【情報セキュリティマネジメント試験対策】（45）情報セキュリティ関連法規（2）「個人情報保護法とマイナンバー法」

前回は、不正アクセス禁止法や刑法のコンピュータ犯罪など、サイバー犯罪を取り締まる法律と、サイバーセキュリティ基本法を確認した。
今回は、組織が保有する「個人情報」を守るための法律として、個人情報保護法とマイナンバー法（番号法）を取り上げる。情報漏えいの多くは個人情報に関わるため、試験でも事例問題と結びつけて問われやすいテーマである。

個人情報保護法

個人情報保護法（正式名称は「個人情報の保護に関する法律」）は、個人情報の適正な取り扱いについて、基本的なルールを定めた法律である。個人の権利利益を保護しつつ、個人情報の有用性にも配慮することを目的としている。

個人情報取扱事業者

個人情報保護法上の義務を負うのは、個人情報データベース等を事業の用に供している「個人情報取扱事業者」である。かつては、保有する個人情報が5,000人分以下の小規模な事業者は対象外とされていたが、2015年に成立した改正法が2017年に全面施行されたことで、この要件は撤廃された。
現在は、取り扱う件数にかかわらず、また営利・非営利を問わず、事業として個人情報を扱う者が対象となる。

用語の整理

個人情報保護法では、似た用語がいくつも定義されている。試験でも区別が問われやすいので、整理しておきたい。

• 個人情報
  生存する個人に関する情報で、氏名や生年月日などにより特定の個人を識別できるもの。マイナンバー、運転免許証番号、パスポート番号、顔認識データなどの「個人識別符号」を含むものも該当する
• 要配慮個人情報
  人種、信条、社会的身分、病歴、犯罪の経歴など、不当な差別や偏見につながるおそれがあり、特に慎重な取り扱いが求められる個人情報。取得には、原則として本人の同意が必要である
• 個人データ
  検索できるように体系的に整理された「個人情報データベース等」を構成する個人情報
• 保有個人データ
  個人データのうち、事業者が開示や訂正、利用停止などに応じる権限を持つもの

このほか、他の情報と照合しなければ特定の個人を識別できないように加工した「仮名加工情報」や、特定の個人を識別できず、元に戻せないように加工した「匿名加工情報」も定められている。

事業者の主な義務

個人情報取扱事業者には、次のような義務が課されている。

• 利用目的の特定と通知・公表
  個人情報を取り扱う目的をできる限り特定し、本人に通知または公表する。特定した目的の範囲を超えて利用してはならない
• 適正な取得
  偽りその他の不正な手段で取得してはならない。
• 安全管理措置
  取り扱う個人データの漏えいや滅失、毀損を防ぐために、必要かつ適切な措置を講じる。個人情報保護委員会のガイドラインでは、組織的、人的、物理的、技術的の4つの観点の安全管理措置に加え、外国で個人データを取り扱う場合の外的環境の把握が求められている。
• 従業者・委託先の監督
  個人データを取り扱う従業者や、委託先に対して、必要かつ適切な監督を行う。
• 第三者提供の制限
  個人データを第三者に提供するには、原則として本人の同意が必要である。委託や事業承継、共同利用などは、例外として同意を要しない場合がある。
• 漏えい等の報告
  個人データの漏えいなどが発生し、個人の権利利益を害するおそれがある場合には、一定の要件に該当すると、個人情報保護委員会への報告と本人への通知が義務づけられている。

ここで注目したいのは、安全管理措置の4つの観点が、第30〜32回で確認した人的・物理的・技術的対策、そして第39回で触れたJIS Q 27002の4分類（組織的・人的・物理的・技術的）と同じ枠組みになっている点である。
情報セキュリティ対策の考え方が、そのまま法律上の義務にも反映されていると理解できる。

漏えい等の報告

報告義務の対象となる事態は、要配慮個人情報の漏えい、財産的被害のおそれがある漏えい、不正の目的をもって行われたおそれがある漏えい（不正アクセスなど）、そして1,000人を超える漏えいである。報告は、事態を知った後すみやかに行う「速報」（おおむね3〜5日以内）と、一定期間内に詳細を報告する「確報」（原則30日以内、不正の目的による場合は60日以内）の2段階で行う。

個人情報保護委員会 漏えい等報告・本人への通知の義務化について
（個人情報保護委員会のWebサイト）

監督と罰則

法律の運用を担うのは、独立した行政機関である個人情報保護委員会である。事業者への報告徴収や立入検査、指導、勧告、命令などを行う。
委員会の命令に違反した場合には、1年以下の拘禁刑または100万円以下の罰金が科され（同法178条）、法人に対しては1億円以下の罰金が科される。（同法184条1項1号）

【補足】2026年の法改正

個人情報保護法については、制度の施行状況などを踏まえ、3年ごとの見直しが行われている。
今回の見直しでは、2026年7月10日に改正法が成立し、7月17日に公布された（令和8年法律第56号）。
違反による利益に応じて金銭の納付を命じる課徴金制度の新設や、16歳未満のこどもの個人情報の保護強化、顔の特徴などの生体情報に関する規律の追加、漏えい時の本人通知の緩和などが盛り込まれている。

施行は一度に行われるわけではない。主要な部分は、公布から2年を超えない範囲で政令が定める日から施行される予定で、現時点では未施行である。
一方、罰則に関する一部の規定は、公布から6か月後の2027年1月17日に先行して施行される。
罰則の内容が見直される見込みのため、前述の罰則の数字は、施行後に変わる可能性がある。
当面は現行法に沿って理解しておけば足りるが、制度の動きとして頭に入れておくとよい。

マイナンバー法

マイナンバー法（正式名称は「行政手続における特定の個人を識別するための番号の利用等に関する法律」。番号法とも呼ばれる）は、日本国内に住民票を有する人に割り当てられる12桁の「個人番号（マイナンバー）」の取り扱いを定めた法律である。2013年に公布され、2016年から本格的に運用が始まった。

特定個人情報

マイナンバー法で重要なのが、「特定個人情報」という概念である。
これは、マイナンバーを含む個人情報のことを指す。マイナンバーは、社会保障、税、災害対策といった限られた分野の手続で使われる番号であり、悪用されると影響が大きいため、通常の個人情報より厳格に保護される。

取り扱いの制限

マイナンバー法は、マイナンバーを取り扱える場面を厳しく限定している。

• 利用の制限
  法律で定められた事務の範囲でしか、マイナンバーを利用できない
• 提供の求めの制限
  法律で認められた場合を除き、他人にマイナンバーの提供を求めてはならない
• 収集・保管の制限
  法律で認められた場合を除き、特定個人情報を収集・保管してはならない。手続に必要なくなり、法定の保存期間を過ぎたものは、すみやかに廃棄・削除する
• 安全管理措置
  個人情報保護委員会のガイドラインに沿って、組織的、人的、物理的、技術的の安全管理措置を講じる

民間企業でも、源泉徴収票の作成や社会保険の届出などの手続で、従業員のマイナンバーを取り扱う。このため、人事・労務部門を中心に、これらの制限を守った管理が必要になる。

個人情報保護法との関係

マイナンバーも個人情報の一種であるため、個人情報保護法も適用される。ただし、マイナンバー法に個人情報保護法と異なる定めがある場合は、マイナンバー法の規定が優先して適用される。
全体として、特定個人情報の方が、利用や保管の自由度が低く、罰則も重く設定されている。

プライバシーマーク制度

個人情報の保護に取り組む事業者を第三者が評価する仕組みとして、プライバシーマーク（Pマーク）制度がある。日本産業規格のJIS Q 15001（個人情報保護マネジメントシステム－要求事項）に基づき、個人情報を適切に取り扱う体制が整備・運用されている事業者に対して、日本情報経済社会推進協会（JIPDEC）などが認定し、プライバシーマークの使用を認める制度である。

第38〜40回で確認したISMSと、考え方は共通している。どちらもPDCAサイクルで継続的に改善していくマネジメントシステムを、第三者が審査・認証する制度である。違いは次の通りである。

試験対策のポイント

• 個人情報、要配慮個人情報、個人データ、保有個人データの違いを区別できるようにしておこう。特に、要配慮個人情報は、原則として本人同意を得て取得しなければならない点を押さえておこう。
• 取り扱う個人情報の件数にかかわらず、事業として個人情報を扱う者は個人情報取扱事業者となる点を理解しておこう。
• 安全管理措置が、組織的・人的・物理的・技術的の観点から求められている点を、これまでの対策の分類とあわせて整理しておこう。
• 漏えい等報告が必要となる4つの類型（要配慮個人情報、財産的被害のおそれ、不正の目的、1,000人超）と、速報・確報の2段階の流れを押さえておこう。
• マイナンバーは「特定個人情報」として、利用・提供の求め・収集・保管が法律で厳しく制限されている点、不要になったら廃棄する点を押さえておこう。
• ISMSとプライバシーマークの違い（対象が情報資産全般か個人情報か、認証の単位、有効期間）を区別できるようにしておこう。
• IPAの試験では、原則として、試験実施日に施行済の現行法や、改訂済のガイドライン・基準が正解の根拠となる。IPAの試験要綱・シラバスで最新の改訂履歴を確認しておこう。

今回は、情報セキュリティ関連法規シリーズの第2回として、個人情報保護法の基本的な仕組み、マイナンバー法による特定個人情報の厳格な保護、そしてプライバシーマーク制度とISMSの違いを確認した。次回は、シリーズの最終回として、営業秘密を守る不正競争防止法や、ソフトウェアに関わる著作権法、電子署名法など、情報の財産的な価値や真正性に関わる法律を取り上げる。