本ユニットでは、個人情報保護法の基礎となる『誰が義務を負うか』と『どのデータが守られるか』を学びます。義務主体である個人情報取扱事業者と、監督機関である個人情報保護委員会で枠組みの担い手を押さえ、個人識別符号・要配慮個人情報・匿名加工情報で保護対象データの種別を定義します。頻出分野で、後続ルールの前提となる重要単元です。
個人情報をデータベース化して事業に用いる、保護法の義務を負う主体。
個人情報取扱事業者とは、個人情報を検索できるように整理したデータベース(個人情報データベース等)を事業活動に利用している事業者のことで、個人情報保護法の義務を直接負う主体です。法人だけでなく個人事業主やNPOなども含まれ、扱う人数の多少にかかわらず対象となります。 この事業者には、利用目的の特定・通知、安全管理措置、第三者提供の制限、本人からの開示請求への対応などの義務が課されます。試験では『義務を負うのは誰か』を問う形で頻出で、国の行政機関は別の規律によるため通常この区分から除かれる点も押さえておきましょう。
たとえ顧客名簿という『個人情報の宝箱』を業務で使う人すべてが対象。宝箱を持つ以上、店の大小にかかわらず鍵をかけて守る責任(義務)を負う、というイメージです。
記憶フック個人情報取扱事業者といえば保護法の義務を負う主体
個人情報の適正な取扱いを監督する独立性の高い国の機関。
個人情報保護委員会は、個人情報保護法の運用を担う国の機関で、事業者を監督・指導する立場にあります。事業者への報告徴収や立入検査、指導・助言、勧告・命令などの権限を持ち、違反があれば是正を求めます。 また、法律の具体的な運用を示すガイドラインの策定や、マイナンバー(個人番号)制度の監視・監督も担います。試験では『監督機関は誰か』『義務主体(個人情報取扱事業者)と監督機関(委員会)の役割の違い』が問われます。事業者を取り締まる側が委員会、取り締まられる側が事業者、という対比で覚えましょう。
たとえ個人情報の取扱いを見張る『審判』のような存在。プレーヤー(事業者)がルールを守っているか監視し、反則には警告や命令を出す、公正を保つ役割です。
記憶フック個人情報保護委員会といえば個人情報を監督する国の機関
それ単体で特定の個人を識別できる、法で定めた符号やデータ。
個人識別符号とは、それ単体でも特定の個人を識別できるものとして法令で定められた文字・番号・記号などの符号です。これを含む情報は個人情報に該当します。 大きく2種類あり、第一に指紋・顔・虹彩・声紋・DNAなど身体的特徴をデータ化したもの、第二にマイナンバー・パスポート番号・運転免許証番号・基礎年金番号など個人ごとに割り振られた公的な番号です。試験では『氏名と組み合わせなくても、それだけで個人を識別できる』点がポイントで、要配慮個人情報との混同に注意します。生体情報や公的番号が出たら個人識別符号、と結び付けて覚えましょう。
たとえ指紋やマイナンバーのように、名前を言わなくても『これ一つで本人だと分かる』ID。会員証の番号だけで誰の口座か特定できる、まさに本人専用の目印です。
記憶フック個人識別符号といえば単体で個人を特定できる符号(生体情報・公的番号)
差別や偏見につながりうる、特に慎重な取扱いが必要な個人情報。
要配慮個人情報とは、本人の人種・信条・社会的身分・病歴・犯罪歴・犯罪被害の事実など、取扱いを誤ると差別や偏見につながりかねない、特に配慮を要する個人情報です。 通常の個人情報より厳しく扱われ、取得には原則として本人の同意が必要で、本人の同意を得ない第三者提供を簡便に行う『オプトアウト』方式は認められません。試験では『機微(センシティブ)な情報』として保護が強化される点、そして『単体で個人を識別する符号』である個人識別符号との違いが問われます。病歴や信条など中身が機微なものは要配慮、と区別して覚えましょう。
たとえ健康診断の結果や信仰のような『他人に知られたくない繊細な情報』。取り扱うには必ず本人に断りを入れる、特に丁寧な扱いが求められるデリケートな情報です。
記憶フック要配慮個人情報といえば差別につながる機微な情報(取得に本人同意が必要)
個人を特定できないよう加工し復元もできなくした、活用しやすい情報。
匿名加工情報とは、個人情報を一定の基準に従って加工し、特定の個人を識別できないようにし、かつ元の個人情報に復元できないようにした情報です。氏名などを削除・置き換えることで作られます。 個人を特定できないため、本人の同意なしに第三者提供や目的外利用ができ、ビッグデータの統計・分析などへの活用が促されます。ただし作成基準の遵守や、再び個人を特定しようとする行為(識別行為)の禁止などの義務は残ります。試験では『個人情報を加工して規制を緩めた情報』であること、復元不可能である点が問われます。下図のように個人情報を加工して匿名加工情報を生み出す流れを押さえましょう。
たとえアンケート結果から名前や住所を消し、誰のものか分からない『年齢別の集計データ』にするようなもの。個人を消すことで、安心して分析や共有に使える形に変えています。
記憶フック匿名加工情報といえば個人を特定できないよう加工して活用しやすくした情報
関連の過去問演習は今後のアップデートで追加予定です。