第３　総論

第３－１　目的

個人情報保護委員会（以下「委員会」という。）は、個人情報保護法第131条に基づき、行政機関等の事務及び事業の適正かつ円滑な運営を図り、並びに個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであることその他の個人情報の有用性に配慮しつつ、個人の権利利益を保護するため、個人情報の適正な取扱いの確保を図ること（個人番号関係事務実施者又は個人番号利用事務実施者に対する指導及び助言その他の措置を講ずることを含む。）を任務としている。本ガイドラインは、番号法第４条及び個人情報保護法第131条に基づき、事業者が特定個人情報の適正な取扱いを確保するための具体的な指針を定めるものである。

第３－２　本ガイドラインの適用対象等

• （1）　本ガイドラインの適用対象

  番号法は、行政機関等（個人情報保護法第２条第11項に規定する行政機関等をいう。以下同じ。）又は事業者の別を問わず、個人番号を取り扱う全ての者を適用の対象としており、本ガイドラインは、番号法の適用を受ける者のうち事業者を対象とするものである。

  なお、事業者のうち金融機関が行う金融業務に関しては、「第４　各論」に相当する部分について、「（別冊）金融業務における特定個人情報の適正な取扱いに関するガイドライン」を適用するものとする。

• （2）　事業者が番号法の適用を受ける場面

  全ての事業者は、個人番号の提供の求めの制限（番号法第15条）並びに特定個人情報の提供の制限（同法第19条）及び収集等の制限（同法第20条）の規定の適用を受ける。また、事業者が番号法の規定の適用を受ける主な事務は、次のとおりである。

  • 事業者が従業員等から個人番号の提供を受けて、これを給与所得の源泉徴収票、給与支払報告書、健康保険・厚生年金保険被保険者資格取得届等の必要な書類に記載して、税務署長、市区町村長、日本年金機構等に提出する事務（同法第９条第４項）

  • 金融機関が顧客から個人番号の提供を受けて、これを配当等の支払調書に記載して税務署長に提出する事務（同法第９条第４項）

  • 健康保険組合、全国健康保険協会等（以下「健康保険組合等」という。）が個人番号を利用して個人情報を検索、管理する事務（同法第９条第１項）

  • 激甚災害が発生したとき等において、金融機関が個人番号を利用して金銭を支払う事務（同法第９条第５項）
    さらに、事業者が、行政機関等又は他の事業者から個人番号を取り扱う事務の委託を受けた場合も、番号法の適用を受ける。

第３－３　本ガイドラインの位置付け等

• （1）番号法と個人情報保護法との関係

  全ての事業者は、番号法が特定個人情報について規定している部分の適用を受ける。

  個人情報取扱事業者は、番号法第30条により適用除外となる部分を除き、特定個人情報について、一般法である個人情報保護法の規定の適用も受ける。

• （2）本ガイドラインの位置付け

  本ガイドラインは、特定個人情報の適正な取扱いについての具体的な指針を定めるものである。

  また、特定個人情報に関し、番号法に特段の規定がなく個人情報保護法が適用される部分については、委員会が定める「個人情報の保護に関する法律についてのガイドライン」等（以下「個人情報保護法ガイドライン等」という。）を遵守することを前提としている。

第３－４　番号法の特定個人情報に関する保護措置

• （1）保護措置の概要

  個人番号は、社会保障、税、災害対策その他の行政分野において、個人情報を複数の機関の間で紐付けるものであり、住民票を有する全ての者に一人一番号で重複のないように、住民票コードを変換して得られる番号である。したがって、個人番号が悪用され、又は漏えいした場合、個人情報の不正な追跡・突合が行われ、個人の権利利益の侵害を招きかねない。

  そこで、番号法においては、特定個人情報について、個人情報保護法よりも厳格な各種の保護措置を設けている。この保護措置は、「特定個人情報の利用制限」、「特定個人情報の安全管理措置等」及び「特定個人情報の提供制限等」の三つに大別される。

  ア　特定個人情報の利用制限
  個人情報保護法は、個人情報の利用目的についてできる限り特定（個人情報保護法第17条）した上で、原則として当該利用目的の範囲内でのみ利用することができるとしている（同法第18条）が、個人情報を利用することができる事務の範囲については特段制限していない。

  これに対し、番号法においては、個人番号を利用することができる範囲について、社会保障、税、災害対策その他の行政分野に関する特定の事務に限定している（番号法第９条）。また、本来の利用目的を超えて例外的に特定個人情報を利用することができる範囲について、個人情報保護法における個人情報の利用の場合よりも限定的に定めている（同法第30条第２項）。さらに、必要な範囲を超えた特定個人情報ファイルの作成を禁止している（同法第29条）。

  イ　特定個人情報の安全管理措置等
  個人情報保護法は、個人情報取扱事業者に対して、個人データに関する安全管理措置を講ずることとし（個人情報保護法第23条）、従業者の監督義務及び委託先の監督義務を課している（同法第24条、第25条）。

  番号法においては、これらに加え、全ての事業者に対して、個人番号（生存する個人のものだけでなく死者のものも含む。）について安全管理措置を講ずることとされている（番号法第12条）。

  また、個人番号関係事務又は個人番号利用事務を再委託する場合には委託者による再委託の許諾を要件とする（同法第10条）とともに、委託者の委託先に対する監督義務を課している（同法第11条）。

  ウ　特定個人情報の提供制限等
  個人情報保護法は、個人情報取扱事業者に対し、個人データについて、法令の規定に基づく場合等を除くほか、本人の同意を得ないで、第三者に提供することを認めていない（個人情報保護法第27条）。

  番号法においては、特定個人情報の提供について、個人番号の利用制限と同様に、個人情報保護法における個人情報の提供の場合よりも限定的に定めている（番号法第19条）。また、何人も、特定個人情報の提供を受けることが認められている場合を除き、他人（自己と同一の世帯に属する者以外の者をいう。）に対し、個人番号の提供を求めてはならない（同法第15条）。

  さらに、特定個人情報の収集又は保管についても同様の制限を定めている（同法第20条）。

  なお、本人から個人番号の提供を受ける場合には、本人確認を義務付けている（同法第16条）。

• （2）委員会による監視・監督

  委員会は、特定個人情報の取扱いに関する監視・監督を行うため、次に掲げる権限を有している。

  • 　個人番号関係事務実施者又は個人番号利用事務実施者に対し、特定個人情報の取扱いに関し、必要な指導及び助言をすることができる（番号法第33条）。
  • 　特定個人情報の取扱いに関して法令違反行為が行われた場合において、その適正な取扱いの確保のために必要があると認めるときには、当該違反行為をした者に対し、期限を定めて、当該違反行為の中止その他違反を是正するために必要な措置をとるべき旨を勧告することができる（同法第34条第１項）。
  • 　勧告を受けた者が正当な理由なく勧告に係る措置をとらなかったときには、その者に対し、期限を定めて、勧告に係る措置をとるべきことを命ずることができる（同条第２項）。
  • 　さらに、特定個人情報の取扱いに関して法令違反行為が行われた場合において、個人の重大な権利利益を害する事実があるため緊急に措置をとる必要があると認めるときは、当該違反行為をした者に対し、期限を定めて、当該違反行為の中止その他違反を是正するために必要な措置をとるべき旨を命ずることができる（同条第３項）。
  • 　特定個人情報を取り扱う者その他の関係者に対し、特定個人情報の取扱いに関し、必要な報告若しくは資料の提出を求めること又は立入検査を行うことができる（同法第35条）。

• （3）罰則の強化

  個人情報保護法における個人情報取扱事業者に対する罰則の適用は、個人情報データベース等を不正な利益を図る目的で提供等した場合、委員会からの是正命令に違反した場合、虚偽報告を行った場合等に限られている。一方、番号法においては、類似の刑の上限が引き上げられているほか、正当な理由なく特定個人情報ファイルを提供したとき、不正な利益を図る目的で個人番号を提供、盗用したとき、人を欺く等して個人番号を取得したときの罰則を新設する等罰則が強化されている（番号法第48条から第55条の３まで）。

  なお、次表①から⑤まで及び⑧は、日本国外においてこれらの罪を犯した者にも適用される（番号法第56条）。また、法人（法人でない団体で代表者又は管理人の定めのあるものを含む。以下この項目において同じ。）の代表者若しくは管理人又は法人若しくは人の代理人、使用人その他の従業者が、その法人又は人の業務に関して、次表①、②、④又は⑥から⑧までの違反行為をしたときは、その行為者を罰するほか、その法人又は人に対しても、罰金刑が科される（同法第57条第１項）。

  項番	行為	番号法		個人情報保護法の類似規定
  ①	個人番号関係事務又は個人番号利用事務に従事する者又は従事していた者が、正当な理由なく、特定個人情報ファイルを提供	行為者	４年以下の拘禁刑若しくは200万円以下の罰金又は併科（第48条）	－
  ①	個人番号関係事務又は個人番号利用事務に従事する者又は従事していた者が、正当な理由なく、特定個人情報ファイルを提供	法人	１億円以下の罰金（第57条第１項第１号）	－
  ②	上記の者が、不正な利益を図る目的で、個人番号を提供又は盗用	行為者	３年以下の拘禁刑若しくは150万円以下の罰金又は併科（第49条）	１年以下の拘禁刑又は50万円以下の罰金（第179条）
  ②	上記の者が、不正な利益を図る目的で、個人番号を提供又は盗用	法人	１億円以下の罰金（第57条第１項第１号）	１億円以下の罰金（第184条第１項第１号）
  ③	情報提供ネットワークシステムの事務に従事する者又は従事していた者が、情報提供ネットワークシステムに関する秘密を漏えい又は盗用	行為者	同上（第50条）	－
  ④	人を欺き、人に暴行を加え、人を脅迫し、又は、財物の窃取、施設への侵入、不正アクセス等により個人番号を取得	行為者及び 法人	３年以下の拘禁刑又は150万円以下の罰金（第51条、第57条第１項第２号）	－
  ⑤	国の機関の職員等（領事官であって国の機関の職員等以外の者を含む。）が、職権を濫用して、専らその職務の用以外の用に供する目的で、特定個人情報が記録された文書等を収集	行為者	２年以下の拘禁刑又は100万円以下の罰金（第52条）	－
  ⑥	委員会から命令を受けた者が、委員会の命令に違反	行為者	２年以下の拘禁刑又は50万円以下の罰金（第53条）	１年以下の拘禁刑又は100万円以下の罰金（第178条）
  ⑥	委員会から命令を受けた者が、委員会の命令に違反	法人	１億円以下の罰金（第57条第１項第１号）	１億円以下の罰金（第184条第１項第１号）
  ⑦	委員会に対する、虚偽の報告、虚偽の資料提出、検査拒否等	行為者及び 法人	１年以下の拘禁刑又は50万円以下の罰金（第54条、第57条第１項第２号）	50万円以下の罰金（第182条、第184条第１項第２号）
  ⑧	偽りその他不正の手段により個人番号カード又はカード代替電磁的記録を取得	行為者及び 法人	６月以下の拘禁刑又は50万円以下の罰金（第55条、第57条第１項第２号）	－

第３－５　特定個人情報保護のための主体的な取組について

事業者が特定個人情報の適正な取扱いを確保するためには、経営者自らが特定個人情報に対する保護措置の重要性について十分な認識を持って適切な経営管理を行うことが重要である。その上で、事業者は、番号法等関係法令並びに本ガイドライン及び個人情報保護法ガイドライン等に従い、特定個人情報の適正な取扱いを確保するための具体的な方策について検討し、実践するとともに、業務の実態、技術の進歩等を踏まえ、点検・見直しを継続的に行う体制を主体的に構築することが重要である。

なお、番号法第６条において、個人番号を利用する事業者は、基本理念にのっとり、国及び地方公共団体が個人番号の利用に関し実施する施策に協力するよう努めるものとするとされている。

第３－６　特定個人情報の漏えい等事案が発生した場合の対応

個人データの漏えい等事案が発生した場合、個人情報取扱事業者は個人情報保護法、「個人情報の保護に関する法律施行規則」（平成28年個人情報保護委員会規則第３号）及び個人情報保護法ガイドライン等に基づき報告等が求められているところであるが、特定個人情報の漏えい等事案が発生した場合、事業者には、番号法第29条の４、「行政手続における特定の個人を識別するための番号の利用等に関する法律第29条の４第１項及び第２項に基づく特定個人情報の漏えい等に関する報告等に関する規則」（平成27年特定個人情報保護委員会規則第５号）及び本ガイドライン「（別添２）特定個人情報の漏えい等に関する報告等（事業者編）」に基づき報告等が求められる。

第３－７　本ガイドラインの見直しについて

本ガイドラインについては、社会情勢の変化、国民の意識の変化、技術動向の変化等諸環境の変化を踏まえ、必要に応じ見直しを行うものとする。