セキュリティ関連法規

ねらい

情報を扱ううえで守るべき法律を学びます。このレッスンを終えると、代表的な法律がそれぞれ何を禁じ、誰に何を義務づけているのかを区別できるようになります。

禁じるものと義務づけるもの

セキュリティに関わる法律は、禁じるものと義務づけるものに分けると整理できます。

個人情報保護法

個人情報は、生存する個人を特定できる情報です。氏名や生年月日の組合せ、個人識別符号（マイナンバー・免許証番号・顔認証データなど）が含まれます。

事業者が守る主なことは次のとおりです。

• 利用目的を特定し、通知または公表する。目的の範囲を超えて使わない。
• 本人の同意なく第三者に提供しない。
• 安全に管理する。漏えいを防ぐ措置をとる。
• 本人からの開示・訂正・利用停止の求めに応じる。

要配慮個人情報（人種・信条・病歴・犯罪歴など）は、取得の時点で本人の同意が要ります。ここは通常の個人情報より厳しくなっています。

仮名加工情報は他の情報と照合しなければ個人を特定できないように加工したもの、匿名加工情報は個人を特定できず復元もできないように加工したものです。匿名加工情報は、条件を満たせば本人の同意なく第三者へ提供できます。

漏えいが起きた場合、一定の要件に当たるときは個人情報保護委員会への報告と、本人への通知が義務づけられています。

関わる人を縛る決まり

法律のほかに、組織や個人を縛るものがあります。

• 不正指令電磁的記録に関する罪… いわゆるウイルスの作成・提供・供用などを罰する。
• 特定電子メール法… 広告メールについて、あらかじめ同意を得た相手にだけ送ることなどを定める。
• サイバーセキュリティ経営ガイドライン… 経営者が認識すべき原則と、担当役員に指示すべき事項を示す。法律ではなく指針です。

まとめ

法律は、行為を禁じるものと、扱う者に義務を課すものに分かれます。不正アクセス禁止法は被害の有無を問わず成立し、個人情報保護法は取得から廃棄までの扱い方を定めます。どの法律が誰を縛っているのかを対にして覚えると、選択肢の見分けがつきます。