個人情報・個人データ・保有個人データの区別、漏えい時の報告義務と報告先、仮名加工情報と匿名加工情報の違い、委託先の監督責任までを整理。情報処理安全確保支援士試験での問われ方も解説します。
個人情報を扱う場面では、技術的な守り方に加えて、法令上の義務が発生します。特に、漏えいが起きたときに「誰に、いつまでに、何を」伝えるかは、対応の手順に組み込んでおかなければ間に合いません。以下は制度の骨格をつかむための概説で、実際の判断では最新の条文とガイドラインを確認してください。
| 用語 | 意味 |
|---|---|
| 個人情報 | 生存する個人を識別できる情報。氏名、生年月日との組み合わせ、個人識別符号を含むもの |
| 個人データ | 検索できるように体系的に整理された集まり（データベース等）を構成する個人情報 |
| 保有個人データ | 事業者が開示・訂正・削除などに応じる権限を持つ個人データ |
| 要配慮個人情報 | 人種、信条、病歴、犯罪の経歴など。取得には原則として本人の同意が要る |
義務の多くは「個人データ」に対してかかります。散らばったメモに書かれた氏名と、検索できる形で整理された名簿では、扱いが変わるということです。安全管理措置や漏えい時の報告も、この単位で考えます。
一定の要件にあたる漏えい・滅失・毀損が生じたときは、個人情報保護委員会への報告と、本人への通知が義務づけられています。報告は二段構えで、まず速報として分かっている範囲を早期に出し、その後、調査の結果をまとめた確報を出す形になります。
実務で重要なのは、確定を待たないことです。「漏えいしたかどうか調査中」の段階でも、おそれがある時点で準備を始めなければ期限に間に合いません。証拠の保全、影響範囲の絞り込み、報告文面の下書き、問い合わせ窓口の用意——これらを並行して進めます。手順書には、報告先と期限、誰が判断するかを明記しておきます。
どちらも、個人情報を加工して利活用しやすくするための仕組みですが、目的も扱いも異なります。仮名加工情報は、他の情報と照合しない限り特定の個人を識別できないように加工したものです。事業者の内部での分析に使うことを想定しており、対応表を持ち続けることが許されます。ただし、元が個人情報である以上、第三者への提供は原則としてできません。
匿名加工情報は、特定の個人を識別できず、かつ元の個人情報を復元できないように加工したものです。復元できないところまで加工するため、本人の同意なく第三者へ提供することが認められます。その代わり、加工の基準が厳しく、識別のために他の情報と照合することも禁じられます。
| 仮名加工情報 | 匿名加工情報 | |
|---|---|---|
| 加工の程度 | 他の情報と照合しなければ識別できない | 識別できず、復元もできない |
| 対応表の保持 | 認められる | 認められない |
| 第三者提供 | 原則できない | できる（公表などの義務あり） |
| 主な用途 | 内部での分析 | 外部との共同利用、データの提供 |
個人データの取扱いを外部に委託する場合、委託元には必要かつ適切な監督を行う義務があります。委託したから責任も移る、とはなりません。委託先で事故が起きても、委託元が説明を求められます。リスクの「移転」で扱いを終えてはならない、という話と同じ構図です。
取得の場面では、利用目的をあらかじめ特定し、本人に通知するか公表することが求められます。後から目的を広げたいときは、原則として本人の同意が要ります。「とりあえず集めておく」ができない仕組みになっているのは、目的の範囲でしか使えないからです。設計の段階で、何のために何を集めるのかを決めておく必要があります。
第三者へ提供するときは、原則として本人の同意が要ります。委託や事業承継、共同利用にあたる場合は例外として扱われますが、共同利用として扱うには、利用する範囲や管理する責任者をあらかじめ示しておく必要があります。「委託だから同意は不要」と考えて、実態は提供にあたっていた、という誤りが起きやすい部分です。
国外の事業者へ提供する場合には、さらに要件が加わります。移転先の国の制度や、その事業者が講じる措置について、本人に情報を提供したうえで同意を得る、といった扱いになります。クラウドを使う場面で関わってくる論点です。
本人からの求めにも応じる必要があります。保有個人データについて、開示、訂正、利用停止、第三者提供の停止などを求められたとき、所定の手続きで対応します。求めがあってから体制を作るのでは間に合わないため、受付の窓口、本人であることの確認方法、社内で誰が対応するかを、あらかじめ決めておきます。
午前Ⅱでは、用語の区別、報告先（個人情報保護委員会）、仮名加工情報と匿名加工情報の違いが定番です。午後では、漏えいが疑われる事例で「確定前に何を始めるか」「誰に何を伝えるか」を書かせる形が出ます。答えるときは、証拠の保全と、報告・通知の準備を並行して進める点に触れると、出題の意図に沿えます。
IPA 公式：過去問題（情報処理安全確保支援士試験） ↗各年度の問題冊子・解答例・採点講評の PDF を、公式サイトで確認できます。