個人情報保護法の枠組み — 規制対象と保護データの定義
頻出約 35 分5 用語過去問 13 題
この単元の目標
- 個人情報取扱事業者 と 個人情報保護委員会 の立場の違いを説明できる。
- ある情報が個人情報に当たるかを、本人を特定できるか (容易に照合 できる場合や 個人識別符号 を含む場合を含む) で判断できる。
- 要配慮個人情報 と 匿名加工情報 で、扱いの決まりが通常の個人情報からどう変わるかを区別できる。
用語総表（5 語）
用語
個人情報取扱事業者 は、個人情報データベース等 (検索できるように整理した個人情報の集まり) を事業に使う者で、個人情報保護法の義務を直接負う。
取得するときは利用目的を特定して本人に通知または公表し、保管中は漏えいなどを防ぐ 安全管理措置 を講じる (従業者や委託先の監督を含む)。本人から求められれば、保有している本人の情報の開示や訂正に応じる。報道機関が報道のために扱う場合のように、特定の主体が特定の目的で扱うときは義務が適用されない例外もある。
たとえ合鍵を預かる管理人に似ている。預かった目的にだけ使い、なくさないよう保管し、原則として持ち主の断りなく他人へ渡さない。
覚え方平成27年改正 (2017年施行) で、扱う人数が少ない事業者も対象に入った。
出題のポイント
- 出題現行法でも国の機関などは 個人情報取扱事業者 から除かれる。令和3年改正前は独立行政法人等も含め公的な主体が除かれ、別の法律や条例で規律されていたが、改正で一本化され、一部の法人は民間と同じ規律に移った。
- 出題第三者提供 は原則として本人の同意が要る。法令に基づく場合や、人の生命・身体・財産の保護に必要で同意を得にくい場合などのほか、利用目的の達成に必要な範囲で取扱いを委託する場合も同意は要らない。
- 出題利用目的は、変更前の目的と関連すると合理的に認められる範囲でだけ変更でき、変えたときは変更後の目的を本人に通知するか公表する。その範囲を超えて使うには、あらかじめ本人の同意が要る。
この用語の過去問 3 題 個人情報取扱事業者 →
個人情報保護委員会 は、個人情報保護法に基づいて事業者による個人情報の扱いを監督する、独立性の高い国の機関である。
事業者に報告を求めたり立入検査をしたりでき、必要に応じて指導・助言を行い、違反があれば勧告・命令で是正させる。法律の運用を具体的に示すガイドラインを定めるほか、マイナンバー (個人番号) の扱いの監視・監督も受け持つ。
たとえスポーツの審判のように、自分はプレーせず、選手が決まりを守っているかを見て、反則には注意や是正の指示を出す。
覚え方2016年1月に発足し、内閣府の外局に置かれている。
出題のポイント
- 混同注意個人情報保護委員会 は法律に基づいて事業者を監督する国の機関である。プライバシーマーク は民間の団体が事業者の個人情報の管理体制を審査して付与する制度で、仕組みが別である。
この用語の過去問 1 題 個人情報保護委員会 →
「個人情報取扱事業者」と「個人情報保護委員会」の違い
個人識別符号 は、氏名などと組み合わせなくても、それ単体で特定の個人を識別できるとして法令で定められた符号で、これを含む情報は個人情報になる。
例えば、顔や指紋の特徴を照合用にデータ化したものや、旅券番号やマイナンバーのように、公的な制度で個人に割り当てられ、法令で個別に指定された番号が当たる。個人情報は生存する個人に関する情報で、氏名などで本人が分かるもののほか、個人識別符号を含むものも当たる。
覚え方平成27年改正 (2017年施行) で新しく設けられ、個人情報に当たるかがあいまいだった情報の範囲をはっきりさせた。
出題のポイント
- 出題ほかの情報と 容易に照合 して本人が分かる情報は個人情報に含まれる。照合の手がかりがなく誰のものか分からない情報は含まれない。
- 出題文字の記録に限らず、本人と分かる画像や音声も個人情報になる。すでに公開されている情報でも、特定の個人が分かれば個人情報である。
- 混同注意携帯電話番号やメールアドレスは、個人識別符号として定められていない。ただし氏名などと結び付いて本人が分かれば、個人情報になる。
この用語の過去問 2 題 個人識別符号 →
要配慮個人情報 は、本人への不当な差別や偏見が生じないよう、扱いに特に配慮が要るとして法令で定めた個人情報である。
例えば、人種、信条、社会的身分、病歴、犯罪の経歴、犯罪の被害を受けた事実などが含まれる。取得するには原則として本人の同意が必要で、本人が拒まない限り提供できる オプトアウト の方式では第三者に提供できない。
たとえ診察室での会話のように、外に漏れると本人が差別や偏見を受けかねない話題。聞く前に断りを入れ、勝手に人に回さない。
覚え方「要配慮」は「配慮を要する」と読む。
出題のポイント
- 出題要配慮個人情報 に当たるのは、差別や偏見のもとになりうるとして法令が挙げた事項で、信条や病歴がその代表である。
- 混同注意個人識別符号 は単体で本人を識別できるとして法令が指定した符号で、要配慮個人情報 は差別や偏見のもとになりうるとして法令が挙げた事項を含む個人情報である。指紋のデータは前者、病歴は後者に当たる。
この用語の過去問 1 題 要配慮個人情報 →
匿名加工情報 は、特定の個人を識別できないように個人情報を加工し、元の個人情報に戻せないようにした情報である。
作るときは、法令の基準に従い、氏名などの記述の削除や置き換え、個人識別符号の削除などの措置をとる。作成や提供の際に含まれる情報の項目を公表するなどの決まりを守れば、本人の同意なしに第三者へ提供でき、統計や分析に生かせる。作った側も受け取った側も、元の本人を割り出そうとする 識別行為 をしてはならない。
たとえアンケート用紙から記名欄を切り取り、筆跡も分からないよう清書し直したうえで、集計担当に回すようなもの。
覚え方「匿名」に「加工」が付く名前のとおり、名前を消すだけでなく基準どおりの加工まで済ませて初めてこの扱いになる。
出題のポイント
- 出題匿名加工情報 は、特定の個人を識別できず元の個人情報にも戻せないように加工されている。作成と提供の決まりを守れば、本人の同意を得ずに第三者へ提供できる。
この用語の過去問 1 題 匿名加工情報 →
要点
- 個人情報取扱事業者 は個人情報データベース等を事業に使う者で、規模や営利・非営利を問わず法の義務を負う。
- 個人情報保護委員会 は事業者に報告を求め、立入検査や指導、勧告・命令を行う国の監督機関である。
- 個人情報は生存する個人に関する情報で特定の個人が分かるものをいい、ほかの情報と容易に照合して分かるものや 個人識別符号 を含むものも当たる。
- 要配慮個人情報 は取得に原則として本人の同意が要り、オプトアウトによる第三者提供はできない。
- 匿名加工情報 は決まりを守れば本人の同意なしに提供できるが、元の本人を割り出す識別行為は禁止される。
この分野の過去問をすべて見る →