分野 E｜セキュリティ・倫理
オプトイン・オプトアウト・第三者提供・データマスキング（同意の取得）
今の制度の過去問（3回分）では、個人データの提供で本人の同意が要らない場合が、1問出ています。
シラバス案 Ver.0.1（2026年8月31日公表）の『7-29-2 個人情報保護・プライバシー保護に関する手法・技法』
最終更新
よく出る形
- 個人データ（名簿などの個人情報）の提供で、同意なしで許される行為を選ぶ（3回分で1問）
- 問われるとしたら：事例で、委託（業務を任せる提供）が第三者提供に当たるかを選ぶ形
- 問われるとしたら：オプトアウト（同意なしの提供の手続き）の記述を選ぶ形
- 問われるとしたら：オプトアウトで提供できない個人データの組合せの形
- 問われるとしたら：同意の取得として不適切な方法を選ぶ形
覚えること
- 第三者提供の原則：個人データ（名簿などに整理した個人情報）は、あらかじめ本人の同意を得て提供する
- 同意なしで提供できる場合：法令に基づく、生命・身体・財産の保護で同意が難しい、など
- オプトイン：事前に本人の同意を得て、はじめて提供や送信を行う方式
- オプトアウト：本人の求めがあれば提供を停止するとして、同意なしで提供する方式
- オプトアウトの手続き：提供の前に、事項を本人に通知するか、本人が容易に知り得る状態に置く
- オプトアウトの手続き：個人情報保護委員会への届出も、提供の前に行う
- オプトアウトで提供できない物：要配慮個人情報（病歴など）、不正に取得した個人データ、オプトアウトで受けた個人データ
- 第三者に当たらない提供：委託、事業の承継、共同利用（同意もオプトアウトも不要）
- 委託：利用目的の範囲で業務を任せる提供。委託元に、委託先を監督する責任がある
- 共同利用：その旨、項目、範囲、目的、責任者を、事前に本人へ通知するか知り得る状態に置く
- 同じ事業者の中で他の部門に渡すのは、第三者提供ではない
- 本人の同意：事業者が示す取扱いを、本人が承諾する意思表示。事業者が認識できる方法で得る
- 同意の方法の例：口頭、書面、メール、確認欄へのチェック、ボタンのクリック
- 同意の前提：本人であることの確認。判断する能力がない子どもなどは、親権者や法定代理人から得る
- データマスキング：氏名などの値を伏せ字や別の値に置き換え、個人を特定しにくくする処理
ひっかけ
- 一定の期間、返答がなかったことだけで、一律に同意を得たとは扱えない
- グループ会社や同業者への提供も、別の事業者への提供なので第三者提供
- オプトアウトでも、提供の前の通知と届出が要り、事後では足りない
- 生成 AI への入力の注意は、AI のリスクのテーマで扱う
想定問題
4問（四肢択一）。選ぶと、その場で正解と解説が開きます。
A 社の対応として、最も適切なものはどれか。
A 社は、通信販売サイトの顧客の氏名と住所を、商品の配送業務を任せる運送会社に渡す。顧客からは、配送のために氏名と住所を使うことを示して、個人情報を取得している。A 社は、渡すことについて、顧客の個別の同意が要るかを検討している。
正解：イ 配送という利用目的の範囲で任せる委託なので、個別の同意なしで渡せるが、A 社は運送会社を監督する。
ポイント
委託先に個人データを渡すとき、顧客の個別の同意が要るかを問う問題です。
考え方と解き方
別の会社に渡すのだから第三者提供だと考えると、同意が要ると誤ります。委託は、本人から見て提供元と一体とみなせるので、第三者に数えません。
- A 社は、取得のときに示した配送という利用目的の範囲で、業務を運送会社に任せます。これは委託に当たり、第三者提供に数えないので、個別の同意は要りません。
- ただし、委託元の A 社には、運送会社が個人データを適切に扱うよう、監督する責任があります。
- したがって、最も適切なのは イ です。
ほかの選択肢
- ア 別の事業者でも、委託は第三者提供に数えないので、個別の同意もオプトアウトの手続きも要りません。
- ウ 委託では、委託元に、委託先を監督する責任が残ります。監督が要らないとする点が不適切です。
- エ 委託は、取得のときに示した利用目的の範囲に限られ、広告に使うことは範囲を超えます。監督が要らないとする点も不適切です。
覚えておくこと
- 第三者に当たらない提供：委託、事業の承継、共同利用（同意もオプトアウトも不要）
- 委託：利用目的の範囲で業務を任せる提供。委託元に、委託先を監督する責任がある
（テーマ・覚えること）
個人データを、本人の同意を得ずに、オプトアウトの手続きで第三者に提供するときに、提供の前に行う手続きとして、最も適切なものはどれか。
正解：エ 本人の求めに応じて停止することとし、事項を本人に通知して、個人情報保護委員会に届け出る。
ポイント
オプトアウトの手続きで、同意なしに個人データを提供するときの要件を問う問題です。
考え方と解き方
同意を得ないのだから、本人に知らせる必要はないと考えると、通知の相手を提供先にしたり、届出を外したりする選択肢を選びます。
- オプトアウトで提供するには、本人の求めに応じて提供を停止することとし、提供する事項などを、あらかじめ本人に通知するか、本人が容易に知り得る状態に置きます。
- そのうえで、個人情報保護委員会に届け出ます。
- したがって、最も適切なのは エ です。
ほかの選択肢
- ア 本人の求めに応じて停止することが要件なので、停止しない手続きは不適切です。通知する相手も、提供先ではなく本人です。
- イ 通知する相手は、提供先ではなく本人です。個人情報保護委員会への届出も要ります。
- ウ 本人の求めに応じて停止することが要件なので、停止しない手続きは不適切です。個人情報保護委員会への届出も要ります。
覚えておくこと
- オプトアウト：本人の求めがあれば提供を停止するとして、同意なしで提供する方式
- オプトアウトの手続き：提供の前に、事項を本人に通知するか、本人が容易に知り得る状態に置く
- オプトアウトの手続き：個人情報保護委員会への届出も、提供の前に行う
（テーマ・覚えること）
オプトアウトの手続きによる提供に関する記述として、不適切なものだけを全て挙げたものはどれか。
A 社は、顧客の個人データを、本人の同意を得ずに、B 社へオプトアウトの手続きで提供することを検討している。
- a 適法に取得した顧客の氏名と住所だけの名簿は、手続きを済ませれば、オプトアウトで提供できる。
- b 病歴が含まれる顧客の個人データも、手続きを済ませれば、オプトアウトで提供できる。
- c 偽りその他不正の手段で取得した顧客の個人データも、手続きを済ませれば、オプトアウトで提供できる。
正解：ウ b、c
ポイント
オプトアウトの手続きで提供できる個人データとできない個人データを、a〜c で判定する問題です。
考え方と解き方
オプトアウトは同意を得ない提供なので、取扱いに特に配慮が要る情報や、不正に手に入れたデータには使えません。氏名と住所だけの名簿のように、手続きを済ませれば使えるデータと混同すると、a も入れて誤ります。
- a は適切です。適法に取得した氏名と住所の名簿は、オプトアウトの手続きを済ませれば、同意なしで提供できます。
- b は不適切です。病歴は要配慮個人情報（差別のおそれがある情報）で、オプトアウトでは提供できません。
- c は不適切です。偽りその他不正の手段で取得した個人データは、オプトアウトの対象外です。
- したがって、不適切なのは b、c で、ウ です。
ほかの選択肢
- ア a は適切な記述なので入りません。不適切な c が入っていません。
- イ a は適切な記述なので、入れすぎです。
- エ b も不適切な記述なので、入れ損ねています。
覚えておくこと
- オプトアウトで提供できない物：要配慮個人情報（病歴など）、不正に取得した個人データ、オプトアウトで受けた個人データ
（テーマ・覚えること）
個人情報の取扱いにおける、本人の同意の取得に関する記述のうち、最も不適切なものはどれか。
正解：ア 案内を送ってから一定の期間、本人から返答がなかったことを、同意として扱う。
ポイント
本人の同意の取得として、不適切な方法を選ぶ問題です。
考え方と解き方
返答がなかったことは、承諾も拒否も示されていない状態です。案内を送ったから済んだと考えると、アを適切と読んでしまいます。
- 同意は、事業者が示す取扱いを本人が承諾する意思表示で、事業者がそれを認識できる方法で得ます。
- ア は、本人の意思表示がないまま同意として扱うので、不適切です。
- したがって、最も不適切なのは ア です。正しくは、本人が承諾する意思表示を事業者が認識して、同意とします。
ほかの選択肢
- イ 確認欄へのチェックと送信は、承諾する意思表示を事業者が認識できる方法で、同意の例に当たるので適切です。
- ウ 口頭も同意の方法の一つで、内容を確かめたうえで承諾するなら適切です。
- エ 判断する能力がない子どもは、親権者や法定代理人から同意を得るので適切です。
覚えておくこと
- 本人の同意：事業者が示す取扱いを、本人が承諾する意思表示。事業者が認識できる方法で得る
- 同意の方法の例：口頭、書面、メール、確認欄へのチェック、ボタンのクリック
- 同意の前提：本人であることの確認。判断する能力がない子どもなどは、親権者や法定代理人から得る
（テーマ・覚えること）
このテーマの過去問
過去問を解く（1問）同じ分野のテーマ（セキュリティ・倫理）
- 情報セキュリティの脅威（なりすまし・ソーシャルエンジニアリング・シャドーIT）今の制度の過去問（3回分）では、脅威と脆弱性の用語、IoT 機器の脅威と対策、ダークウェブが、合わせて5問出ています。
- マルウェアの種類（ランサムウェア・トロイの木馬・スパイウェア）今の制度の過去問（3回分）では、ランサムウェアの説明が1問出ています。
- SQLインジェクション・XSS・DoS攻撃・パスワードリスト攻撃今の制度の過去問（3回分）では、バッファオーバーフローへの対策と、ゼロデイ攻撃・DDoS 攻撃・ブルートフォース攻撃の区別が、合わせて2問出ています。
- フィッシング・標的型攻撃・中間者攻撃とAIを悪用した攻撃今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方とマネジメント（機密性・完全性・可用性・ゼロトラスト）今の制度の過去問（3回分）では、3要素の区別、ゼロトラスト、ISMS の最初の手順、経営者の役割、インシデントの管理が、合わせて7問出ています。
- リスクアセスメント（情報資産台帳・リスク分析・リスク評価）今の制度の過去問（3回分）では、ISMS の活動としての、情報資産の洗い出しとリスクの特定・分析・評価が、1問出ています。
- リスク対応（リスク回避・移転・分散・保有）今の制度の過去問（3回分）では、リスク共有の例と、リスク対応の分類の記述が、合わせて2問出ています。
- 情報セキュリティポリシー・CSIRT・ISMAP・各種ガイドライン今の制度の過去問（3回分）では、情報セキュリティ方針の記述、ポリシーを作る作業の順番、CSIRT の活動の例が、合わせて3問出ています。
- マルウェア対策とランサムウェア対策（パターンマッチング・バックアップ）今の制度の過去問（3回分）では、ランサムウェア対策のバックアップが2問、マルウェア感染を防ぐ対策が1問、合わせて3問出ています。
- 暗号（共通鍵暗号・公開鍵暗号・ハッシュ関数）今の制度の過去問（3回分）では、共通鍵暗号方式と公開鍵暗号方式が2問、ハッシュ関数が1問、ブロックチェーンの適用例が1問、合わせて4問出ています。
- デジタル証明書・デジタル署名・PKI今の制度の過去問（3回分）では、PKI と認証局、CRL、デジタル署名、リスクベース認証が、合わせて5問出ています。
- 利用者認証（多要素認証・パスキー・ワンタイムパスワード）今の制度の過去問（3回分）では、利用者認証の用語の説明を選ぶ問題が1問、所有を使った認証の例を選ぶ問題が1問、合わせて2問出ています。
- 生体認証（顔認証・静脈認証・本人拒否率FRR・他人受入率FAR）今の制度の過去問（3回分）では、生体認証の例を選ぶ問題が1問、他人受入率と本人拒否率の関係を選ぶ問題が2問、合わせて3問出ています。
- 脆弱性対策とセキュリティ製品（ファイアウォール・WAF・IDS・IPS・EDR）今の制度の過去問（3回分）では、WAF と IDS の説明が、合わせて2問出ています。
- 情報モラルとネチケット（メール誤送信・BCC・デジタルタトゥー）今の制度の過去問（3回分）では、電子メールの宛先欄（Cc と Bcc）に関する問題が、合わせて2問出ています。
- フェイクニュースとデータの不正（ねつ造・盗用・エコーチェンバー）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- AI倫理とAIのリスク（ハルシネーション・説明可能なAI・生成AIの利用上の注意）今の制度の過去問（3回分）では、ハルシネーションと、AI を使うときの留意点が、合わせて2問出ています。
- 著作権・特許法・商標法・不正競争防止法（営業秘密）今の制度の過去問（3回分）では、著作権、産業財産権、不正競争防止法（限定提供データ）が、合わせて6問出ています。
- 労働基準法・労働契約法・36協定（労働時間と働き方）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 労働者派遣法・偽装請負・パワハラ防止法・公益通報者保護法今の制度の過去問（3回分）では、労働者派遣と偽装請負が、合わせて2問出ています。
- 特定商取引法・景品表示法・資金決済法（取引関連法規）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 民法と契約（請負契約・準委任契約・守秘契約NDA・ライセンス契約）今の制度の過去問（3回分）では、請負契約の注文者と請負業者の権利と義務が、1問出ています。
- AI基本法・デジタル社会形成基本法・リサイクル法（デジタル・環境関連法規）今の制度の過去問（3回分）では、官民データ活用推進基本法で、官民データを所有する組織を問う問題が、1問出ています。
- 個人情報保護法（個人データ・要配慮個人情報・匿名加工情報）今の制度の過去問（3回分）では、匿名加工情報の説明を選ぶ問題が、1問出ています。
- マイナンバー法・GDPR・忘れられる権利今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 不正アクセス禁止法（アクセス制御機能・不正アクセス行為）今の制度の過去問（3回分）では、不正アクセス禁止法で規制される行為を選ぶ問題が、1問出ています。
- ウイルス作成罪・サイバーセキュリティ基本法・特定電子メール法今の制度の過去問（3回分）では、サイバーセキュリティ基本法が2問、特定電子メール法が1問、合わせて3問出ています。