【SC試験】マイナンバー法とセキュリティ — 午前I・午前II・午後 問題セット

正解： イ

解説：

• ア）不正解。マイナンバーの利用範囲は法律で限定列挙された社会保障・税・災害対策の3分野に限られる。民間企業が独自の用途で利用することは番号法上禁止されている（利用制限の原則）。
• イ）正解。特定個人情報はマイナンバーを含む個人情報であり、番号法により個人情報保護法よりも厳格な収集・保管・利用・提供制限（利用目的の限定、特定個人情報ファイルの作成制限など）が課される。
• ウ）不正解。マイナンバーが不正に用いられるおそれがあると認められる場合は、本人の請求または市町村長の職権により番号を変更することが可能である。
• エ）不正解。源泉徴収票の作成だけでなく、社会保険・雇用保険の手続など、法定された社会保障分野の事務全般に利用が認められている。

正解： イ

解説：

• ア）不正解。特定個人情報保護評価は主にマイナンバーを取り扱う行政機関・地方公共団体等が対象であり、民間事業者全般への一律の提出義務ではない。
• イ）正解。特定個人情報保護評価は、対象人数やリスクの大きさに応じて基礎項目評価・重点項目評価・全項目評価の3段階に区分され、しきい値判断に基づき行政機関等が実施する制度である。
• ウ）不正解。設問の内容（アクセス制御・ウイルス対策）は「技術的安全管理措置」に該当する。組織的安全管理措置は取扱規程の整備、責任者の明確化、取扱状況の記録・点検・監査体制の構築などを指す。
• エ）不正解。個人情報保護委員会のガイドラインでは、中小規模事業者に対して安全管理措置の一部を簡素化できる特例的な取扱いが認められている（ただし委託を受けてマイナンバーを扱う場合など除外要件もある）。

正解例（1）：

• 委託先の選定時に、H社が特定個人情報について番号法及びガイドラインに定める安全管理措置と同等の措置を講じる能力を有するかを確認すること
• 委託契約において、秘密保持義務・特定個人情報の取扱状況に関する報告義務・再委託の条件・事故発生時の連絡体制等を具体的に規定すること
• 委託先における特定個人情報の取扱状況を定期的に監査・報告徴収すること

正解例（2）： マイナンバー法及び個人情報保護委員会ガイドラインでは、委託者（G社）は委託先（H社）に対して「必要かつ適切な監督」を行う義務を負う。本件では契約書に安全管理措置の具体的規定がなく、定期監査も未実施であったため、委託先選定時の確認義務・契約内容の適正化義務・監督実施義務のいずれも欠いており、G社自身の監督義務違反が問われ得る。

解説・採点基準（計15点）：

部分点：（1）は「選定」「契約」「監査」のいずれか2点に触れていれば良い。（2）は監督義務の法的根拠（番号法・ガイドライン）への言及がなくても、契約不備と監査未実施の両方に触れていれば実質満点とする。

正解例（技術的安全管理措置）：

1. モバイル機器（業務用PC）に保存する特定個人情報ファイルの暗号化、またはハードディスク全体の暗号化（BitLocker等）
2. アクセス制御（特定個人情報ファイルへのアクセス権限を業務上必要な者に限定）とログイン認証の強化、加えて遠隔からのデータ消去（リモートワイプ）機能の導入

正解例（発覚後の対応）：

1. 個人情報保護委員会への報告（特定個人情報の漏洩等が発生し、又は発生したおそれがある事態に該当する場合、速やかに報告する）
2. 本人（対象従業員）への速やかな通知、及び二次被害防止のための注意喚起
3. H社との委託契約の見直し、再発防止策（暗号化の徹底、監査体制の構築）の実施

解説・採点基準（計15点）：

部分点：技術的安全管理措置は暗号化とアクセス制御以外にも、機器の持ち出しルール整備・BYOD原則禁止等の記述があれば加点対象とする。報告先を「個人情報保護委員会」と明記できていない場合は当該項目を半減とする。