関係法令（個人情報保護法）の問題（20問）

正解：2（アー正、イー誤）

ア．正しい

16条2項が個人情報取扱事業者を定義する

個人情報の保護に関する法律第16条「「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者をいう」一次資料を確認

イ．誤り

16条2項の除外は国の機関等に限られる

個人情報の保護に関する法律第16条「個人情報データベース等を事業の用に供している者をいう。ただし、次に掲げる者を除く」一次資料を確認

ひっかけ小規模でも『個人情報取扱事業者』。除外は国・自治体等のみ。

解説個人情報取扱事業者とは、個人情報データベース等を事業の用に供している者をいう（16条2項）。除外されるのは国の機関・地方公共団体・独立行政法人等・地方独立行政法人のみで、取り扱う個人情報の数による除外はない（旧法の小規模事業者の適用除外は2017年施行の改正で撤廃）。賃貸住宅管理業者も入居者・物件所有者の個人情報を扱う以上、個人情報取扱事業者として義務を負う。

補足個人情報データベース等とは、特定の個人情報を検索できるよう体系的に構成したものをいう（16条1項）。

正解：1（アー正、イー正）

ア．正しい

17条1項が利用目的の特定を求める

個人情報の保護に関する法律第17条「できる限り特定しなければならない」一次資料を確認

イ．正しい

18条1項が利用目的による制限を定める

個人情報の保護に関する法律第18条「あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない」一次資料を確認

ひっかけ利用目的は『できる限り特定』。目的外利用は『本人の同意』が必要。

解説個人情報取扱事業者は、個人情報の利用目的をできる限り特定しなければならず（17条1項）、利用目的の変更は変更前の目的と関連性を有すると合理的に認められる範囲を超えてはならない（同条2項）。また、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない（18条1項）。賃貸管理では、家賃滞納者情報の利用範囲などに注意を要する。

補足法令に基づく場合や、人の生命・身体・財産の保護に必要で本人同意が困難な場合等は、目的外利用が認められる（18条3項）。

正解：3（アー誤、イー正）

ア．誤り

21条1項が通知・公表のいずれかで足りるとする

個人情報の保護に関する法律第21条「あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない」一次資料を確認

イ．正しい

21条2項が書面取得時の利用目的の明示を求める

個人情報の保護に関する法律第21条「あらかじめ、本人に対し、その利用目的を明示しなければならない」一次資料を確認

ひっかけ通常は『通知又は公表』。書面で直接取得するときは『あらかじめ明示』。

解説個人情報を取得した場合、あらかじめ利用目的を公表していれば足り、公表していないときは速やかに本人に通知し又は公表する（21条1項）。ただし、本人との契約に伴って書面（賃貸借契約書・入居申込書等）に記載された本人の個人情報を取得する場合は、あらかじめ利用目的を明示しなければならない（同条2項）。賃貸管理では入居申込み時の利用目的明示が重要となる。

補足取得の状況からみて利用目的が明らかな場合等は、通知・公表・明示を要しない（21条4項）。

正解：4（アー誤、イー誤）

ア．誤り

27条1項が同意の例外を定める

個人情報の保護に関する法律第27条「次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない」一次資料を確認

イ．誤り

27条1項1号が法令に基づく場合を例外とする

個人情報の保護に関する法律第27条「法令に基づく場合」一次資料を確認

ひっかけ第三者提供は原則『本人の同意』。ただし法令に基づく場合等は同意不要。

解説個人情報取扱事業者は、原則として、あらかじめ本人の同意を得ないで個人データを第三者に提供してはならない（27条1項）。ただし、①法令に基づく場合、②人の生命・身体・財産の保護に必要で本人同意が困難な場合、③公衆衛生・児童の健全育成に特に必要で本人同意が困難な場合、④国等への協力で本人同意により事務遂行に支障が生じる場合などは、同意なく提供できる。

補足オプトアウト（本人の求めに応じ提供を停止する旨等を委員会に届出）による第三者提供も可能だが、要配慮個人情報は対象外である（27条2項）。

正解：2（アー正、イー誤）

ア．正しい

27条5項1号が委託先を第三者から除く

個人情報の保護に関する法律第27条「利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合」一次資料を確認

イ．誤り

27条5項が委託先等を第三者に該当しないとする

個人情報の保護に関する法律第27条「第三者に該当しないものとする」一次資料を確認

ひっかけ委託・事業承継・共同利用の提供先は『第三者に該当しない』。同意不要。

解説次の場合の提供先は第三者に該当せず、本人の同意なく個人データを提供できる。①利用目的の達成に必要な範囲内での委託に伴う提供（27条5項1号）、②合併その他の事業承継に伴う提供（2号）、③一定事項をあらかじめ本人に通知等した上での共同利用（3号）。賃貸管理業務を管理会社に委託する場合の入居者情報の提供は、委託に当たり第三者提供に該当しない。

補足委託元は、委託先に対し個人データの安全管理が図られるよう必要かつ適切な監督を行う義務がある（25条）。

正解：3（アー誤、イー正）

ア．誤り

33条1項が本人の開示請求権を定める

個人情報の保護に関する法律第33条「保有個人データの電磁的記録の提供による方法その他の個人情報保護委員会規則で定める方法による開示を請求することができる」一次資料を確認

イ．正しい

33条2項ただし書が不開示事由を定める

個人情報の保護に関する法律第33条「本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合」一次資料を確認

ひっかけ本人は開示請求できる。権利利益を害するおそれ等があれば不開示も可。

解説本人は、個人情報取扱事業者に対し、自己が識別される保有個人データの開示を請求でき（33条1項）、事業者は原則として遅滞なく開示しなければならない（同条2項）。ただし、①本人又は第三者の生命・身体・財産その他の権利利益を害するおそれがある場合、②事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合、③他の法令に違反する場合は、全部又は一部を開示しないことができる。

補足本人は、開示のほか、訂正・追加・削除、利用停止・消去、第三者提供の停止も請求できる（34条・35条）。

正解：2（アー正、イー誤）

ア．正しい

20条1項が適正な取得を定める

個人情報の保護に関する法律第20条「偽りその他不正の手段により個人情報を取得してはならない」一次資料を確認

イ．誤り

20条2項が要配慮個人情報の取得を原則禁止する

個人情報の保護に関する法律第20条「あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない」一次資料を確認

ひっかけ要配慮個人情報は『取得の時点で本人の同意』が原則必要。通常の個人情報より一段厳しい。

解説個人情報の取得については、まず偽りその他不正の手段による取得が禁止される（20条1項、適正取得）。加えて、人種・信条・病歴・犯罪歴など特に配慮を要する要配慮個人情報は、法令に基づく場合や人の生命・身体・財産の保護に必要で本人同意が困難な場合等の例外を除き、あらかじめ本人の同意を得なければ取得できない（20条2項）。通常の個人情報が取得後の利用目的通知で足りるのと異なり、要配慮個人情報は取得時点で本人同意が原則必要となる点が重要。賃貸管理でも入居者の健康状態等を扱う場面では注意を要する。

補足法令に基づく場合や、人の生命・身体・財産の保護に必要で本人の同意取得が困難な場合などは、例外的に同意なく取得できる（20条2項各号）。

正解：3（アー誤、イー正）

ア．誤り

17条2項は変更を全面禁止せず範囲を画するにとどまる

個人情報の保護に関する法律第17条「変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない」一次資料を確認

イ．正しい

17条2項が利用目的の変更の限界を定める

個人情報の保護に関する法律第17条「利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない」一次資料を確認

ひっかけ利用目的の変更は『関連性のある範囲内』なら可能。全面禁止ではない。

解説利用目的は取得時にできる限り特定する必要があるが（17条1項）、変更が一切できないわけではない。17条2項は、変更前の利用目的と関連性を有すると合理的に認められる範囲を超える変更を禁じるにとどまる。すなわち、当初の目的と関連性のある範囲内であれば、改めて本人同意を得なくても変更でき、その場合は変更後の利用目的を本人に通知し、又は公表しなければならない（21条3項）。関連性の範囲を超える変更には本人の同意が必要となる。

補足関連性のある範囲内で利用目的を変更したときは、変更後の利用目的を本人に通知するか公表しなければならない（21条3項）。

正解：1（アー正、イー正）

ア．正しい

23条が安全管理措置義務を定める

個人情報の保護に関する法律第23条「個人データの安全管理のために必要かつ適切な措置を講じなければならない」一次資料を確認

イ．正しい

24条が従業者の監督義務を定める

個人情報の保護に関する法律第24条「当該従業者に対する必要かつ適切な監督を行わなければならない」一次資料を確認

ひっかけ安全管理は『事業者自身（23条）＋従業者（24条）＋委託先（25条）』の3層で押さえる。

解説個人データの安全管理は、(1)事業者自身が漏えい・滅失・毀損を防ぐ必要かつ適切な措置を講じる義務（23条、安全管理措置）、(2)従業者に取り扱わせる際の従業者監督義務（24条）、(3)取扱いを委託する際の委託先監督義務（25条）の3層で構成される。賃貸管理業者は入居者・物件所有者の個人データを多数扱うため、社内体制の整備（23条）と担当者・委託先（管理サブコントラクター等）への監督（24条・25条）の双方が求められる。

補足安全管理措置には、組織的・人的・物理的・技術的安全管理措置が含まれ、ガイドラインで具体化されている。

正解：4（アー誤、イー誤）

ア．誤り

25条が委託先の監督義務を定める

個人情報の保護に関する法律第25条「委託を受けた者に対する必要かつ適切な監督を行わなければならない」一次資料を確認

イ．誤り

26条1項が漏えい等の報告義務を定める

個人情報の保護に関する法律第26条「当該事態が生じた旨を個人情報保護委員会に報告しなければならない」一次資料を確認

ひっかけ委託しても監督義務は残る（25条）。一定の漏えい等は委員会報告・本人通知が『義務』（26条）。

解説個人データの取扱いを委託しても、委託元は責任を免れず、委託を受けた者に対する必要かつ適切な監督義務を負う（25条）。また、漏えい・滅失・毀損その他の事態のうち、個人の権利利益を害するおそれが大きいものとして規則で定める事態が生じたときは、個人情報保護委員会への報告（26条1項）と本人への通知（同条2項）が義務づけられる。報告・通知は『任意』ではなく『義務』である点が頻出の引っかけ。賃貸管理で外部委託や情報流出が起きた場合の対応として実務上も重要。

補足委託を受けた者が委託元等に当該事態を通知したときは、委託を受けた者自身の委員会への報告は要しないとされる（26条1項ただし書）。

正解：2（アー正、イー誤）

ア．正しい

34条1項が訂正等の請求権を定める

個人情報の保護に関する法律第34条「保有個人データの内容が事実でないときは、当該保有個人データの内容の訂正、追加又は削除」一次資料を確認

イ．誤り

35条1項が利用停止等の請求権を定める

個人情報の保護に関する法律第35条「当該保有個人データの利用の停止又は消去」一次資料を確認

ひっかけ本人の請求権は『開示・訂正等・利用停止等・第三者提供停止』。違反があれば利用停止等も請求できる。

解説本人は保有個人データについて、開示請求（33条）のほか、内容が事実でないときの訂正・追加・削除の請求（34条1項、訂正等）、一定の違反があるときの利用停止・消去の請求（35条1項、利用停止等）、違反提供時の第三者提供停止の請求（35条3項）ができる。さらに、利用する必要がなくなった場合や重大な漏えい等が生じた場合など権利利益が害されるおそれがあるときも利用停止等を請求できる（35条5項）。賃貸管理業者は本人からこれらの請求を受けたとき、調査や是正等の対応義務を負う。

補足訂正等の請求を受けた事業者は、利用目的の達成に必要な範囲内で遅滞なく必要な調査を行い、結果に基づき訂正等を行わなければならない（34条2項）。

正解：2（アー正、イー誤）

ア．正しい

29条1項が提供者に記録作成義務を課す

個人情報の保護に関する法律第29条「当該個人データを提供した年月日、当該第三者の氏名又は名称」一次資料を確認

イ．誤り

29条1項ただし書が27条1項各号等の場合を除外する

個人情報の保護に関する法律第29条「に該当する場合は、この限りでない」一次資料を確認

ひっかけ第三者提供の記録作成義務は『提供した側』に課される。ただし法令に基づく場合等は例外。

解説個人データを第三者に提供した個人情報取扱事業者は、提供の年月日・第三者の氏名又は名称その他の所定事項に関する記録を作成し、一定期間保存しなければならない（29条1項・2項）。これは提供のトレーサビリティ（流通の追跡可能性）を確保し、不正に流通した個人データを事後的に追えるようにするための仕組みである。ただし、提供が27条1項各号（法令に基づく場合等）や27条5項各号（委託・事業承継・共同利用）に該当する場合は、記録の作成義務は課されない（29条1項ただし書）。提供を受ける側にも、確認と記録の作成義務がある（30条）。

補足提供を受ける側は、提供者の氏名又は名称・住所や取得の経緯を確認し、その記録を作成・保存しなければならない（30条1項・3項・4項）。

正解：1（アー正、イー正）

ア．正しい

31条1項1号が提供前の本人同意の確認を義務づける

個人情報の保護に関する法律第31条「本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていること」一次資料を確認

イ．正しい

31条1項が27条1項各号に掲げる場合を除外する

個人情報の保護に関する法律第31条「第二十七条第一項各号に掲げる場合を除くほか」一次資料を確認

ひっかけ個人関連情報でも、提供先で個人データになるなら『提供元』が本人同意を確認する。

解説個人関連情報（生存する個人に関する情報で、個人情報・仮名加工情報・匿名加工情報のいずれにも該当しないもの。例：Cookie等で収集された閲覧履歴）は、それ単体では特定の個人を識別できないため個人データではない。しかし、提供先の第三者がそれを他の情報と照合して個人データとして取得することが想定される場合には、提供元の個人関連情報取扱事業者は、本人の同意が得られていること等を確認しないで提供してはならない（31条1項）。確認義務は『提供元』に課される点に注意。ただし27条1項各号（法令に基づく場合等）に該当するときは確認を要しない。

補足確認の方法等は個人情報保護委員会規則で定められ、提供元は確認に係る記録の作成・保存も求められる（31条3項が30条2項〜4項を準用）。

正解：3（アー誤、イー正）

ア．誤り

43条5項が識別目的の照合を禁止する

個人情報の保護に関する法律第43条「本人を識別するために、当該匿名加工情報を他の情報と照合してはならない」一次資料を確認

イ．正しい

43条1項が匿名加工の加工基準を定める

個人情報の保護に関する法律第43条「特定の個人を識別すること及びその作成に用いる個人情報を復元することができないように」一次資料を確認

ひっかけ匿名加工情報は『識別目的の照合禁止』。作成は識別・復元不能の基準に従う。

解説匿名加工情報とは、特定の個人を識別できないように個人情報を加工し、かつ当該個人情報を復元できないようにしたものをいう。作成時は、識別・復元ができないようにする所定の基準に従って加工する義務があり（43条1項）、加工方法等の情報の安全管理措置（同2項）、加工した情報の項目の公表（同3項）が求められる。さらに、作成者は本人を識別する目的で当該匿名加工情報を他の情報と照合してはならない（同5項）。これらにより、本人の同意なく統計・分析等にデータを利活用できる仕組みと、本人保護の両立を図っている。

補足匿名加工情報を作成して第三者に提供するときは、含まれる情報の項目と提供方法を公表し、相手方に匿名加工情報である旨を明示しなければならない（43条4項）。

正解：4（アー誤、イー誤）

ア．誤り

37条3項が代理人による請求を認める

個人情報の保護に関する法律第37条「政令で定めるところにより、代理人によってすることができる」一次資料を確認

イ．誤り

37条4項が過重な負担を課さない配慮義務を定める

個人情報の保護に関する法律第37条「本人に過重な負担を課するものとならないよう配慮しなければならない」一次資料を確認

ひっかけ請求手続は事業者が定められるが、代理人もOKで、本人に過重な負担はNG。

解説個人情報取扱事業者は、開示・訂正・利用停止等の請求（開示等の請求等）を受け付ける方法を政令で定めるところによりあらかじめ定めることができ、本人はその方法に従って請求を行う（37条1項）。請求の対象を特定するに足りる事項の提示を求めることもできるが、その場合は本人が容易かつ的確に請求できるよう配慮しなければならない（同2項）。請求は代理人によってもでき（同3項）、手続を定めるに当たっては本人に過重な負担を課さないよう配慮する義務がある（同4項）。手続を定める自由はあるが、本人の権利行使を実質的に妨げない範囲に限られる。

補足事業者が受付方法を定めた場合、本人はその方法に従って請求を行わなければならない（37条1項後段）。手数料を徴収できる場合もあるが、その額は実費を勘案して合理的と認められる範囲でなければならない（38条）。

正解：2（アー正、イー誤）

ア．正しい

個人情報保護法第19条の「違法又は不当な行為を助長し、又は誘発するおそれがある方法」と一致するため正しい。

個人情報保護法第19条「違法又は不当な行為を助長し、又は誘発するおそれがある方法」一次資料を確認

イ．誤り

要件・主体・効果のすり替え

個人情報保護法第19条「違法又は不当な行為を助長し、又は誘発するおそれがある方法」一次資料を確認

ひっかけ本人の同意さえあれば何でもできる、と考えるとイを正しいと誤る。不適正利用の禁止（19条）に同意による例外は書かれていない。

解説個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない（個人情報保護法19条＝不適正な利用の禁止）。アはこのとおり正しい。この禁止に「本人の同意があれば可」という例外は定められていないから、イは誤り。よって「アー正、イー誤」。

補足19条は令和2年改正で明文化された規定で、利用目的の範囲内であっても、違法・不当な行為を助長・誘発するおそれのある利用自体を禁じる。同意の有無ではなく利用方法そのものの問題である点が軸。

正解：2（アー正、イー誤）

ア．正しい

個人情報保護法第22条の「個人データを正確かつ最新の内容に保つ」と一致するため正しい。

個人情報保護法第22条「個人データを正確かつ最新の内容に保つ」一次資料を確認

イ．誤り

要件・主体・効果のすり替え

個人情報保護法第22条「個人データを正確かつ最新の内容に保つ」一次資料を確認

ひっかけ取得した情報はそのまま持ち続ければよい、と考えるとイを正しいと誤る。正確・最新に保つ努力と、不要になったときの消去の努力が求められる。

解説個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない（個人情報保護法22条）。アはこのとおり正しく、「努力は不要」とするイは誤り。よって「アー正、イー誤」。

補足22条は努力義務（「努めなければならない」）で、範囲は「利用目的の達成に必要な範囲内」。正確性・最新性の保持と不要時の遅滞ない消去、という二つの内容を一つの条文で定めている。

正解：2（アー正、イー誤）

ア．正しい

個人情報保護法第28条第2項の「本人に参考となるべき情報を当該本人に提供しなければならない」と一致するため正しい。

個人情報保護法第28条第2項「本人に参考となるべき情報を当該本人に提供しなければならない」一次資料を確認

イ．誤り

要件・主体・効果のすり替え

個人情報保護法第28条第2項「本人に参考となるべき情報を当該本人に提供しなければならない」一次資料を確認

ひっかけ同意さえ取れば説明は不要、と考えるとイを正しいと誤る。外国第三者提供の同意取得では、本人に参考となるべき情報の提供が義務づけられている。

解説個人情報取扱事業者は、外国にある第三者への個人データの提供を認める旨の本人の同意を得ようとする場合には、あらかじめ、当該外国における個人情報保護に関する制度など、本人に参考となるべき情報を提供しなければならない（個人情報保護法28条2項）。アはこのとおり正しく、「一切不要」とするイは誤り。よって「アー正、イー誤」。

補足外国第三者提供（28条）は、国内の第三者提供（27条）と別枠の規制で、原則は「外国提供を認める旨の本人同意」＋同意取得時の情報提供。同等水準国や体制整備済みの提供先は例外的に扱われる。

正解：2（アー正、イー誤）

ア．正しい

個人情報保護法第30条第1項の「第三者から個人データの提供を受けるに際しては」と一致するため正しい。

個人情報保護法第30条第1項「第三者から個人データの提供を受けるに際しては」一次資料を確認

イ．誤り

要件・主体・効果のすり替え

個人情報保護法第30条第1項「第三者から個人データの提供を受けるに際しては」一次資料を確認

ひっかけ受け取る側は気楽でよい、と考えるとイを正しいと誤る。第三者から個人データの提供を受ける際には、提供元の氏名や取得の経緯の確認義務がある。

解説個人情報取扱事業者は、第三者から個人データの提供を受けるに際しては、当該第三者の氏名又は名称及び住所（法人は代表者の氏名も）と、当該第三者による当該個人データの取得の経緯を確認しなければならない（個人情報保護法30条1項）。アはこのとおり正しく、「確認は不要」とするイは誤り。よって「アー正、イー誤」。

補足確認を行ったときは、提供を受けた年月日や確認事項等の記録を作成し保存する義務もある（30条3項・4項）。提供する側の記録義務（29条）と対になる「トレーサビリティ」の仕組み。

正解：2（アー正、イー誤）

ア．正しい

個人情報保護法第41条第1項の「特定の個人を識別することができないようにするために必要なもの」と一致するため正しい。

個人情報保護法第41条第1項「特定の個人を識別することができないようにするために必要なもの」一次資料を確認

イ．誤り

要件・主体・効果のすり替え

個人情報保護法第41条第1項「特定の個人を識別することができないようにするために必要なもの」一次資料を確認

ひっかけ名前を伏せれば仮名加工情報になる、と考えるとイを誤る。委員会規則で定める基準に従った加工が必要である。

解説個人情報取扱事業者は、仮名加工情報を作成するときは、他の情報と照合しない限り特定の個人を識別することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、個人情報を加工しなければならない（個人情報保護法41条1項）。アはこのとおり正しく、「加工せずそのまま作成できる」とするイは誤り。よって「アー正、イー誤」。

補足仮名加工情報は「他の情報と照合しない限り」識別できない水準の加工で足りる点で、匿名加工情報（復元不可が要件）より緩やか。作成時には削除情報等の安全管理措置も義務づけられる（41条2項）。