項に代えて、次に掲げる事項について情報提供するものとする。
(1)　前項第1号に掲げる事項が特定できない旨及びその理由
(2)　前項第1号に掲げる事項に代わる本人に参考となるべき情報がある場合には、当該情報
6　第4項の規定にかかわらず、本学は、第1項の規定により本人の同意を得ようとする時点において、第4項第3号に掲げる事項について情報提供できない場合には、同号に掲げる事項に代えて、その旨及びその理由について情報提供するものとする。
7　本学は、個人データを外国にある第三者(第1項に規定する体制を整備している者に限る。)に提供した場合には、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供するものとする。
8　前項(第10条の3第5項において読み替えて準用する場合を含む。)の規定による外国にある第三者による相当措置の継続的な実施を確保するために必要な措置は、次に掲げる措置とする。
(1)　当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること。
(2)　当該第三者による相当措置の実施に支障が生じたときは、必要かつ適切な措置を講ずるとともに、当該相当措置の継続的な実施の確保が困難となったときは、個人データ(第10条の3第5項において読み替えて準用する場合にあっては、個人関連情報)の当該第三者への提供を停止すること。
9　第7項の規定により情報を提供する方法は、電磁的記録の提供による方法、書面の交付による方法その他の適切な方法とする。
10　本学は、第7項の規定による求めを受けたときは、本人に対し、遅滞なく、次に掲げる事項について情報提供するものとする。ただし、情報提供することにより本学の業務の適正な実施に著しい支障を及ぼすおそれがある場合は、その全部又は一部を提供しないことができる。
(1)　当該第三者による第1項に規定する体制の整備の方法
(2)　当該第三者が実施する相当措置の概要
(3)　第8項第1号の規定による確認の頻度及び方法
(4)　当該外国の名称
(5)　当該第三者による相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその概要
(6)　当該第三者による相当措置の実施に関する支障の有無及びその概要
(7)　前号の支障に関して第8項第2号の規定により本学が講ずる措置の概要
11　本学は、第7項の規定による求めに係る情報の全部又は一部について提供しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知するものとする。
12　本学は、前項の規定により、本人から求められた情報の全部又は一部について提供しない旨を通知する場合には、本人に対し、その理由を説明するよう努めるものとする。
(第三者提供に係る記録の作成等)
第10条　本学は、個人データを第三者(個人情報保護法第16条第2項各号に掲げる者を除く。以下この条及び次条(第10条の3第6項において読み替えて準用する場合を含む。)において同じ。)に提供したときは、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項に関する記録を作成するものとする。ただし、当該個人データの提供が個人情報保護法第27条第1項各号又は第5項各号のいずれか(前条第1項の規定による個人データの提供にあっては、個人情報保護法第27条第1項各号のいずれか)に該当する場合は、この限りでない。
(1)　第9条第2項の規定により個人データを第三者に提供した場合　次のイからニまでに掲げる事項
イ　当該個人データを提供した年月日
ロ　当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者(法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人。第10条の3第10項第3号において同じ。)の氏名(不特定かつ多数の者に対して提供したときは、その旨)
ハ　当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
ニ　当該個人データの項目
(2)　第9条第1項又は前条第1項の規定により個人データを第三者に提供した場合　次のイ及びロに掲げる事項
イ　第9条第1項又は前条第1項の本人の同意を得ている旨
ロ　前号ロからニまでに掲げる事項
2　前項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。
3　第1項の記録は、個人データを第三者に提供した都度、速やかに作成するものとする。ただし、当該第三者に対し個人データを継続的に若しくは反復して提供(第9条第2項の規定による提供を除く。以下この項において同じ。)したとき、又は当該第三者に対し個人データを継続的に若しくは反復して提供することが確実であると見込まれるときの記録は、一括して作成することができる。
4　前項の規定にかかわらず、第9条第1項又は前条第1項の規定により、本人に対する物品又は役務の提供に関連して当該本人に係る個人データを第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に第1項各号に定める事項が記載されているときは、当該書面をもって同項の当該事項に関する記録に代えることができる。
5　第1項各号に定める事項のうち、既に第2項から前項までに規定する方法により作成した第1項の記録(当該記録を保存している場合におけるものに限る。)に記録されている事項と内容が同一であるものについては、同項の当該事項の記録を省略することができる。
6　本学は、第1項の記録を、当該記録を作成した日から次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間保存しなければならない。
(1)　第4項に規定する方法により記録を作成した場合　最後に当該記録に係る個人データの提供を行った日から起算して1年を経過する日までの間
(2)　第3項ただし書に規定する方法により記録を作成した場合　最後に当該記録に係る個人データの提供を行った日から起算して3年を経過する日までの間
(3)　前2号以外の場合　3年
(第三者提供を受ける際の確認等)
第10条の2　本学は、第三者から個人データの提供を受けるに際しては、個人情報保護法第30条第1項各号に掲げる事項の確認を行うものとする。ただし、当該個人データの提供が個人情報保護法第27条第1項各号又は第5項各号のいずれかに該当する場合は、この限りでない。
2　前項の規定による個人情報保護法第30条第1項第1号に掲げる事項の確認を行う方法は、個人データを提供する第三者から申告を受ける方法その他の適切な方法とする。
3　第1項の規定による個人情報保護法第30条第1項第2号に掲げる事項の確認を行う方法は、個人データを提供する第三者から当該第三者による当該個人データの取得の経緯を示す契約書その他の書面の提示を受ける方法その他の適切な方法とする。
4　前2項の規定にかかわらず、第三者から他の個人データの提供を受けるに際して既に前2項に規定する方法による確認(当該確認について第7項から第9項までに規定する方法による記録の作成及び保存をしている場合におけるものに限る。)を行っている事項の確認を行う方法は、当該事項の内容と当該提供に係る個人情報保護法第30条第1項各号に掲げる事項の内容が同一であることの確認を行う方法とする。
5　第1項の第三者は、本学が同項の規定による確認を行う場合において、本学に対して、当該確認に係る事項を偽ってはならない。
6　本学は、第1項の規定による確認を行ったときは、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める事項に関する記録を作成するものとする。
(1)　個人情報取扱事業者から第9条第2項の規定による個人データの提供を受けた場合　次のイからホまでに掲げる事項
イ　個人データの提供を受けた年月日
ロ　個人情報保護法第31条第1項各号に掲げる事項
ハ　当該個人データによって識別される本人の氏名その他の当該本人を特定するに足りる事項
ニ　当該個人データの項目
ホ　個人情報保護法第27条第4項の規定により公表されている旨
(2)　個人情報取扱事業者から第9条第1項又は第9条の2第1項の規定による個人データの提供を受けた場合　次のイ及びロに掲げる事項
イ　第9条第1項又は第9条の2第1項の本人の同意を得ている旨
ロ　前号ロからニまでに掲げる事項
(3)　個人関連情報取扱事業者(個人情報保護法第16条第7項に規定する者をいう。)から次条第1項の規定による個人関連情報の提供を受けて個人データとして取得した場合　次のイからニまでに掲げる事項
イ　個人情報保護法第31条第1項第1号の本人の同意が得られている旨
ロ　個人情報保護法第30条第1項第1号に掲げる事項
ハ　第1号ハに掲げる事項
ニ　当該個人関連情報の項目
(4)　第三者(個人情報取扱事業者に該当する者を除く。)から個人データの提供を受けた場合　第1号ロからニまでに掲げる事項
7　前項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。
8　第6項の記録は、第三者から個人データの提供を受けた都度、速やかに作成しなければならない。ただし、当該第三者から継続的に若しくは反復して個人データの提供(第9条第2項の規定による提供を除く。以下この項及び次項において同じ。)を受けたとき、又は当該第三者から継続的に若しくは反復して個人データの提供を受けることが確実であると見込まれるときの記録は、一括して作成することができる。
9　前項の規定にかかわらず、本人に対する物品又は役務の提供に関連して第三者から当該本人に係る個人データの提供を受けた場合において、当該提供に関して作成された契約書その他の書面に第6項各号に定める事項が記載されているときは、当該書面をもって同項の当該事項に関する記録に代えることができる。
10　第6項各号に定める事項のうち、既に第7項から前項まで規定する方法により作成した第6項の記録(当該記録を保存している場合におけるものに限る。)に記録された事項と内容が同一であるものについては、同項の当該事項の記録を省略することができる。
11　本学は、第6項の記録を、当該記録を作成した日から次の各号に掲げる場合の区分に応じて、それぞれ当該各号に定める期間保存しなければならない。
(1)　第9項に規定する方法により記録を作成した場合　最後に当該記録に係る個人データの提供を受けた日から起算して1年を経過する日までの間
(2)　第8項ただし書に規定する方法により記録を作成した場合　最後に当該記録に係る個人データの提供を受けた日から起算して3年を経過する日までの間
(3)　前2号以外の場合　3年
(個人関連情報の第三者提供の制限等)
第10条の3　本学は、第三者が個人関連情報(個人関連情報データベース等(個人関連情報を含む情報の集合物であって、特定の個人関連情報を電子計算機を用いて検索することができるように体系的に構成したものその他当該情報の集合物に含まれる個人関連情報を一定の規則に従って整理することにより特定の個人関連情報を容易に検索することできるように体系的に構成したものであって、目次、索引その他検索を容易にするためのものを有するものをいう。)を構成するものに限る。以下同じ。)を個人データとして取得することが想定されるときは、個人情報保護法第27条第1項各号に掲げる場合を除くほか、個人情報保護法第31条第1項各号に掲げる事項について、あらかじめ確認することをしないで、当該個人関連情報を当該第三者に提供しないものとする。
2　前項の規定による個人情報保護法第31条第1項第1号に掲げる事項の確認を行う方法は、個人関連情報の提供を受ける第三者から申告を受ける方法その他の適切な方法とする。
3　第1項の規定による個人情報保護法第31条第1項第2号に掲げる事項の確認を行う方法は、同号の規定による情報の提供が行われていることを示す書面の提示を受ける方法その他の適切な方法とする。
4　前2項の規定にかかわらず、第三者に個人関連情報の提供を行うに際して既に前2項に規定する方法による確認(当該確認について第7項から第9項までに規定する方法による記録の作成及び保存をしている場合におけるものに限る。)を行っている事項の確認を行う方法は、当該事項の内容と当該提供に係る個人情報保護法第31条第1項各号に掲げる事項の内容が同一であることの確認を行う方法とする。
5　第9条の2第7項の規定は、第1項の規定により本学が個人関連情報を提供する場合について準用する。この場合において、同条第7項中「講ずるとともに、本人の求めに応じて、当該必要な措置に関する情報を当該本人に提供する」とあるのは、「講ずる」と読み替えるものとする。
6　前条第5項、第6項及び第11項の規定は、第1項の規定により本学が確認する場合について準用する。
7　前項において準用する前条第6項の規定による同項の記録を作成する方法は、文書、電磁的記録又はマイクロフィルムを用いて作成する方法とする。
8　第6項において準用する前条第6項の記録は、個人関連情報を第三者に提供した都度、速やかに作成しなければならない。ただし、当該第三者に対し個人関連情報を継続的に若しくは反復して提供したとき、又は当該第三者に対し個人関連情報を継続的に若しくは反復して提供することが確実であると見込まれるときの記録は、一括して作成することができる。
9　前項の規定にかかわらず、第1項の規定により、本人に対する物品又は役務の提供に関連して当該本人に係る個人関連情報を第三者に提供した場合において、当該提供に関して作成された契約書その他の書面に次項各号に掲げる事項が記載されているときは、当該書面をもって第6項において準用する前条第6項の当該事項に関する記録に代えることができる。
10　第6項において準用する前条第6項の事項は、次に掲げる事項とする。
(1)　個人情報保護法第31条第1項第1号の本人の同意が得られていることを確認した旨及び外国にある第三者への提供にあっては、同項第2号の規定による情報の提供が行われていることを確認した旨
(2)　個人関連情報を提供した年月日(第7項ただし書の規定により、第6項において準用する前条第6項の記録を一括して作成する場合にあっては、当該提供の期間の初日及び末日)
(3)　当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
(4)　当該個人関連情報の項目
11　前項各号に定める事項のうち、既に第6項において準用する前条第7項並びに第7項及び第8項に規定する方法により作成した第6項において準用する前条第6項の記録(当該記録を保存している場合におけるものに限る。)に記録された事項と内容が同一であるものについては、第6項において準用する前条第6項の当該事項の記録を省略することができる。
12　第6項において準用する前条第11項の期間は、次の各号に掲げる場合の区分に応じ、それぞれ当該各号に定める期間とする。
(1)　第8項に規定する方法により記録を作成した場合　最後に当該記録に係る個人関連情報の提供を行った日から起算して1年を経過する日までの間
(2)　第7項ただし書に規定する方法により記録を作成した場合　最後に当該記録に係る個人関連情報の提供を行った日から起算して3年を経過する日までの間
(3)　前2号以外の場合　3年
(苦情の処理)
第10条の4　本学は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めるものとする。
2　本学は、前項の目的を達成するために必要な体制の整備に努めるものとする。
(仮名加工情報の作成等)
第10条の5　本学は、仮名加工情報(仮名加工情報データベース等(仮名加工情報を含む情報の集合物であって、特定の仮名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他当該情報の集合物に含まれる仮名加工情報を一定の規則に従って整理することにより特定の仮名加工情報を容易に検索することができるように体系的に構成したものであって、目次、索引その他検索を容易にするためのものを有するものをいう。)を構成するものに限る。以下同じ。)を作成するときは、次の基準に従い、個人情報を加工するものとする。
(1)　個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること(当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。)。
(2)　個人情報に含まれる個人識別符号の全部を削除すること(当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。)。
(3)　個人情報に含まれる不正に利用されることにより財産的被害が生じるおそれがある記述等を削除すること(当該記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。)。
2　本学は、仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等(仮名加工情報の作成に用いられた個人情報から削除された記述等及び個人識別符号並びに前項の規定により行われた加工の方法に関する情報をいう。以下この条及び次条第3項において読み替えて準用する第7項において同じ。)を取得したときは、削除情報等の漏えいを防止するために必要なものとして別に定める基準に従い、削除情報等の安全管理のための措置を講ずるものとする。
3　本学は、第4条の規定にかかわらず、法令に基づく場合を除くほか、第3条第1項の規定により特定された利用目的の達成に必要な範囲を超えて、仮名加工情報(個人情報であるものに限る。以下この条において同じ。)を取り扱わないものとする。
4　仮名加工情報についての第5条の2の規定の適用については、同条第1項及び第3項中「、本人に通知し、又は公表する」とあるのは「公表する」と、同条第4項中「個人情報保護法第21条第4項各号」とあるのは、「個人情報保護法第41条第4項の規定により読み替えて適用する同法第21条第4項各号」とする。
5　本学は、仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞なく消去するよう努めるものとする。この場合においては、第6条の規定は、適用しない。
6　本学は、第9条第1項及び第2項並びに第9条の2第1項の規定にかかわらず、法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはならない。この場合において、第9条第6項中「個人情報保護法第27条第5項各号」とあるのは「個人情報保護法第27条第5項第1号及び第2号並びに第41条第6項の規定により読み替えて適用する第27条第5項第3号」と、「前各項」とあるのは「第10条の5第6項」と、同条第7項中「、本人に通知し、又は本人が容易に知り得る状態に置く」とあるのは「公表する」と、第10条第1項ただし書中「個人情報保護法第27条第1項各号又は第5項各号のいずれか(前条第1項の規定による個人データの提供にあっては、個人情報保護法第27条第1項各号のいずれか)」とあり、及び第10条の2第1項ただし書中「個人情報保護法第27条第1項各号又は第5項各号のいずれか」とあるのは「法令に基づく場合又は個人情報保護法第27条第5項各号のいずれか」とする。
7　本学は、仮名加工情報を取り扱うに当たっては、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該仮名加工情報を他の情報と照合しないものとする。
8　本学は、仮名加工情報を取り扱うに当たっては、電話をかけ、郵便若しくは民間事業者による信書の送達に関する法律(平成14年法律第99号)第2条第6項に規定する一般信書便事業者若しくは同条第9項に規定する特定信書便事業者による同条第2項に規定する信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法(次に掲げる方法をいう。)を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用しないものとする。
(1)　電話番号を送受信のために用いて電磁的記録を相手方の使用に係る携帯して使用する通信端末機器に送信する方法(他人に委託して行う場合を含む。)
(2)　電子メールを送信する方法(他人に委託して行う場合を含む。)
(3)　前号に定めるもののほか、その受信をする者を特定して情報を伝達するために用いられる電気通信(電気通信事業法(昭和59年法律第86号)第2条第1号に規定する電気通信をいう。)を送信する方法(他人に委託して行う場合を含む。)
9　仮名加工情報、仮名加工情報である個人データ及び仮名加工情報である保有個人データ(個人情報保護法第16条第4項に規定するものをいう。)については、第3条第2項及び第8条の3の規定は、適用しない。
(仮名加工情報の第三者提供の制限等)
第10条の6　本学は、法令に基づく場合を除くほか、仮名加工情報(個人情報であるものを除く。次項及び第3項において同じ。)を第三者に提供しないものとする。
2　第9条第6項及び第7項の規定は、仮名加工情報の提供を受ける者について準用する。この場合において、同条第6項中「個人情報保護法第27条第5項各号」とあるのは「個人情報保護法第42条第2項の規定により読み替えて準用する第27条第5項第1号及び第3号並びに第2号」と、「前各項」とあるのは「第10条の6第1項」と、同条第7項中「、本人に通知し、又は本人が容易に知り得る状態に置く」とあるのは「公表する」と読み替えるものとする。
3　第7条から第8条の2まで、第10条の4並びに前条第7項及び第8項の規定は、本学による仮名加工情報の取扱いについて準用する。この場合において、第7条中「漏えい、滅失又は毀損(以下「漏えい等」という。)」とあるのは「漏えい」と、前条第7項中「ために、」とあるのは「ために、削除情報等を取得し、又は」と読み替えるものとする。
(個人情報ファイル簿の作成及び公表)
第11条　国立大学法人熊本大学長(以下「学長」という。)は、本学が保有している個人情報ファイルについて、それぞれ個人情報保護法第74条第1項第1号から第7号まで、第9号及び第10号に掲げる事項その他次に掲げる事項を記載した帳簿(以下「個人情報ファイル簿」という。)を作成し、公表するものとする。
(1)　個人情報保護法第60条第2項第1号に係る個人情報ファイル又は同項第2号に係る個人情報ファイルの別
(2)　個人情報保護法第60条第2項第1号に係る個人情報ファイルについて、同項第2号に係る個人情報ファイルで、その利用目的及び記録範囲がこの項の規定による公表に係る同号に係る個人情報ファイルの利用目的及び記録範囲の範囲内であるものがあるときは、その旨
2　学長は、個人情報ファイル(個人情報保護法第75条第2項各号に掲げるもの及び第8項の規定により個人情報ファイル簿に掲載しないものを除く。次項及び第5項において同じ。)を保有するに至ったときは、直ちに、個人情報ファイル簿を作成するものとする。
3　個人情報ファイル簿は、本学が保有している個人情報ファイルを通じて一の帳簿とする。
4　学長は、個人情報ファイル簿に記載すべき事項に変更があったときは、直ちに、当該個人情報ファイル簿を修正するものとする。
5　学長は、個人情報ファイル簿に掲載した個人情報ファイルの保有をやめたとき、又はその個人情報ファイルが個人情報保護法第74条第2項第9号に該当するに至ったときは、遅滞なく、当該個人情報ファイルについての記載を削除するものとする。
6　学長は、個人情報ファイル簿を作成したときは、遅滞なく、これを本学の事務所に備えて置き一般の閲覧に供するとともに、インターネットの利用その他の情報通信の技術を利用する方法により公表するものとする。
7　第1項の規定は、個人情報保護法第75条第2項各号に掲げる個人情報ファイルについては、適用しない。
8　第1項の規定にかかわらず、学長は、記録項目の一部若しくは個人情報保護法第74条第1項第5号若しくは第7号に掲げる事項を個人情報ファイル簿に記載し、又は個人情報ファイルを個人情報ファイル簿に掲載することにより、利用目的に係る事務又は事業の性質上、当該事務又は事業の適正な遂行に著しい支障を及ぼすおそれがあると認めるときは、その記録項目の一部若しくは事項を記載せず、又はその個人情報ファイルを個人情報ファイル簿に掲載しないことができる。
第3章　特定個人情報の取扱い
(個人番号を取り扱う事務の範囲)
第12条　本学において個人番号を取り扱う事務の範囲は、次の各号に掲げるとおりとする。
(1)　役員及び国立大学法人熊本大学職員就業規則(平成16年4月1日制定)第2条に定める職員(以下「職員」という。)に係る次に掲げる事務
イ　給与所得・退職所得の源泉徴収事務
ロ　国家公務員共済組合届出・申請事務
ハ　厚生年金保険届出・申請事務
ニ　雇用保険届出・申請事務
ホ　財産形成住宅貯蓄及び財産形成年金貯蓄の非課税に関する申込書及び申告書の金融機関への提出事務
(2)　役員及び職員の配偶者に係る国民年金の第3号被保険者の届出事務
(3)　第1号に規定するもの以外の個人に係る報酬・料金等の支払調書作成事務
(4)　本学教育学部附属特別支援学校高等部の生徒に係る高等学校等就学支援金の届出・申請事務
(特定個人情報の範囲)
第13条　前条における本学が個人情報を取り扱う事務に使用する個人番号及び個人情報と関連付けて管理される特定個人情報の範囲は、次の各号に掲げるとおりとする。
(1)　役員、職員又はそれ以外の個人から、番号法第16条に基づく本人確認の措置を実施する際に提示を受けた本人確認書類(個人番号カード、通知カード、マイナンバー連絡票、身元確認書類等)の写し
(2)　本学が行政機関等に提出するために作成した届出書及びその控え
(3)　本学が届出書等を作成する上で役員、職員又はそれ以外の個人から受領する個人番号が記載された申告書等
(4)　その他個人番号と関連付けて保存される情報
(個人番号の提供の求めの制限)
第14条　本学は、第12条に定める事務を処理するために必要がある場合その他番号法で定める場合を除き、個人番号の提供を求めてはならない。
(個人番号の提供を求める時期)
第15条　前条の規定にかかわらず、本人との法律関係等に基づき、個人番号関係事務の発生が予想される場合には、当該事務の発生が予想された時点で個人番号の提供を求めることができる。
(本人確認)
第16条　個人番号を取得する場合は、番号法第16条に規定する方法により、個人番号の確認及び本人の身元確認を行うものとする。
2　代理人からの提供を受ける場合においては、代理権及び本人の個人番号の確認並びに当該代理人の身元確認を行うものとする。
(保有特定個人情報の利用の制限)
第17条　本学は、番号法第9条第4項の規定に基づく場合を除き、利用目的以外の目的のために保有特定個人情報を自ら利用してはならない。
2　前項の規定にかかわらず、本学は、人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意があり、又は本人の同意を得ることが困難であるときは、利用目的以外の目的のために保有特定個人情報を自ら利用することができる。ただし、保有特定個人情報を利用目的以外の目的のために自ら利用することによって、本人又は第三者の権利利益を不当に侵害するおそれがあると認められるときは、この限りでない。
3　前項の規定は、保有特定個人情報の利用又は提供を制限する他の学内規則の規定の適用を妨げるものではない。
4　本学は、個人の権利利益を保護するため特に必要があると認めるときは、保有特定個人情報の利用目的以外の目的のための本学の内部における利用を特定の役員又は職員に限るものとする。
(特定個人情報の提供の制限)
第18条　本学は、番号法第19条各号のいずれかに該当する場合を除き、特定個人情報を提供してはならない。
(特定個人情報の保管の制限)
第19条　本学は、第12条に定める事務の範囲を超えて、特定個人情報を保管してはならない。
2　第12条に定める事務の範囲に限り特定個人情報を保管する場合にあっても、国立大学法人熊本大学法人文書管理規則(平成23年3月30日制定)で規定する保存期間を経過したときは、当該特定個人情報を速やかに廃棄又は削除しなければならない。
(特定個人情報ファイルの作成の制限)
第20条　第12条に定める事務を処理するために必要な場合その他番号法で定める場合を除き、特定個人情報ファイルを作成してはならない。
(特定個人情報ファイルの作成及び公表)
第21条　本学の特定個人情報ファイルの作成及び公表に関する事項については、第11条の規定を準用する。
(準用規定)
第22条　第3条から第8条までの規定は、特定個人情報について、これを準用する。
第4章　開示、訂正及び利用停止
(開示請求の手続)
第23条　個人情報保護法第77条第1項の規定による開示の請求(以下「開示請求」という。)をする者は、開示請求書(別記様式第1号)を学長に提出する。
2　前項の場合において、開示請求をする者は、開示請求に係る保有個人情報及び保有特定個人情報(以下「保有個人情報等」という。)の本人であること(個人情報保護法第76条第2項の規定による開示請求にあっては、開示請求に係る保有個人情報等の本人の代理人であること)を示す書類を提示し、又は提出しなければならない。
3　個人情報保護法第76条第2項の規定により代理人が開示請求をする場合には、当該代理人は、戸籍謄本、委任状(個人情報に係る開示請求用)(別記様式第2号(特定個人情報にあっては、委任状(特定個人情報に係る開示請求用)(別記様式第3号)))その他その資格を証明する書類(開示請求をする日前30日以内に作成されたものに限る。)を学長に提示し、又は提出しなければならない。
4　開示請求をした代理人は、当該開示請求に係る保有個人情報等の開示を受ける前にその資格を喪失したときは、直ちに、書面でその旨を学長(第32条第1項の規定による通知があった場合にあっては、移送を受けた行政機関の長等)に届け出なければならない。
5　前項の規定による届出があったときは、当該開示請求は、取り下げられたものとみなす。
6　学長は、開示請求書に形式上の不備があると認めるときは、開示請求をした者(以下「開示請求者」という。)に対し、相当の期間を定めて、その補正を求めることができる。この場合において、学長は、開示請求者に対し、補正の参考となる情報を提供するよう努めるものとする。
(保有個人情報等の開示義務)
第24条　学長は、開示請求があったときは、開示請求に係る保有個人情報等に個人情報保護法第78条第1項各号に規定する情報(以下「不開示情報」という。)のいずれかが含まれている場合を除き、開示請求者に対し、当該保有個人情報等を開示するものとする。
(部分開示)
第25条　学長は、開示請求に係る保有個人情報等に不開示情報が含まれている場合において、不開示情報に該当する部分を容易に区分して除くことができるときは、開示請求者に対し、当該部分を除いた部分につき開示するものとする。
2　開示請求に係る保有個人情報等に個人情報保護法第78条第1項第2号の情報(開示請求者以外の特定の個人を識別することができるものに限る。)が含まれている場合において、当該情報のうち、氏名、生年月日その他の開示請求者以外の特定の個人を識別することができることとなる記述等及び個人識別符号の部分を除くことにより、開示しても、開示請求者以外の個人の権利利益が害されるおそれがないと認められるときは、当該部分を除いた部分は、同号の情報に含まれないものとみなして、前項の規定を適用する。
(裁量的開示)
第26条　学長は、開示請求に係る保有個人情報等に不開示情報が含まれている場合であっても、個人の権利利益を保護するため特に必要があると認めるときは、開示請求者に対し、当該保有個人情報等を開示することができる。
(保有個人情報等の存否に関する情報)
第27条　開示請求に対し、当該開示請求に係る保有個人情報等が存在しているか否かを答えるだけで、不開示情報を開示することとなるときは、学長は、当該保有個人情報等の存否を明らかにしないで、当該開示請求を拒否することができる。
(開示等に係る意見聴取)
第28条　学長は、保有個人情報等の開示、不開示等(以下「開示等」という。)を決定する際に意見を聴く必要があると認めるときは、別に規定する国立大学法人熊本大学情報公開・個人情報保護審査委員会にその旨を諮るものとする。
(開示請求に対する措置)
第29条　学長は、開示請求に係る保有個人情報等の全部又は一部を開示するときは、その旨の決定をし、開示請求者に対し、開示決定通知書(別記様式第4号)により通知するものとする。ただし、個人情報保護法第62条第2号又は第3号に該当する場合における当該利用目的については、この限りでない。
2　学長は、開示請求に係る保有個人情報等の全部を開示しないとき(第27条の規定により開示請求を拒否するとき、及び開示請求に係る保有個人情報等を保有していないときを含む。)は、開示をしない旨の決定をし、開示請求者に対し、開示をしない旨の決定通知書(別記様式第5号)により通知するものとする。
(開示決定等の期限)
第30条　前条各項の決定(以下「開示決定等」という。)は、開示請求があった日から30日以内にするものとする。ただし、第23条第6項の規定により補正を求めた場合にあっては、当該補正に要した日数は、当該期間に算入しない。
2　前項の規定にかかわらず、学長は、事務処理上の困難その他正当な理由があるときは、同項に規定する期間を30日以内に限り延長することができる。この場合において、学長は、開示請求者に対し、遅滞なく、開示決定等期限延長通知書(別記様式第6号）により通知するものとする。
(開示決定等の期限の特例)
第31条　開示請求に係る保有個人情報等が著しく大量であるため、開示請求があった日から60日以内にそのすべてについて開示決定等をすることにより事務の遂行に著しい支障が生ずるおそれがある場合には、前条の規定にかかわらず、学長は、開示請求に係る保有個人情報等のうちの相当の部分につき当該期間内に開示決定等をし、残りの保有個人情報等については相当の期間内に開示決定等をすれば足りる。この場合において、学長は、同条第1項に規定する期間内に、開示請求者に対し、開示決定等期限特例延長通知書(別記様式第7号)により通知するものとする。
(事案の移送)
第32条　学長は、開示請求に係る保有個人情報等が本学以外の行政機関等から提供されたものであるとき、その他他の行政機関の長等において開示決定等をすることにつき正当な理由があるときは、当該他の行政機関の長等と協議の上、当該他の行政機関の長等に対し、他の行政機関の長等への開示請求事案移送書(別記様式第8号)により、事案を移送することができる。この場合においては、学長は、開示請求者に対し、開示請求者への開示請求事案移送通知書(別記様式第9号)により通知するものとする。
2　学長は、他の行政機関等の長から開示請求にかかる事案が移送されたときは、当該開示請求についての開示決定等をするものとする。この場合において、移送をした行政機関等の長等が移送前にした行為は、学長がしたものとみなす。
3　第1項の規定により移送を受けた行政機関の長等が、個人情報保護法第82条第1項の決定(以下「開示決定」という。)をし、開示の実施をしたときは、学長は、当該開示の実施に必要な協力をするものとする。
第33条　削除
(第三者に対する意見書提出の機会の付与等)
第34条　開示請求に係る保有個人情報等に国、独立行政法人等(個人情報保護法第2条第9項に規定する法人をいう。)、地方公共団体、地方独立行政法人(個人情報保護法第2条第10項に規定する法人をいう。)及び開示請求者以外の者(以下この条において「第三者」という。)に関する情報が含まれているときは、学長は、開示決定等をするに当たって、当該情報に係る第三者に対し、第三者意見照会書(個人情報保護法第86条第2項適用)(別記様式第10号)により通知して、第三者開示決定等意見書(別記様式第11号)を提出する機会を与えることができる。
2　学長は、個人情報保護法第86条第2項各号のいずれかに該当するときは、開示決定に先立ち、当該第三者に対し、第三者意見照会書(個人情報保護法第86条第2項適用)(別記様式第12号)により通知して、第三者開示決定等意見書を提出する機会を与えるものとする。ただし、当該第三者の所在が判明しない場合は、この限りでない。
3　学長は、前2項の規定により、第三者に対し、当該第三者に関する情報の内容を通知するに当たっては、開示請求に係る保有個人情報等の本人の権利利益を不当に侵害しないように留意するものとする。
4　学長は、第1項又は第2項の規定により第三者開示決定等意見書の提出の機会を与えられた第三者が当該第三者に関する情報の開示に反対の意思を表示した意見書を提出した場合において、開示決定をするときは、開示決定の日と開示を実施する日との間に少なくとも2週間を置くものとする。この場合において、学長は、開示決定後直ちに、当該意見書を提出した第三者に対し、開示決定を行った旨の反対意見提出者への通知書(別記様式第13号)により通知するものとする。
(開示の実施)
第35条　保有個人情報等の開示は、当該保有個人情報等が、文書又は図画に記録されているときは閲覧又は写しの交付により、電磁的記録に記録されているときはその種別、情報化の進展状況等を勘案して学長が定める方法により行う。ただし、閲覧の方法による保有個人情報等の開示にあっては、学長は、当該保有個人情報等が記録されている文書又は図画の保存に支障を生ずるおそれがあると認めるとき、その他正当な理由があるときは、その写しにより、これを行うことができる。
2　学長は、前項の規定に基づく電磁的記録についての開示の方法に関する定めを設けるとともに、一般の閲覧に供するものとする。
3　開示決定に基づき保有個人情報等の開示を受ける者は、開示の実施方法等申出書(別記様式第14号)により、開示決定の通知があった日から30日以内に学長に対し、その求める開示実施の方法等を申し出なければならない。ただし、当該期間内に当該申出をすることができないことにつき正当な理由があるときは、この限りでない。
(個人情報保護法以外の法令による開示の実施との調整)
第36条　学長は、個人情報保護法以外の法令の規定により、開示請求者に対し開示請求に係る保有個人情報が前条第1項本文に規定する方法と同一の方法で開示することとされている場合(開示の期間が定められている場合にあっては、当該期間内に限る。)には、同項本文の規定にかかわらず、当該保有個人情報については、当該同一の方法による開示を行わない。ただし、当該個人情報保護法以外の法令の規定に一定の場合には開示をしない旨の定めがあるときは、この限りでない。
2　個人情報保護法以外の法令の規定に定める開示の方法が縦覧であるときは、当該縦覧を前条第1項本文の閲覧とみなして、前項の規定を適用する。
(手数料)
第37条　開示請求をする者は、本学の定めるところにより、手数料を納めなければならない。
2　前項の手数料の額は、学長が別に定める。
3　前2項の規定にかかわらず、学長は、経済的困難その他特別の理由があると認めるときは、保有特定個人情報の開示請求に係る必要な手数料を免除することができる。
4　学長は、前3項の規定による定めを一般の閲覧に供するものとする。
(訂正請求の手続)
第38条　個人情報保護法第90条第1項の規定による訂正の請求(以下「訂正請求」という。)をする者は、訂正請求書(別記様式第15号)を学長に提出する。
2　前項の場合において、訂正請求をする者は、訂正請求に係る保有個人情報等の本人であること(個人情報保護法第90条第2項の規定による訂正請求にあっては、訂正請求に係る保有個人情報等の本人の代理人であること)を示す書類を提示し、又は提出しなければならない。
3　個人情報保護法第90条第2項の規定により代理人が訂正請求をする場合には、当該代理人は、戸籍謄本、委任状(訂正請求用)(別記様式第16号(特定個人情報にあっては、委任状(特定個人情報に係る訂正請求用)(別記様式第17号)))その他その資格を証明する書類(訂正請求をする日前30日以内に作成されたものに限る。)を学長に提示し、又は提出するものとする。
4　学長は、訂正請求書に形式上の不備があると認めるときは、訂正請求をした者(以下「訂正請求者」という。)に対し、相当の期間を定めて、その補正を求める。
(保有個人情報等の訂正義務)
第39条　学長は、訂正請求があった場合において、当該訂正請求に理由があると認めるときは、当該訂正請求に係る保有個人情報等の利用目的の達成に必要な範囲内で、当該保有個人情報等の訂正をするものとする。
(訂正請求に対する措置)
第40条　学長は、訂正請求に係る保有個人情報等の訂正をするときは、その旨の決定をし、訂正請求者に対し、訂正決定通知書(別記様式第18号)により通知するものとする。
2　学長は、訂正請求に係る保有個人情報等の訂正をしないときは、その旨の決定をし、訂正請求者に対し、訂正をしない旨の決定通知書(別記様式第19号)により通知するものとする。
(訂正決定等の期限)
第41条　前条各項の決定(以下「訂正決定等」という。)は、訂正請求があった日から30日以内にするものとする。ただし、第38条第4項の規定により補正を求めた場合にあっては、当該補正に要した日数は、当該期間に算入しない。
2　前項の規定にかかわらず、学長は、事務処理上の困難その他正当な理由があるときは、同項に規定する期間を30日以内に限り延長することができる。この場合において、学長は、訂正請求者に対し、遅滞なく、訂正決定等期限延長通知書(別記様式第20号)により通知するものとする。
(訂正決定等の期限の特例)
第42条　学長は、訂正決定等に特に長期間を要すると認めるときは、前条の規定にかかわらず、相当の期間内に訂正決定等をすれば足りる。この場合において、学長は、同条第1項に規定する期間内に、訂正請求者に対し、訂正決定等期限特例延長通知書(別記様式第21号)により通知するものとする。
(事案の移送)
第43条　学長は、訂正請求に係る保有個人情報等が第32条第3項の規定に基づく開示に係るものであるとき、その他他の行政機関の長等において訂正決定等をすることにつき正当な理由があるときは、当該他の行政機関の長等と協議の上、当該他の行政機関の長等に対し、他の行政機関の長等への訂正請求事案移送書(別記様式第22号)により事案を移送することができる。この場合においては、学長は、訂正請求者に対し、訂正請求者への訂正請求事案移送通知書(別記様式第23号)により通知するものとする。
2　学長は、他の行政機関等の長から訂正請求にかかる事案が移送されたときは、当該訂正請求についての訂正決定等をするものとする。この場合において、移送をした行政機関の長等が移送前にした行為は、学長がしたものとみなす。
3　第1項の規定により移送を受けた行政機関の長等が個人情報保護法第93条第1項の決定(以下「訂正決定」という。)をしたときは、学長は、当該訂正決定に基づき訂正の実施をするものとする。
第44条　削除
(保有個人情報等の提供先への通知)
第45条　学長は、訂正決定に基づく保有個人情報等の訂正の実施をした場合において、必要があると認めるときは、当該保有個人情報等の提供先に対し、遅滞なく、その旨を保有個人情報等提供先への訂正決定通知書(別記様式第24号)により通知するものとする。
(利用停止請求の手続)
第46条　個人情報保護法第98条第1項の規定による利用停止請求(以下「利用停止請求」という。)をする者は、利用停止請求書(別記様式第25号)を学長に提出する。
2　前項の場合において、利用停止請求をする者は、利用停止請求に係る保有個人情報等の本人であること(個人情報保護法第98条第2項の規定による利用停止請求にあっては、利用停止請求に係る保有個人情報等の本人の代理人であること)を示す書類を提示し、又は提出するものとする。
3　個人情報保護法第98条第2項の規定により代理人が利用停止請求をする場合には、当該代理人は、戸籍謄本、委任状(利用停止請求用)(別記様式第26号(特定個人情報にあっては、委任状(特定個人情報に係る利用停止請求用)(別記様式第27号)))その他その資格を証明する書類(利用停止請求をする日前30日以内に作成されたものに限る。)を学長に提示し、又は提出するものとする。
4　学長は、利用停止請求書に形式上の不備があると認めるときは、利用停止請求をした者(以下「利用停止請求者」という。)に対し、相当の期間を定めて、その補正を求めることができる。
(保有個人情報等の利用停止義務)
第47条　学長は、利用停止請求があった場合において、当該利用停止請求に理由があると認めるときは、本学における個人情報の適正な取扱いを確保するために必要な限度で、当該利用停止請求に係る保有個人情報等の利用停止をするものとする。ただし、当該保有個人情報等の利用停止をすることにより、当該保有個人情報等の利用目的に係る事務又は事業の性質上、当該事務又は事業の適正な遂行に著しい支障を及ぼすおそれがあると認められるときは、この限りでない。
(利用停止請求に対する措置)
第48条　学長は、利用停止請求に係る保有個人情報等の利用停止をするときは、その旨の決定をし、利用停止請求者に対し、利用停止決定通知書(別記様式第28号)により通知するものとする。
2　学長は、利用停止請求に係る保有個人情報等の利用停止をしないときは、その旨の決定をし、利用停止請求者に対し、利用停止をしない旨の決定通知書(別記様式第29号)により通知するものとする。
(利用停止決定等の期限)
第49条　前条各項の決定(以下「利用停止決定等」という。)は、利用停止請求があった日から30日以内にするものとする。ただし、第46条第4項の規定により補正を求めた場合にあっては、当該補正に要した日数は、当該期間に算入しない。
2　前項の規定にかかわらず、学長は、事務処理上の困難その他正当な理由があるときは、同項に規定する期間を30日以内に限り延長することができる。この場合において、学長は、利用停止請求者に対し、遅滞なく、利用停止決定等期限延長通知書(別記様式第30号)により通知するものとする。
(利用停止決定等の期限の特例)
第50条　利用停止決定等に特に長期間を要すると認めるときは、前条の規定にかかわらず、相当の期間内に利用停止決定等をすれば足りる。この場合において、学長は、同条第1項に規定する期間内に、利用停止請求者に対し、利用停止決定等期限特例延長通知書(別記様式第31号)により通知するものとする。
(審査請求及び情報公開・個人情報保護審査会への諮問)
第51条　開示決定等、訂正決定等、利用停止決定等又は開示請求、訂正請求若しくは利用停止請求に係る不作為について審査請求があったときは、学長は、個人情報保護法第105条第1項各号のいずれかに該当する場合を除き、諮問書(開示決定等)(別記様式第32号)、諮問書(訂正決定等)(別記様式第33号)、諮問書(利用停止決定等)(別記様式第34号)又は諮問書(開示請求・訂正請求・利用停止請求に係る不作為)(別記様式第35号)により情報公開・個人情報保護審査会に諮問するものとする。
2　学長は、前項の規定により諮問をしたときは、個人情報保護法第105条第2項各号に掲げる者に対し、諮問をした旨の通知書(審査請求人等)(別記様式第36号)により通知するものとする。
第52条　削除
(第三者からの審査請求を棄却する場合等における手続)
第53条　第34条第4項の規定は、個人情報保護法第107条第1項各号のいずれかに該当する裁決をする場合について準用する。
第5章　行政機関等匿名加工情報の提供等
(行政機関等匿名加工情報の作成及び提供等)
第53条の2　学長は、個人情報保護法第5章第5節の規定に従い、行政機関等匿名加工情報(行政機関等匿名加工情報ファイル(個人情報保護法第60条第4項に規定するものをいう。)を構成するものに限る。以下この章及び次章において同じ。)を作成することができる。
2　学長は、個人情報保護法第109条第2項各号のいずれかに該当する場合を除き、行政機関等匿名加工情報を提供しないものとする。
3　学長は、法令に基づく場合を除き、利用目的以外の目的のために削除情報(保有個人情報に該当するものに限る。)を自ら利用し、又は提供しないものとする。
4　前項の「削除情報」とは、行政機関等匿名加工情報の作成に用いた保有個人情報から削除した記述等及び個人識別符号をいう。
(提案の募集に関する事項の個人情報ファイル簿への記載)
第53条の3　学長は、本学が保有している個人情報ファイルが個人情報保護法第60条第3項各号のいずれにも該当すると認めるときは、当該個人情報ファイルについては、個人情報ファイル簿に個人情報保護法第110条各号に定める事項を記載するものとする。この場合における当該個人情報ファイルについての第11条第1項の規定の適用については、同項中「第10号」とあるのは「第10号並びに第110条各号」とする。
(提案の募集)
第53条の4　学長は、毎年度1回以上、当該募集の開始の日から30日以上の期間を定めて、インターネットの利用その他の適切な方法により、定期的に、本学が保有している個人情報ファイル(個人情報ファイル簿に個人情報保護法第110条第1号に掲げる事項の記載があるものに限る。以下この章において同じ。)について、次条第1項の提案を募集するものとする。
2　提案の募集に関し必要な事項は、あらかじめ公示するものとする。
(行政機関等匿名加工情報をその用に供して行う事業に関する提案)
第53条の5　前条の規定による募集に応じて個人情報ファイルを構成する保有個人情報を加工して作成する行政機関等匿名加工情報をその事業の用に供しようとする者は、学長に対し、当該事業に関する提案をすることができる。
2　前項の提案は、個人情報保護法第112条第2項各号に掲げる事項を記載した書面を学長に提出してするものとする。
3　代理人によって第1項の提案をする場合にあっては、前項の書面に委任状(代理人の権限を証する書面)(別記様式第37号)を添えて行うものとする。
4　第2項の書面には、個人情報保護法第112条第3項各号に掲げる書面その他次に掲げる書類を添付しなければならない。
(1)　提案をする者が個人である場合にあっては、その氏名及び住所又は居所と同一の氏名及び住所又は居所が記載されている運転免許証、健康保険の被保険者証、番号法第2条第7項に規定する個人番号カード、出入国管理及び難民認定法(昭和26年政令第319号)第19条の3に規定する在留カード、日本国との平和条約に基づき日本の国籍を離脱した者等の出入国管理に関する特例法(平成3年法律第71号)第7条第1項に規定する特別永住者証明書その他法律又はこれに基づく命令の規定により交付された書類の写しであって、当該提案をする者が本人であることを確認するに足りるもの
(2)　提案をする者が法人その他の団体である場合にあっては、その名称及び本店又は主たる事務所の所在地並びに代表者の氏名と同一の名称及び本店又は主たる事務所の所在地並びに氏名が記載されている登記事項証明書又は印鑑登録証明書で提案の日前6月以内に作成されたものその他法律又はこれに基づく命令の規定により交付された書類であって、その者が本人であることを確認するに足りるもの
(3)　提案をする者がやむを得ない事由により前2号に掲げる書類を添付できない場合にあっては、当該提案をする者が本人であることを確認するため学長が適当と認める書類
(4)　前各号に掲げる書類のほか、学長が必要と認める書類
5　前項の規定は、代理人によって第1項の提案をする場合に準用する。この場合において、前項第1号から第3号までの規定中「提案をする者」とあるのは「代理人」と読み替えるものとする。
6　学長は、第2項の規定により提出された書面又は第3項の規定により添付された書類に不備があり、又はこれらに記載すべき事項の記載が不十分であると認めるときは、第1項の提案をした者又は代理人に対して、説明を求め、又は当該書面若しくは書類の訂正を求めることができる。
(欠格事由)
第53条の6　個人情報保護法第113条各号のいずれかに該当する者は、前条第1項の提案をすることができない。
(提案の審査等)
第53条の7　学長は、第53条の5第1項の提案があったときは、当該提案が個人情報保護法第114条第1項各号に掲げる基準に適合するかどうかを審査するものとする。
2　学長は、前項の規定により審査した結果、第53条の5第1項の提案が個人情報保護法第114条第1項各号に掲げる基準のいずれにも適合すると認めるときは、当該提案をした者に対し、同条第2項各号に掲げる事項を通知するものとする。
3　学長は、第1項の規定により審査した結果、第53条の5第1項の提案が個人情報保護法第114条第1項各号に掲げる基準のいずれかに適合しないと認めるときは、当該提案をした者に対し、理由を付して、その旨を通知するものとする。
第53条の8　削除
(行政機関等匿名加工情報の利用に関する契約の締結)
第53条の9　第53条の7第2項の規定による通知を受けた者は、学長との間で、行政機関等匿名加工情報の利用に関する契約を締結することができる。
(行政機関等匿名加工情報の作成等)
第53条の10　学長は、行政機関等匿名加工情報を作成するときは、特定の個人を識別することができないように及びその作成に用いる保有個人情報を復元することができないようにするために必要なものとして次に掲げる基準に従い、当該保有個人情報を加工するものとする。
(1)　保有個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること(当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。)
(2)　保有個人情報に含まれる個人識別符号の全部を削除すること(当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。)
(3)　保有個人情報と当該保有個人情報に措置を講じて得られる情報とを連結する符号(現に本学において取り扱う情報を相互に連結する符号に限る。)を削除すること(当該符号を復元することのできる規則性を有しない方法により当該保有個人情報と当該保有個人情報に措置を講じて得られる情報を連結することができない符号に置き換えることを含む。)
(4)　特異な記述等を削除すること(当該特異な記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。)
(5)　前各号に掲げる措置のほか、保有個人情報に含まれる記述等と当該保有個人情報を含む個人情報ファイルを構成する他の保有個人情報に含まれる記述等との差異その他の当該個人情報ファイルの性質を勘案し、その結果を踏まえて適切な措置を講ずること
2　前項の規定は、本学から行政機関等匿名加工情報の作成の委託(二以上の段階にわたる委託を含む。)を受けた者が受託した業務を行う場合について準用する。
(行政機関等匿名加工情報に関する事項の個人情報ファイル簿への記載)
第53条の11　学長は、行政機関等匿名加工情報を作成したときは、当該行政機関等匿名加工情報の作成に用いた保有個人情報を含む個人情報ファイルについては、個人情報ファイル簿に個人情報保護法第117条各号に掲げる事項を記載するものとする。この場合における当該個人情報ファイルについての第53条の3の規定により読み替えて適用する第11条第1項の規定の適用については、同項中「並びに第110条各号」とあるのは、「、第110条各号並びに第117条各号」とする。
(作成された行政機関等匿名加工情報をその用に供して行う事業に関する提案等)
第53条の12　前条の規定により個人情報ファイル簿に個人情報保護法第117条第1号に掲げる事項が記載された行政機関等匿名加工情報をその事業の用に供しようとする者は、学長に対し、当該事業に関する提案をすることができる。当該行政機関等匿名加工情報について第53条の9の規定により行政機関等匿名加工情報の利用に関する契約を締結した者が、当該行政機関等匿名加工情報をその用に供する事業を変更しようとするときも、同様とする。
2　第53条の5第2項及び第4項並びに第53条の6から第53条の9までの規定は、前項の提案について準用する。この場合において、第53条の5第2項中「個人情報保護法第112条第2項各号に」とあるのは「個人情報保護法第112条第2項第1号及び第5号から第7号まで並びに個人情報保護法第118条第2項の規定により読み替えて準用する個人情報保護法第112条第2項第4号及び第8号に」と、第53条の7第1項中「個人情報保護法第114条第1項各号に」とあるのは「個人情報保護法第114条第1項第1号及び第4号から第6号まで並びに個人情報保護法第118条第2項の規定により読み替えて準用する個人情報保護法第114条第1項第7号に」と、同条第2項中「個人情報保護法第114条第1項各号」とあるのは「個人情報保護法第114条第1項第1号及び第4号から第7号まで」と、同条第3項中「個人情報保護法第114条第1項各号」とあるのは「個人情報保護法第114条第1項第1号及び第4号から第7号まで」と読み替えるものとする。
(手数料)
第53条の13　第53条の9の規定(前条第2項において準用する場合を含む。次条において同じ。)により行政機関等匿名加工情報の利用に関する契約を学長と締結する者は、国立大学法人熊本大学諸料金規則(平成16年4月1日制定)に定めるところにより、手数料を納めなければならない。
(行政機関等匿名加工情報の利用に関する契約の解除)
第53条の14　学長は、第53条の9の規定により行政機関等匿名加工情報の利用に関する契約を締結した者が個人情報保護法第120条各号のいずれかに該当するときは、当該契約を解除することができる。
(識別行為の禁止等)
第53条の15　学長は、行政機関等匿名加工情報を取り扱うに当たっては、法令に基づく場合を除き、当該行政機関等匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該行政機関等匿名加工情報を他の情報と照合しないものとする。
2　学長は、行政機関等匿名加工情報、第53条の2第4項に規定する削除情報及び第53条の10第1項の規定により行った加工の方法に関する情報(以下この条及び次条において「行政機関等匿名加工情報等」という。)の漏えいを防止するために必要なものとして別に定める基準に従い、行政機関等匿名加工情報等の適切な管理のために必要な措置を講ずるものとする。
3　前2項の規定は、本学から行政機関等匿名加工情報等の取扱いの委託(二以上の段階にわたる委託を含む。)を受けた者が受託した業務を行う場合について準用する。
(従事者の義務)
第53条の16　行政機関等匿名加工情報等の取扱いに従事する本学の役員若しくは職員又はこれらの職にあった者、前条第3項の委託を受けた業務に従事している者若しくは従事していた者又は本学において行政機関等匿名加工情報等の取扱いに従事している派遣労働者若しくは従事していた派遣労働者は、その業務に関して知り得た行政機関等匿名加工情報等の内容をみだりに他人に知らせ、又は不当な目的に利用しないものとする。
(匿名加工情報の取扱いに係る義務)
第53条の17　本学は、匿名加工情報(行政機関等匿名加工情報を除く。以下この条において同じ。)を第三者に提供するときは、法令に基づく場合を除き、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示するものとする。
2　前項の規定による公表は、インターネットの利用その他の適切な方法により行うものとする。
3　第1項の規定による明示は、電子メールを送信する方法又は書面を交付する方法その他の適切な方法により行うものとする。
4　本学は、匿名加工情報を取り扱うに当たっては、法令に基づく場合を除き、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該個人情報から削除された記述等若しくは個人識別符号を取得し、又は当該匿名加工情報を他の情報と照合しないものとする。
5　本学は、匿名加工情報の漏えいを防止するために必要なものとして別に定める基準に従い、匿名加工情報の適切な管理のために必要な措置を講ずるものとする。
6　前2項の規定は、本学から匿名加工情報の取扱いの委託(二以上の段階にわたる委託を含む。)を受けた者が受託した業務を行う場合について準用する。
第6章　雑則
(開示請求等をしようとする者に対する情報の提供等)
第54条　学長は、開示請求、訂正請求若しくは利用停止請求又は第53条の5第1項若しくは第53条の12第1項の提案(以下この項において「開示請求等」という。)をしようとする者がそれぞれ容易かつ的確に開示請求等をすることができるよう、本学が保有する保有個人情報等の特定又は当該提案に資する情報の提供その他開示請求等をしようとする者の利便を考慮した適切な措置を講ずるものとする。
2　学長は、前項の情報の提供に供するため、病院事務部総務課及び総務部総務課に個人情報相談窓口を設置するものとする。
第55条　削除
(事故対策委員会)
第56条　学長は、保有個人情報等の漏えい等安全確保の上で問題となる事案のうち特に重大と認めるものが発生した場合は、関係職員を構成員とする事故対策委員会を設置する。
(雑則)
第57条　この規則に定めるもののほか、個人情報保護の実施に関し必要な事項は、学長が別に定める。
2　この規則に定めるもののほか、部局において必要がある場合は、学長の承認を得て、個人情報保護の実施に関する内規を定めることができる。
附　則
この規則は、平成17年4月1日から施行する。
附　則(平成18年6月30日規則第231号)
この規則は、平成18年7月1日から施行する。
附　則(平成22年9月30日規則第211号)
この規則は、平成22年10月1日から施行する。
附　則(平成24年7月9日規則第88号)
この規則は、平成24年7月9日から施行する。
附　則(平成27年12月16日規則第297号)
この規則は、平成28年1月1日から施行する。
附　則(平成28年3月18日規則第45号)
この規則は、平成28年4月1日から施行する。
附　則(平成28年11月8日規則第425号)
この規則は、平成28年11月8日から施行する。
附　則(平成29年3月27日規則第83号)
この規則は、平成29年4月1日から施行する。
附　則(平成29年12月27日規則第262号)
この規則は、平成29年12月27日から施行し、平成29年5月30日から適用する。
附　則(平成30年3月22日規則第145号)
この規則は、平成30年4月1日から施行する。
附　則(平成31年3月28日規則第220号)
この規則は、平成31年4月1日から施行する。
附　則(令和元年5月7日規則第300号)
この規則は、令和元年5月7日から施行する。
附　則(令和元年7月1日規則第366号)
この規則は、令和元年7月1日から施行する。
附　則(令和元年9月13日規則第381号)
この規則は、令和元年9月14日から施行する。
附　則(令和2年10月1日規則第215号)
この規則は、令和2年10月1日から施行する。
附　則(令和4年3月30日規則第68号)
この規則は、令和4年4月1日から施行する。
附　則(令和4年9月26日規則第150号)
この規則は、令和4年10月1日から施行する。
附　則(令和5年9月28日規則第176号)
この規則は、令和5年9月28日から施行する。
附　則(令和7年3月27日規則第118号)
この規則は、令和7年4月1日から施行する。