2.4.1. 個人情報保護・プライバシー保護に関する法規・ガイドライン

<< 2.3. 刑法

1. 概要

　個人情報保護法は、高度情報通信社会の進展に伴い、個人情報の利用が著しく拡大していることを背景に、個人情報の適正な取扱いに関するルールを定めた法律です。2003年に制定され、2005年に全面施行されました。その後、技術の進歩や国際的な動向を踏まえて改正が重ねられ、現在では個人情報保護委員会が一元的に監督する体制となっています。

　この法律は、個人の権利利益を保護することを目的とし、民間事業者が個人情報を取り扱う際の義務や、個人情報の本人が持つ権利などを規定しています。また、マイナンバー法（正式名称：行政手続における特定の個人を識別するための番号の利用等に関する法律）は、個人番号（マイナンバー）の利用範囲や取扱いについて、個人情報保護法よりも厳格な規制を設けています。

2. 詳細説明

2.1 保護の対象となる個人情報

　個人情報保護法における「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるものを指します。これには、他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものも含まれます。

　2017年の改正により、「個人識別符号」という概念が導入されました。これには、DNAや顔認識データなどの身体的特徴を電子計算機用に変換した符号、旅券番号や運転免許証番号などの公的な番号が含まれます。さらに、「要配慮個人情報」として、人種、信条、社会的身分、病歴、犯罪歴、犯罪により害を被った事実などの情報は、特に慎重な取扱いが求められます。

timeline
    title 2022年改正個人情報保護法の主要ポイント

    2020年6月12日 : 改正法公布
                   : 個人の権利強化
                   : 事業者の責務追加

    2021年4月1日 : 第1段階施行
                  : 漏えい等報告の義務化
                  : 越境移転規制の強化

    2022年4月1日 : 第2段階施行
                  : 仮名加工情報の創設
                  : 個人関連情報の規制
                  : 罰則の強化
                  : 域外適用の拡大
                  : 利用停止権の拡充

    2023年以降 : 定期的な見直し
                : デジタル社会への対応
                : 国際的調和の推進

2.2 適用される事業者と義務

　個人情報保護法は、個人情報データベース等を事業の用に供している「個人情報取扱事業者」に適用されます。2017年の改正により、取り扱う個人情報の件数による適用除外が廃止され、営利・非営利を問わず、ほぼ全ての事業者が対象となりました。

　個人情報取扱事業者の主な義務には、利用目的の特定と通知・公表、適正な取得、正確性の確保、安全管理措置、第三者提供の制限、開示・訂正・利用停止等の請求への対応などがあります。特に安全管理措置については、組織的・人的・物理的・技術的な各側面から適切な措置を講じることが求められています。

2.3 法律違反時の影響と罰則

　個人情報保護法に違反した場合、個人情報保護委員会による指導・助言、勧告、命令という段階的な措置が取られます。命令に違反した場合は、6か月以下の懲役または30万円以下の罰金が科されることがあります。また、個人情報データベース等を不正な利益を図る目的で提供・盗用した場合は、1年以下の懲役または50万円以下の罰金という、より重い罰則が適用されます。

　法的な罰則以外にも、企業には重大な影響が及びます。信用失墜による顧客離れ、取引先との契約解除、株価下落などの経済的損失に加え、被害者への損害賠償責任も発生する可能性があります。

3. 実装方法と応用例

3.1 企業における個人情報保護の実践

　企業が個人情報保護を適切に実施するためには、まず個人情報保護方針（プライバシーポリシー）を策定し、公表することが重要です。次に、社内規程や管理体制を整備し、従業員への教育を徹底する必要があります。

flowchart TD
    A[個人情報漏洩の発生・発見] --> B{緊急対応が必要か}
    B -->|Yes| C[被害拡大防止措置]
    B -->|No| D[事実確認・調査開始]
    C --> D
    D --> E[漏洩内容の特定
・対象情報の種類
・件数
・漏洩経路]
    E --> F[影響範囲の評価]
    F --> G{要配慮個人情報
または
不正利用のおそれ}
    G -->|Yes| H[速やかに個人情報保護委員会へ報告]
    G -->|No| I{1000人以上の
個人データ漏洩}
    I -->|Yes| H
    I -->|No| J[委員会への報告は任意]
    H --> K[本人への通知準備]
    J --> K
    K --> L{本人への通知が
困難な場合}
    L -->|Yes| M[代替措置の検討
・ホームページでの公表
・事案の公表等]
    L -->|No| N[本人への個別通知]
    M --> O[再発防止策の策定]
    N --> O
    O --> P[対策の実施・モニタリング]
    P --> Q[報告書の作成・保管]
    
    style A fill:#ff6b6b,stroke:#c92a2a,stroke-width:2px,color:#fff
    style C fill:#ff922b,stroke:#e8590c,stroke-width:2px,color:#fff
    style H fill:#ffd43b,stroke:#fab005,stroke-width:2px,color:#000
    style N fill:#51cf66,stroke:#2f9e44,stroke-width:2px,color:#fff
    style M fill:#51cf66,stroke:#2f9e44,stroke-width:2px,color:#fff

　具体的な安全管理措置としては、アクセス制御の実施、個人情報の暗号化、定期的な監査の実施、委託先の管理などが挙げられます。また、個人情報の取得時には、利用目的を明確に通知し、本人の同意を得ることが基本となります。

3.2 マイナンバーの取扱いにおける特別な配慮

　マイナンバー法では、個人番号の利用範囲が社会保障、税、災害対策の分野に限定されています。事業者は、従業員の源泉徴収票作成や社会保険手続きなど、法令で定められた事務のためにのみマイナンバーを収集・利用できます。

　マイナンバーを取り扱う際は、個人情報保護法よりも厳格な安全管理措置が求められます。例えば、マイナンバーを取り扱う区域の管理、取扱担当者の明確化、情報システムへのアクセス制御の強化などが必要です。また、不要になったマイナンバーは速やかに廃棄または削除しなければなりません。

4. 例題と解説

問題1：

　個人情報保護法における「要配慮個人情報」に該当しないものはどれか。

ア. 病歴に関する情報
イ. 犯罪歴に関する情報
ウ. 年収に関する情報
エ. 信条に関する情報

解答： ウ

解説： 要配慮個人情報は、本人に対する不当な差別、偏見その他の不利益が生じないよう、その取扱いに特に配慮を要する個人情報です。年収は経済状態を示す情報ですが、法律で定められた要配慮個人情報には含まれません。

問題2：

　個人情報取扱事業者が個人データを第三者に提供する際、本人の同意を得ることなく提供できる場合として、適切でないものはどれか。

ア. 法令に基づく場合
イ. 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
ウ. 業務の効率化のために必要な場合
エ. 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき

解答： ウ

解説： 個人情報保護法第23条では、第三者提供の制限の例外が定められています。業務の効率化は例外事由に該当しないため、本人の同意なく第三者提供することはできません。

graph TB
    A[技術的安全管理措置の実装例] --> B[アクセス制御]
    A --> C[暗号化対策]
    A --> D[ログ管理]
    A --> E[脆弱性対策]
    A --> F[システム監視]
    
    B --> B1[認証システム]
    B --> B2[権限管理]
    B --> B3[アクセス制限]
    B1 --> B11[多要素認証]
    B1 --> B12[シングルサインオン]
    B2 --> B21[ロールベースアクセス制御]
    B2 --> B22[最小権限の原則]
    B3 --> B31[IPアドレス制限]
    B3 --> B32[時間帯制限]
    
    C --> C1[データ暗号化]
    C --> C2[通信暗号化]
    C --> C3[鍵管理]
    C1 --> C11[保存データの暗号化]
    C1 --> C12[データベース暗号化]
    C2 --> C21[SSL_TLS通信]
    C2 --> C22[VPN接続]
    C3 --> C31[暗号鍵の定期更新]
    C3 --> C32[鍵の安全な保管]
    
    D --> D1[アクセスログ]
    D --> D2[操作ログ]
    D --> D3[ログ分析]
    D1 --> D11[ログイン_ログアウト記録]
    D1 --> D12[不正アクセス検知]
    D2 --> D21[データ操作履歴]
    D2 --> D22[設定変更履歴]
    D3 --> D31[定期的な監査]
    D3 --> D32[異常検知アラート]
    
    E --> E1[脆弱性診断]
    E --> E2[パッチ管理]
    E --> E3[セキュリティ更新]
    E1 --> E11[定期的なスキャン]
    E1 --> E12[ペネトレーションテスト]
    E2 --> E21[パッチ適用計画]
    E2 --> E22[緊急パッチ対応]
    E3 --> E31[OSアップデート]
    E3 --> E32[ソフトウェア更新]
    
    F --> F1[リアルタイム監視]
    F --> F2[インシデント対応]
    F --> F3[バックアップ]
    F1 --> F11[不正侵入検知システム]
    F1 --> F12[異常動作検知]
    F2 --> F21[インシデント対応手順]
    F2 --> F22[緊急時連絡体制]
    F3 --> F31[定期バックアップ]
    F3 --> F32[復旧テスト]

5. まとめ

　個人情報保護法とマイナンバー法は、デジタル社会において個人の権利利益を守るための重要な法制度です。事業者は、これらの法律を正しく理解し、適切な管理体制を構築することが求められます。特に、個人情報の定義、事業者の義務、安全管理措置、第三者提供の制限などの基本的な概念を押さえることが重要です。

　応用情報技術者試験では、これらの法規制の基本的な内容に加え、実務での適用場面を想定した問題が出題されます。技術者として、システム設計や運用において個人情報保護の観点を常に意識し、適切な対策を講じることができるよう、法規制の理解を深めることが大切です。

2.4.2. 個人情報保護・プライバシー保護に関する手法・技法 >>

ご利用上のご注意

　このコンテンツの一部は、生成AIによるコンテンツ自動生成・投稿システムをもちいて作成し、人間がチェックをおこなった上で公開しています。チェックは十分に実施していますが、誤謬・誤解などが含まれる場合が想定されます。お気づきの点がございましたらご連絡いただけましたら幸甚です。