• 戻る（法制度）

• 個人情報、マイナンバー、 プライバシー・マーク制度、 GDPRなどの法律と制度。
• ネット、IT、情報化で「プライバシー保護」が広く認知されるようになった。

自分に関する情報（個人情報）の流れを自分で、
コントロールできる権利（自己情報コントロール権）

単体、組み合わせで個人を特定できる情報
（下記の個人情報保護法での定義）

• 個人識別符号
  法改正によって，個人情報の中身をより明確にするために作られた概念

  • １号：身体の一部をコンピュータ上の記録にしたもの
  • ２号：個人に割り当てられる符号

• 要配慮個人情報
  Pマークの「機微な個人情報」より定義が少し広くなっている。

  • 人種、信条、社会的身分
  • 医療関連（障害、病歴、健康診断、医師の指導/診療/調剤の履歴
  • 犯罪関連（犯罪歴、犯罪被害を受けた事実）

• 匿名加工情報
  一定の義務を遵守することが前提で「個人情報」には当たらない。

  • 個人情報を元に個人を特定できないように加工する。

    • 住所氏名などは削除対象。特異な記述は削除する。
    • 個人情報は復元できないようにする必要がある。

  • 具体的な加工例

    • 項目削除、トップ（ボトム）コーディング、疑似データ生成、ノイズ付加、一般化
    • マスキング
      マスキングでは充分で無いことがある。
    • ｋ-匿名化
      特定の個人の識別を困難にするためのデータの加工方法の一つ。

公共機関/団体(国家機関/地方公共団体/(地方)独立行政法人)を除く、
個人情報データベースを事業で使用している事業者。

（下記の個人情報保護法での定義）

情報	説明	要遵守義務
個人情報データベース	電子計算機を使用した個人情報を含む情報の集合体 ・個人を検索可能にしたもの。 ・個人情報を検索可能なように体系的に構成したもの。	低
個人データ	個人情報データベース等を構成する個人情報	中
保有個人データ	・個人情報取扱事業者が保有する個人データ ・保有≒開示/訂正/追加/削除、利用停止、第三者への提供	高

• 適切に管理する

  • 別の人の手に渡る。
  • 間違った方法で使われる。
  • 内容を勝手に変えられる。

• 所有者の

  • 許可を得た範囲でのみ利用する。
  • 中止や内容の変更の要求に応じる必要。

• 1980年にOECD（経済協力開発機構）で採択

• プライバシー保護と個人データの国際流通についてのガイドライン

• 基本８原則

  • 原則１：「収集制限の原則」
    個人データを収集する際には、法律にのっとり、また公正な手段によって、
    個人データの主体（本人）に通知または同意を得て収集するべきである。

  • 原則２：「データ内容の原則」
    個人データの内容は、利用の目的に沿ったものであり、
    かつ正確、完全、最新であるべきである。

  • 原則３：「目的明確化の原則」
    個人データを収集する目的を明確にし、データを利用する際は
    収集したときの目的に合致しているべきである。

  • 原則４：「利用制限の原則」
    個人データの主体（本人）の同意がある場合、
    もしくは法律の規定がある場合を除いては、
    収集したデータをその目的以外のために利用してはならない。
    （人の生命、身体又は財産の保護に必要な場合は可能）

  • 原則５：「安全保護の原則」
    合理的な安全保護の措置によって、
    紛失や破壊、使用、改ざん、漏えいなどから保護すべきである。

  • 原則６：「公開の原則」
    個人データの収集を実施する方針などを公開し、
    データの存在やその利用目的、管理者などを明確に示すべきである。

  • 原則７：「個人参加の原則」
    個人データの主体が、自分に関するデータの
    所在やその内容を確認できるとともに、
    異議を申し立てることを保証すべきである。

  • 原則８：「責任の原則」
    個人データの管理者は、これらの
    諸原則を実施する上での責任を有するべきである。

• 対象は、生存している個人に関する情報に限られる。
  一般論として死者の情報は保護しなくて良いと言う事ではない。

• 以下は個人情報だが、条件に限らない。

  • 日本国籍を有する個人（→ 外国人も含む）
  • 秘密のプライバシに関する情報（→ 秘密かどうかを問わない）
  • 企業が管理している顧客情報（→ 管理されていなくても対象）

• 1990年代の終わり頃から民間を対象とした準備が始まり、
• 2003/5に民間・公的を問わず、個人情報保護法が成立
• 2005/4/1に全面施行
• 2017/5/30に改訂版の全面施行

• ３つの保護法

  • 個人情報の保護に関する法律 - 基本法則と民間の個人情報保護を規定
  • 行政機関の保有する個人情報の保護に関する法律
  • 独立行政法人の保有する個人情報の保護に関する法律

• ２つの関連法

  • 情報公開・個人情報保護審査会設置法
  • 行政機関の保有する個人情報保護法等の施行に伴う関係法律の整備等に関する法律

• 五法の構成

区分	公的部門：国の行政機関	公的部門：法人	公的部門：地方公共団体	民間部門
基本法	個人情報の保護に関する法律（基本法制）	個人情報の保護に関する法律（基本法制）	個人情報の保護に関する法律（基本法制）	個人情報の保護に関する法律（基本法制）
一般法	行政機関の保有する個人情報の保護に関する法律 情報公開・個人情報保護審査会設置法 行政機関の保有する個人情報保護法等の施行に伴う関係法律の整備等に関する法律	独立行政法人等の保有する個人情報の保護に関する法律 情報公開・個人情報保護審査会設置法 行政機関の保有する個人情報保護法等の施行に伴う関係法律の整備等に関する法律	個人情報保護条例	個人情報の保護に関する法律（一般法部分）

• 個人情報の適正な管理
  組織的/人的/物理的/技術的な広範囲の安全対策

• 本人の権利と関与
  本人の求めに応じ保有個人データと利用目的を
  迅速に通知（し必要に応じて訂正）する必要がある。

• 本人の権利への対応
  各種問い合わせ方法が明示されていること。

• 苦情の処理
  努力義務

• 個人情報定義の明確化

  • 個人識別符号の追加
  • 要配慮個人情報のオプトアウトの禁止

• 適切な規律下で個人情報等の有用性を確保

  • 匿名加工情報
    加工方法の定め、取扱いについての規律を設ける。
  • 個人情報保護指針
    作成の際には、消費者の意見を聞き個人情報保護委員会に提出

• 個人情報の保護を強化（名簿屋対策）

  • トレーサビリティの確保
    情報（提供者、受領者、取得経緯）の一定期間保存
  • データベース提供罪
    事業に従事する/していた者が不正に盗用/提供する行為を処罰。

• 個人情報保護委員会の新設/権限

  • 内閣府の外局（主務大臣の権限を集約）
  • 立入検査の権限などを追加

• 個人情報の取扱いのグローバル化
  （ただし、GDPRと比べると、個人の権限がぜんぜん弱いらしい）

  • 外国の個人情報取扱事業者にも当該法を原則適用。
  • 国境を超えた適用と外国執行当局への情報提供
  • 外国の第三者提供が可能（委員会の規則に則った方法/が認めた国、または本人同意）

• その他の改正事項

  • オプトアウト規定の厳格化
    データ項目等を委員会へ届け出て、委員会はその内容を公表
  • 利用目的の制限の緩和
    取得時の目的からの変更に対して規定を緩和
  • 規制対象の縮小
    個人の権利/利益を害する恐れのない情報は規制から除外
  • 小規模事業者への対応
    個人情報数が5000人以下の業者へも適用

（2016/11/30と法改正の前に公表された）

• 通則編

  • 組織安全管理措置
    組織体制、運用・手順、インシデント対応体制、
    現状把握と、安全管理措置の見直し。

  • 人的安全管理措置
    従業員の教育

  • 物理的安全管理措置
    区域管理、盗難防止、持ち運び時の漏洩防止、
    データの削除と、機器・電子媒体の廃棄

  • 技術的安全管理措置
    認証・認可、アクセス制御
    脆弱性対策（不正アクセス、情報漏洩）

• 外国にある第三者への提供編

• 第三者提供時の確認・記録義務編

※ 再委託の際は委託元は委託先に、

• 事前報告を受けて承認を行う。
• そして、定期的に監査を行う。

• JIS Q 15001（プライバシー・マーク制度の該当節）を参照。

• 個人情報保護マネジメントシステム
• ISOガイド72に基づき開発されたJIS Q 15001規格を用いてPMSを構築する。
• 個人情報保護法とJIS Q 15001では対象となる個人情報の定義に違いがあるらしい。

マイナンバー法（番号法）

• 正式名称：
  行政手続における特定の個人を識別するための番号の利用等に関する法律

• 個人番号（と法人番号）により、納税～社会保障の情報を一元管理する番号制度導入の法律

• 2013/5に成立し、2015/10/5に施行、一部は2016/1/1に施行され、
  住民票を持つ住民に対し、個人番号の記載された通知カードが送付された。

• マイナンバーカードは、顔写真＆ICチップ付きカードで、交付申請は任意。
  これは、住基ネットの住基カードの後継（身分の電子証明書）とされている。

• 個人情報の保護
• 行政、それ以外の利便性の向上

• 通知カードにより通知
• 盗用、漏洩の際は、変更可能。
• 外国人住民（中長期、永住者）も対象
• 法規定された利用範囲外で提供を求めることは禁止。
• 提供を求めた場合は、本人確認が必要。

法規定された利用範囲

• 納税～社会保障関連の行政業務
• 上記に係る民間業務（健保組合、総務）
• 災害時の金融機関業務
• 上記以外の例外は、個人情報と同じで、
  「人の生命、身体又は財産の保護に必要な場合」

• 通知カードではないマイナンバー・カード
• 顔写真＆ICチップ付きカード

• 個人番号関連は特定個人情報と呼ばれる。

• 法規定外での情報収集・保管を禁止する。

• 評価、罰則強化など、十分な個人情報保護対策

• ネットワーク・システム

  • 法規定内の行政機関がネットワークシステムで利用可能。
  • 民間企業はネットワークシステムを利用できない。
  • 個人番号は一元管理できないようになっている（PPID的な）

• 国税庁長官は法人などに法人番号を通知
• 法人番号は原則公開（民間利用も可能）

• 法施行後３年を目途に、利用範囲の拡大について検討

• 必要を認める場合、国民の理解を得つつ、所定の措置を講ずる。
  （貯金付番制度や、医療・地方公共団体の業務）

必須事項と推奨事項があり、
必須事項に従わない場合、法令違反と判断される可能性がある。

以下、安全措置（必須事項）

#	大項目	中項目	必須事項
1	検討手順	(A)事務範囲の明確化	明確化が必要
1	検討手順	(B)情報範囲の明確化	情報範囲の明確化が必要
1	検討手順	(C)事務担当者の明確化	事務担当者の明確化が必要
1	検討手順	(D)事務範囲の明確化	明確化が必要
1	検討手順	(E)取扱既定等の策定	(A)-(C)に準拠した適正な取扱いのため既定等の策定が必要
2	講ずべき措置内容	(A)基本方針	(1)と同様だが、業務の流れを整理して具体的に策定
2	講ずべき措置内容	(B)組織安全管理措置	≒個人情報保護法のガイドライン（通則編）
2	講ずべき措置内容	(C)人的安全管理措置	≒個人情報保護法のガイドライン（通則編）
2	講ずべき措置内容	(D)物理的安全管理措置	≒個人情報保護法のガイドライン（通則編）
2	講ずべき措置内容	(E)技術的安全管理措置	≒個人情報保護法のガイドライン（通則編）

※ 元 Wiki では見出しのみで、本文は書かれていない。

金融業務における特定個人情報の
適正な取扱いに関するガイドライン（別冊）

1998/4より始まった制度。

• 民間の個人情報保護措置の実践を促し、
• 適切に行っている事業者へインセンティブを与える。

• 前提の規格は、JIS Q 15001のマネジメント・システム
• ロゴマークを使用して消費者にアピールできる。

• プライバシーマーク付与機関（付与機関）

  • ISMSと同様に JIPDEC（SC：基礎の該当節を参照）
  • プライバシーマーク制度を適正に運用する役割
    • 審査機関を指定
    • 事業者からのPマーク付与の申請を審査
    • 委員会等を設置（Pマーク制度委員会、消費者相談窓口）

• プライバシーマーク指定審査機関（審査機関）

  • 審査機関となることができる団体
  • Pマーク制度委員会の審議を経て審査機関として指定を受けた団体
  • 事業者からのPマーク付与適格性審査申請の受け付け、内容を審査・調査する。

• プライバシーマーク指定研修機関（研修機関）

  • 研修機関として指定を受けた団体
  • 付与機関に申請してPマーク制度委員会の審議を経て指定研修機関として指定を受けた団体
  • 審査員補を養成するための研修、並びに主任審査員、
    審査員及び審査員補が資格を維持するためのフォローアップ研修を実施する。

• JIS Q 15001に基づいたマネジメント・システムが確立・運用されている事。
• 個人情報保護の体制が確立されている事。
• （各種請求に対応する）相談窓口の設置されている事。
• リスクに対する合理的な管理策が講じられている事。
• 情報の提供や委託の際、契約などの安全管理策が講じられている事。
• 教育と監査を年１以上実施している事。

• 1999年に第一版が制定

• 2006年に１回目の改訂

• 2017年に２回目の改訂

  • 個人情報保護法対応

  • 整合性
    他のJISマネジメント規格(JIS Q)との。

    • 9000（品質）
    • 14000（環境）
    • 27000（情報セキュリティ）

  • 構造

    • 上位構造（High level structure：HLS）の採用
    • 付属書A:「管理目的及び管理策のポイント」は、
      JIS Q 15001:2006の箇条3の要求事項を継承しつつ、追加・変更したもの。

• 個人情報の特定

  • 特定手順の確立と維持
  • 特定した個人情報の台帳の確立
    （項目、利用目的・期限、保管場所・方法・期限）
  • 台帳を年１で最新状態に維持する。
  • 特定した個人情報は個人データとして扱う。

• 資源、役割、責任及び権限
  責任者の割り当て

  • 個人情報保護管理者
  • 個人情報保護監査責任者

• 利用目的の特定

  • 特定と範囲内での利用。
  • （利用者が影響を予測できるよう）目的を明らかにする。

• 委託先の監督

  • 利用目的の範囲内での委託契約の締結
  • 十分な個人データの保護水準を満たす、者を選定。
  • 選定基準＝自社と同等以上の個人データの保護水準
  • 安全管理措置が行われるように監督する
  • 契約による個人データの保護水準の担保
    • 委託者・受託者の責任の明確化
    • 個人データの安全管理に関する事項
    • 委託者への報告内容と頻度
    • 契約内容遵守を委託者が定期的 or 適宜に確認できる事項
    • 契約内容が遵守されなかった場合の措置
    • 事件・事故発生時の報告連絡に関する事項
    • 契約終了後の措置

• 文書化した情報の範囲
  マネジメント・システム規格の基本要素を書面で記述

  • 内部向け個人情報保護方針
  • 外部向け個人情報保護方針
  • 内部規定と、手順上で使用する様式
  • 計画書（なんの？）
  • 規格を実施する上で必要と判断した事項

• 文書化した情報のうち記録の管理

  • マネジメント・システム規格の適合を実証するために必要な記録
    • 個人情報の特定に関する記録
    • 指針や規範の特定に関する記録
    • リスクの特定・分析・対策に関する記録
    • 計画書（なんの？）
    • 利用目的の特定に関する記録
    • 個人データに関する各種請求に対する対応記録
    • 教育の実施記録
    • 苦情および相談への対応記録
    • 運用の確認の記録
    • 内部監査報告書
    • 是正措置の記録
    • レビューの記録
  • 記録の管理手順の確立と、実施・維持

• SC：法制度 - GDPR

移行メモ

• 「電子計算機を使用た個人情報を含む情報の集合体」→「使用した」に正した。
• 「内容を糧に変えられる。」→「内容を勝手に変えられる。」に正した。
• 「国政庁長官」→「国税庁長官」に正した。
• マイナンバーのガイドライン（事業者編）の表で 「(A)事務範囲の明確化」と「(D)事務範囲の明確化」が同一名称なのは原文ママ。
• 元 Wiki の結合セル（> / ~）を含む表は、GitHub Wiki では再現できないため、 セルの内容を展開して平坦な表にした（個人情報保護法関連五法の構成、 マイナンバーのガイドライン（事業者編））。
• 同名の見出しが複数あり GitHub Wiki でアンカが衝突するため、括弧で文脈を補って一意にした （「概要（マイナンバー法）」「概要（プライバシー・マーク制度）」 「JIS Q 15001（規格）」）。
• 元 Wiki で見出しそのものが他ページへのリンクになっていた箇所（「GDPR」）は、 GitHub Wiki では見出しからアンカが生成されるため、 見出しをプレーン・テキストとし、リンクは直下の本文に置いた。
• 本文の無い見出しは、その旨を明示するか参照に置き換えた。
• PukiWiki のページ内アンカ（#xxxxxxxx）は GitHub Wiki では再現できないため、 同一ページ内のアンカは見出しから生成されるアンカに張り替え、 他ページのアンカを指すリンクは「〜（ページ名 の該当節を参照）」の形に置き換えた。

---

Tags: 移行, 資格, SC, 法制度, 個人情報保護法, 個人情報, 匿名加工情報, OECDプライバシー・ガイドライン, マイナンバー法, 個人番号, プライバシーマーク, JIS Q 15001, PMS, GDPR