Silviase/jgov_v1.4_full_ann huggingface dataset:
## Q第6の1－1

番号法第27条第1項では「特定個人情報ファイルを保有する前に…（評価書）を公示し」とあり、規則第9条第1項では、法第27条第1項の規定による評価書の公示・基礎項目評価書の提出・重点項目評価書の提出・規則第7条第1項の規定による公示を行う時期が規定されているが、これらの規定により定められる時期までに、「公示」や「提出」のみを行えばよいということでしょうか。

(A)

☐ 番号法第 27 条第 1 項に規定する「保有する前に」は、同項の「公示し」のみならず、第 2 項の特定個人情報保護委員会の承認、第 4 項の評価書の公表までかかるものと解されます。したがって、特定個人情報ファイルを保有する前に、番号法第 27 条第 4 項の規定による評価書の「公表」までを行う必要があります。

○ 規則第9条第1項も、番号法の規定とあわせて、公示や提出の時期として規定していますが、番号法同様、公示や提出等の手続きを経た後の特定個人情報保護評価書の公表を、同項により定められる時期までに行う必要があるものです。

## Q第6の1−2

特定個人情報ファイルを取り扱う事務において、パッケージシステムをノンカスタマイズで適用する場合、特定個人情報保護評価はいつまでに実施すればよいのでしょうか。

(A)

○ 特定個人情報ファイルを取り扱う事務において、パッケージシステムを適用する場合、業務要件の検討やカスタマイズの必要性の分析を行う時期がいわゆる要件定義の時期にあたり当たります。

検討の結果、カスタマイズは行わず、そのままパッケージシステムを適用することにした場合、その後、パラメータ設計や環境設計、移行設計等の「設計」を行い、システムを稼働させるサーバー等へパラメータ設定等の「適用」が行われます。

この「適用」によりサーバー等に直接的に変更を加えることとなりますので、開発に相当するものとして、システムへの適用を実施する前までに特定個人情報保護評価を実施することになります。以下、図表をご参照ください。
○ なお、パッケージシステムにカスタマイズをする場合は、以下次の図表のとおり、カスタマイズ開発を実施するまでに特定個人情報保護評価を実施する必要があります。

## Q第6の1−3

単年度中に設計・開発が完了するようなシステムや大規模システムについても、要件定義段階で特定個人情報保護評価を実施するべきでしょうか。

システムの要件定義段階までに実施することが原則となりますが、システムの実情に照らし、基本設計段階等で実施することが望ましいと考えられるものについては、特定個人情報保護評価が可能なシステムの詳細が決定されているか、特定個人情報保護評価の結果を反映しても、コスト増・スケジュール遅延につながらない時期かなどを十分に踏まえたうえで、システム開発前までのタイミングで特定個人情報保護評価を実施することも考えられます。

## Q第6の1－4

委員会の承認が必要な評価書の場合、要件定義での特定個人情報保護評価の実施が困難な場合は、委員会とあらかじめ実施時期を協議するとのことですが、どの時期に、どのように協議したらよいですか。

(A)

〇 要件定義のできるだけ早い段階で委員会と協議していただく必要があります。具体的な評価に当たっては委員会事務局にお問い合わせください。
## Q第6の1－5

個人番号を利用するためのシステム改修の後に情報連携のためのシステム改修を行い、それぞれシステム改修の時期が異なる場合、特定個人情報保護評価の実施はどのようにすればよいでしょうか。

(A)

○ 特定個人情報保護評価は特定個人情報ファイルを保有しようとする事務に対して実施します。当該事務で個人番号を利用するためのシステム改修と情報連携のためのシステム改修を行う場合、当該事務に対する特定個人情報保護評価は双方のシステム改修を踏まえる必要があります。

○ 特定個人情報保護評価の実施時期としては、当該事務で最初に特定個人情報ファイルを保有しようとする個人番号を利用するためのシステム改修（プログラミング段階）の前となります。

その際に、情報連携のためのシステム改修の内容を踏まえた特定個人情報保護評価を実施できれば、まとめて行うことが可能ですが、その時点において、情報連携のためのシステム改修の概要が決定していない場合や、その後変更になった場合には、情報連権のためのシステム改修の内容が判明した時点で、個人番号を利用するためのシステム改修の前に実施した特定個人情報保護評価書ついて、修正箇所がある場合は修正、重要な変更に該当する場合には評価を再実施する必要があります。

## Q第6の1－6

ウで経過措置が定められているが、その場合、特定個人情報保護評価の結果はどう扱えばよろしいでしょうか。

## (A)

○ 原則として、特定個人情報保護評価の結果、重大な問題が発見された場合はプログラム設計の変更を実施しなければなりませんが、実際には大幅なスケジュール遅延やコスト増が想定されるためシステム設計に反映することは現実的に難しく、運用面で対応することが想定されます。
## 2 新規保有時以外

## （１）基本的な考え方

評価実施機関は、過去に特定個人情報保護評価を実施した特定個人情報ファイルを取り扱う事務について、下記（2）又は（3）の場合には、特定個人情報保護評価を再実施するものとし、下記（4）の場合には、再実施するよう努めるものとする。

再実施に当たっては、委員会が定める特定個人情報保護評価書様式中の変更箇所欄に変更項目等を記載するものとする。下記（2）から（4）以外の場合に特定個人情報保護評価を任意に再実施することを妨げるものではない。

## (解說)

特定個人情報保護評価は、特定個人情報ファイルを新規に保有しようとするときに一度実施して終了するものではありません。

特定個人情報保護評価を実施（又は再実施）した後、当該特定個人情報ファイルの取扱い、特定個人情報の漏えいその他の事態を発生させるリスクあるいはリスクを軽減するための措置について変更・変化が生じることがあります。評価実施機関が当該特定個人情報ファイルの取扱いを能動的に変更することもあれば、人口構成の変化など当該特定個人情報ファイルの取扱いをとりまく状況が変化することも考えられます。

このような変更・変化が生じると、公表している特定個人情報保護評価書の記載内容が実態に合わなくなってきます。そのような記載内容と実態の翻艦を放置することは、特定個人情報ファイルの取扱いについての透明性を高め、国民・住民の信頼を確保するという特定個人情報保護評価の目的に反する結果となります。

そこで、特定個人情報保護評価を実施（又は再実施）した事務について、一定の場合には、特定個人情報保護評価の再実施を求めることとされています。具体的には、特定個人情報ファイルの取扱いについて①「重要な変更」を加えようとする場合、②対象人数又は取扱者数の増加あるいは③特定個人情報に関する重大事故の発生により「しきい値判断の結果の変更」が生じた場合には、特定個人情報保護評価を再実施することになっています。また、こうした状況に至らずとも、社会情勢の変化や技術進歩を勘案し、直近の特定個人情報保護評価書を公表（ただし、修正に伴う公表を除く。）してから5年を経過する前に、再実施するよう努めることが求められています。

なお、特定個人情報保護評価を再実施することが求められない程度の比較的軽微な変更・変化の場合には、既に公表している特定個人情報保護評価書を修正し、公表することになります。
Q第6の2（1）-1

特定個人情報保護評価の再実施とは、具体的に何を再び実施するのでしょうか。

(A)

○ 特定個人情報保護評価の再実施においては、特定個人情報保護評価計画管理書の更新から始まる特定個人情報保護評価の実施手続の全てのプロセスを実施することになります。

改めて行うしきい値判断の結果により、特定個人情報保護評価書の作成、委員会への提出、公表が必要となります。全項目評価を再実施する場合には、国民（地方公共団体等においては住民等）からの意見聴取や委員会の審査・承認（地方公共団体等においては第三者点検）も必要です。
（２）重要な変更

特定個人情報ファイルに対する重要な変更（規則第11条に規定する特定個人情報の漏えいその他の事態の発生の危険性及び影響が大きい変更として指針で定めるもの）とは、重点項目評価書又は全項目評価書の記載項目のうちこの指針の別表に定めるものについての変更とする。ただし、誤字脱字の修正、組織の名称、所在地、法令の題名等の形式的な変更又は個人のプライバシー等の権利利益に影響を与え得る特定個人情報の漏えいその他の事態を発生させるリスクを明らかに軽減させる変更は、重要な変更には当たらないものとする。

この指針の別表に定めるとおり、重大事故の発生それ自体が直ちに重要な変更に当たるものではないが、特定個人情報に関する重大事故の発生に伴い評価実施機関がリスク対策等を見直すことが想定され、この場合は、重要な変更に該当する。

評価実施機関は、保有する特定個人情報ファイルに重要な変更を加えようとするときは、当該変更を加える前に、特定個人情報保護評価を再実施するものとする。ただし、災害が発生したときの対応等、特定個人情報保護評価を実施せずに特定個人情報ファイルの取扱いを変更せざるを得ない場合は、特定個人情報ファイルの取扱いの変更後可及的速やかに特定個人情報保護評価を再実施するものとする。

アシステムの開発を伴う場合の実施時期

上記１（１）に準ずるものとする。

イシステムの開発を伴わない又はその他の電子ファイルを保有する場合の実施時期

事務処理の変更の検討段階で特定個人情報保護評価を実施するものとする。

(解說)

特定個人情報保護評価を実施（又は再実施）した後、当該特定個人情報ファイルの取扱い等について変更が生じることがあります。

例えば、特定個人情報保護評価の対象となった制度・事務の見直し、使用するシステムの更新等により、評価実施機関が当該特定個人情報ファイルの取扱いを変更することが想定されます。また、社会情勢の変化や技術進歩により、直近の特定個人情報保護評価を実施した時点で採用していたリスク対策が陳腐化し、再検討が必要となることも考えられます。

事前に特定個人情報保護評価の再実施が義務付けられる「重要な変更」とは、特定個人情報の漏えいその他の事態を発生させるリスクを相当程度変動させると考
えられるものです。具体的には、特定個人情報ファイルの対象となる本人の範囲、特定個人情報の使用の目的、特定個人情報の突合、リスク対策（ただし、重大事故の発生を除く。）など、指針の別表に記載されている、重点項目評価書と全項目評価書の中のいくつかの項目の記載内容に限られます。

これら以外の特定個人情報保護評価書の記載項目への変更の場合は、既に公表している特定個人情報保護評価書を修正し、公表することとなります。

また、重要な変更の対象である項目の記載内容であっても、誤字脱字の修正、組織の名称、所在地、法令の題名等の形式的な変更又は個人のプライバシー等の権利利益に影響を与え得る特定個人情報の漏えいその他の事態を発生させるリスクを明らかに軽減させる変更については、特定個人情報保護評価を再実施する必要性が高くないことから、重要な変更には当たらないと整理しています。この場合も、既に公表している特定個人情報保護評価書を修正し、公表することとなります。

## Q第6の2（2）-1

「重要な変更」の対象である重点項目評価書・全項目評価書の記載項目の変更であっても、特定個人情報の漏えいその他の事態を発生させるリスクを明らかに軽減させる変更は重要な変更に当たらないとしているのはなぜですか。

(A)

○ 特定個人情報保護評価の基本理念は個人のプライバシー等の権利利益の保護であり、そもそも番号法が、保有する特定個人情報ファイルに重要な変更を加える前に特定個人情報保護評価を実施することを求めているのも、事前対応により個人のプライバシー等の権利利益の侵害の未然防止を図るためです。

このような特定個人情報保護の基本理念・目的に照らすと、特定個人情報の漏えいその他の事態を発生させるリスクを明らかに軽減する特定個人情報ファイルの取扱いの変更について、改めて特定個人情報保護評価を実施する理由はないと考えられます。

また、特定個人情報保護評価の再実施に伴う負担を課さないことは、評価実施機関が特定個人情報の漏えいその他の事態を発生させるリスクを軽減する措置を推奨する趣旨もあります。
Q第6の2（2）-2

「特定個人情報の漏えいその他の事態を発生させるリスクを明らかに軽減させる変更」とは具体的にどのようなものでしょうか。技術進歩に伴うシステムの更新は通常リスクを軽減させることになりますが、重要な変更に当たらないということでしょうか。

(A)

○ 特定個人情報の漏えいその他の事態を発生させるリスクを明らかに軽減させる変更とは、その変更によりリスクが軽減されることについて疑いの余地のない変更です。具体的には、ウィルス対策ソフトウェアのバージョンアップなどの単純な最新化、監視カメラの設置台数や監視頻度の増加などが考えられます。これらの場合は、既に公表している特定個人情報保護評価書を修正し、公表することになります。

○ 一方、システムを全面的に入れ替える場合や事務手続を大幅に変更する場合などは、たとえその変更がリスク対策の強化を目的とするものであっても、評価実施機関が実施する事務又はシステム全体に複雑な影響を及ぼしかねないことから、むしろ重要な変更として、特定個人情報保護評価を再実施することが必要と考えられます。

Q第6の2（2）-3

重大事故の発生は重要な変更に当たらないとしながら、「特定個人情報に関する重大事故の発生に伴い評価実施機関がリスク対策等を見直すことが想定され、この場合は、重要な変更に該当することがある。」としているが、どのような場合でしょうか。

(A)

○ 重大事故の発生を事前に知ることは不可能であり、特定個人情報保護評価を事前に再実施することが求められる「重要な変更」の対象とはなりません。したがって、別表においてリスク対策に変更を加えようとする場合であっても、重大事故の発生の場合を除くものと定めています。

○ 一方、重大事故の発生を受けて、評価実施機関は原因究明を実施し、再発防止策を策定することが想定されます。

再発防止策の内容は重大事故の原因にもよりますが、システムの全面的な入れ替えや事務手続きの大幅な変更が計画されることも想定されます。このような大規模なリスク対策の変更は、重大事故が再発するリスクを軽減させることを目的とした変更であることは確かですが、評価実施機関が実施する事務又はシステム全体に複雑な影響を及ぼしかねないことから、重要な変更として特定個人情報保護評価を再実施することが必要になると考えられます。
Q第6の2（2）－4

基礎項目評価書の変更は、重要な変更に当たらないのでしょうか。

(A)

○ 基礎項目評価書の記載内容の変更は、直ちに「重要な変更」の対象とはせず、特定個人情報保護評価書の修正の対象としています。

ただし、その変更によりしきい値判断の結果が変わり、新たに重点項目評価又は全項目評価の実施が義務付けられる場合は評価の再実施が必要となります。
（３）しきい値判断の結果の変更

上記第5の4に定める特定個人情報保護評価書の見直しにおいて、対象人数又は取扱者数が増加したことによりしきい値判断の結果が変わり、新たに重点項目評価又は全項目評価を実施するものと判断される場合、評価実施機関は、速やかに特定個人情報保護評価を再実施するものとする（規則第6条第2項及び第3項、第7条第2項から第6項まで、第8条及び第14条）。

また、評価実施機関における特定個人情報に関する重大事故の発生によりしきい値判断の結果が変わり、新たに重点項目評価又は全項目評価を実施するものと判断される場合、評価実施機関は、当該特定個人情報に関する重大事故の発生後速やかに特定個人情報保護評価を再実施するものとする（規則第6条第2項及び第3項、第7条第2項から第6項まで、第8条及び第14条）。

(解說)

特定個人情報保護評価を実施（又は再実施）した後、特定個人情報ファイルの取扱いに伴う特定個人情報の漏えいその他の事態を発生させるリスクを変動させる変更であっても、その性質上、「重要な変更」に該当しないものがあります。

基礎項目評価書中のしきい値判断項目、すなわち、①評価対象の事務の対象人数、②特定個人情報ファイルの取扱者数及び③特定個人情報に関する重大事故の変更です。

①対象人数は人口動態や経済社会情勢の変化に影響されて変わることが多く、必ずしも評価実施機関が能動的に変更するものではなく、また日々変化します。②取扱者数も職員の異動やアルバイトの採用などに伴い日々変化するものです。③重大事故の発生を事前に知ることは不可能です。したがって、これらの変化に対応し事前に特定個人情報保護評価を再実施することは現実的ではありません。

したがって、これらのしきい値判断項目に、しきい値判断の結果が変わる程度の大幅な変更が生じた場合は、事後に特定個人情報保護評価を再実施することが求められています。

すなわち、これらのしきい値判断項目の変更に伴ってしきい値判断の結果が変わり、重点項目評価又は全項目評価の実施が新たに義務付けられる場合は、速やかに特定個人情報保護評価を再実施することが求められます。

しきい値判断項目の中でも、①対象人数及び②取扱者数と、③重大事故の発生では、特定個人情報保護評価の再実施の契機が異なります。①及び②については、少なくと
も1年に1度は実施することが努力義務とされている特定個人情報保護評価書の見直しにおいて、①又は②の人数が増加したことによりしきい値判断の結果が変わった後、速やかに特定個人情報保護評価を再実施することが求められます。

③については、特定個人情報に関する重大事故の発生を知った後速やかに特定個人情報保護評価を再実施しなければなりません。なお、対象人数が1万人未満の事務の場合は、個人のプライバシー等の権利利益に与え得る影響と評価実施機関の負担を比較衡量し、重大事故が発生した場合も、引き続き基礎項目評価のみを実施すればよいこととしています。

## Q第6の2（3）-1

特定個人情報ファイルを取り扱う事務の対象人数が 1,000 人を超えた場合や、手作業処理用ファイルを電子ファイルに変えた場合は、特定個人情報保護評価の実施が義務付けられるのでしょうか。

## (A)

○ 特定個人情報ファイルを取り扱う事務が、指針第4の4（1）のアからキまでに該当していたものの、その後、特定個人情報ファイルの本人数の増加や手作業処理用ファイルを電子ファイルに変えようとすること等により、指針第4の4（1）のアからキまでに該当しないこととなる場合は、「特定個人情報ファイルを保有しようとするとき」に該当しますので、当該事務について、特定個人情報保護評価を実施することが求められます。

Q第6の2（3）-2

しきい値判断の結果が変わり、新たに重点項目評価を実施することが必要となりましたが、国民・住民等からの意見聴取を実施する必要がありますか。

(A)

○ 重点項目評価を実施する場合には、国民・住民等からの意見聴取は義務付けられませんが、任意に実施することを妨げるものではありません。
Q第6の2（3）-3

しきい値判断の結果が変わり、新たに重点項目評価又は全項目評価を実施しなければならないとなった場合、実施時期はいつになりますか。

(A)

○ 重点項目評価又は全項目評価の実施は、しきい値判断の結果が明らかになった後、速やかに行うことが求められます。

☐ しきい値判断の結果が変わるために新たに重点項目評価又は全項目評価を実施することとなり、システム開発等を伴わない場合には、システム開発等のフローに即した実施時期の設定は不適当です。したがって、しきい値判断の結果が明らかになった後、速やかに特定個人情報保護評価を再実施することとします。

○ 特定個人情報に関する重大事故の発生に起因する場合は、当該重大事故の発生を知った後速やかに特定個人情報保護評価を再実施しなければなりません。

## Q第6の2（3）-4

しきい値判断における重大事故は「評価実施機関における」とあります。評価実施機関内の全く関係のない部署において重大事故が発生した場合でも、しきい値判断の結果の変更として、特定個人情報保護評価を再実施しなければならないのでしょうか。

(A)

その場合でも、重点項目評価又は全項目評価の実施が新たに義務付けられる場合は、速やかに特定個人情報保護評価を再実施しなければなりません。

ある事務について既に特定個人情報保護評価書を公表していた場合、当該事務に関わりのない評価実施機関内の部署が特定個人情報に関する重大事故を発生させたとしても、それにより当該事務に関するしきい値判断の結果が変われば、特定個人情報保護評価の再実施が必要となります。

○ 重大事故が発生した場合、その事故を起こした事務や部署だけではなく、評価実施機関全体に対する国民・住民の信頼に関わると考えられることに加え、事故が発生した要因の分析及び再発防止策については、評価実施機関全体で取組む必要があるとの考え方によるものです。
Q第6の2（3）-5

評価実施機関内の他部署で重大事故が発生しましたが、元々全項目評価を実施していたため、しきい値判断の結果は変わりません。この場合は、特定個人情報保護評価を再実施することは必要でしょうか。

(A)

○ 重大事故の発生それ自体が直ちに重要な変更にあたる当たるものではありません。

しかし、重大事故の発生を契機として、評価実施機関がリスク対策等を見直すことが想定され、システムの全面的な入れ替えや事務手続の大幅な変更が計画されることが考えられます。そのような場合は、元々全項目評価を実施していた事務についても、「重大な変更」として特定個人情報保護評価の再実施が必要となる場合があります。
## （4） 一定期間経過

評価実施機関は、規則第15条の規定に基づき、直近の特定個人情報保護評価書を公表してから5年を経過する前に、特定個人情報保護評価を再実施するよう努めるものとする。

## (解說)

特定個人情報保護評価を実施（又は再実施）した後、特定個人情報ファイルの取扱いについて重要な変更を加えようとする場合、対象人数若しくは取扱者数の増加又は特定個人情報に関する重大事故の発生によりしきい値判断の結果が変更する場合には、特定個人情報保護評価を再実施することが義務付けられていますが、それ以外の場合は義務付けられていません。

しかし、特定個人情報保護評価を実施してからある程度の期間が経過すると、個人情報の保護に関する情報技術の進歩や社会情勢の変化が生じ、特定個人情報保護評価を再実施することが望ましい状況となることが考えられます。

昨今の情報通信技術の進歩の速さを踏まえると、5年を経過すればリスク対策などを見直す必要性が高くなっていることが想定されます。そこで、直近の特定個人情報保護評価書を公表してから5年を経過する前に特定個人情報保護評価を再実施することを努力義務としています。

なお、直近の特定個人情報保護評価書の公表とは、特定個人情報保護評価の（新規保有時の）実施又は再実施に伴う公表のみであり、特定個人情報保護評価書の修正に伴う公表は含みません。したがって、「5年を経過する前」の起点は直近の実施又は再実施に伴う公表日となります。

## Q第6の2（4）-1

特定個人情報保護評価は、5年ごとに実施すれば十分ということでしょうか。

## (A)

5年を経過する前であっても、特定個人情報ファイルの取扱いについて重要な変更を加えようとしたり、対象人数若しくは取扱者数の増加又は特定個人情報に関する重大事故の発生によりしきい値判断の結果が変更したりする場合は、特定個人情報保護評価を再実施することが義務付けられています。また、これらに当たらない場合でも、任意に再実施することを妨げるものではありません。
## 第 7 特定個人情報保護評価書の修正

## 1 基礎項目評価書

基礎項目評価書の記載事項に、上記第6の2（3）のしきい値判断の結果の変更に該当しない変更が生じた場合、評価実施機関は、規則第14条の規定に基づき、基礎項目評価書を速やかに修正し、委員会に提出した上で公表するものとする。修正に当たっては、委員会が定める特定個人情報保護評価書様式中の変更箇所欄に変更項目等を記載するものとする。

## 2 重点項目評価書・全項目評価書

重点項目評価書又は全項目評価書の記載事項に、上記第6の2（2）の重要な変更に当たらない変更が生じた場合、評価実施機関は、規則第14条の規定に基づき、重点項目評価書又は全項目評価書を速やかに修正し、委員会に提出した上で公表するものとする。修正に当たっては、委員会が定める特定個人情報保護評価書様式中の変更箇所欄に変更項目等を記載するものとする。

この場合は、特定個人情報保護評価の実施に該当せず、全項目評価の場合であっても、国民（地方公共団体等にあっては住民等）からの意見の聴取及び委員会による承認又は第三者点検は必要ない。評価実施機関の任意の判断で、国民（地方公共団体等にあっては住民等）からの意見の聴取又は第三者点検を行うことを妨げるものではない。

## (解說)

特定個人情報保護評価を実施（又は再実施）した後、当該特定個人情報ファイルの取扱い等に変更・変化が生じることがあります。このうち、「重要な変更」と「しきい値判断の結果の変更」に当たる場合は、特定個人情報保護評価を再実施することが義務付けられていますが、それ以外の場合は義務付けられていません（この他、直近の特定個人情報保護評価書を公表してから5年を経過する前に特定個人情報保護評価を再実施することが努力義務とされています）。

しかし、特定個人情報保護評価の再実施が義務付けられない程度の比較的軽微な変更・変化であっても、公表している特定個人情報保護評価書の記載内容と実態の齟齬を放置することは、特定個人情報ファイルの取扱いについての透明性を高め、国民・住民の信頼を確保するという特定個人情報保護評価の目的に反する結果となります。

そこで、こうした場合は、既に公表している特定個人情報保護評価書を修正し、委員会に提出した上で公表するものとしています。

なお、この修正に伴う公表は5年を経過する前の再実施の起点にはなりません。
## 第 8 番号法及び行政機関個人情報保護法に基づく事前通知

番号法第29条第1項並びに第30条第1項及び第2項の規定により読み替えられて適用される行政機関個人情報保護法第10条第1項の規定に基づき、行政機関が特定個人情報ファイルを保有しようとするときは、当該行政機関の長は、同項各号に規定する事項（以下「事前通知事項」という。）をあらかじめ委員会に通知しなければならず、また、事前通知事項を変更しようとするときも同様に通知しなければならない。行政機関が、特定個人情報保護評価を実施し、全項目評価書を公表した場合、又は保有する特定個人情報ファイルに重要な変更を加えようとするときに特定個人情報保護評価を再実施し、事前通知事項を変更した全項目評価書を公表した場合は、番号法第27条第5項の規定により、それぞれ通知を行ったものとみなす。

行政機関が、重点項目評価書を提出・公表した場合等は、事前通知等を併せて行ったものとして取り扱う。

## (解說)

※ 指針における上記の規定については、行政機関における規定となりますので、行政機関以外の評価実施機関はご認識いただく必要はありません。

### 1. 事前通知とは

行政機関個人情報保護法第10条第1項には、「行政機関（略）が個人情報ファイルを保有しようとするときは、当該行政機関の長は、あらかじめ、総務大臣に対し、次に掲げる事項を通知しなければならない。」と規定されています。

その上で、行政機関が、単なる個人情報ファイルではなく、個人番号をその内容に含む個人情報ファイル、つまり特定個人情報ファイルを保有しようとするとき又は通知事項を変更しようとするときは、番号法第29条第1項並びに第30条第1項及び第2項の規定に基づいて、総務大臣ではなく、特定個人情報保護委員会に対して通知することが義務付けられます。

### 2. 特定個人情報保護評価の実施により事前通知を行ったものとみなす規定

事前通知事項におけるファイルの名称や利用目的等の事項は、特定個人情報保護評価における評価項目と重複していることから、番号法第27条第5項によって、特定個人情報保護評価を実施（評価書を委員会に提出し公表）した場合、事前通知も行ったものとみなしています。

### 3. みなす規定が適用される場合

番号法第 27 条第 5 項において、事前通知を行ったものとみなす場合は「前項の
規定により評価書が公表されたとき」とされており、ここで言う、前項の規定により評価書が公表されたとき、つまり行政機関等が全項目評価を実施又は再実施した場合に、本規定が適用されることになります。

### 4. その他の通知等

上記3以外の以下次の場合には、指針の規定に基づいて、変更した評価書を委員会に提出し、公表することによって、番号法第29条第1項並びに第30条第1項及び第2項の規定により読み替えて適用される行政機関個人情報保護法第10条第1項及び第3項に定める通知を行ったものとして扱うこととなります。なお、下記（1）から（4）までの場合はその事象が生じる前に、（5）及び（6）の場合はその事象が生じた後に遅滞なく行うこととなります。

（1）全項目評価書に記載する特定個人情報ファイルにおいて、事前通知事項に重要な変更にあ当たらない変更が生じるとき

（２）重点項目評価書に記載する特定個人情報ファイルを保有しようとするとき

（３）重点項目評価書に記載する特定個人情報ファイルにおいて、事前通知事項に重要な変更が生じるとき

（４）重点項目評価書に記載する特定個人情報ファイルにおいて、事前通知事項に重要な変更にあ当たらない変更が生じるとき

（５）特定個人情報ファイルの保有をやめたとき

（６）特定個人情報ファイルの対象人数が１,０００人未満となったとき
### 5. まとめ

上記1～4を整理すると以下のとおりとなります。

全項目評価書の提出・公表	重点項目評価書の提出・公表	提出・公表をすべき時期
特定個人情報ファイルを新たに保有しようとするとき	通知を行ったものとみなす	通知を行ったものとして扱う	ファイルの保有又は変更の前
事前通知事項に重要な変更が生じるとき	通知を行ったものとみなす
事前通知事項に重要な変更に当たらない変更が生じるとき	通知を行ったものとして扱う
特定個人情報ファイルの保有をやめたとき	通知を行ったものとして扱う	ファイルの保有又は変更の後遅滞なく
特定個人情報ファイルの対象人数が1000人未満となったとき

## Q第8−1

基礎項目評価のみの実施の場合は、事前通知を行ったものとみなされないのですか。

(A)

○ 基礎項目評価のみの実施の場合は、事前通知を行ったとはみなされません。別途、委員会が定める事前通知の方法に基づいて委員会に通知していただく必要があります。

これは、基礎項目評価書においては、行政機関個人情報保護法に定める事前通知すべき事項が記載されていないことからです。
## 第9 特定個人情報保護評価の評価項目

## 1 基本的な考え方

特定個人情報保護評価を実施するに当たって、評価実施機関は、特定個人情報ファイルを取り扱う事務の特性を明らかにした上で、特定個人情報ファイルの取扱いが個人のプライバシー等の権利利益に影響を与え得る特定個人情報の漏えいその他の事態を発生させるリスクについて認識又は分析し、このようなリスクを軽減するための適切な措置を講じていることを確認の上、特定個人情報保護評価書において宣言するものとする。

## 2 評価項目

## （1） 基礎項目評価書

規則第2条第1号に規定する基礎項目評価書では、特定個人情報評価の対象となる事務の概要、当該事務において使用するシステムの名称、特定個人情報ファイルの名称、当該事務を対象とする特定個人情報保護評価の実施担当部署、当該事務において個人番号を利用することができる法令上の根拠等を示すものとする。また、当該事務において情報連携を行う場合にはその法令上の根拠を示すものとする。

また、評価実施機関は、特定個人情報保護評価の対象となる事務について特定個人情報ファイルを取り扱う際に生じる個人のプライバシー等の権利利益に影響を与え得る特定個人情報の漏えいその他の事態を発生させるリスクを認識し、このようなリスクを軽減するための適切な措置を講じていることを確認の上、宣言するものとする。

## （2） 重点項目評価書

規則第2条第2号に規定する重点項目評価書の記載事項は、次のとおりとする。

## ア 基本情報

特定個人情報保護評価の対象となる事務の内容、当該事務において使用するシステムの機能、当該事務において取り扱う特定個人情報ファイルの名称、当該事務を対象とする特定個人情報保護評価の実施担当部署、当該事務において個人番号を利用することができる法令上の根拠等を示すものとする。また、当該事務において情報連携を行う場合にはその法令上の根拠を示すものとする。

## イ 特定個人情報ファイルの概要

特定個人情報ファイルの種類、対象となる本人の数・範囲、記録される項目その他の特定個人情報保護評価の対象となる事務において取り扱う特定個人情報ファイルの概要を示すものとする。また、特定個人
情報の入手及び使用の方法、特定個人情報ファイルの取扱いの委託の有無及び委託する場合にはその方法、特定個人情報の提供又は移転の有無及び提供又は移転する場合にはその方法、特定個人情報の保管場所その他の特定個人情報ファイルを取り扱うプロセスの概要を示すものとする。

## ウ リスク対策

特定個人情報ファイルを取り扱うプロセスにおいて個人のプライバシー等の権利利益に影響を与え得る特定個人情報の漏えいその他の事態を発生させる主なリスクについて分析し、このようなリスクを軽減するための措置について記載するものとする。重点項目評価書様式は主なリスクのみを示しているが、その他のリスクについても分析し、そのようなリスクを軽減するための措置についても記載することが推奨される。

また、自己点検・監査、従業者に対する教育・啓発等のリスク対策についても記載するものとする。

これらのリスク対策を踏まえ、評価実施機関は、リスクを軽減するための適切な措置を講じていることを確認の上、宣言するものとする。

## エ その他

特定個人情報の開示・訂正・利用停止請求、特定個人情報ファイルの取扱いに関する問い合わせ等について記載するものとする。

## （3） 全項目評価書

法第27条第1項各号及び規則第12条に規定する全項目評価書の記載事項は、次のとおりとする。

## ア 基本情報

特定個人情報保護評価の対象となる事務の詳細な内容、当該事務において使用するシステムの機能、当該事務において取り扱う特定個人情報ファイルの名称、当該事務を対象とする特定個人情報保護評価の実施担当部署、当該事務において個人番号を利用することができる法令上の根拠等を示すものとする。また、当該事務において情報連携を行う場合にはその法令上の根拠を示すものとする。

## イ 特定個人情報ファイルの概要

特定個人情報ファイルの種類、対象となる本人の数・範囲、記録される項目その他の特定個人情報保護評価の対象となる事務において取り扱う特定個人情報ファイルの概要を示すものとする。また、特定個人情報の入手及び使用の方法、特定個人情報ファイルの取扱いの委託の有無及び委託する場合にはその方法、特定個人情報の提供又は移転の有無
及び提供又は移転する場合にはその方法、特定個人情報の保管及び消去の方法その他の特定個人情報ファイルを取り扱うプロセスの概要を示すものとする。

## ウ リスク対策

特定個人情報ファイルを取り扱うプロセスにおいて個人のプライバシー等の権利利益に影響を与え得る特定個人情報の漏えいその他の事態を発生させる多様なリスクについて詳細に分析し、このようなリスクを軽減するための措置について記載するものとする。全項目評価書様式に示すもの以外のリスクについても分析し、そのようなリスクを軽減するための措置についても記載することが推奨される。

また、自己点検・監査、従業者に対する教育・啓発等のリスク対策についても記載するものとする。

これらのリスク対策を踏まえ、評価実施機関は、リスクを軽減するための適切な措置を講じていることを確認の上、宣言するものとする。

## 工評価実施手続

行政機関等は、上記第5の3（3）アにより実施した国民からの意見の聴取の方法、主な意見の内容等、下記第10の1に定める委員会による承認のために全項目評価書を委員会に提出した日、委員会による審査等について記載するものとする。

地方公共団体等は、上記第5の3（3）イにより実施した住民等からの意見の聴取及び第三者点検の方法等について記載するものとする。

## オ その他

特定個人情報の開示・訂正・利用停止請求、特定個人情報ファイルの取扱いに関する問い合わせ等について記載するものとする。

## (解說)

特定個人情報保護評価の実施に当たって評価実施機関が行うべきことは、特定個人情報保護評価の対象となる特定個人情報ファイルを取り扱う事務の特性を明らかにした上で、特定個人情報ファイルの取扱いが個人のプライバシー等の権利利益に影響を与え得る特定個人情報の漏えいその他の事態を発生させるリスクについて認識・分析し、このようなリスクを軽減するために適切な措置を講じていることを確認の上、宣言することが求められています。

特定個人情報保護評価に当たって評価実施機関が評価すべき項目（評価項目）の数又は深度は、全項目評価が最も大きく、重点項目評価、基礎項目評価の順で小さくなっています。実務上は、しきい値判断の結果に基づいて求められる特定個人情報保護評価の種類に応じ、該当する特定個人情報保護評価書に記載していくことになります。
Q第9-1

「リスクを軽減するための適切な措置を講じていることを確認の上、宣言するものとする。」とありますが、具体的にどのように宣言すればよいのでしょうか。

(A)

○ 特定個人情報保護評価書の表紙にある「個人のプライバシー等の権利利益の保護の宣言」欄に記載することで宣言することができます。その際、評価実施機関が講じている措置のうち評価実施機関として特に積極的に一般に情報提供したい措置があれば、「特記事項」欄に記載することができます。
## 第 10 委員会の関与

## 1 特定個人情報保護評価書の承認

## （1） 承認対象

委員会は、上記第5の3（3）アに基づき行政機関等から委員会に提出された全項目評価書を審査し、承認するものとする。

委員会は、基礎項目評価書、重点項目評価書、地方公共団体等から提出された全項目評価書及び任意で提出された全項目評価書の承認は行わないものとする。

## （２）審査の観点

委員会は、全項目評価書の承認に際し、適合性及び妥当性の2つの観点から審査を行う。

## ア 適合性

この指針に定める実施手続等に適合した特定個人情報保護評価を実施しているか。

・しきい値判断に誤りはないか。

·適切な実施主体が実施しているか。

・公表しない部分は適切な範囲か。

・適切な時期に実施しているか。

・適切な方法で広く国民の意見を求め、得られた意見を十分考慮した上で必要な見直しを行っているか。

・特定個人情報保護評価の対象となる事務の実態に基づき、特定個人情報保護評価書様式で求められる全ての項目について検討し、記載しているか。等

## 亻妥当性

特定個人情報保護評価の内容は、この指針に定める特定個人情報保護評価の目的等に照らし妥当と認められるか。

・記載された実施担当（部署及び所属長）は、特定個人情報保護評価の対象となる事務を担当し、リスクを軽減させるための措置の実施に責任を負うことができる者か。

・特定個人情報保護評価の対象となる事務の内容の記載は具体的か。当該事務における特定個人情報の流れを併せて記載しているか。

・特定個人情報ファイルを取り扱うプロセスにおいて特定個人情報の漏えいその他の事態を発生させるリスクを、特定個人情報保護評価の対象となる事務の実態に基づき、特定しているか。

・特定されたリスクを軽減するために講ずべき措置についての記載は具体的か。
・記載されたリスクを軽減させるための措置は、個人のプライバシー等の権利利益の侵害の未然防止、国民・住民の信頼の確保という特定個人情報保護評価の目的に照らし、妥当なものか。

・個人のプライバシー等の権利利益の保護の宣言は、国民・住民の信頼の確保という特定個人情報保護評価の目的に照らし、妥当なものか。等

委員会は、提出された全項目評価書の審査の結果、必要と認めるときは、番号法の規定に基づく指導・助言、勧告・命令等を行い、全項目評価書の再提出その他の是正を求めるものとする。

## (解說)

特定個人情報ファイルを取り扱う事務について、しきい値判断の結果、全項目評価を実施するものとされた行政機関等は、当該事務についての全項目評価書を作成し、委員会に提出します。委員会は、提出された全項目評価書を審査し、承認することになります。この審査・承認の対象は、行政機関等がしきい値判断の結果に基づき作成した全項目評価書のみです。

基礎項目評価書（行政機関等が全項目評価書と併せて提出する場合を含む）、重点項目評価書、地方公共団体等から提出された全項目評価書、主体を問わず任意で提出された全項目評価書の審査・承認は行いません。

委員会は、適合性及び妥当性の２つの観点から審査を行います。

適合性とは、この指針に定める実施手続等に適合した特定個人情報保護評価を実施しているかについて審査するもので、主に客観的な事実について審査を行います。具体例として、しきい値判断に誤りはないか、適切な実施主体が実施しているか、非公表部分は適切な範囲か等を指針に示していますが、それらに限りません。

妥当性は、特定個人情報保護評価の内容がこの指針に定める特定個人情報保護評価の目的等に照らし妥当と認められるかについて審査するもので、内容をより実質的に審査するものです。具体例として、評価実施担当は責任を負うことができる者か、評価対象となる事務の内容の記載は具体的か等を指針に示していますが、それらに限りません。

委員会は、必要に応じて評価実施機関の協力を得ながら審査を進めていきます。
Q第10の1−1

委員会は、全項目評価書が提出されてからどの程度の期間で承認することを予定しているのでしょうか。

(A)

○ 委員会は、システムの運用開始を延期せざるを得なくなるなどの評価実施機関の実務に不必要な負担を与える事態とならないよう十分配慮し、全項目評価書が提出されてから合理的な期間内に承認することができるよう、評価実施機関の協力を得ながら、審査を進めていきます。
2 承認の対象としない特定個人情報保護評価書の確認

委員会は、評価実施機関から委員会に提出された特定個人情報保護評価書であって上記1による委員会の承認の対象としないものについては、必要に応じて、その内容を精査し、適合性及び妥当性について確認するものとする。

委員会は、提出された特定個人情報保護評価書の精査の結果、必要と認めるときは、番号法の規定に基づく指導・助言、勧告・命令等を行い、特定個人情報保護評価の再実施その他の是正を求めるものとする。

## (解說)

承認の対象となる行政機関等が提出した全項目評価書以外の特定個人情報保護評価書について、委員会は、必要に応じて、その内容を精査し、適合性及び妥当性について確認することとしています。

精査・確認の対象となる可能性がある特定個人情報保護評価書は、基礎項目評価書（行政機関等が全項目評価書と併せて提出する場合を含む）、重点項目評価書、地方公共団体等から提出された全項目評価書及び主体を問わず任意で提出された全項目評価書です。

委員会は、必要に応じて評価実施機関の協力を得ながら精査・確認を進めていきます。
第 11 特定個人情報保護評価書に記載した措置の実施
評価実施機関は、個人のプライバシー等の権利利益に影響を与え得る特定個人情報の漏えいその他の事態を発生させるリスクを軽減するための措置として特定個人情報保護評価書に記載した全ての措置を講ずるものとする。

## (解說)

特定個人情報保護評価は、評価実施機関が特定個人情報の漏えいその他の事態を発生させるリスクを分析し、そのようなリスクを軽減するための適切な措置を講ずることにより、特定個人情報の漏えい等を未然に防止するとともに、国民・住民等の信頼を確保することを目的としていることから、記載した措置を確実に実施することで実効性が確保されるものです。
第 12 特定個人情報保護評価に係る違反に対する措置

1 特定個人情報保護評価の未実施に対する措置

特定個人情報保護評価を実施するものとされているにもかかわらず実施していない事務については、情報連携を行うことが禁止される（番号法第21条第2項第2号、第27条第6項）。特定個人情報保護評価を実施するものとされているにもかかわらず実施していない評価実施機関に対して、委員会は、必要に応じて、番号法上の指導・助言、勧告・命令等を行い、特定個人情報保護評価の速やかな実施その他の是正を求めるものとする

2 特定個人情報保護評価書の記載に反する特定個人情報ファイルの取扱いに対する措置

特定個人情報ファイルの取扱いが特定個人情報保護評価書の記載に反している場合、委員会は、必要に応じて、番号法の規定に基づく指導・助言、勧告・命令等を行い、是正を求めるものとする。

## (解說)

特定個人情報保護評価を実施していない場合、特定個人情報ファイルの適正な取り扱いの確保のための措置が適切に講じられていない恐れがあります。

したがって、このような場合に、情報連携を行わせると、不適切な形で特定個人情報ファイルがネットワークを通じてやりとりされることとなり、適正な取扱いがなされている他の事務やシステム（他の情報提供者又は情報照会者のシステムや情報提供ネットワークシステム等）にまで、悪影響を及ぼす恐れがあることから、情報連携を行うことが禁止されています。（番号法第27条第6項、第21条第2項第2号）

情報連携を行わないこととされている機関については、委員会の助言、指導、命令権限等に基づき、是正を促すことになります。

また、特定個人情報ファイルの取扱い実態が特定個人情報保護評価の記載に反していた時は、上記観点から、委員会の助言・指導・勧告・命令・立入検査権限等に基づき是正を促すことになります。
## 别表

## (解說)

この別表は、重点項目評価書及び全項目評価書の記載項目のうち、原則として変更する前に特定個人情報保護評価を再実施することが求められる「重要な変更」の対象であるものを列記しています。様式2及び3を併せて確認してください。

## Q 別表一 1

「重要な変更」の対象である評価項目のリスク対策から、重大事故の発生を除いているのはなぜですか。

## (A)

○ 重大事故の発生を事前に知ることは不可能であり、原則として特定個人情報保護評価を事前に再実施することが求められる「重要な変更」には該当しません。

○ ただし、重大事故の発生を受けて、評価実施機関がシステムの全面的な入れ替えや大幅な組織改組といった大規模なリスク対策の変更を実施する場合は、重要な変更として特定個人情報保護評価を再実施することが必要になることもあると考えられます。
## その他

Q他—1

政府統一基準群、ISMS 適合評価制度、IT セキュリティ評価及び認証制度（JISEC）などの認定を受けている機関は、特定個人情報保護評価を実施する必要がありますか。

(A)

☐ 情報セキュリティ対策は、情報資産の CIA(Confidentiality 機密性、Integrity 完全性、Availability 可用性)の維持を図ることを目的としています。これに対し、特定個人情報保護評価の目的は個人のプライバシー等の権利利益の保護であり、セキュリティ対策は一つの手段にすぎないと考えられます。したがって、これらの認定等を受けている評価実施機関についても、特定個人情報保護評価を実施する必要があります。

○ ただし、これらの制度の認定を受けていることは、特定個人情報にかかるリスクを軽減するための適切な措置のひとつであると考えられることから、既にこれらの制度の認定を受けている評価実施機関については、その旨を特定個人情報保護評価書に記述することが考えられます。
## 公開プロセスの論点

☐ 事業は関連機関等と連携しつつ効果的に実施されているか。

○ 外部から見て成果が分かりやすいものとなっているか。また、定量的評価と定性的評価が適切に用いられているか。

○ 金融連携センターに招聘した各国当局からの研究員の

帰国後のフォローアップは十分に行われているか。
平成23年度 委託調査費に関する支出状況（4月～6月）

【会計名：一般会計】

(单位：千円)

番号	委託調査の名称	委託調査の概要	契約の相手方名	契約形態の別	契約金額	契約締結日	成果物(完成後)
1	貸金業利用者に関する調査・研究	貸金業を実際に利用する消費者や事業者の意識や意見、改正貸金業法の認知状況など改正貸金業法完全施行後の規定が円滑に実施されているかどうかについての調査・研究を外部委託するもの。	(株)インテージ東京都千代田区神田練塀町3番地 インテージ秋葉原ビル	一般競争入札(総合評価落札方式)	2,520	H23.4.8	有
## 平成23年度 タクシー代に関する支出状況

【会計名：一般会計】

(单位：千円)

組織	支出金額
4月～6月	7月～9月	10月～12月	1月～3月	合計
金融庁	26,439	26,439

計	26,439	0	0	0	26,439
### 5. 地域パターン分析の手法

### 5.1 基礎データ

ニューラルネットワークを経済問題に応用する場合、まずモデルに含むべき変数とその間のウェイトの決め方が問題となる。これは一般的な計量モデルの場合と同様のことではあるが、ネットワークモデルの場合は、変数の選択についてそれほど神経質になる必要はないと考えられる。各変数が、他の全ての変数からそれぞれのウェイトに応じた影響を受けながら、多数決のようなシステムで決定されていくため、モデルの中にあまり重要でないとみられる変数が含まれている場合でも、その全体への影響は小さい。しかし、例えば景気変動パターンを分析するためのモデルを考える場合、およそ景気変動と関係のないような変数を多数含むと、モデルの導く安定的なパターンは全く別の意味を持つ可能性がある。

今回の研究では、まず世界を以下の7地域に分け、それぞれのモデルを考えることとし、各地域それぞれ以下の14の変数を含むこととした。基礎となるデータは、各変数の1965～1990年の前年伸び率であり、(表2-6)のとおりである。本来、もっと多くの変数を取り込むべきであろうが、今回は地域間比較に主眼を置く意味で、各地域共通でかつ長期のデータという制約から、この変数にとどめた。

1. 人口

2. GDP

3. 工業生産（鉱工業生産指数）

4. 工ネルギー消費

5. CO₂排出量（=石炭×1+石油×0.7+ガス×0.6）

6. 電力消費

7. 農業生産

8. 穀物生産

9. 鉱物価格（非鉄非金属輸出価格）

10. 食料価格（輸出価格）

11. 原油価格（輸出価格）

12. 消費者物価

13. 輸出額（ドル建）

14. 輸入額（ドル建）

出所 1 ~ 3、9 ~ 11 国連 Statistical Yearbook

4 ~ 6 Energy Statistics Yearbook

7 ~ 8 FAO Production Yearbook

12 ~ 14 International Financial Statistics