Silviase/jgov_v1.4_full_ann huggingface dataset:
したがって、特定個人情報保護評価計画書の更新から始まる特定個人情報保護評価の実施手続の全てのプロセスを実施することとなります。

○ それ以外の変更の場合は、特定個人情報保護評価書の修正が必要になります。

したがって、特定個人情報保護評価書の変更箇所を修正し、委員会に提出した上で公表することとなります。

なお、「重要な変更」については、そのような変更を加えようとする前に特定個人情報保護評価を実施することが必要であり、事後的な処理を行うことになる特定個人情報保護評価書の見直しにおいて、「重要な変更」が見つかることは想定されていません。
5 特定個人情報保護評価を実施した事務の実施をやめたとき等の通知

評価実施機関は、特定個人情報保護評価を実施した事務の実施をやめたとき等は、規則第16条の規定に基づき、遅滞なく委員会に通知するものとする。評価実施機関は、事務の実施をやめるなどした日から少なくとも3年間、その事務の実施をやめたこと等を記載するなど所要の修正を行った上で、特定個人情報保護評価書を公表しておくものとする。

## (解說)

特定個人情報ファイルを保有しようとするときは、保有しようとする事務において特定個人情報保護評価を実施する必要がありますが、その特定個人情報ファイルを取り扱う事務をやめたとき等、次の場合に該当するときは、委員会への通知及び修正した特定個人情報保護評価書の公表が必要になります。なお、事務の実施自体は継続するが、特定個人情報ファイルを取り扱うことをやめた場合（個人番号の利用をやめた場合）も、本通知が必要となります。

1. 事務の実施をやめたとき等の通知が必要な場合

（１）事務の実施をやめたとき

機関 A

事務 X(ファイル a)

機関 A

事務 X（アイテル a）

（２）評価実施機関が廃止になり、別の評価実施機関が当該事務を引き継ぐとき

機関 A

事務 X(ファイル a)

機関 A

事務 X(ノアイル a)

機関 B

事務 X(ファイル b)

機関 B

事務 X(ファイル a,b)

（３）評価実施機関が廃止になり、別の機関と統合した新しい機関が当該事務を引き継ぐとき

機関 A

事務 X(ファイル a)

機関 A

事務 X(アイル a)

機関 B

事務 X (ファイル b)

機関 B

事務 X(ファイル b)

機関 C

事務 X(ファイル a,b)
### 2. 通知方法·時期

## （１）事務の実施をやめたとき

評価実施機関は、事務の終了後に、特定個人情報保護評価書の記載要領に従い、特定個人情報保護評価書に事務の終了と明記し、委員会に提出し公表する必要があります。公表した特定個人情報保護評価書は、事務の終了後3年間公表することします。

## （２）評価実施機関が廃止になり、別の評価実施機関が当該事務を引き継ぐとき

地方公共団体における編入合併のように、評価実施機関が廃止になり、別の評価実施機関が当該事務を引き継ぎ、特定個人情報ファイルも合わせて保有するような場合は、引き継いだ評価実施機関が評価の再実施又は特定個人情報保護評価書の修正を行います。評価の再実施か特定個人情報保護評価書の修正かは、指針の第6の2（2）の重要な変更に該当するか、第7の重要な変更に当たらない変更に該当するかで判断することになります。

評価の再実施を行う場合は、評価実施機関が廃止になり、別の評価実施機関が当該事務を引き継ぐ前までに、特定個人情報保護評価書の修正を行う場合は、引き継いだ後速やかに、それぞれ行う必要があります。

なお、廃止になった評価実施機関の特定個人情報保護評価書は、事務を引き継いだ評価実施機関（機関B）が、廃止になってから3年間は継続して公表することとなります。

## （３）評価実施機関が廃止になり、別の機関と統合した新しい機関が当該事務を引き継ぐとき

地方公共団体における新設合併のように、評価実施機関が廃止になり、新しい機関が当該事務を引き継ぐ場合は、新しい機関が新たに特定個人情報保護評価を実施する必要があります。

新しい機関は、新たに特定個人情報ファイルを保有することになるので、指針に定めるところにより、システムのプログラミングの開始前の適切な時期に実施することが望まれますが、新たな機関として特定個人情報保護評価を実施することが困難な場合は、事前に委員会と協議してください。

なお、廃止になった評価実施機関の特定個人情報保護評価書は、上記（2）と同様、事務を引き継いだ評価実施機関（機関Ｃ）が、廃止になってから３年間は継続して公表することとなります。
## 第6 特定個人情報保護評価の実施時期

## 1 新規保有時

行政機関の長等は、特定個人情報ファイルを新規に保有しようとする場合、原則として、当該特定個人情報ファイルを保有する前に特定個人情報保護評価を実施するものとする。ただし、規則第9条第2項の規定に基づき、災害が発生したときの対応等、特定個人情報保護評価を実施せずに特定個人情報ファイルを保有せざるを得ない場合は、特定個人情報ファイルの保有後可及的速やかに特定個人情報保護評価を実施するものとする。

（１）システム用ファイルを保有しようとする場合の実施時期

## ア 通常の場合

規則第9条第1項の規定に基づき、システムの要件定義の終了までに実施することを原則とするが、評価実施機関の判断で、プログラミング開始前の適切な時期に特定個人情報保護評価を実施することができる。

## イ 委員会による承認が必要な特定個人情報保護評価の場合

規則第9条第1項の規定に基づき、システムの要件定義の終了までに実施することを原則とするが、要件定義の終了までに実施することが困難な場合は、委員会とあらかじめ協議の上、実施時期を決定することができる。

## ウ 経過措置

この指針の適用の日から6月を超えない範囲でシステムの開発におけるプログラミングを開始する場合は、プログラミング開始後、特定個人情報ファイルを保有する前に特定個人情報保護評価を実施することができる。

## （２）その他の電子ファイルを保有しようとする場合の実施時期

事務処理の検討段階で特定個人情報保護評価を実施するものとする。

## (解說)

特定個人情報保護評価の結果を受けて、当初予定していた特定個人情報ファイルの取扱いやシステム設計を変更しなければならない場合も十分想定されることから、対応に要する時間を考慮して、特定個人情報保護評価は、特定個人情報ファイルを保有する直前ではなく、十分な時間的余裕をもって実施する必要があります。

特定個人情報保護評価の望ましい実施時期は次の図表を参照してください。
1. システム用ファイルに係る実施時期（委員会の承認が必要でない特定個人情報保護評価書）

システム要件定義の終了までに特定個人情報保護評価を実施することが望ましいと考えられます。

遅くともプログラミング開始前の適切な時期に特定個人情報保護評価を実施する必要があります。

2．システム用ファイルに係る実施時期（委員会の承認が必要な特定個人情報保護評価書）

システムの要件定義の終了までに特定個人情報保護評価を実施することが望ましいと考えられます。

遅くともプログラミング開始前の適切な時期に特定個人情報保護評価を実施する必要がありますが、基本設計又は詳細設計段階で特定個人情報保護評価を実施したい場合は、委員会と事前に協議することが求められます。
### 3. システム用ファイルに係る実施時期の経過措置

指針の適用日から6月を超えない範囲でシステム開発におけるプログラミングを開始する場合は、プログラミング開始後、特定個人情報ファイルを保有する前までに実施する必要があります。

### 4. その他の電子ファイルを保有しようとする場合の実施時期

・事務処理の検討段階で特定個人情報保護評価を実施する必要があります。
## Q第6の1－1

番号法第27条第1項では「特定個人情報ファイルを保有する前に…（評価書）を公示し」とあり、規則第9条第1項では、法第27条第1項の規定による評価書の公示・基礎項目評価書の提出・重点項目評価書の提出・規則第7条第1項の規定による公示を行う時期が規定されているが、これらの規定により定められる時期までに、「公示」や「提出」のみを行えばよいということでしょうか。

(A)

☐ 番号法第27条第1項に規定する「保有する前に」は、同項の「公示し」のみならず、第2項の特定個人情報保護委員会の承認、第4項の評価書の公表までかかるものと解されます。したがって、特定個人情報ファイルを保有する前に、番号法第27条第4項の規定による評価書の「公表」までを行う必要があります。

○ 規則第9条第1項も、番号法の規定とあわせて、公示や提出の時期として規定していますが、番号法同様、公示や提出等の手続を経た後の特定個人情報保護評価書の公表を、同項により定められる時期までに行う必要があるものです。

## Q第6の1−2

特定個人情報ファイルを取り扱う事務において、パッケージシステムをノンカスタマイズで適用する場合、特定個人情報保護評価はいつまでに実施すればよいのでしょうか。

(A)

○ 特定個人情報ファイルを取り扱う事務において、パッケージシステムを適用する場合、業務要件の検討やカスタマイズの必要性の分析を行う時期がいわゆる要件定義の時期に当たります。

検討の結果、カスタマイズは行わず、そのままパッケージシステムを適用することにした場合、その後、パラメータ設計や環境設計、移行設計等の「設計」を行い、システムを稼働させるサーバー等へパラメータ設定等の「適用」が行われます。

この「適用」によりサーバー等に直接的に変更を加えることとなりますので、プログラミングに相当するものとして、システムへの適用を実施する前までに特定個人情報保護評価を実施することになります。次の図表を参照ください。
○ なお、パッケージシステムにカスタマイズをする場合は、次の図表のとおり、カスタマイズ開発を実施するまでに特定個人情報保護評価を実施する必要があります。

## Q第6の1−3

単年度中に設計・プログラミングが完了するようなシステムや大規模システムについても、要件定義の終了までに特定個人情報保護評価を実施するべきでしょうか。

(A)

システムの要件定義の終了までに実施することが原則となりますが、システムの実情に照らし、基本設計の段階等で実施することが望ましいと考えられるものについては、特定個人情報保護評価が可能なシステムの詳細が決定されているか、特定個人情報保護評価の結果を反映しても、コスト増・スケジュール遅延につながらない時期かなどを十分に踏まえた上で、プログラミング開始前の適切な時期に特定個人情報保護評価を実施することも考えられます。

## Q第6の1－4

委員会の承認が必要な特定個人情報保護評価書の場合、要件定義での特定個人情報保護評価の実施が困難な場合は、委員会とあらかじめ実施時期を協議するとのことですが、どの時期に、どのように協議をすればよいのでしょうか。

(A)

〇 要件定義のできるだけ早い段階で委員会と協議していただく必要があります。具体的な評価に当たっては委員会事務局にお問い合わせください。
Q第6の1－5

個人番号を利用するためのシステム改修の後に情報連携のためのシステム改修を行い、それぞれシステム改修の時期が異なる場合、特定個人情報保護評価の実施はどのようにすればよいのでしょうか。

(A)

○ 特定個人情報保護評価は特定個人情報ファイルを保有しようとする事務に対して実施します。当該事務で個人番号を利用するためのシステム改修と情報連携のためのシステム改修を行う場合、当該事務に対する特定個人情報保護評価は双方のシステム改修を踏まえる必要があります。

○ 特定個人情報保護評価の実施時期は、当該事務で最初に特定個人情報ファイルを保有しようとする時期である、個人番号を利用するためのシステム改修におけるプログラミング開始前となります。

その際に、情報連携のためのシステム改修の内容を踏まえた特定個人情報保護評価を実施できれば、まとめて行うことが可能ですが、その時点において、情報連携のためのシステム改修の概要が決定していない場合や、その後変更になった場合には、情報連権のためのシステム改修の内容が判明した時点で、個人番号を利用するためのシステム改修の前に実施した特定個人情報保護評価書について、修正箇所がある場合は修正、重要な変更に該当する場合には評価を再実施する必要があります。

Q第6の1－6

指針第6の1（1）ウで定められた経過措置の場合、特定個人情報ファイルを保有する前に特定個人情報保護評価を実施することが求められますが、運用開始前までに実施すればよいのでしょうか。それともテストの段階までに実施する必要があるのでしょうか。

(A)

○ 経過措置適用の場合における特定個人情報保護評価の実施時期は、テストの段階で特定個人情報ファイルを保有するか否かによって異なります。

○ 特定個人情報ファイルとは、①個人番号そのものをその内容に含む個人情報ファイル、②個人番号そのものを含まないものの、個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号であって、住民票コード以外のものを含む個人情報ファイルをいいます（番号法第2条第9項）。②とは、例えば、情報提供ネットワークシステムを使用した情報提供の求め又は情報提供の際に用いられる符号や個人番号を部分的に修正したもので、個人番号と1対1で対応するものなどを含む個人情報ファイルをいいます。

○ したがって、テストデータに個人番号そのものが含まれている場合は、テスト
データであっても、当該データは特定個人情報ファイルに該当しますので、当該データを保有する前に特定個人情報保護評価を終わらせる必要があります。

○ テストデータとしてダミーの番号を用いる場合は、当該ダミーの番号が、個人番号と全く関係ないものであれば、特定個人情報保護評価の対象とはなりません。一方、ダミーの番号が上記②に該当する場合には、当該データは特定個人情報ファイルに該当しますので、このような場合には、当該データを保有する前に特定個人情報保護評価を終わらせる必要があります。

## Q第6の1－7

経過措置の場合、特定個人情報保護評価の結果はどのように扱えばよいのでしょうか。

(A)

○ 原則として、特定個人情報保護評価の結果、重大な問題が発見された場合はプログラム設計の変更を実施しなければなりませんが、実際には大幅なスケジュール遅延やコスト増が想定されるためシステム設計に反映することは現実的に難しく、運用面で対応することが想定されます。
## 2 新規保有時以外

（１）基本的な考え方

評価実施機関は、過去に特定個人情報保護評価を実施した特定個人情報ファイルを取り扱う事務について、下記（2）又は（3）の場合には、特定個人情報保護評価を再実施するものとし、下記（4）の場合には、再実施するよう努めるものとする。

再実施に当たっては、委員会が定める特定個人情報保護評価書様式中の変更箇所欄に変更項目等を記載するものとする。下記（2）から（4）まで以外の場合に特定個人情報保護評価を任意に再実施することを妨げるものではない。

## (解說)

特定個人情報保護評価は、特定個人情報ファイルを新規に保有しようとするときに一度実施して終了するものではありません。

特定個人情報保護評価を実施（又は再実施）した後、当該特定個人情報ファイルの取扱い、特定個人情報の漏えいその他の事態を発生させるリスク又はリスクを軽減するための措置について変更・変化が生じることがあります。評価実施機関が当該特定個人情報ファイルの取扱いを能動的に変更することもあれば、人口構成の変化など当該特定個人情報ファイルの取扱いを取り巻く状況が変化することも考えられます。

このような変更・変化が生じると、公表している特定個人情報保護評価書の記載内容が実態と合わなくなってきます。そのような記載内容と実態の齟齬を放置することは、特定個人情報ファイルの取扱いについての透明性を高め、国民・住民の信頼を確保するという特定個人情報保護評価の目的に反する結果となります。

そこで、特定個人情報保護評価を実施（又は再実施）した事務について、一定の場合には、特定個人情報保護評価の再実施を求めることとされています。具体的には、特定個人情報ファイルの取扱いについて①「重要な変更」を加えようとする場合、②対象人数又は取扱者数の増加又は③特定個人情報に関する重大事故の発生により「しきい値判断の結果の変更」が生じた場合には、特定個人情報保護評価を再実施することになっています。また、こうした状況に至らずとも、社会情勢の変化や技術進歩を勘案し、直近の特定個人情報保護評価書を公表（ただし、修正に伴う公表を除く。）してから5年を経過する前に、再実施するよう努めることが求められています。

なお、特定個人情報保護評価を再実施することが求められない程度の比較的軽微な変更・変化の場合には、既に公表している特定個人情報保護評価書を修正し、公表することになります。
Q第6の2（1）-1

特定個人情報保護評価の再実施とは、具体的には何を再び実施するのでしょうか。

(A)

○ 特定個人情報保護評価の再実施においては、特定個人情報保護評価計画管理書の更新から始まる特定個人情報保護評価の実施手続の全てのプロセスを実施することになります。

改めて行うしきい値判断の結果により、特定個人情報保護評価書の作成、委員会への提出、公表が必要となります。全項目評価を再実施する場合には、国民・住民等からの意見聴取や委員会の審査・承認（地方公共団体等においては第三者点検）も必要です。
（２）重要な変更

特定個人情報ファイルに対する重要な変更（規則第11条に規定する特定個人情報の漏えいその他の事態の発生の危険性及び影響が大きい変更として指針で定めるもの）とは、重点項目評価書又は全項目評価書の記載項目のうちこの指針の別表に定めるものについての変更とする。ただし、誤字脱字の修正、組織の名称、所在地、法令の題名等の形式的な変更又は個人のプライバシー等の権利利益に影響を与え得る特定個人情報の漏えいその他の事態を発生させるリスクを明らかに軽減させる変更は、重要な変更には当たらないものとする。

この指針の別表に定めるとおり、重大事故の発生それ自体が直ちに重要な変更に当たるものではないが、特定個人情報に関する重大事故の発生に伴い評価実施機関がリスク対策等を見直すことが想定され、この場合は、重要な変更に該当する。

評価実施機関は、保有する特定個人情報ファイルに重要な変更を加えようとするときは、当該変更を加える前に、特定個人情報保護評価を再実施するものとする。ただし、災害が発生したときの対応等、特定個人情報保護評価を実施せずに特定個人情報ファイルの取扱いを変更せざるを得ない場合は、特定個人情報ファイルの取扱いの変更後可及的速やかに特定個人情報保護評価を再実施するものとする。

アシステムの開発を伴う場合の実施時期

上記１（１）に準ずるものとする。

イシステムの開発を伴わない又はその他の電子ファイルを保有する場合の実施時期

事務処理の変更の検討段階で特定個人情報保護評価を実施するものとする。

## (解說)

特定個人情報保護評価を実施（又は再実施）した後、当該特定個人情報ファイルの取扱い等について変更が生じることがあります。

例えば、特定個人情報保護評価の対象となった制度・事務の見直し、使用するシステムの更新等により、評価実施機関が当該特定個人情報ファイルの取扱いを変更することが想定されます。また、社会情勢の変化や技術進歩により、直近の特定個人情報保護評価を実施した時点で採用していたリスク対策が陳腐化し、再検討が必要となることも考えられます。

事前に特定個人情報保護評価の再実施が義務付けられる「重要な変更」とは、特定個人情報の漏えいその他の事態を発生させるリスクを相当程度変動させると考
えられるものです。具体的には、特定個人情報ファイルの対象となる本人の範囲、特定個人情報の使用の目的、特定個人情報の突合、リスク対策（重大事故の発生を除く。）など、指針の別表に掲げられている、重点項目評価書と全項目評価書の中の幾つかの項目の記載内容に限られます。

これら以外の特定個人情報保護評価書の記載項目への変更の場合は、既に公表している特定個人情報保護評価書を修正し、公表することとなります。

また、重要な変更の対象である項目の記載内容であっても、誤字脱字の修正、組織の名称、所在地、法令の題名等の形式的な変更又は個人のプライバシー等の権利利益に影響を与え得る特定個人情報の漏えいその他の事態を発生させるリスクを明らかに軽減させる変更については、特定個人情報保護評価を再実施する必要性が高くないことから、重要な変更には当たらないと整理しています。この場合も、既に公表している特定個人情報保護評価書を修正し、公表することとなります。

## Q第6の2（2）-1

「重要な変更」の対象である重点項目評価書・全項目評価書の記載項目の変更であっても、特定個人情報の漏えいその他の事態を発生させるリスクを明らかに軽減させる変更は重要な変更に当たらないとしているのはどのような理由なのでしょうか。

(A)

○ 特定個人情報保護評価の基本理念は個人のプライバシー等の権利利益の保護であり、そもそも番号法が、保有する特定個人情報ファイルに重要な変更を加える前に特定個人情報保護評価を実施することを求めているのも、事前対応により個人のプライバシー等の権利利益の侵害の未然防止を図るためです。

このような特定個人情報保護の基本理念・目的に照らすと、特定個人情報の漏えいその他の事態を発生させるリスクを明らかに軽減する特定個人情報ファイルの取扱いの変更について、改めて特定個人情報保護評価を実施する理由はないと考えられます。

また、特定個人情報保護評価の再実施に伴う負担を課さないことは、評価実施機関が特定個人情報の漏えいその他の事態を発生させるリスクを軽減する措置を推奨する趣旨もあります。
Q第6の2（2）-2

「特定個人情報の漏えいその他の事態を発生させるリスクを明らかに軽減させる変更」とは具体的にはどのようなものでしょうか。技術進歩に伴うシステムの更新は通常リスクを軽減させることになりますが、重要な変更に当たらないということでしょうか。

(A)

○ 特定個人情報の漏えいその他の事態を発生させるリスクを明らかに軽減させる変更とは、その変更によりリスクが軽減されることについて疑いの余地のない変更です。具体的には、ウィルス対策ソフトウェアのバージョンアップなどの単純な最新化、監視カメラの設置台数や監視頻度の増加などが考えられます。これらの場合は、既に公表している特定個人情報保護評価書を修正し、公表することになります。

○ 一方、システムを全面的に入れ替える場合や事務手続を大幅に変更する場合などは、たとえその変更がリスク対策の強化を目的とするものであっても、評価実施機関が実施する事務又はシステム全体に複雑な影響を及ぼしかねないことから、むしろ重要な変更として、特定個人情報保護評価を再実施することが必要と考えられます。

Q第6の2（2）-3

重大事故の発生は重要な変更に当たらないとしながら、「特定個人情報に関する重大事故の発生に伴い評価実施機関がリスク対策等を見直すことが想定され、この場合は、重要な変更に該当することがある。」としているが、どのような場合でしょうか。

(A)

○ 重大事故の発生を事前に知ることは不可能であり、特定個人情報保護評価を事前に再実施することが求められる「重要な変更」の対象とはなりません。したがって、別表においてリスク対策に変更を加えようとする場合であっても、重大事故の発生の場合を除くものと定めています。

○ 一方、重大事故の発生を受けて、評価実施機関は原因究明を実施し、再発防止策を策定することが想定されます。

再発防止策の内容は重大事故の原因にもよりますが、システムの全面的な入替えや事務手続の大幅な変更が計画されることも想定されます。このような大規模なリスク対策の変更は、重大事故が再発するリスクを軽減させることを目的とした変更であることは確かですが、評価実施機関が実施する事務又はシステム全体に複雑な影響を及ぼしかねないことから、重要な変更として特定個人情報保護評価を再実施することが必要になると考えられます。
Q第6の2（2）-4

基礎項目評価書の変更は、重要な変更に当たらないのでしょうか。

(A)

○ 基礎項目評価書の記載内容の変更は、直ちに「重要な変更」の対象とはせず、特定個人情報保護評価書の修正の対象としています。

ただし、その変更によりしきい値判断の結果が変わり、新たに重点項目評価又は全項目評価の実施が義務付けられる場合は評価の再実施が必要となります。
も1年に1度は実施することが努力義務とされている特定個人情報保護評価書の見直しにおいて、①又は②の人数が増加したことによりしきい値判断の結果が変わった後、速やかに特定個人情報保護評価を再実施することが求められます。

③については、特定個人情報に関する重大事故の発生を知った後速やかに特定個人情報保護評価を再実施しなければなりません。なお、対象人数が1万人未満の事務の場合は、個人のプライバシー等の権利利益に与え得る影響と評価実施機関の負担を比較衡量し、重大事故が発生した場合も、引き続き基礎項目評価のみを実施すればよいこととしています。

## Q第6の2（3）-1

特定個人情報ファイルを取り扱う事務の対象人数が 1,000 人を超えた場合や、手作業処理用ファイルを電子ファイルに変えた場合は、特定個人情報保護評価の実施が義務付けられるのでしょうか。

## (A)

特定個人情報ファイルを取り扱う事務が、指針第4の4（1）のアからキまでに該当していたものの、その後、特定個人情報ファイルに記録される本人の数の増加や手作業処理用ファイルを電子ファイルに変えようとすること等により、指針第4の4（1）のアからキまでに該当しないこととなる場合は、「特定個人情報ファイルを保有しようとするとき」に該当しますので、当該事務について、特定個人情報保護評価を実施することが求められます。

Q第6の2（3）-2

しきい値判断の結果が変わり、新たに重点項目評価を実施することが必要となりましたが、国民（地方公共団体等にあっては住民等）からの意見聴取を実施する必要があるのでしょうか。

(A)

○ 重点項目評価を実施する場合には、国民（地方公共団体等にあっては住民等）からの意見聴取は義務付けられませんが、任意に実施することを妨げるものではありません。
Q第6の2（3）-3

しきい値判断の結果が変わり、新たに重点項目評価又は全項目評価を実施しなければならないとなった場合、いつ評価を実施すればよいのでしょうか。

(A)

○ 重点項目評価又は全項目評価の実施は、しきい値判断の結果が明らかになった後、速やかに行うことが求められます。

☐ しきい値判断の結果が変わるために新たに重点項目評価又は全項目評価を実施することとなり、プログラミング等を伴わない場合には、プログラミング等のフローに即した実施時期の設定は不適当です。したがって、しきい値判断の結果が明らかになった後、速やかに特定個人情報保護評価を再実施することとなります。

○ 特定個人情報に関する重大事故の発生に起因する場合は、当該重大事故の発生を知った後速やかに特定個人情報保護評価を再実施しなければなりません。

## Q第6の2（3）－4

しきい値判断における重大事故は「評価実施機関における」とあります。評価実施機関内の全く関係のない部署において重大事故が発生した場合でも、しきい値判断の結果の変更として、特定個人情報保護評価を再実施しなければならないのでしょうか。

(A)

その場合でも、重点項目評価又は全項目評価の実施が新たに義務付けられる場合は、速やかに特定個人情報保護評価を再実施しなければなりません。

ある事務について既に特定個人情報保護評価書を公表していた場合、当該事務に関わりのない評価実施機関内の部署が特定個人情報に関する重大事故を発生させたとしても、それにより当該事務に関するしきい値判断の結果が変われば、特定個人情報保護評価の再実施が必要となります。

○ 重大事故が発生した場合、その事故を起こした事務や部署だけではなく、評価実施機関全体に対する国民・住民の信頼に関わると考えられることに加え、事故が発生した要因の分析及び再発防止策については、評価実施機関全体で取り組む必要があるとの考え方によるものです。
## Q第6の2（3）-5

評価実施機関内の他部署で重大事故が発生しましたが、元々全項目評価を実施していたため、しきい値判断の結果は変わりません。この場合は、特定個人情報保護評価を再実施することは必要でしょうか。

(A)

## ○ 重大事故の発生それ自体が直ちに重要な変更に当たるものではありません。

しかし、重大事故の発生を契機として、評価実施機関がリスク対策等を見直すことが想定され、システムの全面的な入替えや事務手続の大幅な変更が計画されることが考えられます。そのような場合は、元々全項目評価を実施していた事務についても、「重大な変更」として特定個人情報保護評価の再実施が必要となる場合があります。
（4）一定期間経過

評価実施機関は、規則第15条の規定に基づき、直近の特定個人情報保護評価書を公表してから5年を経過する前に、特定個人情報保護評価を再実施するよう努めるものとする。

## (解說)

番号法では、特定個人情報保護評価を実施（又は再実施）した後、特定個人情報ファイルの取扱いについて重要な変更を加えようとする場合、対象人数若しくは取扱者数の増加又は特定個人情報に関する重大事故の発生によりしきい値判断の結果が変更する場合には、特定個人情報保護評価の再実施が義務付けられますが、それ以外の場合は義務付けられません。

しかし、特定個人情報保護評価を実施してからある程度の期間が経過すると、個人情報の保護に関する情報技術の進歩や社会情勢の変化が生じ、特定個人情報保護評価を再実施することが望ましい状況となることが考えられます。

昨今の情報通信技術の進歩の早さを踏まえると、5年を経過すればリスク対策などを見直す必要性が高くなっていることが想定されます。そこで、直近の特定個人情報保護評価書を公表してから5年を経過する前に特定個人情報保護評価を再実施することを努力義務としています。

なお、直近の特定個人情報保護評価書の公表とは、特定個人情報保護評価の（新規保有時の）実施又は再実施に伴う公表のみであり、特定個人情報保護評価書の修正に伴う公表は含みません。したがって、「5年を経過する前」の起点は直近の実施又は再実施に伴う公表日となります。

Q 第6の2（4）-1

特定個人情報保護評価は、5年ごとに実施すれば十分ということでしょうか。

## (A)

5年を経過する前であっても、特定個人情報ファイルの取扱いについて重要な変更を加えようとしたり、対象人数若しくは取扱者数の増加又は特定個人情報に関する重大事故の発生によりしきい値判断の結果が変更したりする場合は、特定個人情報保護評価の再実施が義務付けられます。また、これらに当たらない場合でも、任意に再実施することを妨げるものではありません。
## 第 7 特定個人情報保護評価書の修正

## 1 基礎項目評価書

基礎項目評価書の記載事項に、上記第6の2（3）のしきい値判断の結果の変更に該当しない変更が生じた場合、評価実施機関は、規則第14条の規定に基づき、基礎項目評価書を速やかに修正し、委員会に提出した上で公表するものとする。修正に当たっては、委員会が定める特定個人情報保護評価書様式中の変更箇所欄に変更項目等を記載するものとする。

## 2 重点項目評価書・全項目評価書

重点項目評価書又は全項目評価書の記載事項に、上記第6の2（2）の重要な変更に当たらない変更が生じた場合、評価実施機関は、規則第14条の規定に基づき、重点項目評価書又は全項目評価書を速やかに修正し、委員会に提出した上で公表するものとする。修正に当たっては、委員会が定める特定個人情報保護評価書様式中の変更箇所欄に変更項目等を記載するものとする。

この場合は、特定個人情報保護評価の実施に該当せず、全項目評価の場合であっても、国民（地方公共団体等にあっては住民等）からの意見の聴取及び委員会による承認又は第三者点検は必要ない。評価実施機関の任意の判断で、国民（地方公共団体等にあっては住民等）からの意見の聴取又は第三者点検を行うことを妨げるものではない。

## (解說)

特定個人情報保護評価を実施（又は再実施）した後、当該特定個人情報ファイルの取扱い等に変更・変化が生じることがあります。このうち、「重要な変更」と「しきい値判断の結果の変更」に当たる場合は、特定個人情報保護評価の再実施が義務付けられますが、それ以外の場合は義務付けられません（この他、直近の特定個人情報保護評価書を公表してから5年を経過する前に特定個人情報保護評価を再実施することが努力義務とされています。）。

しかし、特定個人情報保護評価の再実施が義務付けられない程度の比較的軽微な変更・変化であっても、公表している特定個人情報保護評価書の記載内容と実態の齟齬を放置することは、特定個人情報ファイルの取扱いについての透明性を高め、国民・住民の信頼を確保するという特定個人情報保護評価の目的に反する結果となります。

そこで、こうした場合は、既に公表している特定個人情報保護評価書を修正し、委員会に提出した上で公表するものとしています。

なお、この修正に伴う公表は5年を経過する前の再実施の起点にはなりません。
## 第8 番号法及び行政機関個人情報保護法に基づく事前通知

番号法第29条第1項並びに第30条第1項及び第2項の規定により読み替えられて適用される行政機関個人情報保護法第10条第1項の規定に基づき、行政機関が特定個人情報ファイルを保有しようとするときは、当該行政機関の長は、同項各号に規定する事項（以下「事前通知事項」という。）をあらかじめ委員会に通知しなければならず、また、事前通知事項を変更しようとするときも同様に通知しなければならない。行政機関が、特定個人情報保護評価を実施し、全項目評価書を公表した場合、又は保有する特定個人情報ファイルに重要な変更を加えようとするときに特定個人情報保護評価を再実施し、事前通知事項を変更した全項目評価書を公表した場合は、番号法第27条第5項の規定により、それぞれ通知を行ったものとみなす。

行政機関が、重点項目評価書を提出・公表した場合等は、事前通知等を併せて行ったものとして取り扱う。

## (解說)

※ 指針における上記の規定については、行政機関における規定となりますので、行政機関以外の評価実施機関は認識いただく必要はありません。

### 1. 事前通知とは

行政機関個人情報保護法第10条第1項には、「行政機関（略）が個人情報ファイルを保有しようとするときは、当該行政機関の長は、あらかじめ、総務大臣に対し、次に掲げる事項を通知しなければならない。」と規定されています。

その上で、行政機関が、単なる個人情報ファイルではなく、個人番号をその内容に含む個人情報ファイル、つまり特定個人情報ファイルを保有しようとするとき又は通知事項を変更しようとするときは、番号法第29条第1項並びに第30条第1項及び第2項の規定に基づいて、総務大臣ではなく、特定個人情報保護委員会に対して通知することが義務付けられます。

### 2. 特定個人情報保護評価の実施により事前通知を行ったものとみなす規定

事前通知事項におけるファイルの名称や利用目的等の事項は、特定個人情報保護評価における評価項目と重複していることから、番号法第27条第5項によって、特定個人情報保護評価を実施（特定個人情報保護評価書を委員会に提出し公表）した場合、事前通知も行ったものとみなしています。

### 3. みなす規定が適用される場合

番号法第 27 条第 5 項において、事前通知を行ったものとみなす場合は「前項の
規定により評価書が公表されたとき」とされており、ここでいう、前項の規定により評価書が公表されたとき、つまり行政機関等が全項目評価を実施又は再実施した場合に、本規定が適用されることになります。

### 4. その他の通知等

上記3以外の次の場合には、指針の規定に基づいて、変更した特定個人情報保護評価書を委員会に提出し、公表することによって、番号法第29条第1項並びに第30条第1項及び第2項の規定により読み替えて適用される行政機関個人情報保護法第10条第1項及び第3項に定める通知を行ったものとして扱うこととなります。なお、下記（1）から（4）までの場合はその事象が生じる前に、（5）及び（6）の場合はその事象が生じた後に遅滞なく行うこととなります。

（１）全項目評価書に記載する特定個人情報ファイルにおいて、事前通知事項に重要な変更に当たらない変更が生じるとき

（２）重点項目評価書に記載する特定個人情報ファイルを保有しようとするとき

（３）重点項目評価書に記載する特定個人情報ファイルにおいて、事前通知事項に重要な変更が生じるとき

（４）重点項目評価書に記載する特定個人情報ファイルにおいて、事前通知事項に重要な変更に当たらない変更が生じるとき

（５）特定個人情報ファイルの保有をやめたとき

（６）特定個人情報ファイルの対象人数が１,０００人未満となったとき
### 5. まとめ

上記1～4を整理すると次のとおりとなります。

全項目評価書の提出・公表	重点項目評価書の提出・公表	提出・公表をすべき時期
特定個人情報ファイルを新たに保有しようとするとき	通知を行ったものとみなす	通知を行ったものとして扱う	ファイルの保有又は変更の前
事前通知事項に重要な変更が生じるとき	通知を行ったものとみなす
事前通知事項に重要な変更に当たらない変更が生じるとき	通知を行ったものとして扱う
特定個人情報ファイルの保有をやめたとき	通知を行ったものとして扱う	ファイルの保有又は変更の後遅滞なく
特定個人情報ファイルの対象人数が1,000人未満となったとき	通知を行ったものとして扱う

## Q第8−1

基礎項目評価のみの実施の場合は、事前通知を行ったものとみなされないのでしょうか。

(A)

○ 基礎項目評価のみの実施の場合は、事前通知を行ったとはみなされません。別途、委員会が定める事前通知の方法に基づいて委員会に通知していただく必要があります。

これは、基礎項目評価書においては、行政機関個人情報保護法に定める事前通知すべき事項が記載されていないことからです。
## 第9 特定個人情報保護評価の評価項目

## 1 基本的な考え方

特定個人情報保護評価を実施するに当たって、評価実施機関は、特定個人情報ファイルを取り扱う事務の特性を明らかにした上で、特定個人情報ファイルの取扱いが個人のプライバシー等の権利利益に影響を与え得る特定個人情報の漏えいその他の事態を発生させるリスクについて認識又は分析し、このようなリスクを軽減するための適切な措置を講じていることを確認の上、特定個人情報保護評価書において宣言するものとする。

## 2 評価項目

## （1） 基礎項目評価書

規則第2条第1号に規定する基礎項目評価書では、特定個人情報保護評価の対象となる事務の概要、当該事務において使用するシステムの名称、特定個人情報ファイルの名称、当該事務を対象とする特定個人情報保護評価の実施を担当する部署、当該事務において個人番号を利用することができる法令上の根拠等を記載するものとする。また、当該事務において情報連携を行う場合にはその法令上の根拠を記載するものとする。

また、評価実施機関は、特定個人情報保護評価の対象となる事務について特定個人情報ファイルを取り扱う際に生じる個人のプライバシー等の権利利益に影響を与え得る特定個人情報の漏えいその他の事態を発生させるリスクを認識し、このようなリスクを軽減するための適切な措置を講じていることを確認の上、宣言するものとする。

## （2） 重点項目評価書

規則第2条第2号に規定する重点項目評価書の記載事項は、次のとおりとする。

## ア 基本情報

特定個人情報保護評価の対象となる事務の内容、当該事務において使用するシステムの機能、当該事務において取り扱う特定個人情報ファイルの名称、当該事務を対象とする特定個人情報保護評価の実施を担当する部署、当該事務において個人番号を利用することができる法令上の根拠等を記載するものとする。また、当該事務において情報連携を行う場合にはその法令上の根拠を記載するものとする。

## イ 特定個人情報ファイルの概要

特定個人情報ファイルの種類、対象となる本人の数・範囲、記録される項目その他の特定個人情報保護評価の対象となる事務において取り扱う特定個人情報ファイルの概要を記載するものとする。また、特定個人
情報の入手及び使用の方法、特定個人情報ファイルの取扱いの委託の有無及び委託する場合にはその方法、特定個人情報の提供又は移転の有無及び提供又は移転する場合にはその方法、特定個人情報の保管場所その他の特定個人情報ファイルを取り扱うプロセスの概要を記載するものとする。

## ウ リスク対策

特定個人情報ファイルを取り扱うプロセスにおいて個人のプライバシー等の権利利益に影響を与え得る特定個人情報の漏えいその他の事態を発生させる主なリスクについて分析し、このようなリスクを軽減するための措置について記載するものとする。重点項目評価書様式は主なリスクのみを示しているが、その他のリスクについても分析し、そのようなリスクを軽減するための措置についても記載することが推奨される。

また、自己点検・監査、従業者に対する教育・啓発等のリスク対策についても記載するものとする。

これらのリスク対策を踏まえ、評価実施機関は、リスクを軽減するための適切な措置を講じていることを確認の上、宣言するものとする。

## エ その他

特定個人情報の開示・訂正・利用停止請求、特定個人情報ファイルの取扱いに関する問合せ等について記載するものとする。

## （3） 全項目評価書

法第27条第1項各号及び規則第12条に規定する全項目評価書の記載事項は、次のとおりとする。

## ア 基本情報

特定個人情報保護評価の対象となる事務の詳細な内容、当該事務において使用するシステムの機能、当該事務において取り扱う特定個人情報ファイルの名称、当該事務を対象とする特定個人情報保護評価の実施を担当する部署、当該事務において個人番号を利用することができる法令上の根拠等を記載するものとする。また、当該事務において情報連携を行う場合にはその法令上の根拠を記載するものとする。

## イ 特定個人情報ファイルの概要

特定個人情報ファイルの種類、対象となる本人の数・範囲、記録される項目その他の特定個人情報保護評価の対象となる事務において取り扱う特定個人情報ファイルの概要を記載するものとする。また、特定個人情報の入手及び使用の方法、特定個人情報ファイルの取扱いの委託の有無及び委託する場合にはその方法、特定個人情報の提供又は移転の有
無及び提供又は移転する場合にはその方法、特定個人情報の保管及び消去の方法その他の特定個人情報ファイルを取り扱うプロセスの概要を記載するものとする。

## ウ リスク対策

特定個人情報ファイルを取り扱うプロセスにおいて個人のプライバシー等の権利利益に影響を与え得る特定個人情報の漏えいその他の事態を発生させる多様なリスクについて詳細に分析し、このようなリスクを軽減するための措置について記載するものとする。全項目評価書様式に示すもの以外のリスクについても分析し、そのようなリスクを軽減するための措置についても記載することが推奨される。

また、自己点検・監査、従業者に対する教育・啓発等のリスク対策についても記載するものとする。

これらのリスク対策を踏まえ、評価実施機関は、リスクを軽減するための適切な措置を講じていることを確認の上、宣言するものとする。

## 工評価実施手続

行政機関等は、上記第5の3（3）アにより実施した国民からの意見の聴取の方法、主な意見の内容等、下記第10の1に定める委員会による承認のために全項目評価書を委員会に提出した日、委員会による審査等について記載するものとする。

地方公共団体等は、上記第5の3（3）イにより実施した住民等からの意見の聴取及び第三者点検の方法等について記載するものとする。

## オ その他

特定個人情報の開示・訂正・利用停止請求、特定個人情報ファイルの取扱いに関する問合せ等について記載するものとする。

## (解說)

特定個人情報保護評価の実施に当たって評価実施機関が行うべきことは、特定個人情報保護評価の対象となる特定個人情報ファイルを取り扱う事務の特性を明らかにした上で、特定個人情報ファイルの取扱いが個人のプライバシー等の権利利益に影響を与え得る特定個人情報の漏えいその他の事態を発生させるリスクについて認識・分析し、このようなリスクを軽減するために適切な措置を講じていることを確認の上、宣言することが求められています。

特定個人情報保護評価に当たって評価実施機関が評価すべき項目（評価項目）の数又は深度は、全項目評価が最も大きく、重点項目評価、基礎項目評価の順で小さくなっています。実務上は、しきい値判断の結果に基づいて求められる特定個人情報保護評価の種類に応じ、該当する特定個人情報保護評価書に記載していくことになります。
## 第 10 委員会の関与

## 1 特定個人情報保護評価書の承認

## （1） 承認対象

委員会は、上記第5の3（3）アに基づき行政機関等から委員会に提出された全項目評価書を審査し、承認するものとする。

委員会は、基礎項目評価書、重点項目評価書、地方公共団体等から提出された全項目評価書及び任意で提出された全項目評価書の承認は行わないものとする。

## （２）審査の観点

委員会は、全項目評価書の承認に際し、適合性及び妥当性の2つの観点から審査を行う。

## ア 適合性

この指針に定める実施手続等に適合した特定個人情報保護評価を実施しているか。

・しきい値判断に誤りはないか。

·適切な実施主体が実施しているか。

・公表しない部分は適切な範囲か。

・適切な時期に実施しているか。

・適切な方法で広く国民の意見を求め、得られた意見を十分考慮した上で必要な見直しを行っているか。

・特定個人情報保護評価の対象となる事務の実態に基づき、特定個人情報保護評価書様式で求められる全ての項目について検討し、記載しているか。等

## 亻妥当性

特定個人情報保護評価の内容は、この指針に定める特定個人情報保護評価の目的等に照らし妥当と認められるか。

・記載された特定個人情報保護評価の実施を担当する部署は、特定個人情報保護評価の対象となる事務を担当し、リスクを軽減させるための措置の実施に責任を負うことができるか。

・特定個人情報保護評価の対象となる事務の内容の記載は具体的か。当該事務における特定個人情報の流れを併せて記載しているか。

・特定個人情報ファイルを取り扱うプロセスにおいて特定個人情報の漏えいその他の事態を発生させるリスクを、特定個人情報保護評価の対象となる事務の実態に基づき、特定しているか。

・特定されたリスクを軽減するために講ずべき措置についての記載は具体的か。
・記載されたリスクを軽減させるための措置は、個人のプライバシー等の権利利益の侵害の未然防止、国民・住民の信頼の確保という特定個人情報保護評価の目的に照らし、妥当なものか。

·個人のプライバシー等の権利利益の保護の宣言は、国民・住民の信頼の確保という特定個人情報保護評価の目的に照らし、妥当なものか。等

委員会は、提出された全項目評価書の審査の結果、必要と認めるときは、番号法の規定に基づく指導・助言、勧告・命令等を行い、全項目評価書の再提出その他の是正を求めるものとする。

## (解說)

特定個人情報ファイルを取り扱う事務について、しきい値判断の結果、全項目評価を実施するものとされた行政機関等は、当該事務についての全項目評価書を作成し、委員会に提出します。委員会は、提出された全項目評価書を審査し、承認することになります。この審査・承認の対象は、行政機関等がしきい値判断の結果に基づき作成した全項目評価書のみです。

基礎項目評価書（行政機関等が全項目評価書と併せて提出する場合を含む。）、重点項目評価書、地方公共団体等から提出された全項目評価書、主体を問わず任意で提出された全項目評価書の審査・承認は、行いません。

委員会は、適合性及び妥当性の２つの観点から審査を行います。

適合性とは、指針に定める実施手続等に適合した特定個人情報保護評価を実施しているかについて審査するものです。具体例として、しきい値判断に誤りはないか、適切な実施主体が実施しているか、非公表部分は適切な範囲か等を指針に示していますが、これらに限りません。

妥当性は、特定個人情報保護評価の内容が指針に定める特定個人情報保護評価の目的等に照らし妥当と認められるかについて審査するもので、内容をより実質的に審査するものです。具体例として、特定個人情報保護評価の実施を担当する部署は特定個人情報保護評価の対象となる事務を担当し、リスクを軽減させるための措置の実施に責任を負うことができるか、特定個人情報保護評価の対象となる事務の内容の記載は具体的か等を指針に示していますが、これらに限りません。

委員会は、必要に応じて評価実施機関の協力を得ながら審査を進めていきます。
## 2 承認の対象としない特定個人情報保護評価書の確認

委員会は、評価実施機関から委員会に提出された特定個人情報保護評価書であって上記1による委員会の承認の対象としないものについては、必要に応じて、その内容を精査し、適合性及び妥当性について確認するものとする。

委員会は、提出された特定個人情報保護評価書の精査の結果、必要と認めるときは、番号法の規定に基づく指導・助言、勧告・命令等を行い、特定個人情報保護評価の再実施その他の是正を求めるものとする。

## (解說)

承認の対象となる行政機関等が提出した全項目評価書以外の特定個人情報保護評価書について、委員会は、必要に応じて、その内容を精査し、適合性及び妥当性について確認することとしています。

精査・確認の対象となる可能性がある特定個人情報保護評価書は、基礎項目評価書（行政機関等が全項目評価書と併せて提出する場合を含む）、重点項目評価書、地方公共団体等から提出された全項目評価書及び主体を問わず任意で提出された全項目評価書です。

委員会は、必要に応じて評価実施機関の協力を得ながら精査・確認を進めていきます。
評価実施機関は、個人のプライバシー等の権利利益に影響を与え得る特定個人情報の漏えいその他の事態を発生させるリスクを軽減するための措置として特定個人情報保護評価書に記載した全ての措置を講ずるものとする。

## (解說)

特定個人情報保護評価は、評価実施機関が特定個人情報の漏えいその他の事態を発生させるリスクを分析し、そのようなリスクを軽減するための適切な措置を講ずることにより、特定個人情報の漏えい等を未然に防止するとともに、国民・住民の信頼を確保することを目的としていることから、記載した措置を確実に実施することで実効性が確保されるものです。
第 12 特定個人情報保護評価に係る違反に対する措置

1 特定個人情報保護評価の未実施に対する措置

特定個人情報保護評価を実施するものとされているにもかかわらず実施していない事務については、情報連携を行うことが禁止される（番号法第21条第2項第2号、第27条第6項）。特定個人情報保護評価を実施するものとされているにもかかわらず実施していない評価実施機関に対して、委員会は、必要に応じて、番号法の規定に基づく指導・助言、勧告・命令等を行い、特定個人情報保護評価の速やかな実施その他の是正を求めるものとする。

2 特定個人情報保護評価書の記載に反する特定個人情報ファイルの取扱いに対する措置

特定個人情報ファイルの取扱いが特定個人情報保護評価書の記載に反している場合、委員会は、必要に応じて、番号法の規定に基づく指導・助言、勧告・命令等を行い、是正を求めるものとする。

## (解說)

特定個人情報保護評価を実施していない場合、特定個人情報ファイルの適正な取扱いの確保のための措置が適切に講じられていないおそれがあります。

したがって、このような場合に、情報連携を行わせると、不適切な形で特定個人情報ファイルがネットワークを通じてやりとりされることとなり、適正な取扱いがなされている他の事務やシステム（他の情報提供者又は情報照会者のシステムや情報提供ネットワークシステム等）にまで、悪影響を及ぼすおそれがあることから、情報連携を行うことが禁止されています。（番号法第27条第6項、第21条第2項第2号）

情報連携を行わないこととされている機関については、委員会の助言、指導、命令権限等に基づき、是正を促すことになります。

また、特定個人情報ファイルの取扱いの実態が特定個人情報保護評価の記載に反していた時は、上記の観点から、委員会の助言・指導・勧告・命令・立入検査権限等に基づき是正を促すことになります。
別表
(第6の2(2)関係)
特定個人情報保護評価書の名称	重要な変更の対象である記載項目
1 重点項目評価書	1 個人番号の利用
2 情報提供ネットワークシステムによる情報連携
3 特定個人情報ファイルの種類
4 特定個人情報ファイルの対象となる本人の範囲
5 特定個人情報ファイルに記録される主な項目
6 特定個人情報の入手元
7 特定個人情報の使用目的
8 特定個人情報ファイルの取扱いの委託の有無
9 特定個人情報ファイルの取扱いの再委託の有無
10 特定個人情報の保管場所
11 リスク対策(重大事故の発生を除く。)
2 全項目評価書	1 特定個人情報ファイルを取扱う事務の内容
2 個人番号の利用
3 情報提供ネットワークシステムによる情報連携
4 特定個人情報ファイルの種類
5 特定個人情報ファイルの対象となる本人の範囲
6 特定個人情報ファイルに記録される主な項目
7 特定個人情報の入手元
8 特定個人情報の使用目的
9 特定個人情報の使用部署
10 特定個人情報の使用方法
11 特定個人情報の突合
12 特定個人情報の統計分析
13 特定個人情報の使用による個人の権利利益に影響を与え得る決定
14 特定個人情報ファイルの取扱いの委託の有無
15 取扱いを委託する特定個人情報ファイルの対象となる本人の範囲
16 特定個人情報ファイルの取扱いの再委託の有無
17 特定個人情報の保管場所
18 特定個人情報ファイルの取扱いプロセスにおけるリスク対策(重大事故の発生を除く。)
19 その他のリスク対策
## (解說)

この別表は、重点項目評価書及び全項目評価書の記載項目のうち、原則として変更する前に特定個人情報保護評価を再実施することが求められる「重要な変更」の対象であるものを列記しています。様式3及び4を併せて確認してください。

## Q 別表一 1

「重要な変更」の対象である評価項目のリスク対策から、重大事故の発生を除いているのはどのような理由なのでしょうか。

## (A)

○ 重大事故の発生を事前に知ることは不可能であり、原則として特定個人情報保護評価を事前に再実施することが求められる「重要な変更」には該当しません。

○ ただし、重大事故の発生を受けて、評価実施機関がシステムの全面的な入替えや大幅な組織改組といった大規模なリスク対策の変更を実施する場合は、重要な変更として特定個人情報保護評価を再実施することが必要になることもあると考えられます。
## その他

Q 他—1

政府統一基準群、ISMS 適合評価制度、IT セキュリティ評価及び認証制度（JISEC）などの認定を受けている評価実施機関は、特定個人情報保護評価を実施する必要があるのでしょうか。

(A)

☐ 情報セキュリティ対策は、情報資産の CIA(Confidentiality 機密性、Integrity 完全性、Availability 可用性)の維持を図ることを目的としています。これに対し、特定個人情報保護評価の目的は個人のプライバシー等の権利利益の保護であり、セキュリティ対策は一つの手段にすぎないと考えられます。したがって、これらの認定等を受けている評価実施機関についても、特定個人情報保護評価を実施する必要があります。

○ ただし、これらの制度の認定を受けていることは、特定個人情報に係るリスクを軽減するための適切な措置の一つであると考えられることから、既にこれらの制度の認定を受けている評価実施機関については、その旨を特定個人情報保護評価書に記載することが考えられます。