ITパスポート 2018年春期問14

問題文

個人情報取扱事業者における個人情報の管理に関する事例a～dのうち、個人情報保護に関する管理上、適切でないものだけを全て挙げたものはどれか。

🖊️ 解答を隠して解いてみる

選択肢

ア：営業部門では、許可された者だけが閲覧できるように、顧客リストを施錠管理できるキャビネットに保管している。

イ：総務部門では、住所と氏名が記載された社員リストを、管理規程を定めずに社員に配布している。

ウ：販促部門では、書店で市販されている名簿を購入し、不要となったものは溶解処理している。（正解）

エ：物流部門では、運送会社に配送作業を委託しており、配送対象とはならない顧客も含む全顧客の住所録をあらかじめ預けている。

🔒 解説は解答すると表示されます

個人情報の管理に関する事例の適否【ITパスポート解説】

正解の理由

この問題で管理上「適切でない」ものは、購入した顧客名簿を使用しているという点が問題のあるケース、すなわちウのみです。購入された名簿に登録されている個人が、その情報を第三者に提供・販売されることを事前に了承（同意）していない場合があります。個人情報保護の基本は「適法かつ公正な取得」と「利用目的の明示・同意」です。購入自体が本人の同意を伴わない第三者提供に当たる可能性が高く、単に不要になったら溶解処理するだけでは、取得時点の違法性を正当化できません。

他の選択肢（ア、イ、エ）は、それぞれ問題点になり得る要素はあるものの、提示された内容だけでは直ちに「管理上不適切」と断定できません。例えば施錠保管（ア）は適切な安全管理措置ですし、社員リストの社内配布（イ）や配送委託先への名簿預託（エ）も、目的の範囲内でかつ適切な管理・契約（委託契約や秘密保持）があれば許容されます。

解法ステップ

「個人情報（特定の個人を識別できる情報）」が関係しているか確認する。
その情報の「取得・利用方法」が本人の同意や利用目的と合致しているかをチェックする。
第三者への提供や外部委託がある場合、「委託（業務を外部に任せること）」の適正さ（契約・安全管理）があるか確認する。
廃棄方法は適切か（復元不能にするなど）を確認する。
上記の観点で「明らかに不適切」なものを選ぶ。

この問題では、特に「取得の適法性（同意）」と「第三者提供の可否」に注目すると解きやすいです。

選択肢別の誤答解説

ア: 営業部門が顧客リストを施錠管理している。
- 解説: 施錠キャビネットで許可者のみが閲覧できる管理は、物理的な安全管理措置として適切です。追加でアクセス記録や権限管理があればさらに良いですが、設問の記述だけで不適切とは言えません。
イ: 総務部門が住所と氏名が記載された社員リストを、管理規程を定めずに社員に配布している。
- 解説: 社員の氏名・住所は個人情報です。ただし、社内で業務上必要な範囲で配布すること自体は一般に許容されます。望ましい対応は「配布目的の明確化」や「取扱規程の整備」ですが、設問文のみで直ちに不適切（＝誤り）と断定する根拠は弱いと判断されます。
ウ: 販促部門が書店で市販されている名簿を購入し、不要となったものは溶解処理している。
- 解説: 市販名簿の購入・利用は注意が必要です。名簿に載る個人がその名簿販売・利用に同意しているとは限りません。本人の同意がない第三者提供は個人情報保護の観点から問題になります。たとえ廃棄（溶解処理）が適切でも、取得自体が不適切なら管理上不適当です。これが唯一の不適切な選択肢です。
エ: 物流部門が運送会社に配送作業を委託しており、配送対象とはならない顧客も含む全顧客の住所録をあらかじめ預けている。
- 解説: 委託先にデータを渡すことは「業務委託」でよくある行為です。問題にならないためには「委託契約による秘密保持や安全管理措置」「必要最小限の提供」が求められます。設問は単に預けていると述べているだけで、委託先の管理があるかは不明ですが、直ちに不適切と決める材料が不足しています（運用上の改善点はあるが不適切と断定できない）。

よくある誤解

廃棄さえしていれば取得時の問題は無視して良い。
- 誤解の理由: 取得が違法（本人の同意なしなど）であれば、廃棄しても最初の行為が問題です。まず適法に取得することが重要です。
社内で配布＝安全である。
- 誤解の理由: 社内配布でも目的外利用や無関係者への拡散が起きれば問題になります。最小限の範囲で、目的を明確にして配布すべきです。
委託すれば責任は全部外部に移る。
- 誤解の理由: 委託しても元の事業者の責任は残ります。委託先の監督・契約締結・安全管理の確認が必要です。

補足コラム

日本の個人情報保護の基本的な考え方は「利用目的の特定」「適正な取得」「安全管理」「第三者提供の制限（本人の同意が原則）」です。名簿を購入する行為は「第三者提供」に近い扱いになりやすく、本人の同意や利用目的の明示がないと問題になります。マーケティング目的で外部名簿を使う場合は、名簿業者が適法に取得・販売しているか、利用目的が明示されているか、事前に確認することが必須です。

また、溶解処理は紙媒体の復元を防ぐ適切な廃棄方法の一つです。ただし廃棄の前に取得や利用の段階で法令・社内ルールに沿っているかを確認することが優先です。

FAQ

Q1: 市販の名簿は絶対に使えないですか？
A1: 必ずしも絶対に使えないわけではありません。ただし、名簿業者が適法に取得・本人同意を得ているか、利用目的が明確かを確認し、社内での利用範囲と法的リスクを評価する必要があります。

Q2: 社内の社員リストは誰でも見てよいですか？
A2: 業務上必要な人に限定して閲覧させるのが基本です。目的外利用を避けるため、取扱規程や閲覧権限の管理を整備することが望ましいです。

Q3: 委託先に名簿を渡すときに気をつけることは？
A3: 委託契約で目的範囲、再委託の可否、秘密保持、安全管理措置、事故発生時の対応を明確にし、定期的に委託先の管理状況を確認します。

関連キーワード: 個人情報保護、名簿購入、溶解処理、委託契約、データ最小化

← 前の問題へこの年度をクイズで解く次の問題へ →

\ せっかくなら /

ITパスポートを
クイズ形式で学習しませんか？

クイズ画面へ遷移する→

すぐに利用可能！