特定個人情報の適正な取扱いに関するガイドライン（事業者編）（平成26年特定個人情報保護委員会告示第５号）の一部改正の新旧対照表○平成26年特定個人情報保護委員会告示第５号（特定個人情報の適正な取扱いに関するガイドライン（事業者編））（赤字傍線部分は改正部分）
改正後

改正前

特定個人情報の適正な取扱いに関するガイドライン

特定個人情報の適正な取扱いに関するガイドライン(事業者編)(事業者編)

目次

目次

第１・第２
第３

第１・第２

[略]

第３

総論

第３－１～第３－５[略]総論

第３－１～第３－５

[略]

[略]

※令和４年４月１日から施行

第３－６

特定個人情報の漏えい等事案が発生した場合の対

第３－６

特定個人情報の漏えい事案等が発生した場合の対応

第３－７

[略]

第３－７

[略]

応
第４

第４

[略]

[略]

※令和４年４月１日から施行（別添）特定個人情報に関する安全管理措置（事業者編）（別添１）特定個人情報に関する安全管理措置（事業者編）※令和４年４月１日から施行[新設]（別添２）特定個人情報の漏えい等に関する報告等（事業者
編）
第１

[略]

第１

[略]

第２

用語の定義等第２

用語の定義等

本ガイドラインで使用する用語の定義等については、法令上の本ガイドラインで使用する用語の定義等については、法令上

1

改正後

改正前

の定義等に従い、次の表のとおりとする。

定義等に従い、次の表のとおりとする。

項番

項番

①～

用語
[略]

定義等
[略]

①～

⑧
⑨

[略]

定義等
[略]

⑧
情 報 提 供 等 の 内閣総理大臣、情報照会者及び情報提
記録

⑩～

用語

[略]

⑨

供者又は条例事務関係情報照会者及び

情 報 提 供 等 の 総務大臣、情報照会者及び情報提供者
記録又は条例事務関係情報照会者及び条例

条例事務関係情報提供者は、番号法第事務関係情報提供者は、番号法第19条

19条第８号又は第９号の規定により情第７号又は第８号の規定により情報提報提供ネットワークシステムを使用し供ネットワークシステムを使用して特て特定個人情報の提供の求め又は提供

定個人情報の提供の求め又は提供があがあった場合には、情報提供ネットワ

った場合には、情報提供ネットワーク

ークシステムに接続されたその者の使システムに接続されたその者の使用す用する電子計算機（内閣総理大臣におる電子計算機（総務大臣においては情

いては情報提供ネットワークシステ

報提供ネットワークシステム）に、情

ム）に、情報照会者及び情報提供者又報照会者及び情報提供者又は条例事務

は条例事務関係情報照会者及び条例事

関係情報照会者及び条例事務関係情報

務関係情報提供者の名称、提供の求め

提供者の名称、提供の求め及び提供の及び提供の日時、特定個人情報の項目

日時、特定個人情報の項目等を記録す

等を記録することとされており、当該ることとされており、当該記録をいう

記録をいう（→第４－７２Ｂ）。

（→第４－７２Ｂ）。

【番号法第23条、第26条】【番号法第23条、第26条】

[略]

⑩～

⑭

⑭

2

[略]

[略]

改正後

第３

改正前

総論

第３

総論

第３－１～第３－３ [略]第３－１～第３－３ [略]

第３－４

第３－４

番号法の特定個人情報に関する保護措置

⑴・⑵
⑶

[略]

番号法の特定個人情報に関する保護措置⑴・⑵ [略]

罰則の強化

⑶

罰則の強化

個人情報保護法における個人情報取扱事業者に対する罰則

個人情報保護法における個人情報取扱事業者に対する罰則の適用は、個人情報データベース等を不正な利益を図る目的の適用は、個人情報データベース等を不正な利益を図る目的

で提供等した場合、委員会からの是正命令に違反した場合、で提供等した場合、委員会からの是正命令に違反した場合、

虚偽報告を行った場合等に限られている。一方、番号法にお虚偽報告を行った場合等に限られている。一方、番号法においては、類似の刑の上限が引き上げられているほか、正当ないては、類似の刑の上限が引き上げられているほか、正当な理由なく特定個人情報ファイルを提供したとき、不正な利益

理由なく特定個人情報ファイルを提供したとき、不正な利益を図る目的で個人番号を提供、盗用したとき、人を欺く等しを図る目的で個人番号を提供、盗用したとき、人を欺く等して個人番号を取得したときの罰則を新設する等罰則が強化さて個人番号を取得したときの罰則を新設する等罰則が強化されている（番号法第48条から第55条の３まで）。

れている（番号法第48条から第55条まで）。

なお、次表①から⑤までは、日本国外においてこれらの罪

なお、次表①から⑤までは、日本国外においてこれらの罪を犯した者にも適用される（同法第56条）。また、法人（法を犯した者にも適用される（同法第56条）。また、法人（法人でない団体で代表者又は管理人の定めのあるものを含む。

人でない団体で代表者又は管理人の定めのあるものを含む。

以下この項目において同じ。）の代表者若しくは管理人又は以下この項目において同じ。）の代表者若しくは管理人又は法人若しくは人の代理人、使用人その他の従業者が、その法法人若しくは人の代理人、使用人その他の従業者が、その法人又は人の業務に関して、次表①、②、④又は⑥から⑧まで

人又は人の業務に関して、次表①、②、④又は⑥から⑧までの違反行為をしたときは、その行為者を罰するほか、その法の違反行為をしたときは、その行為者を罰するほか、その法人又は人に対しても、罰金刑が科される（同法第57条第１

人又は人に対しても、罰金刑が科される（同法第57条第１

項）。

項）。
3

改正後

項番

行為

①

個人番号関係事
務又は個人番号
利用事務に従事する者又は従事していた者が、正当な理由なく、特定個人情報ファイルを提供②

上記の者が、不正な利益を図る
目的で、個人番号を提供又は盗
用

改正前

番号法

行為者

４年以下の懲役若 し く は 200 万円以下の罰金又は 併 科 （ 第 48条）

法人

１億円以下の罰金（第57条第１
項第１号）

行為者

３年以下の懲役若 し く は 150 万円以下の罰金又は 併 科 （ 第 49条）

法人

１億円以下の罰金（第57条第１
項第１号）

個人情報
保護法の
類似規定

項番

①

－

１年以下
の懲役又
は50万円
以下の罰
金（第84
条）
１億円以
下の罰金
（第87条
第１項第
１号）

②

4

行為

個人番号関係事務又は個人
番号利用事務に従事する者
又は従事していた者が、正当な理由なく、特定個人情報ファイルを提供

上記の者が、不正な利益を図る目的で、個人番号を提
供又は盗用

番号法

個人情報保護法の類似規定４年以下の懲役若しくは200 万 円 以 下の罰金又は併科（第48条）－３年以下の懲役若しくは150 万 円 以 下の罰金又は併科（第49条）

１年以下の懲役又は50万円以下の罰金（第83条）

③④⑤

情報提供ネット
ワークシステムの事務に従事する者又は従事していた者が、情報提供ネットワークシステムに関する秘密を漏
えい又は盗用人を欺き、人に暴行を加え、人を脅迫し、又は、財物の窃
取、施設への侵入、不正アクセス等により個人
番号を取得
国の機関の職員等が、職権を濫用して、専らその職務の用以外の用に供する目
的で、特定個人情報が記録された文書等を収集

改正後

改正前

行為者

同上（第50条）③

情報提供ネットワークシス
テムの事務に従事する者又は従事していた者が、情報提供ネットワークシステム
に関する秘密を漏えい又は盗用同上（第50
条）

－

行為者
及び法
人

３年以下の懲役
又 は 150 万 円 以下の罰金（第51条、第57条第１
項第２号）④

人を欺き、人に暴行を加え、人を脅迫し、又は、財物の窃取、施設への侵入、
不正アクセス等により個人
番号を取得

３年以下の懲役 又 は 150 万円以下の罰金
（第51条）－

行為者

２年以下の懲役
又 は 100 万 円 以下の罰金（第52条）⑤

国の機関の職員等が、職権を濫用して、専らその職務の用以外の用に供する目的
で、特定個人情報が記録された文書等を収集

２年以下の懲役 又 は 100 万円以下の罰金
（第52条）

－

－

－

－

5

改正後

行為者

⑥

委員会から命令を受けた者が、委員会の命令に違反⑦

委員会に対する、虚偽の報告、虚偽の資料
提出、検査拒否等⑧

偽りその他不正の手段により個
人番号カードを取得

改正前
２年以下の懲役又は50万円以下の 罰 金 （ 第 53条）

法人

１億円以下の罰金（第57条第１
項第１号）

行為者
及び法
人

１年以下の懲役又は50万円以下の 罰 金 （ 第 54条、第57条第１
項第２号）

行為者
及び法
人

６月以下の懲役又は50万円以下の 罰 金 （ 第 55条、第57条第１
項第２号）

１年以下
の懲役又
は 100 万
円以下の
罰金（第
83条）
１億円以
下の罰金
（ 第 87 条
第１項第１号）
50 万 円 以
下の罰金（ 第 85条 、 第 87
条第１項
第２号）

－

⑥

委員会から命令を受けた者
が、委員会の命令に違反

２年以下の懲役又は50万円以下の罰金（第53条）⑦

委員会に対する、虚偽の報告、虚偽の資料提出、検査拒否等

１年以下の懲役又は50万円以下の罰金（第54条）

30万円以下の罰 金 （ 第 85条）

偽りその他不正の手段により個人番号カードを取得

６月以下の懲役又は50万円以下の罰金（第55条）－⑧

第３－５ [略]６月以下の懲役又は30万円以下の罰金（第84条）

第３－５

[略]

第３－６

特定個人情報の漏えい事案等が発生した場合の対応※令和４年４月１日から施行

第３－６

特定個人情報の漏えい等事案が発生した場合の対応

個人データの漏えい等事案が発生した場合、個人情報取扱

個人情報の漏えい事案の発生等個人情報保護法違反又は同法

事業者は個人情報保護法、「個人情報の保護に関する法律施違反のおそれが発覚した場合、個人情報取扱事業者は個人情報

6

改正後

改正前

行規則」及び個人情報保護法ガイドライン等に基づき報告等

保護法ガイドライン等に基づき報告が求められているところでが求められているところであるが、特定個人情報の漏えい等あるが、事業者の特定個人情報の漏えい事案等が発生した場合事案が発生した場合、事業者には、番号法第29条の４、「行の対応については、関係省庁等と連携を図ることとし、別に定政手続における特定の個人を識別するための番号の利用等にめる。

関する法律第29条の４第１項及び第２項に基づく特定個人情報の漏えい等に関する報告等に関する規則」（平成27年特定個人情報保護委員会規則第５号）及び本ガイドライン「（別添２）特定個人情報の漏えい等に関する報告等（事業者編）」に基づき報告等が求められる。
※[削除]

特定個人情報の漏えい事案等が発生した場合の対応の具体的な内容については、番号法第29条の４及び「特定個人情報の漏えいその他の
特定個人情報の安全の確保に係る重大な事態の報告に関する規則」（平成27年特定個人情報保護委員会規則５号）並びに「事業者における特定個人情報の漏えい事案等が発生した場合の対応について」（平成27年特定個人情報保護委員会告示第２号）を参照のこと。

第３－７
第４

第３－７

[略]

第４

各論

[略]

各論

第４－１

[略]

第４－１

[略]

第４－２

特定個人情報の安全管理措置等

第４－２

特定個人情報の安全管理措置等

第４－２－⑴

第４－２－⑴

委託の取扱い7

委託の取扱い

改正後

改正前

要点
○

要点
[略]

○

[略]

※令和４年４月１日から施行※○

安全管理措置の具体的な内容については、「第４－２－⑵※安安全管理措置の具体的な内容については、「第４－２－⑵安全全管理措置」及び「（別添１）特定個人情報に関する安全管理措

管理措置」及び「（別添）特定個人情報に関する安全管理措置（事置（事業者編）」を参照のこと。

業者編）」を参照のこと。

○

[略]

[略]

（関係条文）[略]（関係条文）[略]１

１

委託先の監督（番号法第11条、個人情報保護法第22条）

委託先の監督（番号法第11条、個人情報保護法第22条）

Ａ

[略]

Ａ

[略]

Ｂ

必要かつ適切な監督

Ｂ

必要かつ適切な監督※令和４年４月１日から施行「必要かつ適切な監督」には、①委託先の適切な選定、②委「必要かつ適切な監督」には、①委託先の適切な選定、②委

託先に安全管理措置を遵守させるために必要な契約の締結、③

託先に安全管理措置を遵守させるために必要な契約の締結、③

委託先における特定個人情報の取扱状況の把握が含まれる。

委託先における特定個人情報の取扱状況の把握が含まれる。

委託先の選定については、委託者は、委託先において、番号

委託先の選定については、委託者は、委託先において、番号法に基づき委託者自らが果たすべき安全管理措置と同等の措置

法に基づき委託者自らが果たすべき安全管理措置と同等の措置が講じられるか否かについて、あらかじめ確認しなければならが講じられるか否かについて、あらかじめ確認しなければならない。具体的な確認事項としては、委託先の設備、技術水準、ない。具体的な確認事項としては、委託先の設備、技術水準、従業者（注）に対する監督・教育の状況、その他委託先の経営環

従業者（注）に対する監督・教育の状況、その他委託先の経営環

境等が挙げられる。

境等が挙げられる。
委託契約の締結については、契約内容として、秘密保持義

委託契約の締結については、契約内容として、秘密保持義
8

改正後

２

務、事業所内からの特定個人情報の持ち出しの禁止、特定個人

務、事業所内からの特定個人情報の持ち出しの禁止、特定個人情報の目的外利用の禁止、再委託における条件、漏えい等事案

情報の目的外利用の禁止、再委託における条件、漏えい事案等が発生した場合の委託先の責任、委託契約終了後の特定個人情が発生した場合の委託先の責任、委託契約終了後の特定個人情報の返却又は廃棄、従業者に対する監督・教育、契約内容の遵報の返却又は廃棄、従業者に対する監督・教育、契約内容の遵守状況について報告を求める規定等を盛り込まなければならな

守状況について報告を求める規定等を盛り込まなければならない。また、これらの契約内容のほか、特定個人情報を取り扱う

い。また、これらの契約内容のほか、特定個人情報を取り扱う

従業者の明確化、委託者が委託先に対して実地の調査を行うこ従業者の明確化、委託者が委託先に対して実地の調査を行うことができる規定等を盛り込むことが望ましい。

とができる規定等を盛り込むことが望ましい。

委託先における特定個人情報の取扱状況の把握については、委託先における特定個人情報の取扱状況の把握については、

前記の契約に基づき報告を求めること等により、委託契約で盛前記の契約に基づき報告を求めること等により、委託契約で盛り込んだ内容の実施の程度を把握した上で、委託の内容等の見り込んだ内容の実施の程度を把握した上で、委託の内容等の見直しを検討することを含め、適切に評価することが望ましい。

直しを検討することを含め、適切に評価することが望ましい。

（注）[略]（注）[略]

２[略]第４－２－⑵●改正前[略]第４－２－⑵

安全管理措置

●

[略]

[略]

（注）[略]（注）[略]

9

安全管理措置改正後

改正前※令和４年４月１日から施行※※

安全管理措置の具体的な内容については、「（別添１）特定個人

関する安全管理措置（事業者編）」を参照のこと。

情報に関する安全管理措置（事業者編）」を参照のこと。

第４－３

特定個人情報の提供制限等

安全管理措置の具体的な内容については、「（別添）特定個人情報に

第４－３

特定個人情報の提供制限等

第４－３－⑴[略]

第４－３－⑴[略]

第４－３－⑵

個人番号の提供の求めの制限、特定個人情報の提第４－３－⑵

個人番号の提供の求めの制限、特定個人情報の提

供制限

供制限

要点

要点

[略]

[略]

１

[略]

１

[略]

２

特定個人情報の提供制限（番号法第19条）

２

特定個人情報の提供制限（番号法第19条）
何人も、番号法で限定的に明記された場合を除き、特定個人情

何人も、番号法で限定的に明記された場合を除き、特定個人報を「提供」してはならない。

情報を「提供」してはならない。
事業者が特定個人情報を提供できるのは、社会保障、税及び事業者が特定個人情報を提供できるのは、社会保障、税及び災災害対策に関する特定の事務のために従業員等の特定個人情報害対策に関する特定の事務のために従業員等の特定個人情報を行を行政機関等及び健康保険組合等に提供する場合等に限られ政機関等及び健康保険組合等に提供する場合等に限られる。

る。
Ａ

Ａ

「提供」の意義について「提供」の意義について「提供」とは、法的な人格を超える特定個人情報の移動を意「提供」とは、法的な人格を超える特定個人情報の移動を意
10

改正後

改正前

味するものであり、同一法人の内部等の法的な人格を超えない味するものであり、同一法人の内部等の法的な人格を超えない

特定個人情報の移動は「提供」ではなく「利用」に当たり、利

特定個人情報の移動は「提供」ではなく「利用」に当たり、利用制限（番号法第９条、第29条、第30条第３項）に従うことと用制限（番号法第９条、第29条、第30条第３項）に従うことと

なる。

なる。

なお、個人情報保護法においては、特定の者との間で共同

なお、個人情報保護法においては、特定の者との間で共同しして利用される個人データが当該特定の者に提供される場合にて利用される個人データが当該特定の者に提供される場合には、第三者提供に当たらないとしている（個人情報保護法第23は、第三者提供に当たらないとしている（個人情報保護法第23条第５項第３号）が、番号法においては、個人情報保護法第23条第５項第３号）が、番号法においては、個人情報保護法第23条第５項第３号の適用を除外している（番号法第30条第３項）

条第５項第３号の適用を除外している（番号法第30条第３項）

ことから、この場合も通常の「提供」に当たり、提供制限（同ことから、この場合も通常の「提供」に当たり、提供制限（同法第14条から第16条まで、第19条、第20条、第30条第３項）に

法第14条から第16条まで、第19条、第20条、第30条第３項）に従うこととなる。

従うこととなる。

＊

[略]

＊

[略]

＊

「提供」に当たる場合＊「提供」に当たる場合

事業者甲から事業者乙へ特定個人情報が移動する場合は「提供」に事業者甲から事業者乙へ特定個人情報が移動する場合は「提供」に当たる。同じ系列の会社間等での特定個人情報の移動であっても、別当たる。同じ系列の会社間等での特定個人情報の移動であっても、別の法人である以上、「提供」に当たり、提供制限に従うこととなるたの法人である以上、「提供」に当たり、提供制限に従うこととなるため留意が必要である。例えば、ある従業員等が甲から乙に出向又は転め留意が必要である。例えば、ある従業員等が甲から乙に出向又は転籍により異動し、乙が給与支払者（給与所得の源泉徴収票の提出義務

籍により異動し、乙が給与支払者（給与所得の源泉徴収票の提出義務者）になった場合には、甲・乙間で従業員等の個人番号を受け渡すこ者）になった場合には、甲・乙間で従業員等の個人番号を受け渡すことはできず、乙は改めて本人から個人番号の提供を受けなければならとはできず、乙は改めて本人から個人番号の提供を受けなければならない。ただし、Bｄに該当する場合には、甲から乙に対し、個人番号

ない。

11

改正後

改正前

を提供することが認められる。

＊

[略]

＊

[略]

＊

上記の事例において、従業員等の出向に伴い、本人の同意を得るこ＊

上記の事例において、従業員等の出向に伴い、本人を介在させることなく、共有データベース内で自動的にアクセス制限を解除する等しとなく、共有データベース内で自動的にアクセス制限を解除する等して出向元の会社のファイルから出向先の会社のファイルに個人番号をて出向元の会社のファイルから出向先の会社のファイルに個人番号を移動させることは、提供制限に違反することになるので、留意する必

移動させることは、提供制限に違反することになるので、留意する必

要がある。

要がある。

[削除]

一方、共有データベースに記録された個人番号を出向者本人の意思に基づく操作により出向先に移動させる方法をとれば、本人が新たに個人番号を出向先に提供したものとみなすことができるため、提供制限には違反しないものと解される。なお、この場合には、本人の意思に基づかない不適切な個人番号の提供が行われないよう、本人のアクセス及び識別について安全管理措置を講ずる必要がある。
また、本人確認については、「行政手続における特定の個人を識別するための番号の利用等に関する法律施行規則」（平成26年内閣
府・総務省令第３号。以下「番号法施行規則」という。）第３条又は代理人が行う場合は同施行規則第10条に従って手続を整備しておけ
ば、本人確認に係る事務を効率的に行うことが可能と解される。

Ｂ

特定個人情報を提供できる場合（番号法第19条第１号からＢ

第17号まで）

特定個人情報を提供できる場合（番号法第19条第１号から第16号まで）

12

改正後

改正前

特定個人情報を提供できる場合として、番号法第19条各号

特定個人情報を提供できる場合として、番号法第19条各号がが定めているもののうち事業者が関わるものは、次のとおり

定めているもののうち事業者が関わるものは、次のとおりであ

である。

る。

ａ～ｃ

ａ～ｃ

ｄ

[略]

使用者等から他の使用者等に対する従業者等に関する特[新設]

定個人情報の提供（第４号）
従業者等（従業者、法人の業務を執行する役員又は国若し
くは地方公共団体の公務員をいう。以下本号において同じ。）の出向・転籍・退職等があった場合において、当該従業者等の同意があるときは、出向・転籍・退職等前の使用者
等（使用者、法人又は国若しくは地方公共団体をいう。以下
本号において同じ。）から出向・転籍・再就職等先の使用者等に対して、その個人番号関係事務を処理するために必要な限度で、当該従業者等の個人番号を含む特定個人情報を提供することができる。
本号に基づく特定個人情報の提供は、従業者等の出向・転籍・退職等があった場合に、当該従業者等の同意を得た上で、行われるものである。
そのため、出向・転籍・退職等前の使用者等は、当該従業者等の出向・転籍・再就職等先の決定以後に、個人番号を含む特定個人情報の具体的な提供先を明らかにした上で、当該従業者等から同意を取得することが必要となる。
13

[略]

改正後

改正前

なお、本号により特定個人情報の提供を受けた使用者等
は、番号法第16条に基づく本人確認は不要である。
＊

本号に基づき提供が認められる特定個人情報の範囲は、社会保障、税分野に係る健康保険・厚生年金保険被保険者資格取得届、給与支払報告書や支払調書の提出など、出向・転籍・再就職等先の使用者等が「その個人番号関係事務を処理するために必要な限度」に限定される。
例えば、従業者等の氏名、住所、生年月日等や前職の給与額等については、これらの社会保障、税分野に係る届出、提出等に必要な情報であることが想定されるため、本号に基づく提供が認められる。一方、個別の事案ごとに、具体的に判断されることになるが、前職の離職理由等の、当該届出、提出等に必要な情報であるとは想定されない情報については、本号に基づく提供は認められないと解される。

＊「従業者等の同意を得」るとは、従業者等の承諾する旨の意思表示を使用者等が認識することをいい、特定個人情報の取扱状況に応じ、従業者等が同意に係る判断を行うために必要と考えられる合理
的かつ適切な方法によらなければならない。
具体的には、どのような特定個人情報が出向・転籍・再就職等先の使用者等に対して提供されることになるのか、従業者等が認識した上で、同意に係る判断を行うことができるよう、出向・転籍・退

14

改正後

改正前

職等前の使用者等は留意する必要がある。
従業者等からの同意の取得については、従業者等からの同意する旨の口頭による意思表示のほか、従業者等からの同意する旨の書面（電磁的記録を含む。）の受領、従業者等からの同意する旨のメー
ルの受信、従業者等による同意する旨の確認欄へのチェック、従業者等による同意する旨のウェブ上のボタンのクリック、従業者等による同意する旨のタッチパネルへのタッチ、ボタン等による入力等
によることが考えられる。

ｅｄ

委託、合併に伴う提供（第６号）

委託、合併に伴う提供（第５号）

特定個人情報の取扱いの全部若しくは一部の委託又は合併

特定個人情報の取扱いの全部若しくは一部の委託又は合併

その他の事由による事業の承継が行われたときは、特定個人

その他の事由による事業の承継が行われたときは、特定個人情報を提供することが認められている。

情報を提供することが認められている。

＊

[略]

＊

[略]

＊

[略]

＊

[略]

＊

個人番号関係事務又は個人番号利用事務の委託を受けた者が、番＊

個人番号関係事務又は個人番号利用事務の委託を受けた者が、番号法第10条の規定に違反して、最初の委託者の許諾を得ずに当該号法第10条の規定に違反して、最初の委託者の許諾を得ずに当該

個人番号関係事務又は個人番号利用事務を再委託した場合、当該再個人番号関係事務又は個人番号利用事務を再委託した場合、当該再委託に伴う特定個人情報の提供は同法第19条第６号の提供に該当委託に伴う特定個人情報の提供は同法第19条第５号の提供に該当しないため、提供制限にも違反することとなる。

しないため、提供制限にも違反することとなる。

15

改正後

ｆ

ｇ

改正前

情報提供ネットワークシステムを通じた提供（第８号及ｅび第９号、番号法施行令第20条）

第８号、番号法施行令第20条）

[略]

[略]

委員会からの提供の求め（第13号）

ｆ

[略]
ｈ

ｉ

各議院審査等その他公益上の必要があるときの提供（第ｇ

各議院審査等その他公益上の必要があるときの提供（第1415号、番号法施行令第25条、同施行令別表）号、番号法施行令第25条、同施行令別表）

[略]

[略]

人の生命、身体又は財産の保護のための提供（第16号）

ｈ

Ｃ

収集・保管制限[略]第４－３－⑶

要点

要点

[略]

[略]

●

●

[略]

人の生命、身体又は財産の保護のための提供（第15号）
[略]

[略]

第４－３－⑶

Ａ

委員会からの提供の求め（第12号）
[略]

[略]
Ｃ

情報提供ネットワークシステムを通じた提供（第７号及び

[略]

[略]
Ａ

16

[略]

収集・保管制限

改正後

Ｂ

改正前

保管制限と廃棄Ｂ

保管制限と廃棄個人番号は、番号法で限定的に明記された事務を処理するた

個人番号は、番号法で限定的に明記された事務を処理するために収集又は保管されるものであるから、それらの事務を行う

めに収集又は保管されるものであるから、それらの事務を行う

必要がある場合に限り特定個人情報を保管し続けることができ必要がある場合に限り特定個人情報を保管し続けることができる。また、個人番号が記載された書類等については、所管法令る。また、個人番号が記載された書類等については、所管法令

によって一定期間保存が義務付けられているものがあるが、こによって一定期間保存が義務付けられているものがあるが、これらの書類等に記載された個人番号については、その期間保管

れらの書類等に記載された個人番号については、その期間保管することとなる。

することとなる。

一方、それらの事務を処理する必要がなくなった場合で、所一方、それらの事務を処理する必要がなくなった場合で、所管法令において定められている保存期間を経過した場合には、管法令において定められている保存期間を経過した場合には、個人番号をできるだけ速やかに廃棄又は削除しなければならな

個人番号をできるだけ速やかに廃棄又は削除しなければならない。なお、その個人番号部分を復元できない程度にマスキング

い。なお、その個人番号部分を復元できない程度にマスキング

又は削除した上で保管を継続することは可能であるが、それが又は削除した上で保管を継続することは可能であるが、それが個人データに該当する場合において、利用する必要がなくなっ

個人データに該当する場合において、利用する必要がなくなったときは、その個人データを遅滞なく消去するよう努めなけれたときは、その個人データを遅滞なく消去するよう努めなければならない（個人情報保護法第19条）。

ばならない（個人情報保護法第19条）。

＊

[略]

＊

[略]

＊

[略]

＊

[略]

＊

[略]

＊

[略]

17

改正後

改正前

＊

[略]

＊

[略]

＊

[略]

＊

[略]

※

廃棄方法等の具体的な内容については、「（別添）特定個人情報に※令和４年４月１日から施行※

廃棄方法等の具体的な内容については、「（別添１）特定個人

関する安全管理措置（事業者編）」を参照のこと。

情報に関する安全管理措置（事業者編）」を参照のこと。

第４－３－⑷●

本人確認

本人確認（番号法第16条）

第４－３－⑷●

本人確認

本人確認（番号法第16条）

本人確認については、番号法、番号法施行令、番号法施行規

本人確認については、番号法、番号法施行令、番号法施行規則

則（注）及び個人番号利用事務実施者が認める方法に従うこととな

及び個人番号利用事務実施者が認める方法に従うこととなるたるため、適切に対応する必要がある。

め、適切に対応する必要がある。

（注）番号法施行規則とは、「行政手続における特定の個人を識別するた[新設]

めの番号の利用等に関する法律施行規則」（平成26年内閣府・総務省
令第３号）をいう（以下同じ。）。

〈参考１：本人確認の概要〉[略]〈参考１：本人確認の概要〉[略]〈参考２：通知カードの廃止に係る経過措置〉[略]〈参考２：通知カードの廃止に係る経過措置〉[略]第４－４～第４－６

第４－４～第４－６

第４－７

[略]

個人番号利用事務実施者である健康保険組合等におけ

第４－７
18

[略]

個人番号利用事務実施者である健康保険組合等におけ

改正後

改正前

る措置等

る措置等

１

[略]

１

[略]

２

情報提供ネットワークシステムによる特定個人情報の情報連

２

情報提供ネットワークシステムによる特定個人情報の情報連

携等

携等

健康保険組合等は「情報提供ネットワークシステム」を通じ

健康保険組合等は「情報提供ネットワークシステム」を通じてて特定個人情報に関する情報連携を行うことができる（第４－特定個人情報に関する情報連携を行うことができる（第４－３－

３－⑵ ２ Ｂｆ「情報提供ネットワークシステムを通じた提⑵２Ｂｅ「情報提供ネットワークシステムを通じた提供」）。

供」）。
Ａ

情報提供ネットワークシステムによる特定個人情報の情報

Ａ

情報提供ネットワークシステムによる特定個人情報の情報

連携

連携「情報提供ネットワークシステム」とは、番号法第19条第８「情報提供ネットワークシステム」とは、番号法第19条第７号又は第９号の規定に基づき、行政機関等及び健康保険組合等号又は第８号の規定に基づき、行政機関等及び健康保険組合等の間で、特定個人情報について安全かつ効率的に情報連携を行の間で、特定個人情報について安全かつ効率的に情報連携を行

うためのシステムである。このシステムを通じて特定個人情報

うためのシステムである。このシステムを通じて特定個人情報に関する情報連携を行うことができる場合については、同法別に関する情報連携を行うことができる場合については、同法別表第２又は同法第９条第２項の規定に基づいて条例で定める事

表第２又は同法第９条第２項の規定に基づいて条例で定める事

務のうち別表第２の事務に準ずるものとして委員会規則で定め務のうち別表第２の事務に準ずるものとして委員会規則で定めるものに限定されている。

るものに限定されている。

※※

情報提供ネットワークシステムを通じて特定個人情報の提供を求める者を「情報照会者」（番号法第19条第８号）又は「条例事務関係情情報提供ネットワークシステムを通じて特定個人情報の提供を求める者を「情報照会者」（番号法第19条第７号）又は「条例事務関係情

19

改正後

改正前

報照会者」（同法第19条第９号）といい、当該特定個人情報を保有し報照会者」（同法第19条第８号）といい、当該特定個人情報を保有し情報提供ネットワークシステムを通じて提供する者を「情報提供者」

情報提供ネットワークシステムを通じて提供する者を「情報提供者」（同法第19条第８号）又は「条例事務関係情報提供者」（同法第19条（同法第19条第７号）又は「条例事務関係情報提供者」（同法第19条

第９号）という。また、番号法第19条第８号の規定に基づいて行う情第８号）という。また、番号法第19条第７号の規定に基づいて行う情報連携に関する事務を「情報提供等事務」といい、同法第19条第９号

報連携に関する事務を「情報提供等事務」といい、同法第19条第８号の規定に基づいて行う情報連携に関する事務を「条例事務関係情報提の規定に基づいて行う情報連携に関する事務を「条例事務関係情報提供等事務」という（同法第24条、第26条）。

供等事務」という（同法第24条、第26条）。

ａ

情報提供ネットワークシステム（番号法第21条、第26ａ

情報提供ネットワークシステム（番号法第21条、第26条）

条）
情報提供ネットワークシステムは、内閣総理大臣が、委員情報提供ネットワークシステムは、総務大臣が、委員会と会と協議の上、設置し、管理するものであり、番号法第19条

協議の上、設置し、管理するものであり、番号法第19条第７第８号又は第９号に基づいて、情報照会者又は条例事務関係号又は第８号に基づいて、情報照会者又は条例事務関係情報

情報照会者から特定個人情報の提供の求めがあった場合、内照会者から特定個人情報の提供の求めがあった場合、総務大閣総理大臣は、情報提供ネットワークシステムを通じて、そ臣は、情報提供ネットワークシステムを通じて、その旨を情の旨を情報提供者又は条例事務関係情報提供者に通知しなけ

報提供者又は条例事務関係情報提供者に通知しなければならればならない。

ない。

〈参考〉[略]ｂ〈参考〉[略]

特定個人情報の提供（番号法第22条、第26条）

ｂ

特定個人情報の提供（番号法第22条、第26条）

情報提供者又は条例事務関係情報提供者は、内閣総理大臣

情報提供者又は条例事務関係情報提供者は、総務大臣からから通知を受けたときは、情報照会者又は条例事務関係情報通知を受けたときは、情報照会者又は条例事務関係情報照会

照会者から求められている特定個人情報を提供しなければな

者から求められている特定個人情報を提供しなければならな
20

改正後

改正前

い。

らない。

Ｂ

法令又は条例の規定により当該特定個人情報と同一の内容

法令又は条例の規定により当該特定個人情報と同一の内容の書面の提出が義務付けられている場合、情報提供ネットワの書面の提出が義務付けられている場合、情報提供ネットワークシステムを通じて情報提供者又は条例事務関係情報提供

ークシステムを通じて情報提供者又は条例事務関係情報提供者から特定個人情報が提供されたときには、その書面の提出者から特定個人情報が提供されたときには、その書面の提出があったものとみなされる。

があったものとみなされる。

＊

＊

[略]

情報提供等の記録（番号法第23条、第26条、番号法施行令

Ｂ[略]

情報提供等の記録（番号法第23条、第26条、番号法施行令

第29条、第29条の２）

第29条、第29条の２）

内閣総理大臣、情報照会者及び情報提供者又は条例事務関係

総務大臣、情報照会者及び情報提供者又は条例事務関係情報

情報照会者及び条例事務関係情報提供者は、番号法第19条第８

照会者及び条例事務関係情報提供者は、番号法第19条第７号又号又は第９号の規定に基づく特定個人情報の提供の求め又は提は第８号の規定に基づく特定個人情報の提供の求め又は提供が供があった場合には、情報提供ネットワークシステムに接続さあった場合には、情報提供ネットワークシステムに接続されたれたその者の使用する電子計算機（内閣総理大臣においては情その者の使用する電子計算機（総務大臣においては情報提供ネ報提供ネットワークシステム）に、情報照会者及び情報提供者

ットワークシステム）に、情報照会者及び情報提供者又は条例又は条例事務関係情報照会者及び条例事務関係情報提供者の名

事務関係情報照会者及び条例事務関係情報提供者の名称、提供称、提供の求め及び提供の日時、特定個人情報の項目等を記録の求め及び提供の日時、特定個人情報の項目等を記録し、７年し、７年間保存しなければならない。

間保存しなければならない。

Ｃ

秘密の管理等（番号法第24条、第25条、第26条）

Ｃ

秘密の管理等（番号法第24条、第25条、第26条）

内閣総理大臣、情報照会者及び情報提供者又は条例事務関係

総務大臣、情報照会者及び情報提供者又は条例事務関係情報

情報照会者及び条例事務関係情報提供者は、情報提供等事務又照会者及び条例事務関係情報提供者は、情報提供等事務又は条
21

改正後

改正前

は条例事務関係情報提供等事務に関する秘密について、その漏例事務関係情報提供等事務に関する秘密について、その漏えいえいの防止その他の適切な管理のために、情報提供ネットワーの防止その他の適切な管理のために、情報提供ネットワークシ

クシステム並びに情報照会者及び情報提供者又は条例事務関係

ステム並びに情報照会者及び情報提供者又は条例事務関係情報

情報照会者及び条例事務関係情報提供者が情報提供等事務又は照会者及び条例事務関係情報提供者が情報提供等事務又は条例

条例事務関係情報提供等事務に使用する電子計算機の安全性及事務関係情報提供等事務に使用する電子計算機の安全性及び信び信頼性を確保することその他の必要な措置を講じなければな

頼性を確保することその他の必要な措置を講じなければならな

らない。

い。

Ｄ

情報提供等の記録の取扱い（番号法第31条第４項）

Ｄ

情報提供等の記録の取扱い（番号法第31条第４項）

情報提供等の記録については、番号法第31条第４項によって情報提供等の記録については、番号法第31条第４項によって独立行政法人等個人情報保護法が準用又は読み替えて準用され独立行政法人等個人情報保護法が準用又は読み替えて準用されることから、次のとおり取り扱わなければならない。

ることから、次のとおり取り扱わなければならない。

この場合、情報提供等の記録については、情報提供ネットワ

この場合、情報提供等の記録については、情報提供ネットワークシステムと接続された中間サーバーにおいて保管、管理さークシステムと接続された中間サーバーにおいて保管、管理されていることから、中間サーバーにおける適正な取扱いが確保れていることから、中間サーバーにおける適正な取扱いが確保されなければならない。

されなければならない。

ａ～ｈ

ａ～ｈ

ⅰ

[略]

訂正等

ⅰ

[略]

訂正等

情報提供等の記録の訂正等については、独立行政法人等個情報提供等の記録の訂正等については、独立行政法人等個

人情報保護法第27条から第32条まで及び第35条が準用され人情報保護法第27条から第32条まで及び第35条が準用される。なお、次に掲げる事項については、番号法第31条第４項る。なお、次に掲げる事項については、番号法第31条第４項

によって読み替えて準用されるため留意する必要がある。

によって読み替えて準用されるため留意する必要がある。
22

改正後

改正前

①

[略]

①

[略]

②

情報提供等の記録の提供先への通知（番号法第31条第４②

情報提供等の記録の提供先への通知（番号法第31条第４ｊ項により読み替えて準用される独立行政法人等個人情報項により読み替えて準用される独立行政法人等個人情報保護法第35条）

保護法第35条）

情報提供等の記録の訂正等が行われた場合において、必情報提供等の記録の訂正等が行われた場合において、必要があると認めるときは、内閣総理大臣及び情報照会者若要があると認めるときは、総務大臣及び情報照会者若しく

しくは情報提供者又は条例事務関係情報照会者に対し、遅は情報提供者又は条例事務関係情報照会者に対し、遅滞な滞なく、その旨を書面により通知しなければならない。

く、その旨を書面により通知しなければならない。

[略]

ｊ

[略]

※令和４年４月１日から施行（別添１）特定個人情報に関する安全管理措置（別添）特定個人情報に関する安全管理措置（事業者編）（事業者編）

【目次】

【目次】

要点

要点

１

[略]

１

[略]

２

講ずべき安全管理措置の内容

２

講ずべき安全管理措置の内容

Ａ・Ｂ
Ｃ

Ａ・Ｂ

[略]

Ｃ

組織的安全管理措置
ａ～ｃ

組織的安全管理措置
ａ～ｃ

[略]
23

[略]
[略]

改正後

改正前

ｄ

漏えい等事案に対応する体制の整備

ｄ

情報漏えい等事案に対応する体制の整備

ｅ

[略]

ｅ

[略]

Ｄ・Ｅ
Ｆ

Ｄ・Ｅ

[略]

Ｆ

技術的安全管理措置
ａ～ｃｄ

技術的安全管理措置
ａ～ｃ

[略]

ｄ

漏えい等の防止[略]

情報漏えい等の防止

要点

要点
○

[略]

○

番号法における安全管理措置の考え方

番号法における安全管理措置の考え方

番号法は、個人番号を利用できる事務の範囲、特定個人

番号法は、個人番号を利用できる事務の範囲、特定個人情

情報ファイルを作成できる範囲、特定個人情報を収集・保報ファイルを作成できる範囲、特定個人情報を収集・保管・管・提供できる範囲等を制限している。したがって、事業提供できる範囲等を制限している。したがって、事業者は、者は、個人番号（生存する個人のものだけでなく死者のも

個人番号（生存する個人のものだけでなく死者のものも含のも含む。）及び特定個人情報（以下「特定個人情報等」

む。）及び特定個人情報（以下「特定個人情報等」といという。）の漏えい、滅失又は毀損（以下「漏えい等」とう。）の漏えい、滅失又は毀損（以下「情報漏えい等」といいう。）の防止等のための安全管理措置の検討に当たり、う。）の防止等のための安全管理措置の検討に当たり、次に次に掲げる事項を明確にすることが重要である。

掲げる事項を明確にすることが重要である。

Ａ～Ｃ

Ａ～Ｃ

[略]

（注）[略]（注）[略]○○

安全管理措置の検討手順

安全管理措置の検討手順
[略]

[略]
○

[略]

○

講ずべき安全管理措置の内容

講ずべき安全管理措置の内容
[略]

[略]
24

改正後

改正前

１

[略]

１

[略]

２

講ずべき安全管理措置の内容

２

講ずべき安全管理措置の内容

[略]

[略]
Ａ・Ｂ
Ｃ

Ａ・Ｂ

[略]

Ｃ

組織的安全管理措置[略]

組織的安全管理措置
事業者は、特定個人情報等の適正な取扱いのために、次に掲事業者は、特定個人情報等の適正な取扱いのために、次に掲げる組織的安全管理措置を講じなければならない。

げる組織的安全管理措置を講じなければならない。

ａａ

組織体制の整備

安全管理措置を講ずるための組織体制を整備する。

安全管理措置を講ずるための組織体制を整備する。

≪手法の例示≫≪手法の例示≫＊組織体制の整備＊

組織体制として整備する項目は、次に掲げるものが挙げら

組織体制として整備する項目は、次に掲げるものが挙げられ
る。

れる。
・

事務における責任者の設置及び責任の明確化

・事務における責任者の設置及び責任の明確化

・事務取扱担当者の明確化及びその役割の明確化

・

事務取扱担当者の明確化及びその役割の明確化

・

事務取扱担当者が取り扱う特定個人情報等の範囲の明確化

・事務取扱担当者が取り扱う特定個人情報等の範囲の明確化

・事務取扱担当者が取扱規程等に違反している事実又は兆候・事務取扱担当者が取扱規程等に違反している事実又は兆候を把握した場合の責任者への報告連絡体制を把握した場合の責任者への報告連絡体制
・・漏えい等事案の発生又は兆候を把握した場合の従業者から情報漏えい等事案の発生又は兆候を把握した場合の従業者から責任者等への報告連絡体制

責任者等への報告連絡体制
・・

特定個人情報等を複数の部署で取り扱う場合の各部署の任25

特定個人情報等を複数の部署で取り扱う場合の各部署の任務

改正後

改正前
分担及び責任の明確化

務分担及び責任の明確化【中小規模事業者における対応方法】【中小規模事業者における対応方法】

[略]

[略]
ｂ・ｃ
ｄ

ｂ・ｃ

[略]

ｄ

漏えい等事案に対応する体制の整備[略]

情報漏えい等事案に対応する体制の整備
情報漏えい等の事案の発生又は兆候を把握した場合に、適漏えい等事案の発生又は兆候を把握した場合に、適切か切かつ迅速に対応するための体制を整備する。

つ迅速に対応するための体制を整備する。
漏えい等事案が発生した場合、二次被害の防止、類似事

情報漏えい等の事案が発生した場合、二次被害の防止、類案の発生防止等の観点から、事案に応じて、事実関係及び似事案の発生防止等の観点から、事案に応じて、事実関係及再発防止策等を早急に公表することが重要である。（※）

び再発防止策等を早急に公表することが重要である。
[新設]（※）事業者において、漏えい等事案が発生した場合の対応の詳細については、「（別添２）特定個人情報の漏えい等に関する報告等（事業者編）」を参照のこと。

≪手法の例示≫≪手法の例示≫＊＊

漏えい等事案の発生時に、次のような対応を行うことを念

情報漏えい等の事案の発生時に、次のような対応を行うことを頭に、体制を整備することが考えられる。

念頭に、体制を整備することが考えられる。

・

事実関係の調査及び原因の究明

・

事実関係の調査及び原因の究明

・影響を受ける可能性のある本人への通知

・

影響を受ける可能性のある本人への連絡・委員会への報告

・

委員会又は事業所管大臣への報告

・再発防止策の検討及び決定・再発防止策の検討及び決定

26

改正後
・

改正前
・

事実関係及び再発防止策等の公表【中小規模事業者における対応方法】【中小規模事業者における対応方法】○

ｅ○

漏えい等事案の発生等に備え、従業者から責任ある

情報漏えい等の事案の発生等に備え、従業者から責任立場の者に対する報告連絡体制等をあらかじめ確認しある立場の者に対する報告連絡体制等をあらかじめ確認

ておく。

しておく。
ｅ

[略]

Ｄ・Ｅ
Ｆ

事実関係及び再発防止策等の公表

[略]

Ｄ・Ｅ

[略]

Ｆ

技術的安全管理措置[略]

技術的安全管理措置
事業者は、特定個人情報等の適正な取扱いのために、次に掲事業者は、特定個人情報等の適正な取扱いのために、次に掲げる技術的安全管理措置を講じなければならない。

げる技術的安全管理措置を講じなければならない。

ａ～ｃ

ａ～ｃ

ｄ

[略]

ｄ

漏えい等の防止[略]

情報漏えい等の防止

特定個人情報等をインターネット等により外部に送信す

特定個人情報等をインターネット等により外部に送信する

る場合、通信経路における漏えい等を防止するための措置

場合、通信経路における情報漏えい等を防止するための措置

を講ずる。

を講ずる。

≪手法の例示≫≪手法の例示≫＊＊通信経路における漏えい等の防止策としては、通信経路の27

通信経路における情報漏えい等の防止策としては、通信経路の

改正後

改正前
暗号化等が考えられる。

暗号化等が考えられる。
＊＊

情報システム内に保存されている特定個人情報等の漏えい等の防止策としては、データの暗号化又はパスワードによる等の防止策としては、データの暗号化又はパスワードによる保護保護等が考えられる。

等が考えられる。

[新設]※令和４年４月１日から施行（別添２）特定個人情報の漏えい等に関する報告等（事業者編）【目次】
要点
１

特定個人情報の漏えい等の考え方

Ａ「漏えい」の考え方

Ｂ「滅失」の考え方

Ｃ「毀損」の考え方２

漏えい等事案が発覚した場合に講ずべき措置

Ａ

事業者内部における報告及び被害の拡大防止

Ｂ

事実関係の調査及び原因の究明

Ｃ

影響範囲の特定Ｄ

再発防止策の検討及び実施

Ｅ

委員会への報告及び本人への通知

３
Ａ

情報システム内に保存されている特定個人情報等の情報漏えい

委員会への報告（番号法第29条の４第１項関係）
報告対象となる事態
28

改正後

Ｂ

報告義務の主体Ｃ

速報（規則第３条第１項関係）Ｄ

確報（規則第３条第２項関係）Ｅ

委託元への通知の例外（規則第４条関係）

４

改正前

本人への通知（番号法第29条の４第２項）

Ａ

通知対象となる事態及び通知義務の主体

Ｂ

通知の時間的制限

Ｃ

通知の内容

Ｄ

通知の方法

Ｅ

通知の例外

要点
〇

特定個人情報を取り扱う事業者は、漏えい等事案が発覚した場合は、漏えい等事案の内容等に応じて、２ＡからＥに掲げる事項について必要な措置を講じなければならない。

〇

個人番号利用事務等実施者は、３(1)から(4)までに掲げる事態を知ったときは、委員会に報告しなければならない。

〇

個人番号利用事務等実施者は、３(1)から(4)までに掲げる事態を知ったときは、本人への通知を行わなければならない。

〇

特定個人情報を取り扱う事業者は、３(1)から(4)までに掲げる事態に該当しない漏えい等事案においても、委員会
29

改正後

改正前

に報告するよう努める。
（関係条文）
・番号法

第 29 条の４

・行政手続における特定の個人を識別するための番号の利用等に関する法律第29条の４第１項及び第２項に基づく特定
個人情報の漏えい等に関する報告等に関する規則（以下「規則」という。）
１

特定個人情報の漏えい等の考え方

Ａ「漏えい」の考え方
特定個人情報の「漏えい」とは、特定個人情報が外部に流出することをいう。

【特定個人情報の漏えいに該当する事例】＊

特定個人情報が記載された書類を第三者に誤送付した場合＊

特定個人情報を含むメールを第三者に誤送信した場合＊システムの設定ミス等によりインターネット上で特定個人情報の閲覧が可能な状態となっていた場合＊

特定個人情報が記載又は記録された書類・媒体等が盗難された場合＊

不正アクセス等により第三者に特定個人情報を含む情報が窃取された場合

30

改正後

改正前

なお、特定個人情報を第三者に閲覧されないうちに全てを回収した場合は、漏えいに該当しない。
Ｂ「滅失」の考え方
特定個人情報の「滅失」とは、特定個人情報の内容が失われることをいう。

【特定個人情報の滅失に該当する事例】＊

特定個人情報ファイルから出力された氏名等が記載された帳票等を誤って廃棄した場合（※1）＊

特定個人情報が記載又は記録された書類・媒体等を社内で紛失した場合（※2）

なお、上記の場合であっても、その内容と同じデータが他に保管されている場合は、滅失に該当しない。また、個人番号利用事務等実施者が合理的な理由により特定個人情報を削除する場合は、滅失に該当しない。
（※１）当該帳票等が適切に廃棄されていない場合には、特定個人
情報の漏えいに該当する場合がある。
（※２）社外に流出した場合には、特定個人情報の漏えいに該当す
る。

31

Ｃ

「毀損」の考え方
特定個人情報の「毀損」とは、特定個人情報の内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となることをいう。

【特定個人情報の毀損に該当する事例】＊

特定個人情報の内容が改ざんされた場合＊

暗号化処理された特定個人情報の復号キーを喪失したことにより復元できなくなった場合＊

ランサムウェア等により特定個人情報が暗号化され、復元できなくなった場合（※）

なお、上記事例２つ目及び３つ目の場合であっても、その内容と同じデータが他に保管されている場合は毀損に該当しない。
（※）同時に特定個人情報が窃取された場合には、特定個人情報の漏えいにも該当する。

２

漏えい等事案が発覚した場合に講ずべき措置
特定個人情報を取り扱う事業者は、漏えい等又はそのおそれのある事案その他の番号法違反の事案又は番号法違反のおそれのある事案（以下「漏えい等事案」という。）が発覚した場合は、漏えい等事案の内容等に応じて、次のＡからＥに掲げる事項について必要な措置を講じなければならない。
32

改正後

Ａ

改正前

事業者内部における報告及び被害の拡大防止
責任ある立場の者に直ちに報告するとともに、漏えい等事案による被害が発覚時よりも拡大しないよう必要な措置
を講ずる。

Ｂ

事実関係の調査及び原因の究明
漏えい等事案の事実関係の調査及び原因の究明に必要な措置を講ずる。

Ｃ

影響範囲の特定
上記Ｂで把握した事実関係による影響範囲の特定のために必要な措置を講ずる。
Ｄ

再発防止策の検討及び実施
上記Ｂの結果を踏まえ、漏えい等事案の再発防止策の検討及び実施に必要な措置を講ずる。
Ｅ委員会への報告及び本人への通知
３（委員会への報告）、４（本人への通知）を参照のこと。なお、漏えい等事案の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、事実関係及び再発防止策等について、速やかに公表することが望ましい。

33

３

委員会への報告（番号法第 29 条の４第１項関係）Ａ

報告対象となる事態

番号法第 29 条の４（第１項）
個人番号利用事務等実施者は、特定個人情報ファイルに記録された特定個人情報の漏えい、滅失、毀損その他の特定個
人情報の安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を委員会に報告しなければならない。ただし、当該個人番号利用事務等実施者が、他の個人番号利用事務等実施者から当該個人番号利用事務等の全部又は一部の委託を受けた場合であって、個人情報保護委
員会規則で定めるところにより、当該事態が生じた旨を当該
他の個人番号利用事務等実施者に通知したときは、この限り
でない。
規則第２条
番号法第 29 条の４第１項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。
⑴

次に掲げる特定個人情報（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下同じ。）の漏えい、滅失若しくは毀損（以下「漏えい等」という。）が発生し、又は発生したおそれがある
34

改正後

改正前

事態
イ

情報提供ネットワークシステム及びこれに接続された
電子計算機に記録された特定個人情報

ロ

個人番号利用事務実施者が個人番号利用事務を処理するために使用する情報システムにおいて管理される特定
個人情報

ハ

行政機関、地方公共団体、独立行政法人等及び地方独立行政法人が個人番号関係事務を処理するために使用する情報システム並びに行政機関、地方公共団体、独立行
政法人等及び地方独立行政法人から個人番号関係事務の全部又は一部の委託を受けた者が当該個人番号関係事務を処理するために使用する情報システムにおいて管理される特定個人情報⑵

次に掲げる事態イ

不正の目的をもって行われたおそれがある特定個人情報の漏えい等が発生し、又は発生したおそれがある事態

ロ

不正の目的をもって、特定個人情報が利用され、又は利用されたおそれがある事態

ハ

不正の目的をもって、特定個人情報が提供され、又は提供されたおそれがある事態⑶

個人番号利用事務実施者又は個人番号関係事務実施者の保有する特定個人情報ファイルに記録された特定個人情報
が電磁的方法により不特定多数の者に閲覧され、又は閲覧されるおそれがある事態
35

改正後

⑷

改正前

次に掲げる特定個人情報に係る本人の数が百人を超える事態
イ

漏えい等が発生し、又は発生したおそれがある特定個
人情報ロ

番号法第９条の規定に反して利用され、又は利用されたおそれがある個人番号を含む特定個人情報ハ

番号法第19条の規定に反して提供され、又は提供されたおそれがある特定個人情報

個人番号利用事務等実施者は、次の⑴から⑷までに掲げる事態（以下「報告対象事態」という。）を知ったときは、委員会に報告しなければならない（※１）（※２）。
⑴

次に掲げる特定個人情報の漏えい、滅失若しくは毀損（以下「漏えい等」という。）が発生し、又は発生したおそれがある事態（規則第２条第１号関係）
イ

情報提供ネットワークシステム及びこれに接続された電子計算機に記録された特定個人情報

ロ

個人番号利用事務実施者が個人番号利用事務を処理するために使用する情報システムにおいて管理される特定個人情報

ハ行政機関、地方公共団体、独立行政法人等及び地方独立行政法人が個人番号関係事務を処理するために使用する情報システム並びに行政機関、地方公共団体、独立行政法人
等及び地方独立行政法人から個人番号関係事務の全部又は
36

改正後

改正前

一部の委託を受けた者が当該個人番号関係事務を処理するために使用する情報システムにおいて管理される特定個人情報⑵

次に掲げる事態（規則第２条第２号関係）イ

不正の目的をもって行われたおそれがある特定個人情報の漏えい等が発生し、又は発生したおそれがある事態

ロ

不正の目的をもって、特定個人情報が利用され、又は利用されたおそれがある事態

ハ

不正の目的をもって、特定個人情報が提供され、又は提供されたおそれがある事態「不正の目的をもって」イからハに該当する事態を発生させた主体には、第三者のみならず、従業者も含まれる。
【報告を要する事例】＊

不正アクセスにより特定個人情報が漏えいした場合（※3）＊

ランサムウェア等により特定個人情報が暗号化され、復元できなくなった場合＊

特定個人情報が記載又は記録された書類・媒体等が盗難された

場合＊

業務に関係なく、マイナンバーを利用し、住所等を検索・取得
した場合＊

従業者が特定個人情報を不正に持ち出して第三者に提供した場

37

改正後

改正前

合（※4）

⑶

個人番号利用事務実施者又は個人番号関係事務実施者の保有する特定個人情報ファイルに記録された特定個人情報が電磁的方法により不特定多数の者に閲覧され、又は閲覧される
おそれがある事態（規則第２条第３号関係）【報告を要する事例】＊

システムの設定ミス等によりインターネット上で特定個人情報の閲覧が可能な状態となっている場合⑷

次に掲げる特定個人情報に係る本人の数が百人を超える事
態（規則第２条第４号関係）
イ

漏えい等が発生し、又は発生したおそれがある特定個人情報ロ

番号法第９条の規定に反して利用され、又は利用された
おそれがある個人番号を含む特定個人情報

ハ

番号法第 19 条の規定に反して提供され、又は提供されたおそれがある特定個人情報「特定個人情報に係る本人の数」は、当該個人番号利用事務等実施者が取り扱う特定個人情報のうち、イからハに該当する
特定個人情報に係る本人の数をいう。「特定個人情報に係る本人の数」について、事態が発覚した当初 100 人以下であっても、
38

改正後

改正前

その後 100 人を超えた場合には、100 人を超えた時点で規則第２条第 4 号に該当することになる。本人の数が確定できないイからハに該当する事態において、当該事態が発生したおそれがある
特定個人情報に係る本人の数が最大 100 人を超える場合には、規則第２条第４号に該当する。
【報告を要する事例】＊

第三者に誤送付・誤送信した特定個人情報に係る本人の数が100 人を超える場合＊

個人番号利用事務と関係のない顧客管理のためのＩＤとして利用していたマイナンバーの数が 100 人を超える場合＊

マイナンバー部分にマスキング処理することを失念して、特定個人情報を取り扱わない委託事業者等に提供した特定個人情報に係る本人の数が 100 人を超える場合。

（※１） 報告対象事態に該当しない漏えい等事案においても、特定個人情報を取り扱う事業者は委員会に報告するよう努める。
（※２） 報告対象事態における「おそれ」については、その時点で判明している事実関係に基づいて個別の事案ごとに蓋然性を考慮して判断することになる。漏えい等が発生したおそれについては、
その時点で判明している事実関係からして、漏えい等が疑われる
ものの漏えい等が生じた確証がない場合がこれに該当する。
（※３） サイバー攻撃の事案について、「漏えい」が発生したおそれがある事態に該当し得る事例としては、例えば、次の（ア）から

39

改正後

改正前

（エ）が考えられる。
（ア）特定個人情報を格納しているサーバや、当該サーバにアクセス権限を有する端末において外部からの不正アクセスによりデータが窃取された痕跡が認められた場合（イ）特定個人情報を格納しているサーバや、当該サーバにアクセス権限を有する端末において、情報を窃取する振る舞いが判明しているマルウェアの感染が確認された場合（ウ）マルウェアに感染したコンピュータに不正な指令を送り、制御するサーバ（Ｃ＆Ｃサーバ）が使用しているものとして知られているＩＰアドレス・ＦＱＤＮ（Ｆｕｌｌｙ
ｉｅｄ

ＤｏｍａｉｎＱｕａｌｉｆＮａｍｅ の略。サブドメイン名及びドメイン名からなる文字列であり、ネットワーク上のコンピュータ（サーバ等）を特定するもの。）への通信が確認された場合（エ）不正検知を行う公的機関、セキュリティ・サービスプロバイ
ダ、専門家等の第三者から、漏えい等のおそれについて、一定の根拠に基づく連絡を受けた場合（※４） 従業者による特定個人情報の持ち出しの事案について、「漏えい」が発生したおそれがある事態としては、例えば、特定個人情報を格納しているサーバや、当該サーバにアクセス権限を有す
る端末において、通常の業務で必要としないアクセスによりデータが窃取された痕跡が認められた場合が考えられる。

なお、特定個人情報について、高度な暗号化等の秘匿化がされている場合等、「高度な暗号化その他の個人の権利利益を保
40

改正後

改正前

護するために必要な措置」が講じられている場合については、報告を要しない。
Ｂ

報告義務の主体
漏えい等報告の義務を負う主体は、規則第２号の事態に該当する特定個人情報を取り扱う個人番号利用事務等実施者である。
特定個人情報の取扱いを委託している場合においては、委託元と委託先の双方が特定個人情報を取り扱っていることになるため、報告対象事態に該当する場合には、原則として委託元と委託先の双方が報告する義務を負う。この場合、委託元及び委託先の連名で報告することができる。なお、委託先が、報告義務を負っている委託元に当該事態が発生したことを通知したときは、委託先は報告義務を免除される（３Ｅ参照）。（※）
また、委託元から委託先にある特定個人情報（特定個人情報Ａ）の取扱いを委託している場合であって、別の特定個人情報（特定個人情報Ｂ）の取扱いを委託していないときには、特定個人情報Ｂについて、委託元において報告対象事態が発生した場合であっても、委託先は報告義務を負わず、委託元のみが報告義務を負うことになる。
（※）

報告対象事態に該当しない漏えい等事案において、特定個人情報の取扱いを委託している場合、委託元と委託先の双方が報告す

41

改正後

改正前

るよう努める。この場合、委託元及び委託先の連名で委員会に報告することができる。

Ｃ

速報（規則第３条第１項関係）規則第３条第１項
個人番号利用事務実施者及び個人番号関係事務実施者（以下「個人番号利用事務等実施者」という。）は、番号法第 29条の４第１項本文の規定による報告をする場合には、前条各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。次条において同じ。）を報告しなければなら
ない。
⑴

概要

⑵

特定個人情報の項目⑶

特定個人情報に係る本人の数

⑷

原因

⑸

二次被害又はそのおそれの有無及びその内容⑹

本人への対応の実施状況⑺

公表の実施状況⑻

再発防止のための措置⑼

その他参考となる事項

個人番号利用事務等実施者は、報告対象事態を知ったとき
42

改正後

改正前

は、速やかに、委員会に報告しなければならない。
報告期限の起算点となる「知った」時点については、個別の事案ごとに判断されるが、個人番号利用事務等実施者が法人である場合には、いずれかの部署が当該事態を知った時点を基準とする。「速やか」の日数の目安については、個別の事案によるものの、個人番号利用事務等実施者が当該事態の発生を知った時点から概ね３日～５日以内である。
委員会への漏えい等報告については、次の⑴から⑼までに掲げる事項を、原則として、委員会のホームページの報告フォー
ムに入力する方法により行う。速報時点での報告内容について
は、報告をしようとする時点において把握している内容を報告すれば足りる。
⑴「概要」
当該事態の概要について、発生日、発覚日、発生事案、発見者、規則第２条各号該当性、委託元及び委託先の有
無、事実経過等を報告する。
⑵「特定個人情報の項目」
特定個人情報の項目について、媒体や種類（顧客情報、従業員情報の別等）とともに報告する。
⑶「特定個人情報に係る本人の数」
特定個人情報に係る本人の数について報告する。
43

改正後

⑷

改正前

「原因」
当該事態が発生した原因について、当該事態が発生した

主体（報告者又は委託先）とともに報告する。
⑸「二次被害又はそのおそれの有無及びその内容」
当該事態に起因して発生する被害又はそのおそれの有無

及びその内容について報告する。
⑹「本人への対応の実施状況」
当該事態を知った後、本人に対して行った措置（通知を含む。）の実施状況について報告する。
⑺「公表の実施状況」
当該事態に関する公表の実施状況について報告する。

⑻「再発防止のための措置」
漏えい等事案が再発することを防止するために講ずる措置について、実施済みの措置と今後実施予定の措置に分けて報告する。
⑼「その他参考となる事項」
上記の⑴から⑻の事項を補完するため、委員会が事態を把握する上で参考となる事項を報告する。
44

改正後

Ｄ

改正前

確報（規則第３条第２項関係）規則第３条第２項
個人番号利用事務等実施者は、当該事態を知った日から30
日以内（当該事態が前条第２号に定めるものである場合にあっては、60日以内）に、当該事態に関する前項各号に定める事項を報告しなければならない。
個人番号利用事務等実施者は、報告対象事態を知ったときは、速報に加え（※１）、30 日以内（規則第２条第２号の事態においては 60 日以内。同号の事態に加え、同条第１号、第３号又は第４号の事態にも該当する場合も 60 日以内。）に委員会に報告しなければならない。
30 日以内又は 60 日以内は報告期限であり、可能である場合には、より早期に報告することが望ましい。
報告期限の起算点となる「知った」時点については、速報と同様に、個人番号利用事務等実施者が法人である場合には、いずれかの部署が当該事態を知った時点を基準とし、確報の期限の算定（※２）に当たっては、その時点を１日目とする。
確報においては、３Ｃ⑴から⑼までに掲げる事項の全てを報告しなければならない。確報を行う時点（報告対象事態を知った日から 30 日以内又は 60 日以内）において、合理的努力を尽くした上で、一部の事項が判明しておらず、全ての事項を報告す
45

改正後

改正前

ることができない場合には、その時点で把握している内容を報告し、判明次第、報告を追完するものとする。
（※１） 速報の時点で全ての事項を報告できる場合には、1 回の報告で速報と確報を兼ねることができる。
（※２） 確報の報告期限（30 日以内又は 60 日以内）の算定にあたって
は、土日・祝日も含める。ただし、30 日目又は 60 日目が土日、祝日又は年末年始閉庁日（12 月 29 日～１月３日）の場合は、その翌日を報告期限とする（行政機関の休日に関する法律（昭和 63 年法
律第 91 号）第 2 条）。

Ｅ

委託元への通知の例外（規則第４条関係）

規則第４条
個人番号利用事務等実施者は、番号法第29条の４第１項ただし書の規定による通知をする場合には、第２条各号に定める事態を知った後、速やかに、前条第１項各号に定める事項を通知しなければならない。
委託先は、委員会への報告義務を負っている委託元に対し、３Ｃ⑴から⑼までに掲げる事項のうち、その時点で把握しているものを通知したときは、報告義務を免除される。
委託元への通知については、速報としての報告と同様に、報告対象事態を知った後、速やかに行わなければならない。「速
46

改正後

改正前

やか」の日数の目安については、個別の事案によるものの、委託先が当該事態の発生を知った時点から概ね３日～５日以内である。
この場合、委託先から通知を受けた委託元が報告をすることになる。委託元は、通常、遅くとも委託先から通知を受けた時
点で、報告対象事態を知ったこととなり、速やかに報告を行わなければならない。
なお、通知を行った委託先は、委託元から報告するに当たり、事態の把握を行うとともに、必要に応じて委託元の漏えい等報告に協力することが求められる。
４

本人への通知（番号法第 29 条の４第２項）

番号法第 29 条の４第２項
前項に規定する場合には、個人番号利用事務等実施者（同項ただし書の規定による通知をした者を除く。）は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するた
め必要なこれに代わるべき措置をとるときは、この限りでない。
規則第５条関係
個人番号利用事務等実施者は、番号法第29条の４第２項本
文の規定による通知をする場合には、第２条各号に定める事
47

改正後

改正前

態を知った後、当該事態の状況に応じて速やかに、当該本人の権利利益を保護するために必要な範囲において、第３条第１項第１号、第２号、第４号、第５号及び第９号に定める事項を通知しなければならない。
Ａ

通知対象となる事態及び通知義務の主体
個人番号利用事務等実施者は、報告対象事態を知ったときは、本人への通知を行わなければならない。
通知義務を負う主体は、規則第２条の事態に該当する特定個人情報を取り扱う個人番号利用事務等実施者である。
特定個人情報の取扱いを委託している場合において、委託先が、報告義務を負っている委託元に３Ｃ⑴から⑼までに掲げる事項のうち、その時点で把握しているものを通知したときは、委託先は報告義務を免除されるとともに、本人への通知義務も免除される。
Ｂ

通知の時間的制限
個人番号利用事務等実施者は、報告対象事態を知ったときは、当該事態の状況に応じて速やかに、本人への通知を行わなければならない。
「当該事態の状況に応じて速やかに」とは、速やかに通知を行うことを求めるものであるが、具体的に通知を行う時点
は、個別の事案において、その時点で把握している事態の内
容、通知を行うことで本人の権利利益が保護される蓋然性、
48

改正後

改正前

本人への通知を行うことで生じる弊害等を勘案して判断する。
【その時点で通知を行う必要があるとはいえないと考えられる事例（※）】＊ インターネット上の匿名掲示板等に漏えいした複数の特定個人情報
がアップロードされており、個人番号利用事務等実施者において当該掲示板等の管理者に削除を求める等、必要な初期対応が完了しておらず、本人に通知することで、かえって被害が拡大するおそれがある場合＊ 漏えい等のおそれが生じたものの、事案がほとんど判明しておらず、その時点で本人に通知したとしても、本人がその権利利益を保護するための措置を講じられる見込みがなく、かえって混乱が生じるおそれがある場合（※）「当該事態の状況に応じて速やかに」本人への通知を行うべきことに変わりはない。

Ｃ

通知の内容
本人へ通知すべき事項については、漏えい等報告における報告事項のうち、「概要」（規則第３条第１項第１号）、「特定個人情報の項目」（同項第２号）、「原因」（同項第４号）、「二次被害又はそのおそれの有無及びその内容」（同項第５号）及び「その他参考となる事項」（同項第９
49

改正後

改正前

号）（※）に限られている。これらの事項が全て判明するまで本人への通知をする必要がないというものではなく、本人への通知は、「当該事態の状況に応じて速やかに」行う必要がある（４Ｂ（通知の時間的制限）参照）。
本人への通知については、「本人の権利利益を保護するために必要な範囲において」行うものである。
また、当初報告対象事態に該当すると判断したものの、その後実際には報告対象事態に該当していなかったことが判明した場合には、本人への通知が「本人の権利利益を保護するために必要な範囲において」行うものであることに鑑み、本人への通知は不要である。
【本人の権利利益を保護するために必要な範囲において通知を行う事例】＊

不正アクセスにより特定個人情報が漏えいした場合において、その原因を本人に通知するに当たり、委員会に報告した詳細な内容ではなく、必要な内容を選択して本人に通知すること。

＊ 漏えい等が発生した特定個人情報の項目が本人ごとに異なる場合において、当該本人に関係する内容のみを本人に通知すること。

（※）規則第３条第１項第１号、第２号、第４号、第５号及び第９号に定める事項については、３Ｃ参照。なお、同項第９号に定める事項については、本人への通知を補完するため、本人にとって参考となる事項をいい、例えば、本人が自らの権利利益を保護するために

50

改正後

改正前

取り得る措置が考えられる。

Ｄ

通知の方法
「本人への通知」とは、本人に直接知らしめることをいい、特定個人情報の取扱状況に応じ、通知すべき内容が本人に認識される合理的かつ適切な方法によらなければならない。
また、漏えい等報告と異なり、本人への通知については、その様式が法令上定められていないが、本人にとって分かりやすい形で通知を行うことが望ましい。
【本人への通知の方法の事例】＊ 文書を郵便等で送付することにより知らせること。
＊ 電子メールを送信することにより知らせること。

Ｅ

通知の例外
本人への通知を要する場合であっても、本人への通知が困難である場合は、本人の権利利益を保護するために必要な代替措置（※１）を講ずることによる対応が認められる。
【本人への通知が困難な場合に該当する事例】＊ 保有する特定個人情報の中に本人の連絡先が含まれていない場合＊ 連絡先が古いために通知を行う時点で本人へ連絡できない場合

51

改正後

改正前

【代替措置に該当する事例】＊ 事案の公表（※2）＊ 問合せ窓口を用意してその連絡先を公表し、本人が自らの特定個
人情報が対象となっているか否かを確認できるようにすること（※１）代替措置として事案の公表を行わない場合であっても、当該事態の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、公表を行うことが望ましい。
（※２）公表すべき内容は、個別の事案ごとに判断されるが、本人へ通知すべき内容を基本とする。

（別冊）金融業務における特定個人情報の適正な取扱いに関する（別冊）金融業務における特定個人情報の適正な取扱いに関するガイドライン

ガイドライン

目次

目次

各論 [略]

各論 [略]

※ [略]

※ [略]

<参考>「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」<参考>「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」

目次

目次

第１・第２ [略]第１・第２ [略]

第３

第３

総論

総論

第３－１～第３－５ [略]第３－１～第３－５ [略]

52

改正後

改正前

※令和４年４月１日から施行
第３－６

第３－６

特定個人情報の漏えい等事案が発生した場合の対応

第３－７ [略]第３－７ [略]
第４

第４

各論

別冊の位置付け特定個人情報の漏えい事案等が発生した場合の対応

各論

別冊の位置付け

[略]

[略]

１

[略]

１

[略]

２

特定個人情報の安全管理措置等

２

特定個人情報の安全管理措置等

２－⑴

２－⑴

委託の取扱い要点

要点○

委託の取扱い

○

[略]

[略]

※令和４年４月１日から施行※○

安全管理措置の具体的な内容については、「２－⑵

※

安全管理

安全管理措置の具体的な内容については、「２－⑵措置」及び事業者ガイドラインの「（別添１）特定個人情報に関置」及び事業者ガイドラインの「（別添）特定個人情報に関する安する安全管理措置（事業者編）」を参照のこと。

全管理措置（事業者編）」を参照のこと。

○

[略]

[略]

（関係条文）（関係条文）

[略]

[略]

１

１

Ａ

安全管理措

委託先の監督（番号法第11条、個人情報保護法第22条）

Ａ

[略]
53

委託先の監督（番号法第11条、個人情報保護法第22条）
[略]

改正後

Ｂ

改正前

必要かつ適切な監督

Ｂ

必要かつ適切な監督※令和４年４月１日から施行「必要かつ適切な監督」には、①委託先の適切な選定、②委「必要かつ適切な監督」には、①委託先の適切な選定、②委

託先に安全管理措置を遵守させるために必要な契約の締結、③

託先に安全管理措置を遵守させるために必要な契約の締結、③

委託先における特定個人情報の取扱状況の把握が含まれる。

委託先における特定個人情報の取扱状況の把握が含まれる。

委託先の選定については、委託者は、委託先において、番号

委託先の選定については、委託者は、委託先において、番号法に基づき委託者自らが果たすべき安全管理措置と同等の措置

法に基づき委託者自らが果たすべき安全管理措置と同等の措置が講じられるか否かについて、あらかじめ確認しなければならが講じられるか否かについて、あらかじめ確認しなければならない。具体的な確認事項としては、委託先の設備、技術水準、ない。具体的な確認事項としては、委託先の設備、技術水準、従業者（注）に対する監督・教育の状況、その他委託先の経営環

従業者（注）に対する監督・教育の状況、その他委託先の経営環

境等が挙げられる。

境等が挙げられる。

委託契約の締結については、契約内容として、秘密保持義

委託契約の締結については、契約内容として、秘密保持義

務、事業所内からの特定個人情報の持ち出しの禁止、特定個人

務、事業所内からの特定個人情報の持ち出しの禁止、特定個人情報の目的外利用の禁止、再委託における条件、漏えい等事案

情報の目的外利用の禁止、再委託における条件、漏えい事案等が発生した場合の委託先の責任、委託契約終了後の特定個人情が発生した場合の委託先の責任、委託契約終了後の特定個人情報の返却又は廃棄、従業者に対する監督・教育、契約内容の遵報の返却又は廃棄、従業者に対する監督・教育、契約内容の遵守状況について報告を求める規定等を盛り込まなければならな

守状況について報告を求める規定等を盛り込まなければならない。また、これらの契約内容のほか、特定個人情報を取り扱う

い。また、これらの契約内容のほか、特定個人情報を取り扱う

従業者の明確化、委託者が委託先に対して実地の調査を行うこ従業者の明確化、委託者が委託先に対して実地の調査を行うことができる規定等を盛り込むことが望ましい。

とができる規定等を盛り込むことが望ましい。

委託先における特定個人情報の取扱状況の把握については、委託先における特定個人情報の取扱状況の把握については、

前記の契約に基づき報告を求めること等により、委託契約で盛前記の契約に基づき報告を求めること等により、委託契約で盛り込んだ内容の実施の程度を把握した上で、委託の内容等の見り込んだ内容の実施の程度を把握した上で、委託の内容等の見直しを検討することを含め、適切に評価することが望ましい。

直しを検討することを含め、適切に評価することが望ましい。
54

改正後

改正前

（注）[略]

２

［略］

２－⑵
●

安全管理措置［略］（注）[略]

２

［略］

２－⑵
●

（注）［略］

安全管理措置［略］（注）［略］※令和４年４月１日から施行※

３

安全管理措置の具体的な内容については、事業者ガイドラインの※安全管理措置の具体的な内容については、事業者ガイドラインの「（別添１）特定個人情報に関する安全管理措置（事業者編）」を「（別添）特定個人情報に関する安全管理措置（事業者編）」を参照す

参照することとするが、個人情報保護委員会・金融庁作成の「金融ることとするが、個人情報保護委員会・金融庁作成の「金融分野におけ分野における個人情報保護に関するガイドラインの安全管理措置等

る個人情報保護に関するガイドラインの安全管理措置等についての実務についての実務指針」を遵守することを前提とする。

指針」を遵守することを前提とする。

特定個人情報の提供制限等

３

特定個人情報の提供制限等

３－⑴

[略]

３－⑴

[略]

３－⑵

個人番号の提供の求めの制限、特定個人情報の提供制限

３－⑵

個人番号の提供の求めの制限、特定個人情報の提供制限

要点

要点

[略]

[略]
55

改正後

改正前

１

[略]

１

[略]

２

特定個人情報の提供制限（番号法第 19 条）

２

特定個人情報の提供制限（番号法第 19 条）

何人も、番号法で限定的に明記された場合を除き、特定個人

何人も、番号法で限定的に明記された場合を除き、特定個人情情報を「提供」してはならない。

報を「提供」してはならない。

金融機関が特定個人情報を提供できるのは、支払調書等に顧金融機関が特定個人情報を提供できるのは、支払調書等に顧客

客の個人番号を記載して税務署長に提出する場合等に限られの個人番号を記載して税務署長に提出する場合等に限られる。

る。
Ａ

[略]

Ａ

[略]

Ｂ

特定個人情報を提供できる場合（番号法第19条第１号からＢ

特定個人情報を提供できる場合（番号法第19条第１号から第17号まで）第16号まで）

特定個人情報を提供できる場合として、番号法第19条各号

特定個人情報を提供できる場合として、番号法第19条各号がが定めているもののうち金融業務に関わるものは、次のとお定めているもののうち金融業務に関わるものは、次のとおりで

りである。

ある。

ａ・ｂ

ａ・ｂ

ｃ

[略]

委託、合併に伴う提供（第６号）

ｃ[略]

委託、合併に伴う提供（第５号）

特定個人情報の取扱いの全部若しくは一部の委託又は合併

特定個人情報の取扱いの全部若しくは一部の委託又は合併

その他の事由による事業の承継が行われたときは、特定個人

その他の事由による事業の承継が行われたときは、特定個人情報を提供することが認められている。

情報を提供することが認められている。
56

改正後

改正前

＊

[略]

＊

[略]

＊

個人番号関係事務の委託を受けた者が、番号法第10条の規定に＊個人番号関係事務の委託を受けた者が、番号法第10条の規定にｄ違反して、最初の委託者の許諾を得ずに当該個人番号関係事務を再違反して、最初の委託者の許諾を得ずに当該個人番号関係事務を再委託した場合、当該再委託に伴う特定個人情報の提供は同法第19

委託した場合、当該再委託に伴う特定個人情報の提供は同法第19条第６号の提供に該当しないため、提供制限にも違反することとな

条第５号の提供に該当しないため、提供制限にも違反することとなる。

る。

株式等振替制度を活用した提供（第 12 号、番号法施行令ｄ第 23 条、第 24 条）

第 23 条、第 24 条）

[略]
ｅ

[略]

委員会からの提供の求め（第13号）

ｅ

[略]
ｆ

各議院審査等その他公益上の必要があるときの提供（第ｆ

各議院審査等その他公益上の必要があるときの提供（第14号、番号法施行令第25条、同施行令別表）

[略]

[略]

人の生命、身体又は財産の保護のための提供（第16号）

ｇ

[略]
Ｃ

委員会からの提供の求め（第12号）[略]

15号、番号法施行令第25条、同施行令別表）ｇ

株式等振替制度を活用した提供（第 11 号、番号法施行令

人の生命、身体又は財産の保護のための提供（第15号）
[略]

[略]

Ｃ
57

[略]

改正後

３－⑶

収集・保管制限改正前

３－⑶

収集・保管制限

要点

要点

［略］

［略］

●

●

［略］

［略］

Ａ

［略］

Ａ

［略］

Ｂ

保管制限と廃棄Ｂ

保管制限と廃棄個人番号は、番号法で限定的に明記された事務を処理するた

個人番号は、番号法で限定的に明記された事務を処理するために収集又は保管されるものであるから、それらの事務を行う

めに収集又は保管されるものであるから、それらの事務を行う

必要がある場合に限り特定個人情報を保管し続けることができ必要がある場合に限り特定個人情報を保管し続けることができる。また、個人番号が記載された書類等については、所管法令る。また、個人番号が記載された書類等については、所管法令

によって一定期間保存が義務付けられているものがあるが、こによって一定期間保存が義務付けられているものがあるが、これらの書類等に記載された個人番号については、その期間保管

れらの書類等に記載された個人番号については、その期間保管することとなる。

することとなる。

一方、それらの事務を処理する必要がなくなった場合で、所一方、それらの事務を処理する必要がなくなった場合で、所管法令において定められている保存期間を経過した場合には、管法令において定められている保存期間を経過した場合には、個人番号をできるだけ速やかに廃棄又は削除しなければならな

個人番号をできるだけ速やかに廃棄又は削除しなければならない。なお、その個人番号部分を復元できない程度にマスキング

い。なお、その個人番号部分を復元できない程度にマスキング

又は削除した上で保管を継続することは可能であるが、それが又は削除した上で保管を継続することは可能であるが、それが個人データに該当する場合において、利用する必要がなくなっ

個人データに該当する場合において、利用する必要がなくなったときは、その個人データを遅滞なく消去するよう努めなけれたときは、その個人データを遅滞なく消去するよう努めなければならない（個人情報保護法第19条）。

ばならない（個人情報保護法第19条）。
58

改正後

改正前

＊

［略］

＊

［略］

＊

［略］

＊

［略］

＊

［略］

＊

［略］

＊

［略］

＊

［略］

※

廃棄方法等の具体的な内容については、事業者ガイドラインの※令和４年４月１日から施行※

廃棄方法等の具体的な内容については、事業者ガイドラインの「（別添１）特定個人情報に関する安全管理措置（事業者編）」「（別添）特定個人情報に関する安全管理措置（事業者編）」を参照

を参照のこと。

のこと。

３－⑷

[略]

３－⑷

[略]

４～６

[略]

４～６

[略]

59