分野 E｜セキュリティ・倫理
個人情報保護法（個人データ・要配慮個人情報・匿名加工情報）
今の制度の過去問（3回分）では、匿名加工情報の説明を選ぶ問題が、1問出ています。
シラバス案 Ver.0.1（2026年8月31日公表）の『7-29-1 個人情報保護・プライバシー保護に関する法規・ガイドライン』
最終更新
よく出る形
- 匿名加工情報（復元できないよう加工した情報）の説明を選ぶ（3回分で1問）
- 問われるとしたら：個人情報・個人データ・保有個人データの意味を選ぶ形
- 問われるとしたら：事例で、要配慮個人情報の取得に必要な手続を選ぶ形
- 問われるとしたら：個人識別符号に当たる情報を選ぶ形
- 問われるとしたら：匿名加工情報の取扱いの a〜c の組合せの形
覚えること
- 個人情報保護法（個人情報の保護に関する法律）：個人情報を取り扱う事業者の守る事項などを定める
- 個人情報：生存する個人の情報で、氏名などで特定の個人を識別できる物、または個人識別符号を含む物
- 個人識別符号：身体の特徴を変換した符号（顔認証データなど）や、公的な番号（運転免許証番号、旅券番号など）
- 要配慮個人情報：人種、信条、病歴、犯罪の経歴など、不当な差別や偏見が生じないよう特に配慮が要る個人情報
- 要配慮個人情報の取得：法令に基づく場合などを除き、あらかじめ本人の同意が要る
- 個人データ：個人情報データベース等（検索できるよう体系的にまとめた集合物）を構成する個人情報
- 保有個人データ：個人データのうち、事業者が開示や訂正、利用停止などを行える権限を持つ物
- 関係：個人データは個人情報の一部で、保有個人データは個人データの一部
- 匿名加工情報：特定の個人を識別できず、元の個人情報に復元できないよう加工した情報
- 匿名加工情報の作成：個人情報保護委員会規則の基準に従って加工し、作成したら項目を公表する
- 匿名加工情報の提供：第三者に提供するときは、本人の同意でなく、項目と方法の公表と提供先への明示が要る
- 匿名加工情報の取扱い：本人を識別するために、ほかの情報と照合してはならない
- 参考：今のシラバスの用語例にある「個人情報取扱事業者」「個人情報保護委員会」は、案の用語例にない
ひっかけ
- 匿名加工情報は復元できない情報。元に戻せる状態を残した加工は、匿名加工情報ではない
- 仮名加工情報は、ほかの情報と照合しない限り識別できない情報で、匿名加工情報とは別
- 統計情報を加工しても、個人情報を加工していなければ、匿名加工情報ではない
- 氏名や住所は個人を識別できる情報だが、個人識別符号ではない
想定問題
4問（四肢択一）。選ぶと、その場で正解と解説が開きます。
A 社の対応として、最も適切なものはどれか。
A 社は、健康食品の通信販売を行っている。利用者の健康状態に合う商品を勧めるため、アンケートで利用者の病歴を取得したいと考えている。法令に基づく場合などの例外には当たらない。
正解：ア 病歴の取得について、あらかじめ本人の同意を得た上で、取得してよい。
ポイント
病歴の取得に、どんな手続が要るかを問う問題です。
考え方と解き方
要配慮個人情報は、ふつうの個人情報より取得の条件が厳しく、同意の「時期」と「だれの」同意かが決め手です。取得後に同意を得ればよい、公表すれば足りる、と考えると誤ります。
- 病歴は、要配慮個人情報に当たります。
- 要配慮個人情報は、法令に基づく場合などの例外を除き、あらかじめ本人の同意を得ないで取得してはなりません。事例は例外に当たらないので、取得の前に本人の同意が要ります。
- したがって、最も適切なのは ア です。
ほかの選択肢
- イ 同意は、取得の前（あらかじめ）に得る必要があります。取得したあとの同意では足りません。
- ウ 利用目的の公表は、本人の同意の代わりにはなりません。
- エ 同意が必要なのは本人です。家族の同意を、本人の同意の代わりにする決まりはありません。
覚えておくこと
- 要配慮個人情報：人種、信条、病歴、犯罪の経歴など、不当な差別や偏見が生じないよう特に配慮が要る個人情報
- 要配慮個人情報の取得：法令に基づく場合などを除き、あらかじめ本人の同意が要る
（テーマ・覚えること）
個人情報保護法の用語の説明として、最も適切なものはどれか。
正解：エ 個人データとは、検索できるよう体系的にまとめた、個人情報データベース等を構成する個人情報である。
ポイント
個人情報保護法の似た用語の意味を、区別して問う問題です。
考え方と解き方
個人データを個人情報の全てと同じと考えたり、保有個人データを権限のない物と考えたりすると、似た用語の説明を取りちがえます。
- 個人データは、個人情報データベース等を構成する個人情報です。
- したがって、最も適切なのは エ です。
ほかの選択肢
- ア 個人情報は、生存する個人に関する情報です。亡くなった人だけに関する情報は、含まれません。
- イ 要配慮個人情報は、人種や病歴など、特に配慮が要る個人情報です。連絡先に当たる情報ではありません。
- ウ 保有個人データは、開示や訂正などを行う権限を持つ個人データです。権限を持たない物ではありません。
覚えておくこと
- 個人データ：個人情報データベース等（検索できるよう体系的にまとめた集合物）を構成する個人情報
- 保有個人データ：個人データのうち、事業者が開示や訂正、利用停止などを行える権限を持つ物
- 関係：個人データは個人情報の一部で、保有個人データは個人データの一部
（テーマ・覚えること）
A 社の対応として、適切なものだけを全て挙げたものはどれか。
A 社は、保有する顧客の個人情報を加工して匿名加工情報を作り、他の事業者に提供することを検討している。
- a 匿名加工情報を作るときは、個人情報保護委員会規則で定める基準に従って、個人情報を加工する。
- b 匿名加工情報を作ったときは、その情報に含まれる個人に関する情報の項目を公表する。
- c 作った匿名加工情報を、本人を識別するために、他の情報と照合してはならない。
正解：イ a、b、c
ポイント
匿名加工情報を作る側が守る、加工、公表、照合の決まりを、a〜c で判定する問題です。
考え方と解き方
復元できない情報なら、作ったあとは自由に照合してよい、と考えると c を不適切にします。
- a は適切です。個人情報保護委員会規則で定める基準に従って加工します。
- b は適切です。作成したときは、含まれる個人に関する情報の項目を公表します。
- c は適切です。本人を識別するために、ほかの情報と照合することは禁じられています。
- したがって、適切なのは a、b、c の全てで、イ です。
ほかの選択肢
- ア c も適切なので、a、b だけでは足りません。
- ウ a も適切なので、b、c だけでは足りません。
- エ a、b も適切なので、c だけでは足りません。
覚えておくこと
- 匿名加工情報の作成：個人情報保護委員会規則の基準に従って加工し、作成したら項目を公表する
- 匿名加工情報の取扱い：本人を識別するために、ほかの情報と照合してはならない
- 匿名加工情報：特定の個人を識別できず、元の個人情報に復元できないよう加工した情報
（テーマ・覚えること）
個人識別符号に該当するものはどれか。
正解：ウ 顧客の運転免許証の番号
ポイント
個人識別符号に当たる情報を、ほかの情報と区別して問う問題です。
考え方と解き方
「番号」と付くと識別符号と思いがちですが、政令などで挙げられた番号だけが個人識別符号です。人ごとに付く番号なら識別符号、と考えると、アやエを選んで誤ります。
- 個人識別符号は、身体の特徴を変換した符号や、運転免許証番号、旅券番号などの公的な番号です。
- したがって、該当するのは ウ です。
ほかの選択肢
- ア 携帯電話番号は、政令などで個人識別符号に挙げられた番号に含まれません。
- イ クレジットカード番号も、政令などで個人識別符号に挙げられた番号に含まれません。
- エ 自社が付けた会員番号も、政令などで個人識別符号に挙げられた番号に含まれません。
覚えておくこと
- 個人識別符号：身体の特徴を変換した符号（顔認証データなど）や、公的な番号（運転免許証番号、旅券番号など）
- 個人情報：生存する個人の情報で、氏名などで特定の個人を識別できる物、または個人識別符号を含む物
（テーマ・覚えること）
このテーマの過去問
過去問を解く（1問）同じ分野のテーマ（セキュリティ・倫理）
- 情報セキュリティの脅威（なりすまし・ソーシャルエンジニアリング・シャドーIT）今の制度の過去問（3回分）では、脅威と脆弱性の用語、IoT 機器の脅威と対策、ダークウェブが、合わせて5問出ています。
- マルウェアの種類（ランサムウェア・トロイの木馬・スパイウェア）今の制度の過去問（3回分）では、ランサムウェアの説明が1問出ています。
- SQLインジェクション・XSS・DoS攻撃・パスワードリスト攻撃今の制度の過去問（3回分）では、バッファオーバーフローへの対策と、ゼロデイ攻撃・DDoS 攻撃・ブルートフォース攻撃の区別が、合わせて2問出ています。
- フィッシング・標的型攻撃・中間者攻撃とAIを悪用した攻撃今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方とマネジメント（機密性・完全性・可用性・ゼロトラスト）今の制度の過去問（3回分）では、3要素の区別、ゼロトラスト、ISMS の最初の手順、経営者の役割、インシデントの管理が、合わせて7問出ています。
- リスクアセスメント（情報資産台帳・リスク分析・リスク評価）今の制度の過去問（3回分）では、ISMS の活動としての、情報資産の洗い出しとリスクの特定・分析・評価が、1問出ています。
- リスク対応（リスク回避・移転・分散・保有）今の制度の過去問（3回分）では、リスク共有の例と、リスク対応の分類の記述が、合わせて2問出ています。
- 情報セキュリティポリシー・CSIRT・ISMAP・各種ガイドライン今の制度の過去問（3回分）では、情報セキュリティ方針の記述、ポリシーを作る作業の順番、CSIRT の活動の例が、合わせて3問出ています。
- マルウェア対策とランサムウェア対策（パターンマッチング・バックアップ）今の制度の過去問（3回分）では、ランサムウェア対策のバックアップが2問、マルウェア感染を防ぐ対策が1問、合わせて3問出ています。
- 暗号（共通鍵暗号・公開鍵暗号・ハッシュ関数）今の制度の過去問（3回分）では、共通鍵暗号方式と公開鍵暗号方式が2問、ハッシュ関数が1問、ブロックチェーンの適用例が1問、合わせて4問出ています。
- デジタル証明書・デジタル署名・PKI今の制度の過去問（3回分）では、PKI と認証局、CRL、デジタル署名、リスクベース認証が、合わせて5問出ています。
- 利用者認証（多要素認証・パスキー・ワンタイムパスワード）今の制度の過去問（3回分）では、利用者認証の用語の説明を選ぶ問題が1問、所有を使った認証の例を選ぶ問題が1問、合わせて2問出ています。
- 生体認証（顔認証・静脈認証・本人拒否率FRR・他人受入率FAR）今の制度の過去問（3回分）では、生体認証の例を選ぶ問題が1問、他人受入率と本人拒否率の関係を選ぶ問題が2問、合わせて3問出ています。
- 脆弱性対策とセキュリティ製品（ファイアウォール・WAF・IDS・IPS・EDR）今の制度の過去問（3回分）では、WAF と IDS の説明が、合わせて2問出ています。
- 情報モラルとネチケット（メール誤送信・BCC・デジタルタトゥー）今の制度の過去問（3回分）では、電子メールの宛先欄（Cc と Bcc）に関する問題が、合わせて2問出ています。
- フェイクニュースとデータの不正（ねつ造・盗用・エコーチェンバー）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- AI倫理とAIのリスク（ハルシネーション・説明可能なAI・生成AIの利用上の注意）今の制度の過去問（3回分）では、ハルシネーションと、AI を使うときの留意点が、合わせて2問出ています。
- 著作権・特許法・商標法・不正競争防止法（営業秘密）今の制度の過去問（3回分）では、著作権、産業財産権、不正競争防止法（限定提供データ）が、合わせて6問出ています。
- 労働基準法・労働契約法・36協定（労働時間と働き方）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 労働者派遣法・偽装請負・パワハラ防止法・公益通報者保護法今の制度の過去問（3回分）では、労働者派遣と偽装請負が、合わせて2問出ています。
- 特定商取引法・景品表示法・資金決済法（取引関連法規）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 民法と契約（請負契約・準委任契約・守秘契約NDA・ライセンス契約）今の制度の過去問（3回分）では、請負契約の注文者と請負業者の権利と義務が、1問出ています。
- AI基本法・デジタル社会形成基本法・リサイクル法（デジタル・環境関連法規）今の制度の過去問（3回分）では、官民データ活用推進基本法で、官民データを所有する組織を問う問題が、1問出ています。
- マイナンバー法・GDPR・忘れられる権利今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- オプトイン・オプトアウト・第三者提供・データマスキング（同意の取得）今の制度の過去問（3回分）では、個人データの提供で本人の同意が要らない場合が、1問出ています。
- 不正アクセス禁止法（アクセス制御機能・不正アクセス行為）今の制度の過去問（3回分）では、不正アクセス禁止法で規制される行為を選ぶ問題が、1問出ています。
- ウイルス作成罪・サイバーセキュリティ基本法・特定電子メール法今の制度の過去問（3回分）では、サイバーセキュリティ基本法が2問、特定電子メール法が1問、合わせて3問出ています。