Question 1

個人情報保護法上の要配慮個人情報に該当するものはどれか。

Accepted Answer

本人が過去にかかった病気の経過に関する情報。病歴は法2条3項が定める要配慮個人情報に明示的に列挙されており、不当な差別や偏見が生じないよう取扱いに特別の配慮を要する。他の選択肢の誤り：・国籍は法的な地位を示す情報であり、要配慮個人情報として列挙されている人種そのものには該当しない。・健康診断を受診したという事実のみでは、その結果や病名等の内容を伴わない限り要配慮個人情報には該当しない。・マイナンバーは要配慮個人情報の列挙事由には該当せず、番号法（マイナンバー法）による別個の規律に服する。

Question 2

個人情報取扱事業者が要配慮個人情報を取得する場合の規律として正しいものはどれか。

Accepted Answer

原則として本人の事前の同意が必要である。法20条2項により、法令に基づく場合等の一定の例外を除き、要配慮個人情報の取得にはあらかじめ本人の同意を得ることが求められる。他の選択肢の誤り：・要配慮個人情報は通常の個人情報より慎重な取扱いが求められ、同意なく自由に取得できるわけではない。・取得のたびに監督官庁の許可を得る制度は存在しない。・事後通知のみで同意取得義務を免れる規定はない。

Question 3

個人データの第三者提供に関する原則として正しいものはどれか。

Accepted Answer

原則として事前に本人の同意を得る必要がある。法27条1項により、個人データを第三者に提供する場合は、法令に基づく場合等の例外を除き、あらかじめ本人の同意を得なければならない。他の選択肢の誤り：・第三者提供を事業者の自由な判断のみで行うことは認められない。・提供先が国内事業者であることは同意不要の理由にはならない。・事後通知のみでは同意取得義務を満たさない。

Question 4

個人情報保護法上のオプトアウト方式による第三者提供に関する記述として正しいものはどれか。

Accepted Answer

要配慮個人情報はオプトアウト提供の対象とならない。法27条2項の括弧書きにより、要配慮個人情報、不正取得された個人データ及びオプトアウトにより提供を受けた個人データは、オプトアウト方式による第三者提供の対象から除外されている。他の選択肢の誤り：・要配慮個人情報が対象外である点で誤り。・オプトアウトは本人の事前同意を要しない代わりの仕組みである。・個人情報保護委員会への届出及び本人に容易に知り得る状態に置くことが必要である。

Question 5

個人情報保護法が定める第三者提供の同意原則の例外事由に該当するものはどれか。

Accepted Answer

生命・身体・財産の保護に必要で同意取得困難な場合。法27条1項2号は、生命・身体・財産の保護のために必要があり、かつ本人の同意を得ることが困難であるときを同意原則の例外として定めている。他の選択肢の誤り：・事業者の営業上の都合は同意原則の例外事由に当たらない。・親会社であることのみを理由に同意なく提供できる規定はない。・過去の取引実績のみでは同意不要の根拠にならない。

Question 6

個人データを外国にある第三者へ提供する際の規律として正しいものはどれか。

Accepted Answer

原則として移転先の状況等について情報提供した上で、本人の同意を得る必要がある。法28条により、外国にある第三者への個人データの提供は、原則として移転先国の個人情報保護制度等について本人に情報提供した上で、あらかじめ本人の同意を得ることが必要である。なお、自社と同一法人格の海外支店への移転は「第三者」への提供に当たらないが、別法人格である現地法人や他社の外国支店への提供は越境移転規制の対象となる。他の選択肢の誤り：・国内提供と同一の同意で足りるわけではなく、越境移転特有の情報提供義務がある。・外国への提供であっても個人情報保護法の規律は及ぶ。・現地法人は自社とは別法人格であるため外国にある第三者に該当し、越境移転規制の対象となる。

Question 7

個人データの越境移転規制において、本人の同意なく外国の第三者へ提供できる場合として正しいものはどれか。

Accepted Answer

個人情報保護委員会の定める基準に適合する提供先への提供である場合。法28条は、我が国と同等水準の体制を整備している者への提供等、委員会規則で定める基準に適合する場合には、越境移転特有の同意取得を要しないと定めている。他の選択肢の誤り：・事業者の独自判断のみでは法定基準を満たしたことにならない。・対応言語の問題は越境移転規制の適用除外事由ではない。・従業員数の多寡は適用除外の判断基準ではない。

Question 8

匿名加工情報に関する記述として正しいものはどれか。

Accepted Answer

個人情報保護法上、特定個人を識別できず復元も不可能な状態に加工した情報である。法2条6項により、匿名加工情報は特定の個人を識別できず、かつ元の個人情報を復元できないように加工した情報と定義される。他の選択肢の誤り：・照合により本人が判別できる情報は仮名加工情報等であり匿名加工情報ではない。・要配慮個人情報と同一の取扱いが義務付けられるわけではない。・匿名加工情報にも作成・公表等の一定の規律が及ぶ。

Question 9

個人データの漏えい等が発生した場合の対応として正しいものはどれか。

Accepted Answer

一定の要件に該当する場合は委員会への報告と本人通知が義務付けられる。法26条により、要配慮個人情報の漏えいや財産的被害のおそれ等一定の要件に該当する場合、委員会への報告及び本人への通知が義務化されている。他の選択肢の誤り：・一定要件に該当すれば任意ではなく法的義務となる。・報告義務は要配慮個人情報以外の漏えいでも財産的被害のおそれ等で生じ得る。・本人への通知は被害拡大防止のため義務付けられる場面がある。

Question 10

個人情報取扱事業者の該当性に関する記述として正しいものはどれか。

Accepted Answer

件数にかかわらず個人情報データベース等を事業に用いる者は該当し得る。かつて存在した、取り扱う個人情報によって識別される特定の個人の数が5000人を超えない事業者を適用除外とする規定は、平成27年改正法（2017年5月30日全面施行）により撤廃され、現在は規模を問わず個人情報データベース等を事業活動に利用する者が個人情報取扱事業者となり得る。他の選択肢の誤り：・保有する個人情報の対象人数が5000人以下であることを理由に適用が除外される規定は、既に撤廃されている。・国の機関、地方公共団体、独立行政法人等及び地方独立行政法人は法16条2項により個人情報取扱事業者から除外されており、これらは「行政機関等」として別途の規律に服する。・紙媒体で個人情報データベース等を構成していれば媒体を問わず該当し得る。

個人情報保護法の一問一答