本ユニットでは、個人情報保護法のもとで個人情報を実際にどう扱うかの運用ルールを学ぶ。本人同意の取り方であるオプトイン・オプトアウト、他社へデータを渡す第三者提供、そしてデータを加工して使う仮名化・匿名化を取り上げる。ITパスポートでは『どの場合に本人同意が要るか』『各加工の違い』が頻出で、実務にも直結する重要論点である。
本人が事前に同意した場合だけ個人情報を取得・利用できる方式。
オプトインは、個人情報を集めたり利用したりする前に、本人から『はい、同意します』という明確な許可をもらう方式です。同意がなければ取得も利用もできないため、本人の意思を最も尊重した原則的な考え方とされます。 試験では、オプトインが『事前の同意』を前提とする点が問われます。後で説明するオプトアウト(本人が断らない限り利用してよい方式)との違いが典型論点です。メールマガジン配信で『受け取る』にチェックを入れてもらう、といった例で覚えると区別しやすくなります。
たとえ会員制クラブに入るとき、自分で申込書にサインして初めて入れるようなもの。本人が『入ります』と意思表示しない限り、勝手に登録されることはない。
記憶フックオプトインといえば事前同意があって初めて利用OK
本人が拒否しない限り個人情報を利用してよいとする方式。
オプトアウトは、あらかじめ利用目的などを本人に通知・公表しておき、本人が『やめてほしい』と申し出ない限り個人情報を利用・提供してよいとする方式です。本人の手間は減りますが、知らないうちに使われる懸念があるため、利用を止める手段を本人に保証することが条件になります。 試験では、オプトインとの対比がよく問われます。オプトインは『同意があって初めてOK』、オプトアウトは『拒否がない限りOK』という正反対の関係です。広告メールの末尾にある『配信停止はこちら』はオプトアウトの典型例だと押さえましょう。
たとえ町内会の回覧板のようなもの。最初から全員に回す前提で配り、『うちは要らない』と言った人だけ外す。黙っていれば回ってくる。
記憶フックオプトアウトといえば拒否しない限り利用OK
取得した個人情報を本人以外の他者へ渡すこと。原則本人同意が必要。
第三者提供とは、企業などが持っている個人情報を、別の会社や団体といった第三者に渡すことです。個人情報保護法では、第三者へ提供する場合は原則として本人の同意が必要と定められており、無断で他社に渡すことは認められません。 試験では、第三者提供に『原則本人同意が必要』である点と、その同意の取り方(オプトイン/オプトアウト)が結び付いて問われます。注意したいのは例外の整理です。『法令に基づく場合』などは本人同意が不要となる例外であり、第三者提供自体には当たります。一方、業務委託・合併などの事業承継・共同利用に伴う提供は、そもそも相手が『第三者に該当しない』ため第三者提供のルールが及びません。『同意が要らない例外』と『第三者に当たらない』は別物として区別しましょう。
たとえ病院が預かったカルテを別の会社に渡すようなもの。中身は本人のものなので原則は本人に確認するが、法令に基づく照会には同意なしで応じることもある。
記憶フック第三者提供といえば他者へ渡すには原則本人同意
他の情報と照合しない限り本人を特定できないよう加工する処理。
仮名化は、氏名などを別の符号(仮の名前)に置き換え、その情報だけでは特定の個人を分からないようにする加工です。ただし対応表など他の情報と照合すれば本人を特定できるため、完全に匿名になったわけではありません。法律上、この考え方で基準どおり加工したデータは『仮名加工情報』と呼ばれます。 試験では、次の匿名化との『戻せるかどうか』の違いが問われます。仮名化は対応表を使えば本人を特定できる余地が残る点が特徴で、u01 で学んだ匿名加工情報(復元できないよう加工)とは対になる処理です。社内分析など限られた範囲でデータを安全に使いたい場面で用いられる、という位置づけを押さえましょう。
たとえ出席番号で生徒を呼ぶようなもの。番号だけでは誰か分からないが、名簿(対応表)を見れば本人にたどり着ける。完全な匿名ではない。
記憶フック仮名化といえば照合しない限り本人を特定できない加工(仮名加工情報)
特定の個人を識別できず復元もできないよう情報を加工する処理。
匿名化は、個人を識別できる部分を削除・変換し、誰の情報か分からないようにする加工です。仮名化よりも復元しにくいよう処理する点が特徴で、特定の個人を識別できず元に戻せないようにすることを目的とします。 試験では、仮名化との対比が重要です。仮名化は対応表があれば本人を特定できる余地が残るのに対し、匿名化は本人を識別できず復元もできない点で性質が異なります。なお法律上の『匿名加工情報』(u01)は、定められた基準で加工し復元できないようにしたデータを指し、本人同意なく第三者提供や利活用ができる仕組みであることも関連知識として押さえましょう。
たとえアンケート結果を集計し『20代・東京・男性が何人』とだけ残すようなもの。個々の回答者が誰かは分からなくなり、後から本人をたどることもできない。
記憶フック匿名化といえば本人を識別できないよう復元不可に加工(匿名加工情報)
関連の過去問演習は今後のアップデートで追加予定です。