Silviase/jgov_v1.4_full_ann huggingface dataset:
用語	定義
全項目評価書(指針第2の4)	番号法第27条第1項各号に掲げる事項を評価した結果を記載した書面(行政機関等においては番号法第27条第4項及び規則第8条の規定、地方公共団体等においては規則第7条第6項の規定に基づく公表の対象となるもの)
情報連携(指針第2の5)	情報提供ネットワークシステムを使用する特定個人情報の提供の求め又は提供
重大事故(指針第2の6)	評価実施機関が法令に基づく安全管理措置義務を負う個人情報を漏えい、滅失又は毀損した場合であって、故意による又は当該個人情報の本人(個人情報によって識別される特定の個人であって、当該評価実施機関の従業者を除く。)の数が101人以上のもの(ただし、配送事故等のうち当該評価実施機関の責めに帰さない事由によるものを除く。)
個人情報(番号法第2条第3項)	行政機関個人情報保護法第2条第2項に規定する個人情報であって行政機関が保有するもの、独立行政法人等個人情報保護法第2条第2項に規定する個人情報であって独立行政法人等が保有するもの又は個人情報保護法第2条第1項に規定する個人情報であって行政機関及び独立行政法人等以外の者が保有するもの
特定個人情報(番号法第2条第8項)	個人番号(個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号であって、住民票コード以外のものを含む。)をその内容に含む個人情報
特定個人情報の入手(指針第2の7)	特定個人情報ファイルに記録されることとなる特定個人情報を、特定個人情報保護評価の対象となる事務において用いるために取得すること
特定個人情報の使用(指針第2の8)	特定個人情報ファイルに記録された特定個人情報を特定個人情報保護評価の対象となる事務において用いること
特定個人情報の移転(指針第2の9)	評価実施機関内において、特定個人情報ファイルに記録された特定個人情報を特定個人情報保護評価の対象となる事務以外の事務を処理する者の使用に供すること
特定個人情報の提供	特定個人情報を評価実施機関以外の者に供与すること
用語	定義
個人情報ファイル(番号法第2条第4項)	行政機関個人情報保護法第2条第4項に規定する個人情報ファイルであって行政機関が保有するもの、独立行政法人等個人情報保護法第2条第4項に規定する個人情報ファイルであって独立行政法人等が保有するもの又は個人情報保護法第2条第2項に規定する個人情報データベース等であって行政機関及び独立行政法人等以外の者が保有するもの
特定個人情報ファイル(番号法第2条第9項)	個人番号をその内容に含む個人情報ファイル
システム用ファイル(指針第2の10)	電子計算機で取り扱われる特定個人情報ファイルであって、要件定義、基本設計、詳細設計、開発及びテスト段階を経て運用に供される電子情報処理組織で保有される特定個人情報ファイル
その他の電子ファイル(指針第2の11)	電子計算機で取り扱われる特定個人情報ファイルであって、システム用ファイル以外のもの

Q第2の2−1

「行政機関の長等」「行政機関等」「地方公共団体等」の違いは何ですか。

(A)

○ 「行政機関の長等」は番号法第2条第14項の規定に基づくものであり、特定個人情報保護評価の全ての義務付け対象者を指します。

○ 「行政機関等」は、指針に定義が置かれており、「行政機関の長等」のうち「地方公共団体等」（地方公共団体の機関及び地方独立行政法人）を除いたものをいいます。

○ 「地方公共団体等」は規則に定義規定が置かれており、「行政機関の長等」のうち地方公共団体の機関及び地方独立行政法人のみをいいます。

Q第2の6－1

重大事故の定義中に「個人情報」とありますが、「特定個人情報」ではないのでしょうか。

(A)

○ 特定個人情報保護評価において、「重大事故」が登場するのは、次の3点です。
① しきい値判断項目「評価実施機関における特定個人情報に関する重大事故の発生の有無」

② 重点項目評価書 様式 Ⅲ 5 「②個人情報に関する重大事故の発生」

③ 全項目評価書 様式 Ⅲ5リスク1「⑨個人情報に関する重大事故の発生」

① しきい値判断項目については、重大事故の対象を（個人番号を含まない個人情報ではなく）特定個人情報に限定しています。

これは、特定個人情報保護評価は、特定個人情報の適正な取扱いを確保することを目的とするものであり、しきい値判断項目としては、特定個人情報に関する重大事故の発生の有無が適当であるとしたものです。また、対象を個人情報とした場合、特定個人情報保護評価の導入当初に実施するしきい値判断において、制度が導入される以前に発生した事故の影響を受けることとなりますが、これについては各機関において当該事故について対する対応がすでに既に図られていることが想定され、改めて当該事故を判断項目とすることは適当でないと判断したものです。なお、指針では、しきい値判断項目に関しては「特定個人情報に関する」重大事故と明記しています。

☐ ②重点項目評価書及び③全項目評価書の記載事項としての重大事故については対象を個人情報としています。

これは、番号法第27条第1項第3号において、「過去の個人情報ファイルの取扱いの状況」を評価書の記載事項としていることを反映したものです。なお、重大事故の発生自体が、②重点項目評価又は③全項目評価の再実施が必要となる重要な変更に直ちに該当するものではありませんが、重大事故の発生に伴い特定個人情報ファイルを取り扱う際のリスク対策を見直す場合は、重要な変更に該当し、②重点項目評価又は③全項目評価の再実施が必要となります。また、特定個人情報に関する重大事故の発生によりしきい値判断の結果が変わり、新たに②重点項目評価又は③全項目評価を実施するものと判断される場合は、②重点項目評価又は③全項目評価の実施が必要となります。
## Q第2の6−2

重大事故の定義中に「評価実施機関の従業者」とありますが、「従業者」とは具体的にどのような者を指すのでしょうか。正規職員だけでなく、非正規職員やアルバイトも含むのでしょうか。

(A)

☐ 従業者には、契約形態のいかんにかかわらず、役員、使用人その他の者で、特定個人情報保護評価の対象となる事務に現に従事する者の全てが含まれます。したがって、行政庁においては、正規職員のみならず非正規職員、アルバイト等も含まれ、民間事業者においては、雇用関係にある従業員（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、取締役、執行役、理事、監査役、監事、派遣社員等も含まれます。正規職員だけでなく、非正規職員やアルバイトも含みます。

## Q第2の6−3

重大事故の定義中に「配送事故等のうち当該評価実施機関の責めに帰さない事由によるものを除く」とありますが、具体的にどのようなものでしょうか。

(A)

○ 特定個人情報に関する重大事故を発生させると、当該重大事故が発生した事務のみならず評価実施機関の他の事務のしきい値判断にも影響を与え、しきい値判断の結果が変わって新たに重点項目評価又は全項目評価の実施が義務付けられる場合には、評価を再実施することとなります。これは、重大事故を発生させた評価実施機関は、当該事務のみならず、全体として特定個人情報の取扱いについて見直す必要があると考えられるためです。

☐ しかし、配送事故等には専ら配送業者の責任による事故など、評価実施機関の責めに帰さない事由によるものも想定され、これについては、評価実施機関において再発防止策を策定することは困難であると考えられます。そのため、評価実施機関の責めに帰さない事由による重大事故については、重大事故の定義から除外することとしています。

○ ただし、配送業者による事故の場合であっても、（特定）個人情報や事務の性質等を踏まえ、より慎重な配送方法を選択することが求められるにもかかわらず、簡易な配送方法を選択したことにより事故が発生した場合など、評価実施機関が（特定）個人情報の取扱いに関してより慎重な措置を講じていれば事故の未然防止が図られたと考えられるものは重大事故に当たると考えられます。
評価実施機関の責めに帰さない事故のその他の例としては、通常想定し難い規模の自然災害（大地震等）による（特定）個人情報の滅失、毀損等が考えられます。また、盗難等については、評価実施機関の責めに帰す場合が多く、重大事故に該当する場合が多いと考えられます。ただ、厳重に入退室管理がなされている施設において、施錠管理されている場所に（特定）個人情報が保管されている場合であって、強盗等により身体に危害を加えられるような状況で盗難にあってしまった場合等は評価実施機関の責めに帰さない事故と考えられます。

## Q第2の6－4

（特定）個人情報を取り扱う事務を委託している場合、重大事故には委託先での事故は含まれるのでしょうか。

## (A)

## ○ 委託先での事故も含まれます。

行政機関個人情報保護法第6条第1項及び独立行政法人等個人情報保護法第7条第1項に基づき、行政機関及び独立行政法人等は、保有個人情報について安全管理措置義務を負っていることから、個人情報を取り扱う事務を委託する場合においても、当然ながら、受託者に対し必要かつ適切な監督を行う義務を負うこととなります。また、個人情報保護法に規定された個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合、個人情報保護法第22条に基づき、その委託した個人データの安全管理が図られるよう、受託者に対し必要かつ適切な監督を行う義務を負っています。

さらに、番号法では第11条において、特定個人情報に関する委託先の監督義務が規定されており、これらに基づき、重大事故には、委託先における（特定）個人情報の事故も含むこととなります。

## Q第2の6−5

（特定）個人情報を取り扱う事務を委託している場合、「委託先の重大事故」には、委託業務以外の事故も含まれるのでしょうか。

(A)

○ 評価実施機関が安全管理措置義務を負うものに限定されるため、評価実施機関が委託した事務やその情報と無関係に発生した委託先の事故については、原則として、重大事故に含まれません。
## Q第2の11−1

「システム用ファイル」と「その他の電子ファイル」との違いは何でしょうか。

(A)

○ 指針では、特定個人情報保護評価の実施時期を明確にするため、システム用ファイルとその他の電子ファイルとで定義を別にし、それぞれについて実施時期を定めることとしています。具体的には、システムにおいて取り扱われる特定個人情報ファイルについては、システムの開発前までに実施することが求められるのに対し、システムにおいて取り扱われない特定個人情報ファイルについては、システムの開発が行われないことから、システムの開発前ではなく、それに相当する事務処理の検討段階で特定個人情報保護評価を実施するものとされています。

つまり、システム用ファイルとその他の電子ファイルの違いは、要件定義、基本設計、詳細設計、開発及びテスト段階を経て運用に供されるシステムにおいて取り扱われる特定個人情報ファイルか否かという点にあります。

その他の電子ファイルとは、表計算ソフトウェア、データベースソフトウェアその他の事務処理に用いられる一般的なソフトウェアを用いて作成され、パソコン等で取り扱われる特定個人情報ファイルであって、システム用ファイル以外のものをいいます。例えば、事務を処理するに当たり、システムを用いることなく、パソコンにおいて一般的な表計算ソフトウェアなどで対象者管理を行っている場合における特定個人情報ファイルなどをいいます。
## 第3 特定個人情報保護評価の実施主体

1 特定個人情報保護評価の実施が義務付けられる者

次に掲げる者のうち、特定個人情報ファイルを保有しようとする者又は保有する者は、この指針に基づき、特定個人情報保護評価の実施が義務付けられる。

（１）行政機関の長

（２）地方公共団体の長その他の機関

（3）独立行政法人等

（4）地方独立行政法人

（５）地方公共団体情報システム機構

（6）情報連携を行う事業者（番号法第19条第7号に規定する情報照会者及び情報提供者のうち、上記（1）から（5）までに掲げる者以外のものをいう。下記第4の4（1）力において同じ。）

## (解說)

行政機関の長、地方公共団体の長その他の機関、独立行政法人等及び地方独立行政法人については、その公的性格から、特定個人情報ファイルをどのように取り扱い、個人のプライバシー等の権利利益保護にどのように取り組んでいるかについて、自ら公表し、国民の信頼を確保することが求められます。

そのため、情報提供ネットワークシステムを使用するか否かに関わらず、その公的性格に鑑み、特定個人情報保護評価の実施を義務付けるものです。

地方公共団体情報システム機構については、市町村長によって指定される個人番号を生成するという、その番号制度における職務の重大性から、事後的対応ではない積極的な事前対応が求められ、また国民の信頼を確保することが求められます。

そのため、情報提供ネットワークシステムを使用するか否かに関わらず、その職責に鑑み、特定個人情報保護評価の実施を義務付けるものです。

上記以外の者、すなわち事業者は、主に、源泉徴収義務等のために個人番号を取り扱うことが予定され、事業目的で個人番号を利用するものではないと考えられるため、このような事業者に特定個人情報保護評価の実施を義務付けることは適当ではありません。

一方、情報提供ネットワークシステムを使用した情報連携を行う事業者は、源泉徴収義務等にとどまらず、事業のために個人番号を取り扱うものであり、番号制度への関与の程度が深く、その特定個人情報ファイルの保有が個人に対して与える影響も大きいものと考えられます。
また、情報提供ネットワークシステムを使用して情報連携を行う場合は、源泉徴収義務等のために個人番号を利用する場合と比べ、個人番号を保有する目的や個人番号の取扱い方法が本人から見てわかりづらいものとも考えられます。

以上の理由から、事業者については、情報提供ネットワークシステムを使用した情報連携を行う者に対してのみ、特定個人情報保護評価の実施を義務付けるものです。

なお、特定個人情報保護評価の実施を義務付けられていない事業者が、任意の判断で特定個人情報保護評価を実施することは妨げられるものではなく、むしろ望ましいことといえます。

また、情報提供ネットワークシステムは、総務大臣が設置及び管理する（番号法第21条第1項）ため、情報提供ネットワークシステム運営機関は行政機関の長に該当します。

## Q第3の1−1

「行政機関の長」とは何ですか。

(A)

「行政機関」とは、行政機関個人情報保護法第2条第1項に規定する行政機関をいい（番号法第2条第1項）、具体的には同法第2条第1項各号ごとに下記の機関を指します。

行政機関の長とは、当該機関の長を指します。(平成26年3月現在)

① 第 1 号に規定される機関

「内閣におかれる機関（内閣府を除く。）」とは、内閣官房、内閣法制局、復興庁、国家安全保障会議等の各種会議、国家公務員制度改革推進本部等の各種本部を指します。「内閣の所轄の下に置かれる機関」とは人事院を指します。

② 第2号に規定される機関

内閣府、宮内庁、公正取引委員会、国家公安委員会、特定個人情報保護委員会、金融庁、消費者庁を指します。

③ 第3号に規定される機関

総務省、公害等調整員会、消防庁、法務省、公安審査委員会、公安調査庁、外務省、財務省、国税庁、文部科学省、文化庁、厚生労働省、中央労働委員会、農林水産省、林野庁、水産庁、経済産業省、資源エネルギー庁、特許庁、中小企業庁、国土交通省、運輸安全委員会、観光庁、気象庁、海上保安庁、環境省、原子力規制委員会、防衛省を指します。
④ 第4号に規定される機関

警察庁を指します。

⑤ 第5号に規定される機関検察庁を指します。

⑥ 第6号に規定される機関会計検査院を指します。

## Q第3の1−2

「地方公共団体の機関」とは何ですか。一つの地方公共団体の中に複数の「地方公共団体の機関」がある場合、「地方公共団体の機関」ごとに特定個人情報保護評価を実施する必要がありますか。

(A)

○ 特定個人情報保護評価の実施が義務付けられる「地方公共団体の機関」とは、執行機関（都道府県知事、市町村長、教育委員会、公安委員会等）のほか、執行機関の附属機関（審査会、審議会等）及び議会も含まれます。

したがって、これらの機関が特定個人情報ファイルを保有しようとする又は保有するときは、特定個人情報保護評価の実施が義務付けられますが、指針第3の2にあるとおり、特定個人情報ファイルを取り扱う事務が、一つの地方公共団体内における複数の機関において行われている場合は、特定個人情報ファイルの取扱いの実態やリスク対策を把握し、記載事項に責任を負う立場にある機関が特定個人情報保護評価の実施を取りまとめることも可能です。

## Q第3の1−3

「独立行政法人等」とは何ですか。

(A)

○ 「独立行政法人等」とは、独立行政法人等個人情報保護法第2条第1項に規定する独立行政法人をいいます（番号法第2条第2項）。

具体的には、独立行政法人（平成25年4月1日現在101法人）のほか、独立行政法人等個人情報保護法別表に掲げる法人（日本私立学校振興・共済事業団、日本年金機構、国立大学法人、日本銀行等の法人（平成25年4月1日現在103法人）をいいます。
Q第3の1－4

「情報連携を行う事業者（番号法第19条第7号に規定する情報照会者及び情報提供者のうち、上記（1）から（5）までに掲げる者以外のものをいう。」とは何ですか。

(A)

☐ 番号法第19条第7号に規定する情報照会者及び情報提供者のうち、上記（1）から（5）までに掲げる者（行政機関の長、地方公共団体の機関、独立行政法人等、地方独立行政法人、地方公共団体情報システム機構）以外の者とは、全国健康保険協会、健康保険組合（平成26年3月現在約1,400組合）、国民健康保険組合（平成26年3月現在約160組合）、共済組合、社会福祉協議会等、番号法別表第二に掲げられている者を指します。
2 実施が義務付けられる者が複数いる場合等の特定個人情報保護評価

上記1に掲げる者が特定個人情報保護評価を実施する際に、特定個人情報ファイルを保有しようとする者又は保有する者が複数存在する場合は、特定個人情報ファイルの取扱いの実態やリスク対策を把握し、記載事項に責任を負う立場にある者が特定個人情報保護評価の実施を取りまとめる。

また、特定個人情報ファイルを保有しようとする者又は保有する者以外に特定個人情報ファイルに関与する者が存在する場合は、その者は、特定個人情報保護評価が適切に実施されるよう協力するものとする。

## (解說)

番号法第27条では、行政機関の長等は、特定個人情報ファイルを保有しようとするときは特定個人情報保護評価を実施するものとされており、すなわち、特定個人情報ファイルの保有者が特定個人情報保護評価を実施することとなります。

行政機関個人情報保護法にいう「保有」とは、当該個人情報を事実上支配している（当該個人情報の利用、提供、廃棄等の取扱いについて判断する権限を有している）ことをいうものとされています。個人情報保護法上も、「保有個人データ」は、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことができる権限を有するものをいいます（同法2条5項）。

したがって、通常の場合であれば、特定個人情報ファイルを取り扱う事務を所管する機関が、特定個人情報ファイルの保有者であり、特定個人情報保護評価を実施することになります。

一方で、他の機関に権限の委任が行われている場合など、一つの事務において特定個人情報ファイルの保有者が複数存在する場合があります。

このような場合については、個々のケースに応じて検討する必要がありますが、基本的な考え方としては、特定個人情報ファイルの取扱いの実態やリスク対策を把握し、当該特定個人情報ファイルの取扱いに関する記載事項に責任を負う立場にある者が特定個人情報保護評価書の作成を取りまとめます。その際、特定個人情報保護評価を主体的に実施する機関では責任を負えない評価項目については、他の機関から情報の提供を受けて記載することとなります。

また、意見聴取・第三者点検も、特定個人情報ファイルの取扱いの実態やリスク対策を把握し、記載事項に責任を負う立場にある者が実施しますが、その際、特定個人情報保護評価書を主体的に作成する機関では責任を負えない事項について質問や意見があった場合には、他の機関からその回答にあたって当たって必要となる情報の提供を受けて対応することが考えられます。
この場合、評価書の表紙に記載する「評価実施機関名」には、取りまとめを行う機関名のみ記載し、他の機関名は「他の評価実施機関」の欄に記載することとなります。

また、特定個人情報ファイルを保有しようとする者又は保有する者以外に、システムやアプリケーションの設計・開発等の調達を実施する者が存在するなど、特定個人情報ファイルに関わる者が存在する場合があります。

このような場合についても、個々のケースに応じて検討する必要がありますが、基本的には、特定個人情報ファイルの保有者が特定個人情報保護評価を実施し、特定個人情報ファイルの保有者では変更することのできないシステムやアプリケーションの仕様などに関わる部分については、システムやアプリケーションの設計・開発等を行った者が、特定個人情報保護評価が適切に実施されるよう協力します。

協力の具体的な内容としては、システムやアプリケーションの仕様などについて、評価書を作成する際に必要となる情報を特定個人情報ファイルの保有者に提供することが考えられます。さらに、意見聴取や第三者点検においてシステムやアプリケーションの仕様などについて質問や意見があった場合には、その回答についての情報を特定個人情報ファイルの保有者に提供することが考えられます。

この場合、基本的には、評価書の表紙に記載する「評価実施機関名」には、特定個人情報ファイルの保有者の機関名のみ記載し、協力する機関の機関名は記載しないこととなります。

## Q第3の2−1

特定個人情報ファイルを保有しようとする者又は保有する者が複数存在する場合とは、どのような場合が考えられるのでしょうか。

(A)

☐ 行政機関が特定個人情報を取り扱う個人番号利用事務に係る権限を法令に基づき他の行政庁に委任している場合や、都道府県が権限を法令に基づき市町村に委任している場合が考えられます。

○ なお、上記は法令に基づく権限の委任について当てはまるものであり、請負契約や準委任契約などの委託によって他の機関に事務の一部を実施させている場合は、委託元が特定個人情報保護評価を実施し、特定個人情報保護評価書の委託に関する項目の中に、当該委託について記載をすることとなります。
## Q第3の2−2

特別地方公共団体については、特定個人情報保護評価の実施主体はどのようになるのでしょうか。

(A)

○ 一部事務組合や広域連合等の特別地方公共団体は、普通地方公共団体の事務を共同処理するために組織されます。特別地方公共団体と普通地方公共団体のどちらが、特定個人情報保護評価を実施すべきかについては、原則として、事務の実施権限を有する特定個人情報ファイルの保有者がどちらであるかによることとなります。

☐ 例えば、後期高齢者医療広域連合が、番号法第9条第1項・別表第一の59の項の事務（高齢者の医療の確保に関する法律による後期高齢者医療給付の支給又は保険料の徴収に関する事務であって主務省令で定めるもの）を実施するために、特定個人情報ファイルを保有する場合のように、特別地方公共団体が事務を実施する権限を有する場合は、原則として、特別地方公共団体が、特定個人情報保護評価を実施することとなります。
第 4 特定個人情報保護評価の対象

## 1 基本的な考え方

特定個人情報保護評価の対象は、番号法、番号法以外の国の法令又は番号法第9条第2項の規定に基づき地方公共団体が定める条例の規定に基づき特定個人情報ファイルを取り扱う事務とする。

## (解說)

特定個人情報ファイルを取り扱う事務には、番号法第9条第1項及び別表第一に記載されている事務、番号法第9条第2項の規定に基づき地方公共団体が条例で定める事務、番号法第9条第3項から第5項の規定に基づき特定個人情報ファイルを取り扱う事務、番号法第14条第2項等の規定に基づき地方公共団体情報システム機構が機構保存本人確認情報の提供を行う事務、住民基本台帳法に基づく住民票に関する事務等があります。

なお、特定個人情報ファイルを取り扱う事務であっても、指針第3の1に定める特定個人情報保護評価が義務付けられる者以外の者（例えば、源泉徴収義務のみのために特定個人情報ファイルを取り扱う事業者）が行う事務や、指針第4の4（1）に定める事務については、特定個人情報保護評価の実施が義務付けられません。
## 2 特定個人情報保護評価の単位

特定個人情報保護評価は、原則として、法令上の事務ごとに実施するものとする。番号法の別表第一に記載される事務については、原則として、別表第一の各項の事務ごとに実施するものとするが、各項の事務ごとに実施することが困難な場合は、1つの項に記載される事務を複数の事務に分割して又は複数の項に記載される事務を1つの事務として、特定個人情報保護評価の対象とすることができる。別表第一以外の番号法の規定、番号法以外の国の法令又は地方公共団体が定める条例に記載する事務についても、評価実施機関の判断で、特定個人情報保護評価の対象となる事務の単位を定めることができる。

## (解說)

特定個人情報保護評価は、原則として、番号法の別表第一に記載されている事務ごとに実施するものとしますが、行政機関等のシステムや事務の執行状況等によっては、別表第一の項ごとでは評価書の記載が困難な場合や、別表第一の複数の項をまとめて記載した方が分かりやすい場合などが考えられます。

そのため、別表第一の事務を分割又は統合した事務で一つの評価書を作成することを可能にしています。

## Q第4の2−1

一つのシステムで多くの事務を実施している場合、事務を統合して特定個人情報保護評価を実施することは可能ですか。

## (A)

○ 一つのシステムで多くの事務を実施している場合においても、事務をまとめて作成した方が分かりやすい場合などは、評価実施機関の判断で、事務を統合して特定個人情報保護評価を実施することができます。

また、別表第一以外にも、番号法第9条第2項に基づき地方公共団体が条例で定める事務などで特定個人情報ファイルを保有する場合も同様です。
## Q第4の2−2

別表第二に記載されている事務や特定個人情報については特定個人情報保護評価を実施しなくてもいいのでしょうか。

(A)

○ 特定個人情報保護評価は、特定個人情報ファイルを取り扱う事務を対象とします。

☐ 別表第二に記載されている情報提供ネットワークシステムを用いて行う特定個人情報の照会・提供は、原則として別表第一を根拠として実施する事務において実施することとなります。つまり、別表第二に記載されている情報の照会・提供をする事務は別表第一に規定されており、提供する特定個人情報は、原則として別表第一を根拠として保有することとなります。

したがって、特定個人情報保護評価は別表第二を評価単位として評価する必要はなく、別表第一を基本とした単位で評価を実施し、その中で別表第二の情報の入手・提供について評価することとなります。

## Q第4の2−3

同一機関内における共通システムの評価の単位は、どのようになりますか。

(A)

○ 特定個人情報保護評価は、事務ごとに実施することとされており、同一機関内における共通システムについても、それぞれの事務の一部として特定個人情報保護評価を実施することとなります。

○ 共通システムについては、地方公共団体における宛名システムのような既存番号と個人番号の対照管理システムその他各事務で共通的に利用するシステムが該当すると考えられます。
## 3 特定個人情報ファイル

特定個人情報保護評価の対象となる事務において取り扱う特定個人情報ファイルとは、個人番号をその内容に含む個人情報ファイルをいい（番号法第2条第9項）、個人情報を含む情報の集合物であって、特定個人情報を検索することができるように体系的に構成したものである。

特定個人情報ファイルの単位は、特定個人情報ファイルの使用目的に基づき、評価実施機関が定めることができる。特定個人情報保護評価の対象となる1つの事務において複数の特定個人情報ファイルを保有することもできる。

## (解說)

## 【特定個人情報ファイルとは】

番号法第2条第8項において、「特定個人情報」とは、個人番号をその内容に含む個人情報をいうと定められ、同条第9項において、「特定個人情報ファイル」とは、個人番号をその内容に含む個人情報ファイルをいうと定められています。

（１）行政機関における「特定個人情報ファイル」とは、行政機関個人情報保護法第２条第４項に規定する個人情報ファイルであって個人番号をその内容に含むもの

(2) 独立行政法人等においては、独立行政法人個人情報保護法第2条第4項に規定する個人情報ファイルであって個人番号をその内容に含むもの

（３）行政機関及び独立行政法人等以外の機関（地方公共団体や民間事業者など）が保有する「特定個人情報ファイル」とは、個人情報保護法第２条第２項に

規定する個人情報データベース等であって個人番号をその内容に含むものをいいます。

このように、特定個人情報ファイルとは、個人番号をその内容に含む個人情報ファイル又は個人情報データベース等をいいますが、個人情報ファイル又は個人情報データベース等の定義は、番号法独自の定義ではなく、一般法の定義と同じです。

## 【個人情報ファイル・個人情報データベース等について】

上述したとおり、特定個人情報ファイルとは、個人番号をその内容に含む個人情報ファイル又は個人情報データベース等をいいますが、個人情報ファイル又は個人情報データベース等には、①電子計算機用ファイルと②手作業処理用ファイルの2種類があります。

行政機関、独立行政法人等、そして行政機関及び独立行政法人等以外の機関（地方
公共団体や民間事業者など）について、それぞれ次の①が電子計算機用ファイルにあたり当たり、②が手作業処理用ファイルにあたり当たります。

（１）行政機関における「個人情報ファイル」とは、行政機関個人情報保護法第２条第４項において、保有個人情報を含む情報の集合物であって、

① 一定の事務の目的を達成するために特定の保有個人情報を電子計算機を用いて検索することができるように体系的に構成したもの

② 一定の事務の目的を達成するために氏名、生年月日、その他の記述等により特定の保有個人情報を容易に検索することができるように体系的に構成したもの

をいうとされています。

（２）独立行政法人等における「個人情報ファイル」とは、独立行政法人個人情報保護法第２条第４項において、保有個人情報を含む情報の集合物であって、

① 一定の事務の目的を達成するために特定の保有個人情報を電子計算機を用いて検索することができるように体系的に構成したもの

② 一定の事務の目的を達成するために氏名、生年月日、その他の記述等により特定の保有個人情報を容易に検索することができるように体系的に構成したもの

をいうとされています。

（３）行政機関及び独立行政法人等以外の機関（地方公共団体や民間事業者など）における「個人情報データベース等」とは、個人情報保護法第２条第２項において、個人情報を含む情報の集合物であって、

① 特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの

② 特定の個人情報を容易に検索することができるように体系的に構成したもの

をいうとされています。

①電子計算機用ファイルは、ITシステムで保有されるファイル（例えば、データベースなどをいい、指針上「システム用ファイル」と定義されています。）の他、パソコン等で使用されるデータベースソフト用ファイルや特定個人情報が表形式等に整理された表計算ソフト用ファイル（指針上「その他電子ファイル」と定義されています。）などを指します。

ただし、電子ファイルであれば全てこれに該当するものではなく、表計算ソフトやワープロソフトで決裁書を起案し、このような決裁書中に個人番号が含まれている場合などのように、文字列検索を行わなければ特定個人情報を検索できないものについては、これに該当しないと解されます。
また、①電子計算機用ファイルであっても、後述第4の4（1）の通りとおり、特定個人情報ファイルを取り扱う事務において保有する全ての特定個人情報ファイルに記録される本人の数の総数（対象人数）が1,000人未満の事務は情報保護評価の義務付け対象外となります。

②手作業処理用ファイルは、「索引・目次などが付された紙ファイル」などが該当すると解されます。

ただし、後述第4の4（1）の通りとおり、②手作業処理用ファイルのみを取り扱う事務は特定個人情報保護評価の義務付け対象外となります。

## 【特定個人情報ファイルの単位について】

特定個人情報ファイルの単位は、評価実施機関の合理的裁量に委ねられており、複数のシステムをまとめて一つの特定個人情報ファイルとすることも可能ですし、一つのシステムの中に複数の特定個人情報ファイルを保有することも可能です。この考え方は、個人情報ファイルの考え方と同じものです。

ただし、特定個人情報ファイルの単位を検討するに当たっては、使用目的を明確にできる単位であるとともに、システムの体系がわかる適切な大きさの単位とすることが必要です。

なお、特定個人情報ファイルの単位は、データベースの設計通りどおりにする必要はありません。つまり、必ずしもテーブルごとに特定個人情報ファイルを分ける必要はなく、複数のテーブルを合わせて一つの特定個人情報ファイルとしたり、複数のテーブルを組み合わせたうちの一部の情報のみを一つの特定個人情報ファイルとしたりすることができます。もちろん、テーブルを一つの特定個人情報ファイルとすることも可能です。

## 【個人番号を「その内容に含む」とは $ ^{①} $ 】

特定個人情報ファイルとは、個人番号をその内容に含む個人情報ファイルをいい、個人情報を含む情報の集合物であって、特定個人情報を検索することができるように体系的に構成したものを指します。番号法は、個人番号を悪用して不正な名寄せが行われることがないよう厳格な保護措置を規定する法律であり、特定個人情報ファイルについて検討するにあたって当たっても、この点を十分考慮しなくてはなりません。具体的には、電子ファイルの場合、【図1】にように異なるテーブル（表）の一方に個人番号が記録されていたとしても、個人番号にアクセスできる者が、テーブル結合によって個人番号から別のテーブルの情報にたどり着くことが可能となります。
【図1】
また、【図2】のように異なるデータベースの一方に個人番号が記録されていたとしても、システムの内部処理で連携していれば個人番号にアクセスできる者が個人番号から別のデータベースの情報にたどり着くことができます。この場合、別のデータベースの情報を含め、個人番号と紐づけてアクセスできる範囲が特定個人情報ファイルとなります。

つまり、個人番号をその内容に含む個人情報ファイルとは、単に個人番号が含まれているテーブルのみを意味するのではなく、個人番号にアクセスできる者が、個人番号と紐づけてアクセスできる情報を意味し、これが特定個人情報ファイルということとなります。

【図2】

個人番号にアクセスできる者が個人番号と紐づけてアクセスできる範囲がグリーンの範囲→グリーンの範囲が特定個人情報ファイル
ただし、【図3】のように、アクセス制御等により、不正アクセス等を行わない限り、個人番号を含むテーブルにアクセスできない場合は、原則、特定個人情報ファイルには該当しません。

【図3】
また、【図4】のように、複数のデータベースがシステムの内部処理で連携しており、個人番号と紐づけてアクセスできる範囲がオレンジの実線及び破線の範囲であった場合でも、アクセス制御等により、個人番号にアクセスできる者が個人番号と紐づけてアクセスできる範囲を実線の範囲に縮減した場合には、実線の範囲が特定個人情報ファイルとなります。

ただし、破線部分については、特定個人情報ファイルの保有者は各課ではなく機関であるため、ある事務では、アクセス制御等により、破線部分を個人番号と紐づけてアクセスできないようにしていても、機関内の他の事務においては、破線部分を個人番号と紐づけていた場合は、当該他の事務については、破線部分も特定個人情報ファイルに該当することとなります。

【図4】

個人番号にアクセスできる者が個人番号と紐づけてアクセスできる範囲が、アクセス制御によりオレンジ実線の範囲に縮減されている。
上記を踏まえると、地方公共団体のように複数の事務が存在し、それぞれの事務について評価を実施する場合、特定個人情報ファイルのイメージは【図5】のとおりとなり、事務ごとに特定個人情報ファイルの範囲が異なる可能性があります。

## 【図5】

・A 事務については、特定個人情報ファイルはグリーンの範囲になり、これについて特定個人情報保護評価を実施する必要があります。

・B 事務については、特定個人情報ファイルが存在しないので、特定個人情報保護評価を実施する必要はありません。

・C 事務については、特定個人情報ファイルはオレンジの実線の範囲になり、これについて特定個人情報保護評価を実施する必要があります。

テーブル

機関 A

A 事務

個人番号にアクセスできる者が個人番号と紐づけてアクセスできる範囲はグリーンの範囲のみ

A 事務にとっては、グリーンの範囲が特定個人情報ファイルに該当する

機関 A

B 事務

水色のテーブルにアクセスできる者は、アクセス制御により個人番号にアクセスできない注：黄色のテーブルのみに個人番号が存在する場合

B 事務にとっては、ブルーの範囲は特定個人情報ファイルではない

機関 A C 事務

個人番号にアクセスできる者が、

個人番号と紐づけてアクセスできる範囲がアクセス制御により、

オレンジの実線の範囲に縮減されている

C 事務にとっては、オレンジ実線の範囲が特定個人情報ファイルに該当する
【個人番号を「その内容に含む」とは②】

一方、【図6】のように個人番号が画面上表示されず、事務を行う権限を有するいずれの者も個人番号を画面や帳票などで見ることができない場合であっても、システム上で個人番号にアクセスし、システムの内部で検索キーとして個人番号を利用する場合など、システムの内部処理で連携する場合が存在します。

これについても、個人番号と紐づけてアクセスできることに変わりはないということになりますので、そのアクセスできる範囲は、特定個人情報ファイルに該当することとなります（例えば、システム上では画面や帳票などに既存番号を入出力するものの、当該システム内部では既存番号から個人番号を検索し、個人番号を利用している場合など）。

ただし、この場合もアクセス制御等により、個人番号と紐づかないようにしているものは、特定個人情報ファイルには該当しません。

【図6】

事務を行う者は個人番号にアクセスできないが、システムの内部で個人番号が検索キーとして利用され、個人番号により紐づけてアクセスできる範囲が濃い緑の範囲

【既存番号と個人番号の対照テーブルを保有する場合の特定個人情報ファイル】

さらに、評価実施機関では、番号法に対応するために、既存システムで検索キーとして用いられている既存番号と個人番号の対照テーブルを保有することで、番号法対応を行うことも考えられます。

個人番号にアクセスできる者が、個人番号と紐づけてアクセスできる情報は、特定
個人情報ファイルに該当することとなります。したがって、対照テーブル以外のテーブルであっても、職員等が個人番号と紐づけてアクセスできる範囲は、特定個人情報ファイルに該当することとなります。

例えば、【図7】に示されるとおり、地方公共団体における宛名管理システムのように、既存番号（ここでは宛名番号）と個人番号の対象テーブルを保有する場合、事務Aのように個人番号を参照できる場合は、事務システムAで直接個人番号を保有していなくても、特定個人情報ファイルに該当することとなります。

なお、当然、事務Bのように宛名管理システムから個人番号を随時コピーする場合についても、宛名管理システムで紐づく情報を含めた範囲が、事務Bの特定個人情報ファイルとなります。

## 【图7】

## 【図7】

既存番号と個人番号の対照テーブル
## Q第4の3−1

特定個人情報と特定個人情報ファイルの差異とはどのようなものでしょうか。

○ 「個人番号をその内容に含む」の考え方は、解説のとおりとなります。

特定個人情報と特定個人情報ファイルの違いについては、番号法第2条第8項において、特定個人情報とは個人番号をその内容に含む個人情報をいうと定められ、第9項において特定個人情報ファイルとは個人番号をその内容に含む個人情報ファイルをいうと定められています。したがって、特定個人情報と特定個人情報ファイルの差異は、個人情報と個人情報ファイル・個人情報データベース等の差異となります。

個人情報と個人情報ファイル・個人情報データベース等の差異は、一般法の定義と同じとなりますが、個人情報ファイル又は個人情報データベース等とは、前記のとおり、特定の（保有）個人情報を（容易に）検索できるように体系的に構成した情報の集合物をいい、検索性を有すること、体系的構成物であること、情報の集合物であることが個人情報ファイル又は個人情報データベース等と個人情報との差異であるといえます。

## Q第4の3−2

個人番号を含まないものは、特定個人情報に該当しないのでしょうか。
(A)

☐ 個人番号を含まないものの、個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号であって、住民票コード以外のものを含む個人情報も、特定個人情報に該当することとなります（番号法第2条第8項）。例えば、情報提供ネットワークシステムを使用した情報提供の求め又は情報提供の際に用いられる符号や個人番号について、を部分的に修正したもので、個人番号と一対一で対応するものなどは末尾に1をつけて桁数を増やして使う場合などは、特定個人情報に該当することとなります。

## Q第4の3−3

地方公共団体の個人情報保護条例等において特定個人情報ファイルについての定義が設けられていない場合は、特定個人情報保護評価が義務付けられないのでしょうか。

(A)

☐ 番号法第2条第9項において、「「特定個人情報ファイル」とは、個人番号をその内容に含む個人情報ファイルをいう」とされており、番号法第2条第4項においては、「「個人情報ファイル」とは、行政機関個人情報保護法第二条第四項に規定する個人情報ファイルであって行政機関が保有するもの、独立行政法人等個人情報保護法第二条第四項に規定する個人情報ファイルであって独立行政法人等が保有するもの又は個人情報保護法第二条第二項に規定する個人情報データベース等であって行政機関及び独立行政法人等以外の者が保有するものをいう」とされています。

したがって、各自治体の個人情報保護条例において「特定個人情報ファイル」についての定義が設けられていない場合であっても、番号法及び個人情報保護法に基づき、地方公共団体及び地方独立行政法人に対し、「特定個人情報ファイル」について特定個人情報保護評価が義務付けられることとなります。

## Q第4の3−4

ワープロソフトウェア等を用いて作成されたファイルは、特定個人情報ファイルに含まれますか。

(A)

○ ワープロソフトウェア等を用いて作成されたものであっても、特定個人情報が表形式に整理されたものなどは、特定個人情報ファイルに該当する可能性があります。ただし、特定の個人情報を容易に検索できるように索引や目次などを付していない
場合や、文字列検索を行わなければ特定個人情報を検索できるようになっていないものについては、原則として特定個人情報ファイルに該当しません。

## Q第4の3−5

個人番号の記載された申請書を添付した決裁文書が格納された文書管理システムも特定個人情報保護評価の対象となりますか。

## (A)

☐ 決裁や文書保管を行うために文書管理システムで個人番号を保有する場合は、通常の場合であれば、特定個人情報ファイルに該当せず、特定個人情報保護評価の対象とはならないと考えられます。

○ なぜなら PDF ファイルなどで個人番号を含む申請書などを保管している場合は、文字列検索などで個人番号をたまたま検索することはできても、特定個人情報を検索できるような性質を有していないと考えられるためです。

○ 一方で、表計算ソフトなどで個人番号を含む申請書などを保管している場合に、多数の個人番号が表形式に整理されていたり、フィルタ機能で個人番号をソートできたりすれば、特定個人情報を検索できるような性質を有していると考えられ、特定個人情報ファイルに該当することになり、特定個人情報保護評価の対象となります。
## Q第4の3−6

特定個人情報ファイルと個人情報ファイルは、それぞれ独立したデータベースでなければならないのですか。特定個人情報ファイルと個人情報ファイルを一つのデータベースの別テーブルとして管理し、アクセス制御を行うという方法は認められますか。

## (A)

○ 特定個人情報ファイルの単位は、データベースやテーブルの単位と合致する必要はありません。利用目的に基づき各機関の合理的裁量でファイルを分けることができます。

## Q第4の3−7

特定個人情報保護評価の対象としての特定個人情報ファイルを住所別に分ける、あるいは年齢別に分ける、といった取扱いをすることはできますか。

## (A)

○ 何らかの要素でファイルを峻別することが、利用目的による分別でない場合は、単なる属性による分類であり、それらを別ファイル扱いとすることはできません。
4 特定個人情報保護評価の実施が義務付けられない事務

（1）実施が義務付けられない事務

特定個人情報ファイルを取り扱う事務のうち、次に掲げる事務（規則第4条第1号から第7号までに掲げる特定個人情報ファイルのみを取り扱う事務）は特定個人情報保護評価の実施が義務付けられない。次に掲げる事務であっても、特定個人情報保護評価の枠組みを用い、任意で評価を実施することを妨げるものではない。

ア 職員又は職員であった者の人事、給与、福利厚生に関する事項を記録した特定個人情報ファイルのみを取り扱う事務（規則第4条第1号）

イ 手作業処理用ファイルのみを取り扱う事務（規則第4条第2号）

ウ 特定個人情報ファイルを取り扱う事務において保有する全ての特定個人情報ファイルに記録される本人の数の総数（以下「対象人数」という。）が1,000人未満の事務（規則第4条第3号）

エ 1つの事業所の事業主が単独で設立した健康保険組合又は密接な関係を有する2以上の事業所の事業主が共同若しくは連合して設立した健康保険組合が保有する被保険者若しくは被保険者であった者又はその被扶養者の医療保険に関する事項を記録した特定個人情報ファイルのみを取り扱う事務（規則第4条第4号及び第5号）

オ 公務員若しくは公務員であった者又はその被扶養者の共済に関する事項を記録した特定個人情報ファイルのみを取り扱う事務（規則第4条第5号）

カ 情報連携を行う事業者が情報連携の対象とならない特定個人情報を記録した特定個人情報ファイルのみを取り扱う事務（規則第4条第6号）

キ 会計検査院が検査上の必要により保有する特定個人情報ファイルのみを取り扱う事務（規則第4条第7号）

また、特定個人情報保護評価の対象となる事務において複数の特定個人情報ファイルを取り扱う場合で、その一部が上記（ウを除く。）に定める特定個人情報ファイルである場合は、その特定個人情報ファイルに関する事項を特定個人情報保護評価書に記載しないことができる。

（2）特定個人情報保護評価以外の番号法の規定の適用

上記（1）に定める特定個人情報保護評価の実施が義務付けられない事務であっても、特定個人情報保護評価以外の番号法の規定が適用され、当該事務を実施する者は、番号法に基づき必要な措置を講ずることが求められる。
## (解說)

特定個人情報保護評価は、①事前対応による個人のプライバシー等の権利利益の侵害の未然防止、②国民・住民の信頼の確保を目的とするものであり、特定個人情報ファイルを取り扱う事務については、任意での実施も含めて、特定個人情報保護評価を全て実施することも可能です。

ただし、上記の目的を踏まえ、特定個人情報保護評価の実施を義務付ける必要までは考えられない事務（指針第4の4（1）ア〜カに掲げる事務）については、特定個人情報保護評価の義務付け対象外としています。また、会計検査院は、内閣から独立した立場で会計検査を実施する機関であることから、委員会の承認を得なければならないとするのは適当でないため、特定個人情報保護評価の義務付け対象外としています。

なお、特定個人情報保護評価が積極的な事前対応を行うものであることに照らせば、特定個人情報ファイルが電子計算機用ファイルか手作業処理用ファイルか定まっていない段階や、特定個人情報ファイルの内容が具体的に定まっていない制度・施策の段階においても、個人のプライバシー等の権利利益に対して与える影響を事前の予測・評価し、このような影響を軽減する措置を講ずることが有益な場合もあると考えられます。

Q第4の4（1）-1

職員又は職員であった者の人事、給与、福利厚生に関する事項を記録した特定個人情報ファイルのみを取り扱う事務が特定個人情報保護評価の義務付け対象外となるのは、どのような理由なのでしょうか。

(A)

○ これらの事項は、使用者としての各機関と、被用者としての職員との関係に基づく内部的な情報であり、また、その存在や利用方法も当事者たる職員にはよく知られており、国民の信頼を確保するという特定個人情報保護評価の目的が直接は当てはまらないと考えられます。

また、これらのファイルには、職員の被扶養者又は遺族の福利厚生等に関する情報も含まれることとなりますが、各機関がこれらの者に関する事務を行うことも使用者と被用者との内部的関係に基づくものであり、また、その存在等も当事者である被扶養者又は遺族にも知られていると考えられます。

○ これらの特定個人情報ファイルにも番号法のその他の規制は及ぶことに加え、仮にこれらの特定個人情報ファイルの取扱いについて問題があれば、各機関と職員との交渉で改善を促す方が効果的かつ妥当であり、国民や住民等からの意見聴取や評価書の公表を行う特定個人情報保護評価の対象とする必要性が乏しいと考えられ
るため、特定個人情報保護評価の義務付け対象外としています。

○ なお、行政機関個人情報保護法でも、職員若しくは職員であった者又はそれらの者の被扶養者若しくは遺族等に係る個人情報ファイルであって、人事、給与若しくは福利厚生に関する事項又はこれらに準ずる事項を記録するものについては、個人情報ファイルの事前通知及び個人情報ファイル簿の作成・公表義務の例外とされています（同法第10条第2項第3号及び第10号、行政機関の保有する個人情報の保護に関する法律施行令第6条第1号ロ並びに同法第11条第2項第1号）。

## Q第4の4（1）-2

手作業処理用ファイルのみを取り扱う事務が特定個人情報保護評価の義務付け対象外となるのは、どのような理由なのでしょうか。

(A)

☐ 手作業処理用ファイルとは、行政機関個人情報保護法第2条第4項第2号等に規定する個人情報ファイル・個人情報データベース等をいい、電子計算機を用いて特定個人情報を検索できるものではないものの、索引・目次等により容易に特定の特定個人情報を検索することができるものをいいます。具体的には、申請者の氏名をあいうえお順にして保管されている申請書台帳などをいいます。手作業用ファイルは、大量処理・高速処理・結合の容易性・検索の容易性等の特性を有しておらず、個人のプライバシー等の権利利益に与える影響も電子計算機用ファイルに比して小さいと考えられますので、特定個人情報保護評価の義務付け対象外としています。

○ なお、行政機関個人情報保護法においても、手作業処理に係る個人情報ファイルは、総務大臣への事前通知の義務が適用されていません（行政機関個人情報保護法第10条第2項第11号）。

## Q第4の4（1）-3

対象人数が 1,000 人未満の事務が特定個人情報保護評価の義務付け対象外となるのは、どのような理由なのでしょうか。

(A)

○ 特定個人情報ファイルを取り扱う事務の対象人数が 1,000 人未満の場合、大量処理・高速処理・結合の容易性・検索の容易性等の点で、義務付け対象の事務と比べ、個人のプライバシー等への権利利益に与える影響が小さいと考えられますので、特定個人情報保護評価の義務付け対象外としています。

○ なお、行政機関個人情報保護法においても、本人の数が1,000人未満の個人情報ファイルは、総務大臣への事前通知の義務が適用されていません（行政機関個人情報
報保護法第 10 条第 2 項第 9 号）。

## Q第4の4（1）-4

複数の特定個人情報ファイルを取り扱う事務において、個々の特定個人情報ファイルの本人の数が1,000人未満である場合も、特定個人情報保護評価の実施が義務付けられるのでしょうか。また、その中に、手作業処理用の特定個人情報ファイルや職員の福利厚生に関する事項を記録した特定個人情報ファイルが含まれる場合、対象人数はどのように考えればよいのでしょうか。

(A)

○ 特定個人情報ファイル A（本人の数 600 人）と特定個人情報ファイル B（本人の数 700 人）を取り扱う事務を例にとります。

【当該事務において取り扱うファイルに、第4の4（1）ア、イ、エ、オ、カ又はキに規定する特定個人情報ファイルが含まれない場合】

☐ 個々の特定個人情報ファイルの本人の数が1,000人未満であっても、特定個人情報ファイルを取り扱う事務の対象人数が1,000人以上である場合は、特定個人情報保護評価の実施が義務付けられます。

○ A の本人と B の本人が重複しない場合、A 及び B を取り扱う事務の対象人数は 1,300 人となり、特定個人情報保護評価の実施が義務付けられます。

特定個人情報ファイルを取り扱う事務
○ Aの本人とBの本人が全部又は一部重複しており、A及びBを取り扱う事務の対象人数が1,000人未満となる場合は、特定個人情報保護評価の義務付け対象外となります。

特定個人情報ファイルを取り扱う事務

対象人数 900人 ⇒ 義務付けられない

【当該事務において取り扱うファイルに、第4の4（1）ア、イ、エ、オ、カ又はキに規定する特定個人情報ファイルが含まれる場合】

○ A又はBのいずれかが第4の4（1）ア、イ、エ、オ、カ又はキに規定する特定個人情報ファイルである場合、それらの特定個人情報ファイルの本人の数はカウントしません。したがって、A及びBを取り扱う事務の対象人数は1,000人未満となり、特定個人情報保護評価の義務付け対象外となります。

特定個人情報ファイルを取り扱う事務

対象人数 600人 ⇒ 義務付けられない