SC：法制度 - 個人情報、マイナンバー（法律と制度）のバックアップ(No.6) - .NET 開発基盤部会 Wiki

[ トップ ] [ 新規 | 一覧 | 単語検索 | 最終更新 | ヘルプ ]

バックアップ一覧
差分を表示
現在との差分を表示
ソースを表示
SC：法制度 - 個人情報、マイナンバー（法律と制度）へ行く。
- 1 (2019-11-04 (月) 19:32:32)
- 2 (2019-12-05 (木) 21:26:19)
- 3 (2019-12-06 (金) 09:17:21)
- 4 (2019-12-11 (水) 21:23:00)
- 5 (2019-12-15 (日) 19:23:38)
- 6 (2019-12-15 (日) 21:23:16)
- 7 (2019-12-16 (月) 21:22:55)
- 8 (2020-01-04 (土) 20:18:43)
- 9 (2020-01-11 (土) 19:01:07)
- 10 (2022-01-05 (水) 19:16:00)

「.NET 開発基盤部会 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。

戻る

目次 †

目次
概要
詳細

概要 †

個人情報、マイナンバー、プライバシー・マーク制度、GDPRなどの律と制度。

詳細 †

個人情報 †

ネット、IT、情報化で「プライバシー保護」が広く認知されるようになった。

定義 †

プライバシー
自分に関する情報（個人情報）の流れを自分で、
コントロールできる権利（自己情報コントロール権）

個人情報
単体、組み合わせで個人を特定できる情報
（下記の個人情報保護法での定義）

個人識別符号
法改正によって，個人情報の中身をより明確にするために作られた概念
- １号：身体の一部をコンピュータ上の記録にしたもの
- ２号：個人に割り当てられる符号

要配慮個人情報
Pマークの「機微な個人情報」より定義が少し広くなっている。
- 人種、信条、社会的身分
- 医療関連（障害、病歴、健康診断、医師の指導/診療/調剤の履歴
- 犯罪関連（犯罪歴、犯罪被害を受けた事実）

匿名加工情報
- 個人情報を元に個人を特定できないように加工した情報
- 一定の義務を遵守することが前提で「個人情報」には当たらない。

個人情報取扱事業者
公共機関/団体(国家機関/地方公共団体/(地方)独立行政法人)を除く、
個人情報データベースを事業で使用している事業者。
（下記の個人情報保護法での定義）

個人情報データベース
電子計算機を使用た個人情報を含む情報の集合体
- 個人を検索可能にしたもの。
- 個人情報を検索可能なように体系的に構成したもの。

個人データ
個人情報データベース等を構成する個人情報
保有個人データ
- 個人情報取扱事業者が保有する個人データ
- 保有≒開示/訂正/追加/削除、利用停止、第三者への提供

保護 †

基本的な考え方

適切に管理する
- 別の人の手に渡る。
- 間違った方法で使われる。
- 内容を糧に変えられる。

所有者の
- 許可を得た範囲でのみ利用する。
- 中止や内容の変更の要求に応じる必要。

OECDプライバシー・ガイドライン
- 1980年にOECD（経済協力開発機構）で採択
- プライバシー保護と個人データの国際流通についてのガイドライン

基本８原則

原則１：「収集制限の原則」
個人データを収集する際には、法律にのっとり、また公正な手段によって、
個人データの主体（本人）に通知または同意を得て収集するべきである。

原則２：「データ内容の原則」
個人データの内容は、利用の目的に沿ったものであり、
かつ正確、完全、最新であるべきである。

原則３：「目的明確化の原則」
個人データを収集する目的を明確にし、データを利用する際は
収集したときの目的に合致しているべきである。

原則４：「利用制限の原則」
個人データの主体（本人）の同意がある場合、
もしくは法律の規定がある場合を除いては、
収集したデータをその目的以外のために利用してはならない。
（人の生命、身体又は財産の保護に必要な場合は可能）

原則５：「安全保護の原則」
合理的な安全保護の措置によって、
紛失や破壊、使用、改ざん、漏えいなどから保護すべきである。

原則６：「公開の原則」
個人データの収集を実施する方針などを公開し、
データの存在やその利用目的、管理者などを明確に示すべきである。

原則７：「個人参加の原則」
個人データの主体が、自分に関するデータの
所在やその内容を確認できるとともに、
異議を申し立てることを保証すべきである。

原則８：「責任の原則」
個人データの管理者は、これらの
諸原則を実施する上での責任を有するべきである。

法律 †

個人情報保護法（個人情報の保護に関する法律）
- 1990年代の終わり頃から民間を対象とした準備が始まり、
- 2003/5に民間・公的を問わず、個人情報保護法が成立
- 2005/4/1に全面施行
- 2017/5/30に改訂版の全面施行

個人情報保護法関連五法

３つの保護法
- 個人情報の保護に関する法律 - 基本法則と民間の個人情報保護を規定
- 行政機関の保有する個人情報の保護に関する法律
- 独立行政法人の保有する個人情報の保護に関する法律

２つの関連法
- 情報公開・個人情報保護審査会設置法
- 行政機関の保有する個人情報保護法等の施行に伴う関係法律の整備等に関する法律

五法の構成

組織	公的部門			民間部門
組織	国の行政機関	法人	地方公共団体	民間部門
基本法	個人情報の保護に関する法律（基本法制）
一般法	行政機関の保有する個人情報の保護に関する法律	独立行政法人等の保有する個人情報の保護に関する法律	個人情報保護条例	個人情報の保護に関する法律（一般法部分）
一般法	情報公開・個人情報保護審査会設置法行政機関の保有する個人情報保護法等の施行に伴う関係法律の整備等に関する法律		個人情報保護条例	個人情報の保護に関する法律（一般法部分）

個人情報取扱事業者の義務

個人情報の適正な管理
組織的/人的/物理的/技術的な広範囲の安全対策

本人の権利と関与
本人の求めに応じ保有個人データと利用目的を
迅速に通知（し必要に応じて訂正）する必要がある。

本人の権利への対応
各種問い合わせ方法が明示されていること。

苦情の処理
努力義務

2017/5/30の法改正の主な内容

個人情報定義の明確化
- 個人識別符号の追加
- 要配慮個人情報のオプトアウトの禁止

適切な規律下で個人情報等の有用性を確保
- 匿名加工情報
  加工方法の定め、取扱いについての規律を設ける。
- 個人情報保護指針
  作成の際には、消費者の意見を聞き個人情報保護委員会に提出

個人情報の保護を強化（名簿屋対策）
- トレーサビリティの確保
  情報（提供者、受領者、取得経緯）の一定期間保存
- データベース提供罪
  事業に従事する/していた者が不正に盗用/提供する行為を処罰。

個人情報保護委員会の新設/権限
- 内閣府の外局（主務大臣の権限を集約）
- 立入検査の権限などを追加

個人情報の取扱いのグローバル化
（ただし、GDPRと比べると、個人の権限がぜんぜん弱いらしい）
- 外国の個人情報取扱事業者にも当該法を原則適用。
- 国境を超えた適用と外国執行当局への情報提供
- 外国の第三者提供が可能（委員会の規則に則った方法/が認めた国、または本人同意）

その他の改正事項
- オプトアウト規定の厳格化
  データ項目等を委員会へ届け出て、委員会はその内容を公表
- 利用目的の制限の緩和
  取得時の目的からの変更に対して規定を緩和
- 規制対象の縮小
  個人の権利/利益を害する恐れのない情報は規制から除外
- 小規模事業者への対応
  個人情報数が5000人以下の業者へも適用

個人情報保護法についてのガイドライン
（2016/11/30と法改正の前に公表された）

通則編

組織安全管理措置
組織体制、運用・手順、インシデント対応体制、
現状把握と、安全管理措置の見直し。

人的安全管理措置
従業員の教育

物理的安全管理措置
区域管理、盗難防止、持ち運び時の漏洩防止、
データの削除と、機器・電子媒体の廃棄

技術的安全管理措置
認証・認可、アクセス制御
脆弱性対策（不正アクセス、情報漏洩）

外国にある第三者への提供編

第三者提供時の確認・記録義務編

※ 再委託の際は委託元は委託先に、

事前報告を受けて承認を行う。

そして、定期的に監査を行う。

マイナンバー法 †

概要 †

マイナンバー法（番号法）

正式名称：
行政手続における特定の個人を識別するための番号の利用等に関する法律

個人番号（と法人番号）により、納税～社会保障の情報を一元管理する番号制度導入の法律

2013/5に成立し、2015/10/5に施行、一部は2016/1/1に施行され、
住民票を持つ住民に対し、個人番号の記載された通知カードが送付された。

マイナンバーカードは、顔写真＆ICチップ付きカードで、交付申請は任意。
これは、住基ネットの住基カードの後継（身分の電子証明書）とされている。

要点 †

基本理念
- 個人情報の保護
- 行政、それ以外の利便性の向上

個人番号
- 通知カードにより通知
- 盗用、漏洩の際は、変更可能。
- 外国人住民（中長期、永住者）も対象
- 法規定された利用範囲外で提供を求めることは禁止。
- 提供を求めた場合は、本人確認が必要。

個人番号の用途
法規定された利用範囲
- 納税～社会保障関連の行政業務
- 上記に係る民間業務（健保組合、総務）
- 災害時の金融機関業務
- 上記以外の例外は、個人情報と同じで、
  「人の生命、身体又は財産の保護に必要な場合」

個人番号カード
- 通知カードではないマイナンバー・カード
- 顔写真＆ICチップ付きカード

個人番号保護
- 個人番号関連は特定個人情報と呼ばれる。
- 法規定外での情報収集・保管を禁止する。
- 評価、罰則強化など、十分な個人情報保護対策

ネットワーク・システム
- 法規定内の行政機関がネットワークシステムで利用可能。
- 民間企業はネットワークシステムを利用できない。
- 個人番号は一元管理できないようになっている（PPID的な）

法人番号
- 国政庁長官は法人などに法人番号を通知
- 法人番号は原則公開（民間利用も可能）

検討など

法施行後３年を目途に、利用範囲の拡大について検討

必要を認める場合、国民の理解を得つつ、所定の措置を講ずる。
（貯金付番制度や、医療・地方公共団体の業務）

ガイドライン †

必須事項と推奨事項があり、
必須事項に従わない場合、法令違反と判断される可能性がある。

事業者編
以下、安全措置（必須事項）

#	大項目	中項目	必須事項
1	検討手順	(A)事務範囲の明確化	明確化が必要
		(B)情報範囲の明確化	情報範囲の明確化が必要
		(C)事務担当者の明確化	事務担当者の明確化が必要
		(D)事務範囲の明確化	明確化が必要
		(E)取扱既定等の策定	(A)-(C)に準拠した適正な取扱いのため既定等の策定が必要
2	講ずべき措置内容	(A)基本方針	(1)と同様だが、業務の流れを整理して具体的に策定
		(B)組織安全管理措置	≒個人情報保護法のガイドライン（通則編）
		(C)人的安全管理措置
		(D)物理的安全管理措置
		(E)技術的安全管理措置

行政機関・地方公共団体等編

金融業務における特定個人情報の
適正な取扱いに関するガイドライン（別冊）

プライバシー・マーク制度 †

概要 †

1998/4より始まった制度。

目的
- 民間の個人情報保護措置の実践を促し、
- 適切に行っている事業者へインセンティブを与える。

認証
- 前提の規格は、JIS Q 15001のマネジメント・システム
- ロゴマークを使用して消費者にアピールできる。

運営状況

プライバシーマーク付与機関（付与機関）
- ISMSと同様にJIPDEC
- 審査機関を指定、事業者からのPマーク付与の申請を審査
- プライバシーマーク制度を適正に運用する役割
- 委員会等を設置（Pマーク制度委員会、消費者相談窓口）

プライバシーマーク指定審査機関（審査機関）
- 審査機関となることができる団体
- Pマーク制度委員会の審議を経て審査機関として指定を受けた団体
- 事業者からのPマーク付与適格性審査申請の受け付け、内容を審査・調査する。

プライバシーマーク指定研修機関（研修機関）
- 研修機関として指定を受けた団体
- 付与機関に申請してPマーク制度委員会の審議を経て指定研修機関として指定を受けた団体
- 審査員補を養成するための研修、並びに主任審査員、
  審査員及び審査員補が資格を維持するためのフォローアップ研修を実施する。

取得要件

JIS Q 15001 †

1999年に第一版が制定

2006年に１回目の改訂

2017年に２回目の改訂

個人情報保護法対応

整合性
他のJISマネジメント規格(JIS Q )との。
- 9000（品質）
- 14000（環境）
- 27000（情報セキュリティ）

構造
- 上位構造（High level structure：HLS）の採用
- 付属書A:「管理目的及び管理策のポイント」は、
  JIS Q 15001:2006の箇条3の要求事項を継承しつつ、追加・変更したもの。

付属書Aの主な管理策

個人情報の特定
資源、役割、責任及び権限
利用目的の特定
委託先の監督
文書化した情報の範囲
文書化した情報のうち記録の管理

GDPR †