【情報セキュリティマネジメント】マイナンバー法、本人同意では範囲を広げられない｜特定個人情報・利用制限・提供制限・廃棄

マイナンバーは、住民票を有する人に付される12桁の個人番号です。これを内容に含む個人情報を特定個人情報といいます。

マイナンバーでは、本人同意だけを理由に法令で認められた範囲を広げることはできません。 この記事では、利用・提供・収集保管の制限から、科目Bの判断順を整理します。

読み終えるころには、事例の取扱いが法令で認められた事務の範囲内かを見分けられるようになります。

1．SGではどこまで押さえるか

Ver.4.1では、マイナンバー法と特定個人情報の適正な取扱いに関するガイドラインが明示されています。

先に結論：三つの制限を確認する

2．利用：法令等で認められた事務に限る

代表例は、源泉徴収票、支払調書、社会保険関係の書類作成などです。

社員番号、人事評価、顧客分析、ログインIDなどへ、本人同意だけで転用することはできません。

3．提供：再委託にも条件がある

特定個人情報は、番号法で認められた場合を除き他人へ提供できません。同じ企業グループでも、別法人だから自由に共有できるわけではありません。

個人番号関係事務を委託する場合、委託元には委託先への必要かつ適切な監督が残ります。さらに、委託を受けた者が再委託するには委託者の許諾が必要で、さらに再委託する場合も最初の委託者の許諾を得ます。

生命・身体・財産の保護など、提供制限には限定的な法定例外があります。本人同意と法令上の根拠を混同しません。

本人から提供を受ける際は、番号確認と身元確認を行います。

4．収集・保管：不要になれば持ち続けない

特定個人情報は、認められた事務に必要な場合だけ収集・保管します。

退職しても法定保存期間中なら直ちに全てを廃棄するわけではありません。事務上の必要がなくなり保存期間も経過したら、個人番号をできるだけ速やかに廃棄又は削除します。

5．科目Bでの使われ方

1. マイナンバーを含むか
2. 法令等で認められた事務か
3. 利用・提供・収集保管のどの段階か
4. 必要な範囲・期間か
5. 本人同意だけで広げていないか

担当者としては、マイナンバーを含む書類の提出や利用を求められたら、その事務が法令等で認められたものかを確認します。認められた範囲を超える利用や、保存期間を過ぎた保管に気づいた場合は、独断で処理せず、人事・総務の担当部署や上位者へ報告して指示を仰ぎます。

よくある取り違え

まとめ

• 本人同意だけでは利用・提供の範囲を広げられない
• 委託元には監督が残り、再委託には委託者の許諾が必要
• 不要となり保存期間も終われば速やかに廃棄・削除する
• 科目Bでは同意や暗号化より先に法令上の事務・根拠を見る

関連記事

• C8-T01：個人情報保護法の用語ピラミッド
• C8-T02：個人情報の取扱いルール
• C8-T03：第三者提供と加工情報
• C5-T04：組織的・人的対策

参考資料

本記事は、当サイトの教材基準日である2026年4月1日時点で施行されている法令と、2026年8月3日時点のSGシラバス Ver.4.1を基準に作成しています。

2026年7月17日公布の令和8年法律第56号は番号法も改正しますが、未施行の改正内容は現行法として本文へ反映していません。

• IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
• 個人情報保護委員会「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」（令和7年6月一部改正）
• 個人情報保護委員会「マイナンバーガイドライン入門（事業者編）（7年4月版）」
• 個人情報保護委員会「令和8年 改正個人情報保護法について」

関連する問題

• 情報セキュリティマネジメント 法務・標準・情報倫理 一問一答 第6問〜第10問