特定個人情報保護評価指針（令和３年個人情報保護委員会告示第１号）（下線部は変更部分）
改
第１

後

改

特定個人情報保護評価の意義

１～３
４

正第１（略）

前

特定個人情報保護評価の意義

１～３

特定個人情報保護評価の実施体制

正（略）

（新設）

評価実施機関は、特定個人情報保護評価を適切に実施するための体制整備を行うことが望ましい。例えば、①複数の特定個人情報保護評価書を作成する評価実施機関において、部署横断的な特定個人情報保護評価書の内容の確認等を行う総括的な部署を設置すること、②個人情報の取扱いに関して、部署横断的・専門的な立場から各部署・従業員の指導等を行う個人情報の取扱いに関する責任者を設置すること等が考えられる。
第５

特定個人情報保護評価の実施手続

第５

特定個人情報保護評価の実施手続

１（略）

１（略）

２

しきい値判断２

しきい値判断特定個人情報ファイルを取り扱う事務について特定個人情報保護

特定個人情報ファイルを取り扱う事務について特定個人情報保護評価を実施するに際しては、①対象人数、②評価実施機関の従業者評価を実施するに際しては、①対象人数、②評価実施機関の従業者

及び評価実施機関が特定個人情報ファイルの取扱いを委託している及び評価実施機関が特定個人情報ファイルの取扱いを委託している

場合の委託先の従業者のうち、当該特定個人情報ファイルを取り扱場合の委託先の従業者のうち、当該特定個人情報ファイルを取り扱う者の数（以下「取扱者数」という。）、③評価実施機関における規う者の数（以下「取扱者数」という。）、③評価実施機関における規則第４条第８号ロに規定する特定個人情報に関する重大事故の発生

則第４条第８号ロに規定する特定個人情報に関する重大事故の発生（評価実施機関が重大事故の発生を知ることを含む。以下同じ。）（評価実施機関が重大事故の発生を知ることを含む。以下同じ。）-1-

の有無に基づき、次のとおり、実施が義務付けられる特定個人情報の有無に基づき、次のとおり、実施が義務付けられる特定個人情報

保護評価の種類を判断する（以下「しきい値判断」という。）。

保護評価の種類を判断する（以下「しきい値判断」という。）。

しきい値判断の結果、基礎項目評価のみで足りると認められたもしきい値判断の結果、基礎項目評価のみで足りると認められたものについても任意で重点項目評価又は全項目評価を実施することがのについても任意で重点項目評価又は全項目評価を実施することができ、重点項目評価の実施が義務付けられると判断されたものにつでき、重点項目評価の実施が義務付けられると判断されたものについても任意で全項目評価を実施することができる。なお、重点項目いても任意で全項目評価を実施することができる。

評価の実施が義務付けられると判断されたものについて、任意で全項目評価を実施した場合は、重点項目評価を併せて行ったものとして取り扱う。
（１）～（８）３～５
第６（略）（１）～（８）（略）

３～５

特定個人情報保護評価の実施時期

第６（略）

（略）

特定個人情報保護評価の実施時期

１

（略）

１

（略）

２

新規保有時以外

２

新規保有時以外

（１）

（略）

（１）

（２）重要な変更（略）（２）重要な変更

特定個人情報ファイルに対する重要な変更（規則第 11 条に規特定個人情報ファイルに対する重要な変更（規則第 11 条に規定する特定個人情報の漏えいその他の事態の発生の危険性及び影定する特定個人情報の漏えいその他の事態の発生の危険性及び影響が大きい変更として指針で定めるもの）とは、重点項目評価書

響が大きい変更として指針で定めるもの）とは、重点項目評価書

又は全項目評価書の記載項目のうちこの指針の別表に定めるもの

又は全項目評価書の記載項目のうちこの指針の別表に定めるもの

についての変更とする。ただし、個人のプライバシー等の権利利についての変更とする。ただし、誤字脱字の修正、組織の名称、益に影響を与え得る特定個人情報の漏えいその他の事態を発生さ所在地、法令の題名等の形式的な変更又は個人のプライバシー等せるリスクを相当程度変動させるものではないと考えられる変更の権利利益に影響を与え得る特定個人情報の漏えいその他の事態-2-

又は当該リスクを明らかに軽減させる変更は、重要な変更には当を発生させるリスクを明らかに軽減させる変更は、重要な変更にたらないものとする。

は当たらないものとする。

この指針の別表に定めるとおり、重大事故の発生それ自体が直この指針の別表に定めるとおり、重大事故の発生それ自体が直ちに重要な変更に当たるものではないが、特定個人情報に関するちに重要な変更に当たるものではないが、特定個人情報に関する重大事故の発生に伴い評価実施機関がリスク対策等を見直すこと重大事故の発生に伴い評価実施機関がリスク対策等を見直すことが想定され、この場合は、重要な変更に該当する。

が想定され、この場合は、重要な変更に該当する。

評価実施機関は、保有する特定個人情報ファイルに重要な変更

評価実施機関は、保有する特定個人情報ファイルに重要な変更を加えようとするときは、当該変更を加える前に、特定個人情報を加えようとするときは、当該変更を加える前に、特定個人情報保護評価を再実施するものとする。ただし、災害が発生したとき保護評価を再実施するものとする。ただし、災害が発生したときの対応等、特定個人情報保護評価を実施せずに特定個人情報ファの対応等、特定個人情報保護評価を実施せずに特定個人情報ファイルの取扱いを変更せざるを得ない場合は、特定個人情報ファイイルの取扱いを変更せざるを得ない場合は、特定個人情報ファイルの取扱いの変更後可及的速やかに特定個人情報保護評価を再実ルの取扱いの変更後可及的速やかに特定個人情報保護評価を再実施するものとする。

施するものとする。

ア・イ

ア・イ

（略）

（３）しきい値判断の結果の変更（略）（３）しきい値判断の結果の変更

上記第５の４に定める特定個人情報保護評価書の見直しにおい上記第５の４に定める特定個人情報保護評価書の見直しにおいて、対象人数又は取扱者数が増加したことによりしきい値判断のて、対象人数又は取扱者数が増加したことによりしきい値判断の結果が変わり、新たに重点項目評価又は全項目評価を実施するも結果が変わり、新たに重点項目評価又は全項目評価を実施するものと判断される場合、評価実施機関は、速やかに特定個人情報保のと判断される場合、評価実施機関は、速やかに特定個人情報保護評価を再実施するものとする（規則第６条第２項及び第３項、護評価を再実施するものとする（規則第６条第２項及び第３項、第７条第２項から第６項まで、第８条及び第 14 条）。

第７条第２項から第６項まで、第８条及び第 14 条）。

また、評価実施機関における特定個人情報に関する重大事故のまた、評価実施機関における特定個人情報に関する重大事故の発生によりしきい値判断の結果が変わり、新たに重点項目評価又発生によりしきい値判断の結果が変わり、新たに重点項目評価又は全項目評価を実施するものと判断される場合、評価実施機関は、は全項目評価を実施するものと判断される場合、評価実施機関は、

当該特定個人情報に関する重大事故の発生後速やかに特定個人情

当該特定個人情報に関する重大事故の発生後速やかに特定個人情-3-

報保護評価を再実施するものとする（規則第６条第２項及び第３

報保護評価を再実施するものとする（規則第６条第２項及び第３項、第７条第２項から第６項まで、第８条及び第 14 条）。

項、第７条第２項から第６項まで、第８条及び第 14 条）。

なお、対象人数又は取扱者数が減少したことによりしきい値判断の結果が変わり、全項目評価から重点項目評価若しくは基礎項目評価に、又は重点項目評価から基礎項目評価に変更になった場
合については、特定個人情報保護評価書の修正として、委員会に提出した上で公表するものとする。
第８番号法及び行政機関個人情報保護法に基づく事前通知

第８番号法及び行政機関個人情報保護法に基づく事前通知

番号法第 30 条第１項並びに第 31 条第１項及び第２項の規定によ

番号法第 30 条第１項並びに第 31 条第１項及び第２項の規定により読み替えられて適用される行政機関個人情報保護法第 10 条第１

り読み替えられて適用される行政機関個人情報保護法第 10 条第１項の規定に基づき、行政機関が特定個人情報ファイルを保有しよう

項の規定に基づき、行政機関が特定個人情報ファイルを保有しようとするときは、当該行政機関の長は、同項各号に規定する事項（以とするときは、当該行政機関の長は、同項各号に規定する事項（以下「事前通知事項」という。）をあらかじめ委員会に通知しなけれ下「事前通知事項」という。）をあらかじめ委員会に通知しなければならず、また、事前通知事項を変更しようとするときも同様に通ばならず、また、事前通知事項を変更しようとするときも同様に通知しなければならない（以下「事前通知」と総称する。）。行政機関

知しなければならない。行政機関が、特定個人情報保護評価を実施

が、特定個人情報保護評価を実施し、全項目評価書を公表した場合、し、全項目評価書を公表した場合、又は保有する特定個人情報ファ又は保有する特定個人情報ファイルに重要な変更を加えようとする

イルに重要な変更を加えようとするときに特定個人情報保護評価をときに特定個人情報保護評価を再実施し、事前通知事項を変更した

再実施し、事前通知事項を変更した全項目評価書を公表した場合は、全項目評価書を公表した場合は、番号法第 28 条第５項の規定によ

番号法第 28 条第５項の規定により、それぞれ通知を行ったものとり、それぞれ事前通知を行ったものとみなす。

みなす。

また、行政機関が、特定個人情報保護評価を実施し、重点項目評価書を提出・公表した場合、保有する特定個人情報ファイルに重要な変更を加えようとするときに特定個人情報保護評価を再実施し、事前通知事項を変更した重点項目評価書を提出・公表した場合、保有する特定個人情報ファイルに重要な変更に当たらない変更を加え-4-

行政機関が、重点項目評価書を提出・公表した場合等は、事前通知等を併せて行ったものとして取り扱う。

ようとするときに事前通知事項を変更した全項目評価書又は重点項
目評価書を変更前に提出・公表した場合等は、それぞれ事前通知等を併せて行ったものとして取り扱う。
第９１

特定個人情報保護評価の評価項目

第９基本的な考え方

１

特定個人情報保護評価の評価項目
基本的な考え方

特定個人情報保護評価を実施するに当たって、評価実施機関は、特定個人情報保護評価を実施するに当たって、評価実施機関は、特定個人情報ファイルを取り扱う事務の特性を明らかにした上で、特定個人情報ファイルを取り扱う事務の特性を明らかにした上で、特定個人情報ファイルの取扱いが個人のプライバシー等の権利利益

特定個人情報ファイルの取扱いが個人のプライバシー等の権利利益に影響を与え得る特定個人情報の漏えいその他の事態を発生させるに影響を与え得る特定個人情報の漏えいその他の事態を発生させる

リスクについて認識又は分析し、このようなリスクを軽減するためリスクについて認識又は分析し、このようなリスクを軽減するための適切な措置を講じていることを確認の上、特定個人情報保護評価の適切な措置を講じていることを確認の上、特定個人情報保護評価書において宣言するものとする。

書において宣言するものとする。

評価実施機関は、リスクを軽減するための措置を検討する際には、特定個人情報の安全管理に関する基本方針、特定個人情報の取扱規程等を策定することが望ましい。また、リスクを軽減するための措置には、物理的安全管理措置、技術的安全管理措置、組織的安全管理措置及び人的安全管理措置があり、評価実施機関は、基本方針、取扱規程等を踏まえ、評価実施機関の規模及び事務の特性に応じた適切な措置を講ずるものとする。
なお、技術の進歩に伴うクラウドサービス等の新たなサービス、開発手法等を導入する場合には、当該サービス、開発手法等の特性を考慮した上で、適切な安全管理措置を講ずるものとする。
２

（略）
附

２

則

この告示は、令和３年４月１日から施行する。

-5-（略）