Question 1

個人情報保護法における「個人情報」の定義に関する記述として、最も適切なものはどれか。

Accepted Answer

生存する個人に関する情報で氏名等により識別できるもの又は個人識別符号を含むものをいい、容易照合性がある情報も含む。【解説】個人情報保護法第2条1項は、個人情報を、生存する個人に関する情報であって、氏名、生年月日その他の記述等により特定の個人を識別することができるもの(他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む)又は個人識別符号が含まれるものと定義している。氏名等の記述がなくても、他の情報との容易照合性によって個人が特定できれば個人情報に該当する点が重要である。【他の選択肢が不適切な理由】個人情報は「生存する個人」に関する情報を対象としており、法人その他の団体そのものに関する情報は含まれない。氏名と住所が同時に記載されていることは要件ではなく、氏名のみ、生年月日のみでも他の情報と組み合わせて個人を識別できれば該当し得る。個人情報保護法上の「個人情報」は生存する個人を対象とし、原則として死者に関する情報は含まれない。

Question 2

個人情報保護法における「個人識別符号」に該当するものとして、最も適切な組合せはどれか。

Accepted Answer

指紋データや旅券番号、マイナンバーなど、それ単体で特定の個人を識別できる文字・番号・記号をいう。【解説】個人識別符号とは、指紋データや顔認証データのような身体の一部の特徴をデジタル化した符号や、旅券番号、基礎年金番号、運転免許証番号、マイナンバーのように、公的な番号として個人に割り当てられ、それ単体で特定の個人を識別できる文字・番号・記号をいう。個人識別符号が含まれる情報は、他の記述等がなくてもそれだけで個人情報に該当する。【他の選択肢が不適切な理由】役職名や部署名は組織内の立場を示すにとどまり、それ単体で特定の個人を識別する符号として法定されたものではない。製品の型番やロット番号は物を識別するための符号であり、個人を識別するためのものではない。気象観測データは個人と無関係な自然現象に関する情報であり、個人識別符号には当たらない。

Question 3

個人情報保護法における「要配慮個人情報」の取扱いに関する記述として、最も適切なものはどれか。

Accepted Answer

人種・信条・病歴・犯罪歴等、不当な差別や偏見を生じないよう配慮を要する個人情報で、取得には原則本人同意が必要。【解説】要配慮個人情報とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。個人情報取扱事業者は、法令に定める場合等を除き、あらかじめ本人の同意を得ないで要配慮個人情報を取得してはならないとされている。【他の選択肢が不適切な理由】要配慮個人情報は匿名の統計データを指す概念ではなく、病歴や犯罪歴等を含む個人情報そのものを指す。取得には原則として事前の本人同意が必要であり、事後通知で足りるとする記述は誤りである。要配慮個人情報はオプトアウト手続による第三者提供の対象から除外されており、本人の同意なく提供することはできない。

Question 4

匿名加工情報と仮名加工情報の違いに関する記述として、最も適切なものはどれか。

Accepted Answer

匿名加工情報は個人情報に該当しなくなるため同意なく提供できるが、仮名加工情報は個人情報として提供が制限される。【解説】匿名加工情報は、特定の個人を識別することができず、かつ元の個人情報を復元することもできないように個人情報を加工したものであり、個人情報に該当しなくなるため、一定の公表等の手続を経れば本人の同意を得ずに第三者へ提供できる。これに対し仮名加工情報は、他の情報と照合しない限り特定の個人を識別できないように加工したものであり、原則として個人情報に該当し、第三者提供は法令上の例外を除き禁止されている。【他の選択肢が不適切な理由】仮名加工情報は原則として個人情報に該当し、匿名加工情報のように自由に第三者提供できるわけではない。仮名加工情報は匿名加工情報よりも加工の程度が緩やかで、他の情報と照合すれば個人を識別できる点に違いがあり、記述は逆である。匿名加工情報は法令上の公表等の手続を経れば第三者へ提供することが認められている。

Question 5

個人情報保護法上の「保有個人データ」に関する記述として、最も適切なものはどれか。

Accepted Answer

個人情報取扱事業者が開示や訂正等の請求に応じる権限を有する個人データであり、本人は開示等を請求できる。【解説】保有個人データとは、個人情報取扱事業者が開示、内容の訂正・追加・削除、利用の停止、消去及び第三者提供の停止を行うことのできる権限を有する個人データをいう。本人は保有個人データについて、法令に定める要件のもとで開示、訂正等、利用停止等を請求することができる。【他の選択肢が不適切な理由】委託先に取扱いを委託している場合でも、権限を有するのは委託元の事業者であり、委託先が保有する個人データも委託元にとっての保有個人データとなり得る。かつては6か月以内に消去する短期保有データを保有個人データから除外する規定があったが、この除外は令和2年改正で廃止されている。本人が開示等を請求できるのは保有個人データに限られ、事業者が権限を有しない個人データにまで請求権が及ぶわけではない。

Question 6

個人情報保護法上のオプトアウトによる個人データの第三者提供に関する記述として、最も適切なものはどれか。

Accepted Answer

本人への通知等と委員会への届出により同意なく提供できる制度だが、要配慮個人情報は対象にできないとされる。【解説】オプトアウトによる第三者提供とは、第三者への提供を利用目的とすること、提供する項目、提供の方法、本人の求めに応じて提供を停止する旨等をあらかじめ本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出ることにより、本人の同意を得ずに個人データを第三者提供できる制度である。ただし要配慮個人情報や不正取得された個人データ等はオプトアウトの対象にできない。【他の選択肢が不適切な理由】要配慮個人情報はオプトアウトの対象から明確に除外されており、あらゆる個人データを対象にできるわけではない。オプトアウトを行う事業者には個人情報保護委員会への届出が法律上義務付けられており、任意の運用にとどまるものではない。オプトアウトは事前の本人同意を得ずに提供できる例外的な仕組みであり、事前同意の手続そのものとは異なる概念である。

Question 7

個人情報保護法における外国にある第三者への個人データの提供(第28条)に関する記述として、最も適切なものはどれか。

Accepted Answer

原則本人同意が必要だが、同等水準と認められる国や、基準適合体制を整備した提供先の場合は同意が不要となる。【解説】個人情報取扱事業者が外国にある第三者に個人データを提供する場合、原則として外国にある第三者への提供を認める旨の本人の同意を得なければならない。ただし、個人の権利利益を保護する上で我が国と同等の水準にあると認められる制度を有する国として個人情報保護委員会が指定する国(EU・英国等)にある第三者への提供や、提供先が個人情報取扱事業者が講ずべき措置に相当する体制を継続的に整備している場合は、この同意取得が不要となる。【他の選択肢が不適切な理由】外国にある第三者への提供にも個人情報保護法は適用され、規制の対象外とはならない。指定国や基準適合体制の整備等の例外要件を満たせば同意なく提供できる場合があり、一律に禁止されているわけではない。同法の域外適用規定により、提供元の事業者の所在地にかかわらず、日本国内にある者の個人データを取り扱う限り規制が及び得る。

Question 8

個人情報保護法上の漏えい等の報告義務(第26条)に関する記述として、最も適切なものはどれか。

Accepted Answer

要配慮個人情報の漏えい等、一定の重大な事態に該当する場合、委員会への報告と本人通知が義務付けられる。【解説】個人情報取扱事業者は、要配慮個人情報が含まれる個人データの漏えい等、不正利用により財産的被害が生じるおそれがある漏えい等、不正の目的をもって行われたおそれがある漏えい等、又は1,000人を超える漏えい等、個人情報保護法施行規則が定める報告対象事態に該当する場合、個人情報保護委員会への報告及び本人への通知を行わなければならない。報告は覚知後おおむね3から5日以内に速報を、30日以内(不正の目的による場合は60日以内)に確報を行う。【他の選択肢が不適切な理由】報告義務は要配慮個人情報の有無や対象者数等、政令・規則で定める一定の要件を満たす報告対象事態に限って発生し、件数にかかわらず一律に発生するわけではない。同法は委員会への報告に加え本人への通知も義務付けており、通知義務が存在しないとする記述は誤りである。報告期限は覚知後30日又は60日以内であり、1年以内という猶予は認められていない。

Question 9

個人情報保護法上の「個人関連情報」(第2条7項)に関する記述として、最も適切なものはどれか。

Accepted Answer

個人情報に該当しない生存する個人に関する情報で、提供先で個人データとして取得される場合は確認義務が生じる。【解説】個人関連情報とは、生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいい、Cookie等の端末識別子に紐付くウェブサイトの閲覧履歴などが典型例である。第31条は、個人関連情報取扱事業者が個人関連情報を第三者に提供する場合において、提供先の第三者が個人データとして取得することが想定されるときは、提供元があらかじめ本人の同意が得られていること等を確認しなければならないと定めている。【他の選択肢が不適切な理由】個人関連情報は生存する個人に関する情報を対象とする概念であり、死者に関する情報を指すものではない。個人関連情報の第三者提供自体を一律に禁止する規定はなく、提供先での個人データ取得が想定される場合に確認義務等が課される仕組みである。個人関連情報は個人情報に該当しないものと定義されており、個人情報と同一の規制がそのまま適用されるわけではない。

Question 10

個人情報保護法上の「個人情報取扱事業者」に関する記述として、最も適切なものはどれか。

Accepted Answer

個人情報データベース等を事業の用に供している者をいい、小規模事業者でも適用除外にならないとされる。【解説】個人情報取扱事業者とは、個人情報データベース等を事業の用に供している者をいう。かつては取り扱う個人情報の数が5,000件以下の小規模事業者を適用除外とする規定が存在したが、平成27年改正によりこの規定は廃止され、現在は事業規模にかかわらず個人情報を取り扱う事業者は原則として個人情報保護法の規律を受ける。【他の選択肢が不適切な理由】5,000件以下の事業者を除外する規定は既に廃止されており、現行法上そのような一律の適用除外は存在しない。個人情報取扱事業者は営利法人に限られず、NPO法人、個人事業主、非営利団体等も個人情報データベース等を事業の用に供していれば該当し得る。国の行政機関等は「個人情報取扱事業者」の定義から除かれ、行政機関個人情報保護に関する規律(個人情報保護法の第5章等)が別途適用される点で民間事業者と同一ではない。

個人情報保護法の一問一答