セキュリティ・法務・リスクマネジメント
午前II午後I午後II論文
重要度:
個人情報保護法・APPI
よみがな: こじんじょうほうほごほう
英語名称・略称: Act on the Protection of Personal Information (APPI)
1行要約（本質）
個人情報の適正な取扱い、本人の権利利益の保護、および情報漏えい発生時の義務（委員会報告・本人通知）を定めた法律。
3つの重要ポイント
1
令和2年・令和3年改正により、一定規模以上の漏えい発生時の「個人情報保護委員会への報告」と「本人通知」が完全義務化。
2
Cookieや閲覧履歴等の「個人関連情報」を第三者提供して個人データと紐づける場合の本人同意も新設。
3
ITストラテジストは、システム要件にプライバシー・バイ・デザイン（Privacy by Design）を組み込む。
構造・プロセスの図解
図個人情報漏えい発生時の法定対応タイムライン
法改正で義務化された報告と本人通知の流れ11. 漏えい検知 ＆ 一次初動
被害拡大防止・遮断
該当サーバーの通信切断、影響範囲の特定、証拠保全。
22. 速報報告（3〜5日以内）
個人情報保護委員会へ速報
把握できた概要を委員会へ速やかに一報提出。
33. 本人への個別通知
被害防止のための通知
対象となる本人へ事態の経緯と二次被害防止策を通知。
44. 確報報告（30日以内）
原因究明と再発防止策
フォレンジクス結果、根本原因、恒久対策を取りまとめて報告。
概要・背景・本質
個人情報保護法は、デジタル経済の発展と個人の権利保護を両立させるための基本法です。違反企業には最高1億円の罰金刑や社名公表など厳しい社会的制裁が課されます。システム企画段階からプライバシー侵害リスクを排除する「プライバシー影響評価（PIA）」の実施が重要性を増しています。
コア概念と着眼点
- 個人データの定義：特定の個人を識別できる情報（氏名、マイナンバー、生体データ、顔写真等）
- 要配慮個人情報：人種、信条、病歴、犯罪歴など、本人の事前同意なしの取得・提供が原則禁止される情報
- 漏えい時の義務：1,000人超の漏えいや要配慮個人情報の漏えい時、委員会への速報（3〜5日以内）と確報（30日以内）が義務
- 越境移転規制：外国の第三者に個人データを提供する際の厳格な基準（GDPR対応含む）
ITストラテジスト試験（午後I記述・午後II論文）での論述ポイント
午前IIの法務分野で最頻出！「漏えい時の報告義務条件」「利用目的の特定と通知」「匿名加工情報と仮名加工情報の違い」が問われる。午後I・午後IIでは、ECや会員システムのリプレイスにおいて、安全管理措置（暗号化、アクセスログの長期保存）の要件定義として記述する。