小金井市
特定個人情報保護評価書レビュー結果（個人住民税に関する事務）

特定個人情報保護評価書レビュー結果

目次

第 1 章 レビューの内容 ............................................................................. 1
１ 評価目的 ............................................................................................... 1
２ 評価対象 ............................................................................................... 1
３ 評価手続き ........................................................................................... 1
４ 評価の観点 ........................................................................................... 1
５ 評価の際に参照した基準等 .................................................................. 2
６ 評価の判断基準 .................................................................................... 2
７ 評価者体制 ........................................................................................... 3
第 2 章 評価結果 ........................................................................................ 4
１ 結論 ...................................................................................................... 4
２ 結果一覧 ............................................................................................... 4
３ 評価の観点ごとの個別意見 .................................................................. 5

ＪＭＣリスクソリューションズ

特定個人情報保護評価書レビュー結果

第1章
１

レビューの内容
評価目的

この特定個人情報保護評価書レビュー結果（以下「本レビュー結果」という。
）は、小金井市が作成した特定個人情報保護評価書に対して、その記載内容が適切且つ妥当であるか否かを点検・評価し、その結果を報告書としてまとめたものである。また本レビュー結果は、プライバシー影響評価（以下「PIA」という。）の公表に向けての根拠となり得ることを目的に作成した。

２

評価対象
No.
１

３

評価書名
個人住民税に関する事務（重点項目評価書）

評価手続き
評価者は、次の手続きで対象の評価書を評価した。
（１）評価書を精査し、記載項目ごとに記載内容が適切且つ妥当であるかを確認し、別に定めるチェックリストに評価結果を記載した。
（２）評価結果から評価書の修正並びに対策が必要な箇所について、評価書作成部門へ報告するとともに、改善へ向けた助言を行った。
（３）上記の経緯を踏まえ、国が示す評価の観点に基づき本レビュー結果としてとりまとめた。

４

評価の観点
評価者は、
「特定個人情報保護評価指針第 10（２）に定める審査の観点における主な考慮事項（平成 26 年 8 月 26 日）特定個人情報保護委員会」で示された次の項目を評価の観点とし、その評価結果を第２章へ記載した。
観点

適合性

観点の内容

１

しきい値判断に誤りはないか。

２

適切な実施主体が実施しているか。

３

公表しない部分は適切な範囲か。

４

適切な時期に実施しているか。

５６

適切な方法で広く国民の意見を求め、得られた意見を十分考慮した上で必要な見直しを行っているか。
特定個人情報保護評価の対象となる事務の実態に基づき、特定個人情報保護評価書様式で求められる全ての項目について検討し、記載してＪＭＣリスクソリューションズ1

特定個人情報保護評価書レビュー結果いるか。
記載された特定個人情報保護評価の実施を担当する部署は、特定個人
７

情報保護評価の対象となる事務を担当し、リスクを軽減させるための措置の実施に責任を負うことができるか。

８

特定個人情報保護評価の対象となる事務の内容の記載は具体的か。当該事務における特定個人情報の流れを併せて記載しているか。
特定個人情報ファイルを取り扱うプロセスにおいて特定個人情報の妥
当性

９

漏えいその他の事態を発生させるリスクを、特定個人情報保護評価の対象となる事務の実態に基づき、特定しているか。

10

特定されたリスクを軽減するために講ずべき措置についての記載は具体的か。
記載されたリスクを軽減させるための措置は、個人のプライバシー等

11の権利利益の侵害の未然防止、国民・住民の信頼の確保という特定個人情報保護評価の目的に照らし、妥当なものか。

12

５

個人のプライバシー等の権利利益の保護の宣言は、国民・住民の信頼の確保という特定個人情報保護評価の目的に照らし、妥当なものか。

評価の際に参照した基準等評価者は、次に示す基準等を参照した。
No.

基準等の名称１

行政手続における特定の個人を識別するための番号の利用等に関する法律

２

特定個人情報保護に関する規則（特定個人情報保護委員会）

３

特定個人情報保護評価指針（特定個人情報保護委員会）

４

特定個人情報保護評価書記載要領（地方公共団体情報システム機構）

５

６

特定個人情報の適正な取扱いに関するガイドライン（行政機関等・地方公共団体等編）

評価の判断基準評価における判断の基準を下表へ示す。
適合状況
適合不適合

基準
評価項目の記載内容が適切且つ妥当であると評価者が判断した事項
評価項目の記載内容が不適切又は不十分であると評価者が判断した事項

ＪＭＣリスクソリューションズ2特定個人情報保護評価書レビュー結果

経過観察

７

評価項目の記載内容が不適合とまでは判断できないが、今後対策の検討が推奨されると評価者が判断した事項

評価者体制
評価者は、情報セキュリティ監査企業台帳へ登録されており、且つ内閣官房より提供されている「Digital PMO for Vendor」に地方公共団体より推薦を受け登録されている。
「評価者の体制」
株式会社 JMC リスクソリューションズ
業務責任者

古川 英規

品質管理責任者兼評価リーダ

安藤崇

千葉 周一
米山 慶一

評価メンバー

長谷川 充
大塚 幸雄

ＪＭＣリスクソリューションズ3特定個人情報保護評価書レビュー結果

第2章
１

評価結果
結論

株式会社 JMC リスクソリューションズは、評価対象である「個人住民税に関する事務（重点項目評価書）」が、公表に耐え得る内容となっていると判断した。

２

結果一覧
評価書の評価結果について、適合性及び妥当性の評価結果は次のとおりである。
「結果一覧」
観点

結果まとめ
国の示す指針１から６において、不適合はなく、概ね適切な内容で記載されており、適合性は高いと判断した。
観点

適合性

評価結果

１適合

２適合

３適合

４適合

５適合

６

適合

国の示す指針７から 12 において、不適合はなく、概ね適切な内容で記載されており、妥当性は高いと判断した。
観点妥当性

評価結果

７適合８適合

９適合

１０適合

１１適合

１２適合

また、評価の観点ごとの個別意見は、次頁より記載する。

ＪＭＣリスクソリューションズ4特定個人情報保護評価書レビュー結果

３

評価の観点ごとの個別意見
評価の結果、観点ごとの個別意見は次のとおりである。
観点１「適合性」
しきい値判断に誤りはないか。
評価結果
適合
評価の根拠等評価書上の記載は、対象人数が「10 万人以上 30 万人未満」としている。
取扱者数は「市民部市民税課及び市民部納税課でそれぞれ 10 人以上 50 人未満」としている。
また、小金井市においては過去一年間で重大事故は発生していない。
以上のことから、重点項目評価書を採用している。
点検のポイント
国が示すしきい値判断に照らして適切であるか。
改善提言等
しきい値判断に照らすと「基礎項目評価＋重点項目評価」に該当し、判断に誤りはない。

ＪＭＣリスクソリューションズ5特定個人情報保護評価書レビュー結果

観点２「適合性」
適切な実施主体が実施しているか。
評価結果
適合評価の根拠等評価書上の記載は、評価実施機関名が「東京都小金井市長」としている。
評価実施機関における担当部署が「市民部市民税課及び市民部納税課」としている。また、PIA の進捗管理を「企画財政部企画政策課」が担い、基幹システム面での評価を「企画財政部情報システム課」が補助している。
点検のポイント
実施主体が特定個人情報ファイルを保有する以下の者であるか。
（１）行政機関の長（２）地方公共団体の長その他の機関（３）独立行政法人等（４）地方独立行政法人（５）地方公共団体情報システム機構
改善提言等
実施主体及び体制は適切である。

観点３「適合性」
公表しない部分は適切な範囲か。
評価結果
適合評価の根拠等
評価対象事務における評価書への記載について、非公表箇所は設けていない。
点検のポイント
記載内容を精査し、秘匿すべき内容が記載されていないか。
改善提言等
評価書上の記載において秘匿すべき内容はなかった。
よって、記載の範囲は適切である。

ＪＭＣリスクソリューションズ6特定個人情報保護評価書レビュー結果

観点４「適合性」適切な時期に実施しているか。
評価結果
適合
評価の根拠等
小金井市において今回の評価書作成は新規保有時となり、評価書の評価実施期間は、平成 26 年 11 月 28 日から平成 27 年 1 月 30 日で実施している。
特定個人情報ファイルを保有する時期は、平成 27 年 7 月を予定している。
システム設計は、平成 27 年 2 月に終了することを予定している。
点検のポイント
次に示す期間内に評価を実施しているか。
１．新規保有時
特定個人情報ファイルを保有する前に実施しているか。システム用ファイルの場
合は、原則としてシステムの要件定義の終了までに実施しているか。
２．新規保有時以外（１）特定個人情報ファイルに対する重要な変更（本人の範囲、リスク対策等の変更）を加えようとするときは、当該変更を加える前に実施しているか。
（２）重大事故の発生等により新たに評価を実施する場合は、速やかに実施しているか。
改善提言等
今回の評価は新規保有時に該当し、特定個人情報ファイルを保有する平成 27 年 7月より前に実施している。また、システム設計が終了する平成 27 年 2 月までに実施している。
よって、適切な時期に評価を実施している。

ＪＭＣリスクソリューションズ7特定個人情報保護評価書レビュー結果

観点５「適合性」
適切な方法で広く国民の意見を求め、得られた意見を十分考慮した上で必要な見直しを行っているか。
評価結果
適合
評価の根拠等
国の指針では、重点項目評価書の第三者点検及びパブリックコメントは任意とされている。小金井市では「重点項目評価書」について、パブリックコメントは行わず、小金井市社会保障・税番号制度対策本部において、第三者の視点により適正な評価を得ることが重要であるとの観点から弊社の点検結果をもとに、平成 27 年 2 月5 日に開催される小金井市情報公開・個人情報保護審議会によって第三者点検が行われる。
点検のポイント国が示した指針により「全項目評価書」はパブリックコメント及び第三者点検の実施が必須であるが、「重点項目評価書」ではいずれも任意とされている。
全項目評価書以外の場合、正式な手続きにより意思決定がなされ且つ適切な意見聴取がなされているか。
改善提言等
第三者点検は小金井市情報公開・個人情報保護審議会にて行われる。
よって、特定個人情報保護評価指針の定めにある措置がなされている。

ＪＭＣリスクソリューションズ8特定個人情報保護評価書レビュー結果

観点６「適合性」
特定個人情報保護評価の対象となる事務の実態に基づき、特定個人情報保護評価書様式で求められる全ての項目について検討し、記載しているか。
評価結果
適合評価の根拠等「PIA 評価チェックリスト」にある全項目に対し、記載すべき箇所が全て記入されており、記載の修正が必要な項目（「✕」）が０件、検討が必要な項目（「△」）が６件あったものの、意見交換会を経て全て修正又は検討による改善が行われた。
点検のポイント別に定める「PIA 評価書チェックリスト」に対し、次の観点で記載されているか。
１．求められる項目に対し、未記入はないか。
２．記載内容が国の基準等に対し適切であるか。
改善提言等求められる項目に対し未記入はなく、記載内容は適切である。

ＪＭＣリスクソリューションズ
9特定個人情報保護評価書レビュー結果

観点７「妥当性」
記載された特定個人情報保護評価の実施を担当する部署は、特定個人情報保護評価の対象となる事務を担当し、リスクを軽減させるための措置の実施に責任を負うことができるか。
評価結果
適合
評価の根拠等
当該特定個人情報の利用主管である「市民部市民税課及び市民部納税課」が評価を主体的に行った。
また、小金井市情報セキュリティポリシーにおいて情報の管理責任者は、所属長（市民税課長及び納税課長）であると明確に定められている。
なお、特定個人情報保護の役割として、特定個人情報の保護責任者は、市民部市民税課及び市民部納税課の住民税事務担当係長が担っており、本評価を行った。
点検のポイント
個人情報保護条例に基づき個人情報の利用事務の届出を発行した部署が評価を主体的に行っているか。また、情報の管理責任者が明確に定められているか。
改善提言等
評価を実施する部署は適切であり、市民部市民税課及び市民部納税課が主体的に評価を行っていることから、妥当である。また、特定個人情報保護に関する保護責任者が当該評価を主体的に行った。
よって、責任の主体は妥当である。

ＪＭＣリスクソリューションズ10特定個人情報保護評価書レビュー結果

観点８「妥当性」
特定個人情報保護評価の対象となる事務の内容の記載は具体的か。当該事務における特定個人情報の流れを併せて記載しているか。
①特定個人情報ファイルを取り扱う事務やその事務において使用するシステムについて、基本情報を具体的に分かりやすく記載しているか。
②特定個人情報ファイルの取扱いプロセスの概要(特定個人情報の入手・使用、特定個人情報ファイルの取扱いの委託、特定個人情報の提供・移転、特定個人情報の保管・消去)について、具体的に分かりやすく記載しているか。
評価結果
適合評価の根拠等①事務で使用されるシステムが「Ⅰ 基本情報」欄に洗い出され、システムの機能及び他のシステムとの接続が明確に記載されている。
②特定個人情報ファイルの取扱いプロセスの概要が「Ⅱ 特定個人情報ファイルの概要」欄に明確に記載されている。
点検のポイント
評価書「Ⅰ 基本情報」及び「Ⅱ 特定個人情報ファイルの概要」について、国が示す記載要領等に準拠した内容で記載されているか。
改善提言等
必要な記載はすべて正しく記載されており、事務で使用されるシステム及び特定個人情報ファイルの流れとして、特定個人情報の入手・使用、特定個人情報ファイルの取扱いの委託、特定個人情報の提供・移転、特定個人情報の保管・消去において妥当である。

ＪＭＣリスクソリューションズ11特定個人情報保護評価書レビュー結果

観点９「妥当性」
特定個人情報ファイルを取り扱うプロセスにおいて特定個人情報の漏えいその他の事態を発生させるリスクを、特定個人情報保護評価の対象となる事務の実態に基づき、特定しているか。
評価結果
適合
評価の根拠等別に定める「評価書項目とリスク発生場面の対応図」上で示したリスクに対し、業務の実態に則したリスクが特定されている。また、重点項目評価で求められる以上のリスクが特定されている。
点検のポイント
別に定める「評価書項目とリスク発生場面の対応図」上のリスクに対し、業務の実態に則したリスクが特定されているか。
改善提言等業務の実態に則したリスクが特定されている。

観点 10「妥当性」
特定されたリスクを軽減するために講ずべき措置についての記載は具体的か。
評価結果
適合評価の根拠等特定した全てのリスクに対し「特定個人情報の適正な取扱いに関するガイドライン（行政機関等・地方公共団体等編）」で求められる特定個人情報に関する安全管理措置を満たした対策が具体的に記載されている。
点検のポイント「特定個人情報の適正な取扱いに関するガイドライン（行政機関等・地方公共団体等編）」で求められる特定個人情報に関する安全管理措置を参照し、特定したリスクに対するリスク軽減策が具体的であるか。
改善提言等
評価時点では、個人番号を使用した業務の本格稼働が開始されていないため、今後に想定されるリスクについての措置内容が記載されている。今後は、確実にそれらを実践し、自己点検や監査をとおして市民へ説明できる状態を維持するよう努められたい。

ＪＭＣリスクソリューションズ
12特定個人情報保護評価書レビュー結果

観点 11「妥当性」記載されたリスクを軽減させるための措置は、個人のプライバシー等の権利利益の侵害の未然防止、国民・住民の信頼の確保という特定個人情報保護評価の目的に照らし、妥当なものか。
評価結果
適合評価の根拠等特定したリスクに対し、市の評価レベルと別に定めた「リスク評価基準」の評価レベルが整合している。
点検のポイント①特定したリスクに対し、市が対策レベルを正しく評価できているか。
②別に定めた「リスク評価基準」と比較し、①で市が評価した対策レベルの記載内容と整合しているか。
改善提言等
評価書の性質上、自己宣言の域を逸しないため、宣言で示した措置の実行を確実に行わなければならない。

観点 12「妥当性」
個人のプライバシー等の権利利益の保護の宣言は、国民・住民の信頼の確保という特定個人情報保護評価の目的に照らし、妥当なものか。
評価結果
適合
評価の根拠等
評価書に記載されている宣言について、評価書内で述べている記載と合致しており、その実施状況を市民へ立証するために自己点検を実施する仕組みが確立されている。
点検のポイント
前述までの項目に、実装が疑わしい項目や、欠落した項目はないか。また、それを立証するための点検の仕組みが確立されているか。
改善提言等
宣言は特定個人情報保護評価の目的に照らし妥当である。今後は、内部監査、外部監査等でより客観的な点検を実施し、宣言の妥当性を証明することが望まれる。
以 上

ＪＭＣリスクソリューションズ
13