第３　総論

第３－１　目的

委員会は、個人情報保護法第131条に基づき、行政機関等の事務及び事業の適正かつ円滑な運営を図り、並びに個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであることその他の個人情報の有用性に配慮しつつ、個人の権利利益を保護するため、個人情報の適正な取扱いの確保を図ること（個人番号利用事務等実施者に対する指導及び助言その他の措置を講ずることを含む。）を任務としている。本ガイドラインは、番号法第４条及び個人情報保護法第131条に基づき、行政機関等が特定個人情報の適正な取扱いを確保するための具体的な指針を定めるものである。

第３－２　本ガイドラインの適用対象等

• （1）本ガイドラインの適用対象

  番号法は、行政機関等又は事業者の別を問わず、個人番号を取り扱う全ての者を適用の対象としており、本ガイドラインは、番号法の適用を受ける者のうち行政機関等を対象とするものである。

• （2）行政機関等が番号法の適用を受ける場面

  行政機関等は、個人番号の提供の求めの制限（番号法第15条）並びに特定個人情報の提供の制限（同法第19条）及び収集等の制限（同法第20条）の規定の適用を受ける。また、行政機関等が同法の規定の適用を受ける主な事務は、次のとおりである。

  • 行政機関等が個人番号を利用して個人情報を検索、管理する事務（同法第９条第１項）

  • 行政機関等がその職員等（以下「職員」という。）から個人番号の提供を受けて、これを給与所得の源泉徴収票、給与支払報告書等の必要な書類に記載して、税務署長、市町村長（特別区の区長を含む。以下同じ。）等に提出する事務（同法第９条第４項）

  • 激甚災害が発生したとき等において、「所得税法」（昭和40年法律第33号）第225条第１項第１号、第２号及び第４号から第６号までに該当する独立行政法人等（以下「金融機関に該当する独立行政法人等」という。）が個人番号を利用して金銭を支払う事務（番号法第９条第５項）

  なお、行政機関等から個人番号利用事務等の全部又は一部の委託を受けた者は、個人番号利用事務等実施者となる。

第３－３　本ガイドラインの位置付け等

• （1）番号法と個人情報保護法との関係

  番号法は、特定個人情報の取扱いに関して、個人情報保護法の特例を規定した特別法であることから、番号法の規定は、個人情報保護法の規定に優先して適用される。一方、特定個人情報に関して番号法に特段の規定がない事項については、個人情報保護法の規定が適用される。

• （2）番号法と個人情報保護法施行条例との関係

  一般に、法律は条例に優先して適用されることから、特定個人情報に関する番号法の特例規定は、個人情報保護法施行条例の規定に優先して適用される。一方、特定個人情報に関して番号法に特段の規定がない事項については、個人情報保護法施行条例の規定が適用される。

  特定個人情報に関しても、「個人情報の保護に関する法律についてのガイドライン（行政機関等編）」（令和４年個人情報保護委員会告示第１号。以下「個人情報保護法ガイドライン（行政機関等編）」という。）「11 条例との関係」と同様に、個人情報保護やデータ流通について直接影響を与えるような事項であって、条例で定めることを許容する規定が個人情報保護法に置かれていないもの等個人情報保護法に委任規定が置かれていないものについて個人情報保護法施行条例で独自の規定を設けることは、個人情報保護法の規律に抵触するものであり許容されない。

• （3）本ガイドラインの位置付け

  本ガイドラインは、特定個人情報の適正な取扱いについての具体的な指針を定めるものである。

  また、特定個人情報に関し、番号法に特段の規定がなく個人情報保護法又は個人情報保護法施行条例が適用される部分については、個人情報保護法を基に定められている個人情報保護法ガイドライン（行政機関等編）及び「個人情報の保護に関する法律についての事務対応ガイド（行政機関等向け）」（以下「事務対応ガイド」という。）を遵守することを前提としている。

第３－４　番号法の特定個人情報に関する保護措置

• （1）保護措置の概要

  個人番号は、社会保障、税、災害対策その他の行政分野において、個人情報を複数の機関の間で紐付けるものであり、住民票を有する全ての者に一人一番号で重複のないように、住民票コードを変換して得られる番号である。したがって、個人番号が悪用され、又は漏えいした場合、個人情報の不正な追跡・突合が行われ、個人の権利利益の侵害を招きかねない。

  そこで、番号法においては、特定個人情報について、個人情報保護法よりも厳格な各種の保護措置を設けている。この保護措置は、「特定個人情報の利用制限」、「特定個人情報の安全管理措置等」及び「特定個人情報の提供制限等」の三つに大別される。

  ア　特定個人情報の利用制限
  番号法においては、個人番号を利用することができる範囲について、社会保障、税、災害対策その他の行政分野に関する特定の事務に限定している（番号法第９条）。また、個人情報保護法の読替え又は適用除外の規定を置き（同法第30条第１項、第31条第１項及び第２項）、本来の利用目的以外の目的で例外的に特定個人情報を利用することができる範囲について、個人情報保護法における個人情報の利用の場合よりも限定的に定めている。

  さらに、個人番号利用事務等実施者その他個人番号利用事務等に従事する者に対し、必要な範囲を超えた特定個人情報ファイルの作成を禁止している（同法第29条）。

  イ　特定個人情報の安全管理措置等
  行政機関の長（個人情報保護法第２条第８項第４号及び第５号の個人情報保護法施行令第３条で定める機関にあっては、その機関ごとに個人情報保護法施行令第18条で定める者をいう。）、地方公共団体の機関、独立行政法人等（同法別表第２に掲げる法人を除く。）及び地方独立行政法人（地方独立行政法人法第21条第１号に掲げる業務（試験研究等）を主たる目的とするもの又は同条第２号（大学等の設置及び管理）若しくは第３号チ（病院事業の経営）に掲げる業務を目的とするものを除く。以下、第３－６、第４－２－⑵、第４－４－⑶、第４－４－⑷、第４－４－⑸及び第４－６においてこれらをあわせて「行政機関の長等」という。）については、個人情報保護法に基づき、保有個人情報の安全管理措置を講じなければならず、行政機関等から個人情報の取扱いの委託を受けた者その他の同法第66条第２項各号に掲げる者が当該各号に定める業務を行う場合にも同様の義務が課されている（個人情報保護法第66条）。また、個人情報の取扱いに従事する行政機関等の職員若しくは職員であった者、個人情報保護法第66条第２項各号に定める業務に従事している者若しくは従事していた者又は行政機関等において個人情報の取扱いに従事している派遣労働者（労働者派遣事業の適正な運営の確保及び派遣労働者の保護等に関する法律（昭和60年法律第88号）第２条第２号に規定する派遣労働者をいう。以下同じ。）若しくは従事していた派遣労働者は、その業務に関して知り得た個人情報の内容をみだりに他人に知らせ、又は不当な目的に利用することが禁止されている（個人情報保護法第67条）。

  番号法においては、これらに加え、個人番号利用事務等実施者は、個人番号（生存する個人のものだけでなく死者のものも含む。）について安全管理措置を講ずることとされている（番号法第12条）。

  また、個人番号利用事務等を再委託する場合には委託者による再委託の許諾を要件とする（同法第10条）とともに、委託者に対し、委託先に対する監督義務を課している（同法第11条）。さらに、委託を受けた者及び再委託を受けた者は、個人番号利用事務等実施者になることを明確にし（同法第２条第13項及び第14項）、これらの者も番号法における個人番号の安全管理措置を講じなければならないこととしている（同法第12条）。

  ウ　特定個人情報の提供制限等
  個人情報保護法は、法令に基づく場合を除くほか、同法第69条第２項各号に定める場合を除き、利用目的以外の目的のために保有個人情報を自ら利用し、又は提供することを認めていない（個人情報保護法第69条）。

  番号法においては、特定個人情報の提供について、個人番号の利用制限と同様に、個人情報保護法における個人情報の提供の場合よりも限定的に定めている（番号法第19条）。また、何人も、特定個人情報の提供を受けることが認められている場合を除き、他人（自己と同一の世帯に属する者以外の者をいう。）に対し、個人番号の提供を求めてはならない（同法第15条）。

  さらに、特定個人情報の収集又は保管についても同様の制限を定めている（同法第20条）。

  なお、本人から個人番号の提供を受ける場合には、本人確認を義務付けている（同法第16条）。

• （2）　委員会による監視・監督

  委員会は、特定個人情報の取扱いに関する監視・監督を行うため、次に掲げる権限を有している。

  • 個人番号利用事務等実施者に対し、特定個人情報の取扱いに関し、必要な指導及び助言をすることができる（番号法第33条）。
  • 特定個人情報の取扱いに関して法令違反行為が行われた場合において、その適正な取扱いの確保のために必要があると認めるときは、当該違反行為をした者に対し、期限を定めて、当該違反行為の中止その他違反を是正するために必要な措置をとるべき旨を勧告することができる（同法第34条第１項）。
  • 勧告を受けた者が正当な理由なく勧告に係る措置をとらなかったときは、その者に対し、期限を定めて、勧告に係る措置をとるべきことを命ずることができる（同条第２項）。
  • さらに、特定個人情報の取扱いに関して法令違反行為が行われた場合において、個人の重大な権利利益を害する事実があるため緊急に措置をとる必要があると認めるときは、当該違反行為をした者に対し、期限を定めて、当該違反行為の中止その他違反を是正するために必要な措置をとるべき旨を命ずることができる（同条第３項）。
  • 特定個人情報を取り扱う者その他の関係者に対し、特定個人情報の取扱いに関し、必要な報告若しくは資料の提出を求めること又は立入検査を行うことができる（同法第35条）。

• （3）　罰則の強化

  個人情報保護法及び「住民基本台帳法」（昭和42年法律第81号）においては、正当な理由なく個人の秘密に属する事項が記録された個人情報ファイルを提供したとき、不正な利益を図る目的で保有個人情報を提供又は盗用したとき、職務上知り得た秘密を漏えい又は盗用したとき等に罰則が科されることとされているが、番号法においては、類似の刑の上限が引き上げられている等罰則が強化されている（番号法第48条から第55条の３まで）。

  なお、次表①から⑤まで及び⑧は、日本国外においてこれらの罪を犯した者にも適用される（番号法第56条）。

  項番	行為	番号法	同種法律における類似規定の罰則 個人情報保護法	同種法律における類似規定の罰則 住民基本台帳法
  ①	個人番号利用事務等に従事する者又は従事していた者が、正当な理由なく、特定個人情報ファイルを提供	４年以下の拘禁刑若しくは200万円以下の罰金又は併科（第48条）	２年以下の拘禁刑又は100万円以下の罰金（第176条）	－
  ②	上記の者が、不正な利益を図る目的で、個人番号を提供又は盗用	３年以下の拘禁刑若しくは150万円以下の罰金又は併科（第49条）	１年以下の拘禁刑又は50万円以下の罰金（第180条）	１年以下の拘禁刑又は50万円以下の罰金（第43条）
  ③	情報提供ネットワークシステムの事務に従事する者又は従事していた者が、情報提供ネットワークシステムに関する秘密を漏えい又は盗用	同上（第50条）	－	２年以下の拘禁刑又は100万円以下の罰金
  ④	人を欺き、人に暴行を加え、人を脅迫し、又は、財物の窃取、施設への侵入、不正アクセス等により個人番号を取得	３年以下の拘禁刑又は150万円以下の罰金 （第51条）	－	－
  ⑤	国の機関の職員等（領事官であって国の機関の職員等以外の者を含む。）が、職権を濫用して、専らその職務の用以外の用に供する目的で、特定個人情報が記録された文書等を収集	２年以下の拘禁刑又は100万円以下の罰金 （第52条）	１年以下の拘禁刑又は50万円以下の罰金 （第181条）	－
  ⑥	委員会から命令を受けた者が、委員会の命令に違反	２年以下の拘禁刑又は50万円以下の罰金 （第53条）	－	１年以下の拘禁刑又は50万円以下の罰金 （第43条）
  ⑦	委員会に対する、虚偽の報告、虚偽の資料提出、検査拒否等	１年以下の拘禁刑又は50万円以下の罰金 （第54条）	－	30万円以下の罰金 （第46条、第47条）
  ⑧	偽りその他不正の手段により個人番号カード又はカード代替電磁的記録を取得	６月以下の拘禁刑又は50万円以下の罰金（第55条）	－	30万円以下の罰金 （第46条）

第３－５　特定個人情報保護のための主体的な取組について

行政機関等は、番号法等関係法令並びに本ガイドライン、個人情報保護法ガイドライン（行政機関等編）及び事務対応ガイドに従い、特定個人情報の適正な取扱いを確保するための具体的な方策について検討し、実践するとともに、国民・住民等の意見、事務の実態、技術の進歩等を踏まえ、点検・見直しを継続的に行う体制を主体的に構築することが重要である。

第３－６　特定個人情報の漏えい等事案が発生した場合の対応

保有個人情報の漏えい等事案が発生した場合、行政機関の長等は、個人情報保護法、「個人情報の保護に関する法律施行規則」（平成28年個人情報保護委員会規則第３号。以下「個人情報保護法施行規則」 という。）、個人情報保護法ガイドライン（行政機関等編）等に基づき報告等が求められているところであるが、特定個人情報の漏えい等事案が発生した場合、行政機関等には、番号法第29条の４、「行政手続における特定の個人を識別するための番号の利用等に関する法律第29条の４第１項及び第２項に基づく特定個人情報の漏えい等に関する報告等に関する規則」（平成27年特定個人情報保護委員会規則第５号）及び本ガイドライン「（別添２）特定個人情報の漏えい等に関する報告等（行政機関等編）」に基づき報告等が求められる。

第３－７　本ガイドラインの見直しについて

本ガイドラインについては、社会情勢の変化、国民意識の変化等諸環境の変化に加え、個人情報の保護に関する技術の進歩及び国際動向も踏まえつつ、必要に応じ見直しを行うものとする。