令和６年５月 27 日
個人情報保護委員会「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」及び「（別冊）金融業務における特定個人情報の適正な取扱いに関するガイドライン」
に関するＱ＆Ａの更新「『特定個人情報の適正な取扱いに関するガイドライン（事業者編）』及び『（別冊）金融業務における特定個人情報の適正な取扱いに関するガイドライン』に関するＱ＆Ａ」について、以下のとおり更新いたしました。
※

更新箇所は、赤字（更新した部分には下線・削除した部分には取消線）で示し、更新理由を併せて記述しています。
【事業者編】
1：個人番号の利用制限
Ｑ１－10

行政機関等から個人番号利用事務の委託を受けた事業者が、「委託に関する契約の内容に応じて、『特定個人情報の適正な取扱いに関するガイドライン（行政機関等・地方公共団体等編）』が適用されることとなる。
」とは、どういうことですか。
Ａ１－10

行政機関等から個人番号利用事務の委託を受けた者は、委託を受けた業務において、行政機関等に求められる安全管理措置を講ずる必要があることから、行政機関等・地方公共団体等編ガイドラインの適用を受けることとしています。
また、委託を受けた業務内容（例えば、申請書の受付業務、業務システムへの入力業務、通知書等の発送業務等）により、講ずべき安全管理措置等も変わってくることから、「委託に関する契約の内容に応じて」と記述しています。（令和６年５月更新）（更新理由）
特定個人情報の適正な取扱いに関するガイドライン（事業者編）の改正を踏まえ、更新しました。
３：委託の取扱いＱ３－３

特定個人情報の取扱いを外国の事業者に委託する場合に、委託者としての安全管理措置を担保する上で、国内で実施する場合に加えて考慮するべき追加措置等はありますか。
Ａ３－３

国内外を問わず、委託先において、個人番号が漏えい等しないように、必要かつ適切な安全管理措置が講じられる必要があります。必要かつ適切な監督には、本ガイドラインのとおり、①委託先の適切な選定（具体的な確認事項：委託先の設備、技術水準、従業者に対する監督・教育の状況、その他委託先の経営環境等）、②委託先に安全管理措置を遵守させるために必要な委託契約の締結、③委託先における特定個人情報の取扱状況の把握が含まれます。なお、外国にある第三者に特定個人情報の取扱いを委託

1

する場合においては、安全管理措置として外的環境の把握を行う必要があります（16：
外的環境の把握参照）。（令和４年４月更新・令和６年５月更新）（更新理由）
特定個人情報の適正な取扱いに関するガイドライン（事業者編）の改正を踏まえ、更新しました。
Ｑ３－６「委託先に安全管理措置を遵守させるために必要な委託契約の締結」について、実態として安全管理措置に係る委託者と委託先の合意が担保できる方法ものであれば、契約の締結書の取交し以外の方法態様（例えば、委託先から委託者への誓約書の差入れや、覚書や合意書などの作成取交し）も認められますか。
Ａ３－６

委託者・委託先の双方が安全管理措置の内容等につきいて合意をすれば法的効果が発生しますので、当該措置の内容委託先に安全管理措置を遵守させるために必要な事項に関する委託者・委託先間の合意内容を客観的に明確化できる手段であれば、書式の類型を問いません。
（令和６年５月更新）（更新理由）
特定個人情報の適正な取扱いに関するガイドライン（事業者編）の改正を踏まえ、また、記載の趣旨の明確化のため、更新しました。
Ｑ３－16

再委託先に対する監督について、具体的にどのように実施することが考えられますか。
Ａ３－16

例えば、委託者が委託先に求める報告の内容に、委託先の再委託先に対する監督の内容（①再委託先の適切な選定、②再委託先に安全管理措置を遵守させるために必要な委託契約の締結、③再委託先における特定個人情報の取扱状況の把握）を含めることが考えられます。
（平成 30 年９月追加・令和６年５月更新）（更新理由）
特定個人情報の適正な取扱いに関するガイドライン（事業者編）の改正を踏まえ、更新しました。
５：個人番号の提供の求めの制限、特定個人情報の提供制限
Ｑ５－８

個人情報取扱事業者は、本人からの開示の請求に応じて、本人の個人番号が記載された支払調書等の写しを本人に送付することはできますか。
Ａ５－８ 個人情報保護法第 33 条に基づいて開示の請求を行った本人に開示を行う場合は、本人の個人番号が記載された支払調書等の写しを本人に送付することができます。その2

際の開示の請求を受け付ける方法として、書面による方法のほか、口頭による方法等を定めることも考えられます。なお、当該支払調書等の写しに本人以外の個人番号が含まれている場合には、本人以外の個人番号を記載しない措置や復元できない程度にマスキングする等の工夫が必要となります。
（平成 29 年５月更新・令和４年４月更新・令和６年５月更新）（更新理由）
記載の趣旨の明確化のため、更新しました。
16：外的環境の把握
Ｑ16－２「外的環境の把握」について、外国にある支店や営業所に特定個人情報を取り扱わせる場合には、当該外国の個人情報の保護に関する制度等を把握する必要がありますか。外国にある従業者に特定個人情報を取り扱わせる場合はどうですか。
Ａ16－２

個人番号利用事務等実施者は、外国にある支店や営業所に特定個人情報を取り扱わせる場合、外国において特定個人情報を取り扱うこととなるため、支店等が所在する外国の個人情報の保護に関する制度等を把握した上で、安全管理措置を講じる必要があります。
また、外国に支店等を設置していない場合であっても、外国にある従業者に特定個人情報を取り扱わせる場合、本人が被る権利利益の侵害の大きさを考慮し、その特定個人情報の取扱状況（特定個人情報を取り扱う期間、取り扱う特定個人情報の量を含む。）等に起因するリスクに応じて、従業者が所在する外国の制度等を把握すべき場合もあると考えられます。例えば、外国に居住してテレワークをしている従業者に特定個人情報を取り扱う業務を担当させる場合には、当該従業者の所在する外国の制度等も把握して安全管理措置を講じる必要があると考えられます。他方、外国に出張中の従業者に一時的にのみ特定個人情報を取り扱わせる場合には、必ずしも、安全管理措置を講じるにあたって、外国の制度等を把握する必要まではないと考えられます。
以上は、外国にある支店等や従業者が、日本国内に所在するサーバに保存されている特定個人情報にアクセスして、これを取り扱う場合においても同様です。
なお、番号法第 30 条第２項によって、個人情報取扱事業者が保有する保有個人データ（個人情報保護法第 16 条第４項）に該当する特定個人情報に関しては、個人情報保護法第 32 条が適用されるため、外国の制度等を把握して安全管理措置を講じる場合には、「特定個人情報が含まれる「保有個人データの安全管理のために講じた措置」（個人情報保護法第 32 条第１項第４号、個人情報保護法施行令第 10 条第１号）として、支店等や従業者が所在する外国の名称を明らかにし、当該外国の制度等を把握した上で講じた措置の内容を本人の知り得る状態に置く必要があります。（令和４年４月追加・令和６年５月更新）

3

（更新理由）
記載の趣旨の明確化のため、更新しました。
Ｑ16－３「外的環境の把握」について、外国にある第三者に特定個人情報の取扱いを委託する場合には、当該外国の個人情報の保護に関する制度等を把握する必要がありますか。委託先が外国にある第三者に特定個人情報の取扱いを再委託した場合はどうですか。
Ａ16－３

外国にある第三者に特定個人情報の取扱いを委託する場合、委託元は、委託先を通じて外国において特定個人情報を取り扱うこととなるため、委託先が所在する外国の個人情報の保護に関する制度等を把握した上で、委託先の監督その他の安全管理措置を講じる必要があります。また、委託先が外国にある第三者に特定個人情報の取扱いを再委託する場合、委託元は、委託先及び再委託先を通じて外国において特定個人情報を取り扱うこととなるため、再委託先が所在する外国の制度等も把握した上で、安全管理措置を講じる必要があります。以上は、委託先や再委託先が、日本国内に所在するサーバに保存されている特定個人情報にアクセスして、これを取り扱う場合においても同様です。
なお、番号法第 30 条第２項によって、個人情報取扱事業者が保有する保有個人データ（個人情報保護法第 16 条第４項）に該当する特定個人情報に関しては、個人情報保護法第 32 条が適用されるため、かかる場合には、「特定個人情報の含まれる「保有個人データの安全管理のために講じた措置」（個人情報保護法第 32 条第１項第４号、個人情報保護法施行令第 10 条第１号）として、委託先・再委託先が所在する外国の名称を明らかにし、当該外国の制度等を把握した上で講じた措置の内容を本人の知り得る状態に置く必要があります。
（令和４年４月追加・令和６年５月更新）（更新理由）
記載の趣旨の明確化のため、更新しました。
Ｑ16－４「外的環境の把握」について、外国にある第三者の提供するクラウドサービスを利用し、その管理するサーバに特定個人情報を保存する場合、当該外国の個人情報の保護に関する制度等を把握する必要がありますか。
Ａ16－４

外国にある第三者の提供するクラウドサービスを利用する場合において、クラウドサービス提供事業者が特定個人情報を取り扱わないこととなっている場合には、特定個人情報の第三者への「提供」には該当しませんが、個人番号利用事務等実施者は、自ら果たすべき安全管理措置の一環として、適切な安全管理措置を講じる必要があります（Ｑ３－12、Ｑ３－13 参照）。

4この場合、個人番号利用事務等実施者は、外国において特定個人情報を取り扱うこととなるため、当該外国の個人情報の保護に関する制度等を把握した上で、安全管理措置を講じる必要があります。日本国内に所在するサーバに特定個人情報が保存される場合においても同様です。
なお、番号法第 30 条第２項によって、個人情報取扱事業者が保有する保有個人データ（個人情報保護法第 16 条第４項）に該当する特定個人情報に関しては、個人情報保護法第 32 条が適用されるため、かかる場合には、「特定個人情報の含まれる「保有個人データの安全管理のために講じた措置」（個人情報保護法第 32 条第１項第４号、個人情報保護法施行令第 10 条第１号）として、クラウドサービス提供事業者が所在する外国の名称及び特定個人情報の含まれる個人データが保存されるサーバが所在する外国の名称を明らかにし、当該外国の制度等を把握した上で講じた措置の内容を本人の知り得る状態に置く必要があります。他方、特定個人情報の含まれる個人データが保存されるサーバが所在する国を特定できない場合には、サーバが所在する外国の名称に代えて、①サーバが所在する国を特定できない旨及びその理由、及び、②本人に参考となるべき情報を本人の知り得る状態に置く必要があります。②本人に参考となるべき情報としては、例えば、サーバが所在する外国の候補が具体的に定まっている場合における当該候補となる外国の名称等が考えられます。
（令和４年４月追加・令和６年５月更新）（更新理由）
記載の趣旨の明確化のため、更新しました。
【（別添２）漏えい等報告等】
17：特定個人情報の漏えい等の報告等
Ｑ17－３（別添２）特定個人情報の漏えい等に関する報告等（事業者編）２「番号法違反の事案又は番号法違反のおそれのある事案」とは、どういう事案を指すのですか。
Ａ17－３

ここでいう「番号法違反の事案又は番号法違反のおそれのある事案」とは、個人情報保護法では制限されておらず、番号法に規定された事項に違反する又はそのおそれのある事案を指します。
具体的には、番号法によって定められた社会保障、税及び災害対策その他の行政分野に関する特定の事務以外で個人番号を利用した場合（第９条）、番号法で限定的に明記された場合以外で特定個人情報を提供した場合（第 19 条）の規定に違反する場合、又はそのおそれのある場合などが該当します。
（令和４年４月追加・令和６年５月更新）（更新理由）

5

番号法等一部改正法1による番号法の改正を踏まえ、更新しました。
Ｑ17－11（別添２）特定個人情報の漏えい等に関する報告等（事業者編） ３ Ａの「（※３２）（イ）」に「特定個人情報を格納しているサーバや、当該サーバにアクセス権限を有する端末において、情報を窃取する振る舞いが判明しているマルウェアの感染が確認された場合」とありますが、特定個人情報を格納しているサーバにおいてマルウェアを検知した場合には、漏えいのおそれがあると判断されますか。
Ａ17－11（別添２）特定個人情報の漏えい等に関する報告等（事業者編）３Ａ（※３２）

は、漏えいが発生したおそれがある事態に該当し得る事例を示したものであり、単にマルウェアを検知したことをもって直ちに漏えいのおそれがあると判断するものではなく、防御システムによるマルウェアの実行抑制の状況、外部通信の遮断状況等についても考慮することになります。
（令和４年４月追加・令和６年５月更新）（更新理由）
特定個人情報の適正な取扱いに関するガイドライン（事業者編）の改正を踏まえ、更新しました。
Ｑ17－12

報告対象事態に該当しない場合であっても、個人情報保護委員会への報告を行うことは可能ですか。
Ａ17－12可能です。この場合、報告書の様式における行政手続における特定の個人を識別するための番号の利用等に関する法律第 29 条の４第１項及び第２項に基づく特定個人情報の漏えい等に関する報告等に関する「規則第２条各号該当性」については、「非該当（上記に該当しない場合の報告）」として報告を行うことになります。なお、（別添２）
特定個人情報の漏えい等に関する報告等（事業者編）３Ａ（※１）Ｂにおいて、報告対象事態に該当しない漏えい等事案においても、特定個人情報を取り扱う事業者は委員会に報告するよう努めることとされています。
（令和４年４月追加・令和６年５月更新）（更新理由）
特定個人情報の適正な取扱いに関するガイドライン（事業者編）の改正を踏まえ、また、記載の趣旨の明確化のため、更新しました。
Ｑ17－19（別添２）特定個人情報の漏えい等に関する報告等（事業者編）３ＣＤにおいて、報告期限の起算点となる「知った」時点について、「個人番号利用事務等実施者が法人である場合には、いずれかの部署が当該事態を知った時点を基準」とありま

1

行政手続における特定の個人を識別するための番号の利用等に関する法律等の一部を改正する法律（令和５年法律第 48 号）

6すが、具体的には部署内の誰が認識した時点を基準としますか。
Ａ17－19

個別の事案ごとに判断されますが、部署内のある従業者が報告対象事態を知った時点で「部署が知った」と考えられます。なお、従業者等の不正な持ち出しの事案においては、不正な持ち出しを行った従業者等を除いた上で判断することとなります。
（令和４年４月追加・令和６年５月更新）（更新理由）
特定個人情報の適正な取扱いに関するガイドライン（事業者編）の改正を踏まえ、更新しました。
【（別冊）金融業務】
18：個人番号の利用制限
Ｑ18－４

税務調査において、個人番号を指定した調査要求があった場合、その個人番号に基づいて資料の検索を行うことはできますか。
Ａ18－４ 税務当局が、番号法第 19 条第 15 号並びに番号法施行令第 265 条及び別表第８号の規定に従って、租税法令に基づき、納税者の個人番号を指定して資料の提出要求を行った場合、提出要求に対応する範囲で、個人番号に基づいて資料の検索を行うこと自体は法令に基づく適法な行為と解されます。
（平成 29 年５月更新・令和３年９月・令和６年５月更新）（更新理由）
番号法施行令の改正を踏まえ、更新しました。
20：個人番号の提供の求めの制限、特定個人情報の提供制限
Ｑ20－３

株式等振替制度を活用して特定個人情報の提供を受けることができる株式発行者から株主名簿に関する事務の委託を受けた株主名簿管理人は、株式発行者と同様に、番号法第 19 条第 12 号に従って特定個人情報の提供を受けることができますか。
Ａ20－３ 番号法第 19 条第 12 号及び番号法施行令第 243 条第４号において、「社債等の発行者に準ずる者」として株主名簿管理人が定められていますので、株式発行者と同様に番号法第 19 条第 12 号に従って、特定個人情報の提供を受けることができます。
（平成 29年５月・令和３年９月更新・令和６年５月更新）（更新理由）
番号法施行令の改正を踏まえ、更新しました。
以上

7