特定個人情報の適正な取扱いに関するガイドライン（事業者編）

目次

• 第１はじめに
• 第２用語の定義等
• 第３総論
  • 第３－１目的
  • 第３－２本ガイドラインの適用対象等
  • 第３－３本ガイドラインの位置付け等
  • 第３－４番号法の特定個人情報に関する保護措置
  • 第３－５特定個人情報保護のための主体的な取組について
  • 第３－６特定個人情報の漏えい等事案が発生した場合の対応
  • 第３－７本ガイドラインの見直しについて
• 第４各論
  • 第４－１特定個人情報の利用制限
    • 第４－１－⑴個人番号の利用制限
    • 第４－１－⑵特定個人情報ファイルの作成の制限
  • 第４－２特定個人情報の安全管理措置等
    • 第４－２－⑴委託の取扱い
    • 第４－２－⑵安全管理措置
  • 第４－３特定個人情報の提供制限等
    • 第４－３－⑴個人番号の提供の要求
    • 第４－３－⑵個人番号の提供の求めの制限、特定個人情報の提供制限
    • 第４－３－⑶収集・保管制限
    • 第４－３－⑷本人確認
  • 第４－４第三者提供の停止に関する取扱い
  • 第４－５特定個人情報保護評価
  • 第４－６個人情報保護法の主な規定
  • 第４－７個人番号利用事務実施者である健康保険組合等における措置等

• （ 別添１ ）特定個人情報に関する安全管理措置（事業者編）
• １安全管理措置の検討手順
• ２講ずべき安全管理措置の内容
• （ 別添2 ）特定個人情報の漏えい等に関する報告等（事業者編）
• １ 特定個人情報の漏えい等の考え方
• ２ 漏えい等事案が発覚した場合に講ずべき措置
• ３ 委員会への報告（番号法第29条の４第１項関係）
• ４ 本人への通知（番号法第29条の４第２項）

第１　はじめに

「行政手続における特定の個人を識別するための番号の利用等に関する法律」（平成25年法律第27号。以下「番号法」という。）に基づく番号制度は、社会保障、税、災害対策その他の行政分野における行政運営の効率化を図り、国民にとって利便性の高い、公平・公正な社会を実現するための社会基盤として導入されるものである。

一方で、番号制度の導入に伴い、国家による個人情報の一元管理、特定個人情報の不正追跡・突合、財産その他の被害等への懸念が示されてきた。

個人情報の適正な取扱いという観点からは、個人情報の保護に関する一般法として、「個人情報の保護に関する法律」（平成15年法律第57号。以下「個人情報保護法」という。）があり、これに加えて、地方公共団体では個人情報の保護に関する条例等も定められている。

番号法においては、個人情報保護法に定められる措置の特例として、個人番号をその内容に含む個人情報（以下「特定個人情報」という。）の利用範囲を限定する等、より厳格な保護措置を定めている。

本ガイドラインは、個人番号を取り扱う事業者（個人情報保護法第２条第11項に規定する行政機関等（注1）を除く。以下「事業者」という。）が特定個人情報の適正な取扱いを確保するための具体的な指針を定めるものである。

なお、個人情報保護法第58条第１項各号に掲げる法人（注２）は、原則、本ガイドラインが適用されるものの、番号法及び個人情報保護法第125条によって個人情報保護法が適用される部分の特定個人情報の取扱いについては、特定個人情報の適正な取扱いに関するガイドライン（行政機関等編）を参照する必要がある。

また、個人情報保護法第58条第２項各号に掲げる者は、原則、特定個人情報の適正な取扱いに関するガイドライン（行政機関等編）が適用されるものの、当該各号に定める業務（注３）における番号法及び個人情報保護法第58条第２項によって個人情報保護法が適用される部分の特定個人情報の取扱いについては、本ガイドラインを参照する必要がある。

本ガイドラインの中で、「しなければならない」及び「してはならない」と記述している事項については、これらに従わなかった場合、法令違反と判断される可能性がある。一方、「望ましい」と記述している事項については、これに従わなかったことをもって直ちに法令違反と判断されることはないが、番号法の趣旨を踏まえ、事業者の特性や規模に応じ可能な限り対応することが望まれるものである。

以下、本ガイドラインの構成は、次のとおりとなっている。

• 「第２　用語の定義等」においては、本ガイドラインで使用する用語の定義等を記載している。
• 「第３　総論」においては、本ガイドラインの位置付け、特定個人情報に関する番号法上の保護措置の概略等について解説している。
• 「第４　各論」においては、各項目に要点を枠囲みにして示すとともに、番号法上の保護措置及び安全管理措置について解説している。また、実務上の指針及び具体例を記述しているほか、留意すべきルールとなる部分についてはアンダーラインを付している。

＊印は、事業者の実際の事務に即した具体的な事例を記述したものである。なお、事例の記述は、理解を助けることを目的として典型的な例を示したものであり、全ての事案を網羅することを目的とするものではない。

• （注１）「個人情報保護法第２条第11項に規定する行政機関等」とは、次の機関及び法人をいう。
  • ①行政機関
  • ②地方公共団体の機関（議会を除く。）
  • ③独立行政法人等（個人情報保護法別表第２に掲げる法人を除く。）
  • ④地方独立行政法人（地方独立行政法人法第21条第１号に掲げる業務（試験研究等）を主たる目的とするもの又は同条第２号（大学等の設置及び管理）若しくは第３号チ（病院事業の経営）に掲げる業務を目的とするものを除く。）
• （注２）「個人情報保護法第58条第１項各号に掲げる法人」とは、次の法人をいう。
  • ①個人情報保護法別表第２に掲げる法人
  • ②地方独立行政法人のうち、試験研究を行うこと等を主たる目的とするもの、大学等の設置及び管理等を目的とするもの並びに病院事業の経営を目的とするもの
• （注３）「個人情報保護法第58条第２項各号に掲げる者」の「当該各号に定める業務」とは、次のものをいう。
  • ①地方公共団体の機関が行う業務のうち病院及び診療所並びに大学の運営の業務
  • ②独立行政法人労働者健康安全機構が行う病院の運営の業務

第２　用語の定義等

本ガイドラインで使用する用語の定義等については、法令上の定義等に従い、次の表のとおりとする。

項番	用語	定義等
①	個人情報	生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。 一　当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。）で作られる記録をいう。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。） 二　個人識別符号が含まれるもの 【番号法第２条第３項、個人情報保護法第２条第１項】 ※　生存する個人の個人番号は、個人識別符号に該当する（個人情報保護法第２条第１項第２号及び第２項、「個人情報の保護に関する法律施行令」（平成15年政令第507号。以下「個人情報保護法施行令」という。）第１条第６号）。
②	個人番号	番号法第７条第１項又は第２項の規定により、住民票コードを変換して得られる番号であって、当該住民票コードが記載された住民票に係る者を識別するために指定されるものをいう（番号法第２条第６項及び第７項、第８条並びに第48条並びに附則第３条第１項から第３項まで及び第５項における個人番号）。 【番号法第２条第５項】
③	特定個人情報	個人番号（個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号であって、住民票コード以外のものを含む。番号法第７条第１項及び第２項、第８条並びに第48条並びに附則第３条第１項から第３項まで及び第５項を除く。）をその内容に含む個人情報をいう。 【番号法第２条第８項】 ※　生存する個人の個人番号についても、特定個人情報に該当する（個人情報保護法第２条第１項第２号、番号法第２条第８項）。
④	個人情報データベース等	個人情報を含む情報の集合物であって、特定の個人情報について電子計算機を用いて検索することができるように体系的に構成したもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして個人情報保護法施行令で定めるものをいう。 【個人情報保護法第16条第１項、個人情報保護法施行令第４条】
⑤	個人情報ファイル	個人情報データベース等であって、行政機関等以外の者が保有するものをいう。 【番号法第２条第４項】
⑥	特定個人情報ファイル	個人番号をその内容に含む個人情報ファイルをいう。 【番号法第２条第９項】
⑦	個人データ	個人情報データベース等を構成する個人情報をいう。 【個人情報保護法第16条第３項】
⑧	保有個人データ	個人情報取扱事業者（項番⑭）が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして個人情報保護法施行令で定めるもの以外のものをいう。 【個人情報保護法第16条第４項、個人情報保護法施行令第５条】
⑨	情報提供等の記録	内閣総理大臣、情報照会者及び情報提供者又は条例事務関係情報照会者及び条例事務関係情報提供者は、番号法第19条第８号又は第９号の規定により情報提供ネットワークシステムを使用して特定個人情報の提供の求め又は提供があった場合には、情報提供ネットワークシステムに接続されたその者の使用する電子計算機（内閣総理大臣においては情報提供ネットワークシステム）に、情報照会者及び情報提供者又は条例事務関係情報照会者及び条例事務関係情報提供者の名称、提供の求め及び提供の日時、特定個人情報の項目等を記録することとされており、当該記録をいう（→第４－７２Ｂ）。 【番号法第23条、第26条】
⑩	個人番号利用事務	行政機関、地方公共団体、独立行政法人等その他の行政事務を処理する者が番号法第９条第１項から第３項までの規定によりその保有する特定個人情報ファイルにおいて個人情報を効率的に検索し、及び管理するために必要な限度で個人番号を利用して処理する事務をいう（→第４－１－⑴１Ａａ）。 【番号法第２条第10項】
⑪	個人番号関係事務	番号法第９条第４項の規定により個人番号利用事務に関して行われる他人の個人番号を必要な限度で利用して行う事務をいう（→第４－１－⑴１Ａｂ）。 【番号法第２条第11項】
⑫	個人番号利用事務実施者	個人番号利用事務を処理する者及び個人番号利用事務の全部又は一部の委託を受けた者をいう。 【番号法第２条第12項】
⑬	個人番号関係事務実施者	個人番号関係事務を処理する者及び個人番号関係事務の全部又は一部の委託を受けた者をいう。 【番号法第２条第13項】
⑭	個人情報取扱事業者	個人情報データベース等を事業の用に供している者（国の機関、地方公共団体、独立行政法人等及び地方独立行政法人を除く。）をいう。 【個人情報保護法第16条第２項】

第３　総論

第３－１　目的

個人情報保護委員会（以下「委員会」という。）は、個人情報保護法第131条に基づき、行政機関等の事務及び事業の適正かつ円滑な運営を図り、並びに個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであることその他の個人情報の有用性に配慮しつつ、個人の権利利益を保護するため、個人情報の適正な取扱いの確保を図ること（個人番号関係事務実施者又は個人番号利用事務実施者に対する指導及び助言その他の措置を講ずることを含む。）を任務としている。本ガイドラインは、番号法第４条及び個人情報保護法第131条に基づき、事業者が特定個人情報の適正な取扱いを確保するための具体的な指針を定めるものである。

第３－２　本ガイドラインの適用対象等

• 　本ガイドラインの適用対象

  番号法は、行政機関等（個人情報保護法第２条第11項に規定する行政機関等をいう。以下同じ。）又は事業者の別を問わず、個人番号を取り扱う全ての者を適用の対象としており、本ガイドラインは、番号法の適用を受ける者のうち事業者を対象とするものである。

  なお、事業者のうち金融機関が行う金融業務に関しては、「第４　各論」に相当する部分について、「（別冊）金融業務における特定個人情報の適正な取扱いに関するガイドライン」を適用するものとする。

• 　事業者が番号法の適用を受ける場面

  全ての事業者は、個人番号の提供の求めの制限（番号法第15条）並びに特定個人情報の提供の制限（同法第19条）及び収集等の制限（同法第20条）の規定の適用を受ける。また、事業者が番号法の規定の適用を受ける主な事務は、次のとおりである。

  • 事業者が従業員等から個人番号の提供を受けて、これを給与所得の源泉徴収票、給与支払報告書、健康保険・厚生年金保険被保険者資格取得届等の必要な書類に記載して、税務署長、市区町村長、日本年金機構等に提出する事務（同法第９条第４項）

  • 金融機関が顧客から個人番号の提供を受けて、これを配当等の支払調書に記載して税務署長に提出する事務（同法第９条第４項）

  • 健康保険組合、全国健康保険協会等（以下「健康保険組合等」という。）が個人番号を利用して個人情報を検索、管理する事務（同法第９条第１項）

  • 激甚災害が発生したとき等において、金融機関が個人番号を利用して金銭を支払う事務（同法第９条第５項）
    さらに、事業者が、行政機関等又は他の事業者から個人番号を取り扱う事務の委託を受けた場合も、番号法の適用を受ける。

第３－３　本ガイドラインの位置付け等

• 　番号法と個人情報保護法との関係

  全ての事業者は、番号法が特定個人情報について規定している部分の適用を受ける。

  個人情報取扱事業者は、番号法第30条により適用除外となる部分を除き、特定個人情報について、一般法である個人情報保護法の規定の適用も受ける。

• 　本ガイドラインの位置付け

  本ガイドラインは、特定個人情報の適正な取扱いについての具体的な指針を定めるものである。

  また、特定個人情報に関し、番号法に特段の規定がなく個人情報保護法が適用される部分については、委員会が定める「個人情報の保護に関する法律についてのガイドライン」等（以下「個人情報保護法ガイドライン等」という。）を遵守することを前提としている。

第３－４　番号法の特定個人情報に関する保護措置

• 　保護措置の概要

  個人番号は、社会保障、税、災害対策その他の行政分野において、個人情報を複数の機関の間で紐付けるものであり、住民票を有する全ての者に一人一番号で重複のないように、住民票コードを変換して得られる番号である。したがって、個人番号が悪用され、又は漏えいした場合、個人情報の不正な追跡・突合が行われ、個人の権利利益の侵害を招きかねない。

  そこで、番号法においては、特定個人情報について、個人情報保護法よりも厳格な各種の保護措置を設けている。この保護措置は、「特定個人情報の利用制限」、「特定個人情報の安全管理措置等」及び「特定個人情報の提供制限等」の三つに大別される。

  ア　特定個人情報の利用制限

  個人情報保護法は、個人情報の利用目的についてできる限り特定（個人情報保護法第17条）した上で、原則として当該利用目的の範囲内でのみ利用することができるとしている（同法第18条）が、個人情報を利用することができる事務の範囲については特段制限していない。

  これに対し、番号法においては、個人番号を利用することができる範囲について、社会保障、税、災害対策その他の行政分野に関する特定の事務に限定している（番号法第９条）。また、本来の利用目的を超えて例外的に特定個人情報を利用することができる範囲について、個人情報保護法における個人情報の利用の場合よりも限定的に定めている（同法第30条第２項）。さらに、必要な範囲を超えた特定個人情報ファイルの作成を禁止している（同法第29条）。

  イ　特定個人情報の安全管理措置等

  個人情報保護法は、個人情報取扱事業者に対して、個人データに関する安全管理措置を講ずることとし（個人情報保護法第23条）、従業者の監督義務及び委託先の監督義務を課している（同法第24条、第25条）。

  番号法においては、これらに加え、全ての事業者に対して、個人番号（生存する個人のものだけでなく死者のものも含む。）について安全管理措置を講ずることとされている（番号法第12条）。

  また、個人番号関係事務又は個人番号利用事務を再委託する場合には委託者による再委託の許諾を要件とする（同法第10条）とともに、委託者の委託先に対する監督義務を課している（同法第11条）。

  ウ　特定個人情報の提供制限等

  個人情報保護法は、個人情報取扱事業者に対し、個人データについて、法令の規定に基づく場合等を除くほか、本人の同意を得ないで、第三者に提供することを認めていない（個人情報保護法第27条）。

  番号法においては、特定個人情報の提供について、個人番号の利用制限と同様に、個人情報保護法における個人情報の提供の場合よりも限定的に定めている（番号法第19条）。また、何人も、特定個人情報の提供を受けることが認められている場合を除き、他人（自己と同一の世帯に属する者以外の者をいう。）に対し、個人番号の提供を求めてはならない（同法第15条）。

  さらに、特定個人情報の収集又は保管についても同様の制限を定めている（同法第20条）。

  なお、本人から個人番号の提供を受ける場合には、本人確認を義務付けている（同法第16条）。

• 　委員会による監視・監督

  委員会は、特定個人情報の取扱いに関する監視・監督を行うため、次に掲げる権限を有している。

  • 　個人番号関係事務実施者又は個人番号利用事務実施者に対し、特定個人情報の取扱いに関し、必要な指導及び助言をすることができる（番号法第33条）。
  • 　特定個人情報の取扱いに関して法令違反行為が行われた場合において、その適正な取扱いの確保のために必要があると認めるときには、当該違反行為をした者に対し、期限を定めて、当該違反行為の中止その他違反を是正するために必要な措置をとるべき旨を勧告することができる（同法第34条第１項）。
  • 　勧告を受けた者が正当な理由なく勧告に係る措置をとらなかったときには、その者に対し、期限を定めて、勧告に係る措置をとるべきことを命ずることができる（同条第２項）。
  • 　さらに、特定個人情報の取扱いに関して法令違反行為が行われた場合において、個人の重大な権利利益を害する事実があるため緊急に措置をとる必要があると認めるときは、当該違反行為をした者に対し、期限を定めて、当該違反行為の中止その他違反を是正するために必要な措置をとるべき旨を命ずることができる（同条第３項）。
  • 　特定個人情報を取り扱う者その他の関係者に対し、特定個人情報の取扱いに関し、必要な報告若しくは資料の提出を求めること又は立入検査を行うことができる（同法第35条）。
• 　罰則の強化

  個人情報保護法における個人情報取扱事業者に対する罰則の適用は、個人情報データベース等を不正な利益を図る目的で提供等した場合、委員会からの是正命令に違反した場合、虚偽報告を行った場合等に限られている。一方、番号法においては、類似の刑の上限が引き上げられているほか、正当な理由なく特定個人情報ファイルを提供したとき、不正な利益を図る目的で個人番号を提供、盗用したとき、人を欺く等して個人番号を取得したときの罰則を新設する等罰則が強化されている（番号法第48条から第55条の３まで）。

  なお、次表①から⑤までは、日本国外においてこれらの罪を犯した者にも適用される（同法第56条）。また、法人（法人でない団体で代表者又は管理人の定めのあるものを含む。以下この項目において同じ。）の代表者若しくは管理人又は法人若しくは人の代理人、使用人その他の従業者が、その法人又は人の業務に関して、次表①、②、④又は⑥から⑧までの違反行為をしたときは、その行為者を罰するほか、その法人又は人に対しても、罰金刑が科される（同法第57条第１項）。

  項番	行為	番号法	番号法	個人情報保護法の類似規定
  ①	個人番号関係事務又は個人番号利用事務に従事する者又は従事していた者が、正当な理由なく、特定個人情報ファイルを提供	行為者	４年以下の懲役若しくは200万円以下の罰金又は併科（第48条）	－
  ①	個人番号関係事務又は個人番号利用事務に従事する者又は従事していた者が、正当な理由なく、特定個人情報ファイルを提供	法人	１億円以下の罰金（第57条第１項第１号）	－
  ②	上記の者が、不正な利益を図る目的で、個人番号を提供又は盗用	行為者	３年以下の懲役若しくは150万円以下の罰金又は併科（第49条）	１年以下の懲役又は50万円以下の罰金（第179条）
  ②	上記の者が、不正な利益を図る目的で、個人番号を提供又は盗用	法人	１億円以下の罰金（第57条第１項第１号）	１億円以下の罰金（第184条第１項第１号）
  ③	情報提供ネットワークシステムの事務に従事する者又は従事していた者が、情報提供ネットワークシステムに関する秘密を漏えい又は盗用	行為者	同上（第50条）	－
  ④	人を欺き、人に暴行を加え、人を脅迫し、又は、財物の窃取、施設への侵入、不正アクセス等により個人番号を取得	行為者及び 法人	３年以下の懲役又は150万円以下の罰金（第51条、第57条第１項第２号）	－
  ⑤	国の機関の職員等が、職権を濫用して、専らその職務の用以外の用に供する目的で、特定個人情報が記録された文書等を収集	行為者	２年以下の懲役又は100万円以下の罰金（第52条）	－
  ⑥	委員会から命令を受けた者が、委員会の命令に違反	行為者	２年以下の懲役又は50万円以下の罰金（第53条）	１年以下の懲役又は100万円以下の罰金（第178条）
  ⑥	委員会から命令を受けた者が、委員会の命令に違反	法人	１億円以下の罰金（第57条第１項第１号）	１億円以下の罰金（第184条第１項第１号）
  ⑦	委員会に対する、虚偽の報告、虚偽の資料提出、検査拒否等	行為者及び 法人	１年以下の懲役又は50万円以下の罰金（第54条、第57条第１項第２号）	50万円以下の罰金（第182条、第184条第１項第２号）
  ⑧	偽りその他不正の手段により個人番号カードを取得	行為者及び 法人	６月以下の懲役又は50万円以下の罰金（第55条、第57条第１項第２号）	－

第３－５　特定個人情報保護のための主体的な取組について

事業者が特定個人情報の適正な取扱いを確保するためには、経営者自らが特定個人情報に対する保護措置の重要性について十分な認識を持って適切な経営管理を行うことが重要である。その上で、事業者は、番号法等関係法令並びに本ガイドライン及び個人情報保護法ガイドライン等に従い、特定個人情報の適正な取扱いを確保するための具体的な方策について検討し、実践するとともに、業務の実態、技術の進歩等を踏まえ、点検・見直しを継続的に行う体制を主体的に構築することが重要である。

なお、番号法第６条において、個人番号を利用する事業者は、基本理念にのっとり、国及び地方公共団体が個人番号の利用に関し実施する施策に協力するよう努めるものとするとされている。

第３－６　特定個人情報の漏えい等事案が発生した場合の対応

個人データの漏えい等事案が発生した場合、個人情報取扱事業者は個人情報保護法、「個人情報の保護に関する法律施行規則」（平成28年個人情報保護委員会規則第３号）及び個人情報保護法ガイドライン等に基づき報告等が求められているところであるが、特定個人情報の漏えい等事案が発生した場合、事業者には、番号法第29条の４、「行政手続における特定の個人を識別するための番号の利用等に関する法律第29条の４第１項及び第２項に基づく特定個人情報の漏えい等に関する報告等に関する規則」（平成27年特定個人情報保護委員会規則第５号）及び本ガイドライン「（別添２）特定個人情報の漏えい等に関する報告等（事業者編）」に基づき報告等が求められる。

第３－７　本ガイドラインの見直しについて

本ガイドラインについては、社会情勢の変化、国民の意識の変化、技術動向の変化等諸環境の変化を踏まえ、必要に応じ見直しを行うものとする。

第４　各論

第４－１　特定個人情報の利用制限

第４－１－⑴　個人番号の利用制限

• １個人番号の原則的な取扱い

  個人番号（注）は、番号法があらかじめ限定的に定めた事務の範囲の中から、具体的な利用目的を特定した上で、利用するのが原則である。

  事業者が個人番号を利用するのは、個人番号利用事務及び個人番号関係事務の二つの事務である。このうち、健康保険組合等以外の事業者が個人番号を利用するのは、個人番号関係事務として個人番号を利用する場合である。なお、行政機関等又は健康保険組合等から個人番号利用事務の委託を受けた場合には、個人番号利用事務として個人番号を利用することとなる。

  事業者は、個人情報保護法とは異なり、本人の同意があったとしても、例外として認められる場合を除き（２参照）、これらの事務以外で個人番号を利用してはならない。

  ＊　事業者は、社員の管理のために、個人番号を社員番号として利用してはならない。

  （注）「個人番号」には、個人番号に対応して、当該個人番号に代わって用いられる番号等も含まれる（番号法第２条第８項）。例えば、数字をアルファベットに読み替えるという法則に従って、個人番号をアルファベットに置き換えた場合であっても、当該アルファベットは「個人番号」に該当することとなる。また、個人番号の一部のみを用いたものや、不可逆に変換したものであっても、個人番号の唯一無二性や悉皆性等の特性を利用して個人の特定に用いている場合等は、個人番号に該当するものと判断されることがある。一方、事業者が、社員を管理するために付している社員番号等（当該社員の個人番号を一定の法則に従って変換したものではないもの）は、「個人番号」には該当しない。

  Ａ　個人番号を利用することができる事務の範囲

  ａ　個人番号利用事務（番号法第９条第１項から第３項）

  個人番号利用事務とは、主として、行政機関等が、社会保障、税、災害対策その他の行政分野に関する特定の事務において、保有している個人情報の検索、管理のために個人番号を利用することをいう。事業者においては、健康保険組合等の一部の事業者が法令に基づきこの事務を行う。

  なお、個人番号利用事務の委託を受けた事業者は、個人番号利用事務を行うことができる。この場合において、行政機関等から委託を受けたときは、委託に関する契約の内容に応じて、「特定個人情報の適正な取扱いに関するガイドライン （行政機関等編）」が適用されることとなる。

  ｂ　個人番号関係事務（番号法第９条第４項）

  およそ従業員等を有する全ての事業者が個人番号を取り扱うこととなるのが個人番号関係事務である。具体的には、事業者が、法令に基づき、従業員等の個人番号を給与所得の源泉徴収票、支払調書、健康保険・厚生年金保険被保険者資格取得届等の書類に記載して、行政機関等及び健康保険組合等に提出する事務である。行政機関等及び健康保険組合等の個人番号利用事務実施者は、このようにして提出された書類等に記載されている特定個人情報を利用して、社会保障、税、災害対策その他の行政分野に関する特定の事務を行うこととなる。

  なお、個人番号関係事務の委託を受けた事業者は、個人番号関係事務を行うことができる。

  ＊　事業者が、講師に対して講演料を支払った場合において、所得税法第225条第１項の規定に従って、講師の個人番号を報酬、料金、契約金及び賞金の支払調書に記載して、税務署長に提出することは個人番号関係事務に当たる。

  ＊　従業員等が、所得税法第194条第１項の規定に従って、扶養親族の個人番号を扶養控除等申告書に記載して、勤務先である事業者に提出することも個人番号関係事務に当たる。

  Ｂ　利用目的を超えた個人番号の利用禁止

  ａ　利用目的を超えた個人番号の利用禁止（番号法第30条第２項により読み替えて適用される個人情報保護法第18条第１項）

  個人情報取扱事業者は、個人番号の利用目的をできる限り特定しなければならない（個人情報保護法第17条第１項）が、その特定の程度としては、利用目的を単に抽象的、一般的に特定するのではなく、個人情報と同様に、本人が、自らの個人番号がどのような目的で利用されるのかを一般的かつ合理的に予想できる程度に具体的に特定することが望ましい。

  番号法は、個人情報保護法とは異なり、本人の同意があったとしても、利用目的を超えて特定個人情報を利用してはならないと定めている。

  したがって、個人番号についても利用目的（個人番号を利用できる事務の範囲で特定した利用目的）の範囲内でのみ利用することができる。利用目的を超えて個人番号を利用する必要が生じた場合には、当初の利用目的と関連性を有すると合理的に認められる範囲内で利用目的を変更して、本人への通知等を行うことにより、変更後の利用目的の範囲内で個人番号を利用することができる（個人情報保護法第17条第２項、第21条第３項）。

  （利用目的の範囲内として利用が認められる場合）

  ＊〈当年以後の源泉徴収票作成事務に用いる場合〉

  前年の給与所得の源泉徴収票作成事務のために提供を受けた個人番号については、同一の雇用契約に基づいて発生する当年以後の源泉徴収票作成事務のために利用することができると解される。

  ＊〈退職者について再雇用契約が締結された場合〉

  前の雇用契約を締結した際に給与所得の源泉徴収票作成事務のために提供を受けた個人番号については、後の雇用契約に基づく給与所得の源泉徴収票作成事務のために利用することができると解される。

  ＊〈講師との間で講演契約を再度締結した場合〉

  前の講演契約を締結した際に講演料の支払に伴う報酬、料金、契約金及び賞金の支払調書作成事務のために提供を受けた個人番号については、後の契約に基づく講演料の支払に伴う報酬、料金、契約金及び賞金の支払調書作成事務のために利用することができると解される。

  ＊〈不動産の賃貸借契約を追加して締結した場合〉

  前の賃貸借契約を締結した際に支払調書作成事務のために提供を受けた個人番号については、後の賃貸借契約に基づく賃料に関する支払調書作成事務のために利用することができると解される。

  （利用目的の変更が認められる場合）

  ＊　雇用契約に基づく給与所得の源泉徴収票作成事務のために提供を受けた個人番号を、雇用契約に基づく健康保険・厚生年金保険届出事務等に利用しようとする場合は、利用目的を変更して、本人への通知等を行うことにより、健康保険・厚生年金保険届出事務等に個人番号を利用することができる。

  事業者は、給与所得の源泉徴収票作成事務のほか健康保険・厚生年金保険届出事務等を行う場合、従業員等から個人番号の提供を受けるに当たって、これらの事務の全てを利用目的として特定して、本人への通知等を行うことにより、利用目的の変更をすることなく個人番号を利用することができる。なお、通知等の方法としては、従来から行っている個人情報の取得の際と同様に、社内LANにおける通知、利用目的を記載した書類の提示、就業規則への明記、自社のホームページ等への掲載等の方法が考えられる。

  ｂ　合併等の場合（番号法第30条第２項により読み替えて適用される個人情報保護法第18条第２項）

  個人情報取扱事業者は、合併等の理由で事業を承継することに伴って、他の個人情報取扱事業者から当該事業者の従業員等の特定個人情報を取得した場合には、承継前に特定されていた利用目的に従って特定個人情報を利用することができる。ただし、本人の同意があったとしても、承継前に特定されていた利用目的を超えて特定個人情報を利用してはならない。

  ＊　事業者甲が、事業者乙の事業を承継し、源泉徴収票作成事務のために乙が保有していた乙の従業員等の個人番号を承継した場合、当該従業員等の個人番号を当該従業員等に関する源泉徴収票作成事務の範囲で利用することができる。

• ２例外的な取扱いができる場合

  番号法では、次に掲げる場合に、例外的に利用目的を超えた個人番号の利用を認めている。

  • ａ　金融機関が激甚災害時等に金銭の支払を行う場合（番号法第９条第５項、第30条第２項により読み替えて適用される個人情報保護法第18条第３項第１号、番号法施行令（注）第10条、激甚災害が発生したとき等においてあらかじめ締結した契約に基づく金銭の支払を行うために必要な限度で行う個人番号の利用に関するデジタル庁令（平成27年内閣府令第74号））

    銀行等の預金取扱金融機関等が、「激甚災害に対処するための特別の財政援助等に関する法律」（昭和37年法律第150号）第２条第１項の激甚災害が発生したとき等に、支払調書の作成等の個人番号関係事務を処理する目的で保有している個人番号を顧客に対する金銭の支払を行うという目的のために、顧客の預金情報等の検索に利用することができる。

    （注）番号法施行令とは、「行政手続における特定の個人を識別するための番号の利用等に関する法律施行令」（平成26年政令第155号）をいう（以下同じ。）。

  • ｂ　人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意があり、又は本人の同意を得ることが困難である場合（番号法第30条第２項により読み替えて適用される個人情報保護法第18条第３項第２号）

    人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意があり、又は本人の同意を得ることが困難であるときは、支払調書の作成等の個人番号関係事務を処理する目的で保有している個人番号について、人の生命、身体又は財産を保護するために利用することができる。

第４－１－⑵　特定個人情報ファイルの作成の制限

●　特定個人情報ファイルの作成の制限（番号法第29条）

事業者が、特定個人情報ファイルを作成することができるのは、個人番号関係事務又は個人番号利用事務を処理するために必要な範囲に限られている。法令に基づき行う従業員等の源泉徴収票作成事務、健康保険・厚生年金保険被保険者資格取得届作成事務等に限って、特定個人情報ファイルを作成することができるものであり、これらの場合を除き特定個人情報ファイルを作成してはならない。

• ＊　事業者は、従業員等の個人番号を利用して営業成績等を管理する特定個人情報ファイルを作成してはならない。

• ＊　事業者から従業員等の源泉徴収票作成事務について委託を受けた税理士等の受託者についても、「個人番号関係事務実施者」に該当することから、個人番号関係事務を処理するために必要な範囲で特定個人情報ファイルを作成することができる。

第４－２　特定個人情報の安全管理措置等

第４－２－⑴　委託の取扱い

• １委託先の監督（番号法第11条、個人情報保護法第25条）

  Ａ　委託先における安全管理措置

  個人番号関係事務又は個人番号利用事務の全部又は一部の委託をする者（以下「委託者」という。）は、委託した個人番号関係事務又は個人番号利用事務で取り扱う特定個人情報の安全管理措置が適切に講じられるよう「委託を受けた者」に対する必要かつ適切な監督を行わなければならない。

  このため、委託者は、「委託を受けた者」において、番号法に基づき委託者自らが果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行わなければならない。

  なお、「委託を受けた者」を適切に監督するために必要な措置を講じず、又は、必要かつ十分な監督義務を果たすための具体的な対応をとらなかった結果、特定個人情報の漏えい等が発生した場合、番号法違反と判断される可能性がある。

  Ｂ　必要かつ適切な監督

  「必要かつ適切な監督」には、①委託先の適切な選定、②委託先に安全管理措置を遵守させるために必要な契約の締結、③委託先における特定個人情報の取扱状況の把握が含まれる。

  委託先の選定については、委託者は、委託先において、番号法に基づき委託者自らが果たすべき安全管理措置と同等の措置が講じられるか否かについて、あらかじめ確認しなければならない。具体的な確認事項としては、委託先の設備、技術水準、従業者（注）に対する監督・教育の状況、その他委託先の経営環境等が挙げられる。

  委託契約の締結については、契約内容として、秘密保持義務、事業所内からの特定個人情報の持ち出しの禁止、特定個人情報の目的外利用の禁止、再委託における条件、漏えい等事案が発生した場合の委託先の責任、委託契約終了後の特定個人情報の返却又は廃棄、従業者に対する監督・教育、契約内容の遵守状況について報告を求める規定等を盛り込まなければならない。また、これらの契約内容のほか、特定個人情報を取り扱う従業者の明確化、委託者が委託先に対して実地の調査を行うことができる規定等を盛り込むことが望ましい。

  委託先における特定個人情報の取扱状況の把握については、前記の契約に基づき報告を求めること等により、委託契約で盛り込んだ内容の実施の程度を把握した上で、委託の内容等の見直しを検討することを含め、適切に評価することが望ましい。

  （注）「従業者」とは、事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者をいう。具体的には、従業員のほか、取締役、監査役、理事、監事、派遣社員等を含む。

• ２再委託（番号法第10条、第11条）

  A　再委託の要件（第10条第１項）

  個人番号関係事務又は個人番号利用事務の全部又は一部の「委託を受けた者」は、委託者の許諾を得た場合に限り、再委託をすることができる。

  ＊　事業者甲が従業員等の源泉徴収票作成事務を事業者乙に委託している場合、乙は、委託者である甲の許諾を得た場合に限り、同事務を別の事業者丙に委託することができる。

  Ｂ　再委託の効果（第10条第２項）

  再委託を受けた者は、個人番号関係事務又は個人番号利用事務の全部又は一部の「委託を受けた者」とみなされ、再委託を受けた個人番号関係事務又は個人番号利用事務を行うことができるほか、最初の委託者の許諾を得た場合に限り、その事務を更に再委託することができる。

  • ＊　更に再委託をする場合も、その許諾を得る相手は、最初の委託者である。したがって、個人番号関係事務又は個人番号利用事務が甲→乙→丙→丁と順次委託される場合、丙は、最初の委託者である甲の許諾を得た場合に限り、別の事業者丁に再委託を行うことができる。更に再委託が繰り返される場合も同様である。なお、乙は丙を監督する義務があるため、乙・丙間の委託契約の内容に、丙が再委託する場合の取扱いを定め、再委託を行う場合の条件、再委託した場合の乙に対する通知義務等を盛り込むことが望ましい。
  • ＊　「委託を受けた者」が、番号法第10条の規定に違反して、最初の委託者の許諾を得ずに個人番号関係事務又は個人番号利用事務を再委託した場合、「委託を受けた者」は同法第19条（提供制限）にも違反することとなり、当該再委託を受けた者も同法第15条（提供の求めの制限）及び第20条（収集・保管制限）に違反すると判断される可能性があるため、留意する必要がある。

  Ｃ　再委託先の監督（第11条）

  １Ａにおける「委託を受けた者」とは、委託者が直接委託する事業者を指すが、甲→乙→丙→丁と順次委託される場合、乙に対する甲の監督義務の内容には、再委託の適否だけではなく、乙が丙、丁に対して必要かつ適切な監督を行っているかどうかを監督することも含まれる。したがって、甲は乙に対する監督義務だけではなく、再委託先である丙、丁に対しても間接的に監督義務を負うこととなる。

第４－２－⑵　安全管理措置

●　安全管理措置（番号法第12条、個人情報保護法第23条、第24条）

個人番号関係事務実施者又は個人番号利用事務実施者である事業者は、個人番号（生存する個人のものだけでなく死者のものも含む。）及び特定個人情報（以下「特定個人情報等」という。）の漏えい、滅失又は毀損の防止その他の特定個人情報等の管理のために、必要かつ適切な措置を講じなければならない。また、従業者（注）に特定個人情報等を取り扱わせるに当たっては、特定個人情報等の安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

（注）「従業者」とは、事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者をいう。具体的には、従業員のほか、取締役、監査役、理事、監事、派遣社員等を含む。

※　安全管理措置の具体的な内容については、「（別添１）特定個人情報に関する安全管理措置（事業者編）」を参照のこと。

第４－３　特定個人情報の提供制限等

第４－３－⑴　個人番号の提供の要求

• １提供の要求（番号法第14条第１項）

  事業者は、個人番号関係事務又は個人番号利用事務を行うため、本人又は他の個人番号関係事務実施者若しくは個人番号利用事務実施者から個人番号の提供を受ける必要がある。番号法第14条第１項は、個人番号関係事務実施者又は個人番号利用事務実施者（同法第９条第３項の規定により情報提供用個人識別符号を利用する者を除く。以下この項及び２において同じ。）が個人番号の提供を求めるための根拠となる規定である。

  個人番号関係事務実施者又は個人番号利用事務実施者は、本条により、個人番号関係事務又は個人番号利用事務を処理するために必要がある場合、本人又は他の個人番号関係事務実施者若しくは個人番号利用事務実施者に対し個人番号の提供を求めることとなる。

  Ａ　本人に対する個人番号の提供の要求

  事業者は、本条を根拠として、従業員等に対し、給与の源泉徴収事務、健康保険・厚生年金保険届出事務等に必要な個人番号の提供を、また、講演料、地代等に係る個人の支払先に対し、支払調書作成事務に必要な個人番号の提供をそれぞれ求めることとなる。

  Ｂ　他の個人番号関係事務実施者又は個人番号利用事務実施者に対する個人番号の提供の要求

  事業者は、本条を根拠として、従業員等に対し、給与の源泉徴収事務のため、当該従業員等の扶養親族の個人番号を記載した扶養控除等申告書の提出を求めることとなる。この場合、従業員等は扶養親族の個人番号を記載した扶養控除等申告書を提出する法令（所得税法（昭和40年法律第33号）第194条第１項）上の義務を負っていることから「個人番号関係事務実施者」として取り扱われる。

• ２提供を求める時期

  個人番号関係事務実施者又は個人番号利用事務実施者は、個人番号関係事務又は個人番号利用事務を処理するために必要があるときに個人番号の提供を求めることとなる。

  事業者が行う個人番号関係事務においては、個人番号関係事務が発生した時点で個人番号の提供を求めることが原則であるが、本人との法律関係等に基づき、個人番号関係事務の発生が予想される場合には、契約を締結した時点等の当該事務の発生が予想できた時点で個人番号の提供を求めることが可能であると解される。なお、契約内容等から個人番号関係事務が明らかに発生しないと認められる場合には、個人番号の提供を求めてはならない。

  • ＊　従業員等の給与の源泉徴収事務、健康保険・厚生年金保険届出事務等に伴う給与所得の源泉徴収票、健康保険・厚生年金保険被保険者資格取得届等の作成事務の場合は、雇用契約の締結時点で個人番号の提供を求めることも可能であると解される。
  • ＊　非上場会社の株主に対する配当金の支払に伴う支払調書の作成事務の場合は、所得税法第224条第１項及び同法施行令第336条第１項の規定により支払の確定の都度、個人番号の告知を求めることが原則であるが、当該株主が株主としての地位を得た時点で個人番号の提供を求めることも可能であると解される。
  • ＊　地代等の支払に伴う支払調書の作成事務の場合は、賃料の金額により契約の締結時点で支払調書の作成が不要であることが明らかである場合を除き、契約の締結時点で個人番号の提供を求めることが可能であると解される。

第４－３－⑵　個人番号の提供の求めの制限、特定個人情報の提供制限

• １提供の求めの制限（番号法第15条）

  何人も、番号法第19条各号のいずれかに該当し特定個人情報の提供を受けることができる場合を除き、他人（注）の個人番号の提供を求めてはならない。

  事業者が個人番号の提供を求めることとなるのは、従業員等に対し、社会保障、税、災害対策その他の行政分野に関する特定の事務のために個人番号の提供を求める場合等に限られる。

  • ＊　事業者は、給与の源泉徴収事務を処理する目的で、従業員等に対し、個人番号の提供を求めることとなる。一方、従業員等の営業成績等を管理する目的で、個人番号の提供を求めてはならない。

  （注）番号法第15条及び第20条において、他人とは「自己と同一の世帯に属する者以外の者」であり、子、配偶者等の自己と同一の世帯に属する者に対しては、同法第19条各号のいずれかに該当しなくても、個人番号の提供を求めることができる。

• ２特定個人情報の提供制限（番号法第19条）

  何人も、番号法で限定的に明記された場合を除き、特定個人情報を「提供」してはならない。

  事業者が特定個人情報を提供できるのは、社会保障、税、災害対策その他の行政分野に関する特定の事務のために従業員等の特定個人情報を行政機関等及び健康保険組合等に提供する場合等に限られる。

  Ａ　「提供」の意義について

  「提供」とは、法的な人格を超える特定個人情報の移動を意味するものであり、同一法人の内部等の法的な人格を超えない特定個人情報の移動は「提供」ではなく「利用」に当たり、利用制限（番号法第９条、第29条、第30条第２項）に従うこととなる。

  なお、個人情報保護法においては、特定の者との間で共同して利用される個人データが当該特定の者に提供される場合には、第三者提供に当たらないとしている（個人情報保護法第27条第５項第３号）が、番号法においては、個人情報保護法第27条第５項第３号の適用を除外している（番号法第30条第２項）ことから、この場合も通常の「提供」に当たり、提供制限（同法第14条から第16条まで、第19条、第20条、第30条第２項）に従うこととなる。

  • ＊　「提供」に当たらない場合

    事業者甲の中のＸ部からＹ部へ特定個人情報が移動する場合、Ｘ部、Ｙ部はそれぞれ甲の内部の部署であり、独立した法的人格を持たないから、「提供」には当たらない。例えば、営業部に所属する従業員等の個人番号が、営業部庶務課を通じ、給与所得の源泉徴収票を作成する目的で経理部に提出された場合には、「提供」には当たらず、法令で認められた「利用」となる。

  • ＊　「提供」に当たる場合

    事業者甲から事業者乙へ特定個人情報が移動する場合は「提供」に当たる。同じ系列の会社間等での特定個人情報の移動であっても、別の法人である以上、「提供」に当たり、提供制限に従うこととなるため留意が必要である。例えば、ある従業員等が甲から乙に出向又は転籍により異動し、乙が給与支払者（給与所得の源泉徴収票の提出義務者）になった場合には、甲・乙間で従業員等の個人番号を受け渡すことはできず、乙は改めて本人から個人番号の提供を受けなければならない。ただし、Bｄに該当する場合には、甲から乙に対し、個人番号を提供することが認められる。

  • ＊　同じ系列の会社間等で従業員等の個人情報を共有データベースで保管しているような場合、従業員等が現在就業している会社のファイルにのみその個人番号を登録し、他の会社が当該個人番号を参照できないようなシステムを採用していれば、共有データベースに個人番号を記録することが可能であると解される。
  • ＊　上記の事例において、従業員等の出向に伴い、本人の同意を得ることなく、共有データベース内で自動的にアクセス制限を解除する等して出向元の会社のファイルから出向先の会社のファイルに個人番号を移動させることは、提供制限に違反することになるので、留意する必要がある。

  Ｂ　特定個人情報を提供できる場合（番号法第19条第１号から第17号まで）

  特定個人情報を提供できる場合として、番号法第19条各号が定めているもののうち事業者が関わるものは、次のとおりである。

  • ａ　個人番号利用事務実施者からの提供（第１号）

    個人番号利用事務実施者（同法第９条第３項の規定により情報提供用個人識別符号を利用する者を除く。以下この号において同じ。）が、個人番号利用事務を処理するために、必要な限度で本人、代理人又は個人番号関係事務実施者に特定個人情報を提供する場合である。

    • ＊　市区町村長（個人番号利用事務実施者）は、住民税を徴収（個人番号利用事務）するために、事業者に対し、その従業員等の個人番号と共に特別徴収税額を通知することができる。
  • ｂ　個人番号関係事務実施者からの提供（第２号）

    個人番号関係事務実施者は、個人番号関係事務を処理するために、法令に基づき、行政機関等、健康保険組合等又はその他の者に特定個人情報を提供することとなる。

    • ＊　事業者（個人番号関係事務実施者）は、所得税法第226条第１項の規定に従って、給与所得の源泉徴収票の提出という個人番号関係事務を処理するために、従業員等の個人番号が記載された給与所得の源泉徴収票を作成し、税務署長に提出することとなる。
    • ＊　事業者の従業員等（個人番号関係事務実施者）は、所得税法第194条第１項の規定に従って、扶養控除等申告書の提出という個人番号関係事務を処理するために、事業者（個人番号関係事務実施者）に対し、その扶養親族の個人番号を記載した扶養控除等申告書を提出することとなる。
  • ｃ　本人又は代理人からの提供（第３号）　

    本人又はその代理人は、個人番号関係事務実施者又は個人番号利用事務実施者に対し、本人の個人番号を含む特定個人情報を提供することとなる。

    ＊　本人は、給与の源泉徴収事務、健康保険・厚生年金保険届出事務等のために、個人番号関係事務実施者である事業者に対し、自己（又はその扶養親族）の個人番号を書類に記載して提出することとなる。

  • ｄ　使用者等から他の使用者等に対する従業者等に関する特定個人情報の提供（第４号）

    従業者等（従業者、法人の業務を執行する役員又は国若しくは地方公共団体の公務員をいう。以下本号において同じ。）の出向・転籍・退職等があった場合において、当該従業者等の同意があるときは、出向・転籍・退職等前の使用者等（使用者、法人又は国若しくは地方公共団体をいう。以下本号において同じ。）から出向・転籍・再就職等先の使用者等に対して、その個人番号関係事務を処理するために必要な限度で、当該従業者等の個人番号を含む特定個人情報を提供することができる。

    本号に基づく特定個人情報の提供は、従業者等の出向・転籍・退職等があった場合に、当該従業者等の同意を得た上で、行われるものである。

    そのため、出向・転籍・退職等前の使用者等は、当該従業者等の出向・転籍・再就職等先の決定以後に、個人番号を含む特定個人情報の具体的な提供先を明らかにした上で、当該従業者等から同意を取得することが必要となる。

    なお、本号により特定個人情報の提供を受けた使用者等は、番号法第16条に基づく本人確認は不要である。

    • ＊ 本号に基づき提供が認められる特定個人情報の範囲は、社会保障、税分野に係る健康保険・厚生年金保険被保険者資格取得届、給与支払報告書や支払調書の提出など、出向・転籍・再就職等先の使用者等が「その個人番号関係事務を処理するために必要な限度」に限定される。

      例えば、従業者等の氏名、住所、生年月日等や前職の給与額等については、これらの社会保障、税分野に係る届出、提出等に必要な情報であることが想定されるため、本号に基づく提供が認められる。一方、個別の事案ごとに、具体的に判断されることになるが、前職の離職理由等の、当該届出、提出等に必要な情報であるとは想定されない情報については、本号に基づく提供は認められないと解される。

    • ＊ 「従業者等の同意を得」るとは、従業者等の承諾する旨の意思表示を使用者等が認識することをいい、特定個人情報の取扱状況に応じ、従業者等が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。

      具体的には、どのような特定個人情報が出向・転籍・再就職等先の使用者等に対して提供されることになるのか、従業者等が認識した上で、同意に係る判断を行うことができるよう、出向・転籍・退職等前の使用者等は留意する必要がある。

      従業者等からの同意の取得については、従業者等からの同意する旨の口頭による意思表示のほか、従業者等からの同意する旨の書面（電磁的記録を含む。）の受領、従業者等からの同意する旨のメールの受信、従業者等による同意する旨の確認欄へのチェック、従業者等による同意する旨のウェブ上のボタンのクリック、従業者等による同意する旨のタッチパネルへのタッチ、ボタン等による入力等によることが考えられる。

  • e　委託、合併に伴う提供（第６号）

    特定個人情報の取扱いの全部若しくは一部の委託又は合併その他の事由による事業の承継が行われたときは、特定個人情報を提供することが認められている。

    • ＊　事業者が、源泉徴収票作成事務を含む給与事務を子会社に委託する場合、その子会社に対し、従業員等の個人番号を含む給与情報を提供することができる。
    • ＊　甲社が乙社を吸収合併した場合、吸収される乙社は、その従業員等の個人番号を含む給与情報等を存続する甲社に提供することができる。
    • ＊　個人番号関係事務又は個人番号利用事務の委託を受けた者が、番号法第10条の規定に違反して、最初の委託者の許諾を得ずに当該個人番号関係事務又は個人番号利用事務を再委託した場合、当該再委託に伴う特定個人情報の提供は同法第19条第６号の提供に該当しないため、提供制限にも違反することとなる。
  • f　情報提供ネットワークシステムを通じた提供（第８号及び第９号、番号法施行令第20条）

    番号法別表第２に記載されている行政機関等及び健康保険組合等の間で、同表の事務に関し、情報提供ネットワークシステムを使用して特定個人情報の提供を行うものである。また、同法第９条第２項の規定に基づき条例で定める事務のうち同表の事務に準じて個人情報保護委員会規則（以下「委員会規則」という。）で定めるものを処理する地方公共団体の長その他の執行機関であって委員会規則で定めるものが、その事務の内容に応じて委員会規則で定める個人番号利用事務実施者に対し、情報提供ネットワークシステムを使用して特定個人情報の提供を行うものもある。したがって、健康保険組合等以外の事業者は、情報提供ネットワークシステムを使用することはない。

  • g　委員会からの提供の求め（第13号）

    委員会が、特定個人情報の取扱いに関し、番号法第35条第１項の規定により、特定個人情報の提出を求めた場合には、この求めに応じ、委員会に対し、特定個人情報を提供しなければならない。

  • h　各議院審査等その他公益上の必要があるときの提供（第15号、番号法施行令第25条、同施行令別表）

    ①各議院の審査、調査の手続、②訴訟手続その他の裁判所における手続、③裁判の執行、④刑事事件の捜査、⑤租税に関する法律の規定に基づく犯則事件の調査、⑥会計検査院の検査が行われるとき、⑦公益上の必要があるときには、特定個人情報を提供することができる。⑦の公益上の必要があるときは、番号法施行令第25条で定められており、「私的独占の禁止及び公正取引の確保に関する法律」（昭和22年法律第54号）の規定による犯則事件の調査（番号法施行令別表第２号）、「金融商品取引法」（昭和23年法律第25号）の規定による犯則事件の調査（同表第４号）、租税調査（同表第８号）、個人情報保護法の規定による報告徴収（同表第19号）、「犯罪による収益の移転防止に関する法律」（平成19年法律第22号）の規定による届出（同表第21号）等がある。

  • i　人の生命、身体又は財産の保護のための提供（第16号）

    人の生命、身体又は財産の保護のために必要がある場合において、本人の同意があり、又は本人の同意を得ることが困難であるときは、特定個人情報を提供することができる。

    ＊　客が小売店で個人番号カードを落としていった場合、その小売店は警察に遺失物として当該個人番号カードを届け出ることができる。

  Ｃ　個人情報保護法上の第三者提供との違い

  個人情報保護法は、個人情報取扱事業者に対し、個人データについて、本人の同意がある場合、法令の規定に基づく場合等には、第三者に提供することができることとしている。

  番号法においては、全ての事業者を対象に、同法第19条で特定個人情報を提供できる場合を限定的に定めており、特定個人情報の提供については、個人情報保護法第27条は適用されない。

  特定個人情報の提供を求められた場合には、その提供を求める根拠が、番号法第19条各号に該当するものかどうかをよく確認し、同条各号に該当しない場合には、特定個人情報を提供してはならない。

  　

  ＊　個人情報保護法第33条に基づく開示の請求、同法第34条に基づく訂正等の請求又は同法第35条に基づく利用停止等の請求において、本人から個人番号を付して請求が行われた場合や本人に対しその個人番号又は特定個人情報を提供する場合は、番号法第19条各号に定めはないものの、法の解釈上当然に特定個人情報の提供が認められるべき場合であり、特定個人情報を提供することができる。

  第４－３－⑶　収集・保管制限

  要点

  ○　番号法第19条各号のいずれかに該当する場合を除き、特定個人情報を収集又は保管してはならない。

  （関係条文）

  • 番号法　第20条
  • 個人情報保護法　第22条

  ●収集・保管の制限（番号法第20条）

  何人も、番号法第19条各号のいずれかに該当する場合を除き、他人（注）の個人番号を含む特定個人情報を収集又は保管してはならない。

  • （注）番号法第15条及び第20条において、他人とは「自己と同一の世帯に属する者以外の者」であり、子、配偶者等の自己と同一の世帯に属する者の特定個人情報は、同法第19条各号のいずれかに該当しなくても、収集又は保管することができる。

  Ａ　収集制限

  「収集」とは、集める意思を持って自己の占有に置くことを意味し、例えば、人から個人番号を記載したメモを受け取ること、人から聞き取った個人番号をメモすること等、直接取得する場合のほか、電子計算機等を操作して個人番号を画面上に表示させ、その個人番号を書き取ること、プリントアウトすること等を含む。一方、特定個人情報の提示を受けただけでは、「収集」に当たらない。

  • ＊　事業者の給与事務担当者として個人番号関係事務に従事する者が、その個人番号関係事務以外の目的で他の従業員等の特定個人情報をノートに書き写してはならない。
  • ＊　事業者の中で、単に個人番号が記載された書類等を受け取り、支払調書作成事務に従事する者に受け渡す立場の者は、独自に個人番号を保管する必要がないため、個人番号の確認等の必要な事務を行った後はできるだけ速やかにその書類を受け渡すこととし、自分の手元に個人番号を残してはならない。

    例えば、事業者が講師に対して講演料を支払う場合において、講師から個人番号が記載された書類等を受け取る担当者と支払調書作成事務を行う担当者が異なるときは、書類等を受け取る担当者は、支払調書作成事務を行う担当者にできるだけ速やかにその書類を受け渡すこととし、自分の手元に個人番号を残してはならない。

    なお、個人番号が記載された書類等を受け取る担当者も、個人番号関係事務に従事する事業者の一部として当該事務に従事するのであるから、当該個人番号により特定される本人から当該書類等を受け取る際に、当該書類等の不備がないかどうか個人番号を含めて確認することができる。

  • ＊　番号法第10条において、最初の委託者の許諾を得ずに個人番号関係事務又は個人番号利用事務の再委託を行うことは認められない点が明示されており、当該再委託に伴う特定個人情報の提供は、同法第19条各号のいずれにも該当しない。

    このため、最初の委託者の許諾を得ていることを確認せずに個人番号関係事務又は個人番号利用事務の再委託を受け、結果として、最初の委託者の許諾を得ていない再委託に伴って特定個人情報を収集した場合、番号法違反と判断される可能性がある。

    ただし、例えば、個人番号を取り扱う委託業務であることが委託契約書等において明らかでないなど、当該再委託が「個人番号関係事務又は個人番号利用事務の再委託」に該当することを、当該再委託を受ける者が認識できない状況で再委託が行われていた場合は、一般に、特定個人情報を収集したとは解されない。

  Ｂ　保管制限と廃棄

  個人番号は、番号法で限定的に明記された事務を処理するために収集又は保管されるものであるから、それらの事務を行う必要がある場合に限り特定個人情報を保管し続けることができる。また、個人番号が記載された書類等については、所管法令によって一定期間保存が義務付けられているものがあるが、これらの書類等に記載された個人番号については、その期間保管することとなる。

  一方、それらの事務を処理する必要がなくなった場合で、所管法令において定められている保存期間を経過した場合には、個人番号をできるだけ速やかに廃棄又は削除しなければならない。なお、その個人番号部分を復元できない程度にマスキング又は削除した上で保管を継続することは可能であるが、それが個人データに該当する場合において、利用する必要がなくなったときは、その個人データを遅滞なく消去するよう努めなければならない（個人情報保護法第22条）。

  • ＊　事業者は、給与の源泉徴収事務を処理する目的で、従業員等の個人番号を保管することができる。一方、従業員等の営業成績等を管理する目的で、従業員等の個人番号を保管することはできない。

  • ＊　雇用契約等の継続的な契約関係にある場合には、従業員等から提供を受けた個人番号を給与の源泉徴収事務、健康保険・厚生年金保険届出事務等のために翌年度以降も継続的に利用する必要が認められることから、特定個人情報を継続的に保管できると解される。なお、従業員等が休職している場合には、復職が未定であっても雇用契約が継続していることから、特定個人情報を継続的に保管できると解される。

    土地の賃貸借契約等の継続的な契約関係にある場合も同様に、支払調書の作成事務のために継続的に個人番号を利用する必要が認められることから、特定個人情報を継続的に保管できると解される。

  • ＊　扶養控除等申告書は、所得税法施行規則第76条の３により、当該申告書の提出期限（毎年最初に給与等の支払を受ける日の前日まで）の属する年の翌年１月10日の翌日から７年を経過する日まで保存することとなっていることから、当該期間を経過した場合には、当該申告書に記載された個人番号を保管しておく必要はなく、原則として、個人番号が記載された扶養控除等申告書をできるだけ速やかに廃棄しなければならない。

    そのため、個人番号が記載された扶養控除等申告書等の書類については、保存期間経過後における廃棄を前提とした保管体制をとることが望ましい。

  • ＊　給与所得の源泉徴収票、支払調書等の作成事務のために提供を受けた特定個人情報を電磁的記録として保存している場合においても、その事務に用いる必要がなく、所管法令で定められている保存期間を経過した場合には、原則として、個人番号をできるだけ速やかに廃棄又は削除しなければならない。

    そのため、特定個人情報を保存するシステムにおいては、保存期間経過後における廃棄又は削除を前提としたシステムを構築することが望ましい。

  ※　廃棄方法等の具体的な内容については、「（別添１）特定個人情報に関する安全管理措置（事業者編）」を参照のこと。

  第４－３－⑷　本人確認

  ●本人確認（番号法第16条）

  本人確認については、番号法、番号法施行令、番号法施行規則（注）及び個人番号利用事務実施者（番号法第９条第３項の規定により情報提供用個人識別符号を利用する者を除く。）が認める方法に従うこととなるため、適切に対応する必要がある。

  （注）番号法施行規則とは、「行政手続における特定の個人を識別するための番号の利用等に関する法律施行規則」（平成26年内閣府・総務省令第３号）をいう（以下同じ。）。

  〈参考１：本人確認の概要〉

  番号法、番号法施行令及び番号法施行規則における本人確認の概要は、次のとおりである。この項目において、「法」は番号法、「令」は番号法施行令、「規」は番号法施行規則をいう（番号法施行規則第１条第１項第１号の場合は、「規１①一」と表記する。）。

  ①　本人から個人番号の提供を受ける場合

  • ⅰ　個人番号カードの提示を受ける場合

    「個人番号カード」（法16）

  • ⅱ　ⅰ以外の場合
  • （ⅰ）書類の提示を受ける場合等
    • 　「番号確認書類」
      （令12①一）
      └　住民票の
      写し等
      └　困難な場合
      　（規２①）
      
    • 　＋「本人の身元確認書類」
      （令12①二）
      └　運転免許証等（規１）
      ├─　困難な場合（規２③）
      │　　└ 　財務大臣等の特則（規２④）
      ├　電話による場合（規２⑤）
      └　特定の個人と同一の者であることが明らかな場合
      　（規２⑥）
  • （ⅱ）電子情報処理組織を使用して個人番号の提供を受ける場合

    個人番号カードのICチップの読み取り、電子署名等の送信、個人番号利用事務実施者による地方公共団体情報システム機構への確認等（規３）

  ②　本人の代理人から個人番号の提供を受ける場合

  • ⅰ　書類の提示を受ける場合等
    • 「代理権確認書類」
      （令12②一）
      └　戸籍謄本、
      委任状等
      （規６①一、二）
      ├　困難な場合
      │（規６①三）
      ├　代理人が法人の
      │　場合（規６②）
      │
      └　電話による場合
      　（規９③）
      
    • ＋「代理人の身元確認書類」
      （令12②二）
      └　個人番号カード、
      運転免許証等
      （規７①）
      ├　代理人が法人の場合
      │（規７②）
      ├　困難な場合
      │（規９①）
      │　　└財務大臣等の特則
      │　　（規９②）
      ├　電話による場合
      │（規９③）
      └　 特定の個人と同一の者であること
      　　が明らかな場合（規９④）
    • ＋「本人の番号確認書類」
      （令12②三）
      └　本人に係る
      個人番号カード等
      （規８）
      └　困難な場合
      　（規９⑤）
      

• ⅱ　電子情報処理組織を使用して個人番号の提供を受ける場合

  代理権証明情報及び代理人の電子署名等の送信、個人番号利用事務実施者による地方公共団体情報システム機構への確認等（規10）

※　書面の送付により個人番号の提供を受ける場合は、上記で提示を受けることとされている書類又はその写しの提出を受けなければならない（規11）。

〈参考２：通知カードの廃止に係る経過措置〉

「情報通信技術の活用による行政手続等に係る関係者の利便性の向上並びに行政運営の簡素化及び効率化を図るための行政手続等における情報通信の技術の利用に関する法律等の一部を改正する法律」（令和元年法律第16号。以下「デジタル手続法」という。）の一部施行により、これまで番号確認書類として利用可能であった通知カード（デジタル手続法第４条の規定による改正前の番号法第７条第１項に規定する通知カードをいう。）は廃止された。

ただし、経過措置が設けられており、個人番号関係事務実施者又は個人番号利用事務実施者が、通知カードの交付を受けている者から個人番号の提供を受けるときは、通知カードの廃止日（令和２年５月25日）以後、当該通知カードに係る記載事項に変更がない場合に限り、従来と同様に、次に掲げる方法により、通知カードを本人確認に利用することができる。なお、当該廃止日前に当該通知カードに係る記載事項に変更があった場合に、市町村長（特別区の区長を含む。）から記載事項の変更の措置を受けていなければ、当該経過措置は適用されない。

①　本人から個人番号の提供を受ける場合

「通知カード」＋「本人の身元確認書類」

（旧法（注１）16）（旧規（注２）１①）
├　運転免許証等（旧規１①一、二）
│　└ 　困難な場合（旧規１①三）
│　　　　└　財務大臣等の特則（旧規１③一から四まで）
│　　　　　　└ 困難な場合（旧規１③五）
└　特定の個人と同一の者であることが明らかな場合（旧規３⑥）

②　本人の代理人から個人番号の提供を受ける場合

• 「代理権確認書類」
  （旧令（注３）12②一）
  └　戸籍謄本、
  委任状等
  （旧規６①一、二）
  ├　困難な場合
  │ （旧規６①三）
  ├　代理人が法人の
  │　場合（旧規６②）
  │
  │
  └　電話による場合
  （旧規９③）
  
• ＋「代理人の身元確認書類」
  （旧令12②二）
  └　個人番号カード、
  運転免許証等
  （旧規７①）
  ├　代理人が法人の場合
  │（旧規７②）
  ├　困難な場合
  │（旧規９①）
  │　└　財務大臣等の特則
  │　　（旧規９②）
  ├　電話による場合
  │（旧規９③）
  └ 　特定の個人と同一の者であることが
  　明らかな場合（旧規９④）
  
• ＋「本人の番号確認書類」
  （旧令12②三）
  └　本人に係る
  通知カード
  （旧規８）
  

※　書面の送付により個人番号の提供を受ける場合は、上記で提示を受けることとされている書類又はその写しの提出を受けなければならない（旧規11）。

• （注１）「デジタル手続法」第４条の規定による改正前の番号法をいう。
• （注２）「行政手続における特定の個人を識別するための番号の利用等に関する法律施行規則の一部を改正する命令」（令和２年内閣府・総務省令第６号）による改正前の番号法施行規則をいう。
• （注３）「行政手続における特定の個人を識別するための番号の利用等に関する法律施行令の一部を改正する政令」（令和２年政令第164号）による改正前の番号法施行令をいう。

第４－４　第三者提供の停止に関する取扱い

●第三者提供の停止（番号法第30条第２項により読み替えて適用される個人情報保護法第35条第３項及び第４項）

特定個人情報を提供することができるのは、番号法第19条各号に当てはまる場合に限定されており、それ以外の場合で特定個人情報を提供してはならない。本人は、個人情報取扱事業者に対し、保有個人データである特定個人情報が同条各号に違反して違法に第三者に提供されているときは、当該特定個人情報の第三者への提供の停止を請求することができる。個人情報取扱事業者は、当該請求を受けた場合であって、当該請求に理由があることが判明したときには、遅滞なく、当該特定個人情報の第三者への提供を停止しなければならない。

ただし、第三者への提供を停止することが困難であり、本人の権利利益を保護するために代わりの措置をとるときは、第三者への提供を停止しないことが認められており、この点は従来の個人情報保護法の取扱いと同様である。

※ なお、個人情報保護法第58条により適用されない者はこの限りではない。

第４－５　特定個人情報保護評価

●特定個人情報保護評価（番号法第27条、第28条）

特定個人情報保護評価とは、情報提供ネットワークシステムを使用して情報連携を行う事業者が、特定個人情報の漏えいその他の事態を発生させるリスクを分析し、そのようなリスクを軽減するための適切な措置を講ずることを宣言するものである。

行政機関等以外の者で、情報提供ネットワークシステムを使用して情報連携を行う事業者としては、健康保険組合等が挙げられる。

特定個人情報保護評価の実施が義務付けられていない事業者が、任意に特定個人情報保護評価の手法を活用することは、特定個人情報の保護の観点から有益である。

※　特定個人情報保護評価の詳細については、「特定個人情報保護評価に関する規則」（平成26年特定個人情報保護委員会規則第１号）及び「特定個人情報保護評価指針」（平成26年特定個人情報保護委員会告示第４号）を参照のこと。

第４－６　個人情報保護法の主な規定

個人情報取扱事業者（同法第58条第２項の規定により同法第16条第２項に規定する個人情報取扱事業者とみなされる同法第58条第２項各号に掲げる者を含む。）は、特定個人情報の適正な取扱いについて、次のとおり個人情報保護法の適用を受けるので留意する必要がある（番号法第30条第２項により個人情報保護法第18条第３項第３号から第６号まで、第20条第２項及び第27条から第30条までの規定は適用除外）。

なお、個人情報保護法第58条で適用が除外されている規定はこの限りではない。

Ａ　利用目的の特定（個人情報保護法第17条）

ａ　利用目的の特定（第１項）

個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用目的をできる限り特定しなければならない。

ｂ　利用目的の変更（第２項）

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。

Ｂ　利用目的の通知等（個人情報保護法第21条）

ａ　利用目的の通知等（第１項）

個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

ｂ　利用目的の明示（第２項）

個人情報取扱事業者は、ａの規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下ｂにおいて同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

ｃ　変更された利用目的の通知等（第３項）

個人情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。

ｄ　適用除外（第４項）

ａからｃまでの規定は、ⅰ本人等の権利利益を害するおそれがある場合、ⅱ当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合、ⅲ国の行政機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、当該事務の遂行に支障を及ぼすおそれがあるとき、ⅳ取得の状況からみて利用目的が明らかであると認められる場合には、適用しない。

Ｃ　不適正な利用の禁止（個人情報保護法第19条）

個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない 。

Ｄ　データ内容の正確性の確保等（個人情報保護法第22条）

個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。

Ｅ　適正取得（個人情報保護法第20条第１項）

個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。

Ｆ　漏えい等の報告等（個人情報保護法第26条）

ａ　委員会への報告（第１項）

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護法施行規則第７条で定めるものが生じたときは、個人情報保護法施行規則第８条で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護法施行規則第９条で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。

ｂ　本人への通知（第２項）

ａに規定する場合には、個人情報取扱事業者（同項ただし書の規定による通知をした者を除く。）は、本人に対し、個人情報保護法施行規則第10条で定めるところにより、当該事態が生じた旨を通知しなければならない。 ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

Ｇ　保有個人データに関する事項の公表等（個人情報保護法第32条、個人情報保護法施行令第10条）

ａ　保有個人データに関する事項の公表（第１項）

個人情報取扱事業者は、保有個人データに関し、ⅰ当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名、ⅱ全ての保有個人データの利用目的（Ｂｄⅰからⅲまでに該当する場合を除く。）、ⅲ利用目的の通知、開示、訂正等、利用停止等による請求に応じる手続等、ⅳⅰからⅲまでに掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として個人情報保護法施行令第10条で定めるものについて、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。

ｂ　利用目的の通知の求め（第２項）

個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、ⅰａの規定により当該本人が識別される保有個人データの利用目的が明らかな場合、ⅱＢｄⅰからⅲまでに該当する場合のいずれかに該当する場合は、この限りでない。

ｃ　本人に対する通知（第３項）

個人情報取扱事業者は、ｂの規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

Ｈ　開示（個人情報保護法第33条）

ａ　開示の請求（第１項）

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの電磁的記録の提供による方法その他の個人情報保護法施行規則第30条で定める方法による開示を請求することができる。

ｂ　開示（第２項）

個人情報取扱事業者は、ａの規定による請求を受けたときは、本人に対し、ａの規定により当該本人が請求した方法（当該方法による開示に多額の費用を要する場合その他の当該方法による開示が困難である場合にあっては、書面の交付による方法）により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより、ⅰ本人等の権利利益を害するおそれがある場合、ⅱ当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合、ⅲ他の法令に違反することとなる場合のいずれかに該当する場合は、その全部又は一部を開示しないことができる。

ｃ　本人に対する通知（第３項）

個人情報取扱事業者は、ａの規定による請求に係る保有個人データの全部若しくは一部について開示しない旨の決定をしたとき、又は当該保有個人データが存在しないとき又はａの規定により本人が請求した方法による開示が困難であるときは、本人に対し、遅滞なく、その旨を通知しなければならない。

ｄ　他の法令による開示（第４項）

他の法令の規定により、本人に対しｂの本文に規定する方法に相当する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている場合には、当該全部又は一部の保有個人データについては、ａ及びｂの規定は、適用しない。

Ｉ　訂正等（個人情報保護法第34条）

ａ　訂正等の請求（第１項）

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの内容が事実でないときは、当該保有個人データの内容の訂正、追加又は削除（以下Ｉにおいて「訂正等」という。）を請求することができる。

ｂ　訂正等（第２項）

個人情報取扱事業者は、ａの規定による請求を受けた場合には、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。

ｃ　本人に対する通知（第３項）

個人情報取扱事業者は、ａの規定による請求に係る保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を通知しなければならない。

Ｊ　利用停止等（個人情報保護法第35条）

ａ　利用停止等の請求（第１項）

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第４－１－⑴１Ｂ（利用目的を超えた個人番号の利用禁止）の規定に違反して取り扱われているとき若しくはＣ又はＥの規定に違反して取得されたものであるときは、当該保有個人データの利用の停止又は消去（以下Ｊにおいて「利用停止等」という。）を請求することができる。

ｂ　利用停止等（第２項）

個人情報取扱事業者は、ａの規定による請求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

ｃ　利用停止等又は第三者への提供の停止の請求（第５項）

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データを当該個人情報取扱事業者が利用する必要がなくなった場合、Ｆに規定する事態が生じた場合その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合には、当該保有個人データの利用停止等又は第三者への提供の停止を請求することができる。

ｄ　利用停止等又は第三者への提供の停止（第６項）

個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行わなければならない。ただし、当該保有個人データの利用停止等又は第三者への提供の停止に多額の費用を要する場合その他の利用停止等又は第三者への提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

ｅ　本人に対する通知（第７項）

個人情報取扱事業者は、ａ若しくはｃの規定による請求に係る保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は第４－４（第三者提供の停止に関する取扱い）若しくはｃの規定による請求に係る保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

Ｋ　理由の説明（個人情報保護法第36条）

個人情報取扱事業者は、Ｇｃ、Ｈｃ、Ｉｃ又はＪｅの規定により、本人から求められ、又は請求された措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、その理由を説明するよう努めなければならない。

Ｌ　開示等の請求等に応じる手続（個人情報保護法第37条、個人情報保護法施行令第12条、第13条）

ａ　開示等の請求の受付方法（第１項）

個人情報取扱事業者は、Ｇｂの規定による求め又はＨａ、Ｉａ若しくはＪａ、第４－４（第三者提供の停止に関する取扱い）若しくはＪｃの規定による請求（以下Ｌにおいて「開示等の請求等」という。）に関し、個人情報保護法施行令第12条で定めるところにより、その求め又は請求を受け付ける方法を定めることができる。この場合において、本人は、当該方法に従って、開示等の請求等を行わなければならない。

ｂ　特定するに足りる事項の提示（第２項）

個人情報取扱事業者は、本人に対し、開示等の請求等に関し、その対象となる保有個人データを特定するに足りる事項の提示を求めることができる。この場合において、個人情報取扱事業者は、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。

ｃ　代理人（第３項）

開示等の請求等は、個人情報保護法施行令第13条で定めるところにより、代理人によってすることができる。

ｄ　本人に対する配慮（第４項）

個人情報取扱事業者は、ａからｃまでの規定に基づき開示等の請求等に応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。

Ｍ　手数料（個人情報保護法第38条）

ａ　手数料の徴収（第１項）

個人情報取扱事業者は、Ｇｂの規定による利用目的の通知を求められたとき、又はＨａの規定による開示の請求を受けたときは、当該措置の実施に関し、手数料を徴収することができる。

ｂ　手数料の額の定め（第２項）

個人情報取扱事業者は、ａの規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。

Ｎ　事前の請求（個人情報保護法第39条）

ａ　事前の請求（第１項）

本人は、Ｈａ、Ｉａ又はＪａ、第４－４（第三者提供の停止に関する取扱い）若しくはＪｃの規定による請求に係る訴えを提起しようとするときは、その訴えの被告となるべき者に対し、あらかじめ、当該請求を行い、かつ、その到達した日から２週間を経過した後でなければ、その訴えを提起することができない。ただし、当該訴えの被告となるべき者がその請求を拒んだときは、この限りでない。

ｂ　みなす規定（第２項）

ａの請求は、その請求が通常到達すべきであった時に、到達したものとみなす。

ｃ　仮処分命令の申立てについての準用（第３項）

ａ及びｂの規定は、Ｈａ、Ｉａ又はＪａ、第４－４（第三者提供の停止に関する取扱い）若しくはＪｃの規定による請求に係る仮処分命令の申立てについて準用する。

Ｏ　苦情の処理（個人情報保護法第40条）

ａ　苦情の処理（第１項）

個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。

ｂ　体制の整備（第２項）

個人情報取扱事業者は、ａの目的を達成するために必要な体制の整備に努めなければならない。

第４－７　個人番号利用事務実施者である健康保険組合等における措置等

個人番号利用事務実施者である健康保険組合等は、第４－１から６までに加えて、次に掲げる措置等について留意する必要がある。

１地方公共団体情報システム機構に対する機構保存本人確認情報についての提供の要求（番号法第14条第２項、番号法施行令第11条）

健康保険組合等の個人番号利用事務実施者（番号法第９条第３項の規定により情報提供用個人識別符号を利用する者を除く。以下本項において同じ。） のうち番号法施行令第11条で定める者（住民基本台帳法（昭和42年法律第81号）別表第１から別表第４までの上欄に掲げる者）は、個人番号利用事務の対象者の個人番号が判明していない場合等、個人番号利用事務を処理するために必要があるときは、地方公共団体情報システム機構に対し、個人番号等の機構保存本人確認情報の提供を求めることができる。

２情報提供ネットワークシステムによる特定個人情報の情報連携等

健康保険組合等は「情報提供ネットワークシステム」を通じて特定個人情報に関する情報連携を行うことができる（第４－３－⑵２Ｂf「情報提供ネットワークシステムを通じた提供」）。

Ａ　情報提供ネットワークシステムによる特定個人情報の情報連携

「情報提供ネットワークシステム」とは、番号法第19条第８号又は第９号の規定に基づき、行政機関等及び健康保険組合等の間で、特定個人情報について安全かつ効率的に情報連携を行うためのシステムである。このシステムを通じて特定個人情報に関する情報連携を行うことができる場合については、同法別表第２又は同法第９条第２項の規定に基づいて条例で定める事務のうち別表第２の事務に準ずるものとして委員会規則で定めるものに限定されている。

※　情報提供ネットワークシステムを通じて特定個人情報の提供を求める者を「情報照会者」（番号法第19条第８号）又は「条例事務関係情報照会者」（同法第19条第９号）といい、当該特定個人情報を保有し情報提供ネットワークシステムを通じて提供する者を「情報提供者」（同法第19条第８号）又は「条例事務関係情報提供者」（同法第19条第９号）という。また、番号法第19条第８号の規定に基づいて行う情報連携に関する事務を「情報提供等事務」といい、同法第19条第９号の規定に基づいて行う情報連携に関する事務を「条例事務関係情報提供等事務」という（同法第24条、第26条）。

ａ　情報提供ネットワークシステム（番号法第21条、第26条）

情報提供ネットワークシステムは、内閣総理大臣が、委員会と協議の上、設置し、管理するものであり、番号法第19条第８号又は第９号に基づいて、情報照会者又は条例事務関係情報照会者から特定個人情報の提供の求めがあった場合、内閣総理大臣は、情報提供ネットワークシステムを通じて、その旨を情報提供者又は条例事務関係情報提供者に通知しなければならない。

〈参考〉取得番号の取扱いに係る留意事項

情報連携に必要な情報提供用個人識別符号（番号法第９条第３項に規定する情報提供用個人識別符号をいう。）の取得に当たって用いられる符号である取得番号（同法第21条の２第２項に規定する取得番号をいう。）に関しては、同条第３項において、「情報照会者又は情報提供者は、情報提供用個人識別符号の取得に係る事務を行う目的の達成に必要な範囲を超えて、取得番号を保有してはならない」旨、及び同条第６項において、「取得番号の提供を受けた者は、その提供を受けた目的の達成に必要な範囲を超えて、当該取得番号を保有してはならない」旨、それぞれ規定されている。

したがって、情報連携を行う事業者である健康保険組合等及び取得番号の提供を受けた者は、情報提供用個人識別符号の取得後、当該情報提供用個人識別符号の取得に係る事務を処理する必要がなくなった場合には、取得番号を削除する必要がある。

ｂ　特定個人情報の提供（番号法第22条、第26条）

情報提供者又は条例事務関係情報提供者は、内閣総理大臣から通知を受けたときは、情報照会者又は条例事務関係情報照会者から求められている特定個人情報を提供しなければならない。

法令又は条例の規定により当該特定個人情報と同一の内容の書面の提出が義務付けられている場合、情報提供ネットワークシステムを通じて情報提供者又は条例事務関係情報提供者から特定個人情報が提供されたときには、その書面の提出があったものとみなされる。

＊　健康保険組合が被保険者の被扶養者の認定を行う場合には、被保険者は、事業主を通じて健康保険組合に対し、被扶養者に係る課税（非課税）証明書、年金額改定通知書等の写しを提出する必要がある（健康保険法施行規則第38条等）が、情報提供ネットワークシステムを通じて、被扶養者の年間収入額、年金受給額の提供が行われた場合には、被保険者は被扶養者に係るこれらの添付書類を提出する必要がなくなる。

Ｂ　情報提供等の記録（番号法第23条、第26条、番号法施行令第29条、第30条）

内閣総理大臣、情報照会者及び情報提供者又は条例事務関係情報照会者及び条例事務関係情報提供者は、番号法第19条第８号又は第９号の規定に基づく特定個人情報の提供の求め又は提供があった場合には、情報提供ネットワークシステムに接続されたその者の使用する電子計算機（内閣総理大臣においては情報提供ネットワークシステム）に、情報照会者及び情報提供者又は条例事務関係情報照会者及び条例事務関係情報提供者の名称、提供の求め及び提供の日時、特定個人情報の項目等を記録し、７年間保存しなければならない。

Ｃ　秘密の管理等（番号法第24条、第25条、第26条）

内閣総理大臣、情報照会者及び情報提供者又は条例事務関係情報照会者及び条例事務関係情報提供者は、情報提供等事務又は条例事務関係情報提供等事務に関する秘密について、その漏えいの防止その他の適切な管理のために、情報提供ネットワークシステム並びに情報照会者及び情報提供者又は条例事務関係情報照会者及び条例事務関係情報提供者が情報提供等事務又は条例事務関係情報提供等事務に使用する電子計算機の安全性及び信頼性を確保することその他の必要な措置を講じなければならない。

Ｄ　情報提供等の記録の取扱い（番号法第31条第３項）

情報提供等の記録については、番号法第31条第３項によって個人情報保護法が準用又は読み替えて準用されることから、次のとおり取り扱わなければならない。

この場合、情報提供等の記録については、情報提供ネットワークシステムと接続された中間サーバーにおいて保管、管理されていることから、中間サーバーにおける適正な取扱いが確保されなければならない。

ａ　利用目的を超えた利用の禁止（番号法第31条第３項により読み替えて準用される個人情報保護法第69条第１項）

利用目的を超えて情報提供等の記録を利用してはならない。

ｂ　利用目的の特定（番号法第31条第３項により準用される個人情報保護法第61条第１項及び第３項）

個人情報の保有に当たっては、法令の定める業務を遂行するため必要な場合に限り、かつ、その利用目的をできる限り特定しなければならないとされているが、情報提供等の記録の場合には、本人からの請求に応じること（法令上の義務）等が目的となる。

情報提供等の記録の利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。

ｃ　正確性の確保（番号法第31条第３項により準用される個人情報保護法第65条）

利用目的の達成に必要な範囲内で、情報提供等の記録が過去又は現在の事実と合致するよう努めなければならない。

ｄ　保有の制限（番号法第31条第３項により準用される個人情報保護法第61条第２項）

利用目的の達成に必要な範囲を超えて情報提供等の記録を保有してはならない。

ｅ　適正取得（番号法第31条第３項により準用される個人情報保護法第64条）

偽りその他不正の手段により情報提供等の記録を取得してはならない。

ｆ　安全確保の措置（番号法第31条第３項により準用される個人情報保護法第66条第１項（同条第２項（第１号及び第５号（同項第１号に係る部分に限る。）に係る部分に限る。）において準用する場合も含む。））

情報提供等の記録の漏えい、滅失又は毀損の防止等情報提供等の記録の適切な管理のために必要な措置を講じなければならない。この規定は、健康保険組合等から情報提供等の記録の取扱いについて、委託を受けた者が受託した業務を行う場合にも適用される。

ｇ　従業者の義務（番号法第31条第３項により準用される個人情報保護法第67条）

情報提供等の記録の取扱いに従事する健康保険組合等の従業者及び健康保険組合等から受託した業務に従事している者等は、業務に関して知り得た情報提供等の記録の内容をみだりに他人に知らせ、又は不当な目的に利用してはならない。

ｈ　開示

情報提供等の記録の開示については、個人情報保護法第76条から第84条まで、第86条、第87条、第89条第４項から第６項までが準用される。なお、次に掲げる事項については、番号法第31条第３項によって読み替えて準用されるため留意する必要がある。

①　第三者に対する意見書提出の機会の付与等（番号法第31条第３項により読み替えて準用される個人情報保護法第86条第１項、番号法第31条第３項により準用される個人情報保護法第86条第２項）

健康保険組合等は、情報提供等の記録の開示請求が行われた場合、その情報提供等の記録の中に国、独立行政法人等、地方公共団体、地方独立行政法人、開示請求者及び開示請求を受けた者以外の者（以下「第三者」という。）に関する情報が含まれている場合には、その「第三者」に対し意見書を提出する機会を与えることができる。また、一定の場合には意見書を提出する機会を与えなければならないが、健康保険組合等自身は、「第三者」に当たらない。

②　開示の手数料（番号法第31条第３項により読み替えて準用される個人情報保護法第89条第４項）

健康保険組合等は、開示の実施に関し、手数料を徴収することができる。

ⅰ　訂正等

情報提供等の記録の訂正等については、個人情報保護法第90条から第95条まで及び第97条が準用される。なお、次に掲げる事項については、番号法第31条第３項によって読み替えて準用されるため留意する必要がある。

①　情報提供等の記録の提供先への通知（番号法第31条第３項により読み替えて準用される個人情報保護法第97条）

情報提供等の記録の訂正等が行われた場合において、必要があると認めるときは、内閣総理大臣及び情報照会者若しくは情報提供者又は条例事務関係情報照会者若しくは条例事務関係情報提供者に対し、遅滞なく、その旨を書面により通知しなければならない。

ｊ　開示請求等をしようとする者に対する情報の提供等（番号法第31条第３項により準用される個人情報保護法第127条）

開示請求、訂正請求又は利用停止請求（以下「開示請求等」という。）をしようとする者がそれぞれ容易かつ的確に開示請求等をすることができるよう、情報提供等の記録の特定に資する情報の提供その他開示請求等をしようとする者の利便を考慮した適切な措置を講じなければならない。

（別添１）特定個人情報に関する安全管理措置

（事業者編）

【目次】

１　安全管理措置の検討手順

事業者は、特定個人情報等の取扱いを検討するに当たって、個人番号を取り扱う事務の範囲及び特定個人情報等の範囲を明確にした上で、事務取扱担当者を明確にしておく必要がある。

これらを踏まえ、特定個人情報等の適正な取扱いの確保について組織として取り組むために、基本方針を策定することが重要である。

また、取扱規程等を策定し、特定個人情報等を取り扱う体制の整備及び情報システムの改修等を行う必要がある。

事業者は、特定個人情報等の取扱いに関する安全管理措置について、次のような手順で検討を行う必要がある。

Ａ　個人番号を取り扱う事務の範囲の明確化

事業者は、個人番号関係事務又は個人番号利用事務の範囲を明確にしておかなければならない。→ガイドライン第４－１－⑴１Ａ参照

Ｂ　特定個人情報等の範囲の明確化

事業者は、Ａで明確化した事務において取り扱う特定個人情報等の範囲を明確にしておかなければならない（注）。

（注）特定個人情報等の範囲を明確にするとは、事務において使用される個人番号及び個人番号と関連付けて管理される個人情報（氏名、生年月日等）の範囲を明確にすることをいう。

Ｃ　事務取扱担当者の明確化

事業者は、Ａで明確化した事務に従事する事務取扱担当者を明確にしておかなければならない。

Ｄ　基本方針の策定

特定個人情報等の適正な取扱いの確保について組織として取り組むために、基本方針を策定することが重要である。→２Ａ参照

Ｅ　取扱規程等の策定

事業者は、Ａ～Ｃで明確化した事務における特定個人情報等の適正な取扱いを確保するために、取扱規程等を策定しなければならない。→２Ｂ参照

２　講ずべき安全管理措置の内容

本セクション２においては、特定個人情報等の保護のために必要な安全管理措置について本文で示し、その具体的な手法の例示及び中小規模事業者における対応方法を記述している。

それぞれの項目の位置付けを次に掲げる。安全管理措置の検討に当たっては、番号法及び個人情報保護法等関係法令並びに本ガイドライン及び個人情報保護法ガイドライン等を遵守しなければならない。

• 手法の例示：具体的な手法を例示したものである。本例示は、これに限定する趣旨で記載したものではなく、事業者の規模及び特定個人情報等を取り扱う事務の特性等により、適切な手法を採用することが重要である。
• 　中小規模事業者（注）における対応方法：中小規模事業者については、事務で取り扱う個人番号の数量が少なく、また、特定個人情報等を取り扱う従業者が限定的であること等から、特例的な対応方法を示すものである。

  なお、中小規模事業者が、手法の例示に記載した手法を採用することは、より望ましい対応である。

（注）「中小規模事業者」とは、事業者のうち従業員の数が100人以下の事業者をいう。ただし、次に掲げる事業者を除く。

• 個人番号利用事務実施者
• 委託に基づいて個人番号関係事務又は個人番号利用事務を業務として行う事業者
• 金融分野（個人情報保護委員会・金融庁作成の「金融分野における個人情報保護に関するガイドライン」第１条第１項に定義される金融分野）の事業者
• その事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数の合計が過去６月以内のいずれかの日において5,000を超える事業者

ここでいう「従業員」とは、「中小企業基本法」（昭和38年法律第154号）における従業員をいい、「労働基準法」（昭和22年法律第49号）第20条の適用を受ける労働者に相当する者をいう。ただし、同法第21条の規定により同法第20条の適用が除外されている者は除く。

Ａ　基本方針の策定

特定個人情報等の適正な取扱いの確保について組織として取り組むために、基本方針を策定することが重要である。

≪手法の例示≫

＊　基本方針に定める項目としては、次に掲げるものが挙げられる。

• 事業者の名称
• 関係法令・ガイドライン等の遵守
• 安全管理措置に関する事項
• 質問及び苦情処理の窓口　等

Ｂ　取扱規程等の策定

１Ａ～Ｃで明確化した事務において事務の流れを整理し、特定個人情報等の具体的な取扱いを定める取扱規程等を策定しなければならない。

≪手法の例示≫

＊　取扱規程等は、次に掲げる管理段階ごとに、取扱方法、責任者・事務取扱担当者及びその任務等について定めることが考えられる。具体的に定める事項については、Ｃ～Ｆに記述する安全管理措置を織り込むことが重要である。

• ①　取得段階
• ②　利用段階
• ③　保存段階
• ④　提供段階
• ⑤　削除・廃棄段階

＊　源泉徴収票等を作成する事務の場合、例えば、次のような事務フローに即して、手続を明確にしておくことが重要である。

• ①　従業員等から提出された書類等を取りまとめる方法
• ②　取りまとめた書類等の源泉徴収票等の作成部署への移動方法
• ③　情報システムへの個人番号を含むデータ入力方法
• ④　源泉徴収票等の作成方法
• ⑤　源泉徴収票等の行政機関等への提出方法
• ⑥　源泉徴収票等の控え、従業員等から提出された書類及び情報システムで取り扱うファイル等の保存方法
• ⑦　法定保存期間を経過した源泉徴収票等の控え等の廃棄・削除方法　等

【中小規模事業者における対応方法】

○　特定個人情報等の取扱い等を明確化する。

○　事務取扱担当者が変更となった場合、確実な引継ぎを行い、責任ある立場の者が確認する。

Ｃ　組織的安全管理措置

事業者は、特定個人情報等の適正な取扱いのために、次に掲げる組織的安全管理措置を講じなければならない。

ａ　組織体制の整備

安全管理措置を講ずるための組織体制を整備する。

≪手法の例示≫

＊　組織体制として整備する項目は、次に掲げるものが挙げられる。

• 事務における責任者の設置及び責任の明確化
• 事務取扱担当者の明確化及びその役割の明確化
• 事務取扱担当者が取り扱う特定個人情報等の範囲の明確化
• 事務取扱担当者が取扱規程等に違反している事実又は兆候を把握した場合の責任者への報告連絡体制
• 漏えい等事案の発生又は兆候を把握した場合の従業者から責任者等への報告連絡体制
• 特定個人情報等を複数の部署で取り扱う場合の各部署の任務分担及び責任の明確化

【中小規模事業者における対応方法】

○　事務取扱担当者が複数いる場合、責任者と事務取扱担当者を区分することが望ましい。

ｂ　取扱規程等に基づく運用

取扱規程等に基づく運用を行うとともに、その状況を確認するため、特定個人情報等の利用状況等を記録する。

≪手法の例示≫

＊　記録する項目としては、次に掲げるものが挙げられる。

• 特定個人情報ファイルの利用・出力状況の記録
• 書類・媒体等の持ち運びの記録 →「持ち運び」については、２Ｅｃ参照
• 特定個人情報ファイルの削除・廃棄記録
• 削除・廃棄を委託した場合、これを証明する記録等
• 特定個人情報ファイルを情報システムで取り扱う場合、事務取扱担当者の情報システムの利用状況（ログイン実績、アクセスログ等）の記録

【中小規模事業者における対応方法】

○　特定個人情報等の取扱状況の分かる記録を保存する。

ｃ　取扱状況を確認する手段の整備

特定個人情報ファイルの取扱状況を確認するための手段を整備する。

なお、取扱状況を確認するための記録等には、特定個人情報等は記載しない。

≪手法の例示≫

＊　取扱状況を確認するための記録等としては、次に掲げるものが挙げられる。

• 特定個人情報ファイルの種類、名称
• 責任者、取扱部署
• 利用目的
• 削除・廃棄状況
• アクセス権を有する者

【中小規模事業者における対応方法】

○　特定個人情報等の取扱状況の分かる記録を保存する。

ｄ　漏えい等事案に対応する体制の整備

漏えい等事案の発生又は兆候を把握した場合に、適切かつ迅速に対応するための体制を整備する。

漏えい等事案が発生した場合、二次被害の防止、類似事案の発生防止等の観点から、事案に応じて、事実関係及び再発防止策等を早急に公表することが重要である。（※）

（※）事業者において、漏えい等事案が発生した場合等の対応の詳細については、「（別添２）特定個人情報の漏えい等に関する報告等（事業者編）」を参照のこと。

≪手法の例示≫

＊　漏えい等事案の発生時に、次のような対応を行うことを念頭に、体制を整備することが考えられる。

• 事実関係の調査及び原因の究明
• 影響を受ける可能性のある本人への通知
• 委員会への報告
• 再発防止策の検討及び決定
• 事実関係及び再発防止策等の公表

【中小規模事業者における対応方法】

○　漏えい等事案の発生等に備え、従業者から責任ある立場の者に対する報告連絡体制等をあらかじめ確認しておく。

ｅ　取扱状況の把握及び安全管理措置の見直し

特定個人情報等の取扱状況を把握し、安全管理措置の評価、見直し及び改善に取り組む。

≪手法の例示≫

＊　特定個人情報等の取扱状況について、定期的に自ら行う点検又は他部署等による監査を実施することが考えられる。

＊　外部の主体による他の監査活動と合わせて、監査を実施することも考えられる。

【中小規模事業者における対応方法】

○　責任ある立場の者が、特定個人情報等の取扱状況について、定期的に点検を行う。

Ｄ　人的安全管理措置

事業者は、特定個人情報等の適正な取扱いのために、次に掲げる人的安全管理措置を講じなければならない。

ａ　事務取扱担当者の監督

事業者は、特定個人情報等が取扱規程等に基づき適正に取り扱われるよう、事務取扱担当者に対して必要かつ適切な監督を行う。

ｂ　事務取扱担当者の教育

事業者は、事務取扱担当者に、特定個人情報等の適正な取扱いを周知徹底するとともに適切な教育を行う。

≪手法の例示≫

＊　特定個人情報等の取扱いに関する留意事項等について、従業者に定期的な研修等を行うことが考えられる。

＊　特定個人情報等についての秘密保持に関する事項を就業規則等に盛り込むことが考えられる。

Ｅ　物理的安全管理措置

事業者は、特定個人情報等の適正な取扱いのために、次に掲げる物理的安全管理措置を講じなければならない。

ａ　特定個人情報等を取り扱う区域の管理

特定個人情報ファイルを取り扱う情報システム（サーバ等）を管理する区域（以下「管理区域」という。）を明確にし、物理的な安全管理措置を講ずる。

また、特定個人情報等を取り扱う事務を実施する区域（以下「取扱区域」という。）について、事務取扱担当者等以外の者が特定個人情報等を容易に閲覧等できないよう留意する必要がある。

≪手法の例示≫

＊　管理区域に関する物理的安全管理措置としては、入退室管理及び管理区域へ持ち込む機器等の制限等が考えられる。

＊　入退室管理方法としては、ＩＣカード、ナンバーキー等による入退室管理システムの設置等が考えられる。

＊　取扱区域に関しては、間仕切り等の設置、座席配置の工夫、のぞき込みを防止する措置等を講ずることが考えられる。

ｂ　機器及び電子媒体等の盗難等の防止

管理区域及び取扱区域における特定個人情報等を取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、物理的な安全管理措置を講ずる。

≪手法の例示≫

＊　特定個人情報等を取り扱う機器、電子媒体又は書類等を、施錠できるキャビネット・書庫等に保管することが考えられる。

＊　特定個人情報ファイルを取り扱う情報システムが機器のみで運用されている場合は、セキュリティワイヤー等により固定すること等が考えられる。

ｃ　電子媒体等の取扱いにおける漏えい等の防止

特定個人情報等が記録された電子媒体又は書類等を持ち運ぶ場合、容易に個人番号が判明しないよう、安全な方策を講ずる。

「持ち運ぶ」とは、特定個人情報等を管理区域又は取扱区域から外へ移動させること又は当該区域の外から当該区域へ移動させることをいい、事業所内での移動等であっても、特定個人情報等の紛失・盗難等に留意する必要がある。

≪手法の例示≫

＊　特定個人情報等が記録された電子媒体を安全に持ち運ぶ方法としては、持ち運ぶデータの暗号化、パスワードによる保護、施錠できる搬送容器の使用、追跡可能な移送手段の利用等が考えられる。ただし、行政機関等に法定調書等をデータで提出するに当たっては、行政機関等が指定する提出方法に従う。

＊　特定個人情報等が記載された書類等を安全に持ち運ぶ方法としては、封緘、目隠しシールの貼付、追跡可能な移送手段の利用等が考えられる。

【中小規模事業者における対応方法】

○　特定個人情報等が記録された電子媒体又は書類等を持ち運ぶ場合、パスワードの設定、封筒に封入し鞄に入れて搬送する等、紛失・盗難等を防ぐための安全な方策を講ずる。

ｄ　個人番号の削除、機器及び電子媒体等の廃棄

個人番号関係事務又は個人番号利用事務を行う必要がなくなった場合で、所管法令等において定められている保存期間等を経過した場合には、個人番号をできるだけ速やかに復元不可能な手段で削除又は廃棄する。

→ガイドライン第４－３－⑶Ｂ参照

個人番号若しくは特定個人情報ファイルを削除した場合、又は電子媒体等を廃棄した場合には、削除又は廃棄した記録を保存する。また、これらの作業を委託する場合には、委託先が確実に削除又は廃棄したことについて、証明書等により確認する。

≪手法の例示≫

＊　特定個人情報等が記載された書類等を廃棄する場合、焼却又は溶解、復元不可能な程度に細断可能なシュレッダーの利用、個人番号部分を復元不可能な程度にマスキングすること等の復元不可能な手段を採用することが考えられる。

＊　特定個人情報等が記録された機器及び電子媒体等を廃棄する場合、専用のデータ削除ソフトウェアの利用又は物理的な破壊等により、復元不可能な手段を採用することが考えられる。

＊　特定個人情報等を取り扱う情報システム又は機器等において、特定個人情報ファイル中の個人番号又は一部の特定個人情報等を削除する場合、容易に復元できない手段を採用することが考えられる。

＊　特定個人情報等を取り扱う情報システムにおいては、保存期間経過後における個人番号の削除を前提とした情報システムを構築することが考えられる。

＊　個人番号が記載された書類等については、保存期間経過後における廃棄を前提とした手続を定めることが考えられる。

【中小規模事業者における対応方法】

○　特定個人情報等を削除・廃棄したことを、責任ある立場の者が確認する。

Ｆ　技術的安全管理措置

事業者は、特定個人情報等の適正な取扱いのために、次に掲げる技術的安全管理措置を講じなければならない。

ａ　アクセス制御

情報システムを使用して個人番号関係事務又は個人番号利用事務を行う場合、事務取扱担当者及び当該事務で取り扱う特定個人情報ファイルの範囲を限定するために、適切なアクセス制御を行う。

≪手法の例示≫

＊　アクセス制御を行う方法としては、次に掲げるものが挙げられる。

• 特定個人情報ファイルを取り扱うことのできる情報システム端末等を限定する。
• 各情報システムにおいて、アクセスすることのできる特定個人情報ファイルを限定する。
• ユーザーＩＤに付与するアクセス権により、特定個人情報ファイルを取り扱う情報システムを使用できる者を事務取扱担当者に限定する。

【中小規模事業者における対応方法】

○　特定個人情報等を取り扱う機器を特定し、その機器を取り扱う事務取扱担当者を限定することが望ましい。

○　機器に標準装備されているユーザー制御機能（ユーザーアカウント制御）により、情報システムを取り扱う事務取扱担当者を限定することが望ましい。

ｂ　アクセス者の識別と認証

特定個人情報等を取り扱う情報システムは、事務取扱担当者が正当なアクセス権を有する者であることを、識別した結果に基づき認証する。

≪手法の例示≫

＊　事務取扱担当者の識別方法としては、ユーザーＩＤ、パスワード、磁気・ＩＣカード等が考えられる。

【中小規模事業者における対応方法】

○　特定個人情報等を取り扱う機器を特定し、その機器を取り扱う事務取扱担当者を限定することが望ましい。

○　機器に標準装備されているユーザー制御機能（ユーザーアカウント制御）により、情報システムを取り扱う事務取扱担当者を限定することが望ましい。

ｃ　外部からの不正アクセス等の防止

情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入し、適切に運用する。

≪手法の例示≫

＊　情報システムと外部ネットワークとの接続箇所に、ファイアウォール等を設置し、不正アクセスを遮断することが考えられる。

＊　情報システム及び機器にセキュリティ対策ソフトウェア等（ウイルス対策ソフトウェア等）を導入し、不正ソフトウェアの有無を確認することが考えられる。

＊　機器やソフトウェア等に標準装備されている自動更新機能等の活用により、ソフトウェア等を最新状態とすることが考えられる。

＊　ログ等の分析を定期的に行い、不正アクセス等を検知することが考えられる。

ｄ　漏えい等の防止

特定個人情報等をインターネット等により外部に送信する場合、通信経路における漏えい等を防止するための措置を講ずる。

≪手法の例示≫

＊　通信経路における漏えい等の防止策としては、通信経路の暗号化等が考えられる。

＊　情報システム内に保存されている特定個人情報等の漏えい等の防止策としては、データの暗号化又はパスワードによる保護等が考えられる。

Ｇ　外的環境の把握

事業者が、外国において特定個人情報等を取り扱う場合、当該外国の個人情報の保護に関する制度等を把握した上で、特定個人情報等の安全の管理のために必要かつ適切な措置を講じなければならない。

（別添２）特定個人情報の漏えい等に関する報告等
（事業者編）

【目次】

１特定個人情報の漏えい等の考え方

Ａ　「漏えい」の考え方

特定個人情報の「漏えい」とは、特定個人情報が外部に流出することをいう。

【特定個人情報の漏えいに該当する事例】

• ＊　特定個人情報が記載された書類を第三者に誤送付した場合
• ＊　特定個人情報を含むメールを第三者に誤送信した場合
• ＊　システムの設定ミス等によりインターネット上で特定個人情報の閲覧が可能な状態となっていた場合
• ＊　特定個人情報が記載又は記録された書類・媒体等が盗難された場合
• ＊　不正アクセス等により第三者に特定個人情報を含む情報が窃取された場合

なお、特定個人情報を第三者に閲覧されないうちに全てを回収した場合は、漏えいに該当しない。

Ｂ　「滅失」の考え方

特定個人情報の「滅失」とは、特定個人情報の内容が失われることをいう。

【特定個人情報の滅失に該当する事例】

• ＊　特定個人情報ファイルから出力された氏名等が記載された帳票等を誤って廃棄した場合（※１）
• ＊　特定個人情報が記載又は記録された書類・媒体等を社内で紛失した場合（※２）

なお、上記の場合であっても、その内容と同じデータが他に保管されている場合は、滅失に該当しない。また、個人番号利用事務等実施者が合理的な理由により特定個人情報を削除する場合は、滅失に該当しない。

• （※１）当該帳票等が適切に廃棄されていない場合には、特定個人情報の漏えいに該当する場合がある。
• （※２）社外に流出した場合には、特定個人情報の漏えいに該当する。

Ｃ　「毀損」の考え方

特定個人情報の「毀損」とは、特定個人情報の内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となることをいう。

【特定個人情報の毀損に該当する事例】

• ＊　特定個人情報の内容が改ざんされた場合
• ＊　暗号化処理された特定個人情報の復号キーを喪失したことにより復元できなくなった場合
• ＊　ランサムウェア等により特定個人情報が暗号化され、復元できなくなった場合（※）

なお、上記事例２つ目及び３つ目の場合であっても、その内容と同じデータが他に保管されている場合は毀損に該当しない。

（※）同時に特定個人情報が窃取された場合には、特定個人情報の漏えいにも該当する。

２　漏えい等事案が発覚した場合に講ずべき措置

特定個人情報を取り扱う事業者は、漏えい等又はそのおそれのある事案その他の番号法違反の事案又は番号法違反のおそれのある事案（以下「漏えい等事案」という。）が発覚した場合は、漏えい等事案の内容等に応じて、次のＡからＥに掲げる事項について必要な措置を講じなければならない。

Ａ　事業者内部における報告及び被害の拡大防止

責任ある立場の者に直ちに報告するとともに、漏えい等事案による被害が発覚時よりも拡大しないよう必要な措置を講ずる。

Ｂ　事実関係の調査及び原因の究明

漏えい等事案の事実関係の調査及び原因の究明に必要な措置を講ずる。

Ｃ　影響範囲の特定

上記Ｂで把握した事実関係による影響範囲の特定のために必要な措置を講ずる。

Ｄ　再発防止策の検討及び実施

上記Ｂの結果を踏まえ、漏えい等事案の再発防止策の検討及び実施に必要な措置を講ずる。

Ｅ　委員会への報告及び本人への通知

３（委員会への報告）、４（本人への通知）を参照のこと。なお、漏えい等事案の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、事実関係及び再発防止策等について、速やかに公表することが望ましい。

３委員会への報告（番号法第29条の４第１項関係）

Ａ　報告対象となる事態

番号法第29条の４（第１項）

個人番号利用事務等実施者は、特定個人情報ファイルに記録された特定個人情報の漏えい、滅失、毀損その他の特定個人情報の安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を委員会に報告しなければならない。ただし、当該個人番号利用事務等実施者が、他の個人番号利用事務等実施者から当該個人番号利用事務等の全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人番号利用事務等実施者に通知したときは、この限りでない。

規則第２条

番号法第29条の４第１項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。

• 次に掲げる特定個人情報（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下同じ。）の漏えい、滅失若しくは毀損（以下「漏えい等」という。）が発生し、又は発生したおそれがある事態
  • イ　情報提供ネットワークシステム及びこれに接続された電子計算機に記録された特定個人情報
  • ロ　個人番号利用事務実施者が個人番号利用事務を処理するために使用する情報システムにおいて管理される特定個人情報
  • ハ　行政機関、地方公共団体、独立行政法人等及び地方独立行政法人が個人番号関係事務を処理するために使用する情報システム並びに行政機関、地方公共団体、独立行政法人等及び地方独立行政法人から個人番号関係事務の全部又は一部の委託を受けた者が当該個人番号関係事務を処理するために使用する情報システムにおいて管理される特定個人情報
• 次に掲げる事態
  • イ　不正の目的をもって行われたおそれがある特定個人情報の漏えい等が発生し、又は発生したおそれがある事態
  • ロ　不正の目的をもって、特定個人情報が利用され、又は利用されたおそれがある事態
  • ハ　不正の目的をもって、特定個人情報が提供され、又は提供されたおそれがある事態
• 個人番号利用事務実施者又は個人番号関係事務実施者の保有する特定個人情報ファイルに記録された特定個人情報が電磁的方法により不特定多数の者に閲覧され、又は閲覧されるおそれがある事態
• 次に掲げる特定個人情報に係る本人の数が100人を超える事態
  • イ　漏えい等が発生し、又は発生したおそれがある特定個人情報
  • ロ　番号法第９条の規定に反して利用され、又は利用されたおそれがある個人番号を含む特定個人情報
  • ハ　番号法第19条の規定に反して提供され、又は提供されたおそれがある特定個人情報

個人番号利用事務等実施者は、次の⑴から⑷までに掲げる事態（以下「報告対象事態」という。）を知ったときは、委員会に報告しなければならない（※１）（※２）。

• 次に掲げる特定個人情報の漏えい、滅失若しくは毀損（以下「漏えい等」という。）が発生し、又は発生したおそれがある事態（規則第２条第１号関係）
  • イ　情報提供ネットワークシステム及びこれに接続された電子計算機に記録された特定個人情報
  • ロ　個人番号利用事務実施者が個人番号利用事務を処理するために使用する情報システムにおいて管理される特定個人情報
  • ハ　行政機関、地方公共団体、独立行政法人等及び地方独立行政法人が個人番号関係事務を処理するために使用する情報システム並びに行政機関、地方公共団体、独立行政法人等及び地方独立行政法人から個人番号関係事務の全部又は一部の委託を受けた者が当該個人番号関係事務を処理するために使用する情報システムにおいて管理される特定個人情報
• 次に掲げる事態（規則第２条第２号関係）
  • イ　不正の目的をもって行われたおそれがある特定個人情報の漏えい等が発生し、又は発生したおそれがある事態
  • ロ　不正の目的をもって、特定個人情報が利用され、又は利用されたおそれがある事態
  • ハ　不正の目的をもって、特定個人情報が提供され、又は提供されたおそれがある事態

  「不正の目的をもって」イからハに該当する事態を発生させた主体には、第三者のみならず、従業者も含まれる。

  【報告を要する事例】

  • ＊　不正アクセスにより特定個人情報が漏えいした場合（※3）
  • ＊　ランサムウェア等により特定個人情報が暗号化され、復元できなくなった場合
  • ＊　特定個人情報が記載又は記録された書類・媒体等が盗難された場合
  • ＊　業務に関係なく、マイナンバーを利用し、住所等を検索・取得した場合
  • ＊　従業者が特定個人情報を不正に持ち出して第三者に提供した場合（※4）

• 個人番号利用事務実施者又は個人番号関係事務実施者の保有する特定個人情報ファイルに記録された特定個人情報が電磁的方法により不特定多数の者に閲覧され、又は閲覧されるおそれがある事態（規則第２条第３号関係）

  【報告を要する事例】

  • ＊　システムの設定ミス等によりインターネット上で特定個人情報の閲覧が可能な状態となっている場合

• 次に掲げる特定個人情報に係る本人の数が100人を超える事態（規則第２条第４号関係）
  • イ　漏えい等が発生し、又は発生したおそれがある特定個人情報
  • ロ　番号法第９条の規定に反して利用され、又は利用されたおそれがある個人番号を含む特定個人情報
  • ハ　番号法第19条の規定に反して提供され、又は提供されたおそれがある特定個人情報

  「特定個人情報に係る本人の数」は、当該個人番号利用事務等実施者が取り扱う特定個人情報のうち、イからハに該当する特定個人情報に係る本人の数をいう。「特定個人情報に係る本人の数」について、事態が発覚した当初100人以下であっても、その後100人を超えた場合には、100人を超えた時点で規則第２条第4号に該当することになる。本人の数が確定できないイからハに該当する事態において、当該事態が発生したおそれがある特定個人情報に係る本人の数が最大100人を超える場合には、規則第２条第４号に該当する。

  【報告を要する事例】

  • ＊　第三者に誤送付・誤送信した特定個人情報に係る本人の数が100人を超える場合
  • ＊　個人番号利用事務と関係のない顧客管理のためのＩＤとして利用していたマイナンバーの数が100人を超える場合
  • ＊　マイナンバー部分にマスキング処理することを失念して、特定個人情報を取り扱わない委託事業者等に提供した特定個人情報に係る本人の数が100人を超える場合

  • （※１）報告対象事態に該当しない漏えい等事案においても、特定個人情報を取り扱う事業者は委員会に報告するよう努める。
  • （※２）報告対象事態における「おそれ」については、その時点で判明している事実関係に基づいて個別の事案ごとに蓋然性を考慮して判断することになる。漏えい等が発生したおそれについては、その時点で判明している事実関係からして、漏えい等が疑われるものの漏えい等が生じた確証がない場合がこれに該当する。
  • （※３）サイバー攻撃の事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、次の（ア）から（エ）が考えられる。
    • （ア）特定個人情報を格納しているサーバや、当該サーバにアクセス権限を有する端末において外部からの不正アクセスによりデータが窃取された痕跡が認められた場合
    • （イ）特定個人情報を格納しているサーバや、当該サーバにアクセス権限を有する端末において、情報を窃取する振る舞いが判明しているマルウェアの感染が確認された場合
    • （ウ）マルウェアに感染したコンピュータに不正な指令を送り、制御するサーバ（Ｃ＆Ｃサーバ）が使用しているものとして知られているＩＰアドレス・ＦＱＤＮ（Ｆｕｌｌｙ　Ｑｕａｌｉｆｉｅｄ　Ｄｏｍａｉｎ　Ｎａｍｅ の略。サブドメイン名及びドメイン名からなる文字列であり、ネットワーク上のコンピュータ（サーバ等）を特定するもの。）への通信が確認された場合
    • （エ）不正検知を行う公的機関、セキュリティ・サービスプロバイダ、専門家等の第三者から、漏えい等のおそれについて、一定の根拠に基づく連絡を受けた場合
  • （※４）従業者による特定個人情報の持ち出しの事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、特定個人情報を格納しているサーバや、当該サーバにアクセス権限を有する端末において、通常の業務で必要としないアクセスによりデータが窃取された痕跡が認められた場合が考えられる。

  なお、特定個人情報について、高度な暗号化等の秘匿化がされている場合等、「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられている場合については、報告を要しない。

Ｂ　報告義務の主体

漏えい等報告の義務を負う主体は、規則第２条の事態に該当する特定個人情報を取り扱う個人番号利用事務等実施者である。

特定個人情報の取扱いを委託している場合においては、委託元と委託先の双方が特定個人情報を取り扱っていることになるため、報告対象事態に該当する場合には、原則として委託元と委託先の双方が報告する義務を負う。この場合、委託元及び委託先の連名で報告することができる。なお、委託先が、報告義務を負っている委託元に当該事態が発生したことを通知したときは、委託先は報告義務を免除される（３Ｅ参照）（※）。

また、委託元から委託先にある特定個人情報（特定個人情報Ａ）の取扱いを委託している場合であって、別の特定個人情報（特定個人情報Ｂ）の取扱いを委託していないときには、特定個人情報Ｂについて、委託元において報告対象事態が発生した場合であっても、委託先は報告義務を負わず、委託元のみが報告義務を負うことになる。

• （※）　報告対象事態に該当しない漏えい等事案において、特定個人情報の取扱いを委託している場合、委託元と委託先の双方が報告するよう努める。この場合、委託元及び委託先の連名で委員会に報告することができる。

Ｃ　速報（規則第３条第１項関係）

規則第３条第１項

個人番号利用事務実施者及び個人番号関係事務実施者（以下「個人番号利用事務等実施者」という。）は、番号法第29条の４第１項本文の規定による報告をする場合には、前条各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。次条において同じ。）を報告しなければならない。

• 概要
• 特定個人情報の項目
• 特定個人情報に係る本人の数
• 原因
• 二次被害又はそのおそれの有無及びその内容
• 本人への対応の実施状況
• 公表の実施状況
• 再発防止のための措置
• その他参考となる事項

個人番号利用事務等実施者は、報告対象事態を知ったときは、速やかに、委員会に報告しなければならない。

報告期限の起算点となる「知った」時点については、個別の事案ごとに判断されるが、個人番号利用事務等実施者が法人である場合には、いずれかの部署が当該事態を知った時点を基準とする。「速やか」の日数の目安については、個別の事案によるものの、個人番号利用事務等実施者が当該事態の発生を知った時点から概ね３日～５日以内である。

委員会への漏えい等報告については、次の⑴から⑼までに掲げる事項を、原則として、委員会のホームページの報告フォームに入力する方法により行う。速報時点での報告内容については、報告をしようとする時点において把握している内容を報告すれば足りる。

• 「概要」

  当該事態の概要について、発生日、発覚日、発生事案、発見者、規則第２条各号該当性、委託元及び委託先の有無、事実経過等を報告する。

• 「特定個人情報の項目」

  特定個人情報の項目について、媒体や種類（顧客情報、従業員情報の別等）とともに報告する。

• 「特定個人情報に係る本人の数」

  特定個人情報に係る本人の数について報告する。

• 「原因」

  当該事態が発生した原因について、当該事態が発生した主体（報告者又は委託先）とともに報告する。

• 「二次被害又はそのおそれの有無及びその内容」

  当該事態に起因して発生する被害又はそのおそれの有無及びその内容について報告する。

• 「本人への対応の実施状況」

  当該事態を知った後、本人に対して行った措置（通知を含む。）の実施状況について報告する。

• 「公表の実施状況」

  当該事態に関する公表の実施状況について報告する。

• 「再発防止のための措置」

  漏えい等事案が再発することを防止するために講ずる措置について、実施済みの措置と今後実施予定の措置に分けて報告する。

• 「その他参考となる事項」

  上記の⑴から⑻の事項を補完するため、委員会が事態を把握する上で参考となる事項を報告する。

Ｄ　確報（規則第３条第２項関係）

規則第３条第２項

個人番号利用事務等実施者は、当該事態を知った日から30日以内（当該事態が前条第２号に定めるものである場合にあっては、60日以内）に、当該事態に関する前項各号に定める事項を報告しなければならない。

個人番号利用事務等実施者は、報告対象事態を知ったときは、速報に加え（※１）、30日以内（規則第２条第２号の事態においては60日以内。同号の事態に加え、同条第１号、第３号又は第４号の事態にも該当する場合も60日以内。）に委員会に報告しなければならない。

30日以内又は60日以内は報告期限であり、可能である場合には、より早期に報告することが望ましい。

報告期限の起算点となる「知った」時点については、速報と同様に、個人番号利用事務等実施者が法人である場合には、いずれかの部署が当該事態を知った時点を基準とし、確報の期限の算定（※２）に当たっては、その時点を１日目とする。

確報においては、３Ｃ⑴から⑼までに掲げる事項の全てを報告しなければならない。確報を行う時点（報告対象事態を知った日から30日以内又は60日以内）において、合理的努力を尽くした上で、一部の事項が判明しておらず、全ての事項を報告することができない場合には、その時点で把握している内容を報告し、判明次第、報告を追完するものとする。

• （※１）速報の時点で全ての事項を報告できる場合には、1回の報告で速報と確報を兼ねることができる。
• （※２）確報の報告期限（30日以内又は60日以内）の算定にあたっては、土日・祝日も含める。ただし、30日目又は60日目が土日、祝日又は年末年始閉庁日（12月29日～１月３日）の場合は、その翌日を報告期限とする（行政機関の休日に関する法律（昭和63年法律第91号）第2条）。

Ｅ　委託元への通知の例外（規則第４条関係）

規則第４条

個人番号利用事務等実施者は、番号法第29条の４第１項ただし書の規定による通知をする場合には、第２条各号に定める事態を知った後、速やかに、前条第１項各号に定める事項を通知しなければならない。

委託先は、委員会への報告義務を負っている委託元に対し、３Ｃ⑴から⑼までに掲げる事項のうち、その時点で把握しているものを通知したときは、報告義務を免除される。

委託元への通知については、速報としての報告と同様に、報告対象事態を知った後、速やかに行わなければならない。「速やか」の日数の目安については、個別の事案によるものの、委託先が当該事態の発生を知った時点から概ね３日～５日以内である。

この場合、委託先から通知を受けた委託元が報告をすることになる。委託元は、通常、遅くとも委託先から通知を受けた時点で、報告対象事態を知ったこととなり、速やかに報告を行わなければならない。

なお、通知を行った委託先は、委託元から報告するに当たり、事態の把握を行うとともに、必要に応じて委託元の漏えい等報告に協力することが求められる。

４本人への通知（番号法第29条の４第２項）

番号法第29条の４第２項

前項に規定する場合には、個人番号利用事務等実施者（同項ただし書の規定による通知をした者を除く。）は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

規則第５条関係

個人番号利用事務等実施者は、番号法第29条の４第２項本文の規定による通知をする場合には、第２条各号に定める事態を知った後、当該事態の状況に応じて速やかに、当該本人の権利利益を保護するために必要な範囲において、第３条第１項第１号、第２号、第４号、第５号及び第９号に定める事項を通知しなければならない。

Ａ　通知対象となる事態及び通知義務の主体

個人番号利用事務等実施者は、報告対象事態を知ったときは、本人への通知を行わなければならない。

通知義務を負う主体は、規則第２条の事態に該当する特定個人情報を取り扱う個人番号利用事務等実施者である。

特定個人情報の取扱いを委託している場合においては、委託元と委託先の双方が特定個人情報を取り扱っていることになるため、それぞれ通知の対象事態に該当する場合には、原則として委託元と委託先の双方が通知する義務を負う。この場合、委託元及び委託先の連名で通知することができる

漏えい等した特定個人情報の本人に対して円滑に通知を行う観点から、委託元及び委託先は連携するなどして、適切な方法で通知を行うことが望ましい

なお、特定個人情報の取扱いを委託している場合において、委託先が、報告義務を負っている委託元に３Ｃ⑴から⑼までに掲げる事項のうち、その時点で把握しているものを通知したときは、委託先は報告義務を免除されるとともに、本人への通知義務も免除される。

Ｂ　通知の時間的制限

個人番号利用事務等実施者は、報告対象事態を知ったときは、当該事態の状況に応じて速やかに、本人への通知を行わなければならない。

「当該事態の状況に応じて速やかに」とは、速やかに通知を行うことを求めるものであるが、具体的に通知を行う時点は、個別の事案において、その時点で把握している事態の内容、通知を行うことで本人の権利利益が保護される蓋然性、本人への通知を行うことで生じる弊害等を勘案して判断する。

【その時点で通知を行う必要があるとはいえないと考えられる事例（※）】

• ＊　インターネット上の匿名掲示板等に漏えいした複数の特定個人情報がアップロードされており、個人番号利用事務等実施者において当該掲示板等の管理者に削除を求める等、必要な初期対応が完了しておらず、本人に通知することで、かえって被害が拡大するおそれがある場合
• ＊　漏えい等のおそれが生じたものの、事案がほとんど判明しておらず、その時点で本人に通知したとしても、本人がその権利利益を保護するための措置を講じられる見込みがなく、かえって混乱が生じるおそれがある場合

（※）「当該事態の状況に応じて速やかに」本人への通知を行うべきことに変わりはない。

Ｃ　通知の内容

本人へ通知すべき事項については、漏えい等報告における報告事項のうち、「概要」（規則第３条第１項第１号）、「特定個人情報の項目」（同項第２号）、「原因」（同項第４号）、「二次被害又はそのおそれの有無及びその内容」（同項第５号）及び「その他参考となる事項」（同項第９号）（※）に限られている。これらの事項が全て判明するまで本人への通知をする必要がないというものではなく、本人への通知は、「当該事態の状況に応じて速やかに」行う必要がある（４Ｂ（通知の時間的制限）参照）。

本人への通知については、「本人の権利利益を保護するために必要な範囲において」行うものである。そのため、通知によって被害が拡大するおそれがある場合には、その時点で通知を要するものではないが、そのような場合であっても、当該おそれがなくなった後は、速やかに通知する必要がある。

また、当初報告対象事態に該当すると判断したものの、その後実際には報告対象事態に該当していなかったことが判明した場合には、本人への通知が「本人の権利利益を保護するために必要な範囲において」行うものであることに鑑み、本人への通知は不要である。

【本人の権利利益を保護するために必要な範囲において通知を行う事例】

• ＊　不正アクセスにより特定個人情報が漏えいした場合において、その原因を本人に通知するに当たり、委員会に報告した詳細な内容ではなく、必要な内容を選択して本人に通知すること。
• ＊　漏えい等が発生した特定個人情報の項目が本人ごとに異なる場合において、当該本人に関係する内容のみを本人に通知すること。

（※）規則第３条第１項第１号、第２号、第４号、第５号及び第９号に定める事項については、３Ｃ参照。なお、同項第９号に定める事項については、本人への通知を補完するため、本人にとって参考となる事項をいい、例えば、本人が自らの権利利益を保護するために取り得る措置が考えられる。

Ｄ　通知の方法

「本人への通知」とは、本人に直接知らしめることをいい、特定個人情報の取扱状況に応じ、通知すべき内容が本人に認識される合理的かつ適切な方法によらなければならない。

また、漏えい等報告と異なり、本人への通知については、その様式が法令上定められていないが、本人にとって分かりやすい形で通知を行うことが望ましい。

【本人への通知の方法の事例】

• ＊　文書を郵便等で送付することにより知らせること。
• ＊　電子メールを送信することにより知らせること。

Ｅ　通知の例外

本人への通知を要する場合であっても、本人への通知が困難である場合は、本人の権利利益を保護するために必要な代替措置（※１）を講ずることによる対応が認められる。

【本人への通知が困難な場合に該当する事例】

• ＊　保有する特定個人情報の中に本人の連絡先が含まれていない場合
• ＊　連絡先が古いために通知を行う時点で本人へ連絡できない場合

【代替措置に該当する事例】

• ＊　事案の公表（※2）
• ＊　問合せ窓口を用意してその連絡先を公表し、本人が自らの特定個人情報が対象となっているか否かを確認できるようにすること。

• （※１）代替措置として事案の公表を行わない場合であっても、当該事態の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、公表を行うことが望ましい。
• （※２）公表すべき内容は、個別の事案ごとに判断されるが、本人へ通知すべき内容を基本とする。