セキュリティ・法務・リスクマネジメント 重要度:★★★出題: AM2・PM1・PM2
個人情報保護法・APPI
こじんじょうほうほごほう / Act on the Protection of Personal Information (APPI)
個人情報の適正な取扱い、本人の権利利益の保護、および情報漏えい発生時の義務（委員会報告・本人通知）を定めた法律。
3行速習ポイント
- 令和2年・令和3年改正により、一定規模以上の漏えい発生時の「個人情報保護委員会への報告」と「本人通知」が完全義務化。
- Cookieや閲覧履歴等の「個人関連情報」を第三者提供して個人データと紐づける場合の本人同意も新設。
- ITストラテジストは、システム要件にプライバシー・バイ・デザイン（Privacy by Design）を組み込む。
図解
図個人情報漏えい発生時の法定対応タイムラインプロセス・手順フロー
法改正で義務化された報告と本人通知の流れ▶ 進行順序：1. 初動➔2. 法定速報➔3. 本人通知➔4. 確報完了
11. 漏えい検知 ＆ 一次初動
初動被害拡大防止・遮断
不正アクセスや誤送信による個人データ漏えい（またはそのおそれ）を検知した直後、該当システムの通信遮断・隔離、被害範囲の特定、フォレンジクス証拠保全を行う。
22. 速報報告（3〜5日以内）
法定速報個人情報保護委員会へ速報
個人の権利利益を害するおそれが大きい漏えい（要配慮個人情報、不正アクセス、1,000人超等）の場合、発覚から3〜5日以内に判明している概要を個人情報保護委員会へ速報する。
33. 本人への個別通知
本人通知被害防止のための通知
二次被害（なりすましや不正決済等）を防止するため、対象となる本人に対して事案の経緯、漏えい項目、相談窓口、および講じた安全対策を速やかに個別通知する。
44. 確報報告（30日以内）
確報完了原因究明と再発防止策
発覚から30日以内（不正アクセス等の場合は60日以内）に、デジタルフォレンジクスによる根本原因の究明結果と恒久的な再発防止策を取りまとめて委員会へ確報する。
💡 午前IIでは漏えい時の速報（3〜5日）・確報（30日）や仮名加工情報が頻出。午後I・午後IIの顧客データ活用では、利用目的同意と匿名・仮名加工の安全管理措置を示す。
概要と本質
個人情報保護法は、デジタル経済の発展と個人の権利保護を両立させるための基本法です。違反企業には最高1億円の罰金刑や社名公表など厳しい社会的制裁が課されます。システム企画段階からプライバシー侵害リスクを排除する「プライバシー影響評価（PIA）」の実施が重要性を増しています。
重要ポイント・コア概念
- 個人データの定義：特定の個人を識別できる情報（氏名、マイナンバー、生体データ、顔写真等）
- 要配慮個人情報：人種、信条、病歴、犯罪歴など、本人の事前同意なしの取得・提供が原則禁止される情報
- 漏えい時の義務：1,000人超の漏えいや要配慮個人情報の漏えい時、委員会への速報（3〜5日以内）と確報（30日以内）が義務
- 越境移転規制：外国の第三者に個人データを提供する際の厳格な基準（GDPR対応含む）
試験対策・午後II論文での活用法
午前IIの法務分野で最頻出！「漏えい時の報告義務条件」「利用目的の特定と通知」「匿名加工情報と仮名加工情報の違い」が問われる。午後I・午後IIでは、ECや会員システムのリプレイスにおいて、安全管理措置（暗号化、アクセスログの長期保存）の要件定義として記述する。
小論文で使える実践フレーズ・キーワード（クリックでコピー）
関連する重要用語
この用語が出題された過去問を解く（1分演習）
即時アウトプットで定着ITストラテジスト 過去問演習で実践力を鍛える
![ITビジネスの契約実務 [第2版]](https://m.media-amazon.com/images/P/4785729031.09.LZZZZZZZ.jpg)