実践 マイナンバーガイドライン～最新Ｑ＆Ａを含めて～

特定個人情報保護委員会事務局
事務局長 其田 真理

（留意事項）○本資料は、「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」の概要をご理解いただくために、まとめたものです。
○特定個人情報の適正な取扱いを確保するための具体的な事務に当たっては、 「特定個人情報の適正な取扱いに関するガイドラ
イン（事業者編）」を参照してください。

1

特 定 個 人 情 報 保 護 委 員 会※番号法及び関係政令に基づき２０１４（平成２６）年１月１日設置

任務
行政手続における特定の個人を識別するための番号の利用等に関する法律（平成２５年法律第２７号）に基づき、個人
番号その他の特定個人情報の有用性に配慮しつつ、その適正な取扱いを確保するために必要な措置を講じること

組織○委員長１名・委員６名（合計７名）の合議制（平成２７年中は５名、平成２８年１月から７名）（個人情報保護の有識者・情報処理技術の有識者・社会保障又は税制の有識者・民間企業の実務に関する経験者・地方六団体の推薦者を含む）

・委員長（常勤） 堀部政男（元一橋大学法学部教授）
・委 員（常勤） 阿部孝夫（元川崎市長）
嶋田実名子（元(公財)花王芸術・科学財団常務理事）
・委 員（非常勤）手塚 悟（東京工科大学コンピュータサイエンス学部教授）
加藤久和（明治大学政治経済学部教授）○委員長・委員は独立して職権を行使 （独立性の高い、いわゆる３条委員会）○任期５年・国会同意人事

主な所掌事務監視・監督○指導・助言○法令違反に対する勧告・命令○報告徴収・立入検査○ガイドラインの作成○情報提供ネットワークシステ
ムの構築等に関する措置要求

監視・
監督

特定個人情報保護
評価に関すること○特定個人情報保護
評価に関する指針の作成・公表○評価書の承認

指
針

報

国際協力

苦情処理

国会報告

特定個人情報の保護についての広報啓発国際会議への参加その他の国際連携・協
力

苦情の申出についてのあっ
せん

年次報告

広

評
価
書

行政機関・地方公共団体・独立行政法人等

意見具申
あ
っ
せ
ん

広報・
啓発

民間事業者

苦
情

内閣総理大臣に対する意見具申

個人

2

特定個人情報の適正な取扱いに関するガイドライン
安心・安全の確保
マイナンバー制度に対する国民の懸念○マイナンバーを用いた個人情報の追跡・突合が行われ、集約された個人情報が外部に漏えいするのではないか。
○他人のマイナンバーを用いた成りすまし等により財産その他の被害を負うのではないか。
○国家により個人の様々な個人情報がマイナンバーをキーに名寄せ・突合されて一元管理されるのではないか。

番号法においては、特定個人情報の適正な取扱いを確保するため、各種の保護措置が設けられています。

特定個人情報とは、マイナンバーをその内容に含む個人情報をいいます。

趣

旨○番号法の規定及びその解釈について、具体例を用いて分かりやすく解説しています。
○民間企業に対するヒアリングや企業の実務担当者が参加する検討会の議論を踏まえ、マイナンバーが実務の現場で適正に取り扱われるための具体的な指針を示しています。
＜ガイドラインの構成（共通）＞
第１ はじめに第２ 用語の定義等
特定個人情報の適正な取扱いに関するガイドライン（行政機関等・地方公共団体等編） 第３ 総論
特定個人情報の適正な取扱いに関するガイドライン（事業者編）〔 目的、適用対象、位置付け等を記述 〕（別冊）金融業務における特定個人情報の適正な取扱いに関するガイドライン 第４ 各論〔 利用の制限、安全管理、提供の制限等を記述 〕（別添）特定個人情報に関する安全管理措置

種

別

3

事業者における個人番号との関わり（個人番号関係事務）
有識者等支払調書（イメージ）・原稿依頼
・講演依頼 等

会社

支払いを
受ける者

個人番号
氏
名

1234…
番号太郎

税務署、市区町村、年金事務所
健康保険組合、ハローワーク等

個人番号1234 ･･･

原稿料等の支払い
従業員等

個人番号
の提示

・入社
・結婚
・出産 等
5678 ･･････ ･･･････ ････○本人や扶養親族の個人番号を会社に提示。

支払いを
受ける者

個人番号
氏
名

5678…
難波一郎

法定調書等
の提出

被保険者資格取得届（イメージ）

個人番号

給与の支払い社会保険料等の徴収

源泉徴収票（イメージ）

個人
番号

被保険者
氏名

資格取得
年月日

5678…

難波一郎

28.4.1

9876…

難波花子

28.4.1○従業員等、有識者等の個人番号を法定調書（源泉徴収票、支払調書等）、健康保険・厚生年金保険
被保険者資格取得届などに記載して、行政機関等に提出。

○行政機関等が、社会保障、税及び災害対策に関する特定の事務において、保有している個人情報の検索、管理のために個人番号を利用。

番号法で限定的に明記された場合を除き、個人番号を利用・提供等することはできません。

※委託を受けた者を含む。

※委託を受けた者を含む。

4

取

得

特定個人情報：個人番号をその内容に含む個人情報番号法で限定的に明記された場合【特定個人情報の提供制限】○番号法で限定的に明記された場合を除き、特定個人情報を提供してはなりません。
［本人からの提供の事例］＊従業員等（本人）は、給与の源泉徴収事務のために、事業者に対し、自己の個人番号を記載した扶養控除等申告書を提出します。
［個人番号関係事務実施者からの提供の事例］＊従業員等（個人番号関係事務実施者）は、給与の源泉徴収事務のために、事業者に対し、その扶養親族の個人番号を記載した扶養控除等申告書を提出します。

【個人番号の提供の要求】○個人番号関係事務を処理するために必要がある場合に限って、本人などに対して個人番号の提供を求めることができます。

本人ほか
会社

個人番号
個人番号
1234
･･･

5678 ･･･････････････

本人確認○何人も【個人番号の提供の求めの制限】・【特定個人情報の提供制限】・【収集・保管制限】の適用があります。
○ただし、子、配偶者等の自己と同一の世帯に属する者に対しては、番号法で限定的に明記された場合以外の場合でも、個人番号の提供を求めたり、収集・保管したりできます。

《提供を求める時期》○個人番号関係事務が発生した時点が原則。
○契約を締結した時点等の当該事務の発生が予想できた時点で求めることは可能と解されます。
［提供を求める時期の事例］＊給与所得の源泉徴収票等の作成事務の場合は、雇用契約の締結時点で個人番号の提供を求めることも可能であると解されます。
＊地代等の支払調書の作成事務の場合は、賃料の金額により契約の締結時点で支払調書の作成が不要であることが明らかである場合を除き、契約の締結時点で個人番号の提供を求めることが可能であると解されます。
【個人番号の提供の求めの制限】○番号法で限定的に明記された場合を除き、
個人番号の提供を求めてはなりません。
【収集・保管制限】＜番号法で限定的に明記された場合＞（番号法第19条各号（抄））○個人番号利用事務実施者からの提供（第１号）○個人番号関係事務実施者からの提供（第２号）○本人又は代理人からの提供（第３号）○委託、合併に伴う提供（第５号）○情報提供ネットワークシステムを通じた提供（第７号）○特定個人情報保護委員会からの提供の求め（第11号）○各議院審査等その他公益上の必要があるときの提供（第12号）○人の生命、身体又は財産の保護のための提供（第13号）○番号法で限定的に明記された場合を除き、
特定個人情報を収集してはなりません。
【本人確認】○本人から個人番号の提供を受けるときは、
個人番号カードの提示等、番号法で認められた方法で本人確認を行う必要があります。

5

特定個人情報の適正な取扱いに関するガイドライン（事業者編）」Ｑ＆Ａ（抜粋）
＜取得＞
NEW!

Ｑ４－１－２ 個人番号関係事務実施者である事業者（事業者から個人番号を収集する事務の委託を受けた者を含む。）は、従業員等の家族全員の個人番号を収集することができますか。
Ａ４－１－２ 個人番号関係事務実施者である事業者（事業者から個人番号を収集する事務の委託を受けた者を含む。）は、個人番号関係事務を処理するために必要がある場合に限って、本人又は他の個人番号関係事務実施者に対して個人番号の提供を求めることができます。
したがって、例えば、家族であっても社会保障や税における扶養親族に該当しない者などは、事業者として個人番号関係事務を処理する必要がないことから、それらの者の個人番号の提供を求めることはできません。（平成27年８月追加）（国税庁ＨＰ「国税分野におけるＦＡＱ」Ｑ２－10より）従業員や講演料等の支払先等から個人番号の提供を受けられない場合、どのように対応すればいいですか。
（答） 法定調書作成などに際し、個人番号の提供を受けられない場合でも、安易に個人番号を記載しないで書類を提出せず、個人番号の記載は、法律（国税通則法、所得税法等）で定められた義務であることを伝え、提供を求めてください。
それでもなお、提供を受けられない場合は、提供を求めた経過等を記録、保存するなどし、単なる義務違反でないことを明確にしておいてください。
経過等の記録がなければ、個人番号の提供を受けていないのか、あるいは提供を受けたのに紛失したのかが判別できません。特定個人情報保護の観点からも、経過等の記録をお願いします。
なお、法定調書などの記載対象となっている方全てが個人番号をお持ちとは限らず、そのような場合は個人番号を記載することはできませんので、個人番号の記載がないことをもって、税務署が書類を受理しないということはあり
ません。

Memo
・

6

安全管理措置等①（委託の取扱い）
会社

必要かつ適切な監督

Ａ社

必要かつ適切な監督

Ｂ社

再委託

委託

必要かつ適切な監督

Ｃ社

再々委託

間接的な監督義務【委託の取扱い】○個人番号関係事務の全部又は一部の委託者は、委託先において、番号法に基づき委託者自らが果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行わなければなりません。
《必要かつ適切な監督》○①委託先の適切な選定、②委託先に安全管理措置を遵守させるために必要な契約の締結、③委託先における特定個人情報の取扱状況の把握○委託者は、委託先の設備、技術水準、従業者に対する監督・教育の状況、その他委託先の経営環境等をあらかじめ確認しなければなりません。
○契約内容として、秘密保持義務、事業所内からの特定個人情報の持出しの禁止、特定個人情報の目的外利用の禁止、再委託における条件、漏えい事案等が発生した場合の委託先の責任、委託契約終了後の特定個人情報の返却又は廃棄、従業者に対する監督・教育、契約内容の遵守状況について報告を求める規定等を盛り込まなければなりません。
○委託者は、委託先だけではなく、再委託先・再々委託先に対しても間接的に監督義務を負います。

会社

委託

Ｘ社

再委託

Ｙ社

再々委託

Ｚ社

許諾

○個人番号関係事務の全部又は一部の委託先は、最初の委託者の許諾を得た場合に限り、再委託をすることができます。

7

特定個人情報の適正な取扱いに関するガイドライン（事業者編）」Ｑ＆Ａ（抜粋）＜委託の取扱い＞
Ｑ３－９ 実務負荷の軽減のため、再委託を行う前に、あらかじめ委託者から再委託の許諾を得ることはできますか。
Ａ３－９ 再委託につき許諾を要求する規定は、最初の委託者において、再委託先が十分な安全管理措置を講ずることのできる適切な業者かどうかを確認させるため設けられたものです。したがって、委託者が再委託の許諾をするに当たっては、再委託を行おうとする時点でその許諾を求めるのが原則です。その際、再委託先が特定個人情報を保護するための十分な措置を講じているかを確認する必要があります。
しかしながら、委託契約の締結時点において、再委託先となる可能性のある業者が具体的に特定されるとともに、適切な資料等に基づいて当該業者が特定個人情報を保護するための十分な措置を講ずる能力があることが確認され、実際に再委託が行われたときは、必要に応じて、委託者に対してその旨の報告をし、再委託の状況について委託先が委託者に対して定期的に報告するとの合意がなされている場合には、あらかじめ再委託の許諾を得ることもできると解されます。
Ｑ３－12 特定個人情報を取り扱う情報システムにクラウドサービス契約のように外部の事業者を活用している場合、番号法上の委託に該当しますか。
Ａ３－12 当該事業者が当該契約内容を履行するに当たって個人番号をその内容に含む電子データを取り扱うのかど
うかが基準となります。当該事業者が個人番号をその内容に含む電子データを取り扱わない場合には、そもそも、個
人番号関係事務又は個人番号利用事務の全部又は一部の委託を受けたとみることはできませんので、番号法上の委託には該当しません。
当該事業者が個人番号をその内容に含む電子データを取り扱わない場合とは、契約条項によって当該事業者が個人番号をその内容に含む電子データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等が考えられます。（平成27年４月更新・Ｑ９－２に分割）

Memo
・
・
・

8

安全管理措置等②（安全管理措置）

特定個人情報等：個人番号及び特定個人情報基本方針の策定取扱規程等の策定
会社

組織的安全管理措置

人的安全管理措置

物理的安全管理措置

技術的安全管理措置【安全管理措置】○個人番号及び特定個人情報の漏えい、滅失又は毀損の防止その他の適切な管理のために、必要かつ適切な安全管理措置を講じなければなりません。また、従業者に対する必要かつ適切な監督も行わなければなりません。
《基本方針の策定》○特定個人情報等の適正な取扱いの確保について組織として取り組むた
めに、基本方針を策定することが重要です。

《人的安全管理措置》○事務取扱担当者の監督・教育《取扱規程等の策定》○特定個人情報等の具体的な取扱いを定める取扱規程等を策定しなければなりません。

《物理的安全管理措置》○特定個人情報等を取り扱う区域の管理、機器及び電子媒体等の盗難等の防止、電子媒体等を持ち出す場合の漏えい等の防止、個人番号の削除、機器及び電子媒体等の廃棄《組織的安全管理措置》○組織体制の整備、取扱規程等に基づく運用、取扱状況を確認する手段の整備、情報漏えい等事案に対応する体制の整備、取扱状況の把握及び安全管理措置の見直し《技術的安全管理措置》○アクセス制御、アクセス者の識別と認証、外部からの不正アクセス等の防止、情報漏えい等の防止【中小規模事業者とは】事業者のうち従業員の数が100人以下の事業者であって、次に掲げる事業者を除く事業者をいいます。
・個人番号利用事務実施者
・委託に基づいて個人番号関係事務又は個人番号利用事務を業務として行う事業者
・金融分野（金融庁作成の「金融分野における個人情報保護に関するガイドライン」第１条第１項に定義される金融分野）の事業者
・個人情報取扱事業者○中小規模事業者に対する特例を設けることにより、実務への影響を配慮しています。
○中小規模事業者における対応方法は、参考資料（20ページ以降）を参照してください。

9特定個人情報の適正な取扱いに関するガイドライン（事業者編）」Ｑ＆Ａ（抜粋）＜安全管理措置＞
NEW!

Ｑ10－２ 事務取扱担当者には、特定個人情報等を取り扱う事務に従事する全ての者が該当しますか。
Ａ10－２ 事務取扱担当者は、一般的には、個人番号の取得から廃棄までの事務に従事する全ての者が該当すると考えられます。
ただし、事務取扱担当者に該当するか否かを判断することも重要ですが、当該事務のリスクを適切に検討し、必要かつ適切な安全管理措置を講ずることが重要です。例えば、担う役割に応じて、定期的に発生する事務や中心となる事務を担当する者に対して講ずる安全管理措置と、書類を移送するなど補助的に一部の事務を行う者に対して講ずる
安全管理措置とが異なってくることは十分に考えられます。
なお、社内管理上、定期的に発生する事務や中心となる事務を担当する者のみを事務取扱担当者と位置付けることも考えられますが、特定個人情報等の取扱いに関わる事務フロー全体として漏れのない必要かつ適切な安全管理措置を講じていただくことが重要です。（平成27年８月追加）
NEW!

Ｑ11－４ 標的型メール攻撃等による特定個人情報の漏えい等の被害を防止するために、安全管理措置に関して、どのような点に注意すればよいですか。
Ａ11－４ 情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入し適切に運用する等のガイドラインの遵守に加え、次のような安全管理措置を講ずることが考えられます。
・ 不正アクセス等の被害に遭った場合であっても、被害を最小化する仕組み（ネットワークの遮断等）を導入し、適切に運用する。
・ 特定個人情報ファイルを端末に保存する必要がある場合、パスワードの設定又は暗号化により秘匿する（データの暗号化又はパスワードによる保護に当たっては、不正に入手した者が容易に解読できないように、暗号鍵及びパス
ワードの運用管理、パスワードに用いる文字の種類や桁数等の要素を考慮する。）。
・ 情報漏えい等の事案の発生又は兆候を把握した場合の迅速な情報連絡についての確認・訓練を行う。
また、独立行政法人情報処理推進機構（ＩＰＡ）等がホームページで公表しているセキュリティ対策等を参考にすることも考えられます。（平成27年８月追加）

10特定個人情報の適正な取扱いに関するガイドライン（事業者編）」Ｑ＆Ａ（抜粋）＜安全管理措置＞
NEW!

Ｑ15－１－３ 「ａ 特定個人情報等を取り扱う区域の管理」における「管理区域」及び「取扱区域」を明確にし物
理的な安全管理措置を講ずるに当たって、区域ごとに全て同じ安全管理措置を講ずる必要があるのでしょうか。
Ａ15－１－３ 各区域で同じ安全管理措置を講ずる必要はなく、区域によっては取り扱う特定個人情報の量、利用頻度、使用する事務機器や環境等により、講ずべき物理的安全管理措置が異なると考えられますので、例えば、管理区域については厳格に入退室を管理し、取扱区域については間仕切りの設置や座席配置の工夫を行うなど、それぞれの区域に応じた適切な安全管理措置を講じていただくことになります。（平成27年８月追加）
NEW!

Ｑ15－１－４ 「ａ 特定個人情報等を取り扱う区域の管理」及び「ｂ 機器及び電子媒体等の盗難等の防止」について、従業員数人程度の模事業者における手法の例示を教えてください。
Ａ15－１－４ 一つの事務室で事務を行っている場合を想定すると、例えば、来客スペースから特定個人情報等に係る書類やパソコンの画面が見えないよう各種の工夫をすることが考えられます。盗難防止については、留守にする際には確実にドアに施錠をする、特定個人情報等を取り扱う機器、電子媒体や個人番号が記載された書類等は、施錠できるキャビネット、引出等に収納し、使用しないときには施錠しておくなど盗まれないように保管することは、他の重要な書類等と同様です。（平成27年８月追加）

Memo
・
・
・
・
・

11

保

管
個人番号
個人番号
1234
･･･

会社

5678 ･･･････････････

特定個人情報特定個人情報保 管【収集・保管制限】○番号法で限定的に明記された場合（注）を除き、特定個人情報を保管してはなりません。
（注）５ページの「取得」を参照。

《保管制限》○特定個人情報は、番号法で限定的に明記された事務を行う必要がある場合に限り保管し続けることができます。
○個人番号が記載された書類等のうち所管法令によって一定期間保存が義務付けられているものは、その期間保管することとなります。
○個人番号部分を復元できない程度にマスキング又は削除した上で他の情報の保管を継続することは可能です。
［継続的に保管できる場合の事例］＊雇用契約等の継続的な契約関係にある場合には、従業員等から提供を受けた個人番号を給与の源泉徴収事務、健康保険・厚生年金保険届出事務等のために翌年度以降も継続的に利用する必要が認められることから、特定個人情報を継続的に保管できると解されます。
＊従業員等が休職している場合には、復職が未定であっても雇用契約が継続していることから、特定個人情報を継続的に保管できると解されます。
＊土地の賃貸借契約等の継続的な契約関係にある場合も同様に、支払調書の作成事務のために継続的に個人番号を利用する必要が認められることから、特定個人情報を継続的に保管できると解されます。
○廃棄又は削除を前提とした「保管体制」・「システム構築」をすることが望ましいでしょう。
○廃棄に関する留意事項については、18ページを参照してください。

12

特定個人情報の適正な取扱いに関するガイドライン（事業者編）」Ｑ＆Ａ（抜粋）
＜保管＞
NEW!

Ｑ６－２－２ 扶養控除等申告書に記載される扶養親族の個人番号については、従業員が個人番号関係事務実施者として番号法上の本人確認を行うこととされており、事業者には本人確認義務は課せられていませんが、事業者に番号
法上の本人確認義務がない場合であっても、書類に正しい番号が記載されているかを確認するために、事業者が扶養親族の通知カードや個人番号カードのコピーを取得することはできますか。
Ａ６－２－２ 個人番号関係事務においては正しい個人番号が取り扱われることが前提ですので、事業者は、個人番号関係事務を実施する一環として、個人番号カード等のコピーを取得し、個人番号を確認することが可能と解されます。
なお、取得したコピーを保管する場合には、安全管理措置を適切に講ずる必要があります。（平成27年８月追加）
Ｑ６－４－２ 支払調書の控えには保存義務が課されていませんが、支払調書の作成・提出後個人番号が記載された支払調書の控えを保管することができますか。
Ａ６－４－２ 支払調書を正しく作成して提出したかを確認するために支払調書の控えを保管することは、個人番号
関係事務の一環として認められると考えられます。
支払調書の控えを保管する期間については、確認の必要性及び特定個人情報の保有に係る安全性を勘案し、事業者において判断してください。なお、税務における更正決定等の期間制限に鑑みると、保管できる期間は最長でも７年が限度であると考えられます。（平成27年４月追加）

Memo
・
・
・
・
・

13

被保険者資格取得届（イメージ）
支払調書（イメージ）利用（利用範囲等）

支払いを
受ける者

個人番号
氏
名

【個人番号の利用制限】・【特定個人情報ファイルの作成の制限】

1234…
番号太郎

源泉徴収票（イメージ）

支払いを
受ける者

個人番号
氏
名

5678…
難波一郎

個人
番号

被保険者
氏名

資格取得
年月日

5678…

難波一郎

28.4.1

9876…

難波花子

28.4.1○個人番号を利用できる事務については、番号法によって限定的に定められています（原則的な個人番号の利用）。
○事業者が個人番号を利用するのは、主として、社会保障及び税に関する手続書類に従業員等の個人番号を記載して行政機関等及び健康保険組合等に提出する場合です（個人番号関係事務）。
○例外的な個人番号の利用は、①金融機関が激甚災害時等に金銭の支払を行う場合、②人の生命、身体又は財産の保護のために必要がある場合に限られています。
○個人番号関係事務を処理するために必要な範囲に限って、特定個人情報ファイルを作成することができます。
《利用目的を超えた個人番号の利用禁止》○個人番号は、番号法があらかじめ限定的に定めた事務の範囲の中から、具体的な利用目的を特定した上で、利用するのが原則です。
○利用目的は、本人が、自らの個人番号をどのような目的で利用されるのかを一般的かつ合理的に予想できる程度に具体的に特定する必要があります。
［利用目的の特定の事例］＊個人番号関係事務の場合、「源泉徴収票作成事務」、「健康保険・厚生年金保険届出事務」のように特定することが考えられます。
○本人の同意があったとしても、利用目的を超えて特定個人情報を利用することはできません。利用目的を超えて個人番号を利用する必要が生じた場
合には、当初の利用目的と相当の関連性を有すると合理的に認められる範囲内で利用目的を変更して、本人への通知等を行うことにより、変更後の利用目的の範囲内で個人番号を利用することができます。
［利用目的の範囲内として利用が認められる場合の事例］＊前年の給与所得の源泉徴収票作成事務のために提供を受けた個人番号については、同一の雇用契約に基づいて発生する当年以後の源泉徴収票作
成事務のために利用することができると解されます。
［利用目的の変更が認められる場合の事例］＊雇用契約に基づく給与所得の源泉徴収票作成事務のために提供を受けた個人番号を、雇用契約に基づく健康保険・厚生年金保険届出事務等に利用しようとする場合は、利用目的を変更して、本人への通知等を行うことにより、その届出事務等に個人番号を利用することができます。
事業者は、給与所得の源泉徴収票作成事務のほか健康保険・厚生年金保険届出事務等を行う場合、従業員等から個人番号の提供を受けるに当
たって、これらの事務の全てを利用目的として特定して、本人への通知等を行うことにより、利用目的の変更をすることなく個人番号を利用することができます。なお、通知等の方法としては、従来から行っている個人情報の取得の際と同様に、社内LANにおける通知、利用目的を記載した書類の提示、就業規則への明記等の方法が考えられます。

14

特定個人情報の適正な取扱いに関するガイドライン（事業者編）」Ｑ＆Ａ（抜粋）＜利用＞
Ｑ１－１－２ 個人番号の利用目的について、個人情報保護法における個人情報の利用目的とは区別して本人に通知等を行う必要がありますか。
Ａ１－１－２ 個人番号の利用目的と個人情報保護法における個人情報の利用目的とを区別して通知等を行う法的義務はありませんが、個人番号の利用範囲は限定されているため、その利用範囲を超えて利用目的を特定・通知等しないよう留意する必要があります。（平成27年４月追加）
Ｑ１－３ 複数の個人番号関係事務で個人番号を利用する可能性がある場合において、個人番号の利用が予想される全ての目的について、あらかじめ包括的に特定して、本人への通知等を行ってよいですか。
Ａ１－３ 事業者と従業員等の間で発生が予想される事務であれば、あらかじめ複数の事務を利用目的として特定して、本人への通知等を行うことができます。
Ｑ１－４ 本人から個人番号の提供を受けるに当たり、利用目的について本人の同意を得る必要がありますか。
Ａ１－４ 個人番号の利用目的については、本人の同意を得る必要はありません。

Memo
・
・
・
・
・
・
・

15

提

供
番号法で限定的に明記された場合【特定個人情報の提供制限】○番号法で限定的に明記された場合（注）を除き、特定個人情報を提供してはなりません。（注）５ページの「取得」を参照。
《特定個人情報の提供》○事業者が特定個人情報を提供できるのは、主として、社会保障及び税に関する事務のために従業員等の特定個人情報を行政機関等及び健康保険組合等に提供する場合です。
［個人番号関係事務実施者からの提供の事例］＊事業者（個人番号関係事務実施者）は、給与所得の源泉徴収票の提出という個人番号
関係事務を処理するために、従業員等の個
人番号が記載された給与所得の源泉徴収票を２通作成し、１通を税務署長に提出し、他の１通を本人に交付します。
《提供の意義》○「提供」とは、法的な人格を超える特定個人
情報の移動を意味するものです。
○同一法人の内部等の法的な人格を超えない特定個人情報の移動は「提供」ではなく「利用」に当たります（利用制限）。
［提供に当たらない場合の事例］＊営業部に所属する従業員等の個人番号が、源泉徴収票を作成する目的で経理部に提出された場合は「提供」に当たりません。
［提供に当たる場合の事例］＊事業者甲から事業者乙へ特定個人情報が移動する場合は「提供」に当たります。

【個人番号の提供の要求】○個人番号利用事務を処理するために必要がある場合に限って、個人番号
税務署
年金事務所等関係事務実施者などに対して個人番号の提供を求めることができます。

会社【個人番号の提供の求めの制限】○番号法で限定的に明記された場合（注）を除き、個人番号の提供を求めてはなりません。
支払調書（イメージ）
支払いを
受ける者

個人番号
氏
名

1234…
番号太郎

源泉徴収票（イメージ）
支払いを
受ける者

個人番号
氏
名

【収集・保管制限】○番号法で限定的に明記された場合（注）を除き、特定個人情報を収集してはなりません。
（注）５ページの「取得」を参照。

5678…
難波一郎

被保険者資格取得届（イメージ）
個人
番号

被保険者
氏名

資格取得
年月日

5678…

難波一郎

28.4.1

9876…

難波花子

28.4.1

税務署や年金事務所等の個人番号利用事
務実施者は、このようにして提出された書類等に記載されている特定個人情報を利用して、社会保障、税及び災害対策に関する特定の事務を行うこととなります。

16

特定個人情報の適正な取扱いに関するガイドライン（事業者編）」Ｑ＆Ａ（抜粋）＜提供＞
Ｑ５－２ 従業員等本人に給与所得の源泉徴収票を交付する場合において、その従業員等本人や扶養親族の個人番号を表示した状態で交付してよいですか。また、従業員等本人は、個人番号が記載された給与所得の源泉徴収票を使用する場面はありますか。
Ａ５－２ 本人交付用の給与所得の源泉徴収票については、所得税法施行規則第93条に基づいて、その本人及び扶養親族の個人番号を記載することになります。したがって、その本人及び扶養親族の個人番号を表示した状態で本人に交付することとなります。
個人番号が記載された給与所得の源泉徴収票を使用する場面としては、所得税の確定申告で使用することが考えられます。また、その際の本人確認に関する資料として、その源泉徴収票が利用される予定です（本人確認に関する手
続は、内閣官房「社会保障・税番号制度」ホームページ「よくある質問（ＦＡＱ）」（Ｑ４－３－１、２）参照）。
※ 国税庁告示（平成27年1月30日）において、本人確認に関する資料として、源泉徴収票の取扱いが定められています。
Ｑ５－８ 支払調書等の写しを本人に送付することはできますか。
Ａ５－８ 個人情報保護法第25条に基づいて開示の求めを行った本人に開示を行う場合は、支払調書等の写しを本人に送付することができます。その際の開示の求めを受け付ける方法として、書面による方法のほか、口頭による方法等を定めることも考えられます。なお、当該支払調書等の写しに本人以外の個人番号が含まれている場合には、本人
以外の個人番号を記載しない措置や復元できない程度にマスキングする等の工夫が必要となります。
Ｑ５－８－２ 個人番号を記載しなければ、支払調書等の写しを本人に送付することはできますか。
Ａ５－８－２ 本人の個人番号を含めて全ての個人番号を記載しない措置や復元できない程度にマスキングすれば、番号法上の提供制限の適用を受けないことから、個人情報保護法第25条に基づく開示の求めによらず、支払調書等の写しを本人に送付することが可能です。（平成27年４月追加）

Memo
・
・

17

廃

棄
個人番号
個人番号
1234
･･･

会社

5678 ･･･････････････

特定個人情報特定個人情報削除又は廃棄【収集・保管制限】（廃棄）○番号法で限定的に明記された場合（注）を除き、特定個人情報を収集又は保管することはできないため、個人番号関係事務を処理する必要がなくなった場合で、所管法令において定められている保存期間を経過した場合には、個人番号をできるだけ速やかに廃棄又は削除しなければなりません。（注）５ページの「取得」を参照。
［扶養控除等申告書の場合の事例］＊扶養控除等申告書は、７年間保存することとなっていることから、当該期間を経過した場合には、当該申告書に記載された個人番号を保管しておく必要はなく、原則として、個人番号が記載された扶養控除等申告書をできるだけ速やかに廃棄しなければなりません。
《個人番号の削除、機器及び電子媒体等の廃棄》○個人番号若しくは特定個人情報ファイルを削除した場合、又は電子媒体等を廃棄した場合には、削除又は廃棄した記録を保存することとなります。
○削除又は廃棄の作業を委託する場合には、委託先が確実に削除又は廃棄したことについて、証明書等により確認する必要があります。
≪手法の例示≫＊特定個人情報等が記載された書類等を廃棄する場合、焼却又は溶解等の復元不可能な手段を採用する。
＊特定個人情報等が記録された機器及び電子媒体等を廃棄する場合、専用のデータ削除ソフトウェアの利用又は物理的な破壊等により、復元不可能な手段を採用する。
＊特定個人情報ファイル中の個人番号又は一部の特定個人情報等を削除する場合、容易に復元できない手段を採用する。
＊特定個人情報等を取り扱う情報システムにおいては、保存期間経過後における個人番号の削除を前提とした情報システムを構築する。
＊個人番号が記載された書類等については、保存期間経過後における廃棄を前提とした手続を定める。
廃棄が必要となってから廃棄作業を行うまでの期間については、
毎年度末に廃棄を行う等、個人番号及び特定個人情報の保有に係る安全性及び事務の効率性等を勘案し、事業者において判断してください（Ｑ＆Ａにも記載しています。）。

18

特定個人情報の適正な取扱いに関するガイドライン（事業者編）」Ｑ＆Ａ（抜粋）＜廃棄＞Ｑ６－10 個人番号を削除せず、取引再開時まで個人番号にアクセスできないようアクセス制御を行うという取扱いは許容されますか。
Ａ６－10 アクセス制御を行った場合でも、個人番号関係事務で個人番号を利用する必要がなくなり、個人番号を保管する必要性がなくなった場合には、個人番号をできるだけ速やかに削除しなければなりません。不確定な取引再開時に備えて、個人番号を保管し続けることはできません。
Ｑ15－２ 「ｄ 個人番号の削除、機器及び電子媒体等の廃棄」における「容易に復元できない手段」とは、具体的にどのような手段が考えられますか。
Ａ15－２ データ復元用の専用ソフトウェア、プログラム、装置等を用いなければ復元できない場合には、容易に復元できない方法と考えられます。

Ｑ15－３ 「ｄ 個人番号の削除、機器及び電子媒体等の廃棄」における書類等の廃棄に係る復元不可能な手段として焼却又は溶解が挙げられていますが、他の手段は認められますか。
Ａ15－３ 例えば、復元不可能な程度に細断可能なシュレッダーの利用又は個人番号部分を復元できない程度にマスキングすること等が考えられます。

Memo
・
・
・
・
・
・

19

参考資料
「（別添）特定個人情報に関する安全管理措置」の中小規模事業者における対応方法（抜粋）
安全管理措置の内容（本則）ＡＢ

基本方針の策定
特定個人情報等の適正な取扱いの確保について組織として取り組むた
めに、基本方針を策定することが重要である。
取扱規程等の策定
事務の流れを整理し、特定個人情報等の具体的な取扱いを定める取扱規程等を策定しなければならない。

中小規模事業者における対応方法⇒○ 特定個人情報等の取扱い等を明確化する。
○ 事務取扱担当者が変更となった場合、確実な引継ぎを行い、責任ある立場の者が確認する。

Ｃ

組織的安全管理措置
事業者は、特定個人情報等の適正な取扱いのために、次に掲げる組織的安全管理措置を講じなければならない。

ａ

組織体制の整備
安全管理措置を講ずるための組織体制を整備する。

ｂ 取扱規程等に基づく運用取扱規程等に基づく運用状況を確認するため、システムログ又は利用実績を記録する。

○ 事務取扱担当者が複数いる場合、責任者と事務取扱担当者を区分することが望ましい。
○ 特定個人情報等の取扱状況の分かる記録を保存する。

ｃ

取扱状況を確認する手段の整備
特定個人情報ファイルの取扱状況を確認するための手段を整備する。 ○ 特定個人情報等の取扱状況の分かる記録を保存する。
なお、取扱状況を確認するための記録等には、特定個人情報等は記
載しない。

ｄ

情報漏えい等事案に対応する体制の整備
情報漏えい等の事案の発生又は兆候を把握した場合に、適切かつ迅
速に対応するための体制を整備する。
情報漏えい等の事案が発生した場合、二次被害の防止、類似事案の発生防止等の観点から、事案に応じて、事実関係及び再発防止策等を早急に公表することが重要である。

ｅ

取扱状況の把握及び安全管理措置の見直し
特定個人情報等の取扱状況を把握し、安全管理措置の評価、見直し
及び改善に取り組む。

○ 情報漏えい等の事案の発生等に備え、従業者から責任ある立場の者に対する報告連絡体制等をあらかじめ確認しておく。

○ 責任ある立場の者が、特定個人情報等の取扱状況について、定期的に点検を行う。

20

安全管理措置の内容（本則）

中小規模事業者における対応方法

Ｄ

人的安全管理措置事業者は、特定個人情報等の適正な取扱いのために、次に掲げる人的安全管理措置を講じなければならない。

ａ

事務取扱担当者の監督事業者は、特定個人情報等が取扱規程等に基づき適正に取り扱われるよう、事務取扱担当者に対して必要かつ適切な監督を行う。

⇒

事務取扱担当者の教育事業者は、事務取扱担当者に、特定個人情報等の適正な取扱いを周知徹底するとともに適切な教育を行う。

⇒

ｂ

Ｅ

物理的安全管理措置
事業者は、特定個人情報等の適正な取扱いのために、次に掲げる物理的安全管理措置を講じなければならない。

ａ

特定個人情報等を取り扱う区域の管理
特定個人情報等の情報漏えい等を防止するために、特定個人情報
ファイルを取り扱う情報システムを管理する区域（以下「管理区域」 ⇒という。）及び特定個人情報等を取り扱う事務を実施する区域（以下「取扱区域」という。）を明確にし、物理的な安全管理措置を講ずる。

ｂ

機器及び電子媒体等の盗難等の防止
管理区域及び取扱区域における特定個人情報等を取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、物理的な安全管理措置を講ずる。

ｃｄ

電子媒体等を持ち出す場合の漏えい等の防止
特定個人情報等が記録された電子媒体又は書類等を持ち出す場合、容易に個人番号が判明しない措置の実施、追跡可能な移送手段の利用等、安全な方策を講ずる。
「持出し」とは、特定個人情報等を、管理区域又は取扱区域の外へ移動させることをいい、事業所内での移動等であっても、紛失・盗難等に留意する必要がある。

⇒○ 特定個人情報等が記録された電子媒体又は書類等を持ち出す場合、
パスワードの設定、封筒に封入し鞄に入れて搬送する等、紛失・盗難等を防ぐための安全な方策を講ずる。

個人番号の削除、機器及び電子媒体等の廃棄
個人番号若しくは特定個人情報ファイルを削除した場合、又は電子○ 特定個人情報等を削除・廃棄したことを、責任ある立場の者が確認
媒体等を廃棄した場合には、削除又は廃棄した記録を保存する。また、 する。
これらの作業を委託する場合には、委託先が確実に削除又は廃棄したことについて、証明書等により確認する。

21

安全管理措置の内容（本則）

中小規模事業者における対応方法

Ｆ

技術的安全管理措置
事業者は、特定個人情報等の適正な取扱いのために、次に掲げる技術的安全管理措置を講じなければならない。

ａ

アクセス制御情報システムを使用して個人番号関係事務又は個人番号利用事務を行う場合、事務取扱担当者及び当該事務で取り扱う特定個人情報ファ
イルの範囲を限定するために、適切なアクセス制御を行う。

ｂ

ｃ

ｄ

アクセス者の識別と認証
特定個人情報等を取り扱う情報システムは、事務取扱担当者が正当なアクセス権を有する者であることを、識別した結果に基づき認証する。

○ 特定個人情報等を取り扱う機器を特定し、その機器を取り扱う事務取扱担当者を限定することが望ましい。
○ 機器に標準装備されているユーザー制御機能（ユーザーアカウント制御）により、情報システムを取り扱う事務取扱担当者を限定することが望ましい。
○ 特定個人情報等を取り扱う機器を特定し、その機器を取り扱う事務取扱担当者を限定することが望ましい。
○ 機器に標準装備されているユーザー制御機能（ユーザーアカウント制御）により、情報システムを取り扱う事務取扱担当者を限定することが望ましい。

外部からの不正アクセス等の防止
情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入し、適切に運用する。

⇒

情報漏えい等の防止
特定個人情報等をインターネット等により外部に送信する場合、通信経路における情報漏えい等を防止するための措置を講ずる。

⇒

22

ガイドライン資料集

 委員会ＨＰでは、ガイドラインに関する説明資料を掲載しています。
 委員会ＨＰ > 法令・ガイドライン > ガイドライン > ガイドライン資料集をご覧ください。

23

最新情報はマイナンバーのホームページ
http://www.cas.go.jp/jp/seisaku/bangoseido/index.html
マイナンバー

をご覧ください。

マイナンバー公式twitter

ご不明な点はマイナンバーのコールセンター

https://twitter.com/MyNumber_PR

マイナンバーロゴマーク☆ 国の行政機関や地方公共団
体などの番号利用事務実施者
は、マイナンバーの普及啓発のため、ロゴマークを御使用
いただけます。
☆ 番号利用事務実施者以外でマイナンバーの普及啓発に御協力いただける方は、内閣府の承認を受けて、ロゴマーク
を御使用いただけます。

（全国共通ナビダイヤル）ﾏ ｲ ﾅﾝ ﾊﾞｰ

0570－20－0178
まで※※

愛称：マイナちゃん※

ナビダイヤルは通話料がかかります。
平日9時30分～17時30分(土日祝日・年末年始を除く)
一部IP電話等で上記ダイヤルに繋がらない場合は、
０５０－３８１６－９４０５におかけください。

24

個人情報保護法改正のポイント

25

個人情報保護法改正のポイント
１．個人情報の定義の明確化
・グレーゾーン解消のため、個人情報の定義を明確化。
・要配慮個人情報（本人の人種、信条、病歴など本人に対する不当な差別又は偏見が生じる可能性のある個人情報）の取得について、原則として本人同意を得ることを義務化。

２．パーソナルデータを利活用するための制度の導入
・匿名加工情報（特定の個人を識別することができないように個人情報を加工した情報）の利活用の規定を新設。

３．グローバル化への対応
・外国にある第三者への個人データの提供に関する規定を新設。
・個人情報保護法の国外適用及び個人情報保護委員会による執行協力を規定。

４．個人情報保護委員会の新設
・個人情報取扱事業者に対する監督権限を各分野の主務大臣から委員会に一元化。
・分野横断的な規制が可能。

５．その他・取り扱う個人情報の数が5000以下の事業者を規制の対象に追加。
・個人データを提供する際に、提供者及び受領者が、年月日・相手の氏名等を記録し、一定期間保存することを義務化。
・個人情報データベース等を不正な利益を図る目的で第三者に提供し、又は盗用する行為について罰則規定を新設。

26

ご清聴ありがとうございました。