Silviase/jgov_v1.4_full_ann huggingface dataset:
を求めることとなる。

事業者が行う個人番号関係事務においては、個人番号関係事務が発生した時点で個人番号の提供を求めることが原則であるが、本人との法律関係等に基づき、個人番号関係事務の発生が予想される場合には、契約を締結した時点等の当該事務の発生が予想できた時点で個人番号の提供を求めることが可能であると解される。なお、契約内容等から個人番号関係事務が明らかに発生しないと認められる場合には、個人番号の提供を求めることができない。

$ ^{*} $ 従業員等の給与の源泉徴収事務、健康保険・厚生年金保険届出事務等及びこれらに伴う給与所得の源泉徴収票、健康保険・厚生年金保険被保険者資格取得届等の作成事務の場合は、扶養控除等申告書のように毎年個人番号と共にその提供を受ける必要がある場合を除き、雇用契約の締結時点で個人番号の提供を求めることも可能であると解される。

* 非上場会社の株主に対する配当金の支払事務及びこれに伴う支払調書の作成事務の場合は、所得税法第224条第1項及び同法施行令第336条第1項の規定により支払の確定の都度、個人番号の告知を求めることが原則であるが、当該株主が株主としての地位を得た時点で個人番号の提供を求めることも可能であると解される。

* 地代等の支払事務及びこれに伴う支払調書の作成事務の場合は、賃料の金額により契約時点で支払調書の作成が不要であることが明らかである場合を除き、契約時点で個人番号の提供を求めることが可能であると解される。
要点
○ 番号法で限定的に明記された場合を除き、個人番号の提供を求めてはならない。→1
○ 番号法で限定的に明記された場合を除き、特定個人情報を提供してはならない。→2
(関係条文)
・番号法 第15条、第19条、第29条第3項
・個人情報保護法 第23条

## 1 提供の求めの制限（番号法第15条）

何人も、番号法第19条各号のいずれかに該当し特定個人情報の提供を受けることができる場合を除き、他人 $ ^{注} $ の個人番号の提供を求めてはならない。事業者が個人番号の提供を求めることとなるのは、従業員等に対し、社会保障、税及び災害対策に関する特定の事務のために個人番号の提供を求める場合等に限られる。

$ ^{*} $ 事業者は、給与の源泉徴収事務を処理する目的で、従業員等に対し、個人番号の提供を求めることとなる（番号法第19条第3号に該当）。一方、従業員等の営業成績等を管理する目的で、個人番号の提供を求めてはならない。

（注）他人とは「自己と同一の世帯に属する者以外の者」であり、子、配偶者等の自己と同一の世帯に属する者に対しては、番号法第19条各号のいずれかに該当しなくても、個人番号の提供を求めることができる。

## 2 特定個人情報の提供制限（番号法第19条）

何人も、番号法で限定的に明記された場合を除き、特定個人情報を「提供」してはならない。

事業者が特定個人情報を提供できるのは、社会保障、税及び災害対策に関する特定の事務のために従業員等の特定個人情報を行政機関等及び健康保険組合等に提供する場合等に限られる。

## A 「提供」の意義について

「提供」とは、法的な人格を超える特定個人情報の移動を意味するものであり、同一法人の内部等の法的な人格を超えない特定個人情報の移動は「提供」ではなく「利用」に当たり、利用制限（番号法第9条、第28条、第29条第3項及び第32条）に従うこととなる。

なお、個人情報保護法においては、個人データを特定の者との間で共同
して利用する場合には、第三者提供に当たらないとしているが（個人情報保護法第23条第4項第3号）、番号法においては、個人情報保護法第23条第4項第3号の適用を除外していることから（番号法第29条第3項）、この場合も通常の「提供」に当たり、提供制限（同法第14条から第16条まで、第19条、第20条及び第29条第3項）に従うこととなる。

## * 「提供」に当たらない場合

事業者甲の中のX部からY部へ特定個人情報が移動する場合、X部、Y部はそれぞれ甲の内部の部署であり、独立した法的人格を持たないから、「提供」には当たらない。例えば、営業部に所属する従業員等の個人番号が、営業部庶務課を通じ、給与所得の源泉徴収票を作成する目的で経理部に提出された場合には、「提供」には当たらず、法令で認められた「利用」となる。

## * 「提供」に当たる場合

事業者甲から事業者乙へ特定個人情報が移動する場合は「提供」に当たる。同じ系列の会社の間での特定個人情報の移動であっても、別の法人である以上、「提供」に当たり、提供制限に従うこととなるため留意が必要である。例えば、ある従業員等が甲から乙に出向又は転籍により異動し、乙が給与支払者（給与所得の源泉徴収票の提出義務者）になった場合には、甲・乙間で従業員等の個人番号を受け渡すことはできず、乙は改めて本人から個人番号の提供を受けなければならない。

* 同じ系列の会社間で従業員等の個人情報を共有データベースで保管している場合、従業員等が現在就業している会社のファイルにのみその個人番号を登録し、他の会社が当該個人番号を参照できないようなシステムを採用していれば、共有データベースに個人番号を記録することが可能であると解される。

* 上記の事例において、従業員等の出向に伴い、本人を介在させることなく、共有データベース内で自動的にアクセス制限を解除する等して出向元の会社のファイルから出向先の会社のファイルに個人番号を移動させることは、提供制限に違反することになるので、留意する必要がある。

一方、共有データベースに記録された個人番号を出向者本人の意思に基づく操作により出向先に移動させる方法をとれば、本人が新たに個人番号を出向先に提供したものとみなすことができるため、提供制限には違反しないものと解される。なお、この場合には、本人の意思に基づかない不適切な個人番号の提供が行われないよう、本人のアクセス及び識別について安全管理措置を講じる必要がある。

また、本人確認については、番号法施行規則第4条に従って手続を整備しておけば、本人確認に係る事務を効率的に行うことが可能と解されます。

B 特定個人情報を提供できる場合（番号法第19条第1号から第14号まで）

特定個人情報を提供できる場合として、番号法第19条各号が定めている
もののうち、事業者が関わるものは次のとおりである。

## a 個人番号利用事務実施者からの提供（第1号）

個人番号利用事務実施者が、個人番号利用事務を処理するために、必要な限度で本人、代理人又は個人番号関係事務実施者に特定個人情報を提供する場合である。

* 市区町村長（個人番号利用事務実施者）は、住民税を徴収（個人番号利用事務）するために、事業者に対し、その従業員等の個人番号と共に特別徴収税額を通知することができる。

## b 個人番号関係事務実施者からの提供（第2号）

個人番号関係事務実施者は、個人番号関係事務を処理するために、法令に基づき、行政機関等及び健康保険組合等に特定個人情報を提供することとなる。

$ ^{*} $ 事業者（個人番号関係事務実施者）は、所得税法第226条第1項の規定に従って、給与所得の源泉徴収票の提出という個人番号関係事務を処理するために、税務署長に対し、従業員等の個人番号が記載された給与所得の源泉徴収票を提出することとなる。

* 事業者の従業員等（個人番号関係事務実施者）は、所得税法第194条第1項の規定に従って、扶養控除等申告書の提出という個人番号関係事務を処理するために、事業者（個人番号関係事務実施者）に対し、その扶養親族の個人番号を記載した扶養控除等申告書を提出することとなる。

## c 本人又は代理人からの提供（第3号）

本人又はその代理人は、個人番号関係事務実施者又は個人番号利用事務実施者に対し、本人の個人番号を含む特定個人情報を提供することとなる。

* 本人は、給与の源泉徴収事務、健康保険・厚生年金保険届出事務等のために、個人番号関係事務実施者である事業者に対し、自己（又はその扶養者）の個人番号を書類に記載して提出することとなる。

## d 委託、合併に伴う提供（第5号）

特定個人情報の取扱いの全部若しくは一部の委託又は合併その他の事由による事業の承継が行われたときは、特定個人情報を提供することが認められている。
$ ^{*} $ 事業者が、源泉徴収票作成事務を含む給与事務を子会社に委託する場合、その子会社に対し、従業員等の個人番号を含む給与情報を提供することができる。

* 甲社が乙社を吸収合併した場合、吸収される乙社は、その従業員等の個人番号を含む給与情報等を存続する甲社に提供することができる。

## e 情報提供ネットワークシステムを通じた提供（第7号、番号法施行令第21条）

番号法別表第2に記載されている行政機関等及び健康保険組合等の間で、同表の事務に関し、情報提供ネットワークシステムを使用して特定個人情報の提供を行うものである。したがって、健康保険組合等以外の事業者は、情報提供ネットワークシステムを使用することはない。

## f 委員会からの提供の求め（第11号）

委員会が、特定個人情報の取扱いに関し、番号法第52条第1項の規定により、特定個人情報の提出を求めた場合には、この求めに応じ、委員会に対し、特定個人情報を提供しなければならない。

## g 各議院審査等その他公益上の必要があるときの提供（第12号、番号法施行令第26条、同施行令別表）

①各議院の審査、調査の手続、②訴訟手続その他の裁判所における手続、③裁判の執行、④刑事事件の捜査、⑤租税に関する法律の規定に基づく犯則事件の調査、⑥会計検査院の検査が行われるとき、⑦公益上の必要があるときには、特定個人情報を提供することができる。⑦の公益上の必要があるときは、番号法施行令第26条で定められており、独占禁止法の規定による犯則事件の調査（番号法施行令別表第2号）、金融商品取引法の規定による犯則事件の調査（同表第4号）、租税調査（同表第8号）、個人情報保護法の規定による報告徴収（同表第19号）、犯罪收益移転防止法による届出（同表第23号）等がある。

## h 生命、身体又は財産の保護のための提供（第13号）

人の生命、身体又は財産の保護のために必要がある場合において、本人の同意があり、又は本人の同意を得ることが困難であるときは、特定個人情報を提供することができる。

* 客が小売店で個人番号カードを落としていった場合、その小売店は警察に遺失物として当該個人番号カードを届け出ることができる。

## i 委員会規則に基づく提供（第14号）

番号法第19条第1号から第13号までに準ずるものとして委員会規則で
定めた場合には、特定個人情報を提供することとなる。

* 地方公共団体は、番号法で明記している事務に準ずるものとして、条例に基づいて社会保障等の分野で個人番号を利用することができることとされており（番号法第9条第2項）、そのための情報を提供できる場合については委員会が規則で示すこととされている（同法第19条第14号）。

## C 個人情報保護法上の第三者提供との違い

個人情報保護法は、個人情報取扱事業者に対し、個人データについて、法令の規定に基づく場合、本人の同意がある場合等には、第三者に提供することができることとされている。

番号法においては、全ての事業者を対象に、第19条で特定個人情報を提供できる場合を限定的に定めており、特定個人情報の提供については、個人情報保護法第23条は適用されない。

特定個人情報の提供を求められた場合には、その提供を求める根拠が、番号法第19条各号に該当するものかどうかをよく確認し、同条各号に該当しない場合には、特定個人情報を提供してはならない。

$ ^{*} $ 個人情報保護法第25条に基づく開示の求め、同法第26条に基づく訂正等の求め又は同法第27条に基づく利用停止等の求めにおいて、本人から個人番号を付して求めが行われた場合や本人に対しその個人番号又は特定個人情報を提供する場合は、番号法第19条各号に定めはないものの、法の解釈上当然に特定個人情報の提供が認められるべき場合であり、特定個人情報を提供することができる。

第 4 - 3 - (3) 收集・保管制限

要点

○ 番号法第19条各号のいずれかに該当する場合を除き、特定個人情報を収集、保管してはならない。

（関係条文）

・番号法 第20条

## • 収集・保管の制限（番号法第20条）

何人も、番号法第19条各号（社会保障、税及び災害対策に関する特定の事務等）のいずれかに該当する場合を除き、他人 $ ^{注} $ の個人番号を含む特定個人情報を収集、保管してはならない。

（注）他人とは「自己と同一の世帯に属する者以外の者」であり、子、配偶者等の自己と同一の世帯に属する者の特定個人情報は、番号法第19条各号のいずれかに該当
しなくても、収集、保管することができる。

## A 收集制限

「収集」とは、集める意思を持って自己の占有に置くことを意味し、例えば、人から個人番号を記載したメモを受け取ること、人から聞き取った個人番号をメモすること等、直接取得する場合のほか、電子計算機等を操作して個人番号を画面上に表示させ、その個人番号を書き取ること、プリントアウトすること等を含む。一方、特定個人情報の提示を受けただけでは、「収集」に当たらない。

$ ^{*} $ 事業者の給与事務担当者として個人番号関係事務に従事する者が、その個人番号関係事務以外の目的で他の従業員等の特定個人情報をノートに書き写してはならない。

$ ^{*} $ 事業者の中で、単に個人番号が記載された書類等を受け取り、支払調書作成事務に従事する者に受け渡す立場の者は、独自に個人番号を保管する必要がないため、個人番号の確認等の必要な事務を行った後はできるだけ速やかにその書類を受け渡すこととし、自分の手元に個人番号を残してはならない。

例えば、事業者が講師に対して講演料を支払う場合において、講師から個人番号が記載された書類等を受け取る担当者と支払調書作成事務を行う担当者が異なるときは、書類等を受け取る担当者は、支払調書作成事務を行う担当者にできるだけ速やかにその書類を受け渡すこととし、自分の手元に個人番号を残してはならない。

なお、個人番号が記載された書類等を受け取る担当者も、個人番号関係事務に従事する事業者の一部として当該事務に従事するのであるから、当該個人番号により特定される本人から当該書類等を受け取る際に、当該書類等の不備がないかどうか個人番号を含めて確認することができる。

## B 保管制限と廃棄

個人番号は、番号法で限定的に明記された事務を処理するために収集、保管されるものであるから、それらの事務を行う必要がある場合に限り特定個人情報を保管し続けることができる。また、個人番号が記載された書類等については、所管法令によって一定期間保存が義務付けられているものがあるが、これらの書類等に記載された個人番号については、その期間保管することとなる。

一方、それらの事務を処理する必要がなくなった場合で、所管法令において定められている保存期間を経過した場合には、個人番号をできるだけ速やかに廃棄又は削除しなければならない。なお、その個人番号部分を復元できない程度にマスキング又は削除した上で保管を継続することは可能である。
$ ^{*} $ 事業者は、給与の源泉徴収事務を処理する目的で、従業員等の個人番号を保管することができる（番号法第19条第3号に該当）。一方、従業員等の営業成績等を管理する目的で、従業員等の個人番号を保管することはできない。

$ ^{*} $ 雇用契約等の継続的な契約関係にある場合には、従業員等から提供を受けた個人番号を給与の源泉徴収事務、健康保険・厚生年金保険届出事務等のために翌年度以降も継続的に利用する必要が認められることから、特定個人情報を継続的に保管できると解される。なお、従業員等が休職している場合には、復職が未定であっても雇用契約が継続していることから、特定個人情報を継続的に保管できると解される。

土地の賃貸借契約等の継続的な契約関係にある場合も同様に、支払調書の作成事務のために継続的に個人番号を利用する必要が認められることから、特定個人情報を継続的に保管できると解される。

* 扶養控除等申告書は、所得税法施行規則第76条の3により、当該申告書の提出期限（毎年最初に給与等の支払を受ける日の前日まで）の属する年の翌年1月10日の翌日から7年を経過する日まで保存することとなっていることから、当該期間を経過した場合には、当該申告書に記載された個人番号を保管しておく必要はなく、原則として、個人番号が記載された扶養控除等申告書をできるだけ速やかに廃棄しなければならない。

そのため、個人番号が記載された扶養控除等申告書等の書類については、保存期間経過後における廃棄を前提とした保管体制をとることが望ましい。

* 給与所得の源泉徴収票、支払調書等の作成事務のために提供を受けた特定個人情報を電磁的記録として保存している場合においても、その事務に用いる必要がなく、所管法令で定められている保存期間を経過した場合には、原則として、個人番号をできるだけ速やかに廃棄又は削除しなければならない。

そのため、特定個人情報を保存するシステムにおいては、保存期間経過後における廃棄又は削除を前提としたシステムを構築することが望ましい。

※ 廃棄方法等の具体的な内容については、「（別添）特定個人情報に関する安全管理措置（事業者編）」を参照のこと。
第 4 - 3 - (4) 本人確認

要点
○ 本人確認については、番号法、番号法施行令、番号法施行規則（注）及び個人番号利用事務実施者が認める方法に従うこととなるため、適切に対応する必要がある。
（注）番号法施行規則とは、行政手続における特定の個人を識別するための番号の利用等に関する法律施行規則（平成26年内閣府・総務省令第3号）をいう（以下同じ。）。
（関係条文）
・番号法 第16条

## 〈参考〉

平成26年。月現在の番号法、番号法施行令及び番号法施行規則における本人確認の概要は、次のとおりである。この項目において、「法」は番号法、「令」は番号法施行令、「規」は番号法施行規則をいう。

①本人から個人番号の提供を受ける場合

i 個人番号カードの提示を受ける場合

「個人番号カード」（法16）

## ii 通知カードの提示を受ける場合

「通知カード」＋「本人の身元確認書類」

(法16)

(規 1 ① )

運転免許証等（規1①一、二）

→ 困難な場合（規1①三）

財務大臣等の特則（規1③一から四）

→ 困難な場合（規1③五）

特定の個人と同一の者であることが明らかな場合（規3⑤）

## iii i、ii以外の場合

## （i）書類の提示を受ける場合等

「番号確認書類」＋「本人の身元確認書類」（令12 $ ^{①} $ 一）

(令12 $ ^{①} $ 二)

→住民票の

→運転免許証等（規2）

写し等

→ 困難な場合（規3②）

→ 困難な場合

→ 財務大臣等の特則（規3③）

(規3①)

電話による場合（規3④）

特定の個人と同一の者であることが明らかな場合

(規 3 ⑤)
## (ii) 電子情報処理組織を使用して個人番号の提供を受ける場合

個人番号カードのICチップの読み取り、電子署名等の送信、個人番号利用事務実施者による地方公共団体情報システム機構への確認等（規4）

②本人の代理人から個人番号の提供を受ける場合

i 書類の提示を受ける場合等

「代理権確認書類」＋「代理人の身元確認書類」＋「本人の番号確認書類」

(令12 $ ^{②} $ 一)

(令12 $ ^{②} $ 二)

卢籍謄本、委任状等

(令12 $ ^{②} $ 三)

→個人番号カード、運転免許証等

本人に係る

個人番号カード等

(規6①一、二)

(規7①)

(規 8 )

→ 困難な場合

(規6①三)

→ 代理人が法人の場合

(規7②)

→ 困難な場合

(規9⑤)

代理人が法人の場合（規6②）→ 困難な場合

(規9①)

→財務大臣等の特則

(規9②)

電話による場合

(規9③)

電話による場合

(規9③)

特定の個人と同一の者であることが明らかな場合（規9④）

## ii 電子情報処理組織を使用して個人番号の提供を受ける場合

代理権証明情報及び代理人の電子署名等の送信、個人番号利用事務実施者による地方公共団体情報システム機構への確認等（規10）

※ 書面の送付により個人番号の提供を受ける場合は、上記で提示を受けることとされている書類又はその写しの提出を受けなければならない（規11）。
第 4 - 5 特定個人情報保護評価

要点
○ 特定個人情報保護評価とは、情報提供ネットワークシステムを使用して情報連携を行う事業者が、特定個人情報の漏えいその他の事態を発生させるリスクを分析し、そのようなリスクを軽減するための適切な措置を講ずることを宣言するものである。
○ 行政機関等以外の者で、情報提供ネットワークシステムを使用して情報連携を行う事業者としては、健康保険組合等が挙げられる。
○ 特定個人情報保護評価の実施が義務付けられていない事業者が、任意に特定個人情報保護評価の手法を活用することは、特定個人情報の保護の観点から有益である。
※ 特定個人情報保護評価の詳細については、「特定個人情報保護委員会規則」（平成26年特定個人情報保護委員会規則第1号）及び「特定個人情報保護評価指針」（平成26年特定個人情報保護委員会告示第4号）を参照のこと。
（関係条文）
・番号法 第26条、第27条
## 第 4 - 6 個人情報保護法の主な規定

事業者のうち、個人情報取扱事業者は、特定個人情報の適正な取扱いについて、次のとおり個人情報保護法の適用を受けるので留意する必要がある。

## A 利用目的の特定（個人情報保護法第15条）

## a 利用目的の特定（第1項）

個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用目的をできる限り特定しなければならない。

## b 利用目的の変更（第2項）

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。

## B 利用目的の通知等（個人情報保護法第18条）

## a 利用目的の通知等（第1項）

個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

## b 利用目的の明示（第2項）

個人情報取扱事業者は、aの規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電子的方式等で作られる記録を含む。以下bにおいて同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

## c 変更された利用目的の通知等（第3項）

個人情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。

## d 適用除外（第 4 項）

a から c までの規定は、i 本人等の権利利益を害するおそれがある場合、ii 当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合、iii 国の行政機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、当該事務の遂行に支障を及ぼすおそれがあるとき、iv 取得の状況からみて利用目的が明らかであると認
に必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合その他の利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

## b 本人に対する通知（第3項）

個人情報取扱事業者は、aの規定に基づき求められた保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は個人情報保護法第27条第2項の規定に基づき求められた保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

## Ⅰ 理由の説明（個人情報保護法第28条）

個人情報取扱事業者は、Ｅｃ、Ｆｂ、Ｇｂ又はＨｂの規定により、本人から求められた措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、その理由を説明するよう努めなければならない。

## J 開示等の求めに応じる手続（個人情報保護法第29条、個人情報保護法施行令第7条及び第8条）

## a 開示等の求めの受付方法（第1項）

個人情報取扱事業者は、E b、F a、G a 又は H a 若しくは第 4 - 4 （第三者提供の停止に関する取扱い）の規定による求め（以下 a から d までにおいて「開示等の求め」という。）に関し、個人情報保護法施行令第 7 条で定めるところにより、その求めを受け付ける方法を定めることができる。この場合において、本人は、当該方法に従って、開示等の求めを行わなければならない。

## b 特定するに足りる事項の提示（第2項）

個人情報取扱事業者は、本人に対し、開示等の求めに関し、その対象となる保有個人データを特定するに足りる事項の提示を求めることができる。この場合において、個人情報取扱事業者は、本人が容易かつ的確に開示等の求めをすることができるよう、当該保有個人データの特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。

## c 代理人（第3項）

開示等の求めは、個人情報保護法施行令第8条で定めるところにより、代理人によってすることができる。
## 第 4 - 7 個人番号利用事務実施者である健康保険組合等における措置等

個人番号利用事務実施者である健康保険組合等は、第4－1から6までに加えて、次の措置等について留意する必要がある。

## 1 地方公共団体情報システム機構に対する機構保存本人確認情報についての提供の要求（番号法第14条第2項、番号法施行令第11条）

健康保険組合等の個人番号利用事務実施者のうち番号法施行令第11条で定める者（住民基本台帳法別表第1から別表第4までの上欄に掲げる者）は、個人番号利用事務の対象者の個人番号が判明していない場合等、個人番号利用事務を処理するために必要があるときには、地方公共団体情報システム機構に対し、個人番号等の機構保存本人確認情報の提供を求めることができる。

## 2 情報提供ネットワークシステムによる特定個人情報の情報連携等

健康保険組合等は「情報提供ネットワークシステム」を通じて特定個人情報に関する情報連携を行うことができる（第4-3-(2)2Be「情報提供ネットワークシステムを通じた提供」）。

## A 情報提供ネットワークシステムによる特定個人情報の情報連携

「情報提供ネットワークシステム」とは、番号法第19条第7号の規定に基づき、行政機関等及び健康保険組合等の間で、特定個人情報について安全かつ効率的に情報連携を行うためのシステムである。このシステムを通じて特定個人情報に関する情報連携を行うことができる場合については、番号法別表第2に限定的に明記されている。

※ 情報提供ネットワークシステムを通じて特定個人情報の提供を求める者を「情報照会者」といい、当該特定個人情報を保有し情報提供ネットワークシステムを通じて提供する者を「情報提供者」という（番号法第19条第7号）。また、番号法第19条第7号の規定に基づいて行う情報連携に関する事務を「情報提供等事務」という（同法第24条）。

## a 情報提供ネットワークシステム（番号法第21条）

情報提供ネットワークシステムは、総務大臣が、委員会と協議の上、設置し、管理するものであり、番号法第19条第7号に基づいて、情報照会者から特定個人情報の提供の求めがあった場合、総務大臣は、情報提供ネットワークシステムを通じて、その旨を情報提供者に通知しなければならない。

## b 特定個人情報の提供（番号法第22条）

情報提供者は、総務大臣から通知を受けたときは、情報照会者から求められている特定個人情報を提供しなければならない。
法令の規定により当該特定個人情報と同一の内容の書面の提出が義務付けられている場合、情報提供ネットワークシステムを通じて情報提供者から特定個人情報が提供されたときには、その書面の提出があったものとみなされる。

* 健康保険組合が被保険者の被扶養者の認定を行う場合には、被保険者は、事業主を通じて健康保険組合に対し、被扶養者に係る課税（非課税）証明書、年金額改定通知書等の写しを提出する必要があるが（健康保険法施行規則第38条等）、情報提供ネットワークシステムを通じて、被扶養者の年間収入額、年金受給額の提供が行われた場合には、被保険者は被扶養者に係るこれらの添付書類を提出する必要がなくなる。

## B 情報提供等の記録（番号法第23条、番号法施行令第29条）

総務大臣、情報照会者及び情報提供者は、番号法第19条第7号の規定に基づく特定個人情報の提供の求め又は提供があった場合には、情報提供ネットワークシステムに接続されたその者の使用する電子計算機に、情報照会者及び情報提供者の名称、提供の求め及び提供の日時、特定個人情報の項目等を記録し、7年間保存しなければならない。

## C 秘密の管理等（番号法第24条、第25条）

総務大臣、情報照会者及び情報提供者は、情報提供等事務に関する秘密について、その漏えいの防止その他の適切な管理のために、情報提供ネットワークシステム並びに情報照会者及び情報提供者が情報提供等事務に使用する電子計算機の安全性及び信頼性を確保することその他の必要な措置を講じなければならない。

## D 情報提供等の記録の取扱い（番号法第30条第4項）

情報提供等の記録については、番号法第30条第4項によって独立行政法人等個人情報保護法が準用又は読み替えて準用されることから、次のとおり取り扱わなければならない。

この場合、情報提供等の記録については、情報提供ネットワークシステムと接続された中間サーバーにおいて保管、管理されていることから、中間サーバーにおける適正な取扱いが確保されなければならない。

a 利用目的を超えた利用の禁止（番号法第30条第4項により読み替えて準用される独立行政法人等個人情報保護法第9条第1項）

利用目的を超えて情報提供等の記録を利用してはならない。

b 利用目的の特定（番号法第30条第4項により準用される独立行政法人等個人情報保護法第3条第1項及び第3項）
個人情報の保有に当たっては、法令の定める業務を遂行するため必要な場合に限り、かつ、その利用目的をできる限り特定しなければならないとされているが、情報提供等の記録の場合には、本人からの請求に応じること（法令上の義務）等が目的となる。

情報提供等の記録の利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。

c 正確性の確保（番号法第30条第4項により準用される独立行政法人等個人情報保護法第6条）

利用目的の達成に必要な範囲内で、情報提供等の記録が過去又は現在の事実と合致するよう努めなければならない。

d 保有の制限（番号法第30条第4項により準用される独立行政法人等個人情報保護法第3条第2項）

利用目的の達成に必要な範囲を超えて情報提供等の記録を保有してはならない。

e 適正取得（番号法第30条第4項により準用される独立行政法人等個人情報保護法第5条）

偽りその他不正の手段により情報提供等の記録を取得してはならない。

f 安全確保の措置（番号法第30条第4項により準用される独立行政法人等個人情報保護法第7条）

情報提供等の記録の漏えい、滅失又は毀損の防止等情報提供等の記録の適切な管理のために必要な措置を講じなければならない。この規定は、健康保険組合等から情報提供等の記録の取扱いについて、委託を受けた者が受託した業務を行う場合にも適用される。

g 従業者の義務（番号法第30条第4項により準用される独立行政法人等個人情報保護法第8条）

情報提供等の記録の取扱いに従事する健康保険組合等の従業者及び健康保険組合等から受託した業務に従事している者等は、業務に関して知り得た情報提供等の記録の内容をみだりに他人に知らせ、又は不当な目的に利用してはならない。

## h 開示

情報提供等の記録の開示については、独立行政法人等個人情報保護法第12条から第20条まで、第23条、第24条及び第26条が準用される。なお、次の点については、番号法第30条第4項によって読み替えて準用される
ため留意する必要がある。

① 開示請求の代理人（番号法第30条第4項により読み替えて準用される独立行政法人等個人情報保護法第12条第2項、第13条第2項及び第14条第1号）

法定代理人だけではなく、任意代理人による開示請求が可能となっていることから、これに適切に対応しなければならない。

② 第三者に対する意見書提出の機会の付与等（番号法第30条第4項により読み替えて準用される独立行政法人等個人情報保護法第23条第1項、番号法第30条第4項により準用される独立行政法人等個人情報保護法第23条第2項）

健康保険組合等は、情報提供等の記録の開示請求が行われた場合、その情報提供等の記録の中に国、独立行政法人等、地方公共団体、地方独立行政法人、開示請求者及び開示請求を受けた者以外の者（以下「第三者」という。）に関する情報が含まれている場合には、その「第三者」に対し意見書を提出する機会を与えることができる。また、一定の場合には意見書を提出する機会を与えなければならないが、健康保険組合等自身は、「第三者」に当たらない。

③ 開示の手数料（番号法第30条第4項により読み替えて準用される独立行政法人等個人情報保護法第26条第1項）

健康保険組合等は、開示の実施に関し、手数料を徴収することができる。

## i 訂正等

情報提供等の記録の訂正等については、独立行政法人等個人情報保護法第27条から第32条まで及び第35条が準用される。なお、次の点については、番号法第30条第4項によって読み替えて準用されるため留意する必要がある。

① 訂正請求の代理人（番号法第30条第4項により読み替えて準用される独立行政法人等個人情報保護法第27条第2項及び第28条第2項）開示請求と同様に、法定代理人だけではなく、任意代理人による訂正請求が可能となっていることから、これに適切に対応しなければならない。

② 情報提供等の記録の提供先への通知（番号法第30条第4項により読み替えて準用される独立行政法人等個人情報保護法第35条）
## （別添）特定個人情報に関する安全管理措置

## (事業者編)

【目次】
要点.....48

1 安全管理措置の検討手順.....50
A 個人番号を取り扱う事務の範囲の明確化.....50
B 特定個人情報等の範囲の明確化.....50
C 事務取扱担当者の明確化.....50
D 基本方針の策定.....50
E 取扱規程等の策定.....50

2 講ずべき安全管理措置の内容.....51
A 基本方針の策定.....51
B 取扱規程等の策定.....52
C 組織的安全管理措置.....52
a 組織体制の整備.....52
b 取扱規程等に基づく運用.....53
c 取扱状況を確認する手段の整備.....53
d 情報漏えい等事案に対応する体制の整備.....54
e 取扱状況の把握及び安全管理措置の見直し.....54
D 人的安全管理措置.....55
a 事務取扱担当者の監督.....55
b 事務取扱担当者の教育.....55
E 物理的安全管理措置.....55
a 特定個人情報等を取り扱う区域の管理.....55
b 機器及び電子媒体等の盗難等の防止.....56
c 電子媒体等を持ち出す場合の漏えい等の防止.....56
d 個人番号の削除、機器及び電子媒体等の廃棄.....56
F 技術的安全管理措置.....57
a アクセス制御.....57
b アクセス者の識別と認証.....58
c 外部からの不正アクセス等の防止.....58
d 情報漏えい等の防止.....58
## 要点

## ○ 番号法における安全管理措置の考え方

個人番号関係事務実施者又は個人番号利用事務実施者である事業者は、個人番号及び特定個人情報（以下「特定個人情報等」という。）の漏えい、滅失又は毀損（以下「情報漏えい等」という。）の防止等、特定個人情報等の管理のために、必要かつ適切な安全管理措置を講じなければならない。また、その従業者 $ ^{注} $ に特定個人情報等を取り扱わせるに当たっては、特定個人情報等の安全管理措置が適切に講じられるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

番号法は、個人番号を利用できる事務の範囲、特定個人情報ファイルを作成できる範囲、特定個人情報を収集・保管・提供できる範囲等を制限している。したがって、事業者は、安全管理措置の検討に当たり、次の事項を明確にすることが重要である。

A 個人番号を取り扱う事務の範囲

B 特定個人情報ファイルの範囲

C 個人番号を取り扱う事務に従事する従業者の範囲

（注）「従業者」とは、事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者をいう。具体的には、従業員のほか、取締役、監査役、理事、監事、派遣社員等を含む。

## ○ 安全管理措置の検討手順

事業者は、特定個人情報等の適正な取扱いに関する安全管理措置について、次のような手順で検討を行う必要がある。→1

A 個人番号を取り扱う事務の範囲の明確化

B 特定個人情報等の範囲の明確化

C 特定個人情報等を取り扱う従業者（以下「事務取扱担当者」という。）の明確化

D 特定個人情報等の安全管理措置に関する基本方針（以下「基本方針」という。）の策定

E 取扱規程等の策定

## 。講ずべき安全管理措置の内容

事業者は、安全管理措置の検討に当たり、番号法及び個人情報保護法等関係法令並びに本ガイドライン及び主務大臣のガイドライン等を遵守しなければならない。

本ガイドラインは、次に示す項目に沿って記述している。→2

A 基本方針の策定

B 取扱規程等の策定
C 組織的安全管理措置

D 人的安全管理措置

E 物理的安全管理措置

F 技術的安全管理措置
## 1 安全管理措置の検討手順

事業者は、特定個人情報等の取扱いを検討するに当たって、個人番号を取り扱う事務の範囲及び特定個人情報等の範囲を明確にした上で、事務取扱担当者を明確にしておく必要がある。これらを踏まえ、基本方針及び取扱規程等を策定し、特定個人情報等を取り扱う体制の整備及び情報システムの改修等を行う必要がある。

事業者は、特定個人情報等の取扱いに関する安全管理措置について、次のような手順で検討を行う必要がある。

## A 個人番号を取り扱う事務の範囲の明確化

事業者は、個人番号関係事務又は個人番号利用事務(番号法第9条第1項から第3項までに規定する事務に該当するもの)の範囲を明確にしておかなければならない。→ガイドライン第4-1-(1)1A参照

## B 特定個人情報等の範囲の明確化

事業者は、A で明確化した事務において取り扱う特定個人情報等の範囲を明確にしておかなければならない $ ^{注} $ 。

（注）特定個人情報等の範囲を明確にするとは、事務において使用される個人番号及び個人番号と関連付けて管理される個人情報（氏名、生年月日等）の範囲を明確にすることをいう。

## C 事務取扱担当者の明確化

事業者は、A で明確化した事務に従事する事務取扱担当者を明確にしておかなければならない。

## D 基本方針の策定

特定個人情報等の適正な取扱いの確保について組織として取り組むために、基本方針を策定することが重要である。→2A参照

## E 取扱規程等の策定

事業者は、A～Cで明確化した事務における特定個人情報等の適正な取扱いを確保するために、取扱規程等を策定しなければならない。→2 B参照
## 2 講ずべき安全管理措置の内容

本セクション2においては、特定個人情報等の保護のために必要な安全管理措置について本文で示し、具体的な手法の例示及び中小規模事業者における対応方法を記述している。

それぞれの項目の位置付けは次のとおりである。安全管理措置の検討に当たっては、番号法及び個人情報保護法等関係法令並びに本ガイドライン及び主務大臣のガイドライン等を遵守しなければならない。

手法の例示：具体的な手法を例示したものである。本例示は、これに限定する趣旨で記載したものではなく、また、個別ケースによって別途考慮すべき要素があり得るので注意を要する。

中小規模事業者 $ ^{注} $ における対応方法：中小規模事業者については、事務で取り扱う個人番号の数量が少なく、また、特定個人情報等を取り扱う従業者が限定的であること等から、特例的な対応方法を示すものである。

なお、中小規模事業者が、手法の例示に記載した手法を採用することは、より望ましい対応である。

（注）「中小規模事業者」とは、事業者のうち従業員の数が100人以下の事業者であって、次に掲げる事業者を除く事業者をいう。

· 個人番号利用事務実施者

委託に基づいて個人番号関係事務又は個人番号利用事務を業務として行う事業者

金融分野（金融庁作成の「金融分野における個人情報保護に関するガイドライン」第1条第1項に定義される金融分野）の事業者

· 個人情報取扱事業者

## A 基本方針の策定

特定個人情報等の適正な取扱いの確保について組織として取り組むために、基本方針を策定し、従業者に周知徹底することが重要である。

《手法の例示》

* 基本方針に定める項目としては、次のものが挙げられる。

・ 事業者の名称

関係法令・ガイドライン等の遵守

・ 安全管理措置に関する事項

・質問及び苦情処理の窓口等
## B 取扱規程等の策定

1 A～Cで明確化した事務において事務の流れを整理し、特定個人情報等の具体的な取扱いを定める取扱規程等を策定しなければならない。

《手法の例示》

* 取扱規程等は、次に示す管理段階ごとに、取扱方法、責任者・事務取扱担当者及びその任務等について定めることが考えられる。具体的に定める事項については、2C～Fに記述する安全管理措置を織り込むことが重要である。

① 取得する段階

② 利用を行う段階

③ 保存する段階

④ 提供を行う段階

⑤ 削除・廃棄を行う段階

* 源泉徴収票等を作成する事務の場合、例えば、次のような事務フローに即して、手続を明確にしておくことが重要である。

① 従業員等から提出された書類等を取りまとめる方法

② 取りまとめた書類等の源泉徴収票等の作成部署への移動方法

③ 情報システムへの個人番号を含むデータ入力方法

④ 源泉徴収票等の作成方法

⑤ 源泉徴収票等の行政機関等への提出方法

⑥ 源泉徴収票等の本人への交付方法

⑦ 源泉徴収票等の控え、従業員等から提出された書類及び情報システムで取り扱うファイル等の保管方法

⑧ 法定保存期間を経過した源泉徴収票等の控え等の廃棄・削除方法等

## 【中小規模事業者における対応方法】

○ 特定個人情報等の取扱等を明確化する。

☐ 事務取扱担当者が変更となった場合、確実な引継ぎを行い、責任ある立場の者が確認する。

## C 組織的安全管理措置

事業者は、特定個人情報等の適正な取扱いのために、次に掲げる組織的安全管理措置を講じなければならない。

## a 組織体制の整備

安全管理措置を講ずるための組織体制を整備する。
## 《手法の例示》

* 組織体制として整備する項目は、次のものが挙げられる。

・事務における責任者の設置及び責任の明確化

・事務取扱担当者の明確化並びにその役割の明確化

・事務取扱担当者が取り扱う特定個人情報等の範囲の明確化

事務取扱担当者が取扱規程等に違反している事実又は兆候を把握した場合の責任者への報告連絡体制

情報漏えい等事案の発生又は兆候を把握した場合の従業者から責任者等への報告連絡体制

特定個人情報等を複数の部署で取り扱う場合の各部署の任務分担及び責任の明確化

## 【中小規模事業者における対応方法】

☐ 事務取扱担当者が複数いる場合、責任者と事務取扱担当者を区分することが望ましい。

## b 取扱規程等に基づく運用

取扱規程等に基づく運用状況を確認するため、システムログ又は利用実績を記録する。

《手法の例示》

$ ^{*} $ 記録する項目としては、次のものが挙げられる。

特定個人情報ファイルの利用・出力状況の記録

・ 書類・媒体等の持出しの記録

・特定個人情報ファイルの削除・廃棄記録

・削除・廃棄を委託した場合、これを証明する記録等

・特定個人情報ファイルを情報システムで取り扱う場合、事務取扱担当者の

情報システムの利用状況（ログイン実績、アクセスログ等）の記録

## 【中小規模事業者における対応方法】

○ 特定個人情報等の取扱状況の分かる記録を保存する。

## c 取报状況を確認する手段の整備

特定個人情報ファイルの取扱状況を確認するための手段を整備する。なお、取扱状況を確認するための記録等には、特定個人情報等は含めない。

《手法の例示》

* 取报状況を確認するための記録等としては、次のものが挙げられる。

・特定個人情報ファイルの種類、名称
· 責任者、取报部署

· 利用目的

· 削除 · 廃棄状況

アクセス権を有する者

## 【中小規模事業者における対応方法】

→ C b 参照

## d 情報漏えい等事案に対応する体制の整備

情報漏えい等の事案の発生又は兆候を把握した場合に、適切かつ迅速に対応するための対応体制を整備する。

情報漏えい等事案が発生した場合、二次被害の防止、類似事案の発生防止等の観点から、事案に応じて、事実関係及び再発防止策等を早急に公表することが重要である。

《手法の例示》

$ ^{*} $ 情報漏えい等事案の発生時に、次のような対応を行うことを念頭に、体制を整備することが考えられる。

・ 事実関係の調査及び原因の究明

影響を受ける可能性のある本人への連絡

・ 委員会及び主務大臣等への報告

再発防止策の検討及び決定

・ 事実関係及び再発防止策等の公表

## 【中小規模事業者における対応方法】

○ 情報漏えい等事案の発生等に備え、従業者から責任ある立場の者に対する報告連絡体制等をあらかじめ確認しておく。

## e 取报状況の把握及び安全管理措置の見直し

特定個人情報等の取扱状況を把握し、安全管理措置の評価、見直し及び改善に取り組む。

《手法の例示》

* 特定個人情報等の取扱状況について、定期的に自ら行う点検又は他部署等による監査を実施する。

* 外部の主体による他の監査活動と合わせて、監査を実施することも考えられる。

## 【中小規模事業者における対応方法】

○ 責任ある立場の者が、特定個人情報等の取扱状況について、定期的
に点検を行う。

## D 人的安全管理措置

事業者は、特定個人情報等の適正な取扱いのために、次に掲げる人的安全管理措置を講じなければならない。

## a 事務取扱担当者の監督

事業者は、特定個人情報等が取扱規程等に基づき適正に取り扱われるよう、事務取扱担当者に対して必要かつ適切な監督を行う。

## b 事務取扱担当者の教育

事業者は、事務取扱担当者に特定個人情報等の適正な取扱いを周知徹底するとともに適切な教育を行う。

## 《手法の例示》

* 特定個人情報等の取扱いに関する留意事項等について、従業者に定期的な研修等を行う。

* 特定個人情報等についての秘密保持に関する事項を就業規則等に盛り込むことが考えられる。

## E 物理的安全管理措置

事業者は、特定個人情報等の適正な取扱いのために、次に掲げる物理的安全管理措置を講じなければならない。

## a 特定個人情報等を取り扱う区域の管理

特定個人情報等の情報漏えい等を防止するために、特定個人情報ファイルを取り扱う情報システムを管理する区域（以下「管理区域」という。）及び特定個人情報等を取り扱う事務を実施する区域（以下「取扱区域」という。）を明確にし、物理的な安全管理措置を講じる。

## 《手法の例示》

* 管理区域に関する物理的安全管理措置としては、入退室管理及び管理区域へ持ち込む機器等の制限等が考えられる。

* 入退室管理方法としては、ＩＣカード、ナンバーキー等による入退室管理システムの設置等が考えられる。

* 取扱区域に関する物理的安全管理措置としては、壁又は間仕切り等の設置及び座席配置の工夫等が考えられる。
## b 機器及び電子媒体等の盗難等の防止

管理区域及び取扱区域における特定個人情報等を取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために、物理的な安全管理措置を講じる。

## 《手法の例示》

* 特定個人情報等を取り扱う機器、電子媒体又は書類等を、施錠できるキャビネット・書庫等に保管する。

* 特定個人情報ファイルを取り扱う情報システムが機器のみで運用されている場合は、セキュリティワイヤー等により固定すること等が考えられる。

## c 電子媒体等を持ち出す場合の漏えい等の防止

特定個人情報等が記録された電子媒体又は書類等を持ち出す場合、容易に個人番号が判明しない措置の実施、追跡可能な移送手段の利用等、安全な方策を講じる。

「持出し」とは、特定個人情報等を、管理区域又は取扱区域の外へ移動させることをいい、事業所内での移動等であっても、紛失・盗難等に留意する必要がある。

## 《手法の例示》

* 特定個人情報等が記録された電子媒体を安全に持ち出す方法としては、持出しデータの暗号化、パスワードによる保護、施錠できる搬送容器の使用等が考えられる。ただし、行政機関等に法定調書等をデータで提出するに当たっては、行政機関等が指定する提出方法に従う。

* 特定個人情報等が記載された書類等を安全に持ち出す方法としては、封緘、目隠しシールの貼付を行うこと等が考えられる。

## 【中小規模事業者における対応方法】

○ 特定個人情報等が記録された電子媒体又は書類等の移送に当たっては、安全な方策を講じる。

## d 個人番号の削除、機器及び電子媒体等の廃棄

個人番号関係事務又は個人番号利用事務を行う必要がなくなった場合で、所管法令等において定められている保存期間等を経過した場合には、個人番号をできるだけ速やかに、復元できない手段で削除又は廃棄する。

→ガイドライン第4-3-(3)B「保管制限と廃棄」参照

個人番号若しくは特定個人情報ファイルを削除した場合、又は電子媒体等を廃棄した場合には、削除又は廃棄した記録を保存する。また、これら
の作業を委託する場合には、委託先が確実に削除又は廃棄したことについて、証明書等により確認する。

## 《手法の例示》

* 特定個人情報等が記載された書類等を廃棄する場合、焼却又は溶解等の復元不可能な手段を採用する。

* 特定個人情報等が記録された機器及び電子媒体等を廃棄する場合、専用のデータ削除ソフトウェアの利用又は物理的な破壊等により、復元不可能な手段を採用する。

* 特定個人情報ファイル中の個人番号又は一部の特定個人情報等を削除する場合、容易に復元できない手段を採用する。

* 特定個人情報等を取り扱う情報システムにおいては、保存期間経過後における個人番号の削除を前提とした情報システムを構築する。

$ ^{*} $ 個人番号が記載された書類等については、保存期間経過後における廃棄を前提とした保管手続を定める。

## 【中小規模事業者における対応方法】

○ 特定個人情報等を削除・廃棄したことを確認する。

## F 技術的安全管理措置

事業者は、特定個人情報等の適正な取扱いのために、次に掲げる技術的安全管理措置を講じなければならない。

## アクセス制御

情報システムを使用して個人番号関係事務又は個人番号利用事務を行う場合、事務取扱担当者及び当該事務で取り扱う特定個人情報ファイルの範囲を限定するために、適切なアクセス制御を行う。

## 《手法の例示》

* アクセス制御を行う方法としては、次のものが挙げられる。

個人番号と紐付けてアクセスできる情報の範囲をアクセス制御により限定する。

特定個人情報ファイルを取り扱う情報システムを、アクセス制御により限定する。

・ ユーザーＩＤに付与するアクセス権により、特定個人情報ファイルを取り扱う情報システムを使用できる者を事務取扱担当者に限定する。

## 【中小規模事業者における対応方法】

○ 特定個人情報等を取り扱う機器を特定し、その機器を取り扱う事務
取扱担当者を限定することが望ましい。

○ 機器に標準装備されているユーザー制御機能（ユーザーアカウント制御）により、情報システムを取り扱う事務取扱担当者を限定することが望ましい。

## b アクセス者の識別と認証

特定個人情報等を取り扱う情報システムは、事務取扱担当者が正当なアクセス権を有する者であることを、識別した結果に基づき認証する。

《手法の例示》

* 事務取扱担当者の識別方法としては、ユーザーＩＤ、パスワード、磁気・ＩＣカード等が考えられる。

## 【中小規模事業者における対応方法】

→ F a 参照

## c 外部からの不正アクセス等の防止

情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入し、適切に運用する。

## 《手法の例示》

$ ^{*} $ 情報システムと外部ネットワークとの接続箇所に、ファイアウォール等を設置し、不正アクセスを遮断する。

$ ^{*} $ 情報システム及び機器にセキュリティ対策ソフトウェア等（ウィルス対策ソフトウェア等）を導入する。

$ ^{*} $ 導入したセキュリティ対策ソフトウェア等により、入出力データにおける不正ソフトウェアの有無を確認する。

* 機器やソフトウェア等に標準装備されている自動更新機能等の活用により、ソフトウェア等を最新状態とする。

## d 情報漏えい等の防止

特定個人情報ファイルをインターネット等により外部に送信する場合、通信経路における情報漏えい等を防止するための措置を講じる。

《手法の例示》

$ ^{*} $ 通信経路における情報漏えい等の防止策としては、通信経路の暗号化等が考えられる。

$ ^{*} $ 情報システム内に保存されている特定個人情報等の情報漏えい等の防止策としては、データの暗号化又はパスワードによる保護等が考えられる。