平成 27 年 5 月 19 日
平成 28 年 2 月 12 日一部改正
平成 30 年 9 月 12 日改正
2022 年 6 月 20 日改正
一般財団法人 日本情報経済社会推進協会（JIPDEC）
プライバシーマーク推進センター

特定個人情報の取扱いの対応について「行政手続における特定の個人を識別するための番号の利用等に関する法律」（以下、「番号法」という。
）（平成 25 年 5 月 31 日公布）に基づく社会保障・税番号制度により、事業者は、個人番号をその内容に含む個人情報（以下、「特定個人情報」という。
）の取扱いに際しては、番号法及び個人情報保護委員会より特定個人情報の適正な取扱いを確保するための具体的な指針として公表されている「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」（以下、「特定個人情報ガイドライン」という。）の遵守が必要です。
プライバシーマーク付与事業者、新規に付与を受けようとする事業者（以下、合わせて「プライバシーマーク付与を受けようとする事業者」という。）においては、番号法の遵守はもちろん、「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針」（以下、「構築・運用指針」という。
）への適合も求められることから、番号法及び構築・運用指針に基づき対応を必要とする事項を以下に示します。
なお、以下に示す事項は、今後国が示す法令等に応じて、見直す可能性があります。

1.構築・運用指針に基づき対応を必要とする事項
構築・運用指針に基づき、プライバシーマーク付与を受けようとする事業者が対応すべき事項を以下に示す。
【表記について】
各事項に記載される項番（J から始まる番号）は、「構築・運用指針」の要求事項に対応している。
（1） 法令、国が定める指針その他の規範（J.1.3）《対応を必要とする事項》
 法令等を特定し参照すること。
《留意事項》
J.1.3（法令、国が定める指針その他の規範）を踏まえ、プライバシーマーク付与を受けようとする事業者は、自社で特定し参照する対象となる法令等を確認すること。
1 / 7

なお、本項目は、「構築・運用指針」J.1.3 の項目 2 と同等に行うこと。

（2） 組織の役割、責任及び権限（J.2.3.1）《対応を必要とする事項》

 事務取扱担当者の役割・権限が内部規程として文書化すること。
《留意事項》
J.2.3.1（組織の役割、責任及び権限）では、個人情報の管理のための役割、責任及び権限を明確に定め、文書化することを求めている。
特定個人情報ガイドライン（「（別添）特定個人情報に関する安全管理措置（事業者編）」を含む）では、特定個人情報等を取り扱う事務に従事する従業者（以下、「事務取扱担当者」という。
）の明確化を求めている。
よって、プライバシーマーク付与を受けようとする事業者は、事務取扱担当者の役割、責任及び権限を明確に定め、文書化する必要がある。

（3） 個人情報の特定、個人情報保護リスクアセスメント、個人情報保護リスク対応（J.3.1.1、J.3.1.3、J.3.1.4）《対応を必要とする事項》
 特定個人情報（個人番号を含む）を、個人情報を管理するための台帳に特定し、個人情報保護リスクを特定し、分析・対応すること。
《留意事項》
プライバシーマーク付与を受けようとする事業者は、既に定めた手順に従い、個人情報の特定及び個人情報保護リスクを特定し、分析し、対策を実行しているが、特定個人情報もその対象となる。
特定個人情報は、特定個人情報ガイドラインに示す通り、番号法に定めた事務を行う場合を除き、保管することができない。このため、J.3.1.1（個人情報の特定）で個人情報を管理するための台帳の記載項目である保管期限を記載するときは、この点に留意する必要がある。
また、個人情報保護リスクには、関連する法令、国が定める指針その他の規範に対する違反も含まれる。よって、プライバシーマーク付与を受けようとする事業者は、番号法に反する取扱いを個人情報保護リスクと認識し、リスク分析を踏まえて対策を講じ、PMS に反映する必要がある。
さらに、J.9.2（安全管理措置）は、取り扱う個人情報の個人情報保護リスクに応じた安全管理措置を講じることを求めている。プライバシーマーク付与を受けようとする事業者は、引き続き、個人情報保護リスクに応じた措置を実施し、個人情報保護リスク及び対策の見直しを適宜行うことが必要である。なお、安全管理措置については本資料 2.（2）項をあわせて参照のこと。
2 / 7

（4） 緊急事態への準備（J.4.4.2）《対応を必要とする事項》


緊急事態に該当する事案又はそのおそれのある事案が発覚した場合に、関係機関 1に直ちに報告する手順が内部規程として文書化されていること。
緊急事態に該当する事案又はそのおそれのある事案が発覚した場合、定めた手順に従って緊急事態への対応を実施していること。

《留意事項》
J.4.4.2（緊急事態への準備）では、個人情報の漏えい、滅失又はき損等が発生した場合に備え関係機関に直ちに報告する手順を定め、緊急事態発生時には手順に従い、関係機関に報告することを求めている。
なお、「行政手続における特定の個人を識別するための番号の利用等に関する法律第二十九条の四第一項及び第二項に基づく特定個人情報の漏えい等に関する報告等に関する規則」（平成 27 年特定個人情報保護委員会規則第 5 号）では、個人の権利利益を害するおそれが大きいものが生じたときは、個人情報保護委員会に報告（速報及び確報）することを求めている。具体的には、以下のいずれかに該当する場合であり、合わせて、プライバシーマーク付与事業者においては、プライバシーマークの審査を受けた機関にも報告（速報及び確報）する必要がある 2。
① 情報提供ネットワークシステム等又は個人番号利用事務を処理するために使用する情報システム等で管理される特定個人情報の漏えい等が発生し、又は発生したおそれがある事態② 不正の目的をもって行われたおそれがある特定個人情報の漏えい等が発生し、若しくは発生したおそれがある事態又は不正の目的をもって、特定個人情報が利用・提供され、若しくは利用・提供されたおそれがある事態③ 特定個人情報ファイルに記録された特定個人情報が電磁的方法により不特定多数の者に閲覧され、又は閲覧されるおそれがある事態④ 漏えい等が発生し、若しくは発生したおそれがある特定個人情報又は番号法に反して利用・提供され、若しくは利用・提供されたおそれがある特定個人情報に係る本人の数が 100 人を超える事態

1

報告すべき利害関係を有している機関（本人、委託元/委託先、企業グループ各社、プライバシーマークの審査を受けた機関（プライバシーマーク付与事業者の場合）、個人情報保護委員会、認定個人情報保護団体（所属している場合）など）を指す。
2 報告対象事態に該当しない漏えい等事案においても、特定個人情報を取り扱うプライバ
シーマーク付与事業者は関係機関に報告するよう努めること。
3 / 7

2. 番号法に基づき対応を必要とする事項
特定個人情報の取扱いにあたり、J.1.3（法令、国が定める指針その他の規範）を踏まえ、番号法及び特定個人情報ガイドラインに基づき対応を必要とする事項を示す。
以下は、構築・運用指針の項番毎に、番号法に基づき対応を必要とする事項を示し、対応する上で留意が求められる点の概要を記す。対応にあたっての具体的な方法等は、国や個人情報保護委員会等が示す資料を適宜確認すること。
（1） 取得、利用及び提供に関する原則（J.8）
J.8 では、事業者に、J.8.5(J.8.4 のうち本人から直接書面によって取得する場合の措置)、 J.8.6(利用に関する措置)、 J.8.8(個人データの提供に関する措置)等で本人の同意を得ることを、求めているが、他方で、事業者は、本人の同意の有無にかかわらず、法令等に基づく他人の個人番号を利用した事務を行うために、他人の個人番号を取得、利用、提供する義務を負っており、番号法に基づき個人番号を取得、利用、提供する
場合には、J.8 に基づき本人の同意を得ることまでは求めない。
取得、利用及び提供の場面において、番号法に基づく留意点を以下に概略する。
 個人番号の利用範囲は、番号法第 9 条（利用範囲）に示す範囲（個人番号利用事務、個人番号関係事務）に限定される。J.8.6（利用に関する措置）と異なり、本人の同意があったとしても、利用範囲を超えた利用は認められない。
 特定個人情報ファイルの作成は、個人番号利用事務、個人番号関係事務を処理するために必要な範囲に限られている（番号法第 29 条 特定個人情報ファイルの作成の制限）。例えば、個人番号を含むデータベースを作成した場合や、既存のデータベースに個人番号を追加した場合は、当該データベースの利用の範囲に留意する。
 特定個人情報の提供は、番号法第 19 条（特定個人情報の提供の制限）に規定された場合を除き、禁止である。また、番号法では特定個人情報に関しては個人情報保護法第 27 条（第三者提供の制限）の規定は適用除外とされている点に留意する。つまり、番号法では、個人情報保護法第 27 条第 5 項第 3 号の規定も適用されず、個人番号の共同利用は認められない。
 個人番号の提供を受ける場合は、番号法第 16 条（本人確認の措置）により本人確認が義務付けられ、確認方法が規定されている。

（2） 安全管理措置（J.9.2）
J.9.2（安全管理措置）は、取扱う個人情報のリスクに応じて、個人情報のライフサイクル（個人情報の取得から廃棄までの一連の流れ）の各局面の安全対策を策定することを求めており、特定個人情報も含まれる。なお、講じなければならないとする事
項の確認にあたり、「（別添）特定個人情報に関する安全管理措置（事業者編）」に示す中小規模事業者の範囲を確認するよう留意する。
特定個人情報の保管は、番号法第 19 条（特定個人情報の提供の制限）各号のいずれ4 / 7かに該当する場合を除き、禁止である（番号法第 20 条 収集等の制限）ことにも留意する。

（3） 委託先の監督（J.9.4）
J.9.4（委託先の監督）では、委託先に対する、必要、かつ、適切な監督を求めている。個人番号関係事務または個人番号利用事務の全部または一部を委託する場合も、構築・運用指針に基づき委託先の監督を行う必要がある。特定個人情報ガイドライン
では、委託契約の締結にあたって盛り込むべき規定等が具体的に示されている（第 42-（1） 1 B）ことに留意する。
また、委託先に再委託を認める場合も、構築・運用指針に基づき再委託先の監督を行う必要があり、これに加えて、番号法第 10 条（再委託）では、個人番号利用事務等の委託、再委託を認めているが、最初の委託元の許諾を得ることが求められることに留意する。また、再委託先が再々委託を行う場合も、再委託を行う場合と同様であることに留意が必要である。
以上

5 / 7

《参考情報》「行政手続における特定の個人を識別するための番号の利用等に関する法律」（平成 25 年法律第 27 号）：https://elaws.e-gov.go.jp/document?lawid=425AC0000000027「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」（平成 26 年 12 月制定、令和 4 年 4
月 1 日最終改正、個人情報保護委員会）：https://www.ppc.go.jp/legal/policy/（「（別添）特定個人情報に関する安全管理措置（事業者編）」を含む。
）「行政手続における特定の個人を識別するための番号の利用等に関する法律第二十九条の四第一項及び第二項に基づく特定個人情報の漏えい等に関する報告等に関する規則」（平成 27 年特定個人情報保護委員会規則第 5 号）
：https://www.ppc.go.jp/legal/laws/
特定個人情報の漏えい事案等が発生した場合の対応について（個人情報保護委員会）：https://www.ppc.go.jp/legal/rouei/
以上

6 / 7改廃履歴
改正日2016 年 2 月 12 日
2018 年 9 月 12 日
2022 年 6 月 20 日

改正箇所・理由・個人情報保護委員会規則施行に伴う 1.(4)の追加。
・《参考情報 2》の更新。
JIS Q 15001 改正に伴う更新「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針」（2022 年 4 月 1 日）施行に伴う更新

7 / 7