特定個人情報保護評価制度について

特定個人情報保護評価とは

特定個人情報ファイル(個人番号をその内容に含む個人情報ファイル)を保有しようとするまたは保有する国の行政機関や地方公共団体等が、個人のプライバシー等の権利利益に与える影響を予測した上で特定個人情報の漏えいその他の事態を発生させるリスクを分析し、そのようなリスクを軽減するための適切な措置を講ずることを宣言するものです。
「番号法(マイナンバー法)」第27条等において、評価の実施が義務づけられています。

(1)制度の目的

特定個人情報保護評価は、「1) 事前対応による個人のプライバシー等の権利利益の侵害の未然防止」及び「2) 国民・住民の信頼の確保」を目的として実施します。

1) 事前対応による個人のプライバシー等の権利利益の侵害の未然防止

情報の漏えいや不正利用等により個人のプライバシー等の権利利益が侵害されると、拡散した情報をすべて消去・修正することが困難であるなど、その回復は容易ではないことから、個人のプライバシー等の権利利益の保護のためには、事後的な対応でなく、事前に特定個人情報ファイルの取扱いに伴う特定個人情報の漏えいその他の事態を発生させるリスクを分析し、このようなリスクを軽減するための措置を講じます。

2) 国民・住民の信頼の確保

特定個人情報ファイルを取り扱う者が、入手する特定個人情報の種類、使用目的・方法、安全管理措置等について国民・住民に分かりやすい説明を行い、その透明性を高めることが求められます。特定個人情報保護評価は、評価実施機関が、評価書において、どのような事務でどのような目的のために特定個人情報ファイルを取り扱うのか、個人のプライバシー等の権利利益の保護のためにどのような措置を講じているのかを具体的に説明します。

(2)制度の仕組み

特定個人情報保護評価は、国の行政機関や地方公共団体等が、特定個人情報ファイルを保有しようとするときは、特定個人情報ファイルを保有する前に、特定個人情報保護評価を実施することを原則として義務づけています。

具体的には、特定個人情報ファイルを保有することで生じるリスクとそれに対する対策を、特定個人情報保護委員会が定めた所定の様式に記入し、公表します。

特定個人情報保護評価は、すべての事務に同一の評価を義務付けるのではなく、個人のプライバシー等の権利利益に影響を与える可能性が高いと考えられる事務について、より手厚い評価を義務付けています。

評価実施機関は、特定個人情報保護評価を実施する事務について、対象人数、取扱者数及び評価実施機関における特定個人情報に関する重大事故の発生の有無に基づく、「しきい値判断」を行い、その結果に基づき、「基礎項目評価」、「重点項目評価」または「全項目評価」のいずれかの評価を実施します。

(3)制度の詳細

制度の詳細については、特定個人情報保護委員会のホームページをご覧ください。

特定個人情報保護委員会 特定個人情報保護評価ホームページ

特定個人情報保護評価を実施した事務について、公表します。

特定個人情報保護評価書一覧