別紙「特定個人情報保護評価書点検」結果表
1

概要

評価実施機関

全国社会保険労務士会連合会

担当部署
対象評価書種別

全項目評価

対象事務

社会保険労務士事務
評価書番号 4（事務取扱担当者２人以上/特定個人情報ファイル
を事務所外で保管）
社会保険労務士事務所（パターン D 事務所）が委託契約に基づ
き、労働社会保険諸法令関係書類に、個人番号を記載して公共
職業安定所、日本年金機構及び健康保険組合等に提出する事務に関する評価書

授受資料●評価書
1 社会保険労務士事務所・特定個人情報保護評価書 D
2 社会保険労務士事務所・特定個人情報保護評価 評価書パター
ン説明書●ハンドブック（社労士版ガイドライン）令和 2 年版
1 ハンドブック～概要～
2 ハンドブック（「本編」）●規程等（雛形）
1 特定個人情報等の適正な取扱いに関する基本方針
2 特定個人情報取扱規程（大規模・中規模事務所用）
5 業務委託契約書
6 特定個人情報等の取扱いに関する覚書
7 就業規則●様式等（雛形）
1 特定個人情報ファイル管理台帳
2 特定個人情報保護のための体制図
3 情報セキュリティ教育計画書
4 情報セキュリティ教育実績一覧（実施報告書）
5 内部監査計画書
6 内部監査報告書
7 特定個人情報・個人情報の取扱いに関する事故等の報告書
8 特定個人情報・個人情報保護事件・事故対応報告書
9 特定個人情報および個人情報の開示等請求書
10 特定個人情報・個人情報問合せ・相談受付票
11 入室管理台帳

1

評価書番号：4

12 入室管理台帳（管理区域）
13 退室時確認事項
14 アクセス権限管理台帳
15 個人番号報告書
16 個人番号利用目的通知書
17 業務処理簿
18 入社連絡票
19 異動（変更）連絡票
20 退社連絡票●その他補足資料等
1 クラウド業者の詳細情報
審査実施期間

令和 2 年 9 月 7 日から令和 2 年 10 月 30 日までの間

備考

―

2

点検について以下の観点で点検を行った。
観点
適合性

内容

備考

提出された特定個人情報保護評価の実施 平成 30 年 5 月 21 日特定個
が、特定個人情報保護評価指針に定める 人 情 報 保 護 委 員 会 事 務 局
実施手続等に適合して行われているか「特定個人情報保護評価指針（特定個人情報保護委員会）」の第 10「委員会の関与」における「審査の観点」に基づき実施2

評価書番号：4

別紙

特定個人情報保護評価書の特定個人情報保護
評価指針への適合性・妥当性の審査

評価書名： 社会保険労務士事務所（パターン D 事務所）が委託契約に基づき、労働社会保険諸法令
関係書類に、個人情報を記載して公共職業安定所、日本年金機構及び健康保険組合等に提出する事務に関する評価書

1 / 17

全体的な事項
審査の観点

主な考慮事項

主な考慮事項（細目）

該当

審査

箇所

結果

所見
社会保険労務士事務所は、特定個人情報保護評価の実施が義務付けられていないが、特定個人情報
ファイルを取扱うことから、その保護の重要性に鑑み、特定個人情報保護評価の枠組みを用いて任（1）しきい値判断に誤りはないか――――意に評価をするものである。この特定個人情報保護評価書は、全国社会保険労務士会連合会が社会保険労務士事務所のモデルを設定して作成した「モデル評価書」であり、社会保険労務士事務所
が自社の特定個人情報保護評価を実施するに当たり参考にするものである。

1．評価実施機関が複数存在し、取りまと（2）適切な実施主体が実施しているか。

―

めの評価実施機関が評価書を作成・提出する場合に、取りまとめ以外の全ての評

同上
―

―

価実施機関について記載しているか。
（3）公表しない部分
は適切な範囲か。
（4）適切な時期に実施しているか。

―

―

―

適切

―

―

―

適切

評価書の内容は全て公表することとしている。
前回の特定個人情報保護評価から 5 年経過する前に再実施している。

（5）適切な方法で広特定個人情報保護評価の枠組みを用いて任意にく国民の意見を求評価を実施するものである。

め、得られた意見を十分考慮した上で必

―

―

―

―

要な見直しを行っているか。
（6）特定個人情報保社会保険労務士法（昭和 43 年法律第 89 号）第２

護評価の対象となる条に規定される事務について、求められる事項が事務の実態に基づすべて記載されている。

き、特定個人情報保護評価書様式で求め

―

―

―

適切

られるすべての項目について検討し、記載しているか。
（7）記載された特定

この評価書は、全国社会保険労務士会連合会が社

個人情報保護評価の会保険労務士事務所のモデルを設定して作成し実施を担当する部署

た「モデル評価書」であり、実施主体は個々の社

は、特定個人情報保会保険労務士事務所である。

護評価の対象となる事務を担当し、リス―――①特定個人情2．評価対象の事務全体の概要及びその―クを軽減させるための措置の実施に責任を負うことができるか。
報ファイルを

労働者災害補償保険法に基づく請求に関する事

中で特定個人情報ファイルを使用して実Ⅰ1．

施する事務の内容を具体的に記載してい②（8）特定個人情報保取り扱う事務護評価の対象となるやその事務にるか。

事務の内容の記載はおいて使用す3．当該システムが実現する機能の名称具体的か。当該事務るシステムにとその概要を具体的に記載しているか。

における特定個人情

ついて、基本報の流れを併せて記情報を具体的

4．当該システムと情報をやり取りする

Ⅰ2．

載しているか。

に分かりやすシステムをすべて記載しているか。

③

く記載してい

5．特定個人情報ファイルを取り扱うこⅠ4．

とが評価対象の事務を実施する上で必要①

るか。

2 / 17

Ⅰ2．

適切

適切

務の内容が追記され、事務の内容が漏れなく、具体的に記載されている。
システム 3（賃金計算関係システム）の「②システム」にシステム 1 及び 2 と連携する旨が明記さ

②

れた。
適切
適切

関係するシステムが全て記載されている。
顧問先従業員の住所、氏名及び生年月日、個人番
号等の情報を取得して、特定個人情報ファイルを審査の観点

主な考慮事項

主な考慮事項（細目）

該当

審査

箇所

結果

所見

であることを、事務の流れに即して具体作成して管理することにより必要な事務手続き的に説明しているか。

が発生した際に手続書類を作成すると事務の流れが具体的に記載されている。

6．評価対象の事務において特定個人情

手続きに必要な情報を管理することにより、効率報ファイルを取り扱うことにより、期待Ⅰ4．

されるメリットについて幅広く具体的に②

適切的に事務を進めることができるとメリットが具体的に記載されている。

記載しているか。
7．事務に関わる者、事務において使用するシステム、事務において取り扱う情報の流れを具体的に記載しているか。

指摘後修正で別添 1（事務の内容）に労働者災害
Ⅰ（別添補償保険法に基づく請求に関する事務の内容と適切使用するシステムが追記された。これにより社会保険労務士事務所の事務の内容と情報の流れ及1）びシステムが漏れなく記載された。

（9）特定個人情報フ

全項目評価書に例示されている各リスクにどのァイルを取り扱うプ

ように対応しているかが具体的に記載されていロセスにおいて特定る。また、「特定個人情報保護評価 5 年経過前の

個人情報の漏えいそ評価の再実施に係る留意事項について」においての他の事態を発生さ

―

―

Ⅲ、Ⅳ

適切

示されているポイントについても対応している。

せるリスクを、個人情報保護の対象となる事務の実態に基づ
き、特定しているか。
70．評価書に記載したとおりに運用がな

自己点検については、事務取扱担当者が評価書記されていること等について、評価の実態

載事項の運用状況を 1 年に 1 回以上システムログを担当する部署自らが、どのように自己又は利用実績の記録により確認すると具体的に点検するか具体的に記載しているか。

（10）特定されたリ

Ⅳ１.
①

スクを軽減するため

適切は、特定個人情報取扱規程に基づいて、点検結果
や経営環境により特定個人情報の取扱いに関すに講ずべき措置につる安全対策及び諸施策を定期的に見直し、改善すいての記載は具体的か。

記載されている。また、特定個人情報管理責任者

ると記載されている。

⑨特定個人情報ファイルの71．評価書に記載したとおりに運営がな

監査については、内部監査員が定期的（年 1 回以

（11）記載されたリ取扱いについされていることを等について、どのよう上）に監査すると記載されている。また、特定個スクを軽減させるたて自己点検・に監査するか具体的に記載しているか。

めの措置は、個人の監査や従業者

プライバシー等の権に対する教報の取扱いに関する安全対策及び諸施策を定期

利利益の侵害の未然育・啓発を行

的に見直し、改善すると記載されている。

防止、国民・住民の信っているか。

Ⅳ１.
②

適切

72．特定個人情報を取り扱う従業者等に頼の確保という特定対しての教育・啓発や違反行為をした従

個人情報保護評価の業者等に対する措置について具体的に記目的に照らし、妥当載しているか。

なものか。

73．国民・住民等からの意見聴取により人情報管理責任者は、特定個人情報取扱規程に基づき外部監査結果や経営環境により特定個人情

従業者に個人情報保護および情報セキュリティ
Ⅳ２

適切に関する研修を少なくとも１年に１回以上実施
することが記載されている。
―

得られた意見を踏まえて評価書のどの箇

Ⅳ２.

所をどのように修正したかを具体的に記

⑤

該当なし

載しているか。
（12）個人のプライ

社労士事務所は、委託契約に基づく個人番号関係

バシー等の権利利益

事務及び委任による個人の手続事務における特の保護の宣言は、国定個人情報ファイルの取扱いに当り、特定個人情

民・住民の信頼の確報ファイルの取扱いが委託者の従業員等及び委保という特定個人情報保護評価の目的に

―

―

表紙

適切

任者の個人のプライバシー等の権利利益に影響を及ぼしかねないことを認識し、特定個人情報の照らし、妥当なもの

漏えいその他の事態を発生させるリスクを軽減か。

させるために適切な措置を講じ、もって個人のプ
ライバシー等の権利利益の保護に取り組んでいることを宣言している。
3 / 17

顧問先従業員（被保険者台帳）情報ファイル
審査の観点

主な考慮事項

主な考慮事項（細目）8．対象となる国民・住民の特定人情報フ

該当

審査

箇所

結果

Ⅱ２.

ァイルにおいて保有することが事務を ③実施する上で必要な理由を具体的に記

所見
事務手続きの対象となる顧問先の従業員及び当適切

該従業員の扶養親族を記録するために必要であると記載されている。

載しているか。
9．主な記録項目について、保有する理由

Ⅱ２．

をそれぞれ具体的に記載しているか。

④

10．特定個人情報の入手に係る妥当性を

Ⅱ3．

具体的に記載しているか。

②④

適切

識別情報、連絡先等情報、業務関係情報のそれぞれについて保有する理由が記載されている。
②「その他」の()内にデータストレージサービ

ス、FAX に加え、e-Gov、gBizID が追記され、適切である。

適切④委託契約業務を遂行するためと記載しており、適切である。
11．特定個人情報の入手の事実及び使用

Ⅱ３．

目的が本人に示されていることを具体 ⑤

特定個人情報の入手の事実、利用目的は委託者で適切的に記載しているか。

ある顧問先が本人へ明示していると記載されている。

12．特定個人情報を使用する理由を具体Ⅱ３．

的に記載しているか。

⑥

特定個人情報の使用目的として 3 つを記載してい適切る。指摘後修正で 3 つ目の使用目的（労働者災害補償保険法に基づく請求に関する事務）が追記された。

②特定個人情報

13．特定個人情報ファイルに記録される

Ⅱ３．

ファイルの取扱情報を他から入手する際の突合の内容、 ⑧

いプロセスの概

特定個人情報ファイルに記録された情要（特定個人情報と他の情報との突合の方法や突合の報の入手・使用、 理由を具体的に記載しているか。

護評価の対象となる

特定個人情報フ

14．特定個人情報を用いた統計分析を行事務の内容の記載はァイルの取扱い

う場合は、その内容を具体的に記載して ⑧

具体的か。当該事務にの委託、特定個いるか。

おける特定個人情報

人情報の提供・の流れを併せて記載

移転、特定個人

15．特定個人情報を使用することによりしているか。

情報の保管・消体的に分かりやすく記載しているか。

っていないか突合すると記載されている。
適切（8）特定個人情報保去）について、具入手した情報をシステムに入力・登録して、間違

Ⅱ３．

該当

統計分析を行わない。

なし

Ⅱ３．

―

国民の権利利益に影響を与え得る決定 ⑧

該当を行う場合は、その内容を具体的に記載なし

しているか。
16．委託先に当該特定個人情報ファイル

Ⅱ４．

を取り扱わせることが必要な理由を具 ②

委託事項は 3 つあるが、いずれも特定個人情報フ
適切ァイルの取扱いを委託する理由が具体的に記載

体的に記載しているか。

されている。

17．委託先を国民・住民等が確認できる Ⅱ 4 ．

―

か否か、確認できる場合はどのように確 ⑤
認できるか、確認できない場合はそのよ

該当

うな取扱いが評価対象の事務を実施すなし

る上で必要な理由を具体的に記載しているか。
18．特定個人情報ファイルの取扱いを再Ⅱ４．

委託するに当たって、どのような手続・ ⑧
方法によるかを具体的に記載している

委託事項 1～3 いずれも委託先から書面による申適切か。

請に基づき、妥当性を考慮して顧問先の許諾を得た上で書面により許諾を回答すると記載されている。

19．提供した特定個人情報が、提供先にⅡ５．

おいて、いかなる目的で、どのように使 ②用されることになるかを具体的に記載提供先として労働基準監督署が追加され、提供先
適切

は 4 か所になったが、いずれも提供先における用途が具体的に記載されている。

しているか。
20．移転した特定個人情報が、移転先に

Ⅱ５．

移転先はない。

おいて、いかなる目的で、どのように使 ②

該当用されることになるかを具体的に記載なし

しているか。

4 / 17

審査の観点

主な考慮事項

主な考慮事項（細目）21．特定個人情報の保管場所の態様及び

該当

審査

箇所

結果

Ⅱ６．

保管場所への立入り制限・アクセス制限 ①

端末設置場所、電子記録媒体保管場所、紙媒体保適切について具体的に記載しているか。
22．特定個人情報の保管期間は妥当であ

所見

管場所のそれぞれの態様と立入制限、アクセス制限について具体的に記載されている。

Ⅱ６．

るか。また、その理由を具体的に記載し ②

法定保存期間、委託契約により定められると記載
適切されている。

ているか。
23．保管期間を経過した特定個人情報をⅡ６．

消去する方法を具体的に記載している ③か。

5 / 17

電子データ、紙媒体に分けて消去する方法が具体適切的に記載されている。

個人番号情報（特定個人情報）ファイル
審査の観点

主な考慮事項

主な考慮事項（細目）8．対象となる国民・住民の特定人情報フ

該当

審査

箇所

結果

Ⅱ２.

ァイルにおいて保有することが事務を ③実施する上で必要な理由を具体的に記

所見
事務手続きの対象となる顧問先の従業員及び当適切

該従業員の扶養親族を記録するために必要であることが記載されている。

載しているか。
9．主な記録項目について、保有する理由

Ⅱ２．

をそれぞれ具体的に記載しているか。

④

10．特定個人情報の入手に係る妥当性を

Ⅱ3．

①顧問先の従業員等の依頼に応じて労働者災害

具体的に記載しているか。

①④

補償保険法に基づく手続が追加されたことを適切

識別情報、連絡先等情報のそれぞれについて保有する理由が記載されている。

受けて、本人又は本人の代理人からも個人番号適切を入手しているので「本人又は本人の代理人」に○印を付けており適切である。
④委託契約業務を遂行するためと記載しており、適切である。

11．特定個人情報の入手の事実及び使用

Ⅱ３．

目的が本人に示されていることを具体 ⑤

特定個人情報の入手の事実、利用目的は委託者で適切的に記載しているか。

れている。

12．特定個人情報を使用する理由を具体Ⅱ３．

的に記載しているか。

⑥

特定個人情報の使用目的として 3 つを記載してい適切ファイルの取扱13．特定個人情報ファイルに記録されるいプロセスの概情報を他から入手する際の突合の内容、 ⑧

要（特定個人情

特定個人情報ファイルに記録された情Ⅱ３．

報の入手・使用、 報と他の情報との突合の方法や突合の護評価の対象となる

特定個人情報フ

理由を具体的に記載しているか。

事務の内容の記載はァイルの取扱い

14．特定個人情報を用いた統計分析を行具体的か。当該事務にの委託、特定個う場合は、その内容を具体的に記載して ⑧

おける特定個人情報

人情報の提供・いるか。

の流れを併せて記載

移転、特定個人

しているか。

情報の保管・消15．特定個人情報を使用することによりすく記載しているか。

者災害補償保険法に基づく請求に関する事務）が入手した情報をシステムに入力・登録して、間違っていないか突合することが記載されている。

適切（8）特定個人情報保体的に分かりやる。今回の指摘後修正で 3 つ目の使用目的（労働追記された。

②特定個人情報去）について、具ある顧問先が本人へ明示していることが記載さ

Ⅱ３．

該当

統計分析を行わない。

なし

Ⅱ３．

―

国民の権利利益に影響を与え得る決定 ⑧

該当を行う場合は、その内容を具体的に記載なし

しているか。
16．委託先に当該特定個人情報ファイル

Ⅱ４．

を取り扱わせることが必要な理由を具 ②

委託事項は 3 つあるが、いずれも特定個人情報フ
適切ァイルの取扱いを委託する理由が具体的に記載

体的に記載しているか。

されている。

17．委託先を国民・住民等が確認できる Ⅱ 4 ．

―

か否か、確認できる場合はどのように確 ⑤
認できるか、確認できない場合はそのよ

該当

うな取扱いが評価対象の事務を実施すなし

る上で必要な理由を具体的に記載しているか。
18．特定個人情報ファイルの取扱いを再Ⅱ４．

委託するに当たって、どのような手続・ ⑧
方法によるかを具体的に記載している委託先から書面による申請に基づき、妥当性を考適切慮して顧問先の許諾を得た上で書面により許諾を回答すると具体的に記載されている。

か。
19．提供した特定個人情報が、提供先にⅡ５．

おいて、いかなる目的で、どのように使 ②用されることになるかを具体的に記載提供先として労働基準監督署が追加され、提供先
適切

は 4 か所になったが、いずれも提供先における用途が具体的に記載されている。

しているか。
20．移転した特定個人情報が、移転先に

Ⅱ５．

移転先はない。

おいて、いかなる目的で、どのように使 ②

該当用されることになるかを具体的に記載なし

しているか。
6 / 17

審査の観点

主な考慮事項

主な考慮事項（細目）21．特定個人情報の保管場所の態様及び

該当

審査

箇所

結果

Ⅱ６．

保管場所への立入り制限・アクセス制限 ①

端末設置場所、電子記録媒体保管場所、紙媒体保適切について具体的に記載しているか。
22．特定個人情報の保管期間は妥当であ

所見

管場所のそれぞれの態様と立入制限、アクセス制限について具体的に記載されている。

Ⅱ６．

るか。また、その理由を具体的に記載し ②

法定保存期間、委託契約により定められることが適切記載されている。

ているか。
23．保管期間を経過した特定個人情報をⅡ６．

消去する方法を具体的に記載している ③
か。

7 / 17

電子データ、紙媒体に分けて消去する方法が具体適切的に記載されている。

賃金計算関係情報ファイル
審査の観点

主な考慮事項

主な考慮事項（細目）8．対象となる国民・住民の特定人情報フ

該当

審査

箇所

結果

Ⅱ２.

ァイルにおいて保有することが事務を ③実施する上で必要な理由を具体的に記

所見
事務手続きの対象となる顧問先の従業員及び当適切

該従業員の扶養親族を記録するために必要であることが記載されている。

載しているか。
9．主な記録項目について、保有する理由

Ⅱ２．

をそれぞれ具体的に記載しているか。

④

10．特定個人情報の入手に係る妥当性を

Ⅱ3．

①入手元を顧問先としており、適切である。

具体的に記載しているか。

①②④②入手方法は、データストレージサービス、FAX

適切

識別情報、連絡先等情報、業務関連情報のそれぞれについて保有する理由が記載されている。

適切としており、適切である。
④委託契約業務を遂行するためと記載しており、適切である。

11．特定個人情報の入手の事実及び使用

Ⅱ３．

目的が本人に示されていることを具体 ⑤

特定個人情報の入手の事実、利用目的は委託者で適切的に記載しているか。

れている。

12．特定個人情報を使用する理由を具体Ⅱ３．

的に記載しているか。

⑥

13．特定個人情報ファイルに記録される

Ⅱ３．

適切

ファイルの取扱いプロセスの概要（特定個人情（8）特定個人情報保報の入手・使用、

護評価の対象となる

特定個人情報フ

事務の内容の記載はァイルの取扱い具体的か。当該事務にの委託、特定個

おける特定個人情報

人情報の提供・の流れを併せて記載

移転、特定個人

しているか。

情報の保管・消去）について、具体的に分かりやすく記載しているか。

特定個人情報ファイルに記録された情

特定個人情報の使用目的として、賃金計算事務が記載されている。
入手した情報をシステムに入力・登録して、間違情報を他から入手する際の突合の内容、 ⑧②特定個人情報ある顧問先が本人へ明示していることが記載さっていないか突合することが記載されている。
適切

報と他の情報との突合の方法や突合の理由を具体的に記載しているか。
14．特定個人情報を用いた統計分析を行Ⅱ３．

う場合は、その内容を具体的に記載して ⑧いるか。
15．特定個人情報を使用することにより該当

統計分析を行わない。

なし

Ⅱ３．

―

国民の権利利益に影響を与え得る決定 ⑧

該当を行う場合は、その内容を具体的に記載なし

しているか。
16．委託先に当該特定個人情報ファイル

Ⅱ４．

を取り扱わせることが必要な理由を具 ②

委託事項は 3 つあるが、いずれも特定個人情報フ
適切ァイルの取扱いを委託する理由が具体的に記載

体的に記載しているか。

されている。

17．委託先を国民・住民等が確認できる Ⅱ 4 ．

―

か否か、確認できる場合はどのように確 ⑤
認できるか、確認できない場合はそのよ

該当

うな取扱いが評価対象の事務を実施すなし

る上で必要な理由を具体的に記載しているか。
18．特定個人情報ファイルの取扱いを再Ⅱ４．

委託するに当たって、どのような手続・ ⑧
方法によるかを具体的に記載している

委託事項 1～３いずれも、委託先から書面による適切か。

申請に基づき、妥当性を考慮して顧問先の許諾を得た上で書面により許諾を回答すると具体的に記載している。

19．提供した特定個人情報が、提供先にⅡ５．

提供先はない。

おいて、いかなる目的で、どのように使 ②

該当用されることになるかを具体的に記載なし

しているか。
20．移転した特定個人情報が、移転先に

Ⅱ５．

移転先はない。

おいて、いかなる目的で、どのように使 ②

該当用されることになるかを具体的に記載なし

しているか。
21．特定個人情報の保管場所の態様及び

Ⅱ６．

保管場所への立入り制限・アクセス制限 ①について具体的に記載しているか。
8 / 17

端末設置場所、電子記録媒体保管場所、紙媒体保適切

管場所のそれぞれの態様と立入制限、アクセス制限について具体的に記載されている。

審査の観点

主な考慮事項

主な考慮事項（細目）22．特定個人情報の保管期間は妥当であ

該当

審査

箇所

結果

Ⅱ６．

るか。また、その理由を具体的に記載し ②

所見
法定保存期間、委託契約により定められることが適切記載されている。

ているか。
23．保管期間を経過した特定個人情報をⅡ６．

消去する方法を具体的に記載している ③
か。

9 / 17

電子データ、紙媒体に分けて消去する方法が具体適切的に記載されている。

プロセスにおけるリスク対策
審査の観点

主な考慮事項

主な考慮事項（細目）24．評価対象の事務を遂行する上で必要

該当

審査

箇所

結果

所見

Ⅲ２．

「入社連絡票」等により入手根拠となる委託業務

な者以外の者の特定個人情報を入手し リスク

及び対象者を明確にし、その対象者のみに係る特ないよう講じている対策を具体的に記 １

定個人情報を顧問先又は従業員本人から入手す載しているか。記載された対策は、特定

適切

個人情報保護評価の目的に照らし、妥当なものか。

る方法を用いると共に委託を受ける社会保険労務士が当該連絡票等をチェックすることにより入手時に対象者以外の情報が含まれていないことを確認していること等が具体的に記載されている。

25．事務を遂行する上で必要な情報以外

Ⅲ２．

必要のない情報を記載できない「入社連絡票」をの特定個人情報を入手しないよう講じ リスク使うことで、顧問先又は従業員本人から必要な情ている対策を具体的に記載しているか。 １

報以外を入手できなくすると共に委託を受ける
適切記載された対策は、特定個人情報保護評
価の目的に照らし、妥当なものか。

社会保険労務士が当該連絡票をチェックすることで入手時に必要な情報以外が含まれていないことを確認していること等が具体的に記載されている。

26．特定個人情報の入手に際して、適切Ⅲ２．

顧問先との契約に際して、利用目的の通知と本人な方法で入手するために講じている措 リスク

確認が確実に励行されていることを確認するこ置を具体的に記載しているか。記載され ２た対策は、特定個人情報保護評価の目的（10）
特定されたリスクを軽減するために講ずべき措置についての記載は具体的か記載されたリス（11）
クを軽減させるための措置は個人のプラ
イバシー等の権利利益の侵害の未然防止、
国民・住民の信頼の確保という特定個人情報保護評価の目標に照らし、妥当なものか。

適切とにより不適切な方法で入手が行われるリスクを回避していることが具体的に記載されている。

に照らし、妥当なものか。
③特定個人情報27．特定個人情報を入手する際に、そのⅢ２．

顧問先から入手する個人番号は、「個人番号報告の入手につい特定個人情報が本人の情報であること リスク書」の様式にて顧問先で本人確認済みであることて、特定されたを確認する方法を具体的に記載してい ３を確認し、入手する。また、従業員本人から直接リスクを軽減す

るか。記載された対策は、特定個人情報入手する場合は、委託を受ける社会保険労務士がるために講ずべ

保護評価の目的に照らし、妥当なもの

き措置を具体的か。

適切

マイナンバーカード又は通知カード等の提示を受け本人確認を行い、個人番号を入手すると記載に記載している

されている。また、通知カードの場合は他に本人か。記載されたの写真が掲載されている運転免許証、旅券等の写対策は、特定個

真付身分証明書を併せて確認する。

人情報保護評価

28．入手した個人番号が本人の個人番号

Ⅲ２．

「個人番号報告書」又は通知カード、マイナンバの目的に照らしで間違いないことを確認する方法を具 リスクーカードのコピー等にて個人番号の真正性確認

妥当なものか。

体的に記載しているか。記載された対策 ３

適切は、特定個人情報保護評価の目的に照らが出来る手段をとっていることが具体的に記載されている。

し、妥当なものか。
29．特定個人情報を入手した後、その情Ⅲ２．

顧問先にて、定期的（年１回程度）に確認が行わ

報の正確性を保つために講じている措 リスク

れ、変更があった場合は「個人番号報告書」にて、置を具体的に記載しているか。記載され ３た対策は、特定個人情報保護評価の目的

適切

変更後の個人番号等を入手出来る手段をとり、また入力誤りを防止するため入力した内容を出力してチェックを行うこと等が具体的に記載されに照らし、妥当なものか。

ている。
30．特定個人情報を入手する際に、情報Ⅲ２．

入手の手段・方法ごとに特定個人情報が漏えい・の安全確保の観点から講じている措置 リスク

紛失するリスク対策が記載されている。また、入を具体的に記載しているか。記載された ４

手する確認通知や決定通知に個人番号が含まれ対策は、特定個人情報保護評価の目的に適切照らし、妥当なものか。

ていなくても、それらを登録した「被保険者台帳
情報ファイル」が社員番号をキーにして「個人番号情報ファイル」と結び付いているため、e-Gov、
gBizID についても同様の措置を講ずることとしている。

31．特定個人情報の入手において、そのⅢ２．

特になしと記載されている。

他のリスク及びそれらのリスクへの対 その他

該当策についての記載はあるか。

なし

のリス
ク
10 / 17

審査の観点

主な考慮事項

主な考慮事項（細目）32．宛名システム等において、特定個人

該当

審査

箇所

結果

所見

Ⅲ３．

個人番号管理システムへのログイン時の認証に情報が、使用目的を超えて取り扱われな リスク

よる使用者の特定に加えて特定の業務端末だけ

いよう、また、評価対象の事務に必要の １

が特定個人情報ファイルにアクセスすることがない情報と併せて取り扱われないよう、適切講じている対策を具体的に記載していできるようにアクセス制御していること等が具体的に記載されている。

るか。記載された対策は、特定個人情報
保護評価の目的に照らし、妥当なもの
か。
33．事務で使用するその他のシステムに

Ⅲ３．

当該事務に不要な内容は保持していないため必おいて、特定個人情報が、使用目的を超 リスク

要のない情報との紐付けは行われないことが具えて取り扱われないよう、また、評価対 １

体的に記載されている。

象の事務に必要のない情報と併せて取適切り扱われないよう、講じている対策を具体的に記載しているか。記載された対策
は、特定個人情報保護評価の目的に照らし、妥当なものか。
34．特定個人情報にアクセスする際の認Ⅲ3．

ユーザＩＤ及びパスワードによる認証、６か月に証を行う場合は、特定個人情報にアクセ リスク

１回パスワード変更を行うこと、使用できる端末

スするユーザの認証方法、なりすましが 2を許可された特定の業務端末のみに限定してい適切行われないために講じている対策について具体的に記載しているか。記載されること等なりすましが行われないために講じている対策が具体的に記載されている。

④特定個人情報た対策は、特定個人情報保護評価の目的の使用についに照らし、妥当なものか。

て、特定された

35．特定個人情報ファイルを取り扱う者

Ⅲ３．

職務権限による制限をかけ、ログイン ID とパス

リスクを軽減すが正当なユーザであることを確認する リスク

ワードを発行し、事務取扱担当者のみログインでるために講ずべための情報の発効・失効の管理について 2

き措置を具体的

具体的に記載しているか。記載された対に記載している策は、特定個人情報保護評価の目的に照除が行われる仕組みとしていること、などが具体か。記載されたらし、妥当なものか。

的に記載されている。

対策は、特定個

36．アクセス権限の発効・失効の管理を

Ⅲ3．

特定個人情報管理責任者が事務取扱責任者に指人情報評価の目行う者による当該管理の適正性につい リスク示してユーザＩＤの発行、権限の付与及び削除を的に照らし妥当てチェックをしている内容を具体的に 2行い、当該内容をアクセス権限管理台帳に記録しなものか。

記載しているか。記載された対策は、特適切

適切定個人情報保護評価の目的に照らし、妥きるように管理をすること、従業者の採用、異動
退職時等にユーザ ID の発行、権限の付与及び削ていること、特定個人情報管理責任者はアクセス
権限管理台帳によりユーザ ID に関するアクセス
制御リストを作成し、業務に対して必要最小限の当なものか。

権限が付与されていることを確認していること、などが具体的に記載されている。
37．特定個人情報の入手から消去までのⅢ3．

ログインＩＤにより、誰が、いつ、どの端末で、各過程において、特定個人情報ファイル リスク

誰の情報を取り扱ったか記録し、その記録は 3 年の取扱い記録やアクセスの失敗の記録 2間保存すると記載されている。また、特定個人情等を残していることを具体的に記載し報取扱規程に基づき、事務取扱責任者が特定個人ているか。記録を残していない場合は、

適切残していなくても権限のない者による不正な使用を防止できる理由を具体的

情報のアクセスログについて分析・確認し、その結果は特定個人情報管理責任者に報告していると記載されている。

に記載しているか。記載された対策は、
特定個人情報保護評価の目的に照らし、妥当なものか。
38．従業者が特定個人情報ファイルを事

Ⅲ３．

事務所の職員に対しては個人情報保護に関する

務外で使用しないよう講じている措置 リスク

研修で意識啓発を行っていること、システムを使を具体的に記載しているか。記載された 3用する際にはログインＩＤ、パスワードが必要で対策は、特定個人情報保護評価の目的に照らし、妥当なものか。

適切あり、ログインＩＤにより、誰が、いつ、どの端末で誰の情報を取り扱ったか分かるよう記録を残し、事務取扱責任者が記録を定期的に確認していること、などが具体的に記載されている。

11 / 17

審査の観点

主な考慮事項

主な考慮事項（細目）39．特定個人情報ファイルを取り扱う者

該当

審査

箇所

結果

所見

Ⅲ３．

外部記憶媒体等の使用を制限し物理的に複製でが特定個人情報ファイルを不正に複製 リスク

きない仕組みとすること、バックアップや外部記しないよう講じている措置を具体的に 4

憶媒体を用いた役所へのデータ提出のため一部記載しているか。記載された対策は、特端末のみ外部媒体の使用を許可すること、事務所

定個人情報保護評価の目的に照らし、妥

職員に対しては、データ保護に関する研修を行っ

当なものか。

適切ていること、個人情報保護に関する誓約書を提出させていること、などが具体的に記載されている。加えて、特定個人情報ファイルを電子記録媒体に複製する場合やクラウドサービスから業務端末にダウンロードする場合の操作ログを取得
し、分析・確認をしていること等が具体的に記載されている。

40．特定個人情報の使用において、そのⅢ３．

顧問先に書類等を持参・送付・送信するときは授他のリスク及びそれらのリスクへの対 その他

受記録を残し、肌身離さず携行すること、記録が策についての記載はあるか。

のリス

適切

ク

残る送付手段を利用すること、電子データの暗号化・パスワード保護を行うこと等の必要なリスク対策が記載されている。

41．委託先を決定する際に特定個人情報

Ⅲ４．

委託先を決定する際にプライバシーマークの取ファイルを適切に取り扱う委託先であ 情報管得、ISMS 認証取得又は同等の要件を満たすか確

ることを確認する手続等について具体 理体制的に記載しているか。記載された対策

適切認すること等が具体的に記載されている。

は、特定個人情報保護評価の目的に照らし、妥当なものか。
42．委託先において特定個人情報ファイⅢ４．

委託先が特定個人情報の閲覧ができない仕組み

ルの閲覧者・更新者を必要最小限に制限 閲覧者
していることを具体的に記載している の制限をとっていることが記載されている。
適切か。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
43．委託先における特定個人情報ファイⅢ４．

溶解処理の証明書、マニュフェスト等の記録の受⑤特定個人情報

ルの取扱いについて記録を残している 記録

慮のほか操作ログ、アクセスログをダウンロードの委託につい場合は、その方法や保存期間等を具体的して分析・確認すること等が具体的に記載されてて、特定されたに記載しているか。また、記録を残している。

リスクを軽減す

いない場合は権限のない者による不正るために講ずべな使用を防止できる理由を具体的に記き措置を具体的載しているか。記載された対策は、特定に記載している

個人情報保護評価の目的に照らし、妥当か。記載されたなものか。

対策は、特定個44．委託に伴う特定個人情報の提供に関

Ⅲ4．

委託先等から他者への特定個人情報の提供は一

人情報保護評価するルールを定めている場合、ルールの 提供ル

切認めないことを契約書上明記して、遵守状況のの目的に照ら

内容やルール遵守の確認方法を具体的 ール

確認については、業務報告書、実施報告書等にてし、妥当なものに記載しているか。また、委託先から他行うこと等が具体的に記載されている。

か。

者への提供を認めていない場合、提供さ適切

適切

れていないことを確認する方法を具体的に記載しているか。記載された対策
は、特定個人情報評価の目的に照らし、妥当なものか。
45．委託先における特定個人情報の消去

Ⅲ４．

溶解処理委託の場合は、委託契約時等に提供資料のルールを定めている場合は、ルールの 消去ルの返還、 情報の消去、立入検査等を明記した契約

内容やルール遵守の確認方法を具体的 ールを締結して、溶解処理の証明書、マニュフェスト、に記載しているか。また、委託契約終了
後に消去されていることを確認する方

適切

業務完了報告書等の記録を受領して消去されたことを確認すること、その他の委託の場合は業務法を具体的に記載しているか。記載され完了報告書等の記録を受領すること、等が具体的た対策は、特定個人情報保護評価の目的に記載されている。

に照らし、妥当なものか。
12 / 17

審査の観点

主な考慮事項

主な考慮事項（細目）46．委託先と締結する委託契約における

該当

審査

箇所

結果

所見

Ⅲ４．

委託契約における特定個人情報ファイルの取扱

特定個人情報ファイルの取扱いに関す 委託契いに関する規定に「特定個人情報の適正な取扱い

る規定について具体的に記載している 約書中

適切に関するガイドライン（事業者編）」の「第４－２

か。記載された対策は、特定個人情報保 の規定－⑴ 委託の取扱い」で定めた契約条項が記載さ

護評価の目的に照らし、妥当なものか。

れている。

47．特定個人情報ファイルの取扱いを再Ⅲ４．

委託契約時に、「再委託」に関するセキュリティ要

委託している場合、再委託先での適正な 再委託件を明記した契約を締結し、書面による許諾のな

取扱いの確保のために行っている措置

い再委託を禁止すると共に委託者である社会保適切について具体的に記載しているか。記載

険労務士事務所と最初の委託者である顧問先のされた対策は、特定個人情報保護評価の許諾を得ること、再委託先においては、委託先と目的に照らし、妥当なものか。

同等の安全管理措置を行うこと、等が具体的に記載されている。

48．特定個人情報ファイルの取扱いの委

Ⅲ４．

'クラウドサービス事業者やデータ保管事業者等

託において、その他のリスク及びそれら その他

については、番号法上の「委託」に当たらない場のリスクへの対策について記載はある のリスか。

適切合であっても、委託先として「適切な選定」を実施し、日々の運用状況、再委託の有無等を把握し、ク必要な監督を実施すると記載されている。
49．特定個人情報の提供又は移転の記録

Ⅲ５．

特定個人情報の提供に関するルールを定め、業務を残している場合は、その記録の内容や リスク

処理簿にて記録をしていることが記載されてい記録方法、保存期間等を具体的に記載し 1る。ルールは、「マイナンバー対応ハンドブック」、ているか。また、記録を残していない場「特定個人情報取扱規程」に規定されている。
適切

合は特定個人情報が不正に提供又は移

なお、移転はしていない。

転されることを防止できる理由を具体的に記載しているか。記載された対策
は、特定個人情報保護評価の目的に照らし、妥当なものか。
50．特定個人情報の提供・移転に関する⑥特定個人情報の提供・移転について、特定されたリスクを軽減するために講ずべき措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。

Ⅲ５．

特定個人情報保護規程に基づいて、提供・移転をルールを定めている場合は、ルールの内 リスク
容やルール遵守の確認方法を具体的に 1記載しているか。記載された対策は、特行うこととしている。
適切

定個人情報保護評価の目的に照らし、妥当なものか。
51．特定個人情報の提供・移転する際に、 Ⅲ５．

利用システムごとに ID とパスワードによる認証

情報漏えいや紛失のリスク軽減するた リスク

及びアクセス制御を実施し、不適切な方法で特定めの措置や提供先・移転先における特定 2

個人情報がやり取りされることを防止している

個人情報の使途が法令に基づく適切なこと、また書類を行政機関等へ提出する際には、適切ものであることを確認するための措置

書類が外部から見えないように、ファスナー付きを具体的に記載しているか。記載された

鞄等で移動するなどして、安全に移送しているこ対策は、特定個人情報保護評価の目的にと等が具体的に記載されている。なお、提供先は照らし、妥当なものか。

行政機関であり、用途は法令に基づくものである
ことが明白である。

52．誤った特定個人情報を提供・移転すⅢ５．

紙媒体、電子記録媒体、通信ネットワーク（e-Gov、ることや誤った相手に提供・移転するこ リスク

gBizID）の提供方法毎に、誤った特定個人情報をとを防止する措置を具体的に記載して 3いるか。記載された対策は、特定個人情

適切提供することや誤った相手に提供することを防止する措置が具体的に記載されている。

報保護評価の目的に照らし、妥当なもの
か。
53．特定個人情報の提供・移転において、 Ⅲ５．
その他のリスク及びそれらのリスクへ その他の対策についての記載はあるか。

のリスク

13 / 17

書類を行政機関等へ提出する際には、書類が外部
適切から見えないようにファスナー付き鞄等で移動すること、肌身離さず携行すること、など安全に移送することが記載されている。

審査の観点

主な考慮事項

主な考慮事項（細目）54．情報提供ネットワークシステムを通

該当

審査

箇所

結果

Ⅲ６．

所見
―

じて特定個人情報を入手する際に、目的 リスク
外の入手が行われないために講じてい 1

該当る措置を具体的に記載しているか。記載なし

された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
55．情報提供ネットワークシステムを通Ⅲ６．

―

じて特定個人情報を入手する際に、特定 リスク
個人情報の安全が保たれない不適切な 2
方法で特定個人情報を入手しないため

該当に講じている対策を具体的に記載してなしいるか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なもの
か。
56．情報提供ネットワークシステムを通Ⅲ６．

―

じて特定個人情報を入手した後、その情 リスク
報の正確性を保つために講じている措 3

該当

置を具体的に記載しているか。記載されなし⑦情報提供ネッ

た対策は、特定個人情報保護評価の目的

トワークシステに照らし、妥当なものか。

ムとの接続につ57．情報提供ネットワークシステムを通いて、特定されじて特定個人情報を入手する際に、情報 リスク

たリスクを軽減

漏えいや紛失のリスクを軽減するため 4該当するために講ずに講じている措置を具体的に記載してなし

るべき措置を具いるか。記載された対策は、特定個人情体的に記載して

報評価の目的に照らし、妥当なものか。

いるか。記載さ58．情報提供ネットワークシステムを通れた対策は、個
人情報保護評価の目的に照ら
し、妥当なもの
か。

Ⅲ６．

―

Ⅲ６．

―

じて提供する際に、特定個人情報の不正 リスクな提供が行われるリスクを軽減するた 5めに講じている措置を具体的に記載し該当なしているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
59．情報提供ネットワークシステムを通Ⅲ６．

―

じて提供する際に、特定個人情報の提供 リスク
方法が不適切とならないように講じて 6

該当いる措置を具体的に記載しているか。記なし

載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
60．情報提供ネットワークシステムを通Ⅲ６．

―

じて提供する際に、誤った特定個人情報 リスクを提供することや、誤った相手に提供す 7
ることを防止するために講じている措

該当なし

置を具体的に記載しているか。記載された対策は、特定個人情報評価の目的に照らし、妥当なものか。
61．情報提供ネットワークシステムとのⅢ６．

―接続に伴うリスクについて、その他のリ その他

該当

スク及びそれらのリスクへの対策につ のリス

なし

いての記載はあるか。

ク⑧特定個人情報

62．特定個人情報の漏えい・滅失・毀損

Ⅲ７．

端末設置場所、電子記録媒体保管場所、紙媒体保の保管・消去にを防ぐために行っている物理的な対策 リスク

管場所のそれぞれについて物理的対策（立入制

ついて、特定さについて具体的に記載しているか。記載 1⑤

れたリスクを軽された対策は、特定個人情報保護評価の減するために講目的に照らし、妥当なものか。
14 / 17

適切

限、アクセス制限等）が記載されている。

審査の観点

主な考慮事項

主な考慮事項（細目）

該当

審査

箇所

結果

所見

ずべき措置を具

63．特定個人情報の漏えい・滅失・毀損

Ⅲ７．

アクセス制御、アクセス者の識別と認証、外部か体的に記載してを防ぐために行っている技術的な対策 リスク

らの不正アクセス等の防止、情報漏えい等の防止

いるか。記載さについて具体的に記載しているか。記載 1⑥

れた対策は、特された対策は、特定個人情報保護評価の定個人情報保護目的に照らし、妥当なものか。

評価の目的に照64．過去 3 年以内に発生したすべての重 Ⅲ７．

らし、妥当なものか。

適切等の技術的対策が具体的に記載されている。

発生なし。

大事故の内容、原因、影響、重大事故発 リスク
生時への対応等について具体的に記載 1⑨

該当しているか。記載された対策は、特定個なし

人情報保護評価の目的に照らし、妥当なものか。
65．重大事故を受けて策定・実施した再Ⅲ７．

発防止策の内容について具体的に記載 リスク
しているか。記載された対策は、特定個 1⑨
人情報保護評価の目的に照らし、妥当な

発生なし。
該当
なし

ものか。
66．死者の個人番号を保管している場合

Ⅲ７．

は保管方法を具体的に記載しているか。 リスク
記載された対策は、特定個人情報保護評 1⑩

生存者の情報と同様に、安全管理措置を実施して適切いると記載されている。

価の目的に照らし、妥当なものか。
67．特定個人情報を最新の状態で保管す

Ⅲ７．

住所や氏名等の変更については届出の都度、新たるために行っている措置を具体的に記 リスクな情報を上書きし最新の情報で管理していると載しているか。記載された対策は、特定 2

適切記載されている。

個人情報保護評価の目的に照らし、妥当なものか。
68．保管期間を経過した特定個人情報をⅢ７．

期間を経過した情報の削除についてはシステム

適切な時に安全かつ確実に消去できる リスクプログラムを作成して削除処理を行うこと、申請手続・体制・手法になっているか等につ 3書及び届出書等の紙媒体についてはシュレッダ

いて具体的に記載しているか。記載され適切た対策は、特定個人情報保護評価の目的に照らし、妥当なものか。

ーによる細断もしくは外部業者による溶解処理を行うこと、が記載されている。また、電子記録媒体及び特定個人情報等が記録された機器（パソコンの HDD 等）を廃棄する際は、復元不可能な手段を採用することが記載されている。

69．特定個人情報の保管・消去において、 Ⅲ７．

消去のリスク対策として、誤って廃棄・消去しな

その他のリスク及びそれらのリスクへ その他

いように、務取扱責任者が確認をしてから廃棄・の対策についての記載はあるか。

消去の手続きを行うこと、廃棄・消去の際には、

のリス
ク

適切

いつ、誰が、どのような方法で、何を消去・廃棄したのかを記録し、保存すること、等が具体的に記載されている。

15 / 17

その他のリスク対策
審査の観点

主な考慮事項

主な考慮事項（細目）70．評価書に記載したとおりに運用がな

該当

審査

箇所

結果

Ⅳ1．

所見
自己点検については、事務取扱担当者が評価書記されていること等について、評価の実施 ①

載事項の運用状況を 1 年に 1 回以上システムログを担当する部署自らが、どのように自己又は利用実績の記録により確認すると具体的に点検するか具体的に記載しているか。

適切

記載されている。また、特定個人情報管理責任者
は、特定個人情報取扱規程に基づいて、点検結果
や経営環境により特定個人情報の取扱いに関する安全対策及び諸施策を定期的に見直し、改善すると記載されている。

71．評価書に記載とおりに運用がなされ

Ⅳ１．

監査については、内部監査員が定期的（年 1 回以ていること等について、どのように監査 ②⑨特定個人情報

するか具体的に記載しているか。

上）に監査すると記載されている。また、特定個
適切の取扱いについする教育・啓発を行っている（10）
特定されたリスか。

クを軽減するために的に見直し、改善すると記載されている。
72．特定個人情報を取り扱う従業者等にⅣ２．

対しての教育・啓発や違反行為をした従

従業者に個人情報保護および情報セキュリティ
適切業者等に対する措置について具体的にⅣ３．

することが記載されている。
「影響範囲の特定」の以下の手順が追記された。
ⅰ.被害拡大防止策の検討ての記載は具体的か

適切

ⅱ.事実関係の調査及び原因の究明
ⅲ.影響範囲の特定記載されたリス
（11）

ⅳ.再発防止策の検討・実施

クを軽減させるため

73．国民・住民等からの意見聴取により Ⅵ２．

の措置は個人のプラ得られた意見を踏まえて評価書のどの

イバシー等の権利利なしに記載しているか。

国民・住民の信頼の確保という特定個人情―
該当箇所をどのように修正したかを具体的益の侵害の未然防止、

Ⅲ３．

報保護評価の目標にパターン D 事務所（事務取扱担当者 2 人以上/特定個人情報ファイルを事務所外で保管）では、事照らし、妥当なもの
か。

に関する研修を少なくとも１年に１回以上実施

記載しているか。
その他のリスク対策

講ずべき措置についづき外部監査結果や経営環境により特定個人情報の取扱いに関する安全対策及び諸施策を定期て自己点検・監査や従業者に対

人情報管理責任者は、特定個人情報取扱規程に基務所職員が複数人いるため固有のリスクとして⑩その他、評価

不正アクセスを想定して、以下の通り対策が具体実施機関に特有

的に記載されている。

な問題や懸念に・クラウドサービスに使用する端末は特定の業務

対し、特定され端末に限定する。

たリスクを軽減・ユーザ ID とパスワードでユーザを認証し、事するために講ずべき措置を具体適切的に記載してい務取扱担当者のみがログインできるように管理している。

るか。記載され・事務取扱責任者がクラウドから特定個人情報のた対策は、特定

アクセスログをダウンロードし、アクセスログ

個人情報保護評を分析・確認し、その結果を特定個人情報管理

価の目的に照ら責任者に報告する。
・事務所職員に対しては、データ保護に関する研し、妥当なもの修を行う。

か。

16 / 17

総評・全体的事項
社会保険労務士事務所は、特定個人情報保護評価の実施が義務付けられていないが、顧問先従業員等の特定個人情報を取扱うことから、その保護の重要性に鑑み、特定個人情報保護評価の枠組みを用いて任意に特定個人情報保護評価を実施している。この度、前回の平成 27 年の評価から 5 年が経過するので特定個人情報保護評価を再実施しているが、個人情報保護委員会の「特定個人情報保護評価 5 年経過前の評価の再実施に係る留意事項について」において示されているポイントについても本評価書で対応している。また、平成 28 年 1 月から労災年金の請求にマイナンバーの記載が必要になったことから労働者災害補償保険法に基づく請求に関する事務も評価の対象にした。
特定個人情報保護評価の対象となる社会保険労務士事務所の事務の実態に基づき、特定個人情報保護評価書様式で求められる項目について検討し、記載していることを確認した。
・本評価書に固有な事項
本評価書は、パターン D（事務取扱担当者 2 人以上/特定個人情報ファイルを事務所外で保管）のケースであり、事務所職員が複数人いること、また外部のクラウドサービスを使用すること、から固有のリスクとして不正アクセス、不正利用等のリスクを想定して、以下のような対策が記載されていることを確認した。
a)事務取扱担当者、事務取扱責任者を定めて特定個人情報を取扱うことができる者を限定する。（組織的安全管理措置）b)端末設置場所、執務室、媒体保管庫等の立入制限、アクセス制限（物理的安全管理措置）c) パソコン及びクラウドサービスを利用するための識別・認証、アクセス制御、アクセスログの分析・確認（技術的安全管理措置）d)事務所職員に対するデータ保護に関する研修（人的安全管理措置）
・特記事項
特に、個人情報として入手し、評価対象の事務の実施において個人番号と結び付き特定個人情報となる場合についても、その個人情報を特定個人情報と同等に取扱うことが求められているので、注意して頂きたい。個人情報保護委員会の「特定個人情報保護評価書 記載要領」の「Ⅱ 特定個人情報フ
ァイルの概要」「３．特定個人情報の入手・使用」を確認することをお薦めします。
・今後の課題本評価書で記載されたリスク対策は、実施が求められるので、「マイナンバー対応ハンドブック」、「特定個人情報取扱規程」等に漏れなく反映され、自己点検でも実施状況を確認することをお勧めします。別紙「規程類の改定について」に必要な事項を一部記載しているので、参考にして頂きたい。
また、顧問先の特定個人情報ファイルはクラウドサービス事業者のデータセンターに保管され、データはクラウドサービス提供事業者がバックアップ
することになっているとのことであるが、社会保険労務士事務所の事情でバックアップからデータを復元する必要が生じた場合を想定して、定期的にバックアップからデータが復元できるかテストすることをお薦めします。
以上

17 / 17