分野 L｜倫理・法規 重点分野
個人情報保護法（個人情報・個人データ・要配慮個人情報）
今の制度の過去問（6回分）では、個人情報保護法が保護の対象とする個人情報の範囲を問う問題が1問出ています。
シラバス案 Ver.0.1（2026年9月30日公表）の『1 プライバシー保護に関する法規・ガイドライン／個人情報保護・プライバシー保護に関する法規・ガイドライン』
最終更新
問われ方
- 個人情報の範囲（生存する個人に関する情報など）の記述を選ぶ形
- 問われるとしたら：個人データか保有個人データかを、事例から選ぶ形
- 問われるとしたら：要配慮個人情報を取得する場面の対応を選ぶ形
- 問われるとしたら：委託先の監督など、安全管理措置の対応を選ぶ形
- 問われるとしたら：仮名加工情報と匿名加工情報の説明を選ぶ形
覚えること
- 個人情報：生存する個人に関する情報で、特定の個人を識別できるもの（死者の情報は含まない）
- 他の情報と容易に照合して識別できるものも含む。国籍や秘密かどうかは問わない
- 個人識別符号：それだけで個人情報となる、政令で定める符号
- 例は、顔・指紋・DNA の特徴を変換した符号と、旅券番号、運転免許証番号
- 要配慮個人情報：人種、信条、病歴、犯罪の経歴など、不当な差別や偏見を生じさせないよう配慮を要するもの
- 要配慮個人情報は、あらかじめ本人の同意を得ないで取得してはならない（例外あり）
- 個人情報データベース等：個人情報を検索できるように体系的に構成したもの
- 個人データ：個人情報データベース等を構成する個人情報
- 保有個人データ：個人データのうち、事業者が開示や訂正などの権限をもつもの
- 個人情報取扱事業者：個人情報データベース等を事業の用に供している者（国の機関などは除く）
- 安全管理措置：個人データの漏えい・滅失・毀損の防止のため、必要かつ適切な措置を講じる義務
- 措置の柱：基本方針、取扱規律、組織的・人的・物理的・技術的な措置、外的環境の把握
- 委託先の監督：委託元が、委託先の選定、契約での取り決め、取扱状況の把握を行う
- 個人情報保護委員会への報告と本人への通知：要配慮個人情報を含む漏えい等などで必要
- 仮名加工情報：他の情報と照合しなければ、特定の個人を識別できないよう加工した情報
- 仮名加工情報は、本人を識別するための照合が禁止され、第三者提供も原則できない
- 匿名加工情報：特定の個人を識別できず、元の個人情報を復元できないよう加工した情報
- 匿名加工情報は、項目と方法の公表、提供先への明示を行えば、同意なしで提供できる
- 参考：令和8年改正法は7月10日に成立、7月17日に公布。施行は原則、公布から2年以内の政令で定める日
- 参考：統計作成等の同意の例外、漏えい時の本人通知の緩和、16歳未満の法定代理人などが加わる
ひっかけ
- 個人データ（検索できる形）と保有個人データ（開示などの権限あり）の取りちがえ
- 仮名加工情報（照合すれば識別できる）と匿名加工情報（復元できない）の取りちがえ
想定問題
4問（科目A（四択））。選ぶと、その場で正解と解説が開きます。
B 課長が、病歴を取得する前に行う対応として、最も適切なものはどれか。
A 社の会員サービスを担当する営業部の B 課長は、会員の氏名と連絡先を登録した会員データベースに、会員がこれまでにかかった病気（病歴）の情報を加え、商品の提案に使おうとしている。この病歴は、会員が申し込みの時に伝えたものではなく、アンケートで新たに尋ねて得るもので、法令に基づいて集める情報でもない。
正解：イ 病歴は要配慮個人情報に当たるので、取得する前に本人の同意を得る
ポイント
要配慮個人情報を取得する場面で、適切な対応を選ぶ問題です。
考え方と解き方
病歴などの要配慮個人情報は、不当な差別や偏見につながりやすいため、取得そのものに本人の同意が要ります。利用部門の責任者の立場なら、使い方を考える前に、取得してよい根拠があるかを先に考えます。利用目的を知らせることと、同意を得ることを取りちがえやすい所です。
- 病歴は要配慮個人情報です。要配慮個人情報は、法令に基づく場合などの例外を除き、あらかじめ本人の同意を得ないで取得してはなりません。
- 法令に基づく収集でもなく、例外にあたる事情も書かれていません。したがって、最も適切なのは イ です。
ほかの選択肢
- ア 利用目的の通知は、同意の代わりになりません。要配慮個人情報は、あらかじめ本人の同意を得て取得するので、適切ではありません。
- ウ 個人識別符号は、身体の特徴を変換した符号や割り当てられた番号などで、病歴は含まれません。病歴は要配慮個人情報です。
- エ 保有個人データは、事業者が開示などの権限をもつ個人データで、取得する情報の区分ではありません。取得の前に必要なのは、本人の同意です。
覚えておくこと
- 要配慮個人情報：人種、信条、病歴、犯罪の経歴など、不当な差別や偏見を生じさせないよう配慮を要するもの
- 要配慮個人情報は、あらかじめ本人の同意を得ないで取得してはならない（例外あり）
（テーマ・覚えること）
個人情報保護法の用語の説明として、適切なものはどれか。
正解：エ 個人データのうち、事業者が開示や訂正などの権限をもつものを、保有個人データという。
ポイント
個人情報データベース等・個人データ・保有個人データの関係を問う問題です。
考え方と解き方
3つの用語は、情報の集まり方と、事業者の権限で段階が分かれます。個人情報から個人データ、保有個人データの順に、範囲が絞られると覚えます。『散在』『全て』『同意』の語が、取りちがえの元になります。
- 個人情報データベース等を構成する個人情報が、個人データです。そのうち、事業者が開示、訂正、利用停止などの権限をもつものが、保有個人データです。
- したがって、最も適切なのは エ です。
ほかの選択肢
- ア 個人データは、個人情報データベース等を構成する個人情報です。構成しない散在した個人情報は、個人データではありません。
- イ 保有個人データは、同意の有無ではなく、事業者が開示や訂正などの権限をもつかで決まります。
- ウ 個人情報データベース等は、検索できるように体系的に構成したものです。紙の書類の全てが当たるわけではありません。
覚えておくこと
- 個人情報データベース等：個人情報を検索できるように体系的に構成したもの
- 個人データ：個人情報データベース等を構成する個人情報
- 保有個人データ：個人データのうち、事業者が開示や訂正などの権限をもつもの
（テーマ・覚えること）
手引きの記述 a〜c のうち、適切なものだけを全て挙げたものはどれか。
情報セキュリティ管理者の B さんは、部門向けの手引きに、個人情報保護法の用語の説明を次の a〜c のとおり書いた。
- a 仮名加工情報は、他の情報と照合しなければ特定の個人を識別できないように、個人情報を加工して得た情報である。
- b 匿名加工情報は、特定の個人を識別できず、元の個人情報を復元できないように、個人情報を加工して得た情報である。
- c 顔の容貌を電子計算機で扱えるように変換した符号は、個人識別符号に当たらない。
正解：ア a、b
ポイント
仮名加工情報・匿名加工情報・個人識別符号の説明の適切さを問う問題です。
考え方と解き方
仮名加工情報は、他の情報と照合すれば識別できる余地が残る点で、匿名加工情報と区別します。個人識別符号は、身体の特徴を変換した符号が代表例です。
- a は適切です。他の情報と照合しなければ個人を識別できないのは、仮名加工情報です。b は適切です。復元できないよう加工するのは、匿名加工情報です。c は不適切です。顔の容貌を変換した符号は、個人識別符号に当たります。
- したがって、適切なのは a、b の全てで、ア です。
ほかの選択肢
- イ c は不適切なので、a、b、c の全てとはなりません。顔の容貌を変換した符号は、個人識別符号に当たります。
- ウ c は不適切です。また、b も適切なので、a、c では組合せが合いません。
- エ c は不適切なので含められません。また、a も適切なので、b、c では組合せが合いません。
覚えておくこと
- 仮名加工情報：他の情報と照合しなければ、特定の個人を識別できないよう加工した情報
- 匿名加工情報：特定の個人を識別できず、元の個人情報を復元できないよう加工した情報
- 例は、顔・指紋・DNA の特徴を変換した符号と、旅券番号、運転免許証番号
（テーマ・覚えること）
C 課長の対応として、最も適切なものはどれか。
A 社の通信販売部門の C 課長は、顧客の氏名・住所・注文内容を含む個人データを使う商品の発送作業を、外部の事業者に委託することにした。C 課長は、委託元として、個人データの安全管理のために何をするかを決める立場にある。
正解：ウ 委託先の選定、契約での取扱いの取り決め、取扱状況の把握で、必要かつ適切な監督をする
ポイント
個人データの取扱いを委託する場面で、委託元がすべき対応を問う問題です。
考え方と解き方
個人データの取扱いを委託しても、委託元の責任はなくなりません。委託は、本人の同意が要る第三者提供とも別の仕組みです。委託元の立場なら、渡す前に、委託先を選び、取り決め、状況を把握する流れを先に考えます。
- 個人データの取扱いを委託する場合、委託元は、委託先に対して必要かつ適切な監督を行う義務があります。
- 監督は、委託先の選定、契約での取扱いの取り決め、取扱状況の把握などで行います。したがって、最も適切なのは ウ です。
ほかの選択肢
- ア 選定の時の確認だけでは足りません。契約後も、取扱状況を把握して監督を続けます。
- イ 委託は、本人の同意が要る第三者提供とは別の仕組みです。同意を得ても、委託先の監督の義務はなくなりません。
- エ 委託先がどのような事業者でも、委託元の監督の義務は残ります。委託先が義務を負うからといって、委託元の義務はなくなりません。
覚えておくこと
- 安全管理措置：個人データの漏えい・滅失・毀損の防止のため、必要かつ適切な措置を講じる義務
- 委託先の監督：委託元が、委託先の選定、契約での取り決め、取扱状況の把握を行う
（テーマ・覚えること）
このテーマの過去問
過去問を解く（1問）同じ分野のテーマ（倫理・法規）
- 情報倫理・情報モラル（メール誤送信・フェイクニュース）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- AI倫理とAIガバナンス（XAI・HITL・AI利用ポリシー）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- AIのリスクと脅威（ハルシネーション・シャドーAI・機密入力）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 著作権法（著作権・引用）今の制度の過去問（6回分）では、プログラム作成を委託した時の著作権の原始的帰属を問う問題が1問出ています。
- 労働基準法・労働者派遣法・公益通報者保護法今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 不正競争防止法（営業秘密の3要件・限定提供データ）今の制度の過去問（6回分）では、社外秘情報の持出しを防ぐ対策として、情報の管理レベルのラベル付けを選ぶ問題が1問出ています。
- 請負・準委任・外部委託契約とNDA・ライセンス契約今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- デジタル関連法規（AI基本法・電子帳簿保存法）と標準化今の制度の過去問（6回分）では、電子署名法の電子署名の効力を問う問題が1問出ています。
- マイナンバー法・GDPR・JIS Q 15001今の制度の過去問（6回分）では、特定個人情報ファイルの作成の制限を問う問題が1問出ています。
- プライバシー保護の手法（オプトイン・匿名化・PIA）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 刑法（ウイルス作成罪など）と不正アクセス禁止法今の制度の過去問（6回分）では、刑法の電子計算機損壊等業務妨害に当たる行為と、マルウェアによる被害を処罰する法律を選ぶ問題が、あわせて2問出ています。
- サイバーセキュリティ基本法・特定電子メール法・能動的サイバー防御今の制度の過去問（6回分）では、特定電子メール法が2問、サイバーセキュリティ基本法に基づく組織が1問出ています。