２ 特定個人情報の安全管理措置等

２－⑴ 委託の取扱い

要点
○　個人番号関係事務の全部又は一部の委託をする者は、委託先において、番号法に基づき委託者自らが果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行わなければならない。→ １Ａ、２Ｃ

「必要かつ適切な監督」には、①委託先の適切な選定、②安全管理措置に関する委託契約の締結、③委託先における特定個人情報の取扱状況の把握が含まれる。→１Ｂ

※　安全管理措置の具体的な内容については、「２－⑵ 安全管理措置」及び事業者ガイドラインの「（別添１）特定個人情報に関する安全管理措置（事業者編）」を参照のこと。

○　個人番号関係事務の全部又は一部の「委託を受けた者」は、委託者の許諾を得た場合に限り、再委託を行うことができる。→２Ａ

再委託を受けた者は、個人番号関係事務の「委託を受けた者」とみなされ、最初の委託者の許諾を得た場合に限り、更に再委託することができる。→２Ｂ

（関係条文）

  • 番号法 第10条、第11条
  • 個人情報保護法 第25条

１　委託先の監督（番号法第11条、個人情報保護法第25条）
Ａ　委託先における安全管理措置
個人番号関係事務の全部又は一部の委託をする者（以下「委託者」という。）は、委託した個人番号関係事務で取り扱う特定個人情報の安全管理措置が適切に講じられるよう**「委託を受けた者」に対する必要かつ適切な監督を行わなければならない**。

このため、委託者は、「委託を受けた者」において、番号法に基づき委託者自らが果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行わなければならない。

なお、「委託を受けた者」を適切に監督するために必要な措置を講じず、又は、必要かつ十分な監督義務を果たすための具体的な対応をとらなかった結果、特定個人情報の漏えい等が発生した場合、番号法違反と判断される可能性がある。

＊　保険会社から個人番号関係事務の全部又は一部の委託を受け、個人番号を取り扱う代理店は、番号法上の「委託を受けた者」となり、委託者である保険会社は、代理店において、保険会社自らが果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行わなければならない。

Ｂ　必要かつ適切な監督
「必要かつ適切な監督」には、①委託先の適切な選定、②委託先に安全管理措置を遵守させるために必要な委託契約の締結、③委託先における特定個人情報の取扱状況の把握が含まれる。

委託先の選定については、委託者は、委託先において、番号法に基づき委託者自らが果たすべき安全管理措置と同等の措置が講じられるか否かについて、あらかじめ確認しなければならない。具体的な確認事項としては、委託先の設備、技術水準、従業者（ 注1）に対する監督・教育の状況、その他委託先の経営環境等が挙げられる。

委託先に安全管理措置を遵守させるために必要な委託契約の締結については、契約内容として、秘密保持義務、委託する業務の遂行に必要な範囲を超える事業所内からの特定個人情報の持ち出しの禁止、特定個人情報の目的外利用の禁止、再委託における条件、漏えい等事案が発生した場合の委託先の責任、委託契約終了後の特定個人情報の返却又は廃棄、従業者に対する監督・教育、契約内容の遵守状況について報告を求める規定等を盛り込まなければならない。また、これらの契約内容のほか、特定個人情報を取り扱う従業者の明確化、委託者が委託先に対して実地の調査を行うことができる規定等を盛り込むことが望ましい。（注２）

委託先における特定個人情報の取扱状況の把握については、前記の契約に基づき報告を求めること等により、委託契約で盛り込んだ内容の実施の程度を把握した上で、委託の内容等の見直しを検討することを含め、適切に評価することが望ましい。

２　再委託（番号法第10条、第11条）
Ａ　再委託の要件（第10条第１項）
個人番号関係事務の全部又は一部の「委託を受けた者」は、委託者の許諾を得た場合に限り、再委託をすることができる。

＊　金融機関甲が個人番号関係事務を事業者乙に委託している場合、乙は、委託者である甲の許諾を得た場合に限り、同事務を別の事業者丙に委託することができる。

Ｂ　再委託の効果（第10条第２項）
再委託を受けた者は、個人番号関係事務の全部又は一部の「委託を受けた者」とみなされ、再委託を受けた個人番号関係事務を行うことができるほか、最初の委託者の許諾を得た場合に限り、その事務を更に再委託することができる。

Ｃ　再委託先の監督（第11条）
１Ａにおける「委託を受けた者」とは、委託者が直接委託する事業者を指すが、甲→乙→丙→丁と順次委託される場合、乙に対する甲の監督義務の内容には、再委託の適否だけではなく、乙が丙、丁に対して必要かつ適切な監督を行っているかどうかを監督することも含まれる。したがって、甲は乙に対する監督義務だけではなく、再委託先である丙、丁に対しても間接的に監督義務を負うこととなる。

２－⑵ 安全管理措置

● 安全管理措置（番号法第12条、個人情報保護法第23条、第24条）
個人番号関係事務実施者である金融機関は、個人番号（生存する個人のものだけでなく死者のものも含む。）及び特定個人情報（以下「特定個人情報等」という。）の漏えい、滅失又は毀損の防止その他の特定個人情報等の管理のために、必要かつ適切な措置を講じなければならない。また、従業者（注）に特定個人情報等を取り扱わせるに当たっては、特定個人情報等の安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

（注）「従業者」とは、金融機関の組織内にあって直接間接に金融機関の指揮監督を受けて金融機関の業務に従事している者をいう。具体的には、従業員のほか、取締役、監査役、理事、監事、派遣社員等を含む。

※　安全管理措置の具体的な内容については、事業者ガイドラインの「（別添１）特定個人情報に関する安全管理措置（事業者編）」を参照することとするが、個人情報保護委員会・金融庁作成の「金融分野における個人情報保護に関するガイドラインの安全管理措置等についての実務指針」を遵守することを前提とする。