情報セキュリティ管理士 個人情報保護法・マイナンバー法の対策

個人情報保護法（個人情報の保護に関する法律、平成15年法律第57号）は、事業者が個人情報を扱うときのルールを、取得 → 利用 → 保管 → 提供 → 本人からの請求への対応 という流れで定めています。試験対策でも、この流れの順に義務を並べると覚えやすくなります。

マイナンバー法（行政手続における特定の個人を識別するための番号の利用等に関する法律）は、個人番号を含む個人情報（特定個人情報）について、個人情報保護法より厳しい上乗せのルールを置いた法律です。

「個人情報」は 生存する個人 に関する情報で、氏名や生年月日などで特定の個人を識別できるもの（他の情報と容易に照合して識別できるものを含む）、または個人識別符号を含むものです（第2条第1項）。亡くなった人の情報は、それだけでは個人情報に当たりません。

保有個人データについては、令和2年改正（2022年4月施行）で、6か月以内に消去する短期保存のデータも含まれるようになりました（個人情報保護委員会、2026年9月27日確認）。古い教材の「6か月以内に消去するものは保有個人データに当たらない」は現在の法律と合いません。

• 利用目的はできる限り特定する（第17条第1項）。「事業活動に用いるため」のような抽象的な書き方では特定したことになりません。
• 目的外の利用は、あらかじめ本人の同意が必要（第18条第1項）。例外は法令に基づく場合、人の生命・身体・財産の保護に必要で同意を得るのが難しい場合などです（同条第3項）。
• 取得したら、利用目的を公表していない限り、速やかに本人に通知するか公表する（第21条第1項）。契約書など本人から直接書面で取得するときは、あらかじめ本人に明示します（同条第2項）。
• 違法・不当な行為を助長・誘発するおそれがある方法で利用しない（第19条、不適正な利用の禁止）。

4択では「通知」「公表」「明示」「同意」の入れ替えがよく作られます（当サイトの作問の観点）。どの場面でどれが要るのかを、条文の言葉で押さえてください。

個人データを第三者に提供するには、あらかじめ本人の同意 を得るのが原則です（第27条第1項）。例外は、法令に基づく場合や、人の生命・身体・財産の保護に必要で同意を得るのが難しい場合などです。

「委託先は第三者に当たらない」は、委託元の監督の義務がなくなるという意味ではありません。委託元には委託先を監督する義務があります（第25条）。

個人の権利利益を害するおそれが大きい漏えい等が起きたときは、個人情報保護委員会への報告と、本人への通知 が義務です（第26条）。報告の対象は、施行規則第7条の4つの類型です。

確報の30日・60日は施行規則第8条第2項の期限で、速報の「概ね3〜5日以内」は委員会が示す「速やかに」の目安です。本人への通知は、状況に応じて速やかに行います。本人への通知が難しいときは、公表などの代わりの措置をとることができます（第26条第2項ただし書）。

• 利用できる事務が限られている：個人番号を使えるのは、法律（別表など）で定められた事務に限られます（第9条）。
• 提供・収集・保管の制限：法律で認められた場合を除き、特定個人情報を提供してはならず（第19条）、他人の個人番号を含む特定個人情報を収集・保管してはなりません（第20条）。提供を求めることも制限されています（第15条）。
• 本人確認：本人から個人番号の提供を受けるときは、個人番号カードの提示などで本人確認をします（第16条）。
• 罰則が重い：個人番号を扱う事務の従事者が、正当な理由なく個人の秘密に属する特定個人情報ファイルを提供すると、4年以下の拘禁刑若しくは200万円以下の罰金、またはその両方です（第48条）。

個人情報保護法の罰則と比べると差がよく分かります。個人情報保護法では、従業者などが個人情報データベース等を不正な利益を図る目的で提供・盗用した場合が1年以下の拘禁刑または50万円以下の罰金（第179条）、委員会の命令違反が1年以下の拘禁刑または100万円以下の罰金（第178条）で、法人にはどちらも1億円以下の罰金刑です（第184条）。2025年6月1日から、懲役・禁錮は拘禁刑にまとめられています。法令の数字の一覧は情報セキュリティ関連法規の早見表で扱います。

いわゆる3年ごと見直しを受けた「個人情報の保護に関する法律等の一部を改正する法律」は、2026年4月7日に国会に提出され、7月10日に成立、7月17日に公布 されました（個人情報保護委員会、2026年9月27日確認）。e-Gov では令和8年法律第56号で、一部の規定の施行は2027年1月17日、主な部分は公布から2年を超えない範囲で政令で定める日とされています（2026年9月27日確認）。

委員会の概要資料が挙げる主な改正点は次のとおりです。

• 統計情報等の作成（統計作成等と整理できるAI開発等を含む）にのみ使う場合の、本人同意の要らない第三者提供・要配慮個人情報の取得
• 16歳未満の本人について、同意や通知の相手を法定代理人とすることの明確化
• 顔特徴データの取扱いの周知の義務化と、オプトアウトによる提供の禁止
• 漏えい等で本人の権利利益の保護に欠けるおそれが少ない場合の、本人への通知の義務の緩和
• 個人情報データベース等の不正提供の罪の法定刑の引上げと、詐欺などで個人情報を不正に取得する行為の処罰
• 大量の個人情報を悪質に扱った違反行為への課徴金の制度

試験がどの時点の法令で作られるかは公表されていません。2026年9月時点では、現行法の規定で答え、改正法は「公布済み・主な部分は未施行」と区別して覚える のが安全です（当サイトの考え）。施行日は政令で決まるため、受験前に個人情報保護委員会で確かめてください。

個人情報保護法のオプトアウト（本人の求めに応じて提供を停止する仕組み）による第三者提供について、最も適切なものはどれか。

1. 1委員会への届出をすれば、要配慮個人情報もオプトアウトで提供できる
2. 2要配慮個人情報は、オプトアウトによる第三者提供の対象にできない
3. 3オプトアウトで受け取った個人データは、さらにオプトアウトで提供できる
4. 4オプトアウトで提供するときは、委員会への届出は必要とされていない

正解：2。第27条第2項ただし書により、要配慮個人情報はオプトアウトによる提供の対象外です。

1 は届出をしても要配慮個人情報は対象外なので誤りです。3 のオプトアウトで受け取ったデータの再提供も、同じただし書で除かれています。4 について、オプトアウトによる提供には委員会への届出が必要です。

個人データの漏えい等の報告で、個人情報保護委員会への確報の期限が「事態を知った日から60日以内」になるものはどれか。

1. 1要配慮個人情報を含む個人データが漏えいした、またはそのおそれがある事態
2. 2本人の数が1,000人を超える個人データが漏えいした、またはそのおそれがある事態
3. 3不正に使われると財産的被害が生じるおそれがある個人データが漏えいした事態
4. 4不正の目的をもって行われたおそれがある行為により、個人データが漏えいした事態

正解：4。施行規則第8条第2項は、確報の期限を30日以内とし、不正の目的をもって行われたおそれがある事態（第7条第3号）だけを60日以内としています。

1・2・3 はいずれも報告の対象ですが、確報の期限は30日以内です。「重大そうなものほど期限が長い」という覚え方ではなく、「調査に時間がかかる不正アクセス型だけが60日」と押さえてください。

個人データの提供を受ける者が、個人情報保護法上の「第三者」に当たらないものとして、最も適切なものはどれか。

1. 1利用目的の達成に必要な範囲で、個人データの取扱いを委託先に任せる場合
2. 2取引先から求められたので、顧客名簿を取引先の営業に使わせる場合
3. 3本人の同意を得ないまま、グループ外の会社に販売目的で渡す場合
4. 4オプトアウトの届出をせずに、名簿業者に顧客データを売り渡す場合

正解：1。委託に伴う提供は、事業の承継・共同利用と並んで「第三者に該当しない」とされています（第27条第5項第1号）。

2 と 3 は、提供先が自分の目的で使う第三者提供で、原則として本人の同意が必要です。4 は届出のないオプトアウトで、第27条第2項の条件を満たしません。

迷った問題は、「どの用語（個人情報・個人データ・保有個人データ）の話か」「どの段階（取得・提供・事故）の話か」の2点で見直してください。

当サイトの第1章の章別ドリルは、無料登録で解けます。本番と同じ○×と4択の混ざった形で確かめるなら、登録不要の無料お試し20問から。章別ドリルと模試の全体は情報・サイバーセキュリティ管理士の対策ページにまとめています。次は第2章 関係法令へ進んでください。