个人信息保护法的框架 — 监管对象与受保护数据的定义
頻出约 35 分钟5 个术语过去问 13 题
本单元目标
- 能够说明个人信息处理经营者与个人信息保护委员会在立场上的区别。
- 能够根据能否识别出本人（包括可与其他信息容易对照的情况，以及含有个人识别符号的情况）来判断某项信息是否属于个人信息。
- 能够区分需特别注意的个人信息和匿名加工信息的处理规则与普通个人信息有何不同。
术语总表（5 个）
术语
个人信息处理经营者（個人情報取扱事業者）是把个人信息数据库等（個人情報データベース等，为便于检索而整理的个人信息集合）用于业务的主体，直接承担《个人信息保护法》规定的义务。
取得时要特定利用目的并通知本人或予以公布，保管期间要采取防止泄露等的安全管理措施（包括监督员工和受托方）。本人提出要求时，要对所持有的该本人信息予以公开或更正。也有例外：像新闻机构为报道而处理信息那样，特定主体出于特定目的处理时不适用这些义务。
类比就像保管备用钥匙的管理员：只为受托的目的使用，妥善保管不弄丢，原则上不经主人同意不交给别人。
记法平成27年修订（2017年施行）后，处理人数较少的经营者也被纳入了对象。
考点
- 常考现行法下，国家机关等仍被排除在个人信息处理经营者（個人情報取扱事業者）之外。令和3年修订前，包括独立行政法人等在内的公共主体都被排除，由其他法律或条例规范；修订后规则统一，一部分法人改为适用与民间相同的规则。
- 常考向第三方提供（第三者提供）原则上需要本人同意。依据法令的情况、为保护人的生命、身体或财产所必需且难以取得同意的情况，以及在实现利用目的所需范围内委托处理的情况等，都不需要同意。
- 常考利用目的只能在被合理认为与变更前目的相关的范围内变更，变更后要将新目的通知本人或予以公布。超出该范围使用时，需要事先取得本人同意。
该术语的过去问 3 题 個人情報取扱事業者 →
个人信息保护委员会（個人情報保護委員会）是依据《个人信息保护法》监督经营者处理个人信息的、独立性很强的国家机关。
它可以要求经营者提交报告或进行现场检查，必要时给予指导和建议，发现违规时通过劝告和命令促其纠正。它还制定具体说明法律运用方式的指南，并负责对个人编号（My Number）处理情况的监视和监督。
类比就像体育比赛的裁判：自己不上场，只看选手是否遵守规则，对犯规给予警告或要求纠正。
记法2016年1月成立，设在内阁府之下作为外局。
考点
- 易混个人信息保护委员会（個人情報保護委員会）是依据法律监督经营者的国家机关。隐私标志（プライバシーマーク）则是由民间团体审查经营者的个人信息管理体制后授予的制度，两者机制不同。
该术语的过去问 1 题 個人情報保護委員会 →
「个人信息处理经营者」与「个人信息保护委员会」的区别
个人识别符号（個人識別符号）是法令规定的、无需与姓名等组合、单凭自身即可识别特定个人的符号，含有它的信息即为个人信息。
例如，将面部或指纹特征数据化以供比对的信息，以及护照号码、个人编号（My Number）这类由公共制度分配给个人并由法令逐一指定的号码，都属于此类。个人信息是关于在世个人的信息，除了能通过姓名等识别本人的信息外，含有个人识别符号的信息也属于个人信息。
记法该概念由平成27年修订（2017年施行）新设，明确了过去是否属于个人信息尚不清楚的信息范围。
考点
- 常考能与其他信息容易对照（容易に照合）从而识别本人的信息，属于个人信息。没有对照线索、无法得知是谁的信息则不属于。
- 常考不限于文字记录，能认出本人的图像或声音也是个人信息。即使是已经公开的信息，只要能识别特定个人，也属于个人信息。
- 易混手机号码和电子邮件地址并未被规定为个人识别符号（個人識別符号）。不过，如果与姓名等结合后能识别本人，就成为个人信息。
该术语的过去问 2 题 個人識別符号 →
需特别注意的个人信息（要配慮個人情報）是为避免对本人产生不当歧视或偏见、由法令规定在处理上需要特别注意的个人信息。
例如，种族、信仰、社会身份、病史、犯罪记录、遭受犯罪侵害的事实等都包括在内。取得时原则上需要本人同意，也不能通过“只要本人不拒绝即可提供”的选择退出（オプトアウト）方式向第三方提供。
类比就像诊室里的谈话：一旦外泄，本人可能遭受歧视或偏见。询问前先打招呼，也不擅自转告他人。
记法“要配慮”读作“配慮を要する”，意思是“需要顾及”。
考点
- 常考属于需特别注意的个人信息（要配慮個人情報）的，是法令列出的、可能引发歧视或偏见的事项，信仰和病史是其典型。
- 易混个人识别符号（個人識別符号）是法令指定的、单凭自身即可识别本人的符号；需特别注意的个人信息是含有法令列出的、可能引发歧视或偏见事项的个人信息。指纹数据属于前者，病史属于后者。
该术语的过去问 1 题 要配慮個人情報 →
匿名加工信息（匿名加工情報）是对个人信息进行加工，使其无法识别特定个人、且无法复原为原个人信息的信息。
制作时要按照法令标准，采取删除或替换姓名等描述、删除个人识别符号等措施。只要遵守制作或提供时公布所含信息项目等规则，就能不经本人同意向第三方提供，用于统计和分析。制作方和接收方都不得进行试图找出原本人的识别行为。
类比就像把问卷上的署名栏剪掉，再重新誊写一遍让人认不出笔迹，然后交给统计负责人。
记法正如“匿名”加上“加工”这个名称所示，不只是删掉名字，还要按标准完成加工，才适用这种处理方式。
考点
- 常考匿名加工信息（匿名加工情報）经过加工，无法识别特定个人，也无法复原为原个人信息。只要遵守制作和提供的规则，就能不经本人同意向第三方提供。
该术语的过去问 1 题 匿名加工情報 →
要点
- 个人信息处理经营者是把个人信息数据库等用于业务的主体，不论规模大小、是否营利，都要承担法律义务。
- 个人信息保护委员会是国家监督机关，可要求经营者提交报告，并进行现场检查、指导以及劝告与命令。
- 个人信息是关于在世个人、能识别特定个人的信息，能与其他信息容易对照而识别的信息以及含有个人识别符号的信息也属于此类。
- 取得需特别注意的个人信息原则上需要本人同意，也不能通过选择退出方式向第三方提供。
- 匿名加工信息在遵守规则的前提下可不经本人同意提供，但禁止进行找出原本人的识别行为。
查看这个领域的全部过去问 →