安全管理措置の比較
匿名加工情報等

個人情報
個人情報

匿名加工情報の加工方法等
匿名加工情報情報

法令

個情法20条

個情法36条２項、規則20条

対象

個人データ

匿名加工情報の作成に用いた個人情報から削除した記述
努力義務、匿名加工情報等及び個人識別符号並びに加工の方法に関する情報

該当情報であることの明示△△（法令・ガイドラインでは明記 （法令・ガイドラインでは明記されていないが望ましい）されていないが望ましい）

事務・情報・人の明確化△△（法令・ガイドラインでは明記 （法令・ガイドラインでは明記されていないが望ましい）されていないが望ましい）〇（ガイドライン18頁）―

匿名加工医療情報

PIA関連

特定個人情報等

評価書と安全管理措置の対応

行政機関個人情報保護法 ・独立行政法人等個人情報保
次世代医療基盤法８条３項
番号法12条、個情法20条
護法44 条の15第1項・行政機３・４号、施行規則６条
関非識別加工情報規則14条、独立行政法人等非識別
行政機関非識別加工情報、行政機関非識別加工情報の作成に用いた保有個人情報 医療情報等及び匿名加工医
個人番号、個人データから削除した記述等及び個人 療情報
識別符号並びに加工の方法に関する情報△（大臣認定事業者での安全管△△理措置であり自明ともいえる（法令・ガイドラインでは明記（法令・ガイドラインでは明記が、他の事業も実施しているされていないが望ましい）されていないが望ましい）
場合は、法令・ガイドラインでは明記されていないが望まし―〇（ガイドラインⅡ5頁）

個人情報と同様の取扱いを △（法令・ガイドラインでは明記 〇（ガイドラインⅡ5頁）
求めるものではないが、例されていないが望ましい）
えば、法第 20 条から第 22〇条までに定める個人データの △規律の整備
安全管理、従業者の監督及 （法令・ガイドラインでは明記 （ガイドラインⅡ6頁、組織的安全管理措置に分類）
び委託先の監督並びに法第 されていないが望ましい）
組織的安全管理措置
35 条に定める個人情報の取扱いに関する苦情の処理で 〇求められる措置の例（※）を参 取り扱う者の権限・責任を明 〇〇〇確に定める（行政機関非識別 相当の経験・識見を有する責
組織体制の整備取り扱う者の権限・責任を明 考にすることも考えられる。
責任者・担当者等を決定等
加工情報規則14条1号、独立 任者の配置、取扱者の権限・確に定める（規則20条1号）
行政法人等非識別加工情報 責務・業務明確化規則13条1号）〇
個人データの取扱い〇
規程類に従って適切に取り扱〇に係る規律に従った運規程類に従って適切に取り扱う（行政機関非識別加工情報 〇（ガイドラインⅡ7頁）
ログ等用う（規則20条2号）
規則14条2号、独立行政法人
等非識別加工情報規則13条2〇
取扱状況を確認する 〇〇（ガイドライン17頁）〇（ガイドライン18頁）（情報のやり取り時のログに手段の整備台帳等ついてガイドラインⅡ7頁）△△
漏えい等の事案に対 〇〇（法令・ガイドラインでは明記（法令・ガイドラインでは明記
応する体制の整備連絡体制の決定等連絡体制の決定等されていないが望ましい）
されていないが望ましい）
基本方針の策定△△プライバシー・ポリシー等を （法令・ガイドラインでは明記整備すると望ましい。
されていないが望ましい）〇〇取扱規程の作成、取扱方法
規則20条2号の周知等

個情法36条6項、39条

非識別加工情報等

マイナンバー関連

番号法28条、以下全項目評価書の該当箇所の列記

特定個人情報等が対象だが、個人情報やパーソナルデータも対象にできる―〇
事務：Ⅰ１・別添１、Ⅱ３⑧
情報：Ⅰ３、Ⅱ１・２、
人：Ⅱ２⑥３⑦△△
プライバシー・ポリシー等を整 （明確な該当箇所はないが、備備すると望ましい。
考欄等に追記すると望ましい）〇〇取扱規程の作成、取扱方法
Ⅲ７リスク１③④の周知等〇（ガイドライン49頁）〇
責任者・担当者等を決定等〇
Ⅲ７リスク１②〇
ログ等〇
Ⅲ３リスク２特定個人情報の使用の記録、Ⅲ４特定個人情報ファイルの取扱いの記録、Ⅲ５リ
スク１特定個人情報の提供・移

〇
台帳等

〇
計画管理書

〇
連絡体制の決定等〇
Ⅲ７リスク１⑧

匿名加工情報等

個人情報
個人情報

取扱状況の把握及び〇安全管理措置の見直点検、監査等
し

匿名加工情報の加工方法等
匿名加工情報情報

非識別加工情報等〇取扱いの状況の評価、その結果に基づき改善を図るために必要な措置を講ずる（規則20条2号）〇
取扱いの状況の評価、その結果に基づき改善を図るため〇に必要な措置を講ずる（行政運用評価及び改善
機関非識別加工情報規則14条2号、独立行政法人等非識別加工情報規則13条2号）

匿名加工医療情報

マイナンバー関連

PIA関連

特定個人情報等

評価書と安全管理措置の対応〇
点検、監査等〇Ⅳ１

人的安全管理措置
従業者の教育〇研修、守秘義務〇（ガイドライン17頁）

従業者の監督〇（個情法21条）△（規則20条2号）――〇
間仕切り、入退室管理等△
無権限者による取扱いを防止するために必要かつ適切な措置を講ずる（規則20条3号）

その他

〇
〇
〇
（ガイドライン18頁）
研修、守秘義務△（行政機関非識別加工情報規〇（次世代医療基盤法２１条） 〇則14条2号、独立行政法人等
非識別加工情報規則13条2
・欠格事由に該当しないことの確認――
・目的外取扱い防止・無権限者による取扱い防止

〇
Ⅳ２〇
ⅢⅣ全般

物理的安全管理措置

区域の管理

△
〇
無権限者による取機器及び電子媒体等
施錠、セキュリティワイヤー 扱いを防止するために必要かの盗難等の防止
等
つ適切な措置を講ずる（規則20条3号）

電子媒体等を持ち運〇ぶ場合の漏えい等のパスワード、封緘等防止△
無権限者による取扱いを防止するために必要かつ適切な措置を講ずる（規則20条3号）〇
復元不可能な方法で△無権限者による取扱いを防止するために必要かつ適切な措置を講ずる（規則20条3号）

削除、廃棄

技術的安全管理措置△
無権限者による取扱いを防止するために必要か 〇〇つ適切な措置を講ずる（行政 間仕切り、入退室管理、常時間仕切り、入退室管理等
機関非識別加工情報規則14 監視カメラ等
条3号、独立行政法人等非識別加工情報規則13条3号）△
無権限者による取扱いを防止するために必要か〇〇
つ適切な措置を講ずる（行政セキュリティワイヤー等
施錠、セキュリティワイヤー等
機関非識別加工情報規則14条3号、独立行政法人等非識△別加工情報規則13条3号）△△
Ⅲ７リスク１⑤
無権限者による取（提供時のダブルチェック等が扱いを防止するために必要か 人的安全管理措置にある。郵〇つ適切な措置を講ずる（行政 送時の書留等の利用は技術パスワード、封緘等
機関非識別加工情報規則14 的安全管理措置にある（１７条3号、独立行政法人等非識 ページ）。持運びはあまり想定別加工情報規則13条3号）されないか。）△
無権限者による取扱いを防止するために必要か〇〇
つ適切な措置を講ずる（行政復元不可能な方法で復元不可能な方法で機関非識別加工情報規則14条3号、独立行政法人等非識別加工情報規則13条3号）

匿名加工情報等

個人情報
個人情報

匿名加工情報の加工方法等
匿名加工情報情報

非識別加工情報等

匿名加工医療情報

マイナンバー関連

PIA関連

特定個人情報等

評価書と安全管理措置の対応△△
無権限者による取無権限者による取扱いを防止するために必要か〇〇〇
アクセス制御扱いを防止するために必要かつ適切な措置を講ずる（行政権限管理等
権限管理等
権限管理等
つ適切な措置を講ずる（規則
機関非識別加工情報規則1420条3号）
条3号、独立行政法人等非識別加工情報規則13条3号）△△
無権限者による取無権限者による取扱いを防止するために必要か
アクセス者の識別と認 〇〇〇扱いを防止するために必要かつ適切な措置を講ずる（行政証
ID/PWD、カード等
ID/PWD、カード等
ID/PWD、カード等
つ適切な措置を講ずる（規則
機関非識別加工情報規則1420条3号）
条3号、独立行政法人等非識別加工情報規則13条3号）△△△
無権限者による取Ⅲ７リスク１⑥〇
無権限者による取扱いを防止するために必要か 〇外部からの不正アクセ〇
FW、セキュリティ対策ソフト 扱いを防止するために必要かつ適切な措置を講ずる（行政 異常検知、異常制御、セキュス等の防止
FW、セキュリティ対策ソフト等
等
つ適切な措置を講ずる（規則
機関非識別加工情報規則14 リティ対策ソフト等
20条3号）
条3号、独立行政法人等非識別加工情報規則13条3号）△△
無権限者による取情報システムの使用
無権限者による取扱いを防止するために必要か ◎〇〇に伴う漏えい等の防扱いを防止するために必要かつ適切な措置を講ずる（行政 専用線、暗号化、サーバ構
パスワード等
パスワード等止つ適切な措置を講ずる（規則
機関非識別加工情報規則14 成、ネットワーク構成等
20条3号）
条3号、独立行政法人等非識別加工情報規則13条3号）
・動作記録
その他
―――
・使用目的に反する動作をさ ―せる機能の不存在確認
行政機関の保有する個人情報の保護に関する医療分野の研究開発に資す
個人情報の保護に関する法 個人情報の保護に関する法律についてのガイドライン（匿名 法律についてのガイドライン るための匿名加工医療情報 特定個人情報の適正な取扱 特定個人情報保護評価に関す律についてのガイドライン（行政機関非識別加工情報 に関する法律についてのガイ いに関するガイドライン（事業 る規則、特定個人情報保護評価加工情報編）（通則編）
編）
ドライン者編）指針
ガイドライン
独立行政法人等の保有する II．安全管理措置編
個人情報の保護に関するhttps://www.kantei.go.jp/j https://www.ppc.go.jp/files/p
https://www.ppc.go.jp/files/
https://www.ppc.go.jp/files/p
https://www.ppc.go.jp/enforcem
https://www.ppc.go.jp/files/pdf/guidelines04.pdf
p/singi/kenkouiryou/jiseda df/my_number_guideline_jigyos ent/assessment/
pdf/guidelines01.pdf
df/guidelines05.pdf
ha.pdfi_kiban/pdf/h3005_guidelin△△△△
個人情報該当性〇（加工方法等は個人情報でな ×（加工方法等は個人情報でな （医療情報は個人情報、加工 （死者の個人番号は個人情報 ―い場合も）い場合も）方法等は個人情報でない場 でない場合も多い）