分野 R｜関連知識
個人情報の取扱いと同意
シラバス案（Ver.0.1）にある項目です。問われるとしたら、第三者提供とオプトイン／オプトアウト、漏えい等の報告、GDPR の基本を、文・組合せ・表から選ぶ形です。
シラバス案 Ver.0.1（2026年8月31日公表）の『7-29-1 個人情報保護法』
最終更新
よく出る形
- 問われるとしたら：個人データの第三者提供の決まりを、4つの文から選ぶ形
- 問われるとしたら：漏えいが起きたときの報告と通知のうち、適切な物だけの組合せを選ぶ形
- 問われるとしたら：提供の案の表を見て、同意なしで提供できる案を選ぶ形
- 問われるとしたら：GDPR の説明のうち、最も不適切な物を選ぶ形
覚えること
- 第三者提供の原則：個人データを第三者に提供するには、あらかじめ本人の同意が要る（例外あり）
- 例外：法令に基づく場合や、人の生命などの保護に必要で同意を得にくい場合は、同意なしで提供できる
- 提供に当たらない場合：委託、事業承継、事前に項目などを本人に示した共同利用は、第三者提供でない
- オプトイン：事前に本人の同意を得てから、提供や利用をする方式
- オプトアウト：本人が止めるよう求めるまでは、同意なしで提供できる方式
- オプトアウトの条件：本人への通知か容易に知り得る状態、個人情報保護委員会への届出、本人の求めで提供を停止する仕組み
- オプトアウトの対象外：要配慮個人情報（病歴など）、不正取得のデータ、他社からオプトアウトで受けたデータ
- 漏えい等の報告：本人の権利利益を害するおそれが大きいとき、個人情報保護委員会への報告と、本人への通知が要る
- 報告が要る4つの場合：要配慮個人情報、財産的被害のおそれ、不正の目的、本人の数が1,000人超
- 報告の期限：発覚から3〜5日以内に速報、30日以内に確報（不正の目的は確報60日以内）
- GDPRの適用：EUの一般データ保護規則。EU域外の事業者でも、EU域内の人の個人データを扱う場合に適用されることがある
- GDPRの移転：EEA（EU域内など）の外への個人データの移転は原則禁止。十分性認定やSCC（標準契約条項）などが要る
- 日本の十分性認定：2019年にEUから受けた。補完的ルールを守れば、SCC等なしでEUから日本へ移転できる
ひっかけ
- オプトアウトは、本人の同意が要らないが、手続と対象に条件がある。手続の一部だけでは足りない
- 委員会に報告すれば本人への通知は不要、ではない。報告と通知の両方が要る
想定問題
4問（科目A（四肢択一））。選ぶと、その場で正解と解説が開きます。
個人情報保護法における、個人データの第三者への提供についての記述として、最も適切なものはどれか。
正解：ウ 利用目的の達成に必要な範囲で取扱いを委託する場合は、第三者への提供に当たらず、同意は要らない。
ポイント
個人データの第三者提供の原則、同意が要らない場合、オプトインを、4つの文から選ぶ問題です。
考え方と解き方
原則は、あらかじめの本人の同意です。例外には、そもそも第三者への提供に当たらない場合と、条件を満たして同意を省く場合があり、条件の抜けを取りちがえやすくなります。
- 原則は、個人データを第三者に提供するには、あらかじめ本人の同意が要ることです。例外の一つが、利用目的の達成に必要な範囲での委託で、第三者への提供に当たりません。
- 人の生命の保護に必要な場合の例外は、本人の同意を得ることが困難なときに限ります。オプトインは事前に同意を得る方式で、オプトアウトは他の事業者からオプトアウトで受けた個人データには使えません。
- したがって、最も適切なのは ウ です。
ほかの選択肢
- ア 生命の保護に必要でも、同意なしで提供できるのは、本人の同意を得ることが困難なときだけです。得られる時は同意を得ます。
- イ オプトインは、提供の前に同意を得る方式です。提供したあとの同意では足りません。
- エ 他の事業者からオプトアウトで受け取った個人データは、さらにオプトアウトで提供する対象にできません。
覚えておくこと
- 例外：法令に基づく場合や、人の生命などの保護に必要で同意を得にくい場合は、同意なしで提供できる
- 提供に当たらない場合：委託、事業承継、事前に項目などを本人に示した共同利用は、第三者提供でない
- オプトイン：事前に本人の同意を得てから、提供や利用をする方式
（テーマ・覚えること）
A社の通販サイトが不正アクセスを受け、顧客数百人の氏名、住所、病歴の個人データが漏えいしたおそれがあることが分かった。
このときの報告と通知についての記述のうち、適切なものだけを全て挙げたものはどれか。
- a 要配慮個人情報が含まれるので、本人の数にかかわらず、個人情報保護委員会に報告する。
- b 個人情報保護委員会に報告すれば、本人への通知は、どの場合でも不要になる。
- c 速報は、発覚した日から3〜5日以内に行い、確報は、そのあとで出す。
正解：イ a、c
ポイント
漏えい等の報告の対象と、本人への通知、速報と確報を、a〜c それぞれ判定して選ぶ問題です。
考え方と解き方
報告は個人情報保護委員会へ、通知は本人へ、と宛先がちがいます。片方をすれば足りると取りちがえやすいので、a〜c を1つずつ判定します。
- a は、病歴は要配慮個人情報で、その漏えいのおそれは本人の数にかかわらず報告が要る場合なので、適切です。不正アクセスなので、不正の目的のおそれにも当たります。
- b は、報告のほかに、本人への通知も要るので、報告すれば通知がどの場合でも不要になるとするのは不適切です。
- c は、発覚から3〜5日以内に速報し、その後に確報を出すので、適切です。
- したがって、適切なのは a、c で、イ です。
ほかの選択肢
- ア b は不適切です。委員会への報告と、本人への通知の両方が要ります。適切な c も入っていません。
- ウ b は不適切で、適切な a、c が入っていません。
- エ a と c が適切なので、適切なものがないわけではありません。
覚えておくこと
- 漏えい等の報告：本人の権利利益を害するおそれが大きいとき、個人情報保護委員会への報告と、本人への通知が要る
- 報告が要る4つの場合：要配慮個人情報、財産的被害のおそれ、不正の目的、本人の数が1,000人超
- 報告の期限：発覚から3〜5日以内に速報、30日以内に確報（不正の目的は確報60日以内）
（テーマ・覚えること）
A社は、顧客の個人データを第三者に提供する3つの案を検討している。提供する個人データは、いずれも不正に取得したものではない。
表1 の案のうち、個人情報保護法のもとで、本人の同意を得ずに第三者へ提供できるものはどれか。
| 案 | 提供する個人データ | 本人の同意 | 通知・届出・停止の仕組み |
|---|---|---|---|
| X | 氏名、住所、購入履歴 | 取っていない | 全て済んでいる |
| Y | 氏名、住所、病歴 | 取っていない | 全て済んでいる |
| Z | 氏名、メールアドレス | 取っていない | 届出がまだ |
正解：エ 案X だけ
ポイント
表の案を、オプトアウトの条件と対象外に当てはめて、同意なしで提供できる案を選ぶ問題です。
考え方と解き方
3案とも同意は取っていないので、同意なしで提供できるのはオプトアウトの条件を満たす案だけです。手続の列だけを見ると、対象外の情報を含む案を見落とします。
- 表1 の「本人の同意」の列は、3案とも「取っていない」です。同意なしで提供するには、オプトアウトの条件を満たす必要があります。
- 「通知・届出・停止の仕組み」の列で「全て済んでいる」のは、X と Y です。Z は届出がまだなので、オプトアウトで提供できません。
- 「提供する個人データ」の列を見ると、Y は病歴を含み、要配慮個人情報なので、オプトアウトの対象外です。したがって、同意なしで提供できるのは X だけです。したがって、最も適切なのは エ です。
ほかの選択肢
- ア Y は手続が済んでいても、病歴という要配慮個人情報を含むので、オプトアウトの対象外です。
- イ Z は届出がまだなので、オプトアウトの条件を満たしません。同意も取っていないので、提供できません。
- ウ X は提供できますが、Y は病歴を含むので提供できません。
覚えておくこと
- オプトアウトの条件：本人への通知か容易に知り得る状態、個人情報保護委員会への届出、本人の求めで提供を停止する仕組み
- オプトアウトの対象外：要配慮個人情報（病歴など）、不正取得のデータ、他社からオプトアウトで受けたデータ
- オプトアウト：本人が止めるよう求めるまでは、同意なしで提供できる方式
（テーマ・覚えること）
GDPR についての記述として、最も不適切なものはどれか。
正解：ア EU域外の事業者には、EU域内の人の個人データを扱う場合でも、GDPRが適用されることはない。
ポイント
GDPR の適用範囲、移転の決まり、日本の十分性認定を、4つの文から選ぶ問題です。
考え方と解き方
GDPR は EU の規則なので、EU 域外の事業者には関係ないと思いがちです。しかし、EU 域内の人の個人データを扱う事業者には、域外にあっても適用されることがあります。
- GDPR は、EU の個人データ保護の規則で、2018年5月25日から適用が始まりました。EEA の外への移転は原則禁止で、十分性認定やSCC（標準契約条項）などが要ります。エ と イ は、このとおりです。
- 日本は2019年にEUから十分性認定を受け、補完的ルールを守る民間事業者は、SCC等なしでEUから日本へ個人データを移転できます。ウ は、このとおりです。
- ア は、EU 域外の事業者には適用されることはないとしている点が合いません。したがって、最も不適切なのは ア です。正しくは、EU 域外の事業者にも、EU 域内の人の個人データを扱う場合は、適用されることがあります。
ほかの選択肢
- イ EEAの外への移転は原則禁止で、十分性認定やSCC等の保護措置があれば行えるので、適切です。
- ウ 日本は2019年にEUから十分性認定を受けており、補完的ルールを守れば、SCC等なしでEUから日本へ移転できるので、適切です。
- エ GDPR の適用が始まったのは2018年5月25日なので、適切です。
覚えておくこと
- GDPRの適用：EUの一般データ保護規則。EU域外の事業者でも、EU域内の人の個人データを扱う場合に適用されることがある
- GDPRの移転：EEA（EU域内など）の外への個人データの移転は原則禁止。十分性認定やSCC（標準契約条項）などが要る
- 日本の十分性認定：2019年にEUから受けた。補完的ルールを守れば、SCC等なしでEUから日本へ移転できる
（テーマ・覚えること）
同じ分野のテーマ（関連知識）
- データアーキテクチャシラバス案（Ver.0.1）にある項目です。問われるとしたら、データアーキテクチャ、データモデル、データフロー、サブジェクトエリアモデルの説明を、文・組合せ・表から選ぶ形です。
- データベース設計シラバス案（Ver.0.1）にある項目です。問われるとしたら、概念データモデル、論理データモデル、E-R図、UML の説明を、文・組合せ・表から選ぶ形です。
- セキュリティの基本と管理シラバス案（Ver.0.1）にある項目です。問われるとしたら、機密性・完全性・可用性と、データ品質特性の機密性・完全性との対比、アクセス権の管理を、文・組合せ・表から選ぶ形です。
- 情報資産とリスクシラバス案（Ver.0.1）にある項目です。問われるとしたら、情報資産（データ資産）の分類、リスクの評価、リスクへの対策の区分の流れを、文・組合せ・表から選ぶ形です。
- 情報倫理と情報モラルシラバス案（Ver.0.1）にある項目です。問われるとしたら、ねつ造・改ざん・盗用の区別と、ファクトチェック、エコーチェンバー、フィルターバブルを、文・組合せから選ぶ形です。
- AI倫理とAIガバナンスシラバス案（Ver.0.1）にある項目です。問われるとしたら、ハルシネーションや偏った情報への備えと、AIガバナンスの考え方を、事例・組合せ・表から選ぶ形です。
- 著作権法シラバス案（Ver.0.1）にある項目です。問われるとしたら、AI学習と第30条の4、AI生成物の著作物性、データベースの著作物と引用を、文・組合せから選ぶ形です。
- 営業秘密と限定提供データシラバス案（Ver.0.1）にある項目です。問われるとしたら、営業秘密の3つの条件と、限定提供データとのちがいを、文・表・組合せから選ぶ形です。
- 匿名化とマスキングシラバス案（Ver.0.1）にある項目です。問われるとしたら、匿名加工情報の定義と提供・加工の決まり、データマスキング・秘匿化・匿名化の区別を、文・組合せ・表から選ぶ形です。