特定個人情報保護評価指針 令和3年2月5日 個人情報保護委員会 目次 第1 特定個人情報保護評価の意義 .....................................................2 1 特定個人情報保護評価の基本理念 .................................................2 2 特定個人情報保護評価の目的 .....................................................2 (1)事前対応による個人のプライバシー等の権利利益の侵害の未然防止 ..............2 (2)国民・住民の信頼の確保 ....................................................3 3 特定個人情報保護評価の内容 .....................................................3 4 特定個人情報保護評価の実施体制 .................................................4 第2 定義 ...........................................................................4 第3 特定個人情報保護評価の実施主体 .................................................5 1 特定個人情報保護評価の実施が義務付けられる者 ...................................5 2 実施が義務付けられる者が複数いる場合等の特定個人情報保護評価 ...................5 第4 特定個人情報保護評価の対象 .....................................................6 1 基本的な考え方 .................................................................6 2 特定個人情報保護評価の単位 .....................................................6 3 特定個人情報ファイル ...........................................................6 4 特定個人情報保護評価の実施が義務付けられない事務 ...............................6 (1)実施が義務付けられない事務 ................................................6 (2)特定個人情報保護評価以外の番号法の規定の適用 ...............................7 第5 特定個人情報保護評価の実施手続 .................................................7 1 特定個人情報保護評価計画管理書 .................................................7 (1)特定個人情報保護評価計画管理書の作成 .......................................7 (2)特定個人情報保護評価計画管理書の提出 .......................................8 2 しきい値判断 ...................................................................8 3 特定個人情報保護評価書 .........................................................9 (1)基礎項目評価書 ............................................................9 (2)重点項目評価書 ............................................................9 (3)全項目評価書 .............................................................10 (4)特定個人情報保護評価書の公表..............................................11 4 特定個人情報保護評価書の見直し ................................................11 5 特定個人情報保護評価を実施した事務の実施をやめたとき等の通知 ..................12 第6 特定個人情報保護評価の実施時期 ................................................12 1 新規保有時 ....................................................................12 (1)システム用ファイルを保有しようとする場合の実施時期 ........................12 (2)その他の電子ファイルを保有しようとする場合の実施時期 ......................12 2 新規保有時以外 ................................................................12 (1)基本的な考え方 ...........................................................12 (2)重要な変更 ...............................................................12 (3)しきい値判断の結果の変更 .................................................13 (4)一定期間経過 .............................................................14 第7 特定個人情報保護評価書の修正 ..................................................14 1 基礎項目評価書 ................................................................14 2 重点項目評価書・全項目評価書 ..................................................14 第8 番号法及び行政機関個人情報保護法に基づく事前通知 ..............................14 第9 特定個人情報保護評価の評価項目 ................................................15 1 基本的な考え方 ................................................................15 2 評価項目 ......................................................................15 (1)基礎項目評価書 ...........................................................15 (2)重点項目評価書 ...........................................................16 (3)全項目評価書 .............................................................17 第10 委員会の関与 ..................................................................18 1 特定個人情報保護評価書の承認 ..................................................18 (1)承認対象 .................................................................18 (2)審査の観点 ...............................................................18 2 承認の対象としない特定個人情報保護評価書の確認 ................................19 第11 特定個人情報保護評価書に記載した措置の実施 ....................................19 第12 特定個人情報保護評価に係る違反に対する措置 ....................................20 1 特定個人情報保護評価の未実施に対する措置 ......................................20 2 特定個人情報保護評価書の記載に反する特定個人情報ファイルの取扱いに対する措置 ..20 別表................................................................................ 21 様式1 特定個人情報保護評価計画管理書 様式2 特定個人情報保護評価書(基礎項目評価書) 様式3 特定個人情報保護評価書(重点項目評価書) 様式4 特定個人情報保護評価書(全項目評価書) この指針は、行政手続における特定の個人を識別するための番号の利用等 に関する法律(平成25年法律第27号。以下「番号法」という。)第27条第 1項の規定に基づく指針であって、行政機関の長等が、番号法第28条の規定 に基づき特定個人情報の漏えいその他の事態の発生の危険性及び影響に関す る評価(以下「特定個人情報保護評価」という。)を自ら実施し、これらの事 態の発生を抑止することその他特定個人情報を適切に管理するために講ずべ き措置を定めるものである。 第1 特定個人情報保護評価の意義 1 特定個人情報保護評価の基本理念 番号法によって導入される社会保障・税番号制度(以下「番号制度」と いう。)は、社会保障制度、税制、災害対策その他の分野における行政運営 の効率化を図り、国民にとって利便性の高い、公平・公正な社会を実現す るための社会基盤として導入されるものである。一方で、番号制度の導入 に伴い、個人のプライバシー等の権利利益の保護の観点からは、国家によ る個人情報の一元管理、特定個人情報の不正追跡・突合、財産その他の被 害等への懸念が示されてきた。個人情報の適正な取扱いという観点からは、 行政機関の保有する個人情報の保護に関する法律(平成15年法律第58号。 以下「行政機関個人情報保護法」という。)等の個人情報保護法令が整備さ れているが、これに加え、番号制度においては、このような懸念に対して、 個人情報保護委員会(以下「委員会」という。)による監視・監督その他の 制度上の保護措置を定めるとともに、特定個人情報の提供には原則として 情報提供ネットワークシステムを使用するなどシステム上の安全措置を講 ずることとしている。 特定個人情報保護評価は、このような番号制度の枠組みの下での制度上 の保護措置の1つであり、特定個人情報ファイルの適正な取扱いを確保す ることにより特定個人情報の漏えいその他の事態の発生を未然に防ぎ、個 人のプライバシー等の権利利益を保護することを基本理念とするものであ る。特定個人情報保護評価の実施により、評価実施機関が個人情報保護法 令の趣旨を踏まえ、より主体的な措置を講ずることで、個人のプライバシ ー等の権利利益の保護につながることが期待される。 2 特定個人情報保護評価の目的 特定個人情報保護評価は、次に掲げることを目的として実施するもので ある。 (1) 事前対応による個人のプライバシー等の権利利益の侵害の未然防止 情報の漏えい、滅失、毀損や不正利用等により個人のプライバシー等 の権利利益が一度侵害されると、拡散した情報を全て消去・修正すること が困難であるなど、その回復は容易でない。したがって、個人のプライバ シー等の権利利益の保護のためには、事後的な対応ではなく、事前に特定 個人情報ファイルの取扱いに伴う特定個人情報の漏えいその他の事態を 発生させるリスクを分析し、このようなリスクを軽減するための措置を講 ずることが必要である。特定個人情報保護評価は、このような事前対応の 要請に応える手段であり、これにより個人のプライバシー等の権利利益の 侵害を未然に防止することを目的とするものである。 事前対応を行うことで、事後の大規模なシステムの仕様変更を防ぎ、 不必要な支出を防ぐことも期待される。 (2)国民・住民の信頼の確保 番号制度の導入に対して示されてきた個人のプライバシー等の権利利 益が侵害されることへの懸念を払拭する観点からは、特定個人情報ファイ ルを取り扱う者が、入手する特定個人情報の種類、使用目的・方法、安全 管理措置等について国民・住民に分かりやすい説明を行い、その透明性を 高めることが求められる。特定個人情報保護評価は、評価実施機関が、特 定個人情報ファイルの取扱いにおいて個人のプライバシー等の権利利益 の保護に取り組んでいることを自ら宣言し、どのような措置を講じている かを具体的に説明することにより、国民・住民の信頼を確保することを目 的とするものである。 3 特定個人情報保護評価の内容 特定個人情報保護評価は、評価実施機関が、特定個人情報ファイルを取 り扱う事務における当該特定個人情報ファイルの取扱いについて自ら評価 するものである。評価実施機関は、特定個人情報ファイルを保有しようと する又は保有する場合は、当該特定個人情報ファイルの取扱いが個人のプ ライバシー等の権利利益に与え得る影響を予測した上で特定個人情報の漏 えいその他の事態を発生させるリスクを分析し、このようなリスクを軽減 するための適切な措置を講じていることを確認の上、基礎項目評価書、重 点項目評価書又は全項目評価書(以下「特定個人情報保護評価書」と総称 する。)において自ら宣言するものである。 特定個人情報保護評価は、諸外国で採用されているプライバシー影響評 価(Privacy Impact Assessment:PIA)に相当するものであり、個人のプ ライバシー等の権利利益の保護のために必要最小限の措置を講じているか 否かについてのチェックにとどまらず、評価実施機関が自らの取組につい て積極的、体系的に検討し、評価することが期待される。 また、評価実施機関には、個人情報又はプライバシーの保護に関する技 術の進歩、社会情勢の変化等に対応し、特定個人情報の漏えいその他の事 態を発生させるリスクを軽減するための取組を継続的に実施することが期 待される。 4 特定個人情報保護評価の実施体制 評価実施機関は、特定個人情報保護評価を適切に実施するための体制整 備を行うことが望ましい。例えば、@複数の特定個人情報保護評価書を作 成する評価実施機関において、部署横断的な特定個人情報保護評価書の内 容の確認等を行う総括的な部署を設置すること、A個人情報の取扱いに関 して、部署横断的・専門的な立場から各部署・従業員の指導等を行う個人 情報の取扱いに関する責任者を設置すること等が考えられる。 第2 定義 この指針において使用する用語は、番号法及び特定個人情報保護評価に 関する規則(平成26年特定個人情報保護委員会規則第1号。以下「規則」 という。)において使用する用語の例によるほか、次の定義に従うものとす る。 1 評価実施機関 番号法第28条及び規則の規定に基づき特定個人情報保護 評価を実施する番号法第2条第14項に規定する行政機関の長等(行政機関 の長、地方公共団体の機関、独立行政法人等、地方独立行政法人及び地方 公共団体情報システム機構並びに番号法第19条第7号に規定する情報照会 者及び情報提供者並びに同条第8号に規定する条例事務関係情報照会者及 び条例事務関係情報提供者)をいう。 2 行政機関等 評価実施機関のうち、行政機関の長、独立行政法人等、地 方公共団体情報システム機構並びに番号法第19条第7号に規定する情報照 会者及び情報提供者(規則第2条第3号に規定する地方公共団体等(以下 単に「地方公共団体等」という。)を除く。)をいう。 3 特定個人情報保護評価計画管理書 規則第3条に規定する、評価実施機 関が保有する特定個人情報ファイルについての特定個人情報保護評価の計 画、実施状況等を記載し、又は記録した書面又は電磁的記録をいう。 4 全項目評価書 番号法第28条第1項各号に掲げる事項を評価した結果を 記載し、又は記録した書面又は電磁的記録(行政機関等においては番号法 第28条第4項及び規則第8条の規定、地方公共団体等においては規則第7 条第6項の規定に基づく公表の対象となるもの)をいう。 5 情報連携 行政機関の長等の間の情報提供ネットワークシステムを使用 する特定個人情報の提供の求め又は提供をいう。 6 重大事故 評価実施機関が法令に基づく安全管理措置義務を負う個人情 報を漏えい、滅失又は毀損した場合であって、故意による又は当該個人情 報の本人(個人情報によって識別される特定の個人であって、当該評価実 施機関の従業者を除く。)の数が101人以上のもの(配送事故等のうち当該 評価実施機関の責めに帰さない事由によるものを除く。)をいう。 7 特定個人情報の入手 特定個人情報ファイルに記録されることとなる特 定個人情報を、特定個人情報保護評価の対象となる事務において用いるた めに取得することをいう。 8 特定個人情報の使用 特定個人情報ファイルに記録された特定個人情報 を特定個人情報保護評価の対象となる事務において用いることをいう。 9 特定個人情報の移転 評価実施機関内において、特定個人情報ファイル に記録された特定個人情報を特定個人情報保護評価の対象となる事務以外 の事務を処理する者の使用に供することをいう。 10 システム用ファイル 電子計算機で取り扱われる特定個人情報ファイル であって、要件定義、基本設計、詳細設計、プログラミング及びテストの 段階を経て運用に供される電子情報処理組織で保有される特定個人情報フ ァイルをいう。 11 その他の電子ファイル 電子計算機で取り扱われる特定個人情報ファイ ルであって、システム用ファイル以外のものをいう。 第3 特定個人情報保護評価の実施主体 1 特定個人情報保護評価の実施が義務付けられる者 次に掲げる者のうち、特定個人情報ファイルを保有しようとする者又は 保有する者は、この指針に基づき、特定個人情報保護評価の実施が義務付 けられる。 (1)行政機関の長 (2)地方公共団体の長その他の機関 (3)独立行政法人等 (4)地方独立行政法人 (5)地方公共団体情報システム機構 (6)情報連携を行う事業者(番号法第19条第7号に規定する情報照会者及 び情報提供者のうち、上記(1)から(5)までに掲げる者以外のもの をいう。下記第4の4(1)カにおいて同じ。) 2 実施が義務付けられる者が複数いる場合等の特定個人情報保護評価 上記1に掲げる者が特定個人情報保護評価を実施する際に、特定個人情 報ファイルを保有しようとする者又は保有する者が複数存在する場合は、 特定個人情報ファイルの取扱いの実態やリスク対策を把握し、記載事項に 責任を負う立場にある者が特定個人情報保護評価の実施を取りまとめる。 また、特定個人情報ファイルを保有しようとする者又は保有する者以外 に特定個人情報ファイルに関わる者が存在する場合は、その者は、特定個 人情報保護評価が適切に実施されるよう協力するものとする。 第4 特定個人情報保護評価の対象 1 基本的な考え方 特定個人情報保護評価の対象は、番号法、番号法以外の国の法令又は番 号法第9条第2項の規定に基づき地方公共団体が定める条例の規定に基づ き特定個人情報ファイルを取り扱う事務とする。 2 特定個人情報保護評価の単位 特定個人情報保護評価は、原則として、法令上の事務ごとに実施するも のとする。番号法の別表第一に掲げる事務については、原則として、別表 第一の各項の事務ごとに実施するものとするが、各項の事務ごとに実施す ることが困難な場合は、1つの項に掲げる事務を複数の事務に分割して又 は複数の項に掲げる事務を1つの事務として、特定個人情報保護評価の対 象とすることができる。別表第一以外の番号法の規定、番号法以外の国の 法令又は地方公共団体が定める条例に掲げる事務についても、評価実施機 関の判断で、特定個人情報保護評価の対象となる事務の単位を定めること ができる。 3 特定個人情報ファイル 特定個人情報保護評価の対象となる事務において取り扱う特定個人情報 ファイルとは、個人番号をその内容に含む個人情報ファイルをいい(番号 法第2条第9項)、個人情報を含む情報の集合物であって、特定個人情報を 検索することができるように体系的に構成したものである。 特定個人情報ファイルの単位は、特定個人情報ファイルの使用目的に基 づき、評価実施機関が定めることができる。特定個人情報保護評価の対象 となる1つの事務において複数の特定個人情報ファイルを保有することも できる。 4 特定個人情報保護評価の実施が義務付けられない事務 (1)実施が義務付けられない事務 特定個人情報ファイルを取り扱う事務のうち、次に掲げる事務(規則 第4条第1号から第7号までに掲げる特定個人情報ファイルのみを取り 扱う事務)は特定個人情報保護評価の実施が義務付けられない。次に掲 7 げる事務であっても、特定個人情報保護評価の枠組みを用い、任意で評 価を実施することを妨げるものではない。 ア 職員又は職員であった者等の人事、給与、福利厚生に関する事項又 はこれらに準ずる事項を記録した特定個人情報ファイルのみを取り扱 う事務(規則第4条第1号) イ 手作業処理用ファイルのみを取り扱う事務(規則第4条第2号) ウ 特定個人情報ファイルを取り扱う事務において保有する全ての特定 個人情報ファイルに記録される本人の数の総数(以下「対象人数」と いう。)が1,000 人未満の事務(規則第4条第3号) エ 1つの事業所の事業主が単独で設立した健康保険組合又は密接な関 係を有する2以上の事業所の事業主が共同若しくは連合して設立した 健康保険組合が保有する被保険者若しくは被保険者であった者又はそ の被扶養者の医療保険に関する事項を記録した特定個人情報ファイル のみを取り扱う事務(規則第4条第4号及び第5号) オ 公務員若しくは公務員であった者又はその被扶養者の共済に関する 事項を記録した特定個人情報ファイルのみを取り扱う事務(規則第4 条第5号) カ 情報連携を行う事業者が情報連携の対象とならない特定個人情報を 記録した特定個人情報ファイルのみを取り扱う事務(規則第4条第6 号) キ 会計検査院が検査上の必要により保有する特定個人情報ファイルの みを取り扱う事務(規則第4条第7号) また、特定個人情報保護評価の対象となる事務において複数の特定個 人情報ファイルを取り扱う場合で、その一部が上記(ウを除く。)に定め る特定個人情報ファイルである場合は、その特定個人情報ファイルに関 する事項を特定個人情報保護評価書に記載しないことができる。 (2)特定個人情報保護評価以外の番号法の規定の適用 上記(1)に定める特定個人情報保護評価の実施が義務付けられない 事務であっても、特定個人情報保護評価以外の番号法の規定が適用され、 当該事務を実施する者は、番号法に基づき必要な措置を講ずることが求 められる。 第5 特定個人情報保護評価の実施手続 1 特定個人情報保護評価計画管理書 (1)特定個人情報保護評価計画管理書の作成 評価実施機関は、最初の特定個人情報保護評価を実施する前に、特定 個人情報保護評価計画管理書(様式1参照)を作成するものとする。 特定個人情報保護評価計画管理書は、特定個人情報保護評価を計画的 8 に実施し、また、特定個人情報保護評価の実施状況を適切に管理するた めに作成するものである。評価実施機関で実施する特定個人情報保護評 価に関する全ての事務及びシステムについて記載するものとし、評価実 施機関単位で作成するものとする。 特定個人情報保護評価計画管理書の記載事項に変更が生じたときは、 特定個人情報保護評価計画管理書を速やかに更新するものとする。 (2)特定個人情報保護評価計画管理書の提出 評価実施機関は、規則第3条の規定に基づき、最初の特定個人情報保 護評価書の委員会への提出の際に、特定個人情報保護評価計画管理書を 併せて提出するものとする。その後、評価実施機関が特定個人情報保護 評価書を委員会へ提出する際は、その都度、特定個人情報保護評価計画 管理書を更新し、併せて提出するものとする。 特定個人情報保護評価計画管理書の公表は、不要とする。 2 しきい値判断 特定個人情報ファイルを取り扱う事務について特定個人情報保護評価を 実施するに際しては、@対象人数、A評価実施機関の従業者及び評価実施 機関が特定個人情報ファイルの取扱いを委託している場合の委託先の従業 者のうち、当該特定個人情報ファイルを取り扱う者の数(以下「取扱者数」 という。)、B評価実施機関における規則第4条第8号ロに規定する特定個 人情報に関する重大事故の発生(評価実施機関が重大事故の発生を知るこ とを含む。以下同じ。)の有無に基づき、次のとおり、実施が義務付けられ る特定個人情報保護評価の種類を判断する(以下「しきい値判断」という。)。 しきい値判断の結果、基礎項目評価のみで足りると認められたものにつ いても任意で重点項目評価又は全項目評価を実施することができ、重点項 目評価の実施が義務付けられると判断されたものについても任意で全項目 評価を実施することができる。なお、重点項目評価の実施が義務付けられ ると判断されたものについて、任意で全項目評価を実施した場合は、重点 項目評価を併せて行ったものとして取り扱う。 (1)対象人数が1,000 人以上1万人未満の場合は、基礎項目評価(番号法 第28 条第1項並びに規則第4条第8号イ及び第5条) (2)対象人数が1万人以上10 万人未満であり、かつ、取扱者数が500 人未 満であって、過去1年以内に評価実施機関における特定個人情報に関す る重大事故の発生がない場合は、基礎項目評価(番号法第28 条第1項並 びに規則第4条第8号ロ及び第5条) (3)対象人数が1万人以上10 万人未満であり、過去1年以内に評価実施機 関における特定個人情報に関する重大事故の発生があった場合は、基礎 項目評価及び重点項目評価(番号法第28 条第1項並びに規則第4条第9 9 号、第5条並びに第6条第1項第1号及び第3項) (4)対象人数が1万人以上10 万人未満であり、かつ、取扱者数が500 人以 上の場合は、基礎項目評価及び重点項目評価(番号法第28 条第1項並び に規則第4条第9号、第5条並びに第6条第1項第1号及び第3項) (5)対象人数が10 万人以上30 万人未満であり、かつ、取扱者数が500 人 未満であって、過去1年以内に評価実施機関における特定個人情報に関 する重大事故の発生がない場合は、基礎項目評価及び重点項目評価(番 号法第28 条第1項並びに規則第4条第9号、第5条並びに第6条第1項 第2号及び第3項) (6)対象人数が10 万人以上30 万人未満であり、過去1年以内に評価実施 機関における特定個人情報に関する重大事故の発生があった場合は、基 礎項目評価及び全項目評価(行政機関等については番号法第28 条及び規 則第5条、地方公共団体等については番号法第28 条第1項並びに規則第 4条第10 号並びに第7条第1項及び第3項から第6項まで) (7)対象人数が10 万人以上30 万人未満であり、かつ、取扱者数が500 人 以上の場合は、基礎項目評価及び全項目評価(行政機関等については番 号法第28 条及び規則第5条、地方公共団体等については番号法第28 条 第1項並びに規則第4条第10 号並びに第7条第1項及び第3項から第6 項まで) (8)対象人数が30 万人以上の場合は、基礎項目評価及び全項目評価(行政 機関等については番号法第28 条及び規則第5条、地方公共団体等につい ては番号法第28 条第1項並びに規則第4条第10 号並びに第7条第1項 及び第3項から第6項まで) 3 特定個人情報保護評価書 しきい値判断の結果に従い、評価実施機関は特定個人情報保護評価を実 施し、次のとおり、特定個人情報保護評価書を作成し、委員会に提出する ものとする。その際、特定個人情報保護評価書の記載事項を補足的に説明 する資料を作成している場合は、必要に応じて、当該特定個人情報保護評 価書に添付する。 (1)基礎項目評価書 評価実施機関は、規則第5条第1項の規定に基づき、特定個人情報保 護評価の実施が義務付けられる全ての事務について基礎項目評価書(様 式2参照)を作成し、委員会へ提出するものとする。上記2に定めるし きい値判断の結果は、基礎項目評価書に記載するものとする。 (2)重点項目評価書 評価実施機関は、規則第6条第1項の規定に基づき、上記2(3)、(4) 又は(5)の場合は、重点項目評価書(様式3参照)を作成し、委員会 10 へ提出するものとする。 (3)全項目評価書 ア 行政機関等の場合 行政機関等は、上記2(6)、(7)又は(8)の場合は、全項目評 価書(様式4参照)を作成するものとする。 また、行政機関等は、全項目評価書を作成後、番号法第28 条第1項 の規定に基づき、全項目評価書を公示して広く国民の意見を求め、こ れにより得られた意見を十分考慮した上で全項目評価書に必要な見直 しを行うものとする。ただし、公表しないことができる全項目評価書 又は項目(下記(4)参照)については、この限りではない(規則第 10 条)。 全項目評価書を公示し国民からの意見を聴取する期間は原則として 30 日以上とする。ただし、特段の理由がある場合には、全項目評価書 においてその理由を明らかにした上でこれを短縮することができる。 行政機関等は、番号法第28 条第2項の規定に基づき、公示し国民の 意見を求め、必要な見直しを行った全項目評価書を委員会へ提出 し、委員会による承認を受けるものとする。 イ 地方公共団体等の場合 地方公共団体等は、上記2(6)、(7)又は(8)の場合は、全 項目評価書を作成するものとする。 また、地方公共団体等は、全項目評価書を作成した後、規則第7条 第1項の規定に基づき、全項目評価書を公示して広く住民等の意見を 求め、これにより得られた意見を十分考慮した上で全項目評価書に必 要な見直しを行うものとする。ただし、公表しないことができる全項 目評価書又は項目(下記(4)参照)については、この限りではない (規則第7条第3項)。 全項目評価書を公示し住民等からの意見を聴取する期間は原則とし て30 日以上とする。ただし、特段の理由がある場合には、全項目評価 書においてその理由を明らかにした上でこれを短縮することができ る。また、地方公共団体等が条例等に基づき住民等からの意見聴取等 の仕組みを定めている場合は、これによることができる。 地方公共団体等は、公示し住民等の意見を求め、必要な見直しを行 った全項目評価書について、規則第7条第4項の規定に基づき、第三 者点検を受けるものとする。第三者点検の方法は、原則として、条例 等に基づき地方公共団体が設置する個人情報保護審議会又は個人情 報保護審査会による点検を受けるものとするが、これらの組織に個人 情報保護や情報システムに知見を有する専門家がいないなど、個人情 報保護審議会又は個人情報保護審査会による点検が困難な場合には、 11 その他の方法によることができる。ただし、その他の方法による場合 であっても、専門性を有する外部の第三者によるものとする。第三者 点検の際は、点検者に守秘義務を課すなどした上で、公表しない部分 (下記(4)参照)を含む全項目評価書を提示し、点検を受けるもの とする。第三者点検においては、下記第10 の1(2)に定める審査の 観点を参考にすることができる。 地方公共団体等は、規則第7条第5項の規定に基づき、第三者点 検を受けた全項目評価書を委員会へ提出するものとする。 (4)特定個人情報保護評価書の公表 行政機関等は、基礎項目評価書及び重点項目評価書については委員会 に提出した後速やかに、全項目評価書については委員会の承認を受けた 後速やかに、公表するものとする(番号法第28 条第4項並びに規則第5 条第2項、第6条第3項及び第8条)。 地方公共団体等は、特定個人情報保護評価書を委員会に提出した後速 やかに、公表するものとする(規則第5条第2項、第6条第3項及び第 7条第6項)。 特定個人情報保護評価書及びその添付資料は、原則として、全て公表 するものとする。ただし、規則第13 条の規定に基づき、公表することに セキュリティ上のリスクがあると認められる場合は、評価実施機関は、 公表しない予定の部分を含む特定個人情報保護評価書及びその添付資料 の全てを委員会に提出した上で、セキュリティ上のリスクがあると認め られる部分を公表しないことができる。この場合であっても、期間、回 数等の具体的な数値や技術的細目に及ぶ具体的な方法など真にセキュリ ティ上のリスクのある部分に、公表しない部分を限定するものとする。 犯罪の捜査、租税に関する法律の規定に基づく犯則事件の調査及び公 訴の提起又は維持のために保有する特定個人情報ファイルを取り扱う事 務に関する特定個人情報保護評価については、評価実施機関は、規則第 13 条の規定に基づき、公表しない予定の部分を含む特定個人情報保護評 価書及びその添付資料の全てを委員会に提出した上で、その全部又は一 部を公表しないことができる。 4 特定個人情報保護評価書の見直し 評価実施機関は、少なくとも1年に1回、公表した特定個人情報保護評 価書の記載事項を実態に照らして見直し、変更が必要か否かを検討するよ う努めるものとする(規則第14 条)。 5 特定個人情報保護評価を実施した事務の実施をやめたとき等の通知 評価実施機関は、特定個人情報保護評価を実施した事務の実施をやめた とき等は、規則第16条の規定に基づき、遅滞なく委員会に通知するものと する。評価実施機関は、事務の実施をやめるなどした日から少なくとも3 年間、その事務の実施をやめたこと等を記載するなど所要の修正を行った 上で、特定個人情報保護評価書を公表しておくものとする。 第6 特定個人情報保護評価の実施時期 1 新規保有時 行政機関の長等は、特定個人情報ファイルを新規に保有しようとする場 合、原則として、当該特定個人情報ファイルを保有する前に特定個人情報 保護評価を実施するものとする。ただし、規則第9条第2項の規定に基づ き、災害が発生したときの対応等、特定個人情報保護評価を実施せずに特 定個人情報ファイルを保有せざるを得ない場合は、特定個人情報ファイル の保有後可及的速やかに特定個人情報保護評価を実施するものとする。 (1)システム用ファイルを保有しようとする場合の実施時期 規則第9条第1項の規定に基づき、プログラミング開始前の適切な時 期に特定個人情報保護評価を実施するものとする。 (2)その他の電子ファイルを保有しようとする場合の実施時期 事務処理の検討段階で特定個人情報保護評価を実施するものとする。 2 新規保有時以外 (1)基本的な考え方 評価実施機関は、過去に特定個人情報保護評価を実施した特定個人情 報ファイルを取り扱う事務について、下記(2)又は(3)の場合には、 特定個人情報保護評価を再実施するものとし、下記(4)の場合には、 再実施するよう努めるものとする。 再実施に当たっては、委員会が定める特定個人情報保護評価書様式中 の変更箇所欄に変更項目等を記載するものとする。下記(2)から(4) まで以外の場合に特定個人情報保護評価を任意に再実施することを妨げ るものではない。 (2)重要な変更 特定個人情報ファイルに対する重要な変更(規則第11条に規定する特 定個人情報の漏えいその他の事態の発生の危険性及び影響が大きい変更 として指針で定めるもの)とは、重点項目評価書又は全項目評価書の記 載項目のうちこの指針の別表に定めるものについての変更とする。ただ し、個人のプライバシー等の権利利益に影響を与え得る特定個人情報の 13 漏えいその他の事態を発生させるリスクを相当程度変動させるものでは ないと考えられる変更又は当該リスクを明らかに軽減させる変更は、重 要な変更には当たらないものとする。 この指針の別表に定めるとおり、重大事故の発生それ自体が直ちに 重要な変更に当たるものではないが、特定個人情報に関する重大事故の 発生に伴い評価実施機関がリスク対策等を見直すことが想定され、この 場合は、重要な変更に該当する。 評価実施機関は、保有する特定個人情報ファイルに重要な変更を加え ようとするときは、当該変更を加える前に、特定個人情報保護評価を再 実施するものとする。ただし、災害が発生したときの対応等、特定個人 情報保護評価を実施せずに特定個人情報ファイルの取扱いを変更せざる を得ない場合は、特定個人情報ファイルの取扱いの変更後可及的速やか に特定個人情報保護評価を再実施するものとする。 ア システムの開発を伴う場合の実施時期 上記1(1)に準ずるものとする。 イ システムの開発を伴わない又はその他の電子ファイルを保有する場 合の実施時期 事務処理の変更の検討段階で特定個人情報保護評価を実施するもの とする。 (3)しきい値判断の結果の変更 上記第5の4に定める特定個人情報保護評価書の見直しにおいて、対 象人数又は取扱者数が増加したことによりしきい値判断の結果が変わ り、新たに重点項目評価又は全項目評価を実施するものと判断される場 合、評価実施機関は、速やかに特定個人情報保護評価を再実施するもの とする(規則第6条第2項及び第3項、第7条第2項から第6項まで、 第8条及び第14 条)。 また、評価実施機関における特定個人情報に関する重大事故の発生に よりしきい値判断の結果が変わり、新たに重点項目評価又は全項目評価 を実施するものと判断される場合、評価実施機関は、当該特定個人情報 に関する重大事故の発生後速やかに特定個人情報保護評価を再実施する ものとする(規則第6条第2項及び第3項、第7条第2項から第6項ま で、第8条及び第14 条)。 なお、対象人数又は取扱者数が減少したことによりしきい値判断の結 果が変わり、全項目評価から重点項目評価若しくは基礎項目評価に、又 は重点項目評価から基礎項目評価に変更になった場合については、特定 個人情報保護評価書の修正として、委員会に提出した上で公表するもの とする。 (4)一定期間経過 評価実施機関は、規則第15条の規定に基づき、直近の特定個人情報保 護評価書を公表してから5年を経過する前に、特定個人情報保護評価を 再実施するよう努めるものとする。 第7 特定個人情報保護評価書の修正 1 基礎項目評価書 基礎項目評価書の記載事項に、上記第6の2(3)のしきい値判断の結 果の変更に該当しない変更が生じた場合、評価実施機関は、規則第14条 の規定に基づき、基礎項目評価書を速やかに修正し、委員会に提出した上 で公表するものとする。修正に当たっては、委員会が定める特定個人情報 保護評価書様式中の変更箇所欄に変更項目等を記載するものとする。 2 重点項目評価書・全項目評価書 重点項目評価書又は全項目評価書の記載事項に、上記第6の2(2)の 重要な変更に当たらない変更が生じた場合、評価実施機関は、規則第14 条の規定に基づき、重点項目評価書又は全項目評価書を速やかに修正し、 委員会に提出した上で公表するものとする。修正に当たっては、委員会が 定める特定個人情報保護評価書様式中の変更箇所欄に変更項目等を記載す るものとする。 この場合は、特定個人情報保護評価の実施に該当せず、全項目評価の場 合であっても、国民(地方公共団体等にあっては住民等)からの意見の聴 取及び委員会による承認又は第三者点検は必要ない。評価実施機関の任意 の判断で、国民(地方公共団体等にあっては住民等)からの意見の聴取又 は第三者点検を行うことを妨げるものではない。 第8 番号法及び行政機関個人情報保護法に基づく事前通知 番号法第30条第1項並びに第31条第1項及び第2項の規定により読み 替えられて適用される行政機関個人情報保護法第10条第1項の規定に基 づき、行政機関が特定個人情報ファイルを保有しようとするときは、当該 行政機関の長は、同項各号に規定する事項(以下「事前通知事項」という。) をあらかじめ委員会に通知しなければならず、また、事前通知事項を変更 しようとするときも同様に通知しなければならない(以下「事前通知」と 総称する。)。行政機関が、特定個人情報保護評価を実施し、全項目評価 書を公表した場合、又は保有する特定個人情報ファイルに重要な変更を加 えようとするときに特定個人情報保護評価を再実施し、事前通知事項を変 更した全項目評価書を公表した場合は、番号法第28条第5項の規定によ 15 り、それぞれ事前通知を行ったものとみなす。 また、行政機関が、特定個人情報保護評価を実施し、重点項目評価書を 提出・公表した場合、保有する特定個人情報ファイルに重要な変更を加え ようとするときに特定個人情報保護評価を再実施し、事前通知事項を変更 した重点項目評価書を提出・公表した場合、保有する特定個人情報ファイ ルに重要な変更に当たらない変更を加えようとするときに事前通知事項を 変更した全項目評価書又は重点項目評価書を変更前に提出・公表した場合 等は、それぞれ事前通知等を併せて行ったものとして取り扱う。 第9 特定個人情報保護評価の評価項目 1 基本的な考え方 特定個人情報保護評価を実施するに当たって、評価実施機関は、特定個 人情報ファイルを取り扱う事務の特性を明らかにした上で、特定個人情報 ファイルの取扱いが個人のプライバシー等の権利利益に影響を与え得る特 定個人情報の漏えいその他の事態を発生させるリスクについて認識又は分 析し、このようなリスクを軽減するための適切な措置を講じていることを 確認の上、特定個人情報保護評価書において宣言するものとする。 評価実施機関は、リスクを軽減するための措置を検討する際には、特定 個人情報の安全管理に関する基本方針、特定個人情報の取扱規程等を策定 することが望ましい。また、リスクを軽減するための措置には、物理的安 全管理措置、技術的安全管理措置、組織的安全管理措置及び人的安全管理 措置があり、評価実施機関は、基本方針、取扱規程等を踏まえ、評価実施 機関の規模及び事務の特性に応じた適切な措置を講ずるものとする。 なお、技術の進歩に伴うクラウドサービス等の新たなサービス、開発手 法等を導入する場合には、当該サービス、開発手法等の特性を考慮した上 で、適切な安全管理措置を講ずるものとする。 2 評価項目 (1)基礎項目評価書 規則第2条第1号に規定する基礎項目評価書の記載事項は、次のとお りとする。 ア 基本情報 特定個人情報保護評価の対象となる事務の概要、当該事務において 使用するシステムの名称、特定個人情報ファイルの名称、当該事務を 対象とする特定個人情報保護評価の実施を担当する部署及び所属長の 役職名、当該事務において個人番号を利用することができる法令上の 根拠等を記載するものとする。また、当該事務において情報連携を行 16 う場合にはその法令上の根拠を記載するものとする。 イ リスク対策 特定個人情報ファイルを取り扱うプロセスにおいて個人のプライバ シー等の権利利益に影響を与え得る特定個人情報の漏えいその他の事 態を発生させるリスクを認識し、このうち主なリスクを軽減するため の措置の実施状況について記載するものとする。 また、自己点検・監査、従業者に対する教育・啓発等のリスク対策 の実施状況についても記載するものとする。 これらのリスク対策を踏まえ、評価実施機関は、リスクを軽減する ための適切な措置を講じていることを確認の上、宣言するものとする。 (2)重点項目評価書 規則第2条第2号に規定する重点項目評価書の記載事項は、次のとお りとする。 ア 基本情報 特定個人情報保護評価の対象となる事務の内容、当該事務において 使用するシステムの機能、当該事務において取り扱う特定個人情報フ ァイルの名称、当該事務を対象とする特定個人情報保護評価の実施を 担当する部署及び所属長の役職名、当該事務において個人番号を利用 することができる法令上の根拠等を記載するものとする。また、当該 事務において情報連携を行う場合にはその法令上の根拠を記載するも のとする。 イ 特定個人情報ファイルの概要 特定個人情報ファイルの種類、対象となる本人の数・範囲、記録さ れる項目その他の特定個人情報保護評価の対象となる事務において取 り扱う特定個人情報ファイルの概要を記載するものとする。また、特 定個人情報の入手及び使用の方法、特定個人情報ファイルの取扱いの 委託の有無及び委託する場合にはその方法、特定個人情報の提供又は 移転の有無及び提供又は移転する場合にはその方法、特定個人情報の 保管場所その他の特定個人情報ファイルを取り扱うプロセスの概要を 記載するものとする。 ウ リスク対策 特定個人情報ファイルを取り扱うプロセスにおいて個人のプライバ シー等の権利利益に影響を与え得る特定個人情報の漏えいその他の事 態を発生させる主なリスクについて分析し、このようなリスクを軽減 するための措置について記載するものとする。重点項目評価書様式は 主なリスクのみを示しているが、その他のリスクについても分析し、 そのようなリスクを軽減するための措置についても記載することが推 17 奨される。 また、自己点検・監査、従業者に対する教育・啓発等のリスク対策 についても記載するものとする。 これらのリスク対策を踏まえ、評価実施機関は、リスクを軽減する ための適切な措置を講じていることを確認の上、宣言するものとする。 エ その他 特定個人情報の開示・訂正・利用停止請求、特定個人情報ファイル の取扱いに関する問合せ等について記載するものとする。 (3)全項目評価書 法第28 条第1項各号及び規則第12 条に規定する全項目評価書の記載 事項は、次のとおりとする。 ア 基本情報 特定個人情報保護評価の対象となる事務の詳細な内容、当該事務に おいて使用するシステムの機能、当該事務において取り扱う特定個人 情報ファイルの名称、当該事務を対象とする特定個人情報保護評価の 実施を担当する部署及び所属長の役職名、当該事務において個人番号 を利用することができる法令上の根拠等を記載するものとする。ま た、当該事務において情報連携を行う場合にはその法令上の根拠を記 載するものとする。 イ 特定個人情報ファイルの概要 特定個人情報ファイルの種類、対象となる本人の数・範囲、記録さ れる項目その他の特定個人情報保護評価の対象となる事務において取 り扱う特定個人情報ファイルの概要を記載するものとする。また、特 定個人情報の入手及び使用の方法、特定個人情報ファイルの取扱いの 委託の有無及び委託する場合にはその方法、特定個人情報の提供又は 移転の有無及び提供又は移転する場合にはその方法、特定個人情報の 保管及び消去の方法その他の特定個人情報ファイルを取り扱うプロセ スの概要を記載するものとする。 ウ リスク対策 特定個人情報ファイルを取り扱うプロセスにおいて個人のプライバ シー等の権利利益に影響を与え得る特定個人情報の漏えいその他の事 態を発生させる多様なリスクについて詳細に分析し、このようなリス クを軽減するための措置について記載するものとする。全項目評価書 様式に示すもの以外のリスクについても分析し、そのようなリスクを 軽減するための措置についても記載することが推奨される。 また、自己点検・監査、従業者に対する教育・啓発等のリスク対策 についても記載するものとする。 これらのリスク対策を踏まえ、評価実施機関は、リスクを軽減する ための適切な措置を講じていることを確認の上、宣言するものとする。 エ 評価実施手続 行政機関等は、上記第5の3(3)アにより実施した国民からの意 見の聴取の方法、主な意見の内容等、下記第10の1に定める委員会に よる承認のために全項目評価書を委員会に提出した日、委員会による 審査等について記載するものとする。 地方公共団体等は、上記第5の3(3)イにより実施した住民等か らの意見の聴取及び第三者点検の方法等について記載するものとする。 オ その他 特定個人情報の開示・訂正・利用停止請求、特定個人情報ファイル の取扱いに関する問合せ等について記載するものとする。 第10 委員会の関与 1 特定個人情報保護評価書の承認 (1)承認対象 委員会は、上記第5の3(3)アに基づき行政機関等から委員会に提 出された全項目評価書を審査し、承認するものとする。 委員会は、基礎項目評価書、重点項目評価書、地方公共団体等から提 出された全項目評価書及び任意で提出された全項目評価書の承認は行わ ないものとする。 (2)審査の観点 委員会は、全項目評価書の承認に際し、適合性及び妥当性の2つの観 点から審査を行う。 ア 適合性 この指針に定める実施手続等に適合した特定個人情報保護評価を実 施しているか。 ・しきい値判断に誤りはないか。 ・適切な実施主体が実施しているか。 ・公表しない部分は適切な範囲か。 ・適切な時期に実施しているか。 ・適切な方法で広く国民の意見を求め、得られた意見を十分考慮し た上で必要な見直しを行っているか。 ・特定個人情報保護評価の対象となる事務の実態に基づき、特定個 人情報保護評価書様式で求められる全ての項目について検討し、 記載しているか。 等 イ 妥当性 特定個人情報保護評価の内容は、この指針に定める特定個人情報 19 保護評価の目的等に照らし妥当と認められるか。 ・記載された特定個人情報保護評価の実施を担当する部署は、特定 個人情報保護評価の対象となる事務を担当し、リスクを軽減させ るための措置の実施に責任を負うことができるか。 ・特定個人情報保護評価の対象となる事務の内容の記載は具体的か。 当該事務における特定個人情報の流れを併せて記載しているか。 ・特定個人情報ファイルを取り扱うプロセスにおいて特定個人情報 の漏えいその他の事態を発生させるリスクを、特定個人情報保護 評価の対象となる事務の実態に基づき、特定しているか。 ・特定されたリスクを軽減するために講ずべき措置についての記載 は具体的か。 ・記載されたリスクを軽減させるための措置は、個人のプライバシ ー等の権利利益の侵害の未然防止、国民・住民の信頼の確保とい う特定個人情報保護評価の目的に照らし、妥当なものか。 ・個人のプライバシー等の権利利益の保護の宣言は、国民・住民の 信頼の確保という特定個人情報保護評価の目的に照らし、妥当な ものか。 等 委員会は、提出された全項目評価書の審査の結果、必要と認めるとき は、番号法の規定に基づく指導・助言、勧告・命令等を行い、全項目評 価書の再提出その他の是正を求めるものとする。 2 承認の対象としない特定個人情報保護評価書の確認 委員会は、評価実施機関から委員会に提出された特定個人情報保護評価 書であって上記1による委員会の承認の対象としないものについては、必 要に応じて、その内容を精査し、適合性及び妥当性について確認するもの とする。 委員会は、提出された特定個人情報保護評価書の精査の結果、必要と認 めるときは、番号法の規定に基づく指導・助言、勧告・命令等を行い、特 定個人情報保護評価の再実施その他の是正を求めるものとする。 第11 特定個人情報保護評価書に記載した措置の実施 評価実施機関は、個人のプライバシー等の権利利益に影響を与え得る特 定個人情報の漏えいその他の事態を発生させるリスクを軽減するための措 置として特定個人情報保護評価書に記載した全ての措置を講ずるものとす る。 第12 特定個人情報保護評価に係る違反に対する措置 1 特定個人情報保護評価の未実施に対する措置 特定個人情報保護評価を実施するものとされているにもかかわらず実施 していない事務については、情報連携を行うことが禁止される(番号法第 21条第2項第2号、第28条第6項)。特定個人情報保護評価を実施するも のとされているにもかかわらず実施していない評価実施機関に対して、委 員会は、必要に応じて、番号法の規定に基づく指導・助言、勧告・命令等 を行い、特定個人情報保護評価の速やかな実施その他の是正を求めるもの とする。 2 特定個人情報保護評価書の記載に反する特定個人情報ファイルの取扱い に対する措置 特定個人情報ファイルの取扱いが特定個人情報保護評価書の記載に反し ている場合、委員会は、必要に応じて、番号法の規定に基づく指導・助言、 勧告・命令等を行い、是正を求めるものとする。 別表 (第6の2(2)関係) 特定個人情報保護評 価書の名称 重要な変更の対象である記載項目 1 重点項目評価書 1 個人番号の利用 2 情報提供ネットワークシステムによる情報連携 3 特定個人情報ファイルの種類 4 特定個人情報ファイルの対象となる本人の範囲 5 特定個人情報ファイルに記録される主な項目 6 特定個人情報の入手元 7 特定個人情報の使用目的 8 特定個人情報ファイルの取扱いの委託の有無 9 特定個人情報ファイルの取扱いの再委託の有無 10 特定個人情報の保管場所 11 リスク対策(重大事故の発生を除く。) 2 全項目評価書 1 特定個人情報ファイルを取り扱う事務の内容 2 個人番号の利用 3 情報提供ネットワークシステムによる情報連携 4 特定個人情報ファイルの種類 5 特定個人情報ファイルの対象となる本人の範囲 6 特定個人情報ファイルに記録される主な項目 7 特定個人情報の入手元 8 特定個人情報の使用目的 9 特定個人情報の使用部署 10 特定個人情報の使用方法 11 特定個人情報の突合 12 特定個人情報の統計分析 13 特定個人情報の使用による個人の権利利益に影響 を与え得る決定 14 特定個人情報ファイルの取扱いの委託の有無 15 取扱いを委託する特定個人情報ファイルの対象と なる本人の範囲 16 特定個人情報ファイルの取扱いの再委託の有無 17 特定個人情報の保管場所 18 特定個人情報ファイルの取扱いプロセスにおける リスク対策(重大事故の発生を除く。) 19 その他のリスク対策