Silviase/jgov_v1.4_full_ann huggingface dataset:
Q第4の4（1）-5

「1つの事業所の事業主が単独で設立した健康保険組合又は密接な関係を有する2以上の事業所の事業主が共同若しくは連合して設立した健康保険組合が保有する被保険者若しくは被保険者であった者又はその被扶養者の医療保険に関する事項を記録した特定個人情報ファイルのみを取り扱う事務」とは何ですか。また特定個人情報保護評価の義務付け対象外となるのは、どのような理由なのでしょうか。

(A)

○ 具体的には、単一組合が保有する被保険者若しくは被保険者であった者又はその被扶養者の医療保険に関する事項を記録した特定個人情報ファイルがこれに該当します。

☐ 単一組合には、一事業所の事業主が単独で設立した健康保険組合のほか、密接な関係を有する二以上の事業所の事業主が共同又は連合して設立した健康保険組合（※）が含まれます。

総合組合（※）や、全国健康保険協会（協会けんぽ）、国民健康保険組合、国民健康保険を行う市町村、後期高齢者医療広域連合、日本私立学校振興・共済事業団が保有する医療保険事務に関する特定個人情報ファイルは、これに該当せず、特定個人情報保護評価の実施が義務付けられることとなります。

（※）「健康保険組合設立認可基準について」（昭和60年4月30日保発第44号、最終改正平成20年3月6日保発第0306004号）参照。

☐ 健康保険組合と被保険者は、使用者と被用者の関係に立つものではありませんが、単一組合の場合、健康保険組合自体は使用者である企業自体とは別法人ではあるものの、使用者（事業主）が設立する法人であり、かつ健康保険組合と使用者は1対1で対応しているため、実態として健康保険組合と使用者である企業自体を同視することができます。

○ 仮に、これらの特定個人情報ファイルの取扱いについて問題があっても、企業本体や健康保険組合と職員との交渉で改善を促す方が効果的であり妥当であるため、アの「職員又は職員であった者の人事、給与、福利厚生に関する事項」に準じた内部関係として考えられますので、特定個人情報保護評価の義務付け対象外としています。
Q第4の4（1）-6

公務員又は公務員であった者の共済に関する事項を記録した特定個人情報ファイルのみを取り扱う事務が特定個人情報保護評価の義務付け対象外となるのは、どのような理由なのでしょうか。

(A)

具体的には、国家公務員共済組合連合会、国家公務員共済組合（※1）、地方公務員共済組合連合会、地方公務員共済組合（※2）、全国市町村共済組合連合会、存続共済会（※3）、存続組合及び指定基金（※4）、地方公務員災害補償基金が保有する共済に関する特定個人情報ファイルがこれに該当します。

○ 特定個人情報保護評価は、番号制度導入により、国家による個人情報の一元的な管理が行われるのではないかとの懸念などに対応する観点から導入される制度であることから、公務員又は公務員であった者（※5）を対象とするこれらのファイルを取り扱う事務については、特定個人情報保護評価の義務付け対象外としています。

（※1）国家公務員共済組合とは、衆議院共済組合、参議院共済組合、内閣共済組合、総務省共済組合、法務省共済組合、外務省共済組合、財務省共済組合、文部科学省共済組合、厚生労働省共済組合、農林水産省共済組合、経済産業省共済組合、国土交通省共済組合、防衛省共済組合、裁判所共済組合、会計検査院共済組合、刑務共済組合、厚生労働省第二共済組合、林野庁共済組合、日本郵政共済組合、国家公務員共済組合連合会職員共済組合をいいます。

（※2）地方公務員共済組合とは、市町村職員共済組合、都市職員共済組合、指定都市職員共済組合、指定都市職員共済組合、東京都職員共済組合、地方職員共済組合、警察共済組合、公立学校共済組合をいいます。

（※3）存続共済会とは、都道府県議会議員共済会、市議会議員共済会、町村議会議員共済会をいいます。

（※4）存続組合及び指定基金とは、日本鉄道共済組合、日本たばこ産業共済組合、NTT企業年金基金をいいます。

（※5）国家公務員共済組合連合会等上記に記載した共済組合等は、公務員若しくは公務員であった者又はその被扶養者の特定個人情報ファイルのみでなく、当該共済組合等の職員若しくは職員であった者又はその被扶養者の特定個人情報ファイルも保有しますが、共済組合等の職員又は職員であった者の特定個人情報ファイルを取り扱う事務も、指針第4の4（1）工の場合と同様であることから、特定個人情報保護評価の義務付け対象外としています。したがって、これらの共済組合等が保有する、当該共済組合等の組合員若しくは組合員であった者又はその被扶養者の共済に関する事項を記録する特定個人情報ファイルは、全体として特定個人情報保護評価の義務付け対象外となります。
## Q 第 4 の 4 （1）－ 7

情報連携を行う事業者が実施する事務のうち、情報連携を行わない事務が特定個人情報保護評価の義務付け対象外となるのは、どのような理由なのでしょうか。

(A)

☐ 情報連携を行う事業者は、事業のために個人番号を取り扱う者であり、番号制度への関与の程度が深く、その特定個人情報ファイルの保有が個人に対して与える影響も大きいと考えられることから、特定個人情報保護評価の実施が義務付けられています。

○ しかしながら、情報連携を行う事業者が実施する事務のうち、情報連携を行わない事務については、主に源泉徴収義務等のために個人番号を取り扱うことが予定され、事業目的で個人番号を利用するものではないと考えられるため、このような事務は特定個人情報保護評価の義務付け対象外としています。

## Q第4の4（1）-8

会計検査院が検査上の必要により保有する特定個人情報ファイルのみを取り扱う事務が特定個人情報保護評価の義務付け対象外となるのは、どのような理由なのでしょうか。

(A)

○ 会計検査院は、内閣から独立した立場で会計検査を実施する機関であることから、委員会の承認を得なければならないとするのは適当でないため、特定個人情報保護評価の義務付け対象外としています。

○ なお、行政機関個人情報保護法においても、会計検査院の保有する特定個人情報ファイルは、総務大臣への事前通知の義務が適用されていません（行政機関個人情報保護法第10条）。

## Q第4の4（1）-9

特定個人情報保護評価の対象外であれば、特定個人情報ファイルに対する特段の措置は不要となるのでしょうか。

(A)

○ 特定個人情報保護評価の対象外となるものであっても、当然、番号法のその他の規制（提供制限、安全管理措置、ファイルの作成制限、開示等、収集・保管の制限等）が及ぶものであり、適切な管理のために必要な措置を講じなければなりません。
第 5 特定個人情報保護評価の実施手続

1 特定個人情報保護評価計画管理書

（１）特定個人情報保護評価計画管理書の作成

評価実施機関は、最初の特定個人情報保護評価を実施する前に、特定個人情報保護評価計画管理書（様式１参照）を作成するものとする。

規則第3条に規定する特定個人情報保護評価計画管理書は、特定個人情報保護評価を計画的に実施し、また、特定個人情報保護評価の実施状況を適切に管理するために作成するものである。評価実施機関で実施する特定個人情報保護評価に関する全ての事務及びシステムについて記載するものとし、評価実施機関単位で作成するものとする。

特定個人情報保護評価計画管理書の記載事項に変更が生じたときは、特定個人情報保護評価計画管理書を速やかに更新するものとする。

（２）特定個人情報保護評価計画管理書の提出

評価実施機関は、規則第3条の規定に基づき、最初の特定個人情報保護評価書の委員会への提出の際に、特定個人情報保護評価計画管理書を併せて提出するものとする。その後、評価実施機関が特定個人情報保護評価書を委員会へ提出する際は、その都度、特定個人情報保護評価計画管理書を更新し、併せて提出するものとする。

特定個人情報保護評価計画管理書の公表は、不要とする。

## (解說)

評価実施機関は、機関として（※1）最初に実施する特定個人情報保護評価に先立ち、特定個人情報保護評価計画管理書を作成します。機関として初めて特定個人情報保護評価書（基礎項目評価書、重点項目評価書又は全項目評価書）を委員会に提出する際又はその前に、特定個人情報保護評価計画管理書も併せて提出することとなります。

特定個人情報保護評価計画管理書は、評価実施機関が実施する特定個人情報保護評価の全体像を示す資料ですので、評価実施機関が実施する特定個人保護評価の対象となる事務及びそれらの事務で使用するシステム全てについて概要を記載します。特定個人情報保護評価計画管理書は機関で一通作成することになります。評価実施機関は、特定個人情報保護評価計画管理書の記載事項に変更があればその都度更新し、特定個人情報保護評価書を委員会に提出する際は、最新状況を反映させて更新した特定個人情報保護評価計画管理書を併せて提出することとなります。

（※1）特定個人情報保護評価は事務ごとに実施するものですが、特定個人情報保護評価計画管理書は、評価実施機関が実施する特定個人情報保護評価の概要を示す資料ですので、当該事務で最初に実施する特定個人情報評価ではなく当該評価実施機関が最初に実施する特定個人情報評価に先立って、作成する必要があります。
Q第5の1－1

特定個人情報保護評価計画管理書を作成する目的は何ですか。

(A)

特定個人情報保護評価計画管理書を作成する目的は、評価実施機関が実施する特定個人情報保護評価の対象となる事務とそれらの事務で使用するシステムを中心に、評価実施機関における特定個人情報ファイルの取扱いの全体像を把握し、特定個人情報保護評価の実施について、計画と管理を適切に行うことです。

○ まず、特定個人情報保護評価を実施する「事務の単位」を検討するために、特定個人情報保護評価計画書を活用することが考えられます。多くの評価実施機関は、数多くの事務で特定個人情報ファイルを取り扱っていると想定されます。また、それらの事務に用いるために評価実施機関で運用しているシステムも複数存在し、しかも事務とシステムとが1対1で対応してないことも想定されます。特定個人情報保護評価は、法令上の事務ごとに実施することが原則ですが、使用しているシステムとの関係等から、法令上の1つの事務を分割してあるいは複数の事務を統合して実施することが適当な場合もあります。特定個人情報保護評価計画管理書を作成・更新する中で、特定個人情報ファイルを取り扱う事務とシステムの全体像を把握し、特定個人情報保護評価を実施する事務の単位について適切に判断することが期待されます。

また、特定個人情報保護評価計画管理書は、特定個人情報保護評価を実施すべき時期を把握するためにも活用できます。特定個人情報保護評価は特定個人情報ファイルを保有する前、重要な変更を加える前に実施しなければなりません。また、公表した特定個人情報保護評価書を少なくとも1年に1回は見直し、公表してから5年を経過する前に再実施するよう努めることが求められています。特定個人情報保護評価の対象となる事務の一覧を、特定個人情報保護評価を直近に実施した日と併せて管理していくことで、特定個人情報保護評価の進行管理を行うことが期待されます。

## Q第5の1－2

特定個人情報保護評価の対象となる事務がなくても、特定個人情報保護評価計画管理書を作成する必要がありますか。

(A)

○ 作成しなければならないものではありません。

しかしながら、特定個人情報ファイルを保有するものの対象者数が1,000人未満であるために特定個人情報保護評価の実施が義務付けられない場合などに、特定個人情報保護評価計画管理書を任意で作成し、個人番号の利用あるいは特定個人情報
ファイルの作成が適切な範囲で行われていることを確認するために活用することが考えられます。

## Q第5の1−3

特定個人情報保護評価の対象となる事務が1つしかなくても、特定個人情報保護評価計画管理書を作成する必要がありますか。

## (A)

○ 特定個人情報保護評価の対象となる事務が1つでもある場合は、その特定個人情報保護評価の実施に先立って、特定個人情報保護評価計画管理書を作成することが必要となります。

## Q第5の1－4

全体を非公表とすることができる特定個人情報保護評価書（犯罪の捜査、犯則事件の調査、公訴の提起又は維持のために保有する特定個人情報ファイルに関するもの）についても、特定個人情報保護評価計画管理書に記載する必要がありますか。

## (A)

## ○ 記載することが必要です。

全体を非公表とすることができる特定個人情報保護評価書であっても、委員会による審査・承認（行政機関等が提出する全項目評価書）又は精査・確認（その他の特定個人情報保護評価書）の対象であり、特定個人情報保護評価計画管理書を作成する目的に照らし、記載することが必要となります。

なお、特定個人情報保護評価計画管理書はその全体が非公表です。

## Q第5の1－5

特定個人情報保護評価計画管理書等に記載することになっている「法令上の根拠」について、法令の数が数百あり全て記載することが困難な場合はどうしたらよいですか。

(A)

○ 代表的な法令上の根拠をいくつか選び、「●●法3条、■■法4条1項等」などと記載してください。
## 2 しきい値判断

特定個人情報ファイルを取り扱う事務について特定個人情報保護評価を実施するに際しては、①対象人数、②評価実施機関の従業者及び評価実施機関が特定個人情報ファイルの取扱いを委託している場合の委託先の従業者のうち、当該特定個人情報ファイルを取り扱う者の数（以下「取扱者数」という。）、③評価実施機関における規則第4条第8号口に規定する特定個人情報に関する重大事故の発生（評価実施機関が重大事故の発生を知ることを含む。以下同じ。）の有無に基づき、次のとおり、実施が義務付けられる特定個人情報保護評価の種類を判断する（以下「しきい値判断」という。）。

しきい値判断の結果、基礎項目評価のみで足りると認められたものについても任意で重点項目評価又は全項目評価を実施することができ、重点項目評価の実施が義務付けられると判断されたものについても任意で全項目評価を実施することができる。

（１）対象人数が１,０００人以上１万人未満の場合は、基礎項目評価（番号法第２７条第１項並びに規則第４条第８号イ及び第５条）

（２）対象人数が１万人以上１０万人未満であり、かつ取扱者数が５００人未満であって、過去１年以内に評価実施機関における特定個人情報に関する重大事故の発生がない場合は、基礎項目評価（番号法第２７条第１項並びに規則第４条第８号戸及び第５条）

（３）対象人数が１万人以上 １０万人未満であり、過去１年以内に評価実施機関における特定個人情報に関する重大事故の発生があった場合は、基礎項目評価及び重点項目評価（番号法第２７条第１項並びに規則第４条第９号、第５条並びに第６条第１項第１号及び第３項）

（４）対象人数が１万人以上１０万人未満であり、かつ取扱者数が５００人以上の場合は、基礎項目評価及び重点項目評価（番号法第２７条第１項並びに規則第４条第９号、第５条並びに第６条第１項第１号及び第３項）

（5）対象人数が10万人以上30万人未満であり、かつ取扱者数が500人未満であって、過去1年以内に評価実施機関における特定個人情報に関する重大事故の発生がない場合は、基礎項目評価及び重点項目評価（番号法第27条第1項並びに規則第4条第9号、第5条並びに第6条第1項第2号及び第3項）

（6）対象人数が10万人以上30万人未満であり、過去1年以内に評価実施機関における特定個人情報に関する重大事故の発生があった場合は、基礎項目評価及び全項目評価（行政機関等については番号法第27条及び規則第5条、地方公共団体等については番号法第27条第1項並びに規
則第4条第10号並びに第7条第1項及び第3項から第6項まで)

（7）対象人数が10万人以上30万人未満であり、かつ取扱者数が500人以上の場合は、基礎項目評価及び全項目評価（行政機関等については番号法第27条及び規則第5条、地方公共団体等については番号法第27条第1項並びに規則第4条第10号並びに第7条第1項及び第3項から第6項まで）

（8）対象人数が30万人以上の場合は、基礎項目評価及び全項目評価（行政機関等については番号法第27条及び規則第5条、地方公共団体等については番号法第27条第1項並びに規則第4条第10号並びに第7条第1項及び第3項から第6項まで）

## (解說)

特定個人情報保護評価に要するコスト・作業量に鑑みれば、特定個人情報ファイルを取り扱う事務の全てについて特定個人情報保護評価を実施しようとすると、かえって特定個人情報保護評価が形式化・形骸化する恐れがあると考えられます。

そこで、特定個人情報保護評価の目的を達成し、実効性のある仕組みとするために、必要性に応じたメリハリのある仕組みをとることとし、個人のプライバシー等の権利利益に対して影響を与える可能性が高いと認められるものについて手厚い特定個人情報保護評価を実施することとしています。

具体的には個人のプライバシー等の権利利益に対し影響を与える可能性の観点から、以下次の3つのしきい値判断項目に基づき、実施が義務付けられる特定個人情報保護評価のレベルを判断することになります。しきい値判断項目を客観的に判定される項目とすることで、特定個人情報保護評価の実施レベルの振り分けが判断者の恣意に流れないことを担保しています。

なお、諸外国で採用されているプライバシー影響評価（Privacy Impact Assessment: PIA）においても、しきい値評価を実施してプライバシー影響評価が必要か否かを判断しているものがあります。

※ しきい値評価として、例えば、アメリカでは、プライバシーしきい値分析（Privacy Threshold Analysis）を採用しており、また、オーストラリアでは、しきい値評価（Threshold Assessment）を採用しています（平成26年3月現在）。

《しきい値判断項目》

1 事務の対象人数

2 特定個人情報ファイルの取扱者数

3 特定個人情報に関する重大事故の有無
しきい値判断の結果、実施が義務付けられる特定個人情報保護評価のレベルが判断され、

① 基礎項目評価

② 基礎項目評価及び重点項目評価

③ 基礎項目評価及び全項目評価

のいずれかの実施が求められることになります。

しきい値判断の結果、個人のプライバシー等の権利利益に影響を与えると考えられるものは、より詳細な検討・評価が行われ、これにより個人のプライバシー等の権利利益の保護のための措置の実施が促進されるものと考えられます。

また、番号法第 27 条においては、本来実施されるべき全項目評価について規定していますが、同条に基づき法律の適用を除外するものを規則で定めるとされていることから、基礎項目評価、重点項目評価及び地方公共団体等の実施する全項目評価については、規則で定めているものです。

## くしきい値判断フロー図>
### 1. 対象人数について

Q第5の2−1.−1

1つの事務において、複数の特定個人情報ファイルを取り扱う場合は、対象人数をどのように数えたらよいでしょうか。

(A)

○ 対象人数とは、その事務において取り扱う全ての特定個人情報ファイルに記録される本人の数の総数になります。したがって、それぞれのファイルに重複がある場合、二重に算定する必要はありません。

### Q第5の2−1.−2

複数の特定個人情報ファイルを取り扱う場合など、事務における特定個人情報の対象人数を正確に把握することが困難です。どのようにしたらよいのでしょうか。

(A)

○ 対象人数は1人単位や10人単位などの粒度で記載するものではなく、概数でチェックすることができます。

### Q第5の2−1.−3

特定個人情報保護評価を実施する事務において取り扱うシステムが、宛名管理システムのような個人番号と既存番号の対照テーブルにアクセスし、そのシステムから個人番号を参照できる場合、対象人数はどうなりますか。

(A)

○ 個人番号を参照できるシステムを取り扱う事務における対象人数は、宛名システムのような対照テーブルに格納する全ての特定個人情報の本人の数ではなく、特定個人情報保護評価を実施する事務において経常的に取り扱う本人の数となります。例えば、ある給付金の支給事務において経常的に取り扱う特定個人情報が受給者とその扶養家族である場合は、対象人数は受給者と扶養家族の総数（下図の20万人）であり、宛名管理システムに格納される全ての人数（下図の50万人）ではありません。
※ 上記の図は、経常的に取り扱う本人の数が対象人数となることを示したものであり、データベース上に格納されている本人の数が対象人数となることを示したものではありません。

### Q第5の1−1.−4

特定個人情報保護評価を実施する事務において、システムではなく、表計算ソフトで特定個人情報ファイルを管理し、既存番号を入手する等のために、宛名管理システムのような個人番号と既存番号の対象テーブルにアクセスする場合、対象人数はどうなりますか。

☐ 事務の対象人数は、その事務において経常的に取り扱う本人の数となります。したがって、以下次の図で例示される通りとおり、当該事務における対象人数は宛名管理システムに格納された全ての人の数とはなりません。
### Q第5の2−1.−5

特定個人情報保護評価を実施する事務において、その事務で取り扱う特定個人情報ファイルの一部が、紙ファイルのように、特定個人情報保護評価書に記載する必要のない特定個人情報ファイルの場合、そのファイルにおける本人は対象人数に含むのでしょうか。

(A)

○ 特定個人情報保護評価書に記載する必要のない紙ファイル等の場合、そのファイルにおける本人は対象人数から除くことができます。

### Q第5の2−1.−6

死者は対象人数に含まれますか。

(A)

☐ 番号法では、特定個人情報とは個人番号を含む個人情報と定義されており、個人情報は行政機関個人情報保護法、独立行政法人個人情報保護法、個人情報保護法（以下「現行法」という。）の定義によります。

現行法における個人情報とは、「生存する」個人に関する情報であり、死者に関する情報については、その対象とはなりません。したがって、番号法においても同様の取扱いとなり、死者の情報は、特定個人情報には該当しませんので、対象人数に含める必要はありません。

### Q第5の2−1.−7

住民基本台帳事務において、住民登録外の特定個人情報は対象人数に含まれますか。

(A)

○ 住民登録外の特定個人情報であっても、事務の中で経常的に取り扱うものであれば対象人数に含まれます。
### Q第5の2−1.−8

住民基本台帳事務において、除票された人についても特定個人情報を持ち続けることになりますが、それらの人についても対象人数に含まれるのでしょうか。

(A)

○ 除票された人についても、事務の中で経常的に取り扱うものであれば対象人数に含まれます。

### 2. 取扱者数について

### Q第5の2−2.−1

しきい値判断の取扱者数とは実際に取り扱っている人の数ですか。

(A)

○ 取扱者数とは、実際に取り扱っている人だけでなく、当該事務における特定個人情報ファイルを取り扱うことができる人の数となります。

また、当該事務を委託している場合、委託先の従業者のうち、当該特定個人情報ファイルを取り扱う者も取扱者数に含みます。

### Q第5の2−2.−2

住民記録システムのように、住民記録の担当部署だけでなく、他の事務を担当する部署の職員も当該システムにアクセスできるような場合、そのような他の部署の職員も取扱者に含めますか。

## (A)

「特定個人情報を取り扱う職員・委託先の人数」とは、当該事務における特定個人情報ファイルを取り扱うシステム等へアクセスできる人の数となりますので、住民記録に関する事務における取扱者には、他の事務を担当する部署の職員であっても住民記録システムにアクセスできる人も取扱者数に含みます。
### Q第5の2−2.−3

特定個人情報保護評価を実施する事務において、その一部が紙ファイルのみを用いて実施するなどの利用により特定個人情報保護評価が義務付けられない事務であり、その義務付けられない事務にのみ従事する者は、取扱者に該当しますか。

(A)

○ 特定個人情報保護評価が義務付けられない事務にのみ従事する者は、取扱者数から除くことができます。

例えば、地方公共団体における児童手当事務において、地方公共団体の職員に対する児童手当事務にのみ従事する職員や、紙ファイルのみを取り扱う職員等は取扱者から除くことができます。

### Q第5の2−2.−4

特定個人情報ファイルの取扱いを外部に委託している場合、特定個人情報ファイルの取扱者数はどのように計上すればよいのでしょうか。

(A)

○ 委託先で特定個人情報ファイルを取り扱う従業者の数を確認して、計上することとなります。なお、再委託、再々委託などを行っている場合は、再委託以降の従業者の数も含めて、計上してください。

### Q第5の2−2.−5

特定個人情報ファイルの取扱者数には、システム保守のために特定個人情報アクセスできる者も含まれますか。

(A)

システム保守のためにアクセスする者でも、特定個人情報にアクセスできる者については、取扱者数に含めます。
### 3. 重大事故の発生について

Q第5の2−3.−1

しきい値判断における重大事故の発生の対象は、「特定個人情報に関する」事故に限られていますが、そのような限定がかかっていない全項目評価書や重点項目評価書とは対象が異なるということですか。

(A)

☐ しきい値判断における重大事故の対象は、特定個人情報である一方、全項目評価や重点項目評価における重大事故の対象は、個人情報となり、重大事故の対象は異なります。

Q第5の2−3.−2

重大事故の発生について、「評価実施機関における」とありますが、特定個人情報保護評価の対象の事務と全く関わりのない他部署が重大事故を発生させた場合も該当するのでしょうか。

(A)

○ 該当します。

重大事故が発生した場合、その事故を起こした事務や部署だけではなく、評価実施機関全体に対する国民・住民の信頼に関わると考えられることに加え、事故が発生した要因の分析及び再発防止策については、評価実施機関全体で取組む必要があるとの考え方によるものです。

### 4. その他

Q第5の2−4.−1

基礎項目評価の対象だが、任意で重点項目評価や全項目評価を実施することができるとありますが、どのような場合に実施したらよいのでしょうか。

(A)

○ 個人のプライバシー等の権利利益に対して影響を与え得る特定個人情報の漏えい等のリスクに対して対策を講じているということを、国民に対して、より詳細に宣言したい場合など、各機関がより詳細な特定個人情報保護評価が必要であると判断した場合には、基礎項目評価の対象であっても重点項目評価書様式や全項目評価書様式を用いて評価を実施することが考えられます。

この場合に番号法令に基づき義務付けられるのは基礎項目評価の実施であり、
それ以上の措置は任意の取組ですので、必ずしも重点項目評価又は全項目評価で求められている全ての手続等を実施する必要はなく、例えば全項目評価書様式を用いて特定個人情報保護評価書を作成するものの国民・住民の意見聴取は行わないなどの対応も可能です。
## 3 特定個人情報保護評価書

しきい値判断の結果に従い、評価実施機関は特定個人情報保護評価を実施し、次に示すとおり、特定個人情報保護評価書を作成し、委員会に提出するものとする。その際、特定個人情報保護評価書の記載事項を補足的に説明する資料を作成している場合は、必要に応じて、当該特定個人情報保護評価書に添付する。

## Q第5の3−1

番号法に「基礎項目評価」「重点項目評価」「全項目評価」についての規定がないにもかかわらず、なぜこれらの評価の実施が義務付けられるのでしょうか。

(A)

☐ 番号法第 27 条において、行政機関の長等は、特定個人情報ファイルを保有しようとするとき及び特定個人情報ファイルについて重要な変更を加えようとするときは、評価書を公示し広く国民の意見を求めること（第1項）、委員会の承認を受けること（第2項）、承認を受けた評価書を公表すること（第4項）とされています。

○ 他方、番号法第 27 条第 1 項においては、規則で定めるところの特定個人情報ファイルを保有しようとする場合には、上で述べた同条に規定する手続（行政機関等の実施する全項目評価書に係る手続）の対象から除外しています。これを受けて、規則第 4 条各号においては番号法第 27 条の手続の対象から除外するものを規定しています。

○ 規則第4条第1～7号には、特定個人情報保護評価の実施が義務付けられない事務（指針第4の4（1）ア～キ）が規定されています。

規則第4条第8～9号は、しきい値判断の結果、指針に定めるとおり基礎項目評価、重点項目評価となるものを対象から除外しています。また、規則第4条第10号は、地方公共団体等が、指針に定めるとおり全項目評価を実施した場合を対象から除外しています。

- 指針第5の2（1）又は（2）の場合であって基礎項目評価を実施した特定個人情報ファイルを取り扱う事務（第8号）

指針第5の2（3）、（4）又は（5）の場合であって基礎項目評価及び重点項目評価を実施した特定個人情報ファイルを取り扱う事務（第9号）

地方公共団体等が指針第5の2（6）、（7）又は（8）に該当する場合であって基礎項目評価及び全項目評価を実施した特定個人情報ファイルを取り扱う事務（第10号）
（なお、規則においては、第5条に基礎項目評価書、第6条に重点項目評価書、第7条に地方公共団体等が実施する全項目評価書に係る手続が規定されています。）。

したがって、規則及び指針に基づき基礎項目評価を実施した場合、基礎項目評価及び重点項目評価を実施した場合又は地方公共団体が基礎項目評価及び全項目評価を実施した場合は、番号法第27条の手続（行政機関等の全項目評価に係る手続）の対象から除外されることとなります。
## （1） 基礎項目評価書

評価実施機関は、規則第5条第1項の規定に基づき、特定個人情報保護評価の実施が義務付けられる全ての事務について基礎項目評価書（様式2参照）を作成し、委員会へ提出するものとする。上記2に定めるしきい値判断の結果は、基礎項目評価書に記載するものとする。

## (解說)

基礎項目評価書は、しきい値判断の結果にかかわらず、特定個人情報保護評価の実施対象となる全ての事務について作成することになります。しきい値判断の結果、基礎項目評価のみと判断された場合はもとより、基礎項目評価及び重点項目評価と判断された場合、基礎項目評価及び全項目評価と判断された場合にも、作成することになります。

特定個人情報ファイルを取り扱う事務の概要、保有しようとする特定個人情報ファイルの名称等の関連情報を記載するとともに、評価実施機関が特定個人情報の漏えいその他の事態を発生させるリスクを軽減するための適切な措置を講じていることを確認の上、宣言することで、基本的な特定個人情報保護評価を行うものです。

また、しきい値判断項目（事務の対象人数、取扱者数、評価実施機関における特定個人情報に関する重大事故発生の有無）、しきい値判断結果も基礎項目評価書に記載することになります。

基礎項目評価の実施の流れについては下記フロー図を参照してください。
## （2） 重点項目評価書

評価実施機関は、規則第6条第1項の規定に基づき、上記2（3）、（4）又は（5）の場合は、重点項目評価書（様式3参照）を作成し、委員会へ提出するものとする。

## (解說)

重点項目評価書は、しきい値判断の結果、基礎項目評価及び重点項目評価を実施すべきものと判断された場合に作成することになります。

重点項目評価を実施することで、特定個人情報ファイルを取り扱う事務の特性を明らかにした上で、特定個人情報ファイルの取扱いが個人のプライバシー等の権利利益に影響を与え得る特定個人情報の漏えいその他の事態を発生させる主なリスクについて分析し、このようなリスクを軽減するためにどのような措置を講じるのか決定していくこととなります。

また、公表された重点項目評価書を通じて、国民は、各機関が、どのような事務においてどのような法令上の根拠により、具体的にどのように特定個人情報ファイルを取り扱っているか確認することが可能となります。

重点項目評価実施の流れについては下記フロー図を参照してください。
## Q第5の3（2）-1

基礎項目評価書と重点項目評価書を委員会にまとめて提出することもできますか。

(A)

○ まとめて提出することも可能です。

## Q第5の3（2）—2

重点項目評価については、国民又は住民等の意見聴取、（地方公共団体等の場合）第三者点検を受ける必要はないということでよろしいでしょうか？

(A)

○ 重点項目評価については、意見聴取、第三者点検を義務付けるものではありませんが、評価実施機関が任意で意見聴取、第三者点検を行うことを妨げるものではありません。
## （3） 全項目評価書

## ア行政機関等の場合

行政機関等は、上記2（6）、（7）又は（8）の場合は、全項目評価書（様式4参照）を作成するものとする。

また、行政機関等は、全項目評価書を作成後、番号法第27条第1項の規定に基づき、全項目評価書を公示して広く国民の意見を求め、これにより得られた意見を十分考慮した上で全項目評価書に必要な見直しを行うものとする。ただし、公表しないことができる全項目評価書又は項目（下記（4）参照）については、この限りではない（規則第10条）。

全項目評価書を公示し国民からの意見を聴取する期間は原則として30日以上とする。ただし、特段の理由がある場合には、全項目評価書においてその理由を明らかにした上でこれを短縮することができる。

行政機関等は、番号法第27条第2項の規定に基づき、公示し国民の意見を求め、必要な見直しを行った全項目評価書を委員会へ提出し、委員会による承認を受けるものとする。

## イ地方公共団体等の場合

地方公共団体等は、上記2（6）、（7）又は（8）の場合は、全項目評価書を作成するものとする。

また、地方公共団体等は、全項目評価書を作成した後、規則第7条第1項の規定に基づき、全項目評価書を公示して広く住民等の意見を求め、これにより得られた意見を十分考慮した上で全項目評価書に必要な見直しを行うものとする。ただし、公表しないことができる全項目評価書又は項目（下記（4）参照）については、この限りではない（規則第7条第3項）。

全項目評価書を公示し住民等からの意見を聴取する期間は原則として30日以上とする。ただし、特段の理由がある場合には、全項目評価書においてその理由を明らかにした上でこれを短縮することができる。また、地方公共団体等が条例等に基づき住民等からの意見聴取等の仕組みを定めている場合は、これによることができる。

地方公共団体等は、公示し住民等の意見を求め、必要な見直しを行った全項目評価書について、規則第7条第4項の規定に基づき、第三者点検を受けるものとする。第三者点検の方法は、原則として、条例等に基づき地方公共団体が設置する個人情報保護審議会又は個人情報保護審査会による点検を受けるものとするが、これらの組織に個人情報保護や情報システムに知見を有する専門家がいないなど、個人情報
保護審議会又は個人情報保護審査会による点検が困難な場合には、その他の方法によることができる。ただし、その他の方法による場合であっても、専門性を有する外部の第三者によるものとする。第三者点検の際は、点検者に守秘義務を課すなどした上で、公表しない部分（下記（4）参照）を含む全項目評価書を提示し、点検を受けるものとする。第三者点検においては、下記第10の1（2）に定める審査の観点を参考にすることができる。

地方公共団体等は、規則第7条第5項の規定に基づき、第三者点検を受けた全項目評価書を委員会へ提出するものとする。

## (解說)

全項目評価書は、しきい値判断の結果、基礎項目評価及び全項目評価を実施すべきものと判断された場合に作成することになります。

全項目評価を実施することの意義は基本的に上記の重点項目評価と同じですが、加えて、全項目評価では、個人のプライバシー等の権利利益の保護のための措置に関する詳細な分析・評価を行うとともに、国民・住民等の意見聴取、委員会の承認（地方公共団体等においては第三者点検）により、評価の適合性・妥当性を客観的に担保する仕組みとなっています。

全項目評価実施の流れについては下記フロー図を参照してください。
Q第5の3（3）-1

意見聴取の期間を30日より短縮することが認められる特段の理由とは、具体的にどのようなものがありますか。

(A)

☐ 例えば、評価実施機関が特定個人情報保護評価を計画的に実施するための合理的努力を行ったにもかかわらず、事務の根拠法の施行日が差し迫っているため、30日以上の意見聴取期間を設定すると法施行が困難となるなど国民・住民の権利利益に重大な影響を与える場合などが考えられます。

## Q第5の3（3）-2

基礎項目評価書と全項目評価書を委員会にまとめて提出することもできますか。

(A)

○まとめて提出することも可能です。

## Q第5の3（3）-3

地方公共団体等の実施する全項目評価書については、第三者点検を受けることとなっていますが、どのような方法がありますか。

(A)

○ 第三者点検は、原則として、条例に基づき地方公共団体が設置する個人情報保護審議会や個人情報保護審査会の点検を受ける方法となります。

専門性確保の観点から、既存の個人情報保護審議会や個人情報保護審査会のメンバー（の一部）に新たに個人情報の保護に関する学識経験がある者、情報システムの知見を有している者等を追加して点検を受ける方法も考えられます。

また、個人情報保護審議会や個人情報保護審査会に専門的知識を有している者がいない場合、専門的知識を有している者の追加が困難な場合、適時に答申を受けることが困難な場合など、個人情報保護審議会や個人情報保護審査会による点検を受けることが困難な場合には、上記知識を有する外部の第三者に点検を受ける方法も考えられます。

○ さらに、他の自治体と連携して行う機関を共同設置する方法なども考えられます。
## Q第5の3（3）-4

第三者点検を行う者のスキルや資格は、どの程度のレベルまで考慮すべきでしょうか。

(A)

〇 第三者点検を行う者について何らかの資格を問うものではありませんが、個人情報の保護に関する学識経験を持っている者や、情報システムに知見を有している者等を含むことを想定しています。

## Q第5の3（3）-5

第三者点検を諮問機関以外で行う場合、セキュリティの問題があるため、一部を省略した全項目評価書で行うことはできますか。

(A)

○ 第三者点検について、原則として、非公表部分を含めて第三者点検を行うことを想定しています。一部省略したもので行うことは想定していません。

第三者点検を行う者に対して守秘義務を課すなど、情報管理の可能な態勢を構築することが必要です。

## Q第5の3（3）-6

広域連合や一部事務組合など特別地方公共団体は、普通地方公共団体と同様、自ら第三者点検を行うこととなりますか。

(A)

○ 特別地方公共団体も普通地方公共団体と同様の扱いとなります。

ただし、構成団体の地方公共団体の個人情報保護審議会や個人情報保護審査会を活用することや、当該地方公共団体と連携して行う方法機関の共同設置などを行うことも考えられます。

## Q第5の3（3）-7

第三者点検における点検の基準を示してくれませんか。

(A)

○ 指針第10の1（2）で、委員会による全項目評価書の承認に際しての審査の観点として、適合性及び妥当性の2つを示しています。地方公共団体等が全項目評価書について受ける第三者点検において、この審査の観点を参考とすることができます。
Q第5の3（3）-8

第三者点検を諮問機関以外で行う場合、番号法第48条、第72条の趣旨に鑑み、罰則は設けないのでしょうか。

(A)

☐ 番号法に基づき条例に罰則を設けることが義務付けられるわけではありません。地方公共団体の任意の判断に委ねられます。
（4）特定個人情報保護評価書の公表

行政機関等は、基礎項目評価書及び重点項目評価書については委員会に提出した後速やかに、全項目評価書については委員会の承認を受けた後速やかに、公表するものとする（番号法第27条第4項並びに規則第5条第2項、第6条第3項及び第8条）。

地方公共団体等は、特定個人情報保護評価書を委員会に提出した後速やかに、公表するものとする（規則第5条第2項、第6条第3項及び第7条第6項）。

特定個人情報保護評価書及びその添付資料は、原則として全て公表するものとする。ただし、規則第13条の規定に基づき、公表することにセキュリティ上のリスクがあると認められる場合は、評価実施機関は、公表しない予定の部分を含む特定個人情報保護評価書及びその添付資料の全てを委員会に提出した上で、セキュリティ上のリスクがあると認められる部分を公表しないことができる。この場合であっても、期間、回数等の具体的な数値や技術的細目に及ぶ具体的な方法など真にセキュリティ上のリスクのある部分に、公表しない部分を限定するものとする。

犯罪の捜査、租税に関する法律の規定に基づく犯則事件の調査及び公訴の提起又は維持のために保有する特定個人情報ファイルを取り扱う事務に関する特定個人情報保護評価については、評価実施機関は、規則第13条の規定に基づき、公表しない予定の部分を含む特定個人情報保護評価書及びその添付書類の全てを委員会に提出した上で、その全部又は一部を公表しないことができる。

(解說)

国民・住民の信頼の確保という特定個人情報保護評価の目的に照らし、特定個人情報保護評価書及びその添付資料は、原則として全て公表することが求められます。

しかし、公表することが違法行為を助長する恐れやセキュリティ上のリスクを高める恐れもあることから、特定個人情報保護評価書の全体又は記載内容の一部を非公表とすることができる場合を設けることとしました。

例えば、下の表に示す特定個人情報保護評価書の各項目の記載は、内容によっては公表することによってセキュリティ上のリスクを高める場合があると考えられます。ただし、特定個人情報ファイルの取扱いへの国民・住民の信頼の確保という特定個人情報保護評価の目的に照らし、非公表とする場合でも、システム操作ログの保存期間、システム管理者による分析・検査の頻度等の具体的な数値、特定個人情報の保管場所の物理的位置、不正アクセス対策等に関する技術的細目に及ぶ具体的な方法など、真にセキュリティ上のリスクのある部分に限定する必要があります。
【非公表とできる項目の例】

特定個人情報保護評価書	項目
重点項目評価書	·I 2 ③ 他のシステムとの接続·Ⅱ6 保管場所·Ⅲ2 リスク2:権限のない者(元職員、アクセス権限のない職員等)によって不正に使用されるリスク
全項目評価書	·I 2 ③ 他のシステムとの接続·Ⅱ6 ① 保管場所·Ⅲ1 リスク2:安全が保たれない方法によって入手が行われるリスク·Ⅲ1 リスク4:入手の際に特定個人情報が漏えい・紛失するリスク·Ⅲ2 リスク2:権限のない者(元職員、アクセス権限のない職員等)によって不正に使用されるリスク·Ⅲ2 リスク4:特定個人情報ファイルが不正に複製されるリスク·Ⅲ4 リスク3:誤った情報を提供・移転してしまうリスク、誤った相手に提供・移転してしまうリスク·Ⅲ5 リスク1 ⑤ 物理的対策·Ⅲ5 リスク1 ⑥ 技術的対策

特定個人情報保護評価書の全体又は記載内容の一部を非公表とする場合であっても、委員会へは記載内容の全てを明らかにした特定個人情報保護評価書及びその添付資料の全体を提出しなければなりません。これは、これらの特定個人情報保護評価書も委員会による審査・承認（行政機関等が提出する全項目評価書）又は精査・確認（その他の特定個人情報保護評価書）の対象であり、委員会が特定個人情報保護評価書の内容について適合性・妥当性を判断するために、一般には非公表とする記載内容についても把握する必要があるからです。

また、評価実施機関は委員会に対して、全体を非公表とする旨又は非公表とする部分を明示しなければなりません。指針において「審査の観点」として示すとおり、非公表とする部分が適切な範囲かどうかを委員会が審査又は精査を行うためです。
Q第5の3（4）-1

セキュリティ上のリスクを高める恐れから非公表とすることができる特定個人情報保護評価書の項目は、「解説」の表に示されたものに限られるのでしょうか。

(A)

「解説」の表は、記載内容によってはセキュリティ上のリスクを高める場合がある特定個人情報保護評価書の項目を例示したものであり、これらに限られるものではありません。他の項目でもセキュリティ上のリスクを高める恐れがある記載内容であれば、非公表とすることができます。

ただし、特定個人情報ファイルの取扱いへの国民・住民の信頼の確保という特定個人情報保護評価の目的に鑑みると、むやみに非公表とすることは望ましくなく、真にセキュリティ上のリスクのある部分に限定しなければなりません。

また、指針において「審査の観点」として示すように、非公表部分が適切な範囲であるかどうかは委員会による審査又は精査の対象となります。
4 特定個人情報保護評価書の見直し

評価実施機関は、少なくとも1年に1回、公表した特定個人情報保護評価書の記載事項を実態に照らして見直し、変更が必要か否かを検討するよう努めるものとする（規則第14条）。

## (解說)

①特定個人情報ファイルの取扱いについて重要な変更を加えようとする場合、②対象人数又は取扱者数の増加あるいは特定個人情報に関する重大事故の発生によりしきい値判断の結果が変わる場合には、特定個人情報保護評価を再実施することが義務付けられています。

しかし、担当する部署の名称変更、しきい値判断に変更をもたらさない対象人数の増減など、特定個人情報保護評価の再実施が義務付けられない程度の比較的軽微な変更・変化であっても、国民・住民からの信頼を確保するという観点から、公表している特定個人情報保護評価書の記載内容が実態と齟齬がないよう見直しておく必要があります。

評価実施機関には、公表している特定個人情報保護評価書の記載内容が実態に合致しているかを常に意識し、必要であれば修正し、公表することが期待されますが、少なくとも1年に1度は見直しを行い、記載内容の変更が必要か否かを検討するよう努めることが求められています。

## Q第5の4−1

特定個人情報保護評価書の見直しでは、どのようなことをすればよいのでしょうか。

## (A)

○ 既に公表している特定個人情報保護評価書の記載内容が実態と異なっていないか確認することになります。

## Q第5の4−2

特定個人情報保護評価書を見直した結果、記載内容の変更が必要となった場合は、どのように処理すればよいでしょうか。

(A)

○ 変更が必要となる記載内容によってその後の処理は異なります。
☐ しきい値判断項目である対象人数又は取扱者数の増加に伴いしきい値判断結果が変わる場合は、特定個人情報保護評価の再実施が必要になります。

したがって、特定個人情報保護評価計画書の更新から始まる特定個人情報保護評価の実施手続きの全てのプロセスを実施することとなります。

○ それ以外の変更の場合は、特定個人情報保護評価書の修正が必要になります。したがって、特定個人情報保護評価書の変更箇所を修正し、委員会に提出した上で公表することとなります。

なお、「重要な変更」については、そのような変更を加えようとする前に特定個人情報保護評価を実施することが必要であり、事後的な処理を行うことになる特定個人情報保護評価書の見直しにおいて、「重要な変更」が見つかることは想定されていません。
5 特定個人情報保護評価を実施した事務の実施をやめたとき等の通知

評価実施機関は、特定個人情報保護評価を実施した事務の実施をやめたとき等は、規則第16条の規定に基づき、遅滞なく委員会に通知するものとする。評価実施機関は、事務の実施をやめるなどした日から少なくとも3年間、その事務の実施をやめたこと等を追記するなど所要の修正を行った上で、特定個人情報保護評価書を公表しておくものとする。

## (解說)

特定個人情報ファイルを保有しようとするときは、保有する事務において特定個人情報保護評価を実施する必要がありますが、その特定個人情報ファイルを取り扱う事務をやめたとき等、以下次の場合に該当する場合ときは、委員会への通知及び修正した特定個人情報保護評価書の公表が必要になります。なお、事務の実施自体は継続するが、特定個人情報ファイルを取り扱うことをやめた場合（個人番号の利用をやめた場合）も、本通知が必要となります。

1. 事務の実施をやめたとき等の通知が必要な場合

（１）事務の実施をやめたとき

機関 A

事務 X(ファイル a)

機関 A

事務 X（アイテル a）

（２）評価実施機関が廃止になり、別の評価実施機関が当該事務を引き継ぐとき

機関 A

事務 X(ファイル a)

機関 A

事務 X(ノアイル a)

機関 B

事務 X (ファイル b)

機関 B

事務 X(ファイル a,b)

（３）評価実施機関が廃止になり、別の機関と統合した新しい機関が当該事務を引き継ぐとき

機関 A

事務 X(ファイル a)

機関 A

事務 X(スマイル a)

機関 B

事務 X (ファイル b)

機関 B

事務 X(ファイル b)

機関 C

事務 X(ファイル a,b)
### 2. 通知方法·時期

## （１）事務の実施をやめたとき

評価実施機関は、事務の終了後に、特定個人情報保護評価書の記載要領に従い、特定個人情報保護評価書に事務の終了と明記し、委員会に提出し公表する必要があります。公表した特定個人情報保護評価書は、事務の終了後3年間公表することします。

## （２）評価実施機関が廃止になり、別の評価実施機関が当該事務を引き継ぐとき

地方公共団体における編入合併のように、評価実施機関が廃止になり、別の評価実施機関が当該事務を引き継ぎ、特定個人情報ファイルも合わせて保有するような場合は、引き継いだ評価実施機関が評価の再実施又は特定個人情報保護評価書の修正を行います。評価の再実施か特定個人情報保護評価書の修正かは、指針の第6の2（2）重要な変更に該当するか、第7の重要な変更に当たらない変更に該当するかで判断することになります。

評価の再実施を行う場合は、評価実施機関が廃止になり、別の評価実施機関が当該事務を引き継ぐ前までに、特定個人情報保護評価書の修正を行うときは、引き継いだ後速やかに行う必要があります。

なお、廃止になった評価実施機関の特定個人情報保護評価書は、事務を引き継いだ評価実施機関（機関B）が、廃止になってから3年間は継続して公表することとなります。

## （３）評価実施機関が廃止になり、別の機関と統合した新しい機関が当該事務を引き継ぐとき

地方公共団体における新設合併のように、評価実施機関が廃止になり、新しい機関が当該事務を引き継ぐ場合は、新しい機関が新たに特定個人情報保護評価を実施する必要があります。

新しい機関は、新たに特定個人情報ファイルを保有することになるので、指針に定めるところにより、システムの開発段階前までの適切な時期までに実施することが望まれますが、新たな機関として特定個人情報保護評価を実施することが困難な場合は、事前に委員会と協議してください。

なお、廃止になった評価実施機関の特定個人情報保護評価書は、上記（2）と同様、事務を引き継いだ評価実施機関（機関Ｃ）が、廃止になってから３年間は継続して公表することとなります。
## 第6 特定個人情報保護評価の実施時期

## 1 新規保有時

行政機関の長等は、特定個人情報ファイルを新規に保有しようとする場合、原則として、当該特定個人情報ファイルを保有する前に特定個人情報保護評価を実施するものとする。ただし、規則第9条第2項の規定に基づき、災害が発生したときの対応等、特定個人情報保護評価を実施せずに特定個人情報ファイルを保有せざるを得ない場合は、特定個人情報ファイルの保有後可及的速やかに特定個人情報保護評価を実施するものとする。

## （１）システム用ファイルを保有しようとする場合の実施時期

## ア 通常の場合

規則第9条第1項の規定に基づき、システムの要件定義段階までに実施することを原則とするが、評価実施機関の判断で、システムの開発（プログラミングをいう。）段階までの適切な時期に特定個人情報保護評価を実施することができる。

## イ 委員会による承認が必要な特定個人情報保護評価の場合

規則第9条第1項の規定に基づき、システムの要件定義段階までに実施することを原則とするが、要件定義段階での実施が困難な場合は、委員会とあらかじめ協議の上、実施時期を決定することができる。

ウ 経過措置

この指針が公表されてから半年を超えない範囲でシステムの開発を開始する場合は、システムの開発（プログラミングをいう。）の開始後、特定個人情報ファイルを保有する前に特定個人情報保護評価を実施することができる。

（２）その他の電子ファイルを保有しようとする場合の実施時期

事務処理の検討段階で特定個人情報保護評価を実施するものとする。

## (解說)

特定個人情報保護評価の結果を受けて、当初予定していた特定個人情報ファイルの取扱いやシステム設計を変更しなければならない場合も十分想定されることから、対応に要する時間を考慮して、特定個人情報保護評価は、特定個人情報ファイルを保有する直前ではなく、十分な時間的余裕をもって実施する必要があります。

特定個人情報保護評価の望ましい実施時期は下記図表を参照してください。
1. システム用ファイルに係る実施時期（委員会の承認が必要でない評価書）

システム要件定義段階までに特定個人情報保護評価を実施することが望ましいと考えられます。

遅くともシステム開発段階の前までに特定個人情報保護評価を実施する必要があります。

2. システム用ファイルに係る実施時期（委員会の承認が必要な評価書）

システム要件定義段階までに特定個人情報保護評価を実施することが望ましいと考えられます。

遅くともシステム開発段階の前までに特定個人情報保護評価を実施する必要がありますが、基本設計又は詳細設計段階で特定個人情報保護評価を実施したい場合は、委員会と事前に協議することが求められます。
### 3. システム用ファイルに係る実施時期の経過措置

指針が公表されてから半年を超えない範囲でシステム開発を開始する場合は、システム開発の開始後、特定個人情報ファイルを保有する前までに実施する必要があります。

### 4. その他の電子ファイルを保有しようとする場合の実施時期

事務処理の検討段階で特定個人情報保護評価を実施する必要があります。