Silviase/jgov_v1.4_full_ann huggingface dataset:
Ⅲ 特定個人情報ファイルの取扱いプロセスにおけるリスク対策 ※(7. リスク1⑨を除く。)

1.特定個人情報ファイル名
健康保険基幹情報ファイル
2.特定個人情報の入手(情報提供ネットワークシステムを通じた入手を除く。)
リスク1:目的外の入手が行われるリスク
対象者以外の情報の入手を防止するための措置の内容	【本人から個人番号を入手する場合の措置(郵送又は対面による入手)】·機関誌や当組合Web等で、直接当組合に個人番号の提出が必要な加入者の要件を明示して周知する。·郵送又は対面により個人番号を入手する場合は、番号法第16条(本人確認の措置)に則り本人確認書類を提出させて本人確認を行い、併せて資格情報を参照して個人番号の入手が必要な加入者であることを確認する。【事業所から個人番号を入手する場合の措置】·機関誌や当組合Web等で、事業所に個人番号の提出が必要な加入者の要件を明示して周知する。·事業所に個人番号の收集が必要な加入者と必要がない加入者を明示した收集要領を通知する。·事業所が個人番号を收集する際、番号法第16条(本人確認の措置)に則り本人確認を実施するよう収集要領に記載して通知し、これを求める。·事業所から提出を受けたとき、当組合で資格情報を参照して個人番号の入手が必要な加入者であることを確認する。【地方公共団体情報システム機構から支払基金経由で機構保存本人確認情報を入手する場合の措置(オンラインによる入手)】<取りまとめ機関が定める当組合の運用における措置>·あいまい検索により複数の対象者の結果が得られた場合、不要な検索結果については基幹システムに情報登録を行わず、速やかに削除する。·当組合の照会要求に該当した機構保存本人確認情報のみ入手するため、対象者以外の情報入手が行われることはない。<中間サーバー等における措置>·当組合以外の照会要求が参照できないよう、中間サーバー等が照会要求や結果送信を制御している。【地方公共団体情報システム機構から支払基金経由で機構保存本人確認情報を入手する場合の措置(電子記録媒体による入手)】<取りまとめ機関が定める当組合の運用における措置>·複数の対象者の結果が得られた場合、不要な検索結果については基幹システムに情報登録を行わない。·当組合の照会要求に該当した機構保存本人確認情報のみ入手するため、対象者以外の情報入手が行われることはない。
必要な情報以外を入手することを防止するための措置の内容	【本人から個人番号を入手する場合の措置(郵送又は対面による入手)】·機関誌や当組合Web等で、個人番号の記載が必要な帳票の種類、様式、記載説明を明示、周知し、被保険者に不必要な個人番号を記載させないようにする。·当組合で定めた様式以外の帳票又は必要外の記載がされている帳票は受け付けない。·個人番号の記載が必要ない帳票に誤って個人番号が記載されている帳票は受け付けない。【事業所から個人番号を入手する場合の措置】·事業所に個人番号の記載が必要な帳票の種類、様式、記載説明を通知し、被保険者に当該事務に不必要な個人番号を記載させないようにする。·当組合で定めた様式以外の帳票又は必要外の記載がされている帳票は受け付けない。·個人番号の記載が必要ない帳票に誤って個人番号が記載されている帳票は受け付けない。【地方公共団体情報システム機構から支払基金経由で機構保存本人確認情報を入手する場合の措置(オンラインによる入手)】<中間サーバー等における措置>·統合専用端末における支払基金との通信は、厚生労働省が定めたインターフェイス仕様に沿って行われることにより、必要以外の機構保存本人確認情報の入手を防止している。【地方公共団体情報システム機構から支払基金経由で機構保存本人確認情報を入手する場合の措置(電子記録媒体による入手)】<取りまとめ機関が定める当組合の運用における措置>·電子記録媒体により情報を入手する場合には、あらかじめ定められたフォーマットで情報のやりとりが行われることにより、必要以外の情報の入手を防止している。
その他の措置の内容	なし
リスクへの対策は十分か	[十分である]	<選択肢>1) 特に力を入れている2) 十分である3) 課題が残されている
リスク2: 不適切な方法で入手が行われるリスク
リスクに対する措置の内容	【本人から個人番号を入手する場合の措置(郵送又は対面による入手)】·機関誌や当組合Web等に、帳票の提出は郵送又は対面により当組合に提出することを明示して周知を図り、それ以外の方法では入手を行わない。·郵送又は対面により個人番号を記載した帳票の受付をする際、番号法第16条(本人確認の措置)に則り本人確認書類を提出させて本人確認を行い、本人確認ができない場合は受け付けない。【事業所から個人番号を入手する場合の措置】·事業所が個人番号を收集する際、番号法第16条(本人確認の措置)に則り本人確認を実施するよう収集要領に記載して通知し、これを求める。·帳票に事業所名、帳票作成者氏名の記載を求めて、真正性を確認する。·事業所が電子記録媒体で帳票を届け出る場合、取り決めたパスワード、暗号化処置をした媒体以外は受け付けない。【地方公共団体情報システム機構から支払基金経由で機構保存本人確認情報を入手する場合の措置(オンラインによる入手)】<中間サーバー等における措置>·個人番号の入手は統合専用端末を経由した方法でのみ行われるため、不適切な方法で入手が行われることはない。【地方公共団体情報システム機構から支払基金経由で機構保存本人確認情報を入手する場合の措置(電子記録媒体による入手)】<取りまとめ機関が定める当組合の運用における措置>·入手した電子記録媒体を媒体管理簿に記載し、保管庫に施錠保管されるもの以外は使用しない。
リスクへの対策は十分か	[十分である]	<選択肢>1) 特に力を入れている2) 十分である3) 課題が残されている
リスク3: 入手した特定個人情報が不正確であるリスク
入手の際の本人確認の措置の内容	【本人から個人番号を入手する場合の措置(郵送又は対面による入手)】·郵送又は対面により個人番号を記載した帳票の受付をする際、番号法第16条(本人確認の措置)に則り本人確認書類を提出させて本人確認を行う。·被扶養者の個人番号を帳票に記載するとき、その本人確認は被保険者が行う。【事業所から個人番号を入手する場合の措置】·事業所が個人番号を収集する際、番号法第16条(本人確認の措置)に則り本人確認を実施するよう収集要領に記載して通知し、これを求める。
個人番号の真正性確認の措置の内容	【本人から個人番号を入手する場合の措置(郵送又は対面による入手)】·個人番号通知カード又は個人番号カードにより、帳票に記載された個人番号の真正性を確認する。·個人番号を入力して、チェックデジットや既に登録されている別人の個人番号と同番号でないことを基礎システムでチェックする。·個人番号の真正性に疑義が生じたときは、本人に連絡をして確認するか、支払基金を介して地方公共団体情報システム機構から個人番号や本人確認情報を取得して確認する。【事業所から個人番号を入手する場合の措置】·事業所で個人番号を収集する際、個人番号通知カード又は個人番号カードにより真正性を確認することを収集要領に記載して通知し、これを求める。·事業所から届け出された帳票から個人番号を入力して、チェックデジットや既に登録されている別人の個人番号と同番号でないことを基礎システムでチェックする。·個人番号の真正性に疑義が生じたときは、事業所に連絡をして確認するか、支払基金を介して地方公共団体情報システム機構から個人番号や本人確認情報を取得して確認する。
特定個人情報の正確性確保の措置の内容	【本人から個人番号を入手する場合の措置(郵送又は対面による入手)】·個人番号通知カード又は個人番号カードにより、帳票に記載された個人番号の正確性を確認する。·提出された帳票から個人番号を入力する際に、帳票と読み合わせを行い正確性を期する。また、ダブルチェックを行って正確性を期する。·個人番号を入力して、チェックデジットや既に登録されている別人の個人番号と同番号でないことを基幹システムでチェックする。·個人番号の正確性に疑義が生じたときは、本人に連絡をして確認するか、支払基金を介して地方公共団体情報システム機構から個人番号や本人確認情報を取得して確認する。
【事業所から個人番号を入手する場合の措置】·事業所で帳票に記載する際、個人番号通知カード又は個人番号カードと読み合わせて正確性を期することを收集要領に記載して通知し、これを求める。·事業所から届け出された帳票から個人番号を入力する際に、帳票と読み合わせを行い正確性を期する。また、ダブルチェックを行って正確性を期する。·個人番号を入力して、チェックデジットや既に登録されている別人の個人番号と同番号でないことを基幹システムでチェックする。·個人番号の正確性に疑義が生じたときは、事業所に連絡をして確認するか、支払基金を介して地方公共団体情報システム機構から個人番号や本人確認情報を取得して確認する。
その他の措置の内容	なし
リスクへの対策は十分か	[十分である]
リスク4: 入手の際に特定個人情報が漏えい・紛失するリスク
リスクに対する措置の内容	【本人から個人番号を入手する場合の措置(郵送又は対面による入手)】•郵送による入手には書留等を用い、誤送付がないよう送付先を印字した様式を利用する。•本人から届けられた書類は送付伝票と内容・数量を照合確認した上で、受領管理簿を起票する。•特定個人情報が記載された書類は速やかに保管庫に施錠保管する。また、書類を使用後は文書管理規程に従って保管及び廃棄措置をする。【事業所から個人番号を入手する場合の措置(郵送又は対面による入手)】•郵送による入手には書留等を用い、誤送付がないよう送付先を印字した様式を利用する。•事業所から届けられた書類及び電子記録媒体は送付伝票と内容・数量を照合確認した上で、受領管理簿を起票する。•特定個人情報が記載された書類は速やかに保管庫に施錠保管する。また、書類を使用後は文書管理規程に従って保管及び廃棄措置をする。•電子記録媒体による入手は、暗号規約や標準フォーマット等が定められた仕様に基づきパスワード設定、暗号化を行い、書留等を用いて搬送する。•事業所から入手した電子記録媒体は媒体管理簿に記載し、速やかに保管庫に施錠保管する。•電子記録媒体に記録されたデータは、事前にウイルスチェックを行い、読み込んだ件数を事業所に書類で知らせて相違ないか確認する。•保管する必要がない使用済の電子記録媒体はシュレッダーで粉砕し破棄する。【入手した情報の登録・確認をする基幹システムの専用端末】•基幹システムの専用端末にはファイアウォール、ウイルス対策ソフトを導入してパターンファイルを随時更新しておく。•ファイルのバックアップ及び統合専用端末との情報授受については、操作を行う基幹システムの専用端末を限定し、アクセス権限を付与された最小限の職員だけが当該端末を操作できるようアクセス制御する。それ以外の基幹システムの専用端末においては、特定個人情報ファイルについて端末への保存や電子記録媒体及びUSBメモリ(以下「電子記録媒体等」という。)への書込み及び読出し等ができないようシステムに制御する。•基幹システムの専用端末はインターネット等外部ネットワークと隔離する。•特定個人情報にアクセスする権限が与えられていない職員等が基幹システムの専用端末を使用する場合、特定個人情報へのアクセスができないようシステムに制御する。【地方公共団体情報システム機構から支払基金経由で機構保存本人確認情報を入手する場合の措置(オンラインによる入手)】<中間サーバー等における措置>•中間サーバー等と当組合の通信は、IPSecによる暗号化された通信経路を使用することで、データ転送時の通信内容秘匿、盗聴防止の対応をしている。【地方公共団体情報システム機構から支払基金経由で機構保存本人確認情報を入手する場合の措置(電子記録媒体による入手)】<取りまとめ機関が定める当組合の運用における措置>•入手した電子記録媒体は媒体管理簿に記載し、保管庫に施錠保管する。•保管の必要がない使用済みの電子記録媒体は、シュレッダーで粉砕し破棄する。•電子記録媒体は暗号化し、荷物の追跡が可能な手段を用いて送付を行う。また、開錠及び復号化するパスワードは別途通知を行う。
リスクへの対策は十分か	[十分である]	<選択肢>1) 特に力を入れている2) 十分である3) 課題が残されている
特定個人情報の入手(情報提供ネットワークシステムを通じた入手を除く。)におけるその他のリスク及びそのリスクに対する措置
特定個人情報の入手における帳票の取扱いや確認・判断の誤り、基幹システム及び中間サーバー等の利用・操作の誤り等によるリスクを防ぐため、必要な法令・省令、業務フロー、基幹システム及び中間サーバー等の利用・操作等の教育・訓練を適宜実施する。
3.特定個人情報の使用
リスク1: 目的を超えた紐付け、事務に必要のない情報との紐付けが行われるリスク
宛名システム等における措置の内容	·基幹システムは、識別番号と個人番号を紐付けて管理し参照が可能であるが、個人番号を用いない事務処理においては、個人番号にアクセスできないようシステムに制御する。·特定個人情報ファイルを取り扱う事務に記載した事務においても、ログイン時には個人番号のアクセスや個人番号の入力、参照、表示などの紐付け機能を遮断した状態に設定されていて、必要がある場合のみアクセス権限がある職員等に限って設定を切り替え紐付けできるようシステムに制御する。·特定個人情報にアクセス権限のない職員等がシステム操作をする場合、いかなる方法によっても個人番号にアクセスできず、個人番号の参照、表示など紐付けができないようシステムに制御する。
事務で使用するその他のシステムにおける措置の内容	·特定個人情報ファイルを取り扱う事務に記載した事務以外は、いかなる方法によっても個人番号のアクセスや個人番号の入力、参照、表示などができないようシステムに制御する。·特定個人情報にアクセス権限のない職員等がシステム操作する場合、全ての事務処理において個人番号にアクセスできず、個人番号の参照、表示等ができないようシステムに制御する。
その他の措置の内容	なし
リスクへの対策は十分か	[十分である]	<選択肢>1) 特に力を入れている2) 十分である3) 課題が残されている
リスク2: 権限のない者(元職員、アクセス権限のない職員等)によって不正に使用されるリスク
ユーザ認証の管理	[行っている]	<選択肢>1) 行っている2) 行っていない
具体的な管理方法	<基幹システムにおける措置>·全てのシステム利用者にユーザID、パスワードを発行してログイン認証を行う。·共有のユーザIDは使用しないこととする。·全てのシステム利用者に、各人が取り扱うことができる事務の範囲及び個人番号取扱い権限(アクセス権限)の有無を決定し、ユーザIDと合わせてユーザ管理簿に記載、管理する。·アクセス権限が付与されたシステム利用者以外は個人番号を取り扱えないようシステム管理・制御機能に設定して、システムに制御する。·アクセス権限を付与するシステム利用者は最小限に限定する。·パスワードに有効期間を設けて、定期的に変更するようシステムに制御する。·退職や異動でシステム利用者でなくなった者のユーザIDは利用できないようシステム管理・制御機能から速やかに抹消する。<取りまとめ機関が定める当組合の運用における措置>·中間サーバー等を利用する職員を限定し、取り扱うことができる事務の範囲及び個人番号取扱い権限(アクセス権限)の有無を決定して、ユーザIDと合わせてユーザ管理簿に記載、管理する。·共用のユーザIDの使用を禁止する。·パスワードに設けられた有効期間に沿って、定期的に変更を行う。·退職や異動でシステム利用者でなくなった者のユーザIDは利用できないよう登録を抹消する。<中間サーバー等における措置>·統合専用端末を利用したシステム操作や特定個人情報等へのアクセスを行う前にログイン操作を行い、統合専用端末の操作者を認証するよう中間サーバー等で制御している。
アクセス権限の発効・失効の管理	[ 行っている ]	<選択肢>1) 行っている	2) 行っていない
具体的な管理方法	<基幹システムにおける措置>【アクセス権限の発効】・採用や異動等で適用、給付、徴収担当となる職員には、担当となる日から有効なアクセス権限を、データ保護担当者の指示によりシステム担当課(IT推進課)がシステム管理・制御機能に設定し、ユーザ管理簿に記載する。【アクセス権限の失効】・異動や退職等で担当から外れる職員には、異動日や退職日をもって現在のアクセス権限が失効するよう、データ保護担当者の指示によりシステム担当課(IT推進課)がシステム管理・制御機能の設定を変更し、ユーザ管理簿に記載する。<取りまとめ機関が定める当組合の運用における措置>・アクセス権限は、データ保護担当者が各職員の担当事務分野とアクセス権限を決定し、基幹システムにおけるユーザ認証の管理やアクセス権限の発効・失効と同様に管理する。(1) 発効管理・採用や異動等で中間サーバー等を利用する事務を担当する職員には、担当となる日から有効なアクセス権限を、データ保護担当者の指示によりシステム担当課(IT推進課)が登録し、ユーザ管理簿に記載する。(2) 失効管理・異動や退職等で担当から外れる職員には、異動日や退職日をもって現在のアクセス権限が失効するよう、データ保護担当者の指示によりシステム担当課(IT推進課)が登録を変更し、ユーザ管理簿に記載する。<中間サーバー等における措置>当組合のデータ保護担当者が統合専用端末において以下の管理を行う。・IDは、ID付与権限をもったデータ保護担当者用IDと一般的なユーザIDがある。・支払基金が各医療保険者等のデータ保護担当者用IDに対して一般的なIDの付与権限を与えることにより、各医療保険者等においてデータ保護担当者が職員に対して一般的なユーザIDを付与することが可能となる。・指定日からユーザIDを有効にしたり、指定日からユーザIDを無効とするよう中間サーバー側で制御している。・パスワードを定期的に更新するよう中間サーバー側で制御している。・パスワードの最長有効期限を定めている。
アクセス権限の管理	[ 行っている ]	<選択肢>1) 行っている	2) 行っていない
具体的な管理方法	<基幹システムにおける措置>・ユーザID、アクセス権限の発効や更新は、システム担当課(IT推進課)以外は行えないものとする。・システム担当課(IT推進課)はユーザIDやアクセス権限の発効や更新を行う都度、データ保護担当者の確認を得てユーザ管理簿に更新記録を記載し保管する。・データ保護担当者は随時、不要なユーザIDの残存や不必要なアクセス権限の付与などユーザ管理簿の点検・見直しを行う。・パスワードに有効期間を設けて、定期的に変更するようシステムに制御する。<取りまとめ機関が定める当組合の運用における措置>・ユーザID、アクセス権限の登録や変更は、システム担当課(IT推進課)以外は行えないものとする。・システム担当課(IT推進課)は、ユーザIDやアクセス権限の登録や変更を行う都度、データ保護担当者の確認を得てユーザ管理簿に記載し保管する。・データ保護担当者は随時、不要なユーザIDの残存や不必要なアクセス権限の付与などユーザ管理簿の点検・見直しを行う。・パスワードに設けられた有効期間に沿って、定期的に変更を行う。<中間サーバー等における措置>・該当する職員に許可された業務メニューのみ表示するよう中間サーバー等で制御している。
特定個人情報の使用の記録	[ 記録を残している ]	<選択肢>1) 記録を残している	2) 記録を残していない
具体的な方法	<基幹システムにおける措置>·個人番号の登録や更新、情報検索、個人番号を含むデータ表示機能等の使用及び特定個人情報ファイルへのアクセス等について、操作ログを自動的に記録する。·操作ログには、処理年月日、時間、操作者等を記録する。·操作ログは一定期間保管し、不正アクセスや事故が疑われるときに点検し追跡できるようにする。·データ保護担当者は、定期的に又はセキュリティ上の問題が発生した際に操作ログを確認し、不正な運用が行われていないかを点検する。<取りまとめ機関が定める当組合の運用における措置>·中間サーバー等の使用について、データ保護担当者は、定期的に又はセキュリティ上の問題が発生した際に操作ログを確認し、不正な運用が行われていないかを点検する。<中間サーバー等における措置>·特定個人情報ファイルを扱う統合専用端末の操作履歴(操作ログ)を中間サーバー等で記録している。
その他の措置の内容	なし
リスクへの対策は十分か	[ 十分である ]	<選択肢>1) 特に力を入れている	2) 十分である
リスク3: 従業者が事務外で使用するリスク
リスクに対する措置の内容	<基幹システムにおける措置>·アクセス権限がある職員等でも、I 基本情報「1.特定個人情報ファイルを取り扱う事務」に記載した事務以外では個人番号や特定個人情報ファイルにアクセスできないようシステムに制御する。·ファイルのバックアップ及び統合専用端末との情報授受については、操作を行う基幹システムの専用端末を限定し、アクセス権限を付与された最小限の職員だけが当該端末を操作できるようアクセス制御する。それ以外の基幹システムの専用端末においては、特定個人情報ファイルについて端末への保存や電子記録媒体等への書込み及び読出し等ができないようシステムに制御する。·定期的に操作ログをチェックし、必要のないアクセスが行われていないか監視する。·職員等に対して、特定個人情報の適切な取扱いを理解させることを目的として定期的に教育、研修を行う。<中間サーバー等における措置>·統合専用端末を利用した情報照会依頼時等において、職員に許可された事務／事務手続のみ取り扱うことができるよう中間サーバー等で制御している。
リスクへの対策は十分か	[ 十分である ]	<選択肢>1) 特に力を入れている	2) 十分である
リスク4: 特定個人情報ファイルが不正に複製されるリスク
リスクに対する措置の内容	<基幹システムにおける措置>•ファイルのバックアップ及び統合専用端末との情報授受については、操作を行う基幹システムの専用端末を限定し、アクセス権限を付与された最小限の職員だけが当該端末を操作できるようアクセス制御する。それ以外の基幹システムの専用端末においては、特定個人情報ファイルについて端末への保存や電子記録媒体等への書込み及び読出し等ができないようシステムに制御する。•バックアップファイルは暗号化し、データセンター内のサーバにて管理する。•電子記録媒体は媒体管理簿に記載し、保管庫に施錠保管する。•保管する必要がない使用済の電子記録媒体はシュレッダーで粉砕し破棄する。•定期的に操作ログをチェックし、データ抽出等の不正な持出しが行われていないか監視する。<取りまとめ機関が定める当組合の運用における措置>委託区画ファイル、副本区画ファイル及び本人確認ファイルについては、以下の措置を講じる。•中間サーバ一等を利用して複製等のファイル操作が可能な職員を最小限に限定する。•USBメモリへの複製を行う場合、不必要な複製を制限するため事前にデータ保護担当者の承認を得る。•加入者の登録情報を確認する以外にファイルを複製しないよう、職員に対し周知徹底する。•定期的に操作ログをチェックし、データ抽出等の不正な持出しが行われていないか監視する。<中間サーバ一等における措置>•情報提供等記録ファイルについては、統合専用端末を利用して職員が情報提供等記録をファイル出力(ダウンロード)※する際は、情報提供等記録ファイルから機関別符号等を除いた範囲の項目にしかアクセスできず、当該アクセス可能な項目のみしか複製できないよう制限している。•委託区画ファイル及び副本区画ファイルについては、統合専用端末を利用して職員がファイル出力(ダウンロード)※する際に特定の項目にしかアクセスできず、当該アクセス可能な項目のみしか複製できないよう制限している。※統合専用端末にファイル出力(ダウンロード)する機能は、住民基本台帳ネットワークシステム及び情報提供ネットワークシステムから取得した特定個人情報を基幹システムに取り込むために必要となる。
リスクへの対策は十分か	[十分である]	<選択肢>1) 特に力を入れている2) 十分である3) 課題が残されている
特定個人情報の使用におけるその他のリスク及びそのリスクに対する措置
なし
特定個人情報の消去ルール	[定めている]	<選択肢>1)定めている	2)定めていない
ルールの内容及びルール遵守の確認方法	<当組合事務所に来て行う委託業務における措置>•帳票類のデータ入力業務では業務終了後、データ入力に使用した端末内のデータをすべて消去させる。•データ入力した書類やデータファイルはすべて当組合に返却、提出させ、それらの廃棄や消去をデータ入力従業者には一切行わせない。<委託先事業所で行う委託業務における措置(取りまとめ機関以外の委託先)>•基幹システムの保守・点検等作業の稼動確認テストでは特定個人情報ファイルを使用するだけで、原則として特定個人情報の消去を委託先では行なわせない。•特別に当組合の職員が文章等で指示又は依頼して消去する場合は、職員が消去の結果を確認する。<取りまとめ機関で行う委託業務における措置>•情報提供等記録については、番号法第23条第3項に基づく施行令第29条の規定において、保存期間は7年間とされており、保存期間経過後は、当組合が適切に廃棄等を行う。•機構保存本人確認情報については、当組合から取りまとめ機関に電子記録媒体を渡した場合は、取りまとめ機関が当組合に機構保存本人確認情報を提供する際に電子記録媒体を返却する。当組合に返却できない場合は、一定期間保管した上で、取りまとめ機関が物理的破壊を行う。
委託契約書中の特定個人情報ファイルの取扱いに関する規定	[定めている]	<選択肢>1)定めている	2)定めていない
規定の内容	•秘密保持義務。•データや書類の配送、授受、保管・管理方法。•特定個人情報ファイル取扱い場所の限定と明確化。•事業所内からの特定個人情報の持出しの禁止。•特定個人情報の目的外利用の禁止、複写・複製の禁止。•再委託の禁止。•漏えい、滅失、棄損、改ざん等の防止策の義務付け。•漏えい事案等が発生した場合の委託元への速やかな報告と委託先の責任。•委託契約終了後の特定個人情報の返却又は消去。•特定個人情報を取り扱う従業者の限定と明確化。•従業者に対する監督・教育。•委託先への監查、立入調査。•契約内容の遵守状況について報告の義務付け等。
再委託先による特定個人情報ファイルの適切な取扱いの確保	[十分に行っている]	<選択肢>1)特に力を入れて行っている2)十分に行っている3)十分に行っていない4)再委託していない
具体的な方法	再委託契約に次の事項を盛り込むこととし、委託先による再委託先に対する必要かつ適切な監督のもと再委託先において安全管理措置が講じられていることを確認する。再委託先が更に委託する場合においても同様に取扱うものとする。•秘密保持義務。•データや書類の配送、授受、保管・管理方法。•特定個人情報ファイル取扱い場所の限定と明確化。•事業所内からの特定個人情報の持出しの禁止。•特定個人情報の目的外利用の禁止、複写・複製の禁止。•再委託の禁止。•漏えい、滅失、棄損、改ざん等の防止策の義務付け。•漏えい事案等が発生した場合の委託元への速やかな報告と委託先の責任。•委託契約終了後の特定個人情報の返却又は消去。•特定個人情報を取り扱う従業者の限定と明確化。•従業者に対する監督・教育。•委託先への監查、立入調査。•契約内容の遵守状況について報告の義務付け等。
その他の措置の内容	なし
リスクへの対策は十分か	[十分である]	<選択肢>1)特に力を入れている2)十分である3)课题が残されている
特定個人情報ファイルの取扱いの委託におけるその他のリスク及びそのリスクに対する措置
なし
6.情報提供ネットワークシステムとの接続 [ ] 接続しない(入手) [ ] 接続しない(提供)
リスク1:目的外の入手が行われるリスク
リスクに対する措置の内容	情報提供ネットワークシステムに接続する際に支払基金が、以下の措置を講じている。<中間サーバー等における措置>①統合専用端末を利用して情報提供ネットワークシステムに情報照会を行う際には、情報提供許可証の発行と照会内容の照会許可用照合リスト(※)との照合を情報提供ネットワークシステムに求め、情報提供ネットワークシステムから情報提供許可証を受領してから情報照会を実施することになる。つまり、番号法上認められた情報連携以外の照会を拒否する機能を備えており、目的外提供やセキュリティリスクに対応している。②支払基金の職員が統合専用端末を利用して情報照会依頼及び情報照会結果の確認等を行う際、ログイン時の職員認証の他に、統合専用端末の操作履歴(操作ログ)を中間サーバー等で記録しているため、不適切な統合専用端末の操作や、不適切なオンライン連携を抑止する仕組みになっている。(※)番号法別表第2に基づき、事務手続ごとに情報照会者、情報提供者、照会・提供可能な特定個人情報をリスト化したもの。
リスクへの対策は十分か	[十分である]	<選択肢>1)特に力を入れている2)十分である3)課題が残されている
リスク2:安全が保たれない方法によって入手が行われるリスク
リスクに対する措置の内容	情報提供ネットワークシステムに接続する際に支払基金が、以下の措置を講じている。<中間サーバー等における措置>①中間サーバー等は、情報提供ネットワークシステムを使用した特定個人情報の入手のみ実施できるよう設計されるため、安全性が担保されている。②中間サーバー等と情報提供ネットワークシステムとの間は、高度なセキュリティを維持した厚生労働省統合ネットワークを利用することにより、安全性を確保している。③中間サーバー等と医療保険者等の通信は、IPSecによる暗号化された通信経路を使用することで、データ転送時の通信内容秘匿、盗聴防止の対応をしている。
リスクへの対策は十分か	[十分である]	<選択肢>1)特に力を入れている2)十分である3)課題が残されている
リスク3:入手した特定個人情報が不正確であるリスク
リスクに対する措置の内容	情報提供ネットワークシステムに接続する際に支払基金が、以下の措置を講じている。<中間サーバー等における措置>·中間サーバー等は、情報提供ネットワークシステムを使用して、情報提供用個人識別符号により紐付けられた照会対象者に係る特定個人情報を入手するため、正確な照会対象者に係る特定個人情報を入手することが担保されている。
リスクへの対策は十分か	[十分である]	<選択肢>1)特に力を入れている2)十分である3)課題が残されている
リスク4:入手の際に特定個人情報が漏えい・紛失するリスク
リスクに対する措置の内容	情報提供ネットワークシステムに接続する際に支払基金が、以下の措置を講じている。<中間サーバー等における措置>①中間サーバー等は、情報提供ネットワークシステムを使用した特定個人情報の入手のみ実施するため、漏えい・紛失のリスクに対応している(※)。②医療保険者等の基幹システムからの接続に対し認証を行い、許可されていない基幹システムからのアクセスを防止する仕組みを設けている。③情報照会が完了又は中断した情報照会結果については、一定期間経過後に当該結果を自動で削除することにより、特定個人情報が漏えい・紛失するリスクを軽減している。④支払基金の職員が情報照会依頼及び情報照会結果の確認等を行う際、ログイン時の職員認証の他に、統合専用端末の操作履歴(操作ログ)を中間サーバー等で記録しているため、不適切な統合専用端末の操作や、不適切なオンライン連携を抑止する仕組みになっている。⑤中間サーバー等と情報提供ネットワークシステムとの間は、高度なセキュリティを維持した厚生労働省統合ネットワークを利用することにより、漏えい・紛失のリスクに対応している。⑥中間サーバー等と医療保険者等の通信は、IPSecによる暗号化された通信経路を使用することで、データ転送時の通信内容秘匿、盗聴防止の対応をしている。
リスクへの対策は十分か	[十分である]	<選択肢>1)特に力を入れている2)十分である3)課題が残されている
リスク5: 不正な提供が行われるリスク
リスクに対する措置の内容	情報提供ネットワークシステムに接続する際に支払基金が、以下の措置を講じている。<中間サーバー等における措置>①情報提供ネットワークシステムにおける照会許可用照合リストを情報提供ネットワークシステムから入手し、中間サーバー等にも格納して、照会許可用照合リストに基づき情報連携が認められた特定個人情報の提供の要求であるかチェックを実施している。②情報提供ネットワークシステムに情報提供を行う際には、情報提供ネットワークシステムから情報提供許可証と情報照会者へたどり着くための経路情報を受領し、照会内容に対応した情報を自動で生成して送付することで、特定個人情報が不正に提供されるリスクに対応している。③特に慎重な対応が求められる情報については自動応答を行わないように自動応答不可フラグを設定し、特定個人情報の提供を行う際に、送信内容を改めて確認し、提供を行うことで、センシティブな特定個人情報が不正に提供されるリスクに対応している。④支払基金の職員が統合専用端末を利用して情報照会依頼及び情報照会結果の確認等を行う際、ログイン時の職員認証の他に、統合専用端末の操作履歴(操作ログ)を中間サーバー等で記録しているため、不適切な統合専用端末の操作や、不適切なオンライン連携を抑止する仕組みになっている。
リスクへの対策は十分か	[十分である]	<選択肢>1) 特に力を入れている2) 十分である3) 課題が残されている
リスク6: 不適切な方法で提供されるリスク
リスクに対する措置の内容	情報提供ネットワークシステムに接続する際に支払基金が、以下の措置を講じている。<中間サーバー等における措置>①情報提供ネットワークシステムに送信する情報は、情報照会者から受領した暗号化鍵で暗号化を適切に実施した上で提供を行う仕組みになっている。②支払基金の職員が統合専用端末を利用して情報照会依頼及び情報照会結果の確認等を行う際、ログイン時の職員認証の他に、統合専用端末の操作履歴(操作ログ)を中間サーバー等で記録しているため、不適切な統合専用端末の操作や、不適切なオンライン連携を抑止する仕組みになっている。③中間サーバー等と情報提供ネットワークシステムとの間は、高度なセキュリティを維持した厚生労働省統合ネットワークを利用することにより、不適切な方法で提供されるリスクに対応している。④中間サーバー等と医療保険者等の通信は、IPSecによる暗号化された通信経路を使用することで、データ転送時の通信内容秘匿、盗聴防止の対応をしている。
リスクへの対策は十分か	[十分である]	<選択肢>1) 特に力を入れている2) 十分である3) 課題が残されている
リスク7: 誤った情報を提供してしまうリスク、誤った相手に提供してしまうリスク
リスクに対する措置の内容	情報提供ネットワークシステムに接続する際に支払基金が、以下の措置を講じている。<中間サーバー等における措置>①情報提供ネットワークシステムに情報提供を行う際には、情報提供許可証と情報照会者への経路情報を受領した上で、情報照会内容に対応した情報提供をすることで、誤った相手に特定個人情報が提供されるリスクに対応している。②データの形式チェックと、統合専用端末の画面表示等により情報提供データベースの内容を確認できる手段を準備することで、誤った特定個人情報を提供してしまうリスクに対応している。③統合専用端末において、情報提供データベースの副本データを基幹システムの原本と照合するためのエクスポートデータを出力する機能は、該当する医療保険者等のみが利用できるように限している。
リスクへの対策は十分か	[十分である]	<選択肢>1) 特に力を入れている2) 十分である3) 課題が残されている
情報提供ネットワークシステムとの接続に伴うその他のリスク及びそのリスクに対する措置
<統合専用端末と基幹システムとの間の情報授受に係るリスク対策>·統合専用端末と基幹システムとの間の情報授受に係る業務を行う職員を必要最小限に限定し、そのユーザIDとアクセス権限が付与された者以外が情報授受に係る業務ができないようシステム的に制御する。·情報授受でUSBメモリへの複製を行う場合、不必要な複製を制限するため事前にデータ保護担当者の承認を得る。·情報授受に用いるUSBメモリが使用できる基幹システムの専用端末を限定し、それ以外の基幹システムの専用端末では使用できないようシステム的に制御する。·USBメモリを使用する場合はパスワード認証機能付きの媒体とし、データ保護担当者がパスワード設定した媒体以外は基幹システムの専用端末及び統合専用端末で使用できないようシステム的に制御する。·基幹システムの専用端末及び統合専用端末の操作ログを記録し、データ保護担当者が定期的に又はセキュリティ上の問題が発生した際に、USBメモリへの不必要な複製をチェックする。·統合専用端末は中間サーバー等以外とは接続せず、他の業務に兼用できないよう他のネットワークやシステムと分離する。·統合専用端末の使用後、ハードディスク等内の特定個人情報データは全て削除する。·USBメモリに一時的に保存した個人情報は、使用の都度、速やかにデータを消去する。
情報提供ネットワークシステムに接続する際に支払基金が、以下の措置を講じている。

<中間サーバー等における措置>

①支払基金の職員が統合専用端末を利用して情報照会依頼及び情報照会結果の確認等を行う際、ログイン時の職員認証の他に、統合専用端末の操作履歴(操作ログ)を中間サーバー等で記録しているため、不適切な統合専用端末の操作や、不適切なオンライン連携を抑止する仕組みになっている。

②情報連携においてのみ、情報提供用個人識別符号を用いることが中間サーバー等にて担保されており、不正な名寄せが行われるリスクに対応している。

③中間サーバー等と情報提供ネットワークシステムとの間は、高度なセキュリティを維持した厚生労働省統合ネットワークを利用することにより、安全性を確保している。

④中間サーバー等と医療保険者等の通信は、IPSecによる暗号化された通信経路を使用することで、データ転送時の通信内容秘匿、盗聴防止の対応をしている。

⑤中間サーバー等では、特定個人情報を管理するデータベースを医療保険者等ごとに区分管理（アクセス制御）しており、中間サーバー等を利用する医療保険者等であっても他の医療保険者等が管理する情報には一切アクセスできない。
7.特定個人情報の保管・消去
リスク1:特定個人情報の漏えい・滅失・毀損リスク
①NISC政府機関統一基準群	[	政府機関ではない	]	<選択肢>1)特に力を入れて遵守している2)十分に遵守している3)十分に遵守していない4)政府機関ではない
②安全管理体制	[	十分に整備している	]	<選択肢>1)特に力を入れて整備している2)十分に整備している3)十分に整備していない
③安全管理規程	[	十分に整備している	]	<選択肢>1)特に力を入れて整備している2)十分に整備している3)十分に整備していない
④安全管理体制・規程の職員への周知	[	十分に周知している	]	<選択肢>1)特に力を入れて周知している2)十分に周知している3)十分に周知していない
⑤物理的対策	[	十分に行っている	]	<選択肢>1)特に力を入れて行っている2)十分に行っている3)十分に行っていない
具体的な対策の内容	<セキュリティ管理区域(特定個人情報を取り扱う事務を実施する区画)における措置>·IDカードによる立入の制限、入退室記録管理·カメラ、携帯電話等の記録媒体の持ち込みの禁止·消火設備、煙感知器等の設置·基幹システムの専用端末をインターネット等外部ネットワークと隔離等により、リスクを回避する。
<データセンターのサーバ室における措置>·IDカードによる立入の制限、入退室記録管理·無停電電源装置(UPS)の付設等により、リスクを回避する。
<組合事務所の保管庫における措置>·IDカードによる立入の制限、入退室記録管理等により、リスクを回避する。
<中間サーバー等を支払基金のデータセンターに設置し、設置場所への入退室記録管理、監視カメラによる監視及び施錠管理をすることでリスクを回避する。
⑥技術的対策	[	十分に行っている	]	<選択肢>1)特に力を入れて行っている2)十分に行っている3)十分に行っていない
具体的な対策の内容	<基幹システムにおける措置>·不正アクセス防止のため、ファイアウォールの設置·ウイルス対策ソフトの導入、パターンファイルの随時更新·オペレーティングシステム等のパッチの随時適用·ファイルのバックアップ及び統合専用端末との情報授受については、操作を行う基幹システムの専用端末を限定し、アクセス権限を付与された最小限の職員だけが当該端末を操作できるようアクセス制御する。それ以外の基幹システムの専用端末においては、特定個人情報ファイルについて端末への保存や電子記録媒体等への書込み及び読出し等ができないようラステムに制御する。·基幹システムの専用端末は、他の情報系端末等に兼用しない·基幹システムの専用端末をインターネット等外部ネットワークに接続できないようラステムの制御する。·データセンターとの情報授受において、通信内容の秘匿、盗聴防止の措置を講じた回線を利用等により、リスクを回避する。
<取りまとめ機関が定める当組合の運用における措置>·統合専用端末はインターネットに接続できないようラステムの制御する。·統合専用端末は中間サーバー等以外の情報系端末等に兼用できないようラステムの制御する。·<中間サーバー等における措置>①中間サーバー等における保有する特定個人情報が、インターネットに流出することを防止するため、中間サーバー等はインターネットには接続できないようラステム面の措置を講じている。②中間サーバー等ではUTM(コンピュータラウルスやハッキングなどの脅威からネットワークを効率的かつ包括的に保護する装置)等を導入し、アクセス制限、侵入検知及び侵入防止を行うとともに、ログの解析を行う。③中間サーバー等では、ウイルス対策ソフトを導入し、パターンファイルの更新を行う。④導入しているOS及びミドルウェアについて、必要なセキュリティパッチの適用を行う。⑤中間サーバー等と当組合の通信は、IPSecによる暗号化された通信経路を使用することで、データ転送時の通信内容秘匿、盗聴防止の対応をしている。
⑦バックアップ	[	十分に行っている	]	<選択肢>1)特に力を入れて行っている2)十分に行っている3)十分に行っていない
⑧事故発生時手順の策定・周知	[十分に行っている]	<選択肢>1) 特に力を入れて行っている2) 十分に行っている3) 十分に行っていない
⑨過去3年以内に、評価実施機関において、個人情報に関する重大事故が発生したか	[発生なし]	<選択肢>1) 発生あり2) 発生なし
その内容
再発防止策の内容
⑩死者の個人番号	[保管している]	<選択肢>1) 保管している2) 保管していない
具体的な保管方法	死亡喪失後、保管期間内の加入者情報は、生存する加入者と同様の安全管理措置を講じて保管する。
その他の措置の内容	なし
リスクへの対策は十分か	[十分である]	<選択肢>1) 特に力を入れている2) 十分である3) 课题が残されている
リスク2:特定個人情報が古い情報のまま保管され続けるリスク
リスクに対する措置の内容	<基幹システムにおける措置>
•被扶養者については年1回、現況確認により情報の更新を実施する。
•当組合の機関誌、Webページ等で加入者や事業所に異動・変更の届出の周知を図る。
<取りまとめ機関が定める当組合の運用における措置>
•加入者の資格情報等の新規登録又は情報の更新があった際は、速やかに中間サーバー等の委託区画又は副本区画の情報を登録・更新する。
リスクへの対策は十分か	[十分である]	<選択肢>
1) 特に力を入れている
2) 十分である
3) 課題が残されている
リスク3:特定個人情報が消去されずいつまでも存在するリスク
消去手順	[定めている]	<選択肢>
1) 定めている
手順の内容	<基幹システムにおける措置>
•喪失日から保管期間が経過した加入者を定期的に基幹システムで検出し、消去機能を使って個人番号を消去する。
<取りまとめ機関が定める当組合の運用における措置>
•資格審査時に中間サーバー等の運用支援環境(委託区画)に特定個人情報を登録する。資格審査の結果、資格を得られない場合には、運用支援環境(委託区画)に登録した特定個人情報を消去する。
•特定個人情報の保管期間を超えた加入者について、中間サーバー等委託区画に登録されている資格情報を削除する。
•また、バッチ処理を起動することで副本区画に登録されている副本情報を削除する。
その他の措置の内容	なし
リスクへの対策は十分か	[十分である]	<選択肢>
1) 特に力を入れている
2) 十分である
3) 課題が残されている
特定個人情報の保管・消去におけるその他のリスク及びそのリスクに対する措置
【運用上のルールによる措置】
•プリンタ、FAX等の出力用紙の放置禁止の徹底
•不要となった特定個人情報記載の用紙のシュレッダーの実施
•溶解処分業者による保存満了分文書廃棄の実施(処分方法や証明書発行等の委託契約条件の見直しによる確実な廃棄の実施)
•書類又は電子記録媒体の搬送時の所在追跡可能な手段の実施
•執務用デスク周辺の整理整頓及び退社時の施錠の実施
•離席時のスクリーンセーバー又はシャットダウン
•リース機器返却時、HDD内の特定個人情報が復元不可能な形態での消去の実施
•機器の廃棄時、HDDやメモリーの破壊の実施(業者に廃棄を委託した場合は確実に削除又は廃棄したことを証明書等により確認)
•メディア媒体専用シュレッダーの導入による使用済み電子記録媒体の廃棄の実施
•電子記録媒体からデータを読み込む前に必ずウイルスチェックを行う
【特定個人情報の漏えい事案等が発生した場合の対応】
平成27年9月28日特定個人情報保護委員会告示(平成27年12月25日改正)「特定個人情報の漏えい事案等が発生した場合の対応について」に基づき、次の対応を行う。
(1)事業所内の責任ある立場の者に直ちに報告するとともに、被害の拡大を防止する。
(2)事実関係を調査し、番号法違反又は番号法違反のおそれが把握できた場合には、その原因究明を行う。
(3)上記(2)で把握した事実関係による影響の範囲を特定する。
(4)上記(2)で究明した原因を踏まえ、再発防止策を検討し、速やかに実施する。
(5)事業の内容に応じて、二次被害の防止、類似事案の発生回避等の観点から、事実関係等について、速やかに本人に連絡又は本人が容易に知り得る状態に置く。また、事実関係及び再発防止策等について、速やかに公表する。
(6)厚生労働大臣が定めるガイドライン等の規定による報告先に速やかに報告する。
また、重大事態など指定のある事案については個人情報保護委員会に報告する。
Ⅳ その他のリスク対策 ※

1. 監査
①自己点検	[十分に行っている] <選択肢>1) 特に力を入れて行っている 2) 十分に行っている3) 十分に行っていない
具体的なチェック方法	·定期的に、評価書記載事項や個人情報保護管理規程に基づいて特定個人情報の取扱い及び業務運用が行われているか、チェックリストを作って各担当部署内で点検し報告する。·点検の結果、問題や不備が明らかになったときは、速やかに究明に当たり、是正措置をする。
②監査	[十分に行っている] <選択肢>1) 特に力を入れて行っている 2) 十分に行っている3) 十分に行っていない
具体的な内容	<内部監査>情報セキュリティ基本方針に基づき、定期的に監査責任者が特定個人情報の取扱いや運用実態を次の観点から監査する。·評価書記載事項及び個人情報保護管理規程の遵守·特定個人情報保護に関する体制、人的安全管理措置の実施内容·特定個人情報保護、安全管理措置の周知、教育の実施内容·特定個人情報保護に関する物理的、技術的安全管理措置の実施内容·インシデントの発生状況、再発防止策の実施内容<外部監査>当組合とは独立した外部法人(プライバシーマーク指定審査機関)によって特定個人情報の取扱いや運用実態の監査を受ける。<取りまとめ機関が定める当組合の運用における措置>当組合は、運用管理規程に基づき、基幹システム及び当組合の運用における安全管理措置について、定期的に監査を行うこととしている。<監査結果の反映>監査の結果、問題や不備が明らかになったときは、速やかに問題究明に当たり、是正措置をする。また、これを次回の特定個人情報保護評価におけるリスク評価の参考とする。
2. 従業者に対する教育·啓発
従業者に対する教育·啓発	[十分に行っている] <選択肢>1) 特に力を入れて行っている 2) 十分に行っている3) 十分に行っていない
具体的な方法	【当組合における教育·啓発】·職員等の採用·就任時に、個人情報保護管理規程及び取扱要領等の教育を行う。·最低每年2回、役職員全員に特定個人情報取扱いの教育を行う。·教育実施後、理解度の把握や啓発を図るため、テストやレポート提出を行う。·事故が発生した場合、その原因、影響、再発防止策などを役職員全員に周知する。·QC活動などを通じて、リスク回避の方策や改善案等を職員に考えさせ提案させる。·適当な外部機関の教育、研修プログラムに交代で参加させる。·他の組合等のリスク対策やルールについて意見交換等ができる交流の機会を設ける。·派遣職員については、契約時の派遣先による当組合の契約における特定個人情報の取扱いの周知徹底を行い、当組合に在職中は職員と同等に上記のような教育·啓発に参加させて教育する。【取りまとめ機関が定める当組合の教育における措置】·中間サーバー等の統合専用端末における操作について、厚生労働省が職員に対して、統合専用端末導入前に研修を行う。【違反行為の措置】·違反行為が組合内外に与える影響の重大性に応じて、戒告、減給、停職、解雇等の処分を行う。·違反行為による損害賠償を請求することがある。·これらの措置、処分について就業規則に定め、周知する。
3. その他のリスク対策
なし
V 開示請求、問合せ

1.特定個人情報の開示・訂正・利用停止請求
①請求先	関東ITソフトウェア健康保険組合 企画部企画課 東京都新宿区百人町2-27-6 tel:03-5925-5307
②請求方法	当組合所定の様式による書面で、特定個人情報の開示・訂正・利用停止請求を受け付ける。・様式1 個人情報開示等請求書
特記事項	当組合の機関誌、Webページ等に、請求先等について掲載する。
③手数料等	[ 無料 ] <選択肢>1) 有料 2) 無料(手数料額、納付方法:
④個人情報ファイル簿の公表	[ 行っていない ] <選択肢>1) 行っている 2) 行っていない
個人情報ファイル名
公表場所
⑤法令による特別の手続	なし
⑥個人情報ファイル簿への不記載等	なし
2.特定個人情報ファイルの取扱いに関する問合せ
①連絡先	関東ITソフトウェア健康保険組合 企画部企画課 東京都新宿区百人町2-27-6 tel:03-5925-5307
②対応方法	・問合せ受付時に受付票を起票し、問合せ内容及び対応方法、経過等について記録を残す。・重要度や緊急度のランク付けを行い、対応する担当者や回答期限を設定する。・情報漏えい等の重大な事案に関する問い合わせは、理事長へ報告の上、対応を決定する。
VI 評価実施手続

1. 基礎項目評価
①実施日	平成28年8月24日
②しきい値判断結果	[基礎項目評価及び全項目評価の実施が義務付けられる]
<選択肢>1)基礎項目評価及び全項目評価の実施が義務付けられる2)基礎項目評価及び重点項目評価の実施が義務付けられる(任意に全項目評価を実施)3)基礎項目評価の実施が義務付けられる(任意に全項目評価を実施)4)特定個人情報保護評価の実施が義務付けられない(任意に全項目評価を実施)
2. 国民・住民等からの意見の聴取
①方法	当組合Webページに掲載し、パブリックコメントによる意見聴取を実施した。
②実施日・期間	平成28年7月15日～平成28年8月13日(30日間)
③期間を短縮する特段の理由	期間短縮はなし。
④主な意見の内容	意見なし。
⑤評価書への反映	意見なし。
3. 第三者点検
①実施日	—
②方法	—
③結果	—
4. 個人情報保護委員会の承認【行政機関等のみ】
①提出日	平成28年8月24日
②個人情報保護委員会による審査