講演･企業研修実績（抜粋）

法令解説ブログバックナンバーリスト（個人情報保護法・マイナンバー法・ストレスチェック制度・議員秘書規則・女性活躍推進法）

FB公式ページ

FB個人アカウント松本祐徳

FB個人アカウント中華そば

 

執筆・寄稿・取材（宝島社・毎日新聞社・日本経済新聞社・小学館・Yahoo!ニュース）
著書『図解とQ&Aですっきりわかるマイナンバーのしくみ』（宝島社）＝33,000部＝トーハン調べ2015/11/4週間ベストセラー単行本ビジネス書６位

講演

政治家小池百合子顧問社労士

内閣大臣補佐官～マイナンバー福田峰之代議士と親交

国会議員の方々と（一部抜粋）

個人情報保護規程（マイナンバー法・ストレスチェック網羅版）

特定個人情報保護評価の実施時期（新規保有時以外）

①　基本的な考え方【指針】

評価実施機関は、過去に特定個人情報保護評価を実施した特定個人情報ファイルを取り扱う事務について、下記②（重要な変更）又は③（しきい値判断の結果の変更）の場合には、特定個人情報保護評価を再実施するものとし、下記④（一定期間経過）の場合には、再実施するよう努めるものとする。

再実施に当たっては、委員会が定める特定個人情報保護評価書様式中の変更箇所欄に変更項目等を記載するものとする。下記②から④まで以外の場合に特定個人情報保護評価を任意に再実施することを妨げるものではない。

②　重要な変更に係る実施時期【第28条第１項、評価規則第９条第１項、指針】

行政機関の長等は、保有する特定個人情報ファイルに重要な変更を加えようとするときは、当該変更を加える前に、特定個人情報保護評価を再実施する。ただし、災害が発生したときの対応等、特定個人情報保護評価を実施せずに特定個人情報ファイルの取扱いを変更せざるを得ない場合は、特定個人情報ファイルの取扱いの変更後、速やかに特定個人情報保護評価を再実施するものとする。

イ　システムの開発を伴う場合の実施時期

システムの要件定義の終了までに実施することを原則とするが、評価実施機関の判断で、プログラミング開始前の適切な時期に特定個人情報保護評価を実施することができる。

ロ　システムの開発を伴わない又はその他の電子ファイルを保有する場合の実施時期

事務処理の変更の検討段階で特定個人情報保護評価を実施するものとする。

③　重要な変更の定義【第28条第１項、評価規則第９条第２項、第11条、指針】

第28条第１項「評価規則で定める重要な変更」は、次の通りである。

イ　本人として特定個人情報ファイルに記録される個人の範囲の変更

ロ　その他特定個人情報の漏えいその他の事態の発生の危険性及び影響が大きい変更として指針で定めるもの

上記ロは、重点項目評価書又は全項目評価書の記載項目のうち、下記に掲げる指針の別表に定めるものについての変更が該当する。ただし、誤字脱字の修正、組織の名称、所在地、法令の題名等の形式的な変更又は個人のプライバシー等の権利利益に影響を与え得る特定個人情報の漏えいその他の事態を発生させるリスクを明らかに軽減させる変更（具体的には、ウイルス対策ソフトウェアのバージョンアップなどの単純な最新化、監視カメラの設置台数や監視頻度の増加など）は、重要な変更には当たらないものとしている。ただし、システムを全面的に入れ替える場合や事務手続を大幅に変更する場合などは、たとえその変更がリスク対策の強化を目的とするものであっても、評価実施機関が実施する事務又はシステム全体に複雑な影響を及ぼしかねないことから、むしろ重要な変更として、特定個人情報保護評価を再実施することが必要と考えられる。

特定個人情報保護評価書の名称	重要な変更の対象である記載項目
１ 重点項目評価書	１ 個人番号の利用 ２ 情報提供ネットワークシステムによる情報連携 ３ 特定個人情報ファイルの種類 ４ 特定個人情報ファイルの対象となる本人の範囲 ５ 特定個人情報ファイルに記録される主な項目 ６ 特定個人情報の入手元 ７ 特定個人情報の使用目的 ８ 特定個人情報ファイルの取扱いの委託の有無 ９ 特定個人情報ファイルの取扱いの再委託の有無 10 特定個人情報の保管場所 11 リスク対策（重大事故の発生を除く。）
２ 全項目評価書	１ 特定個人情報ファイルを取り扱う事務の内容 ２ 個人番号の利用 ３ 情報提供ネットワークシステムによる情報連携 ４ 特定個人情報ファイルの種類 ５ 特定個人情報ファイルの対象となる本人の範囲 ６ 特定個人情報ファイルに記録される主な項目 ７ 特定個人情報の入手元 ８ 特定個人情報の使用目的 ９ 特定個人情報の使用部署 10 特定個人情報の使用方法 11 特定個人情報の突合 12 特定個人情報の統計分析 13 特定個人情報の使用による個人の権利利益に影響を与え得る決定 14 特定個人情報ファイルの取扱いの委託の有無 15 取扱いを委託する特定個人情報ファイルの対象となる本人の範囲 16 特定個人情報ファイルの取扱いの再委託の有無 17 特定個人情報の保管場所 18 特定個人情報ファイルの取扱いプロセスにおけるリスク対策（重大事故の発生を除く。） 19 その他のリスク対策

 

指針の別表に定めるとおり、重大事故の発生それ自体が直ちに重要な変更に当たるものではないが、特定個人情報に関する重大事故の発生に伴い評価実施機関がリスク対策等を見直すことが想定され、この場合は、重要な変更に該当する。

なお、指針の解釈によれば、「重大事故の発生は重要な変更に当たらない」と定める理由は、重大事故の発生を事前に知ることは不可能であり、特定個人情報保護評価を事前に再実施することが求められる「重要な変更」の対象とはならないからである。

④　しきい値判断の結果の変更

イ　評価規則第14条に基づく特定個人情報保護評価書の見直しにおいて、対象人数又は取扱者数が増加したことによりしきい値判断の結果が変わり、新たに重点項目評価又は全項目評価を実施するものと判断される場合、評価実施機関は、速やかに特定個人情報保護評価を再実施するものとする。【評価規則第６条第２項、第３項、第７条第２項乃至第６項、第８条、第14条】

ロ　評価実施機関における特定個人情報に関する重大事故の発生によりしきい値判断の結果が変わり、新たに重点項目評価又は全項目評価を実施するものと判断される場合、評価実施機関は、当該特定個人情報に関する重大事故の発生後速やかに特定個人情報保護評価を再実施するものとする。【評価規則第６条第２項、第３項、第７条第２項乃至第６項、第８条、第14条】

ハ　特定個人情報保護評価を実施（又は再実施）した後、特定個人情報ファイルの取扱いに伴う特定個人情報の漏えいその他の事態を発生させるリスクを変動させる変更であっても、その性質上、基礎項目評価書中のしきい値判断項目（評価対象の事務の対象人数、特定個人情報ファイルの取扱者数及び特定個人情報に関する重大事故）は「重要な変更」に該当しない。【指針】

対象人数	人口動態や経済社会情勢の変化に影響されて日々変化するため、必ずしも評価実施機関が能動的に変更するものではない
取扱者数	職員の異動やアルバイトの採用などに伴い日々変化する
重大事故	事前予知が不可能

 

ニ　ある事務について既に特定個人情報保護評価書を公表していた場合、当該事務に関わりのない評価実施機関内の部署が特定個人情報に関する重大事故を発生させたとしても、それにより当該事務に関するしきい値判断の結果が変われば、当該事務に関わりのない評価実施機関内の部署を含めて、特定個人情報保護評価の再実施が必要となる。理由は、重大事故が発生した場合、その事故を起こした事務や部署だけではなく、評価実施機関全体に対する国民・住民の信頼に関わると考えられることに加え、事故が発生した要因の分析及び再発防止策については、評価実施機関全体で取り組む必要があるとの見解のためである。【指針】

ホ　評価実施機関内の他部署で重大事故が発生したが、元々全項目評価の対象のため、しきい値判断の結果に変更がない場合における特定個人情報保護評価の再実施について、重大事故の発生それ自体が直ちに重要な変更に当たるものではないが、重大事故の発生を契機として、評価実施機関がリスク対策等を見直すことが想定され、システムの全面的な入替えや事務手続の大幅な変更が計画される場合には、元々全項目評価を実施していた事務についても、「重大な変更」として特定個人情報保護評価の再実施が必要となる。【指針】

⑤　一定期間経過【評価規則第15条、指針】

評価実施機関は、評価規則第15条の規定に基づき、直近の特定個人情報保護評価書を公表した日から５年を経過する前に、特定個人情報保護評価を再実施するよう努めるものとする。

なお、昨今の情報通信技術の進歩の早さを踏まえると、５年を経過すればリスク対策などを見直す必要性が高くなっていることが想定され、直近の特定個人情報保護評価書を公表してから５年を経過する前に特定個人情報保護評価を再実施することを努力義務としている。