はじめてのマイナンバーガイドライン（事業者編）～マイナンバーガイドラインを読む前に～

令和６年６月版

個人情報保護委員会事務局（留意事項）○本資料は、「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」の概要を御理解いただくために、まとめたものです。
○特定個人情報の適正な取扱いを確保するための具体的な事務に当たっては、「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」を参照してください。

個人番号（マイナンバー）・特定個人情報のルール（マイナンバー４か条）
取得・利用・提供のルール（２ページへ）保管・廃棄のルール（３ページへ）○個人番号の取得・利用・提供は、法令で決められた場合だけ○これ以外では、「取れない」「使えない」「渡せない」○必要がある場合だけ保管○必要がなくなったら廃棄委託のルール（４ページへ）○委託先を「しっかり監督」○再委託は「許諾が必要」

特定個人情報とは、個人番号をその内容に含む個人情報をいいます。

安全管理措置のルール（５ページへ）○漏えいなどを起こさないために個人番号はマイナンバーともいいます。

1個人番号・特定個人情報の取得・利用・提供は、番号法によって限定的に定められています。

社会保障及び税等に関する手続書類の作成事務を処理するために必要がある場合に限って、従業員等に個人番号の提供を求めることができます。
取得※社会保障及び税等に関する手続書類：源泉徴収票、支払調書、健康保険・厚生年金保険被保険者資格取得届《提供を求める時期》○社会保障及び税等に関する手続書類の作成事務が発生した時点が原則。
○契約を締結した時点等のその事務の発生が予想できた時点で求めることは可能と解されます。
［提供を求める時期の事例］＊給与所得の源泉徴収票等の作成事務の場合は、雇用契約の締結時点で個人番号の提供を求めることも可能であると解されます。など 個人番号1234 ･･････ ････

従業員・地主 等
会社
個人番号の提示

給与の支払い・地代の支払い 等

本人確認※本人確認（番号確認と身元確認）は、個人番号カードなら、とても簡単！

＊地代等の支払調書の作成事務の場合は、賃料の金額により契約の締結時点で支払調書の作成が不要であることが明らかである場合を除き、契約の締結時点で個人番号の提供を求めることが可能であると解されます。

事業者は、社会保障及び税等に関する手続書類に従業員等の個人番号・特定個人情報を記載して、行政機関等及び健康保険組合等に提出することとなります（個人番号関係事務）。
利用・提供

その他、番号法で限定的に定められている場合以外、個人番号・特定個人情報を利用・提供することはできません。
支払調書（イメージ）
会社

支払いを受ける者

個人番号
氏
名

1234…
番号太郎

源泉徴収票（イメージ）
支払いを受ける者

個人番号
氏
名

5678…
難波一郎

税務署、年金事務所等

被保険者資格取得届（イメージ）
個人
番号

被保険者
氏名

資格取得
年月日

5678…

難波一郎

28.4.1

9876…

難波花子

28.4.1

社会保障及び税等に関する手続書類の提出
個人番号利用事務実施者

2

必要がある場合だけ保管が可能、必要がなくなったら廃棄が必要です。
特定個人情報は、社会保障及び税等に関する手続書類の作成事務を行う必要がある場合に限り、保管し続けることができます。
保管※個人番号が記載された書類等のうち所管法令によって一定期間保存が義務付けられているものは、その期間保管することとなります。

［継続的に保管できる場合の事例］＊雇用契約等の継続的な契約関係にある場合には、従業員等から提供を受けた個人番号を給与の源泉徴収事務、健康保険・厚生年金保険届出事務等のために翌年度以降も継続的に利用する必要が認められることから、特定個人情報を継続的に保管できると解されます。
＊従業員等が休職している場合には、復職が未定であっても雇用契約が継続していることから、特定個人情報を継続的に保管できると解されます。
＊土地の賃貸借契約等の継続的な契約関係にある場合も同様に、支払調書の作成事務のために継続的に個人番号を利用する必要が認められることから、特定個人情報を継続的に保管できると解されます。

廃棄

社会保障及び税等に関する手続書類の作成事務を処理する必要がなくなった場合で、所管法令において定められている保存期間を経過した場合には、個人番号をできるだけ速やかに廃棄又は削除しなければなりません。
《個人番号の削除、機器及び電子媒体等の廃棄》○個人番号若しくは特定個人情報ファイルを削除した場合、又は電子媒体等を廃棄した場合には、削除又は廃棄した記録を保存することとなります。
○削除又は廃棄の作業を委託する場合には、委託先が確実に削除又は廃棄したことについて、証明書等により確認する必要があります。
＜個人番号の廃棄のタイミング＞
廃棄が必要となってから廃棄作業を行うまでの期間については、毎年度末に廃棄を行う等、個人番号及び特定個人情報の保有に係る安全性及び事務の効率性等を勘案し、事業者において判断してください（Ｑ＆Ａにも記載しています。）。

廃棄又は削除を前提とした「保管体制」をとることが望ましいでしょう。

3

委託先の必要かつ適切な監督が必要です。再委託する場合は、最初の委託者の許諾が必要です。
委託者は、委託先において、番号法に基づき委託者自らが果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行わなければなりません。
委託委託先が再委託する場合は、最初の委託者の許諾を得た場合に限り、再委託をすることができます。
※再々委託以降も同様です。

《必要かつ適切な監督》○①委託先の適切な選定、②委託先に安全管理措置を遵守させるために必要な契約の締結、③委託先における特定個人情報の取扱状況の把握○委託者は、委託先の設備、技術水準、従業者に対する監督・教育の状況、その他委託先の経営環境等をあらかじめ確認しなければなりません。
○契約内容として、秘密保持義務、委託する業務の遂行に必要な範囲を超える事務所内からの特定個人情報の持ち出しの禁止、特定個人情報の目的外利用の禁止、再委託における条件、漏えい等事案が発生した場合の委託先の責任、委託契約終了後の特定個人情報の返却又は廃棄、従業者に対する監督・教育、契約内容の遵守状況について報告を求める規定等を盛り込まなければなりません。
○委託先における特定個人情報の取扱状況の把握については、契約に基づき報告を求めること等により、委託契約で盛り込んだ内容の実施の程度を把握した上で、委託の内容等の見直しを検討することを含め、適切に評価することが望ましいです。
○委託者は、委託先だけではなく、再委託先・再々委託先に対しても間接的に監督義務を負います。

会社

必要かつ適切な監督Ａ社

必要かつ適切な監督Ｂ社

再委託

委託

必要かつ適切な監督Ｃ社

再々委託間接的な監督義務

会社

委託

許諾

Ｘ社

再委託

Ｙ社

再々委託

Ｚ社

4

個人番号・特定個人情報を保護するために、必要かつ適切な安全管理措置が必要です。
個人番号・特定個人情報の漏えい、滅失又は毀損の防止その他の適切な管理のために、必要かつ適切な措置を講じなければなりません。また、従業者に対する必要かつ適切な監督も行わ安全管理措置

なければなりません。
基本方針の策定

会社

取扱規程等の策定＜組織体制例＞
責任者○○課長

事務取扱
事務取扱
担当□□係 担当者▲▲

組織的安全管理措置

人的安全管理措置

物理的安全管理措置

技術的安全管理措置

外的環境の把握

特定個人情報等：個人番号及び特定個人情報《基本方針の策定》○ 特定個人情報等の適正な取扱いの確保について組織として取り組むために、基本方針を策定することが重要です。

《取扱規程等の策定》○ 特定個人情報等の具体的な取扱いを定める取扱規程等を策定しなければなりません。

《組織的安全管理措置》○ 組織体制の整備、取扱規程等に基づく運用、取扱状況を確認する手段の整備、情報漏えい等事案に対応する体制の整備、取扱状況の把握
及び安全管理措置の見直し《人的安全管理措置》○ 事務取扱担当者の監督○ 事務取扱担当者の教育《物理的安全管理措置》○ 特定個人情報等を取り扱う区域の管理、機器及び電子媒体等の盗難等の防止、電子媒体等の取扱いにおける漏えい等の防止、個人番号の削除、機器及び電子媒体等の廃棄《技術的安全管理措置》○ アクセス制御、アクセス者の識別と認証、外部からの不正アクセス等の防止、情報漏えい等の防止《外的環境の把握》〇 外国において特定個人情報等を取り扱う場合、当該外国の個人情報の保護に関する制度等を把握

5

「（別添１）特定個人情報に関する安全管理措置（事業者編）」の内容（抜粋）参考資料

安全管理措置の内容
Ａ 基本方針の策定
特定個人情報等の適正な取扱いの確保について組織として取り組むために、基本方針を策定することが重要である。
Ｂ 取扱規程等の策定
事務の流れを整理し、特定個人情報等の具体的な取扱いを定める取扱規程等を策定しなければならない。
Ｃ 組織的安全管理措置
事業者は、特定個人情報等の適正な取扱いのために、次に掲げる組織的安全管理措置を講じなければならない。
ａ 組織体制の整備
安全管理措置を講ずるための組織体制を整備する。
ｂ 取扱規程等に基づく運用取扱規程等に基づく運用を行うとともに、その状況を確認するため、特定個人情報等の利用状況等を記録する。
ｃ 取扱状況を確認する手段の整備
特定個人情報ファイルの取扱状況を確認するための手段を整備する。なお、取扱状況を確認するための記録等には、特定個人情報等は記載しない。
ｄ 漏えい等事案に対応する体制の整備
漏えい等事案の発生又は兆候を把握した場合に、適切かつ迅速に対応するための体制を整備する。
漏えい等事案が発生した場合、二次被害の防止、類似事案の発生防止等の観点から、事案に応じて、事実関係及び再発防止策等を早急に公表することが重要である。
ｅ 取扱状況の把握及び安全管理措置の見直し
特定個人情報等の取扱状況を把握し、安全管理措置の評価、見直し及び改善に取り組む。
Ｄ 人的安全管理措置
事業者は、特定個人情報等の適正な取扱いのために、次に掲げる人的安全管理措置を講じなければならない。
ａ 事務取扱担当者の監督事業者は、特定個人情報等が取扱規程等に基づき適正に取り扱われるよう、事務取扱担当者に対して必要かつ適切な監督を行う。
ｂ 事務取扱担当者の教育事業者は、事務取扱担当者に、特定個人情報等の適正な取扱いを周知徹底するとともに適切な教育を行う。

6

安全管理措置の内容
Ｅ 物理的安全管理措置
事業者は、特定個人情報等の適正な取扱いのために、次に掲げる物理的安全管理措置を講じなければならない。
ａ 特定個人情報等を取り扱う区域の管理
特定個人情報ファイルを取り扱う情報システム（サーバ等）を管理する区域（以下「管理区域」という。）を明確にし、物理的な安全管理措置を講ずる。
また、特定個人情報等を取り扱う事務を実施する区域（以下「取扱区域」という。）について、事務取扱担当者等以外の者が特定個人情報等を容易に閲覧等できないよう留意する必要がある。
ｂ 機器及び電子媒体等の盗難等の防止
管理区域及び取扱区域における特定個人情報等を取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、物理的な安全管理措置を講ずる。
ｃ 電子媒体等の取扱いにおける漏えい等の防止
特定個人情報等が記録された電子媒体又は書類等を持ち運ぶ場合、容易に個人番号が判明しないよう、安全な方策を講ずる。
「持ち運ぶ」とは、特定個人情報等を、管理区域又は取扱区域から外へ移動させる又は当該区域の外から当該区域へ移動させることをいい、事業所内での移動等であっても、特定個人情報等の紛失・盗難等に留意する必要がある。
ｄ 個人番号の削除、機器及び電子媒体等の廃棄
個人番号若しくは特定個人情報ファイルを削除した場合、又は電子媒体等を廃棄した場合には、削除又は廃棄した記録を保存する。また、これらの作業を委託する場合には、委託先が確実に削除又は廃棄したことについて、証明書等により確認する。
Ｆ 技術的安全管理措置
事業者は、特定個人情報等の適正な取扱いのために、次に掲げる技術的安全管理措置を講じなければならない。
ａ アクセス制御
情報システムを使用して個人番号関係事務又は個人番号利用事務を行う場合、事務取扱担当者及び当該事務で取り扱う特定個人情報ファイルの範囲を限定するために、適切なアクセス制御を行う。
ｂ アクセス者の識別と認証
特定個人情報等を取り扱う情報システムは、事務取扱担当者が正当なアクセス権を有する者であることを、識別した結果に基づき認証する。
ｃ 外部からの不正アクセス等の防止
情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入し、適切に運用する。
ｄ 漏えい等の防止
特定個人情報等をインターネット等により外部に送信する場合、通信経路における漏えい等を防止するための措置を講ずる。
Ｇ 外的環境の把握事業者が、外国において特定個人情報等を取り扱う場合、当該外国の個人情報の保護に関する制度等を把握した上で、特定個人情報等の安全の管理のために必要かつ適切な措置を講じなければならない。

7

事業者における特定個人情報の漏えい等事案が発生した場合の対応
特定個人情報の適正な取扱いに関するガイドライン（事業者編）（平成26年特定個人情報保護委員会告示第５号）
特定個人情報を取り扱う事業者は、漏えい等又はそのおそれのある事案その他の番号法違反の事案又は番号法違反のおそれのある事案が発覚した場合は、漏えい等事案の内容等に応じて、次に掲げる事項について必要な措置を講じなければならない。

１．漏えい等事案が発覚した場合に講ずべき措置(1) 事業者内部における報告及び被害の拡大防止(2) 事実関係の調査及び原因の究明(3) 影響範囲の特定(4) 再発防止策の検討及び実施(5) 個人情報保護委員会への報告及び本人への通知
２．規則に基づく個人情報保護委員会への報告・本人通知（義務規定）
個人番号利用事務等実施者である事業者は、右記の個人情報保護委員会規則における、個人の権利利益を害するおそれが大きいものに該当する事案が生じたときは、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。【速報】【確報】
事業者は、右記の個人情報保護委員会規則における、個人の権利利益を害するおそれが大きいものに該当する事案が生じたときは、原則として、本人に対し、当該事態が生じた旨を通知しなければならない。
３．ガイドラインに基づく個人情報保護委員会への報告（努力義務）

報告対象事態に該当しない漏えい等事案においても、特定個人情報を取り扱う事業者は委員会に報告するよう努める。

参考資料

行政手続における特定の個人を識別するための番号の利用等に関する法律第29条の４第１項及び第２項に基づく特定個人情報の漏えい等に関する報告等に関する規則（平成27年特定個人情報保護委員会規則第５号）
番号法第29条の４第１項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。
≪個人の権利利益を害するおそれが大きいもの≫① 情報提供ネットワークシステム等又は個人番号利用事務を処理するために使用する情報システム等で管理される特定個人情報の漏えい等が発生し、又は発生したおそれがある事態② 不正の目的をもって行われたおそれがある特定個人情報の漏えい等が発生し、若しくは発生したおそれがある事態又は不正の目的をもって、特定個人情報が利用・提供され、若しくは利用・提供されたおそれがある事態③ 特定個人情報ファイルに記録された特定個人情報が電磁的方法により不特定多数の者に閲覧され、又は閲覧されるおそれがある事態④ 漏えい等が発生し、若しくは発生したおそれがある特定個人情報又は番号法に反して利用・提供され、若しくは利用・提供されたおそれがある特定個人情報に係る本人の数が100人を超える事態≪報告内容（通知内容）≫① 概要② 特定個人情報の項目③ 特定個人情報に係る本人の数 （本人通知は不要）④ 原因⑤ 二次被害又はそのおそれの有無及びその内容⑥ 本人への対応の実施状況（本人通知は不要）⑦ 公表の実施状況（本人通知は不要）⑧ 再発防止のための措置（本人通知は不要）⑨ その他参考となる事項※ 個人情報保護委員会への報告については、個人情報保護委員会ウェブサイトに設置している報告フォームからお願いします。

8