JA01.30.15_番号法(事業者編)_自己評価表（申請者は申請事業者名及び自己評価欄を入力）

Ver.20220401

中小
分類

NO

ガイドラ
イン項番

大項目

中項目

小項目

条件

確認事項

補足

自己評価

審査

適合状

規定 運用

況

該当無

（○or

（○）

当該規定類等名称

必須

該当無

努力

該当無

×）

1 4-1-(1)2 4-1-(1)

特定個人情報の 個人番号の利用 個人番号の原則

個人番号を利用する範囲は、社会保障、税及び災害対策

利用制限に関する特定の事務に限定しているか。

制限

的な取扱い

特定個人情報の 個人番号の利用 個人番号の原則

個人番号は、具体的な利用目的を特定した上で利用して

利用制限

いるか。

制限

的な取扱い

★

－

－

－

－

★

－

－

－

－

★

－

－

－

－

－

－

例外的な取扱いができる場合

3 4-1-(1)

本人の同意があったとしても、特定した利用目的以外で

特定個人情報の 個人番号の利用 個人番号の原則
利用制限

制限

個人番号を利用していないか。例外として認められる場

的な取扱い

合を除く。

(1)金融機関が激甚災害時等に金銭の支払を行う場合(2)人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意があり、又は本人の同意を得ることが困難である場合

4 4-1-(1)

5 4-1-(1)
6 4-1-(1)

7 4-1-(1)

8 4-1-(1)

9 4-1-(2)

利用目的は、本人が自らの個人番号がどのような目的で

特定個人情報の 個人番号の利用 個人番号の原則
利用制限

制限

利用されるのかを一般的かつ合理的に予想できる程度に

的な取扱い

★

特定個人情報の 個人番号の利用 個人番号の原則 利用目的を超えて個人番号を 当初の利用目的と関連性を有すると合理的に認められる
利用制限

制限

的な取扱い

利用する必要が生じた場合

特定個人情報の 個人番号の利用 個人番号の原則 利用目的を超えて個人番号を
利用制限

制限

的な取扱い

特定個人情報の 個人番号の利用 個人番号の原則
利用制限

制限

的な取扱い

特定個人情報の 個人番号の利用 個人番号の原則
利用制限

特定個人情報の利用制限

制限
特定個人情報的な取扱い利用する必要が生じた場合
合併等の理由で事業を承継することに伴って特定個人情報を取得した場合－

範囲内で利用目的を変更したか。
５項が該当の場合、本人への通知等をおこなったか。
承継前に特定されていた利用目的に従って利用している
か。

★

－

－

★

－

－

★

－

－

★

－

－

★

－

－

★

－

－

★

－

－

★

－

－

★

－

－

★

－

－

★

－

－

★

－

－

－

－

★

－

－

★

－

－

合併等の理由で事業を承継す 取得した個人番号は、本人の同意があったとしても、継ることに伴って特定個人情報 承前に特定されていた利用目的を超えて利用していないを取得した場合か。
特定個人情報ファイルを作成することができるのは、個特定個人情報人番号関係事務を処理するために必要な範囲であり、こファイルの作成 ファイルの作成の制限－

具体的に特定しているか。

れらの場合を除き特定個人情報ファイルを作成していな

の制限

いか。
甲→乙→丙→丁と順次委託される場合、乙に対する甲の監督義務の内容には、再委託の適

10 4-2-(1)

特定個人情報の安全管理措置等

委託の取扱い委託先の監督

個人番号関係事務の全部又は一部の委託をする場合

取り扱う特定個人情報の安全管理措置が適切に講じられるよう委託を受けた者に対する必要かつ適切な監督を行っているか。

否だけではなく、乙が丙、丁に対して必要か
つ適切な監督を行っているかどうかを監督することも含まれる。したがって、甲は乙に対する監督義務だけではなく、再委託先である
丙、丁に対しても間接的に監督義務を負うこととなる。

11 4-2-(1)

12 4-2-(1)

特定個人情報の安全管理措置等
特定個人情報の安全管理措置等

委託の取扱い委託の取扱い委託先の監督委託先の監督

個人番号関係事務の全部又は 委託者自らが果たすべき安全管理措置と同等の措置が講
一部の委託をする場合
個人番号関係事務の全部又は一部の委託をする場合じられるよう必要かつ適切な監督を行っているか。
委託先の選定おいて、委託者自らが果たすべき安全管理措置と同等の措置が講じられているか、あらかじめ確認
しているか。

具体的な確認事項としては、委託先の設備、技術水準、従業者に対する監督・教育の状
況、その他委託先の経営環境等が挙げられる。

委託先に安全管理措置を遵守させるために次の項目を盛り込みんだ契約を締結しているか。
・秘密保持義務・事務所内からの特定個人情報の持ち出しの禁止
13 4-2-(1)

特定個人情報の安全管理措置等

委託の取扱い委託先の監督

個人番号関係事務の全部又は ・特定個人情報の目的外利用の禁止
一部の委託をする場合

・再委託における条件
・漏えい事案等が発生した場合の委託先の責任・委託契約終了後の特定個人情報の返却又は破棄
・従業者に対する監督・教育
・契約内容の遵守状況について報告を求める旨の規定
契約内容として、次の事項が盛り込まれているか。

14 4-2-(1)

特定個人情報の安全管理措置等

委託の取扱い委託先の監督

個人番号関係事務の全部又は ・特定個人情報を取り扱う従業者の明確化
一部の委託をする場合

・委託者が委託先に対して実地の調査を行うことができ

★

－

－

★

－

－

る規定等
15 4-2-(1)

16 4-2-(1)
17 4-2-(1)18 4-2-(1)

特定個人情報の安全管理措置等
特定個人情報の安全管理措置等
特定個人情報の安全管理措置等
特定個人情報の安全管理措置等

委託の取扱い委託の取扱い委託の取扱い委託先の監督再委託
再委託

個人番号関係事務の全部又は一部の委託をする場合

委託契約で盛り込んだ内容の実施の程度を把握した上で、委託の内容等の見直しを検討することを含め、適切に評価しているか。

個人番号関係事務の全部又は 委託を受けた者は、再委託をする際、委託者の許諾を得
一部の再委託をする場合たか。

個人番号関係事務の全部又は 再委託を受けた者は、再々委託をする際、最初の委託者
一部の再々委託をする場合の許諾を得たか。

個人番号関係事務の全部又は 甲→乙→丙→丁と順次委託される場合、甲は乙に対する委託の取扱い再委託

一部の再委託・再々委託をす 監督だけではなく、再委託先である丙、丁に対しても間る場合

接的に監督しているか。
個人番号（生存する個人のものだけでなく死者のものも

19 4-2-(2)

特定個人情報の安全管理措置等含む。）及び特定個人情報（以下「特定個人情報等」と安全管理措置いう。）の漏えい、滅失又は毀損の防止その他の特定個

★

★

－

－

人情報等の管理のために、必要かつ適切な措置を講じているか。

20 4-3-(1)21 4-3-(1)

特定個人情報の 個人番号の提供
提供制限等

の要求

個人番号関係事務を処理するために必要がある場合に、提供の要求

個人番号の提供を求めたか。
個人番号関係事務が発生した時点、または、個人番号関

契約内容等から個人番号関係事務が明らかに係事務の発生が予想できた時点において、個人番号の提発生しないと認められる場合には、個人番号供を求めたか。

の提供を求めてはならない。

特定個人情報の の求めの制限、 提供の求めの制

社会保障、税及び災害対策に関する特定の事務を除き、他人とは「自己と同一の世帯に属する者以提供制限等

他人の個人番号を求めていないか。

外の者」。

特定個人情報の 個人番号の提供 提供を求める時
提供制限等

の要求

期

個人番号の提供
22 4-3-(2)

特定個人情報の 限

★

－

－

－

－

★

－

－

－

－

－

－

－

－

－

－

提供制限
(1)個人番号利用事務実施者からの提供(2)個人番号関係事務実施者からの提供(3)本人又は代理人からの提供(4)使用者等から他の使用者等に対する従業者
個人番号の提供
23 4-3-(2)

特定個人情報の の求めの制限、 特定個人情報の提供制限等

特定個人情報の 提供制限
提供制限

社会保障、税及び災害対策に関する特定の事務のために等に関する特定個人情報の提供

従業員等の特定個人情報を行政機関等及び健康保険組合(5)委託、合併に伴う提供等に提供する場合等を除き、特定個人情報を提供してい(6)情報提供ネットワークシステムを通じた提

ないか。

供

ただし、(1)～(9)を除く。

(7)委員会からの提供の求め(8)各議院審査等その他公益上の必要があるときの提供(9)人の生命、身体又は財産の保護のための提供個人番号の提供
24 4-3-(2)

特定個人情報の の求めの制限、 特定個人情報の 従業者等の出向・転籍・退職 職等先の使用者等に対して、当該従業者等の個人番号を提供制限等

特定個人情報の 提供制限
提供制限

25 4-3-(3)

出向・転籍・退職等前の使用者等から出向・転籍・再就

特定個人情報の提供制限等等があった場合らかにした上で本人の同意を得たか。
社会保障、税及び災害対策に関する特定の事務を除き、収集・保管制限 収集制限★

含む特定個人情報を提供する際は、具体的な提供先を明

他人の個人番号を含む特定個人情報を収集又は保管していないか。

他人とは「自己と同一の世帯に属する者以
外の者」。

★

★

★

★

－

－

社会保障、税及び災害対策に関する特定の事務処理をす
26 4-3-(3)

特定個人情報の提供制限等

収集・保管制限 保管制限と廃棄る必要がなくなった場合で、所管法令において定められ他人とは「自己と同一の世帯に属する者以ている保存期間を経過した場合には、個人番号をできる外の者」。

だけ速やかに廃棄又は削除しているか。

これまで番号確認書類として利用可能であった通知カードは廃止された。 ただし、通知カードの廃止日（令和２年５月25日）以後、
当該通知カードに係る記載事項に変更がない
場合に限り、従来と同様に、次に掲げる方法

27 4-3-(4)

特定個人情報の
提供制限等

本人確認

個人番号の提供を受ける際の本人確認は、次にあげる方

により、通知カードを本人確認に利用するこ法のいずれかで行っているか。

とができる。

本人から個人番号の提供を受 ①個人番号カードの提示(1)本人から個人番号の提供を受ける場合

ける場合②番号確認書類（マイナンバー入りの住民票等）と本人「通知カード」＋「本人の身元確認書類（運の身元確認書類（運転免許証等）の提示

転免許証等）」

★

★

－

－

★

★

－

－

★

★

－

－

★

－

－

(2)本人の代理人から個人番号の提供を受ける
場合「代理権確認書類（戸籍謄本・委任状等)」＋「代理人の身元確認書類(個人番号カード・運
転免許証等)」＋「本人の番号確認書類（本人に関わる個人番号カード等)」
代理人から個人番号の提供を受ける場合は、代理権確認
28 4-3-(4)

特定個人情報の提供制限等

代理人から個人番号の提供を

本人確認

受ける場合

書類(戸籍謄本・委任状等）、代理人の身元確認書類（個人番号カード・運転免許証等）、本人の番号確認書類（本人に関わる個人番号カード等）の掲示で確認しているか。

29 4-3-(4)30 4-431 別添1
32 別添1
33 別添1
34 別添1
35 別添1

特定個人情報の提供制限等

書面の送付により個人番号の 27～28項で掲示を受けることとされている書類又はその本人確認提供を受ける場合

第三者提供の停違法に第三者に提供されてい止に関する取扱るという理由で、第三者へのい提供の停止を請求された場合講ずべき安全措
置の内容講ずべき安全措
置の内容講ずべき安全措
置の内容講ずべき安全措
置の内容講ずべき安全措
置の内容

写しの提出を受けているか。
第三者への提供を停止することが困難であ
当該請求に理由があることが判明したときには、遅滞なり、本人の権利利益を保護するために代わりく、当該特定個人情報の第三者への提供を停止したか。

の措置をとるときは、第三者への提供を停止
しないことが認められている。

特定個人情報等の適正な取扱いの確保について組織とし基本方針の策定て取り組むために、基本方針を策定しているか。

基本方針の策定

基本方針に事業者の名称が定められているか。
基本方針に関係法令・ガイドライン等の遵守は定められ基本方針の策定ているか。
基本方針に安全管理措置に関する事項は定められている

基本方針の策定か。
基本方針に質問および苦情処理の窓口は定められている

基本方針の策定

か。

★

★

－

★

★

－

自動判定
－

－

－

－

－

－

★

★

－

－

－

－

★

★

－

－

－

－

★

★

－

－

－

－

個人番号を取り扱う事務の範囲・特定個人情報等の範36 別添1

講ずべき安全措 取扱規程等の策

囲・事務取扱担当者を明確化し、その事務の流れを整理

置の内容

し、特定個人情報等の具体的な取扱いを定める取扱規程

定

★

－

★

－

自動判定

－

－

－

等を策定しているか。
37 別添1
38 別添1
39 別添1
40 別添1

41 別添1

42 別添1

43 別添1

44 別添145 別添1

46 別添1

47 別添1

48 別添1

49 別添1
50 別添1

講ずべき安全措 取扱規程等の策
置の内容

特定個人情報等の取扱い等を明確化しているか。

定

講ずべき安全措 取扱規程等の策置の内容

定講ずべき安全措 組織的安全管理
置の内容

措置

講ずべき安全措 組織的安全管理
置の内容

事務取扱担当者が変更となっ 確実な引継ぎを行い、責任ある立場の者が確認している

措置た場合
組織体制の整備
組織体制の整備事務取扱担当者が複数いる場
合措置

安全管理措置を講ずるための組織体制を整備している

特定個人情報等の適正な取扱いのために、組か。

織的安全管理措置を講じなければならない。

責任者と事務取扱担当者を区分しているか。

置の内容

か。

置の内容

措置

講ずべき安全措 組織的安全管理
置の内容

措置

講ずべき安全措 組織的安全管理
置の内容

措置

講ずべき安全措 組織的安全管理
置の内容

措置

づく運用

置

対応する体制の整備

止、類似事案の発生防止等の観点から、事案に応じて、事実関係及び再発防止策等を早急

－
－

－

－

－

－
－

－

自動判定

－

－

－

－

－

－

－

★

★

－

★

★

－

★

★

★

★

★

★

47

－

★

★

49-50

－

自動判定

－

に公表することが重要である。

漏えい等事案に漏えい等事案の発生等に備え、従業者から責任ある立場

対応する体制のの者に対する報告連絡体制等をあらかじめ確認している整備か。

取扱状況の把握

特定個人情報等の取扱状況を把握し、安全管理措置の評及び安全管理措価、見直し及び改善に取り組んでいるか。

置の見直し
取扱状況の把握

責任ある立場の者が、特定個人情報等の取扱状況につい及び安全管理措て、定期的に点検を行っているか。

置の見直し

特定個人情報等が取扱規程等に基づき適正に取り扱われるよう、事務取扱担当者に対して必要かつ適切な監督をの監督行っているか。
事務取扱担当者に、特定個人情報等の適正な取扱いを周知徹底するとともに適切な教育をおこなっているか。

の教育講ずべき安全措 人的安全管理措 事務取扱担当者

特定個人情報等の取扱いに関する留意事項等について、置の内容

従業者に定期的な研修等を行っているか。

の教育講ずべき安全措 人的安全管理措 事務取扱担当者

特定個人情報等についての秘密保持に関する事項を就業置の内容

規則等に盛り込んでいるか。

置

自動判定

★

つ迅速に対応するための体制を整備しているか。

置の内容

置

★

★

漏えい等事案の発生又は兆候を把握した場合に、適切か講ずべき安全措 人的安全管理措 事務取扱担当者
置

★

－
－

漏えい等事案が発生した場合、二次被害の防漏えい等事案に講ずべき安全措 人的安全管理措 事務取扱担当者
置の内容

★

－

るか。
特定個人情報等の取扱状況の分かる記録を保存している

講ずべき安全措 組織的安全管理★

認するため、特定個人情報等の利用状況等を記録していづく運用

講ずべき安全措 組織的安全管理 取扱規程等に基
措置

★

か。

－

取扱規程等に基づく運用を行うとともに、その状況を確講ずべき安全措 組織的安全管理 取扱規程等に基
置の内容

－

の教育

特定個人情報等の適正な取扱いのために、人的安全管理措置を講じなければならない。

46

－

－

自動判定

－

－

－

－

自動判定

－

－

－

－

－

－

－

－

－

－

－

★

－

－

－

－

★

－

－

－

－

★

－

特定個人情報等の適正な取扱いのために物理

51 別添1

講ずべき安全措 物理的安全管理
置の内容

措置

特定個人情報等を取り扱う区域の管理「管理区域」を明確にし、物理的な安全管理措置を講し的安全管理措置を講じなければならない。

ているか。また、取扱区域について、事務取扱担当者等

管理区域とは、特定個人情報ファイルを取り以外の者が特定個人情報等を容易に閲覧等できないよう扱う情報システムを管理する区域。

留意しているか。

取扱区域とは、特定個人情報等を取り扱う事

自動判定

－

－

－

－

－

－

－

務を実施する区域。

52 別添1

53 別添1

54 別添1

55 別添1

56 別添1

57 別添1

講ずべき安全措 物理的安全管理
置の内容

措置

講ずべき安全措 物理的安全管理
置の内容

措置

講ずべき安全措 物理的安全管理
置の内容

措置

講ずべき安全措 物理的安全管理
置の内容

措置

講ずべき安全措 物理的安全管理
置の内容

措置

講ずべき安全措 物理的安全管理
置の内容

措置

特定個人情報等を取り扱う区域の管理
特定個人情報等を取り扱う区域の管理
特定個人情報等を取り扱う区域の管理

特定個人情報ファイルを自社で保管している場合
特定個人情報ファイルを自社で保管している場合管理区域へ持ち込む機器等の制限等を行っているか。

管理区域の入退室管理を行っているか。

夫、のぞき込みを防止する措置等を講じているか。

管理区域及び取扱区域における特定個人情報等を取り扱

体等の盗難等のう機器、電子媒体及び書類等の盗難又は紛失等を防止す防止るために、物理的な安全管理措置を講じているか。

体等の盗難等の防止

特定個人情報等を自社で保管している場合

－

－

★

－

－

★

－

－

等が考えられる。

機器及び電子媒

機器及び電子媒

バーキー等による入退室管理システムの設置

特定個人情報等を自社で保管 取扱区域に関しては、間仕切り等の設置、座席配置の工している場合★
入退室管理方法としては、ＩＣカード、ナン

★

－

自動判定

－

特定個人情報等を取り扱う機器、電子媒体又は書類等を、施錠できるキャビネット・書庫等に保管している

★

－

－

★

－

－

か。

機器及び電子媒 取扱いにノートパソコンを利 特定個人情報ファイルを取り扱う情報システムが機器の体等の盗難等の 用し且つ前項の施錠管理をみで運用されている場合は、セキュリティワイヤー等に防止より固定しているか。

行っていない場合「持ち運ぶ」とは、特定個人情報等を管理区

58 別添1

講ずべき安全措 物理的安全管理
置の内容

措置

電子媒体等を持

特定個人情報等が記録された電子媒体又は書類等を持ちち出す場合の漏運ぶ場合、容易に個人番号が判明しないよう、安全な方えいの防止策を講じているか。

域又は取扱区域から外へ移動させること又は当該区域の外から当該区域へ移動させることをいい、事業所内での移動等であっても、特定個人情報等の紛失・盗難等に留意する必要
がある。

★

★

－

自動判定

－

59 別添1

60 別添1

61 別添1

62 別添1

63 別添1

64 別添1

65 別添1

66 別添1

67 別添1

68 別添1

69 別添1

70 別添1

71 別添1

72 別添1

73 別添1

74 別添1

75 別添2

講ずべき安全措 物理的安全管理
置の内容

措置

講ずべき安全措 物理的安全管理
置の内容

措置

講ずべき安全措 物理的安全管理
置の内容

措置

講ずべき安全措 物理的安全管理
置の内容

措置

講ずべき安全措 物理的安全管理
置の内容

措置

講ずべき安全措 技術的安全管理
置の内容

措置

講ずべき安全措 技術的安全管理
置の内容

措置

講ずべき安全措 技術的安全管理
置の内容

措置

講ずべき安全措 技術的安全管理
置の内容

措置

講ずべき安全措 技術的安全管理
置の内容

措置

講ずべき安全措 技術的安全管理
置の内容

措置

講ずべき安全措 技術的安全管理
置の内容

措置

講ずべき安全措 技術的安全管理
置の内容

措置

電子媒体等を持 特定個人情報等が記録された パスワードの設定、封筒に封入し鞄に入れて搬送する
ち出す場合の漏 電子媒体又は書類等を持ち運 等、紛失・盗難等を防ぐための安全な方策を講じている
えいの防止

ぶ場合

管法令等において定められている保存期間等を経過した除、機器及び電子媒体等の廃棄個人番号の削除、機器及び電子媒体等の廃棄個人番号の削除、機器及び電子媒体等の廃棄措置報ファイルを削除した場合、又は電子媒体等を廃棄した場

措置

措置

個人番号若しくは特定個人情報ファイルを削除した場合、又は電子媒体等を廃棄した場合
特定個人情報等を削除・廃棄した場合

情報システムを使用して個人
番号関係事務を行っている場
合
アクセス制御特定個人情報等の適正な取扱いのために安全

特定個人情報等を取り扱う機器を特定し、その機器を取り扱う事務取扱担当者を限定しているか。

合

★

－

－

★

－

－

－

－

－

－

－

－

★

－

－

★

－

－

★

－

－

★

－

－

★

－

－

★

－

－

★

－

－

－

－

自動判定

－

－

★

★

－

－

★

★

－

－

取扱担当者を限定しているか。
情報システムを外部からの不正アクセス又は不正ソフト

アクセス等の防ウェアから保護する仕組みを導入し、適切に運用してい止るか。

外部からの不正 情報システムを使用して個人
アクセス等の防 番号関係事務を行っている場
止合★

情報システムと外部ネットワークとの接続箇所に、ファイアウォール等を設置しているか。

－

自動判定

－

★

－

－

★

－

－

★

－

－

★

－

－

外部からの不正 情報システムを使用して個人 情報システム及び機器にセキュリティ対策ソフトウェア
アクセス等の防 番号関係事務を行っている場 等（ウイルス対策ソフトウェア等）を導入し、不正ソフ
止合トウェアの有無を確認しているか。

外部からの不正 情報システムを使用して個人 機器やソフトウェア等に標準装備されている自動更新機
アクセス等の防 番号関係事務を行っている場 能等の活用により、ソフトウェア等を最新状態にしてい止合

外部からの不正 情報システムを使用して個人
アクセス等の防 番号関係事務を行っている場
止

合

防止

ログ等の分析を定期的に行い、不正アクセス等を検知しているか。
特定個人情報等をインターネット等により外部に送信する場合、通信経路における漏えい等を防止するための措

防止

防止

るか。

★

－

自動判定

－

置を講じているか。
特定個人情報等をインター
ネット等により外部に送信する場合

通信経路における漏えい等の防止策として、通信経路の暗号化を行っているか。

★

－

－

★

－

－

情報システムを使用して個人 情報システム内に保存されている特定個人情報等の漏え
番号関係事務を行っている場 い等の防止策として、データの暗号化又はパスワードに合よる保護等を行っているか。

発覚した場合に漏えい等事案が発覚した場合 任ある立場の者に直ちに報告するとともに、被害の拡大のある事案その他の番号法違反の事案又は番防止に必要な措置を講じているか。
漏えい等事案が発覚した場合

漏えい等事案が発覚した場合講ずべき措置漏えい等事案が漏えい等事案が発覚した場合講ずべき措置漏えい等事案が発覚した場合に－★

管理措置を講じなければならない。

漏えい等事案とは、漏えい等又はそのおそれ発覚した場合に－★

番号関係事務を行っている場 アカウント制御）により、情報システムを取り扱う事務

漏えい等事案が79 別添2

責任ある立場の者が確認しているか。

外部からの不正講ずべき措置78 別添2－

るか。

漏えい等事案の内容等に応じて、事業者内部における責発覚した場合に=63

情報システムを使用して個人 機器に標準装備されているユーザー制御機能（ユーザー漏えい等事案が77 別添2

又は廃棄したことについて、証明書等により確認してい漏えい等事案が発覚した場合に自動判定

これらの作業を委託する場合には、委託先が確実に削除

ファイルの範囲を限定するために、適切なアクセス制御

講ずべき措置76 別添2

削除又は廃棄した記録を保存しているか。

を行っているか。

講ずべき安全措 技術的安全管理 情報漏えい等の
置の内容

－

合

アクセス制御講ずべき安全措 技術的安全管理 情報漏えい等の置の内容－

個人番号若しくは特定個人情講ずべき安全措 技術的安全管理 情報漏えい等の置の内容－で削除又は廃棄しているか。

事務取扱担当者及び当該事務で取り扱う特定個人情報アクセス制御★

場合、個人番号をできるだけ速やかに復元不可能な手段

子媒体等の廃棄除、機器及び電★

個人番号関係事務又を行う必要がなくなった場合で、所個人番号の削

個人番号の削★

か。

漏えい等事案が発覚した場合講ずべき措置号法違反のおそれのある事案

漏えい等事案の内容等に応じて、事実関係の調査及び原因の究明に必要な措置を講じているか。
漏えい等事案の内容等に応じて、把握した事実関係による影響範囲の特定のために必要な措置を講じているか。
107項の結果を踏まえ、漏えい等事案の再発防止策の検討及び実施に必要な措置を講じているか。
漏えい等事案の内容等に応じて、委員会への報告及び本人への通知に必要な措置を講じているか。
次の⑴から⑷までに掲げる事態（以下「報告対象事態」という。）を知ったときは、委員会に報告したか。ただし、高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じられている場合は除く。
(1)次に掲げる特定個人情報の漏えい等が発生し、又は発生したおそれがある事態
・情報提供ネットワークシステム及びこれに接続された
電子計算機に記録された特定個人情報
・個人番号利用事務実施者が個人番号利用事務を処理するために使用する情報システムにおいて管理される特定

80 別添2

委員会への報告

報告対象となる
事態

個人情報報告対象事態を知った場合(2)次に掲げる事態
・不正の目的をもって行われたおそれがある特定個人情報の漏えい等が発生し、又は発生したおそれがある事態
・不正の目的をもって、特定個人情報が利用され、又は利用されたおそれがある事態

漏えい等とは、漏えい、滅失若しくは毀損「不正の目的をもって」イからハに該当する事態を発生させた主体には、第三者のみならず、従業者も含まれる。
番号法第9条：個人番号を利用することができる範囲について、社会保障、税及び災害対策に関する特定の事務に限定している。
第19条：特定個人情報の提供の制限

・不正の目的をもって、特定個人情報が提供され、又は提供されたおそれがある事態(3)保有する特定個人情報ファイルに記録された特定個人
情報が電磁的方法により不特定多数の者に閲覧され、又は閲覧されるおそれがある事態(4)次に掲げる特定個人情報に係る本人の数が 100 人を超える事態
個人情報保護委員会のホームページの報告フォームに入力する方法により、次の事項を速やか(3～5日以内)に速報として報告したか。
(1)概要(2)特定個人情報の項目(3)特定個人情報に係る本人の数(4)原因(5)二次被害又はそのおそれの有無及びその内容(6)本人への対応の実施状況(7)公表の実施状況
81 別添2

委員会への報告 速報

報告対象事態を知った場合(8)再発防止のための措置(9)その他参考となる事項

速報時点での報告内容については、報告をしようとする時点において把握している内容を報告すれば足りる。
(1)発生日、発覚日、発生事案、発見者、規則
第２条各号該当性、委託元及び委託先の有
無、事実経過等を報告する。
(2)特定個人情報の項目について、媒体や種類（顧客情報、従業員情報の別等）とともに報告する。
(4)当該事態が発生した原因について、当該事態が発生した主体（報告者又は委託先）とともに報告する。
(5)当該事態に起因して発生する被害又はそのおそれの有無及びその内容について報告する。
(8)漏えい等事案が再発することを防止するために講ずる措置について、実施済みの措置と今後実施予定の措置に分けて報告する。
(9)委員会が事態を把握する上で参考となる事項を報告する。

速報（前項）に加え、30 日以内または60 日以内（111項 30 日以内又は 60 日以内は報告期限であり、に該当）に個人情報保護委員会に確報として前項(1)~(9) 可能である場合には、より早期に報告するこを報告したか。

とが望ましい。
確報を行う時点（報告対象事態を知った日か

82 別添2

委員会への報告 確報

ら 30 日以内又は60 日以内）において、合理

報告対象事態を知った場合的努力を尽くした上で、一部の事項が判明し

★

－

－

★

－

－

★

－

－

★

－

－

★

－

－

★

－

－

★

－

－

★

－

－

ておらず、全ての事項を報告することができない場合には、その時点で把握している内容を報告し、判明次第、報告を追完するものとする。
112項の(1)～(9)のうち、その時点で把握しているもの
83 別添2

委員会への報告84 別添2

委員会への報告「速やか」の日数の目安については、個別の委託元への通知

委託先として報告対象事態を を、当該事態が発生を知った時点から速やかに個人情報

の例外

知った場合

委託元への通知

委託先で漏えい等事案が発覚 るものを、当該事態が発生を知った時点から速やかに通事案によるものの、委託先が当該事態の発生

の例外

した場合

知を受けた場合は、委託元として個人情報保護委員会にを知った時点から概ね 3～5 日以内である。

保護委員会に変えて委託元に通知したか。

事案によるものの、委託先が当該事態の発生を知った時点から概ね 3～5 日以内である。

委託先で112項の(1)～(9)のうち、その時点で把握してい 「速やか」の日数の目安については、個別の速やかに報告したか。
通知対象となる
85 別添2

本人への通知事態及び通知義

報告対象事態を知った場合本人への通知を行ったか。

務の主体「当該事態の状況に応じて速やかに」とは、速やかに通知を行うことを求めるものである
86 別添2

本人への通知通知の時間的制
限報告対象事態を知った場合本人への通知は、当該事態の状況に応じて速やかに行ったか。

が、具体的に通知を行う時点は、個別の事案において、その時点で把握している事態の内
容、通知を行うことで本人の権利利益が保護される蓋然性、本人への通知を行うことで生じる弊害等を勘案して判断する。
これらの事項が全て判明するまで本人への通知をする必要がないというものではく、本人への通知は、「当該事態の状況に応じて速やかに」行う必要がある。

87 別添2

本人への通知通知の内容

報告対象事態を知った場合本人へ通知すべき事項については、漏えい等報告におけ本人への通知については、「本人の権利利益

る報告事項のうち、「概要」、「特定個人情報の項を保護するために必要な範囲において」行う目」、「原因」、「二次被害又はそのおそれの有無及びものである。 また、当初報告対象事態に該当その内容」及び「その他参考となる事項」に限定したすると判断したものの、その後実際には報告か。

対象事態に該当していなかったことが判明した場合には、本人への通知が「本人の権利利益を保護するために必要な範囲において」行
うものであることに鑑み、本人への通知は不要である。

88 別添2

本人への通知通知の方法

報告対象事態を知った場合「本人への通知」とは、本人に直接知らしめることをい漏えい等報告と異なり、本人への通知についい、特定個人情報の取扱状況に応じ、通知すべき内容がては、その様式が法令上定められていない

本人に認識される合理的かつ適切な方法により行ったが、本人にとって分かりやすい形で通知を行か。

うことが望ましい。

本人への通知を要する場合であっても、本人への通知が89 別添2

本人への通知通知の例外

報告対象事態を知った場合困難である場合は、本人の権利利益を保護するために必要な代替措置を講じたか。

代替措置として事案の公表を行わない場合であっても、当該事態の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点か
ら、公表を行うことが望ましい。