（別添２）特定個人情報の漏えい等に関する報告等（行政機関等編）

【目次】

１　特定個人情報の漏えい等の考え方
Ａ　「漏えい」の考え方

Ｂ　「滅失」の考え方

Ｃ　「毀損」の考え方

２　漏えい等事案が発覚した場合に講ずべき措置
Ａ　組織内における報告及び被害の拡大防止

Ｂ　事実関係の調査及び原因の究明

Ｃ　影響範囲の特定

Ｄ　再発防止策の検討及び実施

Ｅ　委員会への報告及び本人への通知

３　委員会への報告（番号法第29条の４第１項関係）
Ａ　報告対象となる事態

Ｂ　ガイドラインに基づく報告

Ｃ　報告義務の主体

Ｄ　速報（規則第３条第１項関係）

Ｅ　確報（規則第３条第２項関係）

Ｆ　委託元への通知の例外（規則第４条関係）

４　本人への通知（番号法第29条の４第２項）
Ａ　通知対象となる事態及び通知義務の主体

Ｂ　通知の時間的制限

Ｃ　通知の内容

Ｄ　通知の方法

Ｅ　通知の例外

１　特定個人情報の漏えい等の考え方
Ａ　「漏えい」の考え方
特定個人情報の「漏えい」とは、特定個人情報が外部に流出することをいう。

【特定個人情報の漏えいに該当する事例】

なお、特定個人情報を第三者に閲覧されないうちに全てを回収した場合は、漏えいに該当しない。

Ｂ　「滅失」の考え方
特定個人情報の「滅失」とは、特定個人情報の内容が失われることをいう。

【特定個人情報の滅失に該当する事例】

なお、上記の場合であっても、その内容と同じデータが他に保管されている場合は、滅失に該当しない。また、個人番号利用事務等実施者が合理的な理由により特定個人情報を削除する場合は、滅失に該当しない。

Ｃ　「毀損」の考え方
特定個人情報の「毀損」とは、特定個人情報の内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となることをいう。

【特定個人情報の毀損に該当する事例】

なお、上記事例２つ目及び３つ目の場合であっても、その内容と同じデータが他に保管されている場合は毀損に該当しない。

（※）同時に特定個人情報が窃取された場合には、特定個人情報の漏えいにも該当する。

２　漏えい等事案が発覚した場合に講ずべき措置

特定個人情報を取り扱う行政機関等は、漏えい等又はそのおそれのある事案その他の番号法違反の事案又は番号法違反のおそれのある事案（以下「漏えい等事案」という。）が発覚した場合は、漏えい等事案の内容等に応じて、次のＡからＥに掲げる事項について必要な措置を講じなければならない。

Ａ　組織内における報告及び被害の拡大防止
責任ある立場の者に直ちに報告するとともに、漏えい等事案による被害が発覚時よりも拡大しないよう必要な措置を講ずる。

Ｂ　事実関係の調査及び原因の究明
漏えい等事案の事実関係の調査及び原因の究明に必要な措置を講ずる。

Ｃ　影響範囲の特定
上記Ｂで把握した事実関係による影響範囲の特定のために必要な措置を講ずる。

Ｄ　再発防止策の検討及び実施
上記Ｂの結果を踏まえ、漏えい等事案の再発防止策の検討及び実施に必要な措置を講ずる。

Ｅ　委員会への報告及び本人への通知
３（委員会への報告）、４（本人への通知）を参照のこと。なお、漏えい等事案の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、事実関係及び再発防止策等について、速やかに公表する。

３　委員会への報告（番号法第29条の４第１項関係）

Ａ　報告対象となる事態

番号法第29条の４（第１項）
個人番号利用事務等実施者は、特定個人情報ファイルに記録された特定個人情報の漏えい、滅失、毀損その他の特定個人情報の安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を委員会に報告しなければならない。ただし、当該個人番号利用事務等実施者が、他の個人番号利用事務等実施者から当該個人番号利用事務等の全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人番号利用事務等実施者に通知したときは、この限りでない。

行政手続における特定の個人を識別するための番号の利用等に関する法律第 29 条の４第１項及び第２項に基づく特定個人情報の漏えい等に関する報告等に関する規則（以下「規則」という。）第２条
番号法第 29 条の４第１項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。

  • （1）　次に掲げる特定個人情報（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下同じ。）の漏えい、滅失若しくは毀損（以下「漏えい等」という。）が発生し、又は発生したおそれがある事態
    • イ 情報提供ネットワークシステム及びこれに接続された電子計算機に記録された特定個人情報
    • ロ 個人番号利用事務実施者が個人番号利用事務を処理するために使用する情報システムにおいて管理される特定個人情報
    • ハ 行政機関、地方公共団体、独立行政法人等及び地方独立行政法人が個人番号関係事務を処理するために使用する情報システム並びに行政機関、地方公共団体、独立行政法人等及び地方独立行政法人から個人番号関係事務の全部又は一部の委託を受けた者が当該個人番号関係事務を処理するために使用する情報システムにおいて管理される特定個人情報
  • （2）　次に掲げる事態
    • イ 不正の目的をもって行われたおそれがある特定個人情報の漏えい等が発生し、又は発生したおそれがある事態
    • ロ 不正の目的をもって、特定個人情報が利用され、又は利用されたおそれがある事態
    • ハ 不正の目的をもって、特定個人情報が提供され、又は提供されたおそれがある事態
  • （3）　個人番号利用事務実施者又は個人番号関係事務実施者の保有する特定個人情報ファイルに記録された特定個人情報が電磁的方法により不特定多数の者に閲覧され、又は閲覧されるおそれがある事態
  • （4）　次に掲げる特定個人情報に係る本人の数が 100 人を超える事態
    • イ 漏えい等が発生し、又は発生したおそれがある特定個人情報
    • ロ 番号法第９条の規定に反して利用され、又は利用されたおそれがある個人番号を含む特定個人情報
    • ハ 番号法第 19 条の規定に反して提供され、又は提供されたおそれがある特定個人情報

個人番号利用事務等実施者は、次の⑴から⑷までに掲げる事態（以下「報告対象事態」という。）を知ったときは、委員会に報告しなければならない（※１）。

Ｂ　ガイドラインに基づく報告
報告対象事態に該当しない漏えい等事案であっても、特定個人情報を取り扱う行政機関等は委員会に報告する（特定個人情報について、「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられている場合を除く。）。

Ｃ　報告義務の主体
漏えい等報告の義務を負う主体は、規則第２条の事態に該当する特定個人情報を取り扱う個人番号利用事務等実施者である。

特定個人情報の取扱いを委託している場合においては、委託元である行政機関等と委託先の双方が特定個人情報を取り扱っていることになるため、それぞれ報告の対象事態に該当する場合には、原則として委託元と委託先の双方が報告する義務を負う。この場合、委託元及び委託先の連名で報告することができる（※）。 なお、委託先が、報告義務を負っている委託元に当該事態が発生したことを通知したときは、委託先は報告義務を免除される（３Ｆ参照）。

また、行政機関Ａが特定個人情報（特定個人情報Ａ）の取扱いを委託している場合において、受託者が別の行政機関Ｂから特定個人情報（特定個人情報Ｂ）の取扱いを受託しており、特定個人情報Ｂについて受託者において報告の対象事態が発生した場合であっても、委託元である行政機関Ａは報告義務を負わず、行政機関Ｂ及び受託者のみが報告義務を負うことになる。

Ｄ　速報（規則第３条第１項関係）

規則第３条第１項
個人番号利用事務実施者及び個人番号関係事務実施者（以下「個人番号利用事務等実施者」という。）は、番号法第29条の４第１項本文の規定による報告をする場合には、前条各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。次条において同じ。）を報告しなければならない。

  • （1）　概要
  • （2）　特定個人情報の項目
  • （3）　特定個人情報に係る本人の数
  • （4）　原因
  • （5）　二次被害又はそのおそれの有無及びその内容
  • （6）　本人への対応の実施状況
  • （7）　公表の実施状況
  • （8）　再発防止のための措置
  • （9）　その他参考となる事項

個人番号利用事務等実施者は、報告対象事態を知ったときは、速やかに、委員会に報告しなければならない。

報告期限の起算点となる「知った」時点については、個別の事案ごとに判断されるが、行政機関等のいずれかの部署が当該事態を知った時点を基準とする。「速やか」の日数の目安については、個別の事案によるものの、行政機関等が当該事態を知った時点から概ね３日～５日以内である。

委員会への漏えい等報告については、次の⑴から⑼までに掲げる事項を、原則として、委員会のホームページの報告フォームに入力する方法により行う。速報時点での報告内容については、報告をしようとする時点において把握している内容を報告すれば足りる。

Ｅ　確報（規則第３条第２項関係）

規則第３条第２項
個人番号利用事務等実施者は、当該事態を知った日から30日以内（当該事態が前条第２号に定めるものである場合にあっては、60日以内）に、当該事態に関する前項各号に定める事項を報告しなければならない。

個人番号利用事務等実施者は、報告対象事態を知ったときは、速報に加え（※１）、30日以内（規則第２条第２号の事態においては60日以内。同号の事態に加え、同条第１号、第３号又は第４号の事態にも該当する場合も60日以内。）に委員会に報告しなければならない。

30日以内又は60日以内は報告期限であり、可能である場合には、より早期に報告することが望ましい。

報告期限の起算点となる「知った」時点については、速報と同様に、行政機関等のいずれかの部署が当該事態を知った時点を基準とし、確報の報告期限の算定（※２）に当たっては、その時点を１日目とする。

確報においては、３Ｄ⑴から⑼までに掲げる事項の全てを報告しなければならない。確報を行う時点（報告対象事態を知った日から30日以内又は60日以内）において、合理的努力を尽くした上で、一部の事項が判明しておらず、全ての事項を報告することができない場合には、その時点で把握している内容を報告し、判明次第、報告を追完するものとする。

Ｆ　委託元への通知の例外（規則第４条関係）

規則第４条
個人番号利用事務等実施者は、番号法第29条の４第１項ただし書の規定による通知をする場合には、第２条各号に定める事態を知った後、速やかに、前条第１項各号に定める事項を通知しなければならない。

委託先は、委員会への報告義務を負っている委託元に対し、３Ｄ⑴から⑼までに掲げる事項のうち、その時点で把握しているものを通知したときは、報告義務を免除される。

委託元への通知については、速報としての報告と同様に、報告対象事態を知った後、速やかに行わなければならない。「速やか」の日数の目安については、個別の事案によるものの、委託先が当該事態の発生を知った時点から概ね３日～５日以内である。

この場合、委託先から通知を受けた委託元が報告をすることになる。委託元は、通常、遅くとも委託先から通知を受けた時点で、報告対象事態を知ったこととなり、速やかに報告を行わなければならない。

なお、通知を行った委託先は、委託元から報告するに当たり、事態の把握を行うとともに、必要に応じて委託元の漏えい等報告に協力することが求められる。

４　本人への通知（番号法第29条の４第２項）

番号法第29条の４第２項
前項に規定する場合には、個人番号利用事務等実施者（同項ただし書の規定による通知をした者を除く。）は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知しなければならない。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

規則第５条関係
個人番号利用事務等実施者は、番号法第29条の４第２項本文の規定による通知をする場合には、第２条各号に定める事態を知った後、当該事態の状況に応じて速やかに、当該本人の権利利益を保護するために必要な範囲において、第３条第１項第１号、第２号、第４号、第５号及び第９号に定める事項を通知しなければならない。

Ａ　通知対象となる事態及び通知義務の主体
個人番号利用事務等実施者は、報告対象事態を知ったときは、本人への通知を行わなければならない。

通知義務を負う主体は、規則第２条の事態に該当する特定個人情報を取り扱う個人番号利用事務等実施者である。（※）

特定個人情報の取扱いを委託している場合においては、委託元である行政機関等と委託先の双方が特定個人情報を取り扱っていることになるため、それぞれ通知の対象事態に該当する場合には、原則として委託元と委託先の双方が通知する義務を負う。この場合、委託元及び委託先の連名で通知することができる。

漏えい等した特定個人情報の本人に対して円滑に通知を行う観点から、委託元及び委託先は連携するなどして、適切な方法で通知を行うことが望ましい。

なお、特定個人情報の取扱いを委託している場合において、委託先が、報告義務を負っている委託元に３Ｄ⑴から⑼までに掲げる事項のうち、その時点で把握しているものを通知したときは、委託先は報告義務を免除されるとともに、本人への通知義務も免除される。

（※）報告対象事態に該当しない漏えい等事案であっても、事案の内容等に応じて、本人に対し、本人の権利利益を保護するために必要な範囲において、事態の概要、特定個人情報の項目、原因、二次被害又はそのおそれの有無及びその内容並びにその他参考となる事項を通知する。

Ｂ　通知の時間的制限等
個人番号利用事務等実施者は、規則第２条各号に定める事態を知った後、当該事態の状況に応じて速やかに、本人への通知を行わなければならない。

「当該事態の状況に応じて速やかに」とは、速やかに通知を行うことを求めるものであるが、具体的に通知を行う時点は、個別の事案において、その時点で把握している事態の内容、通知を行うことで本人の権利利益が保護される蓋然性、本人への通知を行うことで生じる弊害等を勘案して判断する。

【その時点で通知を行う必要があるとはいえないと考えられる事例（※）】

（※）「当該事態の状況に応じて速やかに」本人への通知を行うべきことに変わりはない。

Ｃ　通知の内容
本人へ通知すべき事項については、漏えい等報告における報告事項のうち、「概要」（規則第３条第１項第１号）、「特定個人情報の項目」（同項第２号）、「原因」（同項第４号）、「二次被害又はそのおそれの有無及びその内容」（同項第５号）及び「その他参考となる事項」（同項第９号）（※）に限られている。これらの事項が全て判明するまで本人への通知をする必要がないというものではなく、本人への通知は、「当該事態の状況に応じて速やかに」行う必要がある（４Ｂ参照）。

本人への通知については、「本人の権利利益を保護するために必要な範囲において」行うものである。そのため、通知によって被害が拡大するおそれがある場合には、その時点で通知を要するものではないが、そのような場合であっても、当該おそれがなくなった後は、速やかに通知する必要がある。

また、当初報告対象事態に該当すると判断したものの、その後実際には報告対象事態に該当していなかったことが判明した場合には、本人への通知が「本人の権利利益を保護するために必要な範囲において」行うものであることに鑑み、本人への通知は不要である。

【本人の権利利益を保護するために必要な範囲において通知を行う事例】

（※）規則第３条第１項第１号、第２号、第４号、第５号及び第９号に定める事項については、３Ｄを参照のこと。なお、同項第９号に定める事項については、本人への通知を補完するため、本人にとって参考となる事項をいい、例えば、本人が自らの権利利益を保護するために取り得る措置が考えられる。

Ｄ　通知の方法
「本人への通知」とは、本人に直接知らしめることをいい、特定個人情報の取扱状況に応じ、通知すべき内容が本人に認識される合理的かつ適切な方法によらなければならない。また、漏えい等報告と異なり、本人への通知については、その様式が法令上定められていないが、本人にとって分かりやすい形で通知を行うことが望ましい。

【本人への通知の方法の事例】

Ｅ　通知の例外
本人への通知を要する場合であっても、本人への通知が困難である場合は、本人の権利利益を保護するために必要な代替措置（※１）を講ずることによる対応が認められる。

【本人への通知が困難な場合に該当する事例】

【代替措置に該当する事例】