令和６年度

個人情報保護委員会における監視・監督方針
令和６年３月６日
個人情報保護委員会

個人情報保護委員会は、行政機関等（行政機関、独立行政法人等、地方公共団体の機関及び地方独立行政法人をいう。以下同じ。）及び事業者における個人情報及び特定個人情報の取扱いに係る監視・監督権限を一元的に所掌する委員会として、個人情報等の適正な取扱いを確保し、法令、ガイドライン等の遵守状況を適切に監視・監督するため、令和６年度の監視・監督方針を示すものとする。
１．個人情報保護法に係る監視・監督の方針（１）漏えい等報告や日常的監視に基づく対応
個人データ及び保有個人情報の漏えい等事案の報告に対しては、各事案について効果的かつ効率的に発生原因、再発防止策等の調査・分析を行い、同種の事態が起きないよう機動的に必要な指導・助言、勧告等の法執行を行う。
加えて、個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「個人情報保護法」という。）に関する総合的な案内所（個人情報保護法相談ダイヤル）に寄せられる情報その他の情報を総合的に活用し、こうした日常的な監視等により発覚した個人データ及び保有個人情報の不適切な取扱事案について、事業者及び行政機関等に対して指導・助言及び勧告を行うほか、必要に応じて報告徴収及び立入検査又は資料の提出の求め及び実地調査を行う。勧告に従った個人情報等の取扱いの是正がなされていない事業者に対しては、必要に応じ命令を行うなど、適時適切な法執行を行う。
また、これらの監視・監督活動により、特定の分野や特定の類型などにおける漏えい等事案が確認された場合等には、必要に応じて当該対象（関連する事業者、業界、団体等）に向けた注意喚起等を行う。
（２）実地調査
行政機関等は、民間部門と異なり、法令等により個人情報等を取得する権限を有し、また、保有する個人情報が多大となり得ることから、透明性と信頼性の確保が特に重要であることを踏まえ、委員会において議決した調査計画に基づき、調査対象機関を選定して計画的な実地調査を行う。調査の実施に当たっては、行政手続における特定の個人を識別するための番号の利用等に関する法律（平成 25 年法律第 27 号。以下「マイナンバー法」という。）の規定に基づく立入検査と一体的に行う等、効果的かつ効率的に実施していく。令和６年度においては、約 50～60 機関を対象として実地調査を行う予定である。
行政機関及び独立行政法人等に対しては、個人情報の保有状況やその機微性
1等を踏まえて調査対象機関を選定し、実地調査を行う。
地方公共団体の機関及び地方独立行政法人（以下「地方公共団体等」という。）
に対しては、過去の漏えい等事案の有無やその規模、過去の実地調査の結果等のリスク評価に有用な情報を分析し、優先度付けした上で、その中から、マイナンバー法の規定に基づく立入検査との一体性や実地訪問の効率性、地域バランス等も加味して実地調査を行う。
これらの調査により、委員会は、個人情報保護法及び委員会が公表している各種ガイドライン等に照らし、不適切又は違法な個人情報等の取扱いがなされているか否かを明らかにし、機動的に必要な指導・助言、勧告等を行う。
実地調査において不備事項が確認された行政機関等に対しては、必要に応じて、当該行政機関等のマネジメント層との間でハイレベルのリスクコミュニケーションの場を設け、改善に向けた的確かつ迅速な取組を促すとともに、リスク管理等に関する意見交換を実施することで、調査では明確になり難いガバナンス面等の課題についても把握し、アドバイス等の支援を実施する。
また、実地調査の対象とした機関名、指摘事項の概要等については、原則として、「上半期における個人情報保護委員会の活動実績」及び個人情報保護法第168 条の規定に基づき毎年国会に報告する「個人情報保護委員会年次報告」に記載し、委員会ウェブサイト等で公表することとする。
（３）施行状況調査
全ての行政機関等に対し、施行状況調査を実施し、個人情報ファイルの保有状況や個人情報ファイルに含まれる保有個人情報の利用目的以外の目的のための利用又は提供の状況、安全管理措置の実施状況等の個人情報等の取扱い状況に関する基礎的な情報を把握し、その概要を公表する。
なお、地方公共団体等については、個人情報保護法が令和５年度から適用されたことから、行政機関及び独立行政法人等と同様に、令和５年度中における保有個人情報の取扱いに関する報告を令和６年度に受領し、その調査・分析結果をとりまとめた上で公表することとする。
２．マイナンバー法に係る監視・監督の方針（１）漏えい等報告や日常的監視に基づく対応
マイナンバー苦情あっせん相談窓口等に寄せられる通報、メディア報道等による各種の情報、特定個人情報保護評価書等を基に、平時においてマイナンバー法の遵守状況を確認するとともに、それらの日常的な監視等により発覚した特定個人情報の不適切な取扱事案や漏えい等事案の報告等があった場合においては、各事案について効果的かつ効率的に発生原因、再発防止策等の調査・分析を行い、同種の事態が起きないよう機動的に必要な指導・助言、報告徴収・立入検査等の法執行を行うほか、必要に応じて注意喚起等を行う。
2

（２）立入検査
マイナンバーの漏えい等事案が発生しないよう、行政機関及び独立行政法人等に対しては、マイナンバー法の規定に基づき、保有する特定個人情報ファイル（個人番号関係事務に係るもの等を除く。）に記録された特定個人情報の取扱い状況や安全管理措置の実施状況について、委員会において議決した検査計画に基づき、検査対象機関を選定して定期的な検査を行う。
地方公共団体等に対しては、委員会において議決した検査計画に基づき、過去の漏えい等事案の有無やその規模、過去の立入検査の結果、定期的な報告の結果等のリスク評価に有用な情報を分析し、優先度付けした上で、その中から、個人情報保護法に基づく実地調査との一体性や実地訪問の効率性、地域バランス等も加味して立入検査を行う。
これらの検査の実施に当たっては、個人情報保護法の規定に基づく実地調査と一体的に行うとともに、特定個人情報保護評価書に記載された内容を基に検査観点を事前に整理する等、効果的かつ効率的に実施していく。令和６年度においては、約 50～60 機関を対象として立入検査を行う予定である。
これらの検査・調査により、マイナンバー法及びガイドライン等に照らし、不適切又は違法な特定個人情報の取扱いを確認した場合、機動的に必要な指導・助言等を行う。
立入検査において不備事項が確認された行政機関等に対しては、必要に応じて、当該行政機関等のマネジメント層との間でハイレベルのリスクコミュニケーションの場を設け、改善に向けた的確かつ迅速な取組を促すとともに、リスク管理等に関する意見交換を実施することで、検査では明確になり難いガバナンス面等の課題についても把握し、アドバイス等の支援を実施する。
また、立入検査の対象とした機関名、指摘事項の概要等については、原則として、「上半期における個人情報保護委員会の活動実績」及び個人情報保護法第168 条の規定に基づき毎年国会に報告する「個人情報保護委員会年次報告」に記載し、委員会ウェブサイト等で公表することとする。
（３）定期的な報告
特定個人情報ファイルを保有する地方公共団体等から、マイナンバー法の規定に基づく定期的な報告を受け、特定個人情報の取扱い状況及び安全管理措置の実施状況を把握する。
なお、必要な安全管理措置が実施できていない機関に対しては、委員会公表資料の提供や、個別の事情に応じた具体的手法の説明等の支援を行う。また、事後評価の対象となり得る事務について特定個人情報保護評価を実施できていない機関に対しては、確実に実施するよう促していく。

3３．個人情報保護法、マイナンバー法に共通する方針（１）サイバーセキュリティ関係省庁・機関との連携
サイバーセキュリティ関係省庁・機関との間で個人情報保護法サイバーセキュリティ連携会議及び特定個人情報セキュリティ関係省庁等連絡協議会を開催する。
また、これらの関係省庁・機関との間で認識を共有した連携の仕組み（令和４年度に覚書等を締結・共有）に基づき、平時においては、教育研修、広報周知、必要な情報共有等の連携を行うとともに、不正アクセスによる漏えい等事案の報告等があった場合においては、必要に応じて、共同で事実確認や対処を行うなど、緊密に連携して対応していく。
（２）広報・啓発及び人材育成
中小規模事業者に対し、漏えい等事案の報告及び本人への通知の義務化や、実態調査で把握した中小規模事業者の個人データの安全管理措置の問題点等を広く周知し、適切な取扱いを促す。
行政機関及び独立行政法人等に対しては、各団体からの要望に基づき個人情報の適正な取扱いのための研修を実施するとともに、各団体の担当者向けのオンラインによる説明会を委員会において開催する。また、地方公共団体等に対しては、引き続きオンラインによる説明会を開催するほか、自治大学校、地方公共団体情報システム機構等の研修機関等と連携し、様々な媒体を活用して、教育委員会等も含め、幅広い対象の多くの職員へ研修を実施していく。
また、インシデントに対する組織的対応能力を向上させ、安全管理措置の実質的な確保を図るため、地方公共団体から参加希望を募り、漏えい等事案の初動対応の訓練を実施する。
以4上