基礎知識

行政書士の個人情報保護法｜個人情報・個人データの違いと第三者提供【2026年度試験対応】

個人情報・個人データ・保有個人データを比較し、利用目的、要配慮個人情報、第三者提供の原則と例外を整理。民間事業者と行政機関等のルールの読み分けも解説します。

要点 8件・基本問題 8問・解説の確認問題 3問読む → 覚える → 解くまでこのページで完結

記事内容を表す生成イメージ。

2026年度試験対応。法令基準日：2026-04-01。

まず押さえるポイント

個人情報保護法では、個人を識別できる情報を全て同じ名称で扱うわけではありません。個人情報のうちデータベース等を構成するものが個人データで、開示等の権限を持つものには保有個人データの規律が働きます。問題文がどの用語を使っているかで、当てはめる義務を選びます。

法令基準日：2026-04-01 ／解説更新日：2026-09-12

個人情報・個人データ・保有個人データを分ける

個人情報、個人データ、保有個人データを、データベース等と開示等の権限の有無で区別する。
図を大きく見る

個人情報は、生存する個人を識別できる情報で、容易な照合により識別できるものや個人識別符号を含むものも該当します（2条1項）。氏名がなくても、他の情報との組合せや符号によって該当することがあります。

個人データは個人情報データベース等を構成する個人情報です。保有個人データは、開示・訂正・利用停止等を行う権限がある個人データのうち、政令で除外されるもの以外を指します（16条）。保存期間が短いだけで一律に対象外になるという旧い理解を持ち込まないようにします。

民間事業者の規律で区別する用語
用語	見る条件
個人情報	生存する個人の識別可能性等
個人データ	データベース等を構成するか
保有個人データ	開示等の権限と政令上の除外

根拠：個人情報の保護に関する法律

利用目的と要配慮個人情報は別の段階で確認する

事業者は利用目的をできる限り特定し、その達成に必要な範囲を超える取扱いは原則として事前の本人同意が必要です（17・18条）。取得できた情報なら、後から無制限に別目的へ使えるわけではありません。

病歴や犯罪の経歴などの要配慮個人情報は、取得自体についても原則として事前同意が必要です（2条3項・20条2項）。法令に基づく場合や、生命等の保護に必要で同意取得が困難な場合など、条文にある例外は個別に確認します。

根拠：個人情報の保護に関する法律

第三者提供は原則同意、委託等は条件付きで別扱い

個人データを第三者に提供するには、原則としてあらかじめ本人の同意が必要です（27条1項）。法令に基づく場合などの例外と、所定の届出・通知等を満たすオプトアウトの制度を混同しないことが必要です。要配慮個人情報などにはオプトアウトを利用できません。

利用目的の達成に必要な範囲での委託、事業承継、所定事項を事前に通知等した共同利用では、提供先は27条の適用上第三者に当たらない扱いです（同条5項）。単に「グループ会社だから」「委託と呼んだから」自由に渡せるのではなく、各号の条件を確かめます。

根拠：個人情報の保護に関する法律

行政機関等や学術研究を丸ごと適用除外としない

個人情報保護法には、民間事業者の義務とは別に、行政機関等の保有個人情報に関する規律があります。民間の保有個人データと行政機関等の保有個人情報は、名称と適用する章を区別してください。

令和6年度問57では、学術研究機関に義務規定が全く適用されないとする説明の適否が問われました。学術研究目的には条文ごとの例外がありますが、法律から丸ごと外れるわけではありません。制度全体の適用と、個々の義務の例外を分けると選択肢を判定できます。

根拠：個人情報の保護に関する法律行政書士試験研究センター：公式問題原本

出題例の原本・年度別問題

過去の出題を手がかりに、判断する条件を整理します。このページの説明と確認問題は合トレのオリジナルです。

令和6年度問57
学術研究機関の義務、漏えい報告、不適正利用と行政機関等への適用
公式の公表資料を確認する

オリジナル確認問題で判断する

○か×かを選び、理由を確認してください。実際の過去問を転載したものではありません。

問1　氏名が記録されていなければ、他の情報と容易に照合して個人を識別できても個人情報にはならない。
根拠：資料1
問2　要配慮個人情報を含む個人データでも、27条2項のオプトアウトで常に第三者提供できる。
根拠：資料1
問3　利用目的達成に必要な範囲で取扱いを委託することに伴う提供では、27条の適用上、委託先は第三者に該当しないものとされる。
根拠：資料1

この解説の一次資料

最重要ポイント

要配慮個人情報の取得

要配慮個人情報とは、人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう（2条3項）。通常の個人情報が取得後の利用目的の通知・公表で足りるのに対し、要配慮個人情報は法令に基づく場合等を除き取得自体にあらかじめ本人の同意が必要であり（20条2項）、オプトアウトによる第三者提供も認められない（27条2項ただし書）。

覚え方取るときに同意が要る。オプトアウトでは出せない

混同注意・比較表

個人情報取扱事業者と行政機関等の義務の違い

最初に見るのは利用目的を変えられる幅です。民間は「関連性」で足りるのに対し、行政機関等には「相当の関連性」が求められ、より狭く縛られます。

個人情報取扱事業者と行政機関等の義務の違い
事由	個人情報取扱事業者（民間）	行政機関等	理由・判断ポイント
利用目的の特定	個人情報を取り扱うに当たっては、その利用目的をできる限り特定しなければならない（17条1項）	法令の定める所掌事務または業務の遂行に必要な場合に限り保有でき、そのうえで利用目的をできる限り特定する（61条1項）	行政機関等には、特定の前に「そもそも保有できるか」という枠が先にかかります。
利用目的の変更の範囲最重要	変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて変更してはならない（17条2項）	変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて変更してはならない（61条3項）	「相当の」が付くのは行政機関等の側です。入れ替えて誤りとする問題が出ます。
正確性の確保	利用目的の達成に必要な範囲内で正確かつ最新の内容に保ち、必要がなくなった個人データは遅滞なく消去するよう努める（22条）	利用目的の達成に必要な範囲内で、保有個人情報が過去または現在の事実と合致するよう努める（65条）	どちらも努力義務です。義務と言い切る記述に注意します。
安全管理措置	取り扱う個人データの漏えい、滅失、毀損の防止その他の安全管理のため、必要かつ適切な措置を講じなければならない（23条）	保有個人情報の漏えい、滅失、毀損の防止その他の安全管理のため、必要かつ適切な措置を講じなければならない（66条1項）	正確性の確保と違い、こちらは双方とも努力義務ではなく義務です。
目的外の利用・提供	あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて取り扱ってはならず（18条1項）、第三者提供も原則として本人の同意が必要（27条1項）	原則として、利用目的以外の目的のために保有個人情報を自ら利用し、または提供してはならない（69条1項）	民間は「本人の同意があるか」、行政機関等は「利用目的の範囲内か」が判断の軸になります。

利用目的の特定

個人情報取扱事業者（民間）: 個人情報を取り扱うに当たっては、その利用目的をできる限り特定しなければならない（17条1項）
行政機関等: 法令の定める所掌事務または業務の遂行に必要な場合に限り保有でき、そのうえで利用目的をできる限り特定する（61条1項）

判断ポイント

行政機関等には、特定の前に「そもそも保有できるか」という枠が先にかかります。

利用目的の変更の範囲

最重要

個人情報取扱事業者（民間）: 変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて変更してはならない（17条2項）
行政機関等: 変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて変更してはならない（61条3項）

判断ポイント

「相当の」が付くのは行政機関等の側です。入れ替えて誤りとする問題が出ます。

正確性の確保

個人情報取扱事業者（民間）: 利用目的の達成に必要な範囲内で正確かつ最新の内容に保ち、必要がなくなった個人データは遅滞なく消去するよう努める（22条）
行政機関等: 利用目的の達成に必要な範囲内で、保有個人情報が過去または現在の事実と合致するよう努める（65条）

判断ポイント

どちらも努力義務です。義務と言い切る記述に注意します。

安全管理措置

個人情報取扱事業者（民間）: 取り扱う個人データの漏えい、滅失、毀損の防止その他の安全管理のため、必要かつ適切な措置を講じなければならない（23条）
行政機関等: 保有個人情報の漏えい、滅失、毀損の防止その他の安全管理のため、必要かつ適切な措置を講じなければならない（66条1項）

判断ポイント

正確性の確保と違い、こちらは双方とも努力義務ではなく義務です。

目的外の利用・提供

個人情報取扱事業者（民間）: あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて取り扱ってはならず（18条1項）、第三者提供も原則として本人の同意が必要（27条1項）
行政機関等: 原則として、利用目的以外の目的のために保有個人情報を自ら利用し、または提供してはならない（69条1項）

判断ポイント

民間は「本人の同意があるか」、行政機関等は「利用目的の範囲内か」が判断の軸になります。

最重要・比較表

個人情報・個人データ・保有個人データの違い

最初に見るのはデータベースを構成しているかどうかです。構成して初めて個人データになり、事業者に開示等の権限があるものが保有個人データになります。

個人情報・個人データ・保有個人データの違い
事由	個人情報	個人データ	保有個人データ	理由・判断ポイント
定義最重要	生存する個人に関する情報で、氏名等の記述により特定の個人を識別できるもの、または個人識別符号が含まれるもの（2条1項）	個人情報データベース等を構成する個人情報（16条3項）	事業者が開示、内容の訂正・追加・削除、利用の停止、消去、第三者提供の停止を行う権限を有する個人データ（16条4項）	範囲は個人情報から個人データ、保有個人データへと段階的に狭くなります。
事業者に課される主な義務	利用目的をできる限り特定し（17条1項）、本人の同意なく目的の達成に必要な範囲を超えて取り扱わない（18条1項）	正確かつ最新の内容に保つ努力、安全管理措置、第三者提供の制限が加わる（22条・23条・27条1項）	これらに加え、本人からの開示・訂正等・利用停止等の請求に応じる義務を負う（33条〜35条）	義務は積み上がっていきます。範囲が狭いほど負う義務は重くなると考えます。
本人の開示請求	請求の対象外	請求の対象外	開示を請求できる	開示・訂正等・利用停止等を請求できるのは保有個人データだけです（33条1項）。
範囲から外れるもの	法人の名称、死者の氏名、連絡先だけで特定の個人を識別できない情報は個人情報にあたらない	個人情報データベース等を構成していない、散在した状態の個人情報は個人データにあたらない	存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるものは除かれる（16条4項）	6か月以内に消去するものを除くという規定は2022年4月施行の改正で削除されています。

定義

最重要

個人情報: 生存する個人に関する情報で、氏名等の記述により特定の個人を識別できるもの、または個人識別符号が含まれるもの（2条1項）
個人データ: 個人情報データベース等を構成する個人情報（16条3項）
保有個人データ: 事業者が開示、内容の訂正・追加・削除、利用の停止、消去、第三者提供の停止を行う権限を有する個人データ（16条4項）

判断ポイント

範囲は個人情報から個人データ、保有個人データへと段階的に狭くなります。

事業者に課される主な義務

個人情報: 利用目的をできる限り特定し（17条1項）、本人の同意なく目的の達成に必要な範囲を超えて取り扱わない（18条1項）
個人データ: 正確かつ最新の内容に保つ努力、安全管理措置、第三者提供の制限が加わる（22条・23条・27条1項）
保有個人データ: これらに加え、本人からの開示・訂正等・利用停止等の請求に応じる義務を負う（33条〜35条）

判断ポイント

義務は積み上がっていきます。範囲が狭いほど負う義務は重くなると考えます。

本人の開示請求

個人情報: 請求の対象外
個人データ: 請求の対象外
保有個人データ: 開示を請求できる

判断ポイント

開示・訂正等・利用停止等を請求できるのは保有個人データだけです（33条1項）。

範囲から外れるもの

個人情報: 法人の名称、死者の氏名、連絡先だけで特定の個人を識別できない情報は個人情報にあたらない
個人データ: 個人情報データベース等を構成していない、散在した状態の個人情報は個人データにあたらない
保有個人データ: 存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるものは除かれる（16条4項）

判断ポイント

6か月以内に消去するものを除くという規定は2022年4月施行の改正で削除されています。

最重要・比較表

仮名加工情報と匿名加工情報の違い

最初に見るのは元の個人情報に戻せるかどうかです。戻せる仮名加工情報は第三者提供が禁じられ、戻せない匿名加工情報は提供できます。

仮名加工情報と匿名加工情報の違い
事由	仮名加工情報	匿名加工情報	理由・判断ポイント
加工後の識別可能性	他の情報と照合しない限り特定の個人を識別することができないように加工したもの（2条5項）	特定の個人を識別することができないように加工したもの（2条6項）	仮名加工は「照合しなければ識別できない」という状態にとどまる点が出発点です。
元の個人情報の復元最重要	元の個人情報を復元できる情報を含んだままでよい	元の個人情報を復元することができないようにしておく必要がある	復元できるかどうかが、この2つを分ける決定的な違いです。
第三者への提供	提供は禁止される	提供できる	仮名加工情報も第三者に提供できるとする記述が誤りの定番です。
加工の方法	氏名や連絡先等の記述の一部を削除・置換えし、個人識別符号を含む場合はその全部を削除・置換えする	同じ措置を講じたうえで、当該個人情報を復元できないようにする一手間が加わる	加工の手順自体は共通で、復元を不可能にする措置の有無で結論が変わります。

加工後の識別可能性

仮名加工情報: 他の情報と照合しない限り特定の個人を識別することができないように加工したもの（2条5項）
匿名加工情報: 特定の個人を識別することができないように加工したもの（2条6項）

判断ポイント

仮名加工は「照合しなければ識別できない」という状態にとどまる点が出発点です。

元の個人情報の復元

最重要

仮名加工情報: 元の個人情報を復元できる情報を含んだままでよい
匿名加工情報: 元の個人情報を復元することができないようにしておく必要がある

判断ポイント

復元できるかどうかが、この2つを分ける決定的な違いです。

第三者への提供

仮名加工情報: 提供は禁止される
匿名加工情報: 提供できる

判断ポイント

仮名加工情報も第三者に提供できるとする記述が誤りの定番です。

加工の方法

仮名加工情報: 氏名や連絡先等の記述の一部を削除・置換えし、個人識別符号を含む場合はその全部を削除・置換えする
匿名加工情報: 同じ措置を講じたうえで、当該個人情報を復元できないようにする一手間が加わる

判断ポイント

加工の手順自体は共通で、復元を不可能にする措置の有無で結論が変わります。

01個人情報保護法と情報セキュリティの重要暗記項目

重要度 S / 収録過去問 6回

要配慮個人情報の取得

覚え方取るときに同意が要る。オプトアウトでは出せない

ひっかけ注意要配慮個人情報もオプトアウトにより第三者提供できるとする誤りが定番。本人同意が必須である。

重要度 S / 収録過去問 6回

漏えい等の報告の期限

個人情報保護委員会への報告義務が生じるのは、要配慮個人情報が含まれる個人データの漏えい等、不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等、不正の目的をもって行われたおそれがある行為による漏えい等、本人の数が1000人を超える漏えい等の4類型である（26条1項、規則7条）。報告は二段階で、速報は事態を知った後「速やかに」（おおむね3〜5日以内）、確報は原則として30日以内（不正目的による場合は60日以内）に行う。

覚え方要配慮・財産被害・不正目的・千人超の四類型。速報と確報の二段階

ひっかけ注意報告対象の人数基準を100人や500人とする誤り、および報告が一回で足りるとする誤りが狙われる。

重要度 S / 収録過去問 5回

個人情報の定義

個人情報とは生存する個人に関する情報であって、当該情報に含まれる氏名・生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合でき、それにより識別できるものを含む）、または個人識別符号が含まれるものをいう（2条1項）。個人識別符号には指紋データ等の身体的特徴を変換した符号と、旅券番号・運転免許証番号等が政令で定められている。死者の情報でも生存者の情報を兼ねる場合は個人情報となる。

覚え方生存する個人・識別可能性・容易照合性。個人識別符号も個人情報

ひっかけ注意死者に関する情報が一切個人情報にあたらないとする誤りが狙われる。生存者の情報を兼ねる場合は該当する。

重要度 A / 収録過去問 5回

オプトアウトによる第三者提供

オプトアウトによる第三者提供を行うには、事業者の氏名・名称、第三者提供する旨、提供する個人データの項目、取得の方法、提供の方法、本人の求めに応じて提供を停止すること、求めの受付方法等をあらかじめ本人に通知しまたは本人が容易に知り得る状態に置き、かつ個人情報保護委員会に届け出なければならない（27条2項）。対象外となるのは要配慮個人情報、不正の手段で取得された個人データ、他の事業者からオプトアウトで提供されたものである。

覚え方通知または容易知り得る状態プラス委員会への届出

ひっかけ注意オプトアウトの実施に委員会への届出が不要とする誤り、およびオプトアウトで受け取ったデータを再びオプトアウトで提供できるとする誤りが狙われる。

重要度 A / 収録過去問 5回

第三者に該当しない場合

27条5項により第三者にあたらないのは、利用目的の達成に必要な範囲内での委託、合併その他の事由による事業の承継、共同利用の3類型である。共同利用が第三者提供にあたらないためには、共同利用する旨、共同利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的、管理について責任を有する者の氏名または名称等を、あらかじめ本人に通知し、または本人が容易に知り得る状態に置く必要がある。委託の場合、委託元は委託先に対する必要かつ適切な監督義務を負う（25条）。

覚え方委託・事業承継・共同利用の三つは第三者ではない

ひっかけ注意委託先への提供にも本人の同意が必要とする誤りが狙われる。委託は第三者提供にあたらない。

重要度 A / 収録過去問 4回

利用目的の変更の範囲

個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない（17条2項）。平成27年改正により「相当の関連性」から「関連性」へ緩和された。これに対し行政機関等については61条3項が「相当の関連性」を維持しており、民間部門より厳格である。利用目的を変更した場合は、変更後の利用目的を本人に通知し、または公表しなければならない（21条3項）。

覚え方民間は「関連性」、行政機関等は「相当の関連性」

ひっかけ注意民間部門にも「相当の関連性」が要求されるとする改正前の記述が誤りとして出る。

重要度 A / 収録過去問 4回

書面による直接取得と利用目的の明示

取得の場面の原則は21条1項の「あらかじめ利用目的を公表している場合を除き、速やかに本人に通知し、または公表する」であるが、契約書その他の書面に記載された本人の個人情報を直接書面で取得する場合は、あらかじめ本人に利用目的を明示しなければならない（同2項）。通知・公表・明示のいずれも不要となるのは、本人等の権利利益を害するおそれがある場合、事業者の正当な利益を害するおそれがある場合、国等への協力に支障を及ぼす場合、取得の状況からみて利用目的が明らかな場合である。

覚え方原則は取得後速やかに通知・公表、書面の直接取得だけ事前明示

ひっかけ注意あらゆる取得場面で事前明示が必要とする誤りが狙われる。事前明示が必要なのは書面による直接取得の場合である。

重要度 A / 収録過去問 4回

漏えい等の本人への通知

報告対象となる漏えい等が生じたときは、個人情報取扱事業者は本人に対し、当該事態の状況に応じて速やかに、本人の権利利益を保護するために必要な範囲において通知しなければならない（26条2項）。通知事項は概要、漏えいした個人データの項目、原因、二次被害のおそれの有無等である。本人への通知が困難な場合は公表等の代替措置で足りる。委託先が委託元へ通知したときは委託先の報告義務と本人通知義務がともに免除される。

覚え方通知が困難なら公表等の代替措置。委託先は委託元へ通知すれば免除

ひっかけ注意本人への通知が常に必須とする誤りが狙われる。困難な場合は代替措置で足りる。

基礎知識の暗記表をすべて見る →

覚える数字と、狙われる引っかけ

漏えい等の報告が必要な場合本人の数1000人超など4類型
行政機関等の開示決定等 30日以内（30日以内の延長可）

ひっかけ仮名加工情報も本人の同意を得れば第三者提供できるとする肢。同意による解除の余地がない
ひっかけ要配慮個人情報に国籍・本籍地・マイナンバーを含める肢。いずれも要配慮個人情報ではない
ひっかけ保有個人データから6か月以内に消去するものが除かれるとする肢。期間による除外は廃止された

02試験で正誤を分けるチェック順

1
情報の種類を確定する。要配慮個人情報なら取得自体に同意が要り、オプトアウトによる第三者提供もできない
問題文の限定語を先に拾い、上の暗記項目と照合してから結論を出します。
2
取得の場面を見る。原則は取得後速やかな通知・公表で、書面による直接取得のときだけ事前の明示が要る
問題文の限定語を先に拾い、上の暗記項目と照合してから結論を出します。
3
第三者提供なら、同意・オプトアウト・委託や共同利用による第三者非該当のどれで処理するかを決める
問題文の限定語を先に拾い、上の暗記項目と照合してから結論を出します。

03この論点の根拠

関連法令: 個人情報の保護に関する法律
情報確認日: 2026年4月1日施行法令基準
復習方法: 要点を確認した後、○×一問一答で条件の違いを見分ける

法改正により扱いが変わる場合があります。試験日程や申込みに関する情報は、必ず公式案内も確認してください。

問題演習

個人情報保護法と情報セキュリティの○×一問一答

1/8問解答 0・正解 0

基礎知識重要度 S頻出度 14／24（編集部の目安）

要配慮個人情報の取得

個人情報取扱事業者は、法令に基づく場合や人の生命、身体又は財産の保護のために必要がある場合等を除くほか、あらかじめ本人の同意を得ないで、本人の病歴や犯罪の経歴等の要配慮個人情報を取得してはならない。

個人情報保護法と情報セキュリティの○×一問一答17問｜問題と解説

この論点で収録している17問を、正誤と解説つきで通して読めます。上の演習で迷った問題を見直すときに使ってください。

問1
要配慮個人情報の取得重要度S
個人情報取扱事業者は、法令に基づく場合や人の生命、身体又は財産の保護のために必要がある場合等を除くほか、あらかじめ本人の同意を得ないで、本人の病歴や犯罪の経歴等の要配慮個人情報を取得してはならない。
答え：○（正しい）
解説
正しい。20条2項は、要配慮個人情報について、取得の段階で原則としてあらかじめ本人の同意を要求している。
問2
漏えい等の報告の期限重要度S
個人情報取扱事業者が個人情報保護委員会に対して行う漏えい等の確報の期限は、当該事態を知った日から三十日以内であるが、不正の目的をもって行われたおそれがある行為による場合は六十日以内とされている。
答え：○（正しい）
解説
正しい。個人情報保護法施行規則8条2項が、確報の期限を原則30日以内、不正の目的による行為に起因する場合は60日以内と定めている。
問3
個人情報の定義重要度S
個人情報の保護に関する法律にいう個人情報には、生存する個人に関する情報のほか、死亡した個人に関する情報であって当該情報に含まれる氏名その他の記述等により特定の個人を識別することができるものも当たる。
答え：×（誤り）
解説
誤り。2条1項は「生存する個人に関する情報」と定めており、死者に関する情報は同法の個人情報に当たらない。
問4
オプトアウトによる第三者提供重要度A
要配慮個人情報についても、本人の求めに応じて提供を停止することとし所定の事項をあらかじめ個人情報保護委員会に届け出れば、本人の同意を得ないで第三者に提供することができる。
答え：×（誤り）
解説
誤り。27条2項ただし書は、要配慮個人情報をオプトアウトによる第三者提供の対象から明文で除外している。
問5
第三者に該当しない場合重要度A
利用目的の達成に必要な範囲内で個人データの取扱いを委託することに伴って提供される場合や、合併その他の事由による事業の承継に伴って提供される場合、提供先は第三者に該当しない。
答え：○（正しい）
解説
正しい。27条5項は、委託、事業承継、所定の要件を満たす共同利用の三類型について、提供先は第三者に該当しないものとしている。
問6
書面による直接取得と利用目的の明示重要度A
個人情報取扱事業者は、契約書その他の書面に記載された本人の個人情報を本人から直接取得する場合には、原則として、あらかじめ本人に対しその利用目的を明示しなければならない。
答え：○（正しい）
解説
正しい。21条2項の定めであり、人の生命、身体又は財産の保護のために緊急に必要がある場合はこの限りでない。
問7
仮名加工情報の取扱い重要度A
仮名加工情報である個人データについては、その作成の元となった個人情報に係る本人からあらかじめ同意を得たときは、法令に基づく場合でなくても、これを第三者へ提供することが認められる。
答え：×（誤り）
解説
誤り。41条6項は、法令に基づく場合を除き第三者提供を禁じている。本人の同意による解除は認められていない。
問8
匿名加工情報の作成と提供重要度A
個人情報取扱事業者は、匿名加工情報を作成したときは、個人情報保護委員会規則で定めるところにより、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない。
答え：○（正しい）
解説
正しい。43条3項の公表義務である。第三者に提供するときは、あらかじめ提供する項目と提供方法を公表し、提供先に匿名加工情報である旨を明示する。
問9
利用目的の変更の範囲重要度A
個人情報取扱事業者は、あらかじめ特定した利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて当該変更を行ってはならない。
答え：×（誤り）
解説
誤り。民間部門の17条2項は「関連性を有すると合理的に認められる範囲」であり、「相当の」という限定は付されていない。
問10
漏えい等の本人への通知重要度A
個人データについて委員会への報告を要する漏えい等が生じた場合、個人情報取扱事業者は個人情報保護委員会に報告しなければならないが、当該事態が生じた旨の本人に対する通知は努力義務にとどまる。
答え：×（誤り）
解説
誤り。26条2項は本人への通知を義務としている。通知が困難な場合に代替措置をとるときに限り免除される。
問11
利用停止等の請求重要度A
本人は、当該本人が識別される保有個人データを個人情報取扱事業者が利用する必要がなくなった場合にも、当該保有個人データの利用停止等又は第三者への提供の停止を請求することができる。
答え：○（正しい）
解説
正しい。35条5項は、法違反がない場合でも、利用の必要がなくなった場合等の請求権を認めている。令和2年改正で追加された規律である。
問12
保有個人データの範囲重要度A
個人情報取扱事業者が開示、内容の訂正又は利用停止等を行うことのできる権限を有する個人データであっても、六箇月以内に消去することとしているものは、保有個人データに当たらない。
答え：×（誤り）
解説
誤り。短期保存データを除外する6か月要件は令和2年改正で撤廃された。保存期間の長短にかかわらず保有個人データとなる。
問13
保有個人データの開示の方法重要度B
本人が個人情報取扱事業者に対して当該本人が識別される保有個人データの開示を請求した場合において、事業者が行うべき開示は、当該保有個人データを記載した書面の交付による方法に限られる。
答え：×（誤り）
解説
誤り。33条1項により本人は電磁的記録の提供による方法その他の方法を指定でき、事業者は原則としてその方法によらなければならない。
問14
個人情報取扱事業者の適用除外重要度B
報道機関が報道の用に供する目的で、著述を業として行う者が著述の用に供する目的で個人情報等を取り扱う場合には、個人情報取扱事業者の義務を定める章の規定は適用されない。
答え：○（正しい）
解説
正しい。57条1項は報道機関、著述業者、宗教団体、政治団体の四類型について第4章の規定の適用を除外している。
問15
個人情報保護委員会の組織重要度B
個人情報保護委員会は、内閣府設置法に基づき総務大臣の所轄に属する機関として置かれ、その委員長及び委員は、任命権者である総務大臣の指揮監督を受けて職権を行うものとされている。
答え：×（誤り）
解説
誤り。委員会は内閣総理大臣の所轄に属し（130条2項）、委員長及び委員は独立してその職権を行う（133条）。
問16
サイバー攻撃の手口重要度B
ランサムウェアとは、実在する金融機関や配送業者等を装った電子メールにより偽のウェブサイトへ誘導し、利用者に入力させた識別符号や暗証番号等の認証情報を詐取する手口をいう。
答え：×（誤り）
解説
誤り。記述はフィッシングの説明である。ランサムウェアはデータを暗号化して使用不能にし、復旧と引換えに身代金を要求する不正プログラムである。
問17
公開鍵暗号とデジタル署名重要度C
公開鍵暗号方式を用いて第三者に内容を知られずに通信を行う場合、送信者は受信者の公開鍵を用いて平文を暗号化し、これを受け取った受信者は自らの秘密鍵を用いてこれを復号する。
答え：○（正しい）
解説
正しい。暗号化に用いるのが受信者の公開鍵、復号に用いるのが受信者の秘密鍵である。鍵の配送問題を解決する仕組みである。

次の学習

個人情報保護法と情報セキュリティの問題を続けて解く

この論点に対応する17問を絞り込んで出題します。

○×一問一答へ