この記載要領は、令和６年５⽉27⽇公布の特定個⼈情報保護評価指針（以下「指針」という。）に沿ったものです。今後、個⼈情報保護委員会事務局により改訂される可能性があることに御留意ください。

⑵
⑴
⑴

○

評価書番号は、特定個⼈情報保護評価計画管理書（以下「計画管理書」という。）の「評価書番号」欄に記載する番号と同じものを記載
してください。

○⑶⑵

評価書名には、特定個⼈情報保護評価（以下「評価」という。）の対象の事務の内容が分かる名称を記載してください。事務やシステムの名称をそのまま⽤いる必要はなく、実態に応じて、評価書の内容を推察できる名称としてください。
○ 評価は、原則として、法令上の事務（番号法別表に掲げる事務）を単位に実施するものですが、評価実施機関のシステムや事務の執⾏状
況等によっては、別表の項ごとでは評価書の記載が困難な場合や、別表の複数の項をまとめて記載した⽅が分かりやすい場合などが考えられるため、評価実施機関の判断で、別表の事務を分割⼜は統合した事
務を単位に、１つの評価書を作成することを可能としています。
○ 評価対象の事務の実施をやめるなどした場合は、評価書名に続けて事務の実施をやめるなどした⽇を【●年●⽉●⽇終了】と記載してください。事務の実施をやめるなどした⽇から少なくとも３年間は評価書を公表しておくことが必要です。
○⑶

評価の結果、評価対象の事務において、特定個⼈情報ファイルの取扱いに際し、個⼈のプライバシー等の権利利益に影響を与え得る特定個⼈情報の漏えいその他の事態を発⽣させるリスクを認識し、このよ
うなリスクを軽減するための適切な措置を講じていることを確認の上、宣⾔してください。

1

○

⑴

評価対象の事務において評価実施機関が実施しているリスク対策のうち、特に⼒を⼊れて取り組んでいること等、特記して⼀般に向けて積極的に情報提供したいものがある場合は、記載してください。特記すべきものがなければ、「なし」⼜は無記⼊で構いません。

○⑵

評価書を提出する評価実施機関の名称を記載してください（例：●●⼤⾂、 ●●庁⻑官、●●県知事、●●市⻑、●●市教育委員会、
独⽴⾏政法⼈●●等）。
【☆⾏政機関にとっては事前通知事項です（個⼈情報保護法第74条第１項第２号）。】○ 評価実施機関（評価対象の事務について評価の実施が義務付けられる者）が複数存在する場合は、取りまとめの評価実施機関が評価書を作成・提出するとともに、「Ⅰ６．他の評価実施機関」に取りまとめ
以外の全ての評価実施機関の名称を記載してください。
〇⑶⑴

評価の実施・再実施⼜は修正に伴い評価書を個⼈情報保護委員会（以下「委員会」という。）に提出するときに、公表する⽇を記載してください。
○ 評価書の記載内容は、原則として、公表⽇時点のものとしてください。事前評価という評価の性質上、公表⽇時点での想定に基づいて記載することになります。

⑵⑶

2

Ⅰ 基本情報⑴○○

１．特定個人情報ファイルを取り扱う事務①事務の名称⑵②事務の内容

⑶

③対象人数

[

]

＜選択肢＞
1) 1,000人未満
3) 1万人以上10万人未満

2) 1,000人以上1万人未満
4) 10万人以上30万人未満

I は、評価対象の事務の全体像を把握するために記載するものです。
様式中に※が付されている各項⽬への変更は、重要な変更に該当するため、変更する前に評価を再実施する必要があります。ただし、これらの項⽬の変更であっても、個⼈のプライバシー等の権利利益に影響を与え得る特定個⼈
情報の漏えいその他の事態を発⽣させるリスクを相当程度変動させるものではないと考えられる変更⼜は当該リスクを明らかに軽減させる変更の場合は、重要な変更には当たらないため再実施する必要はありません。

２．特定個人情報ファイルを取り扱う事務において使用するシステム
システム1

⑴

①システムの名称○

評価対象の事務の名称を記載してください。計画管理書の「事務の名称」欄に記載する名称と同じものを記載してください。

○②システムの機能[] 情報提供ネットワークシステム[] 庁内連携システム[] 住民基本台帳ネットワークシステム[] 既存住民基本台帳システム[] 宛名システム等[] 税務システム

[

] その他

⑵

③他のシステムとの接続（)

システム2～5
システム6～10

評価対象の事務全体の概要及びその中で特定個⼈情報ファイルを使⽤して実施する事務の具体的な内容を記載してください。
○ さらに、特定個⼈情報の流れが分かる事務フロー図を別添１に記載
してください。
※ ⽂字数により、セルの表⽰に収まりきらない（⽂字が⾒切れてしまう）場合については、「別添○○を参照。」などと記載の上、当該項⽬の内容がわかる資料を作成し、評価書の添付資料として併せて提出・公表するなどしてください。（以下全ての項⽬について、同じです。）

システム11～15○

システム16～20⑶

評価対象の事務の対象⼈数を選んでください。基礎項⽬評価書の「Ⅱ 1．対象⼈数」欄と同じものを選択してください。ただし、特定
個⼈情報保護評価の実施が義務付けられない事務で、任意で評価を⾏う場合、基礎項⽬評価書の「1,000⼈未満(任意実施）」ではなく、評価を⾏う事務の対象⼈数を選択してください。

3

Ⅰ 基本情報⑴

１．特定個人情報ファイルを取り扱う事務①事務の名称⑵②事務の内容

③対象人数

[

]

＜選択肢＞
1) 1,000人未満
3) 1万人以上10万人未満⑵⑶⑷

評価対象の事務において使⽤するシステムの名称を記載してください。
計画管理書の「システムの名称」欄に記載する名称と同じものを記載
してください。

○

このシステムが実現する機能の名称とその概要を記載してください。

○
2) 1,000人以上1万人未満
4) 10万人以上30万人未満

２．特定個人情報ファイルを取り扱う事務において使用するシステム

⑴

○

⑶

システム1
①システムの名称②システムの機能

このシステムと接続して情報（特定個⼈情報に限らない。）をやりとりするシステムを全て選択してください（⽬視、紙⼜は電⼦記録媒体を介したやりとりは含まない。）。「その他」を選択する場合はシス
テムの名称を記載してください。
○ 宛名システム等とは、個⼈番号と既存の内部番号（宛名番号）の対照
テーブルなどを⽤い複数の事務で個⼈番号を共通して参照するシステ
ムであり、例えば、地⽅公共団体における団体内統合宛名システムの
ことです。
○

[

] 情報提供ネットワークシステム[] 庁内連携システム[] 住民基本台帳ネットワークシステム[] 既存住民基本台帳システム[] 宛名システム等[] 税務システム[] その他③他のシステムとの接続

システム2～5
システム6～10（⑷)

評価対象の事務において複数のシステムを使⽤する場合は、システム
２〜20の記載欄を「再表⽰」することにより、その事務を実施する上でのシステムの重要性の順に、それぞれのシステムについて同様に記載してください。
○ 評価対象の事務において使⽤するシステムの数が21以上の場合は、評価書にはシステム20まで記載し、残りのシステムについて同様に記載した添付資料を併せて提出・公表してください。

システム11～15
システム16～20

4

⑴
⑶
⑷
⑸
⑹

評価対象の事務において個⼈番号を利⽤する法令上の根拠を記載してください。番号法別表の事務については、別表の項の番号を記載してください（主務省令の名称及び条項を記載する必要はありません。）。
別表以外の番号法の規定、住⺠基本台帳法第７条等の番号法以外の国の法令の規定⼜は番号法第９条第２項に基づく条例の規定を根拠とする場合は、法令名及び条項を記載してください。評価実施時に条例が制定されていない場合には、「○○に関する条例案」等と記載しても構いません。条例制定後、必要に応じて、評価書の修正⼜は評価の再実施を⾏ってください。

○

情報提供ネットワークシステムによる情報連携を実施するか否かを選択してください。主務省令が制定されていない等の理由により、評価実施時点で情報連携を実施するか否かを決定できない場合は、「未定」を選択し、決定した後に評価の再実施⼜は評価書の修正を⾏い、再度提出・公表してください。

○

法令上の根拠には、情報提供ネットワークシステムによる情報連携ができる根拠規定を記載してください。根拠規定の記載について、番号法第19条第８号に基づく情報連携を⾏う場合は、利⽤特定個⼈情報提供主務省令第２条の表の番号を記載してください（主務省令の正式名
称及び第３条以降の条項を記載する必要はありません。）。条例に基づく独⾃事務について情報連携を⾏う場合は、番号法第19条第９号と記載してください。

３．特定個人情報ファイル名⑵

４．個人番号の利用 ※⑵○

法令上の根拠５．情報提供ネットワークシステムによる情報連携 ※①実施の有無[]＜選択肢＞
1) 実施する
2) 実施しない
3) 未定②法令上の根拠

６．評価実施機関における担当部署①部署②所属長の役職名⑶

７．他の評価実施機関○⑴

評価対象の事務において取り扱う特定個⼈情報ファイルの名称を記載してください。正式な名称がない場合は、主な記録項⽬、事務を実施する上での使⽤⽬的等に基づく名称を作成し、記載してください。データベース名などでも構いませんが、特定個⼈情報ファイルの内容を推察できる名称としてください。【☆⾏政機関にとっては事前通知事項です（個⼈情報保護法第74条第１項第１号）。】○ 複数の特定個⼈情報ファイルを取り扱う場合は、全ての特定個
⼈情報ファイルの名称を記載してください。その際、各特定個⼈
情報ファイルの名称の前に「１．２．３．・・・」と通し番号を付してください。II、IIIのそれぞれ「１．特定個⼈情報ファイル名」において、そのシートで記載する特定個⼈情報ファイルの名称を記載する際に、この通し番号とともに記載してください。
○ 特定個⼈情報ファイルの保有をやめた場合⼜は対象⼈数が1,000
⼈未満となった場合は、特定個⼈情報ファイル名に続けて、保有をやめた場合は【●年●⽉●⽇ 保有終了】、1,000⼈未満となった場合は【●年●⽉●⽇ 対象⼈数1,000⼈未満となる】と記載してください。【☆⾏政機関にとっては事前通知事項です（個⼈情報保護法第74条第３項）。】⑷［例］番号法第19条第８号に基づく主務省令第２条の表○○○の項※ 情報提供ネットワークシステムを通じた利⽤特定個⼈情報の提供ができる根拠規定及び照会ができる根拠規定を区別して記載してください。
○⑸

評価の実施を担当する部署の名称及び所属⻑の役職名を記載してくだ
さい。部署については、計画管理書の「担当部署」欄に記載する部署
名と同じものを記載してください。
○ （計画管理書の表紙に記載した）評価実施機関において実施する評価に関連する全ての事務の取りまとめを担当する部署ではなく、評価対象の事務に知⾒を有し、実際に評価を実施する部署です。複数の部署が共同で評価を実施する場合は、複数の部署の名称、所属⻑の役職名を記載してください。
○⑹

評価実施機関（評価対象の事務について評価の実施が義務付けられる者）が複数存在し、取りまとめの評価実施機関が評価書を作成・提出する場合に、取りまとめ以外の全ての評価実施機関の名称を記載して
ください。

5

○
Ⅱ 特定個人情報ファイルの概要⑴

１．特定個人情報ファイル名

２．基本情報⑵⑶①ファイルの種類 ※②対象となる本人の数

[

＜選択肢＞
1） システム用ファイル
2） その他の電子ファイル（表計算ファイル等）

]

[

]

[

]

＜選択肢＞
1） 1万人未満
2） 1万人以上10万人未満
3） 10万人以上100万人未満
4） 100万人以上1,000万人未満
5） 1,000万人以上③対象となる本人の範囲 ※その必要性④記録される項目＜選択肢＞
1） 10項目未満
3） 50項目以上100項目未満

2） 10項目以上50項目未満
4） 100項目以上

IIは、評価対象の事務において取り扱う特定個⼈情報ファイルの内容と、その取扱いプロセスを把握するためのものです。これにより、対象⼈数が多い、記録項⽬が多い、使⽤者数が多い、特定個⼈情報ファイルの取扱いを委託・再委託している、保管期間が⻑い等、特定個⼈情報ファイルの特徴を把握することができ、それを踏まえて、Ⅲ において特定個⼈情報ファイルの取扱いプロセス
におけるリスク対策について検討することになります。
○ 様式中に※が付されている各項⽬への変更は、重要な変更に該当するため、変更する前に評価を再実施する必要があります。ただし、これらの項⽬の変更
であっても、リスクを相当程度変動させるものではないと考えられる変更⼜はリスクを明らかに軽減させる変更の場合は、再実施する必要はありません（Ⅱ.2.③を除く。）。
○ 評価対象の事務において複数の特定個⼈情報ファイルを取り扱う場合は、このシートをコピーして、全ての特定個⼈情報ファイルについてそれぞれ記載してください（１つの特定個⼈情報ファイルにつき１シートで記載してくださ
い。）。

・識別情報
[

] 個人番号[] 個人番号対応符号[] その他識別情報（内部番号）

・連絡先等情報○[] 4情報（氏名、性別、生年月日、住所）[] その他住民票関係情報[] 連絡先（電話番号等）⑴

・業務関係情報
主な記録項目 ※[] 国税関係情報[] 地方税関係情報[] 健康・医療関係情報[] 医療保険関係情報[] 児童福祉・子育て関係情報[] 障害者福祉関係情報[] 生活保護・社会福祉関係情報[] 雇用・労働関係情報[] 災害関係情報

[

] その他

（

[

[

] 介護・高齢者福祉関係情報] 年金関係情報[] 学校・教育関係情報

全ての記録項目○

⼿作業処理ファイルについて任意で記載する場合は、このExcelファ
イルには1⼜は2の選択肢を記載の上で提出し、公表⽤のPDFファイル
を直接編集して、「⼿作業処理ファイル」とした上で、公表する必要があります。

○

特定個⼈情報ファイルの対象となる本⼈の数を選択してください。
事務の対象⼈数とは異なります。

⑵

）

⑶
その妥当性

このシートで記載する特定個⼈情報ファイルの名称を記載してください。
○ その際、「Ｉ ３．特定個⼈情報ファイル名」で記載した通し番号とともに記載してください。

別添１を参照。

⑤保有開始日⑥事務担当部署6○⑴
Ⅱ 特定個人情報ファイルの概要
１．特定個人情報ファイル名

２．基本情報①ファイルの種類 ※②対象となる本人の数

⑴
⑵

[

＜選択肢＞
1） システム用ファイル
2） その他の電子ファイル（表計算ファイル等）

]

[

＜選択肢＞
1） 1万人未満
2） 1万人以上10万人未満
3） 10万人以上100万人未満
4） 100万人以上1,000万人未満
5） 1,000万人以上]④記録される項目

[

⑶

＜選択肢＞
1） 10項目未満
3） 50項目以上100項目未満]○

上記の範囲の本⼈の特定個⼈情報を特定個⼈情報ファイルにおいて保有することが事務を実施する上で必要な理由を記載してください。「法令に基づく」といった形式的な理由ではなく、評価対象の事務の内容に即して、実質的・具体的に記載してください。

○

４情報のうち記録しない項⽬がある場合は、「その妥当性」の欄にその旨を記載してください。

※

なお、⾏政⼿続における特定の個⼈を識別するための番号の利⽤等に関する法律等の⼀部を改正する法律（令和５年法律第48号）附則第１条第３号に掲げる規定の施⾏⽇以降は、様式中「４情報（⽒名、性別、⽣年⽉⽇、住所）」が「５情報（⽒名、⽒名の振り仮名、性別、⽣年⽉⽇、住所）」に改正されます。

⑵③対象となる本人の範囲 ※その必要性

特定個⼈情報ファイルの対象となる本⼈の範囲について記載してくだ
さい。
○ 特定個⼈情報ファイルに記録された者の⼀部についてのみ個⼈番号を保有し（例：契約者ファイルのうち⼀部の者についてのみ個⼈番号を保有する場合）、個⼈情報の対象となる本⼈の範囲と特定個⼈情報の対象となる本⼈の範囲が異なる場合は、それぞれ記載してください。【☆⾏
政機関にとっては事前通知事項です（個⼈情報保護法第74条第１項第４号）。】

2） 10項目以上50項目未満
4） 100項目以上

・識別情報
[

⑶
⑷

⑸
⑹
⑺

] 個人番号[] 個人番号対応符号[] その他識別情報（内部番号）○

・連絡先等情報[] 4情報（氏名、性別、生年月日、住所）[] その他住民票関係情報[] 連絡先（電話番号等）⑷

・業務関係情報
主な記録項目 ※[] 国税関係情報[] 地方税関係情報[] 健康・医療関係情報[] 医療保険関係情報[] 児童福祉・子育て関係情報[] 障害者福祉関係情報[] 生活保護・社会福祉関係情報[] 雇用・労働関係情報[] 災害関係情報

[

] その他

（

[

[

] 介護・高齢者福祉関係情報] 年金関係情報[] 学校・教育関係情報⑸

別添１を参照。

○

主な記録項⽬欄で選択した全ての情報について、保有する理由をそれぞれ記載してください。

○

）

その妥当性

全ての記録項目

特定個⼈情報ファイルに記録される情報について、該当するものを全て選択してください。
○ 主な記録項⽬のうち「業務関係情報」とは、評価対象の事務を実施していく上での主たる情報です。例⽰されているものに該当しない場合は、「その他」を選択し、情報の内容を表す簡潔な名称を作成し、記載して
ください。

⑹

⑤保有開始日⑥事務担当部署

⾏政機関においては、特定個⼈情報ファイルの保有開始⽇の年⽉⽇を記載してください。⾏政機関以外の評価実施機関の場合は、具体的な⽇が確定していなければ⽉単位の記載で構いません。
○ 特定個⼈情報ファイルの取扱いの重要な変更に先⽴って評価を再実施する時は、保有開始⽇に加えて、重要な変更の実施予定⽇を記載してください。
【☆⾏政機関にとっては保有開始⽇・重要な変更の実施予定⽇は事前通知事項です（個⼈情報保護法第74条第１項第11号・施⾏令第20条第1項第１号・第２号）。】○⑺

特定個⼈情報ファイルを取り扱う事務を所掌する課室等の名称を記載
してください。⾏政機関においては、特定個⼈情報ファイルを保有しようとする者⼜は保有する者が複数存在する場合は、全ての評価実施機関
における事務担当部署を記載してください。【☆⾏政機関にとっては事
前通知事項です（個⼈情報保護法第74条第１項第２号）。】

7○３．特定個人情報の入手・使用

⑴
⑵
⑶

[

] 本人又は本人の代理人[] 評価実施機関内の他部署（[] 行政機関・独立行政法人等（[] 地方公共団体・地方独立行政法人[] 民間事業者）⑴）①入手元 ※
）

（

（

）

[

] その他

[

]紙

[

] 電子記録媒体（フラッシュメモリを除く。）[] 電子メール

[

] 専用線

[

] 情報提供ネットワークシステム

[

] その他

（

）

[

[

] フラッシュメモリ] 庁内連携システム

⑵

②入手方法

特定個⼈情報をどのように⼊⼿するか該当するものを全て選択してください。【☆⾏政機関にとっては事前通知事項です（個⼈情報保護法
第74条第１項第５号）。】○③使用目的 ※

④使用の主体
使用者数

[

]

＜選択肢＞
1） 10人未満
3） 50人以上100人未満
5） 500人以上1,000人未満

2） 10人以上50人未満
4） 100人以上500人未満
6） 1,000人以上

⑶

⑤使用方法

⑸
⑹

○

）

（

使用部署

⑷

特定個⼈情報ファイルに記録される特定個⼈情報をどこから⼊⼿するか該当するものを全て選択してください。【☆⾏政機関にとっては事
前通知事項です（個⼈情報保護法第74条第１項第５号）。】○ 評価実施機関内の他部署から個⼈情報として⼊⼿し、評価対象の事務の実施において個⼈番号と結び付き特定個⼈情報となる場合（特定個
⼈情報の移転）も記載してください。なお、個⼈番号と結び付く個⼈情報の⼊⼿が移転によらない場合について、記載することを妨げるものではありません（以下、特定個⼈情報の⼊⼿に関する項⽬について
同じ。）。

⑷

何のために特定個⼈情報を使⽤するか記載してください。【☆⾏政機関にとっては事前通知事項です（個⼈情報保護法第74条第１項第３号）。】○ 番号法第９条第１項及び別表に基づく事務については、別表の⽂⾔をコピーするのではなく、より⼀般的な⾔葉で分かりやすく記載し、また、できる限り使⽤⽬的を特定してください（例えば、「介護保険給付の⽀給・保険料徴収」ではなく「被保険者資格の管理」「要介護度認定」「保険料賦課」と記載してください。）。
○

評価対象の事務のために特定個⼈情報を使⽤する評価実施機関内の全ての部署の名称と使⽤者数（各部署の従業者の総数）を記載してくだ
さい。委託先、提供先⼜は移転先の従業者は含みません。

○

特定個⼈情報ファイルに記録される情報を他から⼊⼿する際にどのような突合を⾏うか、この特定個⼈情報ファイルに記録された情報と他の情報をどのように突合するか、また、こうした突合を何のために⾏うか、具体的に記載してください。その際、上記の使⽤⽅法との対応関係を明⽰してください。

※

使⽤開始⽇については、⽇付として正しい⼊⼒値（yyyy/mm/dd）以外の⼊⼒を制御しています。そのため、正しい⼊⼒値以外（例えば、「●●法の施⾏後２年以内の政令で定める⽇」などの⽂字列）での公表が必要な場合は、提出処理の際のExcelファイルは正しい⼊⼒値を仮置きで記載したものを登録していただき、公表するPDFファイルを直接編集して、使⽤開始⽇を⽂字列に修正するなどして、対応してくだ
さい。

情報の突合
⑥使用開始日

⑸

⑹

8

⑴
⑵
⑶
⑷

４．特定個人情報ファイルの取扱いの委託＜選択肢＞
1） 委託する][
委託の有無 ※（○

2） 委託しない

） 件

⑷

委託事項1
①委託内容
②委託先における取扱者数

]

[

＜選択肢＞
1） 10人未満
3） 50人以上100人未満
5） 500人以上1,000人未満

2） 10人以上50人未満
4） 100人以上500人未満
6） 1,000人以上

○

③委託先名

⑸

④再委託の有無 ※
再
委
託

⑹

[

]

＜選択肢＞
1） 再委託する

2） 再委託しない⑸⑤再委託の許諾方法⑥再委託事項

委託事項2～5

委託事項11～15
委託事項16～20

⑹
○

⑴
⑵
⑶

特定個⼈情報ファイルの取扱いを委託するかどうかを選択してください。
○ 委託する場合は、（委託先単位ではなく）委託事項単位で、件数を記載してください。
○

特定個⼈情報ファイルの取扱いを委託する事項（番号法上の委託）の名称を記載してください。正式な名称がない場合は、委託する事項の内容を表す簡潔な名称を作成し、記載してください。

○

委託先において特定個⼈情報ファイルを取り扱う者の数（従業者の総数）を選択してください。再委託する場合は、再委託先において特定個⼈情報ファイルを取り扱う者の数（従業者の総数）も含めて計上
してください。

特定個⼈情報ファイルの取扱いを再委託するかどうかを選択してください。再委託しない場合は、⑤及び⑥を記載する必要はありません。
○ 現状では再委託を実施していない場合でも、今後、委託業者の繁忙や⼈的リソースの状況によって、再委託を⾏う可能性がある場合は、「再委託する」を選択してください。また、契約書の再委託条項等において、再委託ができる旨を規定しておく必要がありますので、御注意ください。
○

委託事項6～10⑺

委託先の名称を記載してください。【☆⾏政機関にとっては事前通知事項です（個⼈情報保護法第74条第１項第７号）。】○ 委託契約の調達前であるなどの理由で、委託先事業者が未定である場
合は、その旨を記⼊し、委託先が決定次第、速やかに評価書を修正し、提出・公表してください。

特定個⼈情報ファイルの取扱いを再委託するに当たって、どのような⼿続・⽅法によるかを記載してください。
○ 原則として再委託をしないこととしている場合は、その旨を記載してください。
○ また、再委託を⾏う場合（可能性がある場合も含む。）は、番号法第10条等の観点から、再委託をする際に、事前許諾を⾏う⽅法、再委託先において特定個⼈情報の適切な安全管理措置が図られることを確認すること、再委託先の監督を⾏うこと等についても記載してください。
○ 評価実施機関が再委託を許諾する場合は、その判断基準について記載
してください。
○⑺

特定個⼈情報ファイルの取扱いを委託する事項が複数ある場合は、
委託事項2〜20の記載欄を「再表⽰」することにより、①再委託しているもの、②取扱いを委託する特定個⼈情報ファイルの対象となる本⼈の数、③委託先における取扱者数の多い順に、それぞれの委託事項について同様に記載してください。
○ 評価対象の事務において、特定個⼈情報ファイルの取扱いを委託する事項の数が21以上の場合は、この評価書には委託事項20まで記載し、残りの委託事項について同様に記載した添付資料を併せて提出してく
ださい。

9

○

⑴
⑵
⑶
⑷

５．特定個人情報の提供・移転（委託に伴うものを除く。）[] 提供を行っている[] 行っていない）件（[] 移転を行っている（）件

提供・移転の有無

提供先1①法令上の根拠⑵②提供先における用途③提供する情報④提供する情報の対象とな
る本人の数

[

]

＜選択肢＞
1） 1万人未満
2） 1万人以上10万人未満
3） 10万人以上100万人未満
4） 100万人以上1,000万人未満
5） 1,000万人以上⑤提供する情報の対象となる本人の範囲] 情報提供ネットワークシステム

[

] 専用線

[

] 電子メール[] 電子記録媒体（フラッシュメモリを除く。）[] フラッシュメモリ

[

]紙

[

] その他

[
⑥提供方法

⑸
⑹

（

特定個⼈情報の提供先を記載してください。【☆⾏政機関にとっては事前通知事項です（個⼈情報保護法第74条第１項第７号）。】○ 特定個⼈情報の提供としては、番号法第19条各号で定められているものが想定されます。具体的には同条第８号の規定に基づき情報提供
ネットワークシステムを使⽤して提供する場合、同条第11号に基づく条例に基づき、地⽅公共団体の機関が当該地⽅公共団体の他の機関に提供する場合等です。
○ 情報提供ネットワークシステムを使⽤して提供する場合は、利⽤特定
個⼈情報提供省令（※）第２条の表の第⼀欄に掲げる者、例えば、「厚⽣労働⼤⾂」「都道府県知事」「市町村⻑」「健康保険組合」を提供先として記載してください。ただし、提供の根拠となる同表の項が異なる場合は、提供先の名称が同じであっても、別々の提供先として記載してください（例えば、同表の11の項と20の項はいずれも市町
村⻑が都道府県知事に地⽅税関係情報⼜は住⺠票関係情報を提供すると定めており、「提供先」はいずれも「都道府県知事」ですが、法令上の根拠が異なるため⼀⽅を提供先1、他⽅を提供先2として記載してください。）。
※

⾏政⼿続における特定の個⼈を識別するための番号の利⽤等に関する法律第⼗九条第⼋号に基づく利⽤特定個⼈情報の提供に関する命令（令和６年デジタ
ル庁・総務省令第９号）をいう。以下同じ。

○

評価実施時に条例が制定されていない場合には、「●●に関する条例案」等と記載しても構いません。条例制定後、必要に応じて、評価書の修正⼜は再実施を⾏ってください。

○

提供した特定個⼈情報が、提供先において、いかなる⽬的で、どのように使⽤されることになるか、記載してください。

）⑦時期・頻度

提供先2～5⑶

提供先6～10
提供先11～15
提供先16～20⑷○⑸

過去の実績から経常的に提供することが想定される場合は、その時期・頻度を記載してください。経常的に提供することが想定されない
場合は、「照会を受けたら都度」と記載してください。
○ 再実施・評価書の修正の際には、「１年間に約●回」といった形で提供実績の概数を記載してください（１回に１⼈の情報を提供した場合
も１回、１万⼈の情報を提供した場合も１回とします。）。
○○⑴

特定個⼈情報の評価実施機関外への提供⼜は評価実施機関内の他部署への移転を⾏うかどうかを選択してください。
○ 提供⼜は移転する場合は、提供先⼜は移転先単位で、それぞれ件数を記載してください。

⑹

特定個⼈情報の提供先が複数ある場合は、提供先２〜20の記載欄を「再表⽰」することにより、①提供する情報の対象となる本⼈の数、②提供の頻度の多い順に、それぞれの提供先について同様に記載してください。
○ 評価対象の事務において、特定個⼈情報の提供先の数が21以上の場
合は、この評価書には提供先20まで記載し、残りの提供先について同様に記載した添付資料を併せて提出してください。

10

⑴
⑵
⑶

移転先1

⑶

①法令上の根拠②移転先における用途

[

]

＜選択肢＞
1） 1万人未満
2） 1万人以上10万人未満
3） 10万人以上100万人未満
4） 100万人以上1,000万人未満
5） 1,000万人以上⑷⑤移転する情報の対象となる本人の範囲[] 庁内連携システム

[

] 専用線

[

] 電子メール[] 電子記録媒体（フラッシュメモリを除く。）[] フラッシュメモリ

[

]紙

[

] その他

（

）

⑦時期・頻度

移転先2～5
移転先6～10⑸

移転先11～15
移転先16～20
６．特定個人情報の保管・消去⑹⑺

保管場所 ※⑴○

特定個⼈情報の移転先（評価実施機関内でこの評価書の評価対象の事
務以外の事務を実施する部署）の名称を記載してください。【☆⾏政機関にとっては事前通知事項です（個⼈情報保護法第74条第１項第７号）。】
特定個⼈情報を移転する法令上の根拠を記載してください。番号法第９条第２項や条例が想定されます。評価実施時に条例が制定されていな
い場合には、「●●に関する条例案」等と記載しても構いません。条例
制定後、必要に応じて、評価書の修正⼜は評価の再実施を⾏ってください。

全ての移転先を記載することが困難な場合は、これまでの経緯を踏まえ、今後も経常的に移転することが予想されるものに限って記載しても構いません。
○ 特定個⼈情報の移転先が複数ある場合は、移転先2〜20の記載欄を「再表⽰」することにより、①移転する情報の対象となる本⼈の数、②移転の頻度の多い順に、それぞれの移転先について同様に記載してください。
○ 評価対象の事務において、特定個⼈情報の移転先の数が21以上の場
合は、この評価書には移転先20まで記載し、残りの移転先について同様に記載した添付資料を併せて提出してください。
○

７．備考

○

過去の実績から経常的に移転することが想定される場合は、その時期・頻度を記載してください。経常的に移転することが想定されない
場合は、「照会を受けたら都度」と記載してください。
○ 再実施・評価書の修正の際には、「１年間に約●回」といった形で移転実績の概数を記載してください（１回に１⼈の情報を移転した場合
も１回、１万⼈の情報を移転した場合も１回とします。）。
○

⑥移転方法

⑷
⑸

移転した特定個⼈情報が、移転先において、いかなる⽬的で、どのように使⽤されることになるか、記載してください。

○③移転する情報④移転する情報の対象とな
る本人の数

⑵

○

⑹

⑺

特定個⼈情報の保管場所の態様及び保管場所への⽴⼊制限・アクセス制限について記載してください。
○ クラウドサービスを利⽤する場合は、評価実施機関がクラウドサービ
ス事業者の特定個⼈情報の保管場所の態様等について、詳細を把握することが困難だと思われますので、クラウドサービス選定時に⽤いている基準等を利⽤して記載することが考えられます。例えば、「政府情報システムにおけるクラウドサービスの利⽤に係る基本⽅針」等に定められた諸条件や「特定個⼈情報の適正な取扱いに関するガイドラ
イン」等に定められた各種条件を満たしていること等を記載することが考えられます。
○

上記以外にこの特定個⼈情報ファイルの取扱いに関して記載したい事項があれば、記載してください。

11

（別添１） 特定個人情報ファイル記録項目

○

⑴

⑴

「Ⅱ ２．④主な記録項⽬」欄において選択・記載したものを含め、この特定個⼈情報ファイルに記録される全ての記録項⽬を記載してください。【☆⾏政機関にとっては事前通知事項です（個⼈情報保護法
第74条第１項第４号）。】○ なお、記録項⽬をオブジェクト・画像として貼り付けたり、テキストボックスを利⽤したりする場合において、保護評価システムの評価書の提出の際にエラーが発⽣する場合は、画像等に隠れるように⽂字を⼊⼒してください。
○ 記録項⽬を記載する⽬的は、特定個⼈情報ファイルの内容を明らかにすることです。そのため、データベース内の項⽬名をそのまま記載しなければならないわけではなく、例えば、本⼈等から⼊⼿する情報を基に記録される項⽬とバッチ処理等のシステム処理のために⽤いる記
録項⽬があると思われますが、前者の記録項⽬を分かりやすく記載することが考えられます。
○ 記録項⽬に要配慮個⼈情報が含まれるときは、その旨を記載してください。【☆⾏政機関にとっては事前通知事項です（個⼈情報保護法第74条第１項第６号）。】○ 特定個⼈情報ファイルの種類がその他の電⼦ファイルであって、記録
項⽬を個別具体的に事前に特定することが困難であるなど特段の事情がある場合には、具体的な項⽬を記載することまでは必ずしも求められませんが、特定個⼈情報ファイルに記録される情報の種類・内容等が分かるよう、できる限り具体的に記載することが求められます。
※ ⽂字数により、セルの表⽰に収まりきらない（⽂字が⾒切れてしまう）場合や、特定個⼈情報ファイルごとに記載を分けたい場合等は、
マイナンバー保護評価システムでの提出時のエラーを防ぐため、この様式内でシートのコピーをせずに、別途資料を作成し、評価書の添付資料として併せて提出・公表するなどしてください。

12

Ⅲ リスク対策⑴※（７．②を除く。）○

１．特定個人情報ファイル名

２．特定個人情報の入手 （情報提供ネットワークシステムを通じた入手を除く。）
リスク： 目的外の入手が行われるリスク
リスクに対する措置の内容

リスクへの対策は十分か

]

[

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

特定個人情報の入手（情報提供ネットワークシステムを通じた入手を除く。）におけるその他のリスク及びそのリスクに対する措置

Ⅲは、評価対象の事務における特定個⼈情報ファイルの取扱いプロセスにおいて想定されるリスクへの対策について記載するものです。IIの記載を踏まえ、例⽰されている各リスクに具体的にどのように対応しているかを確認することで、⼗分なリスク対策が実施されているかを検討します。
○ Ⅲ（７．②を除く。）に記載する内容への変更は、重要な変更に該当するた
め、変更する前に評価を再実施する必要があります。ただし、これらの項⽬の変更であっても、リスクを相当程度変動させるものではないと考えられる変更
⼜はリスクを明らかに軽減させる変更の場合は、再実施する必要はありません。
○ 評価対象の事務において複数の特定個⼈情報ファイルを取り扱う場合で、特定個⼈情報ファイルによってリスク対策が異なるものがある場合は、このシートをコピーしてリスク対策が共通する特定個⼈情報ファイルごとに、それぞれ記載してください。

３．特定個人情報の使用○

リスク１： 目的を超えた紐付け、事務に必要のない情報との紐付けが行われるリスク
リスクに対する措置の内容

リスクへの対策は十分か

]

[

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

リスク２： 権限のない者（元職員、アクセス権限のない職員等）によって不正に使用されるリスク
ユーザ認証の管理[＜選択肢＞
1） 行っている]

2） 行っていない

具体的な管理方法⑴

このシートで記載する特定個⼈情報ファイルの名称を記載してください。リスク対策が共通する複数の特定個⼈情報ファイルについてまとめて記載することができます。その場合は、このシートで記載する
全ての特定個⼈情報ファイルの名称を記載してください。
○ その際、「Ｉ ３．特定個⼈情報ファイル名」で記載した通し番号とともに記載してください。
【この項⽬の変更は、重要な変更には該当しません。】

その他の措置の内容
リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

特定個人情報の使用におけるその他のリスク及びそのリスクに対する措置

13

Ⅲ リスク対策■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）
第４－３－⑷ 収集・保管制限○ 番号法で限定的に明記された場合を除き、特定個人情報を収集又は保管してはならない。
○ 番号法で限定的に明記された事務を処理する必要がなくなった場合で、文書管理に関する規程等によって定められている保存期間を経過した場合には、個人番号をできるだけ速やかに廃棄又は削除しなければならない。

※（７．②を除く。）

１．特定個人情報ファイル名

２．特定個人情報の入手 （情報提供ネットワークシステムを通じた入手を除く。）
リスク： 目的外の入手が行われるリスク
リスクに対する措置の内容

リスクへの対策は十分か

]

[

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

特定個人情報の入手（情報提供ネットワークシステムを通じた入手を除く。）におけるその他のリスク及びそのリスクに対する措置

３．特定個人情報の使用
リスク１： 目的を超えた紐付け、事務に必要のない情報との紐付けが行われるリスク
リスクに対する措置の内容

リスクへの対策は十分か

]

[

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

リスク２： 権限のない者（元職員、アクセス権限のない職員等）によって不正に使用されるリスク
ユーザ認証の管理[＜選択肢＞
1） 行っている]

2） 行っていない

具体的な管理方法
その他の措置の内容
リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

特定個人情報の使用におけるその他のリスク及びそのリスクに対する措置

2） 十分である（別添１）特定個人情報に関する安全管理措置
２ 講ずべき安全管理措置の内容
Ｃ 組織的安全管理措置
ｂ 取扱規程等に基づく運用○ 取扱規程等に基づく運用を行うとともに、その状況を確認するため、特定個人情報等の利用状
況等を記録し、その記録を一定の期間保存し、定期に及び必要に応じ随時に分析等するための体制を整備する。記録については、改ざん、窃取又は不正な削除の防止のために必要な措置を講ずるとともに、分析等を行う。
ｃ 取扱状況を確認する手段の整備○ 特定個人情報ファイルの取扱状況を確認するため、次に掲げる項目を含めて記録する。なお、取扱状況を確認するための記録等には、特定個人情報等は記載しない。
・ 特定個人情報ファイルの名称
・ 行政機関等の名称及び特定個人情報ファイルが利用に供される事務をつかさどる組織の名称
・ 特定個人情報ファイルの利用目的
・ 特定個人情報ファイルに記録される項目及び本人として特定個人情報ファイルに記録される個
人の範囲
・特定個人情報ファイルに記録される特定個人情報等の収集方法
ｅ 取扱状況の把握及び安全管理措置の見直し○ 監査責任者は、特定個人情報等の管理の状況について、定期に及び必要に応じ随時に監査（外部監査及び他部署等による点検を含む。）を行い、その結果を総括責任者に報告する。
○ 総括責任者は、監査の結果等を踏まえ、必要があると認めるときは、取扱規程等の見直し等の措置を講ずる。
Ｄ 人的安全管理措置
ａ 事務取扱担当者の監督○ 総括責任者及び保護責任者は、特定個人情報等が取扱規程等に基づき適正に取り扱われるよう、事務取扱担当者に対して必要かつ適切な監督を行う。
ｂ 事務取扱担当者等の教育○ 保護責任者は、部署内の事務取扱担当者等に特定個人情報の保護に関する必要な教育研修を行う。
・ 事務取扱担当者への教育研修
・ 情報システムの管理に関する事務に従事する職員への教育研修
・ 保護責任者に対する研修・ 特定個人情報ファイルを取り扱う事務に従事する者への研修
・ サイバーセキュリティに関する研修（具体的内容については、マイナンバーガイドラインを参照すること。）※ 教育研修については、教育研修への参加の機会を付与するとともに、研修未受講者に対して再受講の機会を付与する等の必要な措置を講ずる。

14

■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）

Ⅲ リスク対策※（７．②を除く。）

１．特定個人情報ファイル名

２．特定個人情報の入手 （情報提供ネットワークシステムを通じた入手を除く。）⑴⑵

リスク： 目的外の入手が行われるリスク
リスクに対する措置の内容

リスクへの対策は十分か

]

[

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

特定個人情報の入手（情報提供ネットワークシステムを通じた入手を除く。）におけるその他のリスク及びそのリスクに対する措置⑶（別添１）特定個人情報に関する安全管理措置
１ 安全管理措置の検討手順（抄）Ａ 個人番号を取り扱う事務の範囲の明確化○ 行政機関等は、個人番号利用事務等の範囲を明確にしておかなければならない。
Ｂ 特定個人情報等の範囲の明確化○ 行政機関等は、Ａで明確化した事務において取り扱う特定個人情報等の範囲を明確にしておかなければならない。
Ｃ 事務取扱担当者の明確化○ 行政機関等は、Ａで明確化した事務に従事する事務取扱担当者を明確にしておかなければならない。
Ｄ・Ｅ （略）２ 講ずべき安全管理措置の内容
Ｆ 技術的安全管理措置
ａ アクセス制御○ 情報システムを使用して個人番号利用事務等を行う場合、事務取扱担当者及び当該事務で取り扱う特定個人情報ファイルの範囲を限定するために、適切なアクセス制御を行う。

３．特定個人情報の使用
リスク１： 目的を超えた紐付け、事務に必要のない情報との紐付けが行われるリスク
リスクに対する措置の内容

リスクへの対策は十分か

○
]

[

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

リスク２： 権限のない者（元職員、アクセス権限のない職員等）によって不正に使用されるリスク
ユーザ認証の管理[＜選択肢＞
1） 行っている]⑴

2） 行っていない

評価対象の事務を遂⾏する上で必要な者以外の者の特定個⼈情報を⼊⼿しないよう、どのような対策を⾏っているか記載してください。
○ 評価対象の事務を遂⾏する上で必要な者に関する特定個⼈情報であっても、その事務を遂⾏する上で必要なもの以外の特定個⼈情報を⼊⼿しないよう、どのような対策を⾏っているか記載してください。

具体的な管理方法○

その他の措置の内容
リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

特定個人情報の使用におけるその他のリスク及びそのリスクに対する措置

2） 十分である⑵

上記を踏まえ、⽬的外の⼊⼿が⾏われるリスクに対して、⼗分な対策を⾏っていると評価する場合には「⼗分である」を選択し、⼗分に⾏っているとは評価できず、まだ課題が残されていると評価する場合には「課題が残されている」を選択してください。評価実施機関としてこのリスクへの対策に特に積極的に取り組んでいる場合は、「特に⼒を⼊れている」を選択してください。

○⑶

特定個⼈情報の⼊⼿において、上記のリスク以外に認識しているリ
スク及びそのリスクへの対策を記載してください。
○ 上記「リスクへの対策は⼗分か」の質問において「課題が残されている」を選択した場合は、今後の取組の概要、予定等、補⾜する事項
があれば記載してください。

15

■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）

Ⅲ リスク対策

第４－１－⑴ 個人番号の利用制限（抄）○ 個人番号は、番号法があらかじめ限定的に定めた事務以外で利用することはできない。
○ 行政機関等が個人番号を利用するのは、個人番号利用事務（番号法別表に掲げられている
事務及び番号法第９条第２項に基づいて条例で規定した事務）、個人番号関係事務（職員等の社会保障及び税等に関する手続書類の作成事務）、番号法第19条第13号から第17号までに基づき特定個人情報の提供を受けた目的を達成するために必要な限度で利用する事務に限られる。

※（７．②を除く。）

１．特定個人情報ファイル名

２．特定個人情報の入手 （情報提供ネットワークシステムを通じた入手を除く。）
リスク： 目的外の入手が行われるリスク
リスクに対する措置の内容

リスクへの対策は十分か

]

[

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

特定個人情報の入手（情報提供ネットワークシステムを通じた入手を除く。）におけるその他のリスク及びそのリスクに対する措置

第４－３－⑷ 収集・保管制限○ 番号法で限定的に明記された場合を除き、特定個人情報を収集又は保管してはならない。
○ 番号法で限定的に明記された事務を処理する必要がなくなった場合で、文書管理に関する規程等によって定められている保存期間を経過した場合には、個人番号をできるだけ速やかに廃棄又は削除しなければならない。

３．特定個人情報の使用
リスク１： 目的を超えた紐付け、事務に必要のない情報との紐付けが行われるリスク
リスクに対する措置の内容

リスクへの対策は十分か

]

[

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

リスク２： 権限のない者（元職員、アクセス権限のない職員等）によって不正に使用されるリスク
ユーザ認証の管理

[

]

＜選択肢＞
1） 行っている

2） 行っていない

具体的な管理方法
その他の措置の内容

第４－１－⑵ 特定個人情報ファイルの作成の制限○ 個人番号利用事務等を処理するために必要な場合、又は番号法第19条第13号から第17号までのいずれかに該当して特定個人情報を提供し、又はその提供を受けることができる場合
を除き、特定個人情報ファイルを作成してはならない。

Ｄ 人的安全管理措置＜選択肢＞
ａ 事務取扱担当者の監督][
1） 特に力を入れている
2） 十分である
リスクへの対策は十分か
3） 課題が残されている○ 総括責任者及び保護責任者は、特定個人情報等が取扱規程等に基づき適特定個人情報の使用におけるその他のリスク及びそのリスクに対する措置
正に取り扱われるよう、事務取扱担当者に対して必要かつ適切な監督を行う。
ｂ 事務取扱担当者等の教育○ 保護責任者は、部署内の事務取扱担当者等に特定個人情報の保護に関する必要な教育研修を行う。
・ 事務取扱担当者への教育研修
・ 情報システムの管理に関する事務に従事する職員への教育研修
・ 保護責任者に対する研修・ 特定個人情報ファイルを取り扱う事務に従事する者への研修
・ サイバーセキュリティに関する研修（具体的内容については、マイナンバーガ
イドラインを参照すること。）※ 教育研修については、教育研修への参加の機会を付与するとともに、研修未受講者に対して再受講の機会を付与する等の必要な措置を講ずる。

（別添１）特定個人情報に関する安全管理措置
２ 講ずべき安全管理措置の内容
Ｃ 組織的安全管理措置
ｂ 取扱規程等に基づく運用○ 取扱規程等に基づく運用を行うとともに、その状況を確認するため、特定個人情報等の利用状況等を記録し、その記録を一定の期間保存し、定期に及び必要に応じ随時に分析等するための体制を整備する。記録については、改ざん、窃取又は不正な削除の防止のために必要な措置を講ずるとともに、分析等を行う。
ｃ 取扱状況を確認する手段の整備○ 特定個人情報ファイルの取扱状況を確認するため、次に掲げる項目を含めて記録する。なお、取扱状況を確認するための記録等には、特定個人情報等は記載しない。
・特定個人情報ファイルの名称
・行政機関等の名称及び特定個人情報ファイルが利用に供される事務をつかさどる組織の
名称
・特定個人情報ファイルの利用目的
・特定個人情報ファイルに記録される項目及び本人として特定個人情報ファイルに記録される個人の範囲・特定個人情報ファイルに記録される特定個人情報等の収集方法
ｅ 取扱状況の把握及び安全管理措置の見直し○ 監査責任者は、特定個人情報等の管理の状況について、定期に及び必要に応じ随時に監
査（外部監査及び他部署等による点検を含む。）を行い、その結果を総括責任者に報告する。
○ 総括責任者は、監査の結果等を踏まえ、必要があると認めるときは、取扱規程等の見直し等の措置を講ずる。

16

Ⅲ リスク対策■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）※（７．②を除く。）

１．特定個人情報ファイル名

２．特定個人情報の入手 （情報提供ネットワークシステムを通じた入手を除く。）
リスク： 目的外の入手が行われるリスク
リスクに対する措置の内容

リスクへの対策は十分か

]

[

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である（別添１）特定個人情報に関する安全管理措置
２ 講ずべき安全管理措置の内容
Ｆ 技術的安全管理措置
ａ アクセス制御○ 情報システムを使用して個人番号利用事務等を行う場合、事務取扱担当者及び当該事
務で取り扱う特定個人情報ファイルの範囲を限定するために、適切なアクセス制御を行う。

特定個人情報の入手（情報提供ネットワークシステムを通じた入手を除く。）におけるその他のリスク及びそのリスクに対する措置

３．特定個人情報の使用⑴

リスク１： 目的を超えた紐付け、事務に必要のない情報との紐付けが行われるリスク
リスクに対する措置の内容

リスクへの対策は十分か

]

[

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である○

リスク２： 権限のない者（元職員、アクセス権限のない職員等）によって不正に使用されるリスク
ユーザ認証の管理[＜選択肢＞
1） 行っている]

2） 行っていない

具体的な管理方法
その他の措置の内容
リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

特定個人情報の使用におけるその他のリスク及びそのリスクに対する措置

2） 十分である⑴

特定個⼈情報が、使⽤⽬的を超えて取り扱われないよう、また、評価対象の事務に必要のない情報と併せて取り扱われないよう、どのような対策を⾏っているか記載してください（例えば、評価対象の事務に必要のない者の個⼈番号にアクセスできないようにする措置、評価対象の事務に必要のない情報にアクセスできないようにする措置について記載してください。）。
○ その際、システム上の措置とその他の措置を分けて記載してください。
さらに、システム上の措置の中でも、宛名システム等（個⼈番号と既存番号の対照テーブルなどを⽤い複数の事務で個⼈番号を共通して参照するシステム）における措置と、事務で使⽤するその他のシステムにおける措置に分けて記載してください。

17

Ⅲ リスク対策※（７．②を除く。）

１．特定個人情報ファイル名

２．特定個人情報の入手 （情報提供ネットワークシステムを通じた入手を除く。）
リスク： 目的外の入手が行われるリスク
リスクに対する措置の内容

リスクへの対策は十分か

]

[

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

特定個人情報の入手（情報提供ネットワークシステムを通じた入手を除く。）におけるその他のリスク及びそのリスクに対する措置

Ｆ 技術的安全管理措置
ａ アクセス制御○ 情報システムを使用して個人番号利用事務等を行う場合、事務取扱担当者及び当該事務で取り扱う特定個人情報ファイルの範囲を限定するために、適切なアクセス制御を行う。
ｂ アクセス者の識別と認証○ 特定個人情報等を取り扱う情報システムは、事務取扱担当者が正当なアクセス権を有する者であることを、識別した結果に基づき認証する。

３．特定個人情報の使用
リスク１： 目的を超えた紐付け、事務に必要のない情報との紐付けが行われるリスク
リスクに対する措置の内容

リスクへの対策は十分か

]

[

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている（別添１）特定個人情報に関する安全管理措置
２ 講ずべき安全管理措置の内容
Ｅ 物理的安全管理措置
ａ 特定個人情報等を取り扱う区域の管理○ 特定個人情報ファイルを取り扱う情報システム（サーバ等）を管理する区域（以下「管理区域」という。）を明確にし、物理的な安全管理措置を講ずる。管理区域において、入退室管理及び管理区域へ持ち込む機器等の制限等の措置を講ずる。
○ 特定個人情報等を取り扱う事務を実施する区域（以下「取扱区域」という。）について、事務取扱担当者等以外の者が特定個人情報等を容易に閲覧等できないよう留意する必要がある。
○ 基幹的なサーバ等の機器を設置する室等（以下「情報システム室等」という。）を区分して管理する場合は、情報システム室等について、次の①及び②に掲げる措置を講ずる。
① 入退室管理
情報システム室等に入室する権限を有する者を定めるとともに、用件の確認、入退室の記録、部外者についての識別化、部外者が入室する場合の職員の立会い等の措置を講ずる。
② 情報システム室等の管理
外部からの不正な侵入に備え、施錠装置、警報装置、監視設備の設置等の措置を講ずる。

2） 十分である○

リスク２： 権限のない者（元職員、アクセス権限のない職員等）によって不正に使用されるリスク⑴

ユーザ認証の管理⑵

その他の措置の内容[＜選択肢＞
1） 行っている]

具体的な管理方法

リスクへの対策は十分か

⑴
[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

特定個人情報の使用におけるその他のリスク及びそのリスクに対する措置⑶

2） 行っていない

2） 十分である⑵

特定個⼈情報にアクセスする際の認証を⾏う場合は、特定個⼈情報にアクセスするユーザの認証⽅法（ユーザIDとパスワードによる認証か、
⽣体認証か、端末認証を⾏うかなど）、なりすましが⾏われないための対策について記載してください。
○ 認証の管理を⾏わない場合、⾏わなくても権限のない者による不正な使⽤を防⽌できる理由を記載してください。
○

上記で例⽰する以外に、権限のない者によって不正に使⽤されるリス
クに対応するための措置を講じている場合は、記載してください。

○⑶

特定個⼈情報の使⽤において、上記のリスク１及び２以外に認識しているリスク及びそれらのリスクへの対策を記載してください。
〇 リスク１及び２についての「リスクへの対策は⼗分か」の質問において「課題が残されている」を選択した場合は、今後の取組の概要、予定等、補⾜する事項があれば記載してください。

18

４．特定個人情報ファイルの取扱いの委託[] 委託しない

リスク： 委託先における不正な使用等のリスク⑵

委託契約書中の特定個人情報ファイルの取扱いに関する
規定

[

]

＜選択肢＞
1） 定めている

[

]

＜選択肢＞
1） 特に力を入れて行っている 2） 十分に行っている
3） 十分に行っていない
4） 再委託していない[]

2） 定めていない

⑴
⑴

規定の内容

⑶

再委託先による特定個人情報ファイルの適切な取扱いの担保その他の措置の内容⑷＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

特定個人情報ファイルの取扱いの委託におけるその他のリスク及びそのリスクに対する措置⑵■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）
第４－２－⑴ 委託の取扱い○ 委託者（行政機関等）は、委託先において、番号法に基づき個人番号利用事務等を行う委託者が果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行わなければならない。
※ 委託者は、委託をする個人番号利用事務等において取り扱う特定個人情報の適切な安全管理が図られることを確認した上で再委託の諾否を判断しなければならない。また、委託先に対する監督義務だけではなく、再委託先に対しても間接的に監督義務を負うこととなる。
《必要かつ適切な監督》① 委託先の適切な選定② 委託先に安全管理措置を遵守させるための必要な委託契約の締結（契約に盛り込む必要がある内容）
・秘密保持義務・委託する業務の遂行に必要な範囲を超える事業所内からの特定個人情報の持ち出しの禁止
・特定個人情報の目的外利用の禁止
・再委託における条件
・漏えい等事案が発生した場合の委託先の責任・委託契約終了後の特定個人情報の返却又は廃棄・特定個人情報を取り扱う従業者の明確化
・従業者に対する監督・教育
・契約内容の遵守状況について報告を求める規定・必要があると認めるときに実地調査を行うことができる規定等③ 委託先における特定個人情報の取扱状況の把握○ 委託先が再委託する場合は、最初の委託者（行政機関等）の許諾を得た場合に限り、再委託をすることができます。再々委託以降も同様です。

特定個⼈情報ファイルの取扱いの委託をしていない場合は「委託しない」を選択し、４．の以下の記載は不要です。

○

具体的な方法

リスクへの対策は十分か○委託先と締結する委託契約において、特定個⼈情報ファイルの取扱いに関して定めているかどうかを選択してください。また、定めている場合は、どのような規定を設けるか記載してください。
○ 例えば、規定については、以下の内容が考えられます。
・秘密保持義務・委託する業務の遂⾏に必要な範囲を超える事業所内からの特定個⼈
情報の持ち出しの禁⽌・特定個⼈情報の⽬的外利⽤の禁⽌・再委託における条件
・漏えい事案等が発⽣した場合の委託先の責任・委託契約終了後の特定個⼈情報の返却⼜は廃棄・特定個⼈情報を取り扱う従業者の明確化
・従業者に対する監督・教育、契約内容の遵守状況についての報告を⾏うこと
・必要があると認めるときは、委託先に対して実地の監査、調査等を
⾏うこと
〇

⑶

特定個⼈情報ファイルの取扱いを再委託している場合には、再委託先での適正な取扱いの確保のために⾏っている措置について記載してください。例えば、委託先における特定個⼈情報ファイルの管理状況を定期的に点検している場合は、実施頻度、点検⽅法（訪問確認、セルフチェック）、点検後の改善指⽰の実施有無、改善状況のモニタリングの実施有無等を記載してください。

〇⑷

特定個⼈情報ファイルの取扱いの委託において、上記のリスク以外に認識しているリスク及びそれらのリスクへの対策を記載してください。
〇 上記「リスクへの対策は⼗分か」の質問において「課題が残されている」を選択した場合は、今後の取組の概要、予定等、補⾜する事項
があれば記載してください。

19

⑴５．特定個人情報の提供・移転 （委託や情報提供ネットワークシステムを通じた提供を除く。）[] 提供・移転しない

リスク： 不正な提供・移転が行われるリスク
特定個人情報の提供・移転に関するルール

[

]

＜選択肢＞
1） 定めている

2） 定めていない

ルールの内容及びルール遵守の確認方
法
その他の措置の内容
リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

特定個人情報の提供・移転（委託や情報提供ネットワークシステムを通じた提供を除く。）におけるその他のリスク及びそのリスクに対
する措置

⑴

○

特定個⼈情報ファイルの取扱いの委託をしていない場合
は「委託しない」を選択し、４．の以下の記載は不要です。

■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）
第４－３－⑵ 個人番号の提供の求めの制限、特定個人情報の提供制限○ 番号法で限定的に明記された場合を除き、個人番号の提供を求めてはならない。
○ 番号法で限定的に明記された場合を除き、特定個人情報を提供してはならない。
（別添１）特定個人情報に関する安全管理措置
２ 講ずべき安全管理措置の内容
Ｃ 組織的安全管理措置
ｂ 取扱規程等に基づく運用○ 取扱規程等に基づく運用を行うとともに、その状況を確認するため、特定個人情報等の利用状況等を記録し、その記録を一定の期間保存し、定期に及び必要に応じ随時に分析等するための体制を整備する。記録については、改ざん、窃取又は不正な削除の防止のために必要な措置を講ずるとともに、分析等を行う。
ｃ 取扱状況を確認する手段の整備○ 特定個人情報ファイルの取扱状況を確認するため、次に掲げる項目を含めて記録する。なお、取扱状況を確認するための記録等には、特定個人情報等は記載しない。
・特定個人情報ファイルの名称
・行政機関等の名称及び特定個人情報ファイルが利用に供される事務をつかさどる組織の名
称・特定個人情報ファイルの利用目的
・特定個人情報ファイルに記録される項目及び本人として特定個人情報ファイルに記録される
個人の範囲
・特定個人情報ファイルに記録される特定個人情報等の収集方法
ｅ 取扱状況の把握及び安全管理措置の見直し○ 監査責任者は、特定個人情報等の管理の状況について、定期に及び必要に応じ随時に監査（外部監査及び他部署等による点検を含む。）を行い、その結果を総括責任者に報告する。
○ 総括責任者は、監査の結果等を踏まえ、必要があると認めるときは、取扱規程等の見直し等の措置を講ずる。
Ｄ 人的安全管理措置
ａ 事務取扱担当者の監督○ 総括責任者及び保護責任者は、特定個人情報等が取扱規程等に基づき適正に取り扱われるよう、事務取扱担当者に対して必要かつ適切な監督を行う。
ｂ 事務取扱担当者等の教育○ 保護責任者は、部署内の事務取扱担当者等に特定個人情報の保護に関する必要な教育研修を行う。
・ 事務取扱担当者への教育研修
・ 情報システムの管理に関する事務に従事する職員への教育研修
・ 保護責任者に対する研修・ 特定個人情報ファイルを取り扱う事務に従事する者への研修
・ サイバーセキュリティに関する研修（具体的内容については、マイナンバーガイドラインを参照すること。）※ 教育研修については、教育研修への参加の機会を付与するとともに、研修未受講者に対して再受講の機会を付与する等の必要な措置を講ずる。

20

５．特定個人情報の提供・移転 （委託や情報提供ネットワークシステムを通じた提供を除く。）[] 提供・移転しない■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）

リスク： 不正な提供・移転が行われるリスク⑴

特定個人情報の提供・移転に関するルール

[

]

[

]

＜選択肢＞
1） 定めている

2） 定めていない

ルールの内容及びルール遵守の確認方
法
その他の措置の内容⑵

リスクへの対策は十分か＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

特定個人情報の提供・移転（委託や情報提供ネットワークシステムを通じた提供を除く。）におけるその他のリスク及びそのリスクに対する措置（別添１）特定個人情報に関する安全管理措置
２ 講ずべき安全管理措置の内容
Ｅ 物理的安全管理措置
ｃ 電子媒体等の取扱いにおける漏えい等の防止○ 許可された電子媒体又は機器等以外のものについて使用の制限等の必要な措置を講ずる。また、記録機能を有する機器の情報システム端末等への接続の制限等の必要な措置を講ずる。
○ 取扱規程等の手続に基づき、特定個人情報等が記録された電子媒体又は書類等を持ち運ぶ必要が生じた場合には、容易に個人番号が判明しないよう安全な方策を講ずる。
○ 「持ち運ぶ」とは、特定個人情報等を管理区域又は取扱区域から外へ移動させること又は当該区域の外から当該区域へ移動させることをいい、庁舎内での移動等であっても、特定個人情報等の紛失・盗難等に留意する必要がある。
Ｆ 技術的安全管理措置
ｄ 漏えい等の防止○ 特定個人情報等をインターネット等により外部に送信する場合、通信経路における漏えい等を防止するための措置を講ずる。
○ 特定個人情報ファイルを機器又は電子媒体等に保存する必要がある場合、原則として、暗号化
又はパスワードにより秘匿する。

○⑴

特定個⼈情報の提供・移転に関するルールを定めているかどうかを選択してください。
○ 定めている場合は、どのようなルールを策定しているか、どのようにしてルール遵守を確認するかについて記載してください。
〇⑵

特定個⼈情報の提供・移転において、上記のリスク以外に認識しているリスク及びそれらのリスクへの対策を記載してください。
〇 上記「リスクへの対策は⼗分か」の質問において「課題が残されている」を選択した場合は、今後の取組の概要、予定等、補⾜する事項
があれば記載してください。

21

第４－３－⑶ 情報提供ネットワークシステムによる利用特定個人情報の提供○ 番号法で限定的に明記された場合を除き、利用特定個人情報を提供してはならない。

６．情報提供ネットワークシステムとの接続[] 接続しない（入手）[] 接続しない（提供）

リスク１： 目的外の入手が行われるリスク
リスクに対する措置の内容

リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

リスク２： 不正な提供が行われるリスク
リスクに対する措置の内容

リスクへの対策は十分か[]

情報提供ネットワークシステムとの接続に伴うその他のリスク及びそのリスクに対する措置■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）
第４－３－⑷ 収集・保管制限（抄）○ 番号法で限定的に明記された場合を除き、特定個人情報を収集又は保管してはならない。
第４－３－⑸ 本人確認
○ 番号法、番号法施行令、番号法施行規則及び個人番号利用事務実施者（番号
法第９条第３項の規定により情報提供用個人識別符号を利用する者を除く。）が認める方法に従い、適切に本人確認を行う。
※ 具体的な本人確認の方法については、マイナンバーガイドラインを参照。
（別添１）特定個人情報に関する安全管理措置
２ 講ずべき安全管理措置の内容
Ｆ 技術的安全管理措置
ａ アクセス制御○ 情報システムを使用して個人番号利用事務等を行う場合、事務取扱担当者
及び当該事務で取り扱う特定個人情報ファイルの範囲を限定するために、適切なアクセス制御を行う。
ｂ アクセス者の識別と認証○ 特定個人情報等を取り扱う情報システムは、事務取扱担当者が正当なアクセ
ス権を有する者であることを、識別した結果に基づき認証する。

（別添１）特定個人情報に関する安全管理措置
２ 講ずべき安全管理措置の内容
Ｃ 組織的安全管理措置
ｂ 取扱規程等に基づく運用○ 取扱規程等に基づく運用を行うとともに、その状況を確認するため、特定個人情報等の利用状況等を記録し、その記録を一定の期間保存し、定期に及び必要に応じ随時に分析等するための体制を整備する。記録については、改ざん、窃取又は不正な削除の防止のために必要な措置を講ずるとともに、分析等を行う。
ｃ 取扱状況を確認する手段の整備○ 特定個人情報ファイルの取扱状況を確認するため、次に掲げる項目を含めて記録する。なお、取扱状況を確認するための記録等には、特定個人情報等は記載しない。
・特定個人情報ファイルの名称
・行政機関等の名称及び特定個人情報ファイルが利用に供される事務をつかさどる組織の名
称・特定個人情報ファイルの利用目的
・特定個人情報ファイルに記録される項目及び本人として特定個人情報ファイルに記録される
個人の範囲
・特定個人情報ファイルに記録される特定個人情報等の収集方法
ｅ 取扱状況の把握及び安全管理措置の見直し○ 監査責任者は、特定個人情報等の管理の状況について、定期に及び必要に応じ随時に監
査（外部監査及び他部署等による点検を含む。）を行い、その結果を総括責任者に報告する。
○ 総括責任者は、監査の結果等を踏まえ、必要があると認めるときは、取扱規程等の見直し等の措置を講ずる。
Ｄ 人的安全管理措置
ａ 事務取扱担当者の監督○ 総括責任者及び保護責任者は、特定個人情報等が取扱規程等に基づき適正に取り扱われるよう、事務取扱担当者に対して必要かつ適切な監督を行う。
ｂ 事務取扱担当者等の教育○ 保護責任者は、部署内の事務取扱担当者等に特定個人情報の保護に関する必要な教育研修を行う。
・ 事務取扱担当者への教育研修
・ 情報システムの管理に関する事務に従事する職員への教育研修
・ 保護責任者に対する研修・ 特定個人情報ファイルを取り扱う事務に従事する者への研修
・ サイバーセキュリティに関する研修（具体的内容については、マイナンバーガイドラインを参照すること。）※ 教育研修については、教育研修への参加の機会を付与するとともに、研修未受講者に対して再受講の機会を付与する等の必要な措置を講ずる。
Ｆ 技術的安全管理措置
ｄ 漏えい等の防止○ 特定個人情報等をインターネット等により外部に送信する場合、通信経路における漏えい等を防止するための措置を講ずる。
○ 特定個人情報ファイルを機器又は電子媒体等に保存する必要がある場合、原則として、暗号化又はパスワードにより秘匿する。

22

⑴６．情報提供ネットワークシステムとの接続⑵[] 接続しない（入手）[○] 接続しない（提供）

リスク１： 目的外の入手が行われるリスク
リスクに対する措置の内容

リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

リスク２： 不正な提供が行われるリスク⑶

リスクに対する措置の内容

リスクへの対策は十分か

⑷

⑴

[

]

情報提供ネットワークシステムとの接続に伴うその他のリスク及びそのリスクに対する措置⑵⑶

情報提供ネットワークシステム・中間サーバーを通じた利⽤特定個⼈
情報の⼊⼿⼜は提供に関するリスク対策を記載するための項⽬です。
〇 情報提供ネットワークシステム・中間サーバーのアプリケーション仕様等は、関係省庁等から送付されているこの項⽬の記載に必要な情報を踏まえて、記載してください。
〇 特定個⼈情報の⼊⼿のために情報提供ネットワークシステムに接続しない場合は「接続しない（⼊⼿）」を選択し、リスク１の記載は不要です。また、特定個⼈情報の提供のために情報提供ネットワークシス
テムに接続しない場合は「接続しない（提供）」を選択し、リスク２の記載は不要です。
○

情報提供ネットワークシステムを通じて利⽤特定個⼈情報を⼊⼿する
際に、⽬的外の⼊⼿が⾏われないために講じている措置を記載してください。

○

情報提供ネットワークシステムを通じて提供する際に、利⽤特定個⼈
情報の不正な提供が⾏われるリスクを軽減するために講じている措置を記載してください。

○⑷

情報提供ネットワークシステムとの接続に伴うリスクについて、上記のリスク１及び２以外に認識しているリスク及びそれらのリスクへの対策を記載してください。
〇 リスク１及び２についての「リスクへの対策は⼗分か」の質問において「課題が残されている」を選択した場合は、今後の取組の概要、予定等、補⾜する事項があれば記載してください。

23

７．特定個人情報の保管・消去

⑴
⑵
⑶
⑷

リスク： 特定個人情報の漏えい・滅失・毀損リスク①事故発生時手順の策定・周知②過去３年以内に、評価実施機関において、個人情報に関する重大事故が発生したか

[

[

]

＜選択肢＞
1） 特に力を入れて行っている 2） 十分に行っている
3） 十分に行っていない＜選択肢＞
1） 発生あり]2） 発生なし

その内容
再発防止策の内容
その他の措置の内容
リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

特定個人情報の保管・消去におけるその他のリスク及びそのリスクに対する措置■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）
第４－２－⑵ 安全管理措置○ 個人番号利用事務等実施者は、個人番号（生存する個人のものだけでなく死者のものも含む。）の漏えい、滅失又は毀損の防止その他の個人番号の適切な管理のために必要な措置を講じなければならない。また、行政機関等は、保有個人情報である特定個人情報の漏えい、滅失又は毀損の防止その他の保有個人情報である特定個人情報の適切な管理のために必要な措置を講じなければならない。
○ 個人のプライバシー等の権利利益に影響を与え得る特定個人情報の漏えいその他の事態を発生させるリスクを軽減するための措置として、特定個人情報保護評価書に記載した全ての措置を講ずるも
のとする。

⑴

○

特定個⼈情報に関する事故発⽣時の対応⼿順を策定して職員に周知しているかどうか選択してください。

○（別添１）特定個人情報に関する安全管理措置
２ 講ずべき安全管理措置の内容
Ｃ 組織的安全管理措置
ｄ 漏えい等事案に対応する体制等の整備○ 漏えい等の事案の発生又は兆候を把握した場合に、適切かつ迅速に対応するための体制及び手順等を整備する。
○ 漏えい等の事案が発生した場合、二次被害の防止、類似事案の発生防止等の観点から、事案に応じて、事実関係及び再発防止策等を早急に公表することが重要である。
（別添２）特定個人情報の漏えい等に関する報告等（行政機関等編）
２ 漏えい等事案が発覚した場合に講ずべき措置○ 特定個人情報を取り扱う行政機関等は、漏えい等又はそのおそれのある事案その他の番号法違反の事案又は番号法違反のおそれのある事案（以下「漏えい等事案」という。）が発覚した場合は、漏えい等事案の内容等に応じて、次に掲げる事項について必要な措置を講じなければならない。
・ 組織内における報告及び被害の拡大防止
・ 事実関係の調査及び原因の究明
・ 影響範囲の特定・ 再発防止策の検討及び実施
・ 委員会への報告及び本人への通知⑵⑶⑷

過去３年以内に、評価実施機関において（※評価対象の事務に限らないことに御注意ください。）、個⼈情報（※特定個⼈情報に限らないことに御注意ください。）に関する重⼤事故が発⽣したかどうかを選択してください。３年以上前に発⽣した重⼤事故であっても、過去
３年以内に評価実施機関がその発⽣を知った場合は、発⽣したことになります。
○ ここでいう「個⼈情報に関する重⼤事故」については、指針第２の６及び７を参照してください。
【この項⽬の変更は、重要な変更には該当しません。】○

過去３年以内に発⽣した全ての重⼤事故の内容、原因、影響（影響を受けた⼈数等）、重⼤事故発⽣時の対応などを記載してください。
【この項⽬の変更は、重要な変更には該当しません。】○

重⼤事故を受けて策定・実施した再発防⽌策の内容について具体的に記載してください。【この項⽬の変更は、重要な変更には該当しま
せん。】

24

○

⑴
７．特定個人情報の保管・消去

特定個⼈情報の保管・消去において、上記のリスク以外に認識しているリスク及びそれらのリスクへの対策を記載してください。例えば、特定個⼈情報が古い情報のま
ま保管され続けるリスクや消去されずいつまでも存在するリスクが考えられます。
〇 上記「リスクへの対策は⼗分か」の質問において「課題が残されている」を選択した場合は、今後の取組の概要、予定等、補⾜する事項があれば記載してください。

リスク： 特定個人情報の漏えい・滅失・毀損リスク①事故発生時手順の策定・周知②過去３年以内に、評価実施機関において、個人情報に関する重大事故が発生したか

[

[

]

＜選択肢＞
1） 特に力を入れて行っている 2） 十分に行っている
3） 十分に行っていない＜選択肢＞
1） 発生あり]2） 発生なし

その内容
再発防止策の内容
その他の措置の内容
リスクへの対策は十分か

⑴

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

特定個人情報の保管・消去におけるその他のリスク及びそのリスクに対する措置（別添１）特定個人情報に関する安全管理措置
２ 講ずべき安全管理措置の内容
Ｆ 技術的安全管理措置
ａ アクセス制御○ 情報システムを使用して個人番号利用事務等を行う場合、事務取扱担当者及び当該事務で取り扱う特定個人情報ファイルの範囲を限定するために、適切なアクセス制御を行う。
ｂ アクセス者の識別と認証○ 特定個人情報等を取り扱う情報システムは、事務取扱担当者が正当なアクセス権を有する者であることを、識別した結果に基づき認証する。
ｃ 不正アクセス等による被害の防止等○ 情報システムを外部等からの不正アクセス又は不正ソフトウェアから保護する仕組み等を導入し、適切に運用する。また、個人番号利用事務の実施に当たり接続する情報提供ネットワークシステム等の接続規程等が示す安全管理措置を遵守する。
○ 個人番号利用事務において使用する情報システムについて、インターネットから独立する等の高い
セキュリティ対策を踏まえたシステム構築や運用体制整備を行う。
ｄ 漏えい等の防止○ 特定個人情報等をインターネット等により外部に送信する場合、通信経路における漏えい等を防止するための措置を講ずる。
○ 特定個人情報ファイルを機器又は電子媒体等に保存する必要がある場合、原則として、暗号化又はパスワードにより秘匿する。

■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）（別添１）特定個人情報に関する安全管理措置
２ 講ずべき安全管理措置の内容
Ｅ 物理的安全管理措置
ａ 特定個人情報等を取り扱う区域の管理○ 特定個人情報ファイルを取り扱う情報システム（サーバ等）を管理する区域（以下「管理区域」という。）を明確にし、物理的な安全管理措置を講ずる。管理区域において、入退室管理
及び管理区域へ持ち込む機器等の制限等の措置を講ずる。
○ 特定個人情報等を取り扱う事務を実施する区域（以下「取扱区域」という。）について、事務取扱担当者等以外の者が特定個人情報等を容易に閲覧等できないよう留意する必要がある。
○ 基幹的なサーバ等の機器を設置する室等（以下「情報システム室等」という。）を区分して管理する場合は、情報システム室等について、次の①及び②に掲げる措置を講ずる。
① 入退室管理
情報システム室等に入室する権限を有する者を定めるとともに、用件の確認、入退室の記録、部外者についての識別化、部外者が入室する場合の職員の立会い等の措置を講ずる。
② 情報システム室等の管理
外部からの不正な侵入に備え、施錠装置、警報装置、監視設備の設置等の措置を講ずる。
ｂ 機器及び電子媒体等の盗難等の防止○ 管理区域及び取扱区域における特定個人情報等を取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、物理的な安全管理措置を講ずる。また、電子媒体及び書類等の庁舎内の移動等において、紛失・盗難等に留意する。
ｃ 電子媒体等の取扱いにおける漏えい等の防止○ 許可された電子媒体又は機器等以外のものについて使用の制限等の必要な措置を講ずる。また、記録機能を有する機器の情報システム端末等への接続の制限等の必要な措置を講ずる。
○ 取扱規程等の手続に基づき、特定個人情報等が記録された電子媒体又は書類等を持ち運ぶ必要が生じた場合には、容易に個人番号が判明しないよう安全な方策を講ずる。
○ 「持ち運ぶ」とは、特定個人情報等を管理区域又は取扱区域から外へ移動させること又は当該区域の外から当該区域へ移動させることをいい、庁舎内での移動等であっても、特定個
人情報等の紛失・盗難等に留意する必要がある。
ｄ 個人番号の削除、機器及び電子媒体等の廃棄○ 特定個人情報等が記録された電子媒体及び書類等について、文書管理に関する規程等によって定められている保存期間を経過した場合には、個人番号をできるだけ速やかに復元不可能な手段で削除又は廃棄する。
○ 個人番号若しくは特定個人情報ファイルを削除した場合、又は電子媒体等を廃棄した場合には、削除又は廃棄した記録を保存する。また、これらの作業を委託する場合には、委託先が確実に削除又は廃棄したことについて、証明書等により確認する。

25

■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してくださ
い。）

⑴

８．監査
実施の有無

[

] 自己点検[] 内部監査[] 外部監査９．従業者に対する教育・啓発
従業者に対する教育・啓発⑵

具体的な方法⑶

１０．その他のリスク対策

[

]

＜選択肢＞
1） 特に力を入れて行っている 2） 十分に行っている
3） 十分に行っていない

第４－２－⑵ 安全管理措置（抄）○ 個人のプライバシー等の権利利益に影響を与え得る特定個人情報の漏えいその他の事態を発生させるリスクを軽減するための措置として、特定個人情報保護評価書に記載した全ての措置を講ずるものとする。
（別添１）特定個人情報に関する安全管理措置
２ 講ずべき安全管理措置の内容
Ｃ 組織的安全管理措置
ｅ 取扱状況の把握及び安全管理措置の見直し○ 監査責任者は、特定個人情報等の管理の状況について、定期に及び必要に応じ随時に監査（外部監査及び他部署等による点検を含む。）を行い、その結果を総括責任者に報告する。
○ 総括責任者は、監査の結果等を踏まえ、必要があると認めるときは、取扱規程等の見直し等の措置を講ずる。

⑴（別添１）特定個人情報に関する安全管理措置
２ 講ずべき安全管理措置の内容
Ｄ 人的安全管理措置
ｂ 事務取扱担当者等の教育○ 保護責任者は、部署内の事務取扱担当者等に特定個人情報の保護に関する必要な教育研修を行う。
・ 事務取扱担当者への教育研修
・ 情報システムの管理に関する事務に従事する職員への教育研修
・ 保護責任者に対する研修・ 特定個人情報ファイルを取り扱う事務に従事する者への研修
・ サイバーセキュリティに関する研修（具体的内容については、マイナンバー
ガイドラインを参照すること。）※ 教育研修については、教育研修への参加の機会を付与するとともに、研修未受講者に対して再受講の機会を付与する等の必要な措置を講ずる。
ｃ 法令・内部規程違反等に対する厳正な対処○ 法令又は内部規程等に違反した職員に対し、法令又は内部規程等に基づき厳正に対処する。

○

評価の実施を担当する部署⾃らによる⾃⼰点検、評価実施機関内の内部監査⼜は外部の第三者による監査を実施している場合には、それぞれ選択してください。

○

特定個⼈情報を取り扱う従業者に対して、特定個⼈情報の安全管理が図られるようどのような教育・啓発を⾏うか、違反⾏為を⾏った従業者に対して、どのような措置を講ずるかについて記載してください。
例えば、研修の内容・⽅法・頻度、未受講者への対応⽅法等を記載することが考えられます。

⑵○⑶

上記のほか、リスク対策として取り組んでいることがあれば記載してください。
○ また、Ⅲ１．から７．まででは特定個⼈情報ファイルの取扱いプロ
セスにおいて想定されるリスクを列記していましたが、これら以外のリスクを特定し、それらのリスクへの対策を実施している場合も、ここに記載してください。
○ 組織的及び⼈的安全管理措置等の観点から、評価実施機関の組織体制や評価対象事務の特性を考慮し、取り組んでいることがあれば記載
してください。
○ 例えば、次のような内容を記載することが考えられます。
・ 特定個⼈情報の適切な取扱いについて、継続的な改善を実施するための仕組み・ 評価対象の事務における事務責任者等の関与の仕組み
・ 評価を適切に実施するために整備している体制
・ 特定個⼈情報の漏えい事案等が発⽣した場合の対応

26

Ⅳ 開示請求、問合せ

⑴
⑵
⑶
⑷

１．特定個人情報の開示・訂正・利用停止請求①請求先○

特定個⼈情報に関する開⽰・訂正・利⽤停⽌請求を受理する部署の名称、住所、電話番号等を記載してください。【☆⾏政機関にとっては組織の名称及び所在地は事前通知事項です（個⼈情報保護法第74条
第１項第９号）。】○

特定個⼈情報で請求⽅法が異なる場合は、分かりやすく分けて記載
してください。また、開⽰・訂正・利⽤停⽌請求について、本⼈が利⽤しやすいような措置を講じており、特記して⼀般に向けて積極的に情報提供したいものがある場合は、記載してください（請求⽅法の容易化、⼿数料の減免など）。

○

⾏政機関、独⽴⾏政法⼈等及び地⽅公共団体等については、訂正・利⽤停⽌請求について、番号法、個⼈情報保護法以外の法令により、特別の⼿続がある場合はその旨を個⼈情報ファイル簿に記載するものとされています（個⼈情報保護法第75条第１項、同法第74条第１項第10号）。このような場合は、⾏政機関は、法令名及び条項とともに、当該特別の⼿続の概要を記載してください。【☆⾏政機関にとっては
法令名及び条項は事前通知事項です（個⼈情報保護法第74条第１項第10号・第11号・施⾏令第20条第２号）。】○

⾏政機関については、個⼈情報保護法第74条第１項第８号に該当する事項（すなわち個⼈情報保護法第75条第３項の規定に基づき記録項
⽬の⼀部若しくは第74条第１項第５号若しくは第７号に掲げる事項を
個⼈情報ファイル簿に記載しないこととするとき⼜は個⼈情報ファイ
ルを個⼈情報ファイル簿に掲載しないこととするとき）があれば、記載してください。【☆⾏政機関にとっては事前通知事項です（個⼈情報保護法第74条第１項第８号）。】○

特定個⼈情報ファイルの取扱いに関して問合せをする際の連絡先の部署の名称、住所、電話番号等を記載してください。

○

問合せへの対応について、規程や運⽤ルール、マニュアルを作成している場合は、その内容（問合せ対応のための体制、受付⽅法、対応
⽅法、再発防⽌対策など）の概要を記載してください。

⑴

②請求方法

③法令による特別の手続④個人情報ファイル簿への不記載等⑵

２．特定個人情報ファイルの取扱いに関する問合せ

⑸
⑹

①連絡先

②対応方法

⑶

⑷

⑸
⑹

27

Ⅴ 評価実施手続

⑴
⑵
⑶
⑷
⑸
⑹
⑺
⑻

○

１．基礎項目評価⑴①実施日[②しきい値判断結果]＜選択肢＞
1） 基礎項目評価及び重点項目評価の実施が義務付けられる
2） 基礎項目評価の実施が義務付けられる（任意に重点項目評価を実施）
3） 特定個人情報保護評価の実施が義務付けられない（任意に重点項目評価を実施）

２．国民・住民等からの意見の聴取 【任意】⑵⑶

③主な意見の内容

３．第三者点検 【任意】

基礎項⽬評価書に含まれるしきい値判断の結果を選択してください。

重点項⽬評価書案を作成した評価実施機関は、これを公⽰し、広く
国⺠・住⺠等の意⾒を求めることができます。
○ 意⾒聴取を実施した場合は、採⽤した意⾒聴取の⽅法を記載してく
ださい。

⑷

○

意⾒聴取を実施した場合は、実施した⽇及び期間について記載して
ください。

⑸

○

意⾒聴取を実施した場合は、得られた主な意⾒の概要とともに、それらの意⾒にどのように対応したかを記載してください。

①実施日
②方法

○
○

①方法
②実施日・期間

この重点項⽬評価書の評価対象の事務について、基礎項⽬評価を実施した⽇を記載してください。
○ 基礎項⽬評価の実施⽇とは、基礎項⽬評価を実施・再実施（評価書の修正は含みません。）し、基礎項⽬評価書の委員会への提出のために評価実施機関内の決裁を了した⽇です。

○
③結果

⑹

重点項⽬評価書案を作成した評価実施機関は、第三者点検を受けることができます。
〇 第三者点検を受けた場合は、実施した⽇を記載してください。複数回に分けて実施した場合は実施した期間等の形で記載することができ
ます。

⑺

○

第三者点検を受けた場合は、採⽤した⽅法について記載してくださ
い。

⑻

○

第三者点検を受けた場合は、第三者点検により指摘を受けた事項、それらを踏まえた評価書の修正等の対応について記載してください。

28

（別添２）変更箇所
変更日

項目

変更前の記載変更後の記載提出時期

提出時期に係る説明

⑴

⑵

⑶

⑷

⑸

⑹

⑴

○

このページは、評価の再実施⼜は評価書の修正に伴い、評価書の記載を変更し、提出・公表する際に記載してください（特定個
⼈情報ファイルの新規保有時に提出・公表する評価書では記載しません。）。
○ 変更箇所が多数あり、全て記載をすると変更内容が分かりにくくなる場合等は、どのような変更か分かる範囲でまとめて記載す
ることも考えられます。
○ 評価の再実施⼜は評価書の修正の際の変更箇所は、履歴として今までのものを全て記載することが望ましいですが、変更箇所が多数あり、全て記載をすると変更内容等が分かりにくくなる場合
等は、例えば、下記の対応も考えられます。
① 今までの評価書の変更箇所は評価実施機関で管理し、直近の変更箇所のみを記載する運⽤⽅法等も考えられます。
② 変更箇所を⾏数を超えて⼊⼒する必要がある場合は、「別添●●を参照。」などと記載の上、変更箇所の履歴がわかる資料を作成し、評価書の添付資料として併せて提出・公表する。

○○

原則として、記載を変更した評価書の公表⽇を記載してください。
委員会への提出・公表が、変更前である場合は、変更の予定年⽉⽇を記載してください。【☆⾏政機関にとって、事前通知事項に関する変更の予定年⽉⽇は事前通知事項です（個⼈情報保護法第74条第１項
第11号・施⾏令第20条第１項第２号）。】⑵○

記載を変更した⼜は変更する予定の項⽬の名称を記載してください。

⑶○

変更前の記載内容を記載してください。

⑷○

変更後の記載内容を記載してください。

⑸○

委員会に提出・公表する時期が、変更前である場合は「事前」と、変更後である場合は「事後」と記載してください。

○⑹

提出時期が事前の場合は、①重要な変更、②事前通知事項（⾏政機関のみ）⼜は③事後で⾜りるものの任意に事前に提出のうち、いずれの理由により事前に提出・公表するかを記載してください。
○ 事後の場合は、①重要な変更に当たらない旨とその理由（誤字脱字の修正、リスクを明らかに軽減させる変更である等）、②事前通知事
項に当たらない旨（⾏政機関のみ）⼜は③その他の項⽬の変更であり
事前の提出・公表が義務付けられない旨のいずれかを記載してください。

29