個人情報保護法と情報セキュリティ

個人情報とは生存する個人に関する情報であって、当該情報に含まれる氏名・生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合でき、それにより識別できるものを含む）、または個人識別符号が含まれるものをいう（2条1項）。個人識別符号には指紋データ等の身体的特徴を変換した符号と、旅券番号・運転免許証番号等が政令で定められている。死者の情報でも生存者の情報を兼ねる場合は個人情報となる。

覚え方生存する個人・識別可能性・容易照合性。個人識別符号も個人情報

ひっかけ注意死者に関する情報が一切個人情報にあたらないとする誤りが狙われる。生存者の情報を兼ねる場合は該当する。

要配慮個人情報とは、人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう（2条3項）。通常の個人情報が取得後の利用目的の通知・公表で足りるのに対し、要配慮個人情報は法令に基づく場合等を除き取得自体にあらかじめ本人の同意が必要であり（20条2項）、オプトアウトによる第三者提供も認められない（27条2項ただし書）。

覚え方取るときに同意が要る。オプトアウトでは出せない

ひっかけ注意要配慮個人情報もオプトアウトにより第三者提供できるとする誤りが定番。本人同意が必須である。

保有個人データとは、個人情報取扱事業者が開示、内容の訂正・追加・削除、利用の停止、消去および第三者提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの以外のものをいう（16条4項）。令和2年改正により6箇月以内に消去するものを除く規定は廃止された。個人情報→個人データ→保有個人データと範囲が狭くなる。

覚え方個人情報＞個人データ＞保有個人データ。本人の権利は一番内側

ひっかけ注意6箇月以内に消去するデータが保有個人データから除かれるとする改正前の記述が誤りとして出る。

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない（17条2項）。令和2年改正により「相当の関連性」から「関連性」へ緩和された。これに対し行政機関等については61条3項が「相当の関連性」を維持しており、民間部門より厳格である。利用目的を変更した場合は、変更後の利用目的を本人に通知し、または公表しなければならない（21条3項）。

覚え方民間は「関連性」、行政機関等は「相当の関連性」

ひっかけ注意民間部門にも「相当の関連性」が要求されるとする改正前の記述が誤りとして出る。

取得の場面の原則は21条1項の「あらかじめ利用目的を公表している場合を除き、速やかに本人に通知し、または公表する」であるが、契約書その他の書面に記載された本人の個人情報を直接書面で取得する場合は、あらかじめ本人に利用目的を明示しなければならない（同2項）。通知・公表・明示のいずれも不要となるのは、本人等の権利利益を害するおそれがある場合、事業者の正当な利益を害するおそれがある場合、国等への協力に支障を及ぼす場合、取得の状況からみて利用目的が明らかな場合である。

覚え方原則は取得後速やかに通知・公表、書面の直接取得だけ事前明示

ひっかけ注意あらゆる取得場面で事前明示が必要とする誤りが狙われる。事前明示が必要なのは書面による直接取得の場合である。

個人情報保護委員会への報告義務が生じるのは、要配慮個人情報が含まれる個人データの漏えい等、不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等、不正の目的をもって行われたおそれがある行為による漏えい等、本人の数が1000人を超える漏えい等の4類型である（26条1項、規則7条）。報告は二段階で、速報は事態を知った後「速やかに」（おおむね3〜5日以内）、確報は原則として30日以内（不正目的による場合は60日以内）に行う。

覚え方要配慮・財産被害・不正目的・千人超の四類型。速報と確報の二段階

ひっかけ注意報告対象の人数基準を100人や500人とする誤り、および報告が一回で足りるとする誤りが狙われる。

報告対象となる漏えい等が生じたときは、個人情報取扱事業者は本人に対し、当該事態の状況に応じて速やかに、本人の権利利益を保護するために必要な範囲において通知しなければならない（26条2項）。通知事項は概要、漏えいした個人データの項目、原因、二次被害のおそれの有無等である。本人への通知が困難な場合は公表等の代替措置で足りる。委託先が委託元へ通知したときは委託先の報告義務と本人通知義務がともに免除される。

覚え方通知が困難なら公表等の代替措置。委託先は委託元へ通知すれば免除

ひっかけ注意本人への通知が常に必須とする誤りが狙われる。困難な場合は代替措置で足りる。

オプトアウトによる第三者提供を行うには、事業者の氏名・名称、第三者提供する旨、提供する個人データの項目、取得の方法、提供の方法、本人の求めに応じて提供を停止すること、求めの受付方法等をあらかじめ本人に通知しまたは本人が容易に知り得る状態に置き、かつ個人情報保護委員会に届け出なければならない（27条2項）。対象外となるのは要配慮個人情報、不正の手段で取得された個人データ、他の事業者からオプトアウトで提供されたものである。

覚え方通知または容易知り得る状態プラス委員会への届出

ひっかけ注意オプトアウトの実施に委員会への届出が不要とする誤り、およびオプトアウトで受け取ったデータを再びオプトアウトで提供できるとする誤りが狙われる。