分野 E｜セキュリティ・倫理
マイナンバー法・GDPR・忘れられる権利
今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
シラバス案 Ver.0.1（2026年8月31日公表）の『7-29-1 個人情報保護・プライバシー保護に関する法規・ガイドライン』
最終更新
よく出る形
- 問われるとしたら：事例で、GDPR（EU の個人データ保護の規則）が適用される場合を選ぶ形
- 問われるとしたら：忘れられる権利（消去権）の説明を選ぶ形
- 問われるとしたら：マイナンバー（個人番号）の取扱いの a〜c の組合せの形
- 問われるとしたら：特定個人情報に当たる物を選ぶ形
覚えること
- マイナンバー法：行政手続における特定の個人を識別するための番号の利用等に関する法律
- 個人番号（マイナンバー）：住民票コードを変換して得られ、住民票に係る者を識別するために指定される番号
- 個人番号の指定：市町村長が個人番号を指定して、本人に通知する
- 個人番号の変更：漏えいして不正に使われるおそれがあるとき、市町村長が、本人の請求または職権で新しい番号に代える
- マイナンバー制度の目的：行政運営の効率化、給付と負担の公正の確保、手続の簡素化による利便性の向上
- 利用を進める分野：社会保障、税、災害対策など
- 特定個人情報：個人番号を内容に含む個人情報
- 特定個人情報の提供：法律で認められた場合を除き、何人も提供してはならない
- 個人番号の提供の要求：法律で認められた場合を除き、同一世帯でない他人に求めてはならない
- 事業者による利用：税や社会保障の法令で書類に番号を記載する事務など、法令で定めた事務に必要な範囲に限る
- GDPR（一般データ保護規則）：EU が定めた、個人データの取扱いと保護、自由な移転についての規則
- データ主体：個人データによって識別される、または識別できる自然人（個人）
- GDPR の適用：EU 域内に拠点がなくても、域内の人に商品やサービスを提供する場合などに適用される
- 忘れられる権利（消去権）：目的に不要になった、同意を撤回した、違法に取り扱われたなどのとき、消去を求められる
- 忘れられる権利の例外：表現の自由、法的義務の遵守、公衆衛生などのために必要な取扱いには、及ばない
- 参考：今のシラバスの用語例にある「仮名化」「匿名化」は、案の用語例にない
ひっかけ
- 特定個人情報は個人番号を含む個人情報。運転免許証番号などを含むだけの情報は当たらない
- 個人番号を求められるのは法律で認められた場合だけで、会員確認などの目的では求められない
- 忘れられる権利は、どんな場合でも消去を求められる権利ではなく、例外がある
- GDPR は、日本の会社でも、EU 域内の人に商品やサービスを提供すれば対象になる
想定問題
4問（四肢択一）。選ぶと、その場で正解と解説が開きます。
A 社が GDPR の対象になるかどうかの考え方として、最も適切なものはどれか。
日本の A 社は、EU 域内に支社や事務所を持っていない。A 社は、自社の通信販売サイトで、EU 域内に住む人にも商品を販売し、注文を受けるために氏名や住所を取得している。
正解：エ EU 域内の人に商品を提供しているので、域内に拠点がなくても、対象になる。
ポイント
EU 域内に拠点がない日本の会社に、GDPR が適用されるかを問う問題です。
考え方と解き方
GDPR は、拠点の場所だけでなく、EU 域内の人に何をしているかで適用が決まります。「日本の会社だから対象外」と考えると、域内の人へ商品を提供している事例で誤ります。
- GDPR は、EU 域内に拠点がない事業者でも、域内の人に商品やサービスを提供する場合などに適用されます。
- 事例の A 社は、EU 域内の人に商品を販売し、その個人データを取得しているので、拠点がなくても対象になります。
- したがって、最も適切なのは エ です。
ほかの選択肢
- ア 拠点がなくても、域内の人に商品やサービスを提供していれば、対象になります。
- イ 行動の監視だけでなく、商品やサービスの提供でも対象になります。事例は商品の提供に当たります。
- ウ 適用は、日本の法律で扱っているかどうかでは決まりません。EU 域内の人への商品やサービスの提供などで決まります。
覚えておくこと
- GDPR（一般データ保護規則）：EU が定めた、個人データの取扱いと保護、自由な移転についての規則
- GDPR の適用：EU 域内に拠点がなくても、域内の人に商品やサービスを提供する場合などに適用される
（テーマ・覚えること）
GDPR の忘れられる権利（消去の権利）に関する記述として、最も適切なものはどれか。
正解：ア 個人データが、収集された目的に対して必要なくなった場合などに、本人が消去を求められる。
ポイント
忘れられる権利（消去の権利）が使える場面と、その例外を問う問題です。
考え方と解き方
忘れられる権利は、消去を求められる場面が決まっていて、例外もあります。同意を得て集めた情報は消せない、と考えるとウを、行政機関だけの制度と考えるとイを選んで誤ります。
- GDPR の忘れられる権利（消去の権利）は、個人データが収集の目的に必要なくなった場合、同意を撤回した場合、違法に取り扱われた場合などに、本人が消去を求められる権利です。
- したがって、最も適切なのは ア です。
ほかの選択肢
- イ 消去を求められる場面は、保有者が行政機関かどうかでは決まりません。目的に不要になった場合などです。
- ウ 同意を撤回し、他に取扱いの根拠がなければ、同意を得て集めた個人データでも、消去を求められます。
- エ 表現及び情報伝達の自由の行使に必要な取扱いには、この権利は及びません。
覚えておくこと
- 忘れられる権利（消去権）：目的に不要になった、同意を撤回した、違法に取り扱われたなどのとき、消去を求められる
- 忘れられる権利の例外：表現の自由、法的義務の遵守、公衆衛生などのために必要な取扱いには、及ばない
（テーマ・覚えること）
A 社のマイナンバー（個人番号）の取扱いのうち、不適切なものだけを全て挙げたものはどれか。
A 社は、従業員に給与を支払う会社で、通信販売でポイントカードも発行している。
- a 従業員から、源泉徴収票を作る事務のために、本人の個人番号の提供を受けて、その事務に使う。
- b ポイントカードの会員の確認のために、会員に個人番号の提供を求め、その番号を会員番号として使う。
- c 従業員の個人番号が漏えいして不正に使われるおそれがあるとき、A 社が新しい個人番号を指定して、従業員に通知する。
正解：ウ b、c
ポイント
事業者がマイナンバーを求めてよい場合と、使ってよい事務を、a〜c で判定する問題です。
考え方と解き方
個人番号は、使ってよい事務と、番号を指定・変更する人が決まっています。会員確認のような独自の目的で番号を求める、事業者が番号を付け替える、と考えると誤ります。
- a は適切です。税の法令で書類に番号を記載する事務のために、従業員から提供を受けて使えます。
- b は不適切です。会員の確認は、法令で定めた事務ではないので、個人番号の提供を求められません。
- c は不適切です。個人番号の変更は、市町村長が本人の請求または職権で行い、事業者は新しい番号を指定できません。
- したがって、不適切なのは b、c で、ウ です。
ほかの選択肢
- ア 適切な a を挙げていて、不適切な c を挙げていません。
- イ 適切な a も挙げています。
- エ 不適切な b を挙げていません。
覚えておくこと
- 事業者による利用：税や社会保障の法令で書類に番号を記載する事務など、法令で定めた事務に必要な範囲に限る
- 個人番号の提供の要求：法律で認められた場合を除き、同一世帯でない他人に求めてはならない
- 個人番号の変更：漏えいして不正に使われるおそれがあるとき、市町村長が、本人の請求または職権で新しい番号に代える
（テーマ・覚えること）
特定個人情報に該当するものはどれか。
正解：イ 従業員の氏名と個人番号（マイナンバー）を記載した、事業者が保管する書類の情報
ポイント
特定個人情報がどんな情報かを、ほかの番号を含む情報と区別して問う問題です。
考え方と解き方
公的な番号なら全て特定個人情報、と考えると、ア・ウ・エを選びます。運転免許証番号、旅券番号、基礎年金番号は個人識別符号に当たる番号ですが、特定個人情報の条件は「個人番号を含む」ことです。
- 特定個人情報は、個人番号（マイナンバー）を内容に含む個人情報です。
- したがって、該当するのは イ です。
ほかの選択肢
- ア 運転免許証番号は個人識別符号ですが、個人番号ではないので、特定個人情報に当たりません。
- ウ 旅券番号も個人識別符号ですが、個人番号ではないので、特定個人情報に当たりません。
- エ 基礎年金番号も個人識別符号ですが、個人番号ではないので、特定個人情報に当たりません。
覚えておくこと
- 特定個人情報：個人番号を内容に含む個人情報
- 個人番号（マイナンバー）：住民票コードを変換して得られ、住民票に係る者を識別するために指定される番号
（テーマ・覚えること）
同じ分野のテーマ（セキュリティ・倫理）
- 情報セキュリティの脅威（なりすまし・ソーシャルエンジニアリング・シャドーIT）今の制度の過去問（3回分）では、脅威と脆弱性の用語、IoT 機器の脅威と対策、ダークウェブが、合わせて5問出ています。
- マルウェアの種類（ランサムウェア・トロイの木馬・スパイウェア）今の制度の過去問（3回分）では、ランサムウェアの説明が1問出ています。
- SQLインジェクション・XSS・DoS攻撃・パスワードリスト攻撃今の制度の過去問（3回分）では、バッファオーバーフローへの対策と、ゼロデイ攻撃・DDoS 攻撃・ブルートフォース攻撃の区別が、合わせて2問出ています。
- フィッシング・標的型攻撃・中間者攻撃とAIを悪用した攻撃今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方とマネジメント（機密性・完全性・可用性・ゼロトラスト）今の制度の過去問（3回分）では、3要素の区別、ゼロトラスト、ISMS の最初の手順、経営者の役割、インシデントの管理が、合わせて7問出ています。
- リスクアセスメント（情報資産台帳・リスク分析・リスク評価）今の制度の過去問（3回分）では、ISMS の活動としての、情報資産の洗い出しとリスクの特定・分析・評価が、1問出ています。
- リスク対応（リスク回避・移転・分散・保有）今の制度の過去問（3回分）では、リスク共有の例と、リスク対応の分類の記述が、合わせて2問出ています。
- 情報セキュリティポリシー・CSIRT・ISMAP・各種ガイドライン今の制度の過去問（3回分）では、情報セキュリティ方針の記述、ポリシーを作る作業の順番、CSIRT の活動の例が、合わせて3問出ています。
- マルウェア対策とランサムウェア対策（パターンマッチング・バックアップ）今の制度の過去問（3回分）では、ランサムウェア対策のバックアップが2問、マルウェア感染を防ぐ対策が1問、合わせて3問出ています。
- 暗号（共通鍵暗号・公開鍵暗号・ハッシュ関数）今の制度の過去問（3回分）では、共通鍵暗号方式と公開鍵暗号方式が2問、ハッシュ関数が1問、ブロックチェーンの適用例が1問、合わせて4問出ています。
- デジタル証明書・デジタル署名・PKI今の制度の過去問（3回分）では、PKI と認証局、CRL、デジタル署名、リスクベース認証が、合わせて5問出ています。
- 利用者認証（多要素認証・パスキー・ワンタイムパスワード）今の制度の過去問（3回分）では、利用者認証の用語の説明を選ぶ問題が1問、所有を使った認証の例を選ぶ問題が1問、合わせて2問出ています。
- 生体認証（顔認証・静脈認証・本人拒否率FRR・他人受入率FAR）今の制度の過去問（3回分）では、生体認証の例を選ぶ問題が1問、他人受入率と本人拒否率の関係を選ぶ問題が2問、合わせて3問出ています。
- 脆弱性対策とセキュリティ製品（ファイアウォール・WAF・IDS・IPS・EDR）今の制度の過去問（3回分）では、WAF と IDS の説明が、合わせて2問出ています。
- 情報モラルとネチケット（メール誤送信・BCC・デジタルタトゥー）今の制度の過去問（3回分）では、電子メールの宛先欄（Cc と Bcc）に関する問題が、合わせて2問出ています。
- フェイクニュースとデータの不正（ねつ造・盗用・エコーチェンバー）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- AI倫理とAIのリスク（ハルシネーション・説明可能なAI・生成AIの利用上の注意）今の制度の過去問（3回分）では、ハルシネーションと、AI を使うときの留意点が、合わせて2問出ています。
- 著作権・特許法・商標法・不正競争防止法（営業秘密）今の制度の過去問（3回分）では、著作権、産業財産権、不正競争防止法（限定提供データ）が、合わせて6問出ています。
- 労働基準法・労働契約法・36協定（労働時間と働き方）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 労働者派遣法・偽装請負・パワハラ防止法・公益通報者保護法今の制度の過去問（3回分）では、労働者派遣と偽装請負が、合わせて2問出ています。
- 特定商取引法・景品表示法・資金決済法（取引関連法規）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 民法と契約（請負契約・準委任契約・守秘契約NDA・ライセンス契約）今の制度の過去問（3回分）では、請負契約の注文者と請負業者の権利と義務が、1問出ています。
- AI基本法・デジタル社会形成基本法・リサイクル法（デジタル・環境関連法規）今の制度の過去問（3回分）では、官民データ活用推進基本法で、官民データを所有する組織を問う問題が、1問出ています。
- 個人情報保護法（個人データ・要配慮個人情報・匿名加工情報）今の制度の過去問（3回分）では、匿名加工情報の説明を選ぶ問題が、1問出ています。
- オプトイン・オプトアウト・第三者提供・データマスキング（同意の取得）今の制度の過去問（3回分）では、個人データの提供で本人の同意が要らない場合が、1問出ています。
- 不正アクセス禁止法（アクセス制御機能・不正アクセス行為）今の制度の過去問（3回分）では、不正アクセス禁止法で規制される行為を選ぶ問題が、1問出ています。
- ウイルス作成罪・サイバーセキュリティ基本法・特定電子メール法今の制度の過去問（3回分）では、サイバーセキュリティ基本法が2問、特定電子メール法が1問、合わせて3問出ています。