Silviase/jgov_v1.4_full_ann huggingface dataset:
- 安全管理措置（番号法第12条、第33条、第34条、個人情報保護法第20条、第21条）

個人番号関係事務実施者又は個人番号利用事務実施者である事業者は、個人番号及び特定個人情報（以下「特定個人情報等」という。）の漏えい、滅失又は毀損の防止等、特定個人情報等の管理のために、必要かつ適切な安全管理措置を講じなければならない。また、従業者 $ ^{注} $ に特定個人情報等を取り扱わせるに当たっては、特定個人情報等の安全管理措置が適切に講じられるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

（注）「従業者」とは、事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者をいう。具体的には、従業員のほか、取締役、監査役、理事、監事、派遣社員等を含む。

※ 安全管理措置の具体的な内容については、「（別添）特定個人情報に関する安全管理措置（事業者編）」を参照のこと。
第 4 - 3 特定個人情報の提供制限等 第 4 - 3 - (1) 個人番号の提供の要求

要点
○ 個人番号関係事務実施者又は個人番号利用事務実施者は、個人番号関係事務又は個人番号利用事務を処理するために必要がある場合に限って、本人又は他の個人番号関係事務実施者若しくは個人番号利用事務実施者に対して個人番号の提供を求めることができる。
(関係条文)
・番号法 第14条

## 1 提供の要求（番号法第14条第1項）

事業者は、個人番号関係事務又は個人番号利用事務を行うため、本人又は他の個人番号関係事務実施者若しくは個人番号利用事務実施者から個人番号の提供を受ける必要がある。番号法第14条第1項は、個人番号関係事務実施者又は個人番号利用事務実施者が個人番号の提供を求めるための根拠となる規定である。

個人番号関係事務実施者又は個人番号利用事務実施者は、本条により、個人番号関係事務又は個人番号利用事務を処理するために必要がある場合、本人又は他の個人番号関係事務実施者若しくは個人番号利用事務実施者に対し個人番号の提供を求めることとなる。

## A 本人に対する個人番号の提供の要求

事業者は、本条を根拠として、従業員等に対し、給与の源泉徴収事務、健康保険・厚生年金保険届出事務等に必要な個人番号の提供を、講演料、地代等に係る個人の支払先に対し、支払調書作成事務に必要な個人番号の提供を求めることとなる。

## B 他の個人番号関係事務実施者又は個人番号利用事務実施者に対する個人番号の提供の要求

事業者は、本条を根拠として、従業員等に対し、給与の源泉徴収事務のため、当該従業員等の扶養親族の個人番号を記載した扶養控除等申告書の提出を求めることとなる。この場合、従業員等は扶養親族の個人番号を記載した扶養控除等申告書を提出する法令（所得税法（昭和40年法律第33号）第194条第1項）上の義務を負っていることから「個人番号関係事務実施者」として取り扱われる。

## 2 提供を求める時期

個人番号関係事務実施者又は個人番号利用事務実施者は、個人番号関係事
務又は個人番号利用事務を処理するために必要があるときに個人番号の提供を求めることとなる。

事業者が行う個人番号関係事務においては、個人番号関係事務が発生した時点で個人番号の提供を求めることが原則であるが、本人との法律関係等に基づき、個人番号関係事務の発生が予想される場合には、契約を締結した時点等の当該事務の発生が予想できた時点で個人番号の提供を求めることが可能であると解される。なお、契約内容等から個人番号関係事務が明らかに発生しないと認められる場合には、個人番号の提供を求めてはならない。

$ ^{*} $ 従業員等の給与の源泉徴収事務、健康保険・厚生年金保険届出事務等及びこれらに伴う給与所得の源泉徴収票、健康保険・厚生年金保険被保険者資格取得届等の作成事務の場合は、扶養控除等申告書のように毎年個人番号と共にその提供を受ける必要がある場合を除き、雇用契約の締結時点で個人番号の提供を求めることも可能であると解される。

* 非上場会社の株主に対する配当金の支払事務及びこれに伴う支払調書の作成事務の場合は、所得税法第224条第1項及び同法施行令第336条第1項の規定により支払の確定の都度、個人番号の告知を求めることが原則であるが、当該株主が株主としての地位を得た時点で個人番号の提供を求めることも可能であると解される。

* 地代等の支払事務及びこれに伴う支払調書の作成事務の場合は、賃料の金額により契約時点で支払調書の作成が不要であることが明らかである場合を除き、契約時点で個人番号の提供を求めることが可能であると解される。
要点
○ 番号法で限定的に明記された場合を除き、個人番号の提供を求めてはならない。→1
○ 番号法で限定的に明記された場合を除き、特定個人情報を提供してはならない。→2
(関係条文)
・番号法 第15条、第19条、第29条第3項
・個人情報保護法 第23条

## 1 提供の求めの制限（番号法第15条）

何人も、番号法第19条各号のいずれかに該当し特定個人情報の提供を受けることができる場合を除き、他人 $ ^{注} $ の個人番号の提供を求めてはならない。事業者が個人番号の提供を求めることとなるのは、従業員等に対し、社会保障、税及び災害対策に関する特定の事務のために個人番号の提供を求める場合等に限られる。

$ ^{*} $ 事業者は、給与の源泉徴収事務を処理する目的で、従業員等に対し、個人番号の提供を求めることとなる（番号法第19条第3号に該当）。一方、従業員等の営業成績等を管理する目的で、個人番号の提供を求めてはならない。

（注）他人とは「自己と同一の世帯に属する者以外の者」であり、子、配偶者等の自己と同一の世帯に属する者に対しては、番号法第19条各号のいずれかに該当しなくても、個人番号の提供を求めることができる。

## 2 特定個人情報の提供制限（番号法第19条）

何人も、番号法で限定的に明記された場合を除き、特定個人情報を「提供」してはならない。

事業者が特定個人情報を提供できるのは、社会保障、税及び災害対策に関する特定の事務のために従業員等の特定個人情報を行政機関等及び健康保険組合等に提供する場合等に限られる。

## A 「提供」の意義について

「提供」とは、法的な人格を超える特定個人情報の移動を意味するものであり、同一法人の内部等の法的な人格を超えない特定個人情報の移動は「提供」ではなく「利用」に当たり、利用制限（番号法第9条、第28条、第29条第3項、第32条）に従うこととなる。

なお、個人情報保護法においては、個人データを特定の者との間で共同
して利用する場合には、第三者提供に当たらないとしている（個人情報保護法第23条第4項第3号）が、番号法においては、個人情報保護法第23条第4項第3号の適用を除外している（番号法第29条第3項）ことから、この場合も通常の「提供」に当たり、提供制限（同法第14条から第16条まで、第19条、第20条、第29条第3項）に従うこととなる。

## * 「提供」に当たらない場合

事業者甲の中のX部からY部へ特定個人情報が移動する場合、X部、Y部はそれぞれ甲の内部の部署であり、独立した法的人格を持たないから、「提供」には当たらない。例えば、営業部に所属する従業員等の個人番号が、営業部庶務課を通じ、給与所得の源泉徴収票を作成する目的で経理部に提出された場合には、「提供」には当たらず、法令で認められた「利用」となる。

## * 「提供」に当たる場合

事業者甲から事業者乙へ特定個人情報が移動する場合は「提供」に当たる。同じ系列の会社間等での特定個人情報の移動であっても、別の法人である以上、「提供」に当たり、提供制限に従うこととなるため留意が必要である。例えば、ある従業員等が甲から乙に出向又は転籍により異動し、乙が給与支払者（給与所得の源泉徴収票の提出義務者）になった場合には、甲・乙間で従業員等の個人番号を受け渡すことはできず、乙は改めて本人から個人番号の提供を受けなければならない。

$ ^{*} $ 同じ系列の会社間等で従業員等の個人情報を共有データベースで保管しているような場合、従業員等が現在就業している会社のファイルにのみその個人番号を登録し、他の会社が当該個人番号を参照できないようなシステムを採用していれば、共有データベースに個人番号を記録することが可能であると解される。

* 上記の事例において、従業員等の出向に伴い、本人を介在させることなく、共有データベース内で自動的にアクセス制限を解除する等して出向元の会社のファイルから出向先の会社のファイルに個人番号を移動させることは、提供制限に違反することになるので、留意する必要がある。

一方、共有データベースに記録された個人番号を出向者本人の意思に基づく操作により出向先に移動させる方法をとれば、本人が新たに個人番号を出向先に提供したものとみなすことができるため、提供制限には違反しないものと解される。なお、この場合には、本人の意思に基づかない不適切な個人番号の提供が行われないよう、本人のアクセス及び識別について安全管理措置を講じる必要がある。

また、本人確認については、「行政手続における特定の個人を識別するための番号の利用等に関する法律施行規則」（平成26年内閣府・総務省令第3号。以下「番号法施行規則」という。）第4条又は代理人が行う場合は第10条に従って手続を整備しておけば、本人確認に係る事務を効率的に行うことが可能と解される。
B 特定個人情報を提供できる場合（番号法第19条第1号から第14号まで）

特定個人情報を提供できる場合として、番号法第19条各号が定めている

もののうち、事業者が関わるものは次のとおりである。

## a 個人番号利用事務実施者からの提供（第1号）

個人番号利用事務実施者が、個人番号利用事務を処理するために、必要な限度で本人、代理人又は個人番号関係事務実施者に特定個人情報を提供する場合である。

* 市区町村長（個人番号利用事務実施者）は、住民税を徴収（個人番号利用事務）するために、事業者に対し、その従業員等の個人番号と共に特別徴収税額を通知することができる。

## b 個人番号関係事務実施者からの提供（第2号）

個人番号関係事務実施者は、個人番号関係事務を処理するために、法令に基づき、行政機関等、健康保険組合等又はその他の者に特定個人情報を提供することとなる。

$ ^{*} $ 事業者（個人番号関係事務実施者）は、所得税法第226条第1項の規定に従って、給与所得の源泉徴収票の提出という個人番号関係事務を処理するために、従業員等の個人番号が記載された給与所得の源泉徴収票を2通作成し、1通を税務署長に提出し、他の1通を本人に交付することとなる。

$ ^{*} $ 事業者の従業員等（個人番号関係事務実施者）は、所得税法第194条第1項の規定に従って、扶養控除等申告書の提出という個人番号関係事務を処理するために、事業者（個人番号関係事務実施者）に対し、その扶養親族の個人番号を記載した扶養控除等申告書を提出することとなる。

## c 本人又は代理人からの提供（第3号）

本人又はその代理人は、個人番号関係事務実施者又は個人番号利用事務実施者に対し、本人の個人番号を含む特定個人情報を提供することとなる。

* 本人は、給与の源泉徴収事務、健康保険・厚生年金保険届出事務等のために、個人番号関係事務実施者である事業者に対し、自己（又はその扶養親族）の個人番号を書類に記載して提出することとなる。

## d 委託、合併に伴う提供（第5号）

特定個人情報の取扱いの全部若しくは一部の委託又は合併その他の事由による事業の承継が行われたときは、特定個人情報を提供することが
認められている。

$ ^{*} $ 事業者が、源泉徴収票作成事務を含む給与事務を子会社に委託する場合、その子会社に対し、従業員等の個人番号を含む給与情報を提供することができる。

* 甲社が乙社を吸収合併した場合、吸収される乙社は、その従業員等の個人番号を含む給与情報等を存続する甲社に提供することができる。

## e 情報提供ネットワークシステムを通じた提供（第7号、番号法施行令第21条）

番号法別表第2に記載されている行政機関等及び健康保険組合等の間で、同表の事務に関し、情報提供ネットワークシステムを使用して特定個人情報の提供を行うものである。したがって、健康保険組合等以外の事業者は、情報提供ネットワークシステムを使用することはない。

## f 委員会からの提供の求め（第11号）

委員会が、特定個人情報の取扱いに関し、番号法第52条第1項の規定により、特定個人情報の提出を求めた場合には、この求めに応じ、委員会に対し、特定個人情報を提供しなければならない。

## g 各議院審査等その他公益上の必要があるときの提供（第12号、番号法施行令第26条、同施行令別表）

①各議院の審査、調査の手続、②訴訟手続その他の裁判所における手続、③裁判の執行、④刑事事件の捜査、⑤租税に関する法律の規定に基づく犯則事件の調査、⑥会計検査院の検査が行われるとき、⑦公益上の必要があるときには、特定個人情報を提供することができる。⑦の公益上の必要があるときは、番号法施行令第26条で定められており、「私的独占の禁止及び公正取引の確保に関する法律」（昭和22年法律第54号）の規定による犯則事件の調査（番号法施行令別表第2号）、「金融商品取引法」（昭和23年法律第25号）の規定による犯則事件の調査（同表第4号）、租税調査（同表第8号）、個人情報保護法の規定による報告徴収（同表第19号）、「犯罪による収益の移転防止に関する法律」（平成19年法律第22号）の規定による届出（同表第23号）等がある。

## h 人の生命、身体又は財産の保護のための提供（第13号）

人の生命、身体又は財産の保護のために必要がある場合において、本人の同意があり、又は本人の同意を得ることが困難であるときは、特定個人情報を提供することができる。

* 客が小売店で個人番号カードを落としていった場合、その小売店は警察に遺失
物として当該個人番号カードを届け出ることができる。

## C 個人情報保護法上の第三者提供との違い

個人情報保護法は、個人情報取扱事業者に対し、個人データについて、本人の同意がある場合、法令の規定に基づく場合等には、第三者に提供することができることとされている。

番号法においては、全ての事業者を対象に、第19条で特定個人情報を提供できる場合を限定的に定めており、特定個人情報の提供については、個人情報保護法第23条は適用されない。

特定個人情報の提供を求められた場合には、その提供を求める根拠が、番号法第19条各号に該当するものかどうかをよく確認し、同条各号に該当しない場合には、特定個人情報を提供してはならない。

$ ^{*} $ 個人情報保護法第25条に基づく開示の求め、同法第26条に基づく訂正等の求め又は同法第27条に基づく利用停止等の求めにおいて、本人から個人番号を付して求めが行われた場合や本人に対しその個人番号又は特定個人情報を提供する場合は、番号法第19条各号に定めはないものの、法の解釈上当然に特定個人情報の提供が認められるべき場合であり、特定個人情報を提供することができる。
第 4 - 3 - (3) 收集・保管制限

要点
○ 番号法第19条各号のいずれかに該当する場合を除き、特定個人情報を収集又は保管してはならない。
(関係条文)
・番号法 第20条

## • 収集・保管の制限（番号法第20条）

何人も、番号法第19条各号（社会保障、税及び災害対策に関する特定の事務等）のいずれかに該当する場合を除き、他人 $ ^{注} $ の個人番号を含む特定個人情報を収集又は保管してはならない。

（注）他人とは「自己と同一の世帯に属する者以外の者」であり、子、配偶者等の自己と同一の世帯に属する者の特定個人情報は、番号法第19条各号のいずれかに該当しなくても、収集又は保管することができる。

## A 收集制限

「収集」とは、集める意思を持って自己の占有に置くことを意味し、例えば、人から個人番号を記載したメモを受け取ること、人から聞き取った個人番号をメモすること等、直接取得する場合のほか、電子計算機等を操作して個人番号を画面上に表示させ、その個人番号を書き取ること、プリントアウトすること等を含む。一方、特定個人情報の提示を受けただけでは、「収集」に当たらない。

$ ^{*} $ 事業者の給与事務担当者として個人番号関係事務に従事する者が、その個人番号関係事務以外の目的で他の従業員等の特定個人情報をノートに書き写してはならない。

$ ^{*} $ 事業者の中で、単に個人番号が記載された書類等を受け取り、支払調書作成事務に従事する者に受け渡す立場の者は、独自に個人番号を保管する必要がないため、個人番号の確認等の必要な事務を行った後はできるだけ速やかにその書類を受け渡すこととし、自分の手元に個人番号を残してはならない。

例えば、事業者が講師に対して講演料を支払う場合において、講師から個人番号が記載された書類等を受け取る担当者と支払調書作成事務を行う担当者が異なるときは、書類等を受け取る担当者は、支払調書作成事務を行う担当者にできるだけ速やかにその書類を受け渡すこととし、自分の手元に個人番号を残してはならない。

なお、個人番号が記載された書類等を受け取る担当者も、個人番号関係事務に従事する事業者の一部として当該事務に従事するのであるから、当該個人番号により
特定される本人から当該書類等を受け取る際に、当該書類等の不備がないかどうか個人番号を含めて確認することができる。

## B 保管制限と廃棄

個人番号は、番号法で限定的に明記された事務を処理するために収集又は保管されるものであるから、それらの事務を行う必要がある場合に限り特定個人情報を保管し続けることができる。また、個人番号が記載された書類等については、所管法令によって一定期間保存が義務付けられているものがあるが、これらの書類等に記載された個人番号については、その期間保管することとなる。

一方、それらの事務を処理する必要がなくなった場合で、所管法令において定められている保存期間を経過した場合には、個人番号をできるだけ速やかに廃棄又は削除しなければならない。なお、その個人番号部分を復元できない程度にマスキング又は削除した上で保管を継続することは可能である。

$ ^{*} $ 事業者は、給与の源泉徴収事務を処理する目的で、従業員等の個人番号を保管することができる（番号法第19条第3号に該当）。一方、従業員等の営業成績等を管理する目的で、従業員等の個人番号を保管することはできない。

$ ^{*} $ 雇用契約等の継続的な契約関係にある場合には、従業員等から提供を受けた個人番号を給与の源泉徴収事務、健康保険・厚生年金保険届出事務等のために翌年度以降も継続的に利用する必要が認められることから、特定個人情報を継続的に保管できると解される。なお、従業員等が休職している場合には、復職が未定であっても雇用契約が継続していることから、特定個人情報を継続的に保管できると解される。

土地の賃貸借契約等の継続的な契約関係にある場合も同様に、支払調書の作成事務のために継続的に個人番号を利用する必要が認められることから、特定個人情報を継続的に保管できると解される。

* 扶養控除等申告書は、所得税法施行規則第76条の3により、当該申告書の提出期限（毎年最初に給与等の支払を受ける日の前日まで）の属する年の翌年1月10日の翌日から7年を経過する日まで保存することとなっていることから、当該期間を経過した場合には、当該申告書に記載された個人番号を保管しておく必要はなく、原則として、個人番号が記載された扶養控除等申告書をできるだけ速やかに廃棄しなければならない。

そのため、個人番号が記載された扶養控除等申告書等の書類については、保存期間経過後における廃棄を前提とした保管体制をとることが望ましい。

$ ^{*} $ 給与所得の源泉徴収票、支払調書等の作成事務のために提供を受けた特定個人情報を電磁的記録として保存している場合においても、その事務に用いる必要がなく、
## • 本人確認（番号法第16条）

本人確認については、番号法、番号法施行令、番号法施行規則及び個人番号利用事務実施者が認める方法に従うこととなるため、適切に対応する必要がある。

〈参考〉

番号法、番号法施行令及び番号法施行規則における本人確認の概要は、次のとおりである。この項目において、「法」は番号法、「令」は番号法施行令、「規」は番号法施行規則をいう（番号法施行規則第1条第1項第1号の場合は、「規1①一」と表記する。）。

## ① 本人から個人番号の提供を受ける場合

## i 個人番号カードの提示を受ける場合

「個人番号カード」(法16)

## ii 通知カードの提示を受ける場合

「通知カード」 + 「本人の身元確認書類」

(法16) (規1①)

→ 運転免許証等（規1①一、二）

→ 困難な場合（規1①三）

→ 財務大臣等の特則（規1③一から四まで）

→ 困難な場合（規1③五）

→ 特定の個人と同一の者であることが明らかな場合（規3⑤）

## iii i、ii以外の場合

## (i) 書類の提示を受ける場合等

「番号確認書類」＋「本人の身元確認書類」（令12 $ ^{①} $ 一）

(令12 $ ^{①} $ 二)

→住民票の

→運転免許証等（規2）

写し等

→ 困難な場合（規3②）

→ 困難な場合

(規3①)

→ 財務大臣等の特則（規3③）

電話による場合（規3④）

特定の個人と同一の者であることが明らかな場合（規3⑤）

（ii）電子情報処理組織を使用して個人番号の提供を受ける場合

個人番号カードのICチップの読み取り、電子署名等の送信、個人番号利用事務実施者による地方公共団体情報システム機構への確認等（規4）
## ② 本人の代理人から個人番号の提供を受ける場合

## i 書類の提示を受ける場合等

「代理権確認書類」＋「代理人の身元確認書類」＋「本人の番号確認書類」

(令12 $ ^{②} $ 一)

(令12 $ ^{②} $ 二)

→戸籍謄本、委任状等

個人番号カード、運転免許証等（令12②三）

→ 本人に係る

個人番号カード等

(規6①一、二)

(規7①)

(規 8 )

→ 困難な場合

(規6①三)

→代理人が法人の場合

(規7②)

→困難な場合

(規9⑤)

代理人が法人の場合（規6②）

> 困難な場合

(規9①)

→財務大臣等の特則

(規9②)

電話による場合

(規9③)

→ 電話による場合

(規9③)

特定の個人と同一の者であることが明らかな場合（規9④）

## ii 電子情報処理組織を使用して個人番号の提供を受ける場合

代理権証明情報及び代理人の電子署名等の送信、個人番号利用事務実施者による地方公共団体情報システム機構への確認等（規10）

※ 書面の送付により個人番号の提供を受ける場合は、上記で提示を受けることとされている書類又はその写しの提出を受けなければならない（規11）。
第 4 - 4 第三者提供の停止に関する取扱い

## 要点

○特定個人情報を提供することができるのは、番号法第19条各号に当てはまる場合に限定されている。したがって、特定個人情報が違法に第三者に提供されていることを知った本人から、その提供の停止が求められた場合であって、その求めに理由があることが判明したときには、第三者への提供を停止しなければならない。
○なお、特定個人情報を適正に取り扱っていれば、第三者への提供の停止を求められる事態は生じない。
(関係条文)
・番号法 第29条第3項
・個人情報保護法 第27条

## ● 第三者提供の停止（番号法第29条第3項により読み替えて適用される個人情報保護法第27条第2項）

特定個人情報を提供することができるのは、番号法第19条各号に当てはまる場合に限定されており、それ以外の場合で特定個人情報を提供してはならない。保有個人データである特定個人情報が、番号法第19条各号に違反して違法に第三者に提供されているという理由により、本人から第三者への当該特定個人情報の提供の停止を求められた場合であって、その求めに理由があることが判明したときには、遅滞なく、当該特定個人情報の第三者への提供を停止しなければならない。

ただし、第三者への提供を停止することが困難であり、本人の権利利益を保護するために代わりの措置をとるときは、第三者への提供を停止しないことが認められており、この点は従来の個人情報保護法の取扱いと同様である。
## 第 4 - 5 特定個人情報保護評価

## ● 特定個人情報保護評価（番号法第26条、第27条）

特定個人情報保護評価とは、情報提供ネットワークシステムを使用して情報連携を行う事業者が、特定個人情報の漏えいその他の事態を発生させるリスクを分析し、そのようなリスクを軽減するための適切な措置を講ずることを宣言するものである。

行政機関等以外の者で、情報提供ネットワークシステムを使用して情報連携を行う事業者としては、健康保険組合等が挙げられる。

特定個人情報保護評価の実施が義務付けられていない事業者が、任意に特定個人情報保護評価の手法を活用することは、特定個人情報の保護の観点から有益である。

※ 特定個人情報保護評価の詳細については、「特定個人情報保護評価に関する規則」（平成26年特定個人情報保護委員会規則第1号）及び「特定個人情報保護評価指針」（平成26年特定個人情報保護委員会告示第4号）を参照のこと。
## 第 4 - 6 個人情報保護法の主な規定

事業者のうち、個人情報取扱事業者は、特定個人情報の適正な取扱いについて、次のとおり個人情報保護法の適用を受けるので留意する必要がある。

## A 利用目的の特定（個人情報保護法第15条）

## a 利用目的の特定（第1項）

個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用目的をできる限り特定しなければならない。

## b 利用目的の変更（第2項）

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。

## B 利用目的の通知等（個人情報保護法第18条）

## a 利用目的の通知等（第1項）

個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

## b 利用目的の明示（第2項）

個人情報取扱事業者は、aの規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電子的方式等で作られる記録を含む。以下bにおいて同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

## c 変更された利用目的の通知等（第3項）

個人情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。

## d 適用除外（第 4 項）

a から c までの規定は、i 本人等の権利利益を害するおそれがある場合、ii 当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合、i 国の行政機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、当該事務の遂行に支障を及ぼすおそれがあるとき、iv 取得の状況からみて利用目的が明らかであると認
められる場合には、適用しない。

## C データ内容の正確性の確保（個人情報保護法第19条）

個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めなければならない。

## D 適正取得（個人情報保護法第17条）

個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。

## E 保有個人データに関する事項の公表等（個人情報保護法第24条、個人情報保護法施行令第5条）

## a 保有個人データに関する事項の公表（第1項）

個人情報取扱事業者は、保有個人データに関し、i 当該個人情報取扱事業者の氏名又は名称、ii全ての保有個人データの利用目的（B di から Ⅲ までに該当する場合を除く。）、Ⅲ利用目的の通知、開示、訂正等、利用停止等の求めに応じる手続等、iv i から Ⅲ までに掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として個人情報保護法施行令第5条で定めるものについて、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。

## b 利用目的の通知の求め（第2項）

個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの利用目的の通知を求められたときは、本人に対し、遅滞なく、これを通知しなければならない。ただし、i aの規定により当該本人が識別される保有個人データの利用目的が明らかな場合、ii B d i から Ⅲまでに該当する場合のいずれかに該当する場合は、この限りでない。

## c 本人に対する通知（第3項）

個人情報取扱事業者は、bの規定に基づき求められた保有個人データの利用目的を通知しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

## F 開示（個人情報保護法第25条、個人情報保護法施行令第6条）

## a 開示（第 1 項）

個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの開示（当該本人が識別される保有個人データが存在しないときにその旨を知らせることを含む。以下同じ。）を求められたときは、本人に対し、個人情報保護法施行令第6条で定める方法により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより、i本
人等の権利利益を害するおそれがある場合、い当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合、辻他の法令に違反することとなる場合のいずれかに該当する場合は、その全部又は一部を開示しないことができる。

## b 本人に対する通知（第2項）

個人情報取扱事業者は、aの規定に基づき求められた保有個人データの全部又は一部について開示しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

## c 他の法令による開示（第3項）

他の法令の規定により、本人に対し a の本文に規定する方法に相当する方法により当該本人が識別される保有個人データの全部又は一部を開示することとされている場合には、当該全部又は一部の保有個人データについては、a の規定は、適用しない。

## G 訂正等（個人情報保護法第26条）

## a 訂正等（第 1 項）

個人情報取扱事業者は、本人から、当該本人が識別される保有個人データの内容が事実でないという理由によって当該保有個人データの内容の訂正、追加又は削除（以下a及びbにおいて「訂正等」という。）を求められた場合には、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人データの内容の訂正等を行わなければならない。

## b 本人に対する通知（第2項）

個人情報取扱事業者は、aの規定に基づき求められた保有個人データの内容の全部若しくは一部について訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。）を通知しなければならない。

## H 利用停止等（個人情報保護法第27条）

## a 利用停止等（第 1 項）

個人情報取扱事業者は、本人から、当該本人が識別される保有個人データが第4-1-(1)B（利用目的を超えた個人番号の利用禁止）の規定に違反して取り扱われているという理由又はDの規定に違反して取得されたものであるという理由によって、当該保有個人データの利用の停止又は消去（以下a及びbにおいて「利用停止等」という。）を求められた場合であって、その求めに理由があることが判明したときは、違反を是正するため
に必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

## b 本人に対する通知（第3項）

個人情報取扱事業者は、aの規定に基づき求められた保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は個人情報保護法第27条第2項の規定に基づき求められた保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

## Ⅰ 理由の説明（個人情報保護法第28条）

個人情報取扱事業者は、Ｅｃ、Ｆｂ、Ｇｂ又はＨｂの規定により、本人から求められた措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、その理由を説明するよう努めなければならない。

## J 開示等の求めに応じる手続（個人情報保護法第29条、個人情報保護法施行令第7条、第8条）

## a 開示等の求めの受付方法（第1項）

個人情報取扱事業者は、E b、F a、G a 又は H a 若しくは第 4 - 4（第三者提供の停止に関する取扱い）の規定による求め（以下 a から d までにおいて「開示等の求め」という。）に関し、個人情報保護法施行令第 7 条で定めるところにより、その求めを受け付ける方法を定めることができる。この場合において、本人は、当該方法に従って、開示等の求めを行わなければならない。

## b 特定するに足りる事項の提示（第2項）

個人情報取扱事業者は、本人に対し、開示等の求めに関し、その対象となる保有個人データを特定するに足りる事項の提示を求めることができる。この場合において、個人情報取扱事業者は、本人が容易かつ的確に開示等の求めをすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。

## c 代理人（第3項）

開示等の求めは、個人情報保護法施行令第8条で定めるところにより、代理人によってすることができる。
## d 本人に対する配慮（第4項）

個人情報取扱事業者は、aからcまでの規定に基づき開示等の求めに応じる手続を定めるに当たっては、本人に過重な負担を課するものとならないよう配慮しなければならない。

## K 手数料（個人情報保護法第30条）

## a 手数料の徴収（第1項）

個人情報取扱事業者は、E b の規定による利用目的の通知又は F a の規定による開示を求められたときは、当該措置の実施に関し、手数料を徴収することができる。

## b 手数料の額の定め（第2項）

個人情報取扱事業者は、aの規定により手数料を徴収する場合は、実費を勘案して合理的であると認められる範囲内において、その手数料の額を定めなければならない。

## L 苦情の処理（個人情報保護法第31条）

## a 苦情の処理（第1項）

個人情報取扱事業者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。

## b 体制の整備（第2項）

個人情報取扱事業者は、aの目的を達成するために必要な体制の整備に努めなければならない。
## 第 4 - 7 個人番号利用事務実施者である健康保険組合等における措置等

個人番号利用事務実施者である健康保険組合等は、第4－1から6までに加えて、次に掲げる措置等について留意する必要がある。

## 1 地方公共団体情報システム機構に対する機構保存本人確認情報についての提供の要求（番号法第14条第2項、番号法施行令第11条）

健康保険組合等の個人番号利用事務実施者のうち番号法施行令第11条で定める者（住民基本台帳法（昭和42年法律第81号）別表第1から別表第4までの上欄に掲げる者）は、個人番号利用事務の対象者の個人番号が判明していない場合等、個人番号利用事務を処理するために必要があるときには、地方公共団体情報システム機構に対し、個人番号等の機構保存本人確認情報の提供を求めることができる。

## 2 情報提供ネットワークシステムによる特定個人情報の情報連携等

健康保険組合等は「情報提供ネットワークシステム」を通じて特定個人情報に関する情報連携を行うことができる（第4-3-(2)2Be「情報提供ネットワークシステムを通じた提供」）。

## A 情報提供ネットワークシステムによる特定個人情報の情報連携

「情報提供ネットワークシステム」とは、番号法第19条第7号の規定に基づき、行政機関等及び健康保険組合等の間で、特定個人情報について安全かつ効率的に情報連携を行うためのシステムである。このシステムを通じて特定個人情報に関する情報連携を行うことができる場合については、番号法別表第2に限定的に明記されている。

※ 情報提供ネットワークシステムを通じて特定個人情報の提供を求める者を「情報照会者」といい、当該特定個人情報を保有し情報提供ネットワークシステムを通じて提供する者を「情報提供者」という（番号法第19条第7号）。また、番号法第19条第7号の規定に基づいて行う情報連携に関する事務を「情報提供等事務」という（同法第24条）。

## a 情報提供ネットワークシステム（番号法第21条）

情報提供ネットワークシステムは、総務大臣が、委員会と協議の上、設置し、管理するものであり、番号法第19条第7号に基づいて、情報照会者から特定個人情報の提供の求めがあった場合、総務大臣は、情報提供ネットワークシステムを通じて、その旨を情報提供者に通知しなければならない。

## b 特定個人情報の提供（番号法第22条）

情報提供者は、総務大臣から通知を受けたときは、情報照会者から求
められている特定個人情報を提供しなければならない。

法令の規定により当該特定個人情報と同一の内容の書面の提出が義務付けられている場合、情報提供ネットワークシステムを通じて情報提供者から特定個人情報が提供されたときには、その書面の提出があったものとみなされる。

* 健康保険組合が被保険者の被扶養者の認定を行う場合には、被保険者は、事業主を通じて健康保険組合に対し、被扶養者に係る課税（非課税）証明書、年金額改定通知書等の写しを提出する必要がある（健康保険法施行規則第38条等）が、情報提供ネットワークシステムを通じて、被扶養者の年間収入額、年金受給額の提供が行われた場合には、被保険者は被扶養者に係るこれらの添付書類を提出する必要がなくなる。

## B 情報提供等の記録（番号法第23条、番号法施行令第29条）

総務大臣、情報照会者及び情報提供者は、番号法第19条第7号の規定に基づく特定個人情報の提供の求め又は提供があった場合には、情報提供ネットワークシステムに接続されたその者の使用する電子計算機に、情報照会者及び情報提供者の名称、提供の求め及び提供の日時、特定個人情報の項目等を記録し、7年間保存しなければならない。

## C 秘密の管理等（番号法第24条、第25条）

総務大臣、情報照会者及び情報提供者は、情報提供等事務に関する秘密について、その漏えいの防止その他の適切な管理のために、情報提供ネットワークシステム並びに情報照会者及び情報提供者が情報提供等事務に使用する電子計算機の安全性及び信頼性を確保することその他の必要な措置を講じなければならない。

## D 情報提供等の記録の取扱い（番号法第30条第4項）

情報提供等の記録については、番号法第30条第4項によって独立行政法人等個人情報保護法が準用又は読み替えて準用されることから、次のとおり取り扱わなければならない。

この場合、情報提供等の記録については、情報提供ネットワークシステムと接続された中間サーバーにおいて保管、管理されていることから、中間サーバーにおける適正な取扱いが確保されなければならない。

a 利用目的を超えた利用の禁止（番号法第30条第4項により読み替えて準用される独立行政法人等個人情報保護法第9条第1項）

利用目的を超えて情報提供等の記録を利用してはならない。

b 利用目的の特定（番号法第30条第4項により準用される独立行政法人
等個人情報保護法第3条第1項及び第3項）

個人情報の保有に当たっては、法令の定める業務を遂行するため必要な場合に限り、かつ、その利用目的をできる限り特定しなければならないとされているが、情報提供等の記録の場合には、本人からの請求に応じること（法令上の義務）等が目的となる。

情報提供等の記録の利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。

c 正確性の確保（番号法第30条第4項により準用される独立行政法人等個人情報保護法第6条）

利用目的の達成に必要な範囲内で、情報提供等の記録が過去又は現在の事実と合致するよう努めなければならない。

d 保有の制限（番号法第30条第4項により準用される独立行政法人等個人情報保護法第3条第2項）

利用目的の達成に必要な範囲を超えて情報提供等の記録を保有してはならない。

e 適正取得（番号法第30条第4項により準用される独立行政法人等個人情報保護法第5条）

偽りその他不正の手段により情報提供等の記録を取得してはならない。

f 安全確保の措置（番号法第30条第4項により準用される独立行政法人等個人情報保護法第7条）

情報提供等の記録の漏えい、滅失又は毀損の防止等情報提供等の記録の適切な管理のために必要な措置を講じなければならない。この規定は、健康保険組合等から情報提供等の記録の取扱いについて、委託を受けた者が受託した業務を行う場合にも適用される。

g 従業者の義務（番号法第30条第4項により準用される独立行政法人等個人情報保護法第8条）

情報提供等の記録の取扱いに従事する健康保険組合等の従業者及び健康保険組合等から受託した業務に従事している者等は、業務に関して知り得た情報提供等の記録の内容をみだりに他人に知らせ、又は不当な目的に利用してはならない。

## h 開示

情報提供等の記録の開示については、独立行政法人等個人情報保護法第12条から第20条まで、第23条、第24条及び第26条が準用される。なお、
次に掲げる事項については、番号法第30条第4項によって読み替えて準用されるため留意する必要がある。

① 開示請求の代理人（番号法第30条第4項により読み替えて準用される独立行政法人等個人情報保護法第12条第2項、第13条第2項、第14条第1号）

法定代理人だけではなく、任意代理人による開示請求が可能となっていることから、これに適切に対応しなければならない。

② 第三者に対する意見書提出の機会の付与等（番号法第30条第4項により読み替えて準用される独立行政法人等個人情報保護法第23条第1項、番号法第30条第4項により準用される独立行政法人等個人情報保護法第23条第2項）

健康保険組合等は、情報提供等の記録の開示請求が行われた場合、その情報提供等の記録の中に国、独立行政法人等、地方公共団体、地方独立行政法人、開示請求者及び開示請求を受けた者以外の者（以下「第三者」という。）に関する情報が含まれている場合には、その「第三者」に対し意見書を提出する機会を与えることができる。また、一定の場合には意見書を提出する機会を与えなければならないが、健康保険組合等自身は、「第三者」に当たらない。

③ 開示の手数料（番号法第30条第4項により読み替えて準用される独立行政法人等個人情報保護法第26条第1項）

健康保険組合等は、開示の実施に関し、手数料を徴収することができる。

## i 訂正等

情報提供等の記録の訂正等については、独立行政法人等個人情報保護法第27条から第32条まで及び第35条が準用される。なお、次に掲げる事項については、番号法第30条第4項によって読み替えて準用されるため留意する必要がある。

① 訂正請求の代理人（番号法第30条第4項により読み替えて準用される独立行政法人等個人情報保護法第27条第2項、第28条第2項）

開示請求と同様に、法定代理人だけではなく、任意代理人による訂正請求が可能となっていることから、これに適切に対応しなければならない。

② 情報提供等の記録の提供先への通知（番号法第30条第4項により読み替えて準用される独立行政法人等個人情報保護法第35条）
情報提供等の記録の訂正等が行われた場合において、必要があると認めるときは、総務大臣及び情報照会者又は情報提供者に対し、遅滞なく、その旨を書面により通知しなければならない。

j 開示請求等をしようとする者に対する情報の提供等（番号法第30条第4項により準用される独立行政法人等個人情報保護法第46条第1項）

開示請求、訂正請求又は利用停止請求（以下「開示請求等」という。）をしようとする者がそれぞれ容易かつ的確に開示請求等をすることができるよう、情報提供等の記録の特定に資する情報の提供その他開示請求等をしようとする者の利便を考慮した適切な措置を講じなければならない。
## （別添）特定個人情報に関する安全管理措置

## (事業者編)

## 【目次】

要点 …… 48

1 安全管理措置の検討手順 …… 49
A 個人番号を取り扱う事務の範囲の明確化 …… 49
B 特定個人情報等の範囲の明確化 …… 49
C 事務取扱担当者の明確化 …… 49
D 基本方針の策定 …… 49
E 取扱規程等の策定 …… 49

2 講ずべき安全管理措置の内容 …… 50
A 基本方針の策定 …… 50
B 取扱規程等の策定 …… 50
C 組織的安全管理措置 …… 51
a 組織体制の整備 …… 51
b 取扱規程等に基づく運用 …… 52
c 取扱状況を確認する手段の整備 …… 52
d 情報漏えい等事案に対応する体制の整備 …… 53
e 取扱状況の把握及び安全管理措置の見直し …… 53
D 人的安全管理措置 …… 53
a 事務取扱担当者の監督 …… 54
b 事務取扱担当者の教育 …… 54
E 物理的安全管理措置 …… 54
a 特定個人情報等を取り扱う区域の管理 …… 54
b 機器及び電子媒体等の盗難等の防止 …… 54
c 電子媒体等を持ち出す場合の漏えい等の防止 …… 55
d 個人番号の削除、機器及び電子媒体等の廃棄 …… 55
F 技術的安全管理措置 …… 56
a アクセス制御 …… 56
b アクセス者の識別と認証 …… 56
c 外部からの不正アクセス等の防止 …… 57
d 情報漏えい等の防止 …… 57
## 要点

## ○ 番号法における安全管理措置の考え方

番号法は、個人番号を利用できる事務の範囲、特定個人情報ファイルを作成できる範囲、特定個人情報を収集・保管・提供できる範囲等を制限している。したがって、事業者は、個人番号及び特定個人情報（以下「特定個人情報等」という。）の漏えい、滅失又は毀損（以下「情報漏えい等」という。）の防止等のための安全管理措置の検討に当たり、次に掲げる事項を明確にすることが重要である。

A 個人番号を取り扱う事務の範囲

B 特定個人情報ファイルの範囲

C 個人番号を取り扱う事務に従事する従業者（注）の範囲

（注）「従業者」とは、事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者をいう。具体的には、従業員のほか、取締役、監査役、理事、監事、派遣社員等を含む。

## ○ 安全管理措置の検討手順

事業者は、特定個人情報等の適正な取扱いに関する安全管理措置について、次のような手順で検討を行う必要がある。→1

A 個人番号を取り扱う事務の範囲の明確化

B 特定個人情報等の範囲の明確化

C 特定個人情報等を取り扱う従業者（以下「事務取扱担当者」という。）の明確化

D 特定個人情報等の安全管理措置に関する基本方針（以下「基本方針」という。）の策定

E 取扱規程等の策定

。 講ずべき安全管理措置の内容

事業者は、安全管理措置の検討に当たり、番号法及び個人情報保護法等関係法令並びに本ガイドライン及び主務大臣のガイドライン等を遵守しなければならない。

本ガイドラインは、次に掲げる項目に沿って記述している。→2

A 基本方針の策定

B 取扱規程等の策定

C 組織的安全管理措置

D 人的安全管理措置

E 物理的安全管理措置

F 技術的安全管理措置
## 1 安全管理措置の検討手順

事業者は、特定個人情報等の取扱いを検討するに当たって、個人番号を取り扱う事務の範囲及び特定個人情報等の範囲を明確にした上で、事務取扱担当者を明確にしておく必要がある。これらを踏まえ、基本方針及び取扱規程等を策定し、特定個人情報等を取り扱う体制の整備及び情報システムの改修等を行う必要がある。

事業者は、特定個人情報等の取扱いに関する安全管理措置について、次のような手順で検討を行う必要がある。

## A 個人番号を取り扱う事務の範囲の明確化

事業者は、個人番号関係事務又は個人番号利用事務（番号法第9条第1項から第3項までに規定する事務に該当するもの）の範囲を明確にしておかなければならない。→ガイドライン第4-1-(1)1A参照

## B 特定個人情報等の範囲の明確化

事業者は、A で明確化した事務において取り扱う特定個人情報等の範囲を明確にしておかなければならない $ ^{注} $ 。

（注）特定個人情報等の範囲を明確にするとは、事務において使用される個人番号及び個人番号と関連付けて管理される個人情報（氏名、生年月日等）の範囲を明確にすることをいう。

## C 事務取扱担当者の明確化

事業者は、A で明確化した事務に従事する事務取扱担当者を明確にしておかなければならない。

## D 基本方針の策定

特定個人情報等の適正な取扱いの確保について組織として取り組むために、基本方針を策定することが重要である。→2A参照

## E 取扱規程等の策定

事業者は、A～Cで明確化した事務における特定個人情報等の適正な取扱いを確保するために、取扱規程等を策定しなければならない。→2 B参照
## 2 講ずべき安全管理措置の内容

本セクション2においては、特定個人情報等の保護のために必要な安全管理措置について本文で示し、具体的な手法の例示及び中小規模事業者における対応方法を記述している。

それぞれの項目の位置付けを次に掲げる。安全管理措置の検討に当たっては、番号法及び個人情報保護法等関係法令並びに本ガイドライン及び主務大臣のガイドライン等を遵守しなければならない。

手法の例示：具体的な手法を例示したものである。本例示は、これに限定する趣旨で記載したものではなく、事業者の規模及び特定個人情報等を取り扱う事務の特性等により、適切な手法を採用することが重要である。

中小規模事業者 $ ^{注} $ における対応方法：中小規模事業者については、事務で取り扱う個人番号の数量が少なく、また、特定個人情報等を取り扱う従業者が限定的であること等から、特例的な対応方法を示すものである。

なお、中小規模事業者が、手法の例示に記載した手法を採用することは、より望ましい対応である。

（注）「中小規模事業者」とは、事業者のうち従業員の数が100人以下の事業者であって、次に掲げる事業者を除く事業者をいう。

· 個人番号利用事務実施者

委託に基づいて個人番号関係事務又は個人番号利用事務を業務として行う事業者

金融分野（金融庁作成の「金融分野における個人情報保護に関するガイドライン」第1条第1項に定義される金融分野）の事業者

· 個人情報取扱事業者

## A 基本方針の策定

特定個人情報等の適正な取扱いの確保について組織として取り組むために、基本方針を策定し、従業者に周知徹底することが重要である。

《手法の例示》

* 基本方針に定める項目としては、次に掲げるものが挙げられる。

・ 事業者の名称

関係法令・ガイドライン等の遵守

・ 安全管理措置に関する事項

・質問及び苦情処理の窓口等

## B 取扱規程等の策定

1 A～Cで明確化した事務において事務の流れを整理し、特定個人情報
## 《手法の例示》

* 取扱規程等は、次に掲げる管理段階ごとに、取扱方法、責任者・事務取扱担当者及びその任務等について定めることが考えられる。具体的に定める事項

については、 $ 2C \sim F $ に記述する安全管理措置を織り込むことが重要である。

① 取得する段階

② 利用を行う段階

③ 保存する段階

④ 提供を行う段階

⑤ 削除・廃棄を行う段階

## * 源泉徴収票等を作成する事務の場合、例えば、次のような事務フローに即して、手続を明確にしておくことが重要である。

① 従業員等から提出された書類等を取りまとめる方法

② 取りまとめた書類等の源泉徴収票等の作成部署への移動方法

③ 情報システムへの個人番号を含むデータ入力方法

④ 源泉徴収票等の作成方法

⑤ 源泉徴収票等の行政機関等への提出方法

⑥ 源泉徴収票等の本人への交付方法

⑦ 源泉徴収票等の控え、従業員等から提出された書類及び情報システムで

取り扱うファイル等の保管方法

⑧ 法定保存期間を経過した源泉徴収票等の控え等の廃棄・削除方法等

## 【中小規模事業者における対応方法】

○ 特定個人情報等の取扱等を明確化する。

☐ 事務取扱担当者が変更となった場合、確実な引継ぎを行い、責任ある立場の者が確認する。

## C 組織的安全管理措置

事業者は、特定個人情報等の適正な取扱いのために、次に掲げる組織的安全管理措置を講じなければならない。

## a 組織体制の整備

安全管理措置を講ずるための組織体制を整備する。

《手法の例示》

* 組織体制として整備する項目は、次に掲げるものが挙げられる。

・事務における責任者の設置及び責任の明確化

・事務取扱担当者の明確化並びにその役割の明確化
・事務取扱担当者が取り扱う特定個人情報等の範囲の明確化

事務取扱担当者が取扱規程等に違反している事実又は兆候を把握した場合の責任者への報告連絡体制

情報漏えい等事案の発生又は兆候を把握した場合の従業者から責任者等への報告連絡体制

特定個人情報等を複数の部署で取り扱う場合の各部署の任務分担及び責任の明確化

## 【中小規模事業者における対応方法】

☐ 事務取扱担当者が複数いる場合、責任者と事務取扱担当者を区分することが望ましい。

## b 取扱規程等に基づく運用

取扱規程等に基づく運用状況を確認するため、システムログ又は利用実績を記録する。

《手法の例示》

$ ^{*} $ 記録する項目としては、次に掲げるものが挙げられる。

特定個人情報ファイルの利用・出力状況の記録

・ 書類・媒体等の持出しの記録

・特定個人情報ファイルの削除・廃棄記録

・削除・廃棄を委託した場合、これを証明する記録等

特定個人情報ファイルを情報システムで取り扱う場合、事務取扱担当者の情報システムの利用状況（ログイン実績、アクセスログ等）の記録

## 【中小規模事業者における対応方法】

○ 特定個人情報等の取扱状況の分かる記録を保存する。

## c 取报状況を確認する手段の整備

特定個人情報ファイルの取扱状況を確認するための手段を整備する。なお、取扱状況を確認するための記録等には、特定個人情報等は含めない。

《手法の例示》

* 取报状況を確認するための記録等としては、次に掲げるものが挙げられる。

・特定個人情報ファイルの種類、名称

• 責任者、取扱部署

· 利用目的

· 削除 · 廃棄状況

・アクセス権を有する者