特定個人情報保護評価の概要

平成30年５月（令和６年５月最終改訂）
個人情報保護委員会事務局

目 次
１．特定個人情報保護評価の意義・・・・・・・・・・・・・・・・・・・１
２．特定個人情報保護評価の実施主体・・・・・・・・・・・・・・・２
３．特定個人情報保護評価の対象・・・・・・・・・・・・・・・・・・・３
４．特定個人情報保護評価の実施手続・・・・・・・・・・・・・・・８
特定個人情報保護評価計画管理書 ・・・・・・・・・・・９
基礎項目評価 ・・・・・・・・・・・・・・・・・・・・・・・・・・・・１０
重点項目評価 ・・・・・・・・・・・・・・・・・・・・・・・・・・・・１１
全項目評価 ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・１２
５．特定個人情報保護評価の実施時期・・・・・・・・・・・・・・・１４
６．特定個人情報に関する重大事故・・・・・・・・・・・・・・・・・・１８
７．特定個人情報保護評価に係る違反に対する措置・・・・・２１

１．特定個人情報保護評価の意義
特定個人情報保護評価の基本理念○ 特定個人情報保護評価は、番号制度の枠組みの下での制度上の保護措置の１つであり、特定個人情報ファイルの適正な取扱いを確保することにより特定個人情報の漏えいその他の事態の発生を未然に防ぎ、個人のプライバシー等の権利利益を保護することを基本理念とする。

特定個人情報保護評価の目的○ 事前対応による個人のプライバシー等の権利利益の侵害の未然防止○ 国民・住民の信頼の確保

特定個人情報保護評価の内容○ 特定個人情報保護評価は、諸外国のプライバシー影響評価（Privacy Impact Assessment:PIA）に相当するものであり、特定個人情報ファイルを保有しようとする者又は保有する者が、特定個人情報の漏えいその他の事態を発生させるリスクを分析し、そのようなリスクを軽減するための措置を講ずること、さらにこのような措置が個人のプライバシー等の権利利益の保護措置として十分であると認められることを自ら宣言するもの。

根拠法令等○ 行政手続における特定の個人を識別するための番号の利用等に関する法律（平成25年法律第27号。以下「番号法」という。）第27条・第28条○ 特定個人情報保護評価に関する規則（平成26年特定個人情報保護委員会規則第１号）○ 特定個人情報保護評価指針（平成26年特定個人情報保護委員会告示第４号。以下「指針」という。）

１２．特定個人情報保護評価の実施主体
特定個人情報保護評価の実施が義務付けられる者
次に掲げる者（行政機関の長等）のうち特定個人情報ファイルを保有しようとする者又は保有する者
は、特定個人情報保護評価の実施が原則義務付けられる。
○ 行政機関の長○ 地方公共団体の長その他の機関○ 独立行政法人等○ 地方独立行政法人○ 地方公共団体情報システム機構○ 情報提供ネットワークシステムを使用した情報連携を行う事業者

特定個人情報ファイルの「保有」とは○ 特定個人情報の利用、提供、廃棄等の取扱いについて判断する権限を有する、事実上支配している状態のこと。
○ 番号法別表（第９条関係）の下欄に掲げる事務（準法定事務を含む。）、同条第２項の規定に基づき地方公共団体が条例で定める事務、同条第３項から第６項までに規定する事務、住民基本台帳法に基づく住民票に関する事務の処理に関して特定個人情報を保有する場合などがある。

実施が義務付けられる者が複数いる場合等の特定個人情報保護評価○ 特定個人情報ファイルを保有しようとする者又は保有する者が複数存在する場合には、実態やリスク対策を把握し、記載事項に責任を負う立場にある者が取りまとめる。
○ 特定個人情報ファイルを保有する者又は保有する者以外に特定個人情報ファイルに関わる者が存在する場合は、適切に実施されるよう協力する。

２

３．特定個人情報保護評価の対象
特定個人情報保護評価の対象○ 特定個人情報保護評価の対象は、特定個人情報ファイルを取り扱う事務。
○ 原則として法令上の事務ごと、番号法別表に掲げる事務ごとに実施。
○ 評価実施機関の判断で法令上の事務を分割又は統合した事務の単位で実施することも可。

特定個人情報保護評価の実施が義務付けられない事務○ 特定個人情報ファイルを取り扱う事務のうち、次に掲げる事務は特定個人情報保護評価の実施が義務付けられない。
ア 職員又は職員であった者等の人事、給与、福利厚生に関する事項又はこれらに準ずる事項を記録した特定個人情報ファイルのみを取り扱う事務イ 手作業処理用ファイル（紙ファイルなど）のみを取り扱う事務
ウ 対象人数が1,000人未満の事務
エ １つの事業所の事業主が単独で設立した健康保険組合等が保有する被保険者等の医療保険に関する事項を記録した特定個人情報ファイルのみを取り扱う事務オ 公務員又は公務員であった者等の共済に関する事項を記録した特定個人情報ファイルのみを取り扱う事務
カ 情報提供ネットワークシステムを使用する事業者が保有する、情報提供ネットワークシステムと接続しない特定個人情報ファイルのみを取り扱う事務
キ 会計検査院が検査上の必要により保有する特定個人情報ファイルのみを取り扱う事務３特定個人情報ファイルとは○ 特定個人情報ファイルとは、個人番号をその内容に含む個人情報ファイル又は個人情報データベース等をいう。
○ 特定個人情報ファイルの単位は、その使用目的に基づき、評価実施機関が定めることができる。

（１）「個人情報ファイル・個人情報データベース等」とは個人情報ファイル・個人情報データベース等とは、個人情報を含む情報の集合体であって、ア 個人情報を検索することができるように体系的に構成したもの

イ 電子計算機用ファイルと手作業処理用ファイル双方を含む。
※

なお、手作業処理用ファイルのみを取り扱う事務は特定個人情報保護評価の実施が義務付けられない。

４

（２）「個人番号をその内容に含む個人情報ファイル」とは○ 個人番号をその内容に含む個人情報ファイルとは、単に個人番号が含まれているテーブルのみを意味するのではなく、個人番号にアクセスできる者が、個人番号と紐付けてアクセスできる情報を意味しており、これが特定個人情報ファイルとなる。（特定個人情報保護評価指針の解説（以下「指針の解説」という。）第４の３解説本文）

テーブル

データベース

注：太線のテーブルのみに個人番号が存在する場合

個人番号 に アクセ スできる者が 個人番号 と紐付け てアクセス できる範囲が実線の範 囲⇒ 実線の範囲が特定個人情報ファイル

システム

①

②

個 ③

④

個人番号

業務情報③

業務情報①

業務情報④

業務情報②

業務情報⑤

⑤⑥５

○ アクセス制御等により、不正アクセスを行わない限
り、個人番号を含むテーブルにアクセスできない場合は、原則、特定個人情報ファイルに該当しない。

○ 個人番号が画面上表示されない場合であっても、システム上で個人番号にアクセスし、システム内部で検索キーとして個人番号を利用する場合などは、特定個人情報ファイルに該当する。

データベーステーブル

注：太線のテーブルのみに個人番号が存在する場合

実線のテーブルにアクセスできる者は、アクセス制御により個人番号にアクセスできない⇒ 実線の範囲は特定個人情報ファイルではない
アクセス制御

①②

個 ③

業務情報①

データベーステーブル

注：太線のテーブルのみに個人番号が存在する場合

個人番号が画面上表示されないが、システム内部で個人番号が検索キーとして利用され、個人番号により紐付けてアクセスできる⇒ 実線の範囲は特定個人情報ファイル

システム

システム

④⑤⑥

①②

個 ③

個 ④⑤⑥

業務情報①
業務情報⑤

業務情報②

業務情報②
業務情報⑥

６

（３） 既存番号で連携している場合の特定個人情報ファイルの考え方○ 既存番号で連携している場合であって、アクセス制御等により個人番号そのものにはアクセスできず、個人番号以外の情報のみアクセスできるように制御されている場合は、特定個人情報ファイルには該当しない。
アクセス制御

①②③

既④

既⑤

⑥

個

⑦⑧

個

既連携

既存番号

業務情報③

業務情報①

業務情報④

業務情報②

業務情報⑤

特定個人情報ファイルではない○ 既存番号で連携している場合であっても、アクセス制御がされておらず、個人番号そのものにアクセスできる場合は、特定個人情報ファイルに該当する。

①②

既

③

④

既
連携

既存番号

業務情報③

業務情報①

業務情報④

業務情報②

業務情報⑤

既⑤

⑥個

⑦⑧個

特定個人情報ファイル※画面には業務情報①～⑤と既存番号しか表示されない場合であっても、システムの内部で業務情報⑥～⑧と個人番号にアクセスできる場合には、紫の実線が特定個人情報ファイルに該当することとなる。

７

４．特定個人情報保護評価の実施手続
特定個人情報保護評価計画管理書○ 特定個人情報保護評価を計画的に実施し、実施状況を適切に管理するために、最初の特定個人情報保護評価を実施する前に作成する。
○ 特定個人情報保護評価書を個人情報保護委員会（以下「委員会」という。）へ提出する際に、併せて提出する。特定個人情報保護評価書の修正等があった場合は、その都度更新し、併せて提出する。

特定個人情報保護評価の実施※ 対象人数が1,000人未満は特定個人情報保護評価の実施が義務付けられない

しきい値判断30万人
以上

1,000人以上
1万人未満

対象人数は何人か
１０万人以上３０万人未満

１万人以上
１０万人未満

特定個人情報ファイルの取扱者数は500人以上か

特定個人情報ファイルの取扱者数は500人以上か

いいえ

はい

はい

過去１年以内に、特定個人情報に関する重大事故を発生させたか

はい

基礎項目評価＋全項目評価○ 基礎項目評価書については、委員会に提出後、公表。
○ 行政機関等は全項目評価書について国民の意見聴取を実施し、委員会の承認を受けた後、公表。
○ 地方公共団体等は全項目評価書について住民等の意見聴取を実施し、第三者点検を行った後、公表

いいえ

いいえ
過去１年以内に、特定個人情報に関する重大事故を発生させたか

はい

基礎項目評価＋重点項目評価○ 委員会に基礎項目評価書及び重点項目評価書を提出後、公表。

いいえ

基礎項目評価○ 委員会に基礎項目評価書を提出後、公表。

実施後に必要となる手続○ 重要な変更を加えようとするとき、特定個人情報に関する重大事故の発生等によりしきい値判断の結果が変わり新たに重点項目評価又は全項目評価を実施するものと判断されたときは、特定個人情報保護評価を再実施。
○ 上記以外の変更が生じたときは、特定個人情報保護評価書を修正・公表。
○ 少なくとも１年に１回は特定個人情報保護評価書の見直しを行うよう努める。
○ 一定期間（５年）経過前に特定個人情報保護評価の再実施を行うよう努める。

８特定個人情報保護評価計画管理書
記載事項
特定個人情報保護評価計画管理書
評価書番号
法令上の根拠事務の名称
システムの名称
情報連携
基礎項目評価
前回実施日
次回実施予定日
しきい値判断重点項目／全項目評価
前回実施日
次回実施予定日
備考
担当部署（別添１） システム概要図（別添２） 各システムの個人番号へのアクセス目的○ 特定個人情報ファイルを取り扱う事務とシステムの全体像を把握し、特定個人情報保護評価を実施する事務の単位を適切に判断○ 特定個人情報保護評価の適切な計画及び管理手続○ 作成は「評価実施機関単位」○ 最初の特定個人情報保護評価を実施する前に作成し、特定個人情報保護評価書を委員会へ提出する際に併せて提出○ 特定個人情報保護評価書を提出するたび、更新して委員会へ提出
○ 非公表

９

基礎項目評価
記載事項
Ⅰ 関連情報Ⅱ しきい値判断項目
１．対象人数
評価対象の事務の対象人数は何人か
２．取扱者数
特定個人情報ファイルの取扱者数は500人以上か
３．重大事故過去１年以内に、評価実施機関において特定個人情報に関する重大事故が発生したかⅢ しきい値判断結果
Ⅳ リスク対策
１．提出する特定個人情報保護評価書の種類
２．特定個人情報の入手（情報提供ネットワークシステムを通じた入手を除く。）
３．特定個人情報の使用
４．特定個人情報ファイルの取扱いの委託
５．特定個人情報の提供・移転（委託や情報提供ネットワークシステムを通じた提供を除く。）
６．情報提供ネットワークシステムとの接続
７．特定個人情報の保管・消去
８．監査
９．従業者に対する教育・啓発

１０重点項目評価
記載事項
Ⅰ 基本情報Ⅱ 特定個人情報ファイルの概要
１．名称 ２．基本情報 ３．特定個人情報の入手・使用
４．特定個人情報ファイルの取扱いの委託
５．特定個人情報の提供・移転（委託に伴うものを除く。）
６．特定個人情報の保管・消去 ７．備考
Ⅲ リスク対策
１．特定個人情報ファイル名
２．特定個人情報の入手（情報提供ネットワークシステムを通じた入手を除く。）
３．特定個人情報の使用
４．特定個人情報ファイルの取扱いの委託
５．特定個人情報の提供・移転（委託や情報提供ネットワークシステムを通じた提供を除く。）
６．情報提供ネットワークシステムとの接続
７．特定個人情報の保管・消去
８．監査
９．従業者に対する教育・啓発
１０．その他のリスク対策
Ⅳ 開示請求、問合せ
１．特定個人情報の開示・訂正・利用停止請求
２．特定個人情報ファイルの取扱いに関する問合せ
Ⅴ 評価実施手続

１１

全項目評価記載事項
Ⅰ 基本情報Ⅱ 特定個人情報ファイルの概要
１．名称 ２．基本情報 ３．特定個人情報の入手・使用
４．特定個人情報ファイルの取扱いの委託
５．特定個人情報の提供・移転（委託に伴うものを除く。）
６．特定個人情報の保管・消去 ７．備考
Ⅲ 特定個人情報ファイルの取扱いプロセスにおけるリスク対策
１．特定個人情報ファイル名
２．特定個人情報の入手（情報提供ネットワークシステムを通じた入手を除く。）
３．特定個人情報の使用
４．特定個人情報ファイルの取扱いの委託
５．特定個人情報の提供・移転（委託や情報提供ネットワークシステムを通じた提供を除く。）
６．情報提供ネットワークシステムとの接続
７．特定個人情報の保管・消去
Ⅳ その他のリスク対策
１．監査 ２．従業者に対する教育・啓発
３．その他のリスク対策
Ⅴ 開示請求、問合せ
１．特定個人情報の開示・訂正・利用停止請求
２．特定個人情報ファイルの取扱いに関する問合せ
Ⅵ 評価実施手続

１２

第三者点検指針（第１０ １（２））○ 地方公共団体等が全項目評価を実施する
際は、委員会へ全項目評価書を提出する前に第三者点検を受ける必要がある。
○ 個人情報保護審議会又は個人情報保護審査会による点検が原則。審議会又は審査会による点検が困難な場合は、専門性（個人情報の保護や情報システム）を有する外部の第三者によることも可。
○ 第三者点検の目的は、特定個人情報保護評価の適合性・妥当性を客観的に担保すること。
○ 委員会による行政機関等の全項目評価書の承認に際しての審査の観点を参考にすることができる。

第10 委員会の関与
１ 特定個人情報保護評価書の承認（２）審査の観点
委員会は、全項目評価書の承認に際し、適合性及び妥当性の２つの観点から審査を行う。
ア 適合性
この指針に定める実施手続等に適合した特定個人情報保護評価を実施しているか。
・ しきい値判断に誤りはないか。
・ 適切な実施主体が実施しているか。
・ 公表しない部分は適切な範囲か。
・ 適切な時期に実施しているか。
・ 適切な方法で広く国民の意見を求め、得られた意見を十分考慮した上で必要な見直しを行っているか。
・ 特定個人情報保護評価の対象となる事務の実態に基づき、特定個人情報保護評価書様式で求められる全ての項目について検討し、記載しているか。 等
イ 妥当性
特定個人情報保護評価の内容は、この指針に定める特定個人情報保護評価の目的等に照らし妥当と認められるか。
・ 記載された特定個人情報保護評価の実施を担当する部署は、特定個人情報保護評価の対象となる事務を担当し、リスクを軽減させるための措置の実施に責任を負うことができるか。
・ 特定個人情報保護評価の対象となる事務の内容の記載は具体的か。当該事務における特定個人情報の流れを併せて記載しているか。
・ 特定個人情報ファイルを取り扱うプロセスにおいて特定個人情報の漏えいその他の事態を発生させるリスクを、特定個人情報保護評価の対象となる事務の実態に基づき、特定しているか。
・ 特定されたリスクを軽減するために講ずべき措置についての記載は具体的か。
・ 記載されたリスクを軽減させるための措置は、個人のプライバシー等の権利利益の侵害の未然防止、国民・住民の信頼の確保という特定個人情報保護評価の目的に照らし、妥当なものか。
・ 個人のプライバシー等の権利利益の保護の宣言は、国民・住民の信頼の確保という特定個人情報保護評価の目的に照らし、妥当なものか。 等

１３

５．特定個人情報保護評価の実施時期
１．新規保有時○ 特定個人情報ファイルを保有しようとする前に、特定個人情報保護評価を実施しなければならない。（実施とは特定個人情報保護評価書の公表までを指す。）※ 災害発生時の対応等の場合は、保有後可及的速やかに実施。

（１）システム用ファイルを保有しようとする場合の実施時期
・遅くともプログラミングの開始前の適切な時期に、特定個人情報保護評価を実施する。
要件定義

基本設計

詳細設計

プログラミング

テスト

システム運用開始

特定個人情報保護評価を実施しなくてはならない時期
本番データの取扱い（２）その他の電子ファイルを保有しようとする場合の実施時期
・システム用ファイル以外の電子ファイルについては、事務処理の検討段階で特定個人情報保護評価を実施する。
事務処理の検討段階

ファイルの作成等

業務の運用開始

特定個人情報保護評価を実施しなくてはならない時期
本番データの取扱い

１４

（３）パッケージシステムを適用する場合の実施時期
ア ノンカスタマイズの場合・システムへの適用を実施する前までに特定個人情報保護評価を実施する。
パッケージの選定

カスタマイズの必要性の分析

業務要件の検討

設計

適用

システム運用開始

テスト

特定個人情報保護評価を実施しなくてはならない時期
本番データの取扱い

イ カスタマイズの場合
・カスタマイズ開発を実施する前までに特定個人情報保護評価を実施する。
パッケージの選定

業務要件の検討

カスタマイズの必要性の分析

カスタマイズ設計

システムの適用

カスタマイズ開発

テスト

システム運用開始

特定個人情報保護評価を実施しなくてはならない時期
本番データの取扱い

１５

２．新規保有時以外○ 過去に特定個人情報保護評価を実施した特定個人情報ファイルを取り扱う事務について、特定個人情報保護評価の再実施を行うのは次の（１）～（３）の場合。
（１）特定個人情報ファイルに重要な変更（※）を加えようとする場合、当該変更を加える前に再実施しなければならない。
（２）しきい値判断の結果が変わり、新たに重点項目評価又は全項目評価を実施するものと判断された場合は、速やかに再実施しなければならない。
（３）直近の特定個人情報保護評価書を公表してから５年を経過する前に、特定個人情報保護評価を再実施するよう努める。
※

重要な変更とは、重点項目評価書又は全項目評価書の記載項目のうち、指針の別表に定めるものについての変更をいう。様式中に※が付されている項目の変更は、重要な変更に該当。

１６

３．実施時期の特例（緊急時の事後評価）○ 特定個人情報ファイルを保有等しようとする場合、特定個人情報ファイルを保有する前（又は特定個人情報ファイルに重要な変更を加える前）に実施すること（事前評価）が原則。
○ ただし、災害その他やむを得ない事由 （※）により、緊急に特定個人情報ファイルを保有等する必要がある場合には、規則第９条第２項の規定（緊急時の事後評価）に基づき、特定個人情報ファイルの保有等の後速やかに特定個人情報保護評価を実施するものとされている。この場合、特定個人情報保護評価を実施することが困難であった状態が解消された時点などの適切な時期において、可及的速やかに特定個人情報保護評価を実施する必要がある。
※ 「業務が多忙なため」、「人手不足のため」等の理由は、「災害その他やむを得ない事由」には該当しない。

【緊急時の事後評価の適用対象とならない事務】
・ 既に個人番号利用事務等として定着している事務については、過去に特定個人情報保護評価を実施した実績があるものであり、「特定個人情報保護評価を事前に実施することが困難である」とはいえないことから、一定の緊急性がある場合であっても、原則どおり事前評価を行うこととされている。
・ 具体的には、例えば、特定公的給付の支給事務のうち、本人の範囲及び特定個人情報ファイルを取り扱うプロセスが類似する事務を過去に反復して実施している場合（例：子育て世帯への給付金、低所得世帯への給付金、出産・子育て応援給付金など、）は、事前評価を行う必要がある。
・ ただし、既に個人番号利用事務等として定着している事務であっても、著しい緊急性が認められる場合や、事前評価を行うことが著しく困難である場合（例：全項目評価の再実施が義務付けられており、特定個人情報ファイルの保有等の前に、国民・住民等への意見聴取や委員会による審査・第三者点検などの期間を確保することができない等）には、緊急時の事後評価の適用対象となり得る。

１７

６．特定個人情報に関する重大事故
１．定義○ 基本的には、「特定個人情報に関する漏えい等報告（※１）の報告対象事態（※２）」が「特定個人情報に関する重大事故」に該当する。ただし、次の３点について留意が必要。
① 漏えい等報告が行われた事案のうち、規則該当性が認められた事案（特定個人情報の漏えい等報告規則第２条各号のいずれかに該当するもの）が対象であるため、単に漏えい等報告を行った事案の全てが重大事故の対象になるわけではない。
② 「特定個人情報に関する漏えい等報告の報告対象事態」に該当するものであっても、配送事故等のうち評価実施機関の責めに帰さない事由による事態については、「特定個人情報に関する重大事故」に該当しない。

③ 「特定個人情報の重大事故」の定義において、漏えい等が発生した本人の数には、当該評価実施機関の従業者の数を含まない。
※１

番号法第29条の４の規定により、特定個人情報の安全の確保に係る事態であって「個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるもの」（具体的には※２の報告対象事態）が生じたときに、個人情報保護委員会に報告すること及び本人へ通知することが、法令上の義務となっている。
※２ 「特定個人情報に関する漏えい等報告の報告対象事態」とは、行政手続における特定の個人を識別するための番号の利用等に関する法律第二十九条の四第一項及び第二項に基づく特定個人情報の漏えい等に関する報告等に関する規則（平成27年特定個人情報保護委員会規則第５号）第２条各号のいずれかに該当する事態をいう（詳細は次ページを参照。）。

１８

【参考】特定個人情報に関する重大事故＜特定個人情報に関する漏えい等報告の報告対象事態＞※ 行政手続における特定の個人を識別するための番号の利用等に関する法律第29条の４第１項及び第２項に基づく特定個人情報の漏えい等に関する報告等に関する規則第２条各号のいずれかに該当する事態。
第１号
情報提供NWS等
人数

※２

情報

第３号
不特定多数の者に閲覧

第４号
百人超

１人以上

※１

対
象事
態

第２号
不正の目的

101人以上漏えい・滅失・毀損

漏えい・滅失・毀損
不正利用・提供

不特定多数の者に閲覧漏えい・滅失・毀損
番号法の規定に反する利用・提供

発生したおそれがある事態を含む発生したおそれがある事態を含む閲覧されるおそれがある事態を含む発生したおそれがある
事態を含む

特定個人情報（高度な暗号化等の措置を講じたものを除く。）＜特定個人情報に関する重大事故＞
特定個人情報に関する漏えい等報告の報告対象事態のうち、次の２点については、「特定個人情報に関する重大事故」に適用しないこととしている。
※１． 漏えい等が発生した特定個人情報に係る本人の数について、「重大事故」が「特に国民の懸念が強いものを捕捉するべく規定されている」ことに鑑み、「当該評価実施機関の従業者数」を除いている。
※２． 「配送事故等のうち評価実施機関等の責めに帰さない事由によるもの」については、（ワンランク上の評価書種別で再実施を行うとしても、）リスク対策等を見直すことは難しいことから、定義から除いている。

１９

２．特定個人情報に関する重大事故の発生○ 過去１年間の特定個人情報に関する重大事故の発生の有無は、しきい値判断項目の１つであり、過去１年間に特定個人情報に関する重大事故が発生した場合、次の対応が義務付けられる。
・ 基礎項目評価（対象人数が１万人未満の場合を除く。）又は重点項目評価（対象人数10万人未満の場合を除く。）の実施が義務付けられている事務について、それぞれ新たに重点項目評価又は全項目評価の実施が義務付けられる（しきい値判断のランクアップ）。
・ 重大事故が発生した場合、その事故を起こした事務や部署だけではなく、評価実施機関全体に対する国民・住民の信頼に関わると考えられることに加え、事故が発生した要因の分析及び再発防止策については、評価実施機関全体で取り組む必要があるため、当該評価実施機関において公表する全ての評価書がしきい値判断のランクアップ対象となる。

２０

７．特定個人情報保護評価に係る違反に対する措置○ 特定個人情報保護評価の未実施に対する措置
・ 特定個人情報保護評価を実施するものとされているにもかかわらず実施していない事務については、特定個人情報ファイルの適正な取扱いの確保のための措置が適切に講じられていないおそれがあることから、情報連携を行うことを禁止している。（番号法第28条第６項、第21条第２項）

・ 委員会の指導・助言、勧告・命令の対象となり得る。
○ 特定個人情報保護評価書の記載に反する特定個人情報ファイルの取扱いに対する措置
・ 特定個人情報ファイルの取扱いの実態が特定個人情報保護評価書の記載に反していた際は、委員会の指導・助言、勧告・命令の対象となり得る。

２１