機密情報の保護を定める規則と規制とは？基本をわかりやすく解説

機密情報とは何か

機密情報（Sensitive Information）とは、保護されるべき情報であり、特別な許可が与えられない限り、外部の関係者がアクセスできない情報を指します。データは物理的な形式でも電子的な形式でも存在し得ますが、機密情報は個人情報やプライベートなデータとして厳重に扱われます。個人のプライバシーや財産権に関わる場合、個人または組織の機密情報へアクセスできる人物を厳格に制限することには、倫理的にも法的にも正当な根拠があります。

機密情報の漏洩がもたらすリスク

例えば、政府機関でデータ漏洩が発生すれば、国家機密が外国勢力に渡る可能性があります。同様のリスクは個人や企業のデータにも当てはまり、企業スパイ行為、保険上のリスク、サイバー攻撃、顧客や従業員のプライバシー侵害など、深刻な被害をもたらしかねません。

機密情報の法的定義

法律上、機密情報は「不正な開示から保護されるべき情報」と定義されています。具体的には、PII（個人を特定できる情報）やPHI（保護された健康情報）などが含まれます。

情報の機密度と分類の決定

情報が機密であるとされる場合、その機密度にはレベルが存在します。データの機密度は複数のタイプに分類でき、その分類は、セキュリティ管理部門が定める連邦規制、業界固有の基準、または情報セキュリティ責任者などの担当者によって決定されます。

IPPが定める機密情報の範囲

機密情報の編纂（コンパイル）は厳格に定義されています。IPP（情報プライバシー原則）は、機密情報に対してより高いレベルの保護を規定しています。対象となるのは、個人に関する以下のようなデータや意見です。

• 政治的な意見
• 宗教上または哲学上の信念
• 性的嗜好または性的行為
• 職業上の関係、労働組合、政治団体への加盟
• 人種的または民族的出自
• 犯罪に関する情報

機密情報収集におけるルール

この原則には、以下の要件が含まれます。機関は、次の場合を除き、個人に関する機密情報を収集してはなりません。

• 個人が情報の収集に同意している場合。
• 法律により、組織がデータの収集を義務付けられている場合。
• 個人が物理的または法的に同意できず、同意を伝達する能力もない場合で、かつ情報の収集が、本人または第三者の生命や健康に対する深刻かつ差し迫った脅威を回避・軽減するために必要な場合。
• 法的または衡平法上の請求を作成、行使、防御するために収集が必要な場合。ただし、機関は、政府資金による対象を絞った福祉・教育サービスに関連する研究や統計の編纂・検証のために収集が不可欠である場合、あるいは個人の民族的出自に関する情報で、政府資金による福祉・教育サービスの提供を目的とする場合には、機密情報を収集できます。
• その目的のためにデータを収集する、他の合理的に実行可能な代替手段が存在しない場合。
• 組織が個人の同意を求めることが不可能な場合。