特定個人情報保護評価

法的根拠

特定個人情報の管理の適正確保という基本理念を具体化するため、特定個人情報保護評価の法的根拠は、番号法第26条及び第27条に定められている［5］。また、番号法36条では、内閣府の外局の委員会として特定個人情報保護委員会を設置するとし、番号法57条では、特定個人情報保護委員会が「特定個人情報保護委員会規則を制定することができる」旨を定めている［6］。
特定個人情報は個人番号を含むため、個人番号を検索キーとした不正な個人情報の照合等を行われる恐れがあり、その適正な扱いを確保する必要性が特に大きいと考えられている。そこで、番号法では、特定個人情報保護評価制度の導入を定めている。
番号法第26条では、特定個人情報保護委員会が、特定個人情報の漏えい、その他事態の発生を抑止し、特定個人情報を適切に管理するための措置を定めた指針を作成、公表することとしている。また、個人情報保護に関する技術の進歩や国際的な動向を踏まえ3年ごとに指針を再検討し、必要な見直しを行うことを定めている［1］。
1項では、特定個人情報保護評価制度を導入するに当たって、統一的な基準を設け、各実施者によって評価の深度にばらつきを設けず、統一的・効率的・実効的な評価制度とするために、特定個人情報保護委員会が特定個人情報保護評価指針を作成及び公表することとしている［6］。
2項では、プライバシーは、社会の変容により 変化し得る概念であり、また、プライバシーを保護するための技術も日進月歩で進化することが予想され、プライバシー保護のための技術が向上すれば、プライバシーへの影響を抑止するための措置も大きく変わることが予想される。また、特定個人情報保護委員会が情報保護評価を実施していくに当たって、諸外国のプライバシー影響評価を踏まえ、国際的レベルの評価を行っていくことで、日本の政府や企業における個人情報保護について国際的信頼を獲得することができるものと考えられる。このようなことから、情報保護評価の制度の重要な基礎となる情報保護評価のための指針について、必要な見直しを行うこととするものである［6］。
番号法27条では、特定個人情報を取り扱う前に個人の権利利益に与える影響を評価し、その影響を軽減する措置をあらかじめ講ずるために特定個人保護評価の実施について規定している。評価実施対象者としての行政機関の長、地方公共団体の機関等は、その公的性格に鑑み、プライバシー保護の取組について各実施機関自ら宣言し、国民の信頼を確保することが求められている［1］。

しきい値判断

しきい値判断では、特定個人情報の取り扱い状況に応じて、評価の実施要否および評価が必要な事務においては、以降の評価の重み付け（「基礎項目評価」「重点項目評価」「全項目評価」）を定義する。

実施後の手続き

特定個人情報ファイルの取扱いに重要な変更を加えようとするとき、または、特定個人情報に関する重大事故の発生等によりしきい値判断の結果が変わり新たに重点項目評価又は全項目評価を実施するものと判断されたときは、特定個人保護評価を再実施。
少なくとも１年に１回は評価書の見直しを行うよう努め、その他の変更が生じたときは、評価書を修正。一定期間（５年）経過前に特定個人情報保護評価を再実施するよう努める［4］。

特定個人情報保護委員会

特定個人情報保護委員会は、番号法において、内閣府の外局の委員会として設置された第三者機関である（36条〜57条）。
全項目評価の承認に際し、適合性および妥当性の2つの観点の審査を行う。適合性は、適切な実施主体による実施、適切な時期、項目記載などが合法的か確認し、妥当性は、事務の内容の具体性、リスクの特定、リスクへの対策が技術的に適正か確認する。
委員会は、全項目評価の審査の結果、必要と認めるときに指導助言、勧告・命令等を行い、報告書の再提出、是正を求める。

第三者点検組織

第三者点検を実施するにあたり、地方公共団体等は点検委員会を組織する必要がある。指針では、原則として地方公共団体等が条例に基づき設置した個人情報保護審議会又は個人情報保護審査会が第三者点検を実施することとされているが、前述の専門性を有する者がいない等、審議会等による点検が困難な場合は、審議会等に外部の専門家を追加する、又は外部の専門家で構成する点検委員会を組織するなどして専門性を確保する。指針への適合性や評価内容の妥当性を担保しうる専門性や、評価対象事務やシステムに関する利害関係に対し中立性を確保できるかという観点から、点検委員会の組織形態を決定する［1］［7］。

プライバシー影響評価と特定個人情報保護評価の相違点

特定個人情報保護評価について、特定個人情報保護指針では、「特定個人情報保護評価は、諸外国で採用されているプライバシー影響評価（Privacy impact Assessment: PIA）に相当するものであり、（中略）、評価実施機関が自らの取組みについて積極的、体系的に検討し、評価することが期待されている。」とされている［7］。そこで以下表にプライバシー影響評価と特定個人情報保護評価の比較を示す。

評価の独立性

プライバシー影響評価における評価主体は、中立性、専門性のある第三者組織を要求される。一方、特定個人情報保護評価は、システム構築運用する組織による自己評価となっている。国の資料によれば、「特定個人情報保護評価の実施主体は評価実施機関であり、特定個人情報保護評価の内容を決定するのは評価実施機関です。」とある［5］。
評価を実施する評価者の能力もプライバシー影響評価の国際基準規格ISO22307では明確に義務付けられているが、特定個人情報保護評価では定められていない。

実施根拠

プライバシー影響評価は、国により実施根拠が異なる。米国や韓国は個別法により規定されている。一方、カナダ、オーストラリアなどの英国連邦の国々は、プライバシーコミッショナー制度のもと、ガイドラインに基づき実施している［1］。
特定個人情報保護評価は、番号法第27条で実施を義務付けられている。

評価対象

プライバシー影響評価は、個人情報を扱うシステムについて実施する［1］。
一方、特定個人情報保護評価は事務に対し実施し、システムではないという記述がある。種々の資料が発行されており記述内容も不明確であるが、事務（運用とシステム）について実施する。一例として、国の資料によれば、「特定個人情報保護評価の対象は、システムやサーバそのものでなく、それらを用いて特定個人情報ファイルを取り扱う事務である。このため、システムやサーバ単独で評価するのではなく、（中略）、事務に対し評価を行う」とある［5］。

実施時期

プライバシー影響評価は、システムを構築改修前に実施し、評価が適正な場合、システム構築が許可される［1］。特定個人情報保護評価も同様にシステム構築前に実施されるが、5年ごとに再評価が義務付けられている［7］。つまり運用に関し評価を実施する。

報告書の承認公開

プライバシー影響評価は、一般的に公的なシステムに対し実施したものはプライバシーコミッショナーなどの内容確認後に公開される。一方、民間の場合は非公開が一般的である。
特定個人情報保護評価の報告書は、公示が法的に義務付けられているが、国の資料によれば、「特定個人情報保護評価の実施主体は評価実施機関であり、特定個人情報保護評価の内容を決定するのは評価実施機関です。第三者点検は、（中略）、具体的な議論の内容は各評価実施機関の判断で委ねられています。」とある［5］。
プライバシー影響評価では、報告書は中立な専門家が、情報セキュリティ監査報告書に準じた書式に則り、簡潔に事実と評価結果をまとめる。
特定個人情報保護評価では、行政機関や地方自治体の職員が、指定された書式、リスク項目に則り記述する。
以上に示すように、評価の対象、評価の主旨などがプライバシー影響評価とかなり異なるものであり、特定個人情報保護評価は、プライバシー影響評価とは別の日本独自の制度と捉える必要がある［1］。