経営戦略・システム戦略・企業と法務 重要度:★★出題: AM・PM
個人情報保護法とGDPR
こじんじょうほうほごほう / Personal Information Protection Act & GDPR
個人データの適正な取扱いと個人の権利利益を保護するための法律およびEUの一般データ保護規則。
3行速習ポイント
- 要配慮個人情報（信条、病歴、犯罪歴等）の取得には本人の事前同意が原則必須
- 漏えい発生時の個人情報保護委員会への報告および本人への通知が義務化
- GDPRでは忘れられる権利（消去権）、データポータビリティ権、高額な課徴金規定が特徴
図解
図個人情報保護法が定める「4つの安全管理措置」の体系構成要素・基本原則
個人データの漏えい・滅失・毀損を防ぐための組織的・人的・物理的・技術的統制🏛 個人情報保護法が定める「4つの安全管理措置」の体系（中核を構成する 4 つの柱）
体制・規程統制
組織的安全管理措置
管理体制の構築・取扱規程の整備・台帳管理・漏えい報告フロー確立
個人情報保護責任者の設置、取扱状況を確認できる個人データ管理台帳の整備、定期的な自主点検・内部監査の実施、および漏えい等発生時の個人情報保護委員会への報告体制を構築する。
教育・服務規律
人的安全管理措置
従業者への定期的なセキュリティ教育・研修と秘密保持誓約の徹底
正社員だけでなく派遣社員・アルバイトを含む全従業者に対し、個人データの適正な取扱いに関する定期研修を実施し、就業規則や誓約書によって在職中および退職後の秘密保持義務を課す。
区域・媒体保護
物理的安全管理措置
取扱区域の入退室管理・機器や電子媒体の盗難防止・確実なデータ消去廃棄
個人データを取り扱うサーバ室や執務エリアのICカード入退室制限、ノートPCやUSB媒体の施錠保管・持出し制限、および機器廃棄時の物理破壊や専用ソフトによる完全消去を実施する。
システム・暗号制御
技術的安全管理措置
最小権限のアクセス制御・MFA認証・通信/保存暗号化・不正アクセス防御
業務上必要な担当者のみに限定するアクセス権限設定（RBAC）、利用者識別と多要素認証、送受信データおよびDB保存データの暗号化、WAF/EDRや操作ログ監視による外部攻撃・内部不正対策を行う。
💡 委託先へ個人データの処理を委託する場合、委託元には「委託先に対する必要かつ適切な監督義務（契約締結・定期監査）」が課され、委託先の事故でも委託元の責任が問われる。
概要と本質
ITシステムの設計・運用において遵守が義務付けられる法務要件です。日本の個人情報保護法では、仮名加工情報や匿名加工情報の規定、オプトイン/オプトアウトの手続きが厳格に定められています。グローバル展開するWebシステムではEUのGDPR（一般データ保護規則）も考慮する必要があります。
重要ポイント・コア概念
- 利用目的の特定・公表と目的外利用の制限
- 安全管理措置（組織的・人的・物理的・技術的安全管理措置）
- 第三者提供時の本人同意原則と記録作成・保存義務（トレーサビリティ）
- 情報漏えい発生時の報告義務（速報および30日以内の確報）
応用情報（午前択一・午後長文記述）での出題・得点戦略
午前ストラテジ系法務問題で毎年度必ず出題されます。「要配慮個人情報」「匿名加工情報」「委託先の監督義務」に関する正確な法解釈を選択肢から選べるようにしてください。
