特定個人情報の適正な取扱いに関するガイドライン｜情報セキュリティマネジメント 令和4年 サンプル問題 問31

まず押さえたいこと

特定個人情報は、個人番号を利用できる目的が法律で限定されており、その目的を超えて個人番号を含むファイルを作成してはいけません。従業員の個人番号を使って業務成績を管理することは、税・社会保障などの個人番号関係事務とは関係がないため、目的外利用に当たります。

迷ったときの判断軸

「個人番号を使う必要がある業務か」を基準に考えましょう。税務署への提出資料作成や支払調書作成、それらに必要なバックアップや確認用ファイルは、個人番号関係事務に必要な範囲で認められます。一方、人事評価や業務成績管理のように個人番号を使う必要がない目的でファイルを作ることは認められません。

試験では、「マイナンバーは税・社会保障など法律で認められた事務に必要な範囲だけ」と考えると判断しやすくなります。人事評価や営業成績の管理など、社内管理のためにマイナンバーを識別番号として使うことはできません。

科目Bにつなげるために

科目Bでは、個人情報や特定個人情報について「安全に保管しているか」だけでなく、そもそもその情報を利用・保存する目的が適切かを確認する視点が重要です。アクセス制御や暗号化以前に、必要のない個人番号を収集・利用・保存しないという目的限定の考え方を押さえておきましょう。