特定個人情報ファイルを作れる場面と作れない場面の見分け方
情報セキュリティマネジメント試験 平成31年度春期 午前 問34 ／ 法務 › セキュリティ関連法規
過去問にチャレンジ
個人情報保護委員会“特定個人情報の適正な取扱いに関するガイドライン（事業者編）平成30年9月28日最終改正”及びその“Q&A”によれば，事業者によるファイル作成が禁止されている場合はどれか。 なお，“Q&A”とは“「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」及び「（別冊）金融業務における特定個人情報の適正な取扱いに関するガイドライン」に関するQ&A平成30年9月28日更新”のことである。
- ア
システム障害に備えた特定個人情報ファイルのバックアップファイルを作成する場合
- イ
従業員の個人番号を利用して業務成績を管理するファイルを作成する場合
- ウ
税務署に提出する資料間の整合性を確認するために個人番号を記載した明細表などチェック用ファイルを作成する場合
- エ
保険契約者の死亡保険金支払に伴う支払調書ファイルを作成する場合
会話形式の解説
講師この問題は、事業者が個人番号を含むファイル（特定個人情報ファイル）を作ってはいけない場合を選ぶものです。判断の軸は一つで、法律で決められた事務に必要かどうかを見ます。
受験者私は、個人番号をコピーしたファイルが増えるのはどれも危ないと思っていました。バックアップやチェック用のファイルも作ってはいけない気がします。
講師心配になるのはもっともです。ただ、特定個人情報ファイルは、個人番号利用事務か個人番号関係事務に必要な範囲なら作れます。個人番号関係事務とは、たとえば税務署に出す書類に番号を書くなど、事業者が法令に基づいて番号を扱う事務のことです。
受験者事業者が個人番号を使える分野には限りがありましたよね。税と社会保障と、もう一つは何でしたか。
講師災害対策です。税・社会保障・災害対策の三つに限られています。では、死亡保険金を支払ったときの支払調書ファイルはどうでしょう。
受験者支払調書は税務署に提出する書類なので、税の分野ですね。法令で番号を書く必要があるなら、作ってよいと思います。
講師そのとおりです。法令に基づく税務上の個人番号関係事務なので、作成できます。税務署に出す資料どうしの整合性を確かめる明細表などのチェック用ファイルはどうですか。
受験者提出資料の確認作業なので、税の事務の一部と考えられそうです。ただ、提出しない控えのファイルなので、少し迷います。
講師Q&Aでも、個人番号関係事務の範囲内であれば照合表や明細表を作ることが認められています。提出するかどうかではなく、その事務に必要な作業かどうかで判断します。
受験者システム障害に備えたバックアップも、もとのファイルを適正に管理するためのものなので、別の目的とはいえないということですか。
講師はい、バックアップも作成できます。ただし、元データと同じように安全管理措置が必要です。保管場所やアクセスできる人の管理を忘れないようにしてください。
受験者残るのは、従業員の個人番号で業務成績を管理するファイルですね。業務成績の管理は人事の目的で、税・社会保障・災害対策のどれにも当たりません。だから、これが作成禁止のファイルになるのですね。
講師正解です。社内の独自の目的で個人番号を使うことはできません。業務成績の管理には、個人番号ではなく社員番号など別の識別子を使います。
講師まとめると、業務成績の管理は社内用途なので禁止です。支払調書、提出資料のチェック用明細表、バックアップは法定の事務とそれに付随する作業なので作成できます。なお、この問題は平成30年9月28日時点のガイドラインとQ&Aが前提です。その後も法改正やガイドライン・Q&Aの更新が行われているので、最新の内容は個人情報保護委員会の現行版で確認してください。
まとめ
事業者が特定個人情報ファイルを作れるのは、個人番号利用事務または個人番号関係事務に必要な範囲に限られます。事業者が個人番号を使える分野は、税・社会保障・災害対策に限られています。死亡保険金の支払調書ファイル、税務署への提出資料を確認するための明細表、システム障害に備えたバックアップは、必要な範囲内として作成できます。一方、従業員の個人番号を使って業務成績を管理するファイルは、社内の人事目的なので作成が禁止されています。業務成績の管理には、社員番号など別の識別子を使います。
解答・解説
正解はイです
この問題のテーマ
マイナンバー法とその事業者向けガイドライン・Q&Aに照らして、事業者が特定個人情報ファイル（個人番号を含むファイル）を作ってはいけない場面を見分けられるかを問う問題です。
解き方の考え方
特定個人情報ファイルを作れるのは、個人番号利用事務または個人番号関係事務に必要な範囲だけです。個人番号を使える分野は税・社会保障・災害対策に限られています。そこで各選択肢のファイルが、この法定の事務に必要なものか、それとも社内の独自目的のものかを確かめます。法定の事務から外れるものが「作成禁止」の答えになります。
選択肢ごとの解説
- ×ア システム障害に備えた特定個人情報ファイルのバックアップファイルを作成する場合システム障害に備えるバックアップファイルの作成は認められています。もとの特定個人情報ファイルを適正に管理するためのものであり、必要な範囲を超えた別の目的には当たらないからです。ただし、バックアップにも元データと同じく安全管理措置が必要です。
- ○イ 従業員の個人番号を利用して業務成績を管理するファイルを作成する場合従業員の個人番号を使って業務成績を管理するファイルは作れません。業務成績の管理は社内の人事上の目的であり、税・社会保障・災害対策の事務には当たらないからです。このような管理には、個人番号ではなく社員番号など別の識別子を使います。
- ×ウ 税務署に提出する資料間の整合性を確認するために個人番号を記載した明細表などチェック用ファイルを作成する場合税務署に出す資料どうしの整合性を確認するための明細表などのチェック用ファイルは、作成できます。税務に関わる個人番号関係事務の範囲内の作業だからです。Q&Aでも、この範囲内であれば照合表や明細表を作ることが認められています。
- ×エ 保険契約者の死亡保険金支払に伴う支払調書ファイルを作成する場合死亡保険金を支払ったときの支払調書ファイルは、作成できます。支払調書の作成は法令に基づく税務上の個人番号関係事務であり、個人番号を記載する必要があるからです。
補足
「社内の情報だから」「本人が従業員だから」という理由で、個人番号を社員IDの代わりに使うことはできません。判断の基準は、法定の事務に必要かどうかだけです。また、法定の事務のための確認作業やバックアップは、目的外の複製には当たりません。
※この問題は、平成30年9月28日時点のガイドラインとQ&Aを前提にしています。その後、マイナンバー法が改正されて個人番号を使える行政事務の範囲が見直され、ガイドラインやQ&Aも更新されています。最新の内容は、個人情報保護委員会が公表している現行版で確認してください。ただし、法定の事務に関係のない業務成績管理に個人番号を使ってはいけないという考え方は、今も変わりません。
POINT
- 特定個人情報ファイルを作れるのは、個人番号利用事務または個人番号関係事務に必要な範囲に限られます。
- 事業者が個人番号を使えるのは、税・社会保障・災害対策の分野の事務に限られます。
- 支払調書の作成や、提出資料を確認するための明細表、バックアップは、必要な範囲内として作成できます。
- 人事評価や業務成績の管理など、社内の独自目的で個人番号を使ったファイルを作ることは禁止されています。