平成 26 年 12 月 11 日
（令和４年４月１日更新）
個 人 情 報 保 護 委 員 会「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」及び「（別冊）金融業務における特定個人情報の適正な取扱いに関するガイドライン」
に関するＱ＆Ａ※「事業者編」
・「（別冊）金融業務」に共通するＱ＆Ａについては、「事業者編」に記載
しておりますので、「（別冊）金融業務」が適用となる方は、併せて参照してください。
このＱ＆Ａは、必要に応じて更新することを予定しています。

【事業者編】 .......................................................................................................................... 1
１：個人番号の利用制限 ........................................................................................................ 1
Ｑ１－１

個人番号の利用目的を特定して、本人への通知等を行うに当たり、個人番
号の提出先を具体的に示す必要がありますか。 ................................................. 1

Ｑ１－１－２

個人番号の利用目的について、個人情報保護法における個人情報の利用目的とは区別して本人に通知等を行う必要がありますか。 ........................... 1
Ｑ１－１－３

個人番号の利用目的を特定する場合、どのように特定することが考えられますか。 ........................................................................................................ 1
Ｑ１－２

利用目的の特定の事例として「源泉徴収票作成事務」が記載されています
が、「源泉徴収票作成事務」には、給与支払報告書や退職所得の特別徴収票も含まれると考えてよいですか。 ................................................................... 1

Ｑ１－２－２

扶養控除等申告書に記載されている個人番号を、源泉徴収票作成事務に利用することはできますか。........................................................................... 1
Ｑ１－３

複数の個人番号関係事務で個人番号を利用する可能性がある場合において、個人番号の利用が予想される全ての目的について、あらかじめ包括的に特定して、本人への通知等を行ってよいですか。 ................................................. 2

Ｑ１－３－２

利用目的として「源泉徴収票作成事務」、「健康保険・厚生年金保険届出事務」と特定し、その利用目的を本人に通知又は公表している場合、市区町村から電子的に送付されてくる従業員等に係る住民税の「特別徴収税額決定通知（特別徴収義務者用）」に記載されている個人番号は、その利用目的の範囲内で利用することができますか。 ................................................. 2
Ｑ１－３－３

従業員等に係る住民税の「特別徴収税額決定通知（特別徴収義務者用）」により個人番号の提供を受ける場合のように、本人以外から個人番号の提供を受けることが想定されますが、個人番号の利用目的は、個人番号の提供元ごとに特定する必要がありますか。 ................................................. 2
Ｑ１－４

本人から個人番号の提供を受けるに当たり、利用目的について本人の同意を得る必要がありますか。 .................................................................................. 2

目次－1

Ｑ１－５

個人番号の利用目的の通知等は、どのような方法で行うことが適切ですか。
.............................................................................................................................. 2

Ｑ１－６

従業員等から、その扶養親族の個人番号が記載された扶養控除等申告書の提出を受ける際、個人番号の利用目的を従業員等に社内ＬＡＮや就業規則
により特定・通知等していれば、扶養親族に対しても、従業員等（個人番号関係事務実施者）から同様の内容が特定・通知等されているものと考えてよいですか。 .................................................................................................... 3

Ｑ１－７

次の①②③の場合は、個人番号関係事務に係る一連の作業範囲として、利用目的の範囲内での利用と考えてよいですか。 ................................................. 3Ｑ１－８

支払調書の中には、支払金額が所管法令の定める一定の金額に満たない場
合、税務署長に提出することを要しないとされているものがあります。支
払金額がその一定の金額に満たず、提出義務のない支払調書に個人番号を記載して税務署長に提出することは、目的外の利用として利用制限に違反しますか。 ........................................................................................................... 4

Ｑ１－９ （削除） ............................................................................................................... 4
Ｑ１－10

行政機関等から個人番号利用事務の委託を受けた事業者が、「委託に関する契約の内容に応じて、『特定個人情報の適正な取扱いに関するガイドラ
イン（行政機関等・地方公共団体等編）』が適用されることとなる。」とは、どういうことですか。 ......................................................................................... 4Ｑ１－11

従業員等が個人番号関係事務実施者として扶養親族の個人番号を扶養控除等申告書に記載して、勤務先である事業者に提出する場合に、事業者は番号法上の監督義務を負いますか。 ....................................................................... 4Ｑ１－12

従業員等が、国民年金法の第３号被保険者（第２号被保険者である従業員等の配偶者）に関する届出を行うことは個人番号関係事務に該当しますか。
.............................................................................................................................. 4

Ｑ１－13

雇用契約に基づく給与所得の源泉徴収票作成事務のために提供を受けた個
人番号を、雇用する従業員の福利厚生の一環として財産形成住宅貯蓄や財産形成年金貯蓄、職場積立ＮＩＳＡに関する事務のために利用することはできますか。 ........................................................................................................ 5Ｑ１－14

従業員の雇用形態をアルバイトから正社員に変更した場合、当初取得した
個人番号を利用することができますか。 ............................................................ 5

２：特定個人情報ファイルの作成の制限 .............................................................................. 5
Ｑ２－１

次の①～⑤のケースについては、個人番号関係事務を処理するために必要な範囲内として、特定個人情報ファイルを作成することはできますか。 ......... 5

Ｑ２－２ 既存のデータベースに個人番号を追加することはできますか。........................ 6
Ｑ２－３

個人番号をその内容に含むデータベースを複数の事務で用いている場合、

目次－2

個人番号関係事務以外の事務で個人番号にアクセスできないよう適切にア
クセス制御を行えば、その個人番号関係事務以外の事務においては、当該データベースが特定個人情報ファイルに該当しないと考えてよいですか。 ..... 6
Ｑ２－４

個人番号が記載された書類等を利用して、個人番号関係事務以外の事務で
個人情報データベース等を作成したい場合は、どのように作成することが適切ですか。 ........................................................................................................ 6

３：委託の取扱い ................................................................................................................... 6
Ｑ３－１「個人番号関係事務又は個人番号利用事務の全部又は一部の委託をする者
は、委託先において、番号法に基づき委託者自らが果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行わなければならない。」としていますが、委託先において、番号法が求める水準の安全管理措置が講じられていればよく、委託者が実際に講じている安全管理措置と同等の措置まで求められているわけではないと考えてよいですか。............. 6

Ｑ３－２

特定個人情報に係る委託先の監督について、個人情報保護法に加えて求められる監督義務の内容は何ですか。 ................................................................... 7

Ｑ３－３

特定個人情報の取扱いを外国の事業者に委託する場合に、委託者としての安全管理措置を担保する上で、国内で実施する場合に加えて考慮するべき追加措置等はありますか。 .................................................................................. 7

Ｑ３－４

特定個人情報を取り扱う委託契約を締結する場合、個人情報の取扱いと特定個人情報の取扱いの条項を分別した契約とする必要がありますか。............. 7Ｑ３－５

既存の委託契約で、本ガイドラインと同等の個人情報の取扱いの規定がある場合、特定個人情報も包含していると解釈して、委託契約の再締結はしなくてもよいですか。 ......................................................................................... 7

Ｑ３－６「委託先に安全管理措置を遵守させるために必要な契約の締結」について、実態として安全管理措置に係る委託者と委託先の合意が担保できる方法であれば、契約の締結以外の方法（例えば、誓約書や合意書の作成）も認められますか。 ........................................................................................................ 8

Ｑ３－７

委託先・再委託先との業務委託契約を締結するに当たり、業務委託契約書等に、特定個人情報の取扱いを委託する旨の特段の記載が必要になりますか。 ...................................................................................................................... 8

Ｑ３－８

再委託（再々委託以降を含む。）を行うに当たり、最初の委託者から必ず許諾を得る必要がありますか。........................................................................... 8

Ｑ３－８－２

再委託（再々委託以降を含む。）に関連して、①最初の委託者、②委

託先、③再委託先は、それぞれどのような点に注意すればよいですか。 ......... 8Ｑ３－９

実務負荷の軽減のため、再委託を行う前に、あらかじめ委託者から再委託の許諾を得ることはできますか。 ....................................................................... 9

目次－3

Ｑ３－10

再委託（再々委託以降を含む。）に係る委託者の許諾の取得方法について、
書面、電子メール、口頭等方法の制限はありますか。 ...................................... 9Ｑ３－11

委託契約に定めれば、委託先が、委託者の従業員等の特定個人情報を直接収集することはできますか。 .............................................................................. 9

Ｑ３－11－２

事業者が個人番号関係事務を委託している場合において、現在の委託

先との委託契約を終了させて、新たに別の者に個人番号関係事務を委託するときに、現在の委託先が保有している特定個人情報を新たな委託先に直接提供させることはできますか。 ....................................................................... 9
Ｑ３－12

特定個人情報を取り扱う情報システムにクラウドサービス契約のように外部の事業者を活用している場合、番号法上の委託に該当しますか。 .............. 10

Ｑ３－13

クラウドサービスが番号法上の委託に該当しない場合、クラウドサービスを利用する事業者が、クラウドサービスを提供する事業者に対して監督を行う義務は課されないと考えてよいですか。 ................................................... 10

Ｑ３－14

特定個人情報を取り扱う情報システム（機器を含む。以下、この項において同じ。）の保守の全部又は一部に外部の事業者を活用している場合、番号法上の委託に該当しますか。また、外部の事業者が記録媒体等を持ち帰ることは、提供制限に違反しますか。 .............................................................. 10

Ｑ３－14－２

特定個人情報の受渡しに関して、配送業者、通信事業者等の外部事業者による配送・通信手段を利用する場合、番号法上の委託に該当しますか。
............................................................................................................................ 12Ｑ３－15

委託の取扱いについて、個人情報保護法と番号法の規定の違いはありますか。 .................................................................................................................... 12

Ｑ３－16

再委託先に対する監督について、具体的にどのように実施することが考えられますか。 ...................................................................................................... 12

４：個人番号の提供の要求 .................................................................................................. 12
Ｑ４－１ 事業者は、「内定者」に個人番号の提供を求めることはできますか。............. 12
Ｑ４－１－２

個人番号関係事務実施者である事業者（事業者から個人番号を収集す

る事務の委託を受けた者を含む。）は、従業員等の家族全員の個人番号を収集することができますか。 ............................................................................ 12Ｑ４－２

不動産の使用料等の支払調書の提出範囲は、同一人に対するその年中の支払金額の合計が所得税法の定める一定の金額を超えるものとなっていますが、その一定の金額を超えない場合は個人番号の提供を求めることはできませんか。 ......................................................................................................... 13

Ｑ４－３

親会社が、子会社の従業員に対しストックオプションを交付している場合、親会社は、従業員が子会社に入社した時点で個人番号の提供を求めることはできますか。 .................................................................................................. 13

目次－4

Ｑ４－４

従業員持株会は、従業員が所属会社に入社した時点で、その従業員に個人番号の提供を求めることはできますか。また、所属会社経由で個人番号の提供を受けることはできますか。 ..................................................................... 13

Ｑ４－５

人材派遣会社は、派遣登録を行う時点で、登録者の個人番号の提供を求めることはできますか。 ....................................................................................... 14

Ｑ４－６

従業員や講演料等の支払先等から個人番号の提供を受けられない場合、どのように対応すればよいですか。 ..................................................................... 14

５：個人番号の提供の求めの制限、特定個人情報の提供制限 ........................................... 15
Ｑ５－１「他人」の定義における「同一の世帯」とは、住民票上における同じ世帯と解釈してよいですか。.................................................................................... 15

Ｑ５－１－２ （削除） ...................................................................................................... 15
Ｑ５－２

従業員等本人に給与所得の源泉徴収票を交付する場合において、その従業員等本人や扶養親族の個人番号を記載して交付してよいですか。 .................. 15Ｑ５－３住宅の取得に関する借入れ（住宅ローン）等で個人番号が記載された給与所得の源泉徴収票を使用することはできますか。 ........................................... 15Ｑ５－４

所得税法等により本人に交付することが義務付けられている支払通知書（配当等とみなす金額に関する支払通知書等）にも個人番号を記載して交付してよいですか。 ........................................................................................... 16

Ｑ５－５

公認会計士又は監査法人が、監査手続を実施するに当たって、監査を受ける事業者から特定個人情報の提供を受けることは、提供制限に違反しますか。 .................................................................................................................... 16

Ｑ５－６

財産形成住宅貯蓄・財産形成年金貯蓄の非課税に関する申告書は、法令に基づき、勤務先等及び金融機関を経由して税務署長に提出されることとなっています。この場合、勤務先等及び金融機関がそれぞれ個人番号関係事
務実施者となり、勤務先等は本人から提供を受けた特定個人情報を、金融機関に対して提供すると考えてよいですか。 ................................................... 16

Ｑ５－７

個人情報取扱事業者は、本人からの開示の請求に応じて、本人に特定個人情報を提供することはできますか。 ................................................................. 16

Ｑ５－８ 支払調書等の写しを本人に送付することはできますか。................................. 17
Ｑ５－８－２

個人番号を記載しなければ、支払調書等の写しを本人に送付することはできますか。 .................................................................................................. 17
Ｑ５－９ 番号法第 19 条各号のいずれにも該当しない特定個人情報の提供の求めがあった場合、どのように対応することが適切ですか。 ........................................ 17
Ｑ５－10

身分証明書等として個人番号カードを提示する際に裏面の個人番号を見られた場合、特定個人情報の提供制限に違反しますか。 .................................... 17

Ｑ５－11

個人番号カードを拾得しましたが、警察に届け出ることは特定個人情報の目次－5

提供制限に違反しますか。また、警察に届け出るまでの間、一時的に預かることは、特定個人情報の収集・保管制限に違反しますか。 ......................... 17
Ｑ５－12 番号法第 19 条第 4 号の「従業者等の同意」について、使用者等は、従業者等から、事前に同意を取得しておくことは可能ですか。例えば、将来グループ会社へ転籍する可能性があるため、従業者等の入社時に、将来グループ会社へ転籍する際には使用者等から転籍先のグループ会社に対し、個人
番号関係事務を処理するために必要な限度で、個人番号を含む特定個人情報を提供できることに関する同意を取得しておくことは可能ですか。........... 18
Ｑ５－13 番号法第 19 条第４号に基づき、個人番号を含む特定個人情報の提供を受ける使用者等は、提供元が従業者等から同意を取得していることを確認する
必要はありますか。 ........................................................................................... 18
Ｑ５－14 個人番号関係事務を処理するために必要である場合、番号法 19 条４号により次の特定個人情報を提供することができますか。 ........................................ 18①従業者等が個人番号関係事務実施者として提出した扶養親族の特定個人
情報 ................................................................................................................. 18②国民年金法の３号被保険者（第２号被保険者である従業者等の配偶者）
に関し、従業者等が配偶者の代理人として提出した配偶者の特定個人情報 .................................................................................................................... 18
６：収集・保管制限 ............................................................................................................. 19
Ｑ６－１

個人番号が記載された書類等を受け取る担当者が、その特定個人情報を見ることができないようにする措置は必要ですか。 ........................................... 19

Ｑ６－２

番号法上の本人確認の措置を実施する際に提示を受けた本人確認書類（個人番号カード、身元確認書類等）をコピーして、それを事業所内に保管することはできますか。 ....................................................................................... 19

Ｑ６－２－２

扶養控除等申告書に記載される扶養親族の個人番号については、従業員が個人番号関係事務実施者として番号法上の本人確認を行うこととされており、事業者には本人確認義務は課せられていませんが、事業者に番号
法上の本人確認義務がない場合であっても、書類に正しい番号が記載されているかを確認するために、事業者が扶養親族の個人番号カードのコピーを取得することはできますか。......................................................................... 19
Ｑ６－３

収集・提供した個人番号に誤りがあった場合、個人番号関係事務実施者である事業者に責任は及びますか。 ..................................................................... 20

Ｑ６－４

所管法令によって個人番号が記載された書類を一定期間保存することが義務付けられている場合には、その期間、事業者がシステム内で個人番号を保管することができますか。 ............................................................................ 20

Ｑ６－４－２

支払調書の控えには保存義務が課されていませんが、支払調書の作

目次－6

成・提出後個人番号が記載された支払調書の控えを保管することができますか。 ................................................................................................................. 20
Ｑ６－５

個人番号の廃棄が必要となってから、廃棄作業を行うまでの期間は、どの程度許容されますか。 ....................................................................................... 20

Ｑ６－６

個人番号の利用が想定される複数の目的について、あらかじめ特定して、本人への通知等を行った上で個人番号の提供を受けている場合、個人番号の廃棄が必要となるのは、当該複数の目的の全てについて個人番号を保管する必要がなくなったときですか。 ................................................................. 20Ｑ６－７支給が数年に渡り繰延される賞与がある場合、退職後も繰延支給が行われなくなることが確認できるまで個人番号を保管することはできますか。 ....... 21

Ｑ６－８ 個人番号を削除した場合に、削除した記録を残す必要がありますか。........... 21
Ｑ６－９

個人番号の保存期間の時限管理を回避するために、契約関係が終了した時
点で個人番号を削除することはできますか。 ................................................... 21

Ｑ６－10

個人番号を削除せず、取引再開時まで個人番号にアクセスできないようア
クセス制御を行うという取扱いは許容されますか。 ........................................ 21

Ｑ６－11

現在業務ソフトウェアを運用している筐体と同一筐体内、かつ同一データベース内で個人番号を管理することはできますか。 ........................................ 21

Ｑ６－12

身分証明書等として個人番号カードの提示を受ける際に裏面の個人番号が見えた場合、特定個人情報の収集制限に違反しますか。................................. 22

Ｑ６－13

身分証明書の写しとして、顧客の個人番号カードをコピーしてもよいですか。 .................................................................................................................... 22

７：個人情報保護法の主な規定 ........................................................................................... 22
Ｑ７－１

個人番号は変更されることもありますが、保管している個人番号について、
定期的に最新性を確認する必要がありますか。 ............................................... 22

８：個人番号利用事務実施者である健康保険組合等における措置等................................. 22
Ｑ８－１

行政機関等及び健康保険組合等から個人番号利用事務の全部又は一部の委託を受けた事業者が、情報提供ネットワークシステムに接続された端末を操作して情報照会等を行うことはできますか。 ............................................... 22

９：その他 ............................................................................................................................ 22
Ｑ９－１ 個人番号には、死者の個人番号も含まれますか。 ........................................... 22
Ｑ９－２

個人番号を暗号化等により秘匿化すれば、個人番号に該当しないと考えてよいですか。 ...................................................................................................... 23

Ｑ９－３

個人番号をばらばらの数字に分解して保管すれば、個人番号に該当しないと考えてよいですか。 ....................................................................................... 23

Ｑ９－４

個人番号の一部のみを用いたものや、個人番号を不可逆に変換したものは、個人番号に該当しないと考えてよいですか。 ................................................... 23

目次－7

Ｑ９－５

インターネットのウェブサイト等において、占いや個人番号のチェックデ
ジットを確認するために、個人番号の入力を促しても、番号法上の問題はないですか。 ...................................................................................................... 23

Ｑ９－６ 次の行為は、番号法上問題がありますか。 ...................................................... 24①インターネット等に自らの個人番号を公表すること。................................. 24②インターネット等に自らの個人番号カードを、裏面の個人番号 12 桁の部
分及びＱＲコードが見られる状態で掲載すること。 .................................... 24【（別添１）安全管理措置】 ................................................................................................ 24
10：安全管理措置の検討手順............................................................................................... 24
Ｑ10－１「事務取扱担当者の明確化」は、役割や所属等による明確化のように個人名による明確化でなくてもよいですか。 .......................................................... 24

Ｑ10－２

事務取扱担当者には、特定個人情報等を取り扱う事務に従事する全ての者が該当しますか。............................................................................................... 24

11：講ずべき安全管理措置の内容 ....................................................................................... 25
Ｑ11－１２に示す安全管理措置を講ずれば十分ですか。 ............................................... 25

Ｑ11－２ 「中小規模事業者」の定義における従業員について、「同法第 21 条の規定により同法第 20 条の適用が除外されている者」とは、具体的にどのような者ですか。また、いつの従業員の数ですか。 ................................................... 25
Ｑ11－３

中小規模事業者でない事業者が、中小規模事業者に業務を委託する場合、当該中小規模事業者には【中小規模事業者における対応方法】を遵守させることになるのですか。.................................................................................... 25

Ｑ11－４

標的型メール攻撃等による特定個人情報の漏えい等の被害を防止するために、安全管理措置に関して、どのような点に注意すればよいですか。........... 25

Ｑ11－５

従業者に、特定個人情報等の取扱いに関する研修を行う場合、どのような点に注意すればよいですか。 ............................................................................ 26

12：基本方針の策定 ............................................................................................................. 26
Ｑ12－１

既に個人情報の取扱いに係る基本方針を策定している場合、新たに特定個
人情報等に係る基本方針を策定する必要がありますか。それとも、既存の個人情報の取扱いに係る基本方針の一部改正で十分ですか。 ......................... 26

Ｑ12－２ 基本方針を公表する必要がありますか。 .......................................................... 26
13：取扱規程等の策定.......................................................................................................... 26
Ｑ13－１

新たに特定個人情報の保護に係る取扱規程等を作成するのではなく、既存の個人情報の保護に係る取扱規定等を見直し、特定個人情報の取扱いを追記する形でもよいですか。 ................................................................................ 26

Ｑ13－２ 中小規模事業者も取扱規程等を策定しなければなりませんか。...................... 27
14：組織的安全管理措置 ...................................................................................................... 27

目次－8

Ｑ14－１「ｂ

取扱規程等に基づく運用」における特定個人情報等の利用状況等の記録の項目及び保存期限は、どのように考えることが適切ですか。 .............. 27
Ｑ14－２

「ｂ

取扱規程等に基づく運用」及び「ｃ取扱状況を確認する手段の整

備」の【中小規模事業者における対応方法】における「取扱状況の分かる
記録を保存する」とは、どのように考えることが適切ですか。...................... 27
Ｑ14－３

「ｅ

取扱状況の把握及び安全管理措置の見直し」における≪手法の例示≫の２つ目にある、「外部の主体による他の監査活動と合わせて、監査を実施することも考えられる。」とは、具体的にどのようなことですか。 ......... 27
15：物理的安全管理措置 ...................................................................................................... 27
Ｑ15－１

「ａ

特定個人情報等を取り扱う区域の管理」における「座席配置の工夫」とは、具体的にどのような手段が考えられますか。 ........................................ 27
Ｑ15－１－２ （削除） ...................................................................................................... 28
Ｑ15－１－３「ａ

特定個人情報等を取り扱う区域の管理」における「管理区域」

及び「取扱区域」について、区域ごとに全て同じ措置を講ずる必要があるのでしょうか。 .................................................................................................. 28
Ｑ15－１－４「ａ

特定個人情報等を取り扱う区域の管理」及び「ｂ機器及び電子媒体等の盗難等の防止」について、従業員数人程度の事業者における手法の例示を教えてください。 ............................................................................ 28
Ｑ15－１－５

テレワーク等により自宅においてマイナンバーを取り扱っても問題ないですか。 ......................................................................................................... 28
Ｑ15－２

「ｄ

個人番号の削除、機器及び電子媒体等の廃棄」における「容易に復元できない手段」とは、具体的にどのような手段が考えられますか。........... 29
Ｑ15－３ （削除） ............................................................................................................. 29
16：外的環境の把握 ............................................................................................................. 29
Ｑ16－１「外的環境の把握」について、「外国において特定個人情報等を取り扱う
場合」とは、どのような場合ですか。 .............................................................. 29

Ｑ16－２「外的環境の把握」について、外国にある支店や営業所に特定個人情報を取り扱わせる場合には、当該外国の個人情報の保護に関する制度等を把握する必要がありますか。外国にある従業者に特定個人情報を取り扱わせる
場合はどうですか。 ........................................................................................... 29

Ｑ16－３「外的環境の把握」について、外国にある第三者に特定個人情報の取扱いを委託する場合には、当該外国の個人情報の保護に関する制度等を把握する必要がありますか。委託先が外国にある第三者に特定個人情報の取扱いを再委託した場合はどうですか。 ..................................................................... 30

Ｑ16－４「外的環境の把握」について、外国にある第三者の提供するクラウドサー
ビスを利用し、その管理するサーバに特定個人情報を保存する場合、当該

目次－9

外国の個人情報の保護に関する制度等を把握する必要がありますか。........... 30【（別添２）漏えい等報告等】 ............................................................................................. 31
17：特定個人情報の漏えい等の報告等 ................................................................................ 31
Ｑ17－１

特定個人情報の漏えいに該当しない「特定個人情報を第三者に閲覧されな
いうちに全てを回収した場合」としては、どのようなものがありますか。 ... 31

Ｑ17－２

特定個人情報が記録されたＵＳＢメモリを紛失したものの、紛失場所が社内か社外か特定できない場合には、漏えいに該当しますか。 ......................... 32

Ｑ17－３

特定個人情報の漏えい等に関する報告等（事業者編）２「番号法違反の事
案又は番号法違反のおそれのある事案」とは、どういう事案を指すのですか。 .................................................................................................................... 32

Ｑ17－４（別添２）特定個人情報の漏えい等に関する報告等（事業者編）２の「漏えい等事案が発覚した場合に講ずべき措置」の「Ａ事業者内部における報告及び被害の拡大防止」にある「責任ある立場の者」とは、どういう役職を想定していますか。.................................................................................... 32
Ｑ17－５（別添２）特定個人情報の漏えい等に関する報告等（事業者編）２の「漏えい等事案が発覚した場合に講ずべき措置」の「Ａ事業者内部における報告及び被害の拡大防止」にある「漏えい等事案による被害が発覚時よりも拡大しないよう必要な措置を講ずる」とは、具体的には、どのような対応をとることが考えられますか。 ..................................................................... 32
Ｑ17－６（別添２）特定個人情報の漏えい等に関する報告等（事業者編）２の「漏えい等事案が発覚した場合に講ずべき措置」の「Ｃ影響範囲の特定」にある「把握した事実関係による影響範囲の特定のために必要な措置を講ずる」とは、どういうことですか。 ..................................................................... 33
Ｑ17－７

本人が第三者の作成した個人番号利用事務等実施者のウェブサイトに偽装したウェブサイト（いわゆるフィッシングサイト）にアクセスし、特定個
人情報を入力した場合、報告対象となりますか。 ........................................... 33

Ｑ17－８

個人番号関係事務を処理する民間事業者において、特定個人情報を処理しているパソコンがウイルス感染したことが発覚した場合、行政手続における特定の個人を識別するための番号の利用等に関する法律第 29 条の４第１項及び第２項に基づく特定個人情報の漏えい等に関する報告等に関する規則第２条第１号に当てはまるのですか。 .......................................................... 33

Ｑ17－９

行政手続における特定の個人を識別するための番号の利用等に関する法律
第 29 条の４第１項及び第２項に基づく特定個人情報の漏えい等に関する報告等に関する規則第２条第２号は、従業員が自宅で業務の続きをするために、社内規程に違反して、特定個人情報を含む資料を自宅に持ち帰った場
合も当てはまるのですか。 ................................................................................ 33

目次－10

Ｑ17－10

行政手続における特定の個人を識別するための番号の利用等に関する法律
第 29 条の４第１項及び第２項に基づく特定個人情報の漏えい等に関する報告等に関する規則第２条第３号にある「電磁的方法により不特定多数の者に閲覧されるおそれがある事態」とは、具体的にどのような事態を指しますか。 ................................................................................................................. 34

Ｑ17－11（別添２）特定個人情報の漏えい等に関する報告等（事業者編） ３Ａの「（※３）（イ）」に「特定個人情報を格納しているサーバや、当該サーバにアクセス権限を有する端末において、情報を窃取する振る舞いが判明しているマルウェアの感染が確認された場合」とあります が、特定個人情報を格納しているサーバにおいてマルウェアを検知した場合には、漏えいのおそれがあると判断されますか。 ................................................................. 34

Ｑ17－12

報告対象事態に該当しない場合であっても、個人情報保護委員会への報告を行うことは可能ですか。 ................................................................................ 34

Ｑ17－13 番号法第 29 条の４、本ガイドラインに基づく漏えい等報告を個人情報保護委員会へ行った場合、事業所管大臣等への報告は不要ですか。...................... 35
Ｑ17－14「特定個人情報について、高度な暗号化等の秘匿化がされている場合」とは、どのような場合が該当しますか。 .............................................................. 35

Ｑ17－15

委託元から特定個人情報の取扱いの委託を受けている場合において、委託元において報告対象となる特定個人情報の漏えい等が発生した場合、委託先は報告義務を負いますか。 ............................................................................ 35

Ｑ17－16

委託元と委託先の双方が委員会へ報告する義務を負う場合、委託元及び委託先の連名で報告することができますか。
また、委託先が委員会への報告義務を免除された場合であっても、委託元及び委託先の連名で報告することができますか。 ........................................ 36

Ｑ17－17

クラウドサービス提供事業者が、特定個人情報を取り扱わないこととなっている場合（Ｑ３－12、Ｑ３―13 参照）において、報告対象となる特定個人情報の漏えい等が発生したときには、クラウドサービスを利用する事
業者とクラウドサービス提供事業者はそれぞれ報告義務を負いますか。 ....... 36

Ｑ17－18

配送事業者を利用して特定個人情報を含むものを送る場合において、当該配送事業者の誤配送により報告対象となる特定個人情報の漏えいが発生したときには、配送事業者を利用した事業者と配送事業者はそれぞれ報告義務を負いますか。............................................................................................... 36

Ｑ17－19（別添２）特定個人情報の漏えい等に関する報告等（事業者編）３Ｃにおいて、報告期限の起算点となる「知った」時点について、「個人番号利用
事務等実施者が法人である場合には、いずれかの部署が当該事態を知った時点を基準」とありますが、具体的には部署内の誰が認識した時点を基準

目次－11

としますか。 ...................................................................................................... 37
Ｑ17－20

漏えい等報告における報告事項となっている「二次被害又はそのおそれの有無及びその内容」の「二次被害」にはどのような事項が含まれますか。 ... 37

Ｑ17－21

漏えい等報告における報告事項となっている「その他参考となる事項」には、どのような事項が含まれますか。 .............................................................. 37

Ｑ17－22

漏えい等事案について、個人情報保護委員会に報告する場合、どのような方法で報告すればよいですか。......................................................................... 37

Ｑ17－23 個人番号を含む個人データの漏えい等が発生し、番号法第 29 条の４の報告対象に該当するとともに、個人情報保護法第 26 条第１項の報告対象にも該当する場合には、どのように報告を行えばよいですか。................................. 38
Ｑ17－24

委託元と委託先の双方が本人へ通知する義務を負う場合、委託元及び委託先の連名で通知することができますか。
また、委託先が本人への通知義務を免除された場合であっても、委託元
及び委託先の連名で通知することができますか。 ........................................... 38

Ｑ17－25 本人への通知について、口頭で行うことは可能ですか。................................. 38
Ｑ17－26

本人への通知事項となっている「その他参考となる事項」には、どのような事項が含まれますか。.................................................................................... 38

Ｑ17－27

本人に関する連絡先を複数保有している場合において、１つの連絡先に連絡して本人に連絡がとれなければ、本人への通知が困難であると解してよいですか。 ......................................................................................................... 38

Ｑ17－28（別添２）特定個人情報の漏えい等に関する報告等（事業者編） ４Ｅの「代替措置に該当する事例」である「問合せ窓口を用意してその連絡先を公表し、本人が自らの特定個人情報が対象となっているか否かを確認できるようにする」場合について、問合せ窓口として、常設している個人情報の取扱いに関する相談を受け付ける窓口を利用することは可能ですか。 ....... 39

Ｑ17－29

本人への通知の代替措置として事案の公表を行う場合に、本人が特定されるおそれがある事項についてまで公表する必要がありますか。...................... 39

Ｑ17－30

漏えい等事案が発生した場合に、公表を行うことは義務付けられています
か。 .................................................................................................................... 39【（別冊）金融業務】 ........................................................................................................... 39
18：個人番号の利用制限 ...................................................................................................... 39
Ｑ18－１

顧客の個人番号を適法に保管している場合であっても、新しい契約を締結
するごとに改めて個人番号の提供を求める必要がありますか。...................... 39

Ｑ18－２

顧客から契約ごとに個人番号の提供を受けた場合、個人番号が一致することによって結果的に顧客が同一人物であることを認識することとなります
が、それ自体は利用制限に違反しますか。また、個人番号が一致した顧客

目次－12

について、契約ごとに管理されている顧客情報（商品購入履歴、資産情報
等）を、個人番号を利用して連携させることは利用制限に違反しますか。 ... 40
Ｑ18－３

金融機関が顧客から個人番号の提供を受ける際に、「激甚災害時等に金銭の支払を行う事務」を利用目的として特定して、本人への通知等を行う必要がありますか。............................................................................................... 40

Ｑ18－４

税務調査において、個人番号を指定した調査要求があった場合、その個人番号に基づいて資料の検索を行うことはできますか。 .................................... 40

Ｑ18－５

金融機関が、利用目的を「金融商品取引に関する支払調書作成事務」と特定し、顧客から個人番号の提供を受けていた場合、「預貯金口座への付番に関する事務」のためにその個人番号を利用するには、どのような対応が必要ですか。 ...................................................................................................... 40

Ｑ18－６

個人番号の利用目的を特定する場合、どのように特定することが考えられますか。 ............................................................................................................. 41

19：個人番号の提供の要求 .................................................................................................. 41
Ｑ19－１

契約の締結時点で支払金額が定まっておらず、支払調書の提出要否が明らかでない場合、その契約の締結時点で個人番号の提供を求めることができますか。 ............................................................................................................. 41

Ｑ19－２

株式や投資信託の取引を行うために、特定口座ではなく、いわゆる「一般口座」（証券口座・投資信託口座）を開設する場合、その口座開設時点で個人番号の提供を求めることができますか。 ................................................... 41

Ｑ19－３

保険代理店では、複数の損害保険会社・生命保険会社の商品を同一代理店で販売していますが、複数の保険会社を連名にして同一の機会に個人番号の提供を受けることはできますか。 ................................................................. 41

Ｑ19－４

生損保にまたがる保険商品の場合、一方の保険会社が代表して個人番号の提供を受けることはできますか。 ..................................................................... 41

Ｑ19－５

死亡保険金の支払に伴って提出する支払調書に記載する保険契約者の個人
番号の収集について、どのような注意が必要ですか。 .................................... 42

Ｑ19－６

金融機関の顧客が個人番号の提供を拒んだ場合、どのような対応が適切ですか。 ................................................................................................................. 42

Ｑ19－７

内国税の適正な課税の確保を図るための国外送金等に係る調書の提出等に関する法律（以下「国外送金等調書法」という。）では、送金金額が同法の定める一定の金額以下の場合に支払調書の提出は不要となっていますが、個人番号が記載された告知書の提出については、送金金額による提出省略基準はありません。支払調書の提出が不要となる場合、個人番号が記載された告知書の提供を受けることは提供制限に違反しますか。 ......................... 42

Ｑ19－８

財産形成住宅貯蓄・財産形成年金貯蓄の非課税に関する申告書は、法令に目次－13

基づき、勤務先等及び金融機関を経由して税務署長に提出されることとなっています。この場合、勤務先等及び金融機関がそれぞれ個人番号関係事
務実施者となり、金融機関は勤務先等に対し、個人番号の提供を求めると考えてよいですか。 ........................................................................................... 43
Ｑ19－９

保険会社から個人番号関係事務の委託を受けた保険代理店（保険窓販を行う銀行等を含む。）は、保険会社が既に顧客から個人番号の提供を受け、適法に保管している場合であっても、保険契約の都度個人番号の提供を求める必要がありますか。.................................................................................... 43

20：個人番号の提供の求めの制限、特定個人情報の提供制限 ........................................... 43
Ｑ20－１

所得税法等により本人に交付することが義務付けられている支払通知書にも個人番号を記載して交付してよいですか。 ................................................... 43

Ｑ20－２

犯罪による収益の移転防止に関する法律（以下「犯罪収益移転防止法」という。）に基づく取引時確認を実施する際に、本人確認書類として個人番
号カードの提示を受けた場合、本人確認書類を特定するに足りる事項として、個人番号を記録することはできますか。 ................................................... 43

Ｑ20－３

株式等振替制度を活用して特定個人情報の提供を受けることができる株式発行者から株主名簿に関する事務の委託を受けた株主名簿管理人は、株式発行者と同様に、番号法第 19 条第 12 号に従って特定個人情報の提供を受けることができますか。.................................................................................... 44

21：安全管理措置 ................................................................................................................. 44
Ｑ21－１

国外送金等調書の作成・提出に係る事務処理については、外国為替業務に係るシステム処理の一環として行われていますが、その中で個人番号関係
事務を区分し、個人番号を取り扱う従業者を限定する必要がありますか。 ... 44

目次－14

【事業者編】
１：個人番号の利用制限
Ｑ１－１

個人番号の利用目的を特定して、本人への通知等を行うに当たり、個人番号の提出先を具体的に示す必要がありますか。
Ａ１－１

個人番号関係事務は、本人から個人番号の提供を受けて、その個人番号を個人

番号利用事務実施者に提供する事務であり、通常これらの事務を利用目的として示せば提供先も明らかになっているものと解されますので、必ずしも個々の提出先を具体的に示す必要はありません。
Ｑ１－１－２

個人番号の利用目的について、個人情報保護法における個人情報の利用

目的とは区別して本人に通知等を行う必要がありますか。
Ａ１－１－２

個人番号の利用目的と個人情報保護法における個人情報の利用目的とを区別して通知等を行う法的義務はありませんが、個人番号の利用範囲は限定されているため、その利用範囲を超えて利用目的を特定・通知等しないよう留意する必要があります。
（平成 27 年４月追加）
Ｑ１－１－３

個人番号の利用目的を特定する場合、どのように特定することが考えられますか。
Ａ１－１－３

個人番号関係事務の場合、例えば、「源泉徴収票作成事務」、「健康保険・厚生年金保険届出事務」のように特定することが考えられます。
（平成 30 年９月追加）
Ｑ１－２

利用目的の特定の事例として「源泉徴収票作成事務」が記載されています

が、「源泉徴収票作成事務」には、給与支払報告書や退職所得の特別徴収票も含まれると考えてよいですか。
Ａ１－２

給与支払報告書、退職所得の特別徴収票は、源泉徴収票と共に統一的な書式で作成することとなることから、「源泉徴収票作成事務」に含まれるものと考えられ、例
えば、「給与支払報告書作成事務」、「退職所得の特別徴収票作成事務」のように、単独でそれらの事務を特定する必要はありません。
（平成 29 年３月更新）
Ｑ１－２－２

扶養控除等申告書に記載されている個人番号を、源泉徴収票作成事務に利用することはできますか。
Ａ１－２－２

扶養控除等申告書に記載された個人番号を取得するに当たり、源泉徴収票作成事務がその利用目的として含まれていると解されますので、個人番号を源泉徴収票作成事務に利用することは利用目的の範囲内の利用として認められます。
（平成 27 年４
月追加）

1

Ｑ１－３

複数の個人番号関係事務で個人番号を利用する可能性がある場合において、個人番号の利用が予想される全ての目的について、あらかじめ包括的に特定して、本人への通知等を行ってよいですか。
Ａ１－３

事業者と従業員等の間で個人番号の利用が予想される事務であれば、あらかじめ複数の事務を利用目的として特定して、本人への通知等を行うことができます。なお、
従業員等ごとに利用目的を特定し、通知等する必要はなく、事業者の利用目的を特定し、まとめて通知等することができます。（平成 30 年６月更新）
Ｑ１－３－２

利用目的として「源泉徴収票作成事務」、「健康保険・厚生年金保険届出事務」と特定し、その利用目的を本人に通知又は公表している場合、市区町村から電子的に送付されてくる従業員等に係る住民税の「特別徴収税額決定通知（特別徴収義
務者用）」に記載されている個人番号は、その利用目的の範囲内で利用することができますか。
Ａ１－３－２

利用目的を特定し、本人に通知又は公表しているのであれば、本人以外から提供を受けた個人番号についても、その利用目的の範囲内で利用することができます。
したがって、利用目的として「源泉徴収票作成事務」、「健康保険・厚生年金保険届出事務」と特定し、本人に通知又は公表している場合、「特別徴収税額決定通知（特別徴収義務者用）」に記載されている個人番号は、その利用目的の範囲内で利用することができます。
（平成 29 年３月追加・平成 30 年３月更新）
Ｑ１－３－３

従業員等に係る住民税の「特別徴収税額決定通知（特別徴収義務者用）」により個人番号の提供を受ける場合のように、本人以外から個人番号の提供を受けることが想定されますが、個人番号の利用目的は、個人番号の提供元ごとに特定する必要がありますか。
Ａ１－３－３ 利用目的の特定は、個人情報保護法第 17 条第１項に基づいて行うこととな
り、個人番号の提供元ごとに特定する必要はありません。例えば、「源泉徴収票作成事
務」、「健康保険・厚生年金保険届出事務」のように特定することで足ります。（平成 29
年３月追加・平成 30 年３月更新・令和４年４月更新）
Ｑ１－４

本人から個人番号の提供を受けるに当たり、利用目的について本人の同意を得る必要がありますか。
Ａ１－４ 個人番号の利用目的については、本人の同意を得る必要はありません。
Ｑ１－５ 個人番号の利用目的の通知等は、どのような方法で行うことが適切ですか。
Ａ１－５

個人番号の利用目的の通知等の方法としては、例えば次のような方法が考えられますが、詳細は個人情報保護法第 21 条及び個人情報保護法ガイドライン等を参照して

2

ください。
・ 社内ＬＡＮにおける通知
・ 自社のホームページ等への掲載による公表
・ 書面の提示による明示（平成 29 年５月・平成 30 年６月更新・令和４年４月更新）
Ｑ１－６

従業員等から、その扶養親族の個人番号が記載された扶養控除等申告書の提出を受ける際、個人番号の利用目的を従業員等に社内ＬＡＮや就業規則により特定・通知等していれば、扶養親族に対しても、従業員等（個人番号関係事務実施者）から同様の内容が特定・通知等されているものと考えてよいですか。
Ａ１－６ 個人情報保護法第 17 条（利用目的の特定）、同法第 21 条（取得に際しての利用目的の通知等）は、個人情報取扱事業者が個人情報を取り扱う際に適用があるものです。
当該個人情報の取得は当該本人から直接取得する場合に限られず、他人から取得する場合も含まれます。他人から当該本人の個人情報を取得する場合であっても、利用目的の通知等を行わなければなりません。
通知等の方法としては、個人情報保護法第 21 条及び個人情報保護法ガイドライン等に従って、従来から行っている個人情報の取得の際と同様の方法で行うことが考えられます。
（平成 29 年５月更新・令和４年４月更新）
Ｑ１－７

次の①②③の場合は、個人番号関係事務に係る一連の作業範囲として、利用目的の範囲内での利用と考えてよいですか。
①

収集した個人番号を特定個人情報ファイルへ登録し、登録結果を確認するために個人番号をその内容に含む情報をプリントアウトする場合②

個人番号関係事務を処理する目的で、特定個人情報ファイルに登録済の個人番号を照会機能で呼び出しプリントアウトする場合③

個人番号関係事務以外の業務を処理する目的（例えば、顧客の住所等を調べる等）で照会した端末の画面に、特定個人情報ファイルに登録済の情報が表示されており、これをプリントアウトする場合
Ａ１－７①

個人番号関係事務実施者が個人番号関係事務を処理する目的で、収集した個人番号

を特定個人情報ファイルへ登録し、登録結果を確認するために個人番号をその内容に含む情報をプリントアウトしますので、個人番号関係事務の範囲内での利用といえます。
②

個人番号関係事務実施者が個人番号関係事務を処理する目的で、特定個人情報ファ

イルに登録済の個人番号を照会機能で呼び出しプリントアウトしますので、①と同様に個人番号関係事務の範囲内での利用といえます。

3

③

個人番号関係事務の範囲外での利用になりますので、個人番号をプリントアウトしないように工夫する必要があります。
Ｑ１－８

支払調書の中には、支払金額が所管法令の定める一定の金額に満たない場

合、税務署長に提出することを要しないとされているものがあります。支払金額がその一定の金額に満たず、提出義務のない支払調書に個人番号を記載して税務署長に提出することは、目的外の利用として利用制限に違反しますか。
Ａ１－８

支払金額が所管法令の定める一定の金額に満たず、税務署長に提出することを要しないとされている支払調書についても、提出することまで禁止されておらず、支払調書であることに変わりはないと考えられることから、支払調書作成事務のために個人
番号の提供を受けている場合には、それを税務署長に提出する場合であっても利用目的の範囲内として個人番号を利用することができます。
Ｑ１－９ （削除）Ａ１－９ （削除）（平成 29 年５月削除）
Ｑ１－10

行政機関等から個人番号利用事務の委託を受けた事業者が、「委託に関する契約の内容に応じて、『特定個人情報の適正な取扱いに関するガイドライン（行政機関等・地方公共団体等編）』が適用されることとなる。
」とは、どういうことですか。
Ａ１－10

行政機関等から個人番号利用事務の委託を受けた者は、委託を受けた業務において、行政機関等に求められる安全管理措置を講ずる必要があることから、行政機関
等・地方公共団体等編ガイドラインの適用を受けることとしています。
また、委託を受けた業務内容（例えば、申請書の受付業務、業務システムへの入力業
務、通知書等の発送業務等）により、講ずべき安全管理措置等も変わってくることから、「委託に関する契約の内容に応じて」と記述しています。
Ｑ１－11

従業員等が個人番号関係事務実施者として扶養親族の個人番号を扶養控除等

申告書に記載して、勤務先である事業者に提出する場合に、事業者は番号法上の監督義務を負いますか。
Ａ１－11

従業員等は自ら個人番号関係事務実施者として扶養親族の個人番号の提供を受け、扶養控除等申告書を事業者に提出するものであることから、事業者が番号法上の監督義務を負うものではありません。
Ｑ１－12

従業員等が、国民年金法の第３号被保険者（第２号被保険者である従業員等の配偶者）に関する届出を行うことは個人番号関係事務に該当しますか。
Ａ１－12

国民年金法の第３号被保険者（第２号被保険者である従業員等の配偶者）に関4

する届出については、国民年金法第 12 条第５項及び第６項の規定に従って、第３号被保険者本人が事業者に提出することとなっています。したがって、第２号被保険者である
従業員等が第３号被保険者の届出を提出する場合には、第３号被保険者本人の代理人として提出することとなり、個人番号関係事務に該当しません。
Ｑ１－13

雇用契約に基づく給与所得の源泉徴収票作成事務のために提供を受けた個人

番号を、雇用する従業員の福利厚生の一環として財産形成住宅貯蓄や財産形成年金貯
蓄、職場積立ＮＩＳＡに関する事務のために利用することはできますか。
Ａ１－13

個人番号の提供を受けた時点では、財産形成住宅貯蓄等に関する事務のために

個人番号の提供を受けておりませんので、利用目的を変更して、本人に通知又は公表を行うことで当該事務に個人番号を利用することができます。
（平成 30 年３月追加）
Ｑ１－14

従業員の雇用形態をアルバイトから正社員に変更した場合、当初取得した個

人番号を利用することができますか。
Ａ１－14

従業員の雇用形態が変わっても、当初の利用目的の範囲内であれば個人番号を利用することができます。また、当初の利用目的を超えて利用する場合は、当初の利用目的と関連性を有すると合理的に認められる範囲内で利用目的を変更して、本人に通知
又は公表を行うことで、変更後の利用目的の範囲内で個人番号を利用することができます。
（平成 30 年３月追加）
２：特定個人情報ファイルの作成の制限
Ｑ２－１

次の①～⑤のケースについては、個人番号関係事務を処理するために必要な範囲内として、特定個人情報ファイルを作成することはできますか。
①

社内資料として過去の業務状況を記録するため、特定個人情報ファイルを作成す

ること②

個人番号関係事務又は個人番号利用事務の委託先が、委託者に対して業務状況を報告するために特定個人情報ファイルを作成すること③

個人番号の安全管理の観点から個人番号を仮名化して保管している場合において、その仮名化した情報と元の情報を照合するための照合表として特定個人情報フ
ァイルを作成すること④

提出書類間の整合性を確認するため、専ら合計表との突合に使用する目的で個人番号を記載した明細表を作成すること⑤

障害への対応等のために特定個人情報ファイルのバックアップファイルを作成す

ること
Ａ２－１
①

単に社内資料として過去の業務状況を記録する目的で特定個人情報ファイルを作成

5

することは、個人番号関係事務を処理するために必要な範囲に含まれるとはいえませんので、作成することはできません。
②

委託先への監督の一環として、業務状況を報告させる場合には、特定個人情報ファ

イルを作成することはできますが、委託された業務に関係なく特定個人情報ファイルを作成することはできません。
③・④⑤

個人番号関係事務の範囲内で、照合表や明細書を作成することは認められます。

バックアップファイルを作成することはできますが、バックアップファイルに対する安全管理措置を講ずる必要があります。
Ｑ２－２ 既存のデータベースに個人番号を追加することはできますか。
Ａ２－２

既存のデータベースに個人番号を追加することはできますが、個人番号関係事

務以外の事務で個人番号を利用することができないよう適切にアクセス制御等を行う必要があります。
Ｑ２－３

個人番号をその内容に含むデータベースを複数の事務で用いている場合、個人番号関係事務以外の事務で個人番号にアクセスできないよう適切にアクセス制御を行えば、その個人番号関係事務以外の事務においては、当該データベースが特定個人情報ファイルに該当しないと考えてよいですか。
Ａ２－３

個人番号関係事務以外の事務において、個人番号にアクセスできないよう適切にアクセス制御を行えば、特定個人情報ファイルに該当しません。
Ｑ２－４

個人番号が記載された書類等を利用して、個人番号関係事務以外の事務で個

人情報データベース等を作成したい場合は、どのように作成することが適切ですか。
Ａ２－４

個人情報保護法においては個人情報データベース等の作成に制限を設けていないことから、個人番号部分を復元できないようにマスキング処理をして個人情報保護法における個人情報とすることにより、個人情報保護法の規定に従って個人情報データベース等を作成することができます。
３：委託の取扱い
Ｑ３－１「個人番号関係事務又は個人番号利用事務の全部又は一部の委託をする者

は、委託先において、番号法に基づき委託者自らが果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行わなければならない。」としています
が、委託先において、番号法が求める水準の安全管理措置が講じられていればよく、委託者が実際に講じている安全管理措置と同等の措置まで求められているわけではな
いと考えてよいですか。
Ａ３－１

委託先は番号法が求める水準の安全管理措置を講ずるものであり、委託者が高6

度の措置をとっている場合にまで、それと同等の措置を求めているわけではありません。
ただし、安全管理措置の検討に当たっては、番号法だけではなく、個人情報保護法等関係法令並びに本ガイドライン及び個人情報保護法ガイドライン等を遵守する必要があります。
（平成 29 年５月更新）
Ｑ３－２

特定個人情報に係る委託先の監督について、個人情報保護法に加えて求められる監督義務の内容は何ですか。
Ａ３－２

委託者は、委託先において、番号法で求められている安全管理措置が講じられているかを監督する義務があります。本ガイドラインの安全管理措置特有なものとしては、主に、「個人番号を取り扱う事務の範囲の明確化」、「特定個人情報等の範囲の明確化」、「事務取扱担当者の明確化」、「個人番号の削除、機器及び電子媒体等の廃棄」が挙げられます。
Ｑ３－３

特定個人情報の取扱いを外国の事業者に委託する場合に、委託者としての安全管理措置を担保する上で、国内で実施する場合に加えて考慮するべき追加措置等はありますか。
Ａ３－３

国内外を問わず、委託先において、個人番号が漏えい等しないように、必要かつ適切な安全管理措置が講じられる必要があります。必要かつ適切な監督には、本ガイドラインのとおり、①委託先の適切な選定（具体的な確認事項：委託先の設備、技術水準、従業者に対する監督・教育の状況、その他委託先の経営環境等）、②委託先に安全管理措置を遵守させるために必要な契約の締結、③委託先における特定個人情報の取扱状況の把握が含まれます。なお、外国にある第三者に特定個人情報の取扱いを委託する
場合においては、安全管理措置として外的環境の把握を行う必要があります（16：外的環境の把握参照）。
（令和４年４月更新）
Ｑ３－４

特定個人情報を取り扱う委託契約を締結する場合、個人情報の取扱いと特定

個人情報の取扱いの条項を分別した契約とする必要がありますか。
Ａ３－４

番号法上の安全管理措置が遵守されるのであれば、個人情報の取扱いと特定個

人情報の取扱いの条項を分別する必要はありません。
Ｑ３－５

既存の委託契約で、本ガイドラインと同等の個人情報の取扱いの規定がある

場合、特定個人情報も包含していると解釈して、委託契約の再締結はしなくてもよい
ですか。
Ａ３－５

既存の契約内容で必要な番号法上の安全管理措置が講じられているのであれば、委託契約を再締結する必要はありません。

7

Ｑ３－６

「委託先に安全管理措置を遵守させるために必要な契約の締結」について、実態として安全管理措置に係る委託者と委託先の合意が担保できる方法であれば、契約の締結以外の方法（例えば、誓約書や合意書の作成）も認められますか。
Ａ３－６

委託者・委託先双方が安全管理措置の内容につき合意をすれば法的効果が発生しますので、当該措置の内容に関する委託者・委託先間の合意内容を客観的に明確化できる手段であれば、書式の類型を問いません。
Ｑ３－７

委託先・再委託先との業務委託契約を締結するに当たり、業務委託契約書等に、特定個人情報の取扱いを委託する旨の特段の記載が必要になりますか。
Ａ３－７

業務委託契約を締結する場合には、通常、委託する業務の範囲を特定することとなります。番号法においては、個人番号の利用範囲が限定的に定められていることから、委託先・再委託先との業務委託契約においても番号法で認められる事務の範囲内で委託する業務の範囲を特定する必要があります。
Ｑ３－８

再委託（再々委託以降を含む。）を行うに当たり、最初の委託者から必ず許諾を得る必要がありますか。
Ａ３－８

再委託につき許諾を要求する規定は、最初の委託者において、再委託先が十分な安全管理措置を講ずることのできる適切な業者かどうかを確認させるため設けられたものであり、番号法第 10 条第１項により明示されています。したがって、最初の委託者の許諾を得る必要があります。
なお、委託先や再委託先から個人番号や特定個人情報が漏えい等した場合、最初の委
託者は、委託先に対する監督責任を問われる可能性があります。
Ｑ３－８－２

再委託（再々委託以降を含む。）に関連して、①最初の委託者、②委託先、③再委託先は、それぞれどのような点に注意すればよいですか。
Ａ３－８－２①

最初の委託者は、委託先に対して必要かつ適切な監督を行わなければならず、また、再委託先に対しても間接的に監督義務を負います。
このため、委託先又は再委託先が最初の委託者の許諾を得ずに再委託を行うなど、委託先又は再委託先から個人番号や特定個人情報が漏えい等した場合、最初の委託者
は、委託先に対する監督責任を問われる可能性があります。
②

委託先は、再委託を行うに当たって、最初の委託者の許諾を得なければならず、また、再委託先に対して必要かつ適切な監督を行わなければなりません。
委託先が最初の委託者の許諾を得ずに再委託を行った場合、委託先だけでなく、再委託先も番号法違反と判断される可能性があります。これを踏まえ、再委託を行う際には、再委託先に対して、最初の委託者の許諾を得ていることを伝えてください。

8

③

再委託先は、最初の委託者の許諾を得ていることを確認せずに再委託を受け、結果として、最初の委託者の許諾を得ていない再委託に伴って特定個人情報を収集した場
合、番号法違反と判断される可能性があります。
このため、同法違反になることを防ぐためには、再委託を受けるに際して、当該再委託が最初の委託者の許諾を得ていることを確認することが重要な対応となります。
（令和元年 12 月追加）
Ｑ３－９

実務負荷の軽減のため、再委託を行う前に、あらかじめ委託者から再委託の許諾を得ることはできますか。
Ａ３－９

再委託につき許諾を要求する規定は、最初の委託者において、再委託先が十分な安全管理措置を講ずることのできる適切な業者かどうかを確認させるため設けられたものです。したがって、委託者が再委託の許諾をするに当たっては、再委託を行おうとする時点でその許諾を求めるのが原則です。その際、再委託先が特定個人情報を保護するための十分な措置を講じているかを確認する必要があります。
しかしながら、委託契約の締結時点において、再委託先となる可能性のある業者が具体的に特定されるとともに、適切な資料等に基づいて当該業者が特定個人情報を保護するための十分な措置を講ずる能力があることが確認され、実際に再委託が行われたとき
は、必要に応じて、委託者に対してその旨の報告をし、再委託の状況について委託先が委託者に対して定期的に報告するとの合意がなされている場合には、あらかじめ再委託の許諾を得ることもできると解されます。
Ｑ３－10

再委託（再々委託以降を含む。）に係る委託者の許諾の取得方法について、

書面、電子メール、口頭等方法の制限はありますか。
Ａ３－10

委託者の許諾の方法について、制限は特段ありませんが、安全管理措置について確認する必要があることに鑑み、書面等により記録として残る形式をとることが望ましいと考えられます。
Ｑ３－11

委託契約に定めれば、委託先が、委託者の従業員等の特定個人情報を直接収集することはできますか。
Ａ３－11 個人番号の収集を委託すれば、委託先が収集することができます。
Ｑ３－11－２

事業者が個人番号関係事務を委託している場合において、現在の委託先との委託契約を終了させて、新たに別の者に個人番号関係事務を委託するときに、現在の委託先が保有している特定個人情報を新たな委託先に直接提供させることはできますか。
Ａ３－11－２

現在の委託先との委託契約を終了させて、新たに別の者に委託する場合は、

9

委託契約終了後、現在の委託先の保有する特定個人情報を委託元に返却又は現在の委託先で廃棄し、委託元から新たな委託先に特定個人情報を提供することが一般的と考えられますが、委託元と新たな委託先との間で個人番号関係事務に関する委託契約が存在しているのであれば、委託元の指示に基づき、現在の委託先から新たな委託先へ、特定個
人情報を直接提供させることは可能です。
この場合、委託元と現在の委託先との間で、委託契約終了にあたって、委託契約により保有している特定個人情報は、委託元の指示に基づき、新たな委託先に全て引き渡す
ことをもって、保有している特定個人情報を委託元に返却したものとするなどの規定を追加することや、委託契約終了後に特定個人情報を保有していないことを確認することなどが望ましいと考えられます。
（平成 29 年７月追加）
Ｑ３－12

特定個人情報を取り扱う情報システムにクラウドサービス契約のように外部の事業者を活用している場合、番号法上の委託に該当しますか。
Ａ３－12

当該事業者が当該契約内容を履行するに当たって個人番号をその内容に含む電子データを取り扱うのかどうかが基準となります。当該事業者が個人番号をその内容に含む電子データを取り扱わない場合には、そもそも、個人番号関係事務又は個人番号利
用事務の全部又は一部の委託を受けたとみることはできませんので、番号法上の委託には該当しません。
当該事業者が個人番号をその内容に含む電子データを取り扱わない場合とは、契約条項によって当該事業者が個人番号をその内容に含む電子データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等が考えられます。（平成 27 年４月
更新・Ｑ９－２に分割）
Ｑ３－13

クラウドサービスが番号法上の委託に該当しない場合、クラウドサービスを利用する事業者が、クラウドサービスを提供する事業者に対して監督を行う義務は課されないと考えてよいですか。
Ａ３－13

クラウドサービスが番号法上の委託に該当しない場合、委託先の監督義務は課されませんが、クラウドサービスを利用する事業者は、自ら果たすべき安全管理措置の一環として、クラウドサービス事業者内にあるデータについて、適切な安全管理措置を講ずる必要があります。
Ｑ３－14

特定個人情報を取り扱う情報システム（機器を含む。以下、この項において同じ。）の保守の全部又は一部に外部の事業者を活用している場合、番号法上の委託に該当しますか。また、外部の事業者が記録媒体等を持ち帰ることは、提供制限に違反しますか。
Ａ３－14

当該保守サービスを提供する事業者（以下「保守サービス事業者」という。）

10

がサービス内容の全部又は一部として個人番号をその内容に含む電子データを取り扱う
場合には、個人番号関係事務又は個人番号利用事務の一部の委託に該当します。
〔典型的な例〕
・

個人番号を用いて情報システムの不具合を再現させ検証する場合

・

個人番号をキーワードとして情報を抽出する場合

一方、単純なハードウェア・ソフトウェア保守サービスのみを行う場合で、契約条項によって当該保守サービス事業者が個人番号をその内容に含む電子データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等には、個人番号関係事
務又は個人番号利用事務の委託に該当しません。
〔典型的な例〕
・

システム修正パッチやマルウェア対策のためのデータを配布し、適用する場合

・

保守サービスの作業中に個人番号が閲覧可能となる場合であっても、個人番号の収集（画面上に表示された個人番号を書き取ること、プリントアウトすること等をいう。以下、この項において同じ。
）を防止するための措置が講じられている場合

・

保守サービスの受付時等に個人番号をその内容に含む電子データが保存されていることを知らされていない場合であって、保守サービス中に個人番号をその内容に含む電子データが保存されていることが分かった場合であっても、個人番号の収集を防止するための措置が講じられている場合

・

不具合の生じた機器等を交換若しくは廃棄又は機器等を再利用するために初期化する場合等であって、機器等に保存されている個人番号をその内容に含む電子デー
タを取り扱わないことが契約等で明確であり、取扱いを防止するためのアクセス制
御等の措置が講じられている場合

・

不具合の生じたソフトウェアの解析をするためにメモリダンプの解析をする場合であって、メモリダンプ内の個人番号をその内容に含む電子データを再現しないこと等が契約等で明確であり、再現等を防止するための措置が講じられている場合

・

個人番号をその内容に含む電子データのバックアップの取得又は復元を行う場合
であって、バックアップデータ内の当該電子データを取り扱わないことが契約等で明確であり、取扱いを防止するためのアクセス制御等の措置が講じられている場合

なお、個人番号関係事務又は個人番号利用事務の委託に該当しない保守サービスの場
合は、従来の個人情報又は営業秘密等が保存されている情報システムの保守サービスにおける安全管理措置の考え方と同様と考えられます。
個人番号関係事務又は個人番号利用事務の一部の委託に該当する保守サービスであって、保守のために記録媒体等を持ち帰ることが想定される場合は、あらかじめ特定個人情報の保管を委託し、安全管理措置を確認する必要があります。
（平成 28 年６月更新）

11Ｑ３－14－２

特定個人情報の受渡しに関して、配送業者、通信事業者等の外部事業者

による配送・通信手段を利用する場合、番号法上の委託に該当しますか。
Ａ３－14－２

特定個人情報の受渡しに関して、配送業者による配送手段を利用する場合、当該配送業者は、通常、依頼された特定個人情報の中身の詳細については関知しないことから、事業者と配送業者との間で特に特定個人情報の取扱いについての合意があった
場合を除き、個人番号関係事務又は個人番号利用事務の委託には該当しないものと解されます。
また、通信事業者による通信手段を利用する場合も、当該通信事業者は、通常、特定個人情報を取り扱っているのではなく、通信手段を提供しているにすぎないことから、
個人番号関係事務又は個人番号利用事務の委託には該当しないものと解されます。
なお、事業者には、安全管理措置（番号法第 12 条等）を講ずる義務が課せられていますので、個人番号及び特定個人情報が漏えいしないよう、適切な外部事業者の選択、安全な配送方法の指定等の措置を講ずる必要があります。
（平成 27 年４月追加）
Ｑ３－15

委託の取扱いについて、個人情報保護法と番号法の規定の違いはあります

か。
Ａ３－15

委託先が再委託を行う場合の要件について、個人情報保護法では特段の規定はありませんが、番号法では、再委託以降の全ての段階の委託について、最初の委託者の許諾を得ることを要件としています。
（平成 29 年５月更新）
Ｑ３－16

再委託先に対する監督について、具体的にどのように実施することが考えら

れますか。
Ａ３－16

例えば、委託者が委託先に求める報告の内容に、委託先の再委託先に対する監督の内容（①再委託先の適切な選定、②再委託先に安全管理措置を遵守させるために必要な契約の締結、③再委託先における特定個人情報の取扱状況の把握）を含めることが考えられます。
（平成 30 年９月追加）
４：個人番号の提供の要求
Ｑ４－１ 事業者は、「内定者」に個人番号の提供を求めることはできますか。
Ａ４－１

いわゆる「内定者」については、その立場や状況が個々に異なることから一律に取り扱うことはできませんが、例えば、「内定者」が確実に雇用されることが予想される場合（正式な内定通知がなされ、入社に関する誓約書を提出した場合等）には、その時点で個人番号の提供を求めることができると解されます。
Ｑ４－１－２

個人番号関係事務実施者である事業者（事業者から個人番号を収集する

12

事務の委託を受けた者を含む。）は、従業員等の家族全員の個人番号を収集することができますか。
Ａ４－１－２

個人番号関係事務実施者である事業者（事業者から個人番号を収集する事

務の委託を受けた者を含む。）は、個人番号関係事務を処理するために必要がある場合に限って、本人又は他の個人番号関係事務実施者に対して個人番号の提供を求めることができます。
したがって、例えば、家族であっても社会保障や税における扶養親族に該当しない者などは、事業者として個人番号関係事務を処理する必要がないことから、それらの者の個人番号の提供を求めることはできません。
（平成 27 年８月追加）
Ｑ４－２

不動産の使用料等の支払調書の提出範囲は、同一人に対するその年中の支払金額の合計が所得税法の定める一定の金額を超えるものとなっていますが、その一定の金額を超えない場合は個人番号の提供を求めることはできませんか。
Ａ４－２

不動産の賃貸借契約については、通常、契約内容で一か月当たりの賃料が定められる等、契約を締結する時点において、既にその年中に支払う額が明確となっている場合が多いと思われます。したがって、契約を締結する時点で、契約内容によってその年中の賃料の合計が所得税法の定める一定の金額を超えず、支払調書を提出しないことが明らかな場合には、個人番号の提供を求めることはできません。
一方、年の途中に契約を締結したことから、その年は支払調書の提出が不要であっても、翌年は支払調書の提出が必要とされる場合には、翌年の支払調書作成・提出事務のために当該個人番号の提供を求めることができると解されます。
（平成 30 年６月更新）
Ｑ４－３

親会社が、子会社の従業員に対しストックオプションを交付している場合、親会社は、従業員が子会社に入社した時点で個人番号の提供を求めることはできますか。
Ａ４－３

子会社の従業員等となった時点で、子会社との雇用関係に基づいて親会社からストックオプションの交付を受けることが予想されるのであれば、個人番号関係事務を処理する必要性があるものと認められますので、親会社においてはその時点で個人番号の提供を受けることができると解されます。
Ｑ４－４

従業員持株会は、従業員が所属会社に入社した時点で、その従業員に個人番号の提供を求めることはできますか。また、所属会社経由で個人番号の提供を受けることはできますか。
Ａ４－４

従業員等が所属会社に入社した時点では、個人番号関係事務の処理のために必要がある場合とはいえませんので、持株会が従業員等に個人番号の提供を求めることはできません。従業員等が株主となるために持株会に入会申請した時点で、当該従業員等13に対し、個人番号の提供を求めることとなります。
また、持株会が個人番号の収集・本人確認事務を所属会社に委託している場合は、持株会が所属会社経由で従業員等の個人番号の提供を受けることができます。
（平成 30 年
３月更新）
Ｑ４－５

人材派遣会社は、派遣登録を行う時点で、登録者の個人番号の提供を求めることはできますか。
Ａ４－５

人材派遣会社に登録したのみでは、雇用されるかどうかは未定で個人番号関係

事務の発生が予想されず、いまだ給与の源泉徴収事務等の個人番号関係事務を処理する必要性が認められるとはいえないため、原則として登録者の個人番号の提供を求めることはできません。
ただし、登録時にしか本人確認をした上で個人番号の提供を求める機会がなく、実際に雇用する際の給与支給条件等を決める等、近い将来雇用契約が成立する蓋然性が高いと認められる場合には、雇用契約が成立した場合に準じて、個人番号の提供を求めることができると解されます。
Ｑ４－６

従業員や講演料等の支払先等から個人番号の提供を受けられない場合、どのように対応すればよいですか。
Ａ４－６ 【国税庁ホームページ「法定調書に関するＦＡＱ」（Ｑ１－２）（平成 30 年４月
27 日更新）より】
法定調書の作成などに際し、従業員等からマイナンバー（個人番号）の提供を受けられない場合でも、安易に法定調書等にマイナンバー（個人番号）を記載しないで税務署等に書類を提出せず、従業員等に対してマイナンバー（個人番号）の記載は、法律（国税通則法、所得税法等）で定められた義務であることを伝え、提供を求めてください。
それでもなお、提供を受けられない場合は、提供を求めた経過等を記録、保存するな
どし、単なる義務違反でないことを明確にしておいてください。従業員等との間でマイナンバー（個人番号）の提供の有無を判別できますので、特定個人情報保護の観点からも経過等の記録を行うことが望ましいものと考えられます。
なお、税務署では、社会保障・税番号＜マイナンバー＞制度に対する国民の理解の浸透には一定の時間を要する点などを考慮し、マイナンバー（個人番号）・法人番号の記載がない場合でも書類を収受することとしていますが、マイナンバー（個人番号）・法人番号の記載は、法律（国税通則法、所得税法等）で定められた義務であることから、今後の法定調書の作成などのために、今回マイナンバー（個人番号）の提供を受けられなかった方に対して、引き続きマイナンバーの提供を求めていただきますようお願いします。
（注）マイナンバー（個人番号）の提供を受けられない場合における、「提供を求め

14

た経過等の記録、保存」は法令上の義務ではありません。「いつ提供を求め、その結果として提供を受けられなかった事実」を事後的に明らかにすることが可能であればよく、提供を受けることができなかった個別の事情までは記録する必要はありません。
（平成 27 年 10 月追加・平成 28 年４月・平成 30 年６月更新）
５：個人番号の提供の求めの制限、特定個人情報の提供制限
Ｑ５－１「他人」の定義における「同一の世帯」とは、住民票上における同じ世帯と解釈してよいですか。
Ａ５－１「世帯」とは、住居及び生計を共にする者の集まり又は独立して住居を維持する単身者と定義されています（国勢調査令第２条第２項参照）。番号法においては前者を指すものと解されます。
Ｑ５－１－２ （削除）Ａ５－１－２ （削除）（平成 29 年５月削除）
Ｑ５－２

従業員等本人に給与所得の源泉徴収票を交付する場合において、その従業員

等本人や扶養親族の個人番号を記載して交付してよいですか。
Ａ５－２ 本人交付用の給与所得の源泉徴収票については、平成 27 年 10 月２日に所得税法施行規則第 93 条が改正され、その本人及び扶養親族の個人番号を記載しないこととされました。したがって、その本人及び扶養親族の個人番号を記載していない源泉徴収票を本人に交付することとなります。
なお、個人情報保護法第 33 条に基づき、本人から自身の個人番号を含む情報として源泉徴収票などの開示の請求があった場合には、本人の個人番号を記載して開示することが可能です。
（平成 27 年 10 月・平成 29 年５月更新・令和４年４月更新）
Ｑ５－３

住宅の取得に関する借入れ（住宅ローン）等で個人番号が記載された給与所

得の源泉徴収票を使用することはできますか。
Ａ５－３ 本人交付用の給与所得の源泉徴収票については、平成 27 年 10 月２日に所得税法施行規則第 93 条が改正され、その本人及び扶養親族の個人番号が記載されていない源
泉徴収票の交付を受けることとなります。
なお、個人情報保護法第 33 条の開示の請求に基づく個人番号が記載された源泉徴収票
を住宅の取得に関する借入れ（住宅ローン）等で活用する場合には、個人番号部分を復元できない程度にマスキングする等の工夫が必要となります。
（平成 27 年 10 月・平成 29
年５月更新・令和４年４月更新）

15

Ｑ５－４

所得税法等により本人に交付することが義務付けられている支払通知書（配当等とみなす金額に関する支払通知書等）にも個人番号を記載して交付してよいですか。
Ａ５－４

所得税法等により本人に交付することが義務付けられている支払通知書（配当等とみなす金額に関する支払通知書等）については、平成 27 年 10 月２日に所得税法施行規則等が改正され、本人の個人番号を記載しないで本人に交付することとされました。
したがって、個人番号を記載していない支払通知書を本人に交付することとなります。
なお、個人情報保護法第 33 条に基づき、本人から自身の個人番号を含む情報として支払通知書などの開示の請求があった場合には、本人の個人番号を記載して開示することが可能です。
（平成 27 年 10 月・平成 29 年５月更新・令和４年４月更新）
Ｑ５－５

公認会計士又は監査法人が、監査手続を実施するに当たって、監査を受ける事業者から特定個人情報の提供を受けることは、提供制限に違反しますか。
Ａ５－５ 会社法第 436 条第２項第１号等に基づき、会計監査人として法定監査を行う場
合には、法令等の規定に基づき特定個人情報を取り扱うことが可能と解されます。
一方、金融商品取引法第 193 条の２に基づく法定監査等及び任意の監査の場合には、
個人番号関係事務の一部の委託を受けた者として番号法第 19 条第６号により、特定個人情報の提供を受けることが可能と解されます。
（令和３年９月更新）
Ｑ５－６

財産形成住宅貯蓄・財産形成年金貯蓄の非課税に関する申告書は、法令に基づき、勤務先等及び金融機関を経由して税務署長に提出されることとなっています。
この場合、勤務先等及び金融機関がそれぞれ個人番号関係事務実施者となり、勤務先等は本人から提供を受けた特定個人情報を、金融機関に対して提供すると考えてよい
ですか。
Ａ５－６

個人番号が記載された申告書が、法令に基づき、勤務先等及び金融機関を経由して税務署長に提出される場合、勤務先等及び金融機関がそれぞれ個人番号関係事務実
施者となり、勤務先等は本人から提供を受けた特定個人情報を、金融機関に対して提供することとなります。なお、本人確認の措置は、勤務先等が本人から個人番号の提供を受ける際に実施することとなります。
（平成 28 年４月更新）
Ｑ５－７

個人情報取扱事業者は、本人からの開示の請求に応じて、本人に特定個人情報を提供することはできますか。
Ａ５－７ 本人から個人情報保護法第 33 条に基づく開示の請求がされた場合は、番号法第19 条各号に定めはないものの、法の解釈上当然に特定個人情報の提供が認められます。
したがって、個人情報取扱事業者が、本人からの開示の請求に応じて、本人に特定個人情報の開示を行うことは認められます。
（平成 29 年５月更新・令和４年４月更新）

16

Ｑ５－８ 支払調書等の写しを本人に送付することはできますか。
Ａ５－８ 個人情報保護法第 33 条に基づいて開示の請求を行った本人に開示を行う場合は、支払調書等の写しを本人に送付することができます。その際の開示の請求を受け付ける方法として、書面による方法のほか、口頭による方法等を定めることも考えられます。
なお、当該支払調書等の写しに本人以外の個人番号が含まれている場合には、本人以外の個人番号を記載しない措置や復元できない程度にマスキングする等の工夫が必要となります。
（平成 29 年５月更新・令和４年４月更新）
Ｑ５－８－２

個人番号を記載しなければ、支払調書等の写しを本人に送付することはできますか。
Ａ５－８－２

本人の個人番号を含めて全ての個人番号を記載しない措置や復元できない程度にマスキングすれば、番号法上の提供制限の適用を受けないことから、個人情報保
護法第 33 条に基づく開示の請求によらず、支払調書等の写しを本人に送付することが可能です。
（平成 27 年４月追加・平成 29 年５月更新・令和４年４月更新）
Ｑ５－９ 番号法第 19 条各号のいずれにも該当しない特定個人情報の提供の求めがあった場合、どのように対応することが適切ですか。
Ａ５－９ 特定個人情報の提供の求めが第 19 条各号に該当しない場合には、その特定個人情報を提供することはできません。なお、その特定個人情報のうち個人番号部分を復元できない程度にマスキング又は削除すれば個人情報保護法における個人情報となります
ので、個人情報保護法第 27 条に従うこととなります。
（令和４年４月更新）
Ｑ５－10

身分証明書等として個人番号カードを提示する際に裏面の個人番号を見られた場合、特定個人情報の提供制限に違反しますか。
Ａ５－10

身分証明書等として個人番号カードを提示する場合に、意図せずに裏面の個人番号を見られた等により個人番号が閲覧されただけでは、特定個人情報の提供に該当しません。
（令和元年９月追加）
Ｑ５－11

個人番号カードを拾得しましたが、警察に届け出ることは特定個人情報の提供制限に違反しますか。また、警察に届け出るまでの間、一時的に預かることは、特定個人情報の収集・保管制限に違反しますか。
Ａ５－11

拾得した個人番号カードを警察に届け出ることは、特定個人情報の提供制限に違反しません。
また、拾得した個人番号カードを警察に届け出るまでの間、一時的に預かることは特定個人情報の収集・保管制限に違反しません。（令和元年９月追加）

17

Ｑ５－12 番号法第 19 条第 4 号の「従業者等の同意」について、使用者等は、従業者等から、事前に同意を取得しておくことは可能ですか。例えば、将来グループ会社へ転籍する可能性があるため、従業者等の入社時に、将来グループ会社へ転籍する際には使用者等から転籍先のグループ会社に対し、個人番号関係事務を処理するために必要な限度で、個人番号を含む特定個人情報を提供できることに関する同意を取得しておくことは可能ですか。
Ａ５－12

番号法第 19 条第４号の「従業者等の同意」については、従業者等の出向・転

籍・再就職等先の決定以後に、個人番号を含む特定個人情報の具体的な提供先を明らかにした上で、当該従業者等から同意を取得することが必要です。
個別の事案ごとに、具体的に判断されることになりますが、将来グループ会社へ転籍する可能性があるため、従業者等の入社時に、将来グループ会社に転籍する際には使用者等から転籍先のグループ会社に対し、個人番号関係事務を処理するために必要な限度
で、個人番号を含む特定個人情報を提供できることに関する同意を取得したとしても、「従業者等の同意」を取得したことにはならないと解されます。
（令和３年９月追加）
Ｑ５－13 番号法第 19 条第４号に基づき、個人番号を含む特定個人情報の提供を受ける
使用者等は、提供元が従業者等から同意を取得していることを確認する必要はありま
すか。
Ａ５－13

個人番号を含む特定個人情報の提供を受ける使用者等は、提供元が従業者等から同意を取得していることを確認する義務はありません。（令和３年９月追加）
Ｑ５－14 個人番号関係事務を処理するために必要である場合、番号法 19 条４号により次の特定個人情報を提供することができますか。
①従業者等が個人番号関係事務実施者として提出した扶養親族の特定個人情報②国民年金法の３号被保険者（第２号被保険者である従業者等の配偶者）に関し、従業者等が配偶者の代理人として提出した配偶者の特定個人情報
Ａ５－14 番号法第 19 条第４号に規定により提供できる特定個人情報の範囲は、「個人番号関係事務を処理するために必要な限度」とされているところであり、従業者等の配偶者や扶養親族の特定個人情報を提供することについて、同法第 19 条第１号の使用者等が個人番号関係事務を処理するために必要であるならば、当該特定個人情報は、同法第 19条第４号に規定する特定個人情報に該当すると解されます。
したがって、このような場合、番号法第 19 条第４号により特定個人情報を提供することが可能です。
なお、このような場合、特定個人情報の提供は、「当該従業者等の同意を得て」提供されるものであるため、従業者等の同意のみで提供が可能であると解されます。（令和18４年４月追加）
６：収集・保管制限
Ｑ６－１

個人番号が記載された書類等を受け取る担当者が、その特定個人情報を見ることができないようにする措置は必要ですか。
Ａ６－１

個人番号が記載された書類等を受け取る担当者に、個人番号の確認作業を行わせるかは事業者の判断によりますが、個人番号の確認作業をその担当者に行わせる場合
は、特定個人情報を見ることができないようにする措置は必要ありません。個人番号の確認作業をその担当者に行わせない場合、特定個人情報を見ることができないようにすることは、安全管理上有効な措置と考えられます。
Ｑ６－２

番号法上の本人確認の措置を実施する際に提示を受けた本人確認書類（個人番号カード、身元確認書類等）をコピーして、それを事業所内に保管することはでき
ますか。
Ａ６－２

番号法上の本人確認の措置を実施するに当たり、個人番号カード等の本人確認

書類のコピーを保管する法令上の義務はありませんが、本人確認の記録を残すためにコピーを保管することはできます。
ただし、コピーを保管する場合には、安全管理措置を適切に講ずる必要があります。
なお、個人番号を取得する際の本人確認書類の取扱いをめぐって、本人と事業者の間でトラブルとなる事例が発生していることに鑑みると、個人番号の確認の際に、本人確認書類のコピーの提出を受けた場合、必要な手続を行った後に本人確認書類が不要となった段階で、速やかに廃棄しましょう。
（平成 28 年４月・令和２年５月更新）
Ｑ６－２－２

扶養控除等申告書に記載される扶養親族の個人番号については、従業員が個人番号関係事務実施者として番号法上の本人確認を行うこととされており、事業者には本人確認義務は課せられていませんが、事業者に番号法上の本人確認義務がない場合であっても、書類に正しい番号が記載されているかを確認するために、事業者が扶養親族の個人番号カードのコピーを取得することはできますか。
Ａ６－２－２

個人番号関係事務においては正しい個人番号が取り扱われることが前提ですので、事業者は、個人番号関係事務を実施する一環として、個人番号カード等のコピーを取得し、個人番号を確認することが可能と解されます。
ただし、取得したコピーを保管する場合には、安全管理措置を適切に講ずる必要があります。
なお、個人番号を取得する際の本人確認書類の取扱いをめぐって、本人と事業者の間でトラブルとなる事例が発生していることに鑑みると、個人番号の確認の際に、本人確認書類のコピーの提出を受けた場合、必要な手続を行った後に本人確認書類が不要とな

19

った段階で、速やかに廃棄しましょう。
（平成 27 年８月追加・平成 28 年４月・令和２年
５月更新）
Ｑ６－３

収集・提供した個人番号に誤りがあった場合、個人番号関係事務実施者である事業者に責任は及びますか。
Ａ６－３ 個人番号に誤りがあった場合の罰則規定はありませんが、番号法第 16 条により、本人から個人番号の提供を受けるときは、本人確認（番号確認と身元確認）が義務付けられており、また、個人情報保護法第 22 条により、正確性の確保の努力義務が課されています。
（令和４年４月更新）
Ｑ６－４

所管法令によって個人番号が記載された書類を一定期間保存することが義務付けられている場合には、その期間、事業者がシステム内で個人番号を保管することができますか。
Ａ６－４

所管法令で定められた個人番号を記載する書類等の保存期間を経過するまでの間は、当該書類だけでなく、システム内においても保管することができると解されます。
（平成 27 年４月更新）
Ｑ６－４－２

支払調書の控えには保存義務が課されていませんが、支払調書の作成・提出後個人番号が記載された支払調書の控えを保管することができますか。
Ａ６－４－２

支払調書を正しく作成して提出したかを確認するために支払調書の控えを保管することは、個人番号関係事務の一環として認められると考えられます。
支払調書の控えを保管する期間については、確認の必要性及び特定個人情報の保有に係る安全性を勘案し、事業者において判断してください。なお、税務における更正決定等の期間制限に鑑みると、保管できる期間は最長でも７年が限度であると考えられます。
（平成 27 年４月追加）
Ｑ６－５

個人番号の廃棄が必要となってから、廃棄作業を行うまでの期間は、どの程度許容されますか。
Ａ６－５

廃棄が必要となってから廃棄作業を行うまでの期間については、毎年度末に廃棄を行う等、個人番号及び特定個人情報の保有に係る安全性及び事務の効率性等を勘案し、事業者において判断してください。
Ｑ６－６

個人番号の利用が想定される複数の目的について、あらかじめ特定して、本人への通知等を行った上で個人番号の提供を受けている場合、個人番号の廃棄が必要となるのは、当該複数の目的の全てについて個人番号を保管する必要がなくなったと
きですか。

20

Ａ６－６

複数の利用目的を特定して個人番号の提供を受けている場合、事務ごとに別個のファイルで個人番号を保管しているのであれば、それぞれの利用目的で個人番号を利用する必要がなくなった時点で、その利用目的に係る個人番号を個別に廃棄又は削除することとなります。
一方、個人番号をまとめて一つのファイルに保管しているのであれば、全ての利用目
的で個人番号関係事務に必要がなくなった時点で廃棄又は削除することとなります。
Ｑ６－７

支給が数年に渡り繰延される賞与がある場合、退職後も繰延支給が行われなくなることが確認できるまで個人番号を保管することはできますか。
Ａ６－７

退職後に繰延支給される賞与が給与所得に該当し、源泉徴収票の作成が必要な場合には、繰延支給が行われなくなることが確認できるまで個人番号を保管することができると解されます。
（平成 27 年４月更新）
Ｑ６－８ 個人番号を削除した場合に、削除した記録を残す必要がありますか。
Ａ６－８

事業者ガイドラインの別添１「特定個人情報に関する安全管理措置」において、個人番号を削除した場合は、削除した記録を保存することとしています。なお、その削除の記録の内容としては、特定個人情報ファイルの種類・名称、責任者・取扱部署、削除・廃棄状況等を記録することが考えられ、個人番号自体は含めないものとしています。
（令和４年４月更新）
Ｑ６－９

個人番号の保存期間の時限管理を回避するために、契約関係が終了した時点

で個人番号を削除することはできますか。
Ａ６－９

所管法令により一定期間保存が義務付けられているものについては、契約関係が終了した時点で削除することはできないと考えられます。
Ｑ６－10

個人番号を削除せず、取引再開時まで個人番号にアクセスできないようアクセス制御を行うという取扱いは許容されますか。
Ａ６－10

アクセス制御を行った場合でも、個人番号関係事務で個人番号を利用する必要がなくなり、個人番号を保管する必要性がなくなった場合には、個人番号をできるだけ速やかに削除しなければなりません。不確定な取引再開時に備えて、個人番号を保管し続けることはできません。
Ｑ６－11

現在業務ソフトウェアを運用している筐体と同一筐体内、かつ同一データベース内で個人番号を管理することはできますか。
Ａ６－11

個人番号を同一筐体内、かつ、同一データベース内で管理することはできます

が、個人番号関係事務と関係のない事務で利用することのないように、アクセス制御等

21

を行う必要があります。
Ｑ６－12

身分証明書等として個人番号カードの提示を受ける際に裏面の個人番号が見えた場合、特定個人情報の収集制限に違反しますか。
Ａ６－12

個人番号カードの裏面に記載された個人番号を意図せずに見ただけでは特定個

人情報の収集に当たらないため、収集制限に違反しません。
ただし、個人番号の書き取り、コピー等を行った場合は、特定個人情報の収集に該当するため、収集・保管制限に違反する可能性があります。（令和元年９月追加）
Ｑ６－13

身分証明書の写しとして、顧客の個人番号カードをコピーしてもよいです

か。
Ａ６－13

個人番号カードの表面は身分証明書として広く利用することが想定されており、身分証明書の写しとして使用する目的でカードの表面をコピーすることは問題ありません。
一方、番号法で定められた場合以外では、個人番号をコピーすることは特定個人情報の収集・保管制限に違反する可能性があり、カードの裏面の個人番号をコピーすることはできません。
（令和元年９月追加）
７：個人情報保護法の主な規定
Ｑ７－１

個人番号は変更されることもありますが、保管している個人番号について、

定期的に最新性を確認する必要がありますか。
Ａ７－１ 個人情報取扱事業者は、個人情報保護法第 22 条に基づいて、データ内容の正確性の確保に努めることが求められています。したがって、個人番号が変更されたときは本人から事業者に申告するよう周知しておくとともに、一定の期間ごとに個人番号の変更がないか確認することが考えられます。
（平成 29 年５月更新・令和４年４月更新）
８：個人番号利用事務実施者である健康保険組合等における措置等
Ｑ８－１

行政機関等及び健康保険組合等から個人番号利用事務の全部又は一部の委託を受けた事業者が、情報提供ネットワークシステムに接続された端末を操作して情報照会等を行うことはできますか。
Ａ８－１

行政機関等及び健康保険組合等から個人番号利用事務の全部又は一部の委託を受けた事業者が、情報提供ネットワークシステムに接続された端末を操作して情報照会等を行うことはできません。
９：その他
Ｑ９－１ 個人番号には、死者の個人番号も含まれますか。

22

Ａ９－１

個人番号には、生存する個人のものだけでなく、死者のものも含まれます。番号法の規定のうち、個人番号を対象としている規定（利用制限、安全管理措置等）につ
いては、死者の個人番号についても適用されます。
Ｑ９－２

個人番号を暗号化等により秘匿化すれば、個人番号に該当しないと考えてよ

いですか。
Ａ９－２

個人番号は、仮に暗号化等により秘匿化されていても、その秘匿化されたものについても個人番号を一定の法則に従って変換したものであることから、番号法第２条第８項に規定する個人番号に該当します。
（平成 27 年４月追加）
Ｑ９－３

個人番号をばらばらの数字に分解して保管すれば、個人番号に該当しないと考えてよいですか。
Ａ９－３

個人番号関係事務又は個人番号利用事務を処理するに当たっては、ばらばらに分解した数字を集めて複合し、分解前の個人番号に復元して利用することになるため、ばらばらの数字に分解されたものについても全体として番号法第２条第８項に規定する個人番号であると考えられます。（平成 27 年４月追加）
Ｑ９－４

個人番号の一部のみを用いたものや、個人番号を不可逆に変換したものは、個人番号に該当しないと考えてよいですか。
Ａ９－４「個人番号」には、個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号であって、住民票コード以外のものが含まれます（番号法第２条第８項）。同項の「個人番号」に該当するかについては、生成の由来から個人番号に対応するものと評価できるか否か及び個人番号に代わって用いられることを本来の目的としているか否かの観点を総合的に勘案して判断されます。
したがって、個人番号の一部のみを用いたものや、個人番号を不可逆に変換したものであっても、個人番号の唯一無二性や悉皆性等の特性を利用して個人の特定に用いている場合等は、個人番号に該当すると判断されることがあります。
（令和４年４月追加）
Ｑ９－５

インターネットのウェブサイト等において、占いや個人番号のチェックデジ

ットを確認するために、個人番号の入力を促しても、番号法上の問題はないですか。
Ａ９－５

番号法では、何人も、番号法で限定的に明記された場合でなければ、個人番号を提供してはならない（番号法第 19 条）とされ、その限定的に明記された場合でなければ、提供を求めることも収集・保管することも認められていません（番号法第 15 条、20条）。
占いや個人番号のチェックデジットを確認するという名目で、個人番号の入力を促す行
為は、番号法に違反しているおそれがあります。

23したがって、適法なものであるかのような誤解を招くおそれがある上記行為は行わないようにしてください。
（令和４年４月追加）
Ｑ９－６ 次の行為は、番号法上問題がありますか。
①インターネット等に自らの個人番号を公表すること。
②インターネット等に自らの個人番号カードを、裏面の個人番号 12 桁の部分及びＱＲ
コードが見られる状態で掲載すること。
Ａ９－６①インターネット等に自らの個人番号を公表する行為は、他人がその個人番号を見ることができる状態に置いていると考えられることから、番号法第 19 条の提供制限に違反する可能性があります。また、これを見た他人が、インターネット等において公表されている個人番号をプリントアウト等して収集した場合には、番号法第 20 条の収集制限に違反する可能性があります。
したがって、インターネット等に自らの個人番号を掲載しないようにしてください。
②インターネット等に自らの個人番号カードを、裏面の個人番号 12 桁の部分及び裏面のＱＲコードが見られる状態で掲載することは、番号法第 19 条の提供制限に違反する可能性があります。
また、当該個人番号カードを見た他人が、インターネット等において公表されている個人番号をプリントアウト等して収集した場合、個人番号カードのＱＲコードを読み取る等して収集した場合には、番号法第 20 条の収集制限に違反する可能性があります。
したがって、インターネット等に個人番号カード裏面の、個人番号 12 桁の部分及びＱ
Ｒコードを掲載しないようにしてください。
（令和４年４月追加）【（別添１）安全管理措置】
10：安全管理措置の検討手順
Ｑ10－１「事務取扱担当者の明確化」は、役割や所属等による明確化のように個人名

による明確化でなくてもよいですか。
Ａ10－１

部署名（○○課、○○係等）、事務名（○○事務担当者）等により、担当者が明確になれば十分であると考えられます。ただし、部署名等により事務取扱担当者の範囲が明確化できない場合には、事務取扱担当者を指名する等を行う必要があると考えら
れます。
Ｑ10－２

事務取扱担当者には、特定個人情報等を取り扱う事務に従事する全ての者が該当しますか。
Ａ10－２

事務取扱担当者は、一般的には、個人番号の取得から廃棄までの事務に従事する全ての者が該当すると考えられます。
ただし、事務取扱担当者に該当するか否かを判断することも重要ですが、当該事務の24

リスクを適切に検討し、必要かつ適切な安全管理措置を講ずることが重要です。例えば、担う役割に応じて、定期的に発生する事務や中心となる事務を担当する者に対して講ずる安全管理措置と、書類を移送するなど補助的に一部の事務を行う者に対して講ずる安
全管理措置とが異なってくることは十分に考えられます。
なお、社内管理上、定期的に発生する事務や中心となる事務を担当する者のみを事務取扱担当者と位置付けることも考えられますが、特定個人情報等の取扱いに関わる事務
フロー全体として漏れのない必要かつ適切な安全管理措置を講じていただくことが重要です。（平成 27 年８月追加）
11：講ずべき安全管理措置の内容
Ｑ11－１

２に示す安全管理措置を講ずれば十分ですか。

Ａ11－１

保有する特定個人情報等の性質、情報漏えい・滅失・毀損等による影響等の検討に基づき、事案発生の抑止、未然防止及び検知並びに事案発生時の拡大防止等の観点から、適切に判断してください。
Ｑ11－２ 「中小規模事業者」の定義における従業員について、「同法第 21 条の規定により同法第 20 条の適用が除外されている者」とは、具体的にどのような者ですか。また、いつの従業員の数ですか。
Ａ11－２ 「同法第 21 条の規定により同法第 20 条の適用が除外されている者」とは、具体的には、日々雇い入れられる者、２か月以内の期間を定めて使用される者等が該当します。
また、中小規模事業者の判定における従業員の数は、事業年度末（事業年度が無い場
合には年末等）の従業員の数で判定し、毎年同時期に見直しを行う必要があります。
（平成 29 年５月更新）
Ｑ11－３

中小規模事業者でない事業者が、中小規模事業者に業務を委託する場合、当該中小規模事業者には【中小規模事業者における対応方法】を遵守させることになる
のですか。
Ａ11－３

委託に基づいて個人番号関係事務又は個人番号利用事務を業務として行う事業者は、中小規模事業者に該当しません。委託先における安全管理措置については、委託する事務の内容等に応じて、番号法に基づき委託者自らが果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行う必要があります。
Ｑ11－４

標的型メール攻撃等による特定個人情報の漏えい等の被害を防止するために、安全管理措置に関して、どのような点に注意すればよいですか。
Ａ11－４

情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕25

組みを導入し適切に運用する等のガイドラインの遵守に加え、次のような安全管理措置を講ずることが考えられます。
・

不正アクセス等の被害に遭った場合であっても、被害を最小化する仕組み（ネット

ワークの遮断等）を導入し、適切に運用する。
・

特定個人情報ファイルを端末に保存する必要がある場合、パスワードの設定又は暗号化により秘匿する（データの暗号化又はパスワードによる保護に当たっては、不正に入手した者が容易に解読できないように、暗号鍵及びパスワードの運用管理、パス
ワードに用いる文字の種類や桁数等の要素を考慮する。）。
・

情報漏えい等の事案の発生又は兆候を把握した場合の迅速な情報連絡についての確認・訓練を行う。
また、独立行政法人情報処理推進機構（ＩＰＡ）等がホームページで公表しているセキュリティ対策等を参考にすることも考えられます。（平成 27 年８月追加）
Ｑ11－５

従業者に、特定個人情報等の取扱いに関する研修を行う場合、どのような点に注意すればよいですか。
Ａ11－５

研修を行うに当たっては、受講する従業者が従事する事務の特性、役割等に応じた研修内容にすること、研修の未受講者に対して再受講の機会を付与することなどが考えられます。
（平成 29 年７月追加）
12：基本方針の策定
Ｑ12－１

既に個人情報の取扱いに係る基本方針を策定している場合、新たに特定個人情報等に係る基本方針を策定する必要がありますか。それとも、既存の個人情報の取扱いに係る基本方針の一部改正で十分ですか。
Ａ12－１

特定個人情報等の取扱いに係る基本方針は、既存の個人情報の取扱いに関する基本方針（個人情報保護方針等）を改正する方法又は別に策定する方法いずれでも差し
支えありません。
Ｑ12－２ 基本方針を公表する必要がありますか。
Ａ12－２ 基本方針の公表を義務付けるものではありません。
13：取扱規程等の策定
Ｑ13－１

新たに特定個人情報の保護に係る取扱規程等を作成するのではなく、既存の個人情報の保護に係る取扱規定等を見直し、特定個人情報の取扱いを追記する形でもよいですか。
Ａ13－１

既存の個人情報の保護に係る取扱規程等がある場合には、特定個人情報の取扱いを追記することも可能と考えられます。

26

Ｑ13－２ 中小規模事業者も取扱規程等を策定しなければなりませんか。
Ａ13－２

中小規模事業者においては、必ずしも取扱規程等の策定が義務付けられている

ものではなく、特定個人情報等の取扱方法や責任者・事務取扱担当者が明確になっていれば足りるものと考えられます。明確化の方法については、口頭で明確化する方法のほか、業務マニュアル、業務フロー図、チェックリスト等に特定個人情報等の取扱いを加えるなどの方法も考えられます。
（平成 27 年８月追加）
14：組織的安全管理措置
Ｑ14－１

「ｂ

取扱規程等に基づく運用」における特定個人情報等の利用状況等の記

録の項目及び保存期限は、どのように考えることが適切ですか。
Ａ14－１

記録を保存することは、取扱規程等に基づく確実な事務の実施、情報漏えい等の事案発生の抑止、点検・監査及び情報漏えい等の事案に対処するための有効な手段です。記録として保存する内容及び保存期間は、取り扱う情報の種類、量、取り扱う職員の数、点検・監査の頻度等を総合的に勘案し、適切に定めることが重要であると考えます。
（平成 30 年９月更新）
Ｑ14－２

「ｂ

取扱規程等に基づく運用」及び「ｃ取扱状況を確認する手段の整

備」の【中小規模事業者における対応方法】における「取扱状況の分かる記録を保存する」とは、どのように考えることが適切ですか。
Ａ14－２「取扱状況の分かる記録を保存する」とは、例えば、以下の方法が考えられます。
・

業務日誌等において、特定個人情報等の入手・廃棄、源泉徴収票の作成日、税務署への提出日等の、特定個人情報等の取扱い状況を記録する。

・取扱規程、事務リスト等に基づくチェックリストを利用して事務を行い、その記入済みのチェックリストを保存する。

（平成 27 年 10 月・平成 29 年５月更新）
Ｑ14－３

「ｅ

取扱状況の把握及び安全管理措置の見直し」における≪手法の例示≫の２つ目にある、「外部の主体による他の監査活動と合わせて、監査を実施することも考えられる。
」とは、具体的にどのようなことですか。
Ａ14－３

例えば、個人情報保護又は情報セキュリティに関する外部監査等を行う際に、特定個人情報等の保護に関する監査を合わせて行うこと等が考えられます。
15：物理的安全管理措置
Ｑ15－１

「ａ

特定個人情報等を取り扱う区域の管理」における「座席配置の工夫」

27

とは、具体的にどのような手段が考えられますか。
Ａ15－１

例えば、事務取扱担当者以外の者の往来が少ない場所への座席配置や、後ろから覗き見される可能性が低い場所への座席配置等が考えられます。
Ｑ15－１－２ （削除）Ａ15－１－２ （削除）（平成 29 年５月削除）
Ｑ15－１－３「ａ

特定個人情報等を取り扱う区域の管理」における「管理区域」及

び「取扱区域」について、区域ごとに全て同じ措置を講ずる必要があるのでしょうか。
Ａ15－１－３

各区域で同じ措置を講ずる必要はなく、区域によっては取り扱う特定個人

情報の量、利用頻度、使用する事務機器や環境等により、講ずべき措置が異なると考えられますので、例えば、管理区域については厳格に入退室を管理し、取扱区域については間仕切りの設置や座席配置の工夫、のぞき込みを防止する措置を行うなど、それぞれの区域に応じた適切な措置を講じていただくことになります。（平成 27 年８月追加・平成 30 年９月更新）
Ｑ15－１－４「ａ

特定個人情報等を取り扱う区域の管理」及び「ｂ

機器及び電子

媒体等の盗難等の防止」について、従業員数人程度の事業者における手法の例示を教えてください。
Ａ15－１－４

一つの事務室で事務を行っている場合を想定すると、例えば、来客スペー

スから特定個人情報等に係る書類やパソコンの画面が見えないよう各種の工夫をすることが考えられます。盗難防止については、留守にする際には確実にドアに施錠をする、
特定個人情報等を取り扱う機器、電子媒体や個人番号が記載された書類等は、施錠できるキャビネット、引出等に収納し、使用しないときには施錠しておくなど盗まれないよ
うに保管することは、他の重要な書類等と同様です。（平成 27 年８月追加）
Ｑ15－１－５

テレワーク等により自宅においてマイナンバーを取り扱っても問題ないですか。
Ａ15－１－５

本ガイドラインの（別添）安全管理措置において、「特定個人情報等を取り扱う事務を実施する区域（取扱区域）について、事務取扱担当者等以外の者が特定個
人情報等を容易に閲覧等できないよう留意する必要がある」と規定されておりますので、当該措置を適切に講じていれば、自宅において取り扱うことは問題ありません。
このような取扱いが現行の内部規定に抵触するようであれば、規定を見直すなどにより、適切に対応してください。また、本ガイドラインに加え、当該事業者が遵守すべき
法令やガイドライン等がある場合には、当該法令やガイドライン等を所管する団体へ問28

い合わせるなどにより、適切に対応してください。
なお、事務取扱担当者が使用するＰＣや通信環境に十分なセキュリティ措置を施していただくとともに、特定個人情報等が記録された電子媒体等を持ち運ぶ際には、紛失・盗難等を防ぐための方策を講じていただくなど、本ガイドラインで定める漏えい等を防止するための安全管理措置を講ずる必要があることにご留意ください。（令和２年４月「お知らせ」に掲載・令和３年９月更新）
Ｑ15－２

「ｄ

個人番号の削除、機器及び電子媒体等の廃棄」における「容易に復元できない手段」とは、具体的にどのような手段が考えられますか。
Ａ15－２

データ復元用の専用ソフトウェア、プログラム、装置等を用いなければ復元できない場合には、容易に復元できない方法と考えられます。
Ｑ15－３ （削除）Ａ15－３ （削除）（平成 29 年５月削除）
16：外的環境の把握
Ｑ16－１「外的環境の把握」について、「外国において特定個人情報等を取り扱う場

合」とは、どのような場合ですか。
Ａ16－１

例えば、以下に掲げるような場合は、「外国において特定個人情報等を取り扱う場合」に該当するため、個人番号利用事務等実施者は、当該外国の個人情報の保護に関する制度等を把握した上で、安全管理措置を講じる必要があります。
・個人番号利用事務等実施者が、外国にある支店・営業所に特定個人情報を取り扱わせる場合（Ｑ16－２参照）
・個人番号利用事務等実施者が、外国にある第三者に特定個人情報の取扱いを委託する
場合（Ｑ16－３参照）（令和４年４月追加）
Ｑ16－２「外的環境の把握」について、外国にある支店や営業所に特定個人情報を取り扱わせる場合には、当該外国の個人情報の保護に関する制度等を把握する必要がありますか。外国にある従業者に特定個人情報を取り扱わせる場合はどうですか。
Ａ16－２

個人番号利用事務等実施者は、外国にある支店や営業所に特定個人情報を取り扱わせる場合、外国において特定個人情報を取り扱うこととなるため、支店等が所在す
る外国の個人情報の保護に関する制度等を把握した上で、安全管理措置を講じる必要があります。
また、外国に支店等を設置していない場合であっても、外国にある従業者に特定個人情報を取り扱わせる場合、本人が被る権利利益の侵害の大きさを考慮し、その特定個人

29

情報の取扱状況（特定個人情報を取り扱う期間、取り扱う特定個人情報の量を含む。）
等に起因するリスクに応じて、従業者が所在する外国の制度等を把握すべき場合もあると考えられます。例えば、外国に居住してテレワークをしている従業者に特定個人情報を取り扱う業務を担当させる場合には、当該従業者の所在する外国の制度等も把握して安全管理措置を講じる必要があると考えられます。他方、外国に出張中の従業者に一時的にのみ特定個人情報を取り扱わせる場合には、必ずしも、安全管理措置を講じるにあたって、外国の制度等を把握する必要まではないと考えられます。
以上は、外国にある支店等や従業者が、日本国内に所在するサーバに保存されている
特定個人情報にアクセスして、これを取り扱う場合においても同様です。
なお、番号法第 30 条第２項によって、個人情報取扱事業者が保有する特定個人情報に関しては、個人情報保護法第 32 条が適用されるため、外国の制度等を把握して安全管理措置を講じる場合には、「特定個人情報が含まれる保有個人データの安全管理のために講じた措置」として、支店等や従業者が所在する外国の名称を明らかにし、当該外国の制度等を把握した上で講じた措置の内容を本人の知り得る状態に置く必要があります。
（令和４年４月追加）
Ｑ16－３「外的環境の把握」について、外国にある第三者に特定個人情報の取扱いを委託する場合には、当該外国の個人情報の保護に関する制度等を把握する必要がありますか。委託先が外国にある第三者に特定個人情報の取扱いを再委託した場合はどう
ですか。
Ａ16－３

外国にある第三者に特定個人情報の取扱いを委託する場合、委託元は、委託先を通じて外国において特定個人情報を取り扱うこととなるため、委託先が所在する外国の個人情報の保護に関する制度等を把握した上で、委託先の監督その他の安全管理措置を講じる必要があります。また、委託先が外国にある第三者に特定個人情報の取扱いを再委託する場合、委託元は、委託先及び再委託先を通じて外国において特定個人情報を取り扱うこととなるため、再委託先が所在する外国の制度等も把握した上で、安全管理措置を講じる必要があります。以上は、委託先や再委託先が、日本国内に所在するサーバに保存されている特定個人情報にアクセスして、これを取り扱う場合においても同様です。
なお、番号法第 30 条第２項によって、個人情報取扱事業者が保有する特定個人情報に関しては、個人情報保護法第 32 条が適用されるため、かかる場合には、「特定個人情報の含まれる保有個人データの安全管理のために講じた措置」として、委託先・再委託先が所在する外国の名称を明らかにし、当該外国の制度等を把握した上で講じた措置の内容を本人の知り得る状態に置く必要があります。
（令和４年４月追加）
Ｑ16－４「外的環境の把握」について、外国にある第三者の提供するクラウドサービ

30

スを利用し、その管理するサーバに特定個人情報を保存する場合、当該外国の個人情報の保護に関する制度等を把握する必要がありますか。
Ａ16－４

外国にある第三者の提供するクラウドサービスを利用する場合において、クラウドサービス提供事業者が特定個人情報を取り扱わないこととなっている場合には、特定個人情報の第三者への「提供」には該当しませんが、個人番号利用事務等実施者は、自ら果たすべき安全管理措置の一環として、適切な安全管理措置を講じる必要があります（Ｑ３－12、Ｑ３－13 参照）。
この場合、個人番号利用事務等実施者は、外国において特定個人情報を取り扱うこととなるため、当該外国の個人情報の保護に関する制度等を把握した上で、安全管理措置を講じる必要があります。日本国内に所在するサーバに特定個人情報が保存される場合においても同様です。
なお、番号法第 30 条第２項によって、個人情報取扱事業者が保有する特定個人情報に関しては、個人情報保護法第 32 条が適用されるため、かかる場合には、「特定個人情報の含まれる保有個人データの安全管理のために講じた措置」として、クラウドサービス
提供事業者が所在する外国の名称及び特定個人情報の含まれる個人データが保存される
サーバが所在する外国の名称を明らかにし、当該外国の制度等を把握した上で講じた措
置の内容を本人の知り得る状態に置く必要があります。他方、特定個人情報の含まれる
個人データが保存されるサーバが所在する国を特定できない場合には、サーバが所在す
る外国の名称に代えて、①サーバが所在する国を特定できない旨及びその理由、及び、②本人に参考となるべき情報を本人の知り得る状態に置く必要があります。②本人に参考となるべき情報としては、例えば、サーバが所在する外国の候補が具体的に定まっている場合における当該候補となる外国の名称等が考えられます。
（令和４年４月追加）【（別添２）漏えい等報告等】
17：特定個人情報の漏えい等の報告等
Ｑ17－１

特定個人情報の漏えいに該当しない「特定個人情報を第三者に閲覧されない

うちに全てを回収した場合」としては、どのようなものがありますか。
Ａ17－１ 次のような事例が考えられます。
事例１）特定個人情報を含むメールを第三者に誤送信した場合において、当該第三者が当該メールを削除するまでの間に当該メールに含まれる特定個人情報を閲覧していないことが確認された場合
事例２）システムの設定ミス等によりインターネット上で特定個人情報の閲覧が可能な状態となっていた場合において、閲覧が不可能な状態とするまでの間に第三者が閲覧していないことがアクセスログ等から確認された場合
なお、上記の事例において、誤送信先の取扱いやアクセスログ等が確認できない場合には、漏えい（又は漏えいのおそれ）に該当し得ます。

31

また、漏えい（又は漏えいのおそれ）に該当しない場合であっても、行政手続における特定の個人を識別するための番号の利用等に関する法律第 29 条の４第１項及び第２項に基づく特定個人情報の漏えい等に関する報告等に関する規則第２条各号のいずれかに該当する場合には、委員会への報告が必要です。
（令和４年４月追加）
Ｑ17－２

特定個人情報が記録されたＵＳＢメモリを紛失したものの、紛失場所が社内か社外か特定できない場合には、漏えいに該当しますか。
Ａ17－２

個別の事例ごとに判断することとなりますが、特定個人情報が記録されたＵＳ

Ｂメモリを紛失したものの、紛失場所が社内か社外か特定できない場合には、漏えい（又は漏えいのおそれ）に該当すると考えられます。なお、社内で紛失したままである
場合には、滅失（又は滅失のおそれ）に該当すると考えられます。（令和４年４月追加）
Ｑ17－３

特定個人情報の漏えい等に関する報告等（事業者編）２「番号法違反の事案

又は番号法違反のおそれのある事案」とは、どういう事案を指すのですか。
Ａ17－３

ここでいう「番号法違反の事案又は番号法違反のおそれのある事案」とは、個

人情報保護法では制限されておらず、番号法に規定された事項に違反する又はそのおそれのある事案を指します。
具体的には、番号法によって定められた社会保障、税及び災害対策に関する特定の事
務以外で個人番号を利用した場合（第９条）、番号法で限定的に明記された場合以外で
特定個人情報を提供した場合（第 19 条）の規定に違反する場合、又はそのおそれのある場合などが該当します。
（令和４年４月追加）
Ｑ17－４（別添２）特定個人情報の漏えい等に関する報告等（事業者編）２の「漏えい等事案が発覚した場合に講ずべき措置」の「Ａ事業者内部における報告及び被害の拡大防止」にある「責任ある立場の者」とは、どういう役職を想定していますか。
Ａ17－４「責任ある立場の者」の役職は限定されていませんが、あらかじめ、取扱規程等により、漏えい等事案が発覚した場合の適切かつ迅速な報告連絡体制を整備しておくことが必要です。
（令和４年４月追加）
Ｑ17－５（別添２）特定個人情報の漏えい等に関する報告等（事業者編）２の「漏えい等事案が発覚した場合に講ずべき措置」の「Ａ事業者内部における報告及び被害の拡大防止」にある「漏えい等事案による被害が発覚時よりも拡大しないよう必要な措置を講ずる」とは、具体的には、どのような対応をとることが考えられますか。
Ａ17－５

例えば、外部からの不正アクセスや不正プログラムの感染が疑われる場合には、

当該端末等のＬＡＮケーブルを抜いてネットワークからの切り離しを行う又は無線 Ｌ
ＡＮの無効化を行うなどの措置を直ちに行うこと等が考えられます。（令和４年４月追

32

加）
Ｑ17－６

（別添２）特定個人情報の漏えい等に関する報告等（事業者編）２の「漏えい等事案が発覚した場合に講ずべき措置」の「Ｃ影響範囲の特定」にある「把握した事実関係による影響範囲の特定のために必要な措置を講ずる」とは、どういうこと
ですか。
Ａ17－６

事案の内容によりますが、例えば、特定個人情報の漏えいの場合は、漏えいした特定個人情報に係る本人の数、漏えいした特定個人情報の内容、漏えいした原因、漏えい先等を踏まえ、影響の範囲を特定することが考えられます。
（令和４年４月追加）
Ｑ17－７

本人が第三者の作成した個人番号利用事務等実施者のウェブサイトに偽装したウェブサイト（いわゆるフィッシングサイト）にアクセスし、特定個人情報を入力した場合、報告対象となりますか。
Ａ17－７

本人が第三者に特定個人情報を詐取されており、個人番号利用事務等実施者から第三者に特定個人情報が漏えいしていないことから、当該個人番号利用事務等実施者による報告対象にならないと考えられます。
なお、ウェブサイトを運営する個人番号利用事務等実施者においても、本人が特定個
人情報を詐取される等の被害に遭わないよう、対策を講じる必要があると考えられます。
（令和４年４月追加）
Ｑ17－８

個人番号関係事務を処理する民間事業者において、特定個人情報を処理しているパソコンがウイルス感染したことが発覚した場合、行政手続における特定の個人を識別するための番号の利用等に関する法律第 29 条の４第１項及び第２項に基づく特定個人情報の漏えい等に関する報告等に関する規則第２条第１号に当てはまるのですか。
Ａ17－８ 行政手続における特定の個人を識別するための番号の利用等に関する法律第 29
条の４第１項及び第２項に基づく特定個人情報の漏えい等に関する報告等に関する規則
第２条第１号においては、民間事業者が個人番号関係事務を処理するために使用している情報システムからの漏えい等は該当しませんが、特定個人情報に係る本人の数が 100人を超える漏えいなど、他の類型に該当しないかを確認する必要があります。（令和４年４月追加）
Ｑ17－９

行政手続における特定の個人を識別するための番号の利用等に関する法律第29 条の４第１項及び第２項に基づく特定個人情報の漏えい等に関する報告等に関する規則第２条第２号は、従業員が自宅で業務の続きをするために、社内規程に違反して、特定個人情報を含む資料を自宅に持ち帰った場合も当てはまるのですか。

33

Ａ17－９例えば、以下の事例のように、必ずしも「不正の目的をもって」とは言えない

目的又は不注意で持ち出してしまった場合などは、基本的には、当てはまらないと考えられます。なお、以下の事例の場合でも、行政手続における特定の個人を識別するための番号の利用等に関する法律第 29 条の４第１項及び第２項に基づく特定個人情報の漏えい等に関する報告等に関する規則第２条の他の号に該当しないかを確認する必要があります。
・個人番号関係事務に従事する従業員が、勤務時間外に入力作業を行うため、社内規程に反して、個人番号が含まれるデータを自宅のパソコンに送った場合
・従業員が自宅に持ち帰った業務用のファイルに、意図せずに、特定個人情報が記載された書類が混入していた場合（令和４年４月追加）
Ｑ17－10

行政手続における特定の個人を識別するための番号の利用等に関する法律第29 条の４第１項及び第２項に基づく特定個人情報の漏えい等に関する報告等に関する規則第２条第３号にある「電磁的方法により不特定多数の者に閲覧されるおそれがある事態」とは、具体的にどのような事態を指しますか。
Ａ17－10「不特定多数の者」は、事業者（委託先で特定個人情報を取り扱う従業者を含

む。）以外の者が前提ですので、例えば、誤ってインターネット上に特定個人情報を掲載した場合や情報システムに保存した特定個人情報が事業者の外部から容易にアクセス可能な状態になっていた場合を想定しています。
（令和４年４月追加）
Ｑ17－11（別添２）特定個人情報の漏えい等に関する報告等（事業者編） ３ Ａの「（※３）（イ）」に「特定個人情報を格納しているサーバや、当該サーバにアクセス権限を有する端末において、情報を窃取する振る舞いが判明しているマルウェアの感染が確認された場合」とあります が、特定個人情報を格納しているサーバにおいて
マルウェアを検知した場合には、漏えいのおそれがあると判断されますか。
Ａ17－11（別添２）特定個人情報の漏えい等に関する報告等（事業者編）３Ａ（※３）

は、漏えいが発生したおそれがある事態に該当し得る事例を示したものであり、単にマルウェアを検知したことをもって直ちに漏えいのおそれがあると判断するものではなく、防御システムによるマルウェアの実行抑制の状況、外部通信の遮断状況等についても考慮することになります。
（令和４年４月追加）
Ｑ17－12

報告対象事態に該当しない場合であっても、個人情報保護委員会への報告を行うことは可能ですか。
Ａ17－12可能です。この場合、報告書の様式における行政手続における特定の個人を識別するための番号の利用等に関する法律第 29 条の４第１項及び第２項に基づく特定個人

34

情報の漏えい等に関する報告等に関する「規則第２条各号該当性」については、「非該当（上記に該当しない場合の報告）」として報告を行うことになります。なお、（別添２）
特定個人情報の漏えい等に関する報告等（事業者編）３Ａ（※１）において、特定個人情報を取り扱う事業者は委員会に報告するよう努めることとされています。（令和４年４月追加）
Ｑ17－13 番号法第 29 条の４、本ガイドラインに基づく漏えい等報告を個人情報保護委
員会へ行った場合、事業所管大臣等への報告は不要ですか。
Ａ17－13

番号法においては、個人情報保護法と異なり、事業所管大臣への権限委任はありませんので、番号法第 29 条の４及び本ガイドラインに基づく漏えい等報告は、当委員会へ報告していただく必要があります。
なお、その事案がその他の法令等により事業所管大臣等に報告が必要な事案に該当する場合には、別途事業所管大臣等に報告する必要があります。（令和４年４月追加）
Ｑ17－14「特定個人情報について、高度な暗号化等の秘匿化がされている場合」とは、どのような場合が該当しますか。
Ａ17－14報告を要しない「特定個人情報について、高度な暗号化等の秘匿化がされている場合」に該当するためには、当該漏えい等事案が生じた時点の技術水準に照らして、行政手続における特定の個人を識別するための番号の利用等に関する法律第 29 条の４第１項及び第２項に基づく特定個人情報の漏えい等に関する報告等に関する規則第２条の
特定個人情報について、これを第三者が見読可能な状態にすることが困難となるような暗号化等の技術的措置が講じられるとともに、そのような暗号化等の技術的措置が講じられた情報を見読可能な状態にするための手段が適切に管理されていることが必要と解されます。
第三者が見読可能な状態にすることが困難となるような暗号化等の技術的措置としては、 適切な評 価機関等によ り安全性 が確認されて いる電子 政府推奨暗号 リスト やISO/IEC 18033 等に掲載されている暗号技術が用いられ、それが適切に実装されていることが考えられます。
また、暗号化等の技術的措置が講じられた情報を見読可能な状態にするための手段が適切に管理されているといえるためには、①暗号化した情報と復号鍵を分離するとともに復号鍵自体の漏えいを防止する適切な措置を講じていること、②遠隔操作により暗号化された情報若しくは復号鍵を削除する機能を備えていること、又は③第三者が復号鍵を行使できないように設計されていることのいずれかの要件を満たすことが必要と解されます。
（令和４年４月追加）
Ｑ17－15

委託元から特定個人情報の取扱いの委託を受けている場合において、委託元

35

において報告対象となる特定個人情報の漏えい等が発生した場合、委託先は報告義務を負いますか。
Ａ17－15

委託先が取り扱う特定個人情報の漏えい等が生じていないことから、委託先は報告義務を負わないと考えられます。
（令和４年４月追加）
Ｑ17－16

委託元と委託先の双方が委員会へ報告する義務を負う場合、委託元及び委託先の連名で報告することができますか。
また、委託先が委員会への報告義務を免除された場合であっても、委託元及び委託先の連名で報告することができますか。
Ａ17－16

委託元と委託先の双方が委員会へ報告する義務を負う場合、委託元及び委託先の連名で報告することができます。
また、委託先が委員会への報告義務を免除された場合、委託元が委員会へ報告することになります。この場合において、委託元が委員会への報告を行うに当たり、委託先の協力を得て連名でこれを行うことも可能です。
（令和４年４月追加）
Ｑ17－17

クラウドサービス提供事業者が、特定個人情報を取り扱わないこととなっている場合（Ｑ３－12、Ｑ３―13 参照）において、報告対象となる特定個人情報の漏
えい等が発生したときには、クラウドサービスを利用する事業者とクラウドサービス
提供事業者はそれぞれ報告義務を負いますか。
Ａ17－17

クラウドサービス提供事業者が、特定個人情報を取り扱わないこととなっている 場合において、報告対象となる特定個人情報の漏えい等が発生したときには、クラウドサービスを利用する事業者が報告義務を負います。この場合、クラウドサービス提供事業者は、番号法第 29 条の４第１項の報告義務を負いませんが、クラウドサービスを利用する事業者が安全管理措置義務及び同項の報告義務を負っていることを踏まえて、契約等に基づいてクラウドサービスを利用する事業者に対して通知する等、適切な対応を行うことが求められます。（令和４年４月追加）
Ｑ17－18

配送事業者を利用して特定個人情報を含むものを送る場合において、当該配送事業者の誤配送により報告対象となる特定個人情報の漏えいが発生したときには、配送事業者を利用した事業者と配送事業者はそれぞれ報告義務を負いますか。
Ａ17－18

配送事業者は、通常、配送を依頼された中身の詳細については関知しないことから、当該配送事業者との間で特に中身の特定個人情報の取扱いについて合意があった
場合等を除き、当該特定個人情報に関しては取扱いの委託をしているものではないものと解されます。
そのため、当該配送事業者の誤配送により報告対象となる特定個人情報の漏えいが発生したときには、配送事業者を利用した個人番号利用事務等実施者が報告義務を負いま36す。この場合、配送事業者は、番号法第 29 条の４第１項の報告義務を負いませんが、配送事業者を利用する事業者が安全管理措置義務及び同項の報告義務を負っていることを踏まえて、契約等に基づいて、配送事業者を利用する事業者に対して通知する等、適切な対応を行うことが求められます。
（令和４年４月追加）
Ｑ17－19（別添２）特定個人情報の漏えい等に関する報告等（事業者編）３Ｃにおいて、報告期限の起算点となる「知った」時点について、「個人番号利用事務等実施者
が法人である場合には、いずれかの部署が当該事態を知った時点を基準」とありますが、具体的には部署内の誰が認識した時点を基準としますか。
Ａ17－19

個別の事案ごとに判断されますが、部署内のある従業者が報告対象事態を知った時点で「部署が知った」と考えられます。なお、従業者等の不正な持ち出しの事案においては、不正な持ち出しを行った従業者等を除いた上で判断することとなります。
（令和４年４月追加）
Ｑ17－20

漏えい等報告における報告事項となっている「二次被害又はそのおそれの有無及びその内容」の「二次被害」にはどのような事項が含まれますか。
Ａ17－20

特定個人情報の漏えい等による二次被害として、次のような事項が考えられます。
事例１）漏えいしたメールアドレス宛てに第三者が不審なメール・詐欺メールを送信す
ること
事例２）行政機関を名乗り、個人番号が漏えいしているなどとして金銭の振り込みに誘導するような詐欺を行うこと（令和４年４月追加）
Ｑ17－21

漏えい等報告における報告事項となっている「その他参考となる事項」には、どのような事項が含まれますか。
Ａ17－21 次のような事項が考えられます。
事例１）他の行政機関等への報告状況（捜査機関への申告状況も含む。）
事例２）当該個人番号利用事務等実施者が上場会社である場合、適時開示の実施状況・
実施予定
事例３）既に報告を行っている漏えい等事案がある中で、同時期に別の漏えい等事案が発生した場合には、両者が別の事案である旨（令和４年４月追加）
Ｑ17－22

漏えい等事案について、個人情報保護委員会に報告する場合、どのような方法で報告すればよいですか。

37

Ａ17－22

個人情報保護委員会のホームページに報告フォームを設置していますので、当該報告フォームから報告してください。
（令和４年４月追加）
Ｑ17－23 個人番号を含む個人データの漏えい等が発生し、番号法第 29 条の４の報告対象に該当するとともに、個人情報保護法第 26 条第１項の報告対象にも該当する場合には、どのように報告を行えばよいですか。
Ａ17－23 番号法第 29 条の４の報告対象と、個人情報保護法第 26 条第１項の報告対象はそれぞれ個別に判断するため、双方の報告対象に該当する場合は、双方の法に基づく報告を行う必要があります。この場合、個人情報保護委員会のホームページにおいて双方の法に基づく報告を一括して行うためのフォームを設置していますので、これを利用することが考えられます。
（令和４年４月追加）
Ｑ17－24

委託元と委託先の双方が本人へ通知する義務を負う場合、委託元及び委託先の連名で通知することができますか。
また、委託先が本人への通知義務を免除された場合であっても、委託元及び委託先の連名で通知することができますか。
Ａ17－24

委託元と委託先の双方が本人へ通知する義務を負う場合、委託元及び委託先の連名で通知することができます。
また、委託先が本人への通知義務を免除された場合、委託元が本人へ通知することになります。この場合において、委託元が本人への通知を行うに当たり、委託先の協力を得て連名でこれを行うことも可能です。
（令和４年４月追加）
Ｑ17－25 本人への通知について、口頭で行うことは可能ですか。
Ａ17－25

本人への通知の方法として口頭で知らせる方法も可能ですが、本人が口頭で通知を受けた内容を事後的に確認できるようにする観点から、必要に応じて書面又は電子メール等による通知を併用することが望ましいと考えられます。
（令和４年４月追加）
Ｑ17－26

本人への通知事項となっている「その他参考となる事項」には、どのような事項が含まれますか。
Ａ17－26 次のような事項が考えられます。
個人番号が漏えいして不正に用いられるおそれがあると認められるときは、番号法第7 条第２項に基づき、本人は個人番号の変更を市町村（特別区を含む。）に請求できること。
（令和４年４月追加）
Ｑ17－27

本人に関する連絡先を複数保有している場合において、１つの連絡先に連絡して本人に連絡がとれなければ、本人への通知が困難であると解してよいですか。

38

Ａ17－27

本人への通知に関し、複数の連絡手段を有している場合において、１つの手段で連絡ができなかったとしても、直ちに「本人への通知が困難である場合」に該当する
ものではありません。例えば、本人の連絡先として、住所と電話番号を把握しており、当該住所へ書面を郵送する方法により通知しようとしたものの、本人が居住していないとして当該書面が還付された場合には、別途電話により連絡することが考えられます。
（令和４年４月追加）
Ｑ17－28 （別添２）特定個人情報の漏えい等に関する報告等（事業者編）４Ｅの「代替措置に該当する事例」である「問合せ窓口を用意してその連絡先を公表し、本人が自らの特定個人情報が対象となっているか否かを確認できるようにする」場合について、問合せ窓口として、常設している個人情報の取扱いに関する相談を受け付ける窓口を利用することは可能ですか。
Ａ17－28 可能です。
（令和４年４月追加）
Ｑ17－29

本人への通知の代替措置として事案の公表を行う場合に、本人が特定される

おそれがある事項についてまで公表する必要がありますか。
Ａ17－29事案の公表にあたっては、公表することでかえって被害の拡大につながることがないように留意する必要があります。公表内容については、本人へ通知すべき内容を基本としつつ、特定の個人が識別されるおそれがある事項については、公表しないようにすることが考えられます。（令和４年４月追加）
Ｑ17－30

漏えい等事案が発生した場合に、公表を行うことは義務付けられていますか。
Ａ17－30

本人への通知の代替措置として、事案の公表を行う場合を除き、事案の公表が義務付けられているものではありませんが、漏えい等事案の内容等に応じて、公表することが望ましいと考えられます。なお、二次被害の防止の観点から必要がないと認められる場合や、公表することでかえって被害の拡大につながる可能性があると考えられる
場合には、公表を行わないことが考えられます。
（令和４年４月追加）【（別冊）金融業務】
18：個人番号の利用制限
Ｑ18－１

顧客の個人番号を適法に保管している場合であっても、新しい契約を締結す

るごとに改めて個人番号の提供を求める必要がありますか。
Ａ18－１

適法に保管している個人番号は、当初特定した利用目的の範囲内であれば、改めて個人番号の提供を受けることなく、新しい契約に基づいて発生する個人番号関係事務に利用することができます。

39

Ｑ18－２

顧客から契約ごとに個人番号の提供を受けた場合、個人番号が一致すること

によって結果的に顧客が同一人物であることを認識することとなりますが、それ自体は利用制限に違反しますか。また、個人番号が一致した顧客について、契約ごとに管理されている顧客情報（商品購入履歴、資産情報等）を、個人番号を利用して連携させることは利用制限に違反しますか。
Ａ18－２

個人番号関係事務を実施するために必要な範囲で名寄せを行うことはでき、個人番号が一致することによって結果的に同一人物であることを認識すること自体は利用制限に違反しませんが、個人番号関係事務以外の事務で事業者独自に顧客情報（商品購入履歴、資産情報等）を検索・管理するために個人番号を利用することはできません。
Ｑ18－３

金融機関が顧客から個人番号の提供を受ける際に、「激甚災害時等に金銭の支払を行う事務」を利用目的として特定して、本人への通知等を行う必要があります
か。
Ａ18－３

激甚災害時等に金銭の支払を行う場合には、法律の規定に基づき当初特定した

利用目的を超えた個人番号の利用が認められているものであるため、当該事務を利用目的として特定して、本人への通知等を行う必要はありません。
なお、激甚災害時等に金銭の支払を行うために個人番号を利用することは、番号法の認めた例外であり、個人番号関係事務又は個人番号利用事務のどちらにも該当しないた
め、当該事務を利用目的として特定し、個人番号の提供を受けることはできません。
Ｑ18－４

税務調査において、個人番号を指定した調査要求があった場合、その個人番号に基づいて資料の検索を行うことはできますか。
Ａ18－４ 税務当局が、番号法第 19 条第 15 号並びに番号法施行令第 26 条及び別表第８号の規定に従って、租税法令に基づき、納税者の個人番号を指定して資料の提出要求を行った場合、提出要求に対応する範囲で、個人番号に基づいて資料の検索を行うこと自体
は法令に基づく適法な行為と解されます。
（平成 29 年５月更新・令和３年９月）
Ｑ18－５

金融機関が、利用目的を「金融商品取引に関する支払調書作成事務」と特定し、顧客から個人番号の提供を受けていた場合、「預貯金口座への付番に関する事務」のためにその個人番号を利用するには、どのような対応が必要ですか。
Ａ18－５

個人番号の提供を受けた時点で利用目的として特定されていなかった「預貯金口座への付番に関する事務」のためにその個人番号を利用することは、特定した利用目的を超えて個人番号を利用することになりますので、当該事務のためにその個人番号を利用するには、利用目的を明示し、改めて個人番号の提供を受けるか、利用目的を変更
して、変更された利用目的を本人に通知し、又は公表する必要があります。
（平成 29 年40

７月追加）
Ｑ18－６

個人番号の利用目的を特定する場合、どのように特定することが考えられま

すか。
Ａ18－６

個人番号関係事務の場合、例えば、「金融商品取引に関する支払調書作成事務」、「保険取引に関する支払調書作成事務」のように特定することが考えられます。（平成30 年９月追加）
19：個人番号の提供の要求
Ｑ19－１

契約の締結時点で支払金額が定まっておらず、支払調書の提出要否が明らかでない場合、その契約の締結時点で個人番号の提供を求めることができますか。
Ａ19－１

顧客との法律関係等に基づいて、個人番号関係事務の発生が予想される場合として、契約の締結時点で個人番号の提供を受けることができると解されます。その後、
個人番号関係事務が発生しないことが明らかになった場合には、できるだけ速やかに個
人番号を廃棄又は削除する必要があります。
Ｑ19－２

株式や投資信託の取引を行うために、特定口座ではなく、いわゆる「一般口座」（証券口座・投資信託口座）を開設する場合、その口座開設時点で個人番号の提供を求めることができますか。
Ａ19－２

株式や投資信託の取引を行うために証券口座や投資信託口座を開設するのであり、その口座開設時点で将来株式や投資信託の取引に基づいて個人番号関係事務が発生することが想定されますので、いわゆる「一般口座」についても、口座開設時点に個人番号の提供を求めることができると解されます。
Ｑ19－３

保険代理店では、複数の損害保険会社・生命保険会社の商品を同一代理店で販売していますが、複数の保険会社を連名にして同一の機会に個人番号の提供を受けることはできますか。
Ａ19－３

複数の保険会社が同一の保険代理店を通じて同一の機会に個人番号の提供を受けることはあり得ますが、保険代理店は、あくまでも各保険会社の代理店として契約ごとに別個に個人番号の提供を受けることとなります。したがって、個人番号の利用・保管は保険会社ごとに別個に行うこととなり、共同で利用することはできません。
Ｑ19－４

生損保にまたがる保険商品の場合、一方の保険会社が代表して個人番号の提供を受けることはできますか。
Ａ19－４

一方の保険会社が他方の会社から委託を受ければ、代理して個人番号の提供を受けることができます。

41

Ｑ19－５

死亡保険金の支払に伴って提出する支払調書に記載する保険契約者の個人番号の収集について、どのような注意が必要ですか。
Ａ19－５

保険契約者が死亡している場合であっても、支払調書に保険契約者の個人番号を記載して税務署長に提出することは、税法上の義務となっています。
保険契約者が死亡した場合、住民基本台帳法上、死亡した保険契約者の個人番号が記載された除票の写しは同一世帯であった者であっても請求できず、個人番号の確認が困難となるため、契約時等、保険契約者の生存中速やかに個人番号を収集することが求められる対応となります。
（令和元年 10 月更新）
Ｑ19－６

金融機関の顧客が個人番号の提供を拒んだ場合、どのような対応が適切です

か。
Ａ19－６

法定調書の作成などに際し、顧客から個人番号の提供を受けられない場合でも、安易に法定調書等に個人番号を記載しないで税務署等に書類を提出せず、顧客に対して個人番号の記載は、法律（国税通則法、所得税法等）で定められた義務であることを伝え、提供を求めてください。
それでもなお、提供を受けられない場合は、提供を求めた経過等を記録、保存するな
どし、単なる義務違反でないことを明確にしておいてください。
経過等の記録がなければ、個人番号の提供を受けていないのか、あるいは提供を受けたのに紛失したのかが判別できません。特定個人情報保護の観点からも、経過等の記録をお願いします。
なお、税務署では、番号制度導入直後の混乱を回避する観点などを考慮し、個人番
号・法人番号の記載がない場合でも書類を収受することとしています（国税庁ホームページ「法定調書に関するＦＡＱ」（Ｑ１－２）（平成 30 年４月 27 日更新）参照）。
（平成27 年 10 月・平成 28 年４月・平成 30 年６月更新）
Ｑ19－７

内国税の適正な課税の確保を図るための国外送金等に係る調書の提出等に関する法律（以下「国外送金等調書法」という。）では、送金金額が同法の定める一定の金額以下の場合に支払調書の提出は不要となっていますが、個人番号が記載された告知書の提出については、送金金額による提出省略基準はありません。支払調書の提出が不要となる場合、個人番号が記載された告知書の提供を受けることは提供制限に違反しますか。
Ａ19－７

国外送金等調書法の規定に従って個人番号が記載された告知書の提供を受けることも個人番号関係事務に該当します。したがって、支払調書の提出が不要となる場合
であっても、番号法第 19 条第３号の規定により、国外送金等調書法の規定に従って個人
番号が記載された告知書の提供を受けることができます。

42

Ｑ19－８

財産形成住宅貯蓄・財産形成年金貯蓄の非課税に関する申告書は、法令に基づき、勤務先等及び金融機関を経由して税務署長に提出されることとなっています。
この場合、勤務先等及び金融機関がそれぞれ個人番号関係事務実施者となり、金融機関は勤務先等に対し、個人番号の提供を求めると考えてよいですか。
Ａ19－８

個人番号が記載された申告書が、法令に基づき、勤務先等及び金融機関を経由して税務署長に提出される場合、勤務先等及び金融機関がそれぞれ個人番号関係事務実
施者となり、金融機関は勤務先等に対し個人番号の提供を求めることとなります。なお、本人確認の措置は、勤務先等が本人から個人番号の提供を受ける際に実施することとなります。
（平成 28 年４月更新）
Ｑ19－９

保険会社から個人番号関係事務の委託を受けた保険代理店（保険窓販を行う

銀行等を含む。）は、保険会社が既に顧客から個人番号の提供を受け、適法に保管している場合であっても、保険契約の都度個人番号の提供を求める必要がありますか。
Ａ19－９

保険会社が、前の保険契約を締結した際に支払調書作成事務のために提供を受けた個人番号は、後の保険契約に基づく支払調書作成事務のために利用することができると解されますので、保険契約の都度個人番号の提供を求める必要はありません。なお、保険代理店（保険窓販を行う銀行等を含む。）は、個人番号関係事務の委託を受けた保険会社が顧客から既に個人番号の提供を受けているか確認できる手法・システムを構築することが考えられます。
20：個人番号の提供の求めの制限、特定個人情報の提供制限
Ｑ20－１

所得税法等により本人に交付することが義務付けられている支払通知書にも個人番号を記載して交付してよいですか。
Ａ18－１

所得税法等により本人に交付することが義務付けられている支払通知書（配当等とみなす金額に関する支払通知書等）については、平成 27 年 10 月２日に所得税法施行規則等が改正され、本人の個人番号を記載しないで交付することとされました。したがって、個人番号を記載していない支払通知書を本人に交付することとなります。
なお、個人情報保護法第 33 条に基づき、本人から自身の個人番号を含む情報として支払通知書などの開示の請求があった場合には、本人の個人番号を記載して開示することが可能です。
（平成 27 年 10 月・平成 29 年５月更新・令和４年４月更新）
Ｑ20－２

犯罪による収益の移転防止に関する法律（以下「犯罪収益移転防止法」という。）に基づく取引時確認を実施する際に、本人確認書類として個人番号カードの提示を受けた場合、本人確認書類を特定するに足りる事項として、個人番号を記録することはできますか。

43

Ａ20－２

個人番号カードは、犯罪収益移転防止法に基づく本人確認書類として用いることができますが、犯罪収益移転防止法上の取引時確認記録に、本人確認書類を特定するに足りる事項として、個人番号を記録することは、番号法第 19 条各号、番号法施行令第34 条、別表のいずれにも該当しませんので、法令上認められません。
Ｑ20－３

株式等振替制度を活用して特定個人情報の提供を受けることができる株式発

行者から株主名簿に関する事務の委託を受けた株主名簿管理人は、株式発行者と同様に、番号法第 19 条第 12 号に従って特定個人情報の提供を受けることができますか。
Ａ20－３ 番号法第 19 条第 12 号及び番号法施行令第 24 条において、「社債等の発行者に準ずる者」として株主名簿管理人が定められていますので、株式発行者と同様に番号法
第 19 条第 12 号に従って、特定個人情報の提供を受けることができます。
（平成 29 年５月・令和３年９月更新）
21：安全管理措置
Ｑ21－１

国外送金等調書の作成・提出に係る事務処理については、外国為替業務に係るシステム処理の一環として行われていますが、その中で個人番号関係事務を区分し、個人番号を取り扱う従業者を限定する必要がありますか。
Ａ21－１

個人番号関係事務に関連する一連の業務の中で、個人番号関係事務を他の事務と区分し、個人番号を取り扱う従業者を限定する必要はありません。事業者が適切に「事務の範囲の明確化」、「事務取扱担当者の明確化」を行った上で、その明確化した事
務・担当者の範囲を超えて個人番号の利用等ができないようアクセス制御等を行い、必要かつ適切な監督・教育を行えば十分であるという趣旨です。
（平成 30 年３月更新）

44