この記載要領は、令和６年５⽉27⽇公布の特定個⼈情報保護評価指針（以下「指針」という。）に沿ったものです。今後、個⼈情報保護委員会事務局により改訂される可能性があることに御留意ください。

⑵

⑴

⑴

⑶

○

評価書番号は、特定個⼈情報保護評価計画管理書（以下「計画管理書」という。）の「評価書番号」欄に記載する番号と同じものを記載
してください。

○⑵

評価書名には、特定個⼈情報保護評価（以下「評価」という。）の対象の事務の内容が分かる名称を記載してください。事務やシステムの名称をそのまま⽤いる必要はなく、実態に応じて、評価書の内容を推察できる名称としてください。
○ 評価は、原則として、法令上の事務（番号法別表に掲げる事務）を単位として実施するものですが、評価実施機関のシステムや事務の執⾏状況等によっては、別表の項ごとでは評価書の記載が困難な場合や、別表の複数の項をまとめて記載した⽅が分かりやすい場合などが考えられるため、評価実施機関の判断で、別表の事務を分割⼜は統合した
事務を単位に、１つの評価書を作成することを可能としています。
○ 評価対象の事務の実施をやめるなどした場合は、評価書名に続けて事務の実施をやめるなどした⽇を【●年●⽉●⽇終了】と記載してください。事務の実施をやめるなどした⽇から少なくとも３年間は評価書を公表する必要があります。
○⑶

評価の結果、評価対象の事務において、特定個⼈情報ファイルの取扱いに際し、個⼈のプライバシー等の権利利益に影響を与え得る特定個⼈情報の漏えいその他の事態を発⽣させるリスクを認識し、このよ
うなリスクを軽減するための適切な措置を講じていることを確認の上、宣⾔してください。

1

○

⑴

評価対象の事務において評価実施機関が実施しているリスク対策のうち、特に⼒を⼊れて取り組んでいること等、特記して⼀般に向けて積極的に情報提供したいものがある場合は、記載してください。
特記すべきものがなければ、「なし」⼜は無記⼊で構いません。

○⑵

評価書を提出する評価実施機関の名称を記載してください（例：●●⼤⾂、 ●●庁⻑官、 ●●県知事、 ●●市⻑、 ●●市教育委員会、独⽴⾏政法⼈●●等）。
【☆⾏政機関にとっては事前通知事項です（個⼈情報保護法第74条
第１項第２号）。】○ 評価実施機関（評価対象の事務について評価の実施が義務付けられる者）が複数存在する場合は、取りまとめの評価実施機関が評価書を作成・提出するとともに、「Ⅰ６．他の評価実施機関」に取りまとめ以外の全ての評価実施機関の名称を記載してください。
○

⑶

⑴

○

⑵
⑶
⑷

評価書を個⼈情報保護委員会（以下「委員会」という。）が承認した⽇を記載してください。承認⽇は委員会から通知されます。
○ 委員会による審査・承認のために評価書を提出する時点では空欄のままで提出し、委員会から通知を受けた後、公表する前に記載してください。

⑷

⾏政機関等は、評価の実施・再実施に伴い委員会による審査・承認のために評価書を提出する時点では空欄のままで提出し、委員会の承認を受けた後、公表する前に記載してください。修正に伴う場
合は、評価書を委員会に提出するときに、公表する⽇を記載してください。
○ 地⽅公共団体等は、評価の実施・再実施⼜は修正に伴い評価書を委員会に提出するときに、公表する⽇を記載してください。
○ 評価書の記載内容は、原則として、公表⽇時点のものとしてください。事前評価という評価の性質上、公表⽇時点での想定に基づいて記載することになります。

2

Ⅰ 基本情報○○

１．特定個人情報ファイルを取り扱う事務⑴①事務の名称⑵②事務の内容 ※

⑶

③対象人数

[

]

＜選択肢＞
1) 1,000人未満
3) 1万人以上10万人未満
5) 30万人以上

I は、評価対象の事務の全体像を把握するために記載するものです。
様式中に※が付されている各項⽬への変更は、重要な変更に該当するため、変更する前に評価を再実施する必要があります。ただし、これらの項⽬の変更
であっても、個⼈のプライバシー等の権利利益に影響を与え得る特定個⼈情報の漏えいその他の事態を発⽣させるリスクを相当程度変動させるものではないと考えられる変更⼜は当該リスクを明らかに軽減させる変更の場合は、重要な変更には当たらないため再実施する必要はありません。

2) 1,000人以上1万人未満
4) 10万人以上30万人未満⑴

２．特定個人情報ファイルを取り扱う事務において使用するシステム

○

システム1

評価対象の事務の名称を記載してください。計画管理書の「事務の名称」欄に記載する名称と同じものを記載してください。

○①システムの名称②システムの機能⑵[] 情報提供ネットワークシステム[] 庁内連携システム[] 住民基本台帳ネットワークシステム[] 既存住民基本台帳システム[] 宛名システム等[] 税務システム[] その他③他のシステムとの接続（）

評価対象の事務全体の概要及びその中で特定個⼈情報ファイルを使⽤して実施する事務の具体的な内容を記載してください。
○ さらに、特定個⼈情報の流れが分かる事務フロー図を別添１に記載
してください。
※ ⽂字数により、セルの表⽰に収まりきらない（⽂字が⾒切れてしまう）場合については、「別添●●を参照。」などと記載の上、当該項⽬の内容がわかる資料を作成し、評価書の添付資料として併せて提出・公表するなどしてください（以下全ての項⽬について、同じです。）。

システム2～5○

システム6～10
システム11～15
システム16～20⑶

評価対象の事務の対象⼈数を選んでください。基礎項⽬評価書の「Ⅱ 1．対象⼈数」欄と同じものを選択してください。ただし、評価の実施が義務付けられない事務で、任意で評価を⾏う場合、基礎項⽬
評価書の「1,000⼈未満(任意実施）」ではなく、評価を⾏う事務の対
象⼈数を選択してください。

3

Ⅰ 基本情報⑴

１．特定個人情報ファイルを取り扱う事務①事務の名称⑵②事務の内容 ※

③対象人数

[

]

＜選択肢＞
1) 1,000人未満
3) 1万人以上10万人未満
5) 30万人以上

２．特定個人情報ファイルを取り扱う事務において使用するシステム⑴⑵②システムの機能

評価対象の事務において使⽤するシステムの名称を記載してください。
計画管理書の「システムの名称」欄に記載する名称と同じものを記載
してください。

○

このシステムが実現する機能の名称とその概要を記載してください。

○
2) 1,000人以上1万人未満
4) 10万人以上30万人未満

⑶

システム1
①システムの名称○

このシステムと接続して情報（特定個⼈情報に限らない。）をやりとりするシステムを全て選択してください（⽬視、紙⼜は電⼦記録媒体を介したやりとりは含まない。）。「その他」を選択する場合はシス
テムの名称を記載してください。
○ 宛名システム等とは、個⼈番号と既存の内部番号（宛名番号）の対照
テーブルなどを⽤い複数の事務で個⼈番号を共通して参照するシステ
ムであり、例えば、地⽅公共団体における団体内統合宛名システムの
ことです。
○

⑶
⑷

[

] 情報提供ネットワークシステム[] 庁内連携システム[] 住民基本台帳ネットワークシステム[] 既存住民基本台帳システム[] 宛名システム等[] 税務システム[] その他③他のシステムとの接続

システム2～5
システム6～10（⑷）

評価対象の事務において複数のシステムを使⽤する場合は、システム
２〜20の記載欄を「再表⽰」することにより、その事務を実施する上でのシステムの重要性の順に、それぞれのシステムについて同様に記載してください。
○ 評価対象の事務において使⽤するシステムの数が21以上の場合は、評価書にはシステム20まで記載し、残りのシステムについて同様に記載
した添付資料を併せて提出・公表してください。

システム11～15
システム16～204⑴３．特定個人情報ファイル名○

４．特定個人情報ファイルを取り扱う理由⑵⑶①事務実施上の必要性②実現が期待されるメリット

５．個人番号の利用 ※
法令上の根拠⑴

６．情報提供ネットワークシステムによる情報連携 ※①実施の有無[]＜選択肢＞
1) 実施する
2) 実施しない
3) 未定②法令上の根拠

７．評価実施機関における担当部署①部署②所属長の役職名

８．他の評価実施機関

評価対象の事務において取り扱う特定個⼈情報ファイルの名称を記載してください。正式な名称がない場合は、主な記録項⽬、事務を実施する上での使⽤⽬的等に基づく名称を作成し、記載してください。
データベース名などでも構いませんが、特定個⼈情報ファイルの内容を推察できる名称としてください。【☆⾏政機関にとっては事前通知事項です（個⼈情報保護法第74条第１項第１号）。】○ 複数の特定個⼈情報ファイルを取り扱う場合は、全ての特定個⼈情報ファイルの名称を記載してください。その際、各特定個⼈情報ファ
イルの名称の前に「１．２．３．・・・」と通し番号を付してください。II、IIIのそれぞれ「１．特定個⼈情報ファイル名」において、そのシートで記載する特定個⼈情報ファイルの名称を記載する際に、この通し番号とともに記載してください。
○ 特定個⼈情報ファイルの保有をやめた場合⼜は対象⼈数が1,000⼈未満となった場合は、特定個⼈情報ファイル名に続けて、保有をやめた場合は【●年●⽉●⽇ 保有終了】、1,000⼈未満となった場合は【●年●⽉●⽇ 対象⼈数1,000⼈未満となる】と記載してください。【☆
⾏政機関にとっては事前通知事項です（個⼈情報保護法第74条第３
項）。】
○

⑵

特定個⼈情報ファイルを取り扱うことが評価対象の事務を実施する上で必要であることを、具体的な事務の流れに即して説明してください。
○ 複数の特定個⼈情報ファイルを取り扱う場合は、必要に応じて、それぞれの特定個⼈情報ファイルについて記載してください。
○⑶

評価対象の事務において特定個⼈情報ファイルを取り扱うことにより、期待されるメリットについて幅広く記載してください。
○ 複数の特定個⼈情報ファイルを取り扱う場合は、必要に応じて、それぞれの特定個⼈情報ファイルについて記載してください。

5

３．特定個人情報ファイル名○

４．特定個人情報ファイルを取り扱う理由①事務実施上の必要性⑵②実現が期待されるメリット⑴

５．個人番号の利用 ※○

法令上の根拠６．情報提供ネットワークシステムによる情報連携 ※

⑵
⑶
⑷
⑸

情報提供ネットワークシステムによる情報連携を実施するか否かを選択してください。主務省令が制定されていない等の理由により、評価実
施時点で情報連携を実施するか否かを決定できない場合は、「未定」を選択し、決定した後に評価の再実施⼜は評価書の修正を⾏い、再度提出・公表してください。

①実施の有無[]＜選択肢＞
1) 実施する
2) 実施しない
3) 未定②法令上の根拠

７．評価実施機関における担当部署⑶①部署②所属長の役職名

８．他の評価実施機関

法令上の根拠には、情報提供ネットワークシステムによる情報連携ができる根拠規定を記載してください。根拠規定の記載について、番号法第19条第８号に基づく情報連携を⾏う場合は、利⽤特定個⼈情報省令第２条の表の項の番号を記載してください（主務省令の正式名称及び第３条以降の条項を記載する必要はありません。）。条例に基づく独⾃事務について情報連携を⾏う場合は、番号法第19条第９号と記載してください。
［例］番号法第19条第8号に基づく主務省令第２条の表○○○の項※

情報提供ネットワークシステムを通じた利⽤特定個⼈情報の提供ができる根拠規定及び照会ができる根拠規定を区別して記載してください。

○○⑴

評価対象の事務において個⼈番号を利⽤する法令上の根拠を記載してください。番号法別表の事務については、別表の項の番号を記載してください（主務省令の名称及び条項を記載する必要はありま
せん。）。別表以外の番号法の規定、住⺠基本台帳法第７条等の番号法以外の国の法令の規定⼜は番号法第９条第２項に基づく条例の規定を根拠とする場合は、法令名及び条項を記載してください。評価実施時に条例が制定されていない場合には、「○○に関する条例案」等と記載しても構いません。条例制定後、必要に応じて、評価書の修正⼜は評価の再実施を⾏ってください。

⑷

評価の実施を担当する部署の名称及び所属⻑の役職名を記載してくだ
さい。部署については、計画管理書の「担当部署」欄に記載する部署名と同じものを記載してください。
○ （計画管理書の表紙に記載した）評価実施機関において実施する評価に関連する全ての事務の取りまとめを担当する部署ではなく、評価対象の事務に知⾒を有し、実際に評価を実施する部署です。複数の部署が共同で評価を実施する場合は、複数の部署の名称、所属⻑の役職名を記載
してください。
○⑸

評価実施機関（評価対象の事務について評価の実施が義務付けられる者）が複数存在し、取りまとめの評価実施機関が評価書を作成・提出する場合に、取りまとめ以外の全ての評価実施機関の名称を記載してください。

6

（別添1） 事務の内容○

直接⼊⼒はせず、表計算ソフトウェアその他の事務処理で⽤いられる
⼀般的なソフトウェアを⽤いて作成した事務フロー図を、オブジェク
ト・図として貼り付けてください。なお、マイナンバー保護評価シス
テムの評価書の提出の際にエラーが発⽣する場合は、事務フロー図に隠れるように⽂字を⼊⼒してください。

○

評価対象の事務について、以下の点に注意しながら事務フローを図⽰
してください。

⑴⑴

・・・事務に関わる者（事務担当部署、委託先、転⼊者・受給者・⼊居者といった国⺠・住⺠等）、事務において使⽤するシステム、事務において取り扱う情報（特定個⼈情報に限らない。）の流れを明記してください。その際、⾊を変えるなどして特定個⼈情報の流れとそれ以外の情報の流れを区別してください。
・・・事務の流れが分かるように、事象が起きる順に番号を付けるなどして記載してください（例．①⼊居申込、②収⼊要件確認など）。

⑵

⑵

※

事務に複数の⾏政⼿続がある場合で、当該⼿続ごとに別添１を複数作成する場合等は、マイナンバー保護評価システムでの提出時のエラーを防ぐため、このExcel内でシートのコピーをせずに、別途資料を作成
し、評価書の添付資料として併せて提出・公表するなどしてください。

○

事務フロー図に関連して補⾜することがあれば、記載してください。

（備考）

7

Ⅱ 特定個人情報ファイルの概要⑴○

１．特定個人情報ファイル名

２．基本情報⑵⑶①ファイルの種類 ※②対象となる本人の数＜選択肢＞
1） システム用ファイル
2） その他の電子ファイル（表計算ファイル等）

]

[

[

]

[

]

＜選択肢＞
1） 1万人未満
2） 1万人以上10万人未満
3） 10万人以上100万人未満
4） 100万人以上1,000万人未満
5） 1,000万人以上③対象となる本人の範囲 ※その必要性④記録される項目＜選択肢＞
1） 10項目未満
3） 50項目以上100項目未満

2） 10項目以上50項目未満
4） 100項目以上

・識別情報
[

[

] 個人番号] 個人番号対応符号[] その他識別情報（内部番号）

IIは、評価対象の事務において取り扱う特定個⼈情報ファイルの内容と、その取扱いプロセスを把握するためのものです。これにより、対象⼈数が多い、
記録項⽬が多い、使⽤者数が多い、特定個⼈情報ファイルの取扱いを委託・再委託している、保管期間が⻑い等、特定個⼈情報ファイルの特徴を把握することができ、それを踏まえて、Ⅲ において特定個⼈情報ファイルの取扱いプロセスにおけるリスク対策について検討することになります。
○ 様式中に※が付されている各項⽬への変更は、重要な変更に該当するため、変更する前に評価を再実施する必要があります。ただし、これらの項⽬の変更であっても、リスクを相当程度変動させるものではないと考えられる変更
⼜はリスクを明らかに軽減させる変更の場合は、再実施する必要はありません。（Ⅱ.2.③を除く）○ 評価対象の事務において複数の特定個⼈情報ファイルを取り扱う場合は、
このシートをコピーして、全ての特定個⼈情報ファイルについてそれぞれ記載してください（１つの特定個⼈情報ファイルにつき１シートで記載してください。）。

・連絡先等情報[] 4情報（氏名、性別、生年月日、住所）[] その他住民票関係情報[] 連絡先（電話番号等）○

・業務関係情報
主な記録項目 ※[] 国税関係情報[] 地方税関係情報[] 健康・医療関係情報[] 児童福祉・子育て関係情報[] 障害者福祉関係情報[] 医療保険関係情報[] 生活保護・社会福祉関係情報[] 雇用・労働関係情報[] 災害関係情報

[

] その他

その妥当性

全ての記録項目

（

[

[

⑴

] 介護・高齢者福祉関係情報] 年金関係情報[] 学校・教育関係情報

このシートで記載する特定個⼈情報ファイルの名称を記載してください。
○ その際、「Ｉ ３．特定個⼈情報ファイル名」で記載した通し番号とともに記載してください。
○

⼿作業処理ファイルについて任意で記載する場合は、このExcelファ
イルには1⼜は2の選択肢を記載の上で提出し、公表⽤のPDFファイル
を直接編集して、「⼿作業処理ファイル」とした上で、公表する必要があります。

○

特定個⼈情報ファイルの対象となる本⼈の数を選択してください。事務の対象⼈数とは異なります。

⑵）⑶
別添２を参照。

⑤保有開始日⑥事務担当部署8○⑴

Ⅱ 特定個人情報ファイルの概要
１．特定個人情報ファイル名

２．基本情報①ファイルの種類 ※②対象となる本人の数

⑴
⑵

＜選択肢＞
1） システム用ファイル
2） その他の電子ファイル（表計算ファイル等）][③対象となる本人の範囲 ※その必要性④記録される項目

]

[

⑶

＜選択肢＞
1） 10項目未満
3） 50項目以上100項目未満○

上記の範囲の本⼈の特定個⼈情報を特定個⼈情報ファイルにおいて保有することが事務を実施する上で必要な理由を記載してください。「法令に基づく」といった形式的な理由ではなく、評価対象の事務の内容に即して、実質的・具体的に記載してください。

○

４情報のうち記録しない項⽬がある場合は、「その妥当性」の欄にその旨を記載してください。

※

なお、⾏政⼿続における特定の個⼈を識別するための番号の利⽤等に関する法
律等の⼀部を改正する法律（令和５年法律第48号）附則第１条第３号に掲げる規定の施⾏⽇以降は、様式中「４情報（⽒名、性別、⽣年⽉⽇、住所）」が「５情報（⽒名、⽒名の振り仮名、性別、⽣年⽉⽇、住所）」に改正されます。

⑵

＜選択肢＞
1） 1万人未満
2） 1万人以上10万人未満
3） 10万人以上100万人未満
4） 100万人以上1,000万人未満
5） 1,000万人以上][

特定個⼈情報ファイルの対象となる本⼈の範囲について記載してくだ
さい。
○ 特定個⼈情報ファイルに記録された者の⼀部についてのみ個⼈番号を保有し（例：契約者ファイルのうち⼀部の者についてのみ個⼈番号を保有する場合）、個⼈情報の対象となる本⼈の範囲と特定個⼈情報の対象となる本⼈の範囲が異なる場合は、それぞれ記載してください。【☆⾏
政機関にとっては事前通知事項です（個⼈情報保護法第74条第１項第４号）。】

2） 10項目以上50項目未満
4） 100項目以上

・識別情報
[

[

] 個人番号] 個人番号対応符号[] その他識別情報（内部番号）○

・連絡先等情報⑶[] 4情報（氏名、性別、生年月日、住所）[] その他住民票関係情報[] 連絡先（電話番号等）⑷

・業務関係情報
主な記録項目 ※

⑷
⑸
⑹
⑺

[

] 国税関係情報[] 地方税関係情報[] 健康・医療関係情報[] 医療保険関係情報[] 児童福祉・子育て関係情報[] 障害者福祉関係情報[] 生活保護・社会福祉関係情報[] 雇用・労働関係情報[] 災害関係情報

[

] その他

（

[

[

] 介護・高齢者福祉関係情報] 年金関係情報[] 学校・教育関係情報⑸

別添２を参照。

○

主な記録項⽬欄で選択した全ての情報について、保有する理由をそれぞれ記載してください。

○

）

その妥当性

全ての記録項目

特定個⼈情報ファイルに記録される情報について、該当するものを全て選択してください。
○ 主な記録項⽬のうち「業務関係情報」とは、評価対象の事務を実施していく上での主たる情報です。例⽰されているものに該当しない場合は、「その他」を選択し、情報の内容を表す簡潔な名称を作成し、記載して
ください。

⑹

⑤保有開始日⑥事務担当部署

⾏政機関においては、特定個⼈情報ファイルの保有開始⽇の年⽉⽇を記載してください。⾏政機関以外の評価実施機関の場合は、具体的な⽇が確定していなければ⽉単位の記載で構いません。
○ 特定個⼈情報ファイルの取扱いの重要な変更に先⽴って評価を再実施する時は、保有開始⽇に加えて、重要な変更の実施予定⽇を記載してください。
【☆⾏政機関にとっては保有開始⽇・重要な変更の実施予定⽇は事前通知事項です（個⼈情報保護法第74条第１項第11号・施⾏令第20条第1項第１号・第２号）。】○⑺

特定個⼈情報ファイルを取り扱う事務を所掌する課室等の名称を記載
してください。⾏政機関においては、特定個⼈情報ファイルを保有しようとする者⼜は保有する者が複数存在する場合は、全ての評価実施機関
における事務担当部署を記載してください。【☆⾏政機関にとっては事
前通知事項です（個⼈情報保護法第74条第１項第２号）。】

9

３．特定個人情報の入手・使用

⑴
⑵
⑶
⑷
⑸

○

[

] 本人又は本人の代理人[] 評価実施機関内の他部署（[] 行政機関・独立行政法人等（[] 地方公共団体・地方独立行政法人[] 民間事業者

[

] その他

[

]紙

[

] 電子記録媒体（フラッシュメモリを除く。）[] 電子メール

[

] 専用線

[

] 情報提供ネットワークシステム

[

] その他

）
）

①入手元 ※
（

）

（

）

（

⑴

）

[

[

] フラッシュメモリ] 庁内連携システム

②入手方法
（

）

⑵

③入手の時期・頻度

特定個⼈情報ファイルに記録される特定個⼈情報をどこから⼊⼿す
るか該当するものを全て選択してください。【☆⾏政機関にとっては事前通知事項です（個⼈情報保護法第74条第１項第５号）。】○ 評価実施機関内の他部署から個⼈情報として⼊⼿し、評価対象の事務の実施において個⼈番号と結び付き特定個⼈情報となる場合（特定個⼈情報の移転）も記載してください。なお、個⼈番号と結び付く個
⼈情報の⼊⼿が移転によらない場合について、記載することを妨げるものではありません（以下、特定個⼈情報の⼊⼿に関する項⽬について同じ。）。
○

特定個⼈情報をどのように⼊⼿するか該当するものを全て選択してください。【☆⾏政機関にとっては事前通知事項です（個⼈情報保護法第74条第１項第５号）。】④入手に係る妥当性○⑤本人への明示⑥使用目的 ※⑶

変更の妥当性使用部署※⑦使用の主体使用者数⑧使用方法 ※

[

]

＜選択肢＞
1） 10人未満
3） 50人以上100人未満
5） 500人以上1,000人未満

2） 10人以上50人未満
4） 100人以上500人未満
6） 1,000人以上⑷

特定個⼈情報を定期的に⼊⼿する場合は、「年１回、３⽉上旬」な
どと時期・頻度を記載してください。
○ 個別的な対応に際して⼊⼿する場合は、「申請を受けた都度」などと記載してください。再実施・評価書の修正の際には、「１年間に約○回」といった形で⼊⼿実績の概数を記載してください（１回に１⼈の情報を⼊⼿した場合も１回、１万⼈の情報を⼊⼿した場合も１回とします。）。
○ 特定個⼈情報を複数の⼊⼿元⼜は⼊⼿⽅法で⼊⼿している場合は、それぞれについて記載してください。
○○

この⼊⼿⽅法、時期・頻度とした理由を記載してください。
本⼈から⼊⼿する場合は、他の事務（評価実施機関内の他の部署が実施している事務も含みます。）で既に同⼀の情報を本⼈から⼊⼿していないか確認し、既に⼊⼿している場合は当該他の事務の担当部署から⼊⼿することができない理由を記載してください。

情報の突合 ※○

情報の統計分析※
権利利益に影響を与え得る決定 ※⑨使用開始日⑸

特定個⼈情報の⼊⼿の事実及び使⽤⽬的が本⼈にどのように⽰されているか記載してください。
○ 評価実施機関が本⼈に直接⽰していない場合であっても、法令に⼊⼿の根拠・使⽤⽬的に関する規定がある場合は、法令名及び条項を記載してください。

10

３．特定個人情報の入手・使用○[] 本人又は本人の代理人[] 評価実施機関内の他部署（[] 行政機関・独立行政法人等（[] 地方公共団体・地方独立行政法人[] 民間事業者

[

] その他

[

]紙

[

] 電子記録媒体（フラッシュメモリを除く。）[] 電子メール

[

] 専用線

[

] 情報提供ネットワークシステム

[

] その他

）
）

①入手元 ※
（

）

（

⑴

）

（

）

[

[

] フラッシュメモリ] 庁内連携システム

②入手方法
（

何のために特定個⼈情報を使⽤するか記載してください。【☆⾏政機関にとっては事前通知事項です（個⼈情報保護法第74条第１項第３号）。】○ 番号法第９条第１項及び別表に基づく事務については、別表の⽂⾔をコピーするのではなく、より⼀般的な⾔葉で分かりやすく記載し、また、できる限り使⽤⽬的を特定してください（例えば、「介護保険給付の⽀給・保険料徴収」ではなく「被保険者資格の管理」「要介護度認定」「保険料賦課」と記載してください。）。
○

⾏政機関、独⽴⾏政法⼈等及び地⽅公共団体等については個⼈情報保護法第61条第３項、事業者については同法第17条第２項において個⼈情報の使⽤⽬的の変更が認められています。使⽤⽬的を変更する場
合は、変更前の使⽤⽬的とともに、法令上の要件を満たし変更が妥当であることを記載してください。

○

評価対象の事務のために特定個⼈情報を使⽤する評価実施機関内の全ての部署の名称と使⽤者数（各部署の従業者の総数）を記載してください。委託先、提供先⼜は移転先の従業者は含みません。

○

特定個⼈情報ファイルに記録される情報を他から⼊⼿する際にどのような突合を⾏うか、この特定個⼈情報ファイルに記録された情報と他の情報をどのように突合するか、また、こうした突合を何のために⾏うか、具体的に記載してください。その際、上記の使⽤⽅法との対応関係を明⽰してください。

⑸○

特定個⼈情報を⽤いた統計分析を⾏う場合は、どのような統計分析を⾏うか具体的に記載してください。

⑹○

特定個⼈情報を使⽤することにより国⺠の権利利益に影響を与え得る決定（⾏政処分）を⾏う場合は、具体的に記載してください。

※

使⽤開始⽇については、⽇付として正しい⼊⼒値（yyyy/mm/dd）以外の⼊⼒を制御しています。そのため、正しい⼊⼒値以外（例えば、「●●法の施⾏後２年以内の政令で定める⽇」などの⽂字列）での公表が必要な場合は、提出処理の際のExcelファイルは正しい⼊⼒値を仮置きで記載したものを登録していただき、公表するＰＤＦファイルを直接編集して、使⽤開始⽇を⽂字列に修正するなどして、対応してく
ださい。

）

⑵

③入手の時期・頻度④入手に係る妥当性⑤本人への明示⑴⑵⑶⑶⑥使用目的 ※
変更の妥当性使用部署※⑦使用の主体使用者数⑧使用方法 ※

⑷
⑸
⑹
⑺

[

]

＜選択肢＞
1） 10人未満
3） 50人以上100人未満
5） 500人以上1,000人未満

2） 10人以上50人未満
4） 100人以上500人未満
6） 1,000人以上⑷

情報の突合 ※
情報の統計分析※
権利利益に影響を与え得る決定 ※⑨使用開始日⑺11

４．特定個人情報ファイルの取扱いの委託⑴⑵[
委託の有無 ※
（

⑴

） 件

委託事項1

対象となる本人の
数

[

]

[

]

＜選択肢＞
1） 特定個人情報ファイルの全体
2） 特定個人情報ファイルの一部

⑵

＜選択肢＞
1） 1万人未満
2） 1万人以上10万人未満
3） 10万人以上100万人未満
4） 100万人以上1,000万人未満
5） 1,000万人以上⑶

対象となる本人の
範囲 ※
その妥当性

③委託先における取扱者数[[④委託先への特定個人情報
ファイルの提供方法⑸⑹○
2） 委託しない①委託内容②取扱いを委託する特定個
人情報ファイルの範囲

⑶
⑷

＜選択肢＞
1） 委託する

]

[
[

]
] 専用線
] フラッシュメモ
リ] その他 （＜選択肢＞
1） 10人未満
3） 50人以上100人未満
5） 500人以上1,000人未満[] 電子メール[]紙[2） 10人以上50人未満
4） 100人以上500人未満
6） 1,000人以上

特定個⼈情報ファイルの取扱いを委託するかどうかを選択してください。
○ 委託する場合は、（委託先単位ではなく）委託事項単位で、件数を記載してください。
○

特定個⼈情報ファイルの取扱いを委託する事項（番号法上の委託）の名称を記載してください。正式な名称がない場合は、委託する事項の内容を表す簡潔な名称を作成し、記載してください。

○

委託先に上記の範囲の特定個⼈情報ファイルを取り扱わせることが必要な理由を記載してください。

○

委託先において特定個⼈情報ファイルを取り扱う者の数（従業者の総数）を選択してください。再委託する場合は、再委託先において特定個⼈情報ファイルを取り扱う者の数（従業者の総数）も含めて計上
してください。

○

委託先を国⺠・住⺠等が確認できるか否か、確認できる場合はどのように確認できるか、確認できない場合はそのような取扱いが評価対象の事務を実施する上で必要な理由を記載してください。

⑷] 電子記録媒体（フラッシュメモリを除く。））⑸⑤委託先名の確認方法

○

⑥委託先名

⑦再委託の有無 ※再委
託⑧再委託の許諾方法

[

]

＜選択肢＞
1） 再委託する

2） 再委託しない⑹

委託先の名称を記載してください。【☆⾏政機関にとっては事前通知事項です（個⼈情報保護法第74条第１項第７号）。】○ 委託契約の調達前であるなどの理由で、委託先事業者が未定である
場合は、その旨を記⼊し、委託先が決定次第、速やかに評価書を修正し、提出・公表してください。

⑨再委託事項

委託事項2～5
委託事項6～10
委託事項11～15
委託事項16～20

12

４．特定個人情報ファイルの取扱いの委託[＜選択肢＞
1） 委託する]

委託の有無 ※（○
2） 委託しない

） 件

⑴

委託事項1
①委託内容
②取扱いを委託する特定個
人情報ファイルの範囲対象となる本人の
数

[

]

＜選択肢＞
1） 特定個人情報ファイルの全体
2） 特定個人情報ファイルの一部

[

]

＜選択肢＞
1） 1万人未満
2） 1万人以上10万人未満
3） 10万人以上100万人未満
4） 100万人以上1,000万人未満
5） 1,000万人以上

[

]

＜選択肢＞
1） 10人未満
3） 50人以上100人未満
5） 500人以上1,000人未満○対象となる本人の
範囲 ※
その妥当性

③委託先における取扱者数[④委託先への特定個人情報
ファイルの提供方法

[
[

] 専用線
] フラッシュメモ
リ] その他 （[] 電子メール[]紙[2） 10人以上50人未満
4） 100人以上500人未満
6） 1,000人以上⑵] 電子記録媒体（フラッシュメモリを除く。））⑤委託先名の確認方法

⑴
⑵

再
委
託

⑧再委託の許諾方法⑨再委託事項⑶

委託事項2～5
委託事項6～10

特定個⼈情報ファイルの取扱いを再委託するに当たって、どのような⼿続・⽅法によるかを記載してください。
○ 原則として再委託をしないこととしている場合は、その旨を記載してください。
○ また、再委託を⾏う場合（可能性がある場合も含む。）は、番号法第10条等の観点から、再委託をする際に、事前許諾を⾏う⽅法、再委託先において特定個⼈情報の適切な安全管理措置が図られることを確認すること、再委託先の監督を⾏うこと等についても記載してください。
○ 評価実施機関が再委託を許諾する場合は、その判断基準について記載
してください。
○⑥委託先名⑦再委託の有無 ※特定個⼈情報ファイルの取扱いを再委託するかどうかを選択してください。再委託しない場合は、⑧及び⑨を記載する必要はありません。
○ 現状では再委託を実施していない場合でも、今後、委託業者の繁忙や⼈的リソースの状況によって、再委託を⾏う可能性がある場合は、「再委託する」を選択してください。また、契約書の再委託条項等において、再委託ができる旨を規定しておく必要がありますので、御注意ください。

[]＜選択肢＞
1） 再委託する

2） 再委託しない⑶

特定個⼈情報ファイルの取扱いを委託する事項が複数ある場合は、委託事項2〜20の記載欄を「再表⽰」することにより、①再委託している
もの、②取扱いを委託する特定個⼈情報ファイルの対象となる本⼈の数、③委託先における取扱者数の多い順に、それぞれの委託事項について同様に記載してください。
○ 評価対象の事務において、特定個⼈情報ファイルの取扱いを委託する事項の数が21以上の場合は、この評価書には委託事項20まで記載し、残りの委託事項について同様に記載した添付資料を併せて提出してください。

委託事項11～15
委託事項16～20

13

５．特定個人情報の提供・移転（委託に伴うものを除く。）

⑴
⑵
⑶
⑷

[

] 提供を行っている[] 行っていない

（

○
）件

[

] 移転を行っている（）件

提供・移転の有無⑴

提供先1①法令上の根拠○②提供先における用途③提供する情報④提供する情報の対象となる本人の数

特定個⼈情報の評価実施機関外への提供⼜は評価実施機関内の他部署への移転を⾏うかどうかを選択してください。
○ 提供⼜は移転する場合は、提供先⼜は移転先単位で、それぞれ件数を記載してください。

]

[

＜選択肢＞
1） 1万人未満
2） 1万人以上10万人未満
3） 10万人以上100万人未満
4） 100万人以上1,000万人未満
5） 1,000万人以上⑤提供する情報の対象となる本人の範囲[] 情報提供ネットワークシステム

[

] 専用線

[

] 電子メール[] 電子記録媒体（フラッシュメモリを除く。）[] フラッシュメモリ

[

]紙

[

] その他

⑥提供方法
（

）

⑵

⑦時期・頻度

提供先2～5
提供先6～10
提供先11～15
提供先16～20⑶⑷

特定個⼈情報の提供先を記載してください。【☆⾏政機関にとっては事前通知事項です（個⼈情報保護法第74条第１項第７号）。】○ 特定個⼈情報の提供としては、番号法第19条各号で定められているものが想定されます。具体的には同条第８号の規定に基づき情報提供
ネットワークシステムを使⽤して提供する場合、同条第11号に基づく条例に基づき、地⽅公共団体の機関が当該地⽅公共団体の他の機関に提供する場合等です。
○ 情報提供ネットワークシステムを使⽤して提供する場合は、利⽤特定
個⼈情報提供省令（※）第２条の表の第⼀欄に掲げる者、例えば、「厚⽣労働⼤⾂」「都道府県知事」「市町村⻑」「健康保険組合」を提供先として記載してください。ただし、提供の根拠となる同表の項が異なる場合は、提供先の名称が同じであっても、別々の提供先として記載してください（例えば、同表の11の項と20の項はいずれも市町
村⻑が都道府県知事に地⽅税関係情報⼜は住⺠票関係情報を提供すると定めており、「提供先」はいずれも「都道府県知事」ですが、法令上の根拠が異なるため⼀⽅を提供先1、他⽅を提供先2として記載してください。）。
※

⾏政⼿続における特定の個⼈を識別するための番号の利⽤等に関する法律第⼗九条第⼋号に基づく利⽤特定個⼈情報の提供に関する命令（令和６年デジタ
ル庁・総務省令第９号）をいう。以下同じ。

○

評価実施時に条例が制定されていない場合には、「●●に関する条例案」等と記載しても構いません。条例制定後、必要に応じて、評価書の修正⼜は再実施を⾏ってください。

○

提供した特定個⼈情報が、提供先において、いかなる⽬的で、どのように使⽤されることになるか、記載してください。

14

５．特定個人情報の提供・移転（委託に伴うものを除く。）[] 提供を行っている[] 行っていない

（

○
）件

[

] 移転を行っている（）件

提供・移転の有無⑴

提供先1①法令上の根拠②提供先における用途③提供する情報④提供する情報の対象とな
る本人の数

]

[

○

＜選択肢＞
1） 1万人未満
2） 1万人以上10万人未満
3） 10万人以上100万人未満
4） 100万人以上1,000万人未満
5） 1,000万人以上⑵⑤提供する情報の対象となる本人の範囲[] 情報提供ネットワークシステム

[

] 専用線

[

] 電子メール[] 電子記録媒体（フラッシュメモリを除く。）[] フラッシュメモリ

[

]紙

[

] その他

⑥提供方法

⑴

（

過去の実績から経常的に提供することが想定される場合は、その時期・頻度を記載してください。経常的に提供することが想定されない場
合は、「照会を受けたら都度」と記載してください。
○ 再実施・評価書の修正の際には、「１年間に約●回」といった形で提供実績の概数を記載してください（１回に１⼈の情報を提供した場合も１回、１万⼈の情報を提供した場合も１回とします。）。
特定個⼈情報の提供先が複数ある場合は、提供先２〜20の記載欄を「再表⽰」することにより、①提供する情報の対象となる本⼈の数、②提供の頻度の多い順に、それぞれの提供先について同様に記載してくだ
さい。
○ 評価対象の事務において、特定個⼈情報の提供先の数が21以上の場合
は、この評価書には提供先20まで記載し、残りの提供先について同様に記載した添付資料を併せて提出してください。

）⑦時期・頻度

提供先2～5⑵

提供先6～10
提供先11～15
提供先16～20

15

⑴
⑵
⑶

移転先1
①法令上の根拠○

特定個⼈情報を移転する法令上の根拠を記載してください。番号法第９条第２項や条例が想定されます。評価実施時に条例が制定されていない場合には、「●●に関する条例案」等と記載しても構いません。
条例制定後、必要に応じて、評価書の修正⼜は評価の再実施を⾏って
ください。

○

移転した特定個⼈情報が、移転先において、いかなる⽬的で、どのように使⽤されることになるか、記載してください。

③移転する情報

[

]

＜選択肢＞
1） 1万人未満
2） 1万人以上10万人未満
3） 10万人以上100万人未満
4） 100万人以上1,000万人未満
5） 1,000万人以上⑵⑤移転する情報の対象となる本人の範囲[] 庁内連携システム

[

] 専用線

[

] 電子メール[] 電子記録媒体（フラッシュメモリを除く。）[] フラッシュメモリ

[

]紙

[

] その他

⑥移転方法
（

⑶
）

○

⑦時期・頻度

移転先2～5⑸

特定個⼈情報の移転先（評価実施機関内でこの評価書の評価対象の事
務以外の事務を実施する部署）の名称を記載してください。【☆⾏政機関にとっては事前通知事項です（個⼈情報保護法第74条第１項第７号）。】⑴②移転先における用途④移転する情報の対象とな
る本人の数

⑷

○

⑷

移転先6～10
移転先11～15
移転先16～20
６．特定個人情報の保管・消去○①保管場所 ※

期間
②保管期間
その妥当性
③消去方法

７．備考

過去の実績から経常的に移転することが想定される場合は、その時期・頻度を記載してください。経常的に移転することが想定されない
場合は、「照会を受けたら都度」と記載してください。
○ 再実施・評価書の修正の際には、「１年間に約●回」といった形で移転実績の概数を記載してください（１回に１⼈の情報を移転した場合
も１回、１万⼈の情報を移転した場合も１回とします。）。

[

]

＜選択肢＞
1） 1年未満
2） 1年
3） 2年
4） 3年
5） 4年
6） 5年
7） 6年以上10年未満 8） 10年以上20年未満 9） 20年以上
10） 定められていない⑸

全ての移転先を記載することが困難な場合は、これまでの経緯を踏まえ、今後も経常的に移転することが予想されるものに限って記載しても構いません。
○ 特定個⼈情報の移転先が複数ある場合は、移転先2〜20の記載欄を「再表⽰」することにより、①移転する情報の対象となる本⼈の数、②移転の頻度の多い順に、それぞれの移転先について同様に記載してください。
○ 評価対象の事務において、特定個⼈情報の移転先の数が21以上の場
合は、この評価書には移転先20まで記載し、残りの移転先について同様に記載した添付資料を併せて提出してください。

16

移転先1

○

①法令上の根拠②移転先における用途③移転する情報④移転する情報の対象とな
る本人の数

[

]

＜選択肢＞
1） 1万人未満
2） 1万人以上10万人未満
3） 10万人以上100万人未満
4） 100万人以上1,000万人未満
5） 1,000万人以上⑴⑤移転する情報の対象となる本人の範囲[] 庁内連携システム

[

] 専用線

[

] 電子メール[] 電子記録媒体（フラッシュメモリを除く。）[] フラッシュメモリ

[

]紙

[

] その他

⑥移転方法
（

）

⑦時期・頻度

移転先2～5⑵○

定めている特定個⼈情報ファイルの保管期間を記載してください。

⑶○

上記の期間、保管することが妥当である理由を記載してください。

移転先6～10○○

移転先11～15
移転先16～20⑴⑵⑶⑷

特定個⼈情報の保管場所の態様及び保管場所への⽴⼊制限・アクセス制限について記載してください。
○ クラウドサービスを利⽤する場合は、評価実施機関がクラウドサービ
ス事業者の特定個⼈情報の保管場所の態様等について、詳細を把握することが困難だと思われますので、クラウドサービス選定時に⽤いている基準等を利⽤して記載することが考えられます。例えば、「政府情報システムにおけるクラウドサービスの利⽤に係る基本⽅針」等に定められた諸条件や「特定個⼈情報の適正な取扱いに関するガイドラ
イン」等に定められた各種条件を満たしていること等を記載することが考えられます。

６．特定個人情報の保管・消去①保管場所 ※

期間
②保管期間
その妥当性

[

]

＜選択肢＞
1） 1年未満
2） 1年
3） 2年
4） 3年
5） 4年
6） 5年
7） 6年以上10年未満 8） 10年以上20年未満 9） 20年以上
10） 定められていない

⑷

③消去方法

７．備考

⑸
⑸

保管期間を経過した特定個⼈情報を消去する⽅法を記載してください。
特定個⼈情報の消去を適切に⾏うために、実施することを記載してください。例えば、特定個⼈情報が記録された機器及び電⼦記録媒体等の消去・廃棄の⽅法や消去・廃棄の記録をとること等について、記載することが考えられます。また、これらの消去・廃棄を委託する場合には、委託先が消去・廃棄をしたことを確認する⽅法等について、記載することが考えられます。
○ クラウドサービスを利⽤する場合は、特定個⼈情報の適切な消去について、評価実施機関が詳細を把握することが困難だと思われますので、第三者の監査機関による監査報告書等のレポートを利⽤し、廃棄・消去に係るプロセスを確認し、その内容を把握すること等を記載することが考えられます。
○ 既存システムからクラウドサービスへ移⾏する際は、既存のシステム
環境に保管されていた特定個⼈情報の消去や機器の廃棄、クラウドサービス事業者における特定個⼈情報の消去等についての記載に留意が必要です。
○

上記以外にこの特定個⼈情報ファイルの取扱いに関して記載したい事項があれば、記載してください。

17

（別添２） 特定個人情報ファイル記録項目

○

⑴

⑴

「Ⅱ ２．④主な記録項⽬」欄において選択・記載したものを含め、この特定個⼈情報ファイルに記録される全ての記録項⽬を記載してください。【☆⾏政機関にとっては事前通知事項です（個⼈情報保護法
第74条第１項第４号）。】○ なお、記録項⽬をオブジェクト・画像として貼り付けたり、テキストボックスを利⽤したりする場合において、保護評価システムの評価書の提出の際にエラーが発⽣する場合は、画像等に隠れるように⽂字を⼊⼒してください。
○ 記録項⽬を記載する⽬的は、特定個⼈情報ファイルの内容を明らかにすることです。そのため、データベース内の項⽬名をそのまま記載しなければならないわけではなく、例えば、本⼈等から⼊⼿する情報を基に記録される項⽬とバッチ処理等のシステム処理のために⽤いる記
録項⽬があると思われますが、前者の記録項⽬を分かりやすく記載することが考えられます。
○ 記録項⽬に要配慮個⼈情報が含まれるときは、その旨を記載してください。【☆⾏政機関にとっては事前通知事項です（個⼈情報保護法第74条第１項第６号）。】○ 特定個⼈情報ファイルの種類がその他の電⼦ファイルであって、記録
項⽬を個別具体的に事前に特定することが困難であるなど特段の事情がある場合には、具体的な項⽬を記載することまでは必ずしも求められませんが、特定個⼈情報ファイルに記録される情報の種類・内容等が分かるよう、できる限り具体的に記載することが求められます。
※ ⽂字数により、セルの表⽰に収まりきらない（⽂字が⾒切れてしまう）場合や、特定個⼈情報ファイルごとに記載を分けたい場合等は、
マイナンバー保護評価システムでの提出時のエラーを防ぐため、この様式内でシートのコピーをせずに、別途資料を作成し、評価書の添付資料として併せて提出・公表するなどしてください。

18

⑴Ⅲ 特定個人情報ファイルの取扱いプロセスにおけるリスク対策 ※（７．リスク１⑨を除く。）
１．特定個人情報ファイル名

２．特定個人情報の入手 （情報提供ネットワークシステムを通じた入手を除く。）
リスク１： 目的外の入手が行われるリスク
対象者以外の情報の入手を防止するための措置の内容
必要な情報以外を入手することを防止するための措置の内
容その他の措置の内容
リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である]＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

リスク２： 不適切な方法で入手が行われるリスク○

Ⅲは、評価対象の事務における特定個⼈情報ファイルの取扱いプロセスにおいて想定されるリスクへの対策について記載するものです。IIの記載を踏まえ、例⽰されている各リスクに具体的にどのように対応しているかを確認することで、⼗分なリスク対策が実施されているかを検討します。
○ Ⅲ（１．及び７．リスク１⑨を除く。）に記載する内容への変更は、重要な変更に該当するため、変更する前に評価を再実施する必要があります。ただし、これらの項⽬の変更であっても、リスクを相当程度変動させるものではないと考えられる変更⼜はリスクを明らかに軽減させる変更の場合は、再実施する必
要はありません。
○ 評価対象の事務において複数の特定個⼈情報ファイルを取り扱う場合で、特定個⼈情報ファイルによってリスク対策が異なるものがある場合は、このシートをコピーしてリスク対策が共通する特定個⼈情報ファイルごとに、それぞれ記載してください。

リスクに対する措置の内容

リスクへの対策は十分か[○

リスク３： 入手した特定個人情報が不正確であるリスク
入手の際の本人確認の措置の内容⑴

個人番号の真正性確認の措
置の内容
特定個人情報の正確性確保の措置の内容このシートで記載する特定個⼈情報ファイルの名称を記載してください。リスク対策が共通する複数の特定個⼈情報ファイルについてまとめて記載することができます。その場合は、このシートで記載する
全ての特定個⼈情報ファイルの名称を記載してください。
○ その際、「Ｉ ３．特定個⼈情報ファイル名」で記載した通し番号とともに記載してください。
【この項⽬の変更は、重要な変更には該当しません。】

その他の措置の内容
リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

リスク４： 入手の際に特定個人情報が漏えい・紛失するリスク
リスクに対する措置の内容

リスクへの対策は十分か[]

特定個人情報の入手（情報提供ネットワークシステムを通じた入手を除く。）におけるその他のリスク及びそのリスクに対する措置

19

Ⅲ 特定個人情報ファイルの取扱いプロセスにおけるリスク対策 ※（７．リスク１⑨を除く。）
１．特定個人情報ファイル名■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）
第４－３－⑷ 収集・保管制限○ 番号法で限定的に明記された場合を除き、特定個人情報を収集又は保管してはならない。
○ 番号法で限定的に明記された事務を処理する必要がなくなった場合で、文書管理に関する規程等によって定められている保存期間を経過した場合には、個人番号をできるだけ速やかに廃棄又は削除しなければならない。

２．特定個人情報の入手 （情報提供ネットワークシステムを通じた入手を除く。）
リスク１： 目的外の入手が行われるリスク
対象者以外の情報の入手を防止するための措置の内容
必要な情報以外を入手することを防止するための措置の内
容その他の措置の内容
リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である]＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

リスク２： 不適切な方法で入手が行われるリスク
リスクに対する措置の内容

リスクへの対策は十分か[

リスク３： 入手した特定個人情報が不正確であるリスク
入手の際の本人確認の措置の内容
個人番号の真正性確認の措
置の内容
特定個人情報の正確性確保の措置の内容その他の措置の内容
リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

リスク４： 入手の際に特定個人情報が漏えい・紛失するリスク
リスクに対する措置の内容

リスクへの対策は十分か[]

特定個人情報の入手（情報提供ネットワークシステムを通じた入手を除く。）におけるその他のリスク及びそのリスクに対する措置（別添１）特定個人情報に関する安全管理措置
２ 講ずべき安全管理措置の内容
Ｃ 組織的安全管理措置
ｂ 取扱規程等に基づく運用○ 取扱規程等に基づく運用を行うとともに、その状況を確認するため、特定個人情報等の利用状
況等を記録し、その記録を一定の期間保存し、定期に及び必要に応じ随時に分析等するための体制を整備する。記録については、改ざん、窃取又は不正な削除の防止のために必要な措置を講ずるとともに、分析等を行う。
ｃ 取扱状況を確認する手段の整備○ 特定個人情報ファイルの取扱状況を確認するため、次に掲げる項目を含めて記録する。なお、取扱状況を確認するための記録等には、特定個人情報等は記載しない。
・特定個人情報ファイルの名称
・行政機関等の名称及び特定個人情報ファイルが利用に供される事務をつかさどる組織の名称
・特定個人情報ファイルの利用目的
・特定個人情報ファイルに記録される項目及び本人として特定個人情報ファイルに記録される個
人の範囲
・特定個人情報ファイルに記録される特定個人情報等の収集方法
ｅ 取扱状況の把握及び安全管理措置の見直し○ 監査責任者は、特定個人情報等の管理の状況について、定期に及び必要に応じ随時に監査（外部監査及び他部署等による点検を含む。）を行い、その結果を総括責任者に報告する。
○ 総括責任者は、監査の結果等を踏まえ、必要があると認めるときは、取扱規程等の見直し等の措置を講ずる。
Ｄ 人的安全管理措置
ａ 事務取扱担当者の監督○ 総括責任者及び保護責任者は、特定個人情報等が取扱規程等に基づき適正に取り扱われる
よう、事務取扱担当者に対して必要かつ適切な監督を行う。
ｂ 事務取扱担当者等の教育○ 保護責任者は、部署内の事務取扱担当者等に特定個人情報の保護に関する必要な教育研修を行う。
・ 事務取扱担当者への教育研修
・ 情報システムの管理に関する事務に従事する職員への教育研修
・ 保護責任者に対する研修・ 情報システムの管理に関する事務に従事する職員への教育研修
・ 特定個人情報ファイルを取り扱う事務に従事する者への研修
・ サイバーセキュリティに関する研修（具体的内容については、マイナンバーガイドラインを参照すること。）※ 教育研修については、教育研修への参加の機会を付与するとともに、研修未受講者に対して再受講の機会を付与する等の必要な措置を講ずる。

20

■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）

Ⅲ 特定個人情報ファイルの取扱いプロセスにおけるリスク対策 ※（７．リスク１⑨を除く。）
１．特定個人情報ファイル名

２．特定個人情報の入手 （情報提供ネットワークシステムを通じた入手を除く。）

⑴
⑵
⑶
⑷

リスク１： 目的外の入手が行われるリスク
対象者以外の情報の入手を防止するための措置の内容
必要な情報以外を入手することを防止するための措置の内
容その他の措置の内容
リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である]＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

リスク２： 不適切な方法で入手が行われるリスク
リスクに対する措置の内容

リスクへの対策は十分か[

リスク３： 入手した特定個人情報が不正確であるリスク（別添１）特定個人情報に関する安全管理措置
１ 安全管理措置の検討手順（抄）Ａ 個人番号を取り扱う事務の範囲の明確化○ 行政機関等は、個人番号利用事務等の範囲を明確にしておかなければならない。
Ｂ 特定個人情報等の範囲の明確化○ 行政機関等は、Ａで明確化した事務において取り扱う特定個人情報等の範囲を明確にしておかなければならない。
Ｃ 事務取扱担当者の明確化○ 行政機関等は、Ａで明確化した事務に従事する事務取扱担当者を明確にしておかなければならない。
Ｄ・Ｅ （略）２ 講ずべき安全管理措置の内容
Ｆ 技術的安全管理措置
ａ アクセス制御○ 情報システムを使用して個人番号利用事務等を行う場合、事務取扱担当者及び当該事務で取り扱う特定個人情報ファイルの範囲を限定するために、適切なアクセス制御を行う。

⑴

入手の際の本人確認の措置の内容
個人番号の真正性確認の措
置の内容⑵

特定個人情報の正確性確保の措置の内容⑶

その他の措置の内容
リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

リスク４： 入手の際に特定個人情報が漏えい・紛失するリスク⑷

リスクに対する措置の内容

リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

特定個人情報の入手（情報提供ネットワークシステムを通じた入手を除く。）におけるその他のリスク及びそのリスクに対する措置○

評価対象の事務を遂⾏する上で必要な者以外の者の特定個⼈情報を⼊⼿しないよう、どのような対策を⾏っているか記載してください。

○

評価対象の事務を遂⾏する上で必要な者に関する特定個⼈情報であっても、その事務を遂⾏する上で必要なもの以外の特定個⼈情報を⼊⼿しないよう、どのような対策を⾏っているか記載してください。

○

上記で例⽰する以外に、⽬的外の特定個⼈情報の⼊⼿が⾏われるリス
クに対応するための措置を講じている場合は、記載してください。

○

上記を踏まえ、⽬的外の⼊⼿が⾏われるリスクに対して、⼗分な対策を⾏っていると評価する場合には「⼗分である」を選択し、⼗分に⾏っているとは評価できず、まだ課題が残されていると評価する場合には「課題が残されている」を選択してください。評価実施機関としてこのリスクへの対策に特に積極的に取り組んでいる場合は、「特に⼒を⼊れている」を選択してください。

21

Ⅲ 特定個人情報ファイルの取扱いプロセスにおけるリスク対策 ※（７．リスク１⑨を除く。）
１．特定個人情報ファイル名

２．特定個人情報の入手 （情報提供ネットワークシステムを通じた入手を除く。）
リスク１： 目的外の入手が行われるリスク■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）

対象者以外の情報の入手を防止するための措置の内容
必要な情報以外を入手することを防止するための措置の内容

第４－３－⑸ 本人確認
○ 番号法、番号法施行令、番号法施行規則及び個人番号利用事務実施者（番号法第９条第３項の規定により情報提供用個人識別符号を利用する者を除く。）が認める方法に従い、適切に本人確認を行う（具体的な本人確認の方法については、マイナンバーガイドラインを参照すること。）。

その他の措置の内容
リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である]＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

リスク２： 不適切な方法で入手が行われるリスク⑴

リスクに対する措置の内容

リスクへの対策は十分か[

特定個⼈情報の⼊⼿に際して、⼊⼿元が使⽤⽬的を認識できること、⼊⼿元に不必要な負担を負わせないこと、⼊⼿元から情報を詐取・奪取しないこと等、適切な⽅法で特定個⼈情報を⼊⼿するためにどのよ
うな措置を講じているか記載してください。

○

番号法第16条には、本⼈から個⼈番号の提供を受けるときに、個⼈番号カードの提⽰もしくは通知カードと⾝分証明証の提⽰を受ける等の厳格な本⼈確認をするよう規定されています。評価対象の事務において特定個⼈情報を⼊⼿する際に、どのようにしてその特定個⼈情報が本⼈の情報であることを確認するか記載してください。

⑶○

⼊⼿した個⼈番号が本⼈の個⼈番号で間違いないことをどのようにして確認するか記載してください。

⑷○

特定個⼈情報を⼊⼿した後、その情報の正確性を保つためにどのようなことを⾏っているか記載してください。

⑴

リスク３： 入手した特定個人情報が不正確であるリスク

⑵
⑶
⑷

○

入手の際の本人確認の措置の内容
個人番号の真正性確認の措
置の内容⑵

特定個人情報の正確性確保の措置の内容その他の措置の内容
リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

リスク４： 入手の際に特定個人情報が漏えい・紛失するリスク
リスクに対する措置の内容

リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

特定個人情報の入手（情報提供ネットワークシステムを通じた入手を除く。）におけるその他のリスク及びそのリスクに対する措置

22

Ⅲ 特定個人情報ファイルの取扱いプロセスにおけるリスク対策 ※（７．リスク１⑨を除く。）⑴

１．特定個人情報ファイル名○

２．特定個人情報の入手 （情報提供ネットワークシステムを通じた入手を除く。）

特定個⼈情報の⼊⼿に際して、情報の安全確保の観点から、情報漏え
いや紛失のリスクを軽減するためにどのような措置を講じているか記載してください。

○

リスク１： 目的外の入手が行われるリスク
対象者以外の情報の入手を防止するための措置の内容⑵

必要な情報以外を入手することを防止するための措置の内
容

特定個⼈情報の⼊⼿において、上記のリスク１〜４以外に認識しているリスク及びそれらのリスクへの対策を記載してください。
○ リスク１〜４についての「リスクへの対策は⼗分か」の質問において「課題が残されている」を選択した場合は、今後の取組の概要、予定
等、補⾜する事項があれば記載してください。

その他の措置の内容
リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

リスク２： 不適切な方法で入手が行われるリスク■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）

リスクに対する措置の内容

リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

リスク３： 入手した特定個人情報が不正確であるリスク
入手の際の本人確認の措置の内容
個人番号の真正性確認の措
置の内容
特定個人情報の正確性確保の措置の内容その他の措置の内容
リスクへの対策は十分か[]

リスク４： 入手の際に特定個人情報が漏えい・紛失するリスク⑴

リスクに対する措置の内容

リスクへの対策は十分か[]

特定個人情報の入手（情報提供ネットワークシステムを通じた入手を除く。）におけるその他のリスク及びそのリスクに対する措置⑵（別添１）特定個人情報に関する安全管理措置
２ 講ずべき安全管理措置の内容
Ｅ 物理的安全管理措置
ｂ 機器及び電子媒体等の盗難等の防止○ 管理区域及び取扱区域における特定個人情報等を取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、物理的な安全管理措置を講ずる。また、電子媒体及び書類等の庁舎内の移動等において、紛失・盗難等に留意する。
ｃ 電子媒体等の取扱いにおける漏えい等の防止○ 許可された電子媒体又は機器等以外のものについて使用の制限等の必要な措置を講ずる。
また、記録機能を有する機器の情報システム端末等への接続の制限等の必要な措置を講ずる。
○ 取扱規程等の手続に基づき、特定個人情報等が記録された電子媒体又は書類等を持ち運ぶ必要が生じた場合には、容易に個人番号が判明しないよう安全な方策を講ずる。
○ 「持ち運ぶ」とは、特定個人情報等を管理区域又は取扱区域から外へ移動させること又は当該区域の外から当該区域へ移動させることをいい、庁舎内での移動等であっても、特定個人情報等の紛失・盗難等に留意する必要がある。
Ｆ 技術的安全管理措置
ｄ 漏えい等の防止○ 特定個人情報等をインターネット等により外部に送信する場合、通信経路における漏えい等を防止するための措置を講ずる。
○ 特定個人情報ファイルを機器又は電子媒体等に保存する必要がある場合、原則として、暗号化又はパスワードにより秘匿する。

23

■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）

３．特定個人情報の使用
リスク１： 目的を超えた紐付け、事務に必要のない情報との紐付けが行われるリスク

第４－１－⑴ 個人番号の利用制限（抄）○ 個人番号は、番号法があらかじめ限定的に定めた事務以外で利用することはできない。
○ 行政機関等が個人番号を利用するのは、個人番号利用事務（番号法別表に掲げられている
事務及び番号法第９条第２項に基づいて条例で規定した事務）、個人番号関係事務（職員等の社会保障及び税等に関する手続書類の作成事務）、番号法第19条第13号から第17号までに基づき特定個人情報の提供を受けた目的を達成するために必要な限度で利用する事務に限られる。

宛名システム等における措置の内容事務で使用するその他のシステムにおける措置の内容
その他の措置の内容
リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

リスク２： 権限のない者（元職員、アクセス権限のない職員等）によって不正に使用されるリスク
ユーザ認証の管理

[

]

＜選択肢＞
1） 行っている

2） 行っていない

[

]

＜選択肢＞
1） 行っている

2） 行っていない

具体的な管理方法
アクセス権限の発効・失効の管理

Ｄ 人的安全管理措置
具体的な管理方法
ａ 事務取扱担当者の監督
＜選択肢＞
]
[
○アクセス権限の管理総括責任者及び保護責任者は、特定個人情報等が取扱規程等に基づき適
1） 行っている
2） 行っていない
正に取り扱われるよう、事務取扱担当者に対して必要かつ適切な監督を行う。
具体的な管理方法
ｂ 事務取扱担当者等の教育
＜選択肢＞
[
]
○特定個人情報の使用の記録保護責任者は、部署内の事務取扱担当者等に特定個人情報の保護に関す
1） 記録を残している
2) 記録を残していない
る必要な教育研修を行う。
具体的な方法・ 事務取扱担当者への教育研修
・その他の措置の内容
情報システムの管理に関する事務に従事する職員への教育研修
・ 保護責任者に対する研修
＜選択肢＞
[
]
1） 特に力を入れている
2） 十分である・リスクへの対策は十分か
情報システムの管理に関する事務に従事する職員への教育研修
3） 課題が残されている
・リスク３：
特定個人情報ファイルを取り扱う事務に従事する者への研修
従業者が事務外で使用するリスク
・ サイバーセキュリティに関する研修（具体的内容については、マイナンバーガ
リスクに対する措置の内容
イドラインを参照すること。）＜選択肢＞※ 教育研修については、教育研修への参加の機会を付与するとともに、研修][
1） 特に力を入れている
2） 十分である
リスクへの対策は十分か未受講者に対して再受講の機会を付与する等の必要な措置を講ずる。
3） 課題が残されている
リスク４： 特定個人情報ファイルが不正に複製されるリスク
リスクに対する措置の内容
リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

特定個人情報の使用におけるその他のリスク及びそのリスクに対する措置

2） 十分である

第４－１－⑵ 特定個人情報ファイルの作成の制限○ 個人番号利用事務等を処理するために必要な場合、又は番号法第19条第13号から第17号までのいずれかに該当して特定個人情報を提供し、又はその提供を受けることができる場合
を除き、特定個人情報ファイルを作成してはならない。
第４－３－⑷ 収集・保管制限○ 番号法で限定的に明記された場合を除き、特定個人情報を収集又は保管してはならない。
○ 番号法で限定的に明記された事務を処理する必要がなくなった場合で、文書管理に関する規程等によって定められている保存期間を経過した場合には、個人番号をできるだけ速やかに廃棄又は削除しなければならない。
（別添１）特定個人情報に関する安全管理措置
２ 講ずべき安全管理措置の内容
Ｃ 組織的安全管理措置
ｂ 取扱規程等に基づく運用○ 取扱規程等に基づく運用を行うとともに、その状況を確認するため、特定個人情報等の利用状況等を記録し、その記録を一定の期間保存し、定期に及び必要に応じ随時に分析等するための体制を整備する。記録については、改ざん、窃取又は不正な削除の防止のために必要な措置を講ずるとともに、分析等を行う。
ｃ 取扱状況を確認する手段の整備○ 特定個人情報ファイルの取扱状況を確認するため、次に掲げる項目を含めて記録する。なお、取扱状況を確認するための記録等には、特定個人情報等は記載しない。
・特定個人情報ファイルの名称
・行政機関等の名称及び特定個人情報ファイルが利用に供される事務をつかさどる組織の
名称
・特定個人情報ファイルの利用目的
・特定個人情報ファイルに記録される項目及び本人として特定個人情報ファイルに記録される個人の範囲・特定個人情報ファイルに記録される特定個人情報等の収集方法
ｅ 取扱状況の把握及び安全管理措置の見直し○ 監査責任者は、特定個人情報等の管理の状況について、定期に及び必要に応じ随時に監
査（外部監査及び他部署等による点検を含む。）を行い、その結果を総括責任者に報告する。
○ 総括責任者は、監査の結果等を踏まえ、必要があると認めるときは、取扱規程等の見直し等の措置を講ずる。

24

３．特定個人情報の使用○

リスク１： 目的を超えた紐付け、事務に必要のない情報との紐付けが行われるリスク
宛名システム等における措置の内容⑴

事務で使用するその他のシステムにおける措置の内容⑴

その他の措置の内容
リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

リスク２： 権限のない者（元職員、アクセス権限のない職員等）によって不正に使用されるリスク
ユーザ認証の管理

[

]

＜選択肢＞
1） 行っている

2） 行っていない

[

]

＜選択肢＞
1） 行っている

2） 行っていない

[

]

＜選択肢＞
1） 行っている

2） 行っていない

特定個⼈情報が、使⽤⽬的を超えて取り扱われないよう、また、評価対象の事務に必要のない情報と併せて取り扱われないよう、どのような対策を⾏っているか記載してください（例えば、評価対象の事務に必要のない者の個⼈番号にアクセスできないようにする措置、評価対象の事務に必要のない情報にアクセスできないようにする措置について記載してください。）。
○ その際、システム上の措置とその他の措置を分けて記載してください。
さらに、システム上の措置の中でも、宛名システム等（個⼈番号と既存番号の対照テーブルなどを⽤い複数の事務で個⼈番号を共通して参照するシステム）における措置と、事務で使⽤するその他のシステムにおける措置に分けて記載してください。

具体的な管理方法
アクセス権限の発効・失効の管理
具体的な管理方法
アクセス権限の管理
具体的な管理方法
特定個人情報の使用の記録

[

]

[

]

＜選択肢＞
1） 記録を残している

2) 記録を残していない

具体的な方法その他の措置の内容
リスクへの対策は十分か＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である]＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である]＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）（別添１）特定個人情報に関する安全管理措置
２ 講ずべき安全管理措置の内容
Ｆ 技術的安全管理措置
ａ アクセス制御○ 情報システムを使用して個人番号利用事務等を行う場合、事務取扱担当者及び当該事務で取り扱う特定個人情報ファイルの範囲を限定するために、適切なアクセス制御を行う。

リスク３： 従業者が事務外で使用するリスク
リスクに対する措置の内容
リスクへの対策は十分か[

リスク４： 特定個人情報ファイルが不正に複製されるリスク
リスクに対する措置の内容
リスクへの対策は十分か[

特定個人情報の使用におけるその他のリスク及びそのリスクに対する措置

25

■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）

３．特定個人情報の使用
リスク１： 目的を超えた紐付け、事務に必要のない情報との紐付けが行われるリスク
宛名システム等における措置の内容事務で使用するその他のシステムにおける措置の内容
その他の措置の内容
リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

リスク２： 権限のない者（元職員、アクセス権限のない職員等）によって不正に使用されるリスク
ユーザ認証の管理

⑴

]

＜選択肢＞
1） 行っている

2） 行っていない

[

]

＜選択肢＞
1） 行っている

2） 行っていない

[

]

＜選択肢＞
1） 行っている

2） 行っていない＜選択肢＞
1） 記録を残している

2) 記録を残していない

具体的な管理方法
アクセス権限の発効・失効の
管理

⑵

[

具体的な管理方法
アクセス権限の管理（別添１）特定個人情報に関する安全管理措置
２ 講ずべき安全管理措置の内容
Ｅ 物理的安全管理措置
ａ 特定個人情報等を取り扱う区域の管理○ 特定個人情報ファイルを取り扱う情報システム（サーバ等）を管理する区域（以下「管理区域」という。）を明確にし、物理的な安全管理措置を講ずる。管理区域において、入退室管理
及び管理区域へ持ち込む機器等の制限等の措置を講ずる。
○ 特定個人情報等を取り扱う事務を実施する区域（以下「取扱区域」という。）について、事務取扱担当者等以外の者が特定個人情報等を容易に閲覧等できないよう留意する必要がある。
○ 基幹的なサーバ等の機器を設置する室等（以下「情報システム室等」という。）を区分して管理する場合は、情報システム室等について、次の①及び②に掲げる措置を講ずる。
① 入退室管理
情報システム室等に入室する権限を有する者を定めるとともに、用件の確認、入退室の記
録、部外者についての識別化、部外者が入室する場合の職員の立会い等の措置を講ずる。
② 情報システム室等の管理
外部からの不正な侵入に備え、施錠装置、警報装置、監視設備の設置等の措置を講ずる。

具体的な管理方法
特定個人情報の使用の記録

[

]

[

]

具体的な方法その他の措置の内容
リスクへの対策は十分か＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

リスク３： 従業者が事務外で使用するリスク

Ｆ 技術的安全管理措置
ａ アクセス制御○ 情報システムを使用して個人番号利用事務等を行う場合、事務取扱担当者及び当該事務で取り扱う特定個人情報ファイルの範囲を限定するために、適切なアクセス制御を行う。
ｂ アクセス者の識別と認証○ 特定個人情報等を取り扱う情報システムは、事務取扱担当者が正当なアクセス権を有する者であることを、識別した結果に基づき認証する。

○

リスクに対する措置の内容
リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である⑴

リスク４： 特定個人情報ファイルが不正に複製されるリスク
リスクに対する措置の内容
リスクへの対策は十分か[]

特定個人情報の使用におけるその他のリスク及びそのリスクに対する措置⑵

特定個⼈情報にアクセスする際の認証を⾏う場合は、特定個⼈情報にアクセスするユーザの認証⽅法（ユーザIDとパスワードによる認証か、
⽣体認証か、端末認証を⾏うかなど）、なりすましが⾏われないための対策について記載してください。
○ 認証の管理を⾏わない場合、⾏わなくても権限のない者による不正な使⽤を防⽌できる理由を記載してください。
○

アクセス権限の発効・失効の管理を⾏う者による当該管理の適正性についてどのようにチェックをしているか（権限表の作成、定期的⾒直しなど）記載してください。

26

■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）

３．特定個人情報の使用
リスク１： 目的を超えた紐付け、事務に必要のない情報との紐付けが行われるリスク
宛名システム等における措置の内容事務で使用するその他のシステムにおける措置の内容
その他の措置の内容
リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

リスク２： 権限のない者（元職員、アクセス権限のない職員等）によって不正に使用されるリスク
ユーザ認証の管理

[

]

＜選択肢＞
1） 行っている

2） 行っていない

[

]

＜選択肢＞
1） 行っている

2） 行っていない

[

]

＜選択肢＞
1） 行っている

2） 行っていない

具体的な管理方法
アクセス権限の発効・失効の管理
具体的な管理方法⑴

アクセス権限の管理
具体的な管理方法
特定個人情報の使用の記録

⑵

[

]

[

]

＜選択肢＞
1） 記録を残している

2) 記録を残していない

具体的な方法その他の措置の内容
リスクへの対策は十分か＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である（別添１）特定個人情報に関する安全管理措置
２ 講ずべき安全管理措置の内容
Ｅ 物理的安全管理措置
ａ 特定個人情報等を取り扱う区域の管理○ 特定個人情報ファイルを取り扱う情報システム（サーバ等）を管理する区域（以下「管理区域」という。）を明確にし、物理的な安全管理措置を講ずる。管理区域において、入退室管理
及び管理区域へ持ち込む機器等の制限等の措置を講ずる。
○ 特定個人情報等を取り扱う事務を実施する区域（以下「取扱区域」という。）について、事務取扱担当者等以外の者が特定個人情報等を容易に閲覧等できないよう留意する必要がある。
○ 基幹的なサーバ等の機器を設置する室等（以下「情報システム室等」という。）を区分して管理する場合は、情報システム室等について、次の①及び②に掲げる措置を講ずる。
① 入退室管理
情報システム室等に入室する権限を有する者を定めるとともに、用件の確認、入退室の記
録、部外者についての識別化、部外者が入室する場合の職員の立会い等の措置を講ずる。
② 情報システム室等の管理
外部からの不正な侵入に備え、施錠装置、警報装置、監視設備の設置等の措置を講ずる。
Ｆ 技術的安全管理措置
ａ アクセス制御○ 情報システムを使用して個人番号利用事務等を行う場合、事務取扱担当者及び当該事務で取り扱う特定個人情報ファイルの範囲を限定するために、適切なアクセス制御を行う。
ｂ アクセス者の識別と認証○ 特定個人情報等を取り扱う情報システムは、事務取扱担当者が正当なアクセス権を有する者であることを、識別した結果に基づき認証する。

リスク３： 従業者が事務外で使用するリスク⑴○ リスクに対する措置の内容
特定個⼈情報ファイルを取り扱う者が正当なユーザであることを確認するための情報（ユーザID、パスワード等）の発効・失効の管理を
＜選択肢＞
]
[
1） 特に力を入れている
2） 十分である
リスクへの対策は十分か⾏う場合は、以下の点について記載してください。
3） 課題が残されている
リスク４： 特定個人情報ファイルが不正に複製されるリスク（１）
発効管理：事務上必要なユーザについてのみID等を発効するよ
うにどのような⼿段を講じているか（権限発効のポリシー、申リスクに対する措置の内容
請・許可の流れ等を記載してください。）。更新権限者を不必要
＜選択肢＞
[
]
1） 特に力を入れている
2） 十分である
リスクへの対策は十分かに増やさないためにどのような⼿段を講じているか。
3） 課題が残されている
特定個人情報の使用におけるその他のリスク及びそのリスクに対する措置（２）
失効管理：事務範囲の変更、異動、休職、退職など、事務上情報にアクセスする必要のなくなったユーザの権限を迅速に失効す
るためにどのような⼿段を講じているか（たとえば、権限失効の流れを記載してください。）。
○ 発効・失効の管理を⾏わない場合、⾏わなくても権限のない者による不正な使⽤を防⽌できる理由を記載してください。

○⑵

特定個⼈情報ファイルに記録される特定個⼈情報の⼊⼿から消去までの各過程において、誰がどの特定個⼈情報を取り扱ったか、どの職員がアクセスに失敗したかなどについてログ等の記録を残しているかどうかを選択してください。
○ 記録を残している場合は、具体的にどのような事項を記録するか、どの程度の単位で記録するか（操作者は個⼈まで特定するか、部署までか等）、どのような⽅法で記録するか、記録はどの程度の期間保管されるか、記録事項について分析・確認は⾏うか（分析・確認を⾏う場合は、分析・確認の時期、内容、⽅法）について記載してください。
○ 記録を残していない場合は、残していなくても権限のない者による不正な使⽤を防⽌できる理由を記載してください。

27

○

従業者が特定個⼈情報ファイルを事務外で使⽤することは認められていません。従業者が事務外での使⽤を⾏わないことを確保するために、評価実施機関としてどのような措置を講じているか記載してくだ
さい。

○

番号法第29条は、特定個⼈情報ファイルを作成できる範囲を限定的に定めています。評価対象の事務において特定個⼈情報ファイルを取り扱う者が不正に複製しないようにどのような措置を講じているか記載してください。

⑴

３．特定個人情報の使用
リスク１： 目的を超えた紐付け、事務に必要のない情報との紐付けが行われるリスク
宛名システム等における措置の内容事務で使用するその他のシステムにおける措置の内容⑵

その他の措置の内容
リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である○

リスク２： 権限のない者（元職員、アクセス権限のない職員等）によって不正に使用されるリスク
ユーザ認証の管理

[

]

＜選択肢＞
1） 行っている

2） 行っていない

[

]

＜選択肢＞
1） 行っている

2） 行っていない]＜選択肢＞
1） 行っている

2） 行っていない＜選択肢＞
1） 記録を残している

2) 記録を残していない

具体的な管理方法
アクセス権限の発効・失効の管理
具体的な管理方法
アクセス権限の管理[⑶

特定個⼈情報の使⽤において、上記のリスク１〜４以外に認識しているリスク及びそれらのリスクへの対策を記載してください。
○ リスク１〜４についての「リスクへの対策は⼗分か」の質問において「課題が残されている」を選択した場合は、今後の取組の概要、予定等、補⾜する事項があれば記載してください。

■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）

具体的な管理方法
特定個人情報の使用の記録

[

]

[

]

具体的な方法その他の措置の内容
リスクへの対策は十分か＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である]＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である]＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

リスク３： 従業者が事務外で使用するリスク⑴

リスクに対する措置の内容
リスクへの対策は十分か⑵[

リスク４： 特定個人情報ファイルが不正に複製されるリスク
リスクに対する措置の内容
リスクへの対策は十分か[

特定個人情報の使用におけるその他のリスク及びそのリスクに対する措置⑶（別添１）特定個人情報に関する安全管理措置
２ 講ずべき安全管理措置の内容
Ｄ 人的安全管理措置
ａ 事務取扱担当者の監督○ 総括責任者及び保護責任者は、特定個人情報等が取扱規程等に基づき適正に取り扱われるよう、事務取扱担当者に対して必要かつ適切な監督を行う。
ｂ 事務取扱担当者等の教育○ 保護責任者は、部署内の事務取扱担当者等に特定個人情報の保護に関する必要な教育研修を行う。
・ 事務取扱担当者への教育研修
・ 情報システムの管理に関する事務に従事する職員への教育研修
・ 保護責任者に対する研修・ 情報システムの管理に関する事務に従事する職員への教育研修
・ 特定個人情報ファイルを取り扱う事務に従事する者への研修
・ サイバーセキュリティに関する研修（具体的内容については、マイナンバーガイドラインを参照すること。）※ 教育研修については、教育研修への参加の機会を付与するとともに、研修未受講者に対して再受講の機会を付与する等の必要な措置を講ずる。
Ｅ 物理的安全管理措置
ｃ 電子媒体等の取扱いにおける漏えい等の防止 （抄）○ 許可された電子媒体又は機器等以外のものについて使用の制限等の必要な措置を講ずる。
また、記録機能を有する機器の情報システム端末等への接続の制限等の必要な措置を講ずる。

28

■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）

４．特定個人情報ファイルの取扱いの委託⑴⑵[] 委託しない

委託先による特定個人情報の不正入手・不正な使用に関するリスク
委託先による特定個人情報の不正な提供に関するリスク
委託先による特定個人情報の保管・消去に関するリスク
委託契約終了後の不正な使用等のリスク
再委託に関するリスク
情報保護管理体制の確認
特定個人情報ファイルの閲
覧者・更新者の制限

[

]

＜選択肢＞
1） 制限している

2） 制限していない

[

]

＜選択肢＞
1） 記録を残している

2） 記録を残していない

[

]

＜選択肢＞
1） 定めている

2） 定めていない

[

]

＜選択肢＞
1） 定めている

2） 定めていない＜選択肢＞
1） 定めている

2） 定めていない

具体的な制限方法
特定個人情報ファイルの取扱いの記録
具体的な方法特定個人情報の提供ルール
委託先から他者への提供に関するルールの内容及びルール遵守の確認方法
委託元と委託先間の提供に関するルールの内容及びルール遵守の確認方法
特定個人情報の消去ルール
ルールの内容及びルール遵守の確認方
法
委託契約書中の特定個人情報ファイルの取扱いに関する
規定

[

]

[

]

第４－２－⑴ 委託の取扱い○ 委託者（行政機関等）は、委託先において、番号法に基づき個人番号利用事務等を行う委託者が果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行わなければならない。
※ 委託者は、委託をする個人番号利用事務等において取り扱う特定個人情報の適切な安全管理が図られることを確認した上で再委託の諾否を判断しなければならない。また、委託先に対する監督義務だけではなく、再委託先に対しても間接的に監督義務を負うこととなる。
《必要かつ適切な監督》① 委託先の適切な選定② 委託先に安全管理措置を遵守させるための必要な委託契約の締結（契約に盛り込む必要がある内容）
・秘密保持義務・委託する業務の遂行に必要な範囲を超える事業所内からの特定個人情報の持ち出しの禁止
・特定個人情報の目的外利用の禁止
・再委託における条件
・漏えい等事案が発生した場合の委託先の責任・委託契約終了後の特定個人情報の返却又は廃棄・特定個人情報を取り扱う従業者の明確化
・従業者に対する監督・教育
・契約内容の遵守状況について報告を求める規定・必要があると認めるときに実地調査を行うことができる規定等③ 委託先における特定個人情報の取扱状況の把握○ 委託先が再委託する場合は、最初の委託者（行政機関等）の許諾を得た場合に限り、再委託をすることができます。再々委託以降も同様です。

○

規定の内容
再委託先による特定個人情報ファイルの適切な取扱いの
確保

＜選択肢＞
1） 特に力を入れて行っている 2） 十分に行っている
3） 十分に行っていない
4） 再委託していない⑴

具体的な方法その他の措置の内容
リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

特定個人情報ファイルの取扱いの委託におけるその他のリスク及びそのリスクに対する措置⑵

委託先を決定する際に特定個⼈情報ファイルを適切に取り扱う委託先であることをどのように確認しているか、⼿続等について記載してください。
○ また、委託先の決定後においても、特定個⼈情報ファイルの適切な取扱状況等を把握するために、必要に応じて実地の監査、調査等を⾏う等、契約締結後に情報保護管理体制の確認を⾏うこととしている場
合は、その旨を記載することが考えられます。
○ 番号法上の委託に該当するクラウドサービスを利⽤する場合は、情報保護管理体制の詳細を把握することが困難だと思われますので、クラウドサービス選定時に⽤いている基準等を利⽤して記載することが考えられます。例えば、「政府情報システムにおけるクラウドサービ
スの利⽤に係る基本⽅針」等に定められた諸条件や「特定個⼈情報の適正な取扱いに関するガイドライン」等に定められた各種条件を満たしていること等を記載することが考えられます。
○

委託先において特定個⼈情報ファイルの閲覧者・更新者を必要最⼩限に制限しているかどうか選択してください。制限している場合は、具体的な措置について記載してください。

29

■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）

４．特定個人情報ファイルの取扱いの委託[] 委託しない

委託先による特定個人情報の不正入手・不正な使用に関するリスク
委託先による特定個人情報の不正な提供に関するリスク
委託先による特定個人情報の保管・消去に関するリスク
委託契約終了後の不正な使用等のリスク
再委託に関するリスク
情報保護管理体制の確認
特定個人情報ファイルの閲
覧者・更新者の制限

[

]

＜選択肢＞
1） 制限している

2） 制限していない

[

]

＜選択肢＞
1） 記録を残している

2） 記録を残していない

[

]

＜選択肢＞
1） 定めている

2） 定めていない

[

]

＜選択肢＞
1） 定めている

2） 定めていない

[

]

＜選択肢＞
1） 定めている

2） 定めていない

[

]

[

]

具体的な制限方法⑴

特定個人情報ファイルの取扱いの記録
具体的な方法特定個人情報の提供ルール⑵

委託先から他者への提供に関するルールの内容及びルール遵守の確認方法
委託元と委託先間の提供に関するルールの内容及びルール遵守の確認方法
特定個人情報の消去ルール
ルールの内容及びルール遵守の確認方
法
委託契約書中の特定個人情報ファイルの取扱いに関する規定
規定の内容
再委託先による特定個人情報ファイルの適切な取扱いの
確保

＜選択肢＞
1） 特に力を入れて行っている 2） 十分に行っている
3） 十分に行っていない
4） 再委託していない

第４－２－⑴ 委託の取扱い○ 委託者（行政機関等）は、委託先において、番号法に基づき個人番号利用事務等を行う委託者が果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行わなければならない。
※ 委託者は、委託をする個人番号利用事務等において取り扱う特定個人情報の適切な安全管理が図られることを確認した上で再委託の諾否を判断しなければならない。また、委託先に対する監督義務だけではなく、再委託先に対しても間接的に監督義務を負うこととなる。
《必要かつ適切な監督》① 委託先の適切な選定② 委託先に安全管理措置を遵守させるための必要な委託契約の締結（契約に盛り込む必要がある内容）
・秘密保持義務・委託する業務の遂行に必要な範囲を超える事業所内からの特定個人情報の持ち出しの禁止
・特定個人情報の目的外利用の禁止
・再委託における条件
・漏えい等事案が発生した場合の委託先の責任・委託契約終了後の特定個人情報の返却又は廃棄・特定個人情報を取り扱う従業者の明確化
・従業者に対する監督・教育
・契約内容の遵守状況について報告を求める規定・必要があると認めるときに実地調査を行うことができる規定等③ 委託先における特定個人情報の取扱状況の把握○ 委託先が再委託する場合は、最初の委託者（行政機関等）の許諾を得た場合に限り、再委託をすることができます。再々委託以降も同様です。

○⑴

具体的な方法その他の措置の内容
リスクへの対策は十分か＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

特定個人情報ファイルの取扱いの委託におけるその他のリスク及びそのリスクに対する措置

委託先における特定個⼈情報ファイルの取扱いについて、どの従業者がどの特定個⼈情報をどのように取り扱ったかの記録を残しているかどうかを選択してください。
○ 記録を残している場合は、記録はどの程度の期間保存されるかを記載してください。
○ 記録を残していない場合は、残していなくても権限のない者による不正な使⽤を防⽌できる理由を記載してください。
○

2） 十分である⑵

委託先から他者への⼜は委託元から委託先への特定個⼈情報の提供
に関するルールを定めているかどうかを選択してください。
○ 定めている場合、それぞれどのようなルールであるか、どのようにしてルール遵守を確認するかを記載してください。
○ そもそも委託先から他者への提供を認めていない場合、どのようにして提供されていないことを確認するかを記載してください。

30

■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）
第４－２－⑴ 委託の取扱い○ 委託者（行政機関等）は、委託先において、番号法に基づき個人番号利用事務等を行う委託者が果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行わなければならない。
４．特定個人情報ファイルの取扱いの委託[] 委託しない※ 委託者は、委託をする個人番号利用事務等において取り扱う特定個人情報の適切な安全管理が図られることを確認した上で再委託の諾否を判断しなければならない。また、委託先に対する監督義務
委託先による特定個人情報の不正入手・不正な使用に関するリスクだけではなく、再委託先に対しても間接的に監督義務を負うこととなる。
委託先による特定個人情報の不正な提供に関するリスク
委託先による特定個人情報の保管・消去に関するリスク《必要かつ適切な監督》
委託契約終了後の不正な使用等のリスク① 再委託に関するリスク
委託先の適切な選定② 委託先に安全管理措置を遵守させるための必要な委託契約の締結
情報保護管理体制の確認（契約に盛り込む必要がある内容）
・秘密保持義務＜選択肢＞
特定個人情報ファイルの閲[]
1） 制限している
2） 制限していない
・委託する業務の遂行に必要な範囲を超える事業所内からの特定個人情報の持ち出しの禁止
覧者・更新者の制限
・特定個人情報の目的外利用の禁止
具体的な制限方法
・再委託における条件＜選択肢＞
特定個人情報ファイルの取[]・漏えい等事案が発生した場合の委託先の責任
1） 記録を残している
2） 記録を残していない
扱いの記録
・委託契約終了後の特定個人情報の返却又は廃棄・特定個人情報を取り扱う従業者の明確化
具体的な方法・従業者に対する監督・教育＜選択肢＞
特定個人情報の提供ルール[]
2） 定めていない
1） 定めている・契約内容の遵守状況について報告を求める規定
委託先から他者への・必要があると認めるときに実地調査を行うことができる規定等
提供に関するルールの内容及びルール遵守③ 委託先における特定個人情報の取扱状況の把握の確認方法○ 委託先が再委託する場合は、最初の委託者（行政機関等）の許諾を得た場合に限り、再委託をすることができます。再々委託以降も同様です。
委託元と委託先間の提供に関するルールの内容及びルール遵守
の確認方法

⑴
⑵

特定個人情報の消去ルール

○
[

]

[

]

＜選択肢＞
1） 定めている

2） 定めていない＜選択肢＞
1） 定めている

2） 定めていない

ルールの内容及びルール遵守の確認方
法
委託契約書中の特定個人情報ファイルの取扱いに関する
規定

⑴

○

規定の内容
再委託先による特定個人情報ファイルの適切な取扱いの
確保

[

]

[

]

＜選択肢＞
1） 特に力を入れて行っている 2） 十分に行っている
3） 十分に行っていない
4） 再委託していない

具体的な方法その他の措置の内容
リスクへの対策は十分か

委託先における特定個⼈情報の消去のルールを定めているかどうかを選択してください。
○ 定めている場合は、どのようなルールを定めているか、どのようにしてルール遵守を確認するか、委託契約終了後の消去をどのように確認するかについて記載してください。

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

特定個人情報ファイルの取扱いの委託におけるその他のリスク及びそのリスクに対する措置

2） 十分である⑵

委託先と締結する委託契約において、特定個⼈情報ファイルの取扱いに関して定めているかどうかを選択してください。また、定めている場合は、どのような規定を設けるか記載してください。
○ 例えば、規定については、以下の内容が考えられます。
・秘密保持義務・委託する業務の遂⾏に必要な範囲を超える事業所内からの特定個⼈
情報の持ち出しの禁⽌・特定個⼈情報の⽬的外利⽤の禁⽌・再委託における条件
・漏えい事案等が発⽣した場合の委託先の責任・委託契約終了後の特定個⼈情報の返却⼜は廃棄・特定個⼈情報を取り扱う従業者の明確化
・従業者に対する監督・教育、契約内容の遵守状況についての報告を⾏うこと
・必要があると認めるときは、委託先に対して実地の監査、調査等を
⾏うこと

31

■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）
４．特定個人情報ファイルの取扱いの委託[] 委託しない

委託先による特定個人情報の不正入手・不正な使用に関するリスク
第４－２－⑴
委託の取扱い委託先による特定個人情報の不正な提供に関するリスク○ 委託者（行政機関等）は、委託先において、番号法に基づき個人番号利用事務等を行う委託者が果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行わなければならない。
委託先による特定個人情報の保管・消去に関するリスク※ 委託者は、委託をする個人番号利用事務等において取り扱う特定個人情報の適切な安全管理が図られることを確認した上で再委託の諾否を判断しなければならない。また、委託先に対する監督義務だ
委託契約終了後の不正な使用等のリスク
再委託に関するリスク
けではなく、再委託先に対しても間接的に監督義務を負うこととなる。
《必要かつ適切な監督》
情報保護管理体制の確認① 委託先の適切な選定＜選択肢＞
特定個人情報ファイルの閲[]② 委託先に安全管理措置を遵守させるための必要な委託契約の締結
1） 制限している
2） 制限していない
覧者・更新者の制限（契約に盛り込む必要がある内容）
・秘密保持義務
具体的な制限方法
・委託する業務の遂行に必要な範囲を超える事業所内からの特定個人情報の持ち出しの禁止＜選択肢＞
特定個人情報ファイルの取[]1） 記録を残している
2） 記録を残していない
・特定個人情報の目的外利用の禁止
扱いの記録
・再委託における条件
具体的な方法・漏えい等事案が発生した場合の委託先の責任＜選択肢＞
特定個人情報の提供ルール[]
・委託契約終了後の特定個人情報の返却又は廃棄
2） 定めていない
1） 定めている
・特定個人情報を取り扱う従業者の明確化
委託先から他者への提供に関するルールの・従業者に対する監督・教育
内容及びルール遵守・契約内容の遵守状況について報告を求める規定の確認方法
委託元と委託先間の・必要があると認めるときに実地調査を行うことができる規定等
提供に関するルールの③ 委託先における特定個人情報の取扱状況の把握
内容及びルール遵守の確認方法○ 委託先が再委託する場合は、最初の委託者（行政機関等）の許諾を得た場合に限り、再委託をすることができます。再々委託以降も同様です。
特定個人情報の消去ルール

[

]

[

]

[

]

[

]

＜選択肢＞
1） 定めている

2） 定めていない＜選択肢＞
1） 定めている

2） 定めていない

ルールの内容及びルール遵守の確認方
法
委託契約書中の特定個人情報ファイルの取扱いに関する
規定

○

規定の内容

⑴

再委託先による特定個人情報ファイルの適切な取扱いの
確保

＜選択肢＞
1） 特に力を入れて行っている 2） 十分に行っている
3） 十分に行っていない
4） 再委託していない⑴

具体的な方法その他の措置の内容
リスクへの対策は十分か

⑵

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

特定個人情報ファイルの取扱いの委託におけるその他のリスク及びそのリスクに対する措置

特定個⼈情報ファイルの取扱いを再委託している場合には、再委託先での適正な取扱いの確保のために⾏っている措置について記載してください。例えば、再委託先における特定個⼈情報ファイルの管理状
況を定期的に点検している場合は、実施頻度、点検⽅法（訪問確認、
セルフチェック）、点検後の改善指⽰の実施有無、改善状況のモニタ
リングの実施有無等を記載してください。

○
2） 十分である⑵

特定個⼈情報ファイルの取扱いの委託において、上記のリスク以外に認識しているリスク及びそれらのリスクへの対策を記載してください。
○ 上記「リスクへの対策は⼗分か」の質問において「課題が残されている」を選択した場合は、今後の取組の概要、予定等、補⾜する事項
があれば記載してください。

32

■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）
５．特定個人情報の提供・移転 （委託や情報提供ネットワークシステムを通じた提供を除く。）[] 提供・移転しない

リスク１： 不正な提供・移転が行われるリスク
特定個人情報の提供・移転
の記録

[

]

＜選択肢＞
1） 記録を残している

2） 記録を残していない

具体的な方法特定個人情報の提供・移転に関するルール

[

]

[

]

＜選択肢＞
1） 定めている

2） 定めていない

ルールの内容及びルール遵守の確認方
法
その他の措置の内容
リスクへの対策は十分か＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

リスク２： 不適切な方法で提供・移転が行われるリスク
リスクに対する措置の内容

リスクへの対策は十分か[]

リスク３： 誤った情報を提供・移転してしまうリスク、誤った相手に提供・移転してしまうリスク
リスクに対する措置の内容＜選択肢＞
1） 特に力を入れている
2） 十分である
3） 課題が残されている
特定個人情報の提供・移転（委託や情報提供ネットワークシステムを通じた提供を除く。）におけるその他のリスク及びそのリスクに対する措置
リスクへの対策は十分か[]

第４－３－⑵ 個人番号の提供の求めの制限、特定個人情報の提供制限○ 番号法で限定的に明記された場合を除き、個人番号の提供を求めてはならない。
○ 番号法で限定的に明記された場合を除き、特定個人情報を提供してはならない。
（別添１）特定個人情報に関する安全管理措置
２ 講ずべき安全管理措置の内容
Ｃ 組織的安全管理措置
ｂ 取扱規程等に基づく運用○ 取扱規程等に基づく運用を行うとともに、その状況を確認するため、特定個人情報等の利用状況等を記録し、その記録を一定の期間保存し、定期に及び必要に応じ随時に分析等するための体制を整備する。記録については、改ざん、窃取又は不正な削除の防止のために必要な措置を講ずるとともに、分析等を行う。
ｃ 取扱状況を確認する手段の整備○ 特定個人情報ファイルの取扱状況を確認するため、次に掲げる項目を含めて記録する。なお、取扱状況を確認するための記録等には、特定個人情報等は記載しない。
・特定個人情報ファイルの名称
・行政機関等の名称及び特定個人情報ファイルが利用に供される事務をつかさどる組織の名
称・特定個人情報ファイルの利用目的
・特定個人情報ファイルに記録される項目及び本人として特定個人情報ファイルに記録される
個人の範囲
・特定個人情報ファイルに記録される特定個人情報等の収集方法
ｅ 取扱状況の把握及び安全管理措置の見直し○ 監査責任者は、特定個人情報等の管理の状況について、定期に及び必要に応じ随時に監査（外部監査及び他部署等による点検を含む。）を行い、その結果を総括責任者に報告する。
○ 総括責任者は、監査の結果等を踏まえ、必要があると認めるときは、取扱規程等の見直し等の措置を講ずる。
Ｄ 人的安全管理措置
ａ 事務取扱担当者の監督○ 総括責任者及び保護責任者は、特定個人情報等が取扱規程等に基づき適正に取り扱われるよう、事務取扱担当者に対して必要かつ適切な監督を行う。
ｂ 事務取扱担当者等の教育○ 保護責任者は、部署内の事務取扱担当者等に特定個人情報の保護に関する必要な教育研修を行う。
・ 事務取扱担当者への教育研修
・ 情報システムの管理に関する事務に従事する職員への教育研修
・ 保護責任者に対する研修・ 情報システムの管理に関する事務に従事する職員への教育研修
・ 特定個人情報ファイルを取り扱う事務に従事する者への研修
・ サイバーセキュリティに関する研修（具体的内容については、マイナンバーガイドラインを参照すること。）※ 教育研修については、教育研修への参加の機会を付与するとともに、研修未受講者に対して再受講の機会を付与する等の必要な措置を講ずる。

33

５．特定個人情報の提供・移転 （委託や情報提供ネットワークシステムを通じた提供を除く。）⑴[] 提供・移転しない

特定個人情報の提供・移転
の記録

[

]

＜選択肢＞
1） 記録を残している

2） 記録を残していない⑴

具体的な方法特定個人情報の提供・移転に関するルール⑵○

リスク１： 不正な提供・移転が行われるリスク

[

]

＜選択肢＞
1） 定めている

2） 定めていない

ルールの内容及びルール遵守の確認方
法○

その他の措置の内容
リスクへの対策は十分かどの職員がどの特定個⼈情報をどのように提供⼜は移転したかについての記録を残しているかどうかを選択してください。
○ 記録を残している場合は、具体的にどのような事項を、どのような⽅法で記録するか、記録はどの程度の期間保存されるか、正当な提供・移転以外に不正がなされる可能性のある処理についてもすべて記録しているかについて記載してください。
○ 記録を残していない場合は、残していなくても特定個⼈情報が不正に提供⼜は移転されることを防⽌できる理由を記載してください。

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

リスク２： 不適切な方法で提供・移転が行われるリスク⑵

特定個⼈情報の提供・移転に関するルールを定めているかどうかを選択してください。
○ 定めている場合は、どのようなルールを策定しているか、どのようにしてルール遵守を確認するかについて記載してください。

リスクに対する措置の内容

リスクへの対策は十分か[]

リスク３： 誤った情報を提供・移転してしまうリスク、誤った相手に提供・移転してしまうリスク
リスクに対する措置の内容＜選択肢＞
1） 特に力を入れている
2） 十分である
3） 課題が残されている
特定個人情報の提供・移転（委託や情報提供ネットワークシステムを通じた提供を除く。）におけるその他のリスク及びそのリスクに対する措置
リスクへの対策は十分か[]■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）（別添１）特定個人情報に関する安全管理措置
２ 講ずべき安全管理措置の内容
Ｅ 物理的安全管理措置
ｃ 電子媒体等の取扱いにおける漏えい等の防止○ 許可された電子媒体又は機器等以外のものについて使用の制限等の必要な措置を講ずる。
また、記録機能を有する機器の情報システム端末等への接続の制限等の必要な措置を講ずる。
○ 取扱規程等の手続に基づき、特定個人情報等が記録された電子媒体又は書類等を持ち運ぶ必要が生じた場合には、容易に個人番号が判明しないよう安全な方策を講ずる。
○ 「持ち運ぶ」とは、特定個人情報等を管理区域又は取扱区域から外へ移動させること又は当該区域の外から当該区域へ移動させることをいい、庁舎内での移動等であっても、特定個人情報等の紛失・盗難等に留意する必要がある。
ｄ 漏えい等の防止○ 特定個人情報等をインターネット等により外部に送信する場合、通信経路における漏えい等を防止するための措置を講ずる。
○ 特定個人情報ファイルを機器又は電子媒体等に保存する必要がある場合、原則として、暗号化又はパスワードにより秘匿する。

34

■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）
５．特定個人情報の提供・移転 （委託や情報提供ネットワークシステムを通じた提供を除く。）[] 提供・移転しない

リスク１： 不正な提供・移転が行われるリスク
特定個人情報の提供・移転
の記録

[

]

＜選択肢＞
1） 記録を残している

2） 記録を残していない

[

]

＜選択肢＞
1） 定めている

2） 定めていない[]

具体的な方法特定個人情報の提供・移転に関するルール
ルールの内容及びルール遵守の確認方
法
その他の措置の内容
リスクへの対策は十分か＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

リスク２： 不適切な方法で提供・移転が行われるリスク⑴

リスクに対する措置の内容

リスクへの対策は十分か[]

リスク３： 誤った情報を提供・移転してしまうリスク、誤った相手に提供・移転してしまうリスク⑵

第４－３－⑵ 個人番号の提供の求めの制限、特定個人情報の提供制限○ 番号法で限定的に明記された場合を除き、個人番号の提供をしてはならない。
（別添１）特定個人情報に関する安全管理措置
２ 講ずべき安全管理措置の内容
Ｅ 物理的安全管理措置
ｃ 電子媒体等の取扱いにおける漏えい等の防止○ 許可された電子媒体又は機器等以外のものについて使用の制限等の必要な措置を講ずる。
また、記録機能を有する機器の情報システム端末等への接続の制限等の必要な措置を講ずる。
○ 取扱規程等の手続に基づき、特定個人情報等が記録された電子媒体又は書類等を持ち運ぶ必要が生じた場合には、容易に個人番号が判明しないよう安全な方策を講ずる。
○ 「持ち運ぶ」とは、特定個人情報等を管理区域又は取扱区域から外へ移動させること又は当該区域の外から当該区域へ移動させることをいい、庁舎内での移動等であっても、特定個
人情報等の紛失・盗難等に留意する必要がある。
Ｆ 技術的安全管理措置
ｄ 漏えい等の防止○ 特定個人情報等をインターネット等により外部に送信する場合、通信経路における漏えい等を防止するための措置を講ずる。
○ 特定個人情報ファイルを機器又は電子媒体等に保存する必要がある場合、原則として、暗号化又はパスワードにより秘匿する。

リスクに対する措置の内容＜選択肢＞
1） 特に力を入れている
2） 十分である
3） 課題が残されている
特定個人情報の提供・移転（委託や情報提供ネットワークシステムを通じた提供を除く。）におけるその他のリスク及びそのリスクに対する措置
リスクへの対策は十分か

[

]

○

特定個⼈情報を提供・移転する際に、情報の安全が保たれない不適切な⽅法で⾏われないよう、特に情報漏えいや紛失のリスクを軽減するためにどのような措置を講じているか記載してください。また、提供先・移転先における特定個⼈情報の使途が法令に基づく適切なものであることを確認するための措置を講じているか記載してください。

○

誤った特定個⼈情報を提供・移転したり、誤った相⼿に提供・移転してしまうと、提供・移転先で誤った情報をもとに処理することによる本⼈への不利益や、誤った相⼿による不正な使⽤のリスクが⾼まることになります。そのようなことが起こらないように、どのような措置を講じているか記載してください。

⑴

⑶
⑵
○

⑶

特定個⼈情報の提供・移転において、上記のリスク１〜３以外に認識しているリスク及びそれらのリスクへの対策を記載してください。
○ リスク１〜３についての「リスクへの対策は⼗分か」の質問において「課題が残されている」を選択した場合は、今後の取組の概要、予定等、補⾜する事項があれば記載してください。

35

６．情報提供ネットワークシステムとの接続[] 接続しない（入手）[] 接続しない（提供）

リスク１： 目的外の入手が行われるリスク

第４－３－⑶ 情報提供ネットワークシステムによる利用特定個人情報の提供○ 番号法で限定的に明記された場合を除き、利用特定個人情報を提供してはならない。

リスクに対する措置の内容
リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

リスク２： 安全が保たれない方法によって入手が行われるリスク
リスクに対する措置の内容
リスクへの対策は十分か[]

リスク３： 入手した特定個人情報が不正確であるリスク
リスクに対する措置の内容
リスクへの対策は十分か[]■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）

リスク４： 入手の際に特定個人情報が漏えい・紛失するリスク（別添１）特定個人情報に関する安全管理措置
リスクに対する措置の内容
２ 講ずべき安全管理措置の内容
＜選択肢＞
]
[
1） 特に力を入れている
2） 十分である
Ｄ リスクへの対策は十分か
人的安全管理措置
3） 課題が残されている
ａリスク５：
事務取扱担当者の監督
不正な提供が行われるリスク○ 総括責任者及び保護責任者は、特定個人情報等が取扱規程等に基づき適正に取リスクに対する措置の内容り扱われるよう、事務取扱担当者に対して必要かつ適切な監督を行う。
＜選択肢＞
ｂリスクへの対策は十分か事務取扱担当者等の教育[]
1） 特に力を入れている
2） 十分である
3） 課題が残されている○ 保護責任者は、部署内の事務取扱担当者等に特定個人情報の保護に関する必要
リスク６：
不適切な方法で提供されるリスクな教育研修を行う。
・ 事務取扱担当者への教育研修
リスクに対する措置の内容
・ 情報システムの管理に関する事務に従事する職員への教育研修
＜選択肢＞
[
]
・ 保護責任者に対する研修
リスクへの対策は十分か
1） 特に力を入れている
2） 十分である
3） 課題が残されている
・ 情報システムの管理に関する事務に従事する職員への教育研修
リスク７： 誤った情報を提供してしまうリスク、誤った相手に提供してしまうリスク
・ 特定個人情報ファイルを取り扱う事務に従事する者への研修リスクに対する措置の内容
・ サイバーセキュリティに関する研修（具体的内容については、マイナンバーガイドラインを参照すること。）
＜選択肢＞
[
]
2） 十分である
1） 特に力を入れている
リスクへの対策は十分か※ 教育研修については、教育研修への参加の機会を付与するとともに、研修未受講
3） 課題が残されている者に対して再受講の機会を付与する等の必要な措置を講ずる。
情報提供ネットワークシステムとの接続に伴うその他のリスク及びそのリスクに対する措置（別添１）特定個人情報に関する安全管理措置
２ 講ずべき安全管理措置の内容
Ｃ 組織的安全管理措置
ｂ 取扱規程等に基づく運用○ 取扱規程等に基づく運用を行うとともに、その状況を確認するため、特定個人情報等の利用状況等を記録し、その記録を一定の期間保存し、定期に及び必要に応じ随時に分析等するための体制を整備する。記録については、改ざん、窃取又は不正な削除の防止のために必要な措置を講ずるとともに、分析等を行う。
ｃ 取扱状況を確認する手段の整備○ 特定個人情報ファイルの取扱状況を確認するため、次に掲げる項目を含めて記録する。なお、取扱状況を確認するための記録等には、特定個人情報等は記載しない。
・特定個人情報ファイルの名称
・行政機関等の名称及び特定個人情報ファイルが利用に供される事務をつかさどる組織の名
称・特定個人情報ファイルの利用目的
・特定個人情報ファイルに記録される項目及び本人として特定個人情報ファイルに記録される
個人の範囲
・特定個人情報ファイルに記録される特定個人情報等の収集方法
ｅ 取扱状況の把握及び安全管理措置の見直し○ 監査責任者は、特定個人情報等の管理の状況について、定期に及び必要に応じ随時に監
査（外部監査及び他部署等による点検を含む。）を行い、その結果を総括責任者に報告する。
○ 総括責任者は、監査の結果等を踏まえ、必要があると認めるときは、取扱規程等の見直し等の措置を講ずる。

Ｆ 技術的安全管理措置
ｄ 漏えい等の防止○ 特定個人情報等をインターネット等により外部に送信する場合、通信経路における漏えい等を防止するための措置を講ずる。
○ 特定個人情報ファイルを機器又は電子媒体等に保存する必要がある場合、原則として、暗号化又はパスワードにより秘匿する。

36

■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）

６．情報提供ネットワークシステムとの接続[] 接続しない（入手）[] 接続しない（提供）第４－３－⑷ 収集・保管制限（抄）○ 番号法で限定的に明記された場合を除き、特定個人情報を収集又は保管してはならない。

リスク１： 目的外の入手が行われるリスク⑴

リスクに対する措置の内容
リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である]＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

リスク２： 安全が保たれない方法によって入手が行われるリスク⑵

リスクに対する措置の内容
リスクへの対策は十分か[

リスク３： 入手した特定個人情報が不正確であるリスク⑶

リスクに対する措置の内容
リスクへの対策は十分か

⑷

[

]

リスク４： 入手の際に特定個人情報が漏えい・紛失するリスク
リスクに対する措置の内容
リスクへの対策は十分か[]（別添１）特定個人情報に関する安全管理措置
２ 講ずべき安全管理措置の内容
Ｆ 技術的安全管理措置
ａ アクセス制御○ 情報システムを使用して個人番号利用事務等を行う場合、事務取扱担当者及び当該事務で取り扱う特定個人情報ファイルの範囲を限定するために、適切なアクセス制御を行う。
ｂ アクセス者の識別と認証○ 特定個人情報等を取り扱う情報システムは、事務取扱担当者が正当なアクセス権を有する者であることを、識別した結果に基づき認証する。

⑴

リスク５： 不正な提供が行われるリスク⑸

第４－３－⑸ 本人確認
○ 番号法、番号法施行令、番号法施行規則及び個人番号利用事務実施者（番号法第９条第３項の規定により情報提供用個人識別符号を利用する者を除く。）が認める方法に従い、適切に本人確認を行う。
※ 具体的な本人確認の方法については、マイナンバーガイドラインを参照。

○

情報提供ネットワークシステムを通じて利⽤特定個⼈情報を⼊⼿する際に、⽬的外の⼊⼿が⾏われないために講じている措置を記載して
ください。

○

情報提供ネットワークシステムを通じて利⽤特定個⼈情報を⼊⼿する際に、利⽤特定個⼈情報の安全が保たれない不適切な⽅法で特定個⼈情報を⼊⼿しないために、どのような対策を⾏っているか記載して
ください。

○

情報提供ネットワークシステムを通じて利⽤特定個⼈情報を⼊⼿した後、その情報の正確性を保つためにどのような措置を講じているか
記載してください。

○

情報提供ネットワークシステムを通じて利⽤特定個⼈情報を⼊⼿する際に、情報漏えいや紛失のリスクを軽減するためにどのような措置を講じているか記載してください。

○

情報提供ネットワークシステムを通じて提供する際に、利⽤特定個
⼈情報の不正な提供が⾏われるリスクを軽減するために講じている措
置を記載してください。

リスクに対する措置の内容
リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

リスク６： 不適切な方法で提供されるリスク⑵

リスクに対する措置の内容
リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

リスク７： 誤った情報を提供してしまうリスク、誤った相手に提供してしまうリスク⑶

リスクに対する措置の内容
リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

情報提供ネットワークシステムとの接続に伴うその他のリスク及びそのリスクに対する措置

2） 十分である⑷⑸

37

６．情報提供ネットワークシステムとの接続[] 接続しない（入手）[] 接続しない（提供）

リスク１： 目的外の入手が行われるリスク[

情報提供ネットワークシステムを通じて提供する際に、利⽤特定個
⼈情報の提供⽅法が不適切とならないよう（特定個⼈情報の安全が保たれない⽅法で利⽤特定個⼈情報を提供・移転しないよう）、どのよ
うな措置を講じているか記載してください。

○

情報提供ネットワークシステムを通じて提供する際に、誤った利⽤
特定個⼈情報を提供したり、誤った相⼿に提供してしまうと、提供先で誤った情報をもとに処理することによる本⼈への不利益や、誤った相⼿による不正な使⽤のリスクが⾼まることになります。そのようなことが起こらないように、どのような措置を講じているか記載してください。

⑴

リスクに対する措置の内容
リスクへの対策は十分か

○

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

リスク２： 安全が保たれない方法によって入手が行われるリスク
リスクに対する措置の内容
リスクへの対策は十分か

[

]

⑵

リスク３： 入手した特定個人情報が不正確であるリスク
リスクに対する措置の内容
リスクへの対策は十分か

[

]

○

リスク４： 入手の際に特定個人情報が漏えい・紛失するリスク⑶

リスクに対する措置の内容
リスクへの対策は十分か

[

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である]＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である]＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である]

リスク５： 不正な提供が行われるリスク

情報提供ネットワークシステムとの接続に伴うリスクについて、上記のリスク１〜７以外に認識しているリスク及びそれらのリスクへの対策を記載してください。
○ リスク１〜７についての「リスクへの対策は⼗分か」の質問において「課題が残されている」を選択した場合は、今後の取組の概要、予定等、補⾜する事項があれば記載してください。

リスクに対する措置の内容
リスクへの対策は十分か⑴

リスク６： 不適切な方法で提供されるリスク
リスクに対する措置の内容
リスクへの対策は十分か

⑵

[

[

リスク７： 誤った情報を提供してしまうリスク、誤った相手に提供してしまうリスク
リスクに対する措置の内容
リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

情報提供ネットワークシステムとの接続に伴うその他のリスク及びそのリスクに対する措置⑶

38

■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）

７．特定個人情報の保管・消去
リスク１： 特定個人情報の漏えい・滅失・毀損リスク

⑴
⑵
⑶
⑷

①NISC政府機関統一基準群②安全管理体制③安全管理規程④安全管理体制・規程の職員への周知⑤物理的対策

[

]

[

]

[

]

[

]

[

]

＜選択肢＞
1） 特に力を入れて遵守している
3） 十分に遵守していない＜選択肢＞
1） 特に力を入れて整備している
3） 十分に整備していない＜選択肢＞
1） 特に力を入れて整備している
3） 十分に整備していない＜選択肢＞
1） 特に力を入れて周知している
3） 十分に周知していない＜選択肢＞
1） 特に力を入れて行っている
3） 十分に行っていない

2） 十分に遵守している
4） 政府機関ではない
2） 十分に整備している
2） 十分に整備している
2） 十分に周知している
2） 十分に行っている

具体的な対策の内容
Ｄ 人的安全管理措置
ｂ 事務取扱担当者等の教育
＜選択肢＞
]
[
○ 保護責任者は、部署内の事務取扱担当者等に特定個人情報の保護に関する⑥技術的対策1） 特に力を入れて行っている
2） 十分に行っている
3） 十分に行っていない
必要な教育研修を行う。
・ 事務取扱担当者への教育研修
・具体的な対策の内容
情報システムの管理に関する事務に従事する職員への教育研修
・ 保護責任者に対する研修＜選択肢＞
・ 情報システムの管理に関する事務に従事する職員への教育研修][⑦バックアップ
1） 特に力を入れて行っている
2） 十分に行っている
・ 特定個人情報ファイルを取り扱う事務に従事する者への研修
3） 十分に行っていない＜選択肢＞⑧事故発生時手順の策定・][・ サイバーセキュリティに関する研修（具体的内容については、マイナンバーガイ
1） 特に力を入れて行っている
2） 十分に行っている
周知
3） 十分に行っていない
ドラインを参照すること。）⑨過去３年以内に、評価実施※ 教育研修については、教育研修への参加の機会を付与するとともに、研修未
＜選択肢＞
[
]
1） 発生あり2） 発生なし
機関において、個人情報に関
受講者に対して再受講の機会を付与する等の必要な措置を講ずる。
する重大事故が発生したか
その内容

○

⑴

再発防止策の内容
評価実施機関が政府機関の場合は、内閣サイバーセキュリティセ
＜選択肢＞]⑩死者の個人番号[ンター（NISC）による政府機関等におけるサイバーセキュリティ対1） 保管している
2） 保管していない策のための統⼀基準群及びそれに基づく各府省庁ポリシーを遵守し具体的な保管方法ているかどうかを選択してください。政府機関でない場合は、「政その他の措置の内容
府機関ではない」を選択してください。

⑵

2） 十分である
1） 特に力を入れている○リスクへの対策は十分か
特定個⼈情報の漏えい・滅失・毀損のリスクを想定した安全管理
3） 課題が残されている体制を整備しているかどうかを選択してください。

[

⑶
⑷

]

第４－２－⑵ 安全管理措置○ 個人番号利用事務等実施者は、個人番号（生存する個人のものだけでなく死者のものも含む。）の漏えい、滅失又は毀損の防止その他の個人番号の適切な管理のために必要な措置を講じなければならない。また、行政機関等は、保有個人情報である特定個人情報の漏えい、滅失又は毀損の防止その他の保有個人情報である特定個人情報の適切な管理のために必要な措置を講じなければならな
い。
○ 個人のプライバシー等の権利利益に影響を与え得る特定個人情報の漏えいその他の事態を発生させるリスクを軽減するための措置として、特定個人情報保護評価書に記載した全ての措置を講ずるものとする。
（別添１）特定個人情報に関する安全管理措置
２ 講ずべき安全管理措置の内容
Ｃ 組織的安全管理措置
ａ 組織体制の整備○ 安全管理措置を講ずるための組織体制を整備する。組織体制の整備として、次に掲げる事項を含める。
・ 総括責任者（機関等に各１名）の設置及び責任の明確化
・ 保護責任者（個人番号利用事務等を実施する課室等に各１名）の設置及び責任の明確化
・ 監査責任者の設置及び責任の明確化
・ 事務取扱担当者及びその役割の明確化
・ 事務取扱担当者が取り扱う特定個人情報等の範囲の明確化
・ 特定個人情報等の取扱いにおける人的ミスの発生を防止するための確認体制の整備
・ 事務取扱担当者が取扱規程等に違反している事実又は兆候を把握した場合の責任者への報告連絡体制の整備
・ 個人番号の漏えい、滅失又は毀損等（以下「漏えい等」という。）事案の発生又は兆候を把握した場合の職員から責任者等への報告連絡体制の整備
・ 特定個人情報等を複数の部署で取り扱う場合の各部署の任務分担及び責任の明確化
ｄ 漏えい等事案に対応する体制等の整備○ 漏えい等の事案の発生又は兆候を把握した場合に、適切かつ迅速に対応するための体制及び手順等を整備する。
○ 漏えい等の事案が発生した場合、二次被害の防止、類似事案の発生防止等の観点から、事案に応じて、事実関係及び再発防止策等を早急に公表することが重要である。

＜選択肢＞

○

評価実施機関の内規や条例等で漏えい・滅失・毀損を想定した情報セキュリティに関わる安全管理規程を整備しているかどうかを選択してください。

○

特定個⼈情報の漏えい・滅失・毀損を想定した安全管理体制・規程を職員へ周知しているかどうかを選択してください。

Ｃ 組織的安全管理措置
ｂ 取扱規程等に基づく運用○ 取扱規程等に基づく運用を行うとともに、その状況を確認するため、特定個人情報等の利用状
況等を記録し、その記録を一定の期間保存し、定期に及び必要に応じ随時に分析等するための体制を整備する。記録については、改ざん、窃取又は不正な削除の防止のために必要な措置を講ずるとともに、分析等を行う。
ｅ 取扱状況の把握及び安全管理措置の見直し○ 監査責任者は、特定個人情報等の管理の状況について、定期に及び必要に応じ随時に監査（外部監査及び他部署等による点検を含む。）を行い、その結果を総括責任者に報告する。
○ 総括責任者は、監査の結果等を踏まえ、必要があると認めるときは、取扱規程等の見直し等の措置を講ずる。

39

７．特定個人情報の保管・消去
リスク１： 特定個人情報の漏えい・滅失・毀損リスク①NISC政府機関統一基準群②安全管理体制③安全管理規程④安全管理体制・規程の職員への周知⑤物理的対策

⑴

[

]

[

]

[

]

[

]

＜選択肢＞
1） 特に力を入れて遵守している
3） 十分に遵守していない＜選択肢＞
1） 特に力を入れて整備している
3） 十分に整備していない＜選択肢＞
1） 特に力を入れて整備している
3） 十分に整備していない＜選択肢＞
1） 特に力を入れて周知している
3） 十分に周知していない＜選択肢＞
1） 特に力を入れて行っている
3） 十分に行っていない

[

]

[

]

＜選択肢＞
1） 特に力を入れて行っている
3） 十分に行っていない

[

]

[

]

＜選択肢＞
1） 特に力を入れて行っている
3） 十分に行っていない＜選択肢＞
1） 特に力を入れて行っている
3） 十分に行っていない

2） 十分に遵守している
4） 政府機関ではない
2） 十分に整備している
2） 十分に整備している
2） 十分に周知している
2） 十分に行っている

具体的な対策の内容⑥技術的対策2） 十分に行っている

具体的な対策の内容⑦バックアップ⑧事故発生時手順の策定・周知⑨過去３年以内に、評価実施機関において、個人情報に関する重大事故が発生したか

○

⑴

[

]

＜選択肢＞
1） 発生あり

2） 十分に行っている
2） 十分に行っている

2） 発生なし

クラウドサービスを利⽤する場合は、物理的対策について、評価実
その内容
施機関が詳細を把握することが困難だと思われますので、クラウドサービス選定時に⽤いている基準等を利⽤して記載することが考えら
再発防止策の内容れます。例えば、「政府情報システムにおけるクラウドサービスの利＜選択肢＞]⑩死者の個人番号[1） 保管している
2） 保管していない
⽤に係る基本⽅針」等に定められた諸条件や「特定個⼈情報の適正な
具体的な保管方法
取扱いに関するガイドライン」等に定められた各種条件を満たしていること等を記載することが考えられます。
その他の措置の内容○ 特定個⼈情報の漏えい・滅失・毀損を防ぐために、どのような物理
＜選択肢＞
]
[
2） 十分である
1） 特に力を入れている
リスクへの対策は十分か的な対策を⾏っているかを記載してください。物理的な対策とは、例
3） 課題が残されている
えば、特定個⼈情報が保有されているサーバの設置場所に監視カメラを設置するなどの⽅法により⼊退出者を管理することや、サーバ設置
場所、端末設置場所、記録媒体・紙媒体の保管場所について施錠管理がなされていること、サーバ室等への電⼦記録媒体等の機器類の不要な持込みを制限していること等です。

■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）（別添１）特定個人情報に関する安全管理措置
２ 講ずべき安全管理措置の内容
Ｅ 物理的安全管理措置
ａ 特定個人情報等を取り扱う区域の管理○ 特定個人情報ファイルを取り扱う情報システム（サーバ等）を管理する区域（以下「管理区域」という。）を明確にし、物理的な安全管理措置を講ずる。管理区域において、入退室管理及び管理区域へ持ち込む機器等の制限等の措置を講ずる。
○ 特定個人情報等を取り扱う事務を実施する区域（以下「取扱区域」という。）について、事務取扱担当者等以外の者が特定個人情報等を容易に閲覧等できないよう留意する必要がある。
○ 基幹的なサーバ等の機器を設置する室等（以下「情報システム室等」という。）を区分して管理する場合は、情報システム室等について、次の①及び②に掲げる措置を講ずる。
① 入退室管理
情報システム室等に入室する権限を有する者を定めるとともに、用件の確認、入退室の記
録、部外者についての識別化、部外者が入室する場合の職員の立会い等の措置を講ずる。
② 情報システム室等の管理
外部からの不正な侵入に備え、施錠装置、警報装置、監視設備の設置等の措置を講ずる。
ｂ 機器及び電子媒体等の盗難等の防止○ 管理区域及び取扱区域における特定個人情報等を取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、物理的な安全管理措置を講ずる。また、電子媒体及び書類等の庁舎内の移動等において、紛失・盗難等に留意する。
ｃ 電子媒体等の取扱いにおける漏えい等の防止○ 許可された電子媒体又は機器等以外のものについて使用の制限等の必要な措置を講ずる。
また、記録機能を有する機器の情報システム端末等への接続の制限等の必要な措置を講ずる。
○ 取扱規程等の手続に基づき、特定個人情報等が記録された電子媒体又は書類等を持ち運ぶ必要が生じた場合には、容易に個人番号が判明しないよう安全な方策を講ずる。
○ 「持ち運ぶ」とは、特定個人情報等を管理区域又は取扱区域から外へ移動させること又は当該区域の外から当該区域へ移動させることをいい、庁舎内での移動等であっても、特定個
人情報等の紛失・盗難等に留意する必要がある。
ｄ 個人番号の削除、機器及び電子媒体等の廃棄○ 特定個人情報等が記録された電子媒体及び書類等について、文書管理に関する規程等によって定められている保存期間を経過した場合には、個人番号をできるだけ速やかに復元不可能な手段で削除又は廃棄する。
○ 個人番号若しくは特定個人情報ファイルを削除した場合、又は電子媒体等を廃棄した場合には、削除又は廃棄した記録を保存する。また、これらの作業を委託する場合には、委託先が確実に削除又は廃棄したことについて、証明書等により確認する。

40

７．特定個人情報の保管・消去
リスク１： 特定個人情報の漏えい・滅失・毀損リスク①NISC政府機関統一基準群②安全管理体制③安全管理規程④安全管理体制・規程の職員への周知⑤物理的対策

[

]

[

]

[

]

[

]

＜選択肢＞
1） 特に力を入れて遵守している
3） 十分に遵守していない＜選択肢＞
1） 特に力を入れて整備している
3） 十分に整備していない＜選択肢＞
1） 特に力を入れて整備している
3） 十分に整備していない＜選択肢＞
1） 特に力を入れて周知している
3） 十分に周知していない＜選択肢＞
1） 特に力を入れて行っている
3） 十分に行っていない

[

]

[

]

＜選択肢＞
1） 特に力を入れて行っている
3） 十分に行っていない

[

]

[

]

＜選択肢＞
1） 特に力を入れて行っている
3） 十分に行っていない＜選択肢＞
1） 特に力を入れて行っている
3） 十分に行っていない

2） 十分に遵守している
4） 政府機関ではない
2） 十分に整備している
2） 十分に整備している
2） 十分に周知している
2） 十分に行っている

具体的な対策の内容⑴⑥技術的対策2） 十分に行っている

具体的な対策の内容⑵⑶⑦バックアップ⑧事故発生時手順の策定・周知⑨過去３年以内に、評価実施機関において、個人情報に関する重大事故が発生したか

[

]

＜選択肢＞
1） 発生あり

2） 十分に行っている
2） 十分に行っている

2） 発生なし■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）（別添１）特定個人情報に関する安全管理措置
２ 講ずべき安全管理措置の内容
Ｆ 技術的安全管理措置
ａ アクセス制御○ 情報システムを使用して個人番号利用事務等を行う場合、事務取扱担当者及び当該事務で取り扱う特定個人情報ファイルの範囲を限定するために、適切なアクセス制御を行う。
ｂ アクセス者の識別と認証○ 特定個人情報等を取り扱う情報システムは、事務取扱担当者が正当なアクセス権を有する者であることを、識別した結果に基づき認証する。
ｃ 不正アクセス等による被害の防止等○ 情報システムを外部等からの不正アクセス又は不正ソフトウェアから保護する仕組み等を導入し、適切に運用する。また、個人番号利用事務の実施に当たり接続する情報提供ネットワーク
システム等の接続規程等が示す安全管理措置を遵守する。
○ 個人番号利用事務において使用する情報システムについて、インターネットから独立する等の高いセキュリティ対策を踏まえたシステム構築や運用体制整備を行う。
ｄ 漏えい等の防止○ 特定個人情報等をインターネット等により外部に送信する場合、通信経路における漏えい等を防止するための措置を講ずる。
○ 特定個人情報ファイルを機器又は電子媒体等に保存する必要がある場合、原則として、暗号化又はパスワードにより秘匿する。

○

その内容
再発防止策の内容

Ｃ 組織的安全管理措置＜選択肢＞]⑩死者の個人番号[1） 保管している
2） 保管していない
ｄ 漏えい等事案に対応する体制等の整備
具体的な保管方法○ 漏えい等の事案の発生又は兆候を把握した場合に、適切かつ迅速に対応するための体制及び手順等を整備する。
○その他の措置の内容
漏えい等の事案が発生した場合、二次被害の防止、類似事案の発生防止等の観点＜選択肢＞から、事案に応じて、事実関係及び再発防止策等を早急に公表することが重要である。
][
2） 十分である
1） 特に力を入れている
リスクへの対策は十分か
3） 課題が残されている⑴

特定個⼈情報の漏えい・滅失・毀損を防ぐために、どのような技術的な対策を⾏っているかを記載してください。技術的な対策とは、例
えば、ウィルス対策ソフトを導⼊することや、暗号化された通信経路を使⽤すること、不正アクセス対策を実施すること等です。
○ クラウドサービスを利⽤する場合は、クラウド環境へ接続する際の通信・アクセス制御等の記載に留意が必要です。

⑵○

特定個⼈情報ファイルの滅失・毀損が発⽣した場合に復旧できるよう、バックアップを保管しているかどうかを選択してください。

⑶○

特定個⼈情報に関する事故発⽣時の対応⼿順を策定して職員に周知しているかどうかを選択してください。

41

７．特定個人情報の保管・消去○■ マイナンバーガイドラインの主な参照箇所及び概要 ■リスク１： 特定個人情報の漏えい・滅失・毀損リスク（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体[] ＜選択肢＞を参照してください。）①NISC政府機関統一基準群
1） 特に力を入れて遵守している 2） 十分に遵守している[]

3） 十分に遵守していない＜選択肢＞

4） 政府機関ではない

1） 特に力を入れて整備している 2） 十分に整備している②安全管理体制（別添２）特定個人情報の漏えい等に関する報告等（行政機関等編）
3） 十分に整備していない
２ 漏えい等事案が発覚した場合に講ずべき措置
＜選択肢＞
[
]
1） 特に力を入れて整備している 2） 十分に整備している③安全管理規程○ 特定個人情報を取り扱う行政機関等は、漏えい等又はそのおそれのある事案
3） 十分に整備していない④安全管理体制・規程の職
その他の番号法違反の事案又は番号法違反のおそれのある事案（以下「漏えい[] ＜選択肢＞
1） 特に力を入れて周知している 2） 十分に周知している員への周知
3） 十分に周知していない等事案」という。）が発覚した場合は、漏えい等事案の内容等に応じて、次に掲げ
＜選択肢＞
]
[
る事項について必要な措置を講じなければならない。
⑤物理的対策1） 特に力を入れて行っている
2） 十分に行っている
3） 十分に行っていない
・ 組織内における報告及び被害の拡大防止
・ 事実関係の調査及び原因の究明
具体的な対策の内容
・ 影響範囲の特定・ 再発防止策の検討及び実施＜選択肢＞
・ ⑥技術的対策
委員会への報告及び本人への通知][
1） 特に力を入れて行っている
2） 十分に行っている⑴⑵

3） 十分に行っていない⑶

具体的な対策の内容⑦バックアップ⑧事故発生時手順の策定・
周知

⑴
⑵
⑶
⑷

⑨過去３年以内に、評価実施機関において、個人情報に関する重大事故が発生したか

[

]

[

]

[

]

＜選択肢＞
1） 特に力を入れて行っている
3） 十分に行っていない＜選択肢＞
1） 特に力を入れて行っている
3） 十分に行っていない

2） 十分に行っている
2） 十分に行っている＜選択肢＞
1） 発生あり2） 発生なし＜選択肢＞
1） 保管している

2） 保管していない⑷

過去３年以内に、評価実施機関において（評価対象の事務に限らないことに御注意ください。）、個⼈情報（特定個⼈情報に限らないことに御注意ください。）に関する重⼤事故が発⽣したかどうかを選択してください。３年以上前に発⽣した重⼤事故であっても、過去３年以内に評価実施機関がその発⽣を知った場合は、発⽣したことになります。
○ ここでいう「個⼈情報に関する重⼤事故」については、指針第２の６及び７を参照してください。
【この項⽬の変更は、重要な変更には該当しません。】○

過去３年以内に発⽣した全ての重⼤事故の内容、原因、影響（影響を受けた⼈数等）、重⼤事故発⽣時の対応などを記載してください。
【この項⽬の変更は、重要な変更には該当しません。】○

重⼤事故を受けて策定・実施した再発防⽌策の内容について具体的に記載してください。【この項⽬の変更は、重要な変更には該当しま
せん。】○

番号法では死者の個⼈番号についても⽣存者のそれと同様、安全管
理措置義務が課されています。死者の個⼈番号を保管しているか否かを選択してください。保管している場合は⽣存者の個⼈番号と同様の保管⽅法か否か、⽣存者の個⼈番号と異なる⽅法の場合は保管⽅法を具体的に記載してください。

その内容
再発防止策の内容⑩死者の個人番号

[

]

[

]

具体的な保管方法
その他の措置の内容
リスクへの対策は十分か＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

42

リスク２： 特定個人情報が古い情報のまま保管され続けるリスク⑴⑴

リスクに対する措置の内容

リスクへの対策は十分か

[

]

＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

[

]

[

]

＜選択肢＞
1） 定めている

2） 定めていない

手順の内容

⑵

その他の措置の内容
リスクへの対策は十分か＜選択肢＞
1） 特に力を入れている
3） 課題が残されている

2） 十分である

特定個人情報の保管・消去におけるその他のリスク及びそのリスクに対する措置⑶⑵■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）
第４－３－⑷ 収集・保管制限（抄）○ 番号法で限定的に明記された事務を処理する必要がなくなった場合で、文書管理に関する規程等によって定められている保存期間を経過した場合には、個人番号をできるだけ速やかに廃棄又は削除しなければならない。
（別添１）特定個人情報に関する安全管理措置
Ｅ 物理的安全管理措置
ｄ 個人番号の削除、機器及び電子媒体等の廃棄○ 特定個人情報等が記録された電子媒体及び書類等について、文書管理に関する規程等によって定められている保存期間を経過した場合には、個人番号をできるだけ速やかに復元不可能な手段で削除又は廃棄する。
○ 個人番号若しくは特定個人情報ファイルを削除した場合、又は電子媒体等を廃棄した
場合には、削除又は廃棄した記録を保存する。また、これらの作業を委託する場合には、委託先が確実に削除又は廃棄したことについて、証明書等により確認する。

特定個⼈情報が古い情報のまま保管され続けると、本⼈に不利益を与えるなどのリスクがあります。特定個⼈情報を最新の状態で保管するためにどのようなことを⾏っているか記載してください。

○

リスク３： 特定個人情報が消去されずいつまでも存在するリスク
消去手順○

保管期間を経過した特定個⼈情報を消去する⼿順が定められているかどうかを選択してください。
○ 定められている場合は、特定個⼈情報を適切な時に安全かつ確実に消去できる⼿続・体制・⼿法になっているか、誤って消去すべきでない情報まで消去しないか、消去しなければならない情報の全部⼜は⼀部が消去されないままとなることはないかについて記載してください。
○ 特定個⼈情報の消去を適切に⾏うために、実施することを記載してください。例えば、特定個⼈情報が記録された機器及び電⼦記録媒体等の消去・廃棄の⽅法や消去・廃棄の記録をとること等について、記載することが考えられます。また、これらの消去・廃棄を委託する場
合には、委託先が消去・廃棄をしたことを確認する⽅法等について、記載することが考えられます。
○ クラウドサービスを利⽤する場合は、特定個⼈情報の適切な消去について、評価実施機関が詳細を把握することが困難だと思われますので、第三者の監査機関による監査報告書等のレポートを利⽤し、廃棄・消去に係るプロセスを確認し、その内容を把握すること等を記載することが考えられます。
○ 既存システムからクラウドサービスへ移⾏する際は、既存のシステ
ム環境に保管されていた特定個⼈情報の消去や機器の廃棄、クラウドサービス事業者における特定個⼈情報の消去等についての記載に留意が必要です。
○⑶

特定個⼈情報の保管・消去において、上記のリスク１〜３以外に認識しているリスク及びそれらのリスクへの対策を記載してください。
○ リスク１〜３についての「リスクへの対策は⼗分か」の質問において「課題が残されている」を選択した場合は、今後の取組の概要、予定等、補⾜する事項があれば記載してください。

43

Ⅳ その他のリスク対策 ※
１．監査
①自己点検

[

]

＜選択肢＞
1) 特に力を入れて行っている 2) 十分に行っている
3) 十分に行っていない⑴○

評価書に記載したとおりに運⽤がなされていることその他特定個⼈
情報ファイルの取扱いの適正性について、評価の実施を担当する部署
⾃らが、どのように⾃⼰点検するか記載してください。

○⑴

具体的なチェック方法

②監査

[

]

＜選択肢＞
1) 特に力を入れて行っている 2) 十分に行っている
3) 十分に行っていない⑵
具体的な内容２．従業者に対する教育・啓発
従業者に対する教育・啓発

具体的な方法

３．その他のリスク対策

[

]

＜選択肢＞
1) 特に力を入れて行っている 2) 十分に行っている
3) 十分に行っていない⑵

評価書に記載したとおりに運⽤がなされていることその他特定個⼈
情報ファイルの取扱いの適正性について、どのように監査するか記載
してください。
・ 監査を⾏うか否か
・ 評価実施機関内の内部監査／外部の第三者による監査の別・ 監査事項・ 監査の頻度、⽅法
・ 監査責任者、監査実施体制
・ 監査の結果をどのように活⽤するか○ 評価対象の事務において使⽤するシステムに関する監査を併せて実施している場合は、当該監査についても記載してください。

■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）
第４－２－⑵ 安全管理措置（抄）○ 個人のプライバシー等の権利利益に影響を与え得る特定個人情報の漏えいその他の事態を発生させるリスクを軽減するための措置として、特定個人情報保護評価書に記載した全ての措置を講ずるものとする。
（別添１）特定個人情報に関する安全管理措置
２ 講ずべき安全管理措置の内容
Ｃ 組織的安全管理措置
ｅ 取扱状況の把握及び安全管理措置の見直し○ 監査責任者は、特定個人情報等の管理の状況について、定期に及び必要に応じ随時に監査（外部監査及び他部署等による点検を含む。）を行い、その結果を総括責任者に報告する。
○ 総括責任者は、監査の結果等を踏まえ、必要があると認めるときは、取扱規程等の見直し等の措置を講ずる。

44

■ マイナンバーガイドラインの主な参照箇所及び概要 ■（※主に入門編の内容を記載しているため、詳しくはマイナンバーガイドライン本体を参照してください。）

Ⅳ その他のリスク対策 ※（別添１）特定個人情報に関する安全管理措置
１．監査
２ 講ずべき安全管理措置の内容＜選択肢＞
Ｄ 人的安全管理措置][
1) 特に力を入れて行っている 2) 十分に行っている①自己点検
3) 十分に行っていない
ｂ 事務取扱担当者等の教育○ 保護責任者は、部署内の事務取扱担当者等に特定個人情報の保護に関する必要な教育研修を行う。
・ 事務取扱担当者への教育研修
具体的なチェック方法・ 情報システムの管理に関する事務に従事する職員への教育研修
・ 保護責任者に対する研修・ 情報システムの管理に関する事務に従事する職員への教育研修
・ 特定個人情報ファイルを取り扱う事務に従事する者への研修
＜選択肢＞
[
]
・ サイバーセキュリティに関する研修（具体的内容については、マイナンバーガイドラインを参②監査1) 特に力を入れて行っている 2) 十分に行っている
3) 十分に行っていない
照すること。）※ 教育研修については、教育研修への参加の機会を付与するとともに、研修未受講者に対して再受講の機会を付与する等の必要な措置を講ずる。
ｃ 法令・内部規程違反等に対する厳正な対処
具体的な内容○ 法令又は内部規程等に違反した職員に対し、法令又は内部規程等に基づき厳正に対処する。

２．従業者に対する教育・啓発
従業者に対する教育・啓発

⑴

[

]

＜選択肢＞
1) 特に力を入れて行っている 2) 十分に行っている
3) 十分に行っていない○⑴

特定個⼈情報を取り扱う従業者等に対して、特定個⼈情報の安全管理が図られるようどのような教育・啓発を⾏うか、違反⾏為を⾏った
従業者等に対して、どのような措置を講ずるかについて記載してください。例えば、研修の内容・⽅法・頻度、未受講者への対応⽅法等を記載することが考えられます。

○⑵

上記の他、リスク対策として取り組んでいることがあれば記載してください。
○ また、Ⅲ１．から７．まででは特定個⼈情報ファイルの取扱いプロ
セスにおいて想定されるリスクを列記していましたが、これら以外のリスクを特定し、それらのリスクへの対策を実施している場合も、ここに記載してください。
○ 組織的及び⼈的安全管理措置等の観点から、評価実施機関の組織体制や評価対象事務の特性を考慮し、取り組んでいることがあれば記載
してください。
○ 例えば、次のような内容を記載することが考えられます。
・ 特定個⼈情報の適切な取扱いについて、継続的な改善を実施するための仕組み・ 評価対象の事務における事務責任者等の関与の仕組み
・ 特定個⼈情報保護評価を適切に実施するために整備している体制
・ 特定個⼈情報の漏えい事案等が発⽣した場合の対応

具体的な方法

３．その他のリスク対策

⑵

45

○

特定個⼈情報に関する開⽰・訂正・利⽤停⽌請求を受理する部署の名称、住所、電話番号等を記載してください。【☆⾏政機関にとっては組織の名称及び所在地は事前通知事項です（個⼈情報保護法第74条
第１項第９号）。】○

特定個⼈情報で請求⽅法が異なる場合は、分かりやすく分けて記載
してください。

○

開⽰・訂正・利⽤停⽌請求について、本⼈が利⽤しやすいような措
置を講じており、特記して⼀般に向けて積極的に情報提供したいものがある場合は、記載してください（請求⽅法の容易化、⼿数料の減免など）。

○

開⽰・訂正・利⽤停⽌請求を⾏うための⼿数料の⾦額及びその納付⽅法について記載してください。

○

特定個⼈情報ファイルに含まれる特定個⼈情報について、個⼈情報保護法第75条等に基づき、個⼈情報ファイル簿等で公表を⾏っているかどうか記載する項⽬です。公表を⾏っている場合は、公表している
個⼈情報ファイル名と公表場所（ホームページのリンク先等）を記載
してください。評価書での特定個⼈情報ファイル名と個⼈情報ファイ
ル簿での個⼈情報ファイル名は異なっていても構いません。

○

⾏政機関、独⽴⾏政法⼈等及び地⽅公共団体等については、訂正・利⽤停⽌請求について、番号法、個⼈情報保護法以外の法令により、特別の⼿続がある場合はその旨を個⼈情報ファイル簿に記載するものとされています（個⼈情報保護法第75条第１項、同法第74条第１項第10号）。このような場合は、⾏政機関は、法令名及び条項とともに、当該特別の⼿続の概要を記載してください。【☆⾏政機関にとっては
法令名及び条項は事前通知事項です（個⼈情報保護法第74条第１項第10号・第11号・施⾏令第20条第２号）。】○

⾏政機関については、個⼈情報保護法第74条第１項第８号に該当する事項（すなわち個⼈情報保護法第75条第３項の規定に基づき記録項
⽬の⼀部若しくは第74条第１項第５号若しくは第７号に掲げる事項を
個⼈情報ファイル簿に記載しないこととするとき、⼜は個⼈情報ファ
イルを個⼈情報ファイル簿に掲載しないこととするとき）があれば、記載してください。【☆⾏政機関にとっては事前通知事項です（個⼈
情報保護法第74条第１項第８号）。】○

特定個⼈情報ファイルの取扱いに関して問合せをする際の連絡先の部署の名称、住所、電話番号等を記載してください。

⑴
Ⅴ 開示請求、問合せ

⑴
⑵
⑶
⑷
⑸

１．特定個人情報の開示・訂正・利用停止請求

⑵

①請求先

②請求方法

⑶

特記事項
[

]

③手数料等

＜選択肢＞
1) 有料

2) 無料
）

（手数料額、納付方法：④個人情報ファイル簿の公
表

[

]

＜選択肢＞
1) 行っている

2) 行っていない⑷

個人情報ファイル名
公表場所

⑹
⑺

⑤法令による特別の手続⑸⑥個人情報ファイル簿への不記載等

２．特定個人情報ファイルの取扱いに関する問合せ

⑻

①連絡先

②対応方法

⑹

⑺

⑻

46

⑴
⑵

Ⅵ 評価実施手続○⑴

この全項⽬評価書の評価対象の事務について、基礎項⽬評価を実施
した⽇を記載してください。
○ 基礎項⽬評価の実施⽇とは、基礎項⽬評価を実施・再実施（評価書の修正は含みません。）し、基礎項⽬評価書の委員会への提出のために評価実施機関内の決裁を了した⽇です。

⑵○

１．基礎項目評価①実施日[②しきい値判断結果]＜選択肢＞
1) 基礎項目評価及び全項目評価の実施が義務付けられる
2) 基礎項目評価及び重点項目評価の実施が義務付けられる（任意に全項目評価を実施）
3) 基礎項目評価の実施が義務付けられる（任意に全項目評価を実施）
4) 特定個人情報保護評価の実施が義務付けられない（任意に全項目評価を実施）

基礎項⽬評価書に含まれるしきい値判断の結果を選択してください。

２．国民・住民等からの意見の聴取

⑶
⑷
⑸

①方法

⑶

②実施日・期間③期間を短縮する特段の理由⑷○

全項⽬評価書案を作成した評価実施機関は、これを公⽰し、広く国⺠・住⺠等の意⾒を求めなければなりません。
○ 採⽤した意⾒聴取の⽅法を記載してください。
○

意⾒聴取を実施した⽇及び期間について記載してください。意⾒聴取の期間は原則として30⽇以上ですが、特段の理由がある場合には短縮することができます。

○

意⾒聴取の期間を30⽇より短縮する特段の理由を具体的に記載してください。地⽅公共団体等が条例等の規定に基づく意⾒聴取の⽅法を採⽤し、30⽇より短い期間とする場合は、根拠となる条例の名称及び条項を記載してください。

○

評価実施機関は、国⺠・住⺠等からの意⾒聴取により得られた意⾒を⼗分考慮して評価書に必要な⾒直しを⾏わなければなりません。得
られた主な意⾒の概要とともに、それらの意⾒を踏まえて評価書のどの箇所をどのように修正したかを具体的に記載してください。

④主な意見の内容⑹⑤評価書への反映⑸

３．第三者点検
①実施日
②方法

③結果

⑹

４．個人情報保護委員会の承認 【行政機関等のみ】①提出日②個人情報保護委員会による審査

47

Ⅵ 評価実施手続○

１．基礎項目評価①実施日[②しきい値判断結果

]

⑴

＜選択肢＞
1) 基礎項目評価及び全項目評価の実施が義務付けられる
2) 基礎項目評価及び重点項目評価の実施が義務付けられる（任意に全項目評価を実施）
3) 基礎項目評価の実施が義務付けられる（任意に全項目評価を実施）
4) 特定個人情報保護評価の実施が義務付けられない（任意に全項目評価を実施）

２．国民・住民等からの意見の聴取①方法⑵

地⽅公共団体・地⽅独⽴⾏政法⼈は、公⽰し、住⺠等の意⾒を求め、必要な⾒直しを⾏った全項⽬評価書について、第三者点検を受けなけ
ればなりません。第三者点検を実施した⽇を記載してください。複数回に分けて実施した場合は実施した期間等の形で記載することができます。
○ 地⽅公共団体・地⽅独⽴⾏政法⼈以外の評価実施機関も、任意で第三者点検を受けた場合は、記載することができます。
○

第三者点検の⽅法は、原則として、地⽅公共団体の個⼈情報保護審
議会⼜は個⼈情報保護審査会による点検となっていますが、その他の⽅法によることもできます。採⽤した⽅法について記載してください。

○

第三者点検により指摘された事項、それらを踏まえた評価書の修正等の対応について記載してください。

②実施日・期間③期間を短縮する特段の理由⑶○④主な意見の内容⑤評価書への反映

⑴
⑵
⑶
⑷
⑸

⑷

４．は、しきい値判断の結果、基礎項⽬評価とともに全項⽬評価の実施が義務付けられ、全項⽬評価書について委員会による審査・承認を受けることが必要な⾏政機関等のみ記載することになります。
○ 評価書について評価実施機関内の決裁を了し、審査・承認を受けるために委員会へ提出する⽇を記載してください。

３．第三者点検

○

①実施日
②方法

③結果

⑸

承認に向けた審査のプロセス等の対応について記載してください。
記載すべき内容は委員会から通知されます。
○ 委員会による審査・承認のために評価書を提出する時点では空欄のままで提出し、委員会の承認を受けた後、公表する前に記載してくだ
さい。

４．個人情報保護委員会の承認 【行政機関等のみ】①提出日②個人情報保護委員会による審査48

（別添３）変更箇所
変更日

項目

変更前の記載変更後の記載提出時期

提出時期に係る説明

⑴

⑵

⑶

⑷

⑸

⑹

○

このページは、評価の再実施⼜は評価書の修正に伴い、評価書の記載を変更し、提出・公表する際に記載してください（特定個⼈情報ファイルの新規保有時に提出・公表する評価書では記載しません。）。
○ 変更箇所が多数あり、全て記載をすると変更内容が分かりにくくなる場合等は、どのような変更か分かる範囲でまとめて記載することも考えられます。
○ 評価の再実施⼜は評価書の修正の際の変更箇所は、履歴として今までのものを全て記載することが望ましいですが、変更箇所が多数あり、全て記載をすると変更内容等が分かりにくくなる場合等
は、例えば、下記の対応も考えられます。
① 今までの評価書の変更箇所は評価実施機関で管理し、直近の変更箇所のみを記載する。
② 変更箇所を⾏数を超えて⼊⼒する必要がある場合は、「別添●●を参照。」などと記載の上、変更箇所の履歴がわかる資料を作成
し、評価書の添付資料として併せて提出・公表する。

⑴○○

原則として、記載を変更した評価書の公表⽇を記載してください。
委員会への提出・公表が、変更前である場合は、変更の予定年⽉⽇を記載してください。【☆⾏政機関にとって、事前通知事項に関する変更の予定年⽉⽇は事前通知事項です（個⼈情報保護法第74条第１項
第11号・施⾏令第20条第１項第２号）。】⑵○

記載を変更した⼜は変更する予定の項⽬の名称を記載してください。

⑶○

変更前の記載内容を記載してください。

⑷○

変更後の記載内容を記載してください。

⑸○

委員会に提出・公表する時期が、変更前である場合は「事前」と、変更後である場合は「事後」と記載してください。

○⑹

提出時期が事前の場合は、①重要な変更、②事前通知事項（⾏政機関のみ）⼜は③事後で⾜りるものの任意に事前に提出のうち、いずれの理由により事前に提出・公表するかを記載してください。
○ 事後の場合は、①重要な変更に当たらない旨とその理由（誤字脱字の修正、リスクを明らかに軽減させる変更である等）、②事前通知事
項に当たらない旨（⾏政機関のみ）⼜は③その他の項⽬の変更であり
事前の提出・公表が義務付けられない旨のいずれかを記載してください。

49