特定個人情報ファイルを作成できる範囲と、作成が禁止される場合
情報セキュリティマネジメント試験 2022年 サンプル問題 問31 ／ 法務 › セキュリティ関連法規
過去問にチャレンジ
個人情報保護委員会“特定個人情報の適正な取扱いに関するガイドライン（事業者編）令和4年3月一部改正”及びその“Q&A”によれば，事業者によるファイル作成が禁止されている場合はどれか。 なお，“Q&A”とは“「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」及び「(別冊）金融業務における特定個人情報の適正な取扱いに関するガイドライン」に関するQ&A令和4年4月1日更新”のことである。
- ア
システム障害に備えた特定個人情報ファイルのバックアップファイルを作成する場合
- イ
従業員の個人番号を利用して業務成績を管理するファイルを作成する場合
- ウ
税務署に提出する資料間の整合性を確認するために個人番号を記載した明細表などチェック用ファイルを作成する場合
- エ
保険契約者の死亡保険金支払に伴う支払調書ファイルを作成する場合
会話形式の解説
講師今回は、マイナンバー、つまり個人番号を含むファイルを事業者が作ってよいかどうかを判断する問題です。特定個人情報ファイルとは、個人番号を含む個人情報のデータベースやファイルのことです。四つの場面のうち、作成が禁止されているものを一つ選びます。
受験者個人番号はとにかく厳しく管理するものだと覚えているので、バックアップのようにコピーを増やすものは禁止されていそうに思えました。
講師そこは迷いやすいところです。判断の基準は、個人番号利用事務か個人番号関係事務を処理するのに必要な範囲かどうかです。個人番号関係事務とは、事業者が税や社会保障の手続のために個人番号を書類に記載して提出するような事務のことです。
受験者そうすると、システム障害に備えたバックアップは、税や社会保障の事務を止めないためのものなので、必要な範囲に入るということですか。
講師そのとおりです。ガイドラインとQ&Aでも、バックアップファイルの作成は認められています。ただし、バックアップにも元のファイルと同じように安全管理措置を講ずる必要があります。
受験者税務署に出す資料の整合性を確かめるチェック用ファイルはどうでしょうか。提出書類そのものではないので、少し不安です。
講師提出書類を正しく作るための付随的な作業なので、税務に関する個人番号関係事務の範囲内です。個人番号を記載した明細表などのチェック用ファイルは作成できます。
受験者死亡保険金の支払調書ファイルも、法令に基づいて作る書類なので作成できる、という理解で合っていますか。
講師合っています。支払調書の作成は法令に基づく事務です。なお、個人番号を取得するときは、「保険取引に関する支払調書作成事務」のように利用目的を具体的に特定しておく必要があります。
受験者残るのは、従業員の個人番号で業務成績を管理するファイルです。従業員の情報なので給与や源泉徴収と近い気もしましたが、成績管理は税や社会保障の手続ではありませんね。
講師はい。業務成績の管理は社内の一般的な業務管理で、個人番号利用事務にも個人番号関係事務にも当たりません。法令で決められた事務に必要な範囲を超えるので、このファイルの作成は禁止されています。これが正解です。
受験者誰の情報を扱うかではなく、何の事務のためのファイルかで判断するということですね。
講師その整理で大丈夫です。補足すると、社内資料として過去の業務状況を記録しておく目的でも、個人番号を含むファイルは作成できません。また、問題で指定されたガイドラインとQ&Aは出題当時の版なので、実務では個人情報保護委員会が公表している最新版で確認してください。
まとめ
事業者が特定個人情報ファイルを作成できるのは、個人番号利用事務や個人番号関係事務を処理するのに必要な範囲に限られます。システム障害に備えたバックアップや、税務署への提出資料を照合するチェック用ファイルは、法定事務を支えるものとして作成が認められます。死亡保険金の支払調書ファイルも、法令に基づく事務なので作成できます。一方、従業員の業務成績の管理は社内の一般的な業務管理であり、個人番号を使ってファイルを作ることは禁止されています。迷ったときは、何の事務のためのファイルかで判断します。
解答・解説
正解はイです
この問題のテーマ
マイナンバー法と事業者編ガイドラインに沿って、事業者が特定個人情報ファイルを作ってよい場合と、作ってはいけない場合を見分けられるかを問う問題です。
解き方の考え方
事業者が特定個人情報ファイルを作れるのは、個人番号利用事務や個人番号関係事務を処理するのに必要な範囲に限られます。そこで各選択肢について、ファイルの目的が税や社会保障の手続などの法定事務に結び付いているかを確かめます。法定事務のためのファイルや、その事務を正しく行うための付随的なファイルは作成できます。法定事務と関係のない社内の業務管理に個人番号を使うものは作成できません。この基準に当てはまらないのは、業務成績の管理を目的とする選択肢だけです。
選択肢ごとの解説
- ×ア システム障害に備えた特定個人情報ファイルのバックアップファイルを作成する場合システム障害に備えて特定個人情報ファイルのバックアップを取ることは、ガイドラインとQ&Aで認められています。法定事務を続けるために必要な範囲に入るからです。なお、バックアップにも安全管理措置を講ずる必要があります。
- ○イ 従業員の個人番号を利用して業務成績を管理するファイルを作成する場合従業員の業務成績の管理は社内の一般的な業務管理です。個人番号利用事務にも個人番号関係事務にも当たりません。法令で決められた事務に必要な範囲を超えるため、個人番号を使ってこのようなファイルを作ることは禁止されています。
- ×ウ 税務署に提出する資料間の整合性を確認するために個人番号を記載した明細表などチェック用ファイルを作成する場合税務署に出す資料どうしの整合性を確かめるための明細表や照合表は、税務に関する個人番号関係事務の範囲内のものです。提出書類を正しく作るための付随的な作業なので、個人番号を記載したチェック用ファイルを作成できます。
- ×エ 保険契約者の死亡保険金支払に伴う支払調書ファイルを作成する場合死亡保険金を支払う際の支払調書の作成は、法令に基づく事務です。そのため、個人番号を含む支払調書ファイルを作成できます。個人番号を取得するときは、「保険取引に関する支払調書作成事務」のように利用目的を具体的に特定しておく必要があります。
補足
本問の選択肢イの「従業員の業務成績管理」は、従業員の情報を扱う点では給与や源泉徴収の事務と似ています。それでも目的は社内の一般的な業務管理であり、法令で決められた事務に必要な範囲を超えます。迷ったときは、扱うのが誰の情報かではなく、何の事務のためのファイルかで判断してください。また、社内資料として過去の業務状況を記録しておく目的でも、個人番号を含むファイルは作成できません。
※問題文で指定されているガイドラインとQ&Aは出題当時の版です。その後も改正・更新が行われることがあるため、実務で使うときは個人情報保護委員会が公表している最新版で確認してください。必要な範囲に限ってファイルを作成できるという本問の考え方は、出題当時の版に基づいています。
POINT
- 特定個人情報ファイルは、個人番号利用事務・個人番号関係事務の処理に必要な範囲でしか作成できません。
- バックアップファイルやチェック用の明細表のように、法定事務を支えるためのファイルは作成が認められます。
- 支払調書のように法令に基づいて作る書類のファイルは、個人番号を含めて作成できます。
- 業務成績の管理など社内の一般的な業務管理に個人番号を使うファイルは、作成できません。