情報セキュリティマネジメント 2018年 春期 午前（科目A） 問33

要配慮個人情報【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 「要配慮個人情報（敏感情報）」の意味を確認する。何が守られるべきか（差別・社会的不利益の防止）を押さえる。
2. ガイドラインや法律で例示される典型例を思い出す（医療・健康、犯罪歴、思想・信条・宗教、遺伝情報など）。
3. 各選択肢が「そのまま該当するか」を判断する。直接的に健康情報であるか、単なる取引履歴や手続き上の事実かを区別する。
4. 直接的に健康情報を示す ア を選ぶ。

選択肢別の誤答解説

• ア：正解。診療記録は医療上の情報で、個人の健康に関する直接的で敏感な情報です。ガイドラインで例示されています。
• イ：国籍や「外国人であるという法的地位」は個人情報にはあたりますが、ガイドラインの代表的な「要配慮個人情報」のリストに挙がる主項目ではありません（ただし、人種や出自に関連し差別につながる場合は慎重な取り扱いが必要です）。
• ウ：宗教に関する書籍の購買や貸出し履歴は、間接的に宗教信条を推測され得ますが、選択肢の表現は「購買履歴＝直接の宗教情報」とは言い切れません。ガイドラインが例示する「信教・宗教そのもの」と、取引記録としての行動履歴は扱いが異なり、条文上の明確な例示とは見なされにくい点で不正解です。ただし、実務上は宗教に関わる利用履歴を慎重に扱うべきです。
• エ：他人を被疑者とする犯罪捜査のために取調べを受けた事実は、「取調べを受けた」という手続き上の事実であり、必ずしも「犯罪歴（有罪の記録）」とは一致しません。ガイドラインが例示するのは主に「犯罪歴」などであり、取調べの事実だけで要配慮とする根拠は弱いため不正解です。

よくある誤解

• 「要配慮個人情報＝何でもセンシティブ」は誤り：すべての個人情報が要配慮ではなく、特に差別や深刻な不利益につながる恐れのある情報が該当します。
• 「行動履歴は自動的に要配慮」と考える誤り：購買履歴や閲覧履歴などは個人情報ですが、要配慮に該当するかは内容と文脈で判断します。宗教や健康に直結する明示的なものは要配慮となりやすいです。
• 「取調べの事実＝犯罪歴」と混同する誤り：捜査や取調べを受けたという事実は、被疑者であっても無罪や誤認の可能性があるため、必ずしも犯罪歴とは同義ではありません。

補足コラム

• 人事や総務で健康情報（通院歴・診断書）を扱う場合は、アクセスを限定し、ファイルにパスワードや施錠をする、電子ファイルなら暗号化・閲覧ログを取るなどの対策が必要です。
• 取扱いは「目的限定（なぜ必要か）」「最小限の収集」「本人の同意」など法律の原則に従います。外部委託（検査会社や医療機関との連携）がある場合は、委託先との契約で安全管理措置を明記します。
• 実務的には「要配慮個人情報として特別な管理が必要」と明示した社内ルールを作り、取り扱う担当者に教育を行うことが効果的です。

FAQ