平成29年5月30日年発0530第5号
（地方厚生（支）局長あて 厚生労働省年金局長）
令和4年3月31日年発0323第4号による改正後の全文
個人情報の保護に関する法律等の一部を改正する法律」（令和２年法律第44号。以下「改正法」という。）が令和４年４月１日から施行されるところである。改正法施行後は、個人情報の保護に関する法律（平成15年法律第57号）第22条の２第１項の規定に基づき、事業者は、個人データの漏えい、滅失又は毀損（以下「漏えい等」という。）その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報の保護に関する法律施行規則（平成28年個人情報保護委員会規則第３号）で定めるものが生じたときは、その事実関係及び再発防止策等について、個人情報保護委員会に対し、速やかに報告しなければならないこととされたところである。
一方、私的年金分野における個人情報の取扱いについては、これまで、「私的年金分野における個人情報の技術的安全管理措置」（平成29年厚生労働省告示第211号）に規定する私的年金関係事業者は、個人情報の漏えい、滅失又は毀損が発覚した場合は、その事実関係及び再発防止策等について、「個人データの漏えい等の事案が発生した場合等の対応について」（平成29年個人情報保護委員会告示第１号。）の規定に基づく個人情報保護委員会への報告と併せて、速やかに貴職宛てに報告することとされていたところである。
改正法施行後においても私的年金関係事業者による漏えい等が発覚した場合には、厚生労働省としても、速やかに事態を把握する必要性がある。このため、私的年金関係事業者（国民年金法（昭和34年法律第141号）第137条の４に規定する国民年金基金連合会、石炭鉱業年金基金法（昭和42年法律第135号）第２条に規定する石炭鉱業年金基金及び当該石炭鉱業年金基金の会員たる事業主、確定給付企業年金法（平成13年法律第50号）第91条の２に規定する企業年金連合会、公的年金制度の健全性及び信頼性の確保のための厚生年金保険法等の一部を改正する法律（平成25年法律第63号）附則第３条第13号に規定する存続連合会並びにこれらの者からその業務の委託を受けた者であって、個人情報の保護に関する法律第16条第２項に規定する個人情報取扱事業者（個人情報の保護に関する法律についてのガイドライン（通則編）（平成28年個人情報保護委員会告示第６号）10に規定する中小規模事業者を除く。）であるものを除く。以下同じ。）による漏えい等（私的年金関係事業者の責めに帰さない事案であって、本人の権利利益が侵害されておらず、今後も権利利益の侵害の可能性がない又は極めて小さいと認められるものを除く。）が発覚し次第、当該私的年金関係事業者から別紙様式１により、速やかな報告を受けた上で、貴職において取りまとめの上当局宛てに報告されたい。
上記にかかわらず、当該漏えい等が、漏えい等した情報の量、機微（センシティブ）情報（金融分野における個人情報保護に関するガイドライン第５条に定める機微（センシティブ）情報をいう。）の有無及び二次被害や類似事案の発生の可能性などを考慮し、速やかに報告を行う必要性が低いと認められる場合は、当該私的年金関係事業者から別紙様式２により、四半期に一回程度の報告を受けた上で、貴職において取りまとめの上当局宛てに報告されたい。
なお、確定拠出年金法（平成13年法律第88号）第３条第３項第４号に規定する確定拠出年金運営管理機関について、「個人情報等の漏えい等事案に関する資料の提出について」（令和４年３月31日付厚生労働省発年0323第13号・金監督第655号）に基づき、当該確定拠出年金運営管理機関が厚生労働大臣及び金融庁長官宛てに漏えい等を報告する場合にあっては、本通知に基づき当該確定拠出年金運営管理機関から貴職宛てに当該漏えい等を報告することは不要であることを周知願いたい。