別紙「特定個人情報保護評価書点検」結果表
1

概要

評価実施機関

全国社会保険労務士会連合会

担当部署
対象評価書種別

全項目評価

対象事務

社会保険労務士事務
評価書番号 1（事務取扱担当者１人/特定個人情報ファイルを事
務所内で保管）社会保険労務士事務所（パターン A 事務所）が委託契約に基づ
き、労働社会保険諸法令関係書類に、個人番号を記載して公共
職業安定所、日本年金機構及び健康保険組合等に提出する事務に関する評価書

授受資料●評価書
1 社会保険労務士事務所・特定個人情報保護モデル評価書 A
2 社会保険労務士事務所・特定個人情報保護評価 モデル評価
書パターン説明書●ハンドブック（社労士版ガイドライン）令和 2 年版
1 ハンドブック～概要～
2 ハンドブック （「本編」）●規程等（雛形）
1 特定個人情報等の適正な取扱いに関する基本方針
2（修正）特定個人情報取扱規程（小規模事務所用）
4 業務委託契約書
5 特定個人情報等の取扱いに関する覚書
6 就業規則●様式等（雛形）
1 特定個人情報ファイル管理台帳
2（修正）特定個人情報保護のための体制図
3 情報セキュリティ教育計画書
4 情報セキュリティ教育実績一覧（実施報告書）
7（修正）特定個人情報・個人情報の取扱いに関する事故等の報告書（外部用）
8 特定個人情報・個人情報保護事件・事故対応報告書（社内用）
9 特定個人情報および個人情報の開示等請求書
評価書番号：1

1

10 特定個人情報・個人情報問合せ・相談受付票
11 入室管理台帳
12 入室管理台帳（管理区域）
13 退室時確認事項
14 アクセス権限管理台帳
15 個人番号報告書
16 個人番号利用目的通知書
17 業務処理簿
18 入社連絡票
19 異動（変更）連絡票
20 退社連絡票
21 自己点検計画書
22 自己点検報告書
審査実施期間

令和 2 年 9 月 7 日から令和 2 年 10 月 30 日までの間

備考

―

2

点検について以下の観点で点検を行った。
観点
適合性

内容

備考

提出された特定個人情報保護評価の実 平成 30 年 5 月 21 日特定個
施が、特定個人情報保護評価指針に定め 人情報保護委員会事務局
る実施手続等に適合して行われている 「特定個人情報保護評価指か

妥当性針（特定個人情報保護委員

特定個人情報保護評価書に記載されて 会）」の第 10「委員会の関いる内容は、この指針に定める特定個人 与」における「審査の観点」
情報保護評価の目的等（本人のプライバ に基づき実施
シー等権利利益の保護）に照らし妥当と認められるか

評価書番号：1

2

別紙

特定個人情報保護評価書の特定個人情報保護
評価指針への適合性・妥当性の審査

評価書名： 社会保険労務士事務所（パターン A 事務所）が委託契約に基づき、労働社会保険諸法令
関係書類に、個人情報を記載して公共職業安定所、日本年金機構及び健康保険組合等に提出する事務に関する評価書

1 / 17

全体的な事項
審査の観点

主な考慮事項

主な考慮事項（細目）

該当

審査

箇所

結果

所見
社会保険労務士事務所は、特定個人情報保護評価の実施が義務付けられていないが、特定個人情報
ファイルを取扱うことから、その保護の重要性に鑑み、特定個人情報保護評価の枠組みを用いて任（1）しきい値判断に誤りはないか――――意に評価をするものである。この特定個人情報保護評価書は、全国社会保険労務士会連合会が社会保険労務士事務所のモデルを設定して作成した「モデル評価書」であり、社会保険労務士事務所
が自社の特定個人情報保護評価を実施するに当たり参考にするものである。

1．評価実施機関が複数存在し、取りまと（2）適切な実施主体が実施しているか。

―

めの評価実施機関が評価書を作成・提出する場合に、取りまとめ以外の全ての評

同上
―

―

価実施機関について記載しているか。
（3）公表しない部分
は適切な範囲か。
（4）適切な時期に実施しているか。

―

―

―

適切

―

―

―

適切

評価書の内容は全て公表することとしている。
前回の特定個人情報保護評価から 5 年経過する前に再実施している。

（5）適切な方法で広特定個人情報保護評価の枠組みを用いて任意にく国民の意見を求評価を実施するものである。

め、得られた意見を十分考慮した上で必

―

―

―

―

要な見直しを行っているか。
（6）特定個人情報保社会保険労務士法（昭和 43 年法律第 89 号）第２

護評価の対象となる条に規定される事務について、求められる事項が事務の実態に基づすべて記載されている。

き、特定個人情報保護評価書様式で求め

―

―

―

適切

られるすべての項目について検討し、記載しているか。
（7）記載された特定

この評価書は、全国社会保険労務士会連合会が社

個人情報保護評価の会保険労務士事務所のモデルを設定して作成し実施を担当する部署

た「モデル評価書」であり、実施主体は個々の社

は、特定個人情報保会保険労務士事務所である。

護評価の対象となる事務を担当し、リス―――①特定個人情2．評価対象の事務全体の概要及びその―クを軽減させるための措置の実施に責任を負うことができるか。
報ファイルを

労働者災害補償保険法に基づく請求に関する事

中で特定個人情報ファイルを使用して実Ⅰ1．

施する事務の内容を具体的に記載してい②（8）特定個人情報保取り扱う事務護評価の対象となるやその事務にるか。

事務の内容の記載はおいて使用す3．当該システムが実現する機能の名称具体的か。当該事務るシステムにとその概要を具体的に記載しているか。

における特定個人情

ついて、基本報の流れを併せて記情報を具体的

4．当該システムと情報をやり取りする

Ⅰ2．

載しているか。

に分かりやすシステムをすべて記載しているか。

③

く記載してい

5．特定個人情報ファイルを取り扱うこⅠ4．

とが評価対象の事務を実施する上で必要①

るか。

2 / 17

Ⅰ2．

適切

適切

務の内容が追記され、事務の内容が漏れなく、具体的に記載されている。
システム 3（賃金計算関係システム）の「②システム」にシステム 1 及び 2 と連携する旨が明記さ

②

れた。
適切
適切

関係するシステムが全て記載されている。
顧問先従業員の住所、氏名及び生年月日、個人番
号等の情報を取得して、特定個人情報ファイルを審査の観点

主な考慮事項

主な考慮事項（細目）

該当

審査

箇所

結果

所見

であることを、事務の流れに即して具体作成して管理することにより必要な事務手続き的に説明しているか。

が発生した際に手続書類を作成すると事務の流れが具体的に記載されている。

6．評価対象の事務において特定個人情

手続きに必要な情報を管理することにより、効率報ファイルを取り扱うことにより、期待Ⅰ4．

されるメリットについて幅広く具体的に②

適切的に事務を進めることができるとメリットが具体的に記載されている。

記載しているか。
7．事務に関わる者、事務において使用す

指摘後修正で別添 1（事務の内容）に労働者災害るシステム、事務において取り扱う情報

Ⅰの流れを具体的に記載しているか。

（別添

適切

補償保険法に基づく請求に関する事務の内容と使用するシステムが追記された。これにより社会保険労務士事務所の事務の内容と情報の流れ及1）びシステムが漏れなく記載された。
（9）特定個人情報フ

全項目評価書に例示されている各リスクにどのァイルを取り扱うプ

ように対応しているかが具体的に記載されていロセスにおいて特定る。また、「特定個人情報保護評価 5 年経過前の

個人情報の漏えいそ評価の再実施に係る留意事項について」においての他の事態を発生さ

―

―

Ⅲ、Ⅳ

適切

示されているポイントについても対応している。

せるリスクを、個人情報保護の対象となる事務の実態に基づ
き、特定しているか。

（10）特定されたリスクを軽減するために講ずべき措置につ70．評価書に記載したとおりに運用がな

自己点検については、評価書記載事項の運用状況されていること等について、評価の実態

を 1 年に 1 回以上システムログ又は利用実績の記を担当する部署自らが、どのように自己Ⅳ１.

点検するか具体的に記載しているか。

①

適切

た、定期的に特定個人情報取扱規程に基づいて特定個人情報の取扱いに関する安全対策及び諸施いての記載は具体的か。

録により確認すると具体的に記載されている。ま⑨特定個人情報ファイルの（11）記載されたリ取扱いについスクを軽減させるたて自己点検・

めの措置は、個人の監査や従業者

プライバシー等の権に対する教利利益の侵害の未然育・啓発を行防止、国民・住民の信っているか。

頼の確保という特定
個人情報保護評価の目的に照らし、妥当なものか。

策を見直し、改善すると記載されている。
71．評価書に記載したとおりに運営がなされていることを等について、どのように監査するか具体的に記載しているか。

監査については、2 年又は 3 年に 1 回外部監査を
Ⅳ１.
②

受審すると記載されている。また、外部監査結果
適切や特定個人情報取扱規程等により特定個人情報の取扱いに関する安全対策及び諸施策を定期的に見直し、改善すると記載されている。

72．特定個人情報を取り扱う従業者等に対しての教育・啓発や違反行為をした従
業者等に対する措置について具体的に記

従業者がいないため研修は実施していないが、特Ⅳ２

適切定個人情報管理責任者は、年１回以上、個人情報保護及び情報セキュリティに関する研修等を受載しているか。

講すると記載されている。

73．国民・住民等からの意見聴取により―得られた意見を踏まえて評価書のどの箇

Ⅳ２.

所をどのように修正したかを具体的に記

⑤

該当なし

載しているか。
（12）個人のプライ

社労士事務所は、委託契約に基づく個人番号関係

バシー等の権利利益

事務及び委任による個人の手続事務における特の保護の宣言は、国定個人情報ファイルの取扱いに当り、特定個人情

民・住民の信頼の確報ファイルの取扱いが委託者の従業員等及び委保という特定個人情報保護評価の目的に

―

―

表紙

適切

任者の個人のプライバシー等の権利利益に影響を及ぼしかねないことを認識し、特定個人情報の照らし、妥当なもの

漏えいその他の事態を発生させるリスクを軽減か。

させるために適切な措置を講じ、もって個人のプ
ライバシー等の権利利益の保護に取り組んでいることを宣言している。

3 / 17

顧問先従業員（被保険者台帳）情報ファイル
審査の観点

主な考慮事項

主な考慮事項（細目）8．対象となる国民・住民の特定人情報フ

該当

審査

箇所

結果

Ⅱ２.

ァイルにおいて保有することが事務を ③実施する上で必要な理由を具体的に記

所見
事務手続きの対象となる顧問先の従業員及び当適切

該従業員の扶養親族を記録するために必要であると記載されている。

載しているか。
9．主な記録項目について、保有する理由

Ⅱ２．

をそれぞれ具体的に記載しているか。

④

10．特定個人情報の入手に係る妥当性をⅡ3．

①公共職業安定所、年金事務所、健康保険組合等

具体的に記載しているか。

①②④

から入手する確認通知・決定通知等は、顧問先

適切

識別情報、連絡先等情報、業務関係情報のそれぞれについて保有する理由が記載されている。

従業員(被保険者台帳)情報ファイルの社員番号で個人番号情報(特定個人情報)ファイルと紐づいていることから、これらの機関を「行政機関・独立行政法人等」に記載されており適切であ適切る。
②上記の理由により、「その他」の( )内にデータストレージサービス、FAX が記載されているが、上記の理由により、e-Gov、gBizID も記載されており適切である。
④委託契約業務を遂行するためと記載しており②特定個人情報
ファイルの取扱いプロセスの概要（特定個人情

適切である。
11．特定個人情報の入手の事実及び使用

Ⅱ３．

目的が本人に示されていることを具体 ⑤

特定個人情報の入手の事実、利用目的は委託者で適切的に記載しているか。

ある顧問先が本人へ明示していると記載されている。

（8）特定個人情報保報の入手・使用、 12．特定個人情報を使用する理由を具体

護評価の対象となる

特定個人情報フ

事務の内容の記載はァイルの取扱い具体的か。当該事務にの委託、特定個

おける特定個人情報

人情報の提供・13．特定個人情報ファイルに記録されるの流れを併せて記載

移転、特定個人

情報を他から入手する際の突合の内容、 ⑧

しているか。

情報の保管・消特定個人情報ファイルに記録された情去）について、具報と他の情報との突合の方法や突合の体的に分かりや

理由を具体的に記載しているか。

すく記載してい14．特定個人情報を用いた統計分析を行るか。

う場合は、その内容を具体的に記載して ⑧

的に記載しているか。

Ⅱ３．
⑥

特定個人情報の使用目的として 3 つを記載してい適切る。指摘後修正で 3 つ目の使用目的（労働者災害補償保険法に基づく請求に関する事務）が追記さ
れた。

Ⅱ３．

っていないか突合すると記載されている。
適切

Ⅱ３．

いるか。
15．特定個人情報を使用することにより入手した情報をシステムに入力・登録して、間違該当統計分析を行わない。

なし

Ⅱ３．

―

国民の権利利益に影響を与え得る決定 ⑧

該当を行う場合は、その内容を具体的に記載なし

しているか。
16．委託先に当該特定個人情報ファイル

Ⅱ４．

を取り扱わせることが必要な理由を具 ②

委託事項は 2 つあるが、いずれも特定個人情報フ
適切ァイルの取扱いを委託する理由が具体的に記載

体的に記載しているか。

されている。

17．委託先を国民・住民等が確認できる Ⅱ 4 ．

―

か否か、確認できる場合はどのように確 ⑤
認できるか、確認できない場合はそのよ

該当

うな取扱いが評価対象の事務を実施すなし

る上で必要な理由を具体的に記載しているか。
18．特定個人情報ファイルの取扱いを再Ⅱ４．

委託するに当たって、どのような手続・ ⑧
方法によるかを具体的に記載しているか。

4 / 17

委託先から書面による申請に基づき、妥当性を考適切慮して顧問先の許諾を得た上で書面により許諾を回答することが具体的に記載されている。

審査の観点

主な考慮事項

主な考慮事項（細目）19．提供した特定個人情報が、提供先に

該当

審査

箇所

結果

Ⅱ５．

おいて、いかなる目的で、どのように使 ②用されることになるかを具体的に記載

所見
提供先として労働基準監督署が追加され、提供先

適切

は 4 か所になったが、いずれも提供先における用途が具体的に記載されている。

しているか。
20．移転した特定個人情報が、移転先に

Ⅱ５．

移転先はない。

おいて、いかなる目的で、どのように使 ②

該当用されることになるかを具体的に記載なし

しているか。
21．特定個人情報の保管場所の態様及び

Ⅱ６．

保管場所への立入り制限・アクセス制限 ①について具体的に記載しているか。

サーバ設置場所、端末設置場所、電子記録媒体保
適切

管場所、紙媒体保管場所のそれぞれの態様と立入制限、アクセス制限について具体的に記載されている。

22．特定個人情報の保管期間は妥当であⅡ６．

るか。また、その理由を具体的に記載し ②

法定保存期間、委託契約により定められると記載
適切されている。

ているか。
23．保管期間を経過した特定個人情報をⅡ６．

消去する方法を具体的に記載している ③か。

5 / 17

電子データ、紙媒体に分けて消去する方法が具体適切的に記載されている。

個人番号情報（特定個人情報）ファイル
審査の観点

主な考慮事項

主な考慮事項（細目）8．対象となる国民・住民の特定人情報フ

該当

審査

箇所

結果

Ⅱ２.

ァイルにおいて保有することが事務を ③実施する上で必要な理由を具体的に記

所見
事務手続きの対象となる顧問先の従業員及び当適切

該従業員の扶養親族を記録するために必要であることが記載されている。

載しているか。
9．主な記録項目について、保有する理由

Ⅱ２．

をそれぞれ具体的に記載しているか。

④

10．特定個人情報の入手に係る妥当性を

Ⅱ3．

①顧問先の従業員等の依頼に応じて労働者災害

具体的に記載しているか。

①④

補償保険法に基づく手続が追加されたことを適切

識別情報、連絡先等情報のそれぞれについて保有する理由が記載されている。

受けて、本人又は本人の代理人からも個人番号適切を入手しているので「本人又は本人の代理人」に○印を付けており適切である。
④委託契約業務を遂行するためと記載しており、適切である。

11．特定個人情報の入手の事実及び使用

Ⅱ３．

目的が本人に示されていることを具体 ⑤

特定個人情報の入手の事実、利用目的は委託者で適切的に記載しているか。

れている。

12．特定個人情報を使用する理由を具体Ⅱ３．

的に記載しているか。

⑥

特定個人情報の使用目的として 3 つを記載してい適切ファイルの取扱13．特定個人情報ファイルに記録されるいプロセスの概情報を他から入手する際の突合の内容、 ⑧

要（特定個人情

特定個人情報ファイルに記録された情Ⅱ３．

報の入手・使用、 報と他の情報との突合の方法や突合の護評価の対象となる

特定個人情報フ

理由を具体的に記載しているか。

事務の内容の記載はァイルの取扱い

14．特定個人情報を用いた統計分析を行具体的か。当該事務にの委託、特定個う場合は、その内容を具体的に記載して ⑧

おける特定個人情報

人情報の提供・いるか。

の流れを併せて記載

移転、特定個人

しているか。

情報の保管・消15．特定個人情報を使用することによりすく記載しているか。

補償保険法に基づく請求に関する事務）が追記さ入手した情報をシステムに入力・登録して、間違っていないか突合することが記載されている。

適切（8）特定個人情報保体的に分かりやる。指摘後修正で 3 つ目の使用目的（労働者災害れた。

②特定個人情報去）について、具ある顧問先が本人へ明示していることが記載さ

Ⅱ３．

該当

統計分析を行わない。

なし

Ⅱ３．

―

国民の権利利益に影響を与え得る決定 ⑧

該当を行う場合は、その内容を具体的に記載なし

しているか。
16．委託先に当該特定個人情報ファイル

Ⅱ４．

を取り扱わせることが必要な理由を具 ②

委託事項は 2 つあるが、いずれも特定個人情報フ
適切ァイルの取扱いを委託する理由が具体的に記載

体的に記載しているか。

されている。

17．委託先を国民・住民等が確認できる Ⅱ 4 ．

―

か否か、確認できる場合はどのように確 ⑤
認できるか、確認できない場合はそのよ

該当

うな取扱いが評価対象の事務を実施すなし

る上で必要な理由を具体的に記載しているか。
18．特定個人情報ファイルの取扱いを再Ⅱ４．

委託するに当たって、どのような手続・ ⑧
方法によるかを具体的に記載している

委託事項 1，2 いずれも委託先から書面による申適切か。

請に基づき、妥当性を考慮して顧問先の許諾を得た上で書面により許諾を回答することが具体的に記載されている。

19．提供した特定個人情報が、提供先にⅡ５．

おいて、いかなる目的で、どのように使 ②用されることになるかを具体的に記載提供先として労働基準監督署が追加され、提供先
適切

は 4 か所になったが、いずれも提供先における用途が具体的に記載されている。

しているか。
20．移転した特定個人情報が、移転先に

Ⅱ５．

移転先はない。

おいて、いかなる目的で、どのように使 ②

該当用されることになるかを具体的に記載なし

しているか。
6 / 17

審査の観点

主な考慮事項

主な考慮事項（細目）21．特定個人情報の保管場所の態様及び

該当

審査

箇所

結果

Ⅱ６．

保管場所への立入り制限・アクセス制限 ①について具体的に記載しているか。

所見
サーバ設置場所、端末設置場所、電子記録媒体保

適切

管場所、紙媒体保管場所のそれぞれの態様と立入制限、アクセス制限について具体的に記載されている。

22．特定個人情報の保管期間は妥当であⅡ６．

るか。また、その理由を具体的に記載し ②

法定保存期間、委託契約により定められることが適切記載されている。

ているか。
23．保管期間を経過した特定個人情報をⅡ６．

消去する方法を具体的に記載している ③
か。

7 / 17

電子データ、紙媒体に分けて消去する方法が具体適切的に記載されている。

賃金計算関係情報ファイル
審査の観点

主な考慮事項

主な考慮事項（細目）8．対象となる国民・住民の特定人情報フ

該当

審査

箇所

結果

Ⅱ２.

ァイルにおいて保有することが事務を ③実施する上で必要な理由を具体的に記

所見
事務手続きの対象となる顧問先の従業員及び当適切

該従業員の扶養親族を記録するために必要であることが記載されている。

載しているか。
9．主な記録項目について、保有する理由

Ⅱ２．

をそれぞれ具体的に記載しているか。

④

10．特定個人情報の入手に係る妥当性を

Ⅱ3．

具体的に記載しているか。

①②④

適切

識別情報、連絡先等情報、業務関連情報のそれぞれについて保有する理由が記載されている。
①入手元は「本人又は本人の代理人」としており、適切である。

適切②入手方法は、データストレージサービス、FAXとしており、適切である。
④委託契約業務を遂行するためと記載しており、適切である。

11．特定個人情報の入手の事実及び使用

Ⅱ３．

目的が本人に示されていることを具体 ⑤

特定個人情報の入手の事実、利用目的は委託者で適切的に記載しているか。

れている。

12．特定個人情報を使用する理由を具体Ⅱ３．

的に記載しているか。

⑥

13．特定個人情報ファイルに記録される

Ⅱ３．

②特定個人情報

情報を他から入手する際の突合の内容、 ⑧ファイルの取扱特定個人情報ファイルに記録された情いプロセスの概報と他の情報との突合の方法や突合の要（特定個人情

理由を具体的に記載しているか。

報の入手・使用、 14．特定個人情報を用いた統計分析を行

護評価の対象となる

特定個人情報フう場合は、その内容を具体的に記載して ⑧

事務の内容の記載はァイルの取扱いいるか。

具体的か。当該事務にの委託、特定個

おける特定個人情報

人情報の提供・15．特定個人情報を使用することによりの流れを併せて記載

移転、特定個人

しているか。

情報の保管・消体的に分かりやすく記載しているか。

適切

特定個人情報の使用目的として、賃金計算事務が記載されている。
入手した情報をシステムに入力・登録して、間違っていないか突合することが記載されている。

適切（8）特定個人情報保去）について、具ある顧問先が本人へ明示していることが記載さ

Ⅱ３．

該当

統計分析を行わない。

なし

Ⅱ３．

―

国民の権利利益に影響を与え得る決定 ⑧

該当を行う場合は、その内容を具体的に記載なし

しているか。
16．委託先に当該特定個人情報ファイル

Ⅱ４．

を取り扱わせることが必要な理由を具 ②

委託事項は 2 つあるが、いずれも特定個人情報フ
適切ァイルの取扱いを委託する理由が具体的に記載

体的に記載しているか。

されている。

17．委託先を国民・住民等が確認できる Ⅱ 4 ．

―

か否か、確認できる場合はどのように確 ⑤
認できるか、確認できない場合はそのよ

該当

うな取扱いが評価対象の事務を実施すなし

る上で必要な理由を具体的に記載しているか。
18．特定個人情報ファイルの取扱いを再Ⅱ４．

委託事項 1，2 のいずれも委託先から書面による委託するに当たって、どのような手続・ ⑧
方法によるかを具体的に記載している

申請に基づき、妥当性を考慮して書面により許諾
適切か。

を回答すると具体的に記載している。また、いずれも顧問先の許諾を得ることが記載されており適切である。

19．提供した特定個人情報が、提供先にⅡ５．

提供先はない。

おいて、いかなる目的で、どのように使 ②

該当用されることになるかを具体的に記載なし

しているか。
20．移転した特定個人情報が、移転先に

Ⅱ５．

移転先はない。

おいて、いかなる目的で、どのように使 ②

該当用されることになるかを具体的に記載なし

しているか。

8 / 17

審査の観点

主な考慮事項

主な考慮事項（細目）21．特定個人情報の保管場所の態様及び

該当

審査

箇所

結果

Ⅱ６．

保管場所への立入り制限・アクセス制限 ①について具体的に記載しているか。

所見
サーバ設置場所、端末設置場所、電子記録媒体保

適切

管場所、紙媒体保管場所のそれぞれの態様と立入制限、アクセス制限について具体的に記載されている。

22．特定個人情報の保管期間は妥当であⅡ６．

るか。また、その理由を具体的に記載し ②

法定保存期間、委託契約により定められることが適切記載されている。

ているか。
23．保管期間を経過した特定個人情報をⅡ６．

消去する方法を具体的に記載している ③
か。

9 / 17

電子データ、紙媒体に分けて消去する方法が具体適切的に記載されている。

プロセスにおけるリスク対策
審査の観点

主な考慮事項

主な考慮事項（細目）24．評価対象の事務を遂行する上で必要

該当

審査

箇所

結果

所見

Ⅲ２．

「入社連絡票」等により入手根拠となる委託業務

な者以外の者の特定個人情報を入手し リスク

及び対象者を明確にし、その対象者のみに係る特ないよう講じている対策を具体的に記 １

定個人情報を顧問先又は従業員本人から入手す載しているか。記載された対策は、特定

適切

個人情報保護評価の目的に照らし、妥当なものか。

る方法を用いると共に委託を受ける社会保険労務士が当該連絡票等をチェックすることにより入手時に対象者以外の情報が含まれていないことを確認していること等が具体的に記載されている。

25．事務を遂行する上で必要な情報以外

Ⅲ２．

必要のない情報を記載できない「入社連絡票」をの特定個人情報を入手しないよう講じ リスク使うことで、顧問先又は従業員本人から必要な情ている対策を具体的に記載しているか。 １

報以外を入手できなくすると共に委託を受ける
適切記載された対策は、特定個人情報保護評
価の目的に照らし、妥当なものか。

社会保険労務士が当該連絡票をチェックすることで入手時に必要な情報以外が含まれていないことを確認していること等が具体的に記載されている。

26．特定個人情報の入手に際して、適切Ⅲ２．

顧問先との契約に際して、利用目的の通知と本人な方法で入手するために講じている措 リスク

確認が確実に励行されていることを確認するこ置を具体的に記載しているか。記載され ２た対策は、特定個人情報保護評価の目的（10）
特定されたリスクを軽減するために講ずべき措置についての記載は具体的か記載されたリス（11）
クを軽減させるための措置は個人のプラ
イバシー等の権利利益の侵害の未然防止、
国民・住民の信頼の確保という特定個人情報保護評価の目標に照らし、妥当なものか。

適切とにより不適切な方法で入手が行われるリスクを回避していることが具体的に記載されている。

に照らし、妥当なものか。
③特定個人情報27．特定個人情報を入手する際に、そのⅢ２．

顧問先から入手する個人番号は、「個人番号報告の入手につい特定個人情報が本人の情報であること リスク書」の様式にて顧問先で本人確認済みであることて、特定されたを確認する方法を具体的に記載してい ３を確認し、入手する。また、従業員本人から直接リスクを軽減す

るか。記載された対策は、特定個人情報入手する場合は、委託を受ける社会保険労務士がるために講ずべ

保護評価の目的に照らし、妥当なもの

き措置を具体的か。

適切

マイナンバーカード又は通知カード等の提示を受け本人確認を行い、個人番号を入手すると記載に記載している

されている。また、通知カードの場合は他に本人か。記載されたの写真が掲載されている運転免許証、旅券等の写対策は、特定個

真付身分証明書を併せて確認する。

人情報保護評価

28．入手した個人番号が本人の個人番号

Ⅲ２．

「個人番号報告書」又は通知カード、マイナンバの目的に照らしで間違いないことを確認する方法を具 リスクーカードのコピー等にて個人番号の真正性確認

妥当なものか。

体的に記載しているか。記載された対策 ３

適切は、特定個人情報保護評価の目的に照らが出来る手段をとっていることが具体的に記載されている。

し、妥当なものか。
29．特定個人情報を入手した後、その情Ⅲ２．

顧問先にて、定期的（年１回程度）に確認が行わ

報の正確性を保つために講じている措 リスク

れ、変更があった場合は「個人番号報告書」にて、置を具体的に記載しているか。記載され ３た対策は、特定個人情報保護評価の目的

適切

変更後の個人番号等を入手出来る手段をとり、また入力誤りを防止するため入力した内容を出力してチェックを行うこと等が具体的に記載されに照らし、妥当なものか。

ている。
30．特定個人情報を入手する際に、情報Ⅲ２．

入手の手段・方法ごとに特定個人情報が漏えい・の安全確保の観点から講じている措置 リスク

紛失するリスク対策が記載されている。また、入を具体的に記載しているか。記載された ４

手する確認通知や決定通知に個人番号が含まれ対策は、特定個人情報保護評価の目的に適切照らし、妥当なものか。

ていなくても、それらを登録した「被保険者台帳
情報ファイル」が社員番号をキーにして「個人番号情報ファイル」と結び付いているため、e-Gov、
gBizID についても同様の措置を講ずることとしている。

31．特定個人情報の入手において、そのⅢ２．

該当なしと記載されている。

他のリスク及びそれらのリスクへの対 その他

該当策についての記載はあるか。

なし

のリス
ク
10 / 17

審査の観点

主な考慮事項

主な考慮事項（細目）32．宛名システム等において、特定個人

該当

審査

箇所

結果

所見

Ⅲ３．

個人番号管理システムへのログイン時の認証に情報が、使用目的を超えて取り扱われな リスク

よる使用者の特定に加えて特定の業務端末だけ

いよう、また、評価対象の事務に必要の １

が特定個人情報ファイルにアクセスすることがない情報と併せて取り扱われないよう、適切講じている対策を具体的に記載していできるようにアクセス制御していること等が具体的に記載されている。

るか。記載された対策は、特定個人情報
保護評価の目的に照らし、妥当なもの
か。
33．事務で使用するその他のシステムに

Ⅲ３．

当該事務に不要な内容は保持していないため必おいて、特定個人情報が、使用目的を超 リスク

要のない情報との紐付けは行われないことが具えて取り扱われないよう、また、評価対 １

体的に記載されている。

象の事務に必要のない情報と併せて取適切り扱われないよう、講じている対策を具体的に記載しているか。記載された対策
は、特定個人情報保護評価の目的に照らし、妥当なものか。
34．特定個人情報にアクセスする際の認Ⅲ3．

ユーザＩＤ及びパスワードによる認証、６か月に証を行う場合は、特定個人情報にアクセ リスク

１回パスワード変更を行うこと、使用できる端末

スするユーザの認証方法、なりすましが 2

を特定の業務端末のみに限定していること等な
適切④特定個人情報行われないために講じている対策につの使用についいて具体的に記載しているか。記載されて、特定された

た対策は、特定個人情報保護評価の目的

リスクを軽減すに照らし、妥当なものか。

るために講ずべ35．特定個人情報ファイルを取り扱う者

き措置を具体的が正当なユーザであることを確認する リスクに記載しているための情報の発効・失効の管理について 2か。記載された

具体的に記載しているか。記載された対対策は、特定個

策は、特定個人情報保護評価の目的に照人情報評価の目

らし、妥当なものか。

的に照らし妥当36．アクセス権限の発効・失効の管理をなものか。

行う者による当該管理の適正性につい リスク

りすましが行われないために講じている対策が具体的に記載されている。

Ⅲ３．

特定個人情報を操作できる担当者は自分 1 人しかいないため発効・失効の管理は行っていない。
適切

Ⅲ3．

てチェックをしている内容を具体的に 2記載しているか。記載された対策は、特同上

適切

定個人情報保護評価の目的に照らし、妥当なものか。
37．特定個人情報の入手から消去までのⅢ3．

ログインＩＤにより、誰が、いつ、どの端末で、各過程において、特定個人情報ファイル リスク

誰の情報を取り扱ったか記録し、その記録は 3 年の取扱い記録やアクセスの失敗の記録 2間保存すると記載されている。また、特定個人情等を残していることを具体的に記載し報取扱規程に基づき、特定個人情報のアクセスロているか。記録を残していない場合は、

適切残していなくても権限のない者によるグについて分析・確認し、その結果は特定個人情報管理責任者に報告していると記載されている。

不正な使用を防止できる理由を具体的に記載しているか。記載された対策は、
特定個人情報保護評価の目的に照らし、妥当なものか。
38．従業者が特定個人情報ファイルを事

Ⅲ３．

従業者が存在しないため、リスクの発生はしない

務外で使用しないよう講じている措置 リスク

が、家族のリスクを認識し、機器や書類に、容易を具体的に記載しているか。記載された 3適切に使用できない様に、入室制限やアクセス制御等

対策は、特定個人情報保護評価の目的にを実施していること等が具体的に記載されてい照らし、妥当なものか。

る。

11 / 17

審査の観点

主な考慮事項

主な考慮事項（細目）39．特定個人情報ファイルを取り扱う者

該当

審査

箇所

結果

所見

Ⅲ３．

従業者が存在しないが、念のために特定個人情報

が特定個人情報ファイルを不正に複製 リスク

ファイルを電子記録媒体に複製する場合やサーしないよう講じている措置を具体的に 4記載しているか。記載された対策は、特適切定個人情報保護評価の目的に照らし、妥

バから業務端末にダウンロードする場合の操作
ログを取得し、分析・確認をしていること等が具体的に記載されている。

当なものか。
40．特定個人情報の使用において、そのⅢ３．

自宅で業務を行う場合、執務室への入室制限等、他のリスク及びそれらのリスクへの対 その他

家族に対するリスクを認識し、事前に家族に対す策についての記載はあるか。

るセキュリティ教育（説明等）を行うこと、顧問

のリス
ク

適切

先に書類等を持参・送付・送信するときは授受記録を残し、肌身離さず携行すること、記録が残る送付手段を利用すること、又は電子データの暗号化・パスワード保護を行うこと等の必要なリスク対策が記載されている。

41．委託先を決定する際に特定個人情報

Ⅲ４．

委託先を決定する際にプライバシーマークの取ファイルを適切に取り扱う委託先であ 情報管得、ISMS 認証取得又は同等の要件を満たすか確

ることを確認する手続等について具体 理体制的に記載しているか。記載された対策

適切認すること等が具体的に記載されている。

は、特定個人情報保護評価の目的に照らし、妥当なものか。
42．委託先において特定個人情報ファイⅢ４．

委託契約書において要員名簿の提出と変更時にルの閲覧者・更新者を必要最小限に制限 閲覧者

おける報告・更新を義務付けて、特定個人情報フしていることを具体的に記載している の制限

適切か。記載された対策は、特定個人情報保ァイルの閲覧者・更新者を制限していること等が具体的に記載されている。

護評価の目的に照らし、妥当なものか。
43．委託先における特定個人情報ファイⅢ４．

溶解処理の証明書、マニュフェスト、業務完了報⑤特定個人情報

ルの取扱いについて記録を残している 記録

告書の記録を受領すること等が具体的に記載さの委託につい場合は、その方法や保存期間等を具体的れている。

て、特定されたに記載しているか。また、記録を残してリスクを軽減す

いない場合は権限のない者による不正るために講ずべな使用を防止できる理由を具体的に記き措置を具体的載しているか。記載された対策は、特定に記載している

個人情報保護評価の目的に照らし、妥当か。記載されたなものか。

対策は、特定個44．委託に伴う特定個人情報の提供に関

Ⅲ4．

委託先等から他者への特定個人情報の提供は一

人情報保護評価するルールを定めている場合、ルールの 提供ル

切認めないことを契約書上明記して、必要があれの目的に照ら

内容やルール遵守の確認方法を具体的 ール

ば当事務所が現地調査を行うことも可能とする

し、妥当なものに記載しているか。また、委託先から他こと、遵守状況の確認については、業務報告書、か。

者への提供を認めていない場合、提供さ適切

適切実施報告書にて行うこと等が具体的に記載されている。

れていないことを確認する方法を具体的に記載しているか。記載された対策
は、特定個人情報評価の目的に照らし、妥当なものか。
45．委託先における特定個人情報の消去

Ⅲ４．

委託契約時等に、提供資料の返還、 情報の消去、のルールを定めている場合は、ルールの 消去ル

立入検査等を明記した契約を締結して、溶解処理

内容やルール遵守の確認方法を具体的 ールの証明書、マニュフェスト、業務完了報告書等のに記載しているか。また、委託契約終了
後に消去されていることを確認する方法を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。

12 / 17適切

記録を受領して消去されたことを確認すること等が具体的に記載されている。

審査の観点

主な考慮事項

主な考慮事項（細目）46．委託先と締結する委託契約における

該当

審査

箇所

結果

所見

Ⅲ４．

委託契約における特定個人情報ファイルの取扱

特定個人情報ファイルの取扱いに関す 委託契いに関する規定に「特定個人情報の適正な取扱い

る規定について具体的に記載している 約書中

適切に関するガイドライン（事業者編）」の「第４－２

か。記載された対策は、特定個人情報保 の規定－⑴ 委託の取扱い」で定めた契約条項が記載さ

護評価の目的に照らし、妥当なものか。

れている。

47．特定個人情報ファイルの取扱いを再Ⅲ４．

委託契約時に、「再委託」に関するセキュリティ要

委託している場合、再委託先での適正な 再委託件を明記した契約を締結し、書面による許諾のな

取扱いの確保のために行っている措置

い再委託を禁止すると共に委託者である社会保適切について具体的に記載しているか。記載

険労務士事務所と最初の委託者である顧問先のされた対策は、特定個人情報保護評価の許諾を得ること、再委託先においては、委託先と目的に照らし、妥当なものか。

同等の安全管理措置を行うこと等が具体的に記載されている。

48．特定個人情報ファイルの取扱いの委Ⅲ４．

該当なしと記載している。

託において、その他のリスク及びそれら その他

該当のリスクへの対策について記載はある のリス

なし

か。

ク

49．特定個人情報の提供又は移転の記録

Ⅲ５．

特定個人情報の提供に関するルールを定め、業務を残している場合は、その記録の内容や リスク

処理簿にて記録をしていることが記載されてい記録方法、保存期間等を具体的に記載し 1る。ルールは、「マイナンバー対応ハンドブック」、ているか。また、記録を残していない場「特定個人情報取扱規程」に規定されている。
適切

合は特定個人情報が不正に提供又は移

なお、移転はしていない。

転されることを防止できる理由を具体的に記載しているか。記載された対策
は、特定個人情報保護評価の目的に照らし、妥当なものか。
50．特定個人情報の提供・移転に関する⑥特定個人情報の提供・移転について、特定されたリスクを軽減するために講ずべき措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。

Ⅲ５．

特定個人情報保護規程に基づいて、提供・移転をルールを定めている場合は、ルールの内 リスク
容やルール遵守の確認方法を具体的に 1記載しているか。記載された対策は、特行うこととしている。
適切

定個人情報保護評価の目的に照らし、妥当なものか。
51．特定個人情報の提供・移転する際に、 Ⅲ５．

利用システムごとに ID とパスワードによる認証

情報漏えいや紛失のリスク軽減するた リスク

及びアクセス制御を実施し、不適切な方法で特定めの措置や提供先・移転先における特定 2

個人情報がやり取りされることを防止している

個人情報の使途が法令に基づく適切なこと、また書類を行政機関等へ提出する際には、適切ものであることを確認するための措置

書類が外部から見えないように、ファスナー付きを具体的に記載しているか。記載された

鞄等で移動するなどして、安全に移送しているこ対策は、特定個人情報保護評価の目的にと等が具体的に記載されている。なお、提供先は照らし、妥当なものか。

行政機関であり、用途は法令に基づくものである
ことが明白である。

52．誤った特定個人情報を提供・移転すⅢ５．

紙媒体、電子記録媒体、通信ネットワーク（e-ることや誤った相手に提供・移転するこ リスク

Govg、gBizID）の提供方法毎に、誤った特定個人とを防止する措置を具体的に記載して 3いるか。記載された対策は、特定個人情

適切情報を提供することや誤った相手に提供することを防止する措置が具体的に記載されている。

報保護評価の目的に照らし、妥当なもの
か。
53．特定個人情報の提供・移転において、 Ⅲ５．
その他のリスク及びそれらのリスクへ その他の対策についての記載はあるか。

のリスク

13 / 17

書類を行政機関等へ提出する際には、書類が外部
適切から見えないようにファスナー付き鞄等で移動すること、肌身離さず携行すること、など安全に移送することが記載されている。

審査の観点

主な考慮事項

主な考慮事項（細目）54．情報提供ネットワークシステムを通

該当

審査

箇所

結果

Ⅲ６．

所見
―

じて特定個人情報を入手する際に、目的 リスク
外の入手が行われないために講じてい 1

該当る措置を具体的に記載しているか。記載なし

された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
55．情報提供ネットワークシステムを通Ⅲ６．

―

じて特定個人情報を入手する際に、特定 リスク
個人情報の安全が保たれない不適切な 2
方法で特定個人情報を入手しないため

該当に講じている対策を具体的に記載してなしいるか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なもの
か。
56．情報提供ネットワークシステムを通Ⅲ６．

―

じて特定個人情報を入手した後、その情 リスク
報の正確性を保つために講じている措 3

該当

置を具体的に記載しているか。記載されなし⑦情報提供ネッ

た対策は、特定個人情報保護評価の目的

トワークシステに照らし、妥当なものか。

ムとの接続につ57．情報提供ネットワークシステムを通いて、特定されじて特定個人情報を入手する際に、情報 リスク

たリスクを軽減

漏えいや紛失のリスクを軽減するため 4該当するために講ずに講じている措置を具体的に記載してなし

るべき措置を具いるか。記載された対策は、特定個人情体的に記載して

報評価の目的に照らし、妥当なものか。

いるか。記載さ58．情報提供ネットワークシステムを通れた対策は、個
人情報保護評価の目的に照ら
し、妥当なもの
か。

Ⅲ６．

―

Ⅲ６．

―

じて提供する際に、特定個人情報の不正 リスクな提供が行われるリスクを軽減するた 5めに講じている措置を具体的に記載し該当なしているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
59．情報提供ネットワークシステムを通Ⅲ６．

―

じて提供する際に、特定個人情報の提供 リスク
方法が不適切とならないように講じて 6

該当いる措置を具体的に記載しているか。記なし

載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
60．情報提供ネットワークシステムを通Ⅲ６．

―

じて提供する際に、誤った特定個人情報 リスクを提供することや、誤った相手に提供す 7
ることを防止するために講じている措

該当なし

置を具体的に記載しているか。記載された対策は、特定個人情報評価の目的に照らし、妥当なものか。
61．情報提供ネットワークシステムとのⅢ６．

―接続に伴うリスクについて、その他のリ その他

該当

スク及びそれらのリスクへの対策につ のリス

なし

いての記載はあるか。

ク⑧特定個人情報

62．特定個人情報の漏えい・滅失・毀損

Ⅲ７．

サーバ設置場所、端末設置場所、電子記録媒体保の保管・消去にを防ぐために行っている物理的な対策 リスク

管場所、紙媒体保管場所のそれぞれについて物理

ついて、特定さについて具体的に記載しているか。記載 1⑤

れたリスクを軽された対策は、特定個人情報保護評価の減するために講目的に照らし、妥当なものか。
14 / 17

適切的対策（立入制限、アクセス制限等）が具体的に記載されている。

審査の観点

主な考慮事項

主な考慮事項（細目）

該当

審査

箇所

結果

所見

ずべき措置を具

63．特定個人情報の漏えい・滅失・毀損

Ⅲ７．

アクセス制御、アクセス者の識別と認証、外部か体的に記載してを防ぐために行っている技術的な対策 リスク

らの不正アクセス等の防止、情報漏えい等の防止

いるか。記載さについて具体的に記載しているか。記載 1⑥

れた対策は、特された対策は、特定個人情報保護評価の定個人情報保護目的に照らし、妥当なものか。

評価の目的に照64．過去 3 年以内に発生したすべての重 Ⅲ７．

らし、妥当なものか。

適切等の技術的対策が具体的に記載されている。

発生なし。

大事故の内容、原因、影響、重大事故発 リスク
生時への対応等について具体的に記載 1⑨

該当しているか。記載された対策は、特定個なし

人情報保護評価の目的に照らし、妥当なものか。
65．重大事故を受けて策定・実施した再Ⅲ７．

発防止策の内容について具体的に記載 リスク
しているか。記載された対策は、特定個 1⑨
人情報保護評価の目的に照らし、妥当な

発生なし。
該当
なし

ものか。
66．死者の個人番号を保管している場合

Ⅲ７．

は保管方法を具体的に記載しているか。 リスク
記載された対策は、特定個人情報保護評 1⑩

生存者の情報と同様に、安全管理措置を実施して適切いると記載されている。

価の目的に照らし、妥当なものか。
67．特定個人情報を最新の状態で保管す

Ⅲ７．

住所や氏名等の変更については届出の都度、新たるために行っている措置を具体的に記 リスクな情報を上書きし最新の情報で管理していると載しているか。記載された対策は、特定 2

適切記載されている。

個人情報保護評価の目的に照らし、妥当なものか。
68．保管期間を経過した特定個人情報をⅢ７．

期間を経過した情報の削除についてはシステム

適切な時に安全かつ確実に消去できる リスクプログラムを作成して削除処理を行うこと、申請手続・体制・手法になっているか等につ 3書及び届出書等の紙媒体についてはシュレッダ

いて具体的に記載しているか。記載され適切た対策は、特定個人情報保護評価の目的に照らし、妥当なものか。

ーによる細断もしくは外部業者による溶解処理を行うこと、が記載されている。また、電子記録媒体及び特定個人情報等が記録された機器（サーバやパソコンの HDD 等）を廃棄する際は、復元不可能な手段を採用することが記載されている。

69．特定個人情報の保管・消去において、 Ⅲ７．
その他のリスク及びそれらのリスクへ その他の対策についての記載はあるか。

のリスク

15 / 17

自宅兼事務所の場合、家族が間違って書類を廃棄
適切しないように、執務室内は、整理整頓し、書類を放置しないようにすること等が記載されている。

その他のリスク対策
審査の観点

主な考慮事項

主な考慮事項（細目）70．評価書に記載したとおりに運用がな

該当

審査

箇所

結果

Ⅳ1．

所見
自己点検については、評価書記載事項の運用状況されていること等について、評価の実施 ①

を 1 年に 1 回以上システムログ又は利用実績の記を担当する部署自らが、どのように自己録により確認することが具体的に記載されてい適切点検するか具体的に記載しているか。

る。また、定期的に特定個人情報取扱規程に基づ
いて特定個人情報の取扱いに関する安全対策及び諸施策を見直し、改善することが記載されている。

71．評価書に記載とおりに運用がなされ

Ⅳ１．

監査については、2 年又は 3 年に 1 回外部監査をていること等について、どのように監査 ②⑨特定個人情報

するか具体的に記載しているか。

受審することが記載されている。また、外部監査
適切情報の取扱いに関する安全対策及び諸施策を定の取扱いについて自己点検・監（10）
特定されたリス

査や従業者に対クを軽減するためにする教育・啓発

講ずべき措置についを行っているての記載は具体的かか。

期的に見直し、改善することが記載されている。
72．特定個人情報を取り扱う従業者等にⅣ２．

対しての教育・啓発や違反行為をした従従業者がいないため研修は実施していないが、特適切業者等に対する措置について具体的に記載しているか。
その他のリスク対策

Ⅳ３．

保護及び情報セキュリティに関する研修等を受「影響範囲の特定」の以下の手順が追記された。
ⅰ.被害拡大防止策の検討

適切

クを軽減させるため

ⅱ.事実関係の調査及び原因の究明
ⅲ.影響範囲の特定の措置は個人のプラⅳ.再発防止策の検討・実施

イバシー等の権利利

73．国民・住民等からの意見聴取により Ⅵ２．

益の侵害の未然防止、得られた意見を踏まえて評価書のどの国民・住民の信頼の確なしに記載しているか。

報保護評価の目標に⑩その他、評価―
該当箇所をどのように修正したかを具体的保という特定個人情か。

定個人情報管理責任者は、年１回以上、個人情報講することが記載されている。

記載されたリス（11）

照らし、妥当なもの

結果や特定個人情報取扱規程等により特定個人

Ⅲ３．

パターン A 事務所（事務取扱担当者 1 人）におけ実施機関に特有

る固有のリスクと対策が以下の通り記載されてな問題や懸念にいる。

対し、特定され・従業者が存在しないため、リスクの発生はしなたリスクを軽減

いが、家族のリスクを認識し、機器や書類に、するために講ず

容易に使用できない様に、入室制限やアクセスべき措置を具体適切的に記載してい制御等を実施している。
・自宅で業務を行う場合、執務室への入室制限等、るか。記載され家族に対するリスクを認識し、事前に家族に対た対策は、特定するセキュリティ教育（説明等）を行っている。

個人情報保護評価の目的に照らし、妥当なものか。

16 / 17

総評・全体的事項
社会保険労務士事務所は、特定個人情報保護評価の実施が義務付けられていないが、顧問先従業員等の特定個人情報を取扱うことから、その保護の重要性に鑑み、特定個人情報保護評価の枠組みを用いて任意に特定個人情報保護評価を実施している。この度、前回の平成 27 年の評価から 5 年が経過するので特定個人情報保護評価を再実施しているが、個人情報保護委員会の「特定個人情報保護評価 5 年経過前の評価の再実施に係る留意事項について」において示されているポイントについても本評価書で対応している。また、平成 28 年 1 月から労災年金の請求にマイナンバーの記載が必要になったことから労働者災害補償保険法に基づく請求に関する事務も評価の対象にした。
特定個人情報保護評価の対象となる社会保険労務士事務所の事務の実態に基づき、特定個人情報保護評価書様式で求められる項目について検討し、記載していることを確認した。
・本評価書に固有な事項
本評価書は、パターン A（事務取扱担当者 1 人/特定個人情報ファイルを事務所内で保管）のケースであるが、従業者は一人であり、自宅で業務を行う場合は、執務室への入室制限のほか機器や書類が容易に使用できないようにアクセス制限すること、家族に対するセキュリティ教育（説明等）を行
うこと、など必要な安全管理措置が記載されていることを確認した。
・特記事項
特に、個人情報として入手し、評価対象の事務の実施において個人番号と結び付き特定個人情報となる場合についても、その個人情報を特定個人情報と同等に取扱うことが求められているので、注意して頂きたい。個人情報保護委員会の「特定個人情報保護評価書 記載要領」の「Ⅱ 特定個人情報フ
ァイルの概要」「３．特定個人情報の入手・使用」を確認していただくことをお勧めします。
・今後の課題本評価書で記載されたリスク対策は、実施が求められるので、「マイナンバー対応ハンドブック」、「特定個人情報取扱規程」等に漏れなく反映され、自己点検でも実施状況を確認する必要がある。別紙「規程類の改定について」に必要な事項を一部記載しているので、参考にして頂きたい。
以上

17 / 17