特定個人情報保護評価
特定個人情報保護評価の実施主体は、行政機関の長、地方公共団体の機関、独立行政法人等、地方独立行政法人、地方公共団体情報システム機構のうち特定個人情報ファイルを保有しようとする者又は保有する者とされる。なお、評価実施機関の単位のうち「地方公共団体の機関」では「執行機関」に都道府県知事、市町村長、教育委員会、公安委員会等が、「執行機関の付属機関」に審査会、審議会等が、その他では議会が含まれており、これらが評価の実施主体となる。またその他、いわゆる民間の組織では、情報提供ネットワークシステムを使用した情報連携を行う事業者のうち、特定個人情報ファイルを保有しょうとする者又は所有する者とされている評価実施機関は下記となる。
評価の実施主体
国の行政機関の長
地方公共団体の長その他の機関
独立行政法人等
地方独立行政法人
地方公共団体情報システム機構(平成26年4月1日設置)
情報ネットワークを使用した情報連携を行う事業者(健康保険組合等)
評価対象
特定個人情報保護評価の対象は、特定個人情報ファイルを取り扱う事務。原則として法令上の事務ごと、番号法別表第一に掲げる事務ごとに実施する。評価実施機関の判断で法令上の事務を分割又は統合した事務の単位で実施することも可である。ただし、職員の人事給与等に関する記録した特定個人情報ファイルのみを取り扱う事務、対象人数の総数が1000人未満の事務等については特定個人情報保護評価の実施が義務付けられない[5]。
プライバシー影響評価は、個人情報を扱うシステムについて実施する[1]。 一方、特定個人情報保護評価は事務に対し実施し、システムではないという記述がある。種々の資料が発行されており記述内容も不明確であるが、事務(運用とシステム)について実施する。一例として、国の資料によれば、「特定個人情報保護評価の対象は、システムやサーバそのものでなく、それらを用いて特定個人情報ファイルを取り扱う事務である。このため、システムやサーバ単独で評価するのではなく、(中略)、事務に対し評価を行う」とある[5]。
プライバシー影響評価における評価主体は、中立性、専門性のある第三者組織を要求される。一方、特定個人情報保護評価は、システム構築運用する組織による自己評価となっている。国の資料によれば、「特定個人情報保護評価の実施主体は評価実施機関であり、特定個人情報保護評価の内容を決定するのは評価実施機関です。」とある[5]。 評価を実施する評価者の能力もプライバシー影響評価の国際基準規格ISO22307では明確に義務付けられているが、特定個人情報保護評価では定められていない。