特定個人情報の適正な取扱いに関するガイドライン（行政機関等・地方公共団体等編）

平成26年12月18日（令和３年８月一部改正）
個人情報保護委員会

目次
第１ はじめに ...................................................... 1
第２ 用語の定義等 .................................................. 3
第３ 総論 .......................................................... 9
第３－１ 目的 ..................................................... 9
第３－２ 本ガイドラインの適用対象等 ............................... 9
第３－３ 本ガイドラインの位置付け等 .............................. 10
第３－４ 番号法の特定個人情報に関する保護措置 .................... 10
第３－５ 特定個人情報保護のための主体的な取組について............ 14
第３－６ 特定個人情報の漏えい事案等が発生した場合の対応 ......... 14
第３－７ 本ガイドラインの見直しについて .......................... 15
第４ 各論 ......................................................... 16
第４－１ 特定個人情報の利用制限 .................................. 16
第４－１－⑴ 個人番号の利用制限 ................................ 16
第４－１－⑵ 特定個人情報ファイルの作成の制限 .................. 20
第４－２ 特定個人情報の安全管理措置等 ............................ 21
第４－２－⑴ 委託の取扱い ...................................... 21
第４－２－⑵ 安全管理措置 ...................................... 24
第４－３ 特定個人情報の提供制限等 ................................ 25
第４－３－⑴ 個人番号の提供の要求 .............................. 25
第４－３－⑵ 個人番号の提供の求めの制限、特定個人情報の提供
制限 ................................................ 26
第４－３－⑶ 情報提供ネットワークシステムによる特定個人情報の提供 .............................................. 34
第４－３－⑷ 収集・保管制限 .................................... 39
第４－３－⑸ 本人確認 .......................................... 41
第４－４ その他の取扱い .......................................... 44
第４－４－⑴ 保有個人情報の提供を受ける者に対する措置要求 ...... 44
第４－４－⑵ 個人情報ファイルの保有等に関する事前通知 .......... 45
第４－４－⑶ 開示 .............................................. 47
第４－４－⑷ 訂正 .............................................. 48
第４－４－⑸ 利用停止 .......................................... 49
第４－５ 特定個人情報保護評価 .................................... 50
第４－６ 行政機関個人情報保護法等の主な規定 ...................... 51（ 別添 ）特定個人情報に関する安全管理措置（行政機関等・地方公共団体等編） ............................................... 55

第１

はじめに

「行政手続における特定の個人を識別するための番号の利用等に関する法律」（平成25年法律第27号。以下「番号法」という。）に基づく社会保障・税番号制度（以下「番号制度」という。）は、社会保障、税及び災害対策の分野における行政運営の効率化を図り、国民にとって利便性の高い、公平・公正な社会を実現するための社会基盤として導入されるものである。
一方で、番号制度の導入に伴い、国家による個人情報の一元管理、特定個
人情報の不正追跡・突合、財産その他の被害等への懸念が示されてきた。
個人情報の適正な取扱いという観点からは、個人情報の保護に関する一般
法 と し て 、 「 個 人 情 報 の 保 護 に 関 す る 法 律 」 （ 平 成 15年 法 律 第 57号 。 以 下「個人情報保護法」という。）、「行政機関の保有する個人情報の保護に関す る 法 律 」 （ 平 成 15年 法 律 第 58号 。 以 下 「 行 政 機 関 個 人 情 報 保 護 法 」 と いう。）及び「独立行政法人等の保有する個人情報の保護に関する法律」（平成15年法律第59号。以下「独立行政法人等個人情報保護法」という。）の三つの法律（以下「一般法」という。）があり、また、地方公共団体では個人情報の保護に関する条例等（以下「個人情報保護条例」という。）において各種保護措置が定められている。
番号法においては、一般法に定められる措置の特例として、個人番号をその内容に含む個人情報（以下「特定個人情報」という。）の利用範囲を限定する等、より厳格な保護措置を定めるとともに、国が設置・管理する情報提供ネットワークシステムの使用を始めシステム上の安全管理措置を講ずることとしている。
本ガイドラインは、個人番号を取り扱う行政機関（行政機関個人情報保護法第２条第１項に規定する行政機関をいう。）及び独立行政法人等（独立行
政法人等個人情報保護法第２条第１項に規定する独立行政法人等をいう。）（以下「行政機関等」という。）並びに地方公共団体及び地方独立行政法人（ 「 地 方 独 立 行 政 法 人 法 」 （ 平 成 15年 法 律 第 118号 ） 第 ２ 条 第 １ 項 に 規 定 する地方独立行政法人をいう。）（以下「地方公共団体等」という。）が特定
個人情報の適正な取扱いを確保するための具体的な指針を定めるものである。
番号法において、国及び地方公共団体は、特定個人情報の適正な取扱いを確保するために必要な措置を講ずるものとされており（番号法第４条、第５条）、主体的に特定個人情報の保護のための取組を行う必要がある。
本ガイドラインの中で、「しなければならない」及び「してはならない」と記述している事項については、これらに従わなかった場合、法令違反と判1

断される可能性がある。一方、「望ましい」と記述している事項については、これに従わなかったことをもって直ちに法令違反と判断されることはないが、番号法の趣旨を踏まえ、行政機関等又は地方公共団体等の規模及び事務の特性に応じ対応することが望まれるものである。
以下、本ガイドラインの構成は、次のとおりとなっている。
「第２ 用語の定義等」においては、本ガイドラインで使用する用語の定義等を記載している。
「第３ 総論」においては、本ガイドラインの位置付け、特定個人情報に関する番号法上の保護措置の概略等について解説している。
「第４ 各論」においては、番号法上の保護措置及び安全管理措置について解説している。また、実務上の指針及び具体例を記述しているほか、留意すべきルールとなる部分についてはアンダーラインを付している。
＊印は、行政機関等又は地方公共団体等の実際の事務に即した具体的な事例を記述したものである。なお、事例の記述は、理解を助けることを目的として典型的な例を示したものであり、全ての事案を網羅することを目的とするものではない。

2

第２

用語の定義等

本ガイドラインで使用する用語の定義等については、法令上の定義等に従い、次の表のとおりとする。
項番
用語
定義等
①

個人情報

生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
一 当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。行政機関個人情報保護法第２条第３項第２号において同じ。）で作られる記録をいう。同法以下同じ。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と照合（地方公共団体等においては容易に照合）することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう。
二 個人識別符号が含まれるもの【番号法第２条第３項、行政機関個人情報保護法
第２条第２項、独立行政法人等個人情報保護法第２条第２項、個人情報保護法第２条第１項】※

生存する個人の個人番号は、個人識別符号に該当する（行政機関個人情報保護法第２条第２項第２号、同条第３項及び「行政機関の保有する個人情報の保護に関する法律施行令」（平成15年政令第548号。以下「行政機関個人情報保護法施行令」という。）第３条第６号並びに独立行政法人等個人情報保護法第２条第２項第２号、同条第３項及び「独立行政法人等の保有する個 人 情 報 の 保 護 に 関 す る 法 律 施 行 令 」 （ 平 成 15年 政 令第549号。）第１条第６号）。

3

項番
②

用語
保有個人情報③

個人番号④

特定個人情報定義等
行政機関の職員及び独立行政法人等の役員又は職員が職務上作成し、又は取得した個人情報であって、当該行政機関の職員及び当該独立行政法人等の役員又は職員が組織的に利用するものとして、
当該行政機関及び独立行政法人等が保有しているものをいう。
【行政機関個人情報保護法第２条第５項、独立行
政法人等個人情報保護法第２条第５項】
番号法第７条第１項又は第２項の規定により、住民票コードを変換して得られる番号であって、当該住民票コードが記載された住民票に係る者を識別するために指定されるものをいう（番号法第２条 第 ６ 項 及 び 第 ７ 項 、 第 ８ 条 並 び に 第 48条 並 び に
附則第３条第１項から第３項まで及び第５項における個人番号）。
【番号法第２条第５項】
個人番号（個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号であって、住民票コード以外のものを含む。番号法第７条 第 １ 項 及 び 第 ２ 項 、 第 ８ 条 並 び に 第 48条 並 び に
附則第３条第１項から第３項まで及び第５項を除く。）をその内容に含む個人情報をいう。
【番号法第２条第８項】※

生存する個人の個人番号についても、特定個人情報に該当する（行政機関個人情報保護法第２条第２項第２号、独立行政法人等個人情報保護法第２条第２項第２号、個人情報保護法第２条第１項第２号、番号法第２条第８項）。

4

項番
⑤

⑥

⑦

用語
定義等
個 人 情 報 フ ァ イ ＜行政機関等＞
ル
保有個人情報を含む情報の集合物であって次に掲
げるものをいう。
Ⓐ 一定の事務の目的を達成するために特定の保有個人情報を電子計算機を用いて検索することができるように体系的に構成したものⒷ Ⓐに掲げるもののほか、一定の事務の目的を達成するために氏名、生年月日、その他の記述等により特定の保有個人情報を容易に検索することができるように体系的に構成したもの＜地方公共団体等＞
個人情報保護法第２条第１項に規定する個人情報を含む情報の集合物であって、次に掲げるものをいう。
Ⓒ 特定の個人情報について電子計算機を用いて検索することができるように体系的に構成したものⒹ Ⓒに掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして「個人情報の保護に関する法律施行令」（平成15年政令第507号。以下「個人情報保護法施行令」という。）で定めるもの【番号法第２条第４項、行政機関個人情報保護法
第２条第６項、独立行政法人等個人情報保護法
第２条第６項、個人情報保護法第２条第４項、
個人情報保護法施行令第３条】
特 定 個 人 情 報 フ 個人番号をその内容に含む個人情報ファイルをいァイルう。
【番号法第２条第９項】
個 人 番 号 利 用 事 行政機関、地方公共団体、独立行政法人等その他
務の行政事務を処理する者が番号法第９条第１項又は第２項の規定によりその保有する特定個人情報
ファイルにおいて個人情報を効率的に検索し、及び管理するために必要な限度で個人番号を利用して処理する事務をいう（→第４－１－⑴１Ａａ）。
【番号法第２条第10項】

5

項番
⑧

⑨
⑩

⑪

⑫

⑬

⑭

用語
定義等
個 人 番 号 関 係 事 番号法第９条第３項の規定により個人番号利用事
務
務に関して行われる他人の個人番号を必要な限度で利用して行う事務をいう（→第４－１－⑴ １ Ａｂ）。
【番号法第２条第11項】
個 人 番 号 利 用 事 個人番号利用事務又は個人番号関係事務をいう。
務等【番号法第10条第１項】
個 人 番 号 利 用 事 個人番号利用事務を処理する者及び個人番号利用
務実施者
事務の全部又は一部の委託を受けた者をいう。
【番号法第２条第12項】
個 人 番 号 関 係 事 個人番号関係事務を処理する者及び個人番号関係
務実施者
事務の全部又は一部の委託を受けた者をいう。
【番号法第２条第13項】
個 人 番 号 利 用 事 個人番号利用事務実施者又は個人番号関係事務実
務等実施者
施者をいう。
【番号法第12条】
情報照会者
番号法別表第２の第１欄に掲げる者（法令の規定により同表の第２欄に掲げる事務の全部又は一部を行うこととされている者がある場合にあっては、その者を含む。）をいう。
【番号法第19条第８号】
情報提供者
番号法別表第２の第３欄に掲げる者（法令の規定により同表の第４欄に掲げる特定個人情報の利用又は提供に関する事務の全部又は一部を行うこととされている者がある場合にあっては、その者を含む。）をいう。
【番号法第19条第８号】

6

項番
⑮

⑯

用語
定義等
情 報 提 供 等 の 記 内閣総理大臣、情報照会者及び情報提供者又は条録例事務関係情報照会者及び条例事務関係情報提供者 は 、 番 号 法 第 19条 第 ８ 号 又 は 第 ９ 号 の 規 定 に より情報提供ネットワークシステムを使用して特定
個人情報の提供の求め又は提供があった場合には、情報提供ネットワークシステムに接続されたその者の使用する電子計算機（内閣総理大臣においては情報提供ネットワークシステム）に、情報照会者及び情報提供者又は条例事務関係情報照会者及び条例事務関係情報提供者の名称、提供の求め及び提供の日時、特定個人情報の項目等を記録することとされており、当該記録をいう（→第４－３－⑶ ２ ）。
【番号法第23条、第26条】
条例事務
番号法第９条第２項の規定に基づき条例で定める事務のうち別表第２の第２欄に掲げる事務に準じて迅速に特定個人情報の提供を受けることによって効率化を図るべきものとして、次に掲げる要件を満たすものをいう。
一 番号法第９条第２項の規定に基づき条例で定める事務（以下⑯及び⑱において単に「事務」という。）の趣旨又は目的が、同法別表第２の第２欄に掲げる事務のうちいずれかの事務（以下「法定事務」という。）の根拠となる法令の趣旨又は目的と同一であること。
二 その事務の内容が、前号の法定事務の内容と類似していること。
【 番 号 法 第 19条 第 ９ 号 、 「 行 政 手 続 に お け る 特 定の個人を識別するための番号の利用等に関する法
律第十九条第九号に基づく特定個人情報の提供に
関 す る 規 則 」 （ 平 成 28年 個 人 情 報 保 護 委 員 会 規 則
第５号。以下「番号法第十九条第九号規則」という。）第２条第１項】

7

項番
⑰

⑱

用語
定義等
条 例 事 務 関 係 情 条例事務を処理する地方公共団体の長その他の執報照会者行機関（法令の規定により条例事務の全部又は一部を行うこととされているものを含む。）をいう。
【 番 号 法 第 19条 第 ９ 号 、 番 号 法 第 十 九 条 第 九 号 規則第２条第２項】
条 例 事 務 関 係 情 条例事務の内容に応じて法定事務を処理するため
報提供者に必要な特定個人情報を提供する情報提供者と同一又は当該情報提供者のいずれかに該当するもの（法令の規定により当該特定個人情報の利用又は提供に関する事務の全部又は一部を行うこととされている者がある場合にあっては、その者を含む。）をいう。ただし、提供することができる特定個人情報の範囲が条例により限定されている地
方公共団体の長その他の執行機関（以下「限定機関」という。）が、「行政手続における特定の個人を識別するための番号の利用等に関する法律第十九条第九号の規定により提供することができる
特定個人情報の範囲の限定に関する規則」（平成28年 個 人 情 報 保 護 委 員 会 規 則 第 ６ 号 ） 第 ２ 条 第 １項の規定に基づきあらかじめその旨を個人情報保護委員会（以下「委員会」という。）に申し出た
場合において、条例により提供しないこととされた特定個人情報の範囲にあっては、限定機関を除く。
【 番 号 法 第 19条 第 ９ 号 、 番 号 法 第 十 九 条 第 九 号 規則第２条第３項】

8

第３ 総論
第３－１ 目的
委員会は、個人情報保護法第60条に基づき、個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであることその他の個人情報の有用性に配慮しつつ、個人の権利利益を保護するため、個人情報の適正な取扱いの確保を図ること（個人番号利用事務等実施者に対する指導及び助言その他の措置を講ずることを含む。）を任務としている。本ガイドラインは、番号法第４条及び個人情報保護法第60条に基づき、行政機関等及び地方公共団体等が特定個
人情報の適正な取扱いを確保するための具体的な指針を定めるものである。
第３－２ 本ガイドラインの適用対象等⑴ 本ガイドラインの適用対象
番号法は、行政機関等、地方公共団体等又は事業者の別を問わず、個人番号を取り扱う全ての者を適用の対象としており、本ガイドラインは、
番号法の適用を受ける者のうち行政機関等及び地方公共団体等を対象とするものである。
⑵

行政機関等及び地方公共団体等が番号法の適用を受ける場面
行政機関等及び地方公共団体等は、個人番号の提供の求めの制限（番号法第15条）並びに特定個人情報の提供の制限（同法第19条）及び収集等の制限（同法第20条）の規定の適用を受ける。また、行政機関等及び地方公共団体等が同法の規定の適用を受ける主な事務は、次のとおりである。
・ 行政機関等及び地方公共団体等が個人番号を利用して個人情報を検索、管理する事務（同法第９条第１項）
・ 行政機関等及び地方公共団体等がその職員等（以下「職員」という。）から個人番号の提供を受けて、これを給与所得の源泉徴収票、給与支払報告書等の必要な書類に記載して、税務署長、市町村長（特別区の区長を含む。以下同じ。）等に提出する事務（同法第９条第３項）
・ 激甚災害が発生したとき等において、「所得税法」（昭和40年法律第33号）第225条第１項第１号、第２号及び第４号から第６号までに該当する独立行政法人等（以下「金融機関に該当する独立行政法人等」という。）が個人番号を利用して金銭を支払う事務（同法第９条第４項）
なお、行政機関等又は地方公共団体等から個人番号利用事務等の全部又は一部の委託を受けた者は、個人番号利用事務等実施者となる。

9

第３－３ 本ガイドラインの位置付け等⑴ 番号法と一般法との関係
番号法は、特定個人情報の取扱いに関して、一般法の特例を規定した特別法であることから、番号法の規定は、一般法の規定に優先して適用される。一方、特定個人情報に関して番号法に特段の規定がない事項については、一般法の規定が適用される。
⑵

番号法と個人情報保護条例との関係
一般に、法律は条例に優先して適用されることから、特定個人情報に関する番号法の特例規定は、個人情報保護条例の規定に優先して適用される。一方、特定個人情報に関して番号法に特段の規定がない事項につ
いては、個人情報保護条例の規定が適用される。
また、番号法により行政機関個人情報保護法及び独立行政法人等個人情報保護法の規定を読み替えて適用することとされている部分があること等を踏まえ、番号法第32条においては、地方公共団体等が保有する特定個人情報の適正な取扱いを確保し、また、地方公共団体等が保有する
特定個人情報の開示、訂正、利用の停止、消去及び提供の停止を実施するために、必要な措置を講ずるものとしている。
したがって、地方公共団体においては、これらに対応するため、個人情報保護条例の改正等が必要となる場合がある。

⑶

本ガイドラインの位置付け
本ガイドラインは、特定個人情報の適正な取扱いについての具体的な指針を定めるものである。
また、特定個人情報に関し、番号法に特段の規定がなく一般法又は個
人情報保護条例が適用される部分については、一般法を基に定められている指針等（「行政機関の保有する個人情報の適切な管理のための措置に関する指針について」（平成16年９月14日総管情第84号総務省行政管理局長通知）、「独立行政法人等の保有する個人情報の適切な管理のための措置に関する指針について」（平成16年９月14日総管情第85号総務
省行政管理局長通知）及び「地方公共団体における個人情報保護対策について」（平成15年６月16日総行情第91号総務省政策統括官通知）等をいい、以下「指針等」という。）を遵守することを前提としている。

第３－４ 番号法の特定個人情報に関する保護措置⑴ 保護措置の概要
個人番号は、社会保障、税及び災害対策の分野において、個人情報を複数の機関の間で紐付けるものであり、住民票を有する全ての者に一人一番号で重複のないように、住民票コードを変換して得られる番号である。したがって、個人番号が悪用され、又は漏えいした場合、個人情報10の不正な追跡・突合が行われ、個人の権利利益の侵害を招きかねない。
そこで、番号法においては、特定個人情報について、一般法よりも厳格な各種の保護措置を設けている。この保護措置は、「特定個人情報の利用制限」、「特定個人情報の安全管理措置等」及び「特定個人情報の提供制限等」の三つに大別される。
ア

特定個人情報の利用制限
番号法においては、個人番号を利用 することができる範囲について 、
社会保障、税及び災害対策に関する 特定の事務に限定している（番 号
法第９条及び別表第１）。また、行 政機関個人情報保護法及び独立 行
政法人等個人情報保護法の読替え又 は適用除外の規定を置き（同法 第30条第１項及び第２項）、本来の利 用目的以外の目的で例外的に特 定
個人情報を利用することができる範 囲について、行政機関個人情報 保
護法及び独立行政法人等個人情報保 護法における個人情報の利用の 場
合よりも限定的に定めている。
地方公共団体においては、番号法第32条の規定に基づき、行政機関
等と同様の適用となるよう、個人情 報保護条例の改正等が必要とな る
場合がある。
さらに、個人番号利用事務等実施者に対し、必要な範囲を超えた特定個人情報ファイルの作成を禁止している（同法第29条）。

イ

特定個人情報の安全管理措置等
行政機関等については、行政機関個人情報保護法及び独立行政法人
等個人情報保護法に基づき、保有個 人情報の安全管理措置を講じな ければならず、個人情報の取扱いの委 託を受けた者にも同様の義務が 課されている（行政機関個人情報保護 法第６条、独立行政法人等個人 情報保護法第７条）。また、行政機関 等の職員又は受託業務に従事し ている者は、個人情報を漏えいし又は 不当な目的に利用することが禁 止されている（行政機関個人情報保護 法第７条、独立行政法人等個人 情報保護法第８条）。
地方公共団体等については、個人情報保護条例の定めるところによる。
番号法においては、これらに加え、個人番号（生存する個人のものだけでなく死者のものも含む。）に ついて安全管理措置を講ずるこ ととされている（番号法第12条）。
また、個人番号利用事務等を再委託する場合には委託者による再委託の許諾を要件とする（同法第10条 ）とともに、委託者の委託先に 対する監督義務を課している（同法第11条）。さらに、委託を受けた 者
及び再委託を受けた者は、個人番号 利用事務等実施者になることを 明確にし（同法第２条第12項及び第13項）、これらの者も番号法にお け11

る個人番号の安全管理措置を講じなければならないこととしている（同法第12条）。
ウ

特定個人情報の提供制限等
行政機関個人情報保護法及び独立行政法人等個人情報保護法は、保有個人情報について、法令の規定に 基づく場合等を除くほか、本人 の同意を得ないで、第三者に提供する ことを認めていない（行政機関 個
人情報保護法第８条、独立行政法人等個人情報保護法第９条）。
地方公共団体等については、個人情 報保護条例の定めによっている 。
番号法においては、特定個人情報の提供について、個人番号の利用制限と同様に、一般法における個人 情報の提供の場合よりも限定的 に定めている（番号法第19条）。また 、何人も、特定個人情報の提供 を受けることが認められている場合を 除き、他人（自己と同一の世帯 に属する者以外の者をいう。）に対し 、個人番号の提供を求めてはな らない（同法第15条）。
さらに、特定個人情報の収集又は保管についても同様の制限を定めている（同法第20条）。
なお、本人から個人番号の提供を受ける場合には、本人確認を義務付けている（同法第16条）。

⑵

委員会による監視・監督委員会は、特定個人情報の取扱いに関する監視・監督を行うため、次に掲げる権限を有している。
・ 個人番号利用事務等実施者に対し、特定個人情報の取扱いに関し、必要な指導及び助言をすることができる。この場合において、行政機関等又は地方公共団体等における特定個人情報の適正な取扱いを確保するために必要があると認めるときは、当該特定個人情報と共に管理されている特定個人情報以外の個人情報の取扱いに関し、併せて指導及び助言をすることができる（番号法第33条）。
・ 特定個人情報の取扱いに関して法令違反行為が行われた場合において、その適正な取扱いの確保のために必要があると認めるときは、当該違反行為をした者に対し、期限を定めて、当該違反行為の中止その他違反を是正するために必要な措置をとるべき旨を勧告することができる（同法第34条第１項）。
・ 勧告を受けた者が正当な理由なく勧告に係る措置をとらなかったと
きは、その者に対し、期限を定めて、勧告に係る措置をとるべきことを命ずることができる（同条第２項）。
・ さらに、特定個人情報の取扱いに関して法令違反行為が行われた場
合において、個人の重大な権利利益を害する事実があるため緊急に措置をとる必要があると認めるときは、当該違反行為をした者に対し、

12

期限を定めて、当該違反行為の中止その他違反を是正するために必要な措置をとるべき旨を命ずることができる（同条第３項）。
・ 特定個人情報を取り扱う者その他の関係者に対し、特定個人情報の取扱いに関し、必要な報告若しくは資料の提出を求めること又は立入検査を行うことができる（同法第35条）。
⑶

罰則の強化
行政機関個人情報保護法、独立行政法人等個人情報保護法及び「住民基本台帳法」（昭和42年法律第81号）においては、正当な理由なく個人
情報ファイルを提供したとき、不正な利益を図る目的で保有個人情報を提供又は盗用したとき、職務上知り得た秘密を漏えい又は盗用したとき等に罰則が科されることとされているが、番号法においては、類似の刑の上限が引き上げられている等罰則が強化されている（番号法第48条から第55条の３まで）。
なお、次表①から⑤までは、日本国外においてこれらの罪を犯した者にも適用される（同法第56条）。
同種法律における類似規定の罰則
行政機関個人情報保護法[独 立 行 政 法 人 等
個人情報保護法]住民基本台帳法

４年以下の懲役若 し く は 200万 円
以下の罰金又は併科（第48条）

２年以下の懲役
又 は 100万 円 以 下の罰金（ 第 53 条 [ 第 50
条]）

－

②

上記の者が、不正な利益を図る目的で、個人番号を提供又は盗用

３年以下の懲役若 し く は 150万 円
以下の罰金又は併科（第49条）

１年以下の懲役
又 は 50 万 円 以 下の罰金（ 第 54 条 [ 第 51条]）

２年以下の懲役
又 は 100万 円 以 下の罰金（第42条）③

情報提供ネットワーク
システムの事務に従事する者又は従事していた者が、情報提供ネットワークシステムに関する秘密を漏えい又は盗用同上（第50条）

項
番

行為

番号法

①

個人番号利用事務等に従事する者又は従事していた者が、正当な理
由なく、特定個人情報
ファイルを提供

13－

同上（第42条）

同種法律における類似規定の罰則
行政機関個人情報保護法[独 立 行 政 法 人 等
個人情報保護法]住民基本台帳法

３年以下の懲役
又 は 150万 円 以 下の罰金（第51条）－－⑤

国の機関の職員が、職権を濫用して、専らその職務の用以外の用に供する目的で、特定個人情報が記録された文書等を収集

２年以下の懲役
又 は 100万 円 以 下の罰金（第52条）

１年以下の懲役
又 は 50 万 円 以 下の罰金（ 第 55 条 [ 第 52
条]）

－

⑥

委員会から命令を受けた者が、委員会の命令に違反

２年以下の懲役
又 は 50 万 円 以 下の罰金（第53条）－

１年以下の懲役
又 は 50 万 円 以 下の罰金（第43条）⑦

委員会に対する、虚偽の報告、虚偽の資料提出、検査拒否等

１年以下の懲役
又 は 50 万 円 以 下の罰金（第54条）－

30 万 円 以 下 の 罰
金（ 第 46 条 、 第 47条）⑧

偽りその他不正の手段
により個人番号カードを取得

６月以下の懲役
又 は 50 万 円 以 下の罰金（第55条）－

30 万 円 以 下 の 罰
金（第46条）

項
番

行為

番号法

④

人を欺き、人に暴行を加え、人を脅迫し、又は、財物の窃取、施設への侵入、不正アクセス等により個人番号を取得

第３－５ 特定個人情報保護のための主体的な取組について
行政機関等及び地方公共団体等は、番号法等関係法令並びに本ガイドラ
イン及び指針等に従い、特定個人情報の適正な取扱いを確保するための具体的な方策について検討し、実践するとともに、国民・住民等の意見、事務の実態、技術の進歩等を踏まえ、点検・見直しを継続的に行う体制を主体的に構築することが重要である。
第３－６ 特定個人情報の漏えい事案等が発生した場合の対応
特定個人情報の漏えい事案等が発生した場合の対応については、別に定める。
※

特定個人情報の漏えい事案等が発生した場合の対応の具体的な内容については、
番号法第 29 条の４及び「特定個人情報の漏えいその他の特定個人情報の安全の確保に係る重大な事態の報告に関する規則」（平成 27 年特定個人情報保護委員会規則第14５号）並びに「独立行政法人等及び地方公共団体等における特定個人情報の漏えい事案等が発生した場合の対応について」（平成 27 年特定個人情報保護委員会告示第１号）及び「行政機関における特定個人情報の漏えい事案等が発生した場合の対応について」（平成 27 年９月 28 日特個第 581 号特定個人情報保護委員会事務局長通知）を参照のこと。

第３－７ 本ガイドラインの見直しについて
本ガイドラインについては、社会情勢の変化、国民意識の変化等諸環境の変化に加え、個人情報の保護に関する技術の進歩及び国際動向も踏まえつつ、必要に応じ見直しを行うものとする。

15

第４ 各論
第４－１ 特定個人情報の利用制限
第４－１－⑴ 個人番号の利用制限（関係条文）
・番号法 第９条、第30条第１項、第２項
・行政機関個人情報保護法 第３条第２項、第８条
・独立行政法人等個人情報保護法 第３条第２項、第９条

１

個人番号の原則的な取扱い
個人番号 （ 注 ） は、番号法があらかじめ限定的に定めた事務の範囲の中から、具体的な利用目的を特定した上で、利用するのが原則である。
行政機関等及び地方公共団体等が個人番号を利用するのは、個人番号利用
事務、個人番号関係事務及び各議院審査等番号法第19条第13号から第17号までに基づき特定個人情報の提供を受けた目的を達成するために必要な限度で利用する事務である。
また、金融機関に該当する独立行政法人等は、激甚災害の場合等に、個人
番号関係事務のために保管している個人番号を金銭の支払のために利用することができる。
行政機関等は、行政機関個人情報保護法及び独立行政法人等個人情報保護法とは異なり、本人の同意があったとしても、例外として認められる場合を除き（ ２ 参照）、これらの事務以外で個人番号を利用してはならない。地方公共団体等も同様である。
（注）「個人番号」には、個人番号に対応して、当該個人番号に代わって用いられる番号等も含まれる（番号法第２条第８項）。例えば、数字をアルファベットに読み替えるという法則に従って、個人番号をアルファベットに置き換えた場合であっても、当該アルファベットは「個人番号」に該当することとなる。一方、基礎年金番号、システムで使用している住民番号、職員番号等（個人番号を一定の法則に従って変換したものではないもの）は、「個人番号」には該当しない。

Ａ 個人番号を利用することができる事務の範囲
ａ 個人番号利用事務（番号法第９条第１項及び第２項）
個人番号利用事務とは、行政機関等、地方公共団体等その他の者が、法令に基づき行う社会保障、税及び災害対策に関する特定の事務において、保有している個人情報の検索、管理のために個人番号を利用することをいい、番号法別表第１の下欄に個人番号利用事務が列挙されている。
また、地方公共団体の場合は、同法別表第１に掲げられていない事務であっても、同法第９条第２項に基づき、社会保障、地方税又は防災に関する事務その他これらに類する事務のうち、個人番号を利用すること

16

を条例で定めるものについて、個人番号を利用することができる。
＊

甲市が行っている乳幼児医療手当給付事務は、番号法別表第１に掲げられていない事務であるが、同法第９条第２項に基づき、当該事務において個人番号を利用する旨の条例を制定して、当該手当の申請書に記載された当該申請者の個人番号を利用して甲市のデータベースから当該申請者の必要なデータを検索する場合
は、この事務は個人番号利用事務に当たる。

都道府県及び市町村（特別区を含む。以下同じ。）は、地域の総合的な行政主体として社会保障、地方税又は防災に関する複数の事務を同一の機関で処理しており、個人情報保護条例の規定の下、複数の事務間において相互に個人情報の授受がなされているところもある。これと同様に、特定個人情報についても、番号法別表第１に掲げられている事務を処理するために必要な場合に複数の事務間で特定個人情報を移転し、その検索、管理を行うために個人番号を利用する場合が想定される。このような場合には、同一機関内であっても複数事務間で特定個人情報の移転を行うこととなることから、同法第９条第２項に基づく条例を定める
必要があると解されている。
なお、地方公共団体において、同法第９条第２項に基づき、条例で個
人番号を利用することができることとした事務について、当該事務の根拠を定める条例において書面の提出を義務付けている場合があるが、この場合であって、同項に基づく特定個人情報の移転に係る条例を定める
場合に、当該特定個人情報と同一の内容の情報を含む書面の提出を不要と判断するときは、当該書面の提出を義務付けている条例等を改正等する必要がある。
行政機関等又は地方公共団体等から個人番号利用事務の全部又は一部の委託を受けた者は、個人番号利用事務を行うことができる。この場合において、当該委託を受けた者は、委託に関する契約の内容に応じて、本ガイドラインが適用されることとなる。
ｂ

個人番号関係事務（番号法第９条第３項）
個人番号関係事務とは、「国家公務員共済組合法」（昭和33年法律第128号）、「地方公務員等共済組合法」（昭和37年法律第152号）、所得税法その他の法令又は条例の規定により、個人番号利用事務の処理に関し必要な限度で他人の個人番号を利用して行う事務をいう。例えば、所得税法の規定に基づき、職員の個人番号を給与所得の源泉徴収票に記載
して、税務署長に提出する事務等が該当する。
なお、行政機関等又は地方公共団体等から個人番号関係事務の全部又は一部の委託を受けた者は、個人番号関係事務を行うことができる。

17

＊

給 与 受 給 者 で あ る 職 員 が 、 所 得 税 法 第 194条 第 １ 項 の 規 定 に 従 っ て 、 扶 養 親
族の個人番号を扶養控除等申告書に記載して、勤務先である行政機関等又は地方公共団体等に提出することは個人番号関係事務に当たる。

ｃ

各議院審査等番号法第19条第13号から第17号までに基づき特定個人情報の提供を受けた目的を達成するために必要な限度で利用する事務（番号法第９条第５項）
番号法第19条第13号から第17号までの規定に基づき特定個人情報の提供を受けた者（第４－３－⑵ ２ Ｂｋ～ｎ参照）は、その提供を受けた目
的を達成するために必要な限度で個人番号を利用することができる。

Ｂ

利用目的以外の目的のための個人番号の利用禁止（番号法第30条第１項
により読み替えて適用される行政機関個人情報保護法第８条第１項、番号法第30条第２項により読み替えて適用される独立行政法人等個人情報保護法第９条第１項）
個人番号の利用目的はできる限り特定及び明示がされなければならず、原則として個人番号は特定された利用目的の範囲内で利用されることとなる。
＊

行政機関等及び地方公共団体等は、個人番号利用事務において申請者から個人番号の提供を受ける際に、当該個人番号を番号法第19条第８号から第10号までに基づいて他の個人番号利用事務実施者に提供する場合があることは、明示する必要はない。

一般法は、法令に基づく場合又は本人の同意がある場合等は、個人情報を利用目的以外の目的のために利用することができることとしているが、番号法は、例外として認められる二つの場合を除き（ ２ 参照）、特定個人情報を利用目的以外の目的のために利用してはならないと定めている。
したがって、個人番号についても利用目的以外の目的のために利用してはならない。
地方公共団体においては、番号法第32条の規定に基づき、行政機関等と同様の適用となるよう、個人情報保護条例の改正等が必要となる場合がある。
２

例外的な取扱いができる場合
番号法では、次に掲げる場合に、例外的に利用目的以外の目的のための個
人番号の利用を認めている。

18

ａ

金融機関に該当する独立行政法人等が激甚災害時等に金銭の支払を行う
場合（番号法第９条第４項、第30条第２項により読み替えて適用される独立行政法人等個人情報保護法第９条第１項、番号法施行令 （ 注 ） 第10条、激甚災害が発生したとき等にあらかじめ締結した契約に基づく金銭の支払を行うために必要な限度で行う個人番号の利用に関する内閣府令（平成27年内閣府令第74号））
金融機関に該当する独立行政法人等は、「激甚災害に対処するための特別の財政援助等に関する法律」（昭和37年法律第150号）第２条第１項の激甚災害が発生したとき、又は「災害対策基本法」（昭和36年法律第223号）
第63条第１項その他内閣府令で定める法令の規定により一定の区域への立入りを制限、禁止され、若しくは当該区域からの退去を命ぜられたときに、支払調書の作成等の個人番号関係事務を処理する目的で保有している個人
番号について、顧客に対する金銭の支払を行うという別の目的のために、顧客の預金情報等の検索に利用することができる。
（注）番号法施行令とは、「行政手続における特定の個人を識別するための番号の利用等に関する法律施行令」（平成26年政令第155号）をいう（以下同じ。）。

ｂ

人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意があり、又は本人の同意を得ることが困難である場合（番号法第30条第１項又は第２項により読み替えて適用される行政機関個人情報保護法第８条第２項第１号又は独立行政法人等個人情報保護法第９条第２項第１号）
人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意があり、又は本人の同意を得ることが困難であるときは、行政機関
等は、個人番号利用事務等を処理する目的で保有している個人番号について、人の生命、身体又は財産を保護するために利用することができる。
地方公共団体においては、番号法第32条の規定に基づき、行政機関等と同様の適用となるよう、個人情報保護条例の改正等が必要となる場合がある。

19

第４－１－⑵ 特定個人情報ファイルの作成の制限（関係条文）
・番号法 第29条●

特定個人情報ファイルの作成の制限（番号法第29条）
行政機関等及び地方公共団体等その他個人番号利用事務等に従事する者が、
特定個人情報ファイルを作成することができるのは、個人番号利用事務等を処理するために必要な場合、又は番号法第19条第13号から第17号までのいず
れかに該当して特定個人情報を提供し、又はその提供を受けることができる
場合に限定されており、これらの場合を除き特定個人情報ファイルを作成してはならない。

20

第４－２ 特定個人情報の安全管理措置等
第４－２－⑴ 委託の取扱い（関係条文）
・番号法 第10条、第11条
・行政機関個人情報保護法 第６条
・独立行政法人等個人情報保護法 第７条
１

委託先の監督（番号法第11条、行政機関個人情報保護法第６条、独立行政法人等個人情報保護法第７条）
Ａ 委託先における安全管理措置
行政機関個人情報保護法第６条第２項において、委託を受けた者は、保有個人情報の安全管理措置を講ずることを義務付けられている（独立行政法人等個人情報保護法第７条第２項においても同じ。）。
地方公共団体等については、個人情報保護条例の定めによっている。
これに加え、番号法は、個人番号利用事務等の全部又は一部の委託をす
る者は、委託した個人番号利用事務等で取り扱う特定個人情報の安全管理措置が適切に講じられるよう「委託を受けた者」に対する必要かつ適切な監督を行わなければならないとしている。
このため、個人番号利用事務等の全部又は一部の委託をする行政機関等
及び地方公共団体等は、「委託を受けた者」において、番号法に基づき個
人番号利用事務等を行う行政機関等及び地方公共団体等が果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行わなければならない。
なお、「委託を受けた者」を適切に監督するために必要な措置を講じず、又は、必要かつ十分な監督義務を果たすための具体的な対応をとらなかった結果、特定個人情報の漏えい等が発生した場合、番号法違反と判断される可能性がある。
Ｂ

必要かつ適切な監督「必要かつ適切な監督」には、①委託先の適切な選定、②委託先に安全管理措置を遵守させるための必要な契約の締結、③委託先における特定個
人情報の取扱状況の把握が含まれる。
委託先の選定については、個人番号利用事務等を行う行政機関等及び地方公共団体等は、委託先において、番号法に基づき当該行政機関等及び地方公共団体等が果たすべき安全管理措置と同等の措置が講じられるか否かについて、あらかじめ確認しなければならない。具体的な確認事項として
は、委託先の設備、技術水準、従業者 （ 注 ） に対する監督・教育の状況、その他委託先の経営環境等が挙げられる。
委託契約の締結については、契約内容として、秘密保持義務、事業所内

21

からの特定個人情報の持ち出しの禁止、特定個人情報の目的外利用の禁止、再委託における条件、漏えい事案等が発生した場合の委託先の責任、委託契約終了後の特定個人情報の返却又は廃棄、特定個人情報を取り扱う従業者の明確化、従業者に対する監督・教育、契約内容の遵守状況について報告を求める規定を盛り込むとともに、行政機関等及び地方公共団体等において必要があると認めるときは委託先に対して、実地の監査、調査等を行うことができる規定等を盛り込まなければならない。
委託先における特定個人情報の取扱状況の把握については、前記の契約に基づき報告を求めること、委託先に対して実地の監査、調査等を行うこと等により、委託契約で盛り込んだ内容の実施の程度を把握した上で、委託の内容等の見直しを検討することを含め、適切に評価する。
（注）「従業者」とは、事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者をいう。具体的には、従業員のほか、取締役、監査役、理事、監事、派遣社員等を含む。

２ 再委託（番号法第 10 条、第 11 条）
Ａ 再委託の要件（第10条第１項）
個人番号利用事務等の全部又は一部の「委託を受けた者」は、当該個人
番号利用事務等の委託をした者の許諾を得た場合に限り、再委託をすることができる。
＊

市役所甲が、保険給付の支給に関する事務（個人番号利用事務）の一部を、事業者乙に委託している場合、乙は、「当該個人番号利用事務等の委託をした者」である市役所甲の許諾を得た場合に限り、同事務を別の事業者丙に委託することができる。

Ｂ

再委託の効果（第10条第２項）
再委託を受けた者は、個人番号利用事務等の全部又は一部の「委託を受けた者」とみなされ、再委託を受けた個人番号利用事務等を行うことができるほか、最初に当該個人番号利用事務等の委託をした者である行政機関
等又は地方公共団体等の許諾を得た場合に限り、その事務を更に再委託することができる。
このように、行政機関等又は地方公共団体等が許諾を与えることが個人
番号利用事務等の再委託の要件とされていることから、行政機関等及び地方公共団体等は、委託をする個人番号利用事務等において取り扱う特定個
人情報の適切な安全管理が図られることを確認した上で再委託の諾否を判断しなければならない。
＊

更に再委託をする場合も、その許諾を得る相手は、最初に当該個人番号利用事務22

等の委託をした行政機関等又は地方公共団体等である。
したがって、個人番号利用事務等が、行政機関等又は地方公共団体等→甲→乙→丙→丁と順次委託される場合、丙は、最初に当該個人番号利用事務等の委託をした者である行政機関等又は地方公共団体等の許諾を得た場合に限り、別の事業者丁に再委託を行うことができる。更に再委託が繰り返される場合も同様である。
なお、乙は丙を監督する義務があるため、乙・丙間の委託契約の内容に、丙が再委託する場合の取扱いを定め、再委託を行う場合の条件、再委託した場合の乙に対する通知義務等を盛り込む。
＊「委託を受けた者」が、番号法第10条の規定に違反して、最初に個人番号利 用
事務等の委託をした者である行政機関等又は地方公共団体等の許諾を得ずに当該個
人番号利用事務等を再委託した場合、「委託を受けた者」は同法第19条（提供制限）にも違反することとなり、当該再委託を受けた者も同法第15条（提供の求めの制限）及び第20条（収集・保管制限）に違反すると判断される可能性があるた
め、留意する必要がある。

Ｃ

再委託先の監督（第11条）
１ Ａにおける「委託を受けた者」とは、行政機関等又は地方公共団体等が直接委託する事業者を指すが、行政機関等又は地方公共団体等→甲→乙→丙→丁と順次委託される場合、甲に対する行政機関等又は地方公共団体等の監督義務の内容には、再委託の適否だけではなく、甲が乙、丙、丁に対して必要かつ適切な監督を行っているかどうかを監督することも含まれる。したがって、行政機関等又は地方公共団体等は甲に対する監督義務だ
けではなく、再委託先である乙、丙、丁に対しても間接的に監督義務を負うこととなる。

23

第４－２－⑵ 安全管理措置（関係条文）
・番号法 第12条
・行政機関個人情報保護法 第６条、第７条
・独立行政法人等個人情報保護法 第７条、第８条●

安全管理措置（番号法第12条、行政機関個人情報保護法第６条、第７条、
独立行政法人等個人情報保護法第７条、第８条）
個人番号利用事務等実施者は、個人番号（生存する個人のものだけでなく死者のものも含む。）の漏えい、滅失又は毀損の防止その他の個人番号の適切な管理のために必要な措置を講じなければならない。また、行政機関等は、保有個人情報である特定個人情報の漏えい、滅失又は毀損の防止その他の保有個人情報である特定個人情報の適切な管理のために必要な措置を講じなければならない。
地方公共団体においては、番号法第32条の規定に基づき、行政機関等と同様の適用となるよう、個人情報保護条例の改正等が必要となる場合がある。
行政機関等及び地方公共団体等は、安全管理措置の検討に当たり、番号法
及び行政機関個人情報保護法等関係法令並びに本ガイドライン（「（別添）
特定個人情報に関する安全管理措置（行政機関等・地方公共団体等編）」を含む。）及び指針等を遵守することを前提とする。
また、行政機関等及び地方公共団体等は、個人のプライバシー等の権利利益に影響を与え得る特定個人情報の漏えいその他の事態を発生させるリスクを軽減するための措置として特定個人情報保護評価書に記載した全ての措置を講ずるものとする。
※

安全管理措置の具体的な内容については、「（別添）特定個人情報に関する安全管理措置（行政機関等・地方公共団体等編）」を参照のこと。

24

第４－３ 特定個人情報の提供制限等
第４－３－⑴ 個人番号の提供の要求（関係条文）
・番号法 第14条
１

提供の要求（番号法第14条第１項）
行政機関等及び地方公共団体等は、個人番号利用事務等を行うため、本人
又は他の個人番号利用事務等実施者から個人番号の提供を受ける必要がある。
番号法第14条第１項は、個人番号利用事務等実施者が個人番号の提供を求めるための根拠となる規定である。
個人番号利用事務等実施者は、本条により、個人番号利用事務等を処理するために必要がある場合、本人又は他の個人番号利用事務等実施者に対し個人番号の提供を求めることとなる。

２

提供を求める時期
個人番号利用事務等実施者は、個人番号利用事務等を処理するために必要があるときに個人番号の提供を求めることとなる。
＊

行政機関等及び地方公共団体等の場合、個人番号利用事務に関しては、本人が申請・届出等を行う時点で個人番号の提供を求めることが一般的である。

３

地方公共団体情報システム機構に対する提供の要求（番号法第14条第２項、
番号法施行令第11条）
個人番号利用事務実施者（住民基本台帳法別表第１から別表第４までの上欄に掲げる者に限る。）は、個人番号利用事務を処理するために必要がある
ときは、住民基本台帳法第30条の９から第30条の12までの規定により、地方公共団体情報システム機構に対し、同法第30条の９に規定する機構保存本人
確認情報の提供を求めることができる。

25

第４－３－⑵ 個人番号の提供の求めの制限、特定個人情報の提供制限（関係条文）
・番号法 第15条、第19条、第30条第１項及び第２項、第31条第１項から第３項まで
・行政機関個人情報保護法 第８条
・独立行政法人等個人情報保護法 第９条

１

提供の求めの制限（番号法第15条）
何人も、番号法第19条各号のいずれかに該当し特定個人情報の提供を受けることができる場合を除き、他人 （ 注 ） の個人番号の提供を求めてはならない。
＊

行政機関等及び地方公共団体等は、給与の源泉徴収事務を処理する目的で、給与受給者である職員に対し、個人番号の提供を求めることとなる。一方、職員の人事評価等を管理する目的で、個人番号の提供を求めてはならない。

（ 注 ） 番 号 法 第 15条 及 び 第 20条 に お い て 、 他 人 と は 「 自 己 と 同 一 の 世 帯 に 属 す る 者 以外の者」であり、子、配偶者等の自己と同一の世帯に属する者に対しては、同法第19条各号のいずれかに該当しなくても、個人番号の提供を求めることができる。

２

特定個人情報の提供制限（番号法第19条）
何人も、番号法で限定的に明記された場合を除き、特定個人情報を「提供」
してはならない。

Ａ「提供」の意義について
行政機関等の場合は、当該行政機関等を超えて特定個人情報が移動することが「提供」である。
地方公共団体の場合は、当該地方公共団体から他の地方公共団体や行政機関等へ特定個人情報が移動することが「提供」であり、同一地方公共団
体内の異なる機関に特定個人情報が移動することも「提供」に当たる。
＊「提供」に当たらない場合
甲市の市長部局にある税務課から、同じ市長部局にある福祉課に特定個人情報が移転する場合は、同じ甲市市長部局内であるから、「提供」には当たらず、「利用」となる（第４－１－⑴ １ Ａａ参照）。

＊「提供」に当たる場合
甲市の市長部局にある市民課から、甲市教育委員会に特定個人情報が移動する場
合は、同一地方公共団体内の異なる機関に特定個人情報が移動することから、「提供」に当たる。なお、この場合、番号法第19条第８号に基づく情報連携によらず26

甲市教育委員会が特定個人情報の提供を受けるためには、同条第11号に基づき、
甲市教育委員会に対し特定個人情報を提供する旨の条例が定められる必要がある。

Ｂ

特定個人情報を提供できる場合（番号法第19条第１号から第17号まで）
特定個人情報を提供できる場合として、番号法第19条各号が定めているもののうち行政機関等及び地方公共団体等が関わるものは、次のとおりである。
ａ

個人番号利用事務実施者からの提供（第１号）
個人番号利用事務実施者が、個人番号利用事務を処理するために、必要な限度で本人、代理人又は個人番号関係事務実施者に特定個人情報を提供する場合である。
＊

市町村長（個人番号利用事務実施者）は、本条を根拠として住民税を徴収（個人番号利用事務）するために、事業者（個人番号関係事務実施者：特別徴収による住民税の納入事務）に対し、その従業員等の個人番号と共に特別徴収税額を通知することができる。

ｂ

個人番号関係事務実施者からの提供（第２号）
個人番号関係事務実施者は、個人番号関係事務を処理するに当たり、必要な限度で特定個人情報を提供することとなる。

＊

行政機関等又は地方公共団体等（個人番号関係事務実施者）は、所得税法第226条 第 １ 項 の 規 定 に 従 っ て 、 給 与 所 得 の 源 泉 徴 収 票 の 提 出 と い う 個 人 番 号 関係事務を処理するために、職員の個人番号が記載された給与所得の源泉徴収票を作成し、税務署長に提出することとなる。

＊

給与受給者である職員は、扶養控除等申告書の提出という個人番号関係事務を処理するために、勤務先である行政機関等又は地方公共団体等（個人番号関係事
務実施者）に対し、その扶養親族の個人番号を記載した扶養控除等申告書を提出することとなる（この場合、職員は個人番号関係事務実施者となる。）。

ｃ

本人又は代理人からの提供（第３号）
本人又はその代理人は、個人番号利用事務等実施者に対し、本人の個
人番号を含む特定個人情報を提供することとなる。
本人又はその代理人からの特定個人情報の提供により、行政機関等又は地方公共団体等は個人番号の提供を受け、それを個人番号利用事務のために利用することができる。

27

ｄ

使用者等から他の使用者等に対する従業者等に関する特定個人情報の提供（第４号）
従業者等（従業者、法人の業務を執行する役員又は国若しくは地方公
共団体の公務員をいう。以下本号において同じ。）の出向・転籍・退職等があった場合において、当該従業者等の同意があるときは、出向・転籍・退職等前の使用者等（使用者、法人又は国若しくは地方公共団体をいう。以下本号において同じ。）から出向・転籍・再就職等先の使用者等に対して、その個人番号関係事務を処理するために必要な限度で、当該従業者等の個人番号を含む特定個人情報を提供することができる。
本号に基づく特定個人情報の提供は、従業者等の出向・転籍・退職等があった場合に、当該従業者等の同意を得た上で、行われるものである。
そのため、出向・転籍・退職等前の使用者等は、当該従業者等の出向・転籍・再就職等先の決定以後に、個人番号を含む特定個人情報の具体的な提供先を明らかにした上で、当該従業者等から同意を取得することが必要となる。
なお、本号により特定個人情報の提供を受けた使用者等は、番号法第16条に基づく本人確認は不要である。

＊

本号に基づき提供が認められる特定個人情報の範囲は、社会保障、税分野に係る健康保険・厚生年金保険被保険者資格取得届、給与支払報告書や支払調書の提出など、出向・転籍・再就職等先の使用者等が「その個人番号関係事務を処理するために必要な限度」に限定される。
例えば、従業者等の氏名、住所、生年月日等や前職の給与額等については、これらの社会保障、税分野に係る届出、提出等に必要な情報であることが想定されるため、本号に基づく提供が認められる。一方、個別の事案ごとに、具体的に判断されることになるが、前職の離職理由等の、当該届出、提出等に必要な情報であるとは想定されない情報については、本号に基づく提供は認められないと解される。

＊「従業者等の同意を得」るとは、従業者等の承諾する旨の意思表示を使用者等が認識することをいい、特定個人情報の取扱状況に応じ、従業者等が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならない。
具体的には、どのような特定個人情報が出向・転籍・再就職等先の使用者等に対して提供されることになるのか、従業者等が認識した上で、同意に係る判断を行うことができるよう、出向・転籍・退職等前の使用者等は留意する必要がある。
従業者等からの同意の取得については、従業者等からの同意する旨の口頭による意思表示のほか、従業者等からの同意する旨の書面（電磁的記録を含む。）の受領、従業者等からの同意する旨のメールの受信、従業者等による同意する旨

28

の確認欄へのチェック、従業者等による同意する旨のウェブ上のボタンのクリッ
ク、従業者等による同意する旨のタッチパネルへのタッチ・ボタン等による入力
等によることが考えられる。
＊

甲市の市長部局市民課職員が甲市教育委員会に異動する場合、当該職員の同意があるときは、その個人番号関係事務を処理するために必要な限度で、甲市の市長部局から甲市教育委員会に対し、当該職員の個人番号を含む特定個人情報を提供することができる。

ｅ

機構による個人番号の提供（第５号、第14条第２項、番号法施行令第11条）
地方公共団体情報システム機構は、番号法第14条第２項の規定に基づき、個人番号利用事務実施者（住民基本台帳法別表第１から別表第４までの上欄に掲げる者に限る。）に個人番号を含む機構保存本人確認情報を提供することができる。

ｆ

委託、合併に伴う提供（第６号）
特定個人情報の取扱いの全部若しくは一部の委託又は合併その他の事
由（市町村合併や機関の統廃合等）による事務の承継が行われたときは、
特定個人情報を提供することが認められている。
＊

個人番号利用事務等の委託を受けた者が、番号法第10条の規定に違反して、最初に当該個人番号利用事務等の委託をした者である行政機関等又は地方公共団
体等の許諾を得ずにその事務を再委託した場合、当該再委託に伴う特定個人情報の提供は同法第19条第６号の提供に該当しないため、提供制限にも違反するこ
ととなる。

ｇ

住民基本台帳法上の規定に基づく提供（第７号、番号法施行令第19条）
住民基本台帳法第30条の６第１項（市町村長から都道府県知事への本
人確認情報の通知等）の規定その他番号法施行令で定める同法の規定に基づき、特定個人情報を提供することができる。
なお、「その他番号法施行令で定める同法の規定」は、同法第12条第５項（本人等の請求による住民票の写し等の交付）（同法第30条の51の規定（外国人住民についての適用の特例）により読み替えて適用する場合を含む。）、第30条の７第１項（都道府県知事から機構への本人確認情報の通知等）、第30条の32第２項（自己の本人確認情報の開示）及び主務省令で定める規定である。
＊

市町村長は、転入者について、住民票に記載した後、住民基本台帳法第30条の６第１項の規定に基づき、当該転入者の個人番号を含む本人確認情報を都道府

29

県知事に通知することとなる。

ｈ

情報提供ネットワークシステムを通じた提供（第８号、第９号、番号
法施行令第20条、番号法第十九条第九号規則）
情報照会者が、情報提供者に対し、番号法別表第２の第２欄に掲げる事務を処理するために必要な同表の第４欄に掲げる特定個人情報（情報提供者の保有する特定個人情報ファイルに記録されたものに限る。）の提供を求めた場合において、情報提供者は、情報提供ネットワークシス
テムを使用して当該特定個人情報を提供することができる（第４－３－⑶参照）。
また、条例事務関係情報照会者が、条例事務関係情報提供者に対し、条例事務を処理するために必要な番号法別表第２の第４欄に掲げる特定個人情報であって当該事務の内容に応じて個人情報保護委員会規則で定めるもの （ 注 ） （条例事務関係情報提供者の保有する特定個人情報ファイルに記録されたものに限る。）の提供を求めた場合において、条例事務
関係情報提供者は、情報提供ネットワークシステムを使用して当該特定個人情報を提供することができる。
（注）条例事務を処理するために必要な番号法別表第２の第４欄に掲げる特定個人情報であって当該事務の内容に応じて個人情報保護委員会規則で定めるものとは、法定事務において情報提供者に提供を求める特定個人情報の範囲と同一又はその一部である特定個人情報をいう。ただし、次に掲げる特定個人情報を除く。
一提供を求めた特定個人情報が地方税関係情報である場合において、当該地方税関係情報の提供を求めることについて本人の同意がない場合における当該地方税関係情報

二

限定機関が、行政手続における特定の個人を識別するための番号の利用等に関する法律第十九条第九号の規定により提供することができる特定個
人情報の範囲の限定に関する規則（平成28年個人情報保護委員会規則第６号）第２条第１項の規定に基づきあらかじめその旨を委員会に申し出た場
合において、条例により提供しないこととされた特定個人情報の範囲における当該特定個人情報ｉ

国税・地方税法令に基づく国税連携及び地方税連携による提供（第10号、番号法施行令第21条、第22条）「 地 方 税 法 」 （ 昭 和 25年 法 律 第 226号 ） 第 46条 第 ４ 項 若 し く は 第 ５ 項（個人の道府県民税の賦課徴収に関する報告等）、第48条第７項（個人の道府県民税に係る徴収及び滞納処分の特例）、第72条の58（道府県知事の通知義務）、第317条（市町村による所得の計算の通知）若しくは第325条（所得税又は法人税に関する書類の供覧等）の規定その他番号法施30

行令で定める同法又は国税に関する法律の規定により、国税庁長官が都道府県知事若しくは市町村長に国税に関する特定個人情報を提供する場
合又は都道府県知事若しくは市町村長が国税庁長官若しくは他の都道府県知事若しくは市町村長に地方税に関する特定個人情報を提供する場合
において、その特定個人情報の安全を確保するために必要な措置を講じているときは、それぞれ特定個人情報を提供することができる。
なお、「その他番号法施行令で定める同法の規定」は、番号法施行令第21条で定められており、地方税法第48条第２項（個人の道府県民税に係る徴収及び滞納処分の特例）、第72条の59（所得税又は道府県民税に関する書類の供覧等）、第294条第３項（市町村民税の納税義務者等）及び主務省令で定める規定である。
「特定個人情報の安全を確保するために必要な措置」は、番号法施行令第22条で定められており、①特定個人情報の提供を受ける者の名称、
特定個人情報の提供の日時及び提供する特定個人情報の項目その他主務省令で定める事項を記録し、並びにその記録を７年間保存すること、②提供する特定個人情報が漏えいした場合において、その旨及びその理由を遅滞なく委員会に報告するために必要な体制を整備するとともに、提供を受ける者が同様の体制を整備していることを確認すること並びに③
これらのほか特定個人情報の安全を確保するために必要な措置として「行政手続における特定の個人を識別するための番号の利用等に関する
法律施行規則」（平成26年内閣府・総務省令第３号。以下「番号法施行規則」という。）で定める措置をいう。
＊

甲 市 長 は 、 地 方 税 法 第 315条 第 １ 号 た だ し 書 の 規 定 に 基 づ き 、 甲 市 内 に 住 所を有する個人の所得税に係る申告書に記載されている金額が過少であると認められた場合に、自ら調査し、その調査に基づいて自ら所得を計算して市民税を課したときに、その特定個人情報の安全を確保するための必要な措置を講じた上で、同 法 第 317条 の 規 定 に 基 づ き 、 そ の 市 の 区 域 を 管 轄 す る 乙 税 務 署 長 に 対 し て 、
その個人の総所得金額等を当該個人の個人番号と共に通知することとなる。

ｊ

地方公共団体の他の機関に対する提供（第11号）
地方公共団体の機関は、条例で定めるところにより、その地方公共団
体の他の機関に、その事務を処理するために必要な限度で特定個人情報を提供することができる。
この場合において、提供を受ける機関には個人番号を利用する法的根拠があることが前提とされていることから、提供を受けることのできる機関は、法令又は条例に基づく個人番号利用事務実施者である必要がある。
なお、地方公共団体内の他の機関に特定個人情報を提供するために番号法第19条第11号に基づく条例を定める場合、同法第９条第２項に基づ

31

き個人番号を利用することができることとした事務の根拠となる条例において書面の提出を義務付けているときは、当該特定個人情報と同一の内容の情報を含む書面の提出を不要とする場合が考えられる。この場合、当該書面の提出を義務付けている条例等の改正等が必要となる。
＊

甲市の市長部局にある税務部門は、甲市教育委員会が個人番号利用事務である
学校保健安全法に基づく医療費用援助に関する事務を処理するため、条例で定めるところにより、地方税情報を甲市教育委員会に提供することができる。

ｋ

委員会からの提供の求め（第13号）
委員会が、特定個人情報の取扱いに関し、番号法第35条第１項の規定により、特定個人情報の提出を求めた場合には、この求めに応じ、委員会に対し、特定個人情報を提供しなければならない。

ｌ

各議院審査等その他公益上の必要があるときの提供（第15号、番号法
施行令第25条、同施行令別表）①各議院の審査、調査の手続、②訴訟手続その他の裁判所における手続、③裁判の執行、④刑事事件の捜査、⑤租税に関する法律の規定に基づく犯則事件の調査、⑥会計検査院の検査が行われるとき、⑦公益上の必要があるときは、特定個人情報を提供することができる。⑦の公益上の必要があるときは、番号法施行令第25条で定められており、「私的独占の禁止及び公正取引の確保に関する法律」（昭和22年法律第54号）の規定による犯則事件の調査（番号法施行令別表第２号）、「金融商品取引法」（昭和23年法律第25号）の規定による犯則事件の調査（同表第４号）、租税調査（同表第８号）、個人情報保護法の規定による報告徴収（同表第19号）、「犯罪による収益の移転防止に関する法律」（平成19年法律第22号）の規定による届出（同表第23号）等がある。

ｍ

人の生命、身体又は財産の保護のための提供（第16号）
人の生命、身体又は財産の保護のために必要がある場合において、本人の同意があり、又は本人の同意を得ることが困難であるときは、特定個人情報を提供することができる。

ｎ

委員会規則に基づく提供（第17号）
番号法第19条第１号から第16号までに準ずるものとして委員会規則で定めた場合には、特定個人情報を提供することができる。

Ｃ

行政機関個人情報保護法及び独立行政法人等個人情報保護法による提供の制限との違い
行政機関個人情報保護法第８条及び独立行政法人等個人情報保護法第９32条は、保有個人情報について、法令の規定に基づく場合、本人の同意がある場合等には、第三者に提供することができることとしている。
一方、番号法においては、他の法令の規定や本人の同意があったとしても、同法第19条各号に該当する場合を除いて、特定個人情報を提供してはならない。
したがって、特定個人情報の提供を求められた場合には、その提供を求める根拠が、同法第19条各号に該当するものかどうかをよく確認し、同条各号に該当しない場合には、特定個人情報を提供してはならない。
＊

行政機関個人情報保護法等の規定に基づく開示請求、訂正請求又は利用停止請求において、本人から個人番号を付して請求が行われた場合や本人に対しその個人番
号又は特定個人情報を提供する場合は、番号法第19条各号に定めはないものの、法の解釈上当然に特定個人情報の提供が認められるべき場合であり、特定個人情報を提供することができる。

33

第４－３－⑶ 情報提供ネットワークシステムによる特定個人情報の提供（関係条文）
・番号法 第19条、第21条から第26条まで、第31条
・行政機関個人情報保護法 第８条
・独立行政法人等個人情報保護法 第９条
１ 情報提供ネットワークシステムによる特定個人情報の情報連携
Ａ 情報提供ネットワークシステム（番号法第21条、第26条）「情報提供ネットワークシステム」とは、番号法第19条第８号又は第９号の規定に基づき、同法第２条第14項に規定する行政機関の長等（行政機関の長、地方公共団体の機関、独立行政法人等、地方独立行政法人及び地方公共団体情報システム機構並びに情報照会者及び情報提供者並びに条例
事務関係情報照会者及び条例事務関係情報提供者をいう。以下同じ。）の間で、特定個人情報を安全、効率的にやり取りするための情報システムであり、内閣総理大臣が、委員会と協議の上、設置し、管理するものである。
行政機関等及び地方公共団体等は、同法第19条第８号の規定及び別表第２に基づき、情報提供ネットワークシステムを通じて、情報照会者として他の個人番号利用事務実施者から個人番号利用事務を処理するために必要な特定個人情報の提供を受け、又は情報提供者として他の個人番号利用事
務実施者に対し特定個人情報を提供することとなる。また、同法第19条第９号の規定及び個人情報保護委員会規則に基づき、情報提供ネットワーク
システムを通じて、条例事務関係情報照会者として条例事務関係情報提供者から条例事務を処理するために必要な特定個人情報 （ 注 ） の提供を受け、又は条例事務関係情報提供者として条例事務関係情報照会者に対して特定
個人情報 （ 注 ） を提供することも認められる。このような情報のやり取りを情報連携という。
行政機関の長等においては、それぞれ設置される中間サーバー等（中間サーバーに相当する機能を有する既存業務システムを含む。）を通じて情報提供ネットワークシステムにアクセスし、同法別表第２の第４欄に掲げられた特定個人情報について、原則としてシステム上自動的に照会・提供を行うこととなる。したがって、こうしたシステムの管理についての環境を整備することが必要となる。
また、情報提供ネットワークシステムを使用することができるのは、行政機関の長等に限られる。したがって、行政機関等及び地方公共団体等か
ら個人番号利用事務の委託を受けた者（法令の規定により、同法別表第２の第２欄に掲げる事務の全部又は一部を行うこととされている者及び同表の第４欄に掲げる特定個人情報の利用又は提供に関する事務の全部又は一部を行うこととされている者を除く。）は、情報提供ネットワークシステ
ムに接続された端末を操作して情報照会等を行うことはできない。

34

（注）条例事務を処理するために必要な特定個人情報又は条例事務関係情報提供者として条例事務関係情報照会者に対して提供する特定個人情報とは、法定事務において情報提供者に提供を求める特定個人情報の範囲と同一又はその一部である特定個人情報をいう。ただし、次に掲げる特定個人情報を除く。
一提供を求めた特定個人情報が地方税関係情報である場合において、当該地方税関係情報の提供を求めることについて本人の同意がない場合における当該地方税関係情報二

限定機関が、行政手続における特定の個人を識別するための番号の利用等に関する法律第十九条第九号の規定により提供することができる特定個人情報の範囲の限定に関する規則（平成28年個人情報保護委員会規則第６号）第２条第１項の規定に基づきあらかじめその旨を委員会に申し出た場合において、条例により提供しないこととされた特定個人情報の範囲における当該特定個
人情報〈参考〉取得番号の取扱いに係る留意事項
情報連携に必要な情報提供用個人識別符号（番号法第21条の２第１項に規定する情報提供用個人識別符号をいう。）の取得に当たって用いられる符号である取得番号（同条第２項に規定する取得番号をいう。）に関しては、同条第３項において、「情報照会者等（情報照会者又は情報提供者をいう。）及び内閣総理大臣は、情報提供用個人識別符号の取得に係る事務を行う目的の達成に必要な範囲を超えて、取得番号を保有してはならない」
旨、及び同条第６項において、「取得番号の提供を受けた者は、その提供を受けた目的の達成に必要な範囲を超えて、当該取得番号を保有してはならない」旨、それぞれ規定されている。
したがって、情報照会者等及び内閣総理大臣並びに取得番号の提供を受けた者は、情報提供用個人識別符号の取得後、当該情報提供用個人識別符号の取得に係る事務を処理する必要がなくなった場合で、文書管理に関する規程等によって定められている保存期間を経過した場合には、取得番号を削除する必要がある。
Ｂ

特定個人情報の提供（番号法第22条、第26条、番号法施行令第28条）
情報提供者又は条例事務関係情報提供者は、番号法第19条第８号又は第９号の規定により特定個人情報の提供を求められた場合において、同法第21条第２項の規定による内閣総理大臣からの通知を受けたときは、番号法施行令で定めるところにより、情報照会者又は条例事務関係情報照会者に対して求められた特定個人情報を提供しなければならない （ 注 ） （番号法第22条第１項、第26条）。具体的には、システム上でのやり取りとなることから、同システムの管理についての環境を整備することが必要となる。
また、同法第22条第１項の規定による特定個人情報の提供があった場合において、他の法令又は条例の規定により当該特定個人情報と同一の内容

35

の情報を含む書面の提出が義務付けられているときは、同条第２項の規定により当該書面の提出があったものとみなされることから、当該書面を提出すべき者は、当該書面を提出する必要がなくなる。
＊

児童扶養手当の支給を受けるには、所得証明書の提出が必要であるが（児童扶養手当法施行規則第1条第７号）、情報提供ネットワークシステムを通じて所得情報の提供が行われる場合には、申請者は所得証明書の提出義務を免除される。

（注）番号法第19条第９号の規定により提供することができる限定機関が、「行政手続における特定の個人を識別するための番号の利用等に関する法律第十九条第九号の規定により提供することができる特定個人情報の範囲の限定に関する規則」（平成28年個人情報保護委員会規則第６号）第２条第１項の規定に基づきあらか
じめその旨を委員会に申し出た場合において、提供の求めに係る特定個人情報が当該限定された特定個人情報の範囲に含まれないときは、この限りでない。

２

情報提供等の記録（番号法第23条、第26条、番号法施行令第29条）
情報照会者及び情報提供者又は条例事務関係情報照会者及び条例事務関係
情報提供者が、情報提供ネットワークシステムに接続されたその者の使用する電子計算機に記録し、当該記録を保存しなければならない事項として以下の場合があるが、具体的には、システム上で記録されることから、同システ
ムの管理についての環境を整備することが必要となる。
ａ

情報照会者及び情報提供者又は条例事務関係情報照会者及び条例事務関係情報提供者は、番号法第19条第８号又は第９号の規定により特定個人情報の提供の求め又は提供があったときは、情報提供ネットワークシステムに接続されたその者の使用する電子計算機に次に掲げる事項を記録し、当該記録を７年間保存しなければならない（番号法第23条第１項、第26条）。
一 情報照会者及び情報提供者又は条例事務関係情報照会者及び条例事務
関係情報提供者の名称
二 提供の求めの日時及び提供があったときはその日時
三 特定個人情報の項目
四 一から三までに掲げるもののほか、デジタル庁令で定める事項ｂ

情報照会者及び情報提供者又は条例事務関係情報照会者及び条例事務関係情報提供者は、ａに規定する事項のほか、当該特定個人情報の提供の求め又は提供の事実が、次に掲げる事項に該当する場合には、その旨を情報提供ネットワークシステムに接続されたその者の使用する電子計算機に記録し、当該記録を７年間保存しなければならない（番号法第23条第２項、第26条）。
一 番号法第31条第１項の規定により、「未成年者又は成年被後見人の法36

定代理人」に本人の委任による代理人（以下「任意代理人」という。）
を加えた「代理人」と読み替えて適用する行政機関個人情報保護法第14条に規定する不開示情報に該当すると認めるとき。
二 条例で定めるところにより地方公共団体又は地方独立行政法人が開示する義務を負わない個人情報に該当すると認めるとき。
三 番号法第31条第３項の規定により、「未成年者又は成年被後見人の法定代理人」に任意代理人を加えた「代理人」と読み替えて適用する独立行政法人等個人情報保護法第14条に規定する不開示情報に該当すると認めるとき。
なお、提供される特定個人情報ではない情報提供の求め又は提供の事実が不開示情報に該当するか否かについては、情報照会者及び情報提供者又は条例事務関係情報照会者及び条例事務関係情報提供者であるそれぞれの行政機関の長等において判断することとなることに留意する必要がある。
ｃ

内閣総理大臣は、番号法第19条第８号又は第９号の規定により特定個人情報の提供の求め又は提供があったときは、ａ及びｂに規定する事項を情報提供ネットワークシステムに記録し、当該記録を７年間保存しなければならない（番号法第23条第３項、第26条）。

ｄ

情報提供等の記録に記録された特定個人情報については、番号法において、一般法における利用目的以外の目的のために利用することを認める規定を全て適用除外としており、利用目的以外の目的のために利用することはできない（番号法第31条第１項又は第２項により読み替えて適用される
行政機関個人情報保護法第８条第１項及び適用除外とされる同条第２項から第４項まで、番号法第31条第３項により読み替えて適用される独立行政法人等個人情報保護法第９条第１項及び適用除外とされる同条第２項から第４項まで、番号法第31条第４項により読み替えて準用される独立行政法
人等個人情報保護法第９条第１項）。
地方公共団体等が保有する情報提供等の記録については、番号法第32条の規定に基づき、行政機関等と同様の適用となるよう、個人情報保護条例の改正等が必要となる場合がある。

３ 秘密の管理及び秘密保持義務（番号法第24条、第25条、第26条）
ａ 内閣総理大臣並びに情報照会者及び情報提供者又は条例事務関係情報照会者及び条例事務関係情報提供者は、情報提供等事務（番号法第19条第８号の規定による特定個人情報の提供の求め又は提供に関する事務をいう。）
又は条例事務関係情報提供等事務（同第19条第９号の規定による特定個人情報の提供の求め又は提供に関する事務をいう。）に関する秘密について、その漏えいの防止その他の適切な管理のために、情報提供ネットワークシ

37ステム並びに情報照会者及び情報提供者又は条例事務関係情報照会者及び条例事務関係情報提供者が情報提供等事務又は条例事務関係情報提供等事
務に使用する電子計算機の安全性及び信頼性を確保することその他の必要な措置を講じなければならない（番号法第24条、第26条）。
ｂ

情報提供等事務又は条例事務関係情報提供等事務若しくは情報提供ネットワークシステムの運営に関する事務に従事する者又は従事していた者は、その業務に関して知り得た当該事務に関する秘密を漏らし、又は盗用してはならない（番号法第25条、第26条）。

38

第４－３－⑷ 収集・保管制限（関係条文）
・番号法 第20条●

収集・保管の制限（番号法第20条）
何人も、番号法第19条各号のいずれかに該当する場合を除き、他人 （ 注 ） の個人番号を含む特定個人情報を収集又は保管してはならない。
（ 注 ） 番 号 法 第 15条 及 び 第 20条 に お い て 、 他 人 と は 「 自 己 と 同 一 の 世 帯 に 属 す る 者 以外の者」であり、子、配偶者等の自己と同一の世帯に属する者の特定個人情報は、同法第19条各号のいずれかに該当しなくても、収集又は保管することができる。

Ａ

収集制限「収集」とは、集める意思を持って自己の占有に置くことを意味し、例
えば、人から個人番号を記載したメモを受け取ること、人から聞き取った
個人番号をメモすること等、直接取得する場合のほか、電子計算機等を操作して個人番号を画面上に表示させ、その個人番号を書き取ること、プリントアウトすること等を含む。一方、特定個人情報の提示を受けただけでは、「収集」に当たらない。
＊

市立図書館の利用カードとして個人番号カードを利用する場合において、図書の貸出し等は個人番号利用事務等ではないため、市立図書館の職員は、個人番号を利用してはならず、個人番号をコピーしてはならない。

＊

甲市役所の職員は、個人番号利用事務以外の業務において、申請者から、本人確認書類として個人番号カードを示された場合、同カードを利用して本人確認することができるが、同カードに記載された個人番号を書き写す又は個人番号カードの個人番号が記載された部分をコピーする等により個人番号を収集し、それをファイルに編綴して、執務室内に保管してはならない。

＊

番号法第10条において、最初に個人番号利用事務等の委託をした者である行 政機関等又は地方公共団体等の許諾を得ずに当該個人番号利用事務等の再委託を行うことは認められない点が明示されており、当該再委託に伴う特定個人情報の提供は、同法第19条各号のいずれにも該当しない。
このため、最初に個人番号利用事務等の委託をした者である行政機関等又は地方公共団体等の許諾を得ていることを確認せずに当該個人番号利用事務等の再委託を受け、結果として、最初に個人番号利用事務等の委託をした者である行政機関等又は地方公共団体等の許諾を得ていない再委託に伴って特定個人情報を収集した場合、番号法違反と判断される可能性がある。

39ただし、例えば、個人番号を取り扱う委託業務であることが委託契約書等において明らかでないなど、当該再委託が「個人番号利用事務等の再委託」に該当することを、当該再委託を受ける者が認識できない状況で再委託が行われていた場合は、
一般に、特定個人情報を収集したとは解されない。

Ｂ

保管制限と廃棄個人番号は、番号法で限定的に明記された事務を処理するために収集又は保管されるものであるから、それらの事務を行う必要がある場合に限り
特定個人情報を保管し続けることができる。また、行政機関等及び地方公共団体等が保有する個人番号が記載された文書等については、各機関が定める文書管理に関する規程等によって保存期間が一般的に定められており、これらの文書等に記載された個人番号については、その期間保管することとなる。
一方、それらの事務を処理する必要がなくなった場合で、文書管理に関する規程等によって定められている保存期間を経過した場合には、個人番号をできるだけ速やかに廃棄又は削除しなければならない。
＊

扶養控除等申告書は、所得税法施行規則第76条の３により、当該申告書の提 出期限（毎年最初に給与等の支払を受ける日の前日まで）の属する年の翌年１月10日の翌日から７年を経過する日まで保存することとなっていることから、当該期間を経過した場合には、当該申告書に記載された個人番号を保管しておく必要はなく、
番号法上、原則として、個人番号が記載された扶養控除等申告書をできるだけ速やかに廃棄しなければならない。
そのため、個人番号が記載された扶養控除等申告書等の書類については、保存期間経過後における廃棄を前提とした保管体制をとることが望ましい。

＊

地方公共団体が保有する個人番号が記載された文書については、各地方公共団体が定める文書管理に関する規程等に基づき、保存期間満了日まで保存することとなっているが、当該期間を経過した場合には、番号法上、原則として、個人番号が記載された文書をできるだけ速やかに廃棄しなければならない。

※

廃棄方法等の具体的な内容については、「（別添）特定個人情報に関する安全管理措置（行政機関等・地方公共団体等編）」を参照のこと。

40

第４－３－⑸ 本人確認
（関係条文）
・番号法 第16条●

本人確認（番号法第16条）
本人確認については、番号法、番号法施行令、番号法施行規則及び個人番号利用事務実施者が認める方法に従うこととなるため、適切に対応する必要がある。

〈参考１：本人確認の概要〉
番号法、番号法施行令及び番号法施行規則における本人確認の概要は、次のとおりである。この項目において、「法」は番号法、「令」は番号法施行
令、「規」は番号法施行規則をいう（番号法施行規則第１条第１項第１号の場合は、「規１①一」と表記する。）。
①

本人から個人番号の提供を受ける場合
ⅰ 個人番号カードの提示を受ける場合「個人番号カード」（法16）ⅱ

ⅰ以外の場合（ⅰ）書類の提示を受ける場合等「番号確認書類」＋「本人の身元確認書類」（令12①一）（令12①二）

住民票の写し等

運転免許証等（規１）
困難な場合（規２③）

困難な場合
（規２①）

財務大臣等の特則（規２④）
電話による場合（規２⑤）
特定の個人と同一の者であることが明らかな場合（規２⑥）（ⅱ）電子情報処理組織を使用して個人番号の提供を受ける場合
個 人 番 号 カ ー ド の ICチ ッ プ の 読 み 取 り 、 電 子 署 名 等 の 送 信 、 個 人 番 号 利 用 事
務実施者による地方公共団体情報システム機構への確認等（規３）41②

本人の代理人から個人番号の提供を受ける場合

ⅰ

書類の提示を受ける場合等「代理権確認書類」＋「代理人の身元確認書類」＋「本人の番号確認書類」（令12③一）（令12③二）（令12③三）戸籍謄本、

個人番号カード、

本人に係る

委任状等

運転免許証等

個人番号カード等（規６①一、二）

（規７①）

（規８）

困難な場合

代理人が法人の場合

困難な場合（規６①三）

（規７②）

（規９⑤）

代理人が法人の困難な場合

場合（規６②）（規９①）
財務大臣等の特則（規９②）

電話による場合

電話による場合

（規９③）

（規９③）
特定の個人と同一の者であることが明らかな場
合（規９④）

ⅱ

電子情報処理組織を使用して個人番号の提供を受ける場合
代理権証明情報及び代理人の電子署名等の送信、個人番号利用事務実施者による地方公共団体情報システム機構への確認等（規10）※

書面の送付により個人番号の提供を受ける場合は、上記で提示を受けることとされている書類又はその写しの提出を受けなければならない（規11）。

〈参考２：通知カードの廃止に係る経過措置〉「情報通信技術の活用による行政手続等に係る関係者の利便性の向上並びに行政運営の簡素化及び効率化を図るための行政手続等における情報通信の技術の利用に関する法律等の一部を改正する法律」（令和元年法律第16号。
以下「デジタル手続法」という。）の一部施行により、これまで番号確認書類として利用可能であった通知カード（デジタル手続法第４条の規定による改正前の番号法第７条第１項に規定する通知カードをいう。）は廃止された。
ただし、経過措置が設けられており、個人番号利用事務等実施者が、通知カードの交付を受けている者から個人番号の提供を受けるときは、通知カー
ドの廃止日（令和２年５月25日）以後、当該通知カードに係る記載事項に変更がない場合に限り、従来と同様に、次に掲げる方法により、通知カードを本人確認に利用することができる。なお、当該廃止日前に当該通知カードに係る記載事項に変更があった場合に、市町村長から記載事項の変更の措置を受けていなければ、当該経過措置は適用されない。

42

①

本人から個人番号の提供を受ける場合「通知カード」＋「本人の身元確認書類」（旧法 （ 注 １ ） 16）（旧規 （ 注 ２ ） １①）
運転免許証等（旧規１①一、二）困難な場合（旧規１①三）
財務大臣等の特則（旧規１③一から四まで）
困難な場合（旧規１③五）
特定の個人と同一の者であることが明らかな場合（旧規３⑥）②

本人の代理人から個人番号の提供を受ける場合「代理権確認書類」＋「代理人の身元確認書類」＋「本人の番号確認書類」（旧令 （ 注 ３ ） 12②一）（旧令12②二）（旧令12②三）

戸籍謄本、

個人番号カード、

本人に係る

委任状等

運転免許証等通知カード（旧規６①一、二）（旧規７①）

（旧規８）

困難な場合

代理人が法人の場合（旧規６①三）（旧規７②）

代理人が法人の困難な場合場合（旧規６②）（旧規９①）
財務大臣等の特則（旧規９②）

電話による場合

電話による場合（旧規９③）（旧規９③）
特定の個人と同一の者であることが明らかな場
合（旧規９④）※

書面の送付により個人番号の提供を受ける場合は、上記で提示を受けることとされている書類又はその写しの提出を受けなければならない（旧規11）。

（注１）「デジタル手続法」第４条の規定による改正前の番号法をいう。
（注２）「行政手続における特定の個人を識別するための番号の利用等に関する法律
施行規則の一部を改正する命令」（令和２年内閣府・総務省令第６号）による改
正前の番号法施行規則をいう。
（注３）「行政手続における特定の個人を識別するための番号の利用等に関する法律
施行令の一部を改正する政令」（令和２年政令第164号）による改正前の番号法
施行令をいう。

43

第４－４ その他の取扱い
第４－４－⑴ 保有個人情報の提供を受ける者に対する措置要求（関係条文）
・番号法 第30条第１項及び第２項、第31条第１項から第３項まで
・行政機関個人情報保護法 第９条
・独立行政法人等個人情報保護法 第10条●

保有個人情報の提供を受ける者に対する措置要求（行政機関個人情報保護法第９条、独立行政法人等個人情報保護法第10条）
行政機関等が保有する特定個人情報及び情報提供等の記録に関する措置要求については、番号法において適用除外となっている。
地方公共団体においては、同法第32条の規定に基づき、行政機関等と同様の適用となるよう、個人情報保護条例の改正等が必要となる場合がある。

44

第４－４－⑵ 個人情報ファイルの保有等に関する事前通知（関係条文）
・番号法 第28条、第30条、第31条
・行政機関個人情報保護法 第10条
・特定個人情報保護評価に関する規則 第２条
・特定個人情報保護評価指針● 特定個人情報ファイルを保有しようとするときの事前通知
Ａ 事前通知（番号法第30条第１項又は第31条第１項により読み替えて適用される行政機関個人情報保護法第10条第１項）
行政機関（会計検査院を除く。以下この項において同じ。）が特定個人情報ファイル（情報提供等の記録を含む。）を保有しようとするときは、
個人情報ファイルを保有しようとするときと同様、行政機関個人情報保護法第10条第１項の規定が適用される。ただし、番号法において同項が読み替えられて適用されるため、当該行政機関の長が同項各号に掲げる事項をあらかじめ通知しなければならない通知先は、総務大臣ではなく委員会である。通知した事項を変更しようとするときも、同様である。なお、特定個人情報について行政機関個人情報保護法が適用されるときは、同法の規定中「個人情報ファイル」とあるのは「個人情報ファイルである特定個人
情報ファイル」を意味する。
また、行政機関が、番号法第28条第１項に規定する評価書（全項目評価書）を委員会へ提出し、特定個人情報ファイルの取扱いについて、同条第２項の規定により委員会の承認を受け、同条第４項の規定により公表した
ときは、同法第30条第１項の規定により読み替えて適用される行政機関個人情報保護法第10条第１項の規定による委員会に対する通知があったものとみなされる。
委員会は、「特定個人情報保護評価指針」（平成26年特定個人情報保護委員会告示第４号）第８において、行政機関が「特定個人情報保護評価に関する規則」（平成26年特定個人情報保護委員会規則第１号）第２条第２号に規定する重点項目評価書を委員会へ提出し、公表したときについても、委員会に対する事前通知があったものとして取り扱うこととしている。
一方、独立行政法人等個人情報保護法には行政機関個人情報保護法第10条第１項に相当する規定がないことから、独立行政法人等は、特定個人情報ファイルを保有する前に委員会に通知する必要はない。地方公共団体等についても、同様に委員会に通知する必要はない。
Ｂ

事前通知が不要の場合（行政機関個人情報保護法第10条第２項）
行政機関個人情報保護法第10条第２項の規定は、特定個人情報ファイルについても個人情報ファイルと同様に適用されることから、同項各号に掲げる個人情報ファイル（例：行政機関の職員の給与に関する事項を記録す

45るもの）に相当する特定個人情報ファイルについては、行政機関の長は、委員会に事前に通知する必要がない。
ただし、事前に通知する必要がない場合であっても、番号法第28条の規定に基づき、特定個人情報ファイルを保有する前に特定個人情報保護評価を実施するものとされていることに留意する必要がある。
Ｃ

保有をやめたときの通知（番号法第30条第１項又は第31条第１項により読み替えて適用される行政機関個人情報保護法第10条第３項）
行政機関の長は、行政機関個人情報保護法第10条第１項に規定する事項を通知した特定個人情報ファイルについて、当該行政機関がその保有をやめたとき、又はその個人情報ファイルが同条第２項第９号に該当するに至ったときは、遅滞なく、委員会に対しその旨を通知しなければならない。
〈参考〉行政機関における委員会への事前通知等の要否
事前通知等
具体的な場面の要否
必要な場合 ①特定個人情報ファイルを保有しようとするとき （ 注 ）②通知した事項を変更しようとするとき （ 注 ）③特定個人情報ファイルの保有をやめたとき④特定個人情報ファイルにおける本人の数が千人に満たなくなったとき（注）全項目評価書を委員会に提出し、特定個人情報ファイルの取扱いについて委員会の承認を受け、公表したときは、委員会に対する事前通知があったものとみなされる。また、重点項目評
価書を委員会へ提出し、公表したときについても、委員会に対する事前通知があったものとして取り扱われる。

不要な場合

行 政 機 関 個 人 情 報 保 護 法 第 10条 第 ２ 項 各 号 に 掲 げ る 個 人 情報ファイルに相当する特定個人情報ファイル（独立行政法人等及び地方公共団体等は、委員会へ事前通知等をする必要はない。）

46

第４－４－⑶ 開示（関係条文）
・番号法 第30条第１項及び第２項、第31条第１項から第３項まで
・行政機関個人情報保護法 第12条から第26条まで
・独立行政法人等個人情報保護法 第12条から第26条まで●

開示（番号法第30条第１項又は第２項により読み替えて適用される行政機
関個人情報保護法第12条から第26条まで又は独立行政法人等個人情報保護法第12条から第26条まで。情報提供等の記録については番号法第31条第１項から第３項までにより読み替えて適用される行政機関個人情報保護法第12条から第26条まで又は独立行政法人等個人情報保護法第12条から第26条まで。番号法施行令第33条）
行政機関の保有する特定個人情報については、個人情報と同様、行政機関
個人情報保護法の規定により、何人も行政機関の長に対して自己を本人とする保有個人情報である特定個人情報の開示を請求することができる（行政機関個人情報保護法第12条第１項。独立行政法人等についての独立行政法人等
個人情報保護法も同じ。）。
ただし、特定個人情報については、次のＡからＤまでについて行政機関個人情報保護法及び独立行政法人等個人情報保護法と異なる規定となっているので留意する必要がある。
地方公共団体においては、番号法第32条の規定に基づき、行政機関等と同様の適用となるよう、個人情報保護条例の改正等が必要となる場合がある。
Ａ

代理人の範囲の拡大
未成年者又は成年被後見人の法定代理人のほか、任意代理人が本人に代わって開示の請求をすることができる。

Ｂ

事案の移送の禁止
情報提供等の記録については、事案の移送が禁止されている。

Ｃ

他の法令による開示の実施との調整
行 政 機 関 個 人 情 報 保 護 法 第 25条 及 び 独 立 行 政 法 人 等 個 人 情 報 保 護 法 第25条の適用を除外し、他の法令の規定に基づき開示することとされている場合であっても、開示の実施の調整は行わないこととしている。

Ｄ

開示請求の手数料の免除
開示請求に係る手数料について、経済的困難その他特別の理由があると認めるときは免除することができる。

47

第４－４－⑷ 訂正（関係条文）
・番号法 第30条第１項及び第２項、第31条第１項から第３項まで
・行政機関個人情報保護法 第27条から第35条まで
・独立行政法人等個人情報保護法 第27条から第35条まで●

訂正（番号法第30条第１項又は第２項により読み替えて適用される行政機
関個人情報保護法第27条から第35条まで又は独立行政法人等個人情報保護法第27条から第35条まで。情報提供等の記録については番号法第31条第１項から第３項までにより読み替えて適用される行政機関個人情報保護法第27条から第35条まで又は独立行政法人等個人情報保護法第27条から第35条
まで）
行政機関の保有する特定個人情報については、個人情報と同様、行政機関
個人情報保護法の規定により、何人も行政機関の長に対して自己を本人とする特定個人情報で開示を受けたものについての訂正を請求することができる（行政機関個人情報保護法第27条第１項。独立行政法人等についての独立行
政法人等個人情報保護法も同じ。）。
ただし、特定個人情報については、次のＡからＣまでについて行政機関個人情報保護法及び独立行政法人等個人情報保護法と異なる規定となっているので留意する必要がある。
地方公共団体においては、番号法第32条の規定に基づき、行政機関等と同様の適用となるよう、個人情報保護条例の改正等が必要となる場合がある。
Ａ

代理人の範囲の拡大
特定個人情報の開示の場合と同様、任意代理人が本人に代わって訂正の請求をすることができる。

Ｂ

事案の移送の禁止
特定個人情報の開示の場合と同様、情報提供等の記録については事案の移送が禁止されている。

Ｃ

訂正を実施した場合の通知先の変更
情報提供等の記録について訂正を実施した場合において必要があるときは、同一の記録を保有する者である内閣総理大臣及び情報照会者又は情報提供者（自己を除く。）に通知するものとしている。

48

第４－４－⑸ 利用停止
（関係条文）
・番号法 第30条第１項及び第２項、第31条第１項から第３項まで
・行政機関個人情報保護法 第36条から第41条まで
・独立行政法人等個人情報保護法 第36条から第41条まで●

利用停止（番号法第30条第１項又は第２項により読み替えて適用される行
政機関個人情報保護法第36条から第41条まで又は独立行政法人等個人情報保護法第36条から第41条まで。情報提供等の記録については番号法第31条
第１項から第３項までにより適用が除外される行政機関個人情報保護法第４章第３節又は独立行政法人等個人情報保護法第４章第３節）
行政機関の保有する特定個人情報については、個人情報と同様、行政機関
個人情報保護法の規定により、何人も、自己を本人とする保有個人情報が適法に取得されたものでないとき等のときは、その利用の停止、消去又は提供の停止（以下「利用停止」という。）を請求することができる（行政機関個人情報保護法第36条第１項。独立行政法人等についての独立行政法人等個人情報保護法も同じ。）。
ただし、特定個人情報については、次のＡからＣまでについて行政機関個人情報保護法及び独立行政法人等個人情報保護法と異なる規定となっているので留意する必要がある。
地方公共団体においては、番号法第32条の規定に基づき、行政機関等と同様の適用となるよう、個人情報保護条例の改正等が必要となる場合がある。
Ａ

代理人の範囲の拡大
特定個人情報の開示の場合と同様、任意代理人が本人に代わって利用停止の請求をすることができる。

Ｂ

請求事由の追加等
番号法第19条、第20条又は第29条の規定に違反して特定個人情報が利用され、又は提供されているときは、利用停止の請求をすることができる。

Ｃ

情報提供等の記録の取扱い
情報提供等の記録については、情報提供ネットワークシステムにおいて自動保存されるものであり目的外利用及び提供の規定に違反した事態が想定されないこと等から、利用停止の請求をすることができない。

49

第４－５ 特定個人情報保護評価（関係条文）
・番号法 第21条、第27条、第28条
・特定個人情報保護評価に関する規則
・特定個人情報保護評価指針
１

特定個人情報保護評価（番号法第27条、第28条）
特定個人情報保護評価は、評価実施機関 （ 注 ） が、特定個人情報ファイルを取り扱う事務における当該特定個人情報ファイルの取扱いについて自ら評価するものである。評価実施機関は、特定個人情報ファイルを保有しようとする又は保有する場合は、当該特定個人情報ファイルの取扱いが個人のプライ
バシー等の権利利益に与え得る影響を予測した上で特定個人情報の漏えいその他の事態を発生させるリスクを分析し、このようなリスクを軽減するための適切な措置を講じていることを確認の上、基礎項目評価書、重点項目評価書又は全項目評価書（以下「特定個人情報保護評価書」という。）において自ら宣言するものである。
※

特定個人情報保護評価の詳細については、特定個人情報保護評価に関する規則及び特定個人情報保護評価指針を参照のこと。

（ 注 ） 評 価 実 施 機 関 と は 、 番 号 法 第 28条 及 び 特 定 個 人 情 報 保 護 評 価 に 関 す る 規 則 の 規定に基づき特定個人情報保護評価を実施する同法第２条第14項に規定する行政機関の長等をいう。

２

特定個人情報保護評価書に記載した措置の実施
評価実施機関は、個人のプライバシー等の権利利益に影響を与え得る特定
個人情報の漏えいその他の事態を発生させるリスクを軽減するための措置として特定個人情報保護評価書に記載した全ての措置を講ずるものとする。

３

特定個人情報保護評価に係る違反に対する措置
特定個人情報保護評価を実施していない場合、特定個人情報ファイルの適正な取扱いの確保のための措置が適切に講じられていないおそれがある。このような場合に、情報連携を行わせると不適切な形で特定個人情報ファイル
がネットワークを通じてやり取りされることとなり、適切に取り扱われている他の事務やシステムにまで悪影響を及ぼすおそれがあることから、特定個
人情報保護評価の実施が義務付けられているにもかかわらずこれを実施していない場合は、情報連携を行うことが禁止されている（番号法第21条第２項
第２号、第28条第６項）。

50

第４－６ 行政機関個人情報保護法等の主な規定
行政機関等は、特定個人情報の適正な取扱いについて、次のとおり行政機
関個人情報保護法及び独立行政法人等個人情報保護法の適用を受けるので留意する必要がある。具体的な取扱いについては、従来と同様に、指針等によることを前提としている。
地方公共団体においては、番号法第32条の規定に基づき、行政機関等と同様の適用となるよう、個人情報保護条例の改正等が必要となる場合がある。
ここでは、行政機関個人情報保護法の規定を例として挙げる。
Ａ 個人情報の保有の制限等（行政機関個人情報保護法第３条）
ａ 利用目的の特定（第１項）
行政機関は、個人情報を保有するに当たっては、法令の定める所掌事務を遂行するため必要な場合に限り、かつ、その利用の目的をできる限り特定しなければならない。
ｂ

保有の制限（第２項）
行政機関は、ａの規定により特定された利用の目的（以下「利用目的」という。）の達成に必要な範囲を超えて、個人情報を保有してはならない。

ｃ

利用目的の変更（第３項）
行政機関は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。

Ｂ

利用目的の明示（行政機関個人情報保護法第４条）
行政機関は、本人から直接書面（電磁的記録を含む。）に記録された当該本人の個人情報を取得するときは、次に掲げる場合を除き、あらかじめ、本人に対し、その利用目的を明示しなければならない。
一 人の生命、身体又は財産の保護のために緊急に必要があるとき。
二 利用目的を本人に明示することにより、本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがあるとき。
三 利用目的を本人に明示することにより、国の機関、独立行政法人等、地方公共団体又は地方独立行政法人が行う事務又は事業の適正な遂行に支障を及ぼすおそれがあるとき。
四 取得の状況からみて利用目的が明らかであると認められるとき。

Ｃ

保有個人情報の正確性の確保（行政機関個人情報保護法第５条）
行政機関の長は、利用目的の達成に必要な範囲内で、保有個人情報が過去又は現在の事実と合致するよう努めなければならない。

51

Ｄ 個人情報ファイル簿の作成及び公表（行政機関個人情報保護法第11条）
ａ 個人情報ファイル簿の作成及び公表（第１項）
行政機関の長は、行政機関個人情報保護法施行令第10条で定めるところにより、当該行政機関が保有している個人情報ファイルについて、それぞれ次に掲げる事項を記載した帳簿（以下「個人情報ファイル簿」という。）
を作成し、公表しなければならない。
一 個人情報ファイルの名称
二 当該行政機関の名称及び個人情報ファイルが利用に供される事務をつ
かさどる組織の名称
三 個人情報ファイルの利用目的
四 個人情報ファイルに記録される項目（以下Ｄにおいて「記録項目」という。）及び本人（他の個人の氏名、生年月日その他の記述等によらないで検索し得る者に限る。ｂにおいて同じ。）として個人情報ファイルに記録される個人の範囲（以下Ｄにおいて「記録範囲」という。）
五 個人情報ファイルに記録される個人情報（以下Ｄにおいて「記録情報」という。）の収集方法
六 記録情報に要配慮個人情報が含まれるときは、その旨
七 記録情報を当該行政機関以外の者に経常的に提供する場合には、その提供先
八 開示、訂正又は利用停止の請求を受理する組織の名称及び所在地
九 訂正又は利用の停止、消去若しくは提供の停止について他の法律又はこれに基づく命令により特別の手続が定められているときは、その旨
十 その他行政機関個人情報保護法施行令第11条で定める事項ｂ

個人情報ファイル簿への掲載の適用除外（第２項）
ａの規定は、次に掲げる個人情報ファイルについては、適用しない。
一 国の安全、外交上の秘密その他の国の重大な利益に関する事項を記録する個人情報ファイル
二 犯罪の捜査、租税に関する法律の規定に基づく犯則事件の調査又は公訴の提起若しくは維持のために作成し、又は取得する個人情報ファイル
三 行政機関の職員又は職員であった者に係る個人情報ファイルであって、専らその人事、給与若しくは福利厚生に関する事項又はこれらに準ずる事項を記録するもの（行政機関が行う職員の採用試験に関する個人情報
ファイルを含む。）
四 専ら試験的な電子計算機処理の用に供するための個人情報ファイル
五 行政機関個人情報保護法第10条第１項の規定による通知又はａ（同法第11条第１項）の規定による公表に係る個人情報ファイルに記録されている記録情報の全部又は一部を記録した個人情報ファイルであって、その利用目的、記録項目及び記録範囲が当該通知に係るこれらの事項の範
囲内のもの

52

六

１年以内に消去することとなる記録情報のみを記録する個人情報ファ
イル
七 資料その他の物品若しくは金銭の送付又は業務上必要な連絡のために利用する記録情報を記録した個人情報ファイルであって、送付又は連絡の相手方の氏名、住所その他の送付又は連絡に必要な事項のみを記録するもの
八 職員が学術研究の用に供するためその発意に基づき作成し、又は取得する個人情報ファイルであって、記録情報を専ら当該学術研究の目的のために利用するもの
九 本人の数が行政機関個人情報保護法施行令で定める数に満たない個人
情報ファイル十 三から九までに掲げる個人情報ファイルに準ずるものとして行政機関
個人情報保護法施行令で定める個人情報ファイルｃ

個人情報ファイル簿の一部不記載（第３項）
ａの規定にかかわらず、行政機関の長は、記録項目の一部若しくは個人
情報ファイルに記録される個人情報の収集方法若しくは同情報を当該行政機関以外の者に経常的に提供する場合の提供先を個人情報ファイル簿に記載し、又は個人情報ファイルを個人情報ファイル簿に掲載することにより、利用目的に係る事務の性質上、当該事務の適正な遂行に著しい支障を及ぼすおそれがあると認めるときは、その記録項目の一部若しくは事項を記載
せず、又はその個人情報ファイルを個人情報ファイル簿に掲載しないことができる。

Ｅ 審査請求（行政機関個人情報保護法第42条から第44条まで）
Ｅ－１ 審理員による審理手続に関する規定の適用除外（第42条第１項）
開示決定等、訂正決定等、利用停止決定等又は開示請求、訂正請求若しくは利用停止請求に係る不作為に係る審査請求については、「行政不服審査法」（平成26年法律第68号）第９条（審理員）、第17条（審理員となるべき者の名簿）、第24条（審理手続を経ないでする却下裁決）、第２章第３節（審理手続）及び第４節（行政不服審査会等への諮問）並びに第50条第２項（裁決の方式）の規定を適用しない。
Ｅ－２ 審査会への諮問（第43条第１項）
開示決定等、訂正決定等、利用停止決定等又は開示請求、訂正請求若しくは利用停止請求に係る不作為について審査請求があったときは、当該審査請
求に対する裁決をすべき行政機関の長は、次の各号のいずれかに該当する場
合を除き、情報公開・個人情報保護審査会（審査請求に対する裁決をすべき
行政機関の長が会計検査院長である場合にあっては、別に法律で定める審査会）に諮問しなければならない。

53

一
二

審査請求が不適法であり、却下する場合
裁決で、審査請求の全部を認容し、当該審査請求に係る保有個人情報の全部を開示することとする場合（当該保有個人情報の開示について反対の意思を表示した意見書（Ｅ－３及びＥ－４において「反対意見書」という。）が提出されている場合を除く。）
三 裁決で、審査請求の全部を認容し、当該審査請求に係る保有個人情報の訂正をすることとする場合
四 裁決で、審査請求の全部を認容し、当該審査請求に係る保有個人情報の利用停止をすることとする場合
Ｅ－３ 諮問をした旨の通知（第43条第２項）
Ｅ－２の規定により諮問をした行政機関の長は、次に掲げる者に対し、諮問をした旨を通知しなければならない。
一 審査請求人及び参加人（行政不服審査法第13条第４項に規定する参加人をいう。以下この項及びＥ－４において同じ。）
二 開示請求者、訂正請求者又は利用停止請求者（これらの者が審査請求人
又は参加人である場合を除く。）
三 当該審査請求に係る保有個人情報の開示について反対意見書を提出した
第三者（当該第三者が審査請求人又は参加人である場合を除く。）
Ｅ－４ 第三者からの審査請求を棄却する場合等における手続（第44条第１項）
次の各号のいずれかに該当する裁決をする場合、行政機関の長は、意見書の提出の機会を与えられた第三者が当該第三者に関する情報の開示について
反対意見書を提出した場合において、開示決定をするときは、開示決定の日と開示を実施する日との間に少なくとも２週間を置かなければならない。この場合において、行政機関の長は、開示決定後直ちに、反対意見書を提出した第三者に対し、開示決定をした旨及びその理由並びに開示を実施する日を
書面により通知しなければならない。
一 開示決定に対する第三者からの審査請求を却下し、又は棄却する裁決
二 審査請求に係る開示決定等（開示請求に係る保有個人情報の全部を開示する旨の決定を除く。）を変更し、当該審査請求に係る保有個人情報を開示する旨の裁決（第三者である参加人が当該第三者に関する情報の開示に反対の意思を表示している場合に限る。）
Ｆ

苦情の処理（行政機関個人情報保護法第48条）
行政機関の長は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。

54

（別添）特定個人情報に関する安全管理措置（行政機関等・地方公共団体等編）【目次】
１ 安全管理措置の検討手順 ......................................... 56
Ａ 個人番号を取り扱う事務の範囲の明確化 .......................... 56
Ｂ 特定個人情報等の範囲の明確化 .................................. 56
Ｃ 事務取扱担当者の明確化 ........................................ 56
Ｄ 基本方針の策定 ................................................ 56
Ｅ 取扱規程等の見直し等 .......................................... 57
２ 講ずべき安全管理措置の内容 ..................................... 58
Ａ 基本方針の策定 ................................................ 58
Ｂ 取扱規程等の見直し等 .......................................... 58
Ｃ 組織的安全管理措置 ............................................ 59
ａ 組織体制の整備 .............................................. 59
ｂ 取扱規程等に基づく運用 ...................................... 60
ｃ 取扱状況を確認する手段の整備 ................................ 60
ｄ 情報漏えい等事案に対応する体制等の整備 ...................... 60
ｅ 取扱状況の把握及び安全管理措置の見直し ...................... 61
Ｄ 人的安全管理措置 .............................................. 61
ａ 事務取扱担当者の監督 ........................................ 61
ｂ 事務取扱担当者等の教育 ...................................... 61
ｃ 法令・内部規程違反等に対する厳正な対処 ...................... 62
Ｅ 物理的安全管理措置 ............................................ 62ａ 特定個人情報等を取り扱う区域の管理 .......................... 62
ｂ 機器及び電子媒体等の盗難等の防止 ............................ 63ｃ 電子媒体等の取扱いにおける漏えい等の防止 .................... 63
ｄ 個人番号の削除、機器及び電子媒体等の廃棄 .................... 64
Ｆ 技術的安全管理措置 ............................................ 65ａ アクセス制御 ................................................ 65ｂ アクセス者の識別と認証 ...................................... 65ｃ 不正アクセス等による被害の防止等 ............................ 65
ｄ 情報漏えい等の防止 .......................................... 66

55

１

安全管理措置の検討手順
行政機関等及び地方公共団体等は、個人番号及び特定個人情報（以下「特定個人情報等」という。）の取扱いを検討するに当たって、個人番号を取り扱う事務の範囲及び特定個人情報等の範囲を明確にした上で、特定個人情報等を取り扱う職員（以下「事務取扱担当者」という。）を明確にしておく必要がある。
これらを踏まえ、特定個人情報等の適正な取扱いの確保について組織として取り組むために、特定個人情報等の安全管理に関する基本方針（以下「基本方針」という。）を策定することが重要である。
行政機関等は、個人情報の保護に関する管理規程等及び取扱規程等の見直し等を行い、特定個人情報等を取り扱う体制の整備及び情報システムの改修等を行う必要がある。地方公共団体等は、個人情報の保護に関する取扱規程等の見直し等を行い、特定個人情報等を取り扱う体制の整備及び情報システ
ムの改修等を行う必要がある。
行政機関等及び地方公共団体等は、特定個人情報等の取扱いに関する安全管理措置について、次のような手順で検討を行う必要がある。検討に際し、
特定個人情報保護評価を実施した事務については、Ａ～Ｃを省略し、Ｄ～Ｅを実施することも考えられる。
Ａ

個人番号を取り扱う事務の範囲の明確化
行政機関等及び地方公共団体等は、個人番号利用事務等の範囲を明確にしておかなければならない。→ガイドライン第４－１－⑴ １ Ａ参照

Ｂ

特定個人情報等の範囲の明確化
行政機関等及び地方公共団体等は、Ａで明確化した事務において取り扱う特定個人情報等の範囲を明確にしておかなければならない （ 注 ） 。
（注）特定個人情報等の範囲を明確にするとは、事務において使用される個人番号及び個人番号と関連付けて管理される個人情報（氏名、生年月日等）の範囲を明確にすることをいう。

Ｃ

事務取扱担当者の明確化
行政機関等及び地方公共団体等は、Ａで明確化した事務に従事する事務取扱担当者を明確にしておかなければならない。

Ｄ

基本方針の策定
特定個人情報等の適正な取扱いの確保について組織として取り組むために、基本方針を策定することが重要である。→ ２ Ａ参照

56

Ｅ

取扱規程等の見直し等
行政機関等は、個人情報の保護に関する管理規程等の見直し等を行わなければならない。また、行政機関等及び地方公共団体等は、Ａ～Ｃで明確化した事務における特定個人情報等の適正な取扱いを確保するために、個人情報の保護に関する取扱規程等の見直し等を行わなければならない。→
２ Ｂ参照

57

２

講ずべき安全管理措置の内容
本セクション ２ においては、特定個人情報等の保護のために必要な安全管
理措置について本文で示し、その具体的な手法の例示を記述している。なお、手法の例示は、これに限定する趣旨で記載したものではなく、また、個別ケ
ースによって別途考慮すべき要素があり得るので注意を要する。

行政機関等は、安全管理措置を講ずるに当たり、番号法、行政機関個人情報保護法等関係法令、本ガイドライン、指針等 （ 注 ） 及び政府機関の情報セキュリティ対策のための統一基準等に準拠した各府省庁等における情報セキュ
リティポリシー等を遵守することを前提とする。
地方公共団体等は、安全管理措置を講ずるに当たり、番号法、個人情報保護条例、本ガイドライン、指針等及び地方公共団体における情報セキュリティポリシーに関するガイドライン等を参考に地方公共団体等において策定した情報セキュリティポリシー等を遵守することを前提とする。
行政機関等及び地方公共団体等は、特定個人情報保護評価を実施した事務については、その内容を遵守するものとする。また、個人番号利用事務の実施に当たり、接続する情報提供ネットワークシステム等の接続規程等が示す
安全管理措置等を遵守することを前提とする。
（注）「指針等」とは、「行政機関の保有する個人情報の適切な管理のための措置に関する指針について（平成 16 年９月 14 日総管情第 84 号総務省行政管理局長通知）」、「独立行政法人等の保有する個人情報の適切な管理のための措置に関する指針について（平成 16 年９月 14 日総管情第 85 号総務省行政管理局長通知）」及
び「地方公共団体における個人情報保護対策について（平成 15 年６月 16 日総行情第 91 号総務省政策統括官通知）」等をいう。

Ａ

基本方針の策定
特定個人情報等の適正な取扱いの確保について組織として取り組むために、基本方針を策定することが重要である。

Ｂ

取扱規程等の見直し等
１ Ａ～Ｃで明確化した事務において事務の流れを整理し、特定個人情報等の具体的な取扱いを定めるために、取扱規程等の見直し等を行わなければならない。
特に、特定個人情報等の複製及び送信、特定個人情報等が保存されている電子媒体等の外部への送付及び持ち出し等については、責任者の指示に従い行うことを定めること等が重要である。

58

≪手法の例示≫＊

取扱規程等は、次に掲げる管理段階ごとに、取扱方法、責任者・事務取扱担
当者及びその任務等について定めることが考えられる。具体的に定める事項については、C～F に記述する安全管理措置を織り込むことが重要である。

＊

①

取得段階

②

利用段階

③

保存段階

④

提供段階

⑤

削除・廃棄段階

個人番号利用事務の場合、例えば、次のような事務フローに即して、手続を明確にしておくことが重要である。
①

住民等からの申請書を受領する方法（本人確認、個人番号の確認等）②

住民等からの申請書をシステムに入力・保存する方法③

個人番号を含む証明書等の作成・印刷方法④

個人番号を含む証明書等を住民等に交付する方法⑤

申請書及び本人確認書類等の保存方法⑥

保存期間を経過した書類等の廃棄方法

Ｃ

組織的安全管理措置
行政機関等及び地方公共団体等は、特定個人情報等の適正な取扱いのために、次に掲げる組織的安全管理措置を講じなければならない。
ａ

組織体制の整備
安全管理措置を講ずるための組織体制を整備する。
行政機関等は、組織体制の整備として、次に掲げる事項を含める。地
方公共団体等は、次に掲げる事項を参考に、適切に組織体制を整備する。
・ 総括責任者（行政機関等に各１名）の設置及び責任の明確化
・ 保護責任者（個人番号利用事務 等を実施する課室等に各１名） の設置及び責任の明確化
・ 監査責任者の設置及び責任の明確化
・ 事務取扱担当者及びその役割の明確化
・ 事務取扱担当者が取り扱う特定個人情報等の範囲の明確化
・ 事務取扱担当者が取扱規程等に 違反している事実又は兆候を把 握した場合の責任者への報告連絡体制の整備
・ 個人番号の漏えい、滅失又は毀 損等（以下「情報漏えい等」と いう。）事案の発生又は兆候を把握した場合の職員から責任者等への報告連絡体制の整備
・ 特定個人情報等を複数の部署で 取り扱う場合の各部署の任務分 担及び責任の明確化

59ｂ

取扱規程等に基づく運用取扱規程等に基づく運用を行うとともに、その状況を確認するため、
特定個人情報等の利用状況等を記録し、その記録を一定の期間保存し、定期に及び必要に応じ随時に分析等するための体制を整備する。記録については、改ざん、窃取又は不正な削除の防止のために必要な措置を講ずるとともに、分析等を行う。
≪手法の例示≫＊記録する項目としては、次に掲げるものが挙げられる。
・

特定個人情報ファイルの利用・出力状況の記録

・

書類・媒体等の持ち運びの記録 →「持ち運び」については、 ２ Ｅｃ参照

・

特定個人情報ファイルの削除・廃棄記録

・

削除・廃棄を委託した場合、これを証明する記録等

・

特定個人情報ファイルを情報システムで取り扱う場合、事務取扱担当者の情報システムの利用状況（ログイン実績、アクセスログ等）の記録＊

情報システムの利用状況等の記録に関する分析等としては、ログイン実績、
アクセスログ等を定期に及び必要に応じ随時に分析することが考えられる。
また、ログと関連する書面の記録を照合し、確認することが考えられる。
→ ２ Ｆｃ参照

ｃ

取扱状況を確認する手段の整備
特定個人情報ファイルの取扱状況を確認するための手段を整備する。
行政機関等は、次に掲げる項目を含めて記録する。地方公共団体等は、次に掲げる項目を参考に、適切な手段を整備する。
なお、取扱状況を確認するための記録等には、特定個人情報等は記載しない。
・ 特定個人情報ファイルの名称
・ 行政機関等の名称及び特定個人 情報ファイルが利用に供される 事
務をつかさどる組織の名称
・ 特定個人情報ファイルの利用目的
・ 特定個人情報ファイルに記録さ れる項目及び本人として特定個 人
情報ファイルに記録される個人の範囲
・ 特定個人情報ファイルに記録される特定個人情報等の収集方法

ｄ

情報漏えい等事案に対応する体制等の整備
情報漏えい等の事案の発生又は兆候を把握した場合に、適切かつ迅速に対応するための体制及び手順等を整備する。
情報漏えい等の事案が発生した場合、二次被害の防止、類似事案の発生防止等の観点から、事案に応じて、事実関係及び再発防止策等を早急60に公表することが重要である。
≪手法の例示≫＊情報漏えい等の事案の発生時に、次のような対応を行うことを念頭に、体制及び手順等を整備することが考えられる。

＊

・

情報漏えい等の事案が発覚した際の報告・連絡等

・

事実関係の調査及び原因の究明

・影響を受ける可能性のある本人への連絡・委員会及び事業所管大臣への報告

・再発防止策の検討及び決定・事実関係及び再発防止策等の公表
不正アクセス、ウイルス感染の事案に加え、標的型攻撃等の被害を受けた場合の対応について、関係者において定期的に確認又は訓練等を実施することが考えられる。

ｅ

取扱状況の把握及び安全管理措置の見直し
監査責任者（地方公共団体等においては相当する者）は、特定個人情報等の管理の状況について、定期に及び必要に応じ随時に監査（外部監
査及び他部署等による点検を含む。）を行い、その結果を総括責任者（地方公共団体等においては相当する者。以下同じ。）に報告する。
総括責任者は、監査の結果等を踏まえ、必要があると認めるときは、取扱規程等の見直し等の措置を講ずる。

Ｄ

人的安全管理措置
行政機関等及び地方公共団体等は、特定個人情報等の適正な取扱いのために、次に掲げる人的安全管理措置を講じなければならない。
ａ

事務取扱担当者の監督総括責任者及び保護責任者（地方公共団体等においては相当する者。
以下同じ。）は、特定個人情報等が取扱規程等に基づき適正に取り扱われるよう、事務取扱担当者に対して必要かつ適切な監督を行う。

ｂ

事務取扱担当者等の教育総括責任者及び保護責任者は、事務取扱担当者に、特定個人情報等の適正な取扱いについて理解を深め、特定個人情報等の保護に関する意識の高揚を図るための啓発その他必要な教育研修を行う。
また、特定個人情報等を取り扱う情報システムの管理に関する事務に従事する職員に対し、特定個人情報等の適切な管理のために、情報シス
テムの管理、運用及びセキュリティ対策に関して必要な教育研修を行う。

61

総括責任者は、保護責任者に対し、課室等における特定個人情報等の適切な管理のために必要な教育研修を行う。
前記教育研修については、教育研修への参加の機会を付与するとともに、研修未受講者に対して再受講の機会を付与する等の必要な措置を講ずる。
なお、サイバーセキュリティの研修については、番号法に基づき特定
個人情報ファイルを取り扱う事務に従事する者に対して、次に掲げるところにより、特定個人情報の適正な取扱いを確保するために必要なサイ
バーセキュリティ（「サイバーセキュリティ基本法」（平成 26 年法律第104 号）第２条に規定するサイバーセキュリティをいう。）の確保に関する事項その他の事項に関する研修を行う（番号法第 29 条の２、番号法施行令第 30 条の２）。
・ 研修の計画をあらかじめ策定し、これに沿ったものとすること。
・ 研修の内容は、特定個人情報の適正な取扱いを確保するために必要なサイバーセキュリティの確保に関する事項として、情報システムに対する不正な活動その他のサイバーセキュリティに対する脅威及び当該脅威による被害の発生又は拡大を防止するため必要な措置に関するものを含むものとすること。
・ 特定個人情報ファイルを取り扱う事務に従事する者の全てに対して、
おおむね一年ごとに研修を受けさせるものとすること。
ｃ

法令・内部規程違反等に対する厳正な対処
法令又は内部規程等に違反した職員に対し、法令又は内部規程等に基
づき厳正に対処する。

Ｅ

物理的安全管理措置
行政機関等及び地方公共団体等は、特定個人情報等の適正な取扱いのために、次に掲げる物理的安全管理措置を講じなければならない。
ａ

特定個人情報等を取り扱う区域の管理
特定個人情報ファイルを取り扱う情報システム（サーバ等）を管理する区域（以下「管理区域」という。）を明確にし、物理的な安全管理措置を講ずる。管理区域において、入退室管理及び管理区域へ持ち込む機器等の制限等の措置を講ずる。
また、特定個人情報等を取り扱う事務を実施する区域（以下「取扱区域」という。）について、事務取扱担当者等以外の者が特定個人情報等を容易に閲覧等できないよう留意する必要がある。
行政機関等は、管理区域のうち、基幹的なサーバ等の機器を設置する室等（以下「情報システム室等」という。）を区分して管理する場合に62

は、情報システム室等について、次の①及び②に掲げる措置を講ずる。
地方公共団体等は、次の①及び②に掲げる項目を参考に、適切な措置を講ずる。
① 入退室管理・ 情報システム室等に入室する権限を有する者を定めるとともに、用件の確認、入退室の記録、部外者についての識別化、部外者が入室する場合の職員の立会い等の措置を講ずる。また、情報シス
テム室等に特定個人情報等を記録する媒体を保管するための施設を設けている場合においても、必要があると認めるときは、同様の措置を講ずる。
・ 必要があると認めるときは、情報システム室等の出入口の特定化による入退室の管理の容易化、所在表示の制限等の措置を講ずる。
・ 必要があると認めるときは、入室に係る認証機能を設定し、及びパスワード等の管理に関する定めの整備（その定期又は随時の見直しを含む。）、パスワード等の読取防止等を行うために必要な措置を講ずる。
② 情報システム室等の管理
・ 外部からの不正な侵入に備え、施錠装置、警報装置、監視設備の設置等の措置を講ずる。
ｂ

機器及び電子媒体等の盗難等の防止
管理区域及び取扱区域における特定個人情報等を取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、物理的な安全管理措置を講ずる。また、電子媒体及び書類等の庁舎内の移動等において、紛失・盗難等に留意する。
≪手法の例示≫＊

特定個人情報等を取り扱う機器、電子媒体又は書類等を、施錠できるキャビ
ネット、書庫又は必要に応じて耐火金庫等へ保管することが考えられる。

＊

特定個人情報ファイルを取り扱う情報システムが機器のみで運用されている
場合は、セキュリティワイヤー等により固定すること等が考えられる。

ｃ

電子媒体等の取扱いにおける漏えい等の防止許可された電子媒体又は機器等以外のものについて使用の制限等の必要な措置を講ずる。また、記録機能を有する機器の情報システム端末等への接続の制限等の必要な措置を講ずる。
取扱規程等の手続に基づき、特定個人情報等が記録された電子媒体又は書類等を持ち運ぶ必要が生じた場合には、容易に個人番号が判明しな

63

いよう安全な方策を講ずる。
「持ち運ぶ」とは、特定個人情報等を管理区域又は取扱区域から外へ移動させること又は当該区域の外から当該区域へ移動させることをいい、庁舎内での移動等であっても、特定個人情報等の紛失・盗難等に留意する必要がある。
≪手法の例示≫＊

特定個人情報等が記録された電子媒体を安全に持ち運ぶ方法としては、持ち出しデータの暗号化、パスワードによる保護、施錠できる搬送容器の使用、追跡可能な移送手段の利用等が考えられる。ただし、行政機関等に法定調書等をデータで提出するに当たっては、行政機関等が指定する提出方法に従う。

＊

特定個人情報等が記載された書類等を安全に持ち運ぶ方法としては、封緘、
目隠しシールの貼付を行うこと等が考えられる。

ｄ

個人番号の削除、機器及び電子媒体等の廃棄
特定個人情報等が記録された電子媒体及び書類等について、文書管理に関する規程等によって定められている保存期間を経過した場合には、個人番号をできるだけ速やかに復元不可能な手段で削除又は廃棄する。
→ガイドライン第４－３－⑷Ｂ参照
個人番号若しくは特定個人情報ファイルを削除した場合、又は電子媒体等を廃棄した場合には、削除又は廃棄した記録を保存する。また、これらの作業を委託する場合には、委託先が確実に削除又は廃棄したことについて、証明書等により確認する。
≪手法の例示≫＊

特定個人情報等が記載された書類等を廃棄する場合、焼却又は溶解、復元不可能な程度に細断可能なシュレッダーの利用、個人番号部分を復元不可能な程度にマスキングすること等の復元不可能な手段を採用することが考えられる。

＊

特定個人情報等が記録された機器及び電子媒体等を廃棄する場合、専用のデータ削除ソフトウェアの利用又は物理的な破壊等により、復元不可能な手段を採用することが考えられる。

＊

特定個人情報等を取り扱う情報システム又は機器等において、特定個人情報
ファイル中の個人番号又は一部の特定個人情報等を削除する場合、容易に復元できない手段を採用することが考えられる。

＊

個人番号が記載された書類等については、保存期間経過後における廃棄を前提とした手続を定めることが考えられる。

64

Ｆ

技術的安全管理措置
行政機関等及び地方公共団体等は、特定個人情報等の適正な取扱いのために、次に掲げる技術的安全管理措置を講じなければならない。
ａ

アクセス制御情報システムを使用して個人番号利用事務等を行う場合、事務取扱担
当者及び当該事務で取り扱う特定個人情報ファイルの範囲を限定するために、適切なアクセス制御を行う。

≪手法の例示≫＊アクセス制御を行う方法としては、次に掲げるものが挙げられる。
・

特定個人情報ファイルを取り扱うことのできる情報システム端末等を限定する。

・

各情報システムにおいて、アクセスすることのできる特定個人情報ファ
イルを限定する。

・

ユーザーＩＤに付与するアクセス権により、特定個人情報ファイルを取り扱う情報システムを使用できる者を事務取扱担当者に限定する。

・

特定個人情報ファイルへのアクセス権を付与すべき者を最小化する。

・

アクセス権を有する者に付与する権限を最小化する。

・

情報システムの管理者権限を有するユーザーであっても、情報システムの管理上特定個人情報ファイルの内容を知らなくてもよいのであれば、特定個人情報ファイルへ直接アクセスできないようにアクセス制御をする。

・

特定個人情報ファイルを取り扱う情報システムに導入したアクセス制御機能の脆弱性等を検証する。

ｂ

アクセス者の識別と認証
特定個人情報等を取り扱う情報システムは、事務取扱担当者が正当なアクセス権を有する者であることを、識別した結果に基づき認証する。

≪手法の例示≫＊事務取扱担当者の識別方法としては、ユーザーＩＤ、パスワード、磁気・Ｉ
Ｃカード、生体情報等が考えられる。

ｃ

不正アクセス等による被害の防止等
情報システムを外部等からの不正アクセス又は不正ソフトウェアから保護する仕組み等を導入し、適切に運用する。また、個人番号利用事務の実施に当たり接続する情報提供ネットワークシステム等の接続規程等が示す安全管理措置を遵守する。個人番号利用事務において使用する情報システムについて、インターネットから独立する等の高いセキュリテ
ィ対策を踏まえたシステム構築や運用体制整備を行う。

65

≪手法の例示≫＊

特定個人情報等を取り扱う情報システムと外部ネットワーク（又はその他の情報システム）との接続箇所に、ファイアウォール等を設置し、不正アクセスを遮断することが考えられる。

＊

情報システム及び機器にセキュリティ対策ソフトウェア等（ウイルス対策ソ
フトウェア等）を導入し、不正ソフトウェアの有無を確認することが考えられる。

＊

機器やソフトウェア等に標準装備されている自動更新機能等の活用により、ソフトウェア等を最新状態とすることが考えられる。

＊

定期に及び必要に応じ随時にログ等の分析を行い、不正アクセス等を検知することが考えられる。→ ２ Ｃｂ参照＊

不正アクセス等の被害に遭った場合であっても、被害を最小化する仕組み（ネットワークの遮断等）を導入し、適切に運用することが考えられる。

＊

情報システムの不正な構成変更（許可されていない電子媒体、機器の接続等、
ソフトウェアのインストール等）を防止するために必要な措置を講ずることが考えられる。

ｄ

情報漏えい等の防止
特定個人情報等をインターネット等により外部に送信する場合、通信経路における情報漏えい等を防止するための措置を講ずる。
特定個人情報ファイルを機器又は電子媒体等に保存する必要がある場
合、原則として、暗号化又はパスワードにより秘匿する。
≪手法の例示≫＊通信経路における情報漏えい等の防止策としては、通信経路の暗号化等が考
えられる。

＊

暗号化又はパスワードによる秘匿に当たっては、不正に入手した者が容易に復元できないように、暗号鍵及びパスワードの運用管理、パスワードに用いる文字の種類や桁数等の要素を考慮する。

66