参考資料１

地方公共団体等1向け指針と行政機関等2向け指針との差異
第１考え方

１

地方公共団体

情報保護評価の趣旨・目的○ 一度流出した情報はその回収が困難であるなど、プライバシー侵害はその回復が容易でない側面も多い。そのためプライバシー保護のためには事後的な対応のみでは足りず、事前の評価・確認を行うことが重要である。
また、番号制度では原則として、本人同意を前提としない仕組みが想定されている。そのため、各機関における特定個人情報ファイルの取扱いや当該ファイルを取り扱うシステムに対する透明性を増し、各機関がどのような情報を収集するのか、なぜ情報を収集するのか、どのように情報を利用するのか、どのように情報を安全に管理するのかについて、国民に対しわかりやすい説明を行うことが重要である。
地方公共団体と特定個人情報ファイル○ 社会保障・税番号制度が導入されれば、地方公共団体は、住民一人ひとりに対しマイナンバーを通知する義務を負う（行政手続における特定の個人を識別するための番号の利用等に関する法律（以下「マイナンバー法」という。）
第４条第１項並びにマイナンバー法附則第３条第１項及び第２項）だけでなく、マイナンバーの利用範囲である社会保障・税・防災分野において、マイナンバーを利用して様々な業務を遂行していくことが予想されるため、行政機関等と同様に、多数の特定個人情報ファイルが地方公共団体においても取り扱われることとなる。そのため、地方公共団体においても行政機関等と同様に、特定個人情報ファイルの適切な取扱いを確保する必要があり、事前の評価・確認を行うことが重要である。
また、地方公共団体は、住民等に対し、特定個人情報ファイルの取扱い等について積極的な説明責任を果たすべきである。
情報保護評価の趣旨・目的は地方公共団体においても同様に当てはまるものであり、これらの点を踏まえると、地方公共団体においても、情報保護評価に

1

2

地方公共団体及び地方独立行政法人を「地方公共団体等」という。以下同じ。
行政機関、独立行政法人等、機構及び情報提供ネットワークシステムを使用する事業者を「行政機関等」という。以下同じ。

つき、原則として行政機関等と同様の取り扱いとすべきであると考えられる。
○

一方で、地方公共団体においては、情報保護評価が導入される以前より、これに類似する仕組みを既に導入していたり、条例等において行政機関個人情報保護法よりもさらに個人情報保護・プライバシー保護に厚い措置を講じていたりするなど、さまざまな取組みが既になされているところである。
そもそも、国は、地方公共団体に関する制度の策定及び施策の実施に当たって、地方公共団体の自主性及び自立性が十分に発揮されるようにしなければならず（地方自治法第１条の２第２項）、国の関与を受け、又は要することとする場合には、その目的を達成するために必要な最小限度のものとするとともに、地方公共団体の自主性及び自立性に配慮しなければならない（同法第２４５条の３第１項）とされている。

○２

そこで、情報保護評価の多くの点は、地方公共団体においても同様の取り扱いとするものの、後記第２に記載する、個人番号情報保護委員会(以下「委員会」という。)による承認については、行政機関等と異なる仕組みを設けることとする。
地方独立行政法人○ 地方独立行政法人における個人情報の取扱いは、従来、当該地方独立行政法人を設立する地方公共団体の条例に一般に服してきているものと考えられることから、情報保護評価についても地方公共団体同様の仕組みとすることとし、地方公共団体同様、後記第２に記載する、委員会による承認については、行政機関等と異なる仕組みを設けることとする。

2

第２１

地方公共団体等と行政機関等における情報保護評価の仕組みの相違点
承認（１）全項目評価○ 全項目評価は、当該機関自身による評価にとどまらず、委員会による承認を経なければならないものとされているが、地方公共団体等の実施する全項目評価については、地方公共団体の特性を踏まえ、委員会の承認対象とせず、原則として、当該地方公共団体の設置する個人情報保護審議会等の諮問機関に対し諮問した上で当該地方公共団体の機関の長又は地方独立行政法人の長が承認を行うこととする。なお、その他の方法として、諮問を他の地方公共団体に対し事務委託したり、他の地方公共団体と共同設置した機関等に対し諮問した上で、特定個人情報ファイルを保有する地方公共団体の機関の長又は地方独立行政法人の長が承認を行うことも考えられる。（※）（２）重点項目評価○ 重点項目評価は、当該機関自身により評価されるものであるが、その厳格な実施を担保するため、委員会が抽出点検を行うものとされている。地方公共団体等の実施する重点項目評価の抽出点検については、原則として、当該地方公共団体の設置する個人情報保護審議会等の諮問機関に対し全件報告した上で、当該諮問機関が点検対象を任意に抽出して点検するものとする。なお、その他の方法として、上記全項目評価と同様、事務の委託や機関等の共同設置も考えられる（※）。

※ 情報保護評価書と委員会○ なお、委員会は、地方公共団体等の実施する情報保護評価を承認又は抽出点検しなくとも、地方公共団体等における情報保護評価に一切関与しないものではない。
委員会は、マイナンバー法の施行に必要な限度において、地方公共団体等に対し、情報保護評価に係る報告を求めたり（第４７条第１項）、情報保護評価に関する助言・指導を行う（第４５条）ことができ、また、地方公共団体等がマイナンバー法をはじめとする法令に違反する場合においては、勧告及び命令を行うこともできる（第４６条）ため、これらの権限に基づき、情報保護評価の再実施等を求めることができる。

3

○ また、地方公共団体等は、委員会の承認を受ける必要はないが、しきい値評
価書、重点項目評価書及び全項目評価書を委員会に提出するものとする旨を、委員会規則において規定することとする。
これにより、委員会は、各機関のしきい値評価書、重点項目評価書及び全項目評価書を把握することができ、必要な場合には各種権限を行使することで法運用の統一性・法適合性を確保するための調整などを行うことができるようにする。

２

意見聴取

○ 全項目評価は、委員会による承認を受ける前に、評価書を公示し、広く国民の意見を求めたうえで、評価書に必要な見直しを行わなければならないものとされている。
○

地方公共団体等の実施する全項目評価についても、広く国民から意見聴取を行うこととする。その具体的な方法としては、パブリックコメントによることなどが考えられる。但し、パブリックコメントの仕組み以外であっても、広く国民の意見を求めることができる方法であれば、任意の方法にて、意見聴取することができる。

4

第３

情報保護評価に係る条例改正の要否○ マイナンバー法では、情報保護評価の対象を「特定個人情報ファイル」と規定している（同法第１５条第１項）。地方公共団体及び地方独立行政法人において、「特定個人情報ファイル」とは、個人情報保護法第２条第２項に規定する個人情報データベース等であって、個人番号をその内容に含むものをいう（マイナンバー法第２条第８項及び第４項）3。
個人情報の保護に関する法律（平成十五年五月三十日法律第五十七号）（抄）
（定義）
第二条
１

（略）

２

この法律において「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるものをいう。
一

特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの

二

前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの

３～６

（略）

個人情報の保護に関する法律施行令（平成十五年十二月十日政令第五百七号）（抄）（個人情報データベース等）
第一条

個人情報の保護に関する法律 （以下「法」という。）第二条第二項第二号 の政令で定めるものは、これに含まれる個人情報を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するものをいう。

○ 条例において「個人情報データベース等」に該当する定義が設けられていない場合であっても、条例改正をせずとも、マイナンバー法及び個人情報保護3

なお、行政機関において「特定個人情報ファイル」とは、行政機関個人情報保護法第２条第４項に規定する個人情報ファイルであって、個人番号をその内容に含むものをいい、独立行政法人等において「特定個人情報ファイル」とは、独立行政法人等個人情報保護法第２条第４項に規定する個人情報ファイルであって、個人番号をその内容に含むものをいい、民間事業者において「特定個人情報ファイル」とは、地方公共団体及び地方独立行政法人と同様に、個人情報保護法第２条第２項に規定する個人情報データベース等であって、個人番号をその内容に含むものをいう（マイナンバー法第２条第８項及び第４項）。
5

法に基づき、上記の「特定個人情報ファイル」に対する情報保護評価の義務付けが、地方公共団体及び地方独立行政法人に対し課せられることとなる4。
○ 地方公共団体の現行個人情報保護条例においては、規制対象として、「個人情報」、「個人情報ファイル」、「個人情報取扱事務」などの概念が用いられている例が多い。また、条例でシステム用ファイルのみを「個人情報ファイル」として定義している例もみられるが、かかる場合でも、マイナンバー法及び個人情報保護法に基づき、「特定個人情報ファイル」、すなわち個人情報保護法第２条第２項に規定する個人情報データベース等であって、個人番号をその内容に含むものは、手作業用ファイルであっても、委員会規則（指針上では第４の３）で例外として定められない限り、情報保護評価の対象となる点に留意されたい。
○

したがって、情報保護評価は、地方公共団体において条例改正を行わずとも、マイナンバー法に基づき地方公共団体に対し義務付けられるものである。
もっとも、情報保護評価の実施のために、条例改正を行う必要がある場合も考えられ、たとえば情報保護評価の承認について個人情報保護審議会へ諮問を行うに際し、個人情報保護審議会設置条例等を改正し、個人情報保護審議会の所掌事務を追加することなどの対応が求められる。また、情報保護評価について、マイナンバー法に定められたもの以上の措置を当該地方公共団体等に義務づけるような場合は、上乗せ条例5あるいは横出し条例6として、条例を改正等することも考えられる。

○

なお、情報保護評価を含め、地方公共団体におけるマイナンバーに係る条例の改正等の詳細については、別途、地方公共団体向けの情報提供を検討する。

4

但し、具体的な情報保護評価書の単位としては、行政機関等と同様、特定個人情報ファイルの取扱いわかりやすさの観点から検討するものとする。したがって、一つの評価書において複数の特定個人情報ファイルをまとめて記載することも可能であり、一つの評価書に一つのシステムの評価が記載されることが通常となると考えられる。

5

国の法令に基づいて規制が加えられている事項について、当該法令と同一の目的でそれよりも厳しい規制を定める条例をいう（宇賀克也『地方自治法』１７６ページ（有斐閣、第４版、２０１１年））。

6

国の法令と条例が同一目的で規制を行う場合において、法令で規制が加えられていない項目について規制する条例をいう（宇賀克也『地方自治法』１７７ページ（有斐閣、第４版、２０１１年））。
6