特定個人情報の適正な取扱いに関するガイドライン（行政機関等編）

平成26年12月18日（令和５年７月一部改正）
個人情報保護委員会

目次
第１ はじめに ...................................................... 1
第２ 用語の定義等 .................................................. 3
第３ 総論 .......................................................... 9
第３－１ 目的 .................................................... 9
第３－２ 本ガイドラインの適用対象等 .............................. 9
第３－３ 本ガイドラインの位置付け等 ............................. 10
第３－４ 番号法の特定個人情報に関する保護措置 ................... 10
第３－５ 特定個人情報保護のための主体的な取組について ........... 14
第３－６ 特定個人情報の漏えい等事案が発生した場合の対応 ......... 14
第３－７ 本ガイドラインの見直しについて ......................... 15
第４ 各論 ......................................................... 16
第４－１ 特定個人情報の利用制限 ................................. 16
第４－１－⑴ 個人番号の利用制限................................ 16
第４－１－⑵ 特定個人情報ファイルの作成の制限 .................. 20
第４－２ 特定個人情報の安全管理措置等 ........................... 21
第４－２－⑴ 委託の取扱い ..................................... 21
第４－２－⑵ 安全管理措置 ..................................... 24
第４－３ 特定個人情報の提供制限等 ............................... 25
第４－３－⑴
第 ４ － ３－ ⑵個人番号の提供の要求 .............................. 25
個 人 番号の提供 の求め の 制限、特定 個人情 報 の提供制
限 ................................................. 26
第 ４ － ３－ ⑶ 情 報 提供ネット ワーク シ ステムによ る特定 個 人情報の提供 ............................................... 34
第４－３－⑷ 収集・保管制限 ................................... 39
第４－３－⑸ 本人確認 ......................................... 41
第４－４ その他の取扱い ......................................... 44
第４－４－⑴ 保有個人情報の提供を受ける者に対する措置要求 ...... 44
第４－４－⑵ 個人情報ファイルの保有等に関する事前通知 .......... 45
第４－４－⑶ 開示 ............................................. 47
第４－４－⑷ 訂正 ............................................. 48
第４－４－⑸ 利用停止 ......................................... 49
第４－５ 特定個人情報保護評価 ................................... 50
第４－６ 個人情報保護法の主な規定 ............................... 51（別添１）特定個人情報に関する安全管理措置（行政機関等編） ......... 57（別添２）特定個人情報の漏えい等に関する報告等（行政機関等編） ..... 68

第１

はじめに

「行政手続における特定の個人を識別するための番号の利用等に関する法律」（平成25年法律第27号。以下「番号法」という。）に基づく番号制度は、社会保障、税、災害対策その他の行政分野における行政運営の効率化を図り、国民にとって利便性の高い、公平・公正な社会を実現するための社会基盤として導入されるものである。
一方で、番号制度の導入に伴い、国家による個人情報の一元管理、特定個
人情報の不正追跡・突合、財産その他の被害等への懸念が示されてきた。
個人情報の適正な取扱いという観点からは、個人情報の保護に関する一般
法 と し て 、 「 個 人 情 報 の 保 護 に 関 す る 法 律 」 （ 平 成 15年 法 律 第 57号 。 以 下「個人情報保護法」という。）があり、これに加えて、地方公共団体では個
人情報の保護に関する条例等（以下「個人情報保護法施行条例」という。）
も定められている。
番号法においては、個人情報保護法に定められる措置の特例として、個人番号をその内容に含む個人情報（以下「特定個人情報」という。）の利用範
囲を限定する等、より厳格な保護措置を定めるとともに、国が設置・管理する情報提供ネットワークシステムの使用を始めシステム上の安全管理措置を講ずることとしている。
本ガイドラインは、個人番号を取り扱う行政機関等（個人情報保護法第２条第11項に規定する行政機関等をいう （ 注 １ ） 。以下同じ。）が特定個人情報の適正な取扱いを確保するための具体的な指針を定めるものである。
な お 、個 人情報保 護 法第58条第１項各 号 に掲げる 法人 （ 注 ２ ） は、原則 、特定個人情報の適正な取扱いに関するガイドライン（事業者編）が適用されるも の の 、番号法及び 個人情報保護法第125条によって個人情 報保護法が適用される部分の特定個人情報の取扱いについては、本ガイドラインを参照する
必要がある。
また、個人情報保護法第58条第２項各号に掲げる者は、原則、本ガイドラ
インが適用されるものの、当該各号に定める業務 （ 注 ３ ） における番号法及び個人情報保護法第58条第２項によって個人情報保護法が適用される部分の特定
個人情報の取扱いについては、特定個人情報の適正な取扱いに関するガイド
ライン(事業者編)を参照する必要がある。
番号法において、国及び地方公共団体は、特定個人情報の適正な取扱いを確保するために必要な措置を講ずるものとされており（番号法第４条、第５条）、主体的に特定個人情報の保護のための取組を行う必要がある。

1

本ガイドラインの中で、「しなければならない」及び「してはならない」と記述している事項については、これらに従わなかった場合、法令違反と判断される可能性がある。一方、「望ましい」と記述している事項については、これに従わなかったことをもって直ちに法令違反と判断されることはないが、番号法の趣旨を踏まえ、行政機関等の規模及び事務の特性に応じ対応することが望まれるものである。
以下、本ガイドラインの構成は、次のとおりとなっている。
「第２ 用語の定義等」においては、本ガイドラインで使用する用語の定義等を記載している。
「第３ 総論」においては、本ガイドラインの位置付け、特定個人情報に関する番号法上の保護措置の概略等について解説している。
「第４ 各論」においては、番号法上の保護措置及び安全管理措置について解説している。また、実務上の指針及び具体例を記述しているほか、留意すべきルールとなる部分についてはアンダーラインを付している。
＊印は、行政機関等の実際の事務に即した具体的な事例を記述したものである。なお、事例の記述は、理解を助けることを目的として典型的な例を示したものであり、全ての事案を網羅することを目的とするものではない。
（ 注 １ ） 「 個 人 情 報 保 護 法 第 ２ 条 第 11項 に 規 定 す る 行 政 機 関 等 」 と は 、 次 の 機 関 及 び
法人をいう。
①行政機関②地方公共団体の機関（議会を除く。）③独立行政法人等（個人情報保護法別表第２に掲げる法人を除く。）④地方独立行政法人（地方独立行政法人法第21条第１号に掲げる業務（試験研究等）
を主たる目的とするもの又は同条第２号（大学等の設置及び管理）若しくは第３号チ（病院事業の経営）に掲げる業務を目的とするものを除く。）（注２）「個人情報保護法第58条第１項各号に掲げる法人」とは、次の法人をいう。
①個人情報保護法別表第２に掲げる法人②地方独立行政法人のうち、試験研究を行うこと等を主たる目的とするもの、大学等の設置及び管理等を目的とするもの並びに病院事業の経営を目的とするもの（ 注 ３ ） 「 個 人 情 報 保 護 法 第58条 第 ２ 項 各 号 に 掲 げ る 者 」 の 「 当 該 各 号 に 定 め る 業 務」とは、次のものをいう。
①地方公共団体の機関が行う業務のうち病院及び診療所並びに大学の運営の業務②独立行政法人労働者健康安全機構が行う病院の運営の業務

2

第２

用語の定義等

本ガイドラインで使用する用語の定義等については、法令上の定義等に従い、次の表のとおりとする。
項番
用語
定義等
①

個人情報

生 存 す る 個人 に 関 す る 情 報 で あっ て 、 次 の 各 号 のいずれかに該当するものをいう。
一 当 該 情報 に 含 ま れ る 氏 名 、生 年 月 日 そ の 他 の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。）で作られる記録をいう。以下同じ。）に記載され、若しくは記録され、又は音声、動作
その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）に
より特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）
二 個人識別符号が含まれるもの【 番 号 法 第２ 条 第 ３ 項 、 個 人 情報 保 護 法 第 ２ 条 第１項】※

生存する個人の個人番号は、個人識別符号に該当す
る（個人情報保護法第２条第１項第２号、同条第２項 、 個 人 情 報 の 保 護 に 関 す る 法 律 施 行 令（ 平 成 15年 政令第507号。以下「個人情報保護法施行令」という。）
第１条第６号）。

②

保有個人情報③

個人番号行 政 機 関 等の 職 員 （ 独 立 行 政 法人 等 及 び 地 方 独 立
行政法人にあっては、その役員を含む。以下同じ 。 ） が 職務 上 作 成 し 、 又 は 取得 し た 個 人 情 報 で
あ っ て 、 当該 行 政 機 関 等 の 職 員が 組 織 的 に 利 用 す
る も の と して 、 当 該 行 政 機 関 等 が 保 有 し て い る ものをいう。
【個人情報保護法第60条第１項】
番 号 法 第 ７条 第 １ 項 又 は 第 ２ 項の 規 定 に よ り 、 住
民 票 コ ー ドを 変 換 し て 得 ら れ る番 号 で あ っ て 、 当
該 住 民 票 コー ド が 記 載 さ れ た 住民 票 に 係 る 者 を 識
別 す る た めに 指 定 さ れ る も の をい う （ 番 号 法 第 ２

3

項番

④

用語

特定個人情報定義等
条 第 ６ 項 及び 第 ７ 項 、 第 ８ 条 並び に 第 48条 並 び に
附 則 第 ３ 条第 １ 項 か ら 第 ３ 項 まで 及 び 第 ５ 項 に おける個人番号）。
【番号法第２条第５項】
個 人 番 号 （個 人 番 号 に 対 応 し 、当 該 個 人 番 号 に 代
わ っ て 用 いら れ る 番 号 、 記 号 その 他 の 符 号 で あ って 、 住 民 票コ ー ド 以 外 の も の を含 む 。 番 号 法 第 ７
条 第 １ 項 及び 第 ２ 項 、 第 ８ 条 並び に 第 48条 並 び に
附 則 第 ３ 条第 １ 項 か ら 第 ３ 項 まで 及 び 第 ５ 項 を 除く。）をその内容に含む個人情報をいう。
【番号法第２条第８項】※

生 存 す る 個 人 の 個 人 番 号 に つ い て も、 特 定 個 人 情 報に該当する（個人情報保護法第２条第１項第２号、番号法第２条第８項）。

4

項番
⑤

⑥

⑦

用語
定義等
個 人 情 報 フ ァ イ ＜行政機関等＞
ル
保 有 個 人 情報 を 含 む 情 報 の 集 合物 で あ っ て 次 に 掲
げるものをいう。
Ⓐ 一 定 の事 務 の 目 的 を 達 成 する た め に 特 定 の 保
有個人情報を電子計算機を用いて検索することができるように体系的に構成したものⒷ Ⓐ に 掲げ る も の の ほ か 、 一定 の 事 務 の 目 的 を達成するために氏名、生年月日、その他の記述等により特定の保有個人情報を容易に検索することができるように体系的に構成したもの＜ 個 人 情 報保 護 法 第 58条 第 １ 項各 号 に 掲 げ る 法 人＞
個 人 情 報 保護 法 第 ２ 条 第 １ 項 に規 定 す る 個 人 情 報を 含 む 情 報の 集 合 物 で あ っ て 、次 に 掲 げ る も の をいう。
Ⓒ 特 定 の個 人 情 報 に つ い て 電子 計 算 機 を 用 い て
検索することができるように体系的に構成したものⒹ Ⓒ に 掲げ る も の の ほ か 、 特定 の 個 人 情 報 を 容易に検索することができるように体系的に構成したものとして個人情報保護法施行令で定めるもの【 番 号 法 第２ 条 第 ４ 項 、 個 人 情報 保 護 法 第 60条 第２ 項 、 第 16条 第 １ 項 、 個 人 情 報 保 護 法 施 行 令 第４条】
特 定 個 人 情 報 フ 個 人 番 号 をそ の 内 容 に 含 む 個 人情 報 フ ァ イ ル を いァイルう。
【番号法第２条第９項】
個 人 番 号 利 用 事 行 政 機 関 、地 方 公 共 団 体 、 独 立行 政 法 人 等 そ の 他
務の 行 政 事 務を 処 理 す る 者 が 番 号法 第 ９ 条 第 １ 項 から 第 ３ 項 まで の 規 定 に よ り そ の保 有 す る 特 定 個 人
情報ファイルにおいて個人情報を効率的に検索し 、 及 び 管理 す る た め に 必 要 な限 度 で 個 人 番 号 を利用 して 処理 する 事 務を いう （→ 第４ － １－ ⑴ １
Ａａ）。
【番号法第２条第10項】

5

項番
⑧

⑨
⑩

⑪

⑫

⑬

⑭

用語
定義等
個 人 番 号 関 係 事 番 号 法 第 ９ 条 第 ４ 項 の 規 定 に より 個 人 番 号 利 用 事
務
務 に 関 し て行 わ れ る 他 人 の 個 人番 号 を 必 要 な 限 度
で利 用し て行 う事 務 をい う（ →第 ４－ １ －⑴ １ Ａｂ）。
【番号法第２条第11項】
個 人 番 号 利 用 事 個人番号利用事務又は個人番号関係事務をいう。
務等【番号法第10条第１項】
個 人 番 号 利 用 事 個 人 番 号 利用 事 務 を 処 理 す る 者及 び 個 人 番 号 利 用
務実施者
事務の全部又は一部の委託を受けた者をいう。
【番号法第２条第12項】
個 人 番 号 関 係 事 個 人 番 号 関係 事 務 を 処 理 す る 者及 び 個 人 番 号 関 係
務実施者
事務の全部又は一部の委託を受けた者をいう。
【番号法第２条第13項】
個 人 番 号 利 用 事 個 人 番 号 利用 事 務 実 施 者 又 は 個人 番 号 関 係 事 務 実
務等実施者
施者をいう。
【番号法第12条】
情報照会者
番 号 法 別 表第 ２ の 第 １ 欄 に 掲 げる 者 （ 法 令 の 規 定に よ り 同 表の 第 ２ 欄 に 掲 げ る 事務 の 全 部 又 は 一 部を行うこととされている者がある場合にあっては、その者を含む。）をいう。
【番号法第19条第８号】
情報提供者
番 号 法 別 表第 ２ の 第 ３ 欄 に 掲 げる 者 （ 法 令 の 規 定に よ り 同 表の 第 ４ 欄 に 掲 げ る 特定 個 人 情 報 の 利 用
又 は 提 供 に関 す る 事 務 の 全 部 又は 一 部 を 行 う こ とと さ れ て いる 者 が あ る 場 合 に あっ て は 、 そ の 者 を含む。）をいう。
【番号法第19条第８号】

6

項番
⑮

⑯

用語
定義等
情 報 提 供 等 の 記 内 閣 総 理 大臣 、 情 報 照 会 者 及 び情 報 提 供 者 又 は 条録
例 事 務 関 係情 報 照 会 者 及 び 条 例事 務 関 係 情 報 提 供者 は 、 番 号法 第 19条 第 ８ 号 又 は第 ９ 号 の 規 定 に より 情 報 提 供ネ ッ ト ワ ー ク シ ス テム を 使 用 し て 特 定
個人情報の提供の求め又は提供があった場合には 、 情 報 提供 ネ ッ ト ワ ー ク シ ステ ム に 接 続 さ れ た
そ の 者 の 使用 す る 電 子 計 算 機 （ 内 閣 総 理 大 臣 に お
い て は 情 報提 供 ネ ッ ト ワ ー ク シス テ ム ） に 、 情 報
照 会 者 及 び情 報 提 供 者 又 は 条 例事 務 関 係 情 報 照 会
者 及 び 条 例事 務 関 係 情 報 提 供 者の 名 称 、 提 供 の 求
め 及 び 提 供の 日 時 、 特 定 個 人 情報 の 項 目 等 を 記 録
す る こ と とさ れ て お り 、 当 該 記録 を い う （ → 第 ４－３－⑶ ２ ）。
【番号法第23条、第26条】
条例事務
番 号 法 第 ９条 第 ２ 項 の 規 定 に 基づ き 条 例 で 定 め る
事 務 の う ち別 表 第 ２ の 第 ２ 欄 に掲 げ る 事 務 に 準 じて 迅 速 に 特定 個 人 情 報 の 提 供 を受 け る こ と に よ って 効 率 化 を図 る べ き も の と し て、 次 に 掲 げ る 要 件を満たすものをいう。
一 番 号 法第 ９ 条 第 ２ 項 の 規 定に 基 づ き 条 例 で 定
める事務（以下⑯及び⑱において単に「事務」という。）の趣旨又は目的が、同法別表第２の第２欄に掲げる事務のうちいずれかの事務（以下「法定事務」という。）の根拠となる法令の趣旨又は目的と同一であること。
二 そ の 事務 の 内 容 が 、 前 号 の法 定 事 務 の 内 容 と類似していること。
【 番 号 法 第 19条 第 ９ 号 、 「 行 政手 続 に お け る 特 定の 個 人 を 識別 す る た め の 番 号 の利 用 等 に 関 す る 法
律 第 十 九 条第 九 号 に 基 づ く 特 定個 人 情 報 の 提 供 に関 す る 規 則」 （ 平 成 28年 個 人 情報 保 護 委 員 会 規 則
第 ５ 号 。 以下 「 番 号 法 第 十 九 条第 九 号 規 則 」 と いう。）第２条第１項】

7

項番
⑰

⑱

用語
定義等
条 例 事 務 関 係 情 条 例 事 務 を処 理 す る 地 方 公 共 団体 の 長 そ の 他 の 執
報照会者
行 機 関 （ 法令 の 規 定 に よ り 条 例事 務 の 全 部 又 は 一部を行うこととされているものを含む。）をいう。
【 番 号 法 第19条 第 ９ 号 、 番 号 法第 十 九 条 第 九 号 規則第２条第２項】
条 例 事 務 関 係 情 条 例 事 務 の内 容 に 応 じ て 法 定 事務 を 処 理 す る た め
報提供者に 必 要 な 特定 個 人 情 報 を 提 供 する 情 報 提 供 者 と 同
一 又 は 当 該情 報 提 供 者 の い ず れか に 該 当 す る も の（ 法 令 の 規定 に よ り 当 該 特 定 個人 情 報 の 利 用 又 は提 供 に 関 する 事 務 の 全 部 又 は 一部 を 行 う こ と と されている者がある場合にあっては、その者を含む 。 ） を いう 。 た だ し 、 提 供 する こ と が で き る 特
定 個 人 情 報の 範 囲 が 条 例 に よ り限 定 さ れ て い る 地
方 公 共 団 体の 長 そ の 他 の 執 行 機関 （ 以 下 「 限 定 機
関 」 と い う。 ） が 、 「 行 政 手 続に お け る 特 定 の 個
人 を 識 別 する た め の 番 号 の 利 用等 に 関 す る 法 律 第十 九 条 第 九号 の 規 定 に よ り 提 供す る こ と が で き る
特 定 個 人 情報 の 範 囲 の 限 定 に 関す る 規 則 」 （ 平 成
28年 個 人 情報 保 護 委 員 会 規 則 第６ 号 ） 第 ２ 条 第 １
項 の 規 定 に基 づ き あ ら か じ め その 旨 を 個 人 情 報 保
護 委 員 会 （以 下 「 委 員 会 」 と いう 。 ） に 申 し 出 た
場 合 に お いて 、 条 例 に よ り 提 供し な い こ と と さ れた 特 定 個 人情 報 の 範 囲 に あ っ ては 、 限 定 機 関 を 除く。
【 番 号 法 第19条 第 ９ 号 、 番 号 法第 十 九 条 第 九 号 規則第２条第３項】

8

第３ 総論
第３－１ 目的
委員会は、個人情報保護法第131条に基づき、行政機関等の事務及び事業の適正かつ円滑な運営を図り、並びに個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであることその他の個人情報の有用性に配慮しつつ、個人の権利利益を保護するため、個人情報の適正な取扱いの確保を図ること（個人番号利用事務等実施者に対する指導及び助言その他の措置を講ずることを含む。）を任務としている。本ガイドラインは、番号法第４条及び個人情報保護法第131条に基づき、行政機関等が特定個人情報の適正な取扱いを確保するための具体的な指針を定めるものである。
第３－２ 本ガイドラインの適用対象等⑴ 本ガイドラインの適用対象
番号法 は、行政機関等又は事業者の別を問わず、個人番号を取り扱う
全ての者を適用 の対 象としており、本ガイドラインは、番号法の適用を受ける者のうち行政機関等を対象とするものである。
⑵

行政機関等が番号法の適用を受ける場面
行政機 関等は 、個人番号の提供の求めの制限（番号法第15条）並びに
特定個人 情報の提供 の制限（同法第19条）及び収集等の制限（同法第20条）の規 定の適 用を 受ける。 また、行政機関等が同法の規定の適用を受ける主な事務は、次のとおりである。
・ 行政機関等が個人番号を利用して個人情報を検索、管理する事務（同法第９条第１項）
・ 行政 機関等がそ の職員等（以下「職員」という。） から個人番号の提供を 受けて 、こ れ を給与所得の源泉徴収票、給与支払報告書等の必要な書 類に記 載し て 、税務署長、市町村長（特別区の区長を含む。以下同じ。）等に提出する事務（同法第９条第４項）
・ 激甚 災害が発生 したとき等において、「所得税法」 （昭和40年法律第33号）第225条第１項第１号、第２号及び第４号から第６号までに該当する独立行 政法 人 等（以下「金融機関 に該当する独立行政法人等」という 。）が 個人 番 号を利用して金銭を支払う事務（番号 法第９条第５項）
なお、行政機 関等から個人番号利用事務等の全部又は一部 の委託を受けた者は、個人番号利用事務等実施者となる。

9

第３－３ 本ガイドラインの位置付け等⑴ 番号法と個人情報保護法との関係
番号法 は、特 定個 人 情報の取扱いに関して、個人情報保護 法の特例を規定した 特別法 であ ることか ら、番号法の規定は、個人情報保護法の規定に優先 して適 用さ れる。一 方、特定個人情報に関して番号法に特段の規定がない事項については、個人情報保護法の規定が適用される。
⑵

番号法と個人情報保護法施行条例との関係
一般に 、法律 は条 例 に優先して適用されることから、特定個人情報に関する番 号法の 特例 規定は、 個人情報保護法施行条例の規定に優先して適用され る。一 方、 特定個人 情報に関して番号法に特段の規定がない事項については、個人情報保護法施行条例の規定が適用される。
なお、 デジタ ル社 会 の形成を図るための関係法律の整備に関する法律（令和３ 年法律 第37号）第51条により、地方公共団体の機関について個人情報保 護法及 び番 号法によ り読み替えて適用される個人情報保護法が直接適用されている。
特定個 人情報 に関 し ても、「個人情報の保護に関する法律についてのガイドラ イン（ 行政 機関等編 ）」（令和４年個人情報保護委員会告示第１号。以下 「個人情 報保護法ガイドライン（行政機関等編）」という。）「11 条例との関係」と同様に、個人情報保護やデータ流通について直接影響を与 えるよ うな 事項であ って、条例で定めることを許容する規定が個人情報 保護法 に置 かれてい ないもの等個人情報保護法に委任規定が置かれてい ないも のに ついて個 人情報保護法施行条例で独自の規定を設けることは、個人情報保護法の規律に抵触するものであり許容されない。

⑶

本ガイドラインの位置付け
本ガイ ドライ ンは 、 特定個人情報の適正な取扱いについての具体的な指針を定めるものである。
また、 特定個 人情 報 に関し、番号法に特段の規定がなく個人情報保護
法又は個 人情報 保護法施行条例が適用される部分 については、個人情報保護法を 基に定 めら れている個人情報保護法ガイドライン（行政機関等編）及び「個人 情報 の保護に関する法律 についての事務対応ガイド（行政機関等 向け）」（ 以下「事務対応ガイド」という。） を遵守することを前提としている。

第３－４ 番号法の特定個人情報に関する保護措置⑴ 保護措置の概要
個人番 号は、 社会 保 障、税、災害対策その他の 行政分野において、個人情報を 複数の 機関 の間で紐 付けるものであり、住民票を有する全ての者に一人 一番号 で重 複のない ように、住民票コードを変換して得られる

10

番号であ る。し たが って、個 人番号が悪用され、又は漏えいした場合、個人情報 の不正 な追 跡・突合 が行われ、個人の権利利益の侵害を招きかねない。
そこで 、番号 法に お いては、特定個人情報について、個人情報保護法
よりも厳 格な各 種の 保護措置 を設けている。この保護措置は、「特定個人情報の 利用制 限」 、「特定 個人情報の安全管理措置等」及び「特定個人情報の提供制限等」の三つに大別される。
ア

特定個人情報の利用制限
番号法においては、個人番号を利用することができる範囲について 、
社会保障、税、 災害対策その他の行政分野に関する特定の事務に限定している（番号法第９条及び別表第１）。また、個人情報保護法の読替え又は適用除外の規定を置き（同法第 30条第１項）、本来の利用目
的 以外の目的で例外的に特定個人情報を利用することができる範囲につ いて、個人情報保護法における個人情報の利用の場合よりも限定的に定めている。
さらに、個人番号利用事務等実施者に対し、必要な範囲を超えた特定個人情報ファイルの作成を禁止している（同法第29条）。

イ

特定個人情報の安全管理措置等
行政機関の長 （個人情報保護法第２条第８項第４号及び第５号の個
人情報保護法施行令第３条で定める機関にあっては、その機関ごとに
個人情報保護法施行令第18条で定める者をいう。）、地方公共団体の機関、独立行政法人等（同法別表第２に掲げる法人を除く。）及び地
方独立行政法人（地方独立行政法人法第21条第１号に掲げる業務（試験研究等）を主たる目的とするもの又は同条第２号（大学等の設置及び管理）若しくは第３号チ（病院事業の経営）に掲げる業務を目的とするものを除く。以下、第３－６、第４－４－⑵、第４－４－⑶、第４－４－⑷、第４－４－⑸及び第４－６においてこれらをあわせて「行政機関の長等」という。）については、個人情報保護法に基づき、保有個人情報の安全管理措置を講じなければならず、行政機関等から個人情報の取扱いの委託を受けた者その他の同法第66条第２項各号に掲げる者が当該各号に定める業務を行う場合にも同様の義務が課されている（個人情報保護法第66条 ）。また、個人情報の取扱いに従事する行政機関等の職員若しくは職員であった者、個人情報保護法第66条
第２項各号に定める業務に従事している者若しくは従事していた者又は行政機関等において個人情報の取扱いに従事している派遣労働者（労働者派遣事業の適正な運営の確保及び派遣労働者の保護等に関する法律（昭和60年法律第88号）第２ 条第 ２号に規定する派遣労働者をいう。以下同じ。）若しくは従事していた派遣労働者は、その業務に11

関して知り得た個人情報の内容をみだりに他人に知らせ、又は不当な目的に利用することが禁止されている（個人情報保護法第67条）。
番号法においては、これらに加え、個人番号（生存する個人のものだけでなく死者のものも含む。）について安全管理措置を講ずることとされている（番号法第12条）。
また、個人番号利用事務等を再委託する場合には委託者による再委託の許諾を要件とする（同法第10条）とともに、委託者の委託先に対する監督義務を課している（同法第11条）。さらに、委託を受けた者
及び再委託を受けた者は、個人番号利用事務等実施者になることを明確にし（同 法第２条第12項及び第13項）、これらの者も番号法における個人番号の安全管理措置を講じなければならないこととしている（同法第12条）。
ウ

特定個人情報の提供制限等
個人情報保護法は、法令に基づく場合を除くほか、同法第69条第２項 各号に定める場合を除き、利用目的以外の目的のために保有個人情報 を自ら利用し、又は提供することを認めていない（個人情報保護法
第69条）。
番号法においては、特定個人情報の提供について、個人番号の利用制 限と同様に、個人情報保護法における個人情報の提供の場合よりも限 定的に定めている（番号法第19条）。また、何人も、特定個人情報の 提供を受けることが認められている場合を除き、他人（自己と同一の 世帯に属する者以外の者をいう。）に対し、個人番号の提供を求めてはならない（同法第15条）。
さらに、特定個人情報の収集又は 保管についても同様の制限を定めている（同法第20条）。
なお、本人から個人番号の提供を受ける場合には、本人確認を義務付けている（同法第16条）。

⑵

委員会による監視・監督
委員会 は、特 定個 人 情報の取扱いに関する監視・監督を行うため、次に掲げる権限を有している。
・ 個人 番号利 用事 務等実施者に対し、 特定個人情報の取扱いに関し、必要な指導及び助言をすることができる（番号法第33条）。
・ 特定 個人情 報の 取扱いに関して法令 違反行為が行われた場合において、そ の適正 な取 扱 いの確保のために必要があると認めるときは、当該違反 行為を した 者 に対し、期限を定めて、当該違反行為の中止その他違反 を是正 する た めに必要な措置をとるべき旨を勧告することができる（同法第34条第１項）。
・ 勧告 を受け た者 が正当な理由なく勧 告に係る措置をとらなかったと

12

きは、 その者 に対 し 、期限を定めて、勧告に係る措置をとるべきことを命ずることができる（同条第２項）。
・ さら に、特 定個 人情報の取扱いに関 して法令違反行為が行われた場
合にお いて、 個人 の 重大な権利利益を害する事実があるため緊急に措置をと る必要 があ る と認めるときは、当該違反行為をした者に対し、期限を 定めて 、当 該 違反行為の中止その他違反を是正するために必要な措置をとるべき旨を命ずることができる（同条第３項）。
・ 特定 個人情 報を 取り扱う者その他の 関係者に対し、特定個人情報の取扱い に関し 、必 要 な報告若しくは資料の提出を求めること又は立入検査を行うことができる（同法第35条）。
⑶

罰則の強化
個人情 報保護 法及び「住民基本台帳法 」（昭和42年法律第81号）においては、 正当な 理由 なく個人 の秘密に属する事項が記録された個人情報
ファイル を提供 した とき、不 正な利益を図る目的で保有個人情報を提供
又は盗用 したと き、 職務上知 り得た秘密を漏えい又は盗用したとき等に罰則が科される こと とされているが、番号法においては、類似の刑の上限が引き 上げら れて いる等罰 則が強化されている（番号法第48条から第55条の３まで）。
なお、 次表① から⑤までは、日本国外においてこれらの罪を犯した者にも適用される（同法第56条）。
同種法律における類似規定の罰則
項

行為

番号法

個人 番号 利用 事務 等に４年以下の懲役

従事 する 者又 は従 事し若 し く は 200万 円

てい た者 が、 正当 な理以下の罰金又は

由な く、 特定 個人 情報

併科ファイルを提供（第48条）番①

３年以下の懲役②

上記 の者 が、 不正 な利

若 し く は 150万 円

益を 図る 目的 で、 個人以下の罰金又は番号を提供又は盗用併科（第49条）

個人情報保護法住民基本台帳法

２年以下の懲役
又 は 100万 円 以 下－の罰金（第176条）
１年以下の懲役１年以下の懲役

又 は 50 万 円 以 下

又 は 50 万 円 以 下

の罰金

の罰金

（第180条）（第43条）

情報 提供 ネッ トワ ーク
シス テム の事 務に 従事する 者又 は従 事し てい③

た者 が、 情報 提供 ネッ
トワ ーク シス テム に関２年以下の懲役同上（第50条）－

又 は 100万 円 以 下の罰金（第42条）する 秘密 を漏 えい 又は盗用

13

同種法律における類似規定の罰則
項

行為

番

番号法

個人情報保護法住民基本台帳法－－人を 欺き 、人 に暴 行を④加え 、人 を脅 迫し 、又３年以下の懲役は、 財物 の窃 取、 施設

又 は 150万 円 以 下への 侵入 、不 正ア クセの罰金

ス等 によ り個 人番 号を（第51条）

取得
国の 機関 の職 員が 、職⑤

権を 濫用 して 、専 らそ

２年以下の懲役１年以下の懲役の職 務の 用以 外の 用に

又 は 100万 円 以 下

又 は 50 万 円 以 下

供す る目 的で 、特 定個

の罰金

の罰金

人情 報が 記録 され た文（第52条）（第181条）－書等を収集委員 会か ら命 令を 受け⑥た者 が、 委員 会の 命令に違反
委員 会に 対す る、 虚偽⑦の報 告、 虚偽 の資 料提出、検査拒否等
偽り その 他不 正の 手段⑧によ り個 人番 号カ ード
を取得

２年以下の懲役
又 は 50 万 円 以 下の罰金

１年以下の懲役－

又 は 50 万 円 以 下の罰金（第53条）（第43条）

１年以下の懲役30 万 円 以 下 の 罰

又 は 50 万 円 以 下の罰金－（第54条）の罰金（第55条）（ 第 46 条 、 第 47条）

６月以下の懲役
又 は 50 万 円 以 下

金30 万 円 以 下 の 罰－

金（第46条）

第３－５ 特定個人情報保護のための主体的な取組について
行政機関等は、番号法等関係法令並びに本ガイドライン、個人情報保護法ガイドライン（行政機関等編）及び事務対応ガイドに従い、特定個人情報の適正な取扱いを確保するための具体的な方策について検討し、実践するとともに、国民・住民等の意見、事務の実態、技術の進歩等を踏まえ、点検・見直しを継続的に行う体制を主体的に構築することが重要である。
第３－６ 特定個人情報の漏えい等事案が発生した場合の対応
保有個人情報の漏えい等事案が発生した場合、行政機関の長等は、個人情報保護法、「個人情報の保護に関する法律施行規則」（平成28年個人情報保護委員会規則第３号。以下「個人情報保護法施行規則」という。）、
個人情報保護法ガイドライン（行政機関等編）等に基づき報告等が求められているところであるが、特定個人情報の漏えい等事案が発生した場合、行政機関等には、番号法第29条の４、「行政手続における特定の個人を識別するための番号の利用等に関する法律第29条の４第１項及び第２項に基14

づく特定個人情報の漏えい等に関する報告等に関する規則」（平成27年特定個人情報保護委員会規則第５号）及び本ガイドライン「（別添２）特定個人情報の漏えい等に関する報告等（行政機関等編）」に基づき報告等が求められる。
第３－７ 本ガイドラインの見直しについて
本ガイドラインについては、社会情勢の変化、国民意識の変化等諸環境の変化に加え、個人情報の保護に関する技術の進歩及び国際動向も踏まえつつ、必要に応じ見直しを行うものとする。

15

第４ 各論
第４－１ 特定個人情報の利用制限
第４－１－⑴ 個人番号の利用制限（関係条文）
・番号法 第９条、第30条第１項
・個人情報保護法 第61条第２項、第69条

１

個人番号の原則的な取扱い
個人番号 （ 注 ） は、番 号法があらかじめ限定的に定めた事務の範囲の中から、具体的な利用目的を特定した上で、利用するのが原則である。
行政機関等が個人番号を利用するのは、個人番号利用事務、個人番号関係
事務及び各議院審査等番号法第19条第13号から第17号までに基づき特定個人情報の提供を受けた目的を達成するために必要な限度で利用する事務である。
また、金融機関に該当する独立行政法人等は、激甚災害の場合等に、個人
番号関係事務のために保管している個人番号を金銭の支払のために利用することができる。
行政機関等は、個人情報保護法とは異なり、本人の同意があったとしても、例外として認められる場合を除き（ ２ 参照）、これらの事務以外で個人番号を利用してはならない。
（注）「個人番号」には、個人番号に対応して、当該個人番号に代わって用いられる番号等も含まれる（番号法第２条第８項）。例えば、数字をアルファベットに読み替えるという法則に従って、個人番号をアルファベットに置き換えた場合であっても、当該アルファベットは「個人番号」に該当することとなる。また、個人番号の一部のみを用いたものや、不可逆に変換したものであっても、個人番号の唯一無二性や悉皆性等の特性を利用して個人の特定に用いている場合等は、個人番号に該当するものと判断されることがある。一方、基礎年金番号、システムで使用している
住民番号、職員番号等（個人番号を一定の法則に従って変換したものではないもの）
は、「個人番号」には該当しない。

Ａ 個人番号を利用することができる事務の範囲
ａ 個人番号利用事務（番号法第９条第１項から第３項）
個人番 号利用 事務 と は、行政機関、地方公共団体、独立行政法人等その他の行 政事務 を処 理する者が、法令に基づき行う社会保障、税、災害対策その 他の行 政分 野に関す る特定の事務において、保有している個人
情報の検 索、管 理の ために個 人番号を利用することをいい、番号法別表第１の下欄に個人番号利用事務が列挙されている。
また、 地方公 共団 体 の場合は、同法別表第１に掲げられていない事務であって も、同法第 ９条第２項に基づき、社会保障、地方税又は防災に16

関する事 務その 他の事務のうち、個人番号を利用 することを条例で定めるものについて、個人番号を利用することができる。
＊

甲市が行っている乳幼児医療手当給付事務は、番号法別表第１に掲げられていない事務であるが、同法第９条第２項に基づき、当該事務において個人番号を利用する旨の条例を制定して、当該手当の申請書に記載された当該申請者の個人番号を利用して甲市のデータベースから当該申請者の必要なデータを検索する場合
は、この事務は個人番号利用事務に当たる。

都道府 県及び 市町 村（特別区を含む。以下同じ。）は、地域の総合的な行政主 体とし て社 会保障、地方税 又は防災に関する複数の事務を同一の機関で 処理し てお り、個人 情報保護法施行条例の規定の下、複数の事
務間にお いて相 互に 個人情報 の授受がなされているところもある。これと同様に 、特定 個人 情報につ いても、番号法別表第１に掲げられている
事務を処 理する ため に必要な 場合に複数の事務間で特定個人情報を移転し、その検 索、管理 を行うために個人番号を利用する場合が想定される。
このよう な場合 には 、同一機 関内であっても複数事務間で特定個人情報の移転を 行うこ とと なることから、同法 第９条第２項に基づく条例を定める必要があると解されている。
なお、地方公 共団 体 において、同法第 ９条第２ 項に基づき、条例で個人番号を 利用す るこ とができ ることとした事務について、当該事務の根拠を定め る条例 にお いて書面 の提出を義務付けている場合があるが、この場合で あって 、同 項に基づ く特定個人情報の移転に係る条例を定める
場合に、 当該特 定個 人情報と 同一の内容の情報を含む書面の提出を不要と判断す るとき は、 当該書面 の提出を義務付けている条例等を改正等する必要がある。
また、法務大 臣は 、同法第９条第３項に基づき、同法 第19条第８号又は第９号 の規定 によ る戸籍関係情報 の提供に関する事務の処理に関して保有する 特定個 人情 報ファイルにおいて個人情報を効率的に検索し、及び管理す るため に必 要な限度 で情報提供用個人識別符号を利用することができる。
行政機関 等から個人 番号利用事務の全部又は一部の委託を受けた者は、
個人番号 利用事 務を 行うこと ができる。この場合において、当該委託を受けた者 は、委 託に 関する契 約の内容に応じて、本ガイドラインが適用されることとなる。
ｂ

個人番号関係事務（番号法第９条第４項）
個人番 号関係 事務 と は、「国家公務員共済組合法」（昭和33年法律第17128号）、「地方 公 務員等 共済組合法」（昭和37年法律第152号）、 所得
税法その 他の法 令又 は条例の 規定により、個人番号利用事務の処理に関し必要な 限度で 他人 の個人番 号を利用して行う事務をいう。例えば、所得税法の 規定に 基づ き、職員 の個人番号を給与所得の源泉徴収票に記載
して、税務署長に提出する事務等が該当する。
なお、 行政機 関等 か ら個人番号関係事務 の全部又は一部の委託を受けた者は、個人番号関係事務を行うことができる。
＊

給 与 受 給 者で あ る 職 員が 、 所 得 税法 第 194条第 １ 項 の規 定 に 従 っ て、 扶 養親
族の個人番号を扶養控除等申告書に記載して、勤務先である行政機関等に提出することは個人番号関係事務に当たる。

ｃ

各議院審査等番号法第19条第13号から第17号までに基づき特定個人情報の提供を受けた目的を達成するために必要な限度で利用する事務（番号法第９条第６項）
番号法 第19条第13号から第17号までの規定に基づき特定個人情報の提供を受けた者（第４ －３－⑵ ２ Ｂｋ～ｎ 参照）は、その提供を受けた目
的を達成するために必要な限度で個人番号を利用することができる。

Ｂ

利用目的以外の目的のための個人番号の利用禁止（番号法第30条第１項
により読み替えて適用される個人情報保護法第69条第１項）
個人番号の利用目的はできる限り特定及び明示がされなければならず、原則として個人番号は特定された利用目的の範囲内で利用されることとなる。

＊

行政機関等は、個人番号利用事務において申請者から個人番号の提供を受ける際に、当該個人番号を番号法第19条第８号から第10号までに基づいて他の個人番号
利用事務実施者に提供する場合があることは、明示する必要はない。

個人情報保護法は、法令に基づく場合又は本人の同意がある場合等は、個人情報を利用目的以外の目的のために利用することができることとしているが、番号法は、例外として認められる二つの場合を除き（ ２ 参照）、
特定個人情報を利用目的以外の目的のために利用してはならないと定めている。
したがって、個人番号についても利用目的以外の目的のために利用してはならない。
２

例外的な取扱いができる場合
番号法では、次に掲げる場合に、例外的に利用目的以外の目的のための個
人番号の利用を認めている。

18

ａ

金融機関に該当する独立行政法人等が激甚災害時等に金銭の支払を行う
場合（番号法第９条第５項、第30条第１項により読み替えて適用される
個人情報保護法第69条第１項、番号法施行令 （ 注 ） 第10条、激甚災害が発生したとき等にあらかじめ締結した契約に基づく金銭の支払を行うために必要な限度で行う個人番号の利用に関するデジタル庁令（平成27年内閣府令第74号））
金融機関に該当する独立行政法人等は、「激甚災害に対処するための特別の財政援助等に関する法律」（昭和37年法律第150号）第２条第１項の激甚災害が発生したとき、又は「災害対策基本法」（昭和36年法律第223号）
第63条第１項その他デジタル庁令で定める法令の規定により一定の区域への立入りを制限、禁止され、若しくは当該区域からの退去を命ぜられたときに、支払調書の作成等の個人番号関係事務を処理する目的で保有している個人番号について、顧客に対する金銭の支払を行うという別の目的のために、顧客の預金情報等の検索に利用することができる。
（注）番号法施行令とは、「行政手続における特定の個人を識別するための番号の利用等に関する法律施行令」（平成26年政令第155号）をいう（以下同じ。）。

ｂ

人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意があり、又は本人の同意を得ることが困難である場合（番号法第30条第１項により読み替えて適用される個人情報保護法第69条第２項第１号）
人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意があり、又は本人の同意を得ることが困難であるときは、行政機関
等は、個人番号利用事務等を処理する目的で保有している個人番号について、人の生命、身体又は財産を保護するために利用することができる。

19

第４－１－⑵ 特定個人情報ファイルの作成の制限（関係条文）
・番号法 第29条●

特定個人情報ファイルの作成の制限（番号法第29条）
行政機関等その他個人番号利用事務等に従事する者が、特定個人情報ファ
イルを作成することができるのは、個人番号利用事務等を処理するために必要な場合、又は番号法第19条第13号から第17号までのいずれかに該当して特定個人情報を提供し、又はその提供を受けることができる場合に限定されており、これらの場合を除き特定個人情報ファイルを作成してはならない。

20

第４－２ 特定個人情報の安全管理措置等
第４－２－⑴ 委託の取扱い（関係条文）
・番号法 第10条、第11条
・個人情報保護法 第66条
１ 委託先の監督（番号法第11条、個人情報保護法第66条）
Ａ 委託先における安全管理措置
個人情報保護法第66条第２項第１号において、委託を受けた者は、当該委託を受けた業務に係る保有個人情報の安全管理措置を講ずることを義務付けられている。
これに加え、番号法は、個人番号利用事務等の全部又は一部の委託をす
る者は、委託した個人番号利用事務等で取り扱う特定個人情報の安全管理措置が適切に講じられるよう「委託を受けた者」に対する必要かつ適切な監督を行わなければならないとしている。
このため、個人番号利用事務等の全部又は一部の委託をする行政機関等
は、「委託を受けた者」において、番号法に基づき個人番号利用事務等を行う行政機関等が果たすべき安全管理措置と同等の措置が講じられるよう
必要かつ適切な監督を行わなければならない。
なお、「委託を受けた者」を適切に監督するために必要な措置を講じず、又は、必要かつ十分な監督義務を果たすための具体的な対応をとらなかった結果、特定個人情報の漏えい等が発生した場合、番号法違反と判断される可能性がある。
Ｂ

必要かつ適切な監督「必要かつ適切な監督」には、①委託先の適切な選定、②委託先に安全管理措置を遵守させるための必要な契約の締結、③委託先における特定個
人情報の取扱状況の把握が含まれる。
委託先の選定については、個人番号利用事務等を行う行政機関等は、委託先において、番号法に基づき当該行政機関等が果たすべき安全管理措置と同等の措置が講じられるか否かについて、あらかじめ確認しなければならない。具体的な確認事項としては、委託先の設備、技術水準、従業者 （ 注 ）に対する監督・教育の状況、その他委託先の経営環境等が挙げられる。
委託契約の締結については、契約内容として、秘密保持義務、事業所内からの特定個人情報の持ち出しの禁止、特定個人情報の目的外利用の禁止、再委託における条件、漏えい等事案が発生した場合の委託先の責任、委託契約終了後の特定個人情報の返却又は廃棄、特定個人情報を取り扱う従業者の明確化、従業者に対する監督・教育、契約内容の遵守状況について報告を求める規定を盛り込むとともに、行政機関等において必要があると認めるときは委託先に対して、実地の監査、調査等を行うことができる規定
21

等を盛り込まなければならない。
委託先における特定個人情報の取扱状況の把握については、前記の契約に基づき報告を求めること、委託先に対して実地の監査、調査等を行うこと等により、委託契約で盛り込んだ内容の実施の程度を把握した上で、委託の内容等の見直しを検討することを含め、適切に評価する。
（注）「従業者」とは、事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者をいう。具体的には、従業員のほか、取締役、監査役、理事、監事、派遣社員等を含む。

２ 再委託（番号法第 10 条、第 11 条）
Ａ 再委託の要件（第10条第１項）
個人番号利用事務等の全部又は一部の「委託を受けた者」は、当該個人
番号利用事務等の委託をした者の許諾を得た場合に限り、再委託をすることができる。
＊

市役所甲が、保険給付の支給に関する事務（個人番号利用事務）の一部を、事業者乙に委託している場合、乙は、「当該個人番号利用事務等の委託をした者」である市役所甲の許諾を得た場合に限り、同事務を別の事業者丙に委託することができる。

Ｂ

再委託の効果（第10条第２項）
再委託を受けた者は、個人番号利用事務等の全部又は一部の「委託を受けた者」とみなされ、再委託を受けた個人番号利用事務等を行うことができるほか、最初に当該個人番号利用事務等の委託をした者である行政機関
等の許諾を得た場合に限り、その事務を更に再委託することができる。
このように、行政機関等が許諾を与えることが個人番号利用事務等の再委託の要件とされていることから、行政機関等は、委託をする個人番号利用事務等において取り扱う特定個人情報の適切な安全管理が図られることを確認した上で再委託の諾否を判断しなければならない。
＊

更に再委託をする場合も、その許諾を得る相手は、最初に当該個人番号利用事務等の委託をした行政機関等である。
したがって、個人番号利用事務等が、行政機関等→甲→乙→丙→丁と順次委託される場合、丙は、最初に当該個人番号利用事務等の委託をした者である行政機関等の許諾を得た場合に限り、別の事業者丁に再委託を行うことができる。更に再委託が繰り返される場合も同様である。
なお、乙は丙を監督する義務があるため、乙・丙間の委託契約の内容に、丙が再委託する場合の取扱いを定め、再委託を行う場合の条件、再委託した場合の乙に対する通知義務等を盛り込む。

22

＊「委託を受けた者」が、番号法第10条の規定に違反して、最初に個人番号利用
事務等の委託をした者である行政機関等の許諾を得ずに当該個人番号利用事務等を再委託した場合、「委託を受けた者」は同法第19条（提供制限）にも違反することとなり、当該再委託を受けた者も同法第15条（提供の求めの制限）及び第20条（収集・保管制限）に違反すると判断される可能性があるため、留意する必要がある。

Ｃ

再委託先の監督（第11条）
１ Ａにおける「委託を受けた者」とは、行政機関等が直接委託する事業者を指すが、行政機関等→甲→乙→丙→丁と順次委託される場合、甲に対する行政機関等の監督義務の内容には、再委託の適否だけではなく、甲が乙、丙、丁に対して必要かつ適切な監督を行っているかどうかを監督することも含まれる。したがって、行政機関等は甲に対する監督義務だけではなく、再委託先である乙、丙、丁に対しても間接的に監督義務を負うこと
となる。

23

第４－２－⑵ 安全管理措置（関係条文）
・番号法 第12条
・個人情報保護法 第66条、第67条●

安全管理措置（番号法第12条、個人情報保護法第66条、第67条）
個人番号利用事務等実施者は、個人番号（生存する個人のものだけでなく死者のものも含む。）の漏えい、滅失又は毀損の防止その他の個人番号の適切な管理のために必要な措置を講じなければならない。また、行政機関の長
等は、保有個人情報である特定個人情報の漏えい、滅失又は毀損の防止その他の保有個人情報である特定個人情報の安全管理のために必要かつ適切な措置を講じなければならない。
行政機関等は、安全管理措置の検討に当たり、番号法及び個人情報保護法
並びに本ガイドライン（「（別添１）特定個人情報に関する安全管理措置（行政機関等編）」を含む。）、個人情報保護法ガイドライン（行政機関等
編）及び事務対応ガイドを遵守することを前提とする。
また、行政機関等は、個人のプライバシー等の権利利益に影響を与え得る
特定個人情報の漏えいその他の事態を発生させるリスクを軽減するための措置として特定個人情報保護評価書に記載した全ての措置を講ずるものとする。
※

安 全 管理 措置 の 具体 的 な内 容に つ いて は、 「 （別 添１ ） 特定 個人 情 報に 関す る 安
全管理措置（行政機関等編）」を参照のこと。

24

第４－３ 特定個人情報の提供制限等
第４－３－⑴ 個人番号の提供の要求（関係条文）
・番号法 第14条
１

提供の要求（番号法第14条第１項）
行政機関等は、個人番号利用事務等を行うため、本人又は他の個人番号利用事務等実施者から個人番号の提供を受ける必要がある。番号法第14条第１項は、個人番号利用事務等実施者（同法第９条第３項の規定により情報提供
用個人識別符号を利用する者を除く。以下この項及び ２ において同じ。）が個人番号の提供を求めるための根拠となる規定である。
個人番号利用事務等実施者は、本条により、個人番号利用事務等を処理するために必要がある場合、本人又は他の個人番号利用事務等実施者に対し個人番号の提供を求めることとなる。

２

提供を求める時期
個人番号利用事務等実施者は、個人番号利用事務等を処理するために必要があるときに個人番号の提供を求めることとなる。
＊

行政機関等の場合、個人番号利用事務に関しては、本人が申請・届出等を行う時
点で個人番号の提供を求めることが一般的である。

３

地方公共団体情報システム機構に対する提供の要求（番号法第14条第２項、
番号法施行令第11条）
個人番号利用事務実施者（住民基本台帳法別表第１から別表第４までの上欄に掲げる者（番号法第９条第３項の規定により情報提供用個人識別符号を利用する者を除く。）に限る。）は、個人番号利用事務を処理するために必要があるときは、住民基本台帳法第30条の９から第30条の12までの規定により、地方公共団体情報システム機構に対し、同法第30条の９に規定する機構
保存本人確認情報の提供を求めることができる。

25

第４－３－⑵ 個人番号の提供の求めの制限、特定個人情報の提供制限（関係条文）
・番号法 第15条、第19条、第30条第１項、第31条第１項及び第２項
・個人情報保護法 第69条

１

提供の求めの制限（番号法第15条）
何人も、番号法第19条各号のいずれかに該当し特定個人情報の提供を受けることができる場合を除き、他人 （ 注 ） の個人番号の提供を求めてはならない。
＊

行政機関等は、給与の源泉徴収事務を処理する目的で、給与受給者である職員に対し、個人番号の提供を求めることとなる。一方、職員の人事評価等を管理する目的で、個人番号の提供を求めてはならない。

（ 注 ） 番 号 法 第 15条 及 び 第 20条 に お い て 、 他 人 と は 「 自 己 と 同 一 の 世 帯 に 属 す る 者 以外の者」であり、子、配偶者等の自己と同一の世帯に属する者に対しては、同法第19条各号のいずれかに該当しなくても、個人番号の提供を求めることができる。

２

特定個人情報の提供制限（番号法第19条）
何人も、番号法で限定的に明記された場合を除き、特定個人情報を「提供」
してはならない。

Ａ「提供」の意義について
行政機関等の場合は、当該行政機関等を超えて特定個人情報が移動することが「提供」である。
なお、地方公共団体の場合は、当該地方公共団体から他の地方公共団体
や行政機関へ特定個人情報が移動することが「提供」であり、同一地方公共団体内の異なる機関に特定個人情報が移動することも「提供」に当たる。

＊「提供」に当たらない場合
甲市の市長部局にある税務課から、同じ市長部局にある福祉課に特定個人情報が移転する場合は、同じ甲市市長部局内であるから、「提供」には当たらず、「利用」となる（第４－１－⑴ １ Ａａ参照）。

＊「提供」に当たる場合
甲市の市長部局にある市民課から、甲市教育委員会に特定個人情報が移動する場
合は、同一地方公共団体内の異なる機関に特定個人情報が移動することから、「提供」に当たる。なお、この場合、番号法第19条第８号に基づく情報連携によらず
甲市教育委員会が特定個人情報の提供を受けるためには、同条第11号に基づき、
甲市教育委員会に対し特定個人情報を提供する旨の条例が定められる必要がある。

26

Ｂ

特定個人情報を提供できる場合（番号法第19条第１号から第17号まで）
特定個人情報を提供できる場合として、番号法第19条各号が定めているもののうち行政機関等が関わるものは、次のとおりである。

ａ

個人番号利用事務実施者からの提供（第１号）
個人番 号利用 事務 実 施者（同法第９条第３項の規定により情報提供用
個人識別 符号を 利用 する者を 除く。以下この号に おいて 同じ。）が、個
人番号利 用事務 を処 理するた めに、必要な限度で本人、代理人又は個人
番号関係事務実施者に特定個人情報を提供する場合である。
＊

市町村長（個人番号利用事務実施者）は、本条を根拠として住民税を徴収（個人番号利用事務）するために、事業者（個人番号関係事務実施者：特別徴収による住民税の納入事務）に対し、その従業員等の個人番号と共に特別徴収税額を通知することができる。

ｂ

個人番号関係事務実施者からの提供（第２号）
個人番 号関係 事務 実 施者は、個人番号関係事務を処理するに当たり、必要な限度で特定個人情報を提供することとなる。
＊

行 政 機 関 等（ 個 人 番 号関 係 事 務 実施 者 ） は 、所 得 税 法 第226条 第 １項 の 規定に従って、給与所得の源泉徴収票の提出という個人番号関係事務を処理するために、職員の個人番号が記載された給与所得の源泉徴収票を作成し、税務署長に提出することとなる。

＊

給与受給者である職員は、扶養控除等申告書の提出という個人番号関係事務を処理するために、勤務先である行政機関等（個人番号関係事務実施者）に対し、その扶養親族の個人番号を記載した扶養控除等申告書を提出することとなる（この場合、職員は個人番号関係事務実施者となる。）。

ｃ

本人又は代理人からの提供（第３号）
本人又 はその 代理 人 は、個人番号利用事務等実施者に対し、本人の個
人番号を含む特定個人情報を提供することとなる。
本人又 はその 代理 人からの特定個人情報の提供により、行政機関等は
個人番号の提供 を受 け、それを個人番号利用事務のために利用すること
ができる。

ｄ

使用者等から他の使用者等に対する従業者等に関する特定個人情報の提供（第４号）
従業者等（従業者 、 法人の業務を執行する役員又は国若しくは地方公

27

共団体の 公務員をい う。以下本号において同じ。）の出向・転籍・退職等があっ た場合にお いて、当該従業者等の同意があるときは、出向・転籍・退職等前の 使用 者等（使用者、法人又は国若しくは 地方公共団体をいう。以 下本号 にお いて同じ 。）から出向・転籍 ・再就職等先の使用者等に対し て、そ の個 人番号関 係事務を処理するために必要な限度で、当該従業者等の個人番号を含む特定個人情報を提供することができる。
本号に 基づく 特定 個 人情報の提供は、従業者等の出向・転籍・退職等があった場 合に、当 該従業者等の同意を得た上で、行われるものである 。
そのため、出向・転籍・退職等前の使用者等は、当該従業者等の出向・転籍 ・再就 職等 先の決定 以後に、個人番号を含む特定個人情報の具体的な提 供先を 明ら かにした 上で、当該 従業者等から同意を取得することが必要となる。
なお、本号により特 定個人情報の提供を受けた使用者等は、 番号法第16条に基づく本人確認は不要である。
＊

本号に基づき提供が認められる特定個人情報の範囲は、社会保障、税分野に係る健康保険・厚生年金保険被保険者資格取得届、給与支払報告書や支払調書の提出など、出向・転籍・再就職等先の使用者等が「その個人番号関係事務を処理するために必要な限度」に限定される。
例えば、従業者等の氏名、住所、生年月日等や前職の給与額等については、これらの社会保障、税分野に係る届出、提出等に必要な情報であることが想定されるため、本号に基づく提供が認められる。一方、個別の事案ごとに、具体的に判断されることになるが、前職の離職理由等の、当該届出、提出等に必要な情報であるとは想定されない情報については、本号に基づく提供は認められないと解される。

＊「従業者等の同意を得」るとは、従業者等の承諾する旨の意思表示を使用者等が認識することをいい、特定個人情報の取扱状況に応じ、従業者等が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。
具体的には、どのような特定個人情報が出向・転籍・再就職等先の使用者等に対して提供されることになるのか、従業者等が認識した上で、同意に係る判断を行うことができるよう、出向・転籍・退職等前の使用者等は留意する必要がある。
従業者等からの同意の取得については、従業者等からの同意する旨の口頭による意思表示のほか、従業者等からの同意する旨の書面（電磁的記録を含む。）の受領、従業者等からの同意する旨のメールの受信、従業者等による同意する旨の確認欄へのチェック、従業者等による同意する旨のウェブ上のボタンのクリッ
ク、従業者等による同意する旨のタッチパネルへのタッチ・ボタン等による入力
等によることが考えられる。

28

＊

甲市の市長部局市民課職員が甲市教育委員会に異動する場合、当該職員の同意があるときは、その個人番号関係事務を処理するために必要な限度で、甲市の市長部局から甲市教育委員会に対し、当該職員の個人番号を含む特定個人情報を提供することができる。

ｅ

機構による個人 番号の提供（第５号、第14条第２項、番号法施行令第11条）
地方公 共団体 情報 シ ステム機構は、番号法第14条第２項の規定に基づ
き、個人 番号利 用事 務実施者 （住民基本台帳法別表第１から別表第４までの上欄 に掲げ る者（番号法第９条第３項の規定により情報提供用個人識別符号 を利用 する 者を除く 。）に限る。）に個人番号を含む機構保存
本人確認情報を提供することができる。

ｆ

委託、合併に伴う提供（第６号）
特定個 人情報 の取 扱 いの全部若しくは一部の委託又は合併その他の事
由（市町村 合併や機 関の統廃合等）による事務の承継が行われたときは 、
特定個人情報を提供することが認められている。
＊

個人番号利用事務等の委託を受けた者が、番号法第10条の規定に違反して、最初に当該個人番号利用事務等の委託をした者である行政機関等の許諾を得ずにその事務を再委託した場合、当該再委託に伴う特定個人情報の提供は同法第19条第６号の提供に該当しないため、提供制限にも違反することとなる。

ｇ

住民基本台帳法上の規定に基づく提供（第７号、番号法施行令第19条）
住民基 本台帳 法第30条の６第１項（市町村長から都道府県知事への本
人確認情 報の通 知等 ）の規定 その他番号法施行令 で定める同法の規定に基づき、特定個人情報を提供することができる。
なお、 「そ の他番号 法施行令で定める同法の規定」は、 同法第12条第５項（本人等の請求による住民票の写し等の交付）（同法第30条の51の規定（外国人住民についての適用の特例）により読み替えて適用する場合を含む。）、第30条の７第１項（都道府県知事から機構への本人確認情報の通知等）、第30条の32第２項（自己の本人確認情報の開示）及び主務省令で定める規定である。
＊

市町村長は、転入者について、住民票に記載した後、住民基本台帳法第30条の６第１項の規定に基づき、当該転入者の個人番号を含む本人確認情報を都道府県知事に通知することとなる。

29

ｈ

情報提供ネットワークシステムを通じた提供（第８号、第９号、番号
法施行令第20条、番号法第十九条第九号規則）
情報照 会者が 、情 報 提供者に対し、番号法別表第２の第２欄に掲げる
事務を処 理する ため に必要な 同表の第４欄に掲げる特定個人情報（情報提供者の 保有す る特 定個人情 報ファイルに記録されたものに限る。）の提供を求 めた場 合に おいて、 情報提供者は、情報提供ネットワークシス
テムを使 用して 当該 特定個人 情報を提供することができる（第４－３－⑶参照）。
また、条例事 務関 係 情報照会者が、条例 事務関係情報提供者に対し、条例事務を処理 する ために必要な番号法別表第２の第４ 欄に掲げる特定個人情報 であっ て当 該事務の 内容に応じて個人情報保護委員会規則で定め るもの （ 注 ） （条例 事務関係情報提供者の保有する特定個人情報ファイルに記録 された もの に限る。 ）の提供を求めた場合において、条例事務
関係情報 提供者は、情報提供ネットワークシステ ムを使用して当該特定個人情報を提供することができる。
（注）条例事務を処理するために必要な番号法別表第２の第４欄に掲げる特定個人情報であって当該事務の内容に応じて個人情報保護委員会規則で定めるものとは、法定事務において情報提供者に提供を求める特定個人情報の範囲と同一又はその一部である特定個人情報をいう。ただし、次に掲げる特定個人情報を除く。
一提供を求めた特定個人情報が地方税関係情報である場合において、当該地方税関係情報の提供を求めることについて本人の同意がない場合における当該地方税関係情報

二

限定機関が、行政手続における特定の個人を識別するための番号の利用等に関する法律第十九条第九号の規定により提供することができる特定個
人情報の範囲の限定に関する規則（平成28年個人情報保護委員会規則第６号）第２条第１項の規定に基づきあらかじめその旨を委員会に申し出た場
合において、条例により提供しないこととされた特定個人情報の範囲における当該特定個人情報ｉ

国税・地方税法令に基づく国税連携及び地方税連携による提供（第10号、番号法施行令第21条、第22条）「 地 方 税 法 」 （ 昭 和 25年 法 律 第 226号 ） 第 46条 第 ４ 項 若 し く は 第 ５ 項（個人の 道府県 民税 の賦課徴 収に関する報告等）、第48条第７項（個人の道府県 民税に 係る 徴収及び 滞納処分の特例）、第72条の58（道府県知事の通知義務）、第317条（市町村による所得の計算の通知）若しくは第325条（所得税又は法人税に関する書類の供覧等）の規定その他番号法施
行令で定 める同 法又 は国税に 関する法律の規定により、国税庁長官が都
道府県知 事若し くは 市町村長 に国税に関する特定個人情報を提供する場

30

合又は都 道府県 知事 若しくは 市町村長が国税庁長官若しくは他の都道府県知事若 しくは 市町 村長に地 方税に関する特定個人情報を提供する場合
において 、その 特定 個人情報 の安全を確保するために必要な措置を講じているときは、それぞれ特定個人情報を提供することができる。
なお、 「その 他番号法施行令で定める同法の規定」は、番号法施行令第21条で定めら れて おり、地方税法 第48条第２項（個人の道府県民税に係る徴収 及び滞 納処 分の特例 ）、第72条の59（所得税又は道府県民税に関する書類の供覧等）、第294条第３項（市町村民税の納税義務者等）及び主務省令で定める規定である。
「特定 個人情 報の 安 全を確保するために必要な措置」 は、番号法施行令第22条で定め られ ており、①特定個人情報の提供を受ける 者の名称、特定個人 情報の 提供 の日時及 び提供する特定個人情報の項目その他主務
省令で定 める事 項を 記録し、 並びにその記録を７年間保存すること、②提供する 特定個 人情 報が漏え いした場合において、その旨及びその理由を遅滞な く委員 会に 報告する ために必要な体制を整備するとともに、提供を受け る者が 同様 の体制を 整備していることを確認すること並びに③
これらのほか特定個人情報の安全を確保するために必要な措置として「行政手 続にお ける 特定の個 人を識別するための番号の利用等に関する法律施行 規則」 （平 成26年内閣府・総務省令第３号。以下「 番号法施行規則」という。）で定める措置をいう。
＊

甲 市 長 は 、地 方 税 法 第315条 第 １号 た だ し 書の 規 定 に 基づ き 、 甲 市内 に 住所を有する個人の所得税に係る申告書に記載されている金額が過少であると認められた場合に、自ら調査し、その調査に基づいて自ら所得を計算して市民税を課したときに、その特定個人情報の安全を確保するための必要な措置を講じた上で、同 法 第317条 の 規 定 に 基 づ き、 そ の 市 の 区 域 を 管 轄す る 乙 税 務 署 長 に 対 して、その個人の総所得金額等を当該個人の個人番号と共に通知することとなる。

ｊ

地方公共団体の他の機関に対する提供（第11号）
地方公 共団体 の機 関 は、条例で定めるところにより、その地方公共団
体の他の 機関に 、そ の事務を 処理するために必要な限度で特定個人情報を提供することができる。
この場 合に おい て、 提供を受ける機関には個人番号を利用する法的根拠があることが前提とされていることから、提供を受けることのできる機関は、法令又は条例に基づく個人番号利用事務実施者である必要がある。
なお、 地方 公共 団体 内の他の機関に特定個人情報を提供するために番号法第19条第11号に基づく条例を定める場合、同法第９条第２項に基づき個人番号を利用することができることとした事務の根拠となる条例において書面の提出を義務付けているときは、当該特定個人情報と同一の31

内容の情報を含む書面の提出を不要とする場合が考えられる。この場合、当該書面の提出を義務付けている条例等の改正等が必要となる。
＊

甲市の市長部局にある税務部門は、甲市教育委員会が個人番号利用事務である
学校保健安全法に基づく医療費用援助に関する事務を処理するため、条例で定めるところにより、地方税情報を甲市教育委員会に提供することができる。

ｋ

委員会からの提供の求め（第13号）
委員会 が、特 定個 人 情報の取扱いに関し、番号法第35条第１項の規定により、 特定個 人情 報の提出 を求めた場合には、この求めに応じ、委員会に対し、特定個人情報を提供しなければならない。

ｌ

各議院審査等その他公益上の必要があるときの提供（第15号、番号法
施行令第25条、同施行令別表）①各議 院の審 査、 調 査の手続、②訴訟手続その他の裁判所における手続、③裁 判の執 行、 ④刑事事 件の捜査、⑤租税に関する法律の規定に基づく犯則 事件の 調査 、⑥会計 検査院の検査が行われるとき、⑦公益上の必要があ るとき は、 特定個人 情報を提供することができる。⑦の公益上の必要が あると きは 、番号法 施行令第25条で定められており、「私的独占の禁止 及び公 正取 引の確保 に関する法律」（昭和22年法律第54号）の規定によ る犯則 事件 の調査（ 番号法施行令別表第２号）、「金融商品取引法」（ 昭和23年法 律第25号）の規定による犯則事件の 調査（同表第４号）、租 税調査 （同 表第８号 ）、個人情報保護法の規定による報告徴収（同表第19号） 、「犯罪による収益の移転防止に関する 法律」（平成19年法律第22号）の規定による届出（同表第21号）等がある。

ｍ

人の生命、身体又は財産の保護のための提供（第16号）
人の生 命、身 体又 は 財産の保護のために必要がある場合において、本人の同意 があり 、又 は本人の 同意を得ることが困難であるときは、特定個人情報を提供することができる。

ｎ

委員会規則に基づく提供（第17号）
番号法 第19条第１ 号 から第16号までに準ずるものとして委員会規則で定めた場合には、特定個人情報を提供することができる。

Ｃ

個人情報保護法による提供の制限との違い
個人情報保護法第69条は、保有個人情報について、法令の規定に基づく
場合、本人の同意がある場合等には、第三者に提供することができることとしている。
一方、番号法においては、他の法令の規定や本人の同意があったとして

32

も、同法第19条各号に該当する場合を除いて、特定個人情報を提供してはならない。
したがって、特定個人情報の提供を求められた場合には、その提供を求める根拠が、同法第19条各号に該当するものかどうかをよく確認し、同条各号に該当しない場合には、特定個人情報を提供してはならない。
＊

個人情報保護法の規定に基づく開示請求、訂正請求又は利用停止請求において、本人から個人番号を付して請求が行われた場合や本人に対しその個人番号又は特定個人情報を提供する場合は、番号法第19条各号に定めはないものの、法の解釈上当然に特定個人情報の提供が認められるべき場合であり、特定個人情報を提供することができる。

33

第４－３－⑶ 情報提供ネットワークシステムによる特定個人情報の提供（関係条文）
・番号法 第19条、第21条から第26条まで、第31条
・個人情報保護法 第69条
１ 情報提供ネットワークシステムによる特定個人情報の情報連携
Ａ 情報提供ネットワークシステム（番号法第21条、第26条）「情報提供ネットワークシステム」とは、番号法第19条第８号又は第９号の規定に基づき、同法第２条第14項に規定する行政機関の長等（行政機関の長、地方公共団体の機関、独立行政法人等、地方独立行政法人及び地方公共団体情報システム機構並びに情報照会者及び情報提供者並びに条例
事務関係情報照会者及び条例事務関係情報提供者をいう。以下第４－３－⑶及び第４－５において同じ。）の間で、特定個人情報を安全、効率的にやり取りするための情報システムであり、内閣総理大臣が、委員会と協議の上、設置し、管理するものである。
行政機関等は、同法第19条第８号の規定及び別表第２に基づき、情報提供ネットワークシステムを通じて、情報照会者として他の個人番号利用事
務実施者から個人番号利用事務を処理するために必要な特定個人情報の提供を受け、又は情報提供者として他の個人番号利用事務実施者に対し特定個人情報を提供することとなる。また、同法第19条第９号の規定及び個人情報保護委員会規則に基づき、情報提供ネットワークシステムを通じて、条例事務関係情報照会者として条例事務関係情報提供者から条例事務を処理する ために 必要 な 特定個 人情報 （ 注 ） の提供を受け、又は条例事務関係情報提供 者とし て条 例 事務関 係情報照会者に対して特定個人情報 （ 注 ） を提供することも認められる。このような情報のやり取りを情報連携という。
行政機関の長等においては、それぞれ設置される中間サーバー等（中間サーバーに相当する機能を有する既存業務システムを含む。）を通じて情報提供ネットワークシステムにアクセスし、同法別表第２の第４欄に掲げられた特定個人情報について、原則としてシステム上自動的に照会・提供を行うこととなる。したがって、こうしたシステムの管理についての環境を整備することが必要となる。
また、情報提供ネットワークシステムを使用することができるのは、行政機関の長等に限られる。したがって、行政機関等から個人番号利用事務の委託を受けた者（法令の規定により、同法別表第２の第２欄に掲げる事
務の全部又は一部を行うこととされている者及び同表の第４欄に掲げる特定個人情報の利用又は提供に関する事務の全部又は一部を行うこととされている者を除く。）は、情報提供ネットワークシステムに接続された端末を操作して情報照会等を行うことはできない。
（注）条例事務を処理するために必要な特定個人情報又は条例事務関係情報提供者と34

して条例事務関係情報照会者に対して提供する特定個人情報とは、法定事務において情報提供者に提供を求める特定個人情報の範囲と同一又はその一部である特定個人情報をいう。ただし、次に掲げる特定個人情報を除く。
一提供を求めた特定個人情報が地方税関係情報である場合において、当該地方税関係情報の提供を求めることについて本人の同意がない場合における当該地方税関係情報二

限定機関が、行政手続における特定の個人を識別するための番号の利用等に関する法律第十九条第九号の規定により提供することができる特定個人情報の範囲の限定に関する規則（平成28年個人情報保護委員会規則第６号）第２条第１項の規定に基づきあらかじめその旨を委員会に申し出た場合において、条例により提供しないこととされた特定個人情報の範囲における当該特定個
人情報〈参考〉取得番号の取扱いに係る留意事項
情報連携に必要な情報提供用個人識別符号（番号法第９条第３項に規定する情報提供用個人識別符号をいう。）の取得に当たって用いられる符号である取得番号（同法第21条の２第２項に規定する取得番号をいう。）に関しては、同条第３項において、「情報照会者等（情報照会者又は情報提供者をいう。）、内閣総理大臣、地方公共団体情報システム機構及び前項の市町村長は、情報提供用個人識別符号の取得に係る事務を行う目的の達成に必要な範囲を超えて、取得番号を保有してはならない」旨、及び同条第６項において、「取得番号の提供を受けた者は、その提供を受けた目的の達成に必要な範囲を超えて、当該取得番号を保有してはならない」旨、それぞれ規定されている。
したがって、情報照会者等、内閣総理大臣、地方公共団体情報システム
機構及び市町村長並びに取得番号の提供を受けた者は、情報提供用個人識
別符号の取得後、当該情報提供用個人識別符号の取得に係る事務を処理する必要がなくなった場合で、文書管理に関する規程等によって定められている保存期間を経過した場合には、取得番号を削除する必要がある。
Ｂ

特定個人情報の提供（番号法第22条、第26条、番号法施行令第28条）
情報提供者又は条例事務関係情報提供者は、番号法第19条第８号又は第９号の規定により特定個人情報の提供を求められた場合において、同法第21条第２項の規定による内閣総理大臣からの通知を受けたときは、番号法施行令で定めるところにより、情報照会者又は条例事務関係情報照会者に対して 求めら れた 特 定個人 情報を提供しなければならない （ 注 ） （番号法第22条第１項、第26条）。具体的には、システム上でのやり取りとなることから、同システムの管理についての環境を整備することが必要となる。
また、同法第22条第１項の規定による特定個人情報の提供があった場合において、他の法令又は条例の規定により当該特定個人情報と同一の内容

35

の情報を含む書面の提出が義務付けられているときは、同条第２項の規定により当該書面の提出があったものとみなされることから、当該書面を提出すべき者は、当該書面を提出する必要がなくなる。
＊

児童扶養手当の支給を受けるには、所得証明書の提出が必要であるが（児童扶養手当法施行規則第1条第７号）、情報提供ネットワークシステムを通じて所得情報の提供が行われる場合には、申請者は所得証明書の提出義務を免除される。

（注）番号法第19条第９号の規定により提供することができる限定機関が、「行政手続における特定の個人を識別するための番号の利用等に関する法律第十九条第九号の規定により提供することができる特定個人情報の範囲の限定に関する規則」（平成28年個人情報保護委員会規則第６号）第２条第１項の規定に基づきあらか
じめその旨を委員会に申し出た場合において、提供の求めに係る特定個人情報が当該限定された特定個人情報の範囲に含まれないときは、この限りでない。

２

情報提供等の記録（番号法第23条、第26条、番号法施行令第29条）
情報照会者及び情報提供者又は条例事務関係情報照会者及び条例事務関係
情報提供者が、情報提供ネットワークシステムに接続されたその者の使用する電子計算機に記録し、当該記録を保存しなければならない事項として以下の場合があるが、具体的には、システム上で記録されることから、同システ
ムの管理についての環境を整備することが必要となる。
ａ

情報照会者及び情報提供者又は条例事務関係情報照会者及び条例事務関係情報提供者は、番号法第19条第８号又は第９号の規定により特定個人情報の提供の求め又は提供があったときは、情報提供ネットワークシステムに接続されたその者の使用する電子計算機に次に掲げる事項を記録し、当該記録を７年間保存しなければならない（番号法第23条第１項、第26条）。
一 情報照会者及び情報提供者又は条例事務関係情報照会者及び条例事務
関係情報提供者の名称
二 提供の求めの日時及び提供があったときはその日時
三 特定個人情報の項目
四 一から三までに掲げるもののほか、デジタル庁令で定める事項ｂ

情報照会者及び情報提供者又は条例事務関係情報照会者及び条例事務関係情報提供者は、ａに規定する事項のほか、当該特定個人情報の提供の求め又は提供の事実が、次に掲げる事項に該当する場合には、その旨を情報提供ネットワークシステムに接続されたその者の使用する電子計算機に記録し、当該記録を７年間保存しなければならない（番号法第23条第２項、第26条）。
一 個人情報保護法第78条第１項（個人情報保護法第125条第２項の規定に36

よりみなして適用する場合を含む。二において同じ。）に規定する不開示情報に該当すると認めるとき。
二

番号法第31条第３項において準用する個人情報保護法第78条第１項に規定する不開示情報に該当すると認めるとき。

なお、提供される特定個人情報ではない情報提供の求め又は提供の事実が不開示情報に該当するか否かについては、情報照会者及び情報提供者又は条例事務関係情報照会者及び条例事務関係情報提供者であるそれぞれの行政機関の長等において判断することとなることに留意する必要がある。
ｃ

内閣総理大臣は、番号法第19条第８号又は第９号の規定により特定個人情報の提供の求め又は提供があったときは、ａ及びｂに規定する事項を情報提供ネットワークシステムに記録し、当該記録を７年間保存しなければならない（番号法第23条第３項、第26条）。

ｄ

情報提供等の記録に記録された特定個人情報については、番号法において、個人情報保護法における利用目的以外の目的のために利用することを認める規定を全て適用除外としており、利用目的以外の目的のために利用することはできない（番号法第31条第１項又は第２項により読み替えて適用される個人情報保護法第69条第１項及び適用除外とされる同条第２項から第４項まで、番号法第31条第３項により読み替えて準用される個人情報保護法第69条第１項）。

３ 秘密の管理及び秘密保持義務（番号法第24条、第25条、第26条）
ａ 内閣総理大臣並びに情報照会者及び情報提供者又は条例事務関係情報照会者及び条例事務関係情報提供者は、情報提供等事務（番号法第19条第８号の規定による特定個人情報の提供の求め又は提供に関する事務をいう。）
又は条例事務関係情報提供等事務（同法第19条第９号の規定による特定個
人情報の提供の求め又は提供に関する事務をいう。）に関する秘密について、その漏えいの防止その他の適切な管理のために、情報提供ネットワー
クシステム並びに情報照会者及び情報提供者又は条例事務関係情報照会者
及び条例事務関係情報提供者が情報提供等事務又は条例事務関係情報提供等事務に使用する電子計算機の安全性及び信頼性を確保することその他の必要な措置を講じなければならない（番号法第24条、第26条）。
ｂ

情報提供等事務又は条例事務関係情報提供等事務若しくは情報提供ネットワークシステムの運営に関する事務に従事する者又は従事していた者は、その業務に関して知り得た当該事務に関する秘密を漏らし、又は盗用して37

はならない（番号法第25条、第26条）。

38

第４－３－⑷ 収集・保管制限（関係条文）
・番号法 第20条●

収集・保管の制限（番号法第20条）
何人も、番号法第19条各号のいずれかに該当する場合を除き、他人 （ 注 ） の個人番号を含む特定個人情報を収集又は保管してはならない。
（ 注 ） 番 号 法 第 15条 及 び 第 20条 に お い て 、 他 人 と は 「 自 己 と 同 一 の 世 帯 に 属 す る 者 以外の者」であり、子、配偶者等の自己と同一の世帯に属する者の特定個人情報は、同法第19条各号のいずれかに該当しなくても、収集又は保管することができる。

Ａ

収集制限「収集」とは、集める意思を持って自己の占有に置くことを意味し、例
えば、人から個人番号を記載したメモを受け取ること、人から聞き取った
個人番号をメモすること等、直接取得する場合のほか、電子計算機等を操作して個人番号を画面上に表示させ、その個人番号を書き取ること、プリントアウトすること等を含む。一方、特定個人情報の提示を受けただけでは、「収集」に当たらない。

＊

市立図書館の利用カードとして個人番号カードを利用する場合において、図書の貸出し等は個人番号利用事務等ではないため、市立図書館の職員は、個人番号を利用してはならず、個人番号をコピーしてはならない。

＊

甲市役所の職員は、個人番号利用事務以外の業務において、申請者から、本人確認 書 類と し て 個 人 番 号 カ ー ドを 示 さ れ た 場 合 、 同 カー ド を 利 用 し て 本 人 確認 する
こ と がで き る が 、 同 カ ー ド に記 載 さ れ た 個 人 番 号 を書 き 写 す 又 は 個 人 番 号カ ードの 個 人番 号 が 記 載 さ れ た 部 分を コ ピ ー す る 等 に よ り個 人 番 号 を 収 集 し 、 それ をファイルに編綴して、執務室内に保管してはならない。

＊

番号法第10条において、最初に個人番号利用事務等の委託をした者である行政機関等の許諾を得ずに当該個人番号利用事務等の再委託を行うことは認められない
点が明示されており、当該再委託に伴う特定個人情報の提供は、同法第19条各号のいずれにも該当しない。
このため、最初に個人番号利用事務等の委託をした者である行政機関等の許諾を得ていることを確認せずに当該個人番号利用事務等の再委託を受け、結果として、最初に個人番号利用事務等の委託をした者である行政機関等の許諾を得ていない再
委託に伴って特定個人情報を収集した場合、番号法違反と判断される可能性がある。
ただし、例えば、個人番号を取り扱う委託業務であることが委託契約書等におい39

て明らかでないなど、当該再委託が「個人番号利用事務等の再委託」に該当することを、当該再委託を受ける者が認識できない状況で再委託が行われていた場合は、
一般に、特定個人情報を収集したとは解されない。

Ｂ

保管制限と廃棄個人番号は、番号法で限定的に明記された事務を処理するために収集又は保管されるものであるから、それらの事務を行う必要がある場合に限り
特定個人情報を保管し続けることができる。また、行政機関等が保有する
個人番号が記載された文書等については、各機関が定める文書管理に関する規程等によって保存期間が一般的に定められており、これらの文書等に記載された個人番号については、その期間保管することとなる。
一方、それらの事務を処理する必要がなくなった場合で、文書管理に関する規程等によって定められている保存期間を経過した場合には、個人番号をできるだけ速やかに廃棄又は削除しなければならない。
＊

扶養控除等申告書は、所得税法施行規則第76条の３により、当該申告書の提出期限（毎年最初に給与等の支払を受ける日の前日まで）の属する年の翌年１月10日の翌日から７年を経過する日まで保存することとなっていることから、当該期間を経過した場合には、当該申告書に記載された個人番号を保管しておく必要はなく、
番号法上、原則として、個人番号が記載された扶養控除等申告書をできるだけ速やかに廃棄しなければならない。
そのため、個人番号が記載された扶養控除等申告書等の書類については、保存期間経過後における廃棄を前提とした保管体制をとることが望ましい。

＊

地方公共団体が保有する個人番号が記載された文書については、各地方公共団体が定める文書管理に関する規程等に基づき、保存期間満了日まで保存することとなっているが、当該期間を経過した場合には、番号法上、原則として、個人番号が記載された文書をできるだけ速やかに廃棄しなければならない。

※

廃棄方法等の具体的な内容については、「（別添１）特定個人情報に関する安全管理措置（行政機関等編）」を参照のこと。

40

第４－３－⑸ 本人確認
（関係条文）
・番号法 第16条●

本人確認（番号法第16条）
本人確認については、番号法、番号法施行令、番号法施行規則及び個人番号利用事務実施者（番号法第９条第３項の規定により情報提供用個人識別符号を利用する者を除く。）が認める方法に従うこととなるため、適切に対応する必要がある。

〈参考１：本人確認の概要〉
番号法、番号法施行令及び番号法施行規則における本人確認の概要は、次のとおりである。この項目において、「法」は番号法、「令」は番号法施行
令、「規」は番号法施行規則をいう（番号法施行規則第１条第１項第１号の場合は、「規１①一」と表記する。）。
①

本人から個人番号の提供を受ける場合
ⅰ 個人番号カードの提示を受ける場合「個人番号カード」（法16）ⅱ

ⅰ以外の場合（ⅰ）書類の提示を受ける場合等「番号確認書類」＋「本人の身元確認書類」（令12①一）（令12①二）

住民票の写し等

運転免許証等（規１）
困難な場合（規２③）

困難な場合
（規２①）

財務大臣等の特則（規２④）
電話による場合（規２⑤）
特定の個人と同一の者であることが明らかな場合（規２⑥）（ⅱ）電子情報処理組織を使用して個人番号の提供を受ける場合
個 人 番 号 カ ー ド の ICチ ッ プ の 読 み 取 り 、 電 子 署 名 等 の 送 信 、 個 人 番 号 利 用 事
務実施者による地方公共団体情報システム機構への確認等（規３）41②

本人の代理人から個人番号の提供を受ける場合

ⅰ

書類の提示を受ける場合等「代理権確認書類」＋「代理人の身元確認書類」＋「本人の番号確認書類」（令12②一）（令12②二）（令12②三）戸籍謄本、

個人番号カード、

本人に係る

委任状等

運転免許証等

個人番号カード等（規６①一、二）

（規７①）

（規８）

困難な場合

代理人が法人の場合

困難な場合（規６①三）

（規７②）

（規９⑤）

代理人が法人の困難な場合

場合（規６②）（規９①）
財務大臣等の特則（規９②）

電話による場合

電話による場合

（規９③）

（規９③）
特定の個人と同一の者であることが明らかな場
合（規９④）

ⅱ

電子情報処理組織を使用して個人番号の提供を受ける場合
代理権証明情報及び代理人の電子署名等の送信、個人番号利用事務実施者による地方公共団体情報システム機構への確認等（規10）※

書面の送付により個人番号の提供を受ける場合は、上記で提示を受けることとされている書類又はその写しの提出を受けなければならない（規11）。

〈参考２：通知カードの廃止に係る経過措置〉「情報通信技術の活用による行政手続等に係る関係者の利便性の向上並びに行政運営の簡素化及び効率化を図るための行政手続等における情報通信の技術の利用に関する法律等の一部を改正する法律」（令和元年法律第16号。
以下「デジタル手続法」という。）の一部施行により、これまで番号確認書類として利用可能であった通知カード（デジタル手続法第４条の規定による改正前の番号法第７条第１項に規定する通知カードをいう。）は廃止された。
ただし、経過措置が設けられており、個人番号利用事務等実施者が、通知カードの交付を受けている者から個人番号の提供を受けるときは、通知カー
ドの廃止日（令和２年５月25日）以後、当該通知カードに係る記載事項に変更がない場合に限り、従来と同様に、次に掲げる方法により、通知カードを本人確認に利用することができる。なお、当該廃止日前に当該通知カードに係る記載事項に変更があった場合に、市町村長から記載事項の変更の措置を受けていなければ、当該経過措置は適用されない。

42

①

本人から個人番号の提供を受ける場合「通知カード」＋「本人の身元確認書類」（旧法 （ 注 １ ） 16）（旧規 （ 注 ２ ） １①）
運転免許証等（旧規１①一、二）困難な場合（旧規１①三）
財務大臣等の特則（旧規１③一から四まで）
困難な場合（旧規１③五）
特定の個人と同一の者であることが明らかな場合（旧規３⑥）②

本人の代理人から個人番号の提供を受ける場合「代理権確認書類」＋「代理人の身元確認書類」＋「本人の番号確認書類」（旧令 （ 注 ３ ） 12②一）（旧令12②二）（旧令12②三）

戸籍謄本、

個人番号カード、

本人に係る

委任状等

運転免許証等通知カード（旧規６①一、二）（旧規７①）

（旧規８）

困難な場合

代理人が法人の場合（旧規６①三）（旧規７②）

代理人が法人の困難な場合場合（旧規６②）（旧規９①）
財務大臣等の特則（旧規９②）

電話による場合

電話による場合（旧規９③）（旧規９③）
特定の個人と同一の者であることが明らかな場
合（旧規９④）※

書面の送付により個人番号の提供を受ける場合は、上記で提示を受けることとされている書類又はその写しの提出を受けなければならない（旧規11）。

（注１）「デジタル手続法」第４条の規定による改正前の番号法をいう。
（注２）「行政手続における特定の個人を識別するための番号の利用等に関する法律
施行規則の一部を改正する命令」（令和２年内閣府・総務省令第６号）による改
正前の番号法施行規則をいう。
（注３）「行政手続における特定の個人を識別するための番号の利用等に関する法律
施行令の一部を改正する政令」（令和２年政令第164号）による改正前の番号法
施行令をいう。

43

第４－４ その他の取扱い
第４－４－⑴ 保有個人情報の提供を受ける者に対する措置要求（関係条文）
・番号法 第30条第１項、第31条第１項及び第２項
・個人情報保護法 第70条●

保有個人情報の提供を受ける者に対する措置要求（個人情報保護法第70条）
行政機関等が保有する情報提供等の記録に関する措置要求については、番号法において適用除外となっている。

44

第４－４－⑵ 個人情報ファイルの保有等に関する事前通知（関係条文）
・番号法 第28条、第30条、第31条
・個人情報保護法 第74条
・特定個人情報保護評価に関する規則 第２条
・特定個人情報保護評価指針● 特定個人情報ファイルを保有しようとするときの事前通知
Ａ 事前通知（個人情報保護法第74条第１項）
行政機関（会計検査院を除く。以下この項において同じ。）が特定個人情報ファイル（情報提供等の記録を含む。）を保有しようとするときは、
個人情報ファイルを保有しようとするときと同様、個人情報保護法第74条
第１項の規定が適用される。なお、特定個人情報について個人情報保護法が適用されるときは、同法の規定中「個人情報ファイル」とあるのは「個人情報ファイルである特定個人情報ファイル」を意味する。
また、行政機関が、番号法第28条第１項に規定する評価書（全項目評価書）を委員会へ提出し、特定個人情報ファイルの取扱いについて、同条第２項の規定により委員会の承認を受け、同条第４項の規定により公表した
ときは、同法第28条第５項の規定により個人情報保護法第74条第１項の規定による委員会に対する通知があったものとみなされる。
委員会は、「特定個人情報保護評価指針」（平成26年特定個人情報保護委員会告示第４号）第８において、行政機関が「特定個人情報保護評価に関する規則」（平成26年特定個人情報保護委員会規則第１号）第２条第２号に規定する重点項目評価書を委員会へ提出し、公表したときについても、委員会に対する事前通知があったものとして取り扱うこととしている。
一方、地方公共団体の機関、独立行政法人等及び地方独立行政法人は、
特定個人情報ファイルを保有する前に委員会に通知する必要はない。
Ｂ

事前通知が不要の場合（個人情報保護法第74条第２項）
個人情報保護法第74条第２項の規定は、特定個人情報ファイルについて
も個人情報ファイルと同様に適用されることから、同項各号に掲げる個人
情報ファイル（例：行政機関の職員の給与に関する事項を記録するもの）に相当する特定個人情報ファイルについては、行政機関の長は、委員会に事前に通知する必要がない。
ただし、事前に通知する必要がない場合であっても、番号法第28条の規定に基づき、特定個人情報ファイルを保有する前に特定個人情報保護評価を実施するものとされていることに留意する必要がある。

Ｃ

保有をやめたときの通知（個人情報保護法第74条第３項）
行政機関の長は、個人情報保護法第74条第１項に規定する事項を通知し45

た特定個人情報ファイルについて、当該行政機関がその保有をやめたとき、又はその個人情報ファイルが同条第２項第９号に該当するに至ったときは、遅滞なく、委員会に対しその旨を通知しなければならない。
〈参考〉行政機関における委員会への事前通知等の要否
事前通知等
の要否
必要な場合

具体的な場面①特定個人情報ファイルを保有しようとするとき （ 注 ）②通知した事項を変更しようとするとき （ 注 ）③特定個人情報ファイルの保有をやめたとき④特定個人情 報ファ イルにおける 本人の 数が千人に満 たな
くなったとき（注）全項目評価書を委員会に提出し、特定個人情報ファイルの取扱いについて委員会の承認を受け、公表したときは、委員会に対する事前通知があったものとみなされる。また、重点項目評
価書を委員会へ提出し、公表したときについても、委員会に対する事前通知があったものとして取り扱われる。

不要な場合

個人情報保護 法第74条第２項各号 に掲げ る個人情報フ ァイルに相当する特定個人情報ファイル（地方公共団体の機関、独立行政法人等及び地方独立行政法人は、委員会へ事前通知等をする必要はない。）

46

第４－４－⑶ 開示（関係条文）
・番号法 第30条第１項、第31条第１項及び第２項
・個人情報保護法 第76条から第89条まで●

開示（番号法第30条第１項により読み替えて適用される個人情報保護法第76条から第89条まで。情報提供等の記録については番号法第31条第１項及び第２項により読み替えて適用される個人情報保護法第76条から第89条まで。番号法施行令第33条）
行政機関等の保有する特定個人情報については、個人情報と同様、個人情報保護法の規定により、何人も行政機関の長等に対して自己を本人とする保有個人情報である特定個人情報の開示を請求することができる（個人情報保護法第76条第１項）。
ただし、特定個人情報については、次のＡからＣまでについて個人情報保護法と異なる規定となっているので留意する必要がある。
なお、個人情報保護法第58条第１項各号に掲げる法人は、個人情報保護法
第125条により適用される規定があるので留意する必要がある。
Ａ

事案の移送の禁止
情報提供等の記録については、事案の移送が禁止されている。

Ｂ

他の法令による開示の実施との調整
個人情報保護法第88条の適用を除外し、他の法令（条例を含む。第４－６において同じ。）の規定に基づき開示することとされている場合であっても、開示の実施の調整は行わないこととしている。

Ｃ

開示請求の手数料の免除
開示請求に係る手数料について、経済的困難その他特別の理由があると認めるときは免除することができる。

47

第４－４－⑷ 訂正（関係条文）
・番号法 第30条第１項、第31条第１項及び第２項
・個人情報保護法 第90条から第97条まで●

訂正（個人情報保護法第90条から第97条まで。情報提供等の記録について
は番号法第31条第１項及び第２項により読み替えて適用される個人情報保護法第90条から第97条まで）
行政機関等の保有する特定個人情報については、個人情報と同様、個人情報保護法の規定により、何人も行政機関の長等に対して自己を本人とする特定個人情報で開示を受けたものについての訂正を請求することができる（個
人情報保護法第90条第１項）。
ただし、特定個人情報については、次のＡ及びＢについて個人情報保護法と異なる規定となっているので留意する必要がある。
なお、個人情報保護法第58条第１項各号に掲げる法人は、個人情報保護法
第125条により適用される規定があるので留意する必要がある。
Ａ

事案の移送の禁止
特定個人情報の開示の場合と同様、情報提供等の記録については事案の移送が禁止されている。

Ｂ

訂正を実施した場合の通知先の変更
情報提供等の記録について訂正を実施した場合において必要があるときは、同一の記録を保有する者である内閣総理大臣及び情報照会者又は情報提供者（自己を除く。）に通知するものとしている。

48

第４－４－⑸ 利用停止
（関係条文）
・番号法 第30条第１項、第31条第１項及び第２項
・個人情報保護法 第98条から第103条まで●

利用停止（番号法第30条第１項により読み替えて適用される個人情報保護法 第98条から第103条 まで。情報提供等の記録については番号法第 31条第１項及び第２項により適用が除外される個人情報保護法第５章第４節第３款）
行政機関等の保有する特定個人情報については、個人情報と同様、個人情報保護法の規定により、何人も、自己を本人とする保有個人情報が適法に取得されたものでないとき等のときは、行政機関の長等に対し、その利用の停止、消去又は提供の停止（以下「利用停止」という。）を請求することができる（個人情報保護法第98条第１項）。
ただし、特定個人情報については、次のＡ及びＢについて個人情報保護法と異なる規定となっているので留意する必要がある。
なお、個人情報保護法第58条第１項各号に掲げる法人は、個人情報保護法
第125条により適用される規定があるので留意する必要がある。

Ａ

請求事由の追加等
番号法第19条、第20条又は第29条の規定に違反して特定個人情報が利用され、又は提供されているときは、利用停止の請求をすることができる。

Ｂ

情報提供等の記録の取扱い
情報提供等の記録については、情報提供ネットワークシステムにおいて自動保存されるものであり目的外利用及び提供の規定に違反した事態が想定されないこと等から、利用停止の請求をすることができない。

49

第４－５ 特定個人情報保護評価（関係条文）
・番号法 第21条、第27条、第28条
・特定個人情報保護評価に関する規則
・特定個人情報保護評価指針
１

特定個人情報保護評価（番号法第27条、第28条）
特定個人情報保護評価は、評価実施機関 （ 注 ） が、特定個人情報ファイルを取り扱う事務における当該特定個人情報ファイルの取扱いについて自ら評価するものである。評価実施機関は、特定個人情報ファイルを保有しようとする又は保有する場合は、当該特定個人情報ファイルの取扱いが個人のプライ
バシー等の権利利益に与え得る影響を予測した上で特定個人情報の漏えいその他の事態を発生させるリスクを分析し、このようなリスクを軽減するための適切な措置を講じていることを確認の上、基礎項目評価書、重点項目評価書又は全項目評価書（以下「特定個人情報保護評価書」という。）において自ら宣言するものである。
※

特定個人情報保護評価の詳細については、特定個人情報保護評価に関する規則及び特定個人情報保護評価指針を参照のこと。

（ 注 ） 評 価 実 施 機 関 と は 、 番 号 法 第 28条 及 び 特 定 個 人 情 報 保 護 評 価 に 関 す る 規 則 の 規定に基づき特定個人情報保護評価を実施する同法第２条第14項に規定する行政機関の長等をいう。

２

特定個人情報保護評価書に記載した措置の実施
評価実施機関は、個人のプライバシー等の権利利益に影響を与え得る特定
個人情報の漏えいその他の事態を発生させるリスクを軽減するための措置として特定個人情報保護評価書に記載した全ての措置を講ずるものとする。

３

特定個人情報保護評価に係る違反に対する措置
特定個人情報保護評価を実施していない場合、特定個人情報ファイルの適正な取扱いの確保のための措置が適切に講じられていないおそれがある。このような場合に、情報連携を行わせると不適切な形で特定個人情報ファイル
がネットワークを通じてやり取りされることとなり、適切に取り扱われている他の事務やシステムにまで悪影響を及ぼすおそれがあることから、特定個
人情報保護評価の実施が義務付けられているにもかかわらずこれを実施していない場合は、情報連携を行うことが禁止されている（番号法第21条第２項
第２号、第28条第６項）。

50

第４－６ 個人情報保護法の主な規定
行政機関等は、特定個人情報の適正な取扱いについて、次のとおり個人情報保護法の適用を受けるので留意する必要がある。具体的な取扱いについては、個人情報保護法ガイドライン（行政機関等編）によることを前提としている。
なお、個人情報保護法第58条第１項各号に掲げる法人は、個人情報保護法
第125条により適用される規定があるので留意する必要がある。
Ａ 個人情報の保有の制限等（個人情報保護法第61条）
ａ 利用目的の特定（第１項）
行政機関等は、個人情報を保有するに当たっては、法令の定める所掌事
務又は業務を遂行するため必要な場合に限り、かつ、その利用の目的をできる限り特定しなければならない。
ｂ

保有の制限（第２項）
行政機関等は、ａの規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を保有してはならない。

ｃ

利用目的の変更（第３項）
行政機関等は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。

Ｂ

利用目的の明示（個人情報保護法第62条）
行政機関等は、本人から直接書面（電磁的記録を含む。）に記録された当該本人の個人情報を取得するときは、次に掲げる場合を除き、あらかじめ、
本人に対し、その利用目的を明示しなければならない。
一 人の生命、身体又は財産の保護のために緊急に必要があるとき。
二 利用目的を本人に明示することにより、本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがあるとき。
三 利用目的を本人に明示することにより、国の機関、独立行政法人等、地方公共団体又は地方独立行政法人が行う事務又は事業の適正な遂行に支障を及ぼすおそれがあるとき。
四 取得の状況からみて利用目的が明らかであると認められるとき。

Ｃ

不適正な利用の禁止（個人情報保護法第63条）
行政機関の長等は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。

Ｄ

適正な取得（個人情報保護法第64条）
行政機関の長等は、偽りその他不正の手段により個人情報を取得してはな

51

らない。
Ｅ

保有個人情報の正確性の確保（個人情報保護法第65条）
行政機関の長等は、利用目的の達成に必要な範囲内で、保有個人情報が過去又は現在の事実と合致するよう努めなければならない。

Ｆ 漏えい等の報告等（個人情報保護法第68条）
ａ 委員会への報告（第１項）
行政機関の長等は、保有個人情報の漏えい、滅失、毀損その他の保有個
人情報の安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護法施行規則第43条で定めるものが生じたと
きは、個人情報保護法施行規則第44条で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。
ｂ

本人への通知（第２項）
ａに規定する場合には、行政機関の長等は、本人に対し、個人情報保護法施行規則第45条で定めるところにより、当該事態が生じた旨を通知しなければならない。ただし、次の各号のいずれかに該当するときは、この限りでない。
一 本人 への通 知が 困難な場合であって 、本人の権利利益を保護するた
め必要なこれに代わるべき措置をとるとき。
二 当該 保有個 人情 報に個人情報保護法 第78条第１項各号に掲げる情報のいずれかが含まれるとき。

Ｇ 個人情報ファイル簿の作成及び公表（個人情報保護法第75条）
ａ 個人情報ファイル簿の作成及び公表（第１項）
行政機関の長等は、個人情報保護法施行令第21条で定めるところにより、
当該行政機関の長等の属する行政機関等が保有している個人情報ファイル
について、それぞれ次に掲げる事項を記載した帳簿（以下「個人情報ファ
イル簿」という。）を作成し、公表しなければならない。
一 個人情報ファイルの名称
二 当該機関の名称及び個人情報ファイルが利用に供される事務をつかさどる組織の名称
三 個人情報ファイルの利用目的
四 個人情報ファイルに記録される項目（以下Ｇにおいて「記録項目」という。）及び本人（他の個人の氏名、生年月日その他の記述等によらないで検索し得る者に限る。ｂにおいて同じ。）として個人情報ファイルに記録される個人の範囲（以下Ｇにおいて「記録範囲」という。）
五 個人情報ファイルに記録される個人情報（以下Ｇにおいて「記録情報」という。）の収集方法

52

六
七

記録情報に要配慮個人情報が含まれるときは、その旨記録情報を当該機関以外の者に経常的に提供する場合には、その提供
先

八九

開示、訂正又は利用停止の請求を受理する組織の名称及び所在地
訂正又は利用の停止、消去若しくは提供の停止について他の法律又はこれに基づく命令により特別の手続が定められているときは、その旨
十 その他個人情報保護法施行令第21条で定める事項ｂ

個人情報ファイル簿への掲載の適用除外（第２項）
ａの規定は、次に掲げる個人情報ファイルについては、適用しない。
① 個人情報保護法第74条第２項第１号から第10号に掲げる個人情報ファ
イル（第１号）
一 国の 安全、 外交 上の秘密その他の国 の重大な利益に関する事項を記録する個人情報ファイル
二 犯罪 の捜査 、租 税に関する法律の規 定に基づく犯則事件の調査又は公訴の 提起若 しく は 維持のために作成し、又は取得する個人情報ファ
イル
三 当該 機関の 職員 又は職員であった者に係る個人情報ファイルであって、専 らその 人事 、 給与若しくは福利厚生に関する事項又はこれらに準ずる 事項を 記録 す るもの（当該機関が行う職員の採用試験に関する
個人情報ファイルを含む。）
四 専ら試験的な電子計算機処理の用に供するための個人情報ファイル
五 個人 情報保 護法 第74条第１項の規定による通知に係る個人情報ファ
イルに 記録さ れて い る記録情報の全部又は一部を記録した個人情報フ
ァイル であっ て、 そ の利用目的、記録項目及び記録範囲が当該通知に係るこれらの事項の範囲内のもの
六 １年 以内に 消去 することとなる 記録情報のみを記録する個人情報フ
ァイル
七 資料 その他 の物 品若しくは金銭の送 付又は業務上必要な連絡のために利用 する記 録情 報 を記録した個人情報ファイルであって、送付又は連絡の 相手方 の氏 名 、住所その他の送付又は連絡に必要な事項のみを記録するもの八 職員 が学術 研究 の用に供 するためその発意に基づき作成し、又は取得する 個人情 報フ ァ イルであって、記録 情報を専ら当該学術研究の目的のために利用するもの
九 本人 の数が個人 情報保護法施行令第 20条で定める数に満たない個人
情報ファイル
十 三か ら九ま でに 掲げる個人情報ファ イルに準ずるものとして個人情報保護法施行令第20条で定める個人情報ファイル② ａの規定による公表に係る個人情報ファイルに記録されている記録情53

報の全部又は一部を記録した個人情報ファイルであって、その利用目的、
記録項目及び記録範囲が当該公表に係るこれらの事項の範囲内のもの（第２号）③ ②に掲げる個人情報ファイルに準ずるものとして個人情報保護法施行令第21条で定める個人情報ファイル（第３号）
ｃ

個人情報ファイル簿の一部不記載（第３項）
ａの規定にかかわらず、行政機関の長等は、記録項目の一部若しくは個
人情報保護法第74条第１項第５号（個人情報ファイルに記録される個人情報の収集方法）若しくは第７号（記録情報を当該機関以外の者に経常的に提供する場合の提供先）を個人情報ファイル簿に記載し、又は個人情報フ
ァイルを個人情報ファイル簿に掲載することにより、利用目的に係る事務又は事業の性質上、当該事務又は事業の適正な遂行に著しい支障を及ぼす
おそれがあると認めるときは、その記録項目の一部若しくは事項を記載せず、又はその個人情報ファイルを個人情報ファイル簿に掲載しないことができる。

ｄ

地方公共団体の機関又は地方独立行政法人への適用（第４項）
地方公共団体の機関又は地方独立行政法人についてのａの規定の適用については、ａ中「次に掲げる事項」とあるのは、「次に掲げる事項並びに記録情報に条例要配慮個人情報が含まれているときは、その旨」とする。

ｅ

個人情報ファイル簿とは別の個人情報の保有の状況に関する事項を記載した帳簿の作成・公表（第５項）
ａ～ｄの規定は、地方公共団体の機関又は地方独立行政法人が、条例で定めるところにより、個人情報ファイル簿とは別の個人情報の保有の状況に関する事項を記載した帳簿を作成し、公表することを妨げるものではない。

Ｈ 審査請求（個人情報保護法第104条から第107条まで）
Ｈ－１ 審理員による審理手続に関する規定の適用除外（第104条第１項）
行政機関の長等（地方公共団体の機関又は地方独立行政法人を除く。Ｈ－２、Ｈ－３及びＨ－４において同じ。）に対する開示決定等、訂正決定等、
利用停止決定等又は開示請求、訂正請求若しくは利用停止請求に係る不作為に係る審査請求については、「行政不服審査法」（平成26年法律第68号）第９条（審理員）、第17条（審理員となるべき者の名簿）、第24条（審理手続を経ないでする却下裁決）、第２章第３節（審理手続）及び第４節（行政不服審査会等への諮問）並びに第50条第２項（裁決の方式）の規定を適用しない。

54

Ｈ－２ 審査会への諮問（第105条第１項）
開示決定等、訂正決定等、利用停止決定等又は開示請求、訂正請求若しくは利用停止請求に係る不作為について審査請求があったときは、当該審査請
求に対する裁決をすべき行政機関の長等は、次の各号のいずれかに該当する
場合を除き、情報公開・個人情報保護審査会（審査請求に対する裁決をすべき行政機関の長等が会計検査院長である場合にあっては、別に法律で定める審査会）に諮問しなければならない。
一 審査請求が不適法であり、却下する場合
二 裁決で、審査請求の全部を認容し、当該審査請求に係る保有個人情報の全部を開示することとする場合（当該保有個人情報の開示について反対の意思を表示した意見書（Ｈ－３及びＨ－６において「反対意見書」という。）が提出されている場合を除く。）
三 裁決で、審査請求の全部を認容し、当該審査請求に係る保有個人情報の訂正をすることとする場合
四 裁決で、審査請求の全部を認容し、当該審査請求に係る保有個人情報の利用停止をすることとする場合
Ｈ－３ 諮問をした旨の通知（第105条第２項）
Ｈ－２の規定により諮問をした行政機関の長等は、次に掲げる者に対し、諮問をした旨を通知しなければならない。
一 審査請求人及び参加人（行政不服審査法第13条第４項に規定する参加人をいう。以下この項及びＨ－６において同じ。）
二 開示請求者、訂正請求者又は利用停止請求者（これらの者が審査請求人
又は参加人である場合を除く。）
三 当該審査請求に係る保有個人情報の開示について反対意見書を提出した
第三者（当該第三者が審査請求人又は参加人である場合を除く。）
Ｈ－ ４ 行政不服審査法第81条第１項又は第２項の機関への諮問 （第105条第３項）
Ｈ－２及びＨ－３の規定は、地方公共団体の機関又は地方独立行政法人について準用する。この場合において、Ｈ－２中「情報公開・個人情報保護審
査会（審査請求に対する裁決をすべき行政機関の長等が会計検査院長である
場合にあっては、別に法律で定める審査会）」とあるのは、「行政不服審査法第81条第１項又は第２項の機関」と読み替えるものとする。
Ｈ－５

地方公共団体の機関等における審理員による審理手続に関する規定の適用除外等（第106条第１項）
地方公共団体の機関又は地方独立行政法人に対する開示決定等、訂正決定
等、利用停止決定等又は開示請求、訂正請求若しくは利用停止請求に係る不55

作為に係る審査請求については、行政不服審査法第９条第１項から第３項（審理員）まで、第17条（審理員となるべき者の名簿）、第40条（審理員によ る 執 行 停 止 の 意 見 書 の 提 出 ） 、 第 42条 （ 審 理 員 意 見 書 ） 、 第 ２ 章 第 ４ 節（行政不服審査会等への諮問）及び第50条第２項（裁決の方式）の規定は、適用しない。
Ｈ－ ６

第三者からの審査請求を棄却する場合等における手続（第107条第１項）
次の各号のいずれかに該当する裁決をする場合、行政機関の長等は、意見書の提出の機会を与えられた第三者が当該第三者に関する情報の開示について反対意見書を提出した場合において、開示決定をするときは、開示決定の日と開示を実施する日との間に少なくとも２週間を置かなければならない。
この場合において、行政機関の長等は、開示決定後直ちに、反対意見書を提出した第三者に対し、開示決定をした旨及びその理由並びに開示を実施する日を書面により通知しなければならない。
一 開示決定に対する第三者からの審査請求を却下し、又は棄却する裁決
二 審査請求に係る開示決定等（開示請求に係る保有個人情報の全部を開示する旨の決定を除く。）を変更し、当該審査請求に係る保有個人情報を開示する旨の裁決（第三者である参加人が当該第三者に関する情報の開示に反対の意思を表示している場合に限る。）

Ｉ

条例との関係（個人情報保護法第108条）
個人情報保護法第５章第４節の規定は、地方公共団体が、保有個人情報の開示、訂正及び利用停止の手続並びに審査請求の手続に関する事項について、この節の規定に反しない限り、条例で必要な規定を定めることを妨げるもの
ではない。

Ｊ

苦情の処理（個人情報保護法第128条）
行政機関の長等は、行政機関等における個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。

Ｋ

地方公共団体に置く審議会等への諮問（個人情報保護法第129条）
地方公共団体の機関は、条例で定めるところにより、個人情報保護法第３章第３節の施策を講ずる場合その他の場合において、個人情報の適正な取扱いを確保するため専門的な知見に基づく意見を聴くことが特に必要であると認めるときは、審議会その他の合議制の機関に諮問することができる。

56

（別添１）特定個人情報に関する安全管理措置（行政機関等編）【目次】
１ 安全管理措置の検討手順 ......................................... 58
Ａ 個人番号を取り扱う事務の範囲の明確化 ......................... 58
Ｂ 特定個人情報等の範囲の明確化 ................................. 58
Ｃ 事務取扱担当者の明確化 ....................................... 58
Ｄ 基本方針の策定 ............................................... 58
Ｅ 取扱規程等の見直し等 ......................................... 58
２ 講ずべき安全管理措置の内容 ..................................... 59
Ａ 基本方針の策定 ............................................... 59
Ｂ 取扱規程等の見直し等 ......................................... 59
Ｃ 組織的安全管理措置 ........................................... 60
ａ 組織体制の整備 ............................................. 60
ｂ 取扱規程等に基づく運用 ..................................... 60
ｃ 取扱状況を確認する手段の整備................................ 61
ｄ 漏えい等事案に対応する体制等の整備 .......................... 61
ｅ 取扱状況の把握及び安全管理措置の見直し ...................... 62
Ｄ 人的安全管理措置 ............................................. 62ａ 事務取扱担当者の監督 ....................................... 62
ｂ 事務取扱担当者等の教育 ..................................... 62
ｃ 法令・内部規程違反等に対する厳正な対処 ...................... 63
Ｅ 物理的安全管理措置 ........................................... 63ａ 特定個人情報等を取り扱う区域の管理 .......................... 63
ｂ 機器及び電子媒体等の盗難等の防止 ............................ 64ｃ 電子媒体等の取扱いにおける漏えい等の防止 .................... 64
ｄ 個人番号の削除、機器及び電子媒体等の廃棄 .................... 65
Ｆ 技術的安全管理措置 ........................................... 65ａ アクセス制御 ............................................... 65ｂ アクセス者の識別と認証 ..................................... 66
ｃ 不正アクセス等による被害の防止等 ............................ 66
ｄ 漏えい等の防止 ............................................. 67
Ｇ 外的環境の把握 ............................................... 6757

１

安全管理措置の検討手順
行政機関等は、個人番号及び特定個人情報（以下「特定個人情報等」という。）の取扱いを検討するに当たって、個人番号を取り扱う事務の範囲及び特定個人情報等の範囲を明確にした上で、特定個人情報等を取り扱う職員（以下「事務取扱担当者」という。）を明確にしておく必要がある。
これらを踏まえ、特定個人情報等の適正な取扱いの確保について組織として取り組むために、特定個人情報等の安全管理に関する基本方針（以下「基本方針」という。）を策定することが重要である。
行政機関等は、個人情報の保護に関する取扱規程等の見直し等を行い、特定個人情報等を取り扱う体制の整備及び情報システムの改修等を行う必要がある。
行政機関等は、特定個人情報等の取扱いに関する安全管理措置について、
次のような手順で検討を行う必要がある。検討に際し、特定個人情報保護評
価を実施した事務については、Ａ～Ｃを省略し、Ｄ～Ｅを実施することも考えられる。
Ａ

個人番号を取り扱う事務の範囲の明確化
行政機関等は、個人番号利用事務等の範囲を明確にしておかなければならない。→ガイドライン第４－１－⑴ １ Ａ参照

Ｂ

特定個人情報等の範囲の明確化
行政機関等は、Ａで明確化した事務において取り扱う特定個人情報等の範囲を明確にしておかなければならない （ 注 ） 。
（注）特定個人情報等の範囲を明確にするとは、事務において使用される個人番号及び個人番号と関連付けて管理される個人情報（氏名、生年月日等）の範囲を明確にすることをいう。

Ｃ

事務取扱担当者の明確化
行政機関等は、Ａで明確化した事務に従事する事務取扱担当者を明確にしておかなければならない。

Ｄ

基本方針の策定
特定個人情報等の適正な取扱いの確保について組織として取り組むために、基本方針を策定することが重要である。→ ２ Ａ参照

Ｅ

取扱規程等の見直し等
行政機関等は、個人情報の保護に関する取扱規程等の見直し等を行わなければならない。→ ２ Ｂ参照

58

２

講ずべき安全管理措置の内容
本セクション ２ においては、特定個人情報等の保護のために必要な安全管
理措置について本文で示し、その具体的な手法の例示を記述している。なお、手法の例示は、これに限定する趣旨で記載したものではなく、また、個別ケ
ースによって別途考慮すべき要素があり得るので注意を要する。
行政機関等は、安全管理措置を講ずるに当たり、番号法、個人情報保護法
等関係法令、本ガイドライン、個人情報保護法ガイドライン（行政機関等
編）、事務対応ガイド及び政府機関の情報セキュリティ対策のための統一基
準等に準拠した各府省庁等における情報セキュリティポリシー等を遵守する
ことを前提とする。
なお、地方公共団体においては、これらに加え、地方公共団体における情報セキュリティポリシーに関するガイドライン等を参考に地方公共団体において策定した情報セキュリティポリシー等を遵守することを前提とする。
行政機関等は、特定個人情報保護評価を実施した事務については、その内容を遵守するものとする。また、個人番号利用事務の実施に当たり、接続する情報提供ネットワークシステム等の接続規程等が示す安全管理措置等を遵守することを前提とする。

Ａ

基本方針の策定
特定個人情報等の適正な取扱いの確保について組織として取り組むために、基本方針を策定することが重要である。

Ｂ

取扱規程等の見直し等
１ Ａ～Ｃで明確化した事務において事務の流れを整理し、特定個人情報等の具体的な取扱いを定めるために、取扱規程等の見直し等を行わなければならない。
特に、特定個人情報等の複製及び送信、特定個人情報等が保存されている電子媒体等の外部への送付及び持ち出し等については、責任者の指示に従い行うことを定めること等が重要である。
≪手法の例示≫＊取扱規程等は、次に掲げる管理段階ごとに、取扱方法、責任者・事務取扱担
当者及びその任務等について定めることが考えられる。具体的に定める事項については、C～F に記述する安全管理措置を織り込むことが重要である。
①

取得段階

②

利用段階

③

保存段階

59

＊

④

提供段階

⑤

削除・廃棄段階

個人番号利用事務の場合、例えば、次のような事務フローに即して、手続を明確にしておくことが重要である。
①

住民等からの申請書を受領する方法（本人確認、個人番号の確認等）②

住民等からの申請書をシステムに入力・保存する方法③

個人番号を含む証明書等の作成・印刷方法④

個人番号を含む証明書等を住民等に交付する方法⑤

申請書及び本人確認書類等の保存方法⑥

保存期間を経過した書類等の廃棄方法

Ｃ

組織的安全管理措置
行政機関等は、特定個人情報等の適正な取扱いのために、次に掲げる組織的安全管理措置を講じなければならない。
ａ

組織体制の整備
安全管理措置を講ずるための組織体制を整備する。
行政機関等は、組織体制の整備として、次に掲げる事項を含める。
・ 総括責任者（行政機関等に各１名）の設置及び責任の明確化
・ 保護責任者（個人番号利用事務等を実施する課室等に各１名）の設置及び責任の明確化
・ 監査責任者の設置及び責任の明確化
・ 事務取扱担当者及びその役割の明確化
・ 事務取扱担当者が取り扱う特定個人情報等の範囲の明確化
・ 事務取扱担当者が取扱規程等に違反している事実又は兆候を把握した場合の責任者への報告連絡体制の整備
・ 個人番号の漏えい、滅失又は毀損等（以下「漏えい等」という。）
事案の発生又は兆候を把握した場合の職員から責任者等への報告連
絡体制の整備・ 特定個人情報等を複数の部署で取り扱う場合の各部署の任務分担及び責任の明確化

ｂ

取扱規程等に基づく運用
取扱規 程等に 基づ く 運用を行うとともに、その 状況を確認するため、
特定個人 情報等 の利 用状況等を記録し、その記録を一定の期間保存し、定期に及 び必要 に応 じ随時に 分析等するための体制を整備する。記録については 、改ざ ん、 窃取又は 不正な削除の防止のために必要な措置を講ずるとともに、分析等を行う。

60

≪手法の例示≫＊

記録する項目としては、次に掲げるものが挙げられる。
・

特定個人情報ファイルの利用・出力状況の記録

・

書類・媒体等の持ち運びの記録 →「持ち運び」については、 ２ Ｅｃ参照

・

特定個人情報ファイルの削除・廃棄記録

・

削除・廃棄を委託した場合、これを証明する記録等

・

特定個人情報ファイルを情報システムで取り扱う場合、事務取扱担当者の情報システムの利用状況（ログイン実績、アクセ
スログ等）の記録＊

情 報 シ ステ ム の 利 用 状況 等 の 記録 に 関 す る 分析 等 と して は 、 ロ グ イン 実 績、
ア ク セ スロ グ 等 を 定 期 に 及 び 必要 に 応 じ 随 時 に 分 析 する こ と が 考 え ら れ る。
また、ログと関連する書面の記録を照合し、確認することが考えられる。
→ ２ Ｆｃ参照

ｃ

取扱状況を確認する手段の整備
特定個人情報ファイルの取扱状況を確認するための手段を整備する。
行政機関等は、次に掲げる項目を含めて記録する。
なお、 取扱状 況を 確 認するための記録等には、特定個人情報等は記載しない。
・ 特定個人情報ファイルの名称
・ 行政機関等の名称及び特定個人情報ファイルが利用に供される事
務をつかさどる組織の名称
・ 特定個人情報ファイルの利用目的
・ 特定個人情報ファイルに記録される項目及び本人として特定個人
情報ファイルに記録される個人の範囲
・ 特定個人情報ファイルに記録される特定個人情報等の収集方法

ｄ

漏えい等事案に対応する体制等の整備
漏えい 等事案 の発 生 又は兆候を把握した場合に、適切かつ迅速に対応するための体制及び手順等を整備する。
漏えい 等事案 が発 生 した場合、二次被害の防止、類似事案の発生防止等の観点 から、 事案 に応じて、事実関係及び再発防止策等を早急に公表することが重要である。
（※）行政機関等において、漏えい等事案が発生した場合等の対応の詳細については、「（別添２）特定個人情報の漏えい等に関する報告等（行政機関等編）」を参照のこと。
≪手法の例示≫＊

漏えい等事案の発生時に、次のような対応を行うことを念頭に、体制及び手61

順等を整備することが考えられる。

＊

・漏えい等事案が発覚した際の報告・連絡等

・

事実関係の調査及び原因の究明

・影響を受ける可能性のある本人への通知

・委員会への報告・再発防止策の検討及び決定・事実関係及び再発防止策等の公表
不正アクセス、ウイルス感染の事案に加え、標的型攻撃等の被害を受けた場合の対応について、関係者において定期的に確認又は訓練等を実施することが考えられる。

ｅ

取扱状況の把握及び安全管理措置の見直し
監査責 任者は、特定個人情報等の管理の状況について、定期に及び必要に応じ 随時に 監査 （外部監 査及び他部署等による点検を含む。）を行
い、その結果を総括責任者に報告する。
総括責 任者は 、監 査 の結果等を踏まえ、必要があると認めるときは、取扱規程等の見直し等の措置を講ずる。

Ｄ

人的安全管理措置
行政機関等は、特定個人情報等の適正な取扱いのために、次に掲げる人
的安全管理措置を講じなければならない。
ａ

事務取扱担当者の監督
総括責 任者及 び保 護 責任者は、特定個人情報等 が取扱規程等に基づき適正に取 り扱わ れる よう、事 務取扱担当者に対して必要かつ適切な監督を行う。

ｂ

事務取扱担当者等の教育総括責 任者及 び保 護 責任者は、事務取扱担当者に、特定個人情報等の適正な取 扱いに つい て理解を 深め、特定個人情報等の保護に関する意識の高揚を図るための啓発その他必要な教育研修を行う。
また、 特定個 人情 報 等を取り扱う情報システムの管理に関する事務に従事する 職員に 対し 、特定個 人情報等の適切な管理のために、情報シス
テムの管理 、運用及 びセキュリティ対策に関して必要な教育研修を行う 。
総括責 任者は 、保 護 責任者に対し、課室等における特定個人情報等の適切な管理のために必要な教育研修を行う。
前記教 育研修 につ い ては、教育研修への参加の機会を付与するとともに、研修 未受講 者に 対して再 受講の機会を付与する等の必要な措置を講ずる。

62なお、 サイバ ーセ キ ュリティの研修については、番号法に基づき特定
個人情報 ファイ ルを 取り扱う 事務に従事する者に対して、次に掲げるところによ り、特 定個 人情報の適正な取扱いを確保するために必要なサイ
バーセキュリティ（「サイバーセキュリティ基本法」（平成 26 年法律第104 号）第２条に規定するサイバーセキュリティをいう。）の確保に関する事項その他の事項に関する研修を行う（番号法第 29 条の２、番号法施行令第 32 条）。
・ 研修の計画をあらかじめ策定し、これに沿ったものとすること。
・ 研修 の内容 は、 特定個人情報の適正 な取扱いを確保するために必要なサイ バーセ キュ リ ティの確保に関する事項として、情報システムに対する 不正な 活動 そ の他のサイバーセキュリティに対する脅威及び当該脅威 による 被害 の 発生又は拡大を防止するため必要な措置に関するものを含むものとすること。
・ 特定個 人情報フ ァイルを取り扱う事 務に従事する者の全てに対して、
おおむね一年ごとに研修を受けさせるものとすること。
ｃ

法令・内部規程違反等に対する厳正な対処
法令又 は内部 規程 等 に違反した職員に対し、法令又は 内部規程等に基
づき厳正に対処する。

Ｅ

物理的安全管理措置
行政機関等は、特定個人情報等の適正な取扱いのために、次に掲げる物
理的安全管理措置を講じなければならない。
ａ

特定個人情報等を取り扱う区域の管理
特定個 人情報 ファ イ ルを取り扱う情報システム（サーバ等）を管理する区域（ 以下「 管理 区域」と いう。）を明確にし、物理的な安全管理措置を講ず る。管 理区 域におい て、入退室管理及び管理区域へ持ち込む機器等の制限等の措置を講ずる。
また、 特定個 人情 報 等を取り扱う事務を実施する区域（以下「取扱区域」とい う。） につ いて、事 務取扱担当者等以外の者が特定個人情報等を容易に閲覧等できないよう留意する必要がある。
行政機 関等は 、管 理 区域のうち、基幹的なサーバ等の機器を設置する室等（以 下「情 報シ ステム室 等」という。）を区分して管理する場合には、情報システム室等について、次の①及び②に掲げる措置を講ずる。
① 入退室管理・ 情報シス テム室 等 に入室する 権限を 有する者を定 めると ともに 、用件の 確認 、入 退室 の記録 、部 外者 につ いての 識別 化、 部外 者が63

入室す る場 合の 職員 の立会 い等 の措 置を 講ずる 。ま た、 情報 シス
テム室 等に 特定 個人 情報等 を記 録す る媒 体を保 管す るた めの 施設を設け てい る場 合に おいて も、 必要 があ ると認 める とき は、 同様の措置を講ずる。
・ 必要 がある と認 め るとき は、情 報シ ステム室 等の出 入口 の特定化によ る入 退室 の管 理の容 易化 、所 在表 示の制 限等 の措 置を 講ずる。
・ 必要 がある と認 め るとき は、入 室に 係る認証 機能を 設定 し、及びパス ワー ド等 の管 理に関 する 定め の整 備（そ の定 期又 は随 時の見直し を含 む。 ）、 パスワ ード 等の 読取 防止等 を行 うた めに 必要な措置を講ずる。
② 情報システム室等の管理
・ 外部 からの 不正 な 侵入に 備え、 施錠 装置、警 報装置 、監 視設備の設置等の措置を講ずる。
ｂ

機器及び電子媒体等の盗難等の防止
管理区 域及び 取扱 区 域における特定個人情報等を取り扱う機器、電子媒体及び 書類等 の盗 難又は紛 失等を防止するために、物理的な安全管理措置を講 ずる。 また 、電子媒 体及び書類等の庁舎内の移動等において、紛失・盗難等に留意する。
≪手法の例示≫＊

特定個人情報等を取り扱う機器、電子媒体又は書類等を、施錠できるキャビ
ネット、書庫又は必要に応じて耐火金庫等へ保管することが考えられる。

＊

特定個人情報ファイルを取り扱う情報システムが機器のみで運用されている
場合は、セキュリティワイヤー等により固定すること等が考えられる。

ｃ

電子媒体等の取扱いにおける漏えい等の防止
許可さ れた電 子媒 体 又は機器等以外のものについて使用の制限等の必要な措置 を講ず る。 また、記 録機能を有する機器の情報システム端末等への接続の制限等の必要な措置を講ずる。
取扱規 程等の 手続 に 基づき、特定個人情報等が記録された電子媒体又は書類等 を持ち 運ぶ必要が生じた場合には、容易 に個人番号が判明しな
いよう安全な方策を講ずる。
「持ち 運ぶ」 とは 、 特定個人情報等を管理区域又は取扱区域から外へ移動させる こと又は 当該区域の外から当該区域へ移動させることをいい 、庁舎内で の移動 等で あっても 、特定個人情報等の紛失・盗難等に留意する必要がある。

64≪手法の例示≫＊

特定個人情報等が記録された電子媒体を安全に持ち運ぶ方法としては、持ち出しデータの暗号化、パスワードによる保護、施錠できる搬送容器の使用、追跡可能な移送手段の利用等が考えられる。ただし、行政機関等に法定調書等をデータで提出するに当たっては、行政機関等が指定する提出方法に従う。

＊

特定個人情報等が記載された書類等を安全に持ち運ぶ方法としては、封緘、
目隠しシールの貼付を行うこと等が考えられる。

ｄ

個人番号の削除、機器及び電子媒体等の廃棄特定個 人情報 等が 記 録された電子媒体及び書類等について、文書管理に関する 規程等 によ って定め られている保存期間を経過した場合には、個人番号をできるだけ速やかに復元不可能な手段で削除又は廃棄する。
→ガイドライン第４－３－⑷Ｂ参照
個人番 号若し くは 特 定個人情報ファイルを削除した場合、又は電子媒体等を廃 棄した 場合 には、削 除又は廃棄した記録を保存する。また、これらの作 業を委 託す る場合に は、委託先が確実に削除又は廃棄したことについて、証明書等により確認する。
≪手法の例示≫＊

特定個人情報等が記載された書類等を廃棄する場合、焼却又は溶解、復元不可能な程度に細断可能なシュレッダーの利用、個人番号部分を復元不可能な程度にマスキングすること等の復元不可能な手段を採用することが考えられる。

＊

特定個人情報等が記録された機器及び電子媒体等を廃棄する場合、専用のデータ削除ソフトウェアの利用又は物理的な破壊等により、復元不可能な手段を採用することが考えられる。

＊

特定個人情報等を取り扱う情報システム又は機器等において、特定個人情報
ファイル中の個人番号又は一部の特定個人情報等を削除する場合、容易に復元できない手段を採用することが考えられる。

＊

個人番号が記載された書類等については、保存期間経過後における廃棄を前提とした手続を定めることが考えられる。

Ｆ

技術的安全管理措置
行政機関等は、特定個人情報等の適正な取扱いのために、次に掲げる技
術的安全管理措置を講じなければならない。
ａ

アクセス制御情報シ ステム を使 用 して個人番号利用事務等を行う場合、事務取扱担
当者及び 当該事 務で 取り扱う 特定個人情報ファイルの範囲を限定するた65

めに、適切なアクセス制御を行う。
≪手法の例示≫＊アクセス制御を行う方法としては、次に掲げるものが挙げられる。
・

特定個人情報ファイルを取り扱うことのできる情報システム端末等を限定する。

・

各情報システムにおいて、アクセスすることのできる特定個人情報ファ
イルを限定する。

・

ユーザーＩＤに付与するアクセス権により、特定個人情報ファイルを取り扱う情報システムを使用できる者を事務取扱担当者に限定する。

・

特定個人情報ファイルへのアクセス権を付与すべき者を最小化する。

・

アクセス権を有する者に付与する権限を最小化する。

・

情報システムの管理者権限を有するユーザーであっても、情報システムの管理上特定個人情報ファイルの内容を知らなくてもよいのであれば、特定個人情報ファイルへ直接アクセスできないようにアクセス制御をする。

・

特定個人情報ファイルを取り扱う情報システムに導入したアクセス制御機能の脆弱性等を検証する。

ｂ

アクセス者の識別と認証
特定個 人情報 等を 取 り扱う情報システムは、事務取扱担当者が正当なアクセス権を有する者であることを、識別した結果に基づき認証する。
≪手法の例示≫＊事務取扱担当者の識別方法としては、ユーザーＩＤ、パスワード、磁気・Ｉ
Ｃカード、生体情報等が考えられる。

ｃ

不正アクセス等による被害の防止等情報シ ステム を外 部 等からの不正アクセス又は不正ソフトウェアから保護する 仕組み 等を 導入し、 適切に運用する。また、個人番号利用事務の実施に 当たり 接続 する情報 提供ネットワークシステム等の接続規程等が示す安 全管理 措置 を遵守す る。個人番号利用事務において使用する情報システ ムにつ いて 、インタ ーネットから独立する等の高いセキュリテ
ィ対策を踏まえたシステム構築や運用体制整備を行う。
≪手法の例示≫＊

特定個人情報等を取り扱う情報システムと外部ネットワーク（又はその他の情報システム）との接続箇所に、ファイアウォール等を設置し、不正アクセスを遮断することが考えられる。

＊

情報システム及び機器にセキュリティ対策ソフトウェア等（ウイルス対策ソ
フトウェア等）を導入し、不正ソフトウェアの有無を確認することが考えら
れる。

66

＊

機器やソフトウェア等に標準装備されている自動更新機能等の活用により、ソフトウェア等を最新状態とすることが考えられる。

＊

定期に及び必要に応じ随時にログ等の分析を行い、不正アクセス等を検知することが考えられる。→ ２ Ｃｂ参照＊

不正アクセス等の被害に遭った場合であっても、被害を最小化する仕組み（ネットワークの遮断等）を導入し、適切に運用することが考えられる。

＊

情報システムの不正な構成変更（許可されていない電子媒体、機器の接続等、
ソフトウェアのインストール等）を防止するために必要な措置を講ずることが考えられる。

ｄ

漏えい等の防止特定個 人情報 等を イ ンターネット等により外部に送信する場合、通信経路における漏えい等を防止するための措置を講ずる。
特定個 人情報 ファ イ ルを機器又は電子媒体等に 保存する必要がある場
合、原則として、暗号化又はパスワードにより秘匿する。
≪手法の例示≫＊通信経路における漏えい等の防止策としては、通信経路の暗号化等が考えられる。

＊

暗号化又はパスワードによる秘匿に当たっては、不正に入手した者が容易に復元できないように、暗号鍵及びパスワードの運用管理、パスワードに用いる文字の種類や桁数等の要素を考慮する。

Ｇ

外的環境の把握行政機関等が、外国において特定個人情報等を取り扱う場合、当該外国の個人情報の保護に関する制度等を把握した上で、特定個人情報等の安全管理のために必要かつ適切な措置を講じなければならない。

67

（別添２）特定個人情報の漏えい等に関する報告等（行政機関等編）【目次】
１ 特定個人情報の漏えい等の考え方 ........................................................ 69
Ａ 「漏えい」の考え方 ......................................................................... 69
Ｂ 「滅失」の考え方 ............................................................................. 69
Ｃ 「毀損」の考え方 ............................................................................. 69
２ 漏えい等事案が発覚した場合に講ずべき措置 ....................................... 71
Ａ 組織内における報告及び被害の拡大防止 ........................................... 71
Ｂ 事実関係の調査及び原因の究明 ........................................................ 71
Ｃ 影響範囲の特定 ................................................................................ 71
Ｄ 再発防止策の検討及び実施 ............................................................... 71
Ｅ 委員会への報告及び本人への通知 ..................................................... 71
３ 委員会への報告（番号法第 29 条の４第１項関係） ............................... 72
Ａ 報告対象となる事態 ......................................................................... 72
Ｂ 報告義務の主体 ................................................................................ 75
Ｃ 速報（規則第３条第１項関係） ........................................................ 76
Ｄ 確報（規則第３条第２項関係） ........................................................ 78
Ｅ 委託元への通知の例外（規則第４条関係） ........................................ 78
４ 本人への通知（番号法第 29 条の４第２項） ......................................... 80
Ａ 通知対象となる事態及び通知義務の主体 ........................................... 80
Ｂ 通知の時間的制限等 ......................................................................... 80
Ｃ 通知の内容 ....................................................................................... 81
Ｄ 通知の方法 ....................................................................................... 82
Ｅ 通知の例外 ....................................................................................... 8268

１

特定個人情報の漏えい等の考え方
Ａ 「漏えい」の考え方
特定個人情報の「漏えい」とは、特定個人情報が外部に流出することをいう。
【特定個人情報の漏えいに該当する事例】＊

特定個人情報が記載された書類を第三者に誤送付した場合＊

特定個人情報を含むメールを第三者に誤送信した場合＊システムの設定ミス等によりインターネット上で特定個人情報の閲覧が可能な状態となっていた場合＊

特定個人情報が記載又は記録された書類・媒体等が盗難された場合＊

不正アクセス等により第三者に特定個人情報を含む情報が窃取された場合＊

特定個人情報の開示請求を受け、本来は非開示とすべき第三者の特定個人情報を誤って開示した場合

なお、特定個人情報を第三者に閲覧されないうちに全てを回収した場合
は、漏えいに該当しない。
Ｂ「滅失」の考え方
特定個人情報の「滅失」とは、特定個人情報の内容が失われることをいう。

【特定個人情報の滅失に該当する事例】＊

特定個人情報ファイルから出力された氏名等が記録された帳票等を誤って廃棄した場合（※1）＊

特定個人情報が記載又は記録された書類・媒体等を当該行政機関等の内部で紛失した場合（※2）

なお、上記の場合であっても、その内容と同じデータが他に保管されている場合は、滅失に該当しない。また、個人番号利用事務等実施者が合理的な理由により特定個人情報を削除する場合は、滅失に該当しない。
（※１）当該帳票等が適切に廃棄されていない場合には、特定個人情報の漏えいに該当する場合がある。
（※２）当該行政機関等の外部に流出した場合には、特定個人情報の漏えいに該当する。

Ｃ「毀損」の考え方
特定個人情報の「毀損」とは、特定個人情報の内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となることをいう。

69

【特定個人情報の毀損に該当する事例】＊

特定個人情報の内容が改ざんされた場合＊

暗号化処理された特定個人情報の復元キーを喪失したことにより復元できなく
なった場合

＊

ランサムウェア等により特定個人情報が暗号化され、復元できなくなった場合（※）

なお、上記事例２つ目及び３つ目の場合であっても、その内容と同じデータが他に保管されている場合は毀損に該当しない。
（※）同時に特定個人 情報が窃取された場合 には、特定個人情報の 漏えいにも該当す
る。

70

２

漏えい等事案が発覚した場合に講ずべき措置
特定個人情報を取り扱う行政機関等は、漏えい等又はそのおそれのある事
案その他の番号法違反の事案又は番号法違反のおそれのある事案（以下「漏えい等事案」という。）が発覚した場合は、漏えい等事案の内容等に応じて、次のＡからＥに掲げる事項について必要な措置を講じなければならない。
Ａ

組織内における報告及び被害の拡大防止
責任ある立場の者に直ちに報告するとともに、漏えい等事案による被害が発覚時よりも拡大しないよう必要な措置を講ずる。

Ｂ

事実関係の調査及び原因の究明
漏えい等事案の事実関係の調査及び原因の究明に必要な措置を講ずる。

Ｃ

影響範囲の特定
上記Ｂで把握した事実関係による影響範囲の特定のために必要な措置を講ずる。

Ｄ

再発防止策の検討及び実施
上記Ｂの結果を踏まえ、漏えい等事案の再発防止策の検討及び実施に必要な措置を講ずる。

Ｅ

委員会への報告及び本人への通知
３ （委員会への報告）、 ４ （本人への通知）を参照のこと。なお、漏えい等事案の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、事実関係及び再発防止策等について、速やかに公表する。

71

３

委員会への報告（番号法第 29 条の４第１項関係）
Ａ 報告対象となる事態
番号法第 29 条の４（第１項）
個人番号利用事務等実施者は、特定個人情報ファイルに記録された特定個人情報の漏えい、滅失、毀損その他の特定個人情報の安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を委員会に報告しなければならない。ただし、当該個人番号利用事務等実施者が、他の個人番号利用事務等実施者から当該個人番号利用事務等の全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人番号利用事務等実施者に通知したときは、この限りでない。
行政手続における特定の個人を識別するための番号の利用等に関する法律
第 29 条の４第１項及び第２項に基づく特定個人情報の漏えい等に関する報告等に関する規則（以下「規則」という。）第２条
番号法第 29 条の４第１項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。
⑴ 次に掲げる特定個人情報（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下同じ。）の漏えい、滅失若しくは毀損（以下「漏えい等」という。）が発生し、又は発生したおそれがある事態
イ 情報提供ネットワークシステム及びこれに接続された電子計算機に記録された特定個人情報
ロ 個人番号利用事務実施者が個人番号利用事務を処理するために使用する情報システムにおいて管理される特定個人情報
ハ 行政機関、地方公共団体、独立行政法人等及び地方独立行政法人が個人番号関係事務を処理するために使用する情報システム並びに行政機関、地方公共団体、独立行政法人等及び地方独立行政法人から個人
番号関係事務の全部又は一部の委託を受けた者が当該個人番号関係事務を処理するために使用する情報システムにおいて管理される特定個
人情報⑵ 次に掲げる事態
イ 不正の目的をもって行われたおそれがある特定個人情報の漏えい等が発生し、又は発生したおそれがある事態
ロ 不正の目的をもって、特定個人情報が利用され、又は利用されたおそれがある事態72

ハ

不正の目的をもって、特定個人情報が提供され、又は提供されたおそれがある事態⑶ 個人番号利用事務実施者又は個人番号関係事務実施者の保有する特定
個人情報ファイルに記録された特定個人情報が電磁的方法により不特定多数の者に閲覧され、又は閲覧されるおそれがある事態⑷ 次に掲げる特定個人情報に係る本人の数が 100 人を超える事態
イ 漏えい等が発生し、又は発生したおそれがある特定個人情報
ロ 番号法第９条の規定に反して利用され、又は利用されたおそれがある個人番号を含む特定個人情報
ハ 番号法第 19 条の規定に反して提供され、又は提供されたおそれがある特定個人情報
個人番号利用事務等実施者は、次の⑴から⑷までに掲げる事態（以下「報告対象事態」という。）を知ったときは、委員会に報告しなければならない（※１）。
⑴

次に掲げる特定個人情報の漏えい、滅失若しくは毀損（以下「漏えい等」という。）が発生し、又は発生したおそれがある事態（規則第２条
第１号関係）
イ 情報 提供ネ ット ワークシステム及び これに接続された電子計算機に記録された特定個人情報
ロ 個人 番号利 用事 務実施者が個人番号 利用事務を処理するために使用する情報システムにおいて管理される特定個人情報
ハ 行政 機関、 地方 公共団体、独立行政 法人等及び地方独立行政法人が個人番 号関係 事務 を 処理するために使用する情報システム並びに行政機関、 地方公 共団 体 、独立行政法人等及び地方独立行政法人から個人
番号関 係事務 の全 部 又は一部の委託を受けた者が当該個人番号関係事
務を処 理する ため に 使用する情報システムにおいて管理される特定個
人情報⑵ 次に掲げる事態（規則第２条第２号関係）
イ 不正 の目的 をも って行わ れたおそれがある特定個人情報の漏えい等が発生し、又は発生したおそれがある事態
ロ 不正 の目的 をも って、特定個人情報が利用され、又は利用されたおそれがある事態ハ 不正 の目的 をも って、特定個人情報が提供され、又は提供されたおそれがある事態「不正の目的をもって」イからハに該当する事態を発生させた主体には、第三者のみならず、従業者も含まれる。
73

【報告を要する事例】＊

不正アクセスにより特定個人情報が漏えいした場合（※２）＊

ランサムウェア等により特定個人情報が暗号化され、復元できなくなった場合⑶＊

特定個人情報が記載又は記録された書類・媒体等が盗難された場合＊業務に関係なく、マイナンバーを利用し、住所等を検索・取得した場合＊

従業者が特定個人情報を不正に持ち出して第三者に提供した場合（※３）

個人番号利用事務実施者又は個人番号関係事務実施者の保有する特定
個人情報ファイルに記録された特定個人情報が電磁的方法により不特定多数の者に閲覧され、又は閲覧されるおそれがある事態（規則第２条第３号関係）【報告を要する事例】＊

システムの設定ミス等によりインターネット上で特定個人情報の閲覧が可能
な状態となっている場合⑷

次に掲げる特定個人情報に係る本人の数が 100 人を超える事態（規則第２条第４号関係）
イ 漏えい等が発生し、又は発生したおそれがある特定個人情報
ロ 番号法第９条の規定に反して利用され、又は利用されたおそれがある個人番号を含む特定個人情報
ハ 番号法第 19 条の規定に反して提供され、又は提供されたおそれがある特定個人情報「特定個人情報に係る本人の数」は、当該個人番号利用事務等実施者が取り扱う特定個人情報のうち、イからハに該当する特定個人情報に係る本人の数をいう。「特定個人情報に係る本人の数」について、事態が発覚した当初 100 人以下であっても、その後 100 人を超えた場合には、100 人を超えた時点で規則第２条第４号に該当することになる。本人の数が確定できないイからハに該当する事態において、当該事態が発生したおそれがある
特定個人情報に係る本人の数が最大 100 人を超える場合には、規則第２条第４号に該当する。
【報告を要する事例】＊

第三者に誤送付・誤送信した特定個人情報に係る本人の数が 100 人を超える場合＊

マイナンバー部分 にマスキング処理する ことを失念して、特定 個人情報を取り扱わない委託事業者等に提供した特定個人情報に係る本人の数が 100 人を超

74

える場合
（※１）報告対象事態における「おそれ」については、その時点で判明している事
実関係に基づいて個別の事案ごとに蓋然性を考慮して判断することになる。
漏えい等が発生したおそれについては、その時点で判明している事実関係からして、漏えい等が疑われるものの漏えい等が生じた確証がない場合がこれに該当する。
（※２）サイバー攻撃の事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、次の（ア）から（エ）が考えられる。
（ア） 特定個人情報を格納しているサーバや、当該サーバにアクセス権限を有する端末において外部からの不正アクセスによりデータが窃取された痕跡が認められた場合（イ） 特定個人情報を格納しているサーバや、当該サーバにアクセス権限を有する端末において、情報を窃取する振る舞いが判明しているマルウェ
アの感染が確認された場合（ウ） マルウェアに感染したコンピュータに不正な指令を送り、制御するサーバ（Ｃ＆Ｃサーバ）が使用しているものとして知られているＩＰアド
レス・ＦＱＤＮ（Ｆｕｌｌｙ Ｑｕａｌｉｆｉｅｄ Ｄｏｍａｉｎ Ｎａｍｅ の略。サブドメイ ン名及びドメイン名からなる文字列であり、ネットワーク上のコンピュータ（サーバ等）を特定するもの。）への通信が確認された場合（エ） 不正検知を行う公的機関、セキュリティ・サービス・プロバイダ、専門家等の第三者から、漏えいのおそれについて、一定の根拠に基づく連絡を受けた場合（※３）従業者による特定個人情報の持ち出しの事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、特定個人情報を格納しているサーバや、当該サーバにアクセス権限を有する端末において、通常の業務で必要としないアクセスによりデータが窃取された痕跡が認められた場合が考えられる。

ただし、報告対象事態に該当しない漏えい等事案であっても、特定個人情報を取り扱う行政機関等は委員会に報告する。
なお、特定個人情報について、高度な暗号化等の秘匿化がされている場
合等、「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられている場合については、報告を要しない。
Ｂ

報告義務の主体
漏えい等報告の義務を負う主体は、規則第２条の事態に該当する特定個
人情報を取り扱う個人番号利用事務等実施者である。
特定個人情報の取扱いを委託している場合においては、委託元である行75

政機関等と委託先の双方が特定個人情報を取り扱っていることになるため、それぞれ報告の対象事態に該当する場合には、原則として委託元と委託先の双方が報告する義務を負う。この場合、委託元及び委託先の連名で報告することができる（※）。なお、委託先が、報告義務を負っている委託元に当該事態が発生したことを通知したときは、委託先は報告義務を免除される（ ３ Ｅ参照）。
また、行政機関Ａが特定個人情報（特定個人情報Ａ）の取扱いを委託している場合において、受託者が別の行政機関Ｂから特定個人情報（特定個
人情報Ｂ）の取扱いを受託しており、特定個人情報Ｂについて受託者において報告の対象事態が発生した場合であっても、委託元である行政機関Ａは報告義務を負わず、行政機関Ｂ及び受託者のみが報告義務を負うことになる。
（※）報告対象事態に該当しない漏えい等事案において、特定個人情報の取扱いを委託している場合、委託元と委託先の双方が報告する。この場合、委託元及び委託先の連名で委員会に報告することができる。

Ｃ 速報（規則第３条第１項関係）規則第３条第１項
個人番号利用事務実施者及び個人番号関係事務実施者（以下「個人番号
利用事務等実施者」という。）は、番号法第 29 条の４第１項本文の規定による報告をする場合には、前条各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。次条において同じ。）を報告しなければならない。
⑴ 概要⑵ 特定個人情報の項目⑶ 特定個人情報に係る本人の数⑷ 原因⑸ 二次被害又はそのおそれの有無及びその内容⑹ 本人への対応の実施状況⑺ 公表の実施状況⑻ 再発防止のための措置⑼ その他参考となる事項
個人番号利用事務等実施者は、報告対象事態を知ったときは、速やかに、委員会に報告しなければならない。
報告期限の起算点となる「知った」時点については、個別の事案ごとに判断されるが、行政機関等のいずれかの部署が当該事態を知った時点を基準とする。「速やか」の日数の目安については、個別の事案によるものの、
行政機関等が当該事態を知った時点から概ね３日～５日以内である。
76

委員会への漏えい等報告については、次の⑴から⑼までに掲げる事項を、原則として、委員会のホームページの報告フォームに入力する方法により行う。速報時点での報告内容については、報告をしようとする時点において把握している内容を報告すれば足りる。
⑴「概要」
当該事態の概要について、発生日、発覚日、発生事案、発見者、規則
第２条各号該当性、委託元及び委託先の有無、事実経過等を報告する。

⑵「特定個人情報の項目」
特定個人情報の項目について、媒体や種類（住民情報、従業員情報の別等）とともに報告する。

⑶「特定個人情報に係る本人の数」
特定個人情報に係る本人の数について報告する。

⑷「原因」
当該事態が発生した原因について、当該事態が発生した主体（報告者又は委託先）とともに報告する。

⑸「二次被害又はそのおそれの有無及びその内容」
当該事態に起因して発生する被害又はそのおそれの有無及びその内容について報告する。

⑹「本人への対応の実施状況」
当該事態を知った後、本人に対して行った措置（通知を含む。）の実
施状況について報告する。

⑺「公表の実施状況」
当該事態に関する公表の実施状況について報告する。

⑻「再発防止のための措置」
漏えい等事案が再発する ことを防止するために講ずる措置について、実施済みの措置と今後実施予定の措置に分けて報告する。

⑼「その他参考となる事項」
上記の⑴から⑻の事項を補完するため、委員会が事態を把握する上で参考となる事項を報告する。

77

Ｄ 確報（規則第３条第２項関係）規則第３条第２項
個人番号利用事務等実施者は、当該事態を知った日から 30 日以内（当該事態が前条第２号に定めるものである場合にあっては、60 日以内）に、当該事態に関する前項各号に定める事項を報告しなければならない。
個人番号利用事務等実施者は、報告対象事態を知ったときは、速報に加え（※１）、30 日以内（規則第２条第２号の事態においては 60 日以内。同号の事態に加え、同条第１号、第３号又は第４号の事態にも該当する場合
も 60 日以内。）に、委員会に報告しなければならない。
30 日以内又は 60 日以内は報告期限であり、可能である場合には、より早期に報告することが望ましい。
報告期限の起算点となる「知った」時点については、速報と同様に、行政機関等のいずれかの部署が当該事態を知った時点を基準とし、確報の報
告期限の算定（※２）に当たっては、その時点を１日目とする。
確報においては、 ３ Ｃ⑴から⑼までに掲げる事項の全てを報告しなければならない。確報を行う時点（報告対象事態を知った日から 30 日以内又は60 日以内）において、合理的努力を尽くした上で、一部の事項が判明しておらず、全ての事項を報告することができない場合には、その時点で把握している内容を報告し、判明次第、報告を追完するものとする。
（※１）速報の時点で全ての事項を報告できる場合には、１回の報告で速報と確報を兼ねることができる。
（※２）確報の報告期限（30 日以内又は 60 日以内）の算定に当たっては、土日・祝日も含める。ただし、30 日目又は 60 日目が土日、祝日又は年末年始閉庁日（12月 29 日～１月３日）の場合は、その翌日を報告期限とする（行政機関の休日に関する法律（昭和 63 年法律第 91 号）第２条）。

Ｅ 委託元への通知の例外（規則第４条関係）
規則第４条
個人番号利用事務等実施者は、番号法第 29 条の４第１項ただし書の規定による通知をする場合には、第２条各号に定める事態を知った後、速やかに、前条第１項各号に定める事項を通知しなければならない。
委託先は、委員会への報告義務を負っている委託元に対し、 ３ Ｃ⑴から⑼までに掲げる事項のうち、その時点で把握しているものを通知したとき

78

は、報告義務を免除される。
委託元への通知については、速報としての報告と同様に、報告対象事態を知った後、速やかに行わなければならない。「速やか」の日数の目安については、個別の事案によるものの、委託先が当該事態の発生を知った時点から概ね３日～５日以内である。
この場合、委託先から通知を受けた委託元が報告をすることになる。委託元は、通常、遅くとも委託先から通知を受けた時点で、報告対象事態を知ったこととなり、速やかに報告を行わなければならない。
なお、通知を行った委託先は、委託元から報告するに当たり、事態の把握を行うとともに、必要に応じて委託元の漏えい等報告に協力することが求められる。

79

４ 本人への通知（番号法第 29 条の４第２項）
番号法第 29 条の４第２項
前項に規定する場合には、個人番号利用事務等実施者（同項ただし書の規定による通知をした者を除く。）は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
規則第５条関係
個人番号利用事務等実施者は、番号法第 29 条の４第２項本文の規定による通知をする場合には、第２条各号に定める事態を知った後、当該事態の状況に応じて速やかに、当該本人の権利利益を保護するために必要な範囲において、第３条第１項第１号、第２号、第４号、第５号及び第９号に定める事項を通知しなければならない。
Ａ

通知対象となる事態及び通知義務の主体
個人番号利用事務等実施者は、報告対象事態を知ったときは、本人への通知を行わなければならない。
通知義務を負う主体は、規則第２条の事態に該当する特定個人情報を取り扱う個人番号利用事務等実施者である。（※）
特定個人情報の取扱いを委託している場合においては、委託元である行政機関等と委託先の双方が特定個人情報を取り扱っていることになるため、それぞれ通知の対象事態に該当する場合には、原則として委託元と委託先の双方が通知する義務を負う。この場合、委託元及び委託先の連名で通知することができる。
漏えい等した特定個人情報の本人に対して円滑に通知を行う観点から、委託元及び委託先は連携するなどして、適切な方法で通知を行うことが望ましい。
なお、特定個人情報の取扱いを委託している場合において、委託先が、報告義務を負っている委託元に ３ Ｃ⑴から⑼までに掲げる事項のうち、その時点で把握しているものを通知したときは、委託先は報告義務を免除されるとともに、本人への通知義務も免除される。
（※）報告対象事態に該当しない漏えい等事案であっても、事案の内容等に応じて、本人に対し、本人の権利利益を保護するために必要な範囲において、事態の概要、
特定個人情報の項目、原因、二次被害又はそのおそれの有無及びその内容並びにその他参考となる事項を通知する。

Ｂ

通知の時間的制限等
個人番号利用事務等実施者は、規則第２条各号に定める事態を知った後、80当該事態の状況に応じて速やかに、本人への通知を行わなければならない。
「当該事態の状況に応じて速やかに」とは、速やかに通知を行うことを求めるものであるが、具体的に通知を行う時点は、個別の事案において、その時点で把握している事態の内容、通知を行うことで本人の権利利益が保護される蓋然性、本人への通知を行うことで生じる弊害等を勘案して判断する。
【その時点で通知を行う必要があるとはいえないと考えられる事例（※）】＊

インターネット上の掲示板等に漏えいした複数の特定個人情報がアップロード
されており、個人番号利用事務等実施者において当該掲示板等の管理者に削除を求める等、必要な初期対応が完了しておらず、本人に通知することで、かえって被害が拡大するおそれがある場合＊

漏えい等のおそれが生じたものの、事案がほとんど判明しておらず、その時点で本人に通知したとしても、本人がその権利利益を保護するための措置を講じられる見込みがなく、かえって混乱が生じるおそれがある場合（※）「当該事態の状況に応じて速やかに」本人への通知を行うべきことに変わ
りはない。

Ｃ

通知の内容
本人へ通知すべき事項については、漏えい等報告における報告事項のうち、「概要」（規則第３条第１項第１号）、「特定個人情報の項目」（同項第２号）、「原因」（同項第４号）、「二次被害又はそのおそれの有無
及びその内容」（同項第５号）及び「その他参考となる事項」（同項第９号）（※）に限られている。これらの事項が全て判明するまで本人への通知をする必要がないというものではなく、本人への通知は、「当該事態の状況に応じて速やかに」行う必要がある（ ４ Ｂ参照）。
本人への通知については、「本人の権利利益を保護するために必要な範囲において」行うものである。そのため、通知によって被害が拡大するおそれがある場合には、その時点で通知を要するものではないが、そのような場合であっても、当該おそれがなくなった後は、速やかに通知する必要がある。
また、当初報告対象事態に該当すると判断したものの、その後実際には報告対象事態に該当していなかったことが判明した場合には、本人への通知が「本人の権利利益を保護するために必要な範囲において」行うものであることに鑑み、本人への通知は不要である。

【本人の権利利益を保護するために必要な範囲において通知を行う事例】

81

＊不正 アクセ スによ り特定個 人情報 が漏え いした場 合にお いて、 その原因 を本人に通知す るに 当たり 、 委員会に 報告 した詳 細 な内容で はな く、必 要 な内容を 選択
して本人に通知すること。

＊

漏え い等が 発生し た特定個 人情報 の項目 が本人ご とに異 なる場 合におい て、当該本人に関係する内容のみを本人に通知すること。

（※）規則第３条第１項第１号、第２号、第４号、第５号及び第９号に定める事項については、 ３ Ｃを参照のこと。なお、同項第９号に定める事項については、本人への通知を補完するため、本人にとって参考となる事項をいい、例えば、本人が自らの権利利益を保護するために取り得る措置が考えられる。

Ｄ

通知の方法
「本人への通知」とは、本人に直接知らしめることをいい、特定個人情報の取扱状況に応じ、通知すべき内容が本人に認識される合理的かつ適切な方法によらなければならない。また、漏えい等報告と異なり、本人への通知については、その様式が法令上定められていないが、本人にとって分かりやすい形で通知を行うことが望ましい。

【本人への通知の方法の事例】＊

文書を郵便等で送付することにより知らせること。

＊

電子メールを送信することにより知らせること。

Ｅ

通知の例外
本人への通知を要する場合であっても、本人への通知が困難である場合
は、本人の権利利益を保護するために必要な代替措置（※１）を講ずることによる対応が認められる。

【本人への通知が困難な場合に該当する事例】＊

保有する特定個人情報の中に本人の連絡先が含まれていない場合＊

連絡先が古いために通知を行う時点で本人へ連絡できない場合【代替措置に該当する事例】＊

事案の公表（※2）＊

問合せ窓口を用意してその連絡先を公表し、本人が自らの特定個人情報が対象となっているか否かを確認できるようにすること。

（ ※１ ） 代 替措 置 と し て 事案 の 公 表を 行 わ な い 場合 で あ って も 、 当 該 事態 の 内 容等に 応 じ て 、二 次 被 害 の 防 止 、 類 似事 案 の 発 生 防 止 等 の 観点 か ら 、 公 表 を 行 う。
（ ※２ ） 公 表す べ き 内 容 は、 個 別 の事 案 ご と に 判断 さ れ るが 、 本 人 へ 通知 す べ き内
容を基本とする。

82