Silviase/jgov_v1.4_full_ann huggingface dataset:
た。自主的に対応してきました団体やその他の団体について申請に基づいて主務大臣が認定し、その団体の活動を支援していくという意味も持たせて、認定個人情報保護団体という制度を作りました。

公的な対応と民間による対応の両方で保護を図るというやり方は、世界の流れでありまして、様々な国で進んできておりますし、4月に採択されました、欧州連合の一般データ保護規則でも、サーティフィケーションを非常に重視しています。

日本の場合には、認定個人情報保護団体という形で、非常に明確に法的に位置付けましたので、今までの実績を踏まえて対応していくことになります。昨年の個人情報保護法の改正で、幾つか新たな規定を設けてより良いものになるようにしていこうという経緯があります。

主務大臣制の下では、各主務大臣が所管する事業分野ごとということでして、それぞれの主務大臣で対応の仕方も様々であったと思います。私自身も認定個人情報保護団体を運用した経験を持っています。今後は個人情報保護委員会が全体的に対応するようになりますので、この制度はますます重要な意味を持つことになりますし、当委員会の役割は非常に大きくなります。

貴重な御意見をお出し頂きましたが、また機会を改めて議論したいと思います。今日の段階では、委員会としての活動方針等についての基本的な考え方は、こういうことでよろしいということであれば、これで進めていくことにしたいと思いますが、よろしいでしょうか。

(「異議なし」と声あり)

○堀部委員長 ありがとうございました。

その他申し上げたいことはありますけれども、今日は、その辺にいたします。ありがとうございました。

次に議題２「番号法第十九条第八号に基づく特定個人情報の提供に関する委員会規則等の方向性について」、事務局から資料の説明をお願いします。

☐事務局 よろしくお願いします。

資料 2－1、資料 2－2 を御用意いただければと思います。

資料 2－1 で、番号法19条8号に基づく特定個人情報の提供に関する規則の方向性について、説明をさせていただきます。

独自利用事務、番号法9条2項に基づき条例で定める事務でございますけれども、この事務に係る情報連携を行うための原則に関して定める規則でございます。従来、委員会規則で定めておりました内容は、番号法改正に伴い、番号法に規定されましたため、規則の根拠となる番号法の規定を変更するものでございます。

内容的には、従来の委員会規則と何ら変わるものではなく、形式改正でございますので、資料2－2に移らせていただければと思います。

番号法19条8号の規定により提供することができる特定個人情報の範囲の限定に関する
る規則の方向性について、説明をさせていただきます。

こちらにつきましては、独自利用事務についての情報連携を行いたくないという自治体が、条例を制定することによりまして、提供の義務付けを解除する際の規則でございます。

制度としましては、番号法上規定されており、規則において手続等を定める予定でございます。

まず、番号法の規定内容について、説明をさせていただきます。

地方公共団体の独自利用事務に係る情報連携について、提供の求めを受けた地方公共団体の長その他の執行機関は、19条8号の規定により提供することができる特定個人情報の範囲が条例で限定されており、また、あらかじめ委員会規則の定めるところにより個人情報保護委員会に申し出た場合には、当該特定個人情報の提供義務の解除がなされる旨が規定されております。

次に、制定予定の規則の概要について、説明をさせていただきます。

限定機関と呼んでおります、提供することができる特定個人情報の範囲が条例により限定されている機関が、特定個人情報の範囲が条例により限定されている旨を委員会に申し出る際の手続等を規定する予定でございます。

限定機関が提出する申出書につきましては、次の事項を想定しております。

1つ目として、条例を制定した地方公共団体の名称。

2つ目として、条例の名称、そして、条例において提供しないこととして定める特定個人情報の範囲、こちらにつきましては、括弧書きで書いておりますが、2パターン、条例において規定していただくパターンを考えております。

まずは、独自利用事務が準ずる法定事務の事務レベルで規定をいたしまして、その事務に必要な情報は、全て提供しないというパターン、もう一つは、その事務に必要な情報の一部を提供しない旨を定めるパターンです。

3つ目といたしまして、提供することができる特定個人情報の範囲の限定を開始する日として、希望する日を申出書に記載していただく予定でございます。

なお、条例を制定する場合には、客観的判断に専門的知識を要しますので、あらかじめ個人情報の保護に関する学識経験のある者を含む者等で構成される合議制の機関の意見を聴くように努めるものとするという規定を予定しております。

（２）といたしまして、委員会は（１）の申出事項について、必要があると認めるときには、限定機関に説明又は訂正を求めることができることを予定しております。

（３）（４）につきましては、現行の規則における届出に関する手続と同様の手続について、規定をする予定でございます。

今後のスケジュールですが、こちらの規則と先ほどの8号規則は同様のスケジュールで想定をしておりまして、改正番号法の施行令が公布された後に、パブリックコメント等の手続を経て制定する予定です。

以上で説明を終わらせていただきます。
御審議よろしくお願いいたします。

○堀部委員長 ありがとうございました。

ただいまの説明につきまして、御質問、御意見をお願いします。

○阿部委員　1つだけ確認したいのですけれども、法定事務で法律に規定されているものについては限定条例で解除できることにはなっていないのですね。

○事務局おっしゃるとおり、独自利用事務についてだけでございます。

○堀部委員長 熊澤委員、どうぞ。

○熊澤委員　条例を制定するケースとして、具体的にどのようなケースが想定されるのでしょうか。

○松元総務課長 例えば、照会する自治体に個人情報の取扱いについて問題があるという事例も考えられるのですが、それにつきましては別途の監視・監督等により対応しますので、この条例を制定するケースとしては想定できません。

他の自治体の独自利用事務についてまでは提供したくないと判断し、事務単位又は事務に必要な情報単位で、提供できる特定個人情報の限定を規定する自治体がもしかしたらあるかもしれないという状況です。

○堀部委員長 阿部委員、どうぞ。

○阿部委員　個人情報等については、厳格に法律で書いてなければ提供を認めないという考え方を採る人たちもいるのです。そのため、法律に委任された規則の枠の中で条例を定めれば、特定個人情報の提供を受けることができるというのは、法律で定めないと認めないという考えからすると、潔くないという考え方をとる首長さんもいると思います。

○堀部委員長 これは特定個人情報、個人番号と関わるところですので、特に厳格に考える自治体もあるかもしれません。

○阿部委員 そういう自治体があっても、不思議ではないと思います。

ただ、法律で、法定事務で提供できる範囲に限定して情報提供を受けると規定しているので、法律に基づくものと何ら変わらない。一方、それは規則でそう定めているだけであり、法律でそこまで限定したわけではないのです。

○堀部委員長 阿部委員、どうぞ。

○阿部委員 実際、限定条例を制定する自治体は、どのぐらいあるのでしょうか。

○松元総務課長 照会をかけてはおりませんが、非常に少ないのではないかと思っております。

☐ 手塚委員 委員会の立場としては、申出があれば、基本的には受けることになりますか。

☐ 松元総務課長 はい。承認というものではございませんので、委員会規則に基づく申出事項が記載されており、要件が満たされれば、手続に従って受けることになると思います。

☐ 堀部委員長 先ほど事務局からも説明がありましたように、改正番号法施行令が公布された後に、パブリックコメントの手続を進める予定ですので、また何かお気付きの点があれば、意見を出していただいて、対応していきたいと思います。
そういうことで、この件については、よろしいでしょうか。

(「異議なし」と声あり)

○堀部委員長 ありがとうございました。

次に議題3「平成28年度特定個人情報の取扱いに関する監視・監督方針について」、松本企画官から資料の説明をお願いします。

○松本企画官 私からは「平成28年度 特定個人情報の取扱いに関する監視・監督方針（案）」について、御説明をさせていただきます。

資料 3－1、資料 3－2、を使って説明をさせていただきます。

資料 3－2 でございますけれども、この資料を用いまして、委員会の役割について、冒頭、説明をさせていただきます。

委員会の役割としましては、3つのフェーズがあると考えてございます。まず左の上にございますが、ルール作りと広報、その下に事前対応、事後の対応、この3つのフェーズでございます。

ルール作りと広報でございますが、ここは特定個人情報の適正な取扱いにつきまして、ガイドラインであるとか、Q & Aを策定しております。これらについて、随時、見直しを行っていくといった作業を行っているところでございます。

また、昨年の法改正を踏まえまして、漏えい事案等が発生した場合の対応であるとか、行政機関等に対します定期的な検査、これらに関しまして、委員会規則等を策定しているところでございます。

ガイドライン、Q & A、委員会規則、こういったものにつきましては、委員会のウェブサイトで周知を行っておりますほか、各種の説明会等の場を使いまして、説明を行うなど、積極的な広報活動を行っているところでございます。

法令、委員会規則といったルールが特定個人情報を取り扱う機関において遵守されているかどうかを見ることが課題となりますが、それにつきましては、事前の対応と事後の対応という2つのものがございます。

事前の対応でございますけれども、特定個人情報保護評価制度であり、マイナンバーを利用します行政機関等が、総合的なリスク対策を自ら行い、公表するものでございます。

一方、事後の対応になりますが、日常の監督、立入検査、情報提供ネットワークシステムによる監視という3つの手法があると考えてございます。

日常の監督でございますが、これは当委員会にございます苦情あっせん相談窓口に寄せられます、苦情等への対応であるとか、あるいは何らかの事案が発生した場合の報告徴収、指導・助言といったものがございます。

例えば、漏えい事案等が発生した場合には、報告を求め、再発防止策の策定等に関し、指導・助言を行うといったことが考えられます。

立入検査でございますけれども、ここは、行政機関等に対します検査を行うほか、漏えい事案等、何らかのことが起きた場合には、随時検査を行うことも当然ございます。
こうした日々の日常の監督であるとか、立入検査を行う中で得られました、各種の情報につきましては、良い事例としての参考情報、あるいは注意喚起事例としての情報提供、こういったことについて、情報提供、情報発信を行うことも事後対応の役割の1つであると考えてございます。

事後対応の3つ目、情報提供ネットワークシステムに係る監視でございますが、これは情報提供ネットワークシステムにおける情報連携自体がまだ開始されておりませんので、もう少し先のことになりますけれども、この連携が始まりましたら、連携の状況について、監視を行うことになります。

資料 3－1 の「平成28年度特定個人情報の取扱いに関する監視・監督方針（案）」の構成でございますけれども、当委員会発足以来、27年度まで、様々な活動をしているところでございますが、特に27年度の活動実績を踏まえて、その上に28年度の活動を積み重ねる形で記載しております。28年度の監視・監督方針（案）は、これまでの活動を記載し、それを踏まえた上で、こういったことをやっていきますといったことを記載する形としてございます。

まず、監視・監督を行う際等の背景であるとか、そういったことを記載しております。27年度の監視・監督方針では、「平成28年1月にその利用が開始されることを踏まえ」ということで、まだ利用が開始されていない段階でのことを踏まえておりますので、準備行為を前提とした表現で、27年度の監視・監督方針には記載されている部分がございました。

一方、28年度におきましては、「平成28年1月からマイナンバーカードの交付及びマイナンバーの利用が開始されたことを踏まえ」ということで、マイナンバーの利用が開始されておりますので、実際、どういった監視・監督をしていくかといったことを記載するということで、28年度の方針や考え方を記載してございます。

次に、「（1）特定個人情報の適正な取扱いに関するガイドライン等の策定・周知」でございますが、ここでは、特に中小企業をサポートするためのページを当委員会のウェブサイトに開設したことであるとか、あるいはマイナンバーの取扱いに関しますリーフレットを広く配布したこと、こういったきめ細やかな広報を、特に27年度に行ってまいりましたということを記載しております。

また、「（２）特定個人情報の漏えい事案等が発生した場合の委員会規則等の制定」「（３）定期的な検査に関する規則の制定」は、昨年の法改正を踏まえまして、漏えい報告に関する規則、あるいは定期的な検査の実施に関する規則、こういった２つの委員会規則を制定したということを、ここに御紹介してございます。

「（５）特定個人情報の適正な取扱いのルールに対する国民の理解の向上」でございますが、昨年10月に開設いたしました、苦情あっせん相談窓口で受け付けました情報や、委員会に寄せられた制度に関する照会等を基に、マイナンバーヒヤリハットコーナーを当委員会のウェブサイトに設けております。ヒヤリハットの事例であるとか、あるいは番号の提供の際に起きやすいトラブルだとか、こういった事例を紹介したものですが、こういつ
たものを設けておりまして、基本的な注意点、どういったことを注意してくださいといったことを事例として紹介しておりまして、国民の理解の向上に努めているということでございます。

「（6）セキュリティに関する体制の整備」でございますが、27年度におきましては「2.サイバーセキュリティをめぐる動向」ということで、サイバーセキュリティ基本法であるとか、サイバーセキュリティ戦略であるとか、サイバーセキュリティ対策の各種の政策等が打ち出されたということがございましたので、これを踏まえまして、27年度におきましては、セキュリティに関します、研修を行うであるとか、関係省庁との情報交換を行うための一定の体制整備を行いましたということを記載してございます。

次からが28年度の監視・監督方針の具体的な事項が記載されています。

「2．平成28年度における監視・監督の基本的な考え方」でございますけれども、ここでは、28年度の監視・監督方針の基本的な考え方をうたうとともに、なお書きで記載をさせていただいておりますが、平成27年の改正法によります地方公共団体等からの定期的な報告につきましては、27年度では「地方公共団体等からの定期的報告等については、本年度中に委員会規則を制定する」とさせていただいておりました。

ところが、実際、検討を始めたところ、報告の主体は、あくまで自治体が主体となるということがございまして、彼らの作業負担がどのくらいになるのか、報告できる内容として、どういったものがあるのか、時期的にはどういった時期が適切であるのかといったことを、各自治体と調整し、相談する必要があるということがございましたので、27年度中の制定が難しいのではないかということになりました。そこで、28年度中に地方公共団体から話を聞き、調整を踏まえた上で、28年度中に規則を作り、報告自体は、29年度から頂くという形に変更させていただいてございます。

「3．具体的な取組」でございます。

「（1）監督」でございますが、監督の実施に当たりましては、相談窓口に寄せられます情報や漏えい事案の報告、こういったものも総合的に活用し、必要に応じ、報告徴収や指導・助言を行うことをうたっておりますけれども、特に漏えい事案の報告に関しましては、再発防止策等を含めて指導を行ったり、事業者のマイナンバーの取扱いにつきまして、相談窓口に寄せられた苦情がございましたら、事業者に対しまして、報告を求めたり、あるいは事業者の取扱方法につきまして、指導・助言を行うといったことを行っていきたいと考えております。

「（2）検査」でございますが、検査におきましては、法令で定められました、行政機関等に対します定期的な検査、これは主に特定個人情報保護評価書に記載されております事項が、適切に実施されているかどうかといったことを見るような検査になろうかと思いますけれども、こういった検査を行うとともに、法律上、規定されているわけではございませんが、地方公共団体に関します検査も、行政機関等と同じように、実施するとしておりますが、自治体といいましても、それぞれ特性があり、それぞれリスクのある場所も違
いますので、特定のリスクにターゲットを絞った検査も、随時、行っていきたいと考えてございます。

また、検査において把握しました個人番号利用事務実施者等が行っている施策が、他の実施者の参考になる事例につきましては、随時、委員会のウェブサイトにおいて、情報提供を行う等の情報発信を行っていきたいと考えてございます。

監視・監督方針を御説明させていただきましたが、目新しい施策があるということではございません。オーソドックスなものを確実に、一つ一つ実施していていくことが重要であると考えてございます。

最後になりますけれども、「（5）セキュリティ対策の強化に向けた体制の拡充及び人材の育成」ということで、今年の3月ですけれども、サイバーセキュリティ戦略本部におきまして、サイバーセキュリティ人材育成総合強化方針というものが決定されております。これを踏まえまして、当委員会におきましても、セキュリティ・IT人材確保・育成計画を策定し、研修の充実や、人材の確保に取り組むといったことを考えてございますので、記載させていただいてございます。

私の説明は以上でございます。

○堀部委員長 ありがとうございました。

ただいまの説明につきまして、コメントはございませんでしょうか。

平成27年10月20日に、平成27年度監視・監督方針を定めましたが、本年度アップデートしていくということです。今年の1月1日から個人番号の利用が始まったという状況もありますので、こういうことで本年度の監視・監督方針とするということになりますが、よろしいでしょうか。

(「異議なし」と声あり)

○堀部委員長 特に御意見がないようですので、原案どおり決定させていただきます。どうもありがとうございました。

○松本企画官 ありがとうございました。

○堀部委員長 そうしますと、方針の決定の日付は、今日の日付になるのですか。

○松本企画官 今日の日付になります。

○堀部委員長 平成28年6月21日、個人情報保護委員会ということで、公表したいと思います。

ありがとうございました。

○松本企画官 ありがとうございました。

○堀部委員長 次に、議題４「その他」です。

「「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」及び「（別冊）金融業務における特定個人情報の適正な取扱いに関するガイドライン」に関するQ & Aの更新について」、事務局から説明をお願いします。

☐事務局 資料4をご覧ください。
主に変更点に絞って説明いたします。

Q3－14という質問の中で、今まで情報システムとだけ書いてあったところに、括弧内に機器を含むと記載することで、パソコンも該当するということを明示いたしました。

アンサーでございますが、委託に該当する事例を2点、該当しない事例を6点ほど、典型的な例として、記載させていただきました。

該当する事例でございますけれども、個人番号を用いて情報システムの不具合を再現させ検証する場合、それから、個人番号をキーワードとして情報を抽出する場合、いずれも個人番号を使う場合は、従来の委託に該当するということを明示してございます。

他方、該当しない場合が6点ほどあります。

1 点目、システム修正パッチやマルウェア対策のためにデータを配布し、適用する場合。

2 点目、保守サービスの作業中に個人番号が閲覧可能となる場合であっても、画面上に表示された個人番号を書き取ること、プリントアウトすること等の個人番号の収集を防止するための措置が講じられている場合。これは、個人番号が閲覧できていても、収集、保管に該当しなければ、いわゆる個人番号の取得に該当しないという、従来の見解をそのまま具体例に書き起こしたものでございます。

3 点目、保守サービスの受付時等に個人番号の内容に含む電子データが保存されていることを知らされていない場合であって、保守サービス中に個人番号をその内容を含む電子データが保存されていることが分かった場合であっても、個人番号の収集を防止するための措置が講じられている場合。つまり、業者から見ますと、最初は個人番号が入っていないと認識している又は個人番号が入っているか分からない場合で、修理の過程で個人番号が入っていると分かった場合です。先ほどと同様に、閲覧のみであれば、個人番号の取得に該当しないという見解によるものです。

ページをめくっていただきまして、4点目でございます。不具合の生じた機器等を交換、若しくは廃棄又は機器等を再利用するために初期化する場合であって、機器等に保存されている個人番号をその内容に含む電子データを取り扱わないことが契約等で明確であり、取扱いを防止するためのアクセス制御等の措置が講じられている場合。

5 点目、不具合の生じたソフトウェアの解析をするためにメモリダンプの解析をする場合であって、メモリダンプ内の個人番号をその内容に含む電子データを再現しないこと等が契約で明確であり、再現等を防止するための措置が講じられている場合。

最後でございます。個人番号をその内容に含む電子データのバックアップの取扱い、又は復元を行う場合であって、バックアップデータ内の当該電子データを取り扱わないことが契約等で明確であり、取扱いを防止するためのアクセス制御等の措置が講じられている場合。

以上、6点の事例を委託に該当しない事例として、記載しております。

次になお書きがございまして、個人番号関係事務又は個人番号利用事務の委託に該当しない保守サービスの場合は、従来の個人情報又は営業秘密等が保存されている情報システム
ムの保守サービスにおける安全管理措置の考え方と同様に考えております。委託ではないにしても、今までの個人情報が含まれている機器等の修理と同様の安全管理措置は行ってくださいということを書いてございます。

最後の段落では、委託に該当する場合は、もとより提起してありますような、安全管理措置をきちんと確認してくださいということを書いてございます。

説明は以上です。

○堀部委員長 ありがとうございました。

ただいまの説明につきまして、御質問、御意見をお願いします。

嶋田委員、どうぞ。

○嶋田委員　確認なのですが、典型的な例のところの2つ目と3つ目で、防止するための措置という記載が出ています。後段は、どのような措置なのか想像できるのですが、この2つについて、防止するための措置というのは、具体的にはどのような措置をお考えなのですか。

○堀部委員長 其田事務局長、どうぞ。

○其田事務局長 基本的には、なお書きに書いてあることと一緒なのですけれども、そのようなものはコピーをしない、書き取らない、盗まないということは、修理をする側で、きちんと契約なり、社内規則なりで担保されているということを、防止するための措置という言葉で表しました。

○嶋田委員　分かりました。どのような措置なのかと、疑問を持ちました。それらを全部書くわけにはいかないというのは、良く分かります。

ありがとうございました。

○堀部委員長 丹野委員、どうぞ。

○丹野委員　これはとてもよろしいと思います。これをパソコンの修理をする事業者にも周知することがとても大事なので、そちらについてもよろしくお願いしたいと思います。

○堀部委員長　よろしいですか。

それでは、このような形で原案のとおり更新することで決定したいと思いますが、よろしいでしょうか。

(「異議なし」と声あり)

○堀部委員長 これは是非広報活動をしていただいて、修理しないということがないようにしていただきたいと思います。

ありがとうございました。

「議事概要について」は、資料5をご覧ください。資料5にありますように、4月26日に開催されました第7回の委員会の議事概要の案については、委員各位にあらかじめ御確認いただいております。この場で御意見がなければ、原案のとおり、ホームページに掲載することにしますが、よろしいでしょうか。

(「異議なし」と声あり)
☐堀部委員長 ありがとうございました。

次に「議事概要の作成・公表方法の変更について」、事務局に説明させます。

☐事務局 よろしくお願いします。

議事概要の作成・公表方法の変更について、説明させていただきます。

元々、個人情報保護委員会の会議の議事概要につきましては、個人情報保護委員会議事運営細目という、2月3日付けの委員長決定文書におきまして、原則として、次の次の委員会で承を得てから、委員会のホームページに掲載することになっております。

ただ、昨今、委員会の会議が注目されておりまして、なるべく早く国民一般への情報の提供が求められていると考えるという、委員長からの御示唆もありましたので、今後、議事概要につきましては、資料は、会議の後、速やかに公表しておりますけれども、議事概要につきましても、早目に、具体的には会議後1週間後をめどに、委員会のホームページに掲載することにしたいと考えております。

具体的な作成スケジュールになりますと、委員長、委員の皆様におかれましては、会議の3営業日後ぐらいに、事務局案というものを御確認いただくことになります。

一応参考までに申し上げます。従来は、先ほど委員長からお話がありましたように、会議の議題及び提出資料として、議事概要が出てきまして、その回の議事概要に了承を得たという文章が記録に載っておりました。しかし、今後は、今回の会議限りの議題として、今、私が申し上げています、議事概要の作成手続の変更というものについては議事概要に残りますが、それ以降、次回の第12回会議以降は、議題になりません。資料にも出てきません。当然に議事概要を了承しましたという記述も出てきませんということになります。その代わり、1週間後をめどに、委員会ホームページには、議事概要がきちんと載る、そういった取扱いになるということを考えております。

私からの説明は以上です。

○堀部委員長 ありがとうございました。

議事概要につきましては、ただいま説明がありましたようなことで作成し、公表していきたいと思います。

議事概要でこの委員会で何を議論したかということを、外部の人は知ります。できるだけ早く概要を明らかにしていく必要がありますので、このようにさせていただきたいと思います。

それに伴いまして、各委員には、作成スケジュールに御協力いただくことになりますので、よろしくお願いいたします。

本日の議題は以上です。

本日の会議資料については、速やかに委員会のホームページに公表したいと思いますが、よろしいでしょうか。

$$ \left(\begin{array}{l}「異議なし」\end{array}\right. と声あり ) $$

○堀部委員長 それでは、そのようにさせていただきます。
本日の会議は、これにて閉会といたします。

松元総務課長から今後の日程の説明をお願いします。

○松元総務課長 次回は7月15日金曜日の10時30分から、この会議室で行う予定となっております。

また、本日の資料の取扱いにつきましては、ただいまの決定どおりとさせていただきます。

本日は、誠にありがとうございました。

○堀部委員長 ありがとうございました。
## 5 情報保護評価の任意実施

前記4にも記載の通り、情報保護評価の義務付け対象外のものであっても、また個人番号をその内容に含まない一般の個人情報ファイルであっても、各機関の任意の判断により、自主的な評価として情報保護評価の枠組みを用いることができる。

## 6 制度・施策に関する情報保護評価

☐ 情報保護評価が積極的な事前対応を行うものであることに鑑みれば、特定個人情報ファイルが電子計算機用ファイルか手作業処理用ファイルか定まっていなかったり、特定個人情報ファイルの内容が具体的に定まっていない、制度・施策の段階で、情報保護評価を実施することが有益な場合がある。

特に、特定個人情報を取り扱う制度・施策のうち、プライバシー等に与える影響が大きいと考えられるものについては、制度・施策段階での情報保護評価が推奨される。

○ 制度・施策段階で情報保護評価を実施すれば、当該制度・施策を導入するか否かについて、プライバシー等の観点から検討 $ ^{22} $ を行うことができる。また当該制度・施策がプライバシー等に対して与える影響を事前に予測・評価し、かかる影響を軽減することも可能となると考えられる。

☐ しかしその一方で、制度・施策の設計段階では、保有する予定の特定個人情報の項目、種類、量や保有主体すら決定していないことも多いと考えられ、結果として抽象的な漠然とした評価とならざるをえない場合も多いことが考えられる。

また制度・施策の是非はあくまで国会や議会にて審議する事項であり、行政機関である委員会が立法に関連する事項について承認等を行うべきかという問題がある。

○ そのため、制度・施策段階における情報保護評価については、各機関の任意の取組みに委ねる。
## システム要件定義・設計段階

ファイル保有

各機関の任意の判断で

情報保護評価を実施する

情報保護評価の実施が

義務付けられる
## 第 5 情報保護評価の実施時期

☐ 情報保護評価は、①特定個人情報ファイルを新しく保有しようとするとき、②特定個人情報ファイルの取扱いについて重要な変更を加えようとするとき、③情報保護評価を実施してから5年経過する前に、実施しなければならない。

○ 特定個人情報ファイルの取扱い等の評価書記載事項について、重要な変更には当たらない変更が生じた場合、変更後に評価書を修正する。

○ 本第5では、上記の実施時期について説明する。

## 1 新規保有時

## （1） 総論

☐ 情報保護評価は、特定個人情報ファイルを保有する前に実施しなければならない。

☐ 情報保護評価は、特定個人情報ファイルを保有する直前ではなく、十分な時間的余裕をもって実施する必要がある。

情報保護評価の結果を受けて、当初予定していた特定個人情報ファイルの取扱いやシステム設計を変更しなければならない場合も十分想定されるため、対応に要する時間を考慮して実施時期を決定しなければならない。

○ 具体的には、情報保護評価の対象となる電子計算機用ファイルは、以下の時点までに実施することが求められる。

①システム用ファイル：

システムの要件定義段階までに実施することが望ましいが、機関の判断で、システム開発 $ ^{23} $ 前までの適切なタイミングで、情報保護評価を実施することができる。実施時期を判断するに際しては、後記（2）の考え方を参照すること。

ただし、委員会の承認が必要な情報保護評価（行政機関等における全項目評価）については、要件定義段階以外のタイミングで実施する場合は、委員会と協議する必要がある。

なお、委員会が設立され、情報保護評価指針が公表されてから半年を超えない範囲でシステム開発が発生する場合は、システム開発開始後、個人番号を保有する前までの情報保護評価の実施も認
められる。詳細は後記（3）を参照すること。

②その他電子ファイル（Excelファイル等）：

事務処理の設計（検討）段階までに実施する。

○ ただし、情報保護評価を経ずに保有する緊急の必要がある特定個人情報ファイル（災害時に保有するファイルなど）については、この限りではなく、情報保護評価の実施が特定個人情報ファイルの保有後になっても差し支えない。ただし、その場合であっても、情報保護評価を実施できる状況となった後速やかに、情報保護評価を実施しなければならない。

## （２）システム用ファイルに係る実施時期

## ア 通常の場合

システムの要件定義段階までに実施することが望ましいが、機関の判断で、システム開発前までの適切なタイミングで、情報保護評価を実施することができる（ただし、イの場合は除く。）。実施時期を判断するに際しては、以下の考え方を参照すること。

## イ 委員会による承認が必要な評価書の場合

システムの要件定義段階までに実施することが望ましいが、システム開発までの適切なタイミングでの実施とする余地がある。ただし、委員会による承認が必要な評価書については、開発直前に提出され、承認の時間が確保できないなどの問題が生じないように、要件定義段階での実施が困難な場合は、委員会とあらかじめ実施時期を協議しなければならない。

委員会による承認が必要な評価書についてのみであるので、行政機関等の全項目評価書のみがこれに該当し、地方公共団体・地方独立行政法人の提出する全項目評価書などはこれに該当しない。
## ウ 考え方

○ 特に、システム用ファイルは、情報保護評価の実施時期によっては、情報保護評価の結果を受けたシステム設計の変更に伴い、システム開発スケジュールの大幅な遅延やシステム開発コストの大幅な増加などを引き起こすおそれがあるため、システム設計に大幅な手戻りを発生させないよう、できるだけ早期に情報保護評価を実施すべきである。

しかしその一方で、あまりに早期に実施すると、抽象的な評価しかできなかったり、評価自体ができない項目が出てくるおそれもある。

そこで、原則として、システムに係る設計が一定程度決定される要件定義段階で、情報保護評価を実施するものとする。

ただし、単年度中に設計・開発が完了するようなシステムについては、予算段階で情報保護評価を実施しなければ、情報保護評価の結果システム設計の変更が必要となった場合でも、予算を増加することが難しいため、予算案の段階で情報保護評価を実施する方が望ましい場合も考えられる。

またこれとは反対に、大規模システムでは、要件定義段階においては、情報保護評価にて具体的な評価が行えるほどの仕様が決定していない場合も考えられる。

そこで、システム開発前の要件定義段階で情報保護評価を実施することが望ましいものとするが、システムの実情に照らし、システムの開発前の基本設計段階等で実施することが望ましいと考えられるものについては、情報保護評価が可能な程度にシステムの詳細が決定されているか、情報保護評価の結果を反映してもコスト増・スケジュール遅延につながらない時期かなどを十分踏まえた上で、システムの開発前までのタイミングで実施することもできることとする。

## （３）システム用ファイルに係る実施時期における経過措置

○ ただし、委員会が設立され、情報保護評価指針が公表されてから半年を超えない範囲でシステム開発が発生する場合は、システム開発開始後、個人番号を保有する前（テストにおいて本番データを取り扱う前）までの情報保護評価の実施も認められる。その場合、情報保護評価の結果を、必ず
しも設計に反映する必要はなく、運用面に反映するなどの方法が認められる。

指針の公表

（４）その他電子ファイル（Excel ファイル等）に係る実施時期

○ Excelファイル等のその他電子ファイルについては、事務処理の設計（検討）段階で情報保護評価を実施するものとする。

## 2 变更時

## （1） 総論

○ 変更時は、①特定個人情報ファイルの取扱いの変更が生じる前に再評価を実施しなければならないものと、②特定個人情報ファイルの取扱い等に関する評価書記載事項の変更が生じた後でも足りるものの2種類に分けられる。

☐ 情報保護評価は、特定個人情報ファイルの取扱い実態を透明化し、特定個人情報ファイルの取扱いに伴うリスク対策を検討するものである。したがって、特定個人情報ファイルの取扱いに変更があった場合には、情報保護評価を見直す必要がある。

☐ しかし特定個人情報ファイルの取扱い変更についても、新規保有と同様にメリハリのある仕組みとする観点から、全ての変更について事前の再評価を義務付けるものではなく、一定の重要な変更については変更前の再評価を義務付けるものとする。事前の再評価が義務付けられる重要な変更は、重点項目評価・全項目評価のみである。重要な変更の詳細については、後記（2）を参照されたい。
ただし、重要な変更に当たらない変更についても、情報保護評価は特定個人情報ファイルの取扱いの透明化を図るものであるため、その趣旨から、情報保護評価書の記載が変更になった場合は、速やかに情報保護評価書の記載を修正するものとする。この場合は、変更前の再評価が義務付けられず、変更後でも足りることとなる。記載修正の詳細は、後記（3）（4）を参照されたい。

○ なお、変更時に、全項目評価書又は重点項目評価書を委員会に提出する際は、「変更箇所」の様式に、変更した項目等を記載し、評価書と併せて委員会に提出する。

## （２）重要な変更（重点項目評価・全項目評価）

ア 重要な変更に該当するもの

特定個人情報ファイルに対する重要な変更とは、プライバシーリスクを一定以上変動させると考えられる一定のものをいう。具体的には、対象者の範囲の変更、利用目的の変更、情報の突合にかかる変更、リスク対策の変更など、「重点項目評価書様式」、「全項目評価書様式」中に、※が付されている項目の変更をいう。

○ 一方、プライバシーリスクを一定以上変動させると考えられるものであっても、重要な変更に該当しないものがある。例えば対象人数の変更を重要な変更に該当するとした場合、対象人数は日々刻々と変化しうるものであり、その変更前に情報保護評価を実施することは、事実上不可能である。また対象人数の変更は、各機関が能動的に行うものではなく、人口が増減したことや、社会保障給付対象者が増減したことなどの外部的事情に左右されるものでもある。そこで、対象人数の変更はプライバシーリスクを一定以上変動させると考えられるものではあるが、重要な変更に該当しないこととする。

ただし、対象者の範囲の変更（例えば、社会保障給付の受給者本人の情報のみを取り扱っていたところを、その関係者の情報も取り扱うこととした場合など）は、対象人数の変更と異なり、各機関が能動的に変更するものである。そこで、対象人数の変更は重要な変更に含めないものの、対象者の範囲の変更を重要な変更に含めることで、同様のプライバシーリスクを変動させる要素として捉えることとする。
## イ 重要な変更に該当しないもの

○ なお、「重点項目評価書様式」、「全項目評価書様式」中、※が付された項目に変更が生じた場合であっても、誤字脱字の修正、組織の名称又は所在地の変更、法令名又は条文番号の変更は、重要な変更に該当しない。

また、※が付された項目であっても、プライバシーリスクを軽減・縮小させる変更であれば、重要な変更に含めないものとする。これは、プライバシーリスクの軽減・縮小を促進する意図によるものである。

プライバシーリスクを軽減・縮小させるような取扱い変更であっても、情報保護評価の再実施が義務付けられるとすると、一定のコスト・作業量が見込まれる情報保護評価の再実施を回避しようと、各機関が特定個人情報ファイルの取扱い変更を避けることも考えられる。しかし一度情報保護評価を実施した業務・システムであっても、よりプライバシーリスクを軽減する対策がとられることが望ましい。そこで、各機関がプライバシーリスクを軽減させる対策を行うことを消極的に解することがないよう、プライバシーリスクを軽減・縮小させる変更であれば、重要な変更に含めないものとする。

なお、誤字脱字の修正や組織の名称又は所在地の修正、法令名又は条文番号の変更、プライバシーリスクを軽減・縮小させる変更、その他の重要な変更に当たらない場合であっても、情報保護評価書の記載内容に変更が生じた場合は、後記（3）の通り、情報保護評価書の修正が求められる（この場合は、取扱い変更前の実施が義務付けられるのではなく、取扱い変更後の実施であってもかまわない）。その際に、重要な変更に該当しない理由を各機関に記載させることで、プライバシーリスクを軽減させていないにもかかわらず、それを装って再評価を免れるような事態を防ぐこととする。

## ウ 求められる対応

○ プライバシーリスクを一定以上変動させる、「重点項目評価書様式」、「全項目評価書様式」中に※記載がある項目に変更が生じる場合は、情報保護評価を再度実施するものとする。

○ 重要な変更に該当する場合は、情報保護評価を再度実施しなければならないため、重点項目評価、全項目評価に求められる全てのプロセスを実施するものとする。したがって全項目評価であれば、国民の意見聴取、委員
会による審査・承認（地方公共団体等においては第三者点検）を再度実施する必要がある。

## ○ 実施時期については、新規保有時と同様とする。

すなわち、システム開発・改修を伴う場合の情報保護評価は、システムの要件定義段階までに実施することが望ましいが、機関の判断で、システム開発前までの適切なタイミングで、情報保護評価を実施することができる。ただし、委員会の承認を得る必要があるもの（行政機関等における全項目評価）については、要件定義段階での実施が困難な場合は、委員会とあらかじめ実施時期について協議した上で、システムの開発前までに実施するものとする。

システム開発・改修を伴わない場合については、事務処理の設計（検討）段階で情報保護評価を実施するものとする。なお、システム開発・改修を伴わない重要事項の変更とは、例えば委託の実施の有無の変更などが考えられる。

○ なお、重要な変更に該当する場合は、重点項目評価と全項目評価の場合に限られ、しきい値評価については後記（4）を参照されたい。

## （３）重要な変更に当たらない変更（重点項目評価・全項目評価）

○ 重点項目評価書様式、全項目評価書様式中、※が付されていない項目に変更が生じた場合は、変更後に情報保護評価書を修正すれば足りるものとする。また重点項目評価書様式、全項目評価書様式中、※が付されている項目に変更が生じた場合であっても、誤字脱字の修正や組織の名称又は所在地の変更、法令名又は条文番号の変更、プライバシーリスクを軽減・縮小させる変更の場合も、変更後に情報保護評価書を修正すれば足りるものとする。

○ この場合、各機関は重点項目評価書又は全項目評価書の記載を訂正した後、速やかに委員会に提出した上で公表するものとする。

この場合は全項目評価書の場合であっても、国民の意見聴取は求められない。委員会の審査・承認（地方公共団体等にあっては第三者点検）を受けることも不要であるが、委員会は、情報保護評価書が提出された後、いくつかを抽出して、重要な変更に該当しないことなどを確認するものとす
る。

修正は、特定個人情報ファイルの変更後速やかに行うものとする。少なくとも1年に1回は、情報保護評価書の内容に変更がないか見直さなければならないが、当然、各機関の判断で、より頻繁に、情報保護評価書の内容を見直すことも可能である。詳細は後記第6の4を参照されたい。

○ なお、この場合であっても、各機関の任意の判断で、国民の意見聴取を行うことができる。地方公共団体・地方独立行政法人等の場合は、任意の判断で第三者点検を行うこともできる。

○ ただし、行政機関については、特定個人情報ファイルの保有に伴い、情報保護評価の他、特定個人情報ファイルの保有等に関する事前通知（番号法第29条第1項並びに第30条第1項及び第2項により読み替えられて適用される行政機関個人情報保護法第10条）が義務付けられるため、重要な変更に当たらない変更であっても、事前通知事項（番号法第29条第1項並びに第30条第1項及び第2項により読み替えられて適用される行政機関個人情報保護法第10条第1項各号）に変更があれば、変更前に通知しなければならない。具体的な通知方法としては、情報保護評価書様式中の変更する項目を修正し、変更箇所等を様式に明示して通知する。

## （４）重要な変更に当たらない変更（しきい値評価）

## ア 考え方

☐ しきい値評価は、プライバシーリスクを考えるに当たって、重要な事項を検討・評価するものである。したがって、しきい値評価書の記載内容に変更があれば、重要な変更に該当するとも考えられる。

○ しかし、しきい値評価では、①対象人数、②取扱い者数、③漏えい等の事故の状況を評価しており、①対象人数は上記の通り、各機関の能動的なアクションによらず、日々変化するものである。また②取扱い者数は、各機関のアクションによるともいえるものの、職員の異動やアルバイトの採用などに伴い、日々変化するものである。そして③漏えい等の事故については、事故を発生させる前に、それを探知することは困難であるといえる。

理念的には、①対象人数、②取扱い者数、③漏えい等事故の状況が変更する前に、しきい値評価を再度実施し、その結果、しきい値評価のみでよ
いのか、重点項目評価又は全項目評価が必要であるかを判断すべきとも考えられるが、現実的に考えれば、①対象人数、②取扱い者数、③漏えい等事故の状況が変更する前に、しきい値評価を再度実施することは極めて困難であるといえる。

## イ 求められる対応

○ そこで、しきい値評価書の記載事項の変更は、前記（3）と同様に、変更前の再評価が義務付けられないものとする。ただし、しきい値評価書の記載内容に変更が生じた場合は、しきい値評価書を速やかに修正し、委員会に提出した上で公表するものとする。

「速やかに」の時期であるが、漏えい等事故が発生した場合は、事故再発防止のために、情報保護評価が重要となってくることから、1年に1回ではなく、事故の探知後速やかに、しきい値評価を再実施するものとする。①対象人数、②取扱い者数の変更状況の把握その他の記載項目については、少なくとも1年に1回は確認しなければならないものとする。当然、各機関の判断で、より頻繁に、しきい値評価書の内容を見直すことも可能である。詳細は後記第6の4を参照されたい。

☐ しきい値評価の結果、これまでしきい値評価のみで足りることとされていたものが重点項目評価を実施することとされたり、これまで重点項目評価で足りることとされていたものが全項目評価を実施することとされることが考えられる。

その際、重点項目評価又は全項目評価の実施は、しきい値評価の実施後、速やかに行うこととする。すなわち、新規保有時は、原則として要件定義段階に情報保護評価を実施するものとしていたが、しきい値評価の変更の結果、実施する重点項目評価又は全項目評価の実施は、システム開発が既に完了している場合もあるため、システム開発前までに行う必要はなく、しきい値評価実施後、速やかに行うこととする。

## （5） 变更（小括）

○ 変更時は、①特定個人情報ファイルの取扱いを変更する前に再評価を実施しなければならないものと、②特定個人情報ファイルの取扱い変更後でも足りるものの2種類に分けられる。

ア 特定個人情報ファイルの取扱いを変更する前に再評価が必要なもの

○ 重点項目評価書樣式、全項目評価書樣式中、※が付された項目に変更が
生じた場合は、特定個人情報ファイルの取扱いを変更する前に再評価を実施しなければならない。

○ ただし、この場合であっても、誤字脱字の修正や組織の名称又は所在地の変更、法令名又は条文番号の変更、プライバシーリスクを軽減・縮小させる変更の場合は、変更後に実施すれば足りる。

○ 特定個人情報ファイルの取扱いを変更する前に再評価が必要なものについては、重点項目評価、全項目評価に求められる全てのプロセスを行うものとする。したがって全項目評価であれば、国民の意見聴取、委員会の審査・承認（地方公共団体等においては第三者点検）、公表を再度実施する必要がある。

## イ 特定個人情報ファイルの取扱い変更後で足りるもの

## （ア）重点項目評価・全項目評価

○ 重点項目評価書様式、全項目評価書様式中、※が付されていない項目に変更が生じた場合は、変更後に情報保護評価書を修正すれば足りるものとする。また重点項目評価書様式、全項目評価書様式中、※が付されている項目に変更が生じた場合であっても、誤字脱字の修正や組織の名称又は所在地の変更、法令名又は条文番号、プライバシーリスクを軽減・縮小させる変更の場合も、変更後に情報保護評価書を修正すれば足りるものとする。

○ この場合、各機関は重点項目評価書又は全項目評価書の記載を訂正した後、速やかに委員会に提出した上で公表するものとする。

この場合は全項目評価書の場合であっても、国民の意見聴取は求められない。委員会の審査・承認（地方公共団体等にあっては第三者点検）を受けることも不要であるが、委員会は、提出された情報保護評価書のうちいくつかを抽出して、重要な変更に該当しないことなどを確認するものとする。

修正は、特定個人情報ファイルの取扱いを変更後速やかに行うものとする。少なくとも1年に1回は、情報保護評価書の内容に変更がないか見直さなければならない。

○ ただし、行政機関については、特定個人情報ファイルの保有等に関する事前通知事項（番号法第29条第1項並びに第30条第1項及び第2項に
より読み替えられて適用される行政機関個人情報保護法第10条第1項各号、情報保護評価書様式中の☆項目）に変更があれば、変更前に通知しなければならない。

## （イ）しきい値評価

○ しきい値評価書の記載事項に変更が生じた場合は、変更後に再実施することで足りるものとする。

修正は、特定個人情報ファイルの取扱いを変更後速やかに行うものとする。漏えい等事故が発生した場合は、事故の探知後速やかにしきい値評価を再実施するものとする。その他の記載事項が変更した場合については、少なくとも1年に1回、情報保護評価書の内容に変更がないか見直さなければならない。

○ この場合、各機関はしきい値評価書の記載を訂正した後、速やかに委員会に提出した上で公表するものとする。

## 3 5年経過前の再評価

プライバシーリスクに対する対策は、時代の変化・技術の進歩・国際動向などによって変化しうるものであり、情報保護評価を実施してから5年経過するものについては、リスク対策などを見直す必要がある可能性が高いため、情報保護評価を再度実施するものとする。

この場合は、情報保護評価を再度実施しなければならないため、しきい値評価、重点項目評価、全項目評価に求められる全てのプロセスをとるものとする。したがって全項目評価であれば、国民の意見聴取、委員会の審査・承認（地方公共団体等においては第三者点検）、公表を再度実施する必要がある。

新規保有時に評価を実施した後、再評価をしたものであっても、当該再評価から5年を経過する前に、再々評価を実施するものとする（再々評価以降についても、同様である）。

☐ 情報保護評価の実施時期については、新規保有時に評価を実施したとき（その後再評価、再々評価を実施した場合は、直近の評価を実施したとき $ ^{24} $ ）
から5年経過する前までに実施するものとする。

4 変更時、5年経過前の再評価（小括）

☐ 前記2、3をまとめると以下の表の通りとなる。

しきい値評価	重点項目評価	全項目評価
再評価	変更前の再評価	必要なし	·重要な変更(※が付された評価書の項目の変更)の場合に必要·※が付された評価書の項目でも、軽微な変更等(誤字·脱字、組織の名称又は所在地の変更、法令名又は条文番号の変更、プライバシーリスクを軽減·縮小させる変更)は必要なし
五年ごと再評価	必要
修正	変更後速やかな修正	漏えい等事故が起きた場合に必要	·重要な変更に当たらない変更(以下の変更)の場合に必要①※が付された評価書の項目以外の変更の場合②※が付された評価書の項目のうち、誤字·脱字、組織の名称又は所在地の変更、法令名又は条文番号の変更、プライバシーリスクを軽減·縮小させる変更の場合·委員会に提出の上、公表(その上で委員会が抽出点検)。·可能な限り、変更後速やかに。·少なくとも一年に一度は見直し(確認)を実施。
少なくとも一年ごとの確認·修正	漏えい等事故以外の変更の場合に必要
変更前の修正	必要なし	<行政機関のみ>·事前通知事項の変更の場合に必要
## 第6 情報保護評価の実施の仕組み

## 1 総論

## （1） 情報保護評価計画書と情報保護評価書

☐ 情報保護評価を実施するには、まず情報保護評価計画書を作成する。その後、後記3の通り、しきい値評価、重点項目評価、全項目評価を実施していく。

☐ 情報保護評価計画書は、各機関が情報保護評価を実施していくに当たり、どの業務・システムが情報保護評価の対象であるのか、また各業務・システムの情報保護評価の実施タイミングについて、記載するものである。情報保護評価書は、業務・システムごとに、特定個人情報ファイルに対し適切な取扱いを行うことを評価するものである。

☐ 情報保護評価計画書は各機関で一通作成するのに対し、しきい値評価書・重点項目評価書・全項目評価書は業務・システムごとに一通ずつ作成する。

## 2 情報保護評価計画書

## (1) 総論

○ 特定個人情報ファイルを取り扱う業務・システムについては、情報保護評価の義務付け対象外に該当しない限り、情報保護評価を実施する必要がある。地方公共団体をはじめとして、各機関の多くは、複数の業務で個人番号を取り扱うこととなるが、どの業務・システムで個人番号を取り扱うのかを把握した上で、情報保護評価を実施しなければならないものについて、適時に情報保護評価を実施していく必要がある。

当然のことながら、情報保護評価を実施すべき業務・システムに対して情報保護評価を実施しなかったり、情報保護評価を時期に遅れて実施したりすれば、違法行為となり、委員会による助言・指導・勧告・命令（番号法第50条及び第51条）の対象となりうるとともに、情報提供ネットワークシステムを使用する場合においては、情報提供ネットワークシステムによる情報連携が禁止されることとなる（番号法第27条第6項）。

○ また、情報保護評価は、特定個人情報ファイルを新規に保有する場合のみではなく、特定個人情報ファイルについて重要な変更を加える前に、実施しなければならないものである。そこで、情報保護評価を最初に実施したのはいつか、再評価を実施したのはいつかといった情報も、あわ
「個人情報の保護に関する法律についてのガイドライン」（仮称）の基本的な考え方等について

### 1. 基本的な考え方及び構成等

## （１）基本的な考え方

○現行の個人情報保護法の下では、各主務大臣が個人情報保護法に基づく勧告及び命令等の監督権限を有しており、同法第8条等に基づき、事業分野ごとの個人情報保護等に関するガイドライン（以下「各省ガイドライン」という。）を策定している。

○改正個人情報保護法（以下「改正法」という。）の全面施行時には監督権限が当委員会に一元化されることを踏まえ、これに向けて当委員会が、改正法第4条（国の責務）、第8条（地方公共団体「等」への支援）及び第51条（委員会の任務）に基づき、全ての事業分野に適用される汎用的なガイドライン（以下「委員会ガイドライン」という。）を策定し、告示として公表する。

（※なお、「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」は番号法第4条（国の責務）及び改正法第51条（委員会の任務）に基づき策定されている。）

〇これに伴い、現行の各省ガイドラインは、原則として委員会ガイドラインに一元化することとするが、その際は、事業分野の特性（当該事業において取り扱われる個人情報の性質及び利用方法等の特性を含む。）及び現行の各省ガイドラインの内容等を踏まえるとともに、事業者に混乱が生じないよう留意し、個々に取扱いを検討する。

○委員会ガイドラインの策定に当たっては、各省ガイドライン等により従来から共通的に示されてきた解釈は基本的に踏襲しつつ、改正法に係る国会審議や直近の社会情勢等も踏まえ、適切な解釈及び事例等を示すこととし、併せて、改正法附則第11条において、「この法律の施行により旧個人情報保護法第2条第3項第5号に掲げる者が新たに個人情報取扱事業者となることに鑑み、特に小規模の事業者の事業活動が円滑に行われるよう配慮するものとする。」とされている点にも留意する。