個人情報保護法・マイナンバー法とは？こじんじょうほうほごほう・まいなんばーほう
個人情報保護法は、生存する個人を識別できる情報を扱う事業者に、利用目的の特定・適正な取得・安全管理措置・委託先の監督を義務付ける法律で、漏えい等が起きた場合は個人情報保護委員会への報告（速報おおむね3〜5日以内、確報30日以内、不正アクセス等は60日以内）と本人への通知が義務になる。マイナンバー法は個人番号の利用を社会保障・税・災害対策の3分野に限り、より厳しい安全管理措置を課す。運用にとっては、障害調査で本番データを触る場面と、委託先の作業員を管理する場面で直接効いてくる。
最終更新：2026-10-06
ITサービスマネージャを最短で暗記・合格する →背景
個人データは、集めた部署ではなく運用の現場で最も無防備に扱われる。障害の再現のために本番データを検証環境へ複写する、問い合わせ対応でログから個人の履歴を引く、ベンダに調査用としてダンプを渡す——どれも業務上は自然だが、利用目的の範囲外の取扱いや、監督の及ばない委託になり得る。法が安全管理措置と委託先の監督を事業者の義務として名指ししているのは、この日常の運用作業こそが漏えいの経路だからである。規格の言い方では、情報セキュリティ管理と供給者管理の要求として運用手順に落ちる。
具体例
2023年に公表されたNTTマーケティングアクトProCXのコールセンター業務では、業務委託先の元派遣社員が管理者権限を悪用して顧客情報を持ち出し、約900万件規模の流出に至った。委託していても監督責任は委託元に残るため、運用としては、委託先作業員への特権付与の申請・承認、外部媒体の使用制限、操作ログの定期点検までを契約と手順で担保する必要がある。
試験での引っ掛け
漏えい時に必要なのは委員会への報告と本人への通知の両方で、片方だけで足りると読むと不足になる。加工情報の区別も定番で、匿名加工情報は本人を特定できないよう加工したもので本人同意なく第三者提供できるが、仮名加工情報は他の情報と照合すれば特定できるため原則として第三者提供できない。マイナンバーは本人が同意しても3分野以外に使えず、オプトアウトによる第三者提供もできない。運用側の実務では、障害解析のための本番データの複写も取扱いにあたり、「調査目的だから例外」という扱いはできない。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。