情報セキュリティマネジメント 2016年 秋期 午前（科目A） 問33

特定個人情報の委託処理【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 「特定個人情報」と「個人番号（マイナンバー）」の意味を確認する。
   • 特定個人情報＝個人番号を含む個人情報で、特別に保護される。
2. 各選択肢が「法令上許される利用範囲か」「委託や保存の扱いがガイドラインに沿っているか」を判定する。
   • 利用目的が法令で定められた範囲内か（税務処理は該当）
   • 委託する場合、監督・契約・安全管理が伴っているか
3. 「不要になった情報の扱い」や「目的外利用かどうか」を確認する。
   • 保存期間経過後は廃棄が原則、目的外利用は禁止

選択肢別の誤答解説

• ア: 個人番号関係事務を行う必要がなくなり、かつ法令による保存期間を経過した場合に「暗号化した上で保管する」。
  • 誤り。保存義務期間が過ぎて不要になった特定個人情報は、暗号化して保管するのではなく、適切に廃棄（消去・破棄）することが原則です。暗号化して残せば「不用になったけれど存在し続ける」状態になり、リスクが残ります。
• イ: 事業者内の誰でも参照できるよう従業員全員にアクセス権を設定する。
  • 誤り。特定個人情報は「必要最小限の者だけがアクセスする」原則（最小権限）が求められます。全員にアクセス権を与えるのは重大な違反になります。
• ウ: 従業員の個人番号を含む源泉徴収票を、業務委託先の税理士に作成させる。
  • 正しい。税務処理のための委託は認められます。ただし、委託契約で取扱い方法・再委託制限・安全管理措置・返却・廃棄などを定め、委託先の監督を行う必要があります。
• エ: 従業員の個人番号を利用して営業成績を管理する。
  • 誤り。個人番号は法律で定められた特定の目的（税・社会保障等）以外の利用は禁じられています。営業成績管理のような目的外利用は許されません。

よくある誤解

1. 暗号化すれば何でも保存してよい：暗号化は保護手段ですが、保存そのものが不要になったデータは原則廃棄です。暗号化が「保存を合法化」するわけではありません。
2. 委託すれば責任がなくなる：委託しても最終的な責任は委託元である事業者にあります。委託先の管理・監督を怠ると事業者の責任になります。
3. 個人番号は社内ID代わりに使ってよい：目的外利用は法律違反です。業務上の利便性だけで利用目的を拡げてはいけません。

補足コラム

• 委託前に：委託契約書で「取扱目的の明確化」「個人番号の範囲」「再委託の可否」「安全管理措置」「返却・廃棄方法」「事故発生時の報告義務」などを盛り込みます。
• 技術的対策：データ送付は暗号化通信（SFTPやTLS）を使い、受け渡し後の保存は限られた担当者のみがアクセスできるようにします。
• 運用面：アクセスログを残す、定期監査や適合性確認を行う、社内で扱う担当者の教育を実施する。
• 廃棄：保存期間が過ぎたら確実に消去（復元不可な方式）または紙なら裁断・焼却などで廃棄します。

• 取扱目的の明示、目的外利用禁止、再委託制限、技術的・物理的安全管理、秘密保持、事故時の通知・対応、返却・廃棄方法、監査権

FAQ