第４－２　特定個人情報の安全管理措置等

第４－２－⑴　委託の取扱い

（関係条文）

• 番号法　第10条、第11条
• 個人情報保護法 第66条

• １　委託先の監督（番号法第11条、個人情報保護法第66条） Ａ　委託先における安全管理措置
  個人情報保護法第66条第２項第１号において、委託を受けた者は、当該委託を受けた業務に係る保有個人情報の安全管理措置を講ずることを義務付けられている。

  これに加え、番号法は、個人番号利用事務等の全部又は一部の委託をする者は、委託した個人番号利用事務等で取り扱う特定個人情報の安全管理措置が適切に講じられるよう**「委託を受けた者」に対する必要かつ適切な監督を行わなければならないとしている**。

  このため、個人番号利用事務等の全部又は一部の委託をする行政機関等は、「委託を受けた者」において、番号法に基づき個人番号利用事務等を行う行政機関等が果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行わなければならない。

  なお、「委託を受けた者」を適切に監督するために必要な措置を講じず、又は、必要かつ十分な監督義務を果たすための具体的な対応をとらなかった結果、特定個人情報の漏えい等が発生した場合、番号法違反と判断される可能性がある。

  Ｂ　必要かつ適切な監督
  「必要かつ適切な監督」には、①委託先の適切な選定、②委託先に安全管理措置を遵守させるために必要な委託契約の締結、③委託先における特定個人情報の取扱状況の把握が含まれる。

  委託先の選定については、個人番号利用事務等を行う行政機関等は、委託先において、番号法に基づき当該行政機関等が果たすべき安全管理措置と同等の措置が講じられるか否かについて、あらかじめ確認しなければならない。具体的な確認事項としては、委託先の設備、技術水準、従業者（注１）に対する監督・教育の状況、その他委託先の経営環境等が挙げられる。

  委託先に安全管理措置を遵守させるために必要な委託契約の締結については、契約内容として、秘密保持義務、委託する業務の遂行に必要な範囲を超える事業所内からの特定個人情報の持ち出しの禁止、特定個人情報の目的外利用の禁止、 再委託における条件、漏えい等事案が発生した場合の委託先の責任、委託契約終了後の特定個人情報の返却又は廃棄、特定個人情報を取り扱う従業者の明確化、従業者に対する監督・教育、契約内容の遵守状況について報告を求める規定を盛り込むとともに、行政機関等において必要があると認めるときは委託先に対して、実地の監査、調査等を行うことができる規定等を盛り込まなければならない。

  委託先における特定個人情報の取扱状況の把握については、前記の契約に基づき報告を求めること、委託先に対して実地の監査、調査等（注２）を行うこと等により、委託契約で盛り込んだ内容の実施の程度を把握した上で、委託の内容等の見直しを検討することを含め、適切に評価する。

  • （注１）「従業者」とは、事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者をいう。具体的には、従業員のほか、取締役、監査役、理事、監事、派遣社員等を含む。
  • （注２）監査、調査等の実効性が担保される限りにおいて、デジタル技術を活用した方法によることも可能である。

• ２　再委託（番号法第10条、第11条） Ａ　再委託の要件（第10条第１項）
  個人番号利用事務等の全部又は一部の「委託を受けた者」は、当該個人番号利用事務等の委託をした者の許諾を得た場合に限り、再委託をすることができる。

  ＊　市役所甲が、保険給付の支給に関する事務（個人番号利用事務）の一部を、事業者乙に委託している場合、乙は、「当該個人番号利用事務等の委託をした者」である市役所甲の許諾を得た場合に限り、同事務を別の事業者丙に委託することができる。

  Ｂ　再委託の効果（第10条第２項）
  再委託を受けた者は、個人番号利用事務等の全部又は一部の「委託を受けた者」とみなされ、再委託を受けた個人番号利用事務等を行うことができるほか、最初に当該個人番号利用事務等の委託をした者である行政機関等の許諾を得た場合に限り、その事務を更に再委託することができる。

  このように、行政機関等が許諾を与えることが個人番号利用事務等の再委託の要件とされていることから、行政機関等は、委託をする個人番号利用事務等において取り扱う特定個人情報の適切な安全管理が図られることを確認した上で再委託の諾否を判断しなければならない。

  • ＊　更に再委託をする場合も、その許諾を得る相手は、最初に当該個人番号利用事務等の委託をした行政機関等である。

    したがって、個人番号利用事務等が、行政機関等→甲→乙→丙→丁と順次委託される場合、丙は、最初に当該個人番号利用事務等の委託をした者である行政機関等の許諾を得た場合に限り、別の事業者丁に再委託を行うことができる。更に再委託が繰り返される場合も同様である。

    なお、乙は丙を監督する義務があるため、乙・丙間の委託契約の内容に、丙が再委託する場合の取扱いを定め、再委託を行う場合の条件、再委託した場合の乙に対する通知義務等を盛り込む。

  • ＊　「委託を受けた者」が、番号法第10条の規定に違反して、最初に個人番号利用事務等の委託をした者である行政機関等の許諾を得ずに当該個人番号利用事務等を再委託した場合、「委託を受けた者」は同法第19条（提供制限）にも違反することとなり、当該再委託を受けた者も同法第15条（提供の求めの制限）及び第20条（収集・保管制限）に違反すると判断される可能性があるため、留意する必要がある。

  Ｃ　再委託先の監督（第11条）
  １Ａにおける「委託を受けた者」とは、行政機関等が直接委託する事業者を指すが、行政機関等→甲→乙→丙→丁と順次委託される場合、甲に対する行政機関等の監督義務の内容には、再委託の適否だけではなく、甲が乙、丙、丁に対して必要かつ適切な監督を行っているかどうかを監督することも含まれる。したがって、行政機関等は甲に対する監督義務だけではなく、再委託先である乙、丙、丁に対しても間接的に監督義務を負うこととなる。

第４－２－⑵　安全管理措置

（関係条文）

• 番号法　第12条
• 個人情報保護法 第66条、第67条

●　安全管理措置（番号法第12条、個人情報保護法第66条、第67条）
個人番号利用事務等実施者は、個人番号（生存する個人のものだけでなく死者のものも含む。）の漏えい、滅失又は毀損の防止その他の個人番号の適切な管理のために必要な措置を講じなければならない。また、行政機関の長等は、保有個人情報である特定個人情報の漏えい、滅失又は毀損の防止その他の保有個人情報である特定個人情報の安全管理のために必要かつ適切な措置を講じなければならない。

行政機関等は、安全管理措置の検討に当たり、番号法及び個人情報保護法並びに本ガイドライン（「（別添１）特定個人情報に関する安全管理措置（行政機関等編）」を含む。）、個人情報保護法ガイドライン（行政機関等編）及び事務対応ガイドを遵守することを前提とする。

また、行政機関等は、個人のプライバシー等の権利利益に影響を与え得る特定個人情報の漏えいその他の事態を発生させるリスクを軽減するための措置として特定個人情報保護評価書に記載した全ての措置を講ずるものとする。

※　安全管理措置の具体的な内容については、「（別添１）特定個人情報に関する安全管理措置（行政機関等編）」を参照のこと。