情報の管理と活用にかかわる法規制の問題（20問）

正解：2（アー正、イー誤）

ア．正しい

本人の同意なく利用目的の達成に必要な範囲を超えて取り扱ってはならない

個人情報保護法第18条第1項「あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない」e-Gov原文

イ．誤り

原則あらかじめ本人の同意が必要 → 『いかなる場合でも自由』は誤り

個人情報保護法第27条第1項「あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない」e-Gov原文

ひっかけ第三者提供を『同意なしで自由』と読むと外す。27条1項の原則は事前の本人同意。

解説個人情報取扱事業者は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない（個人情報保護法18条1項）。アはこの利用目的による制限そのもので正しい。イは、本人の同意がなくてもいかなる場合でも自由に個人データを第三者提供できるとするが、27条1項は原則として事前の本人同意を求め、例外は法令に基づく場合等に限られる。『いかなる場合でも自由』とまでは言えないのでイは誤り。18条が『利用』の場面、27条が『外部への提供』の場面という、規律が働く局面の違いがそのまま問われている。

補足27条1項の同意原則には『次に掲げる場合を除くほか』として例外があり、法令に基づく場合や人の生命・身体・財産の保護に必要で本人同意を得るのが困難な場合などが含まれる。

正解：3（アー誤、イー正）

ア．誤り

要配慮個人情報は配慮を要する機微情報 → 氏名等の識別情報一般は誤り

個人情報保護法第2条第3項「本人の人種、信条、社会的身分、病歴、犯罪の経歴」e-Gov原文

イ．正しい

変更前の利用目的と関連性のある範囲を超える変更はできない

個人情報保護法第17条第2項「変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない」e-Gov原文

ひっかけ要配慮個人情報は『識別できる情報一般』ではない。線引きは識別可能性ではなく機微性。

解説要配慮個人情報は、本人の人種・信条・社会的身分・病歴・犯罪の経歴など、取扱いに特に配慮を要する情報をいう（個人情報保護法2条3項）。アは氏名・生年月日・連絡先といった識別情報一般を指しているが、それは要配慮個人情報の定義ではないので誤り。イは、利用目的の変更を変更前の目的と関連性を有すると合理的に認められる範囲を超えて行ってはならないとするもので、17条2項の文言どおり。よって正しい。要配慮個人情報の境目は『個人を識別できるか』ではなく『機微性ゆえに特別の配慮を要するか』にある。

補足要配慮個人情報は、27条2項のオプトアウトによる第三者提供が認められず（同項ただし書）、提供にはあらかじめ本人の同意が要る。

正解：2（アー正、イー誤）

ア．正しい

周知な商品等表示の類似使用＋混同惹起 → 不正競争

不正競争防止法第2条第1項第1号「需要者の間に広く認識されているものと同一若しくは類似の商品等表示を使用」e-Gov原文

不正競争防止法第2条第1項第1号「他人の商品又は営業と混同を生じさせる行為」e-Gov原文

イ．誤り

著名表示の冒用は混同不要 → 『混同がなければ該当しない』は誤り

不正競争防止法第2条第1項第2号「他人の著名な商品等表示と同一若しくは類似のものを使用し」e-Gov原文

ひっかけ著名表示冒用（2号）に混同は要らない。混同を要件にするのは周知表示の1号のほう。

解説他人の周知な商品等表示と同一・類似の表示を使い、他人の商品・営業と混同を生じさせる行為は、周知表示混同惹起行為として不正競争に該当する（不正競争防止法2条1項1号）。アはこのとおりで正しい。イは、他人の著名な商品等表示の冒用について、混同が生じない限り一切不正競争に当たらないとするが、著名表示冒用行為（同2号）は混同の有無を要件としていない。混同がなくても該当し得るので、イは誤り。1号は『周知＋混同』、2号は『著名・混同不要』という要件の差が、そのまま正誤を分けている。

補足2号で混同を要件から外しているのは、著名表示はそれ自体の顧客吸引力やブランド価値を希釈・ただ乗りから守る趣旨だから。

正解：1（アー正、イー正）

ア．正しい

機能確保に不可欠な形態を除き、商品形態の模倣品譲渡は不正競争

不正競争防止法第2条第1項第3号「他人の商品の形態」e-Gov原文

不正競争防止法第2条第1項第3号「を模倣した商品を譲渡し」e-Gov原文

イ．正しい

秘密として管理・有用・公然と知られていない → 営業秘密

不正競争防止法第2条第6項「秘密として管理されている生産方法、販売方法その他の事業活動に有用な技術上又は営業上の情報であって、公然と知られていないもの」e-Gov原文

ひっかけ商品形態模倣の対象からは『機能上不可欠な形態』が除かれ、営業秘密は3要件すべてを備えて初めて成立する。

解説他人の商品の形態（その商品の機能を確保するために不可欠な形態を除く）を模倣した商品を譲渡する行為は、商品形態模倣行為として不正競争に該当する（不正競争防止法2条1項3号）。アはこのとおりで正しい。イの営業秘密は、秘密として管理されている事業活動に有用な技術上・営業上の情報であって公然と知られていないものをいい（同2条6項）、秘密管理性・有用性・非公知性の3要件を備えるものを指す。記述はこの定義どおりで正しい。アは括弧書きの『機能上不可欠な形態を除く』、イは3要件の取りこぼしが狙われやすい箇所になる。

補足3号の商品形態模倣の保護には期限があり、日本国内で最初に販売された日から起算して3年を経過した形態は差止め・損害賠償の対象から外れる（同19条1項5号イ）。

正解：4（アー誤、イー誤）

ア．誤り

『次に掲げる場合を除くほか』＝法令に基づく場合等は同意不要の例外

個人情報保護法第27条第1項「次に掲げる場合を除くほか」e-Gov原文

個人情報保護法第27条第1項「あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない」e-Gov原文

イ．誤り

同意が要るのは範囲を『超えて』取り扱う場合 → 範囲内で同意必須は誤り

個人情報保護法第18条第1項「特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない」e-Gov原文

ひっかけ『法令に基づく場合も同意必須』『範囲内でも同意必須』はどちらも過剰。同意が要る境界はもっと手前にある。

解説27条1項は『次に掲げる場合を除くほか』本人同意のない第三者提供を禁じており、法令に基づく場合はその例外に当たって同意は不要となる。アは法令に基づく場合でも必ず事前の本人同意が要るとするので誤り。イは、利用目的の達成に必要な範囲内であっても本人の同意がなければおよそ個人情報を取り扱えないとするが、18条1項が本人同意を求めるのは範囲を『超えて』取り扱う場合であり、範囲内の取扱いに同意は要らない。よってイも誤り。同意が要求される境界線がどこに引かれているかを、両肢とも一段ずらして誤らせている。

補足本人同意が要求されるのは、利用目的の範囲を『超える』取扱い（18条）と、例外に当たらない第三者提供（27条）の2局面。範囲内の利用や法令に基づく提供はその外側にある。

正解：2（アー正、イー誤）

ア．正しい

33条1項は電磁的記録の提供による方法その他規則で定める方法による開示請求を認める → 本記述は正しい

個人情報保護法第33条第1項「保有個人データの電磁的記録の提供による方法」e-Gov原文

イ．誤り

33条2項ただし書・各号で権利利益を害するおそれ等があれば不開示が可能 → 『一切拒めない』は誤り

個人情報保護法第33条第2項「本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合」e-Gov原文

個人情報保護法第33条第2項「その全部又は一部を開示しないことができる」e-Gov原文

ひっかけ開示請求を『常に全部開示が義務』と読むと外す。33条2項にはただし書の不開示事由がある。

解説本人は、保有個人データについて電磁的記録の提供による方法その他個人情報保護委員会規則で定める方法による開示を請求でき（33条1項）、事業者は本人が請求した方法により遅滞なく開示しなければならない（33条2項本文）。アはこの開示請求権そのもので正しい。もっとも、33条2項ただし書は、開示することで①本人又は第三者の生命・身体・財産その他の権利利益を害するおそれがある場合、②事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合、③他の法令に違反することとなる場合には、その全部又は一部を開示しないことができると定める。したがって『一切拒めない』とするイは誤り。開示請求権がある（原則）ことと、不開示事由がある（例外）ことの両方を押さえるのがポイント。

補足全部又は一部を開示しない決定をしたとき、データが存在しないとき等は、本人に対し遅滞なくその旨を通知しなければならない（33条3項）。

正解：3（アー誤、イー正）

ア．誤り

34条1項は内容が事実でないときの訂正等の請求を認める → 『請求できない』は誤り

個人情報保護法第34条第1項「保有個人データの内容の訂正、追加又は削除」e-Gov原文

イ．正しい

35条1項は18条・19条違反の取扱い時に利用の停止又は消去の請求を認める → 本記述は正しい

個人情報保護法第35条第1項「第十八条若しくは第十九条の規定に違反して取り扱われているとき」e-Gov原文

個人情報保護法第35条第1項「当該保有個人データの利用の停止又は消去」e-Gov原文

ひっかけ訂正等（34条）と利用停止等（35条）は別の請求権。条文の役割を取り違えると外す。

解説保有個人データの内容が事実でないときは、本人はその内容の訂正、追加又は削除（訂正等）を請求できる（34条1項）。アは『請求できない』としており誤り。一方、保有個人データが18条（利用目的による制限）若しくは19条（不適正な利用の禁止）に違反して取り扱われているとき、又は20条に違反して取得されたものであるときは、本人は当該保有個人データの利用の停止又は消去（利用停止等）を請求できる（35条1項）。イはこの利用停止等請求権を正しく述べており正しい。『事実でない内容の是正＝訂正等（34条）』『違法な取扱いの是正＝利用停止等（35条）』という、原因と請求内容の対応を整理しておくこと。

補足事業者は、訂正等を行ったとき又は行わない旨を決定したときは、遅滞なくその旨を本人に通知しなければならない（34条3項）。利用停止等の請求にも理由があれば応じる義務がある（35条2項）。

正解：1（アー正、イー正）

ア．正しい

26条1項は規則で定める漏えい等の事態につき委員会への報告を義務づける → 本記述は正しい

個人情報保護法第26条第1項「個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態」e-Gov原文

個人情報保護法第26条第1項「当該事態が生じた旨を個人情報保護委員会に報告しなければならない」e-Gov原文

イ．正しい

26条2項は1項の事態が生じた場合に本人への通知を原則義務づける → 本記述は正しい

個人情報保護法第26条第2項「当該事態が生じた旨を通知しなければならない」e-Gov原文

ひっかけ漏えい等の対応は『委員会への報告』だけと思うと外す。26条は本人通知も求める。

解説個人データの漏えい、滅失、毀損その他の安全確保に係る事態であって、個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、事業者は原則として個人情報保護委員会に報告しなければならない（26条1項本文）。アはこの報告義務で正しい。さらに、その場合には、原則として本人に対しても当該事態が生じた旨を通知しなければならない（26条2項本文）。イはこの本人通知義務で正しい。委員会への報告と本人への通知は別々の義務として並んでおり、両方が原則として必要になる点が問われている。

補足委託を受けた事業者が委託元に通知したときは委員会報告を要しない（26条1項ただし書）、本人通知が困難で代替措置をとるときは本人通知を要しない（26条2項ただし書）等の例外がある。

正解：4（アー誤、イー誤）

ア．誤り

31条1項は本人同意の取得等を確認しないままの個人関連情報の提供を禁止する → 『自由に提供できる』は誤り

個人情報保護法第31条第1項「あらかじめ個人情報保護委員会規則で定めるところにより確認することをしないで、当該個人関連情報を当該第三者に提供してはならない」e-Gov原文

個人情報保護法第31条第1項「当該本人の同意が得られていること」e-Gov原文

イ．誤り

31条1項2号は外国の第三者提供で外国の制度等の情報提供の確認も要求する → 『確認不要で緩やか』は誤り

個人情報保護法第31条第1項第2号「外国にある第三者への提供にあっては」e-Gov原文

個人情報保護法第31条第1項第2号「当該外国における個人情報の保護に関する制度」e-Gov原文

ひっかけ個人関連情報は『個人データではないから自由』と思うと外す。31条が確認義務を課す。

解説個人関連情報（生存する個人に関する情報で、個人情報・仮名加工情報・匿名加工情報のいずれにも当たらないもの）であっても、提供を受けた第三者がこれを個人データとして取得することが想定されるときは、提供元は、原則として本人の同意が得られていること等をあらかじめ確認しないで当該個人関連情報を第三者に提供してはならない（31条1項）。アは『確認せず自由に提供できる』としており誤り。さらに、外国にある第三者へ提供する場合（31条1項2号）は、本人の同意取得に加えて、当該外国の個人情報保護制度等の参考情報が本人に提供されていることの確認も求められ、規制はむしろ加重される。イは『確認不要で緩やか』としており誤り。提供元では非個人情報でも、提供先で個人データになる場合を捕捉する規律である点が核心。

補足27条1項各号（法令に基づく場合など第三者提供の例外事由）に該当する場合は、31条1項の確認義務の対象から除かれる。

正解：2（アー正、イー誤）

ア．正しい

2条1項4号は不正の手段による営業秘密の取得を営業秘密不正取得行為として不正競争とする → 本記述は正しい

不正競争防止法第2条第1項第4号「窃取、詐欺、強迫その他の不正の手段により営業秘密を取得する行為」e-Gov原文

イ．誤り

2条1項7号は示された営業秘密の図利加害目的の使用・開示を不正競争とする → 『当たらない』は誤り

不正競争防止法第2条第1項第7号「その営業秘密を示された場合において」e-Gov原文

不正競争防止法第2条第1項第7号「不正の利益を得る目的で、又はその営業秘密保有者に損害を加える目的で、その営業秘密を使用し、又は開示する行為」e-Gov原文

ひっかけ営業秘密侵害は『不正に取ってきた場合だけ』と思うと外す。正当に示された秘密の悪用も類型化されている。

解説営業秘密に係る不正競争には複数の類型がある。アの窃取・詐欺・強迫その他の不正の手段による取得（営業秘密不正取得行為）は2条1項4号の典型で、不正競争に当たり正しい。一方、営業秘密保有者から正当にその営業秘密を示された者であっても、不正の利益を得る目的で、又は保有者に損害を加える目的で（図利加害目的で）その営業秘密を使用し、又は開示する行為は、2条1項7号により不正競争に該当する。したがって『当たらない』とするイは誤り。取得段階が適法（正当に示された）でも、その後の図利加害目的の使用・開示は規制対象になる点が、不正取得型（4号）との違いである。

補足営業秘密とは、秘密として管理されている生産方法・販売方法その他の事業活動に有用な技術上又は営業上の情報であって、公然と知られていないものをいう（2条6項）。秘密管理性・有用性・非公知性の3要件を満たす必要がある。

正解：2（アー正、イー誤）

ア．正しい

27条2項は本人通知等＋委員会届出を要件に同意なしの第三者提供を認める → 本記述は正しい

個人情報保護法第27条第2項「本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合」e-Gov原文

個人情報保護法第27条第2項「個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる」e-Gov原文

イ．誤り

27条2項ただし書が要配慮個人情報をオプトアウトから除外 → 『届出で提供できる』は誤り

個人情報保護法第27条第2項「第三者に提供される個人データが要配慮個人情報又は第二十条第一項の規定に違反して取得されたもの」e-Gov原文

個人情報保護法第27条第2項「である場合は、この限りでない」e-Gov原文

ひっかけオプトアウトを『どんな個人データでも届出すれば同意なしで出せる』と読むと外す。要配慮個人情報は土俵に乗らない。

解説オプトアウトによる第三者提供とは、本人の求めに応じて当該本人が識別される個人データの第三者提供を停止することとしている場合に、提供先や提供項目など所定の事項をあらかじめ本人に通知し又は本人が容易に知り得る状態に置き、かつ個人情報保護委員会に届け出ることで、27条1項の本人同意原則の例外として同意なしの提供を可能にする仕組みである（27条2項）。アはこの仕組みの要件をそのまま述べており正しい。一方、同項ただし書は、第三者に提供される個人データが要配慮個人情報又は20条1項に違反して取得されたもの等である場合にはオプトアウトを認めていない。要配慮個人情報を第三者提供するにはあらかじめ本人の同意が必要であり、届出によって同意を省略することはできないので、イは誤り。『原則同意（27条1項）→ オプトアウトで同意を省ける（27条2項本文）→ ただし要配慮個人情報は省けない（同項ただし書）』という三段の構造を押さえておくこと。

補足2015年改正でオプトアウト届出制が導入され、その後の改正で、要配慮個人情報に加えて不正取得された個人データやオプトアウトで受領した個人データの再オプトアウト提供も対象から除外されている（27条2項ただし書）。

正解：1（アー正、イー正）

ア．正しい

25条は委託された個人データの安全管理のため委託先の監督を義務づける → 本記述は正しい

個人情報保護法第25条「個人データの取扱いの全部又は一部を委託する場合は」e-Gov原文

個人情報保護法第25条「委託を受けた者に対する必要かつ適切な監督を行わなければならない」e-Gov原文

イ．正しい

24条は従業者に取り扱わせる際の安全管理のため従業者の監督を義務づける → 本記述は正しい

個人情報保護法第24条「その従業者に個人データを取り扱わせるに当たっては」e-Gov原文

個人情報保護法第24条「当該従業者に対する必要かつ適切な監督を行わなければならない」e-Gov原文

ひっかけ監督義務は委託先だけ、あるいは社内（従業者）だけ、と片方に絞ると外す。条文は両方を別々に課している。

解説個人データの安全管理に関する監督義務は、社外と社内の二方向に分かれて条文化されている。委託先の監督は、個人データの取扱いの全部又は一部を委託する場合に、委託された個人データの安全管理が図られるよう委託を受けた者に対する必要かつ適切な監督を行うことを求める（25条）。従業者の監督は、自社の従業者に個人データを取り扱わせるに当たって、当該個人データの安全管理が図られるよう当該従業者に対する必要かつ適切な監督を行うことを求める（24条）。アは25条、イは24条のとおりで、いずれも正しい。安全管理措置義務（23条）を土台に、社内向けの従業者監督（24条）と社外向けの委託先監督（25条）が並んで置かれている構造を押さえておくこと。

補足委託先に提供される個人データは『第三者』に当たらず（27条5項1号）、委託に伴う提供そのものに本人同意は要らないが、その代わりに委託元には25条の委託先監督責任が課されるという役割分担になっている。

正解：3（アー誤、イー正）

ア．誤り

28条1項は外国にある第三者への提供を認める旨の本人同意を原則として要求 → 『同意不要』は誤り

個人情報保護法第28条第1項「あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない」e-Gov原文

イ．正しい

21条1項は取得後速やかな利用目的の通知・公表を求める（事前公表済みは除く）→ 本記述は正しい

個人情報保護法第21条第1項「あらかじめその利用目的を公表している場合を除き」e-Gov原文

個人情報保護法第21条第1項「その利用目的を、本人に通知し、又は公表しなければならない」e-Gov原文

ひっかけ越境提供を『国内提供と同じ』と読むと外す。28条は通常の同意に加えて越境提供を認める旨の同意を別に求める。

解説外国にある第三者に個人データを提供する場合は、27条1項各号に掲げる場合（法令に基づく場合など）を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない（28条1項）。国内提供より規律はむしろ重く、同意取得に際しては当該外国の制度等の参考情報の提供も求められる（28条2項）。したがって『国内と同様で同意不要』とするアは誤り。一方、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかにその利用目的を本人に通知し、又は公表しなければならない（21条1項）。イはこの取得時の通知・公表義務のとおりで正しい。利用目的は取得前の公表で足りる場合と、取得後速やかな通知・公表が要る場合があるという建付けを押さえておくこと。

補足我が国と同等の水準にあると認められる制度を持つ国（個人情報保護委員会規則で指定）や、相当措置を継続的に講ずる体制を整備した提供先は、28条の越境提供規制の枠組みから外れる扱いになっている（28条1項括弧書）。

正解：4（アー誤、イー誤）

ア．誤り

41条6項は法令に基づく場合を除き仮名加工情報である個人データの第三者提供を禁止 → 『自由に提供できる』は誤り

個人情報保護法第41条第6項「法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはならない」e-Gov原文

イ．誤り

43条3項は作成時に含まれる個人に関する情報の項目の公表を義務づける → 『公表不要』は誤り

個人情報保護法第43条第3項「当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない」e-Gov原文

ひっかけ『加工してあるのだから自由に使える・公表もいらない』と緩く読むと両肢とも外す。加工情報ごとに別の縛りがある。

解説仮名加工情報は、他の情報と照合しない限り特定の個人を識別できないように加工した情報で、内部分析などでの活用を想定する一方、第三者提供には強い制限がある。仮名加工情報取扱事業者は、27条1項・2項及び28条1項の規定にかかわらず、法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはならない（41条6項）。したがって『自由に提供できる』とするアは誤り。匿名加工情報は、特定の個人を識別できず復元もできないように加工した情報だが、作成した事業者には透明性確保のための公表義務があり、作成したときは当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない（43条3項）。よって『公表不要』とするイも誤り。仮名加工情報は『提供制限』、匿名加工情報は『項目の公表』という、それぞれに固有の義務を取り違えないこと。

補足匿名加工情報を作成して第三者に提供するときは、あらかじめ提供する情報の項目と提供方法を公表し、提供先に匿名加工情報である旨を明示しなければならない（43条4項）。仮名加工情報・匿名加工情報とも、本人を識別するための他情報との照合は禁止されている（41条7項・43条5項）。

正解：2（アー正、イー誤）

ア．正しい

2条1項11号は不正の手段による限定提供データの取得を不正競争とする → 本記述は正しい

不正競争防止法第2条第1項第11号「窃取、詐欺、強迫その他の不正の手段により限定提供データを取得する行為」e-Gov原文

イ．誤り

2条1項20号は原産地・品質等の誤認惹起表示を不正競争とする → 『該当しない』は誤り

不正競争防止法第2条第1項第20号「その商品の原産地、品質、内容、製造方法、用途若しくは数量」e-Gov原文

不正競争防止法第2条第1項第20号「について誤認させるような表示をし」e-Gov原文

ひっかけ限定提供データを営業秘密と混同したり、原産地・品質の偽り表示を『不正競争ではない』と思うと外す。

解説限定提供データとは、業として特定の者に提供する情報として電磁的方法により相当量蓄積され、かつ管理されている技術上又は営業上の情報（営業秘密を除く）をいう（2条7項）。秘密管理性までは要しないが、ビッグデータ等の利活用を保護するために設けられた類型で、窃取・詐欺・強迫その他の不正の手段によりこれを取得する行為（限定提供データ不正取得行為）は不正競争に該当する（2条1項11号）。アはこのとおりで正しい。イの、商品の原産地・品質・内容・製造方法・用途・数量等について誤認させるような表示をする行為は、原産地等誤認惹起行為として不正競争に該当する（2条1項20号）。したがって『該当しない』とするイは誤り。営業秘密（2条6項）と限定提供データ（2条7項）は、秘密管理性の要否で線引きされる別概念である点も押さえておくこと。

補足限定提供データの規律は2018年改正で導入された。原産地等誤認惹起行為（2条1項20号）の表示には、品質を実際より優良と誤認させる『優良誤認』的な表示のほか、産地・原材料・数量などの偽りも広く含まれる。

正解：2（アー正、イー誤）

ア．正しい

23条

個人情報保護法第23条「個人データの安全管理のために必要かつ適切な措置を講じなければならない」e-Gov原文

イ．誤り

不要ではない

個人情報保護法第24条「当該従業者に対する必要かつ適切な監督を行わなければならない」e-Gov原文

ひっかけ従業者に任せれば事業者は監督しなくてよい、と考えるとイを正しいと誤る。従業者への監督義務がある。

解説個人情報取扱事業者は、その取り扱う個人データの漏えい・滅失・毀損の防止その他の安全管理のために必要かつ適切な措置を講じなければならない（安全管理措置。個人情報保護法23条）。アはこのとおりで正しい。さらに、従業者に個人データを取り扱わせるにあたっては、その従業者に対する必要かつ適切な監督を行わなければならない（24条）。したがって「従業者への監督を行う必要はない」とするイは誤り。

補足個人データの取扱いを委託する場合には、委託先に対する必要かつ適切な監督も求められる（25条）。安全管理は、事業者自身の措置・従業者の監督・委託先の監督の三つがセットになる。

正解：2（アー正、イー誤）

ア．正しい

29条

個人情報保護法第29条第1項「当該個人データを提供した年月日、当該第三者の氏名又は名称」e-Gov原文

イ．誤り

ただちに廃棄ではない

個人情報保護法第29条第2項「前項の記録を、当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない」e-Gov原文

ひっかけ提供記録は作ったらすぐ捨ててよい、と考えるとイを正しいと誤る。一定期間の保存義務がある。

解説個人情報取扱事業者は、個人データを第三者に提供したときは、提供した年月日や第三者の氏名・名称などの記録を作成しなければならない場合がある（個人情報保護法29条1項）。アはこのとおりで正しい。そして、その記録は、作成した日から個人情報保護委員会規則で定める期間、保存しなければならない（同条2項）。したがって「ただちに廃棄しなければならず、保存義務はない」とするイは誤り。

補足第三者提供の記録は、後から提供の経緯をたどれるようにして、不正に取得された個人データの流通を抑える趣旨である。提供を受ける側にも、提供元の確認と記録の義務がある（30条）。

正解：2（アー正、イー誤）

ア．正しい

32条

個人情報保護法第32条第1項第1号「当該個人情報取扱事業者の氏名又は名称及び住所」e-Gov原文

イ．誤り

例外なく必ずではない

個人情報保護法第32条第2項「ただし、次の各号のいずれかに該当する場合は、この限りでない」e-Gov原文

ひっかけ利用目的の通知は必ずしなければならない、と考えるとイを正しいと誤る。通知しなくてよい例外がある。

解説個人情報取扱事業者は、保有個人データに関し、その事業者の氏名・名称および住所などを、本人の知り得る状態に置かなければならない（個人情報保護法32条1項）。アはこのとおりで正しい。もっとも、本人から保有個人データの利用目的の通知を求められた場合でも、利用目的を本人が知り得る状態に置いているときなど一定の場合には、通知しなくてよい（32条2項ただし書）。したがって「例外なく必ず通知しなければならない」とするイは誤り。

補足32条は、本人が自分の情報の取扱いを把握し、開示・訂正・利用停止などの請求を行えるようにするための、透明性を確保する規定である。

正解：2（アー正、イー誤）

ア．正しい

33条

個人情報保護法第33条第1項「保有個人データの電磁的記録の提供による方法」e-Gov原文

イ．誤り

必ず開示ではない

個人情報保護法第33条第2項第1号「本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合」e-Gov原文

ひっかけ本人が求めれば必ず全部開示しなければならない、と考えるとイを正しいと誤る。開示しないことができる事由がある。

解説本人は、個人情報取扱事業者に対し、保有個人データについて、電磁的記録の提供による方法などによる開示を請求することができる（個人情報保護法33条1項）。アはこのとおりで正しい。もっとも、開示することにより本人または第三者の生命・身体・財産その他の権利利益を害するおそれがある場合などには、その全部または一部を開示しないことができる（33条2項）。したがって「開示しないことはできない」とするイは誤り。

補足開示のほか、本人には、内容が事実でないときの訂正等の請求（34条）や、目的外利用・不正取得などの場合の利用停止等の請求（35条）も認められている。

正解：2（アー正、イー誤）

ア．正しい

匿名加工情報

個人情報保護法第43条第1項「特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにするため」e-Gov原文

イ．誤り

照合してよいは誤り

個人情報保護法第43条第5項「本人を識別するために、当該匿名加工情報を他の情報と照合してはならない」e-Gov原文

ひっかけ自分で作った匿名加工情報なら本人を照合してよい、と考えるとイを正しいと誤る。作成者にも照合禁止がかかる。

解説個人情報取扱事業者は、匿名加工情報を作成するときは、特定の個人を識別することができず、かつその作成に用いる個人情報を復元することができないように、個人情報を加工しなければならない（個人情報保護法43条1項）。アはこのとおりで正しい。そして、匿名加工情報を作成して自ら取り扱う場合であっても、本人を識別するために、その匿名加工情報を他の情報と照合してはならない（同条5項）。したがって「照合してよい」とするイは誤り。

補足匿名加工情報は、特定の個人を識別できないよう加工することで、本人の同意なく第三者提供や目的外利用ができるようにした情報である。その代わり、再識別（照合による本人の特定）が固く禁じられている。