JA01.30.15_番号法(事業者編)_自己評価表（申請者は申請事業者名及び自己評価欄を入力）

Ver.20220401

中小
分類

NO

ガイドラ
イン項番

大項目

中項目

小項目

条件

確認事項

補足

自己評価

審査

適合状

規定 運用

況

該当無

（○or

（○）

当該規定類等名称

必須

該当無

努力

該当無

×）

1 4-1-(1)2 4-1-(1)

特定個人情報の 個人番号の利用 個人番号の原則

個人番号を利用する範囲は、社会保障、税及び災害対策

利用制限に関する特定の事務に限定しているか。

制限

的な取扱い

特定個人情報の 個人番号の利用 個人番号の原則

個人番号は、具体的な利用目的を特定した上で利用して

利用制限

いるか。

制限

的な取扱い

★

－

－

－

－

★

－

－

－

－

★

－

－

－

－

－

－

例外的な取扱いができる場合(1)金融機関が激甚災害時等に金銭の支払を
3 4-1-(1)

本人の同意があったとしても、特定した利用目的以外で 行う場合

特定個人情報の 個人番号の利用 個人番号の原則
利用制限

制限

個人番号を利用していないか。例外として認められる場 (2)人の生命、身体又は財産の保護のために

的な取扱い

合を除く。

必要がある場合であって、本人の同意があり、又は本人の同意を得ることが困難である
場合

4 4-1-(1)

5 4-1-(1)

6 4-1-(1)

7 4-1-(1)

8 4-1-(1)

9 4-1-(2)

利用目的は、本人が自らの個人番号がどのような目的で

特定個人情報の 個人番号の利用 個人番号の原則
利用制限

制限

特定個人情報の 個人番号の利用 個人番号の原則
利用制限

制限

的な取扱い

特定個人情報の 個人番号の利用 個人番号の原則
利用制限

制限

的な取扱い

特定個人情報の 個人番号の利用 個人番号の原則
利用制限

制限

的な取扱い

特定個人情報の 個人番号の利用 個人番号の原則
利用制限

特定個人情報の利用制限利用されるのかを一般的かつ合理的に予想できる程度に

的な取扱い

制限

的な取扱い

特定個人情報特定個人情報利用目的を超えて個人番号を利用する必要が生じた場
合－－当初の利用目的と関連性を有すると合理的に認められる範囲内で利用目的を変更したか。

★

－

－

★

－

－

★

－

－

★

－

－

★

－

－

★

－

－

★

－

－

利用目的を超えて個人番号を利用する必要が生じた場

５項が該当の場合、本人への通知等をおこなったか。

合
合併等の理由で事業を承継することに伴って特定個人情報を取得した場合

承継前に特定されていた利用目的に従って利用しているか。

合併等の理由で事業を承継取得した個人番号は、本人の同意があったとしても、継することに伴って特定個人

承前に特定されていた利用目的を超えて利用していない

情報を取得した場合か。
特定個人情報ファイルを作成することができるのは、個
人番号関係事務を処理するために必要な範囲であり、こファイルの作成 ファイルの作成の制限★

具体的に特定しているか。

れらの場合を除き特定個人情報ファイルを作成していな

の制限

いか。
甲→乙→丙→丁と順次委託される場合、乙に対する甲の監督義務の内容には、再委託の適

10 4-2-(1)

特定個人情報の安全管理措置等

委託の取扱い委託先の監督

個人番号関係事務の全部又は一部の委託をする場合

取り扱う特定個人情報の安全管理措置が適切に講じられるよう委託を受けた者に対する必要かつ適切な監督を行っているか。

否だけではなく、乙が丙、丁に対して必要か
つ適切な監督を行っているかどうかを監督することも含まれる。したがって、甲は乙に対する監督義務だけではなく、再委託先である
丙、丁に対しても間接的に監督義務を負うこととなる。

11 4-2-(1)

特定個人情報の安全管理措置等

委託の取扱い委託先の監督

個人番号関係事務の全部又委託者自らが果たすべき安全管理措置と同等の措置が講は一部の委託をする場合じられるよう必要かつ適切な監督を行っているか。

12 4-2-(1)

特定個人情報の安全管理措置等

委託の取扱い委託先の監督

個人番号関係事務の全部又は一部の委託をする場合

委託先の選定おいて、委託者自らが果たすべき安全管理措置と同等の措置が講じられているか、あらかじめ確認
しているか。

具体的な確認事項としては、委託先の設備、技術水準、従業者に対する監督・教育の状
況、その他委託先の経営環境等が挙げられ

★

－

－

★

－

－

★

－

－

★

－

－

★

－

－

－

－

★

－

－

★

－

－

－

－

る。

委託先に安全管理措置を遵守させるために次の項目を盛り込みんだ契約を締結しているか。
・秘密保持義務・事務所内からの特定個人情報の持ち出しの禁止
13 4-2-(1)

特定個人情報の安全管理措置等

委託の取扱い委託先の監督

個人番号関係事務の全部又・特定個人情報の目的外利用の禁止

は一部の委託をする場合

・再委託における条件
・漏えい事案等が発生した場合の委託先の責任・委託契約終了後の特定個人情報の返却又は破棄
・従業者に対する監督・教育
・契約内容の遵守状況について報告を求める旨の規定
契約内容として、次の事項が盛り込まれているか。

14 4-2-(1)

特定個人情報の安全管理措置等

委託の取扱い委託先の監督

個人番号関係事務の全部又・特定個人情報を取り扱う従業者の明確化

は一部の委託をする場合

・委託者が委託先に対して実地の調査を行うことができ

★

－

－

★

－

－

る規定等
15 4-2-(1)

16 4-2-(1)

17 4-2-(1)18 4-2-(1)

特定個人情報の安全管理措置等
特定個人情報の安全管理措置等
特定個人情報の安全管理措置等
特定個人情報の安全管理措置等

委託の取扱い委託の取扱い委託先の監督再委託

個人番号関係事務の全部又は一部の委託をする場合

再委託

再委託

に評価しているか。
委託を受けた者は、再委託をする際、委託者の許諾を得は一部の再委託をする場合たか。

は一部の再々委託をする場
合委託の取扱いで、委託の内容等の見直しを検討することを含め、適切

個人番号関係事務の全部又個人番号関係事務の全部又委託の取扱い

委託契約で盛り込んだ内容の実施の程度を把握した上再委託を受けた者は、再々委託をする際、最初の委託者の許諾を得たか。

個人番号関係事務の全部又甲→乙→丙→丁と順次委託される場合、甲は乙に対するは一部の再委託・再々委託

監督だけではなく、再委託先である丙、丁に対しても間をする場合

接的に監督しているか。
個人番号（生存する個人のものだけでなく死者のものも

19 4-2-(2)

特定個人情報の安全管理措置等含む。）及び特定個人情報（以下「特定個人情報等」と安全管理措置いう。）の漏えい、滅失又は毀損の防止その他の特定個

★

－

－

人情報等の管理のために、必要かつ適切な措置を講じているか。

20 4-3-(1)21 4-3-(1)

特定個人情報の 個人番号の提供
提供制限等

の要求

提供の要求

特定個人情報の 個人番号の提供 提供を求める時
提供制限等

の要求

期

個人番号関係事務を処理するために必要がある場合に、個人番号の提供を求めたか。
個人番号関係事務が発生した時点、または、個人番号関 契約内容等から個人番号関係事務が明らかに係事務の発生が予想できた時点において、個人番号の提 発生しないと認められる場合には、個人番号供を求めたか。

の提供を求めてはならない。

個人番号の提供
22 4-3-(2)

特定個人情報の の求めの制限、 提供の求めの制

社会保障、税及び災害対策に関する特定の事務を除き、 他人とは「自己と同一の世帯に属する者以提供制限等

他人の個人番号を求めていないか。

特定個人情報の 限
提供制限

外の者」。

★

－

－

(1)個人番号利用事務実施者からの提供(2)個人番号関係事務実施者からの提供(3)本人又は代理人からの提供(4)使用者等から他の使用者等に対する従業社会保障、税及び災害対策に関する特定の事務のために 者等に関する特定個人情報の提供

個人番号の提供
23 4-3-(2)

従業員等の特定個人情報を行政機関等及び健康保険組合 (5)委託、合併に伴う提供

特定個人情報の の求めの制限、 特定個人情報の提供制限等等に提供する場合等を除き、特定個人情報を提供してい (6)情報提供ネットワークシステムを通じた

特定個人情報の 提供制限
提供制限

ないか。

提供

ただし、(1)～(9)を除く。

(7)委員会からの提供の求め

★

－

－

－

－

－

－

－

－

(8)各議院審査等その他公益上の必要がある
ときの提供(9)人の生命、身体又は財産の保護のための提供
個人番号の提供
24 4-3-(2)

出向・転籍・退職等前の使用者等から出向・転籍・再就

特定個人情報の の求めの制限、 特定個人情報の 従業者等の出向・転籍・退職等先の使用者等に対して、当該従業者等の個人番号を提供制限等

含む特定個人情報を提供する際は、具体的な提供先を明

特定個人情報の 提供制限

職等があった場合

提供制限
25 4-3-(3)

特定個人情報の提供制限等★

らかにした上で本人の同意を得たか。
社会保障、税及び災害対策に関する特定の事務を除き、収集・保管制限 収集制限

他人の個人番号を含む特定個人情報を収集又は保管していないか。

他人とは「自己と同一の世帯に属する者以
外の者」。

★

★

－

－

★

★

－

－

★

★

－

－

★

★

－

－

★

★

－

－

社会保障、税及び災害対策に関する特定の事務処理をす
26 4-3-(3)

特定個人情報の提供制限等る必要がなくなった場合で、所管法令において定められ 他人とは「自己と同一の世帯に属する者以収集・保管制限 保管制限と廃棄ている保存期間を経過した場合には、個人番号をできる 外の者」。
だけ速やかに廃棄又は削除しているか。
これまで番号確認書類として利用可能であった通知カードは廃止された。 ただし、通知カードの廃止日（令和２年５月25日）以後、
当該通知カードに係る記載事項に変更がない
場合に限り、従来と同様に、次に掲げる方法
個人番号の提供を受ける際の本人確認は、次にあげる方 により、通知カードを本人確認に利用するこ

27 4-3-(4)

特定個人情報の
提供制限等

本人確認

法のいずれかで行っているか。

とができる。

本人から個人番号の提供を①個人番号カードの提示(1)本人から個人番号の提供を受ける場合

受ける場合②番号確認書類（マイナンバー入りの住民票等）と本人 「通知カード」＋「本人の身元確認書類（運の身元確認書類（運転免許証等）の提示

転免許証等）」(2)本人の代理人から個人番号の提供を受ける場合「代理権確認書類（戸籍謄本・委任状等)」＋「代理人の身元確認書類(個人番号カー
ド・運転免許証等)」＋「本人の番号確認書
類（本人に関わる個人番号カード等)」

代理人から個人番号の提供を受ける場合は、代理権確認
28 4-3-(4)

特定個人情報の
提供制限等

本人確認

代理人から個人番号の提供を受ける場合書類(戸籍謄本・委任状等）、代理人の身元確認書類（個人番号カード・運転免許証等）、本人の番号確認書類（本人に関わる個人番号カード等）の掲示で確認しているか。

29 4-3-(4)

特定個人情報の
提供制限等

本人確認

書面の送付により個人番号27～28項で掲示を受けることとされている書類又はそのの提供を受ける場合

写しの提出を受けているか。

違法に第三者に提供されて第三者提供の停
30 4-4

止に関する取扱い

31 別添1
32 別添1
33 別添1
34 別添1
35 別添1

講ずべき安全措
置の内容講ずべき安全措
置の内容講ずべき安全措
置の内容講ずべき安全措
置の内容講ずべき安全措
置の内容

第三者への提供を停止することが困難であいるという理由で、第三者

当該請求に理由があることが判明したときには、遅滞な り、本人の権利利益を保護するために代わりへの提供の停止を請求されく、当該特定個人情報の第三者への提供を停止したか。 の措置をとるときは、第三者への提供を停止た場合
特定個人情報等の適正な取扱いの確保について組織とし基本方針の策定て取り組むために、基本方針を策定しているか。

基本方針の策定

基本方針に事業者の名称が定められているか。
基本方針に関係法令・ガイドライン等の遵守は定められ基本方針の策定ているか。
基本方針に安全管理措置に関する事項は定められている

基本方針の策定か。
基本方針に質問および苦情処理の窓口は定められている

基本方針の策定

★

－

－

－

－

しないことが認められている。

か。

★

★

－

自動判定

－

★

★

－

－

－

－

★

★

－

－

－

－

★

★

－

－

－

－

★

★

－

－

－

－

個人番号を取り扱う事務の範囲・特定個人情報等の範36 別添1

講ずべき安全措 取扱規程等の策

囲・事務取扱担当者を明確化し、その事務の流れを整理

置の内容

し、特定個人情報等の具体的な取扱いを定める取扱規程

定

★

－

★

－

自動判定

－

－

－

等を策定しているか。
37 別添1
38 別添1

39 別添1

40 別添1

41 別添1

42 別添1

43 別添1

44 別添145 別添1

46 別添1

47 別添1

講ずべき安全措 取扱規程等の策
置の内容

特定個人情報等の取扱い等を明確化しているか。

定

講ずべき安全措 取扱規程等の策事務取扱担当者が変更と確実な引継ぎを行い、責任ある立場の者が確認している

置の内容

なった場合

か。

定

講ずべき安全措 組織的安全管理
置の内容

措置

講ずべき安全措 組織的安全管理
置の内容

措置

組織体制の整備

組織体制の整備

講ずべき安全措 組織的安全管理 取扱規程等に基
置の内容

措置

づく運用

事務取扱担当者が複数いる
場合

安全管理措置を講ずるための組織体制を整備している

特定個人情報等の適正な取扱いのために、組か。

織的安全管理措置を講じなければならない。

責任者と事務取扱担当者を区分しているか。

か。

置の内容

措置

講ずべき安全措 組織的安全管理
置の内容

措置

講ずべき安全措 組織的安全管理
置の内容

措置

講ずべき安全措 組織的安全管理
置の内容

措置

漏えい等事案に対応する体制の整備の者に対する報告連絡体制等をあらかじめ確認しているか。

取扱状況の把握及び安全管理措
置の見直し

置

の監督

自動判定

－

－

－

－

－

－

－

自動判定

－

－

－

★

－

－

－

－

に応じて、事実関係及び再発防止策等を早急

★

★

－

★

★

－

★

★

★

★

★

★

自動判定

－

に公表することが重要である。

整備

講ずべき安全措 人的安全管理措 事務取扱担当者
置の内容

つ迅速に対応するための体制を整備しているか。

対応する体制の置の見直し－

漏えい等事案が発生した場合、二次被害の防漏えい等事案の発生等に備え、従業者から責任ある立場

及び安全管理措★

★

漏えい等事案の発生又は兆候を把握した場合に、適切か 止、類似事案の発生防止等の観点から、事案

漏えい等事案に取扱状況の把握

★

－

－

－

るか。
特定個人情報等の取扱状況の分かる記録を保存している

講ずべき安全措 組織的安全管理★

認するため、特定個人情報等の利用状況等を記録してい

置の内容

づく運用

★

－

取扱規程等に基づく運用を行うとともに、その状況を確講ずべき安全措 組織的安全管理 取扱規程等に基
措置

★

－

特定個人情報等の取扱状況を把握し、安全管理措置の評
価、見直し及び改善に取り組んでいるか。
責任ある立場の者が、特定個人情報等の取扱状況について、定期的に点検を行っているか。
特定個人情報等が取扱規程等に基づき適正に取り扱われるよう、事務取扱担当者に対して必要かつ適切な監督を行っているか。

特定個人情報等の適正な取扱いのために、人的安全管理措置を講じなければならない。

46

－

－

47

－

－

自動判定

－

－

－

－

－

－

－

－

－

－

－

48 別添1

49 別添1
50 別添1

講ずべき安全措 人的安全管理措 事務取扱担当者

事務取扱担当者に、特定個人情報等の適正な取扱いを周置の内容知徹底するとともに適切な教育をおこなっているか。

置の教育

講ずべき安全措 人的安全管理措 事務取扱担当者

特定個人情報等の取扱いに関する留意事項等について、置の内容

従業者に定期的な研修等を行っているか。

置の教育

講ずべき安全措 人的安全管理措 事務取扱担当者

特定個人情報等についての秘密保持に関する事項を就業置の内容

規則等に盛り込んでいるか。

置

の教育

★

★

49-50

－

自動判定

－

－

－

★

－

－

－

－

★

－

－

－

－

★

－

特定個人情報等の適正な取扱いのために物理

51 別添1

講ずべき安全措 物理的安全管理
置の内容

措置

「管理区域」を明確にし、物理的な安全管理措置を講し 的安全管理措置を講じなければならない。

特定個人情報等ているか。また、取扱区域について、事務取扱担当者等 管理区域とは、特定個人情報ファイルを取りを取り扱う区域以外の者が特定個人情報等を容易に閲覧等できないよう 扱う情報システムを管理する区域。

の管理

留意しているか。

自動判定

－

－

－

－

－

－

－

－

－

取扱区域とは、特定個人情報等を取り扱う事
務を実施する区域。

52 別添1

53 別添1

54 別添1

55 別添1

56 別添1

57 別添1

講ずべき安全措 物理的安全管理
置の内容

措置

講ずべき安全措 物理的安全管理
置の内容

措置

講ずべき安全措 物理的安全管理
置の内容

措置

講ずべき安全措 物理的安全管理
置の内容

措置

講ずべき安全措 物理的安全管理
置の内容

措置

講ずべき安全措 物理的安全管理
置の内容

措置

特定個人情報等を取り扱う区域の管理
特定個人情報等を取り扱う区域の管理
特定個人情報等を取り扱う区域の管理

特定個人情報ファイルを自社で保管している場合
特定個人情報ファイルを自社で保管している場合

管理区域へ持ち込む機器等の制限等を行っているか。

特定個人情報等を自社で保取扱区域に関しては、間仕切り等の設置、座席配置の工管している場合

夫、のぞき込みを防止する措置等を講じているか。
管理区域及び取扱区域における特定個人情報等を取り扱
う機器、電子媒体及び書類等の盗難又は紛失等を防止す防止るために、物理的な安全管理措置を講じているか。

防止

特定個人情報等を自社で保管している場合

バーキー等による入退室管理システムの設置

★

－

－

★

－

－

★

－

自動判定

－

特定個人情報等を取り扱う機器、電子媒体又は書類等を、施錠できるキャビネット・書庫等に保管している

★

－

－

★

－

－

か。

機器及び電子媒 取扱いにノートパソコンを

特定個人情報ファイルを取り扱う情報システムが機器の体等の盗難等の 利用し且つ前項の施錠管理

みで運用されている場合は、セキュリティワイヤー等に防止より固定しているか。

を行っていない場合－

等が考えられる。

体等の盗難等の体等の盗難等の－入退室管理方法としては、ＩＣカード、ナン
管理区域の入退室管理を行っているか。

機器及び電子媒

機器及び電子媒★

「持ち運ぶ」とは、特定個人情報等を管理区

58 別添1

講ずべき安全措 物理的安全管理
置の内容

措置

電子媒体等を持

特定個人情報等が記録された電子媒体又は書類等を持ちち出す場合の漏運ぶ場合、容易に個人番号が判明しないよう、安全な方えいの防止策を講じているか。

電子媒体等を持 特定個人情報等が記録されパスワードの設定、封筒に封入し鞄に入れて搬送する

ち出す場合の漏 た電子媒体又は書類等を持等、紛失・盗難等を防ぐための安全な方策を講じている

えいの防止

か。

域又は取扱区域から外へ移動させること又は当該区域の外から当該区域へ移動させることをいい、事業所内での移動等であっても、特

★

★

★

★

－

自動判定

－

定個人情報等の紛失・盗難等に留意する必要がある。

59 別添1

60 別添1

講ずべき安全措 物理的安全管理
置の内容

措置

講ずべき安全措 物理的安全管理
置の内容

措置

個人番号の削除、機器及び電子媒体等の廃棄

ち運ぶ場合

－

－

個人番号関係事務又を行う必要がなくなった場合で、所管法令等において定められている保存期間等を経過した
場合、個人番号をできるだけ速やかに復元不可能な手段
で削除又は廃棄しているか。

★

－

自動判定

－

61 別添1

62 別添1

63 別添1

64 別添1

65 別添1

66 別添1

67 別添1

68 別添1

69 別添1

70 別添1

71 別添1

72 別添1

73 別添1

74 別添1

講ずべき安全措 物理的安全管理
置の内容講ずべき安全措 物理的安全管理
置の内容

措置

講ずべき安全措 物理的安全管理
置の内容

措置

講ずべき安全措 技術的安全管理
置の内容

措置

講ずべき安全措 技術的安全管理
置の内容

措置

講ずべき安全措 技術的安全管理
置の内容

措置

講ずべき安全措 技術的安全管理
置の内容

措置

講ずべき安全措 技術的安全管理
置の内容

措置

講ずべき安全措 技術的安全管理
置の内容

措置

講ずべき安全措 技術的安全管理
置の内容

措置

講ずべき安全措 技術的安全管理
置の内容

措置

除、機器及び電子媒体等の廃棄個人番号の削除、機器及び電子媒体等の廃棄個人番号の削除、機器及び電子媒体等の廃棄個人番号若しくは特定個人情報ファイルを削除した場
合、又は電子媒体等を廃棄

置の内容

措置

個人番号若しくは特定個人情報ファイルを削除した場
合、又は電子媒体等を廃棄した場合
特定個人情報等を削除・廃
棄した場合

措置

人番号関係事務を行っている場合

アクセス制御発覚した場合に講ずべき措置措置

責任ある立場の者が確認しているか。

情報システムを使用して個機器に標準装備されているユーザー制御機能（ユーザー

人番号関係事務を行っていアカウント制御）により、情報システムを取り扱う事務る場合取扱担当者を限定しているか。
情報システムを外部からの不正アクセス又は不正ソフト
ウェアから保護する仕組みを導入し、適切に運用してい止るか。

外部からの不正 情報システムを使用して個
アクセス等の防 人番号関係事務を行っている場合

情報システム及び機器にセキュリティ対策ソフトウェア
等（ウイルス対策ソフトウェア等）を導入し、不正ソフ

止トウェアの有無を確認しているか。

外部からの不正 情報システムを使用して個機器やソフトウェア等に標準装備されている自動更新機

アクセス等の防 人番号関係事務を行ってい能等の活用により、ソフトウェア等を最新状態にしてい

止

るか。

る場合

外部からの不正 情報システムを使用して個
アクセス等の防 人番号関係事務を行ってい
る場合

－

－

－

－

－

ログ等の分析を定期的に行い、不正アクセス等を検知し
ているか。

－

－

－

－

－

－

自動判定

－

－

★

★

－

－

★

★

－

－

－

自動判定

－

★

－

－

★

－

－

★

－

－

★

－

－

特定個人情報等をインターネット等により外部に送信する場合、通信経路における漏えい等を防止するための措

防止

防止

－

★

イアウォール等を設置しているか。

アクセス等の防 人番号関係事務を行ってい

防止

★

★

管理措置を講じなければならない。

情報システムと外部ネットワークとの接続箇所に、ファ外部からの不正 情報システムを使用して個る場合

特定個人情報等の適正な取扱いのために安全り扱う事務取扱担当者を限定しているか。

アクセス等の防止－★

特定個人情報等を取り扱う機器を特定し、その機器を取外部からの不正止－るか。

ファイルの範囲を限定するために、適切なアクセス制御
情報システムを使用して個講ずべき安全措 技術的安全管理 情報漏えい等の置の内容又は廃棄したことについて、証明書等により確認していを行っているか。
アクセス制御★

これらの作業を委託する場合には、委託先が確実に削除

事務取扱担当者及び当該事務で取り扱う特定個人情報アクセス制御講ずべき安全措 技術的安全管理 情報漏えい等の置の内容

削除又は廃棄した記録を保存しているか。

した場合講ずべき安全措 技術的安全管理 情報漏えい等の漏えい等事案が75 別添2

措置

個人番号の削

★

－

自動判定

－

置を講じているか。
特定個人情報等をインター
ネット等により外部に送信する場合

通信経路における漏えい等の防止策として、通信経路の暗号化を行っているか。

情報システムを使用して個情報システム内に保存されている特定個人情報等の漏え

人番号関係事務を行っていい等の防止策として、データの暗号化又はパスワードにる場合

よる保護等を行っているか。

漏えい等事案が発覚した場
合

★

－

－

★

－

－

漏えい等事案の内容等に応じて、事業者内部における責 漏えい等事案とは、漏えい等又はそのおそれ任ある立場の者に直ちに報告するとともに、被害の拡大 のある事案その他の番号法違反の事案又は番防止に必要な措置を講じているか。

号法違反のおそれのある事案★

漏えい等事案が76 別添2

発覚した場合に講ずべき措置漏えい等事案が77 別添2

発覚した場合に講ずべき措置漏えい等事案が78 別添2

発覚した場合に講ずべき措置漏えい等事案が79 別添2

発覚した場合に講ずべき措置漏えい等事案が発覚した場

漏えい等事案の内容等に応じて、事実関係の調査及び原合因の究明に必要な措置を講じているか。

漏えい等事案が発覚した場

漏えい等事案の内容等に応じて、把握した事実関係によ合る影響範囲の特定のために必要な措置を講じているか。

漏えい等事案が発覚した場

107項の結果を踏まえ、漏えい等事案の再発防止策の検合討及び実施に必要な措置を講じているか。

漏えい等事案が発覚した場

漏えい等事案の内容等に応じて、委員会への報告及び本合人への通知に必要な措置を講じているか。

★

－

－

★

－

－

★

－

－

★

－

－

★

－

－

次の⑴から⑷までに掲げる事態（以下「報告対象事態」という。）を知ったときは、委員会に報告したか。ただし、高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じられている場合は除く。
(1)次に掲げる特定個人情報の漏えい等が発生し、又は発生したおそれがある事態
・情報提供ネットワークシステム及びこれに接続された
電子計算機に記録された特定個人情報漏えい等とは、漏えい、滅失若しくは毀損

・個人番号利用事務実施者が個人番号利用事務を処理す 「不正の目的をもって」イからハに該当するるために使用する情報システムにおいて管理される特定 事態を発生させた主体には、第三者のみなら
80 別添2

委員会への報告

報告対象となる
事態

報告対象事態を知った場合

個人情報ず、従業者も含まれる。

(2)次に掲げる事態

番号法第9条：個人番号を利用することがで・不正の目的をもって行われたおそれがある特定個人情 きる範囲について、社会保障、税及び災害対報の漏えい等が発生し、又は発生したおそれがある事態 策に関する特定の事務に限定している。
・不正の目的をもって、特定個人情報が利用され、又は 第19条：特定個人情報の提供の制限利用されたおそれがある事態
・不正の目的をもって、特定個人情報が提供され、又は提供されたおそれがある事態(3)保有する特定個人情報ファイルに記録された特定個人
情報が電磁的方法により不特定多数の者に閲覧され、又は閲覧されるおそれがある事態(4)次に掲げる特定個人情報に係る本人の数が 100 人を個人情報保護委員会のホームページの報告フォームに入 速報時点での報告内容については、報告をし力する方法により、次の事項を速やか(3～5日以内)に速 ようとする時点において把握している内容を81 別添2

委員会への報告 速報

報告対象事態を知った場合報として報告したか。

報告すれば足りる。

(1)概要(1)発生日、発覚日、発生事案、発見者、規(2)特定個人情報の項目

則第２条各号該当性、委託元及び委託先の有(3)特定個人情報に係る本人の数

無、事実経過等を報告する。

(4)原因(2)特定個人情報の項目について、媒体や種(5)二次被害又はそのおそれの有無及びその内容類（顧客情報、従業員情報の別等）とともに(6)本人への対応の実施状況報告する。

(7)公表の実施状況(4)当該事態が発生した原因について、当該(8)再発防止のための措置

事態が発生した主体（報告者又は委託先）と(9)その他参考となる事項

ともに報告する。

★

－

－

★

－

－

★

－

－

★

－

－

★

－

－

(5)当該事態に起因して発生する被害又はそのおそれの有無及びその内容について報告する。
(8)漏えい等事案が再発することを防止するために講ずる措置について、実施済みの措置と今後実施予定の措置に分けて報告する。
(9)委員会が事態を把握する上で参考となる事項を報告する。
速報（前項）に加え、30 日以内または60 日以内（111

30 日以内又は 60 日以内は報告期限であり、項に該当）に個人情報保護委員会に確報として前項可能である場合には、より早期に報告するこ(1)~(9)を報告したか。

とが望ましい。
確報を行う時点（報告対象事態を知った日か

82 別添2

委員会への報告 確報

ら 30 日以内又は60 日以内）において、合理

報告対象事態を知った場合的努力を尽くした上で、一部の事項が判明しておらず、全ての事項を報告することができない場合には、その時点で把握している内容を報告し、判明次第、報告を追完するものとする。
112項の(1)～(9)のうち、その時点で把握しているもの

83 別添2

委員会への報告

委託元への通知

委託先として報告対象事態の例外を知った場合「速やか」の日数の目安については、個別のを、当該事態が発生を知った時点から速やかに個人情報 事案によるものの、委託先が当該事態の発生
保護委員会に変えて委託元に通知したか。

を知った時点から概ね 3～5 日以内である。

委託先で112項の(1)～(9)のうち、その時点で把握してい 「速やか」の日数の目安については、個別の84 別添2

委員会への報告

委託元への通知

委託先で漏えい等事案が発

の例外

覚した場合

るものを、当該事態が発生を知った時点から速やかに通 事案によるものの、委託先が当該事態の発生知を受けた場合は、委託元として個人情報保護委員会に を知った時点から概ね 3～5 日以内である。
速やかに報告したか。

通知対象となる
85 別添2

本人への通知事態及び通知義
務の主体

報告対象事態を知った場合本人への通知を行ったか。

「当該事態の状況に応じて速やかに」とは、速やかに通知を行うことを求めるものである
86 別添2

本人への通知通知の時間的制
限報告対象事態を知った場合本人への通知は、当該事態の状況に応じて速やかに行ったか。

が、具体的に通知を行う時点は、個別の事案において、その時点で把握している事態の内

★

－

－

★

－

－

★

－

－

★

－

－

容、通知を行うことで本人の権利利益が保護される蓋然性、本人への通知を行うことで生じる弊害等を勘案して判断する。
これらの事項が全て判明するまで本人への通知をする必要がないというものではく、本人への通知は、「当該事態の状況に応じて速やかに」行う必要がある。

本人へ通知すべき事項については、漏えい等報告におけ 本人への通知については、「本人の権利利益
る報告事項のうち、「概要」、「特定個人情報の項
87 別添2

本人への通知通知の内容

報告対象事態を知った場合を保護するために必要な範囲において」行う目」、「原因」、「二次被害又はそのおそれの有無及び ものである。 また、当初報告対象事態に該その内容」及び「その他参考となる事項」に限定した当すると判断したものの、その後実際には報か。

告対象事態に該当していなかったことが判明した場合には、本人への通知が「本人の権利利益を保護するために必要な範囲において」行うものであることに鑑み、本人への通知は不要である。

「本人への通知」とは、本人に直接知らしめることをい 漏えい等報告と異なり、本人への通知につい88 別添2

本人への通知通知の方法

報告対象事態を知った場合

い、特定個人情報の取扱状況に応じ、通知すべき内容が ては、その様式が法令上定められていない
本人に認識される合理的かつ適切な方法により行ったが、本人にとって分かりやすい形で通知を行か。

うことが望ましい。

本人への通知を要する場合であっても、本人への通知が89 別添2

本人への通知通知の例外

報告対象事態を知った場合困難である場合は、本人の権利利益を保護するために必要な代替措置を講じたか。

代替措置として事案の公表を行わない場合であっても、当該事態の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点か
ら、公表を行うことが望ましい。