mteb/JaGovFaqsRetrieval huggingface dataset:
個人情報取扱事業者が個人情報を不適切に取り扱う事例等があったときには、個人情報保護委員会は個人情報取扱事業者に対して、①個人情報の取扱いに関する報告の徴収及び立入検査（法第 146 条第１項）、指導及び助言（第 147 条）、②個人情報取扱事業者が一定の義務に違反した場合における、違反行為を是正するための必要な措置に係る勧告（第 148 条第１項）、命令（第 148条第２項又は第３項）を行う場合があります。このとき、個人情報取扱事業者が、①個人情報保護委員会の命令（第 148 条第２項又は第３項）に違反した場合、②個人情報保護委員会からの報告徴収（第 146 条第１項）に対して、報告をせず又は虚偽報告をした場合、立入検査を拒んだ場合には、個人情報取扱事業者に対して、罰則が科せられることになっています（同法第 178 条・第 182条）。
法第 146 条における個人情報保護委員会への報告の対象は、個人情報の取扱いに関する事項ですが、具体的には、報告徴収のきっかけとなった問題次第でその内容は異なります。例えば、必要に応じ、個人情報の取扱いの実態、その管理形態、健保組合内の責任体制、開示等の請求等に応じる手続の仕組み等が求められるものと考えられます。いずれにしても、問題となっている個人情報の取扱いの改善等の検討に必要な範囲でなければなりません。それ以外の事項（例えば、個人情報の取扱いと関係のない当該健保組合の経営状況等）について報告を求めることは、認められていません。
「健康保険組合における個人情報保護の徹底について」により、個人情報に関する処理を複数の業者に委託する場合には、健保組合はそれぞれ直接、委託契約を締結することとされており、直接の契約関係を伴わない個人情報に関する処理の再委託は禁止しています。
①において、システムの保守業者がサービス内容の全部又は一部としてハードディスク内の個人データを取り扱うこととなっている場合には、個人データを提供したこととなります。一方、②において単純なソフトウェア保守サービスのみを行う場合で、契約条項によって当該保守業者が個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等には、個人データの提供には該当しません。
健保組合においては、「個人情報の保護に関する.法律についてのガイドライン（通則編）」（平成 28 年個人情報保護委員会告示第６号）、「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」（平成 28 年個人情報保護委員会告示第７号）、「個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）」（平成 28 年個人情報保護委員会告示第８号）、「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」（平成 28 年個人情報保護委員会告示第９号）、「個人情報の保護に関する法律についてのガイドライン（認定個人情報保護団体編）」（令和３年個人情報保護委員会告示第７号）及びガイダンスに従い、それぞれ必要な措置を講ずることが必要ですが、団体の認証制度を利用することを妨げるものではありません。
情報セキュリティに関して、実際にどの程度の安全管理措置を講ずるかは、保護しようとする個人情報の内容又は性質、利用方法等に照らしてどの程度の必要があるかということとのバランスが重要です。不十分な措置しか講じないことは問題ですが、過剰な措置を講ずる必要もないものと考えられるので、具体的な保護措置については、それぞれの健保組合の業務処理に応じて適切に判断する必要があります。
健保組合において直接審査を行う際の個人情報の取扱いについては、「個人情報保護の徹底について」（平成 14 年 12 月 25 日付保発第 1225003 号厚生労働省保険局長通知）及び「健康保険組合における個人情報保護の徹底について」を参照してください。
病院事業を行う地方独立行政法人は、その全体が個人情報取扱事業者に該当することから（法第2条第11項第4号及び第16条第2項第4号）、当該地方独立行政法人が病院事業に附帯して介護事業やリハビリ事業を行っている場合についても、これらの事業を含む全ての業務について民間規律（開示請求等に関する規律を除く（法第 58条第1項第2号）。）が適用されることとなります。
地方公共団体の機関が行う医療法上の病院の運営業務における個人情報の取扱いについては民間規律（開示請求等に関する規律を除く。以下この項目において同じ。）が適用される（法第58条第2 項第1号）ことから、保健福祉部において行っている病院の運営業務における個人情報の取扱いには、民間規律が適用されることとなります。同部局で行う介護事業については、医療法上の病院の運営業務に当たらない限りにおいて、公的規律が適用されることとなります。（令和4年4月追加）
地方公共団体の機関が行う医療法上の病院の運営業務における個人情報の取扱いについては民間規律（開示請求等に関する規律を除く。以下この項目において同じ。）が適用される（法第58条第2 項第1号）ことから、病院事業が公営企業の形態で行われる場合にも、地方公営企業法（昭和27年法律第292号）上の管理者（同法第7条）の有無に関わらず、民間規律が適用されることとなります。（令和4年4月追加）
地方公共団体の機関が行う医療法上の病院の運営業務における個人情報の取扱いについては民間規律（開示請求等に関する規律を除く（法第58条第2項第1号 ）。以下この項目において同じ。）が適用されることから、1人の管理者が複数の公営企業の管理者となる場合にも、民間規律が適用されるのは病院事業に係る部分のみであり、その他の事業には公的規律が適用されることとなります。（令和4年4月追加）
地方公共団体の機関において、大学の運営その他の法第58条第2項第1号に該当する業務と、それ以外の業務の両方を行っている場合には、法第58条第2項第1号に該当する業務における個人情報の取扱いについては民間規律（開示請求等に関する規律を除く。）が適用され、その他の業務における個人情報の取扱いについては公的規律が適用されることとなります。これは同一の部署において両業務を行っている場合においても同様です。（令和4年4月追加）
地方独立行政法人のうち個人情報取扱事業者に該当するものは、試験研究（地方独立行政法人法第 21 条第１号）を主たる目的とするもの、大学等の設置・管理等（同第 2 号）を目的とするもの、病院事業の経営（同第3号チ）を目的とするものに限定されており、博物館（同第6号、地方独立行政法人法施行令第6条第3号）を運営する地方独立行政法人には公的規律が適用されることとなります。
法第21条第1項の「公表」とは、個人情報を取り扱う主体が、広く一般に個人情報の利用目的に関する自己の意思を知らせること（不特定多数の人々が知ることができるように発表すること）をいい、公表に当たっては、事業の性質及び個人情報の取扱状況に応じ、合理的かつ適切な方法による必要があります。
「土地開発公社」は、法第2条第11項第2号の「地方公共団体の機関」に含まれません。なお、土地開発公社が個人情報データベース等を事業の用に供している場合には、個人情報取扱事業者に当たり（法第16条第2項）、個人情報の取扱いについて法第4章の規定を遵守する必要があります。（令和4年4月追加）
教育委員会が所管する公立学校については、個々の学校自体が法第2条第11項第2号の「地方公共団体の機関」に該当するものではなく、当該学校を所管する教育委員会が、法第2条第11項第2号の「地方公共団体の機関」に該当します。（令和4年4月追加）
死者に関する情報のうち、生存する特定の個人に関する情報であって、当該生存する特定の個人を識別することができる情報は、当該生存する特定の個人を本人とする「個人情報」（法第2条第1 項）に当たります。死者に関する情報が生存する特定の個人を本人とする「個人情報」に該当するか否かは、法の規定に基づき判断する必要があるため、法施行条例にそうした規定を設けることは認められません。一方で、死者に関する情報の取扱いについて、個人情報保護制度とは別の制度として、条例で定めることは妨げられません。（令和4年4月追加）
病院・診療所等の患者に対し直接医療を提供する事業者は法第16条第8項の「学術研究機関等」に該当しませんが、例えば、大学附属病院のように患者に対して直接医療を提供する機関であっても学術研究機関等である大学法人の一部門である場合には、当該大学法人全体として「学術研究」を主たる目的とする機関として、「学術研究機関等」に該当します。
地方公共団体の機関が行う病院の運営の業務については、原則として法第66条第1項の適用はないため、安全管理措置について公的規律の適用があるものではありません（法第125条第1項）。このことは、地方公共団体の機関が病院の運営の業務を指定管理者に行わせる場合においても同様となります。よって、指定管理者が行う病院の運営の業務については、原則として法第66条第2項第2号の適用はありません。なお、この場合であっても、指定管理者は、個人情報取扱事業者に当たる場合には、法第23条に規定する安全管理措置を講じる必要があります。
要配慮個人情報の取得を制限することは、行政機関等において要配慮個人情報の取扱いについて特別の制限を設けていない法の規律に抵触する規律を定めるものであり、個人情報保護やデータ流通について直接影響をあたえる事項に当たります。一方で、法はこのような規律を定めることについて委任規定を置いていません。よって、要配慮個人情報の取得制限を法施行条例で規定することは認められません。
法においては、個人情報の保有は法令（条例を含む。）の定める所掌事務又は業務の遂行に必要な場合に限ることとされており（法第 61 条第 1 項）、また、利用目的の達成に必要な範囲を超えて個人情報を保有してはならないこととされています（同条第 2 項）。不要な保有個人情報の消去に係る規定を法施行条例で設けた場合には、法の規律と実質的に同様の内容を規律することになることから、このような規定を法施行条例で設けることは認められません。（令和 4 年 4 月追加）
法第69条第2項第4号の「本人以外のものに提供することが明らかに本人の利益になるとき」については、本人の生命、身体又は財産を保護するために必要がある場合や、本人に対する金銭の給付又は栄典の授与等のために必要がある場合などがこれに当たります。
同一の地方公共団体の異なる機関間における保有個人情報の提供が行われる場合であって、当該保有個人情報について、法令に基づかずに、かつ、利用目的以外の目的のために提供する場合は、本人又は第三者の権利利益を不当に侵害するおそれがなく、かつ法第69条第2項第3号の要件を満たす必要があります。なお、法第69条第2項第3号の「地方公共団体の機関」には議会が含まれるため（法第2条第11項第2号）、地方公共団体の機関が法令に基づかずに保有個人情報を利用目的以外の目的のために議会に提供する場合も、本人又は第三者の権利利益を不当に侵害するおそれがなく、かつ法第69条第2項第3号の要件を満たす必要があります。（令和4年4月追加）
地方公共団体の機関が行う病院の運営における個人情報の取扱いについては、民間規律（開示請求等に関する規律を除く。）が適用されますが（法第 58 条第 2 項第1 号及び法第 125 条第 1 項）、病院の運営業務を行っていることをもって「地方公共団体の機関」（法第 2 条第 11 項第 2 号）から除かれるものではないため、地方公共団体の同一の機関内における他の部署への個人情報の提供は、ひとつの「地方公共団体の機関」内における利用に当たります。
本人の数が 1,000 人未満の個人情報ファイルについては、個人情報ファイル簿の作成・公表義務の対象外とされていますが（法第 74 条第 2 項第 9 号、第 75 条第 2 項第 1 号及び政令第 20 条第 2 項）、本人の数や個人情報ファイルに含まれる保有個人情報の性質等を踏まえて個人情報ファイル簿を作成・公表することで特定の個人が識別される場合など、法の趣旨に反しない限り、本人の数が政令で定める数未満の個人情報ファイルについて、作成・公表を行うことは妨げられません。
法第78条各号の不開示情報は、保護すべき権利利益に着目して分類したものであり、多様な情報に関し、可能な限り明確かつ実質的な判断により開示されるようにするため、不開示により保護しようとしている情報の類型ごとに定性的な支障の有無等を規律しているものです。そのため、他の法令の規定等により開示することができないとされている場合、通常これらの類型に該当するものと考えられますが、当該情報が法第78条各号のいずれに該当するかを実質的に判断する必要があります。
法第 78 条第 2 号ハは、公務員等の職務の遂行に係る情報のうち当該公務員等の職及び当該職務遂行の内容に係る部分を同号柱書の不開示情報から除外しています。他方、公務員等の職務遂行に係る情報に含まれる当該公務員等の氏名については、開示した場合、当該公務員等の私生活等に影響を及ぼすおそれがあり得ることから、私人の場合と同様に個人情報として保護に値すると位置付けられており、同号柱書の不開示情報から除外されていません。
任意代理人による請求の場合は、法定代理人による請求の場合と異なり本人から委任を受けていることが要件となります。そのため、なりすまし等による開示等請求制度の悪用を防止する観点から、任意代理人の資格を確認することは重要であり、必要に応じて本人に対して確認書を送付し、その返信をもって本人の意思を確認することは妨げられません。また、法第 108 条に規定する開示の手続に関する事項としてこれを認める法施行条例の規定を設けることも妨げられません。（令和 4 年 4 月更新）
法第76条第2項に基づく未成年者の法定代理人による開示請求において、一律に婚姻中の父母の連名での請求を求めることは、当該未成年者や父母の置かれた状況によっては、開示請求権について法に定めの無い制限を課すものであり、許容されません。その上で、個別の事情に照らして、例えば、当該未成年者とその法定代理人として開
示請求を行った親権者との間において利益相反が疑われる場合、その利益相反防止の観点から、法第78条第1項第1号の該当性の判断に当たり当該親権者以外の者に対する照会等を行うことは許容されます。（令和4年4月更新）
情報公開条例では開示されることとされている情報が、法第78条第1項各号で不開示情報として規定されている場合、当該情報を条例で規定することにより、不開示情報から除くことが可能です。また、情報公開条例では開示しないこととされている情報が、法第78条第1項各号において不開示情報として規定されていない場合も、行政機関の保有する情報の公開に関する法律（平成11年法律第42号。以下「情報公開法」という。）上の不開示情報に準ずる情報については、当該情報を条例で規定することにより、不開示情報に追加することが可能です（いずれも法第78条第2項）。
法人等を代表する者が職務として行う行為等の当該法人等の行為そのものと評価される行為に関する情報については、法第 78 条 1 項第 2 号の不開示情報には該当しないと考えられます。なお、当該情報について、同項第 3 号の不開示情報に該当する場合があることに留意する必要があります。
法第78条第1項各号の不開示情報は、保護すべき権利利益に着目して分類したものであり、多様な情報に関し、可能な限り明確かつ実質的な判断により開示されるようにするため、不開示により保護しようとしている情報の類型ごとに定性的な支障の有無等を規律しているものです。そのため、他の法令の規定等により開示することができないとされている場合、通常これらの類型に該当するものと考えられますが、当該情報が法第78条第1項各号のいずれに該当するかを実質的に判断する必要があります。
法第 78 条第 1 項第 2 号ハは、公務員等の職務の遂行に係る情報のうち当該公務員等の職及び当該職務遂行の内容に係る部分を同号柱書の不開示情報から除外しています。他方、公務員等の職務遂行に係る情報に含まれる当該公務員等の氏名については、開示した場合、当該公務員等の私生活等に影響を及ぼすおそれがあり得ることから、私人の場合と同様に個人情報として保護に値すると位置付けられており、同号柱書の不開示情報から除外されていません。
開示請求の対象は、行政文書等に記録されている「保有個人情報」です。そ
のため、開示請求の対象の特定は、行政文書等に記録されている「保有個人情報」単位で行うものであり、必ずしも「行政文書等」単位とはなりません。「保有個人情報」に該当する範囲については、行政文書等の性質や記録されている情報の内容等に応じて個別具体的に判断する必要があります。
法第79条第1項の「容易に区分して除くことができるとき」とは、当該保有個人情報のどの部分が不開示情報に該当するかという区分けが困難な場合及び区分けは容易であるがその部分の分離が技術的に困難な場合について、部分開示の義務がないことを明らかにしたものです。
法は、他の法令（条例を含む。）の規定による開示の方法が法第 87 条第 1 項本文の開示の方法と同一である場合に限って、法に基づく開示として当該同一の方法による開示をしないこととしています（法第 88 条第 1 項）。そのため、他の法令に基づき紙で写しを交付している場合であっても、電磁的記録の開示について行政機関等が定める方法（法第 87 条第 1 項）による開示を求められたときは、「同一の方法で開示することとされている場合」には当たらないことから、不開示情報に該当するなどの別の理由がない限り、法に基づき電磁的記録について行政機関等が定める方法による開示を実施する必要があります。
法第108条は、開示の手続に関する事項について、法第5章第4節の規定に反しない限り、条例で必要な規定を定めることができることとしているところ、開示決定等の期限については開示の手続に関する事項に含まれるため、法施行条例で 30日以内の任意の期間とすることは認められます。また、法第83条第2項の延長可能な期間についても、30日以内の任意の期間とすることは認められます。
期間計算の方法については、民法（明治 29 年法律第 89 号）第 140 条の規定に基づき、「開示請求があった日」の翌日から起算し、同法第 142 条の規定により、その期間の末日が行政機関等の休日に当たる場合は、その翌日をもって期間が満了することになるところ、これと異なる方法を法施行条例で規定することはできません。（令和 4 年 4 月追加）
情報通信技術を活用した行政の推進等に関する法律（平成 14 年法律第 151号）第 6 条第 3 項において、オンラインによる申請等は、当該申請等を受ける行政機関等
の使用に係る電子計算機に備えられたファイルへの記録がされた時に当該行政機関等に到達したものとみなすとされています。年末年始等の長期閉庁日の直前に開示請求がなされた場合であっても、オンラインで申請がなされた場合における「請求があった日」は、行政機関等の汎用受付等システムに備えられたファイルへの記録が完了した日となり、当該長期閉庁日期間も含めて開示決定までの期限は計算されます。その上で、開示期限までの開庁日において、事務処理上の困難その他正当な理由がある場合には、開示期限の延長を行うことも考えられます。（令和 4 年 4 月追加）
地方公共団体における開示請求に係る手数料は、「実費の範囲内において条例で定める額」とされており（法第 89 条第 2 項）、その額を定めるに当たっては、できる限り利用しやすい額とするよう配慮しなければならないとされています（法第 89 条第 3項）。
コピー代や記録媒体の費用等の実費について、開示請求の手数料とは別に徴収することは可能です。なお、法第 89 条第 2 項の規定により、地方公共団体の機関における開示請求の手数料は実費の範囲内において条例で定める額とされているところ、実費相当額を重複して徴収することがないよう留意する必要があります。（令和 4 年 4 月追加）
法法第 90 条第 1 項は、何人も、自己を本人とする保有個人情報の内容が事実でないと思料するときは、当該保有個人情報の訂正を請求することができることとしているところ、請求者が訂正請求に係る保有個人情報の内容を事実でないと考える根拠を示すことを超えて、当該請求の内容が事実に合致することを証明する資料を提出又は提示しなければならないこととすることは、当該請求者に対して一方的に当該請求の内容が事実に合致することの立証責任を課すこととなり、例えば、当該資料を行政機関等のみが保有している場合などにおいて、訂正請求ができる場合を実質的に制限するものであると考えられます。そのため、訂正請求を行う者に対して、当該資料の提出又は提示を求めることはできません。また、法第 108 条は、訂正の手続に関する事項について、法第 5 章第 4 節の規定に反しない限り、条例で必要な規定を定めることができることとしていますが、訂正請求を行う者に対して、当該請求の内容が事実に合致することを証明する資料の提出又は提示を求めることは、訂正請求ができる場合を実質的に制限するものであるため、訂正の手続に関する事項であるとはいえず、これを認める法施行条例の規定を設けることはできません。
法は、対象となる保有個人情報の範囲を明確にし、訂正請求及び利用停止請求の制度の安定的運用を図るため、これらの制度について開示を受けた保有個人情報を対象としています。他方、法第 108 条は、訂正及び利用停止の手続に関する事項について、法第 5 章第 4 節の規定に反しない限り、条例で必要な規定を定めることができることとしているところ、開示を受けていない保有個人情報について訂正請求及び利用停止請求の対象とすることは、これらの請求の前提となる手続に関するものであり、訂正及び利用停止の手続に関する事項に含まれるため、訂正請求や利用停止請求の制度の運用に支障が生じない限りにおいて、そのような法施行条例を規定することは妨げられません。（令和 4 年 4 月更新）
法第 108 条は、訂正の手続に関する事項について、法第 5 章第 4 節の規定に反しない限り、条例で必要な規定を定めることができることとしているところ、訂正決定等を行うべき期間に上限を設け、又は期間の延長に訂正請求者の同意を要することとすることは、訂正の手続に関する事項に含まれるため、そのような法施行条例を規定することは妨げられません。（令和 4 年 4 月更新）
法行政機関の長等は、法第 70 条に規定する場合において必要があると認めるときは、保有個人情報の提供先に対して、個人情報の適切な管理のために必要な措置を講ずることを求めることができるところ、当該措置の一環として、提供先に対して訂正に応ずべき旨を求めることも考えられます。もっとも、地方公共団体の内部管理に関する事項として提供先に対して必要な措置を講じる旨を法施行条例で規定することは妨げられませんが、提供先に対して訂正義務を課すなど、当該団体の内部管理にとどまらない事項については、法施行条例で規定することはできません。（令和 4 年 4 月更新）
法第 115 条の規定に基づき、法第 114 条第 2 項の規定による通知を受けた者が、行政機関の長等との間で締結する行政機関等匿名加工情報の利用に関する契約は私法上の契約であり、地方公共団体の機関が契約を締結する場合、当該契約行為は法人たる地方公共団体の行為を代表しているものです。（令和 4 年 4 月更新）
法第114条第1項各号に定める基準については、委員会においてその解釈を示すものですが、同項第4号の「事業が新たな産業の創出又は活力ある経済社会若しくは豊かな国民生活の実現に資するものであること」についての審査に当たり参照する基準の策定のために、必要な専門的知見を有する有識者に対して意見聴取を行うことは妨げられるものではなく、法第 129 条の規定により、法施行条例に定めを置いて、当該基準について専門的知見を有する委員で構成される審議会等に対して諮問することも妨げられません。
地方公共団体においては、行政機関等匿名加工情報の手数料について政令第31条第4項に規定する額を標準額として条例で定める必要があるところ、同項に規定する標準額と異なるものを定める場合には、地方公共団体の特殊事情や実費の相違等の合理的な理由が必要となることに留意が必要です。（令和4年4月更新）
法第69条第2項第2号及び第3号に規定する「相当の理由があるとき」に如何なる事例が該当するか否かについては、これらの条項の法解釈に関する事項であり、法第129条に規定する「個人情報の適正な取扱いを確保するため専門的な知見に基づく意見を聴くことが特に必要であると認める場合」には該当しません。
法第129条は審議会等に対して地方公共団体の機関が行う諮問について規定するものであり、地方公共団体が附属機関等として設置する審議会等が自発的に行う調査、審議又は意見陳述を妨げるものではありません。ただし、地方公共団体が調査等を受けることを事実上の要件としたり、審議会の意見を尊重することを義務として定めるような法施行条例の規定を設けることはできない点に留意する必要があります。（令和4年4月更新）
法第129条の規定に基づく審議会等への諮問については、「個人情報の適正な取扱いを確保するため専門的な知見に基づく意見を聴くことが特に必要であると認めるとき」に行うことができることとされており、諮問事項についての専門的な知見を有さない住民代表のみで構成された審議会等に対して諮問を行うことは、本条の規定の趣旨に反し、認められません。一方で、地方公共団体が審議会等の場を活用して、専門的な意見に対する住民の反応を確認する趣旨で住民代表からの意見を聞くこと自体は妨げられるものではなく、このような趣旨で専門的知見を有する構成員と住民代表たる構成員により審議会等を構成することも妨げられません。（令和4年4月更新）
「審議会その他の合議制の機関」とは、地方公共団体が条例で定めるところにより、執行機関の附属機関として設置する機関（地方自治法（昭和 22年法律第 67号）第138条の 4 第 3 項）であり、具体的には、令和3年改正法の全面施行前の条例に基づき、各地方公共団体で個人情報保護制度について諮問を受けている個人情報保護審議会等の機関を想定しています。また、審査請求の審査を行う個人情報保護審査会が当該機関の役割を担うことも想定されます。（令和4年4月更新）
法は、地方公共団体に対して個人情報を取り扱う事業者に対する行政処分を行う権限を付与しておらず、事業者に対して強制力を伴う形で事実確認や是正勧告を行うことはできません。地方公共団体独自の措置として、任意の協力を求める形で事業者に対して事実確認及び是正勧告を行うことは妨げられませんが、その場合でも事業者に対する是正勧告を行うに当たっては、委員会が示すガイドライン等を十分に参照した上で対応することが求められます。また、事業者に対して委員会の相談窓口を案内することも考えられます。（令和4年4月更新）
令和3年改正法の全面施行後においては、地方公共団体の機関について法及び行政手続における特定の個人を識別するための番号の利用等に関する法律（平成25年法律第27号。以下「番号法」という。）により読み替えられて適用される法が直接適用されることになるため、令和3年改正法の全面施行前の条例の規定のうち法の規定と重複する部分及び番号法により読み替えて適用される法の規定と重複する部分については廃止する必要があります。
個人番号関係事務は、本人から個人番号の提供を受けて、その個人番号を個人番号利用事務実施者に提供する事務であり、通常これらの事務を利用目的として示せば提供先も明らかになっているものと解されますので、必ずしも個々の提出先を具体的に示す必要はありません。
個人番号の利用目的と個人情報保護法における個人情報の利用目的とを区別して通知等を行う法的義務はありませんが、個人番号の利用範囲は限定されているため、その利用範囲を超えて利用目的を特定・通知等しないよう留意する必要があります。（平成27年4月追加）
給与支払報告書、退職所得の特別徴収票は、源泉徴収票と共に統一的な書式で作成することとなることから、「源泉徴収票作成事務」に含まれるものと考えられ、例えば、「給与支払報告書作成事務」、「退職所得の特別徴収票作成事務」のように、単独でそれらの事務を特定する必要はありません。（平成29年3月更新）
扶養控除等申告書に記載された個人番号を取得するに当たり、源泉徴収票作成事務がその利用目的として含まれていると解されますので、個人番号を源泉徴収票作成事務に利用することは利用目的の範囲内の利用として認められます。（平成27年4月追加）
事業者と従業員等の間で個人番号の利用が予想される事務であれば、あらかじめ複数の事務を利用目的として特定して、本人への通知等を行うことができます。なお、従業員等ごとに利用目的を特定し、通知等する必要はなく、事業者の利用目的を特定し、まとめて通知等することができます。（平成30年6月更新）
利用目的を特定し、本人に通知又は公表しているのであれば、本人以外から提供を受けた個人番号についても、その利用目的の範囲内で利用することができます。したがって、利用目的として「源泉徴収票作成事務」、「健康保険・厚生年金保険届出事務」と特定し、本人に通知又は公表している場合、「特別徴収税額決定通知（特別徴収義務者用）」に記載されている個人番号は、その利用目的の範囲内で利用することができます。（平成29年3月追加・平成30年3月更新）
利用目的の特定は、個人情報保護法第17条第１項に基づいて行うこととなり、個人番号の提供元ごとに特定する必要はありません。例えば、「源泉徴収票作成事務」、「健康保険・厚生年金保険届出事務」のように特定することで足ります。（平成29年３月追加・平成30年３月更新 ・令和４年４月更新）
個人情報保護法第17条（利用目的の特定）、同法第21条（取得に際しての利用目的の通知等）は、個人情報取扱事業者が個人情報を取り扱う際に適用があるものです。当該個人情報の取得は当該本人から直接取得する場合に限られず、他人から取得する場合も含まれます。他人から当該本人の個人情報を取得する場合であっても、利用目的の通知等を行わなければなりません。
(1)個人番号関係事務実施者が個人番号関係事務を処理する目的で、収集した個人番号を特定個人情報ファイルへ登録し、登録結果を確認するために個人番号をその内容に含む(2)情報をプリントアウトしますので、個人番号関係事務の範囲内での利用といえます。
(3)個人番号関係事務実施者が個人番号関係事務を処理する目的で、特定個人情報ファイルに登録済の個人番号を照会機能で呼び出しプリントアウトしますので、(1)と同様に個人番号関係事務の範囲内での利用といえます。
個人番号関係事務の範囲外での利用になりますので、個人番号をプリントアウトしないように工夫する必要があります。
支払金額が所管法令の定める一定の金額に満たず、税務署長に提出することを要しないとされている支払調書についても、提出することまで禁止されておらず、支払調書であることに変わりはないと考えられることから、支払調書作成事務のために個人番号の提供を受けている場合には、それを税務署長に提出する場合であっても利用目的の範囲内として個人番号を利用することができます。
国民年金法の第3号被保険者（第2号被保険者である従業員等の配偶者）に関する届出については、国民年金法第12条第5項及び第6項の規定に従って、第3号被保険者本人が事業者に提出することとなっています。したがって、第2号被保険者である従業員等が第3号被保険者の届出を提出する場合には、第3号被保険者本人の代理人として提出することとなり、個人番号関係事務に該当しません。
従業員の雇用形態が変わっても、当初の利用目的の範囲内であれば個人番号を利用することができます。また、当初の利用目的を超えて利用する場合は、当初の利用目的と関連性を有すると合理的に認められる範囲内で利用目的を変更して、本人に通知又は公表を行うことで、変更後の利用目的の範囲内で個人番号を利用することができます。（平成30年3月追加）
委託者は、委託先において、番号法で求められている安全管理措置が講じられているかを監督する義務があります。本ガイドラインの安全管理措置特有なものとしては、主に、「個人番号を取り扱う事務の範囲の明確化」、「特定個人情報等の範囲の明確化」、「事務取扱担当者の明確化」、「個人番号の削除、機器及び電子媒体等の廃棄」が挙げられます。
国内外を問わず、委託先において、個人番号が漏えい等しないように、必要かつ適切な安全管理措置が講じられる必要があります。必要かつ適切な監督には、本ガイドラインのとおり、(1)委託先の適切な選定（具体的な確認事項：委託先の設備、技術水準、従業者に対する監督・教育の状況、その他委託先の経営環境等）、(2)委託先に安全管理措置を遵守させるために必要な契約の締結、(3)委託先における特定個人情報の取扱状況の把握が含まれます。なお、外国にある第三者に特定個人情報の取扱いを委託する場合においては、安全管理措置として外的環境の把握を行う必要があります（16：外的環境の把握参照）。（令和４年４月更新）
業務委託契約を締結する場合には、通常、委託する業務の範囲を特定することとなります。番号法においては、個人番号の利用範囲が限定的に定められていることから、委託先・再委託先との業務委託契約においても番号法で認められる事務の範囲内で委託する業務の範囲を特定する必要があります。
再委託につき許諾を要求する規定は、最初の委託者において、再委託先が十分な安全管理措置を講ずることのできる適切な業者かどうかを確認させるため設けられたものであり、番号法第10条第1項により明示されています。したがって、最初の委託者の許諾を得る必要があります。
(1)最初の委託者は、委託先に対して必要かつ適切な監督を行わなければならず、また、再委託先に対しても間接的に監督義務を負います。
このため、委託先又は再委託先が最初の委託者の許諾を得ずに再委託を行うなど、委託先又は再委託先から個人番号や特定個人情報が漏えい等した場合、最初の委託者は、委託先に対する監督責任を問われる可能性があります。
(2)委託先は、再委託を行うに当たって、最初の委託者の許諾を得なければならず、また、再委託先に対して必要かつ適切な監督を行わなければなりません。
委託先が最初の委託者の許諾を得ずに再委託を行った場合、委託先だけでなく、再委託先も番号法違反と判断される可能性があります。これを踏まえ、再委託を行う際には、再委託先に対して、最初の委託者の許諾を得ていることを伝えてください。
(3)再委託先は、最初の委託者の許諾を得ていることを確認せずに再委託を受け、結果として、最初の委託者の許諾を得ていない再委託に伴って特定個人情報を収集した場合、番号法違反と判断される可能性があります。
このため、同法違反になることを防ぐためには、再委託を受けるに際して、当該再委託が最初の委託者の許諾を得ていることを確認することが重要な対応となります。（令和元年12月追加）
再委託につき許諾を要求する規定は、最初の委託者において、再委託先が十分な安全管理措置を講ずることのできる適切な業者かどうかを確認させるため設けられたものです。したがって、委託者が再委託の許諾をするに当たっては、再委託を行おうとする時点でその許諾を求めるのが原則です。その際、再委託先が特定個人情報を保護するための十分な措置を講じているかを確認する必要があります。
現在の委託先との委託契約を終了させて、新たに別の者に委託する場合は、委託契約終了後、現在の委託先の保有する特定個人情報を委託元に返却又は現在の委託先で廃棄し、委託元から新たな委託先に特定個人情報を提供することが一般的と考えられますが、委託元と新たな委託先との間で個人番号関係事務に関する委託契約が存在しているのであれば、委託元の指示に基づき、現在の委託先から新たな委託先へ、特定個人情報を直接提供させることは可能です。
当該事業者が当該契約内容を履行するに当たって個人番号をその内容に含む電子データを取り扱うのかどうかが基準となります。当該事業者が個人番号をその内容に含む電子データを取り扱わない場合には、そもそも、個人番号関係事務又は個人番号利用事務の全部又は一部の委託を受けたとみることはできませんので、番号法上の委託には該当しません。
クラウドサービスが番号法上の委託に該当しない場合、委託先の監督義務は課されませんが、クラウドサービスを利用する事業者は、自ら果たすべき安全管理措置の一環として、クラウドサービス事業者内にあるデータについて、適切な安全管理措置を講ずる必要があります。
特定個人情報の受渡しに関して、配送業者による配送手段を利用する場合、当該配送業者は、通常、依頼された特定個人情報の中身の詳細については関知しないことから、事業者と配送業者との間で特に特定個人情報の取扱いについての合意があった場合を除き、個人番号関係事務又は個人番号利用事務の委託には該当しないものと解されます。
例えば、委託者が委託先に求める報告の内容に、委託先の再委託先に対する監督の内容（①再委託先の適切な選定、②再委託先に安全管理措置を遵守させるために必要な契約の締結、③再委託先における特定個人情報の取扱状況の把握）を含めることが考えられます。（平成30年9月追加）
いわゆる「内定者」については、その立場や状況が個々に異なることから一律に取り扱うことはできませんが、例えば、「内定者」が確実に雇用されることが予想される場合（正式な内定通知がなされ、入社に関する誓約書を提出した場合等）には、その時点で個人番号の提供を求めることができると解されます。
個人番号関係事務実施者である事業者（事業者から個人番号を収集する事務の委託を受けた者を含む。）は、個人番号関係事務を処理するために必要がある場合に限って、本人又は他の個人番号関係事務実施者に対して個人番号の提供を求めることができます。
不動産の賃貸借契約については、通常、契約内容で一か月当たりの賃料が定められる等、契約を締結する時点において、既にその年中に支払う額が明確となっている場合が多いと思われます。したがって、契約を締結する時点で、契約内容によってその年中の賃料の合計が所得税法の定める一定の金額を超えず、支払調書を提出しないことが明らかな場合には、個人番号の提供を求めることはできません。
子会社の従業員等となった時点で、子会社との雇用関係に基づいて親会社からストックオプションの交付を受けることが予想されるのであれば、個人番号関係事務を処理する必要性があるものと認められますので、親会社においてはその時点で個人番号の提供を受けることができると解されます。
従業員等が所属会社に入社した時点では、個人番号関係事務の処理のために必要がある場合とはいえませんので、持株会が従業員等に個人番号の提供を求めることはできません。従業員等が株主となるために持株会に入会申請した時点で、当該従業員等に対し、個人番号の提供を求めることとなります。
人材派遣会社に登録したのみでは、雇用されるかどうかは未定で個人番号関係事務の発生が予想されず、いまだ給与の源泉徴収事務等の個人番号関係事務を処理する必要性が認められるとはいえないため、原則として登録者の個人番号の提供を求めることはできません。
本人交付用の給与所得の源泉徴収票については、平成27年10月２日に所得税法施行規則第93条が改正され、その本人及び扶養親族の個人番号を記載しないこととされました。したがって、その本人及び扶養親族の個人番号を記載していない源泉徴収票を本人に交付することとなります。
所得税法等により本人に交付することが義務付けられている支払通知書（配当等とみなす金額に関する支払通知書等）については、平成27年10月2日に所得税法施行規則等が改正され、本人の個人番号を記載しないで本人に交付することとされました。したがって、個人番号を記載していない支払通知書を本人に交付することとなります。
個人番号が記載された申告書が、法令に基づき、勤務先等及び金融機関を経由して税務署長に提出される場合、勤務先等及び金融機関がそれぞれ個人番号関係事務実施者となり、勤務先等は本人から提供を受けた特定個人情報を、金融機関に対して提供することとなります。なお、本人確認の措置は、勤務先等が本人から個人番号の提供を受ける際に実施することとなります。（平成28年4月更新）
本人から個人情報保護法第33条に基づく開示の請求がされた場合は、番号法第19条各号に定めはないものの、法の解釈上当然に特定個人情報の提供が認められます。したがって、個人情報取扱事業者が、本人からの開示の請求に応じて、本人に特定個人情報の開示を行うことは認められます。（平成29年5月更新・令和４年４月更新）
個人情報保護法第33条に基づいて開示の請求を行った本人に開示を行う場合は、支払調書等の写しを本人に送付することができます。その際の開示の請求を受け付ける方法として、書面による方法のほか、口頭による方法等を定めることも考えられます。なお、当該支払調書等の写しに本人以外の個人番号が含まれている場合には、本人以外の個人番号を記載しない措置や復元できない程度にマスキングする等の工夫が必要となります。（平成29年5月更新・令和４年４月更新）
本人の個人番号を含めて全ての個人番号を記載しない措置や復元できない程度にマスキングすれば、番号法上の提供制限の適用を受けないことから、個人情報保護法第33条に基づく開示の請求によらず、支払調書等の写しを本人に送付することが可能です。（平成27年4月追加・平成29年5月更新・令和４年４月更新）
特定個人情報の提供の求めが第19条各号に該当しない場合には、その特定個人情報を提供することはできません。なお、その特定個人情報のうち個人番号部分を復元できない程度にマスキング又は削除すれば個人情報保護法における個人情報となりますので、個人情報保護法第27条に従うこととなります。（令和４年４月更新）
番号法第 19 条第４号に規定により提供できる特定個人情報の範囲は、「個人番号関係事務を処理するために必要な限度」とされているところであり、従業者等の配偶者や扶養親族の特定個人情報を提供することについて、同法第 19 条第１号の使用者等が個人番号関係事務を処理するために必要であるならば、当該特定個人情報は、同法第 19条第４号に規定する特定個人情報に該当すると解されます。
個人番号が記載された書類等を受け取る担当者に、個人番号の確認作業を行わせるかは事業者の判断によりますが、個人番号の確認作業をその担当者に行わせる場合は、特定個人情報を見ることができないようにする措置は必要ありません。個人番号の確認作業をその担当者に行わせない場合、特定個人情報を見ることができないようにすることは、安全管理上有効な措置と考えられます。
個人番号に誤りがあった場合の罰則規定はありませんが、番号法第16条により、本人から個人番号の提供を受けるときは、本人確認（番号確認と身元確認）が義務付けられており、また、個人情報保護法第22条により、正確性の確保の努力義務が課されています。（令和４年４月更新）
複数の利用目的を特定して個人番号の提供を受けている場合、事務ごとに別個のファイルで個人番号を保管しているのであれば、それぞれの利用目的で個人番号を利用する必要がなくなった時点で、その利用目的に係る個人番号を個別に廃棄又は削除することとなります。
事業者ガイドラインの別添１「特定個人情報に関する安全管理措置」において、個人番号を削除した場合は、削除した記録を保存することとしています。なお、その削除の記録の内容としては、特定個人情報ファイルの種類・名称、責任者・取扱部署、削除・廃棄状況等を記録することが考えられ、個人番号自体は含めないものとしています。（令和４年４月更新）
アクセス制御を行った場合でも、個人番号関係事務で個人番号を利用する必要がなくなり、個人番号を保管する必要性がなくなった場合には、個人番号をできるだけ速やかに削除しなければなりません。不確定な取引再開時に備えて、個人番号を保管し続けることはできません。
個人情報取扱事業者は、個人情報保護法第22条に基づいて、データ内容の正確性の確保に努めることが求められています。したがって、個人番号が変更されたときは本人から事業者に申告するよう周知しておくとともに、一定の期間ごとに個人番号の変更がないか確認することが考えられます。（平成29年5月更新・令和４年４月更新）
個人番号関係事務又は個人番号利用事務を処理するに当たっては、ばらばらに分解した数字を集めて複合し、分解前の個人番号に復元して利用することになるため、ばらばらの数字に分解されたものについても全体として番号法第2条第8項に規定する個人番号であると考えられます。（平成27年4月追加）
「個人番号」には、個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号であって、住民票コード以外のものが含まれます（番号法第２条第８項）。同項の「個人番号」に該当するかについては、生成の由来から個人番号に対応するものと評価できるか否か及び個人番号に代わって用いられることを本来の目的としているか否かの観点を総合的に勘案して判断されます。
部署名（○○課、○○係等）、事務名（○○事務担当者）等により、担当者が明確になれば十分であると考えられます。ただし、部署名等により事務取扱担当者の範囲が明確化できない場合には、事務取扱担当者を指名する等を行う必要があると考えられます。
委託に基づいて個人番号関係事務又は個人番号利用事務を業務として行う事業者は、中小規模事業者に該当しません。委託先における安全管理措置については、委託する事務の内容等に応じて、番号法に基づき委託者自らが果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行う必要があります。
中小規模事業者においては、必ずしも取扱規程等の策定が義務付けられているものではなく、特定個人情報等の取扱方法や責任者・事務取扱担当者が明確になっていれば足りるものと考えられます。明確化の方法については、口頭で明確化する方法のほか、業務マニュアル、業務フロー図、チェックリスト等に特定個人情報等の取扱いを加えるなどの方法も考えられます。（平成27年8月追加）
記録を保存することは、取扱規程等に基づく確実な事務の実施、情報漏えい等の事案発生の抑止、点検・監査及び情報漏えい等の事案に対処するための有効な手段です。記録として保存する内容及び保存期間は、取り扱う情報の種類、量、取り扱う職員の数、点検・監査の頻度等を総合的に勘案し、適切に定めることが重要であると考えます。（平成30年9月更新）
各区域で同じ措置を講ずる必要はなく、区域によっては取り扱う特定個人情報の量、利用頻度、使用する事務機器や環境等により、講ずべき措置が異なると考えられますので、例えば、管理区域については厳格に入退室を管理し、取扱区域については間仕切りの設置や座席配置の工夫、のぞき込みを防止する措置を行うなど、それぞれの区域に応じた適切な措置を講じていただくことになります。（平成27年8月追加・平成30年9月更新）
一つの事務室で事務を行っている場合を想定すると、例えば、来客スペースから特定個人情報等に係る書類やパソコンの画面が見えないよう各種の工夫をすることが考えられます。盗難防止については、留守にする際には確実にドアに施錠をする、特定個人情報等を取り扱う機器、電子媒体や個人番号が記載された書類等は、施錠できるキャビネット、引出等に収納し、使用しないときには施錠しておくなど盗まれないように保管することは、他の重要な書類等と同様です。（平成27年8月追加）
本ガイドラインの（別添）安全管理措置において、「特定個人情報等を取り扱う事務を実施する区域（取扱区域）について、事務取扱担当者等以外
  の者が特定個人情報等を容易に閲覧等できないよう留意する必要がある」と規定されておりますので、当該措置を適切に講じていれば、自宅において取り扱うことは問題ありません。
個人番号利用事務等実施者は、外国にある支店や営業所に特定個人情報を取り扱わせる場合、外国において特定個人情報を取り扱うこととなるため、支店等が所在する外国の個人情報の保護に関する制度等を把握した上で、安全管理措置を講じる必要が
  あります。
外国にある第三者に特定個人情報の取扱いを委託する場合、委託元は、委託先を通じて外国において特定個人情報を取り扱うこととなるため、委託先が所在する外国の個人情報の保護に関する制度等を把握した上で、委託先の監督その他の安全管理措置
を講じる必要があります。また、委託先が外国にある第三者に特定個人情報の取扱いを再委託する場合、委託元は、委託先及び再委託先を通じて外国において特定個人情報を取り扱うこととなるため、再委託先が所在する外国の制度等も把握した上で、安全管理措置を講じる必要があります。以上は、委託先や再委託先が、日本国内に所在するサーバに保存されている特定個人情報にアクセスして、これを取り扱う場合においても同様です。
外国にある第三者の提供するクラウドサービスを利用する場合において、クラウドサービス提供事業者が特定個人情報を取り扱わないこととなっている場合には、特定個人情報の第三者への「提供」には該当しませんが、個人番号利用事務等実施者は、
  自ら果たすべき安全管理措置の一環として、適切な安全管理措置を講じる必要があります（Ｑ３－12、Ｑ３－13 参照）。
個別の事例ごとに判断することとなりますが、特定個人情報が記録されたＵＳＢメモリを紛失したものの、紛失場所が社内か社外か特定できない場合には、漏えい（又は漏えいのおそれ）に該当すると考えられます。なお、社内で紛失したままである
場合には、滅失（又は滅失のおそれ）に該当すると考えられます。（令和４年４月追加）
例えば、外部からの不正アクセスや不正プログラムの感染が疑われる場合には、当該端末等のＬＡＮケーブルを抜いてネットワークからの切り離しを行う又は無線ＬＡＮの無効化を行うなどの措置を直ちに行うこと等が考えられます。（令和４年４月追加）
事案の内容によりますが、例えば、特定個人情報の漏えいの場合は、漏えいした特定個人情報に係る本人の数、漏えいした特定個人情報の内容、漏えいした原因、漏えい先等を踏まえ、影響の範囲を特定することが考えられます。（令和４年４月追加）
行政手続における特定の個人を識別するための番号の利用等に関する法律第 29条の４第１項及び第２項に基づく特定個人情報の漏えい等に関する報告等に関する規則第２条第１号においては、民間事業者が個人番号関係事務を処理するために使用している情報システムからの漏えい等は該当しませんが、特定個人情報に係る本人の数が 100人を超える漏えいなど、他の類型に該当しないかを確認する必要があります。（令和４年４月追加）
例えば、以下の事例のように、必ずしも「不正の目的をもって」とは言えない目的又は不注意で持ち出してしまった場合などは、基本的には、当てはまらないと考えられます。なお、以下の事例の場合でも、行政手続における特定の個人を識別するため
の番号の利用等に関する法律第 29 条の４第１項及び第２項に基づく特定個人情報の漏えい等に関する報告等に関する規則第２条の他の号に該当しないかを確認する必要があります。
「不特定多数の者」は、事業者（委託先で特定個人情報を取り扱う従業者を含む。）以外の者が前提ですので、例えば、誤ってインターネット上に特定個人情報を掲載した場合や情報システムに保存した特定個人情報が事業者の外部から容易にアクセス可能な状態になっていた場合を想定しています。（令和４年４月追加）
（別添２）特定個人情報の漏えい等に関する報告等（事業者編）３Ａ（※３）は、漏えいが発生したおそれがある事態に該当し得る事例を示したものであり、単にマルウェアを検知したことをもって直ちに漏えいのおそれがあると判断するものではなく、防御システムによるマルウェアの実行抑制の状況、外部通信の遮断状況等についても考慮することになります。（令和４年４月追加）
可能です。この場合、報告書の様式における行政手続における特定の個人を識別するための番号の利用等に関する法律第 29 条の４第１項及び第２項に基づく特定個人情報の漏えい等に関する報告等に関する「規則第２条各号該当性」については、「非該当（上記に該当しない場合の報告）」として報告を行うことになります。なお、（別添２）特定個人情報の漏えい等に関する報告等（事業者編）３Ａ（※１）において、特定個人情報を取り扱う事業者は委員会に報告するよう努めることとされています。（令和４年４月追加）
報告を要しない「特定個人情報について、高度な暗号化等の秘匿化がされている場合」に該当するためには、当該漏えい等事案が生じた時点の技術水準に照らして、行政手続における特定の個人を識別するための番号の利用等に関する法律第 29 条の４第１項及び第２項に基づく特定個人情報の漏えい等に関する報告等に関する規則第２条の特定個人情報について、これを第三者が見読可能な状態にすることが困難となるような暗号化等の技術的措置が講じられるとともに、そのような暗号化等の技術的措置が講じられた情報を見読可能な状態にするための手段が適切に管理されていることが必要と解されます。
クラウドサービス提供事業者が、特定個人情報を取り扱わないこととなっている場合において、報告対象となる特定個人情報の漏えい等が発生したときには、クラウドサービスを利用する事業者が報告義務を負います。この場合、クラウドサービス提供事業者は、番号法第 29 条の４第１項の報告義務を負いませんが、クラウドサービスを利用する事業者が安全管理措置義務及び同項の報告義務を負っていることを踏まえて、契約等に基づいてクラウドサービスを利用する事業者に対して通知する等、適切な対応を行うことが求められます。（令和４年４月追加）
配送事業者は、通常、配送を依頼された中身の詳細については関知しないことから、当該配送事業者との間で特に中身の特定個人情報の取扱いについて合意があった場合等を除き、当該特定個人情報に関しては取扱いの委託をしているものではないものと解されます。
個別の事案ごとに判断されますが、部署内のある従業者が報告対象事態を知った時点で「部署が知った」と考えられます。なお、従業者等の不正な持ち出しの事案においては、不正な持ち出しを行った従業者等を除いた上で判断することとなります。（令和４年４月追加）
番号法第 29 条の４の報告対象と、個人情報保護法第 26 条第１項の報告対象はそれぞれ個別に判断するため、双方の報告対象に該当する場合は、双方の法に基づく報告を行う必要があります。この場合、個人情報保護委員会のホームページにおいて双方の法に基づく報告を一括して行うためのフォームを設置していますので、これを利用することが考えられます。（令和４年４月追加）
本人への通知に関し、複数の連絡手段を有している場合において、１つの手段で連絡ができなかったとしても、直ちに「本人への通知が困難である場合」に該当するものではありません。例えば、本人の連絡先として、住所と電話番号を把握しており、当該住所へ書面を郵送する方法により通知しようとしたものの、本人が居住していないとして当該書面が還付された場合には、別途電話により連絡することが考えられます。（令和４年４月追加）
事案の公表にあたっては、公表することでかえって被害の拡大につながることがないように留意する必要があります。公表内容については、本人へ通知すべき内容を基本としつつ、特定の個人が識別されるおそれがある事項については、公表しないようにすることが考えられます。（令和４年４月追加）
本人への通知の代替措置として、事案の公表を行う場合を除き、事案の公表が義務付けられているものではありませんが、漏えい等事案の内容等に応じて、公表することが望ましいと考えられます。なお、二次被害の防止の観点から必要がないと認められる場合や、公表することでかえって被害の拡大につながる可能性があると考えられる場合には、公表を行わないことが考えられます。（令和４年４月追加）
個人番号関係事務を実施するために必要な範囲で名寄せを行うことはでき、個人番号が一致することによって結果的に同一人物であることを認識すること自体は利用制限に違反しませんが、個人番号関係事務以外の事務で事業者独自に顧客情報（商品購入履歴、資産情報等）を検索・管理するために個人番号を利用することはできません。
税務当局が、番号法第19条第15号並びに番号法施行令第26条及び別表第8号の規定に従って、租税法令に基づき、納税者の個人番号を指定して資料の提出要求を行った場合、提出要求に対応する範囲で、個人番号に基づいて資料の検索を行うこと自体は法令に基づく適法な行為と解されます。（平成29年５月・令和３年９月更新）