特定個人情報保護評価指針 発令 ：平成26年4月18日号外特定個人情報保護委員会告示第4号 最終改正：令和4年3月23日個人情報保護委員会告示第3号 改正内容：令和4年3月23日個人情報保護委員会告示第3号[令和4年4月1日] ○特定個人情報保護評価指針 〔平成二十六年四月十八日号外特定個人情報保護委員会告示第四号〕 行政手続における特定の個人を識別するための番号の利用等に関する法律（平成二十五年法 律第二十七号）第二十六条〔現行＝二七条＝平成二七年九月法律六五号により改正〕第一項の 規定に基づき、特定個人情報保護評価指針を次のように定め、平成二十六年四月二十日から適 用する。 特定個人情報保護評価指針 目次 第１ 特定個人情報保護評価の意義 １ 特定個人情報保護評価の基本理念 ２ 特定個人情報保護評価の目的 （１） 事前対応による個人のプライバシー等の権利利益の侵害の未然防止 （２） 国民・住民の信頼の確保 ３ 特定個人情報保護評価の内容 第２ 定義 第３ 特定個人情報保護評価の実施主体 １ 特定個人情報保護評価の実施が義務付けられる者 ２ 実施が義務付けられる者が複数いる場合等の特定個人情報保護評価 第４ 特定個人情報保護評価の対象 １ 基本的な考え方 ２ 特定個人情報保護評価の単位 ３ 特定個人情報ファイル ４ 特定個人情報保護評価の実施が義務付けられない事務 （１） 実施が義務付けられない事務 （２） 特定個人情報保護評価以外の番号法の規定の適用 第５ 特定個人情報保護評価の実施手続 １ 特定個人情報保護評価計画管理書 （１） 特定個人情報保護評価計画管理書の作成 （２） 特定個人情報保護評価計画管理書の提出 ２ しきい値判断 ３ 特定個人情報保護評価書 （１） 基礎項目評価書 （２） 重点項目評価書 （３） 全項目評価書 （４） 特定個人情報保護評価書の公表 ４ 特定個人情報保護評価書の見直し ５ 特定個人情報保護評価を実施した事務の実施をやめたとき等の通知 第６ 特定個人情報保護評価の実施時期 １ 新規保有時 （１） システム用ファイルを保有しようとする場合の実施時期 （２） その他の電子ファイルを保有しようとする場合の実施時期 ２ 新規保有時以外 （１） 基本的な考え方 （２） 重要な変更 （３） しきい値判断の結果の変更 （４） 一定期間経過 第７ 特定個人情報保護評価書の修正 １ 基礎項目評価書 ２ 重点項目評価書・全項目評価書 第８ 個人情報保護法及び番号法に基づく事前通知 第９ 特定個人情報保護評価の評価項目 １ 基本的な考え方 ２ 評価項目 （１） 基礎項目評価書 （２） 重点項目評価書 （３） 全項目評価書 第１０ 委員会の関与 １ 特定個人情報保護評価書の承認 （１） 承認対象 （２） 審査の観点 ２ 承認の対象としない特定個人情報保護評価書の確認 第１１ 特定個人情報保護評価書に記載した措置の実施 第１２ 特定個人情報保護評価に係る違反に対する措置 １ 特定個人情報保護評価の未実施に対する措置 ２ 特定個人情報保護評価書の記載に反する特定個人情報ファイルの取扱いに対する措置 別表 様式１ 特定個人情報保護評価計画管理書 様式２ 特定個人情報保護評価書（基礎項目評価書） 様式３ 特定個人情報保護評価書（重点項目評価書） 様式４ 特定個人情報保護評価書（全項目評価書） この指針は、行政手続における特定の個人を識別するための番号の利用等に関する法律 （平成２５年法律第２７号。以下「番号法」という。）第２７条第１項の規定に基づく指針 であって、行政機関の長等が、番号法第２８条の規定に基づき特定個人情報の漏えいその他 の事態の発生の危険性及び影響に関する評価（以下「特定個人情報保護評価」という。）を 自ら実施し、これらの事態の発生を抑止することその他特定個人情報を適切に管理するため に講ずべき措置を定めるものである。 第１ 特定個人情報保護評価の意義 １ 特定個人情報保護評価の基本理念 番号法によって導入される社会保障・税番号制度（以下「番号制度」という。）は、社 会保障制度、税制、災害対策その他の分野における行政運営の効率化を図り、国民にとっ て利便性の高い、公平・公正な社会を実現するための社会基盤として導入されるものであ る。一方で、番号制度の導入に伴い、個人のプライバシー等の権利利益の保護の観点から は、国家による個人情報の一元管理、特定個人情報の不正追跡・突合、財産その他の被害 等への懸念が示されてきた。個人情報の適正な取扱いという観点からは、個人情報の保護 に関する法律（平成１５年法律第５７号。以下「個人情報保護法」という。）等の個人情 報保護法令が整備されているが、これに加え、番号制度においては、このような懸念に対 して、個人情報保護委員会（以下「委員会」という。）による監視・監督その他の制度上 の保護措置を定めるとともに、特定個人情報の提供には原則として情報提供ネットワーク システムを使用するなどシステム上の安全措置を講ずることとしている。 特定個人情報保護評価は、このような番号制度の枠組みの下での制度上の保護措置の１ つであり、特定個人情報ファイルの適正な取扱いを確保することにより特定個人情報の漏 えいその他の事態の発生を未然に防ぎ、個人のプライバシー等の権利利益を保護すること を基本理念とするものである。特定個人情報保護評価の実施により、評価実施機関が個人 情報保護法令の趣旨を踏まえ、より主体的な措置を講ずることで、個人のプライバシー等 の権利利益の保護につながることが期待される。 ２ 特定個人情報保護評価の目的 特定個人情報保護評価は、次に掲げることを目的として実施するものである。 （１） 事前対応による個人のプライバシー等の権利利益の侵害の未然防止 情報の漏えい、滅失、毀損や不正利用等により個人のプライバシー等の権利利益が一 度侵害されると、拡散した情報を全て消去・修正することが困難であるなど、その回復 は容易でない。したがって、個人のプライバシー等の権利利益の保護のためには、事後 的な対応ではなく、事前に特定個人情報ファイルの取扱いに伴う特定個人情報の漏えい その他の事態を発生させるリスクを分析し、このようなリスクを軽減するための措置を 講ずることが必要である。特定個人情報保護評価は、このような事前対応の要請に応え る手段であり、これにより個人のプライバシー等の権利利益の侵害を未然に防止するこ とを目的とするものである。 事前対応を行うことで、事後の大規模なシステムの仕様変更を防ぎ、不必要な支出を 防ぐことも期待される。 （２） 国民・住民の信頼の確保 番号制度の導入に対して示されてきた個人のプライバシー等の権利利益が侵害され ることへの懸念を払拭する観点からは、特定個人情報ファイルを取り扱う者が、入手す る特定個人情報の種類、使用目的・方法、安全管理措置等について国民・住民に分かり やすい説明を行い、その透明性を高めることが求められる。特定個人情報保護評価は、 評価実施機関が、特定個人情報ファイルの取扱いにおいて個人のプライバシー等の権利 利益の保護に取り組んでいることを自ら宣言し、どのような措置を講じているかを具体 的に説明することにより、国民・住民の信頼を確保することを目的とするものである。 ３ 特定個人情報保護評価の内容 特定個人情報保護評価は、評価実施機関が、特定個人情報ファイルを取り扱う事務にお ける当該特定個人情報ファイルの取扱いについて自ら評価するものである。評価実施機関 は、特定個人情報ファイルを保有しようとする又は保有する場合は、当該特定個人情報フ ァイルの取扱いが個人のプライバシー等の権利利益に与え得る影響を予測した上で特定 個人情報の漏えいその他の事態を発生させるリスクを分析し、このようなリスクを軽減す るための適切な措置を講じていることを確認の上、基礎項目評価書、重点項目評価書又は 全項目評価書（以下「特定個人情報保護評価書」と総称する。）において自ら宣言するも のである。 特定個人情報保護評価は、諸外国で採用されているプライバシー影響評価（Ｐｒｉｖａｃｙ Ｉｍｐａｃｔ Ａｓｓｅｓｓｍｅｎｔ：ＰＩＡ）に相当するものであり、個人のプ ライバシー等の権利利益の保護のために必要最小限の措置を講じているか否かについて のチェックにとどまらず、評価実施機関が自らの取組について積極的、体系的に検討し、 評価することが期待される。 また、評価実施機関には、個人情報又はプライバシーの保護に関する技術の進歩、社会 情勢の変化等に対応し、特定個人情報の漏えいその他の事態を発生させるリスクを軽減す るための取組を継続的に実施することが期待される。 ４ 特定個人情報保護評価の実施体制 評価実施機関は、特定個人情報保護評価を適切に実施するための体制整備を行うことが 望ましい。例えば、@複数の特定個人情報保護評価書を作成する評価実施機関において、 部署横断的な特定個人情報保護評価書の内容の確認等を行う総括的な部署を設置するこ と、A個人情報の取扱いに関して、部署横断的・専門的な立場から各部署・従業員の指導 等を行う個人情報の取扱いに関する責任者を設置すること等が考えられる。 第２ 定義 この指針において使用する用語は、番号法及び特定個人情報保護評価に関する規則（平 成２６年特定個人情報保護委員会規則第１号。以下「規則」という。）において使用する 用語の例によるほか、次の定義に従うものとする。 １ 評価実施機関 番号法第２８条及び規則の規定に基づき特定個人情報保護評価を実施 する番号法第２条第１４項に規定する行政機関の長等（行政機関の長、地方公共団体の機 関、独立行政法人等、地方独立行政法人及び地方公共団体情報システム機構並びに番号法 第１９条第８号に規定する情報照会者及び情報提供者並びに同条第９号に規定する条例 事務関係情報照会者及び条例事務関係情報提供者）をいう。 ２ 行政機関等 評価実施機関のうち、行政機関の長、独立行政法人等、地方公共団体情報 システム機構並びに番号法第１９条第８号に規定する情報照会者及び情報提供者（規則第 ２条第３号に規定する地方公共団体等（以下単に「地方公共団体等」という。）を除く。） をいう。 ３ 特定個人情報保護評価計画管理書 規則第３条に規定する、評価実施機関が保有する特 定個人情報ファイルについての特定個人情報保護評価の計画、実施状況等を記載し、又は 記録した書面又は電磁的記録をいう。 ４ 全項目評価書 番号法第２８条第１項各号に掲げる事項を評価した結果を記載し、又は 記録した書面又は電磁的記録（行政機関等においては番号法第２８条第４項及び規則第８ 条の規定、地方公共団体等においては規則第７条第６項の規定に基づく公表の対象となる もの）をいう。 ５ 情報連携 行政機関の長等の間の情報提供ネットワークシステムを使用する特定個人 情報の提供の求め又は提供をいう。 ６ 重大事故 評価実施機関が法令に基づく安全管理措置義務を負う個人情報を漏えい、滅 失又は毀損した場合であって、故意による又は当該個人情報の本人（個人情報によって識 別される特定の個人であって、当該評価実施機関の従業者を除く。）の数が１０１人以上 のもの（配送事故等のうち当該評価実施機関の責めに帰さない事由によるものを除く。） をいう。 ７ 特定個人情報の入手 特定個人情報ファイルに記録されることとなる特定個人情報を、 特定個人情報保護評価の対象となる事務において用いるために取得することをいう。 ８ 特定個人情報の使用 特定個人情報ファイルに記録された特定個人情報を特定個人情 報保護評価の対象となる事務において用いることをいう。 ９ 特定個人情報の移転 評価実施機関内において、特定個人情報ファイルに記録された特 定個人情報を特定個人情報保護評価の対象となる事務以外の事務を処理する者の使用に 供することをいう。 １０ システム用ファイル 電子計算機で取り扱われる特定個人情報ファイルであって、要 件定義、基本設計、詳細設計、プログラミング及びテストの段階を経て運用に供される電 子情報処理組織で保有される特定個人情報ファイルをいう。 １１ その他の電子ファイル 電子計算機で取り扱われる特定個人情報ファイルであって、 システム用ファイル以外のものをいう。 第３ 特定個人情報保護評価の実施主体 １ 特定個人情報保護評価の実施が義務付けられる者 次に掲げる者のうち、特定個人情報ファイルを保有しようとする者又は保有する者は、 この指針に基づき、特定個人情報保護評価の実施が義務付けられる。 （１） 行政機関の長 （２） 地方公共団体の長その他の機関 （３） 独立行政法人等 （４） 地方独立行政法人 （５） 地方公共団体情報システム機構 （６） 情報連携を行う事業者（番号法第１９条第８号に規定する情報照会者及び情報提 供者のうち、上記（１）から（５）までに掲げる者以外のものをいう。下記第４の４（１） カにおいて同じ。） ２ 実施が義務付けられる者が複数いる場合等の特定個人情報保護評価 上記１に掲げる者が特定個人情報保護評価を実施する際に、特定個人情報ファイルを保 有しようとする者又は保有する者が複数存在する場合は、特定個人情報ファイルの取扱い の実態やリスク対策を把握し、記載事項に責任を負う立場にある者が特定個人情報保護評 価の実施を取りまとめる。 また、特定個人情報ファイルを保有しようとする者又は保有する者以外に特定個人情報 ファイルに関わる者が存在する場合は、その者は、特定個人情報保護評価が適切に実施さ れるよう協力するものとする。 第４ 特定個人情報保護評価の対象 １ 基本的な考え方 特定個人情報保護評価の対象は、番号法、番号法以外の国の法令又は番号法第９条第２ 項の規定に基づき地方公共団体が定める条例の規定に基づき特定個人情報ファイルを取 り扱う事務とする。 ２ 特定個人情報保護評価の単位 特定個人情報保護評価は、原則として、法令上の事務ごとに実施するものとする。番号 法の別表第一に掲げる事務については、原則として、別表第一の各項の事務ごとに実施す るものとするが、各項の事務ごとに実施することが困難な場合は、１つの項に掲げる事務 を複数の事務に分割して又は複数の項に掲げる事務を１つの事務として、特定個人情報保 護評価の対象とすることができる。別表第一以外の番号法の規定、番号法以外の国の法令 又は地方公共団体が定める条例に掲げる事務についても、評価実施機関の判断で、特定個 人情報保護評価の対象となる事務の単位を定めることができる。 ３ 特定個人情報ファイル 特定個人情報保護評価の対象となる事務において取り扱う特定個人情報ファイルとは、 個人番号をその内容に含む個人情報ファイルをいい（番号法第２条第９項）、個人情報を 含む情報の集合物であって、特定個人情報を検索することができるように体系的に構成し たものである。 特定個人情報ファイルの単位は、特定個人情報ファイルの使用目的に基づき、評価実施 機関が定めることができる。特定個人情報保護評価の対象となる１つの事務において複数 の特定個人情報ファイルを保有することもできる。 ４ 特定個人情報保護評価の実施が義務付けられない事務 （１） 実施が義務付けられない事務 特定個人情報ファイルを取り扱う事務のうち、次に掲げる事務（規則第４条第１号か ら第７号までに掲げる特定個人情報ファイルのみを取り扱う事務）は特定個人情報保護 評価の実施が義務付けられない。次に掲げる事務であっても、特定個人情報保護評価の 枠組みを用い、任意で評価を実施することを妨げるものではない。 ア 職員又は職員であった者等の人事、給与、福利厚生に関する事項又はこれらに準ず る事項を記録した特定個人情報ファイルのみを取り扱う事務（規則第４条第１号） イ 手作業処理用ファイルのみを取り扱う事務（規則第４条第２号） ウ 特定個人情報ファイルを取り扱う事務において保有する全ての特定個人情報ファ イルに記録される本人の数の総数（以下「対象人数」という。）が１，０００人未満 の事務（規則第４条第３号） エ １つの事業所の事業主が単独で設立した健康保険組合又は密接な関係を有する２ 以上の事業所の事業主が共同若しくは連合して設立した健康保険組合が保有する被 保険者若しくは被保険者であった者又はその被扶養者の医療保険に関する事項を記 録した特定個人情報ファイルのみを取り扱う事務（規則第４条第４号及び第５号） オ 公務員若しくは公務員であった者又はその被扶養者の共済に関する事項を記録し た特定個人情報ファイルのみを取り扱う事務（規則第４条第５号） カ 情報連携を行う事業者が情報連携の対象とならない特定個人情報を記録した特定 個人情報ファイルのみを取り扱う事務（規則第４条第６号） キ 会計検査院が検査上の必要により保有する特定個人情報ファイルのみを取り扱う 事務（規則第４条第７号） また、特定個人情報保護評価の対象となる事務において複数の特定個人情報ファイル を取り扱う場合で、その一部が上記（ウを除く。）に定める特定個人情報ファイルであ る場合は、その特定個人情報ファイルに関する事項を特定個人情報保護評価書に記載し ないことができる。 （２） 特定個人情報保護評価以外の番号法の規定の適用 上記（１）に定める特定個人情報保護評価の実施が義務付けられない事務であっても、 特定個人情報保護評価以外の番号法の規定が適用され、当該事務を実施する者は、番号 法に基づき必要な措置を講ずることが求められる。 第５ 特定個人情報保護評価の実施手続 １ 特定個人情報保護評価計画管理書 （１） 特定個人情報保護評価計画管理書の作成 評価実施機関は、最初の特定個人情報保護評価を実施する前に、特定個人情報保護評 価計画管理書（様式１参照）を作成するものとする。 特定個人情報保護評価計画管理書は、特定個人情報保護評価を計画的に実施し、また、 特定個人情報保護評価の実施状況を適切に管理するために作成するものである。評価実 施機関で実施する特定個人情報保護評価に関する全ての事務及びシステムについて記 載するものとし、評価実施機関単位で作成するものとする。 特定個人情報保護評価計画管理書の記載事項に変更が生じたときは、特定個人情報保 護評価計画管理書を速やかに更新するものとする。 （２） 特定個人情報保護評価計画管理書の提出 評価実施機関は、規則第３条の規定に基づき、最初の特定個人情報保護評価書の委員 会への提出の際に、特定個人情報保護評価計画管理書を併せて提出するものとする。そ の後、評価実施機関が特定個人情報保護評価書を委員会へ提出する際は、その都度、特 定個人情報保護評価計画管理書を更新し、併せて提出するものとする。 特定個人情報保護評価計画管理書の公表は、不要とする。 ２ しきい値判断 特定個人情報ファイルを取り扱う事務について特定個人情報保護評価を実施するに際 しては、@対象人数、A評価実施機関の従業者及び評価実施機関が特定個人情報ファイル の取扱いを委託している場合の委託先の従業者のうち、当該特定個人情報ファイルを取り 扱う者の数（以下「取扱者数」という。）、B評価実施機関における規則第４条第８号ロ に規定する特定個人情報に関する重大事故の発生（評価実施機関が重大事故の発生を知る ことを含む。以下同じ。）の有無に基づき、次のとおり、実施が義務付けられる特定個人 情報保護評価の種類を判断する（以下「しきい値判断」という。）。 しきい値判断の結果、基礎項目評価のみで足りると認められたものについても任意で重 点項目評価又は全項目評価を実施することができ、重点項目評価の実施が義務付けられる と判断されたものについても任意で全項目評価を実施することができる。なお、重点項目 評価の実施が義務付けられると判断されたものについて、任意で全項目評価を実施した場 合は、重点項目評価を併せて行ったものとして取り扱う。 （１） 対象人数が１，０００人以上１万人未満の場合は、基礎項目評価（番号法第２８ 条第１項並びに規則第４条第８号イ及び第５条） （２） 対象人数が１万人以上１０万人未満であり、かつ、取扱者数が５００人未満であ って、過去１年以内に評価実施機関における特定個人情報に関する重大事故の発生がな い場合は、基礎項目評価（番号法第２８条第１項並びに規則第４条第８号ロ及び第５条） （３） 対象人数が１万人以上１０万人未満であり、過去１年以内に評価実施機関におけ る特定個人情報に関する重大事故の発生があった場合は、基礎項目評価及び重点項目評 価（番号法第２８条第１項並びに規則第４条第９号、第５条並びに第６条第１項第１号 及び第３項） （４） 対象人数が１万人以上１０万人未満であり、かつ、取扱者数が５００人以上の場 合は、基礎項目評価及び重点項目評価（番号法第２８条第１項並びに規則第４条第９号、 第５条並びに第６条第１項第１号及び第３項） （５） 対象人数が１０万人以上３０万人未満であり、かつ、取扱者数が５００人未満で あって、過去１年以内に評価実施機関における特定個人情報に関する重大事故の発生が ない場合は、基礎項目評価及び重点項目評価（番号法第２８条第１項並びに規則第４条 第９号、第５条並びに第６条第１項第２号及び第３項） （６） 対象人数が１０万人以上３０万人未満であり、過去１年以内に評価実施機関にお ける特定個人情報に関する重大事故の発生があった場合は、基礎項目評価及び全項目評 価（行政機関等については番号法第２８条及び規則第５条、地方公共団体等については 番号法第２８条第１項並びに規則第４条第１０号並びに第７条第１項及び第３項から 第６項まで） （７） 対象人数が１０万人以上３０万人未満であり、かつ、取扱者数が５００人以上の 場合は、基礎項目評価及び全項目評価（行政機関等については番号法第２８条及び規則 第５条、地方公共団体等については番号法第２８条第１項並びに規則第４条第１０号並 びに第７条第１項及び第３項から第６項まで） （８） 対象人数が３０万人以上の場合は、基礎項目評価及び全項目評価（行政機関等に ついては番号法第２８条及び規則第５条、地方公共団体等については番号法第２８条第 １項並びに規則第４条第１０号並びに第７条第１項及び第３項から第６項まで） ３ 特定個人情報保護評価書 しきい値判断の結果に従い、評価実施機関は特定個人情報保護評価を実施し、次のとお り、特定個人情報保護評価書を作成し、委員会に提出するものとする。その際、特定個人 情報保護評価書の記載事項を補足的に説明する資料を作成している場合は、必要に応じて、 当該特定個人情報保護評価書に添付する。 （１） 基礎項目評価書 評価実施機関は、規則第５条第１項の規定に基づき、特定個人情報保護評価の実施が 義務付けられる全ての事務について基礎項目評価書（様式２参照）を作成し、委員会へ 提出するものとする。上記２に定めるしきい値判断の結果は、基礎項目評価書に記載す るものとする。 （２） 重点項目評価書 評価実施機関は、規則第６条第１項の規定に基づき、上記２（３）、（４）又は（５） の場合は、重点項目評価書（様式３参照）を作成し、委員会へ提出するものとする。 （３） 全項目評価書 ア 行政機関等の場合 行政機関等は、上記２（６）、（７）又は（８）の場合は、全項目評価書（様式４ 参照）を作成するものとする。 また、行政機関等は、全項目評価書を作成後、番号法第２８条第１項の規定に基づ き、全項目評価書を公示して広く国民の意見を求め、これにより得られた意見を十分 考慮した上で全項目評価書に必要な見直しを行うものとする。ただし、公表しないこ とができる全項目評価書又は項目（下記（４）参照）については、この限りではない （規則第１０条）。 全項目評価書を公示し国民からの意見を聴取する期間は原則として３０日以上と する。ただし、特段の理由がある場合には、全項目評価書においてその理由を明らか にした上でこれを短縮することができる。 行政機関等は、番号法第２８条第２項の規定に基づき、公示し国民の意見を求め、 必要な見直しを行った全項目評価書を委員会へ提出し、委員会による承認を受けるも のとする。 イ 地方公共団体等の場合 地方公共団体等は、上記２（６）、（７）又は（８）の場合は、全項目評価書を作 成するものとする。 また、地方公共団体等は、全項目評価書を作成した後、規則第７条第１項の規定に 基づき、全項目評価書を公示して広く住民等の意見を求め、これにより得られた意見 を十分考慮した上で全項目評価書に必要な見直しを行うものとする。ただし、公表し ないことができる全項目評価書又は項目（下記（４）参照）については、この限りで はない（規則第７条第３項）。 全項目評価書を公示し住民等からの意見を聴取する期間は原則として３０日以上 とする。ただし、特段の理由がある場合には、全項目評価書においてその理由を明ら かにした上でこれを短縮することができる。また、地方公共団体等が条例等に基づき 住民等からの意見聴取等の仕組みを定めている場合は、これによることができる。 地方公共団体等は、公示し住民等の意見を求め、必要な見直しを行った全項目評価 書について、規則第７条第４項の規定に基づき、第三者点検を受けるものとする。第 三者点検の方法は、原則として、条例等に基づき地方公共団体が設置する個人情報保 護審議会又は個人情報保護審査会による点検を受けるものとするが、これらの組織に 個人情報保護や情報システムに知見を有する専門家がいないなど、個人情報保護審議 会又は個人情報保護審査会による点検が困難な場合には、その他の方法によることが できる。ただし、その他の方法による場合であっても、専門性を有する外部の第三者 によるものとする。第三者点検の際は、点検者に守秘義務を課すなどした上で、公表 しない部分（下記（４）参照）を含む全項目評価書を提示し、点検を受けるものとす る。第三者点検においては、下記第１０の１（２）に定める審査の観点を参考にする ことができる。 地方公共団体等は、規則第７条第５項の規定に基づき、第三者点検を受けた全項目 評価書を委員会へ提出するものとする。 （４） 特定個人情報保護評価書の公表 行政機関等は、基礎項目評価書及び重点項目評価書については委員会に提出した後速 やかに、全項目評価書については委員会の承認を受けた後速やかに、公表するものとす る（番号法第２８条第４項並びに規則第５条第２項、第６条第３項及び第８条）。 地方公共団体等は、特定個人情報保護評価書を委員会に提出した後速やかに、公表す るものとする（規則第５条第２項、第６条第３項及び第７条第６項）。 特定個人情報保護評価書及びその添付資料は、原則として、全て公表するものとする。 ただし、規則第１３条の規定に基づき、公表することにセキュリティ上のリスクがある と認められる場合は、評価実施機関は、公表しない予定の部分を含む特定個人情報保護 評価書及びその添付資料の全てを委員会に提出した上で、セキュリティ上のリスクがあ ると認められる部分を公表しないことができる。この場合であっても、期間、回数等の 具体的な数値や技術的細目に及ぶ具体的な方法など真にセキュリティ上のリスクのあ る部分に、公表しない部分を限定するものとする。 犯罪の捜査、租税に関する法律の規定に基づく犯則事件の調査及び公訴の提起又は維 持のために保有する特定個人情報ファイルを取り扱う事務に関する特定個人情報保護 評価については、評価実施機関は、規則第１３条の規定に基づき、公表しない予定の部 分を含む特定個人情報保護評価書及びその添付資料の全てを委員会に提出した上で、そ の全部又は一部を公表しないことができる。 ４ 特定個人情報保護評価書の見直し 評価実施機関は、少なくとも１年に１回、公表した特定個人情報保護評価書の記載事項 を実態に照らして見直し、変更が必要か否かを検討するよう努めるものとする（規則第１４条）。 ５ 特定個人情報保護評価を実施した事務の実施をやめたとき等の通知 評価実施機関は、特定個人情報保護評価を実施した事務の実施をやめたとき等は、規則 第１６条の規定に基づき、遅滞なく委員会に通知するものとする。評価実施機関は、事務 の実施をやめるなどした日から少なくとも３年間、その事務の実施をやめたこと等を記載 するなど所要の修正を行った上で、特定個人情報保護評価書を公表しておくものとする。 第６ 特定個人情報保護評価の実施時期 １ 新規保有時 行政機関の長等は、特定個人情報ファイルを新規に保有しようとする場合、原則として、 当該特定個人情報ファイルを保有する前に特定個人情報保護評価を実施するものとする。 ただし、規則第９条第２項の規定に基づき、災害が発生したときの対応等、特定個人情報 保護評価を実施せずに特定個人情報ファイルを保有せざるを得ない場合は、特定個人情報 ファイルの保有後可及的速やかに特定個人情報保護評価を実施するものとする。 （１） システム用ファイルを保有しようとする場合の実施時期 規則第９条第１項の規定に基づき、プログラミング開始前の適切な時期に特定個人情 報保護評価を実施するものとする。 （２） その他の電子ファイルを保有しようとする場合の実施時期 事務処理の検討段階で特定個人情報保護評価を実施するものとする。 ２ 新規保有時以外 （１） 基本的な考え方 評価実施機関は、過去に特定個人情報保護評価を実施した特定個人情報ファイルを取 り扱う事務について、下記（２）又は（３）の場合には、特定個人情報保護評価を再実 施するものとし、下記（４）の場合には、再実施するよう努めるものとする。 再実施に当たっては、委員会が定める特定個人情報保護評価書様式中の変更箇所欄に 変更項目等を記載するものとする。下記（２）から（４）まで以外の場合に特定個人情 報保護評価を任意に再実施することを妨げるものではない。 （２） 重要な変更 特定個人情報ファイルに対する重要な変更（規則第１１条に規定する特定個人情報の 漏えいその他の事態の発生の危険性及び影響が大きい変更として指針で定めるもの）と は、重点項目評価書又は全項目評価書の記載項目のうちこの指針の別表に定めるものに ついての変更とする。ただし、個人のプライバシー等の権利利益に影響を与え得る特定 個人情報の漏えいその他の事態を発生させるリスクを相当程度変動させるものではな いと考えられる変更又は当該リスクを明らかに軽減させる変更は、重要な変更には当た らないものとする。 この指針の別表に定めるとおり、重大事故の発生それ自体が直ちに重要な変更に当た るものではないが、特定個人情報に関する重大事故の発生に伴い評価実施機関がリスク 対策等を見直すことが想定され、この場合は、重要な変更に該当する。 評価実施機関は、保有する特定個人情報ファイルに重要な変更を加えようとするとき は、当該変更を加える前に、特定個人情報保護評価を再実施するものとする。ただし、 災害が発生したときの対応等、特定個人情報保護評価を実施せずに特定個人情報ファイ ルの取扱いを変更せざるを得ない場合は、特定個人情報ファイルの取扱いの変更後可及 的速やかに特定個人情報保護評価を再実施するものとする。 ア システムの開発を伴う場合の実施時期 上記１（１）に準ずるものとする。 イ システムの開発を伴わない又はその他の電子ファイルを保有する場合の実施時期 事務処理の変更の検討段階で特定個人情報保護評価を実施するものとする。 （３） しきい値判断の結果の変更 上記第５の４に定める特定個人情報保護評価書の見直しにおいて、対象人数又は取扱 者数が増加したことによりしきい値判断の結果が変わり、新たに重点項目評価又は全項 目評価を実施するものと判断される場合、評価実施機関は、速やかに特定個人情報保護 評価を再実施するものとする（規則第６条第２項及び第３項、第７条第２項から第６項 まで、第８条及び第１４条）。 また、評価実施機関における特定個人情報に関する重大事故の発生によりしきい値判 断の結果が変わり、新たに重点項目評価又は全項目評価を実施するものと判断される場 合、評価実施機関は、当該特定個人情報に関する重大事故の発生後速やかに特定個人情 報保護評価を再実施するものとする（規則第６条第２項及び第３項、第７条第２項から 第６項まで、第８条及び第１４条）。 なお、対象人数又は取扱者数が減少したことによりしきい値判断の結果が変わり、全 項目評価から重点項目評価若しくは基礎項目評価に、又は重点項目評価から基礎項目評 価に変更になった場合については、特定個人情報保護評価書の修正として、委員会に提 出した上で公表するものとする。 （４） 一定期間経過 評価実施機関は、規則第１５条の規定に基づき、直近の特定個人情報保護評価書を公 表してから５年を経過する前に、特定個人情報保護評価を再実施するよう努めるものと する。 第７ 特定個人情報保護評価書の修正 １ 基礎項目評価書 基礎項目評価書の記載事項に、上記第６の２（３）のしきい値判断の結果の変更に該当 しない変更が生じた場合、評価実施機関は、規則第１４条の規定に基づき、基礎項目評価 書を速やかに修正し、委員会に提出した上で公表するものとする。修正に当たっては、委 員会が定める特定個人情報保護評価書様式中の変更箇所欄に変更項目等を記載するもの とする。 ２ 重点項目評価書・全項目評価書 重点項目評価書又は全項目評価書の記載事項に、上記第６の２（２）の重要な変更に当 たらない変更が生じた場合、評価実施機関は、規則第１４条の規定に基づき、重点項目評 価書又は全項目評価書を速やかに修正し、委員会に提出した上で公表するものとする。修 正に当たっては、委員会が定める特定個人情報保護評価書様式中の変更箇所欄に変更項目 等を記載するものとする。 この場合は、特定個人情報保護評価の実施に該当せず、全項目評価の場合であっても、 国民（地方公共団体等にあっては住民等）からの意見の聴取及び委員会による承認又は第 三者点検は必要ない。評価実施機関の任意の判断で、国民（地方公共団体等にあっては住 民等）からの意見の聴取又は第三者点検を行うことを妨げるものではない。 第８ 個人情報保護法及び番号法に基づく事前通知 個人情報保護法第７４条第１項の規定に基づき、会計検査院を除く行政機関が個人情報 ファイルを保有しようとするときは、当該行政機関の長は、同項各号に規定する事項（以 下「事前通知事項」という。）をあらかじめ委員会に通知しなければならず、また、事前 通知事項を変更しようとするときも同様に通知しなければならない（以下「事前通知」と 総称する。）。行政機関が、特定個人情報保護評価を実施し、全項目評価書を公表した場 合、又は保有する特定個人情報ファイルに重要な変更を加えようとするときに特定個人情 報保護評価を再実施し、事前通知事項を変更した全項目評価書を公表した場合は、番号法 第２８条第５項の規定により、それぞれ事前通知を行ったものとみなす。 また、行政機関が、特定個人情報保護評価を実施し、重点項目評価書を提出・公表した 場合、保有する特定個人情報ファイルに重要な変更を加えようとするときに特定個人情報 保護評価を再実施し、事前通知事項を変更した重点項目評価書を提出・公表した場合、保 有する特定個人情報ファイルに重要な変更に当たらない変更を加えようとするときに事 前通知事項を変更した全項目評価書又は重点項目評価書を変更前に提出・公表した場合等 は、それぞれ事前通知等を併せて行ったものとして取り扱う。 第９ 特定個人情報保護評価の評価項目 １ 基本的な考え方 特定個人情報保護評価を実施するに当たって、評価実施機関は、特定個人情報ファイル を取り扱う事務の特性を明らかにした上で、特定個人情報ファイルの取扱いが個人のプラ イバシー等の権利利益に影響を与え得る特定個人情報の漏えいその他の事態を発生させ るリスクについて認識又は分析し、このようなリスクを軽減するための適切な措置を講じ ていることを確認の上、特定個人情報保護評価書において宣言するものとする。 評価実施機関は、リスクを軽減するための措置を検討する際には、特定個人情報の安全 管理に関する基本方針、特定個人情報の取扱規程等を策定することが望ましい。また、リ スクを軽減するための措置には、物理的安全管理措置、技術的安全管理措置、組織的安全 管理措置及び人的安全管理措置があり、評価実施機関は、基本方針、取扱規程等を踏まえ、 評価実施機関の規模及び事務の特性に応じた適切な措置を講ずるものとする。 なお、技術の進歩に伴うクラウドサービス等の新たなサービス、開発手法等を導入する 場合には、当該サービス、開発手法等の特性を考慮した上で、適切な安全管理措置を講ず るものとする。 ２ 評価項目 （１） 基礎項目評価書 規則第２条第１号に規定する基礎項目評価書の記載事項は、次のとおりとする。 ア 基本情報 特定個人情報保護評価の対象となる事務の概要、当該事務において使用するシステ ムの名称、特定個人情報ファイルの名称、当該事務を対象とする特定個人情報保護評 価の実施を担当する部署及び所属長の役職名、当該事務において個人番号を利用する ことができる法令上の根拠等を記載するものとする。また、当該事務において情報連 携を行う場合にはその法令上の根拠を記載するものとする。 イ リスク対策 特定個人情報ファイルを取り扱うプロセスにおいて個人のプライバシー等の権利 利益に影響を与え得る特定個人情報の漏えいその他の事態を発生させるリスクを認 識し、このうち主なリスクを軽減するための措置の実施状況について記載するものと する。 また、自己点検・監査、従業者に対する教育・啓発等のリスク対策の実施状況につ いても記載するものとする。 これらのリスク対策を踏まえ、評価実施機関は、リスクを軽減するための適切な措 置を講じていることを確認の上、宣言するものとする。 （２） 重点項目評価書 規則第２条第２号に規定する重点項目評価書の記載事項は、次のとおりとする。 ア 基本情報 特定個人情報保護評価の対象となる事務の内容、当該事務において使用するシステ ムの機能、当該事務において取り扱う特定個人情報ファイルの名称、当該事務を対象 とする特定個人情報保護評価の実施を担当する部署及び所属長の役職名、当該事務に おいて個人番号を利用することができる法令上の根拠等を記載するものとする。また、 当該事務において情報連携を行う場合にはその法令上の根拠を記載するものとする。 イ 特定個人情報ファイルの概要 特定個人情報ファイルの種類、対象となる本人の数・範囲、記録される項目その他 の特定個人情報保護評価の対象となる事務において取り扱う特定個人情報ファイル の概要を記載するものとする。また、特定個人情報の入手及び使用の方法、特定個人 情報ファイルの取扱いの委託の有無及び委託する場合にはその方法、特定個人情報の 提供又は移転の有無及び提供又は移転する場合にはその方法、特定個人情報の保管場 所その他の特定個人情報ファイルを取り扱うプロセスの概要を記載するものとする。 ウ リスク対策 特定個人情報ファイルを取り扱うプロセスにおいて個人のプライバシー等の権利 利益に影響を与え得る特定個人情報の漏えいその他の事態を発生させる主なリスク について分析し、このようなリスクを軽減するための措置について記載するものとす る。重点項目評価書様式は主なリスクのみを示しているが、その他のリスクについて も分析し、そのようなリスクを軽減するための措置についても記載することが推奨さ れる。 また、自己点検・監査、従業者に対する教育・啓発等のリスク対策についても記載 するものとする。 これらのリスク対策を踏まえ、評価実施機関は、リスクを軽減するための適切な措 置を講じていることを確認の上、宣言するものとする。 エ その他 特定個人情報の開示・訂正・利用停止請求、特定個人情報ファイルの取扱いに関す る問合せ等について記載するものとする。 （３） 全項目評価書 法第２８条第１項各号及び規則第１２条に規定する全項目評価書の記載事項は、次の とおりとする。 ア 基本情報 特定個人情報保護評価の対象となる事務の詳細な内容、当該事務において使用する システムの機能、当該事務において取り扱う特定個人情報ファイルの名称、当該事務 を対象とする特定個人情報保護評価の実施を担当する部署及び所属長の役職名、当該 事務において個人番号を利用することができる法令上の根拠等を記載するものとす る。また、当該事務において情報連携を行う場合にはその法令上の根拠を記載するも のとする。 イ 特定個人情報ファイルの概要 特定個人情報ファイルの種類、対象となる本人の数・範囲、記録される項目その他 の特定個人情報保護評価の対象となる事務において取り扱う特定個人情報ファイル の概要を記載するものとする。また、特定個人情報の入手及び使用の方法、特定個人 情報ファイルの取扱いの委託の有無及び委託する場合にはその方法、特定個人情報の 提供又は移転の有無及び提供又は移転する場合にはその方法、特定個人情報の保管及 び消去の方法その他の特定個人情報ファイルを取り扱うプロセスの概要を記載する ものとする。 ウ リスク対策 特定個人情報ファイルを取り扱うプロセスにおいて個人のプライバシー等の権利 利益に影響を与え得る特定個人情報の漏えいその他の事態を発生させる多様なリス クについて詳細に分析し、このようなリスクを軽減するための措置について記載する ものとする。全項目評価書様式に示すもの以外のリスクについても分析し、そのよう なリスクを軽減するための措置についても記載することが推奨される。 また、自己点検・監査、従業者に対する教育・啓発等のリスク対策についても記載 するものとする。 これらのリスク対策を踏まえ、評価実施機関は、リスクを軽減するための適切な措 置を講じていることを確認の上、宣言するものとする。 エ 評価実施手続 行政機関等は、上記第５の３（３）アにより実施した国民からの意見の聴取の方法、 主な意見の内容等、下記第１０の１に定める委員会による承認のために全項目評価書 を委員会に提出した日、委員会による審査等について記載するものとする。 地方公共団体等は、上記第５の３（３）イにより実施した住民等からの意見の聴取 及び第三者点検の方法等について記載するものとする。 オ その他 特定個人情報の開示・訂正・利用停止請求、特定個人情報ファイルの取扱いに関す る問合せ等について記載するものとする。 第１０ 委員会の関与 １ 特定個人情報保護評価書の承認 （１） 承認対象 委員会は、上記第５の３（３）アに基づき行政機関等から委員会に提出された全項目 評価書を審査し、承認するものとする。 委員会は、基礎項目評価書、重点項目評価書、地方公共団体等から提出された全項目 評価書及び任意で提出された全項目評価書の承認は行わないものとする。 （２） 審査の観点 委員会は、全項目評価書の承認に際し、適合性及び妥当性の２つの観点から審査を行 う。 ア 適合性 この指針に定める実施手続等に適合した特定個人情報保護評価を実施しているか。 ・しきい値判断に誤りはないか。 ・適切な実施主体が実施しているか。 ・公表しない部分は適切な範囲か。 ・適切な時期に実施しているか。 ・適切な方法で広く国民の意見を求め、得られた意見を十分考慮した上で必要な見 直しを行っているか。 ・特定個人情報保護評価の対象となる事務の実態に基づき、特定個人情報保護評価 書様式で求められる全ての項目について検討し、記載しているか。 等 イ 妥当性 特定個人情報保護評価の内容は、この指針に定める特定個人情報保護評価の目的等 に照らし妥当と認められるか。 ・記載された特定個人情報保護評価の実施を担当する部署は、特定個人情報保護評 価の対象となる事務を担当し、リスクを軽減させるための措置の実施に責任を負 うことができるか。 ・特定個人情報保護評価の対象となる事務の内容の記載は具体的か。当該事務にお ける特定個人情報の流れを併せて記載しているか。 ・特定個人情報ファイルを取り扱うプロセスにおいて特定個人情報の漏えいその他 の事態を発生させるリスクを、特定個人情報保護評価の対象となる事務の実態に 基づき、特定しているか。 ・特定されたリスクを軽減するために講ずべき措置についての記載は具体的か。 ・記載されたリスクを軽減させるための措置は、個人のプライバシー等の権利利益 の侵害の未然防止、国民・住民の信頼の確保という特定個人情報保護評価の目的 に照らし、妥当なものか。 ・個人のプライバシー等の権利利益の保護の宣言は、国民・住民の信頼の確保とい う特定個人情報保護評価の目的に照らし、妥当なものか。 等 委員会は、提出された全項目評価書の審査の結果、必要と認めるときは、番号法の 規定に基づく指導・助言、勧告・命令等を行い、全項目評価書の再提出その他の是正 を求めるものとする。 ２ 承認の対象としない特定個人情報保護評価書の確認 委員会は、評価実施機関から委員会に提出された特定個人情報保護評価書であって上記 １による委員会の承認の対象としないものについては、必要に応じて、その内容を精査し、 適合性及び妥当性について確認するものとする。 委員会は、提出された特定個人情報保護評価書の精査の結果、必要と認めるときは、番 号法の規定に基づく指導・助言、勧告・命令等を行い、特定個人情報保護評価の再実施そ の他の是正を求めるものとする。 第１１ 特定個人情報保護評価書に記載した措置の実施 評価実施機関は、個人のプライバシー等の権利利益に影響を与え得る特定個人情報の漏 えいその他の事態を発生させるリスクを軽減するための措置として特定個人情報保護評 価書に記載した全ての措置を講ずるものとする。 第１２ 特定個人情報保護評価に係る違反に対する措置 １ 特定個人情報保護評価の未実施に対する措置 特定個人情報保護評価を実施するものとされているにもかかわらず実施していない事 務については、情報連携を行うことが禁止される（番号法第２１条第２項第２号、第２８ 条第６項）。特定個人情報保護評価を実施するものとされているにもかかわらず実施して いない評価実施機関に対して、委員会は、必要に応じて、番号法の規定に基づく指導・助 言、勧告・命令等を行い、特定個人情報保護評価の速やかな実施その他の是正を求めるも のとする。 ２ 特定個人情報保護評価書の記載に反する特定個人情報ファイルの取扱いに対する措置 特定個人情報ファイルの取扱いが特定個人情報保護評価書の記載に反している場合、委 員会は、必要に応じて、番号法の規定に基づく指導・助言、勧告・命令等を行い、是正を 求めるものとする。 前 文〔抄〕〔平成二七年一二月二二日特定個人情報保護委員会告示第四号〕 平成二十八年一月一日から施行する。 前 文〔抄〕〔平成二九年四月二七日個人情報保護委員会告示第八号〕 平成二十九年五月三十日から施行する。 附 則〔平成三〇年五月二一日個人情報保護委員会告示第二号〕 （施行期日） 第一条 この告示は、平成三十一年一月一日から施行する。ただし、第６の１（１）の規定並 びに第９の２（１）ア、同（２）ア及び同（３）ア中「部署」を「部署及び所属長の役職名」 に改める部分並びに様式２Tの５、様式３Tの６及び様式４Tの７中「所属長」を「所属長の役 職名」に改める部分については、公布の日から施行する。 （経過措置） 第二条 この告示による変更後の特定個人情報保護評価指針（以下「新指針」という。）第９ の２（１）イの規定及びこの告示の施行の際現に変更前の特定個人情報保護評価指針（以下 「旧指針」という。）の規定により公表されている変更前の様式２（Tの５を除く。）につ いては、この告示の施行の日から起算して六月を経過する日までの間は、変更後の規定にか かわらず、なお従前の例によることができる。 ２ 新指針第９の２（１）ア、（２）ア及び（３）アの規定並びに附則第一条ただし書に規定 する規定の施行の際現に旧指針の規定により公表されている変更前の様式２Tの５、様式３T の６及び様式４Tの７中「所属長」を「所属長の役職名」に改める部分については、所属長 の役職名及び氏名に変更がない限りにおいて、この告示の施行の日から起算して六月を経過 する日までの間は、変更後の規定にかかわらず、なお従前の例によることができる。 附 則〔令和三年二月五日個人情報保護委員会告示第一号〕 この告示は、令和三年四月一日から施行する。 附 則〔令和三年八月二五日個人情報保護委員会告示第一一号〕 この告示は、デジタル社会の形成を図るための関係法律の整備に関する法律〔令和三年五月 法律第三七号〕の施行の日（令和三年九月一日）から施行する。 附 則〔令和四年三月二三日個人情報保護委員会告示第三号〕 この告示は、デジタル社会の形成を図るための関係法律の整備に関する法律〔令和三年五月 法律第三七号〕第五十条の規定の施行の日（令和四年四月一日）から施行する。 別表（第６の２（２）関係） 特定個人情報保護評価書の名 称 重要な変更の対象である記載項目 １ 重点項目評価書 １ 個人番号の利用 ２ 情報提供ネットワークシステムによ る情報連携 ３ 特定個人情報ファイルの種類 ４ 特定個人情報ファイルの対象となる 本人の範囲 ５ 特定個人情報ファイルに記録される 主な項目 ６ 特定個人情報の入手元 ７ 特定個人情報の使用目的 ８ 特定個人情報ファイルの取扱いの委 託の有無 ９ 特定個人情報ファイルの取扱いの再 委託の有無 １０ 特定個人情報の保管場所 １１ リスク対策（重大事故の発生を除 く。） ２ 全項目評価書 １ 特定個人情報ファイルを取り扱う事 務の内容 ２ 個人番号の利用 ３ 情報提供ネットワークシステムによ る情報連携 ４ 特定個人情報ファイルの種類 ５ 特定個人情報ファイルの対象となる 本人の範囲 ６ 特定個人情報ファイルに記録される 主な項目 ７ 特定個人情報の入手元 ８ 特定個人情報の使用目的 ９ 特定個人情報の使用部署 １０ 特定個人情報の使用方法 １１ 特定個人情報の突合 １２ 特定個人情報の統計分析 １３ 特定個人情報の使用による個人の 権利利益に影響を与え得る決定 １４ 特定個人情報ファイルの取扱いの 委託の有無 １５ 取扱いを委託する特定個人情報フ ァイルの対象となる本人の範囲 １６ 特定個人情報ファイルの取扱いの 再委託の有無 １７ 特定個人情報の保管場所 １８ 特定個人情報ファイルの取扱いプ ロセスにおけるリスク対策（重大事故 の発生を除く。） １９ その他のリスク対策