個人情報保護法（個人情報・個人データ・保有個人データ、要配慮個人情報、仮名加工・匿名加工、第三者提供と委託、GDPR）

この節の練習問題（8問）

答えを見る前に選んでから開いてください。同じ問題は章別演習でランダム出題されます。

1. 問1
   個人情報保護法における「個人情報」「個人データ」「保有個人データ」の関係の説明として最も適切なものを選びなさい。
   1. 1個人情報のうち、検索できるようデータベース化されたものが個人データで、そのうち事業者が開示・訂正・削除などの権限を持つものが保有個人データである
   2. 2個人データのうち、検索できるようデータベース化されたものが個人情報で、そのうち事業者が開示・訂正・削除などの権限を持つものが保有個人データである
   3. 3個人情報のうち、紙の書類として保管されているものが個人データで、電子データとしてサーバーに保存されているものが保有個人データであり、媒体によって区別される
   4. 4個人情報のうち、氏名・生年月日など本人を直接特定できる項目だけが個人データで、そのうち6か月を超えて保有するものが保有個人データであり、それ以外は法律の対象外である
   答えと解説

   正解: 1

   個人情報保護法は、生存する個人を識別できる情報を個人情報とし、それを検索可能に体系化した個人情報データベースを構成するものを個人データ、さらに事業者が開示や訂正、利用停止などに応じる権限を持つものを保有個人データと段階的に定義しています。安全管理措置や第三者提供の制限は個人データに、本人からの開示請求への対応は保有個人データに課される義務です。指紋や顔の特徴データ、マイナンバーなどの個人識別符号を含む情報もそれ単体で個人情報になります。

2. 問2
   個人情報保護法における「仮名加工情報」と「匿名加工情報」の違いの説明として最も適切なものを選びなさい。
   1. 1仮名加工情報は本人の同意なく要配慮個人情報として取得できるように氏名を仮名に置き換えたもので、第三者提供は自由に行える。匿名加工情報は氏名を伏せ字にしただけで元の情報に復元できるもので、社内利用に限り本人への通知なしに分析に用いることができる
   2. 2仮名加工情報は他の情報と照合しない限り個人を識別できないように加工したもので、主に事業者内部での分析利用を想定し、原則として第三者提供はできない。匿名加工情報は個人を識別できず復元もできないように加工したもので、一定の公表義務のもとで本人の同意なく第三者提供できる
   3. 3仮名加工情報は個人を識別できず復元もできないように加工したもので、一定の公表義務のもとで本人の同意なく第三者提供できる。匿名加工情報は他の情報と照合しない限り個人を識別できないように加工したもので、主に事業者内部での分析利用を想定し、原則として第三者提供はできない
   4. 4仮名加工情報は他の情報と照合しても個人を識別できないように加工したもので、公表義務なしに第三者提供できる。匿名加工情報は元の個人情報に復元できる形で識別子を置き換えたもので、漏えい時の報告義務が免除される代わりに事業者内部での利用にも本人の同意が必要となる
   答えと解説

   正解: 2

   仮名加工情報は2020年改正で導入された制度で、氏名などを削除・置換して単体では識別できないようにした情報です。加工が匿名加工より緩い分、利用目的の変更が柔軟にでき、漏えい時の報告義務も免除されますが、社内での利活用が前提で第三者提供は原則できません。匿名加工情報は復元不可能な加工が求められる代わりに、作成時に項目を公表すれば本人の同意なく第三者提供や活用ができます。

3. 問3
   個人データの取り扱いに関する記述として、誤っているものを選びなさい。
   1. 1利用目的の達成に必要な範囲で個人データの取り扱いを外部に委託する場合は第三者提供に当たらないが、委託先を監督する義務がある
   2. 2人種、信条、病歴などの要配慮個人情報は、原則として本人の同意なく取得してはならない
   3. 3個人情報の利用目的は取得後に自由に変更できるため、取得時に特定・通知する必要はない
   4. 4個人データを第三者に提供するには、法令に基づく場合などを除き、原則として本人の同意が必要である
   答えと解説

   正解: 3

   個人情報を取得する際は利用目的をできる限り特定し、本人に通知または公表しなければなりません。利用目的の変更は、変更前の目的と関連性があると合理的に認められる範囲に限られます。「取得後に自由に変更できるため特定不要」という記述は誤りです。第三者提供の同意原則、委託の扱いと監督義務、要配慮個人情報の取得制限に関する記述は正しい内容です。

4. 問4
   EUの一般データ保護規則（GDPR）に関する記述として、最も適切なものを選びなさい。
   1. 1EU域内に拠点を置く事業者にのみ適用される規則で、日本企業がEU域内の個人に商品・サービスを提供する場合でも適用されず、EU域外へのデータ移転についても十分性認定などの要件は課されない。違反への制裁は各国の行政指導にとどまる
   2. 2著作物の保護を定めた規則で、EU域内で公開されたコンテンツをAIの学習に利用する際の要件を定めており、個人データの取り扱いは各国の個人情報保護法に委ねられている。違反には高額の制裁金が科されうる
   3. 3EU域内の個人データの保護を定めた指針で、法的拘束力を持たない努力目標にすぎないため違反しても制裁はなく、EU域外へのデータ移転についても事業者の自主的な判断に委ねられ、十分性認定のような要件は設けられていない
   4. 4EU域内の個人データの保護を定めた規則で、EU域外の事業者でもEU域内の個人に商品・サービスを提供したり行動を監視したりする場合には適用され、違反には高額の制裁金が科されうる。EU域外へのデータ移転には十分性認定などの要件がある
   答えと解説

   正解: 4

   GDPR（2018年適用）は、EU域内の個人データについて、本人の権利（アクセス権、消去権、データポータビリティなど）と事業者の義務を定めた規則です。域外適用の規定があり、EU居住者向けにオンラインでサービスを提供する日本企業なども対象になりえます。違反時の制裁金は最大で全世界年間売上高の4%または2,000万ユーロのいずれか高い方です。日本は2019年にEUから十分性認定を受け、一定の条件でEUから日本へのデータ移転が可能になっています。

5. 問5
   個人情報保護法における「個人識別符号」に該当するものとして、最も適切なものを選びなさい。
   1. 1天気や株価、統計調査の集計結果のように個人とは無関係に公開されているデータのうち、地域や年齢層ごとに集計された数値
   2. 2顔認証のために顔の特徴をデジタル化したデータや指紋データ、マイナンバー、旅券番号のように、それ単体で特定の個人を識別できる符号
   3. 3会社が社内で付けた社員番号や顧客管理番号のように、その組織の内部でのみ特定の個人と結びつき、社外では誰のものか分からない符号
   4. 4Webサイトの閲覧履歴やCookie、端末のIPアドレスのように、氏名と結びついていなくても行動の追跡に利用できる識別子
   答えと解説

   正解: 2

   個人識別符号は、身体の特徴（顔、指紋、声紋、DNAなど）を変換した符号や、マイナンバー・運転免許証番号・旅券番号など公的に個人に割り当てられた番号で、単体で個人情報に該当します。社内限定の社員番号や氏名に結びつかない閲覧履歴は、他の情報と容易に照合して個人を識別できる場合に個人情報となりますが、個人識別符号そのものではありません。

6. 問6
   医療機関から患者の病歴データを取得してAIの学習に使いたい。個人情報保護法上の扱いとして最も適切なものを選びなさい。
   1. 1病歴は本人以外には経済的価値のない情報なので個人情報保護法上の個人情報には該当せず、医療機関が匿名加工を行わなくても本人の同意なくAIの学習目的で第三者に提供できる
   2. 2病歴は要配慮個人情報にあたるが、AIの学習など研究開発を目的とする場合には本人の同意なく取得・利用できる特例があるため、オプトアウトによる第三者提供の手続きだけ行えばよい
   3. 3病歴は要配慮個人情報にあたり、取得には原則として本人の同意が必要で、オプトアウトによる第三者提供も認められないため、同意の取得や匿名加工情報への加工など適法な方法を検討する
   4. 4病歴は医療機関が保有する診療情報であり、個人情報の取り扱いは保有する医療機関の判断に委ねられるため、AIの開発事業者は医療機関との契約さえあれば本人の同意や匿名加工なしに利用できる
   答えと解説

   正解: 3

   病歴、人種、信条、犯罪歴などは要配慮個人情報で、通常の個人情報より厳格に扱われ、取得に原則として本人の同意が必要で、オプトアウト方式での第三者提供はできません。学習に使うには同意を得るか、個人を識別できないよう匿名加工情報に加工するなどの方法を取ります。AI学習目的の包括的な特例はありません。

7. 問7
   小売業者が、顧客の購買データの分析をAIベンダーに依頼し、データを渡してモデルを開発してもらう。この場面の個人情報保護法上の整理として最も適切なものを選びなさい。
   1. 1利用目的の達成に必要な範囲でデータの取り扱いを委託する場合でも第三者提供にあたるため本人の同意が必要だが、同意を得た後は小売業者の監督義務はなくなり、ベンダーは委託された目的以外にもデータを使うことができる
   2. 2データを渡した時点でベンダーが個人情報取扱事業者として単独で責任を負うため、小売業者はベンダーを監督する義務を負わず、ベンダーは自社の他の顧客向けサービスにもデータを利用できるが、本人の同意は不要である
   3. 3購買データは氏名と結びついていても個人情報には該当しないため、委託にあたって本人の同意も小売業者による監督も不要であり、ベンダーは委託された目的以外にもデータを自由に使うことができる
   4. 4利用目的の達成に必要な範囲でデータの取り扱いを委託する場合は第三者提供にあたらず本人の同意は不要だが、小売業者はベンダーを監督する義務を負い、ベンダーは委託された目的以外にデータを使ってはならない
   答えと解説

   正解: 4

   個人データの取り扱いの委託は第三者提供の例外とされ、本人の同意は不要ですが、委託元には委託先の監督義務があり、委託先は委託の範囲を超えて利用できません。ベンダーが自社の他のサービスにデータを流用するのは目的外利用にあたります。氏名などと結びついた購買データは個人情報です。

8. 問8
   小売業者が、蓄積した顧客の購買データを他社の商品開発のために提供したいが、本人の同意を個別に取るのは難しい。個人情報保護法上の対応として最も適切なものを選びなさい。
   1. 1仮名加工情報に加工すれば、同意なく他社に提供できる
   2. 2匿名加工情報に加工すれば、同意なく他社に提供できる
   3. 3氏名さえ削除すれば、どのような場合も自由に提供できる
   4. 4委託にあたるため、そのまま同意なく他社に提供できる
   答えと解説

   正解: 2

   匿名加工情報は特定の個人を識別できず元の情報を復元できないように加工した情報で、本人の同意なく第三者提供できます。仮名加工情報は事業者内部での分析を想定したもので、原則として第三者提供はできません。氏名を削除しても他の情報と容易に照合して識別できれば個人情報にあたり、他社が自社の商品開発に使うための提供は委託ではなく第三者提供にあたります。