情報セキュリティマネジメント 2024年 科目A 問07

個人情報の範囲【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文で「何を問っているか」を確認する（ここでは「個人情報の保護対象の範囲」）。
2. 法律の定義を思い出す：「生存する個人に関する情報であって、特定の個人を識別できるもの」。
3. 選択肢それぞれと定義を照らし合わせる：
   • 「企業の顧客に限る」「プライバシーに限る」「国籍に限る」などは範囲を不当に狭めている。
   • 「生存する個人に限る」は法律文と一致するので正しい。
4. 正しい選択肢を選ぶ（本問では選択肢ウ）。

選択肢別の誤答解説

• ア: 企業が管理している顧客に関する情報に限られる。
  誤り。個人情報は企業が管理しているかどうかにかかわらず対象です。社員、取引先担当者、見込み客など幅広く該当します。
• イ: 個人が秘密にしているプライバシーに関する情報に限られる。
  誤り。「秘密にしているかどうか（プライバシー性）」は要素になりません。公開されている情報でも、特定の個人を識別できれば個人情報になります（例：公開名簿の氏名＋住所で本人が特定できる場合）。
• ウ: 生存する個人に関する情報に限られる。
  正しい。法律は「生存する個人」を前提にしています。故人（死亡した人）の情報は個人情報保護法の対象外です（ただし社内ルールや他法令の配慮は必要）。
• エ: 日本国籍を有する個人に関する情報に限られる。
  誤り。国籍にかかわらず、外国人を含む「生存する個人」の情報は対象です。国籍で範囲を限定する規定はありません。

よくある誤解

• 「個人情報＝プライバシー情報」だと思い込みがち
  → プライバシー性の高低にかかわらず、特定の個人が識別できる情報は個人情報です。
• 「故人の情報も同じく個人情報だ」と勘違いする
  → 法律上は故人は対象外ですが、倫理や社内ルールで慎重に扱う必要があります（例：家族情報、葬儀関係データなど）。
• 「匿名化すれば何でもOK」と思う
  → 匿名化の方法や効果によっては再識別され得ます。法律上は適切に匿名化（匿名加工情報等）されていれば個人情報に当たらない場合もありますが、手続きと安全管理が重要です。

補足コラム

• 匿名加工情報（英：anonymous processed information）とは？
  匿名加工情報は、個人を識別できないように加工した情報で、適切に匿名化されていれば個人情報保護法の「個人情報」には該当しません。ただし、再識別が可能な状態だと個人情報に該当するため、匿名化の手順と記録が重要です。
• 要配慮個人情報（敏感情報）について
  「要配慮個人情報」は、人種、思想、健康状態など特に慎重な取扱いが必要な情報です。取扱いには明確な目的や本人同意など追加の要件があります。
• 職場での運用イメージ
  総務が社員の扶養情報や健康診断データを扱う場面、営業が顧客の連絡先を扱う場面など、業務上必要な範囲で収集・利用・保管し、不要になったら速やかに廃棄する運用が現実的な対応です。

FAQ