改正個人情報保護法等に関する令和５年度の地方公共団体等に対する監視・監督方針
令 和 ５ 年 ３ 月 15 日
個人情報保護委員会
個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「個人情報保護法」という。）は、デジタル社会の形成を図るための関係法律の整備に関する法律（令和３年法律第37 号）による個人情報保護法の改正（以下「令和３年改正法」という。）により改正され、令和３年改正法は令和５年４月１日に全面施行される（以下、本書記載の条文番号は特記なき限り、令和５年４月１日施行後の個人情報保護法の条文番号を指す。）。
上記の改正により、地方公共団体の機関及び地方独立行政法人（以下「地方公共団体等」という。）の保有個人情報の漏えい等事案であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるもの 1が生じた場合の個人情報保護委員会（以下「委員会」という。）への報告の義務化や、委員会による監視対象に地方公共団体等が含まれるようになる等、委員会の監視・監督権限が拡大された。そのため、委員会において、地方公共団体等に対するマイナンバーの監視・監督活動を引き続き着実に実施しつつ、これらの権限拡大を踏まえた令和５年度の監視・監督方針を示すものとする。
１．改正個人情報保護法に係る監視・監督の基本方針（１）日常の監視
地方公共団体等は、民間部門と異なり、法令等により個人情報等を取得する権限を有し、また、保有する個人情報が多大となりうることから、透明性と信頼性の確保が特に重要である。こうした点を踏まえて、委員会は、保有個人情報の漏えい等事案の報告（第 68条第 1 項）、個人情報保護法に関する総合的な案内所（個人情報保護法相談ダイヤル）への通報、メディア報道等による情報の取得など多角的な方法により、きめ細かく事案の端緒の把握を行う。
（２）計画的な実地調査等
令和５年度以降、地方公共団体等は、第 66 条第１項に基づき、保有する個人情報について安全管理措置を講ずることが求められるところ、委員会は、第 156 条の権限行使として、毎年、委員会において議決した調査計画に基づき、対象の地方公共団体等を選定して計画的な実地調査等を行い、当該安全管理措置の実施状況等について確認を行う。
実地調査等は、行政手続における特定の個人を識別するための番号の利用等に関する法
律（平成 25 年法律第 27 号。以下「マイナンバー法」という。）第 35 条の権限行使として

1

個人情報保護委員会規則第 43 条で次のとおり定められている。①要配慮個人情報を含む保有個人情報の漏えい等又はそのおそれ、②不正に利用されることにより財産的被害が生じるおそれがある保有個人情報の漏えい等又はそのおそれ、③不正アクセス等不正の目的をもって行われたおそれがある保有個人情報の漏えい等又はそのおそれ、④100 人超の保有個人情報の漏えい等又はそのおそれ、⑤条例要配慮個人情報を含む保有個人情報の漏えい等又はそのおそれ。

1

行う立入検査等と一体的に行うことにより、効率的かつ効果的に実施する。
令和５年度は、過去の漏えい等事案の有無やその規模等による漏えい等のリスク評価をベースに優先度を付した上で、その中から、マイナンバー法に基づく立入検査等との一体性や実地訪問の効率性、地域バランス等も加味し、約 50 機関を対象として実地調査等を行う予定である。
実地調査等に当たっては、地方公共団体等の規模・所在を踏まえ、必要に応じて、調査体制を柔軟に編成するとともに、デジタル技術の活用により、効率化を図る。
委員会は、実地調査等により、個人情報保護法及び委員会が公表している各種ガイドライン等に照らし、不適切又は違法な個人情報等の取扱いがなされているか否かを明らかにし、機動的に必要な指導・助言等を行う（第 157 条～第 159 条）とともに、改善が確認できるまでフォローアップを継続していく。
実地調査等において不備事項が確認された地方公共団体に対しては、必要に応じて、当該地方公共団体のマネジメント層との間でハイレベルのリスクコミュニケーションの場を設け、改善に向けた的確かつ迅速な取組を促すとともに、リスク管理等に関する意見交換を実施することで、調査では明確になり難いガバナンス面等の課題についても把握し、アドバイス等の支援を実施する。
また、実地調査等の対象とした機関名、指摘事項の概要等については、原則として、「上半期における個人情報保護委員会の活動実績」及び第 168 条の規定に基づき毎年国会に報告する「個人情報保護委員会年次報告」に記載し、委員会ウェブページ等で公表することとする。
（３）施行状況調査等
令和５年度から地方公共団体等に個人情報保護法が適用されることを受け、個人情報フ
ァイルの保有状況や個人情報ファイルに含まれる保有個人情報の利用目的以外の目的のための利用又は提供の状況、安全管理措置の実施状況等、同年度の同法の施行の状況について、その翌年度となる令和６年度に報告を求める（第 165 条第１項）。報告内容は委員会において令和６年度中にとりまとめ、各地方公共団体等の個別の回答内容を含む結果の概要を公表する（第 165 条第２項）。
かかる調査の実施に向けて、令和５年度中に地方公共団体等に対し、調査項目や具体的な調査手法等に関する周知を行う。
また、令和６年度に求める報告までの間、個人情報保護法に基づく施行状況調査とは別途、任意の調査により、個人情報ファイルを保有する地方公共団体等における安全管理措置の実施状況等の個人情報の取扱実態（令和４年９月末時点）を把握する。
（４）事案対応
地方公共団体等において、保有個人情報の漏えい等事案が発覚した場合、令和５年度以降、委員会に事案の概要、原因、再発防止のための措置などについて速やかに報告することが義務化される（第 68 条）。
委員会は、当該地方公共団体等において、初動対応や原因の究明、再発防止策の検討等

2

を行うにあたり、必要な場合には指導・助言等を行う。また、個人情報保護法及び委員会が公表している各種ガイドライン等に照らし、不適切又は違法な個人情報等の取扱いがなされている場合は、機動的に権限行使を行い、個別に是正を促していくとともに、事案によっては、地方公共団体等全体に対して注意喚起を発するなど、重層的な対応を進めていく。
また、不正アクセスによる大きな漏えい等事案が発生した場合においては、必要に応じて、サイバーセキュリティ関係省庁・機関等と共同で事実確認や対処を行うなど、緊密に連携して対応していく。
（５）周知・啓発・研修の基本方針
地方公共団体の機関のうち、個人情報を取り扱うのは、都道府県、市区町村、一部事務組合・広域連合など広範囲に及ぶことに加え、都道府県・市区町村においては、首長部局、行政委員会等で多くの職員が個人情報を取り扱うことから、個別の監視・監督活動に加えて、幅広く周知・啓発を行い、個人情報の適正な取扱いの確保に加え、更なる安全管理措置の底上げを図ることで漏えい等を未然に防止するとともに、漏えい等事案が発生した場合の委員会への報告を含む漏えい等事案に対応するための体制の整備を促していく。
そのため、直接的・双方向のコミュニケーションの機会となるオンラインセミナーを地方ブロック単位ですべての都道府県・市区町村を対象として開催する。セミナーの内容については、従前の説明会等の内容に加えて、典型的な実地調査等の指摘事項・漏えい等の事案等と対応策、個人情報の取扱状況や実態等に関する直近の調査結果、法令等の最新の改正内容、質疑応答など、個人情報の適正な取扱いの確保に資する包括的かつ実態に即したより効果的なものとする。また、委員会から既に公表している様々な参考資料等を案内し、これらの更なる活用を促していく。
また、地方公共団体情報システム機構との共催による動画研修・リモートラーニング等をはじめとして、全国の地方公共団体の職員を対象とした総合的な研修機関等と連携し、様々な媒体を活用して、個人情報の適正な取扱いの確保から安全管理措置に至るまで、幅広い対象の多くの職員へ研修を実施していくとともに、研修資料・動画といったコンテンツを各地方公共団体の研修担当課・研修センターへ提供することなどにより、各地方公共団体自身による研修実施についても促していく。さらに、必要に応じて、関係省庁等とも連携し、相手方省庁等の周知・啓発チャンネルの活用や、共同での周知・啓発の実施など、より効果的な周知・啓発を図っていく。
そのほか、都道府県・市区町村に対し、個人情報の漏えい等事案が発生したケースを想定した訓練を実施することにより、漏えい等事案に対応するための体制の整備を促すとともに、訓練で得た知見を周知することで、マイナンバーを含めた個人情報の適正な取扱いを促進する。
２．マイナンバー法に係る監視・監督の基本方針（１）計画的な立入検査等
マイナンバー法第 35 条の権限行使として、毎年、委員会において議決した検査計画に3

基づき、対象の地方公共団体等を選定して計画的な立入検査等を行う。
立入検査等は、第 156 条の権限行使として行う実地調査等と一体的に行うことにより、効率的かつ効果的に実施する。
令和５年度は、過去の漏えい等事案の有無やその規模、過去の立入検査の結果、定期報告（後述）の結果、特定個人情報保護評価書の数等のリスク評価に有用な情報を分析し、優先度付けした上で、その中から、個人情報保護法に基づく実地調査等との一体性や実地訪問の効率性、地域バランス等も加味し、約 50 機関を対象として立入検査等を行う予定である。
立入検査等に当たっては、地方公共団体等の規模・所在を踏まえ、必要に応じて、検査体制を柔軟に編成するとともに、デジタル技術の活用により、効率化を図る。
また、すべての検査項目について底上げを図りつつ、これまでの検査結果の傾向を踏まえ、対応状況が芳しくない個別の検査項目について重点的に改善を図っていく。加えて、
マイナンバー法第 28 条に基づく特定個人情報保護評価（リスク評価）と委員会による立入検査等（リスク管理状況の検証）を従前よりも連動させることにより、相乗効果を発揮させ、リスク評価・検証の精度向上を図るなど、一層効果的に検査を行っていく。
委員会は、立入検査等により、マイナンバー法及び委員会が公表しているガイドライン等に照らし、不適切又は違法な特定個人情報の取扱いがなされているか否かを明らかにし、機動的に必要な指導・助言等を行う（マイナンバー法第 33 条～第 35 条）。
立入検査等において不備事項が確認された地方公共団体に対しては、必要に応じて、当該地方公共団体のマネジメント層との間でハイレベルのリスクコミュニケーションの場を設け、改善に向けた的確かつ迅速な取組を促すとともに、リスク管理等に関する意見交換を実施することで、検査では明確になり難いガバナンス面等の課題についても把握し、アドバイス等の支援を実施する。
また、令和５年度以降は、立入検査等の対象とした機関名、指摘事項の概要等について、原則として、「上半期における個人情報保護委員会の活動実績」及び第 168 条の規定に基づき毎年国会に報告する「個人情報保護委員会年次報告」に記載し、委員会ウェブページ等で公表することとする。
（２）定期的な報告
立入検査等の対象とならない機関も含め、特定個人情報ファイルを保有する地方公共団体等から、マイナンバー法に基づく定期報告を受け、特定個人情報の取扱い状況及び安全管理措置の実施状況を把握する。
以 上4