特定個人情報

ある業務システムで扱う住民データに個人番号が一つでも紐づくと、そのデータは通常の個人情報ではなく特定個人情報として扱われる。この線引きを誤ると、本来は番号法の上乗せ規制がかかる情報を一般の個人情報と同じ管理で運用してしまい、目的外の利用・提供や規律を欠いた保管が重大な漏えい事案につながる。番号法は特定個人情報について、利用目的を社会保障・税・災害対策に限定し、収集・保管・提供を原則禁止としたうえで法定の場合だけ認めるという、一般の個人情報保護より厳格な規律を課している。具体的には、特定個人情報を含むファイルを保有しようとする前段で特定個人情報保護評価（PIA）を実施し、漏えい等が生じた場合は個人情報保護委員会へ報告する義務がある。担当者は、自部署が扱う情報に個人番号が含まれるか否かを最初に判定し、含むのであれば取扱区域の分離・アクセス制御・委託先管理といった安全管理措置を一般の個人情報より一段重い水準で設計する必要がある。

一般の個人情報との規律の違い

特定個人情報は、個人情報の保護に関する法律の特例として番号法（行政手続における特定の個人を識別するための番号の利用等に関する法律）が上乗せ規律を定める。一般の個人情報が「あらかじめ特定した利用目的の範囲で利用できる」のに対し、特定個人情報は番号法第9条が定める社会保障・税・災害対策の事務以外には利用できず、本人の同意があっても目的外利用は認められない。収集・保管も同法第20条で「必要がある場合」に限定され、提供は第19条が列挙する場合を除いて禁止される。この「限定列挙でしか動かせない」点が一般の個人情報との実務上の最大の差であり、システム設計時に個人番号を扱う処理を他の事務へ転用できない前提で要件定義することになる。

取扱いに伴う法定の手続と安全管理

特定個人情報を含むファイルを保有する前には、漏えいその他のリスクを自ら分析・評価し公表する特定個人情報保護評価（PIA）の実施が番号法第27条で義務づけられる。漏えい・滅失・毀損が生じ、または生ずるおそれがある一定の事態では、個人情報保護委員会への報告と本人への通知が必要となる。安全管理措置は、特定個人情報を取り扱う事務の範囲と取扱担当者を明確にしたうえで、取扱区域の物理的分離、アクセス制御、機器・電子媒体の持出し管理、委託先の監督までを含めて整備する。委託する場合は委託先にも同等の措置を求め、再委託には委託元の許諾を要する点が一般の業務委託と異なる。