分野 L｜倫理・法規 重点分野
プライバシー保護の手法（オプトイン・匿名化・PIA）
今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
シラバス案 Ver.0.1（2026年9月30日公表）の『2 プライバシー保護に関する手法・技法／個人情報保護・プライバシー保護に関する手法・技法』
最終更新
問われ方
- 問われるとしたら：第三者提供で本人の同意が要る場面を選ぶ形
- 問われるとしたら：オプトアウトで提供できる場合・できない場合を選ぶ形
- 問われるとしたら：目的と条件に合う加工の手法（削除・コーディング）を選ぶ形
- 問われるとしたら：表の組合せの件数から、k-匿名性を満たす加工を選ぶ形
覚えること
- 第三者提供：個人データを提供元と本人以外の者へ渡すこと。原則、本人の同意が要る
- 委託、事業承継、共同利用に伴う提供は、第三者提供に当たらない
- オプトイン：事前に本人が同意の意思を示して初めて、提供や送信を行う方式
- オプトアウト：本人の求めがあれば提供を停止する前提で、同意なく提供する方式
- 提供するには、本人への通知又は容易に知り得る状態にし、委員会へ届け出る
- 要配慮個人情報と、不正に取得された個人データは、オプトアウトで提供できない
- 外国にある第三者への提供は、原則、外国への提供を認める本人の同意が要る
- プライバシー影響評価（PIA）：個人情報等の収集を伴う事業の開始や変更の際に、事前にリスクを評価する手法
- PIA の流れ：準備、リスクの特定・評価、リスクの低減
- 用語例：プライバシーフレームワーク、情報漏えい対策、データマスキング、電子透かし
- 項目削除は列、レコード削除は特定個人の全情報、セル削除は特定の1つの値を削除
- トップ（ボトム）コーディング：極端に大きい（小さい）値をまとめる。例は「80歳以上」
- 一般化：上位概念や丸めた数値に置き換える加工
- k-匿名性：同じ属性をもつデータが k 件以上ある状態。個人が特定される確率を k 分の 1 以下にできる
- k-匿名化：その状態になるようにデータを加工すること
- 参考：改正法の施行後は、統計作成等のみの提供は同意不要。顔特徴データ等はオプトアウト不可
ひっかけ
- オプトイン（事前の同意）とオプトアウト（停止の求めで止める）の取りちがえ
- 項目削除（列）、レコード削除（行）、セル削除（1つの値）の取りちがえ
想定問題
4問（科目A（四択））。選ぶと、その場で正解と解説が開きます。
B 課長の対応として、最も適切なものはどれか。
A 社の企画部の B 課長は、保有する顧客の個人データを、提携先の C 社の商品の案内に使う目的で、C 社へ第三者提供することを計画している。提供する個人データには、顧客から聞き取った信条が含まれている。C 社は国内の事業者で、A 社は、本人の求めがあれば提供を停止する体制を整えている。
正解：ウ 信条を含む個人データはオプトアウトでは提供できないので、本人の同意を得て提供する
ポイント
要配慮個人情報を含む個人データを、第三者提供する場面の対応を問う問題です。
考え方と解き方
オプトアウトは、本人の同意なしに提供できる例外の仕組みですが、使えない情報があります。要配慮個人情報は、その対象外です。企画部の責任者の立場なら、提供の方式を決める前に、提供する情報の中身を先に確かめます。
- 本人の同意なしに提供できるオプトアウトは、提供を停止する体制を整え、通知又は容易に知り得る状態に置いたうえで、委員会に届け出ることが条件です。ただし、要配慮個人情報は対象になりません。
- 信条は要配慮個人情報なので、原則どおり、本人の同意を得て提供します。したがって、最も適切なのは ウ です。
ほかの選択肢
- ア 要配慮個人情報は、オプトアウトによる提供の対象外です。体制と届出が整っていても、信条を含めて同意なく提供はできません。
- イ 提携先でも、A 社と別の事業者であれば第三者です。委託や共同利用などに当たる事情も書かれていません。
- エ 提供先が国内の事業者であることは、同意が要らない理由になりません。国内か外国かは、外国にある第三者への提供の制限を考える場面の区別です。
覚えておくこと
- 第三者提供：個人データを提供元と本人以外の者へ渡すこと。原則、本人の同意が要る
- 提供するには、本人への通知又は容易に知り得る状態にし、委員会へ届け出る
- 要配慮個人情報と、不正に取得された個人データは、オプトアウトで提供できない
（テーマ・覚えること）
D さんが年齢の列に行う加工として、最も適切なものはどれか。
C 社のデータ分析担当の D さんは、会員の年齢、居住地域、購入額を、外部の研究者に渡して分析してもらう。氏名と会員番号は、既に削除してある。会員の中に年齢が 95 歳の人が 1 人だけおり、年齢と居住地域から本人が分かるおそれがある。分析では、全会員の記録と、年齢・居住地域の両方の列を使う必要がある。
正解：ア 80 歳以上の年齢を「80 歳以上」にまとめる（トップコーディング）
ポイント
分析の条件に合う加工の手法を選ぶ問題です。
考え方と解き方
加工の手法は、どの値や行や列を、どう変えるかで区別します。この事例は、全ての記録と2つの列を残す条件があるので、削除する手法は使えません。この立場なら、条件を満たす手法かを先に考えます。
- 極端に高い年齢は、トップ（ボトム）コーディングで、極端に大きい値をまとめて置き換えます。全会員の記録も、2つの列も残せるので、条件を満たします。
- レコード削除は記録を、項目削除は列を失うので、条件を満たしません。したがって、最も適切なのは ア です。
ほかの選択肢
- イ レコード削除は、特定の個人の全情報を削除する手法です。全会員の記録を使う条件に合いません。
- ウ 項目削除は、年齢の列そのものを削除します。年齢の列を使う条件に合いません。
- エ 項目削除で居住地域の列を削除すると、居住地域の列を使う条件に合いません。
覚えておくこと
- トップ（ボトム）コーディング：極端に大きい（小さい）値をまとめる。例は「80歳以上」
- 項目削除は列、レコード削除は特定個人の全情報、セル削除は特定の1つの値を削除
（テーマ・覚えること）
手引きの記述 a〜c のうち、適切なものだけを全て挙げたものはどれか。
情報セキュリティ管理者の B さんは、部門向けの手引きに、プライバシー保護の手法の説明を次の a〜c のとおり書いた。
- a 個人データの取扱いを外部の事業者に委託することは、第三者提供に当たるので、原則、本人の同意が要る。
- b PIA は、個人情報等の収集を伴う事業の開始や変更の際に、プライバシー侵害のリスクを事前に評価する手法である。
- c オプトインは、事前に本人が同意の意思を示して初めて、提供や送信を行う方式である。
正解：エ b、c
ポイント
第三者提供、PIA、オプトインの説明の適切さを問う問題です。
考え方と解き方
委託は、第三者提供と別の仕組みです。PIA は事業の前に行い、オプトインは事前の同意を前提にします。『事後』『当たる』のような、条件を入れ替えた語に注意します。
- a は不適切です。委託に伴う提供は、第三者提供に当たらないものとされています。b は適切です。PIA は、事業の開始や変更の際に、事前にリスクを評価します。c は適切です。オプトインは、事前に同意を得てから行う方式です。
- したがって、適切なのは b、c の全てで、エ です。
ほかの選択肢
- ア a は不適切なので含められません。また、c も適切なので、a、b では組合せが合いません。
- イ a は不適切なので、a、b、c の全てとはなりません。委託は第三者提供に当たりません。
- ウ a は不適切なので含められません。また、b も適切なので、a、c では組合せが合いません。
覚えておくこと
- 委託、事業承継、共同利用に伴う提供は、第三者提供に当たらない
- プライバシー影響評価（PIA）：個人情報等の収集を伴う事業の開始や変更の際に、事前にリスクを評価する手法
- オプトイン：事前に本人が同意の意思を示して初めて、提供や送信を行う方式
（テーマ・覚えること）
表1の6件に対する処理のうち、加工後の表が 2-匿名性を満たすものはどれか。
E 社のデータ分析担当の F さんは、会員6人の年代と居住地域を含む表1を、外部に渡す前に加工する。年代と居住地域の組合せを手がかりに、個人が特定されることを防ぎたい。
| 会員 | 年代 | 居住地域 |
|---|---|---|
| 1 | 20代 | 東部 |
| 2 | 20代 | 東部 |
| 3 | 30代 | 東部 |
| 4 | 30代 | 西部 |
| 5 | 30代 | 西部 |
| 6 | 40代 | 西部 |
正解：イ 年代の列を、全て「全年代」に置き換える。
ポイント
表の値から、k-匿名性を満たす加工を選ぶ問題です。
考え方と解き方
k-匿名性は、同じ属性をもつデータが k 件以上ある状態です。2-匿名性なら、組合せごとの件数が全て 2 件以上でなければなりません。加工したあとの組合せごとの件数を数え、1 件の組合せが残らないかを確かめます。
- 元の表では、20代・東部が 2 件、30代・東部が 1 件、30代・西部が 2 件、40代・西部が 1 件です。1 件の組合せがあるので、2-匿名性を満たしていません。
- 年代を全て「全年代」にすると、東部が 3 件、西部が 3 件になり、全て 2 件以上です。したがって、最も適切なのは イ です。
ほかの選択肢
- ア 居住地域をまとめると、20代が 2 件、30代が 3 件、40代が 1 件になり、40代の 1 件が残ります。
- ウ 40代の行を削除すると、30代・東部の 1 件が残ります。
- エ 「30代以下」と「40代」にすると、40代・西部の 1 件が残ります。
覚えておくこと
- k-匿名性：同じ属性をもつデータが k 件以上ある状態。個人が特定される確率を k 分の 1 以下にできる
- k-匿名化：その状態になるようにデータを加工すること
（テーマ・覚えること）
同じ分野のテーマ（倫理・法規）
- 情報倫理・情報モラル（メール誤送信・フェイクニュース）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- AI倫理とAIガバナンス（XAI・HITL・AI利用ポリシー）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- AIのリスクと脅威（ハルシネーション・シャドーAI・機密入力）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 著作権法（著作権・引用）今の制度の過去問（6回分）では、プログラム作成を委託した時の著作権の原始的帰属を問う問題が1問出ています。
- 労働基準法・労働者派遣法・公益通報者保護法今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 不正競争防止法（営業秘密の3要件・限定提供データ）今の制度の過去問（6回分）では、社外秘情報の持出しを防ぐ対策として、情報の管理レベルのラベル付けを選ぶ問題が1問出ています。
- 請負・準委任・外部委託契約とNDA・ライセンス契約今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- デジタル関連法規（AI基本法・電子帳簿保存法）と標準化今の制度の過去問（6回分）では、電子署名法の電子署名の効力を問う問題が1問出ています。
- 個人情報保護法（個人情報・個人データ・要配慮個人情報）今の制度の過去問（6回分）では、個人情報保護法が保護の対象とする個人情報の範囲を問う問題が1問出ています。
- マイナンバー法・GDPR・JIS Q 15001今の制度の過去問（6回分）では、特定個人情報ファイルの作成の制限を問う問題が1問出ています。
- 刑法（ウイルス作成罪など）と不正アクセス禁止法今の制度の過去問（6回分）では、刑法の電子計算機損壊等業務妨害に当たる行為と、マルウェアによる被害を処罰する法律を選ぶ問題が、あわせて2問出ています。
- サイバーセキュリティ基本法・特定電子メール法・能動的サイバー防御今の制度の過去問（6回分）では、特定電子メール法が2問、サイバーセキュリティ基本法に基づく組織が1問出ています。