分野 L｜倫理・法規 重点分野
マイナンバー法・GDPR・JIS Q 15001
今の制度の過去問（6回分）では、特定個人情報ファイルの作成の制限を問う問題が1問出ています。
シラバス案 Ver.0.1（2026年9月30日公表）の『1 プライバシー保護に関する法規・ガイドライン／個人情報保護・プライバシー保護に関する法規・ガイドライン』
最終更新
問われ方
- 特定個人情報ガイドラインで、ファイルの作成が禁止される場合を選ぶ形
- 問われるとしたら：事例で、個人番号の利用と取扱いの判断を選ぶ形
- 問われるとしたら：GDPR の個人データ侵害の通知を選ぶ形
- 問われるとしたら：JIS Q 15001 などの用語の区別を選ぶ形
覚えること
- マイナンバー法：行政手続における特定の個人を識別するための番号の利用等に関する法律
- 特定個人情報：個人番号をその内容に含む個人情報
- 特定個人情報の適正な取扱いに関するガイドライン：個人情報保護委員会が定める。事業者編がある
- 特定個人情報は、法律に定める場合を除き、提供も、収集・保管もしてはならない
- 利用範囲：法律で定められた事務に必要な限度だけ。同意があっても、社員管理の番号には使えない
- 番号の提供を求める時期：原則、個人番号関係事務が発生した時点
- 本人確認：個人番号カードの提示、又は番号確認書類と身元確認書類の組合せ
- 特定個人情報ファイルは、個人番号関係事務に必要な範囲に限って作成できる
- 営業成績の管理など、事務に必要な範囲を超えるファイルは作成できない
- バックアップや突合用の明細表は作成できる。安全管理措置は必要
- 保管：事務で必要な間に限る。雇用契約が続く間は、必要な範囲で保管できる
- 廃棄：事務が不要になり、法定の保存期間が過ぎたら、できるだけ速やかに廃棄・削除
- 委託先の監督：適切な選定、安全管理措置を守らせる契約、取扱状況の把握
- 再委託は委託者の許諾が要る。再々委託も、最初の委託者の許諾が要る
- JIS Q 15001：個人情報保護マネジメントシステムの要求事項の規格。2023年に改正
- 一般データ保護規則（GDPR）：EU の個人データの取扱いと保護の規則。2018年5月25日から適用
- EU 域内に拠点がなくても、域内の人への商品・サービスの提供や行動の監視に関連すれば適用
- 個人データ侵害：気づいてから、実施可能なら遅くとも72時間以内に監督機関へ通知
- 遅れたら理由を添える。権利と自由へのリスクのおそれがなければ通知は不要
- 制裁金：2000万ユーロ以下、又は世界全体の売上総額の4％以下の高い方（事業の場合）
ひっかけ
- 本人の同意があっても、法律で定められた事務の範囲を超えて個人番号を使えない
- 営業成績管理用のファイルは作れないが、バックアップは作成できる
- GDPR は、EU 域内に拠点がない日本の会社にも適用されることがある
想定問題
4問（科目A（四択））。選ぶと、その場で正解と解説が開きます。
B さんの対応として、最も適切なものはどれか。
正解：ウ 個人番号は、法律で定められた事務の範囲で使い、社員管理の番号には使わない。
ポイント
個人番号を使える範囲が、法律で限られていることを問う問題です。
考え方と解き方
個人番号を使えるのは、番号法で定められた事務に必要な限度だけです。本人の同意や、利用目的に書き加えることでは、使える範囲は広がりません。この立場なら、使いたい用途が法律で定められた事務に当たるかを先に確かめます。
- 個人番号を使えるのは、源泉徴収票の作成などの個人番号関係事務に必要な限度です。社員の検索キーは、この事務に当たりません。
- 同意の署名、利用目的への追加、本人確認の済み具合では、この範囲は広がりません。したがって、最も適切なのは ウ です。
ほかの選択肢
- ア 本人が同意しても、法律で定められた事務の範囲を超えて個人番号を使うことはできません。
- イ 利用目的に加えて通知しても、使える事務は法律で限られています。社員管理の番号としては使えません。
- エ 本人確認は、個人番号を取得する時の手続きです。済んでいても、使える事務の範囲は変わりません。
覚えておくこと
- 利用範囲：法律で定められた事務に必要な限度だけ。同意があっても、社員管理の番号には使えない
（テーマ・覚えること）
C さんが取るべき対応として、最も適切なものはどれか。
正解：ア 実施可能なら、気づいてから遅くとも 72 時間以内に、監督機関へ通知する。
ポイント
GDPR の個人データ侵害の通知を問う問題です。
考え方と解き方
GDPR は、拠点がなくても、域内の人への商品の提供に関連する取扱いに適用されます。侵害のリスクのおそれがあれば、72 時間という目安で通知します。この立場なら、まず自社が GDPR の対象かを先に考えます。
- A 社は、EU 域内の人へ商品を提供しているので、拠点がなくても GDPR の適用を受けます。
- リスクのおそれがあるので、管理者は、実施可能なら気づいてから遅くとも 72 時間以内に監督機関へ通知します。したがって、最も適切なのは ア です。
ほかの選択肢
- イ 域内の人への商品の提供に関連する取扱いには、拠点がなくても適用されます。
- ウ 調査の完了を待たず、実施可能なら 72 時間以内に通知します。期限があります。
- エ 72 時間を過ぎる時は、遅れた理由を添えます。添えなくてよいわけではありません。
覚えておくこと
- EU 域内に拠点がなくても、域内の人への商品・サービスの提供や行動の監視に関連すれば適用
- 個人データ侵害：気づいてから、実施可能なら遅くとも72時間以内に監督機関へ通知
（テーマ・覚えること）
D さんの方針 a〜c のうち、適切なものだけを全て挙げたものはどれか。
- a 委託先の適切な選定、安全管理措置を守らせる契約の締結、取扱状況の把握を行う。
- b 委託先がさらに再委託する場合は、委託先の判断で行ってよいとする。
- c 委託先が再々委託する場合は、再委託先の許諾があれば、A 社の許諾は要らないとする。
正解：エ a
ポイント
特定個人情報を扱う事務を委託する時の、監督を問う問題です。
考え方と解き方
委託者は、委託先に自分が果たす安全管理措置と同等の措置を講じさせる必要があります。再委託や再々委託も、最初の委託者の許諾が要ります。管理者の立場では、委託先任せにせず、選定、契約、把握の3つを先に考えます。
- a は適切です。選定、契約、取扱状況の把握は、必要かつ適切な監督に含まれます。b は不適切です。再委託は、委託者の許諾を得た場合に限り行えます。c は不適切です。再々委託も、最初の委託者の許諾が必要です。
- したがって、適切なのは a の全てで、エ です。
ほかの選択肢
- ア b、c は、どちらも不適切です。
- イ b は不適切なので、a、b では組合せが合いません。
- ウ c は不適切なので、a、c では組合せが合いません。
覚えておくこと
- 委託先の監督：適切な選定、安全管理措置を守らせる契約、取扱状況の把握
- 再委託は委託者の許諾が要る。再々委託も、最初の委託者の許諾が要る
（テーマ・覚えること）
JIS Q 15001 の説明として、最も適切なものはどれか。
正解：イ 個人情報を保護するためのマネジメントシステムの要求事項を定めた規格
ポイント
JIS Q 15001 の位置づけを、似た文書と取りちがえずに選ぶ問題です。
考え方と解き方
文書の種類で区別します。JIS Q 15001 は、個人情報を保護するマネジメントシステムの要求事項の規格です。法令のガイドライン、EU の規則、番号法の手順とは別の物です。
- JIS Q 15001 は、個人情報保護マネジメントシステムの要求事項を定めた規格で、2023年に改正されています。
- 他の説明は、別の文書の説明です。したがって、最も適切なのは イ です。
ほかの選択肢
- ア 法令の条文を解釈して示す政府の文書は、ガイドラインの説明です。規格ではありません。
- ウ EU が定めた、域内の個人データの規則は、GDPR の説明です。
- エ 特定個人情報の取扱いの手順は、番号法に基づくガイドラインで示されます。それは JIS Q 15001 の説明ではありません。
覚えておくこと
- JIS Q 15001：個人情報保護マネジメントシステムの要求事項の規格。2023年に改正
- 一般データ保護規則（GDPR）：EU の個人データの取扱いと保護の規則。2018年5月25日から適用
（テーマ・覚えること）
このテーマの過去問
過去問を解く（1問）同じ分野のテーマ（倫理・法規）
- 情報倫理・情報モラル（メール誤送信・フェイクニュース）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- AI倫理とAIガバナンス（XAI・HITL・AI利用ポリシー）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- AIのリスクと脅威（ハルシネーション・シャドーAI・機密入力）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 著作権法（著作権・引用）今の制度の過去問（6回分）では、プログラム作成を委託した時の著作権の原始的帰属を問う問題が1問出ています。
- 労働基準法・労働者派遣法・公益通報者保護法今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 不正競争防止法（営業秘密の3要件・限定提供データ）今の制度の過去問（6回分）では、社外秘情報の持出しを防ぐ対策として、情報の管理レベルのラベル付けを選ぶ問題が1問出ています。
- 請負・準委任・外部委託契約とNDA・ライセンス契約今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- デジタル関連法規（AI基本法・電子帳簿保存法）と標準化今の制度の過去問（6回分）では、電子署名法の電子署名の効力を問う問題が1問出ています。
- 個人情報保護法（個人情報・個人データ・要配慮個人情報）今の制度の過去問（6回分）では、個人情報保護法が保護の対象とする個人情報の範囲を問う問題が1問出ています。
- プライバシー保護の手法（オプトイン・匿名化・PIA）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 刑法（ウイルス作成罪など）と不正アクセス禁止法今の制度の過去問（6回分）では、刑法の電子計算機損壊等業務妨害に当たる行為と、マルウェアによる被害を処罰する法律を選ぶ問題が、あわせて2問出ています。
- サイバーセキュリティ基本法・特定電子メール法・能動的サイバー防御今の制度の過去問（6回分）では、特定電子メール法が2問、サイバーセキュリティ基本法に基づく組織が1問出ています。