マイナンバーガイドライン入門（事業者編）

令和４年４月版
個人情報保護委員会事務局

（留意事項）○本資料は、「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」の概要をご理解いただくために、まとめたものです。
○特定個人情報の適正な取扱いを確保するための具体的な事務に当たっては、 「特定個人情報の適正な取扱いに関するガイドラ
イン（事業者編）」を参照してください。

1

安心・安全の確保
マイナンバー制度に対する国民の懸念○マイナンバーを用いた個人情報の追跡・突合が行われ、集約された個人情報が外部に漏えいするのではないか。
○他人のマイナンバーを用いた成りすまし等により財産その他の被害を負うのではないか。
○国家により個人の様々な個人情報がマイナンバーをキーに名寄せ・突合されて一元管理されるのではないか。

番号法においては、特定個人情報の適正な取扱いを確保するため、各種の保護措置が設けられています。

特定個人情報とは、マイナンバーをその内容に含む個人情報をいいます。

マイナンバーガイドラインの趣旨○番号法の規定及びその解釈について、具体例を用いて分かりやすく解説しています。
○民間企業に対するヒアリングや企業の実務担当者が参加する検討会の議論を踏まえ、マイナンバーが実務の現場で適正に取り扱われるための具体的な指針を示しています。
＜マイナンバーガイドラインの構成（共通）＞
第１ はじめに第２ 用語の定義等
第３ 総論〔 目的、適用対象、位置付け等を記述 〕
特定個人情報の適正な取扱いに関するガイドライン（行政機関等・地方公共団体等編） 第４ 各論〔 利用の制限、安全管理、提供の制限等を記述 〕
特定個人情報の適正な取扱いに関するガイドライン（事業者編）（別添１）特定個人情報に関する安全管理措置（別冊）金融業務における特定個人情報の適正な取扱いに関するガイドライン（別添２）特定個人情報の漏えい等に関する報告等

マイナンバーガイドラインの種類

2個人番号（マイナンバー）のフローと本ガイドラインの適用
区分

本ガイドライン（番号法該当条文）
第４－３－⑴ 個人番号の提供の要求（第14条）…求める根拠

取得第４－３－⑵ 個人番号の提供の求めの制限、
特定個人情報の提供制限（第15条、第19条、第30条第2項）
第４－３－⑶ 収集・保管制限（第20条）
第４－３－⑷ 本人確認（第16条）

安全管理
措置等
保管

第４－２－⑴ 委託の取扱い（第10条、第11条）
第４－２－⑵ 安全管理措置（第12条）（別添１）特定個人情報に関する安全管理措置（事業者編）
第４－３－⑶ 収集・保管制限（第20条）

本ガイドライン「各論」の目次
第４－１ 特定個人情報の利用制限
第４－２ 特定個人情報の安全管理措置等
第４－３ 特定個人情報の提供制限等
第４－４ 第三者提供の停止に関する取扱い
第４－５ 特定個人情報保護評価
第４－６ 個人情報保護法の主な規定
第４－７ 個人番号利用事務実施者である健康保険組合等における措置等

第４－１－⑴ 個人番号の利用制限
利用（第9条、第30条第2項）

第４－１－⑵ 特定個人情報ファイルの作成の制限（第28条）

提供

第４－３－⑵ 個人番号の提供の求めの制限、
特定個人情報の提供制限（第15条、第19条、第30条第2項）

開示
訂正
利用停止等
廃棄
漏えい等報告第４－４ 第三者提供の停止に関する取扱い

個人情報取扱事業者は、個人情報保護法と番号法の両方の適用があります。
【個人情報取扱事業者】
個人情報データベース等を事業の用に供している者（国の機関、地方公共団体、独立行政法人等及び地方独立行政法人を除く。）。

（第30条第2項）

第４－３－⑶ 収集・保管制限（第20条）（別添２）特定個人情報の漏えい等に関する報告等（事業者編）

3

事業者における個人番号との関わり（個人番号関係事務）
有識者等支払調書（イメージ）・原稿依頼
・講演依頼 等

会社

支払いを
受ける者

個人番号
氏
名

1234…
番号太郎

税務署、市区町村、年金事務所
健康保険組合、ハローワーク等

個人番号1234 ･･･

原稿料等の支払い
従業員等

個人番号
の提示

・入社
・結婚
・出産 等
5678 ･･････ ･･･････ ････○本人や扶養親族の個人番号を会社に提示。

支払いを
受ける者

個人番号
氏
名

5678…
難波一郎

法定調書等
の提出

被保険者資格取得届（イメージ）

個人番号

給与の支払い社会保険料等の徴収

源泉徴収票（イメージ）

個人
番号

被保険者
氏名

資格取得
年月日

5678…

難波一郎

28.4.1

9876…

難波花子

28.4.1○従業員等、有識者等の個人番号を法定調書（源泉徴収票、支払調書等）、健康保険・厚生年金保険
被保険者資格取得届などに記載して、行政機関等に提出。

○行政機関等が、社会保障、税及び災害対策に関する特定の事務において、保有している個人情報の検索、管理のために個人番号を利用。

番号法で限定的に明記された場合を除き、個人番号を利用・提供等することはできません。

※委託を受けた者を含む。

※委託を受けた者を含む。

4

取

得

特定個人情報：個人番号をその内容に含む個人情報番号法で限定的に明記された場合【特定個人情報の提供制限】○番号法で限定的に明記された場合を除き、特定個人情報を提供してはなりません。
［本人からの提供の事例］＊従業員等（本人）は、給与の源泉徴収事務のために、事業者に対し、自己の個人番号を記載した扶養控除等申告書を提出します。
［個人番号関係事務実施者からの提供の事例］＊従業員等（個人番号関係事務実施者）は、給与の源泉徴収事務のために、事業者に対し、その扶養親族の個人番号を記載した扶養控除等申告書を提出します。

【個人番号の提供の要求】○個人番号関係事務を処理するために必要がある場合に限って、本人などに対して個人番号の提供を求めることができます。

本人ほか
会社

個人番号
個人番号
1234
･･･

5678 ･･･････････････

本人確認○何人も【個人番号の提供の求めの制限】・【特定個人情報の提供制限】・【収集・保管制限】の適用があります。
○ただし、子、配偶者等の自己と同一の世帯に属する者に対しては、番号法で限定的に明記された場合以外の場合でも、個人番号の提供を求めたり、収集・保管したりできます。

《提供を求める時期》○個人番号関係事務が発生した時点が原則。
○契約を締結した時点等の当該事務の発生が予想できた時点で求めることは可能と解されます。
［提供を求める時期の事例］＊給与所得の源泉徴収票等の作成事務の場合は、雇用契約の締結時点で個人番号の提供を求めることも可能であると解されます。
＊地代等の支払調書の作成事務の場合は、賃料の金額により契約の締結時点で支払調書の作成が不要であることが明らかである場合を除き、契約の締結時点で個人番号の提供を求めることが可能であると解されます。
【個人番号の提供の求めの制限】○番号法で限定的に明記された場合を除き、
個人番号の提供を求めてはなりません。
【収集・保管制限】＜番号法で限定的に明記された場合＞（番号法第19条各号（抄））○個人番号利用事務実施者からの提供（第１号）○個人番号関係事務実施者からの提供（第２号）○本人又は代理人からの提供（第３号）〇使用者等から他の使用者等に対する従業者等に関する特定個人情報の提供（第４号）○委託、合併に伴う提供（第６号）○情報提供ネットワークシステムを通じた提供（第８号及び第９号）○個人情報保護委員会からの提供の求め（第13号）○各議院審査等その他公益上の必要があるときの提供（第15号）○人の生命、身体又は財産の保護のための提供（第16号）○番号法で限定的に明記された場合を除き、
特定個人情報を収集してはなりません。
【本人確認】○本人から個人番号の提供を受けるときは、
個人番号カードの提示等、番号法で認められた方法で本人確認を行う必要があります。

5

安全管理措置等①（委託の取扱い）
会社

必要かつ適切な監督

Ａ社

必要かつ適切な監督

Ｂ社

再委託

委託

必要かつ適切な監督

Ｃ社

再々委託

間接的な監督義務【委託の取扱い】○個人番号関係事務の全部又は一部の委託者は、委託先において、番号法に基づき委託者自らが果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行わなければなりません。
《必要かつ適切な監督》○①委託先の適切な選定、②委託先に安全管理措置を遵守させるために必要な契約の締結、③委託先における特定個人情報の取扱状況の把握○委託者は、委託先の設備、技術水準、従業者に対する監督・教育の状況、その他委託先の経営環境等をあらかじめ確認しなければなりません。
○契約内容として、秘密保持義務、事業所内からの特定個人情報の持ち出しの禁止、特定個人情報の目的外利用の禁止、再委託における条件、漏えい等事案が発生した場合の委託先の責任、委託契約終了後の特定個人情報の返却又は廃棄、従業者に対する監督・教育、契約内容の遵守状況について報告を求める規定等を盛り込まなければなりません。
○委託先における特定個人情報の取扱状況の把握については、契約に基づき報告を求めること等により、委託契約で盛り込んだ内容の実施の程度を把握した上で、委託の内容等の見直しを検討することを含め、適切に評価することが望ましいです。
○委託者は、委託先だけではなく、再委託先・再々委託先に対しても間接的に監督義務を負います。

会社

委託

Ｘ社

再委託

Ｙ社

再々委託

Ｚ社

許諾

○個人番号関係事務の全部又は一部の委託先は、最初の委託者の許諾を得た場合に限り、再委託をすることができます。

6

安全管理措置等②（安全管理措置）

特定個人情報等：個人番号及び特定個人情報基本方針の策定

組織的安全管理措置

人的安全管理措置取扱規程等の策定

物理的安全管理措置

技術的安全管理措置

外的環境の把握【安全管理措置】○個人番号及び特定個人情報の漏えい、滅失又は毀損の防止その他の適切な管理のために、必要かつ適切な安全管理措置を講じなければなりません。また、従業者に対する必要かつ適切な監督も行わなければなりません。
《基本方針の策定》○特定個人情報等の適正な取扱いの確保について組織として取り組むた
めに、基本方針を策定することが重要です。

《取扱規程等の策定》○特定個人情報等の具体的な取扱いを定める取扱規程等を策定しなければなりません。

《組織的安全管理措置》○組織体制の整備、取扱規程等に基づく運用、取扱状況を確認する手段の整備、漏えい等事案に対応する体制の整備、取扱状況の把握及び安全管理措置の見直し《人的安全管理措置》○事務取扱担当者の監督・教育《物理的安全管理措置》○特定個人情報等を取り扱う区域の管理、機器及び電子媒体等の盗難等の防止、電子媒体等の取扱いにおける漏えい等の防止、個人番号の削除、機器及び電子媒体等の廃棄《技術的安全管理措置》○アクセス制御、アクセス者の識別と認証、外部からの不正アクセス等の防止、漏えい等の防止《外的環境の把握》〇外国において特定個人情報等を取り扱う場合、当該外国の個人情報の保護に関する制度等を把握【中小規模事業者とは】事業者のうち従業員の数が100人以下の事業者をいいます。ただし、次に掲げる事業者を除きます。
・個人番号利用事務実施者
・委託に基づいて個人番号関係事務又は個人番号利用事務を業務として行う事業者
・金融分野（個人情報保護委員会・金融庁作成の「金融分野における個人情報保護に関するガイドライン」第１条第１項に定義される金融分野）の事業者
・その事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数の合計が過去６月以内のいずれかの日において5,000を超える事業者○中小規模事業者に対する特例を設けることにより、実務への影響を配慮しています。
○中小規模事業者における対応方法は、参考資料（14ページ以降）を参照してください。

7

保

管
個人番号
個人番号
1234
･･･

会社

5678 ･･･････････････

特定個人情報特定個人情報保 管【収集・保管制限】○番号法で限定的に明記された場合（注）を除き、特定個人情報を保管してはなりません。
（注）５ページの「取得」を参照。

《保管制限》○特定個人情報は、番号法で限定的に明記された事務を行う必要がある場合に限り保管し続けることができます。
○個人番号が記載された書類等のうち所管法令によって一定期間保存が義務付けられているものは、その期間保管することとなります。
○個人番号部分を復元できない程度にマスキング又は削除した上で他の情報の保管を継続することは可能です。
［継続的に保管できる場合の事例］＊雇用契約等の継続的な契約関係にある場合には、従業員等から提供を受けた個人番号を給与の源泉徴収事務、健康保険・厚生年金保険届出事務等のために翌年度以降も継続的に利用する必要が認められることから、特定個人情報を継続的に保管できると解されます。
＊従業員等が休職している場合には、復職が未定であっても雇用契約が継続していることから、特定個人情報を継続的に保管できると解されます。
＊土地の賃貸借契約等の継続的な契約関係にある場合も同様に、支払調書の作成事務のために継続的に個人番号を利用する必要が認められることから、特定個人情報を継続的に保管できると解されます。
○廃棄又は削除を前提とした「保管体制」・「システム構築」をすることが望ましいでしょう。
○廃棄に関する留意事項については、12ページを参照してください。

8

被保険者資格取得届（イメージ）
支払調書（イメージ）利用（利用範囲等）

支払いを
受ける者

個人番号
氏
名

1234…
番号太郎

源泉徴収票（イメージ）
支払いを
受ける者

個人番号
氏
名

5678…
難波一郎

個人
番号

被保険者
氏名

資格取得
年月日

5678…

難波一郎

28.4.1

9876…

難波花子

28.4.1【個人番号の利用制限】・【特定個人情報ファイルの作成の制限】○個人番号を利用できる事務については、番号法によって限定的に定められています（原則的な個人番号の利用）。
○事業者が個人番号を利用するのは、主として、社会保障及び税に関する手続書類に従業員等の個人番号を記載して行政機関等及び健康保険組合等に提出する場合です（個人番号関係事務）。
○例外的な個人番号の利用は、①金融機関が激甚災害時等に金銭の支払を行う場合、②人の生命、身体又は財産の保護のために必要がある場合に限られています。
○個人番号関係事務を処理するために必要な範囲に限って、特定個人情報ファイルを作成することができます。
《利用目的を超えた個人番号の利用禁止》○個人番号は、番号法があらかじめ限定的に定めた事務の範囲の中から、具体的な利用目的を特定した上で、利用するのが原則です。
○利用目的は、本人が、自らの個人番号をどのような目的で利用されるのかを一般的かつ合理的に予想できる程度に具体的に特定することが望ましいです。
○本人の同意があったとしても、利用目的を超えて特定個人情報を利用することはできません。利用目的を超えて個人番号を利用する必要が生じた場
合には、当初の利用目的と関連性を有すると合理的に認められる範囲内で利用目的を変更して、本人への通知等を行うことにより、変更後の利用目的の範囲内で個人番号を利用することができます。
［利用目的の範囲内として利用が認められる場合の事例］＊前年の給与所得の源泉徴収票作成事務のために提供を受けた個人番号については、同一の雇用契約に基づいて発生する当年以後の源泉徴収票作
成事務のために利用することができると解されます。
［利用目的の変更が認められる場合の事例］＊雇用契約に基づく給与所得の源泉徴収票作成事務のために提供を受けた個人番号を、雇用契約に基づく健康保険・厚生年金保険届出事務等に利用しようとする場合は、利用目的を変更して、本人への通知等を行うことにより、その届出事務等に個人番号を利用することができます。
事業者は、給与所得の源泉徴収票作成事務のほか健康保険・厚生年金保険届出事務等を行う場合、従業員等から個人番号の提供を受けるに当
たって、これらの事務の全てを利用目的として特定して、本人への通知等を行うことにより、利用目的の変更をすることなく個人番号を利用することができます。なお、通知等の方法としては、従来から行っている個人情報の取得の際と同様に、社内LANにおける通知、利用目的を記載した書類の提示、就業規則への明記、自社のホームページ等への掲載等の方法が考えられます。

9

提

供
番号法で限定的に明記された場合【特定個人情報の提供制限】○番号法で限定的に明記された場合（注）を除き、特定個人情報を提供してはなりません。（注）５ページの「取得」を参照。
《特定個人情報の提供》○事業者が特定個人情報を提供できるのは、主として、社会保障及び税に関する事務のために従業員等の特定個人情報を行政機関等及び健康保険組合等に提供する場合です。
［個人番号関係事務実施者からの提供の事例］＊事業者（個人番号関係事務実施者）は、給与所得の源泉徴収票の提出という個人番号
関係事務を処理するために、従業員等の個
人番号が記載された給与所得の源泉徴収票を作成し、税務署長に提出します。
《提供の意義》○「提供」とは、法的な人格を超える特定個人
情報の移動を意味するものです。
○同一法人の内部等の法的な人格を超えない特定個人情報の移動は「提供」ではなく「利用」に当たります（利用制限）。

【個人番号の提供の要求】○個人番号利用事務を処理するために必要がある場合に限って、個人番号
税務署
年金事務所等関係事務実施者などに対して個人番号の提供を求めることができます。

会社【個人番号の提供の求めの制限】○番号法で限定的に明記された場合（注）を除き、個人番号の提供を求めてはなりません。
支払調書（イメージ）
支払いを
受ける者

個人番号
氏
名

1234…
番号太郎

源泉徴収票（イメージ）
支払いを
受ける者

個人番号
氏
名

○番号法で限定的に明記された場合（注）を除き、特定個人情報を収集してはなりません。
（注）５ページの「取得」を参照。

5678…
難波一郎

被保険者資格取得届（イメージ）［提供に当たらない場合の事例］＊営業部に所属する従業員等の個人番号が、源泉徴収票を作成する目的で経理部に提出された場合は「提供」に当たりません。

【収集・保管制限】

個人
番号

被保険者
氏名

資格取得
年月日

5678…

難波一郎

28.4.1

9876…

難波花子

28.4.1

税務署や年金事務所等の個人番号利用事
務実施者は、このようにして提出された書類等に記載されている特定個人情報を利用して、社会保障、税及び災害対策に関する特定の事務を行うこととなります。

［提供に当たる場合の事例］＊事業者甲から事業者乙へ特定個人情報が移動する場合は「提供」に当たります。

10

開示・訂正・利用停止等
個人番号
個人番号
1234
･･･

開示・訂正・利用停止等

5678 ･･･････････････

会社

特定個人情報特定個人情報【開示・訂正・利用停止等】○事業者のうち、個人情報保護法の適用を受けることとなる個人情報取扱事業者（注１）は、特定個人情報の適正な取扱いについて、開示・訂正・利用停止等の規定の適用を受けることとなります（注２）。
（注１）個人情報取扱事業者とは、個人情報データベース等を事業の用に供している者（国の機関、地方公共団体、独立行政法人等及び地方独立行政法人を除く。）をいいます。
（注２）個人情報取扱事業者は、これらの規定のほか、個人情報保護法の各規定（第18条第３項第３号から第６号まで、第20条第２項並びに第27条から第30条までの規定を除く。）の適用があります。

【第三者提供の停止に関する取扱い】○特定個人情報が、番号法で限定的に明記された場合（注）に違反して違法に第三者に提供されているという理由により、本人から第三者への特定個人情報の提供の停止の請求を受けた場合であって、その求めに理由があることが判明した
ときには、遅滞なく、その特定個人情報の第三者への提供を停止しなければなりません。
（注）５ページの「取得」を参照。

《提供の停止に代わる措置》○第三者への提供を停止することが困難であり、本人の権利利益を保護するために代わりの措置をとるときは、第三者への提供を停止しないことが認められています。
○開示・訂正・利用停止等の取扱いは、個人情報保護法における取扱いと異なるところはありません。
○特定個人情報を適正に取り扱っていれば、第三者への提供の停止を求められる事態は生じません。

11

廃

棄
個人番号
個人番号
1234
･･･

会社

5678 ･･･････････････

特定個人情報特定個人情報削除又は廃棄【収集・保管制限】（廃棄）○番号法で限定的に明記された場合（注）を除き、特定個人情報を収集又は保管することはできないため、個人番号関係事務を処理する必要がなくなった場合で、所管法令において定められている保存期間を経過した場合には、個人番号をできるだけ速やかに廃棄又は削除しなければなりません。（注）５ページの「取得」を参照。
［扶養控除等申告書の場合の事例］＊扶養控除等申告書は、７年間保存することとなっていることから、当該期間を経過した場合には、当該申告書に記載された個人番号を保管しておく必要はなく、原則として、個人番号が記載された扶養控除等申告書をできるだけ速やかに廃棄しなければなりません。
《個人番号の削除、機器及び電子媒体等の廃棄》○個人番号若しくは特定個人情報ファイルを削除した場合、又は電子媒体等を廃棄した場合には、削除又は廃棄した記録を保存することとなります。
○削除又は廃棄の作業を委託する場合には、委託先が確実に削除又は廃棄したことについて、証明書等により確認する必要があります。
≪手法の例示≫＊特定個人情報等が記載された書類等を廃棄する場合、焼却又は溶解、復元不可能な程度に細断可能なシュレッダーの利用、個人番号部分を復元不可能な程度にマスキングすること等の復元不可能な手段を採用することが考えられる。
＊特定個人情報等が記録された機器及び電子媒体等を廃棄する場合、専用のデータ削除ソフトウェアの利用又は物理的な破壊等により、復元不可能な手段を採用することが考えられる。
＊特定個人情報等を取り扱う情報システム又は機器等において、特定個人情報ファイル中の個人番号又は一部の特定個人情報等を削除する場
合、容易に復元できない手段を採用することが考えられる。
＊特定個人情報等を取り扱う情報システムにおいては、保存期間経過後における個人番号の削除を前提とした情報システムを構築することが考えられる。
＊個人番号が記載された書類等については、保存期間経過後における廃棄を前提とした手続を定めることが考えられる。
廃棄が必要となってから廃棄作業を行うまでの期間については、毎年度末に廃棄を行う等、個人番号及び特定個人情報の保有に係る安全性及び事務の効率性等を勘案し、事業者において判断してください（Ｑ＆Ａにも記載しています。）。

12

ガイドラインの見方（例）第４－１－⑴

個人番号の利用制限（抜粋）「要点」として、各項目の概要や留意点を分かりやすく記述しています。

「要点」と「解説」との対応関係を示しています。

各項目の解説や実務上の指針を記述しています。

留意すべきルールとなる部分については、
アンダーラインを付しています。

実務に即した具体的な事例を記述しています。

13

参考資料「（別添１）特定個人情報に関する安全管理措置」の中小規模事業者における対応方法（抜粋）
安全管理措置の内容（本則）

中小規模事業者における対応方法

Ａ 基本方針の策定
特定個人情報等の適正な取扱いの確保について組織として取り組むために、
基本方針を策定することが重要である。

―

Ｂ 取扱規程等の策定
事務の流れを整理し、特定個人情報等の具体的な取扱いを定める取扱規程等を策定しなければならない。

○○

特定個人情報等の取扱い等を明確化する。
事務取扱担当者が変更となった場合、確実な引継ぎを行い、責任ある立場の者が確認する。

Ｃ 組織的安全管理措置
事業者は、特定個人情報等の適正な取扱いのために、次に掲げる組織的安全管理措置を講じなければならない。
ａ

組織体制の整備
安全管理措置を講ずるための組織体制を整備する。

ｂ 取扱規程等に基づく運用取扱規程等に基づく運用を行うとともに、その状況を確認するため、特定個
人情報等の利用状況等を記録する。
ｃ

事務取扱担当者が複数いる場合、責任者と事務取扱担当者を区分することが望ましい。

○

特定個人情報等の取扱状況の分かる記録を保存する。

取扱状況を確認する手段の整備
特定個人情報ファイルの取扱状況を確認するための手段を整備する。
○
なお、取扱状況を確認するための記録等には、特定個人情報等は記載しない。

特定個人情報等の取扱状況の分かる記録を保存する。

ｄ 漏えい等事案に対応する体制の整備
漏えい等事案の発生又は兆候を把握した場合に、適切かつ迅速に対応するための体制を整備する。
漏えい等事案が発生した場合、二次被害の防止、類似事案の発生防止等の観点から、事案に応じて、事実関係及び再発防止策等を早急に公表することが重要である。
ｅ○

取扱状況の把握及び安全管理措置の見直し
特定個人情報等の取扱状況を把握し、安全管理措置の評価、見直し及び改善に取り組む。

○

漏えい等事案の発生等に備え、従業者から責任ある立場の者に対する報告連絡体制等をあらかじめ確認しておく。

○

責任ある立場の者が、特定個人情報等の取扱状況について、定期的に点検を行う。

14

安全管理措置の内容（本則）

中小規模事業者における対応方法

Ｄ 人的安全管理措置
事業者は、特定個人情報等の適正な取扱いのために、次に掲げる人的安全管理措置を講じなければならない。
ａ 事務取扱担当者の監督事業者は、特定個人情報等が取扱規程等に基づき適正に取り扱われるよう、事務取扱担当者に対して必要かつ適切な監督を行う。
ｂ―

事務取扱担当者の教育事業者は、事務取扱担当者に、特定個人情報等の適正な取扱いを周知徹底するとともに適切な教育を行う。

―

Ｅ 物理的安全管理措置
事業者は、特定個人情報等の適正な取扱いのために、次に掲げる物理的安全管理措置を講じなければならない。
ａ 特定個人情報等を取り扱う区域の管理
特定個人情報ファイルを取り扱う情報システム（サーバ等）を管理する区域（以下「管理区域」という。）を明確にし、物理的な安全管理措置を講ずる。
また、特定個人情報等を取り扱う事務を実施する区域（以下「取扱区域」という。）について、事務取扱担当者等以外の者が特定個人情報等を容易に閲覧等できないよう留意する必要がある。

―

ｂ 機器及び電子媒体等の盗難等の防止
管理区域及び取扱区域における特定個人情報等を取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、物理的な安全管理措置を講ずる。

―

ｃ

電子媒体等の取扱いにおける漏えい等の防止
特定個人情報等が記録された電子媒体又は書類等を持ち運ぶ場合、容易に個人番号が判明しないよう、安全な方策を講ずる。
「持ち運ぶ」とは、特定個人情報等を、管理区域又は取扱区域から外へ移動させること又は当該区域の外から当該区域へ移動されることをいい、事業所内での移動等であっても、特定個人情報等の紛失・盗難等に留意する必要がある。

ｄ 個人番号の削除、機器及び電子媒体等の廃棄
個人番号若しくは特定個人情報ファイルを削除した場合、又は電子媒体等を廃棄した場合には、削除又は廃棄した記録を保存する。また、これらの作業を委託する場合には、委託先が確実に削除又は廃棄したことについて、証明書等により確認する。

○

特定個人情報等が記録された電子媒体又は書類等を持ち出す場合、パスワードの設定、封筒に封入し鞄に入れて搬送する等、紛失・盗難等を防ぐための安全な方策を講ずる。

○ 特定個人情報等を削除・廃棄したことを、責任ある立場の者が確認する。

15

安全管理措置の内容（本則）

中小規模事業者における対応方法

Ｆ 技術的安全管理措置
事業者は、特定個人情報等の適正な取扱いのために、次に掲げる技術的安全管理措置を講じなければならない。
ａ アクセス制御
情報システムを使用して個人番号関係事務又は個人番号利用事務を行う場合、事務取扱担当者及び当該事務で取り扱う特定個人情報ファ
イルの範囲を限定するために、適切なアクセス制御を行う。

ｂ

アクセス者の識別と認証
特定個人情報等を取り扱う情報システムは、事務取扱担当者が正当なアクセス権を有する者であることを、識別した結果に基づき認証する。

ｃ 外部からの不正アクセス等の防止
情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入し、適切に運用する。
ｄ○

特定個人情報等を取り扱う機器を特定し、その機器を取り扱う事務取扱担当者を限定することが望ましい。
○ 機器に標準装備されているユーザー制御機能（ユーザーアカウント制御）により、情報システムを取り扱う事務取扱担当者を限定することが望ましい。
○

特定個人情報等を取り扱う機器を特定し、その機器を取り扱う事務取扱担当者を限定することが望ましい。
○ 機器に標準装備されているユーザー制御機能（ユーザーアカウント制御）により、情報システムを取り扱う事務取扱担当者を限定することが望ましい。
―

漏えい等の防止特定個人情報等をインターネット等により外部に送信する場合、通信経路における漏えい等を防止するための措置を講ずる。

―

外的環境の把握事業者が、外国において特定個人情報等を取り扱う場合、当該外国の個人情報の保護に関する制度等を把握した上で、特定個人情報等の安全の管理のために必要かつ適切な措置を講じなければならない。

―

Ｇ

16

参考資料
「（別添２）特定個人情報の漏えい等に関する報告等（抜粋）１

特定個人情報の漏えい等の考え方

Ａ 「漏えい」の考え方
特定個人情報の「漏えい」とは、特定個人情報が外部に流出することをいう。
なお、特定個人情報を第三者に閲覧されないうちに全てを回収した場
合は、漏えいに該当しない。
Ｂ 「滅失」の考え方
特定個人情報の「滅失」とは、特定個人情報の内容が失われることをいう。
右記の場合であっても、その内容と同じデータが他に保管されている場合は、滅失に該当しない。
Ｃ 「毀損」の考え方
特定個人情報の「毀損」とは、特定個人情報の内容が意図しない形で変更されることや内容を保ちつつも利用不能な状態となることをいう。
※ 同時に特定個人情報が窃取された場合には、特定個人情報の漏えいにも該当する。

該当する事例
・特定個人情報が記載された書類を第三者に誤送付した場合・システムの設定ミス等によりインターネット上で特定個人情報の閲覧が可能な状態となっていた場合

・特定個人情報ファイルから出力された氏名等が記載された帳票等を誤って廃棄した場合

・特定個人情報の内容が改ざんされた場合

17

参考資料
「（別添２）特定個人情報の漏えい等に関する報告等（抜粋）２

漏えい等事案が発覚した場合に講ずべき措置

Ａ 事業者内部における報告及び被害の拡大防止
責任ある立場の者に直ちに報告するとともに、漏えい等事案による被害が発覚時よりも拡大しないよう必要な措置を講ずる。

Ｂ 事実関係の調査及び原因の究明
漏えい等事案の事実関係の調査及び原因の究明に必要な措置を講ずる。

Ｃ 影響範囲の特定
上記Ｂで把握した事実関係による影響範囲の特定のために必要な措置を講ずる。

Ｄ 再発防止策の検討及び実施
上記Ｂの結果を踏まえ、漏えい等事案の再発防止策の検討及び実施に必要な措置を講ずる。

Ｅ委員会への報告及び本人への通知
P19（委員会への報告）、P21（本人への通知）を参照のこと。なお、漏えい等事案の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、事実関係及び再発防止策等について、速やかに公表することが望ましい。

18

参考資料
「（別添２）特定個人情報の漏えい等に関する報告等（抜粋）３

委員会への報告（報告対象となる事態）報告を要する事例⑴ 次に掲げる特定個人情報の漏えい、滅失若しくは毀損（以下「漏えい等」という。）が発生し、又は発生したおそれがある事態
イ

情報提供ネットワークシステム及びこれに接続された電子計算機に記録された特定個人情報
ロ 個人番号利用事務実施者が個人番号利用事務を処理するために使用する情報シス
テムにおいて管理される特定個人情報
ハ 行政機関、地方公共団体、独立行政法人等及び地方独立行政法人が個人番号関係事務を処理するために使用する情報システム並びに行政機関、地方公共団体、独立行政法人等及び地方独立行政法人から個人番号関係事務の全部又は一部の委託を受けた者が当該個人番号関係事務を処理するために使用する情報システムにおいて管理される特定個人情報⑵

次に掲げる事態
イ 不正の目的をもって行われたおそれがある特定個人情報の漏えい等が発生し、又は発生したおそれがある事態
ロ 不正の目的をもって、特定個人情報が利用され、又は利用されたおそれがある事態
ハ 不正の目的をもって、特定個人情報が提供され、又は提供されたおそれがある事態⑶

個人番号利用事務実施者又は個人番号関係事務実施者の保有する特定個人情報ファイルに記録された特定個人情報が電磁的方法により不特定多数の者に閲覧され、又は閲覧されるおそれがある事態⑷

次に掲げる特定個人情報に係る本人の数が100人を超える事態
イ 漏えい等が発生し、又は発生したおそれがある特定個人情報
ロ 番号法第９条の規定に反して利用され、又は利用されたおそれがある個人
番号を含む特定個人情報
ハ 番号法第19条の規定に反して提供され、又は提供されたおそれがある特定
個人情報

―

＊
＊

不正アクセスにより特定個人情報が漏えいした場合業務に関係なく、マイナンバーを利用し、住所等を検索・取得した場合＊ 従業者が特定個人情報を不正に持ち出して第三者に提供した
場合＊システムの設定ミス等によりインターネット上で特定個人情報の閲覧が可能な状態となっている場合＊

第三者に誤送付・誤送信した特定個人情報に係る本人の数が100人を超える場合＊ 個人番号利用事務と関係のない顧客管理のためのIDとして利用していたマイナンバーの数が100人を超える場合※報告対象事態に該当しない漏えい等事案においても、特定個人情報を取り扱う事業者は委員会に報告するよう努める。

19

参考資料
「（別添２）特定個人情報の漏えい等に関する報告等（抜粋）３
Ｂ

Ｃ

委員会への報告（報告義務の主体、速報、確報、例外規定）

報告義務の主体
漏えい等報告の義務を負う主体は、規則第２条の事態に該当する特定個人情報を取り扱う個人番号利用事務等実施者である。
原則として委託元と委託先の双方が報告する義務を負う。この場合、委託元及び委託先の連名で報告することができる。
なお、委託先が、報告義務を負っている委託元に当該事態が発生したことを通知したときは、委託先は報告義務を免除される。

速報
個人番号利用事務等実施者は、報告対象事態を知ったときは、速やかに、委員会に報告しなければならない。
「速やか」の日数の目安については、個別の事案によるものの、個人番号利用事務等実施者が当該事態の発生を知った時点から概ね３日～５日以内である。
委員会への漏えい等報告については、右記の⑴から⑼までに掲げる事項を、原則として、委員会のホームページの報告フォームに入力する方法により行う。

【報告する事項】⑴報告対象事態の概要⑵特定個人情報の項目⑶本人の数⑷当該事態が発生した原因⑸二次被害又はそのおそれの有無及びその内容⑹本人への対応の実施状況⑺当該事態に関する公表の実施状況⑻再発防止のための措置⑼その他委員会が事態を把握する上で参考となる事項

Ｄ

確報
個人番号利用事務等実施者は、報告対象事態を知ったときは、速報に加え、30日以内（規則第２条第２号の事態においては60日以内。同号の事態に加え、同条第１号、第３号又は第４号の事態にも該当する場合も60日以内。）に委員会に報告しなければならない。

Ｅ

委託元への通知の例外
委託先は、委員会への報告義務を負っている委託元に対し、上記Ｃの報告を要する事項のうち、その時点で把握しているものを通知したときは、報告義務を免除され、委託元が報告を行うことになる。
委託元への通知については、速報としての報告と同様に、報告対象事態を知った後、速やかに行わなければならない。
「速やか」の日数の目安については、個別の事案によるものの、委託先が当該事態の発生を知った時点から概ね３日～５日以内である。

20

参考資料
「（別添２）特定個人情報の漏えい等に関する報告等（抜粋）４

本人への通知事例

Ａ 通知対象となる事態及び通知義務の主体
個人番号利用事務等実施者は、報告対象事態を知ったときは、本人への通知を行わなければならない。
特定個人情報の取扱いを委託している場合においては、原則として委託元と委託先の双方が通知する義務を負う。委託先が、報告義務を負っている委託元に前頁Ｃ⑴から⑼までに掲げる事項のうち、その時点で把握しているものを通知したときは、委託先は報告義務を免除されるとともに、本人への通知義務も免除される。
Ｂ 通知の時間的制限等
個人番号利用事務等実施者は、報告対象事態を知ったときは、当該事態の状況に応じて速やかに、本人への通知を行わなければならない。

【その時点で通知を行う必要があるとはいえないと考えられる事例】＊ インターネット上の匿名掲示板等に漏えいした複数の特定個人情報がアップロードされており、個人番号利用事務等実施者において当該掲示板等の管理者に削除を求める等、必要な初期対応が完了しておらず、本人に通知することで、かえって被害が拡大するおそれ
がある場合

Ｃ

通知の内容
本人へ通知すべき事項については、漏えい等報告における報告事項のうち、「概要」、「特定個人情報の項目」、「原因」、「二次被害又はそのおそれの有無及びその内容」及び「その他参考となる事項」に限られている。
通知によって被害が拡大するおそれがある場合には、その時点で通知を要するものではないが、そのような場合であっても、当該おそれがなくなった後は、速やかに通知する必要がある。

Ｄ 通知の方法「本人への通知」とは、本人に直接知らしめることをいい、特定個人情報の取扱状況に応じ、通知すべき内容が本人に認識される合理的かつ適切な方法によらなければならない。

【本人への通知の方法の事例】＊ 文書を郵便等で送付することにより知らせること。
＊ 電子メールを送信することにより知らせること。

Ｅ【代替措置に該当する事例】＊ 事案の公表＊ 問合せ窓口を用意してその連絡先を公表し、本人が自らの特定個
人情報が対象となっているか否かを確認できるようにすること。

通知の例外
本人への通知を要する場合であっても、本人への通知が困難である場合
は、本人の権利利益を保護するために必要な代替措置を講ずることによる対応が認められる。

21