Silviase/jgov_v1.4_full_ann huggingface dataset:
な使用を防止できる理由を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。

44. 委託に伴う特定個人情報の提供に関するルールを定めている場合、ルールの内容やルール遵守の確認方法を具体的に記載しているか。また、委託先から他者への提供を認めていない場合、提供されていないことを確認する方法を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。

45. 委託先における特定個人情報の消去のルールを定めている場合は、ルールの内容やルール遵守の確認方法を具体的に記載しているか。また、委託契約終了後に消去されていることを確認する方法を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。

46. 委託先と締結する委託契約における特定個人情報ファイルの取扱いに関する規定について具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。

47. 特定個人情報ファイルの取扱いを再委託している場合、再委託先での適正な取扱いの確保のために行っている措置について具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。

48. 特定個人情報ファイルの取扱いの委託において、その他のリスク及びそれらのリスクへの対策についての記載はあるか。

⑥ 特定個人情報の提供・移転について、特定されたリスクを軽減するために講ずべき措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし妥当なものか。

49. 特定個人情報の提供又は移転の記録を残している場合は、その記録の内容や記録方法、保存期間等を具体的に記載しているか。また、記録を残していない場合は特定個人情報が不正に提供又は移転されることを防止できる理由を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。

50. 特定個人情報の提供・移転に関するルールを定めている場合は、ルールの内容やルール遵守の確認方法を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。

51. 特定個人情報を提供・移転する際に、情報漏えいや紛失のリスクを軽減するための措置や提供先・移転先における特定個人情報の使途が法令に基づく適切なものであることを確認するための措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。

52. 誤った特定個人情報を提供・移転することや誤った相手に提供・移転することを防止する措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。

53. 特定個人情報の提供・移転において、その他のリスク及びそれらのリスクへの対策についての記載はあるか。

⑦ 情報提供ネットワークシステムとの接続について、特定されたリスクを軽減するために講ず
べき措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし妥当なものか。

54. 情報提供ネットワークシステムを通じて特定個人情報を入手する際に、目的外の入手が行われないために講じている措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。

55. 情報提供ネットワークシステムを通じて特定個人情報を入手する際に、特定個人情報の安全が保たれない不適切な方法で特定個人情報を入手しないために講じている対策を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。

56. 情報提供ネットワークシステムを通じて特定個人情報を入手した後、その情報の正確性を保つために講じている措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。

57. 情報提供ネットワークシステムを通じて特定個人情報を入手する際に、情報漏えいや紛失のリスクを軽減するためのに講じている措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。

58. 情報提供ネットワークシステムを通じて提供する際に、特定個人情報の不正な提供が行われるリスクを軽減するために講じている措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。

59. 情報提供ネットワークシステムを通じて提供する際に、特定個人情報の提供方法が不適切とならないよう講じている措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。

60. 情報提供ネットワークシステムを通じて提供する際に、誤った特定個人情報を提供することや、誤った相手に提供することを防止するために講じている措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。

61. 情報提供ネットワークシステムとの接続に伴うリスクについて、その他のリスク及びそれらのリスクへの対策についての記載はあるか。

⑧ 特定個人情報の保管・消去について、特定されたリスクを軽減するために講ずべき措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし妥当なものか。

62. 特定個人情報の漏えい・滅失・毀損を防ぐために行っている物理的な対策について具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。

63. 特定個人情報の漏えい・滅失・毀損を防ぐために行っている技術的な対策について具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。

64. 過去3年以内に発生した全ての重大事故の内容、原因、影響、重大事故発生時の対応などについて具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。

65. 重大事故を受けて策定・実施した再発防止策の内容について具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。

66. 死者の個人番号を保管している場合は保管方法を具体的に記載しているか。記載された対策は、
特定個人情報保護評価の目的に照らし、妥当なものか。

67. 特定個人情報を最新の状態で保管するために行っている措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。

68. 保管期間を経過した特定個人情報を適切な時に安全かつ確実に消去できる手続・体制・手法になっているか等について具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。

69. 特定個人情報の保管・消去において、その他のリスク及びそれらのリスクへの対策についての記載はあるか。

⑨ 特定個人情報ファイルの取扱いについて自己点検・監査や従業者に対する教育・啓発を行っているか。

70. 評価書に記載したとおりに運用がなされていること等について、評価の実施を担当する部署自らが、どのように自己点検するか具体的に記載しているか。

71. 評価書に記載したとおりに運用がなされていること等について、どのように監査するか具体的に記載しているか。

72. 特定個人情報を取り扱う従業者等に対しての教育・啓発や違反行為をした従業者等に対する措置について具体的に記載しているか。

73. 国民・住民等からの意見聴取により得られた意見を踏まえて評価書のどの箇所をどのように修正したかを具体的に記載しているか。

⑩ その他、評価実施機関に特有な問題や懸念に対し、特定されたリスクを軽減するために講ずべき措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし妥当なものか。

（12）個人のプライバシー等の権利利益の保護の宣言は、国民・住民の信頼の確保という特定個人情報保護評価の目的に照らし、妥当なものか。
## 特定個人情報保護評価書(全項目評価書)

# [審査の観点及び審査の観点における主な考慮事項]

評価書番号 評価書名

【凡例】

( )数字:審査の観点(指針第10の1(2))

○数字:審査の観点における主な考慮事項

数字:審査の観点における主な考慮事項(細目)

【全体的な事項】

（1）しきい値判断に誤りはないか。

（2）適切な実施主体が実施しているか。

## 個人のプライバシー等の権利利益の保護の宣言

特記事項

## 評価実施機関名

特定個人情報保護委員会 承認日【行政機関等のみ】

公表日

1. 評価実施機関が複数存在し、取りまとめの評価実施機関が評価書を作成・提出する場合に、取りまとめ以外の全ての評価実施機関について記載しているか。

（3）公表しない部分は適切な範囲か。

（4）適切な時期に実施しているか。

（5）適切な方法で広く国民の意見を求め、得られた意見を十分考慮した上で必要な見直しを行っているか。

（6）特定個人情報保護評価の対象となる事務の実態に基づき、特定個人情報保護評価書様式で求められる全ての項目について検討し、記載しているか。

（7）記載された特定個人情報保護評価の実施を担当する部署は、特定個人情報保護評価の対象となる事務を担当し、リスクを軽減させるための措置の実施に責任を負うことができるか。

（9）特定個人情報ファイルを取り扱うプロセスにおいて特定個人情報の漏えいその他の事態を発生させるリスクを、特定個人情報保護評価の対象となる事務の実態に基づき、特定しているか。

(11) 記載されたリスクを軽減させるための措置は、個人のプライバシー等の権利利益の侵害の未然防止、国民・住民の信頼の確保という特定個人情報保護評価の目的に照らし、妥当なものか。

その他、評価実施機関に特有な問題や懸念に対し、特定されたリスクを軽減するために講ずべき措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし妥当なものか。

(12) 個人のプライバシー等の権利利益の保護の宣言は、国民・住民の信頼の確保という特定個人情報保護評価の目的に照らし、妥当なものか。
## I 基本情報

1.特定個人情報ファイルを取り扱う事務
①事務の名称
②事務の内容※
③対象人数	<選択肢>
1)1,000人未満
2)1,000人以上1万人未満
3)1万人以上10万人未満
4)10万人以上30万人未満
5)30万人以上
2.特定個人情報ファイルを取り扱う事務において使用するシステム
システム1
①システムの名称
②システムの機能
③他のシステムとの接続	[ ]情報提供ネットワークシステム[ ]庁内連携システム[ ]住民基本台帳ネットワークシステム[ ]既存住民基本台帳システム[ ]宛名システム等[ ]税務システム[ ]その他( )
システム2～5
システム6～10
システム11～15
システム16～20

(8) 特定個人情報保護評価の対象となる事務の内容の記載は具体的か。当該事務における特定個人情報の流れを併せて記載しているか。
① 特定個人情報ファイルを取り扱う事務やその事務において使用するシステムについて、基本情報を具体的に分かりやすく記載しているか。
2. 評価対象の事務全体の概要及びその中で特定個人情報ファイルを使用して実施する事務の内容を具体的に記載しているか。
3. 当該システムが実現する機能の名称とその概要を具体的に記載しているか。
4. 当該システムと情報をやり取りするシステムを全て記載しているか。
3.特定個人情報ファイル名

4.特定個人情報ファイルを取り扱う理由
①事務実施上の必要性
②実現が期待されるメリット
5.個人番号の利用 ※
法令上の根拠
6.情報提供ネットワークシステムによる情報連携 ※
①実施の有無	<選択肢>1)実施する2)実施しない3)未定
②法令上の根拠
7.評価実施機関における担当部署
①部署
②所属長
8.他の評価実施機関
(備考)
Ⅱ 特定個人情報ファイルの概要

2.基本情報
①ファイルの種類 ※	[ ] 1)システム用ファイル 2)その他の電子ファイル(表計算ファイル等)
②対象となる本人の数	[ ] 1)1万人未満 2)1万人以上10万人未満 3)10万人以上100万人未満 4)100万人以上1,000万人未満 5)1,000万人以上
③対象となる本人の範囲 ※
その必要性
④記録される項目	[ ] 1)10項目未満 2)10項目以上50項目未満 3)50項目以上100項目未満 4)100項目以上
主な記録項目 ※	·識別情報 [ ]個人番号 [ ]個人番号対応符号 [ ]その他識別情報(内部番号) ·連絡先等情報 [ ]4情報(氏名、性別、生年月日、住所) [ ]連絡先(電話番号等) [ ]その他住民票関係情報 ·業務関係情報 [ ]国税関係情報 [ ]地方税関係情報 [ ]健康·医療関係情報 [ ]医療保険関係情報 [ ]児童福祉·子育て関係情報 [ ]障害者福祉関係情報 [ ]生活保護·社会福祉関係情報 [ ]介護·高齢者福祉関係情報 [ ]雇用·労働関係情報 [ ]年金関係情報 [ ]学校·教育関係情報 [ ]災害関係情報 [ ]その他 ( )
その妥当性
全ての記録項目	別添2を参照。
⑤保有開始日
⑥事務担当部署

(8) 特定個人情報保護評価の対象となる事務の内容の記載は具体的か。当該事務における特定個人情報の流れを併せて記載しているか。
② 特定個人情報ファイルの取扱いプロセスの概要(特定個人情報の入手・使用、特定個人情報ファイルの取扱いの委託、特定個人情報の提供・移転、特定個人情報の保管・消去)について、具体的に分かりやすく記載しているか。
8. 対象となる国民・住民の特定個人情報を特定個人情報ファイルにおいて保有することが事務を実施する上で必要な理由を具体的に記載しているか。
9. 主な記録項目について、保有する理由をそれぞれ具体的に記載しているか。
3.特定個人情報の入手・使用
①入手元 ※	[ ]本人又は本人の代理人[ ]評価実施機関内の他部署 ( )[ ]行政機関・独立行政法人等 ( )[ ]地方公共団体・地方独立行政法人 ( )[ ]民間事業者 ( )[ ]その他 ( )
②入手方法	[ ]紙 [ ]電子記録媒体(フラッシュメモリを除く。) [ ]フラッシュメモリ[ ]電子メール [ ]専用線 [ ]庁内連携システム[ ]情報提供ネットワークシステム[ ]その他 ( )
③入手の時期・頻度
④入手に係る妥当性
⑤本人への明示
⑥使用目的 ※
変更の妥当性
⑦使用の主体	使用部署 ※
使用者数	<選択肢>1)10人未満2)10人以上50人未満3)50人以上100人未満4)100人以上500人未満5)500人以上1,000人未満6)1,000人以上
⑧使用方法 ※
情報の突合 ※
情報の統計分析 ※
権利利益に影響を与え得る決定 ※
⑨使用開始日
4.特定個人情報ファイルの取扱いの委託
委託の有無※	[ ] <選択肢>
1) 委託する 2) 委託しない
( ) 件
委託事項1
①委託内容
②取扱いを委託する特定個人情報ファイルの範囲	<選択肢>
1) 特定個人情報ファイルの全体
2) 特定個人情報ファイルの一部
対象となる本人の数	<選択肢>
1) 1万人未満
2) 1万人以上10万人未満
3) 10万人以上100万人未満
4) 100万人以上1,000万人未満
5) 1,000万人以上
対象となる本人の範囲※
その妥当性
③委託先における取扱者数	<選択肢>
1) 10人未満
2) 10人以上50人未満
3) 50人以上100人未満
4) 100人以上500人未満
5) 500人以上1,000人未満 6) 1,000人以上
④委託先への特定個人情報ファイルの提供方法	[ ] 専用線 [ ] 電子メール [ ] 電子記録媒体(フラッシュメモリを除く。)
[ ] フラッシュメモリ [ ] 紙
[ ] その他 ( )
⑤委託先名の確認方法
⑥委託先名
再委託	⑦再委託の有無※	<選択肢>
1) 再委託する 2) 再委託しない
⑧再委託の許諾方法
⑨再委託事項
委託事項2～5
委託事項6～10
委託事項11～15
委託事項16～20

16. 委託先に当該特定個人情報ファイルを取り扱わせることが必要な理由を具体的に記載しているか。
17. 委託先を国民・住民等が確認できるか否か、確認できる場合はどのように確認できるか、確認できない場合はそのような取扱いが評価対象の事務を実施する上で必要な理由を具体的に記載しているか。
18. 特定個人情報ファイルの取扱いを再委託するに当たって、どのような手続・方法によるかを具体的に記載しているか。
5.特定個人情報の提供・移転(委託に伴うものを除く。)
提供・移転の有無	[ ]提供を行っている ( )件 [ ]移転を行っている ( )件 [ ]行っていない
提供先1
①法令上の根拠
②提供先における用途
③提供する情報
④提供する情報の対象となる本人の数	[ ] <選択肢>1)1万人未満2)1万人以上10万人未満3)10万人以上100万人未満4)100万人以上1,000万人未満5)1,000万人以上
⑤提供する情報の対象となる本人の範囲
⑥提供方法	[ ]情報提供ネットワークシステム [ ]専用線[ ]電子メール [ ]電子記録媒体(フラッシュメモリを除く。) [ ]フラッシュメモリ [ ]紙[ ]その他 ( )
⑦時期・頻度
提供先2～5
提供先6～10
提供先11～15
提供先16～20

19. 提供した特定個人情報が、提供先において、いかなる目的で、どのように使用されることになるかを具体的に記載しているか。
移転先1
①法令上の根拠
②移転先における用途
③移転する情報
④移転する情報の対象となる本人の数	<選択肢>1)1万人未満2)1万人以上10万人未満3)10万人以上100万人未満4)100万人以上1,000万人未満5)1,000万人以上
⑤移転する情報の対象となる本人の範囲
⑥移転方法	[ ] 庁内連携システム[ ] 専用線[ ] 電子メール[ ] 電子記録媒体(フラッシュメモリを除く。)[ ] フラッシュメモリ[ ] 紙[ ] その他( )
⑦時期・頻度
移転先2～5
移転先6～10
移転先11～15
移転先16～20
6.特定個人情報の保管・消去
①保管場所※
②保管期間	期間[ ] 2年3年4年5年6年7年8年9年10年以上10年未満11)定められていない
その妥当性
③消去方法
7.備考
Ⅲ 特定個人情報ファイルの取扱いプロセスにおけるリスク対策 ※(7. リスク1⑨を除く。)

1.特定個人情報ファイル名
2.特定個人情報の入手(情報提供ネットワークシステムを通じた入手を除く。)
リスク1:目的外の入手が行われるリスク
対象者以外の情報の入手を防止するための措置の内容
必要な情報以外を入手することを防止するための措置の内容
その他の措置の内容
リスクへの対策は十分か	[ ]	<選択肢>1) 特に力を入れている2) 十分である3) 課題が残されている
リスク2:不適切な方法で入手が行われるリスク
リスクに対する措置の内容
リスクへの対策は十分か	[ ]	<選択肢>1) 特に力を入れている2) 十分である3) 課題が残されている
リスク3:入手した特定個人情報が不正確であるリスク
入手の際の本人確認の措置の内容
個人番号の真正性確認の措置の内容
特定個人情報の正確性確保の措置の内容
その他の措置の内容
リスクへの対策は十分か	[ ]	<選択肢>1) 特に力を入れている2) 十分である3) 課題が残されている
リスク4:入手の際に特定個人情報が漏えい・紛失するリスク
リスクに対する措置の内容
リスクへの対策は十分か	[ ]	<選択肢>1) 特に力を入れている2) 十分である3) 課題が残されている
特定個人情報の入手(情報提供ネットワークシステムを通じた入手を除く。)におけるその他のリスク及びそのリスクに対する措置

（11）記載されたリスクを軽減させるための措置は、個人のプライバシー等の権利利益の侵害の未然防止、国民・住民の信頼の確保という特定個人情報保護評価の目的に照らし、妥当なものか。

24. 評価対象の事務を遂行する上で必要な者以外の者の特定個人情報を入手しないよう講じている対策を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
25. 事務を遂行する上で必要な情報以外の特定個人情報を入手しないよう講じている対策を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
26. 特定個人情報の入手に際して、適切な方法で入手するために講じている措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
27. 特定個人情報を入手する際に、その特定個人情報が本人の情報であることを確認する方法を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
28. 入手した個人番号が本人の個人番号で間違いないことを確認する方法を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
29. 特定個人情報を入手した後、その情報の正確性を保つために講じている措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
30. 特定個人情報を入手する際に、情報の安全確保の観点から講じている措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
31. 特定個人情報の入手において、その他のリスク及びそれらのリスクへの対策についての記載はあるか。
3.特定個人情報の使用
リスク1: 目的を超えた紐付け、事務に必要のない情報との紐付けが行われるリスク
宛名システム等における措置の内容
事務で使用するその他のシステムにおける措置の内容
その他の措置の内容
リスクへの対策は十分か	[ ]	<選択肢>1) 特に力を入れている3) 課題が残されている	2) 十分である
リスク2: 権限のない者(元職員、アクセス権限のない職員等)によって不正に使用されるリスク
ユーザ認証の管理	[ ]	<選択肢>1) 行っている	2) 行っていない
具体的な管理方法
アクセス権限の発効・失効の管理	[ ]	<選択肢>1) 行っている	2) 行っていない
具体的な管理方法
アクセス権限の管理	[ ]	<選択肢>1) 行っている	2) 行っていない
具体的な管理方法
特定個人情報の使用の記録	[ ]	<選択肢>1) 記録を残している	2) 記録を残していない
具体的な方法
その他の措置の内容
リスクへの対策は十分か	[ ]	<選択肢>1) 特に力を入れている3) 課題が残されている	2) 十分である
リスク3: 従業者が事務外で使用するリスク
リスクに対する措置の内容
リスクへの対策は十分か	[ ]	<選択肢>1) 特に力を入れている3) 課題が残されている	2) 十分である
リスク4: 特定個人情報ファイルが不正に複製されるリスク
リスクに対する措置の内容
リスクへの対策は十分か	[ ]	<選択肢>1) 特に力を入れている3) 課題が残されている	2) 十分である
特定個人情報の使用におけるその他のリスク及びそのリスクに対する措置

④ 特定個人情報の使用について、特定されたリスクを軽減するために講ずべき措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし妥当なものか。

32. 宛名システム等において、特定個人情報が、使用目的を超えて取り扱われないよう、また、評価対象の事務に必要のない情報と併せて取り扱われないよう、講じている対策を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
33. 事務で使用するその他のシステムにおいて、特定個人情報が、使用目的を超えて取り扱われないよう、また、評価対象の事務に必要のない情報と併せて取り扱われないよう、講じている対策を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
34. 特定個人情報にアクセスする際の認証を行う場合は、特定個人情報にアクセスするユーザの認証方法、なりすましが行われないために講じている対策について具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
35. 特定個人情報ファイルを取り扱う者が正当なユーザであることを確認するための情報の発効・失効の管理について具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
36. アクセス権限の発効・失効の管理を行う者による当該管理の適正性についてチェックをしている内容を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
37. 特定個人情報の入手から消去までの各過程において、特定個人情報ファイルの取扱い記録やアクセスの失敗の記録等を残していることを具体的に記載しているか。記録を残していない場合は、残していなくても権限のない者による不正な使用を防止できる理由を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
38. 従業者が特定個人情報ファイルを事務外で使用しないよう講じている措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
39. 特定個人情報ファイルを取り扱う者が特定個人情報ファイルを不正に複製しないよう講じている措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
40. 特定個人情報の使用において、その他のリスク及びそれらのリスクへの対策についての記載はあるか。
4.特定個人情報ファイルの取扱いの委託

⑤特定個人情報の委託について、特定されたリスクを軽減するために講ずべき措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし妥当なものか。
41. 委託先を決定する際に特定個人情報ファイルを適切に取り扱う委託先であることを確認する手続等について具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
42. 委託先において特定個人情報ファイルの閲覧者・更新者を必要最小限に制限していることを具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
43. 委託先における特定個人情報ファイルの取扱いについて記録を残している場合は、その方法や保存期間等を具体的に記載しているか。また、記録を残していない場合は権限のない者による不正な使用を防止できる理由を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
44. 委託に伴う特定個人情報の提供に関するルールを定めている場合、ルールの内容やルール遵守の確認方法を具体的に記載しているか。また、委託先から他者への提供を認めていない場合、提供されていないことを確認する方法を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
45. 委託先における特定個人情報の消去のルールを定めている場合は、ルールの内容やルール遵守の確認方法を具体的に記載しているか。また、委託契約終了後に消去されていることを確認する方法を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
46. 委託先と締結する委託契約における特定個人情報ファイルの取扱いに関する規定について具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
47. 特定個人情報ファイルの取扱いを再委託している場合、再委託先での適正な取扱いの確保のために行っている措置について具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
48. 特定個人情報ファイルの取扱いの委託において、その他のリスク及びそれらのリスクへの対策についての記載はあるか。
5.特定個人情報の提供・移転(委託や情報提供ネットワークシステムを通じた提供を除く。) [ ]提供・移転しない
リスク1: 不正な提供・移転が行われるリスク
特定個人情報の提供・移転の記録	[ ] <選択肢>1) 記録を残している	2) 記録を残していない
具体的な方法
特定個人情報の提供・移転に関するルール	[ ] <選択肢>1) 定めている	2) 定めていない
ルールの内容及びルール遵守の確認方法
その他の措置の内容
リスクへの対策は十分か	[ ] <選択肢>1) 特に力を入れている3) 課題が残されている	2) 十分である
リスク2: 不適切な方法で提供・移転が行われるリスク
リスクに対する措置の内容
リスクへの対策は十分か	[ ] <選択肢>1) 特に力を入れている3) 課題が残されている	2) 十分である
リスク3: 誤った情報を提供・移転してしまうリスク、誤った相手に提供・移転してしまうリスク
リスクに対する措置の内容
リスクへの対策は十分か	[ ] <選択肢>1) 特に力を入れている3) 課題が残されている	2) 十分である
特定個人情報の提供・移転(委託や情報提供ネットワークシステムを通じた提供を除く。)におけるその他のリスク及びそのリスクに対する措置

⑥特定個人情報の提供・移転について、特定されたリスクを軽減するために講ずべき措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし妥当なものか。
49.特定個人情報の提供又は移転の記録を残している場合は、その記録の内容や記録方法、保存期間等を具体的に記載しているか。また、記録を残していない場合は特定個人情報が不正に提供又は移転されることを防止できる理由を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
50.特定個人情報の提供・移転に関するルールを定めている場合は、ルールの内容やルール遵守の確認方法を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
51.特定個人情報を提供・移転する際に、情報漏えいや紛失のリスクを軽減するための措置や提供先・移転先における特定個人情報の使途が法令に基づく適切なものであることを確認するための措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
52.誤った特定個人情報を提供・移転することや誤った相手に提供・移転することを防止する措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
53.特定個人情報の提供・移転において、その他のリスク及びそれらのリスクへの対策についての記載はあるか。
6.情報提供ネットワークシステムとの接続 [ ] 接続しない(入手) [ ] 接続しない(提供)
リスク1: 目的外の入手が行われるリスク
リスクに対する措置の内容
リスクへの対策は十分か	[ ]	<選択肢>1) 特に力を入れている3) 課題が残されている	2) 十分である
リスク2: 安全が保たれない方法によって入手が行われるリスク
リスクに対する措置の内容
リスクへの対策は十分か	[ ]	<選択肢>1) 特に力を入れている3) 課題が残されている	2) 十分である
リスク3: 入手した特定個人情報が不正確であるリスク
リスクに対する措置の内容
リスクへの対策は十分か	[ ]	<選択肢>1) 特に力を入れている3) 課題が残されている	2) 十分である
リスク4: 入手の際に特定個人情報が漏えい・紛失するリスク
リスクに対する措置の内容
リスクへの対策は十分か	[ ]	<選択肢>1) 特に力を入れている3) 課題が残されている	2) 十分である
リスク5: 不正な提供が行われるリスク
リスクに対する措置の内容
リスクへの対策は十分か	[ ]	<選択肢>1) 特に力を入れている3) 課題が残されている	2) 十分である
リスク6: 不適切な方法で提供されるリスク
リスクに対する措置の内容
リスクへの対策は十分か	[ ]	<選択肢>1) 特に力を入れている3) 課題が残されている	2) 十分である
リスク7: 誤った情報を提供してしまうリスク、誤った相手に提供してしまうリスク
リスクに対する措置の内容
リスクへの対策は十分か	[ ]	<選択肢>1) 特に力を入れている3) 課題が残されている	2) 十分である
情報提供ネットワークシステムとの接続に伴うその他のリスク及びそのリスクに対する措置

⑦ 情報提供ネットワークシステムとの接続について、特定されたリスクを軽減するために講ずべき措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし妥当なものか。
54. 情報提供ネットワークシステムを通じて特定個人情報を入手する際に、目的外の入手が行われないために講じている措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
55. 情報提供ネットワークシステムを通じて特定個人情報を入手する際に、特定個人情報の安全が保たれない不適切な方法で特定個人情報を入手しないために講じている対策を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
56. 情報提供ネットワークシステムを通じて特定個人情報を入手した後、その情報の正確性を保つために講じている措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
57. 情報提供ネットワークシステムを通じて特定個人情報を入手する際に、情報漏えいや紛失のリスクを軽減するための措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
58. 情報提供ネットワークシステムを通じて提供する際に、特定個人情報の不正な提供が行われるリスクを軽減するための措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
59. 情報提供ネットワークシステムを通じて提供する際に、特定個人情報の提供方法が不適切とならないよう講じている措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
60. 情報提供ネットワークシステムを通じて提供する際に、誤った特定個人情報を提供することや、誤った相手に提供することを防止するために講じている措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
61. 情報提供ネットワークシステムとの接続に伴うリスクについて、その他のリスク及びそれらのリスクへの対策についての記載はあるか。
7.特定個人情報の保管・消去
リスク1:特定個人情報の漏えい・滅失・毀損リスク
①NISC政府機関統一基準群	[	]	<選択肢>1)特に力を入れて遵守している2)十分に遵守している3)十分に遵守している4)政府機関ではない
②安全管理体制	[	]	<選択肢>1)特に力を入れて整備している2)十分に整備している3)十分に整備している4)政府機関ではない
③安全管理規程	[	]	<選択肢>1)特に力を入れて整備している2)十分に整備している3)十分に整備している4)政府機関ではない
④安全管理体制・規程の職員への周知	[	]	<選択肢>1)特に力を入れて周知している2)十分に周知している3)十分に周知している4)政府機関ではない
⑤物理的対策	[	]	<選択肢>1)特に力を入れて行っている2)十分に行っている3)十分に行っている4)政府機関ではない
具体的な対策の内容
⑥技術的対策	[	]	<選択肢>1)特に力を入れて行っている2)十分に行っている3)十分に行っている4)政府機関ではない
具体的な対策の内容
⑦バックアップ	[	]	<選択肢>1)特に力を入れて行っている2)十分に行っている3)十分に行っている4)政府機関ではない
⑧事故発生時手順の策定・周知	[	]	<選択肢>1)特に力を入れて行っている2)十分に行っている3)十分に行っている4)政府機関ではない
⑨過去3年以内に、評価実施機関において、個人情報に関する重大事故が発生したか	[	]	<選択肢>1)発生あり2)発生なし
その内容
再発防止策の内容
⑩死者の個人番号	[	]	<選択肢>1)保管している2)保管している
具体的な保管方法
その他の措置の内容
リスクへの対策は十分か	[	]	<選択肢>1)特に力を入れている2)十分である3)课题が残されている

⑧ 特定個人情報の保管・消去について、特定されたリスクを軽減するために講ずべき措置を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし妥当なものか。

62. 特定個人情報の漏えい・滅失・毀損を防ぐために行っている物理的な対策について具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
63. 特定個人情報の漏えい・滅失・毀損を防ぐために行っている技術的な対策について具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
64. 過去3年以内に発生した全ての重大事故の内容、原因、影響、重大事故発生時への対応等について具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
65. 重大事故を受けて策定・実施した再発防止策の内容について具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
66. 死者の個人番号を保管している場合は保管方法を具体的に記載しているか。記載された対策は、特定個人情報保護評価の目的に照らし、妥当なものか。
リスク2: 特定個人情報が古い情報のまま保管され続けるリスク
リスクに対する措置の内容
リスクへの対策は十分か	[ ] <選択肢>1) 特に力を入れている2) 十分である3) 課題が残されている
リスク3: 特定個人情報が消去されずいつまでも存在するリスク
消去手順	[ ] <選択肢>1) 定めている2) 定めていない
手順の内容
その他の措置の内容
リスクへの対策は十分か	[ ] <選択肢>1) 特に力を入れている2) 十分である3) 課題が残されている
特定個人情報の保管・消去におけるその他のリスク及びそのリスクに対する措置
Ⅳ その他のリスク対策 ※

1. 监查
①自己点検	[ ]	<選択肢>1) 特に力を入れて行っている 2) 十分に行っている3) 十分に行っていない
具体的なチェック方法
②监查	[ ]	<選択肢>1) 特に力を入れて行っている 2) 十分に行っている3) 十分に行っていない
具体的な内容
2. 従業者に対する教育·啓発
従業者に対する教育·啓発	[ ]	<選択肢>1) 特に力を入れて行っている 2) 十分に行っている3) 十分に行っていない
具体的な方法
3. その他のリスク対策
V 開示請求、問合せ

1.特定個人情報の開示・訂正・利用停止請求
①請求先
②請求方法
特記事項
③手数料等	[ ] <選択肢>1)有料 2)無料(手数料額、納付方法: )
④個人情報ファイル簿の公表	[ ] <選択肢>1)行っている 2)行っていない
個人情報ファイル名
公表場所
⑤法令による特別の手続
⑥個人情報ファイル簿への不記載等
2.特定個人情報ファイルの取扱いに関する問合せ
①連絡先
②対応方法
VI 評価実施手続

1. 基礎項目評価
① 実施日
② しきい値判断結果	[ <選択肢> 1) 基礎項目評価及び全項目評価の実施が義務付けられる 2) 基礎項目評価及び重点項目評価の実施が義務付けられる (任意に全項目評価を実施) 3) 基礎項目評価の実施が義務付けられる (任意に全項目評価を実施) 4) 特定個人情報保護評価の実施が義務付けられない (任意に全項目評価を実施)
2. 国民・住民等からの意見の聴取
① 方法
② 実施日・期間
③ 期間を短縮する特段の理由
④ 主な意見の内容
⑤ 評価書への反映
3. 第三者点検
① 実施日
② 方法
③ 結果
4. 特定個人情報保護委員会の承認【行政機関等のみ】
① 提出日
② 特定個人情報保護委員会による審査
変更日	項目	変更前の記載	変更後の記載	提出時期	提出時期に係る説明
資料 2

# 特定個人情報保護評価指針（案）

平成26年0月0日

特定個人情報保護委員會
（2）重要な変更 ..... 11
（3）しきい値判断の結果の変更 ..... 12
（4）一定期間経過 ..... 13
第7 特定個人情報保護評価書の修正 ..... 13
1 基礎項目評価書 ..... 13
2 重点項目評価書・全項目評価書 ..... 13
第8 番号法及び行政機関個人情報保護法に基づく事前通知 ..... 13
第9 特定個人情報保護評価の評価項目 ..... 14
1 基本的な考え方 ..... 14
2 評価項目 ..... 14
（1）基礎項目評価書 ..... 14
（2）重点項目評価書 ..... 14
（3）全項目評価書 ..... 15
第10 委員会の関与 ..... 16
1 特定個人情報保護評価書の承認 ..... 16
（1）承認対象 ..... 16
（2）審査の観点 ..... 16
2 承認の対象としない特定個人情報保護評価書の確認 ..... 18
第11 特定個人情報保護評価書に記載した措置の実施 ..... 18
第12 特定個人情報保護評価に係る違反に対する措置 ..... 18
1 特定個人情報保護評価の未実施に対する措置 ..... 18
2 特定個人情報保護評価書の記載に反する特定個人情報ファイルの取扱いに対する措置 ..... 18
別表 ..... 18

樣式 1 特定個人情報保護評価計画管理書
樣式 2 特定個人情報保護評価書（基礎項目評価書）
樣式 3 特定個人情報保護評価書（重点項目評価書）
樣式 4 特定個人情報保護評価書（全項目評価書）
この指針は、行政手続における特定の個人を識別するための番号の利用等に関する法律（平成25年法律第27号。以下「番号法」という。）第26条第1項の規定に基づく指針であり、行政機関の長等が、番号法第27条の規定に基づき特定個人情報の漏えいその他の事態の発生の危険性及び影響に関する評価（以下「特定個人情報保護評価」という。）を自ら実施し、これらの事態の発生を抑止することその他特定個人情報を適切に管理するために講ずべき措置を定めるものである。

## 第 1 特定個人情報保護評価の意義

## 1 特定個人情報保護評価の基本理念

番号法によって導入される社会保障・税番号制度（以下「番号制度」という。）は、社会保障制度、税制、災害対策その他の分野における行政運営の効率化を図り、国民にとって利便性の高い、公平・公正な社会を実現するための社会基盤として導入されるものである。一方で、番号制度の導入に伴い、個人のプライバシー等の権利利益の保護の観点からは、国家による個人情報の一元管理、特定個人情報の不正追跡・突合、財産その他の被害等への懸念が示されてきた。個人情報の適正な取扱いという観点からは、行政機関の保有する個人情報の保護に関する法律（平成15年法律第58号。以下「行政機関個人情報保護法」という。）等の個人情報保護法令が整備されているが、これに加え、番号制度においては、このような懸念に対して、特定個人情報保護委員会（以下「委員会」という。）による監視・監督その他の制度上の保護措置を定めるとともに、特定個人情報の提供には原則として情報提供ネットワークシステムを使用するなどシステム上の安全措置を講ずることとしている。

特定個人情報保護評価は、このような番号制度の枠組みの下での制度上の保護措置の1つであり、特定個人情報ファイルの適正な取扱いを確保することにより特定個人情報の漏えいその他の事態の発生を未然に防ぎ、個人のプライバシー等の権利利益を保護することを基本理念とするものである。特定個人情報保護評価の実施により、評価実施機関が個人情報保護法令の趣旨を踏まえ、より主体的な措置を講ずることで、個人のプライバシー等の権利利益の保護につながることが期待される。

## 2 特定個人情報保護評価の目的

特定個人情報保護評価は、次に掲げることを目的として実施するものである。

（１）事前対応による個人のプライバシー等の権利利益の侵害の未然防止情報の漏えい、滅失、毀損や不正利用等により個人のプライバシー等
の権利利益が一度侵害されると、拡散した情報を全て消去・修正することが困難であるなど、その回復は容易でない。したがって、個人のプライバシー等の権利利益の保護のためには、事後的な対応ではなく、事前に特定個人情報ファイルの取扱いに伴う特定個人情報の漏えいその他の事態を発生させるリスクを分析し、このようなリスクを軽減するための措置を講ずることが必要である。特定個人情報保護評価は、このような事前対応の要請に応える手段であり、これにより個人のプライバシー等の権利利益の侵害を未然に防止することを目的とするものである。

事前対応を行うことで、事後の大規模なシステムの仕様変更を防ぎ、不必要な支出を防ぐことも期待される。

## （２）国民・住民の信頼の確保

番号制度の導入に対して示されてきた個人のプライバシー等の権利利益が侵害されることへの懸念を払拭する観点からは、特定個人情報ファイルを取り扱う者が、入手する特定個人情報の種類、使用目的・方法、安全管理措置等について国民・住民に分かりやすい説明を行い、その透明性を高めることが求められる。特定個人情報保護評価は、評価実施機関が、特定個人情報ファイルの取扱いにおいて個人のプライバシー等の権利利益の保護に取り組んでいることを自ら宣言し、どのような措置を講じているかを具体的に説明することにより、国民・住民の信頼を確保することを目的とするものである。

## 3 特定個人情報保護評価の内容

特定個人情報保護評価は、評価実施機関が、特定個人情報ファイルを取り扱う事務における当該特定個人情報ファイルの取扱いについて自ら評価するものである。評価実施機関は、特定個人情報ファイルを保有しようとする又は保有する場合は、当該特定個人情報ファイルの取扱いが個人のプライバシー等の権利利益に与える影響を予測した上で特定個人情報の漏えいその他の事態を発生させるリスクを分析し、このようなリスクを軽減するための適切な措置を講じていることを確認の上、基礎項目評価書、重点項目評価書又は全項目評価書（以下「特定個人情報保護評価書」と総称する。）において自ら宣言するものである。

特定個人情報保護評価は、諸外国で採用されているプライバシー影響評価（Privacy Impact Assessment: PIA）に相当するものであり、個人のプライバシー等の権利利益の保護のために必要最小限の措置を講じているか否かについてのチェックにとどまらず、評価実施機関が自らの取組について積極的、体系的に検討し、評価することが期待される。

また、評価実施機関には、個人情報又はプライバシーの保護に関する技
術の進歩、社会情勢の変化等に対応し、特定個人情報の漏えいその他の事態を発生させるリスクを軽減するための取組を継続的に実施することが期待される。

## 第 2 定義

この指針において使用する用語は、番号法及び特定個人情報保護評価に関する規則（平成26年特定個人情報保護委員会規則第___号。以下「規則」という。）において使用する用語の例によるほか、次の定義に従うものとする。

1 評価実施機関 番号法第27条及び規則の規定に基づき特定個人情報保護評価を実施する番号法第2条第14項に規定する行政機関の長等（行政機関の長、地方公共団体の機関、独立行政法人等、地方独立行政法人及び地方公共団体情報システム機構並びに番号法第19条第7号に規定する情報照会者及び情報提供者）をいう。

2 行政機関等 評価実施機関のうち、行政機関の長、独立行政法人等、地方公共団体情報システム機構並びに番号法第19条第7号に規定する情報照会者及び情報提供者（ただし、規則第2条第3号に規定する地方公共団体等（以下単に「地方公共団体等」という。）を除く。）をいう。

3 特定個人情報保護評価計画管理書 規則第3条に規定する評価実施機関が保有する特定個人情報ファイルについての特定個人情報保護評価の計画、実施状況等を記載した書面をいう。

4 全項目評価書 番号法第27条第1項各号に掲げる事項を評価した結果を記載した書面（行政機関等においては番号法第27条第4項及び規則第8条の規定、地方公共団体等においては規則第7条第6項の規定に基づく公表の対象となるもの）をいう。

5 情報連携 行政機関の長等の間の情報提供ネットワークシステムを使用する特定個人情報の提供の求め又は提供をいう。

6 重大事故 評価実施機関が法令に基づく安全管理措置義務を負う個人情報を漏えい、滅失又は毀損した場合であって、故意による又は当該個人情報の本人（個人情報によって識別される特定の個人であって、当該評価実施機関の従業者を除く。）の数が101人以上のもの（ただし、配送事故等のうち当該評価実施機関の責めに帰さない事由によるものを除く。）をいう。

7 特定個人情報の入手 特定個人情報ファイルに記録されることとなる特定個人情報を、特定個人情報保護評価の対象となる事務において用いるために取得することをいう。

8 特定個人情報の使用 特定個人情報ファイルに記録された特定個人情報を特定個人情報保護評価の対象となる事務において用いることをいう。
9 特定個人情報の移転 評価実施機関内において、特定個人情報ファイルに記録された特定個人情報を特定個人情報保護評価の対象となる事務以外の事務を処理する者の使用に供することをいう。

10 システム用ファイル 電子計算機で取り扱われる特定個人情報ファイルであって、要件定義、基本設計、詳細設計、開発及びテスト段階を経て運用に供される電子情報処理組織で保有される特定個人情報ファイルをいう。

11 その他の電子ファイル 電子計算機で取り扱われる特定個人情報ファイルであって、システム用ファイル以外のものをいう。

## 第 3 特定個人情報保護評価の実施主体

1 特定個人情報保護評価の実施が義務付けられる者

次に掲げる者のうち、特定個人情報ファイルを保有しようとする者又は保有する者は、この指針に基づき、特定個人情報保護評価の実施が義務付けられる。

（１）行政機関の長

（２）地方公共団体の長その他の機関

（3）独立行政法人等

（4）地方独立行政法人

（５）地方公共団体情報システム機構

（6）情報連携を行う事業者（番号法第19条第7号に規定する情報照会者及び情報提供者のうち、上記（1）から（5）までに掲げる者以外のものをいう。下記第4の4（1）カにおいて同じ。）

## 2 実施が義務付けられる者が複数いる場合等の特定個人情報保護評価

上記１に掲げる者が特定個人情報保護評価を実施する際に、特定個人情報ファイルを保有しようとする者又は保有する者が複数存在する場合は、特定個人情報ファイルの取扱いの実態やリスク対策を把握し、記載事項に責任を負う立場にある者が特定個人情報保護評価の実施をとりまとめる。

また、特定個人情報ファイルを保有しようとする者又は保有する者以外に特定個人情報ファイルに関与する者が存在する場合は、その者は、特定個人情報保護評価が適切に実施されるよう協力するものとする。

## 第 4 特定個人情報保護評価の対象

1 基本的な考え方

特定個人情報保護評価の対象は、番号法、番号法以外の国の法令又は番号法第9条第2項の規定に基づき地方公共団体が定める条例の規定に基づき特定個人情報ファイルを取り扱う事務とする。
## 2 特定個人情報保護評価の単位

特定個人情報保護評価は、原則として、法令上の事務ごとに実施するものとする。番号法の別表第一に記載される事務については、原則として、別表第一の各項の事務ごとに実施するものとするが、各項の事務ごとに実施することが困難な場合は、1つの項に記載される事務を複数の事務に分割して又は複数の項に記載される事務を1つの事務として、特定個人情報保護評価の対象とすることができる。別表第一以外の番号法の規定、番号法以外の国の法令又は地方公共団体が定める条例に記載する事務についても、評価実施機関の判断で、特定個人情報保護評価の対象となる事務の単位を定めることができる。

## 3 特定個人情報ファイル

特定個人情報保護評価の対象となる事務において取り扱う特定個人情報ファイルとは、個人番号をその内容に含む個人情報ファイルをいい（番号法第2条第9項）、個人情報を含む情報の集合物であって、特定個人情報を検索することができるように体系的に構成したものである。

特定個人情報ファイルの単位は、特定個人情報ファイルの使用目的に基づき、評価実施機関が定めることができる。特定個人情報保護評価の対象となる1つの事務において複数の特定個人情報ファイルを保有することもできる。

## 4 特定個人情報保護評価の実施が義務付けられない事務

## （１）実施が義務付けられない事務

特定個人情報ファイルを取り扱う事務のうち、次に掲げる事務（規則第4条第1号から第7号までに掲げる特定個人情報ファイルのみを取り扱う事務）は特定個人情報保護評価の実施が義務付けられない。次に掲げる事務であっても、特定個人情報保護評価の枠組みを用い、任意で評価を実施することを妨げるものではない。

ア 職員又は職員であった者の人事、給与、福利厚生に関する事項を記録した特定個人情報ファイルのみを取り扱う事務（規則第4条第1号）

イ 手作業処理用ファイルのみを取り扱う事務（規則第4条第2号）

ウ 特定個人情報ファイルを取り扱う事務において保有する全ての特定個人情報ファイルに記録される本人の数の総数（以下「対象人数」という。）が1,000人未満の事務（規則第4条第3号）

エ 1つの事業所の事業主が単独で設立した健康保険組合又は密接な関係を有する2以上の事業所の事業主が共同若しくは連合して設立した
健康保険組合が保有する被保険者若しくは被保険者であった者又はその被扶養者の医療保険に関する事項を記録した特定個人情報ファイルのみを取り扱う事務（規則第4条第4号及び第5号）

オ 公務員若しくは公務員であった者又はその被扶養者の共済に関する事項を記録した特定個人情報ファイルのみを取り扱う事務（規則第4条第5号）

カ 情報連携を行う事業者が情報連携の対象とならない特定個人情報を記録した特定個人情報ファイルのみを取り扱う事務（規則第4条第6号）

## キ 会计検査院が検査上の必要により保有する特定個人情報ファイルのみを取り扱う事務（規則第4条第7号）

また、特定個人情報保護評価の対象となる事務において複数の特定個人情報ファイルを取り扱う場合で、その一部が上記（ウを除く。）に定める特定個人情報ファイルである場合は、その特定個人情報ファイルに関する事項を特定個人情報保護評価書に記載しないことができる。

## （２）特定個人情報保護評価以外の番号法の規定の適用

上記（1）に定める特定個人情報保護評価の実施が義務付けられない事務であっても、特定個人情報保護評価以外の番号法の規定が適用され、当該事務を実施する者は、番号法に基づき必要な措置を講ずることが求められる。

## 第 5 特定個人情報保護評価の実施手続

## 1 特定個人情報保護評価計画管理書

## （１）特定個人情報保護評価計画管理書の作成

評価実施機関は、最初の特定個人情報保護評価を実施する前に、特定個人情報保護評価計画管理書（様式1参照）を作成するものとする。

規則第3条に規定する特定個人情報保護評価計画管理書は、特定個人情報保護評価を計画的に実施し、また、特定個人情報保護評価の実施状況を適切に管理するために作成するものである。評価実施機関で実施する特定個人情報保護評価に関する全ての事務及びシステムについて記載するものとし、評価実施機関単位で作成するものとする。

特定個人情報保護評価計画管理書の記載事項に変更が生じたときは、特定個人情報保護評価計画管理書を速やかに更新するものとする。

（２）特定個人情報保護評価計画管理書の提出

評価実施機関は、規則第３条の規定に基づき、最初の特定個人情報保護評価書の委員会への提出の際に、特定個人情報保護評価計画管理書を併せて提出するものとする。その後、評価実施機関が特定個人情報保護