資料１－２
令和５年度 個人情報保護委員会活動方針（案）
令和５年３月日
個人情報保護委員会
個人情報保護委員会（以下「委員会」という。）は、個人情報の保護に関する法律（平成 15年法律第 57 号。以下「個人情報保護法」という。）第 131 条に規定された任務を果たすため、
個人情報保護法及び行政手続における特定の個人を識別するための番号の利用等に関する法
律（平成 25 年法律第 27 号。以下「マイナンバー法」という。）に基づき、個人情報（特定個
人情報を含む。）の適正な取扱いが確保されるよう、法の正しい理解の促進を図るとともに、法令及びガイドライン等の遵守状況を適切に監視・監督するなどの活動を行っている。
令和５年度において、委員会が、個人情報保護制度の司令塔として、個人情報保護制度に係る政策の総合調整や監視・監督の役割を適切に果たすことにより、個人の権利利益を保護し、ひいては国民の安心・安全が確保されるよう、委員会が取り組むべき活動について整理するとともに、国民から信頼される委員会を目指して、当該活動の方向性を広く国民に示すため、本方針を定めるものである。

1

目次
Ⅰ．基本的な考え方---------------------------------------------------------------3
１．個人情報保護法関係 -------------------------------------------------------- 3
２．マイナンバー法関係 -------------------------------------------------------- 3
３．国際協力 ------------------------------------------------------------------ 3
Ⅱ．具体的な取組-----------------------------------------------------------------4
１．個人情報保護法関係 -------------------------------------------------------- 4（１）令和２年改正法の円滑かつ適切な施行及び運用に関する取組等 .............. 4（２）令和３年改正法の円滑かつ適切な施行及び運用に関する取組 ................ 4（３）監視・監督活動 ........................................................ 5（４）個人情報等の利活用 .................................................... 6
２．マイナンバー法関係 -------------------------------------------------------- 7（２）監視・監督活動 ........................................................ 7（３）その他の監督活動について .............................................. 8（４）特定個人情報保護評価 .................................................. 8（５）独自利用事務の情報連携 ................................................ 9
３．国際協力 ------------------------------------------------------------------ 9（１）ＤＦＦＴ推進の観点から個人情報を安全・円滑に越境移転できる国際環境の構築 .. 9（２）国際動向の把握と情報発信 ............................................. 10（３）国境を越えた執行協力体制の強化 ....................................... 10
４．共通事項 ----------------------------------------------------------------- 10（１）個別の政策分野における関係府省との連携 ............................... 10（２）国民からの相談・苦情等への対応 ....................................... 10（３）広報・啓発活動 ....................................................... 10（４）人材の育成・確保 ..................................................... 11（別添１）個人情報保護委員会の国際戦略 ------------------------------------------13（別添２）改正個人情報保護法等に関する令和５年度の地方公共団体等に対する監視・監督方針 --152

Ⅰ．基本的な考え方
１．個人情報保護法関係
デジタル社会の形成を図るための関係法律の整備に関する法律（令和３年法律第 37 号）
による個人情報保護法の改正等（以下「令和３年改正法」という。）により、従前複数の法令等で規律されてきた個人情報等（個人情報、仮名加工情報、匿名加工情報及び個人関連情報をいう。以下同じ。）の適正な取扱いに関する制度が個人情報保護法に統合・一本化され、令和５年４月の全面施行に伴い、地方公共団体の機関及び地方独立行政法人（以下「地方公共団体等」という。）についても、統合後の個人情報保護法により全国共通のルールが適用されることとなる。
また、高い独立性と政治的中立性を有する委員会が、民間部門及び公的部門について、一元的に当該制度を所管し、個人情報等に関する国の政策の企画立案を担うとともに、監
視・監督においても、新たに個人情報保護法の適用対象となる地方公共団体等も含め、分野横断的かつ迅速・適切に法執行を担うこととなる。
こうした所掌事務の拡大に対応するため、引き続き委員会の体制強化と更なる専門性の向上を図るとともに、官民や地域の枠を越え、さらには国境を越えたデータ流通や社会全体のデジタル化に対応した個人の権利利益の保護の要請に対応する。
さらに、事業者及び行政機関等（行政機関、独立行政法人等、地方公共団体の機関及び地方独立行政法人をいう。以下同じ。）における個人情報等の取扱いに係る監視・監督権
限を一元的に所掌する委員会として、個人情報等の適正な取扱いを確保するため、国内外の事業者に対して適切かつ効率的・効果的な監督を行うとともに、行政機関等に対し積極的な調査を行い効果的な監視を行う。また、事業者及び行政機関等に対し、安全管理措置
等に関する周知広報に積極的に取り組む。
２．マイナンバー法関係
行政機関等及び事業者における特定個人情報の取扱いに係る監視・監督権限を一元的に所掌する委員会として、特定個人情報の適正な取扱いを確保するため、適切かつ効率的・効果的な監視・監督を行う。
また、必要に応じてガイドライン等の改正を行うとともに、周知広報に積極的に取り組む。
特定個人情報保護評価（以下「保護評価」という。）については、引き続きマイナンバー法の趣旨と規定に則った運用を行うほか、同法第 27 条第２項の規定に基づく次回の特定個人情報保護評価指針（平成 26 年特定個人情報保護委員会告示第４号。以下「評価指針」という。）の見直しに向けて準備を進める。
独自利用事務の情報連携については、その活用促進に資する取組を引き続き積極的に行う。
３．国際協力日本政府は、平成 31 年に「信頼性のある自由なデータ流通（ＤＦＦＴ: Data Free Flow3

with Trust）」を提唱し、特に日本がＧ７ホスト国となる令和５年は政府全体としてＤＦＦＴを推進している。また、世界各国においてそれぞれ独自の個人情報保護法制を整備する動きが進んでおり、各国の法制等の世界潮流の把握や企業活動のグローバル化に伴う各国当局との連携の強化、データローカライゼーションや無制限なガバメントアクセス
といったリスクへ対応するために国際機関等との協議を更に進めること、プライバシー
強化技術（ＰＥＴs：Privacy Enhancing Technologies）の活用等が求められている。
委員会は、従前より、ＤＦＦＴ推進のための施策に取り組んでいるほか、各国の法制等の世界潮流の把握、各国当局との連携の強化等を進めているところであるが、上記の状況を踏まえ、ＤＦＦＴ推進の観点から個人情報を安全・円滑に越境移転できる国際環境の構
築、国際動向の把握と情報発信、国境を越えた執行協力体制の強化を進めていく（別添１「個人情報保護委員会の国際戦略」参照）。
Ⅱ．具体的な取組
１．個人情報保護法関係（１）令和２年改正法の円滑かつ適切な施行及び運用に関する取組等
個人情報の保護に関する法律等の一部を改正する法律（令和２年法律第 44 号。以下「令和２年改正法」という。）は、個人情報に対する意識の高まり、技術革新を踏まえた保護と利用のバランス、個人情報が多様に利活用される時代における事業者の責任の在り方
及び越境移転データの流通増大に伴う新たなリスクへの対応等の観点から、利用停止・消去等の個人の請求権の拡大、個人情報の漏えい等が生じた場合における委員会への報告
及び本人への通知の義務付け、個人情報等の外国における取扱いに対する個人情報保護法の適用範囲の拡大、仮名加工情報の取扱いについての規律の創設等を内容とするものである。
令和２年改正法の円滑かつ適切な施行及び運用のため、引き続き、個人情報取扱事業者
等はもとより、国民に幅広く周知広報を行うとともに、次期の個人情報保護法の見直しに向けて、令和２年改正法等の施行状況や国内外の個人情報保護等に関連する動向調査を行う。
（２）令和３年改正法の円滑かつ適切な施行及び運用に関する取組
令和３年改正法は、個人情報保護法、行政機関の保有する個人情報の保護に関する法律（平成 15 年法律第 58 号）、独立行政法人等の保有する個人情報の保護に関する法律（平成 15 年法律第 59 号）の３本の法律を１本の法律として個人情報保護法に統合するとともに、地方公共団体等の個人情報保護制度についても統合後の同法において全国的な共通ルールを規定し、全体の所管を委員会に一元化することや、学術研究に係る適用除外規定について、一律の適用除外ではなく、同法の規律を適用した上で、義務ごとの例外規定として精緻化すること等を内容とするものである。
令和３年改正法の円滑かつ適切な施行及び運用に向け、令和４年４月施行の行政機関
等に係る規律や官民を通じた医療・学術研究分野の個人情報等の取扱いに係る規律、令和4５年４月施行の地方公共団体等に係る規律について、これらの主体において個人情報の適正な取扱いが確保されるよう、引き続き、各主体に対する助言や照会への回答、周知広報等を通じ、幅広い支援を行っていく。
（３）監視・監督活動① 監視・監督活動義務化された個人データ及び保有個人情報の漏えい等事案の報告に対しては、各事案について効果的かつ効率的に発生原因、再発防止策等の調査・分析を行い、同種の事態が起きないよう機動的に必要な指導・助言、勧告等の法執行を行うほか、必要に応じて注意喚起等を行う。その他、個人情報保護法に関する総合的な案内所（個人情報保護法相談ダイヤル）に寄せられる情報その他の情報を総合的に活用し、事業者及び行政機関等に対して指導・助言及び勧告を行うほか、必要に応じて報告徴収及び立入検査又は資料の提出の求め及び実地調査を行う。勧告に従った個人情報等の取扱いの是正がなされていない事
業者に対しては、必要に応じ命令を行うなど、適時適切な法執行を行う。
また、行政機関等は、民間部門と異なり、法令等により個人情報等を取得する権限を有し、また、保有する個人情報が多大となりうることから、透明性と信頼性の確保が特に重要であることを踏まえ、上記に加え、以下の調査を行う。
行政機関等に対しては、毎年、委員会において議決した調査計画に基づき、調査対象機
関を選定して計画的な実地調査等を行う。調査の実施に当たっては、マイナンバー法に基づく立入検査等と一体的に行う等、効率的かつ効果的に実施していく。
また、個人情報保護法第 165 条に基づき、実地調査等の対象とならない機関も含め、全ての行政機関等に対し施行状況調査を実施（ただし、地方公共団体等については令和６年度より実施）し、安全管理措置の実施状況を含め個人情報等の取扱い状況に関する基礎的な情報を把握する。
これらの調査により、委員会は、個人情報保護法及び委員会が公表している各種ガイド
ライン等に照らし、不適切又は違法な個人情報等の取扱いがなされているか否かを明らかにし、機動的に必要な指導・助言、勧告等を行う。
また、実地調査等の対象とした機関名、指摘事項の概要等については、原則として、「上半期における個人情報保護委員会の活動実績」及び個人情報保護法第 168 条の規定に基づき毎年国会に報告する「個人情報保護委員会年次報告」に記載し、委員会ウェブページ
等で公表することとする。
このような監視・監督活動を通じて個人情報等の取扱いに関する問題点の発生原因や再発防止策等を分析し、必要に応じて注意喚起を行う。
なお、地方公共団体等に対する監視・監督の詳細については、別添２：「改正個人情報保護法等に関する令和５年度の地方公共団体等に対する監視・監督方針」参照。
② 個人情報等の取扱いに関する実態把握のための取組
令和４年度に続き、個人情報取扱事業者等における個人情報等の取扱状況等の実態調査を行い、その結果を踏まえて適切な指導・助言を行うとともに、注意喚起や周知広報活5

動につなげていく。
③ 執行協力に関する取組
個人情報等を含むデータの国境を越えた流通が増大しており、国内にある者に対してサービスを提供する外国所在の事業者からの漏えい等事案の報告も相当数あることから、
当該事業者における個人情報等の適正な取扱いを確保する必要がある。このため、委員会も正式メンバーとして参加している国際的な執行協力の枠組みであるグローバルプライ
バシー執行ネットワーク（ＧＰＥＮ）の活動に積極的に貢献するとともに、外国執行当局との個別の連携を事務レベルで強固にすることで、執行協力における経験・知見をさらに蓄積し、執行協力の体制強化を図ることにより、外国の事業者に対する確実な執行を目指す。
④ 効果的な監視・監督のための体制整備
個人情報の漏えい等をもたらすサイバー攻撃等の不正アクセスの手法は多岐にわたっており、適切かつ迅速な対応を可能とするため、令和４年度に続きサイバーセキュリティを専門とする事業者との間でアドバイザリ契約を締結し、サイバーセキュリティに係る事案の分析等の支援を依頼するとともに、サイバーセキュリティに関する職員の知見のかん養を図る。
サイバーセキュリティを専門とする関係省庁・機関との間で「個人情報保護法サイバーセキュリティ連携会議（平成 29 年６月設置）」を開催する。また、令和４年度にこれらの関係省庁・機関との間で認識を共有した連携の仕組みに基づき、平時においては、教育
研修、広報周知、必要な情報共有等の連携を行うとともに、不正アクセスによる漏えい等事案の報告等があった場合においては、必要に応じて、共同で事実確認や対処を行うなど、緊密に連携して対応していく。
（４）個人情報等の利活用① 個人情報等の適正かつ効果的な活用の促進
ＰＰＣビジネスサポートデスクにおいて事業者等から寄せられる法解釈の相談に適切に対応するとともに、個人情報等の適正な利活用方法について積極的に情報発信し、個人の権利利益の保護の要請と事業者における個人情報等の利活用の要請を両立させる。また、相談支援対応等を通じて得られた知見をガイドライン、Ｑ＆Ａ及び事例紹介の形で一般化し、委員会ウェブサイト等を通じて広く周知することで、事業者等における個人情報等の適正な利活用に関する理解の促進を図る。
さらに、仮想空間（メタバース）等にも見られるように、様々な場面でＡＩ利用を含む
高度なデジタル技術の利用が進展していることを踏まえ、高度デジタル技術による個人情報等の取扱いについて、国内外の法制度、技術動向等の実態に関する調査を行う。
② 認定個人情報保護団体に関する取組
認定個人情報保護団体（以下「認定団体」という。）による自主的取組を支援するため、

6

認定団体連絡会の開催や各認定団体との意見交換等を通じて、自主ルールの策定等認定団体の役割・機能の強化につながるような情報提供や指導、助言等を継続的に行う。
また、令和２年改正法及び令和３年改正法の内容の周知徹底や認定団体制度についての理解を更に深めるために、対象事業者向け実務研修会等を積極的に開催する。
さらに、令和２年改正法で創設された特定分野型認定団体制度の活用推奨や、まだ認定団体が存在しない分野・業界への働きかけ等、認定団体制度の一層の認知度向上のために、認定を希望する団体からの相談対応等に取り組む。
③ 民間分野における自主的取組の推進
令和４年度に実施した調査結果を踏まえ、民間分野における個人情報の適正な取扱いに関する自主的取組を促すため、ＰＩＡ（Privacy Impact Assessment、個人情報保護評価）の取組及び個人データの取扱いに関する責任者の設置について、その実施状況や課題を把握し、これらをＰＩＡの取組の解説や事例集等に反映させることにより、事業者の理解や意識の向上を図る。
２．マイナンバー法関係（１）第 211 回国会（常会）に提出された行政手続における特定の個人を識別するための番号の利用等に関する法律等の一部を改正する法律案
委員会がオブザーバーとして携わった「マイナンバー制度及び国と地方のデジタル基盤抜本改善ワーキンググループ」の内容を踏まえた行政手続における特定の個人を識別するための番号の利用等に関する法律等の一部を改正する法律案について、令和５年３月７日に閣議決定され、第 211 回国会（常会）に提出された。
（２）監視・監督活動
マイナンバー苦情あっせん相談窓口等に寄せられる通報、メディア報道等による各種の情報、保護評価書等を基に、平時においてマイナンバー法の遵守状況を確認するとともに、それらの日常的な監視等により発覚した重大な事案や漏えい等事案の報告等があった場合においては、各事案について効果的かつ効率的に発生原因、再発防止策等の調査・分析を行い、同種の事態が起きないよう機動的に必要な指導・助言、報告徴収・立入検査等の法執行を行うほか、必要に応じて注意喚起等を行う。
加えて、上記の事案が発生しないよう、行政機関、独立行政法人等に対しては、マイナ
ンバー法に基づき、保有する特定個人情報ファイル（個人番号関係事務に係るもの等を除く。）に記録された特定個人情報の取扱い状況や安全管理措置の実施状況について、毎年、委員会において議決した検査計画に基づき、検査対象機関を選定して定期的な検査を実施する。
一方、地方公共団体等に対しては、毎年、委員会において議決した検査計画に基づき、過去の漏えい等事案の有無やその規模、過去の立入検査の結果等を勘案の上、検査対象機
関を選定し、効率的に検査を実施する。
これらの検査の実施に当たっては、個人情報保護法に基づく実地調査等と一体的に行

7うなど、効率的かつ効果的に実施していく。
また、マイナンバー法第 29 条の３第２項に基づき、立入検査等の対象とならない機関
も含め、特定個人情報ファイルを保有する地方公共団体等から、マイナンバー法に基づく定期報告を受け、特定個人情報の取扱い状況及び安全管理措置の実施状況を把握する。
これらの検査・調査により、マイナンバー法及びガイドライン等に照らし、不適切又は違法な特定個人情報の取扱いを確認した場合、機動的に必要な指導・助言等を行う。
また、立入検査等の対象とした機関名、指摘事項の概要等については、原則として、「上半期における個人情報保護委員会の活動実績」及び個人情報保護法第 168 条の規定に基づき毎年国会に報告する「個人情報保護委員会年次報告」に記載し、委員会ウェブページ
等で公表することとする。
なお、地方公共団体等に対する監視・監督の詳細については、別添２：「改正個人情報保護法等に関する令和５年度の地方公共団体等に対する監視・監督方針」参照。
（３）その他の監督活動について
行政機関等における特定個人情報を取り扱う情報システム等へのサイバー攻撃に対しては、「特定個人情報セキュリティ関係省庁等連絡協議会（平成 27 年７月設置）」を通じて、関係機関と緊密な連携を図りつつ対応する。具体的には、令和４年度にこれらの関係機関との間で認識を共有した連携の仕組みに基づき、平時においては、教育研修、広報
周知、必要な情報共有等の連携を行うとともに、不正アクセスによる漏えい等事案の報告等があった場合においては、必要に応じて、共同で事実確認や対処を行うなど、緊密に連携して対応していく。
また、情報提供ネットワークシステムを使用した特定個人情報の情報連携について、監視・監督システムにより、不適切な情報連携が行われていないか監視を行う。また、不適切な情報連携の早期発見と抑止を図るため、分析手法の継続的な検証、修正及び改善を図る。
（４）保護評価① 全項目評価書の審査及び承認
令和５年度においても、引き続き、マイナンバー法第 28 条、特定個人情報保護評価に関する規則（平成 26 年特定個人情報保護委員会規則第１号。以下「評価規則」という。）
及び評価指針に基づき、委員会に提出された行政機関の長等（地方公共団体等を除く。）の全項目評価書について、評価指針に定める実施手続等に適合した保護評価を実施しているか、記載されたリスクを軽減させるための措置等が国民の信頼の確保等の保護評価の目的に照らし妥当か、という観点から審査及び承認を行う。
② 評価指針の見直し
マイナンバー法第 27 条第２項の規定に基づく次回の評価指針の見直しにおいて、個人情報保護に関する技術の進歩、国際的動向及び評価実施機関の保護評価体制等の実態を踏まえ、評価実施機関の負担も考慮しつつ、リスクに応じてより効率的かつ効果的に保護

8

評価を実施できるよう検討を進める。
③ 次期保護評価システムへの移行
次期保護評価システムの開発に着手し、令和５年度中に現保護評価システムからの移行を完了する。
④ 評価実施機関における保護評価制度の適切な運用の確保
評価規則第９条第２項の規定（緊急時の事後評価）の適用対象となり得るものと整理された事務についても、保護評価が着実に実施されるよう評価実施機関へ働きかけ、必要に応じて指導・助言等を行う。
国民の懸念が大きい「特定個人情報に関する重大事故」が発生した評価実施機関において、しきい値判断結果の変更に伴う評価の再実施が行われるなど、保護評価制度が適切に運用されるよう働きかけ、必要に応じて指導・助言等を行う。
委員会による地方公共団体への立入検査の事前に、保護評価書に記載された内容を基に検査観点を整理することにより、効果的に特定個人情報の管理状況を調査し、また、必要に応じて保護評価書の見直しを促すことで、評価実施機関におけるリスク評価・検証の精度向上を図る。
（５）独自利用事務の情報連携
地方公共団体における情報連携の更なる活用を進めるために、添付書類の削減による利便性の向上や地方公共団体における業務の効率化・合理化というマイナンバー制度のメリットを広く周知していく。
また、地方公共団体が効率的に独自利用事務の情報連携に係る届出を行えるようにするために、独自利用事務システムの円滑な運用を図るとともに、引き続き事務の効率化を図っていく。
そのほか、地方公共団体の要望を踏まえ、情報連携の対象とする独自利用事務の事例の追加を検討する、届出が多い事例一覧や届出手順を示すこと等、独自利用事務の情報連携の活用促進のために様々な方策を講じる。
３．国際協力（１）ＤＦＦＴ推進の観点から個人情報を安全・円滑に越境移転できる国際環境の構築
ＤＦＦＴに関連する国際枠組み等において、個人情報の保護が十分に確保されるよう協議を進める。特に、日本がＧ７ホスト国であり、Ｇ７データ保護・プライバシー機関ラ
ウンドテーブル会合を開催予定であることを念頭に、基本的な価値観を共有する米国、欧州、Ｇ７、経済協力開発機構（ＯＥＣＤ）諸国と緊密に協議を重ねるとともに、アジア太平洋諸国等との協力関係の強化、ひいてはＤＦＦＴに資するグローバルスタンダードの確立を目指す。また、個人データの越境移転について、各国の個人情報保護制度の多様性を前提に、排他的なアプローチには与せず、異なる法制度や国際枠組みが共存し、相互運用性のある国際環境の構築を目指す。事業者側のニーズを把握した上で、ビジネスの態様

9や規模に応じて、複数の選択肢から利用しやすい越境移転のスキームを選ぶことができる国際環境の創出を目指す。
（２）国際動向の把握と情報発信
各国の個人情報保護機関や個人情報保護関連の専門家とのネットワークの構築・発展を目指すとともに、技術革新や社会的課題等への対応について、関連情報や問題意識について各国と共有を図りつつ、世界の潮流を踏まえた上で、我が国の政策立案に活かしていく。
（３）国境を越えた執行協力体制の強化
事業者の国境を越えた活動の増加や個人情報を含むデータの国境を越えた流通の増大を受け、自国のみでは対応できない事案の一層の増加が予想されることから、委員会が対応する個別の執行事案について、関係各国・機関等との連携を推進し、各国からの協力が必要な時に得られるよう協力関係をより強化する。
４．共通事項（１）個別の政策分野における関係府省との連携
各府省が実施する個人情報等及び特定個人情報の取扱いに係る施策について、個人の権利利益の保護のため、関係府省への助言等、必要な対応を行う。
（２）国民からの相談・苦情等への対応
個人情報、特定個人情報等の取扱いについて、個人情報保護法に関する総合的な案内所（個人情報保護法相談ダイヤル）及びマイナンバー苦情あっせん相談窓口に寄せられる
法令やガイドラインに関する一般的な質問に回答する。
また、ＡＩを活用したチャットボットサービスを運用し、相談窓口の電話受付時間外であっても簡易な質疑応答を可能とすることにより、国民の利便性の向上を図る。
個人情報、特定個人情報等の取扱いに関する苦情が寄せられた場合は、法令等に基づいた適切な助言を行い、自主的な解決を促しつつ、必要に応じてあっせんを行う。
これらを通じて把握した情報をいかして、相談・苦情対応をはじめ委員会の各種活動の更なる充実を図る。
（３）広報・啓発活動① 国民等向けの広報・啓発
事業者を始めとする幅広い主体に対して、研修会等への講師派遣、委員会ウェブサイト
の個人情報保護法の改正に関する特集ページ及び多様なメディアによる情報発信等を通じて、改正法の内容を含む個人情報保護制度を的確に周知する。
委員会が加盟しているアジア太平洋プライバシー機関（ＡＰＰＡ）において各加盟機関が取り組むこととされている Privacy Awareness Week を「個人情報を考える週間」として令和５年５月 29 日から６月４日に設定し、個人情報の保護の重要性に関して広く国民10を対象として集中的な広報活動を行う。また、国民一人ひとりの各主体に対して、効果的なコンテンツやメディアを活用しつつ、個人が自らの個人情報等の保護や利活用についての認識や理解を高める取組を推進する。
小学生を主な対象として、個人情報保護の大切さを伝える出前授業を実施していく。
さらに、委員会ウェブサイトの利便性の向上を図ることにより、個人、事業者等への広範な情報提供に取り組むとともに、公式ＳＮＳも活用した積極的な情報発信を行う。
② 事業者、行政機関等向けの広報・啓発・研修
中小規模事業者に対し、漏えい等事案の報告及び本人への通知の義務化や、実態調査で把握した中小規模事業者の個人データの安全管理措置の問題点等を広く周知し、適切な取扱いを促す。
行政機関、独立行政法人等に対しては、一部の地方支分部局も対象に含め、個人情報の適正な取扱いのための研修を委員会において実施する。また、地方公共団体に対しては、自治大学校、地方公共団体情報システム機構等の研修機関等と連携し、様々な媒体を活用して、幅広い対象の多くの職員へ研修を実施していく。
また、従前、マイナンバー法に基づく立入検査における指摘事例集を委員会ウェブサイ
トで公開していたところ、令和４年度からは、個人情報保護法に基づく実地調査を行っていることを踏まえ、実地調査における指摘事例集についても委員会ウェブサイトで公開し、必要に応じて更新していく。
（４）人材の育成・確保
委員会の所掌事務を確実に遂行するため、人材育成は重要な課題である。多様な人材の活用と育成のため、個人情報の保護及び利活用並びにマイナンバーの取扱いに係る監視・監督並びに個人データの国際的流通枠組構築への取組等の業務運営に必要な資質・職務遂行能力の向上を主な目的として研修を実施するほか、職員を外部の専門機関等が実施する研修（情報セキュリティや語学）にも積極的に参加させるなど、委員会内外の様々な機会を通じて人材育成に努める。
新規採用職員に対しては、メンター制度により豊富な知識と業務経験を有する職員が年間を通じて個別的な支援活動を行う。また、個人情報保護に関する資格の取得を義務付けることにより、今後の委員会業務の前提となる知識の着実な定着を図る。
近年の個人情報漏えいの事件・事故は、情報システムの不備や脆弱性、サイバー攻撃によるものが増えており、これに対応する事務局職員には、特にＩＴ・セキュリティの知見が不可欠であることから、幅広い年齢層の職員に、その素養を向上させる取組を重点的に実施する。
まず、サイバーセキュリティ分野における対応能力を習得及び向上させるとともに「政府機関におけるデジタル改革に必要なＩＴ・セキュリティ知識を有する人材の確保・育成
総合強化方針（令和３年７月６日サイバーセキュリティ対策推進会議・各府省情報化統括
責任者連絡会議決定）」に示された政府デジタル人材を確保・育成することを目的として、専門機関が実施するサイバーセキュリティ研修やＩＴリテラシー・セキュリティに関す

11

る研修等へ積極的に参加させ、専門的知識の習得や政府デジタル人材のスキル認定を行う。
また、ＩＴ・セキュリティ分野へのリスキリング（知識・技術の再習得）を支援するため、経済産業省が実施する「情報処理技術者試験」の受験を推奨し、受験者には教材の提供や有資格者からの受験指導等の支援を行う。
令和元年度から開始した、情報システム関連業務における課題解決等のスキルの習得を目的としたＩＴ研修について、技術系の事務局職員以外にも対象者を拡大するとともに、内容についてもプログラミング演習の回数を増やすなど、より実践的なスキル向上となるよう見直しを行いながら実施する。
人材確保については、法律分野だけでなく、特に情報通信技術に知見のある学生及び職務経験者を確保するため、採用説明会や採用案内パンフレットにおいて、技術職採用職員のインタビューやキャリアパスの掲載を行い、新規採用及び中途採用を問わず幅広い層から人材を確保する。

12

別添１
個人情報保護委員会の国際戦略
令和５年３月日
個人情報保護委員会
近年、デジタル社会の進展に伴うデータの流通の増加、特に経済・社会活動のグローバル化及び情報通信技術の進展に伴い、個人情報を含むデータの円滑な越境流通の重要性が更に増している。こうした状況下において、日本政府は、2019 年に「信頼性のある自由なデータ
流通（ＤＦＦＴ: Data Free Flow with Trust）」を提唱し、特に日本がＧ７ホスト国である 2023 年は、政府全体としてＤＦＦＴを推進している。
こうした中、個人情報保護の分野では、世界各国においてそれぞれ独自の個人情報保護法制を整備する動きが進んでおり、各国の法制等の世界潮流の把握や企業活動のグローバル化に伴う各国当局との連携の強化、データローカライゼーションや無制限なガバメントアクセ
スといったリスクへ対応するために国際機関等との協議を更に進めること、プライバシー強化技術（ＰＥＴs：Privacy Enhancing Technologies）の活用等が求められている。
また、国内においても、デジタル社会の形成を図るための関係法律の整備に関する法律（令和３年法律第 37 号）による個人情報保護法の改正等による公的部門の一元化の施行に伴い、公的部門による個人情報の適切な取扱いの確保への対応も求められることとなる。
個人情報保護委員会（以下「委員会」という。）は、従前より、ＤＦＦＴ推進のための施策に取り組んでいるほか、各国の法制等の世界潮流の把握、各国当局との連携の強化等を進めているところであるが、上記の状況を踏まえ、委員会が主体となって進める国際的な取組に係る当面の戦略を明確化するものである。
１．ＤＦＦＴ推進の観点から個人情報を安全・円滑に越境移転できる国際環境の構築
ＤＦＦＴに関連する国際枠組み等において、個人情報の保護が十分に確保されるよう協議を進める。特に、日本がＧ７ホスト国であることを念頭に、基本的な価値観を共有する米国、欧州、Ｇ７、ＯＥＣＤ諸国と緊密に協議を重ねるとともに、アジア太平洋諸国等との協力関係の強化、ひいてはＤＦＦＴに資するグローバルスタンダードの確立を目指す。また、個人データの越境移転について、各国の個人情報保護制度の多様性を前提に、排他的なアプ
ローチには与せず、異なる法制度や国際枠組みが共存し、相互運用性のある国際環境の構築を目指す。事業者側のニーズを把握した上で、ビジネスの態様や規模に応じて、複数の選択肢から利用しやすい越境移転のスキームを選ぶことができる国際環境の創出を目指す。
ＤＦＦＴの具現化に向け、Ｇ７及びＧＰＡ（世界プライバシー会議）、ＡＰＰＡ（アジア太平洋プライバシー機関）等の国際フォーラムにおいてＤＦＦＴの推進を働きかけるとともに、事業者の国境を越えた活動を支援する観点より、次のことに取り組む。
 Ｇ７データ保護・プライバシー機関ラウンドテーブル会合を開催し、ＤＦＦＴ推進の観点から、個人データの越境移転ツールについて相互運用性のある国際環境の構築に向けた対外的なメッセージを発信するとともに、ＤＦＦＴの更なる推進に向けた行動
計画を作成する。

13 グローバルＣＢＰＲ（越境プライバシールール）システムの利用拡大を中心とした国際的な企業認証スキームの推進、グローバルなモデル契約条項の導入を目指す。
 我が国と同等の水準にあると認められる個人情報保護制度を有する国・地域との間の相互に円滑な個人データ移転の枠組み（相互認証の枠組み）の更なる発展を図る。特に、日ＥＵ間・日英間の相互認証の枠組みについて、その対象範囲の公的部門・学術研究分野への拡大に向けて協議を進める。
 ＤＦＦＴを脅かす無制限なガバメントアクセスやデータローカライゼーション等のリ
スクに対応するため、ＯＥＣＤ等の場において協議を進め、グローバルスタンダードの形成に取り組む。
 通商関連等の国際協定の交渉においても、個人情報の保護が十分に確保できるよう協議に参画する。
２．国際動向の把握と情報発信
各国の個人情報保護機関や個人情報保護関連の専門家とのネットワークの構築・発展を目指すとともに、技術革新や社会的課題等への対応について、関連情報や問題意識について各国と共有を図りつつ、世界の潮流を踏まえた上で、我が国の政策立案に活かしていく。具体的には、次のことに取り組む。

ＧＰＡ、ＡＰＰＡ等の国際フォーラムのほか、民間団体主催の会合等にも積極的に参画する。

国際フォーラムにおいて、我が国の取組を積極的に発信するとともに、関係国の対応の把握、各国との連携の深化を図るため、国際会議の主催に向けた準備を進める。

委員会が収集した情報については、広く発信し、国境を越えて活動する事業者が活用できるようにする。特に、企業のニーズを把握した上で、諸外国の個人情報保護法制に関する情報を発信する。
３．国境を越えた執行協力体制の強化
事業者の国境を越えた活動の増加や個人情報を含むデータの国境を越えた流通の増大を受け、自国のみでは対応できない事案の一層の増加が予想されることから、委員会が対応する
個別の執行事案について、関係各国・機関等との連携を推進し、各国からの協力が必要な時に得られるよう協力関係をより強化する。具体的には、次のことに取り組む。
 各国の執行当局が参加する国際的な枠組みに参加するほか、戦略的に連携が求められる各国の執行当局を中心に緊密な協力関係を築いていく。
 また、各国の執行当局との二国間の執行協力の枠組みに係る取決め（ＭＯＣ：
Memorandum of Cooperation）の締結を検討する。

（以上）

14

別添２
改正個人情報保護法等に関する令和５年度の地方公共団体等に対する監視・監督方針
令 和 ５ 年 ３ 月 15 日
個人情報保護委員会
個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「個人情報保護法」という。）は、デジタル社会の形成を図るための関係法律の整備に関する法律（令和３年法律第37 号）による個人情報保護法の改正（以下「令和３年改正法」という。）により改正され、
令和３年改正法は令和５年４月１日に全面施行される（以下、本書記載の条文番号は特記な
き限り、令和５年４月１日施行後の個人情報保護法の条文番号を指す。）。
上記の改正により、地方公共団体の機関及び地方独立行政法人（以下「地方公共団体等」という。）の保有個人情報の漏えい等事案であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるもの 1が生じた場合の個人情報保護委員会（以下「委員会」という。）への報告の義務化や、委員会による監視対象に地方公共団体等が含まれるようになる等、委員会の監視・監督権限が拡大された。そのため、委員会において、地方公共団体等に対するマイナンバーの監視・監督活動を引き続き着実に実施しつつ、これらの権限拡大を踏まえた令和５年度の監視・監督方針を示すものとする。
１．改正個人情報保護法に係る監視・監督の基本方針（１）日常の監視
地方公共団体等は、民間部門と異なり、法令等により個人情報等を取得する権限を有し、また、保有する個人情報が多大となりうることから、透明性と信頼性の確保が特に重要である。こうした点を踏まえて、委員会は、保有個人情報の漏えい等事案の報告（第 68条第 1 項）、個人情報保護法に関する総合的な案内所（個人情報保護法相談ダイヤル）への通報、メディア報道等による情報の取得など多角的な方法により、きめ細かく事案の端緒の把握を行う。
（２）計画的な実地調査等
令和５年度以降、地方公共団体等は、第 66 条第１項に基づき、保有する個人情報について安全管理措置を講ずることが求められるところ、委員会は、第 156 条の権限行使として、毎年、委員会において議決した調査計画に基づき、対象の地方公共団体等を選定して計画的な実地調査等を行い、当該安全管理措置の実施状況等について確認を行う。
実地調査等は、行政手続における特定の個人を識別するための番号の利用等に関する法
律（平成 25 年法律第 27 号。以下「マイナンバー法」という。）第 35 条の権限行使として

1

個人情報保護委員会規則第 43 条で次のとおり定められている。①要配慮個人情報を含む保有個人情報の漏えい等又はそのおそれ、②不正に利用されることにより財産的被害が生じるおそれがある保有個人情報の漏えい等又はそのおそれ、③不正アクセス等不正の目的をもって行われたおそれがある保有個人情報の漏えい等又はそのおそれ、④100 人超の保有個人情報の漏えい等又はそのおそれ、⑤条例要配慮個人情報を含む保有個人情報の漏えい等又はそのおそれ。

15

行う立入検査等と一体的に行うことにより、効率的かつ効果的に実施する。
令和５年度は、過去の漏えい等事案の有無やその規模等による漏えい等のリスク評価をベースに優先度を付した上で、その中から、マイナンバー法に基づく立入検査等との一体性や実地訪問の効率性、地域バランス等も加味し、約 50 機関を対象として実地調査等を行う予定である。
実地調査等に当たっては、地方公共団体等の規模・所在を踏まえ、必要に応じて、調査体制を柔軟に編成するとともに、デジタル技術の活用により、効率化を図る。
委員会は、実地調査等により、個人情報保護法及び委員会が公表している各種ガイドラ
イン等に照らし、不適切又は違法な個人情報等の取扱いがなされているか否かを明らかにし、機動的に必要な指導・助言等を行う（第 157 条～第 159 条）とともに、改善が確認できるまでフォローアップを継続していく。
実地調査等において不備事項が確認された地方公共団体に対しては、必要に応じて、当該地方公共団体のマネジメント層との間でハイレベルのリスクコミュニケーションの場を設け、改善に向けた的確かつ迅速な取組を促すとともに、リスク管理等に関する意見交換を実施することで、調査では明確になり難いガバナンス面等の課題についても把握し、アドバイス等の支援を実施する。
また、実地調査等の対象とした機関名、指摘事項の概要等については、原則として、「上半期における個人情報保護委員会の活動実績」及び第 168 条の規定に基づき毎年国会に報告する「個人情報保護委員会年次報告」に記載し、委員会ウェブページ等で公表することとする。
（３）施行状況調査等
令和５年度から地方公共団体等に個人情報保護法が適用されることを受け、個人情報フ
ァイルの保有状況や個人情報ファイルに含まれる保有個人情報の利用目的以外の目的のための利用又は提供の状況、安全管理措置の実施状況等、同年度の同法の施行の状況について、その翌年度となる令和６年度に報告を求める（第 165 条第１項）。報告内容は委員会において令和６年度中にとりまとめ、各地方公共団体等の個別の回答内容を含む結果の概要を公表する（第 165 条第２項）。
かかる調査の実施に向けて、令和５年度中に地方公共団体等に対し、調査項目や具体的な調査手法等に関する周知を行う。
また、令和６年度に求める報告までの間、個人情報保護法に基づく施行状況調査とは別
途、任意の調査により、個人情報ファイルを保有する地方公共団体等における安全管理措置の実施状況等の個人情報の取扱実態（令和４年９月末時点）を把握する。
（４）事案対応
地方公共団体等において、保有個人情報の漏えい等事案が発覚した場合、令和５年度以降、委員会に事案の概要、原因、再発防止のための措置などについて速やかに報告することが義務化される（第 68 条）。
委員会は、当該地方公共団体等において、初動対応や原因の究明、再発防止策の検討等

16

を行うにあたり、必要な場合には指導・助言等を行う。また、個人情報保護法及び委員会
が公表している各種ガイドライン等に照らし、不適切又は違法な個人情報等の取扱いがなされている場合は、機動的に権限行使を行い、個別に是正を促していくとともに、事案によっては、地方公共団体等全体に対して注意喚起を発するなど、重層的な対応を進めていく。
また、不正アクセスによる大きな漏えい等事案が発生した場合においては、必要に応じて、サイバーセキュリティ関係省庁・機関等と共同で事実確認や対処を行うなど、緊密に連携して対応していく。
（５）周知・啓発・研修の基本方針
地方公共団体の機関のうち、個人情報を取り扱うのは、都道府県、市区町村、一部事務組合・広域連合など広範囲に及ぶことに加え、都道府県・市区町村においては、首長部
局、行政委員会等で多くの職員が個人情報を取り扱うことから、個別の監視・監督活動に加えて、幅広く周知・啓発を行い、個人情報の適正な取扱いの確保に加え、更なる安全管
理措置の底上げを図ることで漏えい等を未然に防止するとともに、漏えい等事案が発生した場合の委員会への報告を含む漏えい等事案に対応するための体制の整備を促していく。
そのため、直接的・双方向のコミュニケーションの機会となるオンラインセミナーを地方ブロック単位ですべての都道府県・市区町村を対象として開催する。セミナーの内容については、従前の説明会等の内容に加えて、典型的な実地調査等の指摘事項・漏えい等の事案等と対応策、個人情報の取扱状況や実態等に関する直近の調査結果、法令等の最新の改正内容、質疑応答など、個人情報の適正な取扱いの確保に資する包括的かつ実態に即したより効果的なものとする。また、委員会から既に公表している様々な参考資料等を案内し、これらの更なる活用を促していく。
また、地方公共団体情報システム機構との共催による動画研修・リモートラーニング等
をはじめとして、全国の地方公共団体の職員を対象とした総合的な研修機関等と連携し、様々な媒体を活用して、個人情報の適正な取扱いの確保から安全管理措置に至るまで、幅広い対象の多くの職員へ研修を実施していくとともに、研修資料・動画といったコンテンツを各地方公共団体の研修担当課・研修センターへ提供することなどにより、各地方公共団体自身による研修実施についても促していく。さらに、必要に応じて、関係省庁等とも連携し、相手方省庁等の周知・啓発チャンネルの活用や、共同での周知・啓発の実施など、より効果的な周知・啓発を図っていく。
そのほか、都道府県・市区町村に対し、個人情報の漏えい等事案が発生したケースを想定した訓練を実施することにより、漏えい等事案に対応するための体制の整備を促すとともに、訓練で得た知見を周知することで、マイナンバーを含めた個人情報の適正な取扱いを促進する。
２．マイナンバー法に係る監視・監督の基本方針（１）計画的な立入検査等
マイナンバー法第 35 条の権限行使として、毎年、委員会において議決した検査計画に17

基づき、対象の地方公共団体等を選定して計画的な立入検査等を行う。
立入検査等は、第 156 条の権限行使として行う実地調査等と一体的に行うことにより、効率的かつ効果的に実施する。
令和５年度は、過去の漏えい等事案の有無やその規模、過去の立入検査の結果、定期報
告（後述）の結果、特定個人情報保護評価書の数等のリスク評価に有用な情報を分析し、優先度付けした上で、その中から、個人情報保護法に基づく実地調査等との一体性や実地訪問の効率性、地域バランス等も加味し、約 50 機関を対象として立入検査等を行う予定である。
立入検査等に当たっては、地方公共団体等の規模・所在を踏まえ、必要に応じて、検査体制を柔軟に編成するとともに、デジタル技術の活用により、効率化を図る。
また、すべての検査項目について底上げを図りつつ、これまでの検査結果の傾向を踏まえ、対応状況が芳しくない個別の検査項目について重点的に改善を図っていく。加えて、
マイナンバー法第 28 条に基づく特定個人情報保護評価（リスク評価）と委員会による立入検査等（リスク管理状況の検証）を従前よりも連動させることにより、相乗効果を発揮
させ、リスク評価・検証の精度向上を図るなど、一層効果的に検査を行っていく。
委員会は、立入検査等により、マイナンバー法及び委員会が公表しているガイドライン
等に照らし、不適切又は違法な特定個人情報の取扱いがなされているか否かを明らかにし、機動的に必要な指導・助言等を行う（マイナンバー法第 33 条～第 35 条）。
立入検査等において不備事項が確認された地方公共団体に対しては、必要に応じて、当該地方公共団体のマネジメント層との間でハイレベルのリスクコミュニケーションの場を設け、改善に向けた的確かつ迅速な取組を促すとともに、リスク管理等に関する意見交換を実施することで、検査では明確になり難いガバナンス面等の課題についても把握し、アドバイス等の支援を実施する。
また、令和５年度以降は、立入検査等の対象とした機関名、指摘事項の概要等について、原則として、「上半期における個人情報保護委員会の活動実績」及び第 168 条の規定に基づき毎年国会に報告する「個人情報保護委員会年次報告」に記載し、委員会ウェブページ等で公表することとする。
（２）定期的な報告
立入検査等の対象とならない機関も含め、特定個人情報ファイルを保有する地方公共団
体等から、マイナンバー法に基づく定期報告を受け、特定個人情報の取扱い状況及び安全
管理措置の実施状況を把握する。

以 上18