特定個人情報保護評価指針の３年ごとの再検討による主な改正事項⑴ リスク対策の強化に係る改正⑵ 評価実施機関等の事務負担軽減ア

国民・住民等への意見聴取の方法の明確化「特定個人情報に関する重大事故」等の定義変更① 漏えい等が発生した特定個人情報に係る本人の数が少人数であっても、その内容が国民の不安を招く事案については、より詳細な評価書種別による評価の再実施を求めることとするため、「特定個人情報に関する重大事故」について、漏えい等報告における報告対象事態に該当するもの（※１）として定義を変更。
※１ 行政手続における特定の個人を識別するための番号の利用等に関する法律第二十九条の四第一項及び第二項に基づく特定個人情報の漏えい等に関する報告等に関する規則（平成27年特定個人情報保護委員会規則第５号）第２条各号に掲げるいずれかの事態※２ 配送事故等のうち評価実施機関の責めに帰さない事由による事態は、対象から除外する。また、当該事態に係る本人の数には、従前のとおり当該評価実施機関の従業者の数を含まない。

イ「緊急時の事後評価」の適用及び実施時期の明確化① 次の２点について、保護評価規則第９条第２項の解釈を明確化。
・ 一定の緊急性がある場合であっても、既に個人番号利用事務等として定着している事務を実施する場合は、原則どおり事前評価を実施するべきであること。
・ 事前評価が困難である場合についても、評価を行うことが困難であった状態が解消された時点などの適切な時期において、可及的速やかに評価を実施すべきであること。
② 緊急時の事後評価を適用し、提出又は公示した評価書については、その旨及びその理由を記載するよう基礎項目評価書の様式を改正。

ウ① 全項目評価を実施する際の、国民又は住民等に対する意見聴取について、インターネットを利用した方法によることも可能である旨を明確化（※）。
※ 従来より、インターネットを利用した方法により意見聴取を行うことは可能。
※ 他に効率性や周知性の高い手段がある場合には、「その他の適切な方法」に該当するものとして、インターネットを利用しない方法で意見聴取を行うことも可能。

⑶ その他
ア

システム標準化に向けた保護評価に係る留意点① 地方公共団体の基幹業務システムの統一・標準化を踏まえ、リスク対策の見直しが必要となること等について、「特定個人情報保護評価指針の解説」
において保護評価に係る留意点等の説明を追加。

イシステム等の改善による作業負担軽減等① 保護評価書の提出、公表処理について、より簡便な手順となるよう保護評価システムの改修を実施予定。
② 保護評価書の作成に当たって、編集・印刷等の作業がより容易になるよう、様式を改善。

基礎項目評価の実効性強化・人為的ミスに関するリスク対策強化① マイナンバー制度全体のリスク対策の底上げを促すとともに、人為的ミスに関する対策を強化するため、基礎項目評価書の様式を改正。
・ 「Ⅳ リスク対策」に、「８.人手を介在させる作業」及び「11.最も優先度が高いと考えられる対策」の記載項目を追加（選択肢及び自由記述欄）。
・ 「Ⅳ リスク対策」の主な措置の実施状況の評価について、「１）特に力を入れている」、「２）十分である」を選択できる具体的な水準を提示（※）。
※ 特定個人情報保護評価指針の解説（平成26年４月20日個人情報保護委員会：令和６年●月●日最終改正）において掲載。

施行日
令和６年４月１日（ただし、基礎項目評価書の改正規定（⑴イ②、⑴ウ※）については、令和６年10月１日施行）。
※ ⑴ウについては、施行日から起算して１年６月を経過するまでの間、旧様式を公表し続けることができる経過措置が設けられている。

1

基礎項目評価書の新様式への移行について①（⑴イ②、⑴ウ関係）○ 令和５年度の特定個人情報保護評価指針の３年ごとの再検討による基礎項目評価書の改正事項は、次のとおり。
※

なお、基礎項目評価書の記載内容の変更は、「重要な変更」に当たらず、「修正」として対応可能。

○ この他、マイナンバーガイドラインの参照箇所等（※）のリスク評価の参考となる情報をポップアップ形式で表示させる機能を追加。
※「Ⅳ リスク対策」の主な措置の実施状況の評価について、「２）十分である」を選択できる具体的な水準も表示。

「緊急時の事後評価」の適用及び実施時期の明確化○ 災害その他やむを得ない事由により、保護評価規則第９条第２項の規定（緊急時の事後評価）を適用し、特定個人情報ファイルを保有した後又は特定個人情報ファイルに重要な変更を加えた後に保護評価を実施した場合には、その旨及び適用した理由を記載するものとする。
○ 緊急時の事後評価を適用した後、原則どおり特定個人情報ファイルに重要な変更を加える前に再実施（事前評価）した場合は、当該項目のチェックを外し、「適用した理由」を空欄に戻すものとする。

９．規則第９条第２項の適用適用した ［

８．人手を介在させる作業
人為的ミスが発生するリスクへの対策は十分か［[十分である○ 人手を介在させる作業がある事務において、人為的ミスが発生するリスクへの対策の措置状況及びその判断の根拠を自由記述形式で記入するものとする。

最も優先度が高いと考えられる対策○ 最も優先度が高いと考えられる対策を、「Ⅳ リスク対策」の項目から選択し、当該リスク対策の措置状況の評価に係る判断の根拠（「１）特に力を入れている」、「２）十分である」、「３）課題が残されている」を判断した根拠）を自由記述形式で記入するものとする。
○ 「判断の根拠」欄について、保護評価指針の解説内に自由記述に係る記載例を示しているため、適宜参照されたい。

当該対策は十分か【再掲】］人手を介在させる作業はない＜選択肢＞
1) 特に力を入れている
2) 十分である
3) 課題が残されている]（自由記述）

判断の根拠

11．最も優先度が高いと考えられる対策

リスク対策水準の底上げ・人為的ミス対策の強化］

適用した理由［］全項目評価又は重点項目評価を実施する

［］

＜選択肢＞
1) 目的外の入手が行われるリスクへの対策
2）目的を超えた紐付け、事務に必要のない情報との紐付けが行われるリスクへの対策
3）権限のない者によって不正に使用されるリスクへの対策
4）委託先における不正な使用等のリスクへの対策
5）不正な提供・移転が行われるリスクへの対策（委託や情報提供ネットワークシステムを通じた提供を除く。）
6）情報提供ネットワークシステムを通じて目的外の入手が行われるリスクへの対策
7）情報提供ネットワークシステムを通じて不正な提供が行われるリスクへの対策
8）特定個人情報の漏えい・滅失・毀損リスクへの対策
9）従業者に対する教育・啓発＜選択肢＞
1) 特に力を入れている[十分である]2) 十分である
3) 課題が残されている判断の根拠（自由記述）

2

基礎項目評価書の新様式への移行について②ー１（ ⑴ウ関係）○ 新様式への円滑な移行に向けた支援のため、特定個人情報保護評価指針の解説において、基礎項目評価書中「Ⅳリスク対策」の各項目について、「判断の根拠」（自由記述）の記載例を掲載している。

【例】8.人為的ミスが発生するリスクへの対策は十分か
８．人手を介在させる作業
人為的ミスが発生するリスクへの対策は十分か［[十分である]］人手を介在させる作業はない＜選択肢＞
1) 特に力を入れている
2) 十分である
3) 課題が残されている（自由記述）

判断の根拠

リスク対策

記載例
例①

マイナンバー利用事務におけるマイナンバー登録事務に係る横断的なガイドラインに従い、マイナンバー登録や副本登録の際には、本人からのマイナンバー取得の徹底や、住基ネット照会を行う際には４情報又は住所を含む３情報による照会を行うことを厳守している。また、●●事務では、上記のほか、下記の局面で特定個人情報の取扱いに関して手作業が介在するが、いずれの局面においても複数人での確認を行うようにしており、人為的ミスが発生するリスクへの対策は十分であると考えられる。
・ 申請書に記載された個人番号及び本人情報のデータベースへの入力
・ 特定個人情報の記載がある申請書等（USBメモリを含む。）の保管
・ 個人番号及び本人情報が記載された申請書の廃棄等

例②

マイナンバー利用事務におけるマイナンバー登録事務に係る横断的なガイドラインに従い、マイナンバー登録や副本登録の際には、本人からのマイナンバー取得の徹底や、住基ネット照会を行う際には４情報又は住所を含む３情報による照会を行うことを厳守している。また、必ず複数人での確認を行った上で●●（上長）の最終確認を経ることとしている。
また、人手が介在する局面ごとに、人為的ミスが発生するリスクに対し、例えば次のような対策を講じている。
・ 人為的ミスを防止する対策を盛り込んだ事務処理手順をマニュアル化し、事務取扱担当者間で共有する。
・ 特定個人情報を受け渡す際（USBメモリを使用する場合を含む。）は、事前に、暗号化、パスワードによる保護、確実なマスキング処理等を行うとともに、これらの対策を確実に実施したことの確認を複数人で行う。
・ マイナンバー入りの書類を郵送等する際は、宛先に間違いがないか、関係のない者の特定個人情報が含まれていないかなど、ダブルチェックを行う。
・ 特定個人情報を含む書類やUSBメモリは、施錠できる書棚等に保管することを徹底する。
・ 廃棄書類に特定個人情報が含まれていないか、ダブルチェックを行う。
これらの対策を講じていることから、人為的ミスが発生するリスクへの対策は「十分である」と考えられる。

例③（例②の内容に加え、）年に一度、業務プロセス全体について、漏えい等のリスクを軽減させるための仕組みを検討することとしており、令和●年度は、オンライン申請受付の導入を決定した（これにより、手作業が介在する申請数が減少することが期待される）。これらの対策を講じていることから、人為的ミスが発生するリスクへの対策は「特に力を入れている」と考えられる。

人為的ミスが発生するリスクへの対策は十分か3

基礎項目評価書の新様式への移行について②ー２（ ⑴ウ関係）○ 基礎項目評価の実効性強化のため、基礎項目評価書中「Ⅳ リスク対策」において記載する特定個人情報を保護するための主な措置の実施状況の評価について、「２) 十分である」等を選択できる具体的水準を、特定個人情報保護評価指針の解説等（記載要領及び評価書様式）に掲載。
○ 新様式移行の際には、この水準も参考に、実施状況の評価の見直しを行っていただきたい。

【例】人為的ミスが発生するリスクへの対策は十分か
８．人手を介在させる作業
人為的ミスが発生するリスクへの対策は十分か判断の根拠［[十分である]］人手を介在させる作業はない＜選択肢＞
1) 特に力を入れている
2) 十分である
3) 課題が残されている（自由記述）

リスク対策「十分である」を選択できる水準「典型的なリスク対策（例）」の位置付け〇 「典型的なリスク対策（例）」は、あくまでも例示であり、１つでも実施していない対策があれば、「十分である」を選択できないというものではない。

人為的ミスが発生するリスクへの対策は十分か次のような典型的なリスク対策（例）を実施することなどにより、事務・サービス又はシステムの特性を考慮したリスク対策を講じている場合＜典型的リスク対策（例）＞① 「マイナンバー利用事務におけるマイナンバー登録事務に係る横断的なガイドライン」（令和５年12月18日デジタル庁）の次の留意事項等を遵守している。
（例）・ 住基ネット照会によりマイナンバーを取得するのではなく、申請者からマイナンバーの提供を受け、その上で記載されたマイナンバーの真正性確認を行うこと。
・ 申請者からマイナンバーが得られない場合にのみ行う住基ネット照会は、４情報又は住所を含む３情報による照会を原則とすること。
・ 複数人での確認や上長による最終確認を行った上でマイナンバーの紐付けを行い、その記録を残すこと。
・ 更新時には、本人からマイナンバーを取得し、登録されているマイナンバーに誤りがないか、確認すること。
② 特定個人情報の入手から保管・廃棄までのプロセスで、人手が介在する局面ごとに人為的ミスが発生するリスクへの対策を講じている。
※ 人為的ミス発生防止の着眼点等として、次の資料が参考となる（いずれも個人情報保護委員会ウェブページ公表資料：
https://www.ppc.go.jp/legal/kensyuushiryou/）。
・「特定個人情報を取り扱う際の注意ポイント」
・「特定個人情報の漏えい等の防止について－地方公共団体における単純な事務ミスを防止するための着眼点－」〇 「特に力を入れている」を選択できる水準は、「十分である」を選択できる水準を満たした上で、さらに、評価実施機関独自の取組を実施している場合に選択することができると考えられる。
〇 「典型的なリスク対策（例）」には、組織的安全管理措置、人的安全管理措置については記載していないが、マイナンバーGLに則り、必要な措置を講ずる必要がある。
・組織的安全管理措置：
組織体制の整備、取扱規程等に基づく運用、取扱状況を確認する手段の整備、漏えい等事案に対応する体制等の整備、取扱状況等の把握及び安全管理措置の見直し
・人的安全管理措置：
事務取扱担当者の監督、事務取扱担当者等の教育、法令・内部規程違反等に対する厳正な対処

4

基礎項目評価書の新様式への移行について③（ ⑴ウ関係）〔新様式〕

新様式の施行経過措置の終了

令和６年10月１日

令和８年３月31日

新様式の施行前に、評価実施機関の内部決裁用の「新様式の写し」（＊）を、個別の要望に応じて配布＞

経過措置期間（１年６月）【提出・公表】＊「新様式の写し」は、新様式施行日以降も提出することは、システム上不可能。

新様式への移行〔現行様式〕○ 経過措置が終了する令和８年３月31日までに【公表】全ての評価実施機関が、全ての公表している基礎項目評価書（※）を、新様式で再提出していただくことが必要。

新様式の施行

【提出】○ 以後、現行様式での基礎項目評価書の提出は不可。
○ 新様式のみ提出することが可能。

○ 新様式への移行に係る基礎項目評価書の記載
内容の変更は、「重要な変更」には当たらず、「修正」として対応可能。
○ 既に公表されている現行様式の記載内容を、新様式に転記するツール（マクロ）を配布予定。
（時期未定）※ 保護評価指針第５の５（評価実施機関は、事務の実施をやめるなどした日から少なくとも３年間、評価書を公表しておくこととされている）の規定に基づき公表している評価書については、経過措置期間終了後も含め、新様式での再提出を行う必要はありません。

5

緊急時の事後評価について（⑴イ関係）○ 令和５年度の特定個人情報保護評価指針の３年ごとの再検討により、緊急時の事後評価の適用対象に関する考え方を示した。
○ 一定の緊急性がある事務であっても、既に個人番号利用事務等として定着している事務については、原則どおり事前評価を行う必要がある。
特定個人情報保護評価指針（平成26年特定個人情報保護委員会告示第４号）抜粋
第６３ 規則第９条第２項の規定（緊急時の事後評価）の適用について（１）新規保有時規則第９条第２項の規定に基づき、災害その他やむを得ない事由により緊急に特定個人情報ファイルを保有する必要がある場合は、特定個人情報ファイルを保有した後速やかに特定個人情報保護評価を実施（以下第６の３（１）において「事後評価」という。）することとされている。
ただし、特定個人情報保護評価の目的が事前対応による個人のプライバシー等の権利利益の侵害の未然防止及び国民・住民の信頼の確保であることを踏まえ、例えば、評価実施機関が新たに特定個人情報ファイルを保有する事務を行う場合において当該事務と本人の範囲及び特定個人情報ファイルを取り扱うプロセスが類似する事務を過去に反復して実施しているとき等、既に個人番号利用事務等として定着している事務を実施する場合は、当該特定個人情報ファイルの保有に一定の緊急性があるときであっても、原則どおり、特定個人情報ファイルを保有する前に特定個人情報保護評価を実施（以下第６の３において「事前評価」という。）するものとする。
また、事前評価が困難である場合についても、特定個人情報保護評価を実施することが困難であった状態が解消された時点などの適切な時期において、可及的速やかに事後評価を実施するものとする。

既に個人番号利用事務等として定着している事務○ これまで特定公的給付に指定された給付金の支給事務については、①内閣総理大臣の指定があるまで支給要件等が定まらないこと、②口座登録法における規定の趣旨に鑑み、迅速に支給すべき給付金であること、等の理由により、緊急時の事後評価の適用対象になり得ると整理されてきたところ。
○ 一方で、これまでに特定公的給付に指定された給付金の中には、支給要件や対象者等の事務内容が類似しており、給付金の財源となる予算のみが異なるものも指定されている。
（例）低所得世帯への給付金、子育て世帯への給付金、出産・子育て応援給付金 等○ こうした事務については、「既に個人番号利用事務等として定着している事務」として、過去に特定個人情報保護評価を実施した実績があり、同様の事務を実施した実績が全くない個人番号利用事務等と比較して、「保護評価を事前に実施することが困難である」とはいえないことから、保護評価制
度の趣旨又は目的を踏まえ、当該特定個人情報ファイルの保有等に一定の緊急性があるときであっても、原則どおり事前評価を行う必要がある。
○ ただし、既に個人番号利用事務等として定着している事務であっても、著しい緊急性が認められる場合や、事前評価を行うことが著しく困難である場合（例：全項目評価の再実施が義務付けられており、特定個人情報ファイルの保有等の前に、国民・住民等への意見聴取や委員会による審査・第三者点検などの期間を確保することができない等）には、規則第９条第２項の規定の適用対象となり得る。

6

地方公共団体の基幹業務システムの統一・標準化に向けた対応①（⑶ア関係）○ 地方公共団体情報システムの標準化に関する法律（令和３年法律第40号）では、政令で定める事務について、標準化基準に適合したシステム（以下「標準準拠システム」という。）を利用することを義務付けるとともに、地方公共団体にガバメントクラウドを活用して、標準準拠システムを利用することを努力義務として規定している。
○ 地方公共団体の基幹業務システムの統一・標準化における、ガバメントクラウドや標準準拠システムへの移行は、基本的に「重要な変更」に該当するため、保護評価の再実施が必要（多くの地方公共団体が、令和６年度中に保護評価を再実施する必要があると想定される。）。
標準化対象事務（令和６年３月現在）○ 左記のうち、下赤線を付記されている事
務は、番号法第９条第２項の規定に基づく条例を定めて個人番号の利用を行っている場合を除いて、保護評価の実施は義務付けられない。

保護評価の実施時期【ガバメントクラウドへの移行に係る内容】⇒ ガバメントクラウドに副本データを移行する前まで【標準準拠システムへの移行】⇒ システム等を稼働させるサーバー等へのパラメータ設定等の適用を実施する前まで※ パラメータ設定等の適用が行われることにより、サーバー等に直接的に変更を加えることとなるため、これをプログラミングに相当するものとして、「特定個人情報ファイルに重要な変更を加える前」に該当すると考えられます。

7

地方公共団体の基幹業務システムの統一・標準化に向けた対応②（⑶ア関係）○ 標準準拠システムへの移行に伴う特定個人情報保護評価書の記載内容への影響例は、下表のとおり。
○ ただし、下表はあくまで一般的な例であり、現行システムや標準準拠システムの仕様によって、下表以外の変更が生じることも考えられるため、「特定個人情報保護評価指針の解説」Ｑ他ー２の内容も参考に、各評価実施機関において適切に保護評価を実施されたい。
＜標準準拠システムへの移行に伴う影響（例）＞
標準化等に伴い生じる取扱いの変更

基礎項目評価書で影響する箇所

全項目評価書で影響する箇所

事務で利用する情報システムの変更

・ システムの名称

・ システムの名称、機能、他のシステムとの接続標準準拠システムへの移行（標準仕様に基づく業務運用見直し）に伴う事務のプロセスの変更

・ 事務の概要

・ 事務の内容（Ⅰ１）
・ 特定個人情報ファイルの本人の範囲、記録される項目（Ⅱ２）

委託先・委託内容の変更

・ 委託先における不正な使用等に対するリスク対策

・ 特定個人情報ファイルの取扱いの委託（Ⅱ４、Ⅲ４）

システム更改に伴う特定個人情報へのアクセス制限範囲の変更

・ 目的外の入手が行われるリスク対策、目的を超えた紐付け・ 事務に必要のない情報との紐付けが行われるリスクへの対策
・ 権限のない者によって不正に使用されるリスクへの対策

・ 特定個人情報の入手（Ⅲ３）
・ 特定個人情報の使用（Ⅲ３）

特定個人情報の提供・移転（記録）の方法の変更

・ 不正な提供・移転が行われるリスクへの対策

・ 特定個人情報の提供・移転（Ⅲ５）

特定個人情報を取り扱う環境（データの保管場所を含む）の変更（オンプレミス環境からガバメントクラウドへの移行など）・ 特定個人情報の漏えい・滅失・毀損リスクへの対策

・ 特定個人情報の保管・消去（Ⅱ６、Ⅲ７）

8