情報セキュリティマネジメント 2019年 春期 午前（科目A） 問34

特定個人情報のファイル作成制限【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 「個人番号が使われているか」と「その目的は何か」を分けて考える。
2. 個人番号の利用が「法令で許された目的（税・社会保険・災害対応等）」かどうかを確認する。
3. 選択肢のうち、法定目的に当たらない「人事評価等の業務管理」の記述を選ぶ。これが禁止の根拠になる。

選択肢別の誤答解説

• ア: システム障害に備えたバックアップファイル
  • バックアップ自体は業務継続や復旧のために必要な場合があり、適切なアクセス制御・暗号化等の安全管理措置を講じれば許容されます。したがって一般に一律で禁止とはなりません。
• イ: 従業員の個人番号を利用して業務成績を管理するファイル
  • 個人番号の利用目的が人事評価は法定利用目的に含まれないため禁止。業務成績管理は代替の社員ID等を使うべきです。
• ウ: 税務署提出資料間の整合性確認のためのチェック用ファイル
  • 税務に関連する確認作業は法定の範囲内であり、提出書類の整合性確認は正当な目的と考えられます。ただし必要最小限で管理を厳格に行う必要があります。
• エ: 死亡保険金支払に伴う支払調書ファイルの作成
  • 支払調書や税務処理のためのファイル作成は法令に基づく業務の一部であり、適切な管理下なら許容されます。

よくある誤解

• 「業務に使う＝何でもOK」ではない
  • 業務であっても、個人番号は法律で利用目的が限定されています。目的が法令で認められるかを必ず確認してください。
• 「番号が入っていればすべて特定個人情報」ではないが要注意
  • 個人番号が他の個人情報と結び付いて個人が識別されうる場合は特定個人情報になります。無意味に番号を付けないことが重要です。

補足コラム

• 用語メモ：特定個人情報とは、個人番号と氏名等の情報が結び付いて個人を特定できる情報を指します。個人番号（マイナンバー）は「何のために」使うかが法律で限定されています（税・社会保険・災害対策など）。
• 職場での運用イメージ：
  • 業務成績の管理は社員ID（会社独自の番号）を用いる。個人番号は給与や社会保険の事務だけで別システムに保管し、アクセス権限を厳しく限定する。バックアップやチェック用ファイルを作る場合は暗号化やアクセスログ、保存期間の最小化を必ず実施する。
• 実務チェックリスト（簡潔）
  • 利用目的は法令上許されるか？ → yesなら最小限で扱う
  • 保管・転送は暗号化されているか？
  • 保管期間と廃棄方法は定められているか？
  • 委託先管理は適切か（契約・監査）？

FAQ