平成27年10月5日年発1005第2号
（地方厚生（支）局長あて 厚生労働省年金局長）
行政手続における特定の個人を識別するための番号の利用等に関する法律（平成25年法律第27号）が平成27年10月５日に施行されることに伴い、企業年金等に関する特定個人情報の取扱いについては、別紙「企業年金等に関する特定個人情報の取扱い準則」によることとしたので、遺漏のないように取り扱われたい。
別紙
企業年金等に関する特定個人情報の取扱い準則
企業年金等に関する特定個人情報の取扱いについては、行政手続における特定の個人を識別するための番号の利用等に関する法律（平成25年法律第27号。以下「番号法」という。）及び関係法令並びに「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」（平成26年特定個人情報保護委員会告示第５号。以下「特定個人情報ガイドライン」という。）によるほか、この準則の定めるところによる。
第一 定義に関する事項
本準則において、次に掲げる用語の定義は、以下(1)～(13)に定めるところによる。(1) 個人番号 番号法第２条第５項に規定する個人番号をいう。
(2) 特定個人情報 番号法第２条第８項に規定する特定個人情報をいう。
(3) 存続厚年基金 公的年金制度の健全性及び信頼性の確保のための厚生年金保険法等の一部を改正する法律（平成25年法律第63号。以下「平成25年改正法」という。）附則第３条第11号に規定する存続厚生年金基金をいう。
(4) 企年連 平成25年改正法附則第3条第13号に規定する存続連合会又は確定給付企業年金法（平成13年法律第50号）第91条の２に規定する企業年金連合会をいう。
(5) 国基連 国民年金法（昭和34年法律第141号。以下「国年法」という。）第137条の２の５に規定する国民年金基金連合会をいう。
(6) 国基 国民年金法第115条に規定する国民年金基金をいう。
(7) 確定給付企業年金を実施する基金又は事業主 確定給付企業年金法第２条第１項に規定する確定給付企業年金を実施する基金又は事業主をいう。
(8) 確定拠出年金を実施する事業主 確定拠出年金法（平成13年法律第88号）第２条第２項に規定する企業型年金を実施する事業主をいう。
(9) 事業主等 確定給付企業年金法に規定する確定給付企業年金又は確定拠出年金法に規定する確定拠出年金を実施する事業主をいう。
(10) 企業年金等 存続厚年基金、国基、確定給付企業年金を実施する基金又は事業主等をいう。
(11) 企業年金等関連番号取扱事務 企年連、国基連又は企業年金等に関する事務のうち、番号法別表第一の下欄に掲げる事務をいう。
(12) 個人番号取得事務 個人番号を取得する事務をいう。
(13) 法定調書等記載事務 相続税法（昭和25年法律第73号）第59条第１項に規定する調書、地方税法（昭和25年法律第226号）第317条の６第４項に規定する公的年金等支払報告書、同法第328条の14に規定する特別徴収票、所得税法（昭和40年法律第33号）第225条第１項第４号若しくは第８号に規定する支払に関する調書又は同法第226条第２項若しくは第３項に規定する源泉徴収票（以下「法定調書等」という。）に取得した個人番号を記載する事務をいう。
第二 安全管理措置について
一 企年連、国企連又は企業年金等（企年連、国企連又は企業年金等より委託を受けた者を含む。以下、第七を除き同じ。）が個人番号及び特定個人情報（以下「特定個人情報等」という。）を取り扱うにあたっては、特定個人情報等の漏えい、減失又は毀損の防止その他の特定個人情報等の適切な管理のために必要な措置を講じなければならず、安全管理措置について、特定個人情報ガイドラインのうち、「（別添）特定個人情報に関する安全管理措置（事業者編）」に則り、以下の取扱いとすること。
(1) 企年連、国基連又は企業年金等が特定個人情報等を取り扱う場合にあっては、以下の通りとすること。
① 企年連、国基連又は企業年金等は、特定個人情報等について基幹システム又はそれに類するシステムで取り扱う場合にあっては、当該システムは、インターネットと物理的又は論理的に切断すること。また、特定個人情報等を取り扱う作業は、インターネットと物理的に切断されたパソコン等で行う等適切な措置を講じ、特定個人情報等の適正管理を徹底すること。
② 特定個人情報等を電子計算機上で保存するにあたっては、当該情報の暗号化又はパスワードの付与を行った上で保存すること。また、当該パスワードは定期的に変更すること。
③ 特定個人情報等を取り扱う者として、あらかじめ事務取扱担当者を設定し、当該事務取扱担当者以外の者が当該電子計算機を扱わないようにすること。また、特定個人情報等に付与したパスワードは、事務取扱担当者の間でのみ共有すること。また、当該パスワードは定期的に変更すること。
④ 特定個人情報等の保存について、電子媒体に記録し、保存する場合にあっては、当該情報の暗号化又はパスワードの付与を行った上で保存するとともに、鍵のついた金庫に保管する等、外部から遮断できる環境において保管し、当該保管状況について、事務取扱担当者が一週間に一回等実情に合わせた定期的な確認をするものとすること。また、当該パスワードは定期的に変更すること。
(2) 企年連、国基連又は企業年金等が本人以外の者に対して、電子媒体、通信又は書面を用いて、特定個人情報等の送付を行う場合、以下の取扱いとすること。
① 電子媒体を用いる場合には、保存する特定個人情報等の暗号化又はパスワードの付与を行い、かつ、当該電子媒体の紛失を防ぐため、施錠できる搬送容器を使用する等の措置を講じた上で、送付履歴が分かるようにすること。
② 通信を用いる場合には、送信する特定個人情報等について暗号化又はパスワードの設定を付した上で、電子メール等での送信は行わず、専用回線等のセキュリティが確保された通信経路を使用すること。セキュリティが確保された通信経路は以下のものが考えられる。
ア 専用回線
イ ＶＰＮ等専用回線に準じたもの
ウ ＳＳＬ/ＴＬＳ等を活用した暗号化による通信
③ 書面を用いる場合には、当該書面の紛失を防ぐため、施錠できる搬送容器を使用する等の措置を講じた上で、送付履歴が分かるようにすること。
(3) 取扱規程等に基づく運用状況を確保するため、システムログ又は利用実績を記録し、一年程度保存すること。
二 企年連、国基連又は企業年金等における特定個人情報等の廃棄について、特定個人情報ガイドラインのうち、「（別添）特定個人情報に関する安全管理措置（事業者編）」に則り、あらかじめ加入者等に提示した利用範囲内における使用が見込まれなくなった場合で、所得税法等の関係法令において定められている保存期間を経過した場合には、個人番号を速やかに復元できない手段で削除又は廃棄すること。その場合には、外部に情報が漏れないよう、十分なセキュリティ措置を講じた上で廃棄すること。
三 企年連、国基連又は企業年金等は、企業年金等関連番号取扱事務を委託する場合にあっては、特定個人情報ガイドライン第４－２の取扱いに則り、委託先において番号法に基づいた安全管理措置が行われるよう必要かつ適切な監督を行うこととし、当該委託契約を締結するにあたっては、以下の項目を定めた規定が盛り込まれていること。
(1) 秘密保持義務
(2) 事業所内からの特定個人情報等の持ち出しの禁止（ただし、委託元又は再委託先への持ち出しの場合は除く）
(3) 特定個人情報等の目的外利用の禁止
(4) 再委託における条件
(5) 漏えい事案等が発生した場合の委託先の責任
(6) 委託契約終了後の特定個人情報等の返却又は廃棄
(7) 特定個人情報等を取り扱う従業者の明確化
(8) 従業者に対する監督・教育
(9) 契約内容の遵守状況について報告を求め、必要があると認めるときは委託先に対して実地の調査を行うことができること
四 企業年金等関連番号取扱事務の全部又は一部の委託を受けた者は、当該事務の委託をした者の許諾を得た場合に限り、再委託をすることができる。委託をした者が再委託の許否を判断するにあたっては、再委託を受ける者において特定個人情報等の適切な安全管理を講じるための体制が整備されていること等を、委託を受けた者を通じて確認すること。
第三 企業年金等関連番号取扱事務について
企年連、国基連又は企業年金等が、企業年金等関連番号取扱事務を行うにあたっては、以下の取扱いを遵守し、特定個人情報ガイドラインを踏まえた基本方針や取扱規程等の策定を行うとともに、その他詳細な取扱いについては、特定個人情報ガイドラインの「（別添）特定個人情報に関する安全管理措置（事業者編）」に則り、以下の取り扱いとすること。
(1) 個人番号を取り扱う事務の範囲を明確化すること。
(2) (1)の事務において、取り扱う特定個人情報等の範囲を明確化すること。
(3) (1)の事務に従事する事務取扱担当者を明確化すること。
(4) 特定個人情報等の取扱いに係る基本方針を策定すること。
(5) (1)～(3)における、取扱規程等を策定すること。
第四 個人番号取得事務について
一 個人番号取得事務とは、以下のいずれかをいう。
(1) 企年連、国基連又は企業年金等が、本人から郵送等により、本人確認書類の提出を受けて取得
(2) 企業年金等（企業年金等より委託を受けた者を含む。以下、第七を除き同じ。）が、受給権者が勤めていた企業から取得
二 企年連、国基連又は企業年金等が、本人から郵送等により、本人確認書類の提出を受けて取得する場合は、番号法に則るものとする。なお、本人から個人番号の申告を受ける際に必要な本人確認書類について、存続厚年基金又は国基が発行する加入員証は、本人確認を行う存続厚年基金又は国基が認める場合に限り、行政手続における特定の個人を識別するための番号の利用等に関する法律施行規則（平成26年内閣府・総務省令第３号）第１条第１項第３号ロに規定する書類に該当するものとして取扱いをして差し支えない。
三 存続厚年基金、確定給付企業年金を実施する基金又は事業主（存続厚生年金、確定給付企業年金を実施する基金又は事業主より委託を受けた者を含む。以下この号及び第六の二において「基金等」という。）が、受給権者が勤めている又は勤めていた企業（以下この号及び第六の二において「企業」という。）から取得する場合には、以下の取扱いとすること。
(1) 基金等が、企業から法定調書等記載事務に用いるための特定個人情報等の提供を受ける場合にあっては、当該企業に対し法定調書等記載事務に用いるための特定個人情報等を収集する事務の委託を行うものであること。
(2) 基金等は、企業が本人から特定個人情報等を収集しようとするにあたっては、特定個人情報ガイドライン第４－３に則るほか、特定個人情報等の利用目的及び利用時期等について企業があらかじめ本人に明示するよう依頼すること。また、収集時期については、特定個人情報等の漏えいの危険性等を踏まえ適切に判断すること。
第五 法定調書等記載事務について
企年連、国基連又は企業年金等が法定調書等記載事務を行うにあたっては、安全管理措置を講じ、特定個人情報等を取り扱う者以外の者から特定個人情報等が閲覧できないよう、仕切られた空間で限られた者のみが特定個人情報等を取り扱うことを徹底する等、適切な措置を講じた上で、以下の取扱いとすること。
(1) 電子計算機上で特定個人情報等を整理し、当該情報を印刷等により法定調書等に記載する場合にあっては、印刷された用紙の紛失を防ぐため、出力した法定調書等の枚数の確認を行うこと。
(2) 特定個人情報等について、人の手で書き写す等の作業を通じて、法定調書等に記載する場合にあっては、書類の紛失を防ぐため、作業の開始時と終了時で書類の枚数の確認を行うこと。
第六 委託契約について
一 確定拠出年金を実施する事業主（この号において「事業主」という。）により、確定拠出年金法第８条に規定された資産管理契約に係る委託を受けた資産管理機関は、運営管理機関又は記録関連運営管理機関と委託契約を締結している場合又は新たに締結する場合にあっては、以下の取扱いとすること。
(1) 資産管理機関が運営管理機関又は記録関連運営管理機関に委託する場合にあっては、当該資産管理機関が資産管理契約を締結している事業主からの許諾を得ること。
(2) 契約は書面をもって行うこととし、当該契約については、特定個人情報ガイドライン第４－２に則るほか、以下の条件を契約に盛り込むこと。
① 特定個人情報等を保管する者は、当該特定個人情報等を長期的に保有する可能性を踏まえ、適切なセキュリティ上の対策を十分に講じること
② 運営管理機関が特定個人情報等を記録関連運営管理機関に提供する場合にあっては、第二の一(2)の取扱いに則るとともに、記録関連運営管理機関は、提供を受けた特定個人情報等に対応する者が、特定個人情報等を要求した者と合致するものであるか速やかに確認し、仮に合致しなかった場合は、運営管理機関に照会を行うものとすること。照会を受けた運営管理機関は、速やかに確認するものであること。
二 個人番号取得事務の委託のうち、基金等が、企業から特定個人情報等を取得する場合の委託契約を締結するにあたっては、当該契約は書面をもって行うこととし、当該契約については、特定個人情報ガイドライン第４－２に則るほか、以下の条件を契約に盛り込むこと。
(1) 企業が特定個人情報等を基金等に提供する場合にあっては、第二の一(2)の取扱いに則ること。
(2) 基金等は、提供を受けた特定個人情報等に対応する者が、特定個人情報等を要求した者と合致するものであるか速やかに確認し、仮に合致しなかった場合は、企業に照会を行うものであること。
三 企業年金等は、特定個人情報等の保管に伴う事務負担に鑑み、適切な安全管理措置が講じられていると認められる者に対し、保管を委託することも可能であること。ただし、委託にあたっては、書面で契約を締結することとし、保管状況について定期的に報告を求め、必要があると認めるときは委託先に対して実地の調査を行うことができることを契約に盛り込むこと。
第七 企年連、国基連又は企業年金等における規約等の整備について
企年連、国基連又は企業年金等は、自らが個人番号取得事務を行う場合にあっては、規約等（企年連、国基連又は企業年金等において策定する規約、給付規程又はそれに準ずるものをいう。）において、加入者が個人番号を申告するための様式又は加入者が申告すべき全ての事項を定めるものとすること。