特定個人情報の漏えい等事案が発生した場合の対応について○ 「行政手続における特定の個人を識別するための番号の利用等に関する法律」（平成25年法律第27号。以下「番号法」という。）第29条の４の規定により、特定個人情報の安全の確保に係る事態であって「個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるもの」が生じたときに、個人情報保護委員会に報告すること及び本人へ通知することが法令上の義務になっています。
番号法違反の事案又はそのおそれのある事案〇ガイドラインに基づく報告●特定個人情報の適正な取扱いに関するガイド
ライン（事業者編）（平成26年特定個人情報保護委員会告示第５号）●特定個人情報の適正な取扱いに関するガイドライン（行政機関等・地方公共団体等編）（平成26年特定個人情報保護委員会告示第６号）

個人の権利利益を害するおそれが大きいもの〇法律・規則に基づく報告（速報・確報）【義務規定】〇法律・規則に基づく本人通知【義務規定】●行政手続における特定の個人を識別するための番号の利用等に関する法律第29条の４第１項及び第２項に基づく特定個人情報の漏えい等に関する報告等に関する規則（平成27年特定個人情報保護委員会規則第５号）

１

行政機関等及び地方公共団体等における特定個人情報の漏えい等事案が発生した場合の対応
特定個人情報の適正な取扱いに関するガイドライン（行政機関等・地方公共団体等編）（平成26年特定個人情報保護委員会告示第６号）
特定個人情報を取り扱う行政機関等及び地方公共団体等は、漏えい等又はそのおそれのある事案その他の番号法違反の事案又は番号法違反のおそれのある事案が発覚した場合は、漏えい等事案の内容等に応じて、次に掲げる事項について必要な措置を講じなければならない。

１．漏えい等事案が発覚した場合に講ずべき措置(1) 組織内における報告及び被害の拡大防止(2) 事実関係の調査及び原因の究明(3) 影響範囲の特定(4) 再発防止策の検討及び実施(5) 委員会への報告及び本人への通知
２．規則に基づく個人情報保護委員会への報告・本人通知（義務規定）
行政機関等及び地方公共団体等は、右記の個人情報保護委員会
規則における、個人の権利利益を害するおそれが大きいものに該当する事案が生じたときは、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。【速報】【確報】
行政機関等及び地方公共団体等は、右記の個人情報保護委員会
規則における、個人の権利利益を害するおそれが大きいものに該当する事案が生じたときは、原則として、本人に対し、当該事態が生じた旨を通知しなければならない。

３．ガイドラインに基づく個人情報保護委員会への報告
行政機関等及び地方公共団体等は、番号法違反の事案又は番号法違反のおそれのある事案を把握した場合には、事実関係及び再発防止策等について、個人情報保護委員会に報告する。

※

行政手続における特定の個人を識別するための番号の利用等に関する法律第29条の４第１項及び第２項に基づく特定個人情報の漏えい等に関する報告等に関する規則（平成27年特定個人情報保護委員会規則第５号）
番号法第29条の４第１項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるもの
は、次の各号のいずれかに該当するものとする。
≪個人の権利利益を害するおそれが大きいもの≫① 情報提供ネットワークシステム等又は個人番号利用事務を処理するために使用する情報システム等で管理される特定個人情報の漏えい等が発生し、又は発生したおそれがある事態② 不正の目的をもって行われたおそれがある特定個人情報の漏えい等が発生し、若しくは発生したおそれがある事態又は不正の目的をもって、特定個人情報が利用・提供され、若しくは利用・提供されたおそれがある事態③ 特定個人情報ファイルに記録された特定個人情報が電磁的方法により不特定多数の者に閲覧され、又は閲覧されるおそれがある事態④ 漏えい等が発生し、若しくは発生したおそれがある特定個人情報又は番号法に反して利用・提供され、若しくは利用・提供されたおそれがある特定個人情報に係る本人の数が100人を超える事態≪報告内容（通知内容）≫① 概要② 特定個人情報の項目③ 特定個人情報に係る本人の数 （本人通知は不要）④ 原因⑤ 二次被害又はそのおそれの有無及びその内容⑥ 本人への対応の実施状況（本人通知は不要）⑦ 公表の実施状況（本人通知は不要）⑧ 再発防止のための措置（本人通知は不要）⑨ その他参考となる事項

個人情報保護委員会への報告については、個人情報保護委員会ウェブサイトに設置している報告フォームからお願いします。

２

事業者における特定個人情報の漏えい等事案が発生した場合の対応
特定個人情報の適正な取扱いに関するガイドライン（事業者編）（平成26年特定個人情報保護委員会告示第５号）
特定個人情報を取り扱う事業者は、漏えい等又はそのおそれのある事案その他の番号法違反の事案又は番号法違反のおそれのある事案が発覚した場合は、漏えい等事案の内容等に応じて、次に掲げる事項について必要な措置を講じなければならない。

１．漏えい等事案が発覚した場合に講ずべき措置(1) 事業者内部における報告及び被害の拡大防止(2) 事実関係の調査及び原因の究明(3) 影響範囲の特定(4) 再発防止策の検討及び実施(5) 委員会への報告及び本人への通知
２．規則に基づく個人情報保護委員会への報告・本人通知（義務規定）
事業者は、右記の個人情報保護委員会規則における、個人の権利利益を害するおそれが大きいものに該当する事案が生じたときは、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。【速報】【確報】
事業者は、右記の個人情報保護委員会規則における、個人の権利利益を害するおそれが大きいものに該当する事案が生じたときは、原則として、本人に対し、当該事態が生じた旨を通知しなければならない。
３．ガイドラインに基づく個人情報保護委員会への報告（努力義務）
事業者は、番号法違反の事案又は番号法違反のおそれのある事案を把握した場合には、事実関係及び再発防止策等について、個人情報保護委員会に報告するよう努める。
※

行政手続における特定の個人を識別するための番号の利用等に関する法律第29条の４第１項及び第２項に基づく特定個人情報の漏えい等に関する報告等に関する規則（平成27年特定個人情報保護委員会規則第５号）
番号法第29条の４第１項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるもの
は、次の各号のいずれかに該当するものとする。
≪個人の権利利益を害するおそれが大きいもの≫① 情報提供ネットワークシステム等又は個人番号利用事務を処理するために使用する情報システム等で管理される特定個人情報の漏えい等が発生し、又は発生したおそれがある事態② 不正の目的をもって行われたおそれがある特定個人情報の漏えい等が発生し、若しくは発生したおそれがある事態又は不正の目的をもって、特定個人情報が利用・提供され、若しくは利用・提供されたおそれがある事態③ 特定個人情報ファイルに記録された特定個人情報が電磁的方法により不特定多数の者に閲覧され、又は閲覧されるおそれがある事態④ 漏えい等が発生し、若しくは発生したおそれがある特定個人情報又は番号法に反して利用・提供され、若しくは利用・提供されたおそれがある特定個人情報に係る本人の数が100人を超える事態≪報告内容（通知内容）≫① 概要② 特定個人情報の項目③ 特定個人情報に係る本人の数 （本人通知は不要）④ 原因⑤ 二次被害又はそのおそれの有無及びその内容⑥ 本人への対応の実施状況（本人通知は不要）⑦ 公表の実施状況（本人通知は不要）⑧ 再発防止のための措置（本人通知は不要）⑨ その他参考となる事項

個人情報保護委員会への報告については、個人情報保護委員会ウェブサイトに設置している報告フォームからお願いします。

３