仙台市職員共済組合が実施する長期給付事業における個人番号利用事務に係る特定個人情報等取扱要綱（平成２９年８月２５日事務局長決裁）（目的）
第１条 この要綱は、仙台市職員共済組合個人番号及び特定個人情報の適正な取扱いに関する規程（以下「規程」という。）及び仙台市職員共済組合個人番号及び特定個人情報の適正な取扱いに関する規程細則（以下「細則」という。）に基づき、仙台市職員共済組合（以下「組合」という。）が実施する長期給付事業（以下「長期給付事業」という。）において個人番号利用事務（細則別紙１の１で利用目的に定めるものに限る。）を行うに当たり、個人番号及び特定個人情報（以下「特定個人情報等」という。）を取り扱う事務の各段階を明確にするとともに、長期給付事業における特定個人情報等の適正な取扱いを確保するため必要な事項を定めるものとする。
（特定個人情報等の範囲）
第２条 長期給付事業における個人番号利用事務において、取り扱う特定個人情報等の範囲は、個人番号及び個人番号と関連付けて管理される氏名、生年月日、性別、住所等とする。
（特定個人情報等の利用目的）
第３条 長期給付事業における個人番号利用事務において取り扱う特定個人情報等の利用目的は、次のとおりとする。
（１）厚生年金保険法（昭和 29 年法律第 115 号）による年金である保険給付若し
くは一時金の支給又は保険料その他徴収金の徴収に関する事務であって、次に掲げるもの
イ 厚生年金保険法による同法第２条の５第１項第３号に規定する第三号厚生年金被保険者（以下「第三号厚生年金被保険者」という。）に係る請求等（請求、申請、届出又は申出をいう。以下この条において同じ。）の受理、その請求等に係る事実についての審査又はその請求等に対する応答に関する事務ロ 第三号厚生年金被保険者の資格に関する事務（イに掲げるものを除く。）
ハ 厚生年金保険法による保険給付及び当該保険給付の受給権者に係る請求等の受理、その請求等に係る事実についての審査又はその請求等に対する応答に関する事務
ニ 厚生年金保険法による保険給付の支給に関する事務
ホ 第三号厚生年金被保険者であった期間に係る厚生年金保険の保険料その他厚生年金保険法の規定による徴収金に関する事務（２）地方公務員等共済組合法（昭和37年法律第152号）による年金である給付又は地方公務員共済組合法の長期給付等に関する施行法（昭和37年法律第153号）による年金である給付の支給に関する事務であって、次に掲げるもの
イ 地方公務員等共済組合法第76条の退職等年金給付の支給に関する事務
ロ 地方公務員等共済組合法による掛金に関する事務
ハ 地方公務員等共済組合法による退職等年金給付及び当該退職等年金給付の受給権者に係る請求等の受理、その請求等に係る事実についての審査又はその請求等に対する応答に関する事務
ニ 被用者年金制度の一元化等を図るための厚生年金保険法等の一部を改正する法律（平成24年法律第63号。以下「一元化法」という。）附則第60条第５項又は第61条第１項の規定によりなおその効力を有するものとされた一元化法
第３条の規定による改正前の地方公務員等共済組合法（以下「改正前地共済法」という。）第39条の組合員の資格の得喪に関する事務
ホ 地方公務員等共済組合法の長期給付等に関する施行法第３条に規定する給付、一元化法附則第60条第５項に規定する改正前地共済法による職域加算額及び一元化法附則第61条第１項に規定する給付並びにこれらの給付の受給権者に係る請求等の受理、その請求等に係る事実についての審査又はその請求等に対する応答に関する事務
ヘ 一元化法附則第65条第１項に規定する退職共済年金、障害共済年金又は遺族共済年金について適用するものとされた厚生年金保険法の規定による事務として行う第１号に掲げる事務に準ずる事務（３）社会保障協定の実施に伴う厚生年金保険法等の特例等に関する法律（平成19年法律第104号）による文書の受理及び送付又は保有情報の提供に関する事務であって、次に掲げるもの
イ 社会保障協定の実施に伴う厚生年金保険法等の特例等に関する法律第59条
第１項の相手国法令による申請等に係る文書の受理又は送付に関する事務
ロ 社会保障協定の実施に伴う厚生年金保険法等の特例等に関する法律第60条
第１項又は第２項の保有情報の提供に関する事務（４）国民年金法（昭和 34 年法律第 141 号）による年金である給付の支給又は加入員の資格の取得及び喪失に関する事項の届出に関する事務であって、次に掲げるもの
イ 国民年金法第３条第２項の規定により組合が行う被保険者に係る請求等の受理、その請求等に係る事実についての審査又はその請求等に対する応答に関する事務（特定個人情報等を取り扱う事務の種類）
第４条 長期給付事業における個人番号利用事務として特定個人情報等を取り扱う
事務の種類は、次の各号のとおりとする。
（１）個人番号取得事務 第３条に掲げる事務を行うために個人番号を取得する事
務（２）回付・進達事務 厚生年金保険法による保険給付の受給権者に係る請求書等（請求書、申請書、届出書又は申出書をいう。以下同じ。）を他実施機関へ回付する事務及び国民年金法により組合が行う被保険者に係る請求書等を地方公務員共済組合連合会へ進達する事務（３）個人番号入力事務 取得した個人番号を基に個人番号を管理する情報システ
ムへ入力する事務（４）特定個人情報管理・保管事務 特定個人情報等を含む紙媒体又は電子データを漏えい、滅失、き損がないよう安全に管理及び保管する事務（５）委託先管理事務 長期給付事業における特定個人情報等の管理及びその内容に特定個人情報等を含む申請を委託する委託先（再委託先を含む。）を管理する事務

（６）廃棄・削除事務 第 15 条に規定する保存年限を経過したことにより、不要になった特定個人情報等を安全に廃棄又は削除する事務（７）情報システム管理事務 特定個人情報等を取り扱う情報システムの管理事務（事務取扱関係者）
第５条 前条各号に掲げる事務の実施、当該事務に係る決裁など、業務上、特定個人情報等を知る機会がある者を事務取扱関係者とし、事務局長、事務局次長及び年金係の職員（非常勤職員を含む。）に限定する。
（特定個人情報保護責任者）
第６条 第４条各号に掲げる事務に係る特定個人情報保護責任者は、細則第２条第２号に規定する年金係長とする。
（事務取扱担当者）
第７条 第４条各号に掲げる事務を実施する事務取扱担当者（細則第３条第４項に規定する事務取扱担当者をいう。）は、年金係の職員であって、特定個人情報保護責任者が指定する者（非常勤職員を含む。）とする。
（本人確認）
第８条 事務取扱担当者は、年金受給者又は年金請求者（以下「本人」という。）に個人番号の提供を求めるに当たっては、規程第９条に規定する本人確認の措置に基づき、次に掲げるいずれかの書類（以下「本人確認書類」という。）の提示をもって個人番号の確認及び当該人の身元確認（以下「本人確認」という。）を行うものとする。ただし、郵送等により個人番号の提供を受ける場合には、次に掲げる書類の写しにより本人確認を行うこともできるものとする。
（１）個人番号カード（２）通知カード及び身元確認書類（３）個人番号が記載された住民票の写し及び身元確認書類
２ 前項の規定にかかわらず、あらかじめ個人識別事項（氏名及び生年月日又は住所）を印字して送付された書類へ個人番号を記載して返送された場合、書類に印字した個人識別事項と添付されている個人番号カード、通知カード又は個人番号が記載された住民票の写し（以下「番号確認書類」という。）に記載された個人識別事項が同一であることを確認することにより、身元確認を行うものとする。
３ 前２項の規定にかかわらず、地方公共団体情報システム機構（以下「Ｊ－ＬＩＳ」という。）から個人番号を取得している者については、本人確認を行うことを要しない。
４ 代理人から個人番号の提供を受ける場合については、次に掲げる書類の提示をもって、代理権の確認、当該代理人の身元確認及び本人の個人番号の確認を行うものとする。
（１）委任状（任意代理人の場合）又は戸籍謄本（法定代理人の場合）等、代理権を確認することができる書類（２）代理人の個人番号カード又は身元確認書類（３）本人の番号確認書類

（運用状況の記録）
第９条 事務取扱担当者は、第４条各号の事務に係る特定個人情報等の運用状況を、次に掲げる項目につき特定個人情報等の運用状況記録票（別紙１）へ記録する。
（１）特定個人情報等の収集及び特定個人情報ファイルへの入力状況の記録（２）特定個人情報ファイルの利用・出力状況の記録（３）書類・媒体等の持出しの記録（４）特定個人情報ファイルの廃棄・削除記録
２ 事務取扱担当者は、前項の廃棄又は削除を第三者に委託する場合には、委託先が確実に廃棄又は削除したことについて、証明書等により確認するものとする。
３ 事務取扱担当者は、特定個人情報ファイルを情報システムで取り扱う場合には、情報システムの利用状況（ログイン実績、アクセスログ等）を情報システムのログにより記録するものとする。
（取扱状況の確認）
第 10 条 事務取扱担当者は、第４条各号の事務に係る特定個人情報ファイルの取扱状況について、特定個人情報ファイル管理台帳（別紙２）に、次に掲げる事項を記録する。
（１）特定個人情報ファイルの種類、名称（２）責任者、取扱部署（３）利用目的（４）廃棄・削除状況（５）アクセス権を有する者（取扱状況の把握及び安全管理措置の見直し）
第 11 条 特定個人情報保護責任者は、第９条に規定する特定個人情報の運用状況及
び第 10 条に規定する特定個人情報ファイルの取扱状況について、自ら行う点検又は細則第２条第３号に規定する特定個人情報保護監査責任者による監査を実施するものとする。
２ 特定個人情報保護責任者は、前項に定める点検等の結果に基づき、安全管理措置の評価、見直し及び改善に取り組むものとする。
（特定個人情報を取り扱う区域の管理）
第 12 条 第４条各号に掲げる事務に係る特定個人情報等を取り扱う「管理区域」及び「取扱区域」は、次の各号のとおりとする。
（１）管理区域 全国市町村職員共済組合連合会（以下「連合会」という。）委託先データセンター（２）取扱区域 第４条各号に掲げる事務を実施する共済組合事務室
２ 前項の管理区域及び取扱区域について、それぞれ次の各号に掲げる安全管理措置を講じるものとする。
（１）管理区域 入退室管理及び管理区域へ持ち込む機器等の制限（２）取扱区域 壁や間仕切り等を設置する、又は事務取扱担当者以外の者の往来が少ない場所や後ろから覗き見される可能性が低い場所とするなど座席配置等の工夫

（機器及び電子媒体等の盗難等の防止）
第 13 条 特定個人情報保護責任者及び事務取扱担当者は、管理区域及び取扱区域における特定個人情報等を取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、次の各号に掲げる措置を講じる。
（１）特定個人情報ファイルを取り扱う情報システム機器は、施錠できる部屋に設置する、又はセキュリティワイヤー等により固定する（２）特定個人情報等を取り扱う電子媒体又は書類等を施錠できるキャビネット、書庫等に保管する。
（各管理段階ごとの取扱方法等）
第 14 条 第４条各号に掲げる事務の取扱部署、取扱方法、場所、安全管理措置等は、次の各号のとおりとする。
（１）個人番号取得事務区分
取 扱 部 対象者
取扱方法場所 安全管理措置署等
取得
連 合 会 J-LIS【一括取得の場合】
管理 安全管理措置が図 ら
委託先
既存の年金受給権者は、管 区域 れた連合会委託先 に理されている住民票コーて保管する。
ド(又は氏名、生年月日、性別及び住所の４情報)にて、住民基本台帳ネットワークシステムによりJ-LIS から個人番号を一括取得する。
年金係 J-LIS【一括取得できなかった 取扱 ①個人番号が記載 さ場合】区域 れた紙媒体は、施錠できるキャビネット に一括取得できなかった者保管する。
については、住民基本台帳②鍵は定められた 場
ネットワークシステムに所に保管し、事務取扱より J-LIS から個人番号担当者のうち特定 個を個別に取得する。
人情報保護責任者 が指定する者が鍵の 管理を行う。
（２）回付・進達事務
区分 取扱部 回付・進達方法
場
安全管理措置署等
所
回付 年金係 【情報連携システムによる場合】
取①システムを使用で①情報連携システムを利用して他の実 扱きるＰＣを限定す施機関へ電子回付する。
区る。
②「特定個人情報等の運用状況記録票」 域②特定個人情報保護（別紙１）に回付の記録を記入する。
責任者が連合会に申請し、担当者ごとに異なるＩＤを取得する。
③第９条に規定する記録を行う。
進達 年金係 【紙媒体による場合】①郵送の履歴が残る①書類を封筒に封緘し、郵送する。
方法とする。

②進達先は地方公務員共済組合連合会②第９条に規定する年金業務部記録を行う。
③「特定個人情報等の運用状況記録票」（別紙１）に提出の記録を記入する。
（３）個人番号入力事務
区分
取 扱 部 情報システム 取扱方法
場所 安全管理措置
署等
入力
連 合 会 個人番号管理 【一括取得した個人番号 管理 安全管理措置が図 ら
委託先 システムを入力する場合】区域 れた連合会委託先 に住民基本台帳ネットワーて保管する。
クシステムにより J-LISから一括取得した個人番号データを個人番号管理システムに入力する。
年金係 個人番号管理 【一括取得できなかった 取扱 ①システムを使用 でシステム
個人番号を入力する場合】 区域 きるＰＣを限定する。
①システムで桁チェック②特定個人情報保 護を行う。
責任者が事務取扱 担②個人番号と個人情報が当者ごとに異なる Ｉ一致しているか、入力者とＤ及びパスワード を別の者が目視チェック及付与する。
び読合せチェックを行う。
③目視チェック及 び③チェック後、住民基本台読合せチェックを 行帳ネットワークシステム
う。
から出力した紙媒体又は④シュレッダーに よ本人確認書類はシュレッる細断を行う。
ダーによる細断を行う。
⑤第９条に規定す る④「特定個人情報等の運用記録を行う。
状況記録票」（別紙１）に入力及び書類廃棄の記録を記入する。
（４）特定個人情報管理・保管事務区分
取 扱 部 管理・保管 管理・保管方法
場所 安全管理措置
署媒体管理
年金係 紙媒体「特定個人情報ファイル管第 10 条に規定する記理台帳」（別紙２）に取扱い録を行う。の記録を記入する。
保管
年金係 紙媒体
施錠できるキャビネットで 取扱 ①個人番号が記載 さ保管する。
区域 れた紙媒体は、施錠できるキャビネット に保管する。
②鍵は定められた 場所に保管し、事務取扱担当者のうち特定 個人情報保護責任者 が指定する者が鍵の 管理を行う。
電子データ 情報システムに保管し、安全 管理 組合のサーバには 保管理措置が図られた連合会 区域 存しない。
委託先のデータセンターで管理する。
（５）委託先管理事務
区分 取扱部 取扱方法
署等
選定 特定個 「特定個人情報等取扱業務委託先評価人情報 シート」（別紙３）を用いて、委託先選保護責 定評価を実施し、当組合と同等の安全任者管理措置が図られている事業者のみに委託する。
契約 特定個 委託契約の内容に右欄の事項を含む。
人情報保護責任者

安全管理措置

実地調査、ヒアリング又は報告書により、委託先の状況を確認し、「特定個人情報等取扱業務委託先評価シート」（別紙３）に記入する。
【委託契約の内容に含む事項】①秘密保持義務②個人情報の安全管理に関する事項
ア 目的外利用の禁止
イ 契約範囲外の加工・複写・複製の禁止
ウ 委託契約終了後の個人情報の返還・廃棄・削除に関する事項③事務取扱担当者の教育・監督に関する事項④再委託に関する事項（原則、再委託は禁止。やむを得ず再委託する場合は、委託と同等の条件を満たすこと。）⑤契約内容の履行状況を確認するための委託者への報告又は委託者による監査に関する事項⑥契約内容の不履行等が発生した場合の措置に関する事項⑦特定個人情報等の漏 えい、滅失又はき損による事故等が発生した場合の報告に関する事項
再 評 特定個 年１回定期的に委託先を調査し、再評 実地調査、ヒアリング又は価
人情報 価を行う。
報告書により、委託先の状保護責況を確認し、「特定個人情報任者等取扱業務委託先評価シート」（別紙３）の見直しを行う。
（６）廃棄・削除事務
区分 取扱部 実施時期 取扱方法
場所 安全管理措置署
廃棄 年金係 保存期間 【紙媒体の場合】
取 扱 ①シュレッダーによ経過後①シュレッダーによる細 区域 る細断を行う。
断又は安全管理措置が図②第９条に規定するられた委託先にて溶解す記録を行う。
る。

削除②「特定個人情報等の運用状況記録票」（別紙１）に廃棄の記録を記入する。
年金係 保存期間 【電子データの削除の場 取 扱経過後合（個人番号管理システ 区域ム）】①データを削除した者と別の者が目視チェックを行う。
②データのアクセス履歴を取得する。
③「特定個人情報等の運用状況記録票」（別紙１）に削除の記録を記入する。
【電子データの削除の場合（情報連携システム）】
保存期限の到来により、自動で削除される。

（７）情報システム管理事務
区分取扱部 情報シス 管理項目署等
テム
シ ス 連合会 個人番号 アクセスの制御
テ ム 委託先 管理シス管理テム
特定個 個人番号 アクセスの制御
人情報 管理シス
保護責 テム
任者

場所【個人番号管理シス
テム】①目視チェックを行う。
②アクセス履歴を取得する。
③第９条に規定する記録を行う。
【情報連携システム】
自動削除のため、作業は要しない。
①登録された画像データは、処理完結後５年で外部媒体に退避し保存される。
②転送された画像データは、紐付けされなければ転送から５営業日経過後に削除される。
日本年金機構において管理する。
安全管理措置管 理 ＩＤ及び生体認証に区域 よりログインする仕組みとする。
取 扱 ①使用できるＰＣを区域 限定する。
②事務取扱担当ごとに異なるＩＤを付与し、生体認証によりログインする仕組みとする。
管 理 操作証跡を作成し、管区域 理する。

連合会 個人番号 アクセスの監視
委託先 管理シス
テム
個人番号 外部からの不正アクセス 管 理 ①データベース全体
管理シス 等の防止
区域 を暗号化する。
テム②バックアップされたデータも暗号化された状態で保管する。
③電気通信回線は、専用回線を使用し、外部情報連携 アクセスの制御システム

管 理
区域

特定個 情報連携 アクセスの制御
人情報 システム
保護責任者

取 扱
区域

連合会 情報連携 アクセスの監視委託先 システム
情報連携 外部からの不正アクセスシステム 等の防止

管 理
区域
管 理
区域のＩＴシステムとの通信は行わない。
④ウィルス対策ソフトを使用する。
⑤必要なソフトウェ
ア以外のソフトウェアを導入しない。
ＩＤ及びパスワードによりログインする仕組みとする。
連合会に申請の上、担当者ごとに異なるＩＤを取得し、パスワードによりログインする仕組みとする。
操作証跡を作成し、管理する。
①電気通信回線は、専用回線を使用し、外部のＩＴシステムとの通信は行わない。
②ウィルス対策ソフトを使用する。
③必要なソフトウェ
ア以外のソフトウェアを導入しない。

（廃棄・削除方法）
第 15 条 個人番号を含む帳票（写しを含む。）等、対応する情報システム等、取扱部
署、保存年限及び廃棄・削除方法は、次のとおりとする。
帳票等
情 報 シ 取扱 保存年限
廃棄・削除方法ス テ ム 部署等
請求書等
紙媒体
年金 年金受給権者が死亡等に シュレッダー・溶解係
より失権した日（遺族給付に転給した場合（次順位を含む。）は、遺族給付の年金受給権者が死亡した日）の属する翌年事業年度から起算して 10 年
個 人 番 号 管 理 個 人 番 年金 年金受給権者が死亡等に 個人番号管理システムシステムの保 号 管 理 係より失権した日（遺族給 によるデータ削除
存データ
シ ス テ付に転給した場合（次順ム位を含む。）は、遺族給付の年金受給権者が死亡した日）の属する翌年事業年度から起算して 10 年
情 報 連 携 シ ス 情 報 連 年金 ①登録された画像データ 情報連携システムによテムの保存デ 携 シ ス 係
は、処理完結後５年で外 るデータ削除ータテム部媒体に退避し保存される。
②転送された画像データは、紐付けされなければ転送から５営業日経過後に削除される。
※日本年金機構において管理する。
（事故発生時の対応）
第 16 条 特定個人情報等の漏えい、滅失又はき損等の事案の発生又はその兆候を察知した者は、規程第 18 条に基づき対応するものとする。
附 則
この要綱は、平成２９年８月２５日から施行し、個人番号の取得日から適用する。

（別紙１）

特定個人情報等の運用状況記録票

年月日

氏名

入力・利用・出力・持出し・廃棄・削除状況（具体的な内容を記載）

事務取扱担当者

備考

（別紙２）

特定個人情報ファイル管理台帳

No.

種類・名称

利用目的
（提出先）

記録媒体

保管場所

取扱部署

責任者

事務取扱担当者（アクセス権者）

保存年限
廃棄・削除時期

廃棄・削除方法

廃棄・削除実施者
廃棄・削除実施日

（別紙３）
作成年月日：年月日

特定個人情報等取扱業務委託先評価シート
１

最終判定（判定条件を全て満たしていることが「採用」の条件である）

□採用□

不採用

２

基本情報項目(1)委託選定(2)委託先名称(3)委託先の部門名(4)委託先の業務責任者(5)業務委託内容(6)預託個人情報※□新規記入欄□再評価 ※

備考

新規の委託選定時における評価の場合は、「新規」、既に契約履行中の契約における再評価の場合は、「再評価」を選択する。

３

評価項目

No

評 価 項 目委託パターン ※１

判定Ⅳ

※２

Ⅰ

Ⅱ

プライバシーマーク付与事業者か過去２年間に特定個人情報等の漏えい事故を起こしていないか

Ⅲ

改善措置等

○
○

※ 上記を満たす場合は、判定欄に「○」を記入し、以下の項目は省略することができる。
1

特定個人情報等の保護体制が整備されているか
特定個人情報等の保護やセキュリティに関する規程や手順書が整備されているか

○

○

○

○

○

○

○

○

事故時の手順書やマニュアルが整備されているか
特定個人情報等の取扱いについて、定期的に内部監査や点検が実施されているか

○

○

○

○

○

○

○

－

従業員等から機密保持に関する誓約書を取得しているか
従業員等に特定個人情報等の保護に必要な教育を実施しているか

○

○

○

○

○

○

○

○

7
8

特定個人情報等の取扱い場所の入退管理を実施しているか
特定個人情報等の保管場所の施錠管理を実施しているか

○
○

○
○

－－－－－－

2
3
4
5
6

9

特定個人情報等の持ち出し管理を実施しているか

○

○

10

特定個人情報等の授受の記録が取られているか

○

○

11
12

特定個人情報等を確実に廃棄・消去しているか
クリアデスク、クリアスクリーンを実施しているか

○
○

○
○

－－－－－－

○

○

－－

○

○

－－－－

14

特定個人情報等を格納するサーバは安全管理に必要な措置を講じているか
上記サーバのアクセスログを取得しているか

15

職務内容に応じたアクセス権限を与えているか

○

○

16
17

ＰＣ等のウィルス対策を実施しているか
システム障害対策を実施しているか

○
－

○
○

－－－－

18

施設や機器に対する物理的安全対策（地震、火災、避雷、停電等）を実施しているか

－

○

－－

19
20

災害発生時の手順書やマニュアルが整備されているか
秘密保持契約を締結できるか

－－

○
○

－－－－

13

※１ 委託パターン
Ⅰ：特定個人情報等の取扱い（利用・加工等）を委託する場合
Ⅱ：クラウド事業者に委託する場合
Ⅲ：IＤＣ、ＩＳＰ、倉庫会社のように、特定個人情報等を受領している認識がない場合
Ⅳ：警備会社、清掃会社のように個人情報に触れる機会がある場合※２ No1からNo20の判定は、Ａ（満足）、Ｂ（改善が必要）、Ｃ（評価項目を満たしていない）、－（該当しない）を記入し、Ｂの場合は、「改善措置等」欄に改善対応状況を記入する。

【評価方法】
評価する委託先について、該当する委託パターンの列を確認の上、「○」が記載されている評価項目の判定結果を記入する。
【選定基準】(1) プライバシーマーク付与事業者で、過去２年間に特定個人情報等の漏えい事故を起こしていない場合は、判定欄に「○」を記入し、採用可とする。
(2) 判定結果に一つでも「Ｃ」がある場合は不採用とする。判定結果が「Ｂ」の場合は改善措置の実施を条件に採用可とする。